JP4623293B2 - 個人パスワード管理方法、個人パスワード連想支援装置、個人パスワード連想支援プログラム、個人パスワード管理システム - Google Patents

Description

本発明は複数のパスワードを個人側で簡便に管理する技術に関する。

近年、インターネットのホームページなどから、銀行、株取引、オンラインショッピングコンテンツ、プログラムのダウンロード、会員制クラブ、会社・学校・官公庁・コミュニティなどの各種サイトにアクセスする機会が増大している。

どのサイトへのアクセスに対しても常に１つのパスワードを使用することに決めると、もしそのパスワードが盗まれてしまった場合、全ての認証が無防備となってしまうため、普通はログイン画面ごとに異なるパスワードを設定するように推奨されている。また、ネット銀行用へのログイン用のパスワードと、一時的に利用するホームページへの会員登録用のパスワードとは別々に分けるなど、重要なアクセスのパスワードとそうでないアクセスのパスワードは分けたいと考えるユーザは多い。

また、会社のパソコンのログインなどでは、ＢＩＯＳレベルやＯＳレベルのログインに異なるパスワードを設定して二重にセキュリティをかけなければならない規則を実施している例もある。

さらには、１つのログイン画面においても、そのシステム上の必要から、定期的にパスワードを変更しなければならない場合があり、このことも、個人が管理すべきパスワードの量が増加する原因となっている。

そこで、個人は不本意ながらも、各種サイトへのアクセスに必要なパスワードや、パソコンや記憶装置などのパスワードも含め、多くの異なるパスワードを管理せざるを得ない状況に陥っている。多数のパスワードが必要だと、どのログイン時にどのパスワードを設定したのか本人自身が忘れてしまう場合も多く、不便このうえない。記憶が曖昧なまま誤ったパスワードを入力すると、「パスワードを確認の上もう一度入力してください」といったエラーに遭遇し、不快である。

また、一旦パスワードを忘れてしまうと、本人確認などのかなり面倒な手続きによって新しいパスワードを発行・設定してもらわなければならない。

これら複数のパスワードを管理する１つの方法としては、どのログイン画面にはどのパスワードを入力すべきかを記述したテーブルをパソコン内に格納しておき、あるいは紙のメモ作成等によって、パスワードが増加するごとや失効パスワードが発生するごとにテーブルを書き換えてメンテナンスしていくことが考えられる。

しかし、ログイン時にいちいちこのテーブルを開いたり、メモを取り出したりしてどのパスワードか確認するための余計な作業が発生してしまう。このようなテーブルの管理は個人が行うことであるから、メンテナンスのし忘れなどが発生し、厳格な維持管理は難しい。また、パソコンの故障やテーブルの誤消去などによってどのアクセスも不可能になってしまうという可能性も出てくる。

さらには、このテーブルが不正に盗み見られたりコピーされたりすると、そのユーザになりすました不正アクセスが容易にできてしまう。このような危険は、テーブルをデータとして記憶させるのでなく、紙などにメモしておいた場合も同様に発生しうる。

従来技術においても、コンピュータシステムにおける個人認証に用いられるパスワード管理の負担を軽減する技術が存在する。例えば特許文献１によると、ネットワークシステムのユーザ情報に関して、認証サーバにおいて一元管理すると共に、パスワード管理部がユーザ決定の基本パスワードにユーザが容易に認識可能なトークンを組み合わせた機器個別パスワードを生成、管理する。さらに、携帯端末にパスワード情報を記憶させ、ユーザの所望のサーバに対するパスワードを提示する機能を提供する。
特開２００４−２９５７１１号公報

特許文献１の技術は、１つの管理・定義されたシステム系の中に存在する複数の機器を、基本パスワードを元にして、その前後に機器固有の名称や固定ＩＰアドレスの情報（トークン）を付加して、各機器への個別パスワードを生成する方式である。即ち、「１つの良く管理されたシステム系」にのみ適用可能であり、オーナーの異なる独立した複数のシステムに対する複数のパスワードの管理には使えない。

さらに、特許文献１は、システム側からユーザに利便性を与えているに過ぎず、一人のユーザがそれぞれ別個にデザインされた千差万別のシステムにどのように対応するかという根本的な問題点に全く触れていない。

本発明はこのような問題点に鑑みてなされたもので、千差万別なシステムで要求されるパスワードをユーザ側で一元的に管理できる技術を提供することを目的とする。

上述の課題を解決するため、本願発明に係る個人パスワード管理方法は、複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する任意の文字列からなる複数のパスワードを認証サービスごとにユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付けるステップと、所望の認証サービスごとに登録の受け付けられた連想生成語を、所望の認証サービスにおけるユーザ識別情報と対応づけてデータベースに記憶するステップと、特定の認証サービスにおけるユーザ識別情報の入力を受け付けるステップと、入力された特定の認証サービスにおけるユーザ識別情報に対応する連想生成語をデータベースから抽出するステップと、データベースから抽出された連想生成語を通知するステップと、を含む。

