JP6353412B2

JP6353412B2 - Ｉｄパスワード認証方法、パスワード管理サービスシステム、情報端末、パスワード管理サービス装置、利用端末及びそれらのプログラム

Info

Publication number: JP6353412B2
Application number: JP2015144519A
Authority: JP
Inventors: 遼山田; 山本　隆広; 隆広山本; 堀　正弘; 正弘堀
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2015-07-22
Filing date: 2015-07-22
Publication date: 2018-07-04
Anticipated expiration: 2035-07-22
Also published as: JP2017028475A

Description

本発明はＷｅｂサービスのＩＤパスワード認証に関し、特に複数のＷｅｂサービスのＩＤ・パスワードを管理する技術に関する。

Ｗｅｂサービスの多くではＩＤとパスワードを用いたＩＤパスワード認証が用いられている。
しかし、利用するＷｅｂサービスの数が増えてくると、各々のＷｅｂサービスに設定した異なるＩＤとパスワードの組を記憶することが困難になってくる。

そこで、１つのマスターパスワードに紐付けて複数のＷｅｂサービスのＩＤ・パスワードを管理する手法が提案されている。これらの管理手法は大きくクライアント型とクラウド型の２つの方式に分けることができる。
〈クライアント型〉
Ｗｅｂサービスを利用する端末にＩＤとパスワードの情報を保存しておき、この情報をマスターパスワードで管理する方法である。この方法では、必要なときにマスターパスワードを用いて個々のＷｅｂサービスのＩＤ・パスワードを呼び出すことになる。
この方法ではＩＤとパスワードを利用する端末にて管理することになるため、パスワード漏洩リスクを個人で管理することができる（非特許文献１）。
〈クラウド型〉
Ｗｅｂサービスに利用するＩＤとパスワードはクラウド上に保存されており、必要なときにクラウドからマスターパスワードを用いて個々のＷｅｂサービスのＩＤ・パスワードを呼び出す方法である。
この方法ではＩＤとパスワードをクラウドで管理していることから、１つの利用端末に縛られず複数の端末からＷｅｂサービスのＩＤ・パスワードを呼び出すことができる。

AgileBits Inc.、"1Password"、[online]、［平成２７年７月９日検索］、インターネット<URL:https://agilebits.com/onepassword> Trend Micro Incorporated.、"パスワードマネージャー"、[online]、［平成２７年７月９日検索］、インターネット<URL:http://safe.trendmicro.jp/products/pwmgr.aspx>

しかしながら、従来のマスターパスワードを用いて複数のＷｅｂサービスのＩＤ・パスワードを管理する技術では、以下のような課題がある。
〈クライアント型〉
マスターパスワードで管理されるＩＤ・パスワードのデータはユーザが利用する個々の端末に保存されているため、ＩＤ・パスワードのデータを復号するためのマスターパスワードを知られることですべてのＷｅｂサービスを使われてしまう危険性がある。また、複数の利用端末からＷｅｂサービスを利用したい場合はそれぞれの端末にＩＤ・パスワードのデータを保存する必要があり管理が煩雑になる。
〈クラウド型〉
ＩＤ・パスワードのデータはクラウド上に保存されているため、ＩＤ・パスワード自体の管理をサービス事業者に任せてしまうことになる。そのため、ＩＤ・パスワードの漏洩リスク・不正利用リスクをユーザ自身で管理できないという問題がある。

本発明は、このような事情に鑑みてなされたもので、ＩＤ・パスワードの漏洩リスク・不正利用リスクの管理を他人に任せることなく、複数の利用端末でＩＤ・パスワードを簡便に利用することができるＩＤパスワード認証方法、パスワード管理サービスシステム、情報端末、パスワード管理サービス装置、利用端末及びそれらのプログラムを提供することを目的とする。

