JP7385507B2 - 二要素認証システム、二要素認証方法、二要素認証プログラム及び認証操作用アプリケーション - Google Patents

Description

本発明は、インターネット等の通信ネットワーク上において、各種クラウドサービスやＶＰＮ等の通信サービスを提供する認証対象サービス提供手段 のログイン処理などに対する二要素認証サービスを提供するための二要素認証システム、二要素認証方法、二要素認証プログラム及び認証操作用アプリケーションに関するものである。

従来、各種クラウドサービスやＶＰＮサービスへのログイン処理などでは、ＩＤやパスワードなどによりユーザーのアクセス権を認証する認証システムが用いられている。このような通信回線を介した各種クラウドサービス等を利用する場合、各利用者は、通信端末装置から通信回線を介して上記クラウドサーバー等の特定の情報登録先に接続し、所定の認証用情報を送信する。サービス提供者は、クラウドサーバー側に登録されている認証情報に基づいて、アクセスしてきた者を登録された利用者本人であると認証する。

ところで、このような認証処理では、実際に認証情報を送信してきたアクセス者が登録された利用者本人であるかどうかを確認することが重要となってくることから、従前では、スマートフォンや携帯電話など、サービスへのログインを行う情報端末とは別の情報端末をセキュリティートークンとして利用する二要素認証によって、セキュリティー向上させる技術が知られている（例えば、特許文献１参照。）。

この特許文献１に開示された技術では、本人確認又は意思確認に、電話網（同等技術を含む）を利用する。具体的には、ユーザーが所有する情報携帯端末に、サーバー側で生成された文字列と固有ＩＤとを含む情報を送信し、情報携帯端末においてユーザーにより読み上げられた文字列の音声を固有ＩＤへの通信を通じてサーバーに送信し、サーバー側において情報携帯端末から受信した文字列の音声を用いてユーザーの認証を行う。これにより、情報携帯端末で入力された、ユーザーの音声、顔、指紋等の身体的特徴や行動的特徴についての情報を用いて認証を行うことにより、第三者のなりすまし等を防止しつつ本人確認を行うことができる。

特開２０１５－９９４７０号公報 特許６１０４４３９号公報

しかしながら、従前の二要素認証では、上述した特許文献１に開示された技術のように携帯電話を用いて音声によって文字列を入力するなど、２つの端末を使って２段階で認証を行うため、そのそれぞれの段階でパスワードや生体認証情報等の入力が必要であり、この２つの段階でそれぞれの端末に行う操作はユーザーの負担となっていた。これについて、ユーザーの操作を軽減するために、２つの端末間でワンタイムパスワード等の暗号を共有するなどの仕組みも提案されているが（例えば、特許文献２参照）、２つの端末間で情報を共有するためのセキュアなシステム構築や処理が複雑になるとともに、システムを導入及び運用する際のコストや、ユーザーの操作の複雑化が懸念される。

そこで、本発明は以上の問題点に鑑みなされたものであり、システムの構成や動作が複雑になりすぎるのを回避するとともにユーザーへの負担を軽減し、システムの導入・運用を容易なものにしつつ、二要素認証によってセキュリティーを向上させることのできる二要素認証システム、二要素認証方法、二要素認証プログラム及び認証操作用アプリケーションを提供することを目的とする。

（二要素認証システム）
上記課題を解決するために、本発明は、通信ネットワーク上に配置されて、信頼された認証サーバーの認証結果によってログイン処理を実行する認証対象サービス提供手段と、ユーザーが使用し、当該ユーザーによる操作を受け付けるクライアント端末と、クライアント端末 を通じてユーザーのアクセス権限に対する認証を第２の認証処理として実行する認証サーバーとを含む認証システムであって、
（１）クライアント端末からの第２の認証処理を要求する先行認証要求、のいずれかを認証要求として取得する認証要求取得部と、
（２）認証サーバーにおいて、認証要求の取得に応じて任意の認証コードを生成する認証コード生成部と、
（３）生成された認証コードと、認証対象サービスにおいてユーザーに固有のユーザー特定情報とを、関連付けて保存する認証用情報保存部と、
（４）作成された認証コードを認証サーバーからクライアント端末へ送信する認証情報送信部と、
（５）クライアント端末において、ユーザーによる認証操作に基づいて電子署名が付与された認証コードを認証操作情報として認証サーバーに対して送信する認証操作部と、
（６）クライアント端末から認証操作情報を取得した時刻からの経過時間を計測する計時部と、
（７）クライアント端末から取得された認証操作情報に含まれる電子署名が付与された認証コードと、認証用情報保存部に保存された認証コードとに基づいて、第２の認証処理を行う認証実行部と、
（８）計時部によって計測された経過時間に基づいて、認証実行部による第２の認証処理が成功した旨を認証要求に関する認証回答として認証対象サービス提供手段に送出する認証回答部と
を備える。

上記発明において、認証要求取得部は、クライアント端末からの認証操作情報より先行して認証対象サービス提供手段から認証要求を取得した場合、当該認証要求を認証要求として取得し、認証回答部は、クライアント端末 から認証操作情報を取得した時刻からの経過時間が所定時間内である場合に、第２の認証処理が成功した旨の認証回答を認証対象サービス提供手段に送出することが好ましい。

上記発明において、認証実行部は第２の認証処理の結果を一時的に保持する機能をさらに備え、認証要求取得部は、認証対象サービス提供手段からの認証要求より先行してクライアント端末からの認証操作情報を取得した場合、当該認証操作情報を認証要求として取得し、認証回答部は、認証要求よりも先行してクライアント端末からの認証操作情報の取得後に認証対象サービス提供手段から認証要求を取得した場合であって、認証操作情報を取得した時刻からの経過時間が所定時間内であるときに、一時的に保持された第２の認証処理の結果を認証回答として認証対象サービス提供手段に送出することが好ましい。

上記発明において、計時部によって計測された経過時間が所定時間以上である場合に、認証回答部は、第２の認証処理が失敗した旨の通知を含むエラー処理を実行することが好ましい。上記発明において、認証操作部は、クライアント端末上で実行される認証操作用アプリケーションであり、認証操作用アプリケーションは、文字列の入力、生体認証などを含むユーザーを特定するための認証情報を実行する機能を有することが好ましい。

（二要素認証方法）
本発明は、通信ネットワーク上に配置されて、信頼された認証サーバーの認証結果によってログイン処理を実行する認証対象サービス提供手段と、ユーザーが使用し、当該ユーザーによる操作を受け付けるクライアント端末と、クライアント端末を通じてユーザーのアクセス権限に対する認証を第２の認証処理として実行する認証サーバーとを含む認証システムを用いた二要素認証方法であって、
（１）クライアント端末からの第２の認証処理を要求する先行認証要求を認証要求取得部が認証要求として取得するとともに、認証要求の取得に応じて任意の認証コードを認証コード生成部が生成する認証コード生成ステップと、
（２）生成された認証コードと、認証対象サービスにおいてユーザーに固有のユーザー特定情報とを関連付けて認証用情報保存部が保存するとともに、作成された認証コードを認証情報送信部が認証サーバーからクライアント端末へ送信する認証情報送信ステップと、
（３）クライアント端末において、ユーザーによる認証操作に基づいて電子署名が付与された認証コードを認証操作情報として認証操作部が認証サーバーに対して送信する認証操作ステップと、
（４）クライアント端末から取得された認証操作情報に含まれる電子署名が付与された認証コードを検証した認証コードと、認証用情報保存部に保存された認証コードとに基づいて、認証実行部が第２の認証処理を行う認証実行ステップと、
（５）認証要求を取得した時刻からの経過時間、且つクライアント端末から認証操作情報を取得した時刻からの経過時間に基づいて、認証実行部による第２の認証処理が成功した旨を認証要求に関する認証回答として認証回答部が認証対象サービス提供手段に送出する認証回答ステップとを備える。

上記発明において、認証コード生成ステップにおいて認証要求取得部が、クライアント端末からの認証操作情報より先行して認証対象サービス提供手段から認証要求を取得した場合、当該認証要求を認証要求として取得し、認証回答ステップにおいて認証回答部は、認証要求を取得した時刻からの経過時間が所定時間内である場合に、第２の認証処理が成功した旨の認証回答を認証対象サービス提供手段に送出することが好ましい。

上記発明において、認証コード生成ステップにおいて認証要求取得部が、認証対象サービス提供手段からの認証要求より先行してクライアント端末からの認証操作情報を取得した場合、当該認証操作情報を認証要求として取得し、認証実行ステップにおいて認証実行部は、第２の認証処理の結果を一時的に保持し、認証回答ステップにおいて認証回答部は、認証要求よりも先行してクライアント端末からの認証操作情報の取得後に認証対象サービス提供手段から認証要求を取得した場合であって、認証操作情報を取得した時刻からの経過時間が所定時間内であるときに、一時的に保持された第２の認証処理の結果を認証回答として認証対象サービス提供手段に送出することが好ましい。

上記発明において、計時部によって計測された経過時間が所定時間以上である場合に、認証回答部は、第２の認証処理が失敗した旨の通知を含むエラー処理を実行することが好ましい。また、上記発明において、認証操作部は、クライアント端末上で実行される認証操作用アプリケーションであり、認証操作用アプリケーションは、文字列の入力又は生体認証のいずれかを含むユーザーを特定するための認証情報を実行する機能を有することが好ましい。

