WO2020070807A1 - 認証システム、認証方法、アプリケーション提供装置、認証装置、認証用プログラム - Google Patents

認証システム、認証方法、アプリケーション提供装置、認証装置、認証用プログラム

Info

Publication number
WO2020070807A1
WO2020070807A1 PCT/JP2018/036928 JP2018036928W WO2020070807A1 WO 2020070807 A1 WO2020070807 A1 WO 2020070807A1 JP 2018036928 W JP2018036928 W JP 2018036928W WO 2020070807 A1 WO2020070807 A1 WO 2020070807A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
user
terminal
information
identification information
Prior art date
Application number
PCT/JP2018/036928
Other languages
English (en)
French (fr)
Inventor
和弘 中川
孝信 渡辺
満雄 岡田
Original Assignee
Ｃａｐｙ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ｃａｐｙ株式会社 filed Critical Ｃａｐｙ株式会社
Priority to JP2020550989A priority Critical patent/JP7186346B2/ja
Priority to CN201880098095.1A priority patent/CN112912875A/zh
Priority to PCT/JP2018/036928 priority patent/WO2020070807A1/ja
Publication of WO2020070807A1 publication Critical patent/WO2020070807A1/ja
Priority to US17/213,204 priority patent/US20210234858A1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/55—Push-based network services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/108—Source integrity

