JP4213652B2

JP4213652B2 - 複数のデバイスに対する自動ログオンをサポートするための方法および装置

Info

Publication number: JP4213652B2
Application number: JP2004310534A
Authority: JP
Inventors: ジャー・ペン・ワン; シー・ワン・ヂャオ; チャン・イエン・チー
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2003-10-28
Filing date: 2004-10-26
Publication date: 2009-01-21
Anticipated expiration: 2024-10-26
Also published as: KR20050040701A; CN1612130A; JP2005135412A; CN100437551C; US20050091539A1; KR100614063B1

Description

本発明は、概して、コンピュータ・ネットワークの分野に関し、特に、特定のユーザに関連する複数のユーザ・デバイスを自動的にログオンするための方法および装置に関する。

コンピュータが広く普及してきた（ＰｖＣ）時代においては、１人のユーザは、ＰＤＡ（携帯情報端末）、携帯電話、自動車用コンピュータ、装着型コンピュータおよび従来のパーソナル・コンピュータのようなデバイスを複数有することができる。このようなデバイスは、有線または無線通信により相互に接続することができる。また、音声チャネル、データ・チャネル等のような複数のアクセス・チャネルを、例えば、同時に使用できるデータおよび音声チャネルの両方を有するＧＰＲＳ（汎用パケット無線サービス）電話のような１つのデバイスで使用することができる。ユーザは、順次処理モードまたは同時処理モードで、複数のデバイス／チャネルにより種々のサーバが提供する複数のアプリケーションおよびコンテンツにアクセスすることができる。

通常、ユーザが、サーバ上のコンテンツまたはアプリケーションにアクセスしたい場合には（ユーザは、自分自身のデバイスを通して要求を送信し、アプリケーションおよびコンテンツを提供するサーバにアクセスしようとし）、サーバはユーザが自分のものであると主張する識別を確認しなければならない。このようなプロセスは認証と呼ばれる。コンピュータ上で１つまたはそれ以上のアプリケーションを実行している場合には、アプリケーションに対して正式な許可を受けていないアクセスが行われるのを防止するために、ユーザが何らかの行動を行う前に、アプリケーションがユーザの識別の認証を行わなければならない場合がしばしばある。例えば、ユーザはユーザ名およびパスワードと一緒に識別署名を提供しなければならない場合もあるし、ソフトウェアをインストールするために必要な一連番号を入力しなければならない場合もあるし、または個人識別番号（ＰＩＮ）を入力しなければならない場合もある（例えば、現金自動預け払い機（ＡＴＭ）の場合）。さらに、クライアント／ユーザのいる位置に従って、異なる認証方法が使用されている場合がある。例えば、ユーザがユーザの事務所でネットワークにログオンする場合には、ユーザはユーザ名およびパスワードを入力しさえすればよい。しかし、ユーザが、自分の家から自分の事務所のネットワークにログオンしたい場合には、ユーザは追加のユーザ名およびパスワードを必要とする場合もある（または異なる認証方法を必要とする場合もある）。現在の技術によるこのような認証方法（scheme）は、ユーザがアクセスしている各アプリケーション（インターネット電子メール・ソフトウェア、ワープロ・ソフトウェア（word processing software）、ＡＴＭソフトウェア等）に種々のタイプの認証方法を使用することができる機能を提供しなければならない。例えば、各アプリケーションは、ユーザに名前／パスワード方法、一連番号方法、ユーザＩＤ／ＰＩＮ方法、または他の認証方法を提供しなければならない。それ故、アプリケーションは、新しい認証方法をサポートしなければならないので、種々の認証方法に適合できるようにアプリケーションを修正する必要がある。それ故、現在の技術においては、シングルサインオン方法が提示されている。この方法は、各アプリケーションを修正しなくてもユーザの認証を行うことができる。例えば、米国特許第６，２２６，７５２号は、あるシングルサインオン方法を開示しているが、この方法は、１回ログオン動作するだけで、複数のウェブサイトを通していくつかのリソースにアクセスする際にユーザを助けることができる。

しかし、このようなシングルサインオン方法は、いくつかの固有の限界を有する。例えば、この方法はデバイスを主とする方法である。と言うことは、ユーザが自分の活動をクライアント・デバイスまたはチャネルに制限した場合だけ、上記方法により上記１回のログオン動作を行うことができることを意味する。しかし、ユーザが複数のデバイスを使用している場合、またはユーザが使用している１つのデバイス内に複数のチャネルが存在する場合には、ユーザは各デバイスまたはチャネル毎にログオン動作を行わなければならない。すなわち、複数の認証動作を行うか、認証動作を反復して行わなければならない。認証タスクを何回も行うということは、面倒でもあるし時間もかかる。特に、多モード相互作用の場合、または敏感なコンピューティング環境（sentient computing environment）の場合には、連続的なトランザクションを処理するために複数のデバイスが頻繁に使用され、また非常に多くの認証プロセスによりトランザクションが中断され、ユーザは自分が孤立して細切れの仕事をしているような感じになる。トランザクションが自己完結のものである場合、ユーザが他のデバイスに切り替えたい場合にこのような場面の中の１つを想像することができ、現在の技術によれば、ユーザは現在のトランザクションを一時的に中断し、次に自分が切り替えたい他のデバイスの認証を行わなければならない。デバイスが認証にパスした後でなければ、前に中断したトランザクションを継続して行うことはできない。しかし、多モード相互作用および敏感なコンピューティング分野の場合には、通常複数のデバイスを使用している。それ故、１人のユーザに属する複数のデバイスが、自動的にログオンできる機能を有することは非常に重要なことである。

