JP5345585B2 - 認証システム、認証方法およびプログラム - Google Patents

Description

本発明は、ネットワーク上のサービスを利用する際に利用者を認証する認証システム、認証方法およびプログラムに関する。

インターネット等のネットワーク上のサービスを利用する際に、利用者を確認するため、ユーザＩＤとパスワードを利用した認証が一般的に利用されている。最近では、ユーザＩＤ・パスワードの方式に加え、より高度なセキュリティが要求されるサービスの場合は、ＩＣカード認証、指紋認証等が利用され始めている。ネットワークサービスでＩＣカード認証、指紋認証等を利用する場合、利用者の端末にＩＣカードリーダライタ（例えば、非特許文献１参照）や指紋認証装置（例えば、非特許文献２参照）を接続し、認証装置を制御する専用ソフトウェアの追加が必要である。また、サービスを提供するサーバに、認証装置（ＩＣカードリーダライタ、指紋認証装置等）を制御する専用ソフトウェアの追加が必要である。

上記のように、ユーザＩＤ・パスワードの方式と比較して、ＩＣカード認証、指紋認証等の方式を利用する場合は、サービス側、および利用者側の設備追加が必要である。従来は、この設備追加が普及の阻害要因となっていたが、例えばＩＣカード認証に関しては、ｅ−Ｔａｘ（国税電子申告・納税システム）により、一般家庭においてもＩＣカードが利用できる環境が普及しつつある。
しかし、このような状況下においても、ＩＣカード認証は、特定のサービスでのみの利用に留まっており、ネットワークサービスで汎用的に利用されるまでには至っていない。
ネットワークサービスで汎用的に利用されていない理由としては、一般的に、端末上のソフトウェアとサーバ上のソフトウェアが特定のサービスに特化した構成となっており、ネットワークサービスから認証装置を汎用的に利用できる構成となっていないこと、ソフトウェアの開発コストが掛かるため導入が難しいこと、が考えられる。

"ＩＣカードリーダライタ"、ＮＴＴコミュニケーション、［online］、［２０１０年３月１５日検索］インターネット＜ＵＲＬ：http://www.ntt.com/jpki/index.html＞ "指紋認証ユニット"、ＮＥＣ、［online］、［２０１０年３月１５日検索］インターネット＜ＵＲＬ：http://www.nec.co.jp/pid/product/pc-logon/pu900.html＞ ＩＣカードをめぐる３つのセキュリティ要素、"ＰＫＩによるＩＣカードの認証"、ペンティオ株式会社、［online］、［２０１０年３月１５日検索］インターネット＜ＵＲＬ：http://www.atmarkit.co.jp/fsecurity/special/78ic/ic02.html＞

上述のように、ネットワーク上のサービスへのログイン等においてユーザＩＤ・パスワードの方式が一般的に利用されているが、ユーザＩＤ・パスワードの方式の場合、セキュリティレベルが低い問題がある。現在、セキュリティレベルの高いＩＣカードや指紋を利用した認証方式が利用されつつあるが、導入コスト等の問題があり普及していない。

本発明は、このような問題点に鑑みてなされたものであり、本発明の目的は、ネットワークサービス提供者がＩＣカード認証、指紋認証等の利用者認証をネットワークサービスに容易に導入できるようにする認証システム、認証方法およびプログラムを提供することにある。

上記目的を達成するため、本発明の認証システムは、認証装置が接続された端末と、該端末から送信される利用者の認証データを利用して当該利用者の本人性を識別する利用者識別サーバと、ネットワークサービスを提供するサービスプロバイダサーバからなる認証システムであって、前記利用者識別サーバが、前記サービスプロバイダサーバから利用者ＩＤと前記端末の端末ＩＤと前記認証装置の認証方式ＩＤを受信する手段と、前記サービスプロバイダサーバから受信した前記端末の端末ＩＤをキーにデータベースから認証方式ＩＤを取得する手段と、前記データベースから取得した認証方式ＩＤと前記サービスプロバイダサーバから受信した認証方式ＩＤを照合する手段と、認証方式ＩＤの照合に成功した場合に、前記認証方式ＩＤをキーにデータベースから前記認証装置を制御するための認証装置制御スクリプトを取得する手段と、取得した前記認証装置制御スクリプトと前記認証方式ＩＤを前記端末へ送信する手段と、前記端末から、利用者ＩＤと、認証方式ＩＤと、前記端末で実行された認証装置制御スクリプトの実行結果である認証データとを受信する手段と、前記認証方式ＩＤをキーにデータベースから認証を行うための処理手順が記述された評価スクリプトを取得する手段と、前記評価スクリプトを実行して、前記利用者ＩＤと前記認証方式ＩＤをキーにデータベースから評価データを取得する手段と、取得した前記評価データと前記認証データに基づいて認証を行う手段と、前記サービスプロバイダサーバへ認証結果を送信する手段とを有し、前記サービスプロバイダサーバが、前記端末から受信した利用者ＩＤと端末ＩＤと認証方式ＩＤを前記利用者識別サーバへ送信する手段と、前記利用者識別サーバから送信される前記認証結果を受信する手段と、受信した前記認証結果に基づきネットワークサービスの利用制御を実行する手段とを有し、前記端末が、利用者ＩＤと端末ＩＤと認証方式ＩＤを前記サービスプロバイダサーバへ送信する手段と、前記利用者識別サーバから前記認証方式ＩＤと前記認証装置制御スクリプトを受信する手段と、受信した前記認証装置制御スクリプトを実行して前記認証装置から認証データを取得する手段と、取得した前記認証データと、利用者ＩＤと、認証方式ＩＤを前記利用者識別サーバへ送信する手段とを有することを特徴とする。

