JP2014215620A - 認証システムおよび認証方法 - Google Patents

Abstract

【課題】ユーザがログイン認証を行う際に、当該ユーザが保有する携帯端末のみに対してプッシュ配信により追加の認証情報を送信する。【解決手段】ユーザ２のログイン認証を行う認証システム１であって、サーバ３００とクライアント端末１００および携帯端末２００とを有し、クライアント端末１００はログイン画面を表示するアプリケーション１１０を有し、携帯端末２００はプッシュ配信を受信可能であり、ユーザ２に対して本人確認の結果を入力させる認証アプリ２２０を有し、サーバ３００はクライアント端末１００から入力されたユーザＩＤおよびパスワードに基づいてユーザ認証を行う第１認証部３２０と、携帯端末２００に対してユーザ２の本人確認を要求する旨の通知をプッシュ配信し、本人確認の結果情報を取得して確認する第２認証部３３０とを有し、ユーザ認証と本人確認の双方が成功した場合にログイン認証が成功したものとする。【選択図】図１

Description

本発明は、認証技術に関し、特に、ネットワークを介して提供されるサービス等に対するログイン認証を行う認証システムおよび認証方法に適用して有効な技術に関するものである。

一般的に、ＰＣ（Personal Computer）等の情報処理端末を利用して、ユーザがＷｅｂシステム等により提供されるサービスに対してログインする際には、対象のＷｅｂサイトのログイン画面にてユーザＩＤとパスワードをユーザが手動で入力し、ログインボタンを押下する。これにより、ユーザＩＤやパスワードの情報がＷｅｂサーバ側にＰＯＳＴされ、予め登録されているユーザのアカウント情報と照合することで認証処理が行われる。

一方で、第三者によるユーザＩＤやパスワードの盗難等と、これに基づく成りすましによって、ユーザが感知しない間に当該第三者によりサービス（例えば、金融サービスや電子商取引、オンラインゲームなど）が利用されることによる被害が拡大しており、これを防止するための様々な対策が検討されている。

例えば、特開２００２−２４５００６号公報（特許文献１）には、認証システムにおいて、送信先取得手段が認証要求を受信すると、送信先記憶手段より、認証要求に対応する送信先端末のアドレスを取得し、認証情報作成手段は、ワンタイムパスワードやメッセージ等の認証に必要な認証情報を作成するとともに、上記送信先端末に上記認証情報をプッシュ型送信等の手段により送信し、端末判定手段は、上記認証情報が示す内容に対応して情報端末または上記送信先端末にて行われた動作の結果の正否を判断して認証を行う技術が記載されている。

特開２００２−２４５００６号公報

上記のような従来技術によれば、ＰＣ等の情報処理端末から入力されたユーザＩＤと、携帯電話等の携帯端末のアドレスに対して送信された電子メールやショートメッセージ等に含まれるワンタイムパスワード等の認証情報とを合わせて認証処理を行うことで、認証の信頼性を高め、成りすまし等の不正利用を防ぐことが可能になるとされる。この場合、認証情報の送信先となる携帯端末は、ログイン認証を行おうとしているユーザ本人（もしくは当該ユーザに代わって認証処理を行う権限を有する保護者等）が保有しているものに限定されることが必要になる。

しかしながら、認証情報を含むメッセージ等の送信先となる携帯端末の特定を、電話番号や電子メールアドレス等のアドレス情報により行う場合は、問題となる場合も生じる。例えば、電子メールアドレスに対する電子メールの送信による場合は、たとえ対象の携帯電話に対して設定されたアドレスであっても、携帯電話のキャリアが提供するサービスを利用したり、他の情報処理端末上で稼働するメールクライアントでの設定次第では当該メールクライアントにて受信することが可能である。従って、対象の携帯端末以外の他の情報処理端末においても認証情報の受信が可能となってしまう場合がある。

また、電話番号に対するショートメッセージの送信等による場合は、例えば、近年普及が広がっているタブレット型端末などの電話番号を有しない携帯端末に対しては利用することができないという課題を有する。

