JP2007257500A - 被認証装置、被認証プログラム、被認証方法、ＷｅｂブラウザプラグインおよびＷｅｂブラウザブックマークレット - Google Patents

Abstract

【課題】ネットワーク上に複数の認証装置が存在する場合でも、シングルサインオンを簡易に実現することを課題とする。
【解決手段】サーバおよび認証装置にネットワークを介してそれぞれ接続され、サーバにアクセスして受信した認証要求情報（例えば、乱数であるチャレンジデータなど）を認証装置へ転送する被認証装置であって、サーバがチャレンジデータを認証装置アドレス情報（例えば、ＵＲＬなど）と対応づけて利用者に提示する手法と異なり、認証要求情報が特定の認証装置と対応付けられることなく含まれる認証要求ページをサーバから受信し、所定の認証装置にアクセスするための認証装置アドレス情報を保持し、認証装置アドレス情報で指定する認証装置に対するアクセス要求が行われた場合に、認証要求ページから認証要求情報を抽出し、認証要求情報が抽出された場合に、認証要求情報をアクセス要求が行われた認証装置に転送する。
【選択図】 図１

Description

この発明は、被認証装置、被認証プログラム、被認証方法、ＷｅｂブラウザプラグインおよびＷｅｂブラウザブックマークレットに関する。

従来より、電子商取引等の普及に伴い、利用者がサーバからサービスの提供を受けるにあたり、認証を求められる場合が増えている。通常、この認証は、各種サーバごとに管理される利用者ＩＤおよびパスワードが、利用者によって利用者装置から各種サーバに送信され、各種サーバにおいて認証処理をすることによって行われる。このような認証の場合、利用者は、各種サーバごとの利用者ＩＤおよびパスワードを個別に管理しなければならなかった。そこで、このような各種サーバごとの個別の認証を認証装置が一元的に引き受け、利用者は、認証装置用の利用者ＩＤおよびパスワードを管理するだけで、各種サーバからサービスの提供を受けることが可能になるシングルサインオンと呼ばれる認証連携方式がある。

このシングルサインオンの実現形態について簡単に説明すると、まず、利用者装置は、サービスの提供を要求するためにサーバにアクセスし、サーバから認証要求情報（例えば、乱数であるチャレンジデータなど）とサーバが信頼する特定の認証装置アドレス情報（例えば、認証装置のＵＲＬなど）とを受信する。そして、利用者装置は、サーバから特定されて受信した認証装置のＵＲＬに基づいて、認証装置にチャレンジデータを転送し、認証を要求する。すると、利用者装置は、認証装置からログインページを受信するので、認証装置用の利用者ＩＤおよびパスワードを認証装置に送信する。そして、利用者装置から送信された利用者ＩＤおよびパスワードを認証装置が保持しているか否かが認証装置によって認証され、この認証が成功すると、利用者装置が転送したチャレンジデータから認証結果情報が認証装置において生成され、利用者装置は、この認証結果情報を認証装置から受信して再びサーバにアクセスし、認証結果情報をサーバに転送する。そして、サーバによって認証結果情報の検証が行われ、この検証が成功すると、利用者装置は、サーバからサービスの提供を受ける。なお、サーバが特定の認証装置を信頼するということは、サーバが、特定の認証装置において認証された利用者については、認証されたとみなすという信頼関係を構築済みであることを意味するものとする。

例えば、非特許文献１に開示された方法では、利用者装置がサーバに対してサービスの提供を要求すると、利用者装置は、認証要求情報とサーバが信頼する特定の認証装置アドレス情報とが対応付けられて組み込まれたＷｅｂページをサーバから受信し、受信したＷｅｂページに組み込まれたこれらの情報がマウスクリックなどの操作で利用者に選択されることによって、サーバが信頼する特定の認証装置に認証要求情報を転送する。

" Liberty ID-FF Architecture Overview"、［online］、［平成１８年２月２０日検索］、インターネット＜http://www.projectliberty.org/specs/draft-liberty-idff-arch-overview-1.2-errata-v1.0.pdf＞

ところで、上記した従来の技術では、ネットワーク上に複数の認証装置が存在し、かつ、サーバが信頼する特定の認証装置と利用者の認証情報を保持し利用者を認証可能な所定の認証装置とが異なる場合には、利用者を認証可能な認証装置をサーバ側で把握できないためサーバが送信するＷｅｂページに認証装置のアドレスを含めることができないことから、利用者装置は、サーバから特定されて受信する認証装置アドレス情報を用いることでは利用者の認証情報を保持し利用者を認証可能な所定の認証装置に認証要求情報を転送することができない。このため、サーバが信頼する特定の認証装置に新たに利用者の認証情報を保持させる手続きを行わなければならず、もしくは、サーバからサービスの提供を受けることを諦めなければならず、結果として、シングルサインオンを実現することができないという課題があった。

このような課題は、サーバが特定の認証装置のみを信頼するのではなく、複数の認証装置を信頼することで、なるべく多くの利用者を認証できるようにすれば一定程度解決可能である。すなわち、このような課題を解決するため、サーバがあらかじめ複数の認証装置を信頼しておき、認証要求情報とネットワーク上に存在する複数の認証装置アドレス情報とを対応付けて組み込んだＷｅｂページを被認証装置に送信し、利用者装置でサーバから受信した複数の認証装置アドレス情報を候補リストとして利用者に提示して、その中から利用者の認証情報を保持し利用者を認証可能な所定の認証装置が利用者に選択されると、利用者装置が、認証要求情報を所定の認証装置に転送するという方法が考えられる。

しかしながら、この方法では、シングルサインオンを簡易に実現することができないという課題がある。すなわち、認証装置のアドレスをサーバ側で把握できない場合、例えば、メールアドレスのドメイン毎に認証装置が設置される場合や、利用者の個人サーバが認証装置となる場合など、多数の認証装置が存在する場合には、サーバが誘導先を決定できず、シングルサインオンできないという課題がある。さらに、認証装置のアドレスをサーバ側で把握できる場合であっても、ネットワーク上の認証装置が増える度に、認証装置アドレス情報が組み込まれるＷｅｂページに新しい認証装置アドレス情報が追加されるなどの管理がなされなければならず、また、所定の認証装置が利用者によって選択されるに際しても、数多くの候補リストから利用者の認証情報を保持し利用者を認証可能な所定の認証装置が探し出されなければならず、結果として、シングルサインオンを簡易に実現することができないという課題がある。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、ネットワーク上に複数の認証装置が存在する場合でも、シングルサインオンを簡易に実現することが可能な被認証装置、被認証プログラム、被認証方法、ＷｅｂブラウザプラグインおよびＷｅｂブラウザブックマークレットを提供することを目的とする。

上述した課題を解決し、目的を達成するため、請求項１に係る発明は、サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する被認証装置であって、前記認証要求情報が特定の前記認証装置と対応付けられることなく含まれる認証要求ページを前記サーバから受信する認証要求情報受信手段と、所定の前記認証装置にアクセスするための認証装置アドレス情報を保持する認証装置アドレス情報保持手段と、前記認証装置アドレス情報保持手段によって保持された前記認証装置アドレス情報で指定する前記認証装置に対するアクセス要求が行われた場合に、前記認証要求受信手段によって受信された前記認証要求ページから前記認証要求情報を抽出する認証要求情報抽出手段と、前記認証要求情報抽出手段によって前記認証要求情報が抽出された場合に、当該認証要求情報を前記アクセス要求が行われた前記認証装置に転送する認証要求情報転送手段と、を備えたことを特徴とする。

