JP5697330B2

JP5697330B2 - 複数要素認証を実施する認証サーバ及びその方法

Info

Publication number: JP5697330B2
Application number: JP2009295301A
Authority: JP
Inventors: 泰三松岡; 貴文黒原
Original assignee: Yahoo Japan Corp
Current assignee: Yahoo Japan Corp
Priority date: 2009-12-25
Filing date: 2009-12-25
Publication date: 2015-04-08
Anticipated expiration: 2029-12-25
Also published as: JP2011134248A

Description

本発明は、複数要素認証を実施する認証サーバ及びその方法に関する。

従来、複数のＷＥＢサービスを利用する際には、各ＷＥＢサービス毎にユーザＩＤ及びパスワードが定められているため、利用者はユーザＩＤ及びパスワードを管理することに手間がかかっていた。

そこで、複数のＷＥＢサービス間で有効な一のＩＤを用いて認証を行うことができるＯｐｅｎＩＤを利用した認証サービスが普及し始めている（例えば、特許文献１参照）。この認証サービスでは、ＯｐｅｎＩＤを発行するプロバイダが管理するサーバにおいて一元的にユーザＩＤ及びパスワードによる認証を行うことで、複数のＷＥＢサービスを利用することができる。

特開２００９−１５７８６４号公報

しかし、ＯｐｅｎＩＤを利用した認証サービスでは、一のＩＤで複数のＷＥＢサービスを利用できる便利さがある反面、ＯｐｅｎＩＤが他人に知られてしまった場合、他人によって複数のＷＥＢサービスを利用されてしまうおそれがあった。

そこで、本発明は、複数の認証データでユーザ認証を行い、更に複数の認証データの入力要求順序を入れ換えることでセキュリティーを向上させる認証サーバを提供することを目的とする。

本発明では、以下のような解決手段を提供する。

（１）外部コンピュータと通信可能に接続され、複数の認証データを用いてユーザ認証を実施する認証サーバであって、前記外部コンピュータからのユーザ認証要求を受信したことに応じて、前記外部コンピュータに対して、基本認証データの入力要求及び前記基本認証データに付加して使用する付加認証データの入力要求を行う順序を決定する要求順序決定手段と、前記要求順序決定手段が決定した前記順序が、前記基本認証データの入力要求が前記付加認証データの入力要求よりも先である場合に、前記基本認証データの入力を受け付けて、前記入力を受け付けた前記基本認証データを前記認証サーバに送信する画面を前記外部コンピュータに送信した後、前記外部コンピュータから受信した前記基本認証データに基づくユーザ認証の結果が成立した場合に、前記付加認証データの入力を受け付ける画面を前記外部コンピュータに送信し、前記付加認証データの入力要求が前記基本認証データの入力要求よりも先である場合に、前記付加認証データの入力を受け付ける画面を送信し、前記入力を受け付けた前記付加認証データを一時記憶手段に記憶し、更に前記基本認証データの入力を受け付ける画面を、前記外部コンピュータに送信する入力要求画面制御手段と、を備えた認証サーバ。

（１）の構成によれば、認証サーバは、外部コンピュータからのユーザ認証要求を受信したことに応じて、外部コンピュータに対して基本認証データ（例えば、後述のユーザＩＤ及びパスワード等）及び付加認証データ（例えば、後述のアクセスコード等）の入力要求を行う順序を決定する。

これにより、外部コンピュータに対して基本認証データと付加認証データの入力要求を行う順序が、認証サーバにおける認証が行われるたびに決定されるので、認証データの入力順序が一定になるのを防ぐことができる。よって、認証データの入力時においてキーボードを叩く順番を盗み見されたり、通信経路上で盗聴されても認証データの入力順序が不明となるので、セキュリティーを向上させることが可能となる。

更に、（１）の構成によれば、認証サーバは、付加認証データの入力要求が基本認証データの入力要求より先の場合、外部コンピュータが入力を受け付けた付加認証データを一時記憶手段に記憶する。

これにより、外部コンピュータにおいて基本認証データが付加認証データより後に入力された場合であっても、付加認証データを一時記憶手段（外部コンピュータ側に設けられた一時記憶手段又は認証サーバ側に設けられた一時記憶手段のいずれでもよい）に一時記憶させておくことで基本認証データから先に認証処理を行うことができるので、認証サーバにおける認証処理を支障なく行うことができる。

（２）外部コンピュータと通信可能に接続された認証サーバが、複数の認証データを用いてユーザ認証を実施する方法であって、前記認証サーバが、前記外部コンピュータからのユーザ認証要求を受信したことに応じて、前記外部コンピュータに対して、基本認証データの入力要求及び前記基本認証データに付加して使用する付加認証データの入力要求を行う順序を決定するステップと、前記順序を決定するステップで決定された前記順序が、前記基本認証データの入力要求が前記付加認証データの入力要求よりも先である場合に、前記基本認証データの入力を受け付けて、前記入力を受け付けた前記基本認証データを前記認証サーバに送信する画面を前記外部コンピュータに送信するステップと、前記外部コンピュータから受信した前記基本認証データに基づくユーザ認証の結果が成立した場合に、前記付加認証データの入力を受け付ける画面を前記外部コンピュータに送信するステップと、前記付加認証データの入力要求が前記基本認証データの入力要求よりも先である場合に、前記付加認証データの入力を受け付ける画面を送信するステップと、前記入力を受け付けた前記付加認証データを一時記憶手段に記憶するステップと、更に前記基本認証データの入力を受け付ける画面を、前記外部コンピュータに送信するステップと、を実行する方法。

（２）の構成によれば、（１）の認証サーバと同様な作用効果を奏する。

本発明によれば、複数の認証データでユーザ認証を行い、更に複数の認証データの入力要求順序を入れ換えることでセキュリティーを向上させる認証サーバを提供することができる。

