JP2022071684A - 情報処理装置、情報処理装置の制御方法およびプログラム - Google Patents

Abstract

【課題】外部認証器を用いてユーザの認証を行う際の認証処理にかかる時間を短縮する。【解決手段】連携サービス１１２にアクセス後、連携サービス１１２が提供するサービスのログイン画面を表示する表示制御手段と、連携サービス１１２に対して、検証データの要求を送信する第１送信手段と、ユーザの認証に先立って認証器１３１と通信する通信制御手段と、ログイン指示を受けつけた場合に認証器１３１に対して検証データを含む要求を送信する第２送信手段と、認証器１３１から受信した署名データを連携サービス１１２に対して送信する第３送信手段と、を有し、第１送信手段による連携サービス１１２に対する前記要求の送信と通信制御手段による認証器１３１との通信との少なくとも何れかは、連携サービス１１２にアクセスした後、ユーザからログインするための指示を受けつけることを待たずに実行される。【選択図】図７

Description

本発明は、情報処理装置、方法およびプログラムに関する。
本発明は、ユーザから生体認証要求が行われる前に、非同期で生体認証に必要な情報をサーバから取得し、さらに利用可能な認証器の一覧を事前に取得しておくことで、生体認証に係る時間を短縮することを目的としたシステムに関する。

近年、生体認証を含む新たな認証システムとして、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅの略）が注目されている。生体認証で用いられる指紋や静脈といった生体情報は、ＩＤ／パスワード認証におけるパスワードと異なり、外部に情報が流出してしまった場合に情報を書き換えることができないため、情報漏洩が致命的になる。一方、ＦＩＤＯは、認証作業をインターネットを経由してサーバ上で行うのではなくユーザの手元にある端末上で行う。そのため、ＦＩＤＯでは生体情報がネットワーク上に流れることがなく、情報漏洩のリスクが少ないと言える。特許文献１は、生体認証サーバに生体情報を保持する生体認証システムにおいて、クライアント側に特定のグループに属するユーザの生体情報をキャッシュすることで生体認証サーバの負荷を軽減する生体認証システムを開示している。

特開２０１２－６９０２５号公報

しかしながら、特許文献１のように認証処理をクライアント側に任せると、悪意のあるクライアントによって認証結果を偽装することも可能になるため、セキュリティリスクがある。また、特許文献１のように認証処理をクライアント側に任せる構成は、サーバ側で署名検証を行うというＦＩＤＯの認証の仕組みに適応することもできない。また、生体認証で連携サービスに認証する場合に、ユーザがログイン要求を行ってから生体認証に必要なパラメータを連携サービスから取得したり、利用可能な認証器を特定する処理を行ったりすると、生体認証フローに時間がかかりユーザビリティが低下する。

本発明は、外部認証器を用いてユーザの認証を行う際の認証処理にかかる時間を短縮することを目的とする。

上記課題を解決するために、本発明の情報処理装置は、ユーザの認証を行うための外部認証器と通信可能な情報処理装置であって、サービス提供システムにアクセスした後に、当該サービス提供システムが提供するサービスにログインするための指示を前記ユーザから受け付けるための画面を表示する表示制御手段と、前記サービス提供システムに対して、検証データが取得される要求を送信する第１送信手段と、前記ユーザの認証に先立って、外部認証器と通信する通信制御手段と、前記画面を介して前記ユーザからログインするための指示を受けつけた場合に、通信が行えた前記外部認証器に対して、前記検証データを含む要求を送信する第２送信手段と、前記外部認証器から、前記ユーザの認証処理が成功した際に特定される秘密鍵と前記検証データとを用いて作成された署名データを受信した場合に、該署名データを前記サービス提供システムに対して送信する第３送信手段と、を有する。前記第１送信手段による前記サービス提供システムに対する前記要求の送信と、前記通信制御手段による外部認証器との前記通信と、の少なくとも何れかは、前記サービス提供システムにアクセスした後、前記画面を介して前記ユーザからログインするための指示を受けつけることを待たずに実行される。

本発明によれば、外部認証器を用いてユーザの認証を行う際の認証処理にかかる時間を短縮することができる。

生体認証システム全体の構成を示す図である。 端末のハードウェア構成および認証器のハードウェア構成を示す図である。 端末のソフトウェア構成を示す図である。 ログイン画面の一例を示す図である。 生体認証のシーケンス図である。 生体認証のシーケンス図である。 実施例１における生体認証のフローチャートである。 実施例２における生体認証のフローチャートである。

（実施例１）
図１は、本発明の実施形態に係る、システムの全体構成の一例を示す図である。
システムは、連携サービス１１２を提供する連携サービスサーバ１１１、複数の端末１２１～１２３、認証器１３１～１３４を備える。連携サービスサーバ１１１と端末１２１～１２３は、ネットワーク１０１～１０３を介して通信可能に接続されている。

ネットワーク１０１～１０３は、データの送受信が可能な通信ネットワークである。通信ネットワークは、例えば、インターネット等のＬＡＮ、ＷＡＮ、電話回線、専用デジタル回線、ＡＴＭやフレームリレー回線、ケーブルテレビ回線、データ放送用無線回線等のいずれか、またはこれらの組み合わせにより実現される。本実施例においては、ネットワーク１０１がインターネット、ネットワーク１０２、１０３が企業内ネットワークやサービスプロバイダーのネットワークの場合を例に説明する。

