JP2018198400A - 画像処理装置、方法、プログラム及びシステム - Google Patents

Abstract

【課題】 公共の場に設置された機器を介してネットワークサービスを利用する場合に該機器の操作部にユーザーＩＤやパスワードの入力を行う場合には、第３者に盗み見されるリスクが伴う。【解決手段】 本発明の画像処理装置は、生体認証のための認証モジュールをもつユーザーの携帯端末と通信できる画像処理装置であって、サービス提供システムで発行された検証用データを受信した場合に、生体認証を行うべき認証モジュールとして前記携帯端末の有する認証モジュールが特定し、前記携帯端末の有する認証モジュールによる前記ユーザーの認証処理を実行させることを特徴とする。【選択図】 図９

Description

本発明は、プリントやストレージなどのネットワークサービスにおいて、セキュアな認証方式を提供し、かつ、ユーザーの利便性を向上するための技術に関する。

近年、生体認証を含む新たな認証システムとして、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）がある。

生体認証で用いられる指紋や静脈といった生体情報は、外部に情報が流出してしまった場合に、ＩＤ／パスワード認証におけるパスワードと異なり情報を書き換えることができないため、情報漏洩が致命的になる。これに対して、ＦＩＤＯは、ユーザー保有のデバイスで認証するサーバーに対して予め登録作業を行うことで、デバイスには生体情報と紐づいた秘密鍵、サーバーには公開鍵が登録される。そして、認証は、インターネットを経由してサーバー上で行うのではなく、ユーザーのデバイス上で行い、ネットワーク上には認証結果として秘密鍵を用いた生成された署名が流れる。つまり、生体情報がネットワーク上を流れることがないため、情報漏洩のリスクが少ないと言える。

ところで、従来から、公共の場であるコンビニエンスストアなどに画像処理装置としてのＭＦＰ（多機能周辺装置）を配置して、クラウド等のプリントシステムにあるデータをダウンロードしてプリント（プルプリント）するシステムが構築されている。このようなシステムでは、ユーザーがプリントシステムに印刷したいデータを登録したときに、プリントシステムから予約コードが発行される。公共の場にあるＭＦＰの操作パネルなどに、その予約コードを入力することで、プリントシステムにあるデータがダウンロードでき、プリントが開始できる。しかし、このシステムは予約コードだけでプリントができてしまうため、必ずしもセキュアとは言えない。つまり、この予約コードを盗聴された場合には、だれでもそのデータをプリントできることになる。

一方で、ＭＦＰの操作パネルで、プリントシステムに登録されているユーザーのユーザーＩＤやパスワードの入力を受け付けて、ユーザー認証するシステムが提案されている（特許文献１参照）。このような構成であればユーザーの認証を行っているため、予約コードの入力だけでプリントするよりもセキュアになる。

ほかにも、画像処理装置の操作部で、ユーザーＩＤやパスワードの入力を受付けて、認証されたユーザーに紐付くネットワークストレージサービス（または、アクセス権限がある格納場所）を提供して、画像処理装置に入力されたデータを選択されたストレージに格納するシステムも存在する。

特開２００２−３７３０７０号公報

しかしながら、プリントシステムなどのサービス提供システムに対して認証を行う際には、パスワードなどの秘匿情報がネットワーク上を流れてしまうため、情報漏洩のリスクが残る。また、ユーザーＩＤやパスワードの入力が操作部で必要なので利便性が良いとは言えない。さらに、公共の場に設置された装置の操作部にユーザーＩＤやパスワードの入力を行う場合には、第３者に盗み見されるリスクが伴う。

一方で、画像処理装置などの機器の操作部にユーザーＩＤやパスワードの入力を行う代わりに、生体情報による認証を行うためＦＩＤＯのようなセキュアな認証方式を適用することを想定する。その場合には、その機器内の認証システムに対して生体情報やそれに対応する秘密鍵の登録が必要になるかもしれない。たとえば、公共の場にあるＭＦＰに個人のプライベート情報である生体情報や、秘密鍵を登録することは、必ずしもセキュアとは言えない。また、複数のコンビニエンスストアを利用するユーザーは、それぞれに設置される機器ごとに登録作業を行う必要があり、利便性が高くない。

本発明は、上記従来例に鑑みて成されたもので、公共の場にも設置され得る機器を利用するシステムにおいて、ユーザーにとって利便性がよく、セキュアな認証方式を提供することを目的とする。

本発明における画像処理装置は、生体認証のための認証モジュールと、該認証モジュールにより認証処理を行う際に必要なユーザーの生体情報および該生体情報の登録の際に作成された秘密鍵を格納する耐タンパー性を備える記憶手段と、を有する携帯端末と通信できる通信機能を備える画像処理装置であって、
サービス提供システムで発行された検証用データを受信した場合に、生体認証を行うべき認証モジュールを特定する特定手段と、生体認証を行うべき認証モジュールとして前記携帯端末の有する認証モジュールが特定された際に、前記携帯端末に対して、検証用データを送信する第１送信手段と、前記携帯端末の有する認証モジュールによる前記ユーザーの認証処理の成功に応じて前記記憶手段に格納された前記秘密鍵を用いて暗号化された前記検証用データが、前記携帯端末から返却された場合に、該暗号化されたデータを、前記サービス提供システムに対して送信する第２送信手段と、を有し、前記サービス提供システムにおいて前記サービス提供システムに登録されている前記秘密鍵に対応する公開鍵により前記暗号化されたデータが検証された場合に、前記サービス提供システムにより前記画像処理装置に対してサービスが提供されることを特徴とする。

本発明によれば、上述したしすてむにおいて、ユーザーにとって利便性がよく、セキュアな認証方式を提供することを目的とする。

システムの全体構成の例を示す模式図 各装置の内部構成の一例を示すブロック図 各装置の機能構成の一例を示すブロック図 プリントデータの登録処理を示すシーケンス図 クライアントＰＣで表示される画面の例 オーセンティケータの登録処理を示すシーケンス図 オーセンティケータの登録に係るパラメータの一例 オーセンティケータの登録時の携帯端末で表示される画面の一例 実施例１におけるシステムでのプリント処理を示すシーケンス図 実施例１におけるＭＦＰで表示される画面の一例 認証時のパラメータの一例 実施例１におけるＭＦＰ、携帯端末の処理を説明するためのフローチャート 実施例１における生体認証時の携帯端末で表示される画面の一例 実施例２におけるＭＦＰで表示される画面の一例 本発明の応用例を説明するためのシーケンス図

以下、本発明を実施するための形態について図面を用いて説明する。

（実施例１）
＜システム構成＞
図１は、本発明の実施形態におけるシステムの全体構成を示す模式図である。本システムは、画像処理装置の一例であるＭＦＰ１０１と、ユーザーが保有する携帯端末１０２、サービス提供システムの一例であるプリントシステム１０３、クライアントＰＣ１０４などから構成される。本発明は、後述するが、プリントシステム１０３以外にも、ＭＦＰなどの機器で入力されたデータを格納するネットワークストレージサービスや、ＳＮＳ提供サービスなどを提供するサービス提供システムにも適用可能である。

なお、ＭＦＰ１０１以外にも、本発明が適用可能な、公共の場などに設置され得る機器の一例である。ほかにも、プリンターや、スキャナやカメラなどの画像入力装置を備える機器、デジタル健康機器（血圧測定器やルームランナーなど）、ＡＴＭ、（３次元造形物をプリントする）３Ｄプリンターといった画像処理装置についても、本発明が適用可能である。

ＭＦＰ１０１、プリントシステム１０３、クライアントＰＣ１０４はネットワーク１０５を介して接続される。ネットワーク１０５は、例えば、インターネット等のＬＡＮ、ＷＡＮ、電話回線、専用デジタル回線、ＡＴＭやフレームリレー回線、ケーブルテレビ回線、データ放送用無線回線等のいずれであり。またはこれらの組み合わせにより実現される、いわゆる通信ネットワークである。

また、ＭＦＰ１０１は、携帯端末１０２ともネットワーク１０６を介して接続される。ネットワーク１０６は、ＬＡＮなどの上述のネットワーク回線に加え、例えばＮＦＣ（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）やＢｌｕｅＴｏｏｔｈ（登録商標）等の近距離通信なども含む。

クライアントＰＣ１０４は、デスクトップ型のＰＣに限らず、ノート型のＰＣや携帯端末（スマートフォンやタブレット）などであってもよい。

なお、携帯端末１０２は、ノート型のＰＣや携帯端末（スマートフォンやタブレット）、スマートウォッチやスマートグラスなどのウェアラブル端末などのことである。

＜情報処理装置の内部構成＞
図２（Ａ）は、プリントシステム１０３を構成するサーバーＰＣ、クライアントＰＣ１０４の内部構成の一例を示す図である。これらは、一般的な情報処理装置のハードウェアで構成することができる。

