WO2013042306A1 - 認証システム、認証サーバ、認証方法および認証用プログラム - Google Patents

認証システム、認証サーバ、認証方法および認証用プログラム Download PDF

Info

Publication number
WO2013042306A1
WO2013042306A1 PCT/JP2012/005149 JP2012005149W WO2013042306A1 WO 2013042306 A1 WO2013042306 A1 WO 2013042306A1 JP 2012005149 W JP2012005149 W JP 2012005149W WO 2013042306 A1 WO2013042306 A1 WO 2013042306A1
Authority
WO
WIPO (PCT)
Prior art keywords
service
authentication
user
physical
unit
Prior art date
Application number
PCT/JP2012/005149
Other languages
English (en)
French (fr)
Inventor
由起子 手塚
一器 加藤
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to US14/345,582 priority Critical patent/US20140359746A1/en
Publication of WO2013042306A1 publication Critical patent/WO2013042306A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/41—User authentication where a single sign-on provides access to a plurality of computers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Definitions

  • the present invention relates to an authentication system, an authentication server, an authentication method, and an authentication program for authenticating a user who uses a service.
  • cloud computing has been known as one of the forms in which users can use computer resources such as services and storage provided through the Internet without being aware of their location.
  • cloud computing various services can be provided by combining many server groups using the latest technologies such as virtualization technology and data distribution processing technology.
  • virtualization technology and data distribution processing technology.
  • data distribution processing technology On the other hand, in cloud computing, a large amount of data is centrally managed, so a more robust mechanism for protecting these data is required.
  • a method is used in which the service side performs user authentication and permits access only to users who have usage rights. For example, when a user who uses a service inputs an ID and a password via an Internet browser or the like, the service side authenticates the ID and password, and determines whether the service can be used.
  • a method of requesting a password while reading the IC card is also known.
  • Patent Document 1 An example of such an authentication system is described in Patent Document 1.
  • the authentication system described in Patent Literature 1 includes an IC card reader and a storage device that stores an ID reading program for controlling the IC card reader and reading a user ID from the IC card. Yes.
  • the portal server that provides the service transmits a command for starting the ID reading program to the user terminal
  • the user terminal acquires the user ID from the IC card reader, and sends the acquired user ID to the portal server.
  • the portal server authenticates the user based on the user ID transmitted from the user terminal.
  • the authentication system described in Patent Document 1 displays a user ID and an authentication screen for inputting user authentication information, and inputs a password.
  • the user ID entered in the web browser etc. is information that is very easy to be leaked while being easily distributed to the user. That is, even the other person than the user identified by the ID can use the ID. Therefore, when another person obtains the ID, the user identified by the ID can easily impersonate.
  • passwords used for authentication are information that may be leaked, and information that can be estimated from user attributes and the like. Therefore, if the password is obtained by someone other than the user, the service may be used illegally on behalf of the user.
  • an authentication method using a physical medium such as an IC card is a very effective method for improving security because authentication is not performed without the medium. That is, so-called software information such as IDs and passwords is information that can be easily obtained by other people, while those that exist physically such as an IC card are difficult to obtain by others. .
  • an object of the present invention is to provide an authentication system, an authentication server, an authentication method, and an authentication program that can dynamically perform advanced authentication control according to an environment in which a user uses a service.
  • An authentication system includes an authentication server that authenticates a user who uses a service, and an authentication request terminal that makes a service authentication request to the authentication server.
  • the authentication request terminal uses the service.
  • ID information transmission for transmitting to the authentication server a physical ID that is identification information that can uniquely identify a medium or device used for authentication of a person and a service ID that is identification information determined for each type of medium or each device Means for determining the validity of each received service ID, and whether or not a service using a medium or device identified by the physical ID is used based on the received physical ID.
  • the service ID A combination of one or more service IDs that can identify one authentication request by a user is used as a key ID, and at least the service ID and the determination result of the service ID by the validity determination unit are associated with the key ID, and the authentication information storage unit And a service ID associated with the key ID stored in the authentication information storage unit and the service based on a policy that defines at least the service available range according to the combination of service IDs
  • Use authority determining means for determining the authority to use the service used by the user from the ID determination result, and the identification information transmitting means of the authentication requesting terminal is one of one or more media or devices used for authentication in advance.
  • the physical ID of the defined medium or device and the predetermined medium or device used for the authentication And transmitting more than three and a service ID to the authentication server.
  • the authentication server includes a physical ID, which is identification information that can uniquely identify a medium or a device used for authentication of a user who uses the service, and each medium or When a service ID, which is identification information determined for each device type, is received, legitimacy judging means for judging legitimacy of each service ID, and identification based on the received physical ID Service availability determination means for determining the availability of a service using a medium or a device to be used, and one authentication by a user among the received service IDs when it is determined that a service using a medium or a device can be used. A combination of one or more service IDs that can identify a request is used as a key ID, and at least by the service ID and the legitimacy determination means Authentication information management means for associating the determination result of the service ID with the key ID and storing it in the authentication information storage means, and at least authentication policy based on a policy that defines the service available range according to the combination of service IDs It is characterized by comprising use authority determining means for determining the service authority used by
  • an authentication requesting terminal that makes a service authentication request to an authentication server that authenticates a user who uses a service is a medium or device used for authenticating the user who uses the service.
  • the physical ID, which is identification information that can be uniquely identified, and the service ID, which is identification information determined for each medium or each device type, are transmitted to the authentication server, and the authentication server verifies the validity of each received service ID.
  • the authentication server determines whether or not the service using the medium or device identified by the physical ID is available based on the received physical ID, and the authentication server uses the service using the medium or device. When it is determined that the authentication is possible, a combination of one or more service IDs that can identify one authentication request by the user among the received service IDs is a key ID.
  • the authentication server determines the usable range of the service according to at least the combination of the service IDs Based on the policy, the service ID associated with the key ID stored in the authentication information storage means and the determination result of the service ID are used to determine the authority to use the service used by the user.
  • a physical ID and a service ID a physical ID of a predetermined medium or device among one or more media or devices used for authentication and a predetermined one in the medium or device used for the authentication The above service ID is transmitted to the authentication server.
  • An authentication program includes a physical ID, which is identification information capable of uniquely identifying a medium or device used for authentication of a user who uses a service, from an authentication request terminal that makes a service authentication request to a computer.
  • a service ID which is identification information determined for each medium or each device type
  • legitimacy determination processing for determining the legitimacy of each service ID, based on the received physical ID
  • Service availability determination processing for determining availability of a service using a medium or device identified by an ID, and when it is determined that a service using a medium or device can be used, the user uses the received service ID.
  • advanced authentication control according to the environment in which the user uses the service can be dynamically performed.
  • FIG. FIG. 1 is a block diagram showing a configuration example of a first embodiment of an authentication system according to the present invention.
  • the authentication system according to the present embodiment includes an authentication server 10 and a terminal 20.
  • the authentication server 10 authenticates a user who uses the cooperation service 60. Further, the terminal 20 makes an authentication request for the cooperation service 60 to the authentication server 10.
  • the cooperation service 60 may be simply referred to as a service.
  • 1 illustrates the case where the authentication system includes one terminal 20, but the number of terminals 20 is not limited to one and may be two or more.
  • 1 illustrates the case where the authentication system includes one authentication server 10, the number of authentication servers 10 is not limited to one, and may be two or more. In this case, processing to be described later may be distributed for each authentication server 10 according to the processing load and the number of connected terminals 20.
  • Each authentication server 10 and each terminal 20 are connected to each other via a communication network 100.
  • the terminal 20 includes an identification information extraction unit 21, an authentication request instruction unit 22, and an identification information storage unit 23. Further, in the authentication system illustrated in FIG. 1, the terminal built-in device 30 including the identification information storage unit 31 is built in the terminal 20. In the authentication system illustrated in FIG. 1, an external connection device 40 including an identification information storage unit 41 is connected to the terminal 20. In the following description, the state of the terminal built-in device 30 built in the terminal 20 may be described as being connected to the terminal 20. The contents of the identification information storage unit 31 and the identification information storage unit 41 will be described later.
  • the terminal built-in device 30 or the external connection device 40 may be connected to the terminal 20. Further, both the terminal built-in device 30 and the external connection device 40 may be connected to the terminal 20. Further, the number of the terminal built-in device 30 and the external connection device 40 is not limited to one, and two or more each may be connected to the terminal 20. The functions of each terminal built-in device 30 and each external connection device 40 may be the same or different.
  • the terminal built-in device 30 and the external connection device 40 are realized by, for example, a card reader / writer that reads and writes information stored in the identification information storage unit 51 provided in the IC card 50 described later.
  • the IC card 50 includes identification information storage means 51.
  • the IC card 50 is used for identifying a user who uses a service provided via the authentication system according to the present embodiment. That is, the IC card 50 can be said to be a medium used for user authentication.
  • the identification information storage means 51 stores user identification information. For example, each information stored in the identification information storage unit 51 is obtained when the terminal built-in device 30 or the external connection device 40 and the IC card 50 perform non-contact communication using a standard such as Mifare (registered trademark). It is transmitted to the terminal 20.
  • Mifare registered trademark
  • the communication method between the terminal built-in device 30 or the external connection device 40 and the IC card 50 is not limited to the method using the standard according to Mifare.
  • an IC card is used for user identification
  • the form of a medium or device used for user identification is not limited to an IC card.
  • the user can use the portable terminal in the same manner as the IC card 50 in the present embodiment.
  • the identification information storage unit 51 in the present embodiment is realized by an authenticated LSI (Large Scale Scale Integration) (hereinafter referred to as an authentication LSI).
  • the authentication LSI is realized by, for example, a microcontroller chip.
  • Each authentication LSI is given unique identification information, and it becomes possible to uniquely identify a medium and a terminal including the authentication LSI by this identification information.
  • the authentication LSI holds each data in an encrypted state, and data exchange with each device is performed in a state where the data is encrypted. That is, the user identification information is stored in the authentication LSI in an encrypted state.
  • the method for decrypting the encrypted information is recognized by the service ID authenticating means 11 described later, and the legitimate information is decrypted by the service ID authenticating means 11.
  • the unique identification information given to the authentication LSI is information that cannot be rewritten and cannot be falsified.
  • the information stored in the authentication LSI is information that can be rewritten later, but is information that is encrypted and stored.
  • the authentication LSI used in the present embodiment includes non-rewritable information that ensures uniqueness and encrypted rewritable information as a set.
  • the identification information storage means 31 and the identification information storage means 41 described above are also realized by an authentication LSI, as with the identification information storage means 51. That is, the terminal built-in device 30 is uniquely identified by the identification information unique to the authentication LSI given to the identification information storage unit 31. Similarly, the terminal built-in device 40 is uniquely identified by the identification information unique to the authentication LSI given to the identification information storage unit 41. As described above, in the present embodiment, the terminal built-in device 30, the terminal built-in device 40, and the IC card 50 that are used for authentication each include an authentication LSI, and from the unique identification information given to each authentication LSI, Each device or each medium can be identified.
  • identification information that can uniquely identify an authentication LSI included in these media (for example, the IC card 50) or device (for example, the terminal built-in device 30 or the terminal built-in device 40) used for authentication of a user who uses the service.
  • a physical ID As described above, the physical ID is information that cannot be rewritten. Moreover, the uniqueness of this physical ID is secured by each vendor, for example.
  • the identification information storage means 31 and the identification information storage means 41 store identification information determined for each type of device.
  • the identification information storage unit 31 when the identification information storage unit 31 is a card reader / writer, the identification information storage unit 31 stores a card reader / writer ID as the identification information.
  • the device authority stored in the identification information storage unit 31 or the identification information storage unit 41 and the user identification information stored in the identification information storage unit 51 are used by the usage authority determining unit 14 described later. It is used when judging. Therefore, hereinafter, identification information determined for each type of medium or each device is referred to as a service ID.
  • the terminal built-in device 30 (or external connection device 40)
  • the terminal built-in device 30 (or external connection device 40) reads the physical ID and the service ID stored in the identification information storage unit 51.
  • a control unit (not shown) of the terminal built-in device 30 (or the external connection device 40) notifies the authentication request instructing means 22 of the received physical ID and service ID.
  • the identification information storage means 23 stores terminal identification information. Similarly to the identification information storage unit 51, the identification information storage unit 23 in the present embodiment is also realized by an authentication LSI. That is, the terminal 20 is uniquely identified by the identification information unique to the authentication LSI assigned to the identification information storage unit 23.
  • the authentication request instruction unit 22 instructs the identification information extraction unit 21 to extract the service ID from the identification information storage unit included in each device (specifically, the terminal 20, the terminal built-in device 30 or the external connection device 40). Instruct. Note that the authentication request instruction means 22 may instruct the identification information extraction means 21 to extract a physical ID from each device.
  • the authentication request instruction means 22 holds terminal-specific information (for example, device configuration, authentication LSI configuration, data configuration, etc.).
  • the target device from which the service ID is extracted is determined in advance in, for example, a setting file based on information unique to the terminal.
  • the authentication request instruction unit 22 may instruct the identification information extraction unit 21 to extract a service ID according to the contents of the setting file.
  • the authentication request instruction unit 22 may instruct the identification information extraction unit 21 to extract a service ID when notified of the physical ID and the service ID read from the IC card 50. Further, the authentication request instruction unit 22 may instruct the identification information extraction unit 21 to extract a service ID when the terminal 20 is turned on.
  • the timing at which the authentication request instruction means 22 issues a service ID extraction instruction is not limited to the above timing. The timing for instructing the service ID extraction may be determined in advance for each service to be used.
  • the authentication request instruction means 22 responds to a request from the authentication server 10 by identifying user identification information (for example, feature points of fingerprints or veins) specified by human physical characteristics or behavioral characteristics. Or a feature point of a face image) may be transmitted to the authentication server 10. By transmitting these pieces of information, it becomes possible to expand the authentication options.
  • user identification information for example, feature points of fingerprints or veins
  • the authentication request instruction means 22 is realized by a CPU of a computer that operates according to a program.
  • the program may be stored in a storage unit (not shown) of the terminal 20, and the CPU may read the program and operate as the authentication request instruction unit 22 according to the program.
  • the identification information extraction unit 21 extracts a service ID from the identification information storage unit included in each device (specifically, the terminal 20, the terminal built-in device 30 or the external connection device 40) in response to an instruction from the authentication request instruction unit 22. To do.
  • the identification information extraction unit 21 reads the service ID stored in the authentication LSI of each medium or each device in an encrypted state. Then, the identification information extraction unit 21 transmits an authentication request for the extracted service ID to the authentication server 10 together with the physical ID.
  • the target of the physical ID transmitted by the identification information extraction unit 21 is determined in advance according to the requested service. That is, the identification information extraction unit 21 transmits a predetermined physical ID and one or more service IDs to the authentication server 10.
  • the identification information extraction unit 21 transmits the identification information of the identification information storage unit 51 given to the IC card 50 to the authentication server 10 as a physical ID.
  • the identification information extraction means 21 is realized by a CPU of a computer that operates according to a program. Further, this program is realized by, for example, a driver that controls each device connected to the terminal 20, a common module that does not depend on a service or a terminal, and absorbs differences depending on lower devices. By using such a module, when adding a new device, it is possible to extract the service ID from the added device without modifying the interface with the higher-level program simply by modifying this module. It becomes possible.
  • the authentication server 10 includes a service ID authenticating unit 11, a usage service determining unit 12, an authentication information managing unit 13, a usage authority determining unit 14, an authentication information storage unit 15, a policy storage unit 16, and a management information storage unit. 17 and the like.
  • the service ID authenticating unit 11 determines the validity for each received service ID. Further, the service ID authenticating means 11 decrypts the encrypted service ID. Specifically, the service ID authenticating unit 11 determines whether or not the transmitted service ID is information transmitted from a predetermined authentication LSI by decrypting the secret encrypted information transmitted from the terminal 20. The service ID authenticating unit 11 determines that the service ID is valid when the information is information transmitted from a predetermined authentication LSI. The service ID authenticating unit 11 may determine the validity of the authentication LSI by, for example, exchanging certificates between the authentication LSI and the authentication server 10.
  • the service ID to be authenticated means information for identifying a physical medium or device
  • the physical authentication means that the service ID authenticating unit 11 determines the validity of the service ID. Or it may be described as physical authentication.
  • the service ID authenticating unit 11 notifies the use service determining unit 12 of the information and physical ID to which the validity determination result (hereinafter sometimes referred to as an authentication result) is added for each service ID. For example, the service ID authenticating unit 11 adds information indicating “true” as the determination result to the service ID that can be decrypted for a certain device, and indicates “false” as the determination result to the service ID that failed to be decrypted. Information may be added. Then, the service ID authenticating unit 11 notifies the use service determining unit 12 of information obtained by adding these determination results to each service ID. This determination result may be referred to as a physical authentication status.
  • the management information storage means 17 stores a list of physical IDs for identifying media or devices that are permitted to use the service. Further, the management information storage unit 17 may store a list of service IDs that are assumed to be used. The physical ID stored in the management information storage unit 17 is used for determination by the use service determination unit 12 described later. The service ID stored in the management information storage unit 17 is used for determination by the authentication information management unit 13 described later.
  • the used service determining unit 12 determines whether or not the service using the medium or device identified by the physical ID can be used.
  • the use service determination unit 12 determines that the service using the medium or device identified by the physical ID is acceptable. To do. Then, the service utilization determining unit 12 transmits the service ID and the authentication result received from the service ID authenticating unit 11 to the authentication information managing unit 13. Since the service utilization determining unit 12 transmits the service ID to the authentication information managing unit 13 based on the received physical ID determination result, the process performed by the service utilization determining unit 12 may be referred to as ID handling.
  • the use service determination unit 12 determines that the service using the medium or device identified by the physical ID is not available. Then, the use service determination unit 12 notifies the terminal 20 of error information indicating that the service cannot be used.
  • the terminal 20 that has received the error may display information indicating that the service cannot be used on a display unit (not shown) such as a display.
  • the authentication information storage means 15 stores the service ID and the authentication result included in one authentication request transmitted from the terminal 20 in association with each other.
  • a combination of one or more service IDs that can identify a single authentication request made by the user is determined in advance as a key ID. That is, the key ID can be said to be a combination of one or more service IDs that can identify one authentication request by the user among the received service IDs.
  • the identification information of the user who uses the service is determined in advance as a key ID.
  • the authentication information storage means 15 stores other service IDs and authentication results in association with user identification information, which is a key ID.
  • the service ID selected as the key ID is not limited to the user identification information.
  • the service ID selected as the key ID not only the service ID selected as the key ID but also information combining the service ID selected as the key ID and the physical ID for identifying the medium or device storing the service ID. May also be referred to as a key ID. Further, since the physical ID and the service ID correspond one-to-one, the physical ID corresponding to the service ID selected as the key ID may be referred to as a key physical ID.
  • the authentication information storage unit 15 may store other information related to the authentication request made by the user in association with the key ID.
  • Other information includes, for example, information for identifying the network used by the user for the authentication request (hereinafter referred to as network identification information), the date and time when the user requested authentication, the date and time when the authentication process was performed, The date and time when these pieces of information are registered in the authentication information storage unit 15 are included.
