JP6273240B2 - 継承システム、サーバ装置、端末装置、継承方法及び継承プログラム - Google Patents

Description

本発明は、継承システム、サーバ装置、端末装置、継承方法及び継承プログラムに関する。

近年、通信ネットワークの普及が進み、ネットワークを介したサービスが盛んに提供されている。例えば、ユーザは、通信端末装置を用いて、ネットワークを介して提供されるサービスにログインし、サービスを利用する。この場合、ユーザは、サービスの利用にあたって本人認証が求められる。通常、ユーザは、同一のサービスを利用する場合であっても、使用する端末を替えるなどして環境が変化すれば、再度の認証処理を求められる。

このような認証処理の手間を軽減させるため、ユーザが環境を切り替えた後であっても認証状態を継承させることのできる技術が知られている（例えば、特許文献１）。

特開２０１１−１３３９５１号公報

しかしながら、上記の従来技術では、安全性に優れた継承処理を行うことができるとは限らない。例えば、認証を引き継ぐ前の状態において、強固な認証強度を有する認証方式でユーザが認証されていた場合、認証の引き継ぎに際しても同等の安全性が確保されなければ、通信において安全性が確保されるとは言い難い。

本願は、上記に鑑みてなされたものであって、安全性に優れた継承処理を行うことができる継承システム、サーバ装置、端末装置、継承方法及び継承プログラムを提供することを目的とする。

本願に係る継承システムは、端末装置側でユーザを認証した認証の結果に対して所定の鍵を用いて署名を付し、当該署名が付された情報に基づいて、前記端末装置とサーバ装置との間のセッションの確立を制御する認証制御部と、前記セッションの継承の要求を受信する受信部と、前記受信部によって受信された要求に応答して、所定の条件に基づいて、前記セッションの継承を許可する許可部と、前記許可部によって許可されたセッションの継承に関する情報を、当該セッションを継承する継承先に送信する送信部と、を備えることを特徴とする。

実施形態の一態様によれば、安全性に優れた継承処理を行うことができるという効果を奏する。

図１は、実施形態に係る継承処理の一例を示す図である。 図２は、実施形態に係る認証方式を説明するシーケンス図（１）である。 図３は、実施形態に係る認証方式を説明するシーケンス図（２）である。 図４は、実施形態に係る継承システムの構成例を示す図である。 図５は、実施形態に係るユーザ端末の構成例を示す図である。 図６は、実施形態に係る認証器記憶部の一例を示す図である。 図７は、実施形態に係る継承端末記憶部の一例を示す図である。 図８は、実施形態に係る継承端末の構成例を示す図である。 図９は、実施形態に係る継承情報記憶部の一例を示す図である。 図１０は、実施形態に係る認証サーバの構成例を示す図である。 図１１は、実施形態に係る登録情報記憶部の一例を示す図である。 図１２は、実施形態に係る処理手順を示すシーケンス図である。 図１３は、変形例に係る継承端末記憶部の一例を示す図（１）である。 図１４は、変形例に係る継承端末記憶部の一例を示す図（２）である。 図１５は、変形例に係る継承処理の一例を示す図である。 図１６は、変形例に係る処理手順を示すシーケンス図である。 図１７は、ユーザ端末の機能を実現するコンピュータの一例を示すハードウェア構成図である。

以下に、本願に係る継承システム、サーバ装置、端末装置、継承方法及び継承プログラムを実施するための形態（以下、「実施形態」と呼ぶ）について図面を参照しつつ詳細に説明する。なお、この実施形態により本願に係る継承システム、サーバ装置、端末装置、継承方法及び継承プログラムが限定されるものではない。また、各実施形態は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。また、以下の各実施形態において同一の部位には同一の符号を付し、重複する説明は省略される。

〔１．継承処理の一例〕
まず、図１を用いて、実施形態に係る継承処理の一例について説明する。図１では、本願に係る第１の端末装置に対応するユーザ端末１０と、本願に係る第２の端末装置に対応する継承端末５０と、本願に係るサーバ装置に対応する認証サーバ１００とを含む継承システム１によって、ユーザ端末１０と認証サーバ１００との間に確立したセッションを継承端末５０に継承する継承処理が行われる例を示す。なお、これらの各種装置は、所定のネットワーク（例えば、インターネット）を介して、有線又は無線により通信可能に接続される。

図１は、実施形態に係る継承処理の一例を示す図である。図１の例において、ユーザ端末１０は、ユーザＵ０１によって利用される情報処理端末である。ユーザＵ０１は、ユーザ端末１０を用いて、ネットワークを介して提供されるサービス、例えば、ウェブサーバから提供されるサービスを利用する。図１では、ユーザ端末１０は、例えばスマートフォンである。以下における説明では、ユーザ端末１０をユーザＵ０１と表記する場合がある。すなわち、以下では、ユーザＵ０１をユーザ端末１０と読み替えることもできる。

継承端末５０は、ユーザ端末１０と同様、ユーザＵ０１によって利用される情報処理端末である。継承端末５０は、例えば、タブレット端末である。ユーザＵ０１は、ユーザ端末１０のみならず、継承端末５０を用いても、ネットワークを介して提供されるサービス等を利用することができる。

認証サーバ１００は、ユーザ端末１０から送信される情報を取得し、取得した情報に基づいてユーザＵ０１の本人認証を行うサーバ装置である。認証サーバ１００が取得する情報とは、例えば生体認証器等を用いて、ユーザ端末１０を利用しているユーザがユーザＵ０１本人であることをユーザ端末１０側が証明したことを示す情報である。認証サーバ１００は、取得した情報を特定の認証手順（プロトコル）で処理することにより、ユーザＵ０１本人であることを認証する。そして、認証サーバ１００は、ユーザ端末１０を利用しているユーザがユーザＵ０１であると認証したことを示す情報（以下、「認証済み情報」と表記する）を生成する。ユーザ端末１０は、認証サーバ１００によって生成された認証済み情報を受信することにより、各種サービスへのログインや、サービス毎に発行されるサービスＩＤの利用や、ネットワークを介した決済など、本人認証を要するアクセス制限付のサービス等を利用することが可能となる。すなわち、認証サーバ１００は、上記の認証処理を介することで、ユーザ端末１０との間で安全性の高いセッションを確立することができる。

（認証サーバ１００の認証方式について）
ここで、本願で実現される継承処理の説明に先立ち、認証サーバ１００が所定の情報処理端末（以下、「クライアント２０」と表記する）を利用するユーザの本人認証を行う方式について、図２及び図３を用いて説明する。

認証サーバ１００は、クライアント２０の認証において、予め発行される公開鍵と秘密鍵との照合によって情報の確実性を担保する、いわゆる公開鍵暗号方式を基礎とした認証方式を採用する。すなわち、認証サーバ１００は、クライアント２０が有する各認証器に対して発行される公開鍵と秘密鍵のペアに基づいて認証を行う。認証器とは、クライアント２０がローカルにおいて本人認証を行うための機能（あるいは、当該機能を有する装置）をいう。ローカルにおける認証とは、インターネット等の広域ネットワーク（外部ネットワーク）の接続を要しない状況で行われる認証をいい、例えば、クライアント２０内部に備えられた機能を用いて行われる認証をいう。認証器は、例えば、ユーザの生体情報など、ユーザ本人を認証することが可能な情報について、予め登録を受け付ける。そして、認証器は、認証の際には、ユーザから生体情報等の入力を受け付け、登録データと入力データとの照合結果に基づいて本人認証を行う。具体的には、認証器には、指紋認証器や、虹彩認証器や、声紋認証器等が含まれる。なお、認証器は、クライアント２０内部にインストールされたソフトウェアにより実現されてもよいし、クライアント２０とＬＡＮ（Local Area Network）で接続される範囲内に存在するハードウェアにより実現されてもよい。すなわち、認証器には、インターネット等の広域ネットワークを介さない、例えば、クライアント２０に備えられたインターフェイスに直接接続されることによりクライアント２０と協働するようなハードウェア等も含まれる。このように、認証器とは、クライアント２０側で機能する認証機能、あるいは、認証手段と読み替えることもできる。

まず、認証サーバ１００がクライアント２０を認証対象として登録する手順について説明する。図２は、実施形態に係る認証方式を説明するシーケンス図（１）である。図２では、認証処理に先立ち、認証サーバ１００が認証を行うクライアント２０に関する登録を行う処理の流れを示している。

クライアント２０は、認証サーバ１００にアクセスし、認証器の登録を要求する（ステップＳ２１）。認証サーバ１００は、クライアント２０から送信された要求に応答して、認証器による認証を要求する（ステップＳ２２）。

クライアント２０を利用するユーザは、認証サーバ１００への登録を要求した認証器を動作させ、ローカルにおいて認証器による認証を実行する（ステップＳ２３）。例えば、認証に利用する認証器として指紋認証器をユーザが選択した場合には、ユーザは、所定の箇所に指をかざすことにより、認証処理を行う。認証器は、認証器内の登録データとユーザから入力されたデータとの照合を行う。そして、認証器は、ユーザを正規のユーザと確認できた場合、当該認証処理に対応する公開鍵と秘密鍵とを発行する（ステップＳ２４）。そして、クライアント２０は、発行された秘密鍵をクライアント２０内部に記憶するとともに、秘密鍵とペアになる公開鍵を認証サーバ１００に送信する（ステップＳ２５）。認証サーバ１００は、クライアント２０から公開鍵を受け取り、当該認証器と対応付けて公開鍵を記憶する（ステップＳ２６）。クライアント２０内部の秘密鍵は、原則としてアクセスを受け付けない領域に記憶され、登録を受けた認証器によるローカルでの認証が成功しない限り、アクセスが許可されないものとする。これにより、クライアント２０が備える認証器について、認証サーバ１００への登録が完了する。

続いて、図３について説明する。図３は、実施形態に係る認証方式を説明するシーケンス図（２）である。図３では、クライアント２０がサービスを利用する際など、実際に認証サーバ１００に認証処理を要求する場面における処理の流れを示している。

クライアント２０を利用するユーザは、認証サーバ１００に、所定のアクセス制限付きサービスへのアクセスを要求する（ステップＳ３１）。なお、かかる要求は、例えば、ネットワークを介してサービスを行うウェブサーバ等を経由して送信される場合がある。すなわち、ユーザは、サービスを利用する過程において、接続先のウェブサーバから本人認証を求められる場合がある。この場合、ユーザが本人認証を行う旨を表明すると、かかる情報は、クライアント２０又は接続先のウェブサーバから認証サーバ１００に送信される。

要求を受け付けた認証サーバ１００は、クライアント２０に対して、予め登録された認証器による認証を要求する（ステップＳ３２）。要求を受け付けたクライアント２０のユーザは、予め登録された認証器によるローカルな認証を実行する（ステップＳ３３）。