Definitions

  • the present invention relates to an authentication system, an authentication method, an application providing device, an authentication device, and an authentication program.
  • ⁇ FIDO ⁇ UAF is highly safe and effective because there is no need to store biometric information on the server side.
  • the application developer introduces FIDO @ UAF, it is necessary to introduce an authentication server that executes processing conforming to FIDO @ UAF, and there is a problem that the introduction barrier is high.
  • the present invention has been made in view of these points, and an authentication system, an authentication method, an application providing device, an authentication device, and an authentication program which can easily handle the result of biometric authentication in an application server The purpose is to provide.
  • An authentication system is an authentication system including a plurality of application providing apparatuses that provide an application and an authentication apparatus that performs biometric authentication of a user who uses the application, wherein the application providing apparatus includes: Upon receiving an authentication request of the user from the terminal, including service identification information for identifying the application providing device, an authentication request unit that transmits biometric authentication request information requesting biometric authentication of the user to the authentication device, A receiving unit that receives the authentication result of the biometric authentication from the authentication device, and that the authentication result indicates that the biometric authentication has succeeded, and that provides a function related to the application to the terminal, Upon receiving the biometric authentication request information, the authentication device carries the biometric To a mobile terminal capable of executing the biometric authentication request information, a biometric authentication instructing unit that pushes out first instruction information for instructing execution of the biometric authentication corresponding to the service identification information included in the biometric authentication request information, (1) a verification unit that receives the authentication result of the biometric authentication corresponding to the instruction information, and
  • the authentication device further includes a storage unit that stores user identification information for identifying the user, the service identification information, and notification identification information used when performing the push notification to the mobile terminal, in association with each other.
  • the authentication request unit acquires the user identification information from the terminal, the authentication request unit transmits biometric authentication request information including the user identification information and the service identification information to the authentication device. Receiving the biometric authentication request information, referring to the storage unit, and transmitting the first instruction information to the portable terminal based on the notification identification information associated with the user identification information and the service identification information. You may send a push notification.
  • the storage unit stores the service identification information, the notification identification information, and the hashed user identification information in association with each other, and the authentication request unit stores the hashed user identification information from the terminal.
  • the biometric authentication instruction unit upon receiving the biometric authentication request information, the storage A push notification of the first instruction information to the portable terminal based on the hashed user identification information and the notification identification information associated with the service identification information.
  • the authentication request unit includes an address of a script for hashing the user identification information, transmits a page for receiving input of the user identification information, and generates a page based on the script acquired by the mobile terminal based on the address.
  • the obtained hashed user identification information may be acquired from the terminal.
  • the application providing device includes the user identification information and the notification identification information from the portable terminal, and obtains first registration request information indicating a registration request of the user to the authentication device.
  • Information, the notification identification information, and the service identification information further comprising a registration request unit that transmits second registration request information for requesting registration of the user to the authentication device, the biometric authentication instruction unit Receiving the second registration request information, the portable terminal, based on the notification identification information included in the second registration request information, responds to the service identification information included in the second registration request information.
  • Push notification of second instruction information instructing execution of the biometric authentication is performed, and the verification unit receives an authentication result of the biometric authentication corresponding to the second instruction information from the mobile terminal. And verifying the validity of the authentication result.
  • the result transmission unit performs the second registration.
  • the user identification information included in the request information, the service identification information, and the notification identification information are stored in the storage unit in association with each other, and the registration result of the user is transmitted to the mobile terminal and the application providing apparatus. You may.
  • the registration request unit includes an address of a script for hashing the user identification information, transmits a page for receiving an input of the user identification information, and generates a page based on the script acquired by the mobile terminal based on the address.
  • the first registration request information including the hashed user identification information may be obtained.
  • the biometric authentication instructing unit determines whether the terminal and the portable terminal are in a trust relationship state indicating that the same user is using the terminal and the portable terminal. , The first instruction information may be pushed.
  • the mobile terminal and the authentication device share a common key for generating a one-time password, the mobile terminal generates and displays the one-time password based on the common key, and the authentication request unit Receiving, from the terminal, user identification information identifying the user and the one-time password, thereby accepting a request for authentication of the user, and the biometric authentication request including the user identification information and the one-time password. Transmitting information to the authentication device, and upon receiving the biometric authentication request information, the biometric authentication instruction unit generates a one-time password based on the common key, and generates the generated one-time password and the biometric authentication request information.
  • the terminal and the portable terminal establish a trust relationship based on whether or not the one-time password included in It may determine whether the.
  • the terminal When the terminal succeeds in the authentication of the user, the terminal stores the user identification information used for the authentication in the terminal, and the authentication request unit transmits the user identification request to the terminal when receiving the user authentication request from the terminal.
  • the user identification information When the user identification information is stored, the user identification information may be obtained from the terminal, and the biometric authentication request information including the user identification information and the service identification information may be transmitted to the authentication device.
  • the terminal and the mobile terminal are communicably connected via the authentication device, and the mobile terminal and the terminal A trust building unit that receives whether or not the portable terminal has a trust relationship, and, when receiving the trust relationship, stores trust relationship information indicating that the terminal and the mobile terminal have the trust relationship.
  • the biometric authentication instruction unit further determines that the terminal and the portable terminal are in the trust relationship state when the trust relationship information is stored in the terminal and the portable terminal, The mobile terminal may be notified of the first instruction information by push notification.
  • the verification unit receives, from the mobile terminal, an authentication result of the biometric authentication performed in the mobile terminal, and verifies the validity of the authentication result. And transmitting the biometric authentication request information in response to receiving the biometric authentication request information after the verification result verifies that the authentication result is valid. May be transmitted to the application providing apparatus.
  • the result transmitting unit may cause the terminal or the portable terminal to display information indicating that the user has been successfully authenticated, when the authentication result indicates that the biometric authentication has been successful.
  • the result transmitting unit when the authentication result indicates that the biometric authentication is successful, the terminal or the portable terminal may display information indicating that the user has been successfully authenticated for a predetermined time. Good.
  • An authentication method is an authentication method executed by an authentication system including a plurality of application providing apparatuses for providing an application and an authentication apparatus for authenticating a user who uses the application, Transmitting, to the authentication device, biometric authentication request information including service identification information for identifying the application providing device when the application providing device receives the user authentication request from a terminal;
  • biometric authentication request information including service identification information for identifying the application providing device when the application providing device receives the user authentication request from a terminal
  • the authentication device receives the biometric authentication request information, the user possesses, the portable terminal capable of performing biometric authentication, the biometric authentication corresponding to the service identification information included in the biometric authentication request information Performing a push notification of first instruction information for instructing execution; Receiving the authentication result of the biometric authentication corresponding to the first instruction information from the mobile terminal, and verifying the validity of the authentication result; andthe authentication device verifies that the authentication result is valid.
  • the application providing apparatus Transmitting the authentication result to the application providing apparatus that has transmitted the biometric request information; and the application providing apparatus receives the biometric authentication result from the authentication apparatus, and the authentication result is the biometric authentication. And providing the terminal with a function related to the application when indicating that the terminal has succeeded.
  • An application providing apparatus is an application providing apparatus that provides an application, and upon receiving a user authentication request from a terminal, includes service identification information identifying itself, and performs biometric authentication of the user.
  • Biometric authentication request information requesting, the authentication request unit to transmit to the authentication device that performs the biometric authentication of the user, received the authentication result of the biometric authentication from the authentication device, the authentication result has succeeded the biometric authentication
  • a providing unit that provides the terminal with a function related to the application.
  • An authentication device is an authentication device that performs biometric authentication of a user, and includes service identification information that identifies the application providing device from an application providing device that provides an application, Upon receiving the biometric authentication request information requesting biometric authentication, push notification of instruction information for instructing execution of the biometric authentication corresponding to the service identification information to a portable terminal possessed by the user and capable of executing biometric authentication.
  • a biometric authentication instruction unit a verification unit that receives the authentication result of the biometric authentication corresponding to the instruction information from the mobile terminal, and verifies the validity of the authentication result; and the authentication result is valid by the verification unit. Is transmitted, the authentication result is transmitted to the application providing apparatus that transmitted the biometric authentication request information. It comprises a part, a.
  • An authentication program provides a computer for providing an application, comprising: receiving a user authentication request from a terminal, including service identification information identifying itself; Authentication request information, an authentication request unit that transmits to the authentication device that performs the biometric authentication of the user, and receives the authentication result of the biometric authentication from the authentication device, indicating that the authentication result has succeeded the biometric authentication Then, the terminal functions as a providing unit that provides a function related to the application.
  • FIG. 1 is a diagram illustrating a configuration of an authentication system according to an embodiment. It is a figure which shows typically the function structure of each of the authentication server and application server which concern on embodiment.
  • FIG. 7 is a sequence diagram showing a flow of processing when the authentication server according to the embodiment registers a user.
  • FIG. 4 is a sequence diagram following FIG. 3. It is an example showing an example of a screen for user registration. It is a figure showing an example of the registered service screen which shows the service in which user registration was performed.
  • FIG. 7 is a sequence diagram showing a flow of processing when authenticating a user in the authentication system according to the embodiment.
  • FIG. 8 is a sequence diagram following FIG. 7.
  • FIG. 11 is a diagram illustrating an example in which information indicating that the user has been successfully authenticated is displayed on the mobile terminal. It is a figure which shows typically the modification of each function structure of the authentication server and application server of embodiment.
  • FIG. 1 is a diagram illustrating a configuration of an authentication system S according to an embodiment.
  • the authentication system S is a system that includes an authentication server 1 as an authentication device, an application server 2 as an application providing device, a terminal 3, and a mobile terminal 4, and performs biometric authentication.
  • the terminal 3 is, for example, a personal computer used by the user U.
  • the mobile terminal 4 is, for example, a mobile phone such as a smartphone, and can perform biometric authentication such as fingerprint authentication.
  • the terminal 3 and the mobile terminal 4 are communicably connected to the authentication server 1 and the application server 2 via a network N such as a LAN, a mobile phone line network, and Wi-Fi (registered trademark).
  • a network N such as a LAN, a mobile phone line network, and Wi-Fi (registered trademark).
  • the authentication server 1 is a server that performs biometric authentication of the user U using the mobile terminal 4.
  • the application server 2 is a server that provides an application to the terminal 3. In the embodiment, it is assumed that a plurality of application servers 2 are provided.
  • the application server 2 When receiving the authentication request from the terminal 3, the application server 2 requests the authentication server 1 for biometric authentication for the user of the terminal 3.
  • the authentication server 1 Upon receiving a request for biometric authentication for the user of the terminal 3 from the application server 2, the authentication server 1 pushes the mobile terminal 4 with instruction information for instructing execution of biometric authentication, and sends the biometric authentication to the mobile terminal 4. Is performed. (4), (5) The authentication server 1 acquires the authentication result of the biometric authentication from the portable terminal 4 and, when confirming that the authentication result is valid, transmits the authentication result to the application server 2.
  • the application server 2 If the authentication result received from the authentication server 1 indicates that the biometric authentication is successful, the application server 2 provides the user U with a function related to the application.
  • the operator of the application server 2 has a function of performing a process related to a request for biometric authentication and a function of acquiring an authentication result when the user U performs biometric authentication. Only with this, the application server 2 can easily handle the result of biometric authentication.
  • FIG. 2 is a diagram schematically illustrating respective functional configurations of the authentication server 1 and the application server 2 according to the embodiment.
  • the authentication server 1 includes a communication unit 10, a storage unit 11, and a control unit 12.
  • the communication unit 10 transmits and receives data between the application server 2 and the mobile terminal 4 via the network N.
  • the storage unit 11 includes a read only memory (ROM) for storing a basic input / output system (BIOS) of a computer realizing the authentication server 1, a random access memory (RAM) serving as a work area of the authentication server 1, and an operating system (OS). ),
  • An application program, and a large-capacity storage device such as an HDD (Hard Disk Drive) or an SSD (Solid State Drive) for storing various information including various databases referred to when the application program is executed.
  • the control unit 12 is a processor such as a CPU (Central Processing Unit) or a GPU (Graphics Processing Unit) of the authentication server 1.
  • the control unit 12 functions as the biometric authentication instruction unit 121, the verification unit 122, and the result transmission unit 123 by executing the program stored in the storage unit 11.
  • the application server 2 includes a communication unit 20, a storage unit 21, and a control unit 22.
  • the communication unit 20 transmits and receives data between the authentication server 1 and the terminal 3 via the network N.
  • the storage unit 21 includes a ROM that stores a BIOS of the computer that implements the application server 2, a RAM that serves as a work area of the application server 2, an OS and application programs, and various databases including various databases that are referred to when the application programs are executed. It is a large-capacity storage device such as an HDD or SSD that stores information.
  • the storage unit 21 stores an authentication program that causes the control unit 22 to function as a registration request unit 221, a registration result notification unit 222, an authentication request unit 223, and a providing unit 224.
  • the control unit 22 is a processor such as a CPU or a GPU of the application server 2, and executes a program stored in the storage unit 21 to execute a registration request unit 221, a registration result notification unit 222, an authentication request unit 223, and a providing unit. 224.
  • the registration request unit 221 of the application server 2 when the registration request unit 221 of the application server 2 receives a registration request of the user U to the authentication server 1 from the portable terminal 4 used by the user U, the registration request unit 221 requests the authentication server 1 to register the user U.
  • the biometric authentication instruction unit 121 of the authentication server 1 instructs the mobile terminal 4 to execute the biometric authentication.
  • the verification unit 122 verifies the validity of the authentication result.
  • the result transmitting unit 123 verifies that the authentication result of the biometric authentication is valid, the result transmitting unit 123 registers the user U.
  • FIGS. 3 and 4 are sequence diagrams illustrating a flow of processing when the authentication server 1 according to the embodiment registers the user U.
  • the registration request unit 221 of the application server 2 receives a user registration request from the mobile terminal 4 (S1). Specifically, an authentication application that performs biometric authentication and cooperates with the authentication server 1 is installed in the mobile terminal 4. When executing the authentication application, the mobile terminal 4 displays a screen of the authentication application.
  • 5 and 6 are views each showing an example of a screen of the authentication application according to the embodiment.
  • FIG. 5 is an example showing an example of a screen for user registration.
  • FIG. 6 is a diagram illustrating an example of a registered service screen indicating a service for which user registration has been performed.
  • the screens shown in FIGS. 5 and 6 are provided with a tab displayed as “biometric registration” and a tab displayed as “registered”.
  • the authentication application of the portable terminal 4 displays the screen shown in FIG. 5 when the tab displayed as “Biometric authentication registration” is selected, and displays the screen shown in FIG. 6 when the tab displayed as “registered” is selected.
  • the screen shown in is displayed.
  • the authentication application of the mobile terminal 4 is also simply referred to as an authentication application.
  • FIG. 5 shows names of services provided by each of the plurality of authentication servers 1.
  • the user U selects a service desired to be registered in the authentication server 1 by selecting a service name on the screen shown in FIG.
  • the authentication application makes a user registration request to the application server 2 corresponding to the service.
  • the registration request unit 221 Upon receiving a user registration request from the authentication application, the registration request unit 221 transmits a login form, which is a page for receiving an input of a user ID, to the mobile terminal 4, and stores first registration request information including the user ID entered in the login form. To get.
  • a login form which is a page for receiving an input of a user ID
  • the registration request unit 221 transmits a login form for receiving the input of the user ID and the password to the mobile terminal 4 (S2).
  • the login form hashes the user ID and authenticates JavaScript (registered trademark) as a script for acquiring a notification ID as notification identification information used when performing a push notification to the mobile terminal 4.
  • the address to be obtained from the server 1 is embedded.
  • the application server 2 manages a login form in association with a service ID as service identification information.
  • the service ID is identification information for identifying the application server 2, and is a character string having a predetermined length.
  • the authentication application Upon receiving the login form, the authentication application displays the login form on a display unit (not shown) of the mobile terminal 4 (S3). When displaying the login form on the display unit, the authentication application transmits a script acquisition request to the authentication server 1 based on an address for acquiring the script from the authentication server 1 (S4). When receiving the script acquisition request from the portable terminal 4, the control unit 12 of the authentication server 1 transmits the script to the portable terminal 4 (S5).
  • the authentication application receives the input of the user ID and the password from the user U via the login form (S6).
  • the authentication application hashes the user ID based on the script received from the authentication server 1 (S7).
  • the hashed user ID is denoted as h (user ID). Further, the authentication application acquires the notification ID.
  • the login form is provided with a transmission button for transmitting the user ID and the password to the application server 2.
  • the authentication application sends the first registration request information including the user ID, the user ID hashed based on the script, the password, and the notification ID using the HTTPS @ POST method to the application server. 2 (S8).
  • the registration request unit 221 acquires first registration request information.
  • the registration request unit 221 performs password authentication based on the user ID and the password included in the first registration request information acquired from the mobile terminal 4.
  • the storage unit 21 of the application server 2 stores password authentication information in which a user ID is associated with a password.
  • the registration request unit 221 determines that the password authentication has been successful when the user ID and the password included in the first registration request information are stored in association with the storage unit 21.
  • the registration request unit 221 requests the registration of the user U by using the HTTPS @ POST method, including the hashed user ID, the notification ID, and the service ID associated with the login form.
  • the second registration request information to be transmitted to the authentication server 1 (S9).
  • the biometric authentication instruction unit 121 of the authentication server 1 receives the second registration request information from the application server 2. By doing so, since the authentication server 1 does not directly handle the user ID, it is possible to prevent the authentication server 1 from leaking the user ID.
  • the biometric authentication instructing unit 121 specifies an application ID associated with the service ID included in the second registration request information (S10). Specifically, the storage unit 11 stores a service ID and an application ID in association with each other, and the biometric authentication instruction unit 121 specifies the application ID associated with the received service ID.
  • the application ID is, for example, information for identifying the application server 2, and is used in an authentication application to identify a service requiring biometric authentication.
  • the biometric authentication instructing unit 121 uses the notification ID included in the second registration request information to instruct the execution of biometric authentication corresponding to the service ID included in the second registration request information.
  • a push notification of the instruction information is made (S11).
  • the second instruction information includes the application ID and the hashed user ID.
  • the authentication application Upon receiving the second instruction information, the authentication application registers the user in the authentication server 1 by, for example, a processing procedure corresponding to FIDO UAF. Specifically, the authentication application transmits a facet ID acquisition request to the authentication server 1 (S12). Upon receiving the facet ID acquisition request, the authentication server 1 transmits the facet ID to the mobile terminal 4 (S13). Here, the facet ID is used to confirm the validity of the authentication application (client platform).
  • the authentication application verifies the received facet ID (S14). Thereafter, the authentication application transmits information indicating the user registration request to the authentication server 1 (S15). It is assumed that the information indicating the user registration request includes the application ID and the hashed user ID.
  • connection points A, B, and C in FIG. 3 indicate connection to the connection points A, B, and C in FIG. 4, respectively.
  • the description shifts to the processing shown in the sequence diagram of FIG.
  • the biometric authentication instruction unit 121 of the authentication server 1 Upon receiving the information indicating the user registration request, the biometric authentication instruction unit 121 of the authentication server 1 generates challenge information that is a random character string. In addition, the biometric authentication instructing unit 121 selects policy information used to select an authentication method for biometric authentication. The biometric authentication instruction unit 121 transmits the generated challenge information and the selected policy information to the mobile terminal 4 (S16). Upon receiving the challenge information and the policy information, the authentication application selects an authentication method for biometric authentication based on the policy information (S17).
  • the authentication application accepts biometric information from the user of the mobile terminal 4 based on the selected authentication method (S18). For example, the authentication application receives fingerprint information indicating the fingerprint of the user U as biometric information.
  • the authentication application verifies the biometric information based on the biometric information registered in advance by the user U in the authentication application and the biometric information received in S18 (S19).
  • the authentication application Upon verifying that the biometric information received in S18 is valid, the authentication application generates an authentication secret key corresponding to the application ID, an authentication public key, and a key ID for identifying these keys (S20). ).
  • the authentication application exchanges the generated authentication public key, key ID, authentication certificate (Attestation @ Cert), and AAID (Authenticator @ Attestation @ ID) with the secret key of the authentication certificate registered in the authentication application in advance.
  • the signature is used to generate signature data (S21).
  • the authentication application transmits the generated signature data to the authentication server 1 (S22).
  • the verification unit 122 of the authentication server 1 Upon receiving the signature data indicating the biometric authentication result corresponding to the second instruction information from the portable terminal 4, the verification unit 122 of the authentication server 1 verifies the validity of the signature data (S23). Specifically, the storage unit 11 stores the public key of the authentication certificate registered in the authentication application, and the verification unit 122 uses the public key to verify that the received signature data is valid. Verify if there is.
  • the hashed user ID included in the second registration request information The user U is registered by associating the key ID with the application ID, the notification ID, the authentication public key included in the signature data, and the key ID (S24).
