JP4005596B2 - 認証装置および認証方法 - Google Patents

Description

本発明は、通信端末を利用する利用者や通信端末の認証を行う認証装置および認証方法に関する。

従来、ネットワーク上のサーバまたはゲートウェイ等の通信装置が、通信端末を利用する利用者や通信端末の認証を行う技術としては、パスワードやセキュアトークン等を利用する技術がある。近年、通信装置におけるセキュリティの意識が高まり、パスワードを用いる認証に代えて、電子証明書を利用したセキュアトークンやＩＣカード、ワンタイムパスワードトークン等を含むハードウェアトークンに格納された認証情報に基づいた認証を行う認証技術を利用してオンラインサービスの提供を行いたいとの要望が、通信装置の管理者から増えてきている。なお、認証情報は、例えば電子証明書であり、利用者等の認証を行うための情報である。

ところが、ハードウェアトークンを用いた認証技術は、ハードウェアトークンを利用者に配布する必要があり、また、トークンを利用するためのソフトウェアを利用者の通信端末、例えばパソコン等にインストールする等の手間がかかり、一部のビジネス用途で限定的にしか利用されていなかった。

また、携帯電話機を利用した従来の認証技術としては、例えばバーコード要求信号を被認証者の通信端末から受信し、受信したバーコード要求信号に応じてバーコードを生成し、生成したバーコードを被認証者の通信端末に送信して、認証を行う認証要求者のバーコード読取装置から読み取った通信端末に記録されたバーコードを認証要求者から受信し、受信したバーコードを検証し、検証が成功したと判定した時の認証信号を認証要求者に送信する認証システムが知られている（例えば、非特許文献１参照。）。この従来の認証装置が送信した認証信号に基づいて認証要求者は、通信端末の利用者へのサービス提供のための認証を行うことができる。
「解説みんな持ってるケータイを使え Part５−カメラを使え（２）ＱＲコードでコーラが買える」目経メカニカル、２００３年８月号、５６ページ

しかしながら、上述した従来の認証装置では、認証装置にバーコード要求信号を送信した通信端末の利用者の身元確認等の認証を行うことができるが、ハードウェアトークン等に格納されるような認証情報を持たないパソコン等の通信端末の認証はできず、認証を必要とするオンラインサービスの提供を行うことができないという問題があった。

本発明は、従来の問題を解決するためになされたもので、認証情報を持たない通信端末でも他の通信端末が認証情報を持っていれば、認証を必要とするオンラインサービスを利用者に提供することができる認証装置および認証方法を実現することを目的とする。

請求項１に記載の認証装置は、認証を必要とするサービスの要求を行う第１の通信端末および認証情報を保持する第２の通信端末とネットワークを介して通信可能に接続される認証装置であって、第１の通信端末からのサービスの要求を受け付ける要求受付手段と、前記要求受付手段が前記サービスの要求を受け付けた時、当該サービスに関するセッション情報を生成して前記第１の通信端末へ送信するセッション情報送信手段と、前記第１の通信端末が受信した前記セッション情報を当該第１の通信端末より取得した第２の通信端末からの当該セッション情報および認証情報を受信するセッション情報受信手段と、前記セッション情報受信手段が受信した前記認証情報に基づいて前記第２の通信端末の認証を行う認証手段と、前記認証手段による前記第２の通信端末の認証が成功した場合、前記セッション情報受信手段が受信した前記セッション情報に基づいて前記第１の通信端末に対するサービスの提供を許可するサービス提供許可手段とを備えたことを特徴とする。

この構成により、受信した認証情報に基づいて第２の通信端末の認証を行い、認証が成功した場合、受信したセッション情報に基づいて前記第１の通信端末に対するサービスの提供を許可するため、認証情報を持たない通信端末でも他の通信端末が認証情報を持っていれば、認証を必要とするオンラインサービスを利用者に提供することができる。

請求項２に記載の認証装置は、前記第１の通信端末との通信および前記第２の通信端末との通信のうち少なくとも一方を暗号化した通信とすることを特徴とする。

この構成により、機密性の高い情報の送受信を行うことができる。

請求項３に記載の認証装置は、前記に加え、前記セッション情報送信手段が生成したセッション情報を保持するセッション情報保持手段と、前記セッション情報受信手段が受信したセッション情報と前記セッション情報保持手段が保持しているセッション情報とが整合するか否かを判定するセッション情報判定手段とを備え、前記サービス提供許可手段は、前記認証手段による前記第２の通信端末の認証が成功し、かつ、前記セッション情報判定手段が整合すると判定した場合、前記セッション情報に基づいて前記第１の通信端末に対するサービスの提供を許可することを特徴とする。

この構成により、認証が成功し、かつ、受信したセッション情報と保持しているセッション情報とが整合すると判定した場合、第１の通信端末に対するサービスの提供を許可するため、認証装置が生成したセッション情報を改竄して第１の通信端末に成りすました第三者に対するサービスの提供を防止することができる。

請求項４に記載の認証装置は、前記セッション情報送信手段は、前記サービスの要求毎に異なる識別子を含むセッション情報を生成して前記第１の通信端末へ送信し、前記セッション情報判定手段は、前記セッション情報受信手段が受信したセッション情報に含まれる識別子と前記セッション情報保持手段が保持しているセッション情報に含まれる識別子とが整合するか否かを判定することを特徴とする。

この構成により、要求毎に異なる識別子を含むセッション情報との照合を行うため、セッション情報を改竄して第１の通信端末に成りすました第三者に対するサービスの提供を防止することができる。

請求項５に記載の認証装置は、前記に加え、前記セッション情報送信手段がセッション情報を送信した時点を表す時刻情報に基づいて前記送信した時点からの経過時間を算出する経過時間算出手段を備え、前記経過時間算出手段は、前記セッション情報判定手段が整合すると判定した時のセッション情報と対応する前記時刻情報に基づいて経過時間を算出し、前記サービス提供許可手段は、前記算出された経過時間が一定時間以下である時、前記サービスの提供を許可することを特徴とする。

この構成により、経過時間が一定時間を超えている場合、第１の通信端末に対するサービスの提供を許可しないため、不当なセッション情報を用いる第三者に対するサービスの提供を防止することができる。

請求項６に記載の認証装置は、前記に加え、前記セッション情報送信手段がセッション情報を送信した時点を表す時刻情報に基づいて前記送信した時点からの経過時間を算出する経過時間算出手段を備え、前記経過時間算出手段は、前記セッション情報受信手段が受信したセッション情報に含まれる前記時刻情報に基づいて経過時間を算出し、前記サービス提供許可手段は、前記算出された経過時間が一定時間以下である時、前記サービスの提供を許可することを特徴とする。

この構成により、経過時間が一定時間を超えている場合、第１の通信端末に対するサービスの提供を許可しないため、不当なセッション情報を用いる第三者に対するサービスの提供を防止することができる。

