JP2021015615A - 利用者認証システム - Google Patents

Abstract

【課題】２つのＯＴＰを比較して利用者を認証するＯＴＰ比較利用者認証装置を備える。【解決手段】ＯＴＰと暗号鍵を生成するＯＴＰ暗号鍵生成機構が、第１ＯＴＰを同期時刻を用いて生成する第１手段と、第１暗号鍵を生成する第２手段と、を備え、２つのＯＴＰを比較して利用者を認証するＯＴＰ比較利用者認証装置が、第２ＯＴＰを同期時刻を用いて生成する第３手段と、第１ＯＴＰと第２ＯＴＰを比較して利用者を認証する第４手段と、第２暗号鍵を生成する第５手段と、を備える。【選択図】図１

Description

本発明は、利用者認証システムに関する。

従来、時刻同期式ＯＴＰ（One Time Password）方法が知られている。例えば、特開平０４−０３７３４１号公報に記載の技術は、第１局が公開情報Ｙｊ、時刻ｔおよび第１生成手順５０２、５０３を利用して、時刻同期式ワンタイムパスワードＷｉ、情報Ｘｉｊおよび暗号鍵Ｋｉｊを生成して、第２局が時刻同期式ワンタイムパスワードＷｉ、情報Ｘｉｊおよび時刻ｔの受渡情報と、第２生成手順５０５、５０７を利用して時刻同期式ワンタイムパスワードＷｉと暗号鍵Ｋｊｉを生成して、生成した時刻同期式ワンタイムパスワードＷｉを用いて第１局の時刻同期式ワンタイムパスワードＷｉを認証する技術が開示されている。

特開平０４−０３７３４１号公報

ところで、従来の技術は、２つのＯＴＰを比較して利用者を認証するＯＴＰ比較利用者認証装置を備えることができないと言った問題があった。

そこで、本発明の目的は、２つのＯＴＰを比較して利用者を認証するＯＴＰ比較利用者認証装置を備えることができるシステムを提供することにある。

上記課題を解決するため本発明のシステムは、ＯＴＰと暗号鍵を生成するＯＴＰ暗号鍵生成機構が、第１ＯＴＰを同期時刻を用いて生成する第１手段と、第１暗号鍵を生成する第２手段と、を備え、２つの前記ＯＴＰを比較して利用者を認証するＯＴＰ比較利用者認証装置が、第２ＯＴＰを前記同期時刻を用いて生成する第３手段と、前記第１ＯＴＰと前記第２ＯＴＰを比較して前記利用者を認証する第４手段と、第２暗号鍵を生成する第５手段と、を備えることを特徴とする。

本発明によれば、システムは、２つのＯＴＰを比較して利用者を認証するＯＴＰ比較利用者認証装置を備えることができる。

実施形態のワンタイムパスワード認証システムの構成図である。

以下、本発明の一実施の形態について詳細に説明する。

図１は実施形態のワンタイムパスワード認証システムの構成図である。
例えば、ワンタイムパスワード認証システムは、インターネット１０、ＯＴＰによりＷｅｂ（Ｗｅｂクライアント２）の利用者を認証するＷｅｂサーバ１、Ｗｅｂサーバ１と接続する利用者のＷｅｂクライアント２およびＯＴＰトークン（ワンタイムパスワード生成機構）をなす利用者のＯＴＰ装置３から構成され、Ｗｅｂサーバ１は、インターネット１０を介してＷｅｂクライアント２にＯＴＰ要求を送信する。

ＯＴＰ要求を受信したＷｅｂクライアント２は、利用者にログイン識別子（アカウント）および時差を入力させ、入力後、利用者がＷｅｂクライアント２にＯＴＰ装置３をかざして、ＮＦＣペアリング手段２０が行なわれた場合に、Ｗｅｂクライアント２の時刻に時差を反映して求めた同期時刻を、ＮＦＣペアリング手段２０を介してＯＴＰ装置３に通知する。

