JP2007317110A - 認証情報統合システム - Google Patents

Abstract

【課題】 顧客に認証情報統合処理を意識させることなく、かつシステムに過大な負荷をかけることなく認証情報統合処理を行なう。
【解決手段】 本発明は、統合元のシステムにおいて利用される暗号化処理を実行する暗号化プログラム２３及び統合先のシステムにおいて利用される暗号化処理を実行する暗号化プログラム２４を統合元のシステム４に設ける。そして、システム４において認証が成立した場合に、当該認証情報を暗号化プログラム２４を利用して暗号して統合先のシステムに送信する。
【選択図】 図２

Description

本発明は、パスワードなどの認証情報を統合することができる認証情報統合システムに関する。

数十万の顧客を管理する複数の大規模システムを統合する場合、パスワードなどの認証情報を統合する必要がある。一般に認証情報は、セキュリティを確保するため、ハッシュ関数などの一方向性関数を利用して変換された後の状態でシステムに管理されており、統合先のシステムが異なる一方向性関数を利用している場合には、当該変換後の認証情報を統合先のシステムで利用することができない。

したがって、従来、このような大規模システムにおいてパスワードなどの認証情報を統合する場合、顧客から認証情報を書面により届けてもらい、統合先のシステムに入力することが行なわれている。

しかしながら、このような方法では、顧客に手間を掛けてしまうとともに、登録事務の短期集中、登録事務ミス、顧客照会対応処理が集中してしまうおそれがあるという問題がある。

一方、各システムに対して一括してパスワードの変更処理、登録処理などを行なうシステムも開発されている（特許文献１参照。）。このようなシステムは、各システムのフロントに設けられ、パスワードの変更などを行なう際には、そのフロントに設けられたシステムによって提供されるサイトがユーザの入り口となる。
特開２００２−１６９７７７号公報

しかしながら、各システムのフロントにパスワードなどの変更を行なう装置を設けるような場合には、顧客が当該装置に対してアクセスしなければならず、顧客に余計な手間をかけてしまうという問題がある。

また、大規模なシステムの統合を行なう場合には、フロントに設けられる装置にアクセスが集中してしまうことから当該装置に高い能力を有するコンピュータを準備しなければならないという問題もある。

本発明は、上記実情に鑑みてなされたものであり、パスワードなどの認証情報の統合を行なう際に、顧客が認証情報の統合を意識することなく、かつシステムに過大な負荷をかけることなく認証情報の統合を行なうことができる認証情報統合システムを提供することを目的とする。

本発明の第１の発明によれば、第１の一方向性関数により認証情報を変換して認証処理を行なう第１の認証装置と、前記第１の認証装置と接続され、第２の一方向性関数により認証情報を変換して認証処理を行なう第２の認証装置とを具備する認証情報統合システムにおいて、前記第１の認証装置は、顧客識別情報と、この顧客識別情報に関連付けられた自システムの第１の認証情報と、前記第１の一方向性関数と、前記第２の一方向性関数とを記憶するデータベースと、顧客識別情報及びこの顧客識別情報に対応する第２の認証情報を受信する手段と、前記受信した第２の認証情報を前記第１の一方向性関数を利用して変換する手段と、前記変換された第２の認証情報と、前記第１の認証情報とが一致することを検出する手段と、一致したことが検出された場合に、前記受信した第２の認証情報を前記第２の一方向性関数を利用して変換する手段と、前記受信した顧客識別情報と、前記変換された第２の認証情報とを前記他のシステムへ送信する手段とを具備し、前記第２の認証装置は、前記第１の認証装置から送信された顧客識別情報及び前記変換された第２の認証情報を格納する手段を具備することを特徴とする認証情報統合システム、である。

本発明の第２の発明によれば、顧客識別情報と、この顧客識別情報に関連付けられた自システムの第１の認証情報と、自システムで認証情報を変換するための第１の一方向性関数と、他のシステムで認証情報を変換するための第２の一方向性関数とを記憶するデータベースと、顧客識別情報及びこの顧客識別情報に対応する第２の認証情報の識別情報を受信する手段と、前記受信した第２の認証情報を前記第１の一方向性関数を利用して変換する手段と、前記変換された第２の認証情報と、前記第１の認証情報とが一致することを検出する手段と、一致したことが検出された場合に、前記受信した第２の認証情報を前記第２の一方向性関数を利用して変換する手段と、前記受信した顧客識別情報と、前記変換された第２の認証情報とを前記他のシステムへ送信する手段とを具備することを特徴とする認証情報統合システム、である。

