JP2005071202A - ユーザとシステムの相互認証システム - Google Patents

Abstract

【課題】“ユーザ個人によるシステム認証”に対する有効な手段を提供すること。
【解決手段】システム管理側電子機器とユーザ側端末機器とをインターネットを含む通信回線を介して接続し、システム側電子機器に組込んだ記録媒体によるシステム認証情報およびユーザ操作の端末機器の個人入力操作による個人認証情報を使用して、ユーザ個人とアクセス対象のシステム管理側電子機器とを相互に認証することを特徴とする。ユーザとシステムの相互認証システムにおいて、一組はユーザの前記個人認証情報を示す個人認証用データ、他の一組はシステム認証情報を示すサーバ認証用データとして、２組の認証用データを登録設定し、サーバ認証用データによるサーバ側認証と、ユーザの個人認証用データによるユーザ側認証とを交互に実施することを特徴とする。
【選択図】図２

Description

本願発明は、ユーザとシステムの相互認証システムに関するものである。例えば、システム管理側電子機器とユーザ側端末機器とをインターネットを含む通信回線を介して接続したシステム管理機器（データ管理センター、販売管理センター、電子取引・情報取出しのサーバ等）において、利用者の認証システムに関するものである。

認証システムに関して、記録媒体を使用したパスワード認証、およびバイオメトリックス認証が公知である。
前記のパスワード認証は、認証方式としてシステム的には簡便であり現在広く使用されている。この方式を認知心理学の観点から分類すると、意味の無い記号記憶や経験を伴わない記憶である“意味記憶”を、脳の記憶貯蔵情報の中から“検索”して“再生”する方式であると言える。
しかしパスワードの問題点として既に知られているように、意味の無い記号や、経験を伴わない意味記憶を再生するのは、人間特に老人などの記憶力の低下した場合には困難であり、再生ミスを犯しやすい。
これらの避けるために、生年月日をパスワードにする等を代表例として単なる数字や記号を意味記憶に変換して記憶することがよく行われるが、数字を意味記憶にする事例は生年月日など一般の人にとっては極めて限られており、他人による本人成りすましの被害を招きやすい。
また、パスワードを盗まれた場合の被害を最小限に留めるためには、認証媒体毎にパスワードを変えることが望ましいが、認証媒体に対応したパスワードの記憶想起再生は困難であり、メモ等をする結果、盗難にあった場合は全てノパスワードが盗まれる事態を招くことになる。

後者のバイオメトリックス認証は、本人固有の生理的由来の情報と言われており、決して忘れたり無くしたりすることが無いという利点を有する。しかし本人の唯一の情報であるために記録媒体毎に認証本人情報を変えることができない。そのために認証媒体毎に認証本人情報を変えることができない。そのために認証本人情報を盗まれた場合には、全ての認証媒体が被害を受けることとなり、更にそれに代わる本人情報を作ることは非常に困難である等の問題点がある。
また、生理的情報を読取るための入力装置が新たに必要である。更に入力情報が入力読取り環境で変化し、本人であるにも関らず本人と認証されない、いわゆる本人拒否率が一定の確率で発生する問題点がある。更に、確率を下げるためにチェックのバリヤーを低くすると他人による本人成りすましの確率が上昇する。本人拒否率と他人による本人成りすまし確率とはトレードオフの関係が避けられない問題点がある。

記録媒体を使用した個人認証方法および記録媒体を使用した個人認証システムにおいて、前者のパスワード認証の問題点を解消すべく、本人情報の記憶を容易にするとともに、他人による本人成りすましを困難にすることを課題とし、更に、後者のバイオメトリックス認証の問題点を解消すべく、記録媒体毎に認証本人情報を変更可能とするとともに、認証情報の入力読取機構を簡素化し、且つ、本人拒否率を低減および他人による本人成りすましに対するバリヤーを高めることを目的とした発明を、特願２００２−２５１１０号として本願発明者は出願している。
該先願発明は、画像活用型個人認証システムの技術であって、パスワード認証、およびバイオメトリックス認証に変えて、画像情報を認証手段としている。

個人認証システムは、ユーザ側のみを対象として、システム側が“なりすましユーザ”を排除して、正規のユーザのみを認証し受け入れるものである。
しかし、ネット犯罪が増加する中で、システム側によるユーザ認証だけでは不十分で、ユーザ側によるシステム認証も必要であるとの認識が強くなってきた。既に、ユーザ所有・管理下の端末がシステムを認証するということは行われている。しかし、ユーザ個人が端末を信用できない環境のもとで、端末に頼らないで直接システムを認証する“ユーザ個人によるシステムの認証”技術として有効なものは存在していない。

