JP5282229B2 - サービス提供システム、改ざんチェック方法および改ざんチェックプログラム - Google Patents

Description

本発明は、サービス提供システム、改ざんチェック方法および改ざんチェックプログラムに関する。

従来、利用者がサービス提供者のサービス提供サーバにアクセスする場合、図６に示すように、利用者側の利用者端末から当該サービス提供サーバにおける提供者管理ＩＤとパスワードとにより、本人認証を行った後、サービス提供サーバに直接アクセスすることが一般的であった。

図６は、従来のサービス提供システムにおけるサービス提供動作を説明するためのシステム構成図であり、利用者Ａは、利用者Ａ本人用の端末Ｔ１を利用して、サービス提供者が運営するサービス提供サーバＳ１に対して処理要求を送信する際のサービス提供サーバ側の動作を示している。ここで、サービス提供サーバＳ１とは、例えば、非特許文献１に記載のように、社会保険庁が運営する「年金個人情報提供サービス」の「年金加入記録照会」用のサービスを提供しているサーバ等が相当している。

図６において、サービス提供サーバＳ１には、端末Ｔ１と通信を行う通信手段Ｓ１１、通信相手の本人認証を行う本人認証手段Ｓ１２、通信相手からの処理要求を受け付ける処理要求受付手段Ｓ１３、受け付けた処理要求に応じた処理を行う情報処理手段Ｓ１４が備えられている。本人認証手段Ｓ１２に備えたサービス用本人認証テーブルＳ１２ａには、利用者ごとに本人認証用の提供者管理ＩＤとパスワードとがあらかじめ設定登録されており、端末Ｔ１からの処理要求を受信した際に、本人認証手段Ｓ１２は、該処理要求に付されている提供者管理ＩＤとパスワードとの組合せが、サービス用本人認証テーブルＳ１２ａに登録されているか否かを検索することにより、正当な利用者からの処理要求であるか否かを検証する。

本人認証手段Ｓ１２による認証が得られた場合には、受け付けた処理要求に関する処理を情報処理手段Ｓ１４において実施する。

社会保険庁ホームページ"年金個人情報提供サービス−年金加入記録照会"，ＵＲＬ：https://www3.idpass-net.sia.go.jp/neko/action/z0401、2009.04

しかしながら、前述したようなサービス提供サーバへのアクセス方法においては、サービス提供サーバにおける提供者管理ＩＤとパスワード等の認証情報が第三者に盗まれた場合、第三者が利用者本人に成りすましてサービス提供サーバにアクセスし、利用者本人にとって不利益となるようなデータの書換えや消去などが行われる場合が発生する。

つまり、前述のようなアクセス制御方法では、サービス提供サーバでは提供者管理ＩＤとパスワード等の認証情報のみによって、真の利用者本人か否かを確認しているだけであるため、サービス提供サーバは、真の利用者本人がアクセスしているのか、あるいは、第三者が利用者本人への成りすましによりアクセスしているのか、ということを判別することができないという問題があった。

本発明は、かかる問題に鑑みてなされたものであり、本発明が解決しようとする課題は、第三者が利用者本人に成りすまして当該利用者本人のデータを改ざんすることを容易にチェックすることが可能なサービス提供システム、改ざんチェック方法および改ざんチェックプログラムを提供することにある。

本発明は、前述の課題を解決するために、以下のごとき各技術手段から構成されている。

第１の技術手段は、利用者本人のデータに関する処理要求を当該利用者本人の利用者端末から電子私書箱サーバに送信し、該電子私書箱サーバが該処理要求を当該利用者本人のデータを保存しているサービス提供サーバに送信することにより、該サービス提供サーバにおいて当該利用者本人のデータに関して該処理要求に応じた情報処理を実行して、情報処理結果として、前記電子私書箱サーバを介して、前記処理要求の送信元の前記利用者端末に返送するサービス提供システムであって、前記電子私書箱サーバは、前記利用者端末から送信されてきた前記処理要求と前記サービス提供サーバから返送されてくる前記情報処理結果とを関連付けて、アクセス履歴として記録する履歴情報保存手段を備え、利用者本人の前記利用者端末から当該利用者本人のデータの改ざんの有無を確認する情報参照要求が、前記電子私書箱サーバに送信されてきた場合、前記電子私書箱サーバは、前記サービス提供サーバに該情報参照要求を送信することにより、前記サービス提供サーバに保存されている当該利用者本人のデータおよび該データに対するアクセス履歴を情報参照結果として返送させて、返送されてきた該情報参照結果に含まれる利用者本人に関するデータ内容を前記履歴情報保存手段に記録されている前記アクセス履歴として保存されている利用者本人に関するデータの処理結果と比較することにより、前記サービス提供サーバに保存されている当該利用者本人のデータの改ざんの有無をチェックし、チェック結果を、前記情報参照要求の送信元の前記利用者端末に返送することを特徴とする。

第２の技術手段は、前記第１の技術手段に記載のサービス提供システムにおいて、利用者本人が使用する前記利用者端末と前記電子私書箱サーバとの間の通信開始時に、前記利用者端末と前記電子私書箱サーバとの間で、ＰＫＩ（Personal Key Infrastructure）認証方式による相互認証を実施することを特徴とする。

第３の技術手段は、前記第２の技術手段に記載のサービス提供システムにおいて、利用者本人の公開鍵証明書および秘密鍵を記録したＩＣカードを当該利用者が前記利用者端末に装着することにより、前記利用者端末は、前記電子私書箱サーバとの間の相互認証を実施することを特徴とする。

第４の技術手段は、前記第１ないし第３の技術手段のいずれかに記載のサービス提供システムにおいて、前記サービス提供サーバは、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求に付されている利用者本人を特定するための利用者ＩＤとして当該サービス提供サーバが付与している提供者管理ＩＤおよびそのパスワードに基づいて、本人認証を行うか、あるいは、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求の送受信時に、当該電子私書箱サーバとの間で相互認証を行うとともに、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求に付されている前記提供者管理ＩＤにより利用者本人を識別することを特徴とする。

第５の技術手段は、前記第１ないし第４の技術手段のいずれかに記載のサービス提供システムにおいて、前記サービス提供システムは、前記情報処理結果および／または前記情報参照結果に当該サービス提供サーバの署名を付して前記電子私書箱サーバへ返送し、前記電子私書箱サーバは、署名付きの前記情報処理結果および／または前記情報参照結果を受信した際に、該署名を検証することを特徴とする。

第６の技術手段は、利用者本人のデータに関する処理要求を当該利用者本人の利用者端末から電子私書箱サーバに送信し、該電子私書箱サーバが該処理要求を当該利用者本人のデータを保存しているサービス提供サーバに送信することにより、該サービス提供サーバにおいて当該利用者本人のデータに関して該処理要求に応じた情報処理を実行して、情報処理結果として、前記電子私書箱サーバを介して、前記処理要求の送信元の前記利用者端末に返送する場合における前記サービス提供サーバに保存されている利用者本人のデータの改ざんをチェックする改ざんチェック方法であって、前記電子私書箱サーバは、前記利用者端末から送信されてきた前記処理要求と前記サービス提供サーバから返送されてくる前記情報処理結果とを関連付けて、アクセス履歴として記録し、利用者本人の前記利用者端末から当該利用者本人のデータの改ざんの有無を確認する情報参照要求が、前記電子私書箱サーバに送信されてきた場合、前記電子私書箱サーバは、前記サービス提供サーバに該情報参照要求を送信することにより、前記サービス提供サーバに保存されている当該利用者本人のデータおよび該データに対するアクセス履歴を情報参照結果として返送させて、返送されてきた該情報参照結果に含まれる利用者本人に関するデータ内容を当該電子私書箱サーバに記録されている前記アクセス履歴として保存されている利用者本人に関するデータの処理結果と比較することにより、前記サービス提供サーバに保存されている当該利用者本人のデータの改ざんの有無をチェックし、チェック結果を、前記情報参照要求の送信元の前記利用者端末に返送することを特徴とする。

第７の技術手段は、前記第６の技術手段に記載の改ざんチェック方法において、利用者本人が使用する前記利用者端末と前記電子私書箱サーバとの間の通信開始時に、前記利用者端末と前記電子私書箱サーバとの間で、ＰＫＩ（Personal Key Infrastructure）認証方式による相互認証を実施することを特徴とする。

第８の技術手段は、前記第７の技術手段に記載の改ざんチェック方法において、利用者本人の公開鍵証明書および秘密鍵を記録したＩＣカードを当該利用者が前記利用者端末に装着することにより、前記利用者端末は、前記電子私書箱サーバとの間の相互認証を実施することを特徴とする。

第９の技術手段は、前記第６ないし第８の技術手段のいずれかに記載の改ざんチェック方法において、前記サービス提供サーバは、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求に付されている利用者本人を特定するための利用者ＩＤとして当該サービス提供サーバが付与している提供者管理ＩＤおよびそのパスワードに基づいて、本人認証を行うか、あるいは、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求の送受信時に、当該電子私書箱サーバとの間で相互認証を行うとともに、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求に付されている前記提供者管理ＩＤにより利用者本人を識別することを特徴とする。