ＮＦＣペアリング手段２０が行なわれたＯＴＰ装置３は、受信した同期時刻と、ＯＴＰシードおよびＯＴＰ生成手順を利用してＯＴＰを生成し、同期時刻、シークレット鍵およびセッション鍵生成手順を利用してセッション鍵を生成し（例えば、シークレット鍵の後方に同期時刻を連結した情報をハッシュ関数に通してハッシュ値を求め、そのハッシュ値をセッション鍵に変換するなど）、ＮＦＣペアリング手段２０を介してＯＴＰおよびセッション鍵をＷｅｂクライアント２に応答する。

ＯＴＰおよびセッション鍵を受信したＷｅｂクライアント２は、インターネット１０を介してアカウントおよびＯＴＰをＷｅｂサーバ１に応答する（ＯＴＰ要求の応答）。

アカウントおよびＯＴＰを受信したＷｅｂサーバ１は、アカウントとペアのトークン識別子を割出し、Ｗｅｂサーバ１の時刻にトークン識別子と対応する時差を反映して求めた同期時刻と、トークン識別子と対応するＯＴＰシードと、ＯＴＰ生成手順を利用してＯＴＰを生成し、受信したＯＴＰと生成したＯＴＰが一致することを確認して利用者を認証し、同期時刻と、トークン識別子と対応するシークレット鍵と、セッション鍵生成手順を利用してセッション鍵を生成する。

この結果、利用者の認証後のＷｅｂサーバ１およびＷｅｂクライアント２の双方は、セッション鍵を利用した暗号化Ｗｅｂ通信（暗号化Ｗｅｂページを用いた通信。後述する暗号化したＩＰ電話機の通話の伝送を含む）を行うこととなる。

さらに、相互認証を実施するワンタイムパスワード認証システムは、Ｗｅｂサーバ１が利用者を認証後にセッション鍵で暗号化されたＯＴＰをＷｅｂクライアント２に送信し、それを受信したＷｅｂクライアント２がＯＴＰを復号化しＯＴＰ装置３で生成したＯＴＰと一致することを確認してＷｅｂサーバ１を認証する。

また、Ｗｅｂサーバ１が利用者を認証後にセッション鍵で暗号化されたＯＴＰをＷｅｂクライアント２に送信し、それを受信したＷｅｂクライアント２がＯＴＰ装置３に送信し、それを受信したＯＴＰ装置３がＯＴＰを復号化しＯＴＰ装置３で生成したＯＴＰと一致することを確認してＷｅｂサーバ１を認証し、認証結果をＷｅｂクライアント２に送信してもよい。

Ｗｅｂサーバ１、Ｗｅｂクライアント２、ＯＴＰ装置３などの装置は、ＣＰＵ、ＲＯＭ、ＲＡＭ、記憶装置、通信部、入出力部（ディスプレイ、キーボードなど）などを有するコンピュータ部を備える。Ｗｅｂクライアント２およびＯＴＰ装置３は、ＮＦＣペアリング実施部を備える。

Ｗｅｂサーバ１およびＷｅｂクライアント２は、同期する時刻を刻むＵＴＣ時刻手段を備える。
Ｗｅｂサーバ１およびＯＴＰ装置３は、共通のＯＴＰ生成手順、共通のセッション鍵生成手順および共通のハッシュ関数を備える。

Ｗｅｂサーバ１は、利用者のアカウントとトークン識別子のペアと、トークン識別子と対応付けられた時差、ＯＴＰシードおよびシークレット鍵を記憶する利用者登録情報を備える。また、利用者を認証する認証サーバ１ａおよびＷｅｂクライアント２と暗号化Ｗｅｂ通信（暗号化Ｗｅｂページを用いた通信）を行うＷｅｂサーバ１ｂなどの二つのサーバで構成されていてもよい。

ＯＴＰ装置３は、トークン識別子、ＯＴＰシードおよびシークレット鍵を記憶する利用者登録情報を備える。また、スマートフォンなどを構成し、Ｗｅｂクライアント２の機能を複合していてもよい。また、ＯＴＰ生成機能およびセッション鍵生成機能を備える集積回路（ＬＳＩ）で構成されたスマートカードの形態をとっていてもよい。

