JP2019003317A - 本人認証装置、本人認証システム、本人認証プログラム、および、本人認証方法 - Google Patents

Abstract

【課題】本人認証を要するサービスを固定回線網を介して使用させるときの負担を減らすこと。【解決手段】Ｗｅｂサーバ２は、移動端末８からのアクセスに対して、移動回線網３２を介して本人認証のために付加されたユーザ情報の通知を受け、そのユーザ情報を操作端末９に利用させるための認証キーを発行し、ユーザ情報と認証キーとの組み合わせを自身の認証ＤＢ２１に登録するとともに、認証キーを移動端末８に返答する代理認証受付部２２と、移動端末８から通知された認証キーを含む操作端末９からのサービス要求を固定回線網３３を介して受け付け、通知された認証キーが自身の認証ＤＢ２１に登録されているときに、その認証キーに対応するユーザ情報を本人認証が成功したものとみなすサービス受付部２３とを有する。【選択図】図３

Description

本発明は、本人認証装置、本人認証システム、本人認証プログラム、および、本人認証方法の技術に関する。

建物に配備された光回線などの固定回線網は、無線通信の移動回線網よりも一般的には通信性能が高く、動画配信などのＷｅｂサービスを快適に使用させる用途などで普及している。固定回線網に接続した端末にＷｅｂサービスを提供する前準備として、その端末の利用者が、入力されたユーザＩＤに対応するユーザ本人であるか否かを判断する本人認証が行われる。以下、図９〜図１１を参照して、本人認証のためにユーザにかかる負担を説明する。

図９は、３台の操作端末９ｚから、固定回線網３３ｚを介してＷｅｂサーバ２ｚにアクセスするときの通信システムの構成図である。
Ｗｅｂサーバ２ｚは例えばインターネット上にあるオンライン購入サイトのサービスを、固定回線網３３ｚに接続されたパソコンである操作端末９ｚに提供する。固定回線網３３ｚの通信接続サービスは、操作端末９ｚの所有者の世帯（家庭）ごとに契約される。または、固定回線網３３ｚは、本人認証の不要な公衆無線ＬＡＮ（Local Area Network）などの共用回線である。

Ｗｅｂサーバ２ｚは、太線矢印で示す各操作端末９ｚからのアクセスを固定回線網３３ｚから受け付けると、そのアクセス元である各操作端末９ｚの本人認証を行う。ここで、固定回線網３３ｚを介して送信された信号は、どの契約者からのアクセスかをネットワーク側では特定できない。よって、各操作端末９ｚはＷｅｂサーバ２ｚに対して、ユーザＩＤに加えて、その本人認証を行うためのパスワードなどの認証用情報を送信する必要がある。

図１０は、１台の操作端末９ｚから、固定回線網３３ｚを介してＷｅｂサーバ２ｚにアクセスするときの通信システムの構成図である。図１０は１台の操作端末９ｚを時間差で（例えば、ユーザＡ→ユーザＢ→ユーザＣの順序で交代して）利用する場合である。この場合、ユーザごとに認証用情報は異なるので、各ユーザは操作端末９ｚにログインする度に、自身の認証用情報を操作端末９ｚに直接入力する必要がある。その場合、操作端末９ｚの操作履歴などにより別ユーザの認証用情報が流出してしまう恐れもある。

図１１は、Ｗｅｂサーバ２ｚごとに認証鍵を管理するときの説明図である。１台の操作端末９ｚから３台のＷｅｂサーバ２ｚに接続するときには、本人認証のための認証用情報を、Ｗｅｂサーバ２ｚごとに（つまり３組の秘密鍵−公開鍵ペアを）操作端末９ｚに用意する必要がある。このような認証用情報の管理負担の増加も、ユーザの負担となっていた。
ユーザの負担として、例えば操作端末９ｚを新しい機器に買い換えたときには、認証用情報も新しい機器に登録し直す必要がある。なお、非特許文献１には、古い機器内の秘密鍵を取り出し、新しい機器に入れ直すときの秘密鍵の取り回しの課題が指摘されている。
また、非特許文献２に記載のＯｐｅｎＩＤのような複数の認証先で認証用情報を使いまわせる仕組みも存在するが、ＯｐｅｎＩＤに対応したＷｅｂサーバ２ｚに利用先が限られてしまう。

さらに、図１１の操作端末９ｚには、ＦＩＤＯ（Fast IDentity Online）で使用される指紋などの生体情報が認証用情報として登録されている。生体情報はパスワードなどのように容易に変更できないことから漏えい時の影響が大きい。そこでＦＩＤＯではネットワーク上を生体情報が流通しないように手元の端末で生体情報を厳格に管理し、公開鍵暗号方式を組み合わせて手元の端末で本人認証を行うこととしている。従って、手元の端末には生体情報を管理するための実装の負担が大きい。

緒方祐介,他３名,「非対称鍵を利用した認証方式の秘密鍵の維持管理に関する考察」,2016電子情報通信学会通信ソサイエティ大会, 通信講演論文集2, no. B-7-9, p.99, 2016 David Recordon and Drummond Reed,「OpenID 2.0: a platform for user-centric identity management」,pp.11-16, ACM DIM 2006

