JP2017073835A - 提供装置、端末装置、提供方法、提供プログラム及び認証処理システム - Google Patents

Abstract

【課題】認証要求に柔軟に対応すること。
【解決手段】本願に係る提供装置は、検出部と、探索部と、提供部とを備える。検出部は、ユーザの本人認証を行う認証器による認証結果に対して所定の鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用される端末装置が有しない機能を検出する。探索部は、検出部によって検出された機能、又は、検出部によって検出された機能に対応する機能を有する外部装置を探索する。提供部は、探索部によって探索された外部装置のうち、端末装置の位置情報と外部装置の位置情報とに基づいて決定された一の外部装置を介して、検出部によって検出された機能、又は、検出部によって検出された機能に対応する機能を端末装置に提供する。
【選択図】図１

Description

本発明は、提供装置、端末装置、提供方法、提供プログラム及び認証処理システムに関する。

近年、通信ネットワークの普及が進み、ネットワークを介したサービスが盛んに提供されている。ユーザは、通信端末装置を用いて、ネットワークを介して提供されるサービスにログインし、サービスを利用する。ネットワークを介したサービスの利用では、サービスを利用するユーザの本人認証を確実に行うことが望まれる。

本人認証の技術として、さまざまなシステム構成のバイオメトリクスに対して、ユーザの希望やサーバのポリシーに応じた本人認証を提供する技術が知られている（例えば、特許文献１）。また、ユーザのネットワーク環境を判別し、ネットワーク環境に応じた適切なユーザ認証を行う技術が知られている（例えば、特許文献２）。また、認証装置が拡張可能な認証用プロトコルインターフェイスを利用することで、インターフェイスを介して所定の認証機能を実現する技術が知られている（例えば、特許文献３）。

特開２００４−３６２０６１号公報 特開２０１２−１０３７８４号公報 特表２００５−５０５１９４号公報

しかしながら、上記の従来技術では、認証要求に柔軟に対応することは難しい。例えば、ネットワークを介する本人認証手段は、安全性や利便性の確保の観点から、認証に要する機能や技術が変更される場合がある。この場合、本人認証を要求する端末側は、認証サーバ側から様々な機能や技術を求められるため、それらの要求を常時満たすように柔軟に対応することは難しい。

本願は、上記に鑑みてなされたものであって、認証要求に柔軟に対応することができる提供装置、端末装置、提供方法、提供プログラム及び認証処理システムを提供することを目的とする。

本願に係る提供装置は、ユーザの本人認証を行う認証器による認証結果に対して所定の鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用される端末装置が有しない機能を検出する検出部と、前記検出部によって検出された機能、又は、前記検出部によって検出された機能に対応する機能を有する外部装置を探索する探索部と、前記探索部によって探索された外部装置のうち、前記端末装置の位置情報と前記外部装置の位置情報とに基づいて決定された一の外部装置を介して、前記検出部によって検出された機能、又は、前記検出部によって検出された機能に対応する機能を前記端末装置に提供する提供部と、を備えたことを特徴とする。

実施形態の一態様によれば、認証要求に柔軟に対応することができるという効果を奏する。

図１は、実施形態に係る提供処理の一例を示す図である。 図２は、実施形態に係る認証方式を説明するシーケンス図（１）である。 図３は、実施形態に係る認証方式を説明するシーケンス図（２）である。 図４は、実施形態に係る認証処理システムの構成例を示す図である。 図５は、実施形態に係るユーザ端末の構成例を示す図である。 図６は、実施形態に係る提供装置の構成例を示す図である。 図７は、実施形態に係る端末情報記憶部の一例を示す図である。 図８は、実施形態に係るユーザ情報記憶部の一例を示す図である。 図９は、実施形態に係る認証サーバの構成例を示す図である。 図１０は、実施形態に係る登録情報記憶部の一例を示す図である。 図１１は、実施形態に係る提供処理手順を示すフローチャートである。 図１２は、実施形態に係る認証処理手順を示すシーケンス図である。 図１３は、提供装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。

以下に、本願に係る提供装置、端末装置、提供方法、提供プログラム及び認証処理システムを実施するための形態（以下、「実施形態」と呼ぶ）について図面を参照しつつ詳細に説明する。なお、この実施形態により本願に係る提供装置、端末装置、提供方法、提供プログラム及び認証処理システムが限定されるものではない。また、各実施形態は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。また、以下の各実施形態において同一の部位には同一の符号を付し、重複する説明は省略される。

〔１．提供処理の一例〕
まず、図１を用いて、実施形態に係る提供処理の一例について説明する。図１は、実施形態に係る提供処理の一例を示す図である。図１では、本願に係る提供装置５０が、認証サーバ１００と所定の通信を行うユーザ端末１０に対して、当該所定の通信に用いられる機能のうち不足する機能を提供する一例を示している。

図１の例において、ユーザ端末１０は、ユーザＵ０１によって利用される情報処理端末である。ユーザＵ０１は、ユーザ端末１０を用いて、ネットワークを介して提供されるサービス、例えば、ウェブサーバから提供されるサービスを利用する。以下における説明では、ユーザ端末１０をユーザＵ０１と表記する場合がある。すなわち、以下では、ユーザＵ０１をユーザ端末１０と読み替えることもできる。

認証サーバ１００は、ユーザ端末１０から送信される情報を取得し、取得した情報に基づいてユーザＵ０１の本人認証を行うサーバ装置である。認証サーバ１００は、取得した情報に基づいてＵ０１本人であることを認証し、認証済みであることを示す情報を生成する。ユーザ端末１０は、認証サーバ１００から認証されたことを示す情報が各種サービス側（ウェブサーバ等）に送信されることによって、各種サービスへのログインや、サービス毎に発行されるサービスＩＤの利用や、ネットワークを介した決済など、本人認証を要するサービスを利用することが可能となる。

提供装置５０は、ユーザ端末１０と認証サーバ１００との間で発生する一連の通信において、ユーザ端末１０側が認証サーバ１００側から本人認証を受けるにあたり、不足する機能を提供する情報処理装置である。認証サーバ１００は、認証処理において、本人認証の安全性、利便性の確保のため、ユーザ端末１０に所定の処理機能を要求する。しかしながら、認証を受けるユーザ端末１０側は、認証サーバ１００側から要求される機能を必ずしも備えているとは限らない。そこで、提供装置５０は、ユーザ端末１０が現に有する機能に関する情報を受け付け、認証サーバ１００側との通信に不足する機能を検出する。そして、提供装置５０は、ユーザ端末１０側が認証サーバ１００側から認証を受けるための通信を可能とするため、例えば、ユーザ端末１０と協働可能な他の装置から機能を調達し、調達した機能をユーザ端末１０側に提供する。

（認証サーバ１００の認証方式）
ここで、提供装置５０が行う提供処理の説明に先立ち、認証サーバ１００が所定の情報処理端末（以下、ユーザ端末１０との区別のため、「クライアント２０」と表記する）を利用するユーザの本人認証を行う方式について、図２及び図３を用いて説明する。なお、クライアント２０は、認証サーバ１００が行う認証処理に係る通信において、認証サーバ１００側から要求される機能を満たす端末であるものとする。

認証サーバ１００は、クライアント２０の認証において、予め発行される公開鍵と秘密鍵との照合によって情報の確実性を担保する、いわゆる公開鍵暗号方式を基礎とした認証方式を採用するものとする。すなわち、認証サーバ１００は、クライアント２０が有する各認証器に対して発行される公開鍵と秘密鍵のペアに基づいて認証を行う。認証器とは、クライアント２０がローカルにおいて本人認証を行うことができる機能を有する装置をいう。ローカルにおける認証とは、インターネット等の広域ネットワーク（外部ネットワーク）の接続を要しない状況で行われる認証をいい、例えば、クライアント２０内部に備えられた機能を用いて行われる認証をいう。認証器は、例えば、ユーザの生体情報など、ユーザ本人を認証することが可能な情報について、予め登録を受け付ける。そして、認証器は、認証の際には、ユーザから生体情報等の入力を受け付け、登録データと入力データとの照合結果に基づいて本人認証を行う。具体的には、認証器には、指紋認証器や、虹彩認証器や、声紋認証器等が含まれる。なお、認証器は、クライアント２０内部にインストールされたソフトウェアにより実現されてもよいし、クライアント２０とＬＡＮ（Local Area Network）で接続される範囲内に存在するハードウェアにより実現されてもよい。すなわち、認証器には、インターネット等の外部ネットワークを介さない、例えば、クライアント２０に備えられたインターフェイスに直接接続されることによりクライアント２０と協働するようなハードウェア等も含まれる。

まず、認証サーバ１００がクライアント２０を認証対象として登録する手順について説明する。図２は、実施形態に係る認証方式を説明するシーケンス図（１）である。図２では、認証処理に先立ち、認証サーバ１００が認証を行うクライアント２０に関する登録を行う処理の流れを示している。

クライアント２０は、認証サーバ１００にアクセスし、認証器の登録を要求する（ステップＳ１１）。認証サーバ１００は、クライアント２０から送信された要求に応答して、認証器による認証を要求する（ステップＳ１２）。

クライアント２０を利用するユーザは、認証サーバ１００への登録を要求した認証器を動作させ、ローカルにおいて認証器による認証を実行する（ステップＳ１３）。例えば、認証に利用する認証器として指紋認証器をユーザが選択した場合には、ユーザは、認証が行われる箇所に指をかざすことにより、認証処理を行う。認証器内の登録データと入力データとの照合により、クライアント２０側の認証器がユーザを正規のユーザと確認できた場合、認証器は、当該認証処理に対応する公開鍵と秘密鍵とを発行する（ステップＳ１４）。そして、クライアント２０は、発行された秘密鍵をクライアント２０内部に記憶するとともに、秘密鍵とペアになる公開鍵を認証サーバ１００に送信する（ステップＳ１５）。認証サーバ１００は、クライアント２０から公開鍵を受け取り、当該認証器と対応付けて公開鍵を記憶する（ステップＳ１６）。クライアント２０内部の秘密鍵は、原則としてアクセスを受け付けない領域に記憶され、登録を受けた認証器によるローカルでの認証が成功しない限り、アクセスが許可されないものとする。これにより、クライアント２０が備える認証器について、認証サーバ１００への登録が完了する。

続いて、図３について説明する。図３は、実施形態に係る認証方式を説明するシーケンス図（２）である。図３では、クライアント２０がサービスを利用する際など、本人認証を実際に認証サーバ１００に要求する場面における処理の流れを示している。

ユーザは、認証サーバ１００に、所定のアクセス制限付きサービスへのアクセスを要求する（ステップＳ２１）。なお、かかる要求は、例えば、ネットワークを介してサービスを行うウェブサーバ等を経由して送信される場合がある。すなわち、ユーザは、サービスを利用する過程において、接続先のウェブサーバから本人認証を求められる場合がある。この場合、ユーザが本人認証を行う旨を表明すると、かかる情報は、クライアント２０又は接続先のウェブサーバから認証サーバ１００に送信される。

要求を受け付けた認証サーバ１００は、クライアント２０に対して、予め登録された認証器による認証を要求する（ステップＳ２２）。要求を受け付けたクライアント２０のユーザは、予め登録された認証器によるローカルな認証を実行する（ステップＳ２３）。

認証器による認証が成功した場合、すなわち、ローカルにおいて本人認証が確認された場合、ユーザは、クライアント２０内部に記憶されている秘密鍵へのアクセスが可能となる。そして、クライアント２０は、認証器によって正規のユーザと認められたユーザしかアクセスすることのできない秘密鍵を用いて、認証の結果に関する情報に対する署名（ハッシュ値）を生成する。言い換えれば、クライアント２０は、予め発行されていた秘密鍵による署名付き情報を生成する（ステップＳ２４）。このようにして生成される情報を、「認証結果情報」と表記する。

続いて、クライアント２０は、認証サーバ１００との間で規定された特定の通信手順を用いて、生成した認証結果情報を送信し（ステップＳ２５）、認証結果情報を処理させる。認証サーバ１００は、秘密鍵とペアとなる公開鍵を用いて、送信された認証結果情報を検証する（ステップＳ２６）。すなわち、認証サーバ１００は、認証結果情報に改竄がないこと、言い換えれば、適切な秘密鍵によって認証結果情報が生成されているか否かを検証する。このように、認証サーバ１００は、認証対象である認証器が適切な秘密鍵を保有していることを確認する。この確認ができた場合、認証サーバ１００は、認証結果情報に基づいてクライアント２０を利用するユーザが正規のユーザであることを認証する。そして、認証サーバ１００は、自身が認証したことを示し、ステップＳ２１においてアクセス要求したサービスの情報が含まれる、認証がなされた旨の情報をクライアント２０に送信する（ステップＳ２７）。認証がなされた旨の情報とは、例えば、認証クッキーである。

