JP4132769B2 - 認証システム及び認証方法 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワークを介して所定のサービスを利用する利用者の認証方法及びこの方法を実現するためのシステムに関し、特に、利用者に対してパスワードを発行する認証方法及びこの方法を実現するためのシステムに関する。
【０００２】
【従来の技術】
インターネット等のネットワークにおいては、個人情報や企業情報など、漏洩させてはならない情報を悪意の第三者から守りつつ、その情報を確実に維持し、いつでも有効利用できる状態を保つことが必要である。このようなネットワークにおけるセキュリティ対策の一例として、従来、ユーザＩＤやパスワードを用いたユーザの認証方法が採用されている。この認証方法は、ネットワークを介して所定のシステムにログインしようとする利用者に対して、ユーザＩＤ及びパスワードの入力を要求し、この入力されたユーザＩＤ及びパスワードに基づいて当該利用者が真のユーザであるか否かを判断するものである。
【０００３】
ところで、近年、インターネット等のネットワークを介して多種多様なシステムによるサービスが利用者に提供されており、その中には、上述した個人情報や企業情報などを取り扱うサービスもある。そして、かかるサービスにおけるセキュリティ対策としてユーザＩＤ及びパスワードを用いたユーザの認証方法が採用されている場合には、利用者に対して、そのサービスを利用する前にユーザＩＤ及びパスワードを取得するための登録手続を要求する場合が多い。
【０００４】
例えば、金融機関が提供するインターネットショッピング決済サービスにおける登録手続及び認証方法について説明する。まず、当該サービスの利用を希望する利用者は、金融機関が予め用意した申込書に必要事項を記入し、当該金融機関に郵送する。この申込書には、利用者の氏名、口座情報、メールアドレス、届出印、仮パスワード等の個人情報を記載する。金融機関は、この申込書を受け付けると、利用者の与信調査等を行った後、利用者の情報を所定のデータベースに登録するとともに、利用者を一意的に特定するユーザＩＤを発行する。そして、このユーザＩＤを、利用者が申請書に記載したメールアドレスに対して送信する。
【０００５】
利用者は、メールを受信して当該サービスを利用するためのユーザＩＤを取得すると、指定されたＷｅｂページにアクセスして所定の操作を行うことにより、仮パスワードを本パスワードに変更する。仮パスワードから本パスワードへの変更の際に、利用者にはユーザＩＤ及び仮パスワードの入力が要求される。そして、利用者が入力したユーザＩＤ及び仮パスワードの照合結果が妥当であると判断された場合に（利用者が申込書を提出した本人であると認証された場合に）、仮パスワードから本パスワードへの変更が認められる。これにより、利用者が所定のサービスを利用するための登録手続が完了し、これ以後、利用者は、取得したユーザＩＤ及び本パスワードを用いて当該サービスを利用することができるようになる。
【０００６】
このように、ネットワークを介して所定のシステムによりサービスを提供する場合には、利用者を一意的に特定するユーザＩＤやパスワードを発行し、利用者が所定のサービスを利用する際に（すなわち、システムにログインする際に）、そのユーザＩＤ及びパスワードを利用者に入力させてその利用者を認証することにより、外部からの侵入や、それに伴うデータの漏洩や破壊などを防止している。
【０００７】
なお、以上のようなサービスの申込は、申込書の郵送に限らず、申込書と実質同一内容のＷｅｂページに必要事項を入力することにより行う場合もある。また、仮パスワードは、申込時に利用者が申請する場合に限られず、サービスの提供者側から付与される場合もある。
【０００８】
【発明が解決しようとする課題】
しかしながら、上述したユーザＩＤ及びパスワードを用いる認証方法における登録手続においては、以下に述べるような問題があった。すなわち、利用者が所定のシステムによるサービスの利用申込を行った時点から、ユーザＩＤを受け取ってパスワードを取得する時点までの間には、一定のタイムラグが生じる場合が多い。
【０００９】
なぜなら、システムを運用する側では、郵送等による利用者からの申込書を受け付けた後、必要な利用者情報をデータベースに登録したり、ユーザＩＤを発行して利用者に通知したりする作業を行う必要があり、かかる作業には所定の時間を要するからである。さらに、利用者に提供するシステムの内容によっては、そのシステムの利用を許可するか否かについて利用者の与信調査や内部審査などを行う必要があるため、かかる場合には、利用者が、申込書を発送してからユーザＩＤを受け取るまでに、長いタイムラグ（例えば、約１ヶ月）が経過している場合もある。
【００１０】
このように、利用者が申込書を発送してからユーザＩＤを受け取るまでに生じるタイムラグが長い場合には、いざ利用者がユーザＩＤを受け取って本パスワードを取得しようとした際に、申込書に記載した仮パスワードを忘れてしまったり、この仮パスワードを書き留めていたメモを紛失してしまったりという事態が生じやすかった。
【００１１】
特に、仮パスワードは、第三者による盗難を防止すべく所定桁数以上の数字やアルファベットの組み合わせから構成されるようにシステム側が規定している場合が多く、利用者もまた、それを受けて、数字やアルファベットのランダムな配列を意識して仮パスワードを作成する場合が多い。従って、自ら作成した仮パスワードであっても、時間の経過とともに、その内容を思い出すことが困難となりがちであった。さらに、仮パスワードがシステム側によって付与されたような場合には、その仮パスワードを書き留めていたメモ等が存在しなければ、利用者が思い出すことはほぼ不可能であった。
【００１２】
このような場合、利用者は、仮パスワードを入力することができないため、本パスワードを取得することができず、その結果、登録手続を最初からやり直したり、仮パスワードをシステム担当者に問い合わせたりしなければならなかった。サービスを実際に利用する前に、このようなハプニングが生じることは、ユーザにとって煩わしいものであると同時に非常に面倒なものでもあった。一方、システムを運用する側にとっても、仮パスワードを忘れてしまったという問い合わせにその都度対処することは、煩雑な作業であるとともに面倒な作業でもあった。
【００１３】
このような事態を鑑み、例えば、登録手続において、通知したユーザＩＤのみに基づいてパスワードを取得させる方法も考えられる。しかし、かかる場合には、例えば、ユーザＩＤが真の利用者とは異なる利用者に拾得され不正に利用された場合に、パスワードの取得を申請する者が真の利用者か否かを判断することが困難となってしまう。従って、パスワードを付与する際のセキュリティを維持するためには、やはりユーザＩＤ以外の認証情報も使用して真の利用者を確認することが望ましい。
【００１４】
そこで、本発明の課題は、パスワードを用いた認証方法における登録手続において、所定の認証情報を用いて真の利用者を認証する一方、利用者が滞りなくパスワードを取得することができる認証方法及びそれを実現するシステムを提供することにある。
【００１５】
【課題を解決するための手段】
本発明の要旨は、利用者からの申請に基づく第１の認証情報と第２の認証情報とを対応付けた合言葉パスワードを記憶し、利用者からパスワードの取得要求を受け付けると、合言葉パスワードの第１の認証情報を利用者に提示するとともに第２の認証情報の入力を利用者に促し、利用者が入力した第２の認証情報を受け付けると、受け付けた第２の認証情報と提示した第１の認証情報に対応づけて記憶された第２の認証情報とを照合し、照合結果が一致する場合に、所定のパスワードを発行することである。
【００１６】
具体的には、本発明に係る認証システムは、パスワードを用いてユーザを認証する認証システムにおいて、ユーザの申請に基づく第１の認証情報及び第２の認証情報を対応付けて記憶する記憶手段と、前記ユーザから新規パスワードの取得要求を受け付ける受付手段と、前記受付手段が受け付けた取得要求に基づいて特定される前記第１の認証情報をユーザに提示するとともに、提示された第１の認証情報に対応する第２の認証情報の入力をユーザに促す第１の入力手段と、前記第１の入力手段により入力された第２の認証情報を受け付けると、前記受け付けた第２の認証情報と前記提示した第１の認証情報に対応付けて前記記憶手段が記憶する第２の認証情報とを照合する照合手段と、前記照合手段による照合結果が一致する場合には、前記新規パスワードを発行する発行手段とを備えることを特徴とする。