請求項７に記載の認証装置は、前記認証情報は、前記第２の通信端末の端末識別子、または前記第２の通信端末を利用する利用者の利用者識別子、もしくは前記端末識別子および前記利用者識別子の組み合わせからなることを特徴とする。

この構成により、通信端末の端末識別子、利用者の識別子を用いて認証を行うことができる。

請求項８に記載の認証装置は、前記認証情報は、電子証明書からなることを特徴とする。

この構成により、電子証明書であるため、信頼性の高い認証を行うことができる。

請求項９に記載の認証装置において、前記セッション情報は、識別コードを表す画像情報からなることを特徴とする。

この構成により、ＱＲコード等によって構成されるセッション情報を識別することができる。

請求項１０に記載の認証装置は、前記セッション情報は、文字列を表すテキスト情報からなることを特徴とする。

この構成により、テキスト情報によって構成されるセッション情報を識別することができる。

請求項１１に記載の認証装置は、前記セッション情報は、課金を表す課金情報を含むことを特徴とする。

この構成により、セッション情報に含まれる課金情報に基づいて第２の通信端末の利用者に対して課金すれば、第１の通信端末の利用者の代わりに第２の通信端末の利用者に対して課金をすることができる。

請求項１２に記載の認証装置は、前記サービス提供許可手段は、前記第１の通信端末を利用する利用者の利用者識別子と前記第２の通信端末を利用する利用者の利用者識別子との対応条件を表すポリシー情報を有し、前記ポリシー情報に基づいて前記サービスの提供を許可することを特徴とする。

この構成により、第１の通信端末を利用する利用者の利用者識別子と第２の通信端末を利用する利用者の利用者識別子との対応条件に応じて、第１の通信端末に対するサービスの提供を許可することができる。

請求項１３に記載の認証装置は、前記に加え、第１の通信端末を一時的にネットワークに接続するサービスを提供するための認証ゲートウェイ装置であって、第１の通信端末からのサービスの要求を受け付ける要求受付手段と、前記要求受付手段が前記サービスの要求を受け付けた時、当該認証ゲートウェイ装置のＩＤを含むセッション情報を生成して前記第１の通信端末へ送信するセッション情報送信手段と、認証装置からの認証結果およびセッション情報を受信するセッション情報受信手段と、前記セッション情報受信手段が受信した認証結果およびセッション情報に基づいて前記第１の通信端末に対するネットワーク接続サービスを提供するサービス提供手段とを少なくとも有する認証ゲートウェイ装置を備え、前記サービス提供許可手段は、前記認証手段による前記第２の通信端末の認証が成功した場合、前記セッション情報受信手段が受信した前記セッション情報に含まれる認証ゲートウェイ装置のＩＤに基づいて認証結果およびセッション情報を前記認証ゲートウェイ装置へ送信することを特徴とする。

この構成により、受信した認証情報に基づいて第２の通信端末の認証を行い、認証が成功した場合、受信したセッション情報に含まれる認証ゲートウェイ装置のＩＤに基づいて認証結果およびセッション情報を前記認証ゲートウェイ装置へ送信し、当該セッション中、認証ゲートウェイ装置により第１の通信端末をネットワークに接続するため、認証情報を持たない第１の通信端末でも第２の通信端末が認証情報を持っていれば、第１の通信端末を一時的にネットワークに接続するサービスを利用者に提供することができる。

請求項１４に記載の認証装置は、前記に加え、前記要求受付手段が第１の通信端末からの第２の通信端末の登録の要求を受け付けた時、登録のためのユーザ情報を前記第１の通信端末に要求し、取得するユーザ情報取得手段を備え、前記要求受付手段は、前記第１の通信端末からの前記第２の通信端末の登録の要求を受け付け、前記セッション情報送信手段は、前記ユーザ情報取得手段が前記ユーザ情報を取得した時、前記第２の通信端末の登録に関するセッション情報を生成して前記第１の通信端末へ送信し、前記認証手段は、前記ユーザ情報取得手段が取得したユーザ情報を前記セッション情報送信手段が生成したセッション情報とともに保存し、前記セッション情報受信手段が受信した第２の通信端末の認証情報を、前記セッション情報受信手段が受信した前記セッション情報に基づいて前記ユーザ情報とともに保存することを特徴とする。

この構成により、認証情報を持たない第１の通信端末を用いて、オンラインサービスで適用可能な認証情報を保持する第２の通信端末を認証装置に登録するため、当該第２の通信端末を利用した第１の通信端末の認証装置における認証が可能となる。

請求項１５に記載の認証方法は、認証を必要とするサービスの要求を行う第１の通信端末と、認証情報を保持する第２の通信端末と、認証装置と、これらを通信可能に接続するネットワークとを少なくとも備えたシステムにおける認証方法であって、前記第１の通信端末は、前記サービスの要求を行い、前記認証装置は、前記第１の通信端末からのサービスの要求を受け付けた時、当該サービスに関するセッション情報を生成して前記第１の通信端末へ送信し、前記第１の通信端末は、前記認証装置によって送信されたセッション情報を受信し、前記第２の通信端末は、前記第１の通信端末が受信したセッション情報を当該第１の通信端末から取得し、取得したセッション情報および認証情報を前記認証装置へ送信し、前記認証装置は、前記第２の通信端末からのセッション情報および認証情報を受信し、受信した前記認証情報に基づいて前記第２の通信端末の認証を行い、前記認証が成功した場合、受信したセッション情報に基づいて前記第１の通信端末に対するサービスの提供を許可することを特徴とする。

この構成により、受信した認証情報に基づいて第２の通信端末の認証を行い、認証が成功した場合、受信したセッション情報に基づいて第１の通信端末に対するサービスの提供を許可するため、セッションを通じてサービスに関する情報を第１の通信端末に提供することにより、認証情報を持たない通信端末でも他の通信端末が認証情報を持っていれば、認証を必要とするオンラインサービスを利用者に提供することができる。

請求項１６に記載の認証方法は、前記セッション情報は、前記サービスの提供にかかる課金を表す課金情報を含み、前記認証装置は、前記認証情報に基づいて認証する際に、前記セッション情報に含まれる前記課金情報に基づいて課金を行うことを特徴とする。

この構成により、セッション情報に含まれる課金情報に基づいて第２の通信端末の利用者に対して課金すれば、第１の通信端末の利用者の代わりに第２の通信端末の利用者に対して課金をすることができる。

本発明によれば、認証情報を持たない通信端末でも他の通信端末が認証情報を持っていれば、認証を必要とするオンラインサービスを利用者に提供することができる認証装置および認証方法を実現できる。

以下、本発明の実施の形態に係る認証装置および認証方法について、図面を参照して説明する。

（本発明の第１の実施の形態）
本発明の第１の実施の形態に係る認証装置を含むシステム全体の構成図を図１に示す。図１に示した認証システムは、認証装置１００、通信端末１０、通信端末２０、サービス提供装置３０を備えて構成されている。