このように、上記認証方式によれば、クライアント２０は、一般的な認証で用いられることの多いパスワードやサービスＩＤなど、認証に用いる情報そのものをネットワークに送信することがない。すなわち、クライアント２０から送信される情報はローカルでの認証結果を示す情報に過ぎず、第三者がクライアント２０から送信された情報を傍受したとしても、第三者は傍受した情報を利用することができない。このため、認証サーバ１００が採用する認証方式は、安全性の高い方式であるといえる。また、認証サーバ１００が採用する認証方式によれば、ユーザは、パスワードを記憶することを要しないため、ユーザの負担を軽減させることができる。

さらに、上記のように、認証サーバ１００は、クライアント２０から送信される認証結果情報の処理において、クライアント２０との間で規定される特定の通信手順を用いる。なお、通信手順とは、認証サーバ１００とクライアント２０との間で規定される認証手順であり、通信に関するプロトコルと読み替えることもできる。例えば、認証サーバ１００は、ＵＡＦ（Universal Authentication Framework）や、Ｕ２Ｆ（Universal Second Factor)といったプロトコルを用いる。これにより、認証サーバ１００とクライアント２０との通信は、より高い安全性が確保される。

図２及び図３を用いて説明してきたように、認証サーバ１００とクライアント２０の認証器との間で、特定のプロトコルを用いた公開鍵暗号方式を基礎とした認証方式による通信が確立する場合、クライアント２０は、パスワード等の認証情報そのものをネットワーク上に送信することなく、本人認証を認証サーバ１００に対して行うことができる。しかしながら、上述した方式においては、ユーザは、認証サーバ１００に登録されていない認証器については利用することができず、また、認証器ごとに新たな登録を要するため、手間がかかる。また、ユーザは、生体情報等の信頼性の高い情報を用いて本人認証を行う認証器をローカル側に有していない場合、認証サーバ１００に送信する認証結果情報を生成するための認証結果が得られず、認証サーバ１００から認証を受けることができない。さらに、クライアント２０側が認証サーバ１００の規定するプロトコルに対応していない場合、ユーザは、認証サーバ１００による認証処理を完了することができない。このように、認証サーバ１００に対して通信を行うクライアント２０側は、備える機能構成によっては、認証サーバ１００による本人認証を要する各種サービスを利用することができないといった課題がある。

そこで、本願に係る提供装置に対応する提供装置５０は、単独では認証サーバ１００による認証処理を受けることが困難な情報処理端末（図１の例では、ユーザ端末１０が該当する）と協働することにより、認証サーバ１００による認証処理を受けることを可能にする。以下、図１の説明に戻り、提供装置５０を含む認証処理の一例を流れに沿って説明する。なお、図１に示す例では、ユーザ端末１０が、自らが有する機能や装置に関する情報を予め提供装置５０に登録しているものとする。また、ユーザ端末１０は、認証サーバ１００との間の通信に用いられる特定のプロトコルに対応する情報を、ユーザ端末１０単独では生成することができないものとする。

図１に示す例において、認証サーバ１００は、ユーザ端末１０に対して、本人認証の要求を行う（ステップＳ０１）。例えば、認証サーバ１００は、ユーザＵ０１が所定のウェブサービスを利用するにあたり、ユーザＵ０１の本人認証をウェブサーバが要求する場合に、ウェブサーバからの要求に応じて、ユーザ端末１０へ本人認証の要求を行う。図２及び図３を用いて説明したように、ユーザ端末１０は、ローカル側で信頼性の高い認証を行う認証器を有し、特定のプロトコルにより処理される認証結果情報を生成することができる場合は、自らが認証結果情報を生成し、認証サーバ１００に送信する。しかし、図１の例においては、ユーザ端末１０は、単独では認証結果情報を生成する機能を有さない。そこで、ユーザ端末１０は、不足する機能に対応する機能の提供を受けるため、提供装置５０へアクセスする（ステップＳ０２）。

提供装置５０は、ユーザ端末１０等の端末情報が記憶された端末情報記憶部５３と、ユーザＵ０１等のユーザ情報が記憶されたユーザ情報記憶部５４とを有する。提供装置５０は、記憶部に予め登録された情報と、ユーザ端末１０から送信された現状の情報とを参照し、認証サーバ１００との通信において、ユーザ端末１０側で不足する機能を検出する（ステップＳ０３）。

まず、提供装置５０は、端末情報記憶部５３を参照し、アクセスを受け付けた端末装置の識別情報（端末ＩＤ）である「１０」を検出する。なお、端末ＩＤは、各装置に付された参照符号と一致するものとする。すなわち、端末ＩＤ「１０」は、ユーザ端末１０を示す。

続けて、提供装置５０は、端末情報記憶部５３を参照し、ユーザ端末１０が有する機能を検出する。例えば、図１の例では、提供装置５０は、ユーザ端末１０について、認証結果情報を生成する生成手段の項目が「０」、すなわち、認証結果情報を生成する生成手段を有さないことを検出する。また、提供装置５０は、ユーザ端末１０が認証器を３種類有しており、そのうち、認証器「Ａ１１」がユーザ端末１０内部に備えられ、かつ、認証器「Ａ１１」が「指紋」認証タイプであることを検出する（以下、認証器「Ａ１１」を「指紋認証器Ａ１１」と表記する）。これにより、提供装置５０は、ユーザ端末１０が、ユーザ端末１０内部において指紋認証による本人認証は行うことができるものの、かかる結果を認証結果情報として生成することができない端末であることを検出する。

ここで、提供装置５０は、ユーザ情報記憶部５４を参照し、ユーザ端末１０を所有するユーザＵ０１に関する情報を取得する。例えば、提供装置５０は、識別情報（ユーザＩＤ）「Ｕ０１」で識別されるユーザＵ０１は、所有する端末として、ユーザ端末１０と、他の端末「３０」（ユーザ端末１０との区別のため、「代理端末３０」と表記する）とが登録されていることを検出する。また、提供装置５０は、ユーザ端末１０と代理端末３０とは同じ回線提供会社から提供される回線を用いており、回線提供会社に登録された情報を介して、両者が同一ユーザに所有される端末として、信頼性のある登録情報であることを検出する。さらに、提供装置５０は、端末情報記憶部５３を参照し、代理端末３０が認証結果情報を生成する生成手段を有していることを検出する。

すなわち、提供装置５０は、代理端末３０が、ユーザＵ０１の認証処理において、一定の信頼性を有する端末であり、かつ、認証結果情報を生成する手段を有する端末であることを検出する。そして、提供装置５０は、ネットワークを介して、ユーザ端末１０と認証サーバ１００との通信において利用可能な機能を探索する（ステップＳ０４）。例えば、提供装置５０は、代理端末３０にアクセスし、ユーザ端末１０と認証サーバ１００との通信において利用可能な機能を代理できるか否かを探索する。提供装置５０は、代理端末３０がユーザ端末１０に要求される生成手段を代理できる場合、代理端末３０の生成手段を動作させる等の手段により、かかる機能を調達する（ステップＳ０５）。そして、提供装置５０は、ユーザ端末１０に対して、不足する機能を提供する（ステップＳ０６）。例えば、提供装置５０は、ユーザ端末１０と代理端末３０との接続を確立させ、ユーザ端末１０の指紋認証器Ａ１１で行われた認証の結果をユーザ端末１０から代理端末３０に送信させる。代理端末３０は、指紋認証器Ａ１１で行われた認証の結果に基づいて認証結果情報を生成する。そして、代理端末３０は、生成された認証結果情報をユーザ端末１０に送信する。ユーザ端末１０は、送信された認証結果情報を認証サーバ１００に送信する（ステップＳ０７）。

認証サーバ１００は、予め所有している代理端末３０に対応した公開鍵を用いて、代理端末３０の秘密鍵で生成された認証結果情報を検証する。このとき、認証サーバ１００は、認証結果情報の生成元が代理端末３０であることを識別する情報を、認証結果情報とは別に受け付けてもよい。また、認証サーバ１００は、ユーザ端末１０と代理端末３０の互いの信頼性に関する情報を受け付けることにより、ユーザ端末１０から送信される認証結果情報の生成が代理端末３０で代理されることを認めるようにしてもよい。例えば、ユーザ端末１０と代理端末３０は、同じ回線提供会社Ｃ０１から提供される回線を用いており、回線提供会社Ｃ０１によって、同一ユーザＵ０１によって所有されていることが証明されているものとする。この場合、認証サーバ１００は、このような信頼性の情報を、提供装置５０、あるいはユーザ端末１０側から受け付けることにより、ユーザ端末１０を代理する端末として、代理端末３０を認めるようにしてもよい。

そして、認証サーバ１００は、代理端末３０によって生成処理が代理された認証結果情報が検証されたことをもって、ユーザ端末１０を利用するユーザＵ０１を認証する（ステップＳ０８）。なお、ユーザ端末１０が、認証サーバ１００が規定する特定のプロトコルで処理される認証結果情報を送信する機能を有さない場合、ステップＳ０６における送信処理についても、代理端末３０が代理してよい。

このように、提供装置５０は、ユーザ端末１０における登録情報、及び、ユーザ端末１０の現状の情報を用いて、認証サーバ１００との通信において不足する機能を検出し、対応する機能を有する外部装置を探索する。そして、提供装置５０は、探索された外部装置が有する機能を調達し、調達した機能をユーザ端末１０に提供する。

なお、提供装置５０は、代理端末３０以外の装置から機能を調達することもできる。例えば、図１に示すように、提供装置５０は、ユーザＵ０１が信頼するユーザとして、ユーザＵ０２を登録しているという情報を有する。この場合、提供装置５０は、ユーザＵ０２が所有する端末装置（ユーザ端末１０との区別のため、「友人端末３５」と表記する）を探索する。そして、提供装置５０は、認証サーバ１００との通信に用いられる認証結果情報を生成する生成手段を友人端末３５が有していることを検出する。そして、提供装置５０は、友人端末３５から生成手段を調達し、調達した機能をユーザ端末１０に提供する。

また、他の例として、提供装置５０は、ユーザ端末１０の内部に備えられた指紋認証器Ａ１１が何らかの不具合により利用できない状況にあることを検出したとする。この場合、提供装置５０は、ユーザ端末１０の登録情報に基づいて、他の認証器を探索する。例えば、ユーザ端末１０は、所定の店舗（例えば、ユーザ端末１０が利用する回線を提供する回線提供会社Ｃ０１が運営する店舗）に備えられた店舗端末４０を認証器として登録している。この場合、提供装置５０は、ユーザ端末１０の認証機能を代理する認証器として、店舗端末４０に備えられた認証器Ａ１２を探索し、かかる機能を調達する。そして、提供装置５０は、調達した機能をユーザ端末１０に提供する。

具体的には、提供装置５０は、店舗端末４０に備えられた認証器Ａ１２が利用可能であることをユーザＵ０１に提示する。例えば、提供装置５０は、ユーザ端末１０と店舗端末４０との通信を確立させ、ユーザ端末１０から所定の情報を送信することによってローカルでの認証が可能であることを提示する。ここでは、ユーザ端末１０は、ユーザ端末１０自体に与えられた識別番号（ＰＩＮ、Personal Identification Number）を店舗端末４０に送信することで、ユーザＵ０１の本人性を認証することができるものとする。そこで、提供装置５０は、ユーザ端末１０と店舗端末４０とで確立した通信において、ユーザ端末１０からＰＩＮの送信を行わせる。そして、提供装置５０は、店舗端末４０に係る認証器Ａ１２が発行したユーザＵ０１の本人認証を示す結果をユーザ端末１０に提供する。

あるいは、提供装置５０は、予めユーザＵ０１が登録しておいた、クラウドサーバ４５が有する認証機能を利用するようにしてもよい。例えば、ユーザＵ０１は、バックアップとして、クラウド上に指紋の登録データを保存していたとする。提供装置５０は、かかる登録情報を参照し、指紋認証器Ａ１１の代理として、クラウドサーバ４５を利用する認証器Ａ１３を探索し、かかる機能を調達する。すなわち、提供装置５０は、ユーザ端末１０とクラウドサーバ４５との接続を確立させる。ユーザＵ０１は、ユーザ端末１０（もしくは、他の所定の端末装置）を利用して、指紋データをクラウドサーバ４５に送信する。そして、提供装置５０は、クラウドサーバ４５から発行される認証結果をユーザＵ０１に提供する。なお、上記の処理において、提供装置５０は、互いの装置との通信を確立させて情報の送受信を仲介してもよいし、自らは情報の送受信を行わず、ユーザ端末１０に対して、他の装置が利用できる旨を示す情報を提供するのみでもよい。