（二要素認証プログラム）
また、上述した本発明に係る認証サーバー、及び携帯端末は、所定の言語で記述されたプログラムをコンピューター上で実行することにより実現することができる。

すなわち、上記発明において、請求項１に記載の二要素認証システムにおいて、認証サーバーを、
（１）クライアント端末 からの第２の認証処理を要求する先行認証要求を認証要求として取得する認証要求取得部と、
（２）認証サーバーにおいて、認証要求の取得に応じて任意の認証コードを生成する認証コード生成部と、
（３）生成された認証コードと、認証対象サービスにおいてユーザーに固有のユーザー特定情報とを、関連付けて保存する認証用情報保存部と、
（４）作成された認証コードを認証サーバーからクライアント端末へ送信する認証情報送信部と、
（５）認証要求を取得した時刻からの経過時間、且つクライアント端末から認証操作情報を取得した時刻からの経過時間を計測する計時部と、
（６）クライアント端末から取得された認証操作情報に含まれる電子署名が付与された認証コードと、認証用情報保存部に保存された認証コードとに基づいて、第２の認証処理を行う認証実行部と、
（７）計時部によって計測された経過時間に基づいて、認証実行部による第２の認証処理が成功した旨を認証要求に関する認証回答として認証対象サービス提供手段に送出する認証回答部
として機能させることを特徴とする二要素認証プログラム。

上記発明において、認証要求取得部は、クライアント端末からの認証操作情報より先行して認証対象サービス提供手段から認証要求を取得した場合、当該認証要求を認証要求として取得し、認証回答部は、認証要求を取得した時刻からの経過時間が所定時間内である場合に、第２の認証処理が成功した旨の認証回答を認証対象サービス提供手段に送出することが好ましい。

上記発明において、認証実行部は第２の認証処理の結果を一時的に保持する機能をさらに備え、認証要求取得部は、認証対象サービス提供手段からの認証要求より先行してクライアント端末からの認証操作情報を取得した場合、当該認証操作情報を認証要求として取得し、認証回答部は、認証要求よりも先行してクライアント端末からの認証操作情報の取得後に認証対象サービス提供手段から認証要求を取得した場合であって、認証操作情報を取得した時刻からの経過時間が所定時間内であるときに、一時的に保持された第２の認証処理の結果を認証回答として認証対象サービス提供手段に送出することが好ましい。また、上記発明において、計時部によって計測された経過時間が所定時間以上である場合に、認証回答部は、第２の認証処理が失敗した旨の通知を含むエラー処理を実行することが好ましい。

上記発明において、クライアント端末上で実行される認証操作用アプリケーションであって、クライアント端末を、クライアント端末において、ユーザーによる認証操作に基づいて電子署名が付与された認証コードを認証操作情報として認証サーバーに対して送信する認証操作部として機能させることを特徴とする認証操作用アプリケーション。なお、上記発明において、認証操作部は、文字列の入力又は生体認証のいずれかを含むユーザーを特定するための認証情報の入力を受け付ける機能を有することが好ましい。

このようなプログラムを、ユーザー端末やＷｅｂサーバー等のコンピューターやＩＣチップにインストールし、ＣＰＵ上で実行することにより、上述した各機能を有するシステム、方法、サーバー、及び装置を容易に構築することができる。このプログラムは、例えば、通信回線を通じて配布することが可能であり、また、汎用コンピューターで読み取り可能な記録媒体に記録することにより、スタンドアローンの計算機上で動作するパッケージアプリケーションとして譲渡することができる。記録媒体として、具体的には、フレキシブルディスクやカセットテープ等の磁気記録媒体、若しくはＣＤ－ＲＯＭやＤＶＤ－ＲＯＭ等の光ディスクの他、ＲＡＭカードなど、種々の記録媒体に記録することができる。そして、このプログラムを記録したコンピューター読み取り可能な記録媒体によれば、汎用のコンピューターや専用コンピューターを用いて、上述したシステム、方法、サーバー、及び装置を簡便に実施することが可能となるとともに、プログラムの保存、運搬及びインストールを容易に行うことができる。

以上述べたように、この発明によれば、システムの構成や動作が複雑になりすぎるのを回避するとともにユーザーへの負担を軽減し、システムの導入・運用を容易なものにしつつ、二要素認証によってセキュリティーを向上させることができる。詳述すると本発明によれば、ログイン端末と認証対象サービス提供手段に信頼された認証サーバー 側で第１の認証処理を実行するとともに、クライアント端末と認証サーバー側で第２の認証処理を実行することから、認証対象サービスへのログイン時におけるセキュリティーを高めることができる。

このとき、第１及び第２の認証処理を所定の時間内に行うことを条件としたうえで、ログイン端末側又はクライアント端末側のいずれからも認証操作を開始することができるため、ユーザーの使用環境に柔軟に対応させることができる。さらに、本実施形態によれば、認証対象サービス提供手段側と認証サーバー側とのやりとりは認証要求とそれに関する認証回答のみであり、さらにログイン端末に対する認証サーバー（又はクライアント端末）との連携処理を必要としないため、対象サービス側の既存の処理や仕組みを大きく変更することなく認証サービスによる二要素認証サービスを受けることができる。

実施形態に係るシステムの全体構成を示す概念図である。 実施形態に係るクライアント端末の内部構成を示すブロック図である。 実施形態に係るログイン端末の内部構成を示すブロック図である。 第１実施形態に係る認証サーバー及びクラウドサービスサーバーの内部構成を示すブロック図である。 実施形態に係る認証処理（ログイン端末主導）のアルゴリズム概要を説明するシーケンス図である。 実施形態に係る認証処理（クライアント端末主導）のアルゴリズム概要を説明するシーケンス図である。

（二要素認証システムの概要）
以下に添付図面を参照して、本発明に係る二要素認証システムの実施形態を詳細に説明する。図１は本実施形態に係る二要素認証システムの全体構成を示す概念図である。

図１に示すように、本実施形態に係る二要素認証システムは、通信ネットワーク５上に配置されるクラウドサービスサーバー３及び認証サーバー２と、これらのサーバーに通信ネットワーク５を通じて接続可能な、ユーザーＵが使用するクライアント端末１及びログイン端末４との間で当該ユーザーＵの認証を行うシステムである。具体的に、本二要素認証システムでは、ログイン端末４を用いてクラウドサービスサーバー３にアクセスして各種のクラウドサービスを受ける際に、ログイン端末における第１の認証処理と合わせて、スマートフォン等のクライアント端末１における第２の認証処理を実行する。

通信ネットワーク５は、電話回線やＩＳＤＮ回線、ＡＤＳＬ回線、光回線などの公衆回線、専用回線、３Ｇ回線、ＬＴＥ、５Ｇ回線、Ｗｉｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）などの無線通信回線などの種々の通信回線を相互に接続して構築される通信網であり、インターネットなどの通信プロトコルＴＣＰ／ＩＰを用いたＩＰ網が含まれ、このＩＰ網にはイントラネット（企業内ネットワーク）や家庭内ネットワークなどのＬＡＮなども含まれる。

認証サーバー２は、通信ネットワーク５上に配置され、ユーザーが使用するクライアント端末１との間で、第２の認証処理によって当該ユーザーＵの認証を行うサーバー装置である。

クラウドサービスサーバー３は、ユーザーに対して各種クラウドサービスを提供するサーバー装置であり、例えば、グループウェアの運用サービスなど提供している。本実施形態においてクラウドサービスサーバー３は、信頼された認証サーバーの認証結果によってログイン処理を実行する認証対象サービス提供手段であり、例えば、認証対象となるサービスに対するアクセス者のアクセス権限に対する認証を第１の認証処理として実行し、これによりログイン処理を実行する。具体的にクラウドサービスサーバー３には、ユーザーデータベースが接続されており、ユーザーデータベース内には、ユーザー登録している各ユーザーに関する詳細な情報として氏名、住所、電話番号、メールアドレス、年齢、勤務先、商品の送付先（住所と異なる場合）、決済情報（クレジットカード番号、引落し口座番号等）の他、サービスの提供を受けるためのログイン認証情報が登録されている。

なお、各種のサーバーは、単一のサーバー装置の他、Ｗｅｂサーバーやデータベースサーバーなど複数種のサーバー群から構成されることも可能であり、また、装置や機器等のハードウェアのみならず、その機能を持ったソフトウェア、又はこれらの組み合わせなどによっても構成することができる。また、データベースも単一のデータベース装置の他、リレーションシップ機能により連携される複数のデータベース群で構成することもできる。

クライアント端末１は、ユーザーが使用し、通信ネットワーク５上に配置される認証サーバー２との間で、当該ユーザーの第２の認証処理を行う機能を有する携帯端末であって、具体的には、ＣＰＵを備えた演算処理装置であり、無線通信機能を有した携帯可能なモバイルコンピューターや携帯電話機、スマートフォン、タブレットＰＣ等である。このクライアント端末１は、基地局等の中継点と無線で通信し、通話やデータ通信等の通信サービスを移動しつつ受けることができる。また、このクライアント端末１は、デジタルカメラ機能、アプリケーションソフトの実行機能、或いはＧＰＳ機能等の機能が搭載されている。

