JP2007323235A - 属性利用承認システム - Google Patents

Abstract

【課題】サービス提供サーバからユーザの属性情報を用いたサービスの提供を受ける際の属性情報漏洩の危険性を排除する。
【解決手段】サービスを提供するサービス提供サーバ３０と、サービスの提供を受ける第１のユーザ端末１０と、サービス提供サーバ３０と高信頼な通信路で接続された第２のユーザ端末２０とによって構成され、サービス提供サーバ３０はユーザの属性情報を管理するＩＤ管理ＤＢを具備する。サービス提供サーバ３０はユーザ端末１０からサービス要求を受けると、サービス提供に必要なユーザの属性情報の項目と、その項目の属性情報がＩＤ管理ＤＢに登録されているか否かの登録情報をユーザ端末２０に送信し、サービス提供サーバ３０はユーザ端末２０から利用承認を受信すると、その利用承認を受けた属性情報に基づいてユーザ端末１０に対してサービスを提供する。
【選択図】図５

Description

この発明はサービス提供サーバがユーザの属性情報を用いてサービスを提供する際の属性利用承認システムに関する。

従来、クライアントからの指示により、第一のサーバに管理された情報を第二のサーバに提供するシステムが考えられている。
例えば、特許文献１にはクライアントの指示により、ある文書管理サーバの文書や属性情報を他の文書管理サーバに複製することが可能な文書管理システムが開示されている。
具体的には、第３の通信装置が第２の通信装置に蓄積された文書や属性情報を複製する権限を要求する複製要求を、第３の通信装置に対して発行する要求発行手段を持つクライアントたる第１の通信装置が、個人情報管理サーバたる第２の通信装置が発行した、第２の通信装置が備える第１の文書蓄積手段に蓄積された文書や属性情報を第３の通信装置に複製するために必要な情報を含む証明書に基づき、第１の通信装置とサービス提供者サーバたる第３の通信装置との間で前記証明書の共有を行い、第２の通信装置は第３の通信装置から送信された前記証明書に基づき、第１の文書蓄積手段に蓄積された要求対象の文書や属性情報を第３の通信装置に送信し、第３の通信装置は第２の通信装置から送信された要求対象の文書や属性情報を受信し、第３の通信装置が備える第２の文書蓄積手段に複製することで、クライアント端末などの指示により、文書管理サーバなどの文書ソースから直接、他の文書管理サーバなどの参照先に文書や属性情報を送信する。
特開２００５−２０２８６９号公報

しかしながら、上記した従来の技術は、以下に説明するように第１の通信装置のセキュリティ確保の観点から問題がある。
すなわち、第１の通信装置はネットワーク内のクライアント装置であり、大学等の研究機関や企業のオフィス、一般家庭にてユーザが利用する端末と定義されている。これらの端末は、端末の管理が個々のユーザの手に委ねられ、十分なセキュリティ確保がなされていない場合がある。
特に、インターネット上においては、クライアントの画面への出力、キーボードからの入力内容を、悪意を持った第三者に送信することを目的としたスキミング、フィッシング、或いは端末操作の乗っ取りといった中間者攻撃（man-in the middle attack）の脅威がある。従来技術では、これらの脅威を避けながら従来技術が解決しようとする課題を解決することは難しいという問題点があった。

例えば、特許文献１で示されている第１の通信装置に不正なソフトウエアがインストールされていた場合、ユーザが意図しない文書や属性情報が第２の通信装置から第３の通信装置に複製されること、第１の通信装置が悪意を持った第三者が設置した偽りの第２の通信装置に接続してしまい、偽りの第２の通信装置に対し、文書や属性情報の複製に必要な証明書の発行に必要なユーザ情報を送信してしまうことが想定される。
この発明はこのような問題を解決するためになされたもので、不正アクセスや情報漏洩等の危険がある一般家庭内の端末や公共の場等で利用される端末等で、サーバ内で管理されるユーザの属性情報（個人情報）を用いたサービスを利用する際に、属性情報漏洩の危険性を排除できる属性利用承認システムを提供することを目的とする。

この発明によれば、属性利用承認システムはサービスを提供するサービス提供サーバと、サービスの提供を受ける第１のユーザ端末と、サービス提供サーバと高信頼な通信路で接続された第２のユーザ端末とによって構成され、サービス提供サーバはユーザの属性情報を管理する第１のＩＤ管理ＤＢを具備しており、サービス提供サーバは第１のユーザ端末からサービス要求を受けると、そのサービスの提供に必要なユーザの属性情報の項目と、その項目の属性情報が第１のＩＤ管理ＤＢに登録されているか否かの登録情報を第２のユーザ端末に送信し、サービス提供サーバは第２のユーザ端末から利用承認を受信すると、その利用承認を受けた属性情報に基づいて第１のユーザ端末に対してサービスを提供する。

