JP2009223452A - 認証システム並びに認証サーバ装置および利用者装置，アプリケーションサーバ装置 - Google Patents

Abstract

【課題】
パスワードで認証するＰＣと業務システムに対して，認証の強化及びシングルサインオンを実現する場合に，前段となるＰＣの認証と後段となる各業務システムの認証の安全性のレベルを同程度に強化しつつ，導入容易な方法を提供する。
【解決手段】
高度認証クライアントプログラム，高度認証エージェントプログラム，高度認証サーバ装置，及び，パスワード管理サーバ装置を用い，既存のパスワード認証の前段に高度な認証機能を配置することにより導入を容易化し，高度認証クライアントプログラムは，最初のＯＳ認証時に使用した高度認証情報をメモリ上に保持し，他のアプリケーション使用時に高度認証情報を再利用することで，ＯＳのログオンまで含めた範囲でのシングルサインオンを行い，パスワードの定期的な自動更新及び認証状態管理により，前段の認証をバイパスされた場合の不正アクセスの防止を実現する。
【選択図】図９

Description

本発明は，パスワードを用いた現行の認証方法から，より高度な安全性を備える認証方法への移行を容易にし，利便性をも向上させるに好適な認証技術に関する。

近年のＩＴの普及により，様々な情報が電子化され，ネットワークを介してやり取りされるようになってきている。このようなネットワークを介した情報のやり取りは，遠く離れた人とでも簡単かつ高速に行うことができる反面，通信相手が他人になりすますといった脅威に晒される。通信相手のなりすましを防ぐ方法の１つとして，ユーザＩＤとパスワードを用いた認証方法が存在し，本方法は非常に多くの場面で利用されている。

しかし，このパスワード認証は，悪意ある者が他人のパスワードを比較的容易に類推可能であることや，正当な利用者がパスワードを忘れないようにするために紙にパスワードを書き留めるという運用が行われているなどの問題があり，安全性が高い方法とはいえない。

このような問題を回避する高度な認証方法として，例えば，ワンタイムパスワードを生成するトークンを利用した認証方法，ＩＣカードやＵＳＢトークンを用いた認証方法，指紋，声紋，静脈などの生体的な特徴を用いた認証方法などが存在する。特に，生体認証は，パスワード認証に比べるとなりすましが困難で，忘れることもないので，安全性は高い。

パスワード認証を用いた業務システムの安全性強化を行うにあたり，当該業務システムの前段にユーザ認証システムを配置し，ユーザ端末から入力された指紋情報をユーザ認証システムで認証し，認証されたユーザに対応するユーザＩＤ及びパスワードを業務システムに送信することにより，業務システム側のパスワードをユーザに意識させることなく，簡易な手法により相当程度に高いセキュリティを実現することが可能なパスワードの管理方法を開示する特許文献１が存在する。

特開２００３−１４０７６５号公報

特許文献１では，前段の認証となるユーザ端末の認証を生体認証により強化するとともに，後段にある業務システムのパスワード認証のセキュリティを確保するものとして，パスワードを自動更新する方法を示している。

しかし，特許文献１では，後段の認証がパスワード認証のままであるため，定期的にパスワードを自動更新するとしても，その更新期間が長ければ，システム全体としての安全性はあまり変わらないことになる。その理由として，悪意あるユーザが不正なＰＣをネットワークに接続してしまえば，前段の認証をバイパスすることが可能であり，システムの安全性は後段の認証に依存することになるからである。特許文献１では，前段の認証をパスワード認証よりも安全性の高いものにするという対策がとられているが，これは攻撃者が後段のパスワード認証を突破できるということも想定しているためと推測できる。

その前提に立つと，攻撃者は後段の認証に対しても攻撃可能かつ突破可能であり，システム全体のセキュリティを確保するための対策としては不十分である。

一方で，前段および／または後段の認証をパスワード以外の認証に置き換えようとすると，既存システムのプログラムに改造が必要となり，導入が容易ではなくなる。

また，公知技術におけるユーザ認証システムは，後段の業務システムにパスワードを自動で送信する仕組みであることから，後段の認証が生体認証等になると，自動でログインすることが困難になるといった問題もある。

すなわち，前段のユーザ認証システムと後段の業務システムの認証の安全性のレベルを同程度に強化することと，前段および／または後段のプログラム自体には改造を加えずに容易に認証強化できるようにすることの両立が望まれている。

さらに，複数の業務システムへのログインを一回の認証で可能にしユーザの手間を省くシングルサインオンへのニーズが，近頃高まっていることから，上述の課題を克服した安全性の高いシングルサインオンへの対応も望まれている。

本発明は，パスワードによる認証処理を行う認証システムに対して，既存のプログラムの改造を不要とし，認証の安全性のレベルを容易に強化可能な方法を提供する。

また，本発明は，パスワード認証の持ったＰＣ及び1つ以上の業務システムに対して，認証の強化及びシングルサインオンを実現可能な方法を提供する。具体的には，前段となるＰＣの認証と後段となる各業務システムの認証の安全性のレベルを同程度に強化しつつ，導入容易な方法を提供する。

本発明は，既存の業務システムが持つパスワード認証機能の前に，高度な認証機能を配置することで既存の業務システム自体には改造を行わずに，前段の認証がバイパスされた場合であっても容易に不正アクセスされることを防止する認証システムを提供する。

具体的な本発明の態様は，第一認証情報による認証処理を行う利用者装置と，第二認証情報による認証処理を行う第二認証サーバ装置と，を含む認証システムであって，
利用者装置は，利用者から第二認証情報を取得し，取得した第二認証情報を第二認証サーバ装置に送信して，利用者の認証を依頼し，
第二認証サーバ装置は，利用者装置から受信した第二認証情報に基づく利用者の認証処理を行い，認証処理結果と，認証に成功した場合の利用者に対応付けて記憶している第一認証情報と，を利用者装置に送信し，
利用者装置は，第二認証サーバ装置から受信した第一認証情報に基づく認証処理結果を取得し，取得した第一認証情報による認証処理結果が成功を示している場合に，ログイン処理を行う，ことを特徴とする。

さらに，上記認証システムは，アプリケーションサーバ装置を備え，
利用者装置は，利用者から取得した第二認証情報を記憶し，第二認証サーバ装置から受信した第一認証情報に基づく認証処理結果を第二認証サーバ装置に送信し，ログイン処理後に，利用者からアプリケーションサーバ装置の利用要求を受け付け，アプリケーションサーバ装置に送信し，
第二認証サーバ装置は，利用者装置に送信した第一認証情報に基づく認証処理結果を利用者装置から受信し，
アプリケーションサーバ装置は，利用者装置から受信した利用要求に基づく認証処理要求を利用者装置に送信し，
利用者装置は，アプリケーションサーバ装置から受信した認証処理要求に対して，記憶している，利用者の第二認証情報をアプリケーションサーバ装置に送信し，
アプリケーションサーバ装置は，利用者装置から受信した第二認証情報を第二認証サーバ装置に送信して，利用者の認証を依頼し，
第二認証サーバ装置は，利用者装置から受信した認証処理結果が成功である場合に，アプリケーションサーバ装置から受信した第二認証情報に基づく認証処理を行い，認証処理に成功した場合に，利用者に対応付けて記憶している第一認証情報をアプリケーションサーバ装置に送信し，
アプリケーションサーバ装置は，第二認証サーバ装置から受信した第一認証情報に基づく，利用者の認証処理を行う，ことを特徴とする。

また，上記利用者装置は，第二認証サーバ装置から受信した第一認証情報に基づく認証処理を行い，認証処理結果を取得するように構成しても良い。

また，上記認証システムは，さらに，第一認証情報による認証処理を行う第一認証サーバ装置を備え，
利用者装置は，第二認証サーバ装置から受信した第一認証情報を第一認証サーバ装置に送信し，
第一認証サーバ装置は，利用者装置から受信した第一認証情報に基づく利用者の認証処理を行い，認証処理結果を利用者装置に送信し，
利用者装置は，認証処理結果を取得するように構成しても良い。

また，一例として，第一認証情報は，パスワードであり，第二認証情報は，生体情報である。

また，具体的な他の態様は，高度認証クライアントプログラム，高度認証エージェントプログラム，高度認証サーバ装置，及び，パスワード管理サーバ装置という構成要素を備える認証システムであって，高度認証クライアントプログラムは，最初のＯＳ認証時に使用した高度認証情報を保持し，他のアプリケーション使用時に保持している高度認証情報を再利用することで，ＯＳのログオンまで含めた範囲でのシングルサインオンを行い，利用者の処理を必要としないパスワードの更新及び認証状態の管理を行うことを特徴とする。

上記態様によれば，既存の業務システムで使用しているプログラム自体は改良する必要がなく，既存システムに別のプログラムを追加導入する形で，高度な認証への移行を実現できるため，導入が非常に容易となる。

また，本発明によって，後段の認証が安全性の高い認証方法となるので，前段の認証がバイパスされた場合であっても，現行のシステムより高い安全性を確保することができる。

加えて，後段の業務システムへのログインに用いられるパスワードは，繰り返し（たとえば，定期的に）ユーザの入力を必要としないランダムな値に更新することにより，内部不正者による攻撃への耐性を持たせることができる。