以上説明したように、固定回線網は、通信性能が高くて快適だが、その前段階としての本人認証の負担が大きい。とくに、操作端末に対する認証用情報の入力の手間や、入力した認証用情報が他人に流出してしまったときのセキュリティのリスクなどが、本人認証の負担となってしまう。

そこで、本発明は、本人認証を要するサービスを固定回線網を介して使用させるときの負担を減らすことを、主な課題とする。

前記課題を解決するために、本発明の本人認証装置は、以下の特徴を有する。
本発明は、移動回線網を介して移動端末のユーザ情報の通知を受け、そのユーザ情報を操作端末に利用させるための認証キーを発行し、前記ユーザ情報と前記認証キーとの組み合わせを自身の認証データベースに登録するとともに、前記認証キーを前記移動端末に返答する代理認証受付部と、
前記移動端末から通知された前記認証キーを含む前記操作端末からのサービス要求を固定回線網を介して受け付け、その受け付けた認証キーが前記認証データベースに登録されているときに、その認証キーに対応する前記ユーザ情報を、サービスを利用させるための本人認証が成功したユーザ情報とみなすサービス受付部とを有することを特徴とする。

これにより、本人性が保証されたユーザ情報は、正規ユーザが操作する移動端末から移動回線網を介する別ルート（固定回線網ではないルート）であらかじめ本人認証装置に送信される。よって、正規ユーザは、自身の認証用情報を操作端末に直接入力する必要がなくなるため、本人認証を要するサービスを固定回線網を介して使用させるときの負担を減らすことができる。

本発明は、前記代理認証受付部が、発行する前記認証キーに対して有効期限を設けるとともに、既に発行された前記認証キーが有効期限を超過したときには、新たに有効期限内となるように発行した前記認証キーを前記認証データベースに登録するとともに、前記移動端末に通知し、
前記サービス受付部が、前記操作端末からの前記サービス要求に含まれる前記認証キーが有効期限を超過していたときには、その認証キーの利用を拒否することを特徴とする。

これにより、操作端末のログイン中に正規ユーザが一時離席した隙を狙って、不正なユーザが操作端末を操作しても、有効期限切れの認証キーをもとに、不正アクセスを適切にブロックできる。

本発明は、前記サービス受付部が、前記認証キーを含まない前記操作端末からの前記サービス要求を受け、その操作端末に対して端末固有ＩＤと一時ＩＤとの組み合わせを発行し、
前記代理認証受付部が、発行済みの前記一時ＩＤが前記操作端末から前記移動端末に通知されることで、前記一時ＩＤが前記ユーザ情報の通知に含まれているときに、前記ユーザ情報と前記認証キーとの組み合わせを前記認証データベースに登録し、
前記サービス受付部が、前記操作端末からのサービス要求で通知された前記認証キーと前記端末固有ＩＤとの組み合わせが前記認証データベースに登録されているときに、その認証キーに対応する前記ユーザ情報を、サービスを利用させるための本人認証が成功したユーザ情報とみなすことを特徴とする。

これにより、一時ＩＤが記憶された移動端末が盗用されても、移動端末は端末固有ＩＤを扱わないので、移動端末の記憶部から端末固有ＩＤを読み出すことはできない。よって、サービス受付部は、端末固有ＩＤが発行されていない別の操作端末からの不正アクセスを適切にブロックできる。

本発明は、前記の本人認証装置と、前記移動端末と、前記操作端末と、前記移動回線網に接続され前記移動端末の前記ユーザ情報を管理する移動回線網サーバとを含めて構成され、
前記移動回線網サーバが、前記ユーザ情報を前記本人認証装置に通知する条件として、アクセス元の前記移動端末が前記移動回線網を利用する端末集合から一意に特定可能である第１の条件に加え、アクセス元の前記移動端末から前記移動端末の装置内での操作者の認証処理に成功した旨の通知を受ける第２の条件を満たすことを特徴とする。

これにより、移動端末を不正に盗用した攻撃者であっても、第２の条件（移動端末の端末認証）に失敗することで、攻撃者によるなりすまし認証を予防できる。

本発明は、前記移動回線網サーバが、前記移動端末からのアクセスに含まれるサービスＩＤから、前記ユーザ情報の通知先である前記本人認証装置を特定し、その特定した前記本人認証装置に前記ユーザ情報を通知することを特徴とする。

これにより、移動回線網の管理者は、事前に審査して確認した安全性などの素性に問題が無いＷｅｂサーバ（本人認証装置）に絞り込んで、移動端末からのアクセスを転送させることができる。

本発明によれば、本人認証を要するサービスを固定回線網を介して使用させるときの負担を減らすことができる。

本実施形態に係わる移動端末から、移動回線網を介してＷｅｂサーバにアクセスするときの通信システムの構成図である。 本実施形態に係わる同じユーザが移動端末と操作端末とを併用して、Ｗｅｂサーバにアクセスするときの通信システムの構成図である。 本実施形態に係わる図２の通信システムの詳細を示す構成図である。 本実施形態に係わる図２の通信システムの動作のうち、Ｗｅｂサーバのサービスを受けるための前準備処理を示すシーケンス図である。 本実施形態に係わる図４のシーケンス図の変形例として、サービスＩＤからＷｅｂサーバを特定する場合の処理を示すシーケンス図である。 本実施形態に係わる図５または図６の後処理として、Ｗｅｂサーバからサービスを受ける処理を示すシーケンス図である。 本実施形態に係わる図２の通信システムの各装置の記憶部の内容を時系列で示すデータテーブルである。 本実施形態に係わる図７のデータテーブルの状態を前提として、不正攻撃がなされたときのセキュリティについて説明するデータテーブルである。 ３台の操作端末から、固定回線網を介してＷｅｂサーバにアクセスするときの通信システムの構成図である。 １台の操作端末から、固定回線網を介してＷｅｂサーバにアクセスするときの通信システムの構成図である。 Ｗｅｂサーバごとに認証鍵を管理するときの説明図である。

