JP2006508426A - デバイスのリンク方法 - Google Patents

Abstract

第１のデバイス（ＰＰ１、ＰＰ２）の第１の特性と、第２のデバイス（ＮＰ１、ＮＰ２）の第２の特性とをサーバ（Ｓ１、ＡＳ２）によってリンクする方法を開示する。本方法は、第１のリンク情報と第２のリンク情報を選択（７５）し、第１のリンク情報が第２のリンク情報に適合するステップと、サーバ（Ｓ１、ＡＳ２）から、第１のデバイス（ＰＰ１、ＰＰ２）に第１のリンク情報を、第２のデバイス（ＮＰ１、ＮＰ２）に第２のリンク情報を送信（１００、１５０）するステップと、第１のデバイス（ＰＰ１、ＰＰ２）によって第１のリンク情報を、ならびに第２のデバイス（ＮＰ１、ＮＰ２）によって第２のリンク情報を提示（２００、２５０）するステップと、第１のリンク情報と第２のリンク情報の適合指標を第１のデバイス（ＰＰ１、ＰＰ２）に入力（３００）するステップと、入力された適合指標に基づいて、適合性をサーバ（Ｓ１、ＡＳ２）に確認するために適合確認をサーバ（Ｓ１、ＡＳ２）に送信（４００）するステップと、受信した適合確認に基づいて、第１の特性と第２の特性を関連付ける（４５０）ステップとを含む。

Description

本発明は、第１のデバイスの第１の特性を第２のデバイスの第２の特性にリンクする方法に関する。また、本発明は、サーバと、サーバの処理装置にロードできるコンピュータプログラムとにも関する。

デバイスをリンクするとは、第１のデバイスの１つまたは複数の特性を、別の１つまたは複数のデバイスの１つまたは複数の特性と関連付けることによって定義される。特性は、一般には、デバイスの識別を可能にするものであるが、より広い意味では、特性は、デバイスに関連付けられた任意の種類の情報に関するものとすることができる。第１のデバイスを第２のデバイスにリンクする場合は、第１のデバイスの１つまたは複数の特性が、第２のデバイスの１つまたは複数の特性に関連付けられる。関連付けられた特性の１つまたは複数は、それぞれのデバイスによって決まる場合や、それぞれの特性を認識している別の構成要素によって決まる場合がある。一般に、デバイスをリンクすることは、（たとえば、２つのデバイスがある時点でリンクしているということを明らかにすることによって）リンクしているがゆえの拡張情報を提供する。特性の関連付けにはテーブルを用いることができ、特性は、実施するリンク方法が異なれば、異なる可能性がある。

認証の用途で、デバイスをリンクすることが増えている。コンピュータ端末、現金自動預払機（ＡＴＭ）、ドアなどの信頼性のないデバイスからシステム、サービスあるいはデバイスなどの機関にアクセスしようとする場合、アクセスを要求された機関は、当初、その信頼性のないデバイスの操作者に関する情報を持っていない。インターネットを通じて公開情報をダウンロードする場合や、公共の建物に入る場合など、そのような情報の欠如が機関にとって問題にならない状況は数多くある。そうした状況では、信頼性のないデバイスを操作可能な人物すべてが、信頼性のないデバイスを通じてその機関にアクセスできる。これに対し、アクセス制限が適用されている機関にアクセスする場合は、アクセスの正当性に関する情報が必要である。この情報は、たとえば、非個人的なデバイスに入力されたユーザの識別情報およびパスワードを検査するといった認証手続きによって得ることができる。あるいは、信頼性のあるデバイスにリンクして、アクセス許可のための認証を行うことができる。

信頼性のあるデバイスは、信頼性のあるデバイスの主な特性として、アクセスの正当性に関連付けられている。特定機関にアクセスするために、アクセスの正当性により、信頼性のあるデバイスが正当化される。信頼性のあるデバイスを特定機関に対して提示した場合は、そのアクセスの正当性によって、特定機関へのアクセスが、信頼性のあるデバイスに許可される。特定機関または特定機関をサポートする構成要素は、特定の基準を用いてアクセスの正当性を検査し、アクセスを許可することができる。信頼性のあるデバイスの例として、携帯電話ネットワークへのアクセスの正当性が認定される携帯電話や、支払サービスへのアクセスの正当性が認定されるクレジットカードなどがある。信頼性のあるデバイスと、アクセスの正当性を検査する処理とによって、信頼性のあるデバイスの正当な所有者の識別情報を取得することができたり、信頼性のあるデバイスを操作している人物が正当な所有者と同一であることや、正当な所有者から権限を与えられていることを証明することができたりする。その各情報を、信頼性のあるデバイスのアクセスの正当性に関連付けることができる。

したがって、信頼性のないデバイスから機関へのアクセスを要求するときに、関連付けられたアクセスの正当性を有する信頼性のあるデバイスを提示することができる。その関連付けられたアクセスの正当性を判断し、それを機関へのアクセスを要求する信頼性のないデバイスの識別子等の特性に関連付けできる。あるいは、信頼性のあるデバイスに関連付けられたアクセスの正当性を示す信頼性のあるデバイスの特性を、信頼性のないデバイスの特性に関連付けることができる。信頼性のあるデバイスに関連付けられたアクセスの正当性によってアクセスの正当性が認定される機関は、信頼性のないデバイスがアクセスを要求する機関と必ずしも同一でなくともよい。異なる機関の間の協定によって、第１の機関へのアクセスを認定するアクセスの正当性が、第２の機関へのアクセスの正当性も認定するようにできる。信頼性のあるデバイスと信頼性のないデバイスの関連付けられた特性を、（たとえば、統計目的、課金目的、合法的な目的で）さらに処理するためにデータベースに格納することができる。信頼性のないデバイスと信頼性のあるデバイスの関連付けられた特性に基づいて、信頼性のないデバイスに、あるいは、信頼性のないデバイスを介してアクセスが許可される。これは、機関または該機関を認証目的でサポートしている構成要素に対し、信頼性のないデバイスを識別する識別子等の、信頼性のないデバイスの特性にリンクしたアクセスの正当性に関する情報が提供されたためである。信頼性のあるデバイスと、実施するリンク方法によって、信頼性のあるデバイスの正当な所有者の識別に関する情報、または、信頼性のあるデバイスの操作者が、信頼性のあるデバイスの正当な所有者と同一であるか、信頼性のあるデバイスの正当な所有者から権限を与えられているという証明に関する情報を取得することができ、それらを、信頼性のないデバイスの各特性に関連付けることができる。また、アクセス先の機関の識別情報も関連付けることができる。

より安全なリンク方法は、特性の関連付けに加えて、リンクする第１のデバイスと第２のデバイスが近接していることの証明を必要とする。当該近接しているという証明は、第１のデバイスの操作者が第２のデバイスの操作者と同一の人物であるか、あるいは、少なくとも第２のデバイスの操作者から権限を与えられた人物であるということを十分な証拠として見ることができる。

近接を証明する方法はいくつか存在し、それらを以下に示す。

第１の方法によれば、リンクしようとする第１のデバイスと第２のデバイスとのローカル接続を用いて、サーバ（たとえば、支払サーバや認証サーバ）からリンクデータを送信し、第１のデバイスと第２のデバイスを経由してサーバに戻したり、その逆の送信を行ったりできる。リンクデータが正常に往復することは、ローカル接続の存在、ひいては近接の十分な証明となる。ケーブル、ドッキングステーション、カードリーダなどのローカル物理接続や、赤外線（ＩＲ）またはＢｌｕｅｔｏｏｔｈで実現される、送信距離が約１０ｍ未満のローカル無線接続を用いることができる。

