JP2004260716A - ネットワークシステム、個人情報送信方法およびプログラム - Google Patents

Abstract

【課題】ユーザが個人情報を一元的に管理し、複数のサービス提供者に対しユーザの個人情報公開に関するポリシに従い、秘匿性を維持して提供可能とすることが可能な個人情報送信方法を提供する。
【解決手段】ユーザからの指示に基づきコンテンツを要求するクライアント端末と、前記クラインアント端末とネットワークを介して接続され、要求に応じてユーザの認証を行う認証サーバと、前記クライアント端末および前記認証サーバとネットワークを介して接続され、前記クライアント端末に対してコンテンツを提供するコンテンツサーバとを備えるネットワークシステムにおける個人情報の送信方法であって、前記クライアント端末は、多目的ＩＣカードの書込・読取り手段を備え、前記多目的ＩＣカード内にユーザの個人情報を格納しておき、前記多目的ＩＣカードが、当該個人情報を暗号化して、前記コンテンツサーバに送信する。
【選択図】 図１８

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワークシステム、個人情報送信方法およびプログラムに係わり、特に、ネットワークに接続された複数のサービス提供者が、それぞれ管理するユーザの個人情報を秘匿しつつ、互いに連携したサービスを行う場合に有効な技術に関する。
【０００２】
【従来の技術】
一般に、コンピュータネットワーク上には、個人情報が分散して存在している。様々なサービスを利用するため、ユーザは個人情報を各サービス提供者に提供し、各サービス提供者が個人情報を管理している。
一方、電子申請や電子商取引といった確実な本人認証を必要とするサービスの発達と共に、複数のサービス提供者が認証情報を共有することにより、ユーザの利便性を向上させるシングルサインオン機構が脚光を浴びている。
このようなことを背景として、従来の技術では、（１）個人情報を集約して複数のサービス提供者間で安全に共有し、ユーザのポリシに合わせて個人情報を提供するという仕組みは存在しない。（２）シングルサインオン機構を実現するため個人情報（ユーザＩＤ等）を共有する仕組みはあったが、認証プロバイダにユーザの特定に緊がる個人情報が漏洩する危険があり、個人情報の秘匿性を維持したままシングルサインオン機構を実現することが困難であった。
以下、シングルサインオン機構を実現するために、従来用いられているリバースプロキシ型シングルサインオン機構と、エージェント型シングルサインオン機構について説明する。
【０００３】
図１は、従来のリバースプロキシ型シングルサインオン機能を実現するためのシステムの概略構成を示す模式概念図である。
同図に示すシステムでは、クライアント端末１０１、ユーザの本人認証を行う認証サーバ２０１、サービス提供者がサービスを提供するコンテンツサーバ３０１とを備え、これらによりシングルサインオンを実現するものとして想定している。
クライアント端末１０１は、パーソナルコンピュータであり、処理プログラム１０２を内蔵している。
認証サーバ２０１は、認証を行うための処理プログラム２０２を内蔵し、ＩＤ又はパスワードなどのユーザを認証するための情報を格納する認証データベース（以下、ＤＢという。）２０３、認証済みユーザの認証状態を格納する認証状態管理ＤＢ２０４、各コンテンツサーバに対する認証メッセージを作成するために用いる個人情報（ユーザＩＤ等）を格納する共有個人情報ＤＢ２０５を備える。ここで、認証状態とは、各ユーザが既に認証済みであるかどうかを表す。
【０００４】
コンテンツサーバ３０１は、認証サーバ２０１からの認証メッセージを処理し、ユーザをシングルサインオンさせるための処理プログラム３０２を内蔵している。そして、個人情報を格納するユーザ管理ＤＢ３０３を備える。
さらに、認証状態を管理するための認証状態管理ＤＢ３０４、およびＷＷＷコンテンツ３０５を有する。また、認証サーバ２０１には、複数のコンテンツサーバ３０１が接続されている。
同図のように、リバースプロキシ型方式では、コンテンツサーバ３０１がクライアント端末１０１から直接アクセスすることが出来ない仕組みをとる。
リバースプロキシ型シングルサインオン機構では、認証サーバ２０１がコンテンツサーバ用の個人情報（ユーザＩＤ等）を共有個人情報ＤＢ２０５に格納し、特定のコンテンツサーバ用の認証メッセージを作成するため、シングルサインオンを実現することが可能となる。
【０００５】
図２は、従来のエージェント型シングルサインオン機構を実現するためのシステムの概略構成を示す模式概念図である。
図１のリバースプロキシ型方式とネットワーク構成で異なる点は、クライアント端末１０１がコンテンツサーバ３０１に直接アクセスすることが可能なネットワークに接続されている点である。
エージェント型方式では、認証サーバ２０１がコンテンツサーバ用の個人情報（ユーザＩＤ等）を共有個人情報ＤＢ２０５によって管理し、特定のコンテンツサーバ用の認証メッセージを作成することによりシングルサインオン機構を実現する。
また、エージェント型方式では、ユーザがコンテンツサーバに直接アクセスすることが可能なため、未認証ユーザがコンテンツサーバ３０１に直接アクセスした場合には、コンテンツサーバ３０１が認証サーバ２０１に対してユーザの認証状態を直接問い合わせし認証メッセージを得る機構や、ユーザを認証サーバ２０１に対してリダイレクトし、認証メッセージと共に再度アクセスさせる機構を有していることが考えられる。
【０００６】
どちらの機構においても、エージェント型方式では、認証サーバ２０１がコンテンツサーバ用の個人情報（ユーザＩＤ等）を共用個人情報ＤＢ２０５によって管理し、特定のコンテンツサーバ用の認証メッセージを作成することにより、シングルサインオン機構を実現する。
以上のように、従来のリバースプロキシ型方式とエージェント型方式のシングルサインオン機構は、認証サーバ２０１が共有個人情報ＤＢ２０５に、クライアント端末１０１の特定に繋がる個人情報（ユーザＩＤ）を格納し、認証サーバにおいてユーザを特定後、認証サーバ２０１がコンテンツサーバ３０１用の認証メッセージを作成するという点で共通している。
図３は、図１、２において、認証サーバがコンテンツサーバに認証メッセージを提供する部分に着目して、従来のシングルサインオン機構の動作を示したフローチャートである。
同図では、クライアント端末１０１は、未だ認証サーバ２０１により認証されていない状態において、コンテンツサーバ３０１のコンテンツを要求した場合を想定している。
【０００７】
同図において、クライアント端末１０１のコンテンツ要求過程１１１からのコンテンツ要求は、認証サーバ２０１の認証処理受付過程２１１において受付けられる。
認証開始過程２１２は、ユーザの認証を開始し、まずクライアント端末１０１に対して個人情報（ユーザＩＤ等）の入力を要求する。
クライアント端末１０１に対する個人情報（ユーザＩＤ等）の入力要求は、個人情報入力受付過程１１２で受付けられ、個人情報入力過程１１３は、ユーザの個人情報（ユーザＩＤ等）を個人情報受付過程２１３に対して送信する。
認証検証過程２１４は、ユーザの入力した個人情報（ユーザＩＤ等）を検証し、認証状態を格納する。
認証検証過程２１４は認証が終了すると、認証メッセージ作成過程２１５においてコンテンツサーバ３０１用の認証メッセージが作成される。
その後、作成された認証メッセージは認証メッセージ送信過程２１６よりコンテンツサーバ３０１の認証メッセージ受付過程３１１に送信される。
認証メッセージ受付過程３１１が認証メッセージを受付けると、認証メッセージ処理過程３１２において認証状態が格納され、コンテンツ返却処理過程３１３によりコンテンツ返却のための処理が行われる。
【０００８】
なお、本願発明に関連する先行技術文献としては以下のものがある。
【特許文献１】
特開２００２−３３５２４９号公報
「発明の名称：シングルサインオン認証方法及びシステム装置」
【０００９】
【発明が解決しようとする課題】
前述の（１）に関して、従来は、集約された個人情報を複数のサービス提供者間で共有し、ユーザの設定したポリシに従って提供するという仕組みはなかった。
しかし、このような状祝では、個人情報は分散してしまうため、ユーザはどんな個人情報を、どのサービス提供者に提供したのか把握しきれなかった。
従って、ユーザの意志に基づいた個人情報の管理を行うことが困難であった。
また、ユーザの個人情報を安全に管理するためには、サービス提供者に高度なセキュリティー技術や多額の運用資金が必要とされる。
各サービス提供者がそれぞれ個人情報を管理することは、コスト面および運用面で困難なものとなる。
つまり、サービス提供者が、安価に、かつ安全に、個人情報を管理し利用する仕組みがなかった。
前述の（２）に関して、従来のシングルサインオン機構では、リバースプロキシ型方式やエージェント型方式といった、認証プロバイダとサービス提供者が個人情報（ユーザＩＤ等）を共有し、認証サーバにおいてユーザを特定後、認証サーバがコンテンツサーバ用の認証メッセージを作成することで、シングルサインオン機構を実現する方式があった。