認証装置１００と通信端末１０およびサービス提供装置３０とはネットワーク９を介して通信可能であり、また、認証装置１００と通信端末２０とはネットワーク８およびネットワーク９を介して通信可能である。なお、本発明の実施の形態では、通信端末１０をパソコン、ネットワーク９をインターネットとし、通信端末２０を携帯電話機、ネットワーク８を携帯電話網として説明する。ただし、通信端末１０、通信端末２０、ネットワーク８およびネットワーク９は、上述したものに限定されることはない。

なお、本発明の第１の実施の形態では、認証情報を用いた認証を必要とするオンラインサービス、例えば電子商取引等のサービスを受けたい時に、オンラインサービスで適用可能な認証情報を保持する通信端末２０を利用しながら、電子証明書等の認証情報を持たない通信端末１０が、認証装置１００によって行われる認証を成功させるような形態について説明している。

例えば、通信端末１０は、サービス提供装置３０が提供するサービスの要求を認証装置１００に対して行い、認証装置１００は、この要求を受け付けた時、当該サービスに関するセッション情報を生成して通信端末１０に送信するようになっている。なお、サービスの要求としては、例えばＨＴＴＰ（HyperText Transfer Protocol）等の所定のプロトコルを用いた要求であって、サービス提供装置３０にログインするためのページを介してセッションを確立させるための要求でもよい。また、セッションを確立させるための要求である場合、セッション情報には、ログインに関わるセッションＩＤが含まれる。

また、通信端末１０とサービス提供装置３０とのセッションにおいて、セッションクッキーを利用する方法や、ページにセッションＩＤを埋め込む方法などを用い、認証装置１００は、これらの方法に従ったセッション情報を処理する。セキュリティを向上させるため、セッション自体はＨＴＴＰＳ（Secure HyperText Transfer Protocol）などで暗号化されていることが望ましい。

セッション情報は、ＱＲ（Quick Response）コード等の識別コードを表す画像情報等でもよい。セッション情報がＱＲコードである場合、認証装置１００は、セッションＩＤを含むＱＲコードを送信するようにしてもよく、さらに、セッションＩＤの他に認証装置１００を表すＵＲＬ（Uniform Resource Locator）を含むＱＲコードを送信するようにしてもよい。

セッション情報がＱＲコードである場合、利用者は、通信端末１０に受信されたＱＲコードを表す画像を通信端末１０の画面に表示させ、通信端末２０に備えられたカメラからＱＲコードを表す画像を撮像し、取得する。その後、利用者の操作によって通信端末２０は、セッション情報および認証情報を認証装置１００に送信するようになっている。

ここで、認証装置１００は、通信端末２０から送信されたセッション情報および認証情報を受信し、受信した認証情報に基づいて通信端末２０の認証を行い、例えば認証が成功した場合、受信したセッション情報に基づいて通信端末１０に対するサービスの提供を許可し、サービスの提供が許可された旨を通信端末２０に送信するようになっている。その旨を確認した利用者は、通信端末１０を介してサービス提供装置３０とのセッションを確立させることにより、オンラインサービスの提供を受けることができる。なお、通信端末１０を利用する利用者と通信端末２０を利用する利用者とは同一でもよく、また互いに異なっていてもよい。

また、認証装置１００が受信したセッション情報にセッションＩＤが含まれる場合には、通信端末１０に送信した時のセッション情報に含まれるセッションＩＤと同一か否かを判定し、同一でない場合、利用者は、通信端末１０を介してオンラインサービスの提供を受けることができない。

また、通信端末１０との通信および通信端末２０との通信のうち少なくとも一方が、ＨＴＴＰＳ等に準拠して暗号化されているものとする。なお、通信端末２０に備えられたカメラからＱＲコードを表す画像を撮像し、取得するとして説明したが、通信端末１０と通信端末２０との間をブルートゥース（Bluetooth）（登録商標）、赤外線通信（ＩｒＤＡ）、無線ＬＡＮ等に準拠して通信接続することにより、通信端末２０が、セッションＩＤやＵＲＬを含むセッション情報を通信端末１０から取得するようにしてもよい。

本発明の第１の実施の形態に係る認証装置の構成図を図２に示す。図２に示した認証装置１００は、ネットワーク９との間で通信を行う通信インタフェース１１０、ＣＰＵ等のプロセッサ、およびハードディスク等の記憶装置等によって構成され、要求受付手段１０１、セッション情報送信手段１０２、セッション情報保持手段１０３、セッション情報受信手段１０４、認証手段１０５、セッション情報判定手段１０６、サービス提供許可手段１０７、経過時間算出手段１０８、通信インタフェース１１０、および要求処理手段１２０を有する。

要求受付手段１０１は、サービス提供装置３０に対する通信端末１０からのサービスの要求を要求処理手段１２０を介して受け付けるようになっている。

セッション情報送信手段１０２は、要求受付手段１０１がサービスの要求を受け付けた時、当該サービスに関するセッション情報を生成して通信端末１０へ要求処理手段１２０を介して送信するようになっている。

なお、セッション情報は、ＱＲコード等の識別コードを表す画像情報に限定されず、文字列を表すテキスト情報でもよい。また、セッション情報には、例えば数を表す要求識別子、セッション情報送信手段１０２がセッション情報を通信端末１０に送信した時点を表す時刻情報、サービス提供装置３０等を表すＵＲＬ、セッションの識別子などが含まれるようにしてもよい。

また、セッション情報に数を表す要求識別子が含まれる場合、セッション情報送信手段１０２は、要求毎に要求識別子を変更し、要求毎に異なる要求識別子を含むセッション情報を生成して通信端末１０に送信するようになっている。

セッション情報保持手段１０３は、記憶装置等によって構成され、セッション情報送信手段１０２が生成したセッション情報を保持するようになっている。また、セッション情報保持手段１０３は、セッション情報送信手段１０２が生成したセッション情報と、このセッション情報を送信した時点を表す時刻情報とを対応付けて保持するようにしても良い。

セッション情報受信手段１０４は、通信端末２０からの認証情報およびセッション情報を要求処理手段１２０を介して受信するようになっている。なお、認証情報は、通信端末２０が保持する情報であり、セッション情報は、通信端末１０が認証装置１００から受信したものを、更に通信端末２０が当該通信端末１０より取得したものであり、これらは共に通信端末２０によって送信される。

認証手段１０５は、セッション情報受信手段１０４が受信した認証情報に基づいて通信端末２０の認証を行うようになっている。例えば、認証情報の１つである電子証明書を用いてＳＳＬ（Secure Socket Layer）に準拠した相互認証を互いに行ってもよい。また、認証情報は、電子証明書に限定されず、通信端末２０の端末識別子、または通信端末２０を利用する利用者の利用者識別子、もしくは端末識別子および利用者識別子の組み合わせ、の何れでもよく、利用者または通信端末２０の認証を行うことができるものであれば如何なる情報でもよく、認証手段１０５はそれらの情報をやりとりして認証を行ってもよい。