  • the result transmitting unit 123 transmits the registration result of the user U to the mobile terminal 4 and the application server 2. For example, the result transmitting unit 123 transmits the registration result in response to the acquisition request of the registration result of the user U being acquired from the application server 2 (S25, S26). In addition, in response to the registration of the user U, the result transmitting unit 123 transmits the registration result to the mobile terminal 4 that has transmitted the second instruction information (S27).
  • the authentication application adds a service for which user registration to the authentication server 1 has been performed to the screen illustrated in FIG.
  • the authentication request unit 223 of the application server 2 when the authentication request unit 223 of the application server 2 receives the authentication request of the user U from the terminal 3 used by the user U, the authentication request unit 223 includes the biometric authentication request information including the service ID and requesting the biometric authentication of the user U. Send it to the authentication server 1.
  • the biometric authentication instruction unit 121 of the authentication server 1 Upon receiving the biometric authentication request information, the biometric authentication instruction unit 121 of the authentication server 1 sends the biometric authentication corresponding to the service ID included in the biometric authentication request information to the portable terminal 4 owned by the user U and capable of executing biometric authentication. To execute Upon receiving the biometric authentication result from the mobile terminal 4, the verification unit 122 verifies the validity of the authentication result. When the authentication result of the biometric authentication is verified to be valid, the result transmitting unit 123 determines that the authentication of the user U has succeeded, and transmits the authentication result to the application server 2 that has transmitted the biometric authentication request information.
  • the providing unit 224 of the application server 2 receives the authentication result of the biometric authentication from the authentication server 1 and, when the authentication result indicates that the biometric authentication is successful, provides the terminal 3 with a function related to the application.
  • FIGS. 7 and 8 are sequence diagrams illustrating a flow of processing when authenticating the user U in the authentication system S according to the embodiment.
  • the authentication request unit 223 of the application server 2 transmits a login form to the terminal 3 (S102).
  • the login form contains the address of the authentication server 1, which is a JavaScript address as a script for hashing the user ID.
  • the application server 2 manages the login form and the service ID in association with each other.
  • the terminal 3 Upon receiving the login form, the terminal 3 displays the login form on a display unit (not shown) of the terminal 3 (S103). When displaying the login form on the display unit, the terminal 3 transmits a script acquisition request to the authentication server 1 based on the address for acquiring the script from the authentication server 1 (S104). When receiving the script acquisition request from the terminal 3, the control unit 12 of the authentication server 1 transmits the script to the terminal 3 (S105).
  • the terminal 3 receives the input of the user ID from the user U via the login form (S106). Note that, at the time of authentication of the user U, authentication by biometric authentication is performed instead of the password, and therefore, it is assumed that input of the password is not accepted in the login form.
  • the terminal 3 hashes the user ID based on the script received from the authentication server 1 (S107).
  • the login form is provided with a transmission button for transmitting the user ID to the application server 2.
  • the terminal 3 transmits the user ID and the hashed user ID to the application server 2 by using the HTTPS POST method (S108).
  • the authentication request unit 223 acquires the user ID and the hashed user ID from the terminal 3.
  • the authentication request unit 223 When the authentication request unit 223 obtains the user ID and the hashed user ID from the terminal 3, the authentication request unit 223 refers to the storage unit 21 and determines whether the user ID is stored. When determining that the user ID acquired from the terminal 3 is stored in the storage unit 21, the authentication request unit 223 requests the authentication server 1 to perform biometric authentication of the user U corresponding to the user ID. Specifically, the authentication request unit 223 transmits biometric authentication request information including the hashed user ID and the service ID associated with the login form transmitted to the terminal 3 to the authentication server 1, It requests the biometric authentication of the user U from the authentication server 1 (S109).
  • the biometric authentication instruction unit 121 of the authentication server 1 receives biometric authentication request information from the terminal 3. Upon receiving the biometric authentication request information, the biometric authentication instruction unit 121 specifies the application ID and the notification ID. Specifically, the biometric authentication instructing unit 121 specifies the notification ID associated with the hashed user ID and service ID included in the biometric authentication request information with reference to the storage unit 11. When receiving the biometric authentication request information, the biometric authentication instruction unit 121 refers to the storage unit 11 and specifies the application ID associated with the service ID included in the biometric authentication request information.
  • the biometric authentication instructing unit 121 pushes the first instruction information for instructing execution of the biometric authentication corresponding to the service ID to the portable terminal 4 based on the specified notification ID (S111).
  • the first instruction information includes an application ID and a hashed user ID.
  • the authentication application of the mobile terminal 4 Upon receiving the first instruction information, the authentication application of the mobile terminal 4 performs biometric authentication according to, for example, a processing procedure corresponding to FIDO UAF. Specifically, the authentication application transmits a facet ID acquisition request to the authentication server 1 (S112). Upon receiving the facet ID acquisition request, the authentication server 1 transmits the facet ID to the mobile terminal 4 (S113).
  • the authentication application verifies the received facet ID (S114). Thereafter, the authentication application transmits information indicating the authentication start request to the authentication server 1 (S115). It is assumed that the information indicating the authentication start request includes the application ID and the hashed user ID.
  • connection points E, F, G, and H in FIG. 7 indicate that they are connected to the connection points E, F, G, and H in FIG. 8, respectively.
  • the description shifts to the processing shown in the sequence diagram of FIG.
  • the biometric authentication instruction unit 121 of the authentication server 1 Upon receiving the authentication start request, the biometric authentication instruction unit 121 of the authentication server 1 generates challenge information that is a random character string. In addition, the biometric authentication instructing unit 121 selects policy information used to select an authentication method for biometric authentication. The biometric authentication instruction unit 121 transmits the generated challenge information and the selected policy information to the mobile terminal 4 (S116). Upon receiving the challenge information and the policy information, the authentication application selects an authentication method for biometric authentication based on the policy information (S117).
  • the authentication application receives biometric information from the user of the mobile terminal 4 based on the selected authentication method (S118).
  • the authentication application verifies the biometric information based on the biometric information registered in advance by the user U in the authentication application and the biometric information received in S118 (S119).
  • the authentication application verifies that the biometric information received in S118 is valid, the authentication application signs the verification result and the challenge information using the authentication secret key corresponding to the application ID included in the first instruction information, The signature data is generated (S120).
  • the authentication application transmits the generated signature data to the authentication server 1 as a result of biometric authentication corresponding to the second instruction information, and transmits a key ID corresponding to the authentication secret key to the authentication server 1 (S121). .
  • the verification unit 122 of the authentication server 1 receives the signature data indicating the biometric authentication result corresponding to the second instruction information from the mobile terminal 4, it verifies the validity of the signature data (S122). Specifically, the verification unit 122 refers to the storage unit 11 and specifies the authentication public key associated with the key ID received together with the signature data. The verification unit 122 verifies whether the received signature data is valid using the specified authentication public key.
  • the result transmitting unit 123 transmits the authentication result of the user U to the mobile terminal 4 and the application server 2. Specifically, the providing unit 224 of the application server 2 transmits a request to acquire the authentication result of the user U to the authentication server 1 (S123). The result transmitting unit 123 transmits the authentication result to the application server 2 in response to the acquisition request of the user U for acquiring the authentication result (S124). Further, in response to authenticating the user U, the result transmitting unit 123 transmits an authentication result to the mobile terminal 4 that has transmitted the first instruction information (S125).
  • the providing unit 224 of the application server 2 provides the terminal 3 with a function related to the application when the authentication result of the biometric authentication received from the authentication server 1 indicates that the biometric authentication is successful. Specifically, if the authentication result of the biometric authentication received from the authentication server 1 indicates that the biometric authentication was successful, the providing unit 224 transmits an authentication completion page indicating that the biometric authentication was successful to the terminal 3. (S126). Here, on the authentication completion page, information indicating that authentication has been successful is displayed, and an OK button for requesting the application server 2 to provide an application page for providing an application function provided by the application server 2 Is provided.
  • the terminal 3 displays the received authentication completion page on the display unit.
  • the terminal 3 transmits an application page acquisition request to the application server 2 (S127).
  • the application page acquisition request may be performed by redirection.
  • the providing unit 224 of the application server 2 transmits the application page to the terminal 3 (S128).
  • the result transmitting unit 123 may cause the terminal 3 or the mobile terminal 4 to display information indicating that the user authentication has succeeded. For example, when the authentication result indicates that the biometric authentication has succeeded, the result transmitting unit 123 causes the terminal 3 or the mobile terminal 4 to display information indicating that the user U has been successfully authenticated for a predetermined time.
  • FIG. 9 is a diagram illustrating an example in which information indicating that the user U has been successfully authenticated is displayed on the mobile terminal 4.
  • an authentication success image which is an image indicating that the authentication of the user U is successful, is displayed in the area 41 corresponding to the service B. You can see that it is.
  • the area 41 it can be confirmed that the display period of the information indicating that the authentication is successful, that is, the valid period of the authentication is displayed.
  • the portable terminal 4 and the authentication server 1 share a common key for generating a one-time password.
  • the result transmitting unit 123 of the authentication server 1 generates a common key for password generation in accordance with the registration of the user U.
  • the result transmitting unit 123 stores the generated common key in association with the hashed user ID and the application ID, and transmits the registration result and the common key to the mobile terminal 4.
  • the mobile terminal 4 stores the received common key in association with the service in which the user has been registered. Thereby, the common key is shared between the mobile terminal 4 and the authentication server 1.
  • the authentication application of the portable terminal 4 displays a one-time password corresponding to each of the plurality of services on the registered service screen indicating the service for which user registration has been performed as illustrated in FIG.
  • the authentication application of the mobile terminal 4 generates a one-time password at predetermined time intervals based on the common key for generating a password and the current time, and causes the display unit of the mobile terminal 4 to display the one-time password.
  • the authentication request unit 223 receives a user ID and a one-time password from the terminal 3, thereby receiving a request for authentication of the user U. For example, the authentication request unit 223 transmits a login form for accepting the input of the user ID and the one-time password to the terminal 3, and accepts the user ID and the one-time password from the terminal 3. The authentication request unit 223 transmits biometric authentication request information including the user ID and the one-time password to the authentication server 1.
  • the biometric authentication instructing unit 121 Upon receiving the biometric authentication request information from the application server 2, the biometric authentication instructing unit 121 generates a one-time password based on the common key for password generation and the current time, and generates the generated one-time password and the biometric authentication request. Based on whether or not the one-time password included in the information matches, it is determined whether or not the terminal 3 and the mobile terminal 4 are in a trust relationship. When the generated one-time password matches the one-time password included in the biometric authentication request information, the biometric authentication instructing unit 121 determines that the terminal 3 and the mobile terminal 4 are in a trust relationship state, and To the first instruction information.
  • the terminal 3 may store the user ID hashed based on the user ID input in the login form in the terminal 3 if the authentication of the user U succeeds after inputting the one-time password. For example, when transmitting the authentication completion page indicating that the biometric authentication has succeeded to the terminal 3, the providing unit 224 of the application server 2 executes a script for storing the hashed user ID in the authentication completion page. When the address is embedded and the terminal 3 displays the authentication completion page, the terminal 3 acquires the script. The terminal 3 stores the hashed user ID as cookie information corresponding to the login form based on the acquired script.
  • the authentication request unit 223 determines whether a hashed user ID is stored in the terminal 3 when receiving the authentication request of the user U from the terminal 3. If the authentication request unit 223 determines that the hashed user ID is stored in the terminal 3, the authentication request unit 223 does not accept the input of the user ID in the login form from the terminal 3, and outputs the hashed user ID. get.
  • the authentication request unit 223 transmits biometric authentication request information including the hashed user ID, the service ID associated with the login form, and information indicating that the user ID has been automatically acquired. Send to
  • the biometric authentication instruction unit 121 sets the terminal 3 and the mobile terminal 4 in a trust relationship state. It is determined that there is, and the first instruction information is transmitted to the mobile terminal 4.
  • the authentication system S omits the input of the user ID after the trust relationship is established between the terminal 3 and the portable terminal 4, and reduces the amount of operation of the user related to the user authentication. be able to.
  • the authentication server 1 may construct a trust relationship between the terminal 3 and the portable terminal 4 by another method.
  • FIG. 10 is a diagram schematically illustrating a modified example of the functional configuration of each of the authentication server 1 and the application server 2 according to the embodiment. As shown in FIG. 10, the authentication server 1 further includes a trust building unit 124.
  • the trust building unit 124 connects the terminal 3 and the mobile terminal 4 to be communicable with each other via the authentication server 1 based on the predetermined channel identification information. 4 accepts whether or not the terminal 3 and the portable terminal 4 have a trust relationship. For example, in the login form transmitted to the terminal 3 at the time of user authentication, a user ID is input, and the terminal 3 and the authentication server 1 can communicate with each other by predetermined channel identification information at a timing of transmitting biometric authentication request information to the authentication server 1.
  • the authentication server 1 and the terminal 3 are communicably connected to each other based on the script.
  • the trust building unit 124 When the push notification to the mobile terminal 4 is performed, the trust building unit 124 notifies the mobile terminal 4 of a predetermined channel ID. Then, the trust building unit 124 generates a Node.Net which is a JavaScript environment operating on the server side. By using js and WebSocket for performing bidirectional communication between terminals via the authentication server 1, the terminal 3 and the portable terminal 4 are communicably connected via the authentication server 1.
  • the trust building unit 124 causes the mobile terminal 4 to display a selection button for selecting whether or not the terminal 3 and the mobile terminal 4 have a trust relationship, and determines whether the terminal 3 and the mobile terminal 4 have a trust relationship. Accept or not.
  • the trust building unit 124 Upon receiving from the mobile terminal 4 that the terminal 3 and the mobile terminal 4 have a trust relationship, the trust building unit 124 causes the terminal 3 and the mobile terminal 4 to store predetermined channel identification information as trust relationship information. Further, the trust building unit 124 causes the terminal 3 to store the hashed user ID.
  • the terminal 3 and the mobile terminal 4 communicate with the predetermined channel stored in the terminal 3 and the mobile terminal 4. Based on the identification information, the connection is established via the authentication server 1 so that communication is possible.
  • the connection script includes a code for communication-connecting with the mobile terminal 4 via the authentication server 1 when predetermined channel identification information is stored in the terminal 3. Based on the code, it is communicably connected to the mobile terminal 4 via the authentication server 1.
  • the biometric authentication instructing unit 121 stores predetermined channel identification information (trust information) in the terminal 3 and the mobile terminal 4, and connects the terminal 3 and the mobile terminal 4 so as to be communicable via the authentication server 1. If so, the terminal 3 and the mobile terminal 4 are determined to be in a trust relationship, and the mobile terminal 4 is notified of the first instruction information by push notification.
  • trust information predetermined channel identification information
  • the authentication request unit 223 responds to the operation of the mobile terminal 4. Then, a user ID is obtained from the terminal 3. For example, the screen shown in FIG. 6 is displayed on the mobile terminal 4, and in response to the selection of a service on the screen, the terminal 3 is notified that the service has been selected. When notified that the service has been selected, the terminal 3 transmits the hashed user ID stored in the storage unit corresponding to the service to the application server 2.
  • the authentication request unit 223 of the application server 2 transmits the hashed user ID, the service ID associated with the login form transmitted to the terminal 3, and information indicating that the user ID has been automatically acquired.
  • the biometric authentication request information including the biometric authentication request information is transmitted to the authentication server 1.
  • the biometric authentication instruction unit 121 sets the terminal 3 and the mobile terminal 4 in a trust relationship state. It is determined that there is, and the first instruction information is transmitted to the mobile terminal 4.
  • the authentication system S can prevent a push notification from being issued to a portable terminal owned by a user different from the user U.
  • the application server 2 when the application server 2 receives the authentication request of the user U from the terminal 3 used by the user U, the application server 2 changes the service ID for identifying the application server 2 to the service ID. By transmitting the biometric authentication request information for requesting the biometric authentication of the user U to the authentication server 1, the authentication server 1 requests biometric authentication. Upon receiving the biometric authentication request information, the authentication server 1 instructs the portable terminal 4 owned by the user U and capable of executing biometric authentication to execute biometric authentication corresponding to the service ID included in the biometric authentication request information. The push notification of the first instruction information is performed, and the authentication result of the biometric authentication is received from the mobile terminal 4.
  • the authentication server 1 When the authentication server 1 verifies that the authentication result is valid, the authentication server 1 transmits the authentication result to the application server 2 that has transmitted the biometric authentication request information.
  • the application server 2 receives the authentication result of the biometric authentication from the authentication server 1 and, when the authentication result indicates that the biometric authentication is successful, provides the terminal 3 with a function related to the application.
  • the operator of the application server 2 has a function of performing a process related to a biometric authentication request when performing biometric authentication at the time of authentication of the user U in the application server 2 and a function of performing processing related to a request for biometric authentication.
  • the application server 2 can easily handle the result of biometric authentication simply by mounting the function of providing the function related to the application to the terminal 3 in the application server 2. Therefore, the authentication system S can easily handle the result of biometric authentication in the application server 2.
  • the present invention has been described using the embodiment, but the technical scope of the present invention is not limited to the scope described in the above embodiment, and various modifications and changes are possible within the scope of the gist. is there.
  • the authentication server 1 in response to receiving a request for biometric authentication from the application server 2, the authentication server 1 pushes the first instruction information for instructing the mobile terminal 4 to execute biometric authentication.
  • the mobile terminal 4 is configured to execute the biometric authentication, the present invention is not limited to this.
  • biometric authentication in the portable terminal 4 may be executed before accepting a biometric authentication request from the terminal 3.
  • the user U performs an operation of selecting a service for performing biometric authentication on the screen illustrated in FIG.
  • the mobile terminal 4 stores a service name, an application ID, and a hashed user ID in association with each other in advance. These pieces of information are stored in a secure area compliant with TEE (Trusted Execution Environment) in a state of being encrypted using AES (Advanced Encryption Standard) -GCM (Galois / Counter Mode).
  • TEE Truste.g., TEE (Trusted Execution Environment) in a state of being encrypted using AES (Advanced Encryption Standard) -GCM (Galois / Counter Mode).
  • AES Advanced Encryption Standard
  • GCM Galois / Counter Mode
  • the unique code is generated based on, for example, the application ID and the hashed user ID.
  • the authentication application transmits an authentication start request including the application ID and the hashed user ID to the authentication server 1, as in the process of S115 illustrated in FIG. Thereafter, the processes of S116 to S122 shown in FIG. 8 are executed between the portable terminal 4 and the authentication server 1.
  • the verification unit 122 of the authentication server 1 receives the authentication result of the biometric authentication performed in the mobile terminal 4 from the mobile terminal 4 before the authentication server 1 receives the biometric authentication request information, and checks the validity of the authentication result. Verify When the verification unit 122 verifies that the authentication result is valid, the verification unit 122 compares the pre-authentication information that associates the hashed user ID, the application ID, and the authentication result included in the authentication start request for a predetermined time (for example, 5 minutes). ) Is stored in the storage unit 11.
  • the result transmitting unit 123 transmits the authentication result in response to the authentication server 1 receiving the biometric authentication request information after the authentication result is verified by the verification unit 122 to be valid. Send to application server 2. Specifically, when receiving the biometric authentication request information, the result transmitting unit 123 specifies the application ID associated with the service ID included in the biometric authentication request information. When the pre-authentication information corresponding to the hashed user ID included in the biometric authentication request information and the specified application ID is stored in the storage unit 11, the result transmitting unit 123 includes the pre-authentication information in the pre-authentication information. The authentication result is transmitted to the application server 2 that has transmitted the biometric authentication request information. By doing so, the user U can receive the provision of the function of the application server 2 by completing the authentication in advance.
  • the authentication system S may be used when a user enters an event venue.
  • the user U performs a user registration corresponding to the application server 2 that provides a service corresponding to the event before accepting the entrance at the event venue.
  • the user ID and the password are associated with the ticket, and are notified to the user U when the ticket is issued, for example.
  • the user U authenticates the user U using the authentication system S at the event site.
  • the result transmission unit 123 of the authentication server 1 causes the mobile terminal 4 of the user U to display an authentication success image indicating that the authentication of the user U has been successful for a predetermined time.
  • the attendant managing the entrance at the event venue permits the user U to enter by confirming that the authentication success image is displayed on the mobile terminal 4.
  • the user U performs authentication again. By doing so, the authentication system S can prevent a third party from impersonating the ticket purchaser.
  • the result transmitting unit 123 causes the portable terminal 4 to display an authentication success image when the authentication is successful, but the present invention is not limited to this.
  • the result transmitting unit 123 generates a QR code (registered trademark) indicating a valid token for a predetermined time based on TOTP (Time-based One-time Password), and causes the mobile terminal 4 to display the QR code.
  • QR code registered trademark
  • TOTP Time-based One-time Password
  • the attendant managing the entrance at the event venue allows the user U to enter by confirming that the determination result indicating that the token is valid is displayed on the entrance management device.
  • the entrance management device may send a control signal that causes the entrance gate to open the gate, and control the gate to open.
  • the terminal 3 is assumed to be owned by the user, but is not limited to this.
  • the terminal 3 may be a terminal used by a staff member managing entry.
  • a push notification is performed from the authentication server 1 to the mobile terminal 4, and the biometric authentication of the user U is performed.
  • the terminal 3 displays information indicating that the biometric authentication of the user U is successful.
  • the clerk managing the entry permits the entry of the user U when information indicating that the biometric authentication of the user U is successful is displayed on the terminal 3.
  • the user U inputs the user ID to the terminal 3, but is not limited to this.
  • the application server 2 specifies the user ID corresponding to the telephone number, and sends a request for biometric authentication of the user corresponding to the user ID to the authentication server. 1 may be performed.
  • the terminal 3 may accept the input of the last four digits of the telephone number, and the application server 2 may specify the user ID based on the last four digits of the telephone number.
  • the application server 2 causes the terminal 3 to display a plurality of user IDs associated with these telephone numbers, Therefore, the user's own user ID may be selected.
  • the terminal 3 and the portable terminal 4 are different, but the present invention is not limited to this.
  • the mobile terminal 4 may function as the terminal 3. Even when the user U has only the portable terminal 4, user authentication can be performed in the same procedure as in the embodiment.
  • the specific embodiment of the distribution / integration of the apparatus is not limited to the above-described embodiment, and all or a part of the apparatus is functionally or physically distributed / integrated in an arbitrary unit. can do.
  • new embodiments that are generated by arbitrary combinations of the plurality of embodiments are also included in the embodiments of the present invention. The effect of the new embodiment caused by the combination has the effect of the original embodiment.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Biomedical Technology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Theoretical Computer Science (AREA)
  • Power Engineering (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Telephonic Communication Services (AREA)