【００１７】
前記発行手段は、前記照合手段による照合結果が一致する場合には、ユーザを一意的に特定する仮パスワードを発行するとともに、前記発行した仮パスワードをユーザに通知し、前記ユーザから前記仮パスワードを本パスワードへ変更する要求を受け付けると、前記仮パスワード及び所望する本パスワードの入力をユーザに促す第２の入力手段と、前記第２の入力手段により入力された仮パスワード及び本パスワードを受け付けると、前記受け付けた仮パスワードと前記発行手段が発行した仮パスワードとを照合し、照合結果が一致する場合には、前記仮パスワードを前記受け付けた本パスワードへ変更する変更手段とをさらに備えることが望ましい。
【００１８】
また、前記発行手段は、前記照合手段による照合結果が一致する場合には、所望する本パスワードの入力をユーザに促し、前記ユーザが入力した本パスワードを受け付けると、前記受け付けた本パスワードに基づいて新規本パスワードを発行することが望ましい。
【００１９】
また、前記認証システムは、前記ユーザを一意的に特定するユーザＩＤを発行するとともに、前記発行したユーザＩＤを前記ユーザに通知する通知手段をさらに備え、前記第１の入力手段は、前記受付手段が前記ユーザから新規パスワードの取得要求を受け付けると、前記ユーザにユーザＩＤの入力を促し、入力されたユーザＩＤと前記通知手段が通知したユーザＩＤとを照合し、照合結果が一致する場合には、前記受付手段が受け付けた取得要求に基づいて特定される前記第１の認証情報をユーザに提示するとともに、提示された第１の認証情報に対応する第２の認証情報の入力をユーザに促すことが望ましい。
【００２０】
また、前記発行手段は、前記照合手段による照合結果が一致する場合には、新規本パスワードと前記ユーザを一意的に特定するユーザＩＤとを発行し、前記発行した新規本パスワードとユーザＩＤとを前記ユーザに通知することが望ましい。
【００２１】
また、前記第１の認証情報は質問形式にて構成され、前記第２の認証情報は前記第1の認証情報に対する回答形式にて構成されていることが望ましい。
【００２２】
また、前記第1の入力手段は、所定の条件に従って、前記第１の認証情報及び前記第２の認証情報のうち前記ユーザに提示する一の認証情報を決定し、決定した一の認証情報をユーザに提示するとともに、他の認証情報の入力をユーザに促すこともできる。
【００２３】
また、本発明に係る認証システムは、パスワードを用いてユーザを認証するサーバと、前記サーバにログインするクライアントから構成される認証システムにおいて、前記サーバが、ユーザの申請に基づく第１の認証情報及び第２の認証情報を対応付けて記憶し、前記クライアントが、前記サーバに新規パスワードの取得要求を送信し、前記サーバが、前記クライアントから送信される新規パスワードの取得要求を受け付けると、前記受け付けた取得要求に基づいて特定される前記第１の認証情報を前記クライアントに送信し、前記クライアントが、前記サーバから送信される前記第1の認証情報に対応する第２の認証情報の入力を前記ユーザから受け付けて、これを前記サーバに送信し、前記サーバが、前記クライアントから送信される前記第２の認証情報を受け付けると、前記受け付けた第２の認証情報と前記送信した第１の認証情報に対応付けて記憶する第２の認証情報とを照合し、照合結果が一致する場合には、前記新規パスワードを発行することを特徴とする。
【００２４】
また、本発明は認証方法の発明としても把握することができ、具体的には、ユーザの申請に基づく第１の認証情報及び第２の認証情報を対応付けて記憶する段階と、前記ユーザから新規パスワードの取得要求を受け付ける段階と、前記受け付けた取得要求に基づいて特定される前記第１の認証情報をユーザに提示するとともに、提示された第１の認証情報に対応する第２の認証情報の入力をユーザに促す段階と、前記ユーザにより入力された第２の認証情報を受け付けると、前記受け付けた第２の認証情報と前記提示した第１の認証情報に対応付けて記憶する第２の認証情報とを照合する段階と、照合結果が一致する場合には、前記新規パスワードを発行する段階とを備えることを特徴とする。
【００２５】
さらにまた、本発明は各機能をコンピュータに実現させるプログラムの発明としても把握することができ、具体的には、ユーザの申請に基づく第１の認証情報及び第２の認証情報を対応付けて記憶する機能と、前記ユーザから新規パスワードの取得要求を受け付ける機能と、前記受け付けた取得要求に基づいて特定される前記第１の認証情報をユーザに提示するとともに、提示された第１の認証情報に対応する第２の認証情報の入力をユーザに促す機能と、前記ユーザにより入力された第２の認証情報を受け付けると、前記受け付けた第２の認証情報と前記提示した第１の認証情報に対応付けて記憶する第２の認証情報とを照合する機能と、照合結果が一致する場合には、前記新規パスワードを発行する機能とをコンピュータに実現させるプログラムであることを特徴とする。
【００２６】
なお、本明細書において、手段とは、単に物理的手段を意味するものではなく、その手段が有する機能をソフトウェアによって実現する場合も含む。また、１つの手段が有する機能が２つ以上の物理的手段により実現されても、２つ以上の手段の機能が１つの物理的手段により実現されても良い。
【００２７】
【発明の実施の形態】
［第１の実施形態］
本実施形態は、利用者からの申請に基づく第１の認証情報と第２の認証情報とを対応付けた合言葉パスワードを記憶し、利用者からパスワードの取得要求を受け付けると、合言葉パスワードの第１の認証情報を利用者に提示するとともに第２の認証情報の入力を利用者に要求し、利用者が入力した第２の認証情報を受け付けると、受け付けた第２の認証情報と提示した第１の認証情報に対応づけて管理される第２の認証情報とを照合し、照合結果が一致する場合に、所定のパスワードを発行することを特徴としている。
【００２８】
合言葉パスワードの第1の認証情報は、典型的には、質問形式で構成され、第２の認証情報は、回答形式で構成される。これにより、例えば、サービスの申込時からパスワード取得時までの間にタイムラグが生じている場合でも、合言葉パスワードは質問及び回答から構成されているので、利用者は提示された質問を見れば入力すべき回答を容易に思い出すことができる。従って、合言葉パスワードを忘れることによりパスワードを取得することができないといった事態を回避することが可能になる。
【００２９】
なお、本実施形態における登録手続は、１）システムの利用申込、２）ユーザＩＤの通知、３）合言葉パスワードの認証、４）仮パスワードの取得、５）本パスワードの取得という手順に沿って進むものとする。すなわち、利用者は、ユーザＩＤを受け付けると、合言葉パスワード（質問に対する回答）に基づいて仮パスワードを取得し、この仮パスワードに基づいて所望する本パスワードを取得する。このように、利用者は、パスワードを２回変更することとなるので（合言葉パスワードから仮パスワードへ、仮パスワードから本パスワードへ）、システム利用開始時のセキュリティを厳しく維持することができるようになる。
【００３０】
図１は、本実施形態に係る認証システムの全体的な概略構成を示すブロックダイアグラムである。同図に示すように、認証システム１は、典型的には、インターネット上のＷＷＷシステムを利用したクライアント／サーバシステムとして実現される。さらに、本実施形態では、ビジネスアプリケーションソフトをネットワークを介してユーザに提供するサーバシステムと、そのビジネスアプリケーションソフト利用するクライアントから構成されている。
【００３１】
すなわち、認証システム１（サーバシステム）には、ユーザ端末２から送られるＨＴＴＰによるメッセージを受け付けて、そのメッセージに対応した処理を行うためのＷｅｂサーバプログラムが実装されている。一方、ユーザ端末２（クライアントシステム）には、認証システム１にアクセスし、Ｗｅｂコンテンツを閲覧するためのブラウザプログラム２１が実装されている。なお、ユーザ端末２には、携帯電話機のような携帯情報端末装置を用いることもできる。
【００３２】
