WO2023079625A1 - 認証システム、認証方法、及び、プログラム - Google Patents

認証システム、認証方法、及び、プログラム Download PDF

Info

Publication number
WO2023079625A1
WO2023079625A1 PCT/JP2021/040583 JP2021040583W WO2023079625A1 WO 2023079625 A1 WO2023079625 A1 WO 2023079625A1 JP 2021040583 W JP2021040583 W JP 2021040583W WO 2023079625 A1 WO2023079625 A1 WO 2023079625A1
Authority
WO
WIPO (PCT)
Prior art keywords
telephone
terminal
authentication
sms
telephone number
Prior art date
Application number
PCT/JP2021/040583
Other languages
English (en)
French (fr)
Inventor
昇 菱沼
聡史 窪田
Original Assignee
サステナブル・セキュリティー株式会社
エヌ・ティ・ティ・コムウェア株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by サステナブル・セキュリティー株式会社, エヌ・ティ・ティ・コムウェア株式会社 filed Critical サステナブル・セキュリティー株式会社
Priority to PCT/JP2021/040583 priority Critical patent/WO2023079625A1/ja
Publication of WO2023079625A1 publication Critical patent/WO2023079625A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication

Definitions

  • the present invention relates to an authentication system, an authentication method, and a program.
  • SMS Short Message Service
  • telephone contracts require identity verification, so if you have a phone number, you can be regarded as a user whose identity has been verified. Therefore, authentication using a telephone number, such as SMS authentication, is expected to be more effective in preventing fraudulent acts such as spoofing than authentication using a password or the like.
  • a data SIM that only allows data communication without a call function is not subject to the Mobile Phone Illegal Use Prevention Act, and a contract can be made without the need to send identity verification documents. Therefore, if a terminal with a built-in data SIM is used, there is a possibility that fraudulent acts such as spoofing or proxy authentication may be performed even with authentication using a telephone number.
  • the present invention has been made in view of the above circumstances, and aims to provide an authentication system etc. that can prevent fraudulent acts in authentication using telephone numbers.
  • the authentication system includes: a telephone number acquiring means for acquiring a telephone number of a terminal to be authenticated; telephone contract confirmation means for confirming whether or not there is a telephone contract by calling the telephone number obtained by the telephone number obtaining means; SMS transmission control means for controlling the terminal to transmit SMS (Short Message Service) notifying authentication information when the telephone contract confirmation means can confirm the telephone contract; SMS transmission authentication means for authenticating the terminal based on the SMS received after being controlled by the SMS transmission control means; Prepare.
  • SMS Short Message Service
  • FIG. 1 is a diagram showing a configuration example of an authentication system according to Embodiments 1 to 3 of the present invention
  • FIG. 1 is a block diagram showing a configuration example of a service providing device according to Embodiments 1 to 3 of the present invention
  • FIG. 3 is a diagram showing a configuration example of a customer DB according to Embodiments 1 to 3 of the present invention
  • FIG. 1 is a block diagram showing a configuration example of an authentication device according to Embodiments 1 to 3 of the present invention
  • FIG. 3 is a diagram showing a configuration example of a telephone number storage DB according to Embodiments 1 to 3 of the present invention
  • FIG. It is a figure which shows the structural example of authentication DB232 which concerns on Embodiment 1 of this invention.
  • FIG. 1 is a block diagram showing a configuration example of a terminal according to Embodiments 1 to 3 of the present invention
  • FIG. 1 is a functional configuration diagram of an authentication providing system according to Embodiment 1 of the present invention
  • FIG. 4 is a flowchart (part 1) showing an example of member registration processing according to the first embodiment of the present invention
  • 10 is a flowchart (part 2) showing an example of member registration processing according to the first embodiment of the present invention
  • 3 is a flowchart (part 3) showing an example of member registration processing according to the first embodiment of the present invention
  • It is a figure which shows the example of a telephone number input screen.
  • It is a figure which shows the structural example of authentication DB232 which concerns on Embodiment 2 of this invention.
  • FIG. 10 is a functional configuration diagram of an authentication providing system according to Embodiment 3 of the present invention
  • FIG. 10 is a flowchart (part 1) showing an example of member registration processing according to Embodiment 3 of the present invention
  • FIG. 13 is a flowchart (part 2) showing an example of member registration processing according to Embodiment 3 of the present invention
  • FIG. It is a figure which shows the example of an incoming number input screen.
  • FIG. 1 is a diagram showing the overall configuration of an authentication system 1 according to Embodiment 1 of the present invention.
  • the authentication system 1 includes a service providing device 10 and an authentication device 20 .
  • the service providing device 10 is connected to the terminal 30 via the Internet N1.
  • the authentication device 20 is connected to the terminal 30 via the telephone network N2 and is connected to the service providing device 10 via the Internet N1.
  • the service providing device 10 is a web server that provides various services to users via the Internet N1.
  • the "services" referred to here are, for example, services such as net banking, net shopping, online trading, and an electronic ticket system using the Internet N1.
  • a user downloads a dedicated application to the terminal 30 in order to use the service.
  • the user needs to execute the application downloaded to the terminal 30 and register the user ID, password, etc. in the customer DB 121, which will be described later.
  • the service providing device 10 may be composed of one computer, or may be composed of a plurality of computers.
  • the service providing device 10 includes a data communication unit 11, a storage unit 12, and a control unit 13, as shown in FIG.
  • the data communication unit 11 performs data communication with the terminal 30 and the authentication device 20 via the Internet N1.
  • the storage unit 12 is a hard disk drive or the like, and stores various data necessary for the service providing device 10 to operate.
  • storage unit 12 stores customer DB 121 .
  • the customer DB 121 stores information about users who can use the services provided by the service providing apparatus 10. Specifically, as shown in FIG. 3, the customer DB 121 stores a user ID, password, terminal telephone number, name, address, etc. for each user who can use the service.
  • the user ID stored in the customer DB 121 is information that uniquely identifies this user.
  • the password stored in the customer DB 121 is the password required when this user logs into the service. At least a user ID and a password must be registered in the customer DB 121 in order for the user to log in to the service.
  • the terminal phone number stored in the customer DB 121 is the phone number set for the terminal 30 owned by this user.
  • the customer DB 121 may be stored in an external server or the like accessible by the service providing apparatus 10 .
  • control unit 13 includes a CPU (Central Processing Unit), ROM (Read Only Memory), RAM (Random Access Memory), etc. (none of which are shown), and the CPU uses the RAM as a work memory. , and various programs stored in the ROM and the storage unit 12 to control the entire service providing apparatus 10 .
  • CPU Central Processing Unit
  • ROM Read Only Memory
  • RAM Random Access Memory
  • the authentication device 20 authenticates whether the terminal 30 accessing the service providing device 10 is valid.
  • the authentication device 20 may be composed of one computer, or may be composed of a plurality of computers.
  • the authentication device 20 includes a telephone communication section 21, a data communication section 22, a storage section 23, and a control section 24, as shown in FIG.
  • the data communication unit 22 communicates with the service providing device 10 via the Internet N1.
  • the storage unit 23 is, for example, a hard disk drive or the like, and stores various data necessary for the authentication device 20 to operate.
  • the storage unit 23 stores a telephone number storage DB 231 and an authentication DB 232 .
  • the telephone number storage DB 231 is a database that stores a plurality of telephone numbers set in the authentication device 20.
  • the authentication device 20 can make a phone call or send an SMS to the designated phone number, using one of the plurality of phone numbers stored in the phone number storage DB 231 as the caller phone number.
  • the authentication device 20 can receive a call or receive an SMS whose destination is one of the plurality of telephone numbers stored in the telephone number storage DB 231 .
  • the telephone number storage DB 231 stores a plurality of entries in which telephone numbers and contract dates are associated with each other. The date of contract indicates the date when this telephone number was contracted for telephone connection.
  • the administrator may delete from the telephone number storage DB 231 telephone numbers for which a certain period of time (for example, three years) has passed since the contract date.
  • the telephone number storage DB 231 is an example of telephone number storage means of the present invention.
  • the authentication DB 232 is a database that temporarily stores information for authentication referred to in the member registration process described later. Specifically, as shown in FIG. 6, the authentication DB 232 corresponds to a terminal phone number, a connection phone number, authentication information, and registration date/time information indicating the date and time when these information were registered in the authentication DB 232. attached and stored.
  • the terminal phone number stored in the authentication DB 232 is the phone number acquired from the terminal 30 that requested authentication from the service providing apparatus 10 .
  • the connection phone number stored in the authentication DB 232 is the phone number of the destination of the SMS sent from the terminal 30 .
  • the connection phone number is selected from among a plurality of phone numbers registered in the phone number storage DB 231 for mobile phones capable of sending and receiving SMS.
  • the authentication information stored in the authentication DB 232 is information notified by SMS sent from the terminal 30, and is, for example, a random number generated each time.
  • An entry stored in the authentication DB 232 is deleted when a predetermined time (for example, one minute) has passed since the entry was registered, or when the entry is referred to in member registration processing, which will be described later. be.
  • control unit 24 includes a CPU, ROM, RAM, etc. (none of which are shown). By executing it, the entire authentication device 20 is controlled.
  • the terminal 30 is, for example, a smart phone used by the user.
  • the terminal 30 is connected to the authentication device 20 via the telephone network N2 so as to be capable of telephone communication.
  • the terminal 30 is connected to the service providing apparatus 10 via the Internet N1 so as to be capable of data communication.
  • the terminal 30 includes a telephone communication unit 31, a data communication unit 32, an input unit 33, a display unit 34, a storage unit 35, and a control unit 36, as shown in FIG.
  • the telephone communication unit 31 performs telephone communication and SMS transmission/reception with the authentication device 20 via the telephone network N2.
  • the data communication unit 32 communicates with the service providing device 10 via the Internet N1.
  • the input unit 33 is a touch panel, various buttons, etc., and is used to input various information to the terminal 30. For example, the user operates the input unit 33 to input the telephone number of the terminal 30 when using the service for the first time.
  • the display unit 34 is, for example, a liquid crystal display or the like, and outputs various information under the control of the control unit 36.
  • the display unit 34 displays a telephone number input screen or the like for inputting the telephone number of the terminal 30 when using the service for the first time.
  • the storage unit 35 is, for example, a hard disk drive or flash memory, and stores various data and programs necessary for the terminal 30 to operate.
  • the storage unit 35 stores applications for using services provided by the service providing apparatus 10 .
  • the control unit 36 includes a CPU, a ROM, a RAM, etc. (none of which are shown).
  • the CPU uses the RAM as a work memory, and appropriately executes various programs stored in the ROM and the storage unit It controls the terminal 30 as a whole.
  • the service providing device 10 includes a telephone number obtaining unit 101, an SMS transmission control unit 102, and a service providing unit 103 as functional components.
  • the telephone number acquisition unit 101, the SMS transmission control unit 102, and the service provision unit 103 are realized by the cooperative operation of the data communication unit 11, the storage unit 12, and the control unit 13 of the service provision device 10.
  • the telephone number acquisition unit 101 acquires the telephone number of the terminal 30 from which the terminal 30 is to be authenticated. Then, the telephone number acquisition unit 101 transmits the acquired telephone number to the authentication device 20 to request authentication.
  • the telephone number acquisition unit 101 is an example of telephone number acquisition means of the present invention.
  • the telephone contract confirmation unit 201 makes a telephone call to the telephone number received from the telephone number acquisition unit 101 and confirms whether or not the callee has a telephone contract. Specifically, the telephone contract confirmation unit 201 confirms whether or not the called party has a telephone contract based on the status code included in the response signal to the outgoing call.
  • the "telephone contract” here means a contract concluded with a telephone carrier for voice communication by telephone.
  • Telephone contract confirmation unit 201 is an example of telephone contract confirmation means of the present invention.
  • SMS transmission control unit 102 transmits a control signal to the terminal 30 and controls the terminal 30 to transmit an SMS notifying the authentication information.
  • SMS transmission control section 102 is an example of SMS transmission control means of the present invention.
  • the SMS transmission authentication unit 202 authenticates the terminal 30 based on the SMS transmitted from the terminal 30 after being controlled by the SMS transmission control unit 102. Specifically, the SMS transmission authentication unit 202 confirms that the telephone number of the sender of the received SMS matches the telephone number of the terminal 30 acquired by the telephone number acquisition unit 101, and the information notified by this SMS Make sure it matches your credentials. SMS transmission authentication section 202 is an example of SMS transmission authentication means of the present invention.
  • the service providing unit 103 executes various processes (for example, member registration, login, etc.) for providing services to the terminal 30 when the SMS transmission authentication unit 202 has successfully authenticated the terminal 30 .
  • the user operates the input unit 33 of his/her own terminal 30 to access a specific site and download an application for using the service provided by the service providing apparatus 10 . Then, when the user operates the input unit 33 of the terminal 30 to start the downloaded application for the first time, the member registration process is executed.
