JP5453785B2

JP5453785B2 - Authentication system, authentication server, authentication method, and program

Info

Publication number: JP5453785B2
Application number: JP2008304101A
Authority: JP
Inventors: 茂雄木谷
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2008-11-28
Filing date: 2008-11-28
Publication date: 2014-03-26
Anticipated expiration: 2028-11-28
Also published as: JP2010128876A

Description

本発明は、不正なアクセスを防止するために好適な認証システム、認証サーバ、認証方法、及び、プログラムに関する。 The present invention relates to an authentication system, an authentication server, an authentication method, and a program suitable for preventing unauthorized access.

インターネットバンキングやオンラインショッピングといったようにネットワークを使ってユーザにサービスを提供するオンラインシステムが普及している。ユーザは、パーソナルコンピュータや携帯電話機などを用いてオンラインシステムにアクセスする。典型的なオンラインシステムでは、入力されたユーザ情報（例えば、ユーザ名、パスワード、口座番号、その他個人情報など）が予め登録したユーザ情報と合致すれば、アクセスが許可されてサービスが利用可能になる。 Online systems that provide services to users using a network, such as Internet banking and online shopping, have become widespread. The user accesses the online system using a personal computer or a mobile phone. In a typical online system, if the input user information (for example, user name, password, account number, and other personal information) matches the previously registered user information, access is permitted and the service can be used. .

上記オンラインシステムが普及する一方で、悪意をもった第三者がキーボードからの入力を記録するプログラム（いわゆる“キーロガー”）をパーソナルコンピュータ等に仕掛け、記録されるユーザ情報が外部に漏れてしまう被害や、本物とよく似た偽のウェブサイトを用意してユーザを誘導し不正にユーザ情報を入手するフィッシングと呼ばれる詐欺による被害などが発生している。このため、オンラインシステムを構築する上では、セキュリティ対策が不可欠である。 While the above online system has become widespread, a third party with malicious intent has installed a program (so-called “key logger”) that records input from the keyboard on a personal computer, etc., resulting in leakage of recorded user information to the outside In addition, there is a damage caused by a fraud called phishing that prepares a fake website very similar to the real thing to guide users and obtain user information illegally. For this reason, security measures are indispensable for building an online system.

例えば特許文献１には、携帯電話を利用したリモートアクセスのセキュリティ対策として、ログイン用のＵＲＩ（Uniform Resource Identifier）へアクセスした携帯電話の個体識別番号と、予め登録された携帯電話の個体識別番号とが一致した場合に、ログインを許可する認証システムが開示されている。 For example, in Patent Document 1, as a security measure for remote access using a mobile phone, an individual identification number of a mobile phone accessing a login Uniform Resource Identifier (URI), an individual identification number of a mobile phone registered in advance, An authentication system is disclosed that permits login when the two match.

また、一定時間ごとにパスワードが変化するワンタイムパスワード生成機を用いることにより、仮にパスワードが盗まれても、悪意の第三者が不正利用することを困難にするシステムも構築されている。 In addition, a system that makes it difficult for a malicious third party to illegally use a password even if the password is stolen has been constructed by using a one-time password generator whose password changes at regular intervals.

特開２００６−３３８１６１号公報JP 2006-338161 A

しかし、特許文献１の認証システムは、携帯電話向けのオンラインサービスを前提とし、携帯電話は一般に画面サイズが小さいため、パーソナルコンピュータよりも操作性で劣ることが多く、ユーザにとって不便であった。また、ワンタイムパスワード生成機を用いる認証システムを採用するためには、開発コスト・維持コストが多くかかってしまうという問題があった。 However, the authentication system of Patent Document 1 is premised on an online service for mobile phones, and since mobile phones generally have a small screen size, they are often inferior in operability to personal computers and are inconvenient for users. In addition, in order to employ an authentication system that uses a one-time password generator, there is a problem in that development costs and maintenance costs increase.

本発明はこのような課題を解決するものであり、不正なアクセスを防止するために好適な認証システム、認証サーバ、認証方法、及び、プログラムを提供することを目的とする。 The present invention solves such a problem, and an object thereof is to provide an authentication system, an authentication server, an authentication method, and a program suitable for preventing unauthorized access.

以上の目的を達成するため、本発明の第１の観点に係る認証システムは、第１ユーザ端末と第２ユーザ端末と認証サーバとを有する認証システムであって、
前記認証サーバは、
ユーザを識別するユーザＩＤと、前記ユーザから前記ユーザＩＤの入力を受け付ける認証ページを前記第１ユーザ端末において表示する際に用いられるブラウザの種類とバージョンを示すブラウザ情報と、パスワードと、前記第２ユーザ端末に予め割り当てられる識別情報と、を対応付けて予め記憶する記憶部を備え、
前記第１ユーザ端末は、
前記認証ページを表示する表示部と、
前記ユーザから前記ユーザＩＤの入力を受け付ける第１入力受付部と、
前記第１入力受付部により受け付けられるユーザＩＤと、前記表示部による前記認証ページの表示に用いられたブラウザの種類とバージョンと、を前記認証サーバに送信する第１送信部と、
を備え、
前記第２ユーザ端末は、
前記ユーザからパスワードの入力を受け付ける第２入力受付部と、
前記第２入力受付部により受け付けられるパスワードと、前記第２ユーザ端末に予め割り当てられる前記識別情報を前記認証サーバに送信する第２送信部と、
を備え、
前記認証サーバは、更に、
前記第１ユーザ端末から、前記ユーザＩＤと、前記表示部による前記認証ページの表示に用いられたブラウザの種類とバージョンと、を受信する第１受信部と、
前記第１受信部が受信したユーザＩＤに対応付けられる識別情報が示す前記第２ユーザ端末から、前記受け付けられたパスワードと、前記第２ユーザ端末に予め割り当てられる前記識別情報とを受信する第２受信部と、
前記第１受信部が受信したユーザＩＤに対応付けられて前記記憶部に記憶されているパスワードと、前記第２受信部が受信したパスワードとが一致し、且つ、前記第１受信部が受信したユーザＩＤに対応付けられて前記記憶部に記憶されている識別情報と、前記第２受信部が受信した識別情報とが一致し、且つ、前記第１受信部が受信したユーザＩＤに対応付けられて前記記憶部に記憶されているブラウザ情報が示す前記ブラウザの種類とバージョンと、前記第１受信部が受信した前記ブラウザの種類とバージョンと、が一致する場合に、前記ユーザの認証が成功したと判定し、それ以外の場合に、前記ユーザの認証が失敗したと判定する認証判定部と、
前記認証判定部による判定結果を前記第１ユーザ端末に通知する判定結果通知部と、
を備えることを特徴とする。 In order to achieve the above object, an authentication system according to a first aspect of the present invention is an authentication system having a first user terminal, a second user terminal, and an authentication server,
The authentication server is
A user ID for identifying a user, browser information indicating a browser type and version used when displaying an authentication page for accepting an input of the user ID from the user on the first user terminal, a password, and the second A storage unit that stores the identification information assigned in advance to the user terminal in association with the information;
The first user terminal is
A display unit for displaying the authentication page;
A first input receiving unit that receives an input of the user ID from the user,
A first transmission unit that transmits the user ID received by the first input reception unit and the type and version of the browser used for displaying the authentication page by the display unit to the authentication server;
With
The second user terminal is
A second input receiving unit for receiving an input of a password from the user;
A second transmission unit for transmitting the password is accepted by the second input receiving unit, the identification information that is pre-assigned to the second user terminal to the authentication server,
With
The authentication server further includes:
A first receiver that receives from the first user terminal the user ID and the type and version of the browser used to display the authentication page by the display ;
From the second user terminal indicated by the identification information associated with the user ID of the first receiving unit has received, the second receiving and password the accepted, and the identification information that is pre-assigned to the second user terminal A receiver,
And password associated with the user ID Ru Tei stored in the storage unit in which the first reception unit receives, the password for the second reception unit receives the match, and the first reception unit receives and Tei Ru identification information stored in the storage unit in association with the user ID, the identification information matches the second receiving unit receives, and, associated with the user ID that the first reception unit receives If the browser type and version indicated by the browser information stored in the storage unit match the browser type and version received by the first receiving unit , the user has been successfully authenticated. And an authentication determination unit that determines that the user authentication has failed in other cases,
A determination result notifying unit for notifying the first user terminal of a determination result by the authentication determining unit;
It is characterized by providing.

本発明の第２の観点に係る認証サーバは、ユーザにより使用される第１ユーザ端末及び第２ユーザ端末とネットワークを介して接続される認証サーバであって、
前記ユーザを識別するユーザＩＤと、前記ユーザから前記ユーザＩＤの入力を受け付ける認証ページを前記第１ユーザ端末において表示する際に用いられるブラウザの種類とバージョンを示すブラウザ情報と、パスワードと、前記第２ユーザ端末を識別する識別情報であって前記第２ユーザ端末に予め割り当てられる識別情報と、を対応付けて予め記憶する記憶部と、
前記ユーザから入力されたユーザＩＤと、前記第１ユーザ端末による前記認証ページの表示に用いられたブラウザの種類とバージョンと、を前記第１ユーザ端末から受信する第１受信部と、
前記第１受信部が受信したユーザＩＤに対応付けられる識別情報が示す前記第２ユーザ端末から、前記ユーザから入力されたパスワードと、前記第２ユーザ端末に予め割り当てられる識別情報とを受信する第２受信部と、
前記第１受信部が受信したユーザＩＤに対応付けられて前記記憶部に記憶されているパスワードと、前記第２受信部が受信したパスワードとが一致し、且つ、前記第１受信部が受信したユーザＩＤに対応付けられて前記記憶部に記憶されている識別情報と、前記第２受信部が受信した識別情報とが一致し、且つ、前記第１受信部が受信したユーザＩＤに対応付けられて前記記憶部に記憶されているブラウザ情報が示す前記ブラウザの種類とバージョンと、前記第１受信部が受信した前記ブラウザの種類とバージョンと、が一致する場合に、前記ユーザの認証が成功したと判定し、それ以外の場合に、前記ユーザの認証が失敗したと判定する認証判定部と、
前記認証判定部による判定結果を前記第１ユーザ端末に通知する判定結果通知部と、
を備えることを特徴とする。 An authentication server according to a second aspect of the present invention is an authentication server connected via a network to a first user terminal and a second user terminal used by a user,
A user ID for identifying the user; browser information indicating a browser type and version used when displaying an authentication page for accepting input of the user ID from the user on the first user terminal; a password; A storage unit that stores identification information for identifying two user terminals in advance in association with identification information that is assigned in advance to the second user terminal ;
A first receiving unit that receives from the first user terminal the user ID input by the user and the type and version of the browser used to display the authentication page by the first user terminal;
A second unit configured to receive a password input from the user and identification information assigned in advance to the second user terminal from the second user terminal indicated by the identification information associated with the user ID received by the first receiving unit; Two receivers;
And password associated with the user ID Ru Tei stored in the storage unit in which the first reception unit receives, the password for the second reception unit receives the match, and the first reception unit receives and Tei Ru identification information stored in the storage unit in association with the user ID, the identification information matches the second receiving unit receives, and, associated with the user ID that the first reception unit receives If the browser type and version indicated by the browser information stored in the storage unit match the browser type and version received by the first receiving unit , the user has been successfully authenticated. And an authentication determination unit that determines that the user authentication has failed in other cases,
A determination result notifying unit for notifying the first user terminal of a determination result by the authentication determining unit;
It is characterized by providing.

