JP6183132B2 - 認証サーバ、認証プログラム、及び認証方法 - Google Patents

Description

本発明は、情報端末が実行する認証処理手法を状況に応じて異ならせることが可能な認証サーバ、認証プログラム、及び認証方法に関する。

従来、インターネット等のコンピュータネットワークの発展に伴い、ユーザはコンピュータシステムが提供する様々なサービスを利用することができる。一般的に、コンピュータシステムが提供するサービスを利用する際、ユーザは認証によりサービスを利用する権限があるかを判断される。

例えば、ユーザは認証サーバで認証を行うための認証情報としてログインＩＤやパスワードなどを入力する。認証サーバは、入力された認証情報に基づいて、予め登録されたユーザ情報と照らし合わせることにより、認証を実行する。そして、アプリケーションサーバは、認証サーバで認証されたユーザに対してサービスを提供し、認証されないユーザに対してはサービスを提供しない。

認証に関する技術としては、入室者のセキュリティレベルを判定し、各クライアント端末の表示装置で表示している操作画面情報に含まれる文字情報を抽出して、その文字情報またはその文字情報を含む操作画面情報のクライアント端末の危険度を判定し、入室者のセキュリティレベルと、判定した文字情報またはクライアント端末の危険度とを比較することにより、所定条件を充足するクライアント端末を判定して、所定の制御指示を送信する技術が開示されている（例えば、特許文献１を参照。）。

また、携帯電話機の位置データを取得し、電磁波により周囲３６０度をサーチして生体を検出して、生体からの反射波から心拍と呼吸のうち少なくとも１つの周波数パターンを検出し、予め記憶しておいた生体種類毎の心拍または呼吸の周波数パターンと比較して生体を特定し、検出した生体が不審者であるか否かを判定し、着信を装って通話状態で不審者報知処理を行う技術が開示されている（例えば、特許文献２を参照。）。

また、個人固有の複数種類の身体的特徴における認証結果をテーブルに記憶し、予め設定された個人認証のセキュリティレベルの情報とテーブルの情報とを用いて各身体的特徴の信頼性を表わす評価関数を計算することにより複数種類の身体的特徴の中から認証に最も適する身体的特徴を選定して利用者に該身体的特徴の入力を要求し、利用者から得られた身体的特徴と予め登録している特定個人の身体的特徴とを照合し身体的特徴が特定個人のものか否かの判定を行う技術が開示されている（例えば、特許文献３を参照。）。

特開２００９−１１６５１２号公報 特開２００８−２０５８８５号公報 特開２００１−５２１８１号公報

しかしながら、スマートフォン（スマホ）やパーソナルコンピュータ（ＰＣ）などのユーザ認証方法は、通常ユーザ設定等であらかじめ使用する認証方法を決めておく必要があり、ユーザの状況に応じて認証方法を動的に切り替えるようなことはできないため、利用者が不便になるとともに、端末のセキュリティが低下するといった問題があった。

例えば、生体認証や文字数の長いパスワードなどの厳しい認証方法にしておくと、正規のユーザが普段スマホやＰＣを利用する際に毎回面倒な認証を行う必要があり利便性が悪い。他方、文字数の短いパスワードなどゆるい認証方法にしておくと、例えばスマホやＰＣが盗難された場合などに、不正者が簡単にスマホやＰＣにログインできてしまい、機密情報が流出するなどのセキュリティ問題が発生する恐れがある。

１つの側面では、本発明は、端末や利用者の状況に応じて動的に認証方法を変更することで、セキュリティレベルを下げずに利用者の利便性を上げることを目的とする。

１つの案では、認証サーバは、複数のクライアント端末と通信可能な認証サーバであり、クライアント位置情報受信部、近接情報検出部、近接情報送信部、信頼情報受信部、適正認証処理決定部、及び認証処理方式送信部を含む。

クライアント位置情報受信部は、認証対象のクライアント端末から送信される前記認証対象のクライアント端末の位置情報を受信する。

近接情報検出部は、前記位置情報受信部により受信した前記位置情報に基づいて、前記認証対象のクライアント端末に近接する他のクライアント端末を近接情報として検出する。

近接情報送信部は、前記近接情報検出部により検出した前記近接情報を前記他のクライアント端末に送信する。

信頼情報受信部は、前記他のクライアント端末から送信される前記近接情報に対する前記認証対象のクライアント端末のユーザの正当性又は不当性を示す信頼情報を受信する。

適正認証処理决定部は、前記信頼情報受信部により受信した前記信頼情報に基づいて、前記認証対象のクライアント端末で実行する認証処理方式を決定する。

認証処理方式送信部は、前記適正認証処理決定部により決定した前記認証処理方式を前記認証対象のクライアント端末に送信する。

実施の形態の認証サーバによれば、クライアント端末のセキュリティレベルを下げずに利便性を上げることができるので、クライアント端末の利用者にとってもクライアント端末を管理するシステム管理者にとっても使いやすいシステムを構築することができる。

正当性の情報に基づいた認証の切り替えを示す図である。 不当性の情報に基づいた認証の切り替えを示す図である。 実施の形態の認証システムの構成例を示す図である。 ユーザ情報７５の例を示す図である。 場所定義情報７６の例を示す図である。 端末管理情報７７の例を示す図である。 「近接情報の検出とこれに対する正当／不当性の通知」を説明するための図である。 クライアント５が実行する処理の流れを示すフローチャートである。 サーバ７が実行する処理の流れを示すフローチャートである。 ＧＰＳ（Global Positioning System）を用いた位置情報から「場所」を求める場合を説明するための図である。 アクセスポイントを用いた位置情報から「場所」を求める場合を説明するための図である。 ＲＦ（Radio Frequency）タグを用いた位置情報から「場所」を求める場合を説明するための図である。 正当性と不当性の両方の入力手段が設けられた例を示す図である。 不当性のみの入力手段が設けられた例を示す図である。 不当性のみの入力手段が設けられた場合のクライアント５が実行する処理の流れを示すフローチャートである。 不当性のみの入力手段が設けられた場合のサーバ７が実行する処理の流れを示すフローチャートである。 近接情報の絞込みを説明するための図である。 近接情報の絞込みを加味した場合にサーバ７が実行する処理の流れを示すフローチャート（その１）である。 近接情報の絞込みを加味した場合にサーバ７が実行する処理の流れを示すフローチャート（その２）である。 ユーザ認証方式の決定過程を説明するための図である。 クライアント５が実行する認証処理の流れを示すフローチャートである。 サーバ７が実行する認証判定処理の流れを示すフローチャートである。 場所及び状況に応じた認証判定の変化を説明するための図である。 正当性不当性判定と認証方式の変更例（その１）を示す図である。 正当性不当性判定と認証方式の変更例（その２）を示す図である。 認証方式の設定例を説明するための図である。 広範囲でユーザ情報を集約する場合を説明するための図である。 ウェアラブルデバイスのクライアント５の使用例を示す図である。 情報処理装置の構成図である。

以下、図面を参照しながら、実施の形態について詳細に説明する。
まず、本実施の形態のポイントを説明する。

本実施の形態においては、一定時間内に特定のエリア内に存在する自分の端末以外の他の端末を近接端末として検出し、この近接情報と他のユーザにより判定された自分に対する正当性又は不当性の信頼情報に基づいて自分の端末における認証方式を決定し、この決定に基づいて適切な認証方式を提供する。