ＣＰＵ２０１は、ＲＯＭ２０３内に記憶されたプログラムや、外部メモリ２１０からＲＡＭ２０２にロードされたＯＳ（オペレーションシステム）やアプリケーション等のプログラムを実行する。すなわち、ＣＰＵ２０１が、読み取り可能な記憶媒体に格納された該プログラムを実行することにより、後述する各フローチャートの処理を実行する各処理部として機能する。ＲＡＭ２０２は、ＣＰＵ２０１のメインメモリであり、ワークエリア等として機能する。キーボードコントローラ２０４は、キーボード２０８や図示しないポインティングデバイス（マウス、タッチパッド、タッチパネル、トラックボールなど）からの操作入力を制御する。ディスプレイコントローラ２０５は、ディスプレイ２０９の表示を制御する。ディスクコントローラ２０６は、各種データを記憶するハードディスク（ＨＤ）やフレキシブルディスク（ＦＤ）等の外部メモリ２１０へのデータアクセスを制御する。ネットワークＩ／Ｆ２０７はネットワークに接続されて、ネットワークに接続された他の機器との通信制御処理を実行する。

＜画像処理装置の内部構成＞
図２（Ｂ）は、ＭＦＰ１０１の内部構成の一例を示す図である。ＭＦＰ１０１は画像形成装置の一例である。

ＣＰＵ２２１はＲＯＭ２２３に格納されているプログラム（後述する各処理を実現するプログラムも含む）を備え、内部バス２３１を介して各デバイスを総括的に制御する。ＲＡＭ２２２は、ＣＰＵ２２１のメモリやワークエリアとして機能する。ネットワークＩ／Ｆ２２５は、外部のネットワーク機器と片方向または双方向にデータをやり取りする。近接通信Ｉ／Ｆ２２６はＮＦＣやＢｌｕｅＴｏｏｔｈなどの近接通信用のネットワークＩ／Ｆであり、携帯端末１０２等と通信し、データのやり取りを行う。デバイス制御２２７は印刷部２２８を制御する。ＣＰＵ２２１は、ＲＡＭ２２２やＲＯＭ２２３と共にプログラムの実行処理をおこなうとともに、記憶装置２２４等の記録媒体に画像データを記録する処理を行う。記憶装置２２４は外部記憶装置として機能する。

入出力装置２３０はＭＦＰ１０１における入出力を担う複数の構成を示す。具体的には、ユーザーからの入力（ボタン入力など）を受け付け、該入力に対応する信号を入出力Ｉ／Ｆ２２９によって前述した各処理部へ伝える。ほかにも、ユーザーに対して必要な情報を提供したり、ユーザー操作を受付けたりするための表示装置（タッチパネルなど）も入出力装置２３０に含まれる。さらに、原稿を読み取り、入力として電子データを受付けるためのスキャン装置も、入出力装置２３０に含まれてよい。

＜携帯端末の内部構成＞
図２（Ｃ）は、携帯端末１０２の内部構成の一例を示す図である。

ＣＰＵ２４２は、ＲＯＭ２４４に格納されているプログラム（後述する各処理を実現するプログラムも含む）を備え、内部バス２４１を介して各デバイスを総括的に制御する。ＲＡＭ２４３は、ＣＰＵ２４２のメモリやワークエリアとして機能する。ネットワークＩ／Ｆ２４７は、ＷｉＦｉなどを用いた、外部のネットワーク機器と片方向または双方向にデータをやり取りする。ＣＰＵ２４２は、ＲＡＭ２４３やＲＯＭ２４４と共にプログラムの実行処理をおこなうとともに、記憶装置２４５等の記録媒体にデータを記録する処理を行う。記憶装置２２４は、外部記憶装置として機能し、ＳＤカードなどで構成される。

Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ（ＴＰＭ）２４６は、機密情報を処理したり格納したりする目的で、格納したデータを外部から読み取られることを防ぐ耐タンパー性を備えた記憶手段である。本発明では、生体認証に用いる生体情報自体、またはその生体情報の特徴量や、その生体情報に対応する秘密鍵などが格納される。なお、後述では、センサーで取得できた生体情報を示す信号の特徴量についても、単に生体情報と呼ぶ場合がある。生体情報センサー２４８は、ユーザーの生体情報を読取るセンサーであり、例えばユーザーの指紋、虹彩、静脈、声紋、顔画像の情報を読み取り信号に変換する。専用の読み取り機や、カメラ、マイクなどを用いて実現される。

タッチパネル２４９は、表示と入力の２つの機能を備えており、アプリケーションの画面やキーボードなどを表示したりするとともに、ユーザーが画面に手や専用のペンで圧力を加えることにより、触れられた画面位置情報を外部へ情報信号として出力する。出力された信号情報をアプリケーションが利用することで、ユーザーはタッチパネル２０６を通じてアプリケーションを操作することができる。生体情報センサー２４８とタッチパネル２４９とは、重ねて実装することが可能で、タッチパネル２４９への操作により利用者の指紋情報を読み取るといった構成も可能である。

近接通信Ｉ／Ｆ２５０は、ＭＦＰ１０１のそれと同様に、ＮＦＣやＢｌｕｅＴｏｏｔｈなどの近接通信用の通信方式に対応したＩ／Ｆであり、本実施例においては、ＭＦＰ１０１とこのＩ／Ｆを介して通信を行う。

＜ＭＦＰの機能構成＞
図３（Ａ）は、ＭＦＰ１０１の機能構成の一例を示すブロック図である。ＭＦＰ１０１では、アプリケーション３００が動作する。アプリケーション３００は、ＭＦＰ１０１が有しているＲＯＭ２２３に記憶されているプログラムを、ＣＰＵ２２１がＲＡＭ２２２に読み出して実行することによって実現する。

アプリケーション３００は、表示部３０１、実行部３０２、通信部３０３、認証制御部３０４で構成される。表示部３０１は、プリントデータの一覧のＵＩや、プリントの実行を受け付けるためのＵＩを表示装置に対して表示するソフトウェアモジュールである。実行部３０２は、プリントデータのプリントを実行するためにＭＦＰ１０１の印刷部２２８を制御するためのソフトウェアモジュールである。通信部３０３は、ネットワークＩ／Ｆ２２５や近接通信Ｉ／Ｆ２２６を用いて、プリントシステム１０３などの外部の装置と通信するためのソフトウェアモジュールである。認証制御部３０４は、ＭＦＰ１０１内部またはネットワーク１０６を介して外部で提供されるオーセンティケータ（Ａｕｔｈｅｎｔｉｃａｔｏｒ）に認証処理の要求を行い、認証結果を受け取るソフトウェアモジュールである。本例では、近接通信Ｉ／Ｆ２２６を介して、外部（携帯端末１０２）のオーセンティケータに対して生体認証の要求を行う例を記載する。

なお、本例で認証制御部３０４はアプリケーション３００に含まれているが、これに限られない。例えば、アプリケーション３００とは独立して構成するようにし、アプリケーション３００が、独立した認証制御部３０４を呼び出すようにしてもよい。このように認証制御部３０４を独立させることで、アプリケーション３００だけでなく、他のアプリケーションが認証制御部３０４を呼び出せるような構成にすることができる。

＜携帯端末の機能構成＞
図３（Ｂ）は、携帯端末１０２の機能構成の一例を示すブロック図である。携帯端末１０２では、ブラウザー３４０とオーセンティケータ（Ａｕｔｈｅｎｔｉｃａｔｏｒ）３５０が動作する。ブラウザー３４０及びオーセンティケータ３５０は、携帯端末１０２が有しているＲＯＭ２４４に記憶されているプログラムを、ＣＰＵ２４２がＲＡＭ２４３に読み出して実行することによって実現する。

ブラウザー３４０は、表示部３４１、通信部３４２、オーセンティケータ登録制御部３４３で構成される。表示部３４１は、タッチパネル２４９を用いて、通信部３４２が取得したＨＴＭＬ文書を表示したり、ユーザーの操作を受け付けたりするソフトウェアモジュールである。通信部３４２は、ネットワークＩ／Ｆ２４７を介して、プリントシステム１０３などの外部の装置と通信するためのソフトウェアモジュールである。オーセンティケータ登録制御部３４３は、オーセンティケータに対して後述するクレデンシャルの作成要求を行うソフトウェアモジュールである。本例では、オーセンティケータ３５０に対してクレデンシャルの作成要求を行う例を記載する。尚、本例でオーセンティケータ登録制御部３４３はブラウザー３４０に含んでいるが、これに限られない。例えば、ブラウザー３４０とは独立して構成するようにし、ブラウザー３４０が、独立したオーセンティケータ登録制御部３４３を呼び出すようにしてもよい。このようにオーセンティケータ登録制御部３４３を独立させることで、ブラウザー３４０だけでなく、他のアプリケーションがオーセンティケータ登録制御部３４３を呼び出せるような構成にすることができる。

