JP2019040319A - 代理認証システム、代理認証方法、プログラム - Google Patents

Abstract

【課題】モバイル端末にインストールされている一般的なＷｅｂブラウザを使用していても、生体認証等の認証装置を利用して中継サーバにログイン可能な代理認証システムを提供する。【解決手段】リバースプロキシサーバは端末から外部Ｗｅｂサービスへのアクセスを監視して横取りし（Ｐ１）、認証アプリを起動するためにＵＲＬスキームを端末に送信する（Ｐ２）。これを受けた端末は認証アプリを起動し（Ｐ３）、起動された認証アプリは生体認証装置でユーザ認証を行う。ユーザ認証に成功すると、認証アプリは認証要求をリバースプロキシサーバに送信し（Ｐ６）、これを受けたリバースプロキシサーバは、外部Ｗｅｂサービスへログインするために必要な認証情報を認証サーバから取得し（Ｐ９）、これを用いて外部Ｗｅｂサービスに端末の代理でログインする（Ｐ１０）。【選択図】図７

Description

本発明は、クライアント端末の代理で中継サーバが外部Ｗｅｂサービスにログインする代理認証システム、代理認証方法、プログラムに関する。

中継サーバを用いたＳＳＯ（Single Sign-On）システムが知られている(下記特許文献１，２参照)。これは、ユーザ端末がＷｅｂサービスへアクセスするときに中継サーバを経由するように構成されたシステムであり、ユーザ端末からＷｅｂサービスへのリクエストを中継サーバが横取りし、中継サーバが代理でＷｅｂサービスへの認証を行ってログインするというものである。なお、中継サーバはプロキシサーバやリバースプロキシサーバとよばれるものであり、この二つはサービス利用者側が設置するか、サービス提供者側が設置するかの違いがあるものの、いずれもクライアント端末と外部Ｗｅｂサービスとの間で通信を中継し、セキュリティの確保やネットワーク帯域の有効活用、レスポンスの向上などの役割を果たす。

図１３は、従来のＳＳＯシステムの構成例を示し、図１４は、図１３のＳＳＯシステムで外部Ｗｅｂサービスにログインする際のシーケンスを示している。

中継サービスを構成するデータベース（ＤＢ）には、複数の外部Ｗｅｂサービスのそれぞれについて、そのＷｅｂサービスにログインする際に使用するユーザ名とパスワードの組が登録されている。

ユーザが自己のモバイル端末のＷｅｂブラウザを使用して外部Ｗｅｂサービスへのアクセスを要求すると（Ｓ１）、中継サーバであるリバースプロキシサーバがこの通信を横取りし、モバイル端末のＷｅｂブラウザにログインページを送信して表示させる（Ｓ２）。ユーザはこのログインページにユーザ名とパスワードを入力してリバースプロキシサーバにログインする（Ｓ３）。

リバースプロキシサーバへのログインに成功すると、リバースプロキシサーバは、認証サーバに問い合わせて（Ｓ４）、Ｓ１でモバイル端末のＷｅｂブラウザがアクセスしようとした外部Ｗｅｂサービスにこのモバイル端末のユーザがログインするためのユーザ名とパスワードの組を取得する（Ｓ５）。そして、このユーザ名とパスワードを使用して、Ｓ１でモバイル端末のＷｅｂブラウザがアクセスしようとした外部Ｗｅｂサービスに代理でログインする（Ｓ６）。

ログインに成功すると（Ｓ７）、リバースプロキシサーバはログインの成功をモバイル端末のＷｅｂブラウザに通知する（Ｓ８）。以後、モバイル端末のＷｅｂブラウザは外部Ｗｅｂサービスにアクセス可能になる。

以上のように、ＳＳＯシステムでは、ユーザは中継サーバにログインするための一組のユーザ名とパスワードを記憶しておけば、外部Ｗｅｂサービス毎に個別のユーザ名とパスワードを覚えなくても、複数の外部Ｗｅｂサービスのどれにでもログインすることができる。

特開２００８−９６０７号公報 特開２０１２−１６４２１９号公報

上記のような従来のＳＳＯシステムでは、ユーザは中継サーバにログインするためのユーザ名とパスワードを記憶する必要があり、一定の負担をユーザにかけていた。また、中継サーバを利用するための情報（中継サーバにログインするために必要な情報）が漏えいすると、第三者がすべての外部Ｗｅｂサービスを不正に利用可能になってしまう。