そこで本発明の目的は、Ｗｅｂシステム等により提供されるサービス等に対して、ＰＣ等の情報処理端末を利用してユーザがログイン認証を行う際に、当該ユーザが保有する携帯端末のみに対してプッシュ配信により追加の認証情報を送信する認証システムおよび認証方法を提供することにある。

本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。

本発明の代表的な実施の形態による認証システムは、ネットワークを介して提供されるサービスに対するユーザのログイン認証を行う認証システムであって、前記サービスを提供するサーバと、前記サーバに前記ネットワークを介して接続される、前記ユーザが保有するクライアント端末、および携帯端末と、を有する。前記クライアント端末は、ユーザによる前記サービスに対するログイン認証のためのログイン画面を表示するクライアントアプリケーションを有し、前記携帯端末は、特定の携帯端末に対するプッシュ配信を受信可能であり、当該携帯端末を保有する前記ユーザに対して本人確認の結果を入力させる認証アプリケーションを有する。

また、前記サーバは、前記クライアント端末の前記ログイン画面から入力された前記ユーザのユーザＩＤおよびパスワードに基づいてユーザ認証を行う第１認証部と、前記第１認証部における前記ユーザ認証が成功した場合に、前記携帯端末に対して、これを保有するユーザの本人確認を要求する旨の通知をプッシュ配信し、前記携帯端末の前記認証アプリケーションからの本人確認の結果情報を取得して確認する第２認証部とを有する。このとき、前記第１認証部におけるユーザ認証と、前記第２認証部における本人確認の双方が成功した場合にログイン認証が成功したものとするものである。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。

すなわち、本発明の代表的な実施の形態によれば、Ｗｅｂシステム等により提供されるサービス等に対して、ＰＣ等の情報処理端末を利用してユーザがログイン認証を行う際に、当該ユーザが保有する携帯端末のみに対してプッシュ配信により追加の認証情報を送信することが可能となる。

本発明の一実施の形態である認証システムの構成例について概要を示した図である。 本発明の一実施の形態におけるログイン認証処理の流れの例について概要を示した図である。 本発明の一実施の形態におけるログイン認証処理の際の画面遷移の例について概要を示した図である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一の符号を付し、その繰り返しの説明は省略する。

本発明の一実施の形態である認証システムは、Ｗｅｂシステム等により提供されるサービス等に対して、ＰＣ等の情報処理端末を利用してユーザがログイン認証を行う際に、Ｗｅｂサーバ等におけるユーザＩＤ、パスワードによる通常のユーザ認証を行って、これが成功したことを条件に、当該ユーザについて予め登録されたスマートフォン等の携帯端末に対して、本人確認を行うための通知をプッシュ配信する。当該携帯端末を保有するユーザが、通知を受けて、ログイン認証を行なっている本人である旨を回答することで、ログイン認証が完了する。

このように、通常のユーザ認証に加えて、本人が常時携行している蓋然性が高いスマートフォン等の携帯端末に対して、本人確認の通知をプッシュ配信し、これに対する回答を確認するという二段階のログイン認証を行うことで、ユーザＩＤ／パスワードの盗難による本人以外の者の成りすましのログインを防止し、セキュリティを強化することができる。

＜システム構成＞
図１は、本発明の一実施の形態である認証システムの構成例について概要を示した図である。認証システム１は、例えば、Ｗｅｂシステム等において提供されるネットワークを介したサービスに対するユーザのログイン認証に係る処理を行うシステムであり、当該Ｗｅｂシステム上で、もしくはこれと連携して認証処理を行うものである。認証システム１は、例えば、Ｗｅｂシステムを構成するＷｅｂサーバ等からなるサーバ３００に対して、インターネット等のネットワーク４００を介して複数のユーザ２がそれぞれ保有する、ＰＣ等のクライアント端末１００と、スマートフォン等の携帯端末２００とが有線もしくは無線通信により接続される構成を有する。

