図面 (/)

技術 認証連携装置およびそのプログラム、機器認証装置およびそのプログラム、ならびに、認証連携システム

出願人 日本放送協会
発明者 山村千草藤井亜里砂石川清彦本間祐次小尾高史谷内田益義李中淳大山永昭
出願日 2010年5月12日 (10年9ヶ月経過) 出願番号 2010-109871
公開日 2011年11月24日 (9年3ヶ月経過) 公開番号 2011-238083
状態 特許登録済
技術分野 オンライン・システムの機密保護 暗号化・復号化装置及び秘密通信
主要キーワード 主体情報 発行サイト ユーザ認証済み クレデンシャル情報 認証ステータス 認証情報応答 認証主体 機器認証結果
関連する未来課題
重要な関連分野

この項目の情報は公開日時点(2011年11月24日)のものです。
また、この項目は機械的に抽出しているため、正しく解析できていない場合があります

図面 (12)

課題

機器主体の認証を各サービス提供装置で行わず、ユーザ主体の認証と紐付けてサービス提供装置間で連携して行うことが可能な認証連携システムを提供する。

解決手段

認証連携システムSは、事前信頼関係構築しているサービス提供装置3との間でユーザ個人の認証を連携して行う認証連携装置1と、事前に登録しているユーザの機器を特定する機器情報に基づいて、ユーザが利用するユーザ利用端末4の認証を行う機器認証装置2と、を備え、前記認証連携装置1が、機器認証装置2から機器主体の認証結果を受信し、ユーザ主体の認証結果とバインドすることで、2つの主体(ユーザ、ユーザ利用者端末)の認証情報を生成し、サービス提供装置3に送信することを特徴とする。

概要

背景

近年、ネットワークを介してユーザのアイデンティティ同一性)を認証し、その認証結果に応じてサービスを提供する個人向け電子サービスが盛んになってきている。このサービスには、例えば、個人情報を含むセキュアな情報を閲覧するサービス(ネットバンクなど)や、会員課金済みのユーザに対してマルチメディアコンテンツを配信するサービスなどが挙げられる。
このようなサービスを様々なアクセス環境で自由に利用できる状況は、利便性を向上させる一方で、不正機器の利用や本人のなりすましによる情報漏洩コンテンツ不正利用の問題が危惧されている。

そこで、セキュアな個人情報や著作権があるコンテンツを参照・利用する端末を、本人が所有する正当な機器や、本人が利用資格を持つ正当な機器に制限することにより、情報漏洩やコンテンツ不正利用の危険性を低減することが期待される。例えば、サービス利用を、個人事前登録している携帯端末または固定端末からのアクセスに制限することによって、ユーザ本人パスワードなどの信用情報漏洩した場合にも、その情報を悪用したサービス不正利用のリスクを最小限に抑えることができる。

このように、ユーザが使用する機器を制限するためには、ユーザ個人とユーザが使用する機器との結びつけ(バインド)が必要となる。例えば、非特許文献1では、機器の公開鍵証明書複数ユーザ属性証明書アクセス制御リストなどの認証用の情報を耐タンパ領域に格納したスマートカードを用いて、ユーザがPIN(Personal Identification Number;個人識別番号)入力により、使用する機器(認証を受ける機器)の所有権を獲得した後に、相手端末(認証を行う機器)との間で機器認証を行うことで、ユーザが使用する機器にバインドされた所有権に基づいた認可を実現する手法が開示されている。なお、非特許文献1に開示された手法では、認証を行う機器と認証を受ける機器が1対1の関係であることが前提となっている。

しかし、近年では、アイデンティティ連携技術の標準化が進み、必ずしもサービス提供者あるいはサービス提供装置自身が、要求のあった相手端末の認証やユーザの認証を行うとは限らず、サービス提供装置とは異なる端末で機器認証や個人認証が行われるケースがある。例えば、非特許文献2では、サービス提供側信頼関係にある特定の装置でユーザのアイデンティティ認証を行い、その認証情報を複数のサービス提供者が引き継いで利用することで、認証連携を実現するフレームワーク提唱されている。また、非特許文献3には、当該認証情報を、XML形式アサーションと呼ばれる記述方法で示す標準化仕様公開されている。

このような現状において、サービスを享受するユーザや機器などの主体をバインドする技術が開示されている(特許文献1参照)。
この特許文献1に係る発明は、異なるトラストアンカ信用点)で信用が保証された個別の主体を、主体動的制御装置において、新たな主体と結びつけることで、異なる主体の動的なバインドを実現している。
これによって、特許文献1に係る発明は、ユーザと、ユーザが使用する機器(ユーザ端末)という異なる主体の認証情報を、同一の主体に関連付けられるものと動的にみなすことが可能になる。

概要

機器主体の認証を各サービス提供装置で行わず、ユーザ主体の認証と紐付けてサービス提供装置間で連携して行うことが可能な認証連携システムを提供する。認証連携システムSは、事前に信頼関係を構築しているサービス提供装置3との間でユーザ個人の認証を連携して行う認証連携装置1と、事前に登録しているユーザの機器を特定する機器情報に基づいて、ユーザが利用するユーザ利用端末4の認証を行う機器認証装置2と、を備え、前記認証連携装置1が、機器認証装置2から機器主体の認証結果を受信し、ユーザ主体の認証結果とバインドすることで、2つの主体(ユーザ、ユーザ利用者端末)の認証情報を生成し、サービス提供装置3に送信することを特徴とする。

目的

近年、ネットワークを介してユーザのアイデンティティ(同一性)を認証し、その認証結果に応じてサービスを提供する

効果

実績

技術文献被引用数
2件
牽制数
2件

この技術が所属する分野

(分野番号表示ON)※整理標準化データをもとに当社作成

ライセンス契約や譲渡などの可能性がある特許掲載中! 開放特許随時追加・更新中 詳しくはこちら

請求項1

サービスを提供する複数のサービス提供装置間で前記サービスを利用するユーザの認証を連携して行う認証連携装置と、前記サービスを利用するユーザ利用端末機器認証を行う機器認証装置とからなる認証連携システムの認証連携装置であって、前記サービス提供装置からユーザ認証の要求を示すユーザ認証要求を受信する認証要求受信手段と、この認証要求受信手段で前記ユーザ認証要求を受信した際に、前記ユーザ利用端末を操作するユーザとの間で、予めユーザ情報記憶手段に登録されているユーザ情報に基づいてユーザ認証を行うユーザ認証手段と、このユーザ認証手段におけるユーザ認証結果に前記ユーザを識別する識別子を付加して認証情報発行する認証情報発行手段と、この認証情報発行手段で発行した認証情報を記憶する認証情報記憶手段と、前記機器認証装置に対して、前記認証情報またはその参照情報を送信するとともに、前記ユーザ利用端末の認証を要求する機器認証要求手段と、前記機器認証装置から、前記認証情報で特定されるユーザが予め登録している前記ユーザ利用端末の機器認証結果を受信する機器認証結果受信手段と、この機器認証結果受信手段で受信した機器認証結果を、前記認証情報記憶手段に記憶されている認証情報に付加することで、当該認証情報を更新する認証情報更新手段と、を備えることを特徴とする認証連携装置。

請求項2

前記ユーザおよび前記ユーザ利用端末の認証状態を示す認証レベルを記憶する認証レベル記憶手段と、前記ユーザ認証要求を受信した際に、前記認証レベル記憶手段に記憶されている認証レベルがどのレベルかを判別する認証レベル判別手段と、を備え、前記ユーザ認証手段は、前記認証レベルがユーザ未認証である場合に、前記ユーザ認証を行い、前記機器認証要求手段は、前記認証レベルが機器未認証である場合に、前記機器認証装置に対して、前記ユーザ利用端末の認証を要求することを特徴とする請求項1に記載に認証連携装置。

請求項3

前記機器認証装置から、前記ユーザ利用端末の認証結果一意に特定するトークンを含んだ認証情報更新要求を受信する認証情報更新要求受信手段と、この認証情報更新要求受信手段で受信した認証情報更新要求に含まれているトークンを含んだ機器認証結果問い合わせを前記機器認証装置に送信する機器認証結果問い合わせ手段と、を備えることを特徴とする請求項1または請求項2に記載の認証連携装置。

請求項4

サービスを提供する複数のサービス提供装置間で前記サービスを利用するユーザの認証を連携して行う認証連携装置と、前記サービスを利用するユーザ利用端末の機器認証を行う機器認証装置とからなる認証連携システムの認証連携装置において、ユーザ認証結果と事前に前記ユーザが登録した機器の認証結果とを結びつけるために、前記認証連携装置のコンピュータを、前記サービス提供装置から前記ユーザ認証の要求を示すユーザ認証要求を受信する認証要求受信手段、この認証要求受信手段で前記ユーザ認証要求を受信した際に、予めユーザ情報記憶手段に登録されているユーザ情報に基づいて、前記ユーザ利用端末を操作するユーザとの間でユーザ認証を行うユーザ認証手段、このユーザ認証手段におけるユーザ認証結果に前記ユーザを識別する識別子を付加して認証情報を発行し、認証情報記憶手段に記憶する認証情報発行手段、前記機器認証装置に対して、前記認証情報またはその参照情報を送信するとともに、前記ユーザ利用端末の認証を要求する機器認証要求手段、この機器認証要求手段の要求に対する前記機器認証装置の認証結果である機器認証結果を受信する機器認証結果受信手段、この機器認証結果受信手段で受信した機器認証結果を、前記認証情報記憶手段に記憶されている認証情報に付加することで、当該認証情報を更新する認証情報更新手段、として機能させることを特徴とする認証連携プログラム

請求項5

サービスを提供する複数のサービス提供装置間で前記サービスを利用するユーザの認証を連携して行う認証連携装置と、前記サービスを利用するユーザ利用端末の機器認証を行う機器認証装置とからなる認証連携システムの認証連携システムにおける機器認証装置であって、前記ユーザを識別する識別子と当該ユーザが利用する前記ユーザ利用端末の機器認証用の機器情報とを予め登録して記憶するユーザ登録機器情報記憶手段と、前記認証連携装置からユーザ認証結果を示す認証情報を受信する認証情報受信手段と、この認証情報受信手段で受信した認証情報に基づいて、前記ユーザの正当性を検証する認証情報検証手段と、この認証情報検証手段で正当性が検証されたユーザの識別子に対応して前記ユーザ登録機器情報記憶手段に記憶されている機器情報に基づいて、前記ユーザ利用端末との間で機器認証を行う機器認証手段と、この機器認証手段における機器認証結果を前記認証連携装置に送信する機器認証結果送信手段と、を備えることを特徴とする機器認証装置。

請求項6

前記認証連携装置から、前記認証情報または当該認証情報を参照するための参照情報を含んだ前記ユーザ利用端末の認証の要求を示す機器認証要求を受信する機器認証要求受信手段と、この機器認証要求受信手段で受信した機器認証要求に前記参照情報が含まれている場合に、当該参照情報で示される参照先の認証情報の問い合わせを前記認証連携装置に送信する認証情報問い合わせ手段と、を備え、前記認証情報検証手段が、前記機器認証要求受信手段で受信した認証情報、または、前記認証情報問い合わせ手段による問い合わせに対して前記認証連携装置が送信し前記認証情報受信手段が受信した認証情報に基づいて、前記ユーザの正当性を検証することを特徴とする請求項5に記載の機器認証装置。