また、請求項２に係る発明は、サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する方法をコンピュータに実行させる被認証プログラムであって、前記認証要求情報が特定の前記認証装置と対応付けられることなく含まれる認証要求ページを前記サーバから受信する認証要求情報受信手順と、所定の前記認証装置にアクセスするための認証装置アドレス情報を保持する認証装置アドレス情報保持手順と、前記認証装置アドレス情報保持手順によって保持された前記認証装置アドレス情報で指定する前記認証装置に対するアクセス要求が行われた場合に、前記認証要求受信手順によって受信された前記認証要求ページから前記認証要求情報を抽出する認証要求情報抽出手順と、前記認証要求情報抽出手順によって前記認証要求情報が抽出された場合に、当該認証要求情報を前記アクセス要求が行われた前記認証装置に転送する認証要求情報転送手順と、をコンピュータに実行させることを特徴とする。

また、請求項３に係る発明は、サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する方法であって、前記認証要求情報が特定の前記認証装置と対応付けられることなく含まれる認証要求ページを前記サーバから受信する認証要求情報受信工程と、所定の前記認証装置にアクセスするための認証装置アドレス情報を保持する認証装置アドレス情報保持工程と、前記認証装置アドレス情報保持工程によって保持された前記認証装置アドレス情報で指定する前記認証装置に対するアクセス要求が行われた場合に、前記認証要求受信工程によって受信された前記認証要求ページから前記認証要求情報を抽出する認証要求情報抽出工程と、前記認証要求情報抽出工程によって前記認証要求情報が抽出された場合に、当該認証要求情報を前記アクセス要求が行われた前記認証装置に転送する認証要求情報転送工程と、を含んだことを特徴とする。

また、請求項４に係る発明は、サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する方法をコンピュータに実行させるＷｅｂブラウザに組み込まれるＷｅｂブラウザ用プラグインであって、所定の前記認証装置にアクセスするための認証装置アドレス情報を保持する認証装置アドレス情報保持手順と、前記認証要求情報を特定の前記認証装置と対応付けられることなく含む認証要求ページが前記Ｗｅｂブラウザ経由で前記サーバから受信され、前記認証装置アドレス情報保持手順によって保持された前記認証装置アドレス情報で指定する当該認証装置に対するアクセス要求が行われた場合に、当該アクセス要求が行われた認証装置に対して当該認証要求情報が当該Ｗｅｂブラウザ経由で転送されるように、当該認証要求ページから転送対象の当該認証要求情報を抽出する認証要求情報抽出手順と、をコンピュータに実行させることを特徴とする。

また、請求項５に係る発明は、サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する方法をコンピュータに実行させるＷｅｂブラウザに組み込まれるＷｅｂブラウザブックマークレットであって、所定の前記認証装置にアクセスするための認証装置アドレス情報をＷｅｂブラウザブックマークと同じ形態で提示されるように保持する認証装置アドレス情報保持手順と、前記認証要求情報を特定の前記認証装置と対応付けられることなく含む認証要求ページが前記Ｗｅｂブラウザ経由で前記サーバから受信され、前記認証装置アドレス情報保持手順によって保持されＷｅｂブラウザブックマークと同じ形態で提示された前記認証装置アドレス情報で指定する当該認証装置に対するアクセス要求が行われた場合に、当該アクセス要求が行われた認証装置に対して当該認証要求情報が当該Ｗｅｂブラウザ経由で転送されるように、当該認証要求ページから転送対象の当該認証要求情報を抽出する認証要求情報抽出手順と、をコンピュータに実行させることを特徴とする。

請求項１、２または３の発明によれば、従来技術では、サーバが被認証装置に送信するＷｅｂページに認証装置アドレス情報を含めていたが、本発明では、被認証装置に認証装置アドレス情報を保持させることにより、サーバがＷｅｂページに認証装置アドレス情報を含めることが不要となり、認証装置が多数あり、利用者を認証可能な認証装置をサーバ側で把握できない場合にも、シングルサインオンを実現することが可能になる。さらに、認証装置のアドレスをサーバ側で把握できる場合であっても、ネットワーク上の認証装置が増える度に新しい認証装置アドレス情報が認証要求ページに追加されるなどの管理がなされる必要がなく、また、所定の認証装置が利用者に選択されるに際しても、数多くの候補リストから所定の認証装置が探し出される必要もない結果、シングルサインオンを簡易に実現することが可能になる。

また、請求項４の発明によれば、従来技術では、サーバが被認証装置に送信するＷｅｂページに認証装置アドレス情報を含めていたが、本発明では、被認証装置においてＷｅｂブラウザに組み込まれるＷｅｂブラウザ用プラグインに認証装置アドレス情報を保持させることにより、サーバがＷｅｂページに認証装置アドレス情報を含めることが不要となり、認証装置が多数あり、利用者を認証可能な認証装置をサーバ側で把握できない場合にも、シングルサインオンを実現することが可能になる。さらに、認証装置のアドレスをサーバ側で把握できる場合であっても、ネットワーク上の認証装置が増える度に新しい認証装置アドレス情報が認証要求ページ追加されるなどの管理がなされる必要がなく、所定の認証装置が利用者に選択されるに際しても、数多くのリストから所定の認証装置が探し出される必要もなく、また、被認証装置においてＷｅｂブラウザ以外のアプリケーションが起動される必要もない結果、シングルサインオンをより簡易に実現することが可能になる。

また、請求項５の発明によれば、従来技術では、サーバが被認証装置に送信するＷｅｂページに認証装置アドレス情報を含めていたが、本発明では、被認証装置においてＷｅｂブラウザに組み込まれるＷｅｂブラウザブックマークレットに認証装置アドレス情報を保持させることにより、サーバがＷｅｂページに認証装置アドレス情報を含めることが不要となり、認証装置が多数あり、利用者を認証可能な認証装置をサーバ側で把握できない場合にも、シングルサインオンを実現することが可能になる。さらに、認証装置のアドレスをサーバ側で把握できる場合であっても、ネットワーク上の認証装置が増える度に新しい認証装置アドレス情報が認証要求ページに追加されるなどの管理がなされる必要がなく、所定の認証装置が利用者に選択されるに際しても、数多くのリストから所定の認証装置が探し出される必要もなく、被認証装置においてＷｅｂブラウザ以外のアプリケーションが起動される必要もなく、一般的なブックマークと同様の操作環境を提供できるため特殊な操作がなされる必要もなく、また、既存のＷｅｂブラウザにブックマークが登録されるのみで利用可能となるためＷｅｂブラウザのプログラムに変更が加えられる必要もない結果、シングルサインオンをより簡易かつ簡略に実現することが可能になる。

以下に添付図面を参照して、この発明に係る被認証装置、被認証プログラム、被認証方法、ＷｅｂブラウザプラグインおよびＷｅｂブラウザブックマークレットの実施例を詳細に説明する。なお、以下では、この発明に係る被認証装置を含んで構成される認証連携システムを実施例として説明する。また、以下の実施例で用いる主要な用語（用語の説明）、実施例１に係る認証連携システムの概要および特徴（認証連携システムの概要および特徴）、認証連携システムの構成および処理の流れ（認証連携システムの構成、認証連携システムによる処理）、実施例１の効果を順に説明し、最後に他の実施例を説明する。

［用語の説明］
まず最初に、以下の実施例で用いる主要な用語を説明する。以下の実施例で用いる「サーバ（特許請求の範囲に記載の「サーバ」に対応する）」とは、ネットワークを介して接続する利用者装置（特許請求の範囲に記載の「被認証装置」に対応する）に対して電子商取引等のサービスを提供する装置である。このようなサーバでは、安全にサービスを提供することを目的として、サービス提供の前にあらかじめ利用者装置に対する認証を行う。通常、この認証は、各種サーバにおいて認証処理をすることによって行われるが、以下の実施例におけるサーバは、サーバにおける認証処理によって認証された利用者装置に対してサービスを提供する他に、各種サーバの認証処理を一元的に引き受ける認証装置（特許請求の範囲に記載の「認証装置」）と連携し、認証装置によって認証された利用者装置に対してもサービスを提供する仕組みになっている。