本発明の一態様は、Ｗｅｂサービスを利用するためにユーザが使用する利用端末と、暗号化用の情報端末鍵と、前記情報端末鍵を用いて前記Ｗｅｂサービスを利用するためのＩＤとパスワードを暗号化した暗号化ＩＤと暗号化パスワードとを保持する情報端末と、前記ユーザを示すアカウント名と前記情報端末を示すトークンとを対応付けて保持するパスワード管理サービス装置とからなるパスワード管理サービスシステムを用いてＷｅｂサービスを利用する際のＩＤパスワード認証方法であって、前記利用端末が、Ｗｅｂサービスを利用する際の認証に用いるＩＤとパスワードの入力画面の表示を検知し、前記アカウント名の入力を促すアカウント名入力画面を表示するアカウント名入力画面表示ステップと、前記利用端末が、入力されたアカウント名と前記利用端末を示す利用端末情報と前記Ｗｅｂサービスを示すＷｅｂサービス識別情報をパスワード管理サービス装置に送信するアカウント名送信ステップと、前記パスワード管理サービス装置が、受信したアカウント名に対応するトークンから特定される情報端末に対して前記利用端末情報と前記Ｗｅｂサービス識別情報を送信する利用端末情報・Ｗｅｂサービス識別情報送信ステップと、前記情報端末が、ユーザのＷｅｂサービス利用意思を示す認証結果を取得する所持認証ステップと、前記情報端末が、前記認証結果を前記パスワード管理サービス装置に送信する認証結果送信ステップと、前記パスワード管理サービス装置が、前記認証結果はユーザのＷｅｂサービス利用意思を示すものである場合に、前記パスワード管理サービス装置が保持する秘密鍵と公開鍵のうち、当該公開鍵を前記情報端末に送信する公開鍵送信ステップと、前記情報端末が、受信した公開鍵を用いて前記情報端末鍵を暗号化した暗号化鍵を生成する暗号化鍵生成ステップと、前記情報端末が、前記暗号化ＩＤと前記暗号化パスワードと前記暗号化鍵を前記利用端末に送信する暗号化情報送信ステップと、前記利用端末が、前記暗号化鍵を前記パスワード管理サービス装置に送信する暗号化鍵送信ステップと、前記パスワード管理サービス装置が、前記公開鍵に対応する秘密鍵を用いて前記暗号化鍵を復号し、前記情報端末鍵を取得する暗号化鍵復号ステップと、前記パスワード管理サービス装置が、復号した情報端末鍵を前記利用端末に送信する鍵送信ステップと、前記利用端末が、前記暗号化ＩＤと前記暗号化パスワードを前記情報端末鍵を用いて復号し、前記ＩＤと前記パスワードを取得するＩＤ・パスワード復号ステップとを有する。

本発明によれば、ユーザ個人が常時携帯する情報端末にＷｅｂサービスのＩＤ・パスワードを記録、Ｗｅｂサービス利用に際してＩＤパスワード認証が必要になる都度、情報端末に記録したＩＤ・パスワードをユーザの承認を得たうえで利用端末に提供することにより、複数の利用端末で簡便にＷｅｂサービスを利用することができるようになる。

パスワード管理サービスシステム１００の構成例を示す図である。ＩＤパスワードＤＢ２９０の例を示す図である。鍵管理ＤＢ２９５の例を示す図である。ユーザＤＢ４８０の例を示す図である。公開鍵ＤＢ４９０の例を示す図である。パスワード管理サービスの利用登録の処理フローを示す図である。Ｗｅｂサービスで用いるＩＤとパスワードの登録の処理フローを示す図である。Ｗｅｂサービス利用時のＩＤパスワード認証のシークエンスを示す図である。Ｗｅｂサービス利用時のＩＤパスワード認証の処理フローを示す図である。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

以下の説明では、平文Dを鍵kで暗号化したデータをEnck(D)と表す。また、秘密鍵と公開鍵はそれぞれsk、pkで表す。

パスワード管理サービスシステム１００の構成例を図１に示す。パスワード管理サービスシステム１００は、情報端末２００、端末通知装置３００、パスワード管理サービス装置４００、利用端末５００から構成される。Ｗｅｂサービスを提供するＷｅｂサーバ６００はパスワード管理サービスシステム１００の外にある。情報端末２００、端末通知装置３００、パスワード管理サービス装置４００、利用端末５００、Ｗｅｂサーバ６００はネットワーク７００に接続している。

ユーザは利用端末５００を用いてＷｅｂサーバ６００にアクセスし、Ｗｅｂサービスを利用する。その際、利用するＷｅｂサービスによってはＩＤパスワード認証が求められることがある。認証が求められるＷｅｂサービスについては、ＩＤ・パスワードの組を情報端末２００に記録する。情報端末２００はスマートフォンのようにユーザが常時携帯するものである。

パスワード管理サービス事業者は、情報端末２００に記録されたＩＤ・パスワードの組を用いてユーザに対してＷｅｂサービスに対するＩＤパスワード認証を提供するものである。ＩＤパスワード認証のサービス（以下、パスワード管理サービスという）を提供するための装置がパスワード管理サービス装置４００である。

また、端末事業者は、情報端末２００に対するメッセージを送信するサービスを提供するものであり、パスワード管理サービス提供に際してパスワード管理サービス事業者に代わりユーザへのプッシュ通知サービスを提供する。当該プッシュ通知サービスを提供するための装置が端末通知装置３００である。

パスワード管理サービスを受けるためには以下の手順を行う必要がある。
１）パスワード管理サービスの利用登録
ユーザはパスワード管理サービスを利用するために、情報端末２００からパスワード管理サービス事業者のパスワード管理サービス装置４００に対してユーザ登録を行う。
２）Ｗｅｂサービスで用いるＩＤとパスワードの登録
ユーザが利用するＷｅｂサービスと当該サービスに用いるＩＤとパスワードを情報端末２００に登録する。
３）パスワード管理サービスの利用（Ｗｅｂサービス利用時におけるＩＤパスワード認証）
ユーザがＷｅｂサービスを利用する際のＩＤパスワード認証手続きである。
以下、情報端末２００、端末通知装置３００、パスワード管理サービス装置４００、利用端末５００の構成について説明する。

