JP7216441B2 - ワンタイムパスワードシステム - Google Patents

Description

本発明は、ワンタイムパスワードシステムに係り、特に、ワンタイムパスワードの発行及び認証を行うワンタイムパスワードシステムに関する。

ワンタイムパスワードとは、使い捨てのパスワードである。ウェブ上のサービスを利用する際、従来はＩＤ及びパスワードによる認証を行うことが一般的であったが、ＩＤ及びパスワードによる認証に加えて、ワンタイムパスワードによる認証を行うことにより、セキュリティを強化することができる。

そして、このようなワンタイムパスワードに関する技術として、様々な技術が提案されている（例えば、特許文献１、２）。

しかし、ワンタイムパスワードに関する内容を、顧客本来のサービスフローロジックに組み込むと、ワンタイムパスワードに関する内容にも注力しなければならず、メインのビジネスロジックに注力しづらくなり、自己の本来のシステムに専念できない、という問題がある。

特開２００４－０７０４６３号公報 特開２００７－２６４８３５号公報

そこで、本発明の課題は、顧客がメインのビジネスロジックに注力できるとともに、自己の本来のシステムに専念することができるワンタイムパスワードシステムを提供することにある。

上記課題達成のため、請求項１に記載の発明にあっては、ワンタイムパスワードの発行及び認証を行うワンタイムパスワードシステムであって、管理者が管理しウェブを介してアプリケーションが利用可能な第１サーバと、管理者が管理しウェブを介して前記ワンタイムパスワードの発行及び認証を行う第２サーバと、管理者が管理し前記第２サーバにより発行された前記ワンタイムパスワードを格納するデータベースと、顧客が管理する顧客端末と、顧客のユーザであるエンドユーザが管理するエンドユーザ端末及びエンドユーザ携帯電話機と、前記第１サーバ、前記第２サーバ、前記データベース、前記顧客端末、前記エンドユーザ端末、及び前記エンドユーザ携帯電話機を接続する通信網とを備え、前記顧客端末は、前記エンドユーザ端末から前記顧客端末に対して行うサービス依頼手続においてワンタイムパスワード認証処理手続を開始するときに、前記第１サーバにワンタイムパスワード認証依頼リクエストを送信し、前記第１サーバは、前記ワンタイムパスワード認証依頼リクエストを受信した場合、認証対象となるエンドユーザの電子メールアドレスおよび携帯電話番号を含むエンドユーザ情報を入力するためのウェブサイトのＵＲＬを生成し、前記顧客端末に前記ウェブサイトのＵＲＬを返答し、前記ウェブサイトのＵＲＬに前記顧客端末が前記エンドユーザ端末をリダイレクトさせ、前記エンドユーザ端末は、リダイレクトされた前記ＵＲＬの前記ウェブサイトを利用して前記エンドユーザ情報を入力し、前記エンドユーザ情報を前記第２サーバに送信し、前記第２サーバは、前記エンドユーザ情報を受信した場合、前記ワンタイムパスワードを発行し、前記ワンタイムパスワードを前記データベースに格納するとともに、前記エンドユーザ情報に基づいて前記ワンタイムパスワードを前記エンドユーザ端末に電子メールまたはＳＭＳにより送信すると共に、前記エンドユーザ携帯電話機に発信し、前記エンドユーザ端末は表示画面に前記ワンタイムパスワードを表示し、前記第２サーバと通話状態にある前記エンドユーザ携帯電話機に前記エンドユーザから前記表示画面に表示された前記ワンタイムパスワードがキー入力された場合、前記エンドユーザ携帯電話機は前記第２サーバに前記ワンタイムパスワードを送信し、前記第２サーバは、前記エンドユーザ携帯電話機から前記ワンタイムパスワードを受信した場合、前記データベースを参照して前記ワンタイムパスワードの認証を行い、認証結果を前記顧客端末に送信し、前記顧客端末は、前記認証結果に基づいて前記エンドユーザ端末を認証することを特徴とする。