本実施形態の認証サーバ及び外部コンピュータの機能構成を示す機能ブロック図である。本実施形態の認証サーバ及び外部コンピュータの機能構成を示す機能ブロック図である。本実施形態の認証サーバ及び外部コンピュータの機能構成を示す機能ブロック図の詳細を示す図である。本実施形態の認証サーバ及び外部コンピュータの機能構成を示す機能ブロック図の詳細を示す図である。本実施形態の入力画面の第１の制御の処理及び基本・付加認証データの第１の受付送信の処理についての処理を示すフローチャートである。本実施形態の入力画面の第２の制御の処理及び基本・付加認証データの第２の受付送信の処理についての処理を示すフローチャートである。本実施形態の入力画面の第３の制御の処理及び基本・付加認証データの第３の受付送信の処理についての処理を示すフローチャートである。本実施形態の図１で示した外部コンピュータ２の詳細を示す図である。本実施形態の図２で示した外部コンピュータ２の詳細を示す図である。本実施形態の認証サーバ、外部サーバ及びクライアント端末で行われる認証処理のフローチャートである。本実施形態の認証サーバ、外部サーバ及びクライアント端末で行われる認証処理のフローチャートである。本実施形態の認証サーバ、外部サーバ及びクライアント端末で行われる認証処理のフローチャートである。本実施形態のＯｐｅｎＩＤ関連付けテーブルを示す図である。

以下、本発明の実施形態について図を参照しながら説明する。

本実施形態は、コンピュータ及びその周辺装置に適用される。本実施形態における各部は、コンピュータ及びその周辺装置が備えるハードウェア並びに該ハードウェアを制御するソフトウェアによって構成される。

上記ハードウェアには、制御部としてのＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）の他、記憶部、通信装置、表示装置及び入力装置が含まれる。記憶部としては、例えば、メモリ（ＲＡＭ：ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ、ＲＯＭ：ＲｅａｄＯｎｌｙＭｅｍｏｒｙ等）、ハードディスクドライブ（ＨＤＤ：ＨａｒｄＤｉｓｋＤｒｉｖｅ）及び光ディスク（ＣＤ：ＣｏｍｐａｃｔＤｉｓｋ、ＤＶＤ：ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ等）ドライブが挙げられる。通信装置としては、例えば、各種有線及び無線インターフェース装置が挙げられる。表示装置としては、例えば、液晶ディスプレイやプラズマディスプレイ等の各種ディスプレイが挙げられる。入力装置としては、例えば、キーボード及びポインティング・デバイス（マウス、トラッキングボール等）が挙げられる。

上記ソフトウェアには、上記ハードウェアを制御するコンピュータ・プログラムやデータが含まれる。コンピュータ・プログラムやデータは、記憶部により記憶され、制御部により適宜実行、参照される。また、コンピュータ・プログラムやデータは、通信回線を介して配布されることも可能であり、ＣＤ−ＲＯＭ等のコンピュータ可読媒体に記録して配布されることも可能である。

図１は、本発明の一実施形態に係る認証サーバ１及び外部コンピュータ２の機能構成を示す機能ブロック図である。なお、図１では、一時記憶手段８０が認証サーバ１側にのみ備えられている。

認証サーバ１は、ユーザ認証要求受信手段１１、要求順序決定手段１２、入力要求画面制御手段１３、認証結果送信手段１４及び一時記憶手段８０を備えている。一方、外部コンピュータ２は、ユーザ認証要求送信手段２１、基本・付加認証データ受付送信手段２２及び認証結果受信手段２３を備えている。

ユーザ認証要求送信手段２１は、ユーザからの認証要求を受け付けたことに応じて認証サーバ１にユーザ認証要求を送信する。ユーザ認証要求受信手段１１は、ユーザ認証要求を受信する。ユーザ認証要求を受信したことに応じて、要求順序決定手段１２は、基本認証データ及び付加認証データの入力要求を行う順序を決定する。

入力要求画面制御手段１３（基本認証データの入力要求の先後に応じてデータの送受信を制御する手段）は、基本認証データ入力受付送信画面及び付加認証データ入力受付送信画面を外部コンピュータ２に送信し、基本認証データ及び付加認証データを外部コンピュータ２から受信する。更に、付加認証データの入力要求を行う順序が基本認証データより先の場合、受信した付加認証データを一時記憶手段８０に記憶する。なお、入力要求画面制御手段１３についての詳細は、図３において後述する。

基本・付加認証データ受付送信手段２２は、基本認証データ入力受付送信画面を受信したことに応じて基本認証データの入力を受け付けて認証サーバ１に送信し、付加認証データ入力受付送信画面を受信したことに応じて付加認証データの入力を受け付けて認証サーバ１に送信する。なお、基本・付加認証データ受付送信手段２２についての詳細は、図３において後述する。

基本認証データ入力受付送信画面とは、外部コンピュータ２（図８及び図９ではクライアント端末４）にて基本認証データの入力を受け付けて、当該入力を受け付けた基本認証データを認証サーバ１に送信する画面のことをいう。また、付加認証データ入力受付送信画面とは、外部コンピュータ２（図８及び図９ではクライアント端末４）にて付加認証データの入力を受け付けて、当該入力を受け付けた付加認証データを認証サーバ１に送信する画面のことをいう。

認証結果送信手段１４は、入力要求画面制御手段１３が受信した基本認証データ及び付加認証データに基づいて認証処理を行い、認証結果を外部コンピュータ２に送信する。認証結果受信手段２３は、認証結果を認証サーバ１から受信する。

図２は、本発明の一実施形態に係る認証サーバ１及び外部コンピュータ２の機能構成を示す機能ブロック図である。なお、図２では、一時記憶手段９０が外部コンピュータ２側にのみ備えられている。

認証サーバ１は、ユーザ認証要求受信手段１１、要求順序決定手段１２、入力要求画面制御手段１３及び認証結果送信手段１４を備えている。一方、外部コンピュータ２は、ユーザ認証要求送信手段２１、基本・付加認証データ受付送信手段２２、認証結果受信手段２３及び一時記憶手段９０を備えている。

入力要求画面制御手段１３（基本認証データの入力要求の先後に応じてデータの送受信を制御する手段）は、基本認証データ入力受付送信画面及び付加認証データ入力受付送信画面を外部コンピュータ２に送信し、基本認証データ及び付加認証データを外部コンピュータ２から受信する。なお、入力要求画面制御手段１３についての詳細は、図４において後述する。