認証器による認証が成功した場合、すなわち、ローカルにおいて本人認証が確認された場合、ユーザは、クライアント２０内部に記憶されている秘密鍵へのアクセスが可能となる。そして、クライアント２０は、認証器によって正規のユーザと認められたユーザしかアクセスすることのできない秘密鍵を用いて、認証の結果に関する情報に対する署名（所定のハッシュ値）を生成する。言い換えれば、クライアント２０は、予め発行されていた秘密鍵を用いて署名付き情報を生成する（ステップＳ３４）。このような、認証器による認証の結果に対して秘密鍵による署名が付された情報を、本願では、「認証結果情報」と表記する。

続いて、クライアント２０は、認証サーバ１００との間で規定される特定の認証手順（詳細は後述する）を用いて、生成した認証結果情報を送信する（ステップＳ３５）。認証サーバ１００は、秘密鍵とペアとなる公開鍵を用いて、送信された認証結果情報に付された署名を検証する（ステップＳ３６）。すなわち、認証サーバ１００は、認証結果情報に改竄がないこと、言い換えれば、適切な秘密鍵によって認証結果情報が生成されているか否かを検証する。このように、認証サーバ１００は、認証対象である認証器が適切な秘密鍵を保有していることを確認する。この確認ができた場合、認証サーバ１００は、認証結果情報に基づいてクライアント２０を利用するユーザが正規のユーザであることを認証する。そして、認証サーバ１００は、自身が認証したことを示し、ステップＳ３１においてアクセス要求したサービスの情報が含まれる、認証がなされた旨の情報（認証済み情報）をクライアント２０に送信する（ステップＳ３７）。認証がなされた旨の情報とは、例えば、認証クッキーである。

このように、上記認証方式によれば、クライアント２０は、一般的な認証で用いられることの多いパスワードやサービスＩＤなど、認証に用いる情報そのものをネットワークに送信しなくて済む。すなわち、クライアント２０から送信される情報はローカルでの認証結果を示した情報に過ぎず、第三者がクライアント２０から送信された情報を傍受したとしても、第三者は傍受した情報を利用することができない。このため、認証サーバ１００が採用する認証方式は、安全性の高い方式であるといえる。また、認証サーバ１００が採用する認証方式によれば、ユーザは、パスワードを記憶することを要しないため、ユーザの負担を軽減させることができる。

さらに、上記のように、認証サーバ１００は、クライアント２０から送信される認証結果情報の処理において、クライアント２０との間で規定される特定の認証手順を用いる。特定の認証手順とは、認証サーバ１００とクライアント２０との間で規定される認証手順であり、通信に関するプロトコルと読み替えることもできる。例えば、認証サーバ１００は、ＵＡＦ（Universal Authentication Framework）や、Ｕ２Ｆ（Universal Second Factor)といったプロトコルを用いる。これにより、認証サーバ１００とクライアント２０との通信は、より高い安全性が確保される。

図２及び図３を用いて説明してきたように、認証サーバ１００とクライアント２０の認証器との間で、特定のプロトコルを用いた公開鍵暗号方式を基礎とした認証方式による通信が確立する場合、クライアント２０は、パスワード等の認証情報そのものをネットワーク上に送信することなく、本人認証を認証サーバ１００に対して行うことができる。

ここで、ユーザＵ０１のように、複数の端末装置を保有するユーザは、認証サーバ１００と第１の端末装置との間で確立したセッションを第２の端末装置に継承させることを所望する場合がある。例えば、複数の端末装置を保有するユーザは、外出先と自宅とでは、異なる端末装置を利用したい場合がある。この場合、ユーザは、第１の端末装置で確立したセッションを遮断することなく、第２の端末装置に継承し、サービスの利用等を継続することを望む。

上述のように、第１の端末装置と認証サーバ１００との間には、認証強度の高い認証方式を経て、安全性の高いセッションが確立している。これを、何らの手続きを経ず、第２の端末装置にセッションを継承すると、第２の端末装置と認証サーバ１００との間のセッションの安全性が確保できない場合がある。このため、例えば、第２の端末装置は、各種サービスを利用する際に、第１の端末装置の場合と異なり、所定のアクセス制限を受けるなどの制約が課される場合がある。これは、認証サーバ１００を利用したサービスの提供を受けるにあたり、複数の端末装置を利用するユーザにとって利便性が低下する要因となる。

そこで、本願に係る継承システム１では、第１の端末装置から第２の端末装置への継承の安全性を確保しつつ、第１の端末装置から第２の端末装置へセッションを継承する。これにより、ユーザは、第２の端末装置を利用する場合であっても、認証サーバ１００に認証された第１の端末装置と同等のサービス等を享受することができる。以下、図１の説明に戻り、本願に係る継承処理の一例を流れに沿って説明する。

（継承処理の流れ）
図１に示す例では、ユーザＵ０１は、ユーザ端末１０を用いて所定のサービスを利用するため、認証サーバ１００による認証処理を所望するものとする。上記で説明したように、認証サーバ１００による認証を受けるにあたり、ユーザＵ０１は、ローカルで本人認証を行うことが可能な認証器を認証サーバ１００に登録することを要する。ここでは、ユーザＵ０１は、認証サーバ１００に対して、ユーザ端末１０が備える指紋認証器を登録するものとする。なお、図１に示す例では、指紋認証器は、ユーザ端末１０内部で実現される認証機能であり、例えば、ユーザ端末１０にインストールされたアプリケーション（アプリ）等により実現される。

図１に示す例において、ユーザＵ０１は、認証サーバ１００に対して認証器の登録を要求する。すなわち、ユーザＵ０１は、ユーザ端末１０が備える指紋認証器を用いて、ユーザＵ０１の本人性をローカルで認証する。そして、ユーザ端末１０は、指紋認証器によるユーザＵ０１の認証処理に対応する鍵であって、ペアとなる秘密鍵Ｋ１０と公開鍵Ｋ１１を発行する。そして、ユーザ端末１０は、秘密鍵Ｋ１０を保持するとともに、公開鍵Ｋ１１を認証サーバ１００に送信する。認証サーバ１００は、公開鍵Ｋ１１を所定の記憶領域に登録する。

今後、ユーザ端末１０が有する指紋認証器によるユーザＵ０１の認証処理が行われ、認証結果情報が認証サーバ１００に送信された場合には、認証サーバ１００は、公開鍵Ｋ１１を用いて認証結果情報の署名を検証する。すなわち、認証サーバ１００は、送信された認証結果情報が秘密鍵Ｋ１０を用いて署名されたことを確認する。これにより、認証サーバ１００は、ユーザ端末１０を利用するユーザがユーザＵ０１であることを認証する。この認証方式を経て、ユーザ端末１０と認証サーバ１００との間に、安全性の高いセッションが確立する（ステップＳ１）。

ここで、ユーザＵ０１は、ユーザ端末１０から、継承端末５０へのセッションの継承を所望したとする。この場合、継承端末５０は、認証サーバ１００に対してセッションの継承を要求する（ステップＳ２）。継承端末５０からセッションの継承の要求を受け付けた認証サーバ１００は、継承端末５０との間に仮セッションを確立させる（ステップＳ３）。

認証サーバ１００は、仮セッションにおいて、継承端末５０に所定の信頼性の担保を求める。すなわち、認証サーバ１００は、継承端末５０が間違いなくユーザ端末１０に信頼される端末であり、セッションを継承しても問題がないことの担保を継承端末５０に求める。

かかる要求を受けて、継承端末５０は、ユーザ端末１０に対して自身へのセッションの継承を要求する（ステップＳ４）。言い換えれば、継承端末５０は、自身へのセッションの継承の許可をユーザ端末１０に求める。ここで、ユーザ端末１０は、所定の条件に基づいて、セッションの継承を許可する。例えば、ユーザ端末１０は、所定の判定処理を実行し、かかる判定結果に基づいて、継承端末５０へのセッション継承を許可する（ステップＳ５）。具体的には、ユーザ端末１０は、継承端末５０との間で近距離通信を確立するか否かを判定し、近距離通信が確立した場合に、継承端末５０への継承を許可する。近距離通信は、例えば、ユーザ端末１０が発する所定の音波を継承端末５０が受信することや、ＮＦＣ（Near field radio communication）規格に則った近距離無線通信方式によって、両者が近距離にあることを証明すること等によって行われる。

なお、ユーザ端末１０は、継承端末５０を認証するにあたり、認証サーバ１００に対する認証処理を再度行うようにしてもよい。例えば、ユーザＵ０１は、ユーザ端末１０内に備えられた指紋認証器を用いて、再度認証処理を行う。ユーザ端末１０は、かかる認証処理によって生成された認証結果情報を認証サーバ１００に送信する。このように、継承端末５０からの要求を受けて、再度、ユーザ端末１０によるユーザＵ０１の認証処理が行われた場合、継承端末５０を利用するユーザとユーザ端末１０を利用するユーザは同一であるという一定の信頼性が得られる。

このような認証処理を経て、継承端末５０は、ユーザ端末１０から認証を受ける。言い換えれば、継承端末５０は、ユーザ端末１０と認証サーバ１００との間に確立しているセッションの継承の許可を受ける。ユーザ端末１０は、継承を許可した旨を継承端末５０に送信する（ステップＳ６）。例えば、ユーザ端末１０は、継承を認証した旨を示すトークンを継承端末５０に送信する。

継承端末５０は、ユーザ端末１０からセッションの継承に関して、継承が許可された旨を認証サーバ１００に送信する（ステップＳ７）。認証サーバ１００は、ユーザ端末１０によって継承端末５０が許可された旨を信頼し、継承先となる継承端末５０を特定する。そして、認証サーバ１００は、継承処理について、継承端末５０を認証する（ステップＳ８）。そして、認証サーバ１００は、ユーザ端末１０と認証サーバ１００との間に確立していたセッションを継承端末５０に継承する。

上記のように、継承システム１において、ユーザ端末１０は、ユーザ端末１０側（ローカル側）でユーザＵ０１を認証した認証の結果に対して秘密鍵Ｋ１０を用いて署名を付し、署名が付された情報に基づいて、認証サーバ１００との間のセッションの確立を制御する。そして、ユーザ端末１０は、セッションを継承させる継承端末５０から、認証サーバ１００とのセッションの継承の要求を受信する。また、ユーザ端末１０は、受信された要求に応答して、所定の条件に基づいて、セッションの継承を許可する。そして、ユーザ端末１０は、許可されたセッションの継承に関する情報（例えば、セッションの継承を許可したトークン）を継承端末５０に送信する。継承端末５０は、ユーザ端末１０から送信されたセッションの継承に関する情報を認証サーバ１００に送信し、ユーザ端末１０からのセッションの継承を要求する。認証サーバ１００は、継承端末５０から送信されたセッションの継承に関する情報に基づいて、ユーザ端末１０との間で確立したセッションの継承端末５０への継承を実行する。