また、上述の課題を解決するため、本願発明に係る個人パスワード管理方法は、特定の認証サービスにおいて特定のユーザを識別するために予め定められているユーザ識別情報に対応する任意の文字列からなるパスワードをユーザに一意的に連想させる任意の文字列である連想生成語の登録を受け付けるステップと、登録の受け付けられた連想生成語を、特定の認証サービスにおけるユーザ識別情報と対応づけてデータベースに記憶するステップと、特定の認証サービスにおけるユーザ識別情報の入力を特定の認証サービスのログイン画面を介して受け付けるステップと、ログイン画面を介して入力された特定の認証サービスにおけるユーザ識別情報に対応する連想生成語をデータベースから抽出するステップと、データベースから抽出された連想生成語を通知するステップと、を含む。

また、上述の課題を解決するため、本願発明に係る個人パスワード管理方法は、複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する任意の文字列からなる複数のパスワードを認証サービスごとにユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付けるステップと、所望の認証サービスごとに登録の受け付けられた連想生成語を、所望の認証サービスにおけるユーザ識別情報と対応づけてデータベースに記憶するステップと、所望の認証サービスにおけるユーザ識別情報の入力を所定の単一のログイン画面を介して受け付けるステップと、所定の単一のログイン画面を介して入力された所望の認証サービスにおけるユーザ識別情報に対応する連想生成語をデータベースから抽出するステップと、データベースから抽出された連想生成語を通知するステップと、を含む。

複数存在する認証サービスの中から特定の認証サービスを利用する際、ユーザ識別情報をログイン画面から入力すると、ユーザが任意に登録した連想生成語がユーザに通知される。ユーザは、通知された連想生成語から、その認証サービスで使用するパスワードを自分だけが一意的に連想できる。これにより、複数存在する認証サービスでそれぞれ個別に自分が過去に設定した複数のパスワードを容易に間違いなく思い出し、使用していくことが出来る。なお、本発明の中で対象とするパスワードとは、PIN(Personal Identification Number)、暗証番号など同様の性格を持つものを含む。

ここで、連想生成語は、各認証サービスのサーバに登録してもよいし、ユーザ端末に登録してもよい。特に、ユーザ端末に連想生成語を登録しておけば、各認証サービスのサーバに連想生成語を登録するための仕組みを特別に設けなくて済む。

上記を実現する為に、複数のパスワードは対応する連想生成語と所定の共通文字列であるパスワード基底とを含む。

即ち、一つのパスワード基底を決めれば、そのパスワード基底に連想生成語を組み合わせることで、一群の複数パスワードを一意的に連想・生成していくことができるため、多くの異なる認証サービス（ログイン画面）にいくらでも対応していくことができる。

本願発明に係る認証サーバは、特定の認証サービスにおいて特定のユーザを識別するために予め定められているユーザ識別情報に対応する任意の文字列からなるパスワードをユーザに一意的に連想させる任意の文字列である連想生成語の登録をユーザの使用する端末を介して受け付ける登録部と、登録部によって登録の受け付けられた連想生成語を、ユーザ識別情報と対応づけて記憶するデータベースと、端末からの要求に応じ、ユーザ識別情報及びパスワードの入力を受け付けるログイン画面を端末に提供するログイン画面提供部と、特定の認証サービスにおけるユーザ識別情報の入力をログイン画面を介して受け付けるユーザ識別情報入力部と、ログイン画面を介して入力されたユーザ識別情報に対応する連想生成語をデータベースから抽出する抽出部と、データベースから抽出された連想生成語を端末に通知する通知部と、を備える。

本願発明に係る個人パスワード連想支援装置は、複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する任意の文字列からなる複数のパスワードを認証サービスごとにユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付ける登録部と、登録部によって所望の認証サービスごとに登録の受け付けられた連想生成語を、所望の認証サービスにおけるユーザ識別情報と対応づけて記憶するデータベースと、所望の認証サービスにおけるユーザ識別情報の入力を所定の単一のログイン画面を介して受け付けるユーザ識別情報入力部と、ユーザ識別情報入力部に入力された所望の認証サービスにおけるユーザ識別情報に対応する連想生成語をデータベースから抽出する抽出部と、データベースから抽出された連想生成語を通知する通知部と、を備える。

本願発明に係る個人パスワード管理システムは、複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する任意の文字列からなる複数のパスワードを認証サービスごとにユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付ける登録部と、登録部によって登録の受け付けられた連想生成語を、所望の認証サービスにおけるユーザ識別情報と対応づけて記憶するデータベースと、特定の認証サービスにおけるユーザ識別情報の入力を受け付けるユーザ識別情報入力部と、入力された特定の認証サービスにおけるユーザ識別情報に対応する連想生成語をデータベースから抽出する抽出部と、データベースから抽出された連想生成語を通知する通知部と、を備える。

本願発明に係る個人パスワード連想支援プログラムは、複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する任意の文字列からなる複数のパスワードを認証サービスごとにユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付けるステップと、所望の認証サービスごとに登録の受け付けられた連想生成語を、所望の認証サービスにおけるユーザ識別情報と対応づけてデータベースに記憶するステップと、特定の認証サービスにおけるユーザ識別情報の入力を受け付けるステップと、入力された特定の認証サービスにおけるユーザ識別情報に対応する連想生成語をデータベースから抽出するステップと、データベースから抽出された連想生成語を通知するステップと、をコンピュータに実行させる。