基本・付加認証データ受付送信手段２２は、基本認証データ入力受付送信画面を受信したことに応じて基本認証データの入力を受け付けて認証サーバ１に送信し、付加認証データ入力受付送信画面を受信したことに応じて付加認証データの入力を受け付けて認証サーバ１に送信する。更に、付加認証データの入力要求を行う順序が基本認証データより先の場合、入力を受け付けた付加認証データを一時記憶手段９０に記憶する。なお、基本・付加認証データ受付送信手段２２についての詳細は、図４において後述する。

図３は、本発明の一実施形態に係る認証サーバ１及び外部コンピュータ２の機能構成を示す機能ブロック図の詳細を示す図である。なお、図３では、図１で説明した入力要求画面制御手段１３及び基本・付加認証データ受付送信手段２２の詳細について説明する。また、入力要求画面制御手段１３及び基本・付加認証データ受付送信手段２２以外については、図１において説明済みなので説明を省略する。

入力要求画面制御手段１３は、要求順序決定手段１２により基本認証データの入力要求順序の方が付加認証データよりも先か否かを判断し（ステップＳ１）、先と決定された場合、入力要求画面の第１の制御の処理（ステップＳ２）を行い、先と決定されなかった場合、入力要求画面の第２の制御の処理（ステップＳ４）を行う。

基本・付加認証データ受付送信手段２２は、基本・付加認証データの第１の受付送信の処理（ステップＳ３）又は基本・付加認証データの第２の受付送信の処理を行う（ステップＳ５）。基本・付加認証データの第１の受付送信の処理（ステップＳ３）は、入力要求画面の第１の制御の処理（ステップＳ２）が行われた場合に行われる。基本・付加認証データの第２の受付送信の処理（ステップＳ５）は、入力要求画面の第２の制御の処理（ステップＳ４）が行われた場合に行われる。

入力要求画面の第１の制御の処理（ステップＳ２）において、入力要求画面制御手段１３は、基本・付加認証データ受付送信手段２２との間で、データの送受信を行う。具体的には、基本認証データ入力受付送信画面を送信してから、基本認証データを受信し、更に、付加認証データ入力受付送信画面を送信してから、付加認証データを受信する。なお、入力要求画面の第１の制御の処理（ステップＳ２）の詳細は、図５にて説明する。

基本・付加認証データの第１の受付送信の処理（ステップＳ３）において、基本・付加認証データ受付送信手段２２は、入力要求画面制御手段１３との間で、データの送受信を行う。具体的には、基本認証データ入力受付送信画面を受信してから、基本認証データを受け付けて送信し、更に、付加認証データ入力受付送信画面を受信してから、付加認証データを受け付けて送信する。なお、基本・付加認証データの第１の受付送信の処理（ステップＳ３）の詳細は、図５にて説明する。

入力要求画面の第２の制御の処理（ステップＳ４）において、入力要求画面制御手段１３は、基本・付加認証データ受付送信手段２２との間で、データの送受信を行う。具体的には、付加認証データ入力受付送信画面を送信してから、付加認証データを受信し、受信した付加認証データを一時記憶手段８０に記憶し、更に、基本認証データ入力受付送信画面を送信してから、基本認証データを受信する。その後更に、記憶した付加認証データを一時記憶手段８０から読み出す。なお、入力要求画面の第２の制御の処理（ステップＳ４）の詳細は、図６にて説明する。

基本・付加認証データの第２の受付送信の処理（ステップＳ５）において、基本・付加認証データ受付送信手段２２は、入力要求画面制御手段１３との間で、データの送受信を行う。具体的には、付加認証データ入力受付送信画面を受信してから、付加認証データを受け付けて送信し、更に、基本認証データ入力受付送信画面を受信してから、基本認証データを受け付けて送信する。なお、基本・付加認証データの第２の受付送信の処理（ステップＳ５）の詳細は、図６にて説明する。

図４は、本発明の一実施形態に係る認証サーバ１及び外部コンピュータ２の機能構成を示す機能ブロック図の詳細を示す図である。なお、図４では、図２で説明した入力要求画面制御手段１３及び基本・付加認証データ受付送信手段２２の詳細について説明する。また、入力要求画面制御手段１３及び基本・付加認証データ受付送信手段２２以外については、図２において説明済みなので説明を省略する。

入力要求画面制御手段１３は、要求順序決定手段１２により基本認証データの入力要求順序の方が付加認証データよりも先か否かを判断し（ステップＳ１）、先と決定された場合、入力要求画面の第１の制御の処理（ステップＳ２）を行い、先と決定されなかった場合、入力要求画面の第３の制御の処理（ステップＳ６）を行う。

基本・付加認証データ受付送信手段２２は、基本・付加認証データの第１の受付送信の処理（ステップＳ３）又は基本・付加認証データの第３の受付送信の処理を行う（ステップＳ７）。基本・付加認証データの第１の受付送信の処理（ステップＳ３）は、入力要求画面の第１の制御の処理（ステップＳ２）が行われた場合に行われる。基本・付加認証データの第３の受付送信の処理（ステップＳ７）は、入力要求画面の第３の制御の処理（ステップＳ６）が行われた場合に行われる。

なお、入力要求画面の第１の制御の処理（ステップＳ２）及び基本・付加認証データの第１の受付送信の処理（ステップＳ３）については、図３で説明したとおりであるので、説明を省略する。

入力要求画面の第３の制御の処理（ステップＳ６）において、入力要求画面制御手段１３は、基本・付加認証データ受付送信手段２２との間で、データの送受信を行う。具体的には、付加認証データ入力受付送信画面及び基本認証データ入力受付送信画面を送信してから、基本認証データ及び付加認証データを受信する。なお、入力要求画面の第３の制御の処理（ステップＳ６）の詳細は、図７にて説明する。

基本・付加認証データの第３の受付送信の処理（ステップＳ７）において、基本・付加認証データ受付送信手段２２は、入力要求画面制御手段１３との間で、データの送受信を行う。具体的には、付加認証データ入力受付送信画面及び基本認証データ入力受付送信画面を受信してから、付加認証データの入力を受け付け、受け付けた付加認証データを一時記憶手段９０に記憶し、基本認証データの入力を受け付ける。その後更に、記憶した付加認証データを一時記憶手段９０から読み出し、受け付けた基本認証データ及び読み出した付加認証データを送信する。なお、基本・付加認証データの第３の受付送信の処理（ステップＳ７）の詳細は、図７にて説明する。

