JP4890105B2 - 認証装置、認証代行装置、およびユーザ認証方法 - Google Patents

Description

本発明は、サービスプロバイダによるサービス提供時の認証を行う認証装置、認証代行装置、およびユーザ認証方法に関する。

近年、ユーザの利便性および個人情報分散防止の観点から、ユーザがＩＤ、パスワードを登録していないサービスにおいても、ユーザが登録済みのサービスのＩＤ、パスワードにより認証を受けたことを示す情報をもとにして、サービス利用許可を受けられるようにする認証システムの実現が望まれている。このような認証は、ワンストップ型認証とも呼ばれ、また、ワンストップ型認証を実現する認証システムは、ワンストップ型認証システムとも呼ばれる。

図７は、従来のワンストップ型認証システムの構成図の一例である。本発明の説明に用いる用語としては、以下のものがある。
「ＳＰ」：オンラインショッピングなど、ユーザが実際に利用するインターネット上のサービスを提供するサイトであり、サービスプロバイダを指す。
「ＩＤＰ」：ＩＤ（Ｉｄｅｎｔｉｔｙ）、パスワードなどの手段を用いて、ユーザのアイデンティティ情報の真正性を担保しうる組織・機関のサイトであり、認証サービスプロバイダを指す。

「ユーザ端末」：ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ネットワーク接続可能な携帯電話など、ユーザがサービス利用のために使う情報端末を指す。具体的には、携帯電話、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ）、ノートパソコンなどＷｅｂのブラウザ機能を備えた装置であれば何でもよい。

図７の従来のワンストップ型認証システムは、ユーザ端末１０、第１のＳＰ２０、第１のＩＤＰ３０、および第２のＩＤＰ４０で構成される。ここで、第１のＳＰ２０は、ユーザがアクセスしようとしているＳＰである。また、第１のＩＰＤ３０は、第１のＳＰ２０が依存しているＩＤＰである。さらに、第２のＩＤＰ５０は、ユーザが通常使うＩＤＰである。

図７の前提として、第１のＳＰ２０は、第１のＩＤＰ３０にユーザ認証を依存しているものとする。ここで、「ユーザ認証を依存する」とは、以下のようなＳＰとＩＤＰとの関係をいうものとする。例えば、一般的なオンラインショッピングモールビジネスにおいて、第１のＳＰ２０は、ショッピングモール傘下のショッピングサイトであり、第１のＩＤＰ３０は、ショッピングモールサイトであるような場合を考える。

ここで、ショッピングサイトの運営主体は、個人商店がインターネット直販を行うような場合もあり、運営主体が常に自力でユーザ管理を行う能力を持つとは限らない。このような場合、第１のＳＰ２０は、ユーザ認証の完了していないユーザからの利用要求を受け取ると、そのユーザがどのＩＤＰにＩＤ、パスワードを登録しているかに関係なく、まず第１のＩＤＰ３０に当該ユーザの認証を要求する。

ここでは、上述のショッピングモールビジネスのように、ある第１のＳＰ２０が、ユーザ認証の完了していないユーザのユーザ端末１０から利用要求を受け取ると、第１のＳＰ２０は、まず、特定のＩＤＰである第１のＩＤＰ３０にユーザ認証を要求するような関係にあるとき、この第１のＳＰ２０は、第１のＩＤＰ３０に「ユーザ認証を依存する」と呼ぶ。以下の説明においては、この関係を単に「依存する」と呼ぶ場合がある。

図７において、ワンストップ型認証システムが必要となるのは、ユーザが通常使うＩＤＰである第２のＩＤＰ４０にはＩＤ、パスワードが登録されているが、第１のＳＰ２０に依存する第１のＩＤＰ３０にはＩＤ、パスワードが登録されていない場合に、ユーザが第２のＩＤＰ４０によるユーザ認証の結果に基づいて第１のＳＰ２０のサービス利用を要求するときである。

ここで、ユーザが第１のＳＰ２０のサービス利用を要求する際、第２のＩＤＰ４０によるユーザ認証結果に基づくサービス利用を要求すると、ワンストップ型認証において、第２のＩＤＰ４０は、第１のＩＤＰ３０に代わってユーザ認証処理（ユーザの入力するＩＤ、パスワードの検証など）を実行し、第１のＩＤＰ３０にユーザ認証結果を証明する情報（認証結果情報）を送る。

第１のＩＤＰ３０は、第２のＩＤＰ４０より認証結果情報を受け取って検証し、その認証結果情報が認証成功を示すものであり、なおかつ、確かに第２のＩＤＰ４０によるユーザ認証結果であることを確認できた場合には、その認証結果情報を信頼し、当該ユーザによる第１のＳＰ２０のサービス利用を許可する。なお、第１のＩＤＰ３０と第２のＩＤＰ４０とは、相互にユーザ認証結果を信頼し合い、ワンストップ型認証を許可する関係にある必要がある。

ワンストップ型認証システムでは、ユーザは、あるＩＤＰにユーザ登録してあれば、そのＩＤＰを信頼する他のＩＤＰでもユーザとして認められるため、複数のサイトにＩＤ、パスワードなどの個人情報を登録する必要がない。このため、ワンストップ型認証システムは、現状のインターネット技術と比べると個人情報の分散を抑えることができる。

従来の技術としては、ＳＡＭＬ、Ｌｉｂｅｒｔｙ Ａｌｌｉａｎｃｅといったシングルサインオンの技術をもとに、ワンストップ型認証システムを構成することが可能である。この場合のシステム構成は、図７と同様になる。このとき、ユーザがＩＤ、パスワードなどのユーザ情報を登録していないＩＤＰ（第１のＩＤＰ３０に相当）においても、すでに当該ユーザのユーザ情報を登録してあるＩＤＰ（第２のＩＤＰ４０に相当）により認証を受けたことを示す情報をＳＡＭＬ、Ｌｉｂｅｒｔｙ Ａｌｌｉａｎｃｅで規定された形式（認証アサーション）で受け取る。さらに、この情報をもとに、第１のＩＤＰ３０が、第１のＩＤＰ３０にユーザ認証を依存している各ＳＰ（第１のＳＰ２０に相当）に対する利用許可を行うように、システムを構成する。

これら既存技術においては、固定的なアドレスを持たないユーザ端末を特定する情報をＩＤＰ、ＳＰが容易に取得できるように、ＩＤＰ、ＳＰなど認証システムの構成要素をまたがる処理の切り替えの際には、ユーザ端末を経由するＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）リダイレクト処理を用いる必要がある。

ここで、ＨＴＴＰリダイレクト処理とは、一連の処理のおおもとの呼び出し元（ワンストップ型認証においてはユーザ端末）を経由し、指定したアドレスへ処理を転送する仕組みである。しかし、ユーザ端末は、通常、ＳＰやＩＤＰで用いられているサーバよりも性能が劣る。また、ユーザ端末の接続先通信回線によっては、ユーザ端末とＳＰ、ＩＤＰのサーバとの間の通信速度は、他の通信速度よりも劣る。このため、ＳＰとＩＤＰとの間、あるいはＩＤＰ同士の間の情報のやりとりにＨＴＴＰリダイレクトを多用すると、ワンストップ型認証処理の効率低下を招いてしまうという問題があった。

ここで、ＨＴＴＰリダイレクト処理を用いるのは、以下の理由からである。ユーザ認証の結果、ＳＰのサービス利用許可を受けるのはユーザ端末である。そして、ＳＰ（場合によってはＩＤＰ）は、ユーザ端末に対し、ＳＰのサービス利用可否についての情報を伝達する必要がある。しかしながら、上述のように、ユーザ端末は、固定的なアドレスを持たないので、ユーザ端末を特定する情報をＩＤＰ、ＳＰが容易に取得できるように構成する必要があり、ＨＴＴＰリダイレクト処理が用いられている。

図８は、従来のワンストップ型認証システムにおける処理シーケンスの一例である。各構成要素は、図７で示したものと同様であり、第１のＩＤＰ３０には、当該ユーザのＩＤ、パスワードは未登録であり、第２のＩＤＰ４０には、当該ユーザのＩＤ、パスワードを登録済みであるとする。

まず始めに、ユーザは、ユーザ端末１０より第１のＳＰ２０のサービスを要求する（ステップＳ８０１）。次に、第１のＳＰ２０は、ユーザ認証を第１のＩＤＰ３０に依存しているため、第１のＩＤＰ３０に、ユーザが認証済みであるか否かを問い合わせる（ステップＳ８０２）。

次に、第１のＩＤＰ３０は、ユーザが認証済みでなく、また、ユーザのＩＤが第１のＩＤＰ３０に登録されていないことを確認すると、ワンストップ型認証を許可する信頼関係にある他のＩＤＰのリスト（プロバイダリスト）を第１のＳＰ２０に返す（ステップＳ８０３）。次に、第１のＳＰ２０は、ステップＳ８０３で返されたプロバイダリストをユーザ端末１０に返し、ユーザに対し、認証を受けるＩＤＰをプロバイダリスト中より指定することを要求する（ステップＳ８０４）。