本発明の第３の観点に係る認証方法は、記憶部を有し、ユーザにより使用される第１ユーザ端末及び第２ユーザ端末とネットワークを介して接続される認証サーバにて実行される認証方法であって、
前記記憶部には、前記ユーザを識別するユーザＩＤと、前記ユーザから前記ユーザＩＤの入力を受け付ける認証ページを前記第１ユーザ端末において表示する際に用いられるブラウザの種類とバージョンを示すブラウザ情報と、パスワードと、前記第２ユーザ端末を識別する識別情報であって前記第２ユーザ端末に予め割り当てられる識別情報と、が対応付けて予め記憶され、
前記ユーザから入力されたユーザＩＤと、前記第１ユーザ端末による前記認証ページの表示に用いられたブラウザの種類とバージョンと、を前記第１ユーザ端末から受信する第１受信ステップと、
前記第１受信ステップで受信したユーザＩＤに対応付けられる識別情報が示す前記第２ユーザ端末から、前記ユーザから入力されたパスワードと、前記第２ユーザ端末に予め割り当てられる識別情報とを受信する第２受信ステップと、
前記第１受信ステップで受信したユーザＩＤに対応付けられて前記記憶部に記憶されているパスワードと、前記第２受信ステップで受信したパスワードとが一致し、且つ、前記第１受信ステップで受信したユーザＩＤに対応付けられて前記記憶部に記憶されている識別情報と、前記第２受信ステップで受信した識別情報とが一致し、且つ、前記第１受信部が受信したユーザＩＤに対応付けられて前記記憶部に記憶されているブラウザ情報が示す前記ブラウザの種類とバージョンと、前記第１受信部が受信した前記ブラウザの種類とバージョンと、が一致する場合に、前記ユーザの認証が成功したと判定し、それ以外の場合に、前記ユーザの認証が失敗したと判定する認証判定ステップと、
前記認証判定ステップによる判定結果を前記第１ユーザ端末に通知する判定結果通知ステップと、
を備えることを特徴とする。 An authentication method according to a third aspect of the present invention includes a storage unit, and is executed by an authentication server connected via a network to a first user terminal and a second user terminal used by a user. Because
The storage unit includes a user ID for identifying the user, browser information indicating a browser type and version used when displaying an authentication page for accepting an input of the user ID from the user on the first user terminal; The password and the identification information for identifying the second user terminal and the identification information assigned in advance to the second user terminal are stored in advance in association with each other.
A first receiving step of receiving, from the first user terminal , a user ID input from the user and a type and version of a browser used for displaying the authentication page by the first user terminal;
A second password is received from the second user terminal indicated by the identification information associated with the user ID received in the first receiving step, and the identification information assigned in advance to the second user terminal is received. Two receiving steps;
Wherein the password that you Tei stored in the storage unit in association with the user ID received in the first reception step, and the password received at the second receiving step matches, and were received in the first receiving step and Tei Ru identification information stored in the storage unit in association with the user ID, and the identification information received by the second receiving step matches, and, associated with the user ID that the first reception unit receives If the browser type and version indicated by the browser information stored in the storage unit match the browser type and version received by the first receiving unit , the user has been successfully authenticated. And an authentication determination step of determining that the user authentication has failed in other cases,
A determination result notifying step of notifying the first user terminal of the determination result of the authentication determining step;
It is characterized by providing.

本発明の第４の観点に係るプログラムは、ユーザにより使用される第１ユーザ端末及び第２ユーザ端末とネットワークを介して接続されるコンピュータを、
前記ユーザを識別するユーザＩＤと、前記ユーザから前記ユーザＩＤの入力を受け付ける認証ページを前記第１ユーザ端末において表示する際に用いられるブラウザの種類とバージョンを示すブラウザ情報と、パスワードと、前記第２ユーザ端末を識別する識別情報であって前記第２ユーザ端末に予め割り当てられる識別情報と、を対応付けて予め記憶する記憶部、
前記ユーザから入力されたユーザＩＤと、前記第１ユーザ端末による前記認証ページの表示に用いられたブラウザの種類とバージョンと、を前記第１ユーザ端末から受信する第１受信部、
前記第１受信部が受信したユーザＩＤに対応付けられる識別情報が示す前記第２ユーザ端末から、前記ユーザから入力されたパスワードと、前記第２ユーザ端末に予め割り当てられる識別情報とを受信する第２受信部、
前記第１受信部が受信したユーザＩＤに対応付けられて前記記憶部に記憶されているパスワードと、前記第２受信部が受信したパスワードとが一致し、且つ、前記第１受信部が受信したユーザＩＤに対応付けられて前記記憶部に記憶されている識別情報と、前記第２受信部が受信した識別情報とが一致し、且つ、前記第１受信部が受信したユーザＩＤに対応付けられて前記記憶部に記憶されているブラウザ情報が示す前記ブラウザの種類とバージョンと、前記第１受信部が受信した前記ブラウザの種類とバージョンと、が一致する場合に、前記ユーザの認証が成功したと判定し、それ以外の場合に、前記ユーザの認証が失敗したと判定する認証判定部、
前記認証判定部による判定結果を前記第１ユーザ端末に通知する判定結果通知部、
として機能させることを特徴とする。
A program according to a fourth aspect of the present invention is a computer connected to a first user terminal and a second user terminal used by a user via a network.
A user ID for identifying the user; browser information indicating a browser type and version used when displaying an authentication page for accepting input of the user ID from the user on the first user terminal; a password; A storage unit that stores identification information that identifies two user terminals in advance in association with identification information that is assigned in advance to the second user terminal ;
A first receiver that receives from the first user terminal the user ID input by the user and the type and version of the browser used to display the authentication page by the first user terminal;
A second unit configured to receive a password input from the user and identification information assigned in advance to the second user terminal from the second user terminal indicated by the identification information associated with the user ID received by the first receiving unit; 2 receivers,
And password associated with the user ID Ru Tei stored in the storage unit in which the first reception unit receives, the password for the second reception unit receives the match, and the first reception unit receives and Tei Ru identification information stored in the storage unit in association with the user ID, the identification information matches the second receiving unit receives, and, associated with the user ID that the first reception unit receives If the browser type and version indicated by the browser information stored in the storage unit match the browser type and version received by the first receiving unit , the user has been successfully authenticated. And an authentication determination unit that determines that the user authentication has failed otherwise.
A determination result notifying unit for notifying the first user terminal of a determination result by the authentication determining unit;
It is made to function as.

本発明によれば、不正なアクセスを防止するために好適な認証システム、認証サーバ、認証方法、及び、プログラムを提供することができる。 According to the present invention, an authentication system, an authentication server, an authentication method, and a program suitable for preventing unauthorized access can be provided.

（実施例１）
本発明の実施例を説明する。本実施例は、インターネットバンキングシステムにおける本人認証のための処理に本発明を適用した例である。 Example 1
Examples of the present invention will be described. The present embodiment is an example in which the present invention is applied to processing for personal authentication in an Internet banking system.

図１は、本実施例に係る認証システム１の構成を示す図である。認証システム１は、パーソナルコンピュータ１００、認証サーバ２００、通信ネットワーク３００Ａ、通信ネットワーク３００Ｂ、携帯端末４００、認証データベース５００を備える。 FIG. 1 is a diagram illustrating a configuration of an authentication system 1 according to the present embodiment. The authentication system 1 includes a personal computer 100, an authentication server 200, a communication network 300A, a communication network 300B, a portable terminal 400, and an authentication database 500.

通信ネットワーク３００Ａは、典型的にはインターネットである。ただし、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）、専用回線などでもよい。 Communication network 300A is typically the Internet. However, a local area network (LAN), a wide area network (WAN), a dedicated line, or the like may be used.

通信ネットワーク３００Ｂは、典型的には携帯電話回線である。通信ネットワーク３００Ａ，３００Ｂは互いに接続されており、データの送受信が可能である。 Communication network 300B is typically a mobile phone line. Communication networks 300A and 300B are connected to each other and can transmit and receive data.

通信ネットワーク３００Ａと通信ネットワーク３００Ｂは、プロトコルを相互変換するゲートウェイを介して接続される。 Communication network 300A and communication network 300B are connected via a gateway that mutually converts protocols.

まず、パーソナルコンピュータ１００のハードウェア構成について説明する。図２に示すように、パーソナルコンピュータ１００は、制御部１０１、記憶部１０２、入力受付部１０３、Ｉ／Ｆ（Interface）１０４、画像処理部１０５、音声処理部１０６、通信部１０７を備える。 First, the hardware configuration of the personal computer 100 will be described. As shown in FIG. 2, the personal computer 100 includes a control unit 101, a storage unit 102, an input reception unit 103, an I / F (Interface) 104, an image processing unit 105, an audio processing unit 106, and a communication unit 107.

