JP2012244284A - 認証装置、情報システム、および認証方法 - Google Patents

Abstract

【課題】情報システムを利用するユーザに関するプライバシ情報の保護が可能となる。
【解決手段】情報システム１において、サービス提供装置２００は、端末１００が記憶部１４０に記憶している、平文と暗号文とを１対多の関係で暗号化する暗号方式の暗号化鍵１４１およびユーザＩＤを共通に、暗号化鍵ＤＢ２２１に記憶している。端末１００は、サービス提供装置２００にアクセスする時、その暗号化鍵１４１を用いて、ユーザＩＤを毎回異なるようにして暗号化し、パスワードとともにサービス提供装置２００に送信する。サービス提供装置２００は、認証装置３００を用いて、暗号化したユーザＩＤ（暗号化ユーザＩＤ）に対して認証を行うとともに、ユーザＩＤの代わりに暗号化ユーザＩＤを用いてログをシステムログ２２３に記憶する。また、認証装置３００も、ユーザＩＤの代わりに暗号化ユーザＩＤを用いて認証に関するログを認証ログ３２２に記憶する。
【選択図】図１

Description

本発明は、情報システムを利用したときに蓄積されるログからユーザのプライバシ情報が顕在化することを防止する技術に関する。

ユーザの使用する端末からサービス要求を受け付けて、その要求に対応するサービスを提供するサーバ等の情報システムでは、一般的に、サービス要求を受け付ける際に、そのユーザが登録済みか否かを確認するための認証処理が実行される。この認証処理は、情報システムの機密性を担保するだけでなく、認証結果に応じて、ユーザへのサービス提供の可不可の判定に利用される。

情報システムは、認証処理を行ったときの処理内容に関するログや、サービス提供を行ったときの処理内容に関するログを保管する機能を備えている。そのため、特定のユーザに関するログが収集されて解析されると、そのユーザの生活パターンや嗜好傾向等のプライバシ情報が顕在化する。つまり、ログの漏洩にともなうプライバシ情報の顕在化が、ユーザの不利益となる可能性がある。

ログは、情報システムに限られて取得されるものではなく、認証処理だけを実行する認証装置においても、情報システムと同様に蓄積される。

このようなログの漏洩にともなうプライバシ情報の顕在化に対処するために、特許文献１では、ログに書き込まれている情報を非機密情報と機密情報との２つに分けて、機密情報に対して第１の暗号化処理を実行する。さらに、システム管理者がログを解析可能とするために、機密情報の中から特定のユーザを識別可能なユーザ識別情報（ユーザＩＤ）に対して第２の暗号化処理を実行する技術が開示されている。

特開２００８−３１２１５６号公報

特許文献１の技術では、ユーザＩＤは第２の暗号化処理によって暗号化されているため、そのユーザＩＤが誰のものであるかを特定することはできなくなっている。しかしながら、暗号化されたユーザＩＤは、常に同じであるため、その暗号化されたユーザＩＤを用いて名寄せを行うと、その暗号化されたユーザＩＤのユーザの生活パターンや嗜好傾向等のプライバシ情報が顕在化してしまうという問題がある。ここでの名寄せは、そのＩＤに基づいて、個人情報を収集することである。

そこで、本発明では、情報システムを利用するユーザに関するプライバシ情報の保護を可能とする認証装置、情報処理装置、および認証方法を提供することを課題とする。

前記課題を解決するために、本発明に係る認証装置または情報システムは、平文と暗号文とを１対多の関係で暗号化する暗号化方式の暗号化鍵を端末との間で共有し、ユーザの使用する端末において当該暗号化鍵を用いて暗号化処理ごとに異なるように暗号化されたユーザＩＤ（以降、暗号化ユーザＩＤと称す。）を受信したとき、その受信した暗号化ユーザＩＤのままで認証を行うとともに、暗号化ユーザＩＤを含むログを記憶することを特徴とする。

本発明によれば、情報システムを利用するユーザに関するプライバシ情報の保護が可能となる。

本実施形態における情報システムの構成例を示す図である。 暗号化鍵ＤＢに記憶される暗号化鍵情報の一例を示す図である。 システムログの一例を示す図である。 リポジトリに記憶されるユーザ識別情報の一例を示す図である。 認証ログの一例を示す図である。 ユーザ情報ＤＢに記憶される登録情報の一例を示す図である。 本実施形態における情報システムの処理シーケンス例を示す図である。 変形例における情報システムの構成例を示す図である。