セッション情報判定手段１０６は、セッション情報受信手段１０４が受信したセッション情報とセッション情報保持手段１０３が保持しているセッション情報とが整合するか否かを判定するようになっている。また、セッション情報に数を表す要求識別子が含まれる場合、セッション情報判定手段１０６は、セッション情報に含まれる要求識別子とセッション情報保持手段１０３が保持しているセッション情報に含まれる要求識別子とが整合するか否かを判定するようになっている。

サービス提供許可手段１０７は、認証手段１０５が行った認証が成功した場合、セッション情報受信手段１０４が受信したセッション情報に基づいて通信端末１０に対するサービスの提供を許可する指示をサービス提供装置３０へ送ることにより、サービス提供装置３０は、オンラインサービスを利用者に提供するようになっている。また、サービス提供許可手段１０７は、認証手段１０５が行った認証が成功し、かつ、セッション情報判定手段１０６が整合すると判定した場合、通信端末１０に対するサービスの提供を許可するようにしてもよい。

さらに、サービス提供許可手段１０７は、上述した判定に加えて、通信端末１０を利用する利用者の利用者識別子と通信端末２０を利用する利用者の利用者識別子との対応条件を表すポリシー情報を有し、このポリシー情報に基づいてサービスの提供を許可するか否かを判定するようにしてもよい。例えば、サービス提供許可手段１０７は、通信端末１０を利用する利用者の利用者識別子と通信端末２０を利用する利用者の利用者識別子との組み合わせが、ポリシー情報によって表される組み合わせに無い場合、サービスの提供を許可しないと判定する。

経過時間算出手段１０８は、セッション情報保持手段１０３がセッション情報と時刻情報とを対応付けて保持している場合、セッション情報判定手段１０６が整合すると判定した時のセッション情報と対応する時刻情報に基づいて経過時間を算出するようになっている。また、経過時間算出手段１０８は、セッション情報に時刻情報が含まれる場合、セッション情報に含まれる時刻情報に基づいて経過時間を算出するようになっている。

また、経過時間算出手段１０８が算出した経過時間が一定時間を超えていた場合、これをサービス提供許可手段１０７へ通知し、該通知を受けたサービス提供許可手段１０７は、サービスの提供を許可しない。

要求処理手段１２０は、セッション情報送信手段１０２およびサービス提供許可手段１０７から出力された情報を通信インタフェース１１０を介してネットワーク９に送信し、ネットワーク９から通信インタフェース１１０を介して受信した情報を振り分けて要求受付手段１０１またはセッション情報受信手段１０４に出力するようになっている。

なお、要求受付手段１０１、セッション情報送信手段１０２、セッション情報受信手段１０４、認証手段１０５、セッション情報判定手段１０６、サービス提供許可手段１０７、経過時間算出手段１０８、および、要求処理手段１２０は、ＣＰＵ等のプロセッサによって処理されるプログラムのモジュールで構成されるようにしてもよい。

以上のように構成された本発明の第１の実施の形態に係る認証装置の動作の一例について、図面を参照して説明する。図３、図４、および図５は、本発明の第１の実施の形態に係る認証装置の動作を示すフローチャートである。

図３は、認証情報を保持しない通信端末１０から認証装置１００が要求を受け付けた時の動作を示すフローチャートである。まず、サービス提供装置３０が提供するサービスの要求を通信端末１０から受け付けたか否かを確認する（Ｓ１）。

通信端末１０が行った要求を受け付けた場合、要求に対するセッション情報の有無を確認する（Ｓ２）。セッション情報が無い場合、セッション情報送信手段１０２は、要求に対するＨＴＴＰＳに関わる情報やクッキー情報等、通信端末１０を識別するための情報に基づいてセッション情報を生成し、生成したセッション情報をセッション情報保持手段１０３に保持させる（Ｓ３）とともに、通信端末１０へ送信する（Ｓ４）。

その後、例えばセッション情報がＱＲコードである場合、利用者は、通信端末１０に受信されたＱＲコードを表す画像を通信端末１０の画面に表示させ、通信端末２０に備えられたカメラからＱＲコードを表す画像を撮像し、取得する。その後、利用者の操作によって通信端末２０は、セッション情報または認証情報のうち少なくとも一方を認証装置１００に送信する。

また、Ｓ２においてセッション情報がある場合、サービス提供許可手段１０７は、セッション情報と対応するサービスの提供が既に許可されているか否か確認し（Ｓ５）、既に許可されている場合、通信端末１０に対するサービス提供をサービス提供装置３０へ指示する（Ｓ６）。許可されていない場合、処理はＳ１へ戻る。

図４および図５は、認証情報を保持する通信端末２０から認証装置１００が情報を受信した時の動作を示すフローチャートである。まず、セッション情報受信手段１０４は、通僧端末２０から情報を受信したか否かを確認する（Ｓ１１）。

セッション情報受信手段１０４は、通信端末２０が送信した通信端末２０からの情報を受信した場合、受信した情報から認証情報の有無を確認する（Ｓ１２）。認証情報がある場合、認証手段１０５は、セッション情報受信手段１０４が受信した認証情報に基づいて通信端末２０の認証を行う（Ｓ１３）。

サービス提供許可手段１０７は、認証情報に基づいた認証が成功したか否かを確認し（Ｓ１４）、認証が成功した場合、受信した情報からセッション情報の有無を確認する（Ｓ１５）。認証が失敗した場合、処理はＳ１１へ戻る。

認証が成功し、受信した情報にセッション情報がある場合、処理はＳ１８へ進む。セッション情報が無い場合、サービス提供許可手段１０７は、認証情報と対応するセッション情報とセッション情報保持手段１０３が保持しているセッション情報との整合が、セッション情報判定手段１０６によって既になされたか否かを確認する（Ｓ１６）。整合が既に完了している場合、処理はＳ２０へ進み、完了していない場合、処理はＳ１１へ戻る。なお、本発明の実施の形態では、認証情報と受信したセッション情報との対応は、それぞれの情報に含まれる通信端末２０の識別子でなされるものとする。

一方、Ｓ１２において認証情報が無い場合、セッション情報受信手段１０４は、受信した情報からセッション情報の有無を確認する（Ｓ１７）。受信した情報からセッション情報が無い場合、処理はＳ１１へ戻り、セッション情報がある場合、セッション情報判定手段１０６は、受信したセッション情報とセッション情報保持手段１０３が保持しているセッション情報とが整合するか否かを判定する（Ｓ１８）。