さらに、すでに説明したように、ある種のデバイスは従来の認証に必要な入力機能を持たない。例えば、電話機のキーパッドにより英数字のパスワードを入力するのはユーザにとって難しいことである。これに対する従来の解決方法の１つは、１人のユーザが、それぞれが異なるチャネルまたはデバイスに対して使用する複数のペアのユーザＩＤおよびパスワードを有することができるようにすることである。しかし、非常に多くのＩＤおよびパスワードを記憶するということは、ユーザにとって非常に不便なことである。
米国特許第６，２２６，７５２号

それ故、ユーザ・デバイスが簡単に認証をパスするのを助けることができるある便利で簡単な手段をユーザに提供する必要がある。

さらに、ユーザが公的デバイスを使用する場合で、デバイスの入力が監視されている場合には、ユーザの識別署名（例えば、パスワード）を入力することは、ユーザにとって危険なことである。ユーザが公的環境で複数のデバイスを使用する場合には、ユーザがログオンする回数が増えれば増えるほど、特に音声チャネルの場合には、秘密情報が漏洩する危険性がますます増大する。侵入者は、通信ラインを監視することができ、自分が後で使用するためにログオン情報を傍受することができる。当然、いつでもユーザ情報のセキュリティを確保することができるもっとよい方法を提供する必要がある。

現在の技術のこれらの問題を解決するために、本発明の１つの目的は、多モード相互作用または敏感なコンピューティング環境で、ユーザの複数のデバイスに対する認証動作を簡単にするために、複数のデバイスに対して自動ログオン機能をサポートするための方法および装置を提供することである。本発明によれば、ユーザが所有するいくつかのデバイスの認証をユーザの１回だけのログオン動作で同時に行うこともできる複数のデバイス用のユーザ中心のシングルサインオン方法を提供する。それ故、この方法は自動ログオン動作を完了する。

本発明のもう１つの目的は、複数のデバイスを使用するユーザが、システムに自動的にログオンするのを助け、それにより複数の認証または認証の反復に対するユーザの労力を軽減するための複数のデバイス用のユーザを中心とするログオン方法を提供することである。この方法を使用すれば、また、多モードおよび敏感なコンピューティング環境において、ユーザは連続的で統一された処理が提供される。

本発明のもう１つの目的は、認証動作ための入力機能を持たないデバイス用の一種の機密保護入力方法および装置を提供することである。この方法は、ログオンした後で認証動作が必要とする入力機能を持たないデバイス、または相対的に機密保護が行われていないデバイスが、システムにログオンすることができるようにするために、ユーザが所有するデバイスの中から、認証動作および機密保護機能が必要とする入力を行うことができるデバイスを選択する。

本発明のもう１つの目的は、ユーザを中心とするものであって、デバイスを中心とするものではない本発明のログオン方法によるログオン動作を行うために、ユーザが公的デバイスを使用する場合に、ユーザが機密保護されているものの中の１つで１回だけログオン動作を行うことができるようにすることである。次に、他のデバイスは、すべてのリソースにアクセスすることができる。すなわち、機密保護が行われていないデバイスは、機密保護が行われているデバイスを通して認証が行われる。

本発明による複数のデバイスの認証方法は、ユーザの複数のデバイスに、サービスまたはコンテンツを提供するサーバに自動ログオンする機能を提供する。同時に、ユーザは、連続的に自分が使用する方法およびいくつかのデバイスのうちのあるものから他のものに切り替えるという方法で、ログオン動作を実行することができる。本発明の複数のデバイスの認証のこの解決方法は、従来技術のシングルサインオン方法の自然の発展であり、それを完成したものである。

本発明は、ユーザの複数のデバイスを自動的にログオンすることができるようにする方法を提供する。上記方法は、マルチデバイス認証（Multiple Device Authentication）（ＭＤＡ）装置により、上記ユーザおよび上記ユーザの複数のユーザ・デバイスを登録するステップと、上記ＭＤＡ装置により、ユーザが登録したデバイスのうちの少なくとも１つの認証を行い、上記認証を行ったデバイスをマスタ・デバイスとして選択するステップと、上記登録したユーザ・デバイスから１つまたはそれ以上のスレーブ・デバイスを選択するステップと、能動デバイス・テーブルに、上記選択したマスタ・デバイスおよび上記１つまたはそれ以上の選択したスレーブ・デバイスを追加するステップと、上記ＭＤＡ装置にアクセスしているユーザ・デバイスが上記能動デバイス・テーブル内に含まれている場合に、最初に上記ユーザ・デバイスの認証を行わないで、上記ユーザ・デバイス・ログオンを直接および自動的に行うステップとを含む。

好適には、ＭＤＡ装置により上記ユーザを登録するステップは、さらに、上記ユーザの名前、職業、趣味またはカストマイズしたユーザ情報を登録するステップを含むことが好ましい。ＭＤＡ装置により上記複数のユーザ・デバイスを登録するステップは、さらに、上記複数のデバイスの名前、デバイス・タイプ、およびセキュリティ・レベルの情報それぞれを登録するステップと、上記登録したユーザを上記ユーザの１つまたはそれ以上の登録したユーザ・デバイスに関連付けるステップとを含むことが好ましい。