すなわち、継承システム１によれば、継承端末５０は、セッションの継承にあたって、ユーザ端末１０から直接にセッションの継承を受けるのではなく、ユーザ端末１０とセッションが確立している認証サーバ１００との間で仮セッションを設ける。そして、継承端末５０は、認証サーバ１００との通信において、セッションの継承元であるユーザ端末１０からの認証の要求を受け付ける。これにより、認証サーバ１００は、ユーザ端末１０から継承される継承先である継承端末５０を特定するとともに、認証サーバ１００とユーザ端末１０との間で確立しているセッションと同程度の認証強度を確保しつつ、セッションの継承を行うことを要求できる。すなわち、認証サーバ１００は、仮セッションにおいて、強固な認証強度によって既に認証がされているユーザ端末１０からセッションの継承の許可を受けることを継承端末５０に要求できる。そして、ユーザ端末１０は、例えば、近距離通信等による継承端末５０を認証することで、セッションの継承の許可を与える。すなわち、認証サーバ１００から信頼されたユーザ端末１０によって、継承端末５０の信頼性が確保される。これにより、認証サーバ１００側からすると、一定の信頼性が確保された継承端末５０に対して確実にセッションを継承することができる。このように、継承システム１によれば、安全性が確保されたセッションの継承を行うことができる。

〔２．継承システムの構成〕
次に、図４を用いて、継承システム１の構成について説明する。図４は、実施形態に係る継承システム１の構成例を示す図である。図４に例示するように、実施形態に係る継承システム１には、ユーザ端末１０と、継承端末５０と、認証サーバ１００とが含まれる。これらの各種装置は、ネットワークＮを介して、有線又は無線により通信可能に接続される。なお、図４に示した継承システム１に含まれる各装置は、図示した数に限られなくてもよい。

ユーザ端末１０は、例えば、デスクトップ型ＰＣ（Personal Computer）や、ノート型ＰＣや、タブレット端末や、スマートフォンを含む携帯電話機、ＰＤＡ（Personal Digital Assistant）等の情報処理端末である。また、ユーザ端末１０には、眼鏡型や時計型の情報処理端末であるウェアラブルデバイス（Wearable device）も含まれてもよい。さらに、ユーザ端末１０には、情報処理機能を有する種々のスマート機器が含まれてもよい。例えば、ユーザ端末１０には、ＴＶ（Television）や冷蔵庫、掃除機などのスマート家電や、自動車などのスマートビークル（Smart vehicle）や、ドローン（Drone）、家庭用ロボットなどが含まれてもよい。

また、ユーザ端末１０は、認証器を備える。例えば、ユーザ端末１０がスマートフォンである場合、認証器は、スマートフォンにインストールされるアプリケーション等によって実現される。認証器は独立した装置であってもよく、例えば、ノート型ＰＣのＵＳＢインターフェイスに接続される指紋認証装置等であってもよい。

継承端末５０は、ユーザ端末１０からセッションを継承する情報処理装置である。例えば、継承端末５０は、ユーザ端末１０と同様、デスクトップ型ＰＣや、ノート型ＰＣや、タブレット端末や、スマートフォン等の情報処理端末により実現される。

認証サーバ１００は、ユーザ端末１０を利用するユーザＵ０１の本人認証を行うサーバ装置である。認証サーバ１００は、ユーザ端末１０から送信された認証結果情報を受信し、認証結果情報に署名した秘密鍵に対応する公開鍵を用いて署名を検証する。ユーザ端末１０を利用するユーザＵ０１は、認証サーバ１００による署名の検証がなされた場合、認証サーバ１００から本人性を認証されたものとして取り扱われる。これにより、ユーザＵ０１は、ウェブサーバ等が提供する制限付きサービス等を利用することが可能となる。また、認証サーバ１００は、継承端末５０からの要求に従い、認証済みのユーザ端末１０との間で確立したセッションを継承端末５０に継承する。

なお、認証サーバ１００は、各種ウェブページを提供するウェブサーバと通信を行ってもよい。ウェブサーバは、ユーザ端末１０からアクセスされた場合に、各種ウェブページを提供するサーバ装置である。ウェブサーバは、例えば、ニュースサイト、天気予報サイト、ショッピングサイト、ファイナンス（株価）サイト、路線検索サイト、地図提供サイト、旅行サイト、飲食店紹介サイト、ウェブブログなどに関する各種ウェブページを提供する。

ウェブサーバは、サービスの提供にあたり、ユーザの本人認証を要求する場合がある。この場合、認証サーバ１００は、ウェブサーバから、ユーザ端末１０を利用するユーザの本人認証の要求を受け付ける。例えば、ウェブサーバが決済サービスを提供する際に、ユーザ端末１０を利用しているユーザが間違いなくユーザＵ０１本人であると認証サーバ１００が認証しないときには、ウェブサーバは、ユーザ端末１０による決済サービスの実行を制限することができる。一方、ウェブサーバは、認証サーバ１００がユーザＵ０１を認証したことを示す情報をユーザ端末１０、あるいは、認証サーバ１００から受信した場合には、ユーザ端末１０を利用しているユーザがユーザＵ０１であると信頼する。この場合、ウェブサーバは、ユーザ端末１０による決済など、本人認証後でなければ許可しないような操作についても受け付けることができる。なお、認証サーバ１００は、上記で説明したようなウェブサーバの機能を兼ねてもよい。

〔３．ユーザ端末の構成〕
次に、図５を用いて、実施形態に係るユーザ端末１０の構成について説明する。図５は、実施形態に係るユーザ端末１０の構成例を示す図である。図５に示すように、ユーザ端末１０は、通信部１１と、入力部１２と、表示部１３と、検知部１４と、記憶部１５と、制御部１６とを有する。なお、ユーザ端末１０が有する各処理部の接続関係は、図５に示した接続関係に限られず、他の接続関係であってもよい。

（通信部１１について）
通信部１１は、ネットワークＮと有線又は無線で接続され、認証サーバ１００やウェブサーバ等との間で情報の送受信を行う。例えば、通信部１１は、ＮＩＣ（Network Interface Card）等によって実現される。

（入力部１２について）
入力部１２は、ユーザから各種操作を受け付ける入力装置である。例えば、入力部１２は、ユーザ端末１０に備えられた操作キー等によって実現される。また、入力部１２には、画像を撮影するための撮像装置（カメラ等）や、音声を集音する集音機器（マイク等）が含まれてもよい。

（表示部１３について）
表示部１３は、各種情報を表示するための表示装置である。例えば、表示部１３は、液晶ディスプレイ等によって実現される。なお、ユーザ端末１０にタッチパネルが採用される場合には、入力部１２の一部と表示部１３とは一体化される。

（検知部１４について）
検知部１４は、ユーザ端末１０に対する操作や、ユーザ端末１０における環境等を検知する。具体的には、検知部１４は、ユーザ端末１０に対するユーザＵ０１の操作や、ユーザ端末１０の所在する位置情報や、ユーザ端末１０と接続されている機器に関する情報等を検知する。検知部１４は、例えば、ユーザ端末１０に備えられる各種センサを利用して上記の情報を検知してもよい。

（記憶部１５について）
記憶部１５は、各種情報を記憶する。記憶部１５は、例えば、ＲＡＭ、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部１５は、認証器記憶部１５１と、継承端末記憶部１５２とを有する。

（認証器記憶部１５１について）
認証器記憶部１５１は、認証器に関する情報を記憶する。図６は、実施形態に係る認証器記憶部１５１の一例を示す図である。図６に示した例では、認証器記憶部１５１は、「認証器ＩＤ」、「タイプ」、「認証ユーザ」、「秘密鍵」といった項目を有する。

「認証器ＩＤ」は、認証器を識別する識別情報を示す。なお、実施形態において、認証器ＩＤは、認証器の参照符号と一致するものとする。例えば、認証器ＩＤ「１６３Ａ」で示される認証器は、指紋認証器１６３Ａを示す。

「タイプ」は、認証器が行う認証方式のタイプを示す。例えば、タイプには、指紋や、虹彩や、声紋が含まれる。なお、認証器の認証方式は、上記に限られない。例えば、認証器は、ユーザの顔の画像データを用いて認証を行う顔認証器や、ユーザの心拍等をセンサによって検知する生体情報認証器であってもよい。また、認証器の認証方式は、生体情報を用いた認証方式に限られない。例えば、認証器は、ユーザＵ０１が所有する所定の物理キーをユーザ端末１０に接続することによって認証を行うハードウェア認証器であってもよいし、ユーザ端末１０に内蔵されるＳＩＭカード（Subscriber Identity Module Card）の内容を判定することで認証を行うＳＩＭカード認証器であってもよい。また、認証器は、パスワード等の所定の情報を入力することで認証を行う方式であってもよい。また、認証器は、ユーザ端末１０自体に与えられた識別番号（ＰＩＮ、Personal Identification Number）によって認証を行う方式であってもよい。

「認証ユーザ」は、認証器が認証するユーザを示す。「秘密鍵」は、認証器の認証の結果に対して署名を行い、認証結果情報を生成するための鍵を示す。秘密鍵及びペアとなる公開鍵は、認証サーバ１００への認証器の登録の際に発行される。そして、秘密鍵は、ユーザ端末１０内に保持される。公開鍵は、ユーザ端末１０によって認証サーバ１００へ送信される。また、秘密鍵は、対応する認証器によるユーザの認証が成功しない限りアクセスできない領域に保持される。

すなわち、図６では、認証器ＩＤ「１６３Ａ」で識別される認証器（指紋認証器１６３Ａ）は、認証のタイプが「指紋」であり、認証するユーザは「ユーザＵ０１」であり、秘密鍵は「Ｋ１０」である一例を示している。

（継承端末記憶部１５２について）
継承端末記憶部１５２は、ユーザ端末１０からセッションの継承を受ける端末に関する情報を記憶する。図７に、実施形態に係る継承端末記憶部１５２の一例を示す。図７は、実施形態に係る継承端末記憶部１５２の一例を示す図である。図７に示した例では、継承端末記憶部１５２は、「継承する装置」、「継承ユーザ」、「判定要素」といった項目を有する。

「継承する装置」は、ユーザ端末１０がセッションを継承する装置の名称を示す。「継承ユーザ」は、継承する装置において、認証サーバ１００から認証されるユーザの名称を示す。

「判定要素」は、ユーザ端末１０がセッションを継承するにあたり、継承先となる継承端末５０が信頼可能な端末か否かを判定する要素を示す。例えば、継承端末５０の物理的な距離がユーザ端末１０と近く、また、継承端末５０において、ユーザ端末１０から発せられる何らかの通信を受け入れる操作を行うこと等が証明できれば、継承端末５０は、ユーザ端末１０と同一、又は近しいユーザから操作されていると証明できる。ユーザ端末１０は、判定要素として例示される操作等を行うことで、継承端末５０を判定する。これにより、ユーザ端末１０は、認証サーバ１００に対して、継承端末５０が信頼のおける端末であることを保証する。

「判定要素」の項目のうち、例えば、「音波」とは、ユーザ端末１０から発せられる音波を継承端末５０が受信することにより、継承端末５０を信頼する判定手法である。また、「ＮＦＣ通信」とは、ユーザ端末１０と継承端末５０との間でＮＦＣ規格に則った通信が行われることを確認する手法である。また、「赤外線」とは、一方の端末から送信する赤外線を、もう一方の端末で受信することにより、端末間がごく近い距離にあることを判定する手法である。また、「臨時パスコード」とは、一方の端末から送信するパスコードを、もう一方の端末で入力することにより、両者が、同一、又は近しいユーザから操作されていることを証明する手法である。なお、ユーザ端末１０は、判定要素として挙げている項目を一つだけ実施することによって継承端末５０を判定してもよいし、複数の項目を実施してもよい。また、判定要素の項目は、上記に例示されているものに限られず、例えば、ユーザ端末１０と継承端末５０とが有線で接続されている通信状態であることを判定要素としてもよい。