さらに、この発明によれば、属性利用承認システムはサービスを提供するサービス提供サーバと、ユーザの属性情報を管理する第１のＩＤ管理ＤＢを具備する属性管理サーバと、サービスの提供を受ける第１のユーザ端末と、属性管理サーバと高信頼な通信路で接続された第２のユーザ端末とによって構成され、サービス提供サーバは第１のユーザ端末からサービス要求を受けると、そのサービスの提供に必要なユーザの属性情報を属性管理サーバに要求し、属性管理サーバはサービス提供サーバから要求された属性情報の項目と、その項目の属性情報が第１のＩＤ管理ＤＢに登録されているか否かの登録情報を第２のユーザ端末に送信し、属性管理サーバは第２のユーザ端末から利用承認を受信すると、その利用承認を受けた属性情報をサービス提供サーバに送信し、サービス提供サーバは属性管理サーバから送信された属性情報に基づいて第１のユーザ端末に対してサービスを提供する。

この発明によれば、ユーザの属性情報を用いたサービスをサービス提供サーバから受ける際の、その属性情報の利用承認をサービスの提供を受ける端末とは別の高信頼な通信路で接続された端末から行うものとなっている。
従って、一般家庭内の端末や公共の場等で利用される端末等でサービスの提供を受ける際に、そのような低信頼の端末に属性情報の表示や入力をする必要がなくなり、その点で個人情報漏洩の危険性を排除でき、安全性の高いオンラインサービス提供を実現することができる。

以下、この発明の実施形態を図面を参照して説明する。
〈第１の実施形態〉
この発明の第１の実施形態に係る属性利用承認システムのシステム構成図を図１に示す。
図１に示した属性利用承認システムは、ユーザがサービス（主サービス）を受ける第１のユーザ端末１０と、ユーザが属性利用承認サービスを受ける第２のユーザ端末２０と、これらサービスを提供するサービス提供サーバ３０とを備えて構成されている。

ユーザ端末１０は例えばユーザ宅に置かれるパーソナルコンピュータ、ネットワーク接続機能を有するデジタルテレビ、家庭用ゲーム機やインターネットカフェ等に設置された多数のユーザが利用する可能性がある端末である。ユーザ端末２０は携帯電話機等、耐タンパ性に優れたプロセッサ、記憶領域と、ネットワーク接続機能を持つ端末である。なお、ユーザ端末１０とユーザ端末２０とは同一人物により操作されることを前提とする。
サービス提供サーバ３０は例えば電子商取引サービス、ポータルサイト等、ユーザの属性情報を基にコンテンツが構成されるサービス（主サービス）を提供するものであり、汎用のコンピュータによって構成される。また、サービス提供サーバ３０は後述の第１のＩＤ管理ＤＢ（データベース）３５にてユーザの属性情報を管理する。サービス提供サーバ３０がＩＤ管理ＤＢ３５で管理されるユーザの属性情報を用いた主サービスを行う際には、サービス提供サーバ３０はユーザ端末２０に対し、当該属性情報の利用可否をたずねるサービス（属性利用承認サービス）を提供する。

ユーザ端末１０とサービス提供サーバ３０とは第１のネットワーク５１を介して通信可能である。ユーザ端末１０とユーザ端末２０とは第２のネットワーク５２を介して通信可能である。また、サービス提供サーバ３０とユーザ端末２０とは第３のネットワーク５３を介して通信可能である。
図２はユーザ端末１０の内部構成例を示したものであり、ユーザ端末１０はこの例では第１の通信手段１１と第２の通信手段１２とサービス利用部１３とを備える。
通信手段１１はネットワーク５１を介してサービス提供サーバ３０から主サービスの提供を受ける。ここで、ネットワーク５１は例えばインターネット等とされる。通信手段１２はネットワーク５２を介して、サービス提供サーバ３０の指示に従ってユーザ端末２０に対し、セッション情報の通知が行える。ここで、ネットワーク５２はＢｌｕｅｔｏｏｔｈ（商標）、通信機能を持つＩＣチップ、赤外線通信等の短距離の１対１の通信が考えられる。なお、これに限らず、例えばユーザ端末１０の画面に表示させたバーコードや図形等をユーザ端末２０にて読み取ること、ユーザ端末１０の画面に表示させた数字や文字列等をユーザ端末２０にユーザが投入すること等、通信に拠らない情報伝達方式でもよい。

サービス利用部１３はネットワーク５１を介して、サービス提供サーバ３０から提供を受けた主サービスをユーザに閲覧させると共に、ユーザに対し、コンテンツ選択等といった主サービスの制御を行える手段を提供する。
図３はユーザ端末２０の内部構成例を示したものであり、ユーザ端末２０はこの例では第１の通信手段２１と第２の通信手段２２とＩＤ利用承認部２３とを備える。
通信手段２１はネットワーク５２を介してユーザ端末１０と接続する。通信手段２２はネットワーク５３を介してサービス提供サーバ３０と接続し、サービス提供サーバ３０がユーザ端末１０に提供する主サービスに必要なＩＤ管理ＤＢ３５で管理されるユーザの属性情報の項目等を受信し、その利用承認・否認の情報等をサービス提供サーバ３０に対し送信する。

ＩＤ利用承認部２３は通信手段２２が受信した主サービス提供に必要なユーザの属性情報の項目等をユーザに提示し、例えば項目それぞれについてユーザに利用承認・否認の意思を入力させる。
図４はサービス提供サーバ３０の内部構成例を示したものであり、サービス提供サーバ３０は第１の通信手段３１と第２の通信手段３２とサービス提供部３３とＩＤ利用管理部３４とＩＤ管理ＤＢ３５とを備える。
通信手段３１はネットワーク５１を介してユーザ端末１０と接続する。通信手段３２はネットワーク５３を介してユーザ端末２０と接続している。サービス提供部３３はネットワーク５１を介してユーザ端末１０に提供するコンテンツを生成する。