図５は、本発明の一実施形態に係る入力画面の第１の制御の処理及び基本・付加認証データの第１の受付送信の処理についての処理を示すフローチャートである。なお、入力画面の第１の制御の処理は、入力要求画面制御手段１３が行う処理であり、基本・付加認証データの第１の受付送信の処理は、基本・付加認証データ受付送信手段２２が行う処理である。

ステップＳ１１において、入力要求画面制御手段１３は、基本認証データ入力受付送信画面を送信する。

ステップＳ１２において、基本・付加認証データ受付送信手段２２は、基本認証データ入力受付送信画面を受信し、ステップＳ１３において、基本認証データの入力を受け付け、ステップＳ１４において、入力を受け付けた基本認証データを送信する。

ステップＳ１５において、入力要求画面制御手段１３は、基本認証データを受信し、ステップＳ１６において、受信した基本認証データに基づいて基本認証を実施する。

ステップＳ１７において、入力要求画面制御手段１３は、基本認証結果（基本認証データに基づくユーザ認証の結果）が成立したか否かを判断する。成立したと判断した場合、ステップＳ１８に処理を移行する。成立したと判断しない場合、入力要求画面の第１の制御の処理を終了する。

ステップＳ１８において、入力要求画面制御手段１３は、付加認証データ入力受付送信画面を送信する。

ステップＳ１９において、基本・付加認証データ受付送信手段２２は、付加認証データ入力受付送信画面を受信し、ステップＳ２０において、付加認証データの入力を受け付け、ステップＳ２１において、入力を受け付けた付加認証データを送信する。

ステップＳ２２において、入力要求画面制御手段１３は、付加認証データを受信し、ステップＳ２３において、受信した付加認証データに基づいて付加認証を実施し、入力要求画面の第１の制御の処理を終了する。

図６は、本発明の一実施形態に係る入力画面の第２の制御の処理及び基本・付加認証データの第２の受付送信の処理についての処理を示すフローチャートである。なお、入力画面の第２の制御の処理は、入力要求画面制御手段１３が行う処理であり、基本・付加認証データの第２の受付送信の処理は、基本・付加認証データ受付送信手段２２が行う処理である。

ステップＳ３１において、入力要求画面制御手段１３は、付加認証データ入力受付送信画面を送信する。

ステップＳ３２において、基本・付加認証データ受付送信手段２２は、付加認証データ入力受付送信画面を受信し、ステップＳ３３において、付加認証データの入力を受け付け、ステップＳ３４において、入力を受け付けた付加認証データを送信する。

ステップＳ３５において、入力要求画面制御手段１３は、付加認証データを受信し、ステップＳ３６において、受信した付加認証データを一時記憶手段８０に記憶し、ステップＳ３７において、基本認証データ入力受付送信画面を送信する。

ステップＳ３８において、基本・付加認証データ受付送信手段２２は、基本認証データ入力受付送信画面を受信し、ステップＳ３９において、基本認証データの入力を受け付け、ステップＳ４０において、入力を受け付けた基本認証データを送信する。

ステップＳ４１において、入力要求画面制御手段１３は、基本認証データを受信し、ステップＳ４２において、記憶した付加認証データを一時記憶手段８０から読み出し、ステップＳ４３において、受信した基本認証データ及び読み出した付加認証データに基づいて基本認証及び付加認証を実施し、入力要求画面の第２の制御の処理を終了する。

図７は、本発明の一実施形態に係る入力画面の第３の制御の処理及び基本・付加認証データの第３の受付送信の処理についての処理を示すフローチャートである。なお、入力画面の第３の制御の処理は、入力要求画面制御手段１３が行う処理であり、基本・付加認証データの第３の受付送信の処理は、基本・付加認証データ受付送信手段２２が行う処理である。

ステップＳ５１において、入力要求画面制御手段１３は、基本認証データ入力受付送信画面及び付加認証データ入力受付送信画面を送信する。

ステップＳ５２において、基本・付加認証データ受付送信手段２２は、基本認証データ入力受付送信画面及び付加認証データ入力受付送信画面を受信し、ステップＳ５３において、付加認証データの入力を受け付け、ステップＳ５４において、入力を受け付けた付加認証データを一時記憶手段９０に記憶する。

更に、基本・付加認証データ受付送信手段２２は、ステップＳ５５において、基本認証データの入力を受け付け、ステップＳ５６において、記憶した付加認証データを一時記憶手段９０から読み出し、ステップＳ５７において、入力を受け付けた基本認証データ及び読み出した付加認証データを送信する。

ステップＳ５８において、入力要求画面制御手段１３は、基本認証データ及び付加認証データを受信し、ステップＳ５９において、受信した基本認証データ及び付加認証データに基づいて基本認証及び付加認証を実施し、入力要求画面の第３の制御の処理を終了する。

図８は、図１で示した外部コンピュータ２の詳細を示す図である。

外部コンピュータ２は、外部サーバ３とクライアント端末４とから構成されている。外部サーバ３は、ユーザ認証要求送信手段２１と認証結果受信手段２３とを備える。クライアント端末４は、ユーザ認証要求送信手段４１と基本・付加認証データ受付送信手段２２とを備える。なお、認証サーバ１が備える各手段については、図１にて説明したとおりである。

クライアント端末４が備えるユーザ認証要求送信手段４１は、クライアント端末４がユーザからのユーザ認証要求を受け付けたことに応じてユーザ認証要求を外部サーバ３が備えるユーザ認証要求送信手段２１に送信する。ユーザ認証要求送信手段２１は、クライアント端末４からユーザ認証要求を受信したことに応じてユーザ認証要求を認証サーバ１に送信する。

クライアント端末４が備える基本・付加認証データ受付送信手段２２及び外部サーバ３が備える認証結果受信手段２３は、図１において説明した、外部コンピュータ２が備える基本・付加認証データ受付送信手段２２及び認証結果受信手段２３と同様であるため、説明を省略する。