１）情報端末２００
情報端末２００は、共通鍵発行部２１０、暗号化部２２０、ＤＢ管理部２３０、応答送信部２４０、所持認証部２５０、認証結果送信部２６０、暗号化鍵生成部２７０、暗号化情報送信部２８０、ＩＤパスワードＤＢ２９０、鍵管理ＤＢ２９５を備える。

共通鍵発行部２１０、暗号化部２２０、ＤＢ管理部２３０は、Ｗｅｂサービスで用いるＩＤとパスワードの登録に用いる構成である。共通鍵発行部２１０は、ユーザが利用するＷｅｂサービスで用いるＩＤとパスワードを暗号化するための共通鍵を発行する。この共通鍵のことを情報端末鍵という。暗号化部２２０は、共通鍵を用いてＩＤとパスワードを暗号化する。ＤＢ管理部２３０は、Ｗｅｂサービスに対してサービスコードを発行し、ＩＤパスワードＤＢ２９０にサービスコード、暗号化部２２０が暗号化したＩＤとパスワード（以下、それぞれ暗号化ＩＤ、暗号化パスワードという）を記録する（図２参照）。また、鍵管理ＤＢ２９５にサービスコード、Ｗｅｂサービス識別情報であるＵＲＬ、暗号化に用いた共通鍵（情報端末鍵）を記録する（図３参照）。

応答送信部２４０、所持認証部２５０、認証結果送信部２６０、暗号化鍵生成部２７０、暗号化情報送信部２８０は、パスワード管理サービスの利用に用いる構成である。応答送信部２４０は、端末通知装置３００から送信されたプッシュ通知に対し、ユーザが応答する場合、応答結果をパスワード管理サービス装置４００に送信する。所持認証部２５０は、ユーザが情報端末２００の所有者であることを認証後、パスワード管理サービス装置４００から受信した利用端末５００に関する情報である利用端末情報（例えば、端末名、ＯＳ、ＭＡＣアドレス）とＷｅｂサービス識別情報であるＵＲＬ（ＩＤパスワード入力画面のＵＲＬ）をユーザに提示し、ユーザのＷｅｂサービス利用意思を認証結果として取得する。所有者であることの認証機能は、例えば、情報端末利用時にパスワード入力によりロックを解除する形で提供されるものである。認証結果送信部２６０は、認証結果をパスワード管理サービス装置４００に送信する。暗号化鍵生成部２７０は、パスワード管理サービス装置４００から取得した公開鍵を用いて利用したいと考えているＷｅｂサービス識別情報であるＵＲＬに対応する共通鍵（情報端末鍵）を暗号化し、暗号化鍵を生成する。暗号化情報送信部２８０は、暗号化ＩＤ、暗号化パスワード、暗号化鍵を利用端末５００に送信する。

２）端末通知装置３００
端末通知装置３００は、トークン生成部３１０、プッシュ通知部３２０を備える。

トークン生成部３１０は、パスワード管理サービスの利用登録に用いる構成である。トークン生成部３１０は、情報端末２００からの依頼に基づき端末ユニークなトークンを生成し、情報端末２００に送信する。

プッシュ通知部３２０は、パスワード管理サービスの利用に用いる構成である。プッシュ通知部３２０は、パスワード管理サービス装置４００から送信されてきたトークンの情報をもとに情報端末２００にＩＤパスワード認証が求められていることをプッシュ通知する。

３）パスワード管理サービス装置４００
パスワード管理サービス装置４００は、少なくとも、ＤＢ管理部４１０、秘密鍵・公開鍵生成部４２０、トークン送信部４３０、利用端末情報・Ｗｅｂサービス識別情報送信部４４０、公開鍵送信部４５０、暗号化鍵復号部４６０、鍵送信部４７０、ユーザＤＢ４８０を備える。更に公開鍵ＤＢ４９０を備えてもよい。

ＤＢ管理部４１０は、パスワード管理サービスの利用登録に用いる構成である。ＤＢ管理部４１０は、ユーザが入力したパスワード管理サービスに用いるアカウント名、端末通知装置３００が生成したトークンを情報端末２００から受信し、ユーザＤＢ４８０に登録する（図４参照）。その際、情報端末のＯＳ種別も併せて登録してもよい。

秘密鍵・公開鍵生成部４２０、トークン送信部４３０、利用端末情報・Ｗｅｂサービス識別情報送信部４４０、公開鍵送信部４５０、暗号化鍵復号部４６０、鍵送信部４７０は、パスワード管理サービスの利用に用いる構成である。秘密鍵・公開鍵生成部４２０は、パスワード管理サービスの利用要求ごとに秘密鍵と公開鍵の組を生成する。また、不要になった場合には生成した秘密鍵・公開鍵の組を廃棄する。また、後述するように事前に生成しておき、図５のような公開鍵ＤＢ４９０に記録しておいてもよい。トークン送信部４３０は、ユーザＤＢ４８０に記録しているアカウント名に対応するトークンをユーザＤＢ４８０から検索し、端末通知装置３００に送信する。利用端末情報・Ｗｅｂサービス識別情報送信部４４０は、利用端末情報とＷｅｂサービス識別情報であるＵＲＬを情報端末２００に送信する。公開鍵送信部４５０は、ＷｅｂサービスのＩＤパスワード認証手続きを進めるとの応答を認証結果として情報端末２００から受信すると、情報端末２００に事前に生成した公開鍵を送信する。暗号化鍵復号部４６０は、対応する秘密鍵を用いて暗号化鍵を復号し、共通鍵を取得する。鍵送信部４７０は、暗号化鍵復号部が復号した共通鍵を利用端末５００に送信する。