上述した本発明の認証システムは、前記利用者識別サーバが、前記認証方式ＩＤの照合に失敗した場合に、前記サービスプロバイダサーバへエラー信号を送信する手段を更に備えることが好ましい。

また、本発明の認証方法は、認証装置が接続された端末と、該端末から送信される利用者の認証データを利用して当該利用者の本人性を識別する利用者識別サーバと、ネットワークサービスを提供するサービスプロバイダサーバからなるシステムの認証方法であって、前記利用者識別サーバの処理手順が、前記サービスプロバイダサーバから利用者ＩＤと前記端末の端末ＩＤと前記認証装置の認証方式ＩＤを受信するステップと、前記サービスプロバイダサーバから受信した前記端末の端末ＩＤをキーにデータベースから認証方式ＩＤを取得するステップと、前記データベースから取得した認証方式ＩＤと前記サービスプロバイダサーバから受信した認証方式ＩＤを照合するステップと、認証方式ＩＤの照合に成功した場合に、前記認証方式ＩＤをキーにデータベースから前記認証装置を制御するための認証装置制御スクリプトを取得するステップと、取得した前記認証装置制御スクリプトと前記認証方式ＩＤを前記端末へ送信するステップと、前記端末から、利用者ＩＤと、認証方式ＩＤと、前記端末で実行された認証装置制御スクリプトの実行結果である認証データとを受信するステップと、前記認証方式ＩＤをキーにデータベースから認証を行うための処理手順が記述された評価スクリプトを取得するステップと、前記評価スクリプトを実行して、前記利用者ＩＤと前記認証方式ＩＤをキーにデータベースから評価データを取得するステップと、取得した前記評価データと前記認証データに基づいて認証を行うステップと、前記サービスプロバイダサーバへ認証結果を送信するステップとを含み、前記サービスプロバイダサーバの処理手順が、前記端末から受信した利用者ＩＤと端末ＩＤと認証方式ＩＤを前記利用者識別サーバへ送信するステップと、前記利用者識別サーバから送信される前記認証結果を受信するステップと、受信した前記認証結果に基づきネットワークサービスの利用制御を実行するステップとを含み、前記端末の処理手順が、利用者ＩＤと端末ＩＤと認証方式ＩＤを前記サービスプロバイダサーバへ送信するステップと、前記利用者識別サーバから前記認証方式ＩＤと前記認証装置制御スクリプトを受信するステップと、受信した前記認証装置制御スクリプトを実行して前記認証装置から認証データを取得するステップと、取得した前記認証データと、利用者ＩＤと、認証方式ＩＤを前記利用者識別サーバへ送信するステップとを含むことを特徴とする。

上述した本発明の認証方法は、前記利用者識別サーバの処理手順が、前記認証方式ＩＤの照合に失敗した場合に、前記サービスプロバイダサーバへエラー信号を送信するステップを更に含むことが好ましい。

