JP2008146363A - コンピュータネットワークにおける認証方法 - Google Patents

Abstract

【課題】ユーザに複雑なＩＤ及びパスワードの記憶を強いることなく認証可能とする認証方法を提供する。
【解決手段】携帯電話認証用ＤＢ３５には、各会員が所持する携帯電話の固体識別情報が、夫々のＩＤに関連付けられて記憶されている。サービス用ホストプログラム１５は、利用者ＰＣ５からサービス利用の要求があると、一意の識別子を生成し、当該識別子をメモリ１２に記憶するとともに、当該識別子をパラメータとして含む認証用ホストコンピュータ２のＵＲＬをＱＲコードに変換し、利用者ＰＣ５へ送信する。このＱＲコードを要求元会員がＵＲＬにデコードし、当該ＵＲＬにアクセスする操作を行うと、識別子を含むＵＲＬ及び当該利用者携帯電話の固体識別情報を含むＨＴＴＰリクエストメッセージが、認証用ホストコンピュータ２へ送信され、メッセージ中の固体識別情報が携帯電話認証用ＤＢ３５に基づいて認証しサービス用ホストコンピュータ１に通知する。
【選択図】図１

Description

本発明は、コンピュータネットワークにおいてサーバ装置にアクセスしてきた利用者コンピュータを操作しているユーザの認証を行うための認証方法に、関する。

近年、蜘蛛の巣状に接続された多数の利用者コンピュータと多数のサーバ装置との間でデータ通信を行わせるインターネットといったコンピュータネットワークが、普及している。

このようなコンピュータネットワーク上でデータ通信を行うために、データ通信のサービスを提供しているホストコンピュータ（若しくは、その運営業者）は、アクセス元の利用者コンピュータを操作しているユーザを識別しなければならない場合がある。

例えば、インターネットの場合には、ＩＳＰ（インターネットサービスプロバイダ）サーバを通じて、各利用者コンピュータがインターネット上の多数のホストコンピュータにアクセスする構造となっている。即ち、各ＩＳＰサーバは、何れかの利用者コンピュータからアクセスポイントやブロードバンドを通じてアクセスがあった場合には、そのアクセス元利用者コンピュータを操作しているユーザが予め登録されている会員であるか否かを認証し、会員であった場合には、その利用者コンピュータに対してＩＰアドレスを発行し、当該ＩＰアドレスを付して当該利用者コンピュータからインターネット上のサーバへ宛てられたＩＰパケット（ＨＴＴＰリクエストメッセージを格納）をインターネットへ転送し、インターネットから当該ＩＰアドレスを付して当該利用者コンピュータに宛てられたＩＰパケット（ＨＴＴＰレスポンスメッセージを格納）を当該利用者コンピュータへ送信し、このようなデータ通信の状況に応じて当該会員に対してサービス利用料を課金する。

また、インターネット上のホストコンピュータ（ＩＳＰサーバと同じＬＡＮ上に構築されている場合もある）の中には、有料のコンテンツのサービスを提供するものもある。このようなホストコンピュータは、インターネットを通じて何れかの利用者コンピュータからアクセスされると（即ち、ＨＴＴＰリクエストメッセージを受信すると）、アクセス元利用者コンピュータを操作しているユーザが予め登されている会員であるか否かを認証し、会員であった場合には、以後その利用者コンピュータに対してリクエスト対象コンテンツを送信可能とし、このようなコンテンツの送信状況に応じて当該会員に対してサービス利用料を課金する。

以上のように、コンピュータネットワークの様々な場面で行われるユーザ認証は、会員として登録されているユーザ毎に夫々割り当てられているＩＤ及びパスワードの組合せをデータベース装置に予め記録しておくとともに、何れかの利用者コンピュータからアクセスされると、その利用者コンピュータに対して操作者のＩＤ及びパスワードの送信を要求し、これに応答して利用者コンピュータが送信してきたＩＤ及びパスワードの組合せがデータベース装置に登録されているか否かをチェックして、登録されている場合に、当該ユーザが会員であると認証することによって、行われていた。

このような認証に用いられるＩＤ及びパスワードは、ユーザがこれを暗記し、しかも、定期的に変更することが、セキュリティ上望ましいとされている。さらに、最近では、防衛強度を高めるために、ＩＤ及びパスワードの桁数は多くなり、使用可能な文字種類も多くなる傾向にある。