制御部１０１は、ＣＰＵ（Central Processing Unit）等から構成され、パーソナルコンピュータ１００全体の動作を制御し、各構成要素と接続され制御信号やデータをやりとりする。また、制御部１０１は、レジスタという高速アクセスが可能な記憶域に対してＡＬＵ（Arithmetic Logic Unit）を用いて加減乗除等の算術演算や、論理和、論理積、論理否定等の論理演算、ビット和、ビット積、ビット反転、ビットシフト、ビット回転等のビット演算などを行うことができる。制御部１０１は、例えば、インターネットバンキングシステムのクライアント側アプリケーションを実行する。 The control unit 101 includes a CPU (Central Processing Unit) and the like, controls the operation of the personal computer 100 as a whole, and is connected to each component to exchange control signals and data. In addition, the control unit 101 uses arithmetic operations such as addition / subtraction / division / multiplication / division, logical operations such as logical sum, logical product, and logical negation, bit, etc., using an ALU (Arithmetic Logic Unit) for a storage area that can be accessed at high speed as a register. Bit operations such as sum, bit product, bit inversion, bit shift, and bit rotation can be performed. For example, the control unit 101 executes a client-side application of the Internet banking system.

記憶部１０２は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスク装置などから構成される。ＲＯＭには、パーソナルコンピュータ１００全体の動作制御に必要なプログラムや各種のデータが記録される。ＲＡＭは、データやプログラムを一時的に記憶する。制御部１０１は、ＲＡＭに変数領域を設け、当該変数に格納された値に対して直接ＡＬＵを作用させて演算を行ったり、ＲＡＭに格納された値を一旦レジスタに格納してからレジスタに対して演算を行い、演算結果をメモリに書き戻す、などの処理を行う。ハードディスク装置は、オペレーティングシステム、ウェブページを閲覧するためのソフトウェア（以下「ウェブブラウザ」という。）、ユーザが作成した任意のデータなどを格納する。 The storage unit 102 includes a ROM (Read Only Memory), a RAM (Random Access Memory), a hard disk device, and the like. In the ROM, programs and various data necessary for operation control of the entire personal computer 100 are recorded. The RAM temporarily stores data and programs. The control unit 101 provides a variable area in the RAM, performs an operation by directly operating the ALU on the value stored in the variable, or temporarily stores the value stored in the RAM in the register and then stores the value in the register. The calculation is performed, and the calculation result is written back to the memory. The hard disk device stores an operating system, software for browsing web pages (hereinafter referred to as “web browser”), arbitrary data created by the user, and the like.

入力受付部１０３は、キーボード、マウスなどの入力デバイスを備える。ユーザは、入力デバイスを操作して任意の指示入力やデータ等を入力することができる。 The input receiving unit 103 includes input devices such as a keyboard and a mouse. The user can input an arbitrary instruction input, data, or the like by operating the input device.

Ｉ／Ｆ１０４は、ＤＶＤ−ＲＯＭ（Digital Versatile Disk - Read Only Memory）、ＣＤ−ＲＯＭ（Compact Disc - Read Only Memory）等の情報記録媒体からデータを読み出したり書き込んだりするドライブ装置を備える。 The I / F 104 includes a drive device that reads and writes data from an information recording medium such as a DVD-ROM (Digital Versatile Disk-Read Only Memory) and a CD-ROM (Compact Disc-Read Only Memory).

画像処理部１０５は、記憶部１０２等から読み出されたデータを、制御部１０１や画像処理部１０５が備える画像演算プロセッサ（図示せず）によって加工処理した後、画像処理部１０５が備えるフレームメモリ（図示せず）に記録する。フレームメモリに記録された画像情報は、所定の同期タイミングでビデオ信号に変換され画像処理部１０５に接続されるモニターへ出力される。これにより、各種の画像表示が可能となる。 The image processing unit 105 processes the data read from the storage unit 102 or the like by an image arithmetic processor (not shown) included in the control unit 101 or the image processing unit 105, and then includes a frame memory included in the image processing unit 105. (Not shown). The image information recorded in the frame memory is converted into a video signal at a predetermined synchronization timing and output to a monitor connected to the image processing unit 105. Thereby, various image displays are possible.

音声処理部１０６は、記憶部１０２等から読み出したディジタル音声データをアナログ音声信号に変換し、接続されたスピーカーから音声を出力させる。 The audio processing unit 106 converts the digital audio data read from the storage unit 102 or the like into an analog audio signal, and outputs audio from the connected speaker.

通信部１０７は、パーソナルコンピュータ１００を通信ネットワーク３００Ａに接続するためのＮＩＣ（Network Interface Card）を備える。あるいは、通信部１０７は、ＬＡＮを構成する際に用いられる１０ＢＡＳＥ−Ｔ／１００ＢＡＳＥ−Ｔ規格にしたがうものや、電話回線を用いてインターネットに接続するためのアナログモデム、ＩＳＤＮ（Integrated Services Digital Network）モデム、ＡＤＳＬ（Asymmetric Digital Subscriber Line）モデム、ケーブルテレビジョン回線を用いてインターネットに接続するためのケーブルモデム等と、これらと制御部１０１との仲立ちを行うインターフェース（図示せず）により構成されてもよい。 The communication unit 107 includes a NIC (Network Interface Card) for connecting the personal computer 100 to the communication network 300A. Alternatively, the communication unit 107 conforms to a 10BASE-T / 100BASE-T standard used when configuring a LAN, an analog modem for connecting to the Internet using a telephone line, or an ISDN (Integrated Services Digital Network) modem. , An ADSL (Asymmetric Digital Subscriber Line) modem, a cable modem for connecting to the Internet using a cable television line, and an interface (not shown) that mediates between these and the control unit 101 .

ユーザは、上記各構成を有するパーソナルコンピュータ１００を操作し、ブラウザを用いて、例えばインターネットバンキングサービスを提供するウェブサイトにアクセスすることができる。後述する認証処理で接続が許可されたユーザは、口座振り込み、残高確認などのインターネットバンキングサービスを利用できる。 The user can access the website that provides, for example, an internet banking service by operating the personal computer 100 having the above-described configurations and using a browser. A user who is permitted to connect in an authentication process described later can use an internet banking service such as account transfer and balance confirmation.

次に、認証サーバ２００のハードウェア構成について説明する。図３に示すように、認証サーバ２００は、制御部２０１、記憶部２０２、通信部２０３を備える。 Next, the hardware configuration of the authentication server 200 will be described. As illustrated in FIG. 3, the authentication server 200 includes a control unit 201, a storage unit 202, and a communication unit 203.

制御部２０１は、ＣＰＵなどから構成され、記憶部２０２に記憶されるオペレーティングシステムやその他プログラム等に従って認証サーバ２００の各部を制御する。制御部２０１は、例えばインターネットバンキングシステムのサーバ側アプリケーションを実行する。制御部２０１は、インターネットバンキングシステムに接続する旨の要求をパーソナルコンピュータ１００から受け取り、後述する認証処理を行う。認証の結果、接続を許可すると判別した場合には、接続要求のあったパーソナルコンピュータ１００にインターネットバンキングシステムへの接続を許可し、パーソナルコンピュータ１００のユーザにインターネットバンキングサービスを提供する。 The control unit 201 includes a CPU and the like, and controls each unit of the authentication server 200 according to an operating system, other programs, and the like stored in the storage unit 202. The control unit 201 executes, for example, a server side application of the internet banking system. The control unit 201 receives a request for connection to the Internet banking system from the personal computer 100, and performs an authentication process described later. If it is determined that the connection is permitted as a result of the authentication, the personal computer 100 that has requested connection is permitted to connect to the Internet banking system, and the Internet banking service is provided to the user of the personal computer 100.

記憶部２０２は、ＲＡＭ、ＲＯＭ、ハードディスク装置などの記憶装置から構成される。例えば、記憶部２０２は、認証サーバ２００全体を制御するためのオペレーティングシステムやプログラム、認証データベース５００から読み出されたユーザ情報テーブル５１０などを記憶する。 The storage unit 202 includes a storage device such as a RAM, a ROM, and a hard disk device. For example, the storage unit 202 stores an operating system and program for controlling the entire authentication server 200, a user information table 510 read from the authentication database 500, and the like.

通信部２０３は、ＮＩＣ、ルータ、モデム、などといった通信装置から構成される。通信部２０３は、制御部２０１の制御により、パーソナルコンピュータ１００や携帯端末４００と通信する。 The communication unit 203 includes a communication device such as a NIC, a router, or a modem. The communication unit 203 communicates with the personal computer 100 and the portable terminal 400 under the control of the control unit 201.

また、認証サーバ２００には、認証データベース５００が接続されており、制御部２０１は、認証データベース５００から随時データを読み出したり、認証データベース５００を更新したりすることができる。なお、認証データベース５００の構成の詳細については後述する。 In addition, an authentication database 500 is connected to the authentication server 200, and the control unit 201 can read data from the authentication database 500 and update the authentication database 500 as needed. Details of the configuration of the authentication database 500 will be described later.

上記構成を有する認証サーバ２００は、パーソナルコンピュータ１００からの認証要求に応答して、後述する認証処理を開始する。 The authentication server 200 having the above configuration starts an authentication process described later in response to an authentication request from the personal computer 100.

次に、携帯端末４００のハードウェア構成について説明する。本実施例では、携帯端末４００は携帯電話機である。図４に示すように、携帯端末４００は、制御部４０１、記憶部４０２、入力受付部４０３、外部メモリＩ／Ｆ４０４、画像処理部４０５、音声処理部４０６、無線処理部４０７、ディスプレイ４２１、スピーカー４２２、マイクロフォン４２３、アンテナ４２４を備える。 Next, the hardware configuration of the mobile terminal 400 will be described. In this embodiment, the mobile terminal 400 is a mobile phone. As shown in FIG. 4, the mobile terminal 400 includes a control unit 401, a storage unit 402, an input reception unit 403, an external memory I / F 404, an image processing unit 405, an audio processing unit 406, a wireless processing unit 407, a display 421, a speaker. 422, a microphone 423, and an antenna 424.

制御部４０１は、記憶部４０２に記憶されるオペレーティングシステムや制御プログラムに従って、携帯端末４００全体を制御する。制御部４０１は、各部に制御信号およびデータを送信、または、各部から応答信号およびデータを受信する。 The control unit 401 controls the entire portable terminal 400 according to an operating system and a control program stored in the storage unit 402. The control unit 401 transmits a control signal and data to each unit, or receives a response signal and data from each unit.

記憶部４０２は、ＲＯＭ、ＲＡＭ、フラッシュメモリなどの記憶装置から構成される。記憶部４０２は、オペレーティングシステム、ウェブブラウザ等のソフトウェア、ユーザから入力されるデータ等を記憶する。 The storage unit 402 is composed of a storage device such as a ROM, a RAM, or a flash memory. The storage unit 402 stores an operating system, software such as a web browser, data input from a user, and the like.