  • the network identification information includes a route on the network, information about a device that has passed through, and the like.
  • the information other than the service ID and the authentication result may be referred to as key ID attribute information.
  • the authentication information storage means 15 may store a plurality of identification information related to the user who has requested the service.
  • the authentication information storage means 15 is specified by a human physical feature or behavioral feature such as a feature point extracted from a user's face image or a feature point extracted from a user's fingerprint or vein.
  • the user identification information may be stored in association with the user who made the authentication request.
  • the authentication information management unit 13 stores the service ID and the authentication result received from the use service determination unit 12 in the authentication information storage unit 15. Specifically, if the authentication information management unit 13 determines that the service using the medium or device identified by the physical ID received by the use service determination unit 12 is acceptable, the authentication information management unit 13 transmits the one time transmitted from the terminal 20. The service ID and the authentication result included in the authentication request are stored in the authentication information storage unit 15 in association with each other.
  • the authentication information management unit 13 may store information such as network identification information and authentication request date and time in the authentication information storage unit 15.
  • the authentication information management unit 13 may notify the device of the service ID. Good. Specifically, when an authentication request is made by designating user identification information or requested information from the cooperation service 60 side, the authentication information management unit 13 stores the information identified by the authentication request as authentication information storage. The information extracted from the means 15 and extracted to the service providing apparatus may be returned.
  • the same key ID as the key ID specified from the information received from the use service determination unit 12 is already stored in the authentication information storage unit 15.
  • the authentication information management unit 13 may update the original information with the received information. That is, when the authentication information management means 13 receives an authentication request identified by the same key ID already stored in the authentication information storage means 15, the information corresponding to the key ID is the information included in the authentication request. It may be updated. In this way, authentication processing can be performed with priority given to new information.
  • the authentication information management means 13 may delete information that has been stored for a certain period after being stored in the authentication information storage means 15. Further, when the authentication information management unit 13 receives an explicit deletion instruction for the information stored in the authentication information storage unit 15, the authentication information management unit 13 may delete the information specified by the deletion instruction. For example, when a single authentication request transmitted from the terminal 20 is specified using the identification information of the user as a key ID, the authentication information management unit 13 displays the authentication request information identified by the key ID as an authentication information storage unit. It may be deleted from 15. By doing in this way, it can suppress that the information which became old is used for an authentication process.
  • the authentication information management unit 13 may determine whether or not the received service ID is stored in the management information storage unit 17. When the received service ID is stored in the management information storage unit 17, the authentication information management unit 13 may store the service ID in the authentication information storage unit 15. On the other hand, when the received received service ID is not stored in the management information storage unit 17, the authentication information management unit 13 may notify the terminal 20 of error information indicating that the service ID does not exist. At this time, the terminal 20 that has received the error may display information indicating that the service ID does not exist on a display unit (not shown) such as a display.
  • processing performed by the authentication information management unit 13 may be collectively referred to as ID authentication / management.
  • the policy storage unit 16 stores a policy that defines a service available range according to at least a combination with a service ID or an authentication result.
  • the service availability range includes information indicating whether the service can be used and information indicating that a specific function in the service is available.
  • the policy may be defined using either the service ID or the authentication result, or may be defined using both. Further, the elements that define the policy are not limited to the service ID and the authentication result. The policy may be defined using a route or time when a service authentication request is made by the user. The service ID that defines the policy and the authentication result must be included in at least the information stored in the authentication information storage unit 15.
  • the usage authority determination unit 14 determines the service usage authority of the user from the service ID and the authentication result associated with the key ID stored in the authentication information storage unit 15. To do.
  • the service ID associated with the key ID includes information that can identify the user. Therefore, the use authority determining unit 14 determines whether each piece of information indicating the service authentication request by the user stored in the authentication information storage unit 15 satisfies the requirements for using the service specified by the policy. To do.
  • the use authority determining unit 14 determines whether the user uses the information indicating the network and time stored in the authentication information storage unit 15 based on the policy. You may determine the use authority of the service to be used. Then, the usage authority determination unit 14 notifies the inquiry source of a determination result indicating whether the service can be used. Further, when the authentication information storage means 15 includes user identification information specified by human physical characteristics or behavioral characteristics, the use authority determining means 14 uses these information for determining the use authority. May be.
  • the user's service use authority authentication request may be issued from the terminal 20 or from the service 60 side (specifically, a device that provides the service).
  • the use authority determining unit 14 When an authentication request is made from the terminal 20, the use authority determining unit 14 notifies the terminal 20 of the determination result.
  • the usage authority determination unit 14 When an authentication request is made from the service 60 side, the usage authority determination unit 14 notifies the apparatus that provides the service of the determination result.
  • the use authority determining unit 14 determines that the user can use the service. For example, when this authentication request is made from the terminal 20, the use authority determining unit 14 may notify the terminal 20 of information indicating that the service is available to the terminal 20.
  • the use authority determining unit 14 determines that the user cannot use the service. For example, when this authentication request is made from the terminal 20, the usage authority determining unit 14 may notify the terminal 20 of information indicating that the service is not available.
  • the process performed by the use authority determining unit 14 may be referred to as an authentication service.
  • the service ID authenticating means 11, the used service determining means 12, the authentication information managing means 13, and the use authority determining means 14 are realized by a CPU of a computer that operates according to a program (authentication program).
  • the program is stored in a storage unit (not shown) of the authentication server 10, and the CPU reads the program, and in accordance with the program, the service ID authenticating unit 11, the used service determining unit 12, the authentication information managing unit 13, and The usage authority determination unit 14 may operate.
  • each of the service ID authentication unit 11, the use service determination unit 12, the authentication information management unit 13, and the use authority determination unit 14 may be realized by a dedicated device.
  • the authentication information storage means 15, the policy storage means 16, and the management information storage means 17 are each realized by a magnetic disk or a hard disk device. Further, the authentication information storage unit 15, the policy storage unit 16, and the management information storage unit 17 may be provided in different devices, or may be provided in the same device.
  • FIG. 2 is an explanatory diagram illustrating an example of a data flow.
  • the service ID described in white characters illustrated in FIG. 2 indicates encrypted data before being authenticated. Also, the service ID written in black indicates decrypted data after authentication.
  • the key ID here is a service ID stored in the IC card or the authentication LSI.
  • the terminal 20 reads the physical ID and the encrypted service ID from the IC card or the authentication LSI.
  • the terminal 20 also reads the service ID of the module incorporated in the terminal. Then, the terminal 20 transmits the physical ID and the encrypted service ID to the authentication server 10 in a predefined order.
  • the service ID authenticating means 11 that performs physical authentication determines the validity of the service ID (that is, authentication processing) by decrypting the encrypted service ID.
  • the service ID authenticating unit 11 sets the determination result to the physical authentication status and transmits it to the use service determining unit 12.
  • the service use determination means 12 that performs ID handling determines whether or not the service can be used based on the physical ID. When the use service determination unit 12 determines that the service can be used, the use service determination unit 12 transmits the service ID and the physical authentication status to the authentication information management unit 13.
  • the authentication information management means 13 that performs ID authentication / management stores the service ID, physical authentication status, and key ID attribute information received from the use service determination means 12 in the authentication information storage means 15.
  • the use authority determining means 14 for performing the authentication service determines the use authority of the service used by the user based on a predetermined policy.
  • FIG. 3 is an explanatory diagram showing another example of the data flow.
  • the contents of each item shown in FIG. 3 are the same as the contents shown in FIG.
  • the key ID is a physical ID (that is, only the key physical ID).
  • This process is performed, for example, when an inexpensive IC card or RFID tag is selected as the authentication card.
  • the terminal 20 reads the physical ID from the IC card or the RFID tag.
  • the terminal 20 also reads the service ID of the module incorporated in the terminal. Then, the terminal 20 transmits the physical ID and the encrypted service ID to the authentication server 10 in a predefined order.
  • the service ID authenticating means 11 that performs physical authentication determines the validity of the service ID (that is, authentication processing). Further, the service ID authenticating means 11 performs copying as a service ID that uses a physical ID as a key ID. Note that a status indicating “not implemented” may be set as the physical authentication status here. Then, the service ID authenticating unit 11 sets the determination result for each service ID in the physical authentication status, and transmits it to the use service determining unit 12. The subsequent processing is the same as the ID handling, ID authentication, and authentication service shown in FIG.
  • FIG. 4 is a sequence diagram illustrating an example of authentication processing of the authentication system according to the present embodiment.
  • the terminal built-in device 30 or the external connection device 40 is stored in the identification information storage means 51. Read the physical ID and service ID. Then, the terminal built-in device 30 or the external connection device 40 notifies the authentication request instruction means 22 of the physical ID and the service ID.
  • the authentication request instruction unit 22 Upon receiving the notification including the physical ID and the service ID, the authentication request instruction unit 22 instructs the identification information extraction unit 21 to extract the service ID from the identification information storage unit of each device. At this time, the authentication request instructing unit 22 instructs the identification information extracting unit 21 to specify the order of the key ID and the service ID of the other medium or device to be authenticated.
  • the authentication target in this embodiment is the IC card 50 and the terminal built-in device 30 or the external connection device 40.
  • the order of the service ID is the order of the service ID of the IC card 50 and the service ID of the terminal built-in device 30 or the external connection device 40.
  • the key ID is the service ID of the IC card 50.
  • the identification information extraction unit 21 extracts a service ID from the identification information storage unit of each device, and requests physical authentication processing from the service ID authentication unit 11 of the authentication server 10 (step S12). That is, when the identification information extracting unit 21 transmits a service ID to the service ID authenticating unit 11, the service ID authenticating unit 11 determines validity for each service ID. Further, the identification information extraction unit 21 transmits a physical ID to the service ID authentication unit 11.
  • the service ID authenticating means 11 transfers the validity determination result (authentication result) to the use service determining means 12 using HTTP (Hypertext Transfer Protocol) (step S13). At this time, the service ID authenticating unit 11 collects information used for one authentication trigger and transmits the information to the use service determining unit 12.
  • HTTP Hypertext Transfer Protocol
  • the service utilization determination unit 12 determines whether or not the service can be used based on the physical ID received from the service ID authentication unit 11. Then, the use service determination unit 12 transmits the authentication result to the authentication information management unit 13 based on the determination result. That is, the use service determination unit 12 performs ID handling (step S14).
  • the authentication information management unit 13 updates the information stored in the authentication information storage unit 15 based on the service ID received from the use service determination unit 12 and the contents of the authentication result (step 15).
  • the authentication information management means 13 stores the information received from the use service determination means 12 in the authentication information storage means 15 using the service ID (for example, employee ID number) stored in the IC card 50 as a key ID.
  • the usage authority determination unit 14 determines the service usage authority of the user based on the policy stored in the policy storage unit 16 (step S16). Then, the use authority determining unit 14 transmits the service use authority determination result to the terminal 20 via the authentication information managing unit 13, the use service determining unit 12, and the service ID authenticating unit 11 (steps S17 to S20). Thereafter, the terminal 20 performs processing using the service directly (step S21).
  • FIG. 5 is a sequence diagram illustrating another example of the authentication process. Since the processing from step S11 to step S16 in which the usage authority determining unit 14 determines the service usage authority of the user after the authentication request from the user is made is the same as the content illustrated in FIG. Detailed description is omitted.
  • the use authority determining means 14 determines the service use authority of the user, and then notifies the service side of authentication information indicating the determination result (step S22). Then, when the service side notifies the use authority determination unit 14 of the result of the processing based on the authentication information (step S23), the use authority determination unit 14 sends the process result of the service to the authentication information management unit 13, the use service determination unit 12, Then, it is transmitted to the terminal 20 via the service ID authenticating means 11 (steps S17a to S20a). Thereafter, the process is performed by the terminal 20 using the service directly (step S21a).
  • FIG. 6 is a sequence diagram illustrating still another example of the authentication process. Note that the processing from step S11 to step S15 for storing the information received by the authentication information management means 13 in the authentication information storage means 15 after the authentication request from the user is made is the same as the contents illustrated in FIG. Therefore, detailed description is omitted.
  • the authentication information management means 13 notifies the terminal 20 of information indicating that the information is stored in the authentication information storage means 15 to the terminal 20 via the use service determination means 12 and the service ID authentication means 11 (steps S31 to S33). Thereafter, when the usage authority determining unit 14 receives a service ID authentication request asynchronously from the service side (step S34), the usage authority determining unit 14 stores the service ID stored in the authentication information storage unit 15 and the policy storage unit 16 in the service ID. The authentication policy management unit 13 is requested for the stored policy (step S35). When the authentication information management unit 13 returns the ID information to the usage authority determination unit 14 (step S36), the usage authority determination unit 14 authenticates the user based on the information. Then, the use authority determining unit 14 returns the determination result to the service side (step S37).
  • the identification information extracting unit 21 transmits the physical ID and the service ID to the authentication server 10. Specifically, the identification information extracting unit 21 determines a physical ID of a predetermined medium or device among one or more media or devices used for authentication and a predetermined value in the medium or device used for the authentication. One or more service IDs are transmitted to the authentication server 10.
  • the service ID authenticating unit 11 determines the validity of each received service ID, and the used service determining unit 12 uses a medium or device identified by the physical ID based on the received physical ID. It is determined whether or not it is available. If it is determined that the service can be used, the authentication information management unit 13 stores at least the service ID and the determination result of the validity of the service ID in the authentication information storage unit 15 in association with the key ID. Based on the policy, the usage authority determination unit 14 determines the usage authority of the service used by the user from the service ID associated with the key ID stored in the authentication information storage unit 15 and the determination result of the service ID. To do.
  • the authentication system of the present embodiment can perform authentication control based on information specified from the environment using the service.
  • non-rewritable information that ensures uniqueness and encrypted rewritable information are used in combination. In this way, security can be improved and flexible authentication can be performed as compared with the case of using only rewritable information or only information that cannot be rewritten.
  • the result of determining the validity of each service ID is stored in the authentication information storage means 15.
  • the information stored in the authentication information storage unit 15 is compared with the policy, so that the authority to use the service is determined.
  • the contents of this policy can be changed dynamically according to the service availability range. For example, even if some service IDs are not legitimate, if the service side determines that authentication of the service ID is unnecessary, such a policy may be established. Become. As long as the policy is information that can be acquired when an authentication request is made, an arbitrary requirement can be set. That is, the authentication system of the present embodiment can dynamically perform authentication control.
  • Embodiment 2 a second embodiment of the authentication system according to the present invention will be described.
  • available services are specified.
  • FIG. 7 is a block diagram showing a configuration example of the second embodiment of the authentication system according to the present invention.
  • symbol same as FIG. 1 is attached
  • subjected and description is abbreviate
  • the authentication system in the present embodiment also includes an authentication server 10 and a terminal 20. Each authentication server 10 and each terminal 20 are connected to each other via the communication network 100.
  • the terminal 20 includes identification information extraction means 21a, authentication request instruction means 22a, identification information storage means 23, and selection service reception means 24.
  • the terminal built-in device 30 including the identification information storage unit 31 and the external connection device 40 including the identification information storage unit 41 are connected to the terminal 20. That is, the terminal 20 in the present embodiment includes the identification information extraction unit 21 a instead of the identification information extraction unit 21, and includes the authentication request instruction unit 22 a instead of the authentication request instruction unit 22. Different from the terminal 20. Further, the terminal 20 in the present embodiment is different from that in the first embodiment in that it includes a selection service receiving unit 24. Other contents are the same as those in the first embodiment.
  • the authentication request instruction means 22a instructs the identification information extraction means 21a to extract the service ID from the identification information storage means included in each device, like the authentication request instruction means 22 in the first embodiment. Further, the authentication request instruction unit 22a holds terminal-specific information, like the authentication request instruction unit 22 in the first embodiment.
  • the target device from which the service ID is extracted is determined based on terminal-specific information for each service used by the user.
  • an identifier for identifying a service is referred to as an application code or an application CD.
  • the application CD is determined in advance by the provider of the authentication system so as to be unique for each service with which the authentication system cooperates.
  • a plurality of services can be selectively activated with one ID.
  • the target device from which the service ID is extracted is determined in advance in, for example, a setting file in association with the application CD.
  • the service used by the user can be identified by adding the application CD to the user identification information as well as the user identification information.
  • the authentication request instruction means 22a instructs the identification information extraction means 21a to extract a service ID corresponding to the service used by the user.
  • the authentication request instruction unit 22a may determine a service to be used based on a service instruction method by the user. For example, when the user requests the service by holding the IC card 50 over the terminal built-in device 30 or the external connection device 40, the user requests a service for performing the processing illustrated in FIG. The service may be specified. Further, for example, when the user turns on the terminal 20, the authentication request instructing unit 22a may specify that the service requested by the user is a service for performing the process illustrated in FIG. Note that the method of determining which service the user uses is not limited to the above method.
  • a user requests a service by holding the IC card 50 over the terminal built-in device 30 or the external connection device 40 in a plurality of services.
  • the terminal 20 displays a plurality of services that can be used on a display unit (not shown), and one of the selection service receiving means 24 described later is selected by the user. Service may be accepted.
  • the authentication request instructing unit 22a may instruct the identification information extracting unit 21a to extract the service ID defined by the selected service.
  • the selection service reception means 24 receives selection of a service used by the user. Specifically, when there are a plurality of services using the terminal 20, the selected service receiving unit 24 receives the service selected by the user and notifies the authentication request instructing unit 22a of the service. At this time, the authentication request instructing unit 22a instructs the identification information extracting unit 21a to extract a predetermined service ID for the service received by the selected service receiving unit 24.
  • the service used by the user may be uniquely determined depending on the form of the request. For example, when it is determined that “the service used when the IC card 50 is held over the card reader is the A service”, when the IC card 50 is held over the card reader, an explicit service by the user is provided. There is no need to choose. In this case, the terminal 20 may not include the selection service receiving unit 24.
  • the identification information extraction unit 21a extracts a service ID from the identification information storage unit included in each device (specifically, the terminal 20, the terminal built-in device 30 or the external connection device 40) in response to an instruction from the authentication request instruction unit 22a. To do. Then, the identification information extracting unit 21a transmits to the authentication server 10 an application CD that identifies a combination of one or more service IDs predetermined for each service, a physical ID, and a service for which a user makes an authentication request. . The application CD is used to identify a service requested by the user.
  • the identification information extraction unit 21a and the authentication request instruction unit 22a are realized by a CPU of a computer that operates according to a program.
  • the program may be stored in a storage unit (not shown) of the terminal 20, and the CPU may read the program and operate as the identification information extraction unit 21a and the authentication request instruction unit 22a according to the program.
  • the authentication server 10 includes a service ID authentication unit 11a, a use service determination unit 12a, an authentication information management unit 13a, a use authority determination unit 14a, an authentication information storage unit 15a, a policy storage unit 16, and a management information storage unit. 17 and the like.
  • the contents of the management information storage unit 17 are the same as those in the first embodiment, and a detailed description thereof will be omitted.