好適には、上記ＭＤＡ装置によりユーザの登録したデバイスのうちの少なくとも１つの認証を行うステップは、さらに、上記ユーザ・デバイスが、認証のためにＭＤＡ装置に要求を送信するステップと、上記ＭＤＡ装置が、上記要求の中で行われたユーザ・デバイスの機能情報に基づいて１つまたはそれ以上の認証方法によりユーザのデバイスの認証を行うステップであって、上記認証方法が、少なくとも、ユーザ名／パスワードをベースとする認証、ＨＴＴＰをベースとする認証、フォームをベースとする認証、またはＨＴＴＰクライアント身分証明書認証を含むステップと、上記ＭＤＡ装置が、確認メッセージを上記認証が行われたユーザ・デバイスに送信するステップとを含むことが好ましい。

好適には、上記方法は、さらに、上記マスタ・デバイスが未登録のユーザ・デバイスを発見した場合に、未登録のユーザ・デバイスに関連する情報をＭＤＡ装置に送信するステップと、上記ＭＤＡ装置が、未登録のユーザ・デバイスをユーザのデバイスのリストに追加し、次に、ユーザのデバイスの更新したリストを上記ユーザに送信するステップと、上記未登録のデバイスを選択し、選択した未登録のデバイスを能動デバイス・テーブルに追加するステップとを含むことが好ましい。

好適には、ユーザがＭＤＡにアクセスするために他のユーザ・デバイスを使用する場合に、上記方法は、さらに、上記もう１つのユーザ・デバイスが、能動デバイス・テーブル内に含まれているかどうかを判断するステップと、上記判断ステップの結果が「はい」の場合には、上記もう１つのユーザ・デバイスが、ＭＤＡ装置の認証を自動的にパスできるようにするステップと、上記判断ステップの結果が「いいえ」である場合には、上記マスタ・デバイスを通して上記他のデバイスへの認証を行うステップとを含む。

好適には、上記マスタ・デバイスを通して上記他のデバイスへの認証を行う上記ステップは、さらに、上記ＭＤＡ装置により、ユーザ名、パスワードおよびコメントを含むフォームを生成し、このフォームをユーザに送信するステップと、上記ＭＤＡ装置により、ユーザ名、コメントおよび記入されていないで上記ユーザが入力するパスワードに基づいて、上記ユーザがユーザ・デバイスの認証を行ったかどうかを問い合わせるステップと、次に、コメントを上記認証を行ったユーザ・デバイスに送信するステップと、認証が行われたユーザ・デバイス上で他のユーザ・デバイスを確認するステップと、上記ＭＤＡ装置を使用して、確認メッセージにより他のユーザ・デバイスに対して自動的に認証を行うステップとを含むことが好ましい。

好適には、上記他のユーザ・デバイスは、公的デバイス、または低いセキュリティ・レベルのユーザ・デバイスである。

別の態様によれば、本発明は、ユーザの複数のデバイスを自動的にログオンできるようにするＭＤＡ（マルチデバイス認証）装置を提供する。この場合、上記複数のデバイスは、上記ＭＤＡ装置と通信し、複数のユーザ・デバイスは、上記ＭＤＡ装置を通して、コンテンツまたはサービスを提供する１つまたはそれ以上のサーバにログオンする。上記ＭＤＡ装置は、ユーザおよびユーザの１つまたはそれ以上のユーザ・デバイスの登録情報を受信するための登録モジュールであって、登録したユーザが登録したユーザ・デバイスと関連している登録モジュールと、ユーザの複数のデバイスのうちの少なくとも１つの認証を行うための認証モジュールであって、上記認証が行われたデバイスがマスタ・デバイスとして識別される認証モジュールと、マスタ・デバイスおよびスレーブ・デバイスに関連する情報を記憶するための能動デバイス・テーブル記憶モジュールであって、スレーブ・デバイスが登録モジュールから選択され、認証を行わずに登録された１つまたはそれ以上のユーザ・デバイスと呼ばれる能動デバイス・テーブル記憶モジュールと、上記ＭＤＡ装置にアクセスしているデバイスが能動デバイス・テーブル内に含まれているかどうかを問い合わせ、上記ユーザ・デバイスが能動デバイス・テーブル内に含まれている場合、上記ユーザ・デバイスを自動的にログオンさせるためのデバイス・アクセス権仲裁モジュール（device access right arbitration module）とを備える。

好適には、上記認証モジュールは、下記の認証方法、すなわち、ユーザ名／パスワードをベースとする認証、ＨＴＴＰをベースとする認証、フォームをベースとする認証、上記ユーザ・デバイスの認証を行うためのＨＴＴＰクライアント身分証明書認証のうちの少なくとも１つを使用することが好ましい。

好適には、ＭＤＡ装置は、さらに、ユーザの複数のデバイスに関連するデバイス名、デバイス・タイプおよびセキュリティ・レベルを含む情報を記憶するためのユーザ・デバイス・プロファイル記憶モジュールと、上記ユーザに関連するユーザ名、職業、趣味およびカストマイズされたユーザ情報を含む情報を記憶するためのユーザ・プロファイル記憶モジュールとを備えることが好ましい。