オーセンティケータ３５０は、生体情報センサー２４８を用いた生体認証をサポートした認証モジュールで、オーセンティケータ登録処理部３５１、生体認証処理部３５２、認証情報格納部３５３、生体情報要求部３５４で構成される。オーセンティケータ登録処理部３５１は、ブラウザー３４０のオーセンティケータ登録制御部３４３などからのクレデンシャルの作成要求を受け付け、ペアの鍵（秘密鍵及び公開鍵）の作成やクレデンシャルの作成を行うソフトウェアモジュールである。生体認証処理部３５２は、アプリケーション３００の認証制御部３０４などからの生体認証要求を受け付けて、生体情報センサー２４８を用いて、生体認証を行うソフトウェアモジュールである。認証情報格納部３５３は、表Ａを用いて後述する認証情報などを、ＴＰＭ２４６に対して、格納するソフトウェアモジュールである。生体情報要求部３５４は、ユーザーに生体情報の入力を受け付けるためのＵＩをタッチパネル２４９に表示するソフトウェアモジュールである。

＜プリントサーバーの機能構成＞
図３（Ｃ）は、プリントシステム１０３の機能構成の一例を示すブロック図である。プリントシステム１０３では、プリントサービス３７０が動作する。プリントサービス３７０は、プリントサービス３７０を構成するサーバーＰＣが有しているＲＯＭ２０３に記憶されているプログラムを、ＣＰＵ２０１がＲＡＭ２０２に読み出して実行することによって実現する。

プリントサービス３７０は、レガシー認証処理部３７１、オーセンティケータ情報処理部３７２、プリントデータ処理部３７３、通信部３７４で構成される。プリントサービス３７０は、さらにユーザー情報格納部３７５、オーセンティケータ情報格納部３７６、プリントデータ格納部３７７、プレゼンテーション部３７８で構成される。

尚、本例では生体認証と区別する為、ユーザーＩＤとパスワードの一致を検証する認証をレガシー認証と記載する。レガシー認証処理部３７１は、通信部３７４が受信したレガシー認証要求に含まれるユーザーＩＤ、パスワードとユーザー情報格納部３７５に格納されているユーザーＩＤ、パスワードが一致するかを検証するソフトウェアモジュールである。

オーセンティケータ情報処理部３７２は、通信部３７４が受信したクレデンシャルを用いて、オーセンティケータに関する情報を、オーセンティケータ情報格納部３７６に格納させるソフトウェアモジュールである。また、オーセンティケータ情報処理部３７２は、通信部３７４が受信した後述するアサーション情報（Ａｓｓｅｒｔｉｏｎ）を検証する。プリントデータ処理部３７３は、通信部３７４が受信したプリントデータの登録や取得の要求に応じて、プリントデータ格納部３７７にプリントデータを登録させたり、プリントデータを取得させたりするソフトウェアモジュールである。通信部３７４は、ＭＦＰ１０１や携帯端末１０２、クライアントＰＣ１０４と通信して、要求を受け付けるソフトウェアモジュールである。

ユーザー情報格納部３７５は、表Ｂを用いて後述するユーザー情報を、外部メモリ２１０や外部のストレージシステム（不図示）に格納するソフトウェアモジュールである。オーセンティケータ情報格納部３７６は、表Ｅを用いて後述するオーセンティケータ情報を外部メモリ２１０や外部のストレージシステム（不図示）に格納するソフトウェアモジュールである。プリントデータ格納部３７７は表Ｃを用いて後述するプリントデータを外部メモリ２１０や外部のストレージシステム（不図示）に格納するソフトウェアモジュールである。

プレゼンテーション部３７８は、通信部３７４が受信したオーセンティケータ登録画面の取得要求などの画面取得要求に応じて、ＨＴＭＬ文書を作成するソフトウェアモジュールである。トークン管理部３７９は後述するトークンの発行や検証を行うソフトウェアモジュールである。

＜クライアントＰＣの機能構成＞
図３（Ｄ）は、クライアントＰＣ１０４の機能構成の一例を示すブロック図である。クライアントＰＣ１０４では、ブラウザー３９０が動作する。ブラウザー３９０は、クライアントＰＣ１０４が有しているＲＯＭ２０３に記憶されているプログラムを、ＣＰＵ２０１がＲＡＭ２０２に読み出して実行することによって実現する。

ブラウザー３９０は、取得したＨＴＭＬ文書を表示したり、ユーザーの操作を受け付けたりするソフトウェアモジュールである。ブラウザー３９０は、プリントシステム１０３などの外部の装置と通信するためのソフトウェアモジュールである。

＜携帯端末が管理するテーブル＞
表Ａは、携帯端末１０２が管理する認証情報管理テーブルの一例であり、オーセンティケータ３５０の認証情報格納部３５３がＴＰＭ２４６に対して格納する情報を示す。

認証情報管理テーブルでは、１つのレコードが１つの認証情報のエントリを表している。認証情報ＩＤ列は、各認証情報に対して一意なＩＤである。サービスＩＤ列は、プリントシステム１０３のプリントサービス３７０など、対象となるサービスを一意に識別するためのＩＤである。本例ではサービスＩＤ列には、トップレベルドメイン、セカンドレベルドメインの情報を格納する。例えば、プリントサービス１０３のＵＲＬがｈｔｔｐ：／／ｗｗｗ．ｐｕｌｌ‐ｐｒｉｎｔ．ｃｏｍであった場合に、サービスＩＤ列にはｐｕｌｌ‐ｐｒｉｎｔ．ｃｏｍが格納される。秘密鍵列は、秘密鍵を格納する。秘密鍵列に格納されている秘密鍵に対応する公開鍵は、サービスＩＤ列で示されるサービスに登録されることになる。生体情報ＩＤ列は生体情報の特徴量に対応するＩＤを格納する。認証情報管理テーブルの各列に対応する情報を格納する手順、及び公開鍵をプリントサービス１０３に格納する手順については後述する。

＜プリントシステム１０３が管理するテーブル＞
表Ｂ〜Ｆは、プリントシステム１０３のプリントサービス３７０が管理するテーブルの一例である。

表Ｂはユーザー情報管理テーブルであり、プリントサービス３７０のユーザー情報格納部３７５が管理する。ユーザー情報管理テーブルは１つのレコードが１つのユーザー情報を示している。ユーザーＩＤ列は、プリントサービス３７０のユーザーを一意に識別するためのＩＤである。パスワード列は、ユーザーを認証するためのパスワードを格納する。メールアドレス列は、ユーザーのメールアドレスを格納する。メールアドレス以外にもユーザーの住所など、ユーザーに関する属性情報を本テーブルに格納するようにしてもよい。

表Ｃはプリントデータ管理テーブルであり、プリントサービス３７０のプリントデータ格納部３７７が管理する。プリントデータ管理テーブルは１つのレコードが１つのプリントデータを示している。データ名列は、ユーザーが印刷したデータの名称を表し、後述するプリントフローにおいて、ＭＦＰ１０１上に表示される名称となる。プリントデータ列は、印刷するプリントデータのバイナリデータとなる。ユーザーＩＤ列は、印刷を指示したプリントサービス３７０のユーザーを一意に表すＩＤとなる。予約コード列は、プリントデータを一意に識別するためのものである。予約コードは、後述するプリントフローにおいて、ＭＦＰ１０１でユーザーにより指定されることにより、プリントするプリントデータを特定するために使用される。

表Ｄは、ａｔｔｅｓｔａｔｉｏｎチャレンジ管理テーブルであり、プリントサービス３７０のユーザー情報格納部３７５が管理する。ａｔｔｅｓｔａｔｉｏｎチャレンジ管理テーブルは１つのレコードが１つのａｔｔｅｓｔａｔｉｏｎチャレンジの情報を示している。ａｔｔｅｓｔａｔｉｏｎチャレンジは、チャレンジレスポンス認証をするための検証用データとして利用するパラメータであり、ユーザーごとに発行する。ａｔｔｅｓｔａｔｉｏｎチャレンジの発行処理については後述する。ａｔｔｅｓｔａｔｉｏｎチャレンジ列は、ａｔｔｅｓｔａｔｉｏｎチャレンジを格納する。ユーザーＩＤ列はａｔｔｅｓｔａｔｉｏｎチャレンジを発行したユーザーＩＤを表す。有効期限列は、ａｔｔｅｓｔａｔｉｏｎチャレンジの有効期限を表す。