図９は、図２で示した外部コンピュータ２の詳細を示す図である。

外部コンピュータ２は、外部サーバ３とクライアント端末４とから構成されている。外部サーバ３は、ユーザ認証要求送信手段２１と認証結果受信手段２３とを備える。クライアント端末４は、ユーザ認証要求送信手段４１、基本・付加認証データ受付送信手段２２及び一時記憶手段９０を備える。なお、認証サーバ１が備える各手段については、図２にて説明したとおりである。

クライアント端末４が備える基本・付加認証データ受付送信手段２２、一時記憶手段９０及び外部サーバ３が備える認証結果受信手段２３は、図２において説明した、外部コンピュータ２が備える基本・付加認証データ受付送信手段２２、一時記憶手段９０及び認証結果受信手段２３と同様であるため、説明を省略する。

図１０は、認証サーバ１、外部サーバ３及びクライアント端末４で行われる認証処理のフローチャートである。この図１０では、後述するステップＳ７５において、基本認証データであるユーザＩＤ及びパスワードの入力要求順序が付加認証データであるアクセスコードよりも先と判断される場合について説明する。

なお、以下の図１０〜図１２における、ユーザＩＤ及びパスワードの入力受付送信画面とは、クライアント端末４にてユーザＩＤ及びパスワードの入力を受け付けて、当該入力を受け付けたユーザＩＤ及びパスワードを認証サーバ１に送信する画面のことをいう。また、アクセスコードの入力受付送信画面とは、クライアント端末４にてアクセスコードの入力を受け付けて、当該入力を受け付けたアクセスコードを認証サーバ１に送信する画面のことをいう。

ステップＳ７１では、クライアント端末４のＣＰＵは、ユーザ認証を要求する。具体的には、外部サーバ３に対してユーザ認証を要求するデータを送信する。

ステップＳ７２では、外部サーバ３のＣＰＵは、ユーザ認証の要求を受け付ける。具体的には、クライアント端末４でステップＳ７１の処理が実行されたことに応じて、クライアント端末４からユーザ認証を要求するデータを受信する。

ステップＳ７３では、外部サーバ３のＣＰＵは、複数要素認証を要求する。具体的には、認証サーバ１に対して、複数の認証データによる認証を要求するデータを送信する。

ステップＳ７４では、認証サーバ１のＣＰＵは、複数要素認証の要求を受け付ける。具体的には、外部サーバ３でステップＳ７３の処理が実行されたことに応じて、複数の認証データによる認証を要求するデータを受信する。

ステップＳ７５では、認証サーバ１のＣＰＵは、複数要素の入力要求順序をランダムに決定する。具体的には、ＯｐｅｎＩＤに関連付けられたユーザＩＤ及びパスワード（基本認証データ）と、アクセスコード（付加認証データ）との入力要求を行う順序をランダムに決定する。

ステップＳ７６では、認証サーバ１のＣＰＵは、ユーザＩＤ及びパスワードの入力受付送信画面を送信する。具体的には、ユーザＩＤ及びパスワードの入力受付送信画面のデータをクライアント端末４に対して送信する。

ステップＳ７７では、クライアント端末４のＣＰＵは、ユーザＩＤ及びパスワードの入力受付送信画面を受信する。具体的には、認証サーバ１でステップＳ７６の処理が実行されたことに応じて、ユーザＩＤ及びパスワードの入力受付送信画面のデータを受信する。

ステップＳ７８では、クライアント端末４のＣＰＵは、ユーザＩＤ及びパスワードの、入力受付及び送信を行う。具体的には、ユーザＩＤ及びパスワードの入力を受け付けた後、受け付けたユーザＩＤ及びパスワードを認証サーバ１に対して送信する。

ステップＳ７９では、認証サーバ１のＣＰＵは、ユーザＩＤ及びパスワードを受信する。具体的には、クライアント端末４でステップＳ７８の処理が実行されたことに応じて、クライアント端末４からユーザＩＤ及びパスワードを受信する。

ステップＳ８０では、認証サーバ１のＣＰＵは、ユーザＩＤ及びパスワードによる認証を実行する。具体的には、図１３で後述するＯｐｅｎＩＤ関連付けテーブルを参照し、ステップＳ７９で受信したユーザＩＤによりユーザを特定し、更にパスワードとの組合せによりユーザ認証を行う。例えば、図１３によれば、ユーザＩＤが「ａｂｃ１２３４５」、パスワードが「ｚ２５ｑ４ａ」の場合、ユーザ「山田進」を特定してユーザ認証を行う。

ステップＳ８１では、認証サーバ１のＣＰＵは、アクセスコード（例えば、トークンが発行するアクセスコード）の入力受付送信画面を送信する。具体的には、アクセスコードの入力受付送信画面のデータをクライアント端末４に対して送信する。なお、トークンには、ハードウェアトークンやソフトウェアトークンがあり、例えば認証のたびに、ランダムにアクセスコードを発行する。ユーザを直接特定するものではないが、アクセスコードを認証に使用することによりセキュリティーを向上させることができる。

ステップＳ８２では、クライアント端末４のＣＰＵは、アクセスコードの入力受付送信画面を受信する。具体的には、認証サーバ１でステップＳ８１の処理が実行されたことに応じて、アクセスコードの入力受付送信画面のデータを認証サーバ１から受信する。

ステップＳ８３では、クライアント端末４のＣＰＵは、アクセスコードの入力受付及び送信を行う。具体的には、アクセスコードを受け付けた後、受け付けたアクセスコードを認証サーバ１に対して送信する。

ステップＳ８４では、認証サーバ１のＣＰＵは、アクセスコードを受信する。具体的には、クライアント端末４でステップＳ８３の処理が実行されたことに応じて、クライアント端末４からアクセスコードを受信する。

ステップＳ８５では、認証サーバ１のＣＰＵは、アクセスコードによる認証を実行する。具体的には、ステップＳ８０で特定したユーザ「山田進」について、ステップＳ８４において受信したアクセスコード「０８４５８３」が有効なものであるか否かを判断する。これが有効である場合に、認証が成功した、と判断する。なお、図１３で後述するＯｐｅｎＩＤ関連付けテーブルを参照し、当該受信したアクセスコード「０８４５８３」がユーザ「山田進」に対応付けられていれば有効であると判断し、対応付けられていなければ有効でないと判断する。