好適には、上記認証モジュールを、さらに、上記ユーザに送信されるＨＴＴＰ応答を生成するために使用することが好ましい。上記応答は、能動デバイス・テーブル内に記憶しているユーザ・デバイスを含み、上記ユーザ名をログオンすることができる。

添付の図面を参照しながら好ましい実施形態および図の説明を読めば、本発明の特徴、目的および有用な効果をよりよく理解することができるだろう。

図１は、従来技術のシングルサインオン方法を示す略図である。図１に示すように、現在入手可能なシングルサインオン方法を使用した場合には、ユーザが、自分のユーザ・デバイスを通して、ＬｏｔｕｓＤｏｍｉｎｏサーバ１０３、ウェブ・アプリケーション・サーバ１０４、ポータル・サーバ１０５または他のアプリケーション・サーバ１０６などの１つまたはそれ以上のサーバにアクセスしたい場合には、ユーザ・デバイス１０１は、サーバ１０２の認証をパスするために、最初に認証サーバ１０２にログオンしなければならない。認証サーバ１０２は、シングルサインオン認証サーバであり、現在の技術で使用されている任意の認証方法を含むことができる。認証方法は、ユーザ名／パスワードをベースとする認証、ＨＴＴＰをベースとする認証、フォームをベースとする認証、またはＨＴＴＰクライアント身分証明書をベースとする認証を含むが、これらに限定されない。図では、図１で認証が行われるユーザ・デバイス１０１は、ポータブル・コンピュータであるが、ユーザ・デバイス１０１としては、ＰＤＡ、携帯電話、自動車用コンピュータ、車載電話、さらには装着型コンピュータおよび他の従来のパーソナル・コンピュータなどを含むが、これらに限定されない他のデバイスを使用することができる。異なるユーザ・デバイスは、異なる認証方法に対応する。図１を見れば分かるように、現在の技術で使用されているシングルサインオン方法は、下記の制限を有する。

１．現在入手可能なシングルサインオン方法は、現在の技術によるデバイスを中心とするシングルサインオン方法である。すなわち、複数のサーバおよびその内部のコンテンツにアクセスするために、１つの認証サーバ上で１回だけログオン動作を行うことにより認証を完了することができるが、ユーザが、ＰＤＡ、携帯電話、自動車電話、さらには装着型コンピュータおよび従来のパーソナル・コンピュータなどのデバイスを複数有している場合には、ユーザは、各デバイスが認証をパスすることができるようにするために、ログオン動作を反復して行わなければならない。複数回認証を行うということは、特に多モード相互作用、または１回の連続しているトランザクションを処理するために、多くの場合複数のデバイスが使用される敏感なコンピューティング環境での場合には、退屈なものであり、時間のかかるものであると想像することができる。また、複数のデバイスを使用している場合には、非常に多くの認証プロセスが、連続しているトランザクションを中断し、ユーザは孤立感および高度のストレスを感じる。このような場合の１つは、ユーザがトランザクションを行っていて、従来技術により他のデバイスに切り替えたい場合に、ユーザが現在のトランザクションを一時的に中断し、次に、自分が切り替えたい他のデバイスの認証を行わなければならない場合、および他のデバイスが認証をパスした場合にだけ、前に中断したトランザクションを続行することができることを想像することができる。そうなれば、必ず時間がかかることになり、システムの多くのリソースが浪費されることになる。

２．ある種のユーザ・デバイスは、従来の認証を行うために必要な入力の機能を持たない。例えば、電話機のキーパッドにより英数字のパスワードを入力するのはユーザにとって難しいことである。このような状況下では、対応する認証を完了するために、複数のペアのユーザＩＤおよびパスワードを記憶するのは、ユーザにとって非常に面倒なことである。

３．ユーザが公的デバイスを使用している場合で、デバイスの入力が監視されている場合には、ユーザの識別証明（例えば、パスワード）を提供することはユーザにとって危険なことである。また、ユーザが公的環境で複数のデバイスを使用する場合には、ユーザがログオンする回数が増えれば増えるほど、特に音声チャネルの場合には、秘密情報が漏洩する危険性がますます増大する。

現在の技術のこのような問題を解決するために、本発明は、本発明によるマルチデバイス認証（ＭＤＡ）で使用する方法および装置を提供する。図２は、本発明によるＭＤＡのユーザを中心とするシステム・フレームワークを示す。このフレームワークは、図１のものと同じものであり、図面全体を通して同じ参照符号は、同じ部材を示し、同じ機能を実施する。図１と異なる点は、ＭＤＡ装置２０１が、ユーザ・デバイス１０１と認証サーバ１０２との間に位置していることである。ＭＤＡ装置２０１の動作により、ユーザは、１回だけログオンするために、自分のユーザ・デバイス、すなわちラップトップのような機密保護されているデバイスを使用することができ、そのため、ＰＤＡ、携帯電話または他の有線または無線デバイスなどの他のユーザのデバイスもすべてのリソースにアクセスできるようにすることができる。ＨＴＭＬ（ハイパーテキスト・マークアップ言語）、ＷＭＬ（ＷＡＰマークアップ言語）、音声チャネルまたはデータ・チャネルのようなすべてのタイプのチャネルにより、ユーザの複数のデバイスまたはユーザのデバイスのうちの１つは、上記サーバ上で認証を行わなくても、ＭＤＡ装置を通してサーバにアクセスすることができる。

