JP2011238036A - 認証システム、シングルサインオンシステム、サーバ装置およびプログラム - Google Patents

Abstract

【課題】本発明は、パソコンの設定環境を問わず、また、ユーザに認証用の物理デバイスを別途携帯させる必要のない新規な認証システムを提供することを目的とする。
【解決手段】サーバ装置は、クライアントＰＣのウェブブラウザから送信されたログイン要求に割り当てられたクライアントセッションＩＤを表示するクライアントセッションＩＤ表示情報を生成して前記ウェブブラウザに送信する手段と、携帯電話の個体識別番号を含むログイン情報を管理する手段とを含み、前記携帯電話は、前記クライアントセッションＩＤを入力する手段と、入力された前記クライアントセッションＩＤと前記個体識別番号を前記サーバ装置に送信する手段とを含み、前記サーバ装置は、前記携帯電話から受信した前記個体識別番号に基づいて前記クライアントセッションＩＤに対応するログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行する。
【選択図】図５

Description

本発明は、認証システムに関し、より詳細には、移動携帯端末を使用した認証システムに関する。

一般に、アクセス権限の設定されたＷｅｂアプリケーションを利用する場合、ユーザは、ログイン画面においてユーザＩＤとパスワードの入力を要求される。しかしながら、ユーザが記憶していられるほどの短い文字列をパスワードとしたのでは、専用のソフトウェアを使った総当たり攻撃や辞書攻撃によって容易になりすまされてしまう。この点につき、非特許文献１は、ハードウェアトークンを利用してユーザ認証を行うシングルサインオンシステムを開示する。

しかしながら、非特許文献１のシステムは、前提として、クライアントであるパソコンが、ハードウェアトークンと鍵管理サーバ間の通信を仲介し、鍵管理サーバから取り出した認証情報を各種サービスの認証機構へ渡す機能を備えるクライアントエージェントを搭載している必要があるため、たとえば、宿泊先のホテルでパソコンの貸出を受けて使用したり、他人のパソコンを借りて使用したりするユーザに対応することができない。また、ユーザに対してハードウェアトークンの常時携帯を強いることになるため、ユーザフレンドリーなシステムとは言い難い。

ハードウェアトークンと鍵管理サーバを用いたシングルサインオンシステムの開発，野林 大起，中村 豊，池永 全志，信学技報．vol.106，no.62，IA2006-2，pp7-12，2006年5月

本発明は、上記従来技術における課題に鑑みてなされたものであり、本発明は、パソコンの設定環境を問わず、また、ユーザにハードウェアトークンなど、認証用の物理デバイスを別途携帯させる必要のない新規な認証システムを提供することを目的とする。

本発明者らは、パソコンの設定環境を問わず、また、ユーザに認証用の物理デバイスを別途携帯させる必要のない新規な認証システムにつき鋭意検討した結果、人口普及率が約９０％の携帯電話と汎用ウェブブラウザを利用した認証システムの構成に想到し、本発明に至ったのである。すなわち、本発明によれば、ネットワークを介してクライアントＰＣに接続されるサーバ装置と、該サーバ装置と通信自在な前記クライアントＰＣのユーザが管理する移動携帯端末とを含む認証システムであって、前記サーバ装置は、前記クライアントＰＣのウェブブラウザから送信されたログイン要求に割り当てられたクライアントセッションＩＤを表示するクライアントセッションＩＤ表示情報を生成して前記ウェブブラウザに送信する手段と、前記移動携帯端末の個体識別番号をログイン情報として管理する手段とを含み、前記移動携帯端末は、前記クライアントセッションＩＤを入力する手段と、入力された前記クライアントセッションＩＤと前記個体識別番号を前記サーバ装置に送信する手段とを含み、前記サーバ装置は、前記移動携帯端末から受信した前記個体識別番号に基づいて前記クライアントセッションＩＤに対応するログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行する手段を含む認証システムが提供される。

また、本発明によれば、ネットワークを介してクライアントＰＣに接続されるサーバ装置と、該サーバ装置と通信自在な前記クライアントＰＣのユーザが管理する移動携帯端末とを含む認証システムであって、前記サーバ装置は、前記クライアントＰＣのウェブブラウザから送信されたログイン要求に応答してワンタイム・パスワードの入力フォームを含む認証ページを生成して前記ウェブブラウザに送信する手段と、第１のワンタイム・パスワードを生成して前記移動携帯端末に送信する手段と、前記移動携帯端末の個体識別番号をログイン情報として管理する手段とを含み、前記移動携帯端末は、モバイルブラウザと、第２のワンタイム・パスワードを生成する手段と、前記移動携帯端末の個体識別番号と前記第２のワンタイム・パスワードを前記サーバ装置に送信する手段とを含み、前記モバイルブラウザは、前記サーバ装置から受信した前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードを表示し、前記サーバ装置は、前記個体識別番号の送信元の前記移動携帯端末との間に生成されたモバイルセッションに割り当てられたモバイルセッションＩＤと、前記第１のワンタイム・パスワードと、前記第２のワンタイム・パスワードとを対応付けて一時記憶手段に記憶する手段と、前記ウェブブラウザから前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードを受信し、前記一時記憶手段を検索して該第１および第２のワンタイム・パスワードの組に対応付けられた前記モバイルセッションＩＤを取得し、該モバイルセッションＩＤに対応する個体識別番号に基づいて前記ログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行する手段とを含む認証システムが提供される。

また、本発明によれば、ネットワークを介してクライアントＰＣに接続されるサーバ装置と、該サーバ装置と通信自在な前記クライアントＰＣのユーザが管理する移動携帯端末とを含む認証システムであって、前記サーバ装置は、前記クライアントＰＣのウェブブラウザから送信されたログイン要求に応答して、ワンタイム・パスワードの入力フォームと前記ログイン要求に割り当てられたクライアントセッションＩＤを表示する情報を含む認証ページを生成して前記ウェブブラウザに送信する手段と、第１のワンタイム・パスワードを生成して前記移動携帯端末に送信する手段と、前記移動携帯端末の個体識別番号をログイン情報として管理する手段とを含み、前記移動携帯端末は、モバイルブラウザと、第２のワンタイム・パスワードを生成する手段と、前記移動携帯端末の個体識別番号と前記第２のワンタイム・パスワードを前記サーバ装置に送信する手段とを含み、前記モバイルブラウザは、前記サーバ装置から受信した前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードを表示し、前記サーバ装置は、前記個体識別番号の送信元の前記移動携帯端末との間に生成されたモバイルセッションに割り当てられたモバイルセッションＩＤと、前記第１のワンタイム・パスワードと、前記第２のワンタイム・パスワードとを対応付けて一時記憶手段に記憶する手段と、前記ウェブブラウザから受信した前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードの組に基づいて前記一時記憶手段を検索して該組に対応付けられた前記モバイルセッションＩＤを取得し、該モバイルセッションＩＤと前記ウェブブラウザのクライアントセッションＩＤを対応付けて一時記憶手段に記憶する手段と、前記移動携帯端末から受信した前記個体識別番号に基づいて前記ログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行する手段と、前記ログイン要求に割り当てられたクライアントセッションＩＤを表示する確認ダイアログを生成して前記モバイルブラウザに送信する手段と、前記確認ダイアログを介した承認応答を待ってログイン認証結果を前記クライアントＰＣに通知する手段とを含む認証システムが提供される。

