クレジットカード決済における認証サーバ、認証システム及び認証方法
【課題】 パスワードやパーソナルメッセージの事前登録を必要としない、インターネットの電子商取引サイトで商品の購入代金等をクレジットカードで決済する際に用いられるユーザ及びサーバの認証を行うための認証サーバ等を提供する。
【解決手段】 カード会員であるユーザにカード番号等をキーにＯＴＰ（ワンタイムパスワード）を発生させるトークンを配布し、本人認証を行うアクセスコントロールサーバでは、加盟店サーバから受け付けたカード番号等から同じロジックに基づくＯＴＰを演算して、ＯＴＰを用いた本人認証を行う。あわせて、アクセスコントロールサーバはカード番号等からサーバ認証用のコードを演算してこれをパスワード入力用の認証画面に表示させ、ユーザにはトークンでの演算、又はトークンへの印字等によってサーバ認証用のコードを了知させ、フィッシングを防止する。
【解決手段】 カード会員であるユーザにカード番号等をキーにＯＴＰ（ワンタイムパスワード）を発生させるトークンを配布し、本人認証を行うアクセスコントロールサーバでは、加盟店サーバから受け付けたカード番号等から同じロジックに基づくＯＴＰを演算して、ＯＴＰを用いた本人認証を行う。あわせて、アクセスコントロールサーバはカード番号等からサーバ認証用のコードを演算してこれをパスワード入力用の認証画面に表示させ、ユーザにはトークンでの演算、又はトークンへの印字等によってサーバ認証用のコードを了知させ、フィッシングを防止する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットの電子商取引サイトで商品の購入代金等をクレジットカードで決済する際に用いられる、ユーザ及びサーバの認証を行うための認証サーバ、認証システム及び認証方法に関するものである。
【背景技術】
【０００２】
インターネットを利用して電子商取引サイトにおいて商品等を購入することが広く行なわれるようになっているが、代金決済の手段としてクレジットカードが用いられることが多くなっている。クレジットカードの利用では不正利用対策が課題となるが、特にインターネットでの決済に用いる際には、クレジットカードの現物を確認することができないため、第三者によってカード番号等が盗用されて不正利用が行われるなりすましのリスクが高まることになる。
【０００３】
このようなリスクに対応するために、カード会員があらかじめカード会社にインターネットでの決済に用いるパスワードを登録しておき、電子商取引サイトでクレジットカード決済を選択した際にはカード会社のサーバに自動アクセスし、ユーザが入力したパスワードと登録されたパスワードの一致が確認されることをクレジットカードによる決済承認の条件とするサービスが提供されるようになっている（例えば、非特許文献１の「サービス概要」「仕組み」参照）。
【０００４】
また、上記のサービスはユーザがカード会員本人であるかを認証するのみでなく、あらかじめカード会社にカード会員本人しかしらないメッセージを登録しておき、パスワードの入力画面に該メッセージを表示することによって、パスワードの入力を要求しているＷｅｂサイトが確かにカード会社のものであるかを認証し、フィッシングにも対処できるようになっている（例えば、非特許文献１の「パーソナルメッセージ」参照）。
【０００５】
このようなサービスを受けるために、クレジットカードの会員は、認証に用いるためのパスワードやパーソナルメッセージなどの情報をあらかじめカード会社に登録しておくことが必要になる（例えば、非特許文献２参照）。
【０００６】
【非特許文献１】オンラインショッピング認証サービス、三菱ＵＦＪニコス株式会社・ＤＣカードホームページ、［２００８年１月１０日検索]、インターネット＜URL： http://www.dccard.co.jp/webs/3dsecure.shtml＞
【非特許文献２】安全なオンラインショッピング、Ｖｉｓａ Ｉｎｃ．・ＶＩＳＡカードホームページ、［２００８年１月１０日検索]、インターネット＜URL： http://www.visa-asia.com/ap/jp/cardholders/security/vbv.shtml＞
【発明の開示】
【発明が解決しようとする課題】
【０００７】
以上のように、インターネットでの決済専用のパスワードを用いることによってなりすましのリスクを低下させ、パーソナルメッセージの登録によってフィッシングのリスクを低下させることが可能になるが、カード会員にはこれらの情報をあらかじめカード会社に登録する手間が生じることになる。また、パスワードについてはインターネットでの取引を行なううちに漏洩してしまうリスクがある他、パーソナルメッセージについてはカード会員が失念してしまうおそれもあると考えられる。
【０００８】
本発明は、このような課題に対応するためになされたものであり、インターネットの電子商取引サイトで商品の購入代金等をクレジットカードで決済する際に用いられる、ユーザ及びサーバの認証を行うための認証サーバ、認証システム及び認証方法であって、パスワードやパーソナルメッセージの事前登録を必要としないものを提供することを目的とする。
【課題を解決するための手段】
【０００９】
このような課題に対応するために、本発明にかかる認証サーバは、クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバであって、クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、を備えることを特徴とする。
【００１０】
本発明では、ユーザの本人認証にＯＴＰ（ワンタイムパスワード）を採用し、カード番号を含むデータをキーにＯＴＰを生成するように構成することによって、クレジットカードを保有するユーザと、加盟店サーバから決済要求のあったカード番号を受け付ける認証サーバの間で、パスワードの事前登録を行わなくても本人認証を行うことができる。あわせて、カード番号を含むデータからサーバ認証コードを生成するように構成することによって、クレジットカードを保有するユーザ側において、パーソナルメッセージ等の事前登録を行わなくても、正規のサーバであるかの認証を行うことが可能になる。
【００１１】
また、本発明は、前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコードが用いられることを特徴とすることもできる。
【００１２】
このように構成すると、クレジットカードに通常印字されているセキュリティコードをサーバ認証コードとして用いることができるため、トークンにサーバ認証コードを演算させたり、サーバ認証コードを印字したりすることが不要になる。
【００１３】
さらに、本発明は、前記サーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算することを特徴としてもよい。
【００１４】
このように構成すると、カード番号の他に有効期限等をキーに用いてサーバ認証コードを生成することができるため、サーバ認証コードの推測が一層困難になり、安全性をさらに高めることが可能になる。
【００１５】
本発明は、本発明にかかる認証サーバと、ユーザが使用するクレジットカードからの情報の読み取りが可能なトークンからなる認証システムとして特定することもできる。
【００１６】
つまり、本発明にかかる第１の認証システムは、クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバと、前記ユーザがワンタイムパスワードを確認するために利用するトークンからなる認証システムであって、前記認証サーバは、クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、を備えていて、前記トークンは、前記クレジットカードからカード番号を少なくとも含むカード情報を読み取るカード情報読取手段と、前記カード情報読取手段が読み取ったカード情報に含まれるカード番号と、前記カード情報に含まれるか又は所定の記憶領域から読み出した前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、を備えていて、前記認証サーバのワンタイムパスワード演算手段と前記トークンのワンタイムパスワード演算手段は、共通のロジックに基づいてワンタイムパスワードを演算することを特徴とする認証システムである。
【００１７】
また、本発明にかかる第１の認証システムは、前記トークンは、前記カード情報読取手段が読み取ったカード情報に含まれるカード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段を備えていて、前記認証サーバのサーバ認証コード演算手段と前記トークンのサーバ認証コード演算手段は、共通のロジックに基づいてサーバ認証コードを演算することを特徴とすることもできる。
【００１８】
さらに、本発明にかかる第１の認証システムは、前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算し、前記トークンのサーバ認証コード演算手段は、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算することを特徴としてもよい。
【００１９】
さらに、本発明にかかる第１の認証システムは、前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコード又はトークンに印字された認証用コードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコード又は認証用コードが用いられることを特徴としてもよい。
【００２０】
さらに、本発明にかかる第１の認証システムは、前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算することを特徴としてもよい。
【００２１】
本発明は、本発明にかかる認証サーバと、ユーザが使用するワンタイムパスワード生成専用のトークンからなる認証システムとして特定することもできる。
【００２２】
つまり、本発明にかかる第２の認証システムは、クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバと、前記ユーザがワンタイムパスワードを確認するために利用する認証カードからなる認証システムであって、前記認証サーバは、クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、を備えていて、前記認証カードは、前記クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段を備えていて、前記認証サーバのワンタイムパスワード演算手段と前記認証カードのワンタイムパスワード演算手段は、共通のロジックに基づいてワンタイムパスワードを演算することを特徴とする。
【００２３】
また、本発明にかかる第２の認証システムは、前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコード又は認証カードに印字された認証用コードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコード又は認証用コードが用いられることを特徴とすることもできる。
【００２４】
さらに、本発明にかかる第２の認証システムは、前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算することを特徴としてもよい。
【００２５】
本発明は、本発明にかかる認証サーバによって実行される認証方法として特定することもできる。
【００２６】
