JP2006260321A

JP2006260321A - サービス提供システムおよびそのユーザ認証方法

Info

Publication number: JP2006260321A
Application number: JP2005078396A
Authority: JP
Inventors: Mika Iori; 美香庵
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2005-03-18
Filing date: 2005-03-18
Publication date: 2006-09-28

Abstract

【課題】
ユーザがサービスの提供を受ける複数のサービスサーバに対するユーザ認証処理を容易にすると共にユーザ情報のセキュリティを維持可能なサービス提供システムおよびそのユーザ認証方法を提供する。
【解決手段】
ユーザのサービス取得を仲介する仲介サーバ（クライアント）４０および連係動作する複数のサービスサーバ２０、３０により構成されている。クライアント４０は、入出力装置４１および認証情報添付装置４２により構成される。認証情報添付装置４２は、ユーザ情報暗号化装置４２１およびユーザ情報登録サイト公開鍵証明書記憶装置４２２を含み、サービス要求メッセージと共に暗号化されたユーザ認証情報をメッセージとしてユーザサーバ２０、３０へ送信する。
【選択図】図１

Description

本発明はサービス提供システムに関し、特に複数のサイトのサービスサーバから仲介サーバを介してユーザがサービスの提供を受けるサービス提供システムおよびそのユーザ認証方法に関する。

登録されたユーザに対して専門化された種々のサービスを提供するサービス提供者（サービスプロバイダ）が存在し、ユーザは、選択されたサービスプロバイダに、例えばインターネット等のネットワークを介してアクセスして簡単且つ迅速に必要なサービスを取得可能である。ユーザが、斯かるサービスプロバイダからサービスを受けるには、ユーザのアクセス時点において、このユーザが要求したサービスの提供を受ける資格を有するユーザであるか否かを判断する「ユーザ認証」を行う。

複数のサーバサイトに対するユーザ認証を容易にする、所謂「シングルサインオン」を実現するためのユーザの認証方法には、一般に次の２つの方法がある。第１の方法は、各サイトのユーザ情報を単一のサイトで一元管理し、各サイトは一元管理を行っているサイトへ認証を依頼する。第２の方法は、ユーザが、認証するための情報を登録しているサイトで認証を受け、認証に成功した場合に、シングルサインオンを可能にしているサイト間で有効な、ユーザ認証に成功した旨を示すトークンを持ちまわる。

斯かるユーザ認証又は認証システムに関する又は関連する従来技術は、幾つかの技術文献に開示されている。ネットワークを介して接続された複数のサーバサイトに対して共通の認証サーバにより認証することにより、サーバサイト毎に認証サーバを使用する必要をなくする一般的なシングルサインオン技術が開示されている（例えば、特許文献１および特許文献２参照。）。

また、クライアントが行うべきサーバ認証等の処理を中継装置が代行するデータ通信におけるセキュリティ機能代理システム等が開示されている（例えば、特許文献３参照。）。更に、各加盟事業者が個別のＩＤ体系でユーザ管理ができるシングルサインオンシステムが開示されている（例えば、特許文献４参照。）。

特開２００４‐３８６４６号公報（第５−６頁、第１図）特開２００３‐８５１４１号公報（第５−６頁、第５図）特開２００２‐８２９０７号公報（第１２‐１３頁、第１０図）特開２００４‐２３４３２９号公報（第９頁、第１図）

上述の如き従来技術は、次の如き幾つかの課題を有する。即ち、ユーザの情報を管理しているサイトにアクセスが集中する。また、シングルサインオンを行うサイト間連携に参加する各サイトは、それぞれで管理しているユーザ情報を他のサイトへ提供しなければならないため、セキュリティ上の課題が生じる。更に、ユーザが認証を受けるためには、ユーザは必ず最初に自分の登録されているサイトへアクセスし、認証された上で目的のサイトへアクセスしなくてはならないという不便がある。