Abstract

認証システムＳにおいて、アプリケーションサーバ２は、端末３からユーザの認証要求を受け付けると、自身を識別するサービスＩＤを含み、ユーザの生体認証を要求する生体認証要求情報を認証サーバ１に送信する認証要求部２２３と、当該生体認証に成功すると端末３にアプリケーションに関する機能を提供する提供部２２４と、を有し、認証サーバ１は、生体認証要求情報を受信すると、ユーザが所持する携帯端末４に、当該生体認証要求情報に含まれるサービスＩＤに対応する生体認証の実行を指示する第１指示情報をプッシュ通知する生体認証指示部１２１と、携帯端末４から受信した第１指示情報に対応する生体認証の認証結果が正当であると検証されると、認証結果を、生体認証要求情報を送信したアプリケーションサーバ２に送信する結果送信部１２３と、を有する。

Description

認証システム、認証方法、アプリケーション提供装置、認証装置、認証用プログラム
　本発明は、認証システム、認証方法、アプリケーション提供装置、認証装置、認証用プログラムに関する。
　近年、Ｗｅｂアプリケーション等のアプリケーションを提供するＷｅｂサイトの認証において、従来のパスワード認証の代替手段として生体認証を用いるケースが増えている。生体認証を用いた認証の仕組みとして、ＦＩＤＯ（Fast IDentity Online）　ＵＡＦ（Universal Authentication Framework）が注目されており、準拠した製品も開発されている（例えば、特許文献１参照）。
特開２０１７－１５２８８０号公報
　ＦＩＤＯ　ＵＡＦでは、サーバ側に生体情報を保存する必要がないため安全性が高く有効である。しかしながら、アプリケーションの開発者がＦＩＤＯ　ＵＡＦを導入する場合、ＦＩＤＯ　ＵＡＦに準拠した処理を実行する認証サーバを導入する必要があり、導入障壁が高いという問題がある。
　そこで、本発明はこれらの点に鑑みてなされたものであり、アプリケーションサーバにおいて生体認証の結果を容易に扱えるようにすることができる認証システム、認証方法、アプリケーション提供装置、認証装置、認証用プログラムを提供することを目的とする。
　本発明の第１の態様に係る認証システムは、アプリケーションを提供する複数のアプリケーション提供装置と、前記アプリケーションを利用するユーザの生体認証を行う認証装置とを備える認証システムであって、前記アプリケーション提供装置は、端末から前記ユーザの認証要求を受け付けると、前記アプリケーション提供装置を識別するサービス識別情報を含み、前記ユーザの生体認証を要求する生体認証要求情報を前記認証装置に送信する認証要求部と、前記認証装置から前記生体認証の認証結果を受信し、当該認証結果が前記生体認証に成功したことを示していると、前記端末に前記アプリケーションに関する機能を提供する提供部と、を有し、前記認証装置は、前記生体認証要求情報を受信すると、前記ユーザが所持し、生体認証を実行可能な携帯端末に、当該生体認証要求情報に含まれるサービス識別情報に対応する前記生体認証の実行を指示する第１指示情報をプッシュ通知する生体認証指示部と、前記携帯端末から前記第１指示情報に対応する前記生体認証の認証結果を受信し、当該認証結果の正当性を検証する検証部と、前記検証部により前記認証結果が正当であると検証されると、前記認証結果を、前記生体認証要求情報を送信した前記アプリケーション提供装置に送信する結果送信部と、を有する。
　前記認証装置は、前記ユーザを識別するユーザ識別情報と、前記サービス識別情報と、前記携帯端末に前記プッシュ通知を行う場合に使用される通知用識別情報とを関連付けて記憶する記憶部をさらに有し、前記認証要求部は、前記端末から前記ユーザ識別情報を取得すると、当該ユーザ識別情報と、前記サービス識別情報とを含む生体認証要求情報を前記認証装置に送信し、前記生体認証指示部は、前記生体認証要求情報を受信すると、前記記憶部を参照し、前記ユーザ識別情報及び前記サービス識別情報に関連付けられている前記通知用識別情報に基づいて、前記携帯端末に前記第１指示情報をプッシュ通知してもよい。
　前記記憶部は、前記サービス識別情報と、前記通知用識別情報と、ハッシュ化された前記ユーザ識別情報とを関連付けて記憶し、前記認証要求部は、前記端末から前記ハッシュ化されたユーザ識別情報を取得すると、前記サービス識別情報及び前記ハッシュ化されたユーザ識別情報を含む前記生体認証要求情報を前記認証装置に送信し、前記生体認証指示部は、前記生体認証要求情報を受信すると、前記記憶部を参照し、前記ハッシュ化されたユーザ識別情報及び前記サービス識別情報に関連付けられている前記通知用識別情報に基づいて、前記携帯端末に前記第１指示情報をプッシュ通知してもよい。
　前記認証要求部は、前記ユーザ識別情報をハッシュ化するスクリプトのアドレスを含み、前記ユーザ識別情報の入力を受け付けるページを送信し、当該アドレスに基づいて前記携帯端末が取得した前記スクリプトに基づいて生成された前記ハッシュ化されたユーザ識別情報を前記端末から取得してもよい。
　前記アプリケーション提供装置は、前記携帯端末から、前記ユーザ識別情報と、前記通知用識別情報とを含み、前記ユーザの前記認証装置への登録要求を示す第１登録要求情報を取得すると、当該ユーザ識別情報と、当該通知用識別情報と、前記サービス識別情報とを含み、当該ユーザの登録を要求する第２登録要求情報を前記認証装置に送信する登録要求部をさらに有し、前記生体認証指示部は、前記第２登録要求情報を受信すると、当該第２登録要求情報に含まれる前記通知用識別情報に基づいて、前記携帯端末に、当該第２登録要求情報に含まれるサービス識別情報に対応する前記生体認証の実行を指示する第２指示情報をプッシュ通知し、前記検証部は、前記携帯端末から前記第２指示情報に対応する前記生体認証の認証結果を受信し、当該認証結果の正当性を検証し、前記結果送信部は、前記検証部により前記第２指示情報に対応する前記生体認証の認証結果が正当であると検証されると、前記第２登録要求情報に含まれる前記ユーザ識別情報と、前記サービス識別情報と、前記通知用識別情報とを関連付けて前記記憶部に記憶させ、前記ユーザの登録結果を前記携帯端末及び前記アプリケーション提供装置に送信してもよい。
　前記登録要求部は、前記ユーザ識別情報をハッシュ化するスクリプトのアドレスを含み、前記ユーザ識別情報の入力を受け付けるページを送信し、当該アドレスに基づいて前記携帯端末が取得した前記スクリプトに基づいて生成された前記ハッシュ化されたユーザ識別情報を含む前記第１登録要求情報を取得してもよい。
　前記生体認証指示部は、前記端末と前記携帯端末とが同一のユーザにより使用されていることを示す信頼関係状態であるか否かを判定し、前記端末と前記携帯端末とが前記信頼関係状態にあると判定すると、前記第１指示情報をプッシュ通知してもよい。
　前記携帯端末と前記認証装置とは、ワンタイムパスワードを生成するための共通鍵を共有し、前記携帯端末は、前記共通鍵に基づいて前記ワンタイムパスワードを生成して表示し、前記認証要求部は、前記端末から、前記ユーザを識別するユーザ識別情報と前記ワンタイムパスワードとを受け付けることにより、前記ユーザの認証の要求を受け付け、当該ユーザ識別情報と当該ワンタイムパスワードとを含む前記生体認証要求情報を前記認証装置に送信し、前記生体認証指示部は、前記生体認証要求情報を受信すると、前記共通鍵に基づいてワンタイムパスワードを生成し、生成したワンタイムパスワードと、前記生体認証要求情報に含まれるワンタイムパスワードとが一致するか否かに基づいて、前記端末と前記携帯端末とが信頼関係状態にあるか否かを判定してもよい。
　前記端末は、前記ユーザの認証に成功すると、当該認証に用いられた前記ユーザ識別情報を前記端末に記憶させ、前記認証要求部は、前記端末から前記ユーザの認証要求を受け付ける場合に前記端末に前記ユーザ識別情報が記憶されているときには、前記端末から当該ユーザ識別情報を取得し、当該ユーザ識別情報と前記サービス識別情報とを含む前記生体認証要求情報を前記認証装置に送信してもよい。
　前記認証装置は、前記生体認証要求情報を取得すると、所定のチャネル識別情報に基づいて、前記端末と前記携帯端末とを前記認証装置を介して通信可能に接続させ、前記携帯端末から前記端末と前記携帯端末とが信頼関係にあるか否かを受け付け、前記信頼関係にあることを受け付けると、前記端末と前記携帯端末とに前記信頼関係にあることを示す信頼関係情報を記憶させる信頼構築部をさらに有し、前記生体認証指示部は、前記端末と前記携帯端末とに前記信頼関係情報が記憶されている場合に前記端末と前記携帯端末とが前記信頼関係状態にあると判定し、当該携帯端末に前記第１指示情報をプッシュ通知してもよい。
　前記検証部は、前記認証装置が前記生体認証要求情報を受信する前に、前記携帯端末から、前記携帯端末において行われた前記生体認証の認証結果を受信し、当該認証結果の正当性を検証し、前記結果送信部は、前記検証部により前記認証結果が正当であると検証された後に、前記生体認証要求情報を受信したことに応じて、前記認証結果を、前記生体認証要求情報を送信した前記アプリケーション提供装置に送信してもよい。
　前記結果送信部は、前記認証結果が前記生体認証に成功したことを示していると、前記端末又は前記携帯端末に、前記ユーザの認証に成功したことを示す情報を表示させてもよい。
　前記結果送信部は、前記認証結果が前記生体認証に成功したことを示していると、前記端末又は前記携帯端末に、所定時間にわたって前記ユーザの認証に成功したことを示す情報を表示させてもよい。
　本発明の第２の態様に係る認証方法は、アプリケーションを提供する複数のアプリケーション提供装置と、前記アプリケーションを利用するユーザの認証を行う認証装置とを備える認証システムが実行する認証方法であって、前記アプリケーション提供装置が、端末から前記ユーザの認証要求を受け付けると、当該アプリケーション提供装置を識別するサービス識別情報を含み、前記ユーザの生体認証を要求する生体認証要求情報を前記認証装置に送信するステップと、前記認証装置が、前記生体認証要求情報を受信すると、前記ユーザが所持し、生体認証を実行可能な携帯端末に、前記生体認証要求情報に含まれるサービス識別情報に対応する前記生体認証の実行を指示する第１指示情報をプッシュ通知するステップと、前記認証装置が、前記携帯端末から前記第１指示情報に対応する前記生体認証の認証結果を受信し、当該認証結果の正当性を検証するステップと、前記認証装置が、前記認証結果が正当であると検証すると、前記認証結果を、前記生体認証要求情報を送信した前記アプリケーション提供装置に送信するステップと、前記アプリケーション提供装置が、前記認証装置から前記生体認証の認証結果を受信し、当該認証結果が前記生体認証に成功したことを示していると、前記端末に前記アプリケーションに関する機能を提供するステップと、を有する。
　本発明の第３の態様に係るアプリケーション提供装置は、アプリケーションを提供するアプリケーション提供装置であって、端末からユーザの認証要求を受け付けると、自身を識別するサービス識別情報を含み、前記ユーザの生体認証を要求する生体認証要求情報を、前記ユーザの生体認証を行う認証装置に送信する認証要求部と、前記認証装置から前記生体認証の認証結果を受信し、当該認証結果が前記生体認証に成功したことを示していると、前記端末に前記アプリケーションに関する機能を提供する提供部と、を備える。
　本発明の第４の態様に係る認証装置は、ユーザの生体認証を行う認証装置であって、アプリケーションを提供するアプリケーション提供装置から、前記アプリケーション提供装置を識別するサービス識別情報を含み、前記ユーザの生体認証を要求する生体認証要求情報を受信すると、前記ユーザが所持し、生体認証を実行可能な携帯端末に、当該サービス識別情報に対応する前記生体認証の実行を指示する指示情報をプッシュ通知する生体認証指示部と、前記携帯端末から前記指示情報に対応する前記生体認証の認証結果を受信し、当該認証結果の正当性を検証する検証部と、前記検証部により前記認証結果が正当であると検証されると、前記認証結果を、前記生体認証要求情報を送信した前記アプリケーション提供装置に送信する結果送信部と、を備える。
　本発明の第５の態様に係る認証用プログラムは、アプリケーションを提供するコンピュータを、端末からユーザの認証要求を受け付けると、自身を識別するサービス識別情報を含み、前記ユーザの生体認証を要求する生体認証要求情報を、前記ユーザの生体認証を行う認証装置に送信する認証要求部、及び、前記認証装置から前記生体認証の認証結果を受信し、当該認証結果が前記生体認証に成功したことを示していると、前記端末に前記アプリケーションに関する機能を提供する提供部、として機能させる。
　本発明によれば、アプリケーションサーバにおいて生体認証の結果を容易に扱えるようにすることができるという効果を奏する。
実施の形態に係る認証システムの構成を示す図である。 実施の形態に係る認証サーバとアプリケーションサーバとのそれぞれの機能構成を模式的に示す図である。 実施の形態に係る認証サーバがユーザを登録する場合の処理の流れを示すシーケンス図である。 図３に続くシーケンス図である。 ユーザ登録用の画面の一例を示す例である。 ユーザ登録が行われたサービスを示す登録済サービス画面の一例を示す図である。 実施の形態に係る認証システムにおいてユーザを認証する場合の処理の流れを示すシーケンス図である。 図７に続くシーケンス図である。 携帯端末にユーザの認証に成功したことを示す情報が表示された例を示す図である。 実施の形態の認証サーバとアプリケーションサーバとのそれぞれの機能構成の変形例を模式的に示す図である。
［認証システムＳの概要］
　図１は、実施の形態に係る認証システムＳの構成を示す図である。認証システムＳは、認証装置としての認証サーバ１と、アプリケーション提供装置としてのアプリケーションサーバ２と、端末３と、携帯端末４とを備え、生体認証を行うシステムである。
　端末３は、例えば、ユーザＵが使用するパーソナルコンピュータである。携帯端末４は、例えば、スマートフォン等の携帯電話機であり、指紋認証等の生体認証を行うことができる。
　端末３及び携帯端末４は、例えば、ＬＡＮや携帯電話回線網やＷｉ－Ｆｉ（登録商標）等のネットワークＮを介して、認証サーバ１及びアプリケーションサーバ２と通信可能に接続されている。
　認証サーバ１は、携帯端末４を用いてユーザＵの生体認証を行うサーバである。