第１０の技術手段は、前記第６ないし第９の技術手段のいずれかに記載の改ざんチェック方法を、コンピュータによって実行可能なプログラムとして実施している改ざんチェックプログラムとすることを特徴とする。

本発明のサービス提供システム、改ざんチェック方法および改ざんチェックプログラムによれば、利用者本人の利用者端末からのサービス提供サーバのデータに対する処理要求および該サービス提供サーバから該利用者端末に返送する情報処理結果を必ず利用者本人用の電子私書箱サーバを経由させるとともに、電子私書箱サーバ側に、前記処理要求と前記情報処理結果とを関連付けてアクセス履歴として記録保存し、任意の時点で、該アクセス履歴とサービス提供サーバに保存されている利用者本人のデータとを比較して改ざんの有無をチェックする仕組みを備えるようにしているので、以下のごとき効果を奏することができる。

第１に、電子私書箱サーバに備えた前述のような改ざんの有無をチェックする仕組みを利用することにより、サービス提供サーバにおける利用者本人のＩＤおよびパスワードを、利用者本人から教示された代理人または不法に取得した第三者が、当該サービス提供サーバにアクセスして、利用者本人の契約情報等のデータを不正に書き換えたりしたとしても、利用者本人は、電子私書箱サーバに情報参照要求を送信するだけで、電子私書箱サーバにアクセス履歴として記録保存されている履歴情報を参照して、サービス提供サーバの利用者本人のデータと比較して、改ざんの有無を通知してもらうことができるので、改ざんされたことを容易に確認することができる。

第２に、個人に関わる情報を取り扱うサービス提供サーバでは、一般に、誰がどの情報にアクセスしたかの履歴を収集する機能を備えていることから、既存のサービス提供サーバに新たな機能を追加することなく、そのままの状態で、電子私書箱サーバに備えた前述のような改ざんの有無をチェックする仕組みを利用することにより、サービス提供サーバに保存されているデータに改ざんが発生しているか否かをチェックすることができる。

第３に、サービス提供サーバが、利用者本人の利用者ＩＤおよびパスワードといった簡単な本人認証方式を採用していても、利用者本人が使用する利用者端末と電子私書箱サーバとの間にＰＫＩ認証方式などを利用した強固な相互認証方式を採用することにより、相互認証用の情報を有していない第三者等は、電子私書箱サーバ経由でサービス提供サーバにアクセスすることができないので、電子私書箱サーバにサービス提供サーバへのアクセス履歴として保存されている履歴情報が不正に改ざんされることがない。すなわち、サービス提供サーバのセキュリティの高低の如何に依存することなく、安全に、アクセス履歴を管理することができ、より確実に、サービス提供サーバのデータに関する改ざんチェックを行うことができる。

第４に、サービス提供サーバにおいてデータ管理ミス等が生じて、データが改ざんされたとしても、電子私書箱サーバにアクセス履歴として記録保存されている履歴情報を参照して、改ざんの有無をチェックすることができる。

本発明に係るサービス提供システムのシステム構成の一例を示す構成図である。 図１に示すサービス提供システムにおいて利用者からの処理要求に応じて情報処理を行う動作の一例を示すシーケンスチャートである。 図１に示すサービス提供システムにおいて利用者からの情報参照要求に応じて改ざんチェック処理を行う動作の一例を示すシーケンスチャートである。 図１に示すサービス提供システムにおいて利用者からの処理要求に応じて情報処理を行う動作の他の例を示すシーケンスチャートである。 図１に示すサービス提供システムにおいて利用者からの情報参照要求に応じて改ざんチェック処理を行う動作の他の例を示すシーケンスチャートである。 従来のサービス提供システムにおけるサービス提供動作を説明するためのシステム構成図である。

以下に、本発明に係るサービス提供システム、改ざんチェック方法および改ざんチェックプログラムの好適な実施形態について、その一例を、図面を参照しながら詳細に説明する。なお、以下の説明においては、本発明によるサービス提供システムおよび改ざんチェック方法について説明するが、かかる改ざんチェック方法をコンピュータにより実行可能な改ざんチェックプログラムとして実施するようにしても良いし、さらに、かかる改ざんチェックプログラムをコンピュータにより読み取り可能な記録媒体に記録するようにしても良いことは言うまでもない。

（本発明の特徴）
本発明の実施形態の説明に先立って、本発明の特徴についてその概要をまず説明する。本発明は、利用者本人がサービス提供サーバに当該利用者本人のデータに関する処理要求を行う際に、必ず、電子私書箱サーバを経由して処理要求を行うようにするとともに、当該処理要求を受け付けた電子私書箱サーバに、当該処理要求（利用者本人のデータの追加や変更や削除等の処理をサービス提供サーバに要求した内容）および情報処理結果（サービス提供サーバにおいて処理要求が正常に実施されたか否かを示す情報）をサービス提供サーバへのアクセス履歴として記録し保存することにより、第三者がサービス提供サーバ上の当該利用者本人のデータを不正に改ざんした場合に、その改ざんのチェックを可能とすることにより、第三者によるデータの改ざんの発生を防止可能とすることを主要な特徴としている。

つまり、本発明は、利用者が利用者端末からサービス提供サーバに処理要求を行う場合は、当該利用者用の電子私書箱サーバを必ず経由し、かつ、サービス提供サーバにおいて該処理要求に応じて実施した情報処理の結果を必ず当該電子私書箱サーバを経由して利用者端末に返送することにより、電子私書箱サーバに当該利用者端末からサービス提供サーバへのすべてのアクセス履歴（当該利用者端末からの処理要求とサービス提供サーバにおける情報処理結果）を保存している。ここで、利用者端末と電子私書箱サーバとの間は、ＰＫＩ（Public Key Infrastructure）認証方式を用いた強固な相互認証処理が適用されており、第三者が利用者本人に成りすまして、利用者端末から電子私書箱サーバにアクセスしようとしても、アクセスすることができない。

したがって、第三者へサービス提供サーバにおける利用者の提供者管理ＩＤとパスワード等の認証情報とが漏洩し、第三者がサービス提供サーバ側へのアクセスに必要となる当該利用者の提供者管理ＩＤ（サービス提供サーバで使用する利用者ＩＤ）とパスワード等の認証情報とを用いて、サービス提供サーバに直接アクセスして、当該利用者のデータを改ざんする事態が発生した場合であっても、電子私書箱サーバには、第三者により改ざんされていない、利用者本人の処理要求と情報処理結果とがアクセス履歴として記録・保存されているので、電子私書箱サーバ内のアクセス履歴として記録・保存されている利用者のデータとサービス提供サーバの利用者のデータおよび該データに対するアクセス履歴とを比較することにより、当該利用者のデータの改ざんを容易にチェックすることができる。

（本発明のシステム構成例）
次に、本発明に係るサービス提供システムの実施形態について説明する。まず、本発明に係るサービス提供システムのシステム構成例について説明する。

図１は、本発明に係るサービス提供システムのシステム構成の一例を示す構成図であり、利用者Ａ本人が使用する利用者端末である利用者Ａ本人用端末Ｔ１、利用者Ａ側のポータルサイト等に設置された利用者Ａ本人用の電子私書箱サーバＰ１、サービス提供者１用のサービス提供サーバＳ１、サービス提供者２用のサービス提供サーバＳ２、サービス提供者３用のサービス提供サーバＳ３等が、ネットワークを介して互いに接続されている。

（利用者端末）
利用者Ａ本人用端末Ｔ１は、利用者Ａ本人が使用する利用者端末であり、利用者Ａからサービス提供サーバＳ１，Ｓ２，Ｓ３に保存されている当該利用者Ａ本人のデータに関する指定した処理要求を受け取った際に、利用者Ａ本人用の電子私書箱サーバＰ１に対して、利用者Ａ本人のデータに関する処理要求を送信し、電子私書箱サーバＰ１から返送されてくる情報処理結果を受信して利用者Ａ本人に提示する端末である。

ここで、利用者Ａ本人用端末Ｔ１は、当該利用者Ａが所持するＩＣカードＣ１を装着して、該ＩＣカードＣ１に記録されている利用者Ａの公開鍵証明書および秘密鍵と利用者Ａの私書箱管理ＩＤ（つまり電子私書箱サーバＰ１における利用者Ａの識別用ＩＤ：“ＩＤ−Ａ”）とを読み取ることにより、電子私書箱サーバＰ１との通信が可能になる。なお、電子私書箱サーバＰ１との通信開始時に、電子私書箱サーバＰ１との間で、利用者Ａの公開鍵証明書および秘密鍵を用いてＰＫＩ（Public Key Infrastructure）認証方式による強固な相互認証を行う。而して、ＩＣカードＣ１を所持する利用者Ａ本人のみが、利用者Ａ本人用端末Ｔ１から、電子私書箱サーバＰ１に対してアクセスすることができる。