しかしながら、ユーザが様々な業者との間でかかるサービス提供の契約を行うと、記憶すべきＩＤ及びパスワードの数が多くなり、しかも、夫々の桁数が桁数が多くなると、それらの全てを記憶に止めることは困難となる。その結果、現実には、各サービス毎に、ＩＤ及びパスワードを手帳に書き留めたり、コンピュータのディスプレイの周囲に、ＩＤ及びパスワードを記載した付箋紙を貼り付けておこことも多い。ＩＤ及びパスワードがこのような使用のされ方をされるのであると、セキュリティの強度は途端に低下してしまうことになる。即ち、サービス提供者側がセキュリティ強度を上げようとした努力が、却って、セキュリティを低下させる結果となるという、矛盾が生じているのである。

そこで、本発明は、近年普及がめざましく各個人が常時肌身離さず持ち歩くようになっている携帯電話を一種のハードウェアキーとして用いることにより、ユーザに複雑なＩＤ及びパスワードの記憶を強いることなく認証可能とすることで、セキュリティ強度を維持することができるコンピュータネットワークにおける認証方法を、提供することを課題とする。

上述した課題を解決するために案出された本発明によるコンピュータネットワークにおける認証方法は、複数の利用者コンピュータとサービス用ホストコンピュータとを互にデータ通信可能に接続してなるコンピュータネットワークにおいて、データベース装置に記憶した情報に基づいて、前記サーバ装置にアクセスした利用者コンピュータを操作するユーザを認証用ホストコンピュータによって認証するための認証方法であって、予め、個々のユーザ毎に、当該ユーザが所有する携帯電話の固体識別情報を前記データベース装置に記憶しておき、前記サービス用ホストコンピュータは、何れかの利用者コンピュータから何れかのサービスについての要求メッセージを受信すると、一意の識別子を生成してメモリに記憶するとともに、当該識別子をパラメータとして含む前記認証用ホストコンピュータのＵＲＬをＱＲコードに変換して、当該ＱＲコードのイメージデータを前記メッセージ送信元の利用者コンピュータへ送信し、前記認証用ホストコンピュータは、前記ＵＲＬ及び固体識別情報を含む認証要求メッセージを受信すると、当該認証要求メッセージに含まれる固体識別情報が前記データベースに記憶されている場合に限り、当該認証要求メッセージに含まれるＵＲＬのパラメータである識別子について認証された旨の認証情報を、前記サービス用ホストコンピュータに通知し、前記サービス用ホストコンピュータは、前記認証用ホストコンピュータから前記メモリに記憶した識別子についての認証情報を受信すると、前記サービスを前記利用者コンピュータに対して供給することを、特徴とする。

このように構成されると、携帯電話の固体識別情報は、同じものが世界中に二つと存在しない一意の情報であるので、これを予め各会員のものとしてデータベース装置に登録しておけば、認証用ホストコンピュータは、携帯電話からの認証用ホストコンピュータに対する認証要求メッセージに含まれる固体識別情報がデータベース登録されいるものと一致することを確認することにより、特定の会員からの認証要求メッセージであることを、確認することができる。そして、この認証要求メッセージを送信させる素となるＱＲコードには、予め、一意に生成された識別子がパラメータとして含まれており、同じ識別子が特定サービスに対応するものとしてサービス用ホストコンピュータのメモリに記憶されているので、認証用ホストコンピュータが認証情報に当該識別子を含めてサービス用ホストコンピュータに通知することで、サービス用ホストコンピュータは、特定の利用者コンピュータについてのサービスについて認証がなされたことを、認識することができるのである。

以上のように構成された本発明によるコンピュータネットワークにおける認証方法によると、携帯電話を一種のハードウェアキーとして用いることにより、ユーザに複雑なＩＤ及びパスワードの記憶を強いることなく、認証することができるので、セキュリティ強度を維持することが可能となる。

１．以下、図面に基づいて、本発明による認証方法を実施したコンピュータネットワークの形態を、説明する。なお、以下の例は、本発明による認証方法をインターネット上で実施した例である。
２．システム構成
図１は、本発明の実施の形態であるコンピュータネットワークの概略構成を示すブロック図である。この図１に示されているように、このコンピュータネットワークは、各ＩＳＰ(Internet Service Provider）が運営するネットワーク上に存在する各種サーバの一部であるサービス用ホストコンピュータ１，認証用ホストコンピュータ２，管理データベース３，及びルータ４と、インターネット網（一次プロバイダ，バックボーン，二次プロバイダ）Ｎと、インターネット網Ｎ及びルータ４を通じて各ホストコンピュータ１，２に接続可能な利用者ＰＣ（Personal Computer）５と、携帯インターネット網（多数の地上局，これら各地上局に有線接続されているとともに階層構造的に相互に有線接続された複数の交換局，インターネットＮとのゲートウェイ，等からなる通信網）Mと、この移動電話網Ｍの何れかの地上局と無線接続されるとともにこの携帯インターネット網Ｍ及びルータ４を通じてホストコンピュータ１，２にアクセス可能な利用者携帯電話６とから、構成されている。