さらに，シングルサインオンを行う機能も組み込むことにより，ユーザは認証操作を１回行うだけで，複数の業務アプリケーションを利用できるようになり，利便性も向上する。

また，このシングルサインオンを実現するにあたり，パスワードの自動入力を行うためのパスワードをどこかに必ず記録しておく必要があるが，ユーザ端末やパスワード管理サーバには，パスワードを常時記録しておくことはなく，パスワードを常時記録しておく必要のある高度認証サーバ装置についても，当該パスワードのユーザ自身ですら知らないパスワードに定期的に更新するため，安全性を保つことができる。

また，ＯＳのパスワードと各ＡＰ用のパスワードを共通にすることで，高度認証サーバ装置内で管理するパスワードに関して，必要となるデータサイズを削減することも可能となる。

本発明によれば，前段であるＰＣの認証と後段である各業務システムの認証の安全性のレベルを同程度に強化しつつ，パスワード認証の持ったＰＣ及び複数の業務システムに対して導入容易な方法で，認証の強化およびシングルサインオンを実現することができる。

加えて，内部不正者による攻撃への耐性の向上，ユーザの利便性の向上，シングルサインオンを実現する際の安全性の向上，パスワード管理における保持データの効率化といった効果も得ることができる。

以下，本発明による好適な実施形態を，図面を用いて説明する。なお，以下で説明する図面において，同一の番号は同様の部品・要素を表すものとする。また，これにより本発明が限定されるものではない。

図１は，本実施例におけるシステム構成を例示する図である。

本実施例を適用するシステムは，従来使われている，ある利用者１００が使用する利用者装置１１０と，当該利用者１００が利用者装置１１０を介して何らかの業務を行うためのアプリケーションサーバ装置１２０と，がネットワーク１６０で接続される構成に加えて，新たに，高度認証情報の検証を行うための高度認証サーバ装置１４０と，パスワード自動更新を行うためのパスワード管理サーバ装置１５０とが，ネットワーク１６０に接続される構成を備える。

図２は，各装置のハードウェア構成を示す図である。

利用者装置１１０，アプリケーションサーバ装置１２０，第一認証サーバ装置に相当する認証サーバ装置１３０，第二認証サーバ装置に相当する高度認証サーバ装置１４０，パスワード管理サーバ装置１５０は，入力装置２１０と，表示装置２２０と，ＣＰＵ２３０と，メモリ２４０と，二次記憶装置２５０と，通信装置２６０と，これらを接続するバス２７０とを含んで構成される計算機によって実現される。

入力装置２１０は，装置を利用する人が，データや命令等を入力するために操作されるものであり，キーボード，マウス，高度認証情報を入力するための装置（例えば，ＩＣカードリーダや生体情報読取装置）等で構成される。

表示装置２２０は，装置を利用する人に対してメッセージ等を表示するために用いられるものであり，ＣＲＴや液晶ディスプレイ等で構成される。

ＣＰＵ２３０は，メモリ２４０や二次記憶装置２５０に格納されたプログラムを実行することで，装置の各構成要素を制御したり，様々な演算処理を行ったりして，以下に説明する様々な処理を実現する。

メモリ２４０は，図３から図７に示すようなプログラムや，処理に必要なデータが二次記憶装置２５０からロードされ，一時的に格納されるものであり，ＲＡＭ等の揮発性記憶媒体で構成することが多い。二次記憶装置（以下，単に記憶装置と記す）２５０は，ＣＰＵ２３０で実行されるプログラムや利用されるデータを永続的に記憶するために用いられるものであり，ハードディスク等の不揮発性記憶媒体で構成される。通信装置２６０は，ネットワーク１６０を介して他の装置とデータの送受信を行うために必要な物理的インタフェースであり，ＬＡＮボードや無線ＬＡＮカード等で構成される。

以下，各装置のソフトウェア構成とそれらの機能を説明する。各装置に格納されるプログラムは，それぞれが格納されている装置内で記憶装置から読み出されＣＰＵ２３０によって実行されることにより，各々が備える機能を実現するものであるが，説明の便宜上，各プログラムを実行主体として説明することがある。

図３は，利用者装置１１０のソフトウェア構成を示す図である。メモリ２４０には，オペレーティングシステム（以下，ＯＳと記す）３１０と，アプリケーション利用プログラム３２０がロードされている。また，記憶装置２５０には，ＯＳ用ユーザ情報３４０等のデータが格納されている。但し，認証サーバ１３０を使用する場合，当該データは，認証サーバ１３０内に格納されるため，利用者装置１１０の記憶装置２５０には存在しない場合もある。

本実施例の特徴的な構成として，上記の構成に加えて，メモリ２４０には，さらに，高度認証クライアントプログラム３３０がロードされる。

図３において，ＯＳ３１０は，装置全体の制御を行うために，ファイル管理，プロセス管理，デバイス管理といった機能を実現するためのプログラムである。

アプリケーション利用プログラム３２０は，アプリケーションサーバ装置１２０内のアプリケーションプログラム（以下，ＡＰと記す）４２０を使用するために必要なクライアント側のプログラムである。例えば，ＡＰ４２０がＷｅｂシステムである場合には，アプリケーション利用プログラム３２０は，Ｗｅｂブラウザが相当し，ＡＰ４２０がクライアント−サーバ型のアプリケーションのサーバである場合には，アプリケーション利用プログラム３２０は，そのクライアントプログラムに相当するものである。

高度認証クライアントプログラム３３０は，ＯＳ３１０のログインに，高度な認証を用いるようにするための機能と，アプリケーション利用プログラム３２０から高度認証情報の入力が要求された場合に，自動的に高度認証情報を入力するシングルサインオンの機能を有するプログラムである。

ここで，高度な認証（以下，高度認証と呼ぶ）とは，ＩＣカードやＵＳＢトークン等の有体物を用いた認証方法や，指紋，声紋，静脈などの生体的な特徴を用いた認証方法など，パスワードよりも安全性の高いと考えられている認証方法を指す。また，高度認証情報とは，高度認証において必要とされる認証情報のことである。例えば，高度認証として指紋認証を採用している場合，高度認証情報は指紋情報のことである。

ＯＳ用ユーザ情報３４０は，ＯＳにログインするために必要な，ユーザ別に管理された情報である。例えば，ＯＳ用のユーザＩＤとＯＳにログインする際の照合用パスワード等が該当する。なお，当該照合用パスワードはハッシュ値あるいは暗号化された値で記録されていることが望ましい。

図４は，アプリケーションサーバ装置１２０のソフトウェア構成を示す図である。メモリ２４０には，ＯＳ４１０と，ＡＰ４２０がロードされている。また，記憶装置２５０には，ＡＰ用ユーザ情報４４０等のデータが格納されている。

本実施例の特徴的な構成として，上記の構成に加えて，メモリ２４０には，さらに，高度認証エージェントプログラム４３０がロードされる。

図４において，ＯＳ４１０は，装置全体の制御を行うために，ファイル管理，プロセス管理，デバイス管理といった機能を実現するためのプログラムである。

ＡＰ４２０は，現行システムとして使われている様々な業務用のプログラムである。例えば，ＥＲＰ，会計，文書管理等の様々なＷｅｂサーバプログラムもしくはクライアント−サーバ型システムのサーバプログラムが当該ＡＰ４２０に相当する。また，現行システムとして，当該ＡＰ４２０には，パスワード認証の機能も実装されているものとする。また，ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）あるいはＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）に等よるサーバ認証及び通信路暗号化機能を備えることによって，利用者装置との通信におけるリプレイアタック対策が施されているものとする。

高度認証エージェントプログラム４３０は，ＡＰ４２０へのアクセスに必要な認証を高度認証に変更するためのプログラムであり，ＡＰ４２０が実行される前に，本プログラムが実行される。例えば，フィルタプログラムや低レイヤのデータ送受信をフックすること等で実現されるプログラムである。

ＡＰ用ユーザ情報４４０は，ＡＰにアクセスするために必要な，ユーザ別に管理された情報である。例えば，ＡＰ用のユーザＩＤとＡＰにアクセスする際の照合用パスワード等が該当する。なお，当該照合用パスワードはハッシュ値あるいは暗号化された値で記録されているものとする。

図５は，認証サーバ装置１３０のソフトウェア構成を示す図である。

当該認証サーバ装置１３０は，利用者装置１１０のＯＳ３１０へのログインの認証の実現形態によって，その要否が異なる。すなわち，ある利用者装置１１０にログインする際に，利用者装置毎に，登録されたユーザ情報をもとに認証を行う場合（ローカルな認証という）には，当該認証サーバ装置１３０は不要である。一方，利用者装置が複数存在し，どの利用者装置からでも同じユーザ情報でログインする際に，アドレスなどで範囲が予め定義されたドメイン内に管理されたユーザ情報をもとに認証を行う場合（ドメイン内での認証という）には，当該ドメイン内で有効に機能する当該認証サーバ装置１３０が必要となる。

認証サーバ装置１３０のメモリ２４０には，ＯＳ５１０と，認証プログラム５２０がロードされている。また，記憶装置２５０には，ＯＳ用ユーザ情報３４０等のデータが格納されている。