請求項7

前記機器認証手段は、前記機器認証結果を一意に特定するトークンを生成し、前記機器認証結果と、前記トークンとを対応付けて機器認証結果記憶手段に記憶し、前記トークンを含んだ認証情報の更新の要求を示す認証情報更新要求を前記認証連携装置に送信する認証情報更新要求送信手段と、前記認証連携装置から、前記トークンを含んだ機器認証結果問い合わせを受信する機器認証結果問い合わせ受信手段と、を備え、前記機器認証結果送信手段は、前記機器認証結果問い合わせに含まれているトークンに対応する機器認証結果を前記機器認証結果記憶手段から読み出して前記認証連携装置に送信することを特徴とする請求項5に記載の機器認証装置。

請求項8

サービスを提供する複数のサービス提供装置間で前記サービスを利用するユーザの認証を連携して行う認証連携装置と、前記サービスを利用するユーザ利用端末の機器認証を行う機器認証装置とからなる認証連携システムの機器認証装置において、ユーザ認証結果と機器認証結果とを結びつけるために、前記機器認証装置のコンピュータを、前記認証連携装置からユーザ認証結果を示す認証情報を受信する認証情報受信手段、この認証情報受信手段で受信した認証情報に基づいて、前記ユーザの正当性を検証する認証情報検証手段、前記ユーザを識別する識別子と当該ユーザが利用する前記ユーザ利用端末の機器認証用の機器情報とを予め登録して記憶するユーザ登録機器情報記憶手段に記憶されている機器情報に基づいて、前記認証情報検証手段で正当性が検証されたユーザの識別子に対応した前記ユーザ利用端末との間で機器認証を行う機器認証手段、この機器認証手段における機器認証結果を前記認証連携装置に送信する機器認証結果送信手段、として機能させることを特徴とする機器認証プログラム

請求項9

サービスを提供する複数のサービス提供装置間で前記サービスを利用するユーザの認証を連携して行う認証連携装置と、前記サービスを利用するユーザ利用端末の機器認証を行う機器認証装置とからなる認証連携システムであって、前記認証連携装置は、前記サービス提供装置からユーザ認証の要求を示すユーザ認証要求を受信する認証要求受信手段と、この認証要求受信手段で前記ユーザ認証要求を受信した際に、前記ユーザ利用端末を操作するユーザとの間で、予めユーザ情報記憶手段に登録されているユーザ情報に基づいてユーザ認証を行うユーザ認証手段と、このユーザ認証手段におけるユーザ認証結果に前記ユーザを識別する識別子を付加して認証情報を発行する認証情報発行手段と、この認証情報発行手段で発行した認証情報を記憶する認証情報記憶手段と、前記機器認証装置に対して、前記認証情報またはその参照情報を送信するとともに、前記ユーザ利用端末の認証を要求する機器認証要求手段と、前記機器認証装置から、前記認証情報で特定されるユーザが予め登録している前記ユーザ利用端末の機器認証結果を受信する機器認証結果受信手段と、この機器認証結果受信手段で受信した機器認証結果を、前記認証情報記憶手段に記憶されている認証情報に付加することで、当該認証情報を更新する認証情報更新手段と、を備え、前記機器認証装置は、前記ユーザを識別する識別子と当該ユーザが利用する前記ユーザ利用端末の機器認証用の機器情報とを予め登録して記憶するユーザ登録機器情報記憶手段と、前記認証連携装置からユーザ認証結果を示す認証情報を受信する認証情報受信手段と、この認証情報受信手段で受信した認証情報に基づいて、前記ユーザの正当性を検証する認証情報検証手段と、この認証情報検証手段で正当性が検証されたユーザの識別子に対応して前記ユーザ登録機器情報記憶手段に記憶されている機器情報に基づいて、前記ユーザ利用端末との間で機器認証を行う機器認証手段と、この機器認証手段における機器認証結果を前記認証連携装置に送信する機器認証結果送信手段と、を備えることを特徴とする認証連携システム。

技術分野

0001

本発明は、サービスを享受するユーザ個人認証結果と、ユーザが使用する機器の認証結果とを一元的に扱うことが可能な認証連携装置およびそのプログラム機器認証装置およびそのプログラム、ならびに、認証連携システムに関する。

背景技術

0002

近年、ネットワークを介してユーザのアイデンティティ同一性)を認証し、その認証結果に応じてサービスを提供する個人向け電子サービスが盛んになってきている。このサービスには、例えば、個人情報を含むセキュアな情報を閲覧するサービス(ネットバンクなど)や、会員課金済みのユーザに対してマルチメディアコンテンツを配信するサービスなどが挙げられる。
このようなサービスを様々なアクセス環境で自由に利用できる状況は、利便性を向上させる一方で、不正機器の利用や本人のなりすましによる情報漏洩コンテンツ不正利用の問題が危惧されている。

0003

そこで、セキュアな個人情報や著作権があるコンテンツを参照・利用する端末を、本人が所有する正当な機器や、本人が利用資格を持つ正当な機器に制限することにより、情報漏洩やコンテンツ不正利用の危険性を低減することが期待される。例えば、サービス利用を、個人事前登録している携帯端末または固定端末からのアクセスに制限することによって、ユーザ本人パスワードなどの信用情報漏洩した場合にも、その情報を悪用したサービス不正利用のリスクを最小限に抑えることができる。

0004

このように、ユーザが使用する機器を制限するためには、ユーザ個人とユーザが使用する機器との結びつけ(バインド)が必要となる。例えば、非特許文献1では、機器の公開鍵証明書複数ユーザ属性証明書アクセス制御リストなどの認証用の情報を耐タンパ領域に格納したスマートカードを用いて、ユーザがPIN(Personal Identification Number;個人識別番号)入力により、使用する機器(認証を受ける機器)の所有権を獲得した後に、相手端末(認証を行う機器)との間で機器認証を行うことで、ユーザが使用する機器にバインドされた所有権に基づいた認可を実現する手法が開示されている。なお、非特許文献1に開示された手法では、認証を行う機器と認証を受ける機器が1対1の関係であることが前提となっている。

0005

しかし、近年では、アイデンティティ連携技術の標準化が進み、必ずしもサービス提供者あるいはサービス提供装置自身が、要求のあった相手端末の認証やユーザの認証を行うとは限らず、サービス提供装置とは異なる端末で機器認証や個人認証が行われるケースがある。例えば、非特許文献2では、サービス提供側信頼関係にある特定の装置でユーザのアイデンティティ認証を行い、その認証情報を複数のサービス提供者が引き継いで利用することで、認証連携を実現するフレームワーク提唱されている。また、非特許文献3には、当該認証情報を、XML形式アサーションと呼ばれる記述方法で示す標準化仕様公開されている。

0006

このような現状において、サービスを享受するユーザや機器などの主体をバインドする技術が開示されている(特許文献1参照)。
この特許文献1に係る発明は、異なるトラストアンカ信用点)で信用が保証された個別の主体を、主体動的制御装置において、新たな主体と結びつけることで、異なる主体の動的なバインドを実現している。
これによって、特許文献1に係る発明は、ユーザと、ユーザが使用する機器(ユーザ端末)という異なる主体の認証情報を、同一の主体に関連付けられるものと動的にみなすことが可能になる。

0007

特開2008−108203号公報

先行技術

0008

“Design and Implementation of an Inter-Device Authentication Framework Guaranteeing Explicit Ownership”、情報処理学会論文誌、49(2)、p.808−821、2008
Liberty Alliance Project、“Liberty Alliance ID-FF1.2 Specifications”、[online]、[平成22年4月22日検索]、インターネット,(URL:http://www.projectliberty.org/resource_center/specifications/liberty_alliance_id_ff_1_2_specifications/)
OASIS、“Assertion and Protocol for the OASIS Security Assertion Markup Language(SAML) V2.0”、[online]、[平成22年4月22日検索]、インターネット,(URL:http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf)、2005年3月15日

発明が解決しようとする課題

0009

前記した非特許文献1に開示された手法では、各サービス提供者が独自の機器認証やユーザ認証を行う必要があるため、前記したようなアイデンティティ連携技術による複数のサービスを連携して行うサービス形態を実現することができず、非常にクローズなサービス形態となってしまうという問題がある。

0010

また、前記した特許文献1に係る発明は、信頼性が確認された異なる2つ以上の主体(ユーザ、ユーザ端末など)を動的に生成された新たな主体にバインドすることで、サービスプロバイダが柔軟なアクセス制御を実施できることを特徴としている。しかし、特許文献1に係る発明における主体動的制御装置は、信頼を保証された2つ以上の異なる主体を提示されれば、無条件にバインドを行うものであって、第1の主体と第2の主体とが予め関連付けられたものかどうかを保証するものではない。

0011

また、特許文献1に係る発明では、主体動的制御装置はサービスプロバイダに対して行われたサービス要求をもとに新たな主体を生成するため、複数の信頼保証情報がバインドされた主体を、複数のサービス間で連携して利用することは想定されていない。

0012

本発明は、以上のような問題点に鑑みてなされたものであり、機器主体の認証を各サービス提供装置で行うことなく、ユーザ主体の認証情報に紐付いた情報として複数のサービス提供装置間で連携(アイデンティティ連携)して利用することが可能な認証連携装置およびそのプログラム、機器認証装置およびそのプログラム、ならびに、認証連携システムを提供することを課題とする。

課題を解決するための手段

0013

本発明は、前記課題を解決するために創案されたものであり、まず、請求項1に記載の認証連携装置は、サービスを提供する複数のサービス提供装置間で前記サービスを利用するユーザの認証を連携して行う認証連携装置と、前記サービスを利用するユーザ利用端末の機器認証を行う機器認証装置とからなる認証連携システムの認証連携装置であって、認証要求受信手段と、ユーザ認証手段と、認証情報発行手段と、認証情報記憶手段と、機器認証要求手段と、機器認証結果受信手段と、認証情報更新手段と、を備える構成とした。

0014

かかる構成において、認証連携装置は、認証要求受信手段によって、ユーザがサービスの要求を行ったサービス提供装置からユーザ認証の要求を示すユーザ認証要求を受信する。そして、認証連携装置は、ユーザ認証手段によって、認証要求受信手段でユーザ認証要求を受信した際に、予めユーザ情報記憶手段に登録されているユーザ情報に基づいて、ユーザ利用端末を操作するユーザとの間でユーザ認証を行う。このユーザ認証は、例えば、パスワード認証によって行うことができる。

0015

そして、認証連携装置は、認証情報発行手段によって、ユーザ認証手段におけるユーザ認証結果にユーザを識別する識別子を付加して認証情報を発行(生成)し、認証情報記憶手段に書き込み記憶する。
さらに、認証連携装置は、機器認証要求手段によって、機器認証装置に対して、認証情報またはその参照情報を送信するとともに、ユーザ利用端末の認証を要求する。この際、機器認証装置と認証連携装置の間で事前に連携づけているユーザの識別子を指定して、機器認証要求を行う。

0016

そして、認証連携装置は、機器認証結果受信手段によって、機器認証装置から、認証情報で特定されるユーザが予め登録しているユーザ利用端末の機器認証結果を受信する。これによって、認証連携装置は、認証主体であるユーザに対応した機器の認証結果を取得することができる。

0017

その後、認証連携装置は、認証情報更新手段によって、機器認証結果受信手段で受信した機器認証結果を、認証情報記憶手段に記憶されている認証情報に付加することで、当該認証情報を更新する。これによって、認証情報には、認証主体としてユーザとユーザが事前に登録している機器(ユーザ利用端末)との認証結果が記録されることになり、認証連携装置は、ユーザ認証結果とユーザに紐付いた機器の認証結果とをバインドして、サービス提供装置に提示することができる。

0018

また、請求項2に記載の認証連携装置は、請求項1に記載の認証連携装置において、認証レベル記憶手段と、認証レベル判別手段と、を備える構成とした。

0019

かかる構成において、認証連携装置は、認証レベル記憶手段に、ユーザおよびユーザ利用端末の認証状態を示す認証レベルを記憶する。
そして、認証連携装置は、認証レベル判別手段によって、ユーザ認証要求を受信した際に、認証レベル記憶手段に記憶されている認証レベルがどのレベルかを判別する。

