JP5327834B2 - パーティ間の推移的信頼に基づいてユーザのデジタルアイデンティティを受け入れる方法及び装置 - Google Patents

Description

発明の分野

[0001]本発明の実施形態は、一般に、デジタルアイデンティティ管理に関する。より詳細には、本発明は、パーティ間の推移的信頼に基づいてユーザのデジタルアイデンティティを受け入れるための方法及び装置に関する。

関連技術の説明

[0002]インターネットの如きコンピュータネットワークにおいて、ユーザは、典型的には、特定のアプリケーション又はサービスが要求するところに従って個人及び秘密情報を送信する。ある場合において、このような秘密情報は、ユーザが後でアクセスするため、遠隔ホストによって記憶される。これらアプリケーションは、典型的には、そのような秘密情報を受け入れる前に、又はそのような情報へのアクセスを許す前に、ユーザの認証を行う。認証のための１つの良く知られたシナリオは、ネットワークを通してユーザ名及びパスワードをインターネット上のウエブサイトの如きアプリケーションへ送信することを含む。認証のための別の最近のより安全な機構は、デジタルアイデンティティを使用することを含む。ネットワークを通して送信されるとき、デジタルアイデンティティは、セキュリティートークン（トークンとも称される）によって表される。トークンは、デジタルアイデンティティによって送信される全情報のある部分を各々が含む１つ以上のクレーム（ＣＬＡＩＭ）を含む。例えば、トークンは、ユーザ名、パスワード、クレジットカード番号及び／又は無数の他のタイプの情報に対するクレームを含む。

[0003]あるデジタルアイデンティティ管理システムによれば、２つのタイプのデジタルアイデンティティ、即ち、自己表明型アイデンティティ及び被管理アイデンティティが管理される。これらの２つのタイプのアイデンティティを区別するためには、３つの異なる役割を定めるのが有用である。ユーザは、デジタルアイデンティティに関連付けられたエンティティである。アイデンティティプロバイダーは、ユーザにデジタルアイデンティティを提供するエンティティである。依拠パーティは、デジタルアイデンティティに何らかの仕方で依拠するエンティティである。例えば、依拠パーティは、ユーザを認証するためそのデジタルアイデンティティを使用する。自己表明型アイデンティティは、ユーザとアイデンティティプロバイダーとが１つで同じであるような場合のものである。例えば、ユーザがアマゾンドットコムの如きオンラインプロバイダーでアカウントを生成している場合には、そのユーザは、自分自身のアイデンティティ（例えば、ユーザ名及びパスワード）を生成しているのである。被管理アイデンティティは、情報が第三者により支持され、従って、より信頼できるものであると推定されるようなより強い形式のデジタルアイデンティティである。即ち、ユーザとは無関係のアイデンティティプロバイダーにより、そのユーザへデジタルアイデンティティが提供されるのである。

[0004]自己表明型アイデンティティの場合には、依拠パーティは、ユーザ及びそのユーザの自己表明型クレームの妥当性検証をするのに依拠パーティ自身の処理を使用しなければならない。被管理アイデンティティの場合には、ユーザは、典型的には、アイデンティティプロバイダーからそのアイデンティティを得るため直接的又は間接的料金を支払うことを必要とされる。その上、依拠パーティは、そのアイデンティティプロバイダーを知り、ユーザに対して発行された被管理アイデンティティを受け入れる前に、そのアイデンティティプロバイダーのポリシーを知らねばならない。もし、ユーザでないならば、依拠パーティは、典型的には、その発行されたアイデンティティを使用するためそのアイデンティティプロバイダーに支払をすることが必要とされる。従って、ユーザ、依拠パーティ及びアイデンティティプロバイダーの間でのデジタルアイデンティティの確立及び使用に関連付けられたコストを減少又は排除するようなアイデンティティ管理機構が当業分野において必要とされている。

[0005]パーティ間の推移的信頼に基づいてユーザのデジタルアイデンティティを受け入れるための方法及び装置を提供する。本発明の一態様は、ユーザのデジタルアイデンティティを管理することに関する。自己表明型クレームを含むデジタルアイデンティティが第１のパーティに提供される。受入れトークンがその第１のパーティから得られる。その受入れトークンは、その第１のパーティによる自己表明型クレームの真正性を主張している。それらデジタルアイデンティティ及び受入れトークンは第２のパーティに提供されて、受入れトークンに基づいて第２のパーティによる自己表明型クレームの妥当性検証が要求される。