本実施の形態は、「人間が人間を目視する」ことによって被認証者と周囲のユーザとの間に成立する「信頼関係」を利用する。

例えば、お互いに面識のある２名のユーザが１つの部屋に同席したり、廊下ですれ違ったりした際に、各ユーザの携帯デバイスにお互いの隣席者情報を表示する。それぞれのユーザは、隣席者を目視で確認し、その隣席者が確かに自分の携帯デバイスに表示された人物であるか否か（ＯＫ／ＮＧ）をサーバに報告する。

正規ユーザであれば、知人と隣席する度に、隣席者からＯＫの報告を受ける。すなわち、ＯＫの報告数が多く、かつ、ＮＧの報告が少ないほど、当該携帯デバイスが正規ユーザに所持されているという確度が高い。

このため、そのようなユーザに対しては、ユーザ本人にパスワードの入力を要求するまでもなく、本人であると認識してしまっても構わない。このように、ＯＫ／ＮＧの報告数に応じて認証の要求強度を動的に変更する。

そして、本実施の形態においては、人間が人間を正しいかどうかを識別するアナログ的な評価を、「正しい」又は「正しくない」のデジタル値に変換して集約する。そして、集約したデジタル値の大小によって定まる人間の正当性の確度に応じて、種々の認証方式から最適な認証方式に切り替えて実行させる。

従来の技術においては、ユーザが端末を使うたびに面倒な認証を行うことが必要であり、その操作は非常に煩わしい。例えば、カード認証ではいちいちカードを持ち運び挿さなくてはいけない。また、カードを挿したままにすると、別の端末で認証処理を行うことができない。更に、カードリーダが無い端末では認証処理ができない。カードリーダを利用するためには、カードリーダを端末に接続し、ドライバをインストールして、証明書をインストールして初めて使える。しかもこれを１台１台やらなければならない。

ところが、端末を使用する人間が正しい持ち主であることが分かれば、認証をする必要が無くなり認証のわずらわしさから解放される。ただし、コンピュータのユーザ認証では、認証を行う人間が端末の持ち主であるという保証が取れない。パスワードの漏えいやＩＤカードを紛失し他人が使用した場合などは、本人でなくても認証できてしまう。

そこで、本発明の実施では、その端末の持ち主が正しいことの判断を、他人に任せる。この人間の判断結果をコンピュータで用いるためには、人間が判断したアナログの結果をデジタル値に変換することが必要となる。そこで、本発明の実施の形態では、人間の判断をデジタル化した情報を集計する。

ここで、このデジタル化した情報から持ち主が正しいとどう判断するのかについて簡単に説明する。ここでは、ｋ−匿名性（k-anonymity）という考えを利用する。

任意の属性に対して、共通の組み合わせを持つものがｋ個以上存在する場合、このデータはｋ−匿名性を満たす、という。データから個人の特定を防ぐプライバシー保護技術として、顧客データを扱うＤＢなどで使われている。逆に、属性をｋ個以上重ね合わせて共通の組み合わせを持つものを減らしていくことで、個人の特定をすることが出来るといえる。

この考え方を用いて、端末の持ち主がｋ人以上から正しいと判断された場合は本人と認めてよいとする。正しいと判断された人数から本人の確からしさと判定し、この値が高ければパスワードのように認証を緩く、低ければ指紋や虹彩など認証を厳しく設定する。

認証方式の選択は、ｋ以上か否かの２値ではなく、ｋ以上の場合は判定者に対する正しい判定の割合に応じて自由に認証方法を決めることが出来る。例えば、ｋ＝５で、１０人中１０人全員が正しいと判断した場合は、認証を行わず端末を使用させる。そして、１０人中５人が正しいと判断した場合は、指紋認証を実行させ、１０人中１０人全員が正しいと判断しなかった場合は、端末を使用させない、という具合である。

具体的には、人間が人間を正しいかどうかを識別するアナログ的な評価は、例えば、「目視により、特定の鞄を持っているからＡさんである」、「特定の香水の匂いがするからＢさんである」、「声を聴いてＣさんである」などのようにして人物を識別している。

アナログの関係をデジタル値に変換する方法は、上記方法で人間が判断した結果を「正しい」又は「正しくない」のどちらかで入力させ、「０」又は「１」の入力値をサーバなどに集約することで実現する。

本人の正当性の確度とは、どのくらいの人間が本人と判断したかの割合、例えば、「１０人中１０人全員が正しいと判断した場合は、確度が1で最大である」、「１０人中９人が正しいと判断した場合は、確度が０．９である」、「１０人中１０人全員が正しいと判断しなかった場合は、確度が０である」という具合である。

このような本人の正確性により、最適な認証方式を設定するには、本人であることの確度が高ければ高いほど簡単な認証方式を適用することである。例えば、「確度が１の場合は、認証しないで使用させる」、「確度が１未満０．８以上の場合は、パスワードで認証させる」、「確度が０．８未満０．１以上の場合は、指紋認証を用いる」、「確度が０．１未満の場合は、認証せずに端末をロックして使用させない」という具合である。

図１は、正当性の情報に基づいた認証の切り替えを示す図であり、図２は、不当性の情報に基づいた認証の切り替えを示す図である。

図１及び図２に示すように、まず、特定エリア１内にユーザ（Ｂさん）２及びユーザ（Ｃさん）３がいる状況を考える。

図１に示すように、特定エリア１内にスマホ又はタブレット等のクライアント携帯端末（以下、クライアントという）５Ａを携帯するユーザ（Ａさん）４が入ってくる。このユーザ４は、既に特定エリア１内にいる他のユーザ２及びユーザ３にとって信頼できる人物である。本実施の形態では、ユーザ２及びユーザ３のクライアントを「近接情報」という。また、ユーザ２及びユーザ３のクライアントにとっては、ユーザ４のクライアントが「近接情報」である。

そして、ユーザ４が特定エリア１内に入ったことがユーザ２及びユーザ３に通知される。ユーザ２及びユーザ３は、ユーザ４の正当性を評価し、それぞれが携帯する不図示のクライアントを用いて、ユーザ４が正当であることを示す情報（ＯＫ）を不図示のサーバに送信する。すると、ユーザ４は、比較的緩い認証方式、例えば認証なしで、クライアント５Ａを使用することが出来る。

他方、図２に示すように、特定エリア１内にクライアント５Ｄを携帯するユーザ（Ｄさん）６が入ってくる場合は、上記図１の場合と異なる。このユーザ６は、ユーザ２及びユーザ３にとって信頼できない、又は知らない人物である。この場合、ユーザ２及びユーザ３は、ユーザ６の正当性を評価し、それぞれが携帯する不図示のクライアントを用いて、ユーザ６が正当ではないことを示す情報（ＮＧ）を不図示のサーバに送信する。すると、ユーザ６は、比較的きつい認証方式、例えばユーザＩＤとパスワードの入力が必要な認証が実行された上で、クライアント５Ｄを使用することが出来る。

サーバは、一定期間内に、特定のエリア内に存在する他のクライアントを表す「近接情報」と、この「近接情報」に対して他のユーザから判定された正当性（正しいユーザがクライアントを所持している）又は不当性（正しいユーザがクライアントを所持していない）の信頼情報に基づいて、クライアントの認証方式を動的に決定する。

図３は、実施の形態の認証システムの構成例を示す図である。
図３において、実施の形態の認証システムは、複数のクライアント５（５Ａ、５Ｂ、５Ｄ）、及び認証サーバ（以下、サーバという）７とを備えるクライアントサーバシステムである。クライアント５とサーバ７は、相互に通信可能である。