第２の方法によれば、近接を証明するために、人間が、リンクデータを第１のデバイスから第２のデバイスへ手動で転送する。たとえば、信頼性のないデバイスがアクセスしようとしている機関をサポートする認証サーバが、ランダム生成された使い捨てパスワード（ＯＴＰ）を、リンクデータとして、信頼性のあるデバイスに送信する。信頼性のあるデバイスと信頼性のないデバイスを操作する人物がそのリンクデータを読み取り、そのリンクデータを、信頼性のないデバイスに手動でタイプ入力する。第１の方法と同様に、リンクデータが往復することは、近接の証明として見ることができる。

米国特許第６２５９９０９号では、ユーザがリモートシステムに安全にアクセスする方法で用いられたコードワードの往復について説明されている。アクセスデバイスが、第１の通信デバイスを認証した後、コードワードはアクセスデバイスから第２の通信デバイスに送信される。第２の通信デバイスが、前記コードワードを受信し、それはさらに、第１の通信デバイスを経由して第２の通信デバイスから前記アクセスデバイスに送信される。前記アクセスデバイスは、第１の通信デバイスから受信したコードワードが正しいことを確認した後、第１および／または第２の通信デバイスに対し、リモートシステムへのアクセスを許可することができる。第１の通信デバイスとしてデータ処理装置を用いることができ、第２の通信デバイスとして携帯電話を用いることができる。

先述の、近接を証明する方法には不利点がある。ローカル接続を行うには、データを一方のデバイスから他方のデバイスに転送するために、リンクしようとするデバイスに、互換のあるインターフェースを備えなければならない。しかし、非常に多くの場合、インターフェースの互換性はなく、そのため、ローカル接続に基づく方法の適用可能性は、潜在的な市場のうちの小さな領域に限られる。これは特に、ローカル無線接続の場合に当てはまる。ＩＲやＢｌｕｅｔｏｏｔｈのトランシーバのようなしかるべきローカル無線インターフェースが、パーソナルコンピュータ（ＰＣ）やワークステーションやＡＴＭや古い携帯電話のようなデバイスに搭載されているのはかなりまれだからである。ローカル物理接続の場合は、リンクしようとするデバイス同士を物理的に接続しなければならない。ただし、デバイスを物理的に接続することは、簡便な作業とは言えず、しばしば面倒な作業でさえある。同様に、ＩＲのような視野方向のローカル無線接続技術の場合は、リンクしようとするデバイスのトランシーバを適切に並べなければならない。さらに、あるデバイスを別の適切なデバイスで置き換える場合は、最初に、置き換えるデバイスからローカル接続を取り外し、その取り外したローカル接続を別の適切なデバイスに取り付けなければならず、操作者にとってはいよいよ不便である。

手動で転送されたリンクデータに基づく方法では、第１および第２のデバイスを操作する人物が、第１のデバイスから手動で転送されるリンクデータを読み取り、それを第２のデバイスにタイプ入力しなければならないという意味においてアクティブでなければならない。リンクデータは、推定できないようにするために、短すぎてはいけない。しかしながら、長いシーケンスを第１のデバイスから読み取り、その長いシーケンスを第２のデバイスにタイプ入力することは容易ではなく、シーケンスが長くなるほどタイプミスの可能性が高くなる。読み取りや入力の間違いが原因でリンクが拒絶されるのは不愉快である。

本発明は、第１のデバイスの第１の特性と第２のデバイスの第２の特性とを簡便にリンクすることを可能にする方法、デバイス、およびコンピュータプログラムを提供することを目的としている。

この目的は、請求項１に記載の方法によって達成される。さらに、本発明は、請求項９に記載のサーバと、請求項１６に記載の、サーバの処理装置にロードできるコンピュータプログラムにおいて実施される。さらなる請求項において、有利な実施形態を示す。

第１のデバイスの第１の特性と第２のデバイスの第２の特性をリンクすることをサーバで行う場合は、以下のステップが実行される。

第１のステップでは、第１のリンク情報と第２のリンク情報が適合する要件とともに、第１のリンク情報と第２のリンク情報が選択される。この目的のためには、第１のリンク情報と第２のリンク情報は必ずしも同一でなくてもよい。

次に、第１のリンク情報がサーバから第１のデバイスに送信され、第２のリンク情報がサーバから第２のデバイスに送信される。

次に、第１のリンク情報が第１のデバイスによって提示され、第２のリンク情報が第２のデバイスによって提示される。提示するとは、人間に対して出力することと理解されたい。第１のデバイスによる出力と第２のデバイスによる出力は異なる可能性があるが、第１のリンク情報と第２のリンク情報が適合しているかどうかは認識可能でなければならない。同一でないリンク情報の適合の例としては、第１のリンク情報が第２のリンク情報に対して相補的あるいは連続的な場合が挙げられる。

第１のデバイスによって提示された第１のリンク情報と第２のデバイスによって提示された第２のリンク情報が適合することを認識したら、適合したことの指標を第１のデバイスに入力する。たとえば、第１のデバイスの操作者が、適合したことの指標を入力するために、第１のデバイスにあるボタンを押したり、しかるべき音声コマンドを用いたりできる。

第１のデバイスは、適合指標の入力に基づいて、適合確認をサーバに送信する。適合確認とは、第１のデバイスによって提示された第１のリンク情報と第２のデバイスによって提示された第２のリンク情報の適合性をサーバに確認することである。

受信した適合確認に基づき、たとえば第１の特性と第２の特性をテーブルで相互に関連付けることによって、第１の特性と第２の特性が関連付けられる。

本方法案は、第１のデバイスの第１の特性と第２のデバイスの第２の特性を簡便にリンクすることを可能にする。本発明に従って、第１のデバイスによって提示された第１のリンク情報と第２のデバイスによって提示された第２のリンク情報とを比較し、２つのデバイスのうちの一方で適合性を確認することは、手動で転送されたリンクデータに基づくリンク方法にくらべて、人間が行うべき作業が非常に少ない。これは、長々としたシーケンスを第１のデバイスから読み取り、それを第２のデバイスに手動でタイプ入力することが不要だからである。さらに、本方法案が人間にとってより一層簡便になるようにリンク情報のタイプ入力を不要にしたことで、タイプミスの可能性を完全に排除できる。さらに、本発明による方法は第１のデバイスと第２のデバイスのローカル接続を必要としないため、互換性のあるインターフェースや、ローカル接続の取り付け／取り外しが不要になり、同時に適用可能性が高まる。また、リンク情報が適合することを第１のデバイスと第２のデバイスが提示することはさらに有利である。第１のデバイスの操作者が、前記第１のデバイスとリンクしようとする第２のデバイスのアドレスを知らなくてもよいからである。リンクを確認するために前記第２のデバイスのアドレスを第１のデバイスにおいて入力または確認しなければならないリンク方法も同様である。しかし、非常に多くの場合、たとえば、デバイスのアドレスは、表示されない、あるいは、読出しができない等で利用できないか、あるいは、一時的に変更される場合がある。操作者が頻繁にアドレスを利用できないことは、特に、信頼性のないデバイスに当てはまる。したがって、本方法案は、信頼性のないデバイスをリンクすることに非常に適している。たとえば、２つのコンピュータ端末からなるコンピュータネットワークを確立するために、第１のコンピュータ端末（第１の信頼性のないデバイス）のＩＰアドレスとポートを、第２のコンピュータ端末（第２の信頼性のないデバイス）のＩＰアドレスとポートにリンクする場合である。