さらに、本発明によれば、複数のサービスを提供する少なくとも１つのサービスサーバおよびクライアントＰＣにネットワークを介して接続される上記サーバ装置ならびに該サーバ装置と通信自在な前記クライアントＰＣのユーザが管理する移動携帯端末を含むシングルサインオンシステムであって、前記サーバ装置は、前記クライアントＰＣのウェブブラウザから送信されるサービスを指定したアクセス要求に応答してサービスサーバからログインページを取得する手段と、前記サービスサーバが提供するサービスにアクセスするためのログイン情報であって、共通鍵暗号方式によって暗号化されたログイン情報を管理する手段をさらに含み、前記移動携帯端末は、前記サーバ装置からの要求に応じて前記暗号化されたログイン情報を復号するための共通鍵を送信する手段をさらに含み、前記サーバ装置は、前記移動携帯端末から受信した共通鍵を使用して前記暗号化されたログイン情報を復号し、復号したログイン情報を前記サービスサーバから取得した前記ログインページに埋め込む手段と、前記ログイン情報が埋め込まれた前記ログインページを前記アクセス要求の送信元のクライアントＰＣのユーザのウェブブラウザに送信する手段とをさらに含むシングルサインオンシステムが提供される。

上述したように、本発明によれば、パソコンの設定環境を問わず、また、ユーザに認証用の物理デバイスを別途携帯させる必要のない新規な認証システムが提供される。

本発明の認証システムのネットワーク構成図。 第１の実施形態の認証システムの機能ブロック図。 第１の実施形態の認証システムのユーザ登録処理のシーケンス図。 第１の実施形態のユーザ登録画面を示す図。 第１の実施形態のログイン認証処理のシーケンス図。 第１の実施形態のログイン認証画面を示す図。 第２の実施形態の認証システムの機能ブロック図。 第２の実施形態の認証システムのログイン認証処理のシーケンス図。 第２の実施形態のログイン認証画面を示す図。 第３の実施形態の認証システムの機能ブロック図。 第３の実施形態のログイン認証処理のシーケンス図。 第３の実施形態のログイン認証画面および確認ダイアログを示す図。 本発明のシングルサインオンシステムのネットワーク構成図。 第４の実施形態のシングルサインオンシステムの機能ブロック図。 第４の実施形態のシングルサインオン処理のシーケンス図。 第４の実施形態のシングルサインオンサービス画面を示す図。

以下、本発明を図面に示した実施の形態をもって説明するが、本発明は、図面に示した実施の形態に限定されるものではない。なお、以下に参照する各図においては、共通する要素について同じ符号を用い、適宜、その説明を省略するものとする。

図１は、本発明の認証システムのネットワーク構成図を示す。本発明の認証システムは、インターネット１０を介してパーソナルコンピュータ２０（以下、クライアントＰＣ２０として参照する）に接続されるサーバ装置３０と、移動体通信網１２およびインターネット１０を介してサーバ装置３０と通信可能な移動携帯端末４０を含んで構成されている。本システムにおいて、クライアントＰＣ２０は、必ずしもユーザが所有・管理するものである必要はない。すなわち、本発明の認証システムは、たとえば、宿泊先のホテルの貸出用パソコンや外出先の他人のパソコンを使用して構築することができる。

一方、移動携帯端末４０は、ユーザが所有・管理するものであることを前提とする。本発明における移動携帯端末４０は、ＰＤＡやスマートフォンなどの移動情報端末として構成することができ、より好ましくは、普及率の高い高機能携帯電話として構成することができる。以下の説明においては、説明の便宜上、移動携帯端末４０を携帯電話４０として参照する。

図２は、本発明の第１の実施形態である認証システム１００の機能ブロック図を示す。クライアントＰＣ２０は、標準的なウェブブラウザ２２と表示装置２６を備える一般的なパーソナル・コンピュータであれば良く、認証システム１００においては、クライアントＰＣ２０に何らの追加的なアプリケーションをインストールする必要がない。

一方、本実施形態における携帯電話４０は、高機能携帯電話であり、記憶手段４１、表示手段４２、標準的なモバイルブラウザ４３ならびに標準的なＯＳを備え、移動体通信網１２およびインターネット１０を介してサーバ装置３０と通信可能に構成されている。携帯電話４０は、さらに、クライアントＰＣ２０の表示装置２６に表示されたクライアントセッションＩＤ表示情報を基にクライアントセッションＩＤを入力するためのクライアントセッションＩＤ入力部４４と、クライアントセッションＩＤ入力部４４から入力されたＣセッションＩＤと記憶手段４１に格納された携帯電話４０の個体識別番号を対応付けてネットワークサーバ３０に送信するためのサーバ通信部４５を含んで構成されている。

また、本実施形態におけるサーバ装置３０は、ユーザからの要求に応じてネットワークを通して各種サービスを提供するサービスサーバであり、ユーザ認証機能を備える。サーバ装置３０は、移動体通信網１２あるいはインターネット１０を介して携帯電話４０およびクライアントＰＣ２０のいずれとも通信可能に構成されおり、クライアントＰＣ通信部３３、移動携帯端末通信部３４、ログイン認証部３５を含んで構成されている。なお、本発明におけるサーバ装置は、サービスサーバに限定されず、他のサービスサーバに代行してユーザ認証を実行する認証専用サーバであってもよい。以下の説明においては、サーバ装置３０をサービスサーバ３０として参照する。

サービスサーバ３０は、クライアントＰＣ２０のウェブブラウザ２２から送信されたログイン要求に応答してクライアントセッションを生成し、これにクライアントセッションＩＤ（以下、ＣセッションＩＤとして参照する）を割り当てる。本実施形態におけるクライアントＰＣ通信部３３は、ＣセッションＩＤを表示するための情報を生成するクライアントセッションＩＤ表示情報生成部を含み、生成したクライアントセッションＩＤ表示情報をウェブブラウザ２２に送信する。

本実施形態におけるクライアントセッションＩＤ表示情報生成部は、クライアントセッションＩＤ表示情報をテキストデータとして生成することができる。その場合、ＣセッションＩＤを示す文字列がクライアントＰＣ２０のウェブブラウザ２２によって表示装置２６に表示される。ユーザは、表示装置２６に表示された文字列を見ながら、モバイルブラウザ４３に表示された入力フォームにこれを入力する。この場合、モバイルブラウザ４３がクライアントセッションＩＤ入力部４４をして機能する。一方、本実施形態においては、クライアントセッションＩＤ表示情報をＱＲコードとして生成することもできる。その場合、ＱＲコードがクライアントＰＣ２０のウェブブラウザ２２によって表示装置２６に表示される。ユーザは、表示装置２６に表示されたＱＲコードを携帯電話４０に標準搭載されたＱＲコードリーダで読み取り、クライアントセッションＩＤを取得する。この場合、ＱＲコードリーダがクライアントセッションＩＤ入力部４４をして機能する。

移動携帯端末通信部３４は、携帯電話４０からＣセッションＩＤと対応付けられて送信される携帯電話４０の個体識別番号を受信するため手段である。また、ログイン認証部３５は、携帯電話４０から受信した個体識別番号に基づいてクライアントＰＣ２０のユーザのログイン認証を実行する。さらに、サーバ装置３０は、ログイン情報管理部３１を備えており、ログイン情報管理部３１には、ユーザが所有・管理する携帯電話の個体識別番号と当該ユーザの識別情報（ユーザＩＤ）とが対応付けて管理されている。なお、本実施形態のユーザ認証においては、ユーザＩＤを使用せず、携帯電話の個体識別番号のみを認証情報として使用する。したがって、本実施形態においては、ユーザＩＤを、ユーザ登録時に自動的に連番を付与するなどしてサービスサーバ３０側で独自に設定することができる。携帯電話の個体識別番号は、携帯電話端末毎に付与される一意情報であり、且つ、そのユーザのみが提供しうる情報という前提があるので、これを単独でユーザの認証情報とするものである。以上、本実施形態の認証システム１００の基本構成について説明してきたが、次に、本システムにおけるユーザ登録処理について、以下説明する。