従って、本発明にあっては、ワンタイムパスワードは管理者が管理する第２サーバで生成されエンドユーザ端末に送出され、第２サーバに接続された顧客携帯電話機から第２サーバへのワンタイムパスワードの送信で認証される処理を実施するので、顧客本来のサービスロジックフローに、メインのビジネスロジックではないワンタイムパスワードの発行、管理、確認のためのロジックを組み込む必要がなくなる。

また、本発明に係るワンタイムパスワードシステムにあっては、エンドユーザは電子メールまたはＳＭＳを使用できるエンドユーザ端末を使用してワンタイムパスワードを取得して使用できる。また、エンドユーザに提供したい複数のタイプ（ＳＭＳ（Short Message Service）、音声（電話）、電子メール等）のワンタイムパスワードを実装したい場合であっても複雑なロジックを作り込む必要がない。

請求項２に記載の発明にあっては、入力された前記エンドユーザ情報を解析して、前記エンドユーザのリスク度を判定するリスク度判定手段を備えることを特徴とする。

従って、本発明に係るワンタイムパスワードシステムにあっては、顧客は、ワンタイムパスワードとともにリスク度判定手段が判定したエンドユーザのリスク度を参照してその後の処理を進めることができる。

請求項３に記載の発明にあっては、前記顧客端末から前記第２サーバによる前記ワンタイムパスワードの認証回数に関する繰り返し条件を設定可能であることを特徴とする。

従って、本発明に係るワンタイムパスワードシステムにあっては、顧客は繰り返し条件を設定するだけで簡単にセキュリティの強弱を調整することができる。

請求項１記載の発明にあっては、ワンタイムパスワードの発行及び認証を行うワンタイムパスワードシステムであって、管理者が管理しウェブを介してアプリケーションが利用可能な第１サーバと、管理者が管理しウェブを介して前記ワンタイムパスワードの発行及び認証を行う第２サーバと、管理者が管理し前記第２サーバにより発行された前記ワンタイムパスワードを格納するデータベースと、顧客が管理する顧客端末と、顧客のユーザであるエンドユーザが管理するエンドユーザ端末及びエンドユーザ携帯電話機と、前記第１サーバ、前記第２サーバ、前記データベース、前記顧客端末、前記エンドユーザ端末、及び前記エンドユーザ携帯電話機を接続する通信網とを備え、前記顧客端末は、前記エンドユーザ端末から前記顧客端末に対して行うサービス依頼手続においてワンタイムパスワード認証処理手続を開始するときに、前記第１サーバにワンタイムパスワード認証依頼リクエストを送信し、前記第１サーバは、前記ワンタイムパスワード認証依頼リクエストを受信した場合、認証対象となるエンドユーザの電子メールアドレスおよび携帯電話番号を含むエンドユーザ情報を入力するためのウェブサイトのＵＲＬを生成し、前記顧客端末に前記ウェブサイトのＵＲＬを返答し、前記ウェブサイトのＵＲＬに前記顧客端末が前記エンドユーザ端末をリダイレクトさせ、前記エンドユーザ端末は、リダイレクトされた前記ＵＲＬの前記ウェブサイトを利用して前記エンドユーザ情報を入力し、前記エンドユーザ情報を前記第２サーバに送信し、前記第２サーバは、前記エンドユーザ情報を受信した場合、前記ワンタイムパスワードを発行し、前記ワンタイムパスワードを前記データベースに格納するとともに、前記エンドユーザ情報に基づいて前記ワンタイムパスワードを前記エンドユーザ端末に電子メールまたはＳＭＳにより送信すると共に、前記エンドユーザ携帯電話機に発信し、前記エンドユーザ端末は表示画面に前記ワンタイムパスワードを表示し、前記第２サーバと通話状態にある前記エンドユーザ携帯電話機に前記エンドユーザから前記表示画面に表示された前記ワンタイムパスワードがキー入力された場合、前記エンドユーザ携帯電話機は前記第２サーバに前記ワンタイムパスワードを送信し、前記第２サーバは、前記エンドユーザ携帯電話機から前記ワンタイムパスワードを受信した場合、前記データベースを参照して前記ワンタイムパスワードの認証を行い、認証結果を前記顧客端末に送信し、前記顧客端末は、前記認証結果に基づいて前記エンドユーザ端末を認証するので、顧客本来のサービスロジックフローに、メインのビジネスロジックではないワンタイムパスワードの発行、管理、確認のためのロジックを組み込む必要がなくなる。
また、本願発明によれば、第２サーバは、ワンタイムパスワードを送信したエンドユーザ端末とは異なるエンドユーザ携帯電話機からワンタイムパスワードを受信し、データベースを参照してワンタイムパスワードの認証を行うので、ワンタイムパスワードの安全性が向上する。