図１に示された利用者ＰＣ５は、当該ＩＳＰと契約を交わすことによって当該ＩＳＰが提供する各種サービス（コンテンツ提供サービス等）を受ける会員となったユーザ（以下、「会員」と称する）が操作する通常構成（即ち、プログラムを格納するディスク装置，プログラムを実行する処理装置，処理装置がプログラムを実行する際の作業領域が展開されるメモリ，利用者がデータを入力するためのキーボード等の入力装置，処理装置の処理結果を画面表示するためのディスプレイ，インターネット網Ｎに繋がる回線とのインターフェースとしての通信装置，等を含む）のコンピュータであり、コンテンツを閲覧するためのブラウザプログラムや通信プログラムを実行している。

利用者携帯電話６は、会員が操作する通常構成（即ち、プログラムを格納する外部メモリ，プログラムを実行する処理装置，処理装置がプログラムを実行する際の作業領域が展開されるメインメモリ，利用者がデータを入力するためのキーボード，処理装置の処理結果を画面表示するためのディスプレイ，携帯インターネット網を構成する地上局との間でパケットの授受を行う無線装置，デジタルカメラ等を含む）のインターネット接続機能及びＱＲコードリーダー機能付きの、携帯電話機である。

サービス用ホストコンピュータ１は、実際には、当該ＩＳＰが運営するネットワーク上に存在する複数のサーバ装置である。このようなサーバ装置には、メールサービスを提供するもの、会員に対してコンテンツを提供するコンテンツ提供サービスを提供するもの、会員管理サービスを提供するもの（後述する携帯認証登録サービスを行うものを含む）、課金サービスを提供するもの等が、含まれている。但し、ここでは、説明を簡略化させるために、これらのサービス用ホストプログラムが、一台のサービス用ホストコンピュータ１上で実行されるものとして、説明を行う。

このサービス用ホストコンピュータ１は、互いにバスＢによって接続されたＣＰＵ１０，通信アダプタ１１，メモリ１２及びハードディスク１３から、構成されている。これらのうち、ＣＰＵ１０は、このサービス用ホストコンピュータ１全体の制御を行う中央処理装置（コンピュータ）である。また、メモリ１２は、ＣＰＵ１０が各種処理を実行するに際しての作業領域が展開される主記憶装置である。また、通信アダプタ１１は、ＩＳＰ内のネットワーク（ＬＡＮ）とのインタフェースであり、ルータ４を通じてインターネット網Ｎに繋がる専用線に接続され、また、当該ＩＳＰ内の他のホストコンピュータ２，３と接続されている。

ハードディスク１３は、ＣＰＵ２０によって読み出されて実行される各種プログラム及び各種データを格納している記憶装置である。このハードディスク１３が格納している各種プログラムには、上述した各種機能を果たすためのプログラム（例えば、ＷＷＷサーバプログラム１４，このＷＷＷサーバプログラムと連携して各種サービスを提供するための多種多数のサービス用ホストプログラム１５）が、含まれている。これらプログラム１４，１５による処理内容については、フローチャートを参照して、後で詳しく説明する。

認証用ホストコンピュータ２は、サービス用ホストコンピュータ１からの依頼に基づいてアクセス元利用者ＰＣ５を操作している人物が当該ＩＳＰにおいて当該サービスの受給者として予め登録されている会員であるか否かを認証するための認証サービスを実行するホストコンピュータである。

この認証用ホストコンピュータ２も、サービス用ホストコンピュータ１と同様に、互いにバスＢによって接続されたＣＰＵ２０，通信アダプタ２１，メモリ２２及びハードディスク２３から、構成されている。これらのうち、ＣＰＵ２０は、この認証用ホストコンピュータ２全体の制御を行う中央処理装置（コンピュータ）である。また、メモリ２２は、ＣＰＵ２０が各種処理を実行するに際しての作業領域が展開される主記憶装置である。また、通信アダプタ２１は、ＩＳＰ内のネットワーク（ＬＡＮ）とのインタフェースであり、ルータ４を通じてインターネット網Ｎに繋がる専用線及び携帯インターネット網Ｍに繋がる専用線に接続され、また、当該ＩＳＰ内の他のホストコンピュータ１，３と接続されている。

ハードディスク２３は、ＣＰＵ２０によって読み出されて実行される各種プログラム及び各種データを格納している記憶装置である。このハードディスク２３が格納している各種プログラムには、認証サーバプログラム２４が、含まれている。この認証サーバプログラム２４による処理内容については、フローチャートを参照して、後で詳しく説明する。

管理ＤＢ（Database）サーバ３は、サービス用ホストコンピュータ１及び認証用ホストコンピュータ２から夫々アクセスされ、これらのホストコンピュータ１，２が管理するデータを保存しておくためのコンピュータである。