また、本発明は、認証装置が接続された端末と、該端末から送信される利用者の認証データを利用して当該利用者の本人性を識別する利用者識別サーバと、ネットワークサービスを提供するサービスプロバイダサーバからなる認証システムの利用者識別サーバとして構成するコンピュータに、前記サービスプロバイダサーバから利用者ＩＤと前記端末の端末ＩＤと前記認証装置の認証方式ＩＤを受信するステップと、前記サービスプロバイダサーバから受信した前記端末の端末ＩＤをキーにデータベースから認証方式ＩＤを取得するステップと、前記データベースから取得した認証方式ＩＤと前記サービスプロバイダサーバから受信した認証方式ＩＤを照合するステップと、認証方式ＩＤの照合に成功した場合に、前記認証方式ＩＤをキーにデータベースから前記認証装置を制御するための認証装置制御スクリプトを取得するステップと、取得した前記認証装置制御スクリプトと前記認証方式ＩＤを前記端末へ送信するステップと、前記端末から、利用者ＩＤと、認証方式ＩＤと、前記端末で実行された認証装置制御スクリプトの実行結果である認証データとを受信するステップと、前記認証方式ＩＤをキーにデータベースから認証を行うための処理手順が記述された評価スクリプトを取得するステップと、前記評価スクリプトを実行して、前記利用者ＩＤと前記認証方式ＩＤをキーにデータベースから評価データを取得するステップと、取得した前記評価データと前記認証データに基づいて認証を行うステップと、前記サービスプロバイダサーバへ認証結果を送信するステップとを実行させるためのプログラムとしての特徴を有する。

上述した本発明のプログラムは、前記認証方式ＩＤの照合に失敗した場合に、前記サービスプロバイダサーバへエラー信号を送信するステップを更に含むことが好ましい。

本発明により、ネットワークサービス提供者がＩＣカード認証、指紋認証等の利用者認証をネットワークサービスに容易に導入できるようになる。

本発明の認証システムの構成例を示す図である。 データベース部が備えるデータベースのデータ構造例を示す図である。 認証装置がＩＣカードおよびＩＣカードリーダライタの場合における本発明の認証システムの処理手順を説明するシーケンス図である。 ＩＣカード認証における認証装置制御スクリプトの一例を示す図である。 ＩＣカード認証における評価スクリプトの一例を示す図である。 認証装置が指紋認証装置の場合における本発明の認証システムの処理手順を説明するシーケンス図である。 指紋認証における認証装置制御スクリプトの一例を示す図である。 指紋認証における評価スクリプトの一例を示す図である。

本発明の実施の形態について図面を参照して説明する。本発明は、ネットワーク上に認証機能を有する利用者識別サーバを備えて、端末に接続されたＩＣカードリーダライタや指紋認証装置等の認証装置を複数のネットワークサービスから容易に利用できるようにするものである。
図１は、本発明の認証システムの構成例を示す図である。本発明の認証システムは、ネットワークに接続された利用者識別サーバ１０、サービスプロバイダサーバ２０および端末３０と、端末３０に接続された認証装置４０から構成される。
利用者識別サーバ１０は、データベース部１１と、端末３０の情報を管理する端末管理部１２と、端末３０から送信される認証データを利用して利用者の本人性を識別する認証部１３と、サービスプロバイダサーバ２０および端末３０との通信機能を提供する通信処理部１４から構成される。
利用者識別サーバ１０は、利用者識別サーバ１０の各機能を実現する処理内容を記述したプログラムを、当該サーバの記憶部に格納しておき、当該サーバの中央演算処理装置（ＣＰＵ）によってこのプログラムを読み出して実行することで実現することができる。

データベース部１１は、データベース（＃１）と、データベース（＃２）と、データベース（＃３）を備えている。図２は、データベース部１１が備えるデータベースのデータ構造例を示す図である。
データベース（＃１）には、端末３０がサポートしている認証方式の情報として、端末ＩＤと認証方式ＩＤの組の情報が事前に登録されている。端末ＩＤは、端末３０を一意に識別するＩＤである。認証方式ＩＤは、認証装置４０の認証方式（例えば、ＩＣカード認証、指紋認証など）を一意に識別する値である。端末ＩＤと認証方式ＩＤは１対ｎの関係である（１台の端末が複数の認証方式をサポートする）。
データベース（＃２）には、認証方式ＩＤと認証装置制御スクリプトと評価スクリプト（認証装置制御スクリプト、評価スクリプトについては後述する）の組の情報が事前に登録されている。認証方式ＩＤと認証装置制御スクリプトと評価スクリプトは１対１対１の関係である。
データベース（＃３）には、利用者の認証データとして、利用者ＩＤと認証方式ＩＤと評価データの組の情報が事前に登録されている。ＩＣカード認証に対応した評価データとして、利用者の公開鍵が格納されている。指紋認証に対応した評価データとして、利用者の指紋データが格納されている。
なお、図１では、利用者識別サーバ１０の内部にデータベース部１１を備えているが、利用者識別サーバ１０の外部に利用者識別サーバ１０とは独立した装置として備えるようにしても良い。