本発明によるＭＤＡ装置は、一組の構成要素およびソフトウェアからなり、このソフトウェアは、それを稼働することができる同じ機能を実行する。本発明によれば、ＭＤＡの解決方法または装置は、ユーザの複数のデバイスが、１回だけの認証の後でシステムに自動的にログオンするのを助けることができるので、複数の認証および再認証（反復認証）のためのユーザの労力を軽減する。本発明を使用すれば、ユーザはユーザが慣れている方法でシステムにログオンすることができ、また異なるデバイス間で連続的に切替えを行うことができる。

本発明のＭＤＡ解決方法によれば、シングルサインオンの現在の方法は拡張されていて、複数のユーザ・デバイス指向のシングルサインオン方法が、このコンピュータ普及時代で実施される。図３を参照しながら、以下に本発明によるＭＤＡ装置の各構成要素を詳細に説明する。

図３は、基本構成、および本発明によるＭＤＡ装置の対応する各構成要素を示す。ＭＤＡ装置２０１は、以下に示す少なくとも４つの構成要素を備える。

１．認証モジュール３０１
認証モジュール３０１は、ＭＤＡ装置の基本モジュールである。このモジュールは、ユーザ名／パスワードをベースとする認証、ＨＴＴＰをベースとする認証、フォームをベースとする認証、ＨＴＴＰクライアント身分証明書認証等を含むが、これらに限定されない複数の認証方法をサポートするために使用される。認証モジュール３０１は、ユーザ・プロファイル・データベースによりデバイスのリストを取り出すことができ、ユーザがユーザの名前で自動的にログオンすることができるデバイスを選択することができるようにするために、ユーザへのＨＴＴＰ応答を生成することができる。選択したユーザ・デバイスは、能動デバイス・テーブル記憶モジュール３０４の能動デバイス・テーブル内に記憶することができる。

２．登録モジュール３０２
ＭＤＡ装置は、登録モジュール３０２によりユーザおよびユーザのデバイスの情報を記録する。最初に、ユーザは、ユーザの個人情報およびユーザが所有するすべてのデバイスの情報を登録しなければならない。ＭＤＡ装置２０１は、ユーザのデバイスの機能により、異なる解決方法で異なるユーザ・デバイスを一意に識別する。例えば、ユーザがシステムによりパーソナル・コンピュータを登録した場合には、ＭＤＡ装置は、ユーザ・デバイス（パーソナル・コンピュータ）を識別するために、一意のクッキーを生成する。クッキーをサポートしないＷＡＰ携帯電話（WAP mobile phone）の場合には、ＭＤＡ装置は、この電話を識別するためにユーザ・デバイスのＩＤを使用する。さらに、ＭＤＡ装置は、異なるユーザ・デバイスに対して異なるセキュリティ・レベルを設定する。

３．デバイス・アクセス権仲介装置３０３
ユーザが、認証されていないデバイスによりシステムにアクセスしたい場合には、認証モジュール３０１は、最初、デバイス・アクセス権仲介装置（device access right mediator）３０３に問合わせを行う。デバイスが認証されている場合には（デバイスは能動デバイス・テーブルにすでに記載されていて）、認証署名がデバイス・アクセス権仲介装置３０３から取り出され、デバイスが認証にパスしたことをサーバに通知するために、要求と一緒にバックグラウンド・サーバ（background server）に送られる。同時に、応答が返送された場合に、ユーザ・デバイスが認証されたことをＭＤＡ装置に知らせる。デバイス・アクセス権仲介装置３０３は、ユーザのデバイスの管理およびデバイスの認証を行うためのものである。

４．作動／認証デバイス・テーブル記憶モジュール３０４
作動／認証デバイス・テーブル記憶モジュール３０４は、認証されたユーザ・デバイス（マスタ・デバイス）およびユーザが選択し、ユーザの名前で自動的にログオンすることができるデバイス（スレーブ・デバイス）を含むユーザの現在作動しているデバイスの情報を記憶する。この情報は、ユーザ・デバイスのＩＤ、ユーザ・デバイスのオーナー、デバイスのタイプ、マスタ・ユーザ・デバイスのＩＤ（ＭＤＡの認証をパスしたユーザ・デバイス）およびユーザ・デバイスの期限切れ時間（expiry time）等を含む。

さらに、ＭＤＡ装置は、ユーザ・デバイス・プロファイル記憶モジュール３０５およびユーザ・プロファイル記憶モジュール３０６を備える。これらのモジュールは、ユーザ・デバイスの機能に関する情報、およびユーザがＭＤＡ装置により登録を行っている間に、供給されるユーザ識別に関する登録情報を記憶する。ユーザ・デバイスの機能に関する情報は、デバイスのタイプ、ＩＤ等を含む。さらに、ユーザ識別に関する情報は、例えば、ユーザ名、職業、趣味およびこのような個人情報を含む。