以下、本発明の一実施形態について、図面を参照して詳細に説明する。

図１は、移動端末８から、移動回線網３２を介してＷｅｂサーバ２（本人認証装置）にアクセスするときの通信システムの構成図である。
移動回線網３２は、スマートフォンなどの移動端末８を収容し、通信事業者のキャリアサーバ１（移動回線網サーバ）を介して、Ｗｅｂサーバ２などへアクセスできる通信サービスを提供している。移動端末８の利用者は、事前に移動回線網３２を利用するための契約（キャリアプラン）を通信事業者と締結しており、移動端末８のユーザ情報は、キャリアサーバ１に登録されている。

なお、「ユーザ情報」とは、住所と氏名との組み合わせ情報や、メールアドレス、ユーザＩＤ、会員ＩＤなどの複数のユーザから一人のユーザを特定するための情報である。
一方、「認証用情報」とは、ユーザ情報で特定されるユーザに対して、本人認証を行うために入力される情報であり、例えば、ユーザＩＤと組になるパスワードや、図１１で示した秘密鍵情報や、生体情報などが例示される。

キャリアサーバ１は、接続要求された移動端末８がどのユーザ情報に該当するかを、回線ＩＤから特定することができる。回線ＩＤは、移動端末８を移動回線網３２の内部で一意に識別でき、かつキャリアサーバ１が移動端末８で使用される回線の契約者を特定する際に用いることができる識別子である。
さらに、キャリアサーバ１は、移動端末８からＷｅｂサーバ２へのアクセスを中継するときに、特定したユーザ情報を中継する接続信号に付加することで、Ｗｅｂサーバ２にユーザ情報を通知する。換言すると、キャリアサーバ１は、ユーザ情報に対応する認証用情報の入力が無くても、通知するユーザ情報のユーザについては、回線の契約者として本人性をＷｅｂサーバ２に保証する。

なお、キャリアサーバ１は、接続要求された移動端末８を特定するために、仮に移動回線網３２がＬＴＥ（Long Term Evolution）網の場合には、以下に例示するデータを回線ＩＤとして参照する。
・移動端末８が移動回線網経由でIPパケットを送出するときに、移動端末８が該IPパケットのヘッダ部に記載する送信元IPアドレス（＝移動端末８のIPアドレス）
・移動端末８を収容する無線通信の基地局１３（図３）であるeNodeB（Evolved Node B）が、移動端末８から発せられたIPパケットを移動回線網３２のS-GW（Serving Gateway）へ伝達する際に用いるトンネルのヘッダ部に記載するTEID（Tunnel Endpoint IDentifier）とeNodeBやS-GWのIPアドレス
・移動端末８を収容する無線通信の基地局１３（eNodeB）を経由してS-GWへ到達した、移動端末８から発せられたIPパケットをS-GWが移動回線網３２のP-GW（Packet data network Gateway）へ伝達する際に用いるトンネルのヘッダ部に記載するGRE（Generic Routing Encapsulation） KeyとP-GWやS-GWのIPアドレス
・移動端末８が移動回線網３２に収容される際の認証時に用いられるSIM（Subscriber Identity Module Card）内の加入者情報であるIMSI（International Mobile Sub- scriber Identity）またはGUTI（Global Unique Temporary Identity）

図２は、同じユーザが移動端末８と操作端末９とを併用して、Ｗｅｂサーバ２にアクセスするときの通信システム（本人認証システム）の構成図である。
本人認証システムの各装置は、ＣＰＵ（Central Processing Unit）と、メモリと、ハードディスクなどの記憶手段（記憶部）と、ネットワークインタフェースとを有するコンピュータとして構成される。
このコンピュータは、ＣＰＵが、メモリ上に読み込んだプログラム（アプリケーションや、その略のアプリとも呼ばれる）を実行することにより、各処理部により構成される制御部（制御手段）を動作させる。

なお、本実施形態においては、本発明に係る本人認証システムを、図２に示すように独立した４台の装置として説明したが、これに限定されない。例えば、本発明では、一般的なコンピュータのハードウェア資源を、本人認証システムの各手段として動作させるプログラム（本人認証プログラム）によって実現することができる。また、この本人認証プログラムは、通信回線を介して配布したり、ＣＤ−ＲＯＭ等の記録媒体に記録して配布したりすることも可能である。

まず、ユーザは、図２の操作端末９を用いて固定回線網３３経由でＷｅｂサーバ２にアクセスする（太線矢印）。この固定回線網３３経由のアクセスは、サービスを受けるための通信に使用される。つまり、固定回線網３３は通信性能が高いことが期待されるので、サービスを受けるのに適している。
一方、ユーザは、移動端末８を用いて移動回線網３２経由でＷｅｂサーバ２にアクセスする（細線矢印）。この移動回線網３２経由のアクセスは、ユーザをＷｅｂサーバ２に認証させるための通信に使用される。つまり、図１に示したように、移動回線網３２は認証プロセスが確立されているので、固定回線網３３経由でサービスを受ける前段階の認証処理に適している。