クライアント５は、送受信部５１、位置検知部５２、他ユーザ判定部５３、及び認証部５４を備える。サーバ７は、送受信部７１、近接検出部７２、認証切替判定部７３、及びデータ保持部７４を備える。

クライアント５が備える送受信部５１は、サーバ７が備える送受信部７１と相互に通信する。位置検知部５２は、クライアントの位置情報を検知する。検知された位置情報は、送受信部５１により送受信部７１に送信される。他ユーザ判定部５３は、サーバ７から通知される「近接情報」を表示することによりユーザに対して示し、これに対して「正当性」をユーザに判断させて、その結果（正当であることを示す情報、又は正当でない（不当である）ことを示す情報）を入力させる。その結果は、送受信部５１により送受信部７１に送信される。認証部５４は、サーバ７から通知される認証方式情報に基づく認証を実行する。

サーバ７が備える送受信部７１は、クライアント５が備える送受信部５１と相互に通信する。近接検出部７２は、送受信部５１から送信さ送受信部７１で受信した位置情報に基づいて、一定時間内に同じエリアにいる他のクライアント５を「近接情報」として検出する。この近接情報は、送受信部７１により送受信部５１に送信される。認証切替判定部７３は、「近接情報」に対するクライアント５からの正当性又は不当性の信頼情報に基づいて、クライアント５で使用する認証方式を指定する。データ保持部７４は、ユーザ情報７５、場所定義情報７６、及び端末管理情報７７を格納するデータベース（ＤＢ：Data Base）である。

なお、本サーバ機能も含めて全ての機能をクライアント５に実装する方法も可能である。この場合、全てのクライアント５がサーバ機能を持ち、相互に通信可能であることが必要となる。

図４は、ユーザ情報７５の例を示す図である。
図４に示すように、ユーザ情報７５は、「ユーザ名」、「場所」、「人数」、「正当性カウント」、「不当性カウント」、及び「時刻」の各データ項目を有する。

「ユーザ名」には、ユーザの名前が格納される。「場所」には、「ユーザ名」のユーザが現在居る場所の名前が格納される。「人数」には、「ユーザ名」のユーザ自身を含み、その「場所」に居る人数が格納される。「正当性カウント」には、「ユーザ名」のユーザが他のユーザから正当であると判断された回数が格納される。「不当性カウント」には、「ユーザ名」のユーザが他のユーザから不当であると判断された回数が格納される。「時刻」には、「ユーザ名」のユーザがその「場所」に来た時刻が格納される。

図５は、場所定義情報７６の例を示す図である。
図５に示すように、場所定義情報７６は、「ＳＳＩＤ」及び「場所」の各データ項目を有する。

「ＳＳＩＤ」には、無線ＬＡＮ（Local Area Network）におけるアクセスポイントの識別子であって、混信を避けるために付けられるサービスセット識別子（Service Set Identifier：ＳＳＩＤ）が格納される。「場所」には、「ＳＳＩＤ」が付されたアクセスポイントが設置されている場所の名前が格納されている。図５に示した場所定義情報７６は、アクセスポイントの場合であるが、他に、ＧＰＳ（Global Positioning System）を用いた場合やＲＦ（Radio Frequency）タグを用いた場合が考えられる。

図６は、端末管理情報７７の例を示す図である。
図６に示すように、「端末ＩＤ」及び「ユーザ名」の各項目データを有する。

「端末ＩＤ」には、クライアント５を一意に示す識別子が格納される。「ユーザ名」には、「端末ＩＤ」のクライアント５の所有者のユーザの名前が格納される。

上述したようなクライアント５及びサーバ７から構成される認証システムにおいて、本実施の形態の認証処理が実行される。

すなわち、クライアント５は、クライアント５の位置情報を取得して、その位置情報をサーバ７へ送信する。

サーバ７は、クライアント５から送信されるクライアント５の位置情報を受信し、その受信した位置情報に基づいて、互いに近接するクライアント５を互いに近接情報として検出する。そして、検出した近接情報をクライアント５に送信する。

クライアント５は、サーバ７から送信される近接情報を受信し、その近接情報に基づいて、他のクライアント５のユーザの正当性又は不当性を示す信頼情報を入力し、その信頼情報をサーバ７へ送信する。

サーバ７は、クライアント５から送信される近接情報に対するクライアント５のユーザの正当性又は不当性を示す信頼情報を受信し、その信頼情報に基づいて、クライアント５で実行する認証処理方式を決定する。そして、決定した認証処理方式をクライアント５に送信する。

クライアント５は、サーバ７から送信される認証処理方式を受信し、その認証処理方式に基づいて、認証処理を実行する。

また、前記信頼情報は、デジタル値に変換されて集約され、その変換及び集約された信頼情報に基づいて、認証処理方式が決定される。

また、クライアント５のユーザ情報と予め対応付けられた複数のクライアント５間で、複数のクライアント５同士が近接したことを互いのクライアント５に通知し、クライアント５のユーザの正当性を他のクライアント５のユーザに判断させ、判断回数をカウントして集約することでクライアント５のユーザの正当性を判断する。この判断により得られた正当性のカウントと閾値との大小関係により、クライアント５で実行する認証処理方式を切り替える。

また、近接情報を特定の条件に従って絞り込みクライアント５に送信することもできる。また、近接情報を検出する場所又は状況によって認証処理方式を異ならせることもできる。

また、認証処理方式は、外部から組み込み可能である。
また、複数の場所における近接情報を集約し、その集約した近接情報に基づいて、認証処理方式を決定することもできる。

本実施の形態の認証処理は、クライアント５の認証方式を動的に変更する処理であり、「近接情報の検出とこれに対する正当／不当性の通知」及び「ユーザ認証方式の決定」の２つの処理から成り立つ。以下、それぞれについて説明する。

図７は、「近接情報の検出とこれに対する正当／不当性の通知」を説明するための図であり、図８は、クライアント５が実行する処理の流れを示すフローチャートであり、図９は、サーバ７が実行する処理の流れを示すフローチャートである。

図７、図８及び図９を用いて「近接情報の検出とこれに対する正当／不当性の通知」の動作について説明する。

図７に示すように、クライアント５Ａとサーバ７から構成される認証システムの例を用いて説明する。

まず、クライアント５Ａは、図８のステップＳ８０１において、クライアント５Ａ自らの位置情報を検知する。位置情報の検知は、例えば、ＧＰＳを用いても良いし、アクセスポイントを用いても良いし、ＲＦタグを用いても良い。

ＧＰＳを用いてクライアント５Ａの位置情報を検知する場合、クライアント５Ａは、ＧＰＳアンテナを備えている。宇宙空間には、原子時計を搭載した複数の人工衛星が打ち上げられている。各人工衛星の空間的位置は、衛星追跡技術によって正確に求められ、地球の中心を原点とし、赤道面にＸＹ座標を設け、赤道面に直交する天頂方向をＺ軸とするいわゆる地心座標系で定義される。そして、ＧＰＳは、クライアント５Ａが備えるＧＰＳアンテナによって、３個以上の人工衛星の時刻信号を受信して、ＧＰＳアンテナと各人工衛星の間の距離を求める。各人工衛星の位置及びＧＰＳアンテナとの距離を用い、３点測位の原理によってクライアント５Ａの位置情報を取得する。３点測位の原理により位置情報を求める技術は周知であるので、その説明は省略する。なお、この位置情報の検知は、例えば定期的に実行しても良いし、ユーザ操作によって実行しても良い。