　アプリケーションサーバ２は、端末３にアプリケーションを提供するサーバである。実施の形態において、アプリケーションサーバ２は複数設けられているものとする。
　以下、認証システムＳで行われる処理の手順を（１）から（６）で説明するが、その説明は図１中の（１）から（６）と対応する。
　（１）、（２）アプリケーションサーバ２は、端末３から認証要求を受け付けると、認証サーバ１に端末３のユーザに対する生体認証の要求を行う。
　（３）認証サーバ１は、アプリケーションサーバ２から端末３のユーザに対する生体認証の要求を受け付けると、携帯端末４に、生体認証の実行を指示する指示情報をプッシュ通知し、携帯端末４に生体認証を行わせる。
　（４）、（５）認証サーバ１は、携帯端末４から生体認証の認証結果を取得し、認証結果が正当であることを確認すると、認証結果をアプリケーションサーバ２に送信する。
　（６）アプリケーションサーバ２は、認証サーバ１から受信した認証結果が生体認証に成功したことを示していると、ユーザＵにアプリケーションに係る機能を提供する。
　アプリケーションサーバ２の運用者は、アプリケーションサーバ２におけるユーザＵの認証時においてユーザＵに生体認証を行わせる場合に、生体認証の要求に関する処理を行う機能と、認証結果を取得する機能とを実装するだけで、アプリケーションサーバ２において生体認証の結果を容易に扱えるようにすることができる。
［認証サーバ１及びアプリケーションサーバ２の機能構成］
　以下、図２を参照して、認証サーバ１の機能構成とアプリケーションサーバ２の機能構成とを説明する。図２は、実施の形態に係る認証サーバ１とアプリケーションサーバ２とのそれぞれの機能構成を模式的に示す図である。
　図２に示すように、認証サーバ１は、通信部１０、記憶部１１、及び制御部１２を備える。通信部１０は、ネットワークＮを介してアプリケーションサーバ２及び携帯端末４との間でデータを送受信する。記憶部１１は、認証サーバ１を実現するコンピュータのＢＩＯＳ（Basic Input Output System）等を格納するＲＯＭ（Read Only Memory）や認証サーバ１の作業領域となるＲＡＭ（Random Access Memory）、ＯＳ（Operating System）やアプリケーションプログラム、当該アプリケーションプログラムの実行時に参照される各種データベースを含む種々の情報を格納するＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の大容量記憶装置である。
　制御部１２は、認証サーバ１のＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等のプロセッサである。制御部１２は、記憶部１１に記憶されたプログラムを実行することにより、生体認証指示部１２１、検証部１２２、結果送信部１２３として機能する。
　また、図２に示すように、アプリケーションサーバ２は、通信部２０、記憶部２１、及び制御部２２を備える。
　通信部２０は、ネットワークＮを介して認証サーバ１及び端末３との間でデータを送受信する。
　記憶部２１は、アプリケーションサーバ２を実現するコンピュータのＢＩＯＳ等を格納するＲＯＭやアプリケーションサーバ２の作業領域となるＲＡＭ、ＯＳやアプリケーションプログラム、当該アプリケーションプログラムの実行時に参照される各種データベースを含む種々の情報を格納するＨＤＤやＳＳＤ等の大容量記憶装置である。記憶部２１は、制御部２２を、登録要求部２２１、登録結果通知部２２２、認証要求部２２３、及び提供部２２４として機能させる認証用プログラムを記憶する。
　制御部２２は、アプリケーションサーバ２のＣＰＵやＧＰＵ等のプロセッサであり、記憶部２１に記憶されたプログラムを実行することによって登録要求部２２１、登録結果通知部２２２、認証要求部２２３、及び提供部２２４として機能する。
［認証サーバ１におけるユーザの登録］
　実施の形態において、アプリケーションサーバ２の登録要求部２２１は、ユーザＵが使用する携帯端末４からユーザＵの認証サーバ１への登録要求を受け付けると、認証サーバ１にユーザＵの登録を要求する。
　認証サーバ１の生体認証指示部１２１は、ユーザＵの登録要求を受け付けると、携帯端末４に生体認証の実行を指示する。検証部１２２は、携帯端末４から生体認証の認証結果を受信すると、当該認証結果の正当性を検証する。結果送信部１２３は、生体認証の認証結果が正当であると検証すると、ユーザＵを登録する。
　以下、認証サーバ１がユーザＵを登録する機能の詳細について、認証システムＳにおけるシーケンスに沿って説明する。図３及び図４は、実施の形態に係る認証サーバ１がユーザＵを登録する場合の処理の流れを示すシーケンス図である。
　まず、アプリケーションサーバ２の登録要求部２２１は、携帯端末４からユーザ登録要求を受け付ける（Ｓ１）。具体的には、携帯端末４には、生体認証を行うとともに認証サーバ１と連携する認証アプリケーションがインストールされている。携帯端末４は、認証アプリケーションを実行すると、認証アプリケーションの画面を表示する。図５及び図６は、実施の形態に係る認証アプリケーションの画面の一例を示す図である。図５は、ユーザ登録用の画面の一例を示す例である。図６は、ユーザ登録が行われたサービスを示す登録済サービス画面の一例を示す図である。図５及び図６に示す画面には、「生体認証登録」と表示されたタブ、及び「登録済み」と表示されたタブが設けられている。携帯端末４の認証アプリケーションは、「生体認証登録」と表示されたタブが選択されると、図５に示す画面を表示し、「登録済み」と表示されたタブが選択されると、図６に示す画面を表示する。なお、以下の説明において、携帯端末４の認証アプリケーションを、単に認証アプリケーションともいう。
　ユーザＵが認証サーバ１にユーザ登録を行う場合、図５に示すユーザ登録用の画面を表示させる。図５には、複数の認証サーバ１のそれぞれが提供するサービスの名称が表示されている。ユーザＵは、図５に示す画面においてサービスの名称を選択することにより、認証サーバ１へのユーザ登録を希望するサービスを選択する。認証アプリケーションは、サービスが選択されると、当該サービスに対応するアプリケーションサーバ２にユーザ登録要求を行う。
　登録要求部２２１は、認証アプリケーションからユーザ登録要求を受け付けると、ユーザＩＤの入力を受け付けるページであるログインフォームを携帯端末４に送信し、ログインフォームにおいて入力されたユーザＩＤを含む第１登録要求情報を取得する。
　具体的には、登録要求部２２１は、認証アプリケーションからユーザ登録要求を受け付けると、ユーザＩＤとパスワードとの入力を受け付けるログインフォームを携帯端末４に送信する（Ｓ２）。ログインフォームには、ユーザＩＤをハッシュ化するとともに、携帯端末４にプッシュ通知を行う場合に使用される通知用識別情報としての通知用ＩＤを取得するためのスクリプトとしてのＪａｖａＳｃｒｉｐｔ（登録商標）を認証サーバ１から取得するためのアドレスが埋め込まれている。アプリケーションサーバ２は、ログインフォームと、サービス識別情報としてのサービスＩＤとを関連付けて管理する。ここで、サービスＩＤは、アプリケーションサーバ２を識別する識別情報であり、所定長の文字列である。
　認証アプリケーションは、ログインフォームを受信すると、当該ログインフォームを携帯端末４の表示部（不図示）に表示させる（Ｓ３）。認証アプリケーションは、ログインフォームを表示部に表示させる場合に、スクリプトを認証サーバ１から取得するためのアドレスに基づいてスクリプトの取得要求を認証サーバ１に送信する（Ｓ４）。認証サーバ１の制御部１２は、スクリプトの取得要求を携帯端末４から受信すると、当該スクリプトを当該携帯端末４に送信する（Ｓ５）。
　認証アプリケーションは、ログインフォームを介してユーザＵからユーザＩＤとパスワードとの入力を受け付ける（Ｓ６）。認証アプリケーションは、ユーザＩＤが入力されると、認証サーバ１から受信したスクリプトに基づいて、当該ユーザＩＤをハッシュ化する（Ｓ７）。図３では、ハッシュ化されたユーザＩＤを、ｈ（ユーザＩＤ）と表記する。また、認証アプリケーションは、通知用ＩＤを取得する。
　ログインフォームには、ユーザＩＤとパスワードとをアプリケーションサーバ２に送信するための送信ボタンが設けられている。送信ボタンが押下されると、認証アプリケーションは、ＨＴＴＰＳ　ＰＯＳＴメソッドにより、ユーザＩＤと、スクリプトに基づいてハッシュ化されたユーザＩＤと、パスワードと、通知用ＩＤとを含む第１登録要求情報をアプリケーションサーバ２に送信する（Ｓ８）。登録要求部２２１は、第１登録要求情報を取得する。
　登録要求部２２１は、携帯端末４から取得した第１登録要求情報に含まれるユーザＩＤとパスワードとに基づいて、パスワード認証を行う。アプリケーションサーバ２の記憶部２１には、ユーザＩＤと、パスワードとを関連付けたパスワード認証情報が記憶されている。登録要求部２２１は、第１登録要求情報に含まれるユーザＩＤと、パスワードとが記憶部２１に関連付けて記憶されていると、パスワード認証に成功したと判定する。
　登録要求部２２１は、パスワード認証に成功した場合、ＨＴＴＰＳ　ＰＯＳＴメソッドにより、ハッシュ化されたユーザＩＤと、通知用ＩＤと、ログインフォームに関連付けられているサービスＩＤとを含み、ユーザＵの登録を要求する第２登録要求情報を認証サーバ１に送信する（Ｓ９）。認証サーバ１の生体認証指示部１２１は、アプリケーションサーバ２から第２登録要求情報を受信する。このようにすることで、認証サーバ１において、ユーザＩＤをそのまま扱うことがないので、認証サーバ１からユーザＩＤが漏洩することを防止することができる。
　生体認証指示部１２１は、第２登録要求情報を受信すると、第２登録要求情報に含まれるサービスＩＤに関連付けられているアプリケーションＩＤを特定する（Ｓ１０）。具体的には、記憶部１１には、サービスＩＤとアプリケーションＩＤとが関連付けて記憶されており、生体認証指示部１２１は、受信したサービスＩＤに関連付けられているアプリケーションＩＤを特定する。アプリケーションＩＤは、例えば、アプリケーションサーバ２を識別する情報であり、認証アプリケーションにおいて、生体認証が要求されているサービスを識別するために用いられる。
　生体認証指示部１２１は、アプリケーションＩＤを特定すると、第２登録要求情報に含まれる通知用ＩＤを用いて、第２登録要求情報に含まれるサービスＩＤに対応する生体認証の実行を指示する第２指示情報をプッシュ通知する（Ｓ１１）。ここで、第２指示情報には、アプリケーションＩＤと、ハッシュ化されたユーザＩＤとが含まれている。
　認証アプリケーションは、第２指示情報を受信すると、例えば、ＦＩＤＯ　ＵＡＦに対応する処理手順により、認証サーバ１へのユーザ登録を行う。
　具体的には、認証アプリケーションは、ファセットＩＤの取得要求を認証サーバ１に送信する（Ｓ１２）。認証サーバ１は、ファセットＩＤの取得要求を受信すると、ファセットＩＤを携帯端末４に送信する（Ｓ１３）。ここで、ファセットＩＤは、認証アプリケーション（クライアントプラットフォーム）の正当性を確認するために用いられる。
　認証アプリケーションは、受信したファセットＩＤの検証を行う（Ｓ１４）。その後、認証アプリケーションは、ユーザ登録要求を示す情報を認証サーバ１に送信する（Ｓ１５）。ユーザ登録要求を示す情報には、アプリケーションＩＤと、ハッシュ化されたユーザＩＤとが含まれているものとする。
　図３における連結点Ａ、連結点Ｂ、及び連結点Ｃは、それぞれ図４における連結点Ａ、連結点Ｂ、及び連結点Ｃに連結することを示している。以下、説明を図４のシーケンス図に示す処理に移行する。
　認証サーバ１の生体認証指示部１２１は、ユーザ登録要求を示す情報を受信すると、ランダムな文字列であるチャレンジ情報を生成する。また、生体認証指示部１２１は、生体認証の認証方式を選択するために用いられるポリシー情報を選択する。生体認証指示部１２１は、生成したチャレンジ情報と、選択したポリシー情報とを携帯端末４に送信する（Ｓ１６）。
　認証アプリケーションは、チャレンジ情報及びポリシー情報を受信すると、当該ポリシー情報に基づいて生体認証の認証方式を選択する（Ｓ１７）。
　認証アプリケーションは、選択した認証方式に基づいて、携帯端末４のユーザから生体情報を受け付ける（Ｓ１８）。例えば、認証アプリケーションは、生体情報としてユーザＵの指紋を示す指紋情報を受け付ける。
　認証アプリケーションは、予め認証アプリケーションにおいてユーザＵが登録している生体情報と、Ｓ１８において受け付けた生体情報とに基づいて、生体情報を検証する（Ｓ１９）。
　認証アプリケーションは、Ｓ１８において受け付けた生体情報が正当であることを検証すると、アプリケーションＩＤに対応する認証用秘密鍵と、認証用公開鍵と、これらの鍵を識別する鍵ＩＤとを生成する（Ｓ２０）。
　認証アプリケーションは、生成した認証用公開鍵と、鍵ＩＤと、認証証明書（Attestation Cert）と、ＡＡＩＤ（Authenticator Attestation ID）とを、予め認証アプリケーションにおいて登録されている認証用証明書の秘密鍵を用いて署名し、署名データを生成する（Ｓ２１）。認証アプリケーションは、生成した署名データを認証サーバ１に送信する（Ｓ２２）。
　認証サーバ１の検証部１２２は、携帯端末４から第２指示情報に対応する生体認証の認証結果を示す署名データを受信すると、署名データの正当性を検証する（Ｓ２３）。具体的には、記憶部１１には、認証アプリケーションにおいて登録されている認証用証明書の公開鍵が記憶されており、検証部１２２は、当該公開鍵を用いて、受信した署名データが正当であるか否かを検証する。
　認証サーバ１の結果送信部１２３は、第２指示情報に対応する生体認証の認証結果を示す署名データが正当であると検証されると、第２登録要求情報に含まれるハッシュ化されたユーザＩＤと、アプリケーションＩＤと、通知用ＩＤと、署名データに含まれる認証用公開鍵と、鍵ＩＤとを関連付けて記憶部１１に記憶させることにより、ユーザＵを登録する（Ｓ２４）。
　結果送信部１２３は、ユーザＵの登録結果を携帯端末４及びアプリケーションサーバ２に送信する。例えば、結果送信部１２３は、アプリケーションサーバ２から、ユーザＵの登録結果の取得要求を取得したことに応じて、当該登録結果を送信する（Ｓ２５、Ｓ２６）。また、結果送信部１２３は、ユーザＵを登録したことに応じて、第２指示情報を送信した携帯端末４に登録結果を送信する（Ｓ２７）。認証アプリケーションは、携帯端末４が登録結果を受信すると、図６に示す画面に、認証サーバ１へのユーザ登録が行われたサービスを追加する。