図３は、第１の実施形態である認証システム１００におけるユーザ登録処理のシーケンス図を示す。クライアントＰＣ２０のユーザがウェブブラウザ２２からサービスサーバ３０に対して新規ユーザ登録を要求すると（ステップ１０１)、サービスサーバ３０において、クライアントセッションが生成され、ＣセッションＩＤが割り当てられる（ステップ１０２)。これに伴って、ＣセッションＩＤおよびユーザ登録実行用のＵＲＬを埋め込んだＱＲコードを生成する（ステップ１０３)。サービスサーバ３０は、生成したＱＲコードを表示するページ（以下、ＱＲコード表示ページとして参照する）を生成し（ステップ１０４）、クライアントＰＣ２０のウェブブラウザ２２に送信する（ステップ１０５)。

ウェブブラウザ２２は、受信したＱＲコード表示ページを表示装置２６に表示する（ステップ１０６)。図４（ａ）は、表示されたＱＲコード表示ページを示す。図４（ａ）に示す例においては、ＱＲコード表示ページがユーザ登録フォームとして構成されており、ユーザの書誌事項を入力するためのボックスとともに、ＱＲコード（すなわち、ＣセッションＩＤ表示情報）が表示され、「必要事項の入力が完了したらＱＲコードをお手持ちの携帯電話で読み取ってください」という案内が添えられている。

ユーザが自身の携帯する携帯電話４０に搭載されたＱＲコードリーダを起動し、案内に従ってクライアントＰＣ２０の表示装置２６に表示されたＱＲコードを読み取ると、ＱＲコードリーダがＱＲコードを解析してＣセッションＩＤとユーザ登録実行用のＵＲＬを取得し（ステップ１０７）、図４（ｂ）に示されるように、携帯電話４０の表示手段４２にユーザ登録実行用のＵＲＬを表示する（ステップ１０８）。

ユーザが携帯電話４０を操作して表示手段４２に表示された「送信」アイコンを選択すると、これに応答して、携帯電話４０は、ユーザ登録フォームに入力された書誌情報と、ＱＲコードを解析して取得したＣセッションＩＤと、携帯電話４０の個体識別番号とを関連付けてサービスサーバ３０に送信する（ステップ１０９)。

サービスサーバ３０は、受信したＣセッションＩＤに基づいて新規ユーザ登録要求のクライアントセッションを検出するとともに（ステップ１１０)、ユーザＩＤを自動的に付与し（ステップ１１１)、当該ユーザＩＤと受信した個体識別番号を対応付けてログイン情報管理部３１に格納した後（ステップ１１２)、検出したクライアントセッション内でウェブブラウザ２２に対してユーザ登録が完了した旨を通知する（ステップ１１３)。なお、本実施形態においては、自動付与したユーザＩＤは、サービスサーバ３０内のみで利用・管理され、ユーザには通知されない。

本実施形態においては、ユーザ登録完了通知とともに、本システムを利用するために必要な専用アプリケーションのダウンロード用リンクを含むページがサービスサーバ３０から携帯電話４０に表示される。図４（ｃ）は、携帯電話４０に表示された専用アプリケーションダウンロード用ページを示す。ユーザが「Down Load」アイコンをクリックすると、携帯電話４０からダウンロード要求がサービスサーバ３０に送信される（ステップ１１４)。これに応答してサービスサーバ３０は、携帯電話４０に専用アプリケーションを送信し（ステップ１１５)、携帯電話４０がこれをインストールする（ステップ１１６)。なお、新規ユーザ登録処理は上述した方法に限定されるものではなく、サービスサーバ３０の管理者が、ユーザから提出された登録申請書等に基づいて、ユーザが所有・管理する携帯電話の個体識別番号に対してユーザＩＤを対応付けてログイン情報管理部３１に手入力で登録することもできる。以上、第１の実施形態における新規ユーザ登録処理について説明してきたが、次に、第１の実施形態におけるログイン認証処理について説明する。

以下、ユーザが「ＡＢＣネットバンク」というサービスを提供するサービスサーバ３０にログインする場合を例にとって説明する。図５は、第１の実施形態である認証システム１００におけるログイン認証処理のシーケンス図を示す。ユーザが「ＡＢＣネットバンク」のホームページにアクセスすると、図６（ａ）に示す「ＡＢＣネットバンク」のログインページが表示される。ユーザがログインページに表示された「ログイン」アイコンをクリックして、サービスサーバ３０に対してログイン認証を要求すると（ステップ２０１)、サービスサーバ３０において、クライアントセッションが生成され、ＣセッションＩＤが割り当てられる（ステップ２０２)。これに伴って、ＣセッションＩＤおよびログイン認証実行用ＵＲＬを埋め込んだＱＲコードが生成される（ステップ２０３)。サービスサーバ３０は、生成されたＱＲコードを表示する認証ページを生成し（ステップ２０４）、ウェブブラウザ２２に送信する（ステップ２０５)。

ウェブブラウザ２２は、受信した認証ページを表示装置２６に表示する（ステップ２０６)。本実施形態においては、認証ページをポップアップウィンドウあるいは別ウィンドウで表示させることができる。図６（ａ）は、認証ページが重ねて表示された「ＡＢＣネットバンク」のログインページを示す。図６（ａ）に示されるように、認証ページには、ＣセッションＩＤおよびログイン認証実行用ＵＲＬを埋め込んだＱＲコード（すなわち、ＣセッションＩＤ表示情報）とともに、「ＱＲコードをお手持ちの携帯電話で読み取ってください」という案内が表示されている。

ユーザが自身の携帯する携帯電話４０に搭載されたＱＲコードリーダを起動し、案内に従ってクライアントＰＣ２０の表示装置２６に表示されたＱＲコードを読み取るとＱＲコードリーダがＱＲコードを解析してセッションＩＤとログイン認証実行用ＵＲＬを取得し（ステップ２０７）、図６（ｂ）に示されるように、携帯電話４０の表示手段４２にログイン認証実行用ＵＲＬを表示する（ステップ２０８）。

ユーザが携帯電話４０を操作して表示手段４２に表示された「送信」アイコンを選択すると、これに応答して、携帯電話４０は、ＱＲコードを解析して取得したＣセッションＩＤと携帯電話４０の個体識別番号とを関連付けてサービスサーバ３０に送信する（ステップ２０９)。

サービスサーバ３０は、受信したＣセッションＩＤに基づいてログイン認証要求のクライアントセッションを検出するとともに（ステップ２１０)、受信した個体識別番号に基づいてログイン情報管理部３１を照合する（ステップ２１１)。その結果、携帯電話４０から受信した個体識別番号がログイン情報管理部３１に格納されていた場合にはログインが成功した旨を、格納されていない場合にはログインが失敗した旨を、ステップ２０２で検出したクライアントセッション内でウェブブラウザ２２に通知する（ステップ２１２)。以上、説明したように、本実施形態においては、携帯電話４０の個体識別番号のみを認証情報として使用するため、ユーザは、認証情報としてユーザＩＤやパスワードを記憶しておく必要から開放される。