次に、ユーザは、プロバイダリストから、第２のＩＤＰ４０を指定し、第１のＳＰ２０に指定情報および認証実行要求を送る（ステップＳ８０５）。次に、第１のＳＰ２０は、ＨＴＴＰリダイレクト処理により、ユーザ端末１０経由でステップＳ８０５の指定情報および認証実行要求を第１のＩＤＰ３０に転送する（ステップＳ８０６）。

次に、第１のＩＤＰ３０は、ユーザが指定情報により指定したＩＤＰである第２のＩＤＰ４０に、ユーザ認証の実行を要求するため、ＨＴＴＰリダイレクト処理により、ユーザ端末１０経由で第２のＩＤＰ４０に転送する（ステップＳ８０７）。次に、第２のＩＤＰ４０は、ユーザを認証するため、ユーザ端末１０にＩＤ、パスワード入力画面を送付する（ステップＳ８０８）。

次に、ユーザは、第２のＩＤＰ４０の要求に従い、ＩＤ、パスワードを入力し、第２のＩＤＰ４０に送付する（ステップＳ８０９）。次に、第２のＩＤＰ４０は、ステップＳ８０９で入力されたＩＤ、パスワードを検証し、それらが第２のＩＤＰ４０に登録されているものである場合には、第１のＩＤＰ３０に対し、当該ユーザを認証したことを証明する情報をＨＴＴＰリダイレクト処理により、ユーザ端末１０経由で送る（ステップＳ８１０）。

次に、第１のＩＤＰ３０は、ステップＳ８１０の情報を受け取って検証し、その情報が認証成功を示し、かつ、確かに第２のＩＤＰ４０によるユーザ認証結果であることを確認できた場合には、その情報を信頼し、ユーザによる第１のＳＰ２０のサービス利用を許可する情報をＨＴＴＰリダイレクト処理により、ユーザ端末１０経由で第１のＳＰ２０に送る（ステップＳ８１１）。

そして最後に、第１のＳＰ２０は、ステップＳ８１１の情報が第１のＩＤＰ３０の発行したものであることを検証し、ユーザに第１のＳＰ２０のサービス利用を許可する（ステップＳ８１２）。このような一連の処理において課題となるのは、図８のステップＳ８０６、Ｓ８０７、Ｓ８１０、Ｓ８１１（図８において太線で示したステップに相当）に示されたＨＴＴＰリダイレクト処理である。

すでに述べたように、ＳＡＭＬ、Ｌｉｂｅｒｔｙ Ａｌｌｉａｎｃｅなどの既存技術においては、固定的なアドレスを持たないユーザ端末を特定する情報を、ＩＤＰ、ＳＰが容易に特定できるよう、処理の切り替えの際には、ユーザ端末１０を経由するＨＴＴＰリダイレクトを用いる必要があった。

これに対して、図９のような認証システムが提案されている。図９は、従来の認証システムの構成図の別の例である。この認証システムは、図７に示したワンステップ型認証システムに対して、認証代行装置５０（Ｖｉｒｔｕａｌ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｘｙ、以下「ＶＡＰ５０」と称す）をさらに備えている。

このような構成により、ＨＴＴＰリダイレクト処理は、ユーザ端末１０でなくＶＡＰ５０を経由するようになる。ＶＡＰ５０として、処理性能に優れたサーバ装置を用いることにより、ユーザ端末１０を経由するＨＴＴＰリダイレクト処理で問題となるユーザ端末１０の処理性能の制約がなくなり、ワンストップ型認証の処理効率が向上する。

しかし、この場合においても、ＳＰ、ＩＤＰとＶＡＰとの間で冗長なメッセージのやりとりが残るという問題がある。これを解決した処理のシーケンスを、図１０に示す。図１０は、従来のワンストップ型認証システムにおける改善された処理シーケンスの一例である。この図１０の処理の流れについて、以下に説明する。

まず始めに、ユーザは、ユーザ端末１０よりＶＡＰ５０に対して、第１のＳＰ２０のサービスを要求するメッセージを送付する（ステップＳ１００１）。次に、ＶＡＰ５０は、ステップＳ１００１のメッセージを第１のＳＰ２０に転送する（ステップＳ１００２）。次に、第１のＳＰ２０は、ユーザ認証を第１のＩＤＰ３０に依存しているため、第１のＩＤＰ３０に、ユーザが認証済みであるか否かを問い合わせる（ステップＳ１００３）。

次に、第１のＩＤＰ３０は、ユーザが認証済みでなく、また、ユーザのＩＤが第１のＩＤＰ３０に登録されていないことを確認すると、ワンストップ型認証を許可する信頼関係にある他のＩＤＰのリスト（プロバイダリスト）を第１のＳＰ２０に返す（ステップＳ１００４）。次に、第１のＳＰ２０は、ステップＳ１００４で返されたプロバイダリストをＶＡＰ５０に返す（ステップＳ１００５）。

次に、ＶＡＰ５０は、ステップＳ１００５で返されたプロバイダリストをユーザ端末１０に返し、ユーザに対し、認証を受けるＩＤＰをプロバイダリスト中より指定することを要求する（ステップＳ１００６）。次に、ユーザは、プロバイダリストから、第２のＩＤＰ４０を指定し、ＶＡＰ５０に指定情報と認証実行要求を送る（ステップＳ１００７）。

次に、ＶＡＰ５０は、ステップＳ１００７でユーザより送られたＩＤＰの指定情報と認証実行要求を第１のＳＰ２０に送る（ステップＳ１００８）。この際、ＶＡＰ５０は、ＶＡＰ５０のアドレスを合わせて送る。次に、第１のＳＰ２０は、ステップＳ１００８の指定情報と認証実行要求、およびＶＡＰ５０のアドレスを、第１のＳＰ２０がユーザ認証を依存するＩＤＰである第１のＩＤＰ３０に転送する（ステップＳ１００９）。

次に、第１のＩＤＰ３０は、ステップＳ１００７でユーザが指定したＩＤＰである第２のＩＤＰ４０に、ユーザ認証の実行を要求する（ステップＳ１０１０）。合わせて、第１のＩＤＰ３０は、ＶＡＰ５０のアドレスを第２のＩＤＰ４０に送る。次に、第２のＩＤＰ４０は、ユーザを認証するため、ステップＳ１０１０で送られてきたＶＡＰ５０のアドレスを元に、ＶＡＰ５０にＩＤ、パスワード入力画面を送付する（ステップＳ１０１１）。

次に、ＶＡＰ５０は、ユーザ端末１０に、ステップＳ１０１１で第２のＩＤＰ４０より受け取ったＩＤ、パスワード入力画面を送付する（ステップＳ１０１２）。次に、ユーザは、ＩＤ、パスワードを入力し、ＶＡＰ５０に送付する（ステップＳ１０１３）。次に、ＶＡＰ５０は、ステップＳ１０１３で受け取ったＩＤ、パスワードを第２のＩＤＰ４０に送付する（ステップＳ１０１４）。

次に、第２のＩＤＰ４０は、ステップＳ１０１４で入力されたＩＤ、パスワードを検証し、それらが第２のＩＤＰ４０に登録されているものと一致した場合には、第１のＩＤＰ３０に対し、ユーザを認証したことを証明する認証結果情報を送る（ステップＳ１０１５）。

次に、第１のＩＤＰ３０は、ステップＳ１０１５の認証結果情報を受け取って検証し、その認証結果情報が認証成功を示し、かつ、確かに第２のＩＤＰ４０によるユーザ認証結果であることを確認できた場合には、その認証結果情報を信頼し、ユーザによる第１のＳＰ２０のサービス利用を許可する情報を第１のＳＰ２０に送る（ステップＳ１０１６）。

次に、第１のＳＰ２０は、ステップＳ１０１６の情報が第１のＩＤＰ３０の発行したものであることを検証し、ＶＡＰ５０に第１のＳＰ２０のサービス利用を許可する情報を送る（ステップＳ１０１７）。そして最後に、ＶＡＰ５０は、ユーザ端末１０に第１のＳＰ２０のサービス利用を許可する情報を送る（ステップＳ１０１８）。

この図１０において、ステップＳ１０１５〜Ｓ１０１８の処理は、第２のＩＤＰ４０による認証結果にもとづく１つのセッションとして実現するのが自然である。図１１は、従来の認証システムにおける図１０の一連の処理により、ＳＰ、ＩＤＰ、ＶＡＰの間に確立されたセッションの状態を示した図である。

