JP2005149239A - ユーザ認証システム - Google Patents
ユーザ認証システム Download PDFInfo
- Publication number
- JP2005149239A JP2005149239A JP2003387182A JP2003387182A JP2005149239A JP 2005149239 A JP2005149239 A JP 2005149239A JP 2003387182 A JP2003387182 A JP 2003387182A JP 2003387182 A JP2003387182 A JP 2003387182A JP 2005149239 A JP2005149239 A JP 2005149239A
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- information
- address
- user
- cookie
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Abstract
【課題】 ユーザＩＤやパスワードが他人に知られてしまった場合や認証済みＣｏｏｋｉｅが盗聴された場合でも不正な接続を防ぐユーザ認証システムを提供する。
【解決手段】 ユーザ端末１ａを用いてＷｅｂサーバ２００に初回アクセスした場合、認証サーバ３００にリダイレクトされる。前記認証サーバは、情報格納サーバ４００にユーザ端末１ａのＩＰアドレスを送信し、連絡用アドレスを要求、得られた連絡用アドレスに被認証権限チケットを送信する。該チケットを受信したユーザ端末１ａは、前記認証サーバに該チケットを送信し、認証手続きを行う。前記認証サーバは、認証画面をユーザ端末に送信、ユーザはユーザＩＤ等を入力する。正規のユーザであれば、ユーザＩＤを元に登録端末ＩＰアドレスを情報格納サーバから抽出し、暗号化された登録端末ＩＰアドレスを認証済みＣｏｏｋｉｅに含ませて、ユーザ端末に返送する。認証済みＣｏｏｋｉｅを受信したユーザは、再度前記Ｗｅｂサーバにアクセスを試みる。
【選択図】 図１
【解決手段】 ユーザ端末１ａを用いてＷｅｂサーバ２００に初回アクセスした場合、認証サーバ３００にリダイレクトされる。前記認証サーバは、情報格納サーバ４００にユーザ端末１ａのＩＰアドレスを送信し、連絡用アドレスを要求、得られた連絡用アドレスに被認証権限チケットを送信する。該チケットを受信したユーザ端末１ａは、前記認証サーバに該チケットを送信し、認証手続きを行う。前記認証サーバは、認証画面をユーザ端末に送信、ユーザはユーザＩＤ等を入力する。正規のユーザであれば、ユーザＩＤを元に登録端末ＩＰアドレスを情報格納サーバから抽出し、暗号化された登録端末ＩＰアドレスを認証済みＣｏｏｋｉｅに含ませて、ユーザ端末に返送する。認証済みＣｏｏｋｉｅを受信したユーザは、再度前記Ｗｅｂサーバにアクセスを試みる。
【選択図】 図１
Description
本発明は、ネットワーク情報処理システムにおけるユーザ認証システムに関する。
近年、パーソナルコンピュータ（ＰＣ）や携帯情報端末（ＰＤＡ）、携帯電話機等のユーザ端末（クライアント端末）と、前記ユーザ端末からの要求に応答し、様々な処理を行うサーバとを、ネットワークによって接続した、様々な形態の情報処理システムが普及している。
例えば、ユーザ端末のＷｅｂブラウザを用いて、外部のＷｅｂサーバにアクセスし、ユーザが所望する情報を取得する、いわゆるインターネットでの情報収集は、現在、広く一般に普及している情報処理システムの一例である。
また、最近では、インターネットを用いることにより、単に情報を収集するだけでなく、例えば、インターネット上に展開されている仮想ショッピングモールにて、ユーザが所望する商品を購入したりするといったことも可能である。
例えば、ユーザ端末のＷｅｂブラウザを用いて、外部のＷｅｂサーバにアクセスし、ユーザが所望する情報を取得する、いわゆるインターネットでの情報収集は、現在、広く一般に普及している情報処理システムの一例である。
また、最近では、インターネットを用いることにより、単に情報を収集するだけでなく、例えば、インターネット上に展開されている仮想ショッピングモールにて、ユーザが所望する商品を購入したりするといったことも可能である。
このような情報処理システムにおいて、特に、金銭（決済）が絡んでくるような情報処理システムにおいては、ログイン認証は、必要不可欠な手続である。
すなわち、例えば、有料コンテンツにおいては、情報提供者は、決済を行ったユーザにのみ、或いは決済を行う意思のあるユーザにのみ、ｅ−Ｍａｉｌや郵送によりログインＩＤやパスワード等を与える。更に、正規のログイン手順を済ませたユーザのみが、情報を参照したり、決済を行うことが可能である。
また、仮想ショッピングモールにおいては、正規ユーザのみが買い物（決済）をできるようにするために、ログイン認証を行っている。
もし、ログイン認証が行われなければ、決済を行っていないユーザや決済を行う意思のないユーザに対して、情報を提供してしまうため、情報提供者は不利益を生じてしまうという問題がある。また、仮想ショッピングモールにおいては、他人の名前を語り、買い物をすることが可能となってしまい、正規ユーザにとって不利益を生じてしまう問題もある。
すなわち、例えば、有料コンテンツにおいては、情報提供者は、決済を行ったユーザにのみ、或いは決済を行う意思のあるユーザにのみ、ｅ−Ｍａｉｌや郵送によりログインＩＤやパスワード等を与える。更に、正規のログイン手順を済ませたユーザのみが、情報を参照したり、決済を行うことが可能である。
また、仮想ショッピングモールにおいては、正規ユーザのみが買い物（決済）をできるようにするために、ログイン認証を行っている。
もし、ログイン認証が行われなければ、決済を行っていないユーザや決済を行う意思のないユーザに対して、情報を提供してしまうため、情報提供者は不利益を生じてしまうという問題がある。また、仮想ショッピングモールにおいては、他人の名前を語り、買い物をすることが可能となってしまい、正規ユーザにとって不利益を生じてしまう問題もある。
また、機密情報の処理を行うような情報処理システムにおいても、ログイン認証は、必要不可欠な手続である。
すなわち、例えば、顧客情報を管理するような顧客情報管理システムにおいては、システム管理者は、最低限のシステムユーザにのみ、ログインＩＤやパスワード、或いは必要に応じて、システムの利用範囲の制限に関する権限を与えなければならない。そして、正規のログイン手順を済ませたユーザのみが、機密情報を参照することが可能である。
もし、ログイン認証が行われなければ、誰でもシステムにて管理されている重要な情報を参照することが可能となり、その結果として、情報が漏洩する恐れが十分にあり得る。
すなわち、例えば、顧客情報を管理するような顧客情報管理システムにおいては、システム管理者は、最低限のシステムユーザにのみ、ログインＩＤやパスワード、或いは必要に応じて、システムの利用範囲の制限に関する権限を与えなければならない。そして、正規のログイン手順を済ませたユーザのみが、機密情報を参照することが可能である。
もし、ログイン認証が行われなければ、誰でもシステムにて管理されている重要な情報を参照することが可能となり、その結果として、情報が漏洩する恐れが十分にあり得る。
また、ログイン認証の手段を有する情報処理システムにおいても、いわゆる「なりすまし」でログインして、各種情報を参照する可能性もある。
特に、インターネットは不特定多数が利用することが可能な情報処理通信ネットワークであるが、そのネットワークは網目状になっているため、ネットワーク内の情報処理装置Ａから別の情報処理装置Ｂに情報が送信される間に、数多くの中継点を経由する。そのため、いわゆる「クラッカー」等の第三者により、ＩＤやパスワード等の情報を不正に盗み取られる可能性がある。また、その結果として、インターネットショッピングにおける不正な商品購入や、顧客情報管理システムにおける顧客情報や機密情報が盗み取られる可能性も十分にあり得る。
特に、インターネットは不特定多数が利用することが可能な情報処理通信ネットワークであるが、そのネットワークは網目状になっているため、ネットワーク内の情報処理装置Ａから別の情報処理装置Ｂに情報が送信される間に、数多くの中継点を経由する。そのため、いわゆる「クラッカー」等の第三者により、ＩＤやパスワード等の情報を不正に盗み取られる可能性がある。また、その結果として、インターネットショッピングにおける不正な商品購入や、顧客情報管理システムにおける顧客情報や機密情報が盗み取られる可能性も十分にあり得る。
以下に、情報処理システムにおけるユーザ認証に関する従来の技術を示す。
例えば、利用者に関する情報の保護と、不正利用を防止することのできるサービスすシステムに関する発明がある。
この発明によれば、利用者端末からサービス提供ウェブにアクセスすると、利用者認証装置から、ＩＤ、パスワードの入力が求められ、正しいＩＤ、パスワードを入力すると、利用者認証装置からアクセスチケットが発行される。利用者は、このアクセスチケットをサービス情報ウェブに提示することにより、サービスの提供を受けることが可能となる（特許文献１参照）。
例えば、利用者に関する情報の保護と、不正利用を防止することのできるサービスすシステムに関する発明がある。
この発明によれば、利用者端末からサービス提供ウェブにアクセスすると、利用者認証装置から、ＩＤ、パスワードの入力が求められ、正しいＩＤ、パスワードを入力すると、利用者認証装置からアクセスチケットが発行される。利用者は、このアクセスチケットをサービス情報ウェブに提示することにより、サービスの提供を受けることが可能となる（特許文献１参照）。
また、例えば、不正な「なりすまし」を排除して、ユーザ本人の確定を確実に行うことが可能である、通信ネットワークにおけるユーザ認証サーバ、本人認証方法及びプログラムに関する発明がある。
この発明によれば、Ｗｅｂサーバは、ユーザのコンピュータからＩＤ及びパスワードを受信し、データベースに記憶されているＩＤ及びパスワードと照合し、１回目の認証を行う。１回目の認証が成功すると、Ｗｅｂサーバは、確認コードが記述されたメールを、データベースに記憶されているユーザが指定したメールアドレスに送信する。ユーザは、受信した前記メールから確認コードをコンピュータに入力し、入力された確認コードはＷｅｂサーバに返信される。Ｗｅｂサーバは、最初に送信した確認コードと、返送された確認コードとを照合し、一致した場合は第２認証が成功したと判定し、これによりユーザはＷｅｂサーバを参照することが可能となる（特許文献２参照）。