ＩＤ利用管理部３４はサービス提供部３３のユーザへの主サービス提供に必要なユーザの属性情報についてＩＤ管理ＤＢ３５を検索し、当該属性情報の利用許可を求める属性利用承認サービスをユーザ端末２０に対し提供する。ＩＤ管理ＤＢ３５はサービス提供サーバ３０が主サービス提供に必要なユーザの属性情報を管理する。
次に、上記のように構成された属性利用承認システムの動作について、図面を参照して説明する。図５は属性利用承認システムの動作を示すシーケンス図である。
最初に、ユーザはユーザ端末１０を用いてサービス提供サーバ３０にアクセスし、ユーザの属性情報に基づくサービス（主サービス）を要求する（Ｓ１）。サービス要求及び応答の方式は特に規定されるものではないが、例えばＨＴＴＰ（Hyper Text Transfer Protocol）等を用いてよい。

主サービスの内容は特に規定されるものではないが、例えば該サービスの会員を対象としたユーザごとに属性情報に基づいてカスタマイズ可能なＷｅｂサイトの提供がある。
サービス提供サーバ３０は主サービスの提供にＩＤ管理ＤＢ３５で管理されるユーザの属性情報が必要であり、属性情報の利用許可をユーザ端末２０から行うよう応答する（Ｓ２）。応答にはユーザ端末１０とサービス提供サーバ３０の間での操作をユーザ端末２０に結びつけるために必要なセッション情報が含まれる。
ユーザ端末１０は通信手段１２を用い、ネットワーク５２を介してユーザ端末２０に対し、セッション情報を通知する（Ｓ３）。

主サービスの提供にサービス提供サーバ３０が必要とするユーザの属性情報の構成は特に規定されるものではないが、例えば、図６に示した表１にＩＤ管理ＤＢ３５が管理する属性情報の一例を示す。
セッション情報の構成は特に規定されるものではないが、サービス提供サーバ３０がユーザ端末１０とユーザ端末２０とを同一のユーザが操作していることを判断するために必要なランダムに与えられた数桁以上の数列や文字列等が考えられる。
ここで、セッション情報にはサービス提供サーバ３０がその真正性を検証するために、電子署名を加えてもよい。この場合、数桁以上の数列や文字列と、これら数列や文字列にサービス提供サーバ３０が与えた電子署名をひとまとめにしてセッション情報と呼ぶことにする。

ユーザ端末２０はユーザ端末１０から得たセッション情報と、ユーザのサービス提供サーバ３０に対する認証に必要なユーザの認証情報をサービス提供サーバ３０に対し、送信する（Ｓ４）。
ここで、セッション情報に電子署名が含まれる場合、サービス提供サーバ３０は電子署名を用いてセッション情報を検証し、その値の正当性が保障された場合のみ、以降のサービスを続行する。ユーザの認証情報にはユーザがユーザ端末２０に対し、入力したＩＤとパスワードの組み合わせ、ユーザ端末２０が記憶する認証情報等が考えられるが、方式は問わない。

サービス提供サーバ３０はユーザ端末２０の認証を行う（Ｓ５）と、ユーザ端末２０が送信したセッション情報を基に、ユーザ端末２０に対し、該セッション情報に紐付けられた主サービス（ユーザ端末１０がサービス提供サーバ３０に対し要求しているサービス）にてサービス提供サーバ３０が利用を要求するユーザの属性情報の項目をユーザ端末２０に送信する（Ｓ６）。
例えば、図７に示した表２に、ステップＳ６において、サービス提供サーバ３０からユーザ端末２０に対し、送信される属性情報の項目を示す。ユーザ端末２０に送信される内容には、サービス提供サーバ３０が主サービス提供に必要な属性情報の項目と、各項目の属性情報がＩＤ管理ＤＢ３５に登録されているか否かを表す登録情報が含まれる。

ユーザ端末２０はサービス提供サーバ３０から得た属性情報の項目をユーザに対し提示し、ユーザに各々のサービス提供サーバ３０での利用の可否を選択させる。ユーザは提示された各項目に対し、利用の承認及び否認を選択し（Ｓ７）、ユーザ端末２０はその情報をサービス提供サーバ３０に対し送信する（Ｓ８）。
ここで、ユーザはユーザ端末２０上にて主サービスに必要な属性情報の項目を表示させるだけでなく、該属性情報の値を表示させ、可否の判断を行うことができる。この際にはステップＳ６にて、サービス提供サーバ３０がユーザ端末２０に対し、主サービスにて必要な属性情報の項目に加えて、該属性情報の値を与えることが必要である。