一方で、パスワードに代わる認証方法として、生体情報を利用する方法が知られている。これは、指紋や静脈等、個人の身体的特徴を認証情報とするため、ユーザはユーザ名とパスワードを記憶する必要がない。中継サーバへのログインにこのような生体認証を利用できれば良いが、モバイル端末にインストールされたＷｅｂブラウザから該モバイル端末が備える、あるいは該モバイル端末に接続された、生体認証装置を利用してユーザ認証する、といったことはできなかった。

本発明は、上記の問題を解決しようとするものであり、クライアント端末にインストールされている一般的なＷｅｂブラウザを使用していても、生体認証等の認証装置を利用して中継サーバにログイン可能な代理認証システム、代理認証方法およびそのプログラムを提供することを目的としている。

かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。

［１］Ｗｅｂブラウザと認証アプリケーションがインストールされたクライアント端末と、
中継サーバと、
を備え、
前記中継サーバは、前記クライアント端末の前記Ｗｅｂブラウザが外部Ｗｅｂサービスへアクセスする通信を前記外部Ｗｅｂサービスに代わって取得し、前記認証アプリケーションを起動するためのＵＲＬスキームを前記クライアント端末に送信し、
前記ＵＲＬスキームを受信した前記クライアント端末は、前記認証アプリケーションを起動し、該起動された認証アプリケーションは、所定の認証装置を用いてユーザ認証を行い、ユーザ認証に成功した場合に認証の成功を前記中継サーバに通知し、
前記通知を受けた前記中継サーバは、前記クライアント端末が前記外部Ｗｅｂサービスにログインするために必要なログイン情報を含むログイン要求を前記外部Ｗｅｂサービスに送信して前記クライアント端末の代理で前記外部Ｗｅｂサービスにログインする
ことを特徴とする代理認証システム。

上記発明では、外部Ｗｅｂサービスへのアクセスを取得（横取り）した中継サーバがＵＲＬスキームをクライアント端末に送信して端末の認証アプリケーションを起動するので、Ｗｅｂブラウザからは直接利用できない生体認証装置などの認証装置を用いてユーザ認証することができる。認証装置はクライアント端末が内蔵するものであってもよいし、クライアント端末に接続された外部のものであってもよい。

［２］前記所定の認証装置は、前記クライアント端末に接続された、前記クライアント端末とは別の認証装置である
ことを特徴とする［１］に記載の代理認証システム。

［３］前記中継サーバは、前記アクセスする通信に付加されている所定の情報に基づいて前記クライアント端末のタイプを判別し、該判別の結果に基づいて前記クライアント端末に送信する前記ＵＲＬスキームを変更する
ことを特徴とする［１］または［２］に記載の代理認証システム。

上記発明では、端末のＯＳの種類等に応じた適切なＵＲＬスキームを端末に送信することができる。

［４］前記中継サーバは、クライアント端末とこのクライアント端末に許可する外部Ｗｅｂサービスとを紐付けた情報を記憶しておき、前記アクセスする通信の通信先の外部Ｗｅｂサービスが前記アクセスする通信の送信元のクライアント端末に紐付けられていることを条件に、前記クライアント端末の代理で前記外部Ｗｅｂサービスにログインする
ことを特徴とする［１］乃至［３］のいずれか１つに記載の代理認証システム。

上記発明では、端末毎に、代理認証を許可する外部Ｗｅｂサービスを切り替えることができる。

［５］前記所定の認証装置は、生体認証装置である
ことを特徴とする［１］乃至［４］のいずれか１つに記載の代理認証システム。

［６］Ｗｅｂブラウザと認証アプリケーションがインストールされたクライアント端末の代理で中継サーバが外部Ｗｅｂサービスにログインする代理認証方法であって、
前記中継サーバが、前記クライアント端末の前記Ｗｅｂブラウザが外部Ｗｅｂサービスへアクセスする通信を前記外部Ｗｅｂサービスに代わって取得するステップと、
前記取得した前記中継サーバが、前記クライアント端末にインストールされている認証アプリケーションを起動するためのＵＲＬスキームを前記クライアント端末に送信するステップと、
前記ＵＲＬスキームを受信した前記クライアント端末が、前記認証アプリケーションを起動するステップと、
前記起動された認証アプリケーションが、所定の認証装置を用いてユーザ認証を行い、ユーザ認証に成功した場合に認証の成功を前記中継サーバに通知するステップと、
前記通知を受けた前記中継サーバが、前記クライアント端末が前記外部Ｗｅｂサービスにログインするために必要なログイン情報を含むログイン要求を前記外部Ｗｅｂサービスに送信して前記クライアント端末の代理で前記外部Ｗｅｂサービスにログインするステップと
を有する
ことを特徴とする代理認証方法。