  • the control unit 36 of the terminal 30 causes the display unit 34 to display the phone number input screen shown in FIG.
  • the user operates the input unit 33 to input the telephone number of the terminal 30 (hereinafter also referred to as the terminal telephone number) in the input field of the displayed telephone number input screen, and clicks the confirmation button.
  • the control unit 36 of the terminal 30 controls the data communication unit 32 to transmit a membership registration request including the input telephone number to the service providing apparatus 10 (FIG. 9, step S101). .
  • the control unit 13 of the service providing device 10 Upon receiving the membership registration request, the control unit 13 of the service providing device 10 confirms that the entry having the terminal telephone number included in the membership registration request is not registered in the customer DB 121 (step S102). If such an entry is registered, there is a possibility of double registration, so the process ends as an error.
  • control unit 13 transmits the terminal telephone number received from the terminal 30 to the authentication device 20, and requests confirmation of whether or not it is the telephone number under the telephone contract (step S103).
  • the control unit 24 of the authentication device 20 controls the telephone communication unit 21 to make a call to the terminal telephone number received from the service providing device 10 (step S104). Since the telephone communication unit 21 performs telephone communication based on SIP, the authentication device 20 receives a response signal (response) including a status code representing the state of the callee from the callee (step S105). Note that the control unit 24 immediately disconnects the telephone connection after receiving the response signal. Therefore, the other party does not answer the incoming call (off-hook) and is not charged for the call.
  • control unit 24 confirms whether or not the callee has a telephone contract based on the status code included in the received response signal (step S106). For example, the control unit 24 may determine that there is no telephone contract if the status code is "404" indicating that the callee cannot be found, and that there is a telephone contract if the other status code.
  • step S106 If the telephone contract could not be confirmed in step S106 (step S107; No), the control unit 24 notifies the service providing device 10 to that effect (step S108).
  • the control unit 13 of the service providing apparatus 10 notified that there is no telephone contract transmits an error message to the terminal 30 (step S109), and terminates the processing as an authentication error.
  • the display unit 34 of the terminal 30 displays the received error message (for example, "This is a telephone number with which no telephone contract has been established. Please re-authenticate with a different telephone number.") (step S110).
  • step S107 the control unit 24 of the authentication device 20 stores a plurality of telephone numbers for mobile phones capable of sending and receiving SMS stored in the telephone number storage DB 231.
  • One telephone number is selected at random from among (FIG. 10, step S111).
  • the phone number selected here is the phone number to which the SMS sent from the terminal 30 is to be sent.
  • the telephone number selected in step S111 is also referred to as a connection telephone number.
  • control unit 24 generates authentication information by generating random numbers (step S112). Then, the control unit 24 associates the terminal telephone number received from the service providing apparatus 10, the connection telephone number selected in step S111, and the authentication information generated in step S112, and registers them in the authentication DB 232 as one entry. (step S113). Then, the control unit 24 controls the data communication unit 22 to transmit the connection telephone number and the authentication information to the service providing device 10 (step S114).
  • the control unit 13 of the service providing device 10 Upon receiving the connection telephone number and the authentication information from the authentication device 20, the control unit 13 of the service providing device 10 transmits a control signal for controlling the terminal 30 to send an SMS notifying the authentication information to the connection telephone number. (Step S115).
  • the control unit 36 of the terminal 30 executes the following processing.
  • the control unit 36 generates an SMS that notifies the authentication information (step S116).
  • the control unit 36 transmits the generated SMS to the connection telephone number (step S117).
  • This SMS is sent to the authentication device 20 because the connection phone number is one of the plurality of phone numbers that can be connected to the authentication device 20 selected in step S111.
  • the processes of steps S116 and S117 are processes automatically performed by the control signal received from the service providing apparatus 10 without requiring the user of the terminal 30 to operate.
  • the control unit 24 of the authentication device 20 Upon receiving the SMS from the terminal 30, the control unit 24 of the authentication device 20 confirms that there is an entry corresponding to this SMS in the authentication DB 232 (step S118). Specifically, the control unit 24 converts the SMS transmission source phone number, destination phone number, and information notified by the short message into the terminal phone number, connection phone number, and authentication information, respectively. Verify that there is one matching entry in the Authentication DB 232 . As a result, the telephone number of the transmission source of the received SMS matches the telephone number received from the terminal 30, the telephone number of the transmission destination of this SMS matches the telephone number selected in step S111, and is notified by this SMS. It is verified that the information matches the authentication information generated in step S112. If the corresponding entry cannot be confirmed in step S118, the process ends as an error.
  • the control unit 24 refers to the registration date and time information of this entry, and a predetermined time (for example, 1 minute) has passed since this entry was registered in the authentication DB 232. It confirms that it has not been done (step S119). If the predetermined time has passed, it takes a long time to create and send the SMS on the terminal 30, and there is a possibility that some kind of fraudulent act is being carried out on the terminal 30 side, so processing is performed as an error. finish. Note that the process of step S119 does not necessarily have to be performed. After that, the entries confirmed in steps S118 and S119 are deleted from the authentication DB 232. FIG.
  • step S119 If the confirmation is successful in step S119, the control unit 24 authenticates the terminal 30 requesting membership registration as legitimate, and notifies the service providing device 10 of that fact (FIG. 11, step S120).
  • the control unit 13 of the service providing apparatus 10 that has received the notification transmits screen data of the member registration screen to the terminal 30 and instructs display of the member registration screen (step S121).
  • step S121 a member registration screen is displayed on the display unit 34 of the terminal 30 (step S122).
  • the screen data of the member registration screen may be stored in advance in the storage unit 35 of the terminal 30, and only the display of the member registration screen may be instructed in step S121.
  • the user of the terminal 30 operates the input unit 33 to enter information (eg, user ID, password) necessary for member registration on the member registration screen, and confirms the entered information.
  • the control unit 36 of the terminal 30 transmits the information input on the member registration screen to the service providing apparatus 10 (step S123).
  • the control unit 13 of the service providing device 10 registers the information received from the terminal 30 in the customer DB 121 (step S124). With this, the member registration processing ends. As a result, the user is registered as a member, and after that, by executing the application and logging in, it becomes possible to use the services provided by the service providing apparatus 10 .
  • the authentication system 1 when a telephone number is received from the terminal 30 to be authenticated, the presence or absence of a telephone contract is confirmed by calling the telephone number. Then, only when the telephone contract is concluded, authentication based on the SMS sent from the terminal 30 (SMS transmission authentication) is performed. On the other hand, if the telephone contract has not been concluded, the SMS origination authentication is not performed and an authentication error occurs. As a result, an authentication error will always occur with a terminal that has a built-in data SIM that can only be used for data communication and can be contracted anonymously. fraudulent behavior can be prevented.
  • the terminal 30 that has sent the phone number for authentication is controlled by the service providing apparatus 10 to send an SMS notifying the authentication information. That is, in this embodiment, when the terminal 30 attempts to be authenticated, the terminal 30 always sends an SMS notifying the authentication information. This makes it possible to more reliably prevent fraudulent acts such as sending SMS from a third party's terminal, which is different from the terminal 30 of the person to be authenticated, to carry out authentication on behalf of the person.
  • Embodiment 2 Next, Embodiment 2 will be described.
  • the first embodiment described above is characterized in that the terminal 30 transmits an SMS for authentication information notification to the authentication device 20 at the time of authentication.
  • the second embodiment is characterized in that the authentication device 20 transmits an SMS for notifying authentication information to the terminal 30 at the time of authentication.
  • An authentication system 2 according to the second embodiment includes a service providing device 10 and an authentication device 20, like the authentication system 1 according to the first embodiment.
  • the configurations of the service providing device 10 and the authentication device 20 of the second embodiment are as shown in FIGS. 2 and 4, and are substantially the same as the configurations of the service providing device 10 and the authentication device 20 of the first embodiment.
  • the configuration of the terminal 30 of the second embodiment is as shown in FIG. 7, and is substantially the same as the configuration of the terminal 30 of the first embodiment.
  • the authentication device 20 does not need to have the telephone number storage DB 231. In other words, the authentication device 20 only needs to have one phone number with which it is possible to make phone calls and SMS calls.
  • the configuration of the authentication DB 232 held in the authentication device 20 is different from that in the first embodiment. Specifically, in the authentication DB 232 of the second embodiment, as shown in FIG. 13, a terminal telephone number, authentication information, and registration date/time information indicating the date and time when these information were registered in the authentication DB 232 are associated. stored. The terminal phone number stored in the authentication DB 232 is the phone number acquired from the terminal 30 that requested authentication from the service providing apparatus 10 .
  • the authentication information stored in the authentication DB 232 is information notified by SMS sent to the terminal 30, and is, for example, a random number generated each time.
  • the entry stored in the authentication DB 232 is registered when a predetermined time (for example, one minute) has passed since the entry was registered, or when the entry is registered in the member registration process described later. Deleted if referenced.
  • the service providing device 10 has a telephone number acquiring unit 101 and a service providing unit 103 as functional configurations, as in the first embodiment. Further, the service providing apparatus 10 includes an authentication information receiving section 104 as a functional configuration not provided in the first embodiment.
  • the telephone number acquiring unit 101, the service providing unit 103, and the authentication information receiving unit 104 are implemented by the cooperative operation of the data communication unit 11, the storage unit 12, and the control unit 13 of the service providing device 10.
  • the authentication device 20 has a telephone contract confirmation unit 201 as a functional configuration, similar to the first embodiment. Further, the authentication device 20 includes an SMS transmission unit 203 and an incoming SMS authentication unit 204 as functional components not provided in the second embodiment.
  • the telephone contract confirmation unit 201, the SMS transmission unit 203, and the SMS reception authentication unit 204 are operated by the telephone communication unit 21, the data communication unit 22, the storage unit 23, and the control unit 24 of the authentication device 20 working together. Realized.
  • the telephone number acquisition unit 101 acquires the telephone number of the terminal 30 from the terminal 30 to be authenticated, and transmits it to the authentication device 20 to request authentication.
  • Telephone contract confirmation unit 201 makes a call to the telephone number received from telephone number acquisition unit 101 and confirms whether or not there is a telephone contract for the called party.
  • SMS transmission unit 203 transmits an SMS notifying authentication information to the telephone number acquired by the telephone number acquisition unit 101 .
  • SMS transmission section 203 is an example of the SMS transmission means of the present invention.
  • the authentication information receiving unit 104 receives authentication information from the terminal 30 and transmits it to the authentication device 20.
  • SMS incoming authentication unit 204 authenticates the terminal 30 based on the authentication information received from the authentication information receiving unit 104.
  • SMS incoming authentication section 204 is an example of SMS incoming authentication means of the present invention.
  • the service providing unit 103 executes various processes (for example, member registration, login, etc.) for providing services to the terminal 30 when the SMS incoming authentication unit 204 has successfully authenticated the terminal 30 .
  • steps S101 to S110 shown in FIG. 9 are performed as in the first embodiment. Since these steps S101 to S110 are substantially the same as the member registration process of the first embodiment, description thereof will be omitted.
  • the member registration processing after that (that is, after it is determined as Yes in step S107) will be described with reference to the flowchart of FIG.
  • step S106 When it is confirmed in step S106 that there is a telephone contract (step S107; Yes), the control unit 24 of the authentication device 20 generates authentication information by generating random numbers (step S201). Then, the control unit 24 associates the terminal telephone number received from the service providing apparatus 10 with the authentication information generated in step S201 and registers them in the authentication DB 232 as one entry (step S202).
  • control unit 24 controls the telephone communication unit 21 to send an SMS notifying the authentication information to the terminal telephone number (step S203).
