JP5139490B2

JP5139490B2 - サービス提供装置

Info

Publication number: JP5139490B2
Application number: JP2010207895A
Authority: JP
Inventors: 秀仁五味
Original assignee: Yahoo Japan Corp
Current assignee: Yahoo Japan Corp
Priority date: 2010-09-16
Filing date: 2010-09-16
Publication date: 2013-02-06
Anticipated expiration: 2030-09-16
Also published as: JP2012063994A

Description

本発明は、インターネット等のネットワーク上でのサービス提供に際しての認証技術に関する。

近年、オープンな分散システムの普及に伴い、ドメインの異なるシステム事業者同士が連携し、ユーザ（利用者）の認証結果情報（認証アサーション、認証証明書）を交換することでユーザの認証に伴う負荷を軽減する認証方式（認証連携）が使われてきている。

この方式では、ある認証事業者がユーザの認証を行い、その認証結果情報を他のサービス事業者に対して送付する。サービス事業者は、アクセス要求してきたユーザを直接に認証せず、認証事業者から受け取った該ユーザに関する認証アサーションの記述内容を基にして、該ユーザを間接的に認証し、アクセスに対する認可判断を行う。例えば、シングルサインオンは、この認証連携方式の一実現形態であり、ユーザは複数のサービス事業者に対して個別にパスワードを入力するなどの認証行為を軽減することができ、少ない認証行為によって複数のサービス事業者の提供するサービスを利用することができる。

特許文献１には、サービスプロバイダが自らの認証ポリシを指定してアイデンティティプロバイダに認証要求を行い、その認証ポリシに従った認証証明書を発行してもらうことで、ユーザの認証情報に対する確からしさを担保する技術が開示されている。

特表２００９−５１９５３０号公報

ところで、従来から認証事業者の信頼度を評価するモデルが提案されているが、ユーザの信頼度を評価する技術は存在しなかった。すなわち、信頼度の高い認証事業者からの認証結果情報を受け取った場合には、実際には信頼度の低いユーザであったとしても、そのユーザの信頼度を評価する手法はなく、アクセスを許可せざるを得なかった。そのため、安全な認証連携システムとは言えなかった。

本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、認証連携においてユーザの信頼度を適切に評価してアクセス制御を行うことにある。

上記の課題を解決するため、本発明にあっては、請求項１に記載されるように、外部の認証装置もしくは仲介装置から認証証明書を取得して管理する認証証明書管理手段と、取得した認証証明書に基づき、認証証明書の発行装置に対応するトラスト値、認証証明書の伝達ルートに対応するトラスト値、認証方法に対応するトラスト値、および、認証状況に対応するウエイトを定めたトラスト情報を用いて、ユーザのトラスト値を算出するトラスト値算出手段と、算出されたトラスト値に基づき、サービスに対応するトラスト値の閾値を定めたセキュリティポリシ情報を用いて、ユーザのアクセスを許可するか拒否するかを判断するアクセス制御手段と、アクセスが許可されたサービスをユーザに提供するサービス提供手段とを備えるサービス提供装置を要旨としている。

また、請求項２に記載されるように、請求項１に記載のサービス提供装置において、前記認証証明書管理手段は、前記ユーザに対応する複数の認証証明書を取得し、前記トラスト値算出手段は、前記複数の認証証明書に基づくトラスト値を算出するようにすることができる。

また、請求項３に記載されるように、サービス提供装置が、外部の認証装置もしくは仲介装置から認証証明書を取得して管理する工程と、前記サービス提供装置が、取得した認証証明書に基づき、認証証明書の発行装置に対応するトラスト値、認証証明書の伝達ルートに対応するトラスト値、認証方法に対応するトラスト値、および、認証状況に対応するウエイトを定めたトラスト情報を用いて、ユーザのトラスト値を算出する工程と、前記サービス提供装置が、算出されたトラスト値に基づき、サービスに対応するトラスト値の閾値を定めたセキュリティポリシ情報を用いて、ユーザのアクセスを許可するか拒否するかを判断する工程と、前記サービス提供装置が、アクセスが許可されたサービスをユーザに提供する工程とを備えるサービス提供制御方法として構成することができる。

また、請求項４に記載されるように、サービス提供装置を構成するコンピュータを、外部の認証装置もしくは仲介装置から認証証明書を取得して管理する手段、取得した認証証明書に基づき、認証証明書の発行装置に対応するトラスト値、認証証明書の伝達ルートに対応するトラスト値、認証方法に対応するトラスト値、および、認証状況に対応するウエイトを定めたトラスト情報を用いて、ユーザのトラスト値を算出する手段、算出されたトラスト値に基づき、サービスに対応するトラスト値の閾値を定めたセキュリティポリシ情報を用いて、ユーザのアクセスを許可するか拒否するかを判断する手段、アクセスが許可されたサービスをユーザに提供するサービス提供手段として機能させるサービス提供制御プログラムとして構成することができる。