＜認証サーバ１ａおよびＷｅｂサーバ１ｂの構成の場合＞
利用者登録処理として、Ｗｅｂクライアント２は、利用者が入力したトークン識別子をＷｅｂサーバ１ｂに送信し、トークン識別子を受信したＷｅｂサーバ１ｂは、利用者にアカウントを割当て、アカウントを含む利用者情報を自己に記憶し、Ｗｅｂクライアント２にアカウントを応答して利用者に通知させるとともに、アカウントおよびトークン識別子のペアを認証サーバ１ａに送信し、認証サーバ１ａは、該ペアをＷｅｂサーバ１ｂごとの利用者登録情報として自己に記憶する。この結果、利用者は、一つのＯＴＰ装置３を複数のＷｅｂサイトで利用することができる。

さらに、Ｗｅｂクライアント２からＯＴＰ要求の応答を受けたＷｅｂサーバ１ｂは、受信したアカウントとＯＴＰを含む利用者認証要求を認証サーバ１ａに送信し、利用者認証要求を受信した認証サーバ１ａは、利用者の認証を実施し、セッション鍵を生成し、セッション鍵をＷｅｂサーバ１ｂに応答する、この結果、利用者の認証後のＷｅｂサーバ１ｂおよびＷｅｂクライアント２の双方は、セッション鍵を利用した暗号化Ｗｅｂ通信（暗号化Ｗｅｂページを用いた通信）を行うこととなる。

さらに、ＯＴＰ装置３の紛失や破損時の交換措置として、認証サーバ１ａは、自己の利用者登録情報の旧トークン識別子に該当する全てのペアを対象に旧トークン識別子を、新たなＯＴＰ装置３のトークン識別子に置換え該ペアを一新する。

さらに、利用者によりアカウントが変更されたＷｅｂサーバ１ｂは、変更された新旧のアカウントを認証サーバ１ａに送信し、認証サーバ１ａは、自己の利用者登録情報の旧アカウントとトークン識別子のペアの内の旧アカウントを新アカウントに置換え該ペアを一新する。

上記実施形態において、ワンタイムパスワード認証システムは、ブラウザソフトウェアの機能（プラグインを利用するなど）として、上記Ｗｅｂクライアント２の機能が提供されることが望ましい。

また、上記ＯＴＰ要求をログインＷｅｂページとすると、ログインＷｅｂページによりアカウントと時差が入力され送信ボタンが押下されると、ブラウザソフトウェアにより時差がＯＴＰに置換えられアカウントとＯＴＰがＷｅｂサーバ１に応答されることとなる。

また、ＮＦＣペアリング手段２０の替りに、ＵＳＢコネクタ接続手段、ＩｒＤＡ通信手段、ブルートゥース（登録商標）通信手段などを利用してもよい。

また、時差を利用者の暗証情報として活用することができ、時差を４桁の時間や日数などとし、ＯＴＰ装置３をスマートカード（集積回路を含むキャッシュカード、クレジットカード、電子マネーカードなど）とすると、銀行ＡＴＭ（Automated Teller Machine）などのＷｅｂクライアント２の操作方法と親和性が保てる。

また、Ｗｅｂクライアント２が入力された文字列をハッシュ関数に通し、時差に変換する構成としてもよい。

また、利用者登録情報に記憶させたペアの登録秘密鍵として利用者ごとに異なるＯＴＰシードとシークレット鍵を利用する構成としたが、シークレット鍵の替りにＯＴＰシードを用いてセッション鍵を生成する構成としてもよく、その場合、Ｗｅｂサーバ１の利用者登録情報に記憶され、ＯＴＰ生成時に利用者がＷｅｂクライアント２から入力する利用者ごとに異なる個別時差を設け、ＯＴＰおよびセッション鍵の生成に用いられる同期時刻の一方に個別時差を反映させる構成としてもよい。また、Ｗｅｂサーバ１およびＷｅｂクライアント２をＷｅｂ認証以外のエンティティとしてもよい。また、ＯＴＰが非可逆性を有してもよい。