４）利用端末５００
利用端末５００は、少なくともアカウント名入力画面表示部５１０、アカウント名送信部５２０、暗号化鍵送信部５３０、ＩＤ・パスワード復号部５４０を備える。更に、ＩＤ・パスワード自動入力部５５０を備えてもよい。その他、利用端末５００はブラウザ部５６０を備える。

アカウント名入力画面表示部５１０、アカウント名送信部５２０、暗号化鍵送信部５３０、ＩＤ・パスワード復号部５４０、ＩＤ・パスワード自動入力部５５０は、パスワード管理サービスの利用に用いる構成である。アカウント名入力画面表示部５１０は、ＷｅｂサービスのＩＤパスワード入力画面の表示を検知し、ユーザにパスワード管理サービスに用いるアカウント名を入力するように促す。アカウント名送信部５２０は、ユーザが入力したアカウント名とともに利用端末情報とＷｅｂサービス識別情報をパスワード管理サービス装置４００に送信する。暗号化鍵送信部５３０は、情報端末２００から受信した暗号化鍵をパスワード管理サービス装置４００に送信する。ＩＤ・パスワード復号部５４０は、パスワード管理サービス装置４００から取得した共通鍵を用いて暗号化ＩＤと暗号化パスワードを復号し、ＩＤとパスワードを取得する。ＩＤ・パスワード自動入力部５５０は、復号したＩＤとパスワードをＩＤパスワード入力画面で求められていたＩＤ、パスワードとして自動的に入力する。

ブラウザ部５６０は、ユーザがサービスを享受するために必要なＷｅｂページをブラウジングする機能を提供する。

以下、図を参照してパスワード管理サービスシステム１００の処理動作について説明する。この処理動作は、パスワード管理サービスの利用登録、Ｗｅｂサービスで用いるＩＤとパスワードの登録、パスワード管理サービスの利用（Ｗｅｂサービス利用時におけるＩＤパスワード認証）から成る。

１）パスワード管理サービスの利用登録
まず、パスワード管理サービスの利用登録について説明する。
ユーザはパスワード管理サービスを利用するために、情報端末２００からパスワード管理サービス事業者のパスワード管理サービス装置４００に対してユーザ登録を行う。当該処理フローを図６に基づいて説明する。

ユーザは情報端末２００から端末業者の端末通知装置３００にパスワード管理サービスに利用することを示す端末ユニークなトークンの生成を依頼する（ステップＳ１-１０）。このトークンは個々のＷｅｂサービス利用時に求められる認証の際に、情報端末２００にプッシュ通知する場合に利用されるものである。なお、当該プッシュ通知の機能をパスワード管理サービス装置４００が提供する形態としてもよい。

端末通知装置３００のトークン生成部３１０はトークンを発行し、情報端末２００に送信する（ステップＳ１-２０）。発行したトークンをTokenAとする。

情報端末２００はユーザ登録に用いるアカウント名の入力を促しユーザはアカウント名を入力する（ステップＳ１-３０）。ユーザAが入力したアカウント名をUserNameAとする。

情報端末２００は入力されたアカウント名（UserName）、受信したトークン（Token）、情報端末のＯＳ種別（OS）をパスワード管理サービス装置４００に送信する（ステップＳ１-４０）。UserNameA、TokenAを送信する。また、併せてユーザAが用いている情報端末のＯＳ種別を送信してもよい。

パスワード管理サービス装置４００のＤＢ管理部４１０はこれらの情報に対して識別子となるユーザコード（UserCode）を付与しユーザＤＢ４８０に記録する（ステップＳ１-５０）。ユーザコードとして001を払い出し、001、UserNameA、TokenAをそれぞれユーザＤＢのUserCode、UserName、Tokenに記録する（図４参照）。

２）Ｗｅｂサービスで用いるＩＤとパスワードの登録
次に、Ｗｅｂサービスで用いるＩＤとパスワードの登録について説明する。
ユーザが利用するＷｅｂサービスと当該サービスに用いるＩＤとパスワードを情報端末２００に登録する。当該処理フローを図７に基づいて説明する。

ユーザは情報端末２００に利用しようと考えているＷｅｂサービス識別情報（URL）、ＩＤ（ID）、パスワード（PASS）を入力する（ステップＳ２-１０）。ユーザが入力したＷｅｂサービス識別情報、ＩＤ、パスワードをそれぞれURL001、ID001、PASS001とする。