本発明のサービス提供装置にあっては、認証連携においてユーザの信頼度を適切に評価してアクセス制御を行うことができる。

本発明の一実施形態にかかるシステムの構成例を示す図（その１）である。本発明の一実施形態にかかるシステムの構成例を示す図（その２）である。本発明の一実施形態にかかるシステムの構成例を示す図（その３）である。各種情報のデータ構造例を示す図である。各装置のハードウェア構成例を示す図である。実施形態の処理例を示すシーケンス図（その１）である。実施形態の処理例を示すシーケンス図（その２）である。実施形態の処理例を示すシーケンス図（その３）である。トラスト値の算出の手法例を示す図である。トラスト値の算出の具体例を示す図（その１）である。トラスト値の算出の具体例を示す図（その２）である。トラスト値の算出の具体例を示す図（その３）である。トラスト値の論理的考察を示す図（その１）である。トラスト値の論理的考察を示す図（その２）である。トラスト値の論理的考察を示す図（その３）である。トラスト値の論理的考察を示す図（その４）である。トラスト値の論理的考察を示す図（その５）である。トラスト値の論理的考察を示す図（その６）である。トラスト値の論理的考察を示す図（その７）である。トラスト値の論理的考察を示す図（その８）である。トラスト値の論理的考察を示す図（その９）である。トラスト値の論理的考察を示す図（その１０）である。トラスト値の論理的考察を示す図（その１１）である。トラスト値の論理的考察を示す図（その１２）である。トラスト値の論理的考察を示す図（その１３）である。トラスト値の論理的考察を示す図（その１４）である。トラスト値の論理的考察を示す図（その１５）である。トラスト値の論理的考察を示す図（その１６）である。

以下、本発明の好適な実施形態につき説明する。

＜構成＞
図１〜図３は本発明の一実施形態にかかるシステムの構成例を示す図である。

図１は認証装置が１つの場合の例であり、クライアント端末１とサービス提供装置２と認証装置３Ａとがインターネット等のネットワークにより相互にデータ通信が可能となっている。

図２は認証装置が２つの場合の例であり、クライアント端末１とサービス提供装置２と認証装置３Ａ、３Ｂとがインターネット等のネットワークにより相互にデータ通信が可能となっている。

図３は認証装置が１つで仲介装置が設けられた場合の例であり、クライアント端末１とサービス提供装置２と認証装置３Ａと仲介装置４とがインターネット等のネットワークにより相互にデータ通信が可能となっている。

図１〜図３において、クライアント端末１は、ユーザＵにより操作されるＰＣ（Personal Computer）、携帯端末等である。クライアント端末１は、一般的なＷｅｂブラウザ（図示せず）を備えており、インターネットの標準プロトコルであるＨＴＴＰ（Hyper Text Transfer Protocol）等に従い、ＨＴＭＬ（Hyper Text Markup Language）等の言語で記述されたページデータの要求・取得・表示およびフォームデータの送信等をサービス提供装置２や認証装置３Ａ、３Ｂとの間で行う。

サービス提供装置２は、クライアント端末１からアクセスしてきたユーザＵにつき、認証装置３Ａ、３Ｂの発行する認証証明書（仲介装置４により仲介される場合を含む）に基づいて信頼できるか否かを判断し、信頼できると判断した場合に所定のサービスを提供するサーバ装置である。

サービス提供装置２は、認証証明書管理部２１とトラスト値算出部２２とアクセス制御部２３とサービス提供部２４と認証証明書格納部２５とトラスト情報格納部２６とセキュリティポリシ情報格納部２７とログ情報格納部２８とを備えている。

認証証明書管理部２１は、認証装置３Ａ、３Ｂもしくは仲介装置４から認証証明書を取得し、認証証明書格納部２５に格納して管理する機能を有している。図４（ａ）は認証証明書のデータ構造例を示しており、証明書発行装置、ユーザ情報、認証方法、認証日時、ルート情報等の項目を有している。証明書発行装置は、認証証明書を発行した認証装置を特定する情報である。ユーザ情報は、認証証明書の認証対象となるユーザを特定する情報である。認証方法は、認証の種別（例えば、パスワード認証、指紋認証等の認証メソッド）を特定する情報である。認証日時は、認証が行われた日時（日付と時刻）を示す情報である。ルート情報は、認証証明書が伝播してきた装置を示す情報である。

図１〜図３に戻り、トラスト値算出部２２は、認証証明書管理部２１が取得した認証証明書（認証証明書格納部２５から取得した場合を含む）に基づき、トラスト情報格納部２６に格納されたトラスト情報を用いて、ユーザＵの信頼度を示すトラスト値を算出する機能を有している。図４（ｂ）はトラスト情報のデータ構造例を示しており、認証方法トラスト値取得テーブル、装置トラスト値取得テーブル、ウエイト取得テーブル等を含んでいる。認証方法トラスト値取得テーブルは、認証方法、トラスト値等の項目を有している。装置トラスト値取得テーブルは、装置／ルート、トラスト値等の項目を有している。ウエイト取得テーブルは、状況、ウエイト等の項目を有している。状況とは、認証時刻からどれだけ経過しているか、過去のアクセス履歴がどれだけあるか、認証証明書が経由するパスの深さ（装置間パスの数）はどれだけあるか等の適用条件を示す。なお、最終的に算出したトラスト値を認証証明書と対応付けてトラスト情報の一部として格納してもよい。