また、認証サーバにおいてユーザを特定しないまま、コンテンツサーバにシングルサインオン可能とさせるのは不可能であった。
しかし、このような従来のシングルサインオン方式では、個人情報（ユーザＩＤ等）を共有する必要があり、認証サーバに個人情報が漏洩する危険があるため、異なるサービス提供者同士が連携することや、重要度の高い個人情報（ユーザＩＤ等）を使ったサービスヘの適用は困軽であった。
【００１０】
また、認証プロパイダは、多くの個人情報（ユーザＩＤ等）を管理し、名寄せ可能な環境下で運営している。
ここで、名寄せ可能とは、断片的に存在している個人情報を集約して、個人に関する、より詳細な情報が特定可能であることを表す。
従って、これら仕組みでは、サービス提供者やユーザが安心して個人情報を利用することはできない。
また、認証プロバイダは、膨大な個人情轍（ユーザＩＤ等）を安全に管理するためのデータベースを持つ必要があり、多額運用資金と高度なスキル、責任が求められる。
さらに、個人情報を共有し、シングルサインオンを行うためには、ユーザのコンテンツサーバ毎に異なる個人情報（ユーザＩＤ等）を認証サーバに登録する必要があり、その登録処理がユーザ、コンテンツサーバ、認証サーバの皆にとって煩雑で負担となっていた。
【００１１】
本発明は、前記従来技術の間題点を解決するためになされたものであり、本発明の目的は、ユーザが個人情報を一元的に管理し、複数のサービス提供者に対しユーザの個人情報公開に関するポリシに従い、秘匿性を維持して提供することが可能なネットワークシステムおよび個人情報送信方法を提供することにある。
また、本発明の他の目的は、複数のサービス提供者が個人情報を、安価、かつ安全に利用することが可能なネットワークシステムおよび個人情報送信方法を提供することにある。
また、本発明の他の目的は、個人情報の秘匿性を維持したシングルサインオン方式を提供することが可能なネットワークシステムおよび個人情報送信方法を提供することにある。
また、本発明の他の目的は、ユーザが各サービス提供者に対し、個人情報を登録する処理を簡略化することが可能なネットワークシステムおよび個人情報送信方法を提供することにある。
また、本発明は、前述の個人情報送信方法を、多目的ＩＣカードのＣＰＵ、あるいはコンピュータに実行させるプログラムを提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。
【００１２】
【課題を解決するための手段】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
本発明では、前記の課題を解決するために、多目的ＩＣカード内に、ユーザおよびサービス提供者が個人情報を格納する領域を設け、サービス提供者をはじめとするネットワークを介した相手に対して情報を送信する際には、ＩＣカード内で乱数データと共に提供相手の公開鍵で暗号化して提供することを最も主要な特徴とする。
以下、本発明のより具体的な構成について説明する。
本発明では、ユーザおよびサービス提供者がＩＣカードに個人情報を登録する。ユーザが登録する個人情報は、どの情報をどのサービス提供者に提供するか詳細なポリシ設定が可能である。
また、サービス提供者が登録する情報は、コンテンツサーバ識別子に関連付けて格納する。このコンテンツサーバ識別子とは、サービス提供者と認証サーバが共有する識別子で、コンテンツサーバを特定するためのものある。
【００１３】
ネットワークを介してコンテンツサーバにＩＣカード内の個人情報を提供する場合は、認証サーバはチャレンジとコンテンツサーバ識別子をクライアント端末に対し送信する。
ＩＣカード内では、ユーザのポリシで許可された個人情報およびコンテンツサーバ識別子に関連付けられた個人情報を乱数データと共にコンテンツサーバの公開鍵で暗号化する。このコンテンツサーバの公開鍵は、予めコンテンツサーバが個人情報を登録する際に格納する。
そして、認証サーバが送信したチャレンジ、コンテンツサーバ識別子、そしてコンテンツサーバの公開鍵で暗号化されたデータをひとまとめにして、ユーザの秘密鍵で暗号化し、認証サーバに送信する。
この機構では、認証サーバは、チャレンジに対するレスポンスの検証を行い、コンテンツサーバ公開鍵で暗号化されたデータの配送先を把握することが可能であるが、暗号化されたデータの内容を把握することは不可能である。
すなわち、この機構を利用すると、ＩＣカード内に格納された個人情報を、秘匿性を維持してコンテンツサーバに提供することが可能となる。
【００１４】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態を詳細に説明する。
なお、実施の形態を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
以下に、本実施の形態で共通して利用する多目的ＩＣカードについて説明をする。
図４は、多目的ＩＣカード内部の構成を模式的に示す図である。
多目的ＩＣカード５０１には、ユーザ秘密鍵５０４とユーザ公開鍵証明書５０５が格納されている。
サービスドメイン（以下、ＳＤＩという。）とは、カード内で分割された一領域であり、サービスドメイン１（ＳＤ１）５０３の運営権は認証サーバが有している。
ユーザは、ＳＤ１（５０３）の運営者である認証プロバイダが提供した個人情報管理アプリケーションプログラム（以下、個人情報管理ＡＰという。）５１１、コンテンツサーバ管理アプリケーションプログラム（以下、コンテンツサーバ管理ＡＰという。）５１２、認証メッセージ作成アプリケーションプログラム（以下、認証メッセージ作成ＡＰという。）５１３をインストールする。
さらに、ＳＤ１（５０３）には、個人情報格納領域５１４とコンテンツサーバ用情報格納領域５１５を設けられる。
なお、図４には図示していないが、多目的ＩＣカード５０１には、ＣＰＵも内蔵されている。
【００１５】
図５に、前述の各オンカードアプリケーションプログラム（５１１，５１２，５１３）の利用権限および各オンカードアプリケーションプログラム（５１１，５１２，５１３）の個人情報格納領域５１４、コンテンツサーバ用情報格納領域５１５に対するアクセス権限を示す。
ここで、オンカードアプリケーションプログラムとは、ＩＣカード内のアプリケーションプログラムである。
個人情報管理ＡＰ５１１は、ユーザが利用可能であり、個人情報格納領域５１４に対し個人情報を書き込むためのオンカードアプリケーションプログラムである。
また、コンテンツサーバ管理ＡＰ５１２は、コンテンツサーバが利用可能であり、コンテンツサーバ用情報格納領域５１５に情報を書き込むためのオンカードアプリケーションプログラムである。
そして、認証メッセージ作成ＡＰ５１３は、認証サーバが利用可能であり、個人情報格納領域５１４でユーザのポリシにより公開されている情報とコンテンツサーバ用情報格納領域５１５に格納されている情報を読込み、特定のコンテンツサーバに向けた認証メッセージを作成するためのオンカードアプリケーションプログラムである。
【００１６】
図６に、ＩＣカードに格納する情報および個人情報格納領域に対するポリシ設定を示す。
図６の上段は、コンテンツサーバ用情報格納領域５１５に格納される具体的な情報を示している。
コンテンツサーバ用情報格納領域５１５には、認証サーバとコンテンツサーバが共有するコンテンツサーバ識別子、コンテンツサーバ公開鍵、ＩＣカード用ユーザＩＤ、そして拡張情報として、コンテンツサーバが認証メッセージと共に必要な情報を格納する。
これらの中で、本発明のシングルサインオン機構には、コンテンツサーバ識別子、コンテンツサーバ公開鍵、ＩＣカード用ユーザＩＤが必須である。
図６の中段は、個人情報格納領域５１４に格納される具体的な情報を示している。
個人情報格納領域５１４には、ＩＣカード所有者の氏名、住所、生年月日等、その他、ユーザに関する様々な個人情報を格納することが出来る。
【００１７】
図６の下段は、個人情報格納領域５１４に格納される個人情報に設定されるポリシを示している。
個人情報格納領域内の個人情報には、各サービス提供者に対して、ユーザが詳細なポリシを設定することで、ユーザが個人情報を一元的に管理し、どんな情報をどのコンテンツサーバに提供したのか詳細に把握可能としている。
なお、前述の図４〜図６で説明した多目的ＩＣカードに関する従来技術として、例えば、下記（１）、（２）に記載されているものが知られている。
（１）特開２００２−３１２７２４号公報（発明の名称「ＩＣカード運用管理方式及びシステム」）
（２）特開２００２−２７９３６５号公報（発明の名称「コマンド実行権限委譲方法及びシステム」）
以下に、本発明方法を利用した４つのシングルサインオン機構の実施の形態を説明する。
【００１８】
［実施の形態１］
本発明の実施の形態１は、リバースプロキシ型方式で認証サーバがユーザを特定する場合の実施の形態である。
図７は、本実施の形態の、多目的ＩＣカードを利用したリバースプロキシ型シングルサインオン認証システムの概略構成を示す模式概念図である。