この発明によれば、Ｗｅｂサーバは、ユーザのコンピュータからＩＤ及びパスワードを受信し、データベースに記憶されているＩＤ及びパスワードと照合し、１回目の認証を行う。１回目の認証が成功すると、Ｗｅｂサーバは、確認コードが記述されたメールを、データベースに記憶されているユーザが指定したメールアドレスに送信する。ユーザは、受信した前記メールから確認コードをコンピュータに入力し、入力された確認コードはＷｅｂサーバに返信される。Ｗｅｂサーバは、最初に送信した確認コードと、返送された確認コードとを照合し、一致した場合は第２認証が成功したと判定し、これによりユーザはＷｅｂサーバを参照することが可能となる（特許文献２参照）。
また、シングルサインオン（ＳＳＯ：Single Sign On）をより容易に導入できるようにするためのシングルサインオン対応認証装置、ネットワークシステム、及びプログラムに関する発明がある。
この発明によれば、ネットワークに接続された端末装置のユーザの認証を行いアクセスを許可してサービスを提供するサービス提供システムに、認証システムが認証を行って該サービス提供用システムにアクセスするためのチケットを発行した端末装置のユーザの認証を自動的に行わせてシングルサインオンに対応させるために用いられることを前提とし、端末装置から前記サービス提供用システムに送信されたチケットを受信するチケット受信手段と、チケット受信手段が受信したチケットを用いて、該チケットを送信した端末装置のユーザの認証を自動的に行わせる認証手段とを具備することにより、より容易かつ迅速にシングルサインオンを導入することが可能である（特許文献３参照）。
この発明によれば、ネットワークに接続された端末装置のユーザの認証を行いアクセスを許可してサービスを提供するサービス提供システムに、認証システムが認証を行って該サービス提供用システムにアクセスするためのチケットを発行した端末装置のユーザの認証を自動的に行わせてシングルサインオンに対応させるために用いられることを前提とし、端末装置から前記サービス提供用システムに送信されたチケットを受信するチケット受信手段と、チケット受信手段が受信したチケットを用いて、該チケットを送信した端末装置のユーザの認証を自動的に行わせる認証手段とを具備することにより、より容易かつ迅速にシングルサインオンを導入することが可能である（特許文献３参照）。
また、例えば、サービスサーバと認証サーバの独立性及び汎用性を高め、認証サーバを複数のサービスで共通利用することが容易な認証システムに関する発明がある。
この発明によれば、ユーザ認証を終えていないクライアントからＷｅｂサービスサーバにアクセスがあった場合には、Ｗｅｂ認証サーバにリダイレクトし、Ｗｅｂ認証サーバにアクセスして認証手続を完了させる。その後、認証サーバから、認証が完了した旨の情報が記述されたクッキーがクライアントに送信され、そのクッキーをＷｅｂサービスサーバに提示することにより、情報を参照することができる。このため、ＷｅｂサービスサーバとＷｅｂ認証サーバとの直接アクセスがなくなるため、Ｗｅｂ認証サーバの独立性、汎用性を高めることが可能となる（特許文献４参照）。
特開２００１−２０２４３７号公報
特開２００２−２５１３７５号公報
特開２００３−８５１４１号公報
特開平１１−２８２８０４号公報
この発明によれば、ユーザ認証を終えていないクライアントからＷｅｂサービスサーバにアクセスがあった場合には、Ｗｅｂ認証サーバにリダイレクトし、Ｗｅｂ認証サーバにアクセスして認証手続を完了させる。その後、認証サーバから、認証が完了した旨の情報が記述されたクッキーがクライアントに送信され、そのクッキーをＷｅｂサービスサーバに提示することにより、情報を参照することができる。このため、ＷｅｂサービスサーバとＷｅｂ認証サーバとの直接アクセスがなくなるため、Ｗｅｂ認証サーバの独立性、汎用性を高めることが可能となる（特許文献４参照）。
しかしながら、上記従来の認証システムでは、ＩＤやパスワード等が第三者に知られた場合、接続の認められていない者がサーバに接続し、利用することが可能となってしまうが、その利用を無効なものと判断することができなかった。また、Ｃｏｏｋｉｅを用いたＳＳＯシステムにおいて、認証済みを示すＣｏｏｋｉｅを盗聴された場合に、その不正利用を判断することができなかった。
これらのことにより、第三者による認証情報の悪用が可能となってしまっている。
これらのことにより、第三者による認証情報の悪用が可能となってしまっている。
本発明は上記事情を鑑みてなされたものであり、ユーザＩＤやパスワードが他人に知られてしまった場合や認証済みＣｏｏｋｉｅが盗聴された場合でも不正な接続を防ぐユーザ認証システムを提供することを目的とする。
前記課題を解決するために、請求項１記載の発明は、外部装置へ情報の要求を行う情報要求手段と、送信された情報を表示する情報表示手段とを有する情報処理端末と、前記情報処理端末に対して情報提供を行う情報提供手段を有する情報提供装置と、前記情報処理端末から前記情報提供装置にアクセスした際に認証を行う認証手段を有する認証装置と、前記認証にて必要となる情報を管理している情報管理手段を有する情報格納装置とが、ネットワークを介して互いに情報通信することが可能なユーザ認証システムであって、前記情報処理端末は、認証を得るために認証画面を表示する認証画面表示手段と、認証情報を入力する認証情報入力手段とを有し、前記情報提供装置は、前記情報処理端末から認証済みＣｏｏｋｉｅが送信されたか否かを判断するＣｏｏｋｉｅ有無判別手段と、認証済みＣｏｏｋｉｅの内容から、前記情報処理端末からのアクセスが正当なアクセスであるか否かを判別するＣｏｏｋｉｅ内容判別手段と、前記Ｃｏｏｋｉｅ内容判別手段にて、正当なアクセスであると判別された場合は、前記情報処理端末に対して情報提供を行う第２の情報提供手段とを有し、前記認証装置は、前記情報処理端末に関する情報を情報格納装置に送信して連絡用アドレスを問い合わせする連絡用アドレス問い合わせ手段と、被認証権限チケットを作成し、前記情報処理端末に送信するチケット作成・送信手段と、情報処理端末から送信されたチケットを受信し、前記情報処理端末へ認証画面を送信する認証画面送信手段と、情報処理端末から送信された認証情報を受信し、認証を行う第２の認証手段と、前記第２の認証手段で認証された場合は、前記認証情報を前記情報格納装置へ送信して、前記認証情報に対する登録端末ＩＰアドレスを問い合わせする登録端末ＩＰ問い合わせ手段と、認証済みＣｏｏｋｉｅを作成し、前記情報処理端末に送信するＣｏｏｋｉｅ作成・送信手段とを有し、前記情報格納装置は、前記連絡用アドレス問い合わせに応じて、連絡用アドレスを抽出し、送信する連絡用アドレス抽出・応答手段と、前記登録端末ＩＰアドレス問い合わせに応じて、登録端末ＩＰアドレスを抽出し、送信する登録端末ＩＰ抽出・応答手段とを有することを特徴とする。
請求項２記載の発明は、前記Ｃｏｏｋｉｅ有無判別手段は、前記情報処理端末から認証済みＣｏｏｋｉｅが送信されなかった場合に、前記認証装置にリダイレクト要求を行うリダイレクト要求手段を有することを特徴とする。
請求項３記載の発明は、前記連絡用アドレス抽出・送信手段は、前記認証装置から送信されたＩＰアドレスをキーにして連絡用アドレスを抽出し、送信する第２の連絡用アドレス抽出・送信手段と、前記ＩＰアドレスに対応する連絡用アドレスが抽出できなかった場合は、見つからなかった旨を送信する第３の連絡用アドレス抽出・送信手段とを有することを特徴とする。
請求項４記載の発明は、前記チケット作成・送信手段は、連絡用アドレスが送信された場合には、被認証権限チケットを作成し、前記被認証権限チケットを前記連絡用アドレスに送信する第２のチケット作成・送信手段と、連絡用アドレスが送信されなかった場合には、連絡用チケットが見つからなかった旨を前記情報処理装置に通知する第１の通知手段とを有することを特徴とする。
請求項５記載の発明は、前記認証情報は、ユーザＩＤとパスワードであり、前記第２の認証手段は、前記ユーザＩＤ及びパスワードから認証可否を決定する認証可否決定手段を有することを特徴とする。
請求項６記載の発明は、前記第２の認証手段にて認証されなかった場合は、前記情報処理装置に認証されなかった旨を通知する第２の通知手段を有することを特徴とする。
請求項７記載の発明は、前記Ｃｏｏｋｉｅ作成・送信手段は、前記登録端末ＩＰ抽出・応答手段にて得られた登録端末ＩＰアドレスを暗号化する暗号化手段と、前記暗号化手段により暗号化された登録端末ＩＰアドレスを含ませて認証済みＣｏｏｋｉｅを作成し、送信する第２の認証済みＣｏｏｋｉｅ作成・送信手段とを有することを特徴とする。
請求項８記載の発明は、前記Ｃｏｏｋｉｅ内容判別手段は、認証済みＣｏｏｋｉｅ内の暗号化されたＩＰアドレスを復号化する復号化手段と、認証済みＣｏｏｋｉｅを送信した情報処理端末のＩＰアドレスと、前記復号化手段により複合化されたＩＰアドレスを比較する比較手段とを有することを特徴とする。
請求項９記載の発明は、前記情報提供装置はＷｅｂサーバであり、前記認証装置は、認証サーバであり、前記情報格納装置は、情報格納サーバであることを特徴とする。
本発明によれば、外部装置へ情報の要求を行う情報要求手段と、送信された情報を表示する情報表示手段とを有する情報処理端末と、前記情報処理端末に対して情報提供を行う情報提供手段を有する情報提供装置と、前記情報処理端末から前記情報提供装置にアクセスした際に認証を行う認証手段を有する認証装置と、前記認証にて必要となる情報を管理している情報管理手段を有する情報格納装置とが、ネットワークを介して互いに情報通信することが可能なユーザ認証システムであって、前記情報処理端末は、認証を得るために認証画面を表示する認証画面表示手段と、認証情報を入力する認証情報入力手段とを有し、前記情報提供装置は、前記情報処理端末から認証済みＣｏｏｋｉｅが送信されたか否かを判断するＣｏｏｋｉｅ有無判別手段と、認証済みＣｏｏｋｉｅの内容から、前記情報処理端末からのアクセスが正当なアクセスであるか否かを判別するＣｏｏｋｉｅ内容判別手段と、前記Ｃｏｏｋｉｅ内容判別手段にて、正当なアクセスであると判別された場合は、前記情報処理端末に対して情報提供を行う第２の情報提供手段とを有し、前記認証装置は、前記情報処理端末に関する情報を情報格納装置に送信して連絡用アドレスを問い合わせする連絡用アドレス問い合わせ手段と、被認証権限チケットを作成し、前記情報処理端末に送信するチケット作成・送信手段と、情報処理端末から送信されたチケットを受信し、前記情報処理端末へ認証画面を送信する認証画面送信手段と、情報処理端末から送信された認証情報を受信し、認証を行う第２の認証手段と、前記第２の認証手段で認証された場合は、前記認証情報を前記情報格納装置へ送信して、前記認証情報に対する登録端末ＩＰアドレスを問い合わせする登録端末ＩＰ問い合わせ手段と、認証済みＣｏｏｋｉｅを作成し、前記情報処理端末に送信するＣｏｏｋｉｅ作成・送信手段とを有し、前記情報格納装置は、前記連絡用アドレス問い合わせに応じて、連絡用アドレスを抽出し、送信する連絡用アドレス抽出・応答手段と、前記登録端末ＩＰアドレス問い合わせに応じて、登録端末ＩＰアドレスを抽出し、送信する登録端末ＩＰ抽出・応答手段とを有することにより、ユーザＩＤやパスワードが他人に知られた場合やＣｏｏｋｉｅが盗聴された場合でも不正な接続を防ぐことが可能となる。