次に、本発明を実施するための形態（以降、「本実施形態」と称す。）について、適宜図面を参照しながら詳細に説明する。

（情報システムの概要）
図１は、本実施形態における情報システム１の構成例を示している。情報システム１では、端末１００（１００Ａ，１００Ｂ）、サービス提供装置２００、および認証装置３００が、ネットワーク４００を介して、通信可能に接続されている。

端末１００（１００Ａ，１００Ｂ）は、ユーザが使用するものであって、例えば、パソコン、携帯電話、携帯情報端末等である。図１では、端末１００は２台しか記載していないが、３台以上であっても構わない。

サービス提供装置２００は、例えば、サービス処理を実行するサーバ、計算機等であって、端末１００を使用するユーザからのサービス要求を受け付ける際に、そのユーザの認証処理を認証装置３００に実行させて、認証装置３００から受信した認証結果に応じてサービス処理を実行する。

認証装置３００は、サービス提供装置２００がサービス要求を受け付ける際に、そのサービス要求を行ったユーザに関して認証処理を実行する。
ネットワーク４００は、有線網、無線網、または有線網と無線網との組み合わせによって構成されている。
なお、端末１００、サービス提供装置２００、および認証装置３００の機能の詳細については後記する。

次に、情報システム１の動作の概要について、以下に説明する。
ユーザが、サービス提供装置２００にユーザ登録を行うために、端末１００Ａを介してユーザ登録の要求をサービス提供装置２００に送信する。サービス提供装置２００は、ユーザ登録の要求を送信してきた端末１００Ａに、ユーザを識別するユーザＩＤ（第１のユーザ識別情報）および暗号化鍵を送信する。端末１００Ａは、受信した暗号化鍵を、暗号化鍵１４１として記憶部１４０に記憶する。また、その暗号化鍵は、サービス提供装置２００の記憶部２２０の暗号化鍵ＤＢ２２１にも、図２に示すように、ユーザＩＤと関連付けられて記憶される。

次に、ユーザが、端末１００Ａを介して、ユーザ情報の登録のために、受信したユーザＩＤ（第１のユーザ識別情報）を暗号化鍵１４１を用いて暗号化した暗号化ユーザＩＤと、ユーザが任意に決めたパスワード（第２のユーザ識別情報）とをサービス提供装置２００に送信する。

なお、本実施形態で使用する暗号化鍵１４１の暗号化方式は、検索可能暗号方式（例えば、吉野他，“ＤＢ向け検索可能暗号方式の検討（２）”，ＳＣＩＳ ２０１１，ＩＥＩＣＥ，１月（２０１１年）参照）を用いることを想定している。この検索可能暗号方式は、平文と暗号文とが１対多の関係で暗号化するものである。したがって、端末１００Ａは、暗号化鍵１４１を用いて、暗号化処理ごとにユーザＩＤを異なった暗号化ユーザＩＤとして生成することができる。なお、この検索可能暗号方式は、暗号化ユーザＩＤ同士をマッチングすることによって、同じユーザＩＤから生成されたもの（ユーザＩＤが一致するもの）か否かが判定可能となっている。

また、サービス提供装置２００は、端末１００Ａから受信した暗号化ユーザＩＤおよびパスワードを、認証装置３００に送信する。認証装置３００は、受信した暗号化ユーザＩＤおよびパスワードを、記憶部３２０のリポジトリ３２１（図５参照）に記憶する。

次に、ユーザが、端末１００Ａを介して、ユーザ情報（例えば、ユーザＩＤ、氏名、性別、年齢、住所等）をサービス提供装置２００に送信する。サービス提供装置２００は、受信したユーザ情報および暗号化ユーザＩＤを、ユーザ情報ＤＢ２２２（図３参照）に記憶する。