表Ｅは、オーセンティケータ情報管理テーブルであり、プリントサービス３７０のオーセンティケータ情報格納部３７６が管理する。オーセンティケータ情報管理テーブルは、１つのレコードが１つのオーセンティケータ情報を示している。認証情報ＩＤ列は、表Ａにおける認証情報ＩＤ列の値が格納される。公開鍵列はオーセンティケータが作成した表Ａにおける秘密鍵とペアになる公開鍵を格納する。即ち、表Ａ、Ｅで認証情報ＩＤが同一の秘密鍵と公開鍵について、表Ａの秘密鍵で暗号化したものは表Ｅの公開鍵で復号できるということである。ユーザーＩＤ列は、プリントサービス３７０のユーザーを一意に識別するためのＩＤを格納する。

表Ｆはトークン管理テーブルであり、プリントサービス３７０のユーザー情報格納部３７５が管理する。トークンは認証処理が成功した結果、プリントサービス３７０が発行する。アプリケーション３００などは、発行されたトークンをプリントデータ一覧要求などに付加してプリントサービス３７０に要求を行う。これらの処理については図７を用いて後述する。トークン管理テーブルは、１つのレコードが１つのトークンの情報を示している。トークン列は、トークンを格納する。ユーザーＩＤ列は、プリントサービス３７０のユーザーを一意に識別するためのＩＤを格納する。有効期限列は、トークンの有効期限を表す。プリントサービス３７０は、要求に付加されたトークンが、トークン管理テーブルのトークン列に存在し、有効期限列の有効期限を過ぎていない場合に要求を受け付ける。

＜プリントデータの登録処理＞
クライアントＰＣ１０４からのプリントデータの登録について図４、および、図５を用いて説明する。

図４は、プリントシステム１０３とクライアントＰＣ１０４のプリントデータ登録処理を示したシーケンス図である。まず、ユーザーは、クライアントＰＣ１０４のブラウザー３９０にプリント指示受付画面のＵＲＬの入力を行う。

Ｓ４０１で、クライアントＰＣ１０４のブラウザー３９０は、プリント指示受付画面のＵＲＬの入力を受け付けて、プリントサービス３７０にプリント指示受付画面の要求を行う。最初のアクセスでは認証が済んでいない為、レガシー認証画面へのリダイレクトを行う。そして、Ｓ４０２で、レガシー認証画面をブラウザー３９０に返す。ブラウザー３９０は、レガシー認証画面を表示し、ユーザーＩＤとパスワードの入力を受け付ける。ユーザー操作によるユーザーＩＤとパスワードの入力を受け付けると、Ｓ４０３で、ブラウザー３９０は、受け付けたユーザーＩＤとパスワードをパラメータとしてレガシー認証要求をプリントサービス３７０に送信する。Ｓ４０４で、プリントサービス３７０のレガシー認証処理部３７１は、レガシー認証を行う。具体的には、レガシー認証処理部３７１は、レガシー認証要求に含まれるユーザーＩＤ、パスワードとユーザー情報格納部３７５に格納されているユーザーＩＤ、パスワードが一致するかを検証する。一致しない場合にはクライアントＰＣ１０４のブラウザー３９０に認証エラーを返却する。尚、図４のシーケンス図ではレガシー認証が成功した場合について記載する。Ｓ４０５で、プリントサービス３７０のトークン管理部３７９は、トークンを発行して、そのトークンに関する情報を、表Ｆで説明したユーザー情報格納部３７５のトークン管理テーブルに保存する。Ｓ４０６で、プリントサービス３７０の通信部３７４は、プレゼンテーション部３７８が作成したプリント指示受付画面を、クライアントＰＣ１０４のブラウザー３９０に応答する。Ｓ４０６の応答にはＳ４０５で発行したトークンを含める。例えば、トークンはＣｏｏｋｉｅに設定する。

Ｓ４０７で、ブラウザー３９０はプリント指示受付画面を表示する。ここで図５（Ａ）を用いてプリント指示受付画面について説明する。ＵＩ５００は、プリント指示受付画面を表している。ブラウザー３９０が、Ｓ４０６の応答で受信したプリント指示受付画面のＨＴＭＬ文書を解析して表示する。ボタン５０１は、プリント対象のファイルを選択するためのボタンである。ボタン５０２は、プリントシステム１０３のプリントサービス３７０にプリント指示を行うためのボタンである。ボタン５０２を押下することにより、プリント対象として選択されたデータのプリントサービス３７０への登録が開始される。

図４の説明に戻る。ブラウザー３９０がボタン５０２の押下を受け付けるとＳ４０８に遷移する。

Ｓ４０８で、ブラウザー３９０は、プリントシステム１０３のプリントサービス３７０に対してプリント指示の要求を行う。プリント指示の要求には、プリント対象のファイルのプリントデータやトークンを含む。プリント指示の要求に含まれるトークンは、プリントサービス３７０のトークン管理部３７９が有効であるか検証を行う。具体的には、プリントサービス３７０のトークン管理部３７９は、プリント指示の要求に含まれるトークンが前述のトークン管理テーブル（表Ｆ）に存在し、有効期限を超えていないかを確認する。無効である場合は、クライアントＰＣ１０４のブラウザー３９０に認証エラーを返却する。尚、図４のシーケンス図ではトークンが有効であった場合について記載する。

Ｓ４０９で、プリントサービス３７０のプリントデータ処理部３７３は、予約コードの発行を行う。Ｓ４１０で、プリントサービス３７０のプリントデータ処理部３７３は、Ｓ４０８で発行した予約コード、および、Ｓ４０７で受信したプリントデータを、前述のプリントデータ管理テーブル（表Ｃ）に格納する。Ｓ４１１で、プリントサービス３７０の通信部３７４は、プレゼンテーション部３７８が作成した、プリント指示受付完了画面をクライアントＰＣ１０４のブラウザー３９０に応答する。Ｓ４１２でブラウザー３９０はプリント指示受付完了画面（図５（Ｂ））を表示する。

図５（Ｂ）で、ＵＩ５５０は、プリント指示受付完了画面を表している。ブラウザー３９０が、Ｓ４１１の応答で受信したプリント指示受付画面のＨＴＭＬ文書を解析して表示する。テキストエリア５５１は、プリント指示を受け付けたプリントデータの予約コードを示している。この予約コードをＭＦＰ１０１の操作部から入力することで、プリントサービス３７０に対してプリントデータの指定を行うことができる。予約コードを用いたプリントデータの指定については後述する。

尚、本例ではクライアントＰＣ１０４のブラウザー３９０がプリントデータの登録処理を行ったが、携帯端末１０２に保存されているファイルをプリントする場合などは、携帯端末１０２のブラウザー３４０が処理してもよい。また、プリントサービス３７０は、予約コードを、Ｓ４０４でレガシー認証に成功したユーザーの電子メールアドレス宛に通知してもよい。

＜オーセンティケータの登録処理＞
図６から図８を用いて、プリントシステム１０３のプリントサービス３７０にオーセンティケータを登録する処理について説明する。ここでは、携帯端末１０２のオーセンティケータ３５０の情報を登録する例について説明する。

図６は、オーセンティケータの登録に関する、携帯端末１０２とプリントシステム１０３の処理を示したシーケンス図である。まず、ユーザーは、携帯端末１０２のブラウザー３４０にオーセンティケータ登録画面のＵＲＬの入力を行う。

Ｓ６０１で、携帯端末１０２のブラウザー３４０は、オーセンティケータ登録画面のＵＲＬの入力を受け付けて、プリントサービス３７０にオーセンティケータ登録画面の要求を行う。最初のアクセスでは認証が済んでいない為、レガシー認証画面へのリダイレクトを行う。そして、Ｓ６０２で、レガシー認証画面をブラウザー３４０に返す。ブラウザー３４０の表示部３４１は、レガシー認証画面を表示し、ユーザーＩＤとパスワードの入力を受け付ける。ユーザー操作によるユーザーＩＤとパスワードの入力を受け付けると、Ｓ６０３で、ブラウザー３４０の通信部３４２は、受け付けたユーザーＩＤとパスワードをパラメータとして設定したレガシー認証要求をプリントサービス３７０に送信する。

Ｓ６０４で、プリントサービス３７０のレガシー認証処理部３７１は、レガシー認証を行う。レガシー認証の結果がエラーであった場合には携帯端末１０２のブラウザー３４０に認証エラーを返却する。尚、図６のシーケンス図ではレガシー認証が成功した場合について記載する。Ｓ６０５で、プリントサービス３７０のトークン管理部３７９はトークンを発行して、ユーザー情報格納部３７５はそのトークンに関する情報を表Ｆで説明したトークン管理テーブルで管理する。