このクライアント端末１は、二要素認証アプリケーションがインストールされており、この二要素認証アプリケーションを実行させることで認証操作できるようになっている。なお、この二要素認証アプリケーションは、認証サーバー２などインターネット側からダウンロードしたり、他の媒体を通じてインストールしたりすることで、クライアント端末１に実装することができる。

（各装置の内部構造）
次いで、上述した二要素認証システムを構成する各装置の内部構造について説明する。図２は本実施形態に係るクライアント端末１の内部構成を示すブロック図であり、図３は本実施形態に係るログイン端末の内部構成を示すブロック図である。また、図４は本実施形態に係る認証サーバー２及びクラウドサービスサーバー３の内部構成を示すブロック図である。なお、説明中で用いられる「モジュール」とは、装置や機器等のハードウェア、或いはその機能を持ったソフトウェア、又はこれらの組み合わせなどによって構成され、所定の動作を達成するための機能単位を示す。

（１）クライアント端末１
先ず、クライアント端末１の内部構成について説明する。図２に示すように、クライアント端末１は、ユーザーＵが携帯して使用し、当該ユーザーＵによる操作を受け付ける動端末であり、無線インターフェース１１、メモリ１５と、アプリケーション実行部１４と、出力インターフェース１３と、入力インターフェース１２とを備えている。無線インターフェース１１は、通話を行うための移動通信用のプロトコルによる無線通信と、例えば無線ＬＡＮ等のデータ通信用のプロトコルによる無線通信とを実行する機能を備えている。また、この無線インターフェース１１は、無線ＬＡＮ接続を行うためにIEEE 802.11bに準拠した送受信装置とすることができ、スマートフォンやモバイルコンピューターであるときには無線ＬＡＮアダプタ等により実現することもできる。

入力インターフェース１２は、操作ボタンやタッチパネルなどユーザー操作を入力するデバイスであり、ここではカメラ１２ａやマイク等の入力デバイスが接続されている。また、出力インターフェース１３は、ディスプレイやスピーカーなど、映像や音響を出力するデバイスである。特に、この出力インターフェース１３には、液晶ディスプレイなどの表示部１３ａが含まれている。

メモリ１５は、ＯＳ（Operating System）や各種のアプリケーション用のプログラム（ワンタイムパスワード生成ソフトウェア等）、その他のデータ等などを記憶する記憶装置であり、このメモリ１５には、デバイス情報などのクライアント端末１に固有の端末固有識別子、第２の認証処理において生成されたランダム文字列等の認証コードなどが生成されたファイル内にシリアライズして保存される。なお、ここでの端末固有識別子は、ユーザーに固有のユーザー特定情報の１つであり、シリアルナンバーやＭＡＣアドレスその他のユーザー端末の製造時に付与された１つのユーザー端末に固有且つ単一の端末識別子である。なお、端末固有識別子に代わるユーザー特定情報としては、ユーザーごとに付与されるユーザー固有のユーザー識別子や、アプリケーションに固有のＩＤ、サービスに固有のＩＤ、又はこれらを組み合わせて定められるユニークな値など、１つの端末に複数付与される識別子を用いることもできる。そして、これらのユーザー特定情報は、ユーザーが操作して入力するものでもよく、自動的に入力又は送信されるものであってもよい。

アプリケーション実行部１４は、一般のＯＳやブラウザソフトなどのアプリケーションを実行するモジュールであり、通常はＣＰＵ等により実現される。このアプリケーション実行部１４において、本発明の認証操作用アプリケーション１４０が実行されることで、操作要求取得部１４１と、電子署名処理部１４２と、認証操作情報生成部１４４と、第２認証要求送信部１４３と、認証操作部１４５とが仮想的に構築される。

操作要求取得部１４１は、認証サーバー２から送信される操作要求を、無線インターフェース１１を通じて受信して取得するモジュールである。この操作要求は、認証サーバー２で生成された認証コードであるランダム文字列が含まれており、操作要求取得部１４１は受信された操作要求からこのランダム文字列を抽出して、電子署名処理部１４２に入力する。なお、操作要求には認証の対象となっているサービスやアプリケーション、サーバー装置などを特定した識別子が含まれており、識別子によって複数の認証対象サービスを区別することによりそれぞれの対象サービスに対して二要素認証を行えるようになっている。

電子署名処理部１４２は、認証操作部１４５における認証操作を受けて、操作要求取得部１４１が抽出したランダム文字列に電子署名を付与して認証操作情報生成部１４４に入力するモジュールである。認証サーバー２側では秘密鍵を保持しており、電子署名処理部１４２ではこの秘密鍵を用いて電子署名が付与される。この電子署名処理部１４２によって電子署名が付与されたランダム文字列は認証操作情報生成部１４４へ受け渡される。

認証操作情報生成部１４４は、電子署名処理部１４２が電子署名を施したランダム文字列と、当該クライアント端末１又はユーザーＵを特定するための端末固有識別子やユーザー特定情報とを含む認証操作情報を生成し、無線インターフェース１１を通じて認証サーバー２へ送信するモジュールである。なお、認証操作情報には端末に固有の端末固有識別子やユーザー固有のユーザー識別子の他、アプリケーションに固有のＩＤ、サービスに固有のＩＤ、又はこれらを組み合わせて定められるユニークな値など、１つの端末に複数付与される識別子を含めることができる。

第２認証要求送信部１４３は、クライアント端末１における認証操作を、ログイン端末４におけるログイン操作よりも先行させて行う場合に、クライアント端末１側を主導として第２の認証処理を実行させるために先行第２認証要求を認証サーバー２に対して送信するモジュールである。具体的にこの先行第２認証要求送信部１４３は、例えば認証操作用アプリケーション１４０においてユーザーによる、第２の認証操作の開始を意図する明示の操作に応じて、認証コードであるランダム文字列の生成を要求する先行第２認証要求を認証サーバー２に対して送信する。この先行第２認証要求には、クライアント端末若しくはユーザーを特定する端末に固有の端末固有識別子やユーザー固有のユーザー識別子の他、アプリケーションに固有のＩＤ、サービスに固有のＩＤ、又はこれらを組み合わせて定められるユニークな値など、１つの端末に複数付与される識別子などが含まれる。この先行第２認証要求を受信した認証サーバー２側では、ランダム文字列を生成し、生成されたこのランダム文字列を含む認証操作要求を、認証サーバー２から当該クライアント端末１側へ送信する。この認証操作要求を操作要求取得部１４１で取得することで、ログイン端末４側を主導とした場合と同様の手順によって、第２の認証処理を実行することができる。

認証操作部１４５は、クライアント端末１においてユーザーＵによる認証操作を、入力インターフェース１２等を通じて受け付けるモジュールであり、認証操作に基づいて電子署名処理部１４２による電子署名を実行させる。この電子署名処理部１４２で電子署名が付与された認証コードであるランダム文字列は、認証操作情報生成部１４４で認証操作情報に含められ、無線インターフェース１１を通じて認証サーバーに対して送信される。なお、本実施形態において認証操作部１４５は、クライアント端末１上で実行される認証操作用アプリケーションであり、認証操作用アプリケーション１４０は文字列の入力又は生体認証などのユーザーＵを特定するための認証情報を実行する機能を有する。

（２）ログイン端末
次いで、ログイン端末の内部構成について説明する。図３は、ログイン端末４の内部構成を示すブロック図である。ログイン端末４は、通信ネットワーク５上に配置されて、ユーザーＵが使用し、クラウドサービスサーバー３に対してアクセスし、認証対象となるクラウドサービスなど、各種サービスの提供を受ける情報処理端末である。クラウドサービスサーバー３が提供する各種クラウドサービスの提供を受けるためにユーザーＵは、このログイン端末４を通じて、クラウドサービスサーバー３にアクセスし、そのサービスに対するアクセス権限に対する第１の認証処理を実行する。

このログイン端末４は汎用的なコンピューターによって実現することができ、ブラウザ等のアプリケーションを実行してクラウドサービスサーバー３にアクセスが可能となっている。具体的には、図３に示すように、ログイン端末４は、制御部４４と、メモリ４５と、通信インターフェース４１と、入力インターフェース４２と、出力インターフェース４３とを備えている。

通信インターフェース４１は、データをパケットとして送受信するモジュールであり、入力インターフェース４２は、キーボードやテンキーなどユーザー操作を入力するデバイスである。また、出力インターフェース４３は、ディスプレイやスピーカーなど映像や音響を出力するデバイスである。特に、この出力インターフェース４３には、液晶ディスプレイなどの表示部４３ａが含まれる。メモリ４５は、ＯＳ（Operating System）や会計処理プログラム、その他のデータ等などを記憶する記憶装置である。