請求項２に記載の発明にあっては、入力された前記エンドユーザ情報を解析して、前記エンドユーザのリスク度を判定するリスク度判定手段を備えることから、顧客は、ワンタイムパスワードとともにリスク度判定手段で判定したエンドユーザのリスク度を参照してその後の処理を進めることができる。

この場合リスク度判定手段は、エンドユーザ端末情報（ＩＰアドレス、ブラウザ各種データ、時間など）とエンドユーザから入力されたエンドユーザ情報と合わせて過去の行動パターンを解析することにより当該エンドユーザのリスク度も提示する。このため、顧客は、ワンタイムパスワードの認証結果に関わらず、リスク度が高いエンドユーザについてはその後の手続きを行わないことが可能となる。

請求項３記載の発明にあっては、前記顧客端末から前記第２サーバによる前記ワンタイムパスワードの認証回数に関する繰り返し条件を設定可能であるため、顧客は繰り返し条件を設定するだけで簡単にセキュリティの強弱を調整することができる。

本発明に係るワンタイムパスワードシステムの一実施の形態を示すブロック図である。 本発明に係るワンタイムパスワードシステムの一実施の形態の概要を示す図である。 本発明に係るワンタイムパスワードシステムの一実施形の形態の処理の流れを示すシーケンス図である（１／２）。 本発明に係るワンタイムパスワードシステムの一実施の形態の処理の流れを示すシーケンス図である（２／２）。 本発明に係るワンタイムパスワードシステムの他の実施の形態の処理の流れの特徴部分を示すシーケンス図である。 本発明に係るワンタイムパスワードシステムの更に他の実施の形態の処理の流れの特徴部分を示すシーケンス図である。

以下、本発明に係る一実施の形態について、図面を参照しながら説明する。

先ず、ワンタイムパスワードシステムの概要について説明する。図１は本発明に係るワンタイムパスワードシステムの一実施の形態を示すブロック図、図２は本発明に係るワンタイムパスワードシステムの一実施の形態の概要を示す図である。

図１に示すように、本実施の形態に係るワンタイムパスワードシステム１０は、ワンタイムパスワード（ＯＴＰ）の発行（生成）及び認証を行うワンタイムパスワードシステム１０である。このワンタイムパスワードシステム１０は、管理者が管理しウェブを介してアプリケーションが利用可能な第１サーバ１１と、管理者が管理しウェブを介してワンタイムパスワードの発行及び認証を行う第２サーバ１２と、管理者が管理し第２サーバ１２により発行されたワンタイムパスワードを格納するデータベース１３と、顧客Ｃが管理する顧客端末１４と、顧客Ｃのユーザであるエンドユーザが管理するエンドユーザ端末１５及びエンドユーザ携帯電話機１８と、を備えて構成されている。なお、エンドユーザ携帯電話機１８は第３、第４実施形態で使用する。また、破線で示したリスク度判定手段１７は後述する第２実施形態で使用する。

そして、第１サーバ１１、第２サーバ１２、データベース１３、顧客端末１４、及び、エンドユーザ端末１５、エンドユーザ携帯電話機１８及びリスク度判定手段１７は、通信網１６（インターネット通信網、電話通信網、電子メール通信網、メッセージ通信網等）により接続されている。