  • the control unit 36 of the terminal 30 Upon receiving the SMS from the authentication device 20, the control unit 36 of the terminal 30 causes the display unit 34 to display an authentication information input screen as shown in FIG. 16 (step S204). At the top of this screen, authentication information notified by SMS received from the authentication device 20 is popped up. The user operates the input unit 33 to input the popup-displayed authentication information into the input field of the authentication information input screen, and clicks the confirmation button. In response to this operation, the control unit 36 of the terminal 30 transmits the input authentication information to the service providing apparatus 10 (step S205).
  • the control unit 13 of the service providing device 10 transmits the terminal phone number and the authentication information received from the terminal 30 to the authentication device 20 (step S206).
  • the control unit 24 of the authentication device 20 confirms that there is one entry in the authentication DB 232 that matches the terminal telephone number received from the service providing device 10 and the authentication information (step S207). This confirms that the terminal 30 that sent the SMS has returned the authentication information notified by the SMS, and that the telephone number of this terminal 30 matches the telephone number received together with the authentication request. If the corresponding entry cannot be confirmed in step S207, the process ends as an error.
  • the control unit 24 refers to the registration date and time information of this entry, and a predetermined time (for example, 1 minute) has passed since this entry was registered in the authentication DB 232. It confirms that it has not been done (step S208). If the predetermined time has passed, it means that it took a long time for the terminal 30 to send the authentication information notified by SMS, and there is a possibility that some kind of fraudulent act has been performed on the terminal 30 side. Therefore, the process ends as an error. Note that the process of step S208 does not necessarily have to be performed. After that, the entries confirmed in steps S207 and S208 are deleted from the authentication DB 232 .
  • a predetermined time for example, 1 minute
  • SMS is used for authentication.
  • the third embodiment is characterized in that authentication is performed by using an incoming call number display function when a call is received without using SMS.
  • the authentication system 3 according to the third embodiment includes a service providing device 10 and an authentication device 20, like the authentication system 1 according to the first embodiment.
  • the configurations of the service providing device 10 and the authentication device 20 of the third embodiment are as shown in FIGS. 2 and 4, and are substantially the same as the configurations of the service providing device 10 and the authentication device 20 of the first embodiment.
  • the configuration of the terminal 30 of the third embodiment is as shown in FIG. 7, and is substantially the same as the configuration of the terminal 30 of the first embodiment.
  • the configuration of the authentication DB 232 held in the authentication device 20 is different from that in the first embodiment.
  • the authentication DB 232 of the third embodiment corresponds to a terminal phone number, a calling phone number, and registration date/time information indicating the date/time when these information were registered in the authentication DB 232. attached and stored.
  • the terminal phone number stored in the authentication DB 232 is the phone number acquired from the terminal 30 that requested authentication from the service providing apparatus 10 .
  • the caller telephone number stored in the authentication DB 232 is the caller's telephone number for making a call from the authentication device 20 to the terminal telephone number.
  • the calling telephone number is selected from among a plurality of telephone numbers registered in the telephone number storage DB 231 .
  • the entry stored in the authentication DB 232 is registered when a predetermined time (for example, one minute) has passed since the entry was registered, or when the entry is registered as a member, which will be described later. Deleted when referenced in processing.
  • the service providing device 10 has a telephone number obtaining unit 101 and a service providing unit 103 as functional configurations, as in the first and second embodiments. Further, the service providing apparatus 10 includes a call incoming telephone number acquisition unit 105 as a functional configuration not provided in the first and second embodiments.
  • the telephone number acquiring unit 101, the service providing unit 103, and the incoming telephone number acquiring unit 105 are realized by the cooperative operation of the data communication unit 11, the storage unit 12, and the control unit 13 of the service providing device 10. .
  • the authentication device 20 includes a forwarding setting confirmation unit 205 and a telephone authentication unit 206 as functional components.
  • the transfer setting confirmation unit 205 and the telephone authentication unit 206 are realized by the operation of the telephone communication unit 21, the data communication unit 22, the storage unit 23, and the control unit 24 of the authentication device 20 in cooperation.
  • the telephone number acquisition unit 101 acquires the telephone number of the terminal 30 that is to be authenticated, and transmits it to the authentication device 20 to request authentication.
  • the forwarding setting confirmation unit 205 makes a call to the telephone number acquired by the telephone number acquisition unit 101, and confirms whether or not call forwarding is set at the destination.
  • the setting of call forwarding means that when an incoming call is received, the incoming call is forwarded to the telephone number of another terminal registered in advance.
  • Transfer setting confirmation unit 205 is an example of transfer setting confirmation means of the present invention.
  • the incoming telephone number acquisition unit 105 acquires from the terminal 30 a number based on the incoming telephone number of the terminal 30, and authenticates the authentication device 20.
  • Send to The incoming telephone number obtaining section 105 is an example of the incoming telephone number obtaining means of the present invention.
  • the telephone authentication unit 206 authenticates the terminal 30 based on the number received from the incoming telephone number acquisition unit 105.
  • Telephone authentication unit 206 is an example of telephone authentication means of the present invention.
  • the service providing unit 103 executes various processes (for example, member registration, login, etc.) for providing services to the terminal 30 when the telephone authentication unit 206 has successfully authenticated the terminal 30 .
  • steps S101 to S103 are executed in the same way as in the first and second embodiments, and the terminal telephone number is transmitted to the authentication device 20 (FIG. 19, steps S101 to S103).
  • the control unit 24 of the authentication device 20 randomly selects one telephone number from among the multiple telephone numbers for fixed telephones stored in the telephone number storage DB 231 (step S301).
  • the telephone number selected in step S301 is also referred to as the originating telephone number.
  • control unit 24 associates the terminal phone number with the calling phone number selected in step S301 and registers them as one entry in the authentication DB 232 (step S302).
  • the control unit 24 controls the telephone communication unit 21 to make a call to the terminal telephone number using the calling telephone number (step S303). Since the telephone communication unit 21 makes a call based on SIP, the authentication device 20 receives a response signal (response) including a status code representing the state of the callee from the callee (step S304). Note that the control unit 24 immediately disconnects the telephone connection after receiving the response signal. Therefore, although the terminal 30 responds (off-hooks) to the incoming call and the telephone charge is not charged, the display unit 34 of the terminal 30 displays the outgoing telephone number as the incoming telephone number.
  • response signal response signal
  • the control unit 24 immediately disconnects the telephone connection after receiving the response signal. Therefore, although the terminal 30 responds (off-hooks) to the incoming call and the telephone charge is not charged, the display unit 34 of the terminal 30 displays the outgoing telephone number as the incoming telephone number.
  • the control unit 24 confirms whether or not call forwarding is set at the call destination (step S305). For example, the control unit 24 may determine that the transfer is set when the status code is "181" indicating that the transfer is in progress, and that the transfer is not set when the status code is other than that.
  • step S305 If it is confirmed in step S305 that forwarding has been set (step S306; Yes), the control unit 24 notifies the service providing apparatus 10 to that effect (step S307).
  • the control unit 13 of the service providing apparatus 10 notified of the forwarding setting transmits an error message to the terminal 30 (step S308), and the process ends as an authentication error.
  • the display unit 34 of the terminal 30 displays the received error message (for example, "This is a phone number set for forwarding. Please re-authenticate with a different phone number.”) (step S309).
  • step S305 if it can be confirmed in step S305 that the transfer is not set (step S306; No), the control unit 24 notifies the service providing apparatus 10 to that effect (FIG. 20, step S310).
  • the controller 13 of the service providing apparatus 10 notified that the transfer is not set transmits the screen data of the incoming call number input screen to the terminal 30 (step S311). If the screen data of the incoming call number input screen is stored in advance in the storage unit 35 of the terminal 30 when the application is downloaded, the control unit 13 may instead instruct the terminal 30 to display the incoming call number input screen. .
  • the control unit 36 of the terminal 30 causes the display unit 34 to display the called number input screen shown in FIG. 21 based on the screen data received from the service providing device 10 (step S312).
  • a pop-up display of the called phone number resulting from the call made in step S303 is displayed.
  • the user operates the input unit 33 according to the instructions on the screen, inputs the last four digits of the pop-up incoming call number into the entry field of the incoming call number input screen, and clicks the confirmation button.
  • the control unit 36 of the terminal 30 transmits the input number (input number) to the service providing apparatus 10 (step S313).
  • the service providing device 10 transmits the received input number to the authentication device 20 (step S314).
  • the control unit 24 of the authentication device 20 confirms that the calling telephone number corresponding to the received input number is registered in the authentication DB 232 (step S315). Specifically, the control unit 24 may confirm that there is a calling telephone number stored in the authentication DB 232 that has the same lower four digits as the received input number. As a result, it is confirmed that part of the incoming telephone number has been returned from the terminal 30 that made the call. If the corresponding entry cannot be confirmed in step S315, the process ends as an error.
  • the control unit 24 refers to the registration date and time information of the entry including this calling telephone number, and authenticates this calling telephone number. It is confirmed that a predetermined time (for example, 1 minute) has not passed after being registered in the DB 232 (step S316). If the predetermined time has passed, it means that it takes some time for the terminal 30 to transmit a part of the called number after the call is received, and the terminal 30 has committed some fraudulent act. Terminate the process as an error. Note that the process of step S316 does not necessarily have to be performed. After that, the entry containing the calling telephone number confirmed in steps S315 and S316 is deleted from the authentication DB 232. FIG.
  • step S316 After confirming in step S316, steps S120 to S124 shown in FIG. With this, the member registration processing ends.
  • the present embodiment when performing authentication (incoming call authentication) using the incoming phone number, it is confirmed whether the call forwarding setting is set for the outgoing phone number. Then, in the case of a phone number set for forwarding, an authentication error occurs.
  • an unauthorized person registers his/her own terminal as a member, he or she enters the phone number of the other person's terminal that is set to forward incoming calls to his/her own terminal, and the authentication device 20 transfers the call to the other person's terminal.
  • the authentication device 20 transfers the call to the other person's terminal.
  • the user is required to enter the last four digits of the incoming telephone number displayed on the terminal 30 and transmit it to the service providing apparatus 10, and the corresponding outgoing telephone number is stored in the authentication DB 232. It was confirmed.
  • the number to be input by the user is not limited to this, and another number based on the incoming telephone number may be input by the user and transmitted to the service providing apparatus 10 .
  • the user may enter the entire incoming telephone number displayed on the terminal 30, or may enter the sum of the last four digits of the incoming telephone number.
  • the service providing apparatus 10 After confirming that the received ID and password are correct by referring to the customer DB 121, the service providing apparatus 10 obtains the user's terminal telephone number from the customer DB 121 and transmits it to the authentication apparatus 20 for authentication. ask for Thereafter, the steps after step S104 in FIG. 9 are executed to authenticate the terminal 30 in the same manner as in the member registration process described above.
  • the service providing device 10 and the authentication device 20 are configured by separate devices. 3 may be configured.
  • the service providing device 10 and the authentication device 20 may be realized by a dedicated system, or may be realized by a normal computer system. For example, by storing and distributing a program for executing the above operation in a computer-readable recording medium, installing the program in a computer, and executing the above process, the service providing apparatus 10 and the authentication apparatus 20, or one device that integrates the functions of both devices.
  • the above program may be stored in a disk device provided in the service providing device 10 on a network such as the Internet, the authentication device 20, or a device that integrates the functions of both devices, so that it can be downloaded to a computer. good.
  • the above-described functions may be realized by cooperation between an OS (Operating System) and application software. In this case, the parts other than the OS may be stored in a medium and distributed, or the parts other than the OS may be stored in a server device so that they can be downloaded to a computer.
  • OS Operating System
  • 1, 2, 3 authentication system, 10 service providing device 20 authentication device, 30 terminal, N1 internet, N2 telephone network, 11, 22, 32 data communication unit, 31, 21 telephone communication unit, 12, 23, 35 storage unit , 13, 24, 36 storage unit, 33 input unit, 34 display unit, 35 storage unit, 121 customer DB, 231 telephone number storage DB, 232 authentication DB, 101 telephone number acquisition unit, 102 SMS transmission control unit, 103 service provision 104 authentication information reception unit 105 incoming phone number acquisition unit 201 telephone contract confirmation unit 202 SMS transmission authentication unit 203 SMS transmission unit 204 SMS reception authentication unit 205 forwarding setting confirmation unit 206 telephone authentication unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Telephonic Communication Services (AREA)