現在、社会に流通している情報処理システムは、ユーザがデータ処理等の指示を行う、主にパーソナルコンピュータを用いたクライアント端末と、クライアントからの要求に従い、高度且つ高速な処理を行い、その処理結果をクライアントに返すサーバ機器によって構成されているシステムが主流であり、本発明に係るユーザ認証システムも、このような構成で用いられるのが最良の形態である。
しかしながら、クライアント端末は、パーソナルコンピュータに限らず、形態情報端末（ＰＤＡ）や、Ｗｅｂブラウザを搭載した携帯電話機等を構成要素に含めることも可能である。
また、サーバ機器は、一般的なサーバコンピュータで用いられているオペレーティング・システム上で稼動するサーバに限らず、専用のサーバ装置を用いることも可能である。
しかしながら、クライアント端末は、パーソナルコンピュータに限らず、形態情報端末（ＰＤＡ）や、Ｗｅｂブラウザを搭載した携帯電話機等を構成要素に含めることも可能である。
また、サーバ機器は、一般的なサーバコンピュータで用いられているオペレーティング・システム上で稼動するサーバに限らず、専用のサーバ装置を用いることも可能である。
次に、添付図面を参照しながら、本発明の実施形態を説明する。
図１は、本発明の第１の実施例であるユーザ認証システムの、第１のネットワーク構成を示す図である。
ユーザ認証システムは、クライアント端末１ａ、１ｃ、２ｂと、Ｗｅｂサーバ２００と、認証サーバ３００と、情報格納サーバ４００が、ネットワークを介して接続され、構成されている。
クライアント端末１及び２は、パーソナルコンピュータ（ＰＣ）やワークステーション、携帯情報処理端末（ＰＤＡ）、Ｗｅｂブラウザを搭載した携帯電話機などの情報処理装置である。また、後述する被認証権限チケットを認証サーバ３００に送信する機能を有する。
図１は、本発明の第１の実施例であるユーザ認証システムの、第１のネットワーク構成を示す図である。
ユーザ認証システムは、クライアント端末１ａ、１ｃ、２ｂと、Ｗｅｂサーバ２００と、認証サーバ３００と、情報格納サーバ４００が、ネットワークを介して接続され、構成されている。
クライアント端末１及び２は、パーソナルコンピュータ（ＰＣ）やワークステーション、携帯情報処理端末（ＰＤＡ）、Ｗｅｂブラウザを搭載した携帯電話機などの情報処理装置である。また、後述する被認証権限チケットを認証サーバ３００に送信する機能を有する。
Ｗｅｂサーバ２００は、前記クライアント端末１に対して情報提供を行うサーバであり、ＰＣよりも大規模な情報処理装置（大規模ワークステーションやサーバ機器）で構成される。また、認証サーバ３００にて作成された、暗号化された認証済みＣｏｏｋｉｅの有無を確認する機能と、前記Ｃｏｏｋｉｅを復号化する機能を有する。
認証サーバ３００は、Ｗｅｂサーバ２００と同様に、ＰＣよりも大規模な情報処理装置（大規模ワークステーションやサーバ機器）で構成され、ユーザを認証する機能と、認証成功時に、暗号化された認証済みＣｏｏｋｉｅを作成する機能と、情報格納サーバ４００に問い合わせを行い、登録されている情報を取得する機能がある。
また、動的に被認証権限チケットを作成する機能を有し、作成された被認証権限チケットを、情報格納サーバ４００から取得してきた連絡アドレスに対して通知する機能を有する。
また、動的に被認証権限チケットを作成する機能を有し、作成された被認証権限チケットを、情報格納サーバ４００から取得してきた連絡アドレスに対して通知する機能を有する。
被認証権限チケットとは、それを提示してきたクライアント端末に、認証サーバ３００で認証を受ける権利を与えるものである。すなわち、被認証権限チケットを提示しないクライアント端末に対しては、認証サーバ３００は認証を行わないものである。
また、動的に作成された被認証権限チケットは暗号化されていて、その内容には発行者、有効期限があり、有効期限が切れるか、またはユーザ認証が成功した場合には、以降、被認証権限チケットは無効となる。
また、動的に作成された被認証権限チケットは暗号化されていて、その内容には発行者、有効期限があり、有効期限が切れるか、またはユーザ認証が成功した場合には、以降、被認証権限チケットは無効となる。
情報格納サーバ４００は、Ｗｅｂサーバ２００及び認証サーバ３００と同様に、ＰＣよりも大規模な情報処理装置（大規模ワークステーションやサーバ機器）で構成され、あらかじめユーザＩＤ、ユーザが利用するクライアント端末のＩＰアドレス、連絡用アドレスの組を格納しておく。
また、サーバ側の機器構成は、負荷分散の目的から、Ｗｅｂサーバ２００、認証サーバ３００、情報格納サーバ４００の各々を独立したサーバ機器で構成するのが一般的であるが、最近のサーバ向けＯＳ（例えば、Ｌｉｎｕｘ等）は、複数のサーバプログラムを同時に起動する（サービス起動）することができるため、１台のサーバ機器で複数のサーバ機能をカバーすることも可能である。
また、ネットワークの形態は、小規模なネットワーク構成であれば、例えば、ＬＡＮ（Local Area Network）等があり、広域的な構成であれば、例えば、インターネット回線やＶＰＮ（Virtual Private Network）等がある。
インターネットの場合は、主に、クライアント端末のユーザが個人レベルのユーザであるシステムであり、ＶＰＮであれば、企業ユーザがメインとなるシステムである。
インターネットの場合は、主に、クライアント端末のユーザが個人レベルのユーザであるシステムであり、ＶＰＮであれば、企業ユーザがメインとなるシステムである。
図２は、本発明の実施形態であるユーザ認証システムにおけるクライアント側のデータ構成を示す図である。
ユーザ端末は、例えば、ユーザ３ａが利用するユーザ端末１ａには、ＩＰアドレスＩＰａを、ユーザ端末１ｂがＩＰｂを、ユーザ端末１ｃがＩＰｃを、というように、それぞれがＩＰアドレスを有する。
ユーザ端末は、例えば、ユーザ３ａが利用するユーザ端末１ａには、ＩＰアドレスＩＰａを、ユーザ端末１ｂがＩＰｂを、ユーザ端末１ｃがＩＰｃを、というように、それぞれがＩＰアドレスを有する。
図３は、本発明の実施形態であるユーザ認証システムにおけるサーバ側のデータ構成を示す図である。
情報格納サーバ４００は、ログイン認証で必要となる各種ユーザデータを、例えばデータベースの形態で有する。例えば、ユーザ３ａがユーザ認証システムによってＷｅｂサーバ２００から提供される情報を参照するために、情報格納サーバ４００に、ユーザＩＤ（ＵＩＤａ）、パスワード（ＰＡＳＳａ）、ＩＰアドレス（ＩＰａ）、及び連絡用アドレス（ＡＤＤＲａ）が登録されている。
情報格納サーバ４００は、ログイン認証で必要となる各種ユーザデータを、例えばデータベースの形態で有する。例えば、ユーザ３ａがユーザ認証システムによってＷｅｂサーバ２００から提供される情報を参照するために、情報格納サーバ４００に、ユーザＩＤ（ＵＩＤａ）、パスワード（ＰＡＳＳａ）、ＩＰアドレス（ＩＰａ）、及び連絡用アドレス（ＡＤＤＲａ）が登録されている。
図４は、本発明の実施形態であるユーザ認証システムにおけるクライアント端末の内部構成を示すブロック図である。
クライアント端末１の内部は、各種演算及び各機構の制御を行う演算・制御部１０１と、前記演算・制御部にて演算処理を行うデータを一時的に格納するＲＡＭ１０２と、外部機器とのデータ送受信を行うインターフェースである外部通信部１０３と、ユーザがパスワード等を入力する入力部１０４と、データや処理結果等を表示する出力部１０５と、認証サーバ３００から受信した被認証権限チケットを、認証手続のために認証サーバ３００に送信する被認証権限チケット送信部１０６と、認証完了時に認証サーバ３００から発行され受信した認証済ＣｏｏｋｉｅをＷｅｂサーバ２００に送信するための認証済Ｃｏｏｋｉｅ送信手段とを有する。
クライアント端末１の内部は、各種演算及び各機構の制御を行う演算・制御部１０１と、前記演算・制御部にて演算処理を行うデータを一時的に格納するＲＡＭ１０２と、外部機器とのデータ送受信を行うインターフェースである外部通信部１０３と、ユーザがパスワード等を入力する入力部１０４と、データや処理結果等を表示する出力部１０５と、認証サーバ３００から受信した被認証権限チケットを、認証手続のために認証サーバ３００に送信する被認証権限チケット送信部１０６と、認証完了時に認証サーバ３００から発行され受信した認証済ＣｏｏｋｉｅをＷｅｂサーバ２００に送信するための認証済Ｃｏｏｋｉｅ送信手段とを有する。
前記クライアント端末１は、本実施例では、パーソナルコンピュータ等の情報処理装置であるため、例えば、前記演算・制御部１０１はＣＰＵであり、前記外部通信部１０３は、ＬＡＮインターフェースカードや公衆回線への専用通信手段であり、前記入力部１０４はマウスやキーボードであり、前記出力部１０５はモニタである。また、前記被認証権限チケット送信部１０６や前記認証済みＣｏｏｋｉｅ送信部１０７は、ハードディスク機器のような記録媒体に格納されたソフトウェアが実行されることにより、実現される。
しかしながら、前記クライアント端末１は、前記手段を有する専用の端末装置であっても構わない。
しかしながら、前記クライアント端末１は、前記手段を有する専用の端末装置であっても構わない。
図５は、本発明の実施形態であるユーザ認証システムにおけるＷｅｂサーバの内部構成を示すブロック図である。
Ｗｅｂサーバ２００の内部は、各種演算及び各機構の制御を行う演算・制御部２０１と、前記演算・制御部にて演算処理を行うデータを一時的に格納するＲＡＭ２０２と、外部機器とのデータ送受信を行うインターフェースである外部通信部２０３と、端末から認証済みＣｏｏｋｉｅが送信されたか否かを判定するためのＣｏｏｋｉｅ有無判定部２０４と、端末から送信された認証済みＣｏｏｋｉｅに含まれるＩＰアドレスと、前記端末のＩＰアドレスが一致するか否かを判別するためのＩＰアドレス判定部２０５と、クライアント端末１に提供する情報を格納したり、情報提供用にデータを加工する情報提供格納部２０６と、前記クライアント端末１に情報を送信し提供するための情報提供部とを有する。
前記Ｗｅｂサーバ２００は、本実施例では、高速処理が可能なワークステーションやサーバ機器であるため、例えば、前記演算・制御部２０１はＣＰＵであり、前記外部通信部２０３は、ＬＡＮインターフェースカードや公衆回線への専用通信手段である。