また、本願発明に係る個人パスワード連想支援プログラムは、特定の認証サービスにおいて特定のユーザを識別するために予め定められているユーザ識別情報に対応する任意の文字列からなるパスワードをユーザに一意的に連想させる任意の文字列である連想生成語の登録を受け付けるステップと、登録の受け付けられた連想生成語を、特定の認証サービスにおけるユーザ識別情報と対応づけてデータベースに記憶するステップと、特定の認証サービスにおけるユーザ識別情報の入力を特定の認証サービスのログイン画面を介して受け付けるステップと、ログイン画面を介して入力された特定の認証サービスにおけるユーザ識別情報に対応する連想生成語をデータベースから抽出するステップと、データベースから抽出された連想生成語を通知するステップと、をコンピュータに実行させる。

また、本願発明に係る個人パスワード連想支援プログラムは、複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する任意の文字列からなる複数のパスワードを認証サービスごとにユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付けるステップと、所望の認証サービスごとに登録の受け付けられた連想生成語を、所望の認証サービスにおけるユーザ識別情報と対応づけてデータベースに記憶するステップと、所望の認証サービスにおけるユーザ識別情報の入力を所定の単一のログイン画面を介して受け付けるステップと、所定の単一のログイン画面を介して入力された所望の認証サービスにおけるユーザ識別情報に対応する連想生成語をデータベースから抽出するステップと、データベースから抽出された連想生成語を通知するステップと、をコンピュータに実行させる。

本発明によれば、複数存在する認証サービスの中から特定の認証サービスを利用する際、ログイン画面からユーザ識別情報を入力すると、ユーザが予め任意に登録した連想生成語が通知される。ユーザは、通知された連想生成語から、その認証サービスで使用するパスワードを一意的に連想・生成できる。これにより、複数存在する認証サービスでそれぞれ個別に自分が過去に設定した複数のパスワードを容易に間違いなく思い出し、使用していくことが出来る。

以下、添付した図面を参照し本発明の好ましい実施の形態を説明する。

＜第１実施形態＞
図１は本発明の好ましい実施形態に係る個人認証システムのブロック図である。このシステムは、パソコンや情報端末で構成されたクライアント１と複数の認証サーバ２ａ、２ｂ（まとめて認証サーバ２と表すこともある）とがインターネットなどのネットワーク３を介して接続されてなる。

認証サーバ２は、コミュニティサイト、商業サイトなどの各種サービスで特定のユーザを認証するために用いられる。

クライアント１に備えられたＷｅｂブラウザ１１は、認証サーバ２に備えられたＷｅｂサーバ２１ａ、２１ｂ（まとめてＷｅｂサーバ２１と表すこともある）から送信されるＷｅｂページを受信して表示する。

特に、Ｗｅｂサーバ２１は、パスワード登録用のＷｅｂページである登録フォーム（登録画面）、あるいはユーザ認証用のＷｅｂページである認証フォーム（ログイン画面）をクライアント１に送信し、クライアント１では、キーボードやマウスなどで構成された操作部１２の操作に従って登録フォームあるいは認証フォームにユーザＩＤおよびパスワードを入力し、これをＷｅｂサーバ２１に送信する。

ここで、Ｗｅｂサーバ２１ａの送信する登録フォームと、Ｗｅｂサーバ２１ｂの送信する登録フォームは、それぞれ独立した存在であり、全く無関係である。両者を区別するため、Ｗｅｂサーバ２１ａの送信する登録フォームはＲＦ１、Ｗｅｂサーバ２１ｂの送信する登録フォームはＲＦ２で表す。

また、Ｗｅｂサーバ２１ａの送信する認証フォームと、Ｗｅｂサーバ２１ｂの送信する認証フォームは、それぞれ独立した存在であり、全く無関係である。両者を区別するため、Ｗｅｂサーバ２１ａの送信する登録フォームはＡＦ１、Ｗｅｂサーバ２１ｂの送信する登録フォームはＡＦ２で表す。

認証サーバ２ａ、２ｂはそれぞれ、各ユーザに個別に与えられた一意的なユーザＩＤおよび各ユーザが任意に決めたパスワードを記憶する認証データベース（ＤＢ）２３ａ、２３ｂ（まとめて認証ＤＢ２３と表すこともある）、クライアント１から受信したユーザＩＤおよびパスワードと認証ＤＢ２３に記憶されたユーザＩＤおよびパスワードとを照合し、両者が一致するか否かに応じてユーザを認証する認証部２２ａ、２２ｂ（まとめて認証部２２と表すこともある）、ユーザが任意に入力したパスワードおよび後述の連想生成語を認証ＤＢ２３ａ、２３ｂに登録するパスワード・連想生成語登録部２４ａ、２４ｂ（まとめて登録部２４と表すこともある。また、登録部２４ａ、２４ｂと略記することもある）を備えている。

この図では、説明の便宜上、複数の認証サーバの一例として２つの認証サーバ２ａ、２ｂを示しているが、３つ以上の認証サーバとクライアント１とが接続あるいは接続可能な状態でもよい。また、説明の便宜上、認証サーバ２ａ、２ｂの構成は同等であるものとし、それらを構成するブロックを特に区別する必要のある場合に限ってａ、ｂを付す。ただし、認証サーバ２ａ、２ｂおよびそれらを構成するブロックは独立別個の存在であり、互いに無関係である。