なお、ＩＤ管理ＤＢ３５に登録されていない属性情報の項目が主サービスにて要求される場合、
（１）該項目の値を通知しないまま、主サービスを利用する、
（２）該項目の値を通知して、主サービスを利用した上で、ＩＤ管理ＤＢ３５に該項目の値を記憶させる、
（３）該項目の値を通知して、主サービスを利用するが、ＩＤ管理ＤＢ３５には該項目の値は記憶させない、
のいずれかの実施をサービス提供サーバ３０及びユーザが選択できる。但し、（１）項の場合には通知されない属性情報に基づくコンテンツの抽出や選択が行われないといった状況が生じる。

例えば、図８に示した表３に、ステップＳ８において、ユーザ端末２０からサービス提供サーバ３０に対し、送信される情報の構成例を示す。サービス提供サーバ３０に送信される内容には、
（ａ）サービス提供サーバ３０が主サービス提供に利用しようとする、ＩＤ管理ＤＢ３５に登録されているユーザの属性情報の各項目に対する利用の可否（承認・否認）と、
（ｂ）サービス提供サーバ３０が主サービス提供に利用しようとする、ＩＤ管理ＤＢ３５に登録されていないユーザの属性情報の各項目に対する値と、該値のＩＤ管理ＤＢ３５への登録の可否と、
が含まれる。

サービス提供サーバ３０はユーザ端末２０から認否結果、属性情報を受信すると、ユーザ端末２０に対し、ユーザ端末１０からのサービス再要求を指示し（Ｓ９）、ユーザ端末１０はサービス提供サーバ３０に対し、サービスの再要求を行う（Ｓ１０）。サービス提供サーバ３０はユーザ端末２０からの応答が承認である属性情報のみを利用して、ユーザ端末１０に主サービスを提供する（Ｓ１１）。
例えば、図９に示した表４の各項目のうち、「主サービスでの要求」にチェックが入っている項目に対し、「ユーザの応答」として、「承認」もしくは「否認」の回答が記録されている。サービス提供サーバ３０はこのうち「承認」の回答が記録されている属性の値のみをＩＤ管理ＤＢ３５から読み出し、主サービスを提供することができる。「否認」の回答が記録されている属性の値は、主サービスでは用いられない。

また、ステップＳ８においてユーザ端末２０からサービス提供サーバ３０に対し送信された、ＩＤ管理ＤＢ３５に登録されていないユーザの属性情報の各項目に対する値は、主サービス提供の際に同時に用いられる。
なお、表４における「主サービスでの要求」及び「ユーザの応答」の値は、ＩＤ管理ＤＢ３５からのユーザの属性情報読み出し後、もしくはサービス提供サーバ３０による主サービス提供終了後、消去され、表１の状態に戻るものとする。
図１０に示した表５はステップＳ６において、サービス提供サーバ３０からユーザ端末２０に対し、送信される属性情報の項目の変形例を示したものである。ユーザ端末２０に送信される内容には、サービス提供サーバ３０が主サービス提供に必要な属性情報の項目と、各項目のＩＤ管理ＤＢ３５に登録されている値、もしくは値が未登録であることを表す情報が含まれており、表２に示した内容に替えて、この表５に示したような内容をユーザ端末２０に送信するようにしてもよい。

以上説明したように、この第１の実施形態によればユーザの属性情報の利用許可はユーザ端末１０とは別のユーザ端末２０から行うものとなっており、ユーザ端末１０における属性情報の表示や入力を不要としている。
従って、サービスの提供を受けるユーザ端末１０が一般家庭内の端末や公共の場等で利用されるような安全性の確保がなされていない低信頼の端末であってもユーザの属性情報漏洩の危険性を排除でき、安全性の高いオンラインサービス提供を実現することができる。

〈第２の実施形態〉
次に、この発明の第２の実施形態に係る属性利用承認システムについて説明する。なお、第２の実施形態に係る属性利用承認システムを構成する構成要素のうち、第１の実施形態に係る属性利用承認システムと同一の構成要素については、説明を省略する。
第２の実施形態に係る属性利用承認システムの全体のシステム構成図は図１の第１の実施形態に係る属性利用承認システムのシステム構成図と同様である。
図１１は第２のユーザ端末２０’の内部構成例を示したものであり、ユーザ端末２０’はこの例では通信手段２１と通信手段２２とＩＤ利用承認部２３とＩＤ管理ＤＢ２４とを備える。このうち、通信手段２１、通信手段２２及びＩＤ利用承認部２３の各構成要素は第１の実施形態と同一の機能を持つ。
ＩＤ管理ＤＢ２４はユーザの属性情報を管理し、サービス提供サーバ３０の要求及びユーザの承認に応じ、サービス提供サーバ３０の主サービス提供に必要なユーザの属性情報が読み出される。