［７］クライアント端末の代理で外部Ｗｅｂサービスにログインする中継サーバで実行されるプログラムであって、
前記中継サーバが、
前記クライアント端末のＷｅｂブラウザが外部Ｗｅｂサービスへアクセスする通信を前記外部Ｗｅｂサービスに代わって取得するステップと、
前記通信を取得した場合に、前記クライアント端末にインストールされている認証アプリケーションを起動するためのＵＲＬスキームを前記クライアント端末に送信するステップと、
前記ＵＲＬスキームによって起動された認証アプリケーションが所定の認証装置を用いてユーザ認証に成功した旨の通知を前記クライアント端末から受信するステップと、
前記通知を受信した場合に、前記クライアント端末が前記外部Ｗｅｂサービスにログインするために必要なログイン情報を含むログイン要求を前記外部Ｗｅｂサービスに送信して前記クライアント端末の代理で前記外部Ｗｅｂサービスにログインするステップと
を有する
ことを特徴とするプログラム。

［８］クライアント端末のＷｅｂブラウザが外部Ｗｅｂサービスへアクセスする通信を前記外部Ｗｅｂサービスに代わって取得した中継サーバから送られてくるＵＲＬスキームによって起動されて前記クライアント端末で実行されるプログラムであって、
所定の認証装置を用いてユーザ認証を行い、認証に成功した場合に認証の成功を前記中継サーバに通知するステップ、
を有する
ことを特徴とするプログラム。

本発明に係る代理認証システム、代理認証方法およびそのプログラムによれば、クライアント端末にインストールされている一般的なＷｅｂブラウザを使用していても、生体認証等の認証装置を利用して中継サーバにログインすることができるので、ユーザはユーザ名とパスワードを記憶する煩わしさから開放される。

本発明の実施の形態に係る代理認証システムの構成等を示す図である。 認証アプリケーションが持つデータ（端末登録データ）を示す図である。 認証サーバが保持する登録端末リストの一例を示す図である。 認証サーバのデータベースが保持するログイン情報登録リストの一例を示す図である。 リバースプロキシサーバが、一時的に保持する一時登録データの一例を示す図である。 外部Ｗｅｂサービスが保持する認証情報登録リストの一例を示す図である。 代理認証システムにおいて、モバイル端末が外部Ｗｅｂサービスにログインして該サービスを利用可能となるまでの流れを示すシーケンス図である。 リバースプロキシサーバが保持する端末スキーム対応表の一例を示す図である。 一人のユーザがモバイル端末（１）とモバイル端末（２）を所有する場合の代理認証システムの構成例を示す図である。 認証サーバに登録されたサービス別登録端末リストの一例を示す図である。 中継装置が行う処理を示す流れ図である。 モバイル端末の認証アプリが行う処理を示す流れ図である。 従来のＳＳＯシステムの構成例を示す図である。 従来のＳＳＯシステムで端末から外部Ｗｅｂサービスを利用する際の流れを示すシーケンス図である。

以下、図面に基づき本発明の実施の形態を説明する。

図１は、本発明の実施の形態に係る代理認証システム２の構成を示している。ここでは、クライアント端末を、ユーザが携帯可能なスマートフォンなどの情報処理装置であるモバイル端末とする。代理認証システム２は、ユーザが利用するモバイル端末１０と、中継装置（中継サーバ）２０を備える。モバイル端末１０はＬＡＮ（Local Area Network）を介して中継装置２０に接続され、中継装置２０は外部の広域ネットワーク（ＷＡＮ）に接続されている。広域ネットワークには、各種の外部Ｗｅｂサービス３１を提供するサーバが設けられている。