図１１において、点線は論理的な存在であるセッション８１を示す。ここで「セッション」とは、タイムアウトや明示的な切断を除き、再認証なしで認証システムの構成要素同士が相互に通信し、通信相手の許可する範囲で通信相手のリソースを利用できる論理的な処理の単位を示す。

この「セッション」は、例えば、セッションに参加する構成要素相互が共通のセッション識別情報を保持し、セッション識別情報が有効な間は、構成要素相互が再認証なしで相互に通信し、通信相手の許可する範囲で通信相手のリソースを利用できるように構成することにより実現できる。

なお、第１のＩＤＰ３０、または第１のＩＤＰ３０の信頼するＩＤＰによりユーザが認証済みであるかどうかの状態を、ＶＡＰ５０で管理することもできる。この場合、図１０におけるステップＳ１００９とＳ１０１０との間に、第１のＩＤＰ３０からＶＡＰ５０に上記の状態を問い合わせる処理、およびそれに対するＶＡＰ５０から第１のＩＤＰ３０への応答処理を追加することにより構成できる。

図１２は、従来の認証システムの図１０の処理に対して、第１のＩＤＰ３０とＶＡＰ５０との間の処理を追加した処理シーケンスの一例である。追加したステップが、Ｓ１２０１およびＳ１２０２として記載されている。ただし、この場合は、図１０に示す理想的な処理の流れと比べると、図１０におけるステップＳ１００９とＳ１０１０との間に、ステップＳ１２０１、Ｓ１２０２の処理が追加される分、認証の処理効率が低下する。

また、会員制の商取引システムにおけるＶＡＰに近い従来技術がある（例えば、特許文献１参照）。この特許文献１は、加盟店管理会社が会員会社に代わって会員の認証を行い、認証結果を会員管理会社と加盟店が信用し、会員が加盟店から商品を購入するためのシステムを実現する技術を開示している。図９のシステム構成においては、加盟店管理会社がＶＡＰ５０に相当し、会員会社と会員管理会社がそれぞれＩＤＰ３０、４０に相当し、さらに、加盟店がＳＰ１０に相当する。

図１３は、従来の認証システムの構成図のさらに別の例であり、図９の認証システムに、第２のＩＤＰ４０に認証を依存する第２のＳＰ６０を追加したものである。この図１３の認証システムにおいて、ワンストップ型認証を実現するには、ユーザが図１０に示す手順にて第２のＩＤＰ４０による認証結果に基づき第１のＳＰ２０のサービスを受けているときに、ユーザが第２のＩＤＰ４０による同じ認証結果に基づき、第２のＩＤＰ４０があらためてユーザを認証することなく第２のＳＰ６０にアクセスすることを可能にする必要がある。

これを実現するための処理シーケンスを図１４に示す。図１４は、従来のワンストップ型認証システムにおける第２のＳＰ６０へのアクセスを改善した処理シーケンスの一例である。この図１４の処理の流れについて、以下に説明する。

まず始めに、ユーザは、ユーザ端末１０よりＶＡＰ５０に対して、第２のＳＰ６０のサービスを要求するメッセージを送付する（ステップＳ１４０１）。次に、ＶＡＰ５０は、ステップＳ１４０１のメッセージを第２のＳＰ６０に転送する（ステップＳ１４０２）。次に、第２のＳＰ６０は、第２のＳＰ６０がユーザ認証を依存しているＩＤＰである第２のＩＤＰ４０に、ユーザが認証済みであるかどうか確認する（ステップＳ１４０３）。

次に、第２のＩＤＰ４０は、第２のＳＰ６０に、ユーザを認証済みであることを示す情報を送る（ステップＳ１４０４）。次に、第２のＳＰ６０は、ステップＳ１４０４の情報が第２のＩＤＰ４０の発行したものであることを検証し、ＶＡＰ５０に、第２のＳＰ６０のサービスへのアクセスを許可する情報を送る（ステップＳ１４０５）。次に、ＶＡＰ５０は、ステップＳ１４０５の情報を、ユーザ端末１０に送る（ステップＳ１４０６）。

図１５は、従来の認証システムにおける図１４の一連の処理により、ＳＰ、ＩＤＰ、ＶＡＰの間に確立されたセッションの状態を示した図である。図１４において、ステップＳ１４０４〜Ｓ１４０６の処理にて構成要素間で確立されるセッションは、図１０のステップＳ１０１５〜Ｓ１０１８の処理にて確立されるセッションと同じ第２のＩＤＰ４０の認証結果に基づいている。このため、図１５においては、ＳＰ、ＩＤＰ、ＶＡＰの間は、同じセッションであるセッション８１を用いている。

特開２０００−２４２７００号公報

しかしながら、従来技術には次のような課題がある。図１５のように、同じ第２のＩＤＰ４０の認証結果にもとづくＳＰ、ＩＤＰ、ＶＡＰの間の関係を全て同一のセッションとして構成すると、第１のＳＰ２０または第２のＳＰ６０に悪意がある場合、一方のＳＰが当該セッションの識別情報を用いて当該ユーザになりすまし、他方のＳＰのサービスを不正に利用できるという問題があった。

また、先の特許文献１においても、悪意のある加盟店が、会員の認証結果情報を用いて当該会員になりすまし、他の加盟店に対して不正な商品購入を行うことを防ぐ技術が開示されていない。

本発明は上述のような課題を解決するためになされたもので、ＶＡＰを用いたワンストップ型認証システムにおいて、ＳＰがユーザになりすまして他のＳＰのサービスを不正に利用することを防ぐことを可能にする認証装置、認証代行装置、およびユーザ認証方法を得ることを目的とする。

本発明に係る認証装置は、ユーザ認証処理を中継する主体である認証代行装置およびインターネットを経由したユーザ端末からの利用要求に応じてサービスを提供するサービスプロバイダにより、ユーザ認証を行う際に使用され、サービスの提供を許可するに当たり利用要求に基づく認証処理を制御する第１の認証サービスプロバイダと、第１の認証サービスプロバイダからの要求に応じて、サービスの提供を許可するに当たり認証処理を制御する第２の認証サービスプロバイダとに共通して用いられる認証装置であって、第２の認証サービスプロバイダとして動作する場合には、認証代行装置のアドレス情報を含む認証要求を第１の認証サービスプロバイダから受信した際に、第１の認証サービスプロバイダと第２の認証サービスプロバイダとの間のセッションを仮ＩＤＰ−ＩＤＰセッションとして割り当てる機能と、アドレス情報に基づいて認証代行装置に、認証要求に応じた認証用入力情報および仮ＩＤＰ−ＩＤＰセッションを識別する情報を送信する機能と、認証用入力情報に対応したユーザＩＤを、認証代行装置を介してユーザ端末から受信する機能と、受信したユーザＩＤと、あらかじめ記憶してある認証用ＩＤとの比較による認証結果情報を生成し、認証に成功した場合には、仮ＩＤＰ−ＩＤＰセッションを正規ＩＤＰ−ＩＤＰセッションに変更し、認証結果情報および正規ＩＤＰ−ＩＤＰセッションを識別する情報を第１の認証サービスプロバイダに送信し、認証に失敗した場合には、仮ＩＤＰ−ＩＤＰセッションを無効にして以降の処理を行わない機能とを備え、第１の認証サービスプロバイダとして動作する場合には、認証代行装置のアドレス情報を含む認証要求を第２の認証サービスプロバイダに送信する機能と、第２の認証サービスプロバイダによる認証が成功した際に、第２の認証サービスプロバイダから認証結果情報および正規ＩＤＰ−ＩＤＰセッションを識別する情報を受信する機能と、正規ＩＤＰ−ＩＤＰセッションを識別する情報に関連付けて、サービスプロバイダと第１の認証サービスプロバイダとの間のセッションをＳＰ−ＩＤＰセッションとして割り当て、正規ＩＤＰ−ＩＤＰセッションとＳＰ−ＩＤＰセッションとをそれぞれ関連付けて管理する機能と、サービスプロバイダに、認証結果情報およびＳＰ−ＩＤＰセッションを識別する情報を送信する機能とを備えるものである。

また、本発明に係る認証代行装置は、利用要求に応じてサービスを提供するサービスプロバイダ、サービスプロバイダがユーザ認証を行う際に使用する第１の認証サービスプロバイダ、およびユーザ端末の認証用ＩＤを有し、第１の認証サービスプロバイダからの要求に応じて認証処理を行う第２の認証サービスプロバイダを含む認証システムと、利用要求に応じてサービスの提供を受けるユーザ端末との間に配置され、ユーザ認証処理を中継する主体となる認証代行装置であって、第２の認証サービスプロバイダにより割り当てられる第１の認証サービスプロバイダと第２の認証サービスプロバイダとの間のＩＤＰ−ＩＤＰセッションと、サービスプロバイダにより割り当てられる認証代行装置とサービスプロバイダとの間のＶＡＰ−ＳＰセッションとをそれぞれ関連付けて管理し、ユーザ端末による認証要求に先立って第１の認証サービスプロバイダと第２の認証サービスプロバイダとの間の仮ＩＤＰ−ＩＤＰセッションの割当てを第２の認証サービスプロバイダから受け、第２の認証サービスプロバイダによるユーザ認証成功通知を受け取った場合には、仮ＩＤＰ−ＩＤＰセッションを正規ＩＤＰ−ＩＤＰセッションに変更し、第２の認証サービスプロバイダによるユーザ認証失敗通知を受け取った場合には、仮ＩＤＰ−ＩＤＰセッションを無効にするものである。