情報端末２００はサービスに応じたサービスコード（ServiceCode）を発行する（ステップＳ２−２０）。発行されたサービスコードを001とする。

続いて、情報端末２００の共通鍵発行部２１０は共通鍵（key）を発行する（ステップＳ２-３０）。発行した共通鍵をk001とする。

情報端末２００の暗号化部２２０は発行した共通鍵を用いてＩＤとパスワードを暗号化し、暗号化ＩＤと暗号化パスワードを生成する（ステップＳ２-４０）。共有鍵k001を用いてID001、PASS001をそれぞれ暗号化した暗号化ＩＤ、暗号化パスワードをEnc_k001(ID001)、Enc_k001(PASS001)とする。

情報端末２００のＤＢ管理部２３０はＩＤパスワードＤＢ２９０のServiceCode、ID、PASSにサービスコード、ID、パスワードを、鍵管理ＤＢ２９５のServiceCode、URL、keyにサービスコード、Ｗｅｂサービス識別情報、共通鍵をそれぞれ記録し（ステップＳ２-５０）、ＩＤとパスワードの登録を終了する。図２は、ＩＤパスワードＤＢ２９０のServiceCode、ID、PASSとしてそれぞれ001、Enc_k001(ID001)、Enc_k001(PASS001)、図３は、鍵管理ＤＢ２９５のServiceCode、URL、keyとして001、URL001、k001が記録されている様子を示している。

３）パスワード管理サービスの利用（Ｗｅｂサービス利用時におけるＩＤパスワード認証）
次に、パスワード管理サービスの利用（Ｗｅｂサービス利用時におけるＩＤパスワード認証）について説明する。
ユーザがＷｅｂサービスを利用する際のＩＤパスワード認証手続きの様子を示す図８のシークエンス図に基づいて説明する。また、当該シークエンス図に対応する処理フローを示す図が図９である。

ユーザが利用端末５００のブラウザ部５６０を用いてＷｅｂサービスにアクセスする。利用端末５００のアカウント名入力画面表示部５１０がＩＤパスワード入力画面の表示を検知し、ユーザにパスワード管理サービスに用いるアカウント名を入力するように促す（ステップＳ５１０）。ユーザは利用端末５００にアカウント名UserNameAを入力する。

入力後、ユーザはアカウント名とともに利用端末情報とＷｅｂサービス識別情報であるＵＲＬを利用端末５００のアカウント名送信部５２０を用いて送信する（ステップＳ５２０）。具体的には、アカウント名としてUserNameA、Ｗｅｂサービス識別情報であるＵＲＬとしてURL001を送信する。また、ここで送信される利用端末情報をTermAで表す。

パスワード管理サービス装置４００の秘密鍵・公開鍵生成部４２０は当該利用端末５００に対して秘密鍵と公開鍵の組を生成する（ステップＳ４２０）。生成した秘密鍵をskA、公開鍵をpkAとする。当該秘密鍵と公開鍵の組はパスワード管理サービスの利用登録時に生成しておき、図５のような公開鍵ＤＢ４９０にユーザコードごとに記録しておいてもよい。あるいは、最初にパスワード管理サービスの利用をするタイミングで生成し、公開鍵ＤＢ４９０に記録するのでもよい。なお、公開鍵ＤＢ４９０は図５（Ａ）のようにユーザごとに秘密鍵と公開鍵の組を記録するのでもよいし、ユーザが複数の端末を持つことを想定して図５（Ｂ）のように端末ごとに記録するのでもよい。

パスワード管理サービス装置４００のトークン送信部４３０はユーザＤＢ４８０に記録しているアカウント名に対応するトークンを端末通知装置３００に送信する（ステップＳ４３０）。パスワード管理サービス装置４００のトークン送信部４３０はアカウント名UserNameAに対応するトークンTokenAをユーザＤＢ４８０から検索し、端末通知装置３００に送信する。

端末通知装置３００のプッシュ通知部３２０はパスワード管理サービス装置４００から送信されてきたトークンの情報をもとに情報端末２００にＩＤパスワード認証が求められていることをプッシュ通知する（ステップＳ３２０）。

情報端末２００がプッシュ通知を受信する。ユーザが当該通知に対して応答する場合、当該情報端末２００の応答送信部２４０が応答結果をパスワード管理サービス装置４００に送信する（ステップＳ２４０）。

パスワード管理サービス装置４００の利用端末情報・Ｗｅｂサービス識別情報送信部４４０は利用端末情報とＷｅｂサービス識別情報を情報端末２００に送信する（ステップＳ４４０）。パスワード管理サービス装置４００の利用端末情報・Ｗｅｂサービス識別情報送信部４４０から情報端末２００に送信される利用端末情報とＷｅｂサービス識別情報は、ステップＳ５２０のTermAとURL001である。