ステップＳ８６では、認証サーバ１のＣＰＵは、ＯｐｅｎＩＤを送信する。具体的には、ステップＳ８５の処理で、アクセスコードによる認証が成功した、と判断した場合に、図１３で後述するＯｐｅｎＩＤ関連付けテーブルからユーザ「山田進」に対応するＯｐｅｎＩＤを読み出して取得し、取得したＯｐｅｎＩＤを外部サーバ３に送信する。

ステップＳ８７では、外部サーバ３のＣＰＵは、ＯｐｅｎＩＤを受信する。具体的には、認証サーバ１でステップＳ８６の処理が実行されたことに応じて、認証サーバ１からＯｐｅｎＩＤを受信する。ステップＳ８７の処理が終了すると、ステップＳ７５において基本認証データであるユーザＩＤ及びパスワードの入力要求順序が付加認証データであるアクセスコードよりも先と判断される場合における認証処理を終了する。

図１１は、認証サーバ１、外部サーバ３及びクライアント端末４で行われる認証処理のフローチャートである。この図１１では、後述するステップＳ９５において、付加認証データであるアクセスコードの入力要求順序が基本認証データであるユーザＩＤ及びパスワードよりも先と判断される場合の認証処理であって一時記憶手段を認証サーバ１が備える場合における認証処理について説明する。

ステップＳ９１〜ステップＳ９５の処理は、図１０で説明したステップＳ７１〜ステップＳ７５の処理と同じである。

ステップＳ９６では、認証サーバ１のＣＰＵは、アクセスコード（例えば、トークンが発行するアクセスコード）の入力受付送信画面を送信する。具体的には、アクセスコードの入力受付送信画面のデータをクライアント端末４に対して送信する。なお、トークン及びアクセスコードについては、ステップＳ８１での説明にて上述したとおりである。

ステップＳ９７では、クライアント端末４のＣＰＵは、アクセスコードの入力受付送信画面を受信する。具体的には、認証サーバ１でステップＳ９６の処理が実行されたことに応じて、アクセスコードの入力受付送信画面のデータを認証サーバ１から受信する。

ステップＳ９８では、クライアント端末４のＣＰＵは、アクセスコードの入力受付及び送信を行う。具体的には、アクセスコードを受け付けた後、受け付けたアクセスコードを認証サーバ１に対して送信する。

ステップＳ９９では、認証サーバ１のＣＰＵは、アクセスコードを受信する。具体的には、クライアント端末４でステップＳ９８の処理が実行されたことに応じて、クライアント端末４からアクセスコードを受信する。

ステップＳ１００では、認証サーバ１のＣＰＵは、受信したアクセスコードを一時記憶する。具体的には、認証サーバ１が備える一時記憶手段８０に一時記憶する。

ステップＳ１０１では、認証サーバ１のＣＰＵは、ユーザＩＤ及びパスワードの入力受付送信画面を送信する。具体的には、ユーザＩＤ及びパスワードの入力受付送信画面のデータをクライアント端末４に対して送信する。

ステップＳ１０２では、クライアント端末４のＣＰＵは、ユーザＩＤ及びパスワードの入力受付送信画面を受信する。具体的には、認証サーバ１でステップＳ１０１の処理が実行されたことに応じて、ユーザＩＤ及びパスワードの入力受付送信画面のデータを受信する。

ステップＳ１０３では、クライアント端末４のＣＰＵは、ユーザＩＤ及びパスワードの、入力受付及び送信を行う。具体的には、ユーザＩＤ及びパスワードの入力を受け付けた後、受け付けたユーザＩＤ及びパスワードを認証サーバ１に対して送信する。

ステップＳ１０４では、認証サーバ１のＣＰＵは、ユーザＩＤ及びパスワードを受信する。具体的には、クライアント端末４でステップＳ１０３の処理が実行されたことに応じて、クライアント端末４からユーザＩＤ及びパスワードを受信する。

ステップＳ１０５では、認証サーバ１のＣＰＵは、ユーザＩＤ及びパスワードによる認証を実行する。具体的には、図１３で後述するＯｐｅｎＩＤ関連付けテーブルを参照し、ステップＳ１０４で受信したユーザＩＤによりユーザを特定し、更にパスワードとの組合せによりユーザ認証を行う。例えば、図１３によれば、ユーザＩＤが「ａｂｃ１２３４５」、パスワードが「ｚ２５ｑ４ａ」の場合、ユーザ「山田進」を特定してユーザ認証を行う。

ステップＳ１０６では、認証サーバ１のＣＰＵは、一時記憶したアクセスコードを読み出す。具体的には、認証サーバ１が備える一時記憶手段８０に一時記憶されたアクセスコードを読み出す。

ステップＳ１０７では、認証サーバ１のＣＰＵは、アクセスコードによる認証を実行する。具体的には、ステップＳ１０５で特定したユーザ「山田進」について、ステップＳ１０６において一時記憶手段８０から読み出したアクセスコード「０８４５８３」が有効なものであるか否かを判断する。これが有効である場合に、認証が成功した、と判断する。なお、図１３で後述するＯｐｅｎＩＤ関連付けテーブルを参照し、当該読み出したアクセスコード「０８４５８３」がユーザ「山田進」に対応付けられていれば有効であると判断し、対応付けられていなければ有効でないと判断する。

ステップＳ１０８では、認証サーバ１のＣＰＵは、ＯｐｅｎＩＤを送信する。具体的には、ステップＳ１０７の処理で、アクセスコードによる認証が成功した、と判断した場合に、図１３で後述するＯｐｅｎＩＤ関連付けテーブルからユーザ「山田進」に対応するＯｐｅｎＩＤを読み出し、読み出したＯｐｅｎＩＤを外部サーバ３に送信する。