[0006]別の実施形態では、自己表明型クレームを含むデジタルアイデンティティが、コンピュータから第１のパーティに提供される。その自己表明型クレームは、その第１のパーティにて妥当性検証される。受入れトークンがその第１のパーティからそのコンピュータへと送られる。その受入れトークンは、その第１のパーティによるその自己表明型クレームの真正性を主張している。それらデジタルアイデンティティ及び受入れトークンは、そのコンピュータから第２のパーティに提供される。その自己表明型クレームは、その受入れトークン及びその第１のパーティとその第２のパーティとの間に確立される推移的信頼に基づいて、その第２のパーティにて妥当性検証される。

[0007]本発明の前述した特徴を詳細に理解できるように、その概要を簡単に前述したような本発明について、図面に幾つかを例示している実施形態に関連して、以下より詳細に説明する。しかしながら、添付図面は、本発明の典型的な実施態様のみを例示しているのであり、それらに本発明の範囲を限定しようとしているものではなく、本発明は、その他の均等の効果のある実施形態が考えられるものであることに注意されたい。

詳細な説明

[0011]図１は、本発明の１つ以上の態様によるネットワークコンピュータシステム１００の典型的な実施形態を示すブロック図である。このシステム１００は、コンピュータ１０４に結合されるネットワーク１０２を含む。コンピュータ１０４は、プロセッサ１０８，メモリ１１４、種々のサポート回路１１０、入出力インターフェース１０６を含むものとして例示されている。プロセッサ１０８は、当業分野において知られている１つ以上のマイクロプロセッサを含むことができる。プロセッサ１０８のためのサポート回路１１０は、通常のキャッシュ、電力供給装置、クロック回路、データレジスタ、入出力インターフェース等を含む。入出力インターフェース１０６は、メモリ１１４に直接結合することもできるし、又は、プロセッサ１０８を通してメモリ１１４に結合することもできる。入出力インターフェース１０６は、ネットワーク装置、種々の記憶装置、マウス、キーボード、ディスプレイ等の如き入力装置１１１及び／又は出力装置１１３と通信するように構成しておくこともできる。入出力インターフェース１０６は、ネットワーク１０２にも結合される。ネットワーク１０２は、ワイヤ、ケーブル、ファイバーオプチック及び／又はハブ、スイッチ、ルーター等の如き種々のタイプの良く知られたネットワーク要素により実施されるワイヤレスリンクによりコンピュータシステムを接続する通信システムを備える。ネットワーク１０２は、情報を通信するため、種々の良く知られたプロトコルを使用することができる。例えば、ネットワーク１０２は、インターネットの部分である。

[0012]メモリ１１４は、プロセッサ１０８によって実行及び／又は使用されるプロセッサ実行可能な命令及び／又はデータを記憶する。これらプロセッサ実行可能な命令は、ハードウエア、ファームウエア、ソフトウエア等又はそれらの組合せを含むことができる。メモリ１１４に記憶されたプロセッサ実行可能な命令を有するモジュールは、アイデンティティマネージャー１１６を含むことができる。コンピュータ１０４は、良く知られたプラットフォームのなかでも、オーエスツー、ジャバ仮想マシン、リナックス、ソラリス、ユニックス、エイチピーユーエックス、エーアイエックス、ウインドーズ、ウインドーズ９５、ウインドーズ９８、ウインドーズＮＴ、ウインドーズ２０００、ウインドーズＭＥ、ウインドーズＸＰ、ウインドーズサーバーを含むことのできるオペレーティングシステム１２４でプログラムされることができる。オペレーティングシステム１２４の少なくとも一部分は、メモリ１１４に配設することができる。メモリ１１４は、ランダムアクセスメモリ、リードオンリーメモリ、磁気抵抗効果リード／ライトメモリ、光リード／ライトメモリ、キャッシュメモリ、磁気リード／ライトメモリ等並びに以下に説明するような信号担持媒体のうちの１つ以上のものを含むことができる。

[0013]アイデンティティマネージャー１１６は、コンピュータ１０４の１人以上のユーザのためのデジタルアイデンティティを管理するように構成されている。一般的に、デジタルアイデンティティは、このデジタルアイデンティティによって送信される全情報のうちのある部分を各々が含む１つ以上のクレームを有するセキュリティートークン（トークン）によって表される。デジタルアイデンティティは、Ｅメールアドレスのように簡単なものであることができるし、又は、ユーザ名、パスワード、クレジットカード番号、ソーシャルセキュリティー番号及び／又は無数の他のタイプの情報の如きより多くの情報を含むこともできる。トークンは、Ｘ.５０９証明書、ケルベロスチケット等を含めて、種々の良く知られたフォーマットであることができる。トークンは、セキュリティーアサーションマークアップ言語（ＳＡＭＬ）の如き標準言語を使用して生成することもできる。トークンの一実施形態は、マイクロソフトカードスペースである。他の実施形態としては、オープンＩＤ、軽量アイデンティティプロトコル（ＬＩＤ）、安全拡張アイデンティティプロトコル（ＳＸＩＰ）等に従うトークンがある。