上記の処理において、提供装置５０は、例えば、機能の提供元となる装置の信頼性に基づいて、ユーザ端末１０に対して不足する機能を提供する。例えば、店舗端末４０は、通信事業者により運営されていることから、発行する認証結果の信頼性は比較的高いと想定される。一方で、クラウドサーバ４５に対しては、第三者のアクセスによる不正利用の可能性もあるため、発行する認証結果の信頼性は比較的低いと想定される。この場合、提供装置５０は、信頼性の高い店舗端末４０から機能を調達することを優先させてもよい。また、提供装置５０は、代理端末３０と友人端末３５においても、ユーザ端末１０との信頼性の値を評価し、より信頼のおける端末が生成する認証結果情報が認証サーバ１００に送信されるように機能を提供してもよい。

上記のように、実施形態に係る提供装置５０は、認証サーバ１００と通信するユーザ端末１０における、認証サーバ１００との通信に用いられる機能のうち、ユーザ端末１０が有しない機能を検出する。そして、提供装置５０は、検出された機能に対応する機能を、認証サーバ１００に認証結果情報を送信するユーザ端末１０側（ユーザ端末１０側とは、認証サーバ１００に対して認証を要求する側である代理端末３０や友人端末３５等を含む）に提供する。

このように、提供装置５０によれば、所定の認証方式を有する認証サーバ１００と単独では通信を確立することのできないユーザ端末１０に対して、通信に要求される機能を提供することができる。すなわち、ユーザ端末１０は、現状の構成を変えることなく、認証サーバ１００との通信を確立し、認証処理を行うことができる。具体的には、ユーザ端末１０自体では特定のプロトコルに対応した情報が生成できない場合であっても、提供装置５０と協働することにより、ユーザ端末１０は、所定の秘密鍵を有する端末による代理処理を行わせることで、認証サーバ１００に送信する認証結果情報を生成することができる。また、提供装置５０によれば、例えば、認証サーバ１００側が規定する認証方式が変更された場合などであっても、その都度、通信に要する機能を調達することができる。このため、提供装置５０を利用するユーザ端末１０側は、認証サーバ１００が規定する方式によらず、その都度、方式に則った機能の提供を受けることで、認証処理を完了させることができる。また、認証サーバ１００側にとっては、提供装置５０が検出する、信頼性のある装置等から送信される情報を受け付けることになるため、一定の信頼性を保つ認証処理を行うことができる。このように、提供装置５０は、認証の安全性を損なわず、かつ、認証要求に柔軟に対応することができる。

なお、図１の例では、ユーザ端末１０と提供装置５０とが互いに通信し、また、提供装置５０に探索される装置である代理端末３０等と提供装置５０とが互いに通信する例を示した。しかし、上述のように、ユーザ端末１０と代理端末３０等とが直接通信を行い、ユーザ端末１０が認証サーバ１００との通信で用いる機能の提供を代理端末３０から受け付けてもよい。また、図１における認証処理では、提供装置５０は、認証処理との通信においてユーザ端末１０側に不足する機能を提供するもの一例を示した。しかし、提供装置５０は、必ずしも認証サーバ１００との通信においてユーザ端末１０側に不足する機能を提供する処理を行うとは限らない。すなわち、ユーザ端末１０は、認証サーバ１００との通信は可能ながらも、提供装置５０が検出する他の機能を有さない場合がある。例えば、図１の例において、ユーザＵ０１は、ユーザ端末１０が指紋認証器Ａ１１を備えているとしても、他の認証器（例えば、虹彩や声紋を使用する認証器）の使用を所望する場合がある。このように、提供装置５０は、認証サーバ１００との通信に不足する機能でなくとも、認証サーバ１００との通信で用いられる機能であって、ユーザ端末１０が有さない機能を検出する。すなわち、提供装置５０によれば、ユーザＵ０１は、認証サーバ１００から求められる特定の認証手順に柔軟に対応することができるとともに、認証処理に関する利便性を享受することができる。

〔２．認証処理システムの構成〕
次に、図４を用いて、実施形態に係る提供装置５０が含まれる認証処理システム１の構成について説明する。図４は、実施形態に係る認証処理システム１の構成例を示す図である。図４に例示するように、実施形態に係る認証処理システム１には、ユーザ端末１０と、提供装置５０と、認証サーバ１００と、ウェブサーバ２００と、提供装置５０によって探索される装置が含まれる。これらの各種装置は、ネットワークＮを介して、有線又は無線により通信可能に接続される。なお、各種装置の数は、図４に示した例に限られず、例えば、認証処理システム１には、複数台のユーザ端末１０等が含まれてもよい。

ユーザ端末１０は、デスクトップ型ＰＣ（Personal Computer）や、ノート型ＰＣや、タブレット端末や、スマートフォンを含む携帯電話機、ＰＤＡ（Personal Digital Assistant）等の情報処理端末である。また、ユーザ端末１０には、眼鏡型や時計型の情報処理端末であるウェアラブルデバイス（wearable device）も含まれる。さらに、ユーザ端末１０には、情報処理機能を有する種々のスマート機器が含まれてもよい。例えば、ユーザ端末１０には、ＴＶ（Television）や冷蔵庫、掃除機などのスマート家電や、自動車などのスマートビークル（Smart vehicle）や、ドローン（drone）、家庭用ロボットなどが含まれてもよい。

ユーザ端末１０は、各種認証器を備える。例えば、ユーザ端末１０は、ユーザの生体情報を利用する生体認証器を備える。これにより、ユーザ端末１０は、ローカルにおいて、ユーザ端末１０を利用するユーザの本人認証を行う。上述のように、認証器は、ユーザ端末１０内に含まれるソフトウェアであってもよいし、ユーザ端末１０に接続されるハードウェアであってもよい。

提供装置５０は、ユーザ端末１０及びユーザ端末１０が備える認証器と協働し、認証サーバ１００による認証処理をユーザ端末１０が受けるために用いられる機能をユーザ端末１０側に提供する情報処理装置である。

認証サーバ１００は、ユーザ端末１０を利用するユーザの本人認証を行うサーバ装置である。認証サーバ１００は、ユーザ端末１０側から送信された認証結果情報を受信し、対応する公開鍵によって認証結果情報を検証する。そして、認証サーバ１００は、認証済みであることを示した情報（例えば、認証クッキー）をユーザ端末１０に戻す。ユーザ端末１０は、認証済み情報を用いることにより、ウェブサーバ２００等が提供するサービスにおいて、認証処理を行うことができる。あるいは、認証サーバ１００は、認証済み情報をウェブサーバ２００に送信することで、サービスを利用するユーザがユーザＵ０１であることを認証したことを伝達する。

ウェブサーバ２００は、ユーザ端末１０からアクセスされた場合に、各種ウェブページを提供するサーバ装置である。ウェブサーバ２００は、例えば、ニュースサイト、天気予報サイト、ショッピングサイト、ファイナンス（株価）サイト、路線検索サイト、地図提供サイト、旅行サイト、飲食店紹介サイト、ウェブブログなどに関する各種ウェブページを提供する。

ウェブサーバ２００は、サービスの提供にあたり、ユーザの本人認証を要求する場合がある。例えば、ウェブサーバ２００が決済サービスを提供する際に、ユーザ端末１０を利用しているユーザが間違いなくユーザＵ０１であると認証できないときには、ウェブサーバ２００は、ユーザ端末１０による決済サービスの実行を制限することができる。一方、ウェブサーバ２００は、認証サーバ１００による認証がなされたことを示す情報を受信した場合には、ユーザ端末１０を利用しているユーザがユーザＵ０１本人であると信頼する。この場合、ウェブサーバ２００は、ユーザ端末１０による決済など、本人認証を要する行動を受け付ける。

提供装置５０によって探索される装置とは、ユーザ端末１０が認証サーバ１００と通信するにあたり、通信に用いられる機能を提供する提供元となる装置である。例えば、探索される装置には、代理端末３０や、友人端末３５や、店舗端末４０や、クラウドサーバ４５が含まれる。また、ユーザ端末１０と認証サーバ１００との通信において要する機能は、ユーザ端末１０が有する機能や、ユーザ端末１０が置かれた状況によって異なる場合がある。このため、探索される装置は、提供装置５０による探索処理の度に異なる場合がある。

〔３．ユーザ端末の構成〕
次に、図５を用いて、実施形態に係るユーザ端末１０の構成について説明する。図５は、実施形態に係るユーザ端末１０の構成例を示す図である。図５に示すように、ユーザ端末１０は、通信部１１と、入力部１２と、表示部１３と、認証部１４と、制御部１５とを有する。なお、ユーザ端末１０が有する各処理部の接続関係は、図５に示した接続関係に限られず、他の接続関係であってもよい。

通信部１１は、ネットワークＮと有線又は無線で接続され、提供装置５０や、認証サーバ１００や、ウェブサーバ２００等との間で情報の送受信を行う。例えば、通信部１１は、ＮＩＣ（Network Interface Card）等によって実現される。

入力部１２は、ユーザから各種操作を受け付ける入力装置である。例えば、入力部１２は、ユーザ端末１０に備えられた操作キー等によって実現される。また、入力部１２には、画像を撮影するための撮像装置（カメラ等）や、音声を集音する集音機器（マイク等）が含まれてもよい。表示部１３は、各種情報を表示するための表示装置である。例えば、表示部１３は、液晶ディスプレイ等によって実現される。なお、ユーザ端末１０にタッチパネルが採用される場合には、入力部１２の一部と表示部１３とは一体化される。

認証部１４は、ユーザ端末１０を利用するユーザの認証を行う。具体的には、認証部１４は、各種認証器を用いて、ユーザから入力される情報を受け付ける。そして、認証部１４は、各種認証器に予め登録されているデータと入力データとを照合させる。そして、認証部１４は、照合結果を制御部１５に送る。なお、認証器に予め登録されるデータは、登録データ記憶部１４ａに記憶される。また、登録データ記憶部１４ａには、ユーザ端末１０が利用する認証器に関する情報が記憶される。例えば、ユーザＵ０１がクラウドサーバ４５を認証器として利用する場合には、クラウドサーバ４５に関する情報（例えば、接続に用いられるアドレス等）が登録データ記憶部１４ａに記憶される。

認証部１４は、認証器として、例えば、指紋認証器Ａ１１を有する。指紋認証器Ａ１１は、ユーザから予め指紋データの登録を受け付ける。そして、指紋認証器Ａ１１は、認証の際には、ユーザ端末１０を利用するユーザから指紋の入力を受け付け、登録されていた指紋データとの照合により、本人認証を行う。なお、認証器は、指紋認証器に限られず、例えば、虹彩認証器であったり、声紋認証器であったりしてもよい。

また、ユーザ端末１０は、認証器として、上記の例以外にも、種々の情報を用いる認証器を備えていてもよい。例えば、ユーザ端末１０は、ユーザの顔の画像データを用いて認証を行う顔認証器を備えていてもよい。また、ユーザ端末１０がウェアラブルデバイスである場合、ユーザ端末１０は、備えられた各種センサを認証器として用いてもよい。すなわち、ユーザ端末１０は、ユーザから取得されるセンサデータを予め保持しておき、ユーザに利用される際に、予め保持していたセンサデータとの照合を行うことで、ユーザの本人性を認証する。なお、認証器は、生体情報を用いた認証を行う認証器に限られない。例えば、認証器は、ユーザＵ０１が所有する所定の物理キーをユーザ端末１０に接続することによって認証を行うハードウェア認証器であってもよいし、ユーザ端末１０に内蔵されるＳＩＭカード（Subscriber Identity Module Card）の内容を判定することで認証を行うＳＩＭカード認証器であってもよい。また、ユーザ端末１０は、ユーザ端末１０が接続した機器に割り当てられた識別情報に基づいてユーザを認証するような認証器を備えていてもよい。この場合、認証器は、例えば、ユーザ端末１０と無線で接続されるルータ等に固有に割り当てられる識別情報（ＭＡＣ（Media Access Control）アドレス等）を判定する。そして、認証器は、判定した識別情報が、認証対象となるユーザが通常利用している機器の識別情報と齟齬がない場合、ユーザ端末１０を利用するユーザを本人であると認証する。

制御部１５は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、ユーザ端末１０内部の記憶装置に記憶されている各種プログラムがＲＡＭ（Random Access Memory)を作業領域として実行されることにより実現される。また、制御部１５は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現される。

制御部１５は、ユーザ端末１０において行われる認証処理や、提供装置５０と協働する処理や、認証サーバ１００やウェブサーバ２００と送受信する情報の管理等の処理を制御する。図５に示すように、制御部１５は、取得部１６と、認証制御部１７と、送信部１８とを有し、以下に説明する情報処理の機能や作用を実現または実行する。例えば、制御部１５は、ＲＡＭを作業領域として上述したアプリを実行することにより、取得部１６、認証制御部１７及び送信部１８を実現する。なお、制御部１５の内部構成は、図５に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。