ステップＳ１０９では、外部サーバ３のＣＰＵは、ＯｐｅｎＩＤを受信する。具体的には、認証サーバ１でステップＳ１０８の処理が実行されたことに応じて、認証サーバ１からＯｐｅｎＩＤを受信する。ステップＳ１０８の処理が終了すると、ステップＳ９５において付加認証データであるアクセスコードの入力要求順序が基本認証データであるユーザＩＤ及びパスワードよりも先と判断される場合における認証処理であって一時記憶手段を認証サーバ１が備える場合における認証処理を終了する。

図１２は、認証サーバ１、外部サーバ３及びクライアント端末４で行われる認証処理のフローチャートである。この図１２では、後述するステップＳ１１５において、付加認証データであるアクセスコードの入力要求順序が基本認証データであるユーザＩＤ及びパスワードよりも先と判断される場合の認証処理であって一時記憶手段をクライアント端末４が備える場合における認証処理について説明する。

ステップＳ１１１〜ステップＳ１１５の処理は、図１０で説明したステップＳ７１〜ステップＳ７５の処理と同じである。

ステップＳ１１６では、認証サーバ１のＣＰＵは、ユーザＩＤ及びパスワードの入力受付送信画面並びにアクセスコード（例えば、トークンが発行するアクセスコード）の入力受付送信画面を送信する。具体的には、ユーザＩＤ及びパスワードの入力受付送信画面のデータ並びにアクセスコードの入力受付送信画面のデータをクライアント端末４に対して送信する。なお、トークン及びアクセスコードについては、ステップＳ８１での説明にて上述したとおりである。

ステップＳ１１７では、クライアント端末４のＣＰＵは、ユーザＩＤ及びパスワードの入力受付送信画面並びにアクセスコードの入力受付送信画面を受信する。具体的には、認証サーバ１でステップＳ１１６の処理が実行されたことに応じて、ユーザＩＤ及びパスワードの入力受付送信画面のデータ並びにアクセスコードの入力受付送信画面のデータを認証サーバ１から受信する。

ステップＳ１１８では、クライアント端末４のＣＰＵは、アクセスコードの入力受付を行う。

ステップＳ１１９では、クライアント端末４のＣＰＵは、入力を受け付けたアクセスコードを一時記憶する。具体的には、クライアント端末４が備える一時記憶手段９０に一時記憶する。

ステップＳ１２０では、クライアント端末４のＣＰＵは、ユーザＩＤ及びパスワードの、入力受付を行う。

ステップＳ１２１では、クライアント端末４のＣＰＵは、一時記憶したアクセスコードを読み出す。具体的には、クライアント端末４が備える一時記憶手段９０に一時記憶されたアクセスコードを読み出す。

ステップＳ１２２では、クライアント端末４のＣＰＵは、ユーザＩＤ、パスワード及びアクセスコードを送信する。具体的には、ステップＳ１２０で入力を受け付けたユーザＩＤ及びパスワード並びにステップＳ１２１で読み出したアクセスコードを認証サーバ１に対して送信する。

ステップＳ１２３では、認証サーバ１のＣＰＵは、ユーザＩＤ、パスワード及びアクセスコードを受信する。具体的には、クライアント端末４でステップＳ１２２の処理が実行されたことに応じて、クライアント端末４からユーザＩＤ、パスワード及びアクセスコードを受信する。

ステップＳ１２４では、認証サーバ１のＣＰＵは、ユーザＩＤ及びパスワードによる認証を実行する。具体的には、図１３で後述するＯｐｅｎＩＤ関連付けテーブルを参照し、ステップＳ１２３で受信したユーザＩＤによりユーザを特定し、更にパスワードとの組合せによりユーザ認証を行う。例えば、図１３によれば、ユーザＩＤが「ａｂｃ１２３４５」、パスワードが「ｚ２５ｑ４ａ」の場合、ユーザ「山田進」を特定してユーザ認証を行う。

ステップＳ１２５では、認証サーバ１のＣＰＵは、アクセスコードによる認証を実行する。具体的には、ステップＳ１２４で特定したユーザ「山田進」について、ステップＳ１２３で受信したアクセスコード「０８４５８３」が有効なものであるか否かを判断する。これが有効である場合に、認証が成功した、と判断する。なお、図１３で後述するＯｐｅｎＩＤ関連付けテーブルを参照し、当該読み出したアクセスコード「０８４５８３」がユーザ「山田進」に対応付けられていれば有効であると判断し、対応付けられていなければ有効でないと判断する。

ステップＳ１２６では、認証サーバ１のＣＰＵは、ＯｐｅｎＩＤを送信する。具体的には、ステップＳ１２５の処理で、アクセスコードによる認証が成功した、と判断した場合に、図１３で後述するＯｐｅｎＩＤ関連付けテーブルからユーザ「山田進」に対応するＯｐｅｎＩＤを読み出し、読み出したＯｐｅｎＩＤを外部サーバ３に送信する。

ステップＳ１２７では、外部サーバ３のＣＰＵは、ＯｐｅｎＩＤを受信する。具体的には、認証サーバ１でステップＳ１２６の処理が実行されたことに応じて、認証サーバ１からＯｐｅｎＩＤを受信する。ステップＳ１２７の処理が終了すると、ステップＳ１１５において付加認証データであるアクセスコードの入力要求順序が基本認証データであるユーザＩＤ及びパスワードよりも先と判断される場合における認証処理であって一時記憶手段をクライアント端末４が備える場合における認証処理を終了する。

図１３は、ＯｐｅｎＩＤ関連付けテーブルを示す図である。

このＯｐｅｎＩＤ関連付けテーブルは、図１０のステップＳ８０、ステップＳ８５、図１１のステップＳ１０５、ステップＳ１０７、図１２のステップＳ１２４及びステップＳ１２５で参照されるテーブルである。図１３によれば、ユーザＩＤ「ａｂｃ１２３４５」、パスワード「ｚ２５ｑ４ａ」、アクセスコード「０８４５８３」及びユーザ「山田進」が、ＯｐｅｎＩＤ「ｈｔｔｐ：／／ａｂｃ．…．ｃｏ．ｊｐ」と関連付けられている。

なお、上述したように、アクセスコードは、例えば認証のたびに、ランダムに発行されるので、ＯｐｅｎＩＤ関連付けテーブルのアクセスコード欄の値は、アクセスコードが発行されるたびに書き換えられる。