この管理用ＤＢサーバ３も、サービス用ホストコンピュータ１と同様に、互いにバスＢによって接続されたＣＰＵ３０，通信アダプタ３１，メモリ３２及びハードディスク３３から、構成されている。これらのうち、ＣＰＵ３０は、この管理用ＤＢサーバ３全体の制御を行う中央処理装置（コンピュータ）である。また、メモリ３２は、ＣＰＵ３０が各種処理を実行するに際しての作業領域が展開される主記憶装置である。また、通信アダプタ３１は、ＩＳＰ内のネットワーク（ＬＡＮ）とのインタフェースであり、当該ＩＳＰ内の他のホストコンピュータ１，２と接続されている。

ハードディスク３３は、ＣＰＵ３０によって読み出されて実行される各種プログラム及び各種データを格納している記憶装置である。このハードディスク３３が格納している各種データには、当該ＩＳＰに登録された会員についての情報を記憶してこれを管理するための会員管理ＤＢ３４，及び、かかる会員のうち利用者携帯電話６を用いた認証（以下、「携帯認証」という）を行う者についての情報を記憶してこれを管理する携帯電話認証用ＤＢ３５が、含まれている。

会員管理ＤＢ３４のデータ構造を図２に示す。この図２に示すように、この会員管理ＤＢ３４は、各会員に夫々対応した多数のエントリを有し、各エントリは、夫々、通し番号を記録するための「行番号」フィールド，対応する会員のＩＤを記録するための「ＩＤ」フィールド，対応する会員のパスワードを記録するための「password」フィールド，対応する会員の指名を示す「氏名」フィールド，対応する会員について携帯認証を行うか（“ＯＫ”）否か（“ＮＧ”）を記録（デフォルト値は“ＮＧ”）するための「携帯認証許可フラグ」フィールド，等の複数のフィールドから、構成されている。

次に、携帯電話認証用ＤＢ３５のデータ構造を図３に示す。この図３に示すように、この携帯電話認証用ＤＢ３５は、携帯認証を希望した各会員に夫々対応した多数のエントリを有し、各エントリは、夫々、通し番号を記録するための「行番号」フィールド，対応する会員が使用している利用者携帯電話６の固体識別情報を記録するための「固体識別情報」フィールド，対応する会員のＩＤを記録するための「ＩＤ」フィールド，当該エントリが登録された日付を記録するための「登録日」フィールド，等の複数のフィールドから、構成されている。
３．処理内容
次に、以上のようなシステム構成を有する本実施例のコンピュータネットワークにおいて、サービス用ホストコンピュータ１がサービス用ホストプログラム１５に従って実行する処理，及び認証用ホストコンピュータ２が認証サーバプログラム２４によって実行する処理を、図４〜図７のフローチャートに基づいて説明する。
３−１．携帯認証登録処理
３−１−１．オンラインによる携帯認証登録処理
先ず、公知の手段によって予め会員管理用ＤＢ３４の何れかのエントリに登録されている会員が、オンラインでの携帯認証の申込を行った場合に実行される処理について、説明する。この場合、当該会員は、自己の操作する利用者ＰＣ５上で実行されているブラウザを利用して、携帯認証サービスのＵＲＬ宛てにメッセージを送信する。すると、この携帯認証サービスのＵＲＬは、サービス用ホストコンピュータ１上の当該サービス提供用のサービスホスト用プログラム１５に対応しているので、このメッセージは、インターネット網Ｎ，ルータ４を通じてサービス用ホストコンピュータ１に送信される。そして、メッセージを受信した当該サービス用ホストコンピュータ１は、該当するサービスホスト用プログラム１５を起動して、このサービスホスト用プログラム１５に従って、図４に示す携帯認証登録処理をスタートする。この携帯認証登録処理において、最初のＳ００１では、サービス用ホストコンピュータ１は、認証用ホストコンピュータ２に対して、通常認証処理の実行を依頼して、当該認証用ホストコンピュータ２からの応答を待つ。

この依頼を受けた認証用ホストコンピュータ２は、認証サーバプログラム２４に従って、図５に示す通常認証処理をスタートする。この通常認証処理において、最初のＳ１０１では、認証用ホストコンピュータ２は、上記メッセージ送信元の利用者ＰＣ５に対して、ＩＤ＆パスワード画面をブラウザによりディスプレイ上に表示させるための画面データを送信する。ＩＤ＆パスワード画面には、操作者が利用者ＰＣ５の入力装置を操作して文字列を夫々入力可能なＩＤ欄，パスワード欄及び送信ボタンが含まれており、この画面データには、送信ボタンが操作されると、ブラウザに対して、ＩＤ欄及びパスワード欄に夫々入力された文字列を夫々ＩＤ及びパスワードとして含むメッセージを認証用ホストコンピュータ２へ送信させる設定（タグ）が含まれている。