また、記憶部４０２は、携帯端末４００に予め付与されている個体識別番号４６０を記憶する。個体識別番号４６０は、携帯端末４００を一意に識別できる情報であって、ＨＴＴＰ（HyperText Transfer Protocol）ヘッダーに付加させることが可能な情報である。個体識別番号４６０は、典型的には、アルファベットと数字を用いて定義され、携帯電話サービス提供側（携帯電話事業者あるいはメーカー）から予め付与される。 In addition, the storage unit 402 stores an individual identification number 460 previously assigned to the mobile terminal 400. The individual identification number 460 is information that can uniquely identify the mobile terminal 400, and is information that can be added to an HTTP (HyperText Transfer Protocol) header. The individual identification number 460 is typically defined using alphabets and numbers, and is assigned in advance from the mobile phone service provider (mobile phone operator or manufacturer).

入力受付部４０３は、数字キー、カーソルキー、電源キーなどの各種操作キーを備える。ユーザは、入力デバイスを操作して任意の指示入力やデータ等を入力することができる。入力受付部４０３は、ユーザが操作キーを押圧すると、操作キーに対応するキーコード信号を制御部１０７に出力する。制御部４０１は、キーコード信号に基づき、操作内容を決定する。 The input receiving unit 403 includes various operation keys such as numeric keys, cursor keys, and power keys. The user can input an arbitrary instruction input, data, or the like by operating the input device. When the user presses the operation key, the input receiving unit 403 outputs a key code signal corresponding to the operation key to the control unit 107. The control unit 401 determines the operation content based on the key code signal.

外部メモリＩ／Ｆ４０４は、着脱可能な外部メモリ４５０との接続を行いデータの入出力を行う。 The external memory I / F 404 is connected to a removable external memory 450 to input / output data.

画像処理部４０５は、制御部４０１や画像処理部４０５が備える画像演算プロセッサによって画像データを加工処理した後、画像処理部４０５が備える出力バッファ（図示せず）に記録する。出力バッファに記録された画像情報は、所定の同期タイミングで画像信号に変換され、画像処理部４０５に接続されるディスプレイ４２１に出力される。これにより、各種の画像表示が可能となる。例えば、ディスプレイ４２１は、ＬＣＤ（Liquid Crystal Display）、有機ＥＬ（Electro-Luminescence）ディスプレイなどから構成される。 The image processing unit 405 processes the image data by the image calculation processor provided in the control unit 401 or the image processing unit 405 and then records the processed data in an output buffer (not shown) provided in the image processing unit 405. The image information recorded in the output buffer is converted into an image signal at a predetermined synchronization timing, and is output to the display 421 connected to the image processing unit 405. Thereby, various image displays are possible. For example, the display 421 includes an LCD (Liquid Crystal Display), an organic EL (Electro-Luminescence) display, or the like.

音声処理部４０６は、携帯端末４００が送信機となる場合、ユーザの発声音等をマイクロフォン４２３によって集音し、音声処理部４０６が備えるＡ／Ｄ（Analog/Digital）コンバータにより音声信号に変換し音声信号を出力する。また、音声処理部４０６は、携帯端末４００が受信機となる場合、音声処理部４０６が備えるＤ／Ａ（Digital/Analog）コンバータにより復調された通話音をスピーカー４２２から出力する。 When the portable terminal 400 serves as a transmitter, the voice processing unit 406 collects a user's uttered sound or the like by the microphone 423 and converts the sound into a voice signal by an A / D (Analog / Digital) converter included in the voice processing unit 406. Output audio signals. In addition, when the mobile terminal 400 serves as a receiver, the voice processing unit 406 outputs a call sound demodulated by a D / A (Digital / Analog) converter included in the voice processing unit 406 from the speaker 422.

無線通信部４０７は、携帯端末４００が送信機となる場合、マイクロフォン４２３により入力され音声処理部４０６が備えるＡ／Ｄコンバータにより変換された音声信号を変調し、アンテナ４２４を用いて相手（受信側）に送信する。また、携帯端末４００が受信機となる場合、アンテナ４２４を用いて音声信号等を受信し、入力された音声信号を復調する。復調された音声信号は音声処理部４０６に入力される。 When the mobile terminal 400 serves as a transmitter, the wireless communication unit 407 modulates the audio signal input by the microphone 423 and converted by the A / D converter included in the audio processing unit 406, and uses the antenna 424 to transmit the other party (receiving side). ). When the portable terminal 400 is a receiver, the antenna 424 is used to receive an audio signal or the like and demodulate the input audio signal. The demodulated audio signal is input to the audio processing unit 406.

また、無線通信部４０７は、ＧＰＳ（Global Positioning System）等の通信衛星と通信し、通信衛星から送信される所定の信号に基づいて携帯端末４００の位置情報（具体的には緯度や経度など）を取得し、取得した位置情報を制御部４０１に入力する。また、制御部４０１の指示に基づいて、取得した位置情報を示す信号を、アンテナ４２４を用いて所定の周波数の電波で基地局に送信する。 The wireless communication unit 407 communicates with a communication satellite such as GPS (Global Positioning System), and position information (specifically, latitude and longitude) of the mobile terminal 400 based on a predetermined signal transmitted from the communication satellite. And the acquired position information is input to the control unit 401. Further, based on an instruction from the control unit 401, a signal indicating the acquired position information is transmitted to the base station using a radio wave of a predetermined frequency using the antenna 424.

次に、認証データベース５００の構成について説明する。図５は、認証データベース５００に格納されるユーザ情報テーブル５１０の構成例を示す図である。認証データベース５００には、ユーザＩＤ５１１、個体識別番号５１２、アドレス５１３、パスワード５１４を対応付けたユーザ情報テーブル５１０が格納される。 Next, the configuration of the authentication database 500 will be described. FIG. 5 is a diagram illustrating a configuration example of the user information table 510 stored in the authentication database 500. The authentication database 500 stores a user information table 510 in which a user ID 511, an individual identification number 512, an address 513, and a password 514 are associated with each other.

ユーザＩＤ５１１は、ユーザを識別するための情報であり、典型的にはアルファベット、数字、記号等を用いて定義される。ユーザＩＤ５１１は、ユーザが任意に設定できる文字列でもよいし、ユーザが所有するメールアドレスをユーザＩＤとして用いてもよい。 The user ID 511 is information for identifying the user, and is typically defined using alphabets, numbers, symbols, and the like. The user ID 511 may be a character string that can be arbitrarily set by the user, or an email address owned by the user may be used as the user ID.

登録個体識別番号５１２は、携帯端末４００から取得した個体識別番号４７０である。制御部４０１は、後述するユーザ情報登録処理において、携帯端末４００から個体識別番号４７０を取得し、登録個体識別番号５１２として格納する。また、制御部４０１は、後述する認証処理において、携帯端末４００から送信される個体識別番号４７０と、ユーザ情報テーブル５１０に登録済みの登録個体識別番号５１２とを照合する。 The registered individual identification number 512 is the individual identification number 470 acquired from the mobile terminal 400. The control unit 401 acquires the individual identification number 470 from the portable terminal 400 and stores it as the registered individual identification number 512 in the user information registration process described later. Further, the control unit 401 collates the individual identification number 470 transmitted from the portable terminal 400 with the registered individual identification number 512 registered in the user information table 510 in an authentication process described later.

アドレス５１３は、携帯端末２００を用いる電子メール用にユーザが予め登録した電子メールアドレス（電子メールボックス）である。 The address 513 is an e-mail address (e-mail box) registered in advance by the user for e-mail using the mobile terminal 200.

パスワード５１４は、ユーザがアルファベット、数字、記号等を用いて自由に設定できる文字列である。ユーザは、パスワード５１４を変更することができる。 The password 514 is a character string that can be freely set by the user using alphabets, numbers, symbols, and the like. The user can change the password 514.

認証サーバ２００の制御部２０１は、ユーザ情報テーブル５１０に格納されるユーザＩＤ５１１、登録個体識別番号５１２、アドレス５１３、パスワード５１４のうちの１つ以上を変更する要求を受け付けると、受け付けた要求に従ってユーザ情報テーブル５１０を更新する。 When the control unit 201 of the authentication server 200 receives a request to change one or more of the user ID 511, the registered individual identification number 512, the address 513, and the password 514 stored in the user information table 510, the control unit 201 receives the user according to the received request. The information table 510 is updated.

認証データベース５００は、認証サーバ２００の記憶部２０２に格納されていてもよいし、図示しない他のデータベースサーバの記憶装置に格納されていてもよい。また、認証データベース５００には、上記以外のデータをユーザＩＤ５１１に対応付けて格納してもよい。 The authentication database 500 may be stored in the storage unit 202 of the authentication server 200 or may be stored in a storage device of another database server (not shown). In the authentication database 500, data other than the above may be stored in association with the user ID 511.

（ユーザ情報登録処理）
次に、本実施例のユーザ情報登録処理について、図６のフローチャートを用いて説明する。このユーザ情報登録処理は、ユーザ情報テーブル５１０に登録個体識別番号５１２、及び／又は、アドレス５１３、及び／又は、パスワード５１４を新たに登録する場合、もしくは、既に登録済みの内容を変更する場合に、携帯端末４００と登録サーバ２００において行われる処理である。 (User information registration process)
Next, user information registration processing according to the present embodiment will be described with reference to the flowchart of FIG. This user information registration process is performed when a registered individual identification number 512 and / or an address 513 and / or a password 514 is newly registered in the user information table 510, or when already registered contents are changed. This is processing performed in the mobile terminal 400 and the registration server 200.

まず、携帯端末４００の制御部４０１は、ユーザ情報テーブル５１０を更新する指示をユーザから受け付ける（ステップＳ６０１）。携帯端末４００のユーザは、入力受付部４０３が備える操作キーを用いてウェブブラウザを起動してインターネットバンキングシステムに接続し、ユーザ情報テーブル５１０を更新する指示を入力することができる。 First, the control unit 401 of the portable terminal 400 receives an instruction to update the user information table 510 from the user (step S601). The user of the portable terminal 400 can input an instruction to update the user information table 510 by starting a web browser using an operation key provided in the input receiving unit 403 and connecting to the Internet banking system.