図５において，ＯＳ５１０は，装置全体の制御を行うために，ファイル管理，プロセス管理，デバイス管理といった機能を実現するためのプログラムである。

認証プログラム５２０は，利用者装置１１０にログインを試みている利用者のユーザＩＤ及びパスワードが正しいかどうかを，利用者装置１１０のＯＳ３１０からの要求をもとに，パスワードの検証を行い，その結果を利用者装置に返信するプログラムである。検証の際には，当該認証サーバ装置１３０内に格納されているＯＳ用ユーザ情報３４０を使用する。

図６は，高度認証サーバ装置１４０のソフトウェア構成を示す図である。メモリ２４０には，ＯＳ６１０と，高度認証サーバプログラム６２０がロードされている。また，記憶装置２５０には，高度認証サーバ用ユーザ情報６３０等のデータが格納されている。

図６において，ＯＳ６１０は，装置全体の制御を行うために，ファイル管理，プロセス管理，デバイス管理といった機能を実現するためのプログラムである。

高度認証サーバプログラム６２０は，利用者装置１１０にログインを試みている利用者，あるいは，アプリケーションサーバ装置１２０のＡＰ４２０にアクセスを試みている利用者の認証に係わる高度認証情報が正しいかどうかを，利用者装置１１０内の高度認証クライアントプログラム３３０，もしくは，アプリケーションサーバ装置１２０内の高度認証エージェントプログラム４３０からの要求をもとに，高度認証情報の検証を行い，その結果及びログインもしくはアクセスに必要なユーザＩＤ及びパスワードを，要求送信元に返信するプログラムである。

検証の際には，当該高度認証サーバ装置１４０内に格納されている高度認証サーバ用ユーザ情報６３０を使用する。また，当該高度認証サーバプログラム６２０は，認証状態を管理する機能も有するものとする。具体的には，ユーザの認証に成功した場合には，当該ユーザの認証を「認証済み」として管理し，ユーザが各システムからログオフする，あるいは，最後のアクセスから一定時間過ぎた場合には認証状態を「未認証」として管理する。また，ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）あるいはＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）に等よるサーバ認証及び通信路暗号化機能を備えることによって，利用者装置及びアプリケーションサーバ装置との通信におけるリプレイアタック対策が施されているものとする。

高度認証サーバ用ユーザ情報６３０は，高度認証情報，及び，高度認証に成功した後で必要となるパスワード等が，ユーザ別に管理された情報である。例えば，高度認証サーバ用のユーザＩＤ，高度認証を行う際の照合用の高度認証情報，利用者装置１１０のＯＳにログインする際に入力するためのユーザＩＤおよび，ＯＳのログイン及び各ＡＰのアクセスに使用するパスワード等が該当する。当該パスワードは，暗号化された状態もしくはアクセスを制限された状態で管理されるものとし，当該パスワードの利用者以外は当該パスワードにアクセスできないようになっているものとする。

図７は，パスワード管理サーバ装置１５０のソフトウェア構成を示す図である。メモリ２４０は，ＯＳ７１０と，パスワード管理プログラム７２０とがロードされている。また，記憶装置２５０には，パスワード管理用設定情報７４０と，ユーザＩＤ関連付け情報７５０等のデータが格納されている。

図７において，ＯＳ７１０は，装置全体の制御を行うために，ファイル管理，プロセス管理，デバイス管理といった機能を実現するためのプログラムである。

パスワード管理プログラム７２０は，複数のプログラム（ＯＳやＡＰ）にて管理されているパスワードを，一括で更新するためのプログラムである。各プログラムのパスワードは，当該パスワード管理プログラム７２０の実行により定期的に更新される。

また，システム管理者が強制的にパスワードをリセットできるインタフェースを備え，必要に応じて手動でパスワードを更新可能とする機能も備える。パスワードを更新する際には，パスワード管理用設定情報７４０，及び，ユーザＩＤ関連付け情報７５０の情報をもとにパスワード更新が実行される。また，乱数等を用いて，パスワードポリシーに適合するパスワードを自動的に生成する機能も備えているものとする。

パスワード管理用設定情報７４０は，複数のプログラムのパスワードを一括で更新するために必要となる情報を記録した情報である。例えば，パスワードの更新対象となる各プログラムのアクセス先情報（ＵＲＬ等），各対象プログラムのパスワードを書き換えられる権限のある管理者用の認証情報（管理者用ユーザＩＤ及び管理者用パスワード等），パスワードポリシー（パスワードに必要な文字数，文字種などを定めたもの）等が該当する。

ユーザＩＤ関連付け情報７５０は，ある利用者のパスワードを更新する場合に，どのユーザＩＤのパスワードを更新すればよいかを，システム別に関連付けした情報であり，当該情報はユーザ毎に管理される。例えば，パスワード管理サーバ装置１５０内のパスワード管理プログラム７２０にて管理されるパスワード管理サーバ用ユーザＩＤ，本実施例においてパスワードを使用している高度認証サーバ用のユーザＩＤ，各ＡＰ用のユーザＩＤ，ＯＳ用のユーザＩＤ等が該当する。

図８は，本実施例の適用前の，認証処理フローの概要を示す図である。

利用者１００と，利用者装置１１０と，認証サーバ装置１３０と，アプリケーションサーバ装置１２０との間において，利用者１００が利用者装置１１０のＯＳにログインし，当該利用者装置１１０を介して，アプリケーションサーバ装置１２０のＡＰにアクセスする際の手順について記述する。

図８において，利用者１１０は，利用者装置１１０を起動する（ステップ（以下，ステップをＳと記す）８０１）。当該利用者装置１１０は，ＯＳを起動し，ＯＳにログインするためのログイン画面を利用者１００に対して表示する（Ｓ８０２）。ここでは，ＯＳ用のユーザＩＤ及びパスワードを入力させる画面が表示される。

次に，利用者１００は，ＯＳ用のユーザＩＤ及びパスワードを入力する（Ｓ８０３）。利用者装置１１０は，入力されたＯＳ用のユーザＩＤのパスワードと，当該ユーザＩＤの照合用のパスワードを比較することによって認証を行い，一致した場合には正当な利用者であるとみなし，ログオンを許可する。この認証をローカルで行う場合は，照合用のパスワードは，当該利用者装置１１０内にＯＳ用ユーザ情報として記録されているので，その情報を参照して認証を行う。その認証結果をもとに利用者のログオンの可否を決定する。

ドメイン内での認証を行う場合，照合用のパスワードは，認証サーバ装置１３０に記録されているため，認証サーバ装置１３０に，利用者１００が入力したユーザＩＤ及びパスワードを送信する（Ｓ８０４）。認証サーバ装置１３０では，受信したユーザＩＤ及びパスワードと，認証サーバ装置１３０内で記録しているＯＳ用ユーザ情報と照合することで認証を行い，その認証結果を利用者装置１１０に返信する（Ｓ８０５）。

利用者装置１１０は，受信した認証結果をもとに利用者のログオンの可否を決定する。続いて，利用者装置１１０は，ログオン可否の結果に応じて，利用者１００に対してログオン処理後の画面を表示する（Ｓ８０６）。ログオンが許可された場合，利用者１００は，当該利用者装置１１０内にあるプログラムを実行できるようになるので，アプリケーション利用プログラムを起動する（Ｓ８０７）。起動が開始すると，利用者装置１１０のアプリケーション利用プログラムは，アプリケーションサーバ装置１２０のＡＰにアクセス要求を送信する（Ｓ８０８）。アプリケーションサーバ装置１２０のＡＰは，アクセス要求を受け，当該利用者装置１１０に認証情報の要求を行う（Ｓ８０９）。ここでは，ＡＰ用のユーザＩＤ及びパスワードが要求される。

利用者装置１１０のアプリケーション利用プログラムは，認証情報の要求に基づき，利用者１００に対してＡＰ用のユーザＩＤ及びパスワードを入力する画面を表示する（Ｓ８１０）。利用者１００は，ＡＰ用のユーザＩＤ及びパスワードを入力する（Ｓ８１１）と，利用者装置１１０は，その情報をアプリケーションサーバ装置１２０のＡＰに送信する（Ｓ８１２）。

アプリケーションサーバ装置１２０は，受信したＡＰ用のユーザＩＤ及びパスワードと，当該ユーザＩＤの照合用のパスワードを比較することによって認証を行い，一致した場合には正当な利用者であるとみなし，アクセスを許可する。照合用のパスワードは，当該アプリケーションサーバ装置１２０内にＡＰ用ユーザ情報として記録されているので，その情報を参照して認証を行う。その認証結果をもとに利用者のアクセスの可否を決定する。アプリケーションサーバ装置１２０は，アクセス可否の結果に応じて，利用者装置１１０に認証処理後の画面を送信（Ｓ８１３）し，当該利用者装置１１０は，利用者１００に対して，受信した認証処理後の画面を表示する（Ｓ８１４）。

以上が，本実施例の適用前の認証処理フローの一形態であり，本実施例では，当該システムのプログラムを改造することなく，認証の強化と利便性の向上を図る。

図９は，本実施例の適用後の認証処理のフロー概要を示す図である。

利用者１００と，利用者装置１１０と，認証サーバ装置１３０と，高度認証サーバ装置１４０と，アプリケーションサーバ装置１２０との間において，利用者１００が利用者装置１１０のＯＳにログインし，当該利用者装置１１０を介して，アプリケーションサーバ装置１２０のＡＰにアクセスする際の手順について記述する。なお，図８に示す処理と同じステップには同じステップ番号を付す。