ユーザ２が有するクライアント端末１００は、一般的なＰＣ等の情報処理端末であるが、後述する携帯端末２００との比較上、本実施の形態では、デスクトップ型などの非携帯型の情報処理端末であるものとする。クライアント端末１００は、図示しないＯＳ（Operating System）などのミドルウェア上で稼働するソフトウェアプログラムとして実装されるアプリケーション１１０を有する。アプリケーション１１０は、例えば、一般的なＷｅｂブラウザであってもよいし、対象のサービスに特化した専用のクライアントアプリケーションプログラムであってもよく、後述するサーバ３００にネットワーク４００を介してアクセスして、対象のサービスの提供に係る処理、特にユーザインタフェースに係る処理を実行することができる。

携帯端末２００は、例えば、スマートフォンやタブレット型端末など、当該携帯端末２００に対するプッシュ配信によりデータの送信や通知等を受け取ることができる機能を有している携帯型の情報処理端末である。携帯端末２００は、ＯＳなどのミドルウェア上で稼働するソフトウェアプログラムとして実装される認証アプリ２２０などのアプリケーションプログラムを有する。認証アプリ２２０は、本実施の形態における認証処理のうち、本人確認に係る処理を行うものとして、例えばユーザ２等により、携帯端末２００に対してダウンロード等されて導入されるものであり、さらに受信部２２１、認証部２２２、および登録部２２３などの各部を有する。

受信部２２１は、ネットワーク４００を介して、後述するサーバ３００からプッシュ配信される本人確認を行うための通知を、ＯＳ２１０等を介して受信する機能を有する。認証アプリ２２０は、通知の内容に基づいて本人確認のための画面を携帯端末２００の画面に表示する。認証部２２２は、認証アプリ２２０によって画面上に表示された本人確認のための通知に対する、ユーザ２による確認の許否の入力を受け付けて、その結果をネットワーク４００を介してサーバ３００に送信する機能を有する。

登録部２２３は、当該携帯端末２００に対して、上記の本人確認のための通知をプッシュ配信することを可能とするための登録を行う機能を有する。例えば、プッシュ配信のために必要となる、当該携帯端末２００の端末ＩＤ等の識別情報をＯＳ２１０を介して取得して、ネットワーク４００を介してサーバ３００に対して送信する。なお、スマートフォン等の携帯端末２００に対してプッシュ配信をする仕組みについては、公知の技術を適宜用いることができる。例えば、Ａｐｐｌｅ（登録商標）社のｉＯＳ（登録商標）を有する携帯端末２００では、ＡＰＮＳ（Apple Push Notification Service）、Ｇｏｏｇｌｅ（登録商標）社のＡｎｄｒｏｉｄ（登録商標）を有する携帯端末２００では、ＧＣＭ（Google Cloud Messaging for Android）のサービスなどをそれぞれ利用することができる。

サーバ３００は、例えば、Ｗｅｂシステムを構成するＷｅｂサーバ等のサーバシステムであり、サーバ機器や、クラウドコンピューティング環境上に構築された仮想サーバ等により構成される。サーバ３００は、例えば、図示しないＯＳやＤＢＭＳ（DataBase Management System）、Ｗｅｂサーバプログラムなどのミドルウェア上で稼働するソフトウェアプログラムとして実装されるアプリケーション３１０、第１認証部３２０、第２認証部３３０、および登録部３５０などの各部を有する。また、データベースやファイルテーブル等として実装されるユーザＤＢ３４０を有する。

アプリケーション３１０は、ユーザ２に対するネットワーク４００を介した対象のサービスの提供に係る処理を実行するアプリケーションプログラムであり、例えば、図示しないＷｅｂサーバプログラム上で稼働するＷｅｂアプリケーションとして実装することができる。

第１認証部３２０は、クライアント端末１００を介して実行される、ユーザＩＤ、パスワードを用いたユーザ認証（第１認証）に係る処理を行う機能を有する。ここでは、一般的なユーザ認証に係る処理として、クライアント端末１００上のアプリケーション１１０から送信されたユーザＩＤおよびパスワードなどの認証情報について、各ユーザのアカウント情報が登録されたユーザＤＢ３４０の登録内容と照合することで、ユーザＩＤおよびパスワードが正しいか否かを判定する。