　なお、図３及び図４に示すシーケンス図のＳ１３からＳ２４に示すユーザ登録に係る処理の流れは、ＦＩＤＯ　ＵＡＦに対応するものとするが、これに限らず、他の処理手順によりユーザ登録を行ってもよい。
［ユーザの認証］
　実施の形態において、アプリケーションサーバ２の認証要求部２２３は、ユーザＵが使用する端末３からユーザＵの認証要求を受け付けると、サービスＩＤを含み、ユーザＵの生体認証を要求する生体認証要求情報を認証サーバ１に送信する。
　認証サーバ１の生体認証指示部１２１は、生体認証要求情報を受信すると、ユーザＵが所持し、生体認証を実行可能な携帯端末４に、生体認証要求情報に含まれるサービスＩＤに対応する生体認証の実行を指示する。検証部１２２は、携帯端末４から生体認証の認証結果を受信すると、当該認証結果の正当性を検証する。結果送信部１２３は、生体認証の認証結果が正当であると検証されると、ユーザＵの認証に成功したと判定し、認証結果を、生体認証要求情報を送信したアプリケーションサーバ２に送信する。
　アプリケーションサーバ２の提供部２２４は、認証サーバ１から生体認証の認証結果を受信し、当該認証結果が生体認証に成功したことを示していると、端末３にアプリケーションに関する機能を提供する。
　以下、認証サーバ１がユーザＵを認証する機能の詳細について、認証システムＳにおけるシーケンスに沿って説明する。図７及び図８は、実施の形態に係る認証システムＳにおいてユーザＵを認証する場合の処理の流れを示すシーケンス図である。
　まず、アプリケーションサーバ２の認証要求部２２３は、端末３から認証要求を受け付けると（Ｓ１０１）、ログインフォームを端末３に送信する（Ｓ１０２）。ログインフォームには、ユーザＩＤをハッシュ化するスクリプトとしてのＪａｖａＳｃｒｉｐｔのアドレスであって、認証サーバ１のアドレスが含まれている。アプリケーションサーバ２は、ログインフォームと、サービスＩＤとを関連付けて管理する。
　端末３は、ログインフォームを受信すると、当該ログインフォームを端末３の表示部（不図示）に表示させる（Ｓ１０３）。端末３は、ログインフォームを表示部に表示させる場合に、スクリプトを認証サーバ１から取得するためのアドレスに基づいてスクリプトの取得要求を認証サーバ１に送信する（Ｓ１０４）。認証サーバ１の制御部１２は、スクリプトの取得要求を端末３から受信すると、当該スクリプトを当該端末３に送信する（Ｓ１０５）。
　端末３は、ログインフォームを介してユーザＵからユーザＩＤの入力を受け付ける（Ｓ１０６）。なお、ユーザＵの認証時には、パスワードの代わりに生体認証による認証を行うため、ログインフォームではパスワードの入力を受け付けないものとする。端末３は、ユーザＩＤが入力されると、認証サーバ１から受信したスクリプトに基づいて、当該ユーザＩＤをハッシュ化する（Ｓ１０７）。
　ログインフォームには、ユーザＩＤをアプリケーションサーバ２に送信するための送信ボタンが設けられている。送信ボタンが押下されると、端末３は、ＨＴＴＰＳ　ＰＯＳＴメソッドにより、ユーザＩＤと、ハッシュ化されたユーザＩＤとをアプリケーションサーバ２に送信する（Ｓ１０８）。認証要求部２２３は、ユーザＩＤと、ハッシュ化されたユーザＩＤとを端末３から取得する。
　認証要求部２２３は、ユーザＩＤと、ハッシュ化されたユーザＩＤとを端末３から取得すると、記憶部２１を参照し、当該ユーザＩＤが記憶されているか否かを判定する。認証要求部２２３は、端末３から取得したユーザＩＤが記憶部２１に記憶されていると判定すると、認証サーバ１に、当該ユーザＩＤに対応するユーザＵの生体認証を要求する。具体的には、認証要求部２２３は、ハッシュ化されたユーザＩＤと、端末３に送信したログインフォームに関連付けられているサービスＩＤとを含む生体認証要求情報を認証サーバ１に送信することにより、認証サーバ１にユーザＵの生体認証を要求する（Ｓ１０９）。
　認証サーバ１の生体認証指示部１２１は、端末３から生体認証要求情報を受信する。生体認証指示部１２１は、生体認証要求情報を受信すると、アプリケーションＩＤ及び通知用ＩＤを特定する。具体的には、生体認証指示部１２１は、記憶部１１を参照し、生体認証要求情報に含まれているハッシュ化されたユーザＩＤ及びサービスＩＤに関連付けられている通知用ＩＤを特定する。また、生体認証指示部１２１は、生体認証要求情報を受信すると、記憶部１１を参照し、生体認証要求情報に含まれているサービスＩＤに関連付けられているアプリケーションＩＤを特定する。
　生体認証指示部１２１は、特定した通知用ＩＤに基づいて、サービスＩＤに対応する生体認証の実行を指示する第１指示情報を携帯端末４にプッシュ通知する（Ｓ１１１）。ここで、第１指示情報には、アプリケーションＩＤと、ハッシュ化されたユーザＩＤとが含まれている。
　携帯端末４の認証アプリケーションは、第１指示情報を受信すると、例えば、ＦＩＤＯ　ＵＡＦに対応する処理手順により、生体認証を行う。
　具体的には、認証アプリケーションは、ファセットＩＤの取得要求を認証サーバ１に送信する（Ｓ１１２）。認証サーバ１は、ファセットＩＤの取得要求を受信すると、ファセットＩＤを携帯端末４に送信する（Ｓ１１３）。
　認証アプリケーションは、受信したファセットＩＤの検証を行う（Ｓ１１４）。その後、認証アプリケーションは、認証開始要求を示す情報を認証サーバ１に送信する（Ｓ１１５）。認証開始要求を示す情報には、アプリケーションＩＤと、ハッシュ化されたユーザＩＤとが含まれているものとする。
　図７における連結点Ｅ、連結点Ｆ、連結点Ｇ及び連結点Ｈは、それぞれ図８における連結点Ｅ、連結点Ｆ、連結点Ｇ及び連結点Ｈに連結することを示している。以下、説明を図８のシーケンス図に示す処理に移行する。
　認証サーバ１の生体認証指示部１２１は、認証開始要求を受け付けると、ランダムな文字列であるチャレンジ情報を生成する。また、生体認証指示部１２１は、生体認証の認証方式を選択するために用いられるポリシー情報を選択する。生体認証指示部１２１は、生成したチャレンジ情報と、選択したポリシー情報とを携帯端末４に送信する（Ｓ１１６）。
　認証アプリケーションは、チャレンジ情報及びポリシー情報を受信すると、当該ポリシー情報に基づいて生体認証の認証方式を選択する（Ｓ１１７）。
　認証アプリケーションは、選択した認証方式に基づいて、携帯端末４のユーザから生体情報を受け付ける（Ｓ１１８）。
　認証アプリケーションは、予め認証アプリケーションにおいてユーザＵが登録している生体情報と、Ｓ１１８において受け付けた生体情報とに基づいて、生体情報を検証する（Ｓ１１９）。
　認証アプリケーションは、Ｓ１１８において受け付けた生体情報が正当であることを検証すると、第１指示情報に含まれているアプリケーションＩＤに対応する認証用秘密鍵を用いて、検証結果及びチャレンジ情報を署名し、署名データを生成する（Ｓ１２０）。認証アプリケーションは、第２指示情報に対応する生体認証の認証結果として、生成した署名データを認証サーバ１に送信するとともに、認証用秘密鍵に対応する鍵ＩＤを認証サーバ１に送信する（Ｓ１２１）。
　認証サーバ１の検証部１２２は、携帯端末４から第２指示情報に対応する生体認証の認証結果を示す署名データを受信すると、署名データの正当性を検証する（Ｓ１２２）。具体的には、検証部１２２は、記憶部１１を参照し、署名データとともに受信した鍵ＩＤに関連付けられている認証用公開鍵を特定する。検証部１２２は、特定した認証用公開鍵を用いて、受信した署名データが正当であるか否かを検証する。
　結果送信部１２３は、ユーザＵの認証結果を携帯端末４及びアプリケーションサーバ２に送信する。具体的には、アプリケーションサーバ２の提供部２２４は、ユーザＵの認証結果の取得要求を認証サーバ１に送信する（Ｓ１２３）。結果送信部１２３は、ユーザＵの認証結果の取得要求を取得したことに応じて、アプリケーションサーバ２に当該認証結果を送信する（Ｓ１２４）。また、結果送信部１２３は、ユーザＵを認証したことに応じて、第１指示情報を送信した携帯端末４に認証結果を送信する（Ｓ１２５）。
　アプリケーションサーバ２の提供部２２４は、認証サーバ１から受信した生体認証の認証結果が生体認証に成功したことを示していると、端末３にアプリケーションに関する機能を提供する。具体的には、提供部２２４は、認証サーバ１から受信した生体認証の認証結果が生体認証に成功したことを示していると、生体認証に成功したことを示す認証完了ページを端末３に送信する（Ｓ１２６）。ここで、認証完了ページには、認証に成功したことを示す情報が表示されており、アプリケーションサーバ２が提供するアプリケーションの機能を提供するためのアプリケーションページをアプリケーションサーバ２に要求するためのＯＫボタンが設けられている。
　端末３は、受信した認証完了ページを表示部に表示する。端末３は、認証完了ページにおいて、ＯＫボタンが押下されると、アプリケーションページの取得要求をアプリケーションサーバ２に送信する（Ｓ１２７）。なお、アプリケーションページの取得要求はリダイレクトにより行われてもよい。アプリケーションサーバ２の提供部２２４は、アプリケーションページの取得要求を受け付けると、アプリケーションページを端末３に送信する（Ｓ１２８）。
　なお、結果送信部１２３は、認証結果が生体認証に成功したことを示していると、端末３又は携帯端末４に、ユーザの認証に成功したことを示す情報を表示させてもよい。例えば、結果送信部１２３は、認証結果が生体認証に成功したことを示していると、端末３又は携帯端末４に、所定時間にわたってユーザＵの認証に成功したことを示す情報を表示させる。図９は、携帯端末４にユーザＵの認証に成功したことを示す情報が表示された例を示す図である。図９には、サービスＢに対応するユーザＵの認証に成功したことを示す情報として、サービスＢに対応する領域４１に、ユーザＵの認証に成功したことを示す画像である認証成功画像が表示されていることが確認できる。また、領域４１には、認証に成功したことを示す情報の表示期間、すなわち、認証の有効期間が表示されていることが確認できる。
［端末３と信頼関係にある携帯端末４へのプッシュ通知］
　実施の形態においてユーザ認証を行う場合、ユーザＵが、ログインフォームに対して自身とは異なるユーザのユーザＩＤを入力すると、当該異なるユーザが所持する携帯端末にプッシュ通知が行われてしまうという問題がある。このため、実施の形態に係る認証サーバ１の生体認証指示部１２１は、端末３と携帯端末４とが同一のユーザＵにより使用される信頼関係状態であるか否かを判定し、端末３と携帯端末４とが信頼関係状態にあると判定すると、第１指示情報をプッシュ通知する。以下、端末３と信頼関係状態にある携帯端末４に第１指示情報をプッシュ通知する例について説明する。
　まず、携帯端末４と、認証サーバ１とは、ワンタイムパスワードを生成するための共通鍵を共有する。例えば、認証サーバ１の結果送信部１２３は、ユーザＵを登録したことに応じて、パスワード生成用の共通鍵を生成する。結果送信部１２３は、生成した共通鍵を、ハッシュ化されたユーザＩＤと、アプリケーションＩＤとに関連付けて記憶させるとともに、登録結果と当該共通鍵とを携帯端末４に送信する。携帯端末４は、ユーザＵの認証サーバ１への登録時に、ユーザの登録が行われたサービスに関連付けて、受信した共通鍵を記憶する。これにより、携帯端末４と認証サーバ１との間で、共通鍵が共有される。
　携帯端末４の認証アプリケーションは、図６に示すユーザ登録が行われたサービスを示す登録済サービス画面に対し、複数のサービスのそれぞれに対応するワンタイムパスワードを表示させる。例えば、携帯端末４の認証アプリケーションは、所定時間おきに、パスワード生成用の共通鍵と、現在の時刻とに基づいてワンタイムパスワードを生成し、携帯端末４の表示部に表示させる。
　認証要求部２２３は、端末３から、ユーザＩＤと、ワンタイムパスワードとを受け付けることにより、ユーザＵの認証の要求を受け付ける。例えば、認証要求部２２３は、ユーザＩＤと、ワンタイムパスワードとの入力を受け付けるログインフォームを端末３に送信し、端末３からユーザＩＤと、ワンタイムパスワードとを受け付ける。認証要求部２２３は、ユーザＩＤと、ワンタイムパスワードとを含む生体認証要求情報を認証サーバ１に送信する。
　生体認証指示部１２１は、アプリケーションサーバ２から生体認証要求情報を受信すると、パスワード生成用の共通鍵と現在の時刻とに基づいてワンタイムパスワードを生成し、生成したワンタイムパスワードと、生体認証要求情報に含まれるワンタイムパスワードとが一致するか否かに基づいて、端末３と携帯端末４とが信頼関係状態にあるか否かを判定する。生体認証指示部１２１は、生成したワンタイムパスワードと、生体認証要求情報に含まれるワンタイムパスワードとが一致すると、端末３と携帯端末４とが信頼関係状態にあると判定し、当該携帯端末４に第１指示情報を送信する。
　なお、端末３は、ワンタイムパスワードを入力した後、ユーザＵの認証に成功すると、ログインフォームに入力されたユーザＩＤに基づいてハッシュ化されたユーザＩＤを端末３に記憶させてもよい。例えば、アプリケーションサーバ２の提供部２２４は、生体認証に成功したことを示す認証完了ページを端末３に送信する場合に、当該認証完了ページに、ハッシュ化されたユーザＩＤを記憶させるためのスクリプトのアドレスを埋め込んでおき、端末３に認証完了ページが表示させる場合に、端末３に当該スクリプトを取得させる。端末３は、取得したスクリプトに基づいて、ログインフォームに対応するクッキー情報として、ハッシュ化されたユーザＩＤを記憶する。
　認証要求部２２３は、端末３からユーザＵの認証要求を受け付ける場合に、端末３にハッシュ化されたユーザＩＤが記憶されているか否かを判定する。そして、認証要求部２２３は、端末３にハッシュ化されたユーザＩＤが記憶されていると判定すると、端末３から、ログインフォームによるユーザＩＤの入力を受け付けずに、当該ハッシュ化されたユーザＩＤを取得する。認証要求部２２３は、当該ハッシュ化されたユーザＩＤと、ログインフォームに関連付けられているサービスＩＤと、ユーザＩＤが自動的に取得されたことを示す情報とを含む生体認証要求情報を認証サーバ１に送信する。