図９の処理フローは，高度認証クライアントプログラム３３０を利用者装置１１０に追加し，高度認証エージェントプログラム４３０をアプリケーションサーバ装置１２０に追加し，高度認証サーバ装置１４０を追加することで，実現される。

図９において，利用者１１０は，利用者装置１１０を起動する（Ｓ８０１）。当該利用者装置１１０は，ＯＳを起動し，ＯＳにログインするためのログイン画面を利用者１００に対して表示する（Ｓ９０１）。ここでは，高度認証情報を入力するための画面が表示される。次に，利用者１００は，高度認証情報を入力する（Ｓ９０２）。利用者装置１１０は，入力された高度認証情報を，高度認証サーバ１４０に送信する（Ｓ９０３）。また，ここで入力された高度認証情報は，当該利用者装置１１０のメモリ上に保持される。高度認証サーバ１４０は，受信した高度認証情報と，当該装置内で記録している高度認証サーバ用ユーザ情報の照合用高度認証情報を比較して，利用者の認証を行い，認証結果を利用者装置１１０に送信する（Ｓ９０４）。認証に成功している場合には，認証結果として，利用者装置１１０のＯＳにログインするためのＯＳ用ユーザＩＤ及びパスワードが送信される。利用者装置１１０は，受信したＯＳ用のユーザＩＤのパスワードと，当該ユーザＩＤの照合用のパスワードを比較することによって認証を行い，一致した場合には正当な利用者であるとみなし，ログオンを許可する。この認証をローカルで行う場合は，照合用のパスワードは，当該利用者装置１１０内にＯＳ用ユーザ情報として記録されているので，その情報を参照して認証を行う。その認証結果をもとに利用者のログオンの可否を決定する。

ドメイン内での認証を行う場合，照合用のパスワードは，認証サーバ装置１３０に記録されているため，認証サーバ装置１３０に，利用者１００が入力したユーザＩＤ及びパスワードを送信する（Ｓ８０４）。認証サーバ装置１３０では，受信したユーザＩＤ及びパスワードと，認証サーバ装置１３０内で記録しているＯＳ用ユーザ情報と照合することで認証を行い，その認証結果を利用者装置１１０に返信する（Ｓ８０５）。

利用者装置１１０は，受信した認証結果をもとに利用者のログオンの可否を決定する。続いて，ログオンを許可した場合，利用者装置１１０は，当該利用者１００が正当にログインできたことを受けて認証済みであることを示す認証状態の情報を，高度認証サーバ１４０に通知する（Ｓ９０５）。高度認証サーバ１４０は，認証状態の通知を受信し，当該利用者１００に関する認証状態を「認証済み」という状態に変更し，認証状態の通知を受け付けた結果を利用者装置１１０に返信する（Ｓ９０５）。

次に，利用者装置１１０は，ログオン可否の結果に応じて，利用者１００に対してログオン処理後の画面を表示する（Ｓ８０６）。ログオンが許可された場合，利用者１００は，当該利用者装置１１０内にあるプログラムを実行できるようになるので，アプリケーション利用プログラムを起動する（Ｓ８０７）。起動が開始すると，利用者装置１１０のアプリケーション利用プログラムは，アプリケーションサーバ装置１２０のＡＰにアクセス要求を送信する（Ｓ８０８）。アプリケーションサーバ装置１２０のＡＰは，アクセス要求を受け，当該利用者装置１１０に認証情報の要求を行う（Ｓ９０７）。ここでは，高度認証情報が要求される。

利用者装置１１０のアプリケーション利用プログラムは，認証情報の要求に基づき，利用者１００に対して高度認証画面を入力する画面の表示処理を行うが，その過程で，高度認証クライアントプログラムが認証を要求したＡＰ用の認証画面であることを検知し，当該ＡＰ用のユーザＩＤとメモリ上に保持しておいた高度認証情報を，利用者の入力を待たずに入力処理を行い，それらの情報をアプリケーションサーバ装置１２０に送信する（Ｓ９０８）。ここで，ＡＰ用のユーザＩＤは，ＡＰ用の認証画面の特徴（例えば，ウインドウタイトル，ウインドウサイズ，ＵＲＬ，入力フィールド属性，ウィンドウに表示されているビットマップ情報などの内，任意の一つ以上の組み合わせ）と関連付けられて，高度認証クライアントプログラムに予め設定されているものとする。

アプリケーションサーバ装置１２０の高度認証エージェントプログラム４３０は，受信した高度認証情報を，高度認証サーバ１３０に送信する（Ｓ９０９）。高度認証サーバ１３０は，受信した高度認証情報と当該装置内で記録している高度認証サーバ用ユーザ情報の照合用高度認証情報を比較して，利用者の認証を行うとともに，当該利用者の認証状態が「認証済み」であることを確認し，「認証済み」であれば認証に成功したものとして，認証結果をアプリケーションサーバ装置１２０に送信する（Ｓ９１０）。認証に成功している場合には，認証結果として，アプリケーションサーバ装置１２０のＡＰにアクセスするためのＡＰ用パスワードがＡＰに送信される。

アプリケーションサーバ装置１２０の高度認証エージェントプログラム４３０は，受信したＡＰ用のパスワードと，利用者装置１１０から受信しているＡＰ用のユーザＩＤを内部的にＡＰに受け渡し，ＡＰ用のユーザＩＤ及びパスワードと，当該ユーザＩＤの照合用のパスワードを比較することによって認証を行う。パスワードが一致した場合には正当な利用者であるとみなし，アクセスを許可する。照合用のパスワードは，当該アプリケーションサーバ装置１２０内にＡＰ用ユーザ情報として記録されているので，その情報を参照して認証を行う。その認証結果をもとに利用者のアクセスの可否を決定する。アプリケーションサーバ装置１２０の高度認証エージェントプログラム４３０は，アクセス可否の結果に応じて，利用者装置１１０に認証処理後の画面を送信し（Ｓ８１３），当該利用者装置１１０は，利用者１００に対して，受信した認証処理後の画面を表示する（Ｓ８１４）。

以上が，本実施形態のシステムにおける認証処理フローの例である。これにより，現行のシステムに改良を加えずに，利用者装置１１０側における認証の強化，シングルサインオン，アプリケーションサーバ側１２０における認証の強化，ネットワーク経由でのバイパス防止措置を実現することができる。図９に示すシーケンスのさらに詳細な処理については，図１１及び図１２で説明する。

図１０は，本実施形態のシステムにおけるパスワード更新処理のフロー概要を例示する図である。

パスワード管理サーバ装置１５０と，利用者装置１１０もしくは認証サーバ装置１３０と，高度認証サーバ装置１４０と，アプリケーションサーバ装置１２０との間において，パスワード管理サーバ装置１５０が，パスワードの更新対象である各装置に対して，パスワードを，例えば定期的に，一括更新する際の手順について記述する。

図１０の処理は，従来構成に，高度認証サーバ装置１４０及びパスワード管理サーバ装置１５０を追加することで，実現されるものである。また，パスワードを管理している各装置は，パスワードを，他の装置からリモートで更新するためのインタフェースを有しているものとし，パスワードを更新するためには，システム別の管理者用認証情報を用いた認証が必要であるものとする。

図１０において，パスワード管理サーバ装置１５０は，図９のフローとは独立に，繰り返し，例えばある一定期間ごとに，パスワード更新処理を実施するものとする。本実施例では，更新処理が開始すると，パスワードの更新対象ユーザ毎のパスワードを，乱数などを用いて生成する。

続いて，パスワード管理サーバ装置１５０は，パスワード更新対象装置の１つとして，ＯＳの照合用パスワードを記録している装置である利用者装置１１０もしくは認証サーバ装置１３０に対してパスワード更新のためのアクセス要求を送信する（Ｓ１００１）。パスワード更新対象装置（利用者装置１１０もしくは認証サーバ装置１３０を指す）はアクセス要求を受信し，パスワード認証サーバ装置１５０に対して認証情報を要求する（Ｓ１００２）。

パスワード管理サーバ装置１５０は，認証情報の要求に基づいて，管理者用認証情報を，パスワード更新対象装置に送信する（Ｓ１００３）。パスワード更新対象装置は，管理者用認証情報を受信し，パスワードの更新権限があるユーザの認証情報であることを確認し，認証結果をパスワード管理サーバ装置１５０に送信する（Ｓ１００４）。

パスワード管理サーバ装置１５０は，認証結果を受信し，パスワードを更新する利用者のユーザＩＤ及び前記にて自動生成しておいたパスワードを，パスワード更新対象装置に送信する（Ｓ１００５）。この際，複数の利用者のユーザＩＤ及びパスワードを更新する場合は，一度に複数の利用者分の情報を送信するか，あるいは，同様のプロセスを，利用者の数だけ繰り返す。パスワード更新対象装置は，利用者のユーザＩＤ及パスワードを受信し，パスワードの更新処理を行い，その結果をパスワード管理サーバ装置１５０に送信する（Ｓ１００６）。

以上で，ＯＳの照合用パスワードを記録している装置である利用者装置１１０もしくは認証サーバ装置１３０に対するパスワード更新処理が完了する。高度認証サーバ装置１４０，各アプリケーションサーバ装置１２０をパスワード更新対象装置とする場合も，パスワード更新の対象となる全てのシステムのパスワードが更新されるまで，同様の処理（Ｓ１００７〜Ｓ１０１２，Ｓ１０１３〜Ｓ１０１８）が繰り返される。