このようにして、ＩＤ及びパスワードを取得した認証用ホストコンピュータ２は、次のＳ１０２において、Ｓ１０１にて取得したＩＤ及びパスワードと同じ組合せが会員管理ＤＢ３４の何れかのエントリに登録されているかどうかをチェックする。そして、かかるＩＤ及びパスワードの組合せが会員管理ＤＢ３４に登録されていない場合には、認証用ホストコンピュータ２は、Ｓ１０５において、ＮＧ処理（認証処理が失敗した旨をサービス用ホストコンピュータ１及びリクエスト元利用者ＰＣ５に通知する処理）を実行して、全処理を終了する。

これに対して、かかるＩＤ及びパスワードの組合せが会員管理ＤＢ３４に登録されている場合には、認証用ホストコンピュータ２は、認証が成功した旨を、サービス用ホストコンピュータ１へ応答して、処理をサービス用ホストコンピュータ１へ戻す。

認証が成功した旨を通知されたサービス用ホストコンピュータ１は、処理をＳ００１からＳ００２へ進める。このＳ００２では、サービス用ホストコンピュータ１は、照合用ユニークキーを生成するとともに、当該会員についての情報（ＩＤ，照合用ユニークキー）を記録したエントリの携帯電話認証用ＤＢ３５への追加を、管理ＤＢサーバ３に依頼する。依頼を受けた管理ＤＢサーバ３は、携帯電話認証用ＤＢ３５に新規エントリを追加するとともに、当該新規エントリの「固体識別情報」フィールド及び「ＩＤ」フィールドに、夫々、サービス用ホストコンピュータ１から通知された照合用ユニークキー及びＩＤを記入する。

次のＳ００３では、サービス用ホストコンピュータ１は、認証用ホストコンピュータ２における携帯認証用のＵＲＬに、Ｓ００２にて生成した照合用ユニークキーをパラメータとして添付した上で、当該ＵＲＬをコード化したＱＲコードのイメージを生成する。そして、メッセージ送信元の利用者ＰＣ５に対して、かかるＱＲコードのイメージをブラウザによりディスプレイ上に表示させるための画面データを送信する。

この画面データを受信した利用者ＰＣ５では、ブラウザが、かかるＱＲコードのイメージをディスプレイ上に表示する。そこで、装置利用者ＰＣ５を操作している会員は、このＱＲコードを利用者携帯電話６のカメラにより撮影する。すると、この利用者携帯電話６におけるＱＲコードリーダー機能（プログラム）が作動して、このＱＲコードにコード化されていた携帯認証用のＵＲＬをデコードし、照合用ユニークキーをパラメータとして含む当該ＵＲＬ宛のメッセージを、携帯インターネット網Ｍ，ルータ４を通じて、認証用ホストコンピュータ２へ送信する。なお、携帯電話におけるインターネットプロトコルに従い、このメッセージ（ＨＴＴＰリクエストメッセージ）のＨＴＴＰヘッダには、User Agent項目として、当該利用者携帯電話に一意に付与されている固体識別情報が、記述されている。

当該メッセージを受信した認証用ホストコンピュータ２は、認証サーバプログラム４に従い、図６に示すＱＲコード認証処理を実行する。このＱＲコード認証処理において、最初のＳ２０１では、認証用ホストコンピュータ２は、受信したＵＲＬに添付されたパラメータの有効性をチェックする。そして、有効でなければ、Ｓ２１１において、エラー処理（ＵＲＬ送信元利用者ＰＣ５にエラーメッセージを送信する処理）を実行して、このＱＲコード認証処理を終了する。

これに対して、パラメータが有効である場合には、認証用ホストコンピュータ２は、Ｓ２０２において、当該メッセージのＨＴＴＰヘッダに含まれている固体識別情報が「固体識別情報」フィールドに記述されているエントリを、携帯電話認証ＤＢ３５から探し出す。そして、未だ携帯認証登録が未完であれば、かかるエントリは存在しないので、認証用ホストコンピュータ２は、処理をＳ２０７へ進める。

Ｓ２０７では、認証用ホストコンピュータ２は、当該メッセージにパラメータとして含まれている照合用ユニークキーが「固体識別情報」フィールドに記述されているエントリを、携帯電話認証ＤＢ３５から探し出す。そして、かかるエントリが存在しな場合には、第三者がＱＲコードを冒用した可能性があるので、Ｓ２１０にエラー処理を実行して、このＱＲコード認証処理を終了する。