次に、認証システム１について詳細に説明する。認証システム１は、ユーザ登録手段１０、パスワード発行手段１１、ユーザデータベース１２（以下、「ユーザＤＢ１２」という。）、及びコンテンツデータベース１３（以下、「コンテンツＤＢ１３」という。）を備える。ユーザ登録手段１０は、ユーザの申請に基づくユーザ情報をユーザデータベース１２に登録し、ユーザＩＤ及びパスワード取得画面を指定するＵＲＬをユーザに電子メールにて送信する機能を有する。パスワード発行手段１１は、ユーザ端末２からパスワード取得要求を受け付けると、ユーザの認証を行い、認証結果が妥当である場合に、パスワードを発行する機能を有する。
【００３３】
ユーザ登録手段１０は、ユーザ情報登録部１０１と、ユーザＩＤ作成部１０２と、メール送信部１０３とを備える。ユーザ情報登録部１０１は、ユーザ情報をユーザＤＢ１２に登録する。ユーザ情報は、ユーザに関する情報、例えば、氏名、会社名、電話番号、メールアドレス、合言葉パスワード（質問及び回答）などの情報を含んでいる。これらのユーザ情報は、ユーザから郵送された、あるいは認証システムの運営担当者がユーザから直接受け付けた認証システムの利用申込書や、ユーザ端末２から送信される利用申込書データに基づいて登録される。ユーザ情報登録部１０１は、ユーザＤＢ１２へのユーザ情報の登録作業が完了すると、その旨をユーザＩＤ作成部１０２に送出する。
【００３４】
ユーザＩＤ作成部１０２は、ユーザＤＢ１２にユーザ情報が登録された旨を受け付けると、このユーザを一意的に特定するためのユーザＩＤを作成し、ユーザ情報と対応付けてユーザＤＢ１２に記憶する。また、ユーザＩＤ作成部１０２は、ユーザＩＤの発行を通知するメール（以下、「ユーザＩＤ発行通知メール」。）の送信を許可する旨、及びユーザによる認証システム１の利用開始日が指定されている場合にはその利用開始日を、ユーザＤＢ１２に登録する。
【００３５】
メール送信部１０３は、予め指定されたタイミングで、ユーザＩＤ発行通知メールの送信処理を行う。まず、メール送信部１０３は、ユーザＤＢ１２を参照して、ユーザＩＤ発行通知メールの送信が許可されており、かつ利用開始日の条件を満たしているユーザＩＤを抽出する。そして、ユーザＩＤ作成部１０２は、条件に合致するユーザＩＤごとに、仮パスワード取得画面を指定するとともにユーザを一意的に特定可能なＵＲＬを生成し、ユーザＩＤ及びＵＲＬを含むメールコンテンツを作成する。そして、メール送信部１０３は、ユーザＤＢ１２からユーザＩＤに対応するメールアドレスを抽出し、これを作成したメールコンテンツの宛先ヘッダにセットしてメールを完成させると、このメールを送信する。送信されたメールは、ネットワーク３に送出され、そのメールアドレスが割り当てられたユーザ端末２により受信される。
【００３６】
ユーザ端末２は、メール送信部１０３から送信されたメールを着信すると、ユーザの所定の操作に従ってそのメールコンテンツを画面上に表示する。ユーザは、発行されたユーザＩＤ及びＵＲＬを確認するとともに、そのメールコンテンツに含まれるＵＲＬを選択する。ＵＲＬが選択されるとユーザ端末２に実装されたブラウザソフトが起動され、ユーザ端末２は、そのＵＲＬに従うＷｅｂコンテンツの取得要求を認証システム１に送信する。
【００３７】
ここで、パスワード発行手段１１は、認証処理部１１１とパスワード発行部１１２とを備える。認証処理部１１１は、所定の段階に応じた条件でユーザを認証する。具体的には、認証処理部１１１は、上述したユーザ端末２からのＷｅｂコンテンツの取得要求を受け付けると、これに応じてそのＵＲＬに従うＷｅｂコンテンツをユーザ端末２に送信するとともに、受け付けたＵＲＬに基づいてユーザＤＢ１２を参照してユーザＩＤを特定する。その後、認証処理部１１１は、ユーザＩＤ、合言葉パスワード、及び仮パスワード等の入力を段階に応じてユーザに促し、ユーザの入力したユーザＩＤ、合言葉パスワード、及び仮パスワード等とユーザＤＢ１２に記憶されたユーザＩＤ、合言葉パスワード、及び仮パスワード等が一致するか否かを照合する。そして、認証処理部１１１は、照合結果が一致する場合には、ユーザを真のユーザであると認証しその旨をパスワード発行部１１２に送出する一方、照合結果が一致しない場合には、ユーザを真のユーザであると認証せず処理を中止する。
【００３８】
パスワード発行部１１２は、認証処理部１１１から、ユーザが認証された旨を受け付けると、所定の段階に応じて仮パスワード又は本パスワードを発行する。仮パスワードには、パスワード発行部１１２が予め設定された関数等に基づいて自動的に算出した値が用いられる。本パスワードには、ユーザが自ら申請した値が用いられる。また、パスワード発行部１１２は、発行した仮パスワード又は本パスワードをユーザＤＢ１３にユーザＩＤと対応付けて記憶するとともに、ユーザが仮パスワード及び本パスワードを取得した旨を記憶する。
【００３９】
ユーザＤＢ１２は、ユーザに関する情報、例えば、氏名、会社名、電話番号、メールアドレスなどの情報を格納している。また、ユーザを認証するための合言葉パスワード（質問及び回答）、仮パスワード、及び本パスワードや、上述したＵＲＬ、パスワードの取得状況を示すステータスフラグ等の情報を含み、これらの情報は、ユーザを一意的に特定するためのユーザＩＤと対応付けて管理される。
【００４０】
コンテンツＤＢ１３は、ユーザに提供すべき画面を構成するＷｅｂコンテンツを格納している。これらのＷｅｂコンテンツは、例えばＨＴＭＬなどを用いて設計することができる。本実施形態では、Ｗｅｂコンテンツとして、ユーザが仮パスワードを取得するための仮パスワード取得画面や、仮パスワードから本パスワードへ変更するためのパスワード変更画面等が用意されている。これらの画面は、ユーザにユーザＩＤや合言葉パスワード（回答）等の入力を促して、その入力を受け付けるためのものである。これらの、Ｗｅｂコンテンツは、静的なデータとして予め用意されているものの他、ＣＧＩプログラムなどによって動的に生成することもできる。この、ＣＧＩプログラムは、ＷｅｂサーバプログラムがＨＴＴＰにより特定のメッセージを受け付けた場合に実行されるプログラムであり、本実施形態では、認証処理部１１１における認証処理等を行う機能を有するプログラムが用意されている。
【００４１】
以上のように構成される全体システムにおいて、本実施形態に係る認証システムの概略的なワークフローを説明すれば以下のとおりである。
【００４２】
図２は、本実施形態に係る認証方法のワークフロー図である。なお、図中、ネットワークを介さず郵送等の手段を用いて行われる処理については点線で示している。
【００４３】
まず、ユーザは、認証システム１を利用するにあたり、あらかじめ所定の事項を記載した利用申請書を提出する必要がある（S1）。利用申請書は、利用申請書を郵送又は認証システムの運営担当者に直接受渡すことによって提出することができる。あるいは、ユーザ端末２から認証システム１が提供する利用申請画面（図示せず）にアクセスし、所定の事項を入力することによって利用申請書を提出することもできる。利用申請書には、所定の事項として、氏名、会社名、電話番号、メールアドレス、合言葉パスワード（質問及び回答）などの情報を記載する。
【００４４】
認証システム１の運営担当者は、利用申請書を入手すると、ユーザ情報（利用申請書に記載された所定の事項）の登録を行う前に、このユーザについて与信調査及び社内決済等の事前処理を行う。そして、この事前処理を通過したユーザ情報について、認証システム１の運営担当者は、ユーザＤＢ１２に登録する（S2）。認証システム１は、ユーザ情報の登録が完了すると、ユーザを一意的に特定可能なユーザＩＤを発行するとともに（S3）、ユーザＩＤ発行通知メールの送信を許可する旨をユーザＤＢ１２に記憶する。なお、認証システム１の運営担当者は、ユーザＩＤ発行通知メールの送信日時が指定されている場合には、指定されている送信日時をユーザＤＢ１２に登録する。
【００４５】
認証システム１は、所定のタイミング（例えば、毎日午前０時）でメール送信処理を実行する。具体的には、認証システム１は、ユーザＤＢ１２を参照し、ユーザＩＤ発行通知メールの送信が許可されているユーザＩＤ（送信日時が指定されている場合には、更にその送信日時の条件を満たしているユーザＩＤ）をチェックする。そして、認証システム１は、該当するユーザＩＤ毎に、仮パスワード取得画面を指定するＵＲＬを作成し、このＵＲＬとユーザＩＤとを含むユーザＩＤ発行通知メールをユーザのメールアドレスに送信する（S4）。