特願２００２−２５１１０号

よって、本願発明は、“ユーザ個人によるシステム認証”に対する有効な手段を提供することを課題とする。
更に、先願発明の画像活用型個人認証システム手法と統合した有機的で全体的な「人とシステムの相互認証」の技術を得ることを課題とする。

本発明は、システム管理側電子機器とユーザ側端末機器とをインターネットを含む通信回線を介して接続し、システム側電子機器に組込んだ記録媒体によるシステム認証情報およびユーザ操作の端末機器の個人入力操作による個人認証情報を使用して、ユーザ個人とアクセス対象のシステム管理側電子機器とを相互に認証することを特徴とする、ユーザとシステムの相互認証システムにおいて、一組はユーザの前記個人認証情報を示す個人認証用データ、他の一組はシステム認証情報を示すサーバ認証用データとして、２組の認証用データを登録設定し、サーバ認証用データによるサーバ側認証と、ユーザの個人認証用データによるユーザ側認証とを交互に実施することを特徴とする、ユーザとシステムの相互認証システムを提供する。

本願発明は、人とシステムの相互認証とすることで、“なりすましユーザ”を排除して、正規のユーザのみを認証してシステム管理側（サーバ）が受け入れるシステム側によるユーザ認証に加えて、ユーザ側によるシステム認証も同時に行い、情報漏洩に対する対策を強化するものである。
また、ユーザ所有・管理下の端末に限定されることなく、ユーザ個人が端末を信用できない環境のもとで、端末に頼らないで直接システムを認証する“人（ユーザ個人）によるシステムの認証”技術として有効なものである。

本願発明の好適な実施例においては、システム管理側の電子機器とユーザ側電子機器（端末機器）とをインターネットを含む通信回線を介して接続し、システム管理側の電子機器に組込んだ記録媒体によるシステム認証情報および個人認証側の端末機器の個人入力操作による個人認証情報を使用して、個人とアクセス対象のシステム管理電子機器とを、相互に認証する。
上記の、個人認証と認証管理側の認証との相互認証にあたり、一組は個人認証用データ、他の一組はシステム認証データとして、相互認証用に複数個の２種類の照合シンボルを登録設定し、前記２種類の照合シンボルについて、少なくとも、個人認証用データは、画像活用型照合シンボルとし、認証管理電子機器のシステム認証用データによるシステム管理電子機器の認証と、ユーザ認証用データによるユーザ個人認証とを交互に実施することを特徴とする、システム管理側認証とユーザ個人認証との相互認証システムを提供する。
画面・画像活用型の個人認識技術では「システムと人が視覚対象（シンボル）の記憶を共有していること」をシステム側が判断・確認する。同じような視覚対象記憶の共有を人が判断・確認すれば人によるシステムの認証になる。
相互認証用に照合シンボルの登録設定をする時に２種類のシンボルを登録する（同数とするのが好ましい）。
１組は個人認証用データ、もう１組は「人によるシステム認証」のためのサーバ認証用である。
同一画面から２組を連続的に選択・登録してもよいし、それぞれ別の画面から登録してもよい。サーバ認証用に限っては既存の認証用画面からではなく、他のところから全く別個のシンボル１組（漢字を含み視覚的な対象で、難しい記憶の「再生」によらずもっと容易な「再認」で確認できるものであれば何でも）を持ってきてもよい。

以下、図面を参照して実施例にもとづいて本願発明を詳細に説明する。
図１を参照して、ユーザ側の端末機器（クライエント端末）１とサーバ側電子機器（ウエブサーバ）２とをインターネット３を介して接続する。
ユーザ端末機器１は、表示装置11、入力装置12およびコンピュータ10を有し、サーバ側電子機器２は、表示装置21、入力装置22およびコンピュータ20を有する。

ユーザ側端末機器1のコンピュータ10は、記憶装置13、および認証信号発生出力装置14としての機能を具備する。サーバ側電子機器２のコンピュータ20は、記憶装置23、比較判別装置25および認証信号発生出力装置24としての機能を具備する。