[0014]一実施形態では、アイデンティティマネージャー１１６は、自己表明型アイデンティティ１５０を管理する。自己表明型アイデンティティの各々は、１つ以上の自己表明型クレームを含む。例えば、ユーザは、自分のＥメールアドレスのためのクレームを有する自己表明型アイデンティティを確立することができる。特に、どのビジネスモデルも被管理アイデンティティを使用することを要求しているとは限らない。ある依拠パーティは、ユーザがユニークユーザであることを知るだけでよいとし、ユーザＥメールアドレス等を要求するだけである。このような依拠パーティの場合には、ユーザは、Ｅメールアドレスの如き要求される識別符号を有する自己表明型アイデンティティを使用して自身を同定することができる。本発明の一態様によれば、自己表明型アイデンティティは、他のパーティがそのアイデンティティを受け入れた（従って、妥当性検証した）ことを示す情報を含む。もし、所定のパーティがそれらの他のパーティを信頼できるものと考える場合には、そのパーティは、それら他のパーティによる受入れにのみ基づいてその自己表明型アイデンティティを受け入れることを選択することができる。即ち、依拠パーティのあるグループは、互いの間で「推移的信頼」を確立して、それらパーティのうちの１人により受け入れたユーザによる自己表明型クレームを、そのグループにおける他のパーティのすべてが受け入れるというようにすることができる。従って、信頼が確立されるとき、他のパーティは、その自己表明型アイデンティティを妥当性検証しなければならないというような負担を避けることができる。

[0015]図２は、本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法の典型的な実施形態を示すフロー図である。この方法２００は、コンピュータ１０４によって行われる方法２０１、依拠パーティ１２８によって行われる方法２０２及び依拠パーティ１３０によって行われる方法２０３を含む。この実施形態では、ユーザは、初期的に、自己表明型アイデンティティを依拠パーティ１２８へ提示し、その依拠パーティ１２８がそれにおける１つ以上のクレームを妥当性検証する。依拠パーティ１２８と依拠パーティ１３０とは、互いの間で推移的信頼を確立している。そのユーザがその自己表明型アイデンティティを依拠パーティ１３０へ提示するとき、その依拠パーティ１３０は、依拠パーティ１２８がそのアイデンティティを正当であると受け入れした事実に基づいて、そのアイデンティティを正当であると見なす。

[0016]詳述するに、方法２０１は、ステップ２０４で始まり、このステップ２０４において、コンピュータ１０４のユーザは、自己表明型デジタルアイデンティティを依拠パーティ１２８へ提示する。そのユーザは、典型的には、依拠パーティ１２８による要求に応答してその自己表明型アイデンティティを提供する。依拠パーティ１２８は、典型的には、特定のフォーマットを有し特定の１つのクレーム又は複数のクレームを含むユーザのデジタルアイデンティティを要求する。例えば、ユーザは、その依拠パーティとのアカウントを確立しようとする、又は、既に確立されたアカウントにアクセスしようとする。

[0017]それから、方法２０２は、ステップ２０６で始まる。このステップ２０６では、依拠パーティ１２８は、その自己表明型デジタルアイデンティティを受け取る。ステップ２０８にて、依拠パーティ１２８は、その自己表明型アイデンティティにおける少なくとも１つのクレームを妥当性検証する。依拠パーティ１２８は、当業分野において良く知られた種々の機構のうちの任意のものを使用して、このような妥当性検証を行うことができる。ステップ２１０にて、依拠パーティ１２８は、そのユーザへ受入れトークンを提供する。その受入れトークンは、その依拠パーティ１２８によるその自己表明型クレームの真正性を主張する情報を含む（即ち、その受入れトークンは、その依拠パーティがそれらクレームを妥当性検証したこと又はその依拠パーティがそれらクレームを真正であるとして信頼したことを示している）。一実施形態では、依拠パーティ１２８は、公開キー基盤（ＰＫＩ）システムを使用してその信頼を立証する。依拠パーティ１２８は、その自己表明型クレームにデジタル的に署名するか、又は、そのような自己表明型クレームのある表現（例えば、それらクレームのハッシュ）にデジタル的に署名する。このデジタル署名は、非対称暗号化アルゴリズム及びプライベートキーを使用するクレーム（又はクレームの表現）の暗号化を含むことができる。別のパーティは、依拠パーティ１２８の公開キーを使用して、依拠パーティ１２８がそれらクレームにデジタル的に署名したことを検証することができる。他のパーティは、このようなデジタル署名を、依拠パーティ１２８がそれらクレームを真正であるとして信頼した証拠として取り扱うことができる。