図４は、ＭＤＡ装置の動作の流れを示す。

プロセスＳ４０１において、ユーザは、ＭＤＡ装置により、自分の個人的なユーザ・デバイスのすべておよび関連情報を登録する。ユーザ・デバイスは、例えば、ＰＤＡ、ＷＡＰ携帯電話、パーソナル・コンピュータ等を含む。デバイスに関連する情報は、例えば、各ユーザ・デバイスのタイプ、セキュリティ・レベルおよびデバイスの名前等を含む。同時に、各ユーザ・デバイスおよびユーザ・デバイスに関連する情報は、デバイス・プロファイル記憶モジュール３０５に記憶される。例えば、ＷＡＰ携帯電話の場合には、ＭＤＡはデバイスの機能を知っていて、そのＩＤによりデバイスを識別することができる。パーソナル・コンピュータの場合には、ＭＤＡ装置は、セキュア・クッキー（secure cookie）を生成し、それをパーソナル・コンピュータに記憶する。このような手順の間、ユーザの複数のデバイスの中からパーソナル・コンピュータをマスタ・デバイスとして選択し、ＭＤＡ装置と接続することができ、次にネットワーク・サーバと接続するために、サーバへのログオン動作を行う。さらに、ユーザは、また、ＭＤＡ装置によりユーザの個人情報を登録し、このような情報はユーザ・プロファイル記憶モジュール３０６に記憶される。ユーザ・プロファイル記憶モジュール３０６内に記憶しているユーザ情報は、例えば、ユーザ名、趣味および他のカストマイズされた情報等を含む。ユーザ・プロファイル記憶モジュール３０６内に記憶しているユーザの登録情報は、デバイス・プロファイル記憶モジュール３０５内に記憶しているユーザのデバイス情報に関連する。

プロセスＳ４０２において、ユーザがサーバ側のアプリケーションにアクセスするために、ユーザ・デバイスのうちの１つを使用する場合には、ＭＤＡ装置は、ユーザにユーザＩＤおよびパスワードまたは認証情報を入力するように要求する。従来は、このデバイスはマスタ・デバイスと呼ばれた。この好ましい実施形態の場合には、ユーザのパーソナル・コンピュータがマスタ・デバイスとして選択される。さらに、パーソナル・コンピュータがＭＤＡ装置に接続するたびに、パーソナル・コンピュータ内のクッキーが機密保護のために更新される。

プロセスＳ４０３において、ＭＤＡ装置は、ユーザ識別の認証を行う。例えば、ユーザはユーザＩＤおよびパスワードを入力し、これらをＭＤＡ装置に提出する。プロセスＳ４０４において、ＭＤＡ装置は、ユーザの認証プロセスを完了するために適当な認証方法を採用する。認証の結果が成功した場合には（認証を要求しているユーザ・デバイスが、ＭＤＡ装置のユーザ・プロファイル記憶モジュール３０６内にＭＤＡ装置により登録された場合には）、ＭＤＡ装置は、ユーザ・デバイス・データベースで、ユーザ・デバイス・プロファイル記憶モジュール３０５内に記憶している情報をチェックし、以前登録されたすべてのユーザ・デバイスを発見する。さらに、プロセスＳ４０５において、使用中の現在のデバイス（マスタ・デバイス）が、周囲の他のデバイスを発見する機能を有している場合には、マスタ・デバイスは、発見した新しいデバイスの情報も送信する。ＭＤＡ装置は、応答を生成し、デバイスの機能に基づいてそれをユーザに送信する。この応答はユーザのデバイスのリストを含む（プロセスＳ４０６）。

プロセスＳ４０７において、ユーザは受信した応答（ユーザ・デバイスのリスト）から使用するデバイスを選択することができる。すなわち、ユーザは作動するユーザ・デバイスを選択することができる。このような動作に対する応答の場合、プロセスＳ４０８において、ＭＤＡ装置は、能動デバイス・テーブルに作動するユーザ・デバイスを追加し、それを能動デバイス・テーブル記憶モジュール３０４にセーブする。プロセスＳ４０８を通して、ＭＤＡ装置は、自動ログオン機能を選択したユーザ・デバイスに提供する。すなわち、ユーザ・デバイス・プロファイル記憶モジュール３０５内でマスタ・デバイスが発見することができるデバイスはデフォルト選択である。選択したデバイスは、スレーブ・デバイスと呼ばれる。マスタ・デバイスおよびスレーブ・デバイスは、能動デバイス・テーブル内に位置する。異なるデバイスは、セキュリティ・レベルにより期限切れの異なる構成を有する。所定の時間中作動しない場合には、スレーブ・デバイスは、能動デバイス・テーブルから除去される。

プロセスＳ４０９において、ユーザがＭＤＡ装置にアクセスするために、他のユーザ・デバイスを使用する場合には、ユーザはＭＤＡに要求を送信する。プロセスＳ４１０において、ＭＤＡは、能動デバイス・テーブル内の他のユーザ・デバイスを探す。ＭＤＡは、デバイスの要求からデバイスのＩＤまたは秘密のクッキーを入手することができる。次に、この情報は、ユーザの能動デバイス・テーブル内で問合わせをするために使用される。ユーザ・デバイスが能動デバイス・テーブル内に含まれている場合には、他のユーザ・デバイスは、認証をパスしたものと見なされ、自動的にログオンすることができる。

さらに、図５も、本発明によるもう１つの形態を示す。この形態の場合には、ＭＤＡ装置により、ユーザは、ユーザＩＤおよび文字および数字の組合わせであるパスワードを入力するのが難しいデバイス、またはユーザＩＤおよびパスワードの機密保護が行われていない入力を有する公的デバイスを使用することができるように、機密保護が行われているデバイスをマスタ・デバイスとして使用することができる。図５を参照すると、この図は実際の手順を示す。