ユーザ側端末機器（クライアント端末）１の表示装置1には、
システムによるユーザ認証用画像：ユーザ認証シンボルＵＰＳを選択するためのＵＰＳ集合（Ｋ）と、ユーザによるシステム認証用画像：システム認証シンボルＳＰＳとを表示する。
実施例においては、ユーザ認証シンボルＵＰＳおよびシステム認証シンボルＳＰＳをともに画像活用型照合シンボルとした。

図２は、ユーザ側端末機器（クライアント端末）１の表示装置1の画面を示し、ａ図は認証準備段階を示し、画面の右下にＵＰＳ集合（Ｋ）［ユーザ認証シンボルＵＰＳを含む１６個のシンボル群］を表示している。
ｂ図は、第１回認証段階を示し、画面の右下のＵＰＳ集合（Ｋ）［ユーザ認証シンボルＵＰＳを含む１６個のシンボル群］に加えて、左上に1個のシステム認証シンボルＳＰＳ：「Ａ1」を表示している。
ｃ図は、第２回認証段階を示し、ｂ図に比較して、１個のシステム認証シンボルＳＰＳ：「Ａ２」を追加して、左上に２個のシステム認証シンボルＳＰＳ：「Ａ1」「Ａ２」を表示している。
ｄ図は、第Ｎ回認証段階（最終認証段階）を示し、左上にＮ個のシステム認証シンボルＳＰＳ：「Ａ1」「Ａ２」・・・・「Ａｎ」を表示している。

図３ないし図６を参照して、アクセス・認証手順を説明する。

図３を参照して、認証準備段階において、
ａ： 例えば他人管理下にある、認証不明の端末Ｔからユーザ個人Ｕがアクセス（01）を試みる。
ｂ： ステップＳ１により、ＰＫＩ等の暗号使用機器認証技術によってサーバＳが端末Ｔを認証する。
ｃ： サーバＳよりユーザ個人Ｕにユーザ認証用シンボルＵＳＰを選択するためのシンボル集合Ｋを送信する（03）。
ｄ： 前記シンボル集合Ｋを、ユーザ個人側の端末機器1の表示装置の画面1‘に表示する（04）。

図４を参照して、第１回認証段階において、
ａ：サーバＳよりユーザ認証側の端末Ｔへ、システム認証用パスシンボル（ＳＰＳ）の第１回認証用：「A1」を送信（11）する。
ｂ： ユーザ側端末機器1の表示装置の画面1'の左上に「Ａ1」を表示（12）する。
ｃ： ステップＳ11により、ユーザによって、“システム認証用パスシンボル（ＳＰＳ）の第１回認証用：「A1」を、端末Ｔで認証する。--第１回システム認証--
ｄ： ユーザにより、表示装置の画面1'の右下の「シンボル集合Ｋ」の中から、第１回ユーザ認証用シンボル「Ｂ1」を選択、送信（13）する。
ｅ： ステップＳ12により、システムによって、“ユーザ認証用パスシンボル（ＵＰＳ）の「Ｂ1」”について第１回ユーザ認証する。--第１回ユーザ認証--
ステップＳ２の成立により、第１回相互認証は完了する。

図５を参照して、第２回認証段階において、
ａ：サーバＳよりユーザ認証側の端末Ｔへ、“システム認証用パスシンボル（ＳＰＳ）の第２回認証用：「Ａ2」を送信（21）する。
ｂ： ユーザ側端末機器1の表示装置の画面1'の左上に「Ａ2」を追加表示（22）する。
ｃ： ステップＳ21により、ユーザによって、“システム認証用パスシンボル（ＳＰＳ）の第２回認証用：「Ａ2」を、端末Ｔで認証する。--第２回システム認証--
ｄ： ユーザにより、表示装置の画面1'の右下の「シンボル集合C」の中から、第２回ユーザ認証用シンボル「Ｂ２」を選択、発信（23）する。
ｅ： ステップＳ22により、システムによって、“ユーザ認証用パスシンボル（ＵＰＳ）の「Ｂ2」”について第２回ユーザ認証する。--第２回ユーザ認証--
ステップＳ３の成立により、第２回相互認証は完了する。