好ましい実施形態によれば、第１のデバイスは、信頼性のあるデバイスであり、第１の特性は、第１の機関へアクセスするために認定するアクセスの正当性に関係する。関係があるとは、第１の特性が、アクセスの正当性、および／または、アクセスの正当性を取得可能な識別子を含むことを意味する。携帯電話ネットワークへアクセスするために認定するアクセスの正当性を取得可能な識別子の一例は、携帯電話のＭＳＩＳＤＮ（Ｍｏｂｉｌｅ Ｓｔａｔｉｏｎ Ｉｎｔｅｇｒａｔｅｄ Ｓｅｒｖｉｃｅｓ Ｄｉｇｉｔａｌ Ｎｅｔｗｏｒｋ Ｎｕｍｂｅｒ）である。その関連付けられた特性を、（たとえば、統計目的、課金目的、あるいは、合法的な目的で）さらに処理することができる。

別の好ましい実施形態によれば、第２のデバイスの第２の特性は、第２のデバイスを識別する識別子を含む。第２の機関へのアクセスは、アクセスの正当性に関係する第１の特性と、識別子を含む第２の特性との関連付けに基づいて、第２のデバイスに対して許可されるか、第２のデバイスを介して許可される。第２の機関は、第１の機関と同一であっても、異なっていてもよい。協定によって、第１の機関へアクセスするアクセスの正当性が、第２の機関へのアクセスの正当性も認定するようにできる。したがって、アクセスの正当性に関係する特性と、第２のデバイスを識別する識別子を含む第２の特性との関連付けは、第２のデバイスが第２の機関へのアクセスを認定されているという情報を提供できる。その情報に基づいて、第２の機関へのアクセスを許可できる。アクセスを許可するために、サーバから第２のデバイスに対して、あるいは、第２の機関に対して、または、第２のデバイスあるいは第２の機関をサポートする別の構成要素に対してアクセス表明を送ることができる。アクセス表明は、たとえば第１の機関へアクセスするために認定するアクセスの正当性から導出できる、第２の機関へアクセスするために認定するアクセスの正当性を含むことができる。第２の機関へのアクセスは、たとえば、しかるべき使い方で第２のデバイスのロックを解除することによって達成できる。

別の好ましい実施形態によれば、認証要求がリンクをトリガする。認証要求は、従来の認証方法では一般的なので、本リンク方法案を認証目的に用いる場合には、実施の手間が少なくなる。特に、第２の機関にアクセスするために認証が必要な場合は、第２の機関が、認証要求を送信し、第２のデバイスにアクセスが許可されるまでアクセス表明を待つだけでよい。これは、従来の認証方法と同様である。したがって、第２の機関は、本方法案の詳細事項に適応しなくてもよく、これによって、本方法案の適用可能性が広がる。

別の好ましい実施形態によれば、第１のリンク情報と第２のリンク情報は、ランダムに生成された記号を１つまたは複数含む。ランダムに生成された記号は、セキュリティの面で有益である。第１のリンクと第２のリンクにおいて同一または同等のリンク情報が提示される確率が減少するからである。特に、複数の信頼性のないデバイスが近接して存在する場合、リンク情報の適合を確認しなければならない人物は、該人物の環境内で複数の信頼性のないデバイスについて同一または非常によく似たリンク情報が提示されると混同しやすくなる。さらに、ランダム生成された記号を用いると、リンク情報を使い捨てパスワードの形で処理できるので有利である。これは、本発明による方法を、使い捨てパスワードを用いる従来のリンク方法と組み合わせる場合に有益である。記号の例として、数字、文字、イメージ、写真、絵、アイコンなどがある。数字、文字、および／またはアイコンを用いるのが有利なのは、従来のＧＳＭ（Ｇｌｏｂａｌ Ｓｙｓｔｅｍ ｆｏｒ Ｍｏｂｉｌｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）携帯電話に組み込まれているような単純なディスプレイを有するデバイスで簡単に処理および提示できる点である。さらに、数字および／または文字は、音声による提示のために容易に変換できる点でも有利である。通常、イメージ、写真、絵、および／またはアイコンのようなグラフィックスの提示は、本方法がより簡便になる文字および／または数字にくらべて、人間がグラフィックスの適合をより直観的かつ迅速に認識できる点で有利である。

別の好ましい実施形態によれば、第１のリンク情報が第２のリンク情報と同一である。同一であるリンク情報の適合を比較および確認することは、通常、同一でないリンク情報の適合を比較および確認することより簡便である。さらに、同一であるリンク情報を用いるほうが、サーバで実施しやすい。

別の好ましい実施形態によれば、第１のデバイスに入力された確認データが正しいかどうかの検査に基づいて第１の特性と第２の特性を関連付けることができる。確認データを入力することは、セキュリティ上の理由から（たとえば、人間にさらに意識させたり、個人認証をしたりするために）有利になりうる。入力された確認データが正しいかどうかを検査するには、入力された確認データを、あらかじめ定義された確認データと照合しなければならない。第１のデバイス、あるいはサーバ、またはその両方が検査を実行できる。入力された確認データをサーバが検査する場合は、第１のデバイスに入力された確認データか、入力された確認データに基づいて第１のデバイスで生成されたデータがサーバに送信される（たとえば、適合確認に含まれるか、添付される）。サーバは、入力された確認データまたは生成されたデータを、あらかじめ定義された確認データと比較し、入力された確認データまたは生成されたデータが、あらかじめ定義された確認データとそれぞれ適合する場合に、特性の関連付けを実行する。第１のデバイスが検査を実行する場合、第１のデバイスは、入力された確認データの正確性の第１のデバイスによる検査を可能にする、あらかじめ定義されたデータへアクセスする。たとえば、あらかじめ定義されたデータは、サーバから第２のデバイスに送信したり、第２のデバイスに格納したりできる。第１のデバイスは、入力された確認データを、あらかじめ定義された確認データと比較し、入力された確認データとあらかじめ定義された確認データが適合する場合に、適合確認をサーバに送信する。本方法は、適合確認を送信することが、第１のデバイスにより入力された確認データの正確性を確認するためのサーバへの暗示となるように実施できる。当該正確性の検査に基づいて、サーバが第１の特性と第２の特性の関連付けを実行できる。実施によっては、リンク情報の適合性を示すために確認データを入力して、実行するステップの数を減らすことができる。

好ましい実施形態によれば、確認データは、（ａ）個人用識別番号、（ｂ）パスワード、（ｃ）第１のリンク情報または第２のリンク情報と並行して提示する追加情報の指標（この追加情報は、第１のリンク情報および第２のリンク情報とを識別可能）、および（ｄ）第１のリンク情報および／または第２のリンク情報に基づいて計算されるデータのうちの少なくとも１つを含む。入力された個人用識別番号（ＰＩＮ）は、第１のデバイスを現在操作している人物を個人認証することを可能にし、特に、（たとえば、泥棒が、盗んだデバイスを本発明によるリンクに使用することを防止することによる）不正使用を回避できる点で有利である。パスワードも同様に使用でき、ＰＩＮより覚えやすい。第１のリンク情報または第２のリンク情報と並行して追加情報を提示することは、適合を認識するために、提示された情報をより慎重に検査することを操作者に求めることができ、本方法案をより安全なものにすることができる。さらに、追加情報の指標は、たとえば、追加情報を示す数字または文字によって、非常に短く、入力しやすいものにすることができる。あるいは、第１のリンク情報および／または第２のリンク情報に基づいて計算されたデータを入力することもできる。これも、人間により意識させ、本方法をより安全にする。さらに、正しい答え（すなわち、正しい確認データ）について人間が考えることを必要とする計算ステップがあるという理由だけで本リンク方法案が魅力的と感じられる場合があるかもしれない。