さらに、本発明に係るユーザ認証方法は、利用要求に応じてサービスを提供するサービスプロバイダ、サービスプロバイダがユーザ認証を行う際に使用する第１の認証サービスプロバイダ、およびユーザ端末の認証用ＩＤを有し、第１の認証サービスプロバイダからの要求に応じて認証処理を行う第２の認証サービスプロバイダを含む認証システムと、利用要求に応じてサービスの提供を受けるユーザ端末と認証システムとの間に配置され、ユーザ認証処理を中継する主体となる認証代行装置とを含み、ユーザ端末に割り当てられたユーザＩＤの認証結果に基づいてサービスを提供するユーザ認証方法であって、第２の認証サービスプロバイダで、認証代行装置のアドレス情報を含む認証要求を第１の認証サービスプロバイダから受信した際に、第１の認証サービスプロバイダと第２の認証サービスプロバイダとの間のセッションを仮ＩＤＰ−ＩＤＰセッションとして割り当てるステップと、アドレス情報に基づいて第２の認証サービスプロバイダから認証代行装置に、認証要求に応じた認証用入力情報および仮ＩＤＰ−ＩＤＰセッションを識別する情報を送信するステップと、認証代行装置で、第２の認証サービスプロバイダによって割り当てられた仮ＩＤＰ−ＩＤＰセッションを記憶するとともに、認証用入力情報に対応したユーザＩＤをユーザ端末から受信するステップと、認証代行装置から第２の認証サービスプロバイダに、ユーザＩＤを送信するステップと、第２の認証サービスプロバイダで、ユーザＩＤと、あらかじめ記憶してある認証用ＩＤとの比較による認証結果情報を生成し、認証に成功した場合には、仮ＩＤＰ−ＩＤＰセッションを正規ＩＤＰ−ＩＤＰセッションに変更し、認証に失敗した場合には仮ＩＤＰ−ＩＤＰセッションを無効にして以降の処理を行わないステップと、認証に成功した場合において、第２の認証サービスプロバイダから第１の認証サービスプロバイダに、認証結果情報および正規ＩＤＰ−ＩＤＰセッションを識別する情報を送信するステップと、第１の認証サービスプロバイダで、正規ＩＤＰ−ＩＤＰセッションを識別する情報に関連付けて、サービスプロバイダと第１の認証サービスプロバイダとの間のセッションをＳＰ−ＩＤＰセッションとして割り当て、ＩＤＰ−ＩＤＰセッションとＳＰ−ＩＤＰセッションとをそれぞれ関連付けて管理するステップと、第１の認証サービスプロバイダからサービスプロバイダに、認証結果情報およびＳＰ−ＩＤＰセッションを識別する情報を送信するステップと、サービスプロバイダで、ＳＰ−ＩＤＰセッションを識別する情報に関連付けて、認証代行装置とサービスプロバイダとの間のセッションをＶＡＰ−ＳＰセッションとして割り当て、ＳＰ−ＩＤＰセッションとＶＡＰ−ＳＰセッションとをそれぞれ関連付けて管理するステップと、サービスプロバイダから認証代行装置に、認証結果情報およびＶＡＰ−ＳＰセッションを識別する情報を送信するステップと、認証代行装置で、認証に成功した認証結果情報に基づいて、先に記憶された仮ＩＤＰ−ＩＤＰセッションを正規ＩＤＰ−ＩＤＰセッションに変更し、正規ＩＤＰ−ＩＤＰセッションとＶＡＰ−ＳＰセッションとをそれぞれ関連付けて管理するステップと、認証代行装置からユーザ端末に、認証結果情報に基づいて利用許可情報を送信するステップとを備えたものである。

本発明によれば、ＩＤＰ−ＩＤＰセッションとＳＰ−ＩＤＰセッションに分けて、それぞれのサービスプロバイダごとに関連付けて管理し、異なるサービスプロバイダが同一の認証結果に基づくセッションに関する識別情報を共有しないように管理することにより、ＶＡＰを用いたワンストップ型認証システムにおいて、ＳＰがユーザになりすまして他のＳＰのサービスを不正に利用することを防ぐことを可能にする認証装置、認証代行装置、およびユーザ認証方法を得ることができる。

以下、本発明の認証システムの好適な実施の形態につき図面を用いて説明する。

実施の形態１．
図１は、本発明の実施の形態１における認証システムの機能構成図である。基本的な構成は、従来技術の説明で用いた図１３と同一である。本発明の実施の形態１における図１の構成は、図１３の構成と比較すると、第１のＳＰ２０、第２のＳＰ６０がそれぞれＳＰ用認証装置２１、６１をさらに有し、第１のＩＤＰ３０、第２のＩＤＰ４０がそれぞれＩＤＰ用認証装置３１、４１をさらに有する点が異なっている。

ＶＡＰ５０は、インターネットを介して、第１のＳＰ２０、第２のＳＰ６０、第１のＩＤＰ３０、第２のＩＤＰ４０と通信する。また、ＶＡＰ５０は、ユーザ端末１０とはインターネットを介して通信してもよく、あるいはＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を介して通信してもよい。このようなＶＡＰ５０は、例えば、ユーザの属する組織のイントラネット・エクストラネットが外部のインターネットと接続するポイントに位置するプロキシサーバとして実現することができる。

図２は、本発明の実施の形態１の認証システムにおけるセッションの状態を示した図である。本実施の形態１における認証システムの特徴は、ワンストップ認証を実現している状態において、図２に示すように、ＩＤＰ同士のセッション７１、ＳＰとＩＤＰの間のセッション７２、そしてＶＡＰとＳＰの間のセッション７３を区別して管理している点にある。

具体的には、第１のＩＤＰ３０と第２のＩＤＰ４０との間は、セッション７１で管理され、第１のＩＤＰ３０と第１のＳＰ２０との間、および第２のＩＤＰ４０と第２のＳＰ６０との間は、セッション７２で管理され、ＶＡＰ５０と第１のＳＰ２０との間、およびＶＡＰ５０と第２のＳＰ６０との間は、セッション７３で管理されている。

このような構成により、同一のＩＤＰによる同じ認証結果に基づくセッションであっても、ＳＰ同士がセッションに関する共通の情報を持たないようすることが可能となる。この結果、あるＳＰが、セッション情報を不正に利用して、当該セッションを使用しているユーザになりすまし、他のＳＰのサービスを不正に利用することを防ぐことができる。

また、本実施の形態１の認証システムにおいて、ＶＡＰ５０は、ＩＤＰ−ＩＤＰ間のセッション７１の情報を保持し、またＩＤＰ−ＩＤＰ間のセッション７１とＶＡＰ−ＳＰ間のセッション７３の対応付けを管理する。これにより、あるＩＤＰがＶＡＰ５０に対し、当該ＩＤＰで認証済みのセッションを保持しているかどうか問い合わせ、認証済みのセッションを保持しているＶＡＰ５０に対しては、当該ユーザの再認証要求を行わずに、当該ＩＤＰによる認証結果を発行することを可能とする。

本発明による認証システムの処理のシーケンスは、図１０と同様である。ただし、図２に示すセッション管理を実現するために、従来技術による認証システムにおける処理の流れに加えて、ステップＳ１０１０、Ｓ１０１１、Ｓ１０１４〜Ｓ１０１７において、以下の追加処理を行う。

まず、ステップＳ１０１０において、第２のＩＤＰ４０は、第１のＩＤＰ３０から転送されてくるユーザ認証実行要求に対し、仮ＩＤＰ−ＩＤＰセッションを割り当てる。また、ステップＳ１０１１において、第２のＩＤＰ４０は、ＶＡＰ５０に対し、ステップＳ１０１０で割り当てた仮ＩＤＰ−ＩＤＰセッションを識別する情報を送付する。

また、ステップＳ１０１４において、第２のＩＤＰ４０は、ＶＡＰ５０から転送されてくるユーザのＩＤ、パスワードを検証し、ユーザの認証に成功すると、ステップＳ１０１０で割り当てた仮ＩＤＰ−ＩＤＰセッションを正規ＩＤＰ−ＩＤＰセッションに変更する。一方、第２のＩＤＰ４０は、ユーザの認証に失敗した場合には、仮ＩＤＰ−ＩＤＰセッションを無効にし、以降の処理を行わない。