連携サービスサーバ１１１は、連携サービス１１２を提供する情報処理装置である。連携サービス１１２は、端末１２１～１２３にサービスを提供する外部システム（サービス提供システム）である。連携サービス１１２は、端末１２１～１２３内で動作するアプリケーションに対してＡｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍ Ｉｎｔｅｒｆａｃｅ（ＡＰＩ）を公開する。また、連携サービス１１２は、端末１２１～１２３上で動作するＷｅｂブラウザからの要求に応じてＪａｖａＳｃｒｉｐｔなどのＷｅｂブラウザ上で動作するプログラムを含むコンテンツを提供する。ＪａｖａＳｃｉｒｐｔを含むブラウザ上で動作するプログラムは、連携サービス１１２の提供するＡＰＩを利用することで、Ｗｅｂアプリケーションとして動作し、端末１２１～１２３の利用者に各種機能を提供する。なお、本実施例では、連携サービス１１２を連携サービスサーバ１１１が提供する例について説明したが、これに限られるものではない。連携サービス１１２は、サーバ装置の他、サーバ装置を含むデータセンターにより提供されたリソースを利用した仮想マシン（クラウドサービス）により実現されてもよい。

端末１２１～１２３は、プログラムの実行環境が内蔵されたパーソナルコンピュータ、携帯電話、タブレット端末などの情報処理装置である。端末１２１～１２３には、Ｗｅｂブラウザ、電話機能などを提供するアプリケーションを実行する環境が内蔵されている。本実施例において、端末１２１は、ネットワーク１０１およびネットワーク１０２を介して、連携サービスサーバ１１１に接続されている。また、端末１２２および端末１２３は、ネットワーク１０１およびネットワーク１０３を介して、連携サービスサーバ１１１に接続されている。端末１２１～１２３の利用者（以下、ユーザと記す）は、連携サービス１１２のアカウントを持ち、連携サービス１１２に対してユーザ自身のユーザＩＤでログインすることで連携サービス１１２の各種機能やデータにアクセスできる。なお、図１では、３台の端末１２１～１２３がネットワークを介して連携サービスサーバ１１１に接続されていることを示しているが、これに限られるものではなく、１台であっても、複数台であってもよい。また、端末１２１～１２３は、ユーザの認証を行うための認証器と通信可能である。

認証器１３１～１３４は、ユーザが連携サービス１１２への認証を行う際の生体認証を行う外部認証器である。認証器１３１～１３４は、生体認証の機能を備えていればよく、ドングルや携帯電話など形状は問わない。本実施例において、認証器１３１は、端末１２１に通信可能に接続される。認証器１３２および認証器１３３は、端末１２２に通信可能に接続される。認証器１３４は、端末１２３に通信可能に接続される。なお、各端末は複数の認証器と接続されてもよく、例えば端末１２１が認証器１３１～１３４と接続されてもよい。

認証器１３１～１３４は、端末に一体的に備えられていてもよいし、端末に接続される外部デバイスであってもよい。端末１２１～１２３に接続される認証器１３１～１３４は、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＮｅａｒＦｉｅｌｄＣｏｍｍｕｎｉｃａｔｉｏｎ（近距離無線通信、ＮＦＣ）、ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ（ＵＳＢ）などを利用して接続される。認証器１３１～１３４は、端末１２１～１２３に常時接続していてもよいし、端末１２１～１２３からのリクエストに応じて認証時のみ接続するようにしてもよい。例えばＢｌｕｅｔｏｏｔｈ（登録商標）接続の場合は、ＢｌｕｅｔｏｏｔｈＬｏｗＥｎｅｒｇｙ（ＢＬＥ）などの技術を用いて探索し、見つかった認証器１３１～１３４に接続する。また、過去にペアリングしたことがある、電源がＯＦＦになっている認証器１３１～１３４に対して、端末１２１～１２３がアドバタイズパケットを送ることで認証器１３１～１３４を起動させ、接続するようにしてもよい。

図２（Ａ）は、端末１２１～１２３のハードウェア構成を示す図である。端末１２１～１２３は、ＣＰＵ２０２、ＲＡＭ２０３、ＲＯＭ２０４、ＨＤＤ２０５、入出力Ｉ／Ｆ２１０、ＮＩＣ２０６を備える。これらの要素は、システムバス２０１を介して接続され、互いにデータのやり取りを行う。

ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０２は、端末装置全体の制御を行う。ＣＰＵ２０２は、ＲＯＭ２０４またはＨＤＤ２０５に格納されているＯＳ（オペレーティングシステム）やアプリケーションのプログラム等を実行する。すなわち、ＣＰＵ２０２が、読み取り可能な記憶媒体に格納されたプログラムを実行することにより、後述する各フローチャートの処理を実行する各処理部として機能する。

ＲＡＭ（Ｒａｎｄａｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０３は、揮発性の記憶領域であって、ＣＰＵ２０２が各種処理を行う際の一時記憶領域、ワークエリアとして使用される。ＣＰＵ２０２はＲＡＭ２０３に、プログラムの実行に必要な情報、ファイル等を一時的に格納する制御を行う。ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０４は、不揮発性の記憶領域であって、ＯＳ、基本Ｉ／Ｏプログラム、アプリケーション等の各種データを格納する。ＨＤＤ（Ｈａｒｄ Ｄｉｓｃ Ｄｒｉｖｅ）２０５は、外部記憶手段の一つであり、大容量メモリとして機能する。ＨＤＤ２０５は、Ｗｅｂブラウザ等のアプリケーションプログラム、サービスサーバ群のプログラム、ＯＳ、関連プログラム等を格納している。

入出力装置２１１は、端末１２１～１２３における入出力を担う複数の構成を示す。端末１２１～１２３に対するユーザの操作を受け付ける入力装置の例としては、キーボードやポインティングデバイスなどが挙げられる。ユーザに対してグラフィックユーザインターフェース（ＧＵＩ）等の表示を行う出力装置の例としては、液晶ディスプレイとグラフィックコントローラなどが挙げられる。また、入出力装置２１１は、例えばタッチパネルディスプレイ等のように、一体的に構成されていてもよい。タッチパネルにおける入力座標と表示座標を対応付けることで、あたかもユーザがタッチパネルに表示された画面を直接的に操作可能であるかのようなＧＵＩを構成することができる。また、後述する認証器１３１～１３４も入出力装置２１１の１つであり、入出力Ｉ／Ｆ２１０を介して端末１２１～１２３と接続することができる。

