JP6164954B2 - 認証サーバ、認証方法、およびプログラム - Google Patents

Description

本発明は、認証サーバ、認証方法、およびプログラムに関する。

下記の特許文献１には、「本発明によるファクシミリ複合機を利用するユーザは、認証画面に表示される画像からユーザパスとして設定された画像を選択して認証を受ける必要がある。認証画面には、ユーザパスとして設定された画像（以下、パス画像と称す）のみならずダミー画像も表示され、場合によっては、認証画面にダミー画像のみが表示されることがある。認証画面にダミー画像のみが表示された場合、ユーザは、予め設定された操作を行うことでユーザ認証を受けることができる。」と記載されている。

特開２０１２−３２８７５号公報

ところで、上記特許文献１の技術では、認証の際にパス画像が表示されるため、認証操作を第三者に見られてしまうと、その第三者は、次回からそのパス画像を選択することで認証を受けることができてしまう。また、上記特許文献１ではダミー画像が表示される場合もあるが、パス画像が表示されていなければ全てダミー画像と判定することも可能であるため、第三者によるなりすましを防止することができない。特に、路上や電車の中のように、画面を他人に見られるおそれがある状況では、安心して認証を受けることができないという問題がある。

本発明は上記事情を鑑みてなされたものであり、本発明の目的は、第三者によるなりすましを防止して安全な認証方法を提供することにある。

上記課題を解決するための本発明の第一の態様は、例えば、クライアント端末を認証する認証サーバであって、
グループを構成する複数の画像を格納する画像格納部と、
前記クライアント端末の認証を行う際に、前記画像格納部内に格納されているグループ内の複数の画像の一部を前記クライアント端末へ送信して前記クライアント端末に表示させる画像表示指示部と、
前記クライアント端末から画像を受信した場合に、前記画像表示指示部によって前記クライアント端末へ送信されなかったグループ内の残りの画像を前記画像格納部から抽出し、抽出した画像と、前記クライアント端末から受信した画像とが一致する場合に、前記クライアント端末に認証成功を通知する認証処理部と
を備える。

また、上記した画像表示指示部は、グループの中でクライアント端末へ送信する画像の枚数、および、その枚数でどの画像を選択するかをランダムに決定するようにしてもよい。

また、上記した画像表示指示部は、送信すべき画像の枚数を通知することなく、グループ内の複数の画像の一部をクライアント端末へ送信して、残りの画像の送信をクライアント端末に要求するようにしてもよい。

また、上記した認証処理部は、残りの画像と、クライアント端末から受信した画像とが一致しなかった場合に、一致しなかった画像、および、送信すべき画像の枚数よりも少なかった或いは多かった画像の枚数を通知することなく、クライアント端末に認証失敗を通知するようにしてもよい。

また、上記した認証処理部は、画像のデータ本体に加えて、当該画像のメタ情報についても一致する場合に、残りの画像と、クライアント端末から受信した画像とが一致すると判定するようにしてもよい。また、上記したグループは、２つの画像で構成されていてもよい。

また、上記した認証サーバでは、認証が必要な複数のサービスのそれぞれについて、異なる画像のグループが割り当てられていてもよく、
上記した画像格納部は、
サービス毎に、当該サービスに割り当てられているグループを構成する複数の画像を格納するようにしてもよい。

上記した認証処理部は、予め定められた期間内に許容される許容リトライ回数を保持しており、
残りの画像と、クライアント端末から受信した画像とが一致しなかった場合に、予め定められた期間内において許容リトライ回数に達するまで、クライアント端末から画像を受信して、画像表示指示部によってクライアント端末へ送信されなかった画像との一致を判定し、
所定のサービスの認証において、クライアント端末から受信した画像が、当該所定のサービスに割り当てられているグループにおいて残りの画像とは一致しなかったものの、他のサービスに割り当てられているグループに含まれている場合には、許容リトライ回数を所定回数分増加させるようにしてもよい。

また、本発明の第二の態様は、例えば、クライアント端末を認証する認証サーバにおける認証方法であって、
前記認証サーバが、
前記クライアント端末の認証を行う際に、グループを構成する複数の画像を格納する画像格納部内に格納されているグループ内の複数の画像の一部を前記クライアント端末へ送信して前記クライアント端末に表示させる画像表示指示ステップと、
前記クライアント端末から画像を受信した場合に、前記画像表示指示ステップにおいて前記クライアント端末へ送信しなかったグループ内の残りの画像を前記画像格納部から抽出し、抽出した画像と、前記クライアント端末から受信した画像とが一致する場合に、前記クライアント端末に認証成功を通知する認証処理ステップと
を実行する。

また、本発明の第三の態様は、例えば、コンピュータを、クライアント端末を認証する認証サーバとして機能させるプログラムであって、
前記コンピュータに、
前記クライアント端末の認証を行う際に、グループを構成する複数の画像を格納するデータベース内に格納されているグループ内の複数の画像の一部を前記クライアント端末へ送信して前記クライアント端末に表示させる画像表示指示機能と、
前記クライアント端末から画像を受信した場合に、前記画像表示指示機能によって前記クライアント端末へ送信されなかったグループ内の残りの画像を前記データベースから抽出し、抽出した画像と、前記クライアント端末から受信した画像とが一致する場合に、前記クライアント端末に認証成功を通知する認証処理機能と
を実現させる。