【００４６】
ユーザ端末２は、ユーザＩＤ発行通知メールを受信すると（S5）、そのメールコンテンツの内容を確認し、仮パスワードの申請を行う（S6）。なお、仮パスワードの申請は、メールコンテンツに記述されたＵＲＬを選択することにより行う。ユーザ端末２は、ＵＲＬが選択されると、そのＵＲＬが指定する仮パスワード取得画面の取得要求を認証システム１に送信する。
【００４７】
認証システム１は、ＵＲＬが指定する仮パスワード取得画面の取得要求を受け付けると、このＵＲＬが指定する仮パスワード取得画面を送信する（S7）。また、このＵＲＬに基づいてユーザＤＢ１２を参照することによりユーザＩＤを特定する。
【００４８】
ユーザ端末２は、送信された仮パスワード取得画面を受け付けると、これをユーザ端末２のブラウザ上に表示する。ユーザは、仮パスワード取得画面の指示に従いユーザＩＤを入力し、ユーザ端末２がこれを認証システム１に送信する（S8）。
【００４９】
認証システム１は、ユーザ端末２からユーザＩＤを受け付けると、受け付けたユーザＩＤとＵＲＬにより特定したユーザＩＤとを照合し、照合結果が一致する場合には、次に、合言葉パスワードの質問を含む画面を送信する（S9）。
【００５０】
ユーザ端末２は、合言葉パスワードの質問を含む画面を受け付けると、ブラウザ上にその画面を表示し、ユーザは、合言葉パスワードの質問に対応する回答を入力する（S8）。ユーザ端末２がこれを認証システム１に送信すると、認証システム１は、これを受け付けて、ユーザＤＢ１２に記憶された回答と照合する（S9）。
【００５１】
認証システム１は、照合結果が一致する場合には、仮パスワードを発行してこれを送信し、照合結果が一致しない場合には、エラーメッセージを送信して、処理を中止する（Ｓ10）。ユーザ端末２は、仮パスワードを受け付けると、これをブラウザ上に表示し、ユーザは仮パスワードを取得する（S11）。
【００５２】
次に、ユーザは、この取得した仮パスワードに基づいて、本パスワードの申請を行う（S12）。認証システム１は、本パスワードの申請を受け付けると（S13）、ユーザＩＤ及び仮パスワードの入力を促す画面を送信し、ユーザ端末２は、これを受け付けるとブラウザ上に表示する。ユーザは、この画面に従って、ユーザＩＤ及び仮パスワードを入力すると、ユーザ端末２は、入力されたユーザＩＤ及び仮パスワードを認証システム１に送信する（S14）
認証システム１はユーザＤＢ１２に記憶されたユーザＩＤ及び仮パスワードと照合し、照合結果が一致する場合には、本パスワードの入力を促す画面を送信し、照合結果が一致しない場合には、エラーメッセージを送信して処理を中止する（S15）。
【００５３】
ユーザ端末１は、本パスワードの入力を促す画面を受け付けると、これをブラウザ上に表示し、ユーザがこの画面から所望する本パスワードを入力すると、これを認証システム１に送信する（S16）。認証システム１は、本パスワードを受信すると、これをユーザＤＢ１２に登録するとともに、本パスワードが登録された旨をユーザ端末２に送信する（S17）。
【００５４】
以上によれば、ユーザが仮パスワードを取得する際に、ユーザに合言葉パスワードの質問が表示されるとともに、その質問に対する回答の入力が要求されるので、ユーザは入力すべき内容（回答）をその質問から容易に導き出すことができるようになる。
【００５５】
図３は、認証システム１が管理するユーザＤＢ１２のデータ構造の一例を示す図である。ユーザＤＢ１２は、認証システム１を利用するユーザに関するデータを蓄積する。また、ユーザＤＢ１２は、ユーザを認証するために必要なデータから構成され、例えば、ユーザＩＤ１２１、氏名１２２、会社名１２３、電話番号１２４、メールアドレス１２５、合言葉質問１２６、合言葉回答１２７、ＵＲＬ１２８、仮パスワード１２９、及び本パスワード１３０等の項目を含んでいる。
【００５６】
ユーザＩＤ１２１、氏名１２２、会社名１２３、電話番号１２４、メールアドレス１２５、合言葉質問１２６及び合言葉回答１２７の各項目には、利用申請書に記載されたデータが記憶される。また、仮パスワード１２９には、認証システム１が予め設定された関数等に基づいて自動的に算出した値が記憶され、本パスワード１３０には、ユーザが申請した値が記憶される。
【００５７】
ＵＲＬ１２８には、仮パスワード取得画面を指定するとともに、ユーザを一意的に特定するためのパラメータが付与されたＵＲＬの文字列が記憶される。ＵＲＬ１２８に記憶される文字列は、全部でもよいし一部分（ユーザを特定可能な部分）でもよい。ＵＲＬ１２８は、認証システム１がＵＲＬ１２８に記憶されたＵＲＬに基づいてユーザＩＤを特定するためのものであるから、ユーザを特定可能な部分が格納されていれば十分だからである。
【００５８】
また、本実施形態では、ユーザＤＢ１２は、ユーザＩＤ発行通知メールの送信を制御する送信区分項目として、メールフラグ１３１及び日時情報１３２を含んでいる。メールフラグ１３１は、ユーザＩＤ発行通知メールの送信を許可するか否かを示すためのものであり、「有効」または「無効」のいずれかを示す値が保持される。日時情報１３２は、ユーザＩＤ発行通知メールの送信日時を指定するためのものであり、送信日時が指定されている場合には、その日時が、指定されていない場合には、ｎｕｌｌ値が保持される。例えば、ユーザの登録契約が２００１年９月１０日で、ユーザの認証システム１へのアクセス許可日（開始日）が２００１年１０月１日である場合には、日時情報１３２には、「２００１年１０月１日」が設定される。この認証システム１は、メールフラグ１３１が「有効」、かつ処理時点で日時情報１３２の日時を経過している場合には、ユーザＩＤ発行通知メールを送信する。
【００５９】
また、本実施形態では、ユーザＤＢ１２は、ステータス１３３を含んでいる。ステータス１３３は、利用申請書提出後のユーザの状況を示すフラグであり、「仮パスワードを取得していない」「仮パスワードを取得した」「本パスワードを取得していない」「本パスワードを取得した」などのユーザの状態を示す値が保持される。なお、このステータス１３３については、後の実施形態にて詳述する。
【００６０】
認証システム１は、メールフラグ１３１及び日時情報１３２のデータに基づいて、ユーザＩＤ発行通知メールの送信の有無を判断し、送信すると判断する場合には、ユーザＩＤ１２１及びＵＲＬ１２８のデータをメールアドレス１２５宛に送信する。そして、ユーザからＵＲＬに従う仮パスワードの取得要求を受け付けると、ＵＲＬ１２８を参照してユーザＩＤ１２１を特定し、ユーザＩＤの入力を促してユーザを認証する。続いて、合言葉質問１２６のデータをユーザに送信するとともに、これに対応する合言葉回答１２６のデータの入力を促す。そして、ユーザにより入力されたデータと、合言葉回答１２６に記憶されたデータとを照合し、照合結果が一致する場合には、仮パスワードを発行して仮パスワード１２９に記憶するとともに、「仮パスワード取得済み」をステータス１３３に記憶する。
【００６１】
図４は、認証システム１によるユーザ情報登録処理の主な流れを示すフローチャートである。まず、認証システム１は、ユーザ情報の登録が完了すると（STEP401）、ユーザＩＤを発行する（STEP402）。次に、認証システム１は、メール送信処理を実行するか否かを判断する（STEP403）。本実施形態では、予め設定された所定のタイミング（午前０時）である場合には、メール送信処理を実行すると判断するものとするが、例えば、認証システム１の運営担当者の指示に基づいて、メール送信処理を実行するものとしてもよい。
【００６２】
認証システム１は、メール送信処理を実行すると判断する場合には、所定のユーザＩＤについて、ユーザＤＢ１２のメールフラグに設定された値が有効であるか否かを判断し（STEP404）、有効であると判断する場合には、日時情報に設定された時間を経過しているか否かを判断する（STEP405）。そして、認証システム１は、日時情報に設定された時間を経過していると判断する場合には、仮パスワード取得画面を指定するとともにユーザを一意的に特定するＵＲＬを生成する（STEP406）。
【００６３】