入出力Ｉ／Ｆ２１０は、入出力装置２１１からの入出力を制御する。具体的には、入出力Ｉ／Ｆ２１０は、入出力装置２１１からの入力に対応する信号を、ＣＰＵ２０２などへ伝える。また、入出力Ｉ／Ｆ２１０は、入出力装置２１１の表示を制御する。さらに、入出力Ｉ／Ｆ２１０は、通信Ｉ／Ｆとしても機能する。すなわち、入出力Ｉ／Ｆ２１０は、Ｂｌｕｅｔｏｏｔｈ（登録商標）通信、ＵＳＢ接続、ＮｅａｒＦｉｅｌｄＣｏｍｍｕｎｉｃａｔｉｏｎ（ＮＦＣ）などの通信を司るインターフェースも含む。

ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）２０６は、ネットワーク１０２～１０３を介して、ネットワーク１０２～１０３に接続された連携サービスサーバ１１１等の外部装置とのデータのやり取りを行う。なお、上記の端末１２１～１２３の構成は一例であり、図２（Ａ）の構成例に限定されるものではない。例えば、データやプログラムの格納先は、その特徴に応じてＲＯＭ２０４、ＲＡＭ２０３、ＨＤＤ２０５などで変更することも可能である。

図２（Ｂ）は、認証器１３１～１３４のハードウェア構成を示す図である。認証器１３１～１３４は、ＣＰＵ２２２、ＲＡＭ２２３、ＲＯＭ２２４、通信Ｉ／Ｆ２２５、ＴＰＭ２２６、生体情報センサ２２７を備える。これらの要素は、システムバス２２１を介して接続され、互いにデータのやり取りを行う。

ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２２２は、認証器全体の制御を行う。ＣＰＵ２２２は、ＲＯＭ２２４に格納されているアプリケーションのプログラム等を実行する。すなわち、ＣＰＵ２２２が、読み取り可能な記憶媒体に格納されたプログラムを実行することにより、後述する各フローチャートの処理を実行する各処理部として機能する。

ＲＡＭ（Ｒａｎｄａｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２２３は、揮発性の記憶領域であって、ＣＰＵ２２２が各種処理を行う際の一時記憶領域、ワークエリアとして使用される。ＣＰＵ２２２はＲＡＭ２２３に、プログラムの実行に必要な情報、ファイル等を一時的に格納する制御を行う。ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２２４は、不揮発性の記憶領域であって、基本Ｉ／Ｏプログラム、アプリケーション等の各種データを格納する。

通信Ｉ／Ｆ２２５は、Ｂｌｕｅｔｏｏｔｈ（登録商標）通信、ＮＦＣ、ＵＳＢなどの接続手段を利用して、各接続手段に対応した端末１２１～１２３等の機器と相互にデータの通信を行う。ＴＰＭ（Ｔａｍｐｅｒ Ｍｏｄｕｌｅ）２２６は、機密情報を処理したり格納したりする目的で、格納したデータを外部から読み取られることを防ぐ耐タンパー性を備えた記憶手段である。本実施例ではＴＰＭ２２６に、認証に用いる生体情報の特徴量や後述の秘密鍵を格納する。

生体情報センサ２２７は、ユーザの生体情報を読み取るセンサである。生体情報センサ２２７は、例えばユーザの指紋、虹彩、静脈等の生体情報を読み取り、信号に変換する。なお、生体情報はこれらに限られるものではない。本実施例では、指紋読み取りセンサである生体情報センサ２２７が、生体情報として指紋情報を取得する例について説明するが、これに限られるものではない。例えば、生体情報センサ２２７は、虹彩を読み取るためのカメラなど他の生体情報センサであってもよい。

次に、端末１２１～１２３の提供する機能について図３および図４を用いて説明する。
図３は、端末１２１～１２３のソフトウェア構成を示す図である。図３に示す３０１、３０２、３０３はソフトウェアの構成要素を示し、図２で説明したＨＤＤ２０５にプログラムとして保存されており、実行時にＲＡＭ２０３に展開され、ＣＰＵ２０２によって実行される。

端末１２１～１２３は、通信部３００、ブラウザ部３０１、認証器制御部３０２、生体認証管理部３０３の各機能を有する。通信部３００、認証器制御部３０２、生体認証管理部３０３は、端末１２１～１２３上で動作しているＯＳが提供する機能である。なお本実施例では、生体認証管理部３０３はＯＳの提供する機能として説明するが、ブラウザ部３０１が提供する機能の１つであってもよい。通信部３００は、ブラウザ部３０１からのリクエストに応じてＮＩＣ２０６を介して連携サービス１１２など外部との通信を行う。

ブラウザ部３０１は、連携サービス１１２の各種機能を利用するために端末１２１～１２３で動作する、例えばアプリケーションである。ユーザはブラウザ部３０１を利用して連携サービス１１２にアクセスし、連携サービス１１２の提供するＷｅｂアプリケーションを介して、連携サービス１１２の各種機能を利用する。ブラウザ部３０１は、処理管理部３１１、表示制御部３１３、イベント検知部３１４、キャッシュ部３１５を有する。

処理管理部３１１は、通信部３００を介して連携サービス１１２に対してリクエストを送信したり、生体認証管理部３０３を介して認証器１３１～１３４と通信を行ったりするための、処理全体の制御を行う。表示制御部３１３は、通信部３００を介して連携サービス１１２から取得した応答に基づき、ユーザに連携サービス１１２へのログイン画面等、アプリケーション画面を提供する。イベント検知部３１４は、端末１２１～１２３に接続されたマウスやキーボードなどの入出力装置２１１からの入力を受けつけて、処理管理部３１１に通知する。キャッシュ部３１５は、連携サービス１１２に対するログイン情報（例えば、ユーザＩＤやセッションＩＤなど）やアクセス日時などのキャッシュ情報（例えば、Ｃｏｏｋｉｅ情報）を保持する。