第１サーバ１１は、ＡＰＩ（Application Programming Interface）サーバである。第１サーバ１１に対して、予め定められた方法でアクセスをすると、第１サーバ１１は、所定のウェブサイトのＵＲＬをエンドユーザ端末１５に送信して、当該エンドユーザ端末１５を上述した所定のウェブサイトにリダイレクトさせる。ここで、リダイレクトは、第１サーバ１１のＵＲＬページに訪れたユーザを別のＵＲＬに自動的に誘導転送する処理である。

次に、ワンタイムパスワードシステム１０の処理の概要について説明する。

顧客Ｃがエンドユーザとの取引を開始すると適宜のタイミングでワンタイムパスワード処理を行う。このとき、本実施形態に係るワンタイムパスワードシステム１０は以下の処理を行っていく。

即ち、実際の取引前のタイミングで、図２に示すように、顧客Ｃは、顧客端末１４から第１サーバ１１に認証を依頼する（Ｓ１）。図２では顧客Ｃには、顧客Ｃ及びエンドユーザが含まれており、顧客Ｃは顧客端末１４を使用し、エンドユーザはエンドユーザ端末１５を使用する。なお、リスク度判定手段１７は後述する第２実施形態で使用するものであり、エンドユーザ携帯電話機１８は第３及び第４実施形態で使用する。

第１サーバ１１は、認証依頼用のＵＲＬ（Uniform Resource Locator）を顧客Ｃに送信してリダイレクトさせる（Ｓ２）。これによりエンドユーザ端末１５は、ＵＲＬで特定される第１ウェブサイトＷ１にアクセスし（Ｓ３）、第１ウェブサイトＷ１においてエンドユーザ情報を入力する。エンドユーザ情報には、認証対象となるエンドユーザの連絡先情報（携帯電話番号、電子メールアドレス等の連絡先を指定する情報）及びエンドユーザに対する連絡方法（ＳＭＳ、電子メール、電話音声等の認証の媒体を指定する情報）が含まれている。

従って、本実施の形態に係るワンタイムパスワードシステム１０にあっては、エンドユーザに提供したい複数のタイプ（ＳＭＳ、電子メール、電話音声等）のワンタイムパスワードを実装したい場合であっても複雑なロジックを作り込む必要がない。

また、顧客Ｃは、ワンタイムパスワードの認証回数に関する繰り返し条件を指定することができる。例えば、繰り返し条件として「１」を入力した場合、ワンタイムパスワードの認証回数は「１回」である。また、繰り返し条件として「２」を入力した場合、ワンタイムパスワードの認証回数は「２回」である。さらに、繰り返し条件として「３」を入力した場合、ワンタイムパスワードの認証回数は「３回」である。

従って、本実施の形態に係るワンタイムパスワードシステム１０にあっては、顧客Ｃは、繰り返し条件を設定するだけで簡単にセキュリティの強弱を調整することができる。

第１ウェブサイトＷ１においてエンドユーザ情報が入力された場合、第２サーバ１２は、ワンタイムパスワードを発行し（Ｓ４）、ワンタイムパスワードをデータベース１３に格納して管理する。ワンタイムパスワードは、指定された媒体（電子メール、ＳＭＳ、電話音声）を介してエンドユーザ端末１５やエンドユーザ携帯電話機１８に送信または発信される（Ｓ５）。なお、エンドユーザ端末１５に電子メール、ＳＭＳにワンタイムパスワードを発信する場合の他、ワンタイムパスワードを発信するときは、エンドユーザ情報で指定された電話番号にワンタイムパスワードを合成音声で伝達することができる。

エンドユーザ端末１５は例えばＰＣ、スマートフォンであり、インターネット通信が可能である端末である。また、エンドユーザ携帯電話機１８は例えばＤＴＭＦ（Dual-Tone Multi-Frequency）によるデータ送信、音声通信が可能な固定電話又は携帯電話である。