端末管理部１２は、通信処理部１４から端末ＩＤと認証方式ＩＤを受信する機能と、端末ＩＤをキーにデータベース（＃１）から認証方式ＩＤを取得する機能と、データベース（＃１）から取得した認証方式ＩＤとサービスプロバイダサーバから送信された認証方式ＩＤを照合する機能と、認証方式ＩＤの照合に失敗した場合、通信処理部１４へエラー信号を送信する機能と、認証方式ＩＤの照合に成功した場合、認証方式ＩＤをキーにデータベース（＃２）から認証装置制御スクリプトを取得する機能と、通信処理部１４へ認証方式ＩＤ、認証装置制御スクリプトを送信する機能を有する。

認証部１３は、認証方式ＩＤをキーにデータベース（＃２）から評価スクリプトを取得する機能と、評価スクリプトを実行する機能と、利用者ＩＤと認証方式ＩＤをキーにデータベース（＃３）から評価データを取得する機能と、通信処理部１４から送信される認証データ、利用者ＩＤ、認証方式ＩＤを受信する機能と、通信処理部１４へ認証結果（認証成功、または認証失敗）を送信する機能を有する。

通信処理部１４は、サービスプロバイダサーバ２０から送信される利用者識別要求（利用者ＩＤ、端末ＩＤ、認証方式ＩＤ）を受信する機能と、端末３０へ認証データ要求（端末ＩＤと認証装置制御スクリプト）を送信する機能と、端末３０から送信される認証データを受信する機能と、端末管理部１２に端末ＩＤと認証方式ＩＤを送信する機能と、端末管理部１２から送信される認証方式ＩＤ、認証装置スクリプト、またはエラー信号を受信する機能と、認証部１３へ認証データを送信する機能と、認証部１３から送信される認証結果を受信する機能と、サービスプロバイダサーバ２０へ認証結果、またはエラー信号を送信する機能を有する。

サービスプロバイダサーバ２０は、ブラウザ等で利用可能なネットワークサービスを提供する機能と、端末３０から送信される利用者ＩＤ、端末ＩＤと認証方式ＩＤを受信する機能と、利用者識別サーバ１０へ利用者識別要求（利用者ＩＤ、端末ＩＤ、認証方式ＩＤ）を送信する機能と、利用者識別サーバ１０から送信される認証結果（認証成功、または認証失敗）、またはエラー信号を受信する機能と、認証結果に基づきネットワークサービスの利用制御を実行する機能を有する。
サービスプロバイダサーバ２０は、サービスプロバイダサーバ２０の各機能を実現する処理内容を記述したプログラムを、当該サーバの記憶部に格納しておき、当該サーバの中央演算処理装置（ＣＰＵ）によってこのプログラムを読み出して実行することで実現することができる。

端末３０は、ブラウザ等を利用してネットワークサービスにアクセスする機能と、利用者が利用者ＩＤ、認証方式（認証方式ＩＤ）を指示するための機能と、サービスプロバイダサーバ２０へ利用者ＩＤ、端末ＩＤ、認証方式ＩＤを送信する機能と、利用者識別サーバ１０から送信される認証方式ＩＤ、認証装置制御スクリプトを受信する機能と、認証方式ＩＤに対応した認証装置４０を選択する機能と、認証装置制御スクリプトを実行する機能と、認証装置から送信された認証データを受信する機能と、利用者識別サーバ１０へ認証データを送信する機能を有する。
また、端末３０には１つまたは複数の認証装置４０が接続されている。
端末３０は、端末３０の各機能を実現する処理内容を記述したプログラムを、当該端末の記憶部に格納しておき、当該端末の中央演算処理装置（ＣＰＵ）によってこのプログラムを読み出して実行することで実現することができる。

以下に、本発明の認証システムの処理手順を説明する。
＜認証装置がＩＣカードおよびＩＣカードリーダライタの場合＞
図３は、認証装置４０がＩＣカードおよびＩＣカードリーダライタの場合における本発明の認証システムの処理手順を説明するシーケンス図である。