つまり、本発明にかかる認証方法は、クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段を備えた、クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバによって実行される認証方法であって、前記認証サーバが、クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付ステップと、前記認証サーバが、前記決済情報受付ステップで受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けてカード番号記憶手段に記憶させるカード番号記憶ステップと、前記認証サーバが、前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付ステップと、前記認証サーバが、前記認証要求受付ステップで受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算ステップと、前記認証サーバが、前記ユーザ端末に、前記サーバ認証コード演算ステップで演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信ステップと、前記認証サーバが、前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付ステップと、前記認証サーバが、前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算ステップと、前記認証サーバが、前記パスワード受付ステップで受け付けたワンタイムパスワードと前記ワンタイムパスワード演算ステップで演算したワンタイムパスワードを照合するパスワード照合ステップと、前記認証サーバが、前記パスワード照合ステップにおいてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信ステップと、を有することを特徴とする。
【００２７】
また、本発明にかかる認証方法は、前記サーバ認証コード演算ステップでは、クレジットカードに印字されたセキュリティコードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコードが用いられることを特徴とすることもできる。
【００２８】
さらに、本発明にかかる認証方法は、前記サーバ認証コード演算ステップでは、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算することを特徴としてもよい。
【発明の効果】
【００２９】
本発明によって、クレジットカードの会員であるユーザがパスワードやパーソナルメッセージの事前登録を行わなくても、インターネットの電子商取引サイトで商品の購入代金等をクレジットカードで決済する際に、ユーザの本人認証や正規のサーバの認証を行うことが可能になるので、なりすましやフィッシングによる被害の防止に有効である。
【００３０】
また、ワンタイムパスワードを利用することによってパスワード漏洩のリスクを回避できるとともに、ユーザの手元で把握できるサーバ認証コードを用いてサーバの認証を行うことによって、サーバ認証用のパーソナルメッセージを記憶してサーバ認証に用いる場合においてカード会員がパーソナルメッセージ失念してしまうおそれがあるという問題も解消することができる。
【発明を実施するための最良の形態】
【００３１】
本発明を実施するための最良の形態について、図面を用いて以下に詳細に説明する。尚、以下の説明は本発明の実施形態の一例を示したものであって、本発明の構成は以下に示した実施形態に限定されるものではない。
【００３２】
図１は、本発明にかかる認証サーバの実施形態の一例を示す図である。図２〜図５は、本発明にかかる認証サーバを用いたクレジットカード決済におけるユーザ及びサーバ認証のそれぞれ第１〜４の実施例を示す図である。図６は、本発明にかかる認証サーバの構成を示すブロック図である。図７は、本発明にかかる認証サーバによってユーザ端末に表示される認証画面の一例を示す図である。図８〜１０は、本発明にかかる認証サーバによるユーザ及びサーバ認証のフローを示すそれぞれ第１〜３のフローチャートである。
【００３３】
図１を用いて、本発明にかかる認証サーバによるユーザの本人認証と正規のサーバであることの認証の方法について説明する。クレジットカード会員であるユーザは、パーソナルコンピュータ等のユーザ端末を用いてインターネットに接続し、電子商取引サイトとして運用されているクレジットカードの加盟店サーバにアクセスする。ユーザが電子商取引サイトで購入する商品を決定し、購入代金の決済方法としてクレジットカードを選択すると、所定の入力画面からクレジットカードのカード番号や有効期限等の入力が行われる。
【００３４】
加盟店サーバは、入力されたクレジットカードのカード番号等を受け付けて、ユーザの入力したカード番号がインターネットでの決済に利用可能なものであるかを確認するために、クレジットカード会員の認証を行うアクセスコントロールサーバに対してクレジットカードのカード番号や利用代金等の決済情報を送信して、クレジットカードの照会要求を行う。
【００３５】
アクセスコントロールサーバには、インターネットでの購入代金を決済することが可能なクレジットカードのカード番号等のカード情報が記憶されていて、これを参照してアクセスコントロールサーバで決済可能なクレジットカードであるかを確認し、確認結果を加盟店サーバに返信する。このときに、ユーザ端末からユーザの認証要求を受け付けた際に対応するクレジットカードを識別できるように、加盟店サーバから受け付けた決済情報の識別キーとカード番号を関連付けて記憶させるとともに、加盟店サーバに該識別キーを確認結果とあわせて返信する。
【００３６】
確認結果を受け付けた加盟店サーバでは、クレジットカードが決済可能なものである場合には、ユーザに本人認証を要求するために、ユーザ端末からアクセスコントロールサーバにアクセスさせるためのリンクを表示させる。リンクの方法は特に限定されるものではないが、加盟店サーバのＷｅｂページ上の認証要求のリンクを押下すると、アクセスコントロールサーバにアクセスして認証画面をポップアップさせることとしてもよいし、アクセスコントロールサーバの認証画面に遷移させることとしてもよい。ここで、アクセスコントロールサーバへのリンクには決済情報の識別キーが埋め込まれ、ユーザ端末からアクセスコントロールサーバへは該識別キーが自動的に付されて認証要求が送信されるように設定される。
【００３７】
認証要求を受け付けたアクセスコントロールサーバでは、決済情報の識別キーから該識別キーと関連付けて記憶されている加盟店サーバから受け付けたカード番号を特定し、ユーザが正規のサーバであることを確認するために用いられるサーバ認証コードを、特定したカード番号を用いて生成する。ユーザに本人認証のためのＯＴＰ（ワンタイムパスワード）を入力させる認証画面には、生成されたサーバ認証コードが表示される。
【００３８】
ここでサーバ認証コードの生成に適用される演算ロジックは特に限定されるものではなく、カード番号以外に有効期限等のデータを用いることとしてもよいが、ユーザ側で正規のサーバ認証コードを判別できるように、ユーザに専用のトークンを保有させてトークンで同様のロジックに基づく演算を可能にしておくか、あるいはクレジットカードやトークン等に演算された正規のサーバ認証コードを印字しておくことが必要になる。
【００３９】
図７は認証画面の一例を示したものであるが、サーバ認証コードが表示されたＯＴＰを入力させる認証画面はユーザ端末に送信され、ユーザはあらかじめ配布されたＯＴＰを生成するトークンによってＯＴＰを確認し、認証画面に入力する。このときに、認証画面が正規のものであれば認証画面にはサーバ認証コードが表示されるため（図７であれば「サーバ認証コード」の「９８７」）、ユーザはこれが手元で確認できるサーバ認証コードと一致しているかによって正規のサーバからの認証画面か否かを判断し、フィッシングを防止することが可能になる。
【００４０】
認証画面に入力されたＯＴＰはアクセスコントロールサーバに送信されるが、アクセスコントロールサーバでもユーザの保有するトークンと同じＯＴＰを生成する演算ロジックが記憶されており、アクセスコントロールサーバで演算されたＯＴＰとユーザ端末から受け付けたＯＴＰを照合することによって、ユーザの本人認証が行われる。
【００４１】
尚、ここで用いられるＯＴＰの演算ロジックは特に限定されるものではないが、生成キーとしてユーザ毎に固有のデータであるカード番号が少なくとも用いられることになる。ユーザ側には、クレジットカードからカード番号を読み取ることが可能なトークンを用いてもよいし、カード番号を記憶してＯＴＰを自動演算するカード状のトークン等を用いてもよい。尚、ＯＴＰの生成キーをカード番号のみでなく、その他の各々のカードに固有の管理者が設定した生成キーを用いたり、時刻情報やカウンタ情報（ＯＴＰの発行回数のカウンタ）等を用いたりすると安全性がより高まるため、特に高い安全性が求められるＯＴＰの演算には好ましい。
【００４２】
アクセスコントロールサーバで演算されたＯＴＰとユーザ端末から受け付けたＯＴＰを照合した認証結果は、アクセスコントロールサーバからユーザ端末に送信され、さらにユーザ端末から加盟店サーバに送信される。認証結果については、アクセスコントロールサーバにおいて電子署名が行われたものを送信することが好ましい。
【００４３】
加盟店サーバでは、ＯＴＰが一致して本人認証済の認証結果を受け付けた場合には、カード会社のオーソリシステムに対して売上承認を要求するオーソリ電文をオーソリネットワーク経由で送信する。ＯＴＰが一致せず本人認証未済の認証結果を受け付けた場合には、ユーザ端末に対して本人認証がエラーとなったことを通知し、商品購入の処理を中止する。
【００４４】
図２〜図５は、本発明にかかる認証サーバにおけるユーザの本人認証と正規のサーバ認証の組合せについて、それぞれ第１〜４の実施例を示している。
【００４５】
図２に示した第１の実施例では、クレジットカードからカード番号等を読み取る機能とＯＴＰの演算ロジックを備えたトークンを、あらかじめユーザに配布する。この実施例では、サーバ認証にはクレジットカードに通常印字されている３桁のセキュリティコード、ユーザ認証にはＯＴＰがそれぞれ用いられる。
【００４６】
セキュリティコードは通常はカード番号や有効期限等の数値を所定のロジックで演算することによって生成されるが、アクセスコントロールサーバにセキュリティコードを演算するロジックを備え、カード番号や有効期限等のカード情報をデータベースに格納することによって、加盟店サーバから照会要求があったカード番号から特定されるカード情報を用いて、セキュリティコードを演算することができる。ユーザ端末の認証画面にはサーバ認証コードとしてセキュリティコードが表示され、ユーザはこれがクレジットカードに印字されているセキュリティコードと一致しているかを確認することによって、正規のサーバから送信された認証画面であることを確認できる。
【００４７】
ＯＴＰについては、アクセスコントロールサーバとトークンに共通の演算ロジックが備えられ、ユーザ端末側ではトークンがクレジットカードのＩＣチップや磁気ストライプから読み取ったカード情報を、アクセスコントロールサーバではデータベースに格納されたカード情報を用いることによって、それぞれＯＴＰが演算される。ＯＴＰの安全性を高めるためにはカード情報以外の生成キーを用いることが好ましいことは先に説明したとおりであるが、このような生成キーは、ユーザ端末側ではクレジットカードかユーザ専用に配布されるトークンに、アクセスコントロールサーバではデータベースにカード番号と関連付けてそれぞれ記憶させておき、ＯＴＰを演算する際に読み出すこととすればよい。
【００４８】
図３に示した第２の実施例では、クレジットカードからカード番号等を読み取る機能とＯＴＰ及びサーバ認証コードの演算ロジックを備えたトークンをあらかじめユーザに配布する。この実施例では、サーバ認証にはサーバ認証コード、ユーザ認証にはＯＴＰがそれぞれ用いられる。
【００４９】
サーバ認証コードについては、アクセスコントロールサーバとトークンに共通の演算ロジックが備えられる。ユーザ端末側ではトークンがクレジットカードのＩＣチップや磁気ストライプから読み取ったカード情報から、アクセスコントロールサーバではカード番号や有効期限等のカード情報をデータベースに格納し、加盟店サーバから照会要求があったカード番号から特定されるカード情報から、それぞれサーバ認証コードを演算することができる。ユーザ端末の認証画面にはアクセスコントロールサーバで演算したサーバ認証コードが表示され、ユーザはこれがトークンで演算してトークンのディスプレイに表示されたサーバ認証コードと一致しているかを確認することによって、正規のサーバから送信された認証画面であることを確認できる。
【００５０】
ＯＴＰについては、アクセスコントロールサーバとトークンに共通の演算ロジックが備えられ、ユーザ端末側ではトークンがクレジットカードのＩＣチップや磁気ストライプから読み取ったカード情報を、アクセスコントロールサーバではデータベースに格納されたカード情報を用いることによって、それぞれＯＴＰが演算される。ＯＴＰの安全性を高めるためにはカード情報以外の生成キーを用いることが好ましいことは先に説明したとおりであるが、このような生成キーは、ユーザ端末側ではクレジットカードかユーザ専用に配布されるトークンに、アクセスコントロールサーバではデータベースにカード番号と関連付けてそれぞれ記憶させておき、ＯＴＰを演算する際に読み出すこととすればよい。
【００５１】