Ｓ６０６で、オーセンティケータ情報処理部３７２は、登録パラメータ用７００の作成を行う。ここで、図７（Ａ）を用いて登録パラメータ用７００について説明する。

登録パラメータ用７００は、アカウント情報７０１、暗号化パラメータ７０２、ａｔｔｅｓｔａｔｉｏｎチャレンジ７０３、認証拡張領域７０４から構成される。アカウント情報７０１は、プリントサービス３７０における、Ｓ６０４のレガシー認証で特定したユーザーＩＤや、そのユーザーＩＤと紐づくメールアドレスなどの属性情報を表す。暗号化パラメータ７０２は、プリントサービス３７０がサポートしている暗号化アルゴリズムなど、登録する認証情報に関する属性情報を示す。ａｔｔｅｓｔａｔｉｏｎチャレンジ７０３はチャレンジレスポンス認証をするために利用する検証用データとしてのパラメータである。ａｔｔｅｓｔａｔｉｏｎチャレンジは、Ｓ６０６の登録パラメータ作成時に作成して、ａｔｔｅｓｔａｔｉｏｎチャレンジ管理テーブルにユーザーＩＤや有効期限などと紐付けて格納される。認証拡張領域７０４は、プリントサービス３７０がオーセンティケータ３５０等の動作を制御するために、プリントサービス３７０が指定可能な拡張パラメータが格納される。Ｓ６０７で、プリントサービス３７０の通信部３７４は、プレゼンテーション部３７８が作成したオーセンティケータ登録画面を、携帯端末１０２のブラウザー３４０に応答する。Ｓ６０７の応答にはＳ６０５で発行したトークン、および、Ｓ６０６で作成した登録用パラメータ７００を含める。

Ｓ６０８で、ブラウザー３４０のオーセンティケータ登録制御部３４３は、オーセンティケータ３５０に対して、クレデンシャル作成要求を行う。Ｓ６０８の処理は、ブラウザー３４０の表示部３４１はオーセンティケータ登録画面の読込時に実行される。例えば、ｏｎｌｏａｄイベントが発生した時にＳ６０８の処理を実行するようにする。Ｓ６０８のクレデンシャル作成要求には登録要求データ７２０を含める。ここで図７（Ｂ）を用いて、登録要求データ７２０について説明する。

登録要求データ７２０は、プリントサービス３７０から受信した登録パラメータ用７００と、プリントサービスＩＤ７２１と、ＷｅｂＯｒｉｇｉｎ７２２と、を含む。ＷｅｂＯｒｉｇｉｎ７２２はプリントサービス３７０のＯｒｉｇｉｎである。プリントサービスＩＤ７２１は、プリントサービスのトップレベルドメイン、セカンドレベルドメインの情報を格納する。例えば、プリントサービス３７０のＵＲＬがｈｔｔｐ：／／ｗｗｗ．ｐｕｌｌ‐ｐｒｉｎｔ．ｃｏｍであった場合に、プリントサービスＩＤ７２１はｐｕｌｌ‐ｐｒｉｎｔ．ｃｏｍとなる。

図６の説明に戻る。Ｓ６０９でオーセンティケータ３５０の生体情報要求部３５４は、図８で示す同意画面８００を表示する。

同意画面８００では、オーセンティケータをプリントサービスに登録する為、携帯端末１０２のユーザーに生体情報の入力を促す。ボタン８０１は、同意せずにキャンセルするためのボタンである。ボタン８０２には、生体情報センサー２４８が備えられており、指紋などの生体情報の読み取りを行う。生体情報には、静脈、虹彩、声紋、顔画像の情報も含まれ、ここでは、それら生体情報の何れか、または任意の複数の生体情報の組合せを、認証に必要な生体情報として入力するよう携帯端末１０２を構築することも可能である。

Ｓ６１０で、認証情報格納部３５３は、読み取った生体情報の特徴量と生体情報を一意に識別する生体情報ＩＤを作成して、ＴＰＭ２４６に格納する。Ｓ６１１で、オーセンティケータ登録処理部３５１は、生体情報ＩＤに対応する、秘密鍵と公開鍵のペアと認証情報ＩＤを作成する。そして、オーセンティケータ登録処理部３５１は、認証情報格納部３５３に対して、ＴＰＭ２４６上の認証情報管理テーブル（表Ａ）に、Ｓ６１１で作成した認証情報ＩＤ、秘密鍵、Ｓ６１０で作成した生体情報ＩＤ、及び、登録要求データ７２０に含まれるプリントサービスＩＤ７２１を格納させる。

Ｓ６１２で、オーセンティケータ登録処理部３５１は、図７（Ｃ）で示すクレデンシャル７４０を作成する。

クレデンシャル７４０は、認証情報ＩＤ７４１とアルゴリズム７４２と公開鍵７４３とａｔｔｅｓｔａｔｉｏｎ７４４から構成される。認証情報ＩＤ７４１、公開鍵７４３はＳ６１１の処理で作成した公開鍵である。アルゴリズム７５３はＳ６１１における秘密鍵と公開鍵のペアの作成に利用したアルゴリズムにそれぞれ対応する。また、ａｔｔｅｓｔａｔｉｏｎ７４４はａｔｔｅｓｔａｔｉｏｎチャレンジ７０３をＳ６１１にて生成した秘密鍵を用いて暗号化したものである。

Ｓ６１３で、オーセンティケータ登録処理部３５１は、ブラウザー３４０に対して、Ｓ６１２で作成したクレデンシャル７４０を応答する。Ｓ６１４で、ブラウザー３４０の通信部３４２は、プリントシステム１０３のプリントサービス３７０に対して、Ｓ６１３で受信したクレデンシャル７４０を送信する。

Ｓ６１５で、プリントサービス３７０のオーセンティケータ情報処理部３７２は、クレデンシャル７４０を用いて、オーセンティケータ登録処理を行う。ここでは、クレデンシャル７４０に含まれるａｔｔｅｓｔａｔｉｏｎ７４４を、同じクレデンシャル７４０に含まれる公開鍵７４３で復号して不正な登録リクエストでないことを検証する。さらに、プリントサービス３７０のオーセンティケータ情報処理部３７２は、Ａｔｔｅｓｔａｔｉｏｎ７４４を公開鍵７４３で復号した値と、表Ｄで示すテーブルにおけるａｔｔｅｓｔａｔｉｏｎチャレンジ列の値とが同一のものを特定する。そして、特定したａｔｔｅｓｔａｔｉｏｎチャレンジ列の値と同一のレコードのユーザーＩＤをクレデンシャル７４０と紐付けるユーザーＩＤとする。プリントサービス３７０のオーセンティケータ情報処理部３７２は、クレデンシャル７４０に含まれる認証情報ＩＤ７４１、公開鍵７４３、クレデンシャル７４０と紐づけるユーザーＩＤをオーセンティケータ情報管理テーブル（表Ｅ）に登録する。最後に、プリントサーバー３７０の通信部３７４は、携帯端末１０２のブラウザー３４２に対して正常に生体情報の登録が終わったことを応答する。

＜ＭＦＰからのプリント処理＞
次に図９から図１２を用いて、ＭＦＰ１０１がプリントシステム１０３からプリントデータを取得してプリントする処理について説明する。プリントシステム１０３との認証は、携帯端末１０２を用いて行う例について記載する。

図９は、ＭＦＰ１０１がプリントシステム１０３からプリントデータを取得してプリントするまでのＭＦＰ１０１、携帯端末１０２、プリントシステム１０３の処理を示したシーケンス図である。

Ｓ９０１で、ＭＦＰ１０１のアプリケーション３００の表示部３０１は、図１０（Ａ）で示す認証と通信の方式の選択画面１０００を表示する。選択画面１０００は、ボタン１００１〜１００５で構成される。

ボタン１００１は、予約コードの入力によってプリントデータを取得するためのボタンである。ユーザーがボタン１００１を選択した場合には、それに伴い、ＭＦＰ１０１から、ユーザーが入力した予約コードが含まれるプリントデータの取得要求がプリントシステム１０３に対して送信されることになる。プリントシステム１０３は、プリントデータ管理テーブル（表Ｃ）からその予約コードと合致するプリントデータをＭＦＰ１０１に対して応答する。ＭＦＰ１０１では、そのプリントデータのプリント処理が行われることになる。

ボタン１００２は、レガシー認証を行うためのボタンである。ユーザーがボタン１００２を選択した場合には、後述する生体認証を用いた方法ではなく、ＭＦＰ１０１とプリントシステム１０３との間で、図６のＳ６０２〜Ｓ６０４の記載と同様のレガシー認証が行われる。レガシー認証が成功した場合に、ＭＦＰ１０１は、プリントシステム１０３から、プリントデータ管理テーブル（表Ｃ）で管理されていた、認証されたユーザーのユーザーＩＤに対応するプリントデータの一覧を取得できる。