本発明によれば、第三者によるなりすましを防止して安全な認証方法を提供することができる。

本発明の一実施形態に係るサービスシステム１０の構成の一例を示すシステム構成図である。 認証サーバ２０の詳細な機能構成の一例を示すブロック図である。 画像格納部２１に格納されるグループ管理テーブル２１０のデータ構造の一例を示す図である。 画像格納部２１に格納される画像テーブル２１５のデータ構造の一例を示す図である。 サービス毎の画像のグループの一例を説明するための概念図である。 画像登録画面３０の画面構成の一例を説明するための概念図である。 変更画面３１の画面構成の一例を説明するための概念図である。 削除画面３２の画面構成の一例を説明するための概念図である。 入れ替え画面３３の画面構成の一例を説明するための概念図である。 認証画面３４の画面構成の一例を説明するための概念図である。 認証成功画面３５の画面構成の一例を説明するための概念図である。 認証エラー画面３６の画面構成の一例を説明するための概念図である。 認証画像の登録処理の一例を示すフローチャートである。 認証画像の変更処理の一例を示すフローチャートである。 認証処理（Ｓ２００）の一例を示すフローチャートである。 認証サーバ２０の機能を実現するコンピュータ４０のハードウェア構成の一例を示す図である。

以下、本発明の実施の形態について、図面を参照しながら説明する。

図１は、本発明の一実施形態におけるサービスシステム１０の構成の一例を示すシステム構成図である。サービスシステム１０は、１つ以上のサービス提供サーバ１１と、認証サーバ２０とを備える。

それぞれのサービス提供サーバ１１は、クライアント端末１３から通信回線１２を介してユーザＩＤを含むサービス要求を受信した場合に、当該ユーザＩＤと、要求されたサービスを識別するサービスＩＤと、送信元のクライアント端末１３のアドレス情報とを含む認証要求を通信回線１２を介して認証サーバ２０へ送信し、認証サーバ２０に当該クライアント端末１３の認証を依頼する。

そして、認証サーバ２０から認証成功を通知された場合、サービス提供サーバ１１は、サービス要求の送信元のクライアント端末１３に対して、所定のサービスを提供する。

また、初めてサービスの提供を受けるクライアント端末１３からアクセスされた場合、それぞれのサービス提供サーバ１１は、要求されたサービスを識別するサービスＩＤと送信元のクライアント端末１３のアドレス情報とを含む登録要求を通信回線１２を介して認証サーバ２０へ送信し、認証情報の登録を認証サーバ２０に依頼する。

また、クライアント端末１３からユーザＩＤを含む認証情報の変更要求を受信した場合、それぞれのサービス提供サーバ１１は、当該ユーザＩＤと、対象となるサービスを識別するサービスＩＤと、送信元のクライアント端末１３のアドレス情報とを含む変更要求を通信回線１２を介して認証サーバ２０へ送信し、認証情報の変更を認証サーバ２０に依頼する。

認証サーバ２０は、それぞれのサービス提供サーバ１１からの依頼に基づいてクライアント端末１３の認証を行い、認証結果を、依頼元のサービス提供サーバ１１および認証対象のクライアント端末１３に通知する。その他、認証サーバ２０は、それぞれのサービス提供サーバ１１からの依頼に基づいて、認証情報の登録や変更等も行う。

なお、本実施形態において、それぞれのサービス提供サーバ１１および認証サーバ２０は別々の装置で実現されるが、本発明はこれに限られず、それぞれのサービス提供サーバ１１や認証サーバ２０の機能を１つの装置で実現してもよく、さらに多くの装置を用いて、いわゆるクラウドとして実現されてもよい。

図２は、認証サーバ２０の詳細な機能構成の一例を示すブロック図である。認証サーバ２０は、画像格納部２１、画像表示指示部２２、認証処理部２３、および画像変更部２４を有する。

画像格納部２１には、グループ管理テーブル２１０および画像テーブル２１５が格納される。グループ管理テーブル２１０には、例えば図３に示すように、それぞれのサービスを識別するサービスＩＤ２１１に対応付けて、グループテーブル２１２が格納される。

それぞれのグループテーブル２１２には、それぞれのユーザを識別するユーザＩＤ２１３に対応付けて、グループを構成する画像の画像ＩＤ２１４が格納される。グループとは、対応するユーザＩＤ２１３のユーザが、対応するサービスＩＤ２１１のサービスを受ける際の認証に用いられる画像の集合である。

画像テーブル２１５には、例えば図４に示すように、それぞれの画像を識別する画像ＩＤ２１６に対応付けて、当該画像の画像データ２１７が格納される。なお、図４の例では、画像ＩＤ２１６と画像データ２１７のファイル名とが同一の文字や記号等となっているが、異なる文字や記号等であってもよい。

ここで、それぞれのユーザは、複数のサービスのそれぞれについて、画像のグループを設定し、それぞれのグループを構成する画像の枚数、および、その枚数においてどの画像を指定するのかを自由に選択することができる。そして、グループ管理テーブル２１０には、サービスＩＤおよびユーザＩＤの組合せ毎に、画像のグループを構成する画像ＩＤが登録され、画像テーブル２１５には、それぞれの画像のデータが登録される。

例えば、あるユーザが、複数のサービスのそれぞれについて画像のグループを指定する場合、例えば図５に示すように、それぞれのグループを構成する画像の枚数をサービス間で異ならせることができる。ただし、それぞれのグループを構成する画像の枚数は２以上である必要がある。

また、それぞれのサービスにおける画像のグループ間で、一部に同一の画像を用いることができる。例えば、図５の例では、「ａ００４」と「ａ００７」とは同一の画像である。ただし、１つのサービスの画像グループを構成する画像の全てが、他のサービスの画像グループを構成する画像の少なくとも一部に含まれるような画像の割り当ては、サービス間のセキュリティ低下の観点から避けることが好ましい。

図２に戻って説明を続ける。画像変更部２４は、通信回線１２を介してサービス提供サーバ１１から、サービスＩＤおよびクライアント端末１３のアドレス情報を含む登録要求を受信した場合に、画像格納部２１内のグループ管理テーブル２１０を参照し、当該登録要求に含まれているサービスＩＤに対応付けられているグループテーブル２１２を特定する。