クライアント瑞末４０１は、パーソナルコンピュータであり、処理プログラム４０２を内蔵している。また、クライアント端末４０１には、ＩＣカードＲＷ５００が接続される。
多目的ＩＣカード５０１は、図４の模式図と同様であり、処理プログラム５０２を内蔵し、ユーザ秘密鍵５０４とユーザ公開鍵証明書５０５が格納されている。
更に、ＳＤ１（５０３）には、個人情報管理ＡＰ５１１、コンテンツサーバ管理ＡＰ５１２、認証メッセージ作成ＡＰ５１３がインストールされており、個人情報格納領域５１４、コンテンツサーバ用情報格納領域５１５が設けられている。
認証サーバ６０１は、処理プログラム６０２を内蔵し、ユーザの認証に利用する認証ＤＢ６０３、ユーザの認証状態を格納する認証状態管理ＤＢ６０４、コンテンツサーバに関する情報を格納したコンテンツサーバ管理ＤＢ６０５を持つ。
コンテンツサーバ１（７０１）は、処理プログラム７０２を持ち、ユーザＩＤやその他個人情報を格納するユーザ管理ＤＢ７０３、ユーザの認証状態を格納する認証状態管理ＤＢ７０４、コンテンツを格納するＷＷＷコンテンツ７０５を持つ。コンテンツサーバＮ（７０１）も、コンテンツサーバ１（７０１）と同様の機能を持つ。
【００１９】
本実施の形態では、１台の認証サーバ６０１に対し、複数のコンテンツサーバ７０１が接続される。
図８に、本実施の形態における、シングルサインオン動作を示すフローチャートを示す。
なお、図８では、認証サーバ６０１に、コンテンツサーバ７０１への認証状態が格納されていない場合を仮定している。
認証サーバ６０１は、クラインアント端末４０１のコンテンツ要求過程４１１からのコンテンツ要求を認証処理受付過程６１１において受付ける。
認証処理受付過程６１１が、コンテンツ要求を受けると、認証開始処理６１２が呼び出される。
そして、認証状態検査過程６１９において、コンテンツサーバ７０１への認証状態の有無を確認する。
同図の仮定では、認証状態が格納されていないため、ＩＣカード５０１に対して、チャレンジとコンテンツサーバ７０１のコンテンツサーバ識別子と共にＩＣカード認証要求を出す。
これがＩＣカード認証受付過程５５１で受付けられると、ＩＣカード認証開始過程５５２により認証が開始される。
【００２０】
ユーザが、ＩＣカードのＰＩＮ（Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ）コードを入力すると、ＩＣカード認証開始過程５５２は、コンテンツサーバ用の認証メッセージの作成要求を行う。
認証メッセージ作成過程５５３は、コンテンツサーバ７０１の公開鍵で暗号化したコンテンツサーバ７０１用認証メッセージを作成する。
そして、レスポンス作成過程５５４は、認証サーバ６０１のチャレンジに対するレスポンスを作成する。
このレスポンスには、暗号化された認証メッセージとコンテンツサーバ識別子も含まれている。
レスポンス送信過程５５５により送信されたレスポンスと認証サーバ用のユーザＩＤは、認証サーバ６０１のレスポンス受付過程６１３で受付けられ、レスポンス検証過程６１４に渡される。
そして、レスポンス検証過程６１４は、クライアント端末４０１のレスポンスを検証し、クライアント端末４０１の認証状態を格納する。
【００２１】
ここで、クライアント端末４０１の公開鍵証明書の取得方法については、ＩＣカード内に格納しておき、レスポンスとともに送信する方法やリポジトリを用意する方法などが考えられるが、特に限定しない。
認証メッセージ配送過程６１５は、レスポンスに含まれていたコンテンツサーバ識別子から、暗号化された認証メッセージの配送先を検索し、コンテンツサーバ７０１の認証メッセージ受付過程７１１に対して、認証メッセージを送信する。
コンテンツサーバ７０１は、認証メッセージを受付けると、認証メッセージ処理過程７１２において、コンテンツサーバ７０１の秘密鍵で復号化し、認証メッセージ内に含まれたユーザ識別子を確認後、クライアント端末４０１の認証状態を格納する。
そして、コンテンツ返却処理過程７１３は、認証メッセージとともに送信されてきた、ユーザから要求されたコンテンツを、認証サーバのコンテンツ返却受付過程６１７に向けて返却する。
最後に、認証サーバ６０１のコンテンツ返却処理過程６１８は、クライアント端末４０１のコンテンツ返却受付過程４１２に対してコンテンツを返却する。
【００２２】
リバースプロキシ型方式では、コンテンツサーバにクライアント端未４０１が直接アクセスできないため、常に認証サーバ６０１が要求を受付ける。
そこで、次に、認証サーバ６０１に、クライアント端末４０１のコンテンツサーバ７０１に関する認証状態が格納されており、コンテンツサーバ７０１のコンテンツを要求している場合の動作を表すフローチャートを図９に示す。
ここで、コンテンツサーバ７０１に関する認証状熊とは、コンテンツサーバ用の暗号化された認証メッセージを格納しているかどうかを表している。
認証サーバ６０１は、クライアント端末４０１のコンテンツ要求過程４１１からのコンテンツ要求を認証処理受付過程６１１において受付ける。
認証処理受付過程６１１がコンテンツ要求を受付けると、認証開始過程６１２が呼び出される。そして、認証状態検査過程６１９は、コンテンツサーバ７０１への認証状態の有無を確認する。
【００２３】
ここで、図９では、クライアント端末４０１のコンテンツサーバ７０１に関する認証状態が格納されているため、認証メッセージ配送過程６１５から、コンテンツサーバ７０１への認証メッセージが送付され、コンテンツサーバ７０１の認証メッセージ受付過程７１１により受付けられる。
認証メッセージ処理過程７１２では、認証メッセージをコンテンツサーバ７０１の秘密鍵で復号化し、認証メッセージ内に含まれたユーザ識別子を確認し、クライアント端末４０１の認証状態を更新する。
そして、コンテンツ返却処理過程７１３は、認証メッセージとともに送信されてきた、ユーザから要求されたコンテンツを、認証サーバのコンテンツ返却受付過程６１７に向けて返却される。
認証サーバ６０１のコンテンツ返却処理過程６１８は、クライアント端末４０１のコンテンツ返却受付過程４１２に対してコンテンツを返却する。
【００２４】
図１０は、認証サーバ６０１のデータベースのカラムを示している。
認証ＤＢ６０３には、認証対象となるユーザのユーザＩＤ、ユーザの公開鍵証明書のＤＮ（証明書）、その他、ユーザを特定する情報が格納される。
ここで、クライアント端末４０１の公開鍵証明書取得方法については、ＩＣカード内に格納しておき、レスポンスと共に送信する方法やリポジトリを用意する方法など考えられるが、特に限定しない。
コンテンツサーバ管理ＤＢ６０５には、サービス提供者名、コンテンツサーバ識別子、コンテンツサーバに対応したコンテンツサーバＵＲＬを格納する。
認証状態管理ＤＢ６０４には、認証済みユーザのユーザＩＤやセッションＩＤの他に、コンテンツサーバ識別子と、認証メッセージを関連付けて格納する。
また、その他、クライアント端末を特定する情報も格納してもよい。
次に、リバースプロキシ型方式でのコンテンツサーバが持つデータベースの構造を図１１に示す。
認証状態管理ＤＢ７０４には、認証対象のユーザＩＤやその他のクライアントを特定する情報を格納する。
ユーザ管理ＤＢ７０３には、認証対象のユーザＩＤ、ＩＣカード内に書き込むＩＣカード用ユーザＩＤ、その他ユーザを特定する情報を格納する。
ここで、ＩＣカード用ユーザＩＤとは、ＩＣカード内に書き込むユーザＩＤをユーザＩＤから類推されないＩＤとしたもので、認証対象のユーザＩＤと、ＩＣカード内に書き込むＩＣカード用ユーザＩＤを同じにしても構わない。
【００２５】
次に、ユーザがシングルサインオンするための登録について説明する。
シングルサインオンするための登録とは、コンテンツサーバが、ＩＣカードのコンテンツサーバ用情報格納領域５１５ヘユーザの個人情報（ユーザＩＤ）を登録することを表す。
図１２が、その登録動作を表すフローチャートである。
ここでは、クライアント端末４０１の認証状態が、コンテンツサーバ７０１に格納されていることを前提としている。
クライアント端末４０１のシングルサインオン登録処理要求部４２１は、コンテンツサーバ７０１のシングルサインオン登録処理受付部７２０に対して、シングルサインオン登録処理を要求する。
そして、シングルサインオン登録処理開始部７２１において、シングルサインオンの登録が開始される。
ＩＣカード用ユーザＩＤ作成部７２２は、ＩＣカード用ユーザｌＤを新規に作成し、ユーザ管理ＤＢ７０３に登録する。
ここで、図１１の説明でも述べたように、ユーザＩＤとＩＣカード用ユーザＩＤを同じにすることも可能であり、その際は、ＩＣカード用ユーザＩＤとしてユーザＩＤを再度登録する。
【００２６】
次に、コンテンツサーバ用情報収集部７２３は、ユーザ管理ＤＢ７０３から認証メッセージと共に提供させたいユーザの個人情報、コンテンツサーバ識別子６０６、コンテンツサーバ公開鍵７０８を収集し、ＩＣカード５０１に対して送信する。
ＩＣカード５０１のコンテンツサーバ用情報登録受付部５２０は、コンテンツサーバ７０１からの要求を受付ける。