そして、ユーザ登録終了後に、改めてサービス提供装置２００にサービス処理を要求する場合には、端末１００Ａは、入力されたユーザＩＤに対して暗号化鍵１４１を用いて前回（ユーザ登録時）とは異なる暗号化ユーザＩＤを生成し、入力されたパスワードとともにサービス提供装置２００に送信する。すなわち、端末１００Ａから送信される暗号化ユーザＩＤは、暗号化処理ごとに異なっている。

そして、サービス提供装置２００は、端末１００Ａから受信した暗号化ユーザＩＤおよびパスワードを認証装置３００に送信する。認証装置３００は、リポジトリ３２１（図５参照）に既に記憶されている暗号化ユーザＩＤと受信した暗号化ユーザＩＤとのマッチングを行って、一致すると判定した暗号化ユーザＩＤに関連付けられたパスワードを抽出する。そして、認証装置３００は、抽出したパスワードと受信したパスワードとを照合して、その照合結果を認証結果として認証ログ３２２（図６参照）に記憶するとともに、認証結果をサービス提供装置２００に送信する。なお、認証ログ３２２は、暗号化ユーザＩＤを含むログを記憶している。

次に、サービス提供装置２００は、認証装置３００から受信した認証結果が認証成功を示すものであればサービス処理を実行する。また、サービス提供装置２００は、認証結果が認証失敗を示すものであれば、サービス処理を実行しない。また、サービス提供装置２００は、暗号化ユーザＩＤを含むログをシステムログ２２３（図４参照）に記憶する。

前記したように、サービス提供装置２００および認証装置３００に記憶されるログ情報は、同じユーザＩＤに対して、異なる暗号化ユーザＩＤを用いている。そのため、本実施形態における情報システム１は、特定のユーザに関するログの名寄せを防止でき、情報システム１を利用するユーザに関するプライバシ情報の顕在化を防止することが可能となる。

以降では、情報システム１を構成する各装置の機能例の詳細について、図１〜６を用いて説明する。

（端末の機能）
端末１００は、図示しないＣＰＵ（Central Processing Unit）およびメインメモリによって種々の処理を実行する処理部１１０、アプリケーションプログラム等を記憶する記憶部１４０、入力部１２０、および通信部１３０を備えている。

処理部１１０は、記憶部１４０に記憶されているアプリケーションプログラムをメインメモリに展開して、暗号化処理部１１１を具現化するものである。また、処理部１１０は、入力部１２０、通信部１３０、記憶部１４０との間の情報の送受信の制御を司る。
暗号化処理部１１１は、ユーザによって入力部１２０を介して入力されたユーザＩＤを、記憶部１４０に記憶している暗号化鍵１４１を用いて暗号化するものである。

入力部１２０は、ユーザによって操作されるキーボードやマウス等が接続されるインタフェースであって、インタフェースを介して入力される情報を受け付けるものである。
通信部１３０は、通信インタフェースであって、ネットワーク４００に情報を送出するとともに、ネットワーク４００から種々の情報を受信するものである。

記憶部１４０は、ハードディスク等の記憶媒体であって、アプリケーションプログラムや暗号化鍵１４１を記憶している。暗号化鍵１４１は、端末１００とサービス提供装置２００との間で共有され、ユーザ登録時に、サービス提供装置２００から配布される。

（サービス提供装置の機能）
サービス提供装置２００は、図示しないＣＰＵおよびメインメモリによって種々の処理を実行する処理部２１０、アプリケーションプログラム等を記憶する記憶部２２０、および通信部２３０を備えている。サービス提供装置２００は、端末１００からサービス要求を受け付け、認証装置３００の認証結果に基づいて、サービス処理を実行する。

記憶部２２０は、暗号化鍵ＤＢ２２１、ユーザ情報ＤＢ２２２、およびシステムログ２２３を記憶している。
暗号化鍵ＤＢ２２１は、サービス処理部２１２によってその情報の登録や更新が行われ、図２に示すように、ユーザＩＤと暗号化鍵とを関連付けて記憶している。ユーザＩＤおよび暗号化鍵は、ユーザがユーザ登録の要求をしてきたユーザ登録時に、サービス処理部２１２によって配布されるものである。つまり、ユーザＩＤおよび暗号化鍵１４１は、端末１００とサービス提供装置２００との間で共有される。

