WO2015068694A1 - 認証システム、方法及びプログラム - Google Patents

認証システム、方法及びプログラム Download PDF

Info

Publication number
WO2015068694A1
WO2015068694A1 PCT/JP2014/079238 JP2014079238W WO2015068694A1 WO 2015068694 A1 WO2015068694 A1 WO 2015068694A1 JP 2014079238 W JP2014079238 W JP 2014079238W WO 2015068694 A1 WO2015068694 A1 WO 2015068694A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
sso
user
service
account information
Prior art date
Application number
PCT/JP2014/079238
Other languages
English (en)
French (fr)
Inventor
理恵子 鶴見
明夫 西村
竜朗 池田
Original Assignee
株式会社 東芝
東芝ソリューション株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社 東芝, 東芝ソリューション株式会社 filed Critical 株式会社 東芝
Priority to CN201480054232.3A priority Critical patent/CN105593869B/zh
Publication of WO2015068694A1 publication Critical patent/WO2015068694A1/ja
Priority to US15/148,058 priority patent/US10178081B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/41—User authentication where a single sign-on provides access to a plurality of computers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Definitions

  • Embodiments of the present invention relate to an authentication system, method, and program.
  • service providers such as companies or providers authenticate user IDs and passwords and provide services to users.
  • the user needs to manage the ID and password for each service. Further, from the viewpoint of security enhancement, the user is required by each service provider to update the password periodically or to use a complicated and long password.
  • the service provider manages and authenticates IDs and passwords for each user and provides services. Further, the service provider maintains the security strength for each user by using a one-time password device, a random number table, or the like in terms of cost and operation. These one-time password devices and random number tables are not used jointly with other service providers in order to maintain security.
  • the above-described authentication linkage makes it difficult for a user to use single sign-on safely when the strength of authentication differs between systems, and lowers user convenience.
  • the service provider cannot easily prepare a highly secure environment such as biometric authentication, there is a high possibility that the service provider will continue to use the constructed environment. Therefore, the authentication method provided to the user is fixed.
  • IDaaS Identity as Service
  • the problem to be solved by the present invention is to provide an authentication system, method, and program capable of easily changing an authentication method while improving convenience for users and service providers.
  • the authentication system of the embodiment includes a service provider device, an IDaaS provider device, and an authentication agent device that can communicate with a user terminal operated by a user.
  • the service provider device includes service account information storage means.
  • the service account information storage means stores service account information including a service account identifier for identifying an account of a service provided by the service provider device and a first linkage ID.
  • the IDaaS provider device includes SSO account information storage means.
  • the SSO account information storage means includes a single sign-on (SSO) account identifier that matches a user ID that identifies the user, a first linkage ID that matches the first linkage ID, and a second linkage that is different from the first linkage ID. SSO account information including the linkage ID is stored.
  • SSO single sign-on
  • the authentication agent device includes authentication account information storage means.
  • the authentication account information storage means includes authentication account information including an authentication account identifier for identifying an account of authentication processing for the user, a second cooperation ID that matches the second cooperation ID, and an authentication class indicating the method of the authentication processing.
  • the authentication agent device Based on the user ID and the SSO request transmitted from the user terminal, the authentication agent device having authentication account information associated with the SSO account information including the SSO account identifier matching the user ID through the second linkage ID Performs authentication processing of a user who operates the user terminal.
  • the IDssS business entity device having the SSO account information including the SSO account identifier that matches the user ID of the user subjected to the authentication process transmits the SSO account information via the first linkage ID.
  • SSO authentication is permitted for the service identified by the service account identifier included in the associated service account information.
  • the service providing apparatus that provides a service for which the SSO authentication is permitted transmits information on the service to the user terminal that has transmitted the user ID and the SSO request.
  • FIG. 1 is a schematic diagram illustrating a configuration of an authentication system according to the first embodiment.
  • FIG. 2 is a schematic diagram for explaining account information and the like of each device in the embodiment.
  • FIG. 3 is a schematic diagram for explaining each account information in the embodiment.
  • FIG. 4 is a schematic diagram for explaining an example of the operation in the embodiment.
  • FIG. 5 is a sequence diagram showing an example of a business sequence in the embodiment.
  • FIG. 6 is a sequence diagram showing an example of a business sequence in the embodiment.
  • FIG. 7 is a flowchart for explaining an example of the operation in the embodiment.
  • FIG. 8 is a flowchart for explaining an example of the operation in the embodiment.
  • FIG. 9 is a schematic diagram for explaining an example of the operation in the embodiment.
  • FIG. 10 is a schematic diagram for explaining each management table applied to the authentication system according to the second embodiment.
  • FIG. 11 is a schematic diagram for explaining each account information in the embodiment.
  • FIG. 12 is a schematic diagram for explaining an example of the operation in the embodiment.
  • FIG. 13 is a schematic diagram illustrating an example of authentication level management in the embodiment.
  • FIG. 14 is a flowchart for explaining an example of the operation in the embodiment.
  • FIG. 15 is a flowchart for explaining an example of the operation in the embodiment.
  • FIG. 16 is a flowchart for explaining an example of the operation in the embodiment.
  • FIG. 17 is a flowchart for explaining an example of the operation in the embodiment.
  • FIG. 18 is a flowchart for explaining an example of the operation in the embodiment.
  • FIG. 19 is a flowchart for explaining an example of the operation in the embodiment.
  • FIG. 20 is a schematic diagram showing an example of a policy when changing the authentication level in the embodiment.
  • FIG. 21 is a schematic diagram showing an example of a policy when changing the authentication level in the embodiment.
  • the first embodiment relates to an authentication system including a service provider device, an IDaaS provider device, and an authentication agent device that can communicate with a user terminal operated by a user.
  • the authentication system may include a user terminal operated by a user and an IDaaS provider device and an authentication agent device that can communicate with a service provider device for providing a service to the user.
  • the service provider device includes service account information storage means.
  • the service account information storage means stores service account information including a service account identifier for identifying an account of a service provided by the service provider device and a first linkage ID.
  • the IDaaS provider device includes single sign-on (SSO) account information storage means.
  • the SSO account information storage means includes a single sign-on (SSO) account identifier that matches a user ID for identifying a user, a first linkage ID that matches the first linkage ID, and a second linkage ID that is different from the first linkage ID. SSO account information is stored.
  • the authentication agent device includes authentication account information storage means.
  • the authentication account information storage unit stores authentication account information including an authentication account identifier for identifying an authentication process account for the user, a second cooperation ID that matches the second cooperation ID, and an authentication class indicating the method of the authentication process.
  • an authentication agent based on the user ID and the SSO request transmitted from the user terminal, an authentication agent having authentication account information associated with the SSO account information including the SSO account identifier matching the user ID via the second linkage ID
  • the apparatus executes an authentication process for a user who operates the user terminal.
  • the IDssS company device having the SSO account information including the SSO account identifier that matches the user ID of the user subjected to the authentication process associates with the SSO account information via the first linkage ID. SSO authentication is permitted for the service identified by the service account identifier included in the service account information.
  • the service providing apparatus that provides a service for which SSO authentication is permitted transmits information about the service to the user terminal that has transmitted the user ID and the SSO request.
  • the authentication agent device that cooperates with the IDaaS provider device performs authentication, it becomes easy for the user to use single sign-on safely and the convenience of the user is improved. .
  • the service provider since the service provider does not need to prepare a highly secure environment such as biometric authentication, the authentication method provided to the user can be easily changed.
  • the authentication agent device stores an authentication class indicating an authentication processing method and an authentication class management table in which an authentication level indicating the level of the authentication processing is associated and described. Means.
  • the SSO account information storage means includes an authentication level.
  • the authentication agent updates the authentication class management table so as to decrease the authentication level of the authentication process, and the decreased authentication level And the authentication class associated with the authentication level in the authentication account information are transmitted to the IDaaS provider apparatus.
  • the IDaaS provider device Upon receiving the authentication level and the authentication class from the authentication agency device, the IDaaS provider device searches the SSO account information based on the received authentication class, and uses the authentication level obtained by the search as the received authentication level.
  • the SSO account information is updated so as to decrease.
  • the authentication level can be lowered, so that the reliability of the authentication process can be maintained.
  • the authentication agent device includes first table storage means.
  • the first table storage means is an authentication class management table in which an authentication class indicating an authentication processing method, an authentication level indicating the level of the authentication processing, and an authentication class index including an authentication agency name of the authentication class are described in association with each other. Is remembered.
  • the IDaaS provider device includes a second table storage unit that stores an authentication level management table in which an authentication level and an authentication class index are described in association with each other.
  • the authentication agent device updates the authentication class management table so as to decrease the authentication level of the authentication process, and the authentication class management table And the authentication class index associated with this authentication level is transmitted to the IDaaS provider device.
  • the IDaaS provider device When the IDaaS provider device receives the authentication level and the authentication class index from the authentication agent device, the IDaaS provider device searches the authentication level management table based on the received authentication class index. The IDaaS provider device updates the authentication level management table so as to lower the authentication level obtained by the search to the received authentication level.
  • the authentication level when a problem occurs in the authentication process and the level of the authentication process is lowered, the authentication level can be lowered, so that the reliability of the authentication process can be maintained. .
  • the IDaaS provider device when the authentication level is lowered, the IDaaS provider device does not need to update the SSO account information for each user ID, and may update the authentication level management table. The load required for lowering the authentication level can be greatly reduced.
  • FIG. 1 is a schematic diagram showing a configuration of an authentication system according to the first embodiment
  • FIGS. 2 and 3 are schematic diagrams for explaining account information and the like of each device.
  • the user terminal 10 operated by the user U, the service provider device 20, the IDaaS provider device 30, and the authentication agent device 40 can communicate.
  • the user U, the user terminal 10, the service provider device 20, the IDaaS provider device 30, and the authentication agent device 40 exist in multiples, but are shown one by one in the drawing.
  • Each of the devices 10, 20, 30, and 40 can be implemented with either a hardware configuration or a combination configuration of hardware resources and software.
  • the software of the combination configuration is installed in a computer from a network or a non-transitory computer-readable storage medium (M1, M2, M3, M4) in advance and executed by a processor of the computer.
  • a program for realizing each function of each device 10, 20, 30, 40 is used.
  • User U is an individual user or a corporate user who uses the service. In the figure, it is assumed that a service is received by login authentication.
  • the user U represents a user such as an individual / company / public.
  • the user terminal 10 is a terminal device having a normal computer function that can access other devices 20, 30, and 40 using a Web browser, for example.
  • any terminal device such as a notebook PC (personal computer), a desktop PC, or a mobile terminal can be used.
  • the user terminal 10 includes, for example, a memory 11, a web browser unit 12, and an authentication client unit 13.
  • the Web browser unit 12 is a functional unit realized by a processor (not shown) in the user terminal 10 executing a browser application program in the memory 11.
  • the authentication client unit 13 is a functional unit realized by a processor (not shown) in the user terminal 10 executing an authentication application program in the memory 11.
  • the service provider device 20 is a device operated by the service provider and includes public and corporate service sites.
  • the service provider device 20 is a general Web service provider that provides a service based on a request received from the user terminal 10.
  • the service provider device 20 includes, for example, a memory 21 and a secure Web processing unit 22.
  • the Web processing unit 22 is a functional unit that is realized when a processor (not shown) in the service provider device 20 executes an application program for secure processing in the memory 21.
  • the memory 21 is a storage device that stores information such as service account information ac1 as shown in FIGS.
  • the service account information ac1 includes a service account identifier and first IDaaS linkage information.
  • the service account information ac1 may further include attribute information related to the service such as a service history.
  • the service account identifier is an identifier for identifying a service account for each user by the service provider.
  • the first IDaaS cooperation information includes a cooperation destination IDaaaS name indicating the cooperation destination IDaaS provider, and a first cooperation ID that is identification information shared by the service provider apparatus 20 and the IDaaS provider apparatus 30 for cooperation. It is out.
  • the administrator of the user ID viewed from the user U is a service provider, but the service provider outsources the management of the user ID to the IDaaS provider. For this reason, the substance of the user ID exists in the area managed by the IDaaS provider.
  • the IDaaS provider device 30 is a device operated by an IDaaS provider who undertakes user ID management from a service provider. “IDaaS provider” may be read as “ID provider”.
  • the IDaaS provider apparatus 30 includes, for example, a memory 31, an authentication service unit 32, and an ID management unit 33, as shown in FIG.
  • the authentication service unit 32 is a functional unit realized when a processor (not shown) in the IDaaS provider device 30 executes an authentication service application program in the memory 31.
  • the ID management unit 33 is a functional unit realized when a processor (not shown) in the IDaaS provider device 30 executes an authentication service application program in the memory 31.
  • the ID management unit 33 creates SSO account information ac2 as shown in FIGS. 2 and 3 and associates it with the ID. Further, the ID management unit 33 can set a method of authenticating with the SSO account information ac2.
  • the memory 31 is a storage device that stores information such as SSO (Single Sign-On) account information ac2.
  • the SSO account information ac2 includes an SSO account identifier, SP cooperation information, and AP cooperation information.
  • the SSO account information ac2 may further include user management information associated with the user ID as the value of the SSO account identifier.
  • user management information for example, the name, address, age, email address, telephone number, password, etc. of the user U can be used as appropriate.
  • SP is an abbreviation for service provider (Service) Provider)
  • AP is an abbreviation for authentication agent provider (Authentication Provider).
  • the SSO account identifier is an identifier for identifying a single sign-on account for each user by the IDaaS provider, and a user ID is used as a value.
  • the SP cooperation information includes a cooperation destination SP name indicating a cooperation destination service provider, and a first cooperation ID that is identification information shared with the service provider device 20 for cooperation.
  • the AP cooperation information includes the cooperation destination AP name indicating the authentication agency of the cooperation destination, the second cooperation ID that is identification information shared with the authentication agency device 40 for cooperation, and the level of authentication processing by the authentication agency device 40 And an authentication level indicating.
  • the authentication agent device 40 is a device that is operated by an authentication agent company that undertakes authentication from the IDaaS company. For example, it is possible to provide an authentication agency service for authenticating a person without flowing biometric authentication over the network by ACBio (Authentication Context for Biometrics) technology defined in ISO / IEC 24761.
  • ACBio Authentication Context for Biometrics
  • the authentication agent device 40 includes, for example, a memory 41, an authentication agent unit 42, and a certificate issuing unit 43.
  • the authentication proxy unit 42 is a functional unit realized by a processor (not shown) in the authentication proxy device 40 executing an authentication proxy application program in the memory 41.
  • the authentication agent unit 42 performs ACBio authentication here.
  • the certificate issuing unit 43 is a functional unit that is realized when a processor (not shown) in the authentication proxy device 40 executes a certificate issuing application program in the memory 41.
  • the certificate issuing unit 43 issues in advance a BRT certificate (Biometric Template Certificate) to be confirmed when the authentication agent unit 42 verifies.
  • the BRT certificate is a certificate sent together with the result of biometric authentication from a client used for ACBio authentication.
  • the memory 41 is a storage device that stores authentication account information ac3 and an authentication class management table T1 as shown in FIGS.
  • the authentication account information ac3 includes an authentication account identifier, second IDaaS cooperation information, and authentication information.
  • the authentication account identifier is an identifier for identifying an authentication account for each user by an authentication agent.
  • the second IDaaS cooperation information includes a cooperation destination IDaaaS name indicating the cooperation destination IDaaS provider, and a second cooperation ID that is identification information shared by the authentication proxy device 40 and the IDaaS provider device 30 for cooperation. Yes.
  • the authentication information includes an authentication class that specifies information necessary for executing the authentication process by the authentication agent device 40, and credential information for each user used in the authentication process.
  • the authentication class is information that specifies information necessary for executing the authentication process in common with each user, and includes, for example, an authentication process method.
  • the illustrated information “acbio-finger-vein” indicates that the authentication processing method is finger-vein authentication of ACBio technology.
  • the credential information is information necessary for executing the authentication process for each user.
  • the credential information includes a BRT certificate or identification information of the BRT certificate.
  • the BRT certificate is data obtained by applying a digital signature of an issuer (eg, IDaaS provider or a third party organization) to the hash value of the biometric reference information.
  • the biometric reference information (Biometric Reference Template) is a credential that is a standard for authenticity of the biometric authentication of the user.
  • an authentication level indicating the level of authentication processing by the authentication agent device 40 and an authentication class for specifying information necessary for executing the authentication processing by the authentication agent device 40 are described in association with each other.
  • Steps ST1 to ST4 for storing the account information ac1 to ac3 and the like are executed in advance.
  • Steps ST2 to ST4 are processes related to ACBio authentication, which is an example of authentication processing, and are appropriately changed when other authentication processing is used.
  • step ST1 the ID management unit 33 in the IDaaS provider device creates SSO account information ac2, and stores the SSO account information ac2 in the memory 31.
  • the ID management unit 33 associates the SSO account information with the user ID.
  • the ID management unit 33 creates service account information ac1 and stores the service account information ac1 in the memory 21.
  • step ST2 the ID management unit 33 creates authentication account information ac3 and stores the authentication account information ac3 in the memory 41.
  • the authentication account information ac3 is associated with the SSO account information ac2.
  • step ST3 a BRT certificate issuance procedure is executed between the authentication client unit 13 in the user terminal 10 and the certificate issuing unit 43 in the authentication proxy device 40.
  • step ST4 the issued BRT certificate is registered in the authentication account information ac3 from the certificate issuing unit 43.
  • SSO single sign-on
  • step ST10 the Web browser unit 12 in the user terminal 10 transmits the user ID and the SSO request to the IDaaS provider device 30.
  • step ST11 the authentication service unit 32 in the IDaaS provider device 30 confirms the single sign-on account and the authentication level from the SSO account information ac2 in the memory.
  • step ST12 the authentication service unit 32 transmits login screen data for authentication to the Web browser unit 12, and requests authentication information.
  • step ST13 the Web browser unit 12 sends an ACBio authentication request to the authentication client unit 13.
  • step ST14 the authentication client unit 13 transmits an ACBio authentication request to the authentication agent device 40.
  • the authentication agent unit 42 in the authentication agent device 40 extracts information from the BRT certificate registered in the authentication account information ac3 in the memory 41, and executes ACBio authentication based on the ACBio authentication request.
  • step ST14 based on the user ID and the SSO request transmitted from the user terminal 10, the authentication associated with the SSO account information including the SSO account identifier matching the user ID via the second linkage ID.
  • the authentication agent device 40 having the account information ac3 executes an authentication process for a user who operates the user terminal 10.
  • step ST15 the authentication client unit 13 returns control to the web browser unit 12 after transmitting the ACBio authentication request in step ST15.
  • step ST16 the Web browser unit 12 transmits the authentication result to the authentication service unit 32.
  • step ST17 the authentication service unit 32 confirms the authentication result from the authentication agent unit 42.
  • step ST18 the authentication service unit 32 confirms that the authentication result is correct, and returns an SSO authentication permission to the Web browser unit 12.
  • the IDssS provider device 30 having the SSO account information ac2 including the SSO account identifier that matches the user ID of the user subjected to the authentication process is transferred to the SSO account information.
  • the SSO authentication for the service identified by the service account identifier included in the service account information ac1 associated with ac2 through the first linkage ID is permitted.
  • step ST19 the web browser unit 12 performs single sign-on to the service provider device 20 that cooperates with SSO by single sign-on authentication.
  • the service providing apparatus 20 that provides a service for which SSO authentication is permitted transmits information about the service to the user terminal 10 that has transmitted the user ID and the SSO request in step ST10.
  • FIG. 5 is a sequence diagram showing an example of a business sequence when the service provider requests the IDaaS provider to handle ID outsourcing and SSO.
  • This business sequence can be realized in any form of online, offline, or a mixture of both.
  • step ST20 the service provider device transmits an ID outsource request for requesting (consulting) ID outsource work to the IDaaS provider device.
  • step ST21 in response to the ID outsource request, the IDaaS provider device transmits a usage menu indicating the content, price, and the like of the IDaaS service to the service provider device 20.
  • step ST22 the service provider device 20 notifies the IDaaS provider of the IDaaS service selected by the service provider from the use menu.
  • step ST23 an application for using an authentication proxy service corresponding to the notified IDaaS service is transmitted to the authentication proxy device 40.
  • step ST24 the authentication undertaking apparatus 40 executes a process of concluding a contract with the IDaaS provider apparatus 30 based on the use application.
  • step ST25 the IDaaS provider apparatus 30 executes a process of concluding a contract with the service provider apparatus 20 based on the process of step ST24.
  • step ST26 the service provider device 20 notifies the user terminal 10 of the start of using the SSO service.
  • This notification includes, for example, an SSO-enabled service and an SSO authentication method.
  • step ST27 the user terminal 10 transmits an SSO use application including the SSO-enabled service selected from the notification in step ST26 and the selected authentication method to the service provider device 20.
  • step ST28 the service provider device 20 transmits this SSO use application to the IDaaS provider device 30.
  • step ST29 the IDaaS provider device 30 transmits an authentication agent application for performing authentication to the authentication agent device 40 based on the SSO use application.
  • FIG. 6 is a schematic diagram showing an example of a business sequence when the service provider requests the IDaaS provider to handle ID outsourcing and SSO.
  • This business sequence can be realized in any form of online, offline, or a mixture of both.
  • step ST30 the service provider device 20 transmits to the user terminal 10 a service usage fee request for charging a service usage fee.
  • This service usage fee claim is bill data for charging a cost (service usage fee) including the usage fee of the service applied in the SSO usage application in step ST27.
  • step ST31 the user of the user terminal 10 pays a service usage fee to the service provider based on this service usage fee request.
  • a payment method for example, an arbitrary payment method such as bank withdrawal can be applied.
  • step ST32 the IDaaS provider device 30 transmits to the service provider device 20 an ID management fee request for a fee (ID management fee) including a management fee for the user ID.
  • ID management fee a fee including a management fee for the user ID.
  • step ST33 the service provider operating the service provider device 20 pays the ID management fee to the IDaaaS business based on this ID management fee request.
  • step ST34 the authentication agent device 40 transmits to the IDaaS provider device 30 an authentication agent fee request for a fee (authentication agent fee) including a fee for using the authentication agent service.
  • step ST35 the IDaaS provider operating the IDaaS provider device 30 pays the authentication proxy fee to the authentication proxy operator based on the request for the authentication proxy fee.
  • FIG. 7 and FIG. 8 are flowcharts for explaining an example of the operation from when the user requests login to the service provider's website until login.
  • the service provider outsources ID management to the IDaaS provider.
  • An IDaaS provider uses an authentication agency.
  • the authentication agency uses online authentication ACBio that does not flow biometric information on the network.
  • step ST41 the user terminal 10 requests a Web connection to connect to the Web site according to the operation of the user U.
  • step ST42 the Web application operating in step ST41 transmits the user ID for connecting to the Web site and the connection request to the IDaaS provider apparatus 30.
  • the connection request may be read as an SSO request.
  • step ST43 the IDaaS provider device 30 receives the user ID and the connection request.
  • step ST44 when the IDaaS provider device 30 receives the connection request, it reads the SSO account information ac2 from the memory 31.
  • step ST45 the IDaaS provider device 30 executes ID authentication for determining whether or not the user ID received in step ST43 is positive based on the read SSO account information.
  • step ST46 if the result of the determination in step ST45 is NO, the IDaaS provider device 30 executes error processing.
  • step ST47 if the result of the determination in step ST45 is positive, the IDaaS provider device 30 determines whether or not the user indicated by the user ID is an object of online biometric authentication based on the SSO account information ac2. To do. In this example, it is assumed that the user is an object of online biometric authentication. Therefore, description is abbreviate
  • step ST48 the IDaaS provider device 30 transmits an online biometric authentication request and SSO account information ac2 to the authentication proxy device 40.
  • the IDaaS provider apparatus 30 stores the SSO account information ac2 including the SSO account identifier that matches the user ID based on the user ID and the SSO request transmitted from the user terminal 10.
  • (2) A step of transmitting an authentication request to the authentication agent device 40 having the authentication account information ac3 associated through the linkage ID is executed.
  • step ST49 the authentication agent device 40 receives the online biometric authentication request and the account.
  • step ST50 the authentication undertaking apparatus 40 reads the AP account information ac3 from the memory 41 based on the SSO account information ac2.
  • step ST51 the authentication undertaking apparatus 40 generates a challenge code necessary for ACBio authentication after the AP account information ac3 is confirmed in step ST50.
  • step ST52 the authentication agent device 40 transmits an ACBio authentication request to the user terminal 10 together with the challenge code.
  • step ST53 the user terminal 10 receives the challenge code and the authentication request.
  • step ST54 the user terminal 10 generates an ACBio instance using a biometric authentication ACBio application program installed as the authentication client unit 13.
  • the ACBio instance includes biometric authentication result information, a challenge code, a BRT certificate, and the like.
  • step ST55 the user terminal 10 transmits the generated ACBio instance to the authentication agent device 40.