そして、コンテンツサーバ用情報登録開始部５２１は、個人情報登録部５２２にコンテンツサーバ７０１からの情報を引渡す。
個人情報登録部５２２は、渡された情報をコンテンツサーバ識別子に関連付けてコンテンツサーバ用情報格納領域５１５に登録する。
そして、コンテンツサーバ７０１のシングルサインオン登録処理結果受付部７２４に対して、登録処理結果返却部５２３より登録の完了を通知する。
コンテンツサーバ７０１の登録処理結果受付部７２４は、クライアント端末４０１からの登録処理結果を受け付け、シングルサインオン登録処理結果返却部７２５から、クライアント端末４０１のシングルサインオン登録処理結果受付部４２２に対し、シングルサインオン登録処理の完了を通知する。
このように、本実施の形態では、コンテンツサーバ７０１がクライアント端末４０１に対し、直接ユーザのシングルサインオン登録を行うことが可能である。
さらに、ＩＣカード用ユーザＩＤのみではなく、認証メッセージと共に提供させたいユーザの個人情報を何でも登録することが可能である。
【００２７】
図１３に、ＩＣカード内での認証メッセージ作成過程の動作を示すフローチャートを示す。
このフローチャートでは、図８における認証開始過程６１２からレスポンス受付過程６１３までを詳細に示したものである。
認証サーバ６０１の認証開始部６３１において認証が開始されると、チャレンジ作成部６３２は、チャレンジデータ６３６を作成する。
そして、コンテンツサーバ識別子検索部６３３は、要求されたコンテンツを持つコンテンツサーバ識別子をコンテンツサーバ管理ＤＢ６０５より検索し入手する。
そして、認証メッセージ作成要求部６３４は、チャレンジデータ６３６とコンテンツサーバ識別子と共に認証メッセージ作成要求をＩＣカード５０１に対して出す。
認証メッセージ作成要求を、ＩＣカード５０１内の認証メッセージ作成受付部５３１で受付けられると、認証メッセージ作成開始部５３２にて認証メッセージ作成が開始される。
個人情報ポリシ検査部５３３では、個人情報格納領域５１４にアクセスし、ユーザがコンテンツサーバに対して個人情報の提供を許可しているものがあるかどうか検索する。許可されている個人情報は、個人情報収集部５３４にて収集される。
【００２８】
次に、コンテンツサーバ用情報収集部５３５は、コンテンツサーバ用情報格納領域５１５から、コンテンツサーバ識別子に関連付けされて登録されている情報を収集する。
更に、乱数作成部５３６は、ＩＣカード内で乱数データ５３０を作成する。
乱数作成が終わると、認証メッセージ作成部５３７は、収集したデータおよび乱数データ５３０をコンテンツサーバ公開鍵７０８により暗号化する。
そして、レスポンス作成部５３８は、この暗号化データとチャレンジデータ６３６、そしてコンテンツサーバ識別子をユーザ秘密鍵５０４で暗号化し、レスポンス返却部５３９へ提供する。
最後に、レスポンス返却部５３９から認証サーバ６０１のレスポンス受付部６３５に対してレスポンスとユーザＩＤが送信される。
このようにして、認証メッセージ作成要求に対して、ＩＣカード内で作成されたレスポンスの構造を図１４に示す。
レスポンス（５３８−Ａ）には、コンテンツサーバ識別子６０６、チャレンジ６３６、コンテンツサーバ公開鍵で暗号化された認証メッセージ（５３７−Ａ）が含まれている。
また、コンテンツサーバ公開鍵で暗号化された認証メッセージ（５３７−Ａ）には、個人情報格納領域５１４からの個人情報（５３４−Ａ）、コンテンツサーバ用情報格納領域５１５からの個人情報（５３５−Ａ）、乱数５３０が含まれている。
【００２９】
次に、図１４で示したレスポンスが認証サーバ６０１およびコンテンツサーバ７０１においてどのように処理されるかを表すフローチャートを図１５に示す。
このフローチャートは、図８における認証サーバ６０１のレスポンス受付過程６１３からコンテンツサーバ７０１のコンテンツ返却処理過程７１３までを詳細に示したものである。
認証サーバ６０１のレスポンス受付部６４１にＩＣカード５０１からのレスポンスが届くと、レスポンス検証開始部６４２から、レスポンスの認証が開始される。
まず、レスポンス復号化部６４３は、ユーザ公開鍵５０５を用いてレスポンスを復号化する。そして、レスポンス検証部６４４では、復号化されたデータをコンテンツサーバ識別子６０６、チャレンジ６３６、コンテンツサーバ公開鍵で暗号されたデータ（５３７−Ａ）に分類する。
そして、認証ＤＢ６０３とクライアント端末４０１に送信したチャレンジデータ６３６を用いて検証し、認証状態格納部６４５において認証状態を認証状態管理ＤＢ６０４に格納する。
【００３０】
次に、認証メッセージ格納部６４８では、暗号化されたままの認証メッセージをコンテンツサーバ識別子と対応付けて認証状態管理ＤＢ６０４に格納する。
そして、認証メッセージ配送先検索部６４６で、コンテンツサーバ管理ＤＢ６０５から図１３のコンテンツサーバ識別子６０６を用いて配送先ＵＲＬを検索する。
最後に、認証メッセージ配送部６４７から認証メッセージ受付部７４１に向けて、認証メッセージが配送される。
コンテンツサーバ７０１は、認証メッセージ受付部７４１で認証メッセージを受付けると、それを認証メッセージ復号化部７４２でコンテンツサーバ秘密鍵７０９により復号化する。
そして、認証処理部７４３により、ユーザ管理ＤＢ７０３を用いて、ＩＣカード用ユーザＩＤをユーザＩＤに変換し、認証状態格納部７４４にて認証状態を認証状態管理ＤＢ７０４に格納する。
最後にコンテンツ返却部７４５から、認証メッセージとともに送信されてきた、ユーザから要求されたコンテンツを返却する。
【００３１】
［実施の形態２］
本発明の実施の形態２は、リバースプロキシ型方式で、認証サーバ６０１にユーザの匿名性を持たせる場合の実施の形態である。
本実施の形態に使用するユーザの公開鍵証明書には、ユーザの特定に繋がる住所・氏名・性別等の情報は記載しない。したがって、認証サーバ６０１においてユーザ認証を行う際、ユーザの特定は行わず、認証サーバ６０１が信頼する認証局（Ｃｅｒｔｉｆｉｃａｔｅ Ａｕｔｈｏｒｉｔｙ、以下、ＣＡという。）が発行した公開鍵証明書を有するユーザであるか検証を行う。
本実施の形態のシステム構成は、前述の図７と同じである。以下、図７を用いて本実施の形態について説明する。
クライアント端末４０１は、パーソナルコンピュータであり、処理プログラム４０２を内蔵している。
また、クライアント端末４０１には、ＩＣカードＲＷ５００が接続されている。
多目的ＩＣカード５０１は、図４の模式図と同様であり、処理プログラム５０２を内蔵し、ユーザ秘密鍵５０４とユーザ公開鍵証明書５０５が格納されている。
更に、ＳＤＩ（５０３）には、個人情報管理ＡＰ５１１、コンテンツサーバ管理ＡＰ５１２、認証メッセージ作成ＡＰ５１３がインストールされており、個人情報格納領域５１４、コンテンツサーバ用情報格納領域５１５が設けられている。
認証サーバ６０１は、処理プログラム６０２を内蔵し、ユーザの認証に利用する認証ＤＢ６０３、ユーザの認証状態を格納する認証状態管埋ＤＢ６０４、コンテンツサーバに関する情報を格納したコンテンツサーバ管理ＤＢ６０５を持つ。
コンテンツサーバ１（７０１）は、処理プログラム７０２を持ち、ユーザＩＤやその他個人情報を格納するユーザ管理ＤＢ７０３、ユーザの認証状態を格納する認証状態管理ＤＢ７０４、コンテンツを格納するＷＷＷコンテンツ７０５を持つ。コンテンツサーバＮ（７０１）も、コンテンツサーバ１（７０１）と同様の機能を持つ。
【００３２】
本発明装置では、１台の認証サーバ６０１に対し複数のコンテンツサーバ７０１が接続されていることを想定する。
本実施の形態において、シングルサインオン動作を図８を用いて説明する。なお、前述したように、図８では、認証サーバ６０１にコンテンツサーバ７０１への認証状態が格納されていない場合を仮定している。
認証サーバ６０１は、クライアント端末４０１のコンテンツ要求過程４１１からのコンテンツ要求を認証処理受付過程６１１において受付ける。
認証処理受付過程６１１がコンテンツ要求を受けると、認証開始過程６１２が呼び出される。そして、認証状態検査過程６１９において、コンテンツサーバ７０１への認証状熊の有無を確認する。
同図の仮定では認証状態が格納されていないため、ＩＣカード５０１に対してチャレンジとコンテンツサーバ７０１のコンテンツサーバ識別子とともに、ＩＣカード認証要求を出す。
【００３３】
これがＩＣカード５０１のＩＣカード認証受付過程５５１で受付けられると、ＩＣカード認証開始過程５５２により認証が開始される。
ユーザがＩＣカードのＰＩＮコードを入力すると、ＩＣカード認証開始過程５５２は、コンテンツサーバ用の認証メッセージの作成要求を行う。
認証メッセージ作成過程５５３は、コンテンツサーバ７０１の公開鍵で暗号化したコンテンツサーバ７０１用認証メッセージを作成する。
そして、レスポンス作成過程５５４は、認証サーバ６０１のチャレンジに対するレスポンスを作成する。このレスポンスには、暗号化された認証メッセージとコンテンツサーバ識別子も含まれている。