すなわち、図７では、ユーザ端末１０がセッションを継承する装置としては「継承端末５０」があり、継承端末５０のユーザは「ユーザＵ０１」であり、ユーザ端末１０が継承端末５０の信頼性を判定する要素としては、「音波」や、「ＮＦＣ通信」や、「赤外線」や、「臨時パスコード」等が用いられることを示している。

なお、ユーザ端末１０は、必ずしも事前に継承端末記憶部１５２に登録されている端末にセッションを継承するのではなく、新たな端末にセッションを継承してもよい。この場合、継承端末記憶部１５２には、新たにセッションが継承された端末の情報が登録される。

（制御部１６について）
制御部１６は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって、ユーザ端末１０内部の記憶装置に記憶されている各種プログラムがＲＡＭ（Random Access Memory）を作業領域として実行されることにより実現される。また、制御部１６は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現される。

制御部１６は、ユーザ端末１０において行われるローカルでの認証処理や、認証器を機能させる処理や、継承端末５０や認証サーバ１００との情報の送受信など、各種処理を制御する。図５に示すように、制御部１６は、受信部１６１と、登録部１６２と、認証制御部１６３と、生成部１６４と、許可部１６５と、送信部１６６とを有し、以下に説明する情報処理の機能や作用を実現または実行する。例えば、制御部１６は、ＲＡＭを作業領域として上述したアプリを実行することにより、各種情報処理を実現する。なお、制御部１６の内部構成は、図５に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。

（受信部１６１について）
受信部１６１は、各種情報を受信する。例えば、受信部１６１は、認証サーバ１００や継承端末５０から送信される情報を受信する。また、受信部１６１は、認証サーバ１００から送信される、ユーザ端末１０を利用するユーザの本人認証の要求を受信する。また、受信部１６１は、継承端末５０から、認証サーバ１００との間で確立しているセッションの継承の要求を受信する。また、受信部１６１は、検知部１４が検知する各種情報を受信する。

（登録部１６２について）
登録部１６２は、認証に関する各種情報を登録する。例えば、登録部１６２は、ユーザ端末１０を利用するユーザＵ０１の本人性を認証する認証器に関する情報を認証器記憶部１５１に登録する。また、登録部１６２は、認証サーバ１００から認証を受けるため、認証器を認証サーバ１００に登録する。

登録部１６２は、認証サーバ１００から認証器の登録を受けた場合、認証器に対応する秘密鍵と公開鍵のペアを発行する。そして、登録部１６２は、認証器と対応付けて、発行された秘密鍵を認証器記憶部１５１に登録する。また、登録部１６２は、認証器と対応付けて、発行された公開鍵を認証サーバ１００に送信し、認証サーバ１００内に登録させる。

また、登録部１６２は、ユーザＵ０１のセッションを継承する継承端末５０に関する情報を継承端末記憶部１５２に登録する。また、登録部１６２は、継承端末５０以外の装置にセッションを継承した場合には、新たに継承した装置に関する情報を継承端末記憶部１５２に登録する。

（認証制御部１６３について）
認証制御部１６３は、ユーザ端末１０を利用するユーザＵ０１の本人性の認証に関する処理を制御する。例えば、認証制御部１６３は、ユーザ端末１０が有する認証器を管理する。また、認証制御部１６３は、登録部１６２によって登録された認証器を動作させ、ユーザ端末１０を利用するユーザＵ０１の本人性を認証する。すなわち、認証制御部１６３は、実施形態において、指紋認証器１６３Ａ等の認証器としての機能を実現する。

また、認証制御部１６３は、後述する生成部１６４や送信部１６６と協働し、認証サーバ１００との間にセッションを確立する。すなわち、認証制御部１６３は、ユーザ端末１０側でユーザＵ０１を認証した認証の結果に対して、認証器に対応する秘密鍵を用いて署名を付し、署名が付された情報に基づいて、認証サーバ１００との間のセッションの確立を制御する。この場合、生成部１６４は、認証の結果に対して署名を付して認証結果情報を生成する処理を実行する。また、送信部１６６は、認証結果情報を認証サーバ１００に送信する。認証制御部１６３は、上記のような処理を制御することで、認証サーバ１００との間に、ユーザＵ０１の本人性が認証サーバ１００に認証された状態のセッションを確立する。

（生成部１６４について）
生成部１６４は、認証結果情報の生成を制御する。生成部１６４は、認証器記憶部１５１に記憶された認証器による認証の結果を取得する。そして、生成部１６４は、認証器による認証の結果から、認証サーバ１００によって処理される認証結果情報を生成する。

具体的には、生成部１６４は、認証器が認証を行った結果を取得する。そして、生成部１６４は、ユーザＵ０１が認証された結果に対して、認証器に対応する秘密鍵を用いて署名を付すことにより、認証の結果に対応する認証結果情報を生成する。例えば、生成部１６４は、認証制御部１６３が指紋認証器１６３Ａを用いて認証を行った場合には、認証の結果に対して秘密鍵Ｋ１０を用いて署名を付すことで、認証結果情報を生成する。かかる認証結果情報は、ユーザ端末１０において、ユーザＵ０１の本人認証処理が完了したことを示している。生成部１６４は、生成した認証結果情報を送信部１６６に送り、認証サーバ１００に送信させる。

（許可部１６５について）
許可部１６５は、認証サーバ１００との間に確立したセッションを継承端末５０に継承する処理を制御する。具体的には、許可部１６５は、受信部１６１によって受信された要求に応答して、所定の条件に基づいて、継承端末５０へのセッションの継承を許可する。

許可部１６５は、継承に係る条件として、継承先となる継承端末５０が信頼可能な端末であると認められることを条件とする。例えば、許可部１６５は、図７の判定要素の項目に示される要素を継承端末５０が満たすか否かを判定する。

具体的には、許可部１６５は、所定の条件として、継承端末５０との間で、有線方式又は近距離無線通信方式を用いて通信が確立するか否かを判定し、通信が確立した場合に、継承端末５０に対する継承を許可する。これらの判定は、言い換えれば、認証サーバ１００が規定する認証方式で認証されたユーザ端末１０と継承端末５０のユーザとが同一であること（もしくは、関係者などの信頼されるユーザ）を判定するものである。例えば、継承端末５０とユーザ端末１０とが近距離通信で接続される場合には、ユーザ端末１０と継承端末５０とが同時に、かつ、同じ場所で操作され、互いを認識するための操作が行われていることを意味する。このような状況が成立する場合、継承システム１においては、継承端末５０が信頼されるユーザから操作される端末であるものとして取り扱い、認証サーバ１００とユーザ端末１０との間で確立しているセッションの継承が許可される。

許可部１６５は、上記のように、例えば図７で示したような判定要素となる項目に対応する機能を動作させ、継承端末５０が信頼される端末であるか否かを判定する。そして、許可部１６５は、継承端末５０が判定要素を満たした場合に、セッションの継承を許可する。また、許可部１６５は、継承端末５０が判定要素を満たした場合、継承端末５０との通信が確立するため、継承端末５０をセッションの継承を行う端末として特定できる。

ここで、許可部１６５は、所定の条件として、継承端末５０を特定する情報として少なくとも二種類以上の情報を判定し、少なくとも二種類以上の情報によって継承端末５０が特定された場合に、継承端末５０に対する継承を許可するようにしてもよい。すなわち、許可部１６５は、いわゆる多要素認証によって、継承端末５０を判定する。これにより、継承端末５０をより厳密に判定できるため、かかる判定によって信頼できるとされた継承端末５０は、単独の要素で判定された端末に比べて、より信頼のおける端末といえる。

また、許可部１６５は、継承の対象となる継承端末５０に関する情報や、継承端末５０を特定する基となった判定要素や、継承端末５０に対する信頼性等、セッションの継承に関する情報を生成する。そして、許可部１６５は、送信部１６６を介して、セッションの継承に関する情報を継承端末５０に送信する。継承端末５０は、セッションの継承に関する情報を認証サーバ１００に送信し、認証サーバ１００によってセッションの継承が実行されることにより、認証サーバ１００とユーザ端末１０との間に確立しているセッションを継承することができる。

（送信部１６６について）
送信部１６６は、各種情報を送信する。例えば、送信部１６６は、生成部１６４によって生成された認証結果情報を認証サーバ１００に送信する。また、送信部１６６は、認証サーバ１００から送信された認証済み情報を受信部１６１が取得した場合には、かかる認証済み情報を、サービスを提供するウェブサーバに送信してもよい。また、送信部１６６は、許可部１６５がセッションの継承を許可した場合には、その旨を継承端末５０に送信する。また、送信部１６６は、許可部１６５によって許可されたセッションの継承に関する情報を継承端末５０に送信する。

〔４．継承端末の構成〕
次に、図８を用いて、実施形態に係る継承端末５０の構成について説明する。図８は、実施形態に係る継承端末５０の構成例を示す図である。図８に示すように、継承端末５０は、通信部５１と、入力部５２と、表示部５３と、検知部５４と、記憶部５５と、制御部５６とを有する。なお、継承端末５０が有する各処理部の接続関係は、図８に示した接続関係に限られず、他の接続関係であってもよい。また、ユーザ端末１０で説明した項目と重複する処理部については、説明を省略する。

（検知部５４について）
検知部５４は、継承端末５０に対する操作や、継承端末５０における環境等を検知する。具体的には、検知部５４は、継承端末５０に対するユーザＵ０１の操作や、継承端末５０の所在する位置情報や、継承端末５０と接続されている機器に関する情報等を検知する。検知部５４は、例えば、継承端末５０に備えられる各種センサを利用して上記の情報を検知してもよい。また、検知部５４は、ユーザ端末１０から継承に関する判定を求められた場合に、各種情報を検知する。例えば、ユーザ端末１０が「音波」を発し、かかる音波を継承端末５０が受信する判定を行う場合には、検知部５４は、ユーザ端末１０から発信された音波を検知する。さらに、検知部５４は、ユーザ端末１０から発信される近距離通信の確立の要求であったり、赤外線であったりといった各種情報を検知してもよい。

（記憶部５５について）
記憶部５５は、各種情報を記憶する。記憶部５５は、例えば、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。

（継承情報記憶部５５１について）
継承情報記憶部５５１は、セッションの継承に関する情報を記憶する。図９に、実施形態に係る継承情報記憶部５５１の一例を示す。図９は、実施形態に係る継承情報記憶部５５１の一例を示す図である。図９に示した例では、継承情報記憶部５５１は、「継承される装置」、「継承ユーザ」、「判定要素」といった項目を有する。

「継承される装置」は、継承端末５０にセッションが継承される装置の名称を示す。継承される装置は、例えば、ユーザ端末１０である。また、「継承ユーザ」及び「判定要素」の項目は、図７に示した同様の項目に対応する。