そして、認証システム１は、ユーザＤＢ１２を参照して、ユーザ情報（氏名１２２、会社名１２３、メールアドレス１２５等）を取得すると、ユーザＩＤ、ＵＲＬ、取得したユーザ情報に基づいてユーザＩＤの発行を通知するメールコンテンツを作成し（STEP408）、メールアドレスを宛先ヘッダにセットして（STEP409）、メールを送信する（STEP410）。
【００６４】
図７は、ユーザＩＤ発行通知メールのメールコンテンツの一例を示す図である。同図に示すように、メールコンテンツは、ユーザＩＤが発行された旨を通知する文面と、発行されたユーザＩＤ７ａを含んでいる。また、メールコンテンツは、仮パスワードを取得するためのＷｅｂコンテンツを指定するＵＲＬ７ｂを含み、ユーザがそこから仮パスワードの取得を行うことができるように構成されている。
【００６５】
図５は、認証システム１による仮パスワード発行処理の主な流れを示すフローチャートである。上述したように、認証システム１は、ユーザＩＤ及び仮パスワード取得画面を指定するＵＲＬを含むメールをユーザのメールアドレスに対して送信する（STEP501）。そして、このメールを受信したユーザ端末２から、メールに記載されたＵＲＬが指定する仮パスワード取得画面の取得要求を受け付けると（STEP502）、そのＵＲＬが指定する仮パスワードの取得画面をユーザ端末２に送信する（STEP503）。なお、認証システム１は、受け付けたＵＲＬに基づいてユーザＤＢ１２を参照することにより、ユーザＩＤを特定し、この特定したユーザＩＤを所定の領域に記憶する。
【００６６】
図８は、ユーザ端末２のブラウザ上に表示された仮パスワードの取得画面の一例を示す図である。同図に示すように、仮パスワードの取得画面には、ユーザＩＤの入力欄８ａが設けられている。ユーザは、この入力欄８ａに、メールにて通知されたユーザＩＤを入力して、「次へ」ボタン８ｂをクリックすることができる。「次へ」ボタン７ｂがクリックされると、ユーザ端末２は、入力されたユーザＩＤを認証システム１に送信する。
【００６７】
次に、仮パスワードの取得画面に入力されたユーザＩＤをユーザ端末２から受け付けると（STEP504）、この受け付けたユーザＩＤと、所定の領域に記憶されたユーザＩＤとを照合し（STEP505）、照合結果が一致する場合には、ユーザＤＢ１２からユーザＩＤに対応する合言葉パスワード（質問）を読み出して、これに対応する合言葉パスワード（回答）の入力を促す画面をユーザ端末２に送信する（STEP506）。
【００６８】
図９は、ユーザ端末２のブラウザ上に表示された合言葉パスワード（回答）の入力を促す画面の一例を示す図である。同図に示すように、合言葉パスワード（回答）の入力を促す画面には、合言葉パスワード（質問）９ａが表示されているとともに、これに対応する合言葉パスワード（回答）を入力する欄９ｂ設けられている。ユーザは、この合言葉パスワード（回答）入力する欄９ｂに、表示された合言葉パスワード（質問）に対応する回答であって、利用申請書にて自分が申請した合言葉パスワード（回答）を入力して、「仮パスワード申請」ボタン９ｃをクリックすることができる。「仮パスワード申請」ボタン９ｃがクリックされると、ユーザ端末２は、入力された合言葉パスワード（回答）を認証システム１に送信する。
【００６９】
合言葉パスワード（回答）がユーザ端末２から送信されると、認証システム１はこれを受け付けて（STEP507）、受け付けた合言葉パスワード（回答）と、ユーザＤＢ１２に記憶された合言葉パスワード(回答)とを照合する（STEP508）。
【００７０】
認証システム１は、照合結果が一致する場合には、仮パスワードを発行し、ユーザ端末２に送信するとともに、ユーザＤＢ１２にユーザＩＤと対応付けて記憶する（STEP509）。また、認証システム１は、ユーザＤＢ１２に仮パスワードが取得された旨を記憶する。
【００７１】
図１０は、ユーザ端末２のブラウザ上に表示された仮パスワード通知画面の一例を示す図である。同図に示すように、仮パスワード通知画面には、仮パスワード１０ａが表示されている。また、［次のステップ］として、「次へ」ボタン１０ｂの選択を促す旨が表示されている。ユーザは、この仮パスワード通知画面より発行された仮パスワードを確認すると、この仮パスワードをメモした後、「次へ」ボタン１０ｂをクリックすることができる。この「次へ」ボタン９ｂがクリックされると、次に説明するログイン画面に遷移する。
【００７２】
図６は、認証システム１による本パスワード発行処理の主な流れを示すフローチャートである。まず、ユーザにより、図１０に示す仮パスワード通知画面内の「次へ」ボタン１０ｂがクリックされると、ユーザ端末２は、ログイン画面の取得要求を認証システム１に送信する。認証システム１は、ユーザ端末２からログイン画面の取得要求を受け付けると（STEP601）、認証システム１へのログイン画面を送信する（STEP602）。
【００７３】
図１１は、ユーザ端末２のブラウザ上に表示されたログイン画面の一例を示す図である。同図に示すように、ログイン画面には、ユーザＩＤの入力欄１１ａと、パスワードの入力欄１１ｂとが設けられ、パスワードの入力欄１１ｂには、仮パスワード又は本パスワードを入力することができるように構成されている。ユーザは、ユーザＩＤの入力欄１１ａに取得したユーザＩＤを入力するとともに、パスワードの入力欄１１ｂに取得した仮パスワードを入力して、「ＯＫ」ボタン１１ｃをクリックすることができる。「ＯＫ」ボタン１１ｃがクリックされると、ユーザ端末２は、入力されたユーザＩＤとパスワードを認証システム１に送信する。
【００７４】
認証システム１は、ユーザＩＤとパスワードとを受け付けると（STEP603）、受け付けたユーザＩＤと、ユーザＤＢ１２に記憶されたユーザＩＤとを照合する（STEP604）。そして、認証システム１は、照合結果が一致する場合には、このユーザＩＤをキーに、ユーザ情報を特定し、受け付けたパスワードとユーザＤＢ１２に記憶したパスワードとを照合する（STEP605）、ユーザＩＤの照合結果が一致しない場合には、エラーメッセージをユーザ端末２に送信し、処理を中止する。
【００７５】
認証システム１は、パスワードの照合結果が一致する場合には、次に、このパスワードが仮パスワードであるか否かを判断し（STEP606）、仮パスワードであるか否かを判断する場合には、仮パスワードから本パスワードへの変更要求をユーザ端末２に送信する（STEP607）。
【００７６】
図１２は、ユーザ端末２のブラウザ上に表示された本パスワードへの変更要求画面の一例を示す図である。同図に示すように、本パスワードへの変更要求画面には、仮パスワードから本パスワードへの変更を促す旨１２ａが表示されている。また、ユーザは、「ＯＫ」ボタン１２ｂをクリックすることができる。「ＯＫ」ボタン１２ｂがクリックされると、ユーザ端末２は、本パスワードへの変更要求を認証システム１に送信する。
【００７７】
認証システム１は、ユーザ端末２から本パスワードへの変更要求を受け付けると（STEP608）、パスワード変更画面をユーザ端末２に送信する（STEP609）。
【００７８】
図１３は、ユーザ端末２のブラウザ上に表示されたパスワード変更画面の一例を示す図である。同図に示すように、パスワード変更画面には、ユーザＩＤを入力する欄１３ａ、旧パスワードを入力する欄１３ｂ、新パスワードを入力する欄１３ｃ、及び再入力用の新パスワードを入力する欄１３ｄが設けられている。ユーザは、ユーザＩＤを入力する欄１３ａ及び旧パスワードを入力する欄１３ｂには、既に取得したユーザＩＤ及び仮パスワードを入力するとともに、新パスワードを入力する欄１３ｃ、１３ｄには、所望する本パスワードを入力することができる。ユーザが、これらの欄に該当するデータを入力した後、「ＯＫ」ボタン１３ｅを選択すると、ユーザ端末２は、入力された各データを認証システム１に送信する。
【００７９】
認証システム１は、パスワード変更画面に入力された各データを受け付けると（STEP610）、送信されたユーザＩＤをユーザＤＢ１２のユーザＩＤと照合し（STEP611）、この照合結果が一致する場合には、送信された仮パスワードとユーザＤＢ１２に記憶された仮パスワードを照合する（STEP612）。そして、認証システム１は、仮パスワードの照合結果が一致する場合には、送信された本パスワードと送信された再入力用の本パスワードとを照合し（STEP613）、この照合結果が一致する場合には、本パスワード１３ｃに入力された本パスワードをユーザＤＢ１２に記憶する（STEP614）。また、認証システム１は、本パスワードが登録された旨をユーザＤＢ１２に記憶するとともに、ユーザ端末１２に送信する。