図１２に示した表６は第２の実施形態に係るサービス提供サーバ３０のＩＤ管理ＤＢ３５の構成例を示したものである。ＩＤ管理ＤＢ３５はユーザの属性情報の各項目の値に加えて、項目の値の有効期限情報を記憶する。有効期限情報は、各項目について項目の値の有効性が失効する将来の日付、もしくは項目の値が登録された日付と登録されてからの有効時間数とされる。
図１３に示した表７はユーザ端末２０’のＩＤ管理ＤＢ２４の構成例を示したものである。
ユーザ端末２０’がＩＤ管理ＤＢ２４を有する構成とされた第２の実施形態に係る属性利用承認システムの動作について、図面を参照して説明する。図１４は第２の実施形態に係る属性利用承認システムの動作を示すシーケンス図である。
図１４において、ステップＳ１〜Ｓ５までは図５におけるＳ１〜Ｓ５の動作と同一である。
サービス提供サーバ３０はユーザ端末２０’の認証を行う（Ｓ５）と、ユーザ端末２０’が送信したセッション情報を基に、ユーザ端末２０’に対し、該セッション情報に紐付けられたユーザ端末１０がサービス提供サーバ３０に対し要求している主サービスでサービス提供サーバ３０が利用を要求する属性情報の項目と、該項目の属性情報がＩＤ管理ＤＢ３５に登録されているか否かの登録情報と、ＩＤ管理ＤＢ３５にて管理されている属性情報の値と、各属性情報の有効期限情報とを与える（Ｓ２１）。

例えば、ステップＳ２１において、サービス提供サーバ３０からユーザ端末２０’に対し送信される情報の構成は、図１５に示した表８で示される。
ユーザ端末２０’は、サービス提供サーバ３０から主サービスにて必要とする属性情報の集合（表８）を受け取った際に、ＩＤ管理ＤＢ３５が値を持たない属性情報の値を、ＩＤ管理ＤＢ２４にて検索し、該属性情報の値がある場合、該属性の値を補足することができる（Ｓ２２，Ｓ２３）。また、サービス提供サーバ３０に補足した該属性の値を送信した上で、ＩＤ管理ＤＢ３５に対し、該属性の値を記録させてもよい。

ユーザ端末２０’は、サービス提供サーバ３０から主サービスにて必要とする属性情報の集合を受け取った際に、各々の属性項目について、ＩＤ管理ＤＢ３５が持つ値とＩＤ管理ＤＢ２４が持つ値とを比較し（Ｓ２４）、その値が相違する場合、ユーザに対し、その処置（Ｓ２５）の入力指示を要求する。
この場合の処置は、
（１）ＩＤ管理ＤＢ３５が持つ値を正当とし、ＩＤ管理ＤＢ２４の値を更新させること、
（２）ＩＤ管理ＤＢ３５が持つ値は偽とし、サービス提供サーバ３０に該値を用いたサービス提供を許可しないこと、
（３）ＩＤ管理ＤＢ２４が持つ値を正当とし、サービス提供サーバ３０に対してＩＤ管理ＤＢ２４が持つ値を送信し、該値を用いた主サービスを要求すること、
（４）ＩＤ管理ＤＢ２４の値を正当とし、サービス提供サーバ３０に対してＩＤ管理ＤＢ２４の持つ値を送信し、該値を用いた主サービスを要求するとともに、ＩＤ管理ＤＢ３５が記憶する値を該値に置換えるよう要求すること、
のいずれかとする。

例えば、ステップＳ２１において、サービス提供サーバ３０からユーザ端末２０’に対し送信される情報の構成が表８の通りであり、ユーザ端末２０’内のＩＤ管理ＤＢ２４で管理される情報の構成が表７の通りであったとする。
この場合、「住所」と「クレジットカード番号」の２つの項目について、ＩＤ管理ＤＢ３５が持つ値とＩＤ管理ＤＢ２４が持つ値が異なる。この場合、ユーザは上記（１）〜（４）で挙げた手続きを選択することができる。
なお、ＩＤ管理ＤＢ３５は、主サービス提供に必要なユーザ属性情報の項目を抽出した際に、各項目に対し、項目の値が有効期限を経過していた場合、当該項目の値及び有効期限情報をユーザの同意の基に削除してもよい。

ユーザ端末２０’は、サービス提供サーバ３０から主サービスにて必要とする属性情報の集合を受け取った際に、各々の属性項目について、ＩＤ管理ＤＢ３５が持つ有効期限を超過している情報、並びに有効期限到達が近い情報を検索し（Ｓ２６）、その処置（Ｓ２７）の入力指示をユーザに要求する。
この場合の処置は、
（１）ＩＤ管理ＤＢ３５が持つ該値の有効期限情報を延長させること、
（２）ＩＤ管理ＤＢ２４が持つ該項目の値をサービス提供サーバ３０に対して送信し、該値を用いた主サービスを要求するとともに、ＩＤ管理ＤＢ３５が管理する該項目の値及び有効期限情報を削除させること、
（３）ＩＤ管理ＤＢ２４が持つ該項目の値をサービス提供サーバ３０に対して送信し、該値を用いた主サービスを要求するとともに、ＩＤ管理ＤＢ３５が持つ値を該値に置換えるよう要求すること、
のいずれかとする。