利用者が、端末３０からサービスプロバイダサーバ２０が提供するネットワークサービスへアクセスし、サービスプロバイダサーバ２０が生成したログイン画面を端末３０に表示する（Ｓ１０１）。画面上には、利用者ＩＤの入力ボックス、ＩＣカード認証を実行するボタンがある。利用者ＩＤは利用者を一意に識別するＩＤである。利用者が、利用者ＩＤの入力後、ＩＣカードリーダライタにＩＣカードを挿入し、画面上のボタンをクリックすると（Ｓ１０２）、端末３０からサービスプロバイダサーバ２０に、利用者ＩＤと端末ＩＤと認証方式ＩＤが送信される（Ｓ１０３）。サービスプロバイダサーバ２０は、利用者識別サーバ１０へ利用者識別要求を送信する（Ｓ１０４）。利用者識別要求は、利用者ＩＤと端末ＩＤと認証方式ＩＤの組で構成される。利用者識別サーバ１０の通信処理部１４は、利用者識別要求を受信すると、端末管理部１２に端末ＩＤと認証方式ＩＤを送信する（Ｓ１０５）。

端末管理部１２は、端末ＩＤをキーにデータベース部１１のデータベース（＃１）から認証方式ＩＤを取得し（Ｓ１０６）、データベース（＃１）から取得した認証方式ＩＤとサービスプロバイダサーバ２０から送信された認証方式ＩＤを照合して（Ｓ１０７）、指定された認証方式を端末３０がサポートしているか否かを判断する（Ｓ１０８）。指定された認証方式を端末３０がサポートしていない場合（認証方式ＩＤが一致しない場合）は、通信処理部１４を経由して、サービスプロバイダサーバ２０へエラー信号を送信する（Ｓ１０９）。指定された認証方式を端末３０がサポートしている場合（認証方式ＩＤが一致する場合）は、認証方式ＩＤをキーにデータベース部１１のデータベース（＃２）から認証装置制御スクリプトを取得する（Ｓ１１０）。認証装置制御スクリプトは、認証装置４０を制御するための処理やパラメータが記述されたスクリプトである。図４にＩＣカード認証における認証装置制御スクリプトの一例を示す。

端末管理部１２は、通信処理部１４に認証方式ＩＤ、認証装置制御スクリプトを送信する（Ｓ１１１）。通信処理部１４は、端末ＩＤの端末３０に対して、認証データ要求を送信する（Ｓ１１２）。認証データ要求は、認証方式ＩＤと認証装置制御スクリプトの組で構成される。

端末３０は、認証データ要求を受信し、認証方式ＩＤ（本例においては、ＩＣカード認証）に対応した認証装置（本例においては、ＩＣカードリーダライタおよびＩＣカード）４０を選択する（Ｓ１１３）。端末３０は、認証装置制御スクリプトを実行する（Ｓ１１４）。図４に示す認証装置制御スクリプト例の場合、以下の処理を実行する。
（１）ＩＣカードリーダライタを経由して、ＩＣカードへＳＥＬＥＣＴ ＦＩＬＥコマンドを送信する。
（２）ＩＣカードリーダライタを経由して、ＩＣカードへ認証装置制御スクリプトの［パラメータ］に格納されたチャレンジデータを引数として、ＩＮＴＥＲＮＡＬ ＡＵＴＨＥＮＴＩＣＡＴＥコマンドを送信する。

端末３０は、ＩＣカードリーダライタ経由でＩＣカードからＩＮＴＥＲＮＡＬ ＡＵＴＨＥＮＴＩＣＡＴＥコマンドの実行結果（暗号データ）を受信する（Ｓ１１５）。端末３０は、ＩＮＴＥＲＮＡＬ ＡＵＴＨＥＮＴＩＣＡＴＥコマンドの実行結果（暗号データ）を認証データとし、利用者識別サーバ１０へ認証データと利用者ＩＤ、認証方式ＩＤを送信する（Ｓ１１６）。通信処理部１４は、認証部１３へ利用者ＩＤと認証方式ＩＤと認証データを送信する（Ｓ１１７）。

認証部１３は、認証方式ＩＤをキーにデータベース部１１のデータベース（＃２）から評価スクリプトを取得する（Ｓ１１８）。評価スクリプトは、認証データと評価データから認証成功（正しい利用者がアクセスしている）、認証失敗（不正な利用者がアクセスしている）を判断するための処理手順が記述されたスクリプトである。図５にＩＣカード認証における評価スクリプトの一例を示す。