0020

そして、認証連携装置は、認証レベルがユーザ未認証である場合に、ユーザ認証手段によってユーザ認証を行い、認証レベルが機器未認証である場合に、機器認証要求手段によって、機器認証装置に対してユーザ利用端末の認証を要求する。これによって、認証連携装置は、現在の認証レベルを判別して主体的にユーザ利用端末の機器認証要求を行い、認証情報を更新することができる。

0021

また、請求項3に記載の認証連携装置は、請求項1または請求項2に記載の認証連携装置において、認証情報更新要求受信手段と、機器認証結果問い合わせ手段と、を備える構成とした。

0022

かかる構成において、認証連携装置は、認証情報更新要求受信手段によって、機器認証装置から、ユーザ利用端末の認証結果を一意に特定するトークンを含んだ認証情報更新要求を受信する。そして、認証連携装置は、機器認証結果問い合わせ手段によって、認証情報更新要求に含まれているトークンを含んだ機器認証結果問い合わせを機器認証装置に送信することで、特定されたユーザの利用端末の認証結果を取得する。
これによって、認証連携装置は、ユーザ利用端末の認証結果が更新されたことをトークンによって認識し、その認証結果を取得して、ユーザ主体の認証結果にバインドすることができる。

0023

さらに、請求項4に記載の認証連携プログラムは、サービスを提供する複数のサービス提供装置間で前記サービスを利用するユーザの認証を連携して行う認証連携装置と、前記サービスを利用するユーザ利用端末の機器認証を行う機器認証装置とからなる認証連携システムの認証連携装置において、ユーザ認証結果と事前にユーザが登録した機器の認証結果とを結びつけるために、前記認証連携装置のコンピュータを、認証要求受信手段、ユーザ認証手段、認証情報発行手段、機器認証要求手段、機器認証結果受信手段、認証情報更新手段として機能させる構成とした。

0024

かかる構成において、認証連携プログラムは、認証要求受信手段によって、ユーザがサービスの要求を行ったサービス提供装置からユーザ認証の要求を示すユーザ認証要求を受信する。そして、認証連携プログラムは、ユーザ認証手段によって、認証要求受信手段でユーザ認証要求を受信した際に、予めユーザ情報記憶手段に登録されているユーザ情報に基づいて、ユーザ利用端末を操作するユーザとの間でユーザ認証を行う。

0025

そして、認証連携プログラムは、認証情報発行手段によって、ユーザ認証手段におけるユーザ認証結果にユーザを識別する識別子を付加して認証情報を発行(生成)し、認証情報記憶手段に書き込み記憶する。
さらに、認証連携プログラムは、機器認証要求手段によって、機器認証装置に対して、認証情報またはその参照情報を送信するとともに、ユーザ利用端末の認証を要求する。

0026

そして、認証連携プログラムは、機器認証結果受信手段によって、機器認証装置から、認証情報で特定されるユーザが予め登録しているユーザ利用端末の機器認証結果を受信する。その後、認証連携プログラムは、認証情報更新手段によって、機器認証結果受信手段で受信した機器認証結果を、認証情報記憶手段に記憶されている認証情報に付加することで、当該認証情報を更新する。

0027

また、請求項5に記載の機器認証装置は、サービスを提供する複数のサービス提供装置間で前記サービスを利用するユーザの認証を連携して行う認証連携装置と、前記サービスを利用するユーザ利用端末の機器認証を行う機器認証装置とからなる認証連携システムにおける機器認証装置であって、ユーザ登録機器情報記憶手段と、認証情報受信手段と、認証情報検証手段と、機器認証手段と、機器認証結果送信手段と、を備える構成とした。

0028

かかる構成において、機器認証装置は、ユーザ登録機器情報記憶手段にユーザを識別する識別子と当該ユーザが利用するユーザ利用端末の機器認証用の機器情報とを予め登録しておく。この機器情報は、例えば、デバイス鍵電子証明書などである。

0029

そして、機器認証装置は、認証情報受信手段によって、認証連携装置からユーザ認証結果を示す認証情報を受信する。さらに、機器認証装置は、認証情報検証手段によって、認証情報受信手段で受信した認証情報に基づいてユーザの正当性を検証する。例えば、認証情報に署名を付加しておき、認証情報検証手段は、署名を検証することで認証情報の正当性を確認する。

0030

また、機器認証装置は、機器認証手段によって、認証情報検証手段で正当性が検証されたユーザの識別子に対応してユーザ登録機器情報記憶手段に記憶されている機器情報に基づいて、ユーザ利用端末との間で機器認証を行う。この機器認証は、例えば、デバイス鍵を用いたチャレンジレスポンス認証によって行うことができる。

0031

そして、機器認証装置は、機器認証結果送信手段によって、機器認証手段における機器認証結果を認証連携装置に送信する。
これによって、機器認証装置は、認証連携装置から受信したユーザの認証情報に基づいてユーザの正当性を検証し、特定された正当なユーザが利用するユーザ利用端末の認証結果を認証連携装置に送信することができる。

0032

また、請求項6に記載の機器認証装置は、請求項5に記載の機器認証装置において、機器認証要求受信手段と、認証情報問い合わせ手段と、を備える構成とした。

0033

かかる構成において、機器認証装置は、機器認証要求受信手段によって、認証連携装置から、認証情報または当該認証情報を参照するための参照情報を含んだユーザ利用端末の認証の要求を示す機器認証要求を受信する。
そして、機器認証装置は、機器認証要求に認証情報の参照情報が含まれている場合に、認証情報問い合わせ手段によって、参照先の認証情報の問い合わせを認証連携装置に送信する。

0034

そして、機器認証装置は、認証情報検証手段によって、機器認証要求受信手段で受信した認証情報、または、認証情報問い合わせ手段による問い合わせに対して認証連携装置が送信し認証情報受信手段が受信した認証情報に基づいて、ユーザの正当性を検証する。
これによって、機器認証装置は、機器認証の要求に併せてユーザの認証情報を取得することができ、ユーザの正当性を検証し、特定された正当なユーザが利用するユーザ利用端末の認証結果を認証連携装置に送信することができる。

0035

また、請求項7に記載の機器認証装置は、請求項5に記載の機器認証装置において、認証情報更新要求送信手段と、機器認証結果問い合わせ受信手段と、を備える構成とした。

0036

かかる構成において、機器認証装置は、機器認証手段によって、機器認証結果を一意に特定するトークンを生成し、機器認証結果とトークンとを対応付けて機器認証結果記憶手段に記憶する。このトークンは、機器認証結果へのアクセス権限を示す情報であって、一般的なソフトウェアトークンを用いることができる。
そして、機器認証装置は、認証情報更新要求送信手段によって、トークンを含んだ認証情報の更新の要求を示す認証情報更新要求を認証連携装置に送信する。そして、機器認証装置は、機器認証結果問い合わせ受信手段によって、認証連携装置から、トークンを含んだ機器認証結果問い合わせを受信する。

0037

また、機器認証装置は、機器認証結果送信手段によって、機器認証結果問い合わせに含まれているトークンに対応する機器認証結果を機器認証結果記憶手段から読み出して認証連携装置に送信する。
これによって、機器認証装置は、主体的に認証連携装置に対して認証情報の更新を要求し、ユーザ主体の認証情報に、そのユーザが予め登録した機器主体の認証結果をバインドさせることができる。

0038

さらに、請求項8に記載の機器認証プログラムは、サービスを提供する複数のサービス提供装置間で前記サービスを利用するユーザの認証を連携して行う認証連携装置と、前記サービスを利用するユーザ利用端末の機器認証を行う機器認証装置とからなる認証連携システムの機器認証装置において、ユーザ認証結果と事前に登録した機器の機器認証結果とを結びつけるために、前記機器認証装置のコンピュータを、認証情報受信手段、認証情報検証手段、機器認証手段、機器認証結果送信手段、として機能させる構成とした。

0039

かかる構成において、機器認証プログラムは、認証情報受信手段によって、認証連携装置からユーザ認証結果を示す認証情報を受信する。さらに、機器認証プログラムは、認証情報検証手段によって、認証情報受信手段で受信した認証情報に基づいてユーザの正当性を検証する。

0040

そして、機器認証プログラムは、機器認証手段によって、ユーザを識別する識別子と当該ユーザが利用するユーザ利用端末の機器認証用の機器情報とを予め登録して記憶するユーザ登録機器情報記憶手段に記憶されている機器情報に基づいて、認証情報検証手段で正当性が検証されたユーザの識別子に対応したユーザ利用端末との間で機器認証を行う。
そして、機器認証プログラムは、機器認証結果送信手段によって、機器認証手段における機器認証結果を認証連携装置に送信する。

0041

また、請求項9に記載の認証連携システムは、サービスを提供する複数のサービス提供装置間で前記サービスを利用するユーザの認証を連携して行う認証連携装置と、前記サービスを利用するユーザ利用端末の機器認証を行う機器認証装置とからなる認証連携システムであって、前記認証連携装置は、認証要求受信手段と、ユーザ認証手段と、認証情報発行手段と、認証情報記憶手段と、機器認証要求手段と、機器認証結果受信手段と、認証情報更新手段と、を備え、前記機器認証装置は、ユーザ登録機器情報記憶手段と、認証情報受信手段と、認証情報検証手段と、機器認証手段と、機器認証結果送信手段と、を備える構成とした。

0042

かかる構成において、認証連携システムの認証連携装置は、認証要求受信手段によって、ユーザがサービスの要求を行ったサービス提供装置からユーザ認証の要求を示すユーザ認証要求を受信する。そして、認証連携装置は、ユーザ認証手段によって、認証要求受信手段でユーザ認証要求を受信した際に、予めユーザ情報記憶手段に登録されているユーザ情報に基づいて、ユーザ利用端末を操作するユーザとの間でユーザ認証を行う。

0043

そして、認証連携装置は、認証情報発行手段によって、ユーザ認証手段におけるユーザ認証結果にユーザを識別する識別子を付加して認証情報を発行(生成)し、認証情報記憶手段に書き込み記憶する。
さらに、認証連携装置は、機器認証要求手段によって、機器認証装置に対して、認証情報を送信するとともに、ユーザ利用端末の認証を要求する。

0044

そして、認証連携装置は、機器認証結果受信手段によって、機器認証装置から、認証情報で特定されるユーザが予め登録しているユーザ利用端末の機器認証結果を受信する。
その後、認証連携装置は、認証情報更新手段によって、機器認証結果受信手段で受信した機器認証結果を、認証情報記憶手段に記憶されている認証情報に付加することで、当該認証情報を更新する。

0045

また、認証連携システムの機器認証装置は、ユーザ登録機器情報記憶手段にユーザを識別する識別子と当該ユーザが利用するユーザ利用端末の機器認証用の機器情報とを予め登録しておく。
そして、機器認証装置は、認証情報受信手段によって、認証連携装置からユーザ認証結果を示す認証情報を受信する。さらに、機器認証装置は、認証情報検証手段によって、認証情報受信手段で受信した認証情報に基づいてユーザの正当性を検証する。

0046

また、機器認証装置は、機器認証手段によって、認証情報検証手段で正当性が検証されたユーザの識別子に対応してユーザ登録機器情報記憶手段に記憶されている機器情報に基づいて、ユーザ利用端末との間で機器認証を行う。
そして、機器認証装置は、機器認証結果送信手段によって、機器認証手段における機器認証結果を認証連携装置に送信する。