ここで、本実施形態では、両端末間の距離が近傍である（例えば、両端末間の通信接続が確立できる）ことをもって、移動端末８と操作端末９とが同じユーザによって同時期に使用されているとみなす。つまり、Ｗｅｂサーバ２は、移動回線網３２からキャリアサーバ１経由で送信されたユーザ情報については本人性が保証されているものとして信頼することで、認証用情報の入力を省略する。
そして、Ｗｅｂサーバ２は、信頼したユーザ情報に対応する認証キーを移動端末８に発行し、その認証キーは、移動端末８から近傍の操作端末９に通知される。

そして、Ｗｅｂサーバ２は、これからサービスを提供する操作端末９から認証キーを受信できたときに、移動端末８と操作端末９とが同じユーザであるとみなす。Ｗｅｂサーバ２は、本人性が確認された操作端末９に対して、ユーザが自身の会員リストに登録されていることを確認するなどして、自身が提供するサービスの利用を移動端末８だけでなく操作端末９にも許可する。
これにより、ユーザは、操作端末９からパスワードなどの認証用情報を直接入力して、Ｗｅｂサーバ２との間で本人認証を行う必要がなくなる。

図３は、図２の通信システムの詳細を示す構成図である。
通信システムを構成するネットワークは、前記した移動回線網３２（基地局１３含む）と固定回線網３３とに加え、広域網３１と、近傍接続網３４とが存在する。
キャリアサーバ１は、加入者ＤＢ１１と、加入者特定部１２とを有する。Ｗｅｂサーバ２は、認証ＤＢ２１と、代理認証受付部２２と、サービス受付部２３とを有する。
移動端末８は、代理認証要求部８１と、近傍接続部８２と、移動記憶部８３とを有する。操作端末９は、サービス要求部９１と、近傍接続受付部９２と、操作記憶部９３とを有する。

広域網３１は、キャリアサーバ１とＷｅｂサーバ２との間を接続するネットワークであり、例えば、インターネット・専用線・ＶＰＮ（Virtual Private Network）などにより構成される。
近傍接続部８２と近傍接続受付部９２とは、近傍接続網３４を形成する。近傍接続網３４は、移動端末８と操作端末９との間を接続するネットワークであり、例えば、NFC（Near field radio communication）・Bluetooth（登録商標）・USB（Universal Serial Bus）接続などの有線または無線の近距離通信規格により接続される。なお、NFCを用いた場合には、ＰＣの操作端末９の周辺機器であるNFCリーダ（図示省略）上にスマートフォンである移動端末８を置くだけで、両端末が通信可能になり、そのユーザの操作端末９へのログインも行われる。このログインに併せて、Ｗｅｂサーバ２への会員登録処理や、Ｗｅｂサーバ２への購入準備処理（購入画面への遷移など）を連動で起動してもよい。

代理認証要求部８１は、移動端末８のユーザ（加入者特定部１２が加入者ＤＢ１１から特定する「加入者」）の本人認証を、移動回線網３２のキャリアサーバ１に要求する。キャリアサーバ１は、図１で前記した回線ＩＤをもとに、移動端末８の本人認証を行い、その結果として本人性が特定されたユーザ情報を代理認証受付部２２に送信する。代理認証受付部２２は、受信したユーザ情報と、そのユーザ情報に対応して発行した認証キーとを対応付けて認証ＤＢ２１に保存する。
つまり、ここで「代理」という用語を用いた趣旨は、操作端末９の本人認証を操作端末９が直接行う代わりに、移動端末８が代理して行うためである。そして、移動端末８から認証キーを受けて、サービス要求部９１はサービス受付部２３に対してサービスを要求する。サービス受付部２３は、認証ＤＢ２１を参照することで取得したユーザ情報のユーザに対して、サービスを提供する。

図４は、図２の通信システムの動作のうち、Ｗｅｂサーバ２のサービスを受けるための前準備処理を示すシーケンス図である。このシーケンス図は、ユーザが移動端末８と操作端末９とを通信接続し、その結果として近傍接続網３４が確立された後に（換言すると、ユーザのログイン後に）実行される。
Ｓ１０１として、操作端末９のサービス要求部９１は、初回のサービス接続をＷｅｂサーバ２に要求する。
Ｓ１０２として、Ｓ１０１の要求を受けたＷｅｂサーバ２のサービス受付部２３は、要求元の操作端末９を特定するための端末ＩＤ（端末固有ＩＤおよび一時ＩＤ）を生成し、その生成結果を認証ＤＢ２１に保存する。
Ｓ１０３として、サービス受付部２３は、Ｓ１０２で生成した端末ＩＤとサービス認証ＵＲＬ（Uniform Resource Locator）とを操作端末９に応答する。なお、サービス認証ＵＲＬとは、要求元の操作端末９に接続される移動端末８を、移動回線網３２経由で自身のＷｅｂサーバ２に接続させるためのネットワーク上の位置情報である。