携帯端末４００の制御部４０１は、無線通信部４０７を制御して、ユーザの情報を登録するためのフォームデータやディスプレイ４２１に表示する画像データ等を含む情報（以下「ユーザ登録ページ」という。）を取得する旨のリクエストを認証サーバ２００に送信する（ステップＳ６０２）。 The control unit 401 of the portable terminal 400 controls the wireless communication unit 407 and information including form data for registering user information, image data to be displayed on the display 421, and the like (hereinafter referred to as “user registration page”). Is transmitted to the authentication server 200 (step S602).

より詳細には、制御部４０１は、ユーザ登録ページを取得する旨のリクエストを含むパケットデータを、通信ネットワーク３００Ｂに接続されるゲートウェイに送信する。パケットデータを受信したゲートウェイは、プロトコル変換を行い、変換後のパケットデータを認証サーバ２００に送信する。以下、携帯端末４００と認証サーバ２００との間のデータ送受信においては、同様にゲートウェイを介した通信が行われるが、説明の簡略化のために単に「携帯端末４００から認証サーバ２００にデータを送信する」などというように表現する。 More specifically, the control unit 401 transmits packet data including a request for acquiring a user registration page to a gateway connected to the communication network 300B. The gateway that has received the packet data performs protocol conversion, and transmits the converted packet data to the authentication server 200. Hereinafter, in the data transmission / reception between the portable terminal 400 and the authentication server 200, communication via the gateway is performed in the same manner. However, for simplification of description, “data is transmitted from the portable terminal 400 to the authentication server 200”. To express.

認証サーバ２００の制御部２０１は、ユーザ登録ページを取得する旨のリクエストを含むパケットデータを受信する（ステップＳ６０３）。 The control unit 201 of the authentication server 200 receives packet data including a request for obtaining a user registration page (step S603).

認証サーバ２００の制御部２０１は、リクエストに応答して、ユーザ登録ページを記憶部２０２から読み出し、読み出したユーザ登録ページを携帯端末４００に送信する（ステップＳ６０４）。 In response to the request, the control unit 201 of the authentication server 200 reads the user registration page from the storage unit 202 and transmits the read user registration page to the mobile terminal 400 (step S604).

携帯端末４００の制御部４０１は、認証サーバ２００からユーザ登録ページを受信する（ステップＳ６０５）。 The control unit 401 of the portable terminal 400 receives the user registration page from the authentication server 200 (step S605).

更に携帯端末４００の制御部４０１は、例えば図７（ａ）に示すように、受信したユーザ登録ページに含まれる画像データをディスプレイ４２１に表示させる（ステップＳ６０６）。 Further, the control unit 401 of the mobile terminal 400 displays the image data included in the received user registration page on the display 421 as shown in FIG. 7A, for example (step S606).

図７（ａ）は、新規にユーザの情報を登録する場合の画面の例である。ユーザは、操作キーを用いて、任意のユーザＩＤとパスワードとアドレス（電子メールアドレス）を入力できる。 FIG. 7A shows an example of a screen for registering new user information. The user can input an arbitrary user ID, password, and address (e-mail address) using the operation keys.

図７（ｂ）は、登録済みのユーザの情報を変更する場合の画面の例である。ユーザは、ユーザＩＤとパスワードとアドレスのうち変更したい項目にチェックマークを付け、変更前のユーザＩＤ（現在登録中のユーザＩＤ）と変更後のユーザＩＤ（登録を希望するユーザＩＤ）、及び／又は、変更前のパスワード（現在登録中のパスワード）と変更後のパスワード（登録を希望するパスワード）、及び／又は、変更前の電子メールアドレス（現在登録中の電子メールアドレス）と変更後の電子メールアドレス（登録を希望する電子メールアドレス）を入力する。 FIG. 7B is an example of a screen for changing registered user information. The user adds a check mark to an item to be changed among the user ID, password, and address, and the user ID before the change (user ID currently registered), the user ID after the change (user ID that desires to be registered), and / or Or, password before change (currently registered password) and password after change (password to register) and / or e-mail address before change (e-mail address currently registered) and changed e-mail Enter your email address (the email address you wish to register for).

携帯端末４００の制御部４０１は、ユーザＩＤとパスワードとアドレスの入力を受け付ける（ステップＳ６０７）。ここで入力されたユーザＩＤとパスワードとアドレスが、ユーザ情報テーブル５１０に登録されることになる。 The control unit 401 of the portable terminal 400 accepts input of a user ID, a password, and an address (Step S607). The user ID, password, and address input here are registered in the user information table 510.

携帯端末４００の制御部４０１は、予め記憶部４０２に格納されている個体識別番号４６０を読み出す。そして、制御部４０１は、読み出した個体識別番号４６０と、ステップＳ６０７で受け付けられたユーザＩＤ，パスワード，アドレスを、無線通信部４０７を制御して認証サーバ２００に送信する（ステップＳ６０８）。制御部４０１は、ＨＴＴＰ拡張ヘッダーに個体識別番号４６０を格納して送信する。 The control unit 401 of the portable terminal 400 reads the individual identification number 460 stored in the storage unit 402 in advance. Then, the control unit 401 controls the wireless communication unit 407 to transmit the read individual identification number 460 and the user ID, password, and address received in step S607 to the authentication server 200 (step S608). The control unit 401 stores the individual identification number 460 in the HTTP extension header and transmits it.

携帯端末４００の制御部４０１は、所定の暗号化アルゴリズムを用いてユーザＩＤ，パスワード，アドレスを暗号化したり、ＳＳＬ（Secure Sockets Layer）等のプロトコルを用いたりして、ユーザＩＤ、パスワード、アドレスを送信することが望ましい。 The control unit 401 of the portable terminal 400 encrypts the user ID, password, and address using a predetermined encryption algorithm, or uses a protocol such as SSL (Secure Sockets Layer) to obtain the user ID, password, and address. It is desirable to send.

認証サーバ２００の制御部２０１は、個体識別番号４６０、ユーザＩＤ、パスワード、アドレスを携帯端末４００から受信する（ステップＳ６０９）。 The control unit 201 of the authentication server 200 receives the individual identification number 460, user ID, password, and address from the portable terminal 400 (step S609).

そして、認証サーバ２００の制御部２０１は、ステップＳ６０９で受信した個体識別番号４６０、ユーザＩＤ、パスワード、アドレスを、それぞれ、ユーザ情報テーブル５１０の登録個体識別番号５１２、ユーザＩＤ５１１、パスワード５１４、アドレス５１３に格納する（ステップＳ６１０）。 Then, the control unit 201 of the authentication server 200 uses the individual identification number 460, the user ID, the password, and the address received in step S609 as the registered individual identification number 512, the user ID 511, the password 514, and the address 513 in the user information table 510, respectively. (Step S610).

なお、制御部２０１は、受信したユーザＩＤが既に登録済みの他のユーザＩＤを同一である場合、ステップ６０４に戻り、再びユーザＩＤの入力を受け付けるものとする。 If the received user ID is the same as another user ID already registered, the control unit 201 returns to step 604 and accepts the input of the user ID again.

また、制御部２０１は、ユーザの情報を変更するとき、受信した古いユーザＩＤとユーザ情報テーブル５１０に登録済みのユーザＩＤ５１１、及び／又は、受信した古いパスワードとユーザ情報テーブル５１０に登録済みのパスワード５１４、及び／又は、受信した古い電子メールアドレスとユーザ情報テーブル５１０に登録済みのアドレスＩＤ５１３が一致するか否かを判別し、一致する場合には新しいユーザＩＤ及び／又は新しいアドレス及び／又はパスワードでユーザ情報テーブル５１０を更新し、一致しない場合にはステップＳ６０４に戻って再びユーザＩＤ等の入力を受け付けるものとする。 When the control unit 201 changes the user information, the received old user ID and the user ID 511 registered in the user information table 510 and / or the received old password and the password registered in the user information table 510 are used. 514 and / or whether or not the received old e-mail address matches the address ID 513 registered in the user information table 510, and if they match, the new user ID and / or new address and / or password Then, the user information table 510 is updated, and if they do not match, the process returns to step S604 to accept the input of the user ID and the like again.

（認証処理）
次に、本実施例の認証処理について、図８，９のフローチャートを用いて説明する。認証処理は、パーソナルコンピュータ１００のユーザによりインターネットバンキングシステムに接続する指示がなされると開始される。なお、図８，９において、パーソナルコンピュータ１００を略して「ＰＣ」と記載する。 (Authentication process)
Next, the authentication processing of the present embodiment will be described with reference to the flowcharts of FIGS. The authentication process is started when an instruction to connect to the Internet banking system is given by the user of the personal computer 100. 8 and 9, the personal computer 100 is abbreviated as “PC”.

まず、ユーザは、ウェブブラウザを起動し、インターネットバンキングシステムを運営するウェブサイトにアクセスし、インターネットバンキングシステムに接続する指示をパーソナルコンピュータ１００に入力する。パーソナルコンピュータ１００の制御部１０１は、インターネットバンキングシステムに接続する指示をユーザから受け付ける（ステップＳ８０１）。 First, the user starts a web browser, accesses a website that operates the Internet banking system, and inputs an instruction to connect to the Internet banking system to the personal computer 100. The control unit 101 of the personal computer 100 receives an instruction to connect to the Internet banking system from the user (step S801).

パーソナルコンピュータ１００の制御部１０１は、インターネットバンキングサービスの利用に必要な認証を行うためのフォームデータやディスプレイ４２１に表示する画像データ等を含む情報（以下「認証ページ」という。）を取得する旨のリクエストを含むパケットデータを、認証サーバ２００に送信する（ステップＳ８０２）。 The control unit 101 of the personal computer 100 acquires information (hereinafter referred to as “authentication page”) including form data for performing authentication necessary for using the Internet banking service, image data displayed on the display 421, and the like. Packet data including the request is transmitted to the authentication server 200 (step S802).

認証サーバ２００の制御部２０１は、認証ページを取得する旨のリクエストを含むパケットデータを受信する（ステップＳ８０３）。 The control unit 201 of the authentication server 200 receives packet data including a request for acquiring an authentication page (step S803).

認証サーバ２００の制御部２０１は、リクエストに応答して、認証ページを記憶部２０２から読み出し、読み出した認証ページをパーソナルコンピュータ１００に送信する（ステップＳ８０４）。 In response to the request, the control unit 201 of the authentication server 200 reads the authentication page from the storage unit 202, and transmits the read authentication page to the personal computer 100 (step S804).