以下同様に、Ｎ−1回まで相互認証して、第Ｎ−1回相互認証を完了。

図６を参照して、第Ｎ回認証段階において、
ａ：サーバＳよりユーザ側端末機器1へ、“システム認証用パスシンボル（ＳＰＳ）の第２回認証用：「Ａｎ」を送信（N1）する。
ｂ： ユーザ側端末機器1の表示装置の画面1'の左上に「Ａｎ」を追加表示（N2）する。
ｅ： ステップＳｎ1により、ユーザによって、“システム認証用パスシンボル（ＳＰＳ）の第Ｎ回認証用：「Ａｎ」を、端末Ｔで認証する。--第Ｎ回システム認証--
ｆ： ユーザにより、表示装置の画面1'の右下の「シンボル集合Ｋ」の中から、第Ｎ回ユーザ認証用シンボル「Ｂｎ」を選択、送信（N3）する。
ｇ： ステップＳｎ2により、システムによって、“ユーザ認証用パスシンボル（ＵＰＳ）の「Ｂｎ」”について第Ｎ回ユーザ認証する。--第Ｎ回ユーザ認証--
ステップＳｎ2の成立により、第Ｎ回相互認証は完了する。

第Ｎ回相互認証の完了により、“認証成立“（例えば電子取引のための電子機器への接続許可）となる。

上記の認証にあたり、サーバ側電子機器２のコンピュータ20の記憶装置23および比較判別装置25の機能により、記録装置に登録されているシステム認証シンボルＳＰＳから、端末からのＩＤに対応するもの「Ａ1」を発信するとともに、端末からのユーザ認証シンボルＵＰＳ：「Ｂ1」とコンピュータ20の記憶装置23に記録されているユーザ認証シンボルＵＰＳＰ：「Ｂ1」との比較によりステップＳ12の認証を行なう。第２認証段階以降においても同様である。

各認証段階の不成立、成立について述べる。
認証準備段階において、「ステップＳ01」の不成立は、信頼できない端末からのデータ流出のリスクが存在することを意味する。可能であればサーバＳからその旨のメッセージを提示してサーバＳから通信を遮断する。非認証の事実をユーザＵに示しやすい視認メッセージの一種として画面を故意に乱すガーブル化等も考えられる。
第１認証段階の「ステップＳ12」の成立に対して：
ユーザＵが登録としたＳＰＳの１個が提示されることで、真正なサーバＳであると推定して、ユーザＵは手順を継続し、つぎに進む。
第１認証段階の「ステップＳ12」の不成立に対して：
何も提示されていない或いは見知らぬシンボルが提示されることで、サーバＳは模造である（端末Ｔもグル）と判断して、ユーザＵによる切断。
第１認証段階の成立に対して：
サーバＳはユーザＵから正しいＵＰＳの最初の１個を受信により、正規のサーバＵである確率の方が、成りすましＵユーザの確率よりも高いと判断して、処理続行を許し、第２認証段階に進む。

第１認証段階３が不成立（サーバＳはユーザＵから正しいＵＰＳの最初の１個を受信せず。クリックミスの可能性も考え事前にそう選択したユーザＵには２〜３回許すことも可）。成りすましユーザＵであると判断して、サーバＳによる切断。（認証画面ＫとＳＰＳの１個は成りすましユーザＵに流出してしまっている）。

第２認証段階の「ステップＳ22」において、サーバＳがＳＰＳの２個目「Ａ2」を正しくユーザＵに提示、真正サーバＳである確率は更に高くなったと判断し、つぎに進む。
サーバ認証が不成立（サーバＳが２個目「Ａ2」を正しく提示しない）、やはりサーバＳは模造であったと判断して、ユーザＵによる切断。（ＵＰＳの１個は模造サーバＳに流出してしまっている。）

第２認証段階が成立（サーバＳはユーザＵから正しいＵＰＳの２個目を受信）、正規ユーザＵとの推定を強めて処理続行し、第３認証段階に進む。

以下同様に、登録個数分の回数だけ繰り返し、最後まで正しいシンボルを相互に受信した場合に相互認証が完了する。手順の途中で正しいＳＰＳを提示できなかったサーバＳは、その時点で模造サーバＳであるとユーザＵに判断される。同様に正しいＵＰＳを選択できなったユーザＵは、その時点で成りすましユーザＵであるとサーバＳに判断される。それぞれ直ちにユーザＵにより、或いはサーバＳによる処理が中断される。