次に、本発明の第２の実施形態について説明する。図７は、第２の実施形態の認証システム２００の機能ブロック図を示す。なお、以下の説明においては、重複する事項については、適宜、その説明を省略するものとする。本実施形態における携帯電話４０は、標準的なモバイルブラウザ４３と、乱数を生成するワンタイム・パスワード生成部４６と、サーバ通信部４７を含んで構成されている。サーバ通信部４７は、ワンタイム・パスワード生成部４６が生成するワンタイム・パスワードと記憶手段４１に格納される個体識別番号を関連付けてサービスサーバ３０に送信するとともに、サービスサーバ３０に対してワンタイム・パスワード表示ページを要求する手段である。また、モバイルブラウザ４３は、サービスサーバ３０から受領したワンタイム・パスワード表示ページを表示手段４２に表示する。

本実施形態におけるサービスサーバ３０は、クライアントＰＣ通信部３６、移動携帯端末通信部３７、乱数を発生するワンタイム・パスワード生成部３８、ログイン認証部３９を含んで構成されている。

クライアントＰＣ通信部３６は、クライアントＰＣ２０のウェブブラウザ２２から送信されたログイン要求に応答してワンタイム・パスワードの入力フォームを生成するワンタイム・パスワード入力フォーム生成部を含み、生成したワンタイム・パスワード入力フォームを認証ページとしてウェブブラウザ２２に送信する。また、クライアントＰＣ通信部３６は、生成したワンタイム・パスワード入力フォームを介してウェブブラウザ２２から送信されるワンタイム・パスワードを受信してログイン認証部３９に渡す。

移動携帯端末通信部３７は、携帯電話４０から送信されるワンタイム・パスワードと個体識別番号を受信する。また、移動携帯端末通信部３７は、携帯電話４０からの要求に応答してワンタイム・パスワード表示情報を生成するワンタイム・パスワード生成部３８を備え、生成されたワンタイム・パスワードをモバイルブラウザ４３に送信する。さらに、移動携帯端末通信部３７は、携帯電話４０から送信されるワンタイム・パスワードと、ワンタイム・パスワード生成部３８が生成したワンタイム・パスワードと、携帯電話４０とクライアントＰＣ２０との間に生成されたモバイルセッションのセッションＩＤ（以下、ＭセッションＩＤとして参照する）とを対応付けて一時記憶手段５０に格納する。

ログイン認証部３９は、ウェブブラウザ２２から受信した第１のワンタイム・パスワードと第２のワンタイム・パスワードの組に基づいて一時記憶手段５０を検索して、当該ワンタイム・パスワードの組に対応付けられたＭセッションＩＤを取得し、当該ＭセッションＩＤに基づいて携帯電話４０から受信した個体識別番号を検出し、当該個体識別番号を使用してクライアントＰＣ２０のユーザのログイン認証を実行する。以上、本実施形態の認証システム２００の基本構成について説明してきたが、次に、本システムにおけるログイン認証処理について、以下説明する。

以下の説明においても、ユーザが「ＡＢＣネットバンク」というサービスを提供するサービスサーバ３０にログインする場合を例にとる。図８は、第２の実施形態である認証システム２００におけるログイン認証処理のシーケンス図を示す。ユーザが「ＡＢＣネットバンク」のホームページにアクセスすると、図９（ａ）に示す「ＡＢＣネットバンク」のフロントページが表示される。ユーザがフロントページに表示された「ログイン」アイコンをクリックし、サービスサーバ３０に対してログイン認証を要求すると（ステップ３０１)、サービスサーバ３０において、クライアントセッションが生成され、ＣセッションＩＤが割り当てられる（ステップ３０２)。さらに、サービスサーバ３０は、携帯電話４０が生成するワンタイム・パスワード（以下、携帯認証用１ＴＰＷとして参照する）およびサービスサーバ３０が生成するワンタイム・パスワード（以下、サーバ認証用１ＴＰＷとして参照する）を入力するための入力フォームが設けられた認証ページを生成し（ステップ３０３)、これをウェブブラウザ２２に送信する（ステップ３０４)。サービスサーバ３０から認証ページを受信したウェブブラウザ２２はこれを表示する（ステップ３０５)。

図９（ａ）は、認証ページが重ねて表示された「ＡＢＣネットバンク」のログインページを示す。図９（ａ）に示されるように、認証ページには、「携帯電話に表示されたパスワードを入力してください」という案内の下に、携帯認証用１ＴＰＷ（パスワード１）およびサーバ認証用１ＴＰＷ（パスワード２）を入力するための入力フォームが表示されている。

クライアントＰＣ２０に認証ページが表示されると（あるいは、認証ページが表示される前に予め）、ユーザは、自身が携帯する携帯電話４０にインストールされた専用アプリケーションを起動する。専用アプリケーションは、起動されると自動的に携帯認証用１ＴＰＷを生成し（ステップ３０６）、携帯認証用１ＴＰＷと携帯電話４０の個体識別番号を関連付けてサービスサーバ３０に送信するとともに（ステップ３０７)、サービスサーバ３０に対してサーバ認証用１ＴＰＷを要求する（ステップ３０８)。

携帯電話４０からサーバ認証用１ＴＰＷ要求を受信したサービスサーバ３０は、モバイルセッションを生成し、モバイルセッションＩＤ（以下、ＭセッションＩＤとして参照する）を割り当てる（ステップ３０９)。さらに、サービスサーバ３０は、サーバ認証用１ＴＰＷを生成し（ステップ３１０)、これを携帯電話４０に送信する（ステップ３１１)。さらに、サービスサーバ３０は、携帯電話４０から受信した携帯認証用１ＴＰＷとサービスサーバ３０が生成したサーバ認証用１ＴＰＷとをステップ３０９で割り当てたＭセッションＩＤに対応付けて一時記憶手段５０に格納する（ステップ３１２)。

サービスサーバ３０からサーバ認証用１ＴＰＷを受信した携帯電話４０は、受信したサーバ認証用１ＴＰＷと自身が生成した携帯認証用１ＴＰＷを共に表示手段４２に表示する（ステップ３１３）。図９（ｂ）は、２つのワンタイム・パスワードが表示された携帯電話４０の表示画面を示す。図９（ｂ）に示されるように、携帯電話４０の表示画面には、「下記パスワードをパソコンに入力してください」という案内の下に、携帯電話４０が生成した携帯認証用１ＴＰＷ（パスワード１「1234」）とサービスサーバ３０が生成したサーバ認証用１ＴＰＷ（パスワード２「5678」）が表示されている。

ユーザは、携帯電話４０の表示画面を見ながら、図９（ａ）に示すクライアントＰＣ２０に表示された認証ページの入力フォームにパスワード１「1234」およびパスワード２「5678」を入力し、「送信」アイコンを選択する。「送信」アイコンの選択に応答して、クライアントＰＣ２０は、入力された携帯認証用１ＴＰＷ（パスワード１）とサーバ認証用１ＴＰＷ（パスワード２）を関連付けてサービスサーバ３０に送信する（ステップ３１４)。

携帯認証用１ＴＰＷとサーバ認証用１ＴＰＷを受信したサービスサーバ３０は、２つのパスワードの組に基づいて一時記憶手段５０を検索し、当該パスワードの組に対応付けて格納されたＭセッションＩＤを取得する（ステップ３１５）。次に、サービスサーバ３０は、取得したＭセッションＩＤに基づいて、ステップ３０７で携帯電話４０から受信した個体識別番号を検出し（ステップ３１６）、当該個体識別番号がログイン情報管理部３１に登録されているか否か照合する（ステップ３１７）。携帯電話４０から受信した個体識別番号がログイン情報管理部３１に登録されている場合にはログインが成功した旨を、登録されていない場合にはログインが失敗した旨を、ステップ３０２で検出したクライアントセッション内でウェブブラウザ２２に通知する（ステップ３１８）。