[0018]一実施形態では、受入れトークンは、その自己表明型クレームが真正であるとされてきた時間期間を示す情報の如きそのユーザと依拠パーティ１２８との間の関係に関連付けられた他のタイプの属性を含む。例えば、もし、依拠パーティ１２８がユーザのＥメールアドレスが真正であることを検証した場合には、依拠パーティ１２８は、そのＥメールアドレスがどのくらい長くそのユーザとの関係の一部であった（例えば、そのＥメールアドレスがＸ月／年の間使用されていた）ことを含めることができる。

[0019]方法２０１に戻って、受入れトークンは、ステップ２１２にて受け取られる。ステップ２１４にて、この受入れトークンは、自己表明型アイデンティティにおけるクレームとして含まれる。一実施形態では、この受入れトークンは、任意的クレームである。即ち、ユーザがその自己表明型アイデンティティをあるパーティへ提示するとき、受入れトークンは、そのユーザの好みに基づいて選択的に送られる。ステップ２１６にて、ユーザは、その自己表明型アイデンティティ及び受入れトークンを依拠パーティ１３０へ提示する。ユーザは、典型的には、依拠パーティ１３０による要求に応答して、その自己表明型アイデンティティを提供する。依拠パーティ１３０は、典型的には、特定のフォーマットを有し特定の１つのクレーム又は複数のクレームを含むユーザのデジタルアイデンティティを要求する。例えば、ユーザは、依拠パーティ１３０とのアカウントを確立しようとするか、又は、既に確立されたアカウントにアクセスしようとすることができる。

[0020]それから、方法２０３は、ステップ２１８で始まる。このステップ２１８にて、依拠パーティ１３０は、その自己表明型アイデンティティ及び受入れトークンを受け取る。ステップ２２０にて、依拠パーティ１３０は、その受入れトークンに基づいてその自己表明型クレームを妥当性検証する。即ち、依拠パーティ１３０は、その受入れトークンを、依拠パーティ１２８がその自己表明型クレームが正当であると受け入れた証拠として使用する。もし、依拠パーティ１３０が依拠パーティ１２８を信頼できるものであると考える場合には、その依拠パーティ１３０は、その受入れのトークンにのみ基づいてその自己表明型クレームを妥当性検証することができる。換言すると、もし、依拠パーティ１３０が依拠パーティ１２８を信頼できるものであると考える場合には、その自己表明型クレームは、受入れトークンにより支持されていない他のクレームより依拠できるものである。従って、依拠パーティ１３０は、このようなクレームが別の信頼できるパーティにより既に妥当性検証されているので、その自己表明型クレームを妥当性検証しなければならいというような負担を負う必要はない。

[0021]前述したように、一実施形態では、依拠パーティ１２８は、受入れのトークンにおけるデジタル署名を含む。ステップ２２０での妥当性検証中に、依拠パーティ１３０は、その受入れのトークンにおけるデジタル署名を認証するため、依拠パーティ１２８の公開キーを得ることができる。従って、依拠パーティ１３０は、依拠パーティ１２８がその自己表明型クレームを受け入れたことを確かめることができる。一実施形態では、依拠パーティ１３０は、依拠パーティ１２８から直接にその公開キーを得ることができるし、又は、公開キーのリストからその公開キーを得ることができる。別の仕方として、依拠パーティ１３０は、ユーザから依拠パーティ１２８のための公開キーを得ることができる。即ち、任意的ステップ２１７にて、ユーザは、依拠パーティ１２８のための公開キーを依拠パーティ１３０へ提供する。いかなる場合においても、依拠パーティ１３０によって得られる公開キーは、認証局によって署名されたデジタル証明書の一部でありうる。こうして、依拠パーティ１３０は、その公開キーが真正のものであることを知る。

[0022]単一の自己表明型アイデンティティについて説明してきたのであるが、当業者には、各々が１つ以上の自己表明型クレームを有する複数の自己表明型アイデンティティを使用する場合にも、この方法２００を使用することができることは理解されよう。更に又、２つの依拠パーティのみを示しているが、推移的信頼を確立するパーティのグループは、２つより多いパーティを含むことができるものである。