  • the service ID authenticating unit 11a determines the validity for each received service ID, like the service ID authenticating unit 11 in the first embodiment. Further, the service ID authenticating unit 11a notifies the use service determining unit 12a of the information added with the authentication result for each service ID, the physical ID, and the application CD.
  • the usage service determination unit 12a is based on the physical ID received from the service ID authentication unit 11a and uses a medium or device identified by the physical ID. Judge availability. Specifically, when the combination of the received physical ID and the application CD is stored in the management information storage unit 17, the use service determination unit 12a uses a medium or device identified by the physical ID. Is determined to be acceptable. Then, the use service determination unit 12a determines the transmission destination of the service ID based on the application CD received from the service ID authentication unit 11a. That is, the usage service determination unit 12a performs ID handling based on the application CD.
  • the service ID is transmitted to the device that provides the service specified by the application CD.
  • different devices performing processing include not only a case where each device is physically different, but also a case where a physically identical device is virtually divided into a plurality of devices.
  • the rule that defines the correspondence between the application CD and the service ID transmission destination is stored in advance in the management information storage unit 17, and the use service determination unit 12a transmits the service ID to the transmission destination identified based on the rule. To do.
  • the use service determination unit 12a may specify a company based on the physical ID code system.
  • a physical ID group and information indicating a company (tenant) may be stored in the management information storage unit 17 in advance. Then, the service utilization determining unit 12a may transmit the service ID to the transmission destination (tenant) specified based on the association. By performing authentication processing based on such settings, it becomes possible to provide a public cloud service to be described later.
  • the authentication information storage unit 15a stores the service ID and the authentication result included in one authentication request transmitted from the terminal 20 in association with the key ID, similarly to the authentication information storage unit 15 in the first embodiment. At this time, the authentication information storage unit 15a also stores the application CD included in each authentication request in association with the key ID. Since the authentication information storage unit 15a stores the application CD together with the authentication request, it is possible to identify which service the user has requested for authentication.
  • the terminal 20 and the authentication server 10 (more specifically, the authentication information management unit 13a) share the authentication target service ID and the order of the service ID specified by the application CD.
  • the content stored in the authentication information storage unit 15a and the content of the terminal specific information held in the authentication request instruction unit 22a may be made the same. In this way, it is possible to determine which service ID the terminal 20 should transmit for each application CD, and it is possible to determine which service ID the authentication server 10 receives for each application CD.
  • the authentication information management unit 13a stores the application CD in the authentication information storage unit 15a together with the service ID and the authentication result received from the use service determination unit 12a. Specifically, the authentication information management unit 13a stores the received application CD in the authentication information storage unit 15a in association with the key ID.
  • the other functions are the same as the functions provided in the authentication information management unit 13 in the first embodiment.
  • the policy storage unit 16 stores a policy that defines whether or not a service can be used according to at least a combination with a service ID or an authentication result, as in the first embodiment.
  • the policy storage unit 16 may store an application CD that identifies a service for which usage authority is determined.
  • the policy storage means 16 can be shared for each service.
  • the policy storage unit 16 stores a policy that defines whether the service can be used for each tenant. In this case, what is necessary is just to prescribe
  • information for identifying each tenant may be included in the application CD. That is, the application CD may include information for identifying each tenant. If the application CD is allocated with a code system combining the service and the tenant, the service and the tenant can be uniquely identified by referring to the application CD.
  • the usage authority determination unit 14a is associated with the key ID stored in the authentication information storage unit 15a based on the policy stored in the policy storage unit 16 as in the usage authority determination unit 14 in the first embodiment.
  • the service use authority of the user is determined from the service ID and the authentication result.
  • the usage authority determining unit 14a determines the usage authority of the user for the service identified by the application CD. For example, when the application CD and the key ID are received from the service side, the use authority determining unit 14a makes a determination based on the policy and the information stored in the authentication information storage unit 15a, and returns the authentication result to the service side. .
  • the service ID authentication unit 11a, the usage service determination unit 12a, the authentication information management unit 13a, and the usage authority determination unit 14a are realized by a CPU of a computer that operates according to a program (authentication program). Further, each of the service ID authenticating unit 11a, the usage service determining unit 12a, the authentication information managing unit 13a, and the usage authority determining unit 14a may be realized by a dedicated device.
  • the operation of the authentication system according to the present embodiment is different from the authentication system according to the first embodiment in that an application CD for identifying a service to be used is transmitted and received. Since other than that is the same as that of 1st Embodiment, detailed description is abbreviate
  • the identification information extraction unit 21a transmits the combination of the service ID corresponding to the service for which the user requests authentication and the physical ID to the authentication server 10 in association with the application CD.
  • the authentication information management unit 13a stores the service ID and the determination result in the authentication information storage unit 15a in association with the key ID and the application CD.
  • the usage authority determining unit 14a determines the usage authority of the user for the service identified by the application CD. Therefore, in addition to the effects of the first embodiment, even when there are a plurality of services available to the user, authentication processing can be performed for each service.
  • a plurality of companies (hereinafter sometimes referred to as multi-tenants) use a plurality of services (hereinafter also referred to as multi-services). Therefore, there may be a plurality of tenants using the same service.
  • the hardware resource is virtually divided for a plurality of tenants. Therefore, it is not necessary to input new hardware resources every time the number of tenants increases, so that even if the number of tenants increases, it becomes possible to flexibly cope with the increase.
  • FIG. 8 is an explanatory diagram showing an example of a cloud system to which the authentication system according to the present invention is applied.
  • the cloud system illustrated in FIG. 8 includes a SaaS layer 160 that provides a plurality of services (service 61 to service 63) via the Internet and a PaaS layer 110 that provides a platform for executing services via the Internet.
  • the PaaS layer 110 corresponds to the authentication server 10 in the first embodiment.
  • the terminal 120 accesses the PaaS layer 110.
  • a module 130 is connected to the terminal 120.
  • the user makes an authentication request by holding the IC card (or RFID tag) 150 over the module 130.
  • a SmartMX (registered trademark) chip hereinafter referred to as an SMX chip
  • Mifare as a communication standard is used for the LSI incorporated in the terminal 120, the module 130, and the IC card 150.
  • the terminal 120 has an application CD for identifying a plurality of services, an authentication target (specifically, a service ID), a key ID, and a data order required for the service.
  • the key ID is the head data of the data to be transmitted.
  • the position of the key ID is not limited to the top. If the order of data is determined between the terminal 120 and the PaaS layer 110, the position of the key ID may not be the top.
  • the module 130 reads the service ID for identifying the user stored in the SMX chip 151 built in the IC card 150.
  • the module 130 includes an SMX chip 131, and a service ID for identifying the module is stored in the SMX chip 131.
  • the terminal 120 reads the service ID stored in the SMX chip 131.
  • the terminal 120 may read the service ID stored in the SMX chip 123 built in itself.
  • the terminal 120 sends a service ID authentication request by transmitting these service IDs to the physical authentication layer 111.
  • two service IDs stored in the SMX chip 131 and a service ID stored in the SMX chip 151 are transmitted to the physical authentication layer 111 as service IDs.
  • the PaaS layer 110 includes an integrated database 117 (hereinafter referred to as “integrated DB 117”) and an authentication database 118 (hereinafter referred to as “authentication DB 118”).
  • integrated DB 117 corresponds to the management information storage unit 17 in the first embodiment.
  • authentication DB 118 corresponds to the authentication information storage unit 15 in the first embodiment.
  • the PaaS layer 110 can be divided into a virtual layer 115 and a real layer 116.
  • the real layer 116 includes a physical authentication layer 111.
  • the physical authentication layer 111 corresponds to the service ID authentication unit 11 in the first embodiment.
  • the virtual layer 115 includes an ID handling layer 112, an ID authentication layer 113, and an authentication service layer 114.
  • the ID handling layer 112 corresponds to the usage service determination unit 12 in the first embodiment.
  • the ID authentication layer 113 corresponds to the authentication information management unit 13 in the first embodiment.
  • the authentication service layer 114 corresponds to the usage authority determination unit 14 in the first embodiment.
  • a Daas (Desktop-as-a-Service) service and the other is a service (hereinafter referred to as a printing service) performed at a timing when a print instruction and an output instruction are different.
  • a printing service a service performed at a timing when a print instruction and an output instruction are different.
  • a combination of the physical ID of the IC card and the service ID stored in the IC card is used as a key ID.
  • the service ID of the IC card is, for example, the employee number of the user that is encrypted and stored in SMX.
  • the physical ID is, for example, a Mifare UID of an SMX chip. Examples of physical IDs include IDm in Felica (registered trademark). For example, the physical ID is burned onto the chip at the time of manufacture, and is given to each chip in a non-rewritable state.
  • FIG. 9 is a sequence diagram showing an operation example of the authentication system when the user uses the DaaS service.
  • the user who uses the cloud system holds the IC card 150 over the reader / writer (here, the module 130), and an authentication request is made (step S41). Specifically, an authentication request is made at the timing when the user logs in to DaaS.
  • an authentication request to the physical authentication layer 111 is made.
  • two service IDs of the IC card 150 and the reader / writer are authentication targets.
  • the reader / writer service ID is, for example, a reader / writer ID issued by a vendor or the like that is encrypted and stored in the SMX.
  • the physical ID is, for example, SMX IDm.
  • the terminal 120 repeats the physical authentication request to the physical authentication layer 111 by the number of service IDs (here, twice) (step S42).
  • the physical authentication layer 111 authenticates each service ID, and collectively transmits the service ID, physical ID, and application CD requested to be authenticated once to the ID handling layer 112.
  • the physical authentication layer 111 transfers the validity determination result (authentication result) to the upper ID handling layer 112 using HTTP (step S43).
  • the ID handling layer 112 performs ID handling that distributes the received service ID to each tenant based on the application CD and the key physical ID transferred from the physical authentication layer 111. Specifically, if the tenants are different, the ID handling layer 112 handles the service ID to the server of the ID authentication layer 113 identified by a different URL (step S44).
  • the ID authentication layer 113 updates the content of the authentication DB 118 using the service ID received from the ID handling layer 112 (step S45).
  • the ID authentication layer 113 manages authentication data for each combination of the application CD and the key ID.
  • the key ID is set for each application CD.
  • the ID authentication layer 113 manages authentication data for each combination of an application CD (specifically, an application CD that identifies a DaaS service) and an employee ID number.
  • the ID authentication layer 113 deletes the old service ID corresponding to each authentication trigger and manages only the latest service ID.
  • the ID authentication layer 113 may delete the service ID stored in the authentication DB 118 at an explicit trigger from the terminal 120.
  • Explicit triggers include, for example, the timing when the logout button is pressed in the application of the terminal 120, or when the employee ID is released from the reader / writer in a service that can be used only while reading the employee ID. Further, the ID authentication layer 113 may delete the service ID after a certain time has elapsed (that is, at the time of timing out).
  • the ID authentication layer 113 requests the authentication service layer 114 to authenticate the user by confirming the policy (step S46).
  • the authentication service layer 114 determines whether the user can use the DaaS service based on the policy. If the authentication service layer 114 determines that the DaaS service can be used, the authentication service layer 114 issues a ticket when using the DaaS service, and the ID authentication layer 113 receives the ticket and information indicating a connection destination when using the DaaS service.
  • the data is transmitted to the terminal 120 via the ID handling layer 112 and the physical authentication layer 111 (steps S47 to S50).
  • the user is authenticated using the ticket issued by the authentication service layer 114. For this reason, for example, security can be further improved as compared with the case where the login ID is transmitted as it is.
  • the terminal 120 uses a linked service using a protocol such as RDP (Remote Desktop Protocol) or ICA (Independent Computing Architecture).
  • a protocol such as RDP (Remote Desktop Protocol) or ICA (Independent Computing Architecture).
  • the ID authentication layer 113 provides a service ID corresponding to the request as a service. Return to the provider (step S52).
  • the information returned by the ID authentication layer 113 is not limited to the service ID.
  • the ID authentication layer 113 may return information such as a login ID used in the service to the service providing side based on the received ticket.
  • FIG. 10 is a sequence diagram illustrating an operation example of the authentication system when the user uses the printing service.
  • the user who uses the cloud system holds the IC card 150 over the reader / writer (here, the module 130), and an authentication request is made (step S41). Specifically, the authentication request is made at the timing when the user prints out the print data. Thereafter, the contents of steps S42 to S46 from when the authentication request is made to the physical authentication layer 111 until the authentication service layer 114 authenticates the user are the same as the contents illustrated in FIG.
  • the authentication service layer 114 determines whether the user can use the printing service based on the policy. If the authentication service layer 114 determines that the printing service is available, the authentication service layer 114 transmits information used for authentication to the service providing side (step S61).
  • the service provider side displays a job list screen or job screen display destination URL that can be executed by the user based on the authentication information via the authentication service layer 114, the ID authentication layer 113, the ID handling layer 112, and the physical authentication layer 111.
  • the terminal 120 issues a print instruction with reference to the job list screen or the screen displayed in the display destination URL.
  • the ID authentication layer 113 that has received the service ID from the ID handling layer 112 performs authentication based on the service ID. After receiving the service ID from the ID handling layer 112, the ID authentication layer 113 may request the terminal 120 again for information necessary for user authentication.
  • FIG. 11 is an explanatory diagram showing an operation example in which information is transmitted from the terminal to the ID authentication layer.
  • the terminal receives a transmission request for information necessary for the user from the ID authentication layer 113
  • the terminal acquires a feature point of each information using a module for reading a fingerprint or a vein or a module for extracting a face image.
  • the terminal transmits information indicating the feature point to the ID authentication layer 113.
  • the ID authentication layer 113 stores the received information and the service ID already received in the authentication DB 118 in association with the key ID. By storing such information in the authentication DB 118, the authentication service layer 114 can perform authentication more dynamically.
  • FIG. 12 is a block diagram showing an example of the minimum configuration of the authentication system according to the present invention.
  • the authentication system according to the present invention includes an authentication server 80 (for example, the authentication server 10) that authenticates a user who uses a service, and an authentication request terminal 90 (for example, a terminal) that makes a service authentication request to the authentication server 80. 20).
  • an authentication server 80 for example, the authentication server 10
  • an authentication request terminal 90 for example, a terminal
  • the authentication request terminal 90 is an identification that can uniquely identify a medium (for example, an IC card 50) or a device (for example, the terminal built-in device 30, the external connection device 40, or the terminal 20) used for authentication of a user who uses the service.
  • An identification information transmission unit 91 (for example, identification information extraction unit 21) is provided that transmits a physical ID that is information and a service ID that is identification information determined for each medium or each device type to the authentication server 80. .
  • the authentication server 80 includes a validity determination unit 81 (for example, the service ID authentication unit 11) for determining the validity of each received service ID, and a medium or device identified by the received physical ID based on the received physical ID.
  • Service availability determination means 82 (for example, usage service determination means 12) that determines whether or not a service using a service is used, and when it is determined that a service using a medium or a device can be used, A combination of one or more service IDs that can identify one authentication request by the user is used as a key ID, and at least the service ID and the determination result of the service ID by the validity determination unit 81 are associated with the key ID, and the authentication information storage unit 83 (for example, authentication information management means 15) stored in the authentication information management means 84 (for example, authentication information management means 15) 13) and a service ID associated with the key ID stored in the authentication information storage unit 83 and a determination result of the service ID based on a policy that defines a service available range according to at least a combination of service IDs
  • the identification information transmitting means 91 of the authentication requesting terminal 90 includes a physical ID of a predetermined medium or device among one or more media or devices used for authentication, and a predetermined value in the medium or device used for the authentication.
  • the one or more service IDs thus transmitted are transmitted to the authentication server 80.
  • the identification information transmission unit 91 of the authentication request terminal 90 includes a combination of one or more service IDs and a physical ID that are predetermined for each service, and a combination of service IDs corresponding to the service for which the user requests authentication.
  • the physical ID may be transmitted to the authentication server 80 in association with an application code (application CD) that is an identifier for identifying the service.
  • the authentication information management unit 84 of the authentication server 80 may store at least the service ID and the determination result of the service ID by the validity determination unit 81 in the authentication information storage unit 83 in association with the key ID and the application code.
  • the use authority determining unit 85 of the authentication server 80 may determine the user's use authority for the service identified by the application code.
  • Such a configuration makes it possible to perform authentication processing for each service even when there are multiple services available to the user.
  • the authentication request terminal 90 may include selection service reception means (for example, selection service reception means 24) for receiving selection of a service used by the user. Then, the identification information transmitting unit 91 of the authentication requesting terminal 90 associates the application code for identifying the service received by the selected service receiving unit with one or more combinations of service IDs and physical IDs predetermined for the service. May be transmitted to the authentication server 80.
  • selection service reception means for example, selection service reception means 24
  • the identification information transmitting unit 91 of the authentication requesting terminal 90 associates the application code for identifying the service received by the selected service receiving unit with one or more combinations of service IDs and physical IDs predetermined for the service. May be transmitted to the authentication server 80.
  • the authentication request terminal 90 reads a service ID that is read in an encrypted state in a tamper-resistant storage unit (for example, an identification information storage unit, an authentication LSI) included in each medium or each device. Means (for example, identification information extraction means 21) may be provided. Then, the identification information transmission unit 91 of the authentication request terminal 90 may transmit the encrypted service ID to the authentication server 80. The validity determination unit 81 of the authentication server 80 may determine the validity of the service ID by decrypting each encrypted service ID.
  • a tamper-resistant storage unit for example, an identification information storage unit, an authentication LSI
  • Means for example, identification information extraction means 21
  • the validity determination unit 81 of the authentication server 80 may determine the validity of the service ID by decrypting each encrypted service ID.
  • the authentication information management unit 84 of the authentication server 80 performs information processing indicating the network or time at which the service authentication request is made by the user (for example, network identification information, date and time when the user requested authentication, and authentication processing). May be stored in the authentication information storage unit 83 in association with the key ID. Then, the use authority determination unit 85 of the authentication server 80 stores the authentication information storage unit 83 based on a policy that defines a service available range according to at least information indicating the network or time and a combination of service IDs. The use authority of the service used by the user may be determined from the service ID associated with the key ID, the determination result of the service ID, and information indicating the network or time.
  • the identification information transmitting unit 91 of the authentication requesting terminal 90 receives user identification information (for example, a feature point of a fingerprint or a vein or a feature point of a face image) specified by a human physical feature or behavioral feature. You may transmit to the authentication server 80. Then, the authentication information management unit 84 of the authentication server 80 may store the user identification information in the authentication information storage unit 83 in association with the key ID. Further, the use authority determining unit 85 of the authentication server 80 may determine the use authority of the service used by the user based on the identification information of the user.
  • the authentication information management unit 84 of the authentication server 80 may delete information that has been stored for a certain period after being stored in the authentication information storage unit 83.
  • the authentication information management means 84 of the authentication server 80 When the authentication information management means 84 of the authentication server 80 receives an authentication request identified by the same key ID already stored in the authentication information storage means 83, the information corresponding to the key ID is used as the authentication request. You may update with the information contained.
  • FIG. 13 is a block diagram showing an example of the minimum configuration of the authentication server according to the present invention.
  • the authentication server according to the present invention stores in the authentication information storage unit 83 the validity determination unit 81, the service availability determination unit 82, and at least the service ID and the determination result of the validity of the service ID in association with the key ID.
  • Authentication information management means 84 and use authority determination means 85 are provided.
  • the contents of the validity determination unit 81, the service availability determination unit 82, the authentication information storage unit 83, the authentication information management unit 84, and the use authority determination unit 85 are the same as those of the configuration included in the authentication server 80 illustrated in FIG. It is. Even with such a configuration, it is possible to dynamically perform advanced authentication control according to the environment in which the user uses the service.
  • the present invention is preferably applied to an authentication system for authenticating a user who uses a service.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)