発明の効果

0047

本発明は、以下に示す優れた効果を奏するものである。
請求項1,4に記載の発明によれば、認証連携装置は、ユーザに紐付いたユーザ利用端末の機器認証結果を取得するができ、ユーザ認証結果と機器認証結果とをバインドして、1つの認証情報として生成、更新することができる。これによって、認証連携装置を利用するサービス提供装置は、サービス提供装置ごとに、ユーザが利用するユーザ利用端末の機器認証を行う必要がなく、ユーザ認証結果と機器認証結果とをバインドした認証情報によって、サービスの可否判定を行うことが可能になる。
また、認証連携装置は、1つの認証情報に2つの主体(ユーザ、ユーザ利用端末)の認証結果が含まれているため、従来の認証連携装置のインタフェースを変えることなく、サービス提供装置に対して、認証情報の連携(アイデンティティ連携)を行うことができる。

0048

請求項2に記載の発明によれば、認証連携装置は、認証レベルに応じて、認証の対象を変え、自らユーザ認証結果と機器認証結果とを取得し、1つの認証情報としてバインドすることができる。
請求項3に記載の発明によれば、認証連携装置は、機器認証装置から認証情報更新要求を取得することで、機器認証結果が更新されたことを検知し、機器認証装置から機器認証結果を取得することができる。

0049

請求項5,8に記載の発明によれば、機器認証装置は、認証連携装置から送信されるユーザ主体の認証情報によってユーザを特定し、当該ユーザが予め登録しているユーザ利用端末の認証を行うことできる。これによって、機器認証装置は、認証連携装置におけるユーザ認証と連携して、機器認証を行うことができる。

0050

請求項6に記載の発明によれば、機器認証装置は、認証連携装置から送信される機器認証要求に対応して、ユーザ主体の認証情報を取得することができる。また、機器認証装置は、その認証情報によってユーザを特定し、当該ユーザが予め登録しているユーザ利用端末の認証を行うことできる。
請求項7に記載の発明によれば、機器認証装置は、機器認証を行う際に自発的に認証情報を更新する要求を認証連携装置に通知することができる。これによって、機器認証装置は、認証連携装置と連携して、ユーザ認証と機器認証とをバインドすることができる。

0051

請求項9に記載の発明によれば、認証連携システムは、サービス提供装置が、認証連携装置によって連携してユーザ認証を行う場合に、機器認証装置によって、ユーザが利用するユーザ利用端末の機器認証を行い、2つの主体(ユーザ、ユーザ利用端末)の認証情報を1つの認証情報にバインドし、それらを複数のサービス提供装置間で連携して利用することができる。これによって、サービス提供装置は、ユーザの認証結果を検証してサービスを提供する際に、ユーザが利用する機器のアクセス環境の正当性をも判断することが可能になり、正当な機器と不正な機器とで異なるアクセス制御を行うことができる。

図面の簡単な説明

0052

本発明の第1実施形態に係る認証連携システムの構成を示すシステム構成図である。
本発明の第1実施形態に係る認証連携装置の構成を示すブロック構成図である。
本発明の第1実施形態に係る機器認証装置の構成を示すブロック構成図である。
本発明の第1実施形態に係る認証連携システムの動作を示すシーケンス図である。
本発明の認証連携装置のユーザ情報記憶手段に記憶されるユーザ情報の一例を示す図である。
本発明の認証連携装置の認証情報記憶手段に記憶される認証情報の一例を示す図である。
機器認証結果をバインドした認証情報(証明書)の一例を示す図である。
本発明の第2実施形態に係る認証連携システムの構成を示すシステム構成図である。
本発明の第2実施形態に係る認証連携装置の構成を示すブロック構成図である。
本発明の第2実施形態に係る機器認証装置の構成を示すブロック構成図である。
本発明の第2実施形態に係る認証連携システムの動作を示すシーケンス図である。

実施例

0053

以下、本発明の実施形態について図面を参照して説明する。
<第1実施形態>
[認証連携システムの構成]
まず、図1を参照して、本発明の第1実施形態に係る認証連携システムの構成について説明する。

0054

認証連携システムSは、ユーザ認証を複数のサービス提供装置3間で連携する際に、併せて、ユーザが利用するユーザ利用端末4の認証を行うシステムである。
ここでは、認証連携システムSは、認証連携装置1と、機器認証装置2と、1つ以上のサービス提供装置3を含むサービス提供装置群と、ユーザ利用端末4と、をネットワークNを介して接続して構成している。

0055

認証連携装置1は、サービスを享受するユーザ個人を主体とした認証を行うものである。この認証連携装置1は、事前に信頼関係を構築しているサービス提供装置3との間でユーザ個人の認証を連携して行うため、ユーザ個人を主体とした認証情報をサービス提供装置3に対して発行する。なお、この認証連携装置1は、機器認証装置2が発行する機器主体の認証結果を認証情報に含めることで、ユーザ主体の認証と、機器主体の認証とを1つの認証情報として発行する。

0056

機器認証装置2は、ユーザがサービスの提供を受ける機器を主体として認証を行うものである。この機器認証装置2は、事前に登録しているユーザの機器を特定する機器情報に基づいて、ユーザが利用するユーザ利用端末4の認証を行い、機器主体の認証結果を発行する。この機器主体の認証結果は、認証連携装置1において、認証情報にバインドされる。

0057

サービス提供装置3は、ユーザに対してサービスを提供するものである。なお、このサービス提供装置3が提供するサービスは、一般的なサービスであって特に限定するものではない。例えば、ネットバンクサービス、マルチメディアコンテンツ(動画音楽配信サービスなどである。

0058

ユーザ利用端末4は、ユーザが、ネットワークNを介して、サービス提供装置3からサービスの提供を受ける装置である。このユーザ利用端末4は、例えば、パーソナルコンピュータテレビ受像機、携帯端末、専用端末など、ネットワークを介して提供されるサービスの提供を受ける機器であれば特に限定するものではない。
以下、本発明に係る認証連携装置1および機器認証装置2について詳細に説明する。

0059

〔認証連携装置の構成〕
最初に、図2を参照(適宜図1参照)して、認証連携装置1の構成について説明する。ここでは、認証連携装置1は、通信部10と、記憶部11と、制御部12と、を備えている。

0060

通信部10は、通信先の端末(機器認証装置2、サービス提供装置3、ユーザ利用端末4)との間で、TCP/IPなどの所定のプロトコルで通信を行うものである。この通信部10は、例えば、NIC(Network Interface Card)で実現することができる。

0061

記憶部11は、認証連携装置1内で保持する各種データを記憶するものである。この記憶部11は、例えば、外部から読み取りや書き込みが可能な磁気ディスク光ディスクなどの記憶装置で実現することができる。ここでは、記憶部11は、機器認証先記憶手段110と、ユーザ情報記憶手段111と、認証情報記憶手段112と、を備えている。なお、これらの記憶手段は、それぞれ個別の記憶媒体として構成してもよいし、1つの記憶媒体で異なる記憶領域に記憶する構成としてもよい。

0062

機器認証先記憶手段110は、機器を主体とする機器認証のサービス(機器認証サービス)を提供する機器認証装置2のアドレスを予め記憶しておくものである。このアドレスは、例えば、機器認証装置2の機器認証サービス先のURL(Uniform Resource Locator)である。

0063

ユーザ情報記憶手段111は、ユーザ主体の認証を行う際に必要となるユーザ情報(クレデンシャル情報属性情報)を予め記憶しておくものである。
ここで、ユーザ情報であるクレデンシャル情報とは、ユーザの信用を示す情報であって、例えば、ID/パスワード、生体情報ハードウェアトークン、電子証明書などである。なお、本発明において、これらの認証方式は特に限定するものではない。また、属性情報は、ユーザを特定する情報であって、ユーザの氏名、年齢などである。

0064

さらに、ユーザ情報記憶手段111は、ユーザごとに、機器認証装置2および各サービス提供装置3と連携するための識別子(連携用ユーザ識別子)を対応付けて記憶しておくこととする。この連携用ユーザ識別子は、実ID(ユーザ識別子そのもの)であっても構わないが、漏洩時の被害を最小限に抑えるため、仮ID(連携用ユーザ識別子)を用いることが望ましい。
なお、ユーザ情報記憶手段111には、このようなユーザ情報が、図示を省略したユーザ情報登録手段によって、予め登録されているものとする。また、このユーザ情報登録手段によって、ユーザの新規登録や、ユーザ情報の削除などが行われるものとする。

0065

ここで、図5を参照(適宜図2参照)して、ユーザ情報記憶手段111に記憶されるユーザ情報の一例について説明する。
図5では、ユーザ情報記憶手段111に、ユーザごとに、「ユーザ名」、「ユーザ識別子(ユーザID)」、「パスワード」、機器認証装置2に対応した「連携用ユーザ識別子(機器認証装置連携用ユーザ識別子)」、および、複数のサービス提供装置3(3a,3b,…)に対応した「連携用ユーザ識別子(サービス提供装置連携用ユーザ識別子)」を記憶した例を示している。

0066

ここで、「ユーザ名」は、ユーザを特定する属性情報である。これ以外にも、年齢、生年月日などの情報を記憶してもよい。
「ユーザ識別子(ユーザID)」は、ユーザを一意に特定するための情報であって、英数字などの文字列である。

0067

「パスワード」は、ユーザを認証するためのクレデンシャル情報である。ここでは、ID/パスワードを認証方式として使用することを前提としているが、電子証明書など他の認証方式を使用する場合は、その認証方式に応じた情報(認証鍵など)が記憶されることになる。

0068

「連携用ユーザ識別子(機器認証装置連携用ユーザ識別子)」は、機器認証装置2との間で、ユーザを特定するための識別子であって、実IDであるユーザ識別子と紐付けられた仮IDである。
「連携用ユーザ識別子(サービス提供装置連携用ユーザ識別子)」は、サービス提供装置3との間で、ユーザを特定するための識別子であって、実IDであるユーザ識別子と紐付けられた仮IDである。
図2に戻って、認証連携装置1の構成について説明を続ける。

0069

認証情報記憶手段(認証レベル記憶手段)112は、ユーザごとの認証に関する情報(認証レベル、認証結果、認証情報など)を記憶するものである。
ここで、認証レベルは、認証主体(ユーザ、機器)の認証状態を示す情報である。また、認証結果は、ユーザ認証を行った結果を示すユーザ認証結果と、機器認証を行った結果を示す機器認証結果とを示す情報である。この認証レベルや認証結果は、後記するユーザ認証手段122や認証情報更新手段128によって更新される。

0070

また、認証情報は、認証情報発行手段124が発行した主体(ユーザおよび機器)の認証結果を証明する電子証明書(以下、単に証明書)である。

0071

ここで、図6を参照(適宜図2参照)して、認証情報記憶手段112に記憶される認証に関する情報の一例について説明する。
図6では、認証情報記憶手段112に、ユーザごとに、「ユーザ識別子(ユーザID)」、「認証レベル」、「セッション情報」、「ユーザ認証結果」、「機器認証結果」、「認証情報」を記憶した例を示している。

0072

ここで、「ユーザ識別子(ユーザID)」は、ユーザを一意に特定するための情報であって、図5で示したユーザ識別子と同じものである。
「認証レベル」は、認証主体(ユーザ、機器)の認証がどの段階まで進んでいるのかを示す情報である。具体的には、認証レベルは、主体(ユーザおよび機器)の認証がまだ行われていない状態を示す「“0”=未認証」、ユーザ認証のみが終了した状態を示す「“1”=ユーザ認証済み」、ユーザ認証および機器認証のどちらも終了した状態を示す「“2”=ユーザ/機器認証済み」などで区別される情報である。