そして、画像変更部２４は、例えば図６に示すような画像登録画面３０のデータを作成し、作成した画像登録画面３０のデータを、登録要求に含まれているアドレス情報で特定されるクライアント端末１３へ通信回線１２を介して送信し、クライアント端末１３に表示させる。

画像登録画面３０には、例えば図６に示すように、登録要求に含まれていたサービスＩＤが表示される領域３００、グループとして登録する画像の枚数を指定する領域３０１、登録する画像のサムネイルが表示される領域３０２、登録する画像が格納されている場所を指定する領域３０３、参照ボタン３０４、ＯＫボタン３０５、およびキャンセルボタン３０６が表示される。

例えば、領域３０１には初期値として「３」が表示され、領域３０２および領域３０３はそれぞれ３つずつ表示される。クライアント端末１３の入力手段を介してユーザが領域３０１内の数を変更すると、変更された数分の領域３０２および領域３０３がクライアント端末１３に表示される。

クライアント端末１３の入力手段を介して参照ボタン３０４が選択されると、クライアント端末１３のファイルシステムの画面が別途表示され、その中から画像のファイルが選択されると、対応する領域３０３にファイルパスと共に画像のファイル名が表示される。

それぞれの領域３０３に登録する画像の場所が指定された状態でＯＫボタン３０５が選択されると、クライアント端末１３は、領域３０３で指定されているそれぞれの場所から画像のデータを取得し、取得した画像のデータを、通信回線１２を介して認証サーバ２０へ送信する。

画像変更部２４は、受信したそれぞれの画像に画像ＩＤを割り当て、割り当てた画像ＩＤに対応付けて、受信した画像のデータを画像テーブル２１５に登録する。そして、画像変更部２４は、ユーザＩＤを新たに割り当て、割り当てたユーザＩＤに対応付けて、受信した画像の画像ＩＤを、グループを構成する画像の画像ＩＤとして、特定していたグループテーブル２１２内に登録する。そして、画像変更部２４は、ユーザＩＤをクライアント端末１３に通知し、登録要求の送信元のサービス提供サーバ１１にユーザＩＤおよび登録完了を通知する。

キャンセルボタン３０６が選択された場合、クライアント端末１３はその旨を認証サーバ２０に通知し、画像変更部２４は、登録要求の送信元のサービス提供サーバ１１に登録キャンセルを通知する。

また、通信回線１２を介して、サービス提供サーバ１１から、サービスＩＤ、ユーザＩＤ、およびアドレス情報を含む変更要求を受信した場合、画像変更部２４は、当該サービスＩＤ、当該ユーザＩＤ、およびアドレス情報を含む認証要求を画像表示指示部２２へ送る。

そして、認証処理部２３から認証成功の通知を受けた場合、画像変更部２４は、画像格納部２１内のグループ管理テーブル２１０を参照し、変更要求に含まれていたサービスＩＤに対応付けられているグループテーブル２１２を特定する。

そして、画像変更部２４は、特定したグループテーブル２１２内で、変更要求に含まれていたユーザＩＤにグループとして対応付けられている画像の画像ＩＤを全て抽出する。そして、画像変更部２４は、抽出した画像ＩＤに対応する画像データを画像テーブル２１５から抽出する。

そして、画像変更部２４は、例えば図７に示すような変更画面３１のデータを作成し、作成した変更画面３１のデータを、変更要求に含まれているアドレス情報で特定されるクライアント端末１３へ通信回線１２を介して送信し、クライアント端末１３に表示させる。

変更画面３１には、例えば図７に示すように、変更要求に含まれていたサービスＩＤが表示される領域３１０、登録画像の削除または登録画像の入れ替えの別を表示する領域３１２、それぞれの領域３１２に対応付けられているラジオボタン３１１、ＯＫボタン３１３、およびキャンセルボタン３１４が表示される。

いずれかのラジオボタン３１１が選択された状態でＯＫボタン３１３が選択されると、クライアント端末１３は、選択されたラジオボタン３１１に対応付けられている登録画像の削除または登録画像の入れ替えの別を示す情報を認証サーバ２０へ送信する。キャンセルボタン３１４が選択された場合、クライアント端末１３はその旨を認証サーバ２０に通知し、画像変更部２４は、変更要求の送信元のサービス提供サーバ１１に変更キャンセルを通知する。

登録画像の削除を示す情報を受信した場合、画像変更部２４は、例えば図８に示すような削除画面３２のデータを作成し、作成した削除画面３２のデータを、変更要求に含まれていたアドレス情報で特定されるクライアント端末１３へ通信回線１２を介して送信し、クライアント端末１３に表示させる。

削除画面３２には、例えば図８に示すように、変更要求に含まれていたサービスＩＤが表示される領域３２０、登録されている画像のサムネイルが表示される領域３２１、それぞれのサムネイルの画像を選択するためのチェックボックス３２２、ＯＫボタン３２３、およびキャンセルボタン３２４が表示される。それぞれの領域３２１には、サムネイルの元となった画像の画像ＩＤが対応付けられている。

いずれかのチェックボックス３２２が選択された状態でＯＫボタン３２３が選択されると、クライアント端末１３は、選択されたチェックボックス３２２に対応する領域３２１に対応付けられている画像ＩＤを認証サーバ２０へ送信する。画像変更部２４は、受信した画像ＩＤを、グループテーブル２１２から削除し、受信した画像ＩＤおよびそれに対応付けられている画像データを画像テーブル２１５から削除する。そして、画像変更部２４は、変更要求の送信元のサービス提供サーバ１１に変更完了を通知する。

キャンセルボタン３２４が選択された場合、クライアント端末１３はその旨を認証サーバ２０に通知し、画像変更部２４は、変更要求の送信元のサービス提供サーバ１１に変更キャンセルを通知する。