Abstract

　正当性判定手段８１は、受信した各サービスＩＤの正当性を判定する。サービス利用可否判定手段８２は、受信した物理ＩＤに基づいて、その物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定する。認証情報管理手段８４は、少なくともサービスＩＤおよび正当性判定手段８１によるそのサービスＩＤの判定結果をキーＩＤと対応づけて認証情報記憶手段８３に記憶する。利用権限判定手段８５は、少なくともサービスＩＤの組合せに応じてサービスの利用可能範囲を定めたポリシに基づいて、認証情報記憶手段８３に記憶されたキーＩＤに対応づけられたサービスＩＤおよびそのサービスＩＤの判定結果から、利用者が利用するサービスの利用権限を判定する。

Description

認証システム、認証サーバ、認証方法および認証用プログラム
　本発明は、サービスを利用する利用者の認証を行う認証システム、認証サーバ、認証方法および認証用プログラムに関する。
　近年、インターネットを通じて提供されるサービスやストレージなどのコンピュータリソースを、ユーザがその所在を意識することなく利用できる形態の一つとしてクラウドコンピューティングが知られている。
　クラウドコンピューティングでは、仮想化技術やデータ分散処理技術などの最新の技術を用いて多くのサーバ群を組み合わせることで、様々なサービスの提供を可能としている。その一方、クラウドコンピューティングでは、数多くのデータが集中して管理されるため、これらのデータを守る、より強固な仕組みが求められている。
　クラウドコンピューティングを用いて提供される数多くのサービスをユーザが利用する場合、一般に、サービス側がユーザ認証を行って利用権限のあるユーザのみアクセスを許可する方法が用いられる。例えば、サービスを利用するユーザがインターネットブラウザ等を介してＩＤとパスワードを入力すると、サービス側では、そのＩＤとパスワードの認証を行い、サービスの利用可否を判断する。
　また、ユーザの識別情報を記憶するＩＣチップが内蔵されたＩＣカードをカードリーダに読み取らせることで、ユーザを認証する方法も知られている。また、ＩＣカードの利用者が正当な利用者であることを担保するため、ＩＣカードの読み取りとともにパスワードを要求する方法も知られている。
　このような認証システムの一例が特許文献１に記載されている。特許文献１に記載された認証システムは、利用者端末が、ＩＣカードリーダと、ＩＣカードリーダを制御してＩＣカードから利用者ＩＤを読み取るためのＩＤ読取プログラムを記憶する記憶装置とを備えている。そして、サービスを提供するポータルサーバが、ＩＤ読取プログラムを起動するコマンドを利用者端末に送信すると、利用者端末は、ＩＣカードリーダから利用者ＩＤを取得し、取得した利用者ＩＤをポータルサーバに送信する。ポータルサーバは、利用者端末から送信される利用者ＩＤに基づいて利用者の認証を行う。また、特許文献１に記載された認証システムは、利用者ＩＤを表示するとともに利用者の認証情報を入力する認証画面を表示して、パスワードを入力させる。
特開２００８－９７２０５号公報
　クラウドコンピューティングによるサービスは、様々な場所から利用できるメリットがある反面、認証に必要な情報が漏洩してしまうと、どこからでも不正アクセスされる恐れがある。このような不正アクセスが行われると、クラウド上の情報が漏洩してしまうという問題がある。
　ウェブブラウザ等に入力する利用者のＩＤは、利用者に配布することが容易な一方で、非常に漏洩しやすい情報である。すなわち、そのＩＤで識別される利用者以外の他人であっても、そのＩＤを使用することが可能である。そのため、他人がそのＩＤを入手すると、そのＩＤで識別される利用者に容易になりすますことが可能である。
　また、認証に使用されるパスワードも、漏洩の可能性がある情報であり、また、利用者の属性等からも推測可能な情報である。したがって、そのパスワードが利用者以外の他人に入手されてしまうと、その利用者に成り代わってサービスが不正に利用されてしまうおそれがある。
　一方、ＩＣカードのような物理的な媒体を利用する認証方法では、その媒体がなければ認証が行われないため、セキュリティを向上させる上で非常に有効な方法である。すなわち、ＩＤやパスワードのような、いわゆるソフトウェア的な情報は、他人が入手しやすい情報である一方、ＩＣカードのように物理的に存在するものは、他人の入手が困難なものであると言える。
　しかし、盗難や紛失等によりＩＣカードが他人の手に渡ってしまう場合も考えられる。この場合、例えば、利用が許可されていないカードリーダ等を介してＩＣカード内のＩＤが読み取られることで、不正に個人認証が行われ、本人に成り代わってクラウド上のサービスにアクセス出来てしまうことになる。
　特許文献１に記載された認証システムのように、ＩＣカードによる個人認証と合わせてパスワードの入力を求めることで、他人の不正アクセスをある程度回避することは可能である。しかし、上述したように、パスワードも他人が入手しやすい情報であるため、ＩＣカードとパスワードの組合せだけでは、十分なセキュリティを確保できるとは言い難い。そのため、利用者個人の認証だけでなく、利用者が現実に利用する環境まで含めた高度な認証制御が望まれる。
　さらに、クラウドコンピューティングでは様々なサービスが提供される。各サービスで必要とされる認証のレベルは一般に異なるため、各サービスの認証方法も動的に変更できることが望ましい。
　そこで、本発明は、利用者がサービスを利用する環境に応じた高度な認証制御を動的に行うことができる認証システム、認証サーバ、認証方法および認証用プログラムを提供することを目的とする。
　本発明による認証システムは、サービスを利用する利用者の認証を行う認証サーバと、認証サーバに対して、サービスの認証要求を行う認証要求端末とを備え、認証要求端末が、サービスを利用する利用者の認証に用いられる媒体または装置を一意に識別可能な識別情報である物理ＩＤと、各媒体または各装置の種類ごとに定められる識別情報であるサービスＩＤとを認証サーバへ送信する識別情報送信手段を備え、認証サーバが、受信した各サービスＩＤの正当性を判定する正当性判定手段と、受信した物理ＩＤに基づいて、その物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定するサービス利用可否判定手段と、媒体または装置を利用したサービスの利用が可能と判定された場合、受信したサービスＩＤのうち利用者による一認証要求を識別可能な１つ以上のサービスＩＤの組合せをキーＩＤとして、少なくともサービスＩＤおよび正当性判定手段によるそのサービスＩＤの判定結果をそのキーＩＤと対応づけて認証情報記憶手段に記憶する認証情報管理手段と、少なくともサービスＩＤの組合せに応じてサービスの利用可能範囲を定めたポリシに基づいて、認証情報記憶手段に記憶されたキーＩＤに対応づけられたサービスＩＤおよびそのサービスＩＤの判定結果から、利用者が利用するサービスの利用権限を判定する利用権限判定手段とを備え、認証要求端末の識別情報送信手段が、認証に用いられる１つ以上の媒体または装置のうち予め定められた媒体または装置の物理ＩＤと、その認証に用いられる媒体または装置における予め定められた１つ以上のサービスＩＤとを認証サーバへ送信することを特徴とする。
　本発明による認証サーバは、サービスの認証要求を行う認証要求端末から、そのサービスを利用する利用者の認証に用いられる媒体または装置を一意に識別可能な識別情報である物理ＩＤと、各媒体または各装置の種類ごとに定められる識別情報であるサービスＩＤとを受信したときに、その各サービスＩＤの正当性を判定する正当性判定手段と、受信した物理ＩＤに基づいて、その物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定するサービス利用可否判定手段と、媒体または装置を利用したサービスの利用が可能と判定された場合、受信したサービスＩＤのうち利用者による一認証要求を識別可能な１つ以上のサービスＩＤの組合せをキーＩＤとして、少なくともサービスＩＤおよび正当性認判定手段によるそのサービスＩＤの判定結果をそのキーＩＤと対応づけて認証情報記憶手段に記憶する認証情報管理手段と、少なくともサービスＩＤの組合せに応じてサービスの利用可能範囲を定めたポリシに基づいて、認証情報記憶手段に記憶されたキーＩＤに対応づけられたサービスＩＤおよびそのサービスＩＤの判定結果から、利用者が利用するサービスの利用権限を判定する利用権限判定手段とを備えたことを特徴とする。
　本発明による認証方法は、サービスを利用する利用者の認証を行う認証サーバに対して、サービスの認証要求を行う認証要求端末が、そのサービスを利用する利用者の認証に用いられる媒体または装置を一意に識別可能な識別情報である物理ＩＤと、各媒体または各装置の種類ごとに定められる識別情報であるサービスＩＤとを認証サーバへ送信し、認証サーバが、受信した各サービスＩＤの正当性を判定し、認証サーバは、受信した物理ＩＤに基づいて、その物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定し、認証サーバが、媒体または装置を利用したサービスの利用が可能と判定された場合、受信したサービスＩＤのうち利用者による一認証要求を識別可能な１つ以上のサービスＩＤの組合せをキーＩＤとして、少なくともサービスＩＤおよびそのサービスＩＤの正当性の判定結果をそのキーＩＤと対応づけて認証情報記憶手段に記憶し、認証サーバが、少なくともサービスＩＤの組合せに応じてサービスの利用可能範囲を定めたポリシに基づいて、認証情報記憶手段に記憶されたキーＩＤに対応づけられたサービスＩＤおよびそのサービスＩＤの判定結果から、利用者が利用するサービスの利用権限を判定し、認証要求端末が、物理ＩＤおよびサービスＩＤを送信する際、認証に用いられる１つ以上の媒体または装置のうち予め定められた媒体または装置の物理ＩＤと、その認証に用いられる媒体または装置における予め定められた１つ以上のサービスＩＤとを認証サーバへ送信することを特徴とする。
　本発明による認証用プログラムは、コンピュータに、サービスの認証要求を行う認証要求端末から、そのサービスを利用する利用者の認証に用いられる媒体または装置を一意に識別可能な識別情報である物理ＩＤと、各媒体または各装置の種類ごとに定められる識別情報であるサービスＩＤとを受信したときに、その各サービスＩＤの正当性を判定する正当性判定処理、受信した物理ＩＤに基づいて、その物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定するサービス利用可否判定処理、媒体または装置を利用したサービスの利用が可能と判定された場合、受信したサービスＩＤのうち利用者による一認証要求を識別可能な１つ以上のサービスＩＤの組合せをキーＩＤとして、少なくともサービスＩＤおよびそのサービスＩＤの正当性の判定結果をそのキーＩＤと対応づけて認証情報記憶手段に記憶する認証情報管理手処理、および、少なくともサービスＩＤの組合せに応じてサービスの利用可能範囲を定めたポリシに基づいて、認証情報記憶手段に記憶されたキーＩＤに対応づけられたサービスＩＤおよびそのサービスＩＤの判定結果から、利用者が利用するサービスの利用権限を判定する利用権限判定処理を実行させることを特徴とする。
　本発明によれば、利用者がサービスを利用する環境に応じた高度な認証制御を動的に行うことができる。
本発明による認証システムの第１の実施形態の構成例を示すブロック図である。 データの流れの一例を示す説明図である。 データの流れの他の一例を示す説明図である。 第１の実施形態の認証システムの認証処理の例を示すシーケンス図である。 第１の実施形態の認証システムの認証処理の他の例を示すシーケンス図である。 第１の実施形態の認証システムの認証処理のさらに他の例を示すシーケンス図である。 本発明による認証システムの第２の実施形態の構成例を示すブロック図である。 本発明による認証システムを適用したクラウドシステムの例を示す説明図である。 利用者がＤａａＳサービスを利用する場合の認証システムの動作例を示すシーケンス図である。 利用者がプリンティングサービスを利用する場合の認証システムの動作例を示すシーケンス図である。 端末からＩＤ認証層に情報を送信する動作例を示す説明図である。 本発明による認証システムの最小構成の例を示すブロック図である。 本発明による認証サーバの最小構成の例を示すブロック図である。
　以下、本発明の実施形態を図面を参照して説明する。
実施形態１．
　図１は、本発明による認証システムの第１の実施形態の構成例を示すブロック図である。本実施形態による認証システムは、認証サーバ１０と、端末２０とを備えている。認証サーバ１０は、連携サービス６０を利用する利用者の認証を行う。また、端末２０は、認証サーバ１０に対して、連携サービス６０の認証要求を行う。なお、以下の説明では、連携サービス６０のことを、単にサービスと記すこともある。
　なお、図１には、認証システムが端末２０を１台備えている場合を例示しているが、端末２０の台数は１台に限定されず、２台以上であってもよい。また、図１には、認証システムが認証サーバ１０を１台備えている場合を例示しているが、認証サーバ１０の台数は１台に限定されず、２台以上であってもよい。この場合、処理負荷や接続される端末２０の台数に応じて、認証サーバ１０ごとに、後述する処理を振り分けるようにしてもよい。各認証サーバ１０と各端末２０とは、通信ネットワーク１００を介して相互に接続される。
　端末２０は、識別情報抽出手段２１と、認証要求指示手段２２と、識別情報記憶手段２３とを含む。また、図１に例示する認証システムでは、識別情報記憶手段３１を備える端末内蔵装置３０が端末２０に内蔵されている。また、図１に例示する認証システムでは、識別情報記憶手段４１を備える外部接続装置４０が端末２０に接続されている。以下の説明では、端末２０に内蔵されている端末内蔵装置３０の状態を、端末２０に接続されていると記すこともある。なお、識別情報記憶手段３１および識別情報記憶手段４１の内容については、後述する。
　本実施形態における端末２０には、端末内蔵装置３０または外部接続装置４０のうち少なくとも１つが接続されていればよい。また、端末内蔵装置３０と外部接続装置４０のいずれも端末２０に接続されていてもよい。また、端末内蔵装置３０および外部接続装置４０の台数は１台に限定されず、それぞれ２台以上端末２０に接続されていてもよい。また、各端末内蔵装置３０および各外部接続装置４０の機能は同一であってもよく、異なっていてもよい。端末内蔵装置３０および外部接続装置４０は、例えば、後述するＩＣカード５０が備える識別情報記憶手段５１に記憶された情報の読み書きを行うカードリーダライタにより実現される。
　ＩＣカード５０は、識別情報記憶手段５１を備えている。ＩＣカード５０は、本実施形態よる認証システムを介して提供されるサービスを利用する利用者の識別に用いられる。すなわち、ＩＣカード５０は、利用者の認証に用いられる媒体ということができる。
　識別情報記憶手段５１は、利用者の識別情報を記憶する。例えば、端末内蔵装置３０または外部接続装置４０と、ＩＣカード５０とが、Ｍｉｆａｒｅ（登録商標）などの規格を用いて非接触通信を行うことで、識別情報記憶手段５１に記憶された各情報が端末２０に送信される。ただし、端末内蔵装置３０または外部接続装置４０と、ＩＣカード５０との通信方法は、Ｍｉｆａｒｅによる規格を用いる方法に限定されない。
　本実施形態では、利用者の識別にＩＣカードを利用する場合を例に説明するが、利用者の識別に用いられる媒体または装置の形態は、ＩＣカードに限定されない。例えば、携帯端末などの装置に識別情報記憶手段５１を内蔵させることで、利用者は、その携帯端末を本実施形態におけるＩＣカード５０と同様に利用することが可能になる。
　また、識別情報記憶手段５１は、高い耐タンパ性を有することが望ましい。そこで、本実施形態における識別情報記憶手段５１は、認証されたＬＳＩ（Large Scale Integration 。以下、認証ＬＳＩと記す。）により実現されるものとする。認証ＬＳＩは、例えば、マイクロコントローラチップにより実現される。
　各認証ＬＳＩには、固有の識別情報が付与されており、この識別情報により認証ＬＳＩを備える媒体および端末を一意に識別することが可能になる。また、認証ＬＳＩは、各データを暗号化した状態で保持しており、各装置とのデータの授受は、データが暗号化された状態で行われる。すなわち、利用者の識別情報は、暗号化された状態で認証ＬＳＩに記憶される。なお、暗号化された情報の復号方法は、後述するサービスＩＤ認証手段１１が認識しており、正当な情報は、サービスＩＤ認証手段１１により復号されることになる。
　認証ＬＳＩに付与された固有の識別情報は、書き換え不可能な情報であり、改竄不可能な情報である。また、認証ＬＳＩが記憶する情報は、後から書き換え可能な情報であるが、暗号化されて記憶される情報であるため、やはり改竄不可能な情報であるといえる。このように、本実施形態で利用する認証ＬＳＩは、一意性を担保する書き換え不可能な情報と、暗号化された書き換え可能な情報とをセットで有しているものであるといえる。
　また、上述した識別情報記憶手段３１および識別情報記憶手段４１も、識別情報記憶手段５１と同様、認証ＬＳＩにより実現される。すなわち、識別情報記憶手段３１に付与された認証ＬＳＩ固有の識別情報により、端末内蔵装置３０が一意に識別される。同様に、識別情報記憶手段４１に付与された認証ＬＳＩ固有の識別情報により、端末内蔵装置４０が一意に識別される。このように、本実施形態では、認証に用いられる端末内蔵装置３０や端末内蔵装置４０、ＩＣカード５０は、それぞれに認証ＬＳＩを備えており、各認証ＬＳＩに付与された固有の識別情報から、各装置または各媒体を識別することができる。以下、サービスを利用する利用者の認証に用いられるこれらの媒体（例えば、ＩＣカード５０）または装置（例えば、端末内蔵装置３０や端末内蔵装置４０）が備える認証ＬＳＩを一意に識別可能な識別情報を、物理ＩＤと記す。上述の通り、物理ＩＤは、書き換え不可能な情報である。また、この物理ＩＤの一意性は、例えば、各ベンダーにより担保される。
　識別情報記憶手段５１に利用者の識別情報が記憶されるのと同様に、識別情報記憶手段３１および識別情報記憶手段４１には、各装置の種類ごとに定められる識別情報が記憶される。例えば、識別情報記憶手段３１が、カードリーダライタの場合、識別情報記憶手段３１は、識別情報としてカードリーダライタＩＤを記憶する。識別情報記憶手段３１または識別情報記憶手段４１に記憶された装置の識別情報や、識別情報記憶手段５１に記憶された利用者の識別情報は、後述する利用権限判定手段１４が、サービスの利用権限を判定する際に利用される。そのため、以下、各媒体または各装置の種類ごとに定められる識別情報を、サービスＩＤと記す。
　例えば、利用者が端末内蔵装置３０（または外部接続装置４０）で実現されるカードリーダライタにＩＣカード５０をかざすと、識別情報記憶手段５１に記憶された物理ＩＤとサービスＩＤとが端末内蔵装置３０（または外部接続装置４０）に送信される。言い換えると、端末内蔵装置３０（または外部接続装置４０）は、識別情報記憶手段５１に記憶された物理ＩＤとサービスＩＤとを読み取る。端末内蔵装置３０（または外部接続装置４０）の制御部（図示せず）は、受信した物理ＩＤおよびサービスＩＤを、認証要求指示手段２２に通知する。
　識別情報記憶手段２３は、端末の識別情報を記憶する。本実施形態における識別情報記憶手段２３も、識別情報記憶手段５１と同様、認証ＬＳＩにより実現される。すなわち、識別情報記憶手段２３に付与された認証ＬＳＩ固有の識別情報により、端末２０が一意に識別される。
　認証要求指示手段２２は、各装置（具体的には、端末２０、端末内蔵装置３０または外部接続装置４０）が備える識別情報記憶手段からサービスＩＤを抽出するよう、識別情報抽出手段２１に対して指示する。なお、認証要求指示手段２２は、識別情報抽出手段２１に各装置から物理ＩＤを抽出するよう指示してもよい。