本発明は、従来技術の上述した課題に鑑みなされたものであり、斯かる課題を克服又は軽減するサービス提供システムおよびそのユーザ認証方法を提供することを目的とする。

前述の課題を解決するため、本発明によるサービス提供システムおよびそのユーザ認証方法は、次のような特徴的な構成を採用している。

（１）ユーザによる仲介サーバからの要求によりユーザにサービスを提供する複数のサービスサーバを備えるサービス提供システムにおいて、
前記仲介サーバは、認証情報添付装置を備え、該認証情報添付装置が添付する認証情報を前記サービスサーバに、前記サービスの要求メッセージと共に送信してユーザ認証するサービス提供システム。
（２）前記認証情報添付装置が添付する認証情報は、暗号化される上記（１）のサービス提供システム。
（３）前記認証情報添付装置は、前記ユーザがユーザ登録を行ったサービスサーバのサイトの公開鍵証明書を管理するユーザ情報登録サイト公開鍵証明書記憶装置および前記公開鍵証明書を用いてユーザの認証情報を暗号化するユーザ情報暗号化装置を備える上記（１）のサービス提供システム。
（４）前記ユーザの認証情報は、ＩＤ又はパスワードである上記（３）のサービス提供システム。
（５）前記各サービスサーバは、前記仲介サーバからのサービス要求を受け取るサービス受付装置、サービスを要求したユーザを認証するためのユーザ情報を管理してユーザ認証するユーザ認証装置、連携するサービスサーバのサイトの公開鍵証明書とその持ち主であるＵＲＬを管理する連携サイト情報管理装置およびユーザにサービスを提供するサービス提供装置を備える上記（１）乃至（４）のサービス提供システム。
（６）前記連携サイト情報管理装置は、前記連携する複数のサイトの持つ公開鍵証明書および前記連携するサイトのＵＲＬを１つのレコードとした情報を保持する上記（５）のサービス提供システム。
（７）サービスを提供する複数のサービスサーバおよびユーザが前記サービスサーバからのサービスの提供を受けられるようにする仲介サーバを備えるサービス提供システムにおいて、
前記仲介サーバは、ユーザの認証情報を前記サービスサーバの公開鍵証明書を使用して暗号化してユーザ要求を前記サービスサーバの何れかに送信する手段を備え、
前記各サービスサーバは、前記公開鍵証明書および持ち主であるサイトのＵＲＬの関係を管理する管理装置および前記要求に添付された公開鍵証明書が自サイトのものでない場合に前記管理装置から持ち主のＵＲＬを取得して、認証の要求先を特定する手段を備えるサービス提供システム。
（８）ユーザが仲介サーバを介してサービスを提供する複数のサービスサーバの何れかにサービスを要求してサービスの提供を受けるサービス提供システムのユーザ認証方法において、
ユーザの認証情報をユーザ登録した何れかのサービスサーバのサイトの公開鍵証明書で暗号化するステップと、該公開鍵証明書が自サイトのものか否か判断するステップと、自サイトのものでない場合には、ユーザの認証情報を他の連携サイトへ送信するステップと、ユーザの認証情報を復号するステップとを備えるユーザ認証方法。

本発明によるユーザ認証システムおよびユーザ認証方法によると、次の如き種々の実用上の顕著な効果が得られる。第１に、ユーザ情報を他のサイトに登録することなく、サイト間の認証連携を実現でき、また認証連携するサイトそれぞれにユーザが認証情報を登録することなく認証を行うことが可能である。その理由は、ユーザの認証情報を、連携するサイト群の中の１つのサイトに登録していれば、認証連携している他のサイトは、ユーザ情報を登録している他のサイトを検索してユーザの認証をそのサイトへ依頼するためである。

第２に、各サイトは、認証連携を行いたいユーザを、他のサイトに通知することなく自由に登録可能である。その理由は、サービス提供サイトは、ユーザの認証を、ユーザが登録された個々のサイトに任せているためである。第３に、ユーザは、目的のサイトへ、直接サービスの要求をすることが可能である。その理由は、認証連携を行うサイトが、ユーザの認証を行うことができるサイトを自動的に判断できるためである。第４に、ユーザの認証を行う特別なサイトを設けることなく、認証連携が可能である。その理由は、ユーザの認証は個々のサイトで行い、ユーザ情報を一元管理する必要がないためである。

以下、本発明によるユーザ認証システムおよびユーザ認証方法の好適実施例の構成および動作を、添付図面を参照して詳細に説明する。

先ず、図1は、本発明によるサービス提供システムの好適実施例のシステム構成図である。このサービス提供システム１０は、２つのサービスサーバ（以下、サイトという）、即ちサイト２０およびサイト３０と仲介サーバ（以下、クライアントという）４０により構成される。尚、サイトの数は、任意であり、図１の実施例に示す２個に限定されないこと勿論である。

ここで、クライアント４０は、ユーザの代わりにサービス要求をサイト２０又は３０に対して送信する。サイト２０、３０は、クライアント４０からサービス要求を受け取り、必要な処理を行う機能を有するサーバ等である。