クライアント１のＷｅｂブラウザ１１は、Ｗｅｂページの閲覧機能の他、操作部１２から入力された情報を認証サーバ２に送信し、Ｗｅｂサーバ２１の、例えばＣＧＩ（Common Gateway Interface）プログラムで構成された認証部２２、登録部２４に引き渡す機能も有する。

図２は登録フォーム（登録画面）の一例を示す。説明の便宜上、登録フォームＲＦ１、ＲＦ２の配置レイアウトデザインは同じであるものとする。ただし、本発明は配置レイアウトデザインとは無関係である。登録フォームは、ユーザがパスワードを登録するのに必要な項目をユーザによる操作部１２の任意操作によって入力・指定させるグラフィカルユーザインターフェースである。具体的には、この登録フォームには、各ユーザに予め与えられた一意的な識別情報であるユーザＩＤが入力されるユーザＩＤ入力欄２０１、パスワードとして登録すべき任意の文字列が入力されるパスワード入力欄２０２、およびパスワードをユーザに一意的に連想させる連想生成語が入力される連想生成語入力欄２０３が設けられている。登録フォームＲＦ１、ＲＦ２には登録ボタン２１０が設けられている。

さて、以下に、認証サーバ２ａに対して新規のパスワードを登録する手順を示す（ただし、認証サーバ２ｂに対して登録する手順も全く同様であるため、説明は省略する）。登録フォームＲＦ１の登録ボタン２１０が押下されると、Ｗｅｂブラウザ１１は、ユーザＩＤ入力欄２０１に入力されたユーザＩＤ、パスワード入力欄２０２に入力されたパスワード、および連想生成語入力欄２０３に入力された連想生成語（通常は、新規登録しようとするパスワードから、後述のパスワード基底を取り除いた部分）を、Ｗｅｂサーバ２１ａに送信する。

Ｗｅｂサーバ２１ａは、登録フォームＲＦ１から受信したユーザＩＤ、パスワードおよび連想生成語を登録部２４ａに引き渡す。登録部２４ａは、Ｗｅｂサーバ２１ａから引き渡されたユーザＩＤ、パスワードおよび連想生成語を対応づけて認証ＤＢ２３ａに記憶する。

図３は認証フォーム（ログイン画面）の一例を示す。説明の便宜上、認証フォームＡＦ１、ＡＦ２の配置レイアウトデザインは同じであるものとする。ただし、本発明は配置レイアウトデザインとは無関係である。認証フォームは、ユーザが認証を受けるのに必要な項目、即ちユーザＩＤおよびパスワードが入力されるユーザインターフェースである。具体的には、ユーザＩＤが入力されるユーザＩＤ入力欄２０４、およびパスワードが入力されるパスワード入力欄２０５が設けられている。さらに、登録フォームから登録された連想生成語を表示する連想生成語表示欄２０６も設けられている。認証フォームＡＦ１、ＡＦ２にはログインボタン２２０が設けられている。

さて、以下に、認証サーバ２ａに対してログインする手順を示す（ただし、認証サーバ２ｂに対してログインする手順も全く同様であるため、説明は省略する）。認証フォームＡＦ１において、まず、ユーザＩＤ入力欄２０４にユーザＩＤを入力すると、システム側から連想生成語が連想生成語表示欄２０６に送られてくる。それを見たユーザは、パスワード基底と連想生成語の組み合わせからこのログイン画面に入力すべきパスワードを想起し、それをパスワード入力欄２０５に入力してログインボタン２２０を押下する。認証フォームＡＦ１のログインボタン２２０が押下されると、Ｗｅｂブラウザ１１は、ユーザＩＤ入力欄２０４に入力されたユーザＩＤと、パスワード入力欄２０５に入力されたパスワードを、Ｗｅｂサーバ２１ａに送信する。

Ｗｅｂサーバ２１ａは、認証フォームＡＦ１から受信したユーザＩＤおよびパスワードを認証部２２ａに引き渡す。認証部２２ａは、Ｗｅｂサーバ２１ａから引き渡されたユーザＩＤおよびパスワードを、認証ＤＢ２３ａに記憶されたユーザＩＤおよびパスワードと照合し、両者が一致する場合、ユーザが正当であると認証する。

図４は認証ＤＢ２３ａ、２３ｂに記憶される情報の概念説明図である。認証ＤＢ２３ａ、２３ｂには、「ユーザＩＤ」と「パスワード」と「連想生成語」とを対応づけた認証テーブルが記憶される。認証テーブルは、ユーザごとに個別に作成・記憶・管理される。この図では、ある特定のユーザに対するユーザＩＤは、認証ＤＢ２３ａでは「ＸＹＺ０１」、認証ＤＢ２３ｂでは「ＵＶＷｑ」となっており、それぞれ認証サーバ２ａ、２ｂを運営するサービスが全く独立に規定したものである。一方、ユーザＩＤに対応するパスワード「ｈａｒｕ００１」、「ｈａｒｕ００２」は、ユーザが任意に定めたものであり、一部の文字列「ｈａｒｕ」が共通している。本例では「ｈａｒｕ」がパスワード基底に相当する。