（電子私書箱サーバ）
電子私書箱サーバＰ１は、利用者Ａ本人が使用する利用者端末つまり利用者Ａ本人用端末Ｔ１からのサービス提供サーバＳ１，Ｓ２，Ｓ３に対する処理要求を受け付けて、アクセス履歴として記録保存するとともに、該処理要求にて指定されたサービス提供サーバ例えばサービス提供サーバＳ１に該処理要求を転送し、しかる後、該サービス提供サーバ例えばサービス提供サーバＳ１における情報処理結果を受け取って、前記処理要求と関連付けて、前記アクセス記録として記録保存するとともに、該情報処理結果を要求元の利用者端末つまり利用者Ａ本人用端末Ｔ１に返送する。

このため、電子私書箱サーバＰ１は、図１に示すように、利用者端末つまり利用者Ａ本人用端末Ｔ１と通信を行う通信手段Ｐ１１ａ、サービス提供サーバＳ１，Ｓ２，Ｓ３と通信を行う通信手段Ｐ１１ｂ、通信開始時に利用者Ａ本人用端末Ｔ１との間で相互認証を行う認証手段Ｐ１２、利用者Ａ本人用端末Ｔ１からの処理要求を通信手段Ｐ１１ａを介して受け付ける処理要求受付手段Ｐ１３、サービス提供サーバＳ１，Ｓ２，Ｓ３へ通信手段Ｐ１１ｂを介して処理要求を送信したり、サービス提供サーバＳ１，Ｓ２，Ｓ３からの情報処理結果を要求元の利用者Ａ本人用端末Ｔ１へ返送したりする処理を行う処理要求手段Ｐ１４を備えている。

なお、認証手段Ｐ１２は、利用者Ａ本人用端末Ｔ１との間の相互認証を行うために使用する電子私書箱公開鍵証明書および秘密鍵と、利用者Ａ本人用端末Ｔ１の利用者Ａの電子私書箱サーバＰ１用の利用者ＩＤ（私書箱管理ＩＤ）“ＩＤ−Ａ”とを少なくとも登録している私書箱情報テーブルＰ１２ａを備えている。

さらに、電子私書箱サーバＰ１は、処理要求手段Ｐ１４が扱っている処理要求（利用者Ａ本人のデータの追加や変更や削除等の処理をサービス提供サーバＳ１，Ｓ２，Ｓ３に要求した処理内容）と情報処理結果（サービス提供サーバＳ１，Ｓ２，Ｓ３において処理要求が正常に実施されたか否かを示す情報）とをアクセス履歴として記録保存する履歴情報保存手段Ｐ１５、任意の時点で、利用者Ａ本人用端末Ｔ１からの情報参照要求を受け取った際に、履歴情報保存手段Ｐ１５に記録保存されている利用者Ａ本人のアクセス履歴とサービス提供サーバＳ１，Ｓ２，Ｓ３から転送されてきた利用者Ａ本人のデータとを利用者情報チェック手段Ｐ１８に転送し、利用者情報チェック手段Ｐ１８からのチェック結果を情報参照結果として利用者Ａ本人用端末Ｔ１へ提供する情報提供手段Ｐ１６を備えている。

さらに、電子私書箱サーバＰ１は、サービス提供サーバＳ１，Ｓ２，Ｓ３への処理要求に付す提供者管理ＩＤとパスワードとを認証情報として保存する認証情報保存手段Ｐ１７、履歴情報保存手段Ｐ１５に記録保存されている利用者Ａ本人のアクセス履歴とサービス提供サーバＳ１，Ｓ２，Ｓ３から受け取った利用者Ａ本人のデータとを比較することにより、サービス提供サーバＳ１，Ｓ２，Ｓ３の利用者Ａ本人のデータの改ざんの有無をチェックする利用者情報チェック手段Ｐ１８、サービス提供サーバＳ１，Ｓ２，Ｓ３との通信開始時にサービス提供サーバＳ１，Ｓ２，Ｓ３との間で相互認証を行う相互認証手段Ｐ１９ａ、サービス提供サーバＳ１，Ｓ２，Ｓ３からの情報に付与された署名を検証するための署名検証手段Ｐ１９ｂを備えている。

ここで、認証情報保存手段Ｐ１７は、サービス提供サーバＳ１，Ｓ２，Ｓ３に処理要求を行う利用者本人を認証するために必要な情報として、各サービス提供サーバＳ１，Ｓ２，Ｓ３それぞれにおいて利用者本人を特定するための提供者管理ＩＤ（利用者ＩＤ）とその認証情報であるパスワードとの組合せを保存している。

なお、相互認証手段Ｐ１９ａは、サービス提供サーバＳ１，Ｓ２，Ｓ３との間で相互認証を行う場合に備えられ、相互認証を行わない場合には削除される。また、署名検証手段Ｐ１９ｂは、サービス提供サーバＳ１，Ｓ２，Ｓ３から送信されてくる情報にサービス提供サーバＳ１，Ｓ２，Ｓ３の署名が付与される場合には、該署名を検証するために備えられ、署名が付与されない場合には削除される。

（各サービス提供サーバ）
また、各サービス提供者１，２，３，…それぞれが運営するサービス提供サーバＳ１，Ｓ２，Ｓ３，…等のサービス提供サーバは、当該サービス提供者が提供するサービスを利用する利用者に関するデータを保存している。

そして、利用者Ａ本人用の電子私書箱サーバＰ１から利用者Ａ本人のデータに関する処理要求を受信し、該処理要求に指定されている利用者Ａ本人に関するデータを処理して、情報処理結果として要求元の電子私書箱サーバＰ１に返送する。

また、処理要求を受信した際に、該処理要求の送信元の電子私書箱サーバＰ１との間で相互認証を行い、相互認証結果として正当な電子私書箱サーバＰ１からの処理要求であるものと判定した場合に、該処理要求を受け付けるように動作することも可能である。

このため、各サービス提供サーバ例えばサービス提供サーバＳ１は、電子私書箱サーバＰ１と通信を行う通信手段Ｓ１１、電子私書箱サーバＰ１を介して送信されてくる処理要求に付されている認証情報（提供者管理ＩＤおよびパスワード）に基づいて、該処理要求の利用者Ａ本人を認証する本人認証手段Ｓ１２、電子私書箱サーバＰ１を介して送信されてくる利用者Ａ本人用端末Ｔ１からの処理要求を受け付ける処理要求受付手段Ｓ１３、処理要求に応じた利用者Ａ本人のデータを処理する情報処理手段Ｓ１４、処理要求の送信元の電子私書箱サーバＰ１との間で相互認証を行う相互認証手段Ｓ１５、電子私書箱サーバＰ１へ送信する情報に署名を付与する署名付与手段Ｓ１６を少なくとも備えている。

ここで、情報処理手段Ｓ１４は、利用者Ａ本人のデータに対して何らかのアクセスがあった場合には、アクセス履歴を記録する手段を有している。また、本人認証手段Ｓ１２は、処理要求を送信した利用者Ａ本人を認証するために必要な情報としてサービス用本人認証テーブルＳ１２ａを備えており、本人を特定するための提供者管理ＩＤとそのパスワードとの組合せを保存している。

また、相互認証手段Ｓ１５は、電子私書箱サーバＰ１との間で相互認証を行う場合に備えられ、相互認証を行わない場合には削除される。また、署名付与手段Ｓ１６は、電子私書箱サーバＰ１へ送信する情報にサービス提供サーバＳ１の署名を付与する場合には備えられ、署名を付与しない場合には削除される。

なお、図１に図示しているように、サービス提供サーバＳ２、サービス提供サーバＳ３の各サービス提供サーバについても、サービス提供サーバＳ１の場合と全く同様の構成からなっているが、以下の動作説明には必要がないので、ここでの詳細な説明は省略する。

（本発明に係るサービス提供システムの動作例）
次に、図１に示したシステム提供システムの動作の一例について、図２ないし図５に示すシーケンスチャートを用いて説明する。なお、以下の説明においては、利用者Ａの利用者端末つまり利用者Ａ本人用端末Ｔ１から、サービス提供サーバＳ１，Ｓ２，Ｓ３のうち、サービス提供サーバＳ１に対して処理要求が送信され、サービス提供サーバＳ１において情報処理された結果が情報処理結果として利用者Ａ本人用端末Ｔ１に返送されてくる場合について説明する。ここに、図２ないし図５に示す各シーケンスチャートは、本発明に係るサービス提供方法の一例を示すものでもある。

図２は、図１に示すサービス提供システムにおいて利用者からの処理要求に応じて情報処理を行う動作の一例を示すシーケンスチャートであり、サービス提供サーバＳ１が、提供者管理ＩＤ（利用者ＩＤ）とパスワードとを利用して本人認証を行うことにより、利用者からの処理要求に応じた情報処理を行う動作の一例を示している。

また、図３は、図１に示すサービス提供システムにおいて利用者からの情報参照要求に応じて改ざんチェック処理を行う動作の一例を示すシーケンスチャートであり、提供者管理ＩＤとパスワードとを利用して本人認証を行うことにより、サービス提供サーバＳ１が、処理要求に応じた情報処理を行った場合の情報処理結果に関する改ざんの有無を、電子私書箱サーバＰ１においてチェックする動作の一例を示している。