ステップＳ８０２において、クライアント５Ａは、ステップＳ８０１で検知した位置情報をサーバ７へ送信する（図７中の１．位置情報通知）。

サーバ７は、図９のステップＳ９０１において、クライアント５Ａから送信されてくる位置情報を待っている。そして、ステップＳ９０２において、クライアント５Ａから送信されてきた位置情報を受信したか否かを判断する。

クライアント５Ａから位置情報を受信すると（ステップＳ９０２：Ｙｅｓ）、サーバ７は、ステップＳ９０３において、受信した位置情報に基づいて予め定義された場所定義情報７６を検索し、送信してきたクライアント５Ａの場所を特定する。そして、対応する「場所」をデータ保持部７４のユーザ情報７５に登録する（図７中の２．場所情報更新）。

ここで、様々な場所定義情報７６について説明する。
図１０は、ＧＰＳを用いた位置情報から「場所」を求める場合を説明するための図であり、図１１は、アクセスポイントを用いた位置情報から「場所」を求める場合を説明するための図であり、図１２は、ＲＦタグを用いた位置情報から「場所」を求める場合を説明するための図である。

図１０に示した例では、場所定義情報７６には、「場所」が緯度及び経度等で定義されている。例えば、「場所」が第１会議室の場合、「点１」８１と「点２」８２を結ぶ直線を対角線とした矩形８０で定義され、「点１」８１及び「点２」８２の緯度及び経度が場所定義情報７６に登録されている。また、「場所」が事務所の場合、「中心」９１の緯度及び経度、並びに「半径」９２で定義された円９０が場所定義情報７６に登録されている。

クライアント５Ａは、自身の位置情報として「北緯３５度２０分、東経１３９度５０分」を検出してサーバ７に送信する。サーバ７は、場所定義情報７６を参照し、北緯３５度１９分、東経１３９度４９分の「点１」と、北緯３５度２１分、東経１３９度５１分の「点２」を結ぶ直線を対角線とした矩形８０で定義された第１会議室を「場所」として検出する。

図１１に示した例では、場所定義情報７６には、「場所」がアクセスポイントの識別子「ＳＳＩＤ」で定義されている。例えば、「場所」が事務所の場合、「ＳＳＩＤ」がａｂｃｄのアクセスポイント１０１が場所定義情報７６に登録されている。また、「場所」が第１会議室の場合、「ＳＳＩＤ」がｅｆｇｈのアクセスポイント１１１が場所定義情報７６に登録され、「場所」が第２会議室の場合、「ＳＳＩＤ」がｉｊｋｈのアクセスポイント１２１が場所定義情報７６に登録されている。

クライアント５Ａは、自身の位置情報として通信強度が強いアクセスポイントを検出してサーバ７に送信する。複数のアクセスポイントと通信が成立している場合、より強度の強いアクセスポイントが位置情報となる。

図１２に示した例では、場所定義情報７６には、「場所」がＲＦタグの識別子「ＩＤ」で定義されている。例えば、「場所」が第１会議室の場合、「ＩＤ」が０００１のＲＦタグが場所定義情報７６に登録されている。

なお、図１０、図１１及び図１２に示した例に限らず、クライアント５の位置情報を取得する仕組みであれば何でも良い。

図７、図８及び図９を用いた「近接情報の検出とこれに対する正当／不当性の通知」の動作説明に戻る。

図９のステップＳ９０４において、一定期間内に同じ場所にいる他ユーザの情報をデータ保持部７４から取得する（図７中の３．同じ場所のユーザ検索）。例えば、図４中に示したユーザ情報７５の場合は、自分（ユーザ（Ａさん）４）の登録「時刻」と他ユーザ（例えば、ユーザ（Ｃさん）３）の「時刻」との差分を演算し、その結果が一定値以下であれば一定期間内と判断する方法が考えられる。こうして取得した同じ場所にいる他ユーザのリストが「近接情報」である。

次に、サーバ７は、ステップＳ９０５において、この近接情報をクライアント５Ａへ通知する（図７中の４．同じ場所のユーザ情報）。

クライアント５Ａは、図８のステップＳ８０３において、サーバ７から送信されてくる近接情報を待っている。そして、ステップＳ８０４において、サーバ７から送信されてきた近接情報を受信したか否かを判断する。

サーバ７から近接情報を受信すると（ステップＳ８０４：Ｙｅｓ）、クライアント５Ａは、ステップＳ８０５において、ユーザ（Ａさん）４に対して近接ユーザの情報を表示し、それぞれに対して正当性又は不当性の信頼情報を入力する手段を提供する（図７中の５．他ユーザ情報表示）。

なお、近接情報を画面に表示する際に、音声や振動で近接情報の表示をクライアント５のユーザに気づかせることも可能である。これは、クライアント５のユーザがクライアント５をカバン等に入れているなどで画面を見ていない場合に有効である。この音声や振動による通知は、無効にしても構わない。例えば、クライアント５のマナーモード設定に連動して音声や振動による通知有無を決定するなどの方法が考えられる。

クライアント５Ａは、ステップＳ８０６において、ユーザ（Ａさん）４による正当性又は不当性の信頼情報の入力を待っている。そして、ステップＳ８０７において、正当性又は不当性の信頼情報の入力がされたか否かを判断する（図７中の６．正当／不当性情報入力）。

ユーザ（Ａさん）４による正当性又は不当性の信頼情報の入力がされると（ステップＳ８０７：Ｙｅｓ）、クライアント５Ａは、ステップＳ８０８において、入力された正当性又は不当性の信頼情報をサーバ７へ送信する（図７中の７．正当／不当性情報通知）。正当性の入力又は不当性の入力（例えば、ＮＧボタンの押下）は、両方の入力手段（例えば、正当性の入力の場合のＯＫボタンと不当性の入力の場合のＮＧボタン）を設けてユーザ（Ａさん）４に必ず入力させるようにする方法や、不当性のみを入力可能とし、一定時間入力がない場合は正当と判断するなどの方法が考えられる。

図１３は、正当性と不当性の両方の入力手段が設けられた例を示す図であり、図１４は、不当性のみの入力手段が設けられた例を示す図である。

図１３に示したように、正当性の入力の場合のＯＫボタンと不当性の入力の場合のＮＧボタンが設けられたクライアント５Ａの場合は、ＯＫボタンが押下されることにより、後述するように、サーバ７は、他ユーザ（ユーザ（Ｃさん）３）の正当性の情報を受信する。また、ＮＧボタンが押下されることにより、他ユーザ（ユーザ（Ｃさん）３）の不当性の情報を受信する。

また、図１４に示したように、不当性のみのＮＧボタンのみが設けられたクライアント５Ａの場合は、ＮＧボタンが押下されることにより、サーバ７は、他ユーザ（ユーザ（Ｃさん）３）の不当性の情報を受信する。他方、一定時間ＮＧボタンが押下されないことにより、他ユーザ（ユーザ（Ｃさん）３）の正当性の情報の受信と見なす。

そして、サーバ７は、図９のステップＳ９０６において、クライアント５Ａから送信されてくる正当性又は不当性の信頼情報を待っている。そして、ステップＳ９０７において、クライアント５Ａから送信されてきた正当性又は不当性の信頼情報を受信したか否かを判断する。

クライアント５Ａから正当性又は不当性の信頼情報を受信すると（ステップＳ９０７：Ｙｅｓ）、サーバ７は、ステップＳ９０８において、受信したのが不当性の情報であるか否かを判断する。