ユーザ端末２０’は、サービス提供サーバ３０から得た属性情報の項目、値、有効期限情報に対し、上記Ｓ２２からＳ２７の判断・処置を含む属性情報の利用の承認及び否認をユーザに行わせ、その結果をサービス提供サーバ３０に送信する（Ｓ２８）。以下、図５と同様、ステップＳ９〜Ｓ１１が実行され、ユーザ端末１０に主サービスが提供される。
この第２の実施形態によれば、前述した第１の実施形態の効果に加え、サービス提供サーバ３０のＩＤ管理ＤＢ３５で管理されるユーザの属性情報が主サービス提供に十分ではなくても、ユーザ端末２０’が備えるＩＤ管理ＤＢ２４から不足する属性情報がサービス提供サーバ３０に送信されるため、ユーザ端末１０より属性情報を入力する必要はない。
また、サービス提供サーバ３０のＩＤ管理ＤＢ３５で管理されるユーザの属性情報とユーザ端末２０’のＩＤ管理ＤＢ２４で管理されるユーザの属性情報とが相違する場合であっても、ユーザは所望の処置をとることができ、さらにＩＤ管理ＤＢ３５で管理されるユーザの属性情報の有効期限が超えている場合にユーザは所望の処置をとることができる。

〈第３の実施形態〉
この発明の第３の実施形態に係る属性利用承認システムのシステム構成図を図１６に示す。なお、第３の実施形態に係る属性利用承認システムを構成する構成要素のうち、第１及び第２の実施形態に係る属性利用承認システムと同一の構成要素には同一符号を付し、説明を省略する。
図１６に示した属性利用承認システムは、第１のユーザ端末１０と、第２のユーザ端末２０’と、サービス提供サーバ３０’と、ユーザに主サービスを提供する際に必要なユーザの属性情報をサービス提供サーバ３０’に提供する属性管理サーバ４０とを備えて構成されている。
サービス提供サーバ３０’はユーザ端末１０に主サービスを提供するものであり、汎用のコンピュータによって構成される。また、サービス提供サーバ３０’は主サービスの提供に必要なユーザの属性情報の提供を属性管理サーバ４０から受ける。

属性管理サーバ４０は主サービスを提供するサービス提供サーバ３０’に代わって、ユーザの属性情報を管理し、必要に応じてサービス提供サーバ３０’に提供する。また、属性管理サーバ４０はユーザ端末２０’に対し、当該属性情報の利用許可をたずねるサービス（属性利用承認サービス）を提供する。
属性管理サーバ４０とユーザ端末２０’とはネットワーク５３を介して通信可能である。また、サービス提供サーバ３０’と属性管理サーバ４０とはネットワーク５４を介して通信可能である。

図１７はサービス提供サーバ３０’の内部構成例を示したものであり、サービス提供サーバ３０’は通信手段３１と通信手段３２とサービス提供部３３とＩＤ連携機能部３６とを備える。
通信手段３２はネットワーク５４を介して属性管理サーバ４０と接続し、ユーザ端末１０に提供する主サービスに必要なユーザの属性情報を属性管理サーバ４０に要求し、該属性情報を受信する。
ＩＤ連携機能部３６はサービス提供部３３がユーザの属性情報を要求した場合に、ユーザの属性情報を管理及び提供する属性管理サーバ４０の検索、属性管理サーバ４０に対し、サービス提供サーバ３０’が主サービスを提供するユーザの認証をサービス提供サーバ３０’に代わって行う認証代行の要求、主サービスに必要なユーザの属性情報の属性管理サーバ４０に対する代行取得の要求、該属性情報の属性管理サーバ４０からの受信を行う。

図１８は属性管理サーバ４０の内部構成例を示したものであり、第１の通信手段４１と第２の通信手段４２とＩＤ連携機能部４３とＩＤ利用管理部４４とＩＤ管理ＤＢ４５とを備える。
通信手段４１はネットワーク５３を介してユーザ端末２０’と接続する。通信手段４２はネットワーク５４を介してサービス提供サーバ３０’と接続する。
ＩＤ連携機能部４３は通信手段４２を介してサービス提供サーバ３０’のサービス提供部３３の検索及び要求に応答し、ユーザの認証及びユーザの属性情報の取得をＩＤ利用管理部４４に要求し、得られた認証結果及び属性情報をサービス提供サーバ３０’に送信する。

ＩＤ利用管理部４４はＩＤ連携機能部４３の要求に応じた通信手段４１を介したユーザ端末２０’におけるユーザの認証と、ＩＤ連携機能部４３の要求に応じたＩＤ管理ＤＢ４５に対するユーザの属性情報の読み出しと、通信手段４１を介したユーザ端末２０’に対する属性利用承認サービスを行い、得られた結果をＩＤ連携機能部４３に送信する。
ＩＤ管理ＤＢ４５はＩＤ利用管理部４４の要求に応じてユーザの属性情報の管理を行う。なお、ＩＤ管理ＤＢ４５の構成は例えば前述の図１２に示した表６と同様である。
以上のように構成された第３の実施形態に係る属性利用承認システムの動作について、図面を参照して説明する。図１９は第３の実施形態に係る属性利用承認システムの動作を示すシーケンス図である。