尚、第２の実施例において、サーバ認証コードを生成するキーに時刻情報やカウンタ情報等の可変なデータを用いない場合には、演算ロジックを変更しない限りサーバ認証コードは常に一定の値となる（クレジットカードに印字されるセキュリティコードもその一種といえる）。このような場合には、トークンで毎回サーバ認証コードを演算しなくても、ユーザ専用に配布されるトークンの本体にサーバ認証コードを印字しておくこととしても良い。
【００５２】
図４に示した第３の実施例では、カード番号等の生成キーを記憶するとともにＯＴＰの演算ロジックを備えたカード状のトークンをあらかじめユーザに配布する。この実施例では、サーバ認証にはクレジットカードに通常印字されている３桁のセキュリティコード、ユーザ認証にはＯＴＰがそれぞれ用いられる。
【００５３】
セキュリティコードは通常はカード番号や有効期限等の数値を所定のロジックで演算することによって生成されるが、アクセスコントロールサーバにセキュリティコードを演算するロジックを備え、カード番号や有効期限等のカード情報をデータベースに格納することによって、加盟店サーバから照会要求があったカード番号から特定されるカード情報を用いて、セキュリティコードを演算することができる。ユーザ端末の認証画面にはサーバ認証コードとしてセキュリティコードが表示され、ユーザはこれがクレジットカードに印字されているセキュリティコードと一致しているかを確認することによって、正規のサーバから送信された認証画面であることを確認できる。
【００５４】
ＯＴＰについては、アクセスコントロールサーバとトークンに共通の演算ロジックが備えられ、ユーザ端末側ではトークンに記憶されたカード情報を、アクセスコントロールサーバではデータベースに格納されたカード情報を用いることによって、それぞれＯＴＰが演算される。ＯＴＰの安全性を高めるためにはカード情報以外の生成キーを用いることが好ましいことは先に説明したとおりであるが、このような生成キーは、ユーザ端末側ではユーザ専用に配布されるトークンに、アクセスコントロールサーバではデータベースにカード番号と関連付けてそれぞれ記憶させておき、ＯＴＰを演算する際に読み出すこととすればよい。
【００５５】
図５に示した第４の実施例では、カード番号等の生成キーを記憶するとともにＯＴＰの演算ロジックを備えたカード状のトークンをあらかじめユーザに配布する。この実施例では、サーバ認証にはトークンに印字されているサーバ認証コード、ユーザ認証にはＯＴＰがそれぞれ用いられる。
【００５６】
アクセスコントロールサーバにセキュリティコードを演算するロジックを備え、カード番号や有効期限等のカード情報をデータベースに格納することによって、加盟店サーバから照会要求があったカード番号から特定されるカード情報を用いて、サーバ認証コードを演算することができる。ユーザ端末の認証画面には演算されたサーバ認証コードが表示され、ユーザはこれがトークンに印字されているサーバ認証コードと一致しているかを確認することによって、正規のサーバから送信された認証画面であることを確認できる。尚、トークンに印字されたサーバ認証コードを用いるためには、サーバ認証コードを生成するキーに時刻情報やカウンタ情報等の可変なデータを用いずに、演算ロジックを変更しない限りサーバ認証コードは常に一定の値となる（クレジットカードに印字されるセキュリティコードもその一種といえる）ように設定することが必要である。
【００５７】
ＯＴＰについては、アクセスコントロールサーバとトークンに共通の演算ロジックが備えられ、ユーザ端末側ではトークンに記憶されたカード情報を、アクセスコントロールサーバではデータベースに格納されたカード情報を用いることによって、それぞれＯＴＰが演算される。ＯＴＰの安全性を高めるためにはカード情報以外の生成キーを用いることが好ましいことは先に説明したとおりであるが、このような生成キーは、ユーザ端末側ではユーザ専用に配布されるトークンに、アクセスコントロールサーバではデータベースにカード番号と関連付けてそれぞれ記憶させておき、ＯＴＰを演算する際に読み出すこととすればよい。
【００５８】
図６のブロック図と、図８〜１０のフローチャートを用いて、本発明にかかる認証サーバの動作について説明する。尚、以下では、主に図４に示した第２の実施例の組合せを前提にして説明するが、他の実施例の場合も基本的なフローは同様である。
【００５９】
図６において、本発明にかかる認証サーバは、アクセスコントロールサーバ４０として構成されている。アクセスコントロールサーバ４０は、インターネットを介してユーザ端末１０からアクセス可能なＷｅｂサーバである。クレジットカード決済によって商品等を購入するユーザは、ブラウザ１１を備えたパーソナルコンピュータ等のユーザ端末１０を用いてインターネットに接続して、クレジットカードによって代金決済が可能な電子商取引サイトを運営する加盟店サーバ３０にアクセスする。
【００６０】
加盟店サーバ３０はインターネットを介してユーザ端末１０との通信が可能なＷｅｂサーバであって、決済情報受付部３１、決済情報送信部３２、認証結果受付部３３を備えて構成されている。これらの各部はいずれも機能的に特定されるものであって、各々の機能を実現するためのアプリケーションプログラムがＷｅｂサーバを構成するコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されて各々の機能が実現される。
【００６１】
加盟店サーバ３０では、ユーザ端末１０からのリクエストに応じて販売する商品等が掲載されたＷｅｂページをレスポンスし、ユーザが購入したい商品等を決定すると、決済用の画面に移行して、クレジットカード、銀行振込、代引等による代金の決済方法を選択させる。クレジットカードによる代金決済が選択されると、クレジットカードの番号、有効期限等のカード情報をユーザ端末１０から入力させ、決済情報受付部３１でこれを受け付ける。受け付けたカード情報は、加盟店を識別する加盟店コード、利用金額等に関する情報とともに、代金決済が可能な有効なクレジットカードであるか、またインターネットでの決済に利用できるクレジットカードであるかの照会を行うために、決済情報送信部３２からアクセスコントロールサーバ４０に送信される。
【００６２】
アクセスコントロールサーバ４０に備えられる決済情報制御部４１、サーバ認証コード演算部４３、認証画面送信部４４、ＯＴＰ演算部４５、ＯＴＰ照合部４６、認証結果送信部４７は、いずれも機能的に特定されるものであって、各々の機能を実現するためのアプリケーションプログラムがＷｅｂサーバを構成するコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されて各々の機能が実現される。カード情報格納部４２には、Ｗｅｂサーバを構成するコンピュータのＨＤＤの所定の記憶領域が割り当てられ、インターネットでの決済に利用できる有効なクレジットカードのカード番号等が格納されているが、アプリケーションプログラムを実行するコンピュータとは異なるデータベースサーバ等に設けられるものであってもよい。
【００６３】
加盟店サーバ３０から決済情報を受け付けたアクセスコントロールサーバ４０では、図８に示したフローに従ってクレジットカードの照会処理が行われる。決済情報制御部４１で加盟店サーバ３０からカード番号が含まれた決済情報を受け付けると（Ｓ０１）、カード情報格納部４２を参照して（Ｓ０２）、受け付けた決済情報に含まれるカード番号がカード情報格納部４２に有効なクレジットカードのカード番号として格納されているかを確認する（Ｓ０３）。
【００６４】
有効なカードと確認されると、後に受け付けるユーザの本人認証の要求の際に対応する決済情報を識別できるようにするために、決済情報識別キーを発行して加盟店サーバ３０に送信する（Ｓ０４）。発行された決済情報識別キーは、決済情報に含まれるカード番号と関連付けて決済情報制御部４１等に記憶される（Ｓ０５）。有効なカードであることが確認されないと、加盟店サーバ３０にエラー情報が送信される（Ｓ０６）。
【００６５】
尚、決済情報識別キーとカード番号を関連付ける方法は特に限定されるものではなく、例えば、後に利用金額等も表示される認証画面を作成するまで加盟店サーバ３０から受け付けたカード番号が含まれる決済情報と関連付けてメモリ領域に一時記憶させておいてもよいし、カード情報格納部４２のカード番号毎に設けられたレコードに決済情報識別キーを書き込むこととしてもよい。
【００６６】
有効なクレジットカードであるとの照会結果を受け付けた加盟店サーバ３０では、ユーザに本人認証を要求するために、ユーザ端末１０からアクセスコントロールサーバ４０に本人認証のためにアクセスさせるリンクを表示させる。ここで、アクセスコントロールサーバ４０へのリンクには、アクセスコントロールサーバ４０から受け付けた決済情報識別キーが埋め込まれ、該識別キーが付された状態で、ユーザ端末からアクセスコントロールサーバ４０へユーザの本人認証の要求が送信される。
【００６７】
ユーザ端末１０からユーザの本人認証の要求を受け付けたアクセスコントロールサーバ４０では、図９に示したフローに従って、ＯＴＰを入力させるための認証画面が返信される。ユーザ端末１０から決済情報識別キーが付されたユーザの本人認証の要求を受け付けると（Ｓ０７）、決済情報制御部４１では受け付けた決済情報識別キーと関連付けて記憶されたカード番号を特定し、特定したカード番号に対応するカード情報をカード情報格納部４２から読み出す（Ｓ０８）。
【００６８】
続いて、読み出したカード情報のうちカード番号を少なくとも含むデータから、サーバ認証コード演算部４３で正規のサーバの認証に用いるためのサーバ認証コードを演算する（Ｓ０９）。さらに、認証画面送信部４４では、図７の例に示したような、ユーザの本人認証のためのＯＴＰの入力領域と演算したサーバ認証コードが少なくとも表示された認証画面を作成し、ユーザ端末１０に送信する（Ｓ１０）。
【００６９】
この認証画面はユーザ端末１０のディスプレイに表示されるが、ユーザはトークン２０にクレジットカードを挿入、接触等をさせて、クレジットカードのＩＣチップや磁気ストライプに記憶されたカード番号等のカード情報をカード情報読取部２１で読み取る。ここで読み取ったカード番号を少なくとも含むデータを生成キーとしてＯＴＰ演算部２２で演算されてトークン２０のディスプレイに表示されたＯＴＰを認証画面に入力して、アクセスコントロールサーバ４０に送信する。
【００７０】
このときにトークン２０では、カード情報読取部２１で読み取ったカード番号を少なくとも含むデータからサーバ認証コード演算部２３で演算されたサーバ認証コードがトークン２０のディスプレイに表示される。サーバ認証コード演算部２３では、アクセスコントロールサーバ４０のサーバ認証コード演算部４３と同じロジックに基づいて演算を行うので、ユーザはこのサーバ認証コードが認証画面に表示されているサーバ認証コードと一致していることを確認することで、正規のサーバから送信された認証画面であることを確認できる。ユーザはサーバ認証コードの一致を確認した上で、ＯＴＰをユーザ端末１０からアクセスコントロールサーバ４０に送信する。
【００７１】
尚、ユーザ側でサーバ認証コードを把握するための方法は上記に限定されるものではなく、図２〜図５の例から先に説明したように、クレジットカードに印字されたセキュリティコードの利用、トークンへの印字などの方法によることもできる。
【００７２】
ユーザ端末１０から送信された認証画面に入力されたＯＴＰを受け付けたアクセスコントロールサーバ４０では、図１０に示したフローに従って、ユーザの本人認証が行われる。ユーザ端末からＯＴＰ照合部４６でＯＴＰを受け付けると（Ｓ１１）、先にカード情報格納手段４２から読み出したカード情報を用いてＯＴＰ演算部４５でＯＴＰを演算して（Ｓ１２）、ＯＴＰが一致するかを確認する（Ｓ１３）。
【００７３】
トークン２０のＯＴＰ演算部２２とアクセスコントロールサーバ４０のＯＴＰ演算部４５では同じロジックに基づいて演算を行うので、双方で演算されたＯＴＰの一致を確認することによって、ユーザの本人認証を行うことができる。ＯＴＰの生成キーにはユーザ毎に異なるカード番号が必ず含まれるが、先に説明したとおり、管理者が設定したその他の生成キーや、時刻情報等をあわせて用いることとしてもよい。
【００７４】
ＯＴＰが一致した場合には、本人認証が行われたことを示す認証結果を、認証結果送信部４７からユーザ端末１０に送信する（Ｓ１４）。ＯＴＰが一致しない場合には、本人認証が行われなかったことを示す認証結果を、認証結果送信部４７からユーザ端末１０に送信する（Ｓ１５）。これらの認証結果は、アクセスコントロールサーバ４０で電子署名を行った状態で送信することが望ましい。
【００７５】