ユーザの認証に成功した場合には、ステップＳ１０１５において、第２のＩＤＰ４０は、第１のＩＤＰ３０に、ステップＳ１０１４で変更した正規ＩＤＰ−ＩＤＰセッションを識別する情報を送付する。また、ステップＳ１０１６において、第１のＩＤＰ３０は、ステップＳ１０１４で変更した正規ＩＤＰ−ＩＤＰセッションに対応するＳＰ−ＩＤＰセッションを第１のＳＰ２０に対して割り当てる。

また、ステップＳ１０１７において、第１のＳＰ２０は、ステップＳ１０１６で割り当てたＳＰ−ＩＤＰセッションに対応するＶＡＰ−ＳＰセッションを、ＶＡＰ５０に対して割り当てる。

これを受けてＶＡＰ５０は、ステップＳ１０１１において受け取った仮ＩＤＰ−ＩＤＰセッションの識別情報の状態を、正規ＩＤＰ−ＩＤＰセッションを示す状態に変更し、合わせて正規ＩＤＰ−ＩＤＰセッションをステップＳ１０１７において受け取ったＶＡＰ−ＳＰセッションと対応付けて管理する。

次に、フローチャートを用いて、図１に示した認証システムの一連の処理の詳細を説明する。まず、ＳＰ用認証装置２１（あるいはＳＰ用認証装置６１）の一連の処理について説明する。図３は、本発明の実施の形態１におけるＳＰ用認証装置の一連の処理を示すフローチャートである。以下の説明では、ＳＰ用認証装置をＳＰ用認証装置２１として説明する。

まず始めに、ＳＰ用認証装置２１は、ＶＡＰ５０経由でユーザ端末１０からの利用要求を受け付ける（ステップＳ３０１）。次に、ＳＰ用認証装置２１は、ユーザを認証済みであるか否かを確認する（ステップＳ３０２）。そして、ＳＰ用認証装置２１は、認証済みである場合には、ユーザ端末１０にＳＰ用認証装置２１を使用しているＳＰである第１のＳＰ２０のサービスを提供する（ステップＳ３０３）。

一方、ＳＰ用認証装置２１は、ステップＳ３０２の処理においてユーザが未認証である場合には、ＳＰ用認証装置２１を使用している第１のＳＰ２０がユーザ認証を依存するＩＤＰである第１のＩＤＰ３０に、第１のＩＤＰ３０がワンストップ型認証を許可する信頼関係にある他のＩＤＰのリスト（プロバイダリスト）の送付を要求する（ステップＳ３０４）。この処理は、図１０のシーケンスにおいては、ステップＳ１００３に相当する。

そして、ＳＰ用認証装置２１は、この要求への応答として、ＩＤＰのリストを受信する（ステップＳ３０５）。この処理は、図１０のシーケンスにおいては、ステップＳ１００４に相当する。

次に、ＳＰ用認証装置２１は、ＩＤＰのリスト画面を生成し、ＶＡＰ５０に送付する（ステップＳ３０６）。この処理は、図１０のシーケンスにおいては、ステップＳ１００５に相当する。

次に、ＳＰ用認証装置２１は、ＶＡＰ５０経由で、ユーザ端末１０からユーザによるＩＤＰの選択結果を受け取る（ステップＳ３０７）。この処理は、図１０のシーケンスにおいては、ステップＳ１００８に相当する。そして、ＳＰ用認証装置２１は、ＳＰ用認証装置２１を使用している第１のＳＰ２０が依存する第１のＩＤＰ３０へ、ユーザによるＩＤＰの選択結果を送付する（ステップＳ３０８）。この処理は、図１０のシーケンスにおいては、ステップＳ１００９に相当する。

なお、ＳＰ用認証装置２１がこのステップＳ３０７で受け取るＩＤＰの選択結果には、ＶＡＰ５０のアドレスが付加されており、ＳＰ用認証装置２１は、ステップＳ３０８において、ＩＤＰの選択結果と合わせてＶＡＰ５０のＶＡＰアドレスを送付する。

次に、ＳＰ用認証装置２１は、ステップＳ３０８の処理の後、ＳＰ用認証装置２１を使用している第１のＳＰ２０が依存する第１のＩＤＰ３０から認証結果情報を受け取り、待機モードに入る（ステップＳ３０９）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１６に相当する。

次に、ＳＰ用認証装置２１は、ステップＳ３０９で認証結果情報を受け取って待機モードを解除した後、受け取った認証結果情報が成功であったか失敗であったかを確認する（ステップＳ３１０）。そして、ステップＳ３１０で認証成功を示す場合には、ＳＰ用認証装置２１は、ＶＡＰ５０経由でユーザ端末１０に対して第１のＳＰ２０のサービスを提供する（ステップＳ３０３）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１７、Ｓ１０１８に相当する。

なお、この場合、ＳＰ用認証装置２１を使用している第１のＳＰ２０が依存する第１のＩＤＰ３０からＳＰ用認証装置２１に対しては、認証成功を示す情報とともに、ＳＰ−ＩＤＰ間のセッション７２を識別する情報が送られてくる。ＳＰ用認証装置２１は、この識別情報を保管するとともに、ＳＰ−ＩＤＰ間のセッション７２に対応したＶＡＰ−ＳＰ間のセッション７３をＶＡＰ５０に割り当て、ＶＡＰ−ＳＰ間のセッション７３を識別する情報をＶＡＰ５０に送付する。

一方、ステップＳ３１０で認証失敗を示す場合には、ＳＰ用認証装置２１は、ＶＡＰ５０経由で、ユーザ端末１０に対して、認証できないことを通知する。（ステップＳ３１１）。

次に、ＩＤＰ用認証装置３１およびＩＤＰ用認証装置４１の動作について説明する。ここで、例えば、図１において、第１のＩＤＰ３０内のＩＤＰ用認証装置３１は、他のＩＤＰである第２のＩＤＰ５０へ認証を要求する側であり、一方、第２のＩＤＰ４０内のＩＤＰ用認証装置４１は、他のＩＤＰである第１のＩＤＰ３０より認証を要求される側である。

しかし、通常のＩＤＰは、実際には他のＩＤＰへ認証を要求する側（先の説明での第１のＩＤＰ３０に相当）として振舞う場合もあれば、他のＩＤＰより認証を要求される側（先の説明での第２のＩＤＰ４０に相当）として振舞う場合もある。このため、これら装置は、通常は、１つの装置として構成される。

そこで、要求する側であるＩＤＰ用認証装置３１および要求される側であるＩＤＰ用認証装置４１の両機能を備えたＩＤＰ用認証装置の一連の処理について、フローチャートを用いて説明する。図４は、本発明の実施の形態１におけるＩＤＰ用認証装置の一連の処理を示すフローチャートである。

まず始めに、ＩＤＰ用認証装置は、外部からの要求を受け付ける（ステップＳ４０１）。この要求が、ＩＤＰに認証を依存しているＳＰから送られてきたものであり、ＩＤＰがワンストップ型認証を許可する信頼関係にあるＩＤＰのリストの要求であるか否かを確認する（ステップＳ４０２）。

そして、ステップＳ４０２における要件を満たすプロバイダリストの要求である場合（このとき、このＩＤＰ用認証装置を使用するＩＤＰは、図２における第１のＩＤＰ３０に相当）、ＩＤＰ用認証装置は、要求されたプロバイダリストを生成して要求元（この場合は、図２における第１のＳＰ２０に相当）に応答する（ステップＳ４０３）。この処理は、図１０のシーケンスにおいては、ステップＳ１００４に相当する。

一方、ステップＳ４０２における要件を満たすプロバイダリストの要求でない場合には、ＩＤＰ用認証装置は、その要求が、ＩＤＰに認証を依存しているＳＰから送られてきた、ユーザが指定した他のＩＤＰによる認証要求であるか否かを確認する（ステップＳ４０４）。

もし、この要求が、ユーザの指定した他のＩＤＰによる認証要求である場合（このとき、ＩＤＰ用認証装置を使用するＩＤＰは、図２の第１のＩＤＰ３０に相当）には、ＩＤＰ用認証装置は、他のＩＤＰ（図２の第２のＩＤＰ４０に相当）に認証要求を送付する（ステップＳ４０５）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１０に相当する。

さらに、ＩＤＰ用認証装置は、ステップＳ４０５の認証要求に対する返答として、他のＩＤＰ（図２の第２のＩＤＰ４０に相当）より、認証結果情報を受け取る（ステップＳ４０６）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１５に相当する。