結果として、真正のサーバＳのみが正規ユーザＵのアクセスを受け入れ、正規ユーザＵのみが真正サーバＳにアクセスすることを可能とする。

模造サーバＳで正規ユーザＵを騙すことが可能と仮定すると、本発明でも成りすましユーザＵと模造サーバＳをＳＰＳ／ＵＰＳの個数分だけ（正規ユーザＵに気付かれることなく）繰返し演じることの出来た第３者は最終的に正規ユーザＵのＵＰＳを手に入れることは理論的には不可能ではない。しかし、実践的にはほぼ不可能である。これは、第１認証段階または第２認証段階が不成立となった時点で、１個乃至２個のＵＰＳを模造サーバＳに盗まれていたことに気づいたユーザは、自宅・オフィスにある信頼できる自己管理下にある認証済の端末Ｔ（ＰＫＩ等によって模造サーバＳの排除可能）から真正サーバＳにアクセスしてＳＰＳ／ＵＰＳの抹消・新規登録を行ってしまうという防衛対策が取れるからである。

本発明では、第１認証段階または第２認証段階が不成立になっても（＝他人管理下の認証不明の端末Ｔの背後には自分を騙そうとしている模造サーバＳがこれまでに盗んだＳＰＳ／ＵＰＳを持って待ち構えていると知っても）、それでもなお認証不明の端末Ｔからのアクセスを続行して試みる向こう見ずな自滅型ユーザＵまでは想定しない。

本発明の実施例において、図２の画面の右下にＵＰＳ集合（Ｋ）［１６個のユーザ認証シンボルＵＰＳ（真正および囮の集合）および左上に表示するシステム認証シンボルＳＰＳ：「Ａ1」「Ａ２」・・・を、画像情報としている。
特に、図７を参照して、実施例ではすべて「犬」の正面写真とした。システム認証シンボルＳＰＳ：「Ａ1」「Ａ２」・・・・・・、およびＵＰＳ集合（Ｋ）［１６個のユーザ認証シンボルＵＰＳ（真正および囮の集合）：ａｂｃｄｅｆｇｈｉ・・・[Ｂ1＝ａ，Ｂ2＝ｆ，Ｂ3＝ｋ・・・]を、すべて「犬」の正面で犬の種別、向きにより区別した。ユーザの記憶に従って歴史事項と関連して特定することで、紙記録その他の記憶手段を不要として、ユーザ記憶認証を確実にし第３者への漏洩を防ぐことができる。

なお、個人認証用データであるＵＰＳ集合（Ｋ）［１６個のユーザ認証シンボルＵＰＳ（真正および囮の集合）のみを画像情報とし、システム認証シンボルＳＰＳ：「Ａ1」「Ａ２」を画像情報以外（例えば、英数字情報、漢字情報）としてもよい。

上記のユーザ記憶認証に関して、下記の先願発明を適用できるものである。
本願発明の実施にあたり、本人情報につき、本人に身に覚えのある情報は、身に覚えのある知覚情報であれば何でもよい。
写真、絵、図、文字等の視覚情報、
音楽、日常的な音等の聴覚情報、
点字文字や、手による感触等の感触情報、
匂い等の臭覚情報などいずれもが使用可能である。
これらのうち，一般健康者に特に好ましいのは、視覚情報である。視覚情報は各種の知覚情報の内では人にとって識別力と記憶想起が高く好ましい。但しハンディキャツプ者にはそれ以外の、聴覚情報、感触情報が好ましい場合がある。

本願発明の第１ステップ、本人にとって見覚えのある情報を認証対象情報として登録することにある。本人の見覚えのある情報は、既に本人にとって記憶されているものであり、新たな記憶を必要としない。
これらの知覚情報の内容については何でもよいが、特に好ましくは，人、風景、動物、植物、ペット、趣味等の日常的に長期間接している対象物に関する情報であり、長時間接することにより、記憶はより強化され、脳において長期間記憶として記憶保持、忘却し難くなる。

これらの長期記録の内で好ましいのは、少なくとも１ヶ月間以上対象物に接している対象物に関する知的情報、より好ましくは１年以上、更に好ましくは３年以上接している対象物に関する知的情報である。
更に記憶情報としては、１年以上前に接していた記憶情報が好ましく、特に好ましくは３年前の情報であり、本人の年齢により条件が異なるが、本人が見覚えの在るものであれば出来るだけ古いものが好ましい。
また、これらの知覚情報の中で好ましいものは、本人の過去の生活史や感情を伴っているエピソードである。