更に一般化して言えば、クライアント１から認証サーバ２にアクセスするユーザは、次のようにして、認証サーバ２で用いるパスワード群を管理する。

１．管理すべきパスワード群に対して、単一の、絶対に誰にも明かさないパスワード基底を決める。例えば、x(1)x(2)x(3)x(4)x(5)の５文字からなるものをパスワード基底とする。ただし、パスワード基底の長さは任意である。ユーザは、パスワード基底だけを自分の頭に記憶しておく。

２．次に、そのパスワード基底に対し、実際に自分が個々のログイン画面で使用する個別のパスワードは、例えばx(1)x(2)x(3)x(4)x(5)a(1)a(2)a(3)の形のように、パスワード基底の後ろにa(1)a(2)a(3)の３桁からなる数字を付加した構造と決める。この付加部分（本例ではa(1)a(2)a(3)）を連想生成語と呼ぶ。

３．そうすると、この基底から生成される個別のパスワードは、x(1)x(2)x(3)x(4)x(5)000, x(1)x(2)x(3)x(4)x(5)001, x(1)x(2)x(3)x(4)x(5)002, ..のように、１０００個の異なったパスワードが生成可能となる。

４．登録フォーム（登録画面）においては、ユーザＩＤ入力欄２０１へのユーザＩＤの入力後、パスワード入力欄２０２に「x(1)x(2)x(3)x(4)x(5)a(1)a(2)a(3)」を入力し、連想生成語入力欄２０３には、「a(1)a(2)a(3)」を入力する。

５．認証サーバ２は、登録フォームに入力されたユーザＩＤとパスワードと連想生成語とを対応づけて認証ＤＢ２３に記憶する。ユーザＩＤとパスワードについては従来技術と同様に両者を対応づけて管理することになるが、連想生成語も、単に認証サーバ２側でＩＤおよびパスワードと対応づけられた形で認証ＤＢ２３に記憶させておくだけでよい。

６．認証フォーム（ログイン画面）において、ユーザはまず、ユーザＩＤをユーザＩＤ入力欄２０４に入力する。Ｗｅｂブラウザ１１はユーザＩＤの入力が終わったか否かを判断する。この判断は、例えば操作部１２のリターンキーを押すことによる場合や、カーソルが別の場所に移動するなどで行われる。あるいは、ユーザＩＤ入力完了のボタンを別途設けて、これを押下することによってユーザＩＤ入力終了をシステム側に知らせても良い。Ｗｅｂブラウザ１１がユーザＩＤの入力が終わったと判断すると、認証部２２は、入力されたユーザＩＤに対応する連想生成語を認証ＤＢ２３から抽出し、この連想生成語をクライアント１に送信する。Ｗｅｂブラウザ１１は、連想生成語を認証サーバ２から受信すると、これを連想生成語表示欄２０６に表示する。

７．ユーザは、連想生成語表示欄２０６に表示された連想生成語を確認し、唯一自分の頭に記憶しているパスワード基底x(1)x(2)x(3)x(4)x(5)の入力の後に続けて連想生成語a(1)a(2)a(3)を入力する。この場合、ユーザは「パスワード基底の後に連想生成語を続けてパスワードとする」、というルールを自分自身で持っていることになる。即ち、認証サーバ２にパスワードの一部を連想生成語として予め登録しておくことで、認証時に認証サーバ２から連想生成語を得、たちどころにパスワード全体を間違いなく入力することが可能となる。この方式のポイントは、連想生成語a(1)a(2)a(3)だけ第３者に知られても、パスワード基底x(1)x(2)x(3)x(4)x(5)が不明な限り、また、それらの組み合わせ方法が不明な限り、第３者がパスワードを解読・作成するのが不可能なことにある。

このように、個人が複数のパスワードを管理するために、パスワード基底を１つ決め（１つだけであるから忘れる可能性は極端に小さい）、パスワード基底に付加する連想生成語は認証サーバ２に公開してしまうことで、本人はその時必要な個別パスワードを完全な形で生成でき、なおかつ、第３者からは依然として秘匿可能となる。連想生成語は、本人にとっては完全な補完情報となるが、他人にはそれだけでは真のパスワードが何であるのかが分からない。

以上の例では、パスワード文字列は、パスワード基底に３桁の数字からなる連想生成語が付加された構造であったが、一般的にはパスワード基底や連想生成語の文字列、文字種に制限はない。例えば、「saori」を連想生成語にすれば、連想生成語表示欄２０６には「saori」が表示されるので、「連想生成語を基底の後に続ける」という組み合わせルールの下では、ユーザはパスワードとして「x(1)x(2)x(3)x(4)x(5)saori」を入力すればよいことになる。

例えば、パスワード基底の前に連想生成語の頭３文字、後ろに連想生成語の後ろ２文字を配置してパスワードとする場合を考える。この場合、連想生成語表示欄２０６にtj803が表示されたら、パスワードは、tj8x(1)x(2)x(3)x(4)x(5)03となる。更には、この５文字からなる連想生成語の最後の文字を数字にしておき、その意味として、連想生成語の頭からこの数字分だけを基底の頭に置き、残りは基底の後に続ける、という解釈にしておけば、tj803とはtj8を基底の頭につけ、03を基底の後につけるというルールであったことを示すことができる。更には、このようなルール自体は連想生成語の最後尾にハイフン以下で示しておくなどの応用も可能である。いずれにしても登録した本人だけが連想生成語からその組み合わせルールとそこから生成すべきパスワードがすぐに判明することがポイントである。