また、以下の実施例で用いる「チャレンジデータ（特許請求の範囲に記載の「認証要求情報」に対応する）」とは、利用者装置がサーバから受信し、その後、利用者装置が認証装置に転送し、認証装置における認証処理に用いられる情報である。例えば、サーバがチャレンジデータとして「９３６１９２３４１６」などの乱数を生成し、この乱数が認証装置において暗号化されて認証結果情報となり、この認証結果情報がサーバにて再び復号化されることで、サーバは認証装置における認証結果を検証する。

また、以下の実施例で用いる「Ｗｅｂブラウザブックマークレット（特許請求の範囲に記載の「Ｗｅｂブラウザブックマークレット」に対応する）」とは、Ｗｅｂブラウザにブックマークと同じ形態で保持され、かつ、利用者に選択されるべく同じ形態で提示されるように組み込まれるプログラムである。具体的には、通常、Ｗｅｂブラウザのブックマーク提示欄は利用者装置によってアクセスされるＷｅｂサイトのＵＲＬを格納するが、Ｗｅｂブラウザブックマークレットは、JavaScript等で記述されたプログラムを格納する。すると、利用者によってＵＲＬを格納するブックマークが選択されると、Ｗｅｂブラウザは選択されたＵＲＬで指定するアドレスのＷｅｂサイトに接続し、コンテンツを取得して利用者に提示するが、利用者によってプログラムを格納するＷｅｂブラウザブックマークレットが選択されると、ＷｅｂブラウザはＷｅｂブラウザブックマークレットが格納するJavaScript等で記述された処理を実行する。

［認証連携システムの概要および特徴］
続いて、図１を用いて、実施例１に係る認証連携システムの概要および特徴を説明する。図１は、実施例１に係る認証連携システムの概要および特徴を説明するための図である。

実施例１に係る認証連携システムは、この発明に係る被認証装置と、サーバと、認証装置とで構成される。そして、実施例１における被認証装置は、サーバおよび認証装置にネットワークを介してそれぞれ接続され、サーバにアクセスして受信した認証要求情報（チャレンジデータ）を認証装置へ転送することを概要とし、ネットワーク上に複数の認証装置が存在する場合でも、シングルサインオンを簡易に実現することを主たる特徴とする。なお、図１では、ひとつのサーバおよびひとつの認証装置に、ひとつの被認証装置がネットワークを介してそれぞれ接続される場合を示したが、必ずしもひとつであることに限定されることはなく、複数のサーバおよび複数の認証装置に、複数の被認証装置がネットワークを介して接続される場合も同様である。

この主たる特徴について簡単に説明すると、図１に示すように、実施例１における被認証装置は、Ｗｅｂブラウザのブックマーク提示欄（favorites）に、サービスの提供を要求するサーバにアクセスするためのサーバブックマーク識別情報（図１の「サーバへ」を参照）と、被認証装置が所属する所定の認証装置にアクセスするための認証装置ブックマーク識別情報（図１の「認証装置へ」を参照）とを提示し、サーバアドレス情報と認証装置アドレス情報とを保持している。ここで、認証装置アドレス情報を保持するブックマーク識別情報の外観は通常のブックマーク識別情報と変わらないが、実際には、JavaScript等で記述されたプログラムを組み込まれたＷｅｂブラウザブックマークレットである。また、図示してはいないが、認証装置は、被認証装置の利用者ＩＤおよびパスワードをあらかじめパスワード記憶部に格納する。

まず、実施例１における被認証装置は、サーバにサービスの提供を要求するために、被認証装置のＷｅｂブラウザ経由でサーバにアクセスする（図１の（１）を参照）。すると、サーバは、自ら保持する認証情報により認証可能な被認証装置の他に、認証装置によって認証された被認証装置に対してもサービスを提供する仕組みになっているので、チャレンジデータ（認証要求情報）を生成する（図１の（２）を参照）。なお、チャレンジデータは、例えば、「９３６１９２３４１６」といった乱数などが生成される。

次に、被認証装置は、チャレンジデータが特定の認証装置と対応付けられることなく含まれる認証要求ページをＷｅｂブラウザ経由でサーバから受信する（図１の（３）を参照）。例えば、図１に示すように、被認証装置が受信する認証要求ページには、サーバにおける認証処理を希望する利用者装置のための利用者ＩＤおよびパスワードの入力を求める情報と、認証装置によって認証されることを希望する被認証装置のためのチャレンジデータとが提示されており、サーバがチャレンジデータを認証装置アドレス情報と対応付けて利用者に提示する手法と異なり、特定の認証装置アドレス情報は提示されていない。

そして、実施例１における被認証装置は、所属する所定の認証装置によって認証されるために、Ｗｅｂブラウザブックマークレットに保持された認証装置アドレス情報で指定する認証装置に対するアクセス要求が、Ｗｅｂブラウザブックマークレット上で利用者に選択されることによって行われると、アクセス要求が行われた認証装置に転送されるように認証要求ページからチャレンジデータおよびサーバアドレス情報を抽出する(図１の（４）を参照)。そして、被認証装置は、チャレンジデータおよびサーバアドレス情報をＷｅｂブラウザ経由で転送する（図１の（５）を参照）。

続いて、認証装置では、被認証装置から転送されたチャレンジデータを受信すると、被認証装置を認証するために、図４に示すように、被認証装置に対して利用者ＩＤおよびパスワードの入力を求めるログインページを送信し、被認証装置から認証装置のパスワード記憶部にあらかじめ格納された利用者ＩＤおよびパスワードと一致する情報を受信すると、被認証装置が認証装置に所属する被認証装置であることを認証する（図１の（６）を参照）。そして、このように認証が成功すると、チャレンジデータから認証結果情報を生成する（図１の（７）を参照）。

そして、被認証装置は、この認証結果情報を受信するとともに、認証装置によりリダイレクトされて再びサーバにアクセスし、認証装置から受信した認証結果情報をサーバに転送してサービスの提供を要求する（図１の（８）を参照）。すると、サーバによって認証結果情報の検証が行われ（図１の（９）を参照）、この検証が成功すると、被認証装置は、図５に示すように、サーバからサービス提供ページを受信する（図１の（１０）を参照）。

［認証連携システムの構成］
次に、実施例１に係る認証連携システムの構成を説明する。実施例１に係る認証連携システムは、この発明に係る被認証装置と、サーバと、認証装置とで構成されるので、以下では、実施例１における被認証装置の構成、実施例１におけるサーバの構成、実施例１における認証装置の構成を順に説明する。

［被認証装置の構成］
まず、図２〜図６を用いて、実施例１における被認証装置の構成を説明する。図２は、実施例１に係る認証連携システムの構成を示すブロック図であり、図３は、サーバから受信した認証要求ページを説明するための図であり、図４は、認証装置から受信したログインページを説明するための図であり、図５は、サーバから受信したサービス提供ページを説明するための図であり、図６は、ブックマーク管理部を説明するための図である。

図２に示すように、被認証装置１００は、入力部１１０と、出力部１２０と、入出力制御ＩＦ部１３０と、ネットワーク通信部１４０と、制御部１５０とから主に構成される。

入力部１１０は、制御部１５０による各種処理に用いるデータや、各種処理をするための操作などを、キーボード、マウス、または記憶媒体などによって入力する入力手段である。例えば、後述するＷｅｂブラウズ部１５３の操作や、後述するブックマーク管理部１５１の操作や、利用者ＩＤおよびパスワードなどを入力する。