　認証要求指示手段２２は、端末固有の情報（例えば、機器構成、認証ＬＳＩ構成、データ構成等）を保持している。サービスＩＤを抽出する対象の装置は、端末固有の情報に基づいて、例えば、設定ファイル等に予め定められる。認証要求指示手段２２は、その設定ファイルの内容にしたがって、識別情報抽出手段２１にサービスＩＤの抽出指示を行ってもよい。
　また、認証要求指示手段２２は、例えば、ＩＣカード５０から読み取った物理ＩＤおよびサービスＩＤを通知されたときに、識別情報抽出手段２１に対してサービスＩＤの抽出指示を行ってもよい。また、認証要求指示手段２２は、端末２０の電源が入れられたときに、識別情報抽出手段２１に対してサービスＩＤの抽出指示を行ってもよい。ただし、認証要求指示手段２２がサービスＩＤの抽出指示を行うタイミングは、上記タイミングに限定されない。サービスＩＤの抽出指示を行うタイミングは、利用されるサービスごとに予め定めておけばよい。
　また、他にも、認証要求指示手段２２は、認証サーバ１０からの要求に応じて、人間の身体的特徴または行動的特徴により特定される利用者の識別情報（例えば、指紋や静脈の特徴点や、顔画像の特徴点など）を認証サーバ１０に送信してもよい。これらの情報を送信することで、認証の選択肢を広げることが可能になる。
　なお、認証要求指示手段２２は、プログラムに従って動作するコンピュータのＣＰＵによって実現される。例えば、このプログラムは、端末２０の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、認証要求指示手段２２として動作してもよい。
　識別情報抽出手段２１は、認証要求指示手段２２による指示に応じて、各装置（具体的には、端末２０、端末内蔵装置３０または外部接続装置４０）が備える識別情報記憶手段からサービスＩＤを抽出する。なお、本実施形態では、識別情報抽出手段２１は、暗号化された状態で各媒体または各装置の認証ＬＳＩに記憶されているサービスＩＤを読み取る。そして、識別情報抽出手段２１は、抽出したサービスＩＤの認証要求を物理ＩＤとともに認証サーバ１０に送信する。なお、識別情報抽出手段２１が送信する物理ＩＤの対象は、要求するサービスに応じて予め定められている。すなわち、識別情報抽出手段２１は、予め定められた物理ＩＤと１つ以上のサービスＩＤとを認証サーバ１０へ送信する。
　なお、ここで送信されるサービスＩＤは、暗号化され、秘匿化された情報であることから、認証サーバ１０に送信されるこの情報のことを秘匿暗号化情報と記すこともある。本実施形態では、識別情報抽出手段２１は、ＩＣカード５０に付与された識別情報記憶手段５１の識別情報を物理ＩＤとして認証サーバ１０に送信するものとする。
　識別情報抽出手段２１は、プログラムに従って動作するコンピュータのＣＰＵによって実現される。また、このプログラムは、例えば、端末２０に接続された各装置の制御を行うドライバや、下位のデバイスに依存する違いを吸収し、サービスや端末に依存しない共通のモジュールなどにより実現される。このようなモジュールを利用することで、新たな機器を追加する際、本モジュールを改修するだけで、上位のプログラムとのインタフェースを変更せずに、追加した機器からサービスＩＤの抽出を行うことが可能になる。
　認証サーバ１０は、サービスＩＤ認証手段１１と、利用サービス判定手段１２と、認証情報管理手段１３と、利用権限判定手段１４と、認証情報記憶手段１５と、ポリシ記憶手段１６と、管理情報記憶手段１７とを含む。
　サービスＩＤ認証手段１１は、識別情報抽出手段２１から認証要求を受信すると、受信したサービスＩＤごとに正当性を判定する。また、サービスＩＤ認証手段１１は、暗号化されたサービスＩＤを復号する。具体的には、サービスＩＤ認証手段１１は、端末２０から送信された秘匿暗号化情報を復号することにより、送信されたサービスＩＤが所定の認証ＬＳＩから送信された情報か否かを判定する。そして、サービスＩＤ認証手段１１は、所定の認証ＬＳＩから送信された情報である場合に、そのサービスＩＤを正当であると判定する。サービスＩＤ認証手段１１は、認証ＬＳＩの正当性を、例えば、認証ＬＳＩと認証サーバ１０との間で証明書を相互交換することで判定してもよい。
　なお、認証の対象とするサービスＩＤは、物理的な媒体または装置を識別する情報を意味することから、以下の説明では、サービスＩＤ認証手段１１がサービスＩＤの正当性を判定することを物理認証または物理真贋認証と記すこともある。
　そして、サービスＩＤ認証手段１１は、サービスＩＤごとに正当性の判定結果（以下、認証結果と記すこともある。）を付加した情報および物理ＩＤを利用サービス判定手段１２に通知する。サービスＩＤ認証手段１１は、例えば、ある機器について復号できたサービスＩＤには、判定結果として「真」を示す情報を付加し、復号に失敗したサービスＩＤには、判定結果として「偽」を示す情報を付加してもよい。そして、サービスＩＤ認証手段１１は、各サービスＩＤにこれらの判定結果を付加した情報を利用サービス判定手段１２に通知する。なお、この判定結果のことを、物理認証ステータスと記すこともある。
　なお、どのサービスＩＤを認証対象とするかについては、端末２０と認証サーバ１０との間で予め情報が共有される。
　管理情報記憶手段１７は、サービスの利用を許可する媒体または装置を識別する物理ＩＤの一覧を記憶する。また、管理情報記憶手段１７は、使用することが想定されるサービスＩＤの一覧を記憶していてもよい。管理情報記憶手段１７が記憶する物理ＩＤは、後述する利用サービス判定手段１２による判定に用いられる。また、管理情報記憶手段１７が記憶するサービスＩＤは、後述する認証情報管理手段１３による判定に用いられる。
　利用サービス判定手段１２は、サービスＩＤ認証手段１１から受信した物理ＩＤに基づいて、その物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定する。
　具体的には、利用サービス判定手段１２は、受信した物理ＩＤが管理情報記憶手段１７に記憶されている場合に、その物理ＩＤで識別される媒体または装置を利用したサービスの利用を可と判定する。そして、利用サービス判定手段１２は、サービスＩＤ認証手段１１から受信したサービスＩＤおよび認証結果を認証情報管理手段１３に送信する。なお、利用サービス判定手段１２は、受信した物理ＩＤの判定結果に基づいて認証情報管理手段１３にサービスＩＤを送信することから、利用サービス判定手段１２が行う処理をＩＤハンドリングと記すこともある。
　一方、受信した物理ＩＤが管理情報記憶手段１７に記憶されていない場合、利用サービス判定手段１２は、その物理ＩＤで識別される媒体または装置を利用したサービスの利用を不可と判定する。そして、利用サービス判定手段１２は、サービス利用不可を示すエラー情報を端末２０に通知する。なお、エラーを受信した端末２０は、サービス利用不可を示す情報を、ディスプレイ等の表示部（図示せず）に表示してもよい。
　認証情報記憶手段１５は、端末２０から送信された一回の認証要求に含まれるサービスＩＤおよび認証結果を対応づけて記憶する。本実施形態では、端末２０から受信するサービスＩＤのうち、利用者によって行われた一回の認証要求を識別可能な１つ以上のサービスＩＤの組合せを予めキーＩＤと定めておく。すなわち、キーＩＤは、受信したサービスＩＤのうち利用者による一認証要求を識別可能な１つ以上のサービスＩＤの組合せといえる。例えば、端末２０から受信するサービスＩＤのうち、サービスを利用する利用者の識別情報を予めキーＩＤと定めておく。このとき、認証情報記憶手段１５は、他のサービスＩＤおよび認証結果をキーＩＤである利用者の識別情報と対応づけて記憶する。ただし、キーＩＤとして選択されるサービスＩＤは、利用者の識別情報に限定されない。
　なお、以下の説明では、キーＩＤとして選択されたサービスＩＤだけでなく、キーＩＤとして選択されたサービスＩＤと、そのサービスＩＤを記憶する媒体または装置を識別する物理ＩＤとを組み合わせた情報のこともキーＩＤと記すことがある。また、物理ＩＤとサービスＩＤとは一対一に対応することから、キーＩＤとして選択されたサービスＩＤに対応する物理ＩＤのことをキー物理ＩＤと記すこともある。
　また、認証情報記憶手段１５は、サービスＩＤおよび認証結果以外にも、利用者によって行われた認証要求に関連する他の情報をキーＩＤと対応付けて記憶してもよい。他の情報には、例えば、利用者が認証要求に利用したネットワークを識別する情報（以下、ネットワーク識別情報と記す。）や、利用者が認証を要求した日時、認証処理が行われた日時や、これらの情報が認証情報記憶手段１５に登録された日時などが含まれる。また、ネットワーク識別情報には、ネットワーク上の経路や、経由した装置の情報などが含まれる。以下、サービスＩＤおよび認証結果以外のこれらの情報を、キーＩＤの属性情報と記すこともある。
　さらに、認証情報記憶手段１５は、サービスの要求を行った利用者に関する複数の識別情報を記憶してもよい。認証情報記憶手段１５は、例えば、利用者の顔画像から抽出される特徴点や、利用者の指紋や静脈などから抽出される特徴点など、人間の身体的特徴または行動的特徴により特定される利用者の識別情報を、認証要求を行った利用者と対応付けて記憶してもよい。
　認証情報管理手段１３は、利用サービス判定手段１２から受信したサービスＩＤおよび認証結果を認証情報記憶手段１５に記憶する。具体的には、認証情報管理手段１３は、利用サービス判定手段１２が受信した物理ＩＤで識別される媒体または装置を利用したサービスの利用を可と判定した場合、端末２０から送信された一回の認証要求に含まれるサービスＩＤおよび認証結果を対応づけて認証情報記憶手段１５に記憶する。
　なお、認証情報管理手段１３が認証情報記憶手段１５に記憶する情報は、サービスＩＤおよび認証結果に限定されない。認証情報管理手段１３は、ネットワーク識別情報や、認証要求日時などの情報を認証情報記憶手段１５に記憶してもよい。
　また、連携サービス６０側（具体的には、サービスを提供する装置）から認証サーバ１０に対して認証要求が行われた場合、認証情報管理手段１３は、その装置にサービスＩＤを通知してもよい。具体的には、連携サービス６０側から利用者の識別情報や、要求する情報を指定して認証要求が行われた場合、認証情報管理手段１３は、認証要求によって識別される情報を認証情報記憶手段１５から抽出し、サービスを提供する装置に抽出した情報を返却してもよい。
　また、利用サービス判定手段１２から受信した情報から特定されるキーＩＤと同一のキーＩＤが、すでに認証情報記憶手段１５に記憶されている場合がある。このとき、認証情報管理手段１３は、もとの情報を受信した情報で更新してもよい。すなわち、認証情報管理手段１３は、認証情報記憶手段１５へ既に記憶されている同一のキーＩＤで識別される認証要求を受信した時に、そのキーＩＤに対応する情報を認証要求に含まれる情報で更新してもよい。このようにすることで、新しい情報を優先して認証処理を行うことができる。
　また、認証情報管理手段１３は、認証情報記憶手段１５に記憶されてから一定期間が経過した情報を削除してもよい。また、認証情報管理手段１３は、認証情報記憶手段１５に記憶されている情報に対する明示的な削除指示を受信したときに、その削除指示で特定される情報を削除してもよい。例えば、端末２０から送信された一回の認証要求が利用者の識別情報をキーＩＤとして特定される場合、認証情報管理手段１３は、そのキーＩＤで識別される認証要求情報を認証情報記憶手段１５から削除すればよい。このようにすることで、古くなった情報が認証処理に用いられることを抑止できる。
　また、認証情報管理手段１３は、受信したサービスＩＤが管理情報記憶手段１７に記憶されているか否か判断してもよい。受信した受信したサービスＩＤが管理情報記憶手段１７に記憶されている場合に、認証情報管理手段１３は、そのサービスＩＤを認証情報記憶手段１５に記憶するようにしてもよい。一方、受信した受信したサービスＩＤが管理情報記憶手段１７に記憶されていない場合に、認証情報管理手段１３は、サービスＩＤが存在しない旨を示すエラー情報を端末２０に通知してもよい。このとき、エラーを受信した端末２０は、サービスＩＤが存在しない旨を示す情報を、ディスプレイ等の表示部（図示せず）に表示してもよい。
　以下の説明では、認証情報管理手段１３が行う処理をまとめて、ＩＤ認証／管理と記すこともある。
　ポリシ記憶手段１６は、少なくともサービスＩＤまたは認証結果との組合せに応じてサービスの利用可能範囲を規定したポリシを記憶する。サービスの利用可能範囲には、サービスの利用可否を示す情報や、そのサービスにおける特定の機能が利用可能であることを示す情報が含まれる。
　ポリシは、サービスＩＤまたは認証結果のいずれか一方を用いて規定されていてもよく、両方を用いて規定されていてもよい。また、ポリシを規定する要素は、サービスＩＤおよび認証結果に限定されない。ポリシは、利用者によるサービス認証要求が行われた経路や時間を用いて規定されていてもよい。なお、ポリシを規定するサービスＩＤや認証結果は、少なくとも認証情報記憶手段１５に記憶された情報の中に含まれている必要がある。
　利用権限判定手段１４は、ポリシ記憶手段１６に記憶されたポリシに基づいて、認証情報記憶手段１５に記憶されたキーＩＤに対応づけられたサービスＩＤおよび認証結果から利用者のサービス利用権限を判定する。
　具体的には、キーＩＤに対応づけられたサービスＩＤの中には、利用者を識別可能な情報も含まれている。そのため、利用権限判定手段１４は、認証情報記憶手段１５に記憶された利用者によるサービスの認証要求を示す各情報が、ポリシで規定されたサービスを利用するための要件を満たしているか否か判定する。
　例えば、ポリシにネットワークや時間を示す情報が含まれている場合、利用権限判定手段１４は、そのポリシに基づいて、認証情報記憶手段１５に記憶されたネットワークや時間を示す情報から、利用者が利用するサービスの利用権限を判定してもよい。そして、利用権限判定手段１４は、サービスの利用可否を示す判定結果を、問合せ元に通知する。また、認証情報記憶手段１５に人間の身体的特徴または行動的特徴により特定される利用者の識別情報が含まれている場合、利用権限判定手段１４は、それらの情報を利用権限の判定に利用してもよい。
　利用者のサービス利用権限の認証要求は、端末２０から行われる場合と、サービス６０側（具体的には、サービスを提供する装置）から行われる場合がある。端末２０から認証要求が行われた場合、利用権限判定手段１４は、判定結果を端末２０に通知する。サービス６０側から認証要求が行われた場合、利用権限判定手段１４は、サービスを提供する装置に判定結果を通知する。
　利用者による認証要求がポリシで規定された要件を満たしている場合、利用権限判定手段１４は、利用者がそのサービスを利用可能であると判定する。例えば、この認証要求が端末２０から行われた場合、利用権限判定手段１４は、端末２０に対して、サービスが利用可能であることを示す情報を端末２０に通知してもよい。
　一方、利用者による認証要求がポリシで規定された要件を満たしていない場合、利用権限判定手段１４は、利用者がそのサービスを利用不可であると判定する。例えば、この認証要求が端末２０から行われた場合、利用権限判定手段１４は、端末２０に対して、サービスが利用不可であることを示す情報を端末２０に通知してもよい。なお、以下の説明では、利用権限判定手段１４が行う処理を認証サービスと記すこともある。
　サービスＩＤ認証手段１１と、利用サービス判定手段１２と、認証情報管理手段１３と、利用権限判定手段１４とは、プログラム（認証用プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、認証サーバ１０の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、サービスＩＤ認証手段１１、利用サービス判定手段１２、認証情報管理手段１３、及び利用権限判定手段１４として動作してもよい。また、サービスＩＤ認証手段１１と、利用サービス判定手段１２と、認証情報管理手段１３と、利用権限判定手段１４とは、それぞれが専用の装置で実現されていてもよい。
　また、認証情報記憶手段１５と、ポリシ記憶手段１６と、管理情報記憶手段１７とは、それぞれ、磁気ディスクや、ハードディスク装置により実現される。また、認証情報記憶手段１５と、ポリシ記憶手段１６と、管理情報記憶手段１７とは、それぞれが別の装置に備えられていてもよく、同一の装置に備えられていてもよい。
　次に、本実施形態における認証システムで使用されるデータの流れを説明する。図２は、データの流れの一例を示す説明図である。図２に例示する白抜き文字で記載されたサービスＩＤは、認証される前の暗号化されたデータを示す。また、黒文字で記載されたサービスＩＤは、認証後の復号されたデータを示す。また、ここでのキーＩＤは、ＩＣカードまたは認証ＬＳＩに記憶されたサービスＩＤとする。
　端末２０は、ＩＣカードまたは認証ＬＳＩから物理ＩＤと暗号化されたサービスＩＤを読み取る。また、端末２０は、端末内に組み込まれたモジュールのサービスＩＤも読み取る。そして、端末２０は、物理ＩＤと暗号化されたサービスＩＤとを予め定義された順番で認証サーバ１０に送信する。
　物理認証を行うサービスＩＤ認証手段１１は、暗号化されたサービスＩＤを復号することで、サービスＩＤの正当性について判定（すなわち、認証処理）を行う。サービスＩＤ認証手段１１は、判定結果を物理認証ステータスに設定し、利用サービス判定手段１２に送信する。
　ＩＤハンドリングを行う利用サービス判定手段１２は、物理ＩＤに基づいてサービスの利用可否を判定する。利用サービス判定手段１２は、サービスの利用を可能と判断した場合、サービスＩＤと物理認証ステータスとを認証情報管理手段１３に送信する。
　ＩＤ認証／管理を行う認証情報管理手段１３は、利用サービス判定手段１２から受信したサービスＩＤと物理認証ステータス、および、キーＩＤの属性情報を認証情報記憶手段１５に記憶する。
　認証サービスを行う利用権限判定手段１４は、予め定めたポリシに基づいて、利用者が利用するサービスの利用権限を判定する。
　次に、本実施形態における認証システムで使用されるデータの他の流れを説明する。図３は、データの流れの他の一例を示す説明図である。なお、図３で示す各項目の内容は、図２で示す内容と同様である。なお、ここでは、ＩＣカードまたはＲＦＩＤ（Radio Frequency IDentification）タグには物理ＩＤのみ記憶され、サービスＩＤは記憶されていないものとする。そのため、キーＩＤは、物理ＩＤ（すなわち、キー物理ＩＤのみ）である。
　この処理は、例えば、認証用カードとして安価なＩＣカードまたはＲＦＩＤタグが選択された場合に行われる。
　端末２０は、ＩＣカードまたはＲＦＩＤタグから物理ＩＤを読み取る。また、端末２０は、端末内に組み込まれたモジュールのサービスＩＤも読み取る。そして、端末２０は、物理ＩＤと暗号化されたサービスＩＤとを予め定義された順番で認証サーバ１０に送信する。
　物理認証を行うサービスＩＤ認証手段１１は、サービスＩＤの正当性について判定（すなわち、認証処理）を行う。また、サービスＩＤ認証手段１１は、物理ＩＤをキーＩＤとして利用するサービスＩＤとしてコピーを行う。なお、ここでの物理認証ステータスには「未実施」を示すステータスを設定しておけばよい。そして、サービスＩＤ認証手段１１は、各サービスＩＤについての判定結果を物理認証ステータスに設定し、利用サービス判定手段１２に送信する。以後の処理は、図２に示すＩＤハンドリング、ＩＤ認証および認証サービスと同様である。
　次に、本実施形態による認証システムの動作を説明する。まず初めに、利用者により端末２０からサービスの認証要求が行われ、その認証結果を端末２０に通知する場合の動作を説明する。なお、利用権限判定手段１４は、利用サービス判定手段１２がサービスの利用を可と判断した場合に、利用権限を判定する処理を行うものとする。図４は、本実施形態による認証システムの認証処理の例を示すシーケンス図である。