　生体認証指示部１２１は、アプリケーションサーバ２から受信した生体認証要求情報にユーザＩＤが自動的に取得されたことを示す情報が含まれている場合、端末３と携帯端末４とが信頼関係状態にあると判定し、当該携帯端末４に第１指示情報を送信する。
　このようにすることで、認証システムＳは、端末３と、携帯端末４との間で信頼関係が構築された後に、ユーザＩＤの入力を省略し、ユーザ認証に係るユーザの操作量を軽減することができる。
　また、認証サーバ１は、他の手法により、端末３と携帯端末４との信頼関係状態を構築してもよい。図１０は、実施の形態の認証サーバ１とアプリケーションサーバ２とのそれぞれの機能構成の変形例を模式的に示す図である。図１０に示すように認証サーバ１は、信頼構築部１２４をさらに備える。
　信頼構築部１２４は、認証サーバ１が生体認証要求情報を取得すると、所定のチャネル識別情報に基づいて、端末３と、携帯端末４とを認証サーバ１を介して通信可能に接続させ、携帯端末４から端末３と携帯端末４とが信頼関係にあるか否かを受け付ける。例えば、ユーザ認証時に端末３に送信されるログインフォームには、ユーザＩＤが入力され、生体認証要求情報を認証サーバ１に送信するタイミングで所定のチャネル識別情報により端末３と認証サーバ１を通信可能に接続させるための接続用スクリプトのアドレスが含まれており、当該スクリプトに基づいて認証サーバ１と端末３とが通信可能に接続される。
　また、信頼構築部１２４は、携帯端末４へのプッシュ通知時に、所定のチャネルＩＤを携帯端末４に通知する。そして、信頼構築部１２４は、サーバサイドで動作するＪａｖａＳｃｒｉｐｔ環境であるＮｏｄｅ．ｊｓと、認証サーバ１を介して端末間の双方向通信を行うためのＷｅｂＳｏｃｋｅｔとを用いることにより、認証サーバ１を介して端末３と携帯端末４とを通信可能に接続させる。
　信頼構築部１２４は、携帯端末４に、端末３と携帯端末４とが信頼関係にあるか否かを選択するための選択ボタンを表示させ、端末３と携帯端末４とが信頼関係にあるか否かを受け付ける。信頼構築部１２４は、携帯端末４から端末３と携帯端末４とが信頼関係にあることを受け付けると、信頼関係情報として、所定のチャネル識別情報を端末３及び携帯端末４に記憶させる。また、信頼構築部１２４は、ハッシュ化されたユーザＩＤを端末３に記憶させる。
　所定のチャネル識別情報が端末３及び携帯端末４に記憶されている状態において、端末３においてログインフォームが表示される場合、端末３と、携帯端末４とは、自身に記憶されている所定のチャネル識別情報に基づいて、認証サーバ１を介して通信可能に接続する。例えば、接続用スクリプトには、所定のチャネル識別情報が端末３に記憶されている場合に、認証サーバ１を介して携帯端末４と通信接続するためのコードが含まれており、端末３は、当該コードに基づいて認証サーバ１を介して携帯端末４と通信可能に接続する。
　生体認証指示部１２１は、端末３と携帯端末４とに所定のチャネル識別情報（信頼関係情報）が記憶され、端末３と、携帯端末４とが認証サーバ１を介して通信可能に接続されている場合、端末３と携帯端末４とが信頼関係状態にあると判定し、当該携帯端末４に第１指示情報をプッシュ通知する。
　具体的には、まず、認証要求部２２３は、所定のチャネル識別情報に基づいて、端末３と、携帯端末４とが通信可能に接続されている場合、携帯端末４が操作されたことに応じて、端末３からユーザＩＤを取得する。例えば、図６に示す画面が携帯端末４に表示されており、当該画面においてサービスを選択されたことに応じて、サービスが選択されたことが端末３に通知される。端末３は、サービスが選択されたことが通知されると、当該サービスに対応して記憶部に記憶されているハッシュ化されたユーザＩＤをアプリケーションサーバ２に送信する。
　アプリケーションサーバ２の認証要求部２２３は、当該ハッシュ化されたユーザＩＤと、端末３に送信したログインフォームに関連付けられているサービスＩＤと、ユーザＩＤが自動的に取得されたことを示す情報とを含む生体認証要求情報を認証サーバ１に送信する。
　生体認証指示部１２１は、アプリケーションサーバ２から受信した生体認証要求情報にユーザＩＤが自動的に取得されたことを示す情報が含まれている場合、端末３と携帯端末４とが信頼関係状態にあると判定し、当該携帯端末４に第１指示情報を送信する。
　このようにすることで、認証システムＳは、ユーザＵと異なるユーザが所持する携帯端末にプッシュ通知が行われてしまうことを防止することができる。
　なお、図７から図８に示すシーケンス図のＳ１１２からＳ１２２に示す生体認証に係る処理の流れは、ＦＩＤＯ　ＵＡＦに対応するものとするが、これに限らず、他の処理手順に対応した生体認証を行ってもよい。
［実施の形態に係る認証システムＳが奏する効果］
　以上説明したように、実施の形態に係る認証システムＳによれば、アプリケーションサーバ２は、ユーザＵが使用する端末３からユーザＵの認証の要求を受け付けると、アプリケーションサーバ２を識別するサービスＩＤを含み、ユーザＵの生体認証を要求する生体認証要求情報を認証サーバ１に送信することにより、認証サーバ１に生体認証を要求する。認証サーバ１は、生体認証要求情報を受信すると、ユーザＵが所持し、生体認証を実行可能な携帯端末４に、当該生体認証要求情報に含まれるサービスＩＤに対応する生体認証の実行を指示する第１指示情報をプッシュ通知し、携帯端末４から、生体認証の認証結果を受信する。認証サーバ１は、認証結果が正当であると検証すると、生体認証要求情報を送信したアプリケーションサーバ２に認証結果を送信する。アプリケーションサーバ２は、認証サーバ１から生体認証の認証結果を受信し、当該認証結果が生体認証に成功したことを示していると、端末３にアプリケーションに関する機能を提供する。
　このようにすることで、アプリケーションサーバ２の運用者は、アプリケーションサーバ２におけるユーザＵの認証時に生体認証を行わせる場合に、生体認証の要求に関する処理を行う機能と、認証結果を受信した場合にアプリケーションに関する機能を端末３に提供する機能とをアプリケーションサーバ２に実装するだけで、アプリケーションサーバ２において生体認証の結果を容易に扱えるようにすることができる。よって、認証システムＳは、アプリケーションサーバ２において生体認証の結果を容易に扱えるようにすることができる。
［変形例１］
　以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されず、その要旨の範囲内で種々の変形及び変更が可能である。例えば、上述の実施の形態においては、認証サーバ１は、アプリケーションサーバ２から生体認証の要求を受け付けたことに応じて、携帯端末４に生体認証の実行を指示する第１指示情報をプッシュ通知し、携帯端末４に生体認証を実行させることとしたが、これに限らない。
　例えば、携帯端末４における生体認証は、端末３から生体認証の要求を受け付ける前に実行されるようにしてもよい。この場合、ユーザＵは、図６に示す画面において生体認証を行うサービスを選択する操作を行う。携帯端末４には、サービス名と、アプリケーションＩＤと、ハッシュ化されたユーザＩＤとが予め関連付けられて記憶されている。これらの情報は、ＴＥＥ（Trusted Execution Environment）に準拠したセキュア領域上に、ＡＥＳ（Advanced Encryption Standard）－ＧＣＭ（Galois/Counter Mode）を用いて暗号化された状態で記憶されている。携帯端末４は、図６に示すように、サービス名と、サービスを識別するためのユニークコードを表示させ、サービスを選択する操作を受け付ける。ユニークコードは、例えば、アプリケーションＩＤとハッシュ化されたユーザＩＤに基づいて生成されている。認証アプリケーションは、サービスが選択されたことに応じて、図７に示すＳ１１５の処理と同様に、アプリケーションＩＤと、ハッシュ化されたユーザＩＤとを含む認証開始要求を認証サーバ１に送信する。その後、携帯端末４と、認証サーバ１との間で、図８に示すＳ１１６～Ｓ１２２の処理が実行される。
　認証サーバ１の検証部１２２は、認証サーバ１が生体認証要求情報を受信する前に、携帯端末４から、携帯端末４において行われた生体認証の認証結果を受信し、当該認証結果の正当性を検証する。検証部１２２は、認証結果が正当であると検証すると、認証開始要求に含まれるハッシュ化されたユーザＩＤと、アプリケーションＩＤと、認証結果とを関連付けた事前認証情報を所定時間（例えば、５分）にわたって記憶部１１に記憶させる。
　結果送信部１２３は、検証部１２２により認証結果が正当であると検証された後に、認証サーバ１が生体認証要求情報を受信したことに応じて、認証結果を、当該生体認証要求情報を送信したアプリケーションサーバ２に送信する。具体的には、結果送信部１２３は、生体認証要求情報を受信すると、生体認証要求情報に含まれるサービスＩＤに関連付けられているアプリケーションＩＤを特定する。そして、結果送信部１２３は、生体認証要求情報に含まれるハッシュ化されたユーザＩＤと、特定したアプリケーションＩＤとに対応する事前認証情報が記憶部１１に記憶されている場合、事前認証情報に含まれる認証結果を、生体認証要求情報を送信したアプリケーションサーバ２に送信する。
　このようにすることで、ユーザＵは、事前に認証を完了させておくことにより、アプリケーションサーバ２の機能の提供を受けることができる。
［変形例２］
　認証システムＳは、イベント会場へのユーザの入場時に用いられてもよい。この場合、ユーザＵは、イベント会場における入場受付の前に、イベントに対応するサービスを提供するアプリケーションサーバ２に対応するユーザ登録を予め行っておく。この場合、ユーザＩＤ及びパスワードは、チケットに関連付けられており、例えば、チケットの発行時にユーザＵに通知されるものとする。
　ユーザＵは、イベント会場において、認証システムＳを用いたユーザＵの認証を行う。認証サーバ１の結果送信部１２３は、ユーザＵの認証に成功すると、ユーザＵの携帯端末４に、所定時間にわたってユーザＵの認証に成功したことを示す認証成功画像を表示させる。イベント会場において入場を管理する係員は、認証成功画像が携帯端末４に表示されていることを確認することにより、ユーザＵの入場を許可する。なお、認証成功画像が表示されてから所定時間が経過し、ユーザＵの携帯端末４に当該情報が表示されなくなった場合には、ユーザＵは、再び認証を行うものとする。このようにすることで、認証システムＳは、第三者によるチケット購入者へのなりすましを防止することができる。
［変形例３］
　なお、変形例２において、結果送信部１２３は、認証に成功すると携帯端末４に認証成功画像を表示させることとしたが、これに限らない。例えば、結果送信部１２３は、ＴＯＴＰ（Time-based One-time Password）に基づいて、所定時間にわたって有効なトークンを示すＱＲコード（登録商標）を生成し、当該ＱＲコードを携帯端末４に表示させてもよい。イベント会場には、例えば、ＱＲコードを読み取り可能な入場管理装置が設けられており、ユーザＵは、携帯端末４に表示されたＱＲコードを当該入場管理装置に読み取らせる。入場管理装置は、ＱＲコードが示すトークンが有効であるか否かを判定し、判定結果を自身の表示部に表示させる。イベント会場において入場を管理する係員は、トークンが有効であることを示す判定結果が入場管理装置に表示されていることを確認することにより、ユーザＵの入場を許可する。なお、入場管理装置は、ＱＲコードが示すトークンが有効であると判定した場合に、入場ゲートにゲートを開かせる信号である制御信号を送り、ゲートを開くように制御してもよい。
［変形例４］
　また、変形例２及び変形例３において、端末３は、ユーザが所持するものであることとしたが、これに限らない。例えば、端末３は、入場を管理する係員が使用する端末であってもよい。端末３にログインフォームが表示され、ユーザＵがユーザＩＤを入力すると、認証サーバ１から携帯端末４にプッシュ通知が行われ、ユーザＵの生体認証が行われる。ユーザＵの生体認証に成功すると、端末３には、ユーザＵの生体認証に成功したことを示す情報が表示される。入場を管理する係員は、端末３に、ユーザＵの生体認証に成功したことを示す情報が表示されると、ユーザＵの入場を許可する。
　なお、本変形例において、ユーザＵは、端末３にユーザＩＤを入力することとしたが、これに限らない。例えば、アプリケーションサーバ２において、ユーザＵが所持する携帯端末４の電話番号と、ユーザＩＤとを関連付けて記憶させておいてもよい。そして、アプリケーションサーバ２は、端末３において、電話番号の入力を受け付けたことに応じて、当該電話番号に対応するユーザＩＤを特定し、当該ユーザＩＤに対応するユーザの生体認証の要求を認証サーバ１に行うようにしてもよい。この場合において、端末３は、電話番号の下４桁の入力を受け付けてもよく、アプリケーションサーバ２は、当該電話番号の下４桁に基づいて、ユーザＩＤを特定してもよい。アプリケーションサーバ２は、入力された電話番号の下４桁と一致する電話番号が複数登録されている場合には、端末３に、これらの電話番号に関連する複数のユーザＩＤを表示させ、ユーザＵから、自身のユーザＩＤの選択を受け付けるようにしてもよい。
［変形例５］
　また、上述の実施の形態では、端末３と携帯端末４とが異なることとしたが、これに限らない。携帯端末４が端末３として機能してもよい。ユーザＵが携帯端末４のみを所持する場合であっても、実施の形態と同じ手順によりユーザ認証を行うことができる。
　また、例えば、装置の分散・統合の具体的な実施の形態は、以上の実施の形態に限られず、その全部又は一部について、任意の単位で機能的又は物理的に分散・統合して構成することができる。また、複数の実施の形態の任意の組み合わせによって生じる新たな実施の形態も、本発明の実施の形態に含まれる。組み合わせによって生じる新たな実施の形態の効果は、もとの実施の形態の効果を合わせ持つ。
１・・・認証サーバ
１０・・・通信部
１１・・・記憶部
１２・・・制御部
１２１・・・生体認証指示部
１２２・・・検証部
１２３・・・結果送信部
１２４・・・信頼構築部
２・・・アプリケーションサーバ
２０・・・通信部
２１・・・記憶部
２２・・・制御部
２２１・・・登録要求部
２２２・・・登録結果通知部
２２３・・・認証要求部
２２４・・・提供部
３・・・端末
４・・・携帯端末
Ｓ・・・認証システム