すなわち、図９では、継承端末５０にセッションが継承される継承元となる装置は「ユーザ端末１０」であり、継承先のユーザは「ユーザＵ０１」であり、認証に用いる判定要素は、「音波」や、「ＮＦＣ通信」や、「赤外線」や、「臨時パスコード」等が用いられることを示している。

なお、継承端末５０は、必ずしも事前に継承情報記憶部５５１に登録されているユーザ端末１０からセッションを継承するのではなく、新たな端末からセッションを継承してもよい。この場合、継承情報記憶部５５１には、新たにセッションを継承した端末の情報が登録される。

（制御部５６について）
制御部５６は、例えば、ＣＰＵやＭＰＵ等によって、継承端末５０内部の記憶装置に記憶されている各種プログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部５６は、例えば、ＡＳＩＣやＦＰＧＡ等の集積回路により実現される。

制御部５６は、セッションの継承に関する処理など、継承端末５０が行う各種処理を制御する。図８に示すように、制御部５６は、受信部５６１と、継承制御部５６２と、送信部５６３とを有する。なお、制御部５６の内部構成は、図８に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。

（受信部５６１について）
受信部５６１は、各種情報を受信する。例えば、受信部５６１は、ユーザ端末１０や認証サーバ１００との間で送受信される各種情報を受信する。また、受信部５６１は、ユーザ端末１０から送信される情報であって、セッションの継承に関する情報を受信する。また、受信部５６１は、認証サーバ１００から送信される情報であって、セッションを継承端末５０に継承する旨の情報を受信する。

（継承制御部５６２について）
継承制御部５６２は、セッションの継承に関する処理を制御する。例えば、継承制御部５６２は、認証サーバ１００とユーザ端末１０との間で確立しているセッションの継承を継承端末５０（あるいは、継承端末５０を利用するユーザ）が所望する場合、セッションの継承を認証サーバ１００に要求する。

また、継承制御部５６２は、セッションの継承処理を行う認証サーバ１００との間で仮セッションを確立する。継承制御部５６２は、仮セッションにおいて、継承先となる継承端末５０が信頼に足る端末である旨を認証サーバ１００に通知することで、セッションの継承を要求する。

継承端末５０が認証サーバ１００から信頼に足る端末であると認識されるためには、ユーザ端末１０による認証を要する。そこで、継承制御部５６２は、ユーザ端末１０に、セッションの継承の認証を要求する。また、継承制御部５６２は、ユーザ端末１０から要求される判定に関する情報を送受信する。例えば、継承制御部５６２は、ユーザ端末１０から音波の受信による継承端末５０の特定を求められた場合、検知部１４によって検知された音波情報を取得する。そして、継承制御部５６２は、ユーザ端末１０から同一のユーザが操作する端末であると特定された場合に、ユーザ端末１０がセッションの継承を許可した旨の情報を含む、認証に関する情報を取得する。

そして、継承制御部５６２は、認証サーバ１００との間の仮セッションにおいて、ユーザ端末１０から継承の許可を受け付けた旨を送信する。認証サーバ１００は、継承制御部５６２がユーザ端末１０から受け付けた情報であって、継承に関する情報を参照し、継承端末５０にセッションを継承するか否かを決定する。

（送信部５６３について）
送信部５６３は、各種情報を送信する。例えば、送信部５６３は、ユーザ端末１０や認証サーバ１００に各種情報を送信する。具体的には、送信部５６３は、セッションの継承の要求を認証サーバ１００に送信したり、ユーザ端末１０から継承が許可された旨の情報を認証サーバ１００に送信したりする。

〔５．認証サーバの構成〕
次に、図１０を用いて、実施形態に係る認証サーバ１００の構成について説明する。図１０は、実施形態に係る認証サーバ１００の構成例を示す図である。図１０に示すように、認証サーバ１００は、通信部１１０と、記憶部１２０と、制御部１３０とを有する。なお、認証サーバ１００は、認証サーバ１００を利用する管理者等から各種操作を受け付ける入力部（例えば、キーボードやマウス等）や、各種情報を表示するための表示部（例えば、液晶ディスプレイ等）を有してもよい。

（通信部１１０について）
通信部１１０は、例えば、ＮＩＣ等によって実現される。通信部１１０は、ネットワークＮと有線又は無線で接続され、ネットワークＮを介して、ユーザ端末１０や継承端末５０との間で情報の送受信を行う。なお、通信部１１０は、ユーザ端末１０や継承端末５０から送信される認証結果情報を処理する場合には、安全性の高い特定の認証手順（プロトコル）に則って処理を行う。

（記憶部１２０について）
記憶部１２０は、例えば、ＲＡＭ、フラッシュメモリ等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。記憶部１２０は、登録情報記憶部１２１を有する。

（登録情報記憶部１２１について）
登録情報記憶部１２１は、認証サーバ１００に登録された認証器に関する情報を記憶する。ここで、図１１に、実施形態に係る登録情報記憶部１２１の一例を示す。図１１は、実施形態に係る登録情報記憶部１２１の一例を示す図である。図１１に示した例では、登録情報記憶部１２１は、「認証器ＩＤ」、「タイプ」、「認証ユーザ」、「公開鍵」といった項目を有する。

「認証器ＩＤ」、「タイプ」、「認証ユーザ」は、図６に示した同一の項目に対応する。「公開鍵」は、認証器の登録の際に認証器側（すなわち、ユーザ端末１０又は継承端末５０）から送信される鍵情報であり、同時に発行された秘密鍵と対になる鍵を示す。公開鍵は、認証器及び認証ユーザごとに対応付けられて記憶される。

すなわち、図１１では、認証器ＩＤ「１６３Ａ」で識別される認証器が登録されており、認証器のタイプは「指紋」であり、認証されるユーザは「ユーザＵ０１」であり、当該認証器がユーザＵ０１を認証する際に用いられる公開鍵は「Ｋ１１」であることを示している。

（制御部１３０について）
制御部１３０は、例えば、ＣＰＵやＭＰＵ等によって、認証サーバ１００内部の記憶装置に記憶されている各種プログラム（継承プログラムの一例に相当）がＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、例えば、ＡＳＩＣやＦＰＧＡ等の集積回路により実現される。

図１０に示すように、制御部１３０は、受信部１３１と、登録部１３２と、検証部１３３と、実行部１３４と、送信部１３５とを有し、以下に説明する情報処理の機能や作用を実現または実行する。なお、制御部１３０の内部構成は、図１０に示した構成に限られず、後述する情報処理を行う構成であれば他の構成であってもよい。また、制御部１３０が有する各処理部の接続関係は、図１０に示した接続関係に限られず、他の接続関係であってもよい。

（受信部１３１について）
受信部１３１は、各種情報を受信する。例えば、受信部１３１は、認証サーバ１００における認証を所望するユーザ端末１０から、認証器の登録の要求を受信する。また、受信部１３１は、例えば、ユーザ端末１０がウェブサーバにアクセスし、アクセス先のウェブサーバが提供するサービスがユーザ端末１０に認証を要求する場合に、かかる認証要求をウェブサーバから受信する。この場合、受信部１３１が受け付けた認証要求に対応して、後述する送信部１３５は、ユーザ端末１０に認証を行わせる旨を示す要求を送信する。また、受信部１３１は、認証処理において、ローカルで行われた認証結果に基づいて生成される情報である認証結果情報を受信する。受信部１３１は、認証サーバ１００が規定する特定の認証手順を用いて、ユーザ端末１０から送信される認証結果情報を処理する。

また、受信部１３１は、各種要求を受信する。例えば、受信部１３１は、継承端末５０からセッションの継承の要求を受け付ける。

（登録部１３２について）
登録部１３２は、認証器に関する情報を登録する。例えば、登録部１３２は、受信部１３１によって受信された情報に基づいて、登録を要求したユーザ端末１０が備える認証器を登録する。登録部１３２は、登録した情報を登録情報記憶部１２１に記憶する。

また、登録部１３２は、認証サーバ１００と認証器との間で対になる公開鍵と秘密鍵のうち、公開鍵を登録する。認証結果情報を検証する際には、検証部１３３は、登録部１３２によって登録された公開鍵を参照し、認証結果情報を検証する。

なお、登録部１３２は、継承端末５０に関する情報を登録してもよい。例えば、登録部１３２は、セッションを継承させた継承端末５０に関する情報を記憶部１２０内に保持する。

（検証部１３３について）
検証部１３３は、認証結果情報を検証する。具体的には、検証部１３３は、ユーザ端末１０から送信された認証結果情報を解析し、認証結果情報に基づいて認証されるべきユーザＵ０１を特定する。さらに、検証部１３３は、登録情報記憶部１２１を介して、認証結果情報の生成元である認証器に対応する秘密鍵を特定する。そして、検証部１３３は、認証結果情報に付された署名が、登録された認証器の秘密鍵によって作成された署名であるか否かを、秘密鍵に対応する公開鍵を用いて検証する。

そして、検証部１３３は、秘密鍵に対応する公開鍵による検証が確認された場合に、ユーザ端末１０から送信された認証結果情報を正規な認証情報として認める。そして、検証部１３３は、ユーザ端末１０との間にセッションを確立する。このように、認証サーバ１００とユーザ端末１０との間のセッションは、ユーザＵ０１を認証サーバ１００が認証することを経た、信頼性の高いセッションであるといえる。

なお、検証部１３３は、認証結果情報を生成した認証器が、所定の条件に合致しない場合、その認証結果情報で示されたユーザの本人性を認めないものとしてもよい。例えば、検証部１３３は、認証結果情報を生成した認証器が、登録部１３２が管理する登録情報記憶部１２１に記憶されていない場合や、送信された認証結果情報が認証サーバ１００の規定する特定の認証手順に則っていない場合などには、認証結果情報で示されたユーザの本人性を認証しないものとしてよい。

（実行部１３４について）
実行部１３４は、セッションの継承を実行する。例えば、実行部１３４は、継承端末５０から送信されたセッションの継承に関する情報に基づいて、ユーザ端末１０との間で確立したセッションの継承端末５０への継承を実行する。継承端末５０から送信されたセッションの継承に関する情報には、例えば、ユーザ端末１０がセッションの継承を継承端末５０に許可した旨を示す情報や、ユーザ端末１０がいずれの情報に基づいて継承端末５０にセッションの継承を許可したか等を示す情報を含む。

また、実行部１３４は、ユーザ端末１０との間で確立したセッションの継承端末５０への継承を実行した後に、所定時間が経過した場合、継承端末５０へ継承されたセッションを終了させるようにしてもよい。すなわち、実行部１３４は、認証サーバ１００への認証を行わずにセッションを利用する態様については、利用可能な時間（例えば、１０分間など）を定め、その範囲でサービスの利用等が行われるように適宜調整してもよい。