なお、このとき、ＩＤＰ用認証装置がステップＳ４０１で受け取っている要求は、ＳＰの使用する認証装置から送られてきたＶＡＰ５０のアドレスを含み、ステップＳ４０５において、ＩＤＰ用認証装置は、このＶＡＰ５０のアドレスを合わせて送付する。そして、ＩＤＰ用認証装置は、認証結果情報が認証成功か否かを検証する（ステップＳ４０７）。

そして、認証結果情報が認証成功を示す場合には、ＩＤＰ用認証装置は、さらに、この認証結果情報の発行元の検証を行う（ステップＳ４０８）。

そして、この検証の結果、認証結果情報の発行元が他のＩＤＰ（図２の第２のＩＤＰ４０に相当）であることを確認すると、ＩＤＰ用認証装置は、ステップＳ４０１の要求元（図２では、第１のＳＰ２０に相当）に対し、認証可否情報として認証に成功したことを通知する（ステップＳ４０９）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１６に相当する。

このとき、ＩＤＰ用認証装置は、他のＩＤＰ（図２の第２のＩＤＰ４０に相当）の発行した正規ＩＤＰ−ＩＤＰ間のセッション７１を識別する情報をステップＳ４０６の処理にて受け取る。そして、ＩＤＰ用認証装置は、この正規ＩＤＰ−ＩＤＰ間のセッション７１を識別する情報を保管するとともに、この正規ＩＤＰ−ＩＤＰ間のセッション７１に対応して新たにＳＰ−ＩＤＰ間のセッション７２を割り当て、このＳＰ−ＩＤＰ間のセッション７２を識別する情報をステップＳ４０９の通知に合わせて、ステップＳ４０１の要求元（図２では第１のＳＰ２０に相当）に通知する。

一方、ステップＳ４０７で認証失敗の場合、または、ステップＳ４０８で認証結果を示す情報の発行元の検証に失敗した場合には、ＩＤＰ用認証装置は、ステップＳ４０１の要求元（図２では、第１のＳＰ２０に相当）に対し、認証可否情報として認証に失敗したことを通知する（ステップＳ４１０）。

この一方で、先のステップＳ４０４の処理で、ステップＳ４０１の要求がユーザの指定した他のＩＤＰによる認証の要求でない場合には、ＩＤＰ用認証装置（このとき、ＩＤＰ用認証装置を使用するＩＤＰは、図２の第２のＩＤＰ４０に相当）は、ステップＳ４１１以降の処理を行う。

まず、ＩＤＰ用認証装置は、ＩＤ、パスワード入力画面を生成し、ステップＳ４０６で受け取ったＶＡＰ５０のＶＡＰアドレスを用いてＶＡＰ５０に送付する（ステップＳ４１１）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１１に相当する。

このとき、ＩＤＰ用認証装置は、ステップＳ４０１の要求に対し、仮ＩＤＰ−ＩＤＰセッションを割り当て、この仮ＩＤＰ−ＩＤＰセッションを識別する情報をステップＳ４１１に合わせてＶＡＰ５０に送付する。

そして、ＩＤＰ用認証装置は、ユーザの入力したＩＤ、パスワードをＶＡＰ５０より受信するまで、ユーザ端末１０およびＶＡＰ５０の入力を待機する（ステップＳ４１２）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１４に相当する。次に、ＩＤＰ用認証装置は、ユーザの入力したＩＤ、パスワードがＩＤＰ用認証装置に登録済であるか否かを検証する（ステップＳ４１３）。

そして、ステップＳ４１３でユーザの入力したＩＤ、パスワードが登録済みであることを確認できた場合には、ＩＤＰ用認証装置は、ステップＳ４０１の要求元（この場合は図２の第１のＩＤＰ３０に相当）に認証成功を示す認証結果情報を通知する（ステップＳ４０９）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１５に相当する。

このとき、ＩＤＰ用認証装置は、ステップＳ４１１で割り当てた仮ＩＤＰ−ＩＤＰセッションの状態を正規ＩＤＰ−ＩＤＰセッションに変更し、正規ＩＤＰ−ＩＤＰセッションを識別する情報を、ステップＳ４０９の通知と合わせて、ステップＳ４０１の要求元（このとき、要求元は図２の第１のＩＤＰ３０に相当）に送付する。

一方、ステップＳ４１３でユーザの入力したＩＤ、パスワードが未登録である場合には、ＩＤＰ用認証装置は、認証に失敗したことをステップＳ４０１の要求元（このとき、要求元は図２の第１のＩＤＰ３０に相当）に通知する（ステップＳ４１０）。このとき、ＩＤＰ用認証装置は、上記の処理と合わせて、ステップＳ４１１で割り当てた仮ＩＤＰ−ＩＤＰセッションを無効にする。

なお、ＩＤＰ用認証装置は、図１０の説明で補足したように、ステップＳ４０４とＳ４０５との間に、ＶＡＰ５０に対し、ＩＤＰ用認証装置自身、または、ＩＤＰ用認証装置を使用しているＩＤＰがワンストップ型認証を許可する信頼関係にある他のＩＤＰの発行した正規ＩＤＰ−ＩＤＰセッションの有無を問い合わせることができる。

そして、ＩＤＰ用認証装置は、問い合わせの結果、もしもＶＡＰ５０がこのような正規ＩＤＰ−ＩＤＰセッションを保持している場合には、以降の認証処理を行わずに、ＶＡＰ５０およびユーザに直接ＳＰへのアクセス許可を与えるように構成してもよい。

これは、図１０のステップＳ１００９とＳ１０１０との間に、ＩＤＰからＶＡＰへの正規ＩＤＰ−ＩＤＰセッション問い合わせ処理と応答処理を追加することに相当する。ただし、この場合は、すでに説明した通り、図１０に示す理想的な処理の流れと比べると、図１０のステップＳ１００９とＳ１０１０との間に処理が追加される分、認証の処理効率が低下する。

次に、認証代行装置であるＶＡＰ５０の一連の処理について、フローチャートを用いて説明する。図５は、本発明の実施の形態１における認証代行装置の一連の処理を示すフローチャートである。

まず始めに、ＶＡＰ５０は、ユーザ端末１０からの処理要求を受け付ける（ステップＳ５０１）。この処理は、図１０のシーケンスにおいては、ステップＳ１００１またはＳ１００７に相当する。次に、ＶＡＰ５０は、この要求がＳＰによる利用要求であるか否かを判断する（ステップＳ５０２）。

もし、この要求が、ＳＰによる利用要求である場合には、ＶＡＰ５０は、この利用要求をＳＰへ転送する（ステップＳ５０３）。この処理は、図１０のシーケンスにおいては、ステップＳ１００２に相当する。そして、ＶＡＰ５０は、ＳＰからステップＳ５０３に対する応答を受け取る（ステップＳ５０４）。この処理は、図１０のシーケンスにおいては、ステップＳ１００５に相当する。

次に、ＶＡＰ５０は、ステップＳ５０４で受け取った応答の内容が、ユーザに対するＩＤＰによる認証要求であるか否かを判断する（ステップＳ５０５）。

そして、ユーザに対するＩＤＰによる認証要求であると判断した場合には、ＶＡＰ５０は、ユーザ端末へＩＤＰによる認証要求を転送する（ステップＳ５０６）。この処理は、図１０のシーケンスにおいては、ステップＳ１００６に相当する。

このとき、ステップＳ５０４と合わせて、ＩＤＰのリスト（ユーザが利用要求しているＳＰが依存するＩＤＰがワンストップ型認証を許可する信頼関係にある他のＩＤＰのリスト）が送付されており、ＶＡＰ５０は、ステップＳ５０６に合わせて、このＩＤＰのリストをユーザ端末１０に送る。

一方、ステップＳ５０５において、ユーザに対するＩＤＰによる認証要求でないと判断した場合には、ＶＡＰ５０は、この要求がＳＰのサービス利用可否情報の通知であることから、この通知をユーザ端末１０に送付する（ステップＳ５０７）。

この一方で、先のステップＳ５０２の処理で、ステップＳ５０１の要求がＳＰによる利用要求でない場合には、ＶＡＰ５０は、ユーザによるＩＤＰを指定しての認証実行要求であるか否かを判断する（ステップＳ５０８）。

もし、この要求が、ユーザによるＩＤＰを指定しての認証実行要求であると判断した場合には、ＶＡＰ５０は、ステップＳ５０１にてユーザが利用要求しているＳＰ（図２においては、第１のＳＰ２０に相当）へ認証実行要求を転送する（ステップＳ５０９）。この処理は、図１０のシーケンスにおいては、ステップＳ１００８に相当する。

このステップＳ５０９において、ＶＡＰ５０は、ＶＡＰ５０自身のＶＡＳアドレスを、ステップＳ５０９にて転送するメッセージに付加する。

そして、ＶＡＰ５０は、ユーザの指定したＩＤＰからのメッセージを待ち受け、ユーザの指定したＩＤＰ（図２においては、第２のＩＤＰ４０に相当）からのＩＤ、パスワード入力要求を受け取る（ステップＳ５１０）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１１に相当する。