認証器制御部３０２は、認証器管理部３２１、認証器情報保持部３２２、認証器探索部３２３を有する。認証器探索部３２３は、認証器管理部３２１からの要求に応じて、端末１２１～１２３にそれぞれ対応する認証器１３１～１３４のうち接続されていないものを探索する。認証器情報保持部３２２は、認証器情報を保持する。認証器情報には、各端末１２１～１２３に対応する認証器１３１～１３４の情報および認証器１３１～１３４との通信に必要な情報が含まれる。

認証器情報保持部３２２が保持する認証器情報の例を表１に示す。

認証器情報には、例えば、認証器ＩＤ、接続方法、接続ＩＤが含まれる。認証器ＩＤは、認証器１３１～１３４を一意に識別する情報である。接続方法は、端末１２１～１２３と認証器１３１～１３４との接続方法を示す情報である。接続方法には、例えば、Ｂｌｕｅｔｏｏｔｈ、ＵＳＢ、ＮＦＣなどの情報が格納される。接続ＩＤは、端末１２１～１２３に、認証器１３１～１３４が接続されている場合に、接続を一意に識別する情報である。接続ＩＤは、例えば、ＵＳＢ接続している認証器であればＵＳＢのポート識別子、Ｂｌｕｅｔｏｏｔｈでペアリングしている認証器であればＢｌｕｅｔｏｏｔｈ接続のセッションＩＤなどである。接続方法は、ＯＳなどが提供するハンドルを参照することで取得するようにしてもよい。なお、接続器が接続されていない場合の接続ＩＤは、Ｎ／Ａ（Ｎｏｔ Ａｐｐｌｉｃａｂｌｅ、該当なし）となる。例えば、認証器ＩＤがａｂｃで識別される認証器は、接続方法はＢｌｕｅｔｏｏｔｈであるが、現在ペアリングされていないため接続ＩＤはＮ／Ａになっている。一方、認証器ＩＤがｘｙｚで識別される認証器は、接続方法はＵＳＢであり、接続ＩＤがポート１であるので、ポート１に現在接続されていることがわかる。なお、本実施例では接続方法によらず認証器を一元管理している認証器情報保持部３２２を想定したが、接続方法によって別テーブルで管理してもよい。

認証器管理部３２１は、生体認証管理部３０３からの要求に応じて認証器１３１～１３４の情報を応答したり、生体認証管理部３０３が指定した認証器１３１～１３４に対して生体認証リクエストを行い、生体認証結果を生体認証管理部３０３に返却したりする。認証器管理部３２１は、認証器１３１～１３４と通信する場合には、認証器情報保持部３２２から通信に必要な情報を取得し、通信を行う。

生体認証管理部３０３は、連携サービス１１２と通信したり、認証器制御部３０２内の認証器管理部３２１とデータのやり取りをしたりすることで、連携サービス１１２に対する生体認証を管理する。

図４は、連携サービス１１２の生体認証ログイン画面４０１である。生体認証ログイン画面４０１は、ブラウザ部３０１により入出力装置２１１の表示部に表示される、連携サービス１１２が提供するサービスにログインするための指示をユーザから受け付けるためのブラウザ画面である。生体認証ログイン画面４０１には、ＵＲＬバー４０２、ＩＤ４０３、ログインボタン４０４が表示される。ＵＲＬバー４０２には、現在表示されているページのＵＲＬを表示される。生体認証ログイン画面４０１のＵＲＬバー４０２には、生体認証ログインを行う画面のＵＲＬが表示される。生体認証ログイン画面４０１は、連携サービス１１２が提供するサービス（例えば、アプリケーションなど）にログインする際に表示されてもよいし、ユーザがＵＲＬバーに連携サービス１１２のログインＵＲＬを入力することで表示されてもよい。ブラウザ部３０１の表示制御部３１３が、ユーザからのログイン画面表示の要求に対する連携サービス１１２からの応答を解析し、生体認証ログイン画面４０１を表示する。

ＩＤ４０３は、ユーザがユーザＩＤを入力するためのテキストボックスである。ログインボタン４０４は、ユーザが連携サービス１１２に対して認証リクエストを要求するためのアイコンである。ユーザはＩＤ４０３のテキストボックスに、連携サービス１１２のユーザＩＤを入力し、ログインボタン４０４をクリックすることで、連携サービス１１２に対して認証リクエストを送信する。なお、キャッシュ部３１５に、ＩＤ４０３のテキストボックスに過去に入力されたユーザＩＤが保持されている場合は、ユーザが生体認証ログイン画面４０１を表示した時点で連携サービス１１２に対して認証リクエストを送信するようにしてもよい。認証器１３１～１３４も含めた詳細な生体認証フローについては後述する。

次に、図５～図７を用いて、ユーザが連携サービス１１２にログインするフローについて説明する。本実施例では、ユーザが連携サービス１１２に認証を行う方法としてチャレンジレスポンス認証を用いる。チャレンジレスポンス認証では、まず、連携サービス１１２にアクセスして連携サービス１１２が提供するログインページがブラウザ上で表示されると、端末１２１～１２３は、連携サービス１１２に対してチャレンジを含む検証データを要求する。チャレンジは、チャレンジレスポンス認証をするために利用するパラメータである。チャレンジとしては、乱数などが用いられるが、その作成方法は特に限定するものではない。検証データの要求を受けた連携サービス１１２は、チャレンジを含む検証データを端末１２１～１２３に応答する。ブラウザ部３０１は連携サービス１１２からの応答に含まれるチャレンジを、認証器１３１～１３４に該ユーザの生体情報と関連付けて保持されている秘密鍵を用いて署名し、その署名を連携サービス１１２に送信する。連携サービス１１２はブラウザ部３０１から送信されてきた署名を、該ユーザに対応する登録済みの公開鍵で検証した結果を持って認証を行う。本実施例では、認証器１３１～１３４に該ユーザの生体情報と関連付けて秘密鍵を保存する処理および対応する公開鍵を連携サービス１１２に登録する処理については説明を省略する。