パーソナルコンピュータ１００の制御部１０１は、認証サーバ２００から認証ページを受信する（ステップＳ８０５）。 The control unit 101 of the personal computer 100 receives the authentication page from the authentication server 200 (step S805).

更に、パーソナルコンピュータ１００の制御部１０１は、画像処理部１０５を制御し、例えば図１０に示すように、受信した認証ページに含まれる画像データをモニターに表示させる（ステップＳ８０６）。 Further, the control unit 101 of the personal computer 100 controls the image processing unit 105 to display the image data included in the received authentication page on the monitor as shown in FIG. 10 (step S806).

また、パーソナルコンピュータ１００の制御部１０１は、ユーザＩＤの入力を受け付ける（ステップＳ８０７）。 In addition, the control unit 101 of the personal computer 100 receives an input of a user ID (step S807).

図１０は、インターネットバンキングシステムの認証を開始する指示を受け付ける画面の例である。ユーザは、キーボード等を用いてテキストボックス１００１にユーザＩＤを入力できる。認証開始ボタン１００２が押下されると、制御部１０１はステップＳ８０８の処理に進む。キャンセルボタン１００３が押下されると、制御部１０１は認証処理を終了する。 FIG. 10 is an example of a screen that accepts an instruction to start authentication of the Internet banking system. The user can input a user ID into the text box 1001 using a keyboard or the like. When the authentication start button 1002 is pressed, the control unit 101 proceeds to the process of step S808. When the cancel button 1003 is pressed, the control unit 101 ends the authentication process.

認証開始ボタン１００２が押下されると、パーソナルコンピュータ１００の制御部１０１は、ステップＳ８０７で受け付けたユーザＩＤを含むパケットデータを認証サーバ２００に送信する（ステップＳ８０８）。 When the authentication start button 1002 is pressed, the control unit 101 of the personal computer 100 transmits packet data including the user ID received in step S807 to the authentication server 200 (step S808).

なお、パーソナルコンピュータ１００の制御部１０１は、所定の暗号化アルゴリズムを用いてユーザＩＤを暗号化したり、ＳＳＬ等のプロトコルを用いたりして、ユーザＩＤを認証サーバ２００に送信することが望ましい。 The control unit 101 of the personal computer 100 desirably transmits the user ID to the authentication server 200 by encrypting the user ID using a predetermined encryption algorithm or using a protocol such as SSL.

認証サーバ２００の制御部２０１は、パーソナルコンピュータ１００からユーザＩＤを含むパケットデータを受信する（ステップＳ８０９）。 The control unit 201 of the authentication server 200 receives packet data including a user ID from the personal computer 100 (step S809).

次に、認証サーバ２００の制御部２０１は、ユーザ情報テーブル５１０を検索して、受信したユーザＩＤと一致するユーザＩＤ５１１があるか否かを判別し、一致するユーザＩＤ５１１がある場合、一致するユーザＩＤ５１１に対応付けられるアドレス５１３を読み出す。そして、制御部２０１は、通信部２０３を制御して、読み出したアドレス５１３を送信先として、パスワードの入力を受け付けるページのＵＲＬ（Uniform Resource Locator）を含むパケットデータを送信する（ステップＳ８１０）。典型的には、このパケットデータは電子メールの形式で送信される。 Next, the control unit 201 of the authentication server 200 searches the user information table 510 to determine whether or not there is a user ID 511 that matches the received user ID. The address 513 associated with the ID 511 is read out. Then, the control unit 201 controls the communication unit 203 to transmit packet data including a URL (Uniform Resource Locator) of a page that accepts password input, using the read address 513 as a transmission destination (step S810). Typically, this packet data is transmitted in the form of an email.

携帯端末４００の制御部４０１は、パスワードの入力を受け付けるページのＵＲＬを含むパケットデータを受信する（ステップＳ８１１）。制御部４０１は、例えば図１１（ａ）に示すように、受信したパケットデータに含まれるＵＲＬ等をディスプレイ４２１に表示させる。 The control unit 401 of the portable terminal 400 receives packet data including the URL of a page that accepts password input (step S811). For example, as illustrated in FIG. 11A, the control unit 401 displays a URL or the like included in the received packet data on the display 421.

ここで指定されるＵＲＬには、認証要求ごとに認証サーバ２００の制御部２０１により生成される識別情報（以下「認証要求ＩＤ」という。）１１５０が含まれる。例えば制御部２０１は、ステップＳ８１１でパケットデータを受け取ると、固有の認証要求ＩＤ１１５０をランダムに生成する。そして、制御部２０１は、ユーザＩＤ５１１と対応付けて、生成した認証要求ＩＤ１１５０を認証サーバ２００の記憶部２０２に一時記憶する。 The URL specified here includes identification information (hereinafter referred to as “authentication request ID”) 1150 generated by the control unit 201 of the authentication server 200 for each authentication request. For example, upon receiving packet data in step S811, the control unit 201 randomly generates a unique authentication request ID 1150. Then, the control unit 201 temporarily stores the generated authentication request ID 1150 in the storage unit 202 of the authentication server 200 in association with the user ID 511.

表示されたＵＲＬにアクセスする要求を受け付けると、携帯端末４００の制御部４０１は、図１１（ｂ）に示すように、ＵＲＬで指定されるパスワード入力画面を表示する。そして、制御部４０１は、パスワードの入力をユーザから受け付ける（図９；ステップＳ９０１）。 When receiving a request to access the displayed URL, the control unit 401 of the mobile terminal 400 displays a password input screen specified by the URL, as shown in FIG. And the control part 401 receives the input of a password from a user (FIG. 9; step S901).

図１１（ｂ）パスワード入力画面の例である。ユーザは、操作キー等を用いてテキストボックス１１０１にパスワードを入力できる。送信ボタン１１０２が押下されると、制御部４０１はステップＳ９０２の処理に進む。キャンセルボタン１１０３が押下されると、制御部４０１は認証処理を終了する。 FIG. 11B is an example of a password input screen. The user can input a password in the text box 1101 using an operation key or the like. When the send button 1102 is pressed, the control unit 401 proceeds to the process of step S902. When the cancel button 1103 is pressed, the control unit 401 ends the authentication process.

送信ボタン１１０２が押下されると、携帯端末４００の制御部４０１は、記憶部４０２に記憶されている個体識別番号４６０を取得し、取得した個体識別番号４６０と、ステップＳ９０１で受け付けられたパスワードとを含むパケットデータを、無線通信部４０７を制御して認証サーバ２００に送信する（ステップＳ９０２）。 When the send button 1102 is pressed, the control unit 401 of the mobile terminal 400 acquires the individual identification number 460 stored in the storage unit 402, and the acquired individual identification number 460 and the password received in step S901. The wireless communication unit 407 is controlled and transmitted to the authentication server 200 (step S902).

ここで、制御部４０１は、送信パケットのＨＴＴＰ拡張ヘッダーに個体識別番号４６０を格納して送信することとする。 Here, the control unit 401 transmits the individual identification number 460 stored in the HTTP extension header of the transmission packet.

携帯端末４００の制御部４０１は、所定の暗号化アルゴリズムを用いてパスワードを暗号化したり、ＳＳＬ（Secure Sockets Layer）等のプロトコルを用いたりして送信することが望ましい。 It is desirable that the control unit 401 of the portable terminal 400 transmits the password by encrypting the password using a predetermined encryption algorithm or using a protocol such as SSL (Secure Sockets Layer).

認証サーバ２００の制御部２０１は、パスワードと個体識別番号４６０を携帯端末４００から受信する（ステップＳ９０３）。 The control unit 201 of the authentication server 200 receives the password and the individual identification number 460 from the portable terminal 400 (step S903).

次に、認証サーバ２００の制御部２０１は、認証要求ＩＤ１１５０に対応するユーザＩＤ５１１（すなわち認証要求のあったユーザＩＤ５１１）に対応付けられるパスワード５１４をユーザ情報テーブル５１０から取得し、取得したパスワード５１４と、ステップＳ９０３で受信したパスワードとが一致するか否かを判別する（ステップＳ９０４）。 Next, the control unit 201 of the authentication server 200 acquires the password 514 associated with the user ID 511 corresponding to the authentication request ID 1150 (that is, the user ID 511 that requested the authentication) from the user information table 510, and the acquired password 514 Then, it is determined whether or not the password received in step S903 matches (step S904).

パスワードが一致しないと判別した場合（ステップＳ９０４；ＮＯ）、認証サーバ２００の制御部２０１は、アクセスを許可しない旨をパーソナルコンピュータ１００に通知する（ステップＳ９０５）。パーソナルコンピュータ１００の制御部１０１は、認証失敗をユーザに知らせて（ステップＳ９０６）、認証処理を終了する。 If it is determined that the passwords do not match (step S904; NO), the control unit 201 of the authentication server 200 notifies the personal computer 100 that access is not permitted (step S905). The control unit 101 of the personal computer 100 notifies the user of the authentication failure (step S906), and ends the authentication process.

一方、パスワードが一致すると判別した場合（ステップＳ９０４；ＹＥＳ）、認証サーバ２００の制御部２０１は、認証要求ＩＤ１１５０に対応するユーザＩＤ５１１に対応付けられる登録個体識別番号５１２をユーザ情報テーブル５１０から取得し、取得した登録個体識別番号５１２と、ステップＳ９０３で受信した個体識別番号とが一致するか否かを更に判別する（ステップＳ９０７）。 On the other hand, when it is determined that the passwords match (step S904; YES), the control unit 201 of the authentication server 200 acquires the registered individual identification number 512 associated with the user ID 511 corresponding to the authentication request ID 1150 from the user information table 510. Further, it is further determined whether or not the acquired registered individual identification number 512 matches the individual identification number received in step S903 (step S907).

個体識別番号が一致しないと判別した場合（ステップＳ９０７；ＮＯ）、認証サーバ２００の制御部２０１は、アクセスを許可しない旨をパーソナルコンピュータ１００に通知する（ステップＳ９０５）。パーソナルコンピュータ１００の制御部１０１は、認証失敗をユーザに知らせて（ステップＳ９０６）、認証処理を終了する。 When it is determined that the individual identification numbers do not match (step S907; NO), the control unit 201 of the authentication server 200 notifies the personal computer 100 that access is not permitted (step S905). The control unit 101 of the personal computer 100 notifies the user of the authentication failure (step S906), and ends the authentication process.