次に、認証部１３は、評価スクリプトを実行する。図５の評価スクリプト例の場合、利用者ＩＤと認証方式ＩＤをキーにデータベース部１１のデータベース（＃３）から評価データを取得する（Ｓ１１９）。データベース（＃３）には、ＩＣカード認証に対応した評価データとして、利用者の公開鍵が格納されている。認証データ（暗号化したチャレンジデータ）を利用者の公開鍵で復号し、評価スクリプトの［パラメータ］に格納されたチャレンジデータと照合する（Ｓ１２０）。照合が成功した場合は、認証成功（正しい利用者がアクセスしている）。照合が失敗した場合は、認証失敗（不正な利用者がアクセスしている）となる。認証部１３から通信処理部１４へ認証結果（認証成功、または認証失敗）を送信する（Ｓ１２１）。通信処理部１４は、サービスプロバイダサーバ２０へ認証結果を送信する（Ｓ１２２）。サービスプロバイダサー２０バは、受信した認証結果から利用者のログイン可否を判断する（Ｓ１２３）。

＜認証装置が指紋認証装置の場合＞
図６は、認証装置４０が指紋認証装置の場合における本発明の認証システムの処理手順を説明するシーケンス図である。
利用者が、端末３０からネットワークサービスへアクセスし、端末３０に、サービスプロバイダサーバ２０が生成したログイン画面を表示する（Ｓ２０１）。画面上には、利用者ＩＤの入力ボックス、指紋認証を実行するボタンがある。利用者が、利用者ＩＤの入力後、指紋認証装置のセンサ部に指を置き、画面上のボタンをクリックすると（Ｓ２０２）、端末３０からサービスプロバイダサーバ２０に、利用者ＩＤと端末ＩＤと認証方式ＩＤが送信される（Ｓ２０３）。サービスプロバイダサーバ２０は、利用者識別サーバ１０へ利用者識別要求を送信する（Ｓ２０４）。利用者識別要求は、利用者ＩＤと端末ＩＤと認証方式ＩＤの組で構成される。利用者識別サーバ１０の通信処理部１４は、利用者識別要求を受信すると、端末管理部１２に端末ＩＤと認証方式ＩＤを送信する（Ｓ２０５）。

端末管理部１２は、端末ＩＤをキーにデータベース部１１のデータベース（＃１）から認証方式ＩＤを取得し（Ｓ２０６）、データベース（＃１）から取得した認証方式ＩＤとサービスプロバイダサーバ２０から送信された認証方式ＩＤを照合して（Ｓ２０７）、指定された認証方式を端末３０がサポートしているか否かを判断する（Ｓ２０８）。指定された認証方式を端末３０がサポートしていない場合（認証方式ＩＤが一致しない場合）は、通信処理部１４を経由して、サービスプロバイダサーバ２０へエラー信号を送信する（Ｓ２０９）。指定された認証方式を端末３０がサポートしている場合（認証方式ＩＤが一致する場合）は、認証方式ＩＤをキーにデータベース部１１のデータベース（＃２）から認証装置制御スクリプトを取得する（Ｓ２１０）。認証装置制御スクリプトは、認証装置４０を制御するための処理やパラメータが記述されたスクリプトである。図７に指紋認証における認証装置制御スクリプトの一例を示す。

端末管理部１２は、通信処理部１４に認証方式ＩＤ、認証装置制御スクリプトを送信する（Ｓ２１１）。通信処理部１４は、端末ＩＤの端末３０に対して、認証データ要求を送信する（Ｓ２１２）。認証データ要求は、認証方式ＩＤと認証装置制御スクリプトの組で構成される。

端末３０は、認証データ要求を受信し、認証方式ＩＤ（本例においては、指紋認証）に対応した認証装置（本例においては、指紋認証装置）４０を選択し（Ｓ２１３）、認証装置制御スクリプトを実行する（Ｓ２１４）。端末３０は、図７に示す認証装置制御スクリプト例の場合、指紋認証装置に指紋データ取得コマンドを送信する。

端末３０は、指紋認証装置から指紋データ取得コマンドの実行結果（指紋データ）を受信する（Ｓ２１５）。端末３０は、指紋データ取得コマンドの実行結果（指紋データ）を認証データとし、利用者識別サーバ１０へ認証データと利用者ＩＤ、認証方式ＩＤを送信する。（Ｓ２１６）。通信処理部１４は、認証部１３へ利用者ＩＤと認証方式ＩＤと認証データを送信する（Ｓ２１７）。

認証部１３は、認証方式ＩＤをキーにデータベース部１１のデータベース（＃２）から評価スクリプトを取得する（Ｓ２１８）。評価スクリプトは、認証データと評価データから認証成功（正しい利用者がアクセスしている）、認証失敗（不正な利用者がアクセスしている）を判断するための処理手順が記述されたスクリプトである。図８に指紋認証における評価スクリプトの一例を示す。