出力部１２０は、制御部１５０による各種処理の結果や、各種処理をするための操作指示などを、モニタ、プリンタ、またはスピーカーなどに出力する出力手段である。例えば、後述するＷｅｂブラウズ部１５３がサーバ２００から受信した認証要求ページや、認証装置３００から受信したログインページや、サーバ２００から受信したサービス提供ページなどをモニタに出力する。

すなわち、例えば、図３に示すように、被認証装置の出力部１２０のモニタは、後述するＷｅｂブラウズ部１５３と、Ｗｅｂブラウズ部１５３によって取得されたコンテンツ（サーバ２００から受信した認証要求ページ）とを出力する。ここで、Ｗｅｂブラウズ部１５３とは、図３の「http://www.serverA.com」で示されるＵＲＬ入力の部分や、ブックマーク提示欄（favorites）の部分を指す。一方、サーバ２００から受信した認証要求ページとは、図３の上部をのぞくウィンドウ全体に示されている部分であり、例えば、図３に示すように、サーバ２００における認証処理を希望する利用者装置のための利用者ＩＤおよびパスワードの入力を求める情報と、認証装置３００によって認証されることを希望する被認証装置１００のためのチャレンジデータ（challenge_data=9361923416）とを出力する。

また、例えば、図４に示すように、被認証装置１００の出力部１２０のモニタは、図３と同様に、後述するＷｅｂブラウズ部１５３と、Ｗｅｂブラウズ部１５３によって取得されたコンテンツ（認証装置３００から受信したログインページ）とを出力する。ここで、認証装置３００から受信したログインページとは、図４の上部をのぞくウィンドウ全体に示されている部分であり、例えば、図４に示すように、認証装置３００が被認証装置１００を認証するために被認証装置１００に対して利用者ＩＤおよびパスワードの入力を求める情報を出力する。なお、図４では、利用者ＩＤ「ｓａｔｏ」およびパスワードを入力した状態を示しているが、パスワードは「●●●●」のようにモニタ上では具体的な英数字などを出力しないことが通常である。

また、例えば、図５に示すように、被認証装置１００の出力部１２０のモニタは、図３および図４と同様に、後述するＷｅｂブラウズ部１５３と、Ｗｅｂブラウズ部１５３によって取得されたコンテンツ（サーバ２００から受信したサービス提供ページ）とを出力する。ここで、サービス提供ページとは、図５の上部をのぞくウィンドウ全体に示されている部分であり、例えば、図５に示すように、利用者ＩＤ「ｓａｔｏ」の被認証装置１００が認証装置３００での認証に成功したことを示す情報や、サービス提供画面へ遷移するためのリンク（「サービス提供画面へ（クリック）」）などを出力する。

ここで、図２に戻ると、入出力制御ＩＦ部１３０は、入力部１１０および出力部１２０と、ネットワーク通信部１４０と、制御部１５０との間におけるデータ転送を制御する手段である。

ネットワーク通信部１４０は、被認証装置１００が、後述するサーバ２００および後述する認証装置３００や、その他のネットワーク上の装置にネットワークを介して接続され、アクセスするための通信を行う通信手段である。具体的には、パソコンに搭載されたＬＡＮボード（Local Area Networkボード）などによって通信を行う。例えば、ネットワーク上の他の装置にアクセスしたり、認証装置３００に利用者ＩＤおよびパスワードを送信したりするための通信を行う。

制御部１５０は、被認証装置１００を制御して各種処理を実行する制御手段であり、特に本発明に密接に関連するものとしては、図２に示すように、ブックマーク管理部１５１と、認証装置ブックマークレット部１５２と、Ｗｅｂブラウズ部１５３とを備える。

かかる制御部１５０のなかで、ブックマーク管理部１５１は、被認証装置１００において利用者が利用するＷｅｂサイトのアドレス情報等を格納して管理する管理手段である。通常は、Ｗｅｂサイトのアドレス情報であるＵＲＬを格納して管理するが、後述する認証装置ブックマークレット部１５２のようなJavaScript等で記述されたプログラムもＷｅｂブラウザブックマークレットとして格納して管理する。そして、後述するＷｅｂブラウズ部１５３とともに利用されることで、利用者によって頻繁に利用されるＷｅｂサイトに短時間でアクセスさせることを可能にする。

例えば、ブックマーク管理部１５１は、図６に示すように、サービス提供サイトＡとして、サービス提供サイトＡのアドレス情報であるＵＲＬ「http://www.serverA.com」を格納して管理する一方で、認証装置ブックマークレットとして、JavaScript等で記述されたプログラムを格納して管理する。そして、ブックマーク管理部１５１が、後述するＷｅｂブラウズ部１５３とともにモニタに出力され、ＵＲＬを格納するブックマーク識別情報が利用者によって選択されると、ＵＲＬで指定するアドレスのＷｅｂサイトにＷｅｂブラウズ部１５３によって接続され、コンテンツが取得されてモニタに出力される。一方、プログラムを格納するブックマーク識別情報が利用者によって選択されると、JavaScript等で記述された処理が実行される。なお、実施例１では、ブックマーク管理部１５１がサーバアドレス情報（サービス提供サイトＡ）と認証装置ブックマークレットとを登録している場合を例示したが、サーバアドレス情報を登録せずに認証装置ブックマークレットのみを登録する場合や、他のアドレス情報も登録する場合など、認証装置ブックマークレットが登録されていれば、いずれでもよい。

ここで、図２に戻ると、ブックマーク管理部１５１によって管理される認証装置ブックマークレット部１５２は、認証装置アドレス情報保持部１５２ａと、認証要求情報抽出部１５２ｂとを備える。なお、認証装置アドレス情報保持部１５２ａは、特許請求の範囲に記載の「認証装置アドレス情報保持手段」に対応し、認証要求情報抽出部１５２ｂは、特許請求の範囲に記載の「認証装置アドレス情報抽出手段」に対応する。

認証装置アドレス情報保持部１５２ａは、被認証装置１００が所属する所定の認証装置にアクセスするための認証装置アドレス情報を保持する保持手段である。例えば、図６に示すように、“JavaScriptで特定のＨＴＭＬタグで囲まれたデータを抽出したり、特定のキーワードに続くデータを抽出したりする処理を記述して、認証装置アドレス情報を保持する。

認証要求情報抽出部１５２ｂは、認証装置アドレス情報保持部１５２ａによって保持された認証装置アドレス情報で指定する認証装置３００に対するアクセス要求が行われた場合に、後述するＷｅｂブラウズ部１５３によって受信された認証要求ページから認証要求情報（チャレンジデータ）を抽出する抽出手段である。例えば、図６に示すように、JavaScriptで「var challenge=”document,getElementByTagName・・・」などと記述して、認証要求情報を抽出する。なお、認証要求情報抽出部１５２ｂによる認証要求情報抽出処理の具体的な流れについては、後述する。

Ｗｅｂブラウズ部１５３は、後述するサーバ２００および後述する認証装置３００や、その他のネットワーク上の装置にネットワークを介して接続され、サーバ２００にアクセスして受信した認証要求情報を認証装置３００へ転送する手段である。具体的には、認証要求情報が特定の認証装置と対応付けられることなく含まれる認証要求ページをサーバ２００から受信し、認証要求情報抽出部１５２ｂによって認証要求情報が抽出された場合に、認証要求情報をアクセス要求が行われた認証装置３００に転送する。なお、Ｗｅｂブラウズ部１５３は、特許請求の範囲に記載の「認証要求情報受信手段」と「認証要求情報転送手段」とに対応する。