（送信部１３５について）
送信部１３５は、各種情報を送信する。例えば、送信部１３５は、サービスの利用に際してユーザ端末１０を利用するユーザの本人性の認証を行うことが求められた場合に、ユーザ端末１０に、認証を要求する旨の情報を送信する。また、送信部１３５は、認証結果情報を検証した検証部１３３によって、認証結果情報の送信元のユーザの本人性が認証された場合、認証済み情報をユーザ端末１０に送信する。また、送信部１３５は、実行部１３４によって継承が実行された場合には、かかる情報を継承端末５０に送信する。

〔６．処理手順〕
次に、図１２を用いて、実施形態に係る継承システム１による処理の手順について説明する。図１２は、実施形態に係る処理手順を示すシーケンス図である。

まず、ユーザ端末１０は、認証サーバ１００から認証を受けることにより、認証サーバ１００との間でセッションを確立する（ステップＳ１０１）。その後、継承端末５０は、認証サーバ１００に対してセッションの継承を要求する（ステップＳ１０２）。

認証サーバ１００は、セッションの継承にあたり、継承端末５０に対して継承に関する認証を要求する（ステップＳ１０３）。すなわち、認証サーバ１００は、継承端末５０が信頼に足る端末であることを保証する情報の提示を求める。

そこで、継承端末５０は、ユーザ端末１０に対して、セッションの継承の許可を要求する（ステップＳ１０４）。要求を受けたユーザ端末１０は、継承の判定処理を行うため、判定に要する情報を継承端末５０に要求する（ステップＳ１０５）。要求を受けた継承端末５０は、要求された情報であって、判定処理に要する情報をユーザ端末１０に送信する（ステップＳ１０６）。例えば、継承端末５０は、ユーザ端末１０から送信される近距離通信の接続の確立に要する情報等を送信する。

ユーザ端末１０は、継承端末５０から受け付けた情報に基づいて、継承端末５０へのセッションの継承を判定する（ステップＳ１０７）。そして、ユーザ端末１０は、継承端末５０へのセッションの継承を許可する場合、継承を許可した旨を継承端末５０へ送信する（ステップＳ１０８）。

継承端末５０は、継承がユーザ端末１０に許可された旨を認証サーバ１００に送信する（ステップＳ１０９）。そして、認証サーバ１００は、ユーザ端末１０との間で確立していたセッションについて、継承端末５０への継承を実行する。

〔７．変形例〕
上述した継承システム１による継承処理は、上記実施形態以外にも種々の異なる形態にて実施されてよい。そこで、以下では、継承システム１の他の実施形態について説明する。

〔７−１．継承の信頼性〕
ユーザ端末１０は、継承端末５０へのセッションの継承にあたって、継承端末５０の信頼性を判定することにより、セッションの継承の許可を行うようにしてもよい。この点について、図１３を用いて説明する。

図１３は、変形例に係る継承端末記憶部１５２の一例を示す図（１）である。図１３に示すように、変形例に係る継承端末記憶部１５２は、各判定要素に関して「信頼性」の項目を設ける。

「信頼性」は、継承端末５０を判定する各判定要素により判定された情報における判定の信頼性を示す。図１３の例では、信頼性は、１から５までの５段階の数値で示すものとし、数字が大きいほど信頼性が高いものとする。信頼性の項目は、例えば、判定要素の信頼性を示すリスト等を参照し、ユーザ端末１０により自動的に設定されてもよいし、認証サーバ１００の管理者により設定されてもよい。

例えば、「音波」や「ＮＦＣ通信」で相互に通信が確立することは、両者の端末で送受信の設定等を行うことを要するため、かかる通信が確立した場合、継承端末５０を判定した情報としての信頼性は高く判定される。一方で、「臨時パスコード」等は、例えば、第三者から盗み見られたりする可能性もあるため、継承端末５０を判定した情報としての信頼性はやや低く判定される。

そして、認証サーバ１００に係る実行部１３４は、継承端末５０から送信されたセッションの継承に関する情報の信頼性に基づいて、ユーザ端末１０との間で確立したセッションの継承端末５０への継承を実行するか否かを判定するようにしてもよい。すなわち、認証サーバ１００は、ユーザ端末１０が継承端末５０を判定するにあたり、信頼に足る情報で継承端末５０が特定されている場合に、セッションの継承を許可するようにしてもよい。

また、実行部１３４は、継承端末５０から送信されたセッションの継承に関する情報の信頼性に基づいて、継承端末５０に継承したセッションにおいて、継承端末５０が実行可能な行動に所定の制限を設けるようにしてもよい。例えば、認証サーバ１００は、継承端末５０がセッションを継承したとしても、継承時の信頼性に応じて、決済処理は継承端末５０からは行えない様にするなど、アクセスコントロールを設けたセッションとして継承端末５０とのセッションを確立することができる。このように、継承システム１によれば、認証サーバ１００とユーザ端末１０との間に確立するような安全性が継承端末５０との間でも成立するか否かを判定したうえで、セッションを継承することができる。これにより、セッションの継承に関する安全性が確保される。

〔７−２．継承端末〕
上記実施形態では、ユーザＵ０１は、ユーザ端末１０のセッションについて、自身が利用する継承端末５０への継承を要求する例を示した。しかし、セッションの継承は、同一ユーザが利用する端末に限られるものではない。この点について、図１４を用いて説明する。

図１４は、変形例に係る継承端末記憶部１５２の一例を示す図（２）である。図１４に示すように、変形例に係る継承端末記憶部１５２には、継承する装置に関する情報として、「家族端末６０」を利用する「ユーザＵ０２」や、「友人端末７０」を利用する「ユーザＵ０３」が登録されている。なお、家族端末６０は、ユーザＵ０１の家族であるユーザＵ０２に利用される情報処理端末であり、友人端末７０は、ユーザＵ０１の友人であるユーザＵ０３に利用される情報処理端末であるものとする。

すなわち、ユーザ端末１０に係る許可部は、継承端末として、ユーザＵ０１が利用する他の端末装置である継承端末５０に限られず、ユーザＵ０１の関係者（例えば、家族や友人）が利用する端末装置についてもセッションの継承を許可することができる。これにより、ユーザ端末１０と認証サーバ１００との間で確立されている安全性の高いセッションについて、ユーザＵ０１は、自身が信頼するユーザに継承させることができる。このように、継承システム１によれば、柔軟な継承を行うことができる。なお、ユーザ端末１０は、家族端末６０や友人端末７０を許可するにあたり、例えば、継承端末５０よりも厳しい判定基準を設けるなどの設定を行ってもよい。

〔７−３．継承処理の流れ〕
上記実施形態では、継承端末５０が認証サーバ１００にセッションの継承を要求する例を示した。しかし、継承システム１においては、継承端末５０の信頼性が確保される限り、ユーザ端末１０、認証サーバ１００がどのような順番で処理を行っても構わない。例えば、ユーザ端末１０ではなく、認証サーバ１００によって継承端末５０を許可する処理が行われてもよい。この点について、図１５を用いて説明する。

図１５は、変形例に係る継承処理の一例を示す図である。図１５では、継承処理の一例として、継承端末５０が認証サーバ１００に対してではなく、ユーザ端末１０にセッションの継承を要求する例を示している。

前提として、ユーザ端末１０は、認証サーバ１００との間でセッションを確立しているものとする（ステップＳ４１）。この状態において、継承端末５０は、ユーザ端末１０に対してセッションの継承を要求するものとする（ステップＳ４２）。この場合、ユーザ端末１０は、例えば、継承端末記憶部１５２を参照すること等により、継承端末５０を特定する（ステップＳ４３）。

そして、ユーザ端末１０は、認証サーバ１００に対して、セッションの継承の許可を要求する。すなわち、ユーザ端末１０は、自身と認証サーバ１００との間で確立しているセッションを継承端末５０に継承することを要求する（ステップＳ４４）。認証サーバ１００は、特定された継承端末５０の情報を取得し、継承端末５０検証する（ステップＳ４５）。そして、認証サーバ１００は、検証の結果に基づいて、セッション継承を許可する（ステップＳ４６）。

ユーザ端末１０は、認証サーバ１００によって継承が許可された旨を継承端末５０に送信する（ステップＳ４７）。これにより、認証サーバ１００と継承端末５０の間で、セッションが確立する（ステップＳ４８）。

このように、継承システム１においては、認証サーバ１００とユーザ端末１０との間で高い認証強度による認証が行われており、かかる認証が行われた認証サーバ１００又はユーザ端末１０が継承端末５０の信頼性を担保することにより、安全にセッションの継承を行うことができる。すなわち、継承端末５０は、認証サーバ１００又はユーザ端末１０のいずれにセッションの継承の要求を行っても、いずれかの装置により継承を許可する処理が行われ、継承端末５０の信頼性が担保されれば、セッションの継承を受けることができる。このように、継承システム１によれば、ユーザの求めに応じて、柔軟な継承処理を行うことができる。なお、上記の例の場合、実施形態に係る許可部１６５に対応する機能は、認証サーバ１００が有していてもよい。また、実施形態に係る実行部１３４に対応する機能は、ユーザ端末１０が有していてもよい。

〔７−４．サービスとの関係〕
上記実施形態では、継承端末５０がセッションの継承を受ける例を示した。継承端末５０を利用するユーザＵ０１は、セッションの継承を受けることにより、認証サーバ１００から認証を受けたものとして、種々のサービスを利用できる。ここで、各種サービスを提供するウェブサーバ２００と、継承端末５０との関係の一例について、図１６を用いて説明する。

図１６は、変形例に係る処理手順を示すシーケンス図である。図１６では、ウェブサーバ２００から提供されるサービスであって、認証サーバ１００から認証を受けなければアクセスが制限されるようなサービスについて、継承端末５０が利用する場合の一例を示している。

認証サーバ１００に認証を受けているユーザ端末１０は、ウェブサーバ２００にアクセスし、アクセス制限付きサービスを利用しているものとする（ステップＳ２０１）。ここで、継承端末５０は、ウェブサーバ２００に対して、ユーザ端末１０と同一のサービスを利用することを要求するものとする（ステップＳ２０２）。

ウェブサーバ２００は、継承端末５０が認証サーバ１００に認証されていない端末であるため、サービスを利用させることができない。この場合、ウェブサーバ２００は、認証サーバ１００に対して、サービスを利用するユーザの認証を要求する（ステップＳ２０３）。認証サーバ１００は、継承端末５０に対して、ユーザの本人認証を要求する（ステップＳ２０４）。

ここで、継承端末５０は、ユーザ端末１０にセッションの継承を要求する（ステップＳ２０５）。言い換えれば、継承端末５０は、ユーザ端末１０に認められている権限の委譲を要求する。ユーザ端末１０は、判定に要する情報を継承端末５０に要求する（ステップＳ２０６）。要求を受けた継承端末５０は、要求された情報であって、判定処理に要する情報をユーザ端末１０に送信する（ステップＳ２０７）。ユーザ端末１０は、継承端末５０から受け付けた情報に基づいて、継承端末５０へのセッションの継承を判定する（ステップＳ２０８）。そして、ユーザ端末１０は、継承端末５０へのセッションの継承を許可する場合、継承を許可した旨を認証サーバ１００へ送信する（ステップＳ２０９）。