また、図４は、図１に示すサービス提供システムにおいて利用者からの処理要求に応じて情報処理を行う動作の他の例を示すシーケンスチャートであり、電子私書箱サーバＰ１とサービス提供サーバＳ１との間で本人認証の代わりに相互認証を行うとともに、サービス提供サーバＳ１が、提供者管理ＩＤ（利用者ＩＤ）を利用した本人識別を行うことにより、処理要求に応じた情報処理を行う動作の一例を示している。

また、図５は、図１に示すサービス提供システムにおいて利用者からの情報参照要求に応じて改ざんチェック処理を行う動作の他の例を示すシーケンスチャートであり、電子私書箱サーバＰ１とサービス提供サーバＳ１との間で本人認証の代わりに相互認証を行うとともに、サービス提供サーバＳ１が、提供者管理ＩＤ（利用者ＩＤ）を利用した本人識別を行うことにより、処理要求に応じた情報処理を行った場合の情報処理結果に関する改ざんの有無を、電子私書箱サーバＰ１においてチェックする動作の一例を示している。

（提供者管理ＩＤ（利用者ＩＤ）とパスワードとを利用する本人認証を行う場合の動作シーケンス例）
まず、図２のシーケンスチャートを用いて、サービス提供サーバＳ１が、電子私書箱サーバＰ１からの提供者管理ＩＤ（利用者ＩＤ）とパスワードとを利用して本人認証を行うことにより、処理要求に応じた情報処理を行う場合の動作の一例について説明する。

図２において、利用者Ａからサービス提供者１のサービス提供サーバＳ１に対する利用者Ａ本人のデータに関する処理要求が利用者Ａ本人用端末Ｔ１に入力されると（シーケンスＳｅｑ１）、利用者Ａ本人用端末Ｔ１は、サービス提供サーバＳ１に、直接、入力された処理要求を送信することはしないで、当該利用者Ａ本人用の電子私書箱サーバＰ１に対して、利用者Ａから入力された処理要求を送信する（シーケンスＳｅｑ２）。該処理要求を通信手段Ｐ１１ａを介して処理要求受付手段Ｐ１３により受信した電子私書箱サーバＰ１は、認証手段Ｐ１２を起動して、送信元の利用者Ａ本人用端末Ｔ１に対して、私書箱管理ＩＤを記録しているＩＣカードＣ１の装着を指示するとともに、本人認証情報の入力を指示する認証要求を送信する（シーケンスＳｅｑ３）。

該認証要求を受信した利用者Ａ本人用端末Ｔ１は、指示に従って、利用者Ａの私書箱管理ＩＤ“ＩＤ−Ａ”、公開鍵証明書および秘密鍵を少なくとも記録しているＩＣカードＣ１の装着を促す案内を利用者Ａに対して行うことにより、ＩＣカードＣ１を装着させて（シーケンスＳｅｑ４）、ＩＣカードＣ１に記録されている私書箱管理ＩＤ“ＩＤ−Ａ”、公開鍵証明書および秘密鍵を読み取るとともに、利用者Ａ本人の認証情報の入力を促す。利用者Ａ本人の認証情報としては、例えば、指紋等のバイオメトリクス情報やパスワード等である。利用者Ａ本人は、当該利用者Ａ本人の認証情報（バイオメトリクス情報やパスワード等）を入力する（シーケンスＳｅｑ５）。

利用者Ａ本人用端末Ｔ１は、入力された利用者Ａ本人の認証情報の検証を行い、正当な利用者Ａ本人であることを確認すると、利用者Ａ本人用端末Ｔ１は、認証要求の送信元の電子私書箱サーバＰ１との間で、公開鍵証明書、秘密鍵を用いたＰＫＩ（Public Key Infrastructure、公開鍵基盤）認証方式による強固な相互認証処理を行うとともに、電子私書箱サーバＰ１に対して、利用者Ａ本人の私書箱管理ＩＤ“ＩＤ−Ａ”を送信する（シーケンスＳｅｑ６）。

利用者Ａ本人の私書箱管理ＩＤ“ＩＤ−Ａ”を受信した電子私書箱サーバＰ１は、処理要求手段Ｐ１４を起動して、認証情報保存手段Ｐ１７に保存されている認証情報の中から、私書箱管理ＩＤ“ＩＤ−Ａ”の利用者に関する本人認証用の情報を検索する。次いで、検索した“ＩＤ−Ａ”の利用者に関する本人認証用の情報の中から、先に受信した処理要求に指定されているサービス提供者のサービス提供サーバ例えばサービス提供者１のサービス提供サーバＳ１にアクセスするための提供者管理ＩＤおよび認証情報（パスワード等）例えば提供者管理ＩＤ“ＩＤ１−０２”およびパスワード“１２３４”を抽出して、該処理要求に付して、通信手段Ｐ１１ｂにより、サービス提供サーバ例えばサービス提供サーバＳ１に送信する（シーケンスＳｅｑ７）。

提供者管理ＩＤ“ＩＤ１−０２”およびパスワード“１２３４”が付された電子私書箱サーバＰ１からの処理要求を通信手段Ｓ１１を介して処理要求受付手段Ｓ１３により受信したサービス提供サーバＳ１は、本人認証手段Ｓ１２を起動して、該処理要求に付されている提供者管理ＩＤ“ＩＤ１−０２”およびパスワード“１２３４”が、サービス用本人認証テーブルＳ１２ａに登録されているか否かを確認することにより、利用者Ａの本人認証を行う。

本人認証手段Ｓ１２による利用者Ａ本人の認証が得られた場合は、処理要求受付手段Ｓ１３は、情報処理手段Ｓ１４を起動して、受信した処理要求に応じて、利用者Ａ本人のデータに関する処理を実施し、該データの情報処理結果を作成する。ここで、情報処理手段Ｓ１４によって実施される処理としては、利用者Ａ本人に関するデータの追加、変更、削除、読出し、および、アクセス履歴の記録等である。

情報処理手段Ｓ１４により作成された情報処理結果を受け取った処理要求受付手段Ｓ１３は、署名付与手段Ｓ１６を起動して、情報処理結果に対してサービス提供サーバＳ１用の署名を付与して、電子私書箱サーバＰ１に対して、書名付きの情報処理結果を返送する（シーケンスＳｅｑ８）。

なお、場合によっては、サービス提供サーバＳ１から電子私書箱サーバＰ１に送信する情報処理結果にサービス提供サーバＳ１用の署名を付与しないようにしても良い。かかる場合は、サービス提供サーバＳ１には、署名付与手段Ｓ１６を備える必要はない。

サービス提供サーバＳ１から署名付きの情報処理結果を通信手段Ｐ１１ｂを介して処理要求手段Ｐ１４により受信した電子私書箱サーバＰ１は、署名検証手段Ｐ１９ｂを起動して、当該情報処理結果の署名を検証する。しかる後、履歴情報保存手段Ｐ１５に当該情報処理結果を処理要求と関連付けてアクセス履歴として記録保存する。

さらに、処理要求手段Ｐ１４は、当該情報処理結果を、通信手段Ｐ１１ａにより、処理要求の送信元の利用者Ａ本人用端末Ｔ１へ返送する（シーケンスＳｅｑ９）。

電子私書箱サーバＰ１から送信されてきた情報処理結果を受信した利用者Ａ本人用端末Ｔ１は、受信した情報処理結果を表示して、利用者Ａ本人に提示する。

次に、図３のシーケンスチャートを用いて、サービス提供サーバＳ１が、電子私書箱サーバＰ１からの提供者管理ＩＤ（利用者ＩＤ）とパスワードとを利用して本人認証を行うことにより、処理要求に応じた情報処理を行った場合の情報処理結果に関する改ざんの有無を、電子私書箱サーバＰ１においてチェックする動作の一例について説明する。

図３において、利用者Ａからサービス提供者１のサービス提供サーバＳ１における利用者Ａ本人のデータに関する情報参照要求が利用者Ａ本人用端末Ｔ１に入力されると（シーケンスＳｅｑ１１）、利用者Ａ本人用端末Ｔ１は、サービス提供サーバＳ１に、直接、入力された処理要求を送信することはしないで、当該利用者Ａ本人用の電子私書箱サーバＰ１に対して、利用者Ａから入力された情報参照要求を送信する（シーケンスＳｅｑ１２）。該情報参照要求を通信手段Ｐ１１ａを介して情報提供手段Ｐ１６により受信した電子私書箱サーバＰ１は、図２の場合と同様、認証手段Ｐ１２を起動して、送信元の利用者Ａ本人用端末Ｔ１に対して、私書箱管理ＩＤを記録しているＩＣカードＣ１の装着を指示するとともに、本人認証情報の入力を指示する認証要求を送信する（シーケンスＳｅｑ１３）。