ユーザ端末１０が本人認証が行われたことを示す認証結果を受け付けた場合には、認証結果が加盟店サーバ３０の認証結果受付部３３に引き渡されて、カード会社のオーソリシステム５０に対して売上承認を要求するオーソリ電文をオーソリネットワーク経由で送信する。オーソリシステムからの売上承認を待って、クレジットカードによる代金決済が確定する。
【図面の簡単な説明】
【００７６】
【図１】本発明にかかる認証サーバの実施形態の一例を示す図である。
【図２】本発明にかかる認証サーバを用いたクレジットカード決済におけるユーザ及びサーバ認証の第１の実施例を示す図である。
【図３】本発明にかかる認証サーバを用いたクレジットカード決済におけるユーザ及びサーバ認証の第２の実施例を示す図である。
【図４】本発明にかかる認証サーバを用いたクレジットカード決済におけるユーザ及びサーバ認証の第３の実施例を示す図である。
【図５】本発明にかかる認証サーバを用いたクレジットカード決済におけるユーザ及びサーバ認証の第４の実施例を示す図である。
【図６】本発明にかかる認証サーバの構成を示すブロック図である。
【図７】本発明にかかる認証サーバによってユーザ端末に表示される認証画面の一例を示す図である。
【図８】本発明にかかる認証サーバによるユーザ及びサーバ認証のフローを示す第１のフローチャートである。
【図９】本発明にかかる認証サーバによるユーザ及びサーバ認証のフローを示す第２のフローチャートである。
【図１０】本発明にかかる認証サーバによるユーザ及びサーバ認証のフローを示す第３のフローチャートである。
【符号の説明】
【００７７】
１０ ユーザ端末
１１ ブラウザ
２０ トークン
２１ カード情報読取部
２２ ＯＴＰ演算部
２３ サーバ認証コード演算部
３０ 加盟店サーバ
３１ 決済情報受付部
３２ 決済情報送信部
３３ 認証結果受付部
４０ アクセスコントロールサーバ
４１ 決済情報制御部
４２ カード情報格納部
４３ サーバ認証コード演算部
４４ 認証画面送信部
４５ ＯＴＰ演算部
４６ ＯＴＰ照合部
４７ 認証結果送信部
５０ オーソリシステム
【技術分野】
【０００１】
本発明は、インターネットの電子商取引サイトで商品の購入代金等をクレジットカードで決済する際に用いられる、ユーザ及びサーバの認証を行うための認証サーバ、認証システム及び認証方法に関するものである。
【背景技術】
【０００２】
インターネットを利用して電子商取引サイトにおいて商品等を購入することが広く行なわれるようになっているが、代金決済の手段としてクレジットカードが用いられることが多くなっている。クレジットカードの利用では不正利用対策が課題となるが、特にインターネットでの決済に用いる際には、クレジットカードの現物を確認することができないため、第三者によってカード番号等が盗用されて不正利用が行われるなりすましのリスクが高まることになる。
【０００３】
このようなリスクに対応するために、カード会員があらかじめカード会社にインターネットでの決済に用いるパスワードを登録しておき、電子商取引サイトでクレジットカード決済を選択した際にはカード会社のサーバに自動アクセスし、ユーザが入力したパスワードと登録されたパスワードの一致が確認されることをクレジットカードによる決済承認の条件とするサービスが提供されるようになっている（例えば、非特許文献１の「サービス概要」「仕組み」参照）。
【０００４】
また、上記のサービスはユーザがカード会員本人であるかを認証するのみでなく、あらかじめカード会社にカード会員本人しかしらないメッセージを登録しておき、パスワードの入力画面に該メッセージを表示することによって、パスワードの入力を要求しているＷｅｂサイトが確かにカード会社のものであるかを認証し、フィッシングにも対処できるようになっている（例えば、非特許文献１の「パーソナルメッセージ」参照）。
【０００５】
このようなサービスを受けるために、クレジットカードの会員は、認証に用いるためのパスワードやパーソナルメッセージなどの情報をあらかじめカード会社に登録しておくことが必要になる（例えば、非特許文献２参照）。
【０００６】
【非特許文献１】オンラインショッピング認証サービス、三菱ＵＦＪニコス株式会社・ＤＣカードホームページ、［２００８年１月１０日検索]、インターネット＜URL： http://www.dccard.co.jp/webs/3dsecure.shtml＞
【非特許文献２】安全なオンラインショッピング、Ｖｉｓａ Ｉｎｃ．・ＶＩＳＡカードホームページ、［２００８年１月１０日検索]、インターネット＜URL： http://www.visa-asia.com/ap/jp/cardholders/security/vbv.shtml＞
【発明の開示】
【発明が解決しようとする課題】
【０００７】
以上のように、インターネットでの決済専用のパスワードを用いることによってなりすましのリスクを低下させ、パーソナルメッセージの登録によってフィッシングのリスクを低下させることが可能になるが、カード会員にはこれらの情報をあらかじめカード会社に登録する手間が生じることになる。また、パスワードについてはインターネットでの取引を行なううちに漏洩してしまうリスクがある他、パーソナルメッセージについてはカード会員が失念してしまうおそれもあると考えられる。
【０００８】
本発明は、このような課題に対応するためになされたものであり、インターネットの電子商取引サイトで商品の購入代金等をクレジットカードで決済する際に用いられる、ユーザ及びサーバの認証を行うための認証サーバ、認証システム及び認証方法であって、パスワードやパーソナルメッセージの事前登録を必要としないものを提供することを目的とする。
【課題を解決するための手段】
【０００９】
このような課題に対応するために、本発明にかかる認証サーバは、クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバであって、クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、を備えることを特徴とする。
【００１０】
本発明では、ユーザの本人認証にＯＴＰ（ワンタイムパスワード）を採用し、カード番号を含むデータをキーにＯＴＰを生成するように構成することによって、クレジットカードを保有するユーザと、加盟店サーバから決済要求のあったカード番号を受け付ける認証サーバの間で、パスワードの事前登録を行わなくても本人認証を行うことができる。あわせて、カード番号を含むデータからサーバ認証コードを生成するように構成することによって、クレジットカードを保有するユーザ側において、パーソナルメッセージ等の事前登録を行わなくても、正規のサーバであるかの認証を行うことが可能になる。
【００１１】
また、本発明は、前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコードが用いられることを特徴とすることもできる。
【００１２】
このように構成すると、クレジットカードに通常印字されているセキュリティコードをサーバ認証コードとして用いることができるため、トークンにサーバ認証コードを演算させたり、サーバ認証コードを印字したりすることが不要になる。
【００１３】
さらに、本発明は、前記サーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算することを特徴としてもよい。
【００１４】
このように構成すると、カード番号の他に有効期限等をキーに用いてサーバ認証コードを生成することができるため、サーバ認証コードの推測が一層困難になり、安全性をさらに高めることが可能になる。
【００１５】
本発明は、本発明にかかる認証サーバと、ユーザが使用するクレジットカードからの情報の読み取りが可能なトークンからなる認証システムとして特定することもできる。
【００１６】
つまり、本発明にかかる第１の認証システムは、クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバと、前記ユーザがワンタイムパスワードを確認するために利用するトークンからなる認証システムであって、前記認証サーバは、クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、を備えていて、前記トークンは、前記クレジットカードからカード番号を少なくとも含むカード情報を読み取るカード情報読取手段と、前記カード情報読取手段が読み取ったカード情報に含まれるカード番号と、前記カード情報に含まれるか又は所定の記憶領域から読み出した前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、を備えていて、前記認証サーバのワンタイムパスワード演算手段と前記トークンのワンタイムパスワード演算手段は、共通のロジックに基づいてワンタイムパスワードを演算することを特徴とする認証システムである。
【００１７】
また、本発明にかかる第１の認証システムは、前記トークンは、前記カード情報読取手段が読み取ったカード情報に含まれるカード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段を備えていて、前記認証サーバのサーバ認証コード演算手段と前記トークンのサーバ認証コード演算手段は、共通のロジックに基づいてサーバ認証コードを演算することを特徴とすることもできる。
【００１８】
さらに、本発明にかかる第１の認証システムは、前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算し、前記トークンのサーバ認証コード演算手段は、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算することを特徴としてもよい。
【００１９】
さらに、本発明にかかる第１の認証システムは、前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコード又はトークンに印字された認証用コードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコード又は認証用コードが用いられることを特徴としてもよい。
【００２０】
さらに、本発明にかかる第１の認証システムは、前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算することを特徴としてもよい。
【００２１】
本発明は、本発明にかかる認証サーバと、ユーザが使用するワンタイムパスワード生成専用のトークンからなる認証システムとして特定することもできる。
【００２２】
つまり、本発明にかかる第２の認証システムは、クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバと、前記ユーザがワンタイムパスワードを確認するために利用する認証カードからなる認証システムであって、前記認証サーバは、クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、を備えていて、前記認証カードは、前記クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段を備えていて、前記認証サーバのワンタイムパスワード演算手段と前記認証カードのワンタイムパスワード演算手段は、共通のロジックに基づいてワンタイムパスワードを演算することを特徴とする。
【００２３】
また、本発明にかかる第２の認証システムは、前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコード又は認証カードに印字された認証用コードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコード又は認証用コードが用いられることを特徴とすることもできる。
【００２４】
さらに、本発明にかかる第２の認証システムは、前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算することを特徴としてもよい。
【００２５】
本発明は、本発明にかかる認証サーバによって実行される認証方法として特定することもできる。
【００２６】
