シングルサインオンシステムと方法、認証サーバ、ユーザ端末、サービスサーバ、プログラム
【課題】 データベースでユーザのデータ管理を行うとともに、名寄せを防ぐことのできるシングルサインオンシステムを実現する。
【解決手段】 ユーザ端末と、サービスサーバと、ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバと、を有するシングルサインオンシステムであって、認証サーバは、認証が成功した場合にはユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成してユーザ端末に対して送信する。ユーザ端末は、サービスサーバに対するサービス利用要求に新規ＩＤを付与する。サービスサーバは、ユーザ端末からサービス利用要求を受けた場合には、新規ＩＤを付与してユーザ情報を求める。認証サーバは、サービスサーバからユーザ情報を求められると新規ＩＤを復号し、求められたユーザ情報をサービスサーバへ返送する。
【解決手段】 ユーザ端末と、サービスサーバと、ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバと、を有するシングルサインオンシステムであって、認証サーバは、認証が成功した場合にはユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成してユーザ端末に対して送信する。ユーザ端末は、サービスサーバに対するサービス利用要求に新規ＩＤを付与する。サービスサーバは、ユーザ端末からサービス利用要求を受けた場合には、新規ＩＤを付与してユーザ情報を求める。認証サーバは、サービスサーバからユーザ情報を求められると新規ＩＤを復号し、求められたユーザ情報をサービスサーバへ返送する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サーバに認証を受けることにより、利用することが可能となる複数の機能について、一度の認証を受けるだけで、各機能の利用が可能となるＳＳＯ（シングルサインオン：Single Sign On）システムに関する。
【背景技術】
【０００２】
ユーザの所持するパーソナルコンピュータ等のユーザ端末機器が、ユーザの希望するシステムにログインする場合には、認証サーバでのログインが必要となる。所定のシステムにログインしたユーザ端末機器が、他のシステムにログインしようとする場合には、もう一度、他の認証サーバでのログインが必要となる。
【０００３】
上記のように、ユーザが複数のシステムにログインする場合は、システム毎にログインの手続が必要となりユーザの利便性が損なわれるので、連携型認証方式が提案されている。この連携型認証方式は、認証サーバ（以下、ＩｄＰという）で一度認証が行われると、他の連携しているシステムにログインすることができるＳＳＯシステムを実現することができる。すなわち、このＳＳＯシステムでは、ユーザが一度認証を受けるだけで、許可されているすべての機能を利用することができる。
【０００４】
ＳＳＯシステムの一例が、特許文献１（特開２００７−２９３７６０号公報）および特許文献２（特開２００６−３３１０４４号公報）に開示されている。
【０００５】
特許文献１に開示されるシステムは、ネットワークを介して接続される、ユーザクライアント端末、ＳＳＯ認証サーバ、複数のサービスサイトからなるシステムで、各サービスサイトが、個別ログインＩＤに対してＳＳＯ利用ユーザの可否を判定する情報を持ち、個別ログイン画面から個別ログインＩＤとパスワードでログインしたクライアント端末がＳＳＯ利用ユーザかを判定し、ＳＳＯ利用ユーザであれば当該クライアント端末をＳＳＯ認証サーバにリダイレクトさせ、個別ログインＩＤ情報と、サービスサイトのログイン成功情報をＳＳＯ認証サーバに渡し、ＳＳＯ認証サーバは、受け取った個別ログインＩＤ情報を元に、それに紐付くＳＳＯログインＩＤ情報を取得し、当該クライアント端末のＳＳＯ認証を行うものである。
【０００６】
特許文献１では、上記の構成を備えることにより、各サービスサイトでＳＳＯを利用するユーザと利用しないユーザが混在する環境で、ＳＳＯ利用ユーザはサービスサイトへログインするアクセス先と個別ログインＩＤを変更することなく、ＳＳＯ認証サーバの認証を受けることができ、ＳＳＯ利用ユーザの利便性が向上するとしている。
【０００７】
特許文献２に開示されるシステムは