認知心理学では、エピソード記憶とは、特定の時間的・空間的文脈の中に位置づけることのできる出来事（エピソード）をさし、一方、意味記憶とは、例えば「くじらは哺乳類です」というような一般的な知識あるいは言語的に記述できる記憶である。
エピソード記憶の中でも、本人の感情や、生活史上重要で本人が深くかかわっている記憶が忘れにくいという点でより好ましい。

また本人情報は、少なくとも１単位情報、好ましくは２単位情報、特に好ましくは３単位情報以上から構成されることが望ましい。
さらに複数の単位情報で構成される場合は、その情報が本人により記憶された時代や場所が異なるものから構成されることが好ましい。
異なる情報から構成されることで、同一生活史を過ごした他者による本人なりすましに対するバリヤーを高めることが可能となる。

非本人情報「囮情報」は、本人が見覚えのない単位情報であれば何でもよい。但し本人情報と明らかに異なる情報は他者の成りすましのバリヤーを低くするので好ましくない。同一のコンセプトであるが内容の異なるものが好ましい。例えば、本人情報が顔であれば顔、風景であれば類似の年代の風景、犬であれば類似の種類の犬等である。
また、非本人情報は本人だけが違うと識別でき且つ他人は峻別できないいいものが好ましい。人はそのような能力を保持しており、例えば一卵双生児の親は、子どもたちを識別できるが、他人は識別できないことは一般的である。

それ故に、本人登録情報をデジタル化して、本人に見せながらこれを基に市販の画像補正ソフトウェアーやモーフィングソフトウェアー等でデジタル合成、デジタル修正をかけながら、ある修正点で本人は峻別可能であるが、他人には同じと見える単位情報を合成することが可能である。
本人情報と非本人情報からなる登録情報は、少なくとも１単位以上の本人情報と少なくとも１単位以上の非本人情報とから構成されることが必要である。より好ましくは、２単位以上の本人情報と４単位以上の非本人情報とから構成されることが望ましく、更に、好ましくは、２単位以上の本人情報と７単位以上の非本人情報とから構成されることが望ましい。

登録情報の本人への提示方法は、登録情報を図１のように並列提示方法あるいは単位情報を順次提示する方法のいずれでも可能である。
また、並列提示、順次提示のいずれでも、本人情報と非本人情報の位置は固定しない方法が好ましい。
当該個人認証方式において登録情報の中から、本人情報を選択したかどうかの判定は、本人情報である単位情報を選択したかどうかで判定され、本人情報を本人が再現する必要はない。

これは認知心理学の観点からすると“再認”であり、パスワード方式の必要要件である“再生”とは基本的に異なる。
“再認”の場合は本人情報を上手く選択すれば、人は似通った情報量の多い対象情報の内からでも、一瞬に本人情報を選択できる。
一方“再生”の場合は、再生できる情報量は限定されており、極めて短い言語的情報に限定さそれる。

また、本願発明の実施例においては、準備段階で“ＵＰＳ集合（Ｋ）［１６個のユーザ認証シンボルＵＰＳ（真正および囮の集合）”を端末Ｔに表示したが、各認証段階毎に表示しかつＵＰＳ選択時にのみ表示することで、ユーザＵ以外の第３者への漏洩を少なくすることもできる。また、各認証段階毎に、ＵＰＳ集合（Ｋ）の内容、配列を変えてもよいものである。

つぎに、本願発明を実施するための、ユーザ・システム相互認証の全体構成の実施例を、図８に示す。
また、図９に認証シンボル登録フェーズを示す。図９．１は、パスワード認証成功の場合を示し、図９．２は、パスワード認証失敗の場合を示す。

図８および図９において、各要素の機能概要は以下の通りである．

認証サーバS
認証クライアントTよりサーバ・端末間相互認証の要求を受け取ったら，Tとの相互認証を行なう．本システムでは，SSLによる相互認証，およびTS間の暗号化通信路確立，を行なう．
Tとの相互認証が完了したら，Tに初期画面（ユーザID入力）を送る．
TからユーザIDを受け取り，対応するユーザ用認証情報UPSをDBから取得する．同時にサーバ用認証情報SPSを取得する．
Tに，i番目のサーバ認証シンボルSPS，およびユーザ認証画面を送る．
Tから，i番目のサーバ認証シンボルSPS認証結果，およびユーザのi番目の認証シンボルUPSを受け取る．
ユーザ認証シンボルUPSのチェック．正解ならサーバ認証シンボルSPS認証結果のチェックへ．不正解なら認証シーケンス失敗（ユーザ認証失敗）の画面をTに送る．
サーバ認証シンボルSPS認証結果のチェック．正解であればi+1回目の認証シーケンスへ移行．不正解なら，認証シーケンス失敗（サーバ認証失敗）の画面をTに送る．
登録シンボル数nまでのシーケンスが全て成功したら，Tに認証成功の画面を送る．