第２認証部３３０は、携帯端末２００を介して実行される本人確認（第２認証）に係る処理を行う機能を有する。ここでは、例えば、ユーザＤＢ３４０等を参照して、対象のユーザの端末ＩＤ等、当該ユーザが保有する携帯端末２００に対してプッシュ配信を行うために必要となる、当該携帯端末２００を特定する情報を取得し、この情報に基づいて、対象の携帯端末２００に対して、追加の認証情報として、本人確認を要求する旨の画面やメッセージ等を表示する通知をプッシュ配信する。また、当該通知を受信した携帯端末２００において、ユーザ２により入力や指示等がされた本人確認の結果情報を受信し、当該結果情報に基づいて本人確認の成否を判定する。

なお、サーバ３００から携帯端末２００に送信する追加の認証情報には、例えば、本人確認処理を一定時間内に制限するために、ワンタイムパスワード（以下では「ＯＴＰ」と記載する場合がある）を生成してこれを含めるようにしてもよい。

本人確認の結果情報には、例えば、本人であるか否かについての正否の情報に加え、対象の携帯端末２００の端末ＩＤや、当該携帯端末２００に対して送信されたＯＴＰなどの情報が含まれ得る。第２認証部３３０では、携帯端末２００から受信した本人確認の結果情報について、当該携帯端末２００の端末ＩＤが正しく設定されており、また、有効期間内である正しいＯＴＰが設定されており、本人確認の結果がＯＫである旨の情報が含まれている場合に、本人確認が成功したものとすることができる。

登録部３５０は、各携帯端末２００の端末ＩＤなど、対象の携帯端末２００に対してプッシュ配信により追加の認証情報を通知するために必要となる、各携帯端末２００の識別情報について、予め、携帯端末２００からの登録を受け付けて、ユーザ２に関連付けてユーザＤＢ３４０に登録する機能を有する。

＜処理の流れ＞
図２は、本実施の形態におけるログイン認証処理の流れの例について概要を示した図である。ユーザ２がクライアント端末１００上のアプリケーション１１０においてログイン認証を行おうとする際、まず、クライアント端末１００では、アプリケーション１１０がサーバ３００に対してログイン画面を要求し（Ｓ０１）、サーバ３００のアプリケーション３１０がこれを出力してクライアント端末１００上に表示させる（Ｓ０２）。

ログイン画面においてユーザ２がユーザＩＤおよびパスワードを入力すると（Ｓ０３）、アプリケーション１１０はこれをサーバ３００に対してＰＯＳＴする。サーバ３００の第１認証部３２０では、ＰＯＳＴされたユーザＩＤおよびパスワードについて、ユーザＤＢ３４０に登録されたアカウント情報と照合することで、ユーザ認証（第１認証）に係る処理を行う（Ｓ０４）。その後、第１認証部３２０では、ステップＳ０４の第１認証の成否を判定し（Ｓ０５）、第１認証が失敗した場合は、その旨を表示する失敗画面をクライアント端末１００のアプリケーション１１０の画面上に表示させて（Ｓ０６）、処理を終了する。

一方、ステップＳ０４の第１認証が成功した場合は、ログイン認証処理中である旨を表示する処理中画面をクライアント端末１００のアプリケーション１１０の画面上に表示させる（Ｓ０７）。この画面は、後述するように、第２認証の結果が表示されるまでは継続して表示されるようにし、ユーザ２が並行して他の処理を行えないようにする。

ステップＳ０７での処理中画面の表示と並行して、サーバ３００では、第２認証部３３０により、ＯＴＰを生成して（Ｓ０８）、これを含む追加の認証情報を、対象のユーザ２が保有する携帯端末２００に対してプッシュ配信する（Ｓ０９）。このとき、配信先の携帯端末２００を識別する端末ＩＤ等の情報は、ユーザＤＢ３４０から取得する。