連携サービス１１２へのログインで生体認証を行う際には、連携サービス１１２からチャレンジを取得する処理や、接続されているまたは近くに存在する認証器の一覧を取得する処理が必要であるため、認証完了までに時間がかかる。特に近くの認証器を探索する場合は、数秒～場合によっては１０秒近くかかることも考えられるため、ユーザが処理の遅さに不便を感じる恐れがある。そこで、本実施例では、ユーザからのログインの指示を待っている間に生体認証に必要な処理を準備処理として行っておくことで、ログイン指示から生体認証完了までの時間を短縮する。

図５および図６は、連携サービス１１２にログインする処理の流れを説明するシーケンス図である。本実施例では、キャッシュ部３１５に過去に使用されたユーザＩＤが保持されている（キャッシュされている）場合を前提に、非同期処理を利用してユーザの生体認証にかかる時間を短縮するための処理について説明する。以下では、ユーザが端末１２１を操作して連携サービス１１２にログインする処理の流れについて説明するが、端末１２２および端末１２３でのログイン処理も同様である。

ステップＳ５０１で、処理管理部３１１は、通信部３００を介して連携サービス１１２にアクセスして、ログインページ取得要求を行う。ログインページ取得要求は、例えば、ユーザがブラウザ上のＵＲＬバー４０２に連携サービス１１２へのログインページのＵＲＬを入力したことをイベント検知部３１４が検知して、入力されたＵＲＬを処理管理部３１１に対して通知することにより実行される。

端末１２１からのログインページ取得要求を受信した連携サービス１１２は、ステップＳ５０２で、ログインページ取得要求に対する応答として、ログインページに対応するコンテンツを端末１２１に返す。端末１２１の処理管理部３１１は、通信部３００を介してログインページに対応するコンテンツを受け取ると、表示制御部３１３に対して受信したコンテンツを渡す。ステップＳ５０３で、表示制御部３１３は、ブラウザ上の生体認証ログイン画面４０１を入出力装置２１１に表示することで、ユーザに提示する。

ここで、本実施例では、生体認証が要求されてからの処理にかかる時間を短縮するために、ユーザによる生体認証要求（ユーザのログインボタン４０４の操作（Ｓ５１５））を待たずに、非同期処理の生体認証準備処理を行う。すなわち、ステップＳ５１５でのユーザによるログインボタン４０４の操作の受付の前に、ステップＳ５０４～ステップＳ５１４で、生体認証準備処理を行う。本実施例において生体認証準備処理には、連携サービス１１２に対してチャレンジレスポンス認証のための検証データの要求を送信する処理と、外部の認証器と接続のために通信する処理が含まれる。

ステップＳ５０４で、処理管理部３１１は、生体認証管理部３０３に対して非同期処理である生体認証準備処理を要求する。生体認証準備処理の要求には、生体認証を行うユーザのユーザＩＤの情報が含まれる。生体認証準備処理の要求に含まれるユーザＩＤは、キャッシュ部３１５に保持されているユーザＩＤである。具体的には、まず、入出力装置２１１に生体認証ログイン画面４０１が表示されると、イベント検知部３１４が、生体認証ログイン画面４０１が表示されたことを処理管理部３１１に通知する。該通知を受けた処理管理部３１１は、表示された生体認証ログイン画面４０１のＩＤ４０３に前回入力された連携サービス１１２のユーザＩＤの情報をキャッシュ部３１５から取得する。そして処理管理部３１１は、ステップＳ５０４で、生体認証管理部３０３に対してキャッシュ部３１５にから取得したユーザＩＤで生体認証準備処理を要求する。

ステップＳ５０５で、生体認証管理部３０３は、通信部３００を介して連携サービス１１２に対して検証データの取得要求を送信する（第１送信手段）。生体認証管理部３０３が連携サービス１１２に対して要求する検証データは、生体認証パラメータである。生体認証パラメータは、チャレンジレスポンス認証のためのチャレンジを含む。

ステップＳ５０６で、検証データの取得要求を受け取った連携サービス１１２は、検証データとして検証データを生成する。そして、ステップＳ５０７で、連携サービス１１２は、生成した検証データを生体認証管理部３０３に応答する。生体認証管理部３０３が連携サービス１１２から取得する検証データには、チャレンジレスポンス認証のためのチャレンジを含が含まれる。

ステップＳ５０８で、生体認証管理部３０３は、認証器管理部３２１に対して認証器取得要求を行う。
ステップＳ５０９で、認証器管理部３２１は、認証器情報保持部３２２から接続済みの外部認証器の一覧を取得する。すなわち、端末１２１～１２３に対してＵＳＢ接続されている、Ｂｌｕｅｔｏｏｔｈでベアリング済みまたはＮＦＣ接続されている認証器１３１～１３４の一覧を取得する。

ステップＳ５１０で、認証器管理部３２１は、認証器探索部３２３に対して付近にある認証器の探索処理を要求し、認証器探索部３２３は認証器の探索処理を行う。ステップＳ５１１で、認証器管理部３２１は、ステップＳ５１０で見つかった認証器のうち未接続のものに対して接続要求を行う。ステップＳ５１０において未接続の認証器が複数みつかった場合は、認証器管理部３２１が見つかった未接続の認証器すべてに対して接続要求を行う。

端末１２１からの接続要求を受けた外部の認証器は、ステップＳ５１２で、端末１２１に対して応答し端末１２１と接続する。なお、認証器探索処理（ステップＳ５１０）および探索結果に基づく接続処理（ステップＳ５１１、ステップＳ５１２）は必ずしも行う必要はない。例えば、連携サービス１１２からステップＳ５０６にて受け取った生体認証パラメータに基づいて認証器探索処理を行うかどうかを決定するようにしてもよいし、ステップＳ５０９で接続済みの認証器がなかった場合のみ行うようにしてもよい。ステップＳ５０８～ステップＳ５１２で説明したように、認証器管理部３２１は、ユーザの認証に先立って、外部の認証器と通信を行う（通信制御手段）。