つまり、本発明にかかる認証方法は、クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段を備えた、クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバによって実行される認証方法であって、前記認証サーバが、クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付ステップと、前記認証サーバが、前記決済情報受付ステップで受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けてカード番号記憶手段に記憶させるカード番号記憶ステップと、前記認証サーバが、前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付ステップと、前記認証サーバが、前記認証要求受付ステップで受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算ステップと、前記認証サーバが、前記ユーザ端末に、前記サーバ認証コード演算ステップで演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信ステップと、前記認証サーバが、前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付ステップと、前記認証サーバが、前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算ステップと、前記認証サーバが、前記パスワード受付ステップで受け付けたワンタイムパスワードと前記ワンタイムパスワード演算ステップで演算したワンタイムパスワードを照合するパスワード照合ステップと、前記認証サーバが、前記パスワード照合ステップにおいてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信ステップと、を有することを特徴とする。
【００２７】
また、本発明にかかる認証方法は、前記サーバ認証コード演算ステップでは、クレジットカードに印字されたセキュリティコードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコードが用いられることを特徴とすることもできる。
【００２８】
さらに、本発明にかかる認証方法は、前記サーバ認証コード演算ステップでは、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算することを特徴としてもよい。
【発明の効果】
【００２９】
本発明によって、クレジットカードの会員であるユーザがパスワードやパーソナルメッセージの事前登録を行わなくても、インターネットの電子商取引サイトで商品の購入代金等をクレジットカードで決済する際に、ユーザの本人認証や正規のサーバの認証を行うことが可能になるので、なりすましやフィッシングによる被害の防止に有効である。
【００３０】
また、ワンタイムパスワードを利用することによってパスワード漏洩のリスクを回避できるとともに、ユーザの手元で把握できるサーバ認証コードを用いてサーバの認証を行うことによって、サーバ認証用のパーソナルメッセージを記憶してサーバ認証に用いる場合においてカード会員がパーソナルメッセージ失念してしまうおそれがあるという問題も解消することができる。
【発明を実施するための最良の形態】
【００３１】
本発明を実施するための最良の形態について、図面を用いて以下に詳細に説明する。尚、以下の説明は本発明の実施形態の一例を示したものであって、本発明の構成は以下に示した実施形態に限定されるものではない。
【００３２】
図１は、本発明にかかる認証サーバの実施形態の一例を示す図である。図２〜図５は、本発明にかかる認証サーバを用いたクレジットカード決済におけるユーザ及びサーバ認証のそれぞれ第１〜４の実施例を示す図である。図６は、本発明にかかる認証サーバの構成を示すブロック図である。図７は、本発明にかかる認証サーバによってユーザ端末に表示される認証画面の一例を示す図である。図８〜１０は、本発明にかかる認証サーバによるユーザ及びサーバ認証のフローを示すそれぞれ第１〜３のフローチャートである。
【００３３】
図１を用いて、本発明にかかる認証サーバによるユーザの本人認証と正規のサーバであることの認証の方法について説明する。クレジットカード会員であるユーザは、パーソナルコンピュータ等のユーザ端末を用いてインターネットに接続し、電子商取引サイトとして運用されているクレジットカードの加盟店サーバにアクセスする。ユーザが電子商取引サイトで購入する商品を決定し、購入代金の決済方法としてクレジットカードを選択すると、所定の入力画面からクレジットカードのカード番号や有効期限等の入力が行われる。
【００３４】
加盟店サーバは、入力されたクレジットカードのカード番号等を受け付けて、ユーザの入力したカード番号がインターネットでの決済に利用可能なものであるかを確認するために、クレジットカード会員の認証を行うアクセスコントロールサーバに対してクレジットカードのカード番号や利用代金等の決済情報を送信して、クレジットカードの照会要求を行う。
【００３５】
アクセスコントロールサーバには、インターネットでの購入代金を決済することが可能なクレジットカードのカード番号等のカード情報が記憶されていて、これを参照してアクセスコントロールサーバで決済可能なクレジットカードであるかを確認し、確認結果を加盟店サーバに返信する。このときに、ユーザ端末からユーザの認証要求を受け付けた際に対応するクレジットカードを識別できるように、加盟店サーバから受け付けた決済情報の識別キーとカード番号を関連付けて記憶させるとともに、加盟店サーバに該識別キーを確認結果とあわせて返信する。
【００３６】
確認結果を受け付けた加盟店サーバでは、クレジットカードが決済可能なものである場合には、ユーザに本人認証を要求するために、ユーザ端末からアクセスコントロールサーバにアクセスさせるためのリンクを表示させる。リンクの方法は特に限定されるものではないが、加盟店サーバのＷｅｂページ上の認証要求のリンクを押下すると、アクセスコントロールサーバにアクセスして認証画面をポップアップさせることとしてもよいし、アクセスコントロールサーバの認証画面に遷移させることとしてもよい。ここで、アクセスコントロールサーバへのリンクには決済情報の識別キーが埋め込まれ、ユーザ端末からアクセスコントロールサーバへは該識別キーが自動的に付されて認証要求が送信されるように設定される。
【００３７】
認証要求を受け付けたアクセスコントロールサーバでは、決済情報の識別キーから該識別キーと関連付けて記憶されている加盟店サーバから受け付けたカード番号を特定し、ユーザが正規のサーバであることを確認するために用いられるサーバ認証コードを、特定したカード番号を用いて生成する。ユーザに本人認証のためのＯＴＰ（ワンタイムパスワード）を入力させる認証画面には、生成されたサーバ認証コードが表示される。
【００３８】
ここでサーバ認証コードの生成に適用される演算ロジックは特に限定されるものではなく、カード番号以外に有効期限等のデータを用いることとしてもよいが、ユーザ側で正規のサーバ認証コードを判別できるように、ユーザに専用のトークンを保有させてトークンで同様のロジックに基づく演算を可能にしておくか、あるいはクレジットカードやトークン等に演算された正規のサーバ認証コードを印字しておくことが必要になる。
【００３９】
図７は認証画面の一例を示したものであるが、サーバ認証コードが表示されたＯＴＰを入力させる認証画面はユーザ端末に送信され、ユーザはあらかじめ配布されたＯＴＰを生成するトークンによってＯＴＰを確認し、認証画面に入力する。このときに、認証画面が正規のものであれば認証画面にはサーバ認証コードが表示されるため（図７であれば「サーバ認証コード」の「９８７」）、ユーザはこれが手元で確認できるサーバ認証コードと一致しているかによって正規のサーバからの認証画面か否かを判断し、フィッシングを防止することが可能になる。
【００４０】
認証画面に入力されたＯＴＰはアクセスコントロールサーバに送信されるが、アクセスコントロールサーバでもユーザの保有するトークンと同じＯＴＰを生成する演算ロジックが記憶されており、アクセスコントロールサーバで演算されたＯＴＰとユーザ端末から受け付けたＯＴＰを照合することによって、ユーザの本人認証が行われる。
【００４１】
尚、ここで用いられるＯＴＰの演算ロジックは特に限定されるものではないが、生成キーとしてユーザ毎に固有のデータであるカード番号が少なくとも用いられることになる。ユーザ側には、クレジットカードからカード番号を読み取ることが可能なトークンを用いてもよいし、カード番号を記憶してＯＴＰを自動演算するカード状のトークン等を用いてもよい。尚、ＯＴＰの生成キーをカード番号のみでなく、その他の各々のカードに固有の管理者が設定した生成キーを用いたり、時刻情報やカウンタ情報（ＯＴＰの発行回数のカウンタ）等を用いたりすると安全性がより高まるため、特に高い安全性が求められるＯＴＰの演算には好ましい。
【００４２】
アクセスコントロールサーバで演算されたＯＴＰとユーザ端末から受け付けたＯＴＰを照合した認証結果は、アクセスコントロールサーバからユーザ端末に送信され、さらにユーザ端末から加盟店サーバに送信される。認証結果については、アクセスコントロールサーバにおいて電子署名が行われたものを送信することが好ましい。
【００４３】
加盟店サーバでは、ＯＴＰが一致して本人認証済の認証結果を受け付けた場合には、カード会社のオーソリシステムに対して売上承認を要求するオーソリ電文をオーソリネットワーク経由で送信する。ＯＴＰが一致せず本人認証未済の認証結果を受け付けた場合には、ユーザ端末に対して本人認証がエラーとなったことを通知し、商品購入の処理を中止する。
【００４４】
図２〜図５は、本発明にかかる認証サーバにおけるユーザの本人認証と正規のサーバ認証の組合せについて、それぞれ第１〜４の実施例を示している。
【００４５】
図２に示した第１の実施例では、クレジットカードからカード番号等を読み取る機能とＯＴＰの演算ロジックを備えたトークンを、あらかじめユーザに配布する。この実施例では、サーバ認証にはクレジットカードに通常印字されている３桁のセキュリティコード、ユーザ認証にはＯＴＰがそれぞれ用いられる。
【００４６】
セキュリティコードは通常はカード番号や有効期限等の数値を所定のロジックで演算することによって生成されるが、アクセスコントロールサーバにセキュリティコードを演算するロジックを備え、カード番号や有効期限等のカード情報をデータベースに格納することによって、加盟店サーバから照会要求があったカード番号から特定されるカード情報を用いて、セキュリティコードを演算することができる。ユーザ端末の認証画面にはサーバ認証コードとしてセキュリティコードが表示され、ユーザはこれがクレジットカードに印字されているセキュリティコードと一致しているかを確認することによって、正規のサーバから送信された認証画面であることを確認できる。
【００４７】
ＯＴＰについては、アクセスコントロールサーバとトークンに共通の演算ロジックが備えられ、ユーザ端末側ではトークンがクレジットカードのＩＣチップや磁気ストライプから読み取ったカード情報を、アクセスコントロールサーバではデータベースに格納されたカード情報を用いることによって、それぞれＯＴＰが演算される。ＯＴＰの安全性を高めるためにはカード情報以外の生成キーを用いることが好ましいことは先に説明したとおりであるが、このような生成キーは、ユーザ端末側ではクレジットカードかユーザ専用に配布されるトークンに、アクセスコントロールサーバではデータベースにカード番号と関連付けてそれぞれ記憶させておき、ＯＴＰを演算する際に読み出すこととすればよい。
【００４８】
図３に示した第２の実施例では、クレジットカードからカード番号等を読み取る機能とＯＴＰ及びサーバ認証コードの演算ロジックを備えたトークンをあらかじめユーザに配布する。この実施例では、サーバ認証にはサーバ認証コード、ユーザ認証にはＯＴＰがそれぞれ用いられる。
【００４９】
サーバ認証コードについては、アクセスコントロールサーバとトークンに共通の演算ロジックが備えられる。ユーザ端末側ではトークンがクレジットカードのＩＣチップや磁気ストライプから読み取ったカード情報から、アクセスコントロールサーバではカード番号や有効期限等のカード情報をデータベースに格納し、加盟店サーバから照会要求があったカード番号から特定されるカード情報から、それぞれサーバ認証コードを演算することができる。ユーザ端末の認証画面にはアクセスコントロールサーバで演算したサーバ認証コードが表示され、ユーザはこれがトークンで演算してトークンのディスプレイに表示されたサーバ認証コードと一致しているかを確認することによって、正規のサーバから送信された認証画面であることを確認できる。
【００５０】