ボタン１００３は、ＭＦＰ１０１とＮＦＣで通信した携帯端末で生体認証を行うためのボタンである。

ボタン１００４は、ＭＦＰ１０１とＢｌｏｅｔｏｏｔｈで通信した携帯端末で生体認証を行うためのボタンである。生体認証が成功した場合に、プリントシステム１０３から認証されたユーザーのユーザーＩＤに対応するプリントデータの一覧を取得することができる。

尚、図９のシーケンス図では、ボタン１００３が押下された例について記載する。ここで、ボタン１００３とボタン１００４の何れを選択しても、ＭＦＰ１０１と携帯端末との通信する方式が異なるだけで、各装置で実行される認証処理や扱うパラメータなどはほぼ同様である。アプリケーション３００の表示部３０１は、ボタン１００３の押下を受け付けるとＳ９０２に遷移する。

Ｓ９０２で、アプリケーション３００の通信部３０３は、プリントシステム１０３のプリントサービス３７０に対して認証開始リクエストを送信する。

Ｓ９０３で、プリントサービス３７０のオーセンティケータ情報処理部３７２は、図１１（Ａ）に示す認証用パラメータ１１００の作成を行う。

認証用パラメータ１１００はアサーションチャレンジ１１０１、アサーション拡張領域１１０２で構成される。アサーションチャレンジ１１０１は、チャレンジレスポンス認証をするために利用する検証用データとしてのパラメータである。アサーション拡張領域１１０２は、プリントサービス３７０がオーセンティケータ３５０の動作を制御するために、プリントサービス３７０が指定可能な拡張パラメータが格納される。Ｓ９０４で、Ｓ９０３で生成した認証用パラメータ１１００をＭＦＰ１０１のアプリケーション３００に対して応答する。

Ｓ９０５で、ＭＦＰ１０１のアプリケーション３００は、図１２（Ａ）で示すオーセンティケータ特定処理を実行する。オーセンティケータ特定処理についての詳細は後述する。図９で示す処理では、オーセンティケータ特定処理で、携帯端末１０２のオーセンティケータ３５０が見つかった場合の例について説明している。

Ｓ９０６で、アプリケーション３００の認証制御部３０４は、Ｓ９０５で見つかった携帯端末１０２のオーセンティケータ３５０に対して、図１１（Ｂ）に示す認証要求データ１１１０と共に、認証要求を行う。

認証要求データ１１１０は、プリントサービス３７０が生成した認証用パラメータ１１００と、プリントサービスＩＤ１１１２と、ＷｅｂＯｒｉｇｉｎ１１１３とを含む。ＷｅｂＯｒｉｇｉｎ７２２はプリントサービス３７０のＯｒｉｇｉｎである。プリントサービスＩＤ７２１は、プリントサービスのトップレベルドメイン、セカンドレベルドメインの情報を格納する。例えば、プリントサービス３７０のＵＲＬがｈｔｔｐ：／／ｗｗｗ．ｐｕｌｌ‐ｐｒｉｎｔ．ｃｏｍであった場合、プリントサービスＩＤはｐｕｌｌ‐ｐｒｉｎｔ．ｃｏｍとなる。

Ｓ９０７において、図１２（Ｂ）で示す携帯端末１０２のオーセンティケータ３５０は生体認証処理を実行する。生体認証処理についての詳細は後述する。図９で示す処理では、生体認証処理で、携帯端末１０２のユーザーの生体認証が成功した場合の例について説明している。

Ｓ９０８で、オーセンティケータ３５０の生体認証処理部３５２は、図１１（Ｃ）で示す署名１１２２を含むアサーション情報１１２０を、ＭＦＰ１０１のアプリケーション３００に返却する。アサーション情報１１２０は、認証情報ＩＤ１１２１と、アサーションチャレンジ１１０１をユーザーの生体認証情報に対応する秘密鍵で暗号化した署名１１２２から構成される。

Ｓ９０９で、アプリケーション３００の通信部３０３は、Ｓ９０８で受信したアサーション情報１１２０を、プリントシステム１０３のプリントサービス３７０に送信する。

Ｓ９１０で、プリントサービス３７０のオーセンティケータ情報処理部３７２は、アサーション情報１１２０の検証を行う。より具体的には、アサーション情報１１２０に含まれる署名１１２２を認証ＩＤ１１２１で特定される公開鍵で復号したデータと、Ｓ９０３で生成した認証用パラメータ１１００に含まれるアサーションチャレンジ１１０１とを比較し、一致したことによりアサーション情報の正当性を検証する。公開鍵の特定は、オーセンティケータ情報管理テーブル（表Ｅ）を用いて行われる。

Ｓ９１１で、プリントサービス３７０のトークン管理部３７９は、Ｓ９１０で検証されたアサーション情報１１２０に対応するユーザーのトークンを発行する。Ｓ９１２で、プリントサービス３７０の通信部３７４は、ＭＦＰ１０１のアプリケーション３００に、Ｓ９１１で発行したトークンを返却する。

Ｓ９１３で、アプリケーション３００の通信部３０３は、Ｓ９１２で受信したトークンと共に、プリントシステム１０３のプリントサービス３７０に対してプリントデータの一覧取得要求を送信する。Ｓ９１４で、プリントサービス３７０の通信部３７４は、Ｓ９１３で受信したトークンと紐づくユーザーのプリントデータ一覧をＭＦＰ１０１のアプリケーション３００に送信する。プリントデータ一覧には、通信量を考慮して、表Ｃのプリントデータ管理テーブルのデータ名列と予約コード列の値を含んでおり、バイナリデータであるプリントデータ列の値は含まない。

Ｓ９１５で、アプリケーション３００の表示部３０１は、Ｓ９１４で受信したプリントデータ一覧を表示する。ここで、図１０（Ｃ）を用いてプリントデータ一覧画面について説明する。プリントデータ一覧画面１０４０は、リスト１０４１、ボタン１０４２で構成される。リスト１０４１はプリントデータの情報を表示しており、選択が可能となっている。選択されたプリントデータがプリントの対象となる。ボタン１０４２は、プリント実行を指示するためのボタンである。リスト１０４１でプリントデータが選択され、アプリケーション３００の表示部３０１が、ボタン１０４２の押下を受け付けるとＳ９１６に遷移する。Ｓ９１６で、アプリケーション３００の通信部３０３は、プリントシステム１０３のプリントサービス３７０に対して、プリントデータ一覧画面１０４０で選択されたプリントデータの取得要求を送信する。

Ｓ９１７で、プリントサービス３７０の通信部３７４は、Ｓ９１６で指定されたプリントデータをＭＦＰ１０１のアプリケーション３００に送信する。Ｓ９１７で送信するプリントデータは、バイナリデータであるプリントデータ列を含む。

Ｓ９１８で、アプリケーション３００の実行部３０２が、受信したプリントデータを用いて、プリント処理を実行して、本シーケンスで示す処置が完了する。

図１２（Ａ）は、ＭＦＰ１０１における、オーセンティケータ特定処理の詳細を説明するためのフローチャートである。

Ｓ１２０１で、アプリケーション３００の表示部３０１は、表示装置に対して図１０（Ｂ）で示す通信画面１０２０を表示し、Ｓ１２０２に遷移する。ここで、通信画面１０２０は、認証方法と通信方式の選択画面１０００で選択された通信方式で、携帯端末と通信することを促す画面である。テキスト表示領域１０２１はＮＦＣでの通信を促すメッセージを表示している。もし、認証方法と通信方式の選択画面１０００で、Ｂｌｕｅｔｏｏｔｈでの通信方式を選択するためのボタン１００４が選択されていたならば、テキスト表示領域１０２１はＢｌｕｅｔｏｏｔｈによるペアリングを促すメッセージを表示する。

Ｓ１２０２で、アプリケーション３００の認証制御部３０４は、認証方法と通信方式の選択画面１０００で選択された通信方式でオーセンティケータを検索する。Ｓ１２０３で、アプリケーション３００の認証制御部３０４はオーセンティケータが見つかったかを判断する。オーセンティケータが見つからなかった場合は、検索を続ける。オーセンティケータが見つかった場合は、Ｓ９０６に遷移する。

このように、ＭＦＰ１０１では、認証方法と通信方式の選択画面１０００で選択された通信方式でオーセンティケータを検索することで、ユーザーが保有する携帯端末１０２のオーセンティケータ３５０を利用するための特定処理が可能となる。