0073

なお、ここでは、認証が成功したユーザ利用端末4(図1参照)に発行する「セッション情報(セッションID)」を認証情報記憶手段112に記憶しておくこととする。この「セッション情報」は、認証に成功したユーザが、他のサービスに遷移する場合であっても、同一のセッション情報が継続して使用されている場合は、不要な再認証を行わないようにするものである。このセッション情報は、一般的なセッション管理で使用するものであるため、ここでは、詳細な説明は省略する。

0074

「ユーザ認証結果」は、ユーザ主体の認証結果を示す情報である。この「ユーザ認証結果」には、例えば、認証時間、認証方式などが含まれる。
「機器認証結果」は、機器主体の認証結果を示す情報である。この「機器認証結果」には、例えば、認証ステータス(正当な機器と判定されたか否かを示す情報)、認証時間、認証方式、機器認証発行先(機器認証装置2を特定する識別子などの情報)、機器情報(機器種別製造メーカーなど)、署名(機器認証装置2が発行したデジタル署名)などが含まれる。

0075

「認証情報」は、主体(ユーザおよび機器)の認証結果を証明するための証明書(電子証明書)である。この証明書は、ユーザが利用するサービス提供装置3ごとに複数生成されることになる。

0076

ここで、図7を参照して、「証明情報」の実体である「証明書」の具体例について説明する。
図7に示すように、証明書は、例えば、「署名」、「ユーザ主体情報」、「条件」、「ユーザ認証結果」、「機器認証結果」を含んだ情報である。

0077

ここで、「署名」は、当該証明書の正当性を証明するためのデジタル署名であって、後記する署名生成手段125によって付加される情報である。
「ユーザ主体情報」は、機器認証装置2やサービス提供装置3との間でユーザ認証の連携を行うためのユーザを特定する識別子である。ここでは、当該識別子として、実際のユーザ識別子を用いるのではなく、機器認証装置2やサービス提供装置3との間で連携を行うための図5で説明した連携用ユーザ識別子(機器認証装置連携用ユーザ識別子、サービス提供装置連携用ユーザ識別子)を用いることとする。

0078

「条件」は、当該証明書を使用するための各種の条件を示す情報である。例えば、当該証明書がどの装置に対して発行されたのかを示す証明情報発行先、あるいは、当該証明書の有効期限などである。
「ユーザ認証結果」は、図6で説明したユーザ認証結果と同じ内容であって、当該証明書を生成する際に、図6の「ユーザ認証結果」がバインドされる。
「機器認証結果」は、図6で説明した機器認証結果と同じ内容であって、当該証明書を生成する際に、図6の「機器認証結果」がバインドされる。

0079

なお、この証明書は、標準化団体OASISによって策定されたXML形式の仕様であるSAML(Security Assertion Markup Language)アサーションなどの標準化された仕様または規格に従っていることが望ましい。
図2に戻って、認証連携装置1の構成について説明を続ける。

0080

制御部12は、認証連携装置1の動作を制御するものである。この制御部12は、CPU、RAM、ROMなどの一般的なハードウェア構成で実現することができる。ここでは、制御部12は、認証要求受信手段120と、認証レベル判別手段121と、ユーザ認証手段122と、機器認証要求手段123と、認証情報発行手段124と、署名生成手段125と、認証情報問い合わせ受信手段126と、機器認証結果受信手段127と、認証情報更新手段128と、を備えている。なお、制御部12は、コンピュータ(CPU)を、これら各手段として機能させるプログラム(認証連携プログラム)によって動作させることができる。

0081

認証要求受信手段120は、通信部10を介して、サービスを享受する主体(ユーザ、機器)を認証するための認証要求を受信するものである。この認証要求は、ユーザ利用端末4からサービスの利用を要求されたサービス提供装置3が送信する要求である。なお、サービス提供装置3は、認証要求に転送先(認証連携装置1)のアドレスを付加して、サービスを要求したユーザ利用端末4に送信する。そして、ユーザ利用端末4は、リダイレクトによって、認証要求を認証連携装置1に送信する。これによって、個々のサービス提供装置3は、ユーザ利用端末4との間で直接認証処理を行う必要がない。
この認証要求受信手段120は、認証要求を受信した旨を、ユーザ利用端末4からのセッション情報とともに認証レベル判別手段121に通知する。

0082

認証レベル判別手段121は、認証要求受信手段120から認証要求を受信した旨を通知された段階で、認証主体(ユーザ、機器)の認証レベルを判別するものである。具体的には、認証レベル判別手段121は、認証情報記憶手段112に記憶されている主体(ユーザおよび機器)の認証レベルが、どのレベルであるか(「未認証」であるか、「ユーザ認証済み」であるか、「ユーザ/機器認証済み」であるか)を判別し、その認証レベルに応じて、認証要求の引き渡し先を変える。ここでは、認証レベル判別手段121は、認証レベルが「未認証」である場合はユーザ認証手段122に、認証レベルが「ユーザ認証済み」である場合は機器認証要求手段123に、認証レベルが「ユーザ/機器認証済み」である場合は認証情報発行手段124にそれぞれ認証要求を引き渡す。

0083

ユーザ認証手段122は、ユーザ情報記憶手段111に記憶されているユーザ情報に基づいて、ユーザ(ユーザ利用端末4)から受信したクレデンシャル情報の認証を行うものである。例えば、ID/パスワードの認証方式によってユーザ認証を行う場合、ユーザ認証手段122は、ユーザ(ユーザ利用端末4)に対して、ユーザ識別子(ID)およびパスワードの入力を求め、入力されたID/パスワードが、ユーザ情報記憶手段111に記憶されているユーザ情報に合致するか否かによって、ユーザ認証を行う。もちろん、生体情報などの他の認証方式によってユーザ認証を行うこととしてもよい。

0084

このユーザ認証手段122は、ユーザ認証後、認証結果を認証情報記憶手段112に書き込み、認証要求を行ったサービス提供装置3に対応した認証情報(証明書)あるいは当該証明書の参照情報(認証情報参照情報)を機器認証要求手段123に引き渡す。ここで、参照情報とは、認証情報の参照先を示す情報であって、例えば、証明書の所在を示すアドレスなどである。SAMLでは、参照情報(アーティファクト)のフォーマットとして、証明書発行者の識別子(または発行サイトURLへの変換用識別子)と、証明書の検索のために一時的に発行されたランダムな文字列とを結合させたものを利用することを推奨している。そこで、このような識別子とランダムな文字列を結合して参照情報としてもよい。
なお、ユーザ認証手段122は、認証情報を機器認証要求手段123に引き渡す場合、後記する認証情報発行手段124に認証情報の発行を要求し、発行された認証情報を機器認証要求手段123に引き渡すこととする。

0085

機器認証要求手段123は、ユーザ主体の認証後、機器認証装置2に対して機器認証を要求するものである。ここでは、機器認証要求手段123は、機器認証要求に、ユーザ認証手段122から引き渡された認証情報(証明書)またはその参照情報と、転送先(機器認証装置2)のアドレスを付加して、サービスを要求したユーザ利用端末4に送信する。なお、転送先(機器認証装置2)のアドレスは、予め機器認証先記憶手段110に記憶されている。そして、ユーザ利用端末4は、リダイレクトによって、機器認証要求を機器認証装置2に送信する。これによって、個々のサービス提供装置3は、ユーザ利用端末4との間で直接機器の認証処理を行う必要がない。

0086

認証情報発行手段124は、認証情報記憶手段112に記憶されている認証結果に基づいて、認証情報(証明書)を発行(生成)するものである。
ここでは、認証情報発行手段124は、ユーザ認証が行われた際、機器認証装置2から認証情報の問い合わせがあった際、あるいは、機器認証装置2から機器認証結果を取得した際に認証情報(証明書)を発行する。

0087

この認証情報発行手段124は、ユーザ認証が行われた際、すなわち、ユーザ認証手段122から、認証情報の発行を要求された際に、要求のあったユーザ識別子に対応して認証情報記憶手段112に記憶されている認証結果などをバインドし、署名生成手段125によるデジタル署名を付加することで証明書を生成する。
具体的には、認証情報発行手段124は、図7で説明した認証情報(証明書)を生成して認証情報記憶手段112に書き込む。

0088

また、認証情報発行手段124は、機器認証装置2から認証情報の問い合わせがあった際、すなわち、後記する認証情報問い合わせ受信手段126で、参照情報をもとに認証情報の問い合わせを受信した際に、参照先の認証情報(証明書)を、認証情報記憶手段112から読み出して、機器認証装置2に送信する。

0089

さらに、認証情報発行手段124は、機器認証装置2から機器認証結果を取得した際、すなわち、後記する機器認証結果受信手段127が機器認証結果を受信し、認証情報更新手段128が認証情報を更新した際に、認証情報(証明書)を再発行する。このとき、認証情報発行手段124は、再発行した認証情報(証明書)に、転送先(サービス提供装置3)のアドレスを付加して、ユーザ利用端末4に送信する。そして、ユーザ利用端末4は、リダイレクトによって、認証情報(証明書)をサービス提供装置3に送信する。これによって、サービス提供装置3は、ユーザ認証および機器認証の結果を把握することができる。

0090

署名生成手段125は、認証情報発行手段124において認証情報(証明書)を生成する際に、当該証明書にデジタル署名を付与するものである。なお、このデジタル署名は、一般的なデジタル署名を用いることができる。すなわち、署名生成手段125は、ハッシュ関数で証明書のデータのハッシュ値を算出し、秘密鍵で暗号化することでデジタル署名を生成する。これによって、機器認証装置2やサービス提供装置3では、認証情報(証明書)を、その証明書に付加されたデジタル署名によって検証することができる。

0091

認証情報問い合わせ受信手段126は、機器認証装置2から認証情報の問い合わせを受信するものである。この認証情報問い合わせ受信手段126は、受信した認証情報問い合わせに含まれている参照情報を、認証情報発行手段124に引き渡す。

0092

機器認証結果受信手段127は、機器認証要求手段123が要求した機器認証要求に対して、機器認証装置2が行った機器認証結果を機器認証応答として受信するものである。なお、この機器認証応答には、連携用ユーザ識別子が含まれており、ユーザが特定されたものとなっている。この機器認証結果受信手段127は、受信した機器認証応答を、認証情報更新手段128に引き渡す。

0093

認証情報更新手段128は、機器認証結果受信手段127で受信した機器認証応答に含まれている機器認証結果に基づいて、認証情報を更新するものである。すなわち、認証情報更新手段128は、機器認証結果受信手段127から引き渡された連携用ユーザ識別子に対応するユーザ識別子を、ユーザ情報記憶手段111において探索し、認証情報記憶手段112において、探索したユーザ識別子に対応する機器認証結果を、受信した機器認証結果で更新する。そして、認証情報更新手段128は、認証情報発行手段124に更新後の機器認証結果で認証情報の発行を指示する。

0094

このように構成することで、認証連携装置1は、ユーザ主体の認証と機器主体の認証との異なる主体の認証を一元管理し、ユーザ主体のアイデンティティ連携を行うことができる。

0095

〔機器認証装置の構成〕
次に、図3を参照(適宜図1参照)して、機器認証装置2の構成について説明する。ここでは、機器認証装置2は、通信部20と、記憶部21と、制御部22と、を備えている。

0096

通信部20は、通信先の端末(認証連携装置1、サービス提供装置3、ユーザ利用端末4)との間で、TCP/IPなどの所定のプロトコルで通信を行うものである。この通信部20は、例えば、NIC(Network Interface Card)で実現することができる。