また、登録画像の入れ替えを示す情報を受信した場合、画像変更部２４は、例えば図９に示すような入れ替え画面３３のデータを作成し、作成した入れ替え画面３３のデータを、変更要求に含まれているアドレス情報で特定されるクライアント端末１３へ通信回線１２を介して送信し、クライアント端末１３に表示させる。

入れ替え画面３３には、例えば図９に示すように、変更要求に含まれていたサービスＩＤが表示される領域３３０、登録されている画像のサムネイルが表示される領域３３１、それぞれの領域３３１に対応付けられているラジオボタン３３２、差し替える画像が格納されている場所を指定する領域３３４、領域３３４内に指定された場所に格納されている画像のサムネイルが表示される領域３３３、参照ボタン３３５、ＯＫボタン３３６、およびキャンセルボタン３３７が表示される。それぞれのラジオボタン３３２には、対応するサムネイルの元となった画像の画像ＩＤが対応付けられている。

いずれかのラジオボタン３３２が選択され、かつ、領域３３４に差し替え対象の画像の場所が指定された状態でＯＫボタン３３６が選択されると、クライアント端末１３は、ラジオボタン３３２に対応するサムネイルに対応付けられている画像ＩＤを差し替えられる画像の画像ＩＤとして認証サーバ２０へ送信し、領域３３４内に指定された場所にある画像を差し替える新たな画像の画像データとして認証サーバ２０へ送信する。

画像変更部２４は、差し替えられる画像の画像ＩＤを、グループテーブル２１２から削除し、当該画像ＩＤおよびそれに対応付けられている画像データを画像テーブル２１５から削除する。そして、画像変更部２４は、差し替える新たな画像の画像データに画像ＩＤを割り当て、割り当てた画像ＩＤを、ユーザＩＤに対応付けて、特定していたグループテーブル２１２内に登録する。また、画像変更部２４は、割り当てた画像ＩＤに対応付けて、差し替える新たな画像の画像データを画像テーブル２１５に登録する。

図２に戻って説明を続ける。画像表示指示部２２は、画像変更部２４またはサービス提供サーバ１１から、サービスＩＤ、ユーザＩＤ、およびアドレス情報を含む認証要求を受信した場合に、画像格納部２１内のグループ管理テーブル２１０を参照し、認証要求に含まれているサービスＩＤに対応付けられているグループテーブル２１２を特定する。

次に、画像表示指示部２２は、特定したグループテーブル２１２内で、認証要求に含まれているユーザＩＤにグループとして対応付けられている画像の画像ＩＤを全て抽出する。そして、画像表示指示部２２は、抽出した画像ＩＤの中で、認証画像としてクライアント端末１３に提示する画像の画像ＩＤをランダムに１つ以上特定する。このとき、画像表示指示部２２は、抽出した画像ＩＤの中で、認証画像としてクライアント端末１３に提示しない画像（残り画像）の画像ＩＤを１つ以上残すように画像を特定する。

なお、同一のサービスＩＤおよびユーザＩＤにおける前回の認証に失敗していた場合、画像表示指示部２２は、認証画像としてクライアント端末１３に提示する画像の画像ＩＤとして、前回の認証の際に決定した画像ＩＤを用いることが好ましい。これにより、認証失敗を繰り返すことにより、認証用の画像を推定されるリスクを軽減することができる。

次に、画像表示指示部２２は、認証画像としてクライアント端末１３に提示しない残り画像の画像ＩＤを認証処理部２３に通知する。そして、画像表示指示部２２は、認証画像としてクライアント端末１３に提示する画像を画像テーブル２１５から抽出する。

次に、画像表示指示部２２は、例えば図１０に示すような認証画面３４のデータを作成し、作成した認証画面３４のデータを、認証要求に含まれているアドレス情報で特定されるクライアント端末１３へ通信回線１２を介して送信し、クライアント端末１３に表示させる。

認証画面３４には、例えば図１０に示すように、認証要求に含まれていたサービスＩＤが表示される領域３４０、認証画像としてクライアント端末１３に提示するために特定した画像のサムネイルが表示される領域３４１、クライアント端末１３で選択した画像のサムネイルが表示される領域３４２、スライダ３４３、スライダ３４４、画像の格納場所を示す情報を入力する領域３４５、参照ボタン３４６、ＯＫボタン３４７、およびキャンセルボタン３４８が表示される。

図１０に例示した認証画面３４において、領域３４２および領域３４５は、認証を成功させるために必要な画像の枚数とは無関係に設けられる。そのため、クライアント端末１３のユーザは、認証用の画像の登録時に指定したグループ内の画像の枚数を覚えていなければならない。このように、認証に成功するためにはどの画像を送信すべきかという情報の他、認証に成功するために必要な画像の枚数も秘密にすることで、セキュリティを高めることができる。

領域３４５に画像の格納場所を示す情報が入力された状態でＯＫボタン３４７が選択されると、クライアント端末１３は、領域３４５に入力された情報で特定される場所から画像を取得して認証サーバ２０へ送信する。

認証処理部２３は、画像表示指示部２２から通知された画像ＩＤに対応する残り画像の画像データを画像格納部２１内の画像テーブル２１５から抽出する。そして、認証処理部２３は、クライアント端末１３から画像を受信した場合に、受信した画像と、画像テーブル２１５から抽出した残り画像とが一致するか否かを判定する。

両者が一致する場合、認証処理部２３は、認証成功を認証要求の送信元の画像変更部２４またはサービス提供サーバ１１に通知し、例えば図１１に示すような認証成功画面３５を作成してクライアント端末１３へ送信し、クライアント端末１３に表示させる。

受信した画像の中に、画像テーブル２１５から抽出した残り画像と一致しない画像が存在する場合や、画像テーブル２１５から抽出した残り画像の中に、受信した画像のいずれにも一致しない画像が存在する場合、画像表示指示部２２は、例えば図１２に示すような認証エラー画面３６を作成してクライアント端末１３へ送信し、クライアント端末１３に表示させる。