一方、個体識別番号が一致すると判別した場合（ステップＳ９０７；ＹＥＳ）、認証サーバ２００の制御部２０１は、アクセスを許可する旨をパーソナルコンピュータ１００に通知し（ステップＳ９０８）、インターネットバンキングサービスの提供を開始する（ステップＳ９０９）。 On the other hand, if it is determined that the individual identification numbers match (step S907; YES), the control unit 201 of the authentication server 200 notifies the personal computer 100 that access is permitted (step S908), and provides the Internet banking service. Start (step S909).

アクセスを許可する旨の通知を受け取ったパーソナルコンピュータ１００の制御部１０１は、認証成功をユーザに知らせて（ステップＳ９１０）、インターネットバンキングサービスの提供を開始する（ステップＳ９１１）。 The control unit 101 of the personal computer 100 that has received the notification that the access is permitted notifies the user of the authentication success (step S910) and starts providing the Internet banking service (step S911).

例えば、パーソナルコンピュータ１００の制御部１０１は、表示中のウェブブラウザ画面を、認証サーバ２００からのサーバプッシュにより、図１２に示すようなサービス画面に遷移させる。 For example, the control unit 101 of the personal computer 100 changes the displayed web browser screen to a service screen as shown in FIG. 12 by a server push from the authentication server 200.

以上のように、本実施例では、本物のウェブサイトでしか知り得ない情報である、認証サーバ２００に予め格納されるアドレス５１３や登録個体識別番号５１２を用いて認証を行うため、悪意の第三者により不正な認証が困難になるという効果がある。 As described above, in this embodiment, since authentication is performed using the address 513 or the registered individual identification number 512 stored in advance in the authentication server 200, which is information that can be found only on a genuine website, the malicious second There is an effect that unauthorized authentication becomes difficult by the three parties.

また、本実施例では、認証処理において、２種類の通信ネットワーク３００Ａ，３００Ｂを用いて認証サーバ２００にアクセスし、それぞれ異なるＤＮＳ（Domain Name System）を利用する必要があるため、ＤＮＳスプーフィングを防止できるという効果がある。ユーザは、例えば図１１（ａ）に示されるパスワード入力画面を指すＵＲＬが正当なものであるかを目視でチェックできる。 In this embodiment, since it is necessary to access the authentication server 200 using two types of communication networks 300A and 300B and use different DNS (Domain Name System) in the authentication process, DNS spoofing can be prevented. There is an effect. For example, the user can visually check whether the URL indicating the password input screen shown in FIG. 11A is valid.

更には、個体識別番号４７０をチェックすることで、特定の携帯端末４００からアクセスする必要があり、ユーザが予め登録した携帯端末４００が実質的に「鍵」の役割を果たすことになる。このため、パスワードを推測したりソーシャルエンジニアリングによりパスワードを不正に入手したりしたとしても、不正なアクセスを困難にすることができる効果がある。 Furthermore, by checking the individual identification number 470, it is necessary to access from a specific portable terminal 400, and the portable terminal 400 registered in advance by the user substantially plays the role of a “key”. For this reason, even if a password is guessed or a password is obtained illegally by social engineering, there is an effect that unauthorized access can be made difficult.

（実施例２）
次に、本発明の第２の実施例を説明する。本実施例では、更に、ユーザが使用するウェブブラウザの種類やバージョン等が認証に用いられる。 (Example 2)
Next, a second embodiment of the present invention will be described. In this embodiment, the type and version of the web browser used by the user are further used for authentication.

図１３は、本実施例のユーザ情報テーブル１３００の構成例を示す図である。ユーザ情報テーブル１３００は、ユーザＩＤ５１１と対応付けて、ブラウザ情報１３０１を更に格納する。 FIG. 13 is a diagram illustrating a configuration example of the user information table 1300 according to the present embodiment. The user information table 1300 further stores browser information 1301 in association with the user ID 511.

ブラウザ情報１３０１は、ユーザがパーソナルコンピュータ１００で使用するウェブブラウザの種類とバージョンを示す情報である。 Browser information 1301 is information indicating the type and version of the web browser used by the user on the personal computer 100.

上記認証処理のステップＳ８０８において、パーソナルコンピュータ１００の制御部１０１は、ユーザＩＤと共に、ステップＳ８０６で認証ページを表示するために用いたウェブブラウザの種類とバージョンを示す情報を認証サーバ２００に送信する。 In step S808 of the authentication process, the control unit 101 of the personal computer 100 transmits information indicating the type and version of the web browser used to display the authentication page in step S806 to the authentication server 200 together with the user ID.

制御部１０１は、例えば、ＨＴＴＰヘッダーのHTTP_USER_AGENTにウェブブラウザの種類とバージョンを示す情報を格納したパケットデータを送信する。 For example, the control unit 101 transmits packet data storing information indicating the type and version of the web browser in HTTP_USER_AGENT of the HTTP header.

上記認証処理のステップＳ８０９において、認証サーバ２００の制御部２０１は、受信したウェブブラウザの種類とバージョンを示す情報を、ユーザＩＤ５１１と対応付けてブラウザ情報１３０１に格納する。このブラウザ情報１３０１は、次回実行される認証処理以降において使用される。 In step S809 of the authentication process, the control unit 201 of the authentication server 200 stores the received information indicating the type and version of the web browser in the browser information 1301 in association with the user ID 511. This browser information 1301 is used after the authentication process executed next time.

上記認証処理において、パスワードが一致し、且つ、個体識別番号が一致する場合（ステップＳ９０７；ＹＥＳ）、認証サーバ２００の制御部２０１は、更に、認証要求ＩＤに対応するユーザＩＤ５１１に対応付けられるブラウザ情報１３０１をユーザ情報テーブル５１０から取得し、取得したブラウザ情報１３０１と、ステップＳ８０９で受信したウェブブラウザの種類とバージョンを示す情報とが一致するか否かを更に判別する。 In the authentication process, when the passwords match and the individual identification numbers match (step S907; YES), the control unit 201 of the authentication server 200 further controls the browser associated with the user ID 511 corresponding to the authentication request ID. Information 1301 is acquired from the user information table 510, and it is further determined whether or not the acquired browser information 1301 matches the information indicating the type and version of the web browser received in step S809.

一致しないと判別した場合、認証サーバ２００の制御部２０１は、アクセスを許可しない旨をパーソナルコンピュータ１００に通知する（ステップＳ９０５）。パーソナルコンピュータ１００の制御部１０１は、認証失敗をユーザに知らせて（ステップＳ９０６）、認証処理を終了する。 If it is determined that they do not match, the control unit 201 of the authentication server 200 notifies the personal computer 100 that access is not permitted (step S905). The control unit 101 of the personal computer 100 notifies the user of the authentication failure (step S906), and ends the authentication process.

一方、一致すると判別した場合、認証サーバ２００の制御部２０１は、アクセスを許可する旨をパーソナルコンピュータ１００に通知し（ステップＳ９０８）、インターネットバンキングサービスの提供を開始する（ステップＳ９０９）。 On the other hand, if it is determined that they match, the control unit 201 of the authentication server 200 notifies the personal computer 100 that access is permitted (step S908), and starts providing an internet banking service (step S909).

なお、認証サーバ２００の制御部２０１は、ユーザが使用するウェブブラウザを指定するブラウザ情報１３０１を、ユーザの登録指示により予め格納するものとする。 Note that the control unit 201 of the authentication server 200 stores in advance browser information 1301 for designating a web browser used by the user in accordance with a user registration instruction.

本実施例によれば、ユーザが過去に使用したウェブブラウザと、ユーザが今回使用するウェブブラウザが同じでなければ、認証が成功しないので、第三者による不正なアクセスを困難にすることができる効果が増す。また、ブラウザ情報１３０１に、パーソナルコンピュータ１００で使用されるオペレーティングシステムの種類を示す情報を格納することにより、不正なアクセスを防止できる効果が更に増す。 According to the present embodiment, if the web browser used by the user in the past and the web browser used by the user are not the same, the authentication is not successful, so that unauthorized access by a third party can be made difficult. Increases effectiveness. Further, storing information indicating the type of operating system used in the personal computer 100 in the browser information 1301 further increases the effect of preventing unauthorized access.

本発明は、上述した実施形態に限定されず、種々の変形及び応用が可能である。また、上述した実施形態の各構成要素を自由に組み合わせることも可能である。 The present invention is not limited to the above-described embodiments, and various modifications and applications are possible. Moreover, it is also possible to freely combine the constituent elements of the above-described embodiments.

本発明は、インターネットバンキングシステムだけでなく、オンラインショッピングシステム、メーリングシステム、その他会員制ウェブシステムなど、様々なシステムに組み込んで実施することができる。 The present invention can be implemented by being incorporated not only in the Internet banking system but also in various systems such as an online shopping system, a mailing system, and other membership system web systems.

コンピュータを上記パーソナルコンピュータ１００、認証サーバ２００、あるいは、携帯端末４００の全部又は一部として動作させるためのプログラムを、メモリカード、ＣＤ−ＲＯＭ、ＤＶＤ、ＭＯ（Magneto Optical disk）などのコンピュータ読み取り可能な記録媒体に格納して配布し、これを別のコンピュータにインストールし、上述の手段として動作させ、あるいは、上述の工程を実行させてもよい。 A computer-readable program such as a memory card, a CD-ROM, a DVD, or an MO (Magneto Optical disk) can be used for operating a computer as the personal computer 100, the authentication server 200, or the portable terminal 400. The program may be stored and distributed in a recording medium, installed in another computer, operated as the above-described means, or the above-described steps may be executed.

さらに、インターネット上のサーバ装置が有するディスク装置等にプログラムを格納しておき、例えば、搬送波に重畳させて、コンピュータにダウンロード等するものとしてもよい。 Furthermore, the program may be stored in a disk device or the like included in a server device on the Internet, and may be downloaded onto a computer by being superimposed on a carrier wave, for example.

以上説明したように、本発明によれば、不正なアクセスを防止するために好適な認証システム、認証サーバ、認証方法、及び、プログラムを提供することができる。 As described above, according to the present invention, it is possible to provide an authentication system, an authentication server, an authentication method, and a program suitable for preventing unauthorized access.