Abstract

電話番号取得部（１０１）は、認証を受けようとする端末（３０）から、この端末（３０）の電話番号を取得する。電話契約確認部（２０１）は、電話番号取得部（１０１）から受信した電話番号に電話発信して、電話発信先の電話契約の有無を確認する。ＳＭＳ送信制御部（１０２）は、電話契約確認部（２０１）によって電話契約の確認ができた場合に、認証情報を通知するＳＭＳを送信するよう端末（３０）を制御する。ＳＭＳ発信認証部（２０２）は、ＳＭＳ送信制御部（１０２）による制御後に端末（３０）から発信されたＳＭＳに基づいて端末（３０）を認証する。

Description

認証システム、認証方法、及び、プログラム
　本発明は、認証システム、認証方法、及び、プログラムに関する。
　ユーザがスマートフォン等の端末を介して、オンラインでネットバンキング、ネットショッピング、オンライントレード等のサービスを利用することが広く行われている。このようなサービスを利用するために、ユーザは認証を受ける必要がある。
　近年では、スマートフォンなどに設定されている固有の情報である電話番号を利用した認証として、スマートフォンに認証情報を通知するショートメッセージ（以下、ＳＭＳ（Short Message Service））を送信するＳＭＳ認証等が行われている（例えば、特許文献１）。電話契約には原則本人確認が必要なため、電話番号を保有しているなら本人確認済のユーザであるとみなすことができる。そのため、ＳＭＳ認証のような電話番号を利用した認証では、パスワードによる認証等と比べて、なりすまし等の不正行為を防ぐ効果が期待できる。
特開２０１３－１４５５３３号公報
　通話機能のないデータ通信のみが可能なデータＳＩＭは、携帯電話不正利用防止法の対象外であり、本人確認書類の送付を必要とせずに契約が可能である。そのため、データＳＩＭを内蔵した端末を用いれば、電話番号を利用した認証でもなりすましや認証代行等の不正行為がなされてしまう可能性がある。
　本発明は上記実情に鑑みてなされたものであり、電話番号を利用した認証での不正行為を防ぐことができる認証システム等を提供することを目的とする。
　上記目的を達成するため、本発明に係る認証システムは、
　認証を受ける端末の電話番号を取得する電話番号取得手段と、
　前記電話番号取得手段が取得した電話番号に電話発信して電話契約の有無を確認する電話契約確認手段と、
　前記電話契約確認手段によって電話契約の確認ができた場合に、認証情報を通知するＳＭＳ（Short Message Service）を送信するよう前記端末を制御するＳＭＳ送信制御手段と、
　前記ＳＭＳ送信制御手段による制御後に受信したＳＭＳに基づいて、前記端末を認証するＳＭＳ発信認証手段と、
　を備える。
　本発明によれば、電話番号を利用した認証での不正行為を防ぐことが可能となる。
本発明の実施形態１～３に係る認証システムの構成例を示す図である。 本発明の実施形態１～３に係るサービス提供装置の構成例を示すブロック図である。 本発明の実施形態１～３に係る顧客ＤＢの構成例を示す図である。 本発明の実施形態１～３に係る認証装置の構成例を示すブロック図である。 本発明の実施形態１～３に係る電話番号記憶ＤＢの構成例を示す図である。 本発明の実施形態１に係る認証ＤＢ２３２の構成例を示す図である。 本発明の実施形態１～３に係る端末の構成例を示すブロック図である。 本発明の実施形態１に係る認証提供システムの機能構成図である。 本発明の実施形態１に係る会員登録処理の一例を示すフローチャート（その１）である。 本発明の実施形態１に係る会員登録処理の一例を示すフローチャート（その２）である。 本発明の実施形態１に係る会員登録処理の一例を示すフローチャート（その３）である。 電話番号入力画面の例を示す図である。 本発明の実施形態２に係る認証ＤＢ２３２の構成例を示す図である。 本発明の実施形態２に係る認証提供システムの機能構成図である。 本発明の実施形態２に係る会員登録処理の一例を示すフローチャートである。 認証情報入力画面の例を示す図である。 本発明の実施形態３に係る認証ＤＢ２３２の構成例を示す図である。 本発明の実施形態３に係る認証提供システムの機能構成図である。 本発明の実施形態３に係る会員登録処理の一例を示すフローチャート（その１）である。 本発明の実施形態３に係る会員登録処理の一例を示すフローチャート（その２）である。 着信番号入力画面の例を示す図である。
　以下、本発明の各実施形態について図面を参照しながら詳細に説明する。なお、図中、同一または同等の部分には同一の符号を付す。
（実施形態１）
　図１は、本発明の実施形態１に係る認証システム１の全体構成を示す図である。認証システム１は、サービス提供装置１０と、認証装置２０と、を備える。サービス提供装置１０は、インターネットＮ１を介して、端末３０に接続される。認証装置２０は、電話網Ｎ２を介して端末３０に接続されるとともに、インターネットＮ１を介してサービス提供装置１０に接続される。
　サービス提供装置１０は、インターネットＮ１を介してユーザに各種のサービスを提供するＷｅｂサーバである。ここでいう「サービス」とは、例えば、インターネットＮ１を利用したネットバンキング、ネットショッピング、オンライントレード、電子チケットシステム等のサービスである。サービスを利用するために、ユーザは、端末３０に専用のアプリをダウンロードする。初めてサービスを利用するときにユーザは、端末３０にダウンロードしたアプリを実行し、ユーザＩＤ、パスワード等を後述する顧客ＤＢ１２１に登録する必要がある。サービス提供装置１０は、１台のコンピュータから構成されていてもよいし、複数台のコンピュータから構成されていてもよい。
　続いて、サービス提供装置１０の構成について説明する。サービス提供装置１０は、図２に示すように、データ通信部１１と、記憶部１２と、制御部１３と、を備える。
　データ通信部１１は、制御部１３の制御の下、インターネットＮ１を介して、端末３０や認証装置２０とデータ通信を行う。
　記憶部１２は、ハードディスクドライブなどであり、サービス提供装置１０が動作するために必要な各種のデータを記憶する。例えば、記憶部１２は、顧客ＤＢ１２１を記憶している。
　顧客ＤＢ１２１には、このサービス提供装置１０が提供するサービスを利用可能なユーザに関する情報が記憶される。具体的には、図３に示すように、顧客ＤＢ１２１には、サービスを利用可能なユーザ毎に、ユーザＩＤ、パスワード、端末電話番号、氏名、住所等が記憶される。顧客ＤＢ１２１に記憶されているユーザＩＤは、このユーザを一意に識別する情報である。顧客ＤＢ１２１に記憶されているパスワードは、このユーザがサービスにログインするときに必要なパスワードである。ユーザがサービスにログインするためには、少なくともユーザＩＤとパスワードとが顧客ＤＢ１２１に登録されている必要がある。顧客ＤＢ１２１に記憶されている端末電話番号は、このユーザが所有している端末３０に設定されている電話番号である。顧客ＤＢ１２１は、サービス提供装置１０がアクセス可能な外部のサーバ等に記憶されていてもよい。
　図２に戻り、制御部１３は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等（何れも図示せず）を備え、ＣＰＵが、ＲＡＭをワークメモリとして用い、ＲＯＭや記憶部１２に記憶されている各種プログラムを適宜実行することにより、サービス提供装置１０全体を制御する。
　図１に戻り、続いて、認証装置２０について説明する。認証装置２０は、サービス提供装置１０にアクセスがあった端末３０が正当であるかどうかを認証する。認証装置２０は、１台のコンピュータから構成されていてもよいし、複数台のコンピュータから構成されていてもよい。
　続いて、認証装置２０の構成について説明する。認証装置２０は、図４に示すように、電話通信部２１と、データ通信部２２と、記憶部２３と、制御部２４と、を備える。
　電話通信部２１は、制御部２４の制御の下、電話網Ｎ２を介して、端末３０とＳＭＳの送受信や、ＳＩＰ（Session Initiation Protocol）の規格に基づいた電話通信を行う。なお、電話通信部２１が端末３０と電話通信する際には、図示せぬＳＩＰサーバを経由して音声信号が送受信される。
　データ通信部２２は、制御部２４の制御の下、インターネットＮ１を介して、サービス提供装置１０と通信する。
　記憶部２３は、例えば、ハードディスクドライブなどであり、認証装置２０が動作するために必要な各種のデータを記憶する。例えば、記憶部２３は、電話番号記憶ＤＢ２３１と認証ＤＢ２３２とを記憶する。
　電話番号記憶ＤＢ２３１は、認証装置２０に設定されている複数の電話番号を記憶するデータベースである。認証装置２０は、電話番号記憶ＤＢ２３１に記憶されている複数の電話番号のうちの一つを発信電話番号として、指定した電話番号宛に電話発信やＳＭＳを送信することができる。また、認証装置２０は、電話番号記憶ＤＢ２３１に記憶されている複数の電話番号のうちの一つを発信先とした電話を着信したり、ＳＭＳを受信したりすることができる。具体的には、図５に示すように、電話番号記憶ＤＢ２３１には、電話番号と契約年月日とが対応付けられたエントリが複数記憶されている。契約年月日は、この電話番号が電話接続用に契約された日を示す。なお、認証装置２０でＳＭＳを送受信する場合は、電話番号記憶ＤＢ２３１に記憶されているなかから携帯電話用の電話番号（例えば、「０９０」で始まる電話番号）を用いる必要がある。管理者は、契約日から一定期間（例えば、３年間）が経過した電話番号を電話番号記憶ＤＢ２３１から削除してもよい。電話番号記憶ＤＢ２３１は、本発明の電話番号記憶手段の一例である。
　認証ＤＢ２３２は、後述する会員登録処理で参照される認証用の情報を一時的に記憶するデータベースである。具体的には、図６に示すように、認証ＤＢ２３２には、端末電話番号と、接続電話番号と、認証情報と、これらの情報を認証ＤＢ２３２に登録した日時を示す登録日時情報と、が対応付けられて記憶される。認証ＤＢ２３２に記憶されている端末電話番号は、サービス提供装置１０に認証を要求した端末３０から取得した電話番号である。認証ＤＢ２３２に記憶されている接続電話番号は、端末３０から送信させるＳＭＳの送信先の電話番号である。接続電話番号は、電話番号記憶ＤＢ２３１に登録されているＳＭＳ送受信可能な携帯電話用の複数の電話番号のなかから選択される。認証ＤＢ２３２に記憶されている認証情報は、端末３０から送信させるＳＭＳで通知する情報であり、例えば、都度生成される乱数等である。認証ＤＢ２３２に記憶されているエントリは、当該エントリが登録されてから予め定めた時間（例えば、１分間）が経過した場合、若しくは、当該エントリが後述する会員登録処理で参照された場合に削除される。
　図４に戻り、制御部２４は、ＣＰＵ、ＲＯＭ、ＲＡＭ等（何れも図示せず）を備え、ＣＰＵが、ＲＡＭをワークメモリとして用い、ＲＯＭや記憶部２３に記憶されている各種プログラムを適宜実行することにより、認証装置２０の全体を制御する。
　図１に戻り、端末３０について説明する。端末３０は、例えば、ユーザが使用するスマートフォンである。端末３０は、電話網Ｎ２を介して、認証装置２０と電話通信可能に接続される。また、端末３０は、インターネットＮ１を介して、サービス提供装置１０とデータ通信可能に接続される。端末３０は、図７に示すように、電話通信部３１と、データ通信部３２と、入力部３３と、表示部３４と、記憶部３５と、制御部３６と、を備える。