図１〜図３に戻り、アクセス制御部２３は、算出されたトラスト値に基づき、セキュリティポリシ情報格納部２７に格納されたセキュリティポリシ情報を用いて、ユーザＵのアクセスを許可するか拒否するかを判断してアクセス制御を行う機能を有している。図４（ｃ）はセキュリティポリシ情報のデータ構造例を示しており、サービス、閾値等の項目を有している。サービスは提供するサービス（例えば、参照、更新等）を意味しており、閾値はそのサービスを提供するために必要なトラスト値の下限を意味している。

図１〜図３に戻り、サービス提供部２４は、トラスト値算出部２２がアクセスを許可すると判断した所定のサービスをクライアント端末１のユーザＵに提供する機能を有している。サービス提供部２４は提供したサービスの履歴をログ情報格納部２８に格納する機能も有している。図４（ｄ）はログ情報のデータ構造例を示しており、サービス、ユーザ情報、提供日時等の項目を有している。サービスは、提供したサービスを特定する情報である。ユーザ情報は、サービスを提供したユーザを特定する情報である。提供日時は、サービスを提供した日時である。

一方、図１〜図３に戻り、認証装置３Ａ、３Ｂは、クライアント端末１のユーザＵを直接に認証し、認証証明書を発行するサーバ装置である。

認証装置３Ａ、３Ｂは、ユーザ情報管理部３１Ａ、３１Ｂと認証部３２Ａ、３２Ｂと
認証証明書管理部３３Ａ、３３Ｂとユーザ情報格納部３４Ａ、３４Ｂと認証証明書格納部３５Ａ、３５Ｂとを備えている。

ユーザ情報管理部３１Ａ、３１Ｂは、認証を行うために必要なユーザ情報を事前の登録により受け付け、ユーザ情報格納部３４Ａ、３４Ｂに格納して管理する機能を有している。図４（ｅ）はユーザ情報のデータ構造例を示しており、ユーザＩＤ、パスワード、指紋特徴情報等の項目を有している。ユーザＩＤは、認証対象のユーザを特定する情報である。パスワードは、認証方法がパスワード認証である場合における正規のパスワードの情報である。指紋特徴情報は、認証方法が指紋認証である場合における指紋の特徴を示す情報である。

図１〜図３に戻り、認証部３２Ａ、３２Ｂは、ユーザＵからの認証要求時に、認証方法に応じた入力（ユーザＩＤ、パスワード、指紋特徴情報等の入力）をユーザＵに求め、ユーザ情報格納部３４Ａ、３４Ｂに格納された情報と照合（突合）して認証を行い、同一性が確認された場合に認証証明書を発行する機能を有している。発行された認証証明書は認証証明書格納部３５Ａ、３５Ｂに格納される。認証証明書のデータ構造例は図４（ａ）に示したものと同様である。

図１〜図３に戻り、認証証明書管理部３３Ａ、３３Ｂは、後段のサービス提供装置２もしくは仲介装置４から認証証明書の要求を受けた場合（プル型）に、認証証明書格納部３５Ａ、３５Ｂに格納された認証証明書を後段のサービス提供装置２もしくは仲介装置４に送信し、前段のユーザＵの操作するクライアント端末１からサービス提供要求と認証証明書の送付を要求された場合（プッシュ型）に、後段のサービス提供装置２もしくは仲介装置４にサービス提供要求と認証証明書を送信する機能を有している。ユーザＵからの要求により、認証時に指定されたサービス提供装置２もしくは仲介装置４に認証証明書を送信してもよい。

図３において、仲介装置４は、認証装置３Ａの発行した認証証明書を中継するサーバ装置である。

仲介装置４は、認証証明書管理部４１と認証証明書格納部４２とを備えている。

認証証明書管理部４１は、後段のサービス提供装置２から認証証明書の要求を受けた場合（プル型）に、前段の認証装置３Ａから取得した認証証明書もしくは認証証明書格納部４２に格納された認証証明書を後段のサービス提供装置２に送信し、前段の認証装置３Ａからサービス提供要求と認証証明書の送付を要求された場合（プッシュ型）に、後段のサービス提供装置２にサービス提供要求と認証証明書を送信する機能を有している。ユーザＵからの要求がある場合、認証時に指定されたサービス提供装置２に認証証明書を送信してもよい。認証証明書管理部４１は、取得した認証証明書を認証証明書格納部４２に格納する機能も有している。

なお、ユーザＵの認証に着目しているため、サービス提供装置２、認証装置３Ａ、３Ｂ、仲介装置４の相互間の認証の仕組については図示を省略してある。実際には、装置の正当性を示す証明書を交換することで相互に認証を行っている。