また、前記Ｃｏｏｋｉｅ有無判定部２０４や、前記ＩＰアドレス判定部２０５、前記情報提供格納部２０６、前記情報提供部２０７は、ハードディスク機器のような記録媒体に格納されたソフトウェアが実行されることにより、実現される。
しかしながら、前記Ｗｅｂサーバ２００は、前記手段を有する専用の装置であっても構わない。
また、前記Ｃｏｏｋｉｅ有無判定部２０４や、前記ＩＰアドレス判定部２０５、前記情報提供格納部２０６、前記情報提供部２０７は、ハードディスク機器のような記録媒体に格納されたソフトウェアが実行されることにより、実現される。
しかしながら、前記Ｗｅｂサーバ２００は、前記手段を有する専用の装置であっても構わない。
図６は、本発明の実施形態であるユーザ認証システムにおける認証サーバの内部構成を示すブロック図である。
認証サーバ３００の内部は、各種演算及び各機構の制御を行う演算・制御部３０１と、前記演算・制御部にて演算処理を行うデータを一時的に格納するＲＡＭ３０２と、外部機器とのデータ送受信を行うインターフェースである外部通信部３０３と、情報格納サーバ４００に対して、アクセスしている端末のＩＰアドレスを送信し、連絡用アドレスの問い合わせを行うための連絡用アドレス問い合せ部３０４と、被認証権限チケットの作成し、アクセスしている端末に送信するための被認証権限チケット作成・送信部３０５と、被認証権限チケットを送信した端末に対して認証画面を送信するための認証画面送信部３０６と、認証処理を行うための認証処理部３０７と、情報格納サーバ４００にユーザＩＤを送信し、該ユーザの登録端末ＩＰアドレスを問い合わせるための登録端末ＩＰ問い合せ部３０８と、認証済みＣｏｏｋｉｅを作成し、クライアント端末に送信するための認証済みＣｏｏｋｉｅ作成・送信部３０９とを有する。
認証サーバ３００の内部は、各種演算及び各機構の制御を行う演算・制御部３０１と、前記演算・制御部にて演算処理を行うデータを一時的に格納するＲＡＭ３０２と、外部機器とのデータ送受信を行うインターフェースである外部通信部３０３と、情報格納サーバ４００に対して、アクセスしている端末のＩＰアドレスを送信し、連絡用アドレスの問い合わせを行うための連絡用アドレス問い合せ部３０４と、被認証権限チケットの作成し、アクセスしている端末に送信するための被認証権限チケット作成・送信部３０５と、被認証権限チケットを送信した端末に対して認証画面を送信するための認証画面送信部３０６と、認証処理を行うための認証処理部３０７と、情報格納サーバ４００にユーザＩＤを送信し、該ユーザの登録端末ＩＰアドレスを問い合わせるための登録端末ＩＰ問い合せ部３０８と、認証済みＣｏｏｋｉｅを作成し、クライアント端末に送信するための認証済みＣｏｏｋｉｅ作成・送信部３０９とを有する。
前記認証サーバ３００は、本実施例では、本実施例では、高速処理が可能なワークステーションやサーバ機器であるため、例えば、前記演算・制御部３０１はＣＰＵであり、前記外部通信部３０３は、ＬＡＮインターフェースカードや公衆回線への専用通信手段である。
また、前記連絡用アドレス問い合せ部３０４、被認証権限チケット作成・送信部３０５、認証画面送信部３０６、認証処理部３０７、登録端末ＩＰ問い合せ部３０８、認証済みＣｏｏｋｉｅ作成・送信部３０９は、ハードディスク機器のような記録媒体に格納されたソフトウェアが実行されることにより、実現される。
しかしながら、前記認証サーバ３００は、前記手段を有する専用の装置であっても構わない。
また、前記連絡用アドレス問い合せ部３０４、被認証権限チケット作成・送信部３０５、認証画面送信部３０６、認証処理部３０７、登録端末ＩＰ問い合せ部３０８、認証済みＣｏｏｋｉｅ作成・送信部３０９は、ハードディスク機器のような記録媒体に格納されたソフトウェアが実行されることにより、実現される。
しかしながら、前記認証サーバ３００は、前記手段を有する専用の装置であっても構わない。
図７は、本発明の実施形態であるユーザ認証システムにおける情報格納サーバの内部構成を示すブロック図である。
情報格納サーバ４００の内部は、各種演算及び各機構の制御を行う演算・制御部４０１と、前記演算・制御部にて演算処理を行うデータを一時的に格納するＲＡＭ４０２と、外部機器とのデータ送受信を行うインターフェースである外部通信部４０３と、図３に示したようなデータを格納する情報格納部４０４と、認証サーバ３００から送信されたアクセス端末のＩＰアドレスから連絡用アドレスを抽出し、認証サーバに返すための連絡用アドレス抽出・送信部４０５と、認証サーバ３００から送信されたユーザＩＤから登録端末ＩＰアドレスを抽出し、認証サーバに返すための登録端末ＩＰ抽出・送信部４０６とを有する。
情報格納サーバ４００の内部は、各種演算及び各機構の制御を行う演算・制御部４０１と、前記演算・制御部にて演算処理を行うデータを一時的に格納するＲＡＭ４０２と、外部機器とのデータ送受信を行うインターフェースである外部通信部４０３と、図３に示したようなデータを格納する情報格納部４０４と、認証サーバ３００から送信されたアクセス端末のＩＰアドレスから連絡用アドレスを抽出し、認証サーバに返すための連絡用アドレス抽出・送信部４０５と、認証サーバ３００から送信されたユーザＩＤから登録端末ＩＰアドレスを抽出し、認証サーバに返すための登録端末ＩＰ抽出・送信部４０６とを有する。
前記情報格納サーバ４００は、本実施例では、本実施例では、高速処理が可能なワークステーションやサーバ機器であるため、例えば、前記演算・制御部４０１はＣＰＵであり、前記外部通信部４０３は、ＬＡＮインターフェースカードや公衆回線への専用通信手段である。
また、前記情報格納部４０４は、データベース形式で情報を格納しても構わないし、リストやファイルのような形式で情報を格納しても構わない。
また、前記連絡用アドレス抽出・送信部４０５、及び登録端末ＩＰ抽出・送信部４０６は、ハードディスク機器のような記録媒体に格納されたソフトウェアが実行されることにより、実現される。
しかしながら、前記情報格納サーバ４００は、前記手段を有する専用の装置であっても構わない。
また、前記情報格納部４０４は、データベース形式で情報を格納しても構わないし、リストやファイルのような形式で情報を格納しても構わない。
また、前記連絡用アドレス抽出・送信部４０５、及び登録端末ＩＰ抽出・送信部４０６は、ハードディスク機器のような記録媒体に格納されたソフトウェアが実行されることにより、実現される。
しかしながら、前記情報格納サーバ４００は、前記手段を有する専用の装置であっても構わない。
図８は、本発明の実施形態であるユーザ認証システムの、基本的な動作を示すシーケンス図である。
例えば、ユーザＩＤ「ＵＩＤａ」を持つユーザ３ａが、クライアント端末１ａを使用して、Ｗｅｂサーバ２００にアクセスを試みる（シーケンスＳＱ１）。
Ｗｅｂサーバ２００は、前記クライアント端末１ａから認証済みＣｏｏｋｉｅが送信されたか否かを確認し、認証済みＣｏｏｋｉｅが送信されていない場合は、認証サーバ３００へのリダイレクト要求の指示を行う（シーケンスＳＱ２）。
クライアント端末１ａは、要求指示に従い、認証サーバ３００へアクセス（リダイレクト）する。このとき、前記Ｗｅｂサーバ２００へ行ったリクエストＵＲＬ（ＵＲＬ０２）をＰＯＳＴデータ等で送信する（シーケンスＳＱ３）。
通常、前記Ｗｅｂサーバ２００へ初回アクセスをする場合は、クライアント端末１ａは、認証済みＣｏｏｋｉｅを保持していないので、上記シーケンスＳＱ１〜ＳＱ３の手順を踏み、以下に示すシーケンスＳＱ４以降の手順を踏む。
例えば、ユーザＩＤ「ＵＩＤａ」を持つユーザ３ａが、クライアント端末１ａを使用して、Ｗｅｂサーバ２００にアクセスを試みる（シーケンスＳＱ１）。
Ｗｅｂサーバ２００は、前記クライアント端末１ａから認証済みＣｏｏｋｉｅが送信されたか否かを確認し、認証済みＣｏｏｋｉｅが送信されていない場合は、認証サーバ３００へのリダイレクト要求の指示を行う（シーケンスＳＱ２）。
クライアント端末１ａは、要求指示に従い、認証サーバ３００へアクセス（リダイレクト）する。このとき、前記Ｗｅｂサーバ２００へ行ったリクエストＵＲＬ（ＵＲＬ０２）をＰＯＳＴデータ等で送信する（シーケンスＳＱ３）。
通常、前記Ｗｅｂサーバ２００へ初回アクセスをする場合は、クライアント端末１ａは、認証済みＣｏｏｋｉｅを保持していないので、上記シーケンスＳＱ１〜ＳＱ３の手順を踏み、以下に示すシーケンスＳＱ４以降の手順を踏む。
認証サーバ３００は、クライアント端末１ａのＩＰアドレス（ＩＰａ）を取得し、取得したＩＰアドレス（ＩＰａ）をキーにして、情報格納サーバ４００に連絡アドレスの問い合わせを行う（シーケンスＳＱ４）。
情報格納サーバ４００は、前記認証サーバ３００からの問い合わせに対して、送信されたＩＰアドレス（ＩＰａ）に対応する連絡用アドレスが存在するか否かを確認し、存在したらそれを抽出し、前記認証サーバ３００へ応答、送信する（シーケンスＳＱ５）。
この場合では、ＩＰアドレス（ＩＰａ）に対応した連絡用アドレス（ＡＤＤＲａ）を送信している。
また、前記ＩＰアドレス（ＩＰａ）に対応するアドレスが存在しない場合は、存在しない旨を前記認証サーバ３００に送信、応答する。例えば、空の連絡用アドレスを送信する等の方法がある。
情報格納サーバ４００は、前記認証サーバ３００からの問い合わせに対して、送信されたＩＰアドレス（ＩＰａ）に対応する連絡用アドレスが存在するか否かを確認し、存在したらそれを抽出し、前記認証サーバ３００へ応答、送信する（シーケンスＳＱ５）。
この場合では、ＩＰアドレス（ＩＰａ）に対応した連絡用アドレス（ＡＤＤＲａ）を送信している。
また、前記ＩＰアドレス（ＩＰａ）に対応するアドレスが存在しない場合は、存在しない旨を前記認証サーバ３００に送信、応答する。例えば、空の連絡用アドレスを送信する等の方法がある。
情報格納サーバ４００に対する問い合わせの応答を受信した認証サーバ３００は、例えば、空でない連絡用アドレスが送信された場合のみ、動的に、被認証権限チケットを作成し（シーケンスＳＱ６）、クライアント端末１ａに対して、処理終了の通知、被認証権限チケットの送信を行う（シーケンスＳＱ７）。
ただし、チケットの送信は、連絡用アドレス（ＡＤＤＲａ）に送信するため、特にクライアント端末１ａで受け取る必要はない。
ただし、チケットの送信は、連絡用アドレス（ＡＤＤＲａ）に送信するため、特にクライアント端末１ａで受け取る必要はない。
ユーザ３ａは、クライアント端末１ａを使って、連絡用アドレス（ＡＤＤＲａ）に送付された被認証権限チケットを認証サーバ３００に送信し、認証を試みる（シーケンスＳＱ８）。このとき、クライアント端末１ａが被認証権限チケットを提出しなかった場合は、シーケンスＳＱ４に戻ることとなる。
認証サーバ３００は、被認証権限チケットを受信し、有効期限の確認及び発行者の確認をした後、認証画面を送信する（シーケンスＳＱ９）。