受信したのが不当性の情報である場合（ステップＳ９０８：Ｙｅｓ）、ステップＳ９０９において、対象ユーザ（例えば、ユーザ（Ｃさん）３）の不当性カウントを１加算し、データ保持部７４のユーザ情報７５を更新する（図７中の８．正当性／不当性情報更新）。図７において、ユーザ情報７５の「名前」Ａの「不当性カウント」が０から１へ変更される。

他方、受信したのが正当性の情報である場合（ステップＳ９０８：Ｎｏ）、ステップＳ９１０において、対象ユーザ（例えば、ユーザ（Ｃさん）３）の正当性カウントを１加算し、データ保持部７４のユーザ情報７５を更新する（図７中の８．正当性／不当性情報更新）。

図１５は、不当性のみの入力手段が設けられた場合のクライアント５が実行する処理の流れを示すフローチャートであり、図１６は、不当性のみの入力手段が設けられた場合のサーバ７が実行する処理の流れを示すフローチャートである。

上述した図８及び図９の説明では、時系列で両図の説明をしたが、図１５及び図１６の説明は、それぞれを時系列に説明する。ただし、クライアント５とサーバ７が情報を送受信しながら並行して処理を実行する点は、図１５及び図１６も図８及び図９と同様である。

まず、図１５を説明する。
図１５のステップＳ８０１乃至Ｓ８０４は、図８を用いて説明したステップＳ８０１乃至Ｓ８０４と同様であるので説明を省略する。

ステップＳ８０４でサーバ７から近接情報を受信すると（ステップＳ８０４：Ｙｅｓ）、クライアント５Ａは、ステップＳ１５０１において、ユーザ（Ａさん）４に対して、図１４に示すような近接ユーザの情報を表示し、それぞれ（図１４においては、ユーザ（Ｃさん）３のみ）に対して不当性を入力する手段を提供する。

クライアント５Ａは、ステップＳ１５０２において、ユーザ（Ａさん）４による不当性の情報の入力を待っている。そして、ステップＳ１５０３において、不当性の情報の入力がないまま一定時間の経過があったか否かを判断する。不当性の情報の入力がないまま一定時間経過した場合（ステップＳ：Ｙｅｓ）、後述するように、サーバ７は、正当性の情報が入力されたと見なすことができる。

ステップＳ１５０３で一定時間経過していない場合（ステップＳ１５０３：Ｎｏ）、ステップＳ１５０４において、不当性の情報の入力がされたか否かを判断する。

そして、ユーザ（Ａさん）４による不当性の情報の入力がされると（ステップＳ１５０４：Ｙｅｓ）、クライアント５Ａは、ステップＳ１５０５において、入力された不当性の情報をサーバ７へ送信する。

以上が「近接情報の検出とこれに対する正当／不当性の通知」の基本的な動作の説明である。このようにして、特定エリア１の全ての「近接情報」をクライアント５に送信しても良いが、認識のない他のクライアント５の情報を送信されても、正当性／不当性の判断をすることが難しい。そこで、「近接情報」の絞込みを行うこともできる。

次に、図１６を説明する。
図１６のステップＳ９０１乃至Ｓ９０５は、図９を用いて説明したステップＳ９０１乃至Ｓ９０５と同様であるので説明を省略する。

ステップＳ９０５でサーバ７が近接情報をクライアント５Ａへ通知した後、サーバ７は、ステップＳ１６０１において、クライアント５Ａから送信されてくる不当性の情報を待っている。そして、ステップＳ１６０２において、不当性の情報を受信しないまま一定時間の経過があったか否かを判断する。

一定時間経過していない場合（ステップＳ１６０２：Ｎｏ）、ステップＳ１６０３において、不当性の情報を受信したか否かを判断する。クライアント５Ａから不当性の情報を受信すると（ステップＳ１６０３：Ｙｅｓ）、ステップＳ９０９において、対象ユーザ（例えば、ユーザ（Ｃさん）３）の不当性カウントを１加算し、データ保持部７４のユーザ情報７５を更新する。

他方、不当性の情報の受信がないまま一定時間経過した場合（ステップＳ１６０２：Ｙｅｓ）、サーバ７は、正当性の情報を受信したと見なし、ステップＳ９１０において、対象ユーザ（例えば、ユーザ（Ｃさん）３）の正当性カウントを１加算し、データ保持部７４のユーザ情報７５を更新する。

上述のような場合、ユーザは、近接ユーザが正当と判断する方法がない。そこで、一定時間ユーザからの不当性通知が無い場合は、サーバ７で近接ユーザが正当と判断する。

本実施の形態は、クライアント５のユーザ同士が他のユーザとクライアント５の関係性を判断することがポイントとなっている。しかしながら、例えば、ユーザが忙しい場合や近接情報が多い場合など、入力が大変になり判断を行わないことも多いと考えられる。その際に、ユーザからの判定結果がサーバ７に集約されないと、システム全体の処理が進まず、システムとして成立しなくなってしまう。そのため、一定期間近接情報に対する判断通知が送信されない場合は、サーバ７が正当性又は不当性の判断を擬制することが有効となる。

図１７は、近接情報の絞込みを説明するための図である。
図１７に示すように、「近接情報」の絞込みには、人間関係を示す情報を利用する。例えば、会社内の人事ＤＢを利用する。この人事ＤＢと連携することで、同じ部署内のユーザのクライアント５のみを近接情報とするというような絞り込みを行うことができる。

図１７に示した例では、ユーザ（Ａさん）が入ってきた「場所」である事務所内に、既にユーザ（Ｂさん）、ユーザ（Ｃさん）、ユーザ（Ｄさん）、ユーザ（Ｅさん）の４人が居る。ここで、人事ＤＢを参照すると、ユーザ（Ａさん）は、ユーザ（Ｂさん）及び（Ｃさん）の２人と同じ部署であり、互いに知り合いであると判断できる。

そこで、ユーザ（Ｂさん）及び（Ｃさん）のクライアント５Ｂ及び５Ｃのみを、「近接情報」としてユーザ（Ａさん）のクライアントに通知する事ができる。

さらに、近接情報の通知に合わせて、同じ場所に居る他のユーザ（Ｂさん）及び（Ｃさん）のクライアント５Ｂ及び５Ｃに対して、新しいユーザ（Ａさん）が同じ場に入ってきたことを通知することも可能である。これは、位置情報を送信したクライアント５Ａが合わせて送信する端末ＩＤと、サーバ７が持つ端末管理情報７７から、位置情報を送信したクライアント５Ａを特定し、これを同じ場所に居るユーザ（Ｂさん）及び（Ｃさん）のクライアント５Ｂ及び５Ｃに通知すれば良い。こうすることで、サーバ７は、同じ場に新たに入ってきたクライアント５Ａに対して、正当性／不当性の判断結果をすぐに受け取ることができ、クライアント５Ａに対してこの結果を反映した認証方式を提供することが可能となる。

図１８及び図１９は、近接情報の絞込みを加味した場合にサーバ７が実行する処理の流れを示すフローチャートである。

なお、近接情報の絞込みを加味した場合にクライアント５が実行する処理の流れは、図８と同様であるので、説明を省略する。

図１８のステップＳ９０１乃至Ｓ９０４は、図９を用いて説明したステップＳ９０１乃至Ｓ９０４と同様であるので説明を省略する。

ステップＳ９０４で、一定期間内に同じ場所にいる他ユーザの情報をデータ保持部７４から取得した後、ステップＳ１８０１において、人間関係を示す情報として、例えば、社内ＬＡＮを経由して会社内の人事ＤＢ７８にアクセスし、社内のユーザの情報を取得する。