制御部４４は、ＣＰＵやＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）等のプロセッサ、メモリ、及びその他の電子回路等のハードウェア、或いはその機能を持ったプログラム等のソフトウェア、又はこれらの組み合わせなどによって構成された演算モジュールであり、各部の動作制御、ユーザー操作に対する種々の処理を行っている。この制御部４４は、アプリケーション実行手段としての機能を果たし、この制御部４４でブラウザソフトを実行することによりブラウザ部４４１が構築され、このブラウザ部４４１によってクラウドサービスサーバー３にアクセスすることにより、ブラウザ部４４１がログイン操作部４４２及び認証情報入力部４４３が仮想的に構築される。ログイン操作部４４２は、認証サーバーが配信するのログイン画面等であり、第１の認証処理を実行するモジュールである。このログイン操作部４４２としてのログイン画面には、第１の認証処理におけるユーザーＩＤやパスワードが入力される認証情報入力部４４３が設けられている。

（３）認証サーバー２の内部構成
認証サーバー２は、認証対象サービス提供手段からの要求を受けて、クライアント端末１を通じてユーザーＵのアクセス権限に対する認証を第２の認証処理として実行するサーバー装置であり、本実施形態では、図４に示すように、第２認証用情報データベース２ａと、ユーザーデータベース２ｂとが接続されている。第２認証用情報データベース２ａは、第２の認証処理に関する情報を蓄積するデータベースであり、本実施形態では、ユーザー特定情報にパスワードなどが関連付けられて蓄積されている。

なお、認証サーバー２のユーザーデータベース２ｂに蓄積されるユーザー特定情報としては、シリアルナンバーやＭＡＣアドレスその他のユーザー端末の製造時に付与された１つのユーザー端末に固有且つ単一のデバイスＩＤの他、ユーザーごとに付与されるユーザー固有のユーザーＩＤや、アプリケーションに固有のＡＰＰＩＤ、クラウドサービスサーバー３側で用いられる第１の認証処理に対するアクセス権限に固有のアクセスＩＤ、又はこれらを組み合わせて定められるユニークな値などが含まれる。また、第２認証用情報データベース２ａには、各対象サービスにおける第１の認証処理に関するトランザクション情報が含まれている。このトランザクション情報とは、アクセス者による１回ごとのアクセスに関する不可分な一連のデータ送受信に関する情報であり、このトランザクション情報には、トランザクションを識別するトランザクションＩＤに、使用されたランダム文字列、アクセス日時及びユーザーＩＤが関連付けて記憶されている。

認証サーバー２には、制御部２０と通信インターフェース２７と、計時部２８とを備えられている。通信インターフェース２７は、通信ネットワークを通じてデータ通信を行うための通信インターフェースである。計時部２８は、現在時刻を計測するモジュールであり、認証要求を取得した時刻からの経過時間、且つクライアント端末から認証操作情報を取得した時刻からの経過時間を計測する他、ログイン端末４側におけるログイン処理の開始時刻、クライアント端末１側における認証操作の開始（或いは完了）時刻からの経過時間などを計測する。

制御部２０は、ＣＰＵ等の演算処理装置であり、メモリに格納されたＯＳ（Operating System：基本ソフト）や、ファームウェア等が実行されることにより、各種の機能モジュールが仮想的に構築される。本実施形態では、本発明の二要素認証アプリケーションが実行されることにより、二要素認証システムに必要な各モジュールが構築される。本実施形態において具体的に制御部２０には、認証要求取得部２１と、認証コード生成部２２と、認証情報保存部２３と、認証情報送信部２４と、認証実行部２５と、認証回答部２６とが構築される。

認証要求取得部２１は、クライアント端末１からの第２の認証処理を要求する第２認証要求を認証要求として取得するモジュールである。本実施形態において、認証要求取得部２１は、クライアント端末１からの第２認証要求より先行して、第１認証要求をクラウドサービスサーバー３側から取得した場合は当該第１認証要求を認証要求として取得し、一方、クラウドサービスサーバー３側からの第１認証要求より先行してクライアント端末１からの第２認証要求を取得した場合には、当該第２認証要求を認証要求として取得する。認証要求取得部２１は、認証要求を取得した後、認証要求（認証要求若しくは認証操作情報）から、端末に固有の端末固有識別子やユーザー固有のユーザー識別子、アプリケーションに固有のＩＤ、サービスに固有のＩＤなどを抽出し、認証コード生成部２２に認証コード（ランダム文字列）の生成を指示する。

認証コード生成部２２は、認証サーバー２側において任意の認証コードであるランダム文字列を生成するモジュールである。認証情報保存部２３は、生成されたランダム文字列（認証コード）と、認証対象サービスにおいて各ユーザーに固有のユーザー特定情報とを関連付けて第２認証用情報データベース２ａに保存させるモジュールである。認証情報送信部２４は、作成されたランダム文字列を認証サーバー２からクライアント端末１へ送信するモジュールである。

認証実行部２５は、クライアント端末から取得された認証操作情報に含まれる電子署名が付与された認証コードを検証した認証コードと、認証情報保存部２３に保存された認証コードとに基づいて第２の認証処理を行うモジュールである。また、この認証実行部２５は第２の認証処理の結果を一時的に保持する機能を有しており、認証要求よりも先行してクライアント端末１から第２認証要求を取得した場合に、その第２認証要求を取得した時刻からその後第１認証要求までの経過時間が所定時間内であるとき、第２認証が成功した胸を含む認証回答をクラウドサービスサーバー３に送出する。

認証回答部２６は、計時部２８によって計測された経過時間が所定時間内である場合に、認証実行部２５による第２の認証処理の結果を認証要求に関する認証回答としてクラウドサービスサーバー３に送出するモジュールである。また、認証回答部２６は、クラウドサービスサーバー３からの第１認証要求、或いはクライアント端末１からの第２認証要求のうち、先行して受信された方を、認証実行中の先行認証要求としてフラグを付与し、フラグが立てられた実行中の先行認証要求が受信された時刻から、他方の認証要求が受信されるまでの経過時間が所定時間内である場合に、第２の認証要求が成功した旨の認証回答を認証対象サービス提供手段に送出する。例えば、認証回答部２６は、第１認証要求よりも先行してクライアント端末１から第２認証要求を取得した場合、第２認証要求を取得した時刻から他方の第１認証要求が取得されるまでの経過時間が所定時間内であるときには、二要素認証が成功した旨の認証回答をクラウドサービスサーバー３に送出する。一方、計時部２８によって計測された経過時間が第２認証要求を取得した時刻から他方の第１認証級が取得されるまでの経過時間が所定時間以上であるときには、認証回答部２６は、第２の認証処理が実行されない旨の通知を含むエラー処理を実行する。

（４）クラウドサービスサーバー３の内部構成
このクラウドサービスサーバー３は、各種クラウドサービスやＶＰＮサービスなどを提供するサーバー装置であり、ユーザー管理機能や、各種サービスを提供するアプリケーション実行機能、コンテンツ配信機能を有し、単一のサーバーでもよく複数の機能を分散させたサーバー群でも実現可能となっている。

このクラウドサービスサーバー３には第１認証データベース３ａが接続されている。第１認証データベース３ａは、第１の認証処理を実行するために必要なユーザーごとの認証情報が蓄積されている。また、クラウドサービスサーバー３は、サービス実行部３１と、ログイン処理部３２と、認証処理部３３とを備えている。

サービス実行部３１は、アプリケーションサーバーの機能により、コンテンツを配信するモジュールであり、本実施形態では、例えばＷｅｂサーバー等で構成される。このサービス実行部３１としては、ＷＷＷ（World Wide Web）等のドキュメントシステムにおいて、ＨＴＭＬ（HyperText Markup Language）ファイルや画像ファイル、音楽ファイルなどの情報送信を行うサーバーコンピューター或いはその機能を持ったソフトウェアであり、ＨＴＭＬ文書や画像などの情報を蓄積しておき、ログイン端末４からの要求に応じて、通信ネットワーク５を通じて、これらの情報を送信する。このサービス実行部３１によって配信されるコンテンツ等はログイン端末４側のブラウザ部４４１によって閲覧可能となる。

ログイン処理部３２は、各ログイン端末４からのアクセスを受け付け、ログイン用画面（ログインページ）を配信し、このログイン用画面を通じて、ログイン端末４側で入力された情報を取得し、取得された情報を認証処理部３３に引き渡す。また、認証処理部３３側で認証処理が成功した場合には、ログイン処理部３２は、サービス実行部３１が提供するサービス提供用ページへログインページから遷移させる。

認証処理部３３は、ログイン処理部３２を通じて、各ログイン端末４と通信セッションを確立させ、その確立された通信セッションごとに認証処理を行うモジュールである。この認証処理としては、アクセス者である利用者のログイン端末４からログイン処理部３２を通じて第１認証情報を取得し、第１認証データベース３ａを参照して利用者等を特定し、それらの権限を認証する。この第１の認証処理に伴い第２の認証処理が実行され、第２の認証処理による認証が成功した場合に第１の認証処理を進める。