認証サーバ３００は、被認証権限チケットを受信し、有効期限の確認及び発行者の確認をした後、認証画面を送信する（シーケンスＳＱ９）。
クライアント端末１ａは、認証サーバ３００から受け取った認証画面を用い、要求された認証情報を入力し、認証情報、リクエストＵＲＬ（ＵＲＬ０２）を認証サーバ３００に送信する（シーケンスＳＱ１０）。
認証サーバ３００は、クライアント端末１ａから送信された認証情報を受け取り、ユーザ認証を行う（シーケンスＳＱ１１）。認証が成功した場合は、情報格納サーバ４００に、認証が成功したユーザＩＤを送信し、対応するユーザ使用端末のＩＰアドレスを問い合わせる（シーケンスＳＱ１２）。
今回の場合、ユーザ認証にユーザ３ａの情報を用いたので、情報格納サーバに対してユーザＩＤ「ＵＩＤａ」を送信することになる。
認証サーバ３００は、クライアント端末１ａから送信された認証情報を受け取り、ユーザ認証を行う（シーケンスＳＱ１１）。認証が成功した場合は、情報格納サーバ４００に、認証が成功したユーザＩＤを送信し、対応するユーザ使用端末のＩＰアドレスを問い合わせる（シーケンスＳＱ１２）。
今回の場合、ユーザ認証にユーザ３ａの情報を用いたので、情報格納サーバに対してユーザＩＤ「ＵＩＤａ」を送信することになる。
情報格納サーバ４００は、認証サーバ３００からの問い合わせのあった登録ＩＰアドレスを抽出し（シーケンスＳＱ１３）、認証サーバ３００に応答する。
本事例の場合、情報格納サーバに登録されたＩＰアドレスは「ＩＰａ」であり、このＩＰアドレスを返答する。
本事例の場合、情報格納サーバに登録されたＩＰアドレスは「ＩＰａ」であり、このＩＰアドレスを返答する。
認証サーバ３００は、情報格納サーバ４００からの応答を受信した後、認証済みＣｏｏｋｉｅを作成し、クライアント端末１ａに対して前記認証済みＣｏｏｋｉｅを送信すると共に、前記ＵＲＬ０２へのリダイレクト要求を行う（シーケンスＳＱ１４）。このとき、認証済みＣｏｏｋｉｅには、ＩＰアドレス（ＩＰａ）が格納され、暗号化されている。
認証サーバ３００より、ＵＲＬ０２へのリダイレクト要求を受信したクライアント端末１ａは、認証済みＣｏｏｋｉｅと共にＵＲＬ０２へアクセスを行う（シーケンスＳＱ１５）。
クライアント端末１ａより認証済みＣｏｏｋｉｅを受信したＷｅｂサーバ２００は、認証済みＣｏｏｋｉｅを復号化し、ＩＰアドレス（ＩＰａ）を取得する。この際、ＩＰａと認証済みＣｏｏｋｉｅ送信者であるクライアント端末１ａのＩＰアドレスが異なる場合、不正なアクセスと判断する。本事例の場合、両方のＩＰアドレスが一致しているので、正当なアクセスと判断し、ＵＲＬ０２の開示を許可する（シーケンスＳＱ１６）。
認証サーバ３００より、ＵＲＬ０２へのリダイレクト要求を受信したクライアント端末１ａは、認証済みＣｏｏｋｉｅと共にＵＲＬ０２へアクセスを行う（シーケンスＳＱ１５）。
クライアント端末１ａより認証済みＣｏｏｋｉｅを受信したＷｅｂサーバ２００は、認証済みＣｏｏｋｉｅを復号化し、ＩＰアドレス（ＩＰａ）を取得する。この際、ＩＰａと認証済みＣｏｏｋｉｅ送信者であるクライアント端末１ａのＩＰアドレスが異なる場合、不正なアクセスと判断する。本事例の場合、両方のＩＰアドレスが一致しているので、正当なアクセスと判断し、ＵＲＬ０２の開示を許可する（シーケンスＳＱ１６）。
図９は、本発明の実施形態であるユーザ認証システムの、第１の例外動作を示すシーケンス図である。
例えば、ユーザＩＤを持たないユーザがクライアント端末２ｂを利用して、Ｗｅｂサーバ２００にアクセスを試みる（シーケンスＳＱ２１）。
Ｗｅｂサーバ２００は、前記クライアント端末２ｂから認証済みＣｏｏｋｉｅが送信されたか否かを確認し、認証済みＣｏｏｋｉｅが送信されていない場合は、認証サーバ３００へのリダイレクト要求の指示を行う（シーケンスＳＱ２２）。
クライアント端末１ｂは、要求指示に従い、認証サーバ３００へアクセス（リダイレクト）する。このとき、前記Ｗｅｂサーバ２００へ行ったリクエストＵＲＬ（ＵＲＬ０２）をＰＯＳＴデータ等で送信する（シーケンスＳＱ２３）。
例えば、ユーザＩＤを持たないユーザがクライアント端末２ｂを利用して、Ｗｅｂサーバ２００にアクセスを試みる（シーケンスＳＱ２１）。
Ｗｅｂサーバ２００は、前記クライアント端末２ｂから認証済みＣｏｏｋｉｅが送信されたか否かを確認し、認証済みＣｏｏｋｉｅが送信されていない場合は、認証サーバ３００へのリダイレクト要求の指示を行う（シーケンスＳＱ２２）。
クライアント端末１ｂは、要求指示に従い、認証サーバ３００へアクセス（リダイレクト）する。このとき、前記Ｗｅｂサーバ２００へ行ったリクエストＵＲＬ（ＵＲＬ０２）をＰＯＳＴデータ等で送信する（シーケンスＳＱ２３）。
認証サーバ３００は、クライアント端末２ｂのＩＰアドレスを取得し、取得したＩＰアドレスをキーにして、情報格納サーバ４００に連絡アドレスの問い合わせを行う（シーケンスＳＱ２４）。
情報格納サーバ４００は、前記認証サーバ３００からの問い合わせに対して、送信された前記ＩＰアドレス（ＩＰ２ｂ）に対応する連絡用アドレスが存在するか否かを確認する。この場合では、前記ＩＰアドレス（ＩＰ２ｂ）に対応する連絡用アドレスが存在しないので、存在しない旨を前記認証サーバ３００に送信、応答する（シーケンスＳＱ２５）。
情報格納サーバ４００から問い合わせ結果を受け取った認証サーバ３００は、クライアント端末１ｂに対して、処理を行ったことを通知する（シーケンスＳＱ２６）。ユーザは、被認証権限チケットを取得することができないため、Ｗｅｂサーバ２００へのアクセスが不可能となる。
情報格納サーバ４００は、前記認証サーバ３００からの問い合わせに対して、送信された前記ＩＰアドレス（ＩＰ２ｂ）に対応する連絡用アドレスが存在するか否かを確認する。この場合では、前記ＩＰアドレス（ＩＰ２ｂ）に対応する連絡用アドレスが存在しないので、存在しない旨を前記認証サーバ３００に送信、応答する（シーケンスＳＱ２５）。
情報格納サーバ４００から問い合わせ結果を受け取った認証サーバ３００は、クライアント端末１ｂに対して、処理を行ったことを通知する（シーケンスＳＱ２６）。ユーザは、被認証権限チケットを取得することができないため、Ｗｅｂサーバ２００へのアクセスが不可能となる。
図１０は、本発明の実施形態であるユーザ認証システムの、第２の例外動作を示すシーケンス図である。
例えば、ユーザ３ｃが登録されたクライアント端末１ｃから、Ｗｅｂサーバ２００にアクセスし、ユーザ３ａの認証を試みる。
クライアント端末１ｃを使用して、Ｗｅｂサーバ２００にアクセスを試みる（シーケンスＳＱ３１）。
Ｗｅｂサーバ２００は、前記クライアント端末１ｃから認証済みＣｏｏｋｉｅが送信されたか否かを確認し、認証済みＣｏｏｋｉｅが送信されていないので、認証サーバ３００へのリダイレクト要求の指示を行う（シーケンスＳＱ３２）。
クライアント端末１ｃは、要求指示に従い、認証サーバ３００へアクセス（リダイレクト）する。このとき、前記Ｗｅｂサーバ２００へ行ったリクエストＵＲＬ（ＵＲＬ０２）をＰＯＳＴデータ等で送信する（シーケンスＳＱ３３）。
例えば、ユーザ３ｃが登録されたクライアント端末１ｃから、Ｗｅｂサーバ２００にアクセスし、ユーザ３ａの認証を試みる。
クライアント端末１ｃを使用して、Ｗｅｂサーバ２００にアクセスを試みる（シーケンスＳＱ３１）。
Ｗｅｂサーバ２００は、前記クライアント端末１ｃから認証済みＣｏｏｋｉｅが送信されたか否かを確認し、認証済みＣｏｏｋｉｅが送信されていないので、認証サーバ３００へのリダイレクト要求の指示を行う（シーケンスＳＱ３２）。
クライアント端末１ｃは、要求指示に従い、認証サーバ３００へアクセス（リダイレクト）する。このとき、前記Ｗｅｂサーバ２００へ行ったリクエストＵＲＬ（ＵＲＬ０２）をＰＯＳＴデータ等で送信する（シーケンスＳＱ３３）。
認証サーバ３００は、クライアント端末１ｃのＩＰアドレス（ＩＰｃ）を取得し、取得したＩＰアドレス（ＩＰｃ）をキーにして、情報格納サーバ４００に連絡アドレスの問い合わせを行う（シーケンスＳＱ３４）。
情報格納サーバ４００は、前記認証サーバ３００からの問い合わせに対して、送信されたＩＰアドレス（ＩＰｃ）に対応する連絡用アドレスが存在するか否かを確認し、存在したらそれを抽出し、前記認証サーバ３００へ応答、送信する（シーケンスＳＱ３５）。
この場合では、連絡用アドレスとして、ＩＰアドレス（ＩＰｃ）に対応したＡＤＤＲｃを認証サーバに送信している。
情報格納サーバ４００は、前記認証サーバ３００からの問い合わせに対して、送信されたＩＰアドレス（ＩＰｃ）に対応する連絡用アドレスが存在するか否かを確認し、存在したらそれを抽出し、前記認証サーバ３００へ応答、送信する（シーケンスＳＱ３５）。
この場合では、連絡用アドレスとして、ＩＰアドレス（ＩＰｃ）に対応したＡＤＤＲｃを認証サーバに送信している。
情報格納サーバ４００に対する問い合わせの応答を受信した認証サーバ３００は、動的に、被認証権限チケットを作成し（シーケンスＳＱ３６）、クライアント端末１ｃに対して、処理終了の通知を行い、同時に連絡用アドレスＡＤＤＲｃに被認証権限チケットを送信する（シーケンスＳＱ３７）。
ユーザ３ａは、クライアント端末１ｃを使って、連絡用アドレスＡＤＤＲｃに送付された被認証権限チケットを認証サーバ３００に送信し、認証を試みる（シーケンスＳＱ３８）。このとき、クライアント端末１ｃが被認証権限チケットを提出しなかった場合は、シーケンスＳＱ３４に戻ることとなる。
認証サーバ３００は、被認証権限チケットを受信し、有効期限の確認及び発行者の確認をした後、認証画面を送信する（シーケンスＳＱ３９）。
認証サーバ３００は、被認証権限チケットを受信し、有効期限の確認及び発行者の確認をした後、認証画面を送信する（シーケンスＳＱ３９）。
クライアント端末１ｃは、認証サーバ３００から受け取った認証画面を用い、要求された認証情報を入力し、認証情報、リクエストＵＲＬ（ＵＲＬ０２）を認証サーバ３００に送信する（シーケンスＳＱ４０）。
ここでは、ユーザ３ａが認証作業を試みているので、ユーザ３ａに関する認証情報を入力して、認証サーバ３００に送信する。
認証サーバ３００は、クライアント端末１ｃから送信された認証情報を受け取り、ユーザ認証を行う（シーケンスＳＱ４１）。認証が成功した場合は、情報格納サーバ４００に、認証が成功したユーザＩＤを送信し、対応するユーザ使用端末のＩＰアドレスを問い合わせる（シーケンスＳＱ４２）。
今回の場合、ユーザ認証にユーザ３ａの情報を用いたので、情報格納サーバに対してユーザＩＤ「ＵＩＤａ」を送信することになる。
ここでは、ユーザ３ａが認証作業を試みているので、ユーザ３ａに関する認証情報を入力して、認証サーバ３００に送信する。