図５は各装置のハードウェア構成例を示す図である。

図５において、各装置（クライアント端末１、サービス提供装置２、認証装置３Ａ、３Ｂ、仲介装置４）は、システムバス９１に接続されたＣＰＵ９２、ＲＯＭ９３、ＲＡＭ９４、ＮＶＲＡＭ（Non-Volatile Random Access Memory）９５、Ｉ／Ｆ（Interface）９６と、Ｉ／Ｆ９６に接続された、キーボード、マウス、モニタ、ＣＤ／ＤＶＤ（Compact Disk/Digital Versatile Disk）ドライブ等のＩ／Ｏ（Input/Output Device）９７、ＨＤＤ９８、ＮＩＣ（Network Interface Card）９９を備えている。Ｍはプログラムもしくはデータが格納されたＣＤ／ＤＶＤ等のメディア（記録媒体）である。なお、各装置は単体のコンピュータ装置で構成される必要はなく、複数のコンピュータ装置による複合装置であってもよい。

＜動作＞
図６は図１に示した実施形態の処理例を示すシーケンス図である。

図６において、クライアント端末１のユーザＵは、認証装置３Ａにより認証を行う（ステップＳ１０１）。例えば、パスワード認証の場合、ユーザＵはクライアント端末１からユーザＩＤとパスワードを入力し、指紋認証の場合、ユーザＵはクライアント端末１からユーザＩＤと指紋特徴情報を入力する。そして、認証装置３Ａの認証部３２Ａは、ユーザ情報格納部３４Ａに格納されたユーザ情報と照合して認証を行い、同一性が確認された場合に認証証明書を発行して認証証明書格納部３５Ａに格納する。

その後、クライアント端末１はサービス提供装置２に対してサービス提供要求を行う（ステップＳ１０２）。なお、ここではプル型の場合を想定している。プッシュ型の場合、ユーザＵはクライアント端末１から認証装置３Ａに対してサービス提供要求（サービス提供装置２を特定する情報を伴う）を行い、認証装置３Ａの認証証明書管理部３３Ａは後段のサービス提供装置２にサービス提供要求と認証証明書を送信することとなる。ユーザＵからの要求により、認証時に指定されたサービス提供装置２に認証証明書を送信する場合もある。

サービス提供要求を受けたサービス提供装置２の認証証明書管理部２１は、サービス提供要求で指定された認証装置３Ａもしくはサービス提供装置２側で予め設定された認証装置３Ａの情報に基づき、認証装置３Ａに対して認証証明書を要求する（ステップＳ１０３）。プッシュ型等で認証証明書を受け取った場合は認証証明書の要求は行わない。

これに応じ、認証装置３Ａの認証証明書管理部３３Ａは、認証証明書格納部３５Ａから認証証明書を取得してサービス提供装置２に送信する（ステップＳ１０４）。

認証証明書を受け取ったサービス提供装置２の認証証明書管理部２１は、認証証明書をトラスト値算出部２２に引き渡し、トラスト値算出部２２は、取得した認証証明書に基づき、トラスト情報格納部２６に格納されたトラスト情報を用いて、ユーザＵの信頼度を示すトラスト値を算出する（ステップＳ１０５）。トラスト値の算出の詳細については後述する。

次いで、アクセス制御部２３は、算出されたトラスト値に基づき、セキュリティポリシ情報格納部２７に格納されたセキュリティポリシ情報を用いて、ユーザＵのアクセスを許可するか拒否するか判断してアクセス制御を行う（ステップＳ１０６）。すなわち、ユーザＵから要求されるサービスと算出されたトラスト値に基づいてセキュリティポリシ情報（図４（ｃ））を参照し、サービスに対応付けられた閾値をトラスト値が超えている場合にはアクセスを許可し、超えない場合はアクセスを拒否する。図４（ｃ）の例では、例えばトラスト値が「０．６」の場合、参照は許可するが、更新は拒否する。

図６に戻り、アクセスが許可された場合、ユーザＵはクライアント端末１によりサービス提供装置２からサービス提供を受ける（ステップＳ１０７）。

図７は図２に示した実施形態の処理例を示すシーケンス図である。

図７において、クライアント端末１のユーザＵは、認証装置３Ａにより認証を行い（ステップＳ２０１）、認証装置３Ｂでも認証を行う（ステップＳ２０２）。例えば、認証装置３Ａではパスワード認証を行い、認証装置３Ｂでは指紋認証を行う。認証装置３Ａ、３Ｂの認証部３２Ａ、３２Ｂは、ユーザ情報格納部３４Ａ、３４Ｂに格納されたユーザ情報と照合して認証を行い、同一性が確認された場合に認証証明書を発行して認証証明書格納部３５Ａ、３５Ｂに格納する。

その後、クライアント端末１はサービス提供装置２に対してサービス提供要求を行う（ステップＳ２０３）。なお、ここではプル型の場合を想定している。プッシュ型の場合、ユーザＵはクライアント端末１から認証装置３Ａ、３Ｂに対してサービス提供要求（サービス提供装置２を特定する情報を伴う）を行い、認証装置３Ａ、３Ｂの認証証明書管理部３３Ａ、３３Ｂは後段のサービス提供装置２にサービス提供要求と認証証明書を送信することとなる。ユーザＵからの要求により、認証時に指定されたサービス提供装置２に認証証明書を送信する場合もある。