次に、本発明の第３の実施形態について説明する。図１０は、第３の実施形態の認証システム３００の機能ブロック図を示す。本実施形態においては、クライアントＰＣ通信部３６がさらにＣセッションＩＤを表示するための情報（テキスト情報）を生成するクライアントセッションＩＤ表示情報生成部を含む。クライアントＰＣ通信部３６は、クライアントセッションＩＤ表示情報生成部が生成したクライアントセッションＩＤ表示情報とワンタイム・パスワード入力フォームを併せて認証ページを生成し、これをウェブブラウザ２２に送信する。

本実施形態においては、ログイン認証部３９は、移動携帯端末通信部３７が受信した携帯電話４０の個体識別番号に基づいてログイン情報管理部３１を検索し、当該個体識別番号が登録されているか否かを判断する。個体識別番号が登録されている場合には、その旨を移動携帯端末通信部３７に通知する。本実施形態における移動携帯端末通信部３７は、さらに確認ダイアログ生成部を含み、確認ダイアログ生成部は、上記通知を受けてクライアントセッションＩＤ表示情報生成部が生成したクライアントセッションＩＤ表示情報を表示する確認ダイアログを生成して携帯電話４０に送信する。移動携帯端末通信部３７は、確認ダイアログを介した携帯電話４０からのログイン承認応答をログイン認証部３９に通知し、ログイン認証部３９は、移動携帯端末通信部３７からの通知を待ってログイン認証結果をクライアントＰＣ通信部３６に渡し、クライアントＰＣ通信部３６がこれをクライアントＰＣ２０に通知する。図１０に示すその他の機能部については、図７について説明したのと同様であるので、これ以上の説明は省略する。

図１１は、第３の実施形態である認証システム３００におけるログイン認証処理のシーケンス図を示す。なお、図１１においては、図８に示した認証システム２００と共通する処理フローについては、同じステップ番号を付してその説明を省略するものとし、ここでは、異なる処理についてのみ説明する。

クライアントＰＣ２０のユーザが「ＡＢＣネットバンク」のフロントページに表示された「ログイン」アイコンをクリックしてサービスサーバ３０に対してログイン認証を要求すると、サービスサーバ３０は、クライアントセッションを生成してＣセッションＩＤを割り当てるとともに認証ページを生成する（ステップ３０３−１）。本実施形態における認証ページは、携帯認証用１ＴＰＷとサーバ認証用１ＴＰＷの入力フォームに加え、ＣセッションＩＤを表示する情報（テキスト情報）を表示するように生成される。生成された認証ページは、ウェブブラウザ２２に送信され、表示装置２６に表示される（ステップ３０５−１）。図１２（ａ）は、クライアントＰＣ２０に表示された認証ページを示し、図１２（ｂ）は、携帯電話４０に表示された１ＴＰＷ表示ページを示す。図１２（ａ）に示されるように、本実施形態における認証ページには、携帯認証用１ＴＰＷとサーバ認証用１ＴＰＷの入力フォームに加え、ＣセッションＩＤ「abcdefgh」が表示されている。

本実施形態において、サービスサーバ３０は、ステップ３０７で送信された個体識別番号を受信すると、当該個体識別番号がログイン情報管理部３１に登録されているか否か照合する（ステップ３０８−１）。携帯電話４０から受信した個体識別番号がログイン情報管理部３１に登録されていない場合には処理をそのまま終了し、登録されている場合には、モバイルセッションを生成し、ＭセッションＩＤを割り当てる（ステップ３０９)。

本実施形態において、サービスサーバ３０は、ステップ３１５で取得したＭセッションＩＤとクライアントＰＣ２０のＣセッションＩＤとを関連付けて一時記憶手段５０に格納する（ステップ３１５−２）。すなわち、本実施形態においては、サービスサーバにアクセス権限を有するユーザの携帯電話のセッションとクライアントＰＣ２０のセッションが一時記憶手段５０において関連付けられて管理される。なお、一時記憶手段５０は、セッション管理データベースとして構成することができる。さらに、サービスサーバ３０は、ＭセッションＩＤに関連付けられたＣセッションＩＤの表示情報を含む確認ダイアログを生成する（ステップ３１５−３)。サービスサーバ３０は、ステップ３１５で取得したＭセッションＩＤが示すモバイルセッション内で生成した確認ダイアログを携帯電話４０に送信する（ステップ３１５−４)。サービスサーバ３０から確認ダイアログを受信した携帯電話４０は、これを表示する（ステップ３１５−５)。

図１２（ｃ）は、携帯電話４０において、１ＴＰＷ表示ページの上に確認ダイアログが重ねて表示された態様を示す。確認ダイアログには、ＣセッションＩＤ「abcdefgh」が表示され、「パソコン画面に表示されたセッションＩＤと同じですか？」という問いかけとともに、選択アイコン（「はい」、「いいえ」）が表示されている。ユーザは、図１２（ａ）に示したクライアントＰＣ２０に表示された認証ページに表示されたＣセッションＩＤ「abcdefgh」と、図１２（ｃ）に示した携帯電話４０の確認ダイアログに表示されたＣセッションＩＤ「abcdefgh」を比較する。図１２に示す例においては、両画面に表示されたＣセッションＩＤが同じなので、ユーザは、携帯電話４０の確認ダイアログの「はい」アイコンを選択する。これに応答して、携帯電話４０は、サービスサーバ３０に承認応答を通知する（ステップ３１５−６)。サービスサーバ３０は、この間、携帯電話４０からの承認応答を待機しており、上記承認応答を受領すると、一時記憶手段５０を検索して承認応答のＭセッションＩＤに対応するＣセッションＩＤを取得し、当該ＣセッションＩＤに基づいてクライアントセッションを検出して（ステップ３１５−７）、当該クライアントセッション内で認証結果（ログイン成功）をクライアントＰＣ２０に通知する（ステップ３１８)。以上、第１〜第３の実施形態をもって、本発明の認証システムについて説明してきたが、上述した本発明の認証の手法は、シングルサインオンシステムに拡張することができる。この点について、本発明の第４の実施形態として、以下説明する。

図１３は、本発明のシングルサインオンシステムのネットワーク構成図を示す。シングルサインオンシステムにおいては、シングルサインオンサーバ６０がインターネット１０を介してサービスサーバ３０に接続されている。ユーザは、１つまたは複数のサービスサーバ３０によって提供される複数のサービスについて利用権限を有しており、各サービスに設定されたログイン情報（認証情報）は全て異なる。

図１４は、本発明の第４の実施形態であるシングルサインオンシステム４００の機能ブロック図を示す。第１〜第３の実施形態においては、サービスの提供主体であるサービスサーバ３０が自らユーザ認証を実行する場合について説明してきたが、シングルサインオンシステム４００においては、複数のサービスサーバ３０に対するユーザ認証をシングルサインオンサーバ６０が一括して代行する。なお、シングルサインオンサーバ６０は、上述した第３の実施形態に示したのと同様のログインのための構成を備えるが、説明の便宜上、図１４においては、適宜、その図示および説明を省略するものとする。

シングルサインオンサーバ６０は、第３の実施形態について説明した構成に加え、シングルサインオン制御部５２と、サービスログイン情報管理部５３と、サービスサーバ通信部５４とを含んで構成されている。サービスログイン情報管理部５３においては、各サービスにアクセスするためのログイン情報（ユーザＩＤ、パスワード等）が共通鍵暗号方式によって暗号化され、各サービスに付与された識別情報（サービスＩＤ）とユーザＩＤに対応付けられて管理されている。

サービスログイン情報管理部５３に格納された暗号化されたログイン情報の復号鍵（共通鍵）は、各ユーザによって秘匿されているので、シングルサインオンサーバ６０の管理者をはじめとする第三者からユーザのログイン情報は保護される。ユーザは、サービスサーバ３０が提供する複数のサービスを利用するに際して、シングルサインオンサーバ６０にさえログインすれば、サービス毎に異なる認証情報を入力することなく、自動的にログインすることができる。