0097

記憶部21は、機器認証装置2内で保持する各種データを記憶するものである。記憶部21は、例えば、外部から読み取りや書き込みが可能な磁気ディスク、光ディスクなどの記憶装置で実現することができる。ここでは、記憶部21は、ユーザ登録機器情報記憶手段210と、機器認証結果記憶手段211と、を備えている。なお、これらの記憶手段は、それぞれ個別の記憶媒体として構成してもよいし、1つの記憶媒体で異なる記憶領域に記憶する構成としてもよい。

0098

ユーザ登録機器情報記憶手段210は、ユーザが利用する機器(ユーザ利用端末4)を認証するための情報(登録機器情報)を、予めユーザごとに登録して記憶しておくものである。この登録機器情報は、例えば、機器認証用の秘密情報(デバイス鍵など)、電子証明書などである。また、この登録機器情報は、予め認証連携装置1との認証連携を行うため連携用ユーザ識別子に対応付けられているものとする。

0099

なお、ユーザ登録機器情報記憶手段210には、このような登録機器情報が、図示を省略したユーザ機器登録手段によって、予め登録されているものとする。また、このユーザ機器登録手段によって、ユーザが利用する機器の新規登録や、登録機器情報の削除などが行われるものとする。

0100

機器認証結果記憶手段211は、後記する機器認証手段224によって、ユーザが利用する機器(ユーザ利用端末4)の認証結果(機器認証結果)を記憶するものである。この機器認証結果は、ユーザを識別する情報(連携用ユーザ識別子)に対応付けて記憶される。

0101

なお、この機器認証結果は、機器主体の認証結果を示す情報である。この機器認証結果には、例えば、認証ステータス、認証時間、認証方式、機器認証発行先、機器情報(ユーザ利用端末4を特定する機器種別、製造メーカーなどの情報)などが含まれ、図7で説明した証明書の「機器認証結果」に書き込まれる情報と同じものである。

0102

制御部22は、機器認証装置2の動作を制御するものである。この制御部22は、CPU、RAM、ROMなどの一般的なハードウェア構成で実現することができる。ここでは、制御部22は、機器認証要求受信手段220と、認証情報問い合わせ手段221と、認証情報受信手段222と、認証情報検証手段223と、機器認証手段224と、機器認証結果送信手段225と、署名生成手段226と、を備えている。なお、制御部22は、コンピュータ(CPU)を、これら各手段として機能させるプログラム(機器認証プログラム)によって動作させることができる。

0103

機器認証要求受信手段220は、通信部20を介して、認証連携装置1から、ユーザが利用する機器(ユーザ利用端末4)を認証するための機器認証要求を受信するものである。この機器認証要求は、認証連携装置1の機器認証要求手段123(図2参照)から送信された要求であって、ユーザ利用端末4でリダイレクトされて、機器認証装置2に送信された要求である。

0104

この機器認証要求受信手段220は、機器認証要求に含まれているユーザの認証情報(証明書)またはその参照情報を抽出する。なお、機器認証要求受信手段220は、機器認証要求によって認証情報を受信した場合、当該認証情報を認証情報受信手段222に引き渡し、参照情報を受信した場合、その参照情報を認証情報問い合わせ手段221に引き渡す。

0105

認証情報問い合わせ手段221は、機器認証要求受信手段220で受信した機器認証要求に含まれる参照情報を、認証情報の発行元である認証連携装置1に送信することで、ユーザの認証情報の問い合わせを行うものである。この認証情報問い合わせ手段221は、参照情報を含んだメッセージである認証情報問い合わせを、通信部20を介して、認証連携装置1に送信する。

0106

認証情報受信手段222は、通信部20を介して、認証連携装置1から、ユーザの認証情報を受信するものである。なお、機器認証要求受信手段220において、認証情報を付加した機器認証要求を受信した場合、認証情報受信手段222は、機器認証要求受信手段220から認証情報を受信する。
この認証情報受信手段222は、受信した認証情報を認証情報検証手段223に引き渡す。

0107

認証情報検証手段223は、認証情報受信手段222で受信したユーザの認証情報を検証するものである。具体的には、認証情報検証手段223は、認証情報に付加されている署名(デジタル署名)を検証することで、当該認証情報の正当性を確認する。すなわち、認証情報検証手段223は、図2で説明した署名生成手段125と同じハッシュ関数で認証情報(証明書)のハッシュ値を算出し、当該ハッシュ値と、付加された署名を認証連携装置1の公開鍵復号することで得た値とを比較することで署名を検証し、認証情報の正当性を確認する。
この認証情報検証手段223は、認証情報の正当性が確認された場合、認証情報に付加されている連携用ユーザ識別子を、機器認証手段224に引き渡す。これによって、ユーザの認証が行われた場合にのみ、機器の認証が行われることになる。

0108

機器認証手段224は、認証情報検証手段223によるユーザの認証が行われた段階で、当該ユーザが利用するユーザ利用端末4の機器認証を行うものである。
すなわち、機器認証手段224は、認証情報検証手段223から引き渡された連携用ユーザ識別子に対応して、ユーザ登録機器情報記憶手段210に予め記憶されている登録機器情報に基づいて、ユーザ利用端末4の機器認証を行う。例えば、機器認証手段224は、登録機器情報として、ユーザ利用端末4のセキュリティモジュールに格納されているデバイス鍵を用いて、チャレンジ/レスポンス認証によって機器認証を行う。この機器認証方式は、チャレンジ/レスポンス認証に限定されるものではなく、一般的な認証方式(電子証明書など)を用いることができる。

0109

この機器認証手段224は、機器認証結果として、例えば、認証ステータス、認証時間、認証方式、機器認証発行先、機器情報などを、連携用ユーザ識別子に紐付けて機器認証結果記憶手段211に書き込む。また、機器認証手段224は、機器認証結果を機器認証結果記憶手段211に書き込んだ後、機器認証結果送信手段225に、連携用ユーザ識別子を引き渡すとともに、機器認証を要求した認証連携装置1に機器認証結果を送信する旨の指示を行う。

0110

機器認証結果送信手段225は、機器認証手段224で行った機器認証結果を、通信部20を介して、機器認証を要求した認証連携装置1に送信するものである。なお、機器認証結果送信手段225は、機器認証手段224から機器認証結果を送信する旨を指示された段階で、機器認証手段224から引き渡される連携用ユーザ識別子に対応する機器認証結果を、機器認証結果記憶手段211から読み出して、署名生成手段226で生成された署名を付加して、認証連携装置1に送信する。

0111

署名生成手段226は、機器認証結果送信手段225において機器認証結果を送信する際に、当該機器認証結果にデジタル署名を付与するものである。このデジタル署名は、一般的なデジタル署名を用いることができる。
なお、機器認証結果に署名を付与することで、当該機器認証結果を受信した認証連携装置1は、当該機器認証結果の正当性を検証することができる。

0112

このように構成することで、機器認証装置2は、認証連携装置1がユーザ認証を行った機器(ユーザ利用端末4)に対して機器認証を行い、その結果を認証連携装置1に通知することができる。これによって、認証連携装置1と機器認証装置2とで、ユーザ主体の認証と、機器主体の認証とを連携して行うことができる。

0113

[認証連携システムの動作]
次に、図4を参照(適宜図1図3参照)して、本発明の第1実施形態に係る認証連携システムの動作について説明する。なお、サービス提供装置3、ユーザ利用端末4は、一般的なものであるため、ここでは、それぞれの内部動作についての説明は省略する。

0114

まず、ユーザが、ユーザ利用端末4を介してサービス提供装置3に対して、サービスの利用を要求するメッセージである「サービス利用要求」を送信し(ステップS10)、サービス提供装置3が、「サービス利用要求」を受信する(ステップS11)。

0115

この「サービス利用要求」を受信したサービス提供装置3は、認証連携装置1とユーザ利用端末4との間で認証処理が行われるように、リダイレクト(転送)によって、ユーザ認証を要求するメッセージである「ユーザ認証要求」をユーザ利用端末4に送信する(ステップS12)。そして、ユーザ利用端末4は、「ユーザ認証要求」を受信し(ステップS13)、リダイレクトによって「ユーザ認証要求」を認証連携装置1に送信する(ステップS14)。

0116

そして、認証連携装置1は、認証要求受信手段120によって、通信部10を介して、「ユーザ認証要求」を受信する(ステップS15)。
ここで、認証連携装置1は、認証レベル判別手段121によって、認証情報記憶手段112に記憶されている主体(ユーザおよび機器)の認証レベルを判別する(不図示)。

0117

そして、認証連携装置1は、認証レベルが、主体(ユーザおよび機器)の認証がまだ行われていない状態「未認証」である場合に、ユーザ認証手段122によって、ユーザ情報記憶手段111に記憶されているユーザ情報に基づいて、ユーザ利用端末4との間でユーザ認証を行う(ステップS16)。例えば、ユーザ認証手段122は、ユーザのID/パスワードを要求し、ユーザがユーザ利用端末4において入力したID/パスワードと、ユーザ情報とを比較することで、ユーザの正当性を確認する。そして、認証連携装置1は、ユーザ認証手段122によって、認証情報記憶手段112に記憶されている主体(ユーザおよび機器)の認証レベルを、ユーザ認証のみが終了した状態「ユーザ認証済み」に更新する。

0118

そして、認証連携装置1は、ユーザ認証手段122によって、認証情報記憶手段112にユーザに対応づけてユーザ認証結果を書き込み、認証情報発行手段124によって、認証情報記憶手段112に記憶されている認証結果に、署名生成手段125によるデジタル署名を付加することで認証情報(証明書)を発行(生成)する(ステップS17)。そして、認証連携装置1は、ステップS18に動作を進める。

0119

なお、認証連携装置1は、ステップS15で「ユーザ認証要求」を受信した際に、認証レベルが、ユーザ認証のみが終了した状態「ユーザ認証済み」であれば、ユーザ認証を行わず、ステップS18に動作を進める。また、「ユーザ認証要求」を受信した際に、認証レベルが、ユーザ認証および機器認証のどちらも終了した状態「ユーザ/機器認証済み」であれば、ステップS33に動作を進める。

0120

そして、認証済みのユーザに対して、認証連携装置1は、現在ユーザが利用している端末(ユーザ利用端末4)の正当性を確認するため、機器認証要求手段123によって、機器認証先記憶手段110に予め記憶されている機器認証装置2とユーザ利用端末4との間で機器認証処理が行われるように、リダイレクト(転送)によって、機器認証を要求するメッセージである「機器認証要求」を、ユーザ利用端末4に送信する(ステップS18)。なお、図4においては、機器認証要求に認証情報そのものを付与するのではなく、認証情報の参照情報(認証情報参照情報)を付与する方法を示している。

0121

そして、ユーザ利用端末4は、「機器認証要求」を受信し(ステップS19)、リダイレクトによって「機器認証要求」を機器認証装置2に送信する(ステップS20)。
そして、機器認証装置2は、機器認証要求受信手段220によって、通信部20を介して、「機器認証要求(認証情報参照情報)」を受信する(ステップS21)。

0122

その後、機器認証装置2は、「機器認証要求」に付与されている認証情報の参照情報から、その参照先の認証情報を要求するため、認証情報問い合わせ手段221によって、「認証情報問い合わせ」を、通信部20を介して、認証連携装置1に送信する(ステップS22)。
そして、認証連携装置1は、認証情報問い合わせ受信手段126によって、通信部10を介して、「認証情報問い合わせ(認証情報参照情報)」を受信する(ステップS23)。

0123

そして、認証連携装置1は、認証情報発行手段124によって、「認証情報問い合わせ」に含まれている参照先の認証情報(証明書)を、認証情報記憶手段112から読み出して、「認証情報応答」として、機器認証装置2に送信する(ステップS24)。