本発明によれば、パスワードなどの認証情報の統合を行なう際に、顧客が認証情報の統合を意識することなく、かつシステムに過大な負荷をかけることなく認証情報の統合を行なうことができる認証情報統合システムを提供することができる。

以下、図面を参照して、本発明の実施の形態に係る認証情報統合システムについて説明する。

図１は、本発明の実施の形態に係る認証情報統合システムの使用環境を示す図である。

同図に示すように、インターネットなどのネットワーク１には顧客コンピュータ２，３、企業Ａのサーバコンピュータ４及び企業Ｂのサーバコンピュータ５が接続されている。

顧客コンピュータ２は、企業Ａのサーバコンピュータ４によって提供されるサービスを利用するものであり、企業Ａのサーバコンピュータ４にパスワードなどの認証情報を送信することにより当該サービスへログインするものである。

顧客コンピュータ３は、企業Ｂのサーバコンピュータ５によって提供されるサービスを利用するものであり、企業Ｂのサーバコンピュータ５にパスワードなどの認証情報を送信することにより当該サービスへログインするものである。

企業Ａのサーバコンピュータ４は、企業Ａによるサービスを提供するものであり、本発明の実施の形態に係る認証情報統合処理を行なうものである。企業Ｂのサーバコンピュータ５は、企業Ｂによるサービスを提供するものであり、企業Ａのサーバコンピュータ４から送られてくる顧客の認証情報を受信し、格納する本発明の実施の形態に係る認証情報統合処理を行なうものである。

本発明の実施の形態においては、企業Ａのサーバコンピュータ４におけるパスワードなどの認証情報を企業Ｂのサーバコンピュータ５に統合する場合について説明する。

図２は、企業Ａのサーバコンピュータ４の構成を示す図である。

同図に示すように、サーバコンピュータ４は、バス１１にＣＰＵ１２、通信Ｉ／Ｆ１３、メモリ１４及び記憶装置１５が接続されている。

ＣＰＵ１２は、記憶装置１５に記憶された認証情報統合プログラム２1と協働して、本発明の実施の形態に係る処理全体を司るものである。

通信Ｉ／Ｆ１３は、ネットワーク１を介した外部装置との通信の制御を司る。

メモリ１４は、認証情報統合プログラム２１を実行する際に必要とされるワークエリアなどとして使用される。

記憶装置１５は、認証情報統合処理に必要とされるデータを格納するためのものであり、例えば、ハードディスクドライブ（ＨＤＤ）である。この記憶装置１５には、認証情報統合プログラム２１、データベース２２、暗号化プログラム２３，２４が格納されている。

認証情報統合プログラム２１は、ＯＳ(Operating System)上で動作するアプリケーションプログラムであって、ＣＰＵ１２と協働して、本発明の実施の形態に係る認証情報統合処理を実現するものである。

データベース２２は、企業Ａのサーバコンピュータ４における顧客ＩＤ３１、コンピュータ４において使用される暗号化プログラム２３によって暗号化された後のパスワードなどの認証情報３２、口座番号、顧客情報、口座種別、預金残高などの顧客情報３３を互いに関連付けて記憶する。

暗号化プログラム２３は、企業Ａのサーバコンピュータ４用の暗号化プログラムであって、一方向性関数であるコンピュータ４用のハッシュ関数によって、企業Ａのサービスコンピュータ４によって提供されるサービスにログインする際に顧客コンピュータ２から送られてくる認証情報を暗号化する。

暗号化プログラム２４は、企業Ｂのサーバコンピュータ５用の暗号化プログラムであって、一方向性関数であるコンピュータ５用のハッシュ関数によって、企業Ａのサービスコンピュータ４によって提供されるサービスにログインする際に顧客コンピュータ２から送られてくる認証情報を暗号化する。この際、暗号化プログラム２４は、暗号化後の認証情報をデータベース２２に格納することなく、メモリ１４をワークエリアとして使用することにより暗号化処理を行なう。

以下、図３のフローチャート及び図４の動作説明図を参照して、本発明の実施の形態に係る認証情報統合処理について説明する。

顧客コンピュータ２が企業Ａのサーバコンピュータ４が提供するサービスにログインする場合、このサービスにおける顧客の識別情報及びこの顧客の識別情報に対応するパスワードなどの認証情報を企業Ａのサーバコンピュータ４に送信する（Ｔ１，Ｔ２）。