ステップＳ５１３およびステップＳ５１４で、認証器管理部３２１は、接続済みの認証器の一覧を、生体認証管理部３０３経由でブラウザ部３０１の処理管理部３１１に送る。具体的には、ステップＳ５１３で認証器管理部３２１は生体認証管理部３０３に対し、接続済みの認証器の一覧としてステップＳ５０９で取得した接続済みの認証器の一覧およびステップＳ５１１で接続に成功した認証器の一覧を送る。そして、ステップＳ５１４で、生体認証管理部３０３は処理管理部３１１に対し、接続済みの認証器の一覧としてステップＳ５０９で取得した接続済みの認証器の一覧およびステップＳ５１１で接続に成功した認証器の一覧を送る。なお、本実施例では、接続済みの認証器の一覧としてステップＳ５０９で取得した接続済みの認証器の一覧およびステップＳ５１１で接続に成功した認証器の一覧を送る例を説明したが、必ずしも接続済みの認証器のすべてを送る必要はない。例えば、ステップＳ５０９で取得した接続済みの認証器の一覧のみでもよいし、特定の接続方法で接続している認証器のみ送るようにしてもよい。

ステップＳ５１５で、処理管理部３１１は、ユーザによる連携サービス１１２へのログイン指示（例えば、ログインボタン４０４の操作）を受け付ける。ここで、ステップＳ５０４～ステップＳ５１４の生体認証準備処理はログイン指示を待たずに行う非同期処理である。すなわち、ユーザのログインボタン４０４の操作（ステップＳ５１５）を待たずに、生体認証に必要なチャレンジを取得し、認証器１３１～１３４との通信を行う。このように生体認証準備処理を非同期処理にしておくことで、ユーザがログインボタン４０４を押下した後すぐにステップＳ５１６以降の処理を行うことができ、ユーザを待たせる時間を短縮して生体認証処理を行うことができる。

なお、本実施例では、ユーザからのログインの指示を待たずに生体認証準備処理として連携サービス１１２に対してチャレンジレスポンス認証のための検証データの要求を送信する処理および外部の認証器と接続のために通信する処理の両方を行う例を説明した。しかし、これに限られるものではなく、ユーザからのログインの指示の前に、生体認証準備処理としていずれか一方の処理を行うものであればよい。これにより、生体認証に係る時間を短縮することができる。この際、ユーザからのログインの指示の前に行わなかった処理があった場合は、ユーザからのログインの指示の直後に行うようにすればよい。

ステップＳ５１４における生体認証管理部３０３からの応答に含まれる接続済みの認証器が複数であった場合、ステップＳ５１６で、処理管理部３１１は、接続済みの認証器から生体認証に利用する認証器を選択させる。認証器の選択は、ユーザに選択させてもよいし、自動で選択するようにしてもよい。ユーザに選択させる場合は、処理管理部３１１は、ユーザが接続済みの認証器の一覧から生体認証に利用する認証器を選択するための選択画面を入出力装置２１１に表示し、ユーザからの選択を受け付ける。選択画面は、表示制御部３１３がステップＳ５１４における生体認証管理部３０３からの応答に含まれる接続済みの認証器の一覧の情報に基づいて、入出力装置２１１に描画する。自動で選択する場合は、例えば、前回利用した認証器を選択する、特定の接続方法で接続している認証器を選択するなどにより、ユーザに都度選択させることなく生体認証に利用する認証器を選択する。なお、ステップＳ５１４における生体認証管理部３０３からの応答に含まれる接続済みの認証器が１つであった場合は、本ステップはスキップされる。

ステップＳ５１７およびステップＳ５１８で、処理管理部３１１は、ステップＳ５１６で選択された認証器に対して、生体認証処理を要求する（第２送信手段）。生体認証処理要求は、言い換えると、生体認証処理に基づくアサーションの要求である。ここで、アサーションとは、生体認証を行う認証器で、認証の成功時に生体情報から特定される秘密鍵とチャレンジ（本実施例では、検証データ）とを用いて作成された署名データである。具体的には、まず、ステップＳ５１７で、処理管理部３１１が生体認証管理部３０３に対し生体認証処理を要求する。次に、ステップＳ５１８でで、生体認証管理部３０３がステップＳ５１６で選択された認証器に対して、生体認証処理の要求を送信する。生体認証処理の要求には、生体認証準備処理で取得した、ステップＳ５０６で連携サービス１１２が生成したチャレンジを含む検証データが含まれる。

生体認証処理の要求を受信した認証器は、ステップＳ５１９で、生体認証処理を行う。生体認証処理は、ユーザから生体情報の入力を受け付け、入力された生体情報に紐づく秘密鍵で、生体認証処理要求に含まれる検証データを署名して、署名データ（すなわち、アサーション）を生成する処理である。認証器は、生体認証処理を実行し、指紋などのユーザから取得した生体情報による認証が成功した場合は、生体認証が成功した際に特定される秘密鍵とステップＳ５１８で受信した検証データとを用いて作成された署名データを生成する。

ステップＳ５２０およびステップＳ５２１で、認証器は、ステップＳ５１９で生成したアサーション（署名データ）を、生体認証管理部３０３を介してアサーションの要求元である処理管理部３１１に返却する（第３送信手段）。具体的には、ステップＳ５２０で、認証器は、生体認証管理部３０３に、生体認証が成功した際に特定される秘密鍵と検証データとを用いて作成された署名データであるアサーションを送信する。そして、ステップＳ５２１で、生体認証管理部３０３は、処理管理部３１１に認証器から受信したアサーションを送る。