　利用者が端末内蔵装置３０または外部接続装置４０にＩＣカード５０をかざしてサービスの認証要求を行うと（ステップＳ１１）、端末内蔵装置３０または外部接続装置４０は、識別情報記憶手段５１に記憶された物理ＩＤとサービスＩＤとを読み取る。そして、端末内蔵装置３０または外部接続装置４０は、この物理ＩＤとサービスＩＤとを認証要求指示手段２２に通知する。
　認証要求指示手段２２は、物理ＩＤおよびサービスＩＤを含む通知を受け取ると、識別情報抽出手段２１に対して、各装置の識別情報記憶手段からサービスＩＤを抽出する指示を行う。この際、認証要求指示手段２２は、識別情報抽出手段２１に対して、キーＩＤとその他認証対象とする媒体または装置のサービスＩＤの順序を指定して抽出指示を行うものとする。本実施形態における認証対象は、ＩＣカード５０と、端末内蔵装置３０または外部接続装置４０である。また、サービスＩＤの順序は、ＩＣカード５０のサービスＩＤ、端末内蔵装置３０または外部接続装置４０のサービスＩＤの順とする。また、キーＩＤは、ＩＣカード５０のサービスＩＤとする。
　識別情報抽出手段２１は、各装置の識別情報記憶手段からサービスＩＤを抽出し、認証サーバ１０のサービスＩＤ認証手段１１に対して物理認証処理の要求を行う（ステップＳ１２）。すなわち、識別情報抽出手段２１がサービスＩＤ認証手段１１にサービスＩＤを送信すると、サービスＩＤ認証手段１１は、そのサービスＩＤごとに正当性を判定する。また、識別情報抽出手段２１は、サービスＩＤ認証手段１１に物理ＩＤを送信する。
　本実施形態では、サービスＩＤ認証手段１１は、ＨＴＴＰ（Hypertext Transfer Protocol ）を用いて正当性の判定結果（認証結果）を利用サービス判定手段１２に転送する（ステップＳ１３）。このとき、サービスＩＤ認証手段１１は、一度の認証契機で使用される情報をひとまとめにして、利用サービス判定手段１２に送信する。
　利用サービス判定手段１２は、サービスＩＤ認証手段１１から受信した物理ＩＤに基づいて、サービスの利用可否を判定する。そして、利用サービス判定手段１２は、判定結果に基づいて、認証情報管理手段１３に認証結果を送信する。すなわち、利用サービス判定手段１２は、ＩＤハンドリングを行う（ステップＳ１４）。
　認証情報管理手段１３は、利用サービス判定手段１２から受信したサービスＩＤおよび認証結果の内容に基づいて、認証情報記憶手段１５に記憶された情報を更新する（ステップ１５）。ここでは、認証情報管理手段１３は、ＩＣカード５０に記憶されたサービスＩＤ（例えば、社員証番号）をキーＩＤとして、利用サービス判定手段１２から受信した情報を認証情報記憶手段１５に記憶する。
　利用権限判定手段１４は、利用サービス判定手段１２がサービス利用可と判断すると、ポリシ記憶手段１６に記憶されたポリシに基づいて、利用者のサービス利用権限を判定する（ステップＳ１６）。そして、利用権限判定手段１４は、サービス利用権限の判定結果を、認証情報管理手段１３、利用サービス判定手段１２、およびサービスＩＤ認証手段１１を介して端末２０に送信する（ステップＳ１７～Ｓ２０）。以降、端末２０がサービスを直接利用して処理が行われる（ステップＳ２１）
　次に、本実施形態による認証システムの他の動作を説明する。ここでは、利用者により端末２０からサービスの認証要求が行われると、その認証結果をサービス側に通知し、サービスが判断した認証結果を端末２０に通知する場合の動作を説明する。図５は、認証処理の他の例を示すシーケンス図である。なお、利用者からの認証要求が行われてから利用権限判定手段１４が利用者のサービス利用権限を判定するステップＳ１１～ステップＳ１６までの処理は、図４に例示する内容と同様であるため、詳細な説明は省略する。
　利用権限判定手段１４は、利用者のサービス利用権限を判定したあと、その判定結果を示す認証情報をサービス側に通知する（ステップＳ２２）。そして、サービス側が認証情報に基づく処理の結果を利用権限判定手段１４に通知すると（ステップＳ２３）、利用権限判定手段１４は、サービスによる処理結果を、認証情報管理手段１３、利用サービス判定手段１２、およびサービスＩＤ認証手段１１を介して端末２０に送信する（ステップＳ１７ａ～Ｓ２０ａ）。以降、端末２０がサービスを直接利用して処理が行われる（ステップＳ２１ａ）。
　次に、本実施形態による認証システムのさらに他の動作を説明する。ここでは、サービスＩＤおよび物理ＩＤの認証のみ行われ、ポリシによるサービス利用権限が判定されない場合の動作を説明する。図６は、認証処理のさらに他の例を示すシーケンス図である。なお、利用者からの認証要求が行われてから、認証情報管理手段１３が受信した情報を認証情報記憶手段１５に記憶するステップＳ１１～ステップＳ１５までの処理は、図４に例示する内容と同様であるため、詳細な説明は省略する。
　認証情報管理手段１３は、認証情報記憶手段１５に情報を記憶したことを示す情報を、利用サービス判定手段１２、およびサービスＩＤ認証手段１１を介して端末２０に通知する（ステップＳ３１～Ｓ３３）。その後、利用権限判定手段１４がサービス側から非同期にサービスＩＤ認証要求を受信すると（ステップＳ３４）、利用権限判定手段１４は、認証情報記憶手段１５に記憶されたサービスＩＤと、ポリシ記憶手段１６に記憶されたポリシとを認証情報管理手段１３に要求する（ステップＳ３５）。認証情報管理手段１３がこれらのＩＤ情報を利用権限判定手段１４に返却すると（ステップＳ３６）、利用権限判定手段１４は、これらの情報に基づいて利用者の認証を行う。そして、利用権限判定手段１４は、判定結果をサービス側に返却する（ステップＳ３７）。
　以上のように、本実施形態によれば、識別情報抽出手段２１が、物理ＩＤとサービスＩＤとを認証サーバ１０へ送信する。具体的には、識別情報抽出手段２１は、認証に用いられる１つ以上の媒体または装置のうち予め定められた媒体または装置の物理ＩＤと、その認証に用いられる媒体または装置における予め定められた１つ以上のサービスＩＤとを認証サーバ１０へ送信する。
　そして、サービスＩＤ認証手段１１は、受信した各サービスＩＤの正当性を判定し、利用サービス判定手段１２は、受信した物理ＩＤに基づいて、その物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定する。サービスの利用が可能と判定された場合、認証情報管理手段１３は、少なくともサービスＩＤおよびそのサービスＩＤの正当性の判定結果をキーＩＤと対応づけて認証情報記憶手段１５に記憶する。利用権限判定手段１４は、ポリシに基づいて、認証情報記憶手段１５に記憶されたキーＩＤに対応づけられたサービスＩＤおよびそのサービスＩＤの判定結果から、利用者が利用するサービスの利用権限を判定する。
　そのため、利用者がサービスを利用する環境に応じた高度な認証制御を動的に行うことができる。すなわち、サービスＩＤの正当性の判定に用いる情報は、媒体または装置の認証ＬＳＩに物理的に記憶された情報であり、サービスの利用可否の判定に用いる情報は、媒体または装置に付与された物理ＩＤである。そのため、本実施形態の認証システムは、サービスを利用する環境から特定される情報に基づいて認証制御を行うことができる。
　また、本実施形態の認証システムでは、一意性を担保する書き換え不可能な情報と、暗号化された書き換え可能な情報とを組み合わせて利用している。このように、書き換え可能な情報のみ、または、書き換えが出来ない情報のみを利用する場合と比較し、セキュリティを高めることが出来るとともに、柔軟な認証を行うことが可能になる。
　また、各サービスＩＤの正当性を判定した結果は、認証情報記憶手段１５に記憶される。認証情報記憶手段１５に記憶された情報は、ポリシと比較されることで、サービスの利用権限が判定される。このポリシの内容は、サービスの利用可能範囲に応じて動的に変更が可能である。例えば、一部のサービスＩＤについて正当性を有していない場合であっても、サービス側でそのサービスＩＤの認証が不要と判断する場合には、そのようなポリシを定めておけばよいことになる。ポリシは、認証要求が行われた際に取得可能な情報であれば、任意の要件を設定できる。すなわち、本実施形態の認証システムは、動的に認証制御を行うことが可能になる。
実施形態２．
　次に、本発明による認証システムの第２の実施形態を説明する。第１の実施形態では、利用可能なサービスが特定されている。本実施形態では、利用可能なサービスが複数存在し、利用者がその中から１つのサービスを利用する。
　図７は、本発明による認証システムの第２の実施形態の構成例を示すブロック図である。なお、第１の実施形態と同様の構成については、図１と同一の符号を付し、説明を省略する。本実施形態における認証システムも、認証サーバ１０と、端末２０とを備えている。そして、各認証サーバ１０と各端末２０とは、通信ネットワーク１００を介して相互に接続される。
　端末２０は、識別情報抽出手段２１ａと、認証要求指示手段２２ａと、識別情報記憶手段２３と、選択サービス受付手段２４とを含む。また、本実施形態における認証システムも、識別情報記憶手段３１を備える端末内蔵装置３０と、識別情報記憶手段４１を備える外部接続装置４０とが端末２０に接続されている。すなわち、本実施形態における端末２０は、識別情報抽出手段２１の代わりに識別情報抽出手段２１ａを含み、認証要求指示手段２２の代わりに認証要求指示手段２２ａを含む点において、第１の実施形態における端末２０と異なる。また、本実施形態における端末２０は、選択サービス受付手段２４を含んでいる点において第１の実施形態と異なる。それ以外の内容は、第１の実施形態と同様である。
　認証要求指示手段２２ａは、第１の実施形態における認証要求指示手段２２と同様、各装置が備える識別情報記憶手段からサービスＩＤを抽出するよう、識別情報抽出手段２１ａに対して指示する。また、認証要求指示手段２２ａは、第１の実施形態における認証要求指示手段２２と同様、端末固有の情報を保持している。
　なお、本実施形態では、利用可能なサービスが複数存在するため、サービスＩＤを抽出する対象の装置は、利用者が利用するサービスごとに端末固有の情報に基づいて定められる。以下、サービスを識別する識別子のことをアプリケーションコード、または、アプリＣＤと記す。アプリＣＤは、認証システムが連携するサービスごとに一意になるよう、例えば、認証システムの提供者により予め決定される。このようなアプリＣＤを用いることで、１つのＩＤで複数のサービスを選択的に起動することが可能になる。具体的には、サービスＩＤを抽出する対象の装置は、アプリＣＤと対応付けて、例えば、設定ファイル等に予め定められる。
　すなわち、認証サーバ１０に認証要求を行う際、利用者の識別情報だけでなく、利用者の識別情報にアプリＣＤを付与することで、利用者が利用するサービスを識別できるようになる。
　認証要求指示手段２２ａは、利用者の利用するサービスに応じたサービスＩＤの抽出を識別情報抽出手段２１ａに対して指示する。認証要求指示手段２２ａは、利用者によるサービスの指示方法に基づいて、利用するサービスを判定してもよい。認証要求指示手段２２ａは、例えば、利用者がＩＣカード５０を端末内蔵装置３０または外部接続装置４０にかざしてサービスを要求した場合に、図４に例示する処理を行うサービスを利用者が要求したサービスであると特定してもよい。また、認証要求指示手段２２ａは、例えば、利用者が端末２０の電源を投入した場合に、図６に例示する処理を行うサービスを利用者が要求したサービスであると特定してもよい。なお、利用者がどのサービスを利用するか判定する方法は、上記方法に限定されない。
　例えば、複数のサービスで、利用者がＩＣカード５０を端末内蔵装置３０または外部接続装置４０にかざしてサービスの要求が行われるとする。この場合、端末２０は、ＩＣカード５０を読み取った後、利用可能な複数のサービスを表示部（図示せず）に表示し、後述する選択サービス受付手段２４が、利用者によって１つ選択されたサービスを受け付けてもよい。そして、認証要求指示手段２２ａは、選択されたサービスで定義されたサービスＩＤの抽出を識別情報抽出手段２１ａに対して指示してもよい。
　選択サービス受付手段２４は、利用者が利用するサービスの選択を受け付ける。具体的には、端末２０を利用するサービスが複数存在する場合、選択サービス受付手段２４は、利用者が選択したサービスを受け付けて、そのサービスを認証要求指示手段２２ａに通知する。このとき、認証要求指示手段２２ａは、選択サービス受付手段２４が受け付けたサービスについて予め定められたサービスＩＤを抽出するよう識別情報抽出手段２１ａに対して指示する。
　なお、要求の形態によって、利用者の利用するサービスが一意に決定する場合もある。例えば、「ＩＣカード５０をカードリーダにかざした場合に利用するサービスはＡサービスである」と定められていた場合、ＩＣカード５０をカードリーダにかざした場合には、利用者による明示的なサービス選択の必要はない。この場合、端末２０は、選択サービス受付手段２４を備えていなくてもよい。
　識別情報抽出手段２１ａは、認証要求指示手段２２ａによる指示に応じて、各装置（具体的には、端末２０、端末内蔵装置３０または外部接続装置４０）が備える識別情報記憶手段からサービスＩＤを抽出する。そして、識別情報抽出手段２１ａは、サービスごとに予め定められた１つ以上のサービスＩＤの組合せ、物理ＩＤ、および、利用者が認証要求を行うサービスを識別するアプリＣＤを認証サーバ１０へ送信する。なお、このアプリＣＤは、利用者が要求するサービスを識別するために用いられる。
　識別情報抽出手段２１ａと、認証要求指示手段２２ａとは、プログラムに従って動作するコンピュータのＣＰＵによって実現される。例えば、このプログラムは、端末２０の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、識別情報抽出手段２１ａおよび認証要求指示手段２２ａとして動作してもよい。
　認証サーバ１０は、サービスＩＤ認証手段１１ａと、利用サービス判定手段１２ａと、認証情報管理手段１３ａと、利用権限判定手段１４ａと、認証情報記憶手段１５ａと、ポリシ記憶手段１６と、管理情報記憶手段１７とを含む。なお、管理情報記憶手段１７の内容は、第１の実施形態と同様であるため、詳細な説明は省略する。
　サービスＩＤ認証手段１１ａは、第１の実施形態におけるサービスＩＤ認証手段１１と同様、受信したサービスＩＤごとに正当性を判定する。さらに、サービスＩＤ認証手段１１ａは、サービスＩＤごとに認証結果を付加した情報、物理ＩＤ、およびアプリＣＤを利用サービス判定手段１２ａに通知する。
　利用サービス判定手段１２ａは、第１の実施形態における利用サービス判定手段１２と同様、サービスＩＤ認証手段１１ａから受信した物理ＩＤに基づいて、その物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定する。具体的には、利用サービス判定手段１２ａは、受信した物理ＩＤとアプリＣＤとの組合せが管理情報記憶手段１７に記憶されている場合に、その物理ＩＤで識別される媒体または装置を利用したサービスの利用を可と判定する。そして、利用サービス判定手段１２ａは、サービスＩＤ認証手段１１ａから受信したアプリＣＤに基づいて、サービスＩＤの送信先を決定する。すなわち、利用サービス判定手段１２ａは、アプリＣＤに基づいてＩＤハンドリングを行う。
　例えば、サービスごとに処理を行う装置が異なる場合、そのアプリＣＤで特定されるサービスを提供する装置に、サービスＩＤを送信する。ここで、処理を行う装置が異なるとは、各装置が物理的に異なっている場合だけでなく、物理的に同一の装置が仮想的に複数の装置に分けられている場合も含む。アプリＣＤとサービスＩＤの送信先との対応関係を規定したルールは、管理情報記憶手段１７に予め記憶され、利用サービス判定手段１２ａは、上記ルールに基づいて特定される送信先にサービスＩＤを送信する。
　また、同一のサービスを複数の企業（以下、テナントと記すこともある）が利用する場合、ハンドリング先はテナントごとに区別される。一般に、テナントごとに物理ＩＤのコード体系は異なる。そのため、利用サービス判定手段１２ａは、物理ＩＤのコード体系に基づいて、企業を特定してもよい。
　具体的には、企業を識別する情報として、物理ＩＤ群と企業（テナント）を示す情報とを対応づけて予め管理情報記憶手段１７に記憶しておけばよい。そして、利用サービス判定手段１２ａは、上記対応付けに基づいて特定される送信先（テナント）にサービスＩＤを送信すればよい。このような設定に基づいて認証処理を行うことで、後述するパブリッククラウドサービスを提供することが可能になる。
　認証情報記憶手段１５ａは、第１の実施形態における認証情報記憶手段１５と同様、端末２０から送信された一回の認証要求に含まれるサービスＩＤおよび認証結果をキーＩＤと対応づけて記憶する。このとき、認証情報記憶手段１５ａは、各認証要求に含まれるアプリＣＤもキーＩＤと対応づけて記憶する。認証情報記憶手段１５ａが認証要求とともにアプリＣＤを記憶するため、利用者がどのサービスの認証要求を行ったか否かが識別できるようになる。
　なお、認証対象とするサービスＩＤは、連携サービスごとに異なる。そのため、端末２０と、認証サーバ１０（より具体的には、認証情報管理手段１３ａ）との間で、アプリＣＤで特定される認証対象のサービスＩＤおよびサービスＩＤの順序を共有しておく。例えば、システムの導入時（システムインテグレーションの時）に、認証情報記憶手段１５ａが記憶する内容と、認証要求指示手段２２ａが保持する端末固有情報の内容とが同一になるようにしておけばよい。このようにしておくことで、端末２０がアプリＣＤごとにどのサービスＩＤを送信すべきが判断可能になり、認証サーバ１０がアプリＣＤごとにどのサービスＩＤを受信するか判断可能になる。
　認証情報管理手段１３ａは、利用サービス判定手段１２ａから受信したサービスＩＤおよび認証結果とともにアプリＣＤを認証情報記憶手段１５ａに記憶する。具体的には、認証情報管理手段１３ａは、受信したアプリＣＤをキーＩＤと対応付けて認証情報記憶手段１５ａに記憶する。なお、それ以外の機能は、第１の実施形態における認証情報管理手段１３が備える機能と同様である。
　ポリシ記憶手段１６は、第１の実施形態と同様、少なくともサービスＩＤまたは認証結果との組合せに応じてサービスの利用可否を規定したポリシを記憶する。なお、ポリシ記憶手段１６は、利用権限を判定する対象のサービスを識別するアプリＣＤを記憶していてもよい。この場合、ポリシ記憶手段１６をサービスごとに共有することが可能になる。また、同一のサービスが複数のテナントで利用される場合、ポリシ記憶手段１６は、テナント毎にサービスの利用可否を規定したポリシを記憶する。この場合、各テナントを識別する情報とアプリＣＤとの組合せごとに、サービスの利用可否を規定すればよい。
　なお、各テナントを識別する情報を、アプリＣＤに含めてもよい。すなわち、アプリＣＤが、各テナントを識別する情報を含んでいてもよい。サービスとテナントとを組み合せたコード体系でアプリＣＤを割り振れば、アプリＣＤを参照することで、サービス及びテナントを一意に判別することが可能になる。
　利用権限判定手段１４ａは、第１の実施形態における利用権限判定手段１４と同様、ポリシ記憶手段１６に記憶されたポリシに基づいて、認証情報記憶手段１５ａに記憶されたキーＩＤに対応づけられたサービスＩＤおよび認証結果から利用者のサービス利用権限を判定する。本実施形態では、利用権限判定手段１４ａは、アプリＣＤによって識別されるサービスに対する利用者の利用権限を判定する。例えば、サービス側からアプリＣＤとキーＩＤとを受信すると、利用権限判定手段１４ａは、ポリシと認証情報記憶手段１５ａに記憶された情報とに基づいて判定を行い、認証結果をサービス側に返却する。
　サービスＩＤ認証手段１１ａと、利用サービス判定手段１２ａと、認証情報管理手段１３ａと、利用権限判定手段１４ａとは、プログラム（認証用プログラム）に従って動作するコンピュータのＣＰＵによって実現される。また、サービスＩＤ認証手段１１ａと、利用サービス判定手段１２ａと、認証情報管理手段１３ａと、利用権限判定手段１４ａとは、それぞれが専用の装置で実現されていてもよい。