企業Ａのサーバコンピュータ４は、顧客コンピュータ２から企業Ａのサーバコンピュータ４が提供するサービスにおける顧客の識別情報及びこの顧客の識別情報に対応するパスワードなどの認証情報を受信する（Ｓ１）。

企業Ａのサーバコンピュータ４は、受信した顧客識別情報及びこの顧客識別情報に対応する認証情報をメモリに保存し（Ｓ２、Ｔ３）、企業Ａのサーバコンピュータ４が提供するサービスにおいて使用される暗号化プログラム２３によって認証情報を暗号化する（Ｓ３、Ｔ４）。

その後、受信した顧客識別情報を条件として、データベース２２を検索して、データベース２２に記憶された受信した顧客識別情報に対応する暗号化後の認証情報を得て、Ｓ３において暗号化された認証情報と、データベース２２に記憶された暗号化後の認証情報とが一致しているか否かの判断を行なう（Ｓ４、Ｔ５）。

Ｓ４において、一致していないと判断された場合には、ログインエラー処理を行ない終了する（Ｓ５）。一方、一致していると判断された場合には、受信した認証情報を暗号化プログラム２４によって暗号化する（Ｓ６、Ｔ６）。すなわち、サーバーコンピュータ５によって提供されるサービスにおいて使用される一方向性関数によって受信した認証情報が暗号化される。

その後、受信した顧客識別情報及びＳ６において暗号化された認証情報をネットワーク１を介してサーバコンピュータ５に送信する（Ｓ７、Ｔ７）。本実施の形態においては、このように認証情報を一方向性関数により暗号化した状態で送信しているので、第三者に対する当該認証情報のセキュリティ性が確保されている。

サーバコンピュータ５は、サーバコンピュータ４から顧客識別情報及びこの顧客識別情報に対応するサーバコンピュータ５によって提供されるサービスにおいて使用される一方向性関数によって暗号化された認証情報を受信し（Ｓ８）、自己のデータベースに格納する（Ｓ９）。これにより、サーバコンピュータ４の認証情報をサーバコンピュータ５に統合することができる。

したがって、本発明の実施の形態によれば、顧客が統合元のシステムにログインする際に入力される認証情報を使用して、認証情報の統合を行なうので、顧客に余計な手間をかけることなく、認証情報統合処理を行なうことができる。

また、統合元及び統合先のコンピュータに統合処理の負荷を分散することができるので、別途フロントととなるシステムを用意する場合に比して、処理性能の高いシステムを別途設ける必要がなく、その結果、コストパフォーマンスの高い統合処理システムを提供することができる。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

また、実施形態に記載した手法は、計算機（コンピュータ）に実行させることができるプログラム（ソフトウエア手段）として、例えば磁気ディスク（ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ、ＭＯ等）、半導体メモリ（ＲＯＭ、ＲＡＭ、フラッシュメモリ等）等の記録媒体に格納し、また通信媒体により伝送して頒布することもできる。なお、媒体側に格納されるプログラムには、計算機に実行させるソフトウエア手段（実行プログラムのみならずテーブルやデータ構造も含む）を計算機内に構成させる設定プログラムをも含む。本装置を実現する計算機は、記録媒体に記録されたプログラムを読み込み、また場合により設定プログラムによりソフトウエア手段を構築し、このソフトウエア手段によって動作が制御されることにより上述した処理を実行する。なお、本明細書でいう記録媒体は、頒布用に限らず、計算機内部あるいはネットワークを介して接続される機器に設けられた磁気ディスクや半導体メモリ等の記憶媒体を含むものである。

本発明の実施の形態に係る認証情報統合システムの使用環境を示す図である。 サーバコンピュータ４の構成を示す図である。 本発明の実施の形態に係る統合処理を説明するためのフローチャートである。 本発明の実施の形態に係る統合処理を説明するための図である。

符号の説明

１…ネットワーク、２、３…顧客コンピュータ、４…企業Ａのサーバコンピュータ、５…企業Ｂのサーバコンピュータ、１１…バス、１２…ＣＰＵ、１３…通信Ｉ／Ｆ、１４…メモリ、１５…記憶装置、２１…認証情報統合プログラム、２２…データベース、２３…企業Ａのサーバコンピュータ４用暗号化プログラム、２４…企業Ｂのサーバコンピュータ５用暗号化プログラム、３１…顧客ＩＤ、３２…暗号化後認証情報、３３…顧客情報。