取得部１６は、各種情報を取得する。例えば、取得部１６は、認証サーバ１００やウェブサーバ２００から送信される情報を受信する。また、取得部１６は、認証サーバ１００やウェブサーバ２００から送信される、ユーザ端末１０を利用するユーザの本人認証を求める通信パケットを受信する。また、取得部１６は、認証部１４から要求される各種情報を取得する。例えば、取得部１６は、入力部１２を介して、ユーザ端末１０を利用するユーザの指紋データを取得する。また、取得部１６は、提供装置５０によって提供される機能に関する情報を取得する。

認証制御部１７は、認証処理に関する処理を制御する。例えば、認証制御部１７は、認証サーバ１００からの本人認証の要求に従い、認証部１４が有する指紋認証器Ａ１１を動作させる。そして、認証制御部１７は、ユーザＵ０１から指紋データの入力を受け付ける処理や、指紋認証器Ａ１１によって行われる認証処理を制御する。

また、認証制御部１７は、提供装置５０との通信を制御する。例えば、認証制御部１７は、提供装置５０に対して送信する、ユーザ端末１０が有する認証器の種類や、ユーザ端末１０が生成手段を有するか否か等の、ユーザ端末１０に関する情報を検出する。また、認証制御部１７は、提供装置５０から提供される機能を受け付ける。そして、認証制御部１７は、認証サーバ１００との通信が成立するよう、提供装置５０から受け付けた機能を利用する。また、認証制御部１７は、ユーザ端末１０が認証サーバ１００との通信に用いられるプロトコルを利用する機能がない場合には、かかる情報を提供装置５０に送信し、代理端末３０等の他の端末を利用して特定のプロトコルによる通信を成立させるよう制御する。すなわち、認証制御部１７は、提供装置５０によって提供された機能を利用して、認証サーバ１００に対する認証処理の制御を行う。

送信部１８は、各種情報を送信する。例えば、送信部１８は、提供装置５０に対してユーザ端末１０の現状の機能や構成等の情報を送信する。また、送信部１８は、提供装置５０を介して提供された認証結果情報を認証サーバ１００に送信する。また、送信部１８は、認証サーバ１００から送信された、認証済み情報をウェブサーバ２００等に送信する。

なお、図５に示したユーザ端末１０の構成は一例であり、必ずしも図５に示した各処理部をユーザ端末１０が備えていなくともよい。例えば、ユーザ端末１０は、認証器を内部に備えていなくてもよい。この場合、ユーザ端末１０が提供装置５０と協働することにより、外部に備えられた所定の認証器の機能がユーザ端末１０に提供される。

〔４．提供装置の構成〕
次に、図６を用いて、実施形態に係る提供装置５０の構成について説明する。図６は、実施形態に係る提供装置５０の構成例を示す図である。図６に示すように、提供装置５０は、通信部５１と、記憶部５２と、制御部５５とを有し、ユーザ端末１０と協働して、各種処理を行う。なお、提供装置５０は、提供装置５０を利用する管理者等から各種操作を受け付ける入力部（例えば、キーボードやマウス等）や、各種情報を表示するための表示部（例えば、液晶ディスプレイ等）を有してもよい。

（通信部５１について）
通信部５１は、例えば、ＮＩＣ等によって実現される。通信部５１は、ネットワークＮと有線又は無線で接続され、ネットワークＮを介して、ユーザ端末１０や、探索される各種端末との間で情報の送受信を行う。

（記憶部５２について）
記憶部５２は、例えば、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部５２は、端末情報記憶部５３と、ユーザ情報記憶部５４とを有する。

（端末情報記憶部５３について）
端末情報記憶部５３は、提供装置５０と通信する端末装置に関する情報を記憶する。ここで、図７に、実施形態に係る端末情報記憶部５３の一例を示す。図７は、実施形態に係る端末情報記憶部５３の一例を示す図である。図７に示した例では、端末情報記憶部５３は、「端末ＩＤ」、「生成手段」、「認証器ＩＤ」、「登録先」、「タイプ」、「登録データ」、「認証ユーザ」、「信頼性」、「秘密鍵」といった項目を有する。

「端末ＩＤ」は、端末装置を識別する識別情報を示す。なお、実施形態において、端末ＩＤは、端末装置の参照符号と一致するものとする。例えば、ユーザ端末１０の端末ＩＤは「１０」と示され、代理端末３０の端末ＩＤは「３０」と示される。

「生成手段」は、認証サーバ１００が受信可能な認証結果情報を生成する機能を有するか否かを示す。図７では、生成手段の項目が「０」の場合は、生成手段を有さず、生成手段の項目が「１」の場合は、生成手段を有することを示す。

「認証器ＩＤ」は、認証器を識別する識別情報を示す。なお、実施形態において、認証器ＩＤは、認証器の参照符号と一致するものとする。例えば、指紋認証器Ａ１１の認証器ＩＤは、「Ａ１１」と示される。

「登録先」は、登録されている認証器の所在場所を示す。例えば、図７において、「内部」と示された場合には、かかる認証器は、端末装置内部に備えられていることを示す。また、「店舗端末４０」や「クラウドサーバ４５」と示された場合には、示された装置内に認証器が備えられていることを示す。

「タイプ」は、認証器のタイプを示す。実施形態において、認証器のタイプは、認証器が照合することのできる情報によって示される。例えば、認証器のタイプが「指紋」である場合、かかる認証器は、指紋データによって本人認証を行うことを示す。

「登録データ」は、本人認証のため、予め認証器に登録されるデータを識別する情報を示す。図７では、「登録データ」は、「Ｂ１１」など概念的に示しているが、実際には、登録データの項目には、ユーザの指紋データであったり、虹彩データであったり、声紋データ等が記憶される。なお、一つの認証器に複数の登録データが登録されてもよい。例えば、図７では、指紋認証器Ａ４５に「Ｂ１３」と「Ｂ３３」の２つのデータが登録されている例を示している。これは、指紋認証器Ａ４５に同一のユーザ「Ｕ０１」が登録を行う場合であっても、登録元の端末が異なるときには、指紋認証器Ａ４５に登録されるデータそのものは異なることを示している。

「認証ユーザ」は、認証器が認証するユーザを示す。なお、認証ユーザは、一つの認証器に対して複数登録されていてもよい。この場合、認証器は、登録データと認証ユーザを１つのペアとし、認証ユーザの数と同じ数の登録データを少なくとも有する。

「信頼性」は、提供装置５０によって管理される認証器の信頼性を示す。図７の例では、信頼性は、１から５までの５段階の数値で示すものとし、数字が大きいほど信頼性が高いものとする。信頼性の項目は、例えば、認証器の信頼性を示すリストを参照することで、提供装置５０に係る登録部５６により自動的に設定されてもよいし、提供装置５０の管理者により設定されてもよい。また、信頼性の項目は、認証サーバ１００からの指定により設定されてもよい。また、信頼性の項目は、認証器ごとではなく、登録データごとに設定されてもよい。

信頼性の項目は、認証器のタイプや、認証器が所在する場所等によって設定される。例えば、認証器が本人を認証する情報が生体情報である場合は、第三者が不正に認証器を用いて本人認証を行うことは難しいため、認証器の信頼性は高く判定される。また、クラウド上にある認証器は、第三者から不正にアクセスを受ける可能性が高いため、認証器の信頼性は低く判定される。また、回線提供会社等が設置する店舗に置かれる店舗端末４０にある認証器は、第三者が不正に使用することは難しいため、認証器の信頼性は高く判定される。なお、このような信頼性の設定手法は一例であり、提供装置５０、又は認証サーバ１００は、他の種々の手法により、信頼性の設定を行ってもよい。

「秘密鍵」は、認証サーバ１００に対して登録が行われた認証器の認証に対して発行される鍵情報を示す。認証結果情報を生成する手段を持つ端末装置は、認証器での認証の結果を、秘密鍵を用いて署名を付し、認証結果情報として生成する。認証結果情報は特定のプロトコルを用いて認証サーバ１００に送信され、認証サーバ１００による認証処理が行われる。なお、認証サーバ１００は、秘密鍵に対応する公開鍵を記憶しているものとする。なお、端末が生成手段を有さない場合であっても、端末が利用する認証器に秘密鍵が発行されている場合がある。例えば、端末がクラウドサーバ４５等に備えられた外部の認証器を利用する場合であり、かつ、クラウドサーバ４５が認証結果情報を生成することができる場合には、かかる認証器による認証に対して、秘密鍵が発行される場合がある。

すなわち、図７では、端末ＩＤ「１０」で識別される端末装置は、生成手段を有さないが、認証器として「Ａ１１」、「Ａ４０」、「Ａ４５」が利用可能であることを示している。そのうち、指紋認証器Ａ１１は、ユーザ端末１０「内部」に備えられており、ＰＩＮ認証器Ａ４０は「店舗端末４０」に備えられており、指紋認証器Ａ４５は「クラウドサーバ４５」に備えられていることを示している。それぞれの登録データは「Ｂ１１」、「Ｂ１２」、「Ｂ１３」であり、いずれもユーザ「Ｕ０１」を認証するために用いられる登録データである。それぞれの認証器の信頼性は、「３」、「５」、「２」である。また、ユーザ端末１０が利用する認証器のうち、認証サーバ１００に登録されている認証器は、「Ａ４０」と「Ａ４５」であり、それぞれの秘密鍵は、「Ｋ１２１」と「Ｋ１３１」である一例を示している。

（ユーザ情報記憶部５４について）
ユーザ情報記憶部５４は、提供装置５０を利用するユーザに関する情報を記憶する。ここで、図８に、実施形態に係るユーザ情報記憶部５４の一例を示す。図８は、実施形態に係るユーザ情報記憶部５４の一例を示す図である。図８に示した例では、ユーザ情報記憶部５４は、「ユーザＩＤ」、「所有端末ＩＤ」、「生成手段」、「回線提供会社」、「信頼ユーザ」、「サービスＩＤ」、「認証履歴情報」といった項目を有する。

「ユーザＩＤ」は、ユーザを識別する識別情報を示す。なお、ユーザＩＤは、ユーザの参照符号と一致するものとする。例えば、ユーザＵ０１のユーザＩＤは「Ｕ０１」と示される。

「所有端末ＩＤ」は、ユーザが所有する端末ＩＤを示す。また、「生成手段」は、それぞれの端末が生成手段を有するか否かを示す。「回線提供会社」は、端末が利用する回線を提供している会社を識別する情報を示す。回線提供会社が共通する端末は、例えば、共通する店舗端末４０を利用することができる。

「信頼ユーザ」は、所定のユーザから、信頼するユーザとして設定されているユーザの識別情報を示す。信頼ユーザは、例えば、ユーザが提供装置５０に対して設定を行ったり、ユーザが回線提供会社に申し出たり、認証サーバ１００に対して設定を行うこと等によって、設定される。信頼ユーザに設定されたユーザは、信頼ユーザとして設定しているユーザと、互いに所有端末の機能を共有したり、相手に不足している機能を提供したりすることができるものとする。例えば、信頼ユーザは、当該ユーザの家族や友人が該当する。

「サービスＩＤ」は、ウェブサーバ２００から提供されるサービスを利用する際に用いられるユーザの識別情報である。サービスＩＤは、サービスごとに発行されるものとする。図８では、サービスＩＤが各ユーザに対して一つずつ発行されており、また、かかるサービスＩＤは、同一のサービスから発行されている例を示している。サービスＩＤは、例えば、ユーザの本人性を示す情報の１つとして用いられる。

「認証履歴情報」は、各ユーザに対して、提供装置５０が行った処理の履歴を示す情報である。図８では、認証履歴情報を「Ｒ０１」といった概念で表記しているが、実際には、認証履歴情報は、ユーザ端末１０と提供装置５０との通信ログや、提供装置５０が探索した装置に関する情報や、ユーザ端末１０と認証サーバ１００との通信ログ等によって構成される。提供装置５０は、提供処理の際に認証履歴情報を参照することで、ユーザに対して適すると想定される提供処理を迅速に行うことができる。

すなわち、図８では、ユーザＩＤ「Ｕ０１」によって識別されるユーザＵ０１は、端末ＩＤ「１０」と「３０」とによって識別される端末を所有しており、「１０」は生成手段がなく、「３０」は生成手段を有しており、それぞれの端末の回線提供会社は「Ｃ０１」である。また、ユーザＵ０１は、ユーザＵ０２を信頼ユーザとして設定しており、また、ユーザＵ０１のサービスＩＤは「Ｙ０１」であり、認証履歴情報は「Ｒ０１」である一例を示している。