【００８０】
以上のように、本実施形態によれば、ユーザがパスワードを取得する際に、合言葉パスワードの質問を提示して、これに対する回答の入力を要求することとしているので、仮にサービスを申し込んでからユーザＩＤを取得するまでの間に長いタイムラグが生じた場合でも、利用者は提示された合言葉パスワードの質問を見れば入力すべき回答を容易に思い出すことができるようになる。従って、合言葉パスワードを忘れることによりパスワードを取得することができないといった事態を回避することが可能になる。
【００８１】
また、本実施形態によれば、ユーザＩＤと合言葉パスワードに基づいてまず仮パスワードを取得し、次に、この取得した仮パスワードを所望する本パスワードに変更することとしているので、ユーザがシステムの利用を開始する際のセキュリティが厳しくなり、アクセス権限のない第三者による侵入や、それに伴うデータの漏洩及び破壊などをより防止することができるようになる。
【００８２】
さらにまた、本実施形態によれば、仮パスワードを付与した後は、ユーザが通常のログイン画面にログインすることにより、仮パスワードから本パスワードへの変更を行うこととしているので、仮パスワード及び本パスワードを用いる既存のシステムインフラストラクチャを利用することができる結果、開発コストを低コストに抑えることができるようになる。
【００８３】
［第２の実施形態］
本実施形態は、仮パスワードの発行及びユーザＩＤの発行に関する上記実施形態の応用である。すなわち、上記実施形態では、合言葉パスワードの照合結果が一致する場合には、まず仮パスワードを発行し、その後、この仮パスワードにてログイン画面にログインすることにより本パスワードへの変更を行うものとして説明した。しかし、本実施形態では、合言葉パスワードの照合結果が一致した段階で、仮パスワードを発行せずに、本パスワードを発行するように構成している。これにより、仮パスワードの取得、及び取得した仮パスワードを本パスワードへ変更する作業が不要となるので、パスワード取得時のセキュリティは合言葉パスワードによって維持しつつ、登録手続を簡易化することによってユーザの利便性を向上することができるようになる。
【００８４】
また、上記実施形態では、仮パスワード取得前にユーザＩＤをユーザに通知することとしているが、本実施形態では本パスワードの発行とともにユーザＩＤを発行し、これを通知するように構成している。本パスワード発行前の段階では、本パスワード取得画面を指定するＵＲＬによって、ユーザを一意的に特定することができるため、本パスワードを取得してシステムにログインする際に、ユーザＩＤがユーザに通知されていれば十分だからである。以下、かかる構成における認証システム１について説明する。
【００８５】
図１４は、本認証システム１による本パスワード発行処理の他の例を示すフローチャートである。なお、本パスワード取得画面を指定するＵＲＬを受け付ける処理（STEP1402）までは、図５において仮パスワードの取得要求を受け付ける処理（STEP502）と同様の流れである。
【００８６】
認証システム１は、本パスワードの取得要求を受け付けると（STEP1402）、ユーザＤＢ１２から合言葉パスワードの質問情報のデータを送信し（STEP1403）、これに対する回答情報のデータを受信すると（STEP1404）、回答情報の照合を行う（STEP1405）。そして、照合結果が一致する場合には、認証システム１は、本パスワード登録画面を送信する（STEP1406）。
【００８７】
図１５は、ユーザ端末２のブラウザ上に表示された本パスワード登録画面の構成の一例を示す図である。同図に示すように、本パスワード登録画面には、本パスワードの入力欄１５ａと、再入力用の入力欄１５ｂとが設けられている。ユーザは、本パスワードの入力欄１５ａ、１５ｂに、所望する本パスワードを入力し、「ＯＫ」ボタン１５ｃを選択することができる。「ＯＫ」ボタン１５ｃが選択されると、入力された本パスワードが認証システム１に送信される。
【００８８】
認証システム１は、本パスワードを受け付けると（STEP1407）、送信された本パスワードと送信された再入力用の本パスワードとを照合し（STEP1408）、この照合結果が一致する場合には、本パスワード１３ｃに入力された本パスワードをユーザＤＢ１２に記憶する（STEP1409）。また、ユーザＩＤを発行し、本パスワードとともにユーザＩＤをユーザ端末２に送信する（STEP1410）。ユーザ端末２は、本パスワードとユーザＩＤを受け付けると、ブラウザ上に表示する。
【００８９】
ユーザは、ブラウザ上に表示された本パスワード及びユーザＩＤを確認し、これ以後、この本パスワード及びユーザＩＤを用いて、認証システムにログインすることができる。
【００９０】
以上のように、本実施形態によれば、ユーザＩＤの入力作業、及び仮パスワードの取得や取得した仮パスワードを本パスワードへ変更する作業が不要になる。従って、本パスワード取得時のセキュリティは合言葉パスワードによって維持しながら、認証システム利用開始時の登録手続を簡易な方法で済ませることができるので、ユーザの利便性を向上することができるようになる。
【００９１】
なお、合言葉パスワードによる照合結果が一致する場合に、仮パスワードを発行する場合には、仮パスワードの発行とともにユーザＩＤを発行し、これをユーザに通知するようにすることもできる。この場合、ユーザは、取得した仮パスワードとユーザＩＤとを用いてログイン画面にログインした後、仮パスワードを本パスワードへ変更する。
【００９２】
［第３の実施形態］
本実施形態は、上記各実施形態に対する応用である。すなわち、本実施形態の要旨は、ユーザのパスワード取得状況を管理するとともに、その状況に応じて所定の電子メールをユーザに送信することを特徴としている。
【００９３】
すなわち、認証システム１は、ユーザのパスワード取得状況を管理し、例えば、仮パスワード又は本パスワードが未取得状況にあるユーザに対しては、仮パスワードの取得を促す電子メールや仮パスワードから本パスワードへの変更を促す電子メールを送信する。また、認証システム１は、同一の本パスワードを長期間使用しているユーザに対しては、本パスワードの更新を促す電子メールを送信する。
【００９４】
このように、ユーザに対して適宜パスワードの変更及びその重要性を促すことにより、ユーザ自身のセキュリティ意識を向上させることができるようになる。さらに、ユーザにより適宜パスワードが変更されるので、第三者によるパスワード解析作業の継続が困難になるとともに、仮にパスワードが盗難に合ったような場合でも、不正アクセスが繰り返される事態を回避できるようになる。以下、かかる構成における認証システム１について説明する。
【００９５】
図１６は、本認証システム１によるパスワード管理を促す電子メール送信処理の主な流れを示すフローチャートである。本実施形態におけるパスワード管理を促す電子メール（以下、「パスワード管理メール」という。）の送信処理は、予め設定された任意のタイミング（例えば、毎日午前０時）に基づいて行うものとする。認証システム１は、まず、ユーザＤＢ１２のステータス１３３を参照し（STEP1601）、ユーザＩＤ発行通知メールが送信済みであるか否かを判断する（STEP1602）。具体的には、認証システム１は、ユーザＤＢ１２のステータス１３３を参照し、ステータス１３３に「ｎｕｌｌ」の値が設定されている場合には、ユーザＩＤ発行通知メールが送信されていないと判断し、ステータス１３３に「ｎｕｌｌ」以外の値が設定されている場合には、ユーザＩＤ発行通知メールが送信されていると判断するものとする。
【００９６】
認証システム１は、ユーザＩＤ発行通知メールが送信済みであると判断する場合には、次に、ユーザが仮パスワードを取得したか否かを判断する（STEP1603）。具体的には、認証システム１は、ステータス１３３に「仮パスワード未取得」の値が設定されている場合には、ユーザが仮パスワードを取得していない、即ちユーザにユーザＩＤ発行通知メールが送信された状態で手続きが止まっていると判断する。同様に、ステータス１３３に「仮パスワード取得済み」の値が設定されている場合には、ユーザが本パスワードを取得していない、即ちユーザが仮パスワードを取得した状態で手続きが止まっていると判断する。