[0023]一実施形態では、アイデンティティマネージャー１１６は、被管理アイデンティティ１５２を管理するように構成される。被管理アイデンティティの各々は、アイデンティティプロバイダーにより支持される１つ以上のクレームを含む。例えば、被管理アイデンティティは、アイデンティティプロバイダーによって妥当性検証されているユーザのＥメールアドレスを含むことができる。本発明の一態様によれば、アイデンティティプロバイダーは、ユーザにより提供された自己表明型アイデンティティに基づいて被管理アイデンティティを発行する。この場合において、その自己表明型アイデンティティは、他のパーティがそのアイデンティティを受け入れている（従って、妥当性検証している）ことを示す情報を含んでいる。もし、アイデンティティプロバイダーがこれらの他のパーティを信頼できるものであると考える場合には、そのアイデンティティプロバイダーは、その他のパーティによる受入れのみに基づいてその被管理アイデンティティを発行することを選択することができる。

[0024]図３は、本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法３００の別の典型的な実施形態を示すフロー図である。この方法３００は、コンピュータ１０４によって行われる方法３０１、依拠パーティ１２８によって行われる方法３０２及びアイデンティティプロバイダー１３２によって行われる方法３０３を含む。この実施形態では、ユーザは、初期的に、依拠パーティ１２８へ自己表明型アイデンティティを提示する。依拠パーティ１２８は、そこにおける１つ以上のクレームを妥当性検証する。依拠パーティ１２８とアイデンティティプロバイダー１３２とは、互いの間に推移的信頼を確立している。アイデンティティプロバイダー１３２は、２つのタイプの被管理アイデンティティを発行する。即ち、その一方のタイプの被管理アイデンティティは、アイデンティティプロバイダー１３２自身により妥当性検証された１つ以上のクレームを含むものであり、他方のタイプの被管理アイデンティティは、アイデンティティプロバイダー１３２が信頼する１つ以上のパーティ（例えば、依拠パーティ１２８）によって妥当性検証されているクレームを含むものである。その第２のタイプの被管理アイデンティティは、そのアイデンティティプロバイダー１３２が信頼する他のパーティがそれらクレームを妥当性検証している事実を伝えるものである。これら他のパーティのアイデンティティは、その被管理アイデンティティ内には含まれていない。ユーザは、この被管理アイデンティティを、アイデンティティプロバイダー１３２との信頼を確立している他の依拠パーティへ提示することができる。

[0025]より詳細には、この方法３０１は、ステップ３０４で始まり、このステップ３０４にて、コンピュータ１０４のユーザは、自己表明型デジタルアイデンティティを依拠パーティ１２８へ提示する。ユーザは、典型的には、依拠パーティ１２８による要求に応答してその自己表明型アイデンティティを提供する。依拠パーティ１２８は、典型的には、特定のフォーマットを有し特定の１つ又は複数のクレームを含むユーザのデジタルアイデンティティを要求する。例えば、ユーザは、依拠パーティ１２８とのアカウントを確立しようとするか、又は、既に確立されたアカウントにアクセスしようとすることができる。

[0026]それから、方法３０２は、ステップ３０６で始まり、このステップ３０６にて、依拠パーティ１２８は、自己表明型デジタルアイデンティティを受け取る。ステップ３０８にて、依拠パーティ１２８は、その自己表明型アイデンティティにおける少なくとも１つのクレームを妥当性検証する。依拠パーティ１２８は、当業分野において良く知られた種々の機構のうちのいずれかを使用して、このような妥当性検証を行うことができる。ステップ３１０にて、依拠パーティ１２８は、ユーザへ受入れトークンを提供する。その受入れトークンは、依拠パーティ１２８によるその自己表明型クレームの真正性を主張する情報を含む（即ち、その受入れトークンは、依拠パーティ１２８がそれらクレームを妥当性検証したこと、又は、依拠パーティ１２８がそれらクレームを真正のものであると信頼していること、を示している）。一実施形態では、依拠パーティ１２８は、前述したように、公開キー基盤（ＰＫＩ）システムを使用してこのような信頼を立証する。即ち、この受入れトークンは、依拠パーティ１２８のデジタル署名を含むことができる。一実施形態では、この受入れトークンは、その自己表明型クレームが真正なものであるとされてきた時間期間を示す情報の如き、ユーザと依拠パーティとの間の関係と関連付けられた他のタイプの属性を含む。

[0027]方法３０１に戻って、受入れトークンがステップ３１２にて受け取られる。ステップ３１４にて、受入れトークンは、自己表明型アイデンティティにおいてクレームとして含ませられる。一実施形態では、受入れトークンは、任意的クレームである。即ち、ユーザがその自己表明型アイデンティティをあるパーティへ提示するとき、受入れトークンは、そのユーザの好みに基づいて選択的に送られる。ステップ３１６にて、ユーザは、その自己表明型アイデンティティ及び受入れトークンをアイデンティティプロバイダー１３２へ提示する。ユーザは、被管理アイデンティティを得るために、自己表明型アイデンティティをアイデンティティプロバイダー１３２へ提示することができる。