（制御部５５について）
制御部５５は、例えば、ＣＰＵやＭＰＵ等によって、提供装置５０内部の記憶装置に記憶されている各種プログラム（提供プログラムの一例に相当）がＲＡＭを作業領域として実行されることにより実現される。また、制御部５５は、例えば、ＡＳＩＣやＦＰＧＡ等の集積回路により実現される。

図６に示すように、制御部５５は、登録部５６と、検出部５７と、探索部５８と、提供部５９とを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部５５の内部構成は、図６に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。また、制御部５５が有する各処理部の接続関係は、図６に示した接続関係に限られず、他の接続関係であってもよい。

（登録部５６について）
登録部５６は、提供装置５０を利用する端末、及び、ユーザに関する情報を登録する。例えば、登録部５６は、ユーザ端末１０を利用するユーザＵ０１が認証を行うための認証器の登録を受け付ける。なお、登録部５６は、ユーザＵ０１から登録の申し出を受け付けることにより情報を登録してもよいし、検出部５７や探索部５８が行った処理の結果、取得された端末等に関する情報を登録してもよい。例えば、登録部５６は、認証を受けるユーザＵ０１が利用するユーザ端末１０に関する情報、及び、ユーザＵ０１に関する情報等を登録する。また、登録部５６は、ユーザＵ０１が利用するユーザ端末１０以外の端末装置（例えば、代理端末３０）に関する情報や、ユーザＵ０１が信頼するユーザであるユーザＵ０２が利用する友人端末３５等に関する情報を登録する。登録部５６は、登録した情報について、適宜、端末情報記憶部５３や、ユーザ情報記憶部５４に格納する。

また、登録部５６は、登録された情報の更新を行う。例えば、登録部５６は、認証器の信頼性に関する情報を登録したのち、かかる認証器への信頼性が低下する事象（例えば、第三者による不正な利用が検出された場合など）が検出された場合、かかる認証器の信頼性が低くなるよう、情報を更新する。また、登録部５６は、認証サーバ１００から送信される情報に基づいて、認証器に関する情報の更新を行ってもよい。例えば、登録部５６は、認証サーバ１００が指定する信頼性の値に基づいて、認証器に設定される信頼性の値を更新する。このように、登録部５６は、各端末に備えられた認証器等の情報を管理し、認証器の信頼性を担保することにより、ローカルで行われるユーザの認証の適切性を担保する。

（検出部５７について）
検出部５７は、ユーザの本人認証を行う認証器による認証結果に対して、所定の秘密鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで、当該ユーザの本人性を認証する認証サーバ１００との通信で用いられる機能のうち、当該ユーザに利用されるユーザ端末１０が有しない機能を検出する。

ここで、検出部５７が検出する機能は、以下のように整理される。すなわち、検出部５７は、認証サーバ１００から本人認証を受ける処理において、認証を要求するユーザ端末１０側において用いられる認証器の機能（認証機能）や、認証サーバ１００により規定される特定の認証手順（プロトコル）によって処理される情報であって、認証器の認証結果に基づいて生成される認証結果情報を生成する機能（生成機能）等を検出する。また、検出部５７は、認証機能や生成機能を実現するための各種機能（手段）についても検出する。例えば、検出部５７は、認証器のうち、端末側が備えている認証器とは異なる認証機能を用いて本人認証を行うことができる認証器を検出するようにしてもよい。

すなわち、検出部５７は、ユーザ端末１０が有しない機能の検出として、まず、ローカル側での認証を行う機能を備えているか否かを検出する。そして、検出部５７は、ユーザ端末１０が認証機能自体を備えていない場合には、ユーザ端末１０にいずれかの認証器を提供できるよう、いずれかの認証器を検出する。なお、検出部５７は、検出したいずれかの認証器のうち、ユーザ端末１０の利用状況等に基づき、適する認証器を選択して検出するようにしてもよい。一方、検出部５７は、ユーザ端末１０が認証機能自体を備えている場合には、ユーザにとってより利便性のよい認証が可能となるよう、さらに異なる認証機能（認証方式）を有する認証器を検出してもよい。

例えば、検出部５７は、端末側が指紋認証器Ａ１１を備えており、ユーザの本人認証を行う機能自体を有している場合には、その他の認証方式を用いる認証器を検出する。具体的には、検出部５７は、ユーザ端末１０が有しない機能として、ユーザの虹彩データを照合することで認証を行う機能を有する虹彩認証器や、ユーザの音声データを照合することで認証を行う機能を有する声紋認証器を検出することができる。また、検出部５７は、例えば、端末側が、あるプロトコルに対応する認証結果情報を生成する機能を有しているものの、他のプロトコルに対応する認証結果情報を生成する機能を有していない場合には、当該プロトコルに対応する認証結果情報を生成する機能を検出する。このように、検出部５７は、端末側が有さない機能として、認証サーバ１００との通信で用いられる機能、及び、その機能を実現するための機能（手段）を検出する。このように、検出部５７は、ユーザが利用するユーザ端末１０が認証サーバ１００から認証を受けるにあたって、認証サーバ１００との通信に用いられる機能を検出する。これにより、ユーザ端末１０は、例えば、自身がある認証器を有している場合であっても、他の認証方式を採用する認証器を有していない場合等に、提供装置５０を利用することで、他の認証方式を採用する認証器を検出させ、利用することができる。

また、検出部５７は、認証サーバ１００との通信において要する種々の機能のうち、通信を試みるユーザ端末１０に不足する機能を検出することで、認証サーバ１００から認証を受けるためにユーザ端末１０側に提供されるべき機能を特定する。

例えば、検出部５７は、認証サーバ１００から通信を求められた時点のユーザ端末１０の状況に応じて、認証サーバ１００との通信に用いられる機能を検出する。すなわち、検出部５７は、ユーザ端末１０が認証サーバ１００から認証器による認証を求められた際のユーザ端末１０の状況を取得する。そして、検出部５７は、取得した情報に基づいて、例えばユーザ端末１０に不足する機能を検出する。このように、検出部５７は、ユーザ端末１０が認証を求められた際の状況に基づいて検出処理を行うことにより、その状況に適した機能を優先的に検出することができる。また、検出部５７は、ユーザ端末１０が置かれた環境に基づいて、認証サーバ１００との通信に用いられる機能を検出することができる。例えば、ユーザ端末１０が虹彩認証器を備えている場合であって、ユーザ端末１０の置かれた環境において、照度が低く、虹彩を撮影することができない場合には、検出部５７は、かかる環境に基づいて、虹彩認証器とは異なる認証方式を用いる認証器を検出することができる。なお、かかる処理においては、検出部５７は、例えば、ユーザ端末１０が備える各種センサ（照度センサ等）の情報を適宜取得し、取得した情報を利用するようにしてもよい。

また、検出部５７は、認証サーバ１００から求められる認証強度を満たす認証結果情報を生成するために用いられる機能を検出するようにしてもよい。ここで、認証強度とは、認証処理において、間違いなく本人であるという確実性を示す指標値をいう。例えば、認証サーバ１００は、サービスの安全性の確保のため、提供装置５０によって代理する処理を制限する場合がある。例えば、認証サーバ１００は、ローカルでの認証処理において、クラウドサーバ４５等の信頼性の低い装置による代理処理については、求める認証強度が確保できないものとして、代理して生成された認証結果情報を認証しないことがありうる。検出部５７は、このような認証サーバ１００からの要求に応じて、認証強度を満たすような機能を検出する。例えば、検出部５７は、ユーザ端末１０内に複数の認証器がある場合には、そのうち最も信頼性の高い認証器を検出する。このように、検出部５７は、認証サーバ１００の要求を満たすと想定される機能を優先的に検出することができる。

また、検出部５７は、登録部５６によって登録されている情報に基づいて、ユーザ端末１０が認証サーバ１００に認証結果情報を送信するにあたり、認証サーバ１００との通信に不足する機能を検出するようにしてもよい。例えば、図７に示すように、ユーザ端末１０は生成手段を有さないという情報が、登録部５６によって端末情報記憶部５３に記憶されている。この場合、検出部５７は、端末情報記憶部５３を参照することにより、ユーザ端末１０から情報を取得せずとも、生成手段という機能が不足していることを検出することができる。このように、検出部５７は、予め登録されている情報を用いることで、処理の負荷を軽減し、処理の効率を向上させることができる。

（探索部５８について）
探索部５８は、検出部５７によって検出された機能に対応する機能を有する外部装置を探索する。例えば、探索部５８は、検出部５７によって、認証サーバ１００と通信するユーザ端末１０内に不足する機能が検出された場合、検出された機能を代理するため、検出された機能に対応する機能を有する外部装置を探索する。

探索部５８は、端末情報記憶部５３やユーザ情報記憶部５４に記憶されている情報を参照して外部装置を探索してもよいし、ネットワーク内を探索する所定のクロール機能を利用して外部装置を探索してもよい。例えば、探索部５８は、ユーザ端末１０を代理する外部装置として、ユーザが所有するユーザ端末１０以外の端末である代理端末３０や、ユーザの関係者（例えば、家族や友人）が所有する端末である友人端末３５や、所定の事業者によって営業される店舗に設置される店舗端末４０や、ネットワークを介して利用可能なクラウド上にあるクラウドサーバ４５等を探索する。このように、探索部５８は、種々の外部装置を探索し、利用可能な認証器機能や生成手段を調達するようにしてもよい。

（提供部５９について）
提供部５９は、検出部５７によって検出された機能に対応する機能を、認証サーバ１００に認証結果情報を送信するユーザ端末１０側に提供する。すなわち、提供部５９は、検出部５７によって検出された、認証サーバ１００との通信において用いられる機能に関する情報を取得し、これらの機能をユーザ端末１０側に提供する。具体的には、提供部５９は、検出部５７によって検出された、ユーザ端末１０に不足する機能に対応する機能をユーザ端末１０側に提供する。

提供部５９は、検出部５７及び探索部５８と協働し、ユーザ端末１０が認証サーバ１００と問題なく通信が行えるよう、種々の機能を提供する。例えば、提供部５９は、認証サーバ１００から通信を求められた時点のユーザ端末１０の状況に応じて、認証サーバ１００との通信に不足する機能が検出された場合には、不足する機能に対応する機能をユーザ端末１０側に提供する。また、提供部５９は、ユーザ端末１０側が認証サーバ１００から所定の認証強度を有する認証結果情報の送信を要求する場合には、要求を満たすような機能をユーザ端末１０側に提供する。

また、提供部５９は、機能の提供にあたり、端末情報記憶部５３や、ユーザ情報記憶部５４に記憶された情報を適宜利用する。例えば、提供部５９は、認証対象であるユーザＵ０１が所有する端末が複数あるという情報を取得した際に、ユーザＵ０１が所有する端末に生成手段を有する代理端末３０が含まれる場合、代理端末３０が有する機能をユーザ端末１０側に提供する。このように、提供部５９は、認証対象となるユーザが身近に利用することのできる機能がある場合には、かかる機能を優先的に提供するようにしてもよい。

また、提供部５９は、ユーザ端末１０が認証器を有さない場合や、ユーザ端末１０が有する端末が利用できない場合、所定の条件に基づいて、ユーザＵ０１の認証を行う認証器を提供してもよい。例えば、提供部５９は、ユーザ端末１０が認証サーバ１００から認証要求を受け付けた際に、要求される認証の信頼性を参照する。例えば、認証サーバ１００は、ユーザ端末１０が利用しようとするサービスが、本人認証に高い信頼性を要求している場合、ユーザ端末１０で行われる認証が信頼性の高い認証器で行われることを求めることができる。具体的には、決済サービス等を提供するウェブサーバ２００は、ユーザ端末１０を利用するユーザＵ０１に対して、信頼性の高い認証が行われることを所望する。

この場合、提供部５９は、認証器の信頼性に関する情報に基づいて、認証結果情報を生成する基となる認証器を選択する。具体的には、提供部５９は、信頼性が「４」以上の認証器を優先的にユーザＵ０１に提供する。ユーザ端末１０は、例えば、表示部１３にその旨を表示し、ユーザにその旨を通知するようにしてもよい。一例として、ユーザ端末１０は、表示部１３に対応するディスプレイに「店舗端末４０を介して認証を行ってください」といった旨を表示することで、選択された認証器をユーザに通知する。この際、提供部５９は、例えば、ユーザ端末１０と店舗端末４０との接続を確立させ、ユーザ端末１０からＰＩＮコードの送信を促すこと等により、信頼性の高い認証器による機能を提供する。