具体的に、認証処理部３３は、認証要求送信部３３ａと、認証回答取得部３３ｂとを備えている。認証要求送信部３３ａは、クラウドサービスサーバー３側から認証サーバー２に対して認証要求を送出するモジュールである。一方、認証回答取得部３３ｂは、認証サーバー２側の認証実行部２５による第２の認証処理の結果を認証要求に関する認証回答として取得するモジュールである。認証要求送信部３３ａは、ログイン処理部３２において第１認証処理が成功した際に認証要求を認証サーバー２の認証要求取得部２１に送信し、認証サーバー２側における第２の認証処理が終了した後にその結果である認証回答を認証回答取得部３３ｂにおいて取得する。認証処理部３３は認証回答に含まれている第２の認証処理の結果が成功している場合にログイン処理が実行される。認証回答に含まれている第２の認証処理の結果が失敗している場合にはログイン処理をそのまま終了してエラー処理に移行させる。なお、これらの認証処理部３３による認証結果（ユーザーＩＤ、認証時刻、セッションＩＤ等）は、ログイン処理部３２及びサービス実行部３１に送出されるとともに、第１認証データベース３ａに認証履歴として蓄積される。

（二要素認証方法）
以上の構成を有する二要素認証システムを動作させることで、本発明の二要素認証方法を実施することができる。図５及び図６は、本実施形態に係る二要素認証方法を示すフローチャート図である。

（１）ログイン端末主導時の動作
先ず、ログイン端末４主導による二要素認証を行う場合を説明する。ここではログイン端末４からのアクセス処理を契機に二要素認証を開始する。図５に示すように、ログイン端末４からクラウドサービスサーバー３にアクセスを開始する（Ｓ１０１）と、このクラウドサービスサーバー３側におけるアクセスの開始に応じて第１の認証処理であるログイン処理を一旦保留して、第１の認証要求を認証サーバー２に送信する（Ｓ１０２）。この第１認証要求は、認証サーバー２側によって先行認証要求として受信され第１認証ログイン画面が、ログイン端末側で表示される（Ｓ１０４及びＳ１０５）。そして、ログイン画面がログイン端末４のブラウザ部４４１によって表示される。ログイン操作にて第１認証ログイン情報を送信するとともに、先行認証要求が送信及び受信された時点からの経過時間の計測がログイン端末４側で開始される（Ｓ１０６）。

認証サーバー２側にて第１の認証ログイン情報を受信し（Ｓ１０７）、認証情報の判定処理をする。第１の認証に成功したとき（Ｓ１０８における「Ｙ」）、第１認証有効時間を保存する（Ｓ１０９）。この第１認証有効時間に基づいて第２の認証要求が受信されるまでの経過時間が算出され、算出された経過時間が所定の時間内であるかどうかがステップＳ１２４において判断される。なお、このステップＳ１０８において第１認証が失敗したときには（Ｓ１０８における「Ｎ」）、エラー処理が実行され（Ｓ１０８ａ）、再度第1認証ログイン画面の提示を行う（Ｓ１０４）。

このログイン端末４からのアクセスと併せてユーザーＵは、クライアント端末１において認証操作用アプリケーション１４０を起動して操作を開始し、その開始操作を受けて認証操作用アプリケーション１４０は、認証サーバー２に対して第２認証要求を送信する（Ｓ１１０）。この第２認証要求を受信した認証サーバー２側では（Ｓ１１１）、第２認証要求の認証情報に基づいて、第２認証用情報データベース２ａを検索して、第２の認証情報に紐付けられたユーザー情報や第１の認証情報を抽出し、ログイン端末４によるアクセス者（ユーザー）及び当該二要素認証に係る対象サービスの認証情報（第１認証）を特定する（Ｓ１１２）。そして、認証サーバー２では、ランダム文字列を生成する認証コード生成ステップを実行し、特定されたユーザー情報に含まれるユーザーＩＤなどのユーザー特定情報に紐付けてランダム文字列を保存する（Ｓ１１３）。これと合わせて、認証サーバー２では、生成されたランダム文字列を操作要求とともにクライアント端末１に送信する認証情報送信ステップを実行する（Ｓ１１４）。この送信先となるクライアント端末１は、特定されたユーザー情報に紐付けられた端末ＩＤやアプリケーションＩＤ等に基づいて決定される。

この操作要求を受信したクライアント端末１側では、ユーザーＵに対して第２の認証処理に対する認証操作を要求してユーザーによる認証操作を受け付ける認証操作ステップを実行する（Ｓ１１５）。この第２の認証操作を促す処理としては、自動的に認証操作用アプリケーション１４０を自動的に起動させたり、或いは起動を要求するメッセージやアラートを出力するなどが挙げられる。ユーザーによる認証操作が正当であり第２の認証処理が成功された場合には、ステップＳ１１５で受信したランダム文字列に対して、秘密鍵を用いて電子署名を付与して認証サーバーに送信する（Ｓ１１６）。このクライアント端末１におけるユーザー認証が失敗された場合には、ユーザーに対して再入力を要求したり、第１及び第２の認証処理が中止される旨のメッセージを出力したり等のエラー処理を実行してもよい。

クライアント端末１において第２の認証処理が成功され、クライアント端末１から電子署名が付与されたランダム文字列が送信されたとき、これを受信した認証サーバー側では（Ｓ１１７）、受信したランダム文字列の電子署名を検証する。このランダム文字列の電子署名の検証は、クライアント端末１側に用いられた秘密鍵と対になっている公開鍵を用いて行い、受信され電子署名の検証が成功したランダム文字列と、第２認証用情報データベース２ａに保存されたランダム文字列とを比較し、一致・不一致を確認する（Ｓ１１８）。

ステップＳ１１８における照合の結果、電子署名の検証したランダム文字列と、ユーザーＤＢに保存されたランダム文字列が一致した場合には、第２の認証処理が成功したとしてステップＳ１２０に移行し（Ｓ１１８における「Ｙ」）、電子署名の検証が失敗したり或いはランダム文字列同士が不一致の場合には（Ｓ１１８における「Ｎ」）、第２の認証処理が失敗したとしてエラー処理を実行する（Ｓ１１８ａ）。このエラー処理としては、第２の認証処理が失敗した旨の認証回答を生成し、この生成された認証回答をクライアント端末１に送信するとともに（Ｓ１２０）、ステップＳ１２５においてクラウドサービスサーバー３側に送信するために当該認証回答を一旦保存し、タイマーによる経過時間の計測を開始する（Ｓ１１９）。

ステップＳ１２０における認証回答を受信（Ｓ１２１）したクライアント端末１側では、認証が成功したとき（Ｓ１２２における「Ｙ」）、認証処理が成功した旨の認証完了処理及び認証結果の表示を実行する（Ｓ１２３）。一方、認証が失敗したときには（Ｓ１２２における「Ｎ」）、第２の認証処理が失敗したとしてエラー処理を実行する（Ｓ１２２ａ）。このエラー処理としては、認証が失敗した旨のエラーメッセージ等を出力するなどが挙げられる（Ｓ１２３）。

認証サーバー２側においてステップＳ１１８において電子署名の検証及びランダム文字列の照合が成功した場合（Ｓ１１８における「Ｙ」）、ステップＳ１０６においてタイマーによる計測が開始された時刻からステップＳ１０６においてクライアント端末１からの認証要求が受信されるまでの経過時間が所定の時間長以内であるかどうかを判断する（Ｓ１２４）。その経過時間が所定時間内である場合には（Ｓ１２４における「Ｙ」）、第２の認証処理が所定の時間内に成功して完了した旨の認証回答を生成し、この生成された認証回答をステップＳ１２５においてクラウドサービスサーバー３側に送信する。このとき既に認証回答がデータベースに保存されているかどうかを検索し、認証回答が既に保存されていたときには、所定の時間内に成功した旨及び既に保存されている認証結果（第２の認証処理の成功又は失敗）を追記した認証回答が生成される。

他方、所定時間以上が経過していた場合には（Ｓ１２４における「Ｎ」）、第２の認証処理が失敗したとしてエラー処理を実行する（Ｓ１２４ａ）。このエラー処理としては、認証が失敗した旨の認証回答を生成し、この生成された認証回答をステップＳ１２５においてクラウドサービスサーバー３側に送信する。このとき既に第２の認証結果である認証回答がデータベースに保存されているかどうかを検索し、認証処理が失敗した旨の認証回答が既に保存されていたときには、所定の時間内に成功しなかった旨及び第２の認証処理結果を追記した認証回答が生成される。

なお、本実施形態ではステップＳ１０６のログイン画面表示及びステップＳ１１８における電子署名検証成功を契機にタイマーによる計時を開始し、ステップＳ１２４における時間経過の判定を行うようにしたが、ログイン端末４側におけるログイン開始からクライアント端末１側における第２の認証処理の成功が確認されるまでの時間経過を適正に計れるタイミングであれば自由に設定することができる。

認証サーバー２から認証回答を受信（Ｓ１２６）したクラウドサービスサーバー３側では、ログイン認証処理を再開する。この認証処理では、認証サーバー２における第１及び第２の認証処理が成功されていることが前提となっており、認証処理が成功したときには（Ｓ１２７における「Ｙ」）、アクセス者がユーザーＵであると同定され、ログインが許可される（Ｓ１２８及びＳ１２９）。

一方、第２の認証処理がエラー処理で終わり、第２の認証処理が失敗した旨の認証回答を受信している場合には（Ｓ１２７における「Ｎ」）、ログイン認証処理は中断され、エラー処理が実行される（Ｓ１２７ａ）。このエラー処理としては、ログインが許可されなかった旨の通知と、第２の認証の失敗や、第１の認証処理の失敗、若しくは所定時間内に操作がされなかったことなど、エラー処理の原因を通知するメッセージを出力するなどが挙げられ、再度のログイン操作を要求してもよく、また、ログイン操作が所定回数以上失敗された場合にはログイン画面をロックするようにしてもよい。