クライアント４０は、入出力装置４１および認証情報添付装置４２により構成されている。更に、認証情報添付装置４２は、ユーザ情報暗号化装置４２１およびユーザ情報登録サイト公開鍵証明書記憶装置４２２を含んでいる。入出力装置４１は、ユーザ要求の受付およびサービス結果の提示を行う。認証情報添付装置４２は、各サイト２０、３０へのメッセージに認証のために必要となる情報を付加する。認証情報添付装置４２のユーザ情報登録サイト公開鍵証明書記憶装置４２２は、ユーザの認証情報を登録したサイト（例えば、サイト２０）の公開鍵証明書を管理する。ユーザ情報暗号化装置４２１は、ユーザ登録サイトの公開鍵証明書を使用してユーザの認証情報を暗号化する。

次に、サイト２０、３０は同一構成であり、それぞれサービス要求受付装置２１、３１、ユーザ認証装置２２、３２、連携サイト情報管理装置２３、３３およびサービス提供装置２４、３４により構成される。そして、サービス要求受付装置２１、３１は、ユーザ認証装置２２、３２、連携サイト情報管理装置２３、３３およびサービス提供装置２４、３４に接続されている。

各サイト２０、３０において、サービス要求受付装置２１、３１は、クライアント４０からのサービス要求を受け取る。ユーザ認証装置２２、３２は、サービス要求したユーザを認証するためのユーザ情報を管理し、ユーザを認証する。また、連携サイト情報管理装置２３、３３は、ユーザ（又はクライアント４０）からサービス要求を受け付けた際に、このサービス要求したユーザが自サイト（例えば、サイト３０）にユーザ登録のないユーザであった場合には、ユーザが登録されているサイト（例えば、サイト２０）にユーザの認証を要求するメッセージを送るため、連携サイトの公開鍵証明書および公開鍵証明書の持ち主であるサイトを示すＵＲＬ（Uniform Resource Locators）を管理する。そして、サービス提供装置２４、３４は、ユーザから要求されたサービスを提供する。

次に、図1に示すサービス提供システム１０の動作を、図２のフローチャートを参照して詳細に説明する。前提として、ユーザはサイト２０にユーザ情報を登録しているものとする。このとき、クライアント４０は、ユーザがユーザ登録を行ったサイト２０の公開鍵証明書を認証情報添付装置４２のユーザ情報登録サイト公開鍵証明書記憶装置４２２に保持する。今１つの前提として、サイト２０およびサイト３０は、認証連携を可能にするため、それぞれの連携サイト情報管理装置２３、３３に連携するサイトの持つ公開鍵証明書と連携するサイトのＵＲＬを１つのレコードとした情報を保持しているものとする。

先ず、クライアント４０がサイト３０へサービスを要求するメッセージを送る際には、クライアント４０のユーザ情報暗号化装置４２は、ユーザの認証情報（ＩＤ、パスワード等）をユーザから受け取り、ユーザ情報登録サイト公開鍵証明書記憶装置４２２に保存されたサイト２０の公開鍵で暗号化する（ステップＡ１）。そして、この暗号化された認証情報およびユーザ登録サイトの公開鍵証明書をサイト３０へ送付する。

次に、サイト３０のサービス要求受付装置３１は、クライアント４０からメッセージとメッセージに添付された公開鍵証明書を取得し、公開鍵証明書が自サイト（即ち、サイト３０）のものか否かを判断する（ステップＡ２）。公開鍵証明書が自サイトのものである場合（ステップＡ２：Ｙｅｓ）には、サービス要求受付装置３１は、ユーザの認証情報を復号し、ユーザ認証装置３２へユーザ認証情報を送信する（ステップＡ４）。一方、メッセージに添付されていた公開鍵証明書が他サイトのものである場合（ステップＡ２：Ｎｏ）には、ユーザの情報を登録しているサイトのＵＲＬを連携サイト情報管理装置３３から取得し、連携サイトへユーザの認証情報を送信する（ステップＡ３）。その後、上述したステップＡ４へ移行する。

サイト２０のサービス要求受付装置２１は、サイト３０のサービス要求受付装置３１から受け取った認証情報を復号し（ステップＡ４）、サイト２０のユーザ認証装置２２へ送る。そこで、ユーザ認証装置２２は、ユーザの認証情報を取得して認証を行う（ステップＡ５）。