ステップＳ１８０２において、ステップＳ１８０１で取得したユーザについて、ステップＳ１８０３以降の処理が終了したか否かを判断する。

全てのユーザについての処理が終了していない場合（ステップＳ１８０２：Ｎｏ）、ステップＳ１８０３において、各ユーザが位置情報を受信したクライアント５の所有者であるユーザと同じ部署に所属か否かを判断する。

同じ部署に所属している場合（ステップＳ１８０３：Ｙｅｓ）、ステップＳ１８０４において、そのユーザのクライアントを「近接情報」とする。他方、同じ部署に所属していない場合（ステップＳ１８０３：Ｎｏ）、ステップＳ１８０２に戻る。

ステップＳ１８０２で全ての他のユーザについての処理が終了したと判断された場合（ステップＳ１８０２：Ｙｅｓ）、図１９のステップＳ９０５に進む。

図１９のステップＳ９０５乃至Ｓ９１０は、図９を用いて説明したステップＳ９０５乃至Ｓ９１０と同様であるので説明を省略する。

次に、「ユーザ認証方式の決定」について説明する。
図２０は、ユーザ認証方式の決定過程を説明するための図であり、図２１は、クライアント５が実行する認証処理の流れを示すフローチャートであり、図２２は、サーバ７が実行する認証判定処理の流れを示すフローチャートである。また、図２３は、場所及び状況に応じた認証判定の変化を説明するための図であり、図２４は、正当性不当性判定と認証方式の変更例（その１）を示す図であり、図２５は、正当性不当性判定と認証方式の変更例（その２）を示す図である。

図２０に示すように、クライアント５Ａ及びクライアント５Ｃとサーバ７から構成される認証システムの例を用いて説明する。

まず、図２１のステップＳ２１０１において、クライアント５Ａ及びクライアント５Ｃは、クライアント端末自身の電源のオン、サスペンド状態からの復帰、アプリケーションプログラム（アプリ）の起動、又は機密情報を含むファイルへのアクセス等、クライアント５Ａ及びクライアント５Ｃで認証が必要になる処理を実行する（図２０中の１．アプリ起動）。以下、アプリの起動を例に説明する。

ステップＳ２１０２において、クライアント５Ａ及びクライアント５Ｃは、それぞれＳ２１０１で起動したアプリ等が認証を必要としているか否かを判断する。

認証が必要でない場合（ステップＳ２１０２：Ｎｏ）、後述するステップＳ２１０８に進む。他方、認証が必要な場合（ステップＳ２１０２：Ｙｅｓ）、ステップＳ２１０３において、クライアント５Ａ及びクライアント５Ｃは、サーバ７に対して自らの認証切替情報を取得するための認証リクエスト及びクライアント５Ａ及びクライアント５Ｃ自身を識別するための端末ＩＤを送信する（図２０中の２．認証リクエスト）。

サーバ７は、この間、ステップＳ２２０１において、クライアント５Ａ及びクライアント５Ｃから送信されてくる認証リクエストを待っている。そして、ステップＳ２２０２において、クライアント５Ａ及びクライアント５Ｃから送信されてきた認証リクエスト等を受信したか否かを判断する。

クライアント５Ａ及びクライアント５Ｃから認証リクエスト等を受信すると（ステップＳ２２０２：Ｙｅｓ）、サーバ７は、ステップＳ２２０３において、受信した端末ＩＤに基づいて、データ保持部７４の端末管理情報７７を参照し、認証リクエストを送信してきたクライアント５を特定する。そして、データ保持部７４のユーザ情報７５を参照し、認証リクエストを送信してきたクライアント５Ａ及びクライアント５Ｃについて、ユーザの近接人数及び不当性カウントを取得する。

ステップＳ２１０４において、ステップＳ２１０３で取得した近接人数、正当性カウント及び不当性カウントに基づいて、クライアント５Ａ及びクライアント５Ｃで実行する認証方式を決定するための認証切替情報を算出する（図２０中の３．認証切替情報を算出）。例えば、正当性カウントが所定の閾値以上であるか否か、近接人数から不当性カウントを減算した値が所定の閾値以上であるか否か等の算出方法が考えられる。

また、図２３に示すように、その場所や状況に応じて、閾値を変える方法も考えられる。例えば、場所によって正当性カウントや不当性カウントの閾値を、現在その場にいる人数である近接人数によって決めることが考えられる。仮に場所によらず閾値を一定にすると、以下のようなことが懸念される。すなわち、人数の少ない場所を基準にすると事務所のように人の多い場所では、不当性カウントが多くなっても認証レベルを下げてしまうことがある。逆に人数の多い場所を基準にすると全員が正当と判断しても認証レベルを上げてしまうことがある。場所や状況に応じて、閾値を変えれば、これらを避ける事ができる。また、会議室のように利用時間によって利用者や人数が変わるような場合は、例えば、４人の会議と６人の会議では、６人の会議の方は閾値を高くするなど、利用時間によって閾値を変更させるなども可能である。これは、会議室のスケジュール情報を参照して閾値を設定することが考えられる。

また、図２４及び図２５に示すように、指紋認証などの生体認証では、単一の認証方式で成否を判定する閾値を、正当性や不当性の数によって緩くしたり、逆に厳しくしたりすることが出来る。また、正当性や不当性の数によってパターンロック認証とパスワード認証を切り替えるなど、複数の認証方式を動的に切り替える事もできる。また、同じユーザや同じ閾値でも、アクセスするファイルの種類や場所（情報漏えいのリスクが少ない社内かリスクの大きい社外か）によって、使用する認証方式を変更する事も出来る。

最後に、サーバ７は、図２２のステップＳ２２０５において、ステップＳ２２０４で算出した認証切替情報を、認証リクエストを送信してきたクライアント５Ａ及びクライアント５Ｃへ送信する（図２０中の４．認証切替情報通知）。

クライアント５Ａ及びクライアント５Ｃは、この間、ステップＳ２１０４において、サーバ７から送信されてくる認証切替情報を待っている。そして、ステップＳ２１０５において、サーバ７から送信されてきた認証切替情報を受信したか否かを判断する。

サーバ７から認証切替情報を受信すると（ステップＳ２１０５：Ｙｅｓ）、クライアント５Ａ及びクライアント５Ｃは、ステップＳ２１０６において、認証切替情報に基づいた認証画面を表示する（図２０中の５．認証画面表示）。図２０に示した例では、正当性カウントが「１」で不当性カウントが「０」であるユーザ（Ａさん）４のクライアント５Ａと、正当性カウントが「０」で不当性カウントが「１」であるユーザ（Ｃさん）３のクライアント５Ｃとで、その認証方式が異なっているため、異なる認証画面が表示されている。認証に関しては、アクセスするファイルの種類によらず使用する認証方式を決めておき（例えば、パスワード認証と生体認証など）、これを動的に切り替える方法がある。また、アプリやデータによっても認証方式を自由に変更することが出来る。例えば、機密情報を含むファイルは、生体認証又はパスワード認証とし、公開情報であればパスワード認証又は認証なしを切り替える等の方法などが考えられる。

そして、ステップＳ２１０７において、クライアント５Ａ及びクライアント５Ｃは、それぞれの認証切替情報に基づき、それぞれの認証が成功したか否かを判断する。成功した場合（ステップＳ２１０７：Ｙｅｓ）、ステップＳ２１０８において、クライアント端末自身の電源のオン、サスペンド状態からの復帰、アプリの起動、又は機密情報を含むファイルへのアクセス等を許可する。