なお、提供部５９は、ユーザ端末１０から受け付けた要求に応じて、検出部５７によって検出された機能をユーザ端末１０に提供するようにしてもよい。例えば、提供部５９は、ユーザが現に利用しているユーザ端末１０よりも、使い勝手のよい外部の端末や外部の機能を利用したい旨の要求をユーザ端末１０から受け付ける。そして、提供部５９は、ユーザ端末１０から受け付けた要求に応じて、ユーザ端末１０に検出された機能を提供する。このように、ユーザは、提供装置５０を利用することで、所望する機能を利用しつつ、認証処理を行うことができる。

〔５．認証サーバの構成〕
次に、図９を用いて、実施形態に係る認証サーバ１００の構成について説明する。図９は、実施形態に係る認証サーバ１００の構成例を示す図である。図９に示すように、認証サーバ１００は、通信部１１０と、記憶部１２０と、制御部１３０とを有する。なお、認証サーバ１００は、認証サーバ１００を利用する管理者等から各種操作を受け付ける入力部（例えば、キーボードやマウス等）や、各種情報を表示するための表示部（例えば、液晶ディスプレイ等）を有してもよい。

（通信部１１０について）
通信部１１０は、例えば、ＮＩＣ等によって実現される。通信部１１０は、ネットワークＮと有線又は無線で接続され、ネットワークＮを介して、ユーザ端末１０やウェブサーバ２００との間で情報の送受信を行う。なお、通信部１１０は、ユーザ端末１０との間で認証結果情報を送受信する場合には、安全性の高い特定のプロトコルによって通信を行う。

（記憶部１２０について）
記憶部１２０は、例えば、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部１２０は、登録情報記憶部１２１を有する。

（登録情報記憶部１２１について）
登録情報記憶部１２１は、認証サーバ１００に登録された認証器に関する情報を記憶する。ここで、図１０に、実施形態に係る登録情報記憶部１２１の一例を示す。図１０は、実施形態に係る登録情報記憶部１２１の一例を示す図である。図１０に示した例では、登録情報記憶部１２１は、「通信先情報」、「認証器ＩＤ」、「タイプ」、「登録データ」、「認証ユーザ」、「信頼性」、「公開鍵」といった項目を有する。

「通信先情報」は、認証器が所在する通信先を示す。通信先は、例えば、端末装置やサーバ装置である。具体的には、通信先情報の項目には、認証サーバ１００と通信可能な端末装置である代理端末３０等を識別する情報が記憶される。

「認証器ＩＤ」、「タイプ」、「登録データ」、「認証ユーザ」、「信頼性」の各項目は、図７で説明した項目に対応する。「公開鍵」は、認証器の登録の際に認証器側から送信される鍵情報であり、同時に発行された秘密鍵と対になる鍵を示す。公開鍵は、登録データごとに発行されるため、登録データに対応付けられて記憶される。

すなわち、図１０では、通信先である「代理端末３０」において、登録されている認証器は「Ａ３１」と「Ａ３２」であり、それぞれの認証タイプは、「虹彩」と「声紋」であり、それぞれの登録データは「Ｂ３１」と「Ｂ３２」であり、いずれの登録データもユーザ「Ｕ０１」を認証するものであり、それぞれの認証器の信頼性は「４」と「３」であり、それぞれの公開鍵は「Ｋ３１２」と「Ｋ３２２」である一例を示している。なお、かかる一例は、すなわち、虹彩認証器Ａ３１において、ユーザＵ０１が認証を行い、登録データＢ３１との照合が行われ、その結果を用いて認証結果情報が生成された場合、認証サーバ１００は、公開鍵「Ｋ３１２」を用いて認証結果情報を検証する、ということを示している。

（制御部１３０について）
制御部１３０は、例えば、ＣＰＵやＭＰＵ等によって、認証サーバ１００内部の記憶装置に記憶されている各種プログラム（生成プログラムの一例に相当）がＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、例えば、ＡＳＩＣやＦＰＧＡ等の集積回路により実現される。

図９に示すように、制御部１３０は、受信部１３１と、登録部１３２と、解析部１３３と、送信部１３４とを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部１３０の内部構成は、図９に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。また、制御部１３０が有する各処理部の接続関係は、図９に示した接続関係に限られず、他の接続関係であってもよい。

（受信部１３１について）
受信部１３１は、各種情報を受信する。例えば、受信部１３１は、認証サーバ１００における認証を所望する装置から、認証器の登録の要求を受信する。また、受信部１３１は、例えば、ユーザ端末１０がウェブサーバ２００にアクセスし、アクセス先のウェブサーバ２００が提供するサービスがユーザ端末１０に認証を要求する場合に、かかる認証要求をウェブサーバ２００から受信する。この場合、受信部１３１が受け付けた認証要求に対応して、後述する送信部１３４は、ユーザ端末１０に認証を行わせる旨の通知を送信する。また、受信部１３１は、認証処理において、ローカルで行われた認証結果に基づいて生成される情報である認証結果情報を受信する。受信部１３１は、認証サーバ１００が規定する特定のプロトコルを用いて、ユーザ端末１０側と認証結果情報の送受信を行う。

（登録部１３２について）
登録部１３２は、認証器に関する情報を登録する。例えば、登録部１３２は、受信部１３１によって受信された情報に基づいて、登録を要求した端末装置が備える認証器を登録する。登録部１３２は、登録した情報を登録情報記憶部１２１に記憶する。

また、登録部１３２は、認証サーバ１００と認証器の登録データとの間で対になる公開鍵と秘密鍵のうち、公開鍵を登録データと対応付けて記憶する。認証結果情報を解析する際には、解析部１３３は、登録部１３２によって登録された公開鍵を参照し、認証結果情報を検証する。また、登録部１３２は、認証器の信頼性について管理する。例えば、登録部１３２は、認証サーバ１００に認証を求める端末装置や、提供装置５０が利用する認証器を参照し、各認証器の信頼性を判定することにより、登録情報記憶部１２１に記憶されている認証器の信頼性の値を更新する。例えば、登録部１３２は、認証サーバ１００の管理者による設定により、認証器の信頼性を更新する。また、登録部１３２は、認証処理が繰り返される場合、学習処理によって認証器の信頼性を更新してもよい。例えば、所定の認証器による特定のユーザに対する認証が繰り返され、一定数以上問題なく認証が行われていることが観測された場合、登録部１３２は、かかる認証器の信頼性を高くする等の更新を行ってもよい。

なお、登録部１３２が登録する認証器は、認証処理を求めるユーザによって利用される端末装置に限られず、例えば、複数のユーザに利用される店舗端末４０や、クラウドサーバ４５に備えられた認証器であってもよい。この場合、登録部１３２は、例えば店舗端末４０が備える認証器において登録データを登録したユーザごとに、公開鍵の登録を受け付ける。

（解析部１３３について）
解析部１３３は、認証結果情報を解析する。具体的には、解析部１３３は、ユーザ端末１０から送信された認証結果情報を解析し、認証結果情報に基づいて認証されるべきユーザを特定する。この際、解析部１３３は、登録部１３２を介して、認証結果情報の生成元である認証器に対応する公開鍵を用いて認証結果情報を検証する。

そして、解析部１３３は、認証結果情報が生成された際の秘密鍵に対応する公開鍵による検証が確認された場合に、ユーザ端末１０から送信された認証結果情報を正規な認証情報として認める。そして、解析部１３３は、認証結果情報を認証したことを示す情報を送信部１３４に送り、ユーザ端末１０（あるいはウェブサーバ２００）に送信させる。

なお、解析部１３３は、認証結果情報を生成した認証器が、所定の基準よりも信頼性に劣る装置である場合、その認証結果情報で示されたユーザの本人性を認めないものとしてもよい。例えば、解析部１３３は、認証結果情報を生成した認証器が、登録部１３２が管理する登録情報記憶部１２１に記憶されていない場合や、生成元の認証器の信頼性の値が特に低い場合には、その認証結果情報で示されたユーザの本人性を認めないようにしてもよい。

（送信部１３４について）
送信部１３４は、各種情報を送信する。例えば、送信部１３４は、サービスの利用に際してユーザ端末１０を利用するユーザの本人性の認証を行うことが求められた場合に、ユーザ端末１０に、認証を要求する旨の情報を送信する。また、送信部１３４は、認証結果情報を解析した解析部１３３により公開鍵で署名された情報を、ユーザ端末１０、あるいはウェブサーバ２００に送信する。

〔６．処理手順〕
〔６−１．提供装置の処理手順〕
次に、図１１を用いて、実施形態に係る提供装置５０による処理の手順について説明する。図１１は、実施形態に係る提供処理手順を示すフローチャートである。

図１１に示すように、提供装置５０は、ユーザ端末１０等の端末からアクセスを受け付けたか否かを判定する（ステップＳ１０１）。提供装置５０は、アクセスを受け付けていない場合（ステップＳ１０１；Ｎｏ）、受け付けるまで待機する。

一方、アクセスを受け付けた場合（ステップＳ１０１；Ｙｅｓ）、提供装置５０は、端末に関する情報を取得する（ステップＳ１０２）。なお、端末の機能構成等の情報については、提供装置５０は、事前に端末から登録を受け付けておいてもよい。

そして、提供装置５０は、アクセスのあった端末に関して、認証サーバ１００との通信において不足する機能を検出する（ステップＳ１０３）。そして、提供装置５０は、検出された、不足する機能を調達する（ステップＳ１０４）。

そして、提供装置５０は、調達した機能を端末側に提供する（ステップＳ１０５）。これにより、端末は、認証サーバ１００との通信が可能となり、認証サーバ１００からの認証を受けることができる。

〔６−２．認証処理システムの処理手順〕
次に、図１２を用いて、実施形態に係る認証処理システム１による処理の手順について説明する。図１２は、実施形態に係る認証処理手順を示すシーケンス図である。

まず、ユーザ端末１０は、ウェブサーバ２００に対して、サービスの利用を要求する（ステップＳ２０１）。ウェブサーバ２００は、サービスの利用の要求に応答して、認証サーバ１００に対して、ユーザ端末１０の本人認証を要求する（ステップＳ２０２）。

認証サーバ１００は、ウェブサーバ２００からの要求に応答して、規定の認証方式による認証をユーザ端末１０に要求する（ステップＳ２０３）。そこで、単独では認証サーバ１００に対する認証処理を完了させることのできないユーザ端末１０は、提供装置５０にアクセスし、自身の端末情報を提供する（ステップＳ２０４）。

提供装置５０は、アクセスを受け付けたユーザ端末１０について、認証サーバ１００との間の通信で不足する機能を検出する。また、提供装置５０は、検出した機能に対応する機能を調達する（ステップＳ２０５）。

そして、提供装置５０は、調達した機能をユーザ端末１０に提供する（ステップＳ２０６）。そして、ユーザ端末１０は、提供装置５０から提供された機能を利用して、ローカルで認証を行い、かかる結果に基づく認証結果情報を生成する。そして、ユーザ端末１０は、認証サーバ１００から要求される方式に則った認証結果情報を送信する（ステップＳ２０７）。

認証サーバ１００は、ユーザ端末１０から送信された認証結果情報を解析する（ステップＳ２０８）。具体的には、認証サーバ１００は、認証結果情報について、対応する公開鍵を用いて検証する。そして、認証サーバ１００は、認証結果情報が検証されたことをもって、ユーザの認証処理を完了する。そして、認証サーバ１００は、ユーザを認証したことを示した本人認証の結果をウェブサーバ２００に通知する（ステップＳ２０９）。

ウェブサーバ２００は、通知された情報に基づいて、ユーザ端末１０を利用しているユーザの本人認証が保証されたものとして、要求されていたサービスについて、サービスの利用を許可する（ステップＳ２１０）。

〔７．変形例〕
上述した提供装置５０による提供処理は、上記実施形態以外にも種々の異なる形態にて実施されてよい。そこで、以下では、提供装置５０の他の実施形態について説明する。

〔７−１．提供装置の形態〕
上記実施形態において、提供装置５０は、独立した情報処理装置として提供処理を行う例を示した。しかし、提供装置５０は、様々な形態で実現されてよい。例えば、提供装置５０は、ユーザ端末１０に埋め込まれたＩＣチップとして実現されてもよい。また、提供装置５０は、通信部５１や制御部５５の機能が一体化されたプログラム（アプリケーション）として実現されてもよい。提供装置５０がアプリケーションである場合、当該アプリケーションは、ユーザの操作に従ってユーザ端末１０にインストールされることにより実行される。また、この場合、記憶部５２は、ユーザ端末１０が有する所定の記憶領域を利用すること等により実現される。

〔７−２．認証処理システムの動作〕
上記実施形態において、提供装置５０は、代理端末３０等、所定の外部装置を探索し、認証処理に用いる機能を調達する例を示した。ここで、提供装置５０は、認証処理システム１に含まれる各装置について、所定のアプリケーションを利用することで、各装置の機能を検出し、調達するようにしてもよい。