認証に成功した場合には、ユーザの認証に成功したことを示すトークンを発行して、認証要求元であるサイト３０へ返信する。サイト３０は、このトークンを受け取り、ユーザに対してサービス提供装置３４の使用を許可する（ステップＡ６）。

以上、本発明によるサービス提供システムおよびそのユーザ認証方法の好適実施例の構成および動作を詳述した。しかし、斯かる実施例は、本発明の単なる例示に過ぎず、何ら本発明を限定するものではないことに留意されたい。本発明の要旨および精神を逸脱することなく、特定の用途に応じて種々の変形変更が可能であること、当業者には容易に理解できよう。

本発明のサービス提供システムおよびユーザ認証方法は、システム統合時に、分散管理されているユーザ認証情報を連携させることが可能であるので、例えば、企業内において、各部門内でユーザである従業員の情報管理をしていて、従業員が同じ企業の他の部門の情報システムを利用する際のユーザ認証等に好適である。

本発明によるサービス提供システムの好適実施例のシステム構成図である。図１に示すサービス提供システムの動作を説明するフローチャートである。

符号の説明

１０サービス提供システム
２０、３０サービスサーバ（サイト）
２１、３１サービス要求受付装置
２２、３２ユーザ認証装置
２３、３３連携サイト情報管理装置
２４、３４サービス提供装置
４０仲介サーバ（クライアント）
４１入出力装置
４２認証情報添付装置
４２１ユーザ情報暗号化装置
４２２ユーザ情報登録サイト公開鍵証明書記憶装置

Claims

ユーザによる仲介サーバからの要求によりユーザにサービスを提供する複数のサービスサーバを備えるサービス提供システムにおいて、
前記仲介サーバは、認証情報添付装置を備え、該認証情報添付装置が添付する認証情報を前記サービスサーバに、前記サービスの要求メッセージと共に送信してユーザ認証することを特徴とするサービス提供システム。
前記認証情報添付装置が添付する認証情報は、暗号化されることを特徴とする請求項１に記載のサービス提供システム。
前記認証情報添付装置は、前記ユーザがユーザ登録を行ったサービスサーバのサイトの公開鍵証明書を管理するユーザ情報登録サイト公開鍵証明書記憶装置および前記公開鍵証明書を用いてユーザの認証情報を暗号化するユーザ情報暗号化装置を備えることを特徴とする請求項１に記載のサービス提供システム。
前記ユーザの認証情報は、ＩＤ又はパスワードであることを特徴とする請求項３に記載のサービス提供システム。
前記各サービスサーバは、前記仲介サーバからのサービス要求を受け取るサービス受付装置、サービスを要求したユーザを認証するためのユーザ情報を管理してユーザ認証するユーザ認証装置、連携するサービスサーバのサイトの公開鍵証明書とその持ち主であるＵＲＬを管理する連携サイト情報管理装置およびユーザにサービスを提供するサービス提供装置を備えることを特徴とする請求項１乃至４の何れかに記載のサービス提供システム。
前記連携サイト情報管理装置は、前記連携する複数のサイトの持つ公開鍵証明書および前記連携するサイトのＵＲＬを１つのレコードとした情報を保持することを特徴とする請求項５に記載のサービス提供システム。
サービスを提供する複数のサービスサーバおよびユーザが前記サービスサーバからのサービスの提供を受けられるようにする仲介サーバを備えるサービス提供システムにおいて、
前記仲介サーバは、ユーザの認証情報を前記サービスサーバの公開鍵証明書を使用して暗号化してユーザ要求を前記サービスサーバの何れかに送信する手段を備え、
前記各サービスサーバは、前記公開鍵証明書および持ち主であるサイトのＵＲＬの関係を管理する管理装置および前記要求に添付された公開鍵証明書が自サイトのものでない場合に前記管理装置から持ち主のＵＲＬを取得して、認証の要求先を特定する手段を備えることを特徴とするサービス提供システム。
ユーザが仲介サーバを介してサービスを提供する複数のサービスサーバの何れかにサービスを要求してサービスの提供を受けるサービス提供システムのユーザ認証方法において、
ユーザの認証情報をユーザ登録した何れかのサービスサーバのサイトの公開鍵証明書で暗号化するステップと、該公開鍵証明書が自サイトのものか否か判断するステップと、自サイトのものでない場合には、ユーザの認証情報を他の連携サイトへ送信するステップと、ユーザの認証情報を復号するステップとを備えることを特徴とするユーザ認証方法。