レスポンス送信過程５５５により送信されたレスポンスは、認証サーバ６０１のレスポンス受付過程６１３で受付けられ、レスポンス検証過程６１４に渡される。
そして、レスポンス検証過程６１４は、クライアント端未４０１のレスポンスを検証し、クライアント端末４０１の認証状態を格納する。
なお、このレスポンス検証では、レスポンスに認証サーバ用ユーザＩＤは含まれていない。
【００３４】
認証サーバは、レスポンスとともに送信されたユーザの公開鍵証明書が、信頼するＣＡの発行したものであるか、およびレスポンスの復号化によるチャレンジの検証を行う。
認証メッセージ配送過程６１５は、レスポンスに含まれていたコンテンツサーバ識別子から、暗号化された認証メッセージの配送先を検索し、コンテンツサーバ７０１の認証メッセージ受付過程７１１に対して、認証メッセージを送信する。
コンテンツサーバ７０１は、認証メッセージを受付けると、認証メッセージ処理過程７１２において、コンテンツサーバ７０１の秘密鍵で復号化し認証メッセージ内に含まれたユーザ識別子を確認後、クライアント端末４０１の認証状態を格納する。
そして、コンテンツ返却処理過程７１３は、認証サーバのコンテンツ返却受付過程６１７に向けて、認証メッセージとともに送信されてきた、ユーザから要求されたコンテンツを返却する。
最後に、認証サーバ６０１のコンテンツ返却処理過程６１８は、クライアント端末４０１のコンテンツ返却受付過程４１２に対してコンテンツを返却する。
【００３５】
リバースプロキシ型方式では、コンテンツサーバ７０１にクライアント端末４０１が直接アクセスできないため、常に認証サーバ６０１が要求を受付ける。
そこで、次に、認証サーバ６０１に、クライアント端末４０１のコンテンツサーバ７０１に関する認証状態が格納されており、コンテンツサーバ７０１のコンテンツを要求している場合の動作を図９を用いて説明する。
ここで、コンテンツサーバ７０１に関する認証状態とは、コンテンツサーバ用の暗号化された認証メッセージ格納しているかどうかを表している。
認証サーバ６０１は、コンテンツ要求過程４１１からのコンテンツ要求を認証処理受付過程６１１において受付ける。
認証処理受付過程６１１がコンテンツ要求を受けると、認証開始過程６１２が呼び出される。
そして、認証状態検査過程６１９は、コンテンツサーバ７０１への認証状態の有無を確認する。
【００３６】
ここで、図９では、クライアント端末４０１のコンテンツサーバ７０１に関する認証状態が格納されているため、認証メッセージ配送過程６１５から、コンテンツサーバ７０１への認証メッセージが送付され、コンテンツサーバ７０１の認証メッセージ受付過程７１１により受付けられる。
認証メッセージ処理過程７１２では、認証メッセージをコンテンツサーバ７０１の秘密鍵で復号化し認証メッセージ内に含まれたユーザ識別を確認し、クライアント端末４０１の認証状態を更新する。
そして、コンテンツ返却処理過程７１３より認証サーバのコンテンツ返却受付過程６１７に向けて、認証メッセージとともに送信されてきた、ユーザから要求されたコンテンツを返却する。
認証サーバ６０１のコンテンツ返却処理過程６１８は、クライアント端末４０１のコンテンツ返却受付過程４１２に対してコンテンツを返却する。
【００３７】
図１６は、認証サーバ６０１のデータベースのカラムを示している。
認証ＤＢ６０３には、認証サーバ６０１が信頼する公開鍵証明書の発行ＣＡが格納される。
コンテンツサーバ管理ＤＢ６０５は、サービス提供者名、コンテンツサーバ識別子、コンテンツサーバに対応したコンテンツサーバＵＲＬが格納される。
認証状態管理ＤＢ６０４には、認証済みユーザのセッションＩＤの他に、コンテンツサーバ識別子と、認証メッセージとが関連付けて格納される。また、その他、クライアント端末を特定する情報も格納してもよい。
続いて、リバースプロキシ型方式でのコンテンツサーバ７０１のデータベースの構造を図１１に示す。
認証状態管理ＤＢ７０４には、認証対象のユーザＩＤやその他のクライアントを特定する情報が格納される。
ユーザ管理ＤＢには、認証対象のユーザＩＤ、ＩＣカード内に書き込むＩＣカード用ユーザＩＤ、その他ユーザを持定する情報が格納される。
ここで、ＩＣカード用ユーザＩＤとは、ＩＣカード内に書き込むユーザＩＤをユーザＩＤから類推されないＩＤとしたもので、認証対象のユーザＩＤと、カード内に書き込むＩＣカード用ユーザＩＤを同じにしても構わない。
【００３８】
次に、ユーザがシングルサインオンするための登録について、図１２を用いて説明する。
シングルサインオンするための登録とは、コンテンツサーバがコンテンツサーバ用情報格納領域ヘユーザの個人情報（ユーザＩＤ）を登録することを表す。
ここでは、クライアント端末４０１の認証状態がコンテンツサーバ７０１に格納されていることを前提としている。
クライアント端末４０１のシングルサインオン登録処理要求部４２１は、コンテンツサーバ７０１のシングルサインオン登録処理受付部７２０に対して、シングルサインオン登録処理を要求する。
そして、シングルサインオン登録処理開始部７２１において、シングルサインオンの登録が開始される。
ＩＣカード用ユーザＩＤ作成部７２２は、ＩＣカード用ユーザＩＤを新規に作成し、ユーザ管理ＤＢ７０３に登録する。
ここで、図１１の説明でも述べたように、ユーザＩＤとＩＣカード用ユーザＩＤを同じにすることも可能であり、その際は、ＩＣカード用ユーザＩＤとしてユーザＩＤを再度登録する。
次に、コンテンツサーバ用情報収集部７２３は、ユーザ管理ＤＢ７０３から認証メッセージと共に提供させたいユーザの個人情報、コンテンツサーバ識別子６０６、コンテンツサーバ公開塾７０８を収集し、ＩＣカード５０１に対して送信する。
【００３９】
ＩＣカード５０１のコンテンツサーバ用情報登録受付部５２０は、コンテンツサーバ７０１からの要求を受付ける。
そして、コンテンツサーバ用情報登録開始部５２１は、個人情報登録部５２２にコンテンツサーバ７０１からの情報を引渡す。
個人情報登録部５２２は、渡された情報をコンテンツサーバ識別子に関連付けてコンテンツサーバ用情報格納領域５１５に登録する。
そして、コンテンツサーバ７０１のシングルサインオン登録処理結果受付部７２４に対して、登録処理結果返却部５２３より登録の完了を通知する。
登録処理結果受付部７２４は、ＩＣカード５０１からの登録処理結果を受け付け、シングルサインオン登録処理結果返却部７２５から、クライアント端末４０１のシングルサインオン登録処理結果受付部４２２に対し、シングルサインオン登録処理の完了を通知する。
このように、本発明方法では、コンテンツサーバ７０１がクライアント端末４０１に対し、直接ユーザのシングルサインオン登録を行うことが可能である。
さらに、ＩＣカード用ユーザＩＤのみではなく、認証メッセージと共に提供させたいユーザの個人情報を何でも登録することが可能である。
【００４０】
図１３に、ＩＣカード内での認証メッセージ作成過程の動作を示すフローチャートを示す。
このフローチャートでは、図８における認証開始過程６１２からレスポンス受付過程６１３までを詳細に示したものである。
認証サーバ６０１の認証開始部６３１において認証が開始されると、チャレンジ作成部６３２はチャレンジデータ６３６を作成する。
そして、コンテンツサーバ識別子検索部６３３は、要求されたコンテンツを持つコンテンツサーバ識別子をコンテンツサーバ管理ＤＢ６０５より検索し入手する。
そして、認証メッセージ作成要求部６３４は、チャレンジデータ６３６とコンテンツサーバ識別子と共に認証メッセージ作成要求をＩＣカード５０１に対して出す。
認証メッセージ作成要求をＩＣカード５０１内の認証メッセージ作成受付部５３１で受付けられると、認証メッセージ作成開始部５３２にて認証メッセージ作成が開始される。
【００４１】
個人情報ポリシ検索部５３３では、個人情報格納領域５１４にアクセスし、ユーザがコンテンツサーバに対して個人情報の提供を許可しているものがあるかどうか検索する。詐可されている個人情報は、個人情報収集部５３４にて収集される。
次に、コンテンツサーバ用情報収集部５３５は、コンテンツサーバ用情報格納領域５１５から、コンテンツサーバ識別子に関連付けされて登録されている情報を収集する。
更に、乱数作成部５３６は、ＩＣカード内で乱数データ５３０を作成する。
乱数作成が終わると、認証メッセージ作成部５３７は、収集したデータおよび乱数データ５３０をコンテンツサーバ公開鍵７０８により暗号化する。
そして、レスポンス作成部５３８は、この暗号化データとチャレンジデータ６３６、そしてコンテンツサーバ識別子をユーザ秘密鍵５０４で暗号化し、レスポンス返却部５３９へ提供する。
【００４２】
最後に、レスポンス返却部５３９から認証サーバ６０１のレスポンス受付部６３５に対して送信される。この際、レスポンスとともに、ユーザの公開鍵証明書を送信する。
このようにして、認証メッセージ作成要求に対してＩＣカード内で作成されたレスポンスの構造を図１４に示す。
レスポンス（５３８−Ａ）には、コンテンツサーバ識別子６０６、チャレンジ６３６、コンテンツサーバ公開鍵で暗号化された認証メッセージ（５３７−Ａ）が含まれている。