エンドユーザ端末１５又はエンドユーザ携帯電話機１８でワンタイムパスワードを受信したエンドユーザは、エンドユーザ端末１５からリダイレクトされた第２ウェブサイトＷ２にアクセスにおいてワンタイムパスワードを入力する（Ｓ６、Ｓ７）。第２実施形態ではワンタイムパスワードは、第２サーバ１２と接続されたエンドユーザ携帯電話機１８からＤＴＭＦにより第２サーバ１２に伝送されるようにしている。第２ウェブサイトＷ２は、第１ウェブサイトＷ１に含まれるウェブサイトであってもよく、第１ウェブサイトＷ１とは別のウェブサイトであってもよい。第２ウェブサイトＷ２のＵＲＬが必要である場合、第１サーバ１１または第２サーバ１２が第２ウェブサイトＷ２のＵＲＬを生成する。

第２サーバ１２は、データベース１３を参照しながら、入力されたワンタイムパスワードの認証を行い、認証結果（例えば認証結果を示すＵＲＬ）を顧客Ｃに送信する（Ｓ８）。

二段階認証等を行う場合、ＳＭＳや電子メール等でワンタイムパスワードを顧客Ｃに送信して認証を行うシステムが普及しているが、ワンタイムパスワードを利用したい場合、顧客Ｃのシステムにワンタイムパスワードに関するシステムを組み込む必要がある。しかし、このような組み込みは煩雑である。そこで、本実施の形態に係るワンタイムパスワードシステム１０では、顧客Ｃのワンタイムパスワードの発行、認証処理を第１サーバ１１及び第２サーバ１２等を利用して行っている。

従って、本実施の形態に係るワンタイムパスワードシステム１０にあっては、顧客本来のサービスロジックフローに、メインのビジネスロジックではないワンタイムパスワードの発行、管理、確認のためのロジックを組み込む必要がなくなる。すなわち、顧客Ｃは、ワンタイムパスワードに関する処理の手間が省け、本来の業務に専念することができる。

＜第１実施形態＞
次に、第１実施形態に係るワンタイムパスワードシステム１０の処理の流れについて説明する。図３及び図４は本発明の第１実施形態に係るワンタイムパスワードシステムの処理の流れを示すシーケンス図である。

図３に示すように、顧客端末１４は、エンドユーザ端末１５から顧客端末１４に対して行うサービス依頼手続（Ｓ１０）においてワンタイムパスワード認証処理手続（Ｓ１１）を開始するときに、第１サーバ１１にワンタイムパスワード認証依頼リクエストを送信する（Ｓ１２）。顧客端末１４のシステムにより提供されるサービスは、ネットショッピング、ネットバンキングサービスや仮想通貨（暗号資産）サービス、オンラインゲームサービス等である。なお、なお、破線で示したリスク度判定手段１７に関連する処理は後述する第２実施形態で使用するものであり本実施形態では使用していない。

第１サーバ１１は、ワンタイムパスワード認証依頼リクエスト（Ｓ１２）を受信した場合、エンドユーザ情報を入力するための第１ウェブサイトＷ１のＵＲＬを生成し（Ｓ１３）、エンドユーザ端末１５に第１ウェブサイトＷ１のＵＲＬを送信し、エンドユーザ端末１５からリダイレクトさせる（Ｓ１４）。

エンドユーザ端末１５は、受信したＵＲＬに基づいて第１ウェブサイトＷ１にアクセスし（Ｓ１５）、第１ウェブサイトＷ１を利用してエンドユーザ情報を入力し（Ｓ１６）、エンドユーザ情報を第２サーバ１２に送信する（Ｓ１７）。

第２サーバ１２は、エンドユーザ情報を受信した場合（Ｓ１７）、ワンタイムパスワードを発行し（Ｓ１８）、ワンタイムパスワードをデータベース１３に格納するとともに（Ｓ１９、Ｓ２０）、エンドユーザ情報で指定された媒体を用いてワンタイムパスワードをエンドユーザ端末１５に送信し、エンドユーザ端末１５に第２ウェブサイトＷ２のワンタイムパスワードの入力画面をリダイレクトする（Ｓ２１）。