認証サーバ３００は、クライアント端末１ｃから送信された認証情報を受け取り、ユーザ認証を行う（シーケンスＳＱ４１）。認証が成功した場合は、情報格納サーバ４００に、認証が成功したユーザＩＤを送信し、対応するユーザ使用端末のＩＰアドレスを問い合わせる（シーケンスＳＱ４２）。
今回の場合、ユーザ認証にユーザ３ａの情報を用いたので、情報格納サーバに対してユーザＩＤ「ＵＩＤａ」を送信することになる。
情報格納サーバ４００は、認証サーバ３００からの問い合わせのあった登録ＩＰアドレスを抽出し（シーケンスＳＱ４３）、認証サーバ３００に応答する。
本事例の場合、ユーザ３ａに対応する登録されたＩＰアドレスは「ＩＰａ」となり、このＩＰアドレスを返答する。
本事例の場合、ユーザ３ａに対応する登録されたＩＰアドレスは「ＩＰａ」となり、このＩＰアドレスを返答する。
認証サーバ３００は、情報格納サーバ４００からの応答を受信した後、認証済みＣｏｏｋｉｅを作成し、クライアント端末１ｃに対して前記認証済みＣｏｏｋｉｅを送信すると共に、前記ＵＲＬ０２へのリダイレクト要求を行う（シーケンスＳＱ４４）。このとき、認証済みＣｏｏｋｉｅには、ＩＰアドレス（ＩＰａ）が格納され、暗号化されている。
認証サーバ３００より、ＵＲＬ０２へのリダイレクト要求を受信したクライアント端末１ｃは、認証済みＣｏｏｋｉｅと共にＵＲＬ０２へアクセスを行う（シーケンスＳＱ４５）。
クライアント端末１ｃより認証済みＣｏｏｋｉｅを受信したＷｅｂサーバ２００は、認証済みＣｏｏｋｉｅを復号化し、ＩＰアドレス（ＩＰａ）を取得する。この際、認証済みＣｏｏｋｉｅ情報のＩＰａと、該認証済みＣｏｏｋｉｅ送信者であるクライアント端末１ｃのＩＰアドレス（ＩＰｃ）が互いに異なっているため、不正なアクセスと判断する（シーケンスＳＱ４６）。
認証サーバ３００より、ＵＲＬ０２へのリダイレクト要求を受信したクライアント端末１ｃは、認証済みＣｏｏｋｉｅと共にＵＲＬ０２へアクセスを行う（シーケンスＳＱ４５）。
クライアント端末１ｃより認証済みＣｏｏｋｉｅを受信したＷｅｂサーバ２００は、認証済みＣｏｏｋｉｅを復号化し、ＩＰアドレス（ＩＰａ）を取得する。この際、認証済みＣｏｏｋｉｅ情報のＩＰａと、該認証済みＣｏｏｋｉｅ送信者であるクライアント端末１ｃのＩＰアドレス（ＩＰｃ）が互いに異なっているため、不正なアクセスと判断する（シーケンスＳＱ４６）。
本発明の第１の効果は、ユーザＩＤ、パスワードが他人に漏洩しても、登録されたユーザ以外では、Ｗｅｂサーバの情報を閲覧できない点である。その理由は、認証サーバにて認証を受けるために必要となる被認証権限チケットが、登録されたユーザにしか配布されないためである。
また、本発明の第２の効果は、認証済みＣｏｏｋｉｅを盗用されても、登録された端末以外ではサーバに接続できない点である。その理由は、暗号化された認証済みＣｏｏｋｉｅに、その正当な所有者の端末のＩＰアドレスが格納されているためである。
また、前記第２の効果によってもたらされる第３の効果は、Ｗｅｂサーバとクライアント端末間の通信を暗号化する必要がないため、運用コストが軽減できるという点である。
また、本発明の第２の効果は、認証済みＣｏｏｋｉｅを盗用されても、登録された端末以外ではサーバに接続できない点である。その理由は、暗号化された認証済みＣｏｏｋｉｅに、その正当な所有者の端末のＩＰアドレスが格納されているためである。
また、前記第２の効果によってもたらされる第３の効果は、Ｗｅｂサーバとクライアント端末間の通信を暗号化する必要がないため、運用コストが軽減できるという点である。
図１１は、本発明の実施形態であるユーザ認証システムの、第２のネットワーク構成を示す図である。
図１〜図１０までは、小規模のユーザ認証システムについて説明したが、図１１に示すように、規模を拡大することが可能である。
すなわち、Ｗｅｂサーバが、１台ではなく、ｍ種類の情報提供を行うことが可能である２００ａ〜２００ｍまでのｍ台であり、ユーザ認証システムに登録されたクライアント端末の数が、２台ではなく、１ａ〜１ｎまでのｎ台であり、ユーザ認証システムに登録されていないクライアント端末の数が、１台ではなく、２ａ〜２ｋまでのｋ台である。
このように、本発明においては、様々な情報提供を行うＷｅｂサーバを複数台設置したり、ユーザ認証システムに登録されたクライアント端末の台数、登録されていないクライアント端末の台数を自由に設定することが可能である。
図１〜図１０までは、小規模のユーザ認証システムについて説明したが、図１１に示すように、規模を拡大することが可能である。
すなわち、Ｗｅｂサーバが、１台ではなく、ｍ種類の情報提供を行うことが可能である２００ａ〜２００ｍまでのｍ台であり、ユーザ認証システムに登録されたクライアント端末の数が、２台ではなく、１ａ〜１ｎまでのｎ台であり、ユーザ認証システムに登録されていないクライアント端末の数が、１台ではなく、２ａ〜２ｋまでのｋ台である。
このように、本発明においては、様々な情報提供を行うＷｅｂサーバを複数台設置したり、ユーザ認証システムに登録されたクライアント端末の台数、登録されていないクライアント端末の台数を自由に設定することが可能である。
図１１に示すような構成においては、例えば、Ｗｅｂサーバ２００ａに初回アクセスを行い、図４で示したシーケンスＳＱ１〜ＳＱ１６の一連の認証手続が完了すると、その後は、Ｗｅｂサーバ２００ｂ、２００ｃ等に初回アクセスした場合でも、図４で示した一連の認証手続を行わずに、Ｗｅｂサーバ２００ｂ、２００ｃ等が提供する情報を参照することが可能である。つまり、前記Ｗｅｂサーバ２００ａ〜２００ｍは、いずれも、クライアント端末から送信された認証済みＣｏｏｋｉｅに格納されているＩＰアドレスと、認証済みＣｏｏｋｉｅを送信したクライアント端末のＩＰアドレスが一致しているか否かを判別して、前記クライアント端末に情報提供を行うか否かを判別しているからである。
これにより、認証済み情報を、複数の異なる情報を提供するＷｅｂサーバで使い回す複合的なシステムにも適用することが可能となる。
これにより、認証済み情報を、複数の異なる情報を提供するＷｅｂサーバで使い回す複合的なシステムにも適用することが可能となる。
図１２は、本発明の実施形態であるユーザ認証システムの、第２のネットワーク構成におけるデータ構成を示す図である。
本図に示すように、ユーザ３ａが利用するユーザ端末１ａには、ＩＰアドレスＩＰａを、ユーザ端末１ｂがＩＰｂを、・・・、ユーザ端末１ｎがＩＰｎを、というように、それぞれがＩＰアドレスを有する。また、ユーザ認証システムの構成に含まれない端末２ａ、２ｂ、・・・、２ｋも、それぞれＩＰアドレスＩＰ２ａ、ＩＰ２ｂ、・・・、ＩＰ２ｋを有する（図１２−（ａ）参照）。
また、サーバ側では、ｎ人分のユーザデータを有している（図１２−（ｂ）参照）。
本図に示すように、ユーザ３ａが利用するユーザ端末１ａには、ＩＰアドレスＩＰａを、ユーザ端末１ｂがＩＰｂを、・・・、ユーザ端末１ｎがＩＰｎを、というように、それぞれがＩＰアドレスを有する。また、ユーザ認証システムの構成に含まれない端末２ａ、２ｂ、・・・、２ｋも、それぞれＩＰアドレスＩＰ２ａ、ＩＰ２ｂ、・・・、ＩＰ２ｋを有する（図１２−（ａ）参照）。
また、サーバ側では、ｎ人分のユーザデータを有している（図１２−（ｂ）参照）。
図１３は、本発明の実施形態であるユーザ認証システムの、第３のネットワーク構成を示す図である。
図１〜図１０、及び図１１〜図１２では、Ｗｅｂサーバ２００、認証サーバ３００、情報格納サーバ４００を別々に構成したが、図１３に示すように、例えば、認証サーバと情報格納サーバを、同一の情報処理装置（例えば、ワークステーションやサーバ装置）で構成することも可能である。
つまり、一般的に、サーバ装置等の情報処理装置を制御するオペレーション・システム（ＯＳ）は、１台の装置で、同一ネットワーク内の情報処理装置からの様々な要求に対して、各要求に対応するサービスという形で、常時待機していて、要求に対する応答を行っているからである。
図１〜図１０、及び図１１〜図１２では、Ｗｅｂサーバ２００、認証サーバ３００、情報格納サーバ４００を別々に構成したが、図１３に示すように、例えば、認証サーバと情報格納サーバを、同一の情報処理装置（例えば、ワークステーションやサーバ装置）で構成することも可能である。
つまり、一般的に、サーバ装置等の情報処理装置を制御するオペレーション・システム（ＯＳ）は、１台の装置で、同一ネットワーク内の情報処理装置からの様々な要求に対して、各要求に対応するサービスという形で、常時待機していて、要求に対する応答を行っているからである。
なお、上記に示した実施形態（実施例１〜実施例３）は、本発明の好適な実施の一例であるが、本発明の実施形態はこれらに限定されるものではなく、本発明の要旨を逸脱しない範囲内で、様々な変形実施が可能である。
以上の説明から明らかなように、外部装置へ情報の要求を行う情報要求手段と、送信された情報を表示する情報表示手段とを有する情報処理端末と、前記情報処理端末に対して情報提供を行う情報提供手段を有する情報提供装置と、前記情報処理端末から前記情報提供装置にアクセスした際に認証を行う認証手段を有する認証装置と、前記認証にて必要となる情報を管理している情報管理手段を有する情報格納装置とが、ネットワークを介して互いに情報通信することが可能なユーザ認証システムであって、前記情報処理端末は、認証を得るために認証画面を表示する認証画面表示手段と、認証情報を入力する認証情報入力手段とを有し、前記情報提供装置は、前記情報処理端末から認証済みＣｏｏｋｉｅが送信されたか否かを判断するＣｏｏｋｉｅ有無判別手段と、認証済みＣｏｏｋｉｅの内容から、前記情報処理端末からのアクセスが正当なアクセスであるか否かを判別するＣｏｏｋｉｅ内容判別手段と、前記Ｃｏｏｋｉｅ内容判別手段にて、正当なアクセスであると判別された場合は、前記情報処理端末に対して情報提供を行う第２の情報提供手段とを有し、前記認証装置は、前記情報処理端末に関する情報を情報格納装置に送信して連絡用アドレスを問い合わせする連絡用アドレス問い合わせ手段と、被認証権限チケットを作成し、前記情報処理端末に送信するチケット作成・送信手段と、情報処理端末から送信されたチケットを受信し、前記情報処理端末へ認証画面を送信する認証画面送信手段と、情報処理端末から送信された認証情報を受信し、認証を行う第２の認証手段と、前記第２の認証手段で認証された場合は、前記認証情報を前記情報格納装置へ送信して、前記認証情報に対する登録端末ＩＰアドレスを問い合わせする登録端末ＩＰ問い合わせ手段と、認証済みＣｏｏｋｉｅを作成し、前記情報処理端末に送信するＣｏｏｋｉｅ作成・送信手段とを有し、前記情報格納装置は、前記連絡用アドレス問い合わせに応じて、連絡用アドレスを抽出し、送信する連絡用アドレス抽出・応答手段と、前記登録端末ＩＰアドレス問い合わせに応じて、登録端末ＩＰアドレスを抽出し、送信する登録端末ＩＰ抽出・応答手段とを有することにより、ユーザＩＤやパスワードが他人に知られた場合やＣｏｏｋｉｅが盗聴された場合でも不正な接続を防ぐことが可能となる。