受信したセッション情報が整合しない場合、処理はＳ１１へ戻り、整合する場合、図５に示すように、サービス提供許可手段１０７は、受信したセッション情報と対応する認証情報に基づいた認証が既に成功しているか否かを確認する（Ｓ１９）。認証が成功している場合、処理はＳ２０へ進み、成功していない場合、処理はＳ１１へ戻る。

また、経過時間算出手段１０８は、セッション情報保持手段１０３がセッション情報と時刻情報とを対応付けて保持している場合、セッション情報判定手段１０６が整合すると判定した時のセッション情報と対応する時刻情報に基づいて経過時間を算出する。

サービス提供許可手段１０７は、経過時間算出手段１０８が算出した経過時間が一定時間を超えたか否かを確認する（Ｓ２０）。一定時間を超えていた場合、処理はＳ１１へ戻り、一定時間以下である場合、サービス提供許可手段１０７は、ポリシー情報に基づいてサービスの提供がポリシー情報の条件を満たすか否かを判定する（Ｓ２１）。

ポリシー情報の条件を満たさない場合、処理はＳ１１へ戻り、ポリシー情報の条件を満たす場合、サービス提供許可手段１０７は、通信端末１０に対するサービスの提供を許可し、サービスの提供が許可された旨を通信端末２０に送信する（Ｓ２２）。

なお、その旨を確認した利用者は、通信端末１０を操作し、通信端末１０は、セッション情報を認証装置１００に送信してＳ５およびＳ６が処理され、オンラインサービスの提供を受けることができる。

以上説明したように、本発明の第１の実施の形態に係る認証装置および認証方法は、受信した認証情報に基づいて通信端末２０の認証を行い、認証が成功した場合、受信したセッション情報に基づいて通信端末１０に対するサービスの提供を許可し、セッションを通じてサービスに関する情報を通信端末１０に提供するため、認証情報を持たない通信端末１０でも通信端末２０が認証情報を持っていれば、認証を必要とするオンラインサービスを利用者に提供することができる。

（本発明の第２の実施の形態）
本発明の第２の実施の形態に係る認証装置を含むシステム全体の構成図を図６に示す。図６に示した認証システムは、認証装置２００、通信端末１０、通信端末２０、サービス提供装置３０を備えて構成されている。

本発明の第２の実施の形態に係るシステムを構成する構成要素のうち、本発明の第１の実施の形態に係るシステムを構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。認証装置２００と通信端末１０およびサービス提供装置３０とはネットワーク９を介して通信可能であり、認証装置２００と通信端末２０とはネットワーク８およびネットワーク９を介して通信可能である。

なお、本発明の第２の実施の形態では、例えば電子商取引等のサービスを受けたい時に、オンラインサービスで適用可能な認証情報を保持する通信端末２０を利用しながら、電子証明書等の認証情報を持たない通信端末１０が、認証装置２００によって行われる認証を成功させると共に、通信端末１０の利用者の代わりに通信端末２０の利用者に対して課金をするような形態について説明している。

例えば、通信端末１０を利用する利用者が、電子商取引等のサービスが行われるサービス提供装置３０を介して、所定の商品を購入しようとしている、または所定のサービスを提供してもらおうとしている場合など、通信端末１０は、サービス提供装置３０が提供するサービスの要求を認証装置２００に対して行う。

認証装置２００は、この要求を受け付けた時、サービスにかかる課金を表す課金情報を含むセッション情報を生成して通信端末１０に送信するようになっている。なお、課金情報には、種々のサービスのうち、これから利用するサービスを示す情報などが含まれる。

セッション情報がＱＲコードである場合、利用者は、通信端末１０に受信されたＱＲコードを表す画像を通信端末１０の画面に表示させ、通信端末２０に備えられたカメラからＱＲコードを表す画像を撮像し、取得する。その後、利用者の操作によって通信端末２０は、セッション情報および認証情報を認証装置２００に送信するようになっている。

ここで、認証装置２００は、通信端末２０から送信されたセッション情報および認証情報を受信し、受信した認証情報に基づいて通信端末２０の認証を行い、例えば認証が成功し、受信したセッション情報に基づいて通信端末１０に対するサービスの提供を許可した時、セッション情報に含まれる課金情報を自己の課金データベースまたはネットワーク９に接続されている他の課金データベースに記憶させる。なお、認証装置２００は、通信端末２０の利用者に課金するため、通信端末２０を示す情報を含めた課金情報を課金データベースに記憶させるようにしてもよい。

その後、認証装置２００は、サービスの提供が許可された旨を通信端末２０に送信するようになっている。その旨を確認した利用者は、通信端末１０を介してサービス提供装置３０とのセッションを確立させることにより、オンラインサービスの提供を受けることができる。なお、通信端末１０を利用する利用者と通信端末２０を利用する利用者とは同一でもよく、また互いに異なっていてもよい。

本発明の第２の実施の形態に係る認証装置の構成図を図７に示す。図７に示した認証装置２００は、ネットワーク９との間で通信を行う通信インタフェース１１０、ＣＰＵ等のプロセッサ、およびハードディスク等の記憶装置等によって構成され、要求受付手段１０１、セッション情報送信手段２０２、セッション情報保持手段１０３、セッション情報受信手段１０４、認証手段１０５、セッション情報判定手段１０６、サービス提供許可手段２０７、経過時間算出手段１０８、および要求処理手段１２０を有する。

本発明の第２の実施の形態に係る認証装置を構成する構成要素のうち、本発明の第１の実施の形態に係る認証装置を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。

セッション情報送信手段２０２は、本発明の第１の実施の形態におけるセッション情報送信手段１０２の説明に加えて、課金情報を含むセッション情報を生成して通信端末１０に送信するようになっている。また、サービス提供許可手段２０７は、本発明の第１の実施の形態におけるサービス提供許可手段１０７の説明に加えて、セッション情報に基づいてサービスの提供を許可した時、セッション情報に含まれる課金情報を自己の課金データベースまたはネットワーク９に接続されている他の課金データベースに記憶させることにより課金する。

以上のように構成された本発明の第２の実施の形態に係る認証装置の動作の一例について、図面を参照して説明する。

図３に示したように、Ｓ４で、セッション情報送信手段２０２は、課金情報を含むセッション情報を通信端末１０に送信する。また、Ｓ５で、サービス提供許可手段２０７は、セッション情報と対応するサービスの提供が既に許可されているか否かを確認し、既に許可されている場合、Ｓ６で、通信端末１０に対するサービス提供をサービス提供装置３０へ指示するとともに、セッション情報に含まれる課金情報を自己の課金データベースまたはネットワーク９に接続されている他の課金データベースに記憶させる。

以上説明したように、本発明の第２の実施の形態に係る認証装置および認証方法は、セッション情報に含まれる課金情報に基づいてサービスにかかる課金を通信端末２０の利用者（契約者）に対して課金すれば、通信端末１０の利用者の代わりに通信端末２０の利用者に対して課金をするような形態のビジネスモデルを構築できる。