代理認証システム２は、モバイル端末１０のＷｅｂブラウザ１１から外部Ｗｅｂサービス３１へアクセスする際の該外部Ｗｅｂサービス３１へのログイン認証を、モバイル端末１０に代わって中継装置２０が代理で行う機能（代理認証機能）を果たす。

モバイル端末１０は、ＣＰＵ（Central Processing Unit）にＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、表示部、操作入力部、通信部、記憶部などを接続して構成される。記憶部に記憶されたプログラムを実行することでモバイル端末１０の機能が実現される。モバイル端末１０には、Ｗｅｂブラウザ１１のプログラム、認証アプリケーション１２のプログラムなどがインストールされており、ＣＰＵで実行される。以後、認証アプリケーション１２を認証アプリ１２と略記する。

モバイル端末１０は、生体認証装置１３を具備する、もしくは、外部の生体認証装置１３が接続されている。生体認証装置１３は、指紋認証、静脈認証など人体の特徴によって個人を特定する認証装置であれば任意でよい。

中継装置２０は、リバースプロキシサーバ２１、認証サーバ２２、データベース２３を備えている。データベース２３をＤＢ２３と略記する。リバースプロキシサーバ２１、認証サーバ２２はいずれもＣＰＵ、ＲＯＭ、ＲＡＭ、通信部、記憶部を主要部として構成された情報処理装置であり、記憶部に格納されたプログラムをＣＰＵが実行する。

モバイル端末１０の接続されたＬＡＮからＷＡＮ向けの通信はすべて中継装置２０のリバースプロキシサーバ２１を経由して行われている。リバースプロキシサーバ２１は、通信内容に応じて接続先を変更したり、通信内容を書き換えたりする機能を果たす。

図２は、認証アプリケーション１２が持つデータを示している。認証アプリケーション１２は、当該認証アプリ１２がインストールされたモバイル端末１０のユーザの当該代理認証システム２におけるユーザ名と、代理認証システム２において該モバイル端末１０に一意に割り当てられた識別子である端末ＩＤと、中継装置２０にログインするためのユーザ認証に使用する認証装置を指定する認証装置情報を端末登録データ４０として記憶する。

図３は、認証サーバ２２が保持する登録端末リスト４１の一例を示している。登録端末リスト４１には、代理認証を許可するモバイル端末１０の端末ＩＤが登録される。ここでは、端末ＩＤは以下の手順で発行される。
（１）ユーザがモバイル端末１０内の認証アプリ１２を利用して認証サーバ２２に端末ＩＤの発行を要求する。
（２）認証サーバ２２は、固有の端末ＩＤを割り当て、これを要求元のモバイル端末１０に通知すると共に、登録端末リスト４１に登録する。
（３）モバイル端末１０の認証アプリ１２は通知された端末ＩＤを図２のように登録する。

図４は、認証サーバ２２のデータベース２３が保持するログイン情報登録リスト４３の一例を示している。ログイン情報登録リスト４３には、外部Ｗｅｂサービス３１毎に、代理認証システム２でのユーザ名と、対象の外部Ｗｅｂサービスでのユーザ名とパスワードが対応付けて登録される。この例では、たとえば、代理認証システム２でのユーザ名がUser1のユーザの外部Ｗｅｂサービス（Ａ）ではユーザ名はUserA1であり、パスワードはaaaとなっている。また、代理認証システム２でのユーザ名がUser1のユーザの外部Ｗｅｂサービス（Ｂ）でのユーザ名はUserB1であり、パスワードはababとなっている。

図５は、リバースプロキシサーバ２１が、一時的に登録する一時登録データ４５の一例である。リバースプロキシサーバ２１は、モバイル端末１０のＷｅｂブラウザ１１が外部Ｗｅｂサービス３１へアクセスしようとする通信を検出したとき、一時登録データ４５を作成する。一時登録データ４５には、通信元のモバイル端末１０のユーザ名と端末ＩＤとアクセス先の外部Ｗｅｂサービスの名称（図５では要求サービス）と、この通信のセッション情報が登録される。このうち、端末ＩＤは、後述する認証アプリ１２からの認証要求（図７のＰ６）で通知される。