  • step ST56 the authentication undertaking apparatus 40 receives this ACBio instance.
  • step ST57 the authentication undertaking apparatus 40 verifies the received ACBio instance.
  • biometric authentication result information, challenge code, and BRT certificate included in the ACBio instance are verified.
  • step ST58 the authentication undertaking apparatus 40 transmits the verification result of the ACBio instance and the SSO account information ac2 received in step ST49 to the IDaaS provider apparatus 30.
  • the authentication agent device 40 executes the authentication process of the user who operates the user terminal 10 based on the authentication request received from the IDaaS provider device 30, and the authentication is performed.
  • a step of transmitting the processing result to the IDaaS provider device 30 is executed.
  • step ST59 the IDaaS provider device 30 receives the verification result of the ACBio instance and the SSO account information ac2 from the authentication proxy device 40.
  • step ST60 the IDaaS provider device 30 determines whether the ACBio authentication result is successful.
  • step ST61 if the result of the determination in step ST60 is negative, the IDaaS provider device 30 executes error processing.
  • step ST62 if the result of the determination in step ST60 is successful, the IDaaS provider device 30 extracts the user ID from the SSO account information ac2 received in step ST59, and provides the user ID and authentication information indicating successful authentication as a service. The provider device 20 is notified.
  • the IDaaS provider apparatus 30 stores the first SSO account information ac2 including the SSO account identifier that matches the user ID of the user subjected to the authentication process.
  • the step of permitting SSO authentication for the service identified by the service account identifier included in the service account information ac3 associated through the cooperation ID and transmitting the permission to the service provider device 20 is executed.
  • step ST63 the service provider device 20 receives the user ID and the authentication information, and permits authentication based on the user ID.
  • step ST64 the service provider device 20 permits connection and display to the Web page based on the user ID and connection request received in step ST43.
  • the service provider device 20 executes a step of transmitting information related to the service permitted for the SSO authentication to the user terminal 10 that has transmitted the user ID and the SSO request in step ST42. ing.
  • step ST65 the user terminal 10 displays a web page that can be connected upon successful login.
  • the authentication agent device 40 stores an authentication class management table T1 in which an authentication class indicating an authentication processing method and an authentication level indicating the level of the authentication processing are described in association with each other in the memory 41.
  • the SSO account information ac2 includes an authentication level.
  • the authentication agent device 40 updates the authentication class management table T1 so as to decrease the authentication level of the authentication process, and the reduced authentication level
  • the authentication class associated with the authentication level in the authentication account information ac3 is transmitted to the IDaaS provider apparatus 30.
  • the IDaaS provider device 30 Upon receiving the authentication level and the authentication class from the authentication proxy device 40, the IDaaS provider device 30 searches the SSO account information ac2 based on the received authentication class, and receives the authentication level obtained by the search. The SSO account information ac2 is updated so that the authentication level is lowered to the authentication level.
  • the IDaaS provider apparatus 30 changes the authentication level “LEVEL 4” in the AP cooperation information included in the SSO account information ac2 for each user ID to “LEVEL 3”.
  • the second linkage ID is added to the SSO account information ac2 including the SSO account identifier that matches the user ID.
  • the authentication agent device 40 having the authentication account information ac3 associated therewith executes the authentication process of the user who operates the user terminal 10.
  • the IDssS business entity device 30 having the SSO account information ac2 including the SSO account identifier that matches the user ID of the user subjected to the authentication process uses the first linkage ID in the SSO account information ac2. SSO authentication is permitted for the service identified by the service account identifier included in the service account information ac3 associated therewith.
  • the service providing apparatus 20 that provides a service for which SSO authentication is permitted transmits information on the service to the user terminal 10 that has transmitted the user ID and the SSO request.
  • the authentication method can be easily changed while improving the convenience of the user and the service provider.
  • the authentication proxy device 40 when a problem occurs in the authentication process and the level of the authentication process decreases, the authentication proxy device 40 causes the authentication proxy device 40 to decrease the authentication level of the authentication process. Is updated, and the authentication level that has been reduced and the authentication class associated with this authentication level in the authentication account information ac3 are transmitted to the IDaaS provider device 30. Further, when the IDaaS provider device 30 receives the authentication level and the authentication class from the authentication agent device 40, the IDaaS provider device 30 searches the SSO account information ac2 based on the received authentication class, and determines the authentication level obtained by the search as follows: The SSO account information ac2 is updated so as to lower the received authentication level. In the first embodiment, with such a configuration, when a problem occurs in the authentication process and the level of the authentication process is lowered, the authentication level can be lowered, so that the reliability of the authentication process is maintained. Can do.
  • the service provider user can select an authentication method as an option in IDaaS.
  • the convenience of the user and service provider which is the initial purpose, can be improved, and the user and the service provider can be given a degree of freedom in selecting a security service.
  • IDaaaS manages IDs, authentication authentication is only authentication, and loosely coupled with ID management, thereby simplifying the authentication management and operation method.
  • the following effects (a) to (d) can be obtained by separating the authentication service from the IDaaS.
  • (A) Effect on Service Provider The service provider can obtain the following effects in terms of operation by outsourcing ID management to the IDaaS business operator.
  • Service providers do not need to collaborate and manage user information by establishing trust relationships with ID providers and other service providers.
  • Service providers can eliminate the risk of leakage of ID information due to their own ID management by outsourcing ID management.
  • the service provider can select an authentication method provided as an option by the IDaaS provider.
  • the service provider can easily introduce biometric authentication that requires a great deal of preparation and operational considerations in order to prepare it in-house.
  • Service providers do not need to have a secure management environment in-house.
  • the service provider performs high-security authentication when the number of other users of other service providers who use IDaaS in SSO authentication is large ( Biometric authentication etc.) can be provided to the user.
  • An IDaaS provider can obtain an effect of improving the use service for the service provider and the user by outsourcing the authentication proxy service to the authentication proxy service provider.
  • the IDaaS provider By outsourcing the authentication method, the IDaaS provider increases the choices of the authentication method for the ID, and enables separation by loose coupling, thereby enabling a more secure authentication method according to the request of the user and the service provider. Can be selected. Similarly, the IDaaS provider can quickly respond to an authentication method with a high security effect.
  • the IDaaS provider does not prepare itself for resources that use authentication methods or management methods that are difficult to manage, such as biometric authentication, but can use already completed resources.
  • the IDaaS provider Since the IDaaS provider performs authentication in response to requests from a plurality of service providers, it can provide a high-security service to a small group of service providers.
  • the authentication agent operator can obtain an effect of providing secure authentication specialized in expertise by providing an authentication agent service of the IDaaS provider.
  • the authentication agent does not need to manage user information because the IDaaS provider has user information associated with the ID.
  • the authentication agent can provide an authentication agent service not only to the service provider but also to an unspecified number of applicants from IDaaS.
  • (D) Effect on User The user can obtain the effect of improving convenience as follows. That is, the user can use an authentication service provided by IDaaS. In addition, when the user wants to secure, the user has more options such as using biometric authentication. Furthermore, the user does not need to memorize individually the user ID registered for each service provider by performing single sign-on (SSO) using IDaaS.
  • SSO single sign-on
  • the second embodiment is a modification of the first embodiment, and reduces the load required for changing the authentication level.
  • the attribute (support authentication level) of the SSO account information ac2 of all users must be changed. Therefore, in the first embodiment, when the number of accounts increases, the load due to the change of the authentication level is large.
  • the IDaaS provider device 30 stores an authentication level management table T2 in which an authentication level and an authentication class index are described in association with each other in a memory 31.
  • the authentication class index is an index representing an authentication agent name (AP name) and an authentication class.
  • the authentication agent device 40 is an authentication class management in which an authentication class indicating an authentication processing method, an authentication level indicating the level of the authentication processing, and an authentication class index including an authentication agent operator name of the authentication class are associated and described.
  • the table T1 is stored in the memory 41.
  • the AP cooperation information includes an authentication class index instead of the authentication level.
  • both tables T1 and T2 may be rewritten, and the SSO account information ac2 need not be rewritten.
  • the authentication agent device 40 updates the authentication class management table T1 so as to decrease the authentication level of the authentication process, and the authentication class management The authentication level lowered in the table T1 and the authentication class index associated with this authentication level are transmitted to the IDaaS provider apparatus 30.
  • the IDaaS provider device 30 Upon receiving the authentication level and the authentication class index from the authentication agency device 40, the IDaaS provider device 30 searches the authentication level management table T2 based on the received authentication class index, and determines the authentication level obtained by the search.
  • the authentication level management table T2 is updated so that the received authentication level is lowered.
  • both tables T1 and T2 are rewritten.
  • the rewriting of both tables T1 and T2 may be modified such that after the IDaaS provider device 30 rewrites the authentication level management table T2, the authentication agent device 40 rewrites the authentication class management table T1. In step ST91-3 to be described later, this modified example will be described.
  • the authentication process is executed in the same manner as in the first embodiment.
  • FIG. 13 is a schematic diagram showing an example of managing the authentication level by the IDaaS provider.
  • each device 10 to 40 is described one by one from the viewpoint of simplifying the explanation. Has been.
  • the users U1 and U2 have a desired authentication level for each service that wants to use SSO authentication.
  • the user terminal 10 can freely select the authentication level of the service provided from the service provider device 20 according to the operations of the users U1 and U2.
  • the service provider device 20 can present to the user an authentication level that can be provided for each service. Further, the service provider device 20 can select and determine an authentication level that matches the authentication level to be presented from the IDaaS provider device 30 for each service.
  • the IDaaS provider device 30 can present to the service provider device 20 a plurality of authentication levels in authentication processing that can be performed by the authentication agent device 40.
  • the IDaaS provider device 30 can manage the service of the service providing device 30 and the authentication class index for each user ID.
  • the IDaaS provider device 30 can manage the authentication level and the authentication class index in association with each other by the authentication level management table T2.
  • the authentication agent device 40 can manage the authentication level, the authentication class, and the authentication class index in association with each other using the authentication class management table T1.
  • the users U1 and U2 who use the user terminal 10 are not aware of the ID for each service by the SSO authentication within the range in which the integrated management is performed by the IDaaS provider device 30.
  • access to the service provider device 20 can be restricted by lowering the authentication level in both tables T1 and T2.
  • the authentication level in both tables T1 and T2 can be raised.
  • Emergency measures such as temporarily stopping authentication by the authentication agent device 40 can also be performed.
  • the IDaaS provider device 30 can use the authentication agent device 40 as an authentication device that executes an authentication process provided to the service provider device 20 or the user terminal 10. Therefore, the IDaaS provider device 30 does not need to construct an environment such as biometric authentication by itself.
  • the authentication agent device 40 has an authentication level for each authentication to be performed.
  • the authentication agent device 40 does not manage the user ID and user information.
  • All devices 10 to 40 are multiplexed and authenticated by loose coupling.
  • FIG. 14 is a flowchart for explaining an example of the SSO cooperation operation by the IDaaS provider device 30. Steps ST71 to ST75 on the left side of FIG. 14 show the existing SSO cooperation operation.
  • step ST71 an SSO is created.
  • step ST72 SSO is linked.
  • step ST73 SSO is used.
  • step ST74 the SSO cooperation is canceled.
  • step ST75 the SSO is deleted.
  • Steps ST81 to ST94 on the right side of FIG. 14 show an example of the SSO cooperation operation in the present embodiment.
  • step ST81 the IDaaS provider selects the SSO certification level.
  • step ST82 the IDaaS provider device 30 determines (examines) the SSO cooperation destination.
  • step ST83 the authentication system creates an SSO.
  • step ST84 the authentication system cooperates with SSO.
  • step ST85 the user uses an SP (service provider) that is connected for the first time. If the SP to be connected for the second time is used, the process proceeds to step ST88 instead of step 85.
  • SP service provider
  • step ST86 the user is authenticated for the SP site other than SSO for the first time.
  • step ST87 when the user is authenticated by the SP, the use of SSO is started.
  • step ST89 the user uses SSO.
  • step ST90 it is determined by the IDaaS provider that the level of the authentication method has decreased due to a problem with the authentication method.
  • step ST91 the IDaaS provider device 30 and the authentication agent device 40 lower the authentication level.
  • step ST92 when the problem of the authentication method is solved, the IDaaS provider device 30 and the authentication agent device 40 restore the authentication method level and restore the authentication level to the original level.
  • step ST93 the authentication system releases SSO.
  • step ST94 the authentication system deletes the SSO.
  • steps ST81 to ST92 in the present embodiment as described above will be described with reference to the flowcharts of FIGS. 15 and 16 are used for explaining steps ST81 to ST84, and FIG. 17 is used for explaining steps ST85 to ST87 and ST89.
  • FIG. 18 is used for explaining steps ST88 to ST89, and FIG. 19 is used for explaining steps ST90 to ST92.
  • the IDaaS provider selects an optional service for SSO authentication for SP.
  • an optional service for example, an authentication process such as one-time password (OTP), biometric authentication, biometric authentication + ACBio, etc. can be used as appropriate in addition to a normal password.
  • OTP one-time password
  • biometric authentication biometric authentication + ACBio, etc.
  • ACBio biometric authentication + ACBio, etc.
  • step ST82-1 the IDaaS provider device 30 invites (recruits) SSO collaboration for SP with respect to the service provider that the IDaaS provider wishes to collaborate with.
  • step ST82-2 the service provider device 20 transmits an SSO cooperation request to the IDaaS provider device 30.
  • step ST82-3 the IDaaS provider device 30 receives this SSO cooperation request.
  • step ST82-4 the IDaaS provider device 30 replies to the service provider device 20 with the result of accepting the SSO cooperation request.
  • the IDaaS provider device 30 scrutinizes the cooperation destination for the safety between SPs that cooperate in SSO.
  • step ST82-5 the service provider device 20 receives the result of the SSO cooperation request.
  • step ST82-6 the IDaaS provider device 30 registers the SP cooperation information in the memory 31.
  • step ST82-7 the IDaaS provider device 30 executes SSO service start notification and advertisement processing for the user.
  • step ST83-1 the user terminal 10 transmits an SSO ID registration request to the IDaaS provider device 30 in accordance with a user operation. It is also possible to use the IDaaS provider ID or the original ID.
  • step ST83-2 the IDaaS provider device 30 accepts this SSO ID registration request and registers a new ID.
  • step ST83-3 the IDaaS provider device 30 transmits menu information for confirming the authentication method to the user to the user terminal 10.
  • step ST83-4 the user terminal 10 selects and designates an authentication method from this menu information according to the user's operation.
  • the user selects and designates ACBio authentication provided by the authentication proxy device 40 provided by the IDaaS provider device 30.
  • step ST83-5 the IDaaS provider device 30 receives an authentication method from the user terminal 10.
  • step ST83-6 when the accepted authentication method uses the authentication agent device 40, the IDaaS provider device 30 transmits an authentication use application to the authentication agent device 40.
  • the IDaaS provider device 30 issues and passes an account associated with the SSO for the authentication agent device 40 together.
  • step ST83-7 the authentication undertaking apparatus 40 transmits an authentication information registration request to the user terminal 10 based on the account information received from the IDaaS provider apparatus 30.
  • This authentication information registration request includes a challenge code.
  • step ST83-8 the user terminal 10 collects the user's biometric information based on the authentication information registration request, and generates an ACBio instance including the hash value of the biometric information and the challenge code in the registration request. To do. Further, the user terminal 10 transmits the generated ACBio instance to the authentication agent device 40.
  • step ST83-9 the authentication undertaking apparatus 40 issues an ACBio BRT certificate based on the ACB instance, and transmits the BRT certificate to the user terminal 10.
  • step ST83-10 the user terminal 10 registers the authentication information including the BRT certificate, and transmits a registration completion notification to the authentication agent device 40.
  • step ST83-11 the authentication undertaking apparatus 40 accepts this registration completion notification.
  • step ST83-12 the authentication undertaking apparatus 40 registers authentication information including a BRT certificate and cooperates with an account. After confirming the account linkage, the authentication agent device 40 transmits the result of the authentication registration to the IDaaS provider device 30. In this example, it is assumed that the result of authentication registration is normal. In the case of an abnormality, for example, the processing of steps ST83-7 to ST83-11 may be retried.
  • step ST83-13 the IDaaS provider device 30 receives the result of authentication registration, confirms that the application for use of authentication has been accepted, and notifies the user terminal 10 of the completion of registration of the SSO ID.
  • step ST83-14 the user terminal 10 receives a notification of completion of registration of this SSO ID.
  • step ST84-1 the IDaaS provider device 30 registers the SSO ID information in the memory 31 and updates the user management information of the corresponding user.
  • step ST85-1 the user terminal 10 logs in using the SSO ID in response to a user operation.
  • step ST85-2 the IDaaS provider device 30 authenticates the SSO ID received from the user terminal 10.
  • step ST85-3 the IDaaS provider device 30 transmits a password authentication request or an ACBio authentication request to the authentication agent device 40.
  • a case where an authentication request for online biometric authentication ACBio is transmitted will be described as an example.
  • step ST85-4 the authentication undertaking apparatus 40 accepts this authentication request.
  • step ST85-5 the authentication undertaking apparatus 40 transmits an authentication request to the user terminal 10 based on the received authentication request.
  • step ST85-6 the user terminal 10 receives this authentication request.
  • step ST85-7 the user terminal 10 performs biometric authentication of the user in response to the received authentication request, and generates an ACBio instance including the authentication result.
  • step ST85-8 the generated ACBio instance is transmitted to the authentication undertaking apparatus 40.
  • step ST85-9 the authentication undertaking apparatus 40 receives an ACBio instance.
  • step ST85-10 the authentication undertaking apparatus 40 verifies the contents of this ACBio instance, and transmits the verification result to the IDaaS provider apparatus 30.
  • step ST85-11 the IDaaS provider device 30 receives the verification result from the authentication proxy device 40.
  • step ST86-1 the IDaaS provider device 30 transmits an initial authentication request to the service provider device 20 when connecting to the service provider device 20 at the first time by SSO.
  • Step ST86-2 the service provider device 20 transmits an initial authentication request including information indicating that it is the initial connection to the service provider device 20 by SSO to the user terminal 10 based on the initial authentication request. To do.
  • step ST86-3 the user terminal 10 receives an initial authentication request from the service provider device 20.
  • step ST86-4 the user terminal 10 prompts the user to input authentication information to the service provider device 20, and transmits the input authentication information to the service provider device 20.
  • step ST86-5 the service provider apparatus 20 receives authentication information from the user terminal 10 as a response to the authentication request in step ST86-2.
  • step ST86-6 the service provider device 20 verifies the received authentication information. In this example, it is assumed that the verification is successful.
  • step ST87-1 the service provider device 20 transmits a verification result indicating that the initial authentication is successful to the IDaaS provider device 30.
  • step ST87-2 the IDaaS provider device 30 receives the verification result from the service provider device 20.
  • step ST87-3 the IDaaS provider device 30 updates the SSO account information and user management information in the memory 31 based on the received verification result.
  • step ST89-1 after the verification in step ST86-6 is completed, the service provider device 20 starts providing the service to the user.
  • step ST89-2 the user terminal 10 starts to provide a service from the service provider device 20, and continues operation is permitted.
  • FIG. 18 is a schematic diagram showing a flow in the case of connecting to the service provider device 20 for the second time or later in SSO.
  • step ST88-10 authentication agent device 40 verifies the contents of the ACBio instance and transmits the verification result to IDaaS provider device 30.
  • step ST88-11a the IDaaS provider device 30 receives the verification result from the authentication agent device 40, and transmits the completion of verification in step ST88-10 to the service provider device 20.
  • step ST89-1a after the verification in step ST88-10 is completed, the service provider device 20 starts providing the service to the user.
  • step ST89-2 the user terminal 10 starts to provide a service from the service provider device 20, and continues operation is permitted.
  • FIG. 19 is a flowchart for explaining the operation of lowering the authentication level of IDaaS and the operation of restoring the authentication level.
  • step ST90-1 the IDaaS provider accepts problem recognition due to external factors.
  • step ST91-1 the IDaaS provider confirms the security status and operates the IDaaS provider apparatus 30.
  • the IDaaS provider device 30 transmits a notification to lower the authentication level to the authentication proxy device 40 in response to the operation of the IDaaS provider.
  • step ST91-2 the authentication agent device 40 displays a notification to lower the authentication level, and prompts the authentication agent company to confirm the situation.
  • the authentication agency confirms this situation and confirms that the authentication level is lowered. Note that the processing of steps ST91-1 to ST91-2 is executed by a predetermined operation.
  • step ST91-3 the IDaaS provider device 30 lowers the authentication level in the authentication class management table T1 corresponding to the authentication class targeted by the authentication acting device 40. Further, the IDaaS provider device 30 lowers the authentication level in the authentication level management table T2 corresponding to the target authentication class. In this example, the authentication level “LEVEL2” is lowered to “LEVEL1”. Further, the IDaaS provider device 30 transmits an authentication level change notification indicating that the authentication level has been changed (down) to the service provider device 20.
  • the authentication level management table T2 causes the IDaaS provider device 30 to decrease the authentication level of the authentication process. And the authentication level lowered in the authentication level management table T2 and the authentication class index associated with the authentication level are transmitted to the authentication undertaking apparatus 40.
  • the authentication undertaking apparatus 40 Upon receiving the authentication level and the authentication class index from the IDaaS provider device 30, the authentication undertaking apparatus 40 searches the authentication class management table T1 based on the received authentication class index, and determines the authentication level obtained by the search.
  • the authentication class management table T1 is updated so as to lower the received authentication level.
  • the IDaaS provider device 30 transmits an authentication level change notification to the service provider device 20.
  • step ST91-4 the service provider device 20 receives an authentication level change notification.
  • This authentication level change notification is transmitted, for example, to a service provider terminal (not shown), and is displayed and output from the service provider terminal.
  • step ST91-5 the service provider visually recognizes this authentication level change notification, and proceeds with the procedure for countermeasures according to the policy p1 shown in FIG.
  • step ST92-1 the IDaaS provider accepts problem recovery due to external factors.
  • step ST92-2 the IDaaS provider confirms the security status and operates the IDaaS provider apparatus 30.
  • the IDaaS provider device 30 transmits a notification for restoring the authentication level to the authentication proxy device 40 in accordance with the operation of the IDaaS provider.
  • step ST92-3 the authentication agent device 40 displays a notification that the authentication level is restored, and prompts the authentication agent operator to confirm the situation.
  • the authentication agency confirms this situation and confirms that the authentication level is restored. Note that the processing of steps ST92-2 to ST92-3 is executed by a predetermined operation.
  • step ST92-4 the IDaaS provider device 30 restores (recovers) the authentication level in the authentication class management table T1 corresponding to the authentication class targeted by the authentication acting device 40.
  • the IDaaS provider device 30 restores (recovers) the authentication level in the authentication level management table T2 corresponding to the target authentication class.
  • the authentication level “LEVEL1” is returned to “LEVEL2”.
  • the IDaaS provider device 30 transmits an authentication level recovery notification indicating that the authentication level has been recovered (changed) to the service provider device 20.
  • step ST92-5 the service provider device 20 receives the authentication level recovery notification.
  • This authentication level restoration notification is transmitted, for example, to a service provider terminal (not shown), and is displayed and output from the service provider terminal.
  • step ST92-6 the service provider visually recognizes this authentication level recovery notification, and proceeds with the recovery procedure according to the policy p2 shown in FIG. 21, for example.
  • the authentication proxy device 40 manages the authentication class so as to decrease the authentication level of the authentication process.
  • the table T1 is updated, and the lowered authentication level and the authentication class index associated with the authentication level are transmitted to the IDaaS provider apparatus 30.
  • the IDaaS provider device 30 Upon receiving the authentication level and the authentication class index from the authentication agency device 40, the IDaaS provider device 30 searches the authentication level management table T1 based on the received authentication class index, and determines the authentication level obtained by the search.
  • the authentication level management table T1 is updated so that the received authentication level is lowered.
  • the IDaaS provider device 30 when the authentication level is lowered, the IDaaS provider device 30 needs to update the SSO account information for each user ID.
  • the authentication level management table T2 only needs to be updated, and the load necessary for lowering the authentication level can be greatly reduced.
  • the user is provided with a configuration in which the service provider device 20, the IDaaS provider device 30, and the authentication agent device 40 are linked via the linkage IDs in the account information ac1 to ac3.
  • the authentication method can be easily changed while improving the convenience of the service provider.
  • the storage medium can store a program and can be read by a computer
  • the storage format may be any form.
  • an OS operating system
  • MW middleware
  • database management software network software
  • the storage medium in each embodiment is not limited to a medium independent of a computer, but also includes a storage medium in which a program transmitted via a LAN, the Internet, or the like is downloaded and stored or temporarily stored.
  • the number of storage media is not limited to one, and the case where the processing in each of the above embodiments is executed from a plurality of media is also included in the storage media in the present invention, and the media configuration may be any configuration.
  • the computer in each embodiment executes each process in each of the above embodiments based on a program stored in a storage medium, and a single device such as a personal computer or a plurality of devices are connected to a network. Any configuration of the system or the like may be used.
  • the computer in each embodiment is not limited to a personal computer, and includes an arithmetic processing device, a microcomputer, and the like included in an information processing device, and is a generic term for devices and devices that can realize the functions of the present invention by a program. Yes.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