なお、第１および第２の実施の形態において、認証装置１００（２００）とサービス提供装置２０とはネットワーク９を介して通信可能としたが、両者は一体化されてネットワーク９に接続されていてもよい。

（本発明の第３の実施の形態）
本発明の第３の実施の形態に係る認証装置を含むシステム全体の構成図を図８に示す。図８に示した認証システムは、認証装置３００、通信端末１０、通信端末２０、認証ゲートウェイ装置４０を備えて構成されている。

本発明の第３の実施の形態に係るシステムを構成する構成要素のうち、本発明の第１の実施の形態に係るシステムを構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。認証装置３００と認証ゲートウェイ装置４０とはネットワーク９を介して通信可能であり、認証装置３００と通信端末２０とはネットワーク８およびネットワーク９を介して通信可能である。

なお、本発明の第３の実施の形態では、例えば一時的にインターネット等のネットワークに接続するサービス（ホットスポットサービス）を受けたい時に、オンラインサービスで適用可能な認証情報を保持する通信端末２０を利用しながら、電子証明書等の認証情報を持たない通信端末１０が、認証装置３００によって行われる認証を成功させるような形態について説明している。

認証ゲートウェイ装置４０は、前述したホットスポットサービスを提供するためのものであって、通信端末１０からの接続要求を受け付けた時に当該認証ゲートウェイ装置４０のＩＤを含むセッション情報を発行し、通信端末１０へ送信するとともに、認証装置３００からの認証結果およびセッション情報に基づいて通信端末１０に対するネットワーク接続サービスを提供する。

例えば、通信端末１０を利用する利用者が、前述したホットスポットサービスを提供してもらおうとしている場合など、通信端末１０は、ホットスポットサービスの要求を認証ゲートウェイ装置４０に対して行う。

認証ゲートウェイ装置４０は、この要求を受け付けた時、当該認証ゲートウェイ装置のＩＤを含むセッション情報を生成して通信端末１０に送信するようになっている。

セッション情報がＱＲコードである場合、利用者は、通信端末１０に受信されたＱＲコードを表す画像を通信端末１０の画面に表示させ、通信端末２０に備えられたカメラからＱＲコードを表す画像を撮像し、取得する。その後、利用者の操作によって通信端末２０は、セッション情報および認証情報を認証装置３００に送信するようになっている。

ここで、認証装置３００は、通信端末２０から送信されたセッション情報および認証情報を受信し、受信した認証情報に基づいて通信端末２０の認証を行い、例えば認証が成功した場合、受信したセッション情報に含まれる認証ゲートウェイ装置４０のＩＤに基づいて当該認証ゲートウェイ装置４０との間に相互認証された暗号通信路を生成し（なお、認証装置３００および認証ゲートウェイ装置４０は、事前に鍵情報を共有しているものとする。）、前記認証結果およびセッション情報を前記認証ゲートウェイ装置４０へ送信する。

その後、認証ゲートウェイ装置４０は、認証装置３００から受信した認証結果およびセッション情報に基づいて前記第１の通信端末に対するネットワーク接続サービスを提供するようになっている。利用者は、通信端末１０により認証ゲートウェイ装置４０を通じてネットワーク９へ接続することが可能となる。

本発明の第３の実施の形態に係る認証装置の構成図を図９に示す。図９に示した認証装置３００は、ネットワーク９との間で通信を行う通信インタフェース１１０、ＣＰＵ等のプロセッサ、およびハードディスク等の記憶装置等によって構成され、要求受付手段１０１、セッション情報送信手段１０２、セッション情報保持手段１０３、セッション情報受信手段１０４、認証手段１０５、セッション情報判定手段１０６、サービス提供許可手段３０７、経過時間算出手段１０８、および要求処理手段１２０を有する。

本発明の第３の実施の形態に係る認証装置を構成する構成要素のうち、本発明の第１の実施の形態に係る認証装置を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。

サービス提供許可手段３０７は、本発明の第１の実施の形態におけるサービス提供許可手段１０７の説明に加えて、認証が成功した場合、セッション情報に含まれる認証ゲートウェイ装置４０のＩＤに基づいて認証結果およびセッション情報を前記認証ゲートウェイ装置４０へ送信する。

本発明の第３の実施の形態に係る認証ゲートウェイ装置の構成図を図１０に示す。図１０に示した認証ゲートウェイ装置４０は、ネットワーク９との間で通信を行う通信インタフェース４１、ＣＰＵ等のプロセッサ、およびハードディスク等の記憶装置等によって構成され、要求受付手段４２、セッション情報送信手段４３、セッション情報受信手段４４、サービス提供手段４５、および要求処理手段４６を有する。

要求受付手段４２は、通信端末１０からのサービスの要求を要求処理手段４６を介して受け付けるようになっている。セッション情報送信手段４３は、要求受付手段４２がサービスの要求を受け付けた時、当該認証ゲートウェイ装置４０のＩＤを含むセッション情報を生成して通信端末１０へ要求処理手段４６を介して送信するようになっている。セッション情報受信手段４４は、認証装置３００からの認証結果およびセッション情報を要求処理手段４６を介して受信するようになっている。

サービス提供手段４５は、セッション情報受信手段４４が受信した認証結果およびセッション情報に基づいて通信端末１０に対するネットワーク接続サービスを提供するようになっている。

以上説明したように、本発明の第３の実施の形態に係る認証装置および認証方法は、受信した認証情報に基づいて通信端末２０の認証を行い、認証が成功した場合、受信したセッション情報に含まれる認証ゲートウェイ装置４０のＩＤに基づいて認証結果およびセッション情報を認証ゲートウェイ装置４０へ送信し、当該セッション中、認証ゲートウェイ装置４０により通信端末１０をネットワークに接続するため、認証情報を持たない通信端末１０でも通信端末２０が認証情報を持っていれば、通信端末１０を一時的にネットワークに接続するサービスを利用者に提供することができる。

（本発明の第４の実施の形態）
本発明の第４の実施の形態に係る認証装置を含むシステム全体の構成図を図１１に示す。図１１に示した認証システムは、認証装置５００、通信端末１０、通信端末２０を備えて構成されている。

本発明の第４の実施の形態に係るシステムを構成する構成要素のうち、本発明の第１の実施の形態に係るシステムを構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。認証装置５００と通信端末１０とはネットワーク９を介して通信可能であり、認証装置５００と通信端末２０とはネットワーク８およびネットワーク９を介して通信可能である。

なお、本発明の第４の実施の形態では、オンラインサービスで適用可能な認証情報を保持する通信端末２０を利用した認証装置５００における認証を可能とするため、当該通信端末２０（の認証情報）を認証装置５００に登録する形態について説明している。