　なお、本実施形態による認証システムの動作は、利用するサービスを識別するためのアプリＣＤが送受信される点において、第１の実施形態における認証システムと異なる。それ以外については、第１の実施形態と同様のため、詳細な説明を省略する。
　以上のように、本実施形態によれば、識別情報抽出手段２１ａが、利用者が認証要求を行うサービスに対応するサービスＩＤの組合せおよび物理ＩＤをアプリＣＤと対応付けて認証サーバ１０へ送信し、認証情報管理手段１３ａが、サービスＩＤおよび判定結果をキーＩＤおよびアプリＣＤと対応づけて認証情報記憶手段１５ａに記憶する。そして、利用権限判定手段１４ａが、アプリＣＤにより識別されるサービスに対する利用者の利用権限を判定する。よって、第１の実施形態の効果に加え、利用者の利用可能なサービスが複数存在する場合であっても、それぞれのサービスごとに認証処理を行うことが可能になる。
　以下、具体的な実施例により本発明を説明するが、本発明の範囲は以下に説明する内容に限定されない。本実施例では、多種多様な企業や組織、個人など不特定多数の利用者を対象として広く提供されているパブリッククラウドに本発明を適用する場合を例に説明する。
　パブリッククラウドでは、複数の企業等（以下、マルチテナントと記すこともある。）が複数のサービス（以下、マルチサービスと記すこともある。）を利用する。したがって、同一のサービスを利用するテナントが複数存在することがある。本実施例では、ハード資源を仮想的に複数のテナント用に分割する。そのため、テナントが増加するたびに新たなハード資源を投入する必要が無くなるため、テナントが増加しても柔軟に対応することが可能になる。
　図８は、本発明による認証システムを適用したクラウドシステムの例を示す説明図である。図８に例示するクラウドシステムには、インターネット経由で複数のサービス（サービス６１～サービス６３）を提供するＳａａＳ層１６０と、インターネット経由でサービス実行用のプラットフォームを提供するＰａａＳ層１１０とが存在する。ＰａａＳ層１１０は、第１の実施形態における認証サーバ１０に相当する。
　また、図８に例示するクラウドシステムでは、端末１２０が、ＰａａＳ層１１０に対してアクセスする。端末１２０には、モジュール１３０が接続される。利用者は、ＩＣカード（またはＲＦＩＤタグ）１５０をモジュール１３０にかざすことで認証要求を行う。なお、本実施例では、端末１２０、モジュール１３０およびＩＣカード１５０に内蔵されるＬＳＩには、通信規格としてＭｉｆａｒｅを利用したＳｍａｒｔＭＸ（登録商標）チップ（以下、ＳＭＸチップと記す。）が用いられものとする。
　また、端末１２０には、複数のサービスを識別するアプリＣＤと、そのサービスで必要とする認証対象（具体的には、サービスＩＤ）、キーＩＤおよびデータ順序が予め定められている。ここでは、キーＩＤは、送信するデータの先頭のデータとする。ただし、キーＩＤの位置は先頭に限られない。端末１２０とＰａａＳ層１１０との間で、データの順序が定められていれば、キーＩＤの位置は先頭でなくてもよい。
　モジュール１３０は、ＩＣカード１５０に内蔵されるＳＭＸチップ１５１に記憶された利用者を識別するサービスＩＤを読み取る。また、モジュール１３０には、ＳＭＸチップ１３１が内蔵され、ＳＭＸチップ１３１内には、モジュールを識別するサービスＩＤが記憶される。端末１２０は、ＳＭＸチップ１３１に記憶されたサービスＩＤを読み取る。なお、端末１２０は、自身に内蔵されるＳＭＸチップ１２３に記憶されたサービスＩＤを読み取ってもよい。端末１２０は、これらのサービスＩＤを物理認証層１１１に送信することで、サービスＩＤの認証要求を行う。本実施例では、サービスＩＤとして、ＳＭＸチップ１３１に記憶されたサービスＩＤと、ＳＭＸチップ１５１に記憶されたサービスＩＤの２つを物理認証層１１１に送信するものとする。
　ＰａａＳ層１１０は、統合データベース１１７（以下、統合ＤＢ１１７と記す。）と、認証データベース１１８（以下、認証ＤＢ１１８と記す。）とを含む。統合ＤＢ１１７は、第１の実施形態における管理情報記憶手段１７に相当する。また、認証ＤＢ１１８は、第１の実施形態における認証情報記憶手段１５に相当する。また、ＰａａＳ層１１０は、バーチャル層１１５とリアル層１１６とに分けることができる。
　リアル層１１６は、物理認証層１１１を含む。物理認証層１１１は、第１の実施形態におけるサービスＩＤ認証手段１１に相当する。また、バーチャル層１１５は、ＩＤハンドリング層１１２と、ＩＤ認証層１１３と、認証サービス層１１４とを含む。ＩＤハンドリング層１１２は、第１の実施形態における利用サービス判定手段１２に相当する。ＩＤ認証層１１３は、第１の実施形態における認証情報管理手段１３に相当する。認証サービス層１１４は、第１の実施形態における利用権限判定手段１４に相当する。
　本実施例では、２種類のサービスが提供されるものとする。一つは、ＤａａＳ（Desktop-as-a-Service）サービスであり、もう一つは、印刷指示と出力指示とが異なるタイミングで行われるサービス(以下、プリンティングサービスと記す。）である。いずれのサービスも、複数のテナント（すなわち、マルチテナント）で同一のサービスが利用されることを想定する。また、ＩＣカードの物理ＩＤとＩＣカードに記憶されたサービスＩＤとの組合せをキーＩＤとする。ＩＣカードのサービスＩＤは、例えば、ＳＭＸに暗号化されて記憶される利用者の社員番号である。また、物理ＩＤは、例えば、ＳＭＸチップのＭｉｆａｒｅのＵＩＤである。なお、物理ＩＤの例として、例えば、Ｆｅｌｉｃａ（登録商標）におけるＩＤｍなども挙げられる。物理ＩＤは、例えば、製造時にチップに焼き付けられ、書き換え不可能な状態で各チップに付与される。
　まず初めに、利用者がＤａａＳサービスを利用する場合について説明する。図９は、利用者がＤａａＳサービスを利用する場合の認証システムの動作例を示すシーケンス図である。クラウドシステムを利用する利用者がリーダライタ（ここでは、モジュール１３０）にＩＣカード１５０をかざすことで、認証要求が行われる（ステップＳ４１）。具体的には、利用者がＤａａＳにログインするタイミングで認証要求が行われる。
　ＩＣカード１５０のサービスＩＤが読み取られたタイミングで、物理認証層１１１に対する認証要求が行われる。ここでは、ＩＣカード１５０およびリーダライタの２つのサービスＩＤが認証対象である。なお、リーダライタのサービスＩＤは、例えば、暗号化されてＳＭＸに記憶されるベンダー等が払いだすリーダライタＩＤである。また、物理ＩＤは、例えば、ＳＭＸのＩＤｍである。端末１２０は、物理認証層１１１に対して、物理認証要求をサービスＩＤの数だけ（ここでは、２回）繰り返す（ステップＳ４２）。
　物理認証層１１１は、各サービスＩＤの認証を行い、一度の契機で認証要求されたサービスＩＤ、物理ＩＤおよびアプリＣＤをひとまとめにしてＩＤハンドリング層１１２へ送信する。ここでは、物理認証層１１１は、ＨＴＴＰを用いて正当性の判定結果（認証結果）を、上位のＩＤハンドリング層１１２に転送する（ステップＳ４３)。
　ＩＤハンドリング層１１２は、物理認証層１１１から転送されたアプリＣＤとキー物理ＩＤに基づいて、受信したサービスＩＤを各テナントに振り分けるＩＤハンドリングを行う。具体的には、テナントが異なる場合、ＩＤハンドリング層１１２は、サービスＩＤをそれぞれ別のＵＲＬで識別されるＩＤ認証層１１３のサーバへハンドリングする（ステップＳ４４）。
　ＩＤ認証層１１３は、ＩＤハンドリング層１１２から受信したサービスＩＤを用いて、認証ＤＢ１１８の内容を更新する（ステップＳ４５）。ＩＤ認証層１１３は、アプリＣＤとキーＩＤとの組合せごとに認証データを管理する。ここで、キーＩＤは、アプリＣＤごとに設定される。ここでは、ＩＤ認証層１１３は、アプリＣＤ（具体的には、ＤａａＳサービスを識別するアプリＣＤ）と社員証番号との組合せごとに認証データを管理する。
　なお、ＩＤ認証層１１３は、認証契機毎に該当する古いサービスＩＤを削除し、最新のサービスＩＤのみ管理する。ＩＤ認証層１１３は、端末１２０からの明示的な契機により、認証ＤＢ１１８に記憶されたサービスＩＤを削除してもよい。明示的な契機として、例えば、端末１２０のアプリケーションでログアウトボタンが押下されたタイミングや、社員証を読み取っている間のみ利用できるサービスで社員証がリーダライタから離されたときなどが挙げられる。また、ＩＤ認証層１１３は、一定の時間経過後（すなわち、タイムアウトしたタイミングで）にサービスＩＤを削除してもよい。
　ＩＤ認証層１１３は、ポリシの確認による利用者の認証を認証サービス層１１４に要求する（ステップＳ４６）。認証サービス層１１４は、ポリシに基づいて、利用者がＤａａＳサービスを利用可能か否か判定する。認証サービス層１１４は、ＤａａＳサービスを利用可能と判定した場合、ＤａａＳサービスを利用する際のチケットを発行し、そのチケットとＤａａＳサービスを利用する際の接続先を示す情報とを、ＩＤ認証層１１３、ＩＤハンドリング層１１２および物理認証層１１１を介して、端末１２０に送信する（ステップＳ４７～Ｓ５０）。
　本実施例では、認証サービス層１１４が発行したチケットを用いてユーザの認証が行われる。そのため、例えば、ログインＩＤをそのまま送信する場合に比べ、よりセキュリティを高めることができる。
　以降、端末１２０は、チケットおよびＤａａｓサービスの接続先を示す情報を受信すると、ＲＤＰ（Remote Desktop Protocol ）や、ＩＣＡ（Independent Computing Architecture）などのプロトコルを利用して、連携するサービスを利用する。
　その後、ＳａａＳ層１６０に存在するサービス提供側から非同期にＰａａＳ層１１０に対してチケットとともにＩＤ情報要求が送信されると（ステップＳ５１）、ＩＤ認証層１１３は、その要求に応じたサービスＩＤをサービス提供側に返却する（ステップＳ５２）。なお、ＩＤ認証層１１３が返却する情報は、サービスＩＤに限定されない。ＩＤ認証層１１３は、例えば、受信したチケットに基づいて、サービスで用いられるログインＩＤなどの情報をサービス提供側に返却してもよい。
　次に、利用者がプリンティングサービスを利用する場合について説明する。図１０は、利用者がプリンティングサービスを利用する場合の認証システムの動作例を示すシーケンス図である。クラウドシステムを利用する利用者がリーダライタ（ここでは、モジュール１３０）にＩＣカード１５０をかざすことで、認証要求が行われる（ステップＳ４１）。具体的には、利用者が印刷データをプリントアウトするタイミングで認証要求が行われる。以降、物理認証層１１１に認証要求を行ってから、認証サービス層１１４が利用者の認証を行うまでのステップＳ４２～Ｓ４６の内容は、図９に例示する内容と同様である。
　認証サービス層１１４は、ポリシに基づいて、利用者がプリンティングサービスを利用可能か否か判定する。認証サービス層１１４は、プリンティングサービスを利用可能と判定した場合、サービス提供側に認証に利用される情報を送信する（ステップＳ６１）。サービス提供側は、認証情報に基づいて利用者が実行可能なジョブ一覧の画面またはジョブ画面の表示先ＵＲＬを、認証サービス層１１４、ＩＤ認証層１１３、ＩＤハンドリング層１１２および物理認証層１１１を介して、端末１２０に送信する（ステップＳ６２～Ｓ６６）。以降、端末１２０は、ジョブ一覧の画面または表示先ＵＲＬに表示される画面を参照して、印刷指示を行う。
　以上、利用者がＤａａｓサービスまたはプリンティングサービスを利用する場合の動作を説明した。上記動作例では、ＩＤハンドリング層１１２からサービスＩＤを受信したＩＤ認証層１１３は、それらのサービスＩＤに基づいて認証を行っていた。ＩＤ認証層１１３は、ＩＤハンドリング層１１２からサービスＩＤを受信した後、再度端末１２０に対して、利用者の認証に必要な情報を要求してもよい。
　図１１は、端末からＩＤ認証層に情報を送信する動作例を示す説明図である。端末は、利用者に必要な情報の送信要求をＩＤ認証層１１３から受信すると、指紋や静脈を読み取るモジュールや、顔画像を抽出するモジュールを用いて各情報の特徴点を取得する。そして、端末は、ＩＤ認証層１１３に対して、特徴点を示す情報を送信する。ＩＤ認証層１１３は、特徴点を示す情報を受信すると、受信した情報と既に受信しているサービスＩＤとをキーＩＤと対応付けて認証ＤＢ１１８に記憶する。このような情報を認証ＤＢ１１８に記憶させることで、認証サービス層１１４は、より動的に認証を行うことが可能になる。
　次に、本発明の最小構成例を説明する。図１２は、本発明による認証システムの最小構成の例を示すブロック図である。本発明による認証システムは、サービスを利用する利用者の認証を行う認証サーバ８０（例えば、認証サーバ１０）と、認証サーバ８０に対して、サービスの認証要求を行う認証要求端末９０（例えば、端末２０）とを備えている。
　認証要求端末９０は、サービスを利用する利用者の認証に用いられる媒体（例えば、ＩＣカード５０）または装置（例えば、端末内蔵装置３０、外部接続装置４０、端末２０）を一意に識別可能な識別情報である物理ＩＤと、各媒体または各装置の種類ごとに定められる識別情報であるサービスＩＤとを認証サーバ８０へ送信する識別情報送信手段９１（例えば、識別情報抽出手段２１）を備えている。
　認証サーバ８０は、受信した各サービスＩＤの正当性を判定する正当性判定手段８１（例えば、サービスＩＤ認証手段１１）と、受信した物理ＩＤに基づいて、その物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定するサービス利用可否判定手段８２（例えば、利用サービス判定手段１２）と、媒体または装置を利用したサービスの利用が可能と判定された場合、受信したサービスＩＤのうち利用者による一認証要求を識別可能な１つ以上のサービスＩＤの組合せをキーＩＤとして、少なくともサービスＩＤおよび正当性判定手段８１によるそのサービスＩＤの判定結果をキーＩＤと対応づけて認証情報記憶手段８３（例えば、認証情報記憶手段１５）に記憶する認証情報管理手段８４（例えば、認証情報管理手段１３）と、少なくともサービスＩＤの組合せに応じてサービスの利用可能範囲を定めたポリシに基づいて、認証情報記憶手段８３に記憶されたキーＩＤに対応づけられたサービスＩＤおよびそのサービスＩＤの判定結果から、利用者が利用するサービスの利用権限を判定する利用権限判定手段８５（例えば、利用権限判定手段１４）とを備えている。
　また、認証要求端末９０の識別情報送信手段９１は、認証に用いられる１つ以上の媒体または装置のうち予め定められた媒体または装置の物理ＩＤと、その認証に用いられる媒体または装置における予め定められた１つ以上のサービスＩＤとを認証サーバ８０へ送信する。
　以上の構成により、利用者がサービスを利用する環境に応じた高度な認証制御を動的に行うことができる。
　また、認証要求端末９０の識別情報送信手段９１は、サービスごとに予め定められた１つ以上のサービスＩＤの組合せおよび物理ＩＤのうち、利用者が認証要求を行うサービスに対応するサービスＩＤの組合せおよび物理ＩＤを、そのサービスを識別する識別子であるアプリケーションコード（アプリＣＤ）と対応付けて認証サーバ８０へ送信してもよい。また、認証サーバ８０の認証情報管理手段８４は、少なくともサービスＩＤおよび正当性判定手段８１によるサービスＩＤの判定結果を、キーＩＤおよびアプリケーションコードと対応づけて認証情報記憶手段８３に記憶してもよい。また、認証サーバ８０の利用権限判定手段８５は、アプリケーションコードにより識別されるサービスに対する利用者の利用権限を判定してもよい。
　このような構成により、利用者の利用可能なサービスが複数存在する場合であっても、それぞれのサービスごとに認証処理を行うことが可能になる。
　また、認証要求端末９０は、利用者が利用するサービスの選択を受け付ける選択サービス受付手段（例えば、選択サービス受付手段２４）を備えていてもよい。そして、認証要求端末９０の識別情報送信手段９１は、選択サービス受付手段が受け付けたサービスを識別するアプリケーションコードを、そのサービスについて予め定められた１つ以上のサービスＩＤの組合せおよび物理ＩＤと対応付けて認証サーバ８０へ送信してもよい。
　また、認証要求端末９０は、各媒体または各装置が備える耐タンパ性を有する記憶手段（例えば、識別情報記憶手段、認証ＬＳＩ）に暗号化された状態で記憶されるサービスＩＤを読み取るサービスＩＤ読取手段（例えば、識別情報抽出手段２１）を備えていてもよい。そして、認証要求端末９０の識別情報送信手段９１は、暗号化されたサービスＩＤを認証サーバ８０へ送信してもよい。また、認証サーバ８０の正当性判定手段８１は、暗号化された各サービスＩＤを復号することによりそのサービスＩＤの正当性を判定してもよい。
　また、認証サーバ８０の認証情報管理手段８４は、利用者によるサービス認証要求が行われたネットワークまたは時間を示す情報（例えば、ネットワーク識別情報、利用者が認証を要求した日時、認証処理が行われた日時）をキーＩＤと対応づけて認証情報記憶手段８３に記憶してもよい。そして、認証サーバ８０の利用権限判定手段８５は、少なくともネットワークまたは時間を示す情報と、サービスＩＤの組合せとに応じてサービスの利用可能範囲を定めたポリシに基づいて、認証情報記憶手段８３に記憶されたキーＩＤに対応づけられたサービスＩＤ、サービスＩＤの判定結果およびネットワークまたは時間を示す情報から、利用者が利用するサービスの利用権限を判定してもよい。
　また、認証要求端末９０の識別情報送信手段９１は、人間の身体的特徴または行動的特徴により特定される利用者の識別情報（例えば、指紋や静脈の特徴点や、顔画像の特徴点）を認証サーバ８０へ送信してもよい。そして、認証サーバ８０の認証情報管理手段８４は、利用者の識別情報をキーＩＤと対応づけて認証情報記憶手段８３に記憶してもよい。また、認証サーバ８０の利用権限判定手段８５は、利用者の識別情報に基づいて、その利用者が利用するサービスの利用権限を判定してもよい。
　また、認証サーバ８０の認証情報管理手段８４は、認証情報記憶手段８３に記憶されてから一定期間が経過した情報を削除してもよい。
　また、認証サーバ８０の認証情報管理手段８４は、認証情報記憶手段８３へ既に記憶されている同一のキーＩＤで識別される認証要求を受信した時に、そのキーＩＤに対応する情報を認証要求に含まれる情報で更新してもよい。
　図１３は、本発明による認証サーバの最小構成の例を示すブロック図である。本発明による認証サーバは、正当性判定手段８１と、サービス利用可否判定手段８２と、少なくともサービスＩＤおよびそのサービスＩＤの正当性の判定結果をキーＩＤと対応づけて認証情報記憶手段８３に記憶する認証情報管理手段８４と、利用権限判定手段８５とを備えている。なお、正当性判定手段８１、サービス利用可否判定手段８２、認証情報記憶手段８３、認証情報管理手段８４および利用権限判定手段８５の内容は、図１２に例示する認証サーバ８０が備える各構成と同様である。このような構成であっても、利用者がサービスを利用する環境に応じた高度な認証制御を動的に行うことができる。
　以上、実施形態及び実施例を参照して本願発明を説明したが、本願発明は上記実施形態および実施例に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　この出願は、２０１１年９月２０日に出願された日本特許出願２０１１－２０４４３８を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　本発明は、サービスを利用する利用者の認証を行う認証システムに好適に適用される。
　１０　認証サーバ
　１１，１１ａ　サービスＩＤ認証手段
　１２，１２ａ　利用サービス判定手段
　１３，１３ａ　認証情報管理手段
　１４，１４ａ　利用権限判定手段
　１５，１５ａ　認証情報記憶手段
　１６　ポリシ記憶手段
　１７　管理情報記憶手段
　２０　端末
　２１，２１ａ　識別情報抽出手段
　２２，２２ａ　認証要求指示手段
　２３，３１，４１，５１　識別情報記憶手段
　３０　端末内蔵装置
　４０　外部接続装置
　５０　ＩＣカード
　１００　通信ネットワーク