ステップＳ０９でのプッシュ配信を認証アプリ２２０の受信部２２１により受信した携帯端末２００では、本人確認の結果の入力をユーザ２に対して要求する画面やメッセージ等を、当該携帯端末２００の画面上に表示する（Ｓ１０）。ＯＴＰの内容を合わせて表示してもよい。本人確認の結果の入力は、後述するように、ボタンの押下などの簡易な手段によって入力できるようにするのが望ましい。ユーザ２により本人確認結果が入力されると、認証アプリ２２０の認証部２２２は、入力内容を取得して、これをサーバ３００に送信する（Ｓ１１）。サーバ３００に送信する本人確認の結果情報には、当該携帯端末２００の端末ＩＤなどの識別情報や、サーバ３００から送信されたＯＴＰの内容が含まれていてもよい。

本人確認の結果情報を受信したサーバ３００では、第２認証部３３０により、結果情報の内容を判定することで、本人確認（第２認証）に係る処理を行う（Ｓ１２）。ここでの判定処理は、例えば、本人確認要求に対してユーザ２がとったアクションの内容（本人であることを確認したか、認証処理をキャンセルしたか等）に係る情報に基づいて行う。さらに、対象の携帯端末２００を識別する端末ＩＤ等の情報がステップＳ０９でプッシュ配信を行った配信先の携帯端末２００のものと一致するか否か、ＯＴＰの情報がステップＳ０９でプッシュ配信を行った際のものと一致するか否か、およびＯＴＰの有効期限内であるか否かなどの情報に基づいて行うようにしてもよい。

その後、第２認証部３３０では、ステップＳ１２の第２認証の成否を判定し（Ｓ１３）、第２認証が失敗した、もしくはユーザ２によりキャンセルされた場合は、ログイン認証が失敗もしくはキャンセルされたものとして、その旨を画面等に表示するよう、携帯端末２００に対して通知する（Ｓ１４）。また、第２認証が成功した場合、すなわち、第１認証と第２認証の双方が成功した場合は、ログイン認証が成功したものとして、その旨を画面等に表示するよう、携帯端末２００に対して通知する（Ｓ１５）。

一方、クライアント端末１００では、ステップＳ０７でアプリケーション１１０が処理中画面を表示した後、一定時間（例えば数秒）毎にサーバ３００に対してステップＳ１２、Ｓ１３での第２認証に係る処理が完了した否かを問い合わせる処理を繰り返す（Ｓ１６）。当該処理は、例えば、アプリケーション１１０に含まれるＡｊａｘ（Asynchronous JavaScript + XML）等により実装されたクライアントサイドで稼働するプログラムにより行うことができる。

クライアント端末１００からの問合せに対して、サーバ３００のアプリケーション３１０は、第２認証部３３０による第２認証処理が失敗もしくはユーザ２によりキャンセルされている場合は、ログイン認証が失敗もしくはキャンセルされたものとして、その旨を表示する失敗画面をクライアント端末１００のアプリケーション１１０の画面上に表示させる（Ｓ１８）。また、第２認証が成功している場合、すなわち、第１認証と第２認証の双方が成功している場合は、ログイン認証が成功したものとして、その旨を表示する成功画面もしくはログイン完了後にアクセス可能となるメニュー画面等をクライアント端末１００のアプリケーション１１０の画面上に表示させ（Ｓ１９）、認証処理を終了する。

＜画面遷移例＞
図３は、図２に示した本実施の形態におけるログイン認証処理の際の画面遷移の例について概要を示した図である。クライアント端末１００では、まず、ログイン画面１１１が表示される。この画面で、ユーザ２がユーザＩＤおよびパスワードを入力し、ログインボタンを押下すると、サーバ３００の第１認証部３２０によってユーザＩＤ、パスワードによる第１認証が行われる。第１認証の結果が失敗の場合は、失敗画面１１４が表示される。