また、パスワード基底の長さ、パスワード基底に付加する文字列の長さは任意であり、これらの文字列が長ければセキュリティレベルも高まることは言うまでもない。

もう少し高度な使い方としては、連想生成語をそのままの形でパスワードに織り込む必要はなく、連想生成語とパスワードが１対１に対応しており、かつその組み合わせルールがユーザにすぐに分かるのならば何でもよい。例えば、基底として「love」を決め、連想生成語として「musume」を、パスワードとして「lovesaori」を登録した場合、ログイン時にユーザは「musume」という連想生成語の表示を見て、ユーザ本人の娘の名前である「saori」を想起し、たちどころに「lovesaori」をパスワードとして入力することができる。これはユーザ本人の頭の中だけで決めたマッピングルールに基づくから、他人にパスワードを秘匿するセキュリティレベルをさらに一段高めることができる。

このように、パスワードの基底部分以外の付加部分は、ユーザ本人が連想生成語から確実に１対１に変換できる文字列であれば何でもよいため、非常に高い汎用性を有しているといえる。変換後の文字列（上記の例ではsaori）とパスワード基底をどのように組み合わせてパスワードとするかに関しても、ユーザ本人の頭の中で決めたルール（数式などから算出するようにしても良い。）によっていくらでも変形・応用できる。

以上に述べた方法によれば、あまたあふれるホームページのパスワード登録画面とログイン画面が、連想生成語の入力と表示という機能をサポートするだけで、個人のパスワード管理は、大変機能的かつ便利なものになる。

ただし、連想生成語は連想生成語表示欄２０６に表示する必然性はなく、便宜的に、パスワード入力欄２０５に表示してもよい。あるいは、ユーザの保有する電子機器、例えば携帯電話機に連想生成語を送信して表示したり、連想生成語に相当する音声を送信して再生するなどしてユーザに通知してもよく、ユーザに連想生成語を通知する手段であればその具体的構成は何でもよい。

さらに、パソコンやサーバの演算装置および記憶装置を認証部２２、認証ＤＢ２３、登録部２４として機能させるプログラムも本発明に含まれる。

＜第２実施形態＞
第１実施形態では、各認証サーバ２が個別に登録フォーム（登録画面）や認証フォーム（ログイン画面）をクライアント１に送信し、登録フォームで入力された連想生成語の登録や認証フォームから入力されたユーザＩＤに対応する連想生成語の抽出は各認証サーバ２が行っていた。しかし、クライアント１側であらゆるシステムに対応する単一の登録フォーム（登録画面）と認証フォーム（ログイン画面）を管理し、ユーザＩＤに対応する連想生成語の登録と抽出もクライアント１がローカルに行う事も可能である。つまり単一な登録フォームと認証フォームを全てクライアント側で管理し、実際のサイトに登録・ログインするときにはこの単一フォームから実サイトの登録・ログイン画面の所定の欄（ユーザＩＤとパスワード欄）に自動で入力がリンクされて行くような形態を考える。実サイト側のシステムが連想生成語という概念を取り入れたシステムを採用していかない限り第１実施形態は実現されないが、この第２実施形態は、実サイトは現状のまま（ユーザＩＤとパスワード欄しか存在していない）でも、ユーザ側（クライアント側）で本発明の方法を実現しうる手段を提供する。以下、登録システム側は簡単であるので、それも含んだ認証システム側の動きを中心に説明する。

図５は第２実施形態に係る認証システムのブロック図である。第１実施形態と異なり、クライアント１は、連想生成語ＤＢ１４、連想生成語抽出部１３を備えている。

また、第１実施形態と異なり、認証サーバ２ａ、２ｂの認証ＤＢ２３ａ、２３ｂは、ユーザＩＤとパスワードとを対応づけて記憶しているが、連想生成語は記憶していない。

例えば、図６に示すように、認証ＤＢ２３ａは、ユーザＩＤとして「ＸＹＺ０」とパスワード「ｈａｒｕ００１」とを対応づけて記憶し、認証ＤＢ２３ｂは、ユーザＩＤとして「ＵＶＷｑ」とパスワード「ｈａｒｕ００２」とを対応づけて記憶している。

図７は連想生成語ＤＢ１４に記憶される連想生成語管理テーブルの概念説明図である。この図に示すように、連想生成語管理テーブルは、「サイト」と「ユーザＩＤ」と「連想生成語」とを対応づけて記憶している。どのユーザＩＤにどのような連想生成語を対応づけて記憶させるかはユーザが操作部１２から任意に指定する。連想生成語管理テーブルが不正に第三者に取得される可能性もあるため、パスワードは記憶していない。

図８に示すように、Ｗｅｂブラウザ１１は、ユーザがアクセスする認証サーバ２ａ、２ｂの全てに対応した所定の単一の認証フォーム（ログイン画面）を表示する。この図では、「Ａ銀行」の認証サーバ２ａ用の認証フォームＦ１、「Ｂネット商店」の認証サーバ２ｂ用の認証フォームＦ２の両方を兼ねた認証フォームが示されている。このフォームは予めクライアント１側で用意しておくため、認証サーバ２から提供する必要はない。