また、Ｗｅｂブラウズ部１５３は、具体的には、パソコンなどで利用されるＷｅｂブラウザソフトウェアであって、例えば、図３の「http://www.serverA.com」で示されるＵＲＬ入力の部分や、ブックマーク提示欄（favorites）の部分を指す。一方、図３の上部をのぞくウィンドウ全体に示されている部分は、Ｗｅｂブラウズ部１５３が取得したコンテンツである。この「http://www.serverA.com」は、現在Ｗｅｂブラウズ部１５３が取得したコンテンツのアドレス情報であるＵＲＬを示している。また、ブックマーク提示欄は、ブックマーク管理部１５１によって管理される情報をＷｅｂブラウズ部１５３が提示したものであり、サーバにアクセスするためのサーバブックマーク識別情報（「サーバへ」）と、所属する所定の認証装置にアクセスするための認証装置ブックマーク識別情報（「認証装置へ」）とを示している。なお、本実施例では、ブックマーク識別情報がプルダウンメニュー形式で構成されている場合を例示したが、本発明はこれに限定されるものではなく、Ｗｅｂブラウズ部１５３の左端にブックマーク識別情報のリストを提示するなど、ブックマーク識別情報に登録されたアドレス情報（またはプログラム）が利用者によって利用可能な形態であれば、いずれでもよい。

［サーバの構成］
次に、図２を用いて、実施例１におけるサーバの構成を説明する。図２に示すように、サーバ２００は、ネットワーク通信部２１０と、記憶部２２０と、制御部２３０とから主に構成される。

ネットワーク通信部２１０は、サーバ２００が、被認証装置１００および後述する認証装置３００や、その他のネットワーク上の装置にネットワークを介して接続され、アクセスするための通信を行う通信手段である。具体的には、パソコンに搭載されたＬＡＮボードなどによって通信を行う。例えば、ネットワーク上の他の装置にアクセスしたり、被認証装置１００に認証要求ページを送信したりするための通信を行う。

記憶部２２０は、制御部２３０による各種処理に用いるデータを記憶する記憶手段であり、特に本発明に密接に関連するものとしては、図２に示すように、公開鍵記憶部２２１を備える。

かかる公開鍵記憶部２２１を説明すると、サーバ２００が承認する特定の認証装置３００ごとの固有の公開鍵（公開鍵暗号方式で使用される一対の鍵のうち、一般に公開される方の鍵）を、認証装置３００の識別子とともに記憶する記憶手段である。具体的には、サーバ２００が、認証装置３００で生成された認証結果情報を後述する認証結果検証部２３２によって検証する際に利用する公開鍵を記憶する。なお、公開鍵記憶部２２１が記憶する公開鍵を利用して行われる認証結果検証部２３２による認証結果検証処理の具体的な流れについては、後述する。

制御部２３０は、サーバ２００を制御して各種処理を実行する制御手段であり、特に本発明に密接に関連するものとしては、図２に示すように、認証要求部２３１と、認証結果検証部２３２とを備える。

かかる認証要求部２３１を説明すると、被認証装置１００からのアクセス要求に応じ、認証要求情報であるチャレンジデータが特定の認証装置と対応付けられることなく含まれる認証要求ページを生成し、被認証装置１００に送信する認証要求手段である。具体的には、サーバ２００は、サーバ２００における認証処理によって認証された被認証装置１００に対してサービスを提供するとともに、認証装置３００と連携し、認証装置３００によって認証された被認証装置１００に対してもサービスを提供する仕組みになっているので、図３に示すように、サーバ２００における認証処理を希望する利用者装置のための利用者ＩＤおよびパスワードの入力を求める情報と、認証装置３００によって認証されることを希望する被認証装置１００のためのチャレンジデータ（challenge_data=9361923416）とを含む認証要求ページを生成し、被認証装置１００に送信する。

認証結果検証部２３２は、認証装置３００において生成された認証結果情報を被認証装置１００から受信し、認証結果検証を行う検証手段である。そして、認証結果検証部２３２による検証に成功すると、サーバ２００は、図５に示すように、被認証装置１００が認証装置３００での認証に成功したことを示す情報や、サービス提供画面へ遷移するためのリンク（「サービス提供画面へ（クリック）」などを含むページを生成し、被認証装置１００に送信する。なお、図５では、サービス提供ページに実際のサービス提供画面へ遷移するリンクを表示する場合を説明したが、直接実際のサービス提供画面を表示する場合など、サーバ２００において検証が成功した後サービス提供画面へと利用者を誘導できれば、いずれでもよい。また、認証結果検証部２３２による認証結果検証処理の具体的な流れについては、後述する。

［認証装置の構成］
次に、図２および図７を用いて、実施例１における認証装置の構成を説明する。図７は、パスワード記憶部を説明するための図である。図２に示すように、認証装置３００は、ネットワーク通信部３１０と、記憶部３２０と、制御部３３０とから主に構成される。

ネットワーク通信部３１０は、認証装置３００が、被認証装置１００およびサーバ２００や、その他のネットワーク上の装置にネットワークを介して接続され、アクセスするための通信を行う通信手段である。具体的には、パソコンに搭載されたＬＡＮボードなどによって通信を行う。例えば、ネットワーク上の他の装置にアクセスしたり、被認証装置１００にログインページを送信したりするための通信を行う。

記憶部３２０は、制御部３３０による各種処理に用いるデータを記憶する記憶手段であり、特に本発明に密接に関連するものとしては、図２に示すように、パスワード記憶部３２１と、固有鍵記憶部３２２とを備える。

かかるパスワード記憶部３２１を説明すると、認証装置３００に所属する被認証装置１００の利用者ＩＤおよびパスワードを記憶する記憶手段である。具体的には、認証装置３００が、後述する認証処理部３３２によって被認証装置１００から受け付けた利用者ＩＤおよびパスワードを認証する際に利用する利用者ＩＤおよびパスワードを記憶する。例えば、図７に例示するように、パスワード記憶部３２１は、利用者ＩＤとパスワードとを対応づけて記憶しており、利用者ＩＤ「ｓａｔｏ」に対応するパスワードは「ｏｔａｓ」、利用者ＩＤ「ｔａｎａｋａ」に対応するパスワードは「ｔａｎａ１２３４」、利用者ＩＤ「ｙａｍａｄａ」に対応するパスワードは「ｔａｒｏｕ」などの情報を記憶する。

固有鍵記憶部３２２は、認証装置３００に固有の秘密鍵（公開鍵暗号方式で使用される一対の鍵のうち、一般に公開されない方の鍵）を記憶する記憶手段である。具体的には、後述する認証結果生成部３３３において認証結果情報を生成する際に利用する認証装置３００に固有の秘密鍵を記憶する。なお、固有鍵記憶部３２２が記憶する固有鍵を利用して行われる認証結果生成部３３３による認証結果生成処理の具体的な流れについては、後述する。

制御部３３０は、認証装置３００を制御して各種処理を実行する制御手段であり、特に本発明に密接に関連するものとしては、図２に示すように、認証要求受付部３３１と、認証処理部３３２と、認証結果生成部３３３とを備える。

かかる認証要求受付部３３１を説明すると、被認証装置１００から認証要求を受け付ける受付手段である。具体的には、被認証装置１００から認証要求を受け付けると、被認証装置１００が認証装置３００に所属する被認証装置１００であるか否かを認証するために、ログインページを被認証装置１００に送信する。例えば、図４に示すように、認証装置３００が被認証装置１００を認証するために被認証装置１００に対して利用者ＩＤおよびパスワードの入力を求める情報を含むログインページを送信する。