例えば、通信端末１０を利用する利用者が、認証情報を保持する通信端末２０を認証装置５００に登録しようとしている場合など、通信端末１０は、端末登録の要求を認証装置５００に対して行う。

認証装置５００は、この要求を受け付けた時、端末登録のためのユーザ情報を通信端末１０に要求する、例えば当該ユーザ情報の入力画面を通信端末１０に送信するようになっている。

利用者は、通信端末１０で受信され、表示された画面に対してユーザＩＤや個人の属性情報等のユーザ情報を入力し、認証装置５００へ送信する。

認証装置５００は、通信端末１０からユーザ情報を取得した時、当該端末登録に関するセッション情報を生成して通信端末１０に送信し、また、当該セッション情報を前記ユーザ情報とともに保存する。なお、セッション情報には、登録のためのセッションＩＤ、登録のための認証装置のＵＲＬ等が含まれる。

セッション情報がＱＲコードである場合、利用者は、通信端末１０に受信されたＱＲコードを表す画像を通信端末１０の画面に表示させ、通信端末２０に備えられたカメラからＱＲコードを表す画像を撮像し、取得する。その後、利用者の操作によって通信端末２０は、セッション情報に基づいて認証装置５００にアクセスする。

ここで、認証装置５００は、通信端末２０から認証情報を（ＳＳＬのネゴシエーションの過程や端末ＩＤの要求などにより）受け取り、当該認証情報を、セッション情報に含まれるセッションＩＤに基づいて前記ユーザ情報とともに保存する。

その後、認証装置５００は、通信端末２０の登録が完了した旨を当該通信端末２０に送信するようになっている。その旨を確認した利用者が、通信端末１０より認証装置５００に対してセッション情報を基に登録確認を要求すると、認証装置５００は登録完了を返送する。

本発明の第４の実施の形態に係る認証装置の構成図を図１２に示す。図１２に示した認証装置５００は、ネットワーク９との間で通信を行う通信インタフェース１１０、ＣＰＵ等のプロセッサ、およびハードディスク等の記憶装置等によって構成され、要求受付手段５０１、ユーザ情報取得手段５１０、セッション情報送信手段５０２、セッション情報保持手段１０３、セッション情報受信手段１０４、認証手段５０５、セッション情報判定手段１０６、サービス提供許可手段１０７、経過時間算出手段１０８、および要求処理手段１２０を有する。

本発明の第４の実施の形態に係る認証装置を構成する構成要素のうち、本発明の第１の実施の形態に係る認証装置を構成する構成要素と同一の構成要素には同一の符号を付し、それぞれの説明を省略する。

要求受付手段５０１は、本発明の第１の実施の形態におけるセッション情報送信手段１０２の説明に加えて、通信端末１０からの通信端末２０の登録の要求を受け付ける。また、ユーザ情報取得手段５１０は、要求受付手段５０１が通信端末１０からの通信端末２０の登録の要求を受け付けた時、登録のためのユーザ情報を通信端末１０に要求し、取得する。また、セッション情報送信手段５０２は、本発明の第１の実施の形態におけるセッション情報送信手段１０２の説明に加えて、ユーザ情報取得手段５１０がユーザ情報を取得した時、当該通信端末２０の登録に関するセッション情報を生成して通信端末１０へ送信する。

また、認証手段５０５は、本発明の第１の実施の形態における認証手段１０５の説明に加えて、ユーザ情報取得手段５１０が取得したユーザ情報をセッション情報送信手段５０２が生成したセッション情報とともに保存し、さらに、セッション情報受信手段１０４が受信した通信端末２０の認証情報を、セッション情報受信手段１０４が受信した前記セッション情報に基づいてユーザ情報とともに保存する。

以上説明したように、本発明の第４の実施の形態に係る認証装置および認証方法は、認証情報を持たない通信端末１０を用いて、オンラインサービスで適用可能な認証情報を保持する通信端末２０を認証装置５００に登録するため、当該通信端末２０を利用した通信端末１０の認証装置５００における認証が可能となる。

以上のように、本発明に係る認証装置および認証方法は、認証情報を持たない通信端末でも他の通信端末が認証情報を持っていれば、認証を必要とするオンラインサービスを利用者に提供することができるという効果を有し、通信端末を利用する利用者や通信端末の認証を行う認証サーバ、認証サーバを用いるシステム等として有用である。

本発明の第１の実施の形態に係る認証装置を含むシステム全体の構成図 本発明の第１の実施の形態に係る認証装置の構成図 認証情報を保持しない通信端末から認証装置が要求を受け付けた時の動作を示すフローチャート 認証情報を保持する通信端末から認証装置が情報を受信した時の動作を示すフローチャート 認証情報を保持する通信端末から認証装置が情報を受信した時の動作を示すフローチャート 本発明の第２の実施の形態に係る認証装置を含むシステム全体の構成図 本発明の第２の実施の形態に係る認証装置の構成図 本発明の第３の実施の形態に係る認証装置を含むシステム全体の構成図 本発明の第３の実施の形態に係る認証装置の構成図 本発明の第３の実施の形態に係る認証ゲートウェイ装置の構成図 本発明の第４の実施の形態に係る認証装置を含むシステム全体の構成図 本発明の第４の実施の形態に係る認証装置の構成図

符号の説明

８，９：ネットワーク、１０，２０：通信端末、３０：サービス提供装置、４０：認証ゲートウェイ装置、１００，２００，３００，５００：認証装置、４１，１１０：通信インタフェース、４２，１０１，５０１：要求受付手段、４３，１０２，２０２，５０２：セッション情報送信手段、４４，１０４：セッション情報受信手段、４５：サービス提供手段、４６，１２０：要求処理手段、１０３：セッション情報保持手段、１０５，５０５：認証手段、１０６：セッション情報判定手段、１０７，２０７，３０７：サービス提供許可手段、１０８：経過時間算出手段、５１０：ユーザ情報取得手段。

Claims (16)