ＯＴＰについては、アクセスコントロールサーバとトークンに共通の演算ロジックが備えられ、ユーザ端末側ではトークンがクレジットカードのＩＣチップや磁気ストライプから読み取ったカード情報を、アクセスコントロールサーバではデータベースに格納されたカード情報を用いることによって、それぞれＯＴＰが演算される。ＯＴＰの安全性を高めるためにはカード情報以外の生成キーを用いることが好ましいことは先に説明したとおりであるが、このような生成キーは、ユーザ端末側ではクレジットカードかユーザ専用に配布されるトークンに、アクセスコントロールサーバではデータベースにカード番号と関連付けてそれぞれ記憶させておき、ＯＴＰを演算する際に読み出すこととすればよい。
【００５１】
尚、第２の実施例において、サーバ認証コードを生成するキーに時刻情報やカウンタ情報等の可変なデータを用いない場合には、演算ロジックを変更しない限りサーバ認証コードは常に一定の値となる（クレジットカードに印字されるセキュリティコードもその一種といえる）。このような場合には、トークンで毎回サーバ認証コードを演算しなくても、ユーザ専用に配布されるトークンの本体にサーバ認証コードを印字しておくこととしても良い。
【００５２】
図４に示した第３の実施例では、カード番号等の生成キーを記憶するとともにＯＴＰの演算ロジックを備えたカード状のトークンをあらかじめユーザに配布する。この実施例では、サーバ認証にはクレジットカードに通常印字されている３桁のセキュリティコード、ユーザ認証にはＯＴＰがそれぞれ用いられる。
【００５３】
セキュリティコードは通常はカード番号や有効期限等の数値を所定のロジックで演算することによって生成されるが、アクセスコントロールサーバにセキュリティコードを演算するロジックを備え、カード番号や有効期限等のカード情報をデータベースに格納することによって、加盟店サーバから照会要求があったカード番号から特定されるカード情報を用いて、セキュリティコードを演算することができる。ユーザ端末の認証画面にはサーバ認証コードとしてセキュリティコードが表示され、ユーザはこれがクレジットカードに印字されているセキュリティコードと一致しているかを確認することによって、正規のサーバから送信された認証画面であることを確認できる。
【００５４】
ＯＴＰについては、アクセスコントロールサーバとトークンに共通の演算ロジックが備えられ、ユーザ端末側ではトークンに記憶されたカード情報を、アクセスコントロールサーバではデータベースに格納されたカード情報を用いることによって、それぞれＯＴＰが演算される。ＯＴＰの安全性を高めるためにはカード情報以外の生成キーを用いることが好ましいことは先に説明したとおりであるが、このような生成キーは、ユーザ端末側ではユーザ専用に配布されるトークンに、アクセスコントロールサーバではデータベースにカード番号と関連付けてそれぞれ記憶させておき、ＯＴＰを演算する際に読み出すこととすればよい。
【００５５】
図５に示した第４の実施例では、カード番号等の生成キーを記憶するとともにＯＴＰの演算ロジックを備えたカード状のトークンをあらかじめユーザに配布する。この実施例では、サーバ認証にはトークンに印字されているサーバ認証コード、ユーザ認証にはＯＴＰがそれぞれ用いられる。
【００５６】
アクセスコントロールサーバにセキュリティコードを演算するロジックを備え、カード番号や有効期限等のカード情報をデータベースに格納することによって、加盟店サーバから照会要求があったカード番号から特定されるカード情報を用いて、サーバ認証コードを演算することができる。ユーザ端末の認証画面には演算されたサーバ認証コードが表示され、ユーザはこれがトークンに印字されているサーバ認証コードと一致しているかを確認することによって、正規のサーバから送信された認証画面であることを確認できる。尚、トークンに印字されたサーバ認証コードを用いるためには、サーバ認証コードを生成するキーに時刻情報やカウンタ情報等の可変なデータを用いずに、演算ロジックを変更しない限りサーバ認証コードは常に一定の値となる（クレジットカードに印字されるセキュリティコードもその一種といえる）ように設定することが必要である。
【００５７】
ＯＴＰについては、アクセスコントロールサーバとトークンに共通の演算ロジックが備えられ、ユーザ端末側ではトークンに記憶されたカード情報を、アクセスコントロールサーバではデータベースに格納されたカード情報を用いることによって、それぞれＯＴＰが演算される。ＯＴＰの安全性を高めるためにはカード情報以外の生成キーを用いることが好ましいことは先に説明したとおりであるが、このような生成キーは、ユーザ端末側ではユーザ専用に配布されるトークンに、アクセスコントロールサーバではデータベースにカード番号と関連付けてそれぞれ記憶させておき、ＯＴＰを演算する際に読み出すこととすればよい。
【００５８】
図６のブロック図と、図８〜１０のフローチャートを用いて、本発明にかかる認証サーバの動作について説明する。尚、以下では、主に図４に示した第２の実施例の組合せを前提にして説明するが、他の実施例の場合も基本的なフローは同様である。
【００５９】
図６において、本発明にかかる認証サーバは、アクセスコントロールサーバ４０として構成されている。アクセスコントロールサーバ４０は、インターネットを介してユーザ端末１０からアクセス可能なＷｅｂサーバである。クレジットカード決済によって商品等を購入するユーザは、ブラウザ１１を備えたパーソナルコンピュータ等のユーザ端末１０を用いてインターネットに接続して、クレジットカードによって代金決済が可能な電子商取引サイトを運営する加盟店サーバ３０にアクセスする。
【００６０】
加盟店サーバ３０はインターネットを介してユーザ端末１０との通信が可能なＷｅｂサーバであって、決済情報受付部３１、決済情報送信部３２、認証結果受付部３３を備えて構成されている。これらの各部はいずれも機能的に特定されるものであって、各々の機能を実現するためのアプリケーションプログラムがＷｅｂサーバを構成するコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されて各々の機能が実現される。
【００６１】
加盟店サーバ３０では、ユーザ端末１０からのリクエストに応じて販売する商品等が掲載されたＷｅｂページをレスポンスし、ユーザが購入したい商品等を決定すると、決済用の画面に移行して、クレジットカード、銀行振込、代引等による代金の決済方法を選択させる。クレジットカードによる代金決済が選択されると、クレジットカードの番号、有効期限等のカード情報をユーザ端末１０から入力させ、決済情報受付部３１でこれを受け付ける。受け付けたカード情報は、加盟店を識別する加盟店コード、利用金額等に関する情報とともに、代金決済が可能な有効なクレジットカードであるか、またインターネットでの決済に利用できるクレジットカードであるかの照会を行うために、決済情報送信部３２からアクセスコントロールサーバ４０に送信される。
【００６２】
アクセスコントロールサーバ４０に備えられる決済情報制御部４１、サーバ認証コード演算部４３、認証画面送信部４４、ＯＴＰ演算部４５、ＯＴＰ照合部４６、認証結果送信部４７は、いずれも機能的に特定されるものであって、各々の機能を実現するためのアプリケーションプログラムがＷｅｂサーバを構成するコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されて各々の機能が実現される。カード情報格納部４２には、Ｗｅｂサーバを構成するコンピュータのＨＤＤの所定の記憶領域が割り当てられ、インターネットでの決済に利用できる有効なクレジットカードのカード番号等が格納されているが、アプリケーションプログラムを実行するコンピュータとは異なるデータベースサーバ等に設けられるものであってもよい。
【００６３】
加盟店サーバ３０から決済情報を受け付けたアクセスコントロールサーバ４０では、図８に示したフローに従ってクレジットカードの照会処理が行われる。決済情報制御部４１で加盟店サーバ３０からカード番号が含まれた決済情報を受け付けると（Ｓ０１）、カード情報格納部４２を参照して（Ｓ０２）、受け付けた決済情報に含まれるカード番号がカード情報格納部４２に有効なクレジットカードのカード番号として格納されているかを確認する（Ｓ０３）。
【００６４】
有効なカードと確認されると、後に受け付けるユーザの本人認証の要求の際に対応する決済情報を識別できるようにするために、決済情報識別キーを発行して加盟店サーバ３０に送信する（Ｓ０４）。発行された決済情報識別キーは、決済情報に含まれるカード番号と関連付けて決済情報制御部４１等に記憶される（Ｓ０５）。有効なカードであることが確認されないと、加盟店サーバ３０にエラー情報が送信される（Ｓ０６）。
【００６５】
尚、決済情報識別キーとカード番号を関連付ける方法は特に限定されるものではなく、例えば、後に利用金額等も表示される認証画面を作成するまで加盟店サーバ３０から受け付けたカード番号が含まれる決済情報と関連付けてメモリ領域に一時記憶させておいてもよいし、カード情報格納部４２のカード番号毎に設けられたレコードに決済情報識別キーを書き込むこととしてもよい。
【００６６】
有効なクレジットカードであるとの照会結果を受け付けた加盟店サーバ３０では、ユーザに本人認証を要求するために、ユーザ端末１０からアクセスコントロールサーバ４０に本人認証のためにアクセスさせるリンクを表示させる。ここで、アクセスコントロールサーバ４０へのリンクには、アクセスコントロールサーバ４０から受け付けた決済情報識別キーが埋め込まれ、該識別キーが付された状態で、ユーザ端末からアクセスコントロールサーバ４０へユーザの本人認証の要求が送信される。
【００６７】
ユーザ端末１０からユーザの本人認証の要求を受け付けたアクセスコントロールサーバ４０では、図９に示したフローに従って、ＯＴＰを入力させるための認証画面が返信される。ユーザ端末１０から決済情報識別キーが付されたユーザの本人認証の要求を受け付けると（Ｓ０７）、決済情報制御部４１では受け付けた決済情報識別キーと関連付けて記憶されたカード番号を特定し、特定したカード番号に対応するカード情報をカード情報格納部４２から読み出す（Ｓ０８）。
【００６８】
続いて、読み出したカード情報のうちカード番号を少なくとも含むデータから、サーバ認証コード演算部４３で正規のサーバの認証に用いるためのサーバ認証コードを演算する（Ｓ０９）。さらに、認証画面送信部４４では、図７の例に示したような、ユーザの本人認証のためのＯＴＰの入力領域と演算したサーバ認証コードが少なくとも表示された認証画面を作成し、ユーザ端末１０に送信する（Ｓ１０）。
【００６９】
この認証画面はユーザ端末１０のディスプレイに表示されるが、ユーザはトークン２０にクレジットカードを挿入、接触等をさせて、クレジットカードのＩＣチップや磁気ストライプに記憶されたカード番号等のカード情報をカード情報読取部２１で読み取る。ここで読み取ったカード番号を少なくとも含むデータを生成キーとしてＯＴＰ演算部２２で演算されてトークン２０のディスプレイに表示されたＯＴＰを認証画面に入力して、アクセスコントロールサーバ４０に送信する。
【００７０】
このときにトークン２０では、カード情報読取部２１で読み取ったカード番号を少なくとも含むデータからサーバ認証コード演算部２３で演算されたサーバ認証コードがトークン２０のディスプレイに表示される。サーバ認証コード演算部２３では、アクセスコントロールサーバ４０のサーバ認証コード演算部４３と同じロジックに基づいて演算を行うので、ユーザはこのサーバ認証コードが認証画面に表示されているサーバ認証コードと一致していることを確認することで、正規のサーバから送信された認証画面であることを確認できる。ユーザはサーバ認証コードの一致を確認した上で、ＯＴＰをユーザ端末１０からアクセスコントロールサーバ４０に送信する。
【００７１】
尚、ユーザ側でサーバ認証コードを把握するための方法は上記に限定されるものではなく、図２〜図５の例から先に説明したように、クレジットカードに印字されたセキュリティコードの利用、トークンへの印字などの方法によることもできる。
【００７２】
ユーザ端末１０から送信された認証画面に入力されたＯＴＰを受け付けたアクセスコントロールサーバ４０では、図１０に示したフローに従って、ユーザの本人認証が行われる。ユーザ端末からＯＴＰ照合部４６でＯＴＰを受け付けると（Ｓ１１）、先にカード情報格納手段４２から読み出したカード情報を用いてＯＴＰ演算部４５でＯＴＰを演算して（Ｓ１２）、ＯＴＰが一致するかを確認する（Ｓ１３）。
【００７３】
トークン２０のＯＴＰ演算部２２とアクセスコントロールサーバ４０のＯＴＰ演算部４５では同じロジックに基づいて演算を行うので、双方で演算されたＯＴＰの一致を確認することによって、ユーザの本人認証を行うことができる。ＯＴＰの生成キーにはユーザ毎に異なるカード番号が必ず含まれるが、先に説明したとおり、管理者が設定したその他の生成キーや、時刻情報等をあわせて用いることとしてもよい。
【００７４】