図４に示すように、エンドユーザ端末１５は、ワンタイムパスワードを受信した場合（図３Ｓ２１参照）、第２ウェブサイトＷ２にリダイレクトされ（Ｓ２２）、エンドユーザ端末１５にはワンタイムパスワードの入力画面が表示される。エンドユーザは第２ウェブサイトの該当箇所に、取得したワンタイムパスワードを入力する（Ｓ２３）。これにより、入力ワンタイムパスワードが第２サーバ１２に入力される（Ｓ２４）。

第２サーバ１２は、ワンタイムパスワードが入力された場合（Ｓ２４）、データベース１３に確認を行い（Ｓ２５）、データベース１３からの応答を受信し（Ｓ２６）、データベース１３を参照することによりワンタイムパスワードの認証を行い（Ｓ２７）、認証結果を顧客端末１４に送信する（Ｓ２８）。

顧客端末１４は、認証結果に基づいてエンドユーザ端末１５を認証する（Ｓ２９）。

エンドユーザ端末１５は、顧客端末１４に認証された場合、サービスの利用を開始することができる（Ｓ３０）。なお、顧客Ｃによって設定された繰り返し条件として「２」以上の値が設定されている場合には、設定されている値に応じて、（Ｓ１８）から（Ｓ２７）までの処理を繰り返し実行する。

以上説明したように、本実施の形態に係るワンタイムパスワードシステム１０にあっては、顧客本来のサービスロジックフローに、メインのビジネスロジックではないワンタイムパスワードの発行、管理、確認のためのロジックを組み込む必要がなくなるため、顧客Ｃがメインのビジネスロジックに注力できるとともに、自己の本来のシステムに専念することができる。

また、本実施の形態に係るワンタイムパスワードシステム１０にあっては、エンドユーザに提供したい複数のタイプ（ＳＭＳ、電子メール）のワンタイムパスワードを実装したい場合であっても複雑なロジックを作り込む必要がないため、エンドユーザに複数のタイプのワンタイムパスワードを選択させることができ、幅広いエンドユーザの要求に応えることができる。

さらに、本実施の形態に係るワンタイムパスワードシステム１０にあっては、顧客Ｃが繰り返し条件を設定するだけで簡単にセキュリティの強弱を調整することができるため、顧客のセキュリティの強弱に関する要求に応えることができる。

なお、上記例では、顧客Ｃは繰り返し条件を指定することとしたが、ワンタイムパスワードの種類をも指定することができる。例えば、一回のリクエストの中にまたは別途設定画面で、電子メールとSMSでワンタイムパスワードを指定し、両方認証できなければ認証は失敗とし、顧客に引き渡す。同時に繰り返し条件も有効にすることも可能である。

上述した実施の形態にあっては、エンドユーザの連絡先情報及びエンドユーザに対する連絡方法は、エンドユーザが自由に選択できるものであってもよく、エンドユーザが選択できない固定されたものであってもよい。

上述した実施の形態にあっては、エンドユーザ情報に繰り返し条件が含まれている例で説明したが、エンドユーザ情報に繰り返し条件を含ませなくてもよく、ワンタイムパスワードシステム１０のシステム側で繰り返し条件を設定するようにしてもよい。

＜第２実施形態＞
次に本発明の第２実施形態に係るワンタイムパスワードシステムの処理について説明する。本実施形態では、ワンタイムパスワードシステム１０は、リスク度判定手段１７を備える。リスク度判定手段１７は、図１、図２及び図３中に破線で示した。