Ｓ１０４として、操作端末９は、Ｓ１０３で受信した端末ＩＤ（端末固有ＩＤ）を操作記憶部９３にCookieなどで保存する。以上Ｓ１０１〜Ｓ１０４において説明した端末ＩＤの取得処理は、１台の操作端末９から複数のＷｅｂサーバ２に対して並行して接続するときには、その接続先のＷｅｂサーバ２ごとに実行される。これにより、複数のＷｅｂサーバ２間で同期をとる仕組みが不要になり、特にサービスごとに提供会社が異なっている場合は、この形態が望ましい。

Ｓ１１１として、操作端末９の近傍接続受付部９２は、Ｓ１０３で受信した端末ＩＤとサービス認証ＵＲＬとを、移動端末８の近傍接続部８２に通知する。このＳ１１１以降の処理で用いる端末ＩＤとして、一時ＩＤを用いてもよいし、端末固有ＩＤを用いてもよい。
Ｓ１１２として、移動端末８の代理認証要求部８１は、Ｓ１１１のサービス認証ＵＲＬで指定されるＷｅｂサーバ２へと向かう中継地のキャリアサーバ１に対して、移動回線網３２のキャリアアクセスにより、端末ＩＤを通知する。なお、Ｓ１１２の信号が移動回線網３２を通過する過程で、移動端末８の回線ＩＤが付与される。

Ｓ１１３として、キャリアサーバ１の加入者特定部１２は、Ｓ１１２で通知された回線ＩＤを加入者ＤＢ１１から検索することで、対応するユーザのユーザ情報を特定する。つまり、特定されたユーザは、操作端末９の使用者でもあり、移動端末８の使用者でもあり、移動端末８の回線契約者でもある。
Ｓ１１４として、キャリアサーバ１は、Ｓ１１２で通知された端末ＩＤに、Ｓ１１３で特定したユーザ情報を付した信号を、広域網３１経由でＷｅｂサーバ２に通知する。

ここで、回線ＩＤから移動端末８のユーザ（ユーザ情報）を特定可能な第１の条件に加え、移動端末８が自身の端末内でユーザの本人認証（以下、端末認証）に成功した旨の通知を受ける第２の条件も併せて満たしたときに、キャリアサーバ１はＳ１１４の信号を送信してもよい。端末認証は、例えば、移動端末８の所有者以外が使用できないように画面にかけられたロック（操作不可状態）を解除する操作として、パスワード認証、指紋認証、キャリアサーバ１との間のＦＩＤＯなどを求める機能である。これらの端末認証は、あらかじめスマートフォンに搭載されていることも多い。
これにより、移動端末８を不正に盗用した攻撃者によるなりすまし認証を予防できる。さらに、端末認証を用いることで、利用するＷｅｂサーバ２の台数に関係なく、１回の端末認証で複数のＷｅｂサーバ２を利用させることができる。図１１で説明したような秘密鍵の取り回しの課題は発生しない。

Ｓ１２１として、Ｗｅｂサーバ２の代理認証受付部２２は、Ｓ１１４で通知された端末ＩＤに対して新たに認証キーを生成する。さらに、代理認証受付部２２は、Ｓ１１４で通知された端末ＩＤを検索キーとして認証ＤＢ２１から検索したレコードに対して、端末ＩＤから一時ＩＤを削除し、新たに生成した認証キーと、Ｓ１１４で通知されたユーザ情報とを対応付ける。
つまり、Ｓ１２１で生成された認証キーにより、Ｓ１１４で通知されたユーザ情報が、Ｗｅｂサーバ２のサービスを利用させるための本人認証に合格した情報（本人性が保証された情報）としてみなせる。

Ｓ１２２として、Ｗｅｂサーバ２の代理認証受付部２２は、Ｓ１２１で生成した認証キーをキャリアサーバ１に返答する。
Ｓ１２３として、キャリアサーバ１は、Ｓ１２２の認証キーを移動端末８に転送する。
Ｓ１２４として、移動端末８の近傍接続部８２は、Ｓ１２３の認証キーを操作端末９に転送する。さらに、操作端末９は、移動端末８の認証結果を認証キーとして取得し、自身の操作記憶部９３に保存する。
これにより、操作端末９は、自身で認証用情報をＷｅｂサーバ２に送信していなくても、移動端末８からキャリアサーバ１経由でのアクセスにより、認証結果であるユーザ情報をＷｅｂサーバ２の認証ＤＢ２１に登録させることができた。

図５は、図４のシーケンス図の変形例として、サービスＩＤからＷｅｂサーバ２を特定する場合の処理を示す。
図５のＳ１０３ｂ，Ｓ１１１ｂ，Ｓ１１２ｂの各処理では、図４で前記したＳ１０３，Ｓ１１１，Ｓ１１２の各処理に対して、サービス認証ＵＲＬの代わりに、サービスＩＤが通知されるように置き換わる。そして、図５で新たに追加するＳ１１３ｂとして、キャリアサーバ１が、通知されるサービスＩＤからサービス認証ＵＲＬを特定する。
つまり、キャリアサーバ１には、サービスＩＤからサービス認証ＵＲＬを求めるサービス管理テーブル（図示省略）を事前に登録しておき、そのサービス管理テーブルに従って、通信相手となるＷｅｂサーバ２が特定される。これにより、キャリアサーバ１の管理者は、事前に審査して確認した安全性などの素性に問題が無いＷｅｂサーバ２に絞り込んで、移動端末８からのアクセスを転送させることができる。