該認証要求を受信した利用者Ａ本人用端末Ｔ１は、図２の場合と同様、指示に従って、利用者Ａの私書箱管理ＩＤ“ＩＤ−Ａ”、公開鍵証明書および秘密鍵を少なくとも記録しているＩＣカードＣ１の装着を促す案内を利用者Ａに対して行うことにより、ＩＣカードＣ１を装着させて（シーケンスＳｅｑ１４）、ＩＣカードＣ１に記録されている私書箱管理ＩＤ“ＩＤ−Ａ”、公開鍵証明書および秘密鍵を読み取るとともに、利用者Ａ本人の認証情報の入力を促す。利用者Ａ本人の認証情報としては、例えば、指紋等のバイオメトリクス情報やパスワード等である。利用者Ａ本人は、当該利用者Ａ本人の認証情報（バイオメトリクス情報やパスワード等）を入力する（シーケンスＳｅｑ１５）。

利用者Ａ本人用端末Ｔ１は、図２の場合と同様、入力された利用者Ａ本人の認証情報の検証を行い、正当な利用者Ａ本人であることを確認すると、利用者Ａ本人用端末Ｔ１は、認証要求の送信元の電子私書箱サーバＰ１との間で、公開鍵証明書、秘密鍵を用いたＰＫＩ認証方式による強固な相互認証処理を行うとともに、電子私書箱サーバＰ１に対して、利用者Ａ本人の私書箱管理ＩＤ“ＩＤ−Ａ”を送信する（シーケンスＳｅｑ１６）。

利用者Ａ本人の私書箱管理ＩＤ“ＩＤ−Ａ”を受信した電子私書箱サーバＰ１は、情報提供手段Ｐ１６を起動して、図２の場合と同様、認証情報保存手段Ｐ１７に保存されている認証情報の中から、私書箱管理ＩＤ“ＩＤ−Ａ”の利用者に関する本人認証用の情報を検索する。次いで、検索した“ＩＤ−Ａ”の利用者に関する本人認証用の情報の中から、先に受信した情報参照要求に指定されているサービス提供者のサービス提供サーバ例えばサービス提供者１のサービス提供サーバＳ１にアクセスするための提供者管理ＩＤおよび認証情報（パスワード等）例えば提供者管理ＩＤ“ＩＤ１−０２”およびパスワード“１２３４”を抽出して、該情報参照要求に付して、通信手段Ｐ１１ｂにより、サービス提供サーバ例えばサービス提供サーバＳ１に送信する（シーケンスＳｅｑ１７）。

提供者管理ＩＤ“ＩＤ１−０２”およびパスワード“１２３４”が付された電子私書箱サーバＰ１からの情報参照要求を通信手段Ｓ１１を介して処理要求受付手段Ｓ１３により受信したサービス提供サーバＳ１は、本人認証手段Ｓ１２を起動して、該情報参照要求に付されている提供者管理ＩＤ“ＩＤ１−０２”およびパスワード“１２３４”が、サービス用本人認証テーブルＳ１２ａに登録されているか否かを確認することにより、利用者Ａの本人認証を行う。

本人認証手段Ｓ１２による利用者Ａ本人の認証が得られた場合は、処理要求受付手段Ｓ１３は、情報処理手段Ｓ１４を起動して、受信した情報参照要求に応じて、該当する利用者Ａ本人のデータを読み出して、読み出したデータを含む情報参照結果を作成する。ここで、情報処理手段Ｓ１４によって実施される処理としては、利用者Ａ本人に関するデータの読出し、および、アクセス履歴の読み出し等である。なお、サービス提供サーバの運用者等により、利用者Ａ本人に関するデータの更新が行われていない場合には、アクセス履歴の読み出し、および、該アクセス履歴の情報参照結果への添付は不要である。

情報処理手段Ｓ１４により作成された情報参照結果を受け取った処理要求受付手段Ｓ１３は、署名付与手段Ｓ１６を起動して、情報参照結果に対してサービス提供サーバＳ１用の署名を付与して、電子私書箱サーバＰ１に対して、書名付きの情報参照結果を返送する（シーケンスＳｅｑ１８）。

なお、場合によっては、サービス提供サーバＳ１から電子私書箱サーバＰ１に送信する情報参照結果にサービス提供サーバＳ１用の署名を付与しないようにしても良い。かかる場合は、サービス提供サーバＳ１には、署名付与手段Ｓ１６を備える必要はない。

サービス提供サーバＳ１から署名付きの情報参照結果を通信手段Ｐ１１ｂを介して情報提供手段Ｐ１６により受信した電子私書箱サーバＰ１は、署名検証手段Ｐ１９ｂを起動して、当該情報参照結果の署名を検証する。しかる後、利用者情報チェック手段Ｐ１８を起動して、当該情報参照結果に含まれている利用者Ａ本人に関するデータ内容と履歴情報保存手段Ｐ１５にアクセス履歴として記録保存されている当該利用者Ａ本人に関するデータの処理結果との比較を行い、利用者Ａ本人に関するデータの改ざんの有無をチェックし、改ざんチェック結果として情報提供手段Ｐ１６に通知する。

改ざんチェック結果を受け取った情報提供手段Ｐ１６は、当該改ざんチェック結果を、通信手段Ｐ１１ａにより、情報参照要求の送信元の利用者Ａ本人用端末Ｔ１へ返送する（シーケンスＳｅｑ１９）。

電子私書箱サーバＰ１から送信されてきた改ざんチェック結果を受信した利用者Ａ本人用端末Ｔ１は、受信した改ざんチェック結果を表示して、利用者Ａ本人に提示する。

（相互認証と提供者管理ＩＤを利用した本人識別とを行う場合の動作シーケンス例）
次に、図４のシーケンスチャートを用いて、電子私書箱サーバＰ１とサービス提供サーバＳ１との間で、本人認証の代わりに相互認証を行うとともに、サービス提供サーバＳ１が、提供者管理ＩＤ（利用者ＩＤ）を利用した本人識別を行うことにより、処理要求に応じた情報処理を行う場合の動作の一例について説明する。

なお、図４のシーケンスチャートの場合は、図２のシーケンスチャートの場合のシーケンスＳｅｑ７における電子私書箱サーバＰ１からサービス提供サーバへのパスワードの送信による本人認証を行う代わりに、電子私書箱サーバＰ１とサービス提供サーバＳ１との間でＰＫＩ認証方式に基づく強固な相互認証を行うことにより（図４のシーケンスＳｅｑ２７）、正当な電子私書箱サーバＰ１からの利用者Ａの処理要求を受け取ったものとするものであり、その他のシーケンスは、図２のシーケンスチャートと同一の手順である。

図４において、利用者Ａからサービス提供者１のサービス提供サーバＳ１に対する利用者Ａ本人のデータに関する処理要求が利用者Ａ本人用端末Ｔ１に入力されると（シーケンスＳｅｑ２１）、利用者Ａ本人用端末Ｔ１は、図２の場合と同様、サービス提供サーバＳ１に、直接、入力された処理要求を送信することはしないで、当該利用者Ａ本人用の電子私書箱サーバＰ１に対して、利用者Ａから入力された処理要求を送信する（シーケンスＳｅｑ２２）。該処理要求を通信手段Ｐ１１ａを介して処理要求受付手段Ｐ１３により受信した電子私書箱サーバＰ１は、図２の場合と同様、認証手段Ｐ１２を起動して、送信元の利用者Ａ本人用端末Ｔ１に対して、私書箱管理ＩＤを記録しているＩＣカードＣ１の装着を指示するとともに、本人認証情報の入力を指示する認証要求を送信する（シーケンスＳｅｑ２３）。

該認証要求を受信した利用者Ａ本人用端末Ｔ１は、図２の場合と同様、指示に従って、利用者Ａの私書箱管理ＩＤ“ＩＤ−Ａ”、公開鍵証明書および秘密鍵を少なくとも記録しているＩＣカードＣ１の装着を促す案内を利用者Ａに対して行うことにより、ＩＣカードＣ１を装着させて（シーケンスＳｅｑ２４）、ＩＣカードＣ１に記録されている私書箱管理ＩＤ“ＩＤ−Ａ”、公開鍵証明書および秘密鍵を読み取るとともに、利用者Ａ本人の認証情報の入力を促す。利用者Ａ本人の認証情報としては、例えば、指紋等のバイオメトリクス情報やパスワード等である。利用者Ａ本人は、当該利用者Ａ本人の認証情報（バイオメトリクス情報やパスワード等）を入力する（シーケンスＳｅｑ２５）。

利用者Ａ本人用端末Ｔ１は、入力された利用者Ａ本人の認証情報の検証を行い、正当な利用者Ａ本人であることを確認すると、利用者Ａ本人用端末Ｔ１は、図２の場合と同様、認証要求の送信元の電子私書箱サーバＰ１との間で、公開鍵証明書、秘密鍵を用いたＰＫＩ認証方式による強固な相互認証処理を行うとともに、電子私書箱サーバＰ１に対して、利用者Ａ本人の私書箱管理ＩＤ“ＩＤ−Ａ”を送信する（シーケンスＳｅｑ２６）。