認証エラー画面３６では、送信されたどの画像が一致しなかったかという情報や、送信すべき画像の枚数よりも少なかった或いは多かった画像の枚数などは通知されない。そのため、第三者によって送信すべき画像が特定されることを防止することができる。

なお、認証処理部２３は、画像データの画素毎の画素値の一致だけでなく、ファイルサイズやファイル形式、作成や更新が行われた日時、作成者情報などの画像のメタ情報も含めて一致するか否かを判定するようにしてもよい。これにより、第三者によって盗み出された画像による認証成功を防止することができる可能性をさらに高めることができる。

認証画面３４または認証エラー画面３６において、キャンセルボタン３４８が選択された場合、クライアント端末１３はその旨を認証サーバ２０に通知し、認証処理部２３は、認証要求の送信元の画像変更部２４またはサービス提供サーバ１１に認証キャンセルを通知する。

このように、クライアント端末１３の認証の際に画像を要求し、予め登録されている画像に一致した場合に認証成功を判定するため、ユーザは、認証用の画像としてカメラで撮影した画像を用いることができる。これにより、ユーザは、桁数の多い文字列などのパスワードを考え出す必要が無く、容易に認証情報を作成することができる。

また、グループとして登録された複数の画像の一部が認証時に提示されることで、ユーザがグループを思い出すきっかけを作ることができる。これにより、高いセキュリティと共に利便性の高い認証システムを構築することができる。

また、複数のサービスのそれぞれについて、グループとなる画像を複数登録することにより、認証用の画像が保存されている記憶媒体が盗まれたとしても、どの画像の組合せがどのサービスのグループを構成するのかを第三者が推定することは困難となる。そのため、より高いセキュリティを保つことが可能となる。

図１３は、認証サーバ２０によって実行される認証画像の登録処理の一例を示すフローチャートである。認証サーバ２０は、サービス提供サーバ１１から登録要求を受信することにより、本フローチャートに示す動作を開始する。

まず、画像変更部２４は、画像格納部２１内のグループ管理テーブル２１０を参照し、当該登録要求に含まれているサービスＩＤに対応付けられているグループテーブル２１２を特定する（Ｓ１００）。そして、画像変更部２４は、例えば図６で説明した画像登録画面３０を作成してクライアント端末１３へ送信する（Ｓ１０１）。

次に、画像変更部２４は、クライアント端末１３から登録対象の画像のデータを受信したか否かを判定する（Ｓ１０２）。画像データを受信した場合（Ｓ１０２：Ｙｅｓ）、画像変更部２４は、受信したそれぞれの画像に画像ＩＤを割り当て、受信した画像のデータを、割り当てた画像ＩＤに対応付けて画像テーブル２１５に登録する（Ｓ１０３）。

次に、画像変更部２４は、ユーザＩＤを新たに割り当て、割り当てたユーザＩＤに対応付けて、受信した画像の画像ＩＤを、グループを構成する画像の画像ＩＤとして、ステップＳ１００で特定したグループテーブル２１２内に登録する（Ｓ１０４）。

次に、画像変更部２４は、ユーザＩＤをクライアント端末１３に通知する（Ｓ１０５）。そして、画像変更部２４は、登録要求の送信元のサービス提供サーバ１１にユーザＩＤおよび登録完了を通知し（Ｓ１０６）、認証サーバ２０は、本フローチャートに示した処理を終了する。

画像データを受信していなかった場合（Ｓ１０２：Ｎｏ）、画像変更部２４は、クライアント端末１３からキャンセルが通知されたか否かを判定する（Ｓ１０７）。キャンセルが通知されていない場合（Ｓ１０７：Ｎｏ）、画像変更部２４は、再びステップＳ１０２に示した処理を実行する。

キャンセルが通知された場合（Ｓ１０７：Ｙｅｓ）、画像変更部２４は、登録要求の送信元のサービス提供サーバ１１に登録キャンセルを通知し（Ｓ１０８）、認証サーバ２０は、本フローチャートに示した処理を終了する。

図１４は、認証サーバ２０によって実行される認証画像の変更処理の一例を示すフローチャートである。認証サーバ２０は、サービス提供サーバ１１から変更要求を受信することにより、本フローチャートに示す動作を開始する。

まず、画像変更部２４は、当該サービスＩＤ、当該ユーザＩＤ、およびアドレス情報を含む認証要求を画像表示指示部２２へ送り、画像表示指示部２２および認証処理部２３に後述する認証処理を実行させる（Ｓ２００）。そして、画像変更部２４は、認証処理部２３から認証成功が通知されたか否かを判定する（Ｓ３００）。

認証失敗が通知された場合（Ｓ３００：Ｎｏ）、画像変更部２４は、変更要求の送信元のサービス提供サーバ１１に認証失敗のエラーを通知し（Ｓ３１７）、認証サーバ２０は、本フローチャートに示した処理を終了する。

認証成功が通知された場合（Ｓ３００：Ｙｅｓ）、画像変更部２４は、画像格納部２１内のグループ管理テーブル２１０を参照し、変更要求に含まれていたサービスＩＤに対応付けられているグループテーブル２１２を特定する（Ｓ３０１）。

次に、画像変更部２４は、特定したグループテーブル２１２内で、変更要求に含まれていたユーザＩＤにグループとして対応付けられている画像の画像ＩＤを全て抽出し、抽出した画像ＩＤに対応する画像データを画像テーブル２１５から抽出する（Ｓ３０２）。

次に、画像変更部２４は、例えば図７で説明した変更画面３１のデータを作成し、作成した変更画面３１のデータを、変更要求に含まれているアドレス情報で特定されるクライアント端末１３へ通信回線１２を介して送信する（Ｓ３０３）。そして、画像変更部２４は、登録画像の削除または登録画像の入れ替えを示す情報を受信したか否かを判定する（Ｓ３０４）。