図６は、図５または図６の後処理として、Ｗｅｂサーバ２からサービスを受ける処理を示すシーケンス図である。
Ｓ２０１として、操作端末９のサービス要求部９１は、Ｓ１０４で保存した端末ＩＤと、Ｓ１２４で受信した認証キーとを含めたサービス接続をＷｅｂサーバ２に要求する。つまり、初回のサービス接続（Ｓ１０１）との違いは、Ｓ２０１では認証処理を済ませており、その結果である認証キーが付されていることである。

Ｓ２０２として、Ｗｅｂサーバ２のサービス受付部２３は、Ｓ２０１の端末ＩＤと認証キーとの組み合わせを検索キーとして、Ｓ１０２で生成した端末ＩＤとＳ１２１で生成した認証キーとを認証ＤＢ２１から検索する。前記の組み合わせが認証ＤＢ２１から検索されたときには、サービス受付部２３は、Ｓ２０１の要求元の操作端末９のユーザが、Ｓ１１４で通知された認証ＤＢ２１内のユーザ情報のユーザと同一人物であるとみなす。
そして、サービス受付部２３は、Ｓ１２１において認証キーに対応付けて認証ＤＢ２１に記憶されたユーザ情報をもとに、Ｗｅｂサーバ２が提供するサービスの利用可否を決定する。つまり、移動回線網３２のキャリアサーバ１がユーザ情報の本人性を保証しているので、サービス受付部２３は、その本人が会員であるか否か、課金を済ませているか否かなどを判断すればよい。

Ｓ２０３として、Ｗｅｂサーバ２のサービス受付部２３は、ユーザ情報をもとにＳ２０２でサービスの利用が許可されたときには、操作端末９に、以降でサービスを利用させる旨のサービス応答を送信する。

以下、認証キーの有効期限が切れてしまったときの処理を説明する。
Ｓ２２１として、Ｗｅｂサーバ２は、発行済みの認証キーを所定間隔ごとに時間切れで無効化し、その代替となる新たな認証キーを生成して認証ＤＢ２１に登録する。
Ｓ２２２〜Ｓ２２４として、Ｓ１２２〜Ｓ１２４と同様に、Ｗｅｂサーバ２は、Ｓ２２１で生成された認証キーを操作端末９に通知する。これにより、Ｓ２３１〜Ｓ２３３として、Ｓ２０１〜Ｓ２０３と同様に、Ｗｅｂサーバ２は、新しい認証キーをもとにＳ２０３で提供するサービスを継続させることができる。

このようにＷｅｂサーバ２が発行する認証キーに有効期限を設定することにより、移動端末８や操作端末９の近くから長期離脱をしてしまった正規ユーザの代わりに、別の攻撃者がなりすまし攻撃をしたときでも、その攻撃を未然に防ぐことができる。
同様に、Ｓ１０２で生成される端末ＩＤにも有効期限を設けてもよい。そのときには、Ｓ１２１において、Ｗｅｂサーバ２は、Ｓ１０２で生成された端末ＩＤが有効期限を超過してしまったときには、その端末ＩＤを時間切れで無効化し、再度Ｓ１０１の処理からやり直させることとしてもよい。

図７は、図２の通信システムの各装置の記憶部の内容を時系列で示すデータテーブルである。このデータテーブルの各行は、各時刻を示し、第１列（No.）の行番号の数値に従って時間が経過する（No.11→No.12→No.13→の順に時間が経過）。図７では、ユーザＵ１，Ｕ２という２名が１台の操作端末９（共用端末）を順番に利用したとして、No.11〜No.16の行はユーザＵ１についてのイベントを示し、No.21〜No.24の行はユーザＵ２についてのイベントを示す。
データテーブルの第２列「説明」には、各時点で発生したイベントなどの説明文を記載する。
データテーブルの第３列「操作端末」には、各時点での操作端末９の操作記憶部９３のデータ内容を記載する。
データテーブルの第４列「キャリアサーバ」には、各時点でのキャリアサーバ１の加入者ＤＢ１１のデータ内容として、回線ＩＤとユーザ情報との対応情報を記載する。
データテーブルの第５列「Ｗｅｂサーバ」には、各時点でのＷｅｂサーバ２の認証ＤＢ２１のデータ内容として、端末ＩＤ（端末固有ＩＤと一時ＩＤ）と、認証キーと、ユーザ情報との対応情報を記載する。

行「No.11」は、ユーザＵ１が自身の所有する移動端末８を操作端末９に対してログインした状態（両端末を通信接続して近傍接続網３４を形成した状態）を示す。ここでは、ユーザＵ１の移動端末８を収容するキャリアサーバ１に、ユーザＵ１に関する情報として、回線ＩＤ<U1M>とユーザ情報<U1D>との対応情報が加入者ＤＢ１１に事前登録されているとする。
行「No.12」では、初回のサービス接続（Ｓ１０１〜Ｓ１０４）の結果として、Ｗｅｂサーバ２が発行した端末ＩＤ（端末固有ＩＤ<A1>と一時ＩＤ<B1>）が認証ＤＢ２１に登録され、その登録内容が操作端末９の操作記憶部９３にも登録される。また、サービス認証ＵＲＬ<E1>も、操作端末９に通知される。