ユーザ情報ＤＢ２２２は、ユーザ情報の登録時にユーザが登録したユーザに関する情報である。例えば、図３に示すように、ユーザ情報ＤＢ２２２は、サービス処理部２１２によってその情報の登録や更新が行われ、暗号化ユーザＩＤ、性別、年齢、住所、および連携先システムＩＤを関連付けて記憶している。ここで、暗号化ユーザＩＤは、ユーザ情報の登録時に端末１００から受信したものである。また、連携先システムＩＤは、同じ暗号化鍵を用いて認証が行える複数のシステムの識別情報（システム１〜４）を表している。そして、図３の表の最も右側の欄は、ユーザがそのシステムに登録した名前である。ただし、ｎ／ａは、登録がないことを表している。

システムログ２２３は、サービス提供装置２００がユーザに対して実行した処理内容に関するログを記憶している。図４に示すように、例えば、システムログ２２３は、サービス処理部２１２によってその情報の登録や更新が行われ、暗号化ユーザＩＤ、アクセスした時刻、および処理内容を関連付けて記憶している。なお、図４は、同一のユーザＩＤに対応する暗号化ユーザＩＤをピックアップして表している。つまり、暗号化ユーザＩＤを見ただけでは、同一のユーザＩＤであることは分からないようになっている。

処理部２１０は、記憶部２２０に記憶されているアプリケーションプログラムをメインメモリに展開して、ログ検索部２１１およびサービス処理部２１２を具現化するものである。また、処理部２１０は、記憶部２２０や通信部２３０との間での情報の送受信制御を司る。

ログ検索部２１１は、サービス提供装置２００の管理者が特定のユーザ（特定のユーザＩＤ）についてログを収集するための検索処理を実行するものである。ログ検索部２１１は、検索するユーザＩＤの入力を受信し、暗号化鍵ＤＢ２２１（図２参照）を参照して、当該ユーザＩＤに関連付けられた暗号化鍵を抽出し、その暗号化鍵を用いてユーザＩＤを暗号化した暗号化ユーザＩＤにマッチングする（に一致すると判定した）暗号化ユーザＩＤを含むログ情報を、システムログ２２３から収集する。

サービス処理部２１２は、ユーザ登録時に端末１００からのアクセスを受け付け、ユーザＩＤや暗号化鍵の配布、暗号化鍵ＤＢ２２１、ユーザ情報ＤＢ２２２、およびシステム
ログ２２３の情報の登録・更新を行うものである。また、サービス処理部２１２は、端末１００から受信した暗号化ユーザＩＤおよびパスワードを認証装置３００に送信し、認証装置３００から認証結果を受信し、その認証結果に基づいて、サービス処理を実行する。具体的には、サービス処理部２１２は、認証成功であれば、ユーザ登録時に登録されているサービス処理を実行し、認証失敗であれば、サービス処理を実行せずにエラー（警告）メッセージを端末１００Ａに送信する。また、サービス処理部２１２は、サービス提供装置２００における処理内容をシステムログ２２３に記憶する。

通信部２３０は、通信インタフェースであって、ネットワーク４００に情報を送出するとともに、ネットワーク４００から種々の情報を受信するものである。

（認証装置の機能）
認証装置３００は、図示しないＣＰＵおよびメインメモリによって種々の処理を実行する処理部３１０、アプリケーションプログラム等を記憶する記憶部３２０、および通信部３３０を備えている。認証装置３００は、サービス提供装置２００からの暗号化ユーザＩＤおよびパスワードを受信し、認証処理を行って、その認証結果をサービス提供装置２００に送信する。

記憶部３２０は、リポジトリ３２１および認証ログ３２２を記憶している。
リポジトリ３２１は、図５に示すように、ユーザ登録時に、サービス提供装置２００を介して端末１００から送信されてきた暗号化ユーザＩＤおよびパスワードを関連付けて記憶している。リポジトリ３２１は、認証処理部３１１によって、その情報の登録や更新が行われる。

認証ログ３２２は、ユーザの認証処理を実行したときの認証結果をログとして記憶している。例えば、認証ログ３２２は、図６に示すように、暗号化ユーザＩＤ、認証処理を行った時刻、認証結果を関連付けて記憶している。認証ログ３２２は、認証処理部３１１によって、その情報の登録や更新が行われる。