これに対して、当該メッセージにパラメータとして含まれている照合用ユニークキーが「固体識別情報」フィールドに記述されているエントリが見つかると、認証用ホストコンピュータ２は、Ｓ２０８において、当該エントリにおける「固体識別情報」フィールドの記述を、当該メッセージのＨＴＴＰヘッダに含まれる固体識別情報に、書き換える。そして、次のＳ２０９において、当該エントリと「ＩＤ」フィールドの記述が一致する会員管理ＤＢ３４のエントリにおける「携帯認証許可フラグ」フィールドの値を、“ＯＫ”に書き換えてから、このＱＲコード認証処理を終了する。

このようにして、会員管理ＤＢ３４において携帯認証許可フラグが“ＯＫ”にセットされた会員については、以後、携帯電話認証用ＤＢ３５に登録された固体識別情報に対応した利用者携帯電話６を用いて、携帯認証を行うことができるのである。サービス用ホストコンピュータ１における何れかのサービスを利用するに際して行われる携帯認証についての処理は、下記３−２において説明する。なお、図６に示すＱＲコード認証処理のうち、Ｓ２０４〜２０６については、この携帯認証についての処理の説明の中で、行うこととする。
３−１−２．オフラインによる携帯認証登録処理
上記オンラインによる携帯認証登録処理は、会員側からの積極的な動作が必要であるので携帯認証のサービスに登録する会員数の大幅増は必ずしも望めない。そこで、新規入会者に対して携帯認証サービスへの登録を促す手段として、入会後に送信される案内文にＱＲコードを添付することによって登録を促すことが、考えられる。この場合、サービス用ホストコンピュータ１は、各新規入会者について、夫々、照合用ユニークキーを生成するとともに、当該会員についての情報（ＩＤ，照合用ユニークキー）を記録したエントリの携帯電話認証用ＤＢ３５への追加を、管理ＤＢサーバ３に依頼する。そして、サービス用ホストコンピュータ１は、上記照合用ユニークキーをパラメータとして含む携帯認証用のＵＲＬをＱＲコードとしてコード化し所定の案内文に結合させた上で、この案内文を印刷物として該当会員へ発送するための処理を実行する。若しくは、かかる案内文を電子メール又はウェブデータとして、該当会員が操作する利用者ＰＣ５へ送信する。

このような案内文を受け取った会員は、案内文が印刷物であれば印刷されたＱＲコードを、案内文が電子メール又はウェブデータであればディスプレイ上に表示されたＱＲコードを、自己の利用者携帯電話６のカメラによって撮影して、デコードし、認証用ホストコンピュータ２へメッセージを送信する。以後における認証用ホストコンピュータ２の処理は、上述したオンラインによる携帯認証登録処理と同じであるので、その説明を省略する。
３−２．携帯認証処理
次に、サービス用ホストコンピュータ１における何れかのサービスを利用するに際して実行される携帯認証処理について説明する。

先ず、何れかの会員が操作する利用者ＰＣ５から何れかのサービスに対応したＵＲＬ宛てのメッセージを受信したサービス用ホストコンピュータ１は、サービスホスト用プログラム１５に従って、図７の処理を実行する。この処理を開始して最初の３０１では、サービス用ホストコンピュータ１は、受信したメッセージ（ＨＴＴＰリクエストメッセージ）のＨＴＴＰヘッダに含まれるセッションコードが、認証済みのものとしてメモリ１２に記憶されているかどうかをチェックする。そして、既に、後述する図６のＳ２０６による通知を受けることにより、当該セッションコードがメモリ１２に記憶されている場合（当該セッションコードが示すセッションが認証済みである場合）には、サービス用ホストコンピュータ１は、処理を直接Ｓ３０６へ進めて、当該サービスホスト用プログラムに従ったサービス処理を実行する。

これに対して、受信したメッセージに含まれるセッションコードがメモリ１２に記憶されていない場合（当該セッションコードが示すセッションが未認証である場合）には、サービス用ホストコンピュータ１は、Ｓ３０２において、要求されたサービスを要求元利用者ＰＣ５との間で行うために用いるセッションコンテナを作成し、そのセッションコンテナの識別子を“セッションコード”として生成し、これをメモリ１２に保存する。

次のＳ３０３では、サービス用ホストコンピュータ１は、認証用ホストコンピュータ２における携帯認証用のＵＲＬに、Ｓ３０２にて生成したセッションコード，実行が要求されたサービスの識別子をパラメータとして添付した上で、当該ＵＲＬをコード化したＱＲコードのイメージを生成する。そして、メッセージ送信元の利用者ＰＣ５に対して、かかるＱＲコードのイメージをブラウザによりディスプレイ上に表示させるための画面データを送信する。Ｓ３０３の実行後、サービス用ホストコンピュータ１は、次のＳ３０４において、認証用ホストコンピュータ２から認証済み通知を受信するのを待つ。