　電話通信部３１は、制御部３６の制御の下、電話網Ｎ２を介して、認証装置２０と電話通信したりＳＭＳを送受信したりする。データ通信部３２は、制御部３６の制御の下、インターネットＮ１を介して、サービス提供装置１０と通信する。
　入力部３３は、タッチパネルや各種のボタン等であり、端末３０に様々な情報を入力するために使用される。例えば、ユーザは、初めてサービスを利用するときに入力部３３を操作して、端末３０の電話番号を入力する。
　表示部３４は、例えば液晶ディスプレイ等であり、制御部３６の制御の下、様々な情報を出力する。例えば、表示部３４は、初めてサービスを利用するときに端末３０の電話番号を入力させるための電話番号入画面等を表示する。
　記憶部３５は、例えば、ハードディスクドライブやフラッシュメモリであり、端末３０が動作するために必要な各種のデータやプログラムを記憶する。例えば、記憶部３５は、サービス提供装置１０が提供するサービスを利用するためのアプリを記憶する。
　制御部３６は、ＣＰＵ、ＲＯＭ、ＲＡＭ等（何れも図示せず）を備え、ＣＰＵが、ＲＡＭをワークメモリとして用い、ＲＯＭや記憶部３５に記憶されている各種プログラムを適宜実行することにより、端末３０の全体を制御する。
　続いて、本発明の実施形態１に係る認証システム１の機能的な構成について、図８を参照して説明する。サービス提供装置１０は、機能的な構成として、電話番号取得部１０１と、ＳＭＳ送信制御部１０２と、サービス提供部１０３と、を備える。電話番号取得部１０１とＳＭＳ送信制御部１０２とサービス提供部１０３は、サービス提供装置１０のデータ通信部１１、記憶部１２、及び、制御部１３が協働して動作することによって実現される。
　認証装置２０は、機能的な構成として、電話契約確認部２０１と、ＳＭＳ発信認証部２０２と、を備える。電話契約確認部２０１とＳＭＳ発信認証部２０２は、認証装置２０の電話通信部２１、データ通信部２２、記憶部２３、及び、制御部２４が協働して動作することによって実現される。
　電話番号取得部１０１は、認証を受けようとする端末３０から、この端末３０の電話番号を取得する。そして電話番号取得部１０１は、取得した電話番号を認証装置２０に送信して認証を依頼する。電話番号取得部１０１は、本発明の電話番号取得手段の一例である。
　電話契約確認部２０１は、電話番号取得部１０１から受信した電話番号に電話発信して、電話発信先の電話契約の有無を確認する。具体的には、電話契約確認部２０１は、電話発信に対する応答信号に含まれるステータスコードに基づいて、電話発信先の電話契約の有無を確認する。なお、ここでの「電話契約」とは、電話で音声通話するために電話通信事業者と結ぶ契約を意味する。電話契約確認部２０１は、本発明の電話契約確認手段の一例である。
　ＳＭＳ送信制御部１０２は、電話契約確認部２０１によって電話契約の確認ができた場合に、端末３０に制御信号を送信して、認証情報を通知するＳＭＳを送信するよう端末３０を制御する。ＳＭＳ送信制御部１０２は、本発明のＳＭＳ送信制御手段の一例である。
　ＳＭＳ発信認証部２０２は、ＳＭＳ送信制御部１０２による制御後に端末３０から発信されたＳＭＳに基づいて端末３０を認証する。具体的には、ＳＭＳ発信認証部２０２は、受信したＳＭＳの送信元の電話番号が、電話番号取得部１０１が取得した端末３０の電話番号と一致し、且つ、このＳＭＳで通知された情報が認証情報と一致することを確認する。ＳＭＳ発信認証部２０２は、本発明のＳＭＳ発信認証手段の一例である。
　サービス提供部１０３は、ＳＭＳ発信認証部２０２が端末３０を認証できた場合に、端末３０に対してサービスを提供するための各種の処理（例えば、会員登録、ログイン等）を実行する。
　続いて、認証システム１において、ユーザがサービス提供装置１０の提供するサービスを初めて利用する際に、サービスを利用可能な会員として、このユーザのＩＤ、パスワード等を登録する会員登録処理の動作について、図９～１１のフローチャートを用いて説明する。
　ユーザは、自分の端末３０の入力部３３を操作して、特定のサイトにアクセスしてサービス提供装置１０が提供するサービスを利用するためのアプリをダウンロードする。そして、ユーザが端末３０の入力部３３を操作して、ダウンロードしたアプリを初めて起動した場合に会員登録処理が実行される。
　まず、端末３０の制御部３６は、図１２に示す電話番号入力画面を表示部３４に表示させる。ユーザは、入力部３３を操作して、表示された電話番号入力画面の入力欄に端末３０の電話番号（以下、端末電話番号とも表記）を入力し、確認ボタンをクリックする。当該操作に応答して、端末３０の制御部３６は、データ通信部３２を制御して、入力された電話番号を含んだ会員登録要求をサービス提供装置１０に送信する（図９、ステップＳ１０１）。
　サービス提供装置１０の制御部１３は、会員登録要求を受信すると、この会員登録要求に含まれる端末電話番号を有するエントリが顧客ＤＢ１２１に登録されていないことを確認する（ステップＳ１０２）。このようなエントリが登録されている場合、２重登録の可能性があるため、エラーとして処理は終了する。
　続いて、制御部１３は、端末３０から受信した端末電話番号を認証装置２０に送信して、電話契約されている電話番号であるどうかの確認を依頼する（ステップＳ１０３）。
　依頼を受けた認証装置２０の制御部２４は、電話通信部２１を制御してサービス提供装置１０から受信した端末電話番号宛に電話発信する（ステップＳ１０４）。電話通信部２１はＳＩＰに基づいて電話通信するため、認証装置２０は、電話発信先から電話発信先の状態を表すステータスコードを含んだ応答信号（レスポンス）を受信する（ステップＳ１０５）。なお、制御部２４は、応答信号の受信後、即時に電話接続を切断する。そのため、相手先が着信に応答（オフフック）して電話料金が課されることはない。
　続いて、制御部２４は、受信した応答信号に含まれるステータスコードに基づいて、電話発信先の電話契約の有無を確認する（ステップＳ１０６）。例えば、制御部２４は、ステータスコードが電話発信先が見つからないことを示す「４０４」で有る場合は電話契約無し、それ以外のステータスコードの場合は電話契約有りと判別すればよい。
　ステップＳ１０６で電話契約が確認できなかった場合（ステップＳ１０７；Ｎｏ）、制御部２４は、その旨をサービス提供装置１０に通知する（ステップＳ１０８）。電話契約が無いことを通知されたサービス提供装置１０の制御部１３は、エラーメッセージを端末３０に送信し（ステップＳ１０９）、認証エラーとして処理は終了する。端末３０の表示部３４には、受信したエラーメッセージ（例えば、「電話契約がなされていない電話番号です。別の電話番号で認証をやり直してください。」）が表示される（ステップＳ１１０）。
　一方、ステップＳ１０６で電話契約有りが確認できた場合（ステップＳ１０７；Ｙｅｓ）、認証装置２０の制御部２４は、電話番号記憶ＤＢ２３１に記憶されているＳＭＳ送受信可能な携帯電話用の複数の電話番号のなかからランダムに一の電話番号を選択する（図１０、ステップＳ１１１）。ここで選択された電話番号は、端末３０から送信させるＳＭＳの送信先の電話番号となる。以下、本実施形態において、ステップＳ１１１で選択した電話番号を接続電話番号とも表記する。
　続いて、制御部２４は、乱数を発生させるなどして認証情報を生成する（ステップＳ１１２）。そして、制御部２４は、サービス提供装置１０から受信した端末電話番号と、ステップＳ１１１で選択した接続電話番号と、ステップＳ１１２で生成した認証情報と、を対応付けて１つのエントリとして認証ＤＢ２３２に登録する（ステップＳ１１３）。そして、制御部２４は、データ通信部２２を制御して、接続電話番号と認証情報とをサービス提供装置１０に送信する（ステップＳ１１４）。
　認証装置２０から接続電話番号と認証情報とを受信すると、サービス提供装置１０の制御部１３は、認証情報を通知するＳＭＳを接続電話番号宛に送信するよう端末３０を制御する制御信号を送信する（ステップＳ１１５）。
　サービス提供装置１０から受信した制御信号による制御に基づいて、端末３０の制御部３６は、以下の処理を実行する。まず、制御部３６は、認証情報を通知するＳＭＳを生成する（ステップＳ１１６）。そして、制御部３６は、生成したＳＭＳを接続電話番号宛に送信する（ステップＳ１１７）。接続電話番号は、ステップＳ１１１で選択した認証装置２０に接続可能な複数の電話番号のうちの１つであるため、このＳＭＳは認証装置２０に送信される。ステップＳ１１６、Ｓ１１７の処理は、端末３０のユーザからの操作を必要とせずに、サービス提供装置１０から受信した制御信号によって、自動的に行われる処理である。
　認証装置２０の制御部２４は、端末３０からＳＭＳを受信すると、このＳＭＳに対応するエントリが認証ＤＢ２３２にあることを確認する（ステップＳ１１８）。具体的には、制御部２４は、このＳＭＳの送信元の電話番号、送信先の電話番号、及びこのショートメッセージで通知された情報が、それぞれ、端末電話番号、接続電話番号、及び認証情報と一致する１つのエントリが認証ＤＢ２３２にあることを確認する。これにより、受信したＳＭＳの送信元の電話番号が端末３０から受信した電話番号と一致し、このＳＭＳの送信先の電話番号がステップＳ１１１で選択した電話番号と一致し、このＳＭＳで通知された情報がステップＳ１１２で生成した認証情報と一致することが確認される。ステップＳ１１８で対応するエントリが確認できなかった場合はエラーとして処理は終了する。
　認証ＤＢ２３２に対応するエントリを確認できた場合、制御部２４は、このエントリの登録日時情報を参照して、このエントリが認証ＤＢ２３２に登録されてから予め定めた時間（例えば、１分）が経過していないことを確認する（ステップＳ１１９）。予め定めた時間が経過している場合、端末３０でＳＭＳの作成、送信に時間がかかっており、端末３０側で何らかの不正行為が行われている等の可能性があるため、エラーとして処理を終了する。なお、ステップＳ１１９の処理は必ずしも行う必要はない。その後、ステップＳ１１８、Ｓ１１９で確認されたエントリは認証ＤＢ２３２から削除される。
　ステップＳ１１９で確認ができた場合、制御部２４は、会員登録要求があった端末３０を正当であると認証し、その旨をサービス提供装置１０に通知する（図１１、ステップＳ１２０）。当該通知を受けたサービス提供装置１０の制御部１３は、会員登録画面の画面データを端末３０に送信して会員登録画面の表示を指示する（ステップＳ１２１）。これにより、端末３０の表示部３４には、会員登録画面が表示される（ステップＳ１２２）。なお、予め端末３０の記憶部３５に会員登録画面の画面データを記憶させておき、ステップＳ１２１では会員登録画面の表示の指示のみを行ってもよい。
　端末３０のユーザは、入力部３３を操作して、会員登録画面に会員登録に必要な情報（例えば、ユーザＩＤ、パスワード）を入力して、入力した情報を確定する操作を行う。この操作に応答して、端末３０の制御部３６は、会員登録画面に入力された情報をサービス提供装置１０に送信する（ステップＳ１２３）。