サービスサーバ通信部５４は、サービスログインページ取得部を含む。サービスログインページ取得部は、ウェブブラウザ２２から送信されるサービスを指定したアクセス要求に応答してサービスサーバ３０からログインページを取得する。また、本実施形態における移動携帯端末通信部３７は、携帯電話４０に対して共通鍵を要求し、これを取得する共通鍵取得部を含む。また、シングルサインオン制御部５２は、サービスログイン情報埋込部を含む。サービスログイン情報埋込部は、サービスログイン情報管理部５３からアクセス要求に対応する暗号化されたサービスログイン情報を取得し、これを共通鍵取得部が取得した共通鍵で復号した上で、これをサービスサーバ３０から取得したサービスログインページに埋め込む。サービスログイン情報を埋め込まれたサービスログインページは、クライアントＰＣ通信部３６のサービスログインページ送信部によってウェブブラウザ２２に送信される。

なお、本実施形態において、一時記憶手段５０は、携帯電話４０とシングルサインオンサーバ６０との間に生成されたモバイルセッションのＭセッションＩＤとクライアントＰＣ２０とシングルサインオンサーバ６０との間に生成されたクライアントセッションのＣセッションＩＤを対応付けて格納する。以上、本実施形態のシングルサインオンシステム４００の基本構成について説明してきたが、次に、本システムにおけるシングルサインオン処理について、以下説明する。

図１５は、シングルサインオンシステム４００のシングルサインオン処理のシーケンス図を示す。なお、図１５においては、図１１に示した認証システム３００と共通する処理フローについては、同じステップ番号を付してその説明を省略する。ユーザは、まず、クライアントＰＣ２０からシングルサインオンサーバ６０が提供するシングルサインオンサービスに対しログイン認証要求を送信する（ステップ３０１)。シングルサインオンサーバ６０は、図１１に示したのと同様の手順でログイン認証処理を実行し、認証結果をクライアントＰＣ２０に通知する（ステップ３１８)。上述したログイン認証処理を経た後、クライアントＰＣ２０とシングルサインオンサーバ６０とのクライアントセッション（ＣセッションＩＤ）および携帯電話４０とシングルサインオンサーバ６０とのモバイルセッション（ＭセッションＩＤ）は、一時記憶手段５０（以下、セッション管理データベースとして参照する）において関連付けられて管理される（ステップ３１５−２）。

シングルサインオンサーバ６０は、ログイン認証に成功したユーザのクライアントＰＣ２０に対してサービスリストページを送信し（ステップ５１０)、クライアントＰＣ２０は、これを表示する（ステップ５１１)。図１６（ａ）は、クライアントＰＣ２０に表示されたサービスリストページを示す。サービスリストページには、ユーザがシングルサインオンを利用することができる各種サービスのアイコンが表示されており、ユーザは、アイコンをクリックすることによって所望のサービス選択することができるように構成されている。

仮に、ユーザが「ＯＰＱネット証券」のアイコンをクリックしたとすると、「ＯＰＱネット証券」のサービスの識別情報（以下、サービスＩＤとして参照する）を指定したアクセス要求がシングルサインオンサーバ６０に送信される（ステップ５１２)。ここで、シングルサインオンサーバ６０のサービスログイン情報管理部５３においては、ユーザＩＤに対して少なくとも１つのサービスＩＤが関連付けられ、各サービスＩＤに対して、対応するサービス（サービスサーバ３０）を指定するＵＲＬとそのサービスの暗号化されたログイン情報（たとえば、ユーザＩＤおよびパスワード等）が関連付けられて管理されている。シングルサインオンサーバ６０は、アクセス要求に含まれるサービスＩＤに基づいてサービスログイン情報管理部５３を検索することによって、「ＯＰＱネット証券」のサービスを提供するサービスサーバ３０のＵＲＬを特定し、当該サービスサーバ３０に対してログインページを要求する（ステップ５１３)。サービスサーバ３０は、これを受けてシングルサインオンサーバ６０に「ＯＰＱネット証券」のログインページを送信する（ステップ５１４)。

次に、シングルサインオンサーバ６０は、セッション管理データベースを検索し、アクセス要求を送ってきたクライアントＰＣ２０に関連付けられた携帯電話４０（すなわち、アクセス要求を送ってきたクライアントＰＣ２０のユーザが携帯する携帯電話）のモバイルセッションを特定し、当該モバイルセッション内で携帯電話４０に対して共通鍵を要求し（ステップ５１５)、携帯電話４０は、当該要求に応答して、記憶手段４１に格納された共通鍵をシングルサインオンサーバ６０に送信する（ステップ５１６)。

シングルサインオンサーバ６０は、携帯電話４０から共通鍵を受信すると、セッション管理データベースを検索して、共通鍵を送ってきた携帯電話４０に関連付けられたクライアントＰＣ２０（すなわち、携帯電話４０を携帯するユーザが操作するクライアントＰＣ）のアクセス要求を特定し、当該アクセス要求に含まれるサービスＩＤに基づいてサービスログイン情報管理部５３を検索することによって、「ＯＰＱネット証券」のサービスの暗号化されたログイン情報（ユーザＩＤおよびパスワード）を検出し、これをステップ５１６で携帯電話４０から受信した共通鍵で復号する（ステップ５１７）。

シングルサインオンサーバ６０は、復号したログイン情報をステップ５１４でサービスサーバ３０から取得した「ＯＰＱネット証券」のログインページに埋め込む（ステップ５１８)。続いて、シングルサインオンサーバ６０は、セッション管理データベースを検索して特定したアクセス要求元のクライアントＰＣ２０に対してログイン情報埋込み済サービスログインページを送信する（ステップ５１９)。クライアントＰＣ２０のウェブブラウザ２２は、受信した「ＯＰＱネット証券」のログインページを表示する（ステップ５２０)。図１６（ｂ）は、クライアントＰＣ２０に表示された「ＯＰＱネット証券」のログインページを示す。図１６（ｂ）に示されるように、「ＯＰＱネット証券」のログインページにおけるユーザＩＤおよびパスワードの入力ボックスは、表示された時点で既に埋まっており、ユーザは新たにログイン情報を入力する必要がない。ユーザが「ログイン」アイコンをクリックすると、ログインページに埋め込まれたログイン情報がサービスサーバ３０に送信され（ステップ５２１)、サービスサーバ３０においてユーザ認証が成功してサービスが開始される（ステップ５２２)。

以上、説明したように、本発明の認証システムによれば、ユーザは、ユーザＩＤやパスワードを覚えておく必要性から解放される。また、本発明の認証システムは、人口普及率が約９０％の携帯電話と汎用ウェブブラウザを利用して構築することができ、本発明によれば、ユビキタスなサービス環境をユーザに提供することが可能になる。

以上、本発明について実施形態をもって説明してきたが、本発明は上述した実施形態に限定されるものではない。たとえば、上述した第２の実施形態において、図８におけるステップ３１５の後に、携帯認証用1ＴＰＷとサーバ認証用1ＴＰＷの組に対応するモバイルセッションＩＤと上記２つの1ＴＰＷを送信するウェブブラウザのクライアントセッションＩＤと対応付けて一時記憶手段に記憶するステップを挿入することができ、そのように構成することによって、第２の実施形態のサーバ装置を第４に実施形態として示したシングルサインオンサーバに拡張することができる。その他、当業者が推考しうる実施態様の範囲内において、本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