一方、上記画面データを受信した利用者ＰＣ５では、ブラウザが、かかるＱＲコードのイメージをディスプレイ上に表示する。そこで、装置利用者ＰＣ５を操作している会員は、このＱＲコードを利用者携帯電話６のカメラにより撮影する。すると、上述したのと同様にして、利用者携帯電話６におけるＱＲコードリーダー機能（プログラム）が作動して、このＱＲコードにコード化されていた携帯認証用のＵＲＬをデコードし、セッションコード及びサービス識別子をパラメータとして含む当該ＵＲＬ宛のメッセージを、携帯インターネット網Ｍ，ルータ４を通じて、認証用ホストコンピュータ２へ送信する。なお、携帯電話におけるインターネットプロトコルに従い、このメッセージ（ＨＴＴＰリクエストメッセージ）のＨＴＴＰヘッダには、User Agent項目として、当該利用者携帯電話に一意に付与されている固体識別情報が、記述されている。

当該メッセージを受信した認証用ホストコンピュータ２は、認証サーバプログラム４に従い、図６に示すＱＲコード認証処理を実行する。このＱＲコード認証処理において、最初のＳ２０１では、認証用ホストコンピュータ２は、受信したＵＲＬに添付されたパラメータの有効性をチェックする。そして、有効でなければ、Ｓ２１１において、エラー処理（ＵＲＬ送信元利用者ＰＣ５にエラーメッセージを送信する処理）を実行して、このＱＲコード認証処理を終了する。

これに対して、パラメータが有効である場合には、認証用ホストコンピュータ２は、Ｓ２０２において、当該メッセージのＨＴＴＰヘッダに含まれている固体識別情報が「固体識別情報」フィールドに記述されているエントリを、携帯電話認証ＤＢ３５から探し出す。そして、かかるエントリが見つかると、認証用ホストコンピュータ２は、Ｓ２０４において、会員管理ＤＢ３４を検索して、当該携帯電話認証ＤＢ３５におけるエントリと「ＩＤ」フィールドの記述が一致する会員管理ＤＢ３４のエントリを探し出す。

次のＳ２０５では、認証用ホストコンピュータ２は、Ｓ２０４にて探し出したエントリにおける「携帯認証許可フラグ」フィールドの値が“ＯＫ”であるか“ＮＧ”であるかをチェックする。そして、認証用ホストコンピュータ２は、“ＮＧ”である場合には、Ｓ２１１にてエラー処理を実行する。

これに対して、“ＯＫ”である場合には、認証用ホストコンピュータ２は、受信したメッセージにパラメータとして含まれるサービス識別子が示すサービスに対して、同セッションコードが示すセッションは、Ｓ２０４にて探し出したエントリに記録されたＩＤにより認証済みである旨を、Ｓ２０６において、上記サービス識別子に対応したサービスホストプログラム１５を実行しているサービス用ホストコンピュータ１に通知する。このＳ２０６を完了すると、認証用ホストコンピュータ２は、このＱＲコード認証処理を終了する。

図７に戻り、認証用ホストコンピュータ２からの認証済通知を受信したサービス用ホストコンピュータ１は、処理をＳ３０４からＳ３０５へ進め、認証用ホストコンピュータ２から通知されたサービス識別子が示すサービスについて、Ｓ３０２にてメモリに記憶したセッションコードが示すセッションが、同ＩＤが示す会員による利用であるとして認証された旨を、メモリ１２に記憶した後に、リクエスト元利用者ＰＣ５に対して、ログイン後ページをディスプレイに表示させるための画面データを送信する。続く、Ｓ３０６から、サービス用ホストコンピュータ１は、当該サービスを開始する。
４．実施例の動作
本実施例において、上記図４〜図７のフローチャートに従った処理が実行された場合における各装置間でのメッセージの流れを、図８のタイムチャートに示す。なお、図８におけるステップ番号は、上記図４〜図７のフローチャートに示すものと同じである。

図８から理解されるように、本実施例では、各会員が所有する携帯電話の固体識別情報事前に固体識別子を携帯電話認証用ＤＢ３５に登録しさえしておけば、会員がサービス用ホストコンピュータ１に対して所望のサービスを要求する場合には、通常認証処理におけるようなＩＤ＆パスワード入力画面の代わりに、当該サービス及びセッションに対応付けられたＱＲコードが、利用者ＰＣ５のディスプレイに表示される。そこで、会員は、このＱＲコードを、事前にその固体識別子が携帯電話認証ＤＢ３５に登録されている利用者携帯電話６によって撮影し、デコードしてインターネットアクセスするだけで、その固体識別子が、ＱＲコードにコード化されていたサービス識別子及びセッションコードに関連付けられて認証用ホストコンピュータ２へ送信され、これらの情報によって認証がなされ、認証が成功し次第、当該サービスが利用できるようになるのである。