認証サーバ１００は、継承端末５０がユーザ端末１０から許可を受けたことに基づいて、継承端末５０のユーザを認証する。そして、認証サーバ１００は、本人認証の結果をウェブサーバ２００へ通知する（ステップＳ２１０）。ウェブサーバ２００は、認証サーバ１００からの通知を受けて、継承端末５０に対して、サービスの利用を許可する（ステップＳ２１１）。

このように、継承システム１によれば、認証サーバ１００を介して、所定のサービスを提供するウェブサーバ２００の利用に関する権限の移譲を行うことができる。すなわち、継承システム１によれば、利便性のよい継承処理をユーザに対して行うことができる。

〔７−５．認証器の形態〕
上記実施形態では、各認証器は、認証制御部１６３が実現する認証処理の一機能として実現される例を示した。しかし、認証器は、ユーザ端末１０と接続される認証装置（ハードウェア）として実現されてもよい。

この場合、認証器は、ユーザ端末１０と通信する機能を有するとともに、ユーザ端末１０から入力される指紋等の情報を取得する機能を備える。そして、認証器は、入力データと登録データとが照合した場合に、ユーザ端末１０がユーザＵ０１に利用されていることを認証する。そして、認証器は、認証の結果に基づいて、認証結果情報を生成する。そして、認証器は、認証サーバ１００から認証済み情報を受信し、かかる情報をユーザ端末１０に送信する。この場合、ユーザ端末１０に係る認証制御部１６３及び生成部１６４は、ユーザ端末１０に接続された認証器の動作を制御する。これにより、ユーザ端末１０は、ウェブサーバから提供される各種サービスを利用することができる。

また、認証器は、認証制御部１６３や生成部１６４の機能が一体化されたプログラム（アプリ）として実現されてもよい。認証器がアプリである場合、当該アプリは、ユーザの操作に従ってユーザ端末１０にインストールされることにより実行される。

〔７−６．各装置の構成〕
上記実施形態では、ユーザ端末１０や、継承端末５０や、認証サーバ１００の構成例について図５、図８及び図１０を用いて説明した。しかし、継承システム１に含まれる各装置は、必ずしも例示した構成によって実現されなくともよい。例えば、ユーザ端末１０は、図５で例示した全ての処理部を備えることを要しない。すなわち、ユーザ端末１０は、表示部１３や検知部１４を必ずしも内部に備えていなくてもよい。また、ユーザ端末１０は、２以上の機器に分離されて図５に示す構成が実現されてもよい。例えば、ユーザ端末１０は、少なくとも検知部１４と認証制御部１６３と生成部１６４とを有する認証機器と、少なくとも通信部１１を有する通信機器とが分離された構成を有する、２台以上の機器により実現されてもよい。

〔７−７．継承システムの動作〕
継承システム１に含まれる各装置は、所定のアプリケーションを利用することで、各装置の通信状態等を検出し、継承処理で実行される各処理を行ってもよい。

すなわち、ユーザ端末１０や、継承端末５０等には、ユーザ端末１０を管理する管理者（例えば、ユーザＵ０１）によって、共通するアプリケーションがインストールされる。ユーザ端末１０は、かかるアプリケーションの機能を制御することにより、継承端末５０に対して、情報の送受信や、判定処理の制御等を行うことができる。このように、共通するアプリケーションが継承システム１に含まれる各装置にインストールされることにより、迅速かつ正確に継承処理を実現することができる。

〔８．ハードウェア構成〕
上述してきた実施形態に係るユーザ端末１０や、継承端末５０や、認証サーバ１００は、例えば図１７に示すような構成のコンピュータ１０００によって実現される。以下、ユーザ端末１０を例に挙げて説明する。図１７は、ユーザ端末１０の機能を実現するコンピュータ１０００の一例を示すハードウェア構成図である。コンピュータ１０００は、ＣＰＵ１１００、ＲＡＭ１２００、ＲＯＭ１３００、ＨＤＤ１４００、通信インターフェイス（Ｉ／Ｆ）１５００、入出力インターフェイス（Ｉ／Ｆ）１６００、及びメディアインターフェイス（Ｉ／Ｆ）１７００を有する。

ＣＰＵ１１００は、ＲＯＭ１３００又はＨＤＤ１４００に記憶されたプログラムに基づいて動作し、各部の制御を行う。ＲＯＭ１３００は、コンピュータ１０００の起動時にＣＰＵ１１００によって実行されるブートプログラムや、コンピュータ１０００のハードウェアに依存するプログラム等を記憶する。

ＨＤＤ１４００は、ＣＰＵ１１００によって実行されるプログラム、及び、かかるプログラムによって使用されるデータ等を記憶する。通信インターフェイス１５００は、通信網５００（図４に示したネットワークＮに対応）を介して他の機器からデータを受信してＣＰＵ１１００へ送り、ＣＰＵ１１００が生成したデータを、通信網５００を介して他の機器へ送信する。

ＣＰＵ１１００は、入出力インターフェイス１６００を介して、ディスプレイやプリンタ等の出力装置、及び、キーボードやマウス等の入力装置を制御する。ＣＰＵ１１００は、入出力インターフェイス１６００を介して、入力装置からデータを取得する。また、ＣＰＵ１１００は、入出力インターフェイス１６００を介して生成したデータを出力装置へ出力する。

メディアインターフェイス１７００は、記録媒体１８００に記憶されたプログラム又はデータを読み取り、ＲＡＭ１２００を介してＣＰＵ１１００に提供する。ＣＰＵ１１００は、かかるプログラムを、メディアインターフェイス１７００を介して記録媒体１８００からＲＡＭ１２００上にロードし、ロードしたプログラムを実行する。記録媒体１８００は、例えばＤＶＤ（Digital Versatile Disc）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto-Optical disk）等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等である。

例えば、コンピュータ１０００が実施形態に係るユーザ端末１０として機能する場合、コンピュータ１０００のＣＰＵ１１００は、ＲＡＭ１２００上にロードされたプログラムを実行することにより、制御部１６の機能を実現する。また、ＨＤＤ１４００には、記憶部１５内のデータが記憶される。コンピュータ１０００のＣＰＵ１１００は、これらのプログラムを記録媒体１８００から読み取って実行するが、他の例として、他の装置から通信網５００を介してこれらのプログラムを取得してもよい。

〔９．その他〕
また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。例えば、各図に示した各種情報は、図示した情報に限られない。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、図５に示した認証制御部１６３と、生成部１６４とは統合されてもよい。また、例えば、記憶部１５に記憶される情報は、ネットワークＮを介して、外部に備えられた記憶装置に記憶されてもよい。

また、上述してきた実施形態及び変形例は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

〔１０．効果〕
上述してきたように、実施形態に係る継承システム１は、第１の端末装置であるユーザ端末１０と、第２の端末装置である継承端末５０と、認証サーバ１００とを含む。そして、認証制御部１６３は、ユーザ端末１０側でユーザを認証した認証の結果に対して所定の鍵（例えば、秘密鍵Ｋ１０）を用いて署名を付し、当該署名が付された情報に基づいて、ユーザ端末１０と認証サーバ１００との間のセッションの確立を制御する。また、受信部１６１は、当該セッションの継承の要求を受信する。また、許可部１６５は、受信部１６１によって受信された要求に応答して、所定の条件に基づいて、セッションの継承を許可する。また、許可部１６５によって許可されたセッションの継承に関する情報を、当該セッションを継承する継承先である継承端末５０に送信する。

このように、継承システム１によれば、認証サーバ１００が規定する認証手順によって認証されるユーザ端末１０と、認証サーバ１００との間に確立するセッションを、所定の条件に基づいて、継承端末５０に継承させることができる。すなわち、継承システム１によれば、認証強度の高い手順で認証されたユーザ端末１０の許可を受けてセッションを継承することができるため、安全性に優れた継承処理を行うことができる。

また、許可部１６５は、所定の条件として、継承端末５０との間で、有線方式又は近距離無線通信方式を用いて通信が確立するか否かを判定し、通信が確立した場合に継承端末５０に対する継承を許可する。

このように、継承システム１では、継承端末５０を特定する通信として、有線方式又は近距離無線通信方式を用いる。このため、セッションが継承される端末は、ユーザ端末１０から物理的に近しい端末に限定されることとなり、また、ユーザ端末１０との通信の確立を判定することで、継承システム１では、よりセッションが継承される端末の信頼性を確実に判定することができる。すなわち、継承システム１によれば、安全性の確保された継承を行うことができる。

また、許可部１６５は、所定の条件として、継承端末５０を特定する情報として、少なくとも二種類以上の情報を判定し、少なくとも二種類以上の情報によって継承端末５０が特定された場合に、継承端末５０に対する継承を許可する。

このように、継承システム１では、ユーザ端末１０が継承端末５０を特定するため、言い換えれば、ユーザ端末１０と継承端末５０とが同一ユーザに利用されていることを認証サーバ１００が信頼するため、複数の判定要素を用いる。すなわち、継承システム１は、いわゆる多要素判定を行うことで、継承端末５０を特定する。これにより、継承システム１では、継承端末５０が信頼に足る端末であることを精度よく判定できるため、継承の安全性を確保することができる。

また、継承システム１は、送信部１６６によって送信されたセッションの継承に関する情報に基づいて、継承端末５０へのセッションの継承を実行する実行部１３４をさらに備える。実行部１３４は、セッションの継承に関する情報の信頼性に基づいて、継承端末５０へのセッションの継承を実行するか否かを判定する。

このように、継承システム１では、例えばユーザ端末１０にセッション継承の許可を受けた継承端末５０を介して、認証サーバ１００と確立している仮セッションにおいて、継承の許可等に関する情報（例えば、通信トークン）が認証サーバ１００に送信される。そして、認証サーバ１００は、かかる継承に関する情報に基づいて、セッションの継承を実行するか否かを判定できる。これにより、継承システム１では、よりセッション継承の安全性が確保される。

また、実行部１３４は、継承端末５０へのセッションの継承を実行した後に、所定時間が経過した場合、継承端末５０へ継承されたセッションを終了させてもよい。

このように、継承システム１では、継承先のセッションについて、制限時間を設けることができる。これにより、継承端末５０は、セッションの継承を受けたとしても、ある範囲で行動が制約されるため、セッションの継承に関する安全性が確保される。

また、実行部１３４は、セッションの継承に関する情報の信頼性に基づいて、継承端末５０に継承したセッションにおいて、継承先が実行可能な行動に所定の制限を設けてもよい。

このように、継承システム１では、継承先のセッションについて、所定のアクセスコントロールを設けることができる。これにより、継承端末５０は、セッションの継承を受けたとしても、ある範囲で行動が制約されるため、セッションの継承に関する安全性が確保される。

また、許可部１６５は、セッションの継承先として、ユーザが利用する他の端末装置、又は、当該ユーザの関係者が利用する端末装置に、セッションの継承を許可するようにしてもよい。

このように、継承システム１では、継承先となる端末のユーザを、ある程度の特定が可能な範囲（例えば、家族や友人など）に限定することができる。これにより、悪意のある第三者等にセッションが不正に利用される可能性を排除できるため、継承システム１では、継承処理の安全性が確保される。