このとき、ＶＡＰ５０は、ユーザの指定したＩＤＰ（図２においては、第２のＩＤＰ４０に相当）の割り当てた仮ＩＤＰ−ＩＤＰセッションを識別する情報を合わせて受け取り、ＶＡＰ５０内に保管する。この後、ＶＡＰ５０は、ユーザの指定したＩＤＰからのＩＤ、パスワード入力要求をユーザ端末１０に転送する（ステップＳ５１１）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１２に相当する。

一方、ステップＳ５０８において、ユーザの要求が、ユーザによるＩＤＰを指定しての認証実行要求でないと判断した場合には、ＶＡＰ５０は、ユーザがステップＳ５１１に対応して入力したＩＤ、パスワードを受け取る（ステップＳ５１２）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１３に相当する。

次に、ＶＡＰ５０は、ステップＳ５１２にて受け取ったＩＤ、パスワードをユーザの指定したＩＤＰへ転送する（ステップＳ５１３）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１４に相当する。さらに、ＶＡＰ５０は、ユーザが利用要求しているＳＰ（図２においては、第１のＳＰ２０に相当）からの処理要求を待機する。

そして、この待機中にユーザが利用要求しているＳＰ（図２においては、第１のＳＰ２０に相当）からの処理を受け取る（ステップＳ５１４）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１７に相当する。

ここで、ステップＳ５１４の要求には、ユーザが利用要求しているＳＰ（図２においては、第１のＳＰ２０に相当）の提供しているサービスに対するアクセス可否情報が含まれているので、ＶＡＰ５０は、この情報をユーザ端末１０に転送する（ステップＳ５１５）。この処理は、図１０のシーケンスにおいては、ステップＳ１０１８に相当する。

また、ステップＳ５１４がユーザへのアクセス許可を含む場合には、ステップＳ５１４の処理要求には、合わせて、ＳＰの発行したＶＡＰ−ＳＰセッションを識別する情報が含まれる。このとき、ＶＡＰ５０は、ステップＳ５１０で受け取った仮ＩＤＰ−ＩＤＰセッションの状態を正規ＩＤＰ−ＩＤＰセッションに変更し、合わせて正規ＩＤＰ−ＩＤＰセッションをステップＳ５１４で受け取ったＶＡＰ−ＳＰセッションと関連付けて保管する。

なお、ステップＳ５１４がユーザへのアクセス拒否情報を含む場合、ＶＡＰ５０は、ステップＳ５１０で受け取った仮ＩＤＰ−ＩＤＰセッションを破棄する。

さらに、ＶＡＰ５０は、図５の処理フローに加えて、ステップＳ５０９とＳ５１０との間に、ユーザの指定したＩＤＰ（図２においては、第２のＩＤＰ４０に相当）より、ユーザの指定したＩＤＰ自身またはユーザの指定したＩＤＰがワンストップ型認証を許可する信頼関係にある他のＩＤＰの発行した正規ＩＤＰ−ＩＤＰセッションの有無に関する問い合わせを受けることができる。

そして、ＶＡＰ５０は、このような正規ＩＤＰ−ＩＤＰセッションの有無を、ユーザの指定したＩＤＰに対して応答するように構成してもよい。

これは、図１０のステップＳ１００９とＳ１０１０との間に、ＩＤＰからＶＡＰへの正規ＩＤＰ−ＩＤＰセッション問い合わせ処理と応答処理を追加することに相当する。ただし、この場合は、すでに説明した通り、図１０に示す理想的な処理の流れと比べると、図１０のステップＳ１００９とＳ１０１０との間に処理が追加される分、認証の処理効率が低下する。

なお、以上の説明では、ユーザの認証に必要な情報として、ＩＤ、パスワードを想定して説明したが、実際の認証システムおよび認証装置においては、ＩＤ、パスワードに限らず、例えば、電子証明書などのユーザを認証するための情報を用いることができる。

また、本発明における図２の認証システムにおいて、ユーザが第２のＩＤＰ４０の認証結果に基づき第１のＳＰ２０を利用しているときに、第２のＩＤＰ４０の同一の認証結果に基づき第２のＳＰ６０のサービス利用許可を受けるときの処理の流れは、例えば、図１４と同様に構成することができる。

このとき、本発明におけるＩＤＰ用認証装置は、例えば、ＶＡＰを識別する情報をキーとして、ＩＤＰ用認証装置を使用しているＩＤＰ（図２の第２のＩＤＰ４０に相当）の発行済みの正規ＩＤＰ−ＩＤＰセッションを検索できるように構成しておく。そして、本発明にかかるＶＡＰは、例えば、図１４のステップＳ１４０２、Ｓ１４０３において、ＶＡＰ５０を識別する情報を付加するように構成することができる。

これにより、図１４において、ユーザが認証を受けようとするＩＤＰ（図２の第２のＩＤＰ４０に相当）は、ステップＳ１４０３でＶＡＰ５０の識別情報を受け取り、この情報をキーとして、ＩＤＰ（図２の第２のＩＤＰ４０に相当）の発行済みの正規ＩＤＰ−ＩＤＰセッションを検索し、ユーザおよびＶＡＰ５０がＩＤＰ自身により認証済みであることを知ることができる。

この結果、ＩＤＰは、ユーザおよびＶＡＰ５０がＩＤＰ自身により認証済みであることを示す認証結果情報を発行することができる。

あるいは、図１４において、ステップＳ１４０３とＳ１４０４との間に、第２のＩＤＰ４０がＶＡＰ５０から正規ＩＤＰ−ＩＤＰセッションを受け取る構成とすることもできる。図６は、本発明の実施の形態１の認証システムにおける正規ＩＤＰ−ＩＤＰセッションを受け取る構成を有する処理シーケンスの一例である。図６の処理シーケンスでは、図１４の処理シーケンスに対して、ステップＳ６０１、Ｓ６０２の処理が追加されている。

図６に示すように、第２のＩＤＰ４０からＶＡＰ５０に対し、ＩＤＰ（図２の第２のＩＤＰ４０に相当）の発行した正規ＩＤＰ−ＩＤＰセッションを直接問い合わせ（ステップＳ６０１）、ＶＡＰ５０より応答を受け取る（ステップＳ６０２）構成にしてもよい。ただし、この場合は、図１４に示すシーケンスと比べて、ＩＤＰとＶＡＰによる応答処理が入る分、認証性能が低下する。

以上のように、実施の形態１によれば、ＩＤＰ用認証装置、ＳＰ用認証装置、ＶＡＰを用いて、図２に示す認証システムを構成することにより、ＳＰ用認証装置は、認証結果に基づくセッションをＩＤＰ−ＩＤＰセッション（正規ＩＤＰ−ＩＤＰセッション）とＳＰ−ＩＤＰセッションに分けて管理できる。

これにより、第１のＳＰと第２のＳＰが同一の認証結果に基づくセッションに関する識別情報を共有しないように管理することが可能になる。この結果、ＳＰ同士が同一の認証結果に基づいてユーザになりすまし、他のＳＰのサービスを不正に利用することを防ぐ。

本発明の実施の形態１における認証システムの機能構成図である。 本発明の実施の形態１の認証システムにおけるセッションの状態を示した図である。 本発明の実施の形態１におけるＳＰ用認証装置の一連の処理を示すフローチャートである。 本発明の実施の形態１におけるＩＤＰ用認証装置の一連の処理を示すフローチャートである。 本発明の実施の形態１における認証代行装置の一連の処理を示すフローチャートである。 本発明の実施の形態１の認証システムにおける正規ＩＤＰ−ＩＤＰセッションを受け取る構成を有する処理シーケンスの一例である。 従来のワンストップ型認証システムの構成図の一例である。 従来のワンストップ型認証システムにおける処理シーケンスの一例である。 従来の認証システムの構成図の別の例である。 従来のワンストップ型認証システムにおける改善された処理シーケンスの一例である。 従来の認証システムにおける図１０の一連の処理により、ＳＰ、ＩＤＰ、ＶＡＰの間に確立されたセッションの状態を示した図である。 従来の認証システムの図１０の処理に対して、第１のＩＤＰとＶＡＰとの間の処理を追加した処理シーケンスの一例である。 従来の認証システムの構成図のさらに別の例である。 従来のワンストップ型認証システムにおける第２のＳＰへのアクセスを改善した処理シーケンスの一例である。 従来の認証システムにおける図１４の一連の処理により、ＳＰ、ＩＤＰ、ＶＡＰの間に確立されたセッションの状態を示した図である。