次に、認証部１３は、評価スクリプトを実行する。図８の評価スクリプト例の場合、利用者ＩＤと認証方式ＩＤをキーにデータベース部１１のデータベース（＃３）から評価データを取得する（Ｓ２１９）。データベース（＃３）には、指紋認証に対応した評価データとして、利用者の指紋データが事前に格納されている。次に、認証データとデータベース（＃３）から取得した利用者の指紋データを照合する（Ｓ２２０）。照合が成功した場合は、認証成功（正しい利用者がアクセスしている）。照合が失敗した場合は、認証失敗（不正な利用者がアクセスしている）となる。認証部１３から通信処理部１４へ認証結果（認証成功、または認証失敗）を送信する（Ｓ２２１）。通信処理部１４は、サービスプロバイダサーバ２０へ認証結果を送信する（Ｓ２２２）。サービスプロバイダサー２０バは、受信した認証結果から利用者のログイン可否を判断する（Ｓ２２３）。

本発明の認証システムでは、ネットワークサービス提供者が、サービスプロバイダサーバ２０に、端末３０から送信される利用者ＩＤ、端末ＩＤと認証方式ＩＤを受信する機能と、利用者識別サーバ１０へ利用者識別要求（利用者ＩＤ、端末ＩＤ、認証方式ＩＤ）を送信する機能と、利用者識別サーバ１０から送信される認証結果（認証成功、または認証失敗）、またはエラー信号を受信する機能と、認証結果に基づきネットワークサービスの利用制御を実行する機能を追加するだけで、ＩＣカード認証や指紋認証の機能を利用することが可能になる。また、このような機能を追加することにより、同一のシステム構成にて、ＩＣカード認証や指紋認証等の複数の認証方式に対応することができる。

１０ 利用者識別サーバ
１１ データベース部
１２ 端末管理部
１３ 認証部
１４ 通信処理部
２０ サービスプロバイダサーバ
３０ 端末
４０ 認証装置

Claims (6)