図１２（Ｂ）は、携帯端末１０２における、生体認証処理の詳細を説明するためのフローチャートである。

Ｓ１２５１で、オーセンティケータ３５０の生体情報要求部３５４は、図１３に示す生体情報の入力要求画面１３００を表示する。入力要求画面１００では、前述したようにＭＦＰ１０１とＮＦＣやＢｌｕｅｔｏｏｔｈをきっかけに通信している携帯端末１０２のユーザーに生体情報の入力を促す。ボタン１３０１は、生体情報の入力をキャンセルするためのボタンであり、ボタン１３０１が押下された場合は、図１２（Ｂ）で示したフローチャートの処理を終了し、図９で示したシーケンスの処理も終了する。ボタン８０２には、生体情報センサー２４８が備えられており、生体情報の読み取りを行う。

Ｓ１２５２で、オーセンティケータ３５０の生体情報要求部３５４は、ユーザーにより生体情報が入力されたかを監視する。生体情報が入力された場合は、Ｓ１２５３に遷移する。生体情報が未入力の場合は、監視を続ける。

Ｓ１２５３で、オーセンティケータ３５０の生体認証処理部３５２は、入力されたユーザーの生体情報の特徴量を取得し、認証情報格納部３５３がＴＰＭ２４６に格納済みの情報と照合することで生体認証を実行する。この特徴量は、指紋のパターン・虹彩の模様・静脈の形など個人に対してユニークであるものを、ユニーク性を損なわないような値に変換したものである。この、個人に対してユニークな特徴量を用いて個人を特定するのが生体認証である。

Ｓ１２５４で、オーセンティケータ３５０の生体認証処理部３５２は生体認証の結果が成功であったかを判断する。成功であった場合にはＳ１２５５に遷移し、失敗した場合にはＳ１２５７に遷移する。

Ｓ１２５５で、オーセンティケータ３５０の生体認証処理部３５２は、プリントサービスＩＤ１１１２及びＳ１２５３で認証成功した生体情報を基に、認証情報管理テーブル（表Ａ）から、対応する秘密鍵を特定する。Ｓ１２５６で、オーセンティケータ３５０の生体認証処理部３５２は、特定した秘密鍵を用いて、アサーションチャレンジ１１０１から署名１１２２を作成する。

Ｓ１２５７で、オーセンティケータ３５０の生体情報要求部３５４は、生体認証がエラーであったことを伝えるメッセージを表示し、Ｓ１２５１に遷移して、再度、生体認証を促す。尚、本例では記載していないが、複数回失敗したときにはＳ９０７の生体認証処理をエラーとして図９で示したシーケンスの処理を終了するように構成してもよい。

実施例１では、画像処理装置からプリントサービスなどのネットワークサービスを利用する際にそのサービスに対しての認証を、自分の保有する携帯端末での生体認証の認証結果に従う仕組みを選択できるようにしている。よって、公共の場にも設置され得る機器（画像処理装置）を利用するシステムにおいて、レガシー認証のみを採用した場合に比べて、セキュアな認証方式を提供でき、且つ、ユーザーにとって利便性が高い仕組みを提供できる。

（実施例２）
実施例１では、認証方法と通信方式の選択画面１０００で、ボタン１００３やボタン１００４が押下されると生体認証を行った。そして生体認証が成功した場合にプリントシステム１０３からプリントデータ一覧を取得した。実施例２では、ボタン１００３やボタン１００４が押下されたときに、さらに予約コードの入力を求める例について図９および図１４を用いて異なる部分だけ説明する。

図１４（Ａ）は、認証方法と通信方式の選択画面１０００において、ボタン１００３やボタン１００４が押下されたあとに表示する予約コード入力画面を表している。予約コード入力画面１４００は、アプリケーション３００の表示部３０１が表示する画面である。予約コード入力テキストボックス１４０１は、予約コードの入力を受け付けるテキストボックスである。認証ボタン１４０２は、生体認証を開始するためのボタンである。認証ボタン１４０２が押下されると、実施例１の図９で説明したＳ９０２以降の処理が実行される。Ｓ９０２からＳ９１２までは実施例１と同じである。

実施例２では、Ｓ９１３で、アプリケーション３００の通信部３０３が、予約コード入力画面１４００で入力された予約コードを付加して、プリントシステム１０３のプリントサービス３７０に対してプリントデータの取得要求を送信する。Ｓ９１４で、プリントサービス３７０の通信部３７４は、Ｓ９１３で受信したトークンと紐づくユーザー且つ予約コードが一致したプリントデータを特定し、その特定されたプリントデータをＭＦＰ１０１のアプリケーション３００に送信する。

Ｓ９１５で、プリントデータ一覧の表示を行うが、Ｓ９１４で予約コードによる絞り込みを行っているため、そのコードに対応するもののみに絞られる。なお、予約コードに対して、同時に登録した複数のプリントデータを紐付けるようにしてもよい。

図１４（Ｂ）は、実施例２におけるＳ９１５の処理で表示するプリントデータの一覧画面の例である。プリントデータ一覧画面１４２０は、テキスト領域１４２１とプリント開始ボタン１４２２で構成される。テキスト領域１４２１にはプリントデータのデータ名を表示しており、予約コードに対応する１件だけが表示されている。プリント開始ボタン１４２２は、プリントを開始するためのボタンである。アプリケーション３００の表示部３０１が、プリント開始ボタン１４２２が押下を検知すると、Ｓ９１６以降の処理が実行される。

尚、本例では、プリントデータの内容をユーザーに確認するため、プリントデータ一覧画面１４２０を表示している。しかしながら、プリントデータは１件に絞られているため、プリントデータ一覧画面１４２０を表示せずに、対象となるプリントデータを自動取得して、ＭＦＰ１０１がプリント処理を実行するように構成してもよい。

（応用例）
実施例１、実施例２では、ネットワーク上で提供されるサービスの例として、プリントサービスを例として説明した。他のサービスについても、本発明が適用できる。

図１５は、プリントサービス以外に本発明を適用した場合の例である。図１５のＳ９０１〜Ｓ９１２までの処理は、図９での説明とほぼ同様であるため、その説明を割愛する。

Ｓ１５０１では、画像処理装置から、不図示のネットワークサービスを提供するサービス提供システムに対して、サービス一覧の要求が行われる。Ｓ１５０１では、サービス提供システムが、認証されたユーザーが利用できるサービスの一覧を返却する。

例えば、ストレージサービスを提供するサービス提供システムの場合は、認証されたユーザーが利用できる格納先の一覧を画像処理装置のアプリケーション３００に返却する。業務ワークフローサービスであれば、認証されたユーザーが利用できる作業工程の一覧を画像処理装置のアプリケーション３００に返却する。

Ｓ１５０４では、画像処理装置が、返却された一覧を表示する。その後、表示された一覧からの選択を受け付ける。Ｓ１５０４では、画像処理装置が、サービス提供システムに対して選択されたサービスを要求する。サービス提供システムがストレージサービスの場合には、画像処理装置がＭＦＰ１０１であった場合には、選択された格納先を示す情報と、登録対象のデータとしてスキャンされたデータと、をサービス提供システムに対して送信することで要求を行う。画像処理装置がカメラなどであった場合には、選択された格納先を示す情報と、登録対象のデータとして撮影されたデータと、をサービス提供システムに対して送信することで要求を行う。

Ｓ１５０５では、サービス提供システムから画像処理装置に対して、処理結果を返却する。

なお、図１５で示すシーケンスは、概念的に、実施例１，２に記載したダウンロードプリントの仕組みも包含する。つまり、Ｓ１５０２では、画像処理装置で、認証されたユーザーのプリントジョブの一覧が返却されることになる。その後、Ｓ１５０２では、画像処理装置で、そのジョブ一覧が表示され、ジョブの選択が行われる。Ｓ１５０４〜Ｓ１５０５で、選択サービスとして、選択されたジョブの取得要求が行われ、その後、印刷処理が行われることになる。

また、Ｓ１５０３では、複数のサービスを同時に選択して要求することも可能である。

（他の実施例）
本発明は、上述した実施形態を適宜組み合わせることにより構成された装置あるいはシステムやその方法も含まれるものとする。

ここで、本発明は、上述した実施形態の機能を実現する１以上のソフトウェア（プログラム）を実行する主体となる装置あるいはシステムである。また、その装置あるいはシステムで実行される上述した実施形態を実現するための方法も本発明の一つである。また、そのプログラムは、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給され、そのシステム或いは装置の１以上のコンピュータ（ＣＰＵやＭＰＵ等）によりそのプログラムが読み出され、実行される。つまり、本発明の一つとして、さらにそのプログラム自体、あるいは該プログラムを格納したコンピューターにより読み取り可能な各種記憶媒体も含むものとする。また、上述した実施形態の機能を実現する回路（例えば、ＡＳＩＣ）によっても、本発明は実現可能である。