サービス提供要求を受けたサービス提供装置２の認証証明書管理部２１は、サービス提供要求で指定された認証装置３Ａ、３Ｂもしくはサービス提供装置２側で予め設定された認証装置３Ａ、３Ｂの情報に基づき、認証装置３Ａ、３Ｂに対して認証証明書を要求する（ステップＳ２０４、Ｓ２０５）。プッシュ型等で認証証明書を受け取った場合は認証証明書の要求は行わない。

これに応じ、認証装置３Ａ、３Ｂの認証証明書管理部３３Ａ、３３Ｂは、認証証明書格納部３５Ａ、３５Ｂから認証証明書を取得してサービス提供装置２に送信する（ステップＳ２０６、Ｓ２０７）。

認証証明書を受け取ったサービス提供装置２の認証証明書管理部２１は、２つの認証証明書をトラスト値算出部２２に引き渡し、トラスト値算出部２２は、取得した２つの認証証明書に基づき、トラスト情報格納部２６に格納されたトラスト情報を用いて、ユーザＵの信頼度を示すトラスト値を算出する（ステップＳ２０８）。トラスト値の算出の詳細については後述する。

次いで、アクセス制御部２３は、算出されたトラスト値に基づき、セキュリティポリシ情報格納部２７に格納されたセキュリティポリシ情報を用いて、ユーザＵのアクセスを許可するか拒否するか判断してアクセス制御を行う（ステップＳ２０９）。

アクセスが許可された場合、ユーザＵはクライアント端末１によりサービス提供装置２からサービス提供を受ける（ステップＳ２１０）。

図８は図３に示した実施形態の処理例を示すシーケンス図である。

図８において、クライアント端末１のユーザＵは、認証装置３Ａにより認証を行う（ステップＳ３０１）。

その後、クライアント端末１はサービス提供装置２に対してサービス提供要求を行う（ステップＳ３０２）。なお、ここではプル型の場合を想定している。プッシュ型の場合、ユーザＵはクライアント端末１から認証装置３Ａに対してサービス提供要求（サービス提供装置２を特定する情報を伴う）を行い、認証装置３Ａの認証証明書管理部３３Ａは後段の仲介装置４にサービス提供要求と認証証明書を送信することとなる。ユーザＵからの要求により、認証時に指定された仲介装置４に認証証明書を送信する場合もある。これらの場合、仲介装置４はサービス提供要求と認証証明書をサービス提供装置２に送信する。

サービス提供要求を受けたサービス提供装置２の認証証明書管理部２１は、サービス提供要求で指定された仲介装置４もしくはサービス提供装置２側で予め設定された仲介装置４の情報に基づき、仲介装置４に対して認証証明書を要求する（ステップＳ３０３）。

これに応じ、仲介装置４の認証証明書管理部４１は、必要に応じて認証装置３Ａから認証証明書を取得し（ステップＳ３０４、Ｓ３０５）もしくは認証証明書格納部４２から認証証明書を取得し、サービス提供装置２に送信する（ステップＳ３０６）。

認証証明書を受け取ったサービス提供装置２の認証証明書管理部２１は、認証証明書をトラスト値算出部２２に引き渡し、トラスト値算出部２２は、取得した認証証明書に基づき、トラスト情報格納部２６に格納されたトラスト情報を用いて、ユーザＵの信頼度を示すトラスト値を算出する（ステップＳ３０７）。トラスト値の算出の詳細については後述する。

次いで、アクセス制御部２３は、算出されたトラスト値に基づき、セキュリティポリシ情報格納部２７に格納されたセキュリティポリシ情報を用いて、ユーザＵのアクセスを許可するか拒否するか判断してアクセス制御を行う（ステップＳ３０８）。

アクセスが許可された場合、ユーザＵはクライアント端末１によりサービス提供装置２からサービス提供を受ける（ステップＳ３０９）。

図９はトラスト値の算出（図６のステップＳ１０５、図７のステップＳ２０８、図８のステップＳ３０７）の手法例を示す図である。

先ず、ユーザＵ（クライアント端末１）、サービス提供装置２、認証装置３Ａ、３Ｂ、仲介装置４等の個々をエンティティとして抽象化した場合、各エンティティ間のトラスト（信頼関係）には、アイデンティティトラスト（Identity Trust）と証明トラスト（Attestation Trust）と仲介トラスト（Mediation Trust）とがある。

アイデンティティトラストとは、エンティティのアイデンティティが、そのエンティティ当人あるいは他のエンティティが主張するアイデンティティと同一である確からしさである（trust⁽ⁱ⁾(p,q)：エンティティｐから見たエンティティｑのアイデンティティトラスト）。

証明トラストとは、エンティティが受け手が必要な情報を正確に作成し、それを適切な形式にて証明し、前記受け手に安全に送付する能力に対する確からしさである（Trust^(a)(p,q,x)：情報ｘに基づく、エンティティｐから見たエンティティｑの証明トラスト）。