　実施形態の認証システムは、サービス提供者装置、ＩＤａａＳ事業者装置及び認証代行装置を備えている。ユーザ端末から送信されたユーザＩＤ及びＳＳＯ要求に基づいて、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報に第２連携ＩＤを介して関連付けられた認証アカウント情報をもつ前記認証代行装置が、ユーザの認証処理を実行する。前記認証処理の結果が成功のとき、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報をもつＩＤｓｓＳ事業者装置が、当該ＳＳＯアカウント情報に第１連携ＩＤを介して関連付けられたサービスアカウント情報に含まれるサービスアカウント識別子のサービスに対するＳＳＯ認証を許可する。前記サービス提供装置が、前記ユーザ端末に前記サービスに関する情報を送信する。

Description

認証システム、方法及びプログラム
　本発明の実施形態は、認証システム、方法及びプログラムに関する。
　近年、企業又はプロバイダ等のサービス提供者は、ユーザのＩＤ及びパスワードを認証し、ユーザにサービスを提供している。
　このため、ユーザは、サービス毎に、ＩＤ及びパスワードを管理する必要がある。また、ユーザは、セキュリティ強化の観点から、パスワードを定期的に更新することや、複雑で長いパスワードを使用することが各サービス提供者から要求される。
　ここで、オンラインで金融機関を利用する場合には、本人確認のために乱数カードやワンタイムパスワードを利用することなどが推奨されている。この場合、ユーザは、サービス毎に、ワンタイムパスワードのデバイスや乱数表を管理する必要がある。
　一方、サービス提供者は、ユーザ毎に、ＩＤ及びパスワードを管理及び認証し、サービスを提供する。また、サービス提供者は、コストや運用面から、ワンタイムパスワードのデバイスや乱数表の利用等により、ユーザ毎のセキュリティ強度を維持している。これらワンタイムパスワードのデバイスや乱数表は、セキュリティ強度を維持するため、他のサービス提供者と共同で利用されることはない。
　以上のように、ユーザ及びサービス提供者は、パスワード、ワンタイムパスワードのデバイス又は乱数表などを管理する必要がある。この種の管理は、ユーザとサービスとの組合せ毎に管理対象が増えるため、煩雑になり、利便性を低下させる。このような利便性の低下を阻止する観点から、１回の認証で複数のサービスを利用可能とするシングルサインオン（ＳＳＯ）による認証連携（フェデレーション）が実現されてきている。
　シングルサインオンを用いるためには、複数のサービス提供者が互いに信頼関係を結ぶと共に、各サービス提供者のシステム間で認証連携をする必要がある。
特許第４９５６０９６号公報 特開２００１－２７３４２１号公報 特開２００１－１９７０５５号公報
　しかしながら、以上のような認証連携は、各サービス提供者が他のサービス提供者のシステムを監視する必要が生じるため、運用が複雑化し、サービス提供者の利便性が低下してしまう。
　また、以上のような認証連携は、システム間で認証の強度が異なる場合に、シングルサインオンをユーザが安全に利用することが難しくなり、ユーザの利便性を低下させてしまう。
　また、サービス提供者は、生体認証などの高セキュアな環境を容易に準備できないため、一旦、構築した環境を利用し続ける可能性が高い。そのため、ユーザに提供する認証方法が固定されてしまう。
　また、サービス提供者からユーザのＩＤ管理を請け負うＩＤａａＳ（Identity as a Service）事業者が知られている。
　本発明が解決しようとする課題は、ユーザ及びサービス提供者の利便性を向上させつつ、認証方式を容易に変更し得る認証システム、方法及びプログラムを提供することである。
　実施形態の認証システムは、ユーザに操作されるユーザ端末に通信可能なサービス提供者装置、ＩＤａａＳ事業者装置及び認証代行装置を備えている。
　前記サービス提供者装置は、サービスアカウント情報記憶手段を備えている。
　前記サービスアカウント情報記憶手段は、当該サービス提供者装置が提供するサービスのアカウントを識別するサービスアカウント識別子及び第１連携ＩＤを含むサービスアカウント情報を記憶する。
　前記ＩＤａａＳ事業者装置は、ＳＳＯアカウント情報記憶手段を備えている。
　前記ＳＳＯアカウント情報記憶手段は、前記ユーザを識別するユーザＩＤに一致するシングルサインオン（ＳＳＯ）アカウント識別子、前記第１連携ＩＤに一致する第１連携ＩＤ及び前記第１連携ＩＤとは異なる第２連携ＩＤを含むＳＳＯアカウント情報を記憶する。
　前記認証代行装置は、認証アカウント情報記憶手段を備えている。
　前記認証アカウント情報記憶手段は、前記ユーザに対する認証処理のアカウントを識別する認証アカウント識別子、前記第２連携ＩＤに一致する第２連携ＩＤ及び当該認証処理の方式を示す認証クラスを含む認証アカウント情報を記憶する。
　前記ユーザ端末から送信されたユーザＩＤ及びＳＳＯ要求に基づいて、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報に第２連携ＩＤを介して関連付けられた認証アカウント情報をもつ前記認証代行装置は、前記ユーザ端末を操作するユーザの認証処理を実行する。
　前記認証処理の結果が成功のとき、当該認証処理されたユーザのユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報をもつＩＤｓｓＳ事業者装置は、当該ＳＳＯアカウント情報に第１連携ＩＤを介して関連付けられたサービスアカウント情報に含まれるサービスアカウント識別子で識別されるサービスに対するＳＳＯ認証を許可する。
　前記ＳＳＯ認証が許可されたサービスを提供する前記サービス提供装置は、前記ユーザＩＤ及び前記ＳＳＯ要求を送信したユーザ端末に対し、前記サービスに関する情報を送信する。
図１は、第１の実施形態に係る認証システムの構成を示す模式図である。 図２は、同実施形態における各装置のアカウント情報等を説明するための模式図である。 図３は、同実施形態における各アカウント情報を説明するための模式図である。 図４は、同実施形態における動作の一例を説明するための模式図である。 図５は、同実施形態における業務シーケンスの一例を示すシーケンス図である。 図６は、同実施形態における業務シーケンスの一例を示すシーケンス図である。 図７は、同実施形態における動作の一例を説明するためのフローチャートである。 図８は、同実施形態における動作の一例を説明するためのフローチャートである。 図９は、同実施形態における動作の一例を説明するための模式図である。 図１０は、第２の実施形態に係る認証システムに適用される各管理テーブルを説明するための模式図である。 図１１は、同実施形態における各アカウント情報を説明するための模式図である。 図１２は、同実施形態における動作の一例を説明するための模式図である。 図１３は、同実施形態における認証レベルの管理例を示す模式図である。 図１４は、同実施形態における動作の一例を説明するためのフローチャートである。 図１５は、同実施形態における動作の一例を説明するためのフローチャートである。 図１６は、同実施形態における動作の一例を説明するためのフローチャートである。 図１７は、同実施形態における動作の一例を説明するためのフローチャートである。 図１８は、同実施形態における動作の一例を説明するためのフローチャートである。 図１９は、同実施形態における動作の一例を説明するためのフローチャートである。 図２０は、同実施形態における認証レベル変更時の方針の一例を示す模式図である。 図２１は、同実施形態における認証レベル変更時の方針の一例を示す模式図である。
　以下、各実施形態について図面を用いて説明するが、その前に各実施形態の概要を述べる。
　第１の実施形態は、ユーザに操作されるユーザ端末に通信可能なサービス提供者装置、ＩＤａａＳ事業者装置及び認証代行装置を備えた認証システムに関する。なお、認証システムは、ユーザに操作されるユーザ端末及び当該ユーザにサービスを提供するためのサービス提供者装置にそれぞれ通信可能なＩＤａａＳ事業者装置及び認証代行装置を備えた構成としてもよい。
　サービス提供者装置は、サービスアカウント情報記憶手段を備えている。サービスアカウント情報記憶手段は、サービス提供者装置が提供するサービスのアカウントを識別するサービスアカウント識別子及び第１連携ＩＤを含むサービスアカウント情報を記憶する。
　ＩＤａａＳ事業者装置は、シングルサインオン（ＳＳＯ）アカウント情報記憶手段を備えている。ＳＳＯアカウント情報記憶手段は、ユーザを識別するユーザＩＤに一致するシングルサインオン（ＳＳＯ）アカウント識別子、第１連携ＩＤに一致する第１連携ＩＤ及び第１連携ＩＤとは異なる第２連携ＩＤを含むＳＳＯアカウント情報を記憶する。
　認証代行装置は、認証アカウント情報記憶手段を備えている。認証アカウント情報記憶手段は、ユーザに対する認証処理のアカウントを識別する認証アカウント識別子、第２連携ＩＤに一致する第２連携ＩＤ及び当該認証処理の方式を示す認証クラスを含む認証アカウント情報を記憶する。
　ここで、ユーザ端末から送信されたユーザＩＤ及びＳＳＯ要求に基づいて、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報に第２連携ＩＤを介して関連付けられた認証アカウント情報をもつ認証代行装置は、ユーザ端末を操作するユーザの認証処理を実行する。
　認証処理の結果が成功のとき、当該認証処理されたユーザのユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報をもつＩＤｓｓＳ事業者装置は、当該ＳＳＯアカウント情報に第１連携ＩＤを介して関連付けられたサービスアカウント情報に含まれるサービスアカウント識別子で識別されるサービスに対するＳＳＯ認証を許可する。
　ＳＳＯ認証が許可されたサービスを提供するサービス提供装置は、ユーザＩＤ及びＳＳＯ要求を送信したユーザ端末に対し、サービスに関する情報を送信する。
　以上のような第１の実施形態によれば、各サービス提供者が他のサービス提供者のシステムを監視する必要がなく、運用が容易化し、サービス提供者の利便性が向上する。
　また、以上のような認証連携は、ＩＤａａＳ事業者装置に連携した認証代行装置が認証を実行するので、シングルサインオンをユーザが安全に利用することが容易になり、ユーザの利便性が向上する。
　また、サービス提供者は、生体認証などの高セキュアな環境を準備する必要が無いため、ユーザに対して提供する認証方法を容易に変更できる。
　このように第１の実施形態によれば、ユーザ及びサービス提供者の利便性を向上させつつ、認証方式を容易に変更可能となっている。
　また、第１の実施形態においては、認証代行装置は、認証処理の方式を示す認証クラス、及び当該認証処理のレベルを示す認証レベルを関連付けて記述した認証クラス管理テーブルを記憶した第１テーブル記憶手段を備えている。
　ＳＳＯアカウント情報記憶手段は、認証レベルを含んでいる。
　ここで、認証処理に問題が生じ、当該認証処理のレベルが低下する場合、認証代行装置が、当該認証処理の認証レベルを低下させるように認証クラス管理テーブルを更新し、当該低下させた認証レベルとこの認証レベルに認証アカウント情報内で関連付けられた認証クラスとをＩＤａａＳ事業者装置に送信する。
　ＩＤａａＳ事業者装置は、認証代行装置から認証レベルと認証クラスとを受信すると、当該受信した認証クラスに基づいてＳＳＯアカウント情報を検索し、当該検索により得られた認証レベルを、当該受信した認証レベルに低下させるようにＳＳＯアカウント情報を更新する。
　従って、第１の実施形態によれば、認証処理に問題が生じ、当該認証処理のレベルが低下する場合に、認証レベルを低下させることができるため、認証処理の信頼性を維持することができる。
　次に、第２の実施形態においては、認証代行装置は、第１テーブル記憶手段を備えている。第１テーブル記憶手段は、認証処理の方式を示す認証クラス、当該認証処理のレベルを示す認証レベル、及び当該認証クラスの認証代行事業者名を含む認証クラスインデックスを関連付けて記述した認証クラス管理テーブルを記憶している。
　ＩＤａａＳ事業者装置は、認証レベル及び認証クラスインデックスを関連付けて記述した認証レベル管理テーブルを記憶した第２テーブル記憶手段を備えている。
　ここで、認証処理に問題が生じ、当該認証処理のレベルが低下する場合、認証代行装置が、当該認証処理の認証レベルを低下させるように認証クラス管理テーブルを更新し、当該認証クラス管理テーブル内で低下させた認証レベルとこの認証レベルに関連付けた認証クラスインデックスとをＩＤａａＳ事業者装置に送信する。
　ＩＤａａＳ事業者装置は、認証代行装置から認証レベルと認証クラスインデックスとを受信すると、当該受信した認証クラスインデックスに基づいて認証レベル管理テーブルを検索する。ＩＤａａＳ事業者装置は、当該検索により得られた認証レベルを、当該受信した認証レベルに低下させるように認証レベル管理テーブルを更新する。
　従って、第２の実施形態によれば、認証処理に問題が生じ、当該認証処理のレベルが低下する場合に、認証レベルを低下させることができるため、認証処理の信頼性を維持することができる。また、第２の実施形態によれば、認証レベルを低下させる際に、ＩＤａａＳ事業者装置は、ユーザＩＤ毎のＳＳＯアカウント情報を更新する必要が無く、認証レベル管理テーブルを更新すればよいので、認証レベルの低下に必要な負荷を大幅に軽減させることができる。
　以上が各実施形態の概要である。続いて、各実施形態を具体的に説明する。
　＜第１の実施形態＞
　図１は第１の実施形態に係る認証システムの構成を示す模式図であり、図２及び図３は各装置のアカウント情報等を説明するための模式図である。
　この認証システムは、ユーザＵに操作されるユーザ端末１０と、サービス提供者装置２０と、ＩＤａａＳ事業者装置３０と、認証代行装置４０とが通信可能となっている。これらのユーザＵ、ユーザ端末１０、サービス提供者装置２０、ＩＤａａＳ事業者装置３０及び認証代行装置４０は、多重に存在するが、図面では１台ずつ示している。また、各装置１０，２０，３０，４０は、それぞれハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は非一時的なコンピュータ読み取り可能な記憶媒体（non-transitory computer-readable storage medium）Ｍ１，Ｍ２，Ｍ３，Ｍ４からコンピュータにインストールされ、当該コンピュータのプロセッサに実行されて各装置１０，２０，３０，４０の各機能を実現させるためのプログラムが用いられる。
　ユーザＵは、サービスを利用する個人ユーザ又は企業ユーザである。当該図では、ログイン認証することによりサービスを受けるものを前提としている。ユーザＵは、個人／企業／公共等の利用者を表す。
　ユーザ端末１０は、例えば、Ｗｅｂブラウザを用いて他の装置２０，３０，４０にアクセス可能な通常のコンピュータ機能を有する端末装置である。ユーザ端末１０としては、例えば、ノートＰＣ（personal computer）、デスクトップＰＣ又はモバイル端末などの任意の端末装置が使用可能となっている。
　ここでは、ユーザ端末１０は、例えば、メモリ１１、Ｗｅｂブラウザ部１２及び認証クライアント部１３を備えている。なお、Ｗｅｂブラウザ部１２は、ユーザ端末１０内のプロセッサ（図示せず）がメモリ１１内のブラウザ用アプリケーションプログラムを実行することにより、実現される機能部である。同様に、認証クライアント部１３は、ユーザ端末１０内のプロセッサ（図示せず）がメモリ１１内の認証用アプリケーションプログラムを実行することにより、実現される機能部である。
　サービス提供者装置２０は、サービス提供者に運営される装置であり、公共や企業のサービスサイトがある。サービス提供者装置２０は、ユーザ端末１０から受けた要求に基づいて、サービスを提供する一般的なＷｅｂサービスの提供元である。
　ここでは、サービス提供者装置２０は、例えば、メモリ２１及びセキュアなＷｅｂ処理部２２を備えている。Ｗｅｂ処理部２２は、サービス提供者装置２０内のプロセッサ（図示せず）が、メモリ２１内のセキュア処理用アプリケーションプログラムを実行することにより、実現される機能部である。メモリ２１は、図２及び図３に示す如き、サービスアカウント情報ａｃ１等の情報を記憶する記憶装置である。
　サービスアカウント情報ａｃ１は、図３に示すように、サービスアカウント識別子及び第１ＩＤａａＳ連携情報を含んでいる。なお、サービスアカウント情報ａｃ１は、サービス履歴などのサービスに関わる属性情報を更に含んでもよい。
　サービスアカウント識別子は、サービス提供者によるユーザ毎のサービスのアカウントを識別する識別子である。