利用者Ａ本人の私書箱管理ＩＤ“ＩＤ−Ａ”を受信した電子私書箱サーバＰ１は、図２の場合とは異なり、まず、相互認証手段Ｐ１９ａを起動して、処理要求の送信先となるサービス提供サーバＳ１との間で、公開鍵証明書、秘密鍵を用いたＰＫＩ認証方式による強固な相互認証処理を行う（シーケンスＳｅｑ２７）。

なお、場合によっては、サービス提供サーバＳ１と電子私書箱サーバＰ１との間の相互認証を実施しないようにしても良い。かかる場合は、サービス提供サーバＳ１の相互認証手段Ｓ１５、電子私書箱サーバＰ１の相互認証手段Ｐ１９ａを備える必要はない。

相互認証が得られると、次に、処理要求手段Ｐ１４を起動して、認証情報保存手段Ｐ１７に保存されている認証情報の中から、私書箱管理ＩＤ“ＩＤ−Ａ”の利用者に関する本人認証用の情報を検索する。次いで、検索した“ＩＤ−Ａ”の利用者に関する本人認証用の情報の中から、先に受信した処理要求に指定されているサービス提供者のサービス提供サーバ例えばサービス提供者１のサービス提供サーバＳ１にアクセスするための提供者管理ＩＤ例えば提供者管理ＩＤ“ＩＤ１−０２”を抽出して、該処理要求に付して、通信手段Ｐ１１ｂにより、サービス提供サーバ例えばサービス提供サーバＳ１に送信する（シーケンスＳｅｑ２８）。

図２の場合とは異なり、提供者管理ＩＤ“ＩＤ１−０２”が付された電子私書箱サーバＰ１からの処理要求を通信手段Ｓ１１を介して処理要求受付手段Ｓ１３により受信したサービス提供サーバＳ１は、パスワードを用いた利用者Ａの本人認証を行うことなく、情報処理手段Ｓ１４を起動して、受信した処理要求に応じて、利用者Ａ本人のデータに関する処理を実施し、該データの情報処理結果を作成する。

なお、かかる場合は、サービス提供サーバＳ１には、本人認証手段Ｓ１２およびサービス用本人認証テーブルＳ１２ａを削除することが可能である。ここで、情報処理手段Ｓ１４によって実施される処理としては、利用者Ａ本人に関するデータの追加、変更、削除、読出し、および、アクセス履歴の記録等である。

情報処理手段Ｓ１４により作成された情報処理結果を受け取った処理要求受付手段Ｓ１３は、図２の場合と同様、署名付与手段Ｓ１６を起動して、情報処理結果に対してサービス提供サーバＳ１用の署名を付与して、電子私書箱サーバＰ１に対して、書名付きの情報処理結果を返送する（シーケンスＳｅｑ２９）。

なお、場合によっては、サービス提供サーバＳ１から電子私書箱サーバＰ１に送信する情報処理結果にサービス提供サーバＳ１用の署名を付与しないようにしても良い。かかる場合は、サービス提供サーバＳ１には、署名付与手段Ｓ１６を備える必要はない。

サービス提供サーバＳ１から署名付きの情報処理結果を通信手段Ｐ１１ｂを介して処理要求手段Ｐ１４により受信した電子私書箱サーバＰ１は、図２の場合と同様、署名検証手段Ｐ１９ｂを起動して、当該情報処理結果の署名を検証する。しかる後、履歴情報保存手段Ｐ１５に当該情報処理結果を処理要求と関連付けてアクセス履歴として記録保存する。

さらに、処理要求手段Ｐ１４は、図２の場合と同様、当該情報処理結果を、通信手段Ｐ１１ａにより、処理要求の送信元の利用者Ａ本人用端末Ｔ１へ返送する（シーケンスＳｅｑ３０）。

電子私書箱サーバＰ１から送信されてきた情報処理結果を受信した利用者Ａ本人用端末Ｔ１は、受信した情報処理結果を表示して、利用者Ａ本人に提示する。

次に、図５のシーケンスチャートを用いて、電子私書箱サーバＰ１とサービス提供サーバＳ１との間で、本人認証の代わりに相互認証を行うとともに、サービス提供サーバＳ１が、提供者管理ＩＤ（利用者ＩＤ）を利用した本人識別を行うことにより、処理要求に応じた情報処理を行った場合の情報処理結果に関する改ざんの有無を、電子私書箱サーバＰ１においてチェックする動作の一例について説明する。

なお、図５のシーケンスチャートの場合は、図３のシーケンスチャートの場合のシーケンスＳｅｑ１７における電子私書箱サーバＰ１からサービス提供サーバへのパスワードの送信による本人認証を行う代わりに、電子私書箱サーバＰ１とサービス提供サーバとの間でＰＫＩ認証方式に基づく強固な相互認証を行うことにより（図５のシーケンスＳｅｑ３７）、正当な電子私書箱サーバＰ１からの利用者Ａの情報参照要求を受け取ったものとするものであり、その他のシーケンスは、図３のシーケンスチャートと同一の手順である。

図５において、利用者Ａからサービス提供者１のサービス提供サーバＳ１における利用者Ａ本人のデータに関する情報参照要求が利用者Ａ本人用端末Ｔ１に入力されると（シーケンスＳｅｑ３１）、利用者Ａ本人用端末Ｔ１は、図３の場合と同様、サービス提供サーバＳ１に、直接、入力された処理要求を送信することはしないで、当該利用者Ａ本人用の電子私書箱サーバＰ１に対して、利用者Ａから入力された情報参照要求を送信する（シーケンスＳｅｑ３２）。該情報参照要求を通信手段Ｐ１１ａを介して情報提供手段Ｐ１６により受信した電子私書箱サーバＰ１は、図３の場合と同様、認証手段Ｐ１２を起動して、送信元の利用者Ａ本人用端末Ｔ１に対して、私書箱管理ＩＤを記録しているＩＣカードＣ１の装着を指示するとともに、本人認証情報の入力を指示する認証要求を送信する（シーケンスＳｅｑ３３）。

該認証要求を受信した利用者Ａ本人用端末Ｔ１は、図３の場合と同様、指示に従って、利用者Ａの私書箱管理ＩＤ“ＩＤ−Ａ”、公開鍵証明書および秘密鍵を少なくとも記録しているＩＣカードＣ１の装着を促す案内を利用者Ａに対して行うことにより、ＩＣカードＣ１を装着させて（シーケンスＳｅｑ３４）、ＩＣカードＣ１に記録されている私書箱管理ＩＤ“ＩＤ−Ａ”、公開鍵証明書および秘密鍵を読み取るとともに、利用者Ａ本人の認証情報の入力を促す。利用者Ａ本人の認証情報としては、例えば、指紋等のバイオメトリクス情報やパスワード等である。利用者Ａ本人は、当該利用者Ａ本人の認証情報（バイオメトリクス情報やパスワード等）を入力する（シーケンスＳｅｑ３５）。

利用者Ａ本人用端末Ｔ１は、図３の場合と同様、入力された利用者Ａ本人の認証情報の検証を行い、正当な利用者Ａ本人であることを確認すると、利用者Ａ本人用端末Ｔ１は、認証要求の送信元の電子私書箱サーバＰ１との間で、公開鍵証明書、秘密鍵を用いたＰＫＩ認証方式による強固な相互認証処理を行うとともに、電子私書箱サーバＰ１に対して、利用者Ａ本人の私書箱管理ＩＤ“ＩＤ−Ａ”を送信する（シーケンスＳｅｑ３６）。

利用者Ａ本人の私書箱管理ＩＤ“ＩＤ−Ａ”を受信した電子私書箱サーバＰ１は、図３の場合とは異なり、まず、相互認証手段Ｐ１９ａを起動して、情報参照要求の送信先となるサービス提供サーバＳ１との間で、公開鍵証明書、秘密鍵を用いたＰＫＩ認証方式による強固な相互認証処理を行う（シーケンスＳｅｑ３７）。

なお、場合によっては、サービス提供サーバＳ１と電子私書箱サーバＰ１との間の相互認証を実施しないようにしても良い。かかる場合は、サービス提供サーバＳ１の相互認証手段Ｓ１５、電子私書箱サーバＰ１の相互認証手段Ｐ１９ａを備える必要はない。

相互認証が得られると、次に、情報提供手段Ｐ１６を起動して、認証情報保存手段Ｐ１７に保存されている認証情報の中から、私書箱管理ＩＤ“ＩＤ−Ａ”の利用者に関する本人認証用の情報を検索する。次いで、検索した“ＩＤ−Ａ”の利用者に関する本人認証用の情報の中から、先に受信した情報参照要求に指定されているサービス提供者のサービス提供サーバ例えばサービス提供者１のサービス提供サーバＳ１にアクセスするための提供者管理ＩＤ例えば提供者管理ＩＤ“ＩＤ１−０２”を抽出して、該情報参照要求に付して、通信手段Ｐ１１ｂにより、サービス提供サーバ例えばサービス提供サーバＳ１に送信する（シーケンスＳｅｑ３８）。