また、コンテンツサーバ公開鍵で暗号化された認証メッセージ（５３７−Ａ）には、個人情報格納領域５１４からの個人情報（５３４−Ａ）、コンテンツサーバ用情報格納領域５１５からの個人情報（５３５−Ａ）、乱数５３０が含まれている。
【００４３】
次に、図１４で示したレスポンスが認証サーバ６０１およびコンテンツサーバ７０１においてどのように処理されるかを表すフローチャートを図１５に示す。
このフローチャートは、図８における認証サーバ６０１のレスポンス受付過程６１３からコンテンツサーバ７０１のコンテンツ返却処理過程７１３までを詳細に示したものである。
認証サーバ６０１のレスポンス受付部６４１に、ＩＣカード５０１からのレスポンスおよびユーザの公開鍵証明書が届くと、レスポンス検証開始部６４２から、レスポンスの検証が開始される。
まず、レスポンス復号化部６４３は、ユーザ公開鍵証明書５０５が信頼するＣＡの発行したものであるかどうか検証し、それを用いてレスポンスを復号化する。
レスポンス検証部６４４では、復号化されたデータをコンテンツサーバ識別子６０６、チャレンジ６３６、コンテンツサーバ公開鍵で暗号されたデータ（５３７−Ａ）に分類する。
そして、認証ＤＢ６０３とクライアント端末４０１に送信したチャレンジデータ６３６を用いて検証し、認証状態格納部６４５において認証状態を認証状態管理ＤＢ６０４に格納する。
【００４４】
次に、認証メッセージ格納部６４８では、暗号化されたままの認証メッセージをコンテンツサーバ識別子と対応付けて認証状態管理ＤＢ６０４に格納する。
そして、認証メッセージ配送先検索部６４６で、コンテンツサーバ管理ＤＢ６０５から、図１３のコンテンツサーバ識別子６０６を用いて配送先ＵＲＬを検索する。
最後に、認証メッセージ配送部６４７から認証メッセージ受付部７４１に向けて、認証メッセージが配送される。
コンテンツサーバ７０１は、認証メッセージ受付部７４１で認証メッセージを受付けると、それを認証メッセージ復号化部７４２でコンテンツサーバ秘密鍵７０９により復号化する。
そして、認証処理部７４３により、ユーザ管理ＤＢ７０３を用いてＩＣカード用ユーザＩＤをユーザＩＤに変換し、認証状態格納部７４４にて認証状態を認証状態管理ＤＢ７０４に格納する。
最後に、コンテンツ返却部７４５から、認証メッセージとともに送信されてきた、ユーザから要求されたコンテンツが返却する。
【００４５】
［実施の形態３］
本発明の実施の形態３は、エージェント型方式で認証サーバがユーザを特定する場合の実施の形態である。
エージェント型方式で認証サーバ６０１がユーザを特定する場合の実施の形態は、リバースプロキシ型方式で認証サーバ６０１がユーザを特定する場合の説明と共通する点が多い。
そこで、以下の点は省略する。
・認証サーバ６０１が管理するデータベース（図１０）
・コンテンツサーバ７０１の持つデータベース（図１１）
・コンテンツサーバ７０１がコンテンツサーバ用情報格納領域５１５ヘユーザの個人情報を登録する動作フローチャート（図１２）
・ＩＣカード内の認証メッセージ作成フローチャート（図１３）
・ＩＣカード内で作成されるレスポンスの構造（図１４）
・認証サーバ６０１でのレスポンスの検証およびコンテンツサーバでの認証メッセージの検証（図１５）
【００４６】
図１７は、本実施の形態の多目的カードを利用したエージェント型シングルサインオン認証システムの概略構成を示す模式既念図である。
図１７において、図７と異なる点は、コンテンツサーバ７０１がクライアント端未４０１から直接アクセス可能に構成されていることである。
図１８に、本実施の形態における、シングルサインオン動作を示すフローチャートを示す。
なお、図１８では、認証サーバ６０１にコンテンツサーバ７０１への認証状態が格納されていない場合を仮定している。
認証サーバ６０１は、クライアント端末４０１のコンテンツ要求過程４１１からのコンテンツ要求を認証処理受付過程６１１において受付ける。
認証処理受付過程６１１がコンテンツ要求を受けると、認証開始過程６１２が呼び出される。そして、認証状態検査過程６１９において、コンテンツサーバ７０１への認証状態の有無を確認する。
同図の仮定では認証状態が格納されていないため、ＩＣカード５０１に対してチャレンジとコンテンツサーバ７０１のコンテンツサーバ識別子と共にＩＣカード認証要求を出す。
【００４７】
これが、ＩＣカード５０１のＩＣカード認証受付過程５５１で受付けられると、ＩＣカード認証開始過程５５２により認証が開始される。
ユーザが、ＩＣカード５０１のＰＩＮコードを入力すると、ＩＣカード認証開始過程５５２は、コンテンツサーバ用の認証メッセージの作成要求を行い、認証メッセージ作成過程５１３が呼び出される。
認証メッセージ作成過程５５３は、コンテンツサーバ７０１の公開鍵で暗号化したコンテンツサーバ７０１用の認証メッセージを作成する。
そして、レスポンス作成過程５５４は、認証サーバ６０１のチャレンジに対するレスポンスを作成する。
このレスポンスには、暗号化された認証メッセージとコンテンツサーバ識別子も含まれている。
レスポンス送信過程５５５により送信されたレスポンスと、認証サーバ用ユーザＩＤは、認証サーバ６０１のレスポンス受付過程６１３で受付けられ、レスポンス検証過程６１４に渡される。
そして、レスポンス検証過程６１４は、クライアント端末４０１のレスポンスを検証し、クライアント端末４０１の認証状態を格納する。
【００４８】
ここで、クライアント端末４０１の公開鍵証明書の取得方法については、ＩＣカード内に格納しておき、レスポンスと共に送信する方法や、リポジトリを用意する方法などが考えられるが、特に限定しない。
次に、認証メッセージ配送過程６１５は、レスポンスに含まれていたコンテンツサーバ識別子から暗号化された認証メッセージの配送先を検索し、コンテンツサーバ７０１の認証メッセージ受付過程７１１に対して、認証メッセージを送信する。
コンテンツサーバ７０１は、認証メッセージを受付けると、認証メッセージ処理過程７１２において、コンテンツサーバ７０１の秘密鍵で復号化し認証メッセージ内に含まれたユーザ識別子を確認後、クライアント端末４０１の認証状態を格納する。
そして、コンテンツ返却処理過程７１３より、クライアント端末４０１のコンテンツ返却受付過程４１２に対して、認証メッセージとともに送信されてきた、ユーザから要求されたコンテンツが返却される。
リバースプロキシ型方式と大きく異なる点は、コンテンツサーバ７０１がクライアント端末４０１の認証状態を格納すれば、以後、クライアント端末とコンテンツサーバ７０１がコンテンツ要求および返却を行うことである。
【００４９】
［実施の形態４］
本発明の実施の形態４は、エージェント型方式で、認証サーバにユーザの匿名性を持たせる場合の実施の形態である。
エージェント型方式で認証サーバ６０１にユーザの匿名性を待たせる場合の実施の形態は、リバースプロキシ型方式で認証サーバ６０１にユーザの匿名性を持たせる場合の説明と共通する点が多い。
また、本実施の形態に使用するユーザの公開鍵証明書には、ユーザの特性に繋がる住所・氏名・性別等の情報を記載しない点についても、リバースプロキシ型方式で認証サーバ６０１にユーザの匿名性を持たせる場合と同様である。
そこで、以下の点は省略する。
・認証サーバ６０１が管理するデータベース（図１６）
・コンテンツサーバ７０１の持つデータベース（図１１）
・コンテンツサーバ７０１がコンテンツサーバ用情報格納領域５１５ヘユーザの個人情報を登録する動作フローチャート（図１２）
・ＩＣカード内の認証メッセージ作成フローチャート（図１３）
・ＩＣカード内で作成されるレスポンスの構造（図１４）
・認証サーバ６０１でのレスポンスの検証およびコンテンツサーバ７０１での認証メッセージの検証（図１５）
【００５０】
本実施の形態のシステム構成は、前述の図１７と同じである。以下、図１７を用いて本実施の形態について説明する。
図１７において、図７と異なる点は、コンテンツサーバ７０１がクライアント端末４０１から直接アクセス可能な構成されていることである。
本実施の形態における、シングルサインオン動作を図１８を用いて説明する。なお、図１８では、認証サーバ６０１にコンテンツサーバ７０１への認証状態が格納されていない場合を仮定している。
認証サーバ６０１は、クライアント端末４０１のコンテンツ要求過程４１１からのコンテンツ要求を認証処理受付過程６１１において受付ける。
認証処埋受付過程６１１が、コンテンツ要求を受けると、認証開始過程６１２が呼び出される。そして、認証状態検査過程６１９において、コンテンツサーバ７０１への認証状態の有無を確認する。
同図の仮定では、認証状態が格納されていないため、ＩＣカード５０１に対して、チャレンジと、コンテンツサーバ７０１のコンテンツサーバ識別子とともに、ＩＣカード認証要求を出す。
【００５１】
これが、ＩＣカード５０１のＩＣカード認証受付過程５５１で受付けられると、ＩＣカード認証開始過程５５２により認証が開始される。