すなわち、ユーザ端末１０や、代理端末３０や、友人端末３５等には、提供装置５０を管理する管理者（例えば、所定のサービスを提供する事業者）から提供される、共通するアプリケーションがインストールされるものとする。提供装置５０は、かかるアプリケーションを制御することにより、例えば、ユーザ端末１０で不足する機能や、ユーザ端末１０を補うことのできる機能を代理端末３０や友人端末３５が有していること等、種々の情報を取得する。また、提供装置５０は、アプリケーションを介して、代理端末３０や友人端末３５が有する機能をユーザ端末１０に提供する。このように、共通するアプリケーションを認証処理システム１に含まれる各装置にインストールすることにより、提供装置５０は、迅速かつ正確に上記実施形態で説明した処理を実現することができる。

〔７−３．多要素認証〕
上記実施形態では、提供装置５０によってユーザ端末１０への機能の提供が行われることにより、ユーザ端末１０が行う認証サーバ１００への通信において、一部の機能が代理されることを示した。ここで、提供装置５０は、認証処理の安全性を高めるため、本来行われるべき処理が代理される場合、多要素認証を採りいれるようにしてもよい。

例えば、提供装置５０は、クラウドサーバ４５が備える認証器によって、ユーザ端末１０側における認証処理が代理される場合、１の生体情報によって認証を行わせるのではなく、他の要素を組み合わせた認証を行わせてもよい。例えば、ユーザ端末１０から指紋データがクラウドサーバ４５に送信され、かかる指紋データに基づいて、認証が行われるとする。この場合、提供装置５０は、クラウドサーバ４５の認証器の機能を提供する際に、例えば、クラウドサーバ４５への回線の条件を設定する。例えば、提供装置５０は、ユーザ端末１０からクラウドサーバ４５への通信は、回線提供会社Ｃ０１が提供する回線のみを認めるといった、回線による認証を１つの要素として採用する。この場合、クラウドサーバ４５は、異なる回線を経由して指紋データが送信されたとしても、かかるデータを有効なものとみなさないことができる。このように、ユーザ端末１０が用いると想定される回線を限定すること等により、提供装置５０は、第三者のなりすまし等による認証処理の悪用を防止することができる。なお、多要素認証の例は上記に限られず、上記実施形態で説明した認証器による認証手段や、サービスＩＤ等を組み合わせて行うこともできる（例えば、クラウドサーバ４５は、指紋データとともに、サービスＩＤの入力を要求し、それらの情報に基づいて、本人認証を行うようにしてもよい）。

〔７−４．ステーション〕
上記実施形態で説明した店舗端末４０や、クラウドサーバ４５は、異なる形態により実現されてもよい。例えば、店舗端末４０や、クラウドサーバ４５は、街中などの所定の場所に設置される認証ステーションの形態で実現されてもよい。この場合、提供装置５０は、ユーザ端末１０が認証サーバ１００による認証を受けるための機能が不足している場合、ユーザ端末１０を利用するユーザＵ０１に対して、認証ステーションの設置位置を通知するといった形態で、認証に用いる機能を提供するようにしてもよい。そして、ユーザＵ０１は、認証ステーションを利用し、ユーザ端末１０に不足する機能を代理させることで、認証サーバ１００による認証を受ける。例えば、ユーザ端末１０に認証器が備えられていない場合、認証ステーションは、認証器としての機能や、認証結果に署名を付して、認証サーバ１００に送信する処理を代理する。なお、提供装置５０は、ユーザＵ０１の本人認証のため、認証ステーションに対するユーザＵ０１の事前登録や、認証ステーションを利用するために用いるＩＤの入力などを、ユーザＵ０１に要求するようにしてもよい。

〔７−５．機能検出〕
上記実施形態では、提供装置５０は、ユーザが利用可能な機能に対応する信頼性に基づいて、機能を検出したり、ユーザ端末１０に機能を提供したりする例を示した。ここで、提供装置５０は、信頼性以外の指標値に基づいて、機能を提供するようにしてもよい。

例えば、提供装置５０は、機能の提供にかかるコストを指標値として、ユーザ端末１０に提供する機能を選択するようにしてもよい。機能の提供にかかるコストとは、例えば、ユーザが機能を利用する際に要する時間や手間をいう。すなわち、提供装置５０は、ユーザが利用しやすい機能を優先的に提供することにより、ユーザにとって利便性の高い提供処理を行うことができる。

例えば、提供装置５０は、検出した機能を有する外部装置のうち、いずれの外部装置へのアクセスがユーザにとって利便性が高いかといった点を判定する。この場合、提供装置５０は、ユーザ端末１０の位置情報と、検出した機能を有する外部装置の位置情報とを取得することにより、よりユーザ端末１０のユーザが利用しやすい機能を提供する。例えば、提供装置５０は、店舗端末４０が備えられた店舗に関する情報を記憶部５２に登録しておき、かかる情報を取得してもよい。なお、提供装置５０は、登録部５６によって登録されていない外部装置等であっても、所定のクロール機能を利用することでネットワークを探索し、外部装置の位置情報を取得してもよい。また、提供装置５０は、ＧＰＳ（Global Positioning System）システム等を利用し、ユーザ端末１０及び外部装置の位置情報を特定するようにしてもよい。

このように、提供装置５０は、ユーザが利用可能な機能に対応する調達コストに基づいて、検出された機能をユーザ端末１０に提供するようにしてもよい。これにより、提供装置５０は、ユーザに対して、より利用しやすいと想定される外部装置を提示し、かかる外部装置の利用を促すことができる。

〔７−６．各装置の構成〕
上記実施形態では、ユーザ端末１０や、提供装置５０や、認証サーバ１００の構成例について、図５、図６及び図９を用いて説明した。しかし、認証処理システム１に含まれる各装置は、必ずしも例示した構成によって実現されなくともよい。例えば、ユーザ端末１０は、図５で例示した全ての処理部を備えることを必ずしも要しない。すなわち、ユーザ端末１０は、表示部１３や認証部１４を必ずしも内部に備えていなくてもよい。また、ユーザ端末１０は、２以上の機器に分離されて図５に示す構成が実現されてもよい。例えば、ユーザ端末１０は、少なくとも認証部１４と認証制御部１７とを有する認証機器と、少なくとも通信部１１と送信部１８とを有する通信機器とが分離された構成を有する、２台以上の機器により実現されてもよい。

〔８．ハードウェア構成〕
上述してきた実施形態に係るユーザ端末１０や、提供装置５０や、認証サーバ１００は、例えば図１３に示すような構成のコンピュータ１０００によって実現される。以下、提供装置５０を例に挙げて説明する。図１３は、提供装置５０の機能を実現するコンピュータ１０００の一例を示すハードウェア構成図である。コンピュータ１０００は、ＣＰＵ１１００、ＲＡＭ１２００、ＲＯＭ１３００、ＨＤＤ１４００、通信インターフェイス（Ｉ／Ｆ）１５００、入出力インターフェイス（Ｉ／Ｆ）１６００、及びメディアインターフェイス（Ｉ／Ｆ）１７００を有する。

ＣＰＵ１１００は、ＲＯＭ１３００又はＨＤＤ１４００に記憶されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ１３００は、コンピュータ１０００の起動時にＣＰＵ１１００によって実行されるブートプログラムや、コンピュータ１０００のハードウェアに依存するプログラム等を記憶する。

ＨＤＤ１４００は、ＣＰＵ１１００によって実行されるプログラム、及び、かかるプログラムによって使用されるデータ等を記憶する。通信インターフェイス１５００は、通信網５００（図４に示したネットワークＮに対応）を介して他の機器からデータを受信してＣＰＵ１１００へ送り、ＣＰＵ１１００が生成したデータを、通信網５００を介して他の機器へ送信する。

ＣＰＵ１１００は、入出力インターフェイス１６００を介して、ディスプレイやプリンタ等の出力装置、及び、キーボードやマウス等の入力装置を制御する。ＣＰＵ１１００は、入出力インターフェイス１６００を介して、入力装置からデータを取得する。また、ＣＰＵ１１００は、入出力インターフェイス１６００を介して生成したデータを出力装置へ出力する。

メディアインターフェイス１７００は、記録媒体１８００に記憶されたプログラム又はデータを読み取り、ＲＡＭ１２００を介してＣＰＵ１１００に提供する。ＣＰＵ１１００は、かかるプログラムを、メディアインターフェイス１７００を介して記録媒体１８００からＲＡＭ１２００上にロードし、ロードしたプログラムを実行する。記録媒体１８００は、例えばＤＶＤ（Digital Versatile Disc）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto-Optical disk）等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。

例えば、コンピュータ１０００が実施形態に係る提供装置５０として機能する場合、コンピュータ１０００のＣＰＵ１１００は、ＲＡＭ１２００上にロードされたプログラムを実行することにより、制御部５５の機能を実現する。また、ＨＤＤ１４００には、記憶部５２内のデータが記憶される。コンピュータ１０００のＣＰＵ１１００は、これらのプログラムを記録媒体１８００から読み取って実行するが、他の例として、他の装置から通信網５００を介してこれらのプログラムを取得してもよい。

〔９．その他〕
また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。例えば、各図に示した各種情報は、図示した情報に限られない。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、図６に示した登録部５６と、検出部５７とは統合されてもよい。また、例えば、記憶部５２に記憶される情報は、ネットワークＮを介して、外部に備えられた記憶装置に記憶されてもよい。

また、上述してきた実施形態及び変形例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

〔１０．効果〕
上述してきたように、実施形態に係る提供装置５０は、検出部５７と、提供部５９とを有する。検出部５７は、ユーザの本人認証を行う認証器による認証結果に対して所定の秘密鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用されるユーザ端末１０が有しない機能を検出する。提供部５９は、検出部５７によって検出された機能を、ユーザが利用するユーザ端末１０に提供する。

このように、実施形態に係る提供装置５０は、認証サーバ１００に対する通信に用いられる機能を検出し、検出した機能をユーザ端末１０に提供する。これにより、提供装置５０は、ユーザ端末１０の構成等を変更せずとも、認証サーバ１００から要求される機能を満たすことを可能にしたり、ユーザが求める利便性の高い機能を提供したりしたうえで、認証処理を行わせることができる。すなわち、提供装置５０によれば、認証サーバ１００から求められる認証要求に柔軟に対応することができる。

また、提供部５９は、ユーザ端末１０から受け付けた要求に応じて、検出部５７によって検出された機能をユーザ端末１０に提供する。

すなわち、実施形態に係る提供装置５０は、ユーザの要求に応じて、検出した機能をユーザ端末１０に提供することができる。これにより、ユーザは、例えば、より使い勝手のよい外部の端末や、外部の機能を利用することができる。このように、提供装置５０は、認証処理において、ユーザビリティを向上させることができる。

また、検出部５７は、認証サーバ１００から通信を求められた時点のユーザ端末１０の状況に応じて、認証サーバ１００との通信に用いられる機能を検出する。

すなわち、実施形態に係る提供装置５０は、ユーザ端末１０が置かれた状況に基づいて、ユーザ端末１０が要する機能を提供する。このように、提供装置５０は、状況に応じた動的な処理を行うことができるため、柔軟な認証処理に対応することができる。

また、検出部５７は、ユーザが利用するユーザ端末１０が認証サーバ１００に認証結果情報を送信するにあたり、認証サーバ１００との通信に不足する機能を検出する。提供部５９は、検出部５７によって検出された不足する機能に対応する機能をユーザ端末１０側に提供する。

このように、実施形態に係る提供装置５０は、例えばユーザ端末１０自体では特定のプロトコルに対応した情報が生成できない場合であっても、所定の代理機能を提供することにより、認証サーバ１００との間で通信可能な情報を生成させることができる。このように、提供装置５０によれば、単独では認証サーバ１００との認証処理ができないユーザ端末１０に対しても、認証処理を行わせることができる。

検出部５７は、認証サーバ１００から求められる認証強度を満たす認証結果情報を生成するために用いられる機能を検出する。提供部５９は、ユーザ端末１０側が認証サーバ１００から求められる認証強度を満たす認証結果情報を生成するための機能を提供する。

このように、実施形態に係る提供装置５０は、認証サーバ１００からの要求に応じて、ユーザ端末１０に提供する機能を調整する。すなわち、提供装置５０は、本人認証を要する様々なサービスにおいて、各々の認証強度に応じたサービスが提供されている場合等に、各々に即した認証強度による認証処理を行うための機能を提供できる。