　サービス提供装置１０の制御部１３は、端末３０から受信した情報を顧客ＤＢ１２１に登録する（ステップＳ１２４）。以上で会員登録処理は終了する。これにより、このユーザは会員登録され、以後、アプリを実行してログインすることで、サービス提供装置１０が提供するサービスを利用することが可能となる。
　以上説明したように、本実施形態に係る認証システム１によれば、認証を受ける端末３０から電話番号を受信した際に、この電話番号宛に電話発信して電話契約の有無が確認される。そして、電話契約がされている場合のみ、その端末３０から発信させたＳＭＳに基づいた認証（ＳＭＳ発信認証）が行われる。一方、電話契約がなされていない場合、ＳＭＳ発信認証は行われずに認証エラーとなる。これにより、データ通信のみが可能な匿名で契約可能なデータＳＩＭを内蔵した端末では必ず認証エラーとなるため、このような本人確認が不十分な端末を用いて他人になりすましたり認証を代行したりする不正行為を防ぐことができる。
　また、本実施形態に係る認証システム１によれば、認証を受けるために電話番号を送信した端末３０は、サービス提供装置１０によって、認証情報を通知するＳＭＳを送信するよう制御される。即ち、本実施形態では、端末３０が認証を受けようとすると、必ずその端末３０から認証情報を通知するＳＭＳが送信される。これにより、認証を受ける本人の端末３０とは異なる第３者の端末からＳＭＳを送信して認証を代行する不正行為等をより確実に防ぐことが可能となる。
（実施形態２）
　続いて、実施形態２について説明する。上述した実施形態１では、認証の際に端末３０から認証装置２０に認証情報通知用のＳＭＳを発信させることを特徴した。これに対し実施形態２では、認証の際に認証装置２０が端末３０に認証情報通知用のＳＭＳを送信することを特徴とする。
　実施形態２に係る認証システム２の構成を図１に示す。実施形態２に係る認証システム２は、実施形態１に係る認証システム１と同様に、サービス提供装置１０と認証装置２０とを備える。実施形態２のサービス提供装置１０と認証装置２０の構成は、図２、図４に示すとおりであり、実施形態１のサービス提供装置１０、認証装置２０の構成と実質的に同一である。また、実施形態２の端末３０の構成は、図７に示すとおりであり、実施形態１の端末３０の構成と実質的に同一である。
　但し、実施形態２では、認証装置２０は、電話番号記憶ＤＢ２３１を備える必要はない。即ち、認証装置２０は、電話発信やＳＭＳ発信可能な電話番号を１つ有していればよい。また、実施形態２では、認証装置２０に保持される認証ＤＢ２３２の構成が実施形態１と異なる。具体的には、実施形態２の認証ＤＢ２３２には、図１３に示すように、端末電話番号と、認証情報と、これらの情報を認証ＤＢ２３２に登録した日時を示す登録日時情報と、が対応付けられて記憶される。認証ＤＢ２３２に記憶されている端末電話番号は、サービス提供装置１０に認証を要求した端末３０から取得した電話番号である。認証ＤＢ２３２に記憶されている認証情報は、端末３０に送信するＳＭＳで通知する情報であり、例えば、都度生成される乱数等である。実施形態１と同様に、認証ＤＢ２３２に記憶されているエントリは、当該エントリが登録されてから予め定めた時間（例えば、１分間）が経過した場合、若しくは、当該エントリが後述する会員登録処理で参照された場合に削除される。
　続いて、本発明の実施形態２に係る認証システム２の機能的な構成について、図１４を参照して説明する。サービス提供装置１０は、機能的な構成として、実施形態１と同様に電話番号取得部１０１とサービス提供部１０３とを有する。さらにサービス提供装置１０は、実施形態１には無い機能的な構成として、認証情報受信部１０４を備える。電話番号取得部１０１とサービス提供部１０３と認証情報受信部１０４は、サービス提供装置１０のデータ通信部１１、記憶部１２、及び、制御部１３が協働して動作することによって実現される。
　認証装置２０は、機能的な構成として、実施形態１と同様に電話契約確認部２０１を備える。さらに認証装置２０は、実施形態２には無い機能的な構成として、ＳＭＳ送信部２０３と、ＳＭＳ着信認証部２０４とを備える。電話契約確認部２０１とＳＭＳ送信部２０３とＳＭＳ着信認証部２０４は、認証装置２０の電話通信部２１、データ通信部２２、記憶部２３、及び、制御部２４が協働して動作することによって実現される。
　電話番号取得部１０１は、認証を受けようとする端末３０からこの端末３０の電話番号を取得し、認証装置２０に送信して認証を依頼する。電話契約確認部２０１は、電話番号取得部１０１から受信した電話番号に電話発信して、電話発信先の電話契約の有無を確認する。
　ＳＭＳ送信部２０３は、電話契約確認部２０１によって電話契約の確認ができた場合に、認証情報を通知するＳＭＳを電話番号取得部１０１が取得した電話番号宛に送信する。ＳＭＳ送信部２０３は、本発明のＳＭＳ送信手段の一例である。
　認証情報受信部１０４は、端末３０から認証情報を受信し、認証装置２０に送信する。
　ＳＭＳ着信認証部２０４は、認証情報受信部１０４から受信した認証情報に基づいて、端末３０を認証する。ＳＭＳ着信認証部２０４は、本発明のＳＭＳ着信認証手段の一例である。
　サービス提供部１０３は、ＳＭＳ着信認証部２０４が端末３０を認証できた場合に、端末３０に対してサービスを提供するための各種の処理（例えば、会員登録、ログイン等）を実行する。
　続いて、認証システム２における会員登録処理の動作について説明する。なお、実施形態１の会員登録処理と共通するステップについては適宜説明を省略、若しくは簡略化する。
　会員登録処理が開始されると、実施形態１と同様に、図９に示すステップＳ１０1～Ｓ１１０の処理が行われる。これらのステップＳ１０１～Ｓ１１０については実施形態１の会員登録処理と実質的に同じ処理であるため説明を省略する。以下、それ以降（即ち、ステップＳ１０７でＹｅｓと判別されて以降）の会員登録処理について図１５のフローチャートを用いて説明する。
　ステップＳ１０６で電話契約有りが確認できた場合（ステップＳ１０７；Ｙｅｓ）、認証装置２０の制御部２４は、乱数を発生させるなどして認証情報を生成する（ステップＳ２０１）。そして、制御部２４は、サービス提供装置１０から受信した端末電話番号と、ステップＳ２０１で生成した認証情報と、を対応付けて１つのエントリとして認証ＤＢ２３２に登録する（ステップＳ２０２）。
　続いて、制御部２４は、電話通信部２１を制御して、認証情報を通知するＳＭＳを端末電話番号宛に送信する（ステップＳ２０３）。
　認証装置２０からＳＭＳを受信すると、端末３０の制御部３６は、表示部３４に図１６に示すような認証情報入力画面を表示させる（ステップＳ２０４）。この画面の上部には、認証装置２０から受信したＳＭＳで通知された認証情報がポップアップ表示されている。ユーザは、入力部３３を操作して、ポップアップ表示されている認証情報を認証情報入力画面の入力欄に入力して確認ボタンをクリックする。この操作に応答して、端末３０の制御部３６は、入力された認証情報をサービス提供装置１０に送信する（ステップＳ２０５）。
　サービス提供装置１０の制御部１３は、端末電話番号と、端末３０から受信した認証情報とを認証装置２０に送信する（ステップＳ２０６）。
　認証装置２０の制御部２４は、サービス提供装置１０から受信した端末電話番号と認証情報とが一致する１つのエントリが認証ＤＢ２３２にあることを確認する（ステップＳ２０７）。これにより、ＳＭＳを送信した端末３０から、当該ＳＭＳで通知した認証情報が返信されたこと、及び、この端末３０の電話番号が認証要求とともに受信した電話番号と一致することが確認される。ステップＳ２０７で対応するエントリが確認できなかった場合はエラーとして処理は終了する。
　認証ＤＢ２３２に対応するエントリを確認できた場合、制御部２４は、このエントリの登録日時情報を参照して、このエントリが認証ＤＢ２３２に登録されてから予め定めた時間（例えば、１分）が経過していないことを確認する（ステップＳ２０８）。予め定めた時間が経過している場合、ＳＭＳで通知した認証情報を端末３０が送信するまでに時間がかかっていることになり、端末３０側で何らかの不正行為が行われている可能性があるため、エラーとして処理を終了する。なお、ステップＳ２０８の処理は必ずしも行う必要はない。その後、ステップＳ２０７、Ｓ２０８で確認されたエントリは認証ＤＢ２３２から削除される。
　ステップＳ２０８の確認ができて以降は、実施形態１と同様に、図１１に示すステップＳ１２０～Ｓ１２４が実行されてユーザはサービス提供装置１０が提供するサービスの会員として登録される。以上で会員登録処理は終了する。
　このように、端末３０に認証情報を通知するＳＭＳを送信して認証（ＳＭＳ着信認証）を行う形式でも、ＳＭＳの送信前に、端末３０から受信した電話番号の電話契約の有無が確認され、電話契約がなされていない場合は認証エラーとなる。これにより、データＳＩＭを内蔵した本人確認が不十分な端末を用いて他人になりすましたり認証を代行したりする不正行為を防ぐことが可能となる。
（実施形態３）
　上述した実施形態１、２では、認証の際にＳＭＳを利用した。これに対し実施形態３では、ＳＭＳは利用せずに、電話着信時の着信番号表示機能を利用して認証を行うことを特徴とする。
　実施形態３に係る認証システム３は、図１に示すように、実施形態１に係る認証システム１と同様に、サービス提供装置１０と、認証装置２０とを備える。実施形態３のサービス提供装置１０と認証装置２０の構成は、図２、図４に示すとおりであり、実施形態１のサービス提供装置１０、認証装置２０の構成と実質的に同一である。また、実施形態３の端末３０の構成は、図７に示すとおりであり、実施形態１の端末３０の構成と実質的に同一である。
　但し、実施形態３では、認証装置２０に保持される認証ＤＢ２３２の構成が実施形態１と異なる。具体的には、実施形態３の認証ＤＢ２３２には、図１７に示すように、端末電話番号と、発信電話番号と、これらの情報を認証ＤＢ２３２に登録した日時を示す登録日時情報と、が対応付けられて記憶される。認証ＤＢ２３２に記憶されている端末電話番号は、サービス提供装置１０に認証を要求した端末３０から取得した電話番号である。認証ＤＢ２３２に記憶されている発信電話番号は、認証装置２０から端末電話番号宛に電話発信するための発信元の電話番号である。発信電話番号は、電話番号記憶ＤＢ２３１に登録されている複数の電話番号のなかから選択される。実施形態１、２と同様に、認証ＤＢ２３２に記憶されているエントリは、当該エントリが登録されてから予め定めた時間（例えば、１分間）が経過した場合、若しくは、当該エントリが後述する会員登録処理で参照された場合に削除される。
　続いて、本発明の実施形態３に係る認証システム３の機能的な構成について、図１８を参照して説明する。サービス提供装置１０は、機能的な構成として、実施形態１、２と同様に電話番号取得部１０１とサービス提供部１０３とを有する。さらにサービス提供装置１０は、実施形態１、２には無い機能的な構成として、着信電話番号取得部１０５を備える。電話番号取得部１０１とサービス提供部１０３と着信電話番号取得部１０５は、サービス提供装置１０のデータ通信部１１、記憶部１２、及び、制御部１３が協働して動作することによって実現される。