行「No.13」では、認証キーの取得処理（Ｓ１１１〜Ｓ１２４）の結果として、Ｗｅｂサーバ２の認証ＤＢ２１には、登録済みの端末固有ＩＤ<A1>に対して、対応する一時ＩＤ<B1>が削除され、発行した認証キー<C1>と、キャリアサーバ１から通知されたユーザ情報<U1D>とが新たに対応付けられる。操作端末９の操作記憶部９３には、一時ＩＤ<B1>が削除され、新たに発行された認証キー<C1>が追加される。
行「No.14」では、２回目のサービス接続（Ｓ２０１〜Ｓ２０３）の結果として、操作端末９が送信した端末固有ＩＤ<A1>と認証キー<C1>との組み合わせがそれぞれＷｅｂサーバ２に認証され（OK）、その結果として利用許可された（OK）ユーザ情報<U1D>をもとに、サービスが利用可能となる。

行「No.15」では、Ｓ２２１〜Ｓ２２４で示したように、認証キー<C1>の有効期限が切れ、新たに認証キー<C2>が発行される。つまり、認証ＤＢ２１内の認証キー<C1>が<C2>に置き換わり、その認証キー<C2>が操作端末９に通知される。
行「No.16」では、ユーザＵ１のサービスの利用が終了したことにより、ログアウトが行われる。このログアウトを契機に、Ｗｅｂサーバ２は、行「No.12」〜「No.15」で管理していた各種情報を認証ＤＢ２１から削除する。
なお、ログアウトの指示は、操作端末９のユーザが明示的に入力してもよいし、ユーザが移動端末８を把持して操作端末９から距離を空けることで、無線通信の電波未達により移動端末８と操作端末９との接続（近傍接続網３４）が切断されることで、操作端末９がログアウト発生とみなしてもよい。

次に、別のユーザＵ２が、同様にして、行「No.21」のログインから行「No.24」のログアウトまでＷｅｂサーバ２のサービスを使用する。ここで、ユーザＵ１の認証用情報は、「No.16」のログアウトで適切に認証ＤＢ２１から削除されており、かつ、Ｗｅｂサーバ２はアクセスの度に発行するパラメータ（端末ＩＤ、認証キー）を以前発行したものとは異なる値にする。例えば、端末固有ＩＤという同じパラメータであっても、ユーザＵ１用には<A1>が発行され、ユーザＵ２用には<A1>とは別の<A2>が発行される。

これにより、ユーザＵ２がユーザＵ１をなりすますことを予防し、ユーザＵ２がユーザＵ１のユーザ情報<U1D>を不正に利用することを防ぐことができる。
なお、Ｗｅｂサーバ２は、アクセス元となる移動端末８や操作端末９が前回のアクセスと同じ端末か否かにかかわらず、その都度新しい（以前発行したものとは異なる）パラメータ（端末ＩＤ、認証キー）を発行してもよい。これにより、ID発行時に端末が同一であることを検知する仕組みが不要になり、ID発行のアルゴリズムを単純化できる。

図８は、図７のデータテーブルの状態を前提として、不正攻撃がなされたときのセキュリティについて説明するデータテーブルである。行「No.11」のログインから行「No.14」の正規利用までは、図７と同じである。以下、正規のユーザＵ１が第１の移動端末８と第１の操作端末９とを併用して、行「No.14」の正規利用まで実行していたとする。

行「No.14b」では、不正なユーザＵ３が、第１の移動端末８を盗用して、第２の操作端末９に接続したとする。第２の操作端末９には、第１の移動端末８の移動記憶部８３から行「No.14」時点の正規のデータ（認証キー<C1>、サービス認証ＵＲＬ<E1>）が読み出されてしまう。
行「No.14c」では、第２の操作端末９からＷｅｂサーバ２に対して不正アクセスが行われる。しかし、端末ＩＤとして一時ＩＤ<B1>を用いてＳ１１１〜Ｓ１１４が実施された場合には、端末固有ＩＤ<A1>は移動端末８には通知されないので、第２の操作端末９は、端末固有ＩＤ<A1>を取得できない。これにより、端末固有ＩＤ<A1>が不正アクセスに含まれていないことで、Ｗｅｂサーバ２は、第２の操作端末９の利用を適切にブロックできる。

行「No.14」の後の行「No.15b」では、正規のユーザＵ１が自分の所有する第１の移動端末８を持って、ログイン中の第１の操作端末９から一時離脱したとする。その離席中の隙を狙って、不正なユーザＵ４が、第１の操作端末９を操作したとする。ここで、図７の行「No.15」で説明したように、Ｓ２２１〜Ｓ２２４に従って、認証キー<C1>の有効期限が切れ、新たに認証キー<C2>が発行される。しかし、第１の操作端末９は、第１の移動端末８との間の近傍接続網３４が離席で切断されているので、新たな認証キー<C2>を取得することができない。
行「No.15c」では、不正なユーザＵ４が正規のユーザＵ１になりすまして、第１の操作端末９からＷｅｂサーバ２に不正アクセスしたとする。しかし、この不正アクセスに含まれる認証キーは有効期限が切れた古い<C1>である。よって、Ｗｅｂサーバ２は、自身の保持する新たな認証キー<C2>との不一致により、第１の操作端末９の利用を適切にブロックできる。