プロセスＳ５０１において、ＭＤＡはユーザ・デバイス（マスタ・デバイス）の認証を行う。これは図４のプロセスＳ４０３およびＳ４０４と同じである。プロセスＳ５０２において、ユーザがＭＤＡ装置にアクセスするために公的デバイスを使用するかどうかの判断が行われる。従来は、サーバ上のコンテンツにアクセスするために、公的デバイスまたは機密保護が行われていないデバイスを使用する場合、ユーザのパスワードを他人に知られる危険性があった。このような場合、本発明によるＭＤＡ方法を使用すれば、ユーザのパスワードが他人に知られるのを避けることができる。図５を参照すると、プロセスＳ５０３において、ＭＤＡは、ユーザが送信した要求に対して誰が公的デバイスを使用したのかを応答し、ユーザ名、パスワード、コメント等を含むフォームを生成する。同時に、ＭＤＡ装置は、フォームをユーザに送信する。プロセスＳ５０４において、ユーザは自分の名前、コメントを入力し、パスワード・フィールドには何も記入しない。プロセスＳ５０５において、ＭＤＡ装置が、ユーザがパスワードを入力していないことを発見した場合には、ＭＤＡはユーザが認証されたデバイスを有しているかどうかを問い合わせる。ユーザがマスタ・デバイス（能動デバイス・テーブル内の）を作動した場合には、コメントについての情報を含む要求がユーザのマスタ・デバイスに送信される。プロセスＳ５０７において、ユーザは、公的デバイスが認証されたユーザ・デバイス（マスタ・デバイス）により要求することができるかどうかを確認する。プロセスＳ５０８において、ユーザがマスタ・デバイスにより自分がコメントを入力したばかりであることに気づいた場合には、要求は受け入れられる。ＭＤＡは、公的デバイスの認証を自動的にパスし、次に、公的デバイスの使用を開始する。

このような動作により、ユーザはユーザＩＤおよびパスワードの機密保護が行われていない入力を有する公的デバイスを使用するために、機密保護が行われているデバイスをマスタ・デバイスとして使用することができる。それ故、パスワードが漏洩する危険性が避けられる。

本発明の原理に基づいて、添付の図面を参照しながら本発明の実施方法を説明してきたが、当業者であれば、添付の特許請求の範囲に記載する本発明の精神および範囲から逸脱することなしに、本発明の種々の修正または改良を思い付くことができるだろう。

従来技術のシングルサインオン方法を示す略図である。本発明によるマルチデバイス認証方法を示す略図である。本発明を実施することができるマルチデバイス認証方法の基本フレームワークおよび構成要素である。本発明を実施することができるマルチデバイス認証方法の手順の流れ図である。本発明によるマルチデバイス認証方法の適用である。

符号の説明

１０１ユーザ・デバイス
１０２認証サーバ
１０３ＬｏｔｕｓＤｏｍｉｎｏサーバ
１０４ウェブ・アプリケーション・サーバ
１０５ポータル・サーバ
１０６他のアプリケーション・サーバ
２０１ＭＤＡ装置
３０１認証モジュール
３０２登録モジュール
３０３デバイス・アクセス権仲介装置
３０４能動デバイス・テーブル記憶モジュール
３０５ユーザ・デバイス・プロファイル記憶モジュール
３０６ユーザ・プロファイル記憶モジュール
Ｓ４０１，Ｓ４０２，Ｓ４０３，Ｓ４０４，Ｓ４０５，Ｓ４０６，Ｓ４０７，Ｓ４０８，Ｓ４０９，Ｓ４１０，Ｓ５０１，Ｓ５０２，Ｓ５０３，Ｓ５０４，Ｓ５０５，Ｓ５０６，Ｓ５０７，Ｓ５０８プロセス