一方、第１認証が成功の場合は、クライアント端末１００では処理中画面１１２が表示されるとともに、携帯端末２００には、サーバ３００からのプッシュ配信を受けて、本人確認画面２２４が表示される。本人確認画面２２４では、例えば、図示するような「はい」「いいえ」のボタンをユーザ２に押下させるなど、簡易な操作にて本人確認が行えるようにするのが望ましい。当該画面で、サーバ３００からプッシュ配信されたＯＴＰの内容や有効期限の情報を表示するようにしてもよい。

本人確認画面２２４にて本人確認の結果がユーザ２により入力されると、サーバ３００の第２認証部３３０によって第２認証が行われる。第２認証の結果が失敗、もしくは本人確認画面２２４において「いいえ」が押下されたりキャンセルされたりした場合は、クライアント端末１００および携帯端末２００においてそれぞれ失敗画面１１４および失敗画面２２６が表示される。また、第２認証の結果が成功の場合は、クライアント端末１００および携帯端末２００においてそれぞれ成功画面１１３および成功画面２２５が表示される。

以上に説明したように、本発明の一実施の形態である認証システム１によれば、サーバ３００等によりネットワーク４００を介して提供されるサービス等に対して、クライアント端末１００を利用してユーザ２がログイン認証を行う際に、サーバ３００におけるユーザＩＤ、パスワードによる通常のユーザ認証（第１認証）を行って、これが成功したことを条件に、当該ユーザ２について予め登録された携帯端末２００に対して、本人確認を行うための通知をプッシュ配信する。当該携帯端末２００を保有するユーザ２が、通知を受けて、ログイン認証を行なっている本人である旨を回答し、この内容をサーバ３００において確認する（第２認証）ことで、ログイン認証が完了する。

このように、通常のユーザ認証（第１認証）に加えて、本人が常時携行しているスマートフォン等の携帯端末２００に対して、本人確認の通知をプッシュ配信し、これに対する回答を確認する（第２認証）という二段階のログイン認証を行うことで、ユーザＩＤ／パスワードの盗難による成りすましのログインを防止し、セキュリティを強化することができる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は上記の実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。例えば、上記の実施の形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、上記の実施の形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

例えば、本実施の形態では、クライアント端末１００と携帯端末２００を同一のユーザ２が保有するものとしているが、第２認証を行うことが可能な者が携帯端末２００を保有している限り、クライアント端末１００と携帯端末２００の保有者が異なっていてもよい。例えば、子供がクライアント端末１００からログイン認証しようとする際に、親が保有する携帯端末２００に追加の認証情報をプッシュ配信して第２認証を要求する構成とすることで、ペアレンタルコントロールを実現することも可能である。

本発明は、ネットワークを介して提供されるサービス等に対するログイン認証を行う認証システムおよび認証方法に利用可能である。

１…認証システム、２…ユーザ、
１００…クライアント端末、１１０…アプリケーション、１１１…ログイン画面、１１２…処理中画面、１１３…成功画面、１１４…失敗画面、
２００…携帯端末、２１０…ＯＳ、２２０…認証アプリ、２２１…受信部、２２２…認証部、２２３…登録部、２２４…本人確認画面、２２５…成功画面、２２６…失敗画面、
３００…サーバ、３１０…アプリケーション、３２０…第１認証部、３３０…第２認証部、３４０…ユーザＤＢ、３５０…登録部、
４００…ネットワーク。

Claims (6)