ＯＴＰが一致した場合には、本人認証が行われたことを示す認証結果を、認証結果送信部４７からユーザ端末１０に送信する（Ｓ１４）。ＯＴＰが一致しない場合には、本人認証が行われなかったことを示す認証結果を、認証結果送信部４７からユーザ端末１０に送信する（Ｓ１５）。これらの認証結果は、アクセスコントロールサーバ４０で電子署名を行った状態で送信することが望ましい。
【００７５】
ユーザ端末１０が本人認証が行われたことを示す認証結果を受け付けた場合には、認証結果が加盟店サーバ３０の認証結果受付部３３に引き渡されて、カード会社のオーソリシステム５０に対して売上承認を要求するオーソリ電文をオーソリネットワーク経由で送信する。オーソリシステムからの売上承認を待って、クレジットカードによる代金決済が確定する。
【図面の簡単な説明】
【００７６】
【図１】本発明にかかる認証サーバの実施形態の一例を示す図である。
【図２】本発明にかかる認証サーバを用いたクレジットカード決済におけるユーザ及びサーバ認証の第１の実施例を示す図である。
【図３】本発明にかかる認証サーバを用いたクレジットカード決済におけるユーザ及びサーバ認証の第２の実施例を示す図である。
【図４】本発明にかかる認証サーバを用いたクレジットカード決済におけるユーザ及びサーバ認証の第３の実施例を示す図である。
【図５】本発明にかかる認証サーバを用いたクレジットカード決済におけるユーザ及びサーバ認証の第４の実施例を示す図である。
【図６】本発明にかかる認証サーバの構成を示すブロック図である。
【図７】本発明にかかる認証サーバによってユーザ端末に表示される認証画面の一例を示す図である。
【図８】本発明にかかる認証サーバによるユーザ及びサーバ認証のフローを示す第１のフローチャートである。
【図９】本発明にかかる認証サーバによるユーザ及びサーバ認証のフローを示す第２のフローチャートである。
【図１０】本発明にかかる認証サーバによるユーザ及びサーバ認証のフローを示す第３のフローチャートである。
【符号の説明】
【００７７】
１０ ユーザ端末
１１ ブラウザ
２０ トークン
２１ カード情報読取部
２２ ＯＴＰ演算部
２３ サーバ認証コード演算部
３０ 加盟店サーバ
３１ 決済情報受付部
３２ 決済情報送信部
３３ 認証結果受付部
４０ アクセスコントロールサーバ
４１ 決済情報制御部
４２ カード情報格納部
４３ サーバ認証コード演算部
４４ 認証画面送信部
４５ ＯＴＰ演算部
４６ ＯＴＰ照合部
４７ 認証結果送信部
５０ オーソリシステム
【特許請求の範囲】
【請求項１】
クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバであって、
クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、
クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、
前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、
前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、
前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、
前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、
前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、
前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、
前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、
前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、
を備えることを特徴とする認証サーバ。
【請求項２】
前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコードが用いられること
を特徴とする請求項１記載の認証サーバ。
【請求項３】
前記サーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項１又は２記載の認証サーバ。
【請求項４】
クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバと、前記ユーザがワンタイムパスワードを確認するために利用するトークンからなる認証システムであって、
前記認証サーバは、
クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、
クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、
前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、
前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、
前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、
前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、
前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、
前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、
前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、
前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、
を備えていて、
前記トークンは、
前記クレジットカードからカード番号を少なくとも含むカード情報を読み取るカード情報読取手段と、
前記カード情報読取手段が読み取ったカード情報に含まれるカード番号と、前記カード情報に含まれるか又は所定の記憶領域から読み出した前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、
を備えていて、
前記認証サーバのワンタイムパスワード演算手段と前記トークンのワンタイムパスワード演算手段は、共通のロジックに基づいてワンタイムパスワードを演算すること
を特徴とする認証システム。
【請求項５】
前記トークンは、
前記カード情報読取手段が読み取ったカード情報に含まれるカード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段を備えていて、
前記認証サーバのサーバ認証コード演算手段と前記トークンのサーバ認証コード演算手段は、共通のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項４記載の認証システム。
【請求項６】
前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算し、
前記トークンのサーバ認証コード演算手段は、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項５記載の認証サーバ。
【請求項７】
前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコード又はトークンに印字された認証用コードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコード又は認証用コードが用いられること
を特徴とする請求項４記載の認証サーバ。
【請求項８】
前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項７記載の認証サーバ。
【請求項９】
クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバと、前記ユーザがワンタイムパスワードを確認するために利用するトークンからなる認証システムであって、
前記認証サーバは、
クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、
クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、
前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、
前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、
前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、
前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、
前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、
前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、
前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、
前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、
を備えていて、
前記トークンは、
前記クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段を備えていて、
前記認証サーバのワンタイムパスワード演算手段と前記トークンのワンタイムパスワード演算手段は、共通のロジックに基づいてワンタイムパスワードを演算すること
を特徴とする認証システム。
【請求項１０】
前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコード又は認証カードに印字された認証用コードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコード又は認証用コードが用いられること
を特徴とする請求項９記載の認証システム。
【請求項１１】
前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項１０記載の認証システム。
【請求項１２】
クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段を備えた、クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバによって実行される認証方法であって、
前記認証サーバが、クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付ステップと、
前記認証サーバが、前記決済情報受付ステップで受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けてカード番号記憶手段に記憶させるカード番号記憶ステップと、
前記認証サーバが、前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付ステップと、
前記認証サーバが、前記認証要求受付ステップで受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算ステップと、
前記認証サーバが、前記ユーザ端末に、前記サーバ認証コード演算ステップで演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信ステップと、
前記認証サーバが、前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付ステップと、
前記認証サーバが、前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算ステップと、
前記認証サーバが、前記パスワード受付ステップで受け付けたワンタイムパスワードと前記ワンタイムパスワード演算ステップで演算したワンタイムパスワードを照合するパスワード照合ステップと、
前記認証サーバが、前記パスワード照合ステップにおいてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信ステップと、
を有することを特徴とする認証方法。
【請求項１３】