情報端末２００の所持認証部２５０は、ユーザが情報端末２００の所有者であることを認証後、ユーザは利用端末情報とＷｅｂサービス識別情報を確認する（ステップＳ２５０）。つまり、情報端末２００の所持認証部２５０はユーザに対してこれらの情報を提示し、利用端末５００を用いて当該Ｗｅｂサービスを利用する意思があるならばＩＤパスワード認証手続きを進めるように促す。情報端末２００の所持認証部２５０は、ユーザのＷｅｂサービス利用意思を認証結果として取得する。

情報端末２００の認証結果送信部２６０は、認証結果をパスワード管理サービス装置４００に送信する（ステップＳ２６０）。認証結果が利用する意思がないことを示すものである場合は、そのまま処理を終了する。

なお、ここでは、端末事業者の提供する端末通知サービスをパスワード管理サービス事業者が利用して情報端末２００にプッシュ通知する形態について説明したが、プッシュ通知をパスワード管理サービス事業者自身が提供できる形態としてもよい。この場合、図８で点線になっているＳ４３０、Ｓ３２０、Ｓ２４０各ステップが省略されることになる。

ユーザがＩＤパスワード認証手続きを進める旨応答すると、パスワード管理サービス装置４００の公開鍵送信部４５０は情報端末２００に事前に生成した公開鍵を送信する（ステップＳ４５０）。送信される公開鍵pkAはステップＳ４２０で生成されたものである。当該公開鍵は情報端末２００に送信するまでに生成されていればよい。

情報端末２００の暗号化鍵生成部２７０はパスワード管理サービス装置４００から取得した公開鍵を用いて利用したいと考えているＷｅｂサービス識別情報であるＵＲＬに対応する共通鍵を暗号化し、暗号化鍵を生成する（ステップＳ２７０）。情報端末２００はステップＳ４４０で取得していたＷｅｂサービス識別情報URL001に対応する共通鍵を鍵管理ＤＢから検索し、共通鍵k001を特定する。その後、情報端末２００の暗号化鍵生成部２７０は公開鍵pkAを用いて共通鍵k001を暗号化し、Enc_pkA(k001)を生成する。

情報端末２００の暗号化情報送信部２８０は利用端末５００に暗号化ＩＤ、暗号化パスワード、暗号化鍵を送信する（ステップＳ２８０）。情報端末２００の暗号化情報送信部２８０は鍵管理ＤＢ２９５、ＩＤパスワードＤＢ２９０を用いてＷｅｂサービス識別情報URL001に対応する暗号化ＩＤと暗号化パスワードを検索し、Enc_k001(ID001)とEnc_k001(PASS001)を特定する。続いて、情報端末２００は利用端末５００にEnc_k001(ID001)、Enc_k001(PASS001)、Enc_pkA(k001)を送信する。

利用端末５００の暗号化鍵送信部５３０はパスワード管理サービス装置４００に暗号化鍵を送信する（ステップＳ５３０）。利用端末５００はステップＳ２８０で受信した暗号化鍵Enc_pkA(k001)をパスワード管理サービス装置４００に送信する。

パスワード管理サービス装置４００の暗号化鍵復号部４６０は対応する秘密鍵を用いて暗号化鍵を復号し（ステップＳ４６０）、パスワード管理サービス装置４００の鍵送信部４７０は利用端末５００に復号した共通鍵を送信する（ステップＳ４７０）。対応する秘密鍵skAを用いて暗号化鍵Enc_pkA(k001)から共通鍵k001を復号し、利用端末５００に共通鍵k001を送信する。

利用端末５００のＩＤ・パスワード復号部５４０はパスワード管理サービス装置４００から取得した共通鍵を用いて暗号化ＩＤと暗号化パスワードを復号し、ＩＤとパスワードを取得する（ステップＳ５４０）。利用端末５００は共通鍵k001を用いて暗号化IDEnc_k001(ID001)、暗号化パスワードEnc_k001(PASS001)を復号化しID、PASSを取得する。

利用端末５００のＩＤ・パスワード自動入力部５５０は復号したＩＤとパスワードをＩＤパスワード入力画面で求められていたＩＤ、パスワードとして入力し（ステップＳ５５０）、ＩＤパスワード認証手続きを終了する。利用端末は復号して得られたID001とPASS001をＩＤパスワード入力画面に自動記入する。なお、ＩＤ、パスワードについては、手入力してもよい。

パスワード管理サービス装置４００は暗号化鍵を利用端末５００に送信後、Ｓ４３０で生成した秘密鍵・公開鍵の組を廃棄する。

本発明によれば、クラウドに代わりにユーザ個人が常時携帯する情報端末にＷｅｂサービスのＩＤ・パスワードを記録、Ｗｅｂサービス利用に際してＩＤパスワード認証が必要になる都度、情報端末に記録したＩＤ・パスワードをユーザの承認を得たうえで利用端末に提供することにより、複数の利用端末で簡便にＷｅｂサービスを利用することができるようになる。

ＩＤ・パスワードを利用端末が要求する都度、情報端末を用いたユーザの承認が必要となることから、擬似的な所持認証とすることができる。このとき、情報端末を利用するための認証機能を用いることにより、擬似的二要素認証となる。また、ユーザが承認する際、どの利用端末がどのＷｅｂサービスにアクセスしようとしているかもわかることから、不正利用を検知することも可能となる。