処理部３１０は、記憶部３２０に記憶されているアプリケーションプログラムをメインメモリに展開して、認証処理部３１１、ＩＤ検索部３１２、および認証情報検証部３１３を具現化するものである。また、処理部３１０は、記憶部３２０や通信部３３０との間での情報の送受信制御を司る。

認証処理部３１１は、サービス提供装置２００から受信した暗号化ユーザＩＤを、ＩＤ検索部３１２に送信し、ＩＤ検索部３１２によって抽出された当該暗号化ユーザＩＤに関連付けられたパスワードを受信するものである。次に、認証処理部３１１は、ＩＤ検索部３１２が抽出したパスワードを認証情報検証部３１３に送信し、ＩＤ検索部３１２が抽出したパスワードと端末１００から受信したパスワードとを照合した照合結果を認証情報検証部３１３から受信する。そして、認証処理部３１１は、受信した照合結果に基づいて認証成功または認証失敗を判定し、その判定結果を認証結果としてサービス提供装置２００に送信する。

ＩＤ検索部３１２は、認証処理部３１１から受信した暗号化ユーザＩＤとリポジトリ３２１（図５参照）に記憶されている暗号化ユーザＩＤとのマッチングを実行し、マッチングした（一致すると判定した）暗号化ユーザＩＤに関連付けられたパスワードを抽出し、その抽出したパスワードを、認証処理部３１１に送信するものである。

認証情報検証部３１３は、ＩＤ検索部３１２が抽出したパスワードと、端末１００から受信したパスワードとを照合し、その照合結果を認証処理部３１１に送信するものである。
また、通信部３３０は、通信インタフェースであって、ネットワーク４００に情報を送出するとともに、ネットワーク４００から種々の情報を受信するものである。

（情報システムの処理シーケンス）
次に、端末１００、サービス提供装置２００、および認証装置３００の間で実行される処理シーケンス例について、図７を用いて説明する（適宜、図１〜６参照）。

まず、ユーザ登録時における処理シーケンスとして、ステップＳ７０１〜Ｓ７０７について、一例として、ユーザＩＤ：２００のユーザの場合で説明する。なお、ユーザＩＤ（ユーザＩＤ：２００）と暗号化鍵１４１（暗号化鍵：skdiajem）が既に端末１００およびサービス提供装置２００との間で共有されていて、図２に示す暗号化鍵ＤＢ２２１への登録も終了しているものとする。

ステップＳ７０１では、端末１００の暗号化処理部１１１は、ユーザＩＤ：２００を暗号化した暗号化ユーザＩＤ（8akmeiajs）およびパスワード（m2ai$qs3）をサービス提供装置２００に送信する。
ステップＳ７０２では、サービス提供装置２００のサービス処理部２１２は、受信した暗号化ユーザＩＤ（8akmeiajs）およびパスワード（m2ai$qs3）を、認証装置３００に送信する。

ステップＳ７０３では、認証装置３００の認証処理部３１１は、受信した暗号化ユーザＩＤ（8akmeiajs）およびパスワード（m2ai$qs3）をリポジトリ３２１に記憶する。
ステップＳ７０４では、認証装置３００の認証処理部３１１は、リポジトリ３２１への記憶が終了したことを示す登録済の通知をサービス提供装置２００に送信する。

ステップＳ７０５では、サービス提供装置２００のサービス処理部２１２は、登録済の通知を受信した後、ユーザ情報の入力を促すユーザ情報入力指示を端末１００に送信する。
ステップＳ７０６では、端末１００の処理部１１０は、入力部１２０を介して受け付けたユーザ情報をサービス提供装置２００に送信する。

ステップＳ７０７では、サービス提供装置２００のサービス処理部２１２は、受信したユーザ情報をユーザ情報ＤＢ２２２に記憶する。また、サービス処理部２１２は、システムログ２２３（図４参照）にログ（暗号化ユーザＩＤ：8akmeiajs、時刻：2011/01/09 12:34、処理内容：ユーザ登録成功）を記憶する。
なお、ステップＳ７０７より後の処理については図示を省略しているが、サービス提供装置２００のサービス処理部２１２が、登録終了の通知を端末１００に送信して、処理を終了する。