ステップＳ５２２で、処理管理部３１１は、ステップＳ５２１にて受け取ったアサーションを、通信部３００を介して連携サービス１１２に送信する。
アサーションを受信した連携サービス１１２は、ステップＳ５２３で、署名データを検証する。連携サービス１１２は、ステップＳ５０５にて生体認証パラメータ取得要求を行ったユーザに対応する登録済みの公開鍵を利用して、署名を復号化し、復号化した結果が正しいかどうかの署名検証を行う。そして、ステップＳ５２４で、連携サービス１１２は、ステップＳ５２３における署名検証の結果を処理管理部３１１に応答する。

図７は、端末１２１でユーザが連携サービス１１２にアクセスした場合の認証処理の流れを示すフローチャートである。
連携サービス１１２にアクセスした後、ステップＳ７０１で、イベント検知部３１４は、表示制御部３１３が描画したページの遷移を検知すると処理管理部３１１にページ遷移を通知する。

ステップＳ７０２で、処理管理部３１１は、遷移したページがログインを要求するページかどうかを判定する。ログインを要求するページの一例が、図４の連携サービス１１２の生体認証ログイン画面４０１である。ログインを要求しないページであると判定した場合、処理管理部３１１は本処理を終了する。一方、ログインを要求するページであると判定した場合、ステップＳ７０３に進む。

ステップＳ７０３で、処理管理部３１１は、連携サービス１１２に対するユーザＩＤなどのログインのためのユーザ情報がキャッシュ部３１５に存在するかどうかを判定する。ログインのためのユーザ情報がキャッシュされている場合は、ステップＳ７０４およびステップＳ７０５に進む。一方、ログインのためのユーザ情報がキャッシュされていない場合は、ステップＳ７１１に進む。

まず、ログインのためのユーザ情報がキャッシュされていない場合について説明する。ステップＳ７１１で、処理管理部３１１は、ユーザによる、ログインを要求するページでログインのためのユーザ情報の入力を受付ける。例えば、生体認証ログイン画面４０１のＩＤ４０３の入力を行う。
ステップＳ７１２で、ユーザがログインするための指示（ログインボタン４０４の押下）を行うと、イベント検知部３１４は、ログインボタン４０４の押下を検知し処理管理部３１１に通知する。
ステップＳ７１３で、処理管理部３１１は、ＩＤ４０３に入力されたユーザＩＤから生体認証準備処理を行う。ここで、生体認証準備処理は、図５のステップＳ５０４～ステップＳ５１４で示される、連携サービス１１２に対してチャレンジレスポンス認証のための検証データの要求を送信する処理および外部の認証器と接続のために通信する処理である。

次に、ログインのためのユーザ情報がキャッシュされている場合について説明する。ユーザ情報がキャッシュされている場合は、生体認証ログイン画面４０１のＩＤ４０３にキャッシュされているユーザ情報が表示される。ステップＳ７０４とステップＳ７０５は、非同期処理である。ステップＳ７０４で、イベント検知部３１４は、ユーザによるログインボタン４０４の押下を検出し、処理管理部３１１に通知する。処理管理部３１１は、ユーザによる連携サービス１１２へのログインするための指示を受け付ける。ユーザによるログインボタン４０４の押下は、任意のタイミングで行われる。

ステップＳ７０４におけるログイン指示を待たずに、処理管理部３１１はステップＳ７０５で、キャッシュに存在していたユーザ情報を利用して生体認証準備処理を行う。ここで、生体認証準備処理は、図５のステップＳ５０４～ステップＳ５１４で示される、連携サービス１１２に対してチャレンジレスポンス認証のための検証データの要求を送信する処理および外部の認証器と接続のために通信する処理である。この際、ステップＳ５０５における検証データの取得要求では、キャッシュされているユーザ情報に基づく検証データの要求が連携サービス１１２に送信される。

生体認証準備処理が完了し、かつ、ログインボタン４０４の押下を検知したら、ステップＳ７２１で、処理管理部３１１は生体認証処理を行う。生体認証処理は、図６のステップＳ５１６～ステップＳ５２４に対応する。

なお、本実施例における認証器１３１～１３４は、端末１２１～１２３に接続される外部認証器としたが、端末１２１～１２３と一体となっていてもよい。また、認証方法として生体認証を行う方法について説明したが、外部認証機器を用いたパスワード認証やＰＩＮによる認証など生体認証を使わない方法で行うことも可能である。

以上の処理により、ログイン画面表示後、ユーザからのログイン指示を受け付けるまでの間に生体認証に必要な準備処理を行っておくことで、ログイン指示から生体認証完了までの時間を短縮することである。

（実施例２）
実施例１においては、検証データの取得処理の後に認証器と通信処理を行う例を説明したが、これらをシーケンシャルに行う必要はない。実施例２では、検証データの取得処理と、認証器との通信処理とを並列（非同期）で行う例について説明する。

図８は、実施例２における、端末１２１でユーザが連携サービス１１２にアクセスした場合の処理の流れを示すフローチャートである。実施例１にて説明した図７のフローチャートとの差異は、ステップＳ７０３にてログイン情報がキャッシュ部３１５に存在する場合の処理のみであるので、他の実施例１と共通のステップについては同様の符号を付すことで説明を省略する。

ユーザ情報がキャッシュされている場合は、生体認証ログイン画面４０１のＩＤ４０３にキャッシュされているユーザ情報が表示される。そして、ステップＳ８０１～ステップＳ８０３の処理が、非同期で並行して行われる。ステップＳ８０１で、イベント検知部３１４は、ユーザによるログインボタン４０４の押下を検出し、処理管理部３１１にログインするための指示を通知する。この通知に従い、処理管理部３１１は、ユーザによる連携サービス１１２へのログインするための指示を受け付ける。ユーザによるログインボタン４０４の押下は、任意のタイミングで行われる。