本発明はまた、先述の方法を実施するためのサーバにも関する。

本サーバは、第１のデバイスの第１の特性と第２のデバイスの第２の特性をリンクするために用いることができる。本サーバは、メッセージを受信する受信装置と、メッセージを送信する送信装置と、メッセージおよび情報を処理する処理装置とを含む。処理装置は、第１のリンク情報と第２のリンク情報を選択するように構成される。第１のリンク情報は、第２のリンク情報に適合する。送信装置は、第１のリンク情報を第１のデバイスに、第２のリンク情報を第２のデバイスに送信するように構成される。受信装置は、第１のデバイスから適合確認を受信するよう構成される。この適合確認は、第１のデバイスによって提示された第１のリンク情報と第２のデバイスによって提示された第２のリンク情報の適合性を処理装置に対して確認する。処理装置は、受信した適合確認に基づいて、第１の特性と第２の特性の関連付けを実行するように構成される。

好ましい実施形態によれば、第１のデバイスは、信頼性のあるデバイスであり、第１の特性は、信頼性のあるデバイスが第１の機関にアクセスすることを認定するアクセスの正当性に関わる。

別の好ましい実施形態によれば、第２の特性は、第２のデバイスを識別する識別子を含み、アクセスの正当性に関係する第１の特性と、識別子を含む第２の特性との関連付けに基づいて、処理装置は、第１の機関と同一か異なる第２の機関へのアクセスを、第２のデバイスに対して許可するか、第２のデバイスを介して許可するアクセス表明を生成するように構成され、送信装置は、アクセスを許可するために、第２のデバイス、あるいは、第２の機関、または第２のデバイスあるいは第２の機関をサポートする構成要素にアクセス表明を送信するように構成される。

別の好ましい実施形態によれば、受信装置は、処理装置がリンクを実行するのをトリガする認証要求を受信するよう構成される。

別の好ましい実施形態によれば、処理装置は、ランダムに生成された記号を１つまたは複数含んだ、第１のリンク情報と第２のリンク情報を選択するように構成される。

別の好ましい実施形態によれば、処理装置は、第２のリンク情報と同一である第１のリンク情報を選択するように構成される。

別の好ましい実施形態によれば、処理装置は、第１のデバイスに入力された確認データが正しいかどうかの検査に基づいて第１の特性と第２の特性の関連付けを実行するように構成される。

本発明はまた、サーバでの動作時に先述の方法を実施するためのソフトウェアコード部分を含むコンピュータプログラムにも関する。それらのコンピュータプログラムは、コンピュータで読取可能な媒体に格納できる。コンピュータで読取可能な媒体として、サーバ内蔵あるいは外付けの固定記憶装置、あるいは書換え可能な記憶装置を用いることができる。各コンピュータプログラムは、たとえばケーブルや無線リンクを介して、信号のシーケンスとしてサーバに転送することもできる。

本コンピュータプログラムは、第１のデバイスの第１の特性と第２のデバイスの第２の特性をリンクするために用いることができる。本コンピュータプログラムは、サーバの処理装置にロードでき、第１のリンク情報と第２のリンク情報を選択するよう構成されたコードを含む。第１のリンク情報は、第２のリンク情報に適合する。本コンピュータプログラムは、第１のリンク情報の第１のデバイスへの送信と、第２のリンク情報の第２のデバイスへの送信とを初期化し、第１のデバイスから受信した適合確認に基づいて第１の特性と第２の特性との関連付けを実行し、この適合確認が、第１のデバイスによって提示された第１のリンク情報と第２のデバイスによって提示された第２のリンク情報の適合性をコンピュータプログラムに対して確認するように構成されたコードを含む。本コンピュータプログラムは、先述の方法のすべての実施形態で用いることができる。

以下では、当業者の十分にして完全な理解が得られるよう、本発明の詳細な実施形態を説明する。ただし、これらの実施形態は例示的であって限定を意図するものではなく、本発明の範囲は添付の特許請求の範囲の請求項によって定義される。

図１ａは、本発明の第１の実施形態のフローチャートである。ここでは、リンク要求５０が本方法の以下のステップをトリガする。図１ｂは、図１ａのフローチャートに従って本方法を実施するための、デバイス（すなわち、リンクしようとする第１のデバイスＰＰ１および第２のデバイスＮＰ１とサーバＳ１）間の処理およびメッセージの例を示す。以下では、図１ａおよび１ｂを同時に説明していく。図１ａと図１ｂで同一の参照符号は、対応する機能を示す。

図１ａによれば、第１の実施形態は、リンク要求５０から始まる。リンク要求５０は、サーバＳ１の外部にある構成要素が発信源でもよいし、サーバＳ１自体が発信源でもよい。リンク要求５０は、図１ｂに示すように、要求メッセージ５１によって第２のデバイスＮＰ１からサーバＳ１に送信することができる。リンク要求５０は、サーバＳ１が、第１のデバイスＰＰ１の第１の特性と第２のデバイスＮＰ１の第２の特性とを関連付けることによって第１のデバイスＰＰ１と第２のデバイスＮＰ１とをリンクすることをトリガする。要求メッセージ５１では、サーバＳ１に、第２のデバイスＮＰ１のアドレスを供給することができる。さらに、要求メッセージ５１は、第１のデバイスＰＰ１のアドレスを含むことができる。次に、サーバＳ１が、第１のリンク情報と第２のリンク情報を選択７５する。さらに、サーバＳ１は、メッセージ１０１により、第１のリンク情報を第１のデバイスＰＰ１に送信１００し、メッセージ１５１により、第２のリンク情報を第２のデバイスＮＰ１に送信１５０する。次に、第１のリンク情報が第１のデバイスＰＰ１によって提示２００され、第２のリンク情報が第２のデバイスＮＰ１によって提示２５０される。第１のデバイスＰＰ１を操作する人間が、提示されたリンク情報を比較し、提示されたリンク情報が適合すると認識したら、適合の指標を第１のデバイスＰＰ１に入力３００する。適合の指標を入力３００することの要求は、第１のデバイスＰＰ１が出力することが好ましい。また、より厳格なセキュリティが必要な場合は、ＰＩＮのような確認データを第１のデバイスＰＰ１に入力３５０することの要求も、第１のデバイスＰＰ１が出力することが好ましい。本例によれば、入力された確認データは、第１のデバイスＰＰ１によって正確性を検査される。適合の指標の入力３００および正しい確認データの入力３５０は、メッセージ４０１によって第１のデバイスＰＰ１からサーバＳ１への適合確認の送信４００をトリガする。適合確認は、第１のデバイスＰＰ１上に提示された第１のリンク情報と第２のデバイスＮＰ１上に提示された第２のリンク情報との適合性を確認し、さらに、サーバＳ１に対して、第１のデバイスＰＰ１の操作者が正しいＰＩＮを入力したことによって個人認証されたという情報を提供する。さらに、サーバＳ１は、受信した適合情報によって、第１のデバイスＰＰ１と第２のデバイスＮＰ１が近接しているという証拠を提供される。それによって、サーバＳ１は、第２のデバイスＮＰ１を操作している人物が、第１のデバイスＰＰ１を操作している人物と同一か、少なくとも第１のデバイスＰＰ１を操作している人物から許可権限が与えられた人物であると見なすことができる。サーバＳ１は、受信した適合確認に基づいて、第１のデバイスＰＰ１の第１の特性と第２のデバイスＮＰ１の第２の特性との関連付け４５０を実行できる。どの特性の関連付け４５０を行うかは、リンク要求５０で示すことができる。関連付けるべき適切な特性を決定するために、追加の決定ステップを実行できる。適切な一例は、第１のデバイスＰＰ１のアドレスと第２のデバイスＮＰ２のアドレスとを関連付けることである（たとえば、これらのアドレスは、サーバＳ１がリンク情報を送信１００、１５０するために認識している）。第１の特性と第２の特性の関連付け４５０に基づいて、２つのデバイスＰＰ１、ＮＰ１のリンクが成功したことを表明するリンク表明を行うことができる。リンク表明は、リンク要求５０に対する応答として、第２のデバイスに送信５０１することができる。

信頼性のあるデバイスを第１のデバイスＰＰ１として使用する場合は、図１に示していないさらなる検査ステップを有利に行うことができる。この場合、サーバは、たとえばリンク情報を各デバイスに送信する前に、個人用デバイスがリンクを実行するためのアクセスの正当性を検査できる。特に、第２のデバイスＮＰ１による、または第２のデバイスＮＰ１を介しての機関へのアクセスが要求された場合は、第２のデバイスＮＰ１による、または第２のデバイスＮＰ１を介しての機関へのアクセスを許可するしかるべき協定が存在するかどうかを、信頼性のあるデバイスのアクセスの正当性に基づいて調べることができる。たとえば、携帯電話がＧＳＭやＵＭＴＳ（欧州次世代移動体通信システム）のような携帯電話システムにアクセスする携帯電話を認定する携帯電話のアクセスの正当性が、コンピュータ端末（第２のデバイスの例）を介してインターネットサービス（要求されたアクセス先の機関の例）にアクセスするためにも認定するかどうかを調べることができる。第１のデバイスのアクセスの正当性に関係する第１の特性（たとえば、携帯電話番号）と、第２のデバイスを識別することを可能にする第２の特性とを関連付けることによって、第２のデバイスによる、または第２のデバイスを介する、機関へのアクセスを許可できる。

図１ａと合わせて説明した方法を認証目的で用いる場合は、リンク要求５０およびリンク表明５００をそれぞれしかるべき認証要求および認証表明で置き換え、信頼性のあるデバイスを第１のデバイスＰＰ１として使用するのが有利である。認証要求は、メッセージ５１によって、サーバＳ１に送信できる。ステップ７５〜４５０と、対応する処理およびメッセージ７５〜４５０は、図１と併せて説明したように実行できる。アクセスを許可するための認証表明は、リンクに基づいて送信できる。たとえば、認証表明を、メッセージ５０１によって第２のデバイスに送信し、たとえば、アクセスを可能にするための第２のデバイスＮＰ１のロック解除を達成することができる。

一般に、第１および第２のデバイスに対しては、以下のことが適用される。第１のデバイスが第１のリンク情報を受信するために、第１のデバイスには第１の受信装置が備えられ、第２のデバイスが第２のリンク情報を受信するために、第２のデバイスには第２の受信装置が備えられる。第１のデバイスが第１のリンク情報を提示するために、第１のデバイスには第１の出力装置が備えられ、第２のデバイスが第２のリンク情報を提示するために、第２のデバイスには第２の出力装置が備えられる。出力装置の例として、ディスプレイ、ラウドスピーカ、プリンタ、あるいはエンボス記号によってリンク情報を提示できるデバイスなどがある。第２のデバイスは、たとえば認証要求やリンク要求によってリンク方法をトリガするための、キーパッドやマイクのような入力装置を備えることができる。妥当な場合には、適合指標や確認データを入力するために、第１のデバイスは、キーパッド、マイク、タッチスクリーンなどのような入力装置を備える。

第１のデバイスおよび／または第２のデバイスに備える前述の装置のうちの１つまたは複数が取り外し可能であってもよい。第１のデバイスおよび／または第２のデバイスが受信装置、送信装置、入力装置、および／または出力装置を必ずしも内蔵しなくてもよいということにより、本方法案の柔軟性をより一層高める。たとえば、前述の入出力装置および送受信装置を追加で備えたカードリーダのようなデバイスに、信頼性のあるデバイスとしてクレジットカードを挿入して使うことが可能になる。さらに、リンク情報の提示をラウドスピーカや点字で行うようにすれば、目の不自由な人でも本方法案を容易に操作できる。

以下では、本リンク方法案で使用できる信頼性のあるデバイスの例を説明する。第１の例は、信頼性のあるデバイスの正当な所有者の識別情報を明かすことなく機関へのアクセスを認定する信頼性のあるデバイスである。この第１の例によれば、アクセスするために、信頼性のあるデバイスを提示したときに機関により特定できる、信頼性のあるデバイスに関連付けられた１つまたは複数の特性は、正当な所有者の識別をすることができない。そのため、正当な所有者の識別情報を前記１つまたは複数の特定可能な特性に関連付けることなく、第１の例による信頼性のあるデバイスを正当な所有者に提供することができる。そのような信頼性のあるデバイスの一例がチケットである。チケットは、機関の名前と、正当な所有者の識別情報に関連付けられていないシリアル番号とをアクセスの正当性として明かすことによって、機関へのアクセスを認定する。第２の例は、正当な所有者の識別情報を取得可能な機関へのアクセスを認定する信頼性のあるデバイスである。第２の例によれば、機関により特定できる、信頼性のあるデバイスの特性のうちの少なくとも１つが、正当な所有者の識別情報に関連づけられている。前記識別情報は、信頼性のあるデバイス、機関、および／または機関がアクセスできる別の構成要素に格納できる。前記識別情報が機関および／または別の構成要素に格納される場合、信頼性のあるデバイスは、正当な所有者の識別情報が得られるように、機関によって一意識別できなければならない。第３の例は、個人認証が可能な機関へのアクセスを認定する信頼性のあるデバイスである。すなわち、信頼性のあるデバイスを操作する人物が、正当な所有者と同一か、正当な所有者から権限を与えられた人物であることを証明することができる。アクセスするために、信頼性のあるデバイスを提示するときに、正当な所有者個人に対して発行された個人識別番号（ＰＩＮ）のような秘密情報や、ユーザＩＤ−パスワード機構や、サインや写真のように正当な所有者に一意に関連する個人情報を個人認証に用いることができる。正当な所有者による権限付与は、前記秘密情報を別の人物に提供して、信頼性のあるデバイスを提示したときにその別の人物が機関にアクセスできるようにすることによって達成できる。個人認証が可能な信頼性のあるデバイスの例として、クレジットカードとサインの組み合わせや、ＧＳＭ携帯電話とＰＩＮの組み合わせなどがある。

信頼性のあるデバイスのリンクは、前述の正当な所有者に関する情報がサーバに提供されている場合には、信頼性のあるデバイスと、サーバがリンクのために特定できる特性の処理とに依存する。正当な所有者の情報が特定可能であれば、この情報を関連付けのステップで用いることができる。一般に、より厳格なセキュリティが必要であるほど、後に挙げる例の信頼性のあるデバイスを用いることが好ましい。さらに、信頼性のあるデバイスを、発行日や有効期限のような特性、あるいは、（たとえば、リンク用および／またはアクセス許可用として考えられる）信頼性のあるデバイスに関連付けられた値のような特性に関連付けることができる。

図２は、本方法案の第２の実施形態を示す。携帯電話ＰＰ２として示された信頼性のあるデバイスと、コンピュータ端末ＮＰ２として示された信頼性のないデバイスとを操作する人物Ａ２が、インターネットでサーバＳＰ２が提供しているサービスに、コンピュータ端末ＮＰ２を介してアクセスしようとしている。コンピュータ端末ＮＰ２は、インターネットでサービスを提供しているサーバＳＰ２にサービスアクセス要求ＳＲを送信する。サーバＳＰ２は、要求されたサービスに認証が必要であることを認識している。サーバＳＰ２は、（たとえばＭＳＩＳＤＮ番号の入力を求めることによって）認証を求める認証要求メッセージＡＲＭ１によりコンピュータ端末ＮＰ２に応答できる。人物Ａ２は、携帯電話ＰＰ２のＭＳＩＳＤＮ番号をコンピュータ端末ＮＰ２に入力し、その入力したＭＳＩＳＤＮ番号を認証応答メッセージＡＲＭ２に含めてサーバＳＰ２に送信する。認証応答メッセージＡＲＭ２は、インターネットプロトコル（ＩＰ）アドレスおよびポート番号のような、コンピュータ端末ＮＰ２のアドレスも搬送できる。サーバＳＰ２は、受信した認証応答メッセージＡＲＭ２に基づいて、認証要求ＲＡをサーバＡＳ２に送信する。本例によれば、要求ＲＡは、携帯電話ＰＰ２のＭＳＩＳＤＮ番号、コンピュータ端末ＮＰ２のＩＰアドレスおよびポート番号、およびサーバＳＰ２のＩＰアドレスおよびポート番号を含む。任意選択で、サービスおよび／またはサービスプロバイダの識別子または名前と、サーバＳＰ２におけるサービス要求ＳＲの受信時刻とを要求ＲＡに含めることができる。サーバＡＳ２は、要求ＲＡによってトリガされ、次のように処理を進める。サーバＡＳ２は、受信したＭＳＩＳＤＮ番号を、移動通信システムへのアクセスを認定されているものとして受け入れる。サーバＡＳ２は、ＭＳＩＳＤＮ番号の解析結果に基づいて、そのＭＳＩＳＤＮ番号が特定のネットワークオペレータに対応することも検知できる。本例によれば、サーバＡＳ２は、ＭＳＩＳＤＮ番号によるアクセスの正当性が、サーバＳＰ２で提供されるサービスへのアクセスも認定するかどうかを調べる。これは、たとえば、あらかじめ、あるいは、要求に応じて結ばれたしかるべき協定に従うか、あるいは、サーバＳＰ２が要求メッセージ５１に含めてＭＳＩＳＤＮ番号を送信したという事実によって暗黙的なしかるべき協定があるものと見なしてその協定に従うことによって調べる。個人認証が必要な場合、サーバＡＳ２は、ＭＳＩＳＤＮ番号の正当な所有者の識別情報（たとえば、信頼性のあるデバイスとして携帯電話ＰＰ２を提示する人物Ａ２の名前およびアドレス）を追加で取得できる。

サーバＡＳ２は、携帯電話ＰＰ２のＭＳＩＳＤＮ番号と、関連づけられたアクセスの正当性を受け入れた後、第１および第２のリンク情報を選択してリンクを進める。本例によれば、サーバＡＳ２は、同一並びの絵を選択して、携帯電話ＰＰ２とコンピュータ端末ＮＰ２とに送信する。コンピュータ端末ＮＰ２用リンク情報は、メッセージＬＩＡ１によってサーバＳＰ２に送信され、サーバＳＰ２はそのコンピュータ端末ＮＰ２用リンク情報をメッセージＬＩＡ２によってコンピュータ端末ＮＰ２に送信する。コンピュータ端末ＮＰ２ではそのリンク情報が、画面イメージＤＩＮに示すようにコンピュータ画面に提示される。携帯電話ＰＰ２用リンク情報は、メッセージＬＩＢによって（たとえば、ＳＭＳ（ショートメッセージサービス）またはＭＭＳ（マルチメディアメッセージングサービス）またはＷＡＰ（無線アプリケーションプロトコル）のプッシュを介して）携帯電話ＰＰ２に送信される。このリンク情報は、画面イメージＤＩＰに示すように、携帯電話ＰＰ２のディスプレイに提示される。本方法は、携帯電話ＰＰ２に提示されるリンク情報が次のような要求と同時に提示される場合には、より簡便でより安全なものになる。
「［人物名］様
あなたは［サービス要求時刻］にサービス［サービス名］にアクセスすることを希望しています。携帯電話のＹＥＳボタンを押し、続いて自分のＰＩＮを入力して、お手元の携帯電話に提示されたリンク情報と、ご使用の信頼性のないデバイス［アドレス］の適合性を確認してください。」

上記の要求文は、角括弧で示したエントリを含む。これらのエントリ（たとえば、人物Ａ２の名前、サービス名、サービス要求時刻、信頼性のないデバイスのアドレスなど）を、サーバＡＳ２においてこの情報が前述のように使用可能である場合に提示するために、メッセージＬＩＢに含め、それにより携帯電話ＰＰ２に送信することができる。

携帯電話ＰＰ２のディスプレイとコンピュータ端末ＮＰ２の画面に提示された絵の並びの形のリンク情報が同一であり、したがって適合する場合は、人物Ａ２が携帯電話ＰＰ２の「ＹＥＳ」ボタンを押し、適合確認のために自分のＰＩＮを入力する。携帯電話ＰＰ２で提示された情報と、コンピュータ端末ＮＰ２で提示された情報が適合しない場合は、攻撃が行われている可能性がある。この場合は、「ＮＯ」を押すか、正しくないＰＩＮを入力することによって、適合確認を拒否し、それによりリンク手続きを終了することができる。本例によれば、リンク情報が適合し、適合確認を、適合確認メッセージＭＣによって携帯電話ＰＰ２からサーバＡＳ２に送信する。サーバＡＳ２は、受信した適合確認に基づき、たとえばコンピュータ端末ＮＰ２のアドレスを携帯電話ＰＰ２のＭＳＩＳＤＮ番号に関連付けることにより、コンピュータ端末ＮＰ２と携帯電話ＰＰ２をリンクし、認証表明を含む認証表明メッセージＡＡをサーバＳＰ２に送信する。サーバＳＰ２は、認証表明に基づいて、人物Ａ２用コンピュータ端末ＮＰ２にサービスへのアクセスＳＡを許可できる。使用可能である場合、あるいは、要求された場合には、サーバＡＳ２は、人物Ａ２に関連する個人情報（たとえば、名前および／またはアドレスおよび／またはクレジットカード番号など）をサーバＳＰ２に提供できる。サーバＳＰ２は、提供された個人情報を、たとえば課金、統計目的、合法的理由などのために、データベースに格納できる。

図２の実施形態は、信頼性のないデバイスとしてコンピュータ端末を用いる。ただし、図１ａ、１ｂ、および２と併せて説明した実施形態では、信頼性のないデバイスとして、たとえば、携帯情報端末（ＰＤＡ）、ワークステーション、ノートブックコンピュータ、ＡＴＭ、ドアのような物理的アクセス装置、ステアリングホイールのような物理的制御装置などを用いることができる。

図３ａは、第１のデバイスの例である信頼性のあるデバイスと、第２のデバイスの例である信頼性のないデバイスとによって提示されたリンク情報の適合性の例を示したテーブルである。リンク情報の個々の例を、識別番号（ＩＤ）によって示している。同一リンク情報の例として、数字１ａ、文字２ａ、アイコン３ａ、絵４ａ、および文字と数字の組み合わせ５ａの同一並びを示している。ただし、先述のように、適合するリンク情報は、必ずしも同一である必要はない。同一でない適合するリンク情報の例を、例６ａ〜１１ａに示す。例６ａおよび７ａは、それぞれ数字および文字の並びの、連続して適合するリンク情報の例である。すなわち、信頼性のあるデバイスから始まる並びの続きが、信頼性のないデバイスに提示される（または、信頼性のないデバイスから始まる並びの続きが、信頼性のあるデバイスに提示される）。８ａおよび９ａは、相補的に適合するリンク情報の例である。第１のアイコン並びが、信頼性のあるデバイスによって提示され、第１のアイコン並びと同一ながら色を反転した第２のアイコン並びが、信頼性のないデバイスによって提示される。１０ａは、計算によって適合するリンク情報の例である。すなわち、信頼性のないデバイスによって提示されるリンク情報は、信頼性のあるデバイスによって提示されるリンク情報によって計算できる（または、信頼性のあるデバイスによって提示されるリンク情報が、信頼性のないデバイスによって提示されるリンク情報によって計算できる）。例１１ａでは、信頼性のないデバイスによって絵の並びが提示される。信頼性のあるデバイスで提示されるリンク情報は、その絵の並びと適合する、文字形式の名前の並びである。例１１ａによる実施は、デバイスのうちの１つだけが絵の提示をサポートしている場合には非常に便利であろう。したがって、信頼性のあるデバイス、信頼性のないデバイス、またはその両方に様々な形式のリンク情報を与え、その中から最適な形式を選択できるようにすると、リンク情報を提示できる可能性を高めるうえで有利である。図３ａに示していない、同一でない適合する情報の別の例はパズルである。パズルの１つまたは複数の一方の部分を、信頼性のあるデバイスによって提示し、パズルの１つまたは複数の他方の部分を、信頼性のないデバイスによって提示することができる。

絵、イメージ、アイコンなどのグラフィカルなリンク情報を比較し、適合を認識することは、人間にとって、数字や文字などの非グラフィカルなリンク情報を比較し、適合を認識することより容易である。したがって、グラフィカルなリンク情報に基づく本方法案は、より簡便であるばかりでなく、適合を誤認識する確率がより小さいので、より安全でもある。一例として、１００個のアイコンのセットがあるとすると、リンク情報としてランダムに選択した３つのアイコンの並びは、１，０００，０００通りもの異なる並びが可能であり、これによって、本方法案は十分に安全になる。同時に、３つのアイコンの並びは、たとえば同じく１，０００，０００通りの異なる並びを可能にする６個の数字の並びにくらべて、非常に容易かつ迅速に比較できる。

図３ｂは、適合の指標を入力する方法、および第１のデバイスの例としての信頼性のあるデバイスに確認データを入力する方法について説明する図である。そのために、信頼性のあるデバイスによって提示されるリンク情報と、第２のデバイスの例としての信頼性のないデバイスによって提示されるリンク情報が適合する例を示している。提示された適合するリンク情報は、一方のデバイスにおいて、適合するそれぞれのリンク情報と同時に提示された追加情報によって補足されている。第１のリンク情報と第２のリンク情報の適合性を認識するために、適合するリンク情報と追加情報とを（たとえば、以下で説明する例１ｂ〜１０ｂのように）明確に見分けることが可能でなければならない。適合指標の入力および／または確認データの入力のために、リンクするデバイスの少なくとも１つによって、しかるべき要求を提示できる。適合指標の入力と、確認データの入力は、組み合わせて行うことができる。

１ｂの第１の例によれば、適合するリンク情報は、両デバイスにおいて数字の並び「１２３４５６」で与えられ、追加情報は、ラテン文字の並び「ＡＢＣＤＥＦ」とギリシャ文字の並び「ψδηρτξ」によって与えられる。信頼性のあるデバイスに提示される情報には番号が付けられ、信頼性のあるデバイスに「２」をタイプ入力し、信頼性のあるデバイスによって提示された番号「２」の情報が、信頼性のないデバイスによって提示されたリンク情報と適合するリンク情報であることを示すことによって、リンク情報の適合性を確認することができる。あるいは、マウスなどのポインティングデバイスでそのリンク情報または対応する識別子（本例では番号「２」）を「クリック」できる。また、音声入力で適合性を示すこともできる。

２ｂは、適合するリンク情報（「ＡＢＣＤＥＦ」）と追加情報（「４５Ｔ６９８」および「＄ｒｔ％ｔｚ」）の対応する提示を示し、追加情報が、信頼性のないデバイスのほうに提示される。適合するリンク情報の識別子として文字「Ａ」を用い、追加情報の識別子として文字「Ｂ」および「Ｃ」を用いている。本例によれば、信頼性のあるデバイスに「Ａ」を入力することによって適合指標を実行できる。

例１ｂおよび２ｂによれば、適合指標の入力は、人間に対して提示された追加情報をさらに利用することをしない単純な方法（たとえば、「ＹＥＳ」を押すこと）によって行うこともできる。追加の確認ステップでは、例１ｂまたは２ｂの場合の確認データとして、それぞれ「２」または「Ａ」の入力を要求できる。

例１ｂおよび２ｂは、両方とも、方法の安全性が高まる一方で、複雑さも高まる。信頼性のあるデバイスを操作する人物は、ボタンを押すなどの単純な操作だけでは、信頼性のあるデバイスと信頼性のないデバイスとのリンクを達成することができない。リンクを達成するためには、両方のデバイスによって提示される情報を入念に比較し、正しい選択をして入力を行うことが求められる。

続く例３ｂ〜１０ｂでは、本例による、適合するリンク情報と容易に見分けることのできる追加情報を数字「０」で表している。追加情報は、たとえば、例８ｂ〜１０ｂのように、信頼性のあるデバイスによってリンク情報とは別に提示されたり、例４ｂ〜７ｂのように、信頼性のないデバイスによってリンク情報とは別に提示されたり、信頼性のあるデバイスによってリンク情報に含まれる追加情報として、例３ｂのように、リンク情報に含まれたりする可能性がある。追加情報が信頼性のないデバイスによって提示されるリンク情報に含まれる可能性もあるが、図３ｂには示していない。

例３ｂ〜１０ｂによれば、適合指標は、確認データ（例３ｂ〜１０ｂの場合は追加情報「０」）を入力せずに、たとえば、「Ｙｅｓ」ボタンを押すだけで行うことができる。

１１ｂでは、計算式「３＋５＝？」の形の同一のリンク情報が、両方のデバイスによって提示される。確認データとして、正しい答え「８」を入力できる。

あるいは、たとえば、追加情報（例３ｂ〜１０ｂの場合は「０」、例１１ｂの場合は「８」）を入力して適合性を示すよう要求することによって、例３ｂ〜１０ｂおよび１１ｂでの適合指標を、確認データの入力と組み合わせることができる。この実施は、信頼性のあるデバイスの操作者の必要な操作が少なくなるという利点がある（たとえば、「ＹＥＳ」ボタンを押すことを省略できる）。

前述の実施形態は、本発明の目的を完全に達成できる。ただし、当業者であれば、請求項によってのみ限定される本発明の範囲を逸脱しない発展が可能であることを理解されたい。

図１ａは、本発明の第１の実施形態のフローチャートである。図１ｂは、図１ａの第１の実施形態によるデバイス間の処理およびメッセージの例を示す図である。 本発明の第２の実施形態の操作者、デバイス、およびデバイス間のメッセージを示す図である。 図３ａは、信頼性のあるデバイスによる提示例と、信頼性のないデバイス上での提示例との第１の集合を含むテーブルを示す図である。図３ｂは、信頼性のあるデバイスによる提示例と、信頼性のないデバイス上での提示例との第２の集合を含むテーブルを示す図である。

Claims (16)