本実施形態において、リスク度判定手段１７は、図１に示したように、通信網１６を介して第１サーバ１１、及び顧客端末１４に接続されている。リスク度判定手段１７は、入力された前記エンドユーザ情報を解析して、前記エンドユーザのリスク度を判定する。リスク度判定手段１７において、リスク度判定（図３中のＳ３２）は、エンドユーザ端末から取得されたＩＰアドレス、ブラウザ各種データ、時間等の情報と、図３中のＳ３１で取得されたエンドユーザ情報と合わせて行う。

リスク度判定手段１７は、これらのデータに基づいて当該エンドユーザにおける過去の行動パターンを解析することによりリスク度判定を行う。この判定は多数のエンドユーザについての情報を収集したデータベースに基づいて行うことができる。また判定や解析には人工知能（ＡＩ）を使用することができる。

このリスク度の判定結果は、第２サーバ１２から顧客端末１４に認証結果が伝送された後、顧客端末１４に送信され（図４のＳ３３）、顧客はこのリスク判定に基づいて、認証を判断する（図４のＳ３４）。即ち、第２サーバ１２でワンタイムパスワードが認証された場合であっても、リスク判定により高リスクと判定された場合には、結果が当該エンドユーザとのその後の処理を停止することができる。これにより、商取引等に起因するリスクを低減することができる。なお、リスク度判定手段１７から顧客端末１４へのリスク度判定結果の送信は、リスク度判定の後であればどのタイミングであってもよい。

＜第３実施形態＞
次に本発明の第３実施形態に係るワンタイムパスワードシステムの処理について説明する。図５は本発明に係るワンタイムパスワードシステムの他の実施の形態の処理の流れの特徴部分を示すシーケンス図である。本実施形態においては、ワンタイムパスワードの認証を、エンドユーザが管理するエンドユーザ携帯電話機１８からのキー入力を使用して行う。

この場合、第５図に示すように、第２サーバ１２がワンタイムパスワードを発行し、エンドユーザ端末１５に送出した状態（Ｓ２１）で、第２サーバ１２からエンドユーザ携帯電話機１８に電話を発信し（Ｓ３１）、電話に応答したエンドユーザは、エンドユーザ端末のワンタイムパスワード表示画面に表示されワンタイムパスワードをテンキーから入力する（Ｓ３２）。するとワンタイムパスワードは、エンドユーザ携帯電話機１８から第２サーバ１２にＤＴＭＦ信号で送信される（Ｓ３３）これにより、第２サーバ１２はワンタイムパスワードの認証を行うことができる。他の処理は第１実施形態と同じである。

本実施形態によれば、第２サーバ１２は、エンドユーザ端末１５と異なるエンドユーザ携帯電話機１８を使用してワンタイムパスワードを受信するので、ワンタイムパスワードの安全性が向上する。

＜第４実施形態＞
次に本発明の第４実施形態に係るワンタイムパスワードシステムの処理について説明する。図６は本発明の第４実施形態に係るワンタイムパスワードシステムの処理の流れの特徴部分を示すシーケンス図である。本実施形態においては、ワンタイムパスワードは、第２サーバ１２からエンドユーザ携帯電話機１８に合成音声でワンタイムパスワードが送信される。

この場合、図６に示すように、第２サーバ１２がワンタイムパスワードを発行した状態（Ｓ３４）で、第２サーバ１２は、ワンタイムパスワードの合成音声データを作成する（Ｓ３５）。そして、第２サーバ１２は、エンドユーザ携帯電話機１８に発信し、合成音声を発信する（Ｓ３６、Ｓ３７）。エンドユーザは、エンドユーザ携帯電話機１８に着呼した第２サーバ１２からの電話を受け、ワンタイムパスワードの合成音声を受信する（Ｓ３８）第２サーバ１２からエンドユーザ携帯電話機１８に合成音声で通知することができる。この場合、そして、エンドユーザはエンドユーザ携帯電話機１８で聞き取ったワンタイムパスワードをエンドユーザ端末１５から第２ウェブサイトＷ２のワンタイムパスワード入力画面に入力する（Ｓ３９）。これにより、第２サーバ１２は、ワンタイムパスワードの認証を行う。他の処理は第１実施形態と同じである。