　第１ＩＤａａＳ連携情報は、連携先のＩＤａａＳ事業者を示す連携先ＩＤａａＳ名と、サービス提供者装置２０とＩＤａａＳ事業者装置３０とが連携のために共有する識別情報である第１連携ＩＤとを含んでいる。
　なお、ユーザＵから見たユーザＩＤの管理者はサービス提供者であるが、サービス提供者はユーザＩＤの管理をＩＤａａＳ事業者にアウトソーシングしている。このため、ユーザＩＤの実体はＩＤａａＳ事業者の管理する領域に存在する。
　ＩＤａａＳ事業者装置３０は、サービス提供者からユーザのＩＤ管理を請け負うＩＤａａＳ事業者に運営される装置である。なお、「ＩＤａａＳ事業者」は、「ＩＤプロバイダ」と読み替えてもよい。
　ここでは、ＩＤａａＳ事業者装置３０は、図１に示すように、例えば、メモリ３１、認証サービス部３２及びＩＤ管理部３３を備えている。認証サービス部３２は、ＩＤａａＳ事業者装置３０内のプロセッサ（図示せず）が、メモリ３１内の認証サービス用アプリケーションプログラムを実行することにより、実現される機能部である。ＩＤ管理部３３は、ＩＤａａＳ事業者装置３０内のプロセッサ（図示せず）が、メモリ３１内の認証サービス用アプリケーションプログラムを実行することにより、実現される機能部である。ＩＤ管理部３３は、図２及び図３に示す如き、ＳＳＯアカウント情報ａｃ２を作成し、ＩＤとの関連付けを行う。また、ＩＤ管理部３３は、ＳＳＯアカウント情報ａｃ２で認証する方法を設定させることも可能である。メモリ３１は、ＳＳＯ（Single Sign-On）アカウント情報ａｃ２等の情報を記憶する記憶装置である。
　ＳＳＯアカウント情報ａｃ２は、図３に示すように、ＳＳＯアカウント識別子、ＳＰ連携情報及びＡＰ連携情報を含んでいる。なお、ＳＳＯアカウント情報ａｃ２は、ＳＳＯアカウント識別子の値としてのユーザＩＤに関連付けられたユーザ管理情報を更に含んでもよい。ユーザ管理情報としては、例えば、ユーザＵの名前、住所、年齢、メールアドレス、電話番号、パスワードなどが適宜、使用可能となっている。また、ＳＰはサービス提供者（Service Provider）の略語であり、ＡＰは認証代行事業者（Authentication Provider）の略語である。
　ＳＳＯアカウント識別子は、ＩＤａａＳ事業者によるユーザ毎のシングルサインオンのアカウントを識別する識別子であり、値としてユーザＩＤが用いられる。
　ＳＰ連携情報は、連携先のサービス提供者を示す連携先ＳＰ名と、連携のためにサービス提供者装置２０と共有する識別情報である第１連携ＩＤとを含んでいる。
　ＡＰ連携情報は、連携先の認証代行事業者を示す連携先ＡＰ名と、連携のために認証代行装置４０と共有する識別情報である第２連携ＩＤと、認証代行装置４０による認証処理のレベルを示す認証レベルとを含んでいる。
　認証代行装置４０は、ＩＤａａＳ事業者から認証を請け負う認証代行事業者に運営される装置である。例えば、ＩＳＯ／ＩＥＣ ２４７６１に規定されたＡＣＢｉｏ（Authentication Context for Biometrics）技術により、ネットワーク上に生体認証を流さずに本人認証をする認証代行サービスを提供可能となっている。
　ここでは、認証代行装置４０は、図１に示すように、例えば、メモリ４１、認証代行部４２及び証明書発行部４３を備えている。認証代行部４２は、認証代行装置４０内のプロセッサ（図示せず）が、メモリ４１内の認証代行用アプリケーションプログラムを実行することにより、実現される機能部である。認証代行部４２は、ここではＡＣＢｉｏ認証を代行する。証明書発行部４３は、認証代行装置４０内のプロセッサ（図示せず）が、メモリ４１内の証明書発行用アプリケーションプログラムを実行することにより、実現される機能部である。証明書発行部４３は、認証代行部４２が検証する時に確認するＢＲＴ証明書（Biometric Reference Template Certificate）を予め発行する。なお、ＢＲＴ証明書は、ＡＣＢｉｏ認証で使用するクライアントから生体認証の結果とともに送付される証明書である。メモリ４１は、図３及び図２に示す如き、認証アカウント情報ａｃ３及び認証クラス管理テーブルＴ１を記憶する記憶装置である。
　認証アカウント情報ａｃ３は、図３に示すように、認証アカウント識別子、第２ＩＤａａＳ連携情報及び認証情報を含んでいる。
　認証アカウント識別子は、認証代行事業者によるユーザ毎の認証のアカウントを識別する識別子である。
　第２ＩＤａａＳ連携情報は、連携先のＩＤａａＳ事業者を示す連携先ＩＤａａＳ名と、認証代行装置４０とＩＤａａＳ事業者装置３０とが連携のために共有する識別情報である第２連携ＩＤとを含んでいる。
　認証情報は、認証代行装置４０による認証処理の実行に必要な情報を特定する認証クラスと、当該認証処理に用いられるユーザ毎のクレデンシャル情報とを含んでいる。
　認証クラスは、各ユーザで共通して認証処理の実行に必要な情報を特定する情報であり、例えば、認証処理の方式を含んでいる。例えば、図示した情報“acbio-finger-vein”は、認証処理の方式が、ＡＣＢｉｏ技術の指静脈(finger-vein)認証であることを示している。
　クレデンシャル情報は、ユーザ毎に認証処理の実行に必要な情報であり、例えば、ＡＣＢｉｏ技術の場合には、ＢＲＴ証明書又はＢＲＴ証明書の識別情報を含んでいる。なお、ＢＲＴ証明書は、生体参照情報のハッシュ値に対して発行者（例、ＩＤａａＳ事業者又は第三者機関）のデジタル署名を施したデータである。生体参照情報（Biometric Reference Template）は、ユーザの生体認証の真正性の基準となるクレデンシャルである。
　認証クラス管理テーブルＴ１は、認証代行装置４０による認証処理のレベルを示す認証レベルと、認証代行装置４０による認証処理の実行に必要な情報を特定する認証クラスとが関連付けられて記述されている。
　次に、以上のように構成された認証システムの動作について図４乃至図９を用いて説明する。
　始めに、事前準備として、図４に示すように、各アカウント情報ａｃ１～ａｃ３等を保存するステップＳＴ１～ＳＴ４を予め実行しておく。なお、ステップＳＴ２～ＳＴ４は、認証処理の一例であるＡＣＢｉｏ認証に関する処理であり、他の認証処理を用いる場合には適宜、変更される。
　ステップＳＴ１では、ＩＤａａＳ事業者装置内のＩＤ管理部３３がＳＳＯアカウント情報ａｃ２を作成し、当該ＳＳＯアカウント情報ａｃ２をメモリ３１に保存する。ＩＤ管理部３３は、ＳＳＯアカウント情報とユーザＩＤとを関連付けている。同様に、ＩＤ管理部３３は、サービスアカウント情報ａｃ１を作成し、当該サービスアカウント情報ａｃ１をメモリ２１に保存する。
　ステップＳＴ２では、ＩＤ管理部３３が、認証アカウント情報ａｃ３を作成し、当該認証アカウント情報ａｃ３をメモリ４１に保存する。認証アカウント情報ａｃ３は、ＳＳＯアカウント情報ａｃ２に関連付けられている。
　ステップＳＴ３では、ユーザ端末１０内の認証クライアント部１３と、認証代行装置４０内の証明書発行部４３との間でＢＲＴ証明書の発行手続きを実行する。
　ステップＳＴ４では、証明書発行部４３から、発行したＢＲＴ証明書を認証アカウント情報ａｃ３に登録する。
　事前準備の終了後、以下のステップＳＴ１０～ＳＴ１９に示すように、シングルサインオン（ＳＳＯ）認証が可能となる。
　ステップＳＴ１０では、ユーザ端末１０内のＷｅｂブラウザ部１２が、ユーザＩＤ及びＳＳＯ要求をＩＤａａＳ事業者装置３０に送信する。
　ステップＳＴ１１では、ＩＤａａＳ事業者装置３０内の認証サービス部３２が、メモリ内のＳＳＯアカウント情報ａｃ２から、シングルサインオンのアカウントや、認証レベルを確認する。
　ステップＳＴ１２では、認証サービス部３２が、Ｗｅｂブラウザ部１２に認証用のログイン画面データを送信し、認証情報を要求する。
　ステップＳＴ１３では、Ｗｅｂブラウザ部１２が、ＡＣＢｉｏ認証依頼を認証クライアント部１３に送出する。
　ステップＳＴ１４では、認証クライアント部１３が、ＡＣＢｉｏ認証要求を認証代行装置４０に送信する。認証代行装置４０内の認証代行部４２は、メモリ４１内の認証アカウント情報ａｃ３に登録されたＢＲＴ証明書から情報を取り出し、ＡＣＢｉｏ認証要求に基づいて、ＡＣＢｉｏ認証を実行する。
　このようなステップＳＴ１４においては、ユーザ端末１０から送信されたユーザＩＤ及びＳＳＯ要求に基づいて、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報に第２連携ＩＤを介して関連付けられた認証アカウント情報ａｃ３をもつ認証代行装置４０が、ユーザ端末１０を操作するユーザの認証処理を実行している。
　ステップＳＴ１５では、認証クライアント部１３が、ステップＳＴ１５のＡＣＢｉｏ認証要求の送信後に、Ｗｅｂブラウザ部１２に制御を戻す。
　ステップＳＴ１６では、Ｗｅｂブラウザ部１２が、認証結果を認証サービス部３２に送信する。
　ステップＳＴ１７では、認証サービス部３２が、認証代行部４２から認証結果を確認する。
　ステップＳＴ１８では、認証サービス部３２が、認証結果が正しいことを確認し、ＳＳＯ認証の許可をＷｅｂブラウザ部１２に返信する。
　このようなステップＳＴ１８では、認証処理の結果が成功のとき、当該認証処理されたユーザのユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報ａｃ２をもつＩＤｓｓＳ事業者装置３０が、当該ＳＳＯアカウント情報ａｃ２に第１連携ＩＤを介して関連付けられたサービスアカウント情報ａｃ１に含まれるサービスアカウント識別子で識別されるサービスに対するＳＳＯ認証を許可している。
　ステップＳＴ１９では、シングルサインオン認証により、Ｗｅｂブラウザ部１２が、ＳＳＯで連携するサービス提供者装置２０へ、シングルサインオンする。
　ステップＳＴ１９の後、ＳＳＯ認証が許可されたサービスを提供するサービス提供装置２０は、ステップＳＴ１０でユーザＩＤ及びＳＳＯ要求を送信したユーザ端末１０に対し、サービスに関する情報を送信する。
　図５は、サービス提供者が、ＩＤａａＳ事業者へＩＤのアウトソースおよび、ＳＳＯの対応を要求した場合の業務シーケンスの一例を示すシーケンス図である。この業務シーケンスは、オンライン、オフライン又はその両者を混在させた形態のいずれとしても実現可能となっている。
　ステップＳＴ２０では、サービス提供者装置が、ＩＤのアウトソースの業務を依頼（打診）するＩＤアウトソース要求をＩＤａａＳ事業者装置に送信する。
　ステップＳＴ２１では、ＩＤａａＳ事業者装置が、このＩＤアウトソース要求に応じて、ＩＤａａＳサービスの内容、価格等を示す利用メニューをサービス提供者装置２０に送信する。
　ステップＳＴ２２では、サービス提供者装置２０が、この利用メニューからサービス提供者が選択したＩＤａａＳサービスをＩＤａａＳ事業者に通知する。
　ステップＳＴ２３では、通知されたＩＤａａＳサービスに相当する認証代行サービスの利用申請を認証代行装置４０に送信する。
　ステップＳＴ２４では、認証代行装置４０が、この利用申請に基づき、ＩＤａａＳ事業者装置３０に対して契約を締結する処理を実行する。
　ステップＳＴ２５では、ＩＤａａＳ事業者装置３０が、ステップＳＴ２４の処理に基づき、サービス提供者装置２０に対して、契約を締結する処理を実行する。
　ステップＳＴ２６では、サービス提供者装置２０が、ＳＳＯサービスの利用開始をユーザ端末１０に通知する。この通知は、例えば、ＳＳＯ可能なサービスと、ＳＳＯの認証方法とを含んでいる。
　ステップＳＴ２７では、ユーザ端末１０が、ステップＳＴ２６の通知から選択したＳＳＯ可能なサービスと、当該選択した認証方法とを含むＳＳＯ利用申請をサービス提供者装置２０に送信する。
　ステップＳＴ２８では、サービス提供者装置２０が、このＳＳＯ利用申請をＩＤａａＳ事業者装置３０に送信する。
　ステップＳＴ２９では、ＩＤａａＳ事業者装置３０が、このＳＳＯ利用申請に基づいて、認証を代行する認証代行申請を認証代行装置４０に送信する。
　図６は、サービス提供者が、ＩＤａａＳ事業者へＩＤのアウトソースおよび、ＳＳＯの対応を要求した場合の業務シーケンスの一例を示す模式図である。この業務シーケンスは、オンライン、オフライン又はその両者を混在させた形態のいずれとしても実現可能となっている。
　ステップＳＴ３０では、サービス提供者装置２０が、サービス利用料を請求するサービス利用料請求をユーザ端末１０に送信する。このサービス利用料請求は、ステップＳＴ２７のＳＳＯ利用申請などで申請したサービスの利用料金を含めた費用（サービス利用料）を請求する請求書データである。
　ステップＳＴ３１では、ユーザ端末１０のユーザが、このサービス利用料請求に基づいてサービス利用料をサービス提供者に支払う。支払い方法としては、例えば、銀行引き落としなどの如き、任意の支払い方法が適用可能となっている。
　ステップＳＴ３２では、ＩＤａａＳ事業者装置３０が、ユーザＩＤの管理料を含む費用（ＩＤ管理費）を請求するＩＤ管理費請求をサービス提供者装置２０に送信する。
　ステップＳＴ３３では、サービス提供者装置２０を運営するサービス提供者が、このＩＤ管理費請求に基づいて、ＩＤ管理費をＩＤａａＳ事業者に支払う。
　ステップＳＴ３４では、認証代行装置４０が、認証代行サービスの利用料を含む費用（認証代行料）を請求する認証代行料請求をＩＤａａＳ事業者装置３０に送信する。
　ステップＳＴ３５では、ＩＤａａＳ事業者装置３０を運営するＩＤａａＳ事業者が、この認証代行料請求に基づいて、認証代行料を認証代行事業者に支払う。
　図７及び図８は、ユーザが、サービス提供者のＷｅｂサイトにログインを要求してから、ログインするまでの動作の一例を説明するためのフローチャートである。この例では、サービス提供者は、ＩＤａａＳ事業者にＩＤ管理をアウトソーシングする。ＩＤａａＳ事業者は、認証代行事業者を用いる。また、生体情報をネットワーク上に流さないオンライン認証ＡＣＢｉｏを認証代行事業者が用いることを前提としている。
　ステップＳＴ４１では、ユーザ端末１０が、ユーザＵの操作に応じて、Ｗｅｂサイトへ接続するＷｅｂ接続を要求する。
　ステップＳＴ４２では、ステップＳＴ４１で動作するＷｅｂアプリケーションが、Ｗｅｂサイトに接続するユーザＩＤと、接続要求とをＩＤａａＳ事業者装置３０に送信する。なお、接続要求は、ＳＳＯ要求と読み替えてもよい。
　ステップＳＴ４３では、ＩＤａａＳ事業者装置３０が、ユーザＩＤ及び接続要求を受信する。
　ステップＳＴ４４では、ＩＤａａＳ事業者装置３０が、接続要求を受信すると、メモリ３１からＳＳＯアカウント情報ａｃ２を読み出す。
　ステップＳＴ４５では、ＩＤａａＳ事業者装置３０が、当該読み出したＳＳＯアカウント情報に基づいて、ステップＳＴ４３で受信したユーザＩＤが正であるか否を判定するＩＤ認証を実行する。
　ステップＳＴ４６では、ステップＳＴ４５の判定の結果、否の場合、ＩＤａａＳ事業者装置３０が、エラー処理を実行する。
　ステップＳＴ４７では、ステップＳＴ４５の判定の結果、正の場合、ＩＤａａＳ事業者装置３０が、ＳＳＯアカウント情報ａｃ２に基づいて、当該ユーザＩＤが示すユーザが、オンライン生体認証の対象であるか否かを判定する。この例では、当該ユーザがオンライン生体認証の対象であるとする。そのため、ステップＳＴ４７の判定結果が否の場合については、記載を省略する。
　ステップＳＴ４８では、ＩＤａａＳ事業者装置３０が、オンライン生体認証要求及びＳＳＯアカウント情報ａｃ２を認証代行装置４０に送信する。
　このようなステップＳＴ４３～ＳＴ４８においては、ＩＤａａＳ事業者装置３０が、ユーザ端末１０から送信されたユーザＩＤ及びＳＳＯ要求に基づいて、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報ａｃ２に第２連携ＩＤを介して関連付けられた認証アカウント情報ａｃ３をもつ認証代行装置４０に認証要求を送信するステップを実行している。
　ステップＳＴ４９では、認証代行装置４０が、このオンライン生体認証要求及びアカウントを受信する。
　ステップＳＴ５０では、認証代行装置４０が、このＳＳＯアカウント情報ａｃ２に基づいて、メモリ４１からＡＰアカウント情報ａｃ３を読み出す。
　ステップＳＴ５１では、認証代行装置４０が、ステップＳＴ５０でＡＰアカウント情報ａｃ３が確認された後、ＡＣＢｉｏ認証に必要なチャレンジコードを生成する。
　ステップＳＴ５２では、認証代行装置４０が、このチャレンジコードと共に、ＡＣＢｉｏの認証要求をユーザ端末１０に送信する。
　ステップＳＴ５３では、ユーザ端末１０が、チャレンジコード及び認証要求を受信する。
　ステップＳＴ５４では、ユーザ端末１０が、認証クライアント部１３として搭載されている生体認証連携のＡＣＢｉｏアプリケーションプログラムにより、ＡＣＢｉｏインスタンスを生成する。ＡＣＢｉｏインスタンスは、生体認証の結果情報、チャレンジコード及びＢＲＴ証明書等を含んでいる。
　ステップＳＴ５５では、ユーザ端末１０が、当該生成されたＡＣＢｉｏインスタンスを認証代行装置４０に送信する。