[0028]方法３０３は、ステップ３１６で始まり、このステップ３１８で、アイデンティティプロバイダー１３２は、自己表明型アイデンティティ及び受入れトークンを受け取る。ステップ３２０にて、アイデンティティプロバイダー１３２は、受入れトークンに基づいてその自己表明型クレームを妥当性検証する。即ち、アイデンティティプロバイダー１３２は、依拠パーティ１２８がその自己表明型クレームが正当なものであると受け入れた証拠としてその受入れトークンを使用する。もし、アイデンティティプロバイダー１３２がその依拠パーティ１２８を信頼できるものと考える場合には、そのアイデンティティプロバイダー１３２は、その受入れのトークンのみに基づいてその自己表明型クレームを妥当性検証することができる。

[0029]前述したように、一実施形態では、依拠パーティ１２８は、その受入れのトークンにデジタル署名を含ませる。ステップ３２０での妥当性検証中に、アイデンティティプロバイダー１３２は、その受入れのトークンにおけるデジタル署名を認証するため、その依拠パーティ１２８の公開キーを得ることができる。従って、アイデンティティプロバイダー１３２は、その依拠パーティ１２８がその自己表明型クレームを受け入れたことを確かめることができる。一実施形態では、アイデンティティプロバイダー１３２は、依拠パーティ１２８から直接的に公開キーを得ることができるし、又は、公開キーのリストからその公開キーを得ることができる。別の仕方として、アイデンティティプロバイダー１３２は、ユーザからその依拠パーティ１２８に対する公開キーを得ることができる。即ち、任意的ステップ３１７にて、ユーザは、その依拠パーティ１２８に対する公開キーをアイデンティティプロバイダー１３２へ提供する。いずれの場合にも、アイデンティティプロバイダー１３２により得られた公開キーは、認証局によって署名されたデジタル証明書の一部でありうる。このようにして、アイデンティティプロバイダー１３２は、その公開キーが真正のものであることを知る。

[0030]ステップ３２２にて、アイデンティティプロバイダー１３２は、それら自己表明型クレームを有する被管理アイデンティティを生成する。この被管理アイデンティティは、そのアイデンティティプロバイダー１３２が１つ以上の依拠パーティとの推移的信頼に基づいてそこにあるクレームを妥当性検証したことを示す情報を含む。アイデンティティプロバイダー１３２は、その被管理アイデンティティにデジタル的に署名し、その被管理アイデンティティがそのアイデンティティプロバイダー１３２から発せられたものであることを他のパーティが検証することができるようにする。ステップ３２４にて、アイデンティティプロバイダー１３２は、その被管理アイデンティティをユーザへ送る。方法３０１に戻って、ステップ３２６にて、ユーザは、そのアイデンティティプロバイダー１３２からその被管理アイデンティティを受け取る。ステップ３２８にて、ユーザは、その被管理アイデンティティを１つ以上の依拠パーティへ提示する。

[0031]単一の自己表明型アイデンティティ及びそれに対応する被管理アイデンティティについて説明してきたのであるが、当業者には、各々が１つ以上の自己表明型クレームを有し、各々が個々の被管理アイデンティティを生ずるような複数の自己表明型アイデンティティを使用する場合にも、この方法３００を使用することができるものであることは理解されよう。

[0032]本発明の一態様は、コンピュータシステムで使用するためのプログラム製品として実施される。このプログラム製品のプログラムは、実施形態の機能を定めており、種々の信号担持媒体に含ませることができ、これは、これに限定されるものではないが、（i）非書き込み記憶媒体（例えば、ＣＤ-ＲＯＭドライブ又はＤＶＤドライブによって読み取り可能なＣＤ-ＲＯＭ又はＤＶＤ-ＲＯＭディスクの如きコンピュータ内のリードオンリーメモリ装置）に恒久的に記憶された情報、（ii）書き込み可能記憶媒体（例えば、ディスケットドライブ又はハードディスクドライブ内のフロッピーディスク又は読み取り／書き込み可能ＣＤ又は読み取り／書き込み可能ＤＶＤ）に記憶された変更可能な情報、又は（iii）ワイヤレス通信を含むコンピュータ又は電話ネットワークを介しての如き通信媒体によってコンピュータへ送信される情報、を含む。後者の実施形態は、特に、インターネット及び他のネットワークからダウンロードされる情報を含む。このような信号担持媒体は、本発明の機能を指示するコンピュータ読み取り可能な命令を担持するとき、本発明の実施形態となっている。