ステップＳ８０２およびステップＳ８０３は、ステップＳ８０１におけるログイン指示を待たずに並行して行われる、生体認証準備処理である。ステップＳ８０２は、図５のステップＳ５０４～ステップＳ５０７で示される、連携サービス１１２に対してチャレンジレスポンス認証のための検証データの要求を送信する処理である。処理管理部３１１は、キャッシュに存在していたユーザ情報を利用して検証データの要求を行う。ステップＳ８０３は、図５のステップＳ５０８～ステップＳ５１４で示される、外部の認証器と接続のために通信する処理である。

ステップＳ８０１～ステップＳ８０３の処理が終了すると、処理管理部３１１はステップＳ７２１の生体認証処理を行う。実施例２では、ステップＳ８０１～ステップＳ８０３を並行して行う例を説明したが、例えばステップＳ８０１＋ステップＳ８０２とステップＳ８０３を並列化したり、ステップＳ８０１＋ステップＳ８０３とステップＳ８０２を並列化したりしてもよい。これらの処理を並列化することにより、ステップＳ８０１～ステップＳ８０３を直列に実行するよりは、ログイン要求から生体認証完了までの時間を短縮することができる。

以上説明したように、本実施例では、生体認証準備処理として実行される検証データの取得処理と外部の認証器と接続処理とを並行して行うことで、サービスへのログイン要求から生体認証完了までの時間をさらに短縮することができる。

（その他の実施例）
本発明は、上述の実施例の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

以上、本発明の好ましい実施形態について説明したが、本発明は、これらの実施形態に限定されず、その要旨の範囲内で種々の変形および変更が可能である。

Claims (11)

1. ユーザの認証を行うための外部認証器と通信可能な情報処理装置であって、
   サービス提供システムにアクセスした後に、当該サービス提供システムが提供するサービスにログインするための指示を前記ユーザから受け付けるための画面を表示する表示制御手段と、
   前記サービス提供システムに対して、検証データが取得される要求を送信する第１送信手段と、
   前記ユーザの認証に先立って、外部認証器と通信する通信制御手段と、
   前記画面を介して前記ユーザからログインするための指示を受けつけた場合に、通信が行えた前記外部認証器に対して、前記検証データを含む要求を送信する第２送信手段と、
   前記外部認証器から、前記ユーザの認証処理が成功した際に特定される秘密鍵と前記検証データとを用いて作成された署名データを受信した場合に、該署名データを前記サービス提供システムに対して送信する第３送信手段と、を有し、
   前記第１送信手段による前記サービス提供システムに対する前記要求の送信と、前記通信制御手段による外部認証器との前記通信との少なくともいずれかは、前記サービス提供システムにアクセスした後、前記画面を介して前記ユーザからログインするための指示を受けつけることを待たずに実行される、ことを特徴とする情報処理装置。
2. ログインのためのユーザ情報がキャッシュされている場合には、当該ユーザ情報に基づく前記第１送信手段による前記サービス提供システムに対する前記要求の送信が、サービス提供システムにアクセスした後、前記画面を介して前記ユーザからログインするための指示を受けつけることを待たずに、実行されることを特徴とする請求項１に記載の情報処理装置。
3. 前記通信制御手段により１以上の外部認証器と通信ができた場合には、前記画面を介して前記ユーザからログインするための指示を受け付けた後に、認証に用いる外部認証器を選択する選択手段を、さらに有し、
   第２送信手段は、選択された外部認証器に、前記検証データを含む要求を送信することを特徴とする請求項１または２に記載の情報処理装置。
4. 前記通信制御手段により１以上の外部認証器と通信ができた場合には、前記選択手段は、通信ができた外部認証器の一覧を表示し、該一覧からユーザにより選択された外部認証器を前記認証に用いる外部認証器として選択することを特徴とする請求項３に記載の情報処理装置。
5. 前記選択手段は、前回の認証を実行した外部認証器を前記認証に用いる外部認証器として選択することを特徴とする請求項３に記載の情報処理装置。
6. 前記サービス提供システムでは、登録済みの公開鍵により、前記情報処理装置から送信されてきた署名データが検証されることを特徴とする請求項１乃至５のいずれか１項に記載の情報処理装置。
7. 外部認証器とは、Ｂｌｕｅｔｏｏｔｈ、ＵＳＢ、ＮＦＣのいずれかを用いて通信が行われることを特徴とする請求項１乃至６のいずれか１項に記載の情報処理装置。
8. 前記第１送信手段による前記サービス提供システムに対する前記要求の送信と、前記通信制御手段による外部認証器との前記通信とは、並行して実行されることを特徴とする請求項１乃至７のいずれか１項に記載の情報処理装置。
9. 前記検証データには、チャレンジレスポンス認証のためのチャレンジが含まれることを特徴とする請求項１乃至８のいずれか１項に記載の情報処理装置。
10. ユーザの認証を行うための外部認証器と通信可能な情報処理装置の制御方法であって、
    サービス提供システムにアクセスした後に、当該サービス提供システムが提供するサービスにログインするための指示を前記ユーザから受け付けるための画面を表示する表示制御工程と、
    前記サービス提供システムに対して、検証データが取得される要求を送信する第１送信工程と、
    前記ユーザの認証に先立って、外部認証器と通信する通信制御工程と、
    前記画面を介して前記ユーザからログインするための指示を受けつけた場合に、通信が行えた前記外部認証器に対して、前記検証データを含む要求を送信する第２送信工程と、
    前記外部認証器から、前記ユーザの認証処理が成功した際に特定される秘密鍵と、前記検証データとを用いて作成された署名データを受信した場合に、該署名データを前記サービス提供システムに対して送信する第３送信工程と、を有し、
    前記第１送信手段による前記サービス提供システムに対する前記要求の送信と、前記通信制御手段による外部認証器との前記通信と、の少なくとも何れかは、サービス提供システムにアクセスした後、前記画面を介して前記ユーザからログインするための指示を受けつけることを待たずに、実行される、ことを特徴とする情報処理装置の制御方法。
11. 請求項１乃至９のいずれか１項に記載の情報処理装置の各手段としてコンピュータを機能させるためのプログラム。

Images