Claims

ユーザの複数のユーザ・デバイスを自動的にログオンすることができるようにするための方法であって、
マルチデバイス認証（ＭＤＡ）装置が、前記ユーザおよび前記ユーザの複数のユーザ・デバイスを登録するステップと、
前記ＭＤＡ装置が、前記ユーザが登録したデバイスのうちの少なくとも１つについてユーザの認証を行い、前記認証を行ったデバイスをマスタ・デバイスとして選択するステップと、
前記ＭＤＡ装置が、前記登録したユーザ・デバイスの中から１つまたはそれ以上のスレーブ・デバイスを選択するステップと、
前記ＭＤＡ装置が、能動デバイス・テーブルに前記選択したマスタ・デバイスおよび前記１つまたはそれ以上の選択したスレーブ・デバイスを追加するステップと、
前記ＭＤＡ装置が、当該ＭＤＡ装置にアクセスしているユーザ・デバイスが前記能動デバイス・テーブル内に含まれている場合に、前記ユーザ・デバイスによるユーザの認証を最初に行わないで、前記ユーザ・デバイスを他の装置に直接および自動的にログオンさせるステップと、を含む方法。
前記ＭＤＡ装置により前記ユーザを登録する前記ステップが、前記ユーザの名前、職業、
趣味またはカストマイズしたユーザ情報を登録するステップをさらに含み、
前記ＭＤＡ装置が前記複数のユーザ・デバイスを登録する前記ステップが、前記複数のデバイスの名前、デバイスのタイプ、およびセキュリティ・レベルの情報それぞれを登録するステップと、
前記ＭＤＡ装置が、前記登録したユーザを前記ユーザの１つまたはそれ以上の登録したユーザ・デバイスに関連付けるステップと、をさらに含むことを特徴とする、請求項１に記載の方法。
前記ＭＤＡ装置により前記ユーザの登録したデバイスのうちの少なくとも１つの認証を行う前記ステップでは、前記認証は、ユーザ名／パスワードをベースとする認証、ＨＴＴＰをベースとする認証、フォームをベースとする認証、またはＨＴＴＰクライアント身分証明書認証であることを特徴とする、請求項１に記載の方法。
前記ユーザがＭＤＡにアクセスするために他のユーザ・デバイスを使用する場合に、前記方法が、
前記ＭＤＡ装置が、前記他のユーザ・デバイスが前記能動デバイス・テーブル内に含まれているかどうかを判断するステップと、
前記ＭＤＡ装置が、前記判断ステップで前記他のユーザ・デバイスが前記能動デバイス・テーブル内に含まれていると判断された場合に、前記他のユーザ・デバイスが当該ＭＤＡ装置の認証を自動的にパスできるようにするステップと、
前記ＭＤＡ装置が、前記判断ステップで前記他のユーザ・デバイスが前記能動デバイス・テーブル内に含まれていないと判断された場合に、前記マスタ・デバイスを通して前記他のユーザ・デバイスの認証を行うステップとをさらに含むことを特徴とする、請求項１に記載の方法。
前記ＭＤＡ装置が、ユーザ名、パスワードおよびコメントを含むフォームを生成し、こ
のフォームを他のユーザ・デバイスに送信するステップと、
前記ＭＤＡ装置が、前記他のユーザ・デバイスから、前記ユーザ名および前記コメントが入力され、前記パスワードが入力されていない前記フォームの返信があった場合には、ユーザが認証されたユーザ・デバイスを有しているかどうかを問い合わせ、次に、コメントを、前記認証を行ったユーザ・デバイスに送信するステップと、
前記認証を行ったユーザ・デバイスが、前記コメントを受け取った場合に前記他のユーザ・デバイスを確認して確認メッセージを前記ＭＤＡ装置に送信するステップと、
前記ＭＤＡ装置が、前記確認メッセージにより前記他のユーザ・デバイスに対する認証を自動的に行うステップと、をさらに含むことを特徴とする、請求項１に記載の方法。
ユーザの複数のデバイスが自動的にログオンできるようにするためのＭＤＡ（マルチデバイス認証）装置であって、前記複数のデバイスが前記ＭＤＡ装置と通信し、前記複数のユーザ・デバイスが前記ＭＤＡ装置を通してコンテンツまたはサービスを提供する１つまたはそれ以上のサーバにログオンし、
前記ＭＤＡ装置は、
前記ユーザおよび前記ユーザの１つまたはそれ以上のユーザ・デバイスの登録情報を受
信して、前記ユーザおよび前記ユーザの１つまたはそれ以上のユーザ・デバイスの登録情報を登録する登録モジュールと、
ユーザの複数のデバイスのうちの少なくとも１つについてユーザの認証を行い、前記認証が行われたデバイスをマスタ・デバイスとして選択し、また、前記登録したユーザ・デバイスの中から１つまたはそれ以上のスレーブ・デバイスを選択し、さらに、能動デバイス・テーブルに前記選択したマスタ・デバイスおよび前記１つまたはそれ以上の選択したスレーブ・デバイスを追加する認証モジュールと、
前記認証モジュールで選択したマスタ・デバイスおよび前記１つまたはそれ以上の選択したスレーブ・デバイスに関連する情報を格納するための前記能動デバイス・テーブルと、
前記認証モジュールから、前記ＭＤＡ装置にアクセスしているデバイスが前記能動デバイス・テーブル内に含まれているかどうかの問い合わせがあった場合に、前記ユーザ・デバイスが前記能動デバイス・テーブル内に含まれている場合、前記ユーザ・デバイスを他の装置に自動的にログオンさせるためのデバイス・アクセス権仲裁モジュールと、
を備えることを特徴とするＭＤＡ装置。
前記認証モジュールは、前記ユーザ・デバイスの認証を行うために、ユーザ名／パスワードをベースとする認証、ＨＴＴＰをベースとする認証、フォームをベースとする認証、またはＨＴＴＰクライアント身分証明書認証を含む認証方法のうちの少なくとも１つを使用する、請求項６に記載の装置。
ユーザの複数のデバイスに関連する情報を記憶するためのユーザのデバイス・プロファイル記憶モジュールであって、前記情報が、デバイス名、デバイス・タイプおよびセキュリティ・レベルを含むユーザのデバイス・プロファイル記憶モジュールと、
前記ユーザに関連する情報を記憶するためのユーザ・プロファイル記憶モジュールであって、前記情報が、ユーザ名、職業、趣味およびカストマイズされたユーザ情報を含むユーザ・プロファイル記憶モジュールと、を備える、請求項６に記載の装置。
前記認証モジュールが、さらに、前記ユーザに送信されるＨＴＴＰ応答を生成するために使用され、前記応答が、前記能動デバイス・テーブル内に記憶している前記ユーザ・デバイスを含み、前記ユーザ名でログオンできることを特徴とする、請求項６に記載の装置。