0124

そして、機器認証装置2は、認証情報受信手段222によって、通信部20を介して、認証連携装置1から、ユーザの認証情報を「認証情報応答」として受信する(ステップS25)。さらに、機器認証装置2は、認証情報検証手段223によって、受信したユーザの認証情報に付加されている署名を検証することで、当該認証情報の正当性を確認する(ステップS26)。

0125

続けて、機器認証装置2は、機器認証手段224によって、認証情報に含まれている連携用ユーザ識別子に対応して、ユーザ登録機器情報記憶手段210に予め記憶されている登録機器情報に基づいて、ユーザ利用端末4の機器認証を行う(ステップS27)。このとき、機器認証手段224は、機器認証の結果(機器認証結果)を、機器認証結果記憶手段211に書き込む。

0126

その後、機器認証装置2は、機器認証結果送信手段225によって、機器認証結果を認証連携装置1にリダイレクトするように、通信部20を介して、ユーザ利用端末4に「機器認証応答」を送信する(ステップS28)。
そして、ユーザ利用端末4は、「機器認証応答」を受信し(ステップS29)、リダイレクトによって「機器認証応答」を認証連携装置1に送信する(ステップS30)。

0127

一方、認証連携装置1は、機器認証結果受信手段127によって、通信部10を介して、「機器認証応答」を受信する(ステップS31)。
その後、認証連携装置1は、認証情報更新手段128によって、「機器認証応答」として通知された機器認証結果に基づいて、認証情報記憶手段112に記憶されている認証情報を更新する(ステップS32)。

0128

さらに、認証連携装置1は、認証情報発行手段124によって、更新後の機器認証結果で認証結果をバインドし、署名生成手段125によるデジタル署名を付加することで認証情報を発行(生成)し、認証情報をユーザ認証の応答結果ユーザ認証応答)として、サービス提供装置3にリダイレクトするように、「ユーザ認証応答」をユーザ利用端末4に送信する(ステップS33)。
そして、ユーザ利用端末4は、「ユーザ認証応答」を受信し(ステップS34)、リダイレクトによって「ユーザ認証応答」をサービス提供装置3に送信する(ステップS35)。

0129

そして、サービス提供装置3が、「ユーザ認証応答」を受信し(ステップS36)、ステップS11で受信した「サービス利用要求」に対する応答として、「サービス利用応答」を、ユーザ利用端末4に送信する(ステップS37)。また、ユーザ利用端末4は、サービス提供装置3から、「サービス利用応答」を受信する(ステップS38)。

0130

これによって、サービス提供装置3は、ユーザ利用端末4のユーザおよび機器の正当性を検証し、サービスを提供する。
以上の動作によって、認証連携システムSは、機器認証機能を持たないサービス提供装置3であっても、ユーザの認証結果を検証してサービスを提供する際に、ユーザの利用する機器(ユーザ利用端末4)の正当性をも判断することができる。

0131

<第2実施形態>
[認証連携システムの構成]
次に、図8を参照して、本発明の第2実施形態に係る認証連携システムの構成について説明する。

0132

認証連携システムSBは、ユーザ認証を複数のサービス提供装置間で連携する際に、併せて、ユーザが利用するユーザ利用端末の認証を行うシステムである。
ここでは、認証連携システムSBは、認証連携装置1Bと、サービス提供装置の機能を含んだ機器認証装置2B、および、1つ以上のサービス提供装置3(3a,3b,…)を含むサービス提供装置群と、ユーザ利用端末4と、をネットワークNを介して接続して構成している。

0133

認証連携装置1Bは、サービスを享受するユーザ個人を主体とした認証を行うものである。この認証連携装置1Bは、基本的には、図2で説明した認証連携装置1と同様の機能を有する。しかし、認証連携装置1Bは、サービス提供装置3が機器認証の機能を含んで構成している機器(図8中、機器認証装置2B)に対しては、機器認証要求を行わず、機器認証装置2Bが発行する機器主体の認証結果を認証情報に含めることで、ユーザ主体の認証と、機器主体の認証とを1つの認証情報として発行する。

0134

機器認証装置2Bは、サービス提供装置3に機器認証の機能を備え、ユーザに対してサービスを提供するとともに、機器を主体とした認証を行うものである。この機器認証装置2Bは、図2で説明した機器認証装置2とは、サービスを提供する点、並びに、認証情報の更新要求を自発的に認証連携装置1Bに行う点が異なっている。

0135

サービス提供装置3およびユーザ利用端末4は、図2で説明したものと同一であるため説明を省略する。
以下、本発明に係る認証連携装置1Bおよび機器認証装置2Bについて詳細に説明する。

0136

〔認証連携装置の構成〕
最初に、図9を参照(適宜図8参照)して、認証連携装置1Bの構成について説明する。ここでは、認証連携装置1Bは、通信部10と、記憶部11と、制御部12Bと、を備えている。
通信部10および記憶部11は、図2で説明したものと同一であるため、説明を省略する。

0137

制御部12Bは、認証連携装置1Bの動作を制御するものである。この制御部12Bは、CPU、RAM、ROMなどの一般的なハードウェア構成で実現することができる。ここでは、制御部12Bは、認証要求受信手段120Bと、認証レベル判別手段121と、ユーザ認証手段122Bと、機器認証要求手段123と、認証情報発行手段124と、署名生成手段125と、認証情報問い合わせ受信手段126と、機器認証結果受信手段127Bと、認証情報更新手段128と、認証情報更新要求受信手段129と、機器認証結果問い合わせ手段130と、を備えている。なお、制御部12Bは、コンピュータ(CPU)を、これらの各手段として機能させるプログラム(認証連携プログラム)によって動作させることができる。

0138

ここで、認証レベル判別手段121、機器認証要求手段123、認証情報発行手段124、署名生成手段125、認証情報問い合わせ受信手段126および認証情報更新手段128は、図2で説明した認証連携装置1の構成と同一であるため、同一の符号を付して説明を省略する。

0139

認証要求受信手段120Bは、通信部10を介して、サービスを享受するユーザを認証するための認証要求を受信するものである。この認証要求受信手段120Bは、機能的に図2で説明した認証要求受信手段120と同じであるが、ユーザ認証要求を行った機器が、機器認証装置(サービス提供装置)2Bである場合は、認証要求をユーザ認証手段122Bに引き渡す機能が付加されている。

0140

ユーザ認証手段122Bは、認証要求受信手段120Bからの要求をもとにユーザ認証を行う点を除き、図2で説明したユーザ認証手段122と同じ機能である。

0141

機器認証結果受信手段127Bは、機器認証要求手段123が要求した機器認証要求に対して機器認証装置2(図3参照)が行った機器認証結果、または、後記する機器認証結果問い合わせ手段130による問い合わせに対する応答として機器認証装置2Bから送信される機器認証結果を受信するものである。なお、機器認証結果には、機器認証装置2B(2)との間で予め連携されているユーザを特定する連携用ユーザ識別子が付加されている。この機器認証結果受信手段127Bは、受信した機器認証結果および連携用ユーザ識別子を、認証情報更新手段128に引き渡す。

0142

認証情報更新要求受信手段129は、機器認証装置2Bからユーザ利用端末4を介して送信される認証情報を更新する旨の要求(認証情報更新要求)を、通信部10を介して、受信するものである。この認証情報更新要求には、機器認証装置2Bにおいて発行される機器認証結果へのアクセス権限となる機器認証トークンが含まれている。この認証情報更新要求受信手段129は、機器認証トークンを、機器認証結果問い合わせ手段130に引き渡す。

0143

機器認証結果問い合わせ手段130は、認証情報更新要求受信手段129で受信した機器認証トークンを含んだ機器認証結果の問い合わせ(メッセージ:「機器認証結果問い合わせ」)を、通信部10を介して機器認証装置2Bに送信するものである。
このように構成することで、認証連携装置1Bは、機器認証装置2Bからの認証情報更新要求に応じて、機器認証結果受信手段127Bで受信した機器認証結果をもとに、ユーザ主体の認証情報を更新し、機器認証結果をバインドした認証情報を発行することができる。

0144

〔機器認証装置の構成〕
次に、図10を参照(適宜図8参照)して、機器認証装置2Bの構成について説明する。ここでは、機器認証装置2Bは、通信部20と、記憶部21B、制御部22Bと、を備えている。
通信部20は、図3で説明したものと同一であるため、説明を省略する。

0145

記憶部21Bは、ユーザ登録機器情報記憶手段210と、機器認証結果記憶手段211Bと、を備えている。ユーザ登録機器情報記憶手段210は、図3で説明したものと同一であるため、説明を省略する。

0146

機器認証結果記憶手段211Bは、後記する機器認証手段224Bによって、ユーザが利用する機器(ユーザ利用端末4)が認証した結果(機器認証結果)を記憶するものである。この機器認証結果は、ユーザを識別する情報(連携用ユーザ識別子)に対応付けて記憶される。また、この機器認証結果記憶手段211Bは、機器認証結果に当該機器認証結果をアクセスするための権限となるトークン(機器認証トークン)を対応付けて記憶しておく。この機器認証トークンは、機器認証手段224Bによって発行されるものである。

0147

制御部22Bは、機器認証装置2Bの動作を制御するものである。この制御部22Bは、CPU、RAM、ROMなどの一般的なハードウェア構成で実現することができる。ここでは、制御部22Bは、認証情報受信手段222と、認証情報検証手段223と、機器認証手段224Bと、機器認証結果送信手段225Bと、署名生成手段226と、サービス利用要求受信手段227と、認証要求送信手段228と、認証情報更新要求送信手段229と、機器認証結果問い合わせ受信手段230と、を備えている。なお、制御部22は、コンピュータ(CPU)を、これら各手段として機能させるプログラム(機器認証プログラム)によって動作させることができる。

0148

ここで、認証情報受信手段222、認証情報検証手段223および署名生成手段226は、図3で説明した機器認証装置2の構成と同一であるため、同一の符号を付して説明を省略する。

0149

機器認証手段224Bは、認証情報検証手段223によるユーザの認証が行われた段階で、当該ユーザが利用するユーザ利用端末4の機器認証を行うものである。この機器認証手段224Bは、基本的に図3で説明した機器認証手段224と同じである。
ただし、機器認証手段224Bは、機器認証結果へのアクセス権限となるトークン(機器認証トークン)を発行(生成)し、機器認証結果と対応付けて機器認証結果記憶手段211Bに書き込み、当該機器認証トークンを認証情報更新要求送信手段229に引き渡す点が、図3で説明した機器認証手段224と異なっている。

0150

なお、機器認証手段224Bが機器認証トークンを発行する手法は、一般的なソフトウェアトークンの生成手法を用いることができる。例えば、機器認証手段224Bは、機器認証結果が生成されるたびに、予め保持している秘密鍵で時刻情報を暗号化することで機器認証トークンを生成するなど、ワンタイムパスワード等を利用可能である。

0151

機器認証結果送信手段225Bは、機器認証手段224Bで行った機器認証結果を、通信部20を介して、機器認証結果の問い合わせを要求した認証連携装置1Bに送信するものである。なお、機器認証結果送信手段225Bは、機器認証結果問い合わせ受信手段230から機器認証結果を送信する旨を指示された段階で、機器認証結果問い合わせ受信手段230から引き渡される機器認証トークンに対応する機器認証結果を、機器認証結果記憶手段211Bから読み出して、署名生成手段226で生成された署名を付加して、認証連携装置1Bに送信する。

0152

サービス利用要求受信手段227は、ユーザ利用端末4から、サービスの利用を要求するメッセージである「サービス利用要求」を、通信部20を介して受信するものである。このサービス利用要求受信手段227は、サービス利用要求があった旨を、要求のあったユーザ利用端末4のアドレスとともに認証要求送信手段228に通知する。