　認証装置２０は、機能的な構成として、転送設定確認部２０５と電話認証部２０６とを備える。転送設定確認部２０５と電話認証部２０６は、認証装置２０の電話通信部２１、データ通信部２２、記憶部２３、及び、制御部２４が協働して動作することによって実現される。
　電話番号取得部１０１は、認証を受けようとする端末３０から、この端末３０の電話番号を取得し、認証装置２０に送信して認証を依頼する。
　転送設定確認部２０５は、電話番号取得部１０１が取得した電話番号に電話発信して、発信先で電話の転送設定がなされているか否かを確認する。ここでの電話の転送設定とは、電話着信があった際に、予め登録している別の端末の電話番号宛にこの電話着信を転送することを意味する。転送設定確認部２０５は、本発明の転送設定確認手段の一例である。
　着信電話番号取得部１０５は、転送設定確認部２０５が電話の転送設定がされていないことを確認した場合に、端末３０から、端末３０の着信電話番号に基づいた番号を取得し、認証装置２０に送信する。着信電話番号取得部１０５は、本発明の着信電話番号取得手段の一例である。
　電話認証部２０６は、着信電話番号取得部１０５から受信した番号に基づいて端末３０を認証する。電話認証部２０６は、本発明の電話認証手段の一例である。
　サービス提供部１０３は、電話認証部２０６が端末３０を認証できた場合に、端末３０に対してサービスを提供するための各種の処理（例えば、会員登録、ログイン等）を実行する。
　続いて、認証システム３における会員登録処理の動作について図１９、２０のフローチャートを参照して説明する。なお、実施形態１、２の会員登録処理と共通するステップについては適宜説明を省略、若しくは簡略化する。
　会員登録処理が開始されると、実施形態１、２と同様にステップＳ１０１～Ｓ１０３が実行され、認証装置２０に端末電話番号が送信される（図１９、ステップＳ１０１～ステップＳ１０３）。
　続いて、認証装置２０の制御部２４は、電話番号記憶ＤＢ２３１に記憶されている固定電話用の複数の電話番号のなかからランダムに一の電話番号を選択する（ステップＳ３０１）。以下の説明では、ステップＳ３０１で選択した電話番号を発信電話番号とも表記する。
　続いて、制御部は２４、端末電話番号と、ステップＳ３０１で選択した発信電話番号と、を対応付けて１つのエントリとして認証ＤＢ２３２に登録する（ステップＳ３０２）。
　続いて、制御部２４は、電話通信部２１を制御し、発信電話番号を用いて端末電話番号宛に電話発信する（ステップＳ３０３）。電話通信部２１はＳＩＰに基づいて電話発信するため、認証装置２０は、電話発信先から電話発信先の状態を表すステータスコードを含んだ応答信号（レスポンス）を受信する（ステップＳ３０４）。なお、制御部２４は、応答信号の受信後、即時に電話接続を切断する。そのため、端末３０が着信に応答（オフフック）して電話料金が課されることはないが、端末３０の表示部３４には、着信電話番号として発信電話番号が表示される。
　続いて、制御部２４は、受信した応答信号に含まれるステータスコードに基づいて、電話発信先で電話の転送設定がなされているか否かを確認する（ステップＳ３０５）。例えば、制御部２４は、ステータスコードが転送中を示す「１８１」で有る場合は転送設定有り、それ以外のステータスコードの場合は転送設定無し、と判別すればよい。
　ステップＳ３０５で転送設定されていることを確認できた場合（ステップＳ３０６；Ｙｅｓ）、制御部２４は、その旨をサービス提供装置１０に通知する（ステップＳ３０７）。転送設定されていることを通知されたサービス提供装置１０の制御部１３は、エラーメッセージを端末３０に送信し（ステップＳ３０８）、認証エラーとして処理は終了する。端末３０の表示部３４には、受信したエラーメッセージ（例えば、「転送設定されている電話番号です。別の電話番号で認証をやり直してください。」）が表示される（ステップＳ３０９）。
　一方、ステップＳ３０５で転送設定されてないことを確認できた場合（ステップＳ３０６；Ｎｏ）、制御部２４は、その旨をサービス提供装置１０に通知する（図２０、ステップＳ３１０）。転送設定されていないことを通知されたサービス提供装置１０の制御部１３は、着信番号入力画面の画面データを端末３０に送信する（ステップＳ３１１）。予めアプリのダウンロード時に着信番号入力画面の画面データを端末３０の記憶部３５に記憶させている場合、制御部１３は、これに代えて着信番号入力画面の表示を端末３０に指示してもよい。
　端末３０の制御部３６は、サービス提供装置１０から受信した画面データに基づいて図２１に示す着信番号入力画面を表示部３４に表示させる（ステップＳ３１２）。この着信番号入力画面の上部には、ステップＳ３０３で電話発信したことによる着信電話番号がポップアップ表示されている。ユーザは、画面の指示に従って入力部３３を操作して、ポップアップ表示されている着信電話番号の下４桁を着信番号入力画面の入力欄に入力して確認ボタンをクリックする。この操作に応答して、端末３０の制御部３６は、入力された番号（入力番号）をサービス提供装置１０に送信する（ステップＳ３１３）。
　サービス提供装置１０は、受信した入力番号を認証装置２０に送信する（ステップＳ３１４）。認証装置２０の制御部２４は、受信した入力番号に対応する発信電話番号が認証ＤＢ２３２に登録されていることを確認する（ステップＳ３１５）。具体的には、制御部２４は、認証ＤＢ２３２に記憶されている発信電話番号の中に、下４桁が受信した入力番号と一致するものがあることを確認すればよい。これにより、電話発信した端末３０から着信電話番号の一部が返信されたことが確認される。ステップＳ３１５で対応するエントリが確認できなかった場合はエラーとして処理は終了する。
　認証ＤＢ２３２に入力番号に対応する発信電話番号が登録されているのを確認できた場合、制御部２４は、この発信電話番号を含むエントリの登録日時情報を参照して、この発信電話番号が認証ＤＢ２３２に登録されてから予め定めた時間（例えば、１分）が経過していないことを確認する（ステップＳ３１６）。予め定めた時間が経過している場合、端末３０に電話着信がなされてから着信番号の一部が送信されるまでに時間を要していることになり、端末３０側で何らかの不正行為が行われている可能性があるため、エラーとして処理を終了する。なお、ステップＳ３１６の処理は必ずしも行う必要はない。その後、ステップＳ３１５、Ｓ３１６で確認された発信電話番号を含んだエントリは認証ＤＢ２３２から削除される。
　ステップＳ３１６で確認ができて以降は、実施形態１、２と同様に、図１１に示すステップＳ１２０～Ｓ１２４が実行されてユーザはサービス提供装置１０が提供するサービスの会員として登録される。以上で会員登録処理は終了する。
　このように、本実施形態では、着信電話番号を利用した認証（着信電話認証）を行う際に、電話発信する電話番号に転送設定がされているか否かが確認される。そして、転送設定されている電話番号の場合は認証エラーとなる。これにより、不正者が自分の端末を会員登録する際に、自分の端末に着信を転送するように設定されている他者の端末の電話番号を入力し、認証装置２０から他者の端末へなされた電話着信を自分の端末に転送させて着信電話番号を取得することで、自分の端末の電話番号を送信せずに認証できてしまう不正行為を防ぐことが可能となる。
　なお、上述した会員登録処理では、端末３０に表示された着信電話番号の下４桁をユーザに入力させてサービス提供装置１０に送信し、認証ＤＢ２３２に対応する発信電話番号が記憶されていることを確認した。しかしながら、ユーザに入力させる番号はこれに限定されるものではなく、着信電話番号に基づいた他の番号をユーザに入力させてサービス提供装置１０に送信してもよい。例えば、端末３０に表示された着信電話番号の全てをユーザに入力させてもよいし、着信電話番号の下４桁の数字の和を入力させてもよい。なお、入力させる番号の種類に応じて、適宜着信番号入力画面のメッセージや認証ＤＢ２３２に記憶されている発信電話番号と比較する方法を変更する必要がある。
（変形例）
　上述した各実施形態は一例であり、種々の変更及び応用が可能である。例えば、上述した各実施形態では、初めてサービスを利用するときの会員登録をする際の認証について説明したが、本発明は会員登録時の認証に限定されるものではなく、端末３０の認証が必要なあらゆる場面に適用可能である。例えば、端末３０からサービスにログインするときの認証にも本発明は適用可能である。この場合、端末３０は、ユーザが入力したＩＤとパスワードとを含んだ認証要求をサービス提供装置１０に送信する。そして、サービス提供装置１０は、顧客ＤＢ１２１を参照して、受信したＩＤとパスワードとが正しいことを確認した後、このユーザの端末電話番号を顧客ＤＢ１２１から取得し、認証装置２０に送信して認証を依頼する。以下、前述した会員登録処理と同様に、図９のステップＳ１０４以降のステップを実行して端末３０を認証すればよい。
　また、上述した各実施形態では、サービス提供装置１０と認証装置２０とは別々の装置によって構成されていると説明したが、両装置の機能を統合した一又は複数の装置によって、認証システム１～３を構成してもよい。
　また、各実施形態に係る、サービス提供装置１０、認証装置２０は、それぞれ、専用のシステムにより実現してもよいし、通常のコンピュータシステムにより実現してもよい。例えば、上述の動作を実行するためのプログラムをコンピュータ読み取り可能な記録媒体に格納して配布し、該プログラムをコンピュータにインストールして、上述の処理を実行することによって、サービス提供装置１０、認証装置２０、若しくは両装置の機能を統合した一の装置を構成してもよい。また、上記プログラムをインターネット等のネットワーク上のサービス提供装置１０、認証装置２０、若しくは両装置の機能を統合した一の装置が備えるディスク装置に格納しておき、コンピュータにダウンロード等できるようにしてもよい。また、上述の機能を、ＯＳ（Operating System）とアプリケーションソフトとの協働により実現してもよい。この場合には、ＯＳ以外の部分を媒体に格納して配布してもよいし、ＯＳ以外の部分をサーバ装置に格納しておき、コンピュータにダウンロード等できるようにしてもよい。
　本発明は、本発明の広義の精神と範囲を逸脱することなく、様々な実施形態及び変形が可能とされるものである。また、上述した各実施形態は、本発明を説明するためのものであり、本発明の範囲を限定するものではない。つまり、本発明の範囲は、各実施形態ではなく、特許請求の範囲によって示される。そして、特許請求の範囲内及びそれと同等の発明の意義の範囲内で施される様々な変形が、本発明の範囲内とみなされる。
　１，２，３　認証システム、１０　サービス提供装置、２０　認証装置、３０　端末、Ｎ１　インターネット、Ｎ２　電話網、１１，２２，３２　データ通信部、３１，２１　電話通信部、１２，２３，３５　記憶部、１３，２４，３６　記憶部、３３　入力部、３４　表示部、３５　記憶部、１２１　顧客ＤＢ、２３１　電話番号記憶ＤＢ、２３２　認証ＤＢ、１０１　電話番号取得部、１０２　ＳＭＳ送信制御部、１０３　サービス提供部、１０４　認証情報受信部、１０５　着信電話番号取得部、２０１　電話契約確認部、２０２　ＳＭＳ発信認証部、２０３　ＳＭＳ送信部、２０４　ＳＭＳ着信認証部、２０５　転送設定確認部、２０６　電話認証部