図１９において、ステップＳ１〜Ｓ３までは図１４におけるステップＳ１〜Ｓ３の動作と同一である。
ユーザ端末２０’はユーザ端末１０から得たセッション情報と、ユーザのサービス提供サーバ３０’に対する認証に必要なユーザの認証情報を属性管理サーバ４０に対し、送信する（Ｓ３１）。
ユーザ認証は図１４のステップＳ５に準じ、認証処理はＩＤ連携機能部４３にて行われる（Ｓ３２）。
なお、ユーザ端末２０’は認証要求の宛先である属性管理サーバ４０をステップＳ２にて得ているが、ユーザ端末２０’はステップＳ２にて認証要求の宛先を得ず、ステップＳ３１に相当するシーケンスにて、サービス提供サーバ３０’に対し、認証要求を行い、サービス提供サーバ３０’内のＩＤ連携機能部３６が、属性管理サーバ４０にて認証を行うよう応答を行った結果として、ユーザ端末２０’は属性管理サーバ４０に対して認証要求を行ってもよい。
ＩＤ連携機能部４３は、ユーザ端末２０’の認証を行うと、ユーザ端末２０’が送信したセッション情報を基に、主サービス提供に必要なユーザの属性情報の項目をサービス提供サーバ３０’のＩＤ連携機能部３６に対し問い合わせ（Ｓ３３）、ＩＤ連携機能部３６はＩＤ連携機能部４３に対し応答する（Ｓ３４）。

ＩＤ連携機能部４３は、主サービス提供に必要なユーザの属性情報の項目、値、有効期限情報をＩＤ管理ＤＢ４５から読み取り、該項目のサービス提供サーバ３０’に対する送信許可を第２のユーザ端末２０’に対し、行う。
主サービス提供に必要なユーザの属性情報の項目、値、有効期限情報が属性管理サーバ４０からユーザ端末２０’に送信されると、ユーザ端末２０’において図１４の場合と同様、ステップＳ２２〜Ｓ２７が実行される。
ユーザ端末２０’は、属性管理サーバ４０から得た属性情報の項目、値、有効期限情報に対し、Ｓ２２からＳ２７の判断・処置を含む属性情報の利用の承認及び否認をユーザに行わせ、その結果を属性管理サーバ４０に対し、送信する（Ｓ３６）。

なお、ＩＤ管理ＤＢ２４及びＩＤ管理ＤＢ４５の双方に登録されていない属性情報の項目が主サービスにて要求される場合、
（１）該項目の値を通知しないまま、主サービスを利用する、
（２）該項目の値を通知して、主サービスを利用した上で、ＩＤ管理ＤＢ４５に該項目の値を記憶させる、
（３）該項目の値を通知して、主サービスを利用するが、ＩＤ管理ＤＢ４５には該項目の値は記憶させない、
のいずれかの実施をサービス提供サーバ３０’及びユーザが選択できる。
ＩＤ連携機能部４３はＳ３６で得られた情報を基に、ＩＤ管理ＤＢ４５から主サービスに必要な属性情報の値を読み出し、ユーザ端末２０’から送信されたＩＤ管理ＤＢ２４が持つ情報と共に、サービス提供サーバ３０’のＩＤ連携機能部３６に対し、送信する（Ｓ３７）。ＩＤ連携機能部３６は属性管理サーバ４０のＩＤ連携機能部４３に対し、情報の送信が正しく行われたことを示すＯＫ（ＡＣＫ）を送信する（Ｓ３８）。ただし、Ｓ３８は実施されなくてもよい。

属性管理サーバ４０はユーザ端末２０’に対し、ユーザ端末１０からサービス提供サーバ３０’に対するサービス再要求を指示し（Ｓ３９）、ユーザ端末１０からサービス提供サーバ３０’に対し、サービス再要求を行う（Ｓ１０）と、サービス提供サーバ３０’は、ステップＳ３７にてＩＤ連携機能部３６に送信された情報を基に、サービス提供部３３にて主サービスを生成し、ユーザ端末１０に対し提供する（Ｓ１１）。
この第３の実施形態によれば、前述した第１及び第２の実施形態の効果に加え、サービス提供サーバ３０’とは別の属性管理サーバ４０がユーザの属性情報を持つものとなっている。従って、例えば属性管理サーバ４０が多数のサービス提供サーバ３０’と接続している条件下において、ユーザは多数のサービス提供サーバ３０’を利用する場合であっても、同一の操作体系にて簡易にサービス提供を受けることができる。

この発明による属性利用承認システムの第１の実施形態の構成を示す図。 図１におけるユーザ端末１０の構成を示す図。 図１におけるユーザ端末２０の構成を示す図。 図１におけるサービス提供サーバの構成を示す図。 この発明による属性利用承認システムの第１の実施形態の動作を説明するためのシーケンス図。 図４におけるＩＤ管理ＤＢ３５に管理されている情報の一例を示す表。 図５のステップＳ６においてユーザ端末２０に送信される情報の一例を示す表。 図５のステップＳ８においてサービス提供サーバに送信される情報の一例を示す表。 図４におけるＩＤ管理ＤＢ３５に管理されている情報（図５のステップＳ８後）の一例を示す表。 図５のステップＳ６においてユーザ端末２０に送信される情報の他の例を示す表。 この発明による属性利用承認システムの第２の実施形態におけるユーザ端末２０’の構成を示す図。 この発明による属性利用承認システムの第２の実施形態におけるサービス提供サーバのＩＤ管理ＤＢ３５に管理されている情報の一例を示す表。 図１１におけるＩＤ管理ＤＢ２４に管理されている情報の一例を示す表。 この発明による属性利用承認システムの第２の実施形態の動作を説明するためのシーケンス図。 図１４のステップＳ２１においてユーザ端末２０’に送信される情報の一例を示す表。 この発明による属性利用承認システムの第３の実施形態の構成を示す図。 図１６におけるサービス提供サーバの構成を示す図。 図１６における属性管理サーバの構成を示す図。 この発明による属性利用承認システムの第３の実施形態の動作を説明するためのシーケンス図。