　ステップＳＴ５６では、認証代行装置４０が、このＡＣＢｉｏインスタンスを受信する。
　ステップＳＴ５７では、認証代行装置４０が、当該受信されたＡＣＢｉｏインスタンスを検証する。ここでは、例えば、ＡＣＢｉｏインスタンスに含まれる生体認証の結果情報、チャレンジコード及びＢＲＴ証明書等が検証される。
　ステップＳＴ５８では、認証代行装置４０が、ＡＣＢｉｏインスタンスの検証結果と、ステップＳＴ４９で受信したＳＳＯアカウント情報ａｃ２とをＩＤａａＳ事業者装置３０に送信する。
　このようなステップＳＴ４９～ＳＴ５２，ＳＴ５６～ＳＴ５８においては、認証代行装置４０が、ＩＤａａＳ事業者装置３０から受けた認証要求に基づいて、ユーザ端末１０を操作するユーザの認証処理を実行し、当該認証処理の結果をＩＤａａＳ事業者装置３０に送信するステップを実行している。
　ステップＳＴ５９では、ＩＤａａＳ事業者装置３０が、認証代行装置４０からＡＣＢｉｏインスタンスの検証結果と、ＳＳＯアカウント情報ａｃ２とを受信する。
　ステップＳＴ６０では、ＩＤａａＳ事業者装置３０が、ＡＣＢｉｏの認証結果が成功か否かを判定する。
　ステップＳＴ６１では、ステップＳＴ６０の判定の結果、否の場合、ＩＤａａＳ事業者装置３０が、エラー処理を実行する。
　ステップＳＴ６２では、ステップＳＴ６０の判定の結果、成功の場合、ＩＤａａＳ事業者装置３０が、ステップＳＴ５９で受信したＳＳＯアカウント情報ａｃ２からユーザＩＤを抽出し、当該ユーザＩＤ及び認証成功を示す認証情報をサービス提供者装置２０に通知する。
　このようなステップＳＴ５９～ＳＴ６２においては、ＩＤａａＳ事業者装置３０が、認証処理の結果が成功のとき、当該認証処理されたユーザのユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報ａｃ２に第１連携ＩＤを介して関連付けられたサービスアカウント情報ａｃ３に含まれるサービスアカウント識別子で識別されるサービスに対するＳＳＯ認証を許可し、当該許可をサービス提供者装置２０に送信するステップを実行している。
　ステップＳＴ６３では、サービス提供者装置２０が、ユーザＩＤ及び認証情報を受信し、ユーザＩＤに基づく認証を許可する。
　ステップＳＴ６４では、サービス提供者装置２０が、ステップＳＴ４３で受信したユーザＩＤ及び接続要求に基づいて、Ｗｅｂページへの接続及び表示をそれぞれ許可する。
　このようなステップＳＴ６３～ＳＴ６４においては、サービス提供者装置２０が、ステップＳＴ４２でユーザＩＤ及びＳＳＯ要求を送信したユーザ端末１０に対し、ＳＳＯ認証が許可されたサービスに関する情報を送信するステップを実行している。
　ステップＳＴ６５では、ユーザ端末１０が、ログインの成功により、接続できるＷｅｂページを表示する。
　次に、脆弱性報告など外部要因により、認証代行プロバイダの管理者が特定の認証方式のレベルを変更する場合について説明する。なお、認証代行装置４０は、認証処理の方式を示す認証クラス、及び当該認証処理のレベルを示す認証レベルを関連付けて記述した認証クラス管理テーブルＴ１をメモリ４１に記憶している。また、ＳＳＯアカウント情報ａｃ２は、認証レベルを含んでいる。
　認証処理に問題が生じ、当該認証処理のレベルが低下する場合、認証代行装置４０が、当該認証処理の認証レベルを低下させるように認証クラス管理テーブルＴ１を更新し、当該低下させた認証レベルとこの認証レベルに認証アカウント情報ａｃ３内で関連付けられた認証クラスとをＩＤａａＳ事業者装置３０に送信する。
　ＩＤａａＳ事業者装置３０は、認証代行装置４０から認証レベルと認証クラスとを受信すると、当該受信した認証クラスに基づいてＳＳＯアカウント情報ａｃ２を検索し、当該検索により得られた認証レベルを、当該受信した認証レベルに低下させるようにＳＳＯアカウント情報ａｃ２を更新する。
　例えば図９に示すように、認証クラス管理テーブルＴ１内の認証クラス“acbio-finger-vein”の認証レベル“LEVEL 4”を“LEVEL 3”に変更する場合、認証代行装置４０は、変更後の認証レベル“LEVEL 3”及び連携ＩＤ“f7asiiu218j8”を含む認証レベル変更通知をＩＤａａＳ事業者装置３０に送信する。
　ＩＤａａＳ事業者装置３０は、この認証レベル変更通知に基づいて、ユーザＩＤ毎のＳＳＯアカウント情報ａｃ２に含まれるＡＰ連携情報内の認証レベル“LEVEL 4”を“LEVEL 3”に変更する。
　上述したように第１の実施形態によれば、ユーザ端末１０から送信されたユーザＩＤ及びＳＳＯ要求に基づいて、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報ａｃ２に第２連携ＩＤを介して関連付けられた認証アカウント情報ａｃ３をもつ認証代行装置４０は、ユーザ端末１０を操作するユーザの認証処理を実行する。
　認証処理の結果が成功のとき、当該認証処理されたユーザのユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報ａｃ２をもつＩＤｓｓＳ事業者装置３０は、当該ＳＳＯアカウント情報ａｃ２に第１連携ＩＤを介して関連付けられたサービスアカウント情報ａｃ３に含まれるサービスアカウント識別子で識別されるサービスに対するＳＳＯ認証を許可する。
　ＳＳＯ認証が許可されたサービスを提供するサービス提供装置２０は、ユーザＩＤ及びＳＳＯ要求を送信したユーザ端末１０に対し、サービスに関する情報を送信する。
　第１の実施形態は、このような構成により、ユーザ及びサービス提供者の利便性を向上させつつ、認証方式を容易に変更可能となっている。
　また、第１の実施形態によれば、認証処理に問題が生じ、当該認証処理のレベルが低下する場合、認証代行装置４０が、当該認証処理の認証レベルを低下させるように認証クラス管理テーブルＴ１を更新し、当該低下させた認証レベルとこの認証レベルに認証アカウント情報ａｃ３内で関連付けられた認証クラスとをＩＤａａＳ事業者装置３０に送信する。また、ＩＤａａＳ事業者装置３０が、認証代行装置４０から認証レベルと認証クラスとを受信すると、当該受信した認証クラスに基づいてＳＳＯアカウント情報ａｃ２を検索し、当該検索により得られた認証レベルを、当該受信した認証レベルに低下させるようにＳＳＯアカウント情報ａｃ２を更新する。第１の実施形態は、このような構成により、認証処理に問題が生じ、当該認証処理のレベルが低下する場合に、認証レベルを低下させることができるため、認証処理の信頼性を維持することができる。
　以上のような第１の実施形態の効果について補足的に説明する。
　本実施形態では、ＩＤａａＳ事業者に対して、認証サービスを認証代行したことにより、ＩＤａａＳにて、オプションとして認証方式をサービス提供者のユーザが選択することができる。
　これにより、当初の目的であるユーザおよびサービス提供者の利便性を向上し、ユーザ、サービス提供者に、セキュリティサービスの選択の自由度をもたせることができる。
　また、ＩＤａａＳはＩＤを管理、認証代行は認証のみでＩＤを管理しないという方法で疎結合することにより、認証の管理・運用方法をシンプルにする。
　また、本実施形態では、認証サービスをＩＤａａＳと切り離すことにより、以下の効果（ａ）～（ｄ）を得ることができる。
　（ａ）サービス提供者に対する効果
　サービス提供者は、ＩＤ管理をＩＤａａＳ事業者にアウトソーシングすることにより、運用面で以下のような効果を得ることができる。
　サービス提供者は、ＩＤプロバイダや他のサービス提供者と信頼関係を結んでユーザ情報を連携、管理する必要がない。
　サービス提供者は、ＩＤ管理の状況についてタイムリな監視が不要である。
　これは、一般に信頼関係を結んでいるシステムが複数になると個々に、設定が必要となりシステムや運用の複雑さが増すが、システムや運用を含めた複雑な管理をアウトソースできるためである。
　サービス提供者は、ＩＤ管理をアウトソーシングしたことにより、自社のＩＤ管理による、ＩＤ情報の漏えいリスクを無くすことができる。
　サービス提供者は、ＩＤａａＳ事業者がオプション提供する認証方法を選択することができる。ここで、サービス提供者は、自社で準備するには多大な準備や運用検討が必要な生体認証を簡単に導入することができる。サービス提供者は、自社でセキュアな管理環境を整える必要がない。
　サービス提供者は、生体認証を導入した場合、ユーザの認証情報忘れにより、サービス利用の機会を損失することを低減することができる。
　サービス提供者は、自サービスではセキュリティの高い認証が必要なユーザが一部の場合でも、ＳＳＯ認証においてＩＤａａＳを利用する他のサービス提供者のユーザ全体の数が多い場合に、セキュリティの高い認証（生体認証等）をユーザに提供することができる。
　（ｂ）ＩＤａａＳ事業者に対する効果
　ＩＤａａＳ事業者は、認証代行サービスを認証代行事業者にアウトソーシングすることにより、サービス提供者及びユーザに対し、利用サービスを向上させる効果を得ることができる。
　ＩＤａａＳ事業者は、認証方式をアウトソースすることにより、ＩＤに対する認証方法の選択肢を増やすとともに、疎結合により切り離しを可能とすることで、ユーザおよびサービス提供者の要求に応じたよりセキュアな認証方法を選定することができる。同様に、ＩＤａａＳ事業者は、セキュリティ効果の高い認証方式に迅速に対応していくことが可能になる。
　ＩＤａａＳ事業者は、生体認証などのように、認証方式や管理の難易度の高い管理方法を用いるリソースについても自ら準備するのではなく、すでに完成しているリソースを利用できる。
　ＩＤａａＳ事業者は、複数のサービス提供者からの要求で認証を実施するので、小規模なサービス提供者のグループに対しても高セキュリティなサービスを提供することができる。
　（ｃ）認証代行事業者に対する効果
　認証代行事業者は、ＩＤａａＳ事業者の認証代行サービスをすることにより、専門性に特化したセキュアな認証を提供する効果を得ることができる。
　認証代行事業者は、ＩＤに付随するユーザ情報をＩＤａａＳ事業者がもつため、ユーザ情報を管理する必要がない。
　認証代行事業者は、サービス提供者だけでなく、ＩＤａａＳから不特定多数の希望者に対して、認証代行サービスを提供できる。
　（ｄ）ユーザに対する効果
　ユーザは、以下のように、利便性が向上する効果を得ることができる。すなわち、ユーザは、ＩＤａａＳが提供する認証サービスを利用することができる。また、ユーザは、セキュアにしたい場合に、生体認証を利用する等、選択肢が増える。更に、ユーザは、ＩＤａａＳを利用してシングルサインオン（ＳＳＯ）することで、サービス提供者毎に登録するユーザＩＤを個々に覚える必要がない。
　＜第２の実施形態＞
　次に、第２の実施形態に係る認証システムについて図１を参照しながら説明する。
　第２の実施形態は、第１の実施形態の変形例であり、認証レベルの変更に要する負荷を軽減する形態となっている。
　例えば、第１の実施形態では、認証レベルを変更する場合、全てのユーザのＳＳＯアカウント情報ａｃ２の属性（サポート認証レベル）を変更しなくてはならない。このため、第１の実施形態は、アカウント数が大きくなると、認証レベルの変更による負荷が大きい。
　これに対し、第２の実施形態では、図１０に示すように、ＩＤａａＳ事業者装置３０が、認証レベルと、認証クラスインデックスとを関連付けて記述した認証レベル管理テーブルＴ２をメモリ３１に記憶している。ここで、認証クラスインデックスは、認証代行事業者名（ＡＰ名）と認証クラスとを表現するインデックスである。
　また、認証代行装置４０は、認証処理の方式を示す認証クラス、当該認証処理のレベルを示す認証レベル、及び当該認証クラスの認証代行事業者名を含む認証クラスインデックスを関連付けて記述した認証クラス管理テーブルＴ１をメモリ４１に記憶している。
　これに伴い、図１１に示すように、ＩＤａａＳ事業者装置３０が管理するＳＳＯアカウント情報ａｃ２では、ＡＰ連携情報が認証レベルに代えて、認証クラスインデックスを含む構成となっている。
　このような第２の実施形態では、図１２に示すように、認証レベルを変更する場合、両テーブルＴ１，Ｔ２を書き換えればよく、ＳＳＯアカウント情報ａｃ２の書き換えが不要である。
　詳しくは、認証処理に問題が生じ、当該認証処理のレベルが低下する場合、認証代行装置４０が、当該認証処理の認証レベルを低下させるように認証クラス管理テーブルＴ１を更新し、当該認証クラス管理テーブルＴ１内で低下させた認証レベルと、この認証レベルに関連付けた認証クラスインデックスとをＩＤａａＳ事業者装置３０に送信する。
　ＩＤａａＳ事業者装置３０は、認証代行装置４０から認証レベルと認証クラスインデックスとを受信すると、当該受信した認証クラスインデックスに基づいて認証レベル管理テーブルＴ２を検索し、当該検索により得られた認証レベルを、当該受信した認証レベルに低下させるように認証レベル管理テーブルＴ２を更新する。
　このようにして、両テーブルＴ１，Ｔ２の書き換えが実行される。なお、両テーブルＴ１，Ｔ２の書き換えは、ＩＤａａＳ事業者装置３０が認証レベル管理テーブルＴ２を書き換えた後、認証代行装置４０が認証クラス管理テーブルＴ１を書き換えるように変形してもよい。後述するステップＳＴ９１－３では、この変形例について述べる。
　認証処理は、第１の実施形態と同様に実行される。
　次に、以上のように構成された認証システムの動作について説明する。
　図１３は、ＩＤａａＳ事業者による認証レベルの管理例を示す模式図である。
　ユーザ端末１０、サービス提供者装置２０、ＩＤａａＳ事業者装置３０及び認証代行装置４０は複数存在するが、図１３中においては、説明を簡潔にする観点から、各装置１０～４０が１台ずつ記載されている。
　図１３に示す例の場合、ユーザＵ１，Ｕ２は、ＳＳＯ認証を利用したいサービス毎に、所望の認証レベルをもっている。
　ユーザ端末１０は、ユーザＵ１，Ｕ２の操作に応じて、サービス提供者装置２０から提供されるサービスの認証レベルを自由に選択できる。
　サービス提供者装置２０は、サービス毎に、提供可能な認証レベルをユーザに提示できる。また、サービス提供者装置２０は、サービス毎に、提示する認証レベルに合わせた認証レベルをＩＤａａＳ事業者装置３０から選択、決定できる。
　ＩＤａａＳ事業者装置３０では、認証代行装置４０により代行可能な認証処理における複数の認証レベルをサービス提供者装置２０に提示できる。
　ＩＤａａＳ事業者装置３０では、ユーザＩＤ毎に、サービス提供装置３０のサービスと、認証クラスインデックスとを管理できる。ＩＤａａＳ事業者装置３０では、認証レベル管理テーブルＴ２により、認証レベルと、認証クラスインデックスとを関連付けて管理できる。
　認証代行装置４０では、認証クラス管理テーブルＴ１により、認証レベルと、認証クラスと、認証クラスインデックスとを関連付けて管理できる。
　このため、ＩＤａａＳ事業者装置３０で統合管理されている範囲で、ユーザ端末１０を利用するユーザＵ１，Ｕ２は、ＳＳＯ認証により、サービス毎のＩＤを意識することがない。
　また、ネットワーク上で問題が発生した場合、両テーブルＴ１，Ｔ２内の認証レベルを下げることにより、サービス提供者装置２０へのアクセスを制限できる。問題が解決した場合には、両テーブルＴ１，Ｔ２内の認証レベルを上げることができる。
　認証代行装置４０による認証を一時的に停止する等の緊急措置も可能となる。
　ＩＤａａＳ事業者装置３０は、サービス提供者装置２０やユーザ端末１０に提供する認証処理を実行する認証装置として、認証代行装置４０を利用できる。そのため、ＩＤａａＳ事業者装置３０は、生体認証などの環境を自己で構築する必要がない。
　認証代行装置４０は、代行する認証毎に、認証レベルをもっている。
　認証代行装置４０は、ユーザＩＤ及びユーザ情報を管理しない。
　全ての装置１０～４０は、多重化し、疎結合で認証される。
　図１４は、ＩＤａａＳ事業者装置３０によるＳＳＯ連携の動作の一例を説明するためのフローチャートである。図１４左方のステップＳＴ７１～ＳＴ７５は、既存のＳＳＯ連携の動作を示している。
　ステップＳＴ７１では、ＳＳＯが作成される。
　ステップＳＴ７２では、ＳＳＯが連携される。
　ステップＳＴ７３では、ＳＳＯが利用される。
　ステップＳＴ７４では、ＳＳＯの連携が解除される。
　ステップＳＴ７５では、ＳＳＯが削除される。
　図１４右方のステップＳＴ８１～ＳＴ９４は、本実施形態におけるＳＳＯ連携の動作の一例を示している。
　ステップＳＴ８１では、ＩＤａａＳ事業者が、ＳＳＯの認定レベルを選定する。
　ステップＳＴ８２は、ＩＤａａＳ事業者装置３０が、ＳＳＯ連携先の確定（審査）をする。
　ステップＳＴ８３では、認証システムがＳＳＯを作成する。
　ステップＳＴ８４では、認証システムがＳＳＯを連携する。
　ステップＳＴ８５では、ユーザが，初回に接続するＳＰ（サービス提供者）を利用する。なお、２回目に接続するＳＰを利用する場合には、ステップ８５ではなく、ステップＳＴ８８に進む。
　ステップＳＴ８６では、ユーザが初回はＳＳＯ以外で、ＳＰサイトの認証をうける。
　ステップＳＴ８７では、ユーザがＳＰで認証された場合、ＳＳＯの利用を開始する。
　ステップＳＴ８９では、ユーザがＳＳＯを利用する。
　ステップＳＴ９０では、認証方式に問題が発生したことにより、認証方式のレベルが下がったとＩＤａａＳ事業者に判定される。
　ステップＳＴ９１では、ＩＤａａＳ事業者装置３０及び認証代行装置４０が、認証レベルを下げる。
　ステップＳＴ９２では、認証方式の問題が解決したことにより、ＩＤａａＳ事業者装置３０及び認証代行装置４０が、認証方式のレベルを復旧させ、認証レベルを元に戻す。
　ステップＳＴ９３では、認証システムがＳＳＯを解除する。
　ステップＳＴ９４では、認証システムがＳＳＯを削除する。
　次に、以上のような本実施形態におけるステップＳＴ８１～ＳＴ９２について、図１５～図１９のフローチャートを用いて説明する。なお、図１５及び図１６はステップＳＴ８１～ＳＴ８４の説明に用い、図１７はステップＳＴ８５～ＳＴ８７，ＳＴ８９の説明に用いる。図１８はステップＳＴ８８～ＳＴ８９の説明に用い、図１９はステップＳＴ９０～ＳＴ９２の説明に用いる。
　ステップＳＴ８１－１では、ＩＤａａＳ事業者が、ＳＰ向けＳＳＯ認証のオプションサービスを選定する。ここで、オプションサービスとしては、例えば、通常のパスワード以外に、ワンタイムパスワード（ＯＴＰ）、生体認証、生体認証＋ＡＣＢｉｏ等といった認証処理が適宜、使用可能となっている。このとき、ＩＤａａＳ事業者は認証レベルを確定し、当該認証レベルを認証レベル管理テーブルＴ１に登録する。
　ステップＳＴ８２－１では、ＩＤａａＳ事業者装置３０が、ＩＤａａＳ事業者が連携を希望するサービス提供者に関して、ＳＰ向けＳＳＯ連携を招待（募集）する。
　ステップＳＴ８２－２では、サービス提供者装置２０が、ＳＳＯの連携要求をＩＤａａＳ事業者装置３０に送信する。
　ステップＳＴ８２－３では、ＩＤａａＳ事業者装置３０が、このＳＳＯの連携要求を受け付ける。
　ステップＳＴ８２－４では、ＩＤａａＳ事業者装置３０が、ＳＳＯの連携要求を受け付けた結果をサービス提供者装置２０に回答する。ＩＤａａＳ事業者装置３０は、ＳＳＯで連携するＳＰ間の安全性のために、連携先を精査する。
　ステップＳＴ８２－５では、サービス提供者装置２０が、ＳＳＯの連携要求の結果を受け取る。
　ステップＳＴ８２－６では、ＩＤａａＳ事業者装置３０が、ＳＰ連携情報をメモリ３１へ登録する。
　ステップＳＴ８２－７では、ＩＤａａＳ事業者装置３０が、ユーザ向けにＳＳＯサービス開始の連絡、広告処理を実行する。
　ステップＳＴ８３－１では、ユーザ端末１０が、ユーザの操作に応じて、ＩＤａａＳ事業者装置３０にＳＳＯのＩＤ登録依頼を送信する。ＩＤａａＳ事業者のＩＤや元のＩＤを利用することも運用として可能である。
　ステップＳＴ８３－２では、ＩＤａａＳ事業者装置３０が、このＳＳＯのＩＤ登録依頼を受け付け、新規ＩＤを登録する。
　ステップＳＴ８３－３では、ＩＤａａＳ事業者装置３０が、認証方法をユーザに確認するためのメニュー情報をユーザ端末１０に送信する。
　ステップＳＴ８３－４では、ユーザ端末１０が、ユーザの操作に応じて、このメニュー情報から、認証方法を選び、指定する。当該例では、ユーザは、ＩＤａａＳ事業者装置３０の提供する認証代行装置４０の提供するＡＣＢｉｏ認証を選択、指定する。
　ステップＳＴ８３－５では、ＩＤａａＳ事業者装置３０が、ユーザ端末１０から認証方法を受け付ける。
　ステップＳＴ８３－６では、当該受け付けた認証方法が認証代行装置４０を利用する場合、ＩＤａａＳ事業者装置３０が、認証代行装置４０に認証利用申請を送信する。
　※ＩＤａａＳ事業者装置３０は、認証代行装置４０に向けたＳＳＯに紐づくアカウントを合わせて発行して渡す。
　ステップＳＴ８３－７では、認証代行装置４０が、ＩＤａａＳ事業者装置３０から受けたアカウント情報により、認証情報の登録要求をユーザ端末１０に送信する。この認証情報の登録要求は、チャレンジコードを含んでいる。
　ステップＳＴ８３－８では、ユーザ端末１０が、この認証情報の登録要求に基づいて、ユーザの生体情報を採取し、当該生体情報のハッシュ値と、登録要求内のチャレンジコードとを含むＡＣＢｉｏインスタンスを生成する。また、ユーザ端末１０は、生成したＡＣＢｉｏインスタンスを認証代行装置４０に送信する。
　ステップＳＴ８３－９では、認証代行装置４０が、このＡＣＢインスタンスに基づいて、ＡＣＢｉｏのＢＲＴ証明書を発行し、当該ＢＲＴ証明書をユーザ端末１０に送信する。
　ステップＳＴ８３－１０では、ユーザ端末１０が、このＢＲＴ証明書を含む認証情報を登録し、登録完了通知を認証代行装置４０に送信する。
　ステップＳＴ８３－１１では、認証代行装置４０が、この登録完了通知を受け付ける。
　ステップＳＴ８３－１２では、認証代行装置４０が、ＢＲＴ証明書を含む認証情報を登録し、アカウントと連携する。アカウントの連携確認後、認証代行装置４０は、認証登録の結果をＩＤａａＳ事業者装置３０に送信する。この例では、認証登録の結果が正常であるとする。なお、異常の場合には、例えば、ステップＳＴ８３－７～ＳＴ８３－１１の処理を再試行すればよい。
　ステップＳＴ８３－１３では、ＩＤａａＳ事業者装置３０が、認証登録の結果を受け付け、認証の利用申請が受付けられたことを確認し、ＳＳＯ　ＩＤの登録完了をユーザ端末１０に通知する。
　ステップＳＴ８３－１４では、ユーザ端末１０が、このＳＳＯ　ＩＤの登録完了の通知を受け付ける。
　ステップＳＴ８４－１では、ＩＤａａＳ事業者装置３０が、メモリ３１にＳＳＯ　ＩＤの情報を登録し、該当するユーザのユーザ管理情報を更新する。
　ステップＳＴ８５－１では、ユーザ端末１０が、ユーザの操作に応じて、ＳＳＯ　ＩＤを用いてログインする。
　ステップＳＴ８５－２では、ＩＤａａＳ事業者装置３０が、ユーザ端末１０から受けたＳＳＯ　ＩＤを認証する。
　ステップＳＴ８５－３では、ＩＤａａＳ事業者装置３０が、パスワード認証要求又はＡＣＢｉｏ認証要求を認証代行装置４０に送信する。ここでは、オンライン生体認証ＡＣＢｉｏの認証要求を送信する場合を例に挙げて述べる。
　ステップＳＴ８５－４では、認証代行装置４０が、この認証要求を受け付ける。
　ステップＳＴ８５－５では、認証代行装置４０が、当該受け付けた認証要求に基づいて、ユーザ端末１０に認証要求を送信する。
　ステップＳＴ８５－６では、ユーザ端末１０が、この認証要求を受信する。
　ステップＳＴ８５－７では、ユーザ端末１０が、当該受信した認証要求に応じて、ユーザの生体認証を実行し、認証結果を含むＡＣＢｉｏインスタンスを生成する。
　ステップＳＴ８５－８では、当該生成したＡＣＢｉｏインスタンスを認証代行装置４０に送信する。
　ステップＳＴ８５－９では、認証代行装置４０が、ＡＣＢｉｏインスタンスを受信する。
　ステップＳＴ８５－１０では、認証代行装置４０が、このＡＣＢｉｏインスタンスの内容を検証し、検証結果をＩＤａａＳ事業者装置３０に送信する。
　ステップＳＴ８５－１１では、ＩＤａａＳ事業者装置３０が、認証代行装置４０から検証結果を受信する。
　ステップＳＴ８６－１では、ＩＤａａＳ事業者装置３０が、ＳＳＯで初回時にサービス提供者装置２０に接続する場合の初回認証要求をサービス提供者装置２０に送信する。
　ステップＳＴ８６－２では、サービス提供者装置２０が、この初回認証要求に基づいて、ＳＳＯによるサービス提供者装置２０への初回接続であることを示す情報を含む初回の認証要求をユーザ端末１０に送信する。
　ステップＳＴ８６－３では、ユーザ端末１０が、サービス提供者装置２０から初回の認証要求を受信する。
　ステップＳＴ８６－４では、ユーザ端末１０が、サービス提供者装置２０への認証情報の入力をユーザに促し、入力された認証情報をサービス提供者装置２０に送信する。
　ステップＳＴ８６－５では、サービス提供者装置２０が、ステップＳＴ８６－２の認証要求に対する応答として、認証情報をユーザ端末１０から受信する。
　ステップＳＴ８６－６では、サービス提供者装置２０が、当該受信した認証情報を検証する。この例では、検証が成功したとする。
　ステップＳＴ８７－１では、サービス提供者装置２０が、初回の認証が成功したことを示す検証結果をＩＤａａＳ事業者装置３０に送信する。
　ステップＳＴ８７－２では、ＩＤａａＳ事業者装置３０が、サービス提供者装置２０から検証結果を受信する。
　ステップＳＴ８７－３では、ＩＤａａＳ事業者装置３０が、当該受信した検証結果に基づいて、メモリ３１内のＳＳＯアカウント情報及びユーザ管理情報を更新する。
　ステップＳＴ８９－１では、ステップＳＴ８６－６の検証の完了後、サービス提供者装置２０が、ユーザへのサービスの提供を開始する。
　ステップＳＴ８９－２では、ユーザ端末１０が、サービス提供者装置２０からサービスの提供が開始され、継続操作が許可される。
　図１８は、ＳＳＯで２回目以降にサービス提供者装置２０に接続する場合の流れを示す模式図である。
　ステップＳＴ８８－１～ＳＴ８８－１０の処理は、前述したステップＳＴ８５－１～ＳＴ８５－１０と同様に実行される。なお、ステップＳＴ８８－１０では、認証代行装置４０が、このＡＣＢｉｏインスタンスの内容を検証し、検証結果をＩＤａａＳ事業者装置３０に送信する。
　ステップＳＴ８８－１１ａでは、ＩＤａａＳ事業者装置３０が、認証代行装置４０から検証結果を受信し、ステップＳＴ８８－１０の検証の完了をサービス提供者装置２０に送信する。
　ステップＳＴ８９－１ａでは、ステップＳＴ８８－１０の検証の完了後、サービス提供者装置２０が、ユーザへのサービスの提供を開始する。
　ステップＳＴ８９－２では、ユーザ端末１０が、サービス提供者装置２０からサービスの提供が開始され、継続操作が許可される。
　図１９は、ＩＤａａＳの認証レベルをダウンする動作と、認証レベルを復旧する動作とを説明するためのフローチャートである。
　ステップＳＴ９０－１では、ＩＤａａＳ事業者が、外部要因による問題認知を受け付ける。
　ステップＳＴ９１－１では、ＩＤａａＳ事業者がセキュリティの状況を確認し、ＩＤａａＳ事業者装置３０を操作する。ＩＤａａＳ事業者装置３０は、ＩＤａａＳ事業者の操作に応じて、認証レベルをダウンする通知を認証代行装置４０に送信する。
　ステップＳＴ９１－２では、認証代行装置４０が認証レベルをダウンする通知を表示し、認証代行事業者に状況の確認を促す。認証代行事業者は、この状況を確認し、認証レベルをダウンすることを確認する。なお、ステップＳＴ９１－１～ＳＴ９１－２の処理は、予め定められた操作により実行される。
　ステップＳＴ９１－３では、ＩＤａａＳ事業者装置３０が、認証代行装置４０の対象の認証クラスに対応する認証クラス管理テーブルＴ１内の認証レベルを下げる。また、ＩＤａａＳ事業者装置３０は、対象の認証クラスに対応する認証レベル管理テーブルＴ２内の認証レベルを下げる。この例では、認証レベル“LEVEL2”を“LEVEL1”に低下させる。また、ＩＤａａＳ事業者装置３０は、認証レベルを変更（ダウン）したことを示す認証レベル変更通知をサービス提供者装置２０に送信する。
　このようなステップＳＴ９１－３においては、認証処理に問題が生じ、当該認証処理のレベルが低下する場合、ＩＤａａＳ事業者装置３０が、当該認証処理の認証レベルを低下させるように認証レベル管理テーブルＴ２を更新し、当該認証レベル管理テーブルＴ２内で低下させた認証レベルとこの認証レベルに関連付けた認証クラスインデックスとを認証代行装置４０に送信する。
　認証代行装置４０は、ＩＤａａＳ事業者装置３０から認証レベルと認証クラスインデックスとを受信すると、当該受信した認証クラスインデックスに基づいて認証クラス管理テーブルＴ１を検索し、当該検索により得られた認証レベルを、当該受信した認証レベルに低下させるように認証クラス管理テーブルＴ１を更新している。
　また、ＩＤａａＳ事業者装置３０は、認証レベル変更通知をサービス提供者装置２０に送信している。
　ステップＳＴ９１－４では、サービス提供者装置２０が、認証レベル変更通知を受け付ける。この認証レベル変更通知は、例えば、図示しないサービス提供者端末に送信され、当該サービス提供者端末から表示出力される。
　ステップＳＴ９１－５では、サービス提供者は、この認証レベル変更通知を視認し、例えば図２０に示す方針ｐ１に沿って、対策処置の手続きを進める。
　ステップＳＴ９１－５の後、認証レベルをダウンさせた問題が解消され、セキュリティ状況が復旧したとする。
　ステップＳＴ９２－１では、ＩＤａａＳ事業者が、外部要因による問題復旧を受け付ける。
　ステップＳＴ９２－２では、ＩＤａａＳ事業者がセキュリティの状況を確認し、ＩＤａａＳ事業者装置３０を操作する。ＩＤａａＳ事業者装置３０は、ＩＤａａＳ事業者の操作に応じて、認証レベルを復旧させる通知を認証代行装置４０に送信する。
　ステップＳＴ９２－３では、認証代行装置４０が認証レベルを復旧する通知を表示し、認証代行事業者に状況の確認を促す。認証代行事業者は、この状況を確認し、認証レベルを復旧させることを確認する。なお、ステップＳＴ９２－２～ＳＴ９２－３の処理は、予め定められた操作により実行される。
　ステップＳＴ９２－４では、ＩＤａａＳ事業者装置３０が、認証代行装置４０の対象の認証クラスに対応する認証クラス管理テーブルＴ１内の認証レベルを元に戻す（復旧させる）。また、ＩＤａａＳ事業者装置３０は、対象の認証クラスに対応する認証レベル管理テーブルＴ２内の認証レベルを元に戻す（復旧させる）。この例では、認証レベル“LEVEL1”を“LEVEL2”に戻す。また、ＩＤａａＳ事業者装置３０は、認証レベルを復旧（変更）したことを示す認証レベル復旧通知をサービス提供者装置２０に送信する。
　ステップＳＴ９２－５では、サービス提供者装置２０が、認証レベル復旧通知を受け付ける。この認証レベル復旧通知は、例えば、図示しないサービス提供者端末に送信され、当該サービス提供者端末から表示出力される。
　ステップＳＴ９２－６では、サービス提供者は、この認証レベル復旧通知を視認し、例えば図２１に示す方針ｐ２に沿って、復旧処置の手続きを進める。
　上述したように第２の実施形態によれば、認証処理に問題が生じ、当該認証処理のレベルが低下する場合、認証代行装置４０が、当該認証処理の認証レベルを低下させるように認証クラス管理テーブルＴ１を更新し、当該低下させた認証レベルとこの認証レベルに関連付けた認証クラスインデックスとをＩＤａａＳ事業者装置３０に送信する。
　ＩＤａａＳ事業者装置３０は、認証代行装置４０から認証レベルと認証クラスインデックスとを受信すると、当該受信した認証クラスインデックスに基づいて認証レベル管理テーブルＴ１を検索し、当該検索により得られた認証レベルを、当該受信した認証レベルに低下させるように認証レベル管理テーブルＴ１を更新する。
　第２の実施形態は、このような構成により、第１の実施形態の効果に加え、認証レベルを低下させる際に、ＩＤａａＳ事業者装置３０が、ユーザＩＤ毎のＳＳＯアカウント情報を更新する必要が無く、認証レベル管理テーブルＴ２を更新すればよいので、認証レベルの低下に必要な負荷を大幅に軽減させることができる。
　以上説明した少なくとも一つの実施形態によれば、各アカウント情報ａｃ１～ａｃ３内の各連携ＩＤを介してサービス提供者装置２０、ＩＤａａＳ事業者装置３０及び認証代行装置４０を連携させた構成により、ユーザ及びサービス提供者の利便性を向上させつつ、認証方式を容易に変更可能となっている。
　なお、上記の各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ－ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
　また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
　また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
　さらに、各実施形態における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶又は一時記憶した記憶媒体も含まれる。
　また、記憶媒体は１つに限らず、複数の媒体から上記の各実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
　なお、各実施形態におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記の各実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
　また、各実施形態におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
　なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

Claims (6)

  1. 　ユーザに操作されるユーザ端末に通信可能なサービス提供者装置、ＩＤａａＳ事業者装置及び認証代行装置を備えた認証システムであって、
    　前記サービス提供者装置は、
    　当該サービス提供者装置が提供するサービスのアカウントを識別するサービスアカウント識別子及び第１連携ＩＤを含むサービスアカウント情報を記憶するサービスアカウント情報記憶手段、
    　を備え、
    　前記ＩＤａａＳ事業者装置は、
    　前記ユーザを識別するユーザＩＤに一致するシングルサインオン（ＳＳＯ）アカウント識別子、前記第１連携ＩＤに一致する第１連携ＩＤ及び前記第１連携ＩＤとは異なる第２連携ＩＤを含むＳＳＯアカウント情報を記憶するＳＳＯアカウント情報記憶手段、
    　を備え、
    　前記認証代行装置は、
    　前記ユーザに対する認証処理のアカウントを識別する認証アカウント識別子、前記第２連携ＩＤに一致する第２連携ＩＤ及び当該認証処理の方式を示す認証クラスを含む認証アカウント情報を記憶する認証アカウント情報記憶手段、
    　を備え、
    　前記ユーザ端末から送信されたユーザＩＤ及びＳＳＯ要求に基づいて、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報に第２連携ＩＤを介して関連付けられた認証アカウント情報をもつ前記認証代行装置が、前記ユーザ端末を操作するユーザの認証処理を実行し、
    　前記認証処理の結果が成功のとき、当該認証処理されたユーザのユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報をもつＩＤｓｓＳ事業者装置が、当該ＳＳＯアカウント情報に第１連携ＩＤを介して関連付けられたサービスアカウント情報に含まれるサービスアカウント識別子で識別されるサービスに対するＳＳＯ認証を許可し、
    　前記ＳＳＯ認証が許可されたサービスを提供する前記サービス提供装置が、前記ユーザＩＤ及び前記ＳＳＯ要求を送信したユーザ端末に対し、前記サービスに関する情報を送信することを特徴とする認証システム。
  2. 　請求項１に記載の認証システムにおいて、
    　前記認証代行装置は、
    　前記認証処理の方式を示す認証クラス、及び当該認証処理のレベルを示す認証レベルを関連付けて記述した認証クラス管理テーブルを記憶した第１テーブル記憶手段、
    　を備え、
    　前記ＳＳＯアカウント情報記憶手段は、前記認証レベルを含んでおり、
    　前記認証処理に問題が生じ、当該認証処理のレベルが低下する場合、前記認証代行装置が、当該認証処理の認証レベルを低下させるように前記認証クラス管理テーブルを更新し、前記低下させた認証レベルとこの認証レベルに前記認証アカウント情報内で関連付けられた認証クラスとを前記ＩＤａａＳ事業者装置に送信し、
    　前記ＩＤａａＳ事業者装置が、前記認証代行装置から認証レベルと認証クラスとを受信すると、当該受信した認証クラスに基づいて前記ＳＳＯアカウント情報を検索し、当該検索により得られた認証レベルを、当該受信した認証レベルに低下させるように前記ＳＳＯアカウント情報を更新する
    　ことを特徴とする認証システム。
  3. 　請求項１に記載の認証システムにおいて、
    　前記認証代行装置は、
    　前記認証処理の方式を示す認証クラス、当該認証処理のレベルを示す認証レベル、及び当該認証クラスの認証代行事業者名を含む認証クラスインデックスを関連付けて記述した認証クラス管理テーブルを記憶した第１テーブル記憶手段、
    　を備え、
    　前記ＳＳＯアカウント情報記憶手段は、前記認証レベルを含まず、前記認証クラスインデックスを含んでおり、
    　前記ＩＤａａＳ事業者装置は、
    　前記認証レベル及び前記認証クラスインデックスを関連付けて記述した認証レベル管理テーブルを記憶した第２テーブル記憶手段、
    　を備え、
    　前記認証処理に問題が生じ、当該認証処理のレベルが低下する場合、前記認証代行装置が、当該認証処理の認証レベルを低下させるように前記認証クラス管理テーブルを更新し、前記認証クラス管理テーブル内で低下させた認証レベルとこの認証レベルに関連付けた認証クラスインデックスとを前記ＩＤａａＳ事業者装置に送信し、
    　前記ＩＤａａＳ事業者装置が、前記認証代行装置から認証レベルと認証クラスインデックスとを受信すると、当該受信した認証クラスインデックスに基づいて前記認証レベル管理テーブルを検索し、当該検索により得られた認証レベルを、当該受信した認証レベルに低下させるように前記認証レベル管理テーブルを更新する
    　ことを特徴とする認証システム。
  4. 　ユーザに操作されるユーザ端末及び前記ユーザにサービスを提供するためのサービス提供者装置にそれぞれ通信可能なＩＤａａＳ事業者装置及び認証代行装置を備えた認証システムであって、
    　前記サービス提供者装置は、
    　前記サービスのアカウントを識別するサービスアカウント識別子及び第１連携ＩＤを含むサービスアカウント情報を記憶しており、
    　前記ＩＤａａＳ事業者装置は、
    　前記ユーザを識別するユーザＩＤに一致するシングルサインオン（ＳＳＯ）アカウント識別子、前記第１連携ＩＤに一致する第１連携ＩＤ及び前記第１連携ＩＤとは異なる第２連携ＩＤを含むＳＳＯアカウント情報を記憶するＳＳＯアカウント情報記憶手段、
    　を備え、
    　前記認証代行装置は、
    　前記ユーザに対する認証処理のアカウントを識別する認証アカウント識別子、前記第２連携ＩＤに一致する第２連携ＩＤ及び当該認証処理の方式を示す認証クラスを含む認証アカウント情報を記憶する認証アカウント情報記憶手段、
    　を備え、
    　前記ユーザ端末から送信されたユーザＩＤ及びＳＳＯ要求に基づいて、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報に第２連携ＩＤを介して関連付けられた認証アカウント情報をもつ前記認証代行装置が、前記ユーザ端末を操作するユーザの認証処理を実行し、
    　前記認証処理の結果が成功のとき、当該認証処理されたユーザのユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報をもつＩＤｓｓＳ事業者装置が、当該ＳＳＯアカウント情報に第１連携ＩＤを介して関連付けられたサービスアカウント情報に含まれるサービスアカウント識別子で識別されるサービスに対するＳＳＯ認証を許可し、
    　前記ＳＳＯ認証が許可されたサービスを提供する前記サービス提供装置が、前記ユーザＩＤ及び前記ＳＳＯ要求を送信したユーザ端末に対し、前記サービスに関する情報を送信することを特徴とする認証システム。
  5. 　ユーザ端末を操作するユーザに提供するサービスのアカウントを識別するサービスアカウント識別子及び第１連携ＩＤを含むサービスアカウント情報を記憶するサービスアカウント情報記憶手段を備えたサービス提供装置と、
    　前記ユーザを識別するユーザＩＤに一致するシングルサインオン（ＳＳＯ）アカウント識別子、前記第１連携ＩＤに一致する第１連携ＩＤ及び前記第１連携ＩＤとは異なる第２連携ＩＤを含むＳＳＯアカウント情報を記憶するＳＳＯアカウント情報記憶手段を備えたＩＤａａＳ事業者装置と、
    　前記ユーザに対する認証処理のアカウントを識別する認証アカウント識別子、前記第２連携ＩＤに一致する第２連携ＩＤ及び当該認証処理の方式を示す認証クラスを含む認証アカウント情報を記憶する認証アカウント情報記憶手段を備えた認証代行装置と
    　を備えた認証システムが実行する認証方法であって、
    　前記ＩＤａａＳ事業者装置により、前記ユーザ端末から送信されたユーザＩＤ及びＳＳＯ要求に基づいて、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報に第２連携ＩＤを介して関連付けられた認証アカウント情報をもつ前記認証代行装置に認証要求を送信することと、
    　前記認証代行装置により、前記ＩＤａａＳ事業者装置から受けた認証要求に基づいて、前記ユーザ端末を操作するユーザの認証処理を実行し、当該認証処理の結果を前記ＩＤａａＳ事業者装置に送信することと、
    　前記ＩＤａａＳ事業者装置により、前記認証処理の結果が成功のとき、当該認証処理されたユーザのユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報に第１連携ＩＤを介して関連付けられたサービスアカウント情報に含まれるサービスアカウント識別子で識別されるサービスに対するＳＳＯ認証を許可し、当該許可を前記サービス提供者装置に送信することと、
    　前記サービス提供者装置により、前記ユーザＩＤ及び前記ＳＳＯ要求を送信したユーザ端末に対し、前記ＳＳＯ認証が許可されたサービスに関する情報を送信することと
    　を備えたことを特徴とする認証方法。
  6. 　ユーザ端末を操作するユーザに提供するサービスのアカウントを識別するサービスアカウント識別子及び第１連携ＩＤを含むサービスアカウント情報を記憶したサービス提供装置と、
    　前記ユーザを識別するユーザＩＤに一致するシングルサインオン（ＳＳＯ）アカウント識別子、前記第１連携ＩＤに一致する第１連携ＩＤ及び前記第１連携ＩＤとは異なる第２連携ＩＤを含むＳＳＯアカウント情報を記憶するＳＳＯアカウント情報記憶手段を備えたＩＤａａＳ事業者装置と、
    　前記認証処理のアカウントを識別する認証アカウント識別子、前記第２連携ＩＤに一致する第２連携ＩＤ及び当該認証処理の方式を示す認証クラスを含む認証アカウント情報を記憶した認証代行装置と
    　を備えた認証システム内で前記ＩＤａａＳ事業者装置に用いられ、コンピュータ読み取り可能な記憶媒体に記憶されたプログラムであって、
    　前記ユーザ端末から送信されたユーザＩＤ及びＳＳＯ要求に基づいて、当該ユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報に第２連携ＩＤを介して関連付けられた認証アカウント情報をもつ前記認証代行装置に認証要求を送信する処理を前記ＩＤａａＳ事業者装置に実行させる第１プログラムコードと、
    　前記認証代行装置が前記認証要求に基づいて前記ユーザの認証処理を実行した場合に、前記認証処理の結果が成功のとき、当該認証処理されたユーザのユーザＩＤに一致するＳＳＯアカウント識別子を含むＳＳＯアカウント情報に第１連携ＩＤを介して関連付けられたサービスアカウント情報に含まれるサービスアカウント識別子で識別されるサービスに対するＳＳＯ認証を許可し、当該許可を前記サービス提供者装置に送信する処理を前記ＩＤａａＳ事業者装置に実行させる第２プログラムコードと、
    　を備え、
    　前記ユーザＩＤ及び前記ＳＳＯ要求を送信したユーザ端末に対し、前記ＳＳＯ認証が許可されたサービスに関する情報を前記サービス提供者装置に送信させる
    　ことを特徴とするプログラム。
PCT/JP2014/079238 2013-11-06 2014-11-04 認証システム、方法及びプログラム WO2015068694A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201480054232.3A CN105593869B (zh) 2013-11-06 2014-11-04 认证系统、方法以及存储介质
US15/148,058 US10178081B2 (en) 2013-11-06 2016-05-06 Authentication system, method and storage medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2013-230647 2013-11-06
JP2013230647A JP6071847B2 (ja) 2013-11-06 2013-11-06 認証システム、方法及びプログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/148,058 Continuation US10178081B2 (en) 2013-11-06 2016-05-06 Authentication system, method and storage medium