本実施形態によれば、認証サーバ１は、クライアント端末４からのユーザ認証要求を外部サーバ３を介して受信したことに応じて、クライアント端末４に対してユーザＩＤ及びパスワード（基本認証データ）と、アクセスコード（付加認証データ）との入力要求を行う順序を決定する。

これにより、クライアント端末４に対して、ユーザＩＤ及びパスワードと、アクセスコードとの入力要求を行う順序が、認証サーバ１における認証が行われるたびに決定されるので、認証データの入力順序が一定になるのを防ぐことができる。よって、認証データの入力時においてキーボードを叩く順番を盗み見されたり、通信経路上で盗聴されても認証データの入力順序が不明となるので、セキュリティーを向上させることが可能となる。

更に、本実施形態によれば、認証サーバ１は、アクセスコードの入力要求がユーザＩＤ及びパスワードの入力要求より先の場合、クライアント端末４が入力を受け付けたアクセスコードを認証サーバ１が備える一時記憶手段８０（又はクライアント端末４が備える一時記憶手段９０）に記憶する。

これにより、クライアント端末４においてユーザＩＤ及びパスワードがアクセスコードより後に入力された場合であっても、アクセスコードを一時記憶手段（認証サーバ１に設けられた一時記憶手段８０又はクライアント端末４に設けられた一時記憶手段９０のいずれでもよい）に一時記憶させておくことで基本認証データから先に認証処理を行うことができるので、認証サーバにおける認証処理を支障なく行うことができる。

以上、本発明の実施形態について説明したが、本発明は上述した実施形態に限るものではない。また、本発明の実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本発明の実施例に記載されたものに限定されるものではない。

例えば、本実施形態では、基本認証データとしてユーザＩＤ及びパスワードと、付加認証データとしてアクセスコードとの２つの認証データで認証を実行しているが、これに限られず、基本認証データとしてユーザＩＤ及びパスワードを含む複数の認証データを含めてもよく、付加認証データとしてアクセスコードを含む複数の認証データを含めてもよい。

これにより、クライアント端末４において入力される認証データの数が増えるので、入力順序のバリエーションがより増える。よって、認証データの入力順序を推測することがより困難になるため、さらなるセキュリティーの向上が見込める。

また、本実施形態では、認証サーバ１は、クライアント端末４からの認証要求を外部サーバ３を介して受信しているが、これに限られない。例えば、外部サーバ３を介さずに、クライアント端末４から認証要求及び認証データを受信し、クライアント端末４に認証結果を送信するようにしてもよい。

１認証サーバ
２外部コンピュータ
３外部サーバ
４クライアント端末
１１ユーザ認証要求受信手段
１２要求順序決定手段
１３入力要求画面制御手段
１４認証結果送信手段
２１ユーザ認証要求送信手段
２２基本・付加認証データ受付送信手段
２３認証結果受信手段
８０一時記憶手段
９０一時記憶手段

Claims

外部コンピュータと通信可能に接続され、複数の認証データを用いてユーザ認証を実施する認証サーバであって、
前記外部コンピュータからのユーザ認証要求を受信したことに応じて、前記外部コンピュータに対して、ユーザＩＤおよびパスワードを含む基本認証データの入力要求及び前記基本認証データに付加して使用する付加認証データの入力要求を行う順序を決定する要求順序決定手段と、
前記要求順序決定手段が決定した前記順序が、前記基本認証データの入力要求が前記付加認証データの入力要求よりも先である場合に、前記基本認証データの入力を受け付けて、前記入力を受け付けた前記基本認証データを前記認証サーバに送信する画面を前記外部コンピュータに送信した後、前記外部コンピュータから受信した前記基本認証データに基づくユーザ認証の結果が成立した場合に、前記付加認証データの入力を受け付ける画面を前記外部コンピュータに送信し、
前記付加認証データの入力要求が前記基本認証データの入力要求よりも先である場合に、前記付加認証データの入力を受け付ける画面を送信し、前記入力を受け付けた前記付加認証データを一時記憶手段に記憶し、更に前記基本認証データの入力を受け付ける画面を、前記外部コンピュータに送信する入力要求画面制御手段と、
前記外部コンピュータから受信した前記基本認証データに基づくユーザ認証を行った後、前記付加認証データの入力要求が前記基本認証データの入力要求よりも先である場合に、前記一時記憶手段に記憶した前記付加認証データを読み出し、前記外部コンピュータから受信した前記付加認証データに基づくユーザ認証処理を行う認証手段と、
を備えた認証サーバ。
外部コンピュータと通信可能に接続された認証サーバが、複数の認証データを用いてユーザ認証を実施する方法であって、
前記認証サーバが、
前記外部コンピュータからのユーザ認証要求を受信したことに応じて、前記外部コンピュータに対して、ユーザＩＤおよびパスワードを含む基本認証データの入力要求及び前記基本認証データに付加して使用する付加認証データの入力要求を行う順序を決定するステップと、
前記順序を決定するステップで決定された前記順序が、前記基本認証データの入力要求が前記付加認証データの入力要求よりも先である場合に、前記基本認証データの入力を受け付けて、前記入力を受け付けた前記基本認証データを前記認証サーバに送信する画面を前記外部コンピュータに送信するステップと、前記外部コンピュータから受信した前記基本認証データに基づくユーザ認証の結果が成立した場合に、前記付加認証データの入力を受け付ける画面を前記外部コンピュータに送信するステップと、
前記付加認証データの入力要求が前記基本認証データの入力要求よりも先である場合に、前記付加認証データの入力を受け付ける画面を送信するステップと、前記入力を受け付けた前記付加認証データを一時記憶手段に記憶するステップと、更に前記基本認証データの入力を受け付ける画面を、前記外部コンピュータに送信するステップと、
前記外部コンピュータから受信した前記基本認証データに基づくユーザ認証を行った後、前記付加認証データの入力要求が前記基本認証データの入力要求よりも先である場合に、前記一時記憶手段に記憶した前記付加認証データを読み出し、前記外部コンピュータから受信した前記付加認証データに基づくユーザ認証処理を行う認証ステップと、
を実行する方法。