クライアント１は、連想生成語抽出部１３を備えている。連想生成語抽出部１３は、ユーザがアクセスする認証サーバ２で使用されるユーザＩＤに対応する連想生成語を連想生成語ＤＢ１４から抽出してＷｅｂブラウザ１１に出力する。

例えば、認証フォームＦ１のユーザＩＤ入力欄２０４ａにユーザＩＤ「ＸＹＺ０１」が入力されたとする。連想生成語抽出部１３は、ユーザＩＤの入力が終わったか否かを判断する。ユーザＩＤの入力が終わったと判断すると、連想生成語抽出部１３は、「Ａ銀行」のユーザＩＤに対応する連想生成語「００１」を連想生成語ＤＢ１４から抽出する。連想生成語抽出部１３は、抽出した連想生成語をＷｅｂブラウザ１１に出力する。Ｗｅｂブラウザ１１は、連想生成語抽出部１３から出力された連想生成語を、「Ａ銀行」の連想生成語表示欄２０６ａに表示する。

ユーザは連想生成語表示欄２０６ａに表示された連想生成語を見てパスワードを想起し、パスワードをパスワード入力欄２０５ａに入力する。Ｗｅｂブラウザ１１は、ログインボタン２２０の押下に応じ、ユーザＩＤ入力欄２０４ａに入力されたユーザＩＤ、およびパスワード入力欄２０５ａに入力されたパスワードを実サイト（認証サーバ２ａ）が用意している認証フォーム（ログイン画面、図３参照）に転送し、ログインボタン２２０を押下する操作に相当するコマンドを実行して、サイト側から見たら、そこでログインが行われたのと同じにすることができる。サイト側では、連想生成語の処理操作がクライアント側でなされたことは知らずに、通常のユーザＩＤとパスワード入力のログインとして処理するので、サイト側のシステムは変更する必要がない。認証サーバ２ａは、受信したユーザＩＤおよびパスワードを、認証ＤＢ２３ａに記憶されたユーザＩＤおよびパスワードと照合することでユーザを認証する。

また、例えば、認証フォームＦ２のユーザＩＤ入力欄２０４ｂにユーザＩＤ「ＵＶＷｑ」が入力されたとする。連想生成語抽出部１３は、ユーザＩＤの入力が終わったか否かを判断する。ユーザＩＤの入力が終わったと判断すると、連想生成語抽出部１３は、「Ｂネット商店」のユーザＩＤに対応する連想生成語「００２」を連想生成語ＤＢ１４から抽出する。連想生成語抽出部１３は、抽出した連想生成語をＷｅｂブラウザ１１に出力する。Ｗｅｂブラウザ１１は、連想生成語抽出部１３から出力された連想生成語を「Ｂネット商店」の連想生成語表示欄２０６ｂに表示する。

ユーザは連想生成語表示欄２０６ｂに表示された連想生成語を見てパスワードを想起し、パスワードをパスワード入力欄２０５ｂに入力する。Ｗｅｂブラウザ１１は、ログインボタン２２０の押下に応じ、ユーザＩＤ入力欄２０４ｂに入力されたユーザＩＤ、およびパスワード入力欄２０５ｂに入力されたパスワードを、実サイト（認証サーバ２ｂ）のログイン画面に転送する。認証サーバ２ｂは、受信したユーザＩＤおよびパスワードを、認証ＤＢ２３ｂに記憶されたユーザＩＤおよびパスワードと照合することでユーザを認証する。

以上のように、サイト（認証サーバ２ａ、２ｂ）側に何の変更も強いずに本方式を個人端末側で実現することが出来るので、個人のパスワード管理という視点に立てば、クライアント１側で、複数のログイン機能をひとつの画面で自由に管理、制御するということが可能となってくる。例えば、クライアント側にMｙLOGINという画面ソフトを用意し、その画面には、自分が会員となっているあらゆるLOGIN BOX（銀行１、銀行２、ネット商店、ＸＸ会員など）をレイアウトし、各LOGIN BOXごとに、クライアント１内で連想生成語を登録・抽出・通知できるようにすれば良い。これは、パソコンや情報端末の演算装置、記憶装置をそれぞれ連想生成語抽出部１３および連想生成語ＤＢ１４として機能させることによって実現される。そして、正しいパスワードが記入された後は、そのLOGIN BOXから、所定の本来のシステムが提供するログイン画面に必要なデータが転送されるようにすればよい。このようなクライアントソフトは結構便利に使えると思われるし、そのようなソフトウェアパッケージ販売も可能となる。

本発明は、インターネットホームページだけでなく、広く一般に、コンピュータやディジタル家電、携帯電話、組み込み機器、情報機器などのパスワードを使用したログイン方式に適用可能である。

第１実施形態に係る認証システムのブロック図 登録フォームの一例を示す図 第１実施形態に係る認証フォームの一例を示す図 第１実施形態に係る認証データベースに記憶される情報の概念説明図 第１実施形態に係る認証システムのブロック図 第２実施形態に係る認証データベースに記憶される情報の概念説明図 連想生成語データベースに記憶される情報の概念説明図 第２実施形態に係る認証フォームの一例を示す図