本実施形態によれば、第２サーバ１２は、エンドユーザ端末１５と異なるエンドユーザ携帯電話機１８を使用してワンタイムパスワードを音声で送信するので、ワンタイムパスワードの安全性が向上する。

本発明はワンタイムパスワードシステムに係ることから、広く産業上の利用可能性を有している。

１０ ワンタイムパスワードシステム
１１ 第１サーバ
１２ 第２サーバ
１３ データベース
１４ 顧客端末
１５ エンドユーザ端末
１６ 通信網
１７ リスク度判定手段
Ｃ 顧客
Ｗ１ 第１ウェブサイト
Ｗ２ 第２ウェブサイト

Claims (3)

1. ワンタイムパスワードの発行及び認証を行うワンタイムパスワードシステムであって、
   管理者が管理しウェブを介してアプリケーションが利用可能な第１サーバと、
   管理者が管理しウェブを介して前記ワンタイムパスワードの発行及び認証を行う第２サーバと、
   管理者が管理し前記第２サーバにより発行された前記ワンタイムパスワードを格納するデータベースと、
   顧客が管理する顧客端末と、
   顧客のユーザであるエンドユーザが管理するエンドユーザ端末及びエンドユーザ携帯電話機と、
   前記第１サーバ、前記第２サーバ、前記データベース、前記顧客端末、前記エンドユーザ端末、及び前記エンドユーザ携帯電話機を接続する通信網とを備え、
   前記顧客端末は、前記エンドユーザ端末から前記顧客端末に対して行うサービス依頼手続においてワンタイムパスワード認証処理手続を開始するときに、前記第１サーバにワンタイムパスワード認証依頼リクエストを送信し、
   前記第１サーバは、前記ワンタイムパスワード認証依頼リクエストを受信した場合、認証対象となるエンドユーザの電子メールアドレスおよび携帯電話番号を含むエンドユーザ情報を入力するためのウェブサイトのＵＲＬを生成し、前記顧客端末に前記ウェブサイトのＵＲＬを返答し、前記ウェブサイトのＵＲＬに前記顧客端末が前記エンドユーザ端末をリダイレクトさせ、
   前記エンドユーザ端末は、リダイレクトされた前記ＵＲＬの前記ウェブサイトを利用して前記エンドユーザ情報を入力し、前記エンドユーザ情報を前記第２サーバに送信し、
   前記第２サーバは、前記エンドユーザ情報を受信した場合、前記ワンタイムパスワードを発行し、前記ワンタイムパスワードを前記データベースに格納するとともに、前記エンドユーザ情報に基づいて前記ワンタイムパスワードを前記エンドユーザ端末に電子メールまたはＳＭＳにより送信すると共に、前記エンドユーザ携帯電話機に発信し、
   前記エンドユーザ端末は表示画面に前記ワンタイムパスワードを表示し、
   前記第２サーバと通話状態にある前記エンドユーザ携帯電話機に前記エンドユーザから前記表示画面に表示された前記ワンタイムパスワードがキー入力された場合、前記エンドユーザ携帯電話機は前記第２サーバに前記ワンタイムパスワードを送信し、
   前記第２サーバは、前記エンドユーザ携帯電話機から前記ワンタイムパスワードを受信した場合、前記データベースを参照して前記ワンタイムパスワードの認証を行い、認証結果を前記顧客端末に送信し、
   前記顧客端末は、前記認証結果に基づいて前記エンドユーザ端末を認証することを特徴とするワンタイムパスワードシステム。
2. 入力された前記エンドユーザ情報を解析して、前記エンドユーザのリスク度を判定するリスク度判定手段を備えることを特徴とする請求項１に記載のワンタイムパスワードシステム。
3. 前記顧客端末から前記第２サーバによる前記ワンタイムパスワードの認証回数に関する繰り返し条件を設定可能であることを特徴とする請求項１から請求項３のいずれか一項に記載のワンタイムパスワードシステム。

Images