ユーザが、ＩＣカード５０１のＰＩＮコードを入力すると、ＩＣカード認証開始過程５５２は、コンテンツサーバ用の認証メッセージの作成要求を行い、認証メッセージ作成過程５１３が呼び出される。
認証メッセージ作成過程５５３は、コンテンツサーバ７０１の公開鍵で暗号化したコンテンツサーバ７０１用の認証メッセージを作成する。
そして、レスポンス作成過程５５４は、認証サーバ６０１のチャレンジに対するレスポンスを作成する。このレスポンスには、暗号化された認証メッセージと、コンテンツサーバ識別子も含まれている。
レスポンス送信過程５５５により送信されたレスポンスおよびユーザの公開鍵証明書は、認証サーバ６０１のレスポンス受付過程６１３で受け付けられ、レスポンス検証過程６１４に渡される。
【００５２】
そして、レスポンス検証過程６１４は、クライアント端末４０１のレスポンスを検証し、クライアント端末４０１の認証状態を格納する。
なお、このレスポンス検証では、レスポンスに、認証サーバ６０１がユーザを特定するためのユーザＩＤは含まれていない。
認証サーバ６０１は、レスポンスと共に送信されたユーザの公開鍵証明書が、信頼するＣＡの発行したものであるかどうか、およびレスポンスの復号化によるチャレンジの検証を行う。
次に、認証メッセージ配送過程６１５は、レスポンスに含まれていたコンテンツサーバ識別子から暗号化された認証メッセージの配送先を検索し、コンテンツサーバ７０１の認証メッセージ受付過程７１１に対して、認証メッセージを送信する。
【００５３】
コンテンツサーバ７０１は、認証メッセージを受付けると、認証メッセージ処理過程７１２において、コンテンツサーバ７０１の秘密鍵で復号化し、認証メッセージ内に含まれるユーザ識別子を確認後、クライアント端末４０１の認証状態を格納する。
そして、コンテンツ返却処理過程７１３より、クライアント端末４０１のコンテンツ返却受付過程４１２に対して、認証メッセージとともに送信されてきた、ユーザから要求されたコンテンツが返却される。
リバースプロキシ型方式と大きく異なる点は、コンテンツサーバ７０１がクライアント端末４０１の認証状態を格納すれば、以後クライアント端未とコンテンツサーバ７０１がコンテンツ要求および返却を行うことである。
以上、本発明者によってなされた発明を、前記実施の形態に基づき具体的に説明したが、本発明は、前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【００５４】
【発明の効果】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
（１）本発明によれば、ユーザが、多目的ＩＣカード内に一元的に管理された個人情報を、複数のサービス提供者に対して、秘匿性を維持して提供することが可能となる。
（２）本発明によれば、ユーザが、ポリシに従い一元的に管理された個人情報を、複数のサービス提供者に対し秘匿性を維持して提供することが可能となる。
（３）本発明によれば、認証サーバが、ユーザ一人一人が各コンテンツサーバで利用している個人情報を管理する必要がなくなり、データベースの保守・運用に関わるコストを大幅に軽減することが可能となる。
【００５５】
（４）本発明によれば、認証サーバでの認証時に、公開鍵証明書が信頼するＣＡから発行されたものであるか検証を行うのみにすることで、認証サーバにおいてユーザの匿名性を有してコンテンツサーバにシングルサインオンすることが可能となる。
（５）本発明によれば、認証サーバを介さずして、コンテンツサーバが直接ユーザのＩＣカードに個人情報を書き込むことが可能となり、シングルサインオンの登録処理を簡略化することが可能となる。
（６）本発明によれば、認証サーバが全く名寄せ不可能な条件下でのシングルサインオン機構を実現することが可能となり、多種多様なサービス提供者が多目的ＩＣカードを用いた確実な本人認証と複数のサービスを連携するとともに、ユーザの利便性も向上させることが可能となる。
【図面の簡単な説明】
【図１】従来のリバースプロキシ型シングルサインオン機能を実現するためのシステムの概略構成を示す模式概念図である。
【図２】従来のエージェント型シングルサインオン機能を実現するためのシステムの概略構成を示す模式概念図である。
【図３】図１、図２に示すシステムにおける、従来のシングルサインオン機構の動作を説明するためのフローチャートである。
【図４】本発明の各実施の形態で使用される多目的ＩＣカード内部の概略構成を示す図である。
【図５】図４に示す各オンカードアプリケーションプログラムの利用権限および格納された情報に対するアクセス制御を示す図である。
【図６】図４に示す多目的ＩＣカードに格納される情報および個人格納領域に対するユーザのポリシ設定を説明するための図である。
【図７】本発明の実施の形態１、２の、多目的ＩＣカードを利用したリバースプロキシ型シングルサインオン認証システムの概略構成を示す模式概念図である。
【図８】本発明の実施の形態１、２のシングルサインオン動作の一例を説明するためのフローチャートである。
【図９】本発明の実施の形態１、２のシングルサインオン動作の他の例を説明するためのフローチャートである。
【図１０】本発明の実施の形態１の認証サーバが管理するデータベースの構造を示す図である。
【図１１】本発明の実施の形態１のコンテンツサーバが管理するデータベースの構造を示す図である。
【図１２】本発明の実施の形態１のコンテンツサーバが、多目的ＩＣカードのコンテンツサーバ用情報格納領域へ情報を登録する動作を説明するためのフローチャートである。
【図１３】本実施の形態１のＩＣカードが、ＩＣカード内での認証メッセージ作成過程を説明するためのフローチャートである。
【図１４】本発明の実施の形態１において、ＩＣカード内で作成されるレスポンスの構造を説明するための図である。
【図１５】本実施の形態１の認証サーバでのレスポンス処理、およびコンテンツサーバでの認証メッセージの処理を説明するためのフローチャートである。
【図１６】本発明の実施の形態２の認証サーバが管理するデータベースの構造を示す図である。
【図１７】本発明の実施の形態３、４の、多目的ＩＣカードを利用したエージェント型シングルサインオン認証システムの概略構成を示す模式概念図である。
【図１８】本発明の実施の形態３、４のシングルサインオン動作を説明するためのフローチャートである。
【符号の説明】
１０１，４０１…クライアント端末、１０２，２０２，３０２，４０２，５０２，６０２，７０２…処理プログラム、２０１，６０１…認証サーバ、２０３，６０３…認証データベース、２０４，３０４，６０４，７０４…認証状態管理データベース、２０５…共用個人情報データベース、３０１，７０１…コンテンツサーバ、３０３，７０３…ユーザ管理データベース、３０５，７０５…ＷＷＷコンテンツ、５００…ＩＣカードＲＷ、５０１…多目的ＩＣカード、５０３…サービスドメイン、５０４…ユーザ秘密鍵、５０５……ユーザ公開鍵証明書、５１１…個人情報管理アプリケーションプログラム、５１２…コンテンツサーバ管理アプリケーションプログラム、５１３…認証メッセージ作成アプリケーションプログラム、５１４…個人情報格納領域、５１５…コンテンツサーバ用情報格納領域、５３０…乱数、５３４−Ａ…個人情報格納領域からの個人情報、５３５−Ａ…コンテンツサーバ用情報格納領域からの個人情報、５３７−Ａ…暗号化された認証メッセージ、５３８−Ａ…多目的ＩＣカード内で作成されたレスポンス、６０５…コンテンツサーバ管理データベース、６０６…コンテンツサーバ識別子、６３６…チャレンジ。

Claims (20)

1. ユーザから指示に基づきコンテンツ要求を発行するクライアント端末と、
   前記クラインアント端末とネットワークを介して接続され、要求に応じてユーザの認証を行う認証サーバと、
   前記認証サーバと接続され、前記クライアント端末に対してコンテンツを提供するコンテンツサーバとを備えるネットワークシステムあって、
   前記クライアント端末は、多目的ＩＣカードの書込・読取り手段を備え、
   前記多目的ＩＣカードは、ユーザの個人情報を格納する格納手段１１と、
   前記格納手段に格納された個人情報を前記コンテンツサーバに送信する際に、その個人情報を暗号化して送信する手段１２とを備えることを特徴とするネットワークシステム。
2. ユーザからの指示に基づきコンテンツを要求するクライアント端末と、
   前記クラインアント端末とネットワークを介して接続され、要求に応じてユーザの認証を行う認証サーバと、
   前記クライアント端末および前記認証サーバとネットワークを介して接続され、前記クライアント端末に対してコンテンツを提供するコンテンツサーバとを備えるネットワークシステムあって、
   前記クライアント端末は、多目的ＩＣカードの書込・読取り手段を備え、
   前記多目的ＩＣカードは、ユーザの個人情報を格納する格納手段１１と、
   前記格納手段に格納された個人情報を前記コンテンツサーバに送信する際に、その個人情報を暗号化して送信する手段１２とを備えることを特徴とするネットワークシステム。