符号の説明

１：クライアント、２：認証サーバ、１３：連想生成語抽出部、１４：連想生成語データベース、２２：認証部、２３：認証データベース、２４：登録部

Claims (6)

1. コンピュータが、
   複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する複数のパスワードに含まれる共通のパスワード基底を除いた任意の文字列を認証サービスごとに前記ユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付けるステップと、
   前記所望の認証サービスごとに登録の受け付けられた連想生成語を、所望の認証サービスにおけるユーザ識別情報と対応づけてデータベースに記憶するステップと、
   特定の認証サービスにおけるユーザ識別情報の入力を受け付けるステップと、
   入力された特定の認証サービスにおけるユーザ識別情報に対応する連想生成語を前記データベースから抽出するステップと、
   前記データベースから抽出された連想生成語を通知するステップと、
   を実行し、
   前記複数のパスワードは対応する連想生成語と所定の共通文字列であるパスワード基底とを含む個人パスワード管理方法。
2. コンピュータが、
   複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する複数のパスワードに含まれる共通のパスワード基底を除いた任意の文字列を認証サービスごとに前記ユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付けるステップと、
   前記所望の認証サービスごとに登録の受け付けられた連想生成語を、前記所望の認証サービスにおけるユーザ識別情報と対応づけてデータベースに記憶するステップと、
   前記所望の認証サービスにおけるユーザ識別情報の入力を所定の単一のログイン画面を介して受け付けるステップと、
   前記所定の単一のログイン画面を介して入力された所望の認証サービスにおけるユーザ識別情報に対応する連想生成語を前記データベースから抽出するステップと、
   前記データベースから抽出された連想生成語を通知するステップと、
   を実行し、
   前記複数のパスワードは対応する連想生成語と所定の共通文字列であるパスワード基底とを含む個人パスワード管理方法。
3. 複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する複数のパスワードに含まれる共通のパスワード基底を除いた任意の文字列を認証サービスごとに前記ユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付ける登録部と、
   前記登録部によって所望の認証サービスごとに登録の受け付けられた連想生成語を、前記所望の認証サービスにおけるユーザ識別情報と対応づけて記憶するデータベースと、
   前記所望の認証サービスにおけるユーザ識別情報の入力を所定の単一のログイン画面を介して受け付けるユーザ識別情報入力部と、
   前記ユーザ識別情報入力部に入力された所望の認証サービスにおけるユーザ識別情報に対応する連想生成語を前記データベースから抽出する抽出部と、
   前記データベースから抽出された連想生成語を通知する通知部と、
   を備え、
   前記複数のパスワードは対応する連想生成語と所定の共通文字列であるパスワード基底とを含む個人パスワード連想支援装置。
4. 複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する複数のパスワードに含まれる共通のパスワード基底を除いた任意の文字列を認証サービスごとに前記ユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付ける登録部と、
   前記登録部によって登録の受け付けられた連想生成語を、所望の認証サービスにおけるユーザ識別情報と対応づけて記憶するデータベースと、
   特定の認証サービスにおけるユーザ識別情報の入力を受け付けるユーザ識別情報入力部と、
   入力された特定の認証サービスにおけるユーザ識別情報に対応する連想生成語を前記データベースから抽出する抽出部と、
   前記データベースから抽出された連想生成語を通知する通知部と、
   を備え、
   前記複数のパスワードは対応する連想生成語と所定の共通文字列であるパスワード基底とを含む個人パスワード管理システム。
5. 複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する複数のパスワードに含まれる共通のパスワード基底を除いた任意の文字列を認証サービスごとに前記ユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付けるステップと、
   前記所望の認証サービスごとに登録の受け付けられた連想生成語を、所望の認証サービスにおけるユーザ識別情報と対応づけてデータベースに記憶するステップと、
   特定の認証サービスにおけるユーザ識別情報の入力を受け付けるステップと、
   入力された特定の認証サービスにおけるユーザ識別情報に対応する連想生成語を前記データベースから抽出するステップと、
   前記データベースから抽出された連想生成語を通知するステップと、
   をコンピュータに実行させ、
   前記複数のパスワードは対応する連想生成語と所定の共通文字列であるパスワード基底とを含む個人パスワード連想支援プログラム。
6. 複数の認証サービスのそれぞれにおいて特定のユーザを識別するために予め定められている複数のユーザ識別情報のそれぞれに対応する複数のパスワードに含まれる共通のパスワード基底を除いた任意の文字列を認証サービスごとに前記ユーザに一意的に連想させる任意の文字列である連想生成語の登録を、所望の認証サービスごとに受け付けるステップと、
   前記所望の認証サービスごとに登録の受け付けられた連想生成語を、前記所望の認証サービスにおけるユーザ識別情報と対応づけてデータベースに記憶するステップと、
   前記所望の認証サービスにおけるユーザ識別情報の入力を所定の単一のログイン画面を介して受け付けるステップと、
   前記所定の単一のログイン画面を介して入力された所望の認証サービスにおけるユーザ識別情報に対応する連想生成語を前記データベースから抽出するステップと、
   前記データベースから抽出された連想生成語を通知するステップと、
   をコンピュータに実行させ、
   前記複数のパスワードは対応する連想生成語と所定の共通文字列であるパスワード基底とを含む個人パスワード連想支援プログラム。

Images