以上、本願の実施形態のいくつかを図面に基づいて詳細に説明したが、これらは例示であり、発明の開示の欄に記載の態様を始めとして、当業者の知識に基づいて種々の変形、改良を施した他の形態で本発明を実施することが可能である。

また、上述してきた「部（section、module、unit）」は、「手段」や「回路」などに読み替えることができる。例えば、生成部は、生成手段や生成回路に読み替えることができる。

１ 継承システム
１０ ユーザ端末
２０ クライアント
５０ 継承端末
６０ 家族端末
７０ 友人端末
１００ 認証サーバ
２００ ウェブサーバ

Claims (10)

1. セッションの継承元となる第１の端末装置と、当該セッションの継承先となる第２の端末装置と、サーバ装置とを含む継承システムであって、
   前記第１の端末装置は、
   前記第１の端末装置側でユーザの本人性を認証する手段である認証器に対応する公開鍵及び秘密鍵を発行し、当該公開鍵を当該サーバ装置に登録するとともに、当該秘密鍵を当該第１の端末装置の所定の記憶部に登録する登録部と、
   前記認証器を用いて前記ユーザを認証した認証の結果に対して前記秘密鍵を用いて署名を付し、当該署名が付された情報に基づいて、前記第１の端末装置と前記サーバ装置との間のセッションの確立を制御する認証制御部と、を備え、
   前記第２の端末装置は、
   前記第１の端末装置と前記サーバ装置との間で確立したセッションの継承の要求を前記サーバ装置に送信する第２送信部と、
   前記サーバ装置と前記第２の端末装置との間で仮セッションを確立する継承制御部と、を備え、
   前記第１の端末装置は、さらに、
   前記仮セッションを確立させた前記第２の端末装置から送信される要求であって、前記セッションの継承の要求を受信する受信部と、
   前記受信部によって受信された要求に応答して、前記第１の端末装置と前記第２の端末装置との間に有線方式もしくは近距離無線通信方式を用いて通信が確立するか否かを判定し、通信が確立したと判定された場合に、当該第２の端末装置への前記セッションの継承を許可する許可部と、
   前記許可部によって前記セッションに関して前記第２の端末装置への継承が許可された旨を示す信号を、当該セッションを継承する前記第２の端末装置に送信する第１送信部と、を備え、
   前記第２送信部は、
   前記仮セッションにおいて、前記第１送信部から送信された前記セッションに関して前記第２の端末装置への継承が許可された旨を示す信号を前記サーバ装置に送信し、
   前記サーバ装置は、
   前記第２送信部によって送信された前記セッションに関して前記第２の端末装置への継承が許可された旨を示す信号に基づいて、前記第２の端末装置への当該セッションの継承を実行する実行部、
   を備えることを特徴とする継承システム。
2. 前記許可部は、
   前記第１の端末装置と前記第２の端末装置との間に有線方式又は近距離無線通信方式を用いて通信が確立するか否かを判定する場合に、音波の送受信、ＮＦＣ（Near field radio communication）規格に則った通信、赤外線による通信、もしくは、前記第１の端末装置と前記第２の端末装置との有線接続が確立したか否かを判定要素とし、少なくとも二種類以上の当該判定要素を用いて通信が確立すると判定された場合に、当該第２の端末装置に対する継承を許可する、
   ことを特徴とする請求項１に記載の継承システム。
3. 前記実行部は、
   前記セッションに関して前記第２の端末装置への継承を判定する際に用いられた判定要素に関する信頼性に基づいて、前記第２の端末装置へのセッションの継承を実行するか否かを判定する、
   ことを特徴とする請求項１又は２に記載の継承システム。
4. 前記実行部は、
   前記第２の端末装置へのセッションの継承を実行した後に、所定時間が経過した場合、当該第２の端末装置へ継承されたセッションを終了させる、
   ことを特徴とする請求項３に記載の継承システム。
5. 前記実行部は、
   前記セッションに関して前記第２の端末装置への継承を判定する際に用いられた判定要素に関する信頼性に基づいて、前記第２の端末装置に継承したセッションにおいて、前記第２の端末装置が実行可能な処理に所定の制限を設ける、
   ことを特徴とする請求項３又は４に記載の継承システム。
6. 前記許可部は、
   前記第２の端末装置として、前記ユーザが利用する他の端末装置、又は、当該ユーザの家族もしくは友人が利用する端末装置に、前記セッションの継承を許可する、
   ことを特徴とする請求項１〜５のいずれか一つに記載の継承システム。
7. セッションの継承元となる第１の端末装置と、当該セッションの継承先となる第２の端末装置と、サーバ装置とを含む継承システムにおいて、
   前記第１の端末装置側で発行される鍵であって、ユーザの本人性を認証する手段である認証器に対応する鍵である公開鍵及び秘密鍵のうち、当該第１の端末装置から送信される公開鍵を登録する登録部と、
   前記第１の端末装置側で前記認証器を用いてユーザを認証した認証の結果に対して、前記秘密鍵を用いて付された署名を、前記公開鍵を用いて検証する検証部と、
   前記検証部によって署名が検証された場合に、前記第１の端末装置との間のセッションを確立させる実行部と、
   前記実行部によって確立されたセッションに関して、第２の端末装置から、当該セッションの継承の要求を受信するとともに、当該第２の端末装置との間に仮セッションを確立する受信部と、
   を備え、
   前記実行部は、
   前記仮セッションが確立した後に、前記受信部によって、前記セッションに関して前記第１の端末装置から前記第２の端末装置への継承が許可された旨を示す信号を受信された場合に、当該第２の端末装置への当該セッションの継承を実行する、
   ことを特徴とするサーバ装置。
8. セッションの継承元となる第１の端末装置と、当該セッションの継承先となる第２の端末装置と、サーバ装置とを含む継承システムにおいて、
   前記第１の端末装置側でユーザの本人性を認証する手段である認証器に対応する公開鍵及び秘密鍵を発行し、当該公開鍵を当該サーバ装置に登録するとともに、当該秘密鍵を当該第１の端末装置の所定の記憶部に登録する登録部と、
   前記認証器を用いて前記ユーザを認証した認証の結果に対して前記秘密鍵を用いて署名を付し、当該署名が付された情報に基づいて、前記第１の端末装置と前記サーバ装置との間のセッションの確立を制御する認証制御部と、
   前記サーバ装置との間で仮セッションを確立させた前記第２の端末装置から送信される要求であって、前記セッションの継承の要求を受信する受信部と、
   前記受信部によって受信された要求に応答して、前記仮セッションにおける処理として前記第２の端末装置への前記セッションの継承を許可する許可部と、
   前記許可部によって許可されたセッションの継承に関する情報を、当該セッションを継承する前記第２の端末装置に送信する送信部と、
   を備えることを特徴とする第１の端末装置。
9. セッションの継承元となる第１の端末装置と、当該セッションの継承先となる第２の端末装置と、サーバ装置とを含む継承システムにおいて実行される継承方法であって、当該第１の端末装置によって実行される工程として、
   前記第１の端末装置側でユーザの本人性を認証する手段である認証器に対応する公開鍵及び秘密鍵を発行し、当該公開鍵を当該サーバ装置に登録するとともに、当該秘密鍵を当該第１の端末装置の所定の記憶部に登録する登録工程と、
   前記認証器を用いて前記ユーザを認証した認証の結果に対して前記秘密鍵を用いて署名を付し、当該署名が付された情報に基づいて、当該第１の端末装置と前記サーバ装置との間のセッションの確立を制御する認証制御工程と、を含み、
   前記第２の端末装置によって実行される工程として、
   前記第１の端末装置と前記サーバ装置との間で確立したセッションの継承の要求を前記サーバ装置に送信する第２送信工程と、
   前記サーバ装置と前記第２の端末装置との間で仮セッションを確立する継承制御工程と、を含み、
   さらに、前記第１の端末装置によって実行される工程として、
   前記仮セッションを確立させた前記第２の端末装置から送信される要求であって、前記セッションの継承の要求を受信する受信工程と、
   前記受信工程によって受信された要求に応答して、前記第１の端末装置と前記第２の端末装置との間に有線方式もしくは近距離無線通信方式を用いて通信が確立するか否かを判定し、通信が確立したと判定された場合に、当該第２の端末装置への前記セッションの継承を許可する許可工程と、
   前記許可工程によって前記セッションに関して前記第２の端末装置への継承が許可された旨を示す信号を、当該セッションを継承する前記第２の端末装置に送信する第１送信工程と、を含み、
   前記第２送信工程は、
   前記仮セッションにおいて、前記第１送信工程から送信された前記セッションに関して前記第２の端末装置への継承が許可された旨を示す信号を前記サーバ装置に送信し、
   さらに、前記サーバ装置によって実行される工程として、
   前記第２送信工程によって送信された前記セッションに関して前記第２の端末装置への継承が許可された旨を示す信号に基づいて、前記第２の端末装置への当該セッションの継承を実行する実行工程、
   を含んだことを特徴とする継承方法。
10. セッションの継承元となる第１の端末装置と、当該セッションの継承先となる第２の端末装置と、サーバ装置とを含む継承システムにおいて、
    前記第１の端末装置側でユーザの本人性を認証する手段である認証器に対応する公開鍵及び秘密鍵を発行し、当該公開鍵を当該サーバ装置に登録するとともに、当該秘密鍵を当該第１の端末装置の所定の記憶部に登録する登録手順と、
    前記認証器を用いて前記ユーザを認証した認証の結果に対して前記秘密鍵を用いて署名を付し、当該署名が付された情報に基づいて、前記第１の端末装置と前記サーバ装置との間のセッションの確立を制御する認証制御手順と、
    を第１の端末装置に実行させ、
    前記第１の端末装置と前記サーバ装置との間で確立したセッションの継承の要求を前記サーバ装置に送信する第２送信手順と、
    前記サーバ装置と前記第２の端末装置との間で仮セッションを確立する継承制御手順と、
    を第２の端末装置に実行させ、さらに、
    前記仮セッションを確立させた前記第２の端末装置から送信される要求であって、前記セッションの継承の要求を受信する受信手順と、
    前記受信手順によって受信された要求に応答して、前記第１の端末装置と前記第２の端末装置との間に有線方式もしくは近距離無線通信方式を用いて通信が確立するか否かを判定し、通信が確立したと判定された場合に、当該第２の端末装置への前記セッションの継承を許可する許可手順と、
    前記許可手順によって前記セッションに関して前記第２の端末装置への継承が許可された旨を示す信号を、当該セッションを継承する前記第２の端末装置に送信する第１送信手順と、
    を第１の端末装置に実行させ、
    前記第２送信手順は、
    前記仮セッションにおいて、前記第１送信手順から送信された前記セッションに関して前記第２の端末装置への継承が許可された旨を示す信号を前記サーバ装置に送信し、
    さらに、前記第２送信手順によって送信された前記セッションに関して前記第２の端末装置への継承が許可された旨を示す信号に基づいて、前記第２の端末装置への当該セッションの継承を実行する実行手順、を前記サーバ装置に実行させる、
    ことを特徴とする継承プログラム。

Images