図６は、外部Ｗｅｂサービス３１が保持する認証情報登録リスト４７の一例を示している。外部Ｗｅｂサービス３１のサーバは、この外部Ｗｅｂサービス３１の利用者として登録されたユーザのユーザ名とパスワードを対応付けて認証情報登録リスト４７に登録して保持する。図６は、外部Ｗｅｂサービス（Ａ）のサーバに登録された認証情報登録リスト４７の一例を示している。

図７は、モバイル端末１０が外部Ｗｅｂサービス３１にログインして該サービスが利用可能となるまでの流れを示すシーケンス図である。

モバイル端末１０のＷｅｂブラウザ１１から外部Ｗｅｂサービス３１にアクセスしてログイン要求を出すと（Ｐ１）、リバースプロキシサーバ２１がその通信を取得（横取り）する。リバースプロキシサーバ２１は、モバイル端末１０との通信情報(セッション情報)等を図５の一時登録データ４５のように保存し、モバイル端末１０が認証アプリ１２を起動するのに必要なＵＲＬスキームをモバイル端末１０に送信する（Ｐ２）。

送信するＵＲＬスキームには、モバイル端末との通信情報（セッション情報）が含まれる。たとえば、
myAuth://login?service=xxx.com&Session=zxcvad
といった文字列をＵＲＬスキームとしてモバイル端末１０へ送信する。

モバイル端末１０は、受け取ったＵＲＬスキームを基に、あらかじめインストールされている認証アプリ１２を起動する（Ｐ３）。認証アプリ１２は、あらかじめ設定されている認証装置（図２の端末登録データ４０に登録されている認証装置情報が示す認証装置）を使って認証するようユーザに促す。たとえば、その旨のメッセージ等をモバイル端末１０に表示する。認証装置には、モバイル端末１０が備える生体認証装置、もしくはモバイル端末１０に接続された外部の生体認証装置１３を使用することができる。

認証装置１３はユーザが認証装置１３に対して認証要求を行った時にそれが正しいユーザか否かを判定する（Ｐ４）。このとき、認証に使う生体情報はあらかじめモバイル端末１０に登録しておく必要がある。

認証装置１３はユーザが正しい権限を持った人であると判定すると、認証アプリ１２に認証が成功したことを伝える（Ｐ５）。

ユーザ認証が成功した場合、認証アプリ１２はリバースプロキシサーバ２１に対して端末ＩＤとユーザ名と先ほどＵＲＬスキームで通知されたセッション情報を含む認証要求を送信する（Ｐ６）。以下に認証要求の一例を示す。
{“端末ID”:”12345ABC”, ”User”:”user1”, ”Session”,”zxcvad”}

これを受信したリバースプロキシサーバ２１は、セッション情報をキーにして該当の一時登録データ４５に端末ＩＤを登録すると共に、ユーザ名と端末ＩＤと要求されている外部Ｗｅｂサービスの種類を含む認証情報要求を認証サーバ２２に対して送信し、その外部Ｗｅｂサービスにこのユーザがログインするために必要な認証情報（その外部Ｗｅｂサービスでのユーザ名とパスワード）を要求する（Ｐ７）。

認証サーバ２２は認証情報要求に含まれる端末ＩＤが登録端末リスト４１に登録されているか（要求元のクライアント端末が登録済みか）を確認する（Ｐ８）。登録されていない場合は、モバイル端末１０の認証アプリ１２に、代理認証不可を通知する。登録されている場合は、要求されている外部Ｗｅｂサービス用のログイン情報登録リスト４３を参照して、該当のユーザ名とパスワードを取得し、これをリバースプロキシサーバ２１に返送する（Ｐ９）。

たとえば、Ｐ７の認証情報要求に含まれるユーザ名（代理認証システムでのユーザ名）がUser1で、要求された外部ＷｅｂサービスがサービスＡの場合、サービスＡ用のログイン情報登録リスト４３を参照し、User1がサービスＡにログインするためのユーザ名・パスワードとして「UserA1,aaa」をリバースプロキシサーバ２１に返送する。

リバースプロキシサーバ２１は認証サーバ２２から取得したユーザ名とパスワードを該当するセッションの通信により外部Ｗｅｂサービス３１へ送信し、その外部Ｗｅｂサービス３１へモバイル端末１０の代理でログインを行う（Ｐ１０）。リバースプロキシサーバ２１は外部Ｗｅｂサービス３１からログインの結果（成否）を受け取り、これを認証アプリ１２に通知する（Ｐ１１）。認証アプリ１２はこの通知を受けると、Ｗｅｂブラウザ１１側に制御を戻す（Ｐ１２）。