以上説明した本実施形態では、図２で示したように、移動端末８と操作端末９とが通信可能であるときに、移動端末８から移動回線網３２を介して可能な本人認証を、固定回線網３３に接続された操作端末９にも適用（流用）する。
この本人認証の適用処理により、正規ユーザは、Ｗｅｂサーバ２の本人認証に必要な認証用情報を手動で操作端末９に入力することなく、操作端末９でも本人確認が可能になり、認証用情報を入力する煩わしさがなくなる。

さらに、複数のＷｅｂサーバ２を利用する場合であっても、本人認証を移動端末８経由で一元化することにより、Ｗｅｂサーバ２ごとに認証用情報を覚えておく必要がなくなる。よって、操作端末９が複数のユーザ間で共用される端末であっても、そもそも操作端末９に認証用情報を入力しなくて済むため、認証用情報が第三者に漏れる恐れがなく、なりすまし攻撃を予防できる。

１ キャリアサーバ（移動回線網サーバ）
２ Ｗｅｂサーバ（本人認証装置）
８ 移動端末
９ 操作端末
１１ 加入者ＤＢ
１２ 加入者特定部
１３ 基地局
２１ 認証ＤＢ
２２ 代理認証受付部
２３ サービス受付部
３１ 広域網
３２ 移動回線網
３３ 固定回線網
３４ 近傍接続網
８１ 代理認証要求部
８２ 近傍接続部
８３ 移動記憶部
９１ サービス要求部
９２ 近傍接続受付部
９３ 操作記憶部

Claims (7)

1. 移動回線網を介して移動端末のユーザ情報の通知を受け、そのユーザ情報を操作端末に利用させるための認証キーを発行し、前記ユーザ情報と前記認証キーとの組み合わせを自身の認証データベースに登録するとともに、前記認証キーを前記移動端末に返答する代理認証受付部と、
   前記移動端末から通知された前記認証キーを含む前記操作端末からのサービス要求を固定回線網を介して受け付け、その受け付けた認証キーが前記認証データベースに登録されているときに、その認証キーに対応する前記ユーザ情報を、サービスを利用させるための本人認証が成功したユーザ情報とみなすサービス受付部とを有することを特徴とする
   本人認証装置。
2. 前記代理認証受付部は、発行する前記認証キーに対して有効期限を設けるとともに、既に発行された前記認証キーが有効期限を超過したときには、新たに有効期限内となるように発行した前記認証キーを前記認証データベースに登録するとともに、前記移動端末に通知し、
   前記サービス受付部は、前記操作端末からの前記サービス要求に含まれる前記認証キーが有効期限を超過していたときには、その認証キーの利用を拒否することを特徴とする
   請求項１に記載の本人認証装置。
3. 前記サービス受付部は、前記認証キーを含まない前記操作端末からの前記サービス要求を受け、その操作端末に対して端末固有ＩＤと一時ＩＤとの組み合わせを発行し、
   前記代理認証受付部は、発行済みの前記一時ＩＤが前記操作端末から前記移動端末に通知されることで、前記一時ＩＤが前記ユーザ情報の通知に含まれているときに、前記ユーザ情報と前記認証キーとの組み合わせを前記認証データベースに登録し、
   前記サービス受付部は、前記操作端末からのサービス要求で通知された前記認証キーと前記端末固有ＩＤとの組み合わせが前記認証データベースに登録されているときに、その認証キーに対応する前記ユーザ情報を、サービスを利用させるための本人認証が成功したユーザ情報とみなすことを特徴とする
   請求項１に記載の本人認証装置。
4. 請求項１ないし請求項３のいずれか１項に記載の本人認証装置と、前記移動端末と、前記操作端末と、前記移動回線網に接続され前記移動端末の前記ユーザ情報を管理する移動回線網サーバとを含めて構成され、
   前記移動回線網サーバは、前記ユーザ情報を前記本人認証装置に通知する条件として、アクセス元の前記移動端末が前記移動回線網を利用する端末集合から一意に特定可能である第１の条件に加え、アクセス元の前記移動端末から前記移動端末の装置内での操作者の認証処理に成功した旨の通知を受ける第２の条件を満たすことを特徴とする
   本人認証システム。
5. 前記移動回線網サーバは、前記移動端末からのアクセスに含まれるサービスＩＤから、前記ユーザ情報の通知先である前記本人認証装置を特定し、その特定した前記本人認証装置に前記ユーザ情報を通知することを特徴とする
   請求項４に記載の本人認証システム。
6. コンピュータを、請求項１ないし請求項３のいずれか１項に記載の本人認証装置として機能させるための本人認証プログラム。
7. 本人認証装置は、代理認証受付部と、サービス受付部とを有しており、
   前記代理認証受付部は、移動回線網を介して移動端末のユーザ情報の通知を受け、そのユーザ情報を操作端末に利用させるための認証キーを発行し、前記ユーザ情報と前記認証キーとの組み合わせを自身の認証データベースに登録するとともに、前記認証キーを前記移動端末に返答し、
   前記サービス受付部は、前記移動端末から通知された前記認証キーを含む前記操作端末からのサービス要求を固定回線網を介して受け付け、その受け付けた認証キーが前記認証データベースに登録されているときに、その認証キーに対応する前記ユーザ情報を、サービスを利用させるための本人認証が成功したユーザ情報とみなすことを特徴とする
   本人認証方法。

Images