以上のようにして、ユーザ同士の近接情報を用いて動的に認証方式を切り替えることが可能となる。

図２６は、認証方式の設定例を説明するための図である。
図２０、図２１及び図２２を用いて上述した例では、クライアント５が既に持っている認証方式の中から使用する認証方式を指示する認証切替情報をサーバ７から送信する形態を例示した。図２６に示すように、認証切替情報ではなく、認証アプリそのものをサーバ７からクライアント５へ送信して認証を実行させることも出来る。また、認証を実行するための情報を取得するアプリケーションプログラムを、サーバ７からクライアント５へ送信し、クライアント５の情報をサーバ７にアップロードさせ、認証処理はサーバ７で実行して認証結果を再度クライアント５に通知する方法も考えられる。

これらの方法は、予めクライアント５にインストールしていない認証プログラムによる認証処理を使わせることが出来る。例えば、既存の認証プログラムに不備がある場合でも、新たな認証アプリを送り込みこれを使わせることが可能になる。

以上のようにして、近接情報を用いてクライアント５で使用する認証方式を動的に切り替えることが可能となる。

図２７は、広範囲でユーザ情報を集約する場合を説明するための図である。
上述の例では、場所が１箇所である時であった。そこで、場所が複数存在する場合を考える。例えば、自宅と会社と移動中の駅など、それぞれが独立している場合は、サーバ７をそれぞれの場所に立てて別々に処理すれば問題ない。

しかしながら、図２７に示したように、会社の中に会議室、事務所、廊下など複数の場所が存在し、これらの場所で集めた近接情報や正当性／不当性情報を共通して使用する場合は、複数の場所で集めた情報を１箇所のサーバ７に集約する必要がある。この場合、図２７に示したように、各場所での近接情報を区別して、別々の情報としてユーザ情報を管理しても良いし、各場所で集めた正当性／不当性情報を合計して１つの情報として管理しても良い。後者のような管理をする場合、もし場所ごとに認証方式の判定を変えたい場合は、別途クライアントを利用するユーザが現在いる場所情報を管理する必要がある。

１つのサーバ７でユーザ情報を集約する場合、ユーザ情報をリセットするタイミングが重要となる。例えば、図２７の例の場合は、会議室で集めた正当性／不当性カウントは事務所や廊下でも使用するため、対象のユーザが会議室を出た時点で会議室に関するユーザ情報を削除することができない。削除するタイミングは、どこで近接情報を無効にするかによる。例えば、一度登録した情報は削除せず、同じ場所に再度入った場合は情報を上書きする方法が考えられる。また、ユーザ情報を登録する際に登録した時刻を入れ、一定時間が経過した時にユーザがこの場所にいなければ削除する、退社した時に削除するなどの方法も考えられる。退社に関しては、勤務時間を過ぎて社外の場所に入った時点で削除する、会社の出退勤システムと連携して、ユーザが退勤手続きを終了させた時点で削除する、といった方法が考えられる。

図２８は、ウェアラブルデバイスのクライアント５の使用例を示す図である。
上述の例では、クライアント５はスマホのようにユーザが手で操作するデバイスを想定している。しかしながら、腕時計型やメガネ型等のウェアラブルデバイスが出てきている。このようなウェアラブルデバイスでは、画面表示やユーザの入力手段が異なる。

そこで、図２８に示したようなメガネ型のウェアラブルデバイスをクライアント５とした利用シーンについて例示する。

図２８に示したようなメガネ型のウェアラブルデバイスであるクライアント５Ａと、スマホのようなクライアント５との大きな違いは、第１にめがね型では現実世界がディスプレイ越しに見えること、第２にめがね型では画面タッチによる入力手段が無いことである。この場合、拡張現実（ＡＲ： Augmented Reality）の仕組みで、実際の見た目に近接情報を重ねて表示する方法が考えられる。ウェアラブルデバイスがＧＰＳや電子コンパスを搭載していれば場所や方位を把握することができるため、この情報を元に画面表示ができる。また、ウェアラブルデバイスにＡＲ用のマーカをつけ、ウェアラブルデバイスで撮影した目線の映像からＡＲ用マーカを検出し、ここに近接情報をマッピングすることも可能である。この場合、端末管理情報７７には、どのウェアラブルデバイスがどのＡＲマーカをつけているかの紐付け情報を持たせる必要がある。このようにすることで、ユーザは目で見ているだけで近接情報を認識することが可能となる。

そして、他ユーザに対する正当性／不当性の判断は、音声入力を用いる方法が考えられる。例えば、近接情報が表示された状態で「Ｂ、ＯＫ」や「Ｂ、ＮＧ」と対象ユーザと判定結果を話すことで、ユーザ（Ｂさん）に対しＯＫやＮＧと判断することが出来る。また、ユーザの選択は見ている位置を使用し、対象のユーザを画面の中央にすると、このユーザに対するＯＫ／ＮＧの判定を行うとしても良い。

図２９は、情報処理装置の構成図である。
図３のサーバ７は、例えば、図２９に示すような情報処理装置（コンピュータ）を用いて実現することが可能である。図２９の情報処理装置は、ＣＰＵ（Central Processing Unit）２９０１、メモリ２９０２、入力装置２９０３、出力装置２９０４、外部記録装置２９０５、媒体駆動装置２９０６及びネットワーク接続装置２９０７を備える。これらはバス２９０８により互いに接続されている。

メモリ２９０２は、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、フラッシュメモリ等の半導体メモリであり、認証処理に用いられるプログラム及びデータを格納する。例えば、ＣＰＵ２９０１は、メモリ２９０２を利用してプログラムを実行することにより、上述の認証処理を行う。

入力装置２９０３は、例えば、キーボード、ポインティングデバイス等であり、オペレータからの指示や情報の入力に用いられる。出力装置２９０４は、例えば、表示装置、プリンタ、スピーカ等であり、オペレータへの問い合わせや処理結果の出力に用いられる。

外部記録装置２９０５は、例えば、磁気ディスク装置、光ディスク装置、光磁気ディスク装置、テープ装置等である。この外部記録装置２９０５には、ハードディスクドライブも含まれる。情報処理装置は、この外部記録装置２９０５にプログラム及びデータを格納しておき、それらをメモリ２９０２にロードして使用することができる。

媒体駆動装置２９０６は、可搬型記録媒体２９０９を駆動し、その記録内容にアクセスする。可搬型記録媒体２９０９は、メモリデバイス、フレキシブルディスク、光ディスク、光磁気ディスク等である。この可搬型記録媒体２９０９には、Compact Disk Read Only Memory （ＣＤ−ＲＯＭ）、Digital Versatile Disk（ＤＶＤ）、Universal Serial Bus（ＵＳＢ）メモリ等も含まれる。オペレータは、この可搬型記録媒体２９０９にプログラム及びデータを格納しておき、それらをメモリ２９０２にロードして使用することができる。

このように、認証処理に用いられるプログラム及びデータを格納するコンピュータ読み取り可能な記録媒体には、メモリ２９０２、外部記録装置２９０５、及び可搬型記録媒体２９０９のような、物理的な（非一時的な）記録媒体が含まれる。

ネットワーク接続装置２９０７は、通信ネットワーク２９１０に接続され、通信に伴うデータ変換を行う通信インタフェースである。情報処理装置は、プログラム及びデータを外部の装置からネットワーク接続装置２９０７を介して受け取り、それらをメモリ２９０２にロードして使用することができる。

開示の実施の形態とその利点について詳しく説明したが、当業者は、特許請求の範囲に明確に記載した本発明の範囲から逸脱することなく、様々な変更、追加、省略をすることができるであろう。