Claims (8)

1. サービスを提供するサービス提供サーバと、サービスの提供を受ける第１のユーザ端末と、前記サービス提供サーバと高信頼な通信路で接続された第２のユーザ端末とによって構成され、
   前記サービス提供サーバはユーザの属性情報を管理する第１のＩＤ管理ＤＢを具備しており、
   前記サービス提供サーバは前記第１のユーザ端末からサービス要求を受けると、そのサービスの提供に必要なユーザの属性情報の項目と、その項目の属性情報が前記第１のＩＤ管理ＤＢに登録されているか否かの登録情報を前記第２のユーザ端末に送信し、
   前記サービス提供サーバは前記第２のユーザ端末から利用承認を受信すると、その利用承認を受けた属性情報に基づいて前記第１のユーザ端末に対してサービスを提供することを特徴とする属性利用承認システム。
2. 請求項１記載の属性利用承認システムにおいて、
   前記第２のユーザ端末はユーザの属性情報を管理する第２のＩＤ管理ＤＢを備え、
   前記第２のユーザ端末は前記サービス提供サーバから送信された項目と登録情報に基づき、前記第１のＩＤ管理ＤＢに登録されていない属性情報を前記第２のＩＤ管理ＤＢから読み出し、その読み出した属性情報を前記利用承認と共に上記サービス提供サーバに送信することを特徴とする属性利用承認システム。
3. 請求項２記載の属性利用承認システムにおいて、
   前記サービス提供サーバは前記項目と前記登録情報と共に、前記第１のＩＤ管理ＤＢに登録されている前記項目の属性情報を前記第２のユーザ端末に送信し、
   前記第２のユーザ端末は受信した属性情報と前記第２のＩＤ管理ＤＢに登録されている属性情報とが相違する場合に、その処置の入力指示をユーザに要求することを特徴とする属性利用承認システム。
4. 請求項３記載の属性利用承認システムにおいて、
   前記第１のＩＤ管理ＤＢは属性情報と共に、各属性情報の有効期限情報を記憶しており、
   前記サービス提供サーバは前記項目と前記登録情報と前記項目の属性情報と共に、その属性情報の有効期限情報を前記第２のユーザ端末に送信し、
   前記第２のユーザ端末は有効期限が超過している属性情報がある場合に、その処置の入力指示をユーザに要求することを特徴とする属性利用承認システム。
5. サービスを提供するサービス提供サーバと、ユーザの属性情報を管理する第１のＩＤ管理ＤＢを具備する属性管理サーバと、サービスの提供を受ける第１のユーザ端末と、前記属性管理サーバと高信頼な通信路で接続された第２のユーザ端末とによって構成され、
   前記サービス提供サーバは前記第１のユーザ端末からサービス要求を受けると、そのサービスの提供に必要なユーザの属性情報を前記属性管理サーバに要求し、
   前記属性管理サーバは前記サービス提供サーバから要求された属性情報の項目と、その項目の属性情報が前記第１のＩＤ管理ＤＢに登録されているか否かの登録情報を前記第２のユーザ端末に送信し、
   前記属性管理サーバは前記第２のユーザ端末から利用承認を受信すると、その利用承認を受けた属性情報を前記サービス提供サーバに送信し、
   前記サービス提供サーバは前記属性管理サーバから送信された属性情報に基づいて前記第１のユーザ端末に対してサービスを提供することを特徴とする属性利用承認システム。
6. 請求項５記載の属性利用承認システムにおいて、
   前記第２のユーザ端末はユーザの属性情報を管理する第２のＩＤ管理ＤＢを備え、
   前記第２のユーザ端末は前記属性管理サーバから送信された項目と登録情報に基づき、前記第１のＩＤ管理ＤＢに登録されていない属性情報を前記第２のＩＤ管理ＤＢから読み出し、その読み出した属性情報を前記利用承認と共に上記属性管理サーバに送信することを特徴とする属性利用承認システム。
7. 請求項６記載の属性利用承認システムにおいて、
   前記属性管理サーバは前記項目と前記登録情報と共に、前記第１のＩＤ管理ＤＢに登録されている前記項目の属性情報を前記第２のユーザ端末に送信し、
   前記第２のユーザ端末は受信した属性情報と前記第２のＩＤ管理ＤＢに登録されている属性情報とが相違する場合に、その処置の入力指示をユーザに要求することを特徴とする属性利用承認システム。
8. 請求項７記載の属性利用承認システムにおいて、
   前記第１のＩＤ管理ＤＢは属性情報と共に、各属性情報の有効期限情報を記憶しており、
   前記属性管理サーバは前記項目と前記登録情報と前記項目の属性情報と共に、その属性情報の有効期限情報を前記第２のユーザ端末に送信し、
   前記第２のユーザ端末は有効期限が超過している属性情報がある場合に、その処置の入力指示をユーザに要求することを特徴とする属性利用承認システム。

Images