1. ネットワークを介して提供されるサービスに対するユーザのログイン認証を行う認証システムであって、
   前記サービスを提供するサーバと、
   前記サーバに前記ネットワークを介して接続される、前記ユーザが保有するクライアント端末、および携帯端末と、を有し、
   前記クライアント端末は、ユーザによる前記サービスに対するログイン認証のためのログイン画面を表示するクライアントアプリケーションを有し、
   前記携帯端末は、特定の携帯端末に対するプッシュ配信を受信可能であり、当該携帯端末を保有する前記ユーザに対して本人確認の結果を入力させる認証アプリケーションを有し、
   前記サーバは、
   前記クライアント端末の前記ログイン画面から入力された前記ユーザのユーザＩＤおよびパスワードに基づいてユーザ認証を行う第１認証部と、
   前記第１認証部における前記ユーザ認証が成功した場合に、前記携帯端末に対して、これを保有するユーザの本人確認を要求する旨の通知をプッシュ配信し、前記携帯端末の前記認証アプリケーションからの本人確認の結果情報を取得して確認する第２認証部と、を有し、
   前記第１認証部におけるユーザ認証と、前記第２認証部における本人確認の双方が成功した場合にログイン認証が成功したものとする、認証システム。
2. 請求項１に記載の認証システムにおいて、
   前記サーバの前記第２認証部は、本人確認を要求する旨の通知をプッシュ配信する際に、ワンタイムパスワードを生成して、前記通知に前記ワンタイムパスワードを含ませ、前記ワンタイムパスワードの有効期間内に、前記携帯端末の前記認証アプリケーションから、前記ユーザが本人であることを確認した旨、および前記ワンタイムパスワードの情報を含む、本人確認の結果情報を取得した場合に、本人確認が成功したものとする、認証システム。
3. 請求項１または２に記載の認証システムにおいて、
   前記サーバの前記第１認証部は、ユーザ認証が成功した場合に、対象の前記ユーザが保有する前記クライアント端末に対して、ログイン認証が処理中であることを示す処理中画面を表示させる、認証システム。
4. 請求項３に記載の認証システムにおいて、
   前記クライアント端末の前記クライアントアプリケーションは、前記処理中画面が表示されている間、一定期間毎に、前記サーバに対して前記第１認証部におけるユーザ認証および前記第２認証部における本人確認の双方が完了しているか否かの問い合わせを行い、
   前記サーバは、前記問い合わせを受けた際に、対象の前記ユーザに係るログイン認証が完了している場合に、ログイン認証の結果情報を表示する画面を、前記ユーザが保有する前記クライアント端末に表示させる、認証システム。
5. 請求項１〜４のいずれか１項に記載の認証システムにおいて、
   前記サーバは、前記携帯端末に対してプッシュ配信するための、前記携帯端末を特定する情報を、前記携帯端末を保有する前記ユーザ毎に予め取得して保持しておく、認証システム。
6. ネットワークを介して提供されるサービスに対するユーザのログイン認証を行う認証方法であって、
   前記ユーザが保有するクライアント端末から前記ユーザにより入力されたユーザＩＤおよびパスワードに基づいて、前記クライアント端末とネットワークを介して接続されたサーバにおいてユーザ認証を行うステップと、
   前記ユーザ認証が成功した場合に、前記サーバが、前記クライアント端末の画面にログイン認証が処理中であることを示す処理中画面を表示させるステップと、
   前記ユーザ認証が成功した場合に、前記サーバが、前記ユーザが保有する携帯端末に対して、前記ユーザの本人確認を要求する旨の通知をプッシュ配信するステップと、
   前記通知を受信した前記携帯端末において、前記ユーザからの本人確認の結果の入力を受け付け、結果情報を前記サーバに送信し、前記サーバにおいて、前記結果情報を取得して確認することで本人確認を行うステップと、
   前記サーバにおいて、前記ユーザ認証と、前記本人確認の双方が成功した場合にログイン認証が成功したものとし、前記携帯端末に対してログイン認証の結果を通知して画面に表示させるステップと、
   前記クライアント端末が、前記処理中画面が表示されている間、一定期間毎に、前記サーバに対して対象の前記ユーザに係る前記ユーザ認証および前記本人確認の双方が完了しているか否かの問い合わせを行うステップと、
   前記サーバにおいて、前記問い合わせを受けた際に、対象の前記ユーザに係るログイン処理が完了している場合に、ログイン認証の結果情報を表示する画面を、前記クライアント端末に表示させるステップと、を有する、認証方法。

Images