１０１ ＭＦＰ
１０２ 携帯端末
１０３ プリントシステム

本発明における画像処理装置は、生体認証のための認証モジュールと、該認証モジュールにより認証処理を行う際に必要なユーザーの生体情報および該生体情報の登録の際に作成された秘密鍵を格納する耐タンパー性を備える記憶手段と、を有する携帯端末と通信できる通信機能を備える画像処理装置であって、
サービス提供システムで発行された検証用データを受信した場合に、生体認証を行うべき認証モジュールを特定する特定手段と、生体認証を行うべき認証モジュールとして前記携帯端末の有する認証モジュールが特定された際に、前記携帯端末に対して、前記検証用データを送信する第１送信手段と、前記携帯端末の有する認証モジュールによる前記ユーザーの認証処理の成功に応じて前記記憶手段に格納された前記秘密鍵と前記検証用データとを用いて作成された署名データが、前記携帯端末から返却された場合に、該署名データを、前記サービス提供システムに対して送信する第２送信手段と、を有し、前記サービス提供システムにおいて前記サービス提供システムに登録されている前記秘密鍵に対応する公開鍵により前記署名データが検証された場合に、前記サービス提供システムにより前記画像処理装置に対してサービスが提供されることを特徴とする。

Claims (13)

1. 生体認証のための認証モジュールと、該認証モジュールにより認証処理を行う際に必要なユーザーの生体情報および該生体情報の登録の際に作成された秘密鍵を格納する耐タンパー性を備える記憶手段と、を有する携帯端末と通信できる通信機能を備える画像処理装置であって、
   サービス提供システムで発行された検証用データを受信した場合に、生体認証を行うべき認証モジュールを特定する特定手段と、
   生体認証を行うべき認証モジュールとして前記携帯端末の有する認証モジュールが特定された際に、前記携帯端末に対して、検証用データを送信する第１送信手段と、
   前記携帯端末の有する認証モジュールによる前記ユーザーの認証処理の成功に応じて前記記憶手段に格納された前記秘密鍵を用いて暗号化された前記検証用データが、前記携帯端末から返却された場合に、該暗号化されたデータを、前記サービス提供システムに対して送信する第２送信手段と、を有し、
   前記サービス提供システムにおいて前記サービス提供システムに登録されている前記秘密鍵に対応する公開鍵により前記暗号化されたデータが検証された場合に、前記サービス提供システムにより前記画像処理装置に対してサービスが提供されることを特徴とする画像処理装置。
2. 前記画像処理装置は、認証モジュールを特定するための認証方式及び通信方式の少なくともいずれかの方式を選択させるための画面を表示する表示手段を更に有し、
   前記特定手段は、選択された方式に従って、認証モジュールを特定することを特徴とする請求項１に記載の画像処理装置。
3. 前記表示手段により表示される画面では、少なくとも携帯端末で認証処理を行う方式を選択できることを特徴とする請求項２に記載の画像処理装置。
4. 前記携帯端末では、前記認証モジュールに対する前記ユーザーの生体情報の登録に際して、前記秘密鍵と前記公開鍵が作成され、
   前記サービス提供システムで前記ユーザーのユーザーＩＤに対応づけて登録されるよう前記携帯端末から前記公開鍵が前記サービス提供システムに対して送信されることを特徴とする請求項１乃至３のいずれか１項に記載の画像処理装置。
5. 前記サービス提供システムは、前記サービスとして、前記ユーザーが前記サービス提供システムに登録したデータを前記画像処理装置に対して提供し、前記画像処理装置が該提供されたデータのプリント処理をすることを特徴とする請求項１乃至４のいずれか１項に記載の画像処理装置。
6. 前記画像処理装置は、前記ユーザーが前記サービス提供システムに前記データを登録した際に発行されたコードを入力するための入力手段を有し、
   前記サービス提供システムは、前記画像処理装置に対して前記入力されたコードに対応する前記データを提供することを特徴とする請求項５に記載の画像処理装置。
7. 前記サービス提供システムは、前記サービスとして、前記ユーザーが利用可能な格納先を示す情報を前記画像処理装置に対して提供し、前記画像処理装置が、該提供された格納先を示す情報に対して、データを送信することを特徴とする請求項１乃至４のいずれか１項に記載の画像処理装置。
8. 前記画像処理装置は、前記格納先を示す情報に対して送信するデータを入力するための画像入力装置を備えることを特徴とする請求項７に記載の画像処理装置。
9. 前記生体情報は、前記ユーザーの指紋、静脈、虹彩、声紋、及び顔画像の少なくともいずれかに係る情報であることを特徴とする請求項１乃至８のいずれか１項に記載の画像処理装置。
10. 生体認証のための認証モジュールと、該認証モジュールにより認証処理を行う際に必要なユーザーの生体情報および該生体情報の登録の際に作成された秘密鍵を格納する耐タンパー性を備える記憶手段と、を有する携帯端末と通信できる通信機能を備える画像処理装置における方法であって、
    サービス提供システムで発行された検証用データを受信した場合に、生体認証を行うべき認証モジュールを特定する特定ステップと、
    生体認証を行うべき認証モジュールとして前記携帯端末の有する認証モジュールが特定された際に、前記携帯端末に対して、検証用データを送信する第１送信ステップと、
    前記携帯端末の有する認証モジュールによる前記ユーザーの認証処理の成功に応じて前記記憶手段に格納された前記秘密鍵を用いて暗号化された前記検証用データが、前記携帯端末から返却された場合に、該暗号化されたデータを、前記サービス提供システムに対して送信する第２送信ステップと、を有し、
    前記サービス提供システムにおいて前記サービス提供システムに登録されている前記秘密鍵に対応する公開鍵により前記暗号化されたデータが検証された場合に、前記サービス提供システムにより前記画像処理装置に対してサービスが提供されることを特徴とする方法。
11. 請求項１乃至９のいずれか１項に記載の各手段としてコンピューターを機能させるためのプログラム。
12. 生体認証のための認証モジュールと、該認証モジュールにより認証処理を行う際に必要なユーザーの生体情報および該生体情報の登録の際に作成された秘密鍵を格納する耐タンパー性を備える記憶手段と、を有する携帯端末と、
    前記携帯端末と通信できる通信機能を備える画像処理装置と、
    前記秘密鍵に対応する公開鍵が登録されたサービス提供システムと、を含むシステムであって、
    前記画像処理装置における、前記サービス提供システムで発行された検証用データを受信した場合に、生体認証を行うべき認証モジュールを特定する特定手段と、
    前記画像処理装置における、生体認証を行うべき認証モジュールとして前記携帯端末の有する認証モジュールが特定された際に、前記携帯端末に対して、検証用データを送信する第１送信手段と、
    前記画像処理装置における、前記携帯端末の有する認証モジュールによる前記ユーザーの認証処理の成功に応じて前記記憶手段に格納された前記秘密鍵を用いて暗号化された前記検証用データが、前記携帯端末から返却された場合に、該暗号化されたデータを、前記サービス提供システムに対して送信する第２送信手段と、
    前記サービス提供システムにおける、前記サービス提供システムに登録されている前記秘密鍵に対応する公開鍵により前記暗号化されたデータが検証された場合に、前記画像処理装置に対してサービスを提供する提供手段と、を有することを特徴とするシステム。
13. 生体認証のための認証モジュールと、該認証モジュールにより認証処理を行う際に必要なユーザーの生体情報および該生体情報の登録の際に作成された秘密鍵を格納する耐タンパー性を備える記憶手段と、を有する携帯端末と、
    前記携帯端末と通信できる通信機能を備える画像処理装置と、
    前記秘密鍵に対応する公開鍵が登録されたサービス提供システムと、を含むシステムにおける方法であって、
    前記画像処理装置における、前記サービス提供システムで発行された検証用データを受信した場合に、生体認証を行うべき認証モジュールを特定する特定ステップと、
    前記画像処理装置における、生体認証を行うべき認証モジュールとして前記携帯端末の有する認証モジュールが特定された際に、前記携帯端末に対して、検証用データを送信する第１送信ステップと、
    前記画像処理装置における、前記携帯端末の有する認証モジュールによる前記ユーザーの認証処理の成功に応じて前記記憶手段に格納された前記秘密鍵を用いて暗号化された前記検証用データが、前記携帯端末から返却された場合に、該暗号化されたデータを、前記サービス提供システムに対して送信する第２送信ステップと、
    前記サービス提供システムにおける、前記サービス提供システムに登録されている前記秘密鍵に対応する公開鍵により前記暗号化されたデータが検証された場合に、前記画像処理装置に対してサービスを提供する提供ステップと、を有することを特徴とする方法。

Images