また、本実施形態ではステップＳ１０６のログイン画面表示からの経過時間についても所定の時間内に第１及び第２の認証処理が完了したか否かについても判断している（Ｓ１３０）。ステップＳ１０６からの経過時間が所定の時間長を超えている場合には（Ｓ１３０における「Ｎ」）、タイムアップ（時間切れ）が発生したとしてエラー処理が実行される（Ｓ１３０ａ）。このエラー処理としては、一定時間愛に第１若しくは第２の認証処理が完了されなかったことなど、エラー処理の原因を通知するメッセージを出力するなどが挙げられ、再度のログイン操作を要求してもよく、また、ログイン操作が所定回数以上失敗された場合にはログイン画面をロックするようにしてもよい。

なお、本実施形態ではステップＳ１０６のログイン画面表示を契機に開始されてからの経過時間についても所定の時間内に第１及び第２の認証処理が完了したか否かについても判断している（Ｓ１３０）。ステップＳ１０６からの経過時間が所定の時間長を超えている場合には（Ｓ１３０における「Ｎ」）、タイムアップ（時間切れ）が発生したとしてエラー処理が実行される（Ｓ１３０ａ）。このエラー処理としては、一定時間愛に第１若しくは第２の認証処理が完了されなかったことなど、エラー処理の原因を通知するメッセージを出力するなどが挙げられ、再度のログイン操作を要求してもよく、また、ログイン操作が所定回数以上失敗された場合にはログイン画面をロックするようにしてもよい。ステップＳ１０６から所定時間内に、第１及び第２の認証処理が完了された場合には（Ｓ１３０における「Ｙ」）、ステップＳ１２８におけるログイン許可を受けて、ログインが実行可能となる（Ｓ１２９）。

（２）クライアント端末主導時の動作
次いで、クライアント端末１主導による二要素認証を行う場合を説明する。ここではクライアント端末１における第２の認証処理の開始を契機に二要素認証を開始する。具体的には、図６に示すように、クライアント端末１側において認証操作用アプリケーション１４０を起動して操作を開始すると、クライアント端末１から第２認証要求が認証サーバー２に対して送信される（Ｓ２０１）。この第２認証要求は、認証サーバー２側によって先行認証要求として受信され、認証処理が実行中の先行認証要求としてのフラグが付与される。また、第２認証要求にはクライアント端末若しくはユーザーを特定可能な情報が含まれており、この第２認証要求の受信（Ｓ２０２）した認証サーバー２側では、第２認証要求に含まれるユーザー特定情報に基づいて、認証サーバー２側では第２認証用情報データベース２ａを検索して、ユーザー特定情報に紐付けられたユーザー情報を抽出し、ログイン端末４によるアクセス者（ここではユーザーＵ）を特定する（Ｓ２０３）。

そして、認証サーバー２側では、このクライアント端末に対するランダム文字列を生成し、特定されたユーザー情報に含まれるユーザーＩＤなどのユーザー特定情報に紐付けてランダム文字列を保存する（Ｓ２０４）。これと合わせて、生成されたランダム文字列がクライアント端末１に送信される（Ｓ２０５）。この送信先となるクライアント端末１は特定されたユーザー情報に紐付けられた端末ＩＤやアプリケーションＩＤ等に基づいて決定される。

このランダム文字列を受信したクライアント端末１側では（Ｓ２０６）、ユーザーＵに対して第２の認証処理に対する認証操作を要求してユーザーによる認証操作を受け付ける。この第２の認証操作を促す処理としては、自動的に認証操作用アプリケーション１４０を自動的に起動させたり、或いは起動を要求するメッセージやアラートを出力するなどが挙げられる。このユーザーによる認証操作が正当であり第２の認証処理が成功された場合には、ステップＳ２０６で受信したランダム文字列に対して、秘密鍵を用いて電子署名を付与して認証サーバーに送信する（Ｓ２０７）。このクライアント端末１においてユーザー認証が失敗された場合には、ユーザーに対して再入力を要求したり、第１及び第２の認証処理が中止される旨のメッセージを出力したり等のエラー処理を実行してもよい。

クライアント端末１において第２の認証処理が成功され、クライアント端末１から電子署名が付与されたランダム文字列が送信されたとき（Ｓ２０７）、これを受信した認証サーバー側では（Ｓ２０８）、受信したランダム文字列の電子署名を検証する（Ｓ２０９）。この受信されたランダム文字列の電子署名の検証は、クライアント端末１側に用いられた秘密鍵と対になっている公開鍵を用いて行い、受診され電子署名の検証が成功したランダム文字列と、第２認証用情報データベース２ａに保存されたランダム文字列とを比較し、一致・不一致を確認する。

ステップＳ２０９における照合の結果、電子署名の検証が成功し且つランダム文字列が一致した場合には、第２の認証処理が成功したとしてステップＳ２１１に移行し（Ｓ２０９における「Ｙ」）、電子署名の検証が失敗したり或いはランダム文字列同士が不一致の場合には（Ｓ２０９における「Ｎ」）、第２の認証処理が失敗したとしてエラー処理を実行する（Ｓ２０９ａ）。このエラー処理としては、第２の認証処理が失敗した旨の認証回答を生成し、この生成された認証回答をクライアント端末１に送信するとともに、ステップＳ２１０においてクラウドサービスサーバー３側に送信するために当該認証回答を一旦保存し、タイマーによる経過時間の計測を開始する（Ｓ２１０及びＳ２１１）。本実施形態では、この先行認証要求に対する認証回答が送信された時点から、クラウドサービスサーバー３側から第１の認証要求が受信されるまでの経過時間が所定の時間内であるかどうかがステップＳ２２４において判断される。

他方、ステップＳ２１１における認証回答を受信（Ｓ２１２）したクライアント端末１側では、認証が成功したとき（Ｓ２１３における「Ｙ」）、認証処理が成功した旨の認証完了処理及び認証結果の表示を実行する（Ｓ２１５）。一方、認証が失敗したときには（Ｓ２１３における「Ｎ」）、第２の認証処理が失敗したとしてエラー処理を実行する。このエラー処理としては、認証が失敗した旨のエラーメッセージ等を出力するなどが挙げられる（Ｓ２１４）。

他方、ユーザーＵは、このクライアント端末１と認証サーバー２とにおける第２の認証処理の開始後且つ所定時間内にログイン端末４側においてログイン処理を開始する。具体的には、ログイン端末４からクラウドサービスサーバー３にアクセスを開始する（Ｓ２１５）と、このクラウドサービスサーバー３側におけるアクセスの開始に応じて第１の認証処理であるログイン処理を一旦保留して、認証要求を認証サーバー２に送信する（Ｓ２１６）。この認証要求を受信した認証サーバー２によってログイン画面が提示される（Ｓ２１７及びＳ２１８）。このログイン画面はログイン端末４のブラウザ部４４１によって表示されるとともに、このログイン画面にはブラウザ部４４１に対してタイマー機能を起動させるスクリプトが含まれており、このスクリプトによってログイン画面が提示された時点からの経過時間の計測が開始され（Ｓ２２０）、その経過時間が所定の時間内であるかどうかがステップＳ２２２において判断される。

認証サーバー２側において認証要求が受信されると（Ｓ２１７）、認証サーバー２側から配信される第１認証ログイン画面が、ログイン端末側で表示される（Ｓ２１８及びＳ２１９）。そして、ログイン画面がログイン端末４のブラウザ部４４１によって表示される。次いで、ユーザーによるログイン操作によって第１認証ログイン情報を送信するとともに、先行認証要求が送信及び受信された時点からの経過時間の計測がログイン端末４側で開始される（Ｓ２２０）。

そして、認証サーバー２側にて第１の認証ログイン情報が受信され（Ｓ２２１）、認証情報の判定処理をする（Ｓ２２２）。第１の認証に成功したとき（Ｓ２２２における「Ｙ」）、第１認証有効時間を保存する（Ｓ２２３）。この第１認証有効時間に基づいて第２の認証要求が受信されるまでの経過時間が算出され、算出された経過時間が所定の時間内であるかどうかがステップＳ２２４において判断される。なお、このステップＳ２２２において第１認証が失敗したときには（Ｓ２２２における「Ｎ」）、エラー処理が実行され（Ｓ２２２ａ）、再度第1認証ログイン画面の提示を行う（Ｓ２１８）。

ステップＳ２２４では、ステップＳ２１０においてタイマーによる計測が開始された時刻からステップＳ２１７において認証要求が受信されるまでの経過時間が所定の時間長以内であるかどうかを判断する。その経過時間が所定時間内である場合には（Ｓ２２４における「Ｙ」）、第２の認証処理が所定の時間内に成功して完了した旨の認証回答を生成する。このとき既に認証回答がデータベースに保存されているかどうかを検索し、認証回答が既に保存されていたときには、所定の時間内に成功した旨及び既に保存されている認証結果（第２の認証処理の成功又は失敗）を追記した認証回答が生成される。例えば、ステップＳ２０９において認証が成功と判断されているとき（Ｓ２０９における「Ｙ」）には第２の認証処理が成功した旨の認証結果が認証回答としてデータベースに保存されており、認証が失敗したと判断されているとき（Ｓ２０９における「Ｎ」）には第２の認証処理が失敗した旨の認証結果が認証回答としてデータベースに保存されており、データベースから検出された認証結果につき、第２の認証処理が所定の時間内に完了した旨が追記された認証回答が生成される。