1. 認証を必要とするサービスの要求を行う第１の通信端末および認証情報を保持する第２の通信端末とネットワークを介して通信可能に接続される認証装置であって、
   第１の通信端末からのサービスの要求を受け付ける要求受付手段と、
   前記要求受付手段が前記サービスの要求を受け付けた時、当該サービスに関するセッション情報を生成して前記第１の通信端末へ送信するセッション情報送信手段と、
   前記第１の通信端末が受信した前記セッション情報を当該第１の通信端末より取得した第２の通信端末からの当該セッション情報および認証情報を受信するセッション情報受信手段と、
   前記セッション情報受信手段が受信した前記認証情報に基づいて前記第２の通信端末の認証を行う認証手段と、
   前記認証手段による前記第２の通信端末の認証が成功した場合、前記セッション情報受信手段が受信した前記セッション情報に基づいて前記第１の通信端末に対するサービスの提供を許可するサービス提供許可手段とを備えた
   ことを特徴とする認証装置。
2. 前記第１の通信端末との通信および前記第２の通信端末との通信のうち少なくとも一方を暗号化した通信とすることを特徴とする請求項１に記載の認証装置。
3. 前記に加え、
   前記セッション情報送信手段が生成したセッション情報を保持するセッション情報保持手段と、
   前記セッション情報受信手段が受信したセッション情報と前記セッション情報保持手段が保持しているセッション情報とが整合するか否かを判定するセッション情報判定手段とを備え、
   前記サービス提供許可手段は、前記認証手段による前記第２の通信端末の認証が成功し、かつ、前記セッション情報判定手段が整合すると判定した場合、前記セッション情報に基づいて前記第１の通信端末に対するサービスの提供を許可する
   ことを特徴とする請求項１または請求項２に記載の認証装置。
4. 前記セッション情報送信手段は、前記サービスの要求毎に異なる識別子を含むセッション情報を生成して前記第１の通信端末へ送信し、前記セッション情報判定手段は、前記セッション情報受信手段が受信したセッション情報に含まれる識別子と前記セッション情報保持手段が保持しているセッション情報に含まれる識別子とが整合するか否かを判定することを特徴とする請求項３に記載の認証装置。
5. 前記に加え、
   前記セッション情報送信手段がセッション情報を送信した時点を表す時刻情報に基づいて前記送信した時点からの経過時間を算出する経過時間算出手段を備え、
   前記経過時間算出手段は、前記セッション情報判定手段が整合すると判定した時のセッション情報と対応する前記時刻情報に基づいて経過時間を算出し、前記サービス提供許可手段は、前記算出された経過時間が一定時間以下である時、前記サービスの提供を許可する
   ことを特徴とする請求項３または請求項４に記載の認証装置。
6. 前記に加え、
   前記セッション情報送信手段がセッション情報を送信した時点を表す時刻情報に基づいて前記送信した時点からの経過時間を算出する経過時間算出手段を備え、
   前記経過時間算出手段は、前記セッション情報受信手段が受信したセッション情報に含まれる前記時刻情報に基づいて経過時間を算出し、前記サービス提供許可手段は、前記算出された経過時間が一定時間以下である時、前記サービスの提供を許可する
   ことを特徴とする請求項３または請求項４に記載の認証装置。
7. 前記認証情報は、前記第２の通信端末の端末識別子、または前記第２の通信端末を利用する利用者の利用者識別子、もしくは前記端末識別子および前記利用者識別子の組み合わせからなることを特徴とする請求項１乃至６の何れかに記載の認証装置。
8. 前記認証情報は、電子証明書からなることを特徴とする請求項１乃至７の何れかに記載の認証装置。
9. 前記セッション情報は、識別コードを表す画像情報からなることを特徴とする請求項１乃至８の何れかに記載の認証装置。
10. 前記セッション情報は、文字列を表すテキスト情報からなることを特徴とする請求項１乃至８の何れかに記載の認証装置。
11. 前記セッション情報は、課金を表す課金情報を含むことを特徴とする請求項１乃至１０の何れかに記載の認証装置。
12. 前記サービス提供許可手段は、前記第１の通信端末を利用する利用者の利用者識別子と前記第２の通信端末を利用する利用者の利用者識別子との対応条件を表すポリシー情報を有し、前記ポリシー情報に基づいて前記サービスの提供を許可することを特徴とする請求項１乃至１１の何れかに記載の認証装置。
13. 前記に加え、
    第１の通信端末を一時的にネットワークに接続するサービスを提供するための認証ゲートウェイ装置であって、第１の通信端末からのサービスの要求を受け付ける要求受付手段と、前記要求受付手段が前記サービスの要求を受け付けた時、当該認証ゲートウェイ装置のＩＤを含むセッション情報を生成して前記第１の通信端末へ送信するセッション情報送信手段と、認証装置からの認証結果およびセッション情報を受信するセッション情報受信手段と、前記セッション情報受信手段が受信した認証結果およびセッション情報に基づいて前記第１の通信端末に対するネットワーク接続サービスを提供するサービス提供手段とを少なくとも有する認証ゲートウェイ装置を備え、
    前記サービス提供許可手段は、前記認証手段による前記第２の通信端末の認証が成功した場合、前記セッション情報受信手段が受信した前記セッション情報に含まれる認証ゲートウェイ装置のＩＤに基づいて認証結果およびセッション情報を前記認証ゲートウェイ装置へ送信する
    ことを特徴とする請求項１乃至１２の何れかに記載の認証装置。
14. 前記に加え、
    前記要求受付手段が第１の通信端末からの第２の通信端末の登録の要求を受け付けた時、登録のためのユーザ情報を前記第１の通信端末に要求し、取得するユーザ情報取得手段を備え、
    前記要求受付手段は、前記第１の通信端末からの前記第２の通信端末の登録の要求を受け付け、
    前記セッション情報送信手段は、前記ユーザ情報取得手段が前記ユーザ情報を取得した時、前記第２の通信端末の登録に関するセッション情報を生成して前記第１の通信端末へ送信し、
    前記認証手段は、前記ユーザ情報取得手段が取得したユーザ情報を前記セッション情報送信手段が生成したセッション情報とともに保存し、前記セッション情報受信手段が受信した第２の通信端末の認証情報を、前記セッション情報受信手段が受信した前記セッション情報に基づいて前記ユーザ情報とともに保存する
    ことを特徴とする請求項１乃至１３の何れかに記載の認証装置。
15. 認証を必要とするサービスの要求を行う第１の通信端末と、認証情報を保持する第２の通信端末と、認証装置と、これらを通信可能に接続するネットワークとを少なくとも備えたシステムにおける認証方法であって、
    前記第１の通信端末は、前記サービスの要求を行い、
    前記認証装置は、前記第１の通信端末からのサービスの要求を受け付けた時、当該サービスに関するセッション情報を生成して前記第１の通信端末へ送信し、
    前記第１の通信端末は、前記認証装置によって送信されたセッション情報を受信し、
    前記第２の通信端末は、前記第１の通信端末が受信したセッション情報を当該第１の通信端末から取得し、取得したセッション情報および認証情報を前記認証装置へ送信し、
    前記認証装置は、前記第２の通信端末からのセッション情報および認証情報を受信し、受信した前記認証情報に基づいて前記第２の通信端末の認証を行い、前記認証が成功した場合、受信したセッション情報に基づいて前記第１の通信端末に対するサービスの提供を許可する
    ことを特徴とする認証方法。
16. 前記セッション情報は、前記サービスの提供にかかる課金を表す課金情報を含み、前記認証装置は、前記認証情報に基づいて前記第２の通信端末の認証を行う際に、前記セッション情報に含まれる前記課金情報に基づいて課金を行うことを特徴とする請求項１５に記載の認証方法。

Images