この際，各装置用に更新されるパスワードは，更新処理の最初に生成したものを使用する。すなわち，パスワードは全て共通となる。なお，パスワード更新を行う際にアクセスするパスワード更新対象装置の順序は問わない。

以上が，本実施例を適用する後のシステムにおけるパスワード更新処理のフローの例である。図９に示す処理と図１０に示す処理とを合わせることによって，認証機能のバイパス対策をより強固なものにすることができる。また，ＯＳのパスワードと各ＡＰ用のパスワードを共通にすることで，パスワード管理に必要なデータサイズを削減することも可能である。なお，図１０のさらに詳細な処理については，図１３で説明する。

以上の通り，本実施形態により，従来システムに変更を加えずに，利用者装置１１０側やアプリケーションサーバ側１２０における認証の強化を行った場合の，不正アクセスに対する耐性を高めることができる。

図１１及び図１２は，図９に示す処理の詳細な処理フローを例示する図である。図１１は，本実施形態に係る利用者装置１１０のログイン処理部分に関するフロー詳細であり，図１２は，本実施形態に係るアプリケーションサーバ装置１２０のアクセス処理部分に関するフロー詳細である。以下の説明で，対応する図９における処理ステップを併記する。

図１１において，利用者装置１１０は，利用者１００の装置起動の操作によって，ＯＳ３１０が起動する。またＯＳの起動直後に，高度認証クライアントプログラム３３０も起動するものとする。（Ｓ２００１，Ｓ８０１）。

利用者装置１１０のＯＳ３１０は，利用者１００にログインするための情報として，ＯＳ用のユーザＩＤ及びパスワードの入力を要求するが，その要求を高度認証クライアントプログラム３３０が検知し，ＯＳ用のユーザＩＤ及びパスワードの代わりに，高度認証情報の入力を利用者１００に要求するログイン画面を表示する。また，ＯＳのログイン認証形態として，ローカルで行う認証，あるいは，ドメインで行う認証のいずれかを指定させる欄も画面内に表示する（Ｓ２００２，Ｓ９０１）。

ログイン画面が表示された後，利用者１００が，当該利用者の高度認証情報及びＯＳのログイン認証形態を入力すると，利用者装置１１０の高度認証クライアントプログラム３３０は，当該高度認証情報を当該利用者装置の入力装置を介して取得する。また，この時点で入力された高度認証情報は，利用者装置１１０内の高度認証クライアントプログラム３３０が管理するメモリの範囲内に保持されるものとする。なお，ここでメモリに保持した高度認証情報は，当該利用者装置１１０のＯＳをログオフしたタイミングや，当該利用者装置１１０の電源を切ったタイミングで，メモリから消去される（Ｓ２００３，Ｓ９０２）。

利用者装置１１０の高度認証クライアントプログラム３３０は，前記Ｓ２００３にて取得した高度認証情報を含むメッセージ，高度認証サーバ１４０に送信する。また，当該メッセージには，ＯＳのログインの認証であることを示す識別子も含まれているものとし，ＡＰのアクセス時の認証と区別できるようにしておく（Ｓ２００４，Ｓ９０３）。

高度認証サーバ１４０の高度認証サーバプログラム６２０は，前記Ｓ２００４にて利用者装置１１０から送信された高度認証情報を含むメッセージを受信する（Ｓ２００５，Ｓ９０３）。

高度認証サーバ１４０の高度認証サーバプログラム６２０は，前記Ｓ２００５にて受信した高度認証情報を，当該高度認証サーバ１４０内に記録している高度認証サーバ用ユーザ情報６３０の照合用高度認証情報を用いて利用者の認証を行う（Ｓ２００６，Ｓ９０４）。

高度認証サーバ１４０の高度認証サーバプログラム６２０は，前記Ｓ２００６にて認証された結果を受けて，認証結果を含むメッセージを利用者装置１１０に送信する。利用者の認証に成功した場合，当該メッセージには，高度認証サーバ用ユーザ情報６３０として記録されている当該利用者のＯＳ用ユーザＩＤ及び入力用パスワードを含めるものとする。加えて，認証状態通知処理の際に必要となるセッションＩＤを乱数などにより生成し，当該メッセージに含めるものとする。また，当該セッションＩＤは，前記Ｓ２００６にて認証された利用者の情報と関連付けた形で，高度認証サーバ１４０内のメモリに保持されるものとする（Ｓ２００７，Ｓ９０４）。

利用者装置１１０の高度認証クライアントプログラム３３０は，前記Ｓ２００７にて送信された認証結果を含むメッセージを受信する。もし，本ステップで受信した認証結果が失敗であるならば，利用者１００に対して認証に失敗した旨の表示を行い，Ｓ２００２に戻る。一方，認証結果が成功であるならば，メッセージに含まれるセッションＩＤを高度認証クライアントプログラム３３０が管理するメモリの範囲内に保持しておく（Ｓ２００８，Ｓ９０４）。

利用者装置１１０の高度認証クライアントプログラム３３０は，前記Ｓ２００８にて受信したメッセージに含まれる利用者１００のＯＳ用ユーザＩＤ及び入力用パスワードを，Ｓ２００２にてＯＳ用のユーザＩＤ及びパスワードの入力を要求してきたＯＳ３１０に受け渡す。ここで，Ｓ２００３にて入力されたＯＳのログイン認証形態によって処理が分岐する。ローカルで行う認証の形態が指定された場合は，Ｓ２０１５に処理が移る。この場合は，認証サーバ装置１３０は存在しなくてもよい。一方，ドメインで行う認証の形態が指定された場合は，Ｓ２０１０に処理が移る。この場合は，認証サーバ装置１３０の存在が必須となる（Ｓ２００９）。

利用者装置１１０のＯＳ３１０は，Ｓ２００９にて取得した利用者１００のＯＳ用ユーザＩＤ及び入力用パスワードを認証サーバ装置１３０に送信する（Ｓ２０１０，Ｓ８０４）。

認証サーバ装置１３０の認証プログラム５２０は，前記Ｓ２０１０にて送信された利用者１００のＯＳ用ユーザＩＤ及び入力用パスワードを受信する（Ｓ２０１１，Ｓ８０４）。

認証サーバ装置１３０の認証プログラム５２０は，前記Ｓ２０１１にて受信した利用者１００のＯＳ用ユーザＩＤ及び入力用パスワードと，当該認証サーバ装置１３０内に予め記録されているＯＳ用ユーザ情報３４０内のＯＳ用ユーザＩＤ及びＯＳ照合用パスワードによって認証を行い，ログインを許可してもよいユーザであることを確認する（Ｓ２０１２）。

認証サーバ装置１３０の認証プログラム５２０は，前記Ｓ２０１２にて認証した結果を，利用者装置１１０に送信する（Ｓ２０１３，Ｓ８０５）。

利用者装置１１０のＯＳ３１０は，前記Ｓ２０１３にて送信された認証結果を受信する（Ｓ２０１４，Ｓ８０５）。

利用者装置１１０のＯＳ３１０は，前記Ｓ２００９にてローカルで行う認証の形態が指定されている場合には，前記Ｓ２００９にて取得した利用者１００のＯＳ用ユーザＩＤ及び入力用パスワードと，当該利用者装置１１０内に予め記録されているＯＳ用ユーザ情報３４０内のＯＳ用ユーザＩＤ及びＯＳ照合用パスワードによって認証を行い，ログインを許可してもよいユーザであることを確認する。次に，本ステップ（ローカルで行う認証の形態の場合）もしくはＳ２０１４（ドメインで行う認証の形態の場合）にて得られた認証結果が失敗であるならば，利用者１００に対して認証に失敗した旨の表示を行い，Ｓ２００２に戻る。一方，認証結果が成功であるならば，ＯＳのログインを許可する処理を開始し，Ｓ２０１６に処理が移る（Ｓ２０１５）。

利用者装置１１０の高度認証クライアントプログラム３３０は，前記Ｓ２０１５にてＯＳ３１０のログインが許可されたことを受けて，高度認証サーバ装置１４０に認証状態を「認証済み」に変更するためのメッセージを送信する。また，このメッセージには，前記Ｓ２００８にて保持しておいたセッションＩＤも含めることとし，Ｓ２００６にて認証された利用者の認証状態を変更するものであることを判別できるようにする（Ｓ２０１６，Ｓ９０５）。

高度認証サーバ装置１４０の高度認証サーバプログラム６２０は，前記Ｓ２０１６にて送信された認証状態を変更する旨のメッセージを受信する（Ｓ２０１７，Ｓ９０５）。

高度認証サーバ装置１４０の高度認証サーバプログラム６２０は，前記Ｓ２０１７にて受信した認証状態を変更する旨のメッセージに含まれるセッションＩＤと，Ｓ２００７にて保持しておいたセッションＩＤとを比較し，一致するものが存在した場合には，当該セッションに関連付けられている利用者の認証状態を「認証済み」に変更する。もし一致するものがない場合は，認証状態の変更は何も行わない。「認証済み」に更新された場合には，本ステップの実施日時を認証済み状態の最終更新日時として保持しておくものとする。この最終更新日時から一定時間過ぎた場合には，高度認証サーバプログラム６２０が自動的に認証状態を「未認証」に変更するものとする（Ｓ２０１８）。