符号の説明

１０ ユーザ端末、２０ 第１のＳＰ、２１ ＳＰ用認証装置（サービスプロバイダ用の認証装置）、３０ 第１のＩＤＰ、３１ ＩＤＰ用認証装置（第１の認証サービスプロバイダ用の認証装置）、４０ 第２のＩＤＰ、４１ ＩＤＰ用認証装置（第２の認証サービスプロバイダ用の認証装置）、５０ 認証代行装置（ＶＡＰ）、６０ 第２のＳＰ、６１ ＳＰ用認証装置（サービスプロバイダ用の認証装置）、７１、７２、７３、８１ セッション。

Claims (3)

1. ユーザ認証処理を中継する主体である認証代行装置およびインターネットを経由したユーザ端末からの利用要求に応じてサービスを提供するサービスプロバイダにより、ユーザ認証を行う際に使用され、前記サービスの提供を許可するに当たり前記利用要求に基づく認証処理を制御する第１の認証サービスプロバイダと、
   前記第１の認証サービスプロバイダからの要求に応じて、前記サービスの提供を許可するに当たり認証処理を制御する第２の認証サービスプロバイダと
   に共通して用いられる認証装置であって、
   前記第２の認証サービスプロバイダとして動作する場合には、
   前記認証代行装置のアドレス情報を含む認証要求を前記第１の認証サービスプロバイダから受信した際に、前記第１の認証サービスプロバイダと前記第２の認証サービスプロバイダとの間のセッションを仮ＩＤＰ−ＩＤＰセッションとして割り当てる機能と、
   前記アドレス情報に基づいて前記認証代行装置に、前記認証要求に応じた認証用入力情報および前記仮ＩＤＰ−ＩＤＰセッションを識別する情報を送信する機能と、
   前記認証用入力情報に対応したユーザＩＤを、前記認証代行装置を介して前記ユーザ端末から受信する機能と、
   受信した前記ユーザＩＤと、あらかじめ記憶してある認証用ＩＤとの比較による認証結果情報を生成し、認証に成功した場合には、前記仮ＩＤＰ−ＩＤＰセッションを正規ＩＤＰ−ＩＤＰセッションに変更し、前記認証結果情報および前記正規ＩＤＰ−ＩＤＰセッションを識別する情報を前記第１の認証サービスプロバイダに送信し、認証に失敗した場合には、前記仮ＩＤＰ−ＩＤＰセッションを無効にして以降の処理を行わない機能と
   を備え、
   前記第１の認証サービスプロバイダとして動作する場合には、
   前記認証代行装置のアドレス情報を含む認証要求を前記第２の認証サービスプロバイダに送信する機能と、
   前記第２の認証サービスプロバイダによる認証が成功した際に、前記第２の認証サービスプロバイダから前記認証結果情報および前記正規ＩＤＰ−ＩＤＰセッションを識別する情報を受信する機能と、
   前記正規ＩＤＰ−ＩＤＰセッションを識別する情報に関連付けて、前記サービスプロバイダと前記第１の認証サービスプロバイダとの間のセッションをＳＰ−ＩＤＰセッションとして割り当て、前記正規ＩＤＰ−ＩＤＰセッションと前記ＳＰ−ＩＤＰセッションとをそれぞれ関連付けて管理する機能と、
   前記サービスプロバイダに、前記認証結果情報および前記ＳＰ−ＩＤＰセッションを識別する情報を送信する機能と
   を備える
   ことを特徴とする認証装置。
2. 利用要求に応じてサービスを提供するサービスプロバイダ、前記サービスプロバイダがユーザ認証を行う際に使用する第１の認証サービスプロバイダ、およびユーザ端末の認証用ＩＤを有し、前記第１の認証サービスプロバイダからの要求に応じて認証処理を行う第２の認証サービスプロバイダを含む認証システムと、利用要求に応じてサービスの提供を受けるユーザ端末との間に配置され、ユーザ認証処理を中継する主体となる認証代行装置であって、
   前記第２の認証サービスプロバイダにより割り当てられる前記第１の認証サービスプロバイダと前記第２の認証サービスプロバイダとの間のＩＤＰ−ＩＤＰセッションと、前記サービスプロバイダにより割り当てられる前記認証代行装置と前記サービスプロバイダとの間のＶＡＰ−ＳＰセッションとをそれぞれ関連付けて管理し、
   前記ユーザ端末による認証要求に先立って前記第１の認証サービスプロバイダと前記第２の認証サービスプロバイダとの間の仮ＩＤＰ−ＩＤＰセッションの割当てを前記第２の認証サービスプロバイダから受け、前記第２の認証サービスプロバイダによるユーザ認証成功通知を受け取った場合には、前記仮ＩＤＰ−ＩＤＰセッションを正規ＩＤＰ−ＩＤＰセッションに変更し、前記第２の認証サービスプロバイダによるユーザ認証失敗通知を受け取った場合には、前記仮ＩＤＰ−ＩＤＰセッションを無効にする
   ことを特徴とする認証代行装置。
3. 利用要求に応じてサービスを提供するサービスプロバイダ、前記サービスプロバイダがユーザ認証を行う際に使用する第１の認証サービスプロバイダ、およびユーザ端末の認証用ＩＤを有し、前記第１の認証サービスプロバイダからの要求に応じて認証処理を行う第２の認証サービスプロバイダを含む認証システムと、
   利用要求に応じてサービスの提供を受けるユーザ端末と前記認証システムとの間に配置され、ユーザ認証処理を中継する主体となる認証代行装置と
   を含み、前記ユーザ端末に割り当てられたユーザＩＤの認証結果に基づいてサービスを提供するユーザ認証方法であって、
   前記第２の認証サービスプロバイダで、前記認証代行装置のアドレス情報を含む認証要求を前記第１の認証サービスプロバイダから受信した際に、前記第１の認証サービスプロバイダと前記第２の認証サービスプロバイダとの間のセッションを仮ＩＤＰ−ＩＤＰセッションとして割り当てるステップと、
   前記アドレス情報に基づいて前記第２の認証サービスプロバイダから前記認証代行装置に、前記認証要求に応じた認証用入力情報および前記仮ＩＤＰ−ＩＤＰセッションを識別する情報を送信するステップと、
   前記認証代行装置で、前記第２の認証サービスプロバイダによって割り当てられた前記仮ＩＤＰ−ＩＤＰセッションを記憶するとともに、前記認証用入力情報に対応したユーザＩＤを前記ユーザ端末から受信するステップと、
   前記認証代行装置から前記第２の認証サービスプロバイダに、前記ユーザＩＤを送信するステップと、
   前記第２の認証サービスプロバイダで、前記ユーザＩＤと、あらかじめ記憶してある認証用ＩＤとの比較による認証結果情報を生成し、認証に成功した場合には、前記仮ＩＤＰ−ＩＤＰセッションを正規ＩＤＰ−ＩＤＰセッションに変更し、認証に失敗した場合には前記仮ＩＤＰ−ＩＤＰセッションを無効にして以降の処理を行わないステップと、
   認証に成功した場合において、前記第２の認証サービスプロバイダから前記第１の認証サービスプロバイダに、前記認証結果情報および前記正規ＩＤＰ−ＩＤＰセッションを識別する情報を送信するステップと、
   前記第１の認証サービスプロバイダで、前記正規ＩＤＰ−ＩＤＰセッションを識別する情報に関連付けて、前記サービスプロバイダと前記第１の認証サービスプロバイダとの間のセッションをＳＰ−ＩＤＰセッションとして割り当て、前記ＩＤＰ−ＩＤＰセッションと前記ＳＰ−ＩＤＰセッションとをそれぞれ関連付けて管理するステップと、
   前記第１の認証サービスプロバイダから前記サービスプロバイダに、前記認証結果情報および前記ＳＰ−ＩＤＰセッションを識別する情報を送信するステップと、
   前記サービスプロバイダで、前記ＳＰ−ＩＤＰセッションを識別する情報に関連付けて、前記認証代行装置と前記サービスプロバイダとの間のセッションをＶＡＰ−ＳＰセッションとして割り当て、前記ＳＰ−ＩＤＰセッションと前記ＶＡＰ−ＳＰセッションとをそれぞれ関連付けて管理するステップと、
   前記サービスプロバイダから前記認証代行装置に、前記認証結果情報および前記ＶＡＰ−ＳＰセッションを識別する情報を送信するステップと、
   前記認証代行装置で、認証に成功した前記認証結果情報に基づいて、先に記憶された仮ＩＤＰ−ＩＤＰセッションを正規ＩＤＰ−ＩＤＰセッションに変更し、前記正規ＩＤＰ−ＩＤＰセッションと前記ＶＡＰ−ＳＰセッションとをそれぞれ関連付けて管理するステップと、
   前記認証代行装置から前記ユーザ端末に、前記認証結果情報に基づいて利用許可情報を送信するステップと
   を備えたことを特徴とするユーザ認証方法。

Images