仲介トラストとは、エンティティが、他のエンティティによって作成された情報の正確性や信頼度を検証し、改竄することなく受け手に安全に送付する能力に対する確からしさである（Trust^(m)(p,q,x)：情報ｘに基づく、エンティティｐから見たエンティティｑの仲介トラスト）。

アイデンティティトラストに基づくエンティティ間のトラストは、ダイレクトトラスト（Direct Trust）と呼ばれる。証明トラストもしくは仲介トラストに基づくエンティティ間のトラストは、プロパゲーショントラスト（Propagation Trust）と呼ばれる。図９（後述する図１０〜図１２も同様）ではダイレクトトラストを矢印付きの実線で示し、プロパゲーショントラストを矢印付きの破線で示している。矢印の元が信頼する側（Trustor）のエンティティ、矢印の先が信頼される側（Trustee）のエンティティである。

図９（ａ）は、エンティティｑが仲介役（Mediator）である場合に、エンティティｐからエンティティｑへのプロパゲーショントラストのトラスト値がｖ_１、エンティティｑからエンティティｒへのプロパゲーショントラストのトラスト値がｖ_２である場合に、エンティティｐからエンティティｒへのプロパゲーショントラストのトラスト値が、
ｖ_１・ｖ_２
で表わされることを示している。

図９（ｂ）は、エンティティｑが証明役（Attester）である場合に、エンティティｐからエンティティｑへのプロパゲーショントラストのトラスト値がｖ_１、エンティティｑからエンティティｒへのダイレクトトラストのトラスト値がｖ_２である場合に、エンティティｐからエンティティｒへのダイレクトトラストのトラスト値が、
１−（１−ｖ_２）^ｖ１
で表わされることを示している。

図９（ｃ）は、エンティティｐからエンティティｕへのダイレクトトラストがＮ個あり、それぞれのトラスト値がｖ_１〜ｖ_Ｎである場合に、エンティティｐからエンティティｕへのダイレクトトラストのトラスト値が、ウエイトｗとトラスト値ｖを乗じたものの総和で表わされることを示している。図９（ａ）（ｂ）で求めたトラスト値が両端のエンティティ間のものである場合、図９（ｃ）の算出式におけるＮを「１」としてウエイトｗを適用し、最終的なトラスト値が求められる。

図９（ａ）（ｂ）（ｃ）の手法を組み合わせることで、認証証明書の流れのあらゆるパターンにおけるトラスト値を算出することができる。特に、認証証明書を複数受け取る場合や、認証証明書が中継される場合や、多要素認証を実施する場合にも対応することができる。

図１０はトラスト値の算出の具体例を示す図であり、図１に示した１つの認証装置３Ａが設けられた場合の例である。エンティティＰはサービス提供装置２に相当し、エンティティＡは認証装置３Ａに相当し、エンティティＵはクライアント端末１のユーザＵに相当する。

サービス提供装置２のトラスト値算出部２２は、認証証明書管理部２１から取得した認証証明書（図４（ａ））の証明書発行装置とルート情報と認証方法から、図１０（ａ）の関係を認識する。すなわち、エンティティＡは証明役であり、エンティティＰからエンティティＡにプロパゲーショントラストがあり、エンティティＡからエンティティＵにパスワード認証に基づくダイレクトトラストがあることを認識する。

次いで、トラスト値算出部２２は、認証証明書（図４（ａ））の証明書発行装置とルート情報から、トラスト情報（図４（ｂ））の装置トラスト値取得テーブルを参照して、エンティティＡ（装置「Ａ」）に対応するトラスト値「０．９」を取得する。また、トラスト値算出部２２は、認証証明書（図４（ａ））の認証方法（ここでは「パスワード認証」）から、トラスト情報（図４（ｂ））の認証方法トラスト値取得テーブルを参照して、エンティティＡとエンティティＵの間のトラスト値「０．６」を取得する。この状態を示したのが図１０（ｂ）である。

次いで、トラスト値算出部２２は、図９（ｂ）の手法を適用し、
１−（１−０．６）^０．９＝０．５６
をエンティティＰとエンティティＵの間のトラスト値として算出する。この状態を示したのが図１０（ｃ）である。

そして、トラスト値算出部２２は、認証証明書（図４（ａ））の認証日時等を参照し、例えば、その認証日時が現時点よりも１時間未満であるとすると、トラスト情報（図４（ｂ））のウエイト取得テーブルを参照して、ウエイトＷ「１．０」を取得し、１経路のため同じ値の平均的なウエイトｗ「１．０」とし、図９（ｃ）の手法を適用して、
１．０×０．５６＝０．５６
をエンティティＰとエンティティＵの間の最終的なトラスト値として算出する。この状態を示したのが図１０（ｄ）である。

図１１はトラスト値の算出の具体例を示す図であり、図２に示した２つの認証装置３Ａ、３Ｂが設けられた場合の例である。エンティティＰはサービス提供装置２に相当し、エンティティＡは認証装置３Ａに相当し、エンティティＢは認証装置３Ｂに相当し、エンティティＵはクライアント端末１のユーザＵに相当する。