高度認証サーバ装置１４０の高度認証サーバプログラム６２０は，前記Ｓ２０１８における認証状態の変更結果を利用者装置１１０に送信する（Ｓ２０１９，Ｓ９０６）。

利用者装置１１０の高度認証クライアントプログラム３３０は，前記Ｓ２０１９にて送信された認証状態の変更結果を受信する（Ｓ２０２０，Ｓ９０６）。

利用者装置１１０のＯＳ３１０は，前記Ｓ２０１５にてログインが許可されたことによって，利用者１００に対して，ログイン後の画面を表示する（Ｓ８０６）。なお，本ステップは，Ｓ２０１６からＳ２０２０までの処理と独立に実行してもよいし，Ｓ２０２０の後に実施してもよい。

以上で，利用者装置１１０のＯＳ３１０のログイン処理が完了する。

続いて，図１２を参照して，アプリケーションサーバ装置１２０のＡＰ４２０のアクセス処理を説明する。

図１２において，利用者装置１１０は，利用者１００がアプリケーション利用プログラム３２０の実行操作を行うことによって，アプリケーション利用プログラム３２０を起動する（Ｓ３００１，Ｓ８０７）。

利用者装置１１０のアプリケーション利用プログラム３２０は，アプリケーションサーバ装置１２０内のＡＰ４２０を利用するために，アプリケーションサーバ装置１２０にアクセスを要求するためのメッセージを送信する。このメッセージには，どのＡＰを使用するかという識別子も含まれているものとする（Ｓ３００２，Ｓ８０８）。

アプリケーションサーバ装置１２０の高度認証エージェントプログラム４３０は，前記Ｓ３００２にて送信されたアクセス要求を受信する（Ｓ３００３，Ｓ８０８）。

アプリケーションサーバ装置１２０の高度認証エージェントプログラム４３０は，前記Ｓ３００２にて受信したアクセス要求に応じて，アクセス要求を送信してきた利用者装置１１０に対して，高度認証情報を要求する旨のメッセージを送信する（Ｓ３００４，Ｓ９０７）。

利用者装置１１０のアプリケーション利用プログラム３２０，もしくは，高度認証クライアントプログラム３３０は，前記Ｓ３００４にて送信された高度認証情報要求のメッセージを受信する。採用する高度認証の方法によって，アプリケーション利用プログラム３２０がそのまま受信できる場合は，アプリケーション利用プログラム３２０が受信し，そうでない場合は，高度認証クライアントプログラム３３０が受信する（Ｓ３００５，Ｓ９０７）。

Ｓ３００５にて，高度認証情報要求を受信したプログラムがアプリケーション利用プログラム３２０であるならば，利用者装置１１０の高度認証クライアントプログラム３３０は，高度認証情報が要求されていることをアプリケーション利用プログラム３２０の画面の特徴やＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）の使用状況等から検知する。

なお，高度認証情報が要求された際のアプリケーション利用プログラム３２０の画面の特徴やＡＰＩの使用状況等と，アクセスしようとしているＡＰのＡＰ用ユーザＩＤは，高度認証クライアントプログラム３３０にて予め関連付けされた形で記録されているものとし，本検知では，これらの情報を用いる。

そして，Ｓ２００３にて保持していた高度認証情報もしくは当該高度認証情報を用いて高度認証エージェントプログラム４３０の認証用に演算しなおした新たな高度認証情報とＡＰ４２０を使用するために必要なＡＰ用ユーザＩＤを，アプリケーション利用プログラム３２０のインタフェースを介して，アプリケーションサーバ装置１２０に送信する。

一方，前記Ｓ３００５にて，高度認証情報要求を受信したプログラムが高度認証クライアントプログラム３３０であるならば，利用者装置１１０の高度認証クライアントプログラム３３０は，前記Ｓ３００５で受信した高度認証情報の要求を受けて，Ｓ２００３にて保持していた高度認証情報もしくは当該高度認証情報を用いて高度認証エージェントプログラム４３０の認証用に演算しなおした新たな高度認証情報とＡＰ４２０を使用するために必要なＡＰ用ユーザＩＤを，アプリケーションサーバ装置１２０に自動的に送信する（Ｓ３００６，Ｓ９０８）。

アプリケーションサーバ装置１２０の高度認証エージェントプログラム４３０は，前記Ｓ３００６にて送信されたＡＰ用ユーザＩＤ及び高度認証情報を受信する（Ｓ３００７，Ｓ９０８）。

アプリケーションサーバ装置１２０の高度認証エージェントプログラム４３０は，前記Ｓ３００７にて受信した高度認証情報を含んだメッセージを，高度認証サーバ装置１４０に送信する。また，当該メッセージには，ＡＰのアクセスの認証であることを示す識別子も含まれているものとし，ＯＳのログイン時の認証と区別できるようにしておく（Ｓ３００８，Ｓ９０９）。

高度認証サーバ装置１４０の高度認証サーバプログラム６２０は，前記Ｓ３００８にて送信された高度認証情報を含むメッセージを受信する（Ｓ３００９，Ｓ９０９）。

高度認証サーバ装置１４０の高度認証サーバプログラム６２０は，前記Ｓ３００９にて受信した高度認証情報と，当該高度認証サーバ装置１３０内の高度認証サーバ用ユーザ情報６３０に含まれる照合用高度認証情報を用いて利用者の認証を行う（Ｓ３０１０）。

前記Ｓ３００９にて受信したメッセージには，ＡＰアクセスのための認証であるという識別子が含まれていることから，前記Ｓ３０１０に加えて，高度認証サーバ装置１４０の高度認証サーバプログラム６２０は，当該高度認証サーバ装置１４０にて保持している前記利用者の認証状態が「認証済み」であることを確認する。当該利用者の認証状態が「認証済み」となっていない場合には，ＯＳログイン時の高度認証をバイパスしてアクセスしている恐れがあることから，認証に失敗するものとする。また，高度認証情報の認証に成功し，かつ，認証状態が「認証済み」である場合には，本ステップの実施日時を認証済み状態の最終更新日時として更新するものとする（Ｓ３０１１）。

高度認証サーバ１４０の高度認証サーバプログラム６２０は，前記Ｓ３０１０及び前記Ｓ３０１１にて認証された結果を受けて，認証結果を含むメッセージをアプリケーションサーバ装置１２０に送信する。利用者の認証に成功した場合，当該メッセージには，高度認証サーバ用ユーザ情報６３０として記録されている当該利用者の入力用パスワードを含めるものとする（Ｓ３０１２，Ｓ９１０）。

アプリケーションサーバ装置１２０の高度認証エージェントプログラム４３０は，前記Ｓ３０１１にて送信された認証結果を含むメッセージを受信する。もし，本ステップで受信した認証結果が失敗であるならば，アプリケーションサーバ装置１２０の高度認証エージェントプログラム４３０は，利用者装置１１０に対して認証が失敗した旨のメッセージを送信し，当該利用者装置１１０は，利用者１００に対して認証に失敗した旨の表示を行い，処理を中断する。一方，認証結果が成功であるならば，アプリケーションサーバ装置１２０の高度認証エージェントプログラム４３０は，前記Ｓ３００７にて受信したＡＰ用ユーザＩＤと，前記Ｓ３０１２にて受信した入力用パスワードを，アプリケーションサーバ装置１２０のＡＰ４２０に受け渡す（Ｓ３０１３，Ｓ９１０）。

アプリケーションサーバ装置１２０のＡＰ４２０は，前記Ｓ３０１３にて取得したＡＰ用ユーザＩＤ及び入力用パスワードと，当該アプリケーションサーバ装置１２０に記録しているＡＰ用ユーザ情報４４０に含まれるＡＰ用ユーザＩＤ及びＡＰ照合用パスワードによって認証を行い，当該ＡＰ４２０にアクセスを許可してもよいユーザであることを確認する（Ｓ３０１４）。

アプリケーションサーバ装置１２０のＡＰ４２０は，前記Ｓ３０１４の認証結果に基づいた認証処理後の画面データ，あるいは，当該ＡＰの仕様に則った応答メッセージを生成し，前記Ｓ３００２にてアクセス要求を行ってきた利用者装置１１０に送信する。なお，当該データもしくはメッセージには，当該ＡＰ４２０の認証が完了していることを示す乱数等で生成されたＩＤが含まれるものとする。例えばＣｏｏｋｉｅとして配布されるようなセッションの識別子を示す情報である（Ｓ３０１５，Ｓ８１３）。

利用者装置１１０のアプリケーション利用プログラム３２０は，前記Ｓ３０１５にて送信された認証処理後の画面データもしくは応答メッセージを受信する（Ｓ３０１６，Ｓ８１３）。

利用者装置１１０のアプリケーション利用プログラム３２０は，前記Ｓ３０１６にて受信したデータもしくはメッセージをもとに必要に応じて，利用者に対して画面を表示する。なお，本ステップ以降にＡＰにアクセスする場合には，前記Ｓ３０１６にて受信したＡＰの認証が完了していることを示すＩＤを，アプリケーションサーバ装置１２０に再度提示することで，ＡＰアクセス時の認証を省略するものとする（Ｓ３０１７，Ｓ８１４）。

以上で，アプリケーションサーバ装置１２０のＡＰ４２０のアクセス処理が完了する。なお，複数のＡＰが存在する場合には，図１２の手順を繰り返すことによって，２番目以降にアクセスしたＡＰも認証操作なしで利用できるようになる。