図３の場合とは異なり、提供者管理ＩＤ“ＩＤ１−０２”が付された電子私書箱サーバＰ１からの情報参照要求を通信手段Ｓ１１を介して処理要求受付手段Ｓ１３により受信したサービス提供サーバＳ１は、パスワードを用いた利用者Ａの本人認証を行うことなく、情報処理手段Ｓ１４を起動して、受信した情報参照要求に応じて、該当する利用者Ａ本人のデータを読み出して、読み出したデータを含む情報参照結果を作成する。

なお、かかる場合は、サービス提供サーバＳ１には、本人認証手段Ｓ１２およびサービス用本人認証テーブルＳ１２ａを削除することが可能である。ここで、情報処理手段Ｓ１４によって実施される処理としては、利用者Ａ本人に関するデータの読出し、および、アクセス履歴の読み出し等である。なお、サービス提供サーバの運用者等により、利用者Ａ本人に関するデータの更新が行われていない場合には、アクセス履歴の読み出し、および、該アクセス履歴の情報参照結果への添付は不要である。

情報処理手段Ｓ１４により作成された情報参照結果を受け取った処理要求受付手段Ｓ１３は、図３の場合と同様、署名付与手段Ｓ１６を起動して、情報参照結果に対してサービス提供サーバＳ１用の署名を付与して、電子私書箱サーバＰ１に対して、書名付きの情報参照結果を返送する（シーケンスＳｅｑ３９）。

なお、場合によっては、サービス提供サーバＳ１から電子私書箱サーバＰ１に送信する情報参照結果にサービス提供サーバＳ１用の署名を付与しないようにしても良い。かかる場合は、サービス提供サーバＳ１には、署名付与手段Ｓ１６を備える必要はない。

サービス提供サーバＳ１から署名付きの情報参照結果を通信手段Ｐ１１ｂを介して情報提供手段Ｐ１６により受信した電子私書箱サーバＰ１は、図３の場合と同様、署名検証手段Ｐ１９ｂを起動して、当該情報参照結果の署名を検証する。しかる後、利用者情報チェック手段Ｐ１８を起動して、当該情報参照結果に含まれている利用者Ａ本人に関するデータ内容と履歴情報保存手段Ｐ１５にアクセス履歴として記録保存されている当該利用者Ａ本人に関するデータの処理結果との比較を行い、利用者Ａ本人に関するデータの改ざんの有無をチェックし、改ざんチェック結果として情報提供手段Ｐ１６に通知する。

改ざんチェック結果を受け取った情報提供手段Ｐ１６は、図３の場合と同様、当該改ざんチェック結果を、通信手段Ｐ１１ａにより、情報参照要求の送信元の利用者Ａ本人用端末Ｔ１へ返送する（シーケンスＳｅｑ４０）。

電子私書箱サーバＰ１から送信されてきた改ざんチェック結果を受信した利用者Ａ本人用端末Ｔ１は、受信した改ざんチェック結果を表示して、利用者Ａ本人に提示する。

以上の図２ないし図５の各シーケンスチャートに示すように、利用者Ａ本人がサービス提供サーバ例えばサービス提供サーバＳ１に対して利用者Ａ本人のデータに関する処理要求を行う際には、必ず、利用者Ａ本人用の電子私書箱サーバＰ１を経由して処理要求を行うようにするとともに、当該処理要求を受け付けた電子私書箱サーバＰ１において、当該処理要求（利用者本人のデータの追加や変更や削除等の処理をサービス提供サーバＳ１に要求した内容）および情報処理結果（サービス提供サーバＳ１において処理要求が正常に実施されたか否かを示す情報）をサービス提供サーバＳ１への利用者Ａ本人のアクセス履歴として履歴情報保存手段Ｐ１５に記録し保存することにより、第三者がサービス提供サーバＳ上の利用者Ａ本人のデータを改ざんした場合に、その改ざんのチェックを利用者Ａ本人が行うことを可能とすることにより、第三者によるデータの改ざんの発生を防止することが可能である。

ここで、利用者Ａ本人が使用する利用者Ａ本人用端末Ｔ１と利用者Ａ本人用の電子私書箱サーバＰ１との間は、処理要求や情報参照要求の転送動作時に、ＰＫＩ認証方式を利用した強固な相互認証を行うようにしており、かつ、該相互認証に用いる利用者Ａの公開鍵証明書および秘密鍵は、利用者Ａ本人が所持するＩＣカードＣ１にのみ記録されている。したがって、当該利用者Ａ本人以外の第三者が、利用者Ａ本人に成りすまして、利用者Ａ本人用端末Ｔ１を使って利用者Ａ本人用の電子私書箱サーバＰ１にアクセスしようとしても、アクセスすることができないので、電子私書箱サーバＰ１の履歴情報保存手段Ｐ１５に記録・保存されているアクセス履歴を第三者が不正に改ざんすることはできない。

例えば、利用者Ａ本人により、サービス提供サーバＳ１に保存されている利用者Ａ本人の生命保険データに関して、その保障期間を１０年から終身に変更しようとする場合、処理要求としてその旨を設定して、電子私書箱サーバＰ１を介してサービス提供サーバＳ１に送信すると、サービス提供サーバＳ１の情報処理手段Ｓ１４にて、当該処理要求に応じて、当該利用者Ａ本人の生命保険データの保障期間を終身に変更処理を行った結果を情報処理結果（要求通りに、保障期間を１０年から終身に正常に変更した旨を示す情報）として電子私書箱サーバＰ１に返送してくる。電子私書箱サーバＰ１は、保障期間が正常に終身に変更されたことを示す該処理要求と該情報処理結果とをアクセス履歴として履歴情報保存手段Ｐ１５に記録・保存する。

しかる後において、任意の時点で、利用者Ａ本人から、情報参照要求を電子私書箱サーバＰ１を介してサービス提供サーバＳ１に送信することによって、電子私書箱サーバＰ１の履歴情報保存手段Ｐ１５に記録・保存されている利用者Ａ本人の生命保険データに関するアクセス履歴とサービス提供サーバＳ１に保存されている当該利用者Ａ本人の生命保険データとの比較結果を、電子私書箱サーバＰ１から利用者Ａ本人が取得することができる。したがって、例えば、第三者が、サービス提供サーバＳ１の当該利用者Ａ本人の生命保険データに不正にアクセスして、該生命保険データの保障期間を終身から例えば５年に改ざんしてしまったとしても、利用者Ａ本人は、サービス提供サーバＳ１に保存されている利用者Ａ本人の生命保険データが不正に改ざんされていることを容易に把握することができる。

（実施形態の効果の説明）
以上に詳細に説明したように、本実施形態によれば、利用者Ａ本人用端末Ｔ１からのサービス提供サーバのデータに対する処理要求および該サービス提供サーバから該利用者端末に返送する情報処理結果を必ず利用者Ａ本人用の電子私書箱サーバを経由させるとともに、電子私書箱サーバＰ１側に、前記処理要求と前記情報処理結果とを関連付けてアクセス履歴として記録保存し、任意の時点で、該アクセス履歴とサービス提供サーバに保存されている利用者本人のデータとを比較して改ざんの有無をチェックする仕組みを備えるようにしているので、以下のような作用効果が得られる。

第１に、電子私書箱サーバＰ１に備えた前述のような改ざんの有無をチェックする仕組みを利用することにより、サービス提供サーバ例えばサービス提供サーバＳ１等における利用者Ａ本人の提供者管理ＩＤおよびパスワードを、利用者Ａ本人から教示された代理人または不法に取得した第三者が、当該サービス提供サーバ例えばサービス提供サーバＳ１等にアクセスして、利用者Ａ本人の契約情報等のデータを不正に書き換えたりしたとしても、利用者Ａ本人は、電子私書箱サーバＰ１に情報参照要求を送信するだけで、電子私書箱サーバＰ１にアクセス履歴として記録保存されている履歴情報を参照して、サービス提供サーバＳ１の利用者Ａ本人のデータと比較して、改ざんの有無を通知してもらうことができるので、改ざんされたことを容易に確認することができる。

第２に、個人に関わる情報を取り扱うサービス提供サーバでは、一般に、誰がどの情報にアクセスしたかの履歴を収集する機能を備えていることから、既存のサービス提供サーバに新たな機能を追加することなく、そのままの状態で、電子私書箱サーバＰ１に備えた前述のような改ざんの有無をチェックする仕組みを利用することにより、サービス提供サーバ例えばサービス提供サーバＳ１に保存されているデータに改ざんが発生しているか否かをチェックすることができる。