認証システムの構成を示す図である。It is a figure which shows the structure of an authentication system. パーソナルコンピュータの構成を説明するための図である。It is a figure for demonstrating the structure of a personal computer. 認証サーバの構成を説明するための図である。It is a figure for demonstrating the structure of an authentication server. 携帯端末の構成を説明するための図である。It is a figure for demonstrating the structure of a portable terminal. ユーザ情報テーブルの構成を説明するための図である。It is a figure for demonstrating the structure of a user information table. ユーザ情報登録処理を説明するためのフローチャートである。It is a flowchart for demonstrating a user information registration process. （ａ）ユーザ情報を登録する画面の構成例を示す図である。（ｂ）ユーザ情報を変更する画面の構成例を示す図である。(A) It is a figure which shows the structural example of the screen which registers user information. (B) It is a figure which shows the structural example of the screen which changes user information. 認証処理を説明するためのフローチャートである。It is a flowchart for demonstrating an authentication process. 認証処理を説明するためのフローチャート（続き）である。It is a flowchart (continuation) for demonstrating an authentication process. 認証処理を開始する画面の構成例を示す図である。It is a figure which shows the structural example of the screen which starts an authentication process. （ａ）ＵＲＬを表示する画面の構成例を示す図である。（ｂ）パスワード入力画面の構成例を示す図である。(A) It is a figure which shows the structural example of the screen which displays URL. (B) It is a figure which shows the structural example of a password input screen. 認証成功後にサービスを開始した画面の構成例を示す図である。It is a figure which shows the structural example of the screen which started the service after successful authentication. 実施例２において、ユーザ情報テーブルの構成を説明するための図である。In Example 2, it is a figure for demonstrating the structure of a user information table.

Explanation of symbols

１認証システム
１００パーソナルコンピュータ
１０１制御部
１０２記憶部
１０３入力受付部
１０４Ｉ／Ｆ（インターフェース）
１０５画像処理部
１０６音声処理部
１０７通信部
２００認証サーバ
２０１制御部
２０２記憶部
２０３通信部
３００Ａ，３００Ｂ通信ネットワーク
４００携帯端末
４０１制御部
４０２記憶部
４０３入力受付部
４０４外部メモリＩ／Ｆ
４０５画像処理部
４０６音声処理部
４０７無線通信部
４２１ディスプレイ
４２２スピーカー
４２３マイクロフォン
４２４アンテナ
４５０外部メモリ
４６０個体識別番号
５００認証データベース
５１０，１３００ユーザ情報テーブル
５１１ユーザＩＤ
５１２登録個体識別番号
５１３アドレス
５１４パスワード
１００１テキストボックス
１００２認証開始ボタン
１００３キャンセルボタン
１１０１テキストボックス
１１０２送信ボタン
１１０３キャンセルボタン
１１５０認証要求ＩＤ
１３０１ブラウザ情報 DESCRIPTION OF SYMBOLS 1 Authentication system 100 Personal computer 101 Control part 102 Memory | storage part 103 Input reception part 104 I / F (interface)
105 image processing unit 106 audio processing unit 107 communication unit 200 authentication server 201 control unit 202 storage unit 203 communication unit 300A, 300B communication network 400 portable terminal 401 control unit 402 storage unit 403 input reception unit 404 external memory I / F
405 Image processing unit 406 Audio processing unit 407 Wireless communication unit 421 Display 422 Speaker 423 Microphone 424 Antenna 450 External memory 460 Individual identification number 500 Authentication database 510, 1300 User information table 511 User ID
512 Registered individual identification number 513 Address 514 Password 1001 Text box 1002 Authentication start button 1003 Cancel button 1101 Text box 1102 Send button 1103 Cancel button 1150 Authentication request ID
1301 Browser information

Claims

An authentication system having a first user terminal, a second user terminal, and an authentication server,
The authentication server is
A user ID for identifying a user, browser information indicating a browser type and version used when displaying an authentication page for accepting an input of the user ID from the user on the first user terminal, a password, and the second A storage unit that stores the identification information assigned in advance to the user terminal in association with the information;
The first user terminal is
A display unit for displaying the authentication page;
A first input receiving unit that receives an input of the user ID from the user,
A first transmission unit that transmits the user ID received by the first input reception unit and the type and version of the browser used for displaying the authentication page by the display unit to the authentication server;
With
The second user terminal is
A second input receiving unit for receiving an input of a password from the user;
A second transmission unit for transmitting the password is accepted by the second input receiving unit, the identification information that is pre-assigned to the second user terminal to the authentication server,
With
The authentication server further includes:
A first receiver that receives from the first user terminal the user ID and the type and version of the browser used to display the authentication page by the display ;
From the second user terminal indicated by the identification information associated with the user ID of the first receiving unit has received, the second receiving and password the accepted, and the identification information that is pre-assigned to the second user terminal A receiver,
And password associated with the user ID Ru Tei stored in the storage unit in which the first reception unit receives, the password for the second reception unit receives the match, and the first reception unit receives and Tei Ru identification information stored in the storage unit in association with the user ID, the identification information matches the second receiving unit receives, and, associated with the user ID that the first reception unit receives If the browser type and version indicated by the browser information stored in the storage unit match the browser type and version received by the first receiving unit , the user has been successfully authenticated. And an authentication determination unit that determines that the user authentication has failed in other cases,
A determination result notifying unit for notifying the first user terminal of a determination result by the authentication determining unit;
An authentication system comprising:

The authentication server is
When the first receiving unit receives the user ID from the first user terminal, the first receiving unit generates an authentication request ID for identifying that a request for starting authentication has been received from the user in association with the received user ID. A generator,
An authentication request ID notifying unit for notifying the second user terminal of an authentication request ID generated by the generating unit;
Further comprising
The second input receiving unit receives the password input from the user after the authentication request ID is notified from the authentication server.
The authentication system according to claim 1, wherein:

The authentication request ID notification unit notifies the second user terminal of a URL (Uniform Resource Locator) including the generated authentication request ID,
The second transmission unit transmits the password received by the second input reception unit and the identification information assigned in advance to the second user terminal to the authentication server via the URL.
The authentication system according to claim 2, wherein:

An authentication server connected via a network to a first user terminal and a second user terminal used by a user,
A user ID for identifying the user; browser information indicating a browser type and version used when displaying an authentication page for accepting input of the user ID from the user on the first user terminal; a password; A storage unit that stores identification information for identifying two user terminals in advance in association with identification information that is assigned in advance to the second user terminal ;
A first receiving unit that receives from the first user terminal the user ID input by the user and the type and version of the browser used to display the authentication page by the first user terminal;
A second unit configured to receive a password input from the user and identification information assigned in advance to the second user terminal from the second user terminal indicated by the identification information associated with the user ID received by the first receiving unit; Two receivers;
And password associated with the user ID Ru Tei stored in the storage unit in which the first reception unit receives, the password for the second reception unit receives the match, and the first reception unit receives and Tei Ru identification information stored in the storage unit in association with the user ID, the identification information matches the second receiving unit receives, and, associated with the user ID that the first reception unit receives If the browser type and version indicated by the browser information stored in the storage unit match the browser type and version received by the first receiving unit , the user has been successfully authenticated. And an authentication determination unit that determines that the user authentication has failed in other cases,
A determination result notifying unit for notifying the first user terminal of a determination result by the authentication determining unit;
An authentication server comprising:

When the first receiving unit receives the user ID from the first user terminal, the first receiving unit generates an authentication request ID for identifying that a request for starting authentication has been received from the user in association with the received user ID. A generator,
An authentication request ID notifying unit for notifying the second user terminal of an authentication request ID generated by the generating unit;
Further comprising
The second receiving unit receives the password input from the user and the identification information assigned in advance to the second user terminal because the authentication request ID notifying unit sends the authentication request ID to the second user terminal. After notification,
The authentication server according to claim 4 , wherein:

The authentication request ID notification unit notifies the second user terminal of a URL (Uniform Resource Locator) including the generated authentication request ID,
The second receiving unit receives a password input from the user and identification information assigned in advance to the second user terminal via the URL.
The authentication server according to claim 5 , wherein:

An authentication method that is executed by an authentication server that has a storage unit and is connected to a first user terminal and a second user terminal used by a user via a network,
The storage unit includes a user ID for identifying the user, browser information indicating a browser type and version used when displaying an authentication page for accepting an input of the user ID from the user on the first user terminal; The password and the identification information for identifying the second user terminal and the identification information assigned in advance to the second user terminal are stored in advance in association with each other.
A first receiving step of receiving, from the first user terminal , a user ID input from the user and a type and version of a browser used for displaying the authentication page by the first user terminal;
A second password is received from the second user terminal indicated by the identification information associated with the user ID received in the first receiving step, and the identification information assigned in advance to the second user terminal is received. Two receiving steps;
Wherein the password that you Tei stored in the storage unit in association with the user ID received in the first reception step, and the password received at the second receiving step matches, and were received in the first receiving step and Tei Ru identification information stored in the storage unit in association with the user ID, and the identification information received by the second receiving step matches, and, associated with the user ID that the first reception unit receives If the browser type and version indicated by the browser information stored in the storage unit match the browser type and version received by the first receiving unit , the user has been successfully authenticated. And an authentication determination step of determining that the user authentication has failed in other cases,
A determination result notifying step of notifying the first user terminal of the determination result of the authentication determining step;
An authentication method comprising:

A computer connected to the first user terminal and the second user terminal used by the user via a network,
A user ID for identifying the user; browser information indicating a browser type and version used when displaying an authentication page for accepting input of the user ID from the user on the first user terminal; a password; A storage unit that stores identification information that identifies two user terminals in advance in association with identification information that is assigned in advance to the second user terminal ;
A first receiver that receives from the first user terminal the user ID input by the user and the type and version of the browser used to display the authentication page by the first user terminal;
A second unit configured to receive a password input from the user and identification information assigned in advance to the second user terminal from the second user terminal indicated by the identification information associated with the user ID received by the first receiving unit; 2 receivers,
And password associated with the user ID Ru Tei stored in the storage unit in which the first reception unit receives, the password for the second reception unit receives the match, and the first reception unit receives and Tei Ru identification information stored in the storage unit in association with the user ID, the identification information matches the second receiving unit receives, and, associated with the user ID that the first reception unit receives If the browser type and version indicated by the browser information stored in the storage unit match the browser type and version received by the first receiving unit , the user has been successfully authenticated. And an authentication determination unit that determines that the user authentication has failed otherwise.
A determination result notifying unit for notifying the first user terminal of a determination result by the authentication determining unit;
A program characterized by functioning as