Claims (14)

  1. 　サービスを利用する利用者の認証を行う認証サーバと、
    　前記認証サーバに対して、サービスの認証要求を行う認証要求端末とを備え、
    　前記認証要求端末は、
    　サービスを利用する利用者の認証に用いられる媒体または装置を一意に識別可能な識別情報である物理ＩＤと、前記各媒体または前記各装置の種類ごとに定められる識別情報であるサービスＩＤとを前記認証サーバへ送信する識別情報送信手段を備え、
    　前記認証サーバは、
    　受信した各サービスＩＤの正当性を判定する正当性判定手段と、
    　受信した物理ＩＤに基づいて、当該物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定するサービス利用可否判定手段と、
    　前記媒体または装置を利用したサービスの利用が可能と判定された場合、受信したサービスＩＤのうち前記利用者による一認証要求を識別可能な１つ以上のサービスＩＤの組合せをキーＩＤとして、少なくとも前記サービスＩＤおよび前記正当性判定手段による当該サービスＩＤの判定結果を当該キーＩＤと対応づけて認証情報記憶手段に記憶する認証情報管理手段と、
    　少なくとも前記サービスＩＤの組合せに応じてサービスの利用可能範囲を定めたポリシに基づいて、前記認証情報記憶手段に記憶されたキーＩＤに対応づけられたサービスＩＤおよび当該サービスＩＤの判定結果から、前記利用者が利用するサービスの利用権限を判定する利用権限判定手段とを備え、
    　前記認証要求端末の識別情報送信手段は、認証に用いられる１つ以上の媒体または装置のうち予め定められた媒体または装置の物理ＩＤと、当該認証に用いられる媒体または装置における予め定められた１つ以上の前記サービスＩＤとを前記認証サーバへ送信する
    　ことを特徴とする認証システム。
  2. 　認証要求端末の識別情報送信手段は、サービスごとに予め定められた１つ以上のサービスＩＤの組合せおよび物理ＩＤのうち、利用者が認証要求を行うサービスに対応するサービスＩＤの組合せおよび物理ＩＤを、当該サービスを識別する識別子であるアプリケーションコードと対応付けて認証サーバへ送信し、
    　認証サーバの認証情報管理手段は、少なくともサービスＩＤおよび正当性判定手段による当該サービスＩＤの判定結果を、キーＩＤおよび前記アプリケーションコードと対応づけて認証情報記憶手段に記憶し、
    　認証サーバの利用権限判定手段は、アプリケーションコードにより識別されるサービスに対する利用者の利用権限を判定する
    　請求項１記載の認証システム。
  3. 　認証要求端末は、利用者が利用するサービスの選択を受け付ける選択サービス受付手段を備え、
    　認証要求端末の識別情報送信手段は、前記選択サービス受付手段が受け付けたサービスを識別するアプリケーションコードを、当該サービスについて予め定められた１つ以上のサービスＩＤの組合せおよび物理ＩＤと対応付けて認証サーバへ送信する
    　請求項２記載の認証システム。
  4. 　認証要求端末は、
    　各媒体または各装置が備える耐タンパ性を有する記憶手段に暗号化された状態で記憶されるサービスＩＤを読み取るサービスＩＤ読取手段を備え、
    　認証要求端末の識別情報送信手段は、暗号化されたサービスＩＤを認証サーバへ送信し、
    　認証サーバの正当性判定手段は、暗号化された各サービスＩＤを復号することにより当該サービスＩＤの正当性を判定する
    　請求項１から請求項３のうちのいずれか１項に記載の認証システム。
  5. 　認証サーバの認証情報管理手段は、利用者によるサービス認証要求が行われたネットワークまたは時間を示す情報をキーＩＤと対応づけて認証情報記憶手段に記憶し、
    　認証サーバの利用権限判定手段は、少なくとも前記ネットワークまたは時間を示す情報と、サービスＩＤの組合せとに応じてサービスの利用可能範囲を定めたポリシに基づいて、前記認証情報記憶手段に記憶されたキーＩＤに対応づけられたサービスＩＤ、当該サービスＩＤの判定結果および前記ネットワークまたは時間を示す情報から、前記利用者が利用するサービスの利用権限を判定する
    　請求項１から請求項４のうちのいずれか１項に記載の認証システム。
  6. 　認証要求端末の識別情報送信手段は、人間の身体的特徴または行動的特徴により特定される利用者の識別情報を認証サーバへ送信し、
    　認証サーバの認証情報管理手段は、前記利用者の識別情報をキーＩＤと対応づけて認証情報記憶手段に記憶し、
    　認証サーバの利用権限判定手段は、前記利用者の識別情報に基づいて、当該利用者が利用するサービスの利用権限を判定する
    　請求項１から請求項５のうちのいずれか１項に記載の認証システム。
  7. 　認証サーバの認証情報管理手段は、認証情報記憶手段に記憶されてから一定期間が経過した情報を削除する
    　請求項１から請求項６のうちのいずれか１項に記載の認証システム。
  8. 　認証サーバの認証情報管理手段は、認証情報記憶手段へ既に記憶されている同一のキーＩＤで識別される認証要求を受信した時に、当該キーＩＤに対応する情報を当該認証要求に含まれる情報で更新する
    　請求項１から請求項７のうちのいずれか１項に記載の認証システム。
  9. 　サービスの認証要求を行う認証要求端末から、当該サービスを利用する利用者の認証に用いられる媒体または装置を一意に識別可能な識別情報である物理ＩＤと、前記各媒体または前記各装置の種類ごとに定められる識別情報であるサービスＩＤとを受信したときに、当該各サービスＩＤの正当性を判定する正当性判定手段と、
    　受信した物理ＩＤに基づいて、当該物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定するサービス利用可否判定手段と、
    　前記媒体または装置を利用したサービスの利用が可能と判定された場合、受信したサービスＩＤのうち前記利用者による一認証要求を識別可能な１つ以上のサービスＩＤの組合せをキーＩＤとして、少なくとも前記サービスＩＤおよび前記正当性認判定手段による当該サービスＩＤの判定結果を当該キーＩＤと対応づけて認証情報記憶手段に記憶する認証情報管理手段と、
    　少なくとも前記サービスＩＤの組合せに応じてサービスの利用可能範囲を定めたポリシに基づいて、前記認証情報記憶手段に記憶されたキーＩＤに対応づけられたサービスＩＤおよび当該サービスＩＤの判定結果から、前記利用者が利用するサービスの利用権限を判定する利用権限判定手段とを備えた
    　ことを特徴とする認証サーバ。
  10. 　認証情報管理手段は、利用者が認証要求を行うサービスに対応するサービスＩＤの組合せおよび物理ＩＤを当該サービスを識別する識別子であるアプリケーションコードとともに認証要求端末から受信したときに、少なくともサービスＩＤおよび正当性判定手段による当該サービスＩＤの判定結果を、キーＩＤおよび前記アプリケーションコードと対応づけて認証情報記憶手段に記憶し、
    　利用権限判定手段は、アプリケーションコードにより識別されるサービスに対する利用者の利用権限を判定する
    　請求項９記載の認証サーバ。
  11. 　サービスを利用する利用者の認証を行う認証サーバに対して、サービスの認証要求を行う認証要求端末は、当該サービスを利用する利用者の認証に用いられる媒体または装置を一意に識別可能な識別情報である物理ＩＤと、前記各媒体または前記各装置の種類ごとに定められる識別情報であるサービスＩＤとを前記認証サーバへ送信し、
    　前記認証サーバは、受信した各サービスＩＤの正当性を判定し、
    　前記認証サーバは、受信した物理ＩＤに基づいて、当該物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定し、
    　前記認証サーバは、前記媒体または装置を利用したサービスの利用が可能と判定された場合、受信したサービスＩＤのうち前記利用者による一認証要求を識別可能な１つ以上のサービスＩＤの組合せをキーＩＤとして、少なくとも前記サービスＩＤおよび当該サービスＩＤの正当性の判定結果を当該キーＩＤと対応づけて認証情報記憶手段に記憶し、
    　前記認証サーバは、少なくとも前記サービスＩＤの組合せに応じてサービスの利用可能範囲を定めたポリシに基づいて、前記認証情報記憶手段に記憶されたキーＩＤに対応づけられたサービスＩＤおよび当該サービスＩＤの判定結果から、前記利用者が利用するサービスの利用権限を判定し、
    　認証要求端末は、前記物理ＩＤおよびサービスＩＤを送信する際、認証に用いられる１つ以上の媒体または装置のうち予め定められた媒体または装置の物理ＩＤと、当該認証に用いられる媒体または装置における予め定められた１つ以上の前記サービスＩＤとを前記認証サーバへ送信する
    　ことを特徴とする認証方法。
  12. 　認証要求端末は、サービスごとに予め定められた１つ以上のサービスＩＤの組合せおよび物理ＩＤのうち、利用者が認証要求を行うサービスに対応するサービスＩＤの組合せおよび物理ＩＤを、当該サービスを識別する識別子であるアプリケーションコードと対応付けて認証サーバへ送信し、
    　認証サーバは、少なくともサービスＩＤおよび当該サービスＩＤの正当性の判定結果を、キーＩＤおよび前記アプリケーションコードと対応づけて認証情報記憶手段に記憶し、
    　認証サーバは、アプリケーションコードにより識別されるサービスに対する利用者の利用権限を判定する
    　請求項１１記載の認証方法。
  13. 　コンピュータに、
    　サービスの認証要求を行う認証要求端末から、当該サービスを利用する利用者の認証に用いられる媒体または装置を一意に識別可能な識別情報である物理ＩＤと、前記各媒体または前記各装置の種類ごとに定められる識別情報であるサービスＩＤとを受信したときに、当該各サービスＩＤの正当性を判定する正当性判定処理、
    　受信した物理ＩＤに基づいて、当該物理ＩＤで識別される媒体または装置を利用したサービスの利用可否を判定するサービス利用可否判定処理、
    　前記媒体または装置を利用したサービスの利用が可能と判定された場合、受信したサービスＩＤのうち前記利用者による一認証要求を識別可能な１つ以上のサービスＩＤの組合せをキーＩＤとして、少なくとも前記サービスＩＤおよび当該サービスＩＤの正当性の判定結果を当該キーＩＤと対応づけて認証情報記憶手段に記憶する認証情報管理手処理、および、
    　少なくとも前記サービスＩＤの組合せに応じてサービスの利用可能範囲を定めたポリシに基づいて、前記認証情報記憶手段に記憶されたキーＩＤに対応づけられたサービスＩＤおよび当該サービスＩＤの判定結果から、前記利用者が利用するサービスの利用権限を判定する利用権限判定処理
    　を実行させるための認証プログラム。
  14. 　コンピュータに、
    　認証情報管理処理で、利用者が認証要求を行うサービスに対応するサービスＩＤの組合せおよび物理ＩＤを当該サービスを識別する識別子であるアプリケーションコードとともに認証要求端末から受信したときに、少なくともサービスＩＤおよび当該サービスＩＤの正当性の判定結果を、キーＩＤおよび前記アプリケーションコードと対応づけて認証情報記憶手段に記憶させ、
    　利用権限判定処理で、アプリケーションコードにより識別されるサービスに対する利用者の利用権限を判定させる
    　請求項１３記載の認証プログラム。
PCT/JP2012/005149 2011-09-20 2012-08-14 認証システム、認証サーバ、認証方法および認証用プログラム WO2013042306A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/345,582 US20140359746A1 (en) 2011-09-20 2012-08-14 Authentication system, authentication server, authentication method, and authentication program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011204438 2011-09-20
JP2011-204438 2011-09-20

Publications (1)

Publication Number Publication Date
WO2013042306A1 true WO2013042306A1 (ja) 2013-03-28

Family

ID=47914100

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/005149 WO2013042306A1 (ja) 2011-09-20 2012-08-14 認証システム、認証サーバ、認証方法および認証用プログラム

Country Status (2)

Country Link
US (1) US20140359746A1 (ja)
WO (1) WO2013042306A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016002120A1 (ja) * 2014-06-30 2016-01-07 達男 眞子 コンテンツ閲覧制限システム
CN113010880A (zh) * 2021-02-08 2021-06-22 上海新时达电气股份有限公司 电梯配件认证方法、系统、服务器和存储介质

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8132238B2 (en) 2008-05-13 2012-03-06 Ebay Inc. System and method for identity authentication for service access without use of stored credentials
US20150350208A1 (en) * 2014-05-27 2015-12-03 Turgut BAYRAMKUL Token server-based system and methodology providing user authentication and verification for online secured systems
US11290425B2 (en) * 2016-02-01 2022-03-29 Airwatch Llc Configuring network security based on device management characteristics
US9946903B2 (en) 2016-03-24 2018-04-17 Vladimir Kozlov Authenticity verification system and methods of use
US10911452B2 (en) * 2016-11-22 2021-02-02 Synergex Group (corp.) Systems, methods, and media for determining access privileges
KR20190007957A (ko) * 2017-07-14 2019-01-23 에이치피프린팅코리아 유한회사 풀 프린팅 서버 및 풀 프린팅 서버를 이용한 풀 프린팅 방법
CN108696865B (zh) * 2018-04-24 2021-02-02 西南科技大学 一种无线传感网络节点安全认证方法
US11977621B2 (en) 2018-10-12 2024-05-07 Cynthia Fascenelli Kirkeby System and methods for authenticating tangible products
CA3157174A1 (en) 2018-10-12 2020-04-16 Cynthia Fascenelli KIRKEBY System and methods for authenticating tangible products
CN111866129B (zh) * 2020-07-20 2023-03-14 北京百度网讯科技有限公司 基于云平台的服务可用性指标的确定方法及装置、介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009245119A (ja) * 2008-03-31 2009-10-22 Ntt Data Corp 認証サーバ、認証方法、及びそのプログラム
JP2011060233A (ja) * 2009-09-14 2011-03-24 Ntt Communications Kk 認証システム、認証方法、認証装置、プログラム
JP2011175402A (ja) * 2010-02-24 2011-09-08 Mitsubishi Electric Corp アクセス制御連携システム及びアクセス制御連携方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7562385B2 (en) * 2005-04-20 2009-07-14 Fuji Xerox Co., Ltd. Systems and methods for dynamic authentication using physical keys
KR20080031965A (ko) * 2005-07-20 2008-04-11 베리메트릭스 인코퍼레이티드 네트워크 사용자 인증 시스템 및 방법
EP2101276A1 (en) * 2008-03-10 2009-09-16 Aceinc Pty. Limited Data access and user identity verification

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009245119A (ja) * 2008-03-31 2009-10-22 Ntt Data Corp 認証サーバ、認証方法、及びそのプログラム
JP2011060233A (ja) * 2009-09-14 2011-03-24 Ntt Communications Kk 認証システム、認証方法、認証装置、プログラム
JP2011175402A (ja) * 2010-02-24 2011-09-08 Mitsubishi Electric Corp アクセス制御連携システム及びアクセス制御連携方法

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016002120A1 (ja) * 2014-06-30 2016-01-07 達男 眞子 コンテンツ閲覧制限システム
JP2016012249A (ja) * 2014-06-30 2016-01-21 達男 眞子 コンテンツ閲覧制限システム、コンテンツ閲覧制限方法及びコンテンツ閲覧制限プログラム並びにリムーバブルメディア読取装置
US9760695B2 (en) 2014-06-30 2017-09-12 Tatsuo Manago Content viewing restriction system
CN113010880A (zh) * 2021-02-08 2021-06-22 上海新时达电气股份有限公司 电梯配件认证方法、系统、服务器和存储介质
CN113010880B (zh) * 2021-02-08 2022-10-14 上海新时达电气股份有限公司 电梯配件认证方法、系统、服务器和存储介质

Also Published As

Publication number Publication date
US20140359746A1 (en) 2014-12-04

Similar Documents

Publication Publication Date Title
WO2013042306A1 (ja) 認証システム、認証サーバ、認証方法および認証用プログラム
US9288213B2 (en) System and service providing apparatus
US10375069B2 (en) Authorization delegation system, information processing apparatus, authorization server, control method, and storage medium
JP6882080B2 (ja) 画像処理装置、方法、プログラム及びシステム
JP5365512B2 (ja) ソフトウェアｉｃカードシステム、管理サーバ、端末、サービス提供サーバ、サービス提供方法及びプログラム
US20100251353A1 (en) User-authorized information card delegation
KR20140041368A (ko) 화상형성장치, 화상형성장치의 제어 방법, 및 기억매체
US20130031612A1 (en) Server apparatus, information processing method, program, and storage medium
JP2015172824A (ja) 情報処理システム及び認証情報提供方法
US20220321357A1 (en) User credential control system and user credential control method
JP6099384B2 (ja) 情報通信システム及び認証装置及び情報通信システムのアクセス制御方法及びアクセス制御プログラム
JP2010086435A (ja) 情報処理方法およびコンピュータ
JP2022113037A (ja) 多要素認証機能を備えた画像形成装置
JP6459270B2 (ja) 情報処理装置及びプログラム
EP3759629B1 (en) Method, entity and system for managing access to data through a late dynamic binding of its associated metadata
JP7180221B2 (ja) 情報処理装置、情報処理システムおよびプログラム
JP4135151B2 (ja) Ｒｆｉｄを用いたシングルサインオン方法及びシステム
JP2012118833A (ja) アクセス制御方法
JP5678150B2 (ja) ユーザ端末、鍵管理システム、及びプログラム
JP2021152975A (ja) 情報処理装置、制御方法、およびプログラム
JP4527491B2 (ja) コンテンツ提供システム
JP2004213265A (ja) 電子文書管理装置、文書作成者装置、文書閲覧者装置、電子文書管理方法及び電子文書管理システム
KR101545897B1 (ko) 주기적인 스마트카드 인증을 통한 서버 접근 통제 시스템
JP5702458B2 (ja) 情報処理装置、プログラム、および情報処理システム
JP6819734B2 (ja) 情報処理装置及び利用端末

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12834056

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14345582

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12834056

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP