WO2021245786A1 - パスワード認証装置、パスワード認証方法、及びパスワード認証プログラム - Google Patents

パスワード認証装置、パスワード認証方法、及びパスワード認証プログラム Download PDF

Info

Publication number
WO2021245786A1
WO2021245786A1 PCT/JP2020/021763 JP2020021763W WO2021245786A1 WO 2021245786 A1 WO2021245786 A1 WO 2021245786A1 JP 2020021763 W JP2020021763 W JP 2020021763W WO 2021245786 A1 WO2021245786 A1 WO 2021245786A1
Authority
WO
WIPO (PCT)
Prior art keywords
password
policy
authentication
authentication information
unit
Prior art date
Application number
PCT/JP2020/021763
Other languages
English (en)
French (fr)
Inventor
真浩 藤田
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to DE112020006985.0T priority Critical patent/DE112020006985B4/de
Priority to PCT/JP2020/021763 priority patent/WO2021245786A1/ja
Priority to CN202080101120.4A priority patent/CN115698991A/zh
Priority to JP2022527172A priority patent/JP7150220B2/ja
Publication of WO2021245786A1 publication Critical patent/WO2021245786A1/ja
Priority to US17/961,275 priority patent/US20230025870A1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G06F21/46—Structures or tools for the administration of authentication by designing passwords or checking the strength of passwords

Definitions

  • This disclosure relates to a password authentication device, a password authentication method, and a password authentication program.
  • Patent Document 1 discloses a password generation device that generates a password conforming to a password policy from a character string input by a user or the like.
  • the password generator disclosed in Patent Document 1 accepts a password policy indicating a character type constituting a password, and determines a conversion pattern to be used among a plurality of conversion patterns based on the accepted password policy. do. Then, the password generation device accepts the input of the first character string, analyzes the input first character string, and extracts a plurality of character groups used for conversion. Then, the password generation device converts the extracted plurality of character groups into a second character string based on the determined conversion pattern, and synthesizes the converted second character string to generate a password. With this password generation device, it is possible to generate a strong and secure password from a character string input by the user, in accordance with the password policy and in accordance with the user's own password generation policy.
  • the main purpose of this disclosure is to enable secure password generation in accordance with the password policy and the user's own password generation policy.
  • the password authentication device related to this disclosure is It is a plurality of password policies that describe the password authentication requirements used for user authentication, and if the password complies with at least one of the plurality of password policies, the password can be authenticated as a legitimate password.
  • a policy storage unit that stores multiple password policies
  • a policy extraction unit that extracts one or more password policies from the plurality of password policies stored in the policy storage unit, and a policy extraction unit.
  • the authentication information acquisition unit that acquires authentication information including passwords, It is determined whether or not the password included in the authentication information acquired by the authentication information acquisition unit complies with at least one of the one or more password policies extracted by the policy extraction unit. Compliance determination unit and When the conformity determination unit determines that the password policy conforms to at least one of the above, the authentication information registration unit is provided to register the authentication information as registration information.
  • FIG. which shows the example of the password input to the registration form which concerns on Embodiment 1.
  • FIG. The figure which shows the example of the extraction policy which is stored in the extraction result storage part which concerns on Embodiment 2.
  • FIG. The flowchart which shows the processing example of the authentication which concerns on Embodiment 3.
  • the flowchart which shows the processing example of the authentication information registration which concerns on Embodiment 4.
  • FIG. 1 shows a configuration example of the password authentication system 1 according to the present embodiment.
  • the password authentication system 1 includes a password authentication device 10, a terminal device 20, and a network 30.
  • the password authentication device 10 registers authentication information including a password entered by using the terminal device 20. Further, the password authentication device 10 authenticates using the authentication information including the password input by using the terminal device 20.
  • the operation procedure of the password authentication device 10 corresponds to the password authentication method. Further, the program that realizes the operation of the password authentication device 10 corresponds to the password authentication program.
  • the terminal device 20 is used for inputting authentication information by the user.
  • a specific example of the terminal device 20 is a personal computer.
  • the network 30 is a wired or wireless communication path for transmitting and receiving data.
  • the network 30 is a communication path compliant with a communication standard such as Ethernet (registered trademark) or Wi-Fi (registered trademark), or a communication path dedicated to a device.
  • the password authentication device 10 and the terminal device 20 are connected via the network 30.
  • the password authentication system 1 there are roughly two phases of authentication information registration and authentication.
  • the authentication information registration the user inputs the authentication information into the password authentication device 10 using the terminal device 20.
  • the password authentication device 10 registers the authentication information input by the user as registration information.
  • the user inputs the authentication information into the password authentication device 10 using the terminal device 20.
  • the password authentication device 10 determines that the user's authentication is "successful" when the authentication information input by the user matches the user's registration information. Further, the password authentication device 10 determines that the user's authentication is "failed” when the authentication information input by the user does not match the user's registration information.
  • FIG. 2 shows a hardware configuration example of the password authentication device 10 according to the present embodiment.
  • the password authentication device 10 includes a processor 11, a memory 12, an auxiliary storage device 13, an input / output interface 14, and a communication interface 15.
  • the auxiliary storage device 13 stores a program that realizes the functions of the policy extraction unit 100, the authentication information acquisition unit 101, the compliance determination unit 102, the authentication information registration unit 103, and the authentication information collation unit 104, which will be described later. ..
  • the program that realizes the functions of the policy extraction unit 100, the authentication information acquisition unit 101, the compliance determination unit 102, the authentication information registration unit 103, and the authentication information collation unit 104 stored in the auxiliary storage device 13 is loaded by the memory 12. To. Further, the program is read by the processor 11 and executed. Further, the policy storage unit 105, the extraction result storage unit 106, the authentication information storage unit 107, and the registration information storage unit 108, which will be described later, are realized by the memory 12 and the auxiliary storage device 13.
  • FIG. 3 shows an example of the functional configuration of the password authentication device 10 according to the present embodiment.
  • the password authentication device 10 includes a policy extraction unit 100, an authentication information acquisition unit 101, a conformity determination unit 102, an authentication information registration unit 103, and an authentication information collation unit 104. Further, the password authentication device 10 includes a policy storage unit 105, an extraction result storage unit 106, an authentication information storage unit 107, and a registration information storage unit 108.
  • the policy storage unit 105 stores a plurality of password policies that describe the password authentication requirements used for user authentication.
  • the password policy can certify a password as a legitimate password if the password complies with at least one of the plurality of password policies. More specifically, one password policy describes the requirements for using the characters that can be used in the password.
  • the "character” includes one or more types of the following. 1. 1. Half-width alphabet 2. Half-width number 3. Half-width symbols The following describes a case where "characters" include only three types of letters, numbers, and symbols. However, the "character” may include a full-width alphabetic character, a full-width number, or a full-width symbol. Further, the "character” may include kanji, kana, or kana.
  • the "character” may include Arabic, Greek, or other foreign characters.
  • One password policy may describe the usage requirements of at least one of the three types of letters, numbers, and symbols. In order to improve security, it is preferable that one password policy describes the usage requirements of at least two of the three types of letters, numbers, and symbols, and all three types. It is more preferable that the usage requirements are described. Specific examples of the password policy are "8 or more single-byte alphanumerical characters" or "16 or more single-byte alphabetic characters”.
  • a plurality of password policies is a set of these one password policies.
  • the plurality of password policies stored in the policy storage unit 105 may be hard-coded and stored in the policy storage unit 105. Further, it may be acquired via the input / output interface 14 and stored in the policy storage unit 105. Further, the plurality of password policies may be acquired from an external system, a database, or the like via the communication interface 15 and stored in the policy storage unit 105.
  • the policy extraction unit 100 extracts one or more password policies from a plurality of password policies stored in the policy storage unit 105 and stores them in the extraction result storage unit 106.
  • one or more password policies extracted by the policy extraction unit 100 will be referred to as an extraction policy 200.
  • the authentication information acquisition unit 101 acquires the authentication information input by using the terminal device 20 via the communication interface 15 and stores it in the authentication information storage unit 107.
  • the authentication information is information used for user authentication, and includes at least a password.
  • a specific example of the authentication information is a "password" or a "combination of an ID and a password".
  • the compliance determination unit 102 determines whether or not the password included in the authentication information acquired by the authentication information acquisition unit 101 complies with at least one of the extraction policies 200 extracted by the policy extraction unit 100. Is determined.
  • the authentication information registration unit 103 stores the authentication information as registration information in the registration information storage unit 108.
  • the authentication information collation unit 104 inquires about the registration information registered in the password authentication device 10 by using the authentication information including the password input by using the terminal device 20, and the authentication information authenticates the user.
  • the extraction result storage unit 106 stores the extraction policy 200 stored by the policy extraction unit 100.
  • the authentication information storage unit 107 stores the authentication information stored by the authentication information acquisition unit 101.
  • the registration information storage unit 108 stores the registration information stored by the authentication information registration unit 103.
  • FIG. 4 shows an example of processing of authentication information registration according to the present embodiment.
  • step S100 corresponds to the processing of the policy extraction unit 100
  • step S110 corresponds to the processing of the authentication information acquisition unit 101
  • steps S120 to S170 correspond to the conformity determination unit 102
  • step S180 corresponds to the processing of the authentication information registration unit 103.
  • step S100 the policy extraction unit 100 extracts all password policies from the plurality of password policies stored in the policy storage unit 105 and stores them in the extraction result storage unit 106.
  • the extracted password policy is referred to as an extraction policy 200.
  • the policy extraction unit 100 notifies the conformity determination unit 102 that the processing is completed.
  • FIG. 5 shows an example of a plurality of password policies stored in the policy storage unit 105 according to the present embodiment.
  • the policy storage unit 105 stores three password policies as a plurality of password policies. More specifically, the three password policies stored in the policy storage unit 105 are the following three. 1. 1. "8 or more single-byte alphanumers" 2. 2. “16 or more half-width English characters” 3. 3. "6 or more half-width alphabetic symbols"
  • step S110 the authentication information acquisition unit 101 acquires the password (hereinafter referred to as the input password 201) input by using the terminal device 20, and stores it in the authentication information storage unit 107. Then, the authentication information acquisition unit 101 notifies the conformity determination unit 102 that the processing is completed.
  • FIG. 6 is an example of inputting authentication information when registering authentication information using the terminal device 20.
  • the password is required to be input in the registration form displayed on the GUI (Graphic User Interface) screen of the terminal device 20.
  • FIG. 6 shows a state in which the user inputs "System! P @ ssowrD". When "OK” is pressed in this state, "System! P @ ssowrD" is input as the input password 201 to the password authentication device 10 through the network 30. In the following, the description will be continued assuming that the input password 201 is "System! P @ ssowrD".
  • step S120 the compliance determination unit 102 waits for the processing completion notification from the policy extraction unit 100 and the authentication information acquisition unit 101. Then, upon receiving the notification from the policy extraction unit 100 and the authentication information acquisition unit 101, the compliance determination unit 102 inputs the extraction policy 200 from the extraction result storage unit 106 and the authentication information storage unit 107 with the input password 201 “System! P @”. Read "ssowrD”. Then, the conformity determination unit 102 sets the status of all the read extraction policies 200 to "not selected".
  • step S130 the compliance determination unit 102 confirms whether or not the extraction policy 200 having the status of “unselected” exists among all the extraction policies 200.
  • step S140 if the conformity determination unit 102 confirms that the extraction policy 200 having the status of “not selected” exists, the process proceeds to step S150. On the other hand, if the conformity determination unit 102 confirms that the extraction policy 200 having the status of "unselected” does not exist, the input password 201 "System! P @ ssowrD" complies with any of the extraction policies 200. Judge not. Then, the process returns to step S110.
  • step S150 the compliance determination unit 102 selects one extraction policy 200 from the extraction policies 200 having the status of “not selected”.
  • the selected extraction policy 200 is referred to as a selection policy.
  • the conformity determination unit 102 sets the status of the selection policy to "selection".
  • step S160 the conformity determination unit 102 confirms whether or not the input password 201 “System! P @ ssowrD” complies with the selection policy. More specifically, the compliance determination unit 102 confirms the password certification requirement described in the selection policy. Then, the conformity determination unit 102 confirms whether or not the input password 201 satisfies the password certification requirement described in the selection policy.
  • step S170 the compliance determination unit 102 determines whether or not the input password 201 “System! P @ ssowrD” complies with the selection policy, which is one of the extraction policies 200. judge. More specifically, if the compliance determination unit 102 confirms that the input password 201 "System! P @ ssowrD" meets the password certification requirements described in the selection policy, it "complies with the selection policy". Is determined. " Then, the input password 201 "System! P @ ssowrD" is recognized as a valid password. Further, if the conformity determination unit 102 confirms that the input password 201 "System!
  • P @ ssowrD does not satisfy the password certification requirements described in the selection policy, it determines that the input password is "non-compliant". And the input password 201 "System! P @ ssowrD" is not recognized as a valid password. Then, the conformity determination unit 102 notifies the authentication information registration unit 103 that the processing is completed.
  • a determination of whether or not the input password 201 “System! P @ ssowrD” by the compliance determination unit 102 conforms to the selection policy will be described below with reference to a specific example. If the input password 201 is "System! P @ ssowrD" and the selection policy is "6 or more single-byte alphabetic symbols", “System! p @ ssowrD” is "6 or more single-byte alphabetic symbols”, so the password Meets the certification requirements of. Therefore, the conformity determination unit 102 determines that it is "compliant".
  • the conformity determination unit 102 determines that it is “compliant”. As another example, if the entered password is "hell0" and the selection policy is "8 or more half-width alphanumers”, “hell0” is not “8 or more half-width alphanumers”, so the password is certified. Does not meet the requirements. Therefore, the conformity determination unit 102 determines that it is "not compliant”.
  • the conformity determination unit 102 determines that it is "compliant"
  • the conformity determination unit 102 notifies the authentication information registration unit 103 of the completion of the process. Then, the process proceeds to step S180. On the other hand, if the conformity determination unit 102 determines that it is "not compliant", the process returns to step S130.
  • step S180 the authentication information registration unit 103 waits for the notification of the completion of processing from the conformity determination unit 102.
  • the authentication information registration unit 103 receives the notification of the completion of processing from the conformity determination unit 102
  • the authentication information registration unit 103 has the input password 201 "System! P @ ssowrD" which is the authentication information stored in the authentication information storage unit 107. Is read.
  • the authentication information registration unit 103 stores the registration information in the registration information storage unit 108. Then, the authentication information registration process is completed.
  • FIG. 7 shows an example of processing of authentication information registration according to the present embodiment.
  • step S200 corresponds to the processing of the authentication information acquisition unit 101
  • steps S210 to S230 correspond to the processing of the authentication information collation unit 104.
  • step S200 the authentication information acquisition unit 101 acquires the input password 201 input using the terminal device 20 and stores it in the authentication information storage unit 107. Then, the authentication information acquisition unit 101 notifies the authentication information collation unit 104 that the processing is completed.
  • FIG. 8 is an example of inputting authentication information at the time of authentication using the terminal device 20.
  • the password input is required in the authentication form displayed on the GUI screen of the terminal device 20.
  • FIG. 8 shows a state in which the user inputs "System! P @ ssowrD". When "OK” is pressed in this state, "System! P @ ssowrD" is input as the input password 201 to the password authentication device 10 through the network 30. In the following, the description will be continued assuming that the input password 201 is "System! P @ ssowrD".
  • step S210 the authentication information collation unit 104 waits for the authentication information acquisition unit 101 to notify the completion of processing. Then, when the authentication information collation unit 104 receives the notification of the processing completion from the authentication information acquisition unit 101, the password (hereinafter referred to as the registration password 202) which is the registration information is read from the registration information storage unit 108.
  • the registration password 202 is "System! P @ ssowrD”.
  • the authentication information collation unit 104 confirms the read registration password 202 and the input password 201.
  • step S220 the authentication information collation unit 104 determines whether or not the read registration password 202 and the input password 201 match. Then, when the authentication information collating unit 104 determines that the registered password 202 and the input password 201 match, the process proceeds to step S230. Then, when the authentication information collating unit 104 determines that the registered password 202 and the input password 201 do not match, the process returns to step S200. In this example, since the registration password 202 "System! P @ ssowrD" and the input password 201 "System! P @ ssowrD" match, the process proceeds to step S230.
  • step S230 the authentication information collation unit 104 makes the authentication successful. Then, the authentication process is completed.
  • the password authentication device stores a plurality of password policies. Then, if the input password 201 entered according to the user's own password generation policy complies with any of the extraction policies 200 extracted from the plurality of password policies, it is recognized as a valid password and registered as registration information. Will be done. That is, the conversion pattern, which is confidential information, is not used. Therefore, it is possible to generate a secure password in accordance with the password policy and in accordance with the user's own password generation policy.
  • the password authentication system includes a password authentication device 10, a terminal device 20, and a network 30. Further, it has been explained that the password authentication device 10 performs authentication information registration and authentication using the authentication information input using the terminal device 20. However, the present invention is not limited to this, and the password authentication device 10 may perform authentication information registration and authentication using the authentication information input via the input / output interface 14. More specifically, in step S110 of FIG. 4, the authentication information acquisition unit 101 acquires the password entered by using the input device in the registration form displayed on the GUI screen of the output device, and the authentication information storage unit 101. It may be stored in 107. Further, in step S200 of FIG.
  • the authentication information acquisition unit 101 acquires the password entered by using the input device in the authentication form displayed on the GUI screen of the output device, and stores it in the authentication information storage unit 107. You may. Therefore, the password authentication system does not have to include the terminal device 20 and the network 30.
  • the authentication information acquisition unit 101 may display the extraction policy 200 on the GUI screen of the terminal device 20 on the terminal device 20 to request the input of the password. More specifically, in step S110 of FIG. 4, the authentication information acquisition unit 101 reads the extraction policy 200 from the extraction result storage unit 106, and transmits the extraction policy 200 to the terminal device 20 via the communication interface 15. Then, the authentication information acquisition unit 101 may display the extraction policy 200 on the GUI screen of the terminal device 20 on the terminal device 20 and ask the user to input the password.
  • FIG. 9 is an input example of the authentication information in which the extraction policy 200 is displayed when the authentication information is registered.
  • the registration form in which the extraction policy 200 is displayed on the GUI screen of the terminal device 20 is required to enter a password.
  • FIG. 9 shows a state in which the user has input "System! P @ ssowrD" conforming to "Policy 3: 6 or more single-byte alphabetic symbols".
  • "System! P @ ssowrD" is input as the input password 201 to the password authentication device 10 through the network 30.
  • the policy extraction unit 100 extracts all password policies as the extraction policy 200 from the plurality of password policies stored in the policy storage unit 105.
  • it is also possible to store a large number of password policies in the policy storage unit 105 have the policy extraction unit 100 calculate the strength of the password policy, and extract only the password policy satisfying the required strength.
  • the policy extraction unit 100 calculates the strength of the password policy from a large number of password policies stored in the policy storage unit 105 and extracts only the password policy satisfying the required strength.
  • the strength of the password policy is a measure for evaluating the security of the password determined by the password policy.
  • a specific example of the strength of the password policy is the total number of passwords (also referred to as password space) indicating the total number of combinations of password characters (alphabetic characters, numbers, and symbols) determined by the password policy. More specifically, when an n-character password is created from m-type characters (alphabetic characters, numbers, and symbols), the password space is calculated by m ⁇ n. Here, " ⁇ " indicates a power.
  • the password space will be described using a specific example of the password policy of "8 or more half-width lowercase letters and half-width numbers".
  • the required strength is a standard used for extracting the extraction policy 200 from a plurality of password policies.
  • a specific example of the required strength is "password space is 36 ⁇ 8 or more”.
  • a specific password policy may be used, such as "more than the password space of the password policy of" 8 or more characters composed of half-width lowercase letters and half-width numbers "".
  • FIG. 10 shows a functional configuration example of the password authentication device 10 according to the present embodiment.
  • the same components as those in the first embodiment are designated by the same numbers, and the description thereof will be omitted.
  • the password authentication device 10 is newly provided with an extraction requirement storage unit 109.
  • the extraction requirement storage unit 109 stores extraction requirements used for extracting a password policy from a plurality of password policies.
  • a specific example of the extraction requirement is the required strength.
  • the required strength stored in the extraction requirement storage unit 109 is referred to as the required strength 203.
  • the required intensity 203 stored in the extraction requirement storage unit 109 may be hard-coded and stored in the extraction requirement storage unit 109. Further, the required strength 203 may be acquired via the input / output interface 14 and stored in the extraction requirement storage unit 109. Further, the required intensity 203 may be acquired from an external system, a database, or the like via the communication interface 15 and stored in the extraction requirement storage unit 109.
  • the extraction requirement storage unit 109 is realized by the memory 12 and the auxiliary storage device 13.
  • the policy extraction unit 100 calculates the password space of each password policy of the plurality of password policies stored in the policy storage unit 105. Further, the policy extraction unit 100 reads the required intensity 203 stored in the extraction requirement storage unit 109. Then, the policy extraction unit 100 extracts the extraction policy 200 from the plurality of password policies using the password space of each password policy and the request strength 203, and stores the extraction policy 200 in the extraction result storage unit 106.
  • FIG. 11 shows an example of processing of authentication information registration according to the present embodiment.
  • the same operations as those in the first embodiment are designated by the same numbers, and the description thereof will be omitted.
  • Steps S100 to S370 in FIG. 11 correspond to the processing of the policy extraction unit 100.
  • FIG. 12 shows an example of a plurality of password policies stored in the policy storage unit 105 according to the present embodiment.
  • the four password policies stored in the policy storage unit 105 are the following four. 1. 1. "8 or more single-byte alphanumers" 2. 2. "16 or more half-width English characters" 3. 3. "6 or more half-width alphabetic symbols” 4. "4 digit half-width number"
  • step S300 the policy extraction unit 100 reads the required intensity 203 stored in the extraction requirement storage unit 109.
  • the required strength 203 an example in which "password space is 100,000 or more" is read into the policy extraction unit 100 will be described.
  • step S310 the policy extraction unit 100 sets the status of all extraction policies 200 to "not selected”.
  • step S320 the policy extraction unit 100 confirms whether or not the extraction policy 200 having the status of "unselected” exists among all the extraction policies 200.
  • step S330 if the policy extraction unit 100 confirms that the extraction policy 200 having the status of "unselected” exists among all the extraction policies 200, the process proceeds to step S340.
  • the policy extraction unit 100 determines that there is no password policy with the status of "unselected” among all the plurality of password policies.
  • the policy extraction unit 100 uses the strength confirmation policy described later.
  • the extraction policy 200 stored in the extraction result storage unit 106 is updated.
  • the policy extraction unit 100 notifies the conformity determination unit 102 that the processing is completed.
  • the process proceeds to step S110 of FIG. Since the operation after proceeding to step S110 in FIG. 4 is the same operation as that of the first embodiment, the description thereof will be omitted.
  • step S340 the policy extraction unit 100 selects one extraction policy 200 from the extraction policies 200 having an “unselected” status.
  • the extraction policy 200 selected by the policy extraction unit 100 is referred to as a strength confirmation policy.
  • the policy extraction unit 100 sets the status of the strength confirmation policy to "selection".
  • the policy extraction unit 100 calculates the strength of the password policy of the strength confirmation policy. More specifically, the policy extraction unit 100 determines the password characters (alphabetic characters, numbers, and symbols) determined by the usage requirements of the characters (alphabetic characters, numbers, and symbols) that can be used for the password described in the strength confirmation policy. Calculate the password space that indicates the total number of combinations. Then, the policy extraction unit 100 confirms the password space of the required strength 203. In this example, since the required strength 203 is "the password space is 100,000 or more", the password space of the required strength 203 is 100,000 or more.
  • the policy extraction unit 100 Calculates and confirms the password space with the required strength 203.
  • step S360 the policy extraction unit 100 determines whether or not the strength of the password policy of the strength confirmation policy satisfies the required strength 203. If the policy extraction unit 100 determines that the strength of the password policy of the strength confirmation policy satisfies the required strength 203, the process proceeds to step S370. On the other hand, if the policy extraction unit 100 determines that the strength of the password policy of the strength confirmation policy does not satisfy the required strength 203, the process returns to step S320.
  • Half-width alphabets are 52 types of uppercase letters A to Z and lowercase letters a to z. The half-width numbers are 10 types of numbers from 0 to 9. For convenience, the symbols are 32 types of symbols.
  • the password space of each of the four plurality of password policies shown in FIG. 12 is calculated as follows. 1. 1. In the case of "8 or more half-width alphanumerical characters", 62 ⁇ 8 (62 ⁇ 8> 100,000). 2. 2. In the case of "16 or more half-width alphabetic characters", 52 ⁇ 16 (52 ⁇ 16> 100,000). 3. 3. In the case of "6 or more half-width alphabetic symbols", 84 ⁇ 6 (84 ⁇ 6> 100,000). 4. In the case of "4 digit half-width number", 10 ⁇ 4 (Note that 10 ⁇ 4 ⁇ 100,000). Therefore, of the above four password policies, (1), (2), and (3) satisfy the required strength 203. Further, of the above four password policies, (4) does not satisfy the required strength 203.
  • FIG. 13 shows an example of the extraction policy 200 stored in the extraction result storage unit 106 according to the present embodiment.
  • FIG. 13 shows that, among the plurality of password policies of FIG. 12, three password policies are stored as the extraction policy 200 in the extraction result storage unit 106. More specifically, the three password policies stored in the extraction result storage unit 106 are the following three. 1. 1. "8 or more single-byte alphanumers" 2. 2. “16 or more half-width English characters” 3. 3. "6 or more half-width alphabetic symbols"
  • the password authentication device extracts only the password policy satisfying the required strength from a large number of prepared password policies. Then, the password authentication device certifies the password using the password policy extracted at the time of registration of the authentication information, and registers it as the registration information. That is, the password authentication device does not use the conversion pattern which is confidential information. Therefore, it is possible to generate a secure password in accordance with the password policy and in accordance with the user's own password generation policy. Furthermore, if the administrator of the password authentication device prepares a large number of password policies in advance, it is possible to adjust the security standard of the password that can be registered at the time of authentication information registration simply by changing the extraction requirements. can.
  • Embodiment 3 In the first embodiment, a method is adopted in which it is confirmed one by one which extraction policy 200 among the extraction policies 200 stored in the extraction result storage unit 106 the input password 201 complies with.
  • the extraction policy 200 is presented to the user as shown in FIG. 9, it is also possible to have the user select the extraction policy 200 from the presented extraction policies 200.
  • the authentication information acquisition unit 101 causes the terminal device 20 to display the extraction policy 200 on the GUI screen of the terminal device 20 and requests the terminal device 20 to select the extraction policy 200 to be used together with the input of the password.
  • the present embodiment will be described with reference to FIGS. 14 to 18. In this embodiment, the difference from the first embodiment will be mainly described. The matters not described below are the same as those in the first embodiment.
  • FIG. 14 shows an example of the functional configuration of the password authentication device 10 according to the present embodiment.
  • the same components as those in the first embodiment are designated by the same numbers, and the description thereof will be omitted.
  • the functional configuration of the password authentication device 10 according to the present embodiment is the same as that of the first embodiment. However, the operations of the authentication information acquisition unit 101, the compliance determination unit 102, and the compliance determination unit 102 are different.
  • the authentication information acquisition unit 101 according to the present embodiment displays the extraction policy 200, which is one or more password policies extracted by the policy extraction unit 100, on the authentication information input screen when the authentication information is registered. More specifically, the authentication information acquisition unit 101 displays the extraction policy 200 on the authentication information input screen by causing the terminal device 20 to display the extraction policy 200 on the GUI screen of the terminal device 20. Then, the authentication information acquisition unit 101 acquires the password policy selected by the user from the displayed extraction policies 200 as the user policy 204.
  • the authentication information acquisition unit 101 displays the user policy 204 stored in the registration information storage unit 108 on the authentication information input screen when the authentication information is registered. More specifically, the authentication information acquisition unit 101 displays the user policy 204 on the authentication information input screen by causing the terminal device 20 to display the user policy 204 on the GUI screen of the terminal device 20.
  • the conformity determination unit 102 determines whether or not the input password 201 included in the authentication information acquired by the authentication information acquisition unit 101 complies with the user policy 204.
  • the authentication information registration unit 103 registers the authentication information and the user policy 204 when the conformity determination unit 102 determines that the input password 201 included in the authentication information complies with the user policy 204. Register as information.
  • FIG. 15 shows an example of processing of authentication information registration according to the present embodiment.
  • step S100 corresponds to the processing of the policy extraction unit 100
  • step S400 corresponds to the processing of the authentication information acquisition unit 101
  • steps S410 and S420 correspond to the processing of the conformity determination unit 102
  • steps S180 and S430 correspond to the processing of the authentication information registration unit 103.
  • step S100 has the same operation as that of the first embodiment, the description thereof will be omitted.
  • step S400 the authentication information acquisition unit 101 reads the extraction policy 200 from the extraction result storage unit 106. Then, the authentication information acquisition unit 101 transmits the extraction policy 200 to the terminal device 20 via the communication interface 15. Then, the authentication information acquisition unit 101 causes the terminal device 20 to display the extraction policy 200 on the GUI screen of the terminal device 20. Then, the authentication information acquisition unit 101 acquires the input password 201 input by using the terminal device 20 and the selected user policy 204, and stores them in the authentication information storage unit 107. Then, the authentication information acquisition unit 101 notifies the conformity determination unit 102 that the processing is completed.
  • FIG. 16 is an example of selecting the user policy 204 when registering authentication information using the terminal device 20.
  • the user policy 204 is requested to be selected in the registration form in which the extraction policy 200 is displayed on the GUI screen of the terminal device 20.
  • FIG. 16 shows a state in which the user has selected "policy 3: 6 or more single-byte alphabetic symbols". When “OK” is pressed in this state, "6 or more half-width alphabetic symbols" are input to the password authentication device 10 as the user policy 204 through the network 30.
  • step S410 the conformity determination unit 102 waits for a notification from the authentication information acquisition unit 101. Then, upon receiving the notification from the policy extraction unit 100 and the authentication information acquisition unit 101, the compliance determination unit 102 reads the input password 201 and the user policy 204 from the authentication information storage unit 107. Then, the conformity determination unit 102 confirms whether or not the input password 201 complies with the user policy 204. More specifically, the compliance determination unit 102 confirms the password certification requirement described in the user policy 204. Then, the conformity determination unit 102 confirms whether or not the input password 201 satisfies the password certification requirement described in the user policy 204.
  • step S420 the conformity determination unit 102 determines whether or not the input password 201 complies with the user policy 204. More specifically, if the conformity determination unit 102 confirms that the input password 201 satisfies the password authentication requirement described in the user policy 204, it determines that the input password 201 is "compliant". Then, the input password 201 is recognized as a valid password. Further, if the conformity determination unit 102 confirms that the input password 201 does not satisfy the password certification requirement described in the user policy 204, it determines that the input password 201 does not conform. And the input password 201 is not recognized as a valid password.
  • the conformity determination unit 102 determines that it is "compliant"
  • the conformity determination unit 102 notifies the authentication information registration unit 103 of the completion of the process. Then, the process proceeds to step S180. On the other hand, if the conformity determination unit 102 determines that it is "not compliant", the process returns to step S400.
  • step S180 has the same operation as that of the first embodiment, the description thereof will be omitted.
  • step S430 the authentication information registration unit 103 reads the user policy 204 stored in the authentication information storage unit 107 and stores it in the registration information storage unit 108 as registration information. Then, the authentication information registration process is completed.
  • FIG. 17 shows an example of processing of authentication information registration according to the present embodiment.
  • steps S500 and S510 correspond to the processing of the authentication information acquisition unit 101
  • steps S210 to S230 correspond to the processing of the authentication information collation unit 104.
  • step S500 the authentication information acquisition unit 101 reads the user policy 204 from the registration information storage unit 108.
  • the authentication information acquisition unit 101 will explain as if the user policy 204 has read "6 or more half-width alphabetic symbols".
  • step S510 the authentication information acquisition unit 101 acquires the input password 201 compliant with the user policy 204 by causing the terminal device 20 to display the user policy 204 on the GUI screen of the terminal device 20. More specifically, the authentication information acquisition unit 101 transmits the user policy 204 to the terminal device 20 via the communication interface 15. Then, the authentication information acquisition unit 101 causes the terminal device 20 to display the user policy 204 on the GUI screen of the terminal device 20. Then, the authentication information acquisition unit 101 acquires the input password 201 input by using the terminal device 20, and stores it in the authentication information storage unit 107. Then, the authentication information acquisition unit 101 notifies the conformity determination unit 102 that the processing is completed.
  • FIG. 18 is an example of inputting authentication information at the time of authentication using the terminal device 20 according to the present embodiment.
  • the password input is required in the authentication form displayed on the GUI screen of the terminal device 20.
  • the user policy 204 "6 or more half-width alphabetic symbols" is displayed.
  • FIG. 18 shows a state in which the user inputs "System! P @ ssowrD". When “OK” is pressed in this state, "System! P @ ssowrD" is input as the input password 201 to the password authentication device 10 through the network 30.
  • step S520 the authentication information collation unit 104 waits for the authentication information acquisition unit 101 to notify the completion of processing. Then, when the authentication information collation unit 104 receives the notification of the processing completion from the authentication information acquisition unit 101, the registration password 202, which is the registration information, is read from the registration information storage unit 108. The authentication information collation unit 104 confirms the read registration password 202 and the input password 201.
  • steps S210 to S230 are the same operations as those in the first embodiment, the description thereof will be omitted. Then, the authentication information registration process is completed.
  • the password authentication device causes the user to select the password policy to be used from the plurality of password policies when registering the authentication information. Then, the password authentication device acquires the password policy selected by the user together with the authentication information including the password, and registers it as the registration information. That is, the password authentication device does not use the conversion pattern which is confidential information. Therefore, it is possible to generate a secure password in accordance with the password policy and in accordance with the user's own password generation policy. Further, the user can input the password while confirming the password policy selected by himself / herself at the time of registration of the authentication information displayed on the GUI of the terminal device at the time of authentication. Therefore, the convenience of the user can be improved.
  • Embodiment 4 In the first to third embodiments, an example in which the password authentication device 10 performs authentication information registration and authentication in the password authentication system 1 has been described. However, there is a case where another password authentication system exists in the password authentication system 1 and authentication information registration and authentication are performed. Then, another password authentication system may specify a password policy used for authentication information registration and authentication, and the password policy may not be changed or added. In such a case, it may not be possible to realize password generation according to the user's own password generation policy as in the first to third embodiments. Therefore, in the present embodiment, an example in which the password authentication device 10 mediates the authentication information input by the user at the time of authentication information registration and authentication of another password authentication system will be described. The present embodiment will be described with reference to FIGS. 19 to 24. In this embodiment, the difference from the second embodiment will be mainly described. The matters not described below are the same as those in the second embodiment.
  • FIG. 19 shows a configuration example of the password authentication system 1 according to the present embodiment.
  • the password authentication system 1 newly includes an external authentication system 40 in addition to the password authentication device 10, the terminal device 20, and the network 30.
  • the password authentication device 10 converts the password included in the authentication information input by using the terminal device 20, and generates the converted password 207. Then, the password authentication device 10 inputs the authentication information including the converted password 207 into the external authentication system 40 at the time of authentication information registration and authentication.
  • the external authentication system 40 authenticates the user outside the password authentication device 10. More specifically, the external authentication system 40 registers authentication information including the converted password 207 generated by the password authentication device 10 outside the password authentication device 10. Further, the external authentication system 40 authenticates outside the password authentication device 10 by using the authentication information including the converted password 207 generated by the password authentication device 10.
  • the password authentication device 10 and the terminal device 20 are connected via the network 30. Further, the password authentication device 10 and the external authentication system 40 are connected via the network 30.
  • FIG. 20 shows a functional configuration example of the password authentication device 10 according to the present embodiment.
  • the same components as those in the second and third embodiments are designated by the same numbers, and the description thereof will be omitted.
  • the password authentication device 10 according to the present embodiment newly includes a policy acquisition unit 110 and an acquisition policy storage unit 112. Further, the password authentication device 10 includes an authentication information mediation unit 111 instead of the authentication information collation unit 104.
  • the policy acquisition unit 110 acquires the password policy used for user authentication by the external authentication system 40 that authenticates outside the password authentication device 10 as the acquisition policy 205, and stores it in the acquisition policy storage unit 112. Then, the policy acquisition unit 110 calculates the total number of passwords of the acquisition policy 205 indicating the total number of combinations of password characters (alphabetic characters, numbers, and symbols) determined by the acquisition policy 205, and stores the calculation result as the required strength 203. Store in unit 109. In the following, the total number of passwords in the acquisition policy 205, which indicates the total number of combinations of password characters (alphabetic characters, numbers, and symbols) determined by the acquisition policy 205, is referred to as the total number of combinations 206.
  • the authentication information mediation unit 111 reads the registration information from the registration information storage unit 108 and converts the registration password 202 included in the registration information into a conversion password 207 that complies with the acquisition policy 205. Then, the authentication information mediation unit 111 inputs the authentication information used for the authentication of the external authentication system 40 into the external authentication system 40 by using the registration information and the conversion password 207. Further, the authentication information mediation unit 111 reads the authentication information from the authentication information storage unit 107 at the time of authentication, and converts the input password 201 included in the authentication information into the conversion password 207 conforming to the acquisition policy 205.
  • the authentication information mediation unit 111 inputs the authentication information used for the authentication of the external authentication system 40 into the external authentication system 40 by using the authentication information and the conversion password 207. Further, the authentication information acquisition unit 101, the compliance determination unit 102, and the compliance determination unit 102 according to the present embodiment perform the same operations as those in the third embodiment. Further, the components other than the authentication information acquisition unit 101, the conformity determination unit 102, and the conformity determination unit 102 in FIG. 20 perform the same operation as in the second embodiment.
  • the acquisition policy storage unit 112 stores the acquisition policy 205 acquired by the policy acquisition unit 110.
  • the program that realizes the policy acquisition unit 110 and the authentication information mediation unit 111 is stored in the auxiliary storage device 13.
  • the program that realizes the policy acquisition unit 110 and the authentication information mediation unit 111 stored in the auxiliary storage device 13 is loaded by the memory 12. Further, the program is read by the processor 11 and executed.
  • the acquisition policy storage unit 112 is realized by the memory 12 and the auxiliary storage device 13.
  • FIG. 21 shows an operation example of the policy acquisition unit 110 according to the present embodiment.
  • the operation of the policy acquisition unit 110 according to the present embodiment is performed before the authentication information registration process.
  • step S600 the policy acquisition unit 110 acquires the password policy used for user authentication from the external authentication system 40 as the acquisition policy 205 via the communication interface 15. Then, the policy acquisition unit 110 stores the acquisition policy 205 in the acquisition policy storage unit 112.
  • the policy acquisition unit 110 calculates the strength of the password policy of the acquisition policy 205, and stores the calculation result as the request strength 203 in the extraction requirement storage unit 109.
  • the policy acquisition unit 110 is a combination of password characters (alphabetic characters, numbers, and symbols) determined by the usage requirements of the characters (alphabetic characters, numbers, and symbols) that can be used in the password described in the acquisition policy 205. Calculate the total number of combinations 206, which indicates the total number of. Then, the policy acquisition unit 110 stores the total number of combinations 206 as the required intensity 203 in the extraction requirement storage unit 109. Then, the processing of the policy acquisition unit 110 is completed.
  • FIG. 22 shows an example of processing of authentication information registration according to the present embodiment.
  • steps S100 to S370 and S700 correspond to the processing of the policy extraction unit 100
  • step S400 corresponds to the processing of the authentication information acquisition unit 101
  • steps S410 and S420 correspond to the processing of the conformity determination unit 102.
  • step S180 and step S430 correspond to the processing of the authentication information registration unit 103
  • steps S710 and step S720 correspond to the processing of the authentication information mediation unit 111.
  • steps S100 to S320 are the same operations as in the second embodiment, the description thereof will be omitted.
  • step S700 if the policy extraction unit 100 confirms that the extraction policy 200 having the status of "unselected” exists among all the extraction policies 200, the process proceeds to step S340. On the other hand, if the policy extraction unit 100 confirms that there is no password policy with the status of "unselected" among all the plurality of password policies, the policy extraction unit 100 extracts using the strength confirmation policy. The extraction policy 200 stored in the result storage unit 106 is updated. Then, the policy extraction unit 100 notifies the conformity determination unit 102 that the processing is completed. Then, the process proceeds to step S400.
  • steps S340 to S370 are the same operations as in the second embodiment, the description thereof will be omitted. Further, since steps S400 to S430 are the same operations as those in the third embodiment, the description thereof will be omitted.
  • the authentication information mediation unit 111 reads the registration password 202, which is the registration information, from the registration information storage unit 108. Further, the authentication information mediation unit 111 reads the acquisition policy 205 from the acquisition policy storage unit 112. Then, the authentication information mediation unit 111 converts the registration password 202 so as to comply with the acquisition policy 205, and generates the conversion password 207.
  • the conversion is performed using a conversion algorithm (also referred to as a conversion pattern) for converting the registration password 202 so as to comply with the acquisition policy 205, which will be described later.
  • the conversion algorithm is constructed so as not to reduce the security of the password during conversion.
  • the conversion algorithm may be public information.
  • step S720 the authentication information mediation unit 111 inputs the authentication information used for the authentication of the external authentication system 40 into the external authentication system 40 using the conversion password 207 via the communication interface 15. Then, the external authentication system 40 registers the authentication information. Then, the authentication information registration process is completed.
  • FIG. 23 shows an example of generating the conversion password 207 according to the present embodiment.
  • the operation of generating the conversion password 207 when the registration password 202 is “p @ ssword” and the acquisition policy 205 is “5 or more single-byte lowercase letters” will be described in detail.
  • the registration password 202 and the acquisition policy 205 of this example are simple examples for clearly explaining the generation of the conversion password 207, and are low in security. Therefore, it is preferable not to use them in actual operation.
  • step S800 the authentication information mediation unit 111 defines the variable S and stores the registration password 202 "p @ ssword".
  • the authentication information mediation unit 111 hashes the variable S.
  • the hashed variable S is referred to as T.
  • any hash function may be used as long as it is cryptographically secure.
  • step S840 the authentication information mediation unit 111 converts T into a x-ary representation in step S830.
  • T converted into a 26-ary representation is referred to as V.
  • the authentication information mediation unit 111 may convert T into a y-ary number (y is a number of x or less) and then further convert T into a y-ary number representation into an x-ary number.
  • the authentication information mediation unit 111 may once convert T into hexadecimal representation, and then further convert it into hexadecimal representation.
  • V "7,6,21,6,16,6,25,7,5,13,10,4,15,18,2,8,12,19,24,11, 20, 18, 10, 21, 19, 5, 25, 14, 21, 8, 20, 11, 3, 21, 5, 19, 23, 7, 23, 23, 8, 5, 19, 22, 5, 8, 10, 1, 7, 18, 6, 25, 21, 6 ".
  • the comma ",” between the numbers of V indicates the delimiter of each digit. As a specific example, it is shown that the value of the first digit from the beginning of V is "7" and the value of the second digit from the beginning is "6".
  • step S850 the authentication information mediation unit 111 converts the value of each digit of V into a character as an index, and converts V into a character string W.
  • the value of the first digit from the beginning of V in this example is "7".
  • the character to which the index "7" is assigned is “h”. Therefore, the first digit from the beginning of V is converted to "h”.
  • the value of the second digit from the beginning of V in this example is "6".
  • the character to which the index "6" is assigned is "g”. Therefore, the second digit from the beginning of V is converted to "g".
  • the authentication information mediation unit 111 converts V to the character string W by converting the values of all the digits of V into characters.
  • step S860 the authentication information mediation unit 111 confirms whether or not W meets the requirements for using characters (alphabetic characters, numbers, and symbols) that can be used for the password described in the acquisition policy 205.
  • step S870 if the authentication information mediation unit 111 confirms that W meets the requirements for using characters (alphabetic characters, numbers, and symbols) that can be used for the password described in the acquisition policy 205, The process proceeds to step S880. On the other hand, if the authentication information mediation unit 111 confirms that W does not meet the requirements for using the characters (alphabetic characters, numbers, and symbols) that can be used in the password described in the acquisition policy 205, the process proceeds to step S830. Return. Then, the authentication information mediation unit 111 performs the processing of steps S830 to S860 again using the variable S that has become W.
  • step S830 An example in which the process returns to step S830 will be described in detail with reference to another specific example.
  • the acquisition policy 205 is "8 or more half-width lowercase letters and half-width numbers (including at least one half-width lowercase letters and half-width numbers)".
  • the characters alphabetic characters, numbers, and symbols
  • W converted in step S850 does not include any one of "half-width lowercase letters” and "half-width numbers”.
  • step S860 it is confirmed that W does not meet the requirements for using the characters (alphabetic characters, numbers, and symbols) that can be used in the password described in the acquisition policy 205. Then, in step S870, the process returns to step S830. Then, the authentication information mediation unit 111 performs the second hashing on the variable S that has become W. Then, through steps S840 and S850, S is converted into a new W. Then, the processes of S830 to S860 are repeated until W satisfies the requirements for using the characters (alphabetic characters, numbers, and symbols) that can be used in the password described in the acquisition policy 205.
  • step S880 the authentication information mediation unit 111 stores W as the conversion password 207. Then, the process of generating the conversion password 207 is completed.
  • FIG. 24 shows an example of authentication processing of the password authentication device 10 according to the present embodiment.
  • step S900 corresponds to the processing of the policy acquisition unit 110
  • steps S510 and S520 correspond to the processing of the authentication information acquisition unit 101
  • steps S910 and S920 correspond to the processing of the authentication information mediation unit 111.
  • steps S500 and S510 have the same operations as those in the third embodiment, the description thereof will be omitted.
  • step S910 the authentication information mediation unit 111 reads the input password 201, which is the authentication information, from the authentication information storage unit 107. Further, the authentication information mediation unit 111 reads the acquisition policy 205 from the acquisition policy storage unit 112. Then, the authentication information mediation unit 111 converts the input password 201 so as to comply with the acquisition policy 205, and generates the conversion password 207. Since the conversion is an operation of generating the conversion password 207 in FIG. 23 and replacing the registration password 202 with the input password 201, the description thereof will be omitted.
  • step S920 the authentication information mediation unit 111 inputs the authentication information used for the authentication of the external authentication system 40 into the external authentication system 40 using the conversion password 207 via the communication interface 15. Then, authentication is performed by the external authentication system 40. Then, the authentication process is completed.
  • the password authentication device converts the password included in the authentication information input by the user at the time of authentication information registration so as to comply with the password policy of the external authentication system. Then, the password authentication device inputs the authentication information to the external authentication system using the converted password. Further, the password authentication device converts the password included in the authentication information input by the user at the time of authentication so as to comply with the password policy of the external authentication system. Then, the password authentication device inputs the authentication information to the external authentication system using the converted password.
  • the user selects a password policy that is as strong as or stronger than the password policy of the external authentication system, and follows the user's own password generation policy. You can generate a password. Further, even if the conversion pattern used for password conversion by the password authentication device of the present embodiment is disclosed, the password generated by the user is safe and conforms to the password policy having a strength equal to or higher than the password policy of the external authentication system. Password. Therefore, even if the conversion pattern is disclosed, it is possible to generate a secure password in accordance with the password policy and in accordance with the user's own password generation policy.
  • the processor 11 shown in FIG. 2 is an IC (Integrated Circuit) that performs processing. Specific examples of the processor 11 include a CPU (Central Processing Unit), a DSP (Digital Signal Processor), and the like.
  • the memory 12 shown in FIG. 2 is a storage device that temporarily stores data.
  • the auxiliary storage device 13 shown in FIG. 2 is a storage device for storing data.
  • a specific example of the auxiliary storage device 13 is a hard disk.
  • the auxiliary storage device 13 includes SSD (registered trademark, Solid State Drive), SD (registered trademark, Secure Digital) memory card, CF (registered trademark, CompactFlash), NAND flash, flexible disk, optical disk, compact disk, and Blu-ray ( It may be a portable recording medium such as a registered trademark) disc or a DVD (registered trademark, Digital Vertical Disk).
  • the input / output interface 14 shown in FIG. 2 is an electronic circuit that executes information input / output processing.
  • a specific example of the input / output interface 14 is an electronic circuit that receives information input from an input device such as a keyboard or a mouse and transmits the information to an output device such as a monitor.
  • the communication interface 15 shown in FIG. 2 is an electronic circuit that executes information communication processing with a connection destination via a signal line.
  • a specific example of the communication interface 15 is a communication chip for Ethernet (registered trademark) or a NIC (Network Interface Card).
  • An OS Operating System
  • the processor 11 executes the policy extraction unit 100, the authentication information acquisition unit 101, the compliance determination unit 102, the authentication information registration unit 103, the authentication information collation unit 104, the policy acquisition unit 110, and the authentication while executing at least a part of the OS. Execute a program that realizes the function of the information mediation unit 111. When the processor 11 executes the OS, task management, memory management, file management, communication control, and the like are performed. Further, information indicating the processing results of the policy extraction unit 100, the authentication information acquisition unit 101, the conformity determination unit 102, the authentication information registration unit 103, the authentication information collation unit 104, the policy acquisition unit 110, and the authentication information mediation unit 111.
  • At least one of the data, the signal value and the variable value is stored in at least one of the register and the cache memory in the processor 11, the memory 12, and the auxiliary storage device 13. Further, a program that realizes the functions of the policy extraction unit 100, the authentication information acquisition unit 101, the conformity determination unit 102, the authentication information registration unit 103, the authentication information collation unit 104, the policy acquisition unit 110, and the authentication information mediation unit 111 is provided.
  • Portable recording media such as hard disks, SSDs (registered trademarks), SD (registered trademarks) memory cards, CF (registered trademarks), NAND flashes, flexible discs, optical discs, compact discs, Blu-ray (registered trademarks) discs, and DVDs (registered trademarks). It may be stored in.
  • a program that realizes the functions of the policy extraction unit 100, the authentication information acquisition unit 101, the conformity determination unit 102, the authentication information registration unit 103, the authentication information collation unit 104, the policy acquisition unit 110, and the authentication information mediation unit 111 is distributed. You may let me. Further, the "section" of the policy extraction unit 100, the authentication information acquisition unit 101, the conformity determination unit 102, the authentication information registration unit 103, the authentication information collation unit 104, the policy acquisition unit 110, and the authentication information mediation unit 111 is referred to as a "circuit". "Or” process "or” procedure “or” process "may be read. Further, the password authentication device 10 may be realized by a processing circuit.
  • the processing circuit is, for example, a logic IC (Integrated Circuit), a GA (Gate Array), an ASIC (Application Specific Integrated Circuit), or an FPGA (Field-Programmable Gate Array).
  • processing circuit Lee the superordinate concept of the processor and the processing circuit is referred to as "processing circuit Lee". That is, the processor and the processing circuit are specific examples of the "processing circuit Lee", respectively.
  • 1 password authentication system 10 password authentication device, 11 processor, 12 memory, 13 auxiliary storage device, 14 input / output interface, 15 communication interface, 20 terminal device, 30 network, 40 external authentication system, 100 policy extractor, 101 authentication information Acquisition unit, 102 Compliance judgment unit, 103 Authentication information registration unit, 104 Authentication information collation unit, 105 Policy storage unit, 106 Extraction result storage unit, 107 Authentication information storage unit, 108 Registration information storage unit, 109 Extraction requirement storage unit, 110 policy acquisition unit, 111 authentication information mediation unit, 112 acquisition policy storage unit, 200 extraction policy, 201 input password, 202 registration password, 203 request strength, 204 user policy, 205 acquisition policy, 206 total number of combinations, 207 conversion password.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

ポリシー記憶部（１０５）は、ユーザの認証に用いるパスワードの認定要件を記述した複数のパスワードポリシーであり、パスワードが複数のパスワードポリシーのうち少なくともいずれか１つのパスワードポリシーに準拠していればパスワードを正当なパスワードとして認定可能な複数のパスワードポリシーを記憶する。ポリシー抽出部（１００）は、複数のパスワードポリシーから１つ以上のパスワードポリシーを抽出する。認証情報取得部（１０１）は、パスワードを含む認証情報を取得する。準拠性判定部（１０２）は、認証情報に含まれるパスワードが、１つ以上のパスワードポリシーのうち、少なくともいずれか１つのパスワードポリシーに準拠しているか否かを判定する。認証情報登録部（１０３）は、準拠性判定部（１０２）が少なくともいずれか１つのパスワードポリシーに準拠していると判定したときに、認証情報を登録情報として登録する。

Description

パスワード認証装置、パスワード認証方法、及びパスワード認証プログラム
　本開示は、パスワード認証装置、パスワード認証方法、及びパスワード認証プログラムに関する。
　パスワードを用いたパスワード認証システムでは、ユーザに強固で安全なパスワードを使用してもらうために、パスワード認証システム側が単一のパスワード生成ルール（以下、パスワードポリシーという）を指定する。そして、そのパスワードポリシーに従って、ユーザがパスワードを生成し、登録する方法が用いられている場合がある。しかし、このような方法では、ユーザのパスワードの生成方針とパスワードポリシーとが矛盾していても、ユーザのパスワードの生成方針とかけ離れたパスワードポリシーに従って、ユーザはパスワードを生成し、登録しなければならないという課題があった。
　この課題を解決するために、特許文献１ではユーザ等が入力した文字列からパスワードポリシーに準拠したパスワードを生成するパスワード生成装置が開示されている。より具体的には、特許文献１で開示のパスワード生成装置は、パスワードを構成する文字種別を示すパスワードポリシーを受け付け、受け付けたパスワードポリシーに基づいて、複数の変換パターンのうち使用する変換パターンを決定する。そして、パスワード生成装置は、第１の文字列の入力を受け付け、入力された第１の文字列を解析し、変換に用いられる複数の文字群を抽出する。そして、パスワード生成装置は、決定した変換パターンに基づいて、抽出した複数の文字群を第２の文字列に変換し、変換した第２の文字列を合成してパスワードを生成する。
　このパスワード生成装置によって、ユーザが入力した文字列から、パスワードポリシーに準拠し、且つユーザ自身のパスワードの生成方針に沿った、強固で安全なパスワードを生成することが可能となる。
特開２０１４－１７８９７８号公報
　特許文献１に記載の手法では、パスワードの安全性を保障するために、パスワード生成装置はユーザが入力した文字列を変換する変換パターンは秘密情報として非公開で管理しなければならないという課題があった。
　変換パターンが公開されれば、攻撃者が、ユーザにより入力された文字列を推定し、推定した文字列を公開された変換パターンを用いて変換し、パスワードを推測するというパスワード推測攻撃が可能となる。
　さらに、ユーザにより入力された文字列がパスワードポリシーに準拠せず十分に安全な文字列でなければ、このパスワード推測攻撃は効率的に行われ、パスワードの安全性が保障されない可能性があるからである。
　本開示は、パスワードポリシーに準拠し、且つユーザ自身のパスワードの生成方針に沿った安全なパスワード生成を可能とすることを主な目的とする。
　本開示に係るパスワード認証装置は、
　ユーザの認証に用いるパスワードの認定要件を記述した複数のパスワードポリシーであり、パスワードが前記複数のパスワードポリシーのうち少なくともいずれか１つのパスワードポリシーに準拠していれば前記パスワードを正当なパスワードとして認定可能な複数のパスワードポリシーを記憶するポリシー記憶部と、
　前記ポリシー記憶部が記憶する前記複数のパスワードポリシーから１つ以上のパスワードポリシーを抽出するポリシー抽出部と、
　パスワードを含む認証情報を取得する認証情報取得部と、
　前記認証情報取得部が取得した前記認証情報に含まれるパスワードが、前記ポリシー抽出部が抽出した前記１つ以上のパスワードポリシーのうち、少なくともいずれか１つのパスワードポリシーに準拠しているか否かを判定する準拠性判定部と、
　前記準拠性判定部が前記少なくともいずれか１つのパスワードポリシーに準拠していると判定したときに、前記認証情報を登録情報として登録する認証情報登録部と
を備える。
　本開示によれば、パスワードポリシーに準拠し、且つユーザ自身のパスワードの生成方針に沿った安全なパスワード生成を可能とすることができる。
実施の形態１に係るパスワード認証システムの構成例を示す図。 実施の形態１に係るパスワード認証装置のハードウェア構成例を示す図。 実施の形態１に係るパスワード認証装置の機能構成例を示す図。 実施の形態１に係る認証情報登録の処理を示すフローチャート。 実施の形態１に係るポリシー記憶部に記憶される複数のパスワードポリシーの例を示す図。 実施の形態１に係る登録フォームへのパスワード入力例を示す図。 実施の形態１に係る認証の処理を示すフローチャート。 実施の形態１に係る認証フォームへのパスワード入力例を示す図。 実施の形態１に係る認証情報登録時に抽出ポリシーを表示したパスワード入力例を示す図。 実施の形態２に係るパスワード認証装置の機能構成例を示す図。 実施の形態２に係るパスワード認証装置の認証情報登録の処理例を示すフローチャート。 実施の形態２に係るポリシー記憶部に記憶される複数のパスワードポリシーの例を示す図。 実施の形態２に係る抽出結果記憶部に記憶される抽出ポリシーの例を示す図。 実施の形態３に係るパスワード認証装置の機能構成例を示す図。 実施の形態３に係る認証情報登録の処理例を示すフローチャート。 実施の形態３に係る認証情報登録時のユーザポリシーの選択例を示す図。 実施の形態３に係る認証の処理例を示すフローチャート。 実施の形態３に係る認証時のパスワード入力例を示す図。 実施の形態４に係るパスワード認証システムの構成例を示す図。 実施の形態４に係るパスワード認証装置の機能構成例を示す図。 実施の形態４に係るポリシー取得部の動作例を示すフローチャート。 実施の形態４に係る認証情報登録の処理例を示すフローチャート。 実施の形態４に係る変換パスワードの生成例を示すフローチャート。 実施の形態４に係る認証の処理例を示すフローチャート。
　以下、本開示の実施の形態について、図を用いて説明する。以下の実施の形態の説明及び図面において、同一の符号を付したものは、同一の部分又は相当する部分を示す。
　実施の形態１．
　本実施の形態について、図１から図９を用いて説明する。
＊＊＊構成の説明＊＊＊
　図１を用いて、本実施の形態に係るパスワード認証システム１の構成例について説明する。
　図１は、本実施の形態に係るパスワード認証システム１の構成例を示す。
　パスワード認証システム１は、パスワード認証装置１０、端末装置２０、及びネットワーク３０を備える。
　パスワード認証装置１０は、端末装置２０を用いて入力されたパスワードを含む認証情報の登録を行う。また、パスワード認証装置１０は、端末装置２０を用いて入力されたパスワードを含む認証情報を用いて認証を行う。
　なお、パスワード認証装置１０の動作手順は、パスワード認証方法に相当する。また、パスワード認証装置１０の動作を実現するプログラムは、パスワード認証プログラムに相当する。
　端末装置２０は、ユーザによる認証情報の入力に用いられる。端末装置２０の具体例は、パーソナルコンピュータである。
　ネットワーク３０は、データを送受信するための有線又は無線の通信路である。ネットワーク３０は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）といった通信規格に準拠した通信路、又は機器専用の通信路である。
　パスワード認証装置１０と端末装置２０とは、ネットワーク３０を介して接続される。
　本実施の形態に係るパスワード認証システム１では、大きく分けて認証情報登録と認証という２つのフェーズが存在する。
　認証情報登録では、ユーザが端末装置２０を用いて認証情報をパスワード認証装置１０に入力する。そして、パスワード認証装置１０は、ユーザが入力した認証情報を登録情報として登録する。
　認証では、ユーザが端末装置２０を用いて認証情報をパスワード認証装置１０に入力する。そして、パスワード認証装置１０は、ユーザが入力した認証情報が、ユーザの登録情報と一致した場合に、ユーザの認証を「成功」と判定する。また、パスワード認証装置１０は、ユーザが入力した認証情報が、ユーザの登録情報と一致しなかった場合に、ユーザの認証を「失敗」と判定する。
　図２を用いて、本実施の形態に係るパスワード認証装置１０のハードウェア構成例について説明する。
　図２は、本実施の形態に係るパスワード認証装置１０のハードウェア構成例を示す。
　パスワード認証装置１０は、プロセッサ１１、メモリ１２、補助記憶装置１３、入出力インタフェース１４、及び通信インタフェース１５を備える。
　補助記憶装置１３には、後述する、ポリシー抽出部１００、認証情報取得部１０１、準拠性判定部１０２、認証情報登録部１０３、及び認証情報照合部１０４の機能を実現するプログラムが記憶されている。
　補助記憶装置１３に記憶されたポリシー抽出部１００、認証情報取得部１０１、準拠性判定部１０２、認証情報登録部１０３、及び認証情報照合部１０４の機能を実現するプログラムは、メモリ１２によりロードされる。また当該プログラムはプロセッサ１１に読み出され、実行される。
　また、後述する、ポリシー記憶部１０５、抽出結果記憶部１０６、認証情報記憶部１０７、及び登録情報記憶部１０８は、メモリ１２及び補助記憶装置１３により実現される。
　図３を用いて、本実施の形態に係るパスワード認証装置１０の機能構成例について説明する。
　図３は、本実施の形態に係るパスワード認証装置１０の機能構成例を示す。
　パスワード認証装置１０は、ポリシー抽出部１００、認証情報取得部１０１、準拠性判定部１０２、認証情報登録部１０３、及び認証情報照合部１０４を備える。また、パスワード認証装置１０は、ポリシー記憶部１０５、抽出結果記憶部１０６、認証情報記憶部１０７、及び登録情報記憶部１０８を備える。
　ポリシー記憶部１０５は、ユーザの認証に用いるパスワードの認定要件を記述した複数のパスワードポリシーを記憶する。
　パスワードポリシーは、パスワードが複数のパスワードポリシーのうち少なくともいずれか１つのパスワードポリシーに準拠していればパスワードを正当なパスワードとして認定可能なものである。
　より具体的には、１つのパスワードポリシーには、パスワードに使用可能な文字の使用要件が記述される。
　ここで「文字」とは、以下を１種類以上含むものとする。
　１．半角英字
　２．半角数字
　３．半角記号
　以下では、「文字」が英字、数字、及び記号の３種のみを含む場合について説明する。
　しかし、「文字」は、全角英字、全角数字、又は、全角記号を含んでいてもよい。
　また、「文字」は、漢字、かな、又は、カナを含んでいてもよい。
　さらに、「文字」は、アラビア文字、ギリシア文字、又は、その他の外国の文字を含んでいてもよい。
　１つのパスワードポリシーには、英字、数字、及び記号の３種のうち、少なくとも１種の使用要件が記述されていればよい。安全性を向上させるためには、１つのパスワードポリシーには、英字、数字、及び記号の３種のうち、少なくとも２種以上の使用要件が記述されていることが好ましく、さらに、３種すべての使用要件が記述されていることがより好ましい。
　パスワードポリシーの具体例は、「８文字以上半角英数字」又は「１６文字以上半角英字」である。複数のパスワードポリシーは、これら１つのパスワードポリシーの集合である。ポリシー記憶部１０５に記憶される複数のパスワードポリシーは、ハードコーディングされ、ポリシー記憶部１０５に記憶されてもよい。また、入出力インタフェース１４を介して取得され、ポリシー記憶部１０５に記憶されてもよい。また、複数のパスワードポリシーは、通信インタフェース１５を介して外部のシステム又はデータベース等から取得され、ポリシー記憶部１０５に記憶されてもよい。
　ポリシー抽出部１００は、ポリシー記憶部１０５が記憶する複数のパスワードポリシーから１つ以上のパスワードポリシーを抽出し、抽出結果記憶部１０６に記憶する。以下では、ポリシー抽出部１００が抽出した、１つ以上のパスワードポリシーを抽出ポリシー２００と記す。
　認証情報取得部１０１は、通信インタフェース１５を介して、端末装置２０を用いて入力された認証情報を取得し、認証情報記憶部１０７に記憶する。認証情報は、ユーザの認証に用いられる情報であり、少なくともパスワードが含まれる。認証情報の具体例は、「パスワード」又は「ＩＤとパスワードとの組み合わせ」である。
　準拠性判定部１０２は、認証情報取得部１０１が取得した認証情報に含まれるパスワードが、ポリシー抽出部１００が抽出した抽出ポリシー２００のうち、少なくともいずれか１つのパスワードポリシーに準拠しているか否かを判定する。
　認証情報登録部１０３は、準拠性判定部１０２が少なくともいずれか１つのパスワードポリシーに準拠していると判定したときに、認証情報を登録情報として登録情報記憶部１０８に記憶する。
　認証情報照合部１０４は、端末装置２０を用いて入力されたパスワードを含む認証情報を用いてパスワード認証装置１０に登録された登録情報を照会し、認証情報がユーザの認証を行う。
　抽出結果記憶部１０６は、ポリシー抽出部１００により記憶された抽出ポリシー２００を記憶する。
　認証情報記憶部１０７は、認証情報取得部１０１により記憶された認証情報を記憶する。
　登録情報記憶部１０８は、認証情報登録部１０３により記憶された登録情報を記憶する。
＊＊＊動作の説明＊＊＊
　図４を用いて、本実施の形態に係る認証情報登録の処理例について説明する。以下では、認証情報はパスワードのみであるとして詳細に説明する。
　図４は、本実施の形態に係る認証情報登録の処理例を示す。
　図４の、ステップＳ１００はポリシー抽出部１００、ステップＳ１１０は認証情報取得部１０１、ステップＳ１２０からステップＳ１７０は準拠性判定部１０２、ステップＳ１８０は認証情報登録部１０３の処理に対応する。
　ステップＳ１００では、ポリシー抽出部１００は、ポリシー記憶部１０５に記憶された複数のパスワードポリシーのうち、全てのパスワードポリシーを抽出し、抽出結果記憶部１０６に記憶する。以下では、抽出されたパスワードポリシーを抽出ポリシー２００という。
　そして、ポリシー抽出部１００は、処理が完了したことを準拠性判定部１０２に通知する。
　図５は、本実施の形態に係るポリシー記憶部１０５に記憶される複数のパスワードポリシーの例を示す。
　図５では、ポリシー記憶部１０５に、複数のパスワードポリシーとして、３つのパスワードポリシーが記憶されている。より具体的には、ポリシー記憶部１０５に記憶されている３つのパスワードポリシーは、以下の３つである。
　１．「８文字以上半角英数字」
　２．「１６文字以上半角英字」
　３．「６文字以上半角英字記号」
　次に、ステップＳ１１０では、認証情報取得部１０１は、端末装置２０を用いて入力されたパスワード（以下、入力パスワード２０１という）を取得し、認証情報記憶部１０７に記憶する。
　そして、認証情報取得部１０１は、処理が完了したことを準拠性判定部１０２に通知する。
　図６は、端末装置２０を用いた認証情報登録時の認証情報の入力例である。図６では、端末装置２０のＧＵＩ（Ｇｒａｐｈｉｃ　Ｕｓｅｒ　Ｉｎｔｅｒｆａｃｅ）画面に表示された登録フォームで、パスワードの入力が求められている。また、図６では、ユーザが「System!p@ssowrD」を入力した状態を示している。この状態で「ＯＫ」を押すと、ネットワーク３０を通じてパスワード認証装置１０に「System!p@ssowrD」が入力パスワード２０１として入力される。以下では、入力パスワード２０１が「System!p@ssowrD」であるとして説明を続ける。
　次に、ステップＳ１２０では、準拠性判定部１０２は、ポリシー抽出部１００及び認証情報取得部１０１から処理の完了通知を待つ。
　そして、ポリシー抽出部１００及び認証情報取得部１０１から通知を受ければ、準拠性判定部１０２は、抽出結果記憶部１０６から抽出ポリシー２００を、認証情報記憶部１０７から入力パスワード２０１「System!p@ssowrD」を読み込む。
　そして、準拠性判定部１０２は、読み込んだ全ての抽出ポリシー２００のステータスを「未選択」とする。
　次に、ステップＳ１３０では、準拠性判定部１０２は、全ての抽出ポリシー２００のうち、「未選択」のステータスである抽出ポリシー２００が存在するか否かを確認する。
　次に、ステップＳ１４０では、準拠性判定部１０２が「未選択」のステータスである抽出ポリシー２００が存在することを確認すれば、処理はステップＳ１５０へ進む。
　一方、準拠性判定部１０２が「未選択」のステータスである抽出ポリシー２００が存在しないことを確認すれば、入力パスワード２０１「System!p@ssowrD」は全ての抽出ポリシー２００のいずれにも準拠していない判定する。そして、処理がステップＳ１１０に戻る。
　次に、ステップＳ１５０では、準拠性判定部１０２は、「未選択」のステータスである抽出ポリシー２００のうち、１つの抽出ポリシー２００を選択する。以下では、選択した抽出ポリシー２００を選択ポリシーという。
　そして、準拠性判定部１０２は、選択ポリシーのステータスを「選択」とする。
　次に、ステップＳ１６０では、準拠性判定部１０２は、入力パスワード２０１「System!p@ssowrD」が選択ポリシーに準拠しているか否かを確認する。
　より具体的には、準拠性判定部１０２は、選択ポリシーに記述されたパスワードの認定要件を確認する。そして、準拠性判定部１０２は、入力パスワード２０１が選択ポリシーに記述されたパスワードの認定要件を満たしているか否かを確認する。
　次に、ステップＳ１７０では、準拠性判定部１０２は、入力パスワード２０１「System!p@ssowrD」が、抽出ポリシー２００のうち、いずれか一つのパスワードポリシーである選択ポリシーに準拠しているか否かを判定する。
　より具体的には、準拠性判定部１０２が、入力パスワード２０１「System!p@ssowrD」が選択ポリシーに記述されたパスワードの認定要件を満たしていることを確認すれば、選択ポリシーに「準拠している」と判定する。そして、入力パスワード２０１「System!p@ssowrD」は正当なパスワードと認定される。
　また、準拠性判定部１０２が、入力パスワード２０１「System!p@ssowrD」が選択ポリシーに記述されたパスワードの認定要件を満たしていないことを確認すれば、「準拠していない」と判定する。そして、入力パスワード２０１「System!p@ssowrD」は正当なパスワードと認定されない。
　そして、準拠性判定部１０２は、処理が完了したことを認証情報登録部１０３に通知する。
　以下に具体例を用いて、準拠性判定部１０２による入力パスワード２０１「System!p@ssowrD」が選択ポリシーに準拠しているか否かの判定を説明する。
　入力パスワード２０１が「System!p@ssowrD」で、且つ選択ポリシーが「６文字以上半角英字記号」である場合、「System!p@ssowrD」は「６文字以上半角英字記号」であるため、パスワードの認定要件を満たしている。したがって、準拠性判定部１０２は「準拠している」と判定する。
　また、別の例として、入力パスワード２０１が「hell0hell0」で、且つ選択ポリシーのパスワードが「８文字以上半角英数字」である場合、「hell0hell0」は「８文字以上半角英数字」であるため、パスワードの認定要件を満たしている。したがって、準拠性判定部１０２は「準拠している」と判定する。
　また、別の例として、入力したパスワードが「hell0」で、且つ選択ポリシーが「８文字以上半角英数字」である場合、「hell0」は「８文字以上半角英数字」でないため、パスワードの認定要件を満たさない。したがって、準拠性判定部１０２は「準拠していない」と判定する。
　準拠性判定部１０２が「準拠している」と判定した場合、準拠性判定部１０２は認証情報登録部１０３に処理の完了を通知する。そして処理はステップＳ１８０へ進む。
　一方、準拠性判定部１０２が「準拠していない」と判定した場合、処理はステップＳ１３０に戻る。
　次に、ステップＳ１８０では、認証情報登録部１０３は、準拠性判定部１０２から処理完了の通知を待つ。
　認証情報登録部１０３が準拠性判定部１０２から処理完了の通知を受けた場合、認証情報登録部１０３は、認証情報記憶部１０７に記憶された認証情報である入力パスワード２０１「System!p@ssowrD」を読み込む。そして、認証情報登録部１０３は、登録情報記憶部１０８に登録情報として記憶する。そして、認証情報登録の処理が完了する。
　図７を用いて、本実施の形態に係る認証の処理例について説明する。以下では、認証情報はパスワードのみであるとして詳細に説明する。
　図７は、本実施の形態に係る認証情報登録の処理例を示す。
　図７の、ステップＳ２００は認証情報取得部１０１、ステップＳ２１０からステップＳ２３０は認証情報照合部１０４の処理に対応する。
　ステップＳ２００では、認証情報取得部１０１は、端末装置２０を用いて入力された入力パスワード２０１を取得し、認証情報記憶部１０７に記憶する。
　そして、認証情報取得部１０１は、処理が完了したことを認証情報照合部１０４に通知する。
　図８は、端末装置２０を用いた認証時の認証情報の入力例である。図８では、端末装置２０のＧＵＩ画面に表示された認証フォームで、パスワード入力が求められている。また、図８では、ユーザが「System!p@ssowrD」を入力した状態を示している。この状態で「ＯＫ」を押すと、ネットワーク３０を通じてパスワード認証装置１０に「System!p@ssowrD」が入力パスワード２０１として入力される。以下では、入力パスワード２０１が「System!p@ssowrD」であるとして説明を続ける。
　次に、ステップＳ２１０では、認証情報照合部１０４は、認証情報取得部１０１から処理完了の通知を待つ。
　そして、認証情報照合部１０４が認証情報取得部１０１から処理完了の通知を受けた場合、登録情報記憶部１０８から登録情報であるパスワード（以下、登録パスワード２０２という）を読み込む。以下では、登録パスワード２０２が「System!p@ssowrD」であるとして説明を続ける。
　認証情報照合部１０４は、読み込んだ登録パスワード２０２と入力パスワード２０１とを確認する。
　次に、ステップＳ２２０では、認証情報照合部１０４は、読み込んだ登録パスワード２０２と入力パスワード２０１とが一致するか否かを判定する。
　そして、認証情報照合部１０４が登録パスワード２０２と入力パスワード２０１とが一致すると判定した場合、処理がステップＳ２３０へ進む。
　そして、認証情報照合部１０４が登録パスワード２０２と入力パスワード２０１とが一致しないと判定した場合、処理がステップＳ２００に戻る。
　本例では、登録パスワード２０２「System!p@ssowrD」と入力パスワード２０１「System!p@ssowrD」とが一致するため、処理がステップＳ２３０へ進む。
　次に、ステップＳ２３０では、認証情報照合部１０４は認証を成功とする。そして、認証の処理が完了する。
＊＊＊実施の形態の効果の説明＊＊＊
　以上のように、本実施の形態に係るパスワード認証装置は、複数のパスワードポリシーを記憶する。そして、ユーザ自身のパスワードの生成方針に沿って入力された入力パスワード２０１が、複数のパスワードポリシーから抽出された抽出ポリシー２００のいずれかに準拠すれば、正当なパスワードとして認定され、登録情報として登録される。つまり、秘密情報である変換パターンを用いない。したがって、パスワードポリシーに準拠し、且つユーザ自身のパスワードの生成方針に沿った安全なパスワード生成を可能とすることができる。
＜変形例１＞
　実施の形態１では、パスワード認証システムは、パスワード認証装置１０、端末装置２０、及びネットワーク３０を備えると説明した。また、パスワード認証装置１０は、端末装置２０を用いて入力された認証情報を用いて認証情報登録及び認証を行うと説明した。
　しかし、それに限らず、パスワード認証装置１０は、入出力インタフェース１４を介して入力された認証情報を用いて認証情報登録及び認証を行ってもよい。
　より具体的には、図４のステップＳ１１０では、認証情報取得部１０１は、出力装置のＧＵＩ画面に表示された登録フォームに、入力装置を用いて入力されたパスワードを取得し、認証情報記憶部１０７に記憶してもよい。
　また、図７のステップＳ２００では、認証情報取得部１０１は、出力装置のＧＵＩ画面に表示された認証フォームに、入力装置を用いて入力されたパスワードを取得し、認証情報記憶部１０７に記憶してもよい。
　したがって、パスワード認証システムは、端末装置２０及びネットワーク３０を備えなくてもよい。
＜変形例２＞
　実施の形態１では、図６を用いて、端末装置２０のＧＵＩ画面に表示された登録フォームで、パスワードの入力が求められる例を説明した。
　しかし、パスワード入力の要求は、それに限らず、認証情報取得部１０１が端末装置２０に、端末装置２０のＧＵＩ画面に抽出ポリシー２００を表示させてパスワードの入力を求めてもよい。
　より具体的には、図４のステップＳ１１０では、認証情報取得部１０１は、抽出結果記憶部１０６から抽出ポリシー２００を読み込み、通信インタフェース１５を介して、抽出ポリシー２００を端末装置２０に送信する。そして、認証情報取得部１０１は、端末装置２０に、端末装置２０のＧＵＩ画面に抽出ポリシー２００を表示させ、ユーザにパスワードの入力を求めてもよい。
　図９は、認証情報登録時に抽出ポリシー２００を表示した認証情報の入力例である。図９では、端末装置２０のＧＵＩ画面に抽出ポリシー２００が表示された登録フォームで、パスワードの入力が求められている。また、図９では、ユーザが「ポリシー３：６文字以上半角英字記号」に準拠した「System!p@ssowrD」を入力した状態を示している。この状態で「ＯＫ」を押すと、ネットワーク３０を通じてパスワード認証装置１０に「System!p@ssowrD」が入力パスワード２０１として入力される。
　実施の形態２．
　実施の形態１では、ポリシー抽出部１００が、ポリシー記憶部１０５に記憶された複数のパスワードポリシーのうち、全てのパスワードポリシーを抽出ポリシー２００として抽出した。しかし、ポリシー記憶部１０５に大量の複数のパスワードポリシーを記憶させた上で、ポリシー抽出部１００にパスワードポリシーの強度を計算させ、要求強度を満たすパスワードポリシーのみを抽出させるという運用も可能である。
　本実施の形態では、ポリシー記憶部１０５に記憶された大量の複数のパスワードポリシーから、ポリシー抽出部１００がパスワードポリシーの強度を計算し、要求強度を満たすパスワードポリシーのみを抽出する例を説明する。
　なお、パスワードポリシーの強度とは、パスワードポリシーにより定まるパスワードの安全性を評価する尺度である。パスワードポリシーの強度の具体例は、パスワードポリシーにより定まるパスワードの文字（英字、数字、及び記号）の組み合わせの総数を示すパスワード総数（パスワード空間ともいう）である。
　より具体的には、ｍ種類の文字（英字、数字、及び記号）から、ｎ文字のパスワードが作られるとき、パスワード空間はｍ＾ｎで計算される。ここで「＾」はべき乗を示す。
　「８文字以上半角小文字英字及び半角数字」というパスワードポリシーの具体例を用いてパスワード空間を説明する。
　半角小文字英字（a～z）と半角数字（0～9）とは合わせて計３６種類の文字がある。そして、最低の文字数は、８文字である。したがって、「８文字以上半角小文字英字及び半角数字」というパスワードポリシーの場合、３６＾８が最低のパスワード空間であり、パスワードポリシーの強度である。
　また、要求強度とは、複数のパスワードポリシーから、抽出ポリシー２００を抽出するために用いられる基準である。要求強度の具体例は、「パスワード空間が３６＾８以上」である。また、別の具体例として、「“半角小文字英字と半角数字とから構成される８文字以上”というパスワードポリシーのパスワード空間以上」のように、特定のパスワードポリシーを利用してもよい。
　本実施の形態について、図１０から図１３を用いて説明する。
　本実施の形態では、主に実施の形態１との差異を説明する。
　なお、以下で説明していない事項は、実施の形態１と同様である。
＊＊＊構成の説明＊＊＊
　本実施の形態に係るパスワード認証システムの構成及びパスワード認証装置１０のハードウェア構成は、実施の形態１と同一の構成であるため、説明を省略する。
　図１０を用いて、本実施の形態に係るパスワード認証装置１０の機能構成例について説明する。
　図１０は、本実施の形態に係るパスワード認証装置１０の機能構成例を示す。
　なお、実施の形態１と同一構成部分には同一番号を付してその説明を省略する。
　本実施の形態に係るパスワード認証装置１０は、新たに抽出要件記憶部１０９を備える。
　抽出要件記憶部１０９は、複数のパスワードポリシーからパスワードポリシーを抽出するために用いられる抽出要件を記憶する。抽出要件の具体例は、要求強度である。以下では、抽出要件記憶部１０９が記憶する要求強度を、要求強度２０３と記す。
　抽出要件記憶部１０９に記憶される要求強度２０３は、ハードコーディングされ、抽出要件記憶部１０９に記憶されてもよい。また、要求強度２０３は、入出力インタフェース１４を介して取得され、抽出要件記憶部１０９に記憶されてもよい。また、要求強度２０３は、通信インタフェース１５を介して外部のシステム又はデータベース等から取得され、抽出要件記憶部１０９に記憶されてもよい。
　抽出要件記憶部１０９は、メモリ１２及び補助記憶装置１３により実現される。
　また、本実施の形態に係るポリシー抽出部１００は、ポリシー記憶部１０５に記憶された複数のパスワードポリシーの各々のパスワードポリシーのパスワード空間を計算する。また、ポリシー抽出部１００は、抽出要件記憶部１０９に記憶された要求強度２０３を読み込む。そして、ポリシー抽出部１００は、各々のパスワードポリシーのパスワード空間と要求強度２０３とを用いて複数のパスワードポリシーから抽出ポリシー２００を抽出し、抽出結果記憶部１０６に記憶する。
＊＊＊動作の説明＊＊＊
　図１１を用いて、本実施の形態に係る認証情報登録の処理例について説明する。以下では、認証情報はパスワードのみであるとして詳細に説明する。
　図１１は、本実施の形態に係る認証情報登録の処理例を示す。
　なお、実施の形態１と同一の動作には同一番号を付してその説明を省略する。
　図１１の、ステップＳ１００からステップＳ３７０はポリシー抽出部１００の処理に対応する。
　ステップＳ１００は、実施の形態１と同一の動作であるため、説明を省略する。
　図１２は、本実施の形態に係るポリシー記憶部１０５に記憶される複数のパスワードポリシーの例を示す。
　図１２では、ポリシー記憶部１０５に、複数のパスワードポリシーとして、４つのパスワードポリシーが記憶されていることが示されている。より具体的には、ポリシー記憶部１０５に記憶されている４つのパスワードポリシーは、以下の４つである。
　１．「８文字以上半角英数字」
　２．「１６文字以上半角英字」
　３．「６文字以上半角英字記号」
　４．「４桁半角数字」
　ステップＳ１００の後、ステップＳ３００では、ポリシー抽出部１００は、抽出要件記憶部１０９に記憶された要求強度２０３を読み込む。
　以下では、要求強度２０３の具体例として、「パスワード空間が１００，０００以上」がポリシー抽出部１００に読み込まれる例を説明する。
　次に、ステップＳ３１０では、ポリシー抽出部１００は、全ての抽出ポリシー２００のステータスを「未選択」とする。
　次に、ステップＳ３２０では、ポリシー抽出部１００は、全ての抽出ポリシー２００のうち、「未選択」のステータスである抽出ポリシー２００が存在するか否かを確認する。
　次に、ステップＳ３３０では、ポリシー抽出部１００が、全ての抽出ポリシー２００のうち、「未選択」のステータスである抽出ポリシー２００が存在することを確認すれば、処理はステップＳ３４０へ進む。
　一方、ポリシー抽出部１００が、全ての複数のパスワードポリシーのうち、「未選択」のステータスであるパスワードポリシーが存在しないことを確認すれば、ポリシー抽出部１００は、後述の強度確認ポリシーを用いて、抽出結果記憶部１０６に記憶された抽出ポリシー２００を更新する。そして、ポリシー抽出部１００は、処理が完了したことを準拠性判定部１０２に通知する。そして、処理は図４のステップＳ１１０へ進む。なお、図４のステップＳ１１０へ進んだ以降の動作は、実施の形態１の動作と同一の動作であるため、説明を省略する。
　次に、ステップＳ３４０では、ポリシー抽出部１００は、「未選択」のステータスである抽出ポリシー２００のうち、１つの抽出ポリシー２００を選択する。以下ではポリシー抽出部１００が選択した抽出ポリシー２００を強度確認ポリシーという。
　そして、ポリシー抽出部１００は、強度確認ポリシーのステータスを「選択」とする。
　次に、ステップＳ３５０では、ポリシー抽出部１００は、強度確認ポリシーのパスワードポリシーの強度を計算する。より具体的には、ポリシー抽出部１００は、強度確認ポリシーに記述されたパスワードに使用可能な文字（英字、数字、及び記号）の使用要件により定まるパスワードの文字（英字、数字、及び記号）の組み合わせの総数を示すパスワード空間を計算する。
　そして、ポリシー抽出部１００は、要求強度２０３のパスワード空間を確認する。
　本例では、要求強度２０３は、「パスワード空間が１００，０００以上」であるため、要求強度２０３のパスワード空間は１００，０００以上である。
　また、別の例として、要求強度２０３が「“８文字以上半角小文字英字及び半角数字”というパスワードポリシーのパスワード空間以上」のように特定のパスワードポリシーを利用したものであれば、ポリシー抽出部１００は、要求強度２０３のパスワード空間を計算し、確認する。
　次に、ステップＳ３６０では、ポリシー抽出部１００は、強度確認ポリシーのパスワードポリシーの強度が要求強度２０３を満たしているか否かを判定する。
　ポリシー抽出部１００が強度確認ポリシーのパスワードポリシーの強度は要求強度２０３を満たしていると判定した場合、処理はステップＳ３７０へ進む。
　一方、ポリシー抽出部１００が強度確認ポリシーのパスワードポリシーの強度は要求強度２０３を満たしていないと判定した場合、処理はステップＳ３２０に戻る。
　半角英字は、大文字英字A～Z、及び小文字英字a～zの５２種類の文字である。また、半角数字は、0～9の１０種類の数字である。また、記号は、便宜上、３２種類の記号とする。
　つまり、図１２に示す４つの複数のパスワードポリシーの各々のパスワード空間は、以下の通り計算される。
　１．「８文字以上半角英数字」の場合、６２＾８（なお、６２＾８＞１００，０００）。
　２．「１６文字以上半角英字」の場合、５２＾１６（なお、５２＾１６＞１００，０００）。
　３．「６文字以上半角英字記号」の場合、８４＾６（なお、８４＾６＞１００，０００）。
　４．「４桁半角数字」の場合、１０＾４（なお、１０＾４＜１００，０００）。
　したがって、上記４つの複数のパスワードポリシーのうち、（１）、（２）、（３）は要求強度２０３を満たす。また、上記４つの複数のパスワードポリシーのうち、（４）は要求強度２０３を満たさない。
　次に、ステップＳ３７０では、ポリシー抽出部１００は、抽出ポリシー２００の更新に用いるため、強度確認ポリシーを記憶する。
　図１３は、本実施の形態に係る抽出結果記憶部１０６に記憶される抽出ポリシー２００の例を示す。
　図１３では、図１２の複数のパスワードポリシーのうち、抽出結果記憶部１０６に、抽出ポリシー２００として、３つのパスワードポリシーが記憶されていることが示されている。より具体的には、抽出結果記憶部１０６に記憶されている３つのパスワードポリシーは、以下の３つである。
　１．「８文字以上半角英数字」
　２．「１６文字以上半角英字」
　３．「６文字以上半角英字記号」
＊＊＊実施の形態の効果の説明＊＊＊
　以上のように、本実施の形態によれば、パスワード認証装置は、大量に用意された複数のパスワードポリシーから、要求強度を満たすパスワードポリシーのみを抽出する。そして、パスワード認証装置は、認証情報登録時に抽出したパスワードポリシーを用いてパスワードを認定し、登録情報として登録する。つまり、パスワード認証装置は、秘密情報である変換パターンを用いない。したがって、パスワードポリシーに準拠し、且つユーザ自身のパスワードの生成方針に沿った安全なパスワード生成を可能とすることができる。
　さらに、パスワード認証装置の管理者は、予め大量に複数のパスワードポリシーを用意しておけば、抽出要件を変更するだけで認証情報登録時に登録が認められるパスワードの安全性の基準を調整することができる。つまり、パスワード認証装置の管理者が、認証情報登録時に登録が認められるパスワードの安全性の基準を調整する都度、複数のパスワードポリシーを用意する必要がなくなる。したがって、パスワード認証装置の管理者が認証情報登録時に登録が認められるパスワードの安全性の基準を調整するために複数のパスワードポリシーを用意しなければいけない手間を削減することが可能である。
　実施の形態３．
　実施の形態１では、入力パスワード２０１が、抽出結果記憶部１０６に記憶された抽出ポリシー２００のうち、どの抽出ポリシー２００に準拠するかを一つ一つ確認するという方法がとられていた。しかし、図９のように抽出ポリシー２００をユーザに提示した際に、提示した抽出ポリシー２００のうち、ユーザに抽出ポリシー２００を選択させることも可能である。
　本実施の形態では、認証情報取得部１０１が、端末装置２０に、端末装置２０のＧＵＩ画面に抽出ポリシー２００を表示させ、パスワードの入力と共に利用する抽出ポリシー２００の選択を求める例を説明する。
　本実施の形態について、図１４から図１８を用いて説明する。
　本実施の形態では、主に実施の形態１との差異を説明する。
　なお、以下で説明していない事項は、実施の形態１と同様である。
＊＊＊構成の説明＊＊＊
　本実施の形態に係るパスワード認証システムの構成及びパスワード認証装置１０のハードウェア構成は、実施の形態１及び実施の形態２と同一の構成であるため、説明を省略する。
　次に、図１４を用いて、本実施の形態に係るパスワード認証装置１０の機能構成例について説明する。
　図１４は、本実施の形態に係るパスワード認証装置１０の機能構成例を示す。
　なお、実施の形態１と同一構成部分には同一番号を付してその説明を省略する。
　本実施の形態に係るパスワード認証装置１０の機能構成は、実施の形態１と同一の構成である。ただし、認証情報取得部１０１、準拠性判定部１０２、及び準拠性判定部１０２の動作が異なる。
　本実施の形態に係る認証情報取得部１０１は、認証情報登録時に、ポリシー抽出部１００が抽出した１つ以上のパスワードポリシーである抽出ポリシー２００を認証情報の入力画面に表示する。より具体的には、認証情報取得部１０１は、端末装置２０に、端末装置２０のＧＵＩ画面に抽出ポリシー２００を表示させることで、抽出ポリシー２００を認証情報の入力画面に表示する。そして、認証情報取得部１０１は、表示された抽出ポリシー２００のうち、ユーザにより選択されたパスワードポリシーを、ユーザポリシー２０４として取得する。
　また、認証情報取得部１０１は、認証情報登録時に、登録情報記憶部１０８に記憶されたユーザポリシー２０４を認証情報の入力画面に表示する。より具体的には、認証情報取得部１０１は、端末装置２０に、端末装置２０のＧＵＩ画面にユーザポリシー２０４を表示させることで、ユーザポリシー２０４を認証情報の入力画面に表示する。
　本実施の形態に係る準拠性判定部１０２は、認証情報取得部１０１が取得した認証情報に含まれる入力パスワード２０１が、ユーザポリシー２０４に準拠しているか否かを判定する。
　本実施の形態に係る認証情報登録部１０３は、準拠性判定部１０２が認証情報に含まれる入力パスワード２０１はユーザポリシー２０４に準拠していると判定したときに、認証情報及びユーザポリシー２０４を登録情報として登録する。
＊＊＊動作の説明＊＊＊
　図１５を用いて、本実施の形態に係る認証情報登録の処理例について説明する。以下では、認証情報はパスワードのみであるとして詳細に説明する。
　図１５は、本実施の形態に係る認証情報登録の処理例を示す。
　なお、実施の形態１と同一の動作には同一番号を付してその説明を省略する。
　図１５の、ステップＳ１００がポリシー抽出部１００、ステップＳ４００が認証情報取得部１０１、ステップＳ４１０及びステップＳ４２０が準拠性判定部１０２、ステップＳ１８０及びステップＳ４３０が認証情報登録部１０３の処理に対応する。
　ステップＳ１００は、実施の形態１と同一の動作であるため、説明を省略する。
　ステップＳ１００の後、ステップＳ４００では、認証情報取得部１０１は、抽出結果記憶部１０６から抽出ポリシー２００を読み込む。そして、認証情報取得部１０１は、通信インタフェース１５を介して、端末装置２０に抽出ポリシー２００を送信する。そして、認証情報取得部１０１は、端末装置２０に、端末装置２０のＧＵＩ画面に抽出ポリシー２００を表示させる。そして、認証情報取得部１０１は、端末装置２０を用いて入力された入力パスワード２０１及び選択されたユーザポリシー２０４を取得し、認証情報記憶部１０７に記憶する。
　そして、認証情報取得部１０１は、処理が完了したことを準拠性判定部１０２に通知する。
　図１６は、端末装置２０を用いた認証情報登録時のユーザポリシー２０４の選択例である。図１６では、端末装置２０のＧＵＩ画面に抽出ポリシー２００が表示された登録フォームで、ユーザポリシー２０４の選択が求められている。また、図１６では、ユーザが「ポリシー３：６文字以上半角英字記号」を選択した状態を示している。この状態で「ＯＫ」を押すと、ネットワーク３０を通じてパスワード認証装置１０に「６文字以上半角英字記号」がユーザポリシー２０４として入力される。
　次に、ステップＳ４１０では、準拠性判定部１０２は、認証情報取得部１０１からの通知を待つ。
　そして、ポリシー抽出部１００及び認証情報取得部１０１から通知を受ければ、準拠性判定部１０２は、認証情報記憶部１０７から入力パスワード２０１及びユーザポリシー２０４を読み込む。
　そして、準拠性判定部１０２は、入力パスワード２０１がユーザポリシー２０４に準拠しているか否かを確認する。
　より具体的には、準拠性判定部１０２は、ユーザポリシー２０４に記述されたパスワードの認定要件を確認する。そして、準拠性判定部１０２は、入力パスワード２０１がユーザポリシー２０４に記述されたパスワードの認定要件を満たしているか否かを確認する。
　次に、ステップＳ４２０では、準拠性判定部１０２は、入力パスワード２０１がユーザポリシー２０４に準拠しているか否かを判定する。
　より具体的には、準拠性判定部１０２が、入力パスワード２０１がユーザポリシー２０４に記述されたパスワードの認定要件を満たしていることを確認すれば、「準拠している」と判定する。そして、入力パスワード２０１は正当なパスワードと認定される。
　また、準拠性判定部１０２が、入力パスワード２０１がユーザポリシー２０４に記述されたパスワードの認定要件を満たしていないことを確認すれば、「準拠していない」と判定する。そして、入力パスワード２０１は正当なパスワードと認定されない。
　準拠性判定部１０２が「準拠している」と判定した場合、準拠性判定部１０２は認証情報登録部１０３に処理の完了を通知する。そして処理はステップＳ１８０へ進む。
　一方、準拠性判定部１０２が「準拠していない」と判定した場合、処理はステップＳ４００に戻る。
　ステップＳ１８０は、実施の形態１と同一の動作であるため、説明を省略する。
　次に、ステップＳ４３０では、認証情報登録部１０３は、認証情報記憶部１０７に記憶されたユーザポリシー２０４を読み込み、登録情報記憶部１０８に登録情報として記憶する。そして、認証情報登録の処理が完了する。
　図１７を用いて、本実施の形態に係る認証の処理例について説明する。以下では、認証情報はパスワードのみであるとして詳細に説明する。
　図１７は、本実施の形態に係る認証情報登録の処理例を示す。
　なお、実施の形態１と同一の動作には同一番号を付してその説明を省略する。
　図１７の、ステップＳ５００及びステップＳ５１０は認証情報取得部１０１、ステップＳ２１０からステップＳ２３０は認証情報照合部１０４の処理に対応する。
　ステップＳ５００では、認証情報取得部１０１は、登録情報記憶部１０８からユーザポリシー２０４を読み込む。
　以下では、認証情報取得部１０１が、ユーザポリシー２０４として「６文字以上半角英字記号」を読み込んだものとして説明を行う。
　次に、ステップＳ５１０では、認証情報取得部１０１は、端末装置２０に、端末装置２０のＧＵＩ画面にユーザポリシー２０４表示させることで、ユーザポリシー２０４に準拠した入力パスワード２０１を取得する。
　より具体的には、認証情報取得部１０１は、通信インタフェース１５を介して、端末装置２０にユーザポリシー２０４を送信する。そして、認証情報取得部１０１は、端末装置２０に、端末装置２０のＧＵＩ画面にユーザポリシー２０４を表示させる。そして、認証情報取得部１０１は、端末装置２０を用いて入力された入力パスワード２０１を取得し、認証情報記憶部１０７に記憶する。
　そして、認証情報取得部１０１は、処理が完了したことを準拠性判定部１０２に通知する。
　図１８は、本実施の形態に係る、端末装置２０を用いた認証時の認証情報の入力例である。図１８では、端末装置２０のＧＵＩ画面に表示された認証フォームで、パスワード入力が求められている。また、端末装置２０のＧＵＩ画面に表示された認証フォームで、ユーザポリシー２０４である「６文字以上半角英字記号」が表示されている。また、図１８では、ユーザが「System!p@ssowrD」を入力した状態を示している。この状態で「ＯＫ」を押すと、ネットワーク３０を通じてパスワード認証装置１０に「System!p@ssowrD」が入力パスワード２０１として入力される。
　次に、ステップＳ５２０では、認証情報照合部１０４は、認証情報取得部１０１から処理完了の通知を待つ。
　そして、認証情報照合部１０４が認証情報取得部１０１から処理完了の通知を受けた場合、登録情報記憶部１０８から登録情報である登録パスワード２０２を読み込む。
　認証情報照合部１０４は、読み込んだ登録パスワード２０２と入力パスワード２０１とを確認する。
　ステップＳ２１０からステップＳ２３０は、実施の形態１と同一の動作であるため、説明を省略する。そして、認証情報登録の処理が完了する。
＊＊＊実施の形態の効果の説明＊＊＊
　以上のように、本実施の形態によれば、パスワード認証装置は、認証情報登録時に、複数のパスワードポリシーの中から、ユーザに使用したいパスワードポリシーを選択させる。そして、パスワード認証装置は、パスワードを含む認証情報と共にユーザが選択したパスワードポリシーを取得し、登録情報として登録する。つまり、パスワード認証装置は、秘密情報である変換パターンを用いない。したがって、パスワードポリシーに準拠し、且つユーザ自身のパスワードの生成方針に沿った安全なパスワード生成を可能とすることができる。
　さらに、ユーザは、認証時において、端末装置のＧＵＩに表示された、認証情報登録時に自身が選択したパスワードポリシーを確認しながらパスワードを入力することができる。したがって、ユーザの利便性が高めることができる。
　実施の形態４．
　実施の形態１から実施の形態３では、パスワード認証システム１で、パスワード認証装置１０が、認証情報登録及び認証を行う例を説明した。
　しかし、パスワード認証システム１に別のパスワード認証システムが存在し、認証情報登録及び認証を行う場合もある。そして、別のパスワード認証システムが認証情報登録及び認証に使用するパスワードポリシーを指定し、パスワードポリシーの変更又は追加等が出来ない場合もある。そして、そのような場合、実施の形態１から実施の形態３のように、ユーザ自身のパスワードの生成方針に沿ったパスワード生成を実現することが出来ない可能性がある。
　そこで、本実施の形態では、パスワード認証装置１０が、別のパスワード認証システムの認証情報登録及び認証時に、ユーザが入力する認証情報の仲介を行う例を説明する。
　本実施の形態について、図１９から図２４を用いて説明する。
　本実施の形態では、主に実施の形態２との差異を説明する。
　なお、以下で説明していない事項は、実施の形態２と同様である。
＊＊＊構成の説明＊＊＊
　本実施の形態に係るパスワード認証装置１０のハードウェア構成は、実施の形態１と同一の構成であるため、説明を省略する。
　図１９を用いて、本実施の形態に係るパスワード認証システム１の構成例について説明する。
　図１９は、本実施の形態に係るパスワード認証システム１の構成例を示す。
　パスワード認証システム１は、パスワード認証装置１０、端末装置２０、及びネットワーク３０に加え、新たに外部認証システム４０を備える。
　本実施の形態に係るパスワード認証装置１０は、端末装置２０を用いて入力された認証情報に含まれるパスワードを変換し、変換パスワード２０７を生成する。そして、パスワード認証装置１０は、認証情報登録時及び認証時に、変換パスワード２０７を含む認証情報を外部認証システム４０に入力する。
　外部認証システム４０は、パスワード認証装置１０の外部で、ユーザの認証を行う。より具体的には、外部認証システム４０は、パスワード認証装置１０の外部で、パスワード認証装置１０が生成した変換パスワード２０７を含む認証情報の登録を行う。また、外部認証システム４０は、パスワード認証装置１０の外部で、パスワード認証装置１０が生成した変換パスワード２０７を含む認証情報を用いて認証を行う。
　パスワード認証装置１０と端末装置２０とは、ネットワーク３０を介して接続される。また、パスワード認証装置１０と外部認証システム４０とは、ネットワーク３０を介して接続される。
　図２０を用いて、本実施の形態に係るパスワード認証装置１０の機能構成例について説明する。
　図２０は、本実施の形態に係るパスワード認証装置１０の機能構成例を示す。
　なお、実施の形態２及び実施の形態３と同一構成部分には同一番号を付してその説明を省略する。
　本実施の形態に係るパスワード認証装置１０は、新たにポリシー取得部１１０及び取得ポリシー記憶部１１２を備える。また、パスワード認証装置１０は、認証情報照合部１０４に代わり、認証情報仲介部１１１を備える。
　ポリシー取得部１１０は、パスワード認証装置１０の外部で認証を行う外部認証システム４０がユーザの認証に用いるパスワードポリシーを取得ポリシー２０５として取得し、取得ポリシー記憶部１１２に記憶する。そして、ポリシー取得部１１０は、取得ポリシー２０５により定まるパスワードの文字（英字、数字、及び記号）の組み合わせの総数を示す取得ポリシー２０５のパスワード総数を計算し、計算結果を要求強度２０３として抽出要件記憶部１０９に記憶する。以下では、取得ポリシー２０５により定まるパスワードの文字（英字、数字、及び記号）の組み合わせの総数を示す取得ポリシー２０５のパスワード総数を組み合わせ総数２０６と記す。
　認証情報仲介部１１１は、認証情報登録時に、登録情報記憶部１０８から登録情報を読み込み、登録情報に含まれる登録パスワード２０２を取得ポリシー２０５に準拠する変換パスワード２０７へと変換する。そして、認証情報仲介部１１１は、登録情報及び変換パスワード２０７を用いて、外部認証システム４０に、外部認証システム４０の認証に用いられる認証情報を入力する。
　また、認証情報仲介部１１１は、認証時に、認証情報記憶部１０７から認証情報を読み込み、認証情報に含まれる入力パスワード２０１を取得ポリシー２０５に準拠する変換パスワード２０７へと変換する。そして、認証情報仲介部１１１は、認証情報及び変換パスワード２０７を用いて、外部認証システム４０に、外部認証システム４０の認証に用いられる認証情報を入力する。
　また、本実施の形態に係る認証情報取得部１０１、準拠性判定部１０２、及び準拠性判定部１０２は、実施の形態３と同一の動作を行う。また、図２０の認証情報取得部１０１、準拠性判定部１０２、及び準拠性判定部１０２以外の構成部分は、実施の形態２と同一の動作を行う。
　取得ポリシー記憶部１１２は、ポリシー取得部１１０が取得した取得ポリシー２０５を記憶する。
　ポリシー取得部１１０及び認証情報仲介部１１１を実現するプログラムは補助記憶装置１３に記憶されている。
　補助記憶装置１３に記憶されたポリシー取得部１１０及び認証情報仲介部１１１を実現するプログラムは、メモリ１２によりロードされる。また当該プログラムはプロセッサ１１に読み出され、実行される。
　取得ポリシー記憶部１１２は、メモリ１２及び補助記憶装置１３により実現される。
＊＊＊動作の説明＊＊＊
　図２１を用いて、本実施の形態に係るポリシー取得部１１０の動作例について説明する。以下では、認証情報はパスワードのみであるとして詳細に説明する。
　図２１は、本実施の形態に係るポリシー取得部１１０の動作例を示す。
　本実施の形態に係るポリシー取得部１１０の動作は、認証情報登録の処理の前に行われる。
　ステップＳ６００では、ポリシー取得部１１０は、通信インタフェース１５を介して、外部認証システム４０からユーザの認証に用いるパスワードポリシーを取得ポリシー２０５として取得する。そして、ポリシー取得部１１０は、取得ポリシー２０５を取得ポリシー記憶部１１２に記憶する。
　次に、ステップＳ６１０では、ポリシー取得部１１０は、取得ポリシー２０５のパスワードポリシーの強度を計算し、計算結果を要求強度２０３として抽出要件記憶部１０９に記憶する。
　具体的には、ポリシー取得部１１０は、取得ポリシー２０５に記述されたパスワードに使用可能な文字（英字、数字、及び記号）の使用要件により定まるパスワードの文字（英字、数字、及び記号）の組み合わせの総数を示す組み合わせ総数２０６を計算する。
　そして、ポリシー取得部１１０は、組み合わせ総数２０６を要求強度２０３として抽出要件記憶部１０９に記憶する。そして、ポリシー取得部１１０の処理が完了する。
　図２２を用いて、本実施の形態に係る認証情報登録の処理例について説明する。以下では、認証情報はパスワードのみであるとして詳細に説明する。
　図２２は、本実施の形態に係る認証情報登録の処理例を示す。
　なお、実施の形態２及び実施の形態３と同一の動作には同一番号を付してその説明を省略する。
　図２２の、ステップＳ１００からステップＳ３７０及びステップＳ７００がポリシー抽出部１００、ステップＳ４００が認証情報取得部１０１、ステップＳ４１０及びステップＳ４２０が準拠性判定部１０２の処理に対応する。また、ステップＳ１８０及びステップＳ４３０が認証情報登録部１０３、ステップＳ７１０及びステップＳ７２０が認証情報仲介部１１１の処理に対応する。
　ステップＳ１００からステップＳ３２０は、実施の形態２と同一の動作であるため、説明を省略する。
　ステップＳ３２０の後、ステップＳ７００では、ポリシー抽出部１００が、全ての抽出ポリシー２００のうち、「未選択」のステータスである抽出ポリシー２００が存在することを確認すれば、処理はステップＳ３４０へ進む。
　一方、ポリシー抽出部１００が、全ての複数のパスワードポリシーのうち、「未選択」のステータスであるパスワードポリシーが存在しないことを確認すれば、ポリシー抽出部１００は、強度確認ポリシーを用いて、抽出結果記憶部１０６に記憶された抽出ポリシー２００を更新する。そして、ポリシー抽出部１００は、処理が完了したことを準拠性判定部１０２に通知する。そして、処理はステップＳ４００へ進む。
　ステップＳ３４０からステップＳ３７０は、実施の形態２と同一の動作であるため、説明を省略する。また、ステップＳ４００からステップＳ４３０は、実施の形態３と同一の動作であるため、説明を省略する。
　ステップＳ４３０の後、ステップＳ７１０では、認証情報仲介部１１１は、登録情報記憶部１０８より、登録情報である登録パスワード２０２を読み込む。また、認証情報仲介部１１１は、取得ポリシー記憶部１１２より、取得ポリシー２０５を読み込む。
　そして、認証情報仲介部１１１は、登録パスワード２０２を取得ポリシー２０５に準拠するように変換し、変換パスワード２０７を生成する。
　変換は、後述の、登録パスワード２０２を取得ポリシー２０５に準拠するように変換する変換アルゴリズム（変換パターンともいう）を用いて行われる。変換アルゴリズムは、変換の際に、パスワードの安全性を低下させないように構築されたものである。変換アルゴリズムは、公開情報であってもよい。
　次に、ステップＳ７２０では、認証情報仲介部１１１は、通信インタフェース１５を介して、変換パスワード２０７を用いて外部認証システム４０に、外部認証システム４０の認証に用いられる認証情報を入力する。そして、外部認証システム４０で、認証情報登録が行われる。そして、認証情報登録の処理が完了する。
　図２３を用いて、本実施の形態に係る変換パスワード２０７の生成例について説明する。以下では、認証情報はパスワードのみであるとして詳細に説明する。
　図２３は、本実施の形態に係る変換パスワード２０７の生成例を示す。
　以下では、具体例として、登録パスワード２０２が「p@ssword」であり、取得ポリシー２０５が「５文字以上半角小文字英字」である場合の、変換パスワード２０７の生成の動作を詳細に説明する。なお、本例の登録パスワード２０２及び取得ポリシー２０５は、変換パスワード２０７の生成の説明を明瞭に行うための単純な例であり、安全性が低いため、実際の運用では用いない方が好ましい。
　ステップＳ８００では、認証情報仲介部１１１は、変数Ｓを定義し、登録パスワード２０２「p@ssword」を格納する。
　次に、ステップＳ８１０では、認証情報仲介部１１１は、取得ポリシー２０５に記述されたパスワードに使用可能な文字（英字、数字、及び記号）の使用要件に基づき、使用可能な文字の種類の総数ｘを算出する。
　本例では、取得ポリシー２０５が「５文字以上半角小文字英字」であるため、総数ｘはｘ＝２６である。
　次に、ステップＳ８２０では、認証情報仲介部１１１は、取得ポリシー２０５に記述されたパスワードに使用可能な文字（英字、数字、及び記号）の使用要件に基づく使用可能な文字の各々に対してインデックス（０，１，２，…，ｘ－１）を割り当てる。
　本例では、取得ポリシー２０５が「５文字以上半角小文字英字」であり、使用可能な文字は、a～zである。そのため、認証情報仲介部１１１は、インデックスを、a＝０、b＝１、…、g＝６、h＝７、…、z＝２５と割り当てる。
　次に、ステップＳ８３０では、認証情報仲介部１１１は、変数Ｓをハッシュ化する。
　以下では、ハッシュ化した変数ＳをＴと記す。
　ハッシュ化は、暗号学的に安全であれば、任意のハッシュ関数を利用してよい。
　ハッシュ化の具体例としてＳＨＡ２５６を利用した場合、認証情報仲介部１１１は、変数Ｓ（＝p@ssword）をハッシュ化し、Ｔ（＝０ｆｄ２０５９６５ｃｅ１６９ｂ５ｃ０２３２８２ｂｂ５ｆａ２ｅ２３９ｂ６７１６７２６ｄｂ５ｄｅｆａａ８ｃｅｆｆ２２５ｂｅ８０５ｄｃ）へ変換する。
　次に、ステップＳ８４０では、認証情報仲介部１１１は、ステップＳ８３０でＴをｘ進数表現に変換する。
　本例では、ｘはｘ＝２６であるため、認証情報仲介部１１１は、Ｔを２６進数表現に変換する。
　以下では、２６進数表現に変換されたＴをＶと記す。
　ただし、認証情報仲介部１１１は、Ｔを一旦ｙ進数（ｙはｘ以下の数）表現に変換し、その後さらにｙ進数表現に変換したＴをｘ進数に変換してもよい。具体例としては、認証情報仲介部１１１は、Ｔを一旦１６進数表現に変換し、その後さらに２６進数表現に変換してもよい。
　本例のＴは、一旦１６進数表現へ変換され、その後更に２６進数表現に変換される。
　そして、本例のＶはＶ＝「７、６、２１、６、１６、６、２５、７、５、１３、１０、４、１５、１８、２、８、１２、１９、２４、１１、２０、１８、１０、２１、１９、５、２５、１４、２１、８、２０、１１、３、２１、５、１９、２３、７、２３、２３、８、５、１９、２２、５、８、１０、１、７、１８、６、２５、２１、６」である。なお、Ｖの数字と数字との間のカンマ「、」は、各桁の区切りを示す。具体例としては、Ｖの先頭から１桁目の値は「７」であり、先頭から２桁目の値は「６」であることを示す。
　次に、ステップＳ８５０では、認証情報仲介部１１１は、Ｖの各桁の値をインデックスとした文字へ変換し、Ｖを文字列Ｗへ変換する。
　本例のＶの先頭から１桁目の値は「７」である。そして、インデックス「７」が割り当てられた文字は「h」である。したがって、Ｖの先頭から１桁目は「h」に変換される。
　また、本例のＶの先頭から２桁目の値は「６」である。そして、インデックス「６」が割り当てられた文字は「g」である。したがって、Ｖの先頭から２桁目は「g」に変換される。
　このように、認証情報仲介部１１１は、Ｖの全ての桁の値を文字へ変換することで、Ｖを文字列Ｗへ変換する。
　そして、本例のＷは、Ｗ＝「hgvgqgzhfnkepscimtyluskvtfzoviuldvftxhxxiftwfikbhsgzvg」である。
　次に、ステップＳ８６０では、認証情報仲介部１１１は、Ｗが取得ポリシー２０５に記述されたパスワードに使用可能な文字（英字、数字、及び記号）の使用要件を満たしているか否かを確認する。
　次に、ステップＳ８７０では、認証情報仲介部１１１が、Ｗは取得ポリシー２０５に記述されたパスワードに使用可能な文字（英字、数字、及び記号）の使用要件を満たしていることを確認すれば、処理はステップＳ８８０へ進む。
　一方、認証情報仲介部１１１が、Ｗは取得ポリシー２０５に記述されたパスワードに使用可能な文字（英字、数字、及び記号）の使用要件を満たしていないことを確認すれば、処理はステップＳ８３０に戻る。そして、認証情報仲介部１１１は、Ｗとなった変数Ｓを用いて、再度ステップＳ８３０からステップＳ８６０の処理を行う。
　本例のＷは、Ｗ＝「hgvgqgzhfnkepscimtyluskvtfzoviuldvftxhxxiftwfikbhsgzvg」であり、これは取得ポリシー２０５の「５文字以上半角小文字英字」を満たすため、処理はステップＳ８８０へ進む。
　別の具体例を用いて、処理がステップＳ８３０に戻る例を詳細に説明する。
　取得ポリシー２０５が「８文字以上半角小文字英字及び半角数字（半角小文字英字と半角数字を少なくとも１文字以上含める）」であったとする。このような取得ポリシー２０５に記述されたパスワードに使用可能な文字（英字、数字、及び記号）の使用要件を満たすためには、少なくとも、１字の「半角小文字英字」と１字の「半角数字」とがＷに含まれていることが必須である。しかし、ステップＳ８５０で変換されたＷに、「半角小文字英字」又は「半角数字」のどちらかが１字も含まれていない場合が考えられる。このような場合には、ステップＳ８６０で、Ｗは取得ポリシー２０５に記述されたパスワードに使用可能な文字（英字、数字、及び記号）の使用要件を満たしていないことが確認される。そして、ステップＳ８７０で、処理がステップＳ８３０に戻る。そして、認証情報仲介部１１１は、Ｗとなった変数Ｓに２度目のハッシュ化を行う。そして、ステップＳ８４０及びステップＳ８５０を経て、Ｓは新たなＷへと変換される。そして、Ｗが取得ポリシー２０５に記述されたパスワードに使用可能な文字（英字、数字、及び記号）の使用要件を満たすまで、Ｓ８３０からＳ８６０の処理が繰り返される。
　次に、ステップＳ８８０では、認証情報仲介部１１１は、Ｗを変換パスワード２０７として記憶する。そして、変換パスワード２０７の生成の処理は完了する。
　図２４を用いて、本実施の形態に係るパスワード認証装置１０の認証の処理例について説明する。以下では、認証情報はパスワードのみであるとして詳細に説明する。
　図２４は、本実施の形態に係るパスワード認証装置１０の認証の処理例を示す。
　なお、実施の形態３と同一の動作には同一番号を付してその説明を省略する。
　図２４の、ステップＳ９００がポリシー取得部１１０、ステップＳ５１０及びステップＳ５２０が認証情報取得部１０１、ステップＳ９１０及びステップＳ９２０が認証情報仲介部１１１の処理に対応する。
　ステップＳ５００及びステップＳ５１０は、実施の形態３と同一の動作であるため、説明を省略する。
　ステップＳ５２０の後、ステップＳ９１０では、認証情報仲介部１１１は、認証情報記憶部１０７より、認証情報である入力パスワード２０１を読み込む。また、認証情報仲介部１１１は、取得ポリシー記憶部１１２より、取得ポリシー２０５を読み込む。
　そして、認証情報仲介部１１１は、入力パスワード２０１を取得ポリシー２０５に準拠するように変換し、変換パスワード２０７を生成する。
　変換は、図２３の変換パスワード２０７の生成で、登録パスワード２０２を入力パスワード２０１に置き換えた動作であるため、説明は省略する。
　次に、ステップＳ９２０では、認証情報仲介部１１１は、通信インタフェース１５を介して、変換パスワード２０７を用いて外部認証システム４０に、外部認証システム４０の認証に用いられる認証情報を入力する。そして、外部認証システム４０で、認証が行われる。そして、認証の処理が完了する。
＊＊＊実施の形態の効果の説明＊＊＊
　以上のように、本実施の形態によれば、パスワード認証装置は、認証情報登録時に、ユーザが入力した認証情報に含まれるパスワードを外部認証システムのパスワードポリシーに準拠するように変換する。そして、パスワード認証装置は、変換したパスワードを用いて、外部認証システムに認証情報を入力する。
　また、パスワード認証装置は、認証時に、ユーザが入力した認証情報に含まれるパスワードを外部認証システムのパスワードポリシーに準拠するように変換する。そして、パスワード認証装置は、変換したパスワードを用いて、外部認証システムに認証情報を入力する。
　よって、認証情報登録及び認証を行う外部認証システムが存在する場合にも、ユーザは外部認証システムのパスワードポリシーと同等以上の強度であるパスワードポリシーを選択し、ユーザ自身のパスワードの生成方針に沿ってパスワードを生成することが出来る。
　また、本実施の形態のパスワード認証装置によるパスワードの変換に用いる変換パターンを公開しても、ユーザが生成するパスワードは、外部認証システムのパスワードポリシーと同等以上の強度であるパスワードポリシーに準拠する安全なパスワードである。
　したがって、変換パターンを公開しても、パスワードポリシーに準拠し、且つユーザ自身のパスワードの生成方針に沿った安全なパスワード生成を可能とすることができる。
　以上、本開示の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。
　あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
　あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
　なお、本開示は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
＊＊＊ハードウェア構成の説明＊＊＊
　最後に、パスワード認証装置１０のハードウェア構成の補足説明を行う。
　図２に示すプロセッサ１１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）である。プロセッサ１１の具体例は、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）等である。
　図２に示すメモリ１２は、データを一時的に記憶する記憶装置である。メモリ１２の具体例は、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。
　図２に示す補助記憶装置１３は、データを記憶する記憶装置である。補助記憶装置１３の具体例は、ハードディスクである。
　また、補助記憶装置１３は、ＳＳＤ（登録商標、Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）、ＳＤ（登録商標、Ｓｅｃｕｒｅ　Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（登録商標、ＣｏｍｐａｃｔＦｌａｓｈ）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（登録商標、Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｋ）といった可搬記録媒体であってもよい。
　図２に示す入出力インタフェース１４は、情報の入出力処理を実行する電子回路である。入出力インタフェース１４の具体例は、キーボード又はマウス等の入力装置から入力された情報を受信し、モニタ等の出力装置に情報を送信する電子回路である。
　図２に示す通信インタフェース１５は、信号線を介して接続先との情報の通信処理を実行する電子回路である。通信インタフェース１５の具体例は、Ｅｔｈｅｒｎｅｔ（登録商標）用の通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　また、補助記憶装置１３には、ＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）も記憶されている。そして、ＯＳの少なくとも一部がプロセッサ１１により実行される。
　プロセッサ１１は、ＯＳの少なくとも一部を実行しながら、ポリシー抽出部１００、認証情報取得部１０１、準拠性判定部１０２、認証情報登録部１０３、認証情報照合部１０４、ポリシー取得部１１０、及び認証情報仲介部１１１の機能を実現するプログラムを実行する。
　プロセッサ１１がＯＳを実行することで、タスク管理、メモリ管理、ファイル管理、通信制御等が行われる。
　また、ポリシー抽出部１００、認証情報取得部１０１、準拠性判定部１０２、認証情報登録部１０３、認証情報照合部１０４、ポリシー取得部１１０、及び認証情報仲介部１１１の処理の結果を示す情報、データ、信号値及び変数値の少なくともいずれかが、プロセッサ１１、メモリ１２、補助記憶装置１３内のレジスタ及びキャッシュメモリの少なくともいずれかに記憶される。
　また、ポリシー抽出部１００、認証情報取得部１０１、準拠性判定部１０２、認証情報登録部１０３、認証情報照合部１０４、ポリシー取得部１１０、及び認証情報仲介部１１１の機能を実現するプログラムは、ハードディスク、ＳＳＤ（登録商標）、ＳＤ（登録商標）メモリカード、ＣＦ（登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ（登録商標）といった可搬記録媒体に格納されていてもよい。
　そして、ポリシー抽出部１００、認証情報取得部１０１、準拠性判定部１０２、認証情報登録部１０３、認証情報照合部１０４、ポリシー取得部１１０、及び認証情報仲介部１１１の機能を実現するプログラムを流通させてもよい。
　また、ポリシー抽出部１００、認証情報取得部１０１、準拠性判定部１０２、認証情報登録部１０３、認証情報照合部１０４、ポリシー取得部１１０、及び認証情報仲介部１１１の「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
　また、パスワード認証装置１０は、処理回路により実現されてもよい。処理回路は、例えば、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ　Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）である。
　なお、本明細書では、プロセッサと処理回路との上位概念を、「プロセッシングサーキットリー」という。
　つまり、プロセッサと処理回路とは、それぞれ「プロセッシングサーキットリー」の具体例である。
　１　パスワード認証システム、１０　パスワード認証装置、１１　プロセッサ、１２　メモリ、１３　補助記憶装置、１４　入出力インタフェース、１５　通信インタフェース、２０　端末装置、３０　ネットワーク、４０　外部認証システム、１００　ポリシー抽出部、１０１　認証情報取得部、１０２　準拠性判定部、１０３　認証情報登録部、１０４　認証情報照合部、１０５　ポリシー記憶部、１０６　抽出結果記憶部、１０７　認証情報記憶部、１０８　登録情報記憶部、１０９　抽出要件記憶部、１１０　ポリシー取得部、１１１　認証情報仲介部、１１２　取得ポリシー記憶部、２００　抽出ポリシー、２０１　入力パスワード、２０２　登録パスワード、２０３　要求強度、２０４　ユーザポリシー、２０５　取得ポリシー、２０６　組み合わせ総数、２０７　変換パスワード。

Claims (11)

  1. 　ユーザの認証に用いるパスワードの認定要件を記述した複数のパスワードポリシーであり、パスワードが前記複数のパスワードポリシーのうち少なくともいずれか１つのパスワードポリシーに準拠していれば前記パスワードを正当なパスワードとして認定可能な複数のパスワードポリシーを記憶するポリシー記憶部と、
    　前記ポリシー記憶部が記憶する前記複数のパスワードポリシーから１つ以上のパスワードポリシーを抽出するポリシー抽出部と、
    　パスワードを含む認証情報を取得する認証情報取得部と、
    　前記認証情報取得部が取得した前記認証情報に含まれるパスワードが、前記ポリシー抽出部が抽出した前記１つ以上のパスワードポリシーのうち、少なくともいずれか１つのパスワードポリシーに準拠しているか否かを判定する準拠性判定部と、
    　前記準拠性判定部が前記少なくともいずれか１つのパスワードポリシーに準拠していると判定したときに、前記認証情報を登録情報として登録する認証情報登録部とを備えるパスワード認証装置。
  2. 　前記ポリシー記憶部は、パスワードに使用可能な英字、数字、及び記号の３種のうち少なくとも１種の使用要件を記述したパスワードポリシーを記憶する請求項１に記載のパスワード認証装置。
  3. 　前記パスワード認証装置は、更に、
    　前記複数のパスワードポリシーからパスワードポリシーを抽出する抽出要件を記憶する抽出要件記憶部を備え、
    　前記ポリシー抽出部は、前記抽出要件記憶部が記憶する前記抽出要件に基づき、前記複数のパスワードポリシーから前記１つ以上のパスワードポリシーを抽出する請求項１又は請求項２に記載のパスワード認証装置。
  4. 　前記抽出要件記憶部は、
    　前記抽出要件として、前記１つ以上のパスワードポリシーの抽出に用いられる基準を示す要求強度を記憶し、
    　前記ポリシー抽出部は、前記複数のパスワードポリシーの各々のパスワードポリシーにより定まるパスワードの文字の組み合わせの総数を示すパスワード総数を計算し、前記各々のパスワードポリシーのパスワード総数と前記要求強度とを用いて、前記複数のパスワードポリシーから前記１つ以上のパスワードポリシーを抽出する請求項３に記載のパスワード認証装置。
  5. 　前記パスワード認証装置は、更に、
    　前記認証情報登録部が登録した前記登録情報を用いてユーザの認証を行う認証情報照合部を備える請求項１から請求項４のいずれか１つに記載のパスワード認証装置。
  6. 　前記パスワード認証装置は、更に、
    　ポリシー取得部と、認証情報仲介部とを備え、
    　前記ポリシー取得部は、前記パスワード認証装置の外部でユーザの認証を行う外部認証システムがユーザの認証に用いるパスワードポリシーを取得ポリシーとして取得し、前記取得ポリシーにより定まるパスワードの文字の組み合わせの総数を示す取得ポリシーのパスワード総数を計算し、前記取得ポリシーのパスワード総数を前記要求強度として前記抽出要件記憶部に記憶し、
    　前記認証情報仲介部は、前記登録情報に含まれるパスワードを前記取得ポリシーに準拠する変換パスワードへと変換する請求項４に記載のパスワード認証装置。
  7. 　前記認証情報仲介部は、
    　前記登録情報及び前記変換パスワードを用いて、前記外部認証システムに、前記外部認証システムの認証に用いられる認証情報を登録する請求項６に記載のパスワード認証装置。
  8. 　前記認証情報仲介部は、
    　前記登録情報及び前記変換パスワードを用いて、前記外部認証システムの認証を行う請求項６又は請求項７に記載のパスワード認証装置。
  9. 　前記認証情報取得部は、
    　前記ポリシー抽出部が抽出した前記１つ以上のパスワードポリシーを認証情報の入力画面に表示し、表示された前記１つ以上のパスワードポリシーのうち、選択されたパスワードポリシーを、ユーザポリシーとして取得し、
    　前記準拠性判定部は、
    　前記認証情報取得部が取得した前記認証情報に含まれるパスワードが、前記ユーザポリシーに準拠しているか否かを判定し、
    　認証情報登録部は、
    　前記準拠性判定部が前記認証情報に含まれるパスワードは前記ユーザポリシーに準拠していると判定したときに、前記認証情報及び前記ユーザポリシーを前記登録情報として登録する請求項１から請求項８のいずれか１つに記載のパスワード認証装置。
  10. 　ユーザの認証に用いるパスワードの認定要件を記述した複数のパスワードポリシーであり、パスワードが前記複数のパスワードポリシーのうち少なくともいずれか１つのパスワードポリシーに準拠していれば前記パスワードを正当なパスワードとして認定可能な複数のパスワードポリシーを記憶し、
    　前記複数のパスワードポリシーから１つ以上のパスワードポリシーを抽出し、
    　パスワードを含む認証情報を取得し、
    　前記認証情報に含まれるパスワードが、前記１つ以上のパスワードポリシーのうち、少なくともいずれか１つのパスワードポリシーに準拠しているか否かを判定し、
    　前記少なくともいずれか１つのパスワードポリシーに準拠していると判定したときに、前記認証情報を登録情報として登録するパスワード認証方法。
  11. 　ユーザの認証に用いるパスワードの認定要件を記述した複数のパスワードポリシーであり、パスワードが前記複数のパスワードポリシーのうち少なくともいずれか１つのパスワードポリシーに準拠していれば前記パスワードを正当なパスワードとして認定可能な複数のパスワードポリシーを記憶するポリシー記憶処理と、
    　前記ポリシー記憶処理により記憶された前記複数のパスワードポリシーから１つ以上のパスワードポリシーを抽出するポリシー抽出処理と、
    　パスワードを含む認証情報を取得する認証情報取得処理と、
    　前記認証情報取得処理により取得された前記認証情報に含まれるパスワードが、前記ポリシー抽出処理により抽出された前記１つ以上のパスワードポリシーのうち、少なくともいずれか１つのパスワードポリシーに準拠しているか否かを判定する準拠性判定処理と、
    　前記準拠性判定処理により前記少なくともいずれか１つのパスワードポリシーに準拠していると判定したときに、前記認証情報を登録情報として登録する認証情報登録処理とをコンピュータに実行させるパスワード認証プログラム。
PCT/JP2020/021763 2020-06-02 2020-06-02 パスワード認証装置、パスワード認証方法、及びパスワード認証プログラム WO2021245786A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
DE112020006985.0T DE112020006985B4 (de) 2020-06-02 2020-06-02 Passwortauthentifizierungsvorrichtung, passwortauthentifizierungsverfahren, und passwortauthentifizierungsprogramm
PCT/JP2020/021763 WO2021245786A1 (ja) 2020-06-02 2020-06-02 パスワード認証装置、パスワード認証方法、及びパスワード認証プログラム
CN202080101120.4A CN115698991A (zh) 2020-06-02 2020-06-02 密码认证装置、密码认证方法和密码认证程序
JP2022527172A JP7150220B2 (ja) 2020-06-02 2020-06-02 パスワード認証装置、パスワード認証方法、及びパスワード認証プログラム
US17/961,275 US20230025870A1 (en) 2020-06-02 2022-10-06 Password authentication apparatus, password authentication method, and computer readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/021763 WO2021245786A1 (ja) 2020-06-02 2020-06-02 パスワード認証装置、パスワード認証方法、及びパスワード認証プログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/961,275 Continuation US20230025870A1 (en) 2020-06-02 2022-10-06 Password authentication apparatus, password authentication method, and computer readable medium

Publications (1)

Publication Number Publication Date
WO2021245786A1 true WO2021245786A1 (ja) 2021-12-09

Family

ID=78830264

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/021763 WO2021245786A1 (ja) 2020-06-02 2020-06-02 パスワード認証装置、パスワード認証方法、及びパスワード認証プログラム

Country Status (5)

Country Link
US (1) US20230025870A1 (ja)
JP (1) JP7150220B2 (ja)
CN (1) CN115698991A (ja)
DE (1) DE112020006985B4 (ja)
WO (1) WO2021245786A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11941262B1 (en) * 2023-10-31 2024-03-26 Massood Kamalpour Systems and methods for digital data management including creation of storage location with storage access ID

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013041514A (ja) * 2011-08-19 2013-02-28 Mitsubishi Electric Corp アクセス制御システム、アクセス制御装置、アクセス制御方法
GB2525413A (en) * 2014-04-24 2015-10-28 Ibm Password management

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070245149A1 (en) 2006-04-17 2007-10-18 Ares International Corporation Method for obtaining meaningless password by inputting meaningful linguistic sentence
WO2013109330A2 (en) 2011-10-31 2013-07-25 The Florida State University Research Foundation, Inc. System and methods for analyzing and modifying passwords
JP6084081B2 (ja) 2013-03-15 2017-02-22 中国電力株式会社 パスワード生成装置
US20160321768A1 (en) 2015-05-01 2016-11-03 BrownGreer, PLC. Methods for managing legal documents and devices thereof
US20170201550A1 (en) 2016-01-10 2017-07-13 Apple Inc. Credential storage across multiple devices
GB2568485A (en) 2017-11-16 2019-05-22 Atec Security Products Ltd A password generating system
JP7180221B2 (ja) 2018-09-10 2022-11-30 富士フイルムビジネスイノベーション株式会社 情報処理装置、情報処理システムおよびプログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013041514A (ja) * 2011-08-19 2013-02-28 Mitsubishi Electric Corp アクセス制御システム、アクセス制御装置、アクセス制御方法
GB2525413A (en) * 2014-04-24 2015-10-28 Ibm Password management

Also Published As

Publication number Publication date
DE112020006985T5 (de) 2023-01-05
US20230025870A1 (en) 2023-01-26
CN115698991A (zh) 2023-02-03
JP7150220B2 (ja) 2022-10-07
DE112020006985B4 (de) 2024-05-23
JPWO2021245786A1 (ja) 2021-12-09

Similar Documents

Publication Publication Date Title
CN109150499B (zh) 动态加密数据的方法、装置、计算机设备和存储介质
US7694147B2 (en) Hashing method and system
US8839357B2 (en) Method, system, and computer-readable storage medium for authenticating a computing device
US10860991B2 (en) Management system, control method therefor, and non-transitory computer-readable medium
US20160112198A1 (en) System and method of secure text generation
US20200120081A1 (en) User authentication based on biometric passwords
JP7030476B2 (ja) 画像処理装置、画像処理装置の制御方法、プログラム、システム、およびシステムの制御方法
WO2021245786A1 (ja) パスワード認証装置、パスワード認証方法、及びパスワード認証プログラム
JP2009093342A (ja) 情報処理装置、認証方法、及びコンピュータプログラム
US9378358B2 (en) Password management system
JP2004072290A (ja) 証明書管理環境の管理方法、プログラム及び装置
US20170109508A1 (en) Information processing apparatus, information processing system, and authentication method
JP6156055B2 (ja) 画面生成装置、認証システムおよびプログラム
KR101742523B1 (ko) 패스워드 추천 방법 및 그 장치
JP5511449B2 (ja) 情報処理装置、情報処理装置の認証方法及びプログラム
JP2006039997A (ja) パスワード生成装置、パスワード生成方法、パスワード生成システム、ｉｃカード、認証装置、認証方法及び認証システム
JP7008595B2 (ja) サービス統合認証認可システムおよびサービス統合認証認可方法
JPWO2018011874A1 (ja) 無線中継装置
JP2011154445A (ja) 認証装置、認証方法、および認証プログラム
KR102407204B1 (ko) 보안이 개선된 암호압축 장치 및 방법
JP7021375B2 (ja) 計算機システム、秘密情報の検証方法、及び計算機
US11671426B2 (en) Information processing apparatus and non-transitory computer readable medium of performing setting for multi-step authentication
JP2008177966A (ja) 情報処理装置及び演算方法
JP4793751B2 (ja) パスワード認証装置、方法、プログラム及び携帯電話装置
EP4091312A1 (en) Fraud resistant passcode entry system

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20939464

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022527172

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 20939464

Country of ref document: EP

Kind code of ref document: A1