認証クライアントT
・ ユーザUより起動されたら，認証サーバSとの相互認証を行なう．本システムでは，SSLによる相互認証，およびTS間の暗号化通信路確立，を行なう．
・ 認証サーバSから初期画面を受け取り，表示する．
UからユーザIDの入力を受け取り，Sに送信する．
・ Sからi番目のサーバ認証シンボルSPS，およびUのシンボル認証画面を受け取り，画面表示する．
・ Uからサーバ認証シンボルSPS認証結果，およびi番目のユーザ認証シンボルUPSを受け取り，Sに送信する．
・ Sから認証シーケンス失敗（ユーザまたはサーバ認証失敗）の画面が送られてきた場合，その画面を表示する．
・ Sから認証成功の画面が送られてきた場合，その画面を表示する．

登録サーバRs
・ 登録クライアントRcより，パスワード認証要求を受け取ったら，Rcにパスワード認証画面を送信する．
・ 登録クライアントRcより，認証シンボル情報登録を要求してきたユーザUのIDとパスワードを受け取り，認証する．IDとパスワードが一致したら，Rsに認証シンボル登録画面を送信する．一致しなければ，認証失敗の画面をRsに送信する．
・ RcよりUのユーザ認証シンボル情報，およびサーバ認証シンボル情報を受け取り，DBに登録する．登録完了後，Rsに登録完了をUに通知する画面を送信する．

登録クライアントRc
・ ユーザUより起動されたら，登録サーバRsとパスワード認証要求を送信する．
Rsからパスワード認証画面が送られてきた場合，その画面を表示し，UからのユーザIDおよびパスワードが入力されるのを待つ．Uの入力が完了したら，RsにユーザIDとパスワードを送信する．
・ Rsから認証シンボル登録画面が送られてきた場合，その画面を表示し，Uからの登録認証シンボル情報が入力されるのを待つ．
・ Rsから認証失敗画面が送られてきた場合，その画面を表示し，終了する．
Uからユーザ認証シンボル情報およびサーバ認証シンボル情報を受け取ったら，Rsにその情報を送信する．
・ Rsから登録完了画面を受け取ったら，その画面を表示し，終了する．

ユーザU
・ 相互認証手順を開始するために，認証クライアントTを起動する．
・ Tが初期画面を表示した時に，自分のユーザIDを入力する．
・ Tが認証サーバSのi番目の認証シンボル，およびUの認証シンボル認証画面を表示した時に，以下を実行する．
ａ.サーバ認証シンボルの正解／不正解を判定し，その結果をTに入力する．
ｂ.自分のi番目のユーザ認証シンボルを選択し，その結果をTに入力する．
・ 認証シンボル登録手順を開始するために，登録クライアントRcを起動する．
・ Rcがパスワード認証画面を表示した時に，自分のユーザID，パスワードを入力する．
・ Rcが認証シンボル登録画面を表示した時に，ユーザ認証シンボル情報，およびサーバ認証シンボル情報を入力する．

図１０及び図１１は、相互認証シーケンス仕様を説明する。
本システムでは，ユーザ・サーバ間で相互認証を行なうために必要な情報を登録する「認証シンボル登録フェーズ」と，実際にユーザ・サーバ間相互認証を行なう「相互認証フェーズ」の2つのフェーズを扱うものである。

図10は、相互認証フェーズ (認証成功の場合)を示す。

図１１．１は、相互認証フェーズ (ユーザ認証失敗の場合)を示す。

図１１．２は、相互認証フェーズ (サーバ認証失敗の場合)を示す。

本願発明は、システム管理機器（データ管理センター、販売管理センター、電子取引・情報取出しのサーバ等）において、利用者の認証技術として広く利用価値を有するものである。即ち、システム管理機器の窓口としてのサーバとユーザ個人との接続にあたり、人とシステムの相互認証とすることで、システム側によるユーザ認証に加えて、ユーザ側によるシステム認証も同時に行い、情報漏洩に対する対策を強化するものであり、電子情報の利用、電子取引の活用に特に有効な発明である。