【００９７】
認証システム１は、ユーザが仮パスワードを取得していないと判断する場合には、ユーザＩＤ発行通知メールを送信してから所定の時間（例えば、１週間）が経過したか否かを判断し（STEP1604）、所定の時間が経過していると判断する場合には、ユーザのアドレスに仮パスワードの取得を促す旨の電子メールを送信する（STEP1605）。図１７は、仮パスワードの取得を促す電子メールの内容を示す一例である。なお、本実施形態におけるユーザＤＢ１２は、ユーザＩＤ発行通知メールを送信した日時を記憶しており（図示せず）、認証システム１は、この送信日時に基づいて所定の時間を経過したか否かを判断する。メール送信後の所定の時間は、仮パスワード取得作業に要するユーザの作業時間及び第三者によるユーザＩＤの盗難防止などを考慮して任意に設定することができるものとする。
【００９８】
一方、認証システム１は、ユーザが仮パスワードを取得していると判断する場合には、次に、ユーザが本パスワードを取得したか否かを判断する（STEP1606）。具体的には、認証システム１は、ステータス１３３に「本パスワード取得済み」の値が設定されている場合には、ユーザが本パスワードを取得していると判断し、ステータス１３３に「仮パスワード取得済み」の値が設定されている場合には、ユーザが本パスワードを取得していないと判断する。認証システム１は、ユーザが本パスワードを取得していないと判断する場合には、ユーザが仮パスワードを取得してから所定の時間が経過したか否かを判断し（STEP1607）、所定の時間を経過していると判断する場合には、ユーザのアドレスに仮パスワードから本パスワードへの切り替えを促す旨の電子メールを送信する（STEP1608）。なお、本実施形態におけるユーザＤＢ１２は、ユーザが仮パスワードを取得した日時を記憶しており（図示せず）、認証システム１は、この取得日時に基づいて所定の時間を経過したか否かを判断する。また、仮パスワード取得後の所定の時間は、仮パスワードの有効期間及び第三者による仮パスワードの盗難防止などを考慮して任意に設定することができるものとする。
【００９９】
さらに、認証システム１は、ユーザが本パスワードを取得していると判断する場合には、ユーザが本パスワードを取得してから所定の時間が経過したか否かを判断し（STEP1609）、所定の経過を経過していると判断する場合には、ユーザのアドレスにパスワードの更新を促す旨の電子メールを送信する（STEP1610）。なお、本実施形態におけるユーザＤＢ１２は、ユーザが本パスワードを取得した日時を記憶しており（図示せず）、認証システム１は、この取得日時に基づいて所定の時間を経過したか否かを判断する。また、本パスワード取得後の所定の時間は、第三者によるパスワード解析作業及び不正アクセスの繰り返しを回避する一方、本パスワードの変更作業に要するユーザの負担を考慮して、任意に設定することができるものとする。なお、上述した処理の流れは、動作に矛盾が生じない限り、処理の順序を入れ替えまたは並行動作するように構成してもよい。
【０１００】
以上によれば、ユーザが、ユーザＩＤ発行通知メールを受け取った後も仮パスワードを取得していなかったり、仮パスワードを取得したものの本パスワードへの変更を行っていないような場合には、認証システム１からユーザへ仮パスワードの取得や本パスワードへの変更を促す旨のメールが送信される。また、ユーザが、本パスワードを取得後、同じパスワードを継続して使用しているような場合には、認証システム１からユーザへ本パスワードの更新を促す旨のメールが送信される。従って、ユーザに対して適切なシステムの利用やパスワードの変更を促すことができるので、ユーザ自身のセキュリティ意識が向上するとともに、第三者によるパスワード解析作業の継続が困難になる。さらに、仮にパスワードが盗難に合ったような場合でも、不正アクセスが繰り返される事態を回避できるようになる。
【０１０１】
上記実施形態は、本発明を説明するための例示であり、本発明を上記実施形態にのみ限定する趣旨ではない。本発明は、その要旨を逸脱しない限り、さまざまな形態で実施することができる。例えば、上記機能実現手段の動作をシーケンシャルに説明したが、特にこれにこだわるものではない。従って、動作に矛盾が生じない限り、処理の順序を入れ替えまたは並行動作するように構成しても良い。
【０１０２】
［その他の実施形態］
上記実施形態では、合言葉パスワードとして、第１の認証情報（質問）を提示するとともに、第２の認証情報（回答）の入力を促すものとして説明した。しかし、本発明はこれに限られず、例えば、第２の認証情報（回答）をユーザに提示して、第１の認証情報（質問）の入力を促すように構成することもできる。
【０１０３】
すなわち、認証システム１は、パスワード取得要求を受け付けると、所定の条件に従って、第１の認証情報（質問）及び第２の認証情報（回答）のうち、ユーザに提示する認証情報を決定する。そして、認証システム１は、決定した第１の認証情報（質問）あるいは第２の認証情報（回答）をユーザに提示する。認証システム１は、第１の認証情報（質問）を提示する場合には、第２の認証情報（回答）の入力を促し、第２の認証情報（回答）を提示する場合には、第１の認証情報（質問）の入力を促す。そして、第１の認証情報（質問）の入力を促した場合には、入力された第１の認証情報（質問）と、ユーザＤＢ１２に記憶された第１の認証情報（質問）とを照合する。
【０１０４】
具体的には、認証システム１は、パスワード取得要求を受け付けると、例えば所定の確率的手法に従って、ユーザに提示する認証情報を決定する。ここで、認証システム１が、第２の認証情報（回答）を提示すると決定した場合には、ユーザＤＢ１２から該当する第２の認証情報（回答）、例えば「19990101」を読み出してこれを提示するとともに、ユーザに第１の認証情報（質問）の入力を促す。ユーザは、提示された「19990101」を見て、これは生年月日であると判断することができるので、所定の入力欄に「生年月日」を入力する。認証システム１は、入力された「生年月日」とユーザＤＢ１２に記憶された第1の認証情報（質問）とを照合する。
【０１０５】
以上によれば、第１の認証情報及び第２の認証情報のうち、ユーザに提示する認証情報が、認証システム１によって任意に決定されるので、ユーザ以外の利用者には、提示された認証情報が質問なのか回答なのか判断することが難しくなり、その結果、パスワード取得時のセキュリティをより厳しくすることができるようになる。
【０１０６】
【発明の効果】
本発明によれば、ユーザがパスワードを取得する際に、合言葉パスワードの質問を提示して、これに対する回答の入力を要求することとしているので、仮にサービスを申し込んでからユーザＩＤを取得するまでの間に長いタイムラグが生じた場合でも、利用者は提示された合言葉パスワードの質問を見れば入力すべき回答を容易に思い出すことができるようになる。従って、合言葉パスワードを忘れることによりパスワードを取得することができないといった事態を回避することが可能になる。
【図面の簡単な説明】
【図１】 本実施形態に係る認証システムの全体的な概略構成を示すブロックダイアグラムである。
【図２】 本実施形態に係る認証方法のワークフロー図である。
【図３】 認証システム１が管理するユーザＤＢ１２のデータ構造の一例を示す図である。
【図４】 認証システム１によるユーザ情報登録処理の主な流れを示すフローチャートである。
【図５】 認証システム１による仮パスワード発行処理の主な流れを示すフローチャートである。
【図６】 認証システム１による本パスワード発行処理の主な流れを示すフローチャートである。
【図７】 ユーザＩＤ発行通知メールのメールコンテンツの一例を示す図である。
【図８】 ユーザ端末２のブラウザ上に表示された仮パスワードの取得画面の一例を示す図である。
【図９】 ユーザ端末２のブラウザ上に表示された合言葉回答データの入力を促す画面の一例を示す図である。
【図１０】 ユーザ端末２のブラウザ上に表示された仮パスワード通知画面の一例を示す図である。
【図１１】 ユーザ端末２のブラウザ上に表示されたログイン画面の一例を示す図である。
【図１２】 ユーザ端末２のブラウザ上に表示された本パスワードへの変更要求画面の一例を示す図である。