 

Claims (17)

  1. 　アプリケーションを提供する複数のアプリケーション提供装置と、前記アプリケーションを利用するユーザの生体認証を行う認証装置とを備える認証システムであって、
    　前記アプリケーション提供装置は、
    　端末から前記ユーザの認証要求を受け付けると、前記アプリケーション提供装置を識別するサービス識別情報を含み、前記ユーザの生体認証を要求する生体認証要求情報を前記認証装置に送信する認証要求部と、
    　前記認証装置から前記生体認証の認証結果を受信し、当該認証結果が前記生体認証に成功したことを示していると、前記端末に前記アプリケーションに関する機能を提供する提供部と、
    　を有し、
    　前記認証装置は、
    　前記生体認証要求情報を受信すると、前記ユーザが所持し、生体認証を実行可能な携帯端末に、当該生体認証要求情報に含まれるサービス識別情報に対応する前記生体認証の実行を指示する第１指示情報をプッシュ通知する生体認証指示部と、
    　前記携帯端末から前記第１指示情報に対応する前記生体認証の認証結果を受信し、当該認証結果の正当性を検証する検証部と、
    　前記検証部により前記認証結果が正当であると検証されると、前記認証結果を、前記生体認証要求情報を送信した前記アプリケーション提供装置に送信する結果送信部と、
    　を有する、
    　認証システム。
  2. 　前記認証装置は、前記ユーザを識別するユーザ識別情報と、前記サービス識別情報と、前記携帯端末に前記プッシュ通知を行う場合に使用される通知用識別情報とを関連付けて記憶する記憶部をさらに有し、
    　前記認証要求部は、前記端末から前記ユーザ識別情報を取得すると、当該ユーザ識別情報と、前記サービス識別情報とを含む生体認証要求情報を前記認証装置に送信し、
    　前記生体認証指示部は、前記生体認証要求情報を受信すると、前記記憶部を参照し、前記ユーザ識別情報及び前記サービス識別情報に関連付けられている前記通知用識別情報に基づいて、前記携帯端末に前記第１指示情報をプッシュ通知する、
    　請求項１に記載の認証システム。
  3. 　前記記憶部は、前記サービス識別情報と、前記通知用識別情報と、ハッシュ化された前記ユーザ識別情報とを関連付けて記憶し、
    　前記認証要求部は、前記端末から前記ハッシュ化されたユーザ識別情報を取得すると、前記サービス識別情報及び前記ハッシュ化されたユーザ識別情報を含む前記生体認証要求情報を前記認証装置に送信し、
    　前記生体認証指示部は、前記生体認証要求情報を受信すると、前記記憶部を参照し、前記ハッシュ化されたユーザ識別情報及び前記サービス識別情報に関連付けられている前記通知用識別情報に基づいて、前記携帯端末に前記第１指示情報をプッシュ通知する、
    　請求項２に記載の認証システム。
  4. 　前記認証要求部は、前記ユーザ識別情報をハッシュ化するスクリプトのアドレスを含み、前記ユーザ識別情報の入力を受け付けるページを送信し、当該アドレスに基づいて前記携帯端末が取得した前記スクリプトに基づいて生成された前記ハッシュ化されたユーザ識別情報を前記端末から取得する、
    　請求項３に記載の認証システム。
  5. 　前記アプリケーション提供装置は、前記携帯端末から、前記ユーザ識別情報と、前記通知用識別情報とを含み、前記ユーザの前記認証装置への登録要求を示す第１登録要求情報を取得すると、当該ユーザ識別情報と、当該通知用識別情報と、前記サービス識別情報とを含み、当該ユーザの登録を要求する第２登録要求情報を前記認証装置に送信する登録要求部をさらに有し、
    　前記生体認証指示部は、前記第２登録要求情報を受信すると、当該第２登録要求情報に含まれる前記通知用識別情報に基づいて、前記携帯端末に、当該第２登録要求情報に含まれるサービス識別情報に対応する前記生体認証の実行を指示する第２指示情報をプッシュ通知し、
    　前記検証部は、前記携帯端末から前記第２指示情報に対応する前記生体認証の認証結果を受信し、当該認証結果の正当性を検証し、
    　前記結果送信部は、前記検証部により前記第２指示情報に対応する前記生体認証の認証結果が正当であると検証されると、前記第２登録要求情報に含まれる前記ユーザ識別情報と、前記サービス識別情報と、前記通知用識別情報とを関連付けて前記記憶部に記憶させ、前記ユーザの登録結果を前記携帯端末及び前記アプリケーション提供装置に送信する、
    　請求項２から４のいずれか１項に記載の認証システム。
  6. 　前記登録要求部は、前記ユーザ識別情報をハッシュ化するスクリプトのアドレスを含み、前記ユーザ識別情報の入力を受け付けるページを送信し、当該アドレスに基づいて前記携帯端末が取得した前記スクリプトに基づいて生成された前記ハッシュ化されたユーザ識別情報を含む前記第１登録要求情報を取得する、
    　請求項５に記載の認証システム。
  7. 　前記生体認証指示部は、前記端末と前記携帯端末とが同一のユーザにより使用されていることを示す信頼関係状態であるか否かを判定し、前記端末と前記携帯端末とが前記信頼関係状態にあると判定すると、前記第１指示情報をプッシュ通知する、
    　請求項１から６のいずれか１項に記載の認証システム。
  8. 　前記携帯端末と前記認証装置とは、ワンタイムパスワードを生成するための共通鍵を共有し、
    　前記携帯端末は、前記共通鍵に基づいて前記ワンタイムパスワードを生成して表示し、
    　前記認証要求部は、前記端末から、前記ユーザを識別するユーザ識別情報と前記ワンタイムパスワードとを受け付けることにより、前記ユーザの認証の要求を受け付け、当該ユーザ識別情報と当該ワンタイムパスワードとを含む前記生体認証要求情報を前記認証装置に送信し、
    　前記生体認証指示部は、前記生体認証要求情報を受信すると、前記共通鍵に基づいてワンタイムパスワードを生成し、生成したワンタイムパスワードと、前記生体認証要求情報に含まれるワンタイムパスワードとが一致するか否かに基づいて、前記端末と前記携帯端末とが信頼関係状態にあるか否かを判定する、
    　請求項７に記載の認証システム。
  9. 　前記端末は、前記ユーザの認証に成功すると、当該認証に用いられた前記ユーザ識別情報を前記端末に記憶させ、
    　前記認証要求部は、前記端末から前記ユーザの認証要求を受け付ける場合に前記端末に前記ユーザ識別情報が記憶されているときには、前記端末から当該ユーザ識別情報を取得し、当該ユーザ識別情報と前記サービス識別情報とを含む前記生体認証要求情報を前記認証装置に送信する、
    　請求項８に記載の認証システム。
  10. 　前記認証装置は、前記生体認証要求情報を取得すると、所定のチャネル識別情報に基づいて、前記端末と前記携帯端末とを前記認証装置を介して通信可能に接続させ、前記携帯端末から前記端末と前記携帯端末とが信頼関係にあるか否かを受け付け、前記信頼関係にあることを受け付けると、前記端末と前記携帯端末とに前記信頼関係にあることを示す信頼関係情報を記憶させる信頼構築部をさらに有し、
    　前記生体認証指示部は、前記端末と前記携帯端末とに前記信頼関係情報が記憶されている場合に前記端末と前記携帯端末とが前記信頼関係状態にあると判定し、当該携帯端末に前記第１指示情報をプッシュ通知する、
    　請求項７に記載の認証システム。
  11. 　前記検証部は、前記認証装置が前記生体認証要求情報を受信する前に、前記携帯端末から、前記携帯端末において行われた前記生体認証の認証結果を受信し、当該認証結果の正当性を検証し、
    　前記結果送信部は、前記検証部により前記認証結果が正当であると検証された後に、前記生体認証要求情報を受信したことに応じて、前記認証結果を、前記生体認証要求情報を送信した前記アプリケーション提供装置に送信する、
    　請求項１から１０のいずれか１項に記載の認証システム。
  12. 　前記結果送信部は、前記認証結果が前記生体認証に成功したことを示していると、前記端末又は前記携帯端末に、前記ユーザの認証に成功したことを示す情報を表示させる、
    　請求項１から１１のいずれか１項に記載の認証システム。
  13. 　前記結果送信部は、前記認証結果が前記生体認証に成功したことを示していると、前記端末又は前記携帯端末に、所定時間にわたって前記ユーザの認証に成功したことを示す情報を表示させる、
    　請求項１２に記載の認証システム。
  14. 　アプリケーションを提供する複数のアプリケーション提供装置と、前記アプリケーションを利用するユーザの認証を行う認証装置とを備える認証システムが実行する認証方法であって、
    　前記アプリケーション提供装置が、端末から前記ユーザの認証要求を受け付けると、当該アプリケーション提供装置を識別するサービス識別情報を含み、前記ユーザの生体認証を要求する生体認証要求情報を前記認証装置に送信するステップと、
    　前記認証装置が、前記生体認証要求情報を受信すると、前記ユーザが所持し、生体認証を実行可能な携帯端末に、前記生体認証要求情報に含まれるサービス識別情報に対応する前記生体認証の実行を指示する第１指示情報をプッシュ通知するステップと、
    　前記認証装置が、前記携帯端末から前記第１指示情報に対応する前記生体認証の認証結果を受信し、当該認証結果の正当性を検証するステップと、
    　前記認証装置が、前記認証結果が正当であると検証すると、前記認証結果を、前記生体認証要求情報を送信した前記アプリケーション提供装置に送信するステップと、
    　前記アプリケーション提供装置が、前記認証装置から前記生体認証の認証結果を受信し、当該認証結果が前記生体認証に成功したことを示していると、前記端末に前記アプリケーションに関する機能を提供するステップと、
    　を有する認証方法。
  15. 　アプリケーションを提供するアプリケーション提供装置であって、
    　端末からユーザの認証要求を受け付けると、自身を識別するサービス識別情報を含み、前記ユーザの生体認証を要求する生体認証要求情報を、前記ユーザの生体認証を行う認証装置に送信する認証要求部と、
    　前記認証装置から前記生体認証の認証結果を受信し、当該認証結果が前記生体認証に成功したことを示していると、前記端末に前記アプリケーションに関する機能を提供する提供部と、
    　を備えるアプリケーション提供装置。
  16. 　ユーザの生体認証を行う認証装置であって、
    　アプリケーションを提供するアプリケーション提供装置から、前記アプリケーション提供装置を識別するサービス識別情報を含み、前記ユーザの生体認証を要求する生体認証要求情報を受信すると、前記ユーザが所持し、生体認証を実行可能な携帯端末に、当該サービス識別情報に対応する前記生体認証の実行を指示する指示情報をプッシュ通知する生体認証指示部と、
    　前記携帯端末から前記指示情報に対応する前記生体認証の認証結果を受信し、当該認証結果の正当性を検証する検証部と、
    　前記検証部により前記認証結果が正当であると検証されると、前記認証結果を、前記生体認証要求情報を送信した前記アプリケーション提供装置に送信する結果送信部と、
    　を備える認証装置。
  17. 　アプリケーションを提供するコンピュータを、
    　端末からユーザの認証要求を受け付けると、自身を識別するサービス識別情報を含み、前記ユーザの生体認証を要求する生体認証要求情報を、前記ユーザの生体認証を行う認証装置に送信する認証要求部、及び、
    　前記認証装置から前記生体認証の認証結果を受信し、当該認証結果が前記生体認証に成功したことを示していると、前記端末に前記アプリケーションに関する機能を提供する提供部、
    　として機能させる認証用プログラム。
PCT/JP2018/036928 2018-10-02 2018-10-02 認証システム、認証方法、アプリケーション提供装置、認証装置、認証用プログラム WO2020070807A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2020550989A JP7186346B2 (ja) 2018-10-02 2018-10-02 認証システム、認証装置及び認証方法
CN201880098095.1A CN112912875A (zh) 2018-10-02 2018-10-02 认证***、认证方法、应用提供装置、认证装置、认证用程序
PCT/JP2018/036928 WO2020070807A1 (ja) 2018-10-02 2018-10-02 認証システム、認証方法、アプリケーション提供装置、認証装置、認証用プログラム
US17/213,204 US20210234858A1 (en) 2018-10-02 2021-03-25 Authentication system, authentication method and authentication apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2018/036928 WO2020070807A1 (ja) 2018-10-02 2018-10-02 認証システム、認証方法、アプリケーション提供装置、認証装置、認証用プログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/213,204 Continuation US20210234858A1 (en) 2018-10-02 2021-03-25 Authentication system, authentication method and authentication apparatus

Publications (1)

Publication Number Publication Date
WO2020070807A1 true WO2020070807A1 (ja) 2020-04-09

Family

ID=70055680

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/036928 WO2020070807A1 (ja) 2018-10-02 2018-10-02 認証システム、認証方法、アプリケーション提供装置、認証装置、認証用プログラム

Country Status (4)

Country Link
US (1) US20210234858A1 (ja)
JP (1) JP7186346B2 (ja)
CN (1) CN112912875A (ja)
WO (1) WO2020070807A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2022069776A (ja) * 2020-10-26 2022-05-12 Ｍｉｎｔｏｍｏ株式会社 同一人物判別システム及び方法

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11627463B2 (en) * 2019-08-09 2023-04-11 Critical Ideas, Inc. Authentication via unstructured supplementary service data
US20220311776A1 (en) * 2021-03-25 2022-09-29 International Business Machines Corporation Injecting risk assessment in user authentication
US11528144B1 (en) * 2022-06-09 2022-12-13 Uab 360 It Optimized access in a service environment
CN116010925B (zh) * 2023-03-30 2023-07-18 中孚安全技术有限公司 一种基于指静脉识别的安全认证方法及***

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015064818A (ja) * 2013-09-26 2015-04-09 国立大学法人東京工業大学 機密生体サーバー認証
US20170337366A1 (en) * 2015-02-13 2017-11-23 Feitian Technologies Co., Ltd. Working method of voice authentication system and device
JP2018120309A (ja) * 2017-01-23 2018-08-02 株式会社リコー 認証システム、認証装置、認証方法及びプログラム

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9098687B2 (en) * 2013-05-03 2015-08-04 Citrix Systems, Inc. User and device authentication in enterprise systems
US10339366B2 (en) * 2013-10-23 2019-07-02 Mobilesphere Holdings II LLC System and method for facial recognition
US10050787B1 (en) * 2014-03-25 2018-08-14 Amazon Technologies, Inc. Authentication objects with attestation
CN105323251A (zh) * 2015-11-13 2016-02-10 飞天诚信科技股份有限公司 一种实现语音播报认证的方法及其云认证服务器
US10182179B2 (en) * 2017-01-31 2019-01-15 Kyocera Document Solutions Inc. Image forming method for private output using mobile terminal

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015064818A (ja) * 2013-09-26 2015-04-09 国立大学法人東京工業大学 機密生体サーバー認証
US20170337366A1 (en) * 2015-02-13 2017-11-23 Feitian Technologies Co., Ltd. Working method of voice authentication system and device
JP2018120309A (ja) * 2017-01-23 2018-08-02 株式会社リコー 認証システム、認証装置、認証方法及びプログラム

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2022069776A (ja) * 2020-10-26 2022-05-12 Ｍｉｎｔｏｍｏ株式会社 同一人物判別システム及び方法

Also Published As

Publication number Publication date
JP7186346B2 (ja) 2022-12-09
US20210234858A1 (en) 2021-07-29
CN112912875A (zh) 2021-06-04
JPWO2020070807A1 (ja) 2021-09-02

Similar Documents

Publication Publication Date Title
JP7186346B2 (ja) 認証システム、認証装置及び認証方法
US11539690B2 (en) Authentication system, authentication method, and application providing method
EP3420677B1 (en) System and method for service assisted mobile pairing of password-less computer login
US8739260B1 (en) Systems and methods for authentication via mobile communication device
US9009463B2 (en) Secure delivery of trust credentials
US10637650B2 (en) Active authentication session transfer
US20160197914A1 (en) System and method for converting one-time passcodes to app-based authentication
JP5662507B2 (ja) 認証方法、認証システム、および、サービス提供サーバ
GB2547472A (en) Method and system for authentication
US20180062863A1 (en) Method and system for facilitating authentication
JP5475035B2 (ja) 認証権限移譲システム、情報端末、トークン発行局、サービス提供装置、認証権限移譲方法、及びプログラム
CN112425114A (zh) 受公钥-私钥对保护的密码管理器
US20120311331A1 (en) Logon verification apparatus, system and method for performing logon verification
US9124571B1 (en) Network authentication method for secure user identity verification
US20240039729A1 (en) Efficient transfer of authentication credentials between client devices
JP6240102B2 (ja) 認証システム、認証鍵管理装置、認証鍵管理方法および認証鍵管理プログラム
JP7079528B2 (ja) サービス提供システム及びサービス提供方法
WO2017029708A1 (ja) 個人認証システム
EP2916509A1 (en) Network authentication method for secure user identity verification
KR100993333B1 (ko) 인터넷 접속 도구를 고려한 사용자 인증 방법 및 시스템
JP5793593B2 (ja) ユーザ識別情報を安全に検証するためのネットワーク認証方法
KR20080083077A (ko) 일회용 비밀번호 생성 알고리즘을 이용한 인증 방법 및장치
JP6115884B1 (ja) サービス提供システム、認証装置、及びプログラム
WO2017134922A1 (ja) サービス提供システム、認証装置、及びプログラム
KR101576038B1 (ko) 사용자 신원 인증을 안전하게 보장하기 위한 네트워크 인증 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18936126

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020550989

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 24/06/2021)

122 Ep: pct application non-entry in european phase

Ref document number: 18936126

Country of ref document: EP

Kind code of ref document: A1