Publications (1)

Publication Number Publication Date
WO2015068694A1 true WO2015068694A1 (ja) 2015-05-14

Family

ID=53041471

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/079238 WO2015068694A1 (ja) 2013-11-06 2014-11-04 認証システム、方法及びプログラム

Country Status (4)

Country Link
US (1) US10178081B2 (ja)
JP (1) JP6071847B2 (ja)
CN (1) CN105593869B (ja)
WO (1) WO2015068694A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7188660B1 (ja) * 2022-06-23 2022-12-13 日本電気株式会社 システム、制御サーバ、制御サーバの制御方法、方法及びプログラム

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10547612B2 (en) * 2016-09-21 2020-01-28 International Business Machines Corporation System to resolve multiple identity crisis in indentity-as-a-service application environment
US10957326B2 (en) 2016-12-30 2021-03-23 Google Llc Device identifier dependent operation processing of packet based data communication
US10437928B2 (en) 2016-12-30 2019-10-08 Google Llc Device identifier dependent operation processing of packet based data communication
KR102017057B1 (ko) * 2017-02-20 2019-09-02 (주)이스톰 인증 관리 방법 및 시스템
CN107395566B (zh) * 2017-06-16 2020-10-23 北京小米移动软件有限公司 认证方法及装置
US20190087831A1 (en) 2017-09-15 2019-03-21 Pearson Education, Inc. Generating digital credentials based on sensor feedback data
JP6742557B2 (ja) 2018-04-09 2020-08-19 三菱電機株式会社 認証システム
WO2019198131A1 (ja) 2018-04-09 2019-10-17 三菱電機株式会社 認証システムおよび認証プログラム
CN109450877B (zh) * 2018-10-25 2021-05-25 北京九州云腾科技有限公司 基于区块链的分布式IDaaS身份统一认证系统
US11356436B2 (en) 2019-09-13 2022-06-07 Sony Corporation Single sign-on authentication via multiple authentication options
JP7395938B2 (ja) 2019-10-09 2023-12-12 富士フイルムビジネスイノベーション株式会社 情報処理装置、情報処理システム及びプログラム
JP7291113B2 (ja) * 2020-11-19 2023-06-14 三菱電機インフォメーションシステムズ株式会社 保険仲介装置、保険仲介方法、保険仲介プログラム及び保険仲介システム
JP7124174B1 (ja) * 2021-06-14 2022-08-23 株式会社インターネットイニシアティブ 多要素認証のための方法および装置
WO2023174006A1 (zh) * 2022-03-17 2023-09-21 华为云计算技术有限公司 一种服务集成方法及相关设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007257426A (ja) * 2006-03-24 2007-10-04 Nomura Research Institute Ltd 認証強度の異なるサーバに対応した連携型認証方法及びシステム
US20110209202A1 (en) * 2010-02-19 2011-08-25 Nokia Corporation Method and apparatus for identity federation gateway
JP2013171349A (ja) * 2012-02-17 2013-09-02 Toshiba Corp 認証連携システム、ｉｄプロバイダ装置およびプログラム

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4508331B2 (ja) 2000-01-07 2010-07-21 新日鉄ソリューションズ株式会社 認証代行装置、認証代行方法、認証代行サービスシステム、及びコンピュータ読取可能な記録媒体
JP2001273421A (ja) 2000-03-27 2001-10-05 Nec Corp 認証代行システム、認証代行方法およびコンピュータ読み取り可能な記録媒体
US7610390B2 (en) * 2001-12-04 2009-10-27 Sun Microsystems, Inc. Distributed network identity
US8108920B2 (en) * 2003-05-12 2012-01-31 Microsoft Corporation Passive client single sign-on for web applications
JP4956096B2 (ja) 2006-08-30 2012-06-20 株式会社東芝 認証システム及び装置
US20080168539A1 (en) * 2007-01-05 2008-07-10 Joseph Stein Methods and systems for federated identity management
US8434129B2 (en) * 2007-08-02 2013-04-30 Fugen Solutions, Inc. Method and apparatus for multi-domain identity interoperability and compliance verification
KR100953092B1 (ko) * 2007-11-06 2010-04-19 한국전자통신연구원 Ｓｓｏ서비스 방법 및 시스템
US8141139B2 (en) * 2007-11-14 2012-03-20 International Business Machines Corporation Federated single sign-on (F-SSO) request processing using a trust chain having a custom module
US8886817B2 (en) * 2008-05-22 2014-11-11 Yahoo! Inc. Federation and interoperability between social networks
CN102480354A (zh) * 2010-11-30 2012-05-30 北大方正集团有限公司 一种统一认证服务系统及统一认证的方法
JP2012212211A (ja) * 2011-03-30 2012-11-01 Hitachi Ltd 認証連携システム、および、認証連携方法
JP5197843B1 (ja) * 2011-12-27 2013-05-15 株式会社東芝 認証連携システムおよびｉｄプロバイダ装置
US8955041B2 (en) 2012-02-17 2015-02-10 Kabushiki Kaisha Toshiba Authentication collaboration system, ID provider device, and program

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007257426A (ja) * 2006-03-24 2007-10-04 Nomura Research Institute Ltd 認証強度の異なるサーバに対応した連携型認証方法及びシステム
US20110209202A1 (en) * 2010-02-19 2011-08-25 Nokia Corporation Method and apparatus for identity federation gateway
JP2013171349A (ja) * 2012-02-17 2013-09-02 Toshiba Corp 認証連携システム、ｉｄプロバイダ装置およびプログラム

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7188660B1 (ja) * 2022-06-23 2022-12-13 日本電気株式会社 システム、制御サーバ、制御サーバの制御方法、方法及びプログラム
WO2023248445A1 (ja) * 2022-06-23 2023-12-28 日本電気株式会社 システム、端末、端末の制御方法及び記憶媒体

Also Published As

Publication number Publication date
JP6071847B2 (ja) 2017-02-01
US10178081B2 (en) 2019-01-08
CN105593869A (zh) 2016-05-18
CN105593869B (zh) 2019-01-29
US20160248759A1 (en) 2016-08-25
JP2015090620A (ja) 2015-05-11

Similar Documents

Publication Publication Date Title
JP6071847B2 (ja) 認証システム、方法及びプログラム
JP4892093B1 (ja) 認証連携システム及びｉｄプロバイダ装置
JP4996085B2 (ja) サービス提供装置及びプログラム
KR100786551B1 (ko) 복수 개의 방식에 의한 일회용 비밀번호의 사용자 등록,인증 방법 및 그러한 방법을 수행하는 프로그램이 기록된컴퓨터 판독 가능 기록 매체
US8296821B2 (en) System, server, and program for access right management
US7444519B2 (en) Access control for federated identities
CN108804906B (zh) 一种用于应用登陆的系统和方法
JP5086474B2 (ja) エンドポイントの独立解決によるデジタルアイデンティティ又はトークンの取得
US9571525B2 (en) Policy management system, id provider system, and policy evaluation device
JP2007149066A (ja) 認証システム、装置及びプログラム
WO2013175901A1 (en) Authorization server and client apparatus, server cooperative system, and token management method
CN101329787A (zh) 应用鉴别系统、安全设备和终端设备
WO2013121476A1 (ja) 認証連携システム、ｉｄプロバイダ装置およびプログラム
US20040193885A1 (en) Vault controller context manager and methods of operation for securely maintaining state information between successive browser connections in an electronic business system
JP2000181871A (ja) 認証方法及び装置
JP5227053B2 (ja) 認証システム、認証方法、サーバ装置、認証装置、プログラム
JP4556636B2 (ja) 動的組織管理システム、動的組織管理方法、動的組織管理装置および動的組織管理プログラム
US20050138435A1 (en) Method and system for providing a login and arbitrary user verification function to applications
JP2019164590A (ja) Ａｐｉ提供システム、認証サーバ、ａｐｉ提供方法、及びプログラム
JP5282229B2 (ja) サービス提供システム、改ざんチェック方法および改ざんチェックプログラム
KR101072931B1 (ko) 이종의 금융시스템 간 고객 병합 방법
JP2008234316A (ja) 携帯通信端末装置、金融機関の認証用サーバ、暗証番号要求プログラム、および暗証番号応答プログラム
JP6247410B1 (ja) 振込制御システム、金融機関システム、会計システム、振込制御システムの制御方法、金融機関システムの制御方法、会計システムの制御方法、及びプログラム
JP2023016468A (ja) プログラム、情報処理装置、及び情報処理方法
JP2016091128A (ja) 利用者特定システム、方法、およびプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14860158

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14860158

Country of ref document: EP

Kind code of ref document: A1