認証処理部３３２は、認証装置３００に所属する被認証装置１００から利用者ＩＤおよびパスワードを受け付けて認証を行う処理手段である。具体的には、被認証装置１００によってログインページに入力された利用者ＩＤおよびパスワードを、パスワード記憶部３２１に記憶されている利用者ＩＤおよびパスワードと一致するか否かを判断する。なお、実施例１では、認証装置３００が被認証装置１００に対して利用者ＩＤおよびパスワードの入力を求める場合を説明したが、パソコンに接続したＩＣカードリーダーにＩＣカードを入力させて認証する場合など、被認証装置１００を認証できる形態であれば、いずれでもよい。

認証結果生成部３３３は、認証処理部３３２によって認証された認証結果に応じて認証結果情報を生成する生成手段である。具体的には、認証処理部３３２によって、ログインページに入力された利用者ＩＤおよびパスワードが、パスワード記憶部３２１に記憶された利用者ＩＤおよびパスワードと一致すると判断されると、被認証装置１００から転送された認証要求情報を用いて認証結果情報を生成する。なお、認証結果生成部３３３による認証結果生成処理の具体的な流れについては、後述する。

［認証連携システムによる処理］
次に、図８から図１１を用いて、実施例１における認証連携システムによる処理を説明する。図８は、認証連携システムによる処理の手順を示すシーケンス図であり、図９は、認証要求情報抽出処理の手順を示すフローチャートであり、図１０は、認証結果生成処理の手順を示すフローチャートであり、図１１は、認証結果検証処理の手順を示すフローチャートである。

図８に示すように、まず、被認証装置１００は、サーバ２００へのアクセス要求を、ＨＴＴＰ（HyperText Transfer Protocol）要求メッセージとしてＷｅｂブラウズ部１５３経由で送信する（ステップＳ８０１）。このアクセス要求には、被認証装置１００の識別子として利用者ＩＤ「Ｕ」を含む。

次に、サーバ２００は、被認証装置１００からアクセス要求を受信すると、認証要求部２３１において認証要求情報（チャレンジデータ）を生成する（ステップＳ８０２）。なお、認証要求部２３１は、生成したチャレンジデータに認証完了に通常要する時間を有効期限として設定した上で、利用者ＩＤ「Ｕ」と有効期限とを対応付けて有効チャレンジデータリストに保持する。

そして、サーバ２００は、認証要求部２３１において、チャレンジデータが特定の認証装置と対応付けられることなく含まれる認証要求ページを生成し、被認証装置１００に送信する（ステップＳ８０３）。例えば、チャレンジデータが「９３６１９２３４１６」という乱数であった場合、図３に示すような形態で認証要求ページに埋め込み、サーバ２００から被認証装置１００へＨＴＴＰ応答メッセージとして送信する。すると、被認証装置１００は、チャレンジデータが含まれる認証要求ページをＷｅｂブラウズ部１５３経由でサーバ２００から受信する。

続いて、被認証装置１００は、認証装置アドレス情報保持部１５２ａによって保持された認証装置アドレス情報で指定する認証装置３００に対するアクセス要求が、Ｗｅｂブラウザブックマークレット部１５２上で利用者に選択されることによって行われると、認証要求情報抽出部１５２ｂにおいてステップＳ８０３で受信した認証要求ページからチャレンジデータを抽出し、また、認証要求ページからサーバのアドレス情報（ＵＲＬ）を抽出する（ステップＳ８０４）。

次に、被認証装置１００は、認証要求情報抽出部１５２ｂによってチャレンジデータが抽出されると、チャレンジデータおよびサーバのＵＲＬをアクセス要求が行われた認証装置３００にＷｅｂブラウズ部１５３経由で転送する（ステップＳ８０５）。

すると、認証装置３００では、認証要求受付部３３１において、ステップＳ８０５で転送されたチャレンジデータおよびサーバのＵＲＬを保持し、被認証装置１００が認証装置３００に所属する被認証装置であるか否かを認証するために、図４に示すように、ログインページを送信する（ステップＳ８０６）。

続いて、被認証装置１００は、認証装置３００から受信したログインページに、利用者ＩＤ「Ｕ」およびパスワードを入力し、Ｗｅｂブラウズ部１５３経由で認証装置３００に送信する（ステップＳ８０７）。

すると、認証装置３００は、認証処理部３３２において、被認証装置１００から受信した利用者ＩＤ「Ｕ」およびパスワードを受け付け、パスワード記憶部３２１に記憶されている利用者ＩＤ「Ｕ」およびパスワードと一致するか否かを判断する（ステップＳ８０８）。

そして、認証装置３００は、認証処理部３３２によって、被認証装置１００から受信した利用者ＩＤ「Ｕ」およびパスワードが、パスワード記憶部３２１に記憶されている利用者ＩＤ「Ｕ」およびパスワードと一致すると判断した場合、次に、認証結果生成部３３３において、認証結果情報を生成する（ステップＳ８０９）。なお、一致しないと判断した場合には、認証失敗として以降の処理は行わず、被認証装置１００にエラーページを応答として送信する。

続いて、認証装置３００は、被認証装置１００をリダイレクト（被認証装置がアクセスしたＵＲＬとは別のＵＲＬにアクセスさせること）によってサーバ２００に誘導するための情報や、認証結果生成部３３３によって生成された認証結果情報や、認証装置３００の識別子や、利用者ＩＤ「Ｕ」などを、被認証装置１００に送信する（ステップＳ８１０）。

すると、被認証装置１００は、認証装置３００によりリダイレクトされ、認証装置３００から受信した認証結果生成部３３３によって生成された認証結果情報や、認証装置３００の識別子や、被認証装置１００の識別子などとともに、サーバ２００にアクセス要求を行う（ステップＳ８１１）。

次に、サーバ２００は、認証結果検証部２３２において、認証装置３００において生成された認証結果情報を被認証装置１００から受信し、認証結果検証を行う（ステップＳ８１２）。

そして、サーバ２００は、認証結果検証部２３２による検証に成功すると、図５に示すように、被認証装置１００が認証装置３００での認証に成功したことを示す情報や、サービス提供画面へ遷移するためのリンクなどを含むページを生成し、被認証装置１００に送信する（ステップＳ８１３）。

［認証要求情報抽出処理］
次に、図８のステップＳ８０４における認証要求情報抽出処理の手順について具体的に説明すると、図９に示すように、まず、被認証装置１００において、認証要求情報抽出部１５２ｂは、ブックマーク管理部１５１にあらかじめ登録されている認証装置ブックマークレット部１５２に対する利用者の選択を受け付けて、認証装置ブックマークレットを起動する（ステップＳ９０１）。

すると、認証要求情報抽出部１５２ｂは、サーバ２００のアドレス情報（ＵＲＬ）として、現在Ｗｅｂブラウズ部１５３が表示している認証要求ページのＵＲＬを取得し、「Ｕ＿Ａ」とする（ステップＳ９０２）。

続いて、認証要求情報抽出部１５２ｂは、認証要求ページから“challenge_data=”という文字列に続くチャレンジデータを抽出する（ステップＳ９０３）。

そして、認証要求情報抽出部１５２ｂは、認証装置ブックマークレット部１５２に含まれる認証装置３００のＵＲＬの末尾に“？challenge_data=”チャレンジデータ、“＆Ｕ＿Ａ=”およびＵ＿ＡをＵＲＬエスケープしたデータを連結して、認証装置３００への認証要求ＵＲＬ「Ｕ＿Ｂ」を生成する（ステップＳ９０４）。このようにして生成された認証要求ＵＲＬで被認証装置１００が認証装置３００へアクセスすることで、認証装置３００では、図８のステップＳ８０６において、チャレンジデータおよびサーバのＵＲＬを保持することができる。

［認証結果情報生成処理］
次に、図８のステップＳ８０９における認証結果生成処理について具体的に説明すると、図１０に示すように、まず、認証装置３００において、認証結果生成部３３３は、チャレンジデータと、サーバ２００のＵＲＬ「Ｕ＿Ａ」と、利用者ＩＤ「Ｕ」とを、“｜”を区切り文字として連結し、データＸとする（ステップＳ１００１）。

次に、認証結果生成部３３３は、データＸのハッシュ値を求め、得られたデータをデータＹとする（ステップＳ１００２）。

そして、認証結果生成部３３３は、固有鍵記憶部３２２に格納された秘密鍵を取得し、秘密鍵を用いてデータＹを暗号化したものをデータＺとする（ステップＳ１００３）。

続いて、認証結果生成部３３３は、データＸの末尾に“｜”を区切り文字としてデータＺを付加したものを認証結果情報Ｔとする（ステップＳ１００４）。このようにして生成された認証結果情報Ｔは、図８のステップＳ８１０において、被認証装置１００に送信される際に用いられる。

［認証結果検証処理］
次に、図８のステップＳ８１２における認証結果検証処理について具体的に説明すると、まず、サーバ２００において、認証結果検証部２３２は、認証結果情報Ｔからデータを復元する（ステップＳ１１０１）。具体的には、認証結果情報Ｔの３番目の“｜”以前のデータをデータＸとして復元し、認証結果情報Ｔの３番目の“｜”以降のデータをデータＺとして復元し、データＸの１番目の“｜”以前のデータをチャレンジデータとして復元し、データＸの１番目の“｜”から２番目の“｜”までのデータをデータ「Ｕ＿Ａ」として復元し、データＸの２番目の“｜”以降のデータをデータ「Ｕ’」として復元する。

そして、認証結果検証部２３２は、利用者ＩＤ「Ｕ」とチャレンジデータとが対応付けられて有効チャレンジリストに含まれており、かつ、対応する有効期限が過ぎていないか否かを判断し（ステップＳ１１０２）、利用者ＩＤ「Ｕ」とチャレンジデータとが対応付けられて有効チャレンジリストに含まれており、かつ、対応する有効期限が過ぎていない場合には（ステップＳ１１０２肯定）、データＸのハッシュ値を求め、得られたデータをデータＹとする（ステップＳ１１０３）。

次に、認証結果検証部２３２は、公開鍵記憶部２２１から認証装置３００の識別子をキーにして公開鍵を取得する（ステップＳ１１０４）。

続いて、認証結果検証部２３２は、データＺを公開鍵により復号して得られたデータがデータＹと一致するか否かを判断し（ステップＳ１１０５）、一致すれば（ステップＳ１１０５肯定）、次に、利用者ＩＤ「Ｕ」とデータ「Ｕ’」とが一致するか否かを判断し（ステップＳ１１０６）、一致すれば（ステップＳ１１０６肯定）、検証結果は成功であるとして、処理を終了する。

また、ステップＳ１１０２で、利用者ＩＤ「Ｕ」とチャレンジデータとが対応付けられて有効チャレンジリストに含まれていない、または、対応する有効期限が過ぎている場合（ステップＳ１１０２否定）や、ステップＳ１１０５でデータＺを公開鍵により復号して得られたデータがデータＹと一致しない場合（ステップＳ１１０５否定）や、ステップＳ１１０６で利用者ＩＤ「Ｕ」とデータ「Ｕ’」とが一致しない場合（ステップＳ１１０６否定）には、検証結果は失敗であるとして、処理を終了する。

［実施例１の効果］
上述してきたように、実施例１によれば、従来技術では、サーバが被認証装置に送信するＷｅｂページに認証装置アドレス情報を含めていたが、本発明では、被認証装置に認証装置アドレス情報を保持させることにより、サーバがＷｅｂページに認証装置アドレス情報を含めることが不要となり、認証装置が多数あり、利用者を認証可能な認証装置をサーバ側で把握できない場合にも、シングルサインオンを実現することが可能になる。さらに、認証装置のアドレスをサーバ側で把握できる場合であっても、ネットワーク上の認証装置が増える度に新しい認証装置アドレス情報が認証要求ページに追加されるなどの管理がなされる必要がなく、また、所定の認証装置が利用者に選択されるに際しても、数多くの候補リストから所定の認証装置が探し出される必要もない結果、シングルサインオンを簡易に実現することが可能になる。

また、実施例１によれば、従来技術では、サーバが被認証装置に送信するＷｅｂページに認証装置アドレス情報を含めていたが、本発明では、被認証装置においてＷｅｂブラウザに組み込まれるＷｅｂブラウザブックマークレットに認証装置アドレス情報を保持させることにより、サーバがＷｅｂページに認証装置アドレス情報を含めることが不要となり、認証装置が多数あり、利用者を認証可能な認証装置をサーバ側で把握できない場合にも、シングルサインオンを実現することが可能になる。さらに、認証装置のアドレスをサーバ側で把握できる場合であっても、ネットワーク上の認証装置が増える度に新しい認証装置アドレス情報が認証要求ページに追加されるなどの管理がなされる必要がなく、所定の認証装置が利用者に選択されるに際しても、数多くのリストから所定の認証装置が探し出される必要もなく、被認証装置においてＷｅｂブラウザ以外のアプリケーションが起動される必要もなく、一般的なブックマークと同様の操作環境を提供できるため特殊な操作がなされる必要もなく、また、既存のＷｅｂブラウザにブックマークが登録されるのみで利用可能となるためＷｅｂブラウザのプログラムに変更が加えられる必要もない結果、シングルサインオンをより簡易かつ簡略に実現することが可能になる。

［他の実施例］
ところで、これまで実施例１に係る被認証装置について説明したが、本発明は上述した実施例以外にも、他の形態にて実施されてよいものである。そこで、以下では、実施例２における被認証装置として、他の実施例を説明する。

上記の実施例１では、サーバが、電子商取引等のサービスを提供するサーバであり、また、認証装置が、各種サーバの認証処理を一元的に引き受ける認証装置である場合を説明したが、本発明はこれに限定されるものではなく、サーバが各個人で所有する個人のサーバである場合や、複数人で共有するサーバに存在する個人が管理するＷｅｂサイトである場合や、個人間で互いのサーバ領域に対してアクセスするような場合など、サーバ機能を有する装置と認証機能を有する装置との間で適用する場合であれば、本発明を同様に適用することができる。

具体的には、例えば、個人間で互いのサーバにアクセスしあうような場合、すなわち、利用者からアクセスされるサーバが、個人のサーバであり、一方、認証装置が、利用者がログイン可能な利用者自身の個人のサーバであり、立場が入れ替わると、サーバおよび認証装置の機能もそれに対応して入れ替わる場合を説明すると、このような場合、サーバは、信頼関係にある利用者（利用者自身の個人のサーバである認証装置）のリストを保持していることになる。しかし、認証装置以外の被認証装置（信頼関係にない利用者）からのアクセスを受け付けた場合には、信頼関係にある利用者のリストをサーバが開示する必要はなく、被認証装置のＷｅｂブラウザに組み込まれたＷｅｂブラウザブックマークレットによって認証が行われるので、プライバシーを保護することが可能になる。

また、上記の実施例１では、被認証装置が装備するＷｅｂブラウザとＷｅｂブラウザに組み込まれるＷｅｂブラウザブックマークレットとで実現する場合を説明したが、本発明はこれに限定されるものではなく、被認証装置が装備するＷｅｂブラウザとＷｅｂブラウザに組み込まれるＷｅｂブラウザ用プラグインとで実現する場合や、Ｗｅｂブラウザとは関係なく同様の機能を有するソフトウェアで実現する場合や、同様の機能を有するハードウェアで実現する場合などでも、本発明を同様に適用することができる。

また、上記の実施例１では、認証装置のパスワード記憶部に、被認証装置の利用者ＩＤおよびパスワードがあらかじめ記憶されている場合を説明したが、本発明はこれに限定されるものではなく、被認証装置のＷｅｂブラウザブックマークレットを起動して初めて認証装置への登録を開始する場合など、認証装置に対する登録の時期は、いずれでもよい。

また、上記の実施例１では、被認証装置が、認証要求ページからチャレンジデータを抽出し、かつ、サーバのアドレス情報を抽出する場合を説明したが、本発明はこれに限定されるものではなく、サーバのアドレス情報を抽出しない場合でもよい。この場合には、認証装置において認証結果情報が生成され、被認証装置に送信された際に、サーバにリダイレクトされることができなくなる。この場合は、Ｗｅｂブラウザ側のプラグインやブックマークレットがアクセス履歴に基づいてサーバへと戻り、認証結果を送信するようにする等の手段が別途必要である。

［システム構成等］
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、本実施例で説明した被認証方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係る被認証装置、被認証プログラム、被認証方法、ＷｅｂブラウザプラグインおよびＷｅｂブラウザブックマークレットは、サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する場合に有用であり、特に、ネットワーク上に複数の認証装置が存在する場合でも、シングルサインオンを簡易に実現することに適する。

実施例１に係る認証連携システムの概要および特徴を説明するための図である。 実施例１に係る認証連携システムの構成を示すブロック図である。 サーバから受信した認証要求ページを説明するための図である。 認証装置から受信したログインページを説明するための図である。 サーバから受信したサービス提供ページを説明するための図である。 ブックマーク管理部を説明するための図である。 パスワード記憶部を説明するための図である。 認証連携システムによる処理の手順を示すシーケンス図である。 認証要求情報抽出処理の手順を示すフローチャートである。 認証結果生成処理の手順を示すフローチャートである。 認証結果検証処理の手順を示すフローチャートである。

符号の説明

１００ 被認証装置
１１０ 入力部
１２０ 出力部
１３０ 入出力制御ＩＦ部
１４０ ネットワーク通信部
１５０ 制御部
１５１ ブックマーク管理部
１５２ 認証装置ブックマークレット部
１５２ａ 認証装置アドレス情報保持部
１５２ｂ 認証要求情報抽出部
２００ サーバ
２１０ ネットワーク通信部
２２０ 記憶部
２２１ 公開鍵記憶部
２３０ 制御部
２３１ 認証要求部
２３２ 認証結果検証部
３００ 認証装置
３１０ ネットワーク通信部
３２０ 記憶部
３２１ パスワード記憶部
３２２ 固有鍵記憶部
３３０ 制御部
３３１ 認証要求受付部
３３２ 認証処理部
３３３ 認証結果生成部

Claims (5)

1. サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する被認証装置であって、
   前記認証要求情報が特定の前記認証装置と対応付けられることなく含まれる認証要求ページを前記サーバから受信する認証要求情報受信手段と、
   所定の前記認証装置にアクセスするための認証装置アドレス情報を保持する認証装置アドレス情報保持手段と、
   前記認証装置アドレス情報保持手段によって保持された前記認証装置アドレス情報で指定する前記認証装置に対するアクセス要求が行われた場合に、前記認証要求受信手段によって受信された前記認証要求ページから前記認証要求情報を抽出する認証要求情報抽出手段と、
   前記認証要求情報抽出手段によって前記認証要求情報が抽出された場合に、当該認証要求情報を前記アクセス要求が行われた前記認証装置に転送する認証要求情報転送手段と、
   を備えたことを特徴とする被認証装置。
2. サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する方法をコンピュータに実行させる被認証プログラムであって、
   前記認証要求情報が特定の前記認証装置と対応付けられることなく含まれる認証要求ページを前記サーバから受信する認証要求情報受信手順と、
   所定の前記認証装置にアクセスするための認証装置アドレス情報を保持する認証装置アドレス情報保持手順と、
   前記認証装置アドレス情報保持手順によって保持された前記認証装置アドレス情報で指定する前記認証装置に対するアクセス要求が行われた場合に、前記認証要求受信手順によって受信された前記認証要求ページから前記認証要求情報を抽出する認証要求情報抽出手順と、
   前記認証要求情報抽出手順によって前記認証要求情報が抽出された場合に、当該認証要求情報を前記アクセス要求が行われた前記認証装置に転送する認証要求情報転送手順と、
   をコンピュータに実行させることを特徴とする被認証プログラム。
3. サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する方法であって、
   前記認証要求情報が特定の前記認証装置と対応付けられることなく含まれる認証要求ページを前記サーバから受信する認証要求情報受信工程と、
   所定の前記認証装置にアクセスするための認証装置アドレス情報を保持する認証装置アドレス情報保持工程と、
   前記認証装置アドレス情報保持工程によって保持された前記認証装置アドレス情報で指定する前記認証装置に対するアクセス要求が行われた場合に、前記認証要求受信工程によって受信された前記認証要求ページから前記認証要求情報を抽出する認証要求情報抽出工程と、
   前記認証要求情報抽出工程によって前記認証要求情報が抽出された場合に、当該認証要求情報を前記アクセス要求が行われた前記認証装置に転送する認証要求情報転送工程と、
   を含んだことを特徴とする被認証方法。
4. サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する方法をコンピュータに実行させるＷｅｂブラウザに組み込まれるＷｅｂブラウザ用プラグインであって、
   所定の前記認証装置にアクセスするための認証装置アドレス情報を保持する認証装置アドレス情報保持手順と、
   前記認証要求情報を特定の前記認証装置と対応付けられることなく含む認証要求ページが前記Ｗｅｂブラウザ経由で前記サーバから受信され、前記認証装置アドレス情報保持手順によって保持された前記認証装置アドレス情報で指定する当該認証装置に対するアクセス要求が行われた場合に、当該アクセス要求が行われた認証装置に対して当該認証要求情報が当該Ｗｅｂブラウザ経由で転送されるように、当該認証要求ページから転送対象の当該認証要求情報を抽出する認証要求情報抽出手順と、
   をコンピュータに実行させることを特徴とするＷｅｂブラウザプラグイン。
5. サーバおよび認証装置にネットワークを介してそれぞれ接続され、当該サーバにアクセスして受信した認証要求情報を当該認証装置へ転送する方法をコンピュータに実行させるＷｅｂブラウザに組み込まれるＷｅｂブラウザブックマークレットであって、
   所定の前記認証装置にアクセスするための認証装置アドレス情報をＷｅｂブラウザブックマークと同じ形態で提示されるように保持する認証装置アドレス情報保持手順と、
   前記認証要求情報を特定の前記認証装置と対応付けられることなく含む認証要求ページが前記Ｗｅｂブラウザ経由で前記サーバから受信され、前記認証装置アドレス情報保持手順によって保持されＷｅｂブラウザブックマークと同じ形態で提示された前記認証装置アドレス情報で指定する当該認証装置に対するアクセス要求が行われた場合に、当該アクセス要求が行われた認証装置に対して当該認証要求情報が当該Ｗｅｂブラウザ経由で転送されるように、当該認証要求ページから転送対象の当該認証要求情報を抽出する認証要求情報抽出手順と、
   をコンピュータに実行させることを特徴とするＷｅｂブラウザブックマークレット。

Images