本実施形態では，上述のように，現行システムに，高度認証クライアントプログラム３３０，高度認証エージェントプログラム４３０，高度認証サーバ装置１４０を追加導入する。アプリケーション利用プログラム３２０やＡＰ４２０等を改良することなく，図１１及び図１２で説明した処理を実施することにより，高度な認証に移行できる構成となっているため，導入が非常に容易となる。

また，認証方法を高度なものに強化することにより，ＯＳのログイン認証をバイパスされた場合であっても，パスワードより高い安全性を確保することができる。

さらに，ＯＳのログオンと各ＡＰのアクセスにおける認証を範囲とするシングルサインオンを行うことにより，ユーザは認証操作を１回行うだけで，ＯＳのログインから複数のＡＰを利用できるようになる。

また，このシングルサインオンを実現するにあたり，利用者装置１１０，アプリケーションサーバ装置１２０，認証サーバ装置１３０には，入力用パスワードが記録されることはなく，安全である。また，照合用パスワードはハッシュ値あるいは暗号化された値で記録されているため，当該照合用パスワードが不正者によってアクセスされたとしても，図１３に示す仕組みと組み合わせることで，入力用パスワードを推測することは困難となる。

図１３は，図１０に示す，本実施形態に係る各装置で管理されている，パスワード更新の処理フローの詳細であり，図１１及び図１２の処理フローとは独立に実施される。また，パスワード管理サーバ装置１５０内には，パスワード管理用設定情報７４０とユーザＩＤ関連付け情報７５０が予め設定されているものとする。

図１３において，パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，当該パスワード管理プログラム７２０が以前にパスワード更新処理をした日時から一定期間が過ぎたタイミング，もしくは，当該パスワード管理プログラム７２０を管理する管理者が手動でパスワード更新するためのインタフェースを介してパスワード更新要求の操作を実行したタイミングで，パスワード更新に係る一連の処理を開始する。

一定期間が過ぎたタイミングで処理が開始される場合，すなわち，パスワードの更新主体がパスワード管理プログラム７２０である場合，Ｓ４００２に処理が移る。一方，管理者が手動でパスワードを更新する場合は，Ｓ４００３に処理が移る。なお，管理者が手動でパスワードを更新する場合とは，たとえば，各システムで記録されているパスワードが不整合を起こした場合など，緊急時の用途がある（Ｓ４００１）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，前記Ｓ４００１にてパスワードの更新処理が開始された場合に，乱数等からパスワードを生成する。なお，生成するパスワードは，利用者別に生成されるものとする。したがって，パスワードを更新するユーザが複数存在する場合は，ユーザの数だけパスワードが生成される。

また，生成されるパスワードは，パスワード管理用設定情報に含まれるパスワードポリシーに設定された条件を満たすものが生成されるものとする。このパスワードポリシーを厳しい条件にしておけば，人が覚えられないような複雑なパスワードを設定することが可能となり，通常の運用より推測困難となり，パスワード認証の安全性が向上させることができる。必要な分のパスワードの自動生成が完了したら，Ｓ４００５に処理が移る（Ｓ４００２）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，前記Ｓ４００１にてパスワードの更新処理が手動実行された場合に，パスワード入力画面を管理者に対して表示し，リセットしたいパスワードの値を要求する（Ｓ４００３）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，前記Ｓ４００３に応じて管理者が入力したパスワードの値を取得する（Ｓ４００４）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，パスワード更新を行うべき対象を読み込む。パスワードの更新対象は，当該パスワード管理サーバ装置１５０内に記録されているユーザＩＤ関連付け情報７５０に含まれるユーザＩＤを使用するシステムとなる。本実施例において，パスワードの更新対象は，ＯＳの照合用パスワード，各ＡＰの照合用パスワード，高度認証サーバ装置に格納されている入力用パスワードである（Ｓ４００５）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，前記Ｓ４００５で読み込んだパスワード更新対象となる装置のうち，まだパスワード更新を実施していない装置を１つ選択し，そのパスワード更新対象装置に対して，パスワードを更新するためのアクセス要求を送信する（Ｓ４００６，Ｓ１００１）。

パスワード更新対象装置のパスワード更新可能なインタフェースを持つパスワード更新プログラムは，前記Ｓ４００６にて送信されたアクセス要求を受信する。なお，パスワード更新プログラムは，本実施例における，ＯＳ３１０，ＡＰ４２０，認証プログラム５２０，高度認証サーバプログラム６２０が該当し，ＯＳ３１０，ＡＰ４２０，認証プログラム５２０については，本発明適用前の機能としてパスワード更新可能なインタフェースを持っているものとする（Ｓ４００７，Ｓ１００１）。

パスワード更新対象装置のパスワード更新プログラムは，前記Ｓ４００７にて受信したアクセス要求を受けて，パスワード管理サーバ装置１５０に，認証情報を要求するメッセージを送信する（Ｓ４００８，Ｓ１００２）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，前記Ｓ４００８にて送信された認証情報を要求する旨のメッセージを受信する（Ｓ４００９，Ｓ１００２）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，前記Ｓ４００９にて受信した認証情報の要求に対応する管理者用の認証情報を，パスワード更新対象装置に対して送信する。なお，パスワードの更新主体がプログラムの場合は，対応する管理者用の認証情報を，当該パスワード管理サーバ装置１５０のパスワード管理用設定情報７４０に含まれる各対象システムの管理者用認証情報から取得し，自動で当該管理者用認証情報を送信する。一方，パスワードの更新主体が管理者の場合は，管理者に認証情報の入力を要求する画面を表示し，管理者が入力した認証情報を，パスワード更新対象装置に対して送信する（Ｓ４０１０，Ｓ１００３）。

パスワード更新対象装置のパスワード更新プログラムは，前記Ｓ４０１０にて送信された管理者用認証情報を受信する（Ｓ４０１１，Ｓ１００３）。

パスワード更新対象装置のパスワード更新プログラムは，前記Ｓ４０１１にて受信した管理者用認証情報を用いて認証を行い，パスワードの更新権限を有していることを確認する（Ｓ４０１２）。

パスワード更新対象装置のパスワード更新プログラムは，前記Ｓ４０１２にて認証された結果を含むメッセージをパスワード管理サーバ装置１５０に送信する（Ｓ４０１３，Ｓ１００４）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，前記Ｓ４０１３にて送信された認証結果を含むメッセージを受信する。受信した認証結果が失敗であり，パスワード更新主体がプログラムである場合には，ここで処理を中断する。また，受信した認証結果が失敗であり，パスワード更新主体が管理者である場合には，認証に失敗した旨の画面を表示し，Ｓ４０１０に戻る。一方，受信した認証結果が成功していた場合は，Ｓ４０１５に処理が移る（Ｓ４０１４，Ｓ１００４）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，パスワード更新対象である利用者のパスワード更新対象装置に対応したユーザＩＤと，前記Ｓ４００２において自動生成されたパスワードもしくは前記Ｓ４００４にて取得したパスワードを，パスワード更新対象装置に送信する。対応したユーザＩＤについては，当該パスワード管理サーバ装置１５０内に記録されたユーザＩＤ関連付け情報７５０から取得するものとする（Ｓ４０１５，Ｓ１００５）。

パスワード更新対象装置のパスワード更新プログラムは，前記Ｓ４０１５にて送信されたユーザＩＤ及びパスワードを受信する（Ｓ４０１６，Ｓ１００５）。

パスワード更新対象装置のパスワード更新プログラムは，前記Ｓ４０１６にて受信したユーザＩＤ及びパスワードを用いて，当該装置内で管理しているパスワードを更新する（Ｓ４０１７）。

パスワード更新対象装置のパスワード更新プログラムは，前記Ｓ４０１７にてパスワードを更新した結果を含むメッセージをパスワード管理サーバ装置１５０に送信する（Ｓ４０１８，Ｓ１００６）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，前記Ｓ４０１８にて送信されたパスワード更新結果を含むメッセージを受信する（Ｓ４０１９，Ｓ１００６）。

パスワード管理サーバ装置１５０のパスワード管理プログラム７２０は，パスワード更新対象となる装置の中で，まだ更新していない対象の有無を確認する。まだ更新していない対象が存在するなら，Ｓ４００５に処理が移る。一方，すべての対象において更新が完了したのであれば，これにてパスワード更新処理は完了する（Ｓ４０２０）。

なお，複数の利用者のユーザＩＤ及びパスワードを更新する場合は，Ｓ４０１５にて一度に複数の利用者分の情報を送信する方法，Ｓ４０１５からＳ４０１９までのプロセスを利用者の数だけ繰り返す方法，あるいは，Ｓ４００１からＳ４０２０までのプロセスを利用者の数だけ繰り返す方法のいずれの方法であってもよい。

以上で，本実施形態に係る各装置で管理されているパスワードの更新処理が完了する。

図１３で説明したような処理フロー及び構成要素を実現することで，現行システムで使用されているアプリケーション利用プログラム３２０やＡＰ４２０等を改良することなく，パスワード管理サーバ装置１５０高度認証クライアントプログラム３３０，高度認証エージェントプログラム４３０，高度認証サーバ装置１４０及びパスワード管理サーバ装置１５０を追加導入する形で，高度な認証に移行できる構成となっているため，導入が非常に容易となる。