登録画像の削除を示す情報を受信した場合（Ｓ３０４：削除）、画像変更部２４は、例えば図８で説明した削除画面３２のデータを作成し、作成した削除画面３２のデータを、変更要求に含まれていたアドレス情報で特定されるクライアント端末１３へ通信回線１２を介して送信する（Ｓ３０５）。

次に、画像変更部２４は、画像ＩＤを受信したか否かを判定する（Ｓ３０６）。画像ＩＤを受信した場合（Ｓ３０６：Ｙｅｓ）、画像変更部２４は、受信した画像ＩＤを、ステップＳ３０１で特定したグループテーブル２１２から削除し、受信した画像ＩＤおよびそれに対応付けられている画像データを画像テーブル２１５から削除する（Ｓ３０７）。そして、画像変更部２４は、変更要求の送信元のサービス提供サーバ１１に変更完了を通知し（Ｓ３０８）、認証サーバ２０は、本フローチャートに示した処理を終了する。

画像ＩＤを受信していない場合（Ｓ３０６：Ｎｏ）、画像変更部２４は、キャンセルが通知されたか否かを判定する（Ｓ３０９）。キャンセルが通知されていない場合（Ｓ３０９：Ｎｏ）、画像変更部２４は、再びステップＳ３０６に示した処理を実行する。キャンセルが通知された場合（Ｓ３０９：Ｙｅｓ）、画像変更部２４は、変更要求の送信元のサービス提供サーバ１１に変更キャンセルを通知し（Ｓ３１０）、認証サーバ２０は、本フローチャートに示した処理を終了する。

ステップＳ３０４において、登録画像の入れ替えを示す情報を受信した場合（Ｓ３０４：入れ替え）、画像変更部２４は、例えば図９で説明した入れ替え画面３３のデータを作成し、作成した入れ替え画面３３のデータを、変更要求に含まれているアドレス情報で特定されるクライアント端末１３へ通信回線１２を介して送信する（Ｓ３１１）。

次に、画像変更部２４は、画像ＩＤおよび画像データを受信したか否かを判定する（Ｓ３１２）。画像ＩＤおよび画像データを受信した場合（Ｓ３１２：Ｙｅｓ）、画像変更部２４は、受信した画像ＩＤを、ステップＳ３０１で特定したグループテーブル２１２から削除し、当該画像ＩＤおよびそれに対応付けられている画像データを画像テーブル２１５から削除する（Ｓ３１３）。

次に、画像変更部２４は、受信した画像データに画像ＩＤを新たに割り当て、割り当てた画像ＩＤを、変更要求に含まれているユーザＩＤに対応付けて、ステップＳ３０１で特定したグループテーブル２１２内に登録する。そして、画像変更部２４は、割り当てた画像ＩＤに対応付けて、受信した画像データを画像テーブル２１５に登録し（Ｓ３１４）、ステップＳ３０８に示した処理を実行する。

画像ＩＤおよび画像データを受信していない場合（Ｓ３１２：Ｎｏ）、画像変更部２４は、キャンセルが通知されたか否かを判定する（Ｓ３１５）。キャンセルが通知されていない場合（Ｓ３１５：Ｎｏ）、画像変更部２４は、再びステップＳ３１２に示した処理を実行する。キャンセルが通知された場合（Ｓ３１５：Ｙｅｓ）、画像変更部２４は、変更要求の送信元のサービス提供サーバ１１に変更キャンセルを通知し（Ｓ３１６）、認証サーバ２０は、本フローチャートに示した処理を終了する。

図１５は、認証サーバ２０によって実行される認証処理の一例を示すフローチャートである。画像表示指示部２２が画像変更部２４またはサービス提供サーバ１１から認証要求を受信することにより、認証サーバ２０は本フローチャートに示す動作を開始する。

まず、画像表示指示部２２は、画像格納部２１内のグループ管理テーブル２１０を参照し、認証要求に含まれているサービスＩＤに対応付けられているグループテーブル２１２を特定する（Ｓ２０１）。そして、画像表示指示部２２は、特定したグループテーブル２１２内で、認証要求に含まれているユーザＩＤにグループとして対応付けられている画像の画像ＩＤを全て抽出する（Ｓ２０２）。

次に、画像表示指示部２２は、抽出した画像ＩＤの中で、認証画像としてクライアント端末１３に提示する画像の画像ＩＤをランダムに１つ以上特定し（Ｓ２０３）、認証画像としてクライアント端末１３に提示しない画像（残り画像）の画像ＩＤを認証処理部２３に通知する。そして、画像表示指示部２２は、認証画像としてクライアント端末１３に提示する画像を画像テーブル２１５から抽出する。

次に、画像表示指示部２２は、例えば図１０で説明した認証画面３４のデータを作成し、作成した認証画面３４のデータを、認証要求に含まれているアドレス情報で特定されるクライアント端末１３へ通信回線１２を介して送信する（Ｓ２０４）。

次に、認証処理部２３は、画像データを受信したか否かを判定する（Ｓ２０５）。画像データを受信した場合（Ｓ２０５：Ｙｅｓ）、認証処理部２３は、画像表示指示部２２から通知された画像ＩＤに対応する残り画像の画像データを画像テーブル２１５から抽出する（Ｓ２０６）。

次に、認証処理部２３は、クライアント端末１３から受信した画像と、ステップＳ２０６で抽出した残り画像とを比較し（Ｓ２０７）、受信した全ての画像のデータが、画像テーブル２１５から抽出した残り画像のデータのいずれかと一致したか否かを判定する（Ｓ２０８）。

受信した全ての画像のデータが、画像テーブル２１５から抽出した残り画像のデータのいずれかと一致した場合（Ｓ２０８：Ｙｅｓ）、認証処理部２３は、画像テーブル２１５から抽出した残り画像のデータの中に、受信した画像のデータに一致しないものがあったか否かを判定する（Ｓ２０９）。