前記サーバ認証コード演算ステップでは、クレジットカードに印字されたセキュリティコードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコードが用いられること
を特徴とする請求項１２記載の認証方法。
【請求項１４】
前記サーバ認証コード演算ステップでは、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項１２又は１３記載の認証方法。
【請求項１】
クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバであって、
クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、
クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、
前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、
前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、
前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、
前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、
前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、
前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、
前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、
前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、
を備えることを特徴とする認証サーバ。
【請求項２】
前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコードが用いられること
を特徴とする請求項１記載の認証サーバ。
【請求項３】
前記サーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項１又は２記載の認証サーバ。
【請求項４】
クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバと、前記ユーザがワンタイムパスワードを確認するために利用するトークンからなる認証システムであって、
前記認証サーバは、
クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、
クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、
前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、
前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、
前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、
前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、
前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、
前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、
前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、
前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、
を備えていて、
前記トークンは、
前記クレジットカードからカード番号を少なくとも含むカード情報を読み取るカード情報読取手段と、
前記カード情報読取手段が読み取ったカード情報に含まれるカード番号と、前記カード情報に含まれるか又は所定の記憶領域から読み出した前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、
を備えていて、
前記認証サーバのワンタイムパスワード演算手段と前記トークンのワンタイムパスワード演算手段は、共通のロジックに基づいてワンタイムパスワードを演算すること
を特徴とする認証システム。
【請求項５】
前記トークンは、
前記カード情報読取手段が読み取ったカード情報に含まれるカード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段を備えていて、
前記認証サーバのサーバ認証コード演算手段と前記トークンのサーバ認証コード演算手段は、共通のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項４記載の認証システム。
【請求項６】
前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算し、
前記トークンのサーバ認証コード演算手段は、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項５記載の認証サーバ。
【請求項７】
前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコード又はトークンに印字された認証用コードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコード又は認証用コードが用いられること
を特徴とする請求項４記載の認証サーバ。
【請求項８】
前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項７記載の認証サーバ。
【請求項９】
クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバと、前記ユーザがワンタイムパスワードを確認するために利用するトークンからなる認証システムであって、
前記認証サーバは、
クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段と、
クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付手段と、
前記決済情報受付手段が受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けて記憶するカード番号記憶手段と、
前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付手段と、
前記認証要求受付手段が受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算手段と、
前記ユーザ端末に、前記サーバ認証コード演算手段が演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信手段と、
前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付手段と、
前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段と、
前記パスワード受付手段の受け付けたワンタイムパスワードと前記ワンタイムパスワード演算手段が演算したワンタイムパスワードを照合するパスワード照合手段と、
前記パスワード照合手段においてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信手段と、
を備えていて、
前記トークンは、
前記クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算手段を備えていて、
前記認証サーバのワンタイムパスワード演算手段と前記トークンのワンタイムパスワード演算手段は、共通のロジックに基づいてワンタイムパスワードを演算すること
を特徴とする認証システム。
【請求項１０】
前記サーバ認証コード演算手段は、クレジットカードに印字されたセキュリティコード又は認証カードに印字された認証用コードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコード又は認証用コードが用いられること
を特徴とする請求項９記載の認証システム。
【請求項１１】
前記認証サーバのサーバ認証コード演算手段は、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項１０記載の認証システム。
【請求項１２】
クレジットカードのカード番号と前記クレジットカードによる決済における本人認証に用いられるワンタイムパスワードの生成に用いられる生成キーを少なくとも含むカード情報を関連付けて格納するカード情報格納手段を備えた、クレジットカード決済においてユーザ及びサーバの認証を行うための認証サーバによって実行される認証方法であって、
前記認証サーバが、クレジットカードによる代金決済の要求を受け付けた加盟店サーバから、前記クレジットカードのカード番号が含まれた決済情報を受け付けて、前記決済情報を識別する決済情報識別キーを発行して前記加盟店サーバに送信する決済情報受付ステップと、
前記認証サーバが、前記決済情報受付ステップで受け付けた決済情報に含まれるカード番号を前記決済情報識別キーと関連付けてカード番号記憶手段に記憶させるカード番号記憶ステップと、
前記認証サーバが、前記代金決済の要求を行ったユーザが操作するユーザ端末から、前記決済情報識別キーを含む前記ユーザの認証要求を受け付ける認証要求受付ステップと、
前記認証サーバが、前記認証要求受付ステップで受け付けた認証要求に含まれる決済情報識別キーに対応するカード番号を前記カード番号記憶手段から特定し、前記カード番号が少なくとも含まれるデータから所定のロジックに基づいて前記認証サーバが正規のものであることを認証するためのサーバ認証コードを演算するサーバ認証コード演算ステップと、
前記認証サーバが、前記ユーザ端末に、前記サーバ認証コード演算ステップで演算したサーバ認証コードとワンタイムパスワードの入力領域が少なくとも表示される認証画面を生成して、前記ユーザ端末に送信する認証画面送信ステップと、
前記認証サーバが、前記ユーザ端末から前記認証画面に入力されたワンタイムパスワードを受け付けるパスワード受付ステップと、
前記認証サーバが、前記決済情報識別キーに特定したカード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる生成キーが少なくとも含まれるデータから所定のロジックに基づいてワンタイムパスワードを演算するワンタイムパスワード演算ステップと、
前記認証サーバが、前記パスワード受付ステップで受け付けたワンタイムパスワードと前記ワンタイムパスワード演算ステップで演算したワンタイムパスワードを照合するパスワード照合ステップと、
前記認証サーバが、前記パスワード照合ステップにおいてワンタイムパスワードの一致が確認されると、前記ユーザの本人認証が行われたことを証明する認証情報を生成して、前記ユーザ端末に送信する認証情報送信ステップと、
を有することを特徴とする認証方法。
【請求項１３】
前記サーバ認証コード演算ステップでは、クレジットカードに印字されたセキュリティコードを演算するロジックに基づいてサーバ認証コードを演算し、サーバ認証コードには前記セキュリティコードが用いられること
を特徴とする請求項１２記載の認証方法。
【請求項１４】
前記サーバ認証コード演算ステップでは、前記カード番号に対応するカード情報を前記カード情報格納手段から読み出して、前記カード番号と前記カード情報に含まれる情報が少なくとも含まれるデータから所定のロジックに基づいてサーバ認証コードを演算すること
を特徴とする請求項１２又は１３記載の認証方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２００９−２１２７３３（Ｐ２００９−２１２７３３Ａ）
【公開日】平成２１年９月１７日（２００９．９．１７）
【国際特許分類】
【出願番号】特願２００８−５２７４４（Ｐ２００８−５２７４４）
【出願日】平成２０年３月３日（２００８．３．３）
【出願人】（５０４３０９２２１）サードネットワークス株式会社 (5)
【Ｆターム（参考）】
【公開日】平成２１年９月１７日（２００９．９．１７）
【国際特許分類】
【出願日】平成２０年３月３日（２００８．３．３）
【出願人】（５０４３０９２２１）サードネットワークス株式会社 (5)
【Ｆターム（参考）】
[ Back to top ]