このように、Ｗｅｂブラウザ１１から外部Ｗｅｂサービス３１へアクセスする場合のユーザ認証をモバイル端末１０側の生体認証装置１３を用いて行うので、ユーザは何一つパスワードを記憶することなく代理認証システム２を利用することができる。

＜変形例１＞
変形例１では、リバースプロキシサーバ２１に接続してきている端末の種類により、ＵＲＬスキームを変更する。基本的には図７と同様のシーケンスで外部Ｗｅｂサービス３１へのログインが行われるが、Ｐ２の処理が若干相違する。すなわち、モバイル端末１０のＷｅｂブラウザ１１が送出した外部Ｗｅｂサービス３１へのログイン要求（通信）を取得したリバースプロキシサーバ２１は、この要求（通信）に含まれるUser-Agent属性に基づいて、どのような端末がアクセスしているか（端末のタイプ）を判定する。

ここでは、User-Agentが示す、端末で使用されているＯＳの種類やバージョン、に基づいて図８に示すような端末スキーム対応表４９を参照し、送信元のモバイル端末１０が認証アプリ１２を起動するのに必要なＵＲＬスキームを選択し、これにセッション情報を付加したＵＲＬスキームを作成する。その他の動作は図７の場合と同様でありその説明は省略する。

なお、User-Agentは、Ｗｅｂブラウザがhttpサーバに対してリクエストを投げる際に付加するヘッダ情報の一つである。User-Agentの一例を示す。
Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko
この情報から、クライアント端末がどのようなＯＳで、どのブラウザを利用しているか等をおおよそ判定することができる。

＜変形例２＞
変形例２では、一人のユーザが複数の端末を持つことがあるため、代理認証を許可する外部Ｗｅｂサービス３１を端末によって切り替える。図９の例は、一人のユーザがモバイル端末（１）とモバイル端末（２）を所有する場合を示している。

モバイル端末毎に利用可能なＷｅｂサービスを切り替える方法として、ここでは、端末ＩＤが発行されて登録された後、管理者の操作により、登録されている各端末ＩＤに対して、どのＷｅｂサービスを利用できるようにするかの設定登録を行う。

図１０は、認証サーバ２２に登録されたサービス別登録端末リスト５１の一例を示している。認証サーバ２２には、図３の登録端末リスト４１に代えて図１０のサービス別登録端末リスト５１が登録される。サービス別登録端末リスト５１は、Ｗｅｂサービス<外部Ｗｅｂサービス３１）毎に、そのＷｅｂサービスを利用可能な端末ＩＤが登録されている。図１０の例では、１２３４５ＡＢＣの端末ＩＤを持つモバイル端末１０はサービスＡ、サービスＢの両方を使えるが、１２ＥＤ５０Ｄ２の端末ＩＤを持つモバイル端末１０はサービスＢしか使えない。

認証サーバ２２は、図７のＰ８での判定を、サービス別登録端末リスト５１を参照して行う。すなわち、要求されている外部Ｗｅｂサービスに対応するサービス別登録端末リスト５１を参照し、これに要求元の端末ＩＤが登録されていれば代理認証を継続し、登録されていない場合は、モバイル端末１０の認証アプリ１２に、代理認証不可を通知する。

図１１は、中継装置２０が行う処理を示す流れ図である。モバイル端末１０による外部Ｗｅｂサービス３１へのアクセスを監視し（ステップＳ１０１;Ｎｏ）、該アクセスを検出すると（ステップＳ１０１;Ｙｅｓ）、その通信を横取りして取得する（ステップＳ１０２）。そして、該通信のアクセス先の外部Ｗｅｂサービス３１の種類（名称）とこの通信のセッションン情報を対応付けて一時登録データ４５に記憶する（ステップＳ１０３）。次に、この通信のヘッダに含まれるUser-Agent属性から、横取りした通信の送信元のモバイル端末１０に対応したＵＲＬスキームを作成して、該送信元のモバイル端末１０へ送信する（ステップＳ１０４）。