他方、所定時間以上が経過していた場合には（Ｓ２２４における「Ｎ」）、第２の認証処理が失敗したとしてエラー処理を実行する（Ｓ２２４ａ）。このエラー処理としては、認証が失敗した旨の認証回答を生成する。このとき既に第２の認証処理結果としての認証回答がデータベースに保存されているかどうかを検索し、認証結果が既に保存されていたときには、その認証結果と併せて所定の時間内に成功しなかった旨を追記した認証回答が生成される。例えば、ステップＳ２０９において認証が成功と判断されているとき（Ｓ２０９における「Ｙ」）には第２の認証処理が成功した旨の認証結果が第２認証用情報データベース２ａに保存されており、認証が失敗したと判断されているとき（Ｓ２０９における「Ｎ」）には第２の認証処理が失敗した旨の認証結果が第２認証用情報データベース２ａに保存されており、データベースから検出された認証結果につき、第２の認証処理が所定の時間内に完了した旨が付記した認証回答が生成される。なお、ここでは、第２認証用情報データベース２ａを検索して第２の認証結果の成否の通知とともにタイムアップにより認証が失敗した旨のエラーメッセージを認証回答として生成したが、第２認証用情報データベース２ａを検索し検出することなく第１の認証処理が所定内に開始されずタイムアップが発生したことを理由により認証が失敗した旨のエラーメッセージを認証回答として生成するようにしてもよい。

その後、これら生成された認証回答をクラウドサービスサーバー３側に送信する（Ｓ２２５）。なお、本実施形態ではステップＳ２２２のログイン画面表示及びステップＳ２１５における電子署名検証成功を契機にタイマーによる計時を開始し、ステップＳ２２４において時間経過の判定を行うようにしたが、クライアント端末１側における第２の認証処理の成功からログイン端末４側における認証操作開始までの時間経過を適正に計れるタイミングであれば自由に設定することができる。

そして、認証サーバー２から認証回答を受信（Ｓ２２６）したクラウドサービスサーバー３側では、ログイン認証理を再開する。この認証処理では、認証サーバー２における第１及び第２の認証処理が成功されていることが前提となっており、認証処理が成功したときには（Ｓ２２７における「Ｙ」）、アクセス者がユーザーＵであると同定され、ログインが許可される（Ｓ２２８及びＳ２２９）。

一方、第２の認証処理がエラー処理で終わり、第２の認証処理が失敗した旨、或いは時間内に操作がされなかった旨の認証回答を受信している場合には（Ｓ２２７における「Ｎ」）、ログイン認証処理は中断され、エラー処理が実行される（２２７ａ）。このエラー処理としては、ログインが許可されなかった旨の通知と、第２の認証の失敗や、第１の認証処理の失敗、若しくは所定時間内に操作がされなかったことなど、エラー処理の原因を通知するメッセージを出力するなどが挙げられ、再度のログイン操作を要求してもよく、また、ログイン操作が所定回数以上失敗された場合にはログイン画面をロックするようにしてもよい。

また、本実施形態ではステップＳ２１９のログイン画面表示からの経過時間についても所定の時間内に第１及び第２の認証処理が完了したか否かについても判断している（Ｓ２３０）。ステップＳ２１９からの経過時間が所定の時間長を超えている場合には（Ｓ２３０における「Ｎ」）、タイムアップ（時間切れ）が発生したとしてエラー処理が実行される（Ｓ２３０ａ）。このエラー処理としては、一定時間愛に第１若しくは第２の認証処理が完了されなかったことなど、エラー処理の原因を通知するメッセージを出力するなどが挙げられ、再度のログイン操作を要求してもよく、また、ログイン操作が所定回数以上失敗された場合にはログイン画面をロックするようにしてもよい。

（二要素認証プログラム）
上述した実施形態に係る二要素認証システム、及びワンタイム認証方法は、所定のコンピューター言語で記述されたプログラムをコンピューター上で実行することにより実現することができる。また、本実施形態にかかるシステムを構成するクライアント端末１上で実行される認証操作用アプリケーション１４０や、認証サーバー２で実行される認証プログラムなども、所定のコンピューター言語で記述されたプログラムをコンピューター上で実行することにより実現することができる。

すなわち、これらの各プログラムを、ユーザーＵのクライアント端末やＷｅｂサーバー等のコンピューター、ＩＣチップにインストールし、ＣＰＵ上で実行することにより、上述した各機能を有するシステム及び装置を容易に構築することができる。これらのプログラムは、例えば、通信回線を通じて配布することが可能であり、またスタンドアローンの計算機上で動作するパッケージアプリケーションとして譲渡することができる。そして、このようなプログラムは、パーソナルコンピューターで読み取り可能な記録媒体に記録することができ、汎用のコンピューターや専用コンピューターを用いて、上述したシステム、装置、サーバー、及びオブジェクト制御方法を実施することが可能となるとともに、プログラムの保存、運搬及びインストールを容易に行うことができる。

（作用・効果）
このような本実施形態によれば、ログイン端末４とクラウドサービスサーバー３側で第１の認証処理を実行するとともに、クライアント端末１と認証サーバー２側で第２の認証処理を実行することから、対象サービスへのログイン時におけるセキュリティーを高めることができる。このとき、第１及び第２の認証処理を所定の時間内に行うことを条件としたうえで、ログイン端末４側又はクライアント端末１側のいずれからも認証操作を開始することができるため、ユーザーの使用環境に柔軟に対応させることができる。さらに、本実施形態によれば、対象サービス側と認証サーバー２側とのやりとりは認証要求とそれに関する認証回答のみであり、さらにログイン端末に対する認証サーバー２又はクライアント端末１との連携処理を必要としないため、対象サービス側の既存の処理や仕組みを大きく変更することなく認証サービスによる二要素認証サービスを受けることができる。

なお、本発明は、上記した各実施の形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施の形態に開示されている複数の構成要素の適宜な組み合せにより、種々の発明を形成できる。例えば、実施の形態に示される全構成要素から幾つかの構成要素を削除してもよい。

Ｕ…ユーザー
１…クライアント端末
２…認証サーバー
２ａ…第２認証用情報データベース
２ｂ…ユーザーデータベース
３…クラウドサービスサーバー
３ａ…第１認証データベース
４…ログイン端末
５…通信ネットワーク
１１…無線インターフェース
１２…入力インターフェース
１２ａ…カメラ
１３…出力インターフェース
１３ａ…表示部
１４…アプリケーション実行部
１５…メモリ
２０…制御部
２１…認証要求取得部
２２…認証コード生成部
２３…認証情報保存部
２４…認証情報送信部
２５…認証実行部
２６…認証回答部
２７…通信インターフェース
２８…計時部
３１…サービス実行部
３２…ログイン処理部
３３…認証処理部
３３ａ…認証要求送信部
３３ｂ…認証回答取得部
１４０…認証操作用アプリケーション
１４１…操作要求取得部
１４２…電子署名処理部
１４３…第２認証要求送信部
１４４…認証操作情報生成部
１４５…認証操作部
４４１…ブラウザ部
４４２…ログイン操作部
４４３…認証情報入力部

Claims (16)