3. 前記ユーザの個人情報を、前記コンテンツサーバが管理する個人情報Ａと、前記ユーザ自身が管理する個人情報Ｂとに区別し、
   前記個人情報Ａと個人情報Ｂとを、前記多目的ＩＣカードの格納手段１１のそれぞれ別々の領域に格納することを特徴とする請求項１または請求項２に記載のネットワークシステム。
4. 前記コンテンツサーバは、前記個人情報Ａを、前記コンテンツサーバの公開鍵とともに、コンテンツサーバ識別子に関連付けて、コンテンツサーバ自身が前記多目的ＩＣカード内に格納する手段３２を備えることを特徴とする請求項３に記載のネットワークシステム。
5. 前記個人情報Ｂには、前記ユーザが設定した前記複数のコンテンツサーバに対するポリシが設定されていることを特徴とする請求項４に記載のネットワークシステム。
6. 前記多目的ＩＣカードは、乱数データを生成する手段１３を備え、
   前記多目的ＩＣカードの手段１２は、前記個人情報として、前記ユーザのポリシによって提供が許可されている個人情報Ｂと、前記コンテンツサーバが管理する個人情報Ａと、前記手段１３で生成された乱数データとをひとまとめにした認証メッセージを作成し、当該認証メッセージを、前記コンテンツ提供先のコンテンツサーバの公開鍵で暗号化して、前記コンテンツ提供先のコンテンツサーバに送信することを特徴とする請求項５に記載のネットワークシステム。
7. 前記認証サーバは、前記多目的ＩＣカードに対して、チャレンジとコンテンツサーバ識別子とともに、シングルサインオンに必要な認証メッセージの作成要求を行う手段２２を備え、
   前記多目的ＩＣカードの手段１２は、前記認証サーバからの認証メッセージ作成要求に対して、前記コンテンツ提供先コンテンツサーバの公開鍵で暗号化された認証メッセージと、前記認証サーバが送信したチャレンジおよびコンテンツサーバ識別子をひとまとめにしたレスポンスを作成し、当該レスポンスを、前記ユーザの秘密鍵で暗号化して、前記認証サーバに対して送信することを特徴とする請求項６に記載のネットワークシステム。
8. 前記認証サーバは、コンテンツサーバを識別するためのコンテンツサーバ識別子と、当該コンテンツサーバ識別子で特定されるコンテンツサーバの送信先情報とを対応づけて格納する格納手段２１を備え、
   前記認証サーバは、前記多目的ＩＣカードから送信されたレスポンスを、前記ユーザの公開鍵で復号し、当該レスポンス内のコンテンツサーバ識別子に基づき前記格納手段２１を検索し、前記コンテンツ提供先コンテンツサーバの公開鍵で暗号化された認証メッセージを、前記コンテンツ提供先コンテンツサーバに送信するとともに、前記コンテンツ提供先コンテンツサーバの公開鍵で暗号化された認証メッセージを格納手段２１に格納する手段２３を備えることを特徴とする請求項７に記載のネットワークシステム。
9. 前記コンテンツサーバは、前記認証サーバから送信された認証メッセージを前記コンテンツサーバの秘密鍵で復号し、個人情報を格納手段３１に格納する手段３３を備えることを特徴とする請求項８に記載のネットワークシステム。
10. 前記認証サーバは、認証サーバが信頼するＣＡの公開鍵証明書を有するユーザであるかの検証により、前記ユーザの認証を行うことを特徴とする請求項１ないし請求項１０のいずれか１項に記載のネットワークシステム。
11. ユーザからのコンテンツ要求を発行するクライアント端末と、
    前記クラインアント端末とネットワークを介して接続され、要求に応じてユーザの認証を行う認証サーバと、
    前記認証サーバと接続され、前記クライアント端末に対してコンテンツを提供するコンテンツサーバとを備えるネットワークシステムにおける個人情報の送信方法であって、
    前記クライアント端末は、多目的ＩＣカードの書込・読取り手段を備え、
    前記多目的ＩＣカード内にユーザの個人情報を格納しておき、前記多目的ＩＣカードが、当該個人情報を暗号化して、前記コンテンツサーバに送信することを特徴とする個人情報送信方法。
12. ユーザからの指示に基づきコンテンツを要求するクライアント端末と、
    前記クラインアント端末とネットワークを介して接続され、要求に応じてユーザの認証を行う認証サーバと、
    前記クライアント端末および前記認証サーバとネットワークを介して接続され、前記クライアント端末に対してコンテンツを提供するコンテンツサーバとを備えるネットワークシステムにおける個人情報の送信方法であって、
    前記クライアント端末は、多目的ＩＣカードの書込・読取り手段を備え、
    前記多目的ＩＣカード内にユーザの個人情報を格納しておき、前記多目的ＩＣカードが、当該個人情報を暗号化して、前記コンテンツサーバに送信することを特徴とする個人情報送信方法。
13. 前記ユーザの個人情報を、前記コンテンツサーバが管理する個人情報Ａと、前記ユーザ自身が管理する個人情報Ｂとに区別し、
    前記個人情報Ａと個人情報Ｂとを、前記多目的ＩＣカードのそれぞれ別々の領域に格納することを特徴とする請求項１１または請求項１２に記載の個人情報送信方法。
14. 前記多目的ＩＣカードが、前記個人情報として、前記ユーザのポリシによって提供が許可されている個人情報Ｂと、前記コンテンツサーバが管理する個人情報Ａと、前記多目的ＩＣカード内で作成した乱数データをひとまとめにした認証メッセージを作成し、当該認証メッセージを、前記コンテンツ提供先のコンテンツサーバの公開鍵で暗号化して、前記コンテンツ提供先のコンテンツサーバに送信することを特徴とする請求項１３に記載の個人情報送信方法。
15. 前記認証サーバが、コンテンツサーバを識別するためのコンテンツサーバ識別子と、当該コンテンツサーバ識別子で特定されるコンテンツサーバの送信先情報とを、格納手段に対応づけて格納しておき、
    前記認証サーバが、前記多目的ＩＣカードに対して、チャレンジとコンテンツサーバ識別子とを送信して、シングルサインオンに必要な認証メッセージの作成要求を行い、
    前記多目的ＩＣカードが、前記認証サーバからの認証メッセージ作成要求に応じて、前記認証サーバから送信された識別子で特定されるコンテンツサーバの公開鍵で暗号化された前記認証メッセージと、前記認証サーバが送信したチャレンジおよびコンテンツサーバ識別子とをひとまとめにして、前記ユーザの秘密鍵で暗号化したレスポンスを、前記認証サーバに対して送信し、
    前記認証サーバが、前記多目的ＩＣカードから送信されたレスポンスを、前記ユーザの公開鍵で復号し、前記ユーザが前記認証サーバに登録された特定のユーザであるかの認証を行い、前記レスポンス内のコンテンツサーバ識別子に基づき前記格納手段を検索して、前記コンテンツ提供先コンテンツサーバの公開鍵で暗号化された認証メッセージを、前記コンテンツ提供先コンテンツサーバに送信するとともに、前記コンテンツ提供先コンテンツサーバの公開鍵で暗号化された認証メッセージを格納手段に格納することを特徴とする請求項１４に記載の個人情報送信方法。
16. 前記認証サーバが、コンテンツサーバを識別するためのコンテンツサーバ識別子と、当該コンテンツサーバ識別子で特定されるコンテンツサーバの送信先情報とを、格納手段に対応づけて格納しておき、
    前記認証サーバが、前記多目的ＩＣカードに対して、チャレンジとコンテンツサーバ識別子とを送信して、シングルサインオンに必要な認証メッセージの作成要求を行い、
    前記多目的ＩＣカードが、前記認証サーバからの認証メッセージ作成要求に応じて、前記認証サーバから送信された識別子で特定されるコンテンツサーバの公開鍵で暗号化された前記認証メッセージと、前記認証サーバが送信したチャレンジおよびコンテンツサーバ識別子とをひとまとめにして、前記ユーザの秘密鍵で暗号化したレスポンスを、前記認証サーバに対して送信し、
    前記認証サーバが、前記多目的ＩＣカードから送信されたレスポンスを、前記ユーザの公開鍵で復号し、前記ユーザが、認証サーバが信頼するＣＡの公開鍵証明書を有するユーザであるかの認証を行い、前記レスポンス内のコンテンツサーバ識別子に基づき前記格納手段を検索して、前記コンテンツ提供先コンテンツサーバの公開鍵で暗号化された認証メッセージを、前記コンテンツ提供先コンテンツサーバに送信するとともに、前記コンテンツ提供先コンテンツサーバの公開鍵で暗号化された認証メッセージを格納手段に格納することを特徴とする請求項１４に記載の個人情報送信方法。
17. 前記コンテンツサーバが、前記認証サーバから送信された認証メッセージを前記コンテンツサーバの秘密鍵で復号し、個人情報を格納手段３１に格納することを特徴とする請求項１５または請求項１６に記載の個人情報送信方法。
18. 前記請求項１１ないし請求項１６のいずれか１項に記載の個人情報送信方法における、前記多目的ＩＣカードの処理を、多目的ＩＣカードのＣＰＵに実行させるためのプログラム。
19. 前記請求項１５または請求項１６に記載の個人情報送信方法における、前記認証サーバの処理を、コンピュータに実行させるためのプログラム。
20. 前記請求項１７に記載の個人情報送信方法における、前記コンテンツサーバの処理を、コンピュータに実行させるためのプログラム。

Images