１ 特定エリア
２ ユーザ（Ｂさん）
３ ユーザ（Ｃさん）
４ ユーザ（Ａさん）
５（５Ａ、５Ｂ、５Ｄ） クライアント（クライアント携帯端末）
６ ユーザ（Ｄさん）
７ サーバ（認証サーバ）
８ ユーザ（Ｅさん）
５１ 送受信部
５２ 位置検知部
５３ 他ユーザ判定部
５４ 認証部
７１ 送受信部
７２ 近接検出部
７３ 認証切替判定部
７４ データ保持部
７５ ユーザ情報
７６ 場所定義情報
７７ 端末管理情報
７８ 人事ＤＢ
８０ 矩形
８１ 点１
８２ 点２
９０ 円
９１ 中心
９２ 半径
１０１、１１１、１２１ アクセスポイント
２９０１ ＣＰＵ（Central Processing Unit）
２９０２ メモリ
２９０３ 入力装置
２９０４ 出力装置
２９０５ 外部記録装置
２９０６ 媒体駆動装置
２９０７ ネットワーク接続装置
２９０８ バス
２９０９ 可搬型記録媒体
２９１０ 通信ネットワーク

Claims (11)

1. 複数のクライアント端末と通信可能な認証サーバのコンピュータが実行する認証方法であって、
   認証対象のクライアント端末から送信される前記認証対象のクライアント端末の位置情報を受信し、
   前記受信した前記位置情報に基づいて、前記認証対象のクライアント端末に近接する他のクライアント端末を近接情報として検出し、
   前記検出した前記近接情報を前記他のクライアント端末に送信し、
   前記送信される前記近接情報に対する前記認証対象のクライアント端末のユーザの正当性又は不当性を示す信頼情報を前記他のクライアント端末から受信し、
   前記受信した前記信頼情報に基づいて、前記認証対象のクライアント端末で実行する認証処理方式を決定し、
   前記決定した前記認証処理方式を前記認証対象のクライアント端末に送信する、
   ことを特徴とする認証方法。
2. 複数のクライアント端末と通信可能な認証サーバにおいて、
   認証対象のクライアント端末から送信される前記認証対象のクライアント端末の位置情報を受信するクライアント位置情報受信手段と、
   前記位置情報受信手段により受信した前記位置情報に基づいて、前記認証対象のクライアント端末に近接する他のクライアント端末を近接情報として検出する近接情報検出手段と、
   前記近接情報検出手段により検出した前記近接情報を前記他のクライアント端末に送信する近接情報送信手段と、
   前記他のクライアント端末から送信される前記近接情報に対する前記認証対象のクライアント端末のユーザの正当性又は不当性を示す信頼情報を受信する信頼情報受信手段と、
   前記信頼情報受信手段により受信した前記信頼情報に基づいて、前記認証対象のクライアント端末で実行する認証処理方式を決定する適正認証処理決定手段と、
   前記適正認証処理決定手段により決定した前記認証処理方式を前記認証対象のクライアント端末に送信する認証処理方式送信手段と、
   を備えることを特徴とする認証サーバ。
3. 前記信頼情報は、デジタル値に変換されて集約され、
   前記適正認証処理決定手段は、前記変換及び集約された前記信頼情報に基づいて、前記認証処理方式を決定する、
   ことを特徴とする請求項２に記載の認証サーバ。
4. 前記適正認証処理決定手段は、前記近接情報を受信した前記他のクライアント端末のユーザに、前記認証対象のクライアント端末のユーザが正当か不当かを判断させ、前記判断結果の回数をカウントして集約することで前記クライアント端末のユーザの前記正当性を判断する、ことを特徴とする請求項２又は３に記載の認証サーバ。
5. 前記適正認証処理決定手段は、前記判断により得られた前記正当性のカウントと閾値との大小関係により、前記クライアント端末で実行する認証処理方式を切り替える、ことを特徴とする請求項４に記載の認証サーバ。
6. 前記近接情報送信手段は、前記近接情報で示されている前記他のクライアントを特定の条件に従って絞り込み前記他のクライアント端末に送信する、ことを特徴とする請求項２乃至５の何れか１項に記載の認証サーバ。
7. 前記適正認証処理決定手段は、前記近接情報検出手段が前記近接情報を検出する場所又は状況によって前記認証処理方式を異ならせる、ことを特徴とする請求項２乃至６の何れか１項に記載の認証サーバ。
8. 前記適正認証処理決定手段により決定する前記認証処理方式は、外部から組み込み可能である、ことを特徴とする請求項２乃至７の何れか１項に記載の認証サーバ。
9. 前記近接情報検出手段は、複数の場所における前記近接情報を集約し、
   前記適正認証処理決定手段は、前記近接情報検出手段により集約した前記近接情報に基づいて、前記認証処理方式を決定する、ことを特徴とする請求項２乃至８の何れか１項に記載の認証サーバ。
10. 複数のクライアント端末と通信可能な認証サーバのコンピュータに、
    認証対象のクライアント端末から送信される前記認証対象のクライアント端末の位置情報を受信させ、
    前記受信した前記位置情報に基づいて、前記認証対象のクライアント端末に近接する他のクライアント端末を近接情報として検出させ、
    前記検出した前記近接情報を前記他のクライアント端末に送信させ、
    前記送信される前記近接情報に対する前記認証対象のクライアント端末のユーザの正当性又は不当性を示す信頼情報を前記他のクライアント端末から受信させ、
    前記受信した前記信頼情報に基づいて、前記認証対象のクライアント端末で実行する認証処理方式を決定させ、
    前記決定した前記認証処理方式を前記認証対象のクライアント端末に送信させる、
    ことを特徴とする認証プログラム。
11. 認証サーバとクライアント携帯端末を備える認証システムであって、
    前記認証サーバは、
    前記クライアント端末から送信される前記クライアント端末の位置情報を受信するクライアント位置情報受信手段と、
    前記位置情報受信手段により受信した前記位置情報に基づいて、互いに近接するクライアント端末を互いに近接情報として検出する近接情報検出手段と、
    前記近接情報検出手段により検出した前記近接情報を前記クライアント端末に送信する近接情報送信手段と、
    前記クライアント端末から送信される前記近接情報に対する前記クライアント端末のユーザの正当性又は不当性を示す信頼情報を受信する信頼情報受信手段と、
    前記信頼情報受信手段により受信した前記信頼情報に基づいて、前記クライアント端末で実行する認証処理方式を決定する適正認証処理決定手段と、
    前記適正認証処理決定手段により決定した前記認証処理方式を前記クライアント端末に送信する認証処理方式送信手段と、
    を備え、
    前記クライアント端末は、
    前記クライアント端末の前記位置情報を取得するクライアント端末位置情報取得手段と、
    前記クライアント端末位置情報取得手段により取得した前記位置情報を前記認証サーバへ送信する位置情報送信手段と、
    前記認証サーバから送信される前記近接情報を受信する近接情報受信手段と、
    前記近接情報受信手段により受信した前記近接情報に基づいて、他のクライアント端末のユーザの正当性又は不当性を示す前記信頼情報を入力する信頼情報入力手段と、
    前記信頼情報入力手段により入力した前記信頼情報を前記認証サーバへ送信する信頼情報送信手段と、
    前記認証サーバから送信される前記認証処理方式を受信する認証処理方式受信手段と、
    前記認証処理方式受信手段により受信した前記認証処理方式に基づいて、認証処理を実行する認証処理実行手段と、
    を備えることを特徴とする認証システム。