Claims (6)

1. 第１の一方向性関数により認証情報を変換して認証処理を行なう第１の認証装置と、
   前記第１の認証装置と接続され、第２の一方向性関数により認証情報を変換して認証処理を行なう第２の認証装置とを具備する認証情報統合システムにおいて、
   前記第１の認証装置は、
   顧客識別情報と、この顧客識別情報に関連付けられた自システムの第１の認証情報と、前記第１の一方向性関数と、前記第２の一方向性関数とを記憶するデータベースと、
   顧客識別情報及びこの顧客識別情報に対応する第２の認証情報を受信する手段と、
   前記受信した第２の認証情報を前記第１の一方向性関数を利用して変換する手段と、
   前記変換された第２の認証情報と、前記第１の認証情報とが一致することを検出する手段と、
   一致したことが検出された場合に、前記受信した第２の認証情報を前記第２の一方向性関数を利用して変換する手段と、
   前記受信した顧客識別情報と、前記変換された第２の認証情報とを前記他のシステムへ送信する手段とを具備し、
   前記第２の認証装置は、
   前記第１の認証装置から送信された顧客識別情報及び前記変換された第２の認証情報を格納する手段を具備することを特徴とする認証情報統合システム。
2. 顧客識別情報と、この顧客識別情報に関連付けられた自システムの第１の認証情報と、自システムで認証情報を変換するための第１の一方向性関数と、他のシステムで認証情報を変換するための第２の一方向性関数とを記憶するデータベースと、
   顧客識別情報及びこの顧客識別情報に対応する第２の認証情報の識別情報を受信する手段と、
   前記受信した第２の認証情報を前記第１の一方向性関数を利用して変換する手段と、
   前記変換された第２の認証情報と、前記第１の認証情報とが一致することを検出する手段と、
   一致したことが検出された場合に、前記受信した第２の認証情報を前記第２の一方向性関数を利用して変換する手段と、
   前記受信した顧客識別情報と、前記変換された第２の認証情報とを前記他のシステムへ送信する手段と
   を具備することを特徴とする認証情報統合システム。
3. 前記第１の一方向性関数及び前記第２の一方向性関数は、互いに異なるハッシュ関数であることを特徴とする請求項１又は請求項２記載の認証情報統合システム。
4. 前記認証情報は、ユーザのパスワードであることを特徴とする請求項１又は請求項２記載の認証情報統合システム。
5. 顧客識別情報と、この顧客識別情報に関連付けられた自システムの第１の認証情報と、自システムで認証情報を変換するための第１の一方向性関数と、他のシステムで認証情報を変換するための第２の一方向性関数とを記憶するデータベースを具備する認証情報統合システムにおける認証情報統合方法において、
   顧客識別情報及びこの顧客識別情報に対応する第２の認証情報の識別情報を受信し、
   前記受信した第２の認証情報を前記第１の一方向性関数を利用して変換し、
   前記変換された第２の認証情報と、前記第１の認証情報とが一致することを検出し、
   一致したことが検出された場合に、前記受信した第２の認証情報を前記第２の一方向性関数を利用して変換し、
   前記受信した顧客識別情報と、前記変換された第２の認証情報とを前記他のシステムへ送信することを特徴とする認証情報統合方法。
6. 顧客識別情報と、この顧客識別情報に関連付けられた自システムの第１の認証情報と、自システムで認証情報を変換するための第１の一方向性関数と、他のシステムで認証情報を変換するための第２の一方向性関数とを記憶するデータベースを具備する認証情報統合システムにおいて使用される認証情報統合プログラムにおいて、
   顧客識別情報及びこの顧客識別情報に対応する第２の認証情報の識別情報を受信し、
   前記受信した第２の認証情報を前記第１の一方向性関数を利用して変換し、
   前記変換された第２の認証情報と、前記第１の認証情報とが一致することを検出し、
   一致したことが検出された場合に、前記受信した第２の認証情報を前記第２の一方向性関数を利用して変換し、
   前記受信した顧客識別情報と、前記変換された第２の認証情報とを前記他のシステムへ送信することを特徴とする認証情報統合プログラム。

Images