1. 認証装置が接続された端末と、該端末から送信される利用者の認証データを利用して当該利用者の本人性を識別する利用者識別サーバと、ネットワークサービスを提供するサービスプロバイダサーバからなる認証システムであって、
   前記利用者識別サーバは、
   前記サービスプロバイダサーバから利用者ＩＤと前記端末の端末ＩＤと前記認証装置の認証方式ＩＤを受信する手段と、
   前記サービスプロバイダサーバから受信した前記端末の端末ＩＤをキーにデータベースから認証方式ＩＤを取得する手段と、
   前記データベースから取得した認証方式ＩＤと前記サービスプロバイダサーバから受信した認証方式ＩＤを照合する手段と、
   認証方式ＩＤの照合に成功した場合に、前記認証方式ＩＤをキーにデータベースから前記認証装置を制御するための認証装置制御スクリプトを取得する手段と、
   取得した前記認証装置制御スクリプトと前記認証方式ＩＤを前記端末へ送信する手段と、
   前記端末から、利用者ＩＤと、認証方式ＩＤと、前記端末で実行された認証装置制御スクリプトの実行結果である認証データとを受信する手段と、
   前記認証方式ＩＤをキーにデータベースから認証を行うための処理手順が記述された評価スクリプトを取得する手段と、
   前記評価スクリプトを実行して、前記利用者ＩＤと前記認証方式ＩＤをキーにデータベースから評価データを取得する手段と、
   取得した前記評価データと前記認証データに基づいて認証を行う手段と、
   前記サービスプロバイダサーバへ認証結果を送信する手段と、を有し、
   前記サービスプロバイダサーバは、
   前記端末から受信した利用者ＩＤと端末ＩＤと認証方式ＩＤを前記利用者識別サーバへ送信する手段と、
   前記利用者識別サーバから送信される前記認証結果を受信する手段と、
   受信した前記認証結果に基づきネットワークサービスの利用制御を実行する手段と、を有し、
   前記端末は、
   利用者ＩＤと端末ＩＤと認証方式ＩＤを前記サービスプロバイダサーバへ送信する手段と、
   前記利用者識別サーバから前記認証方式ＩＤと前記認証装置制御スクリプトを受信する手段と、
   受信した前記認証装置制御スクリプトを実行して前記認証装置から認証データを取得する手段と、
   取得した前記認証データと、利用者ＩＤと、認証方式ＩＤを前記利用者識別サーバへ送信する手段と、
   を有することを特徴とする認証システム。
2. 前記利用者識別サーバは、前記認証方式ＩＤの照合に失敗した場合に、前記サービスプロバイダサーバへエラー信号を送信する手段を更に備えることを特徴とする請求項１に記載の認証システム。
3. 認証装置が接続された端末と、該端末から送信される利用者の認証データを利用して当該利用者の本人性を識別する利用者識別サーバと、ネットワークサービスを提供するサービスプロバイダサーバからなるシステムの認証方法であって、
   前記利用者識別サーバの処理手順は、
   前記サービスプロバイダサーバから利用者ＩＤと前記端末の端末ＩＤと前記認証装置の認証方式ＩＤを受信するステップと、
   前記サービスプロバイダサーバから受信した前記端末の端末ＩＤをキーにデータベースから認証方式ＩＤを取得するステップと、
   前記データベースから取得した認証方式ＩＤと前記サービスプロバイダサーバから受信した認証方式ＩＤを照合するステップと、
   認証方式ＩＤの照合に成功した場合に、前記認証方式ＩＤをキーにデータベースから前記認証装置を制御するための認証装置制御スクリプトを取得するステップと、
   取得した前記認証装置制御スクリプトと前記認証方式ＩＤを前記端末へ送信するステップと、
   前記端末から、利用者ＩＤと、認証方式ＩＤと、前記端末で実行された認証装置制御スクリプトの実行結果である認証データとを受信するステップと、
   前記認証方式ＩＤをキーにデータベースから認証を行うための処理手順が記述された評価スクリプトを取得するステップと、
   前記評価スクリプトを実行して、前記利用者ＩＤと前記認証方式ＩＤをキーにデータベースから評価データを取得するステップと、
   取得した前記評価データと前記認証データに基づいて認証を行うステップと、
   前記サービスプロバイダサーバへ認証結果を送信するステップと、
   を含み、
   前記サービスプロバイダサーバの処理手順は、
   前記端末から受信した利用者ＩＤと端末ＩＤと認証方式ＩＤを前記利用者識別サーバへ送信するステップと、
   前記利用者識別サーバから送信される前記認証結果を受信するステップと、
   受信した前記認証結果に基づきネットワークサービスの利用制御を実行するステップと、
   を含み、
   前記端末の処理手順は、
   利用者ＩＤと端末ＩＤと認証方式ＩＤを前記サービスプロバイダサーバへ送信するステップと、
   前記利用者識別サーバから前記認証方式ＩＤと前記認証装置制御スクリプトを受信するステップと、
   受信した前記認証装置制御スクリプトを実行して前記認証装置から認証データを取得するステップと、
   取得した前記認証データと、利用者ＩＤと、認証方式ＩＤを前記利用者識別サーバへ送信するステップと、
   を含むことを特徴とする認証方法。
4. 前記利用者識別サーバの処理手順は、前記認証方式ＩＤの照合に失敗した場合に、前記サービスプロバイダサーバへエラー信号を送信するステップを更に含むことを特徴とする請求項３に記載の認証方法。
5. 認証装置が接続された端末と、該端末から送信される利用者の認証データを利用して当該利用者の本人性を識別する利用者識別サーバと、ネットワークサービスを提供するサービスプロバイダサーバからなる認証システムの利用者識別サーバとして構成するコンピュータに、
   前記サービスプロバイダサーバから利用者ＩＤと前記端末の端末ＩＤと前記認証装置の認証方式ＩＤを受信するステップと、
   前記サービスプロバイダサーバから受信した前記端末の端末ＩＤをキーにデータベースから認証方式ＩＤを取得するステップと、
   前記データベースから取得した認証方式ＩＤと前記サービスプロバイダサーバから受信した認証方式ＩＤを照合するステップと、
   認証方式ＩＤの照合に成功した場合に、前記認証方式ＩＤをキーにデータベースから前記認証装置を制御するための認証装置制御スクリプトを取得するステップと、
   取得した前記認証装置制御スクリプトと前記認証方式ＩＤを前記端末へ送信するステップと、
   前記端末から、利用者ＩＤと、認証方式ＩＤと、前記端末で実行された認証装置制御スクリプトの実行結果である認証データとを受信するステップと、
   前記認証方式ＩＤをキーにデータベースから認証を行うための処理手順が記述された評価スクリプトを取得するステップと、
   前記評価スクリプトを実行して、前記利用者ＩＤと前記認証方式ＩＤをキーにデータベースから評価データを取得するステップと、
   取得した前記評価データと前記認証データに基づいて認証を行うステップと、
   前記サービスプロバイダサーバへ認証結果を送信するステップと、
   を実行させるためのプログラム。
6. 前記認証方式ＩＤの照合に失敗した場合に、前記サービスプロバイダサーバへエラー信号を送信するステップを更に含むことを特徴とする請求項５に記載のプログラム。

Images