本発明の相互認証システムの大要を示すブロック図。 ユーザ側電子機器（端末機器）の表示面への表示内容の説明図で、（ａ）図は準備段階を示し、（ｂ）図は第１回認証段階を示し、（ｂ）図は第２回認証段階を示し、（ｃ）図は第３回認証段階を示し、（ｂ）図は第Ｎ回認証段階を示す。 第１回認証段階の処理フローを示すフローチャート。 第２回認証段階の処理フローを示すフローチャート。 第３回認証段階の処理フローを示すフローチャート。 第Ｎ回認証段階の処理フローを示すフローチャート。 犬の正面写真により構成したＵＳＰ集合（Ｋ）。 ユーザ・システム相互認証の全体構成の説明図。 認証シンボル登録フェーズ（パスワード認証成功の場合）のシーケンス。 認証シンボル登録フェーズ（パスワード認証失敗の場合）のシーケンス。パスワード認証失敗の場合を示す 相互認証フェーズ (認証成功の場合)のシーケンス。 相互認証フェーズ (ユーザ認証失敗の場合)のシーケンス。 相互認証フェーズ (サーバ認証失敗の場合)のシーケンス。

符号の説明

ユーザ側の端末機器（クライエント端末）
サーバ側電子機器（ウエブサーバ）
インターネット
10 コンピュータ
11 表示装置
入力装置
20 コンピュータ
21 表示装置
ＵＰＳ ユーザ認証シンボル[システムによるユーザ認証用画像]
Ｋ ＵＰＳ集合
ＳＰＳ ユーザによるシステム認証用画像[システム認証シンボルＳＰＳ]

Claims (6)

1. システム管理側電子機器とユーザ側端末機器とをインターネットを含む通信回線を介して接続し、システム側電子機器に組込んだ記録媒体によるシステム認証情報およびユーザ操作の端末機器の個人入力操作による個人認証情報を使用して、ユーザ個人とアクセス対象のシステム管理側電子機器とを相互に認証することを特徴とする、ユーザとシステムの相互認証システムにおいて、
   一組はユーザの前記個人認証情報を示す個人認証用データ、他の一組はシステム認証情報を示すサーバ認証用データとして、２組の認証用データを登録設定し、
   サーバ認証用データによるサーバ側認証と、ユーザの個人認証用データによるユーザ側認証とを交互に実施することを特徴とする、ユーザとシステムの相互認証システム。
2. システム管理側電子機器とユーザ側端末機器とをインターネットを含む通信回線を介して接続し、システム側電子機器に組込んだ記録媒体によるシステム認証情報およびユーザ操作の端末機器の個人入力操作による個人認証情報を使用して、ユーザ個人とアクセス対象のシステム管理側電子機器とを相互に認証することを特徴とする、ユーザとシステムの相互認証システムにおいて、
   一組はユーザの前記個人認証情報を示す個人認証用データ、他の一組はシステム認証情報を示すシステム認証データとして、相互認証用にそれぞれ複数個の２種類の照合シンボルを登録設定し、システム認証用データによるシステム側認証と、ユーザの個人認証用データによるユーザ認証とを交互に実施することを特徴とする、ユーザとシステムの相互認証システム。
3. 一組はユーザの前記個人認証情報を示す個人認証用データ、他の一組はシステム認証情報を示すサーバ認証用データとして、相互認証用にそれぞれ複数個の２種類の照合シンボルを登録設定し、
   ユーザ認証用データをユーザ認証シンボル、サーバ認証用データをサーバ認証シンボルで構成したことを特徴とする、請求項２に記載するユーザとシステムの相互認証システム。
4. 前記２種類の照合シンボルについて、個人認証用データと認証用データとを同数としたことを特徴とうる、請求項２に記載するユーザとシステムの相互認証システム。
5. 前記２種類の照合シンボルについて、少なくとも、個人認証用データは、画像活用型照合シンボルとしたことを特徴とする、請求項２に記載するシステム管理側認証とユーザ個人認証との相互認証システム。
6. 前記個人認証用データは、個々の画像活用型照合シンボルは複数個の正規シンボル画像と複数個の囮シンボル画像より選択された正規シンボル画像として、個人認証は個人経験事象にもとづく記憶選択であるとともに、複数個の正規シンボル画像について選択順序は個人記憶の事象の発生順であることを特徴とする、請求項２に記載するユーザとシステムの相互認証システム。