[0033]本発明の実施形態について前述してきたのであるが、本発明の基本的範囲から逸脱せずに、本発明の他の更なる実施形態を考えることができるものであり、本発明の範囲は、特許請求の範囲によって決定されるものである。

本発明の１つ以上の態様によるネットワークコンピュータシステムの典型的な実施形態を示すブロック図である。 本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法の典型的な実施形態を示すフロー図である。 本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法の別の典型的な実施形態を示すフロー図である。

１００・・・ネットワークコンピュータシステム、１０２・・・ネットワーク、１０４・・・コンピュータ、１０６・・・入出力インターフェース、１０８・・・プロセッサ、１１０・・・サポート回路、１１１・・・入力装置、１１３・・・出力装置、１１４・・・メモリ、１１６・・・アイデンティティマネージャー、１２８・・・依拠パーティ、１３０・・・依拠パーティ、１３２・・・アイデンティティプロバイダー、１５０・・・自己表明型アイデンティティ、１５２・・・被管理アイデンティティ

Claims (15)

1. ユーザのデジタルアイデンティティを管理する方法であって、
   前記デジタルアイデンティティを依拠パーティに提供するステップであって、前記デジタルアイデンティティは、前記ユーザが前記デジタルアイデンティティのアイデンティティプロバイダーとして機能する自己表明型クレームを有している、ステップと、
   前記依拠パーティから受入れトークンを得るステップであって、前記受入れトークンは、前記依拠パーティに従って前記自己表明型クレームの真正性を主張し、前記受入れトークンは、前記依拠パーティのプライベートキーを使用して前記依拠パーティによりデジタル的に署名された前記自己表明型クレームの一つの表現を含んでいる、ステップと、
   前記デジタルアイデンティティ及び前記受入れトークンを第２のパーティに提供し、前記受入れトークンに基づいた前記第２のパーティによる前記自己表明型クレームの妥当性検証を要求するステップであって、前記第２のパーティは、前記受入れトークンに依拠して、前記自己表明型クレームの真正性を、前記依拠パーティによる検証済みであると示す、ステップと、
   前記依拠パーティの公開キーを、前記受入れトークンを前記依拠パーティによってデジタル的に署名されたものと確認する際に使用するために、認証局によってデジタル的に署名されたデジタル証明書の一部として、前記第２のパーティに提供するステップと、
   前記アイデンティティプロバイダーから被管理デジタルアイデンティティを受け取るステップであって、前記被管理デジタルアイデンティティは、前記自己表明型クレームに対応するクレームを含んでおり、前記被管理デジタルアイデンティティは、前記アイデンティティプロバイダーに従って該クレームの真正性を主張する、ステップと
   を備え、
   前記被管理デジタルアイデンティティは、前記アイデンティティプロバイダーにより妥当性検証された１つ以上のクレームを有する被管理デジタルアイデンティティ、及び前記アイデンティティプロバイダーが信頼する１つ以上の依拠パーティにより妥当性検証された１つ以上のクレームを有する被管理デジタルアイデンティティの１つ以上を含んでいる
   方法。
2. 前記受入れトークンを任意的クレームとして含むようデジタルアイデンティティを拡張するステップを更に備える、請求項１に記載の方法。
3. 前記受入れトークンは、前記自己表明型クレームの真正性が前記依拠パーティにより維持されてきた期間を示す情報を含む、請求項１に記載の方法。
4. 前記第２のパーティはアイデンティティプロバイダーである、請求項１に記載の方法。
5. 前記依拠パーティの前記アイデンティティは、前記被管理デジタルアイデンティティに含まれない、請求項１に記載の方法。
6. ユーザのデジタルアイデンティティを管理するシステムにおいて、
   ネットワークに通信可能に結合された１つ以上のプロセッサを備え、前記１つ以上のプロセッサは、
   前記デジタルアイデンティティを依拠パーティに提供し、ここで、前記デジタルアイデンティティは、前記ユーザが前記デジタルアイデンティティのアイデンティティプロバイダーとして機能する自己表明型クレームを有し、
   前記依拠パーティから受入れトークンを得て、ここで、前記受入れトークンは、前記依拠パーティに従って前記自己表明型クレームの真正性を主張し、前記受入れトークンは、前記依拠パーティのプライベートキーを使用して前記依拠パーティによりデジタル的に署名された前記自己表明型クレームの一つの表現を含んでおり、