このように、本実施例によると、会員は、ＩＤ及びパスワードをサービス利用の都度入力する必要がないので、これらを記憶する必要がないし、メモしておく必要もない。そのため、セキュリティの強度が保たれるのである。

本発明による実施の形態であるコンピュータネットワークの概略構成を示すブロック図 会員管理ＤＢのデータ構造を示す表 携帯電話認証用ＤＢのデータ構造を示す表 携帯認証登録処理を示すフローチャート 通常認証処理を示すフローチャート ＱＲコード認証処理を示すフローチャート サービスプログラムによる処理を示すフローチャート 各装置間での情報の流れを示すタイムチャート

符号の説明

１ サービス用ホストコンピュータ
２ 認証用ホストコンピュータ
３ 管理ＤＢサーバ
５ 利用者ＰＣ
６ 利用者携帯電話
１０ ＣＰＵ
１２ メモリ
１１ 通信アダプタ
１３ ハードディスク
１５ サービスホスト用プログラム
２０ ＣＰＵ
２２ メモリ
２１ 通信アダプタ
２３ ハードディスク
２４ 認証サーバプログラム
３４ 会員管理ＤＢ
３５ 携帯電話認証用ＤＢ
Ｎ インターネット網
Ｍ 携帯インターネット網

Claims (2)

1. 複数の利用者コンピュータとサービス用ホストコンピュータとを互にデータ通信可能に接続してなるコンピュータネットワークにおいて、データベース装置に記憶した情報に基づいて、前記サーバ装置にアクセスした利用者コンピュータを操作するユーザを認証用ホストコンピュータによって認証するための認証方法であって、
   予め、個々のユーザ毎に、当該ユーザが所有する携帯電話の固体識別情報を、前記データベース装置に記憶しておき、
   前記サービス用ホストコンピュータは、何れかの利用者コンピュータから何れかのサービスについての要求メッセージを受信すると、一意の識別子を生成してメモリに記憶するとともに、当該識別子をパラメータとして含む前記認証用ホストコンピュータのＵＲＬをＱＲコードに変換して、当該ＱＲコードのイメージデータを前記メッセージ送信元の利用者コンピュータへ送信し、
   前記認証用ホストコンピュータは、前記ＵＲＬ及び固体識別情報を含む認証要求メッセージを受信すると、当該認証要求メッセージに含まれる固体識別情報が前記データベースに記憶されている場合に限り、当該認証要求メッセージに含まれるＵＲＬのパラメータである識別子について認証された旨の認証情報を、前記サービス用ホストコンピュータに通知し、
   前記サービス用ホストコンピュータは、前記認証用ホストコンピュータから前記メモリに記憶した識別子についての認証情報を受信すると、前記サービスを前記利用者コンピュータに対して供給する
   ことを特徴とするコンピュータネットワークにおける認証方法。
2. 複数の利用者コンピュータとサービス用ホストコンピュータとを互にデータ通信可能に接続してなるコンピュータネットワークにおいて、データベース装置に記憶した情報に基づいて、前記サーバ装置にアクセスした利用者コンピュータを操作するユーザを認証用ホストコンピュータによって認証するための認証方法であって、
   予め、個々のユーザ毎に、ユーザに一意に付与された個人識別情報を当該ユーザが所有する携帯電話の固体識別情報に関連付けて、前記データベース装置に記憶しておき、
   前記サービス用ホストコンピュータは、何れかの利用者コンピュータから何れかのサービスについての要求メッセージを受信すると、一意の識別子を生成してメモリに記憶するとともに、当該識別子をパラメータとして含む前記認証用ホストコンピュータのＵＲＬをＱＲコードに変換して、当該ＱＲコードのイメージデータを前記メッセージ送信元の利用者コンピュータへ送信し、
   前記認証用ホストコンピュータは、前記ＵＲＬ及び固体識別情報を含む認証要求メッセージを受信すると、当該認証要求メッセージに含まれる固体識別情報が前記データベースに記憶されている場合に限り、当該認証要求メッセージに含まれるＵＲＬのパラメータである識別子について当該データベースにおいて当該固体識別情報に関連付けて記憶されている個人識別情報により認証された旨の認証情報を、前記サービス用ホストコンピュータに通知し、
   前記サービス用ホストコンピュータは、前記認証用ホストコンピュータから前記メモリに記憶した識別子についての認証情報を受信すると、当該認証情報に含まれる個人識別情報が示す利用者に対するサービスとして、当該サービスを前記利用者ＰＣをに対して供給する
   ことを特徴とするコンピュータネットワークにおける認証方法。