Claims (12)

  1. 　認証を受ける端末の電話番号を取得する電話番号取得手段と、
    　前記電話番号取得手段が取得した電話番号に電話発信して電話契約の有無を確認する電話契約確認手段と、
    　前記電話契約確認手段によって電話契約の確認ができた場合に、認証情報を通知するＳＭＳ（Short Message Service）を送信するよう前記端末を制御するＳＭＳ送信制御手段と、
    　前記ＳＭＳ送信制御手段による制御後に受信したＳＭＳに基づいて、前記端末を認証するＳＭＳ発信認証手段と、
    　を備える認証システム。
  2. 　認証を受ける端末の電話番号を取得する電話番号取得手段と、
    　前記電話番号取得手段が取得した電話番号に電話発信して電話契約の有無を確認する電話契約確認手段と、
    　前記電話契約確認手段によって電話契約の確認ができた場合に、認証情報を通知するＳＭＳ（Short Message Service）を前記電話番号宛に送信するＳＭＳ送信手段と、
    　前記ＳＭＳ送信手段による送信後に前記端末から取得した認証情報に基づいて、前記端末を認証するＳＭＳ着信認証手段と、
    　を備える認証システム。
  3. 　電話発信可能な複数の電話番号を記憶する電話番号記憶手段をさらに備え、
    　前記ＳＭＳ送信制御手段は、前記電話番号記憶手段に記憶されている複数の電話番号のうちから選択した一の電話番号を送信先とした前記ＳＭＳを送信するよう前記端末を制御する、
    　請求項１に記載の認証システム。
  4. 　前記電話契約確認手段は、前記電話発信に対する応答信号に含まれるステータスコードに基づいて、電話契約の有無を確認する、
    　請求項１から３の何れか１項に記載の認証システム。
  5. 　認証を受ける端末の電話番号を取得する電話番号取得手段と、
    　前記電話番号取得手段が取得した電話番号に電話発信して電話の転送設定がなされているか否かを確認する転送設定確認手段と、
    　前記転送設定確認手段が電話の転送設定がされていないことを確認した場合に、前記端末になされた電話着信の着信電話番号に基づいた番号を取得する着信電話番号取得手段と、
    　前記着信電話番号取得手段で取得した番号に基づいて、前記端末を認証する電話認証手段と、
    　を備える認証システム。
  6. 　前記転送設定確認手段は、前記電話発信に対する応答信号に含まれるステータスコードに基づいて、電話の転送設定がなされているか否かを確認する、
    　請求項５に記載の認証システム。
  7. 　認証を受ける端末の電話番号を取得する電話番号取得ステップと、
    　前記電話番号取得ステップで取得した電話番号に電話発信して電話契約の有無を確認する電話契約確認ステップと、
    　前記電話契約確認ステップで電話契約の確認ができた場合に、認証情報を通知するＳＭＳ（Short Message Service）を送信するよう前記端末を制御するＳＭＳ送信制御ステップと、
    　前記ＳＭＳ送信制御ステップによる制御後に受信したＳＭＳに基づいて、前記端末を認証するＳＭＳ発信認証ステップと、
    　を有する認証方法。
  8. 　認証を受ける端末の電話番号を取得する電話番号取得ステップと、
    　前記電話番号取得ステップで取得した電話番号に電話発信して電話契約の有無を確認する電話契約確認ステップと、
    　前記電話契約確認ステップで電話契約の確認ができた場合に、認証情報を通知するＳＭＳ（Short Message Service）を前記電話番号宛に送信するＳＭＳ送信ステップと、
    　前記ＳＭＳ送信ステップによる送信後に前記端末から取得した認証情報に基づいて、前記端末を認証するＳＭＳ着信認証ステップと、
    　を有する認証方法。
  9. 　認証を受ける端末の電話番号を取得する電話番号取得ステップと、
    　前記電話番号取得ステップで取得した電話番号に電話発信して電話の転送設定がなされているか否かを確認する転送設定確認ステップと、
    　前記転送設定確認ステップで電話の転送設定がされていないことを確認した場合に、前記端末になされた電話着信の着信電話番号に基づいた番号を取得する着信電話番号取得ステップと、
    　前記着信電話番号取得ステップで取得した番号に基づいて、前記端末を認証する電話認証ステップと、
    　を有する認証方法。
  10. 　コンピュータを、
    　認証を受ける端末の電話番号を取得する電話番号取得手段、
    　前記電話番号取得手段が取得した電話番号に電話発信して電話契約の有無を確認する電話契約確認手段、
    　前記電話契約確認手段によって電話契約の確認ができた場合に、認証情報を通知するＳＭＳ（Short Message Service）を送信するよう前記端末を制御するＳＭＳ送信制御手段、
    　前記ＳＭＳ送信制御手段による制御後に受信したＳＭＳに基づいて、前記端末を認証するＳＭＳ発信認証手段、
    　として機能させるプログラム。
  11. 　コンピュータを、
    　認証を受ける端末の電話番号を取得する電話番号取得手段、
    　前記電話番号取得手段が取得した電話番号に電話発信して電話契約の有無を確認する電話契約確認手段、
    　前記電話契約確認手段によって電話契約の確認ができた場合に、認証情報を通知するＳＭＳ（Short Message Service）を前記電話番号宛に送信するＳＭＳ送信手段、
    　前記ＳＭＳ送信手段による送信後に前記端末から取得した認証情報に基づいて、前記端末を認証するＳＭＳ着信認証手段、
    　として機能させるプログラム。
  12. 　コンピュータを、
    　認証を受ける端末の電話番号を取得する電話番号取得手段、
    　前記電話番号取得手段が取得した電話番号に電話発信して電話の転送設定がなされているか否かを確認する転送設定確認手段、
    　前記転送設定確認手段が電話の転送設定がされていないことを確認した場合に、前記端末になされた電話着信の着信電話番号に基づいた番号を取得する着信電話番号取得手段、
    　前記着信電話番号取得手段で取得した番号に基づいて、前記端末を認証する電話認証手段、
    　として機能させるプログラム。
PCT/JP2021/040583 2021-11-04 2021-11-04 認証システム、認証方法、及び、プログラム WO2023079625A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/040583 WO2023079625A1 (ja) 2021-11-04 2021-11-04 認証システム、認証方法、及び、プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/040583 WO2023079625A1 (ja) 2021-11-04 2021-11-04 認証システム、認証方法、及び、プログラム

Publications (1)

Publication Number Publication Date
WO2023079625A1 true WO2023079625A1 (ja) 2023-05-11

Family

ID=86240755

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/040583 WO2023079625A1 (ja) 2021-11-04 2021-11-04 認証システム、認証方法、及び、プログラム

Country Status (1)

Country Link
WO (1) WO2023079625A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008015933A (ja) * 2006-07-07 2008-01-24 Nippon Telegr & Teleph Corp <Ntt> ユーザ認証方法、ユーザ認証システム、ユーザ認証装置及びユーザ認証プログラム
JP2010219688A (ja) * 2009-03-13 2010-09-30 Seiko Epson Corp 印刷装置端末およびその制御方法
JP2019041231A (ja) * 2017-08-24 2019-03-14 Ａｉ Ｃｒｏｓｓ株式会社 端末認証システム、端末認証方法、利用者端末及び利用者端末用プログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008015933A (ja) * 2006-07-07 2008-01-24 Nippon Telegr & Teleph Corp <Ntt> ユーザ認証方法、ユーザ認証システム、ユーザ認証装置及びユーザ認証プログラム
JP2010219688A (ja) * 2009-03-13 2010-09-30 Seiko Epson Corp 印刷装置端末およびその制御方法
JP2019041231A (ja) * 2017-08-24 2019-03-14 Ａｉ Ｃｒｏｓｓ株式会社 端末認証システム、端末認証方法、利用者端末及び利用者端末用プログラム

Similar Documents

Publication Publication Date Title
JP4382498B2 (ja) 異種通信網を用いたインスタントログイン利用者認証及び決済方法並びにそのシステム
US8572701B2 (en) Authenticating via mobile device
RU2570838C2 (ru) Строгая аутентификация посредством предоставления номера
US20160056962A1 (en) Transaction authorization method and system
JP5764501B2 (ja) 認証装置、認証方法、及び、プログラム
KR20130085509A (ko) 어플리케이션 사용자 인증 장치 및 방법
JP2007516512A5 (ja)
EP3826260A1 (en) Service agent authentication
JPWO2009113157A1 (ja) 認証装置、認証方法、およびデータ利用方法
CN103947173A (zh) 用于管理两个用户之间的通信的方法和系统
JP6464303B2 (ja) チケット提供方法、チケット提供装置及び携帯端末用プログラム
WO2023079625A1 (ja) 認証システム、認証方法、及び、プログラム
WO2015151251A1 (ja) ネットワークサービス提供装置、ネットワークサービス提供方法、及びプログラム
JP6115884B1 (ja) サービス提供システム、認証装置、及びプログラム
JP7007501B1 (ja) サービス提供システム
WO2017134922A1 (ja) サービス提供システム、認証装置、及びプログラム
JP2002229952A (ja) ユーザ認証システムおよびユーザ認証方法
EP3790225A1 (en) Securing user inputs in mobile device
WO2022215183A1 (ja) サービス提供システム、個人情報登録方法、及び、プログラム
JP7305072B1 (ja) 方法およびシステム
KR20030041942A (ko) 인터넷 가입자 보안 시스템 및 그 방법
KR20060011752A (ko) 모바일 컨텐츠 제공 방법
WO2016043108A1 (ja) 接続システム及び接続方法
WO2024116401A1 (ja) 認証システム、認証方法、及び、プログラム
KR101009955B1 (ko) 이동통신 단말을 이용한 사용자 인증 방법 및 이를 구현하는 시스템

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21963222

Country of ref document: EP

Kind code of ref document: A1