次に、ユーザ登録終了後に、改めてユーザＩＤ：２００のユーザがサービス提供装置２００にアクセスした時（１回目のサービス要求時）の処理シーケンスとして、ステップＳ７１０〜Ｓ７１８について、説明する。

ステップＳ７１０では、端末１００の暗号化処理部１１１は、ユーザＩＤ：２００を暗号化した暗号化ユーザＩＤ（oke;03ld）およびパスワード（m2ai$qs3）をサービス提供装置２００に送信する。
ステップＳ７１１では、サービス提供装置２００のサービス処理部２１２は、受信した暗号化ユーザＩＤ（oke;03ld）およびパスワード（m2ai$qs3）を、認証装置３００に送信する。そして、認証装置３００の認証処理部３１１は、サービス提供装置２００から受信した暗号化ユーザＩＤ（oke;03ld）を、ＩＤ検索部３１２に送信する。

ステップＳ７１２では、認証装置３００のＩＤ検索部３１２は、認証処理部３１１から受信した暗号化ユーザＩＤ（oke;03ld）と、リポジトリ３２１に記憶している暗号化ユーザＩＤとのマッチングを行う。
ステップＳ７１３では、認証装置３００のＩＤ検索部３１２は、リポジトリ３２１（図５参照）を参照して、そのマッチングした暗号化ユーザＩＤ（8akmeiajs）に関連付けられたパスワード（m2ai$qs3）を抽出する。そして、ＩＤ検索部３１２は、抽出したパスワードを認証処理部３１１に送信する。また、認証装置３００の認証処理部３１１は、ＩＤ検索部３１２が抽出したパスワードおよび端末１００から受信したパスワードを認証情報検証部３１３に送信する。

ステップＳ７１４では、認証情報検証部３１３は、ＩＤ検索部３１２が抽出したパスワードと、端末１００から受信したパスワード（m2ai$qs3）とを照合する。そして、認証情報検証部３１３は、ＩＤ検索部３１２が抽出したパスワードと端末１００から受信したパスワード（m2ai$qs3）とが一致していれば、照合一致を示す照合結果を認証処理部３１１に送信する。また、認証情報検証部３１３は、ＩＤ検索部３１２が抽出したパスワードと端末１００から受信したパスワード（m2ai$qs3）とが一致していなければ、照合不一致を示す照合結果を認証処理部３１１に送信する。

ステップＳ７１５では、認証装置３００の認証処理部３１１は、照合一致を示す照合結果を受信した場合、認証成功であることを示す認証結果をサービス提供装置２００に送信する。なお、図示していないが、認証処理部３１１は、照合不一致を示す照合結果を受信した場合、認証失敗であることを示す認証結果をサービス提供装置２００に送信する。

ステップＳ７１６では、サービス提供装置２００のサービス処理部２１２は、端末１００に対してサービス提供（例えば、閲覧や修正等のサービス処理）を行う。
なお、ステップＳ７１７では、認証装置３００の認証処理部３１１は、ログ（暗号化ユーザＩＤ：oke;03ld、時刻：2011/01/10 15:34、認証結果：認証成功）を認証ログ３２２（図６参照）に記憶する。
また、ステップＳ７１８では、サービス提供装置２００のサービス処理部２１２は、システムログ２２３（図４参照）に処理内容のログ（暗号化ユーザＩＤ：oke;03ld、時刻：2011/01/10 15:36、処理内容：〇〇閲覧）（暗号化ユーザＩＤ：oke;03ld、時刻：2011/01/10 15:39、処理内容：〇×修正）を記憶する。

なお、ステップＳ７１８より後の処理については図示を省略しているが、サービス提供装置２００のサービス処理部２１２が、サービス終了の通知を端末１００に送信して、処理を終了する。