【図１３】 ユーザ端末２のブラウザ上に表示されたパスワード変更画面の一例を示す図である。
【図１４】 本認証システム１による本パスワード発行処理の他の例を示すフローチャートである。
【図１５】 ユーザ端末２のブラウザ上に表示された本パスワード登録画面の構成の一例を示す図である。
【図１６】 本認証システム１によるパスワード管理メール送信処理の主な流れを示すフローチャートである。
【図１７】 仮パスワードの取得を促す電子メールの内容を示す一例である。
【符号の説明】
１…認証システム
２…ユーザ端末
３…ネットワーク
１０…ユーザ登録手段
１１…パスワード発行手段
１２…ユーザデータベース
１３…コンテンツデータベース
２１…ブラウザソフト
１０１…ユーザ情報登録部
１０２…ユーザＩＤ発行部
１０３…メール送信部
１１１…認証処理部
１１２…パスワード発行部

Claims (7)

1. パスワードを用いてユーザを認証する認証システムにおいて、
   ユーザの申請に基づく第１の認証情報及び第２の認証情報を対応付けて記憶する記憶手段と、
   前記ユーザから新規パスワードの取得要求を受け付ける受付手段と、
   前記受付手段が受け付けた取得要求に基づいて特定される前記第１の認証情報をユーザに提示するとともに、提示された第１の認証情報に対応する第２の認証情報の入力をユーザに促す第１の入力手段と、
   前記第１の入力手段により入力された第２の認証情報を受け付けると、前記受け付けた第２の認証情報と前記提示した第１の認証情報に対応付けて前記記憶手段が記憶する第２の認証情報とを照合する照合手段と、
   前記照合手段による照合結果が一致する場合には、ユーザを一意的に特定する仮パスワードを発行するとともに、前記発行した仮パスワードをユーザに通知する発行手段と、
   前記ユーザから前記仮パスワードを本パスワードへ変更する要求を受け付けると、前記仮パスワード及び所望する本パスワードの入力をユーザに促す第２の入力手段と、
   前記第２の入力手段により入力された仮パスワード及び本パスワードを受け付けると、前記受け付けた仮パスワードと前記発行手段が発行した仮パスワードとを照合し、照合結果が一致する場合には、前記仮パスワードを前記受け付けた本パスワードへ変更する変更手段と
   を備えることを特徴とする認証システム。
2. 前記ユーザを一意的に特定するユーザＩＤを発行するとともに、前記発行したユーザＩＤを前記ユーザに通知する通知手段をさらに備え、
   前記第１の入力手段は、前記受付手段が前記ユーザから新規パスワードの取得要求を受け付けると、前記ユーザにユーザＩＤの入力を促し、入力されたユーザＩＤと前記通知手段が通知したユーザＩＤとを照合し、照合結果が一致する場合には、前記受付手段が受け付けた取得要求に基づいて特定される前記第１の認証情報をユーザに提示するとともに、提示された第１の認証情報に対応する第２の認証情報の入力をユーザに促すことを特徴とする請求項１記載の認証システム。
3. 前記第１の認証情報は質問形式にて構成され、前記第２の認証情報は前記第1の認証情報に対する回答形式にて構成されていることを特徴とする請求項１または２いずれか記載の認証システム。
4. 前記第1の入力手段は、
   所定の条件に従って、前記第１の認証情報及び前記第２の認証情報のうち前記ユーザに提示する一の認証情報を決定し、決定した一の認証情報をユーザに提示するとともに、他の認証情報の入力をユーザに促すことを特徴とする請求項１から３いずれか記載の認証システム。
5. パスワードを用いてユーザを認証するサーバと、前記サーバにログインするクライアントから構成される認証システムにおいて、
   前記サーバが、ユーザの申請に基づく第１の認証情報及び第２の認証情報を対応付けて記憶し、
   前記クライアントが、前記サーバに新規パスワードの取得要求を送信し、
   前記サーバが、前記クライアントから送信される新規パスワードの取得要求を受け付けると、前記受け付けた取得要求に基づいて特定される前記第１の認証情報を前記クライアントに送信し、
   前記クライアントが、前記サーバから送信される前記第1の認証情報に対応する第２の認証情報の入力を前記ユーザから受け付けて、これを前記サーバに送信し、
   前記サーバが、前記クライアントから送信される前記第２の認証情報を受け付けると、前記受け付けた第２の認証情報と前記送信した第１の認証情報に対応付けて記憶する第２の認証情報とを照合し、照合結果が一致する場合には、ユーザを一意的に特定する仮パスワードを発行するとともに、前記発行した仮パスワードを前記クライアントに送信し、
   前記クライアントが、前記ユーザから前記仮パスワードを本パスワードへ変更する要求を受け付けると、前記仮パスワード及び所望する本パスワードの入力をユーザから受け付けて、この受け付けた前記仮パスワード及び前記本パスワードを前記サーバへ送信し、
   前記サーバが、前記送信された仮パスワード及び前記本パスワードを受け付けると、前記受け付けた仮パスワードと前記発行した仮パスワードとを照合し、照合結果が一致する場合には、前記仮パスワードを前記受け付けた本パスワードへ変更する
   ことを特徴とする認証システム。
6. パスワードを用いてユーザを認証するサーバと、前記サーバにログインするクライアントから構成される認証システムにおける認証方法であって、
   前記サーバが、ユーザの申請に基づく第１の認証情報及び第２の認証情報を対応付けて記憶手段に記憶する段階と、
   前記クライアントが、前記サーバに新規パスワードの取得要求を送信する段階と、
   前記サーバが、前記クライアントから送信される新規パスワードの取得要求を受け付けると、前記受け付けた取得要求に基づいて特定される前記第１の認証情報を前記クライアントに送信する段階と、
   前記クライアントが、前記サーバから送信される前記第１の認証情報に対応する第２の認証情報の入力を前記ユーザから受け付けて、これを前記サーバに送信する段階と、
   前記サーバが、前記クライアントから送信される前記第２の認証情報を受け付けると、前記受け付けた第２の認証情報と前記送信した第１の認証情報に対応付けて前記記憶手段に記憶する第２の認証情報とを照合し、照合結果が一致する場合には、ユーザを一意的に特定する仮パスワードを発行して前記記憶手段に記憶するとともに、前記発行した仮パスワードを前記クライアントに送信する段階と、
   前記クライアントが、前記ユーザから前記仮パスワードを本パスワードへ変更する要求を受け付けると、前記仮パスワード及び所望する本パスワードの入力をユーザから受け付けて、この受け付けた前記仮パスワード及び前記本パスワードを前記サーバへ送信する段階と、
   前記サーバが、前記送信された仮パスワード及び前記本パスワードを受け付けると、前記受け付けた仮パスワードと前記記憶手段に記憶した仮パスワードとを照合し、照合結果が一致する場合には、前記仮パスワードを前記受け付けた本パスワードへ変更する段階と
   を備えることを特徴とする認証システムにおける認証方法。
7. ユーザの申請に基づく第１の認証情報及び第２の認証情報を対応付けて記憶する機能と、
   前記ユーザから新規パスワードの取得要求を受け付ける機能と、
   前記受け付けた取得要求に基づいて特定される前記第１の認証情報をユーザに提示するとともに、提示された第１の認証情報に対応する第２の認証情報の入力をユーザに促す機能と、
   前記ユーザにより入力された第２の認証情報を受け付けると、前記受け付けた第２の認証情報と前記提示した第１の認証情報に対応付けて記憶する第２の認証情報とを照合する機能と、
   前記照合結果が一致する場合には、ユーザを一意的に特定する仮パスワードを発行するとともに、前記発行した仮パスワードをユーザに通知する機能と、
   前記ユーザから前記仮パスワードを本パスワードへ変更する要求を受け付けると、前記仮パスワード及び所望する本パスワードの入力をユーザに促す機能と、
   前記入力された仮パスワード及び本パスワードを受け付けると、前記受け付けた仮パスワードと前記発行した仮パスワードとを照合し、照合結果が一致する場合には、前記仮パスワードを前記受け付けた本パスワードへ変更する機能と
   をコンピュータに実現させるプログラム。

Images