ＵＲＬスキームを受信したモバイル端末１０では生体認証装置１３を用いたユーザ認証が行われる。中継装置２０は、モバイル端末１０からの応答を監視し（ステップＳ１０５、Ｓ１０６）、ユーザ認証に成功した場合にモバイル端末１０が送信する認証要求を受信した場合は（ステップＳ１０５;Ｙｅｓ）、ステップＳ１０７へ進む。一方、モバイル端末１０からユーザ認証に失敗した通知を受けた場合は（ステップＳ１０６;Ｙｅｓ）、本処理を終了する。

ステップＳ１０７では、受信した認証要求に含まれる端末ＩＤが登録端末リスト４１あるいはサービス別登録端末リスト５１に登録されているか否かを調べ、登録されていない場合は（ステップＳ１０７;Ｎｏ）、モバイル端末１０の認証アプリ１２へアクセス拒否を通知して（ステップＳ１０８）本処理を終了する。

登録されている場合は（ステップＳ１０７;Ｙｅｓ）、データベース２３から、該当する外部Ｗｅｂサービス用の認証情報（ユーザ名とパスワード）を取得し（ステップＳ１０９）、これと先ほどのセッション情報を用いて外部Ｗｅｂサービス３１へログイン要求する（ステップＳ１１０）。外部Ｗｅｂサービス３１からログイン成否の結果を受信すると（ステップＳ１１１）、これをモバイル端末１０の認証アプリ１２に通知して（ステップＳ１１２）本処理を終了する。

図１２は、モバイル端末１０の認証アプリ１２が行う処理を示す流れ図である。ＵＲＬスキームによって起動されると、端末登録データ４０に登録されている認証装置情報が示す認証装置を作動させ、ユーザに該認証装置を用いてユーザ認証することを促すメッセージの表示等を行う（ステップＳ２０１）。認証装置での認証結果がユーザ認証失敗の場合は（ステップＳ２０２;Ｎｏ）、中継装置２０（リバースプロキシサーバ２１）へ、ユーザ認証失敗を通知し（ステップＳ２０３）、Ｗｅｂブラウザ１１に制御を移して（ステップＳ２０６）本処理を終了する。なお、Ｗｅｂブラウザ１１へ制御を移す前に認証失敗等のメッセージを表示してもよい。

認証装置での認証結果がユーザ認証成功の場合は（ステップＳ２０２;Ｙｅｓ）、中継装置２０（リバースプロキシサーバ２１）へ、端末ＩＤを含む認証要求を送信する（ステップＳ２０４）。その後、中継装置２０からログイン結果の通知を受けたら（ステップＳ２０５;Ｙｅｓ）、Ｗｅｂブラウザ１１に制御を移して（ステップＳ２０６）本処理を終了する。

以上、本発明の実施の形態を図面によって説明してきたが、具体的な構成は実施の形態に示したものに限られるものではなく、本発明の要旨を逸脱しない範囲における変更や追加があっても本発明に含まれる。

実施の形態では、中継装置２０をリバースプロキシサーバ２１、認証サーバ２２、データベース２３で構成したが、これらの機能を１つのサーバ装置で実現してもよい。

実施の形態では、認証装置を生体認証装置としたが、これに限定されるものではない。ユーザ名とパスワード等の入力操作なしにユーザ認証可能な認証装置であることが好ましい。

２…代理認証システム
１０…モバイル端末
１１…Ｗｅｂブラウザ
１２…認証アプリケーション（認証アプリ）
１３…生体認証装置
２０…中継装置
２１…リバースプロキシサーバ
２２…認証サーバ
２３…データベース
３１…外部Ｗｅｂサービス
４０…端末登録データ
４１…登録端末リスト
４３…ログイン情報登録リスト
４５…一時登録データ
４７…認証情報登録リスト
４９…端末スキーム対応表
５１…サービス別登録端末リスト

Claims (8)