パスワード管理サービス装置が、ＩＤ・パスワードを利用端末が要求する都度、秘密鍵と公開鍵の組を生成することにより、ユーザ認証の安全度を維持することができる。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。
この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１００…パスワード管理サービスシステム、２００…情報端末、２１０…共通鍵発行部、２２０…暗号化部、２３０…ＤＢ管理部、２４０…応答送信部、２５０…所持認証部、２６０…認証結果送信部、２７０…暗号化鍵生成部、２８０…暗号化情報送信部、２９０…ＩＤパスワードＤＢ、２９５…鍵管理ＤＢ、３００…端末通知装置、３１０…トークン生成部、３２０…プッシュ通知部、４００…パスワード管理サービス装置、４１０…ＤＢ管理部、４２０…秘密鍵・公開鍵生成部、４３０…トークン送信部、４４０…利用端末情報・Ｗｅｂサービス識別情報送信部、４５０…公開鍵送信部、４６０…暗号化鍵復号部、４７０…鍵送信部、４８０…ユーザＤＢ、４９０…公開鍵ＤＢ、５００…利用端末、５１０…アカウント名入力画面表示部、５２０…アカウント名送信部、５３０…暗号化鍵送信部、５４０…ＩＤ・パスワード復号部、５５０…ＩＤ・パスワード自動入力部、５６０…ブラウザ部、６００…Ｗｅｂサーバ、７００…ネットワーク