1. 第１のデバイス（ＰＰ１、ＰＰ２）の第１の特性と第２のデバイス（ＮＰ１、ＮＰ２）の第２の特性とをサーバ（Ｓ１、ＡＳ２）によってリンクする方法であって、
   第１のリンク情報と第２のリンク情報を選択（７５）し、前記第１のリンク情報が前記第２のリンク情報に適合するステップと、
   サーバ（Ｓ１、ＡＳ２）から、前記第１のリンク情報を前記第１のデバイス（ＰＰ１、ＰＰ２）に送信し、前記第２のリンク情報を前記第２のデバイス（ＮＰ１、ＮＰ２）に送信（１００、１５０）するステップと、
   前記第１のデバイス（ＰＰ１、ＰＰ２）によって前記第１のリンク情報を、ならびに前記第２のデバイス（ＮＰ１、ＮＰ２）によって前記第２のリンク情報を提示（２００、２５０）するステップと、
   前記第１のリンク情報と前記第２のリンク情報との適合指標を前記第１のデバイス（ＰＰ１、ＰＰ２）に入力（３００）するステップと、
   前記入力された適合指標に基づいて、前記適合を前記サーバ（Ｓ１、ＡＳ２）に確認するために適合確認をサーバ（Ｓ１、ＡＳ２）に送信（４００）するステップと、
   前記受信した適合確認に基づいて、前記第１の特性と前記第２の特性を関連付ける（４５０）ステップとを含む方法。
2. 前記第１のデバイス（ＰＰ１、ＰＰ２）が、信頼性のあるデバイスであり、前記第１の特性が、第１の機関にアクセスするために前記信頼性のあるデバイスを認定するアクセスの正当化に関する請求項１に記載の方法。
3. 前記第２の特性が、前記第２のデバイス（ＮＰ１、ＮＰ２）を識別する識別子を含み、第２の機関へのアクセスが、前記アクセスの正当性に関する前記第１の特性と、前記識別子を含む前記第２の特性との関連付け（４５０）に基づいて、前記第２のデバイス（ＮＰ１、ＮＰ２）に対して、または前記第２のデバイス（ＮＰ１、ＮＰ２）を介して許可され、前記第２の機関が前記第１の機関と同一であるか、あるいは、それと異なる請求項２に記載の方法。
4. 認証要求が前記リンクをトリガする請求項１から３のいずれかに記載の方法。
5. 前記第１のリンク情報と前記第２のリンク情報が、１つまたは複数のランダムに生成された記号を含む請求項１から４のいずれかに記載の方法。
6. 前記第１のリンク情報が前記第２のリンク情報と同一である請求項１から５のいずれかに記載の方法。
7. 前記関連付け（４５０）が、前記第１のデバイス（ＰＰ１、ＰＰ２）に入力される確認データの正当性の検査結果に基づいている請求項１から６のいずれかに記載の方法。
8. 前記入力される確認データが、
   （ａ）個人用識別番号と、
   （ｂ）パスワードと、
   （ｃ）前記第１のリンク情報または前記第２のリンク情報と並行して提示され、前記第１のリンク情報および前記第２のリンク情報と識別可能な追加情報の指標と、
   （ｄ）前記第１のリンク情報および／または前記第２のリンク情報に基づいて計算されるデータと、の中で少なくとも１つを含む請求項７に記載の方法。
9. 第１のデバイス（ＰＰ１、ＰＰ２）の第１の特性と、第２のデバイス（ＮＰ１、ＮＰ２）の第２の特性とをリンクするために使用できるサーバ（Ｓ１、ＡＳ２）であって、メッセージを受信する受信装置と、メッセージを送信する送信装置と、メッセージおよび情報を処理する処理装置とを備え、前記処理装置が、第１のリンク情報および第２のリンク情報を選択し、前記第１のリンク情報が前記第２のリンク情報に適合するように構成され、前記送信装置が、前記第１のリンク情報を前記第１のデバイス（ＰＰ１、ＰＰ２）に送信し、前記第２のリンク情報を前記第２のデバイス（ＮＰ１、ＮＰ２）に送信するように構成され、前記受信装置が、前記第１のデバイス（ＰＰ１、ＰＰ２）から適合確認を受信するように構成され、前記適合確認が、前記第１のデバイス（ＰＰ１、ＰＰ２）によって提示される前記第１のリンク情報と、前記第２のデバイス（ＮＰ１、ＮＰ２）によって提示される前記第２のリンク情報との適合を前記処理装置に対して確認し、前記処理装置が、前記受信した適合確認に基づいて前記第１の特性と前記第２の特性との関連付け（４５０）を実行するよう構成されるサーバ（Ｓ１、ＡＳ２）。
10. 前記第１のデバイス（ＰＰ１、ＰＰ２）が、信頼性のあるデバイスであり、前記第１の特性が、第１の機関にアクセスするために前記信頼性のあるデバイスを認定するアクセスの正当化に関する請求項９に記載のサーバ（Ｓ１、ＡＳ２）。
11. 前記第２の特性が、前記第２のデバイスを識別する識別子を含み、前記アクセスの正当化に関する前記第１の特性と、前記識別子を含む前記第２の特性との関連付け（４５０）に基づいて、前記処理装置が、前記第１の機関と同一であるか、あるいは、それと異なる第２の機関へのアクセスを、前記第２のデバイス（ＮＰ１、ＮＰ２）に対して許可するか、あるいは、前記第２のデバイス（ＮＰ１、ＮＰ２）を介して許可するためにアクセス表明を生成するように構成され、前記送信装置が、アクセスを許可するために、前記第２のデバイス（ＮＰ１、ＮＰ２）あるいは前記第２の機関、または前記第２のデバイス（ＮＰ１、ＮＰ２）あるいは前記第２の機関をサポートする構成要素に前記アクセス表明を送信するように構成される請求項１０に記載のサーバ（Ｓ１、ＡＳ２）。
12. 前記受信装置が、前記処理装置をトリガする認証要求を受信し、前記リンクを実行するように構成される請求項９から１１のいずれかに記載のサーバ（Ｓ１、ＡＳ２）。
13. 前記処理装置が、ランダムに生成された１つまたは複数の記号を含む前記第１のリンク情報と前記第２のリンク情報を選択するように構成される、請求項９から１２のいずれかに記載のサーバ（Ｓ１、ＡＳ２）。
14. 前記処理装置が、前記第２のリンク情報と同一である前記第１のリンク情報を選択するように構成される請求項９から１３のいずれかに記載のサーバ（Ｓ１、ＡＳ２）。
15. 前記処理装置が、前記第１のデバイス（ＰＰ１、ＰＰ２）に入力される確認データの正当性の検査結果に基づいて、前記第１の特性と前記第２の特性の関連付け（４５０）を実行するよう構成される、請求項９から１４のいずれかに記載のサーバ（Ｓ１、ＡＳ２）。
16. 第１のデバイス（ＰＰ１、ＰＰ２）の第１の特性と第２のデバイス（ＮＰ１、ＮＰ２）の第２の特性とをリンクするために使用でき、サーバ（Ｓ１、ＡＳ２）の処理装置にロードできるコンピュータプログラムであって、前記コンピュータプログラムが、第１のリンク情報および第２のリンク情報を選択し、前記第１のリンク情報が前記第２のリンク情報に適合し、前記第１のリンク情報の前記第１のデバイス（ＰＰ１、ＰＰ２）への送信ならびに前記第２のリンク情報の前記第２のデバイス（ＮＰ１、ＮＰ２）への送信を初期化し、前記第１のデバイス（ＰＰ１、ＰＰ２）から受信した適合確認に基づいて前記第１の特性と前記第２の特性との関連付け（４５０）を実行するように構成されたコードを含み、前記適合確認が、前記第１のデバイス（ＰＰ１、ＰＰ２）によって提示される第１のリンク情報と、前記第２のデバイス（ＮＰ１、ＮＰ２）によって提示される第２のリンク情報との適合を前記コンピュータプログラムに対して確認するコンピュータプログラム。

Images