画像テーブル２１５から抽出した全ての残り画像のデータが、受信した画像のデータに一致した場合（Ｓ２０９：Ｎｏ）、認証処理部２３は、認証要求の送信元の画像変更部２４またはサービス提供サーバ１１に認証成功を通知し（Ｓ２１０）、認証サーバ２０は、本フローチャートに示した処理を終了する。

受信した画像のデータの中に、画像テーブル２１５から抽出した残り画像のデータのいずれにも一致しないものがあった場合（Ｓ２０８：Ｎｏ）、または、画像テーブル２１５から抽出した残り画像のデータの中に、受信した画像のデータのいずれにも一致しないものがあった場合（Ｓ２０９：Ｙｅｓ）、認証処理部２３は、認証要求の送信元の画像変更部２４またはサービス提供サーバ１１に認証失敗を示すエラーを通知し（Ｓ２１１）、認証サーバ２０は、本フローチャートに示した処理を終了する。

ステップＳ２０５において、画像データを受信していない場合（Ｓ２０５：Ｎｏ）、認証処理部２３は、クライアント端末１３からキャンセルが通知されたか否かを判定する（Ｓ２１２）。キャンセルが通知されていない場合（Ｓ２１２：Ｎｏ）、認証処理部２３は、再びステップＳ２０５に示した処理を実行する。キャンセルが通知された場合（Ｓ２１２：Ｙｅｓ）、認証処理部２３は、認証要求の送信元の画像変更部２４またはサービス提供サーバ１１に認証キャンセルを通知し（Ｓ２１３）、認証サーバ２０は、本フローチャートに示した処理を終了する。

図１６は、認証サーバ２０の機能を実現するコンピュータ４０のハードウェア構成の一例を示すハードウェア構成図である。コンピュータ４０は、ＣＰＵ（Central Processing Unit）４１、ＲＡＭ（Random Access Memory）４２、ＲＯＭ（Read Only Memory）４３、ＨＤＤ（Hard Disk Drive）４４、通信インターフェイス（Ｉ／Ｆ）４５、入出力インターフェイス（Ｉ／Ｆ）４６、およびメディアインターフェイス（Ｉ／Ｆ）４７を備える。

ＣＰＵ４１は、ＲＯＭ４３またはＨＤＤ４４に格納されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ４３は、コンピュータ４０の起動時にＣＰＵ４１によって実行されるブートプログラムや、コンピュータ４０のハードウェアに依存するプログラム等を格納する。

ＨＤＤ４４は、ＣＰＵ４１によって実行されるプログラムおよび当該プログラムによって使用されるデータ等を格納する。通信インターフェイス４５は、通信回線１２を介して他の機器からデータを受信してＣＰＵ４１へ送ると共に、ＣＰＵ４１が生成したデータを、通信回線１２を介して他の機器へ送信する。

ＣＰＵ４１は、入出力インターフェイス４６を介して、ディスプレイ等の出力装置、および、マウスやキーボード等の入力装置を制御する。ＣＰＵ４１は、入出力インターフェイス４６を介して、入力装置から信号を取得する。また、ＣＰＵ４１は、生成した信号を、入出力インターフェイス４６を介して出力装置へ出力する。

メディアインターフェイス４７は、記録媒体４８に格納されたプログラムまたはデータを読み取り、ＲＡＭ４２を介してＣＰＵ４１に提供する。ＣＰＵ４１は、当該プログラムを、メディアインターフェイス４７を介して記録媒体４８からＲＡＭ４２上にロードし、ロードしたプログラムを実行する。記録媒体４８は、例えばＤＶＤ（Digital Versatile Disk）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto-Optical disk）等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。

コンピュータ４０のＣＰＵ４１は、ＲＡＭ４２上にロードされたプログラムを実行することにより、画像表示指示部２２、認証処理部２３、および画像変更部２４の各機能を実現する。また、ＲＯＭ４３やＨＤＤ４４には、画像格納部２１内のデータが格納される。

コンピュータ４０のＣＰＵ４１は、これらのプログラムを、記録媒体４８から読み取って実行するが、他の例として、他の装置から、通信回線１２を介してこれらのプログラムを取得してもよい。

以上、本発明の実施の形態について説明した。

上記説明から明らかなように、本実施形態の認証サーバ２０によれば、第三者によるなりすましを防止して安全な認証方法を提供することができる。

なお、本発明は、上記した実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。

例えば、上記した実施形態では、各ユーザがサービス毎に登録する認証画像の枚数に制限はないが、他の形態として、各ユーザがサービス毎に登録する認証画像の枚数は２枚とすることができる。これにより、ユーザは認証画面において一方の画像が表示されれば、他方の画像を容易に特定することができると共に、第三者に対しての情報漏えいのリスクも十分回避することができ、高い利便性とセキュリティを両立することができる。

また、上記した実施形態における認証サーバ２０では、ユーザが認証に失敗した場合であっても、何回でも認証を試行することができるが、本発明はこれに限られず、所定期間内に一定回数以上認証に失敗した場合には、電話による本人確認など、より高いセキュリティによる認証方法に切り換えるようにしてもよい。

この場合、認証時にクライアント端末１３が認証サーバ２０へ送信した画像が、認証対象となるサービスに対応付けられている画像のグループに含まれていなくても、同一のユーザが別のサービスに登録している画像のグループに含まれている場合には、より高いセキュリティによる認証に切り換えるまでに許容される認証失敗の繰り返し回数である許容リトライ回数を、所定回数増加させるようにしてもよい。これにより、多くのサービスに認証画像を登録しているユーザが認証画像を忘れてしまった場合に、より高いセキュリティによる認証に直ちに切り換えられてしまう不都合を抑制することができる。