サービス提供装置２のトラスト値算出部２２は、認証証明書管理部２１から取得した認証証明書（図４（ａ））の証明書発行装置とルート情報と認証方法から、図１１（ａ）の関係を認識する。すなわち、エンティティＡ、Ｂは証明役であり、エンティティＰからエンティティＡ、Ｂにプロパゲーショントラストがあり、エンティティＡからエンティティＵにパスワード認証に基づくダイレクトトラストがあり、エンティティＢからエンティティＵに指紋認証に基づくダイレクトトラストがあることを認識する。

次いで、トラスト値算出部２２は、認証証明書（図４（ａ））の証明書発行装置とルート情報から、トラスト情報（図４（ｂ））の装置トラスト値取得テーブルを参照して、エンティティＡについてはトラスト値「０．９」を取得し、エンティティＢについてはトラスト値「０．９」を取得する。また、トラスト値算出部２２は、認証証明書（図４（ａ））の認証方法（ここでは、エンティティＡについては「パスワード認証」、エンティティＢについては「指紋認証」）から、トラスト情報（図４（ｂ））の認証方法トラスト値取得テーブルを参照して、エンティティＡとエンティティＵの間についてはトラスト値「０．６」を取得し、エンティティＢとエンティティＵの間についてはトラスト値「０．９」を取得する。この状態を示したのが図１１（ｂ）である。

次いで、トラスト値算出部２２は、Ｐ→Ａ→ＵとＰ→Ｂ→Ｕのそれぞれについて図９（ｂ）の手法を適用し、
１−（１−０．６）^０．９＝０．５６
１−（１−０．９）^０．９＝０．８７
をそれぞれのトラスト値として算出する。この状態を示したのが図１１（ｃ）である。

そして、トラスト値算出部２２は、認証証明書（図４（ａ））の認証日時等を参照し、例えば、認証日時がエンティティＡ、Ｂの両者とも現時点よりも１時間未満であるとすると、トラスト情報（図４（ｂ））のウエイト取得テーブルを参照して、ウエイトＷ「１．０」を取得し、２経路の平均的なウエイトｗ「０．５」「０．５」を算出し、図９（ｃ）の手法を適用して、
０．５×０．５６＋０．５×０．８７＝０．７２
をエンティティＰとエンティティＵの間の最終的なトラスト値として算出する。この状態を示したのが図１１（ｄ）である。

図１２はトラスト値の算出の具体例を示す図であり、図３に示した一つの認証装置３Ａと仲介装置４が設けられた場合の例である。エンティティＰはサービス提供装置２に相当し、エンティティＣは仲介装置４に相当し、エンティティＡは認証装置３Ａに相当し、エンティティＵはクライアント端末１のユーザＵに相当する。

サービス提供装置２のトラスト値算出部２２は、認証証明書管理部２１から取得した認証証明書（図４（ａ））の証明書発行装置とルート情報と認証方法から、図１２（ａ）の関係を認識する。すなわち、エンティティＣは仲介役であり、エンティティＡは証明役であり、エンティティＰからエンティティＣにプロパゲーショントラストがあり、エンティティＣからエンティティＡにプロパゲーショントラストがあり、エンティティＡからエンティティＵにパスワード認証に基づくダイレクトトラストがあることを認識する。

次いで、トラスト値算出部２２は、認証証明書（図４（ａ））の証明書発行装置とルート情報から、トラスト情報（図４（ｂ））の装置トラスト値取得テーブルを参照して、エンティティＣについてはトラスト値「０．９」を取得し、エンティティＣとエンティティＡの間についてはトラスト値「０．９」を取得する。また、トラスト値算出部２２は、認証証明書（図４（ａ））の認証方法（ここでは「パスワード認証」）から、トラスト情報（図４（ｂ））の認証方法トラスト値取得テーブルを参照して、エンティティＡとエンティティＵの間のトラスト値「０．６」を取得する。この状態を示したのが図１２（ｂ）である。

次いで、トラスト値算出部２２は、Ｐ→Ｃ→Ａについて図９（ａ）の手法を適用し、
０．９×０．９＝０．８１
をトラスト値として算出する。この状態を示したのが図１２（ｃ）である。

次いで、トラスト値算出部２２は、図１２（ｃ）のＰ→Ａ→Ｕについて図９（ｂ）の手法を適用し、
１−（１−０．６）^０．８１＝０．５２
をエンティティＰとエンティティＵの間のトラスト値として算出する。この状態を示したのが図１２（ｄ）である。

そして、トラスト値算出部２２は、認証証明書（図４（ａ））の認証日時等を参照し、例えば、認証日時が現時点よりも１時間未満であるとすると、トラスト情報（図４（ｂ））のウエイト取得テーブルを参照して、ウエイトＷ「１．０」を取得し、１経路のため同じ値の平均的なウエイトｗ「１．０」とし、図９（ｃ）の手法を適用して、
１．０×０．５２＝０．５２
をエンティティＰとエンティティＵの間の最終的なトラスト値として算出する。この状態を示したのが図１２（ｅ）である。