0153

認証要求送信手段228は、サービス利用要求受信手段227からサービス利用要求があった旨を通知された段階で、認証連携装置1Bに対して、ユーザ認証を要求するものである。ここでは、認証要求送信手段228は、転送先として、予め定めた(予め信頼関係を築いている)認証連携装置1Bのアドレスを付加した、ユーザの認証を要求するメッセージであるユーザ認証要求を、サービスを要求したユーザ利用端末4に送信する。なお、ユーザ利用端末4は、リダイレクトによって、ユーザ認証要求を認証連携装置1Bに送信する。これによって、ユーザ認証は、認証連携装置1Bとユーザ利用端末4との間で行われることになる。

0154

認証情報更新要求送信手段229は、機器認証手段224Bにおいて機器認証を完了した段階で、認証連携装置1Bに対して、認証情報の更新を要求するものである。すなわち、認証情報更新要求送信手段229は、機器認証手段224Bから、機器認証を完了し、機器認証結果へのアクセス権限となる機器認証トークンを取得した段階で、転送先として、予め定めた認証連携装置1Bのアドレスを付加し、認証情報の更新を要求するメッセージである機器認証トークンを含んだ認証情報更新要求を、ユーザ利用端末4に送信する。なお、ユーザ利用端末4は、リダイレクトによって、認証情報更新要求を認証連携装置1Bに送信する。

0155

機器認証結果問い合わせ受信手段230は、認証連携装置1Bから、機器認証トークンを含んだ機器認証結果の問い合わせ(メッセージ:「機器認証結果問い合わせ」)を、通信部20を介して受信するものである。この機器認証結果問い合わせ受信手段230は、機器認証トークンを機器認証結果送信手段225Bに引き渡し、機器認証結果を送信する旨を指示する。そして、機器認証結果送信手段225Bは、受け取った機器認証トークンをもとに、機器認証結果記憶手段211Bから該当の機器認証結果を抽出し、認証連携装置1Bに機器認証結果として送信する。
このように構成することで、機器認証装置2Bをサービス提供装置と一体として構成することができる。

0156

[認証連携システムの動作]
次に、図11を参照(適宜図8図10参照)して、本発明の第2実施形態に係る認証連携システムの動作について説明する。なお、ユーザ利用端末4は一般的なものであるため、ユーザ利用端末4の内部動作についての説明は省略する。

0157

まず、ユーザが、ユーザ利用端末4を介して機器認証装置(サービス提供装置)2Bに対して、サービスの利用を要求するメッセージである「サービス利用要求」を送信する(ステップS50)。そして、機器認証装置2Bは、サービス利用要求受信手段227によって、通信部10を介して、「サービス利用要求」を受信する(ステップS51)。

0158

続けて、機器認証装置2Bは、認証要求送信手段228によって、認証連携装置1Bとユーザ利用端末4との間で認証処理が行われるように、リダイレクト(転送)によって、ユーザ認証を要求するメッセージである「ユーザ認証要求」をユーザ利用端末4に送信する(ステップS52)。その後、ユーザ利用端末4は、「ユーザ認証要求」を受信し(ステップS53)、リダイレクトによって「ユーザ認証要求」を認証連携装置1Bに送信する(ステップS54)。

0159

そして、認証連携装置1Bは、認証要求受信手段120Bによって、通信部10を介して、「ユーザ認証要求」を受信する(ステップS55)。
そして、認証連携装置1Bは、ユーザ認証手段122Bによって、ユーザ情報記憶手段111に記憶されているユーザ情報に基づいて、ユーザ利用端末4との間でユーザ認証を行う(ステップS56)。例えば、ユーザ認証手段122Bは、ユーザのID/パスワードを要求し、ユーザがユーザ利用端末4において入力したID/パスワードと、ユーザ情報とを比較することで、ユーザの正当性を確認する。

0160

その後、認証連携装置1Bは、認証情報発行手段124によって、ユーザ認証結果に基づいて認証情報を発行(生成)し(ステップS57)、認証情報をユーザ認証の応答結果(ユーザ認証応答)として、機器認証装置2Bにリダイレクトするように、「ユーザ認証応答」をユーザ利用端末4に送信する(ステップS58)。なお、このとき、認証情報発行手段124は、署名生成手段125によって、認証情報に署名を付加しておく。
そして、ユーザ利用端末4は、「ユーザ認証応答」を受信し(ステップS59)、リダイレクトによって「ユーザ認証応答」を機器認証装置2Bに送信する(ステップS60)。

0161

そして、機器認証装置2Bは、認証情報受信手段222によって、通信部20を介して、「ユーザ認証応答」を受信する(ステップS61)。さらに、機器認証装置2Bは、認証情報検証手段223によって、受信したユーザの認証情報に付加されている署名を検証することで、当該認証情報の正当性を確認する(ステップS62)。

0162

続けて、機器認証装置2Bは、機器認証手段224Bによって、認証情報に含まれている連携用ユーザ識別子に対応して、ユーザ登録機器情報記憶手段210に予め記憶されている登録機器情報に基づいて、ユーザ利用端末4の機器認証を行う(ステップS63)。このとき、機器認証手段224Bは、機器認証の結果(機器認証結果)を、機器認証結果記憶手段211Bに書き込む。また、このとき、機器認証手段224Bは、機器認証結果に対応付けて機器認証トークンを生成し、機器認証結果記憶手段211Bに書き込む。

0163

その後、機器認証装置2Bは、認証情報更新要求送信手段229によって、認証情報更新要求を認証連携装置1Bにリダイレクトするように、通信部20を介して、ユーザ利用端末4に機器認証トークンを含んだ「認証情報更新要求」を送信する(ステップS64)。

0164

そして、ユーザ利用端末4は、「認証情報更新要求」を受信し(ステップS65)、リダイレクトによって「認証情報更新要求」を認証連携装置1Bに送信する(ステップS66)。

0165

一方、認証連携装置1Bは、認証情報更新要求受信手段129によって、通信部10を介して、「認証情報更新要求」を受信する(ステップS67)。
その後、認証連携装置1Bは、「認証情報更新要求」に含まれている機器認証トークンに紐付く機器認証結果を要求するため、機器認証結果問い合わせ手段130によって、機器認証トークンを含んだ「機器認証結果問い合わせ」を、通信部10を介して、機器認証装置2Bに送信する(ステップS68)。

0166

そして、機器認証装置2Bは、機器認証結果問い合わせ受信手段230によって、通信部20を介して、「機器認証結果問い合わせ」を受信する(ステップS69)。
そして、機器認証装置2Bは、機器認証結果送信手段225Bによって、「機器認証結果問い合わせ」に含まれている機器認証トークンに対応する認証情報(証明書)を、機器認証結果記憶手段211Bから読み出して、「機器認証結果応答」として、認証連携装置1Bに送信する(ステップS70)。

0167

一方、認証連携装置1Bは、機器認証結果受信手段127Bによって、通信部10を介して、「機器認証結果応答」を受信する(ステップS71)。
その後、認証連携装置1Bは、認証情報更新手段128Bによって、「機器認証結果応答」として通知された機器認証結果に基づいて、認証情報記憶手段112に記憶されている認証情報を更新する(ステップS72)。

0168

さらに、認証連携装置1Bは、認証情報発行手段124によって、更新後の機器認証結果で認証情報を発行(生成)し、認証情報の更新応答(認証情報更新応答)として、機器認証装置2Bにリダイレクトするように、「認証情報更新応答」をユーザ利用端末4に送信する(ステップS73)。なお、このとき、認証情報発行手段124は、署名生成手段125によって、認証情報に署名を付加しておく。

0169

そして、ユーザ利用端末4は、「認証情報更新応答」を受信し(ステップS74)、リダイレクトによって「認証情報更新応答」を機器認証装置2Bに送信する(ステップS75)。
そして、機器認証装置2Bは、認証情報受信手段222によって、「認証情報更新応答」として送信される認証情報を受信する(ステップS76)。

0170

この認証情報において、機器認証結果がバインドされている場合、機器認証装置2Bは、図示を省略したサービス利用要求応答送信手段によって、ステップS51で受信した「サービス利用要求」に対する応答として、「サービス利用応答」を、ユーザ利用端末4に送信する(ステップS77)。また、ユーザ利用端末4は、機器認証装置2Bから、「サービス利用応答」を受信する(ステップS78)。

0171

これによって、機器認証装置(サービス提供装置)2Bは、ユーザ利用端末4のユーザおよび機器の正当性を検証し、サービスを提供する。
以上の動作によって、認証連携システムSBは、機器認証機能を持ったサービス提供装置(機器認証装置2B)によって、自発的に機器認証結果をユーザ主体の認証結果にバインドさせ、その認証情報を複数のサービス提供者間で利用することが可能になる。また、第1実施形態の認証連携システムS(図1参照)と同様、ユーザの認証結果を検証してサービスを提供する際に、ユーザの利用する機器(ユーザ利用端末4)の正当性をも判断することができる。
なお、ここでは、認証連携システムSBにおいて、サービス提供装置の機能を含んだ機器認証装置2Bと認証連携装置1Bとを中心に動作説明を行ったが、認証連携システムSBにおいて、ユーザ利用端末4が、サービス提供装置3に対してサービスを要求した場合は、図4で説明した動作と同じになるため、説明を省略する。

0172

S認証連携システム
1認証連携装置
10通信部
11 記憶部
110機器認証先記憶手段
111ユーザ情報記憶手段
112認証情報記憶手段(認証レベル記憶手段)
12 制御部
120認証要求受信手段
121 認証レベル判別手段
122ユーザ認証手段
123機器認証要求手段
124 認証情報発行手段
125署名生成手段
126 認証情報問い合わせ受信手段
127機器認証結果受信手段
128 認証情報更新手段
129 認証情報更新要求受信手段
130 機器認証結果問い合わせ手段
2機器認証装置
20 通信部
21 記憶部
210ユーザ登録機器情報記憶手段
211 機器認証結果記憶手段
22 制御部
220 機器認証要求受信手段
221 認証情報問い合わせ手段
222 認証情報受信手段
223 認証情報検証手段
224 機器認証手段
225 機器認証結果送信手段
226 署名生成手段
227サービス利用要求受信手段
228 認証要求送信手段
229 認証情報更新要求送信手段
230 機器認証結果問い合わせ受信手段
3サービス提供装置
4 ユーザ利用端末

ページトップへ

この技術を出願した法人

この技術を発明した人物

ページトップへ

関連する挑戦したい社会課題

関連する公募課題

ページトップへ

技術視点だけで見ていませんか?

この技術の活用可能性がある分野

分野別動向を把握したい方- 事業化視点で見る -

(分野番号表示ON)※整理標準化データをもとに当社作成

ページトップへ

おススメ サービス

おススメ astavisionコンテンツ

新着 最近 公開された関連が強い技術

この 技術と関連性が強い技術

関連性が強い 技術一覧

この 技術と関連性が強い人物

関連性が強い人物一覧

この 技術と関連する社会課題

関連する挑戦したい社会課題一覧

この 技術と関連する公募課題

関連する公募課題一覧

astavision 新着記事

サイト情報について

本サービスは、国が公開している情報(公開特許公報、特許整理標準化データ等)を元に構成されています。出典元のデータには一部間違いやノイズがあり、情報の正確さについては保証致しかねます。また一時的に、各データの収録範囲や更新周期によって、一部の情報が正しく表示されないことがございます。当サイトの情報を元にした諸問題、不利益等について当方は何ら責任を負いかねることを予めご承知おきのほど宜しくお願い申し上げます。

主たる情報の出典

特許情報…特許整理標準化データ(XML編)、公開特許公報、特許公報、審決公報、Patent Map Guidance System データ