また、実施形態に係る提供装置５０は、ユーザが利用するユーザ端末１０、及びユーザに関する情報を登録する登録部５６を備える。検出部５７は、登録部５６によって登録されている情報に基づいて、ユーザ端末１０が認証サーバ１００に認証結果情報を送信するにあたり、認証サーバ１００との通信に用いられる機能を検出する。提供部５９は、検出部５７によって検出された機能を、ユーザ端末１０側に提供する。

このように、実施形態に係る提供装置５０は、予めユーザ端末１０等に関する情報の登録を受け付ける。そして、提供装置５０は、登録された情報に基づいて、機能の検出、提供を行うことにより、迅速かつ正確にユーザ端末１０が要する機能を提供することができる。

また、登録部５６は、ユーザが利用する複数の端末装置に関する情報、又は、ユーザが信頼するユーザが利用する端末装置に関する情報を登録する。提供部５９は、登録部５６によって登録された端末装置のいずれかを利用して、検出部５７によって検出された機能をユーザ端末１０側に提供する。

このように、実施形態に係る提供装置５０は、登録された情報のうち、同一ユーザによって所有されている端末や、ユーザと関わりのある信頼ユーザ等が所有している端末が有する機能をユーザ端末１０側に提供する。これにより、ユーザ端末１０を利用するユーザは、利用しやすい機能の提供を受けることができる。すなわち、提供装置５０は、ユーザビリティに優れた提供処理を行うことができる。

また、登録部５６は、ユーザが利用可能な機能に対応する信頼性を登録する。提供部５９は、登録部５６によって登録された信頼性に基づいて、検出部５７によって検出された機能をユーザ端末１０側に提供する。

このように、実施形態に係る提供装置５０は、ローカルにおいて行われる認証に係る認証器の信頼性の登録を受け付ける。これにより、提供装置５０は、機能を提供する際に、より信頼性の高い認証器の機能を提供し、安全性の高い認証を行わせるなどの調整を行うことができる。

また、実施形態に係る提供装置５０は、検出部５７によって検出された機能に対応する機能を有する外部装置を探索する探索部５８をさらに備える。提供部５９は、探索部５８によって探索された外部装置を利用することにより、検出部５７によって検出された機能に対応する機能をユーザ端末１０側に提供する。

このように、実施形態に係る提供装置５０は、登録された情報のみならず、自ら外部装置を探索することにより、ユーザ端末１０に機能を提供することができる。これにより、提供装置５０は、例えば、ネットワークを介して幅広く機能を調達することができるので、より柔軟に様々な認証処理の要求に対応することができる。

また、探索部５８は、外部装置として、ユーザが所有するユーザ端末１０以外の端末装置（実施例では、代理端末３０）や、ユーザの関係者（例えば、家族や友人）が所有する端末装置（実施例では、友人端末３５）、所定の事業者によって営業される店舗に設置される端末装置（実施例では、店舗端末４０）、ネットワークを介して利用可能なクラウド上にある所定のサーバ（実施例では、クラウドサーバ４５）のいずれかを探索する。提供部５９は、探索部５８によって探索されたいずれかの外部装置が有する機能をユーザ端末１０に提供する。

このように、実施形態に係る提供装置５０は、外部装置の例として、他人が利用する端末装置や、クラウド上のサーバ等を探索する。すなわち、提供装置５０は、ユーザがアクセスしやすい外部装置が有する機能を提供することができるため、ユーザにとって利便性のよい機能の提供を行うことができる。

以上、本願の実施形態のいくつかを図面に基づいて詳細に説明したが、これらは例示であり、発明の開示の欄に記載の態様を始めとして、当業者の知識に基づいて種々の変形、改良を施した他の形態で本発明を実施することが可能である。

また、上述してきた「部（section、module、unit）」は、「手段」や「回路」などに読み替えることができる。例えば、生成部は、生成手段や生成回路に読み替えることができる。

１ 認証処理システム
１０ ユーザ端末
２０ クライアント
３０ 代理端末
３５ 友人端末
４０ 店舗端末
４５ クラウドサーバ
５０ 提供装置
５１ 通信部
５２ 記憶部
５３ 端末情報記憶部
５４ ユーザ情報記憶部
５５ 制御部
５６ 登録部
５７ 検出部
５８ 探索部
５９ 提供部
１００ 認証サーバ
２００ ウェブサーバ

Claims (17)

1. ユーザの本人認証を行う認証器による認証結果に対して所定の鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用される端末装置が有しない機能を検出する検出部と、
   前記検出部によって検出された機能、又は、前記検出部によって検出された機能に対応する機能を有する外部装置を探索する探索部と、
   前記探索部によって探索された外部装置のうち、前記端末装置の位置情報と前記外部装置の位置情報とに基づいて決定された一の外部装置を介して、前記検出部によって検出された機能、又は、前記検出部によって検出された機能に対応する機能を前記端末装置に提供する提供部と、
   を備えたことを特徴とする提供装置。
2. ユーザの本人認証を行う認証器による認証結果に対して所定の鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用される端末装置が有しない機能を検出する検出部と、
   前記検出部によって検出された機能、又は、前記検出部によって検出された機能に対応する機能を有する外部装置であって、所定の位置に設置された外部装置を探索する探索部と、
   前記探索部によって探索された外部装置が設置された位置を示す位置情報を前記端末装置に提示するとともに、前記外部装置を介して、前記検出部によって検出された機能、又は、前記検出部によって検出された機能に対応する機能を前記端末装置に提供する提供部と、
   を備えたことを特徴とする提供装置。
3. 前記提供部は、
   前記端末装置から受け付けた要求に応じて、前記検出部によって検出された機能を前記端末装置に提供する、
   ことを特徴とする請求項１又は２に記載の提供装置。
4. 前記検出部は、
   前記認証サーバから通信を求められた時点の前記端末装置の状況に応じて、前記端末装置が有しない機能を検出する、
   ことを特徴とする請求項１〜３のいずれか一つに記載の提供装置。
5. 前記検出部は、
   前記端末装置と前記認証サーバとの通信において課される機能のうち、前記端末装置に不足する機能を検出し、
   前記提供部は、
   前記検出部によって検出された不足する機能に対応する機能を、前記端末装置に提供する、
   ことを特徴とする請求項１〜４のいずれか一つに記載の提供装置。
6. 前記検出部は、
   前記認証サーバから求められる認証強度を満たす前記認証結果情報を生成するために用いられる機能を検出し、
   前記提供部は、
   前記端末装置が前記認証サーバから求められる認証強度を満たす前記認証結果情報を生成するための機能を前記端末装置に提供する、
   ことを特徴とする請求項１〜５のいずれか一つに記載の提供装置。
7. 前記ユーザが利用する端末装置、及び当該ユーザに関する情報を登録する登録部、
   をさらに備え、
   前記検出部は、
   前記登録部によって登録された情報に基づいて、前記端末装置が有しない機能を検出し、
   前記提供部は、
   前記検出部によって検出された機能を前記端末装置に提供する、
   ことを特徴とする請求項１〜６のいずれか一つに記載の提供装置。
8. 前記登録部は、
   前記ユーザが利用する複数の端末装置に関する情報、又は、前記ユーザが信頼するユーザが利用する端末装置に関する情報を登録し、
   前記提供部は、
   前記登録部によって登録された端末装置のいずれかを利用して、前記検出部によって検出された機能を前記端末装置に提供する、
   ことを特徴とする請求項７に記載の提供装置。
9. 前記登録部は、
   前記ユーザが利用可能な機能に対応する信頼性を登録し、
   前記提供部は、
   前記登録部によって登録された信頼性に基づいて、前記検出部によって検出された機能を前記端末装置に提供する、
   ことを特徴とする請求項７又は８に記載の提供装置。
10. 前記探索部は、
    前記外部装置として、前記ユーザが利用する他の端末装置、当該ユーザの関係者が利用する端末装置、所定の事業者によって営業される店舗に設置される端末装置、ネットワークを介して利用可能なクラウド上にある所定のサーバの少なくともいずれか一つを探索し、
    前記提供部は、
    前記探索部によって探索されたいずれかの前記外部装置が有する機能を前記端末装置に提供する、
    ことを特徴とする請求項１〜９のいずれか一つに記載の提供装置。
11. 請求項１〜１０のいずれか一つに記載された前記提供装置と通信する通信部と、
    前記提供装置から提供される機能を用いて、前記認証サーバへの前記認証結果情報の送信を制御する送信部と、
    を備えたことを特徴とする端末装置。
12. コンピュータが実行する提供方法であって、
    ユーザの本人認証を行う認証器による認証結果に対して所定の鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用される端末装置が有しない機能を検出する検出工程と、
    前記検出工程によって検出された機能、又は、前記検出工程によって検出された機能に対応する機能を有する外部装置を探索する探索工程と、
    前記探索工程によって探索された外部装置のうち、前記端末装置の位置情報と前記外部装置の位置情報とに基づいて決定された一の外部装置を介して、前記検出工程によって検出された機能、又は、前記検出工程によって検出された機能に対応する機能を前記端末装置に提供する提供工程と、
    を含んだことを特徴とする提供方法。
13. ユーザの本人認証を行う認証器による認証結果に対して所定の鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用される端末装置が有しない機能を検出する検出手順と、
    前記検出手順によって検出された機能、又は、前記検出手順によって検出された機能に対応する機能を有する外部装置を探索する探索手順と、
    前記探索手順によって探索された外部装置のうち、前記端末装置の位置情報と前記外部装置の位置情報とに基づいて決定された一の外部装置を介して、前記検出手順によって検出された機能、又は、前記検出手順によって検出された機能に対応する機能を前記端末装置に提供する提供手順と、
    をコンピュータに実行させることを特徴とする提供プログラム。
14. 提供装置と、端末装置と、認証サーバとを含む認証処理システムであって、
    前記提供装置は、
    ユーザの本人認証を行う認証器による認証結果に対して所定の鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用される端末装置が有しない機能を検出する検出部と、
    前記検出部によって検出された機能、又は、前記検出部によって検出された機能に対応する機能を有する外部装置を探索する探索部と、
    前記探索部によって探索された外部装置のうち、前記端末装置の位置情報と前記外部装置の位置情報とに基づいて決定された一の外部装置を介して、前記検出部によって検出された機能、又は、前記検出部によって検出された機能に対応する機能を前記端末装置に提供する提供部と、を備え、
    前記端末装置は、
    前記提供装置によって提供された機能を利用して、前記認証サーバに対する認証処理の制御を行う認証制御部、
    を備えることを特徴とする認証処理システム。
15. コンピュータが実行する提供方法であって、
    ユーザの本人認証を行う認証器による認証結果に対して所定の鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用される端末装置が有しない機能を検出する検出工程と、
    前記検出工程によって検出された機能、又は、前記検出工程によって検出された機能に対応する機能を有する外部装置であって、所定の位置に設置された外部装置を探索する探索工程と、
    前記探索工程によって探索された外部装置が設置された位置を示す位置情報を前記端末装置に提示するとともに、前記外部装置を介して、前記検出工程によって検出された機能、又は、前記検出工程によって検出された機能に対応する機能を前記端末装置に提供する提供工程と、
    を含んだことを特徴とする提供方法。
16. ユーザの本人認証を行う認証器による認証結果に対して所定の鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用される端末装置が有しない機能を検出する検出手順と、
    前記検出手順によって検出された機能、又は、前記検出手順によって検出された機能に対応する機能を有する外部装置であって、所定の位置に設置された外部装置を探索する探索手順と、
    前記探索手順によって探索された外部装置が設置された位置を示す位置情報を前記端末装置に提示するとともに、前記外部装置を介して、前記検出手順によって検出された機能、又は、前記検出手順によって検出された機能に対応する機能を前記端末装置に提供する提供手順と、
    をコンピュータに実行させることを特徴とする提供プログラム。
17. 提供装置と、端末装置と、認証サーバとを含む認証処理システムであって、
    前記提供装置は、
    ユーザの本人認証を行う認証器による認証結果に対して所定の鍵を用いて署名を付すことにより生成される情報であって、特定の認証手順で処理される情報である認証結果情報の署名を検証することで当該ユーザの本人性を認証する認証サーバとの通信で用いられる機能のうち、当該ユーザに利用される端末装置が有しない機能を検出する検出部と、
    前記検出部によって検出された機能、又は、前記検出部によって検出された機能に対応する機能を有する外部装置であって、所定の位置に設置された外部装置を探索する探索部と、
    前記探索部によって探索された外部装置が設置された位置を示す位置情報を前記端末装置に提示するとともに、前記外部装置を介して、前記検出部によって検出された機能、又は、前記検出部によって検出された機能に対応する機能を前記端末装置に提供する提供部と、を備え、
    前記端末装置は、
    前記提供装置によって提供された機能を利用して、前記認証サーバに対する認証処理の制御を行う認証制御部、
    を備えることを特徴とする認証処理システム。

Images