1. 通信ネットワーク上に配置されて、信頼された認証サーバーの認証結果によってログイン処理を実行する認証対象サービス提供手段と、
   ユーザーが使用し、当該ユーザーによる操作を受け付けるクライアント端末と、
   前記認証対象サービス提供手段からの要求を受けて、前記クライアント端末を通じて前記ユーザーのアクセス権限に対する認証を第２の認証処理として実行する認証サーバーと
   を含む認証システムであって、
   前記認証対象サービス提供手段から前記認証サーバーに対して送出されて第１の認証処理を要求する第１認証要求、又は前記クライアント端末からの第２の認証処理を要求する第２認証要求、のいずれかを認証要求として取得する認証要求取得部と、
   前記認証サーバーにおいて、前記認証要求の取得に応じて任意の認証コードを生成する認証コード生成部と、
   生成された認証コードと、認証対象サービスにおいて前記ユーザーに固有のユーザー特定情報とを、関連付けて保存する認証用情報保存部と、
   作成された前記認証コードを前記認証サーバーから前記クライアント端末へ送信する認証情報送信部と、
   前記クライアント端末において、ユーザーによる認証操作に基づいて電子署名が付与された前記認証コードを認証操作情報として前記認証サーバーに対して送信する認証操作部と、
   前記認証要求を取得した時刻からの経過時間、又は前記クライアント端末から前記認証操作情報を取得した時刻からの経過時間を計測する計時部と、
   前記クライアント端末から取得された認証操作情報に含まれる電子署名が付与された認証コードを検証した認証コードと、前記認証用情報保存部に保存された認証コードとに基づいて、前記第２の認証処理を行う認証実行部と、
   前記計時部によって計測された経過時間に基づいて、前記認証実行部による前記第２の認証処理が成功した旨を前記認証要求に関する認証回答として前記認証対象サービス提供手段に送出する認証回答部と
   を備えることを特徴とする二要素認証システム。
2. 前記認証要求取得部は、前記クライアント端末からの前記第２認証要求より先行して前記認証対象サービス提供手段から前記第１認証要求を取得した場合、当該第１認証要求を前記認証要求として取得し、
   前記認証回答部は、前記第２認証要求を取得した時刻からの経過時間が所定時間内である場合に、前記第２の認証処理が成功した旨の認証回答を前記認証対象サービス提供手段に送出する
   ことを特徴とする請求項１に記載の二要素認証システム。
3. 前記認証実行部は前記第２の認証処理の結果を一時的に保持する機能をさらに備え、
   前記認証要求取得部は、前記認証対象サービス提供手段からの第１認証要求より先行して前記クライアント端末からの前記第２認証要求を取得した場合、当該先行認証要求を前記認証要求として取得し、
   前記認証回答部は、前記第１認証要求よりも先行して前記クライアント端末からの第２認証要求を取得した場合であって、前記第２認証要求を取得した時刻から前記第１認証要求を取得するまでの経過時間が所定時間内であるときに、前記一時的に保持された第２の認証処理の結果を前記認証回答として前記認証対象サービス提供手段に送出する
   ことを特徴とする請求項１に記載の二要素認証システム。
4. 前記計時部によって計測された経過時間が所定時間以上である場合に、前記認証回答部は、第２の認証処理が失敗した旨の通知を含むエラー処理を実行する
   ことを特徴とする請求項１乃至３のいずれかに記載の二要素認証システム。
5. 前記認証操作部は、クライアント端末上で実行される認証操作用アプリケーションであり、
   前記認証操作用アプリケーションは、文字列の入力又は生体認証のいずれかを含むユーザーを特定するための認証情報を実行する機能を有する
   ことを特徴とする請求項１乃至４のいずれかに記載の二要素認証システム。
6. 通信ネットワーク上に配置されて、信頼された認証サーバーの認証結果によってログイン処理を実行する認証対象サービス提供手段と、
   ユーザーが使用し、当該ユーザーによる操作を受け付けるクライアント端末と、
   前記認証対象サービス提供手段からの要求を受けて、前記クライアント端末を通じて前記ユーザーのアクセス権限に対する認証を第２の認証処理として実行する認証サーバーと
   を含む認証システムを用いた二要素認証方法であって、
   前記認証サーバーにおいて、前記認証対象サービス提供手段から前記認証サーバーに対して送出されて第１の認証処理を要求する第１認証要求、又は前記クライアント端末からの第２の認証処理を要求する第２認証要求、のいずれかを認証要求取得部が認証要求として取得するとともに、前記認証要求の取得に応じて任意の認証コードを認証コード生成部が生成する認証コード生成ステップと、
   生成された認証コードと、認証対象サービスにおいて前記ユーザーに固有のユーザー特定情報とを関連付けて認証用情報保存部が保存するとともに、作成された前記認証コードを認証情報送信部が前記認証サーバーから前記クライアント端末へ送信する認証情報送信ステップと、
   前記クライアント端末において、ユーザーによる認証操作に基づいて電子署名が付与された前記認証コードを認証操作情報として認証操作部が前記認証サーバーに対して送信する認証操作ステップと、
   前記クライアント端末から取得された認証操作情報に含まれる電子署名が付与された認証コードと、前記認証用情報保存部に保存された認証コードとに基づいて、認証実行部が前記第２の認証処理を行う認証実行ステップと、
   前記認証要求を取得した時刻からの経過時間、又は前記クライアント端末から前記認証操作情報を取得した時刻からの経過時間に基づいて、前記認証実行部による前記第２の認証処理が成功した旨を前記認証要求に関する認証回答として認証回答部が前記認証対象サービス提供手段に送出する認証回答ステップと
   を備えることを特徴とする二要素認証方法。
7. 前記認証コード生成ステップにおいて前記認証要求取得部が、前記クライアント端末からの先行認証要求より先行して前記認証対象サービス提供手段から前記認証要求を取得した場合、当該認証要求を前記認証要求として取得し、
   前記認証回答ステップにおいて前記認証回答部は、前記認証要求を取得した時刻からの経過時間が所定時間内である場合に、前記第２の認証処理が成功した旨の認証回答を前記認証対象サービス提供手段に送出する
   ことを特徴とする請求項６に記載の二要素認証方法。
8. 前記認証コード生成ステップにおいて前記認証要求取得部が、前記認証対象サービス提供手段からの認証要求より先行して前記クライアント端末からの先行認証要求を取得した場合、当該先行認証要求を前記認証要求として取得し、
   前記認証実行ステップにおいて前記認証実行部は、前記第２の認証処理の結果を一時的に保持し、
   前記認証回答ステップにおいて前記認証回答部は、前記認証要求よりも先行して前記クライアント端末からの前記先行認証要求の取得後に前記認証対象サービス提供手段から認証要求を取得した場合であって、前記認証操作情報を取得した時刻からの経過時間が所定時間内であるときに、前記一時的に保持された第２の認証処理の結果を前記認証回答として前記認証対象サービス提供手段に送出する
   ことを特徴とする請求項６に記載の二要素認証方法。
9. 計時部によって計測された経過時間が所定時間以上である場合に、前記認証回答部は、第２の認証処理が失敗した旨の通知を含むエラー処理を実行する
   ことを特徴とする請求項６乃至８のいずれかに記載の二要素認証方法。
10. 前記認証操作部は、クライアント端末上で実行される認証操作用アプリケーションであり、
    前記認証操作用アプリケーションは、文字列の入力又は生体認証のいずれかを含むユーザーを特定するための認証情報を実行する機能を有する
    ことを特徴とする請求項６乃至９のいずれかに記載の二要素認証方法。
11. 請求項１に記載の二要素認証システムにおいて、前記認証サーバーを、
    前記認証対象サービス提供手段から前記認証サーバーに対して送出されて前記第１の認証処理を要求する第１認証要求、又は前記クライアント端末からの第２の認証処理を要求する第２認証要求、のいずれかを認証要求として取得する認証要求取得部と、
    前記認証サーバーにおいて、前記認証要求の取得に応じて任意の認証コードを生成する認証コード生成部と、
    生成された認証コードと、認証対象サービスにおいて前記ユーザーに固有のユーザー特定情報とを、関連付けて保存する認証用情報保存部と、
    作成された前記認証コードを前記認証サーバーから前記クライアント端末へ送信する認証情報送信部と、
    前記認証要求を取得した時刻からの経過時間、又は前記クライアント端末から前記認証操作情報を取得した時刻からの経過時間を計測する計時部と、
    前記クライアント端末から取得された認証操作情報に含まれる電子署名が付与された認証コードと、前記認証用情報保存部に保存された認証コードとに基づいて、前記第２の認証処理を行う認証実行部と、
    前記計時部によって計測された経過時間に基づいて、前記認証実行部による前記第２の認証処理が成功した旨を前記認証要求に関する認証回答として前記認証対象サービス提供手段に送出する認証回答部
    として機能させることを特徴とする二要素認証プログラム。
12. 前記認証要求取得部は、前記クライアント端末からの前記第２認証要求より先行して前記認証対象サービス提供手段から前記第１認証要求を取得した場合、当該第１認証要求を前記認証要求として取得し、
    前記認証回答部は、前記認証要求を取得した時刻からの経過時間が所定時間内である場合に、前記第２の認証処理が成功した旨の認証回答を前記認証対象サービス提供手段に送出する
    ことを特徴とする請求項１１に記載の二要素認証プログラム。
13. 前記認証実行部は前記第２の認証処理の結果を一時的に保持する機能をさらに備え、
    前記認証要求取得部は、前記認証対象サービス提供手段からの認証要求より先行して前記クライアント端末からの先行認証要求を取得した場合、当該先行認証要求を前記認証要求として取得し、
    前記認証回答部は、前記認証要求よりも先行して前記クライアント端末からの前記先行認証要求の取得後に前記認証対象サービス提供手段から認証要求を取得した場合であって、前記認証操作情報を取得した時刻からの経過時間が所定時間内であるときに、前記一時的に保持された第２の認証処理の結果を前記認証回答として前記認証対象サービス提供手段に送出する
    ことを特徴とする請求項１１に記載の二要素認証プログラム。
14. 前記計時部によって計測された経過時間が所定時間以上である場合に、前記認証回答部は、第２の認証処理が失敗した旨の通知を含むエラー処理を実行する
    ことを特徴とする請求項１１乃至１３のいずれかに記載の二要素認証プログラム。
15. 請求項１に記載の二要素認証システムにおいてクライアント端末上で実行される認証操作用アプリケーションであって、前記クライアント端末を、
    前記クライアント端末において、ユーザーによる認証操作に基づいて電子署名が付与された前記認証コードを認証操作情報として前記認証サーバーに対して送信する認証操作部として機能させることを特徴とする認証操作用アプリケーション。
16. 前記認証操作部は、文字列の入力又は生体認証のいずれかを含むユーザーを特定するための認証情報の入力を受け付ける機能を有することを特徴とする請求項１５に記載の認証操作用アプリケーション。