１０…インターネット
１２…移動体通信網
２０…パーソナルコンピュータ（クライアントＰＣ）
２２…ウェブブラウザ
２６…表示装置
３０…サーバ装置（サービスサーバ）
３１…ログイン情報管理部
３３…クライアントＰＣ通信部
３４…移動携帯端末通信部
３５…ログイン認証部
３６…クライアントＰＣ通信部
３７…移動携帯端末通信部
３８…ワンタイム・パスワード生成部
３９…ログイン認証部
４０…移動携帯端末（携帯電話）
４１…記憶手段
４２…表示手段
４３…モバイルブラウザ
４４…クライアントセッションＩＤ入力部
４５…サーバ通信部
４６…ワンタイム・パスワード生成部
４７…サーバ通信部
５０…一時記憶手段
５２…シングルサインオン制御部
５３…サービスログイン情報管理部
５４…サービスサーバ通信部
６０…シングルサインオンサーバ
１００，２００，３００…認証システム
４００…シングルサインオンシステム

Claims (12)

1. ネットワークを介してクライアントＰＣに接続されるサーバ装置と、該サーバ装置と通信自在な前記クライアントＰＣのユーザが管理する移動携帯端末とを含む認証システムであって、
   前記サーバ装置は、
   前記クライアントＰＣのウェブブラウザから送信されたログイン要求に割り当てられたクライアントセッションＩＤを表示するクライアントセッションＩＤ表示情報を生成して前記ウェブブラウザに送信する手段と、
   前記移動携帯端末の個体識別番号をログイン情報として管理する手段とを含み、
   前記移動携帯端末は、
   前記クライアントセッションＩＤを入力する手段と、
   入力された前記クライアントセッションＩＤと前記個体識別番号を前記サーバ装置に送信する手段とを含み、
   前記サーバ装置は、
   前記移動携帯端末から受信した前記個体識別番号に基づいて前記クライアントセッションＩＤに対応するログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行する手段を含む、
   認証システム。
2. 前記クライアントセッションＩＤ表示情報がＱＲコードによって構成され、前記クライアントセッションＩＤを入力する手段は、ＱＲコードリーダである、請求項１に記載の認証システム。
3. ネットワークを介してクライアントＰＣに接続されるサーバ装置であって、
   前記クライアントＰＣのウェブブラウザから送信されたログイン要求に割り当てられたクライアントセッションＩＤを表示するクライアントセッションＩＤ表示情報を生成して前記ウェブブラウザに送信する手段と、
   前記クライアントＰＣのユーザが管理する移動携帯端末から前記クライアントセッションＩＤと該移動携帯端末の個体識別番号を受信する手段と、
   前記個体識別番号をログイン情報として管理する手段と、
   前記個体識別番号に基づいて前記クライアントセッションＩＤに対応するログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行する手段と
   を含む、
   サーバ装置。
4. ネットワークを介してクライアントＰＣに接続されるサーバ装置にログイン認証を実行させるためのコンピュータ実行可能なプログラムであって、
   サーバ装置に、
   前記クライアントＰＣのウェブブラウザから送信されたログイン要求に割り当てられたクライアントセッションＩＤを表示するクライアントセッションＩＤ表示情報を生成して前記ウェブブラウザに送信するための機能手段と、
   前記クライアントＰＣのユーザが管理する移動携帯端末から前記クライアントセッションＩＤと該移動携帯端末の個体識別番号を受信するための機能手段と、
   前記個体識別番号をログイン情報として管理するための機能手段と、
   前記個体識別番号に基づいて前記クライアントセッションＩＤに対応するログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行するための機能手段と
   を実現させるためのプログラム。
5. ネットワークを介してクライアントＰＣに接続されるサーバ装置と、該サーバ装置と通信自在な前記クライアントＰＣのユーザが管理する移動携帯端末とを含む認証システムであって、
   前記サーバ装置は、
   前記クライアントＰＣのウェブブラウザから送信されたログイン要求に応答してワンタイム・パスワードの入力フォームを含む認証ページを生成して前記ウェブブラウザに送信する手段と、
   第１のワンタイム・パスワードを生成して前記移動携帯端末に送信する手段と、
   前記移動携帯端末の個体識別番号をログイン情報として管理する手段とを含み、
   前記移動携帯端末は、
   モバイルブラウザと、
   第２のワンタイム・パスワードを生成する手段と、
   前記移動携帯端末の個体識別番号と前記第２のワンタイム・パスワードを前記サーバ装置に送信する手段とを含み、
   前記モバイルブラウザは、前記サーバ装置から受信した前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードを表示し、
   前記サーバ装置は、
   前記個体識別番号の送信元の前記移動携帯端末との間に生成されたモバイルセッションに割り当てられたモバイルセッションＩＤと、前記第１のワンタイム・パスワードと、前記第２のワンタイム・パスワードとを対応付けて一時記憶手段に記憶する手段と、
   前記ウェブブラウザから前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードを受信し、前記一時記憶手段を検索して該第１および第２のワンタイム・パスワードの組に対応付けられた前記モバイルセッションＩＤを取得する手段と、
   取得した前記モバイルセッションＩＤに対応する個体識別番号に基づいて前記ログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行する手段とを含む、
   認証システム。
6. ネットワークを介してクライアントＰＣに接続されるサーバ装置であって、
   前記クライアントＰＣのウェブブラウザから送信されたログイン要求に応答してワンタイム・パスワードの入力フォームを含む認証ページを生成して前記ウェブブラウザに送信する手段と、
   第１のワンタイム・パスワードを生成する手段と、
   前記クライアントＰＣのユーザが管理する移動携帯端末から、該移動携帯端末が生成した第２のワンタイム・パスワードと該移動携帯端末の個体識別番号を受信し、前記第１のワンタイム・パスワードを前記移動携帯端末のモバイルブラウザに送信する手段と、
   前記個体識別番号の送信元の前記移動携帯端末との間に生成されたモバイルセッションに割り当てられたモバイルセッションＩＤと、前記第１のワンタイム・パスワードと、前記第２のワンタイム・パスワードとを対応付けて一時記憶手段に記憶する手段と、
   前記個体識別番号をログイン情報として管理する手段と、
   前記一時記憶手段を検索して前記ウェブブラウザから受信した前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードの組に対応付けられた前記モバイルセッションＩＤを取得する手段と、
   取得した前記モバイルセッションＩＤに対応する個体識別番号に基づいて前記ログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行する手段とを含む、
   サーバ装置。
7. 取得した前記モバイルセッションＩＤと前記ウェブブラウザのクライアントセッションＩＤを対応付けて一時記憶手段に記憶する手段をさらに含む、請求項６に記載のサーバ装置。
8. ネットワークを介してクライアントＰＣに接続されるサーバ装置にログイン認証を実行させるためのコンピュータ実行可能なプログラムであって、
   前記クライアントＰＣのウェブブラウザから送信されたログイン要求に応答してワンタイム・パスワードの入力フォームを含む認証ページを生成して前記ウェブブラウザに送信するための機能手段と、
   第１のワンタイム・パスワードを生成するための機能手段と、
   前記クライアントＰＣのユーザが管理する移動携帯端末から、該移動携帯端末が生成した第２のワンタイム・パスワードと該移動携帯端末の個体識別番号を受信し、前記第１のワンタイム・パスワードを前記移動携帯端末のモバイルブラウザに送信するための機能手段と、
   前記個体識別番号の送信元の前記移動携帯端末との間に生成されたモバイルセッションに割り当てられたモバイルセッションＩＤと、前記第１のワンタイム・パスワードと、前記第２のワンタイム・パスワードとを対応付けて一時記憶手段に記憶するための機能手段と、
   前記個体識別番号をログイン情報として管理するための機能手段と、