第３に、サービス提供サーバ例えばサービス提供サーバＳ１等が、利用者Ａ本人の提供者管理ＩＤおよびパスワードといった簡単な本人認証方式を採用していても、利用者Ａが使用する利用者Ａ本人用端末Ｔ１と電子私書箱サーバＰ１との間にＰＫＩ認証方式などを利用した強固な相互認証方式を採用することにより、相互認証用の情報を有していない第三者等は、電子私書箱サーバＰ１経由でサービス提供サーバ例えばサービス提供サーバＳ１等にアクセスすることができないので、電子私書箱サーバＰ１にサービス提供サーバ例えばサービス提供サーバＳ１等へのアクセス履歴として保存されている履歴情報が不正に改ざんされることがない。すなわち、サービス提供サーバ例えばサービス提供サーバＳ１等のセキュリティの高低の如何に依存することなく、安全に、アクセス履歴を管理することができ、より確実に、サービス提供サーバ例えばサービス提供サーバＳ１等の利用者のデータに関する改ざんチェックを行うことができる。

第４に、サービス提供サーバ例えばサービス提供サーバＳ１等においてデータ管理ミス等が生じて、データが改ざんされた場合であっても、同様に、電子私書箱サーバＰ１にアクセス履歴として記録保存されている履歴情報を参照して、改ざんの有無をチェックすることができる。

第５に、既存のサービス提供サーバ例えばサービス提供サーバＳ１等に署名機能を有していない場合には、該サービス提供サーバＳ１に署名機能を追加し、電子私書箱サーバＰ１に署名検証機能を追加することにより、サービス提供サーバＳ１からの情報処理結果として電子私書箱サーバＰ１に保存しようとするデータまたは情報参照結果として送信されてきたデータが、本当に、真のサービス提供サーバＳ１から提供されたものであるか否かを検証することができる。

第６に、既存のサービス提供サーバ例えばサービス提供サーバＳ１等に本人認証のためのパスワード認証機能を有していない場合は、パスワード認証機能を追加するようにしても良いし、あるいは、例えば、サービス提供サーバと電子私書箱サーバとの間で実施する相互認証機能を追加することにより、サービス提供サーバ内のデータの安全性を確保することができる。

Ａ…利用者、Ｃ１…ＩＣカード、Ｐ１…電子私書箱サーバ、Ｐ１１ａ…通信手段、Ｐ１１ｂ…通信手段、Ｐ１２…認証手段、Ｐ１２ａ…私書箱情報テーブル、Ｐ１３…処理要求受付手段、Ｐ１４…処理要求手段、Ｐ１５…履歴情報保存手段、Ｐ１６…情報提供手段、Ｐ１７…認証情報保存手段、Ｐ１８…利用者情報チェック手段、Ｐ１９ａ…相互認証手段、Ｐ１９ｂ…署名検証手段、Ｓ１，Ｓ２，Ｓ３…サービス提供サーバ、Ｓ１１，Ｓ２１，Ｓ３１…通信手段、Ｓ１２，Ｓ２２，Ｓ３２…本人認証手段、Ｓ１２ａ…サービス用本人認証テーブル、Ｓ１３，Ｓ２３，Ｓ３３…処理要求受付手段、Ｓ１４，Ｓ２４，Ｓ３４…情報処理手段、Ｓ１５，Ｓ２５，Ｓ３５…相互認証手段、Ｓ１６，Ｓ２６，Ｓ３６…署名付与手段、Ｔ１…利用者Ａ本人用端末。

Claims (10)

1. 利用者本人のデータに関する処理要求を当該利用者本人の利用者端末から電子私書箱サーバに送信し、該電子私書箱サーバが該処理要求を当該利用者本人のデータを保存しているサービス提供サーバに送信することにより、該サービス提供サーバにおいて当該利用者本人のデータに関して該処理要求に応じた情報処理を実行して、情報処理結果として、前記電子私書箱サーバを介して、前記処理要求の送信元の前記利用者端末に返送するサービス提供システムであって、前記電子私書箱サーバは、前記利用者端末から送信されてきた前記処理要求と前記サービス提供サーバから返送されてくる前記情報処理結果とを関連付けて、アクセス履歴として記録する履歴情報保存手段を備え、利用者本人の前記利用者端末から当該利用者本人のデータの改ざんの有無を確認する情報参照要求が、前記電子私書箱サーバに送信されてきた場合、前記電子私書箱サーバは、前記サービス提供サーバに該情報参照要求を送信することにより、前記サービス提供サーバに保存されている当該利用者本人のデータおよび該データに対するアクセス履歴を情報参照結果として返送させて、返送されてきた該情報参照結果に含まれる利用者本人に関するデータ内容を前記履歴情報保存手段に記録されている前記アクセス履歴として保存されている利用者本人に関するデータの処理結果と比較することにより、前記サービス提供サーバに保存されている当該利用者本人のデータの改ざんの有無をチェックし、チェック結果を、前記情報参照要求の送信元の前記利用者端末に返送することを特徴とするサービス提供システム。
2. 請求項１に記載のサービス提供システムにおいて、利用者本人が使用する前記利用者端末と前記電子私書箱サーバとの間の通信開始時に、前記利用者端末と前記電子私書箱サーバとの間で、ＰＫＩ（Personal Key Infrastructure）認証方式による相互認証を実施することを特徴とするサービス提供システム。
3. 請求項２に記載のサービス提供システムにおいて、利用者本人の公開鍵証明書および秘密鍵を記録したＩＣカードを当該利用者が前記利用者端末に装着することにより、前記利用者端末は、前記電子私書箱サーバとの間の相互認証を実施することを特徴とするサービス提供システム。
4. 請求項１ないし３のいずれかに記載のサービス提供システムにおいて、前記サービス提供サーバは、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求に付されている利用者本人を特定するための利用者ＩＤとして当該サービス提供サーバが付与している提供者管理ＩＤおよびそのパスワードに基づいて、本人認証を行うか、あるいは、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求の送受信時に、当該電子私書箱サーバとの間で相互認証を行うとともに、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求に付されている前記提供者管理ＩＤにより利用者本人を識別することを特徴とするサービス提供システム。
5. 請求項１ないし４のいずれかに記載のサービス提供システムにおいて、前記サービス提供システムは、前記情報処理結果および／または前記情報参照結果に当該サービス提供サーバの署名を付して前記電子私書箱サーバへ返送し、前記電子私書箱サーバは、署名付きの前記情報処理結果および／または前記情報参照結果を受信した際に、該署名を検証することを特徴とするサービス提供システム。
6. 利用者本人のデータに関する処理要求を当該利用者本人の利用者端末から電子私書箱サーバに送信し、該電子私書箱サーバが該処理要求を当該利用者本人のデータを保存しているサービス提供サーバに送信することにより、該サービス提供サーバにおいて当該利用者本人のデータに関して該処理要求に応じた情報処理を実行して、情報処理結果として、前記電子私書箱サーバを介して、前記処理要求の送信元の前記利用者端末に返送する場合における前記サービス提供サーバに保存されている利用者本人のデータの改ざんをチェックする改ざんチェック方法であって、前記電子私書箱サーバは、前記利用者端末から送信されてきた前記処理要求と前記サービス提供サーバから返送されてくる前記情報処理結果とを関連付けて、アクセス履歴として記録し、利用者本人の前記利用者端末から当該利用者本人のデータの改ざんの有無を確認する情報参照要求が、前記電子私書箱サーバに送信されてきた場合、前記電子私書箱サーバは、前記サービス提供サーバに該情報参照要求を送信することにより、前記サービス提供サーバに保存されている当該利用者本人のデータおよび該データに対するアクセス履歴を情報参照結果として返送させて、返送されてきた該情報参照結果に含まれる利用者本人に関するデータ内容を当該電子私書箱サーバに記録されている前記アクセス履歴として保存されている利用者本人に関するデータの処理結果と比較することにより、前記サービス提供サーバに保存されている当該利用者本人のデータの改ざんの有無をチェックし、チェック結果を、前記情報参照要求の送信元の前記利用者端末に返送することを特徴とする改ざんチェック方法。
7. 請求項６に記載の改ざんチェック方法において、利用者本人が使用する前記利用者端末と前記電子私書箱サーバとの間の通信開始時に、前記利用者端末と前記電子私書箱サーバとの間で、ＰＫＩ（Personal Key Infrastructure）認証方式による相互認証を実施することを特徴とする改ざんチェック方法。
8. 請求項７に記載の改ざんチェック方法において、利用者本人の公開鍵証明書および秘密鍵を記録したＩＣカードを当該利用者が前記利用者端末に装着することにより、前記利用者端末は、前記電子私書箱サーバとの間の相互認証を実施することを特徴とする改ざんチェック方法。
9. 請求項６ないし８のいずれかに記載の改ざんチェック方法において、前記サービス提供サーバは、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求に付されている利用者本人を特定するための利用者ＩＤとして当該サービス提供サーバが付与している提供者管理ＩＤおよびそのパスワードに基づいて、本人認証を行うか、あるいは、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求の送受信時に、当該電子私書箱サーバとの間で相互認証を行うとともに、前記電子私書箱サーバからの前記処理要求および／または前記情報参照要求に付されている前記提供者管理ＩＤにより利用者本人を識別することを特徴とする改ざんチェック方法。
10. 請求項６ないし９のいずれかに記載の改ざんチェック方法を、コンピュータによって実行可能なプログラムとして実施していることを特徴とする改ざんチェックプログラム。

Images