また，図１１及び図１２の実施形態にて認証方法を強化するために追加したプログラムの認証機能をバイパスして，本発明を適用する前から存在するパスワード認証を用いたプログラムに直接アクセスが行われた場合であっても，不正アクセスに対する耐性を高めることができる。さらに，パスワードを常時記録しておく必要のある高度認証サーバ装置についても，当該パスワードのユーザ自身ですら知らないパスワードに定期的に更新するため，安全性を保つことができる。また，ＯＳのパスワードと各ＡＰ用のパスワードを共通にすることで，パスワード管理に必要なデータサイズを削減することも可能である。

以上，図１１，図１２及び図１３の処理フロー及び構成要素を実現することで，導入容易性，安全性，利便性の向上という３つの要件を満たすことができる。

本実施例におけるシステム構成を例示する図である。 利用者装置，アプリケーションサーバ装置，認証サーバ装置，高度認証サーバ装置及びパスワード管理サーバ装置のハードウェア構成を例示する図である。 利用者装置のソフトウェア構成を例示する図である。 アプリケーションサーバ装置のソフトウェア構成を例示する図である。 認証サーバ装置のソフトウェア構成を例示する図である。 高度認証サーバ装置のソフトウェア構成を例示する図である。 パスワード管理サーバ装置のソフトウェア構成を例示する図である。 本実施形態を適用しないシステムにおける認証処理のフロー概要を例示する図である。 本実施形態を適用したシステムにおける認証処理のフロー概要を例示する図である。 本実施形態を適用したシステムにおけるパスワード更新処理のフロー概要を例示する図である。 本実施形態に係る利用者装置のログイン処理のフロー詳細を例示する図である。 本実施形態に係るアプリケーションサーバ装置のアクセス処理のフロー詳細を例示する図である。 本実施形態に係る各装置で管理されているパスワードの更新の処理フロー詳細を例示する図である。

符号の説明

１００：利用者，１１０：利用者装置，１２０：アプリケーションサーバ装置，１３０：認証サーバ装置，１４０：高度認証サーバ装置，１５０：パスワード管理サーバ装置，１６０：ネットワーク，２１０：入力装置，２２０：表示装置，２３０：ＣＰＵ，２４０：メモリ，２５０：記憶装置，２６０：通信装置，２７０：バス，３１０：オペレーティングシステム，３２０：アプリケーション利用プログラム，３３０：高度認証クライアントプログラム，３４０：ＯＳ用ユーザ情報，４１０：オペレーティングシステム，４２０：アプリケーションプログラム，４３０：高度認証エージェントプログラム，４４０：ＡＰ用ユーザ情報，５１０：オペレーティングシステム，５２０：認証プログラム，６１０：オペレーティングシステム，６２０：高度認証サーバプログラム，６３０：高度認証サーバ用ユーザ情報，７１０：オペレーティングシステム，７２０：パスワード管理プログラム，７４０：パスワード管理用設定情報，７５０：ユーザＩＤ関連付け情報

Claims (11)

1. 第一認証情報による認証処理を行う利用者装置と，第二認証情報による認証処理を行う第二認証サーバ装置と，を含む認証システムであって，
   前記利用者装置は，
   利用者から第二認証情報を取得し，
   取得した前記第二認証情報を前記第二認証サーバ装置に送信して，前記利用者の認証を依頼し，
   前記第二認証サーバ装置は，
   前記利用者装置から受信した前記第二認証情報に基づく前記利用者の認証処理を行い，
   前記認証処理結果と，前記認証に成功した場合の前記利用者に対応付けて記憶している第一認証情報と，を前記利用者装置に送信し，
   前記利用者装置は，
   前記第二認証サーバ装置から受信した前記第一認証情報に基づく認証処理結果を取得し，
   取得した前記第一認証情報による前記認証処理結果が成功を示している場合に，ログイン処理を行う
   ことを特徴とする認証システム。
2. 請求項１に記載の認証システムであって，
   さらに，アプリケーションサーバ装置を備え，
   前記利用者装置は，
   前記利用者から取得した前記第二認証情報を記憶し，
   前記第二認証サーバ装置から受信した前記第一認証情報に基づく前記認証処理結果を前記第二認証サーバ装置に送信し，
   前記ログイン処理後に，前記利用者から前記アプリケーションサーバ装置の利用要求を受け付け，前記アプリケーションサーバ装置に送信し，
   前記第二認証サーバ装置は，
   前記利用者装置に送信した前記第一認証情報に基づく前記認証処理結果を前記利用者装置から受信し，
   前記アプリケーションサーバ装置は，
   前記利用者装置から受信した利用要求に基づく前記認証処理要求を前記利用者装置に送信し，
   前記利用者装置は，
   前記アプリケーションサーバ装置から受信した前記認証処理要求に対して，記憶している，前記利用者の前記第二認証情報を前記アプリケーションサーバ装置に送信し，
   前記アプリケーションサーバ装置は，
   前記利用者装置から受信した前記第二認証情報を前記第二認証サーバ装置に送信して，前記利用者の認証を依頼し，
   前記第二認証サーバ装置は，
   前記利用者装置から受信した前記認証処理結果が成功である場合に，前記アプリケーションサーバ装置から受信した前記第二認証情報に基づく認証処理を行い，
   前記認証処理に成功した場合に，前記利用者に対応付けて記憶している前記第一認証情報を前記アプリケーションサーバ装置に送信し，
   前記アプリケーションサーバ装置は，
   前記第二認証サーバ装置から受信した前記第一認証情報に基づく，前記利用者の認証処理を行う
   ことを特徴とする認証システム。
3. 請求項１に記載の認証システムであって，
   前記利用者装置は，
   前記第二認証サーバ装置から受信した第一認証情報に基づく認証処理を行い，
   前記認証処理結果を取得する
   ことを特徴とする認証システム。
4. 請求項１に記載の認証システムであって，
   前記認証システムは，さらに，前記第一認証情報による認証処理を行う第一認証サーバ装置を備え，
   前記利用者装置は，
   前記第二認証サーバ装置から受信した前記第一認証情報を前記第一認証サーバ装置に送信し，
   前記第一認証サーバ装置は，
   前記利用者装置から受信した前記第一認証情報に基づく前記利用者の認証処理を行い，
   前記認証処理結果を前記利用者装置に送信し，
   前記利用者装置は，
   前記認証処理結果を取得する
   ことを特徴とする認証システム。
5. 請求項１に記載の認証システムであって，
   前記第一認証情報は，パスワードであり，前記第二認証情報は，生体情報である
   ことを特徴とする認証システム。
6. 認証システムに用いる，第一認証情報による認証処理を行う利用者装置であって，
   利用者から，第一認証情報とは異なる第二認証情報を取得し，
   取得した前記第二認証情報を，認証サーバ装置に送信して，前記利用者の認証を依頼し，
   前記認証サーバ装置から，依頼した前記認証に成功した結果として，前記利用者に対応付けられている前記第一認証情報を受信し，
   受信した前記第一認証情報に基づく認証処理結果が成功である場合に，ログイン処理を行う
   ことを特徴とする利用者装置。
7. 請求項６に記載の利用者装置であって，
   前記認証サーバ装置から受信した前記第一認証情報に基づく認証処理を行い，
   前記第一認証情報に基づく前記認証処理結果を取得する
   ことを特徴とする利用者装置。
8. 請求項６に記載の認証システムであって，
   前記認証システムは，さらに，前記第一認証情報による認証処理を行う第一認証サーバ装置を備え，
   前記第二認証サーバ装置から受信した前記第一認証情報を，前記第一認証情報による認証処理を行う他の認証サーバ装置に送信し，
   前記他の認証サーバ装置から，送信した前記第一認証情報に基づく前記認証処理結果を取得する
   ことを特徴とする利用者装置。
9. 認証システムに用いる，認証サーバ装置であって，
   利用者に対応付けられた，第一認証情報を記憶し，
   利用者装置から，前記利用者が入力した前記第二認証情報を受信し，
   前記第二認証情報による認証処理を行い，
   前記認証処理に成功した場合に，前記利用者に対応付けて記憶している前記第一認証情報を前記利用者に送信し，
   前記利用者装置から，送信した前記第一認証情報に基づく認証処理結果を受信する
   ことを特徴とする認証サーバ装置。
10. 請求項９に記載の認証サーバ装置であって，
    前記利用者装置から受信した，前記第一認証情報による前記認証処理結果が成功を示しており，さらに，他の装置から前記利用者の前記第二認証情報を伴う認証依頼を受信した場合に，
    前記第二認証情報による認証処理を行い，前記認証処理に成功した場合に，前記利用者に対応付けて記憶している前記第一認証情報を前記他の装置に送信する
    ことを特徴とする認証サーバ装置。
11. 第一認証情報による認証処理を行うアプリケーションサーバ装置であって，
    利用者装置から，利用要求と，前記第一認証情報とは異なる第二認証情報を受信した場合に，前記第二認証情報を認証サーバ装置に送信して，前記利用者の認証を依頼し，
    前記認証サーバ装置から，依頼した前記認証に成功した結果として，前記利用者に対応付けられている前記第一認証情報を受信し，
    受信した前記第一認証情報による認証処理を行い，
    前記認証処理に成功した場合に，前記利用要求を受け付ける
    ことを特徴とするアプリケーションサーバ装置。

Images