なお、上記した認証サーバ２０内の各構成要素は、本実施形態に係る認証サーバ２０の構成の理解を容易にするために、主な処理内容に応じて機能別に区分したものである。そのため、構成要素の区分方法やその名称によって、本願発明が制限されることはない。本実施形態に係る認証サーバ２０の構成は、処理内容に応じて、さらに多くの構成要素に区分することもできるし、１つの構成要素がさらに多くの処理を実行するように区分することもできる。また、それぞれの処理は、ソフトウェアによる処理として実現されてもよく、ＡＳＩＣ（Application Specific Integrated Circuit）等の専用のハードウェアにより実現されてもよい。

１０：サービスシステム、１１：サービス提供サーバ、１２：通信回線、１３：クライアント端末、２０：認証サーバ、２１：画像格納部、２１０：グループ管理テーブル、２１５：画像テーブル、２２：画像表示指示部、２３：認証処理部、２４：画像変更部、３０：画像登録画面、３１：変更画面、３２：削除画面、３３：入れ替え画面、３４：認証画面、３５：認証成功画面、３６：認証エラー画面、４０：コンピュータ、４１：ＣＰＵ、４２：ＲＡＭ、４３：ＲＯＭ、４４：ＨＤＤ、４５：通信インターフェイス、４６：入出力インターフェイス、４７：メディアインターフェイス、４８：記録媒体

Claims (10)

1. クライアント端末を認証する認証サーバであって、
   グループを構成する複数の画像を格納する画像格納部と、
   前記クライアント端末の認証を行う際に、前記画像格納部内に格納されているグループ内の複数の画像の一部を前記クライアント端末へ送信して前記クライアント端末に表示させる画像表示指示部と、
   前記クライアント端末から画像を受信した場合に、前記画像表示指示部によって前記クライアント端末へ送信されなかったグループ内の残りの画像を前記画像格納部から抽出し、抽出した画像と、前記クライアント端末から受信した画像とが一致する場合に、前記クライアント端末に認証成功を通知する認証処理部と
   を備えることを特徴とする認証サーバ。
2. 請求項１に記載の認証サーバであって、
   前記画像表示指示部は、
   グループの中で前記クライアント端末へ送信する画像の枚数、および、その枚数でどの画像を選択するかをランダムに決定することを特徴とする認証サーバ。
3. 請求項１または２に記載の認証サーバであって、
   前記画像表示指示部は、
   送信すべき画像の枚数を通知することなく、グループ内の複数の画像の一部を前記クライアント端末へ送信して、前記残りの画像の送信を当該クライアント端末に要求することを特徴とする認証サーバ。
4. 請求項１から３のいずれか一項に記載の認証サーバであって、
   前記認証処理部は、
   前記残りの画像と、前記クライアント端末から受信した画像とが一致しなかった場合に、一致しなかった画像、および、送信すべき画像の枚数よりも少なかった或いは多かった画像の枚数を通知することなく、前記クライアント端末に認証失敗を通知することを特徴とする認証サーバ。
5. 請求項１から４のいずれか一項に記載の認証サーバであって、
   前記認証処理部は、
   画像のデータ本体に加えて、当該画像のメタ情報についても一致する場合に、前記残りの画像と、前記クライアント端末から受信した画像とが一致すると判定することを特徴とする認証サーバ。
6. 請求項１から５のいずれか一項に記載の認証サーバであって、
   前記グループは、２つの画像で構成されていることを特徴とする認証サーバ。
7. 請求項１から６のいずれか一項に記載の認証サーバであって、
   認証が必要な複数のサービスのそれぞれについて、異なる画像のグループが割り当てられており、
   前記画像格納部は、
   サービス毎に、当該サービスに割り当てられているグループを構成する複数の画像を格納することを特徴とする認証サーバ。
8. 請求項７に記載の認証サーバであって、
   前記認証処理部は、
   予め定められた期間内に許容される許容リトライ回数を保持しており、
   前記残りの画像と、前記クライアント端末から受信した画像とが一致しなかった場合に、予め定められた期間内において前記許容リトライ回数に達するまで、前記クライアント端末から画像を受信して、前記画像表示指示部によって前記クライアント端末へ送信されなかった画像との一致を判定し、
   所定のサービスの認証において、前記クライアント端末から受信した画像が、当該所定のサービスに割り当てられているグループにおいて前記残りの画像とは一致しなかったものの、他のサービスに割り当てられているグループに含まれている場合には、前記許容リトライ回数を所定回数分増加させることを特徴とする認証サーバ。
9. クライアント端末を認証する認証サーバにおける認証方法であって、
   前記認証サーバが、
   前記クライアント端末の認証を行う際に、グループを構成する複数の画像を格納する画像格納部内に格納されているグループ内の複数の画像の一部を前記クライアント端末へ送信して前記クライアント端末に表示させる画像表示指示ステップと、
   前記クライアント端末から画像を受信した場合に、前記画像表示指示ステップにおいて前記クライアント端末へ送信しなかったグループ内の残りの画像を前記画像格納部から抽出し、抽出した画像と、前記クライアント端末から受信した画像とが一致する場合に、前記クライアント端末に認証成功を通知する認証処理ステップと
   を実行することを特徴とする認証方法。
10. コンピュータを、クライアント端末を認証する認証サーバとして機能させるプログラムであって、
    前記コンピュータに、
    前記クライアント端末の認証を行う際に、グループを構成する複数の画像を格納するデータベース内に格納されているグループ内の複数の画像の一部を前記クライアント端末へ送信して前記クライアント端末に表示させる画像表示指示機能と、
    前記クライアント端末から画像を受信した場合に、前記画像表示指示機能によって前記クライアント端末へ送信されなかったグループ内の残りの画像を前記データベースから抽出し、抽出した画像と、前記クライアント端末から受信した画像とが一致する場合に、前記クライアント端末に認証成功を通知する認証処理機能と
    を実現させることを特徴とするプログラム。

Images