１回目のサービス要求が終了した後、ユーザＩＤ：２００のユーザが改めてサービス提供装置２００にアクセスした時（２回目のサービス要求時）の処理シーケンスは、図示を省略するが、端末１００から送信される暗号化ユーザＩＤが、例えば１回目のときとは異なって「1,eimae,」となる以外は、ステップＳ７１０〜Ｓ７１８の処理と同様である。
そして、システムログ２２３（図４参照）には、処理内容のログとして（暗号化ユーザＩＤ：1,eimae,、時刻：2011/01/11 16:35、処理内容：〇△連携）が記憶される。また、認証ログ３２２（図６参照）には、ログとして（暗号化ユーザＩＤ：1,eimae,、時刻：2011/01/11 16:34、認証結果：認証成功）が記憶される。

（変形例）
本実施形態の変形例の情報処理装置５００の構成について、図８を用いて説明する。
図８に示すように、情報処理装置５００は、図１に示したサービス提供装置２００の各部をサービス提供部２０１（破線）とし、認証装置３００の各部を認証部３０１（破線）として、サービス提供装置２００の機能と認証装置３００の機能とを併合して一つの装置を構成した状態を表している。なお、変形例において、図１と同じ機能を備えるブロックには同じ符号を付し、説明を省略する。

以上、本実施形態における情報システム１は、端末１００とサービス提供装置２００とに共通の暗号化鍵１４１とユーザＩＤとを記憶している。なお、暗号化鍵１４１の暗号化方式は、平文と暗号文とを１対多の関係で暗号化する検索可能暗号方式である。端末１００は、サービス提供装置２００にアクセスするとき、ユーザＩＤを暗号化鍵１４１によって暗号化した暗号化ユーザＩＤとパスワードとを送信する。暗号化ユーザＩＤは、暗号化処理ごとに異なる。サービス提供装置２００は、暗号化ユーザＩＤに対して、認証装置３００を用いて認証を行うとともに、ユーザＩＤの代わりに暗号化ユーザＩＤを用いてログを記憶する。また、認証装置３００は、ユーザＩＤの代わりに暗号化ユーザＩＤを用いてログを記憶する。したがって、情報システム１を構成するサービス提供装置２００および認証装置３００は、端末１００において暗号化処理を実行するごとに異なる暗号化ユーザＩＤをそのまま用いているので、特定のユーザに関するログの収集を防止できる、すなわち、情報システム１を利用するユーザに関するプライバシ情報の顕在化を防止することが可能となる。また、変形例の情報処理装置５００は、サービス提供装置２００および認証装置３００それぞれの機能を併合したものであるので、情報システム１と同様の効果を有する。

なお、サービス提供装置２００の管理者が、サービス提供装置２００の維持管理のために、特定のユーザＩＤに関してログの検索を行う場合には、ログ検索部２１１は、管理者の入力したユーザＩＤを受信して、そのユーザＩＤにマッチングする暗号化ユーザＩＤに対応するログ情報を収集する。なお、ログの検索に用いる検索鍵は、検索の安全性向上のため、図２の暗号化鍵ＤＢ２２１に記憶されている暗号鍵とは異なるものであっても構わない。

例えば、図２の暗号化鍵ＤＢ２２１のユーザＩＤ：２００のユーザについての情報を検索する場合、暗号化ユーザＩＤが、図３のユーザ情報ＤＢ２２２では「74kdrhak」、図４のシステムログ２２３では「8akmeiajs」、「oke;03ld」、「1,eimae,」、図５のリポジトリ３２１では「8akmeiajs」、図６に示す認証ログ３２２では「oke;03ld」、「1,eimae,」であり、それらの暗号化ユーザＩＤに関連付けられたログ情報が収集できる。

また、本実施形態では、端末１００から暗号化ユーザＩＤとパスワードとを送信する場合で説明したが、パスワードの代わりに、生体認証用の情報であっても構わない。

また、本実施形態では、ユーザ登録時にサービス提供装置２００から暗号化鍵を送信する場合で説明したが、他の方法（例えば、端末１００から送信する場合や、端末１００及びサービス提供装置２００で同じものを生成する等）を用いて共有しても構わない。