   前記一時記憶手段を検索して前記ウェブブラウザから受信した前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードの組に対応付けられた前記モバイルセッションＩＤを取得するための機能手段と、
   取得した前記モバイルセッションＩＤに対応する個体識別番号に基づいて前記ログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行するための機能手段と
   を実現させるためのプログラム。
9. ネットワークを介してクライアントＰＣに接続されるサーバ装置と、該サーバ装置と通信自在な前記クライアントＰＣのユーザが管理する移動携帯端末とを含む認証システムであって、
   前記サーバ装置は、
   前記クライアントＰＣのウェブブラウザから送信されたログイン要求に応答して、ワンタイム・パスワードの入力フォームと前記ログイン要求に割り当てられたクライアントセッションＩＤを表示する情報を含む認証ページを生成して前記ウェブブラウザに送信する手段と、
   第１のワンタイム・パスワードを生成して前記移動携帯端末に送信する手段と、
   前記移動携帯端末の個体識別番号をログイン情報として管理する手段とを含み、
   前記移動携帯端末は、
   モバイルブラウザと、
   第２のワンタイム・パスワードを生成する手段と、
   前記移動携帯端末の個体識別番号と前記第２のワンタイム・パスワードを前記サーバ装置に送信する手段とを含み、
   前記モバイルブラウザは、前記サーバ装置から受信した前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードを表示し、
   前記サーバ装置は、
   前記個体識別番号の送信元の前記移動携帯端末との間に生成されたモバイルセッションに割り当てられたモバイルセッションＩＤと、前記第１のワンタイム・パスワードと、前記第２のワンタイム・パスワードとを対応付けて一時記憶手段に記憶する手段と、
   前記ウェブブラウザから受信した前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードの組に基づいて前記一時記憶手段を検索して該組に対応付けられた前記モバイルセッションＩＤを取得する手段と、
   取得した前記モバイルセッションＩＤと前記ウェブブラウザのクライアントセッションＩＤを対応付けて一時記憶手段に記憶する手段と、
   前記移動携帯端末から受信した前記個体識別番号に基づいて前記ログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行する手段と
   前記ログイン要求に割り当てられたクライアントセッションＩＤを表示する確認ダイアログを生成して前記モバイルブラウザに送信する手段と、
   前記確認ダイアログを介した承認応答を待ってログイン認証結果を前記クライアントＰＣに通知する手段と
   を含む、
   認証システム。
10. ネットワークを介してクライアントＰＣに接続されるサーバ装置であって、
    前記クライアントＰＣのウェブブラウザから送信されたログイン要求に応答してワンタイム・パスワードの入力フォームと前記ログイン要求に割り当てられたクライアントセッションＩＤを表示する情報を含む認証ページを生成して前記ウェブブラウザに送信する手段と、
    第１のワンタイム・パスワードを生成する手段と、
    前記クライアントＰＣのユーザが管理する移動携帯端末から、該移動携帯端末が生成した第２のワンタイム・パスワードと該移動携帯端末の個体識別番号を受信し、前記第１のワンタイム・パスワードを前記移動携帯端末のモバイルブラウザに送信する手段と、
    前記個体識別番号の送信元の前記移動携帯端末との間に生成されたモバイルセッションに割り当てられたモバイルセッションＩＤと、前記第１のワンタイム・パスワードと、前記第２のワンタイム・パスワードとを対応付けて一時記憶手段に記憶する手段と、
    前記個体識別番号をログイン情報として管理する手段と、
    前記移動携帯端末から受信した前記個体識別番号に基づいて前記ログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行する手段と、
    前記ウェブブラウザから受信した前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードの組に基づいて前記一時記憶手段を検索して該組に対応付けられた前記モバイルセッションＩＤを取得する手段と、
    取得した前記モバイルセッションＩＤと前記ウェブブラウザのクライアントセッションＩＤを対応付けて一時記憶手段に記憶する手段と、
    前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードを受信したクライアントセッションに割り当てられたクライアントセッションＩＤを表示する確認ダイアログを生成して前記モバイルブラウザに送信する手段と、
    前記確認ダイアログを介した承認応答を待ってログイン認証結果を前記クライアントＰＣに通知する手段とを含む、
    サーバ装置。
11. ネットワークを介してクライアントＰＣに接続されるサーバ装置にログイン認証を実行させるためのコンピュータ実行可能なプログラムであって、
    前記クライアントＰＣのウェブブラウザから送信されたログイン要求に応答してワンタイム・パスワードの入力フォームと前記ログイン要求に割り当てられたクライアントセッションＩＤを表示する情報を含む認証ページを生成して前記ウェブブラウザに送信するための機能手段と、
    第１のワンタイム・パスワードを生成するための機能手段と、
    前記クライアントＰＣのユーザが管理する移動携帯端末から、該移動携帯端末が生成した第２のワンタイム・パスワードと該移動携帯端末の個体識別番号を受信し、前記第１のワンタイム・パスワードを前記移動携帯端末のモバイルブラウザに送信するための機能手段と、
    前記個体識別番号の送信元の前記移動携帯端末との間に生成されたモバイルセッションに割り当てられたモバイルセッションＩＤと、前記第１のワンタイム・パスワードと、前記第２のワンタイム・パスワードとを対応付けて一時記憶手段に記憶するための機能手段と、
    前記個体識別番号をログイン情報として管理するための機能手段と、
    前記移動携帯端末から受信した前記個体識別番号に基づいて前記ログイン要求の送信元のクライアントＰＣのユーザのログイン認証を実行するための機能手段と、
    前記ウェブブラウザから受信した前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードの組に基づいて前記一時記憶手段を検索して該組に対応付けられた前記モバイルセッションＩＤを取得するための機能手段と、
    取得した前記モバイルセッションＩＤと前記ウェブブラウザのクライアントセッションＩＤを対応付けて一時記憶手段に記憶するための機能手段と、
    前記第１のワンタイム・パスワードと前記第２のワンタイム・パスワードを受信したクライアントセッションに割り当てられたクライアントセッションＩＤを表示する確認ダイアログを生成して前記モバイルブラウザに送信するための機能手段と、
    前記確認ダイアログを介した承認応答を待ってログイン認証結果を前記クライアントＰＣに通知するための機能手段と
    を実現させるためのプログラム。
12. 複数のサービスを提供する少なくとも１つのサービスサーバおよびクライアントＰＣにネットワークを介して接続される請求項７または１０に記載のサーバ装置ならびに該サーバ装置と通信自在な前記クライアントＰＣのユーザが管理する移動携帯端末を含むシングルサインオンシステムであって、
    前記サーバ装置は、
    前記クライアントＰＣのウェブブラウザから送信されるサービスを指定したアクセス要求に応答してサービスサーバからログインページを取得する手段と、
    前記サービスサーバが提供するサービスにアクセスするためのログイン情報であって、共通鍵暗号方式によって暗号化されたログイン情報を管理する手段をさらに含み、
    前記移動携帯端末は、
    前記サーバ装置からの要求に応じて前記暗号化されたログイン情報を復号するための共通鍵を送信する手段をさらに含み、
    前記サーバ装置は、
    前記移動携帯端末から受信した共通鍵を使用して前記暗号化されたログイン情報を復号し、復号したログイン情報を前記サービスサーバから取得した前記ログインページに埋め込む手段と、
    前記ログイン情報が埋め込まれた前記ログインページを前記アクセス要求の送信元のクライアントＰＣのユーザのウェブブラウザに送信する手段と
    をさらに含む、
    シングルサインオンシステム。