図１３〜図２８は上述したトラスト値の論理的考察を示す図である。

＜応用例＞
図１〜図３に示したサービス提供装置２のトラスト値算出部２２において、ユーザＵからの要求に応じ、認証証明書格納部２５に格納された当該ユーザＵの認証証明書に基づいて、認証装置と認証方法と仲介装置の組み合わせ毎のトラスト値を算出し、サービスとの関係で適切な認証装置と認証方法と仲介装置とを提示し、その中からユーザＵに選択させるようにすることができる。

＜総括＞
以上説明した実施形態によれば、次のような利点がある。
（１）サービス事業者は、安全な認証連携システムを構築することができる。その理由は、ユーザの認証結果に対する確からしさを定量的に導出することができるからである。
（２）サービス事業者は、低コストで安全な認証連携システムを構築することができる。その理由は、上記（１）の安全な認証連携システムを構築するのに、サービス事業者自体に新たな認証装置を必要とせず、他の認証業者の認証システムを利用することができるからである。
（３）サービス事業者は安全にアクセス制御を行うことができる。その理由は、複数の認証業者や多要素認証をサポートし、多段の業者を経由する認証証明書に対して、ユーザの認証に関する確からしさを正確に判定することができるからである。
（４）サービス事業者は柔軟なアクセス制御を行うことができる。その理由は、ユーザに関する認証の確からしさを判定することで、その確からしさに応じて、サービスを提供するというポリシを実施することができるからである。
（５）ユーザの認証に関する利便性を高めることができる。その理由は、サービス事業者はユーザに対して提供するサービスに適切な認証業者や認証方法を提示し、ユーザはそれらから認証業者や認証方法を選択することができるからである。

以上、本発明の好適な実施の形態により本発明を説明した。ここでは特定の具体例を示して本発明を説明したが、特許請求の範囲に定義された本発明の広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により本発明が限定されるものと解釈してはならない。

Ｕユーザ
１クライアント端末
２サービス提供装置
２１認証証明書管理部
２２トラスト値算出部
２３アクセス制御部
２４サービス提供部
２５認証証明書格納部
２６トラスト情報格納部
２７セキュリティポリシ情報格納部
２８ログ情報格納部
３Ａ、３Ｂ認証装置
３１Ａ、３１Ｂユーザ情報管理部
３２Ａ、３２Ｂ認証部
３３Ａ、３３Ｂ認証証明書管理部
３４Ａ、３４Ｂユーザ情報格納部
３５Ａ、３５Ｂ認証証明書格納部
４仲介装置
４１認証証明書管理部
４２認証証明書格納部

Claims

外部の認証装置もしくは仲介装置から認証証明書を取得して管理する認証証明書管理手段と、
取得した認証証明書に基づき、認証証明書の発行装置に対応するトラスト値、認証証明書の伝達ルートに対応するトラスト値、認証方法に対応するトラスト値、および、認証状況に対応するウエイトを定めたトラスト情報を用いて、ユーザのトラスト値を算出するトラスト値算出手段と、
算出されたトラスト値に基づき、サービスに対応するトラスト値の閾値を定めたセキュリティポリシ情報を用いて、ユーザのアクセスを許可するか拒否するかを判断するアクセス制御手段と、
アクセスが許可されたサービスをユーザに提供するサービス提供手段と
を備えたことを特徴とするサービス提供装置。
請求項１に記載のサービス提供装置において、
前記認証証明書管理手段は、前記ユーザに対応する複数の認証証明書を取得し、
前記トラスト値算出手段は、前記複数の認証証明書に基づくトラスト値を算出する
ことを特徴とするサービス提供装置。
サービス提供装置が、外部の認証装置もしくは仲介装置から認証証明書を取得して管理する工程と、
前記サービス提供装置が、取得した認証証明書に基づき、認証証明書の発行装置に対応するトラスト値、認証証明書の伝達ルートに対応するトラスト値、認証方法に対応するトラスト値、および、認証状況に対応するウエイトを定めたトラスト情報を用いて、ユーザのトラスト値を算出する工程と、
前記サービス提供装置が、算出されたトラスト値に基づき、サービスに対応するトラスト値の閾値を定めたセキュリティポリシ情報を用いて、ユーザのアクセスを許可するか拒否するかを判断する工程と、
前記サービス提供装置が、アクセスが許可されたサービスをユーザに提供する工程と
を備えたことを特徴とするサービス提供制御方法。
サービス提供装置を構成するコンピュータを、
外部の認証装置もしくは仲介装置から認証証明書を取得して管理する手段、
取得した認証証明書に基づき、認証証明書の発行装置に対応するトラスト値、認証証明書の伝達ルートに対応するトラスト値、認証方法に対応するトラスト値、および、認証状況に対応するウエイトを定めたトラスト情報を用いて、ユーザのトラスト値を算出する手段、
算出されたトラスト値に基づき、サービスに対応するトラスト値の閾値を定めたセキュリティポリシ情報を用いて、ユーザのアクセスを許可するか拒否するかを判断する手段、
アクセスが許可されたサービスをユーザに提供するサービス提供手段
として機能させるサービス提供制御プログラム。