また、前記Ｃｏｏｋｉｅ有無判別手段は、前記情報処理端末から認証済みＣｏｏｋｉｅが送信されなかった場合に、前記認証装置にリダイレクト要求を行うリダイレクト要求手段を有することにより、Ｗｅｂサーバに初回アクセスしたユーザは、必ず認証手続を行わなければならなくなる。
また、前記連絡用アドレス抽出・送信手段は、前記認証装置から送信されたＩＰアドレスをキーにして連絡用アドレスを抽出し、送信する第２の連絡用アドレス抽出・送信手段と、前記ＩＰアドレスに対応する連絡用アドレスが抽出できなかった場合は、見つからなかった旨を送信する第３の連絡用アドレス抽出・送信手段とを有することにより、正規ユーザでない第三者がシステムを利用することが不可能となる。
また、前記チケット作成・送信手段は、連絡用アドレスが送信された場合には、被認証権限チケットを作成し、前記被認証権限チケットを前記連絡用アドレスに送信する第２のチケット作成・送信手段と、連絡用アドレスが送信されなかった場合には、連絡用チケットが見つからなかった旨を前記情報処理装置に通知する第１の通知手段とを有することにより、正規ユーザでない第三者がシステムを利用することが不可能となる。
また、前記認証情報は、ユーザＩＤとパスワードであり、前記第２の認証手段は、前記ユーザＩＤ及びパスワードから認証可否を決定する認証可否決定手段を有することにより、正規ユーザでない第三者がシステムを利用することが不可能となる。
また、前記第２の認証手段にて認証されなかった場合は、前記情報処理装置に認証されなかった旨を通知する第２の通知手段を有することにより、正規ユーザでない第三者がシステムを利用することが不可能となる。
また、前記Ｃｏｏｋｉｅ作成・送信手段は、前記登録端末ＩＰ抽出・応答手段にて得られた登録端末ＩＰアドレスを暗号化する暗号化手段と、前記暗号化手段により暗号化された登録端末ＩＰアドレスを含ませて認証済みＣｏｏｋｉｅを作成し、送信する第２の認証済みＣｏｏｋｉｅ作成・送信手段とを有することにより、Ｃｏｏｋｉｅそのものが盗聴されても、Ｃｏｏｋｉｅの中身を解読することが不可能となる。
また、前記Ｃｏｏｋｉｅ内容判別手段は、認証済みＣｏｏｋｉｅ内の暗号化されたＩＰアドレスを復号化する復号化手段と、認証済みＣｏｏｋｉｅを送信した情報処理端末のＩＰアドレスと、前記復号化手段により複合化されたＩＰアドレスを比較する比較手段とを有することにより、より安全な認証手続を行うことが可能となる。
また、前記情報提供装置はＷｅｂサーバであり、前記認証装置は、認証サーバであり、前記情報格納装置は、情報格納サーバであることにより、一般的に流通している情報処理システムに対して、本発明に係るユーザ認証システムを用いることが可能となる。
１ 端末（システムに登録された端末）
２ 端末（システムに未登録の端末）
３ ユーザ（端末利用者）
１０４ 入力部
１０５ 出力部
１０６ 被認証チケット送信部
１０７ 認証済みＣｏｏｋｉｅ送信部
２００ Ｗｅｂサーバ
２０４ Ｃｏｏｋｉｅ有無判定部
２０５ ＩＰアドレス判定部
２０６ 情報格納部
２０７ 情報提供部
３００ 認証サーバ
３０４ 連絡用アドレス問い合わせ部
３０５ 被認証チケット作成・送信部
３０６ 認証画面送信部
３０７ 認証処理部
３０８ 登録ＩＰアドレス問い合わせ部
３０９ 認証済みＣｏｏｋｉｅ作成・送信部
４００ 情報格納サーバ
４０４ 連絡用アドレス抽出・送信部
４０５ 登録ＩＰアドレス抽出・送信部
５００ 認証サーバ＋情報格納サーバ
ＡＤＤＲａ〜ＡＤＤＲｘ 連絡用アドレス
ＩＰａ〜ＩＰｘ クライアント端末ＩＰアドレス
ＰＡＳＳａ〜ＰＡＳＳｘ ログインパスワード
ＵＩＤａ〜ＵＩＤｘ ユーザＩＤ
２ 端末（システムに未登録の端末）
３ ユーザ（端末利用者）
１０４ 入力部
１０５ 出力部
１０６ 被認証チケット送信部
１０７ 認証済みＣｏｏｋｉｅ送信部
２００ Ｗｅｂサーバ
２０４ Ｃｏｏｋｉｅ有無判定部
２０５ ＩＰアドレス判定部
２０６ 情報格納部
２０７ 情報提供部
３００ 認証サーバ
３０４ 連絡用アドレス問い合わせ部
３０５ 被認証チケット作成・送信部
３０６ 認証画面送信部
３０７ 認証処理部
３０８ 登録ＩＰアドレス問い合わせ部
３０９ 認証済みＣｏｏｋｉｅ作成・送信部
４００ 情報格納サーバ
４０４ 連絡用アドレス抽出・送信部
４０５ 登録ＩＰアドレス抽出・送信部
５００ 認証サーバ＋情報格納サーバ
ＡＤＤＲａ〜ＡＤＤＲｘ 連絡用アドレス
ＩＰａ〜ＩＰｘ クライアント端末ＩＰアドレス
ＰＡＳＳａ〜ＰＡＳＳｘ ログインパスワード
ＵＩＤａ〜ＵＩＤｘ ユーザＩＤ
Claims (9)
- 外部装置へ情報の要求を行う情報要求手段と、送信された情報を表示する情報表示手段とを有する情報処理端末と、
前記情報処理端末に対して情報提供を行う情報提供手段を有する情報提供装置と、
前記情報処理端末から前記情報提供装置にアクセスした際に認証を行う認証手段を有する認証装置と、
前記認証にて必要となる情報を管理している情報管理手段を有する情報格納装置とが、ネットワークを介して互いに情報通信することが可能なユーザ認証システムであって、
前記情報処理端末は、
認証を得るために認証画面を表示する認証画面表示手段と、
認証情報を入力する認証情報入力手段とを有し、
前記情報提供装置は、
前記情報処理端末から認証済みＣｏｏｋｉｅが送信されたか否かを判断するＣｏｏｋｉｅ有無判別手段と、
認証済みＣｏｏｋｉｅの内容から、前記情報処理端末からのアクセスが正当なアクセスであるか否かを判別するＣｏｏｋｉｅ内容判別手段と、
前記Ｃｏｏｋｉｅ内容判別手段にて、正当なアクセスであると判別された場合は、前記情報処理端末に対して情報提供を行う第２の情報提供手段とを有し、
前記認証装置は、
前記情報処理端末に関する情報を情報格納装置に送信して連絡用アドレスを問い合わせする連絡用アドレス問い合わせ手段と、
被認証権限チケットを作成し、前記情報処理端末に送信するチケット作成・送信手段と、
情報処理端末から送信されたチケットを受信し、前記情報処理端末へ認証画面を送信する認証画面送信手段と、
情報処理端末から送信された認証情報を受信し、認証を行う第２の認証手段と、
前記第２の認証手段で認証された場合は、前記認証情報を前記情報格納装置へ送信して、前記認証情報に対する登録端末ＩＰアドレスを問い合わせする登録端末ＩＰ問い合わせ手段と、
認証済みＣｏｏｋｉｅを作成し、前記情報処理端末に送信するＣｏｏｋｉｅ作成・送信手段とを有し、
前記情報格納装置は、
前記連絡用アドレス問い合わせに応じて、連絡用アドレスを抽出し、送信する連絡用アドレス抽出・応答手段と、
前記登録端末ＩＰアドレス問い合わせに応じて、登録端末ＩＰアドレスを抽出し、送信する登録端末ＩＰ抽出・応答手段とを有することを特徴とするユーザ認証システム。 - 前記Ｃｏｏｋｉｅ有無判別手段は、前記情報処理端末から認証済みＣｏｏｋｉｅが送信されなかった場合に、前記認証装置にリダイレクト要求を行うリダイレクト要求手段を有することを特徴とする請求項１記載のユーザ認証システム。
- 前記連絡用アドレス抽出・送信手段は、
前記認証装置から送信されたＩＰアドレスをキーにして連絡用アドレスを抽出し、送信する第２の連絡用アドレス抽出・送信手段と、
前記ＩＰアドレスに対応する連絡用アドレスが抽出できなかった場合は、見つからなかった旨を送信する第３の連絡用アドレス抽出・送信手段とを有することを特徴とする請求項１または２に記載のユーザ認証システム。 - 前記チケット作成・送信手段は、
連絡用アドレスが送信された場合には、被認証権限チケットを作成し、前記被認証権限チケットを前記連絡用アドレスに送信する第２のチケット作成・送信手段と、
連絡用アドレスが送信されなかった場合には、連絡用チケットが見つからなかった旨を前記情報処理装置に通知する第１の通知手段とを有することを特徴とする請求項３記載のユーザ認証システム。 - 前記認証情報は、ユーザＩＤとパスワードであり、
前記第２の認証手段は、前記ユーザＩＤ及びパスワードから認証可否を決定する認証可否決定手段を有することを特徴とする請求項１〜４のいずれか１項に記載のユーザ認証システム。 - 前記第２の認証手段にて認証されなかった場合は、前記情報処理装置に認証されなかった旨を通知する第２の通知手段を有することを特徴とする請求項１〜５のいずれか１項に記載のユーザ認証システム。
- 前記Ｃｏｏｋｉｅ作成・送信手段は、
前記登録端末ＩＰ抽出・応答手段にて得られた登録端末ＩＰアドレスを暗号化する暗号化手段と、
前記暗号化手段により暗号化された登録端末ＩＰアドレスを含ませて認証済みＣｏｏｋｉｅを作成し、送信する第２の認証済みＣｏｏｋｉｅ作成・送信手段とを有することを特徴とする請求項１〜６のいずれか１項に記載のユーザ認証システム。 - 前記Ｃｏｏｋｉｅ内容判別手段は、
認証済みＣｏｏｋｉｅ内の暗号化されたＩＰアドレスを復号化する復号化手段と、
認証済みＣｏｏｋｉｅを送信した情報処理端末のＩＰアドレスと、前記復号化手段により複合化されたＩＰアドレスを比較する比較手段とを有することを特徴とする請求項７記載のユーザ認証システム。 - 前記情報提供装置はＷｅｂサーバであり、
前記認証装置は、認証サーバであり、
前記情報格納装置は、情報格納サーバであることを特徴とする請求項１〜８のいずれか１項に記載のユーザ認証システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003387182A JP2005149239A (ja) | 2003-11-17 | 2003-11-17 | ユーザ認証システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003387182A JP2005149239A (ja) | 2003-11-17 | 2003-11-17 | ユーザ認証システム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2005149239A true JP2005149239A (ja) | 2005-06-09 |
Family
ID=34694636
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003387182A Pending JP2005149239A (ja) | 2003-11-17 | 2003-11-17 | ユーザ認証システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2005149239A (ja) |