Claims

Ｗｅｂサービスを利用するためにユーザが使用する利用端末と、
暗号化用の情報端末鍵と、前記情報端末鍵を用いて前記Ｗｅｂサービスを利用するためのＩＤとパスワードを暗号化した暗号化ＩＤと暗号化パスワードとを保持する情報端末と、
前記ユーザを示すアカウント名と前記情報端末を示すトークンとを対応付けて保持するパスワード管理サービス装置とからなるパスワード管理サービスシステムを用いてＷｅｂサービスを利用する際のＩＤパスワード認証方法であって、
前記利用端末が、Ｗｅｂサービスを利用する際の認証に用いるＩＤとパスワードの入力画面の表示を検知し、前記アカウント名の入力を促すアカウント名入力画面を表示するアカウント名入力画面表示ステップと、
前記利用端末が、入力されたアカウント名と前記利用端末を示す利用端末情報と前記Ｗｅｂサービスを示すＷｅｂサービス識別情報をパスワード管理サービス装置に送信するアカウント名送信ステップと、
前記パスワード管理サービス装置が、受信したアカウント名に対応するトークンから特定される情報端末に対して前記利用端末情報と前記Ｗｅｂサービス識別情報を送信する利用端末情報・Ｗｅｂサービス識別情報送信ステップと、
前記情報端末が、ユーザのＷｅｂサービス利用意思を示す認証結果を取得する所持認証ステップと、
前記情報端末が、前記認証結果を前記パスワード管理サービス装置に送信する認証結果送信ステップと、
前記パスワード管理サービス装置が、前記認証結果はユーザのＷｅｂサービス利用意思を示すものである場合に、前記パスワード管理サービス装置が保持する秘密鍵と公開鍵のうち、当該公開鍵を前記情報端末に送信する公開鍵送信ステップと、
前記情報端末が、受信した公開鍵を用いて前記情報端末鍵を暗号化した暗号化鍵を生成する暗号化鍵生成ステップと、
前記情報端末が、前記暗号化ＩＤと前記暗号化パスワードと前記暗号化鍵を前記利用端末に送信する暗号化情報送信ステップと、
前記利用端末が、前記暗号化鍵を前記パスワード管理サービス装置に送信する暗号化鍵送信ステップと、
前記パスワード管理サービス装置が、前記公開鍵に対応する秘密鍵を用いて前記暗号化鍵を復号し、前記情報端末鍵を取得する暗号化鍵復号ステップと、
前記パスワード管理サービス装置が、復号した情報端末鍵を前記利用端末に送信する鍵送信ステップと、
前記利用端末が、前記暗号化ＩＤと前記暗号化パスワードを前記情報端末鍵を用いて復号し、前記ＩＤと前記パスワードを取得するＩＤ・パスワード復号ステップと、
を有するＩＤパスワード認証方法。
請求項１に記載のＩＤパスワード認証方法であって、
更に、
前記パスワード管理サービス装置が、秘密鍵と公開鍵を生成する秘密鍵・公開鍵生成ステップと、
前記パスワード管理サービス装置が、前記鍵送信ステップを実行後、前記秘密鍵と前記公開鍵を廃棄する秘密鍵・公開鍵廃棄ステップと
を有するＩＤパスワード認証方法。
請求項１に記載のＩＤパスワード認証方法であって、
前記秘密鍵と前記公開鍵は、ユーザごとまたは情報端末ごとに前記パスワード管理サービス装置に保持するものであるＩＤパスワード認証方法。
Ｗｅｂサービスを利用するためにユーザが使用する利用端末と、
暗号化用の情報端末鍵と、前記情報端末鍵を用いて前記Ｗｅｂサービスを利用するためのＩＤとパスワードを暗号化した暗号化ＩＤと暗号化パスワードとを保持する情報端末と、
前記ユーザを示すアカウント名と前記情報端末を示すトークンとを対応付けて保持するパスワード管理サービス装置とからなるパスワード管理サービスシステムであって、
前記利用端末は、
Ｗｅｂサービスを利用する際の認証に用いるＩＤとパスワードの入力画面の表示を検知し、前記アカウント名の入力を促すアカウント名入力画面を表示するアカウント名入力画面表示部と、
入力されたアカウント名と前記利用端末を示す利用端末情報と前記Ｗｅｂサービスを示すＷｅｂサービス識別情報をパスワード管理サービス装置に送信するアカウント名送信部と、
前記情報端末から受信した暗号化鍵を前記パスワード管理サービス装置に送信する暗号化鍵送信部と、
前記パスワード管理サービス装置から受信した鍵を用いて、前記暗号化ＩＤと前記暗号化パスワードを復号し、前記ＩＤと前記パスワードを取得するＩＤ・パスワード復号部と、
を備え、
前記パスワード管理サービス装置は、
前記利用端末から受信したアカウント名に対応するトークンから特定される情報端末に対して前記利用端末情報と前記Ｗｅｂサービス識別情報を送信する利用端末情報・Ｗｅｂサービス識別情報送信部と、
前記情報端末から受信した認証結果はユーザのＷｅｂサービス利用意思を示すものである場合に、保持する秘密鍵と公開鍵のうち、当該公開鍵を前記情報端末に送信する公開鍵送信部と、
前記利用端末から受信した暗号化鍵の暗号化に用いた公開鍵に対応する秘密鍵を用いて前記暗号化鍵を復号し、前記情報端末鍵を取得する暗号化鍵復号部と、
前記復号した情報端末鍵を前記利用端末に送信する鍵送信部と
を備え、
前記情報端末は、
ユーザのＷｅｂサービス利用意思を示す認証結果を取得する所持認証部と、
前記認証結果を前記パスワード管理サービス装置に送信する認証結果送信部と、
前記パスワード管理サービス装置から受信した公開鍵を用いて前記情報端末鍵を暗号化し、暗号化鍵を生成する暗号化鍵生成部と、
前記暗号化ＩＤと前記暗号化パスワードと前記暗号化鍵を前記利用端末に送信する暗号化情報送信部と
を備えるパスワード管理サービスシステム。
ユーザのＷｅｂサービス利用意思を示す認証結果を取得する所持認証部と、
前記認証結果をパスワード管理サービス装置に送信する認証結果送信部と、
前記パスワード管理サービス装置から受信した公開鍵を用いて情報端末鍵を暗号化し、暗号化鍵を生成する暗号化鍵生成部と、
前記情報端末鍵を用いて前記Ｗｅｂサービスを利用するためのＩＤとパスワードを暗号化した暗号化ＩＤと暗号化パスワードと、前記暗号化鍵とを利用端末に送信する暗号化情報送信部と
を備える情報端末。
利用端末から受信したアカウント名に対応するトークンから特定される情報端末に対して、前記利用端末を示す利用端末情報とＷｅｂサービスを示すＷｅｂサービス識別情報を送信する利用端末情報・Ｗｅｂサービス識別情報送信部と、
前記情報端末から受信した認証結果がユーザのＷｅｂサービス利用意思を示すものである場合に、保持する秘密鍵と公開鍵のうち、当該公開鍵を前記情報端末に送信する公開鍵送信部と、
前記利用端末から受信した暗号化鍵の暗号化に用いた公開鍵に対応する秘密鍵を用いて前記暗号化鍵を復号し、情報端末鍵を取得する暗号化鍵復号部と、
復号した情報端末鍵を前記利用端末に送信する鍵送信部と
を備えるパスワード管理サービス装置。
Ｗｅｂサービスを利用する際の認証に用いるＩＤとパスワードの入力画面の表示を検知し、ユーザを示すアカウント名の入力を促すアカウント名入力画面を表示するアカウント名入力画面表示部と、
入力されたアカウント名と自端末を示す利用端末情報と前記Ｗｅｂサービスを示すＷｅｂサービス識別情報をパスワード管理サービス装置に送信するアカウント名送信部と、
情報端末から受信した暗号化鍵を前記パスワード管理サービス装置に送信する暗号化鍵送信部と、
前記パスワード管理サービス装置から受信した情報端末鍵を用いて、前記ＩＤを暗号化した暗号化ＩＤと前記パスワードを暗号化した暗号化パスワードを復号し、前記ＩＤと前記パスワードを取得するＩＤ・パスワード復号部と、
を備える利用端末。
請求項５に記載の情報端末としてコンピュータを動作させるためのプログラム。