   前記デジタルアイデンティティ及び前記受入れトークンを第２のパーティに提供して、前記受入れトークンに基づいた前記第２のパーティによる前記自己表明型クレームの妥当性検証を要求し、ここで、前記第２のパーティは、前記受入れトークンに依拠して、前記自己表明型クレームの真正性を、前記依拠パーティによる検証済みであると示し、
   前記依拠パーティの公開キーを、前記受入れトークンを前記依拠パーティによってデジタル的に署名されたものと確認する際に使用するために、認証局によってデジタル的に署名されたデジタル証明書の一部として、前記第２のパーティに提供し、
   前記アイデンティティプロバイダーから被管理デジタルアイデンティティを受け取り、ここで、前記被管理デジタルアイデンティティは、前記自己表明型クレームに対応するクレームを含んでおり、前記被管理デジタルアイデンティティは、前記アイデンティティプロバイダーに従って該クレームの真正性を主張する
   ように構成され、
   前記被管理デジタルアイデンティティは、前記アイデンティティプロバイダーにより妥当性検証された１つ以上のクレームを有する被管理デジタルアイデンティティ、及び前記アイデンティティプロバイダーが信頼する１つ以上の依拠パーティにより妥当性検証された１つ以上のクレームを有する被管理デジタルアイデンティティの１つ以上を含んでいる
   システム。
7. 前記１つ以上のプロセッサは、任意的クレームとして前記受入れトークンを含むようデジタルアイデンティティを拡張するようにさらに構成された、請求項６に記載のシステム。
8. 前記受入れトークンは、前記自己表明型クレームの真正性が前記依拠パーティにより維持されてきた期間を示す情報を含む、請求項６に記載のシステム。
9. 前記第２のパーティはアイデンティティプロバイダーである、請求項６に記載のシステム。
10. 前記依拠パーティの前記アイデンティティは、前記被管理デジタルアイデンティティに含まれない、請求項６に記載のシステム。
11. ユーザのデジタルアイデンティティを管理する方法であって、
    前記デジタルアイデンティティをコンピュータから依拠パーティに提供するステップであって、前記デジタルアイデンティティは、前記ユーザが前記デジタルアイデンティティのアイデンティティプロバイダーとして機能する自己表明型クレームを有している、ステップと、
    前記依拠パーティで前記自己表明型クレームを妥当性検証するステップと、
    前記依拠パーティから受入れトークンを前記コンピュータに送るステップであって、前記受入れトークンは、前記依拠パーティに従って前記自己表明型クレームの真正性を主張し、前記受入れトークンは、前記依拠パーティのプライベートキーを使用して前記依拠パーティによりデジタル的に署名された前記自己表明型クレームの一つの表現を含んでいる、ステップと、
    前記デジタルアイデンティティ及び前記受入れトークンを前記コンピュータから第２のパーティに提供するステップと、
    前記依拠パーティの公開キーを、前記受入れトークンを前記依拠パーティによってデジタル的に署名されたものと確認する際に使用するために、認証局によってデジタル的に署名されたデジタル証明書の一部として、前記第２のパーティに提供するステップと、
    前記受入れトークン及び前記依拠パーティと前記第２のパーティとの間に確立された推移的信頼に基づいて前記第２のパーティで前記自己表明型クレームを妥当性検証するステップであって、前記第２のパーティは、前記受入れトークンに依拠して、前記自己表明型クレームの真正性を、前記依拠パーティによる検証済みであると示す、ステップと、
    前記アイデンティティプロバイダーから前記コンピュータへ被管理デジタルアイデンティティを送るステップであって、前記被管理デジタルアイデンティティは、前記自己表明型クレームに対応するクレームを含んでおり、前記被管理デジタルアイデンティティは、前記アイデンティティプロバイダーに従って該クレームの真正性を主張する、ステップと
    を備え、
    前記被管理デジタルアイデンティティは、前記アイデンティティプロバイダーにより妥当性検証された１つ以上のクレームを有する被管理デジタルアイデンティティ、及び前記アイデンティティプロバイダーが信頼する１つ以上の依拠パーティにより妥当性検証された１つ以上のクレームを有する被管理デジタルアイデンティティの１つ以上を含んでいる
    方法。
12. 任意的クレームとして前記受入れトークンを含むデジタルアイデンティティを拡張するステップを更に含む、請求項１１に記載の方法。
13. 前記受入れトークンは、前記自己表明型クレームの真正性が前記依拠パーティにより維持されてきた期間を示す情報を含む、請求項１１に記載の方法。
14. 前記第２のパーティはアイデンティティプロバイダーである、請求項１１に記載の方法。
15. 前記依拠パーティの前記アイデンティティは、前記被管理デジタルアイデンティティに含まれない、請求項１１に記載の方法。

Images