Cited By (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007109122A (ja) * | 2005-10-17 | 2007-04-26 | Nomura Research Institute Ltd | 認証システム、認証方法および認証プログラム |
| JP2008027113A (ja) * | 2006-07-20 | 2008-02-07 | Sharp Corp | 認証システムおよび認証方法 |
| JP2009521046A (ja) * | 2005-12-23 | 2009-05-28 | インターナショナル・ビジネス・マシーンズ・コーポレーション | セキュアなｉｄ管理 |
| JP2011154688A (ja) * | 2010-01-27 | 2011-08-11 | Keypasco Ab | ネットワーク認証方法、および、ネットワーク認証方法を実行するためのネットワーク認証デバイス |
| JP2011233128A (ja) * | 2010-04-28 | 2011-11-17 | Electronics And Telecommunications Research Institute | ゾンビ識別のための仮想サーバー及びその方法、並びに仮想サーバーに基づいてゾンビ情報を統合管理するためのシンクホールサーバー及び方法 |
| US8474030B2 (en) | 2007-08-21 | 2013-06-25 | Nhn Business Platform Corporation | User authentication system using IP address and method thereof |
| WO2014035220A2 (ko) * | 2012-09-03 | 2014-03-06 | 엘지이노텍 주식회사 | 프로그램 인증 방법 및 시스템 |
| JP2014164544A (ja) * | 2013-02-26 | 2014-09-08 | Genetec Corp | サーバー |
| JP2016192815A (ja) * | 2016-08-12 | 2016-11-10 | ヤマハ株式会社 | 近接通信システムおよび近接通信装置 |
| US9667626B2 (en) | 2010-01-27 | 2017-05-30 | Keypasco Ab | Network authentication method and device for implementing the same |
| JP2020013288A (ja) * | 2018-07-17 | 2020-01-23 | 富士通株式会社 | 認証プログラム、認証方法及び認証装置 |
-
2003
- 2003-11-17 JP JP2003387182A patent/JP2005149239A/ja active Pending
Cited By (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007109122A (ja) * | 2005-10-17 | 2007-04-26 | Nomura Research Institute Ltd | 認証システム、認証方法および認証プログラム |
| JP2009521046A (ja) * | 2005-12-23 | 2009-05-28 | インターナショナル・ビジネス・マシーンズ・コーポレーション | セキュアなｉｄ管理 |
| US7836298B2 (en) | 2005-12-23 | 2010-11-16 | International Business Machines Corporation | Secure identity management |
| JP2008027113A (ja) * | 2006-07-20 | 2008-02-07 | Sharp Corp | 認証システムおよび認証方法 |
| US8474030B2 (en) | 2007-08-21 | 2013-06-25 | Nhn Business Platform Corporation | User authentication system using IP address and method thereof |
| JP2011154688A (ja) * | 2010-01-27 | 2011-08-11 | Keypasco Ab | ネットワーク認証方法、および、ネットワーク認証方法を実行するためのネットワーク認証デバイス |
| US9667626B2 (en) | 2010-01-27 | 2017-05-30 | Keypasco Ab | Network authentication method and device for implementing the same |
| JP2011233128A (ja) * | 2010-04-28 | 2011-11-17 | Electronics And Telecommunications Research Institute | ゾンビ識別のための仮想サーバー及びその方法、並びに仮想サーバーに基づいてゾンビ情報を統合管理するためのシンクホールサーバー及び方法 |
| US8706866B2 (en) | 2010-04-28 | 2014-04-22 | Eletronics And Telecommunications Research Institute | Virtual server and method for identifying zombie, and sinkhole server and method for integratedly managing zombie information |
| WO2014035220A2 (ko) * | 2012-09-03 | 2014-03-06 | 엘지이노텍 주식회사 | 프로그램 인증 방법 및 시스템 |
| WO2014035220A3 (ko) * | 2012-09-03 | 2014-04-24 | 엘지이노텍 주식회사 | 프로그램 인증 방법 및 시스템 |
| US9355243B2 (en) | 2012-09-03 | 2016-05-31 | Lg Innotek Co., Ltd. | Method and system for program authentication |
| JP2014164544A (ja) * | 2013-02-26 | 2014-09-08 | Genetec Corp | サーバー |
| JP2016192815A (ja) * | 2016-08-12 | 2016-11-10 | ヤマハ株式会社 | 近接通信システムおよび近接通信装置 |
| JP2020013288A (ja) * | 2018-07-17 | 2020-01-23 | 富士通株式会社 | 認証プログラム、認証方法及び認証装置 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR100986441B1 (ko) | 정보 보안 방법, 정보 보안 시스템, 및 보안 프로토콜을 갖는 컴퓨터 판독 가능 저장 매체 | |
| AU2009294201B2 (en) | Authorization of server operations | |
| JP5978759B2 (ja) | サービス要求装置、サービス提供システム、サービス要求方法およびサービス要求プログラム | |
| CN1701295B (zh) | 用于对计算机网格进行单次登录访问的方法和系统 | |
| CN101350717B (zh) | 一种通过即时通信软件登录第三方服务器的方法及系统 | |
| US9185096B2 (en) | Identity verification | |
| EP1722532A2 (en) | Deliver-upon-request secure electronic message system | |
| JP2003022253A (ja) | サーバ、情報処理装置及びそのアクセス制御システム並びにその方法 | |
| US20030061350A1 (en) | File transfer system for secure remote file accesses | |
| CN1885771A (zh) | 用于建立安全通信会话的方法与装置 | |
| JP2002215582A (ja) | 認証方法及び装置 | |
| KR20010085380A (ko) | 인터넷을 통해 행해진 상업형 트랜잭션을 방호하기 위해장치들을 연관시키는 방법 및 시스템 | |
| JP2004509399A (ja) | ネットワークにわたって配布されるオブジェクトを保護するためのシステム | |
| JP2001186122A (ja) | 認証システム及び認証方法 | |
| JP2005149239A (ja) | ユーザ認証システム | |
| JP2003518820A (ja) | 循環暗号化および復号化プロセスのための方法および装置 | |
| JP2005115743A (ja) | 携帯電話と暗号を利用した情報通信端末の自動認証システム | |
| JP7079528B2 (ja) | サービス提供システム及びサービス提供方法 | |
| JP4324951B2 (ja) | パスワードシステム | |
| JP2002007355A (ja) | パスワードを用いた通信方法 | |
| JP2004295610A (ja) | 金融取引支援装置及びプログラム | |
| JP2003304242A (ja) | 単一秘密鍵による複数認証装置及び方法並び該方法を用いたｗｅｂサービス利用方法 | |
| JPH11331142A (ja) | 公開鍵証書管理方法および装置 | |
| Ray et al. | Towards a privacy preserving e-commerce protocol | |
| JP2007279775A (ja) | ウェブ・アクセスポイント認証（ｗａｐａ）が可能なウェブサーバー認証システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20071212 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080226 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20080624 |