1. Ｗｅｂブラウザと認証アプリケーションがインストールされたクライアント端末と、
   中継サーバと、
   を備え、
   前記中継サーバは、前記クライアント端末の前記Ｗｅｂブラウザが外部Ｗｅｂサービスへアクセスする通信を前記外部Ｗｅｂサービスに代わって取得し、前記認証アプリケーションを起動するためのＵＲＬスキームを前記クライアント端末に送信し、
   前記ＵＲＬスキームを受信した前記クライアント端末は、前記認証アプリケーションを起動し、該起動された認証アプリケーションは、所定の認証装置を用いてユーザ認証を行い、ユーザ認証に成功した場合に認証の成功を前記中継サーバに通知し、
   前記通知を受けた前記中継サーバは、前記クライアント端末が前記外部Ｗｅｂサービスにログインするために必要なログイン情報を含むログイン要求を前記外部Ｗｅｂサービスに送信して前記クライアント端末の代理で前記外部Ｗｅｂサービスにログインする
   ことを特徴とする代理認証システム。
2. 前記所定の認証装置は、前記クライアント端末に接続された、前記クライアント端末とは別の認証装置である
   ことを特徴とする請求項１に記載の代理認証システム。
3. 前記中継サーバは、前記アクセスする通信に付加されている所定の情報に基づいて前記クライアント端末のタイプを判別し、該判別の結果に基づいて前記クライアント端末に送信する前記ＵＲＬスキームを変更する
   ことを特徴とする請求項１または２に記載の代理認証システム。
4. 前記中継サーバは、クライアント端末とこのクライアント端末に許可する外部Ｗｅｂサービスとを紐付けた情報を記憶しておき、前記アクセスする通信の通信先の外部Ｗｅｂサービスが前記アクセスする通信の送信元のクライアント端末に紐付けられていることを条件に、前記クライアント端末の代理で前記外部Ｗｅｂサービスにログインする
   ことを特徴とする請求項１乃至３のいずれか１つに記載の代理認証システム。
5. 前記所定の認証装置は、生体認証装置である
   ことを特徴とする請求項１乃至４のいずれか１つに記載の代理認証システム。
6. Ｗｅｂブラウザと認証アプリケーションがインストールされたクライアント端末の代理で中継サーバが外部Ｗｅｂサービスにログインする代理認証方法であって、
   前記中継サーバが、前記クライアント端末の前記Ｗｅｂブラウザが外部Ｗｅｂサービスへアクセスする通信を前記外部Ｗｅｂサービスに代わって取得するステップと、
   前記取得した前記中継サーバが、前記クライアント端末にインストールされている認証アプリケーションを起動するためのＵＲＬスキームを前記クライアント端末に送信するステップと、
   前記ＵＲＬスキームを受信した前記クライアント端末が、前記認証アプリケーションを起動するステップと、
   前記起動された認証アプリケーションが、所定の認証装置を用いてユーザ認証を行い、ユーザ認証に成功した場合に認証の成功を前記中継サーバに通知するステップと、
   前記通知を受けた前記中継サーバが、前記クライアント端末が前記外部Ｗｅｂサービスにログインするために必要なログイン情報を含むログイン要求を前記外部Ｗｅｂサービスに送信して前記クライアント端末の代理で前記外部Ｗｅｂサービスにログインするステップと
   を有する
   ことを特徴とする代理認証方法。
7. クライアント端末の代理で外部Ｗｅｂサービスにログインする中継サーバで実行されるプログラムであって、
   前記中継サーバが、
   前記クライアント端末のＷｅｂブラウザが外部Ｗｅｂサービスへアクセスする通信を前記外部Ｗｅｂサービスに代わって取得するステップと、
   前記通信を取得した場合に、前記クライアント端末にインストールされている認証アプリケーションを起動するためのＵＲＬスキームを前記クライアント端末に送信するステップと、
   前記ＵＲＬスキームによって起動された認証アプリケーションが所定の認証装置を用いてユーザ認証に成功した旨の通知を前記クライアント端末から受信するステップと、
   前記通知を受信した場合に、前記クライアント端末が前記外部Ｗｅｂサービスにログインするために必要なログイン情報を含むログイン要求を前記外部Ｗｅｂサービスに送信して前記クライアント端末の代理で前記外部Ｗｅｂサービスにログインするステップと
   を有する
   ことを特徴とするプログラム。
8. クライアント端末のＷｅｂブラウザが外部Ｗｅｂサービスへアクセスする通信を前記外部Ｗｅｂサービスに代わって取得した中継サーバから送られてくるＵＲＬスキームによって起動されて前記クライアント端末で実行されるプログラムであって、
   所定の認証装置を用いてユーザ認証を行い、認証に成功した場合に認証の成功を前記中継サーバに通知するステップ、
   を有する
   ことを特徴とするプログラム。