１，１ａ 情報システム
１００（１００Ａ，１００Ｂ） 端末
１１０，２１０，２１０ａ，３１０ 処理部
１１１ 暗号化処理部
１４０，２２０，２２０ａ，３２０ 記憶部
１４１ 暗号化鍵
２００ サービス提供装置
２０１ サービス提供部
２１１ ログ検索部
２１２ サービス処理部
２２１ 暗号化鍵ＤＢ
２２２ ユーザ情報ＤＢ
２２３ システムログ
３００ 認証装置
３０１ 認証部
３１１ 認証処理部
３１２ ＩＤ検索部
３１３ 認証情報検証部
３２１ リポジトリ
３２２ 認証ログ
５００ 情報処理装置

Claims (5)

1. ユーザを識別する第１のユーザ識別情報を、平文と暗号文とを１対多の関係で暗号化する暗号化方式の暗号化鍵を用いて暗号化した暗号化ユーザ識別情報と、前記ユーザを識別する第２のユーザ識別情報と、を関連付けて登録したリポジトリ情報を記憶している記憶部と、
   前記暗号化鍵を用いて暗号化処理ごとに異なるように暗号化された前記暗号化ユーザ識別情報と、前記第２のユーザ識別情報とを受信する通信部と、
   前記リポジトリ情報に登録されている前記暗号化ユーザ識別情報の中から、前記通信部が受信した前記暗号化ユーザ識別情報に一致すると判定される前記暗号化ユーザ識別情報を抽出し、その抽出した前記暗号化ユーザ識別情報に関連付けられている前記第２のユーザ識別情報を抽出するＩＤ検索部と、
   前記ＩＤ検索部が抽出した前記第２のユーザ識別情報と、前記通信部が受信した前記第２のユーザ識別情報とを比較して、双方が一致するか不一致かを照合する認証情報検証部と、
   前記照合結果が不一致を示す場合、認証結果として認証失敗と判定する認証処理部と、
   を備えることを特徴とする認証装置。
2. 前記認証処理部は、前記認証結果と前記暗号化ユーザ識別情報とを関連付けてログを記憶すること
   を特徴とする請求項１に記載の認証装置。
3. 請求項１に記載の認証装置と
   その認証装置と通信可能に接続され、
   前記ユーザの使用する端末から前記暗号化鍵を用いて暗号化処理ごとに異なるように暗号化された前記第１のユーザ識別情報を示す前記暗号化ユーザ識別情報と、前記第２のユーザ識別情報とを受信する第２の通信部と、
   前記第２の通信部が受信した前記暗号化ユーザ識別情報および前記第２のユーザ識別情報を前記認証装置に送信し、前記認証装置から前記認証結果を取得し、前記認証結果に対応する処理を実行するとともに、前記暗号化ユーザ識別情報を含む処理内容のログを記憶するサービス処理部と
   を備える情報処理装置と、
   で構成されることを特徴とする情報システム。
4. ユーザの認証処理を実行する認証装置における認証方法であって、
   前記認証装置は、
   ユーザを識別する第１のユーザ識別情報を、平文と暗号文とを１対多の関係で暗号化する暗号化方式の暗号化鍵を用いて暗号化した暗号化ユーザ識別情報と、前記ユーザを識別する第２のユーザ識別情報と、を関連付けて登録したリポジトリ情報を記憶している記憶部を備え、
   前記暗号化鍵を用いて暗号化処理ごとに異なるように暗号化された前記暗号化ユーザ識別情報と、前記第２のユーザ識別情報とを受信する通信ステップと、
   前記リポジトリ情報に登録されている前記暗号化ユーザ識別情報の中から、前記通信ステップで受信した前記暗号化ユーザ識別情報に一致すると判定される前記暗号化ユーザ識別情報を抽出し、その抽出した前記暗号化ユーザ識別情報に関連付けられている前記第２のユーザ識別情報を抽出するＩＤ検索ステップと、
   前記ＩＤ検索ステップで抽出した前記第２のユーザ識別情報と、前記通信ステップで受信した前記第２のユーザ識別情報とを比較して、双方が一致するか不一致かを照合する認証情報検証ステップと、
   前記照合結果が不一致を示す場合認証結果として認証失敗と判定する認証処理ステップと、
   を実行することを特徴とする認証方法。
5. 前記認証処理ステップでは、前記認証結果と前記暗号化ユーザ識別情報とを関連付けてログを記憶すること
   を特徴とする請求項４に記載の認証方法。
   

Images