また、複数のＷｅｂクライアント２を、ＩＰ電話機の通話を提供するＶｏＩＰ手段を備え、セッション鍵により暗号化した通話（ビデオ通話を含む）を伝送するＷｅｂサーバ１とＷｅｂクライアント２間の通話路を利用する電話加入者（利用者）のＩＰ電話機とし、Ｗｅｂサーバ１を、ＩＰ電話機の電話交換を行うＩＰ電話交換手段と、ＩＰ電話課金手段を備え、該通話路を提供するＩＰ電話交換機としてもよい。

以上の説明においては、通信制御プログラムを含む各種制御プログラムが、予めＲＯＭに格納されている場合について説明したが、制御プログラムを、コンピュータ部で読取可能な記憶媒体に記録するようにしてもよい。このような構成であれば、コンピュータ部によってプログラムが記憶媒体から読み取られ、読み取られたプログラムに従ってコンピュータ部が処理を実行すると、上記実施形態の各装置と同等の作用および効果が得られる。

ここで、記憶媒体とは、ＲＡＭ、ＲＯＭ等の半導体記憶媒体、ＦＤ、ＨＤＤ等の磁気記憶型記憶媒体、ＣＤ、ＤＶＤ、ＢＤ等の光学的読取方式記憶媒体、ＭＯ等の磁気記憶型／光学的読取方式記憶媒体であって、電子的、磁気的、光学的等の読み取り方法のいかんにかかわらず、コンピュータ部で読み取り可能な記憶媒体であれば、どのような記憶媒体であってもよい。

また、インターネット、ＬＡＮ等のネットワークシステムを介して制御プログラムをダウンロードし、インストールして実行するように構成することも可能である。

１…Ｗｅｂサーバ，１ａ…認証サーバ，１ｂ…Ｗｅｂサーバ，２…Ｗｅｂクライアント，３…利用者トークン，１０…インターネット，２０…ＮＦＣペアリング手段

Claims (5)

1. ＯＴＰと暗号鍵を生成するＯＴＰ暗号鍵生成機構が、第１ＯＴＰを同期時刻を用いて生成する第１手段と、第１暗号鍵を生成する第２手段と、を備え、
   ２つの前記ＯＴＰを比較して利用者を認証するＯＴＰ比較利用者認証装置が、第２ＯＴＰを前記同期時刻を用いて生成する第３手段と、前記第１ＯＴＰと前記第２ＯＴＰを比較して前記利用者を認証する第４手段と、第２暗号鍵を生成する第５手段と、を備える、
   システムに用いることを特徴とするＯＴＰ暗号鍵生成機構。
2. ＯＴＰを生成するＯＴＰ生成機構が、利用者が設定した情報を反映させた同期時刻を外部から取得する第１手段と、第１ＯＴＰを前記同期時刻を用いて生成する第２手段と、を備え、
   前記同期時刻を生成する利用者設定情報反映同期時刻生成装置が、前記同期時刻を生成する第３手段を備え、
   ２つの前記ＯＴＰを比較して前記利用者を認証するＯＴＰ比較利用者認証装置が、第２ＯＴＰを前記同期時刻を用いて生成する第４手段と、前記第１ＯＴＰと前記第２ＯＴＰを比較して前記利用者を認証する第５手段と、を備える、
   システムに用いることを特徴とするＯＴＰ生成機構。
3. 請求項１または２に記載のシステムに用いる前記ＯＴＰ比較利用者認証装置を実施させることを特徴とする方法。
4. プロセッサを、
   請求項１または２に記載のシステムに用いる前記第１ないし第５手段の何れかとして機能させるための制御プログラム。
5. 請求項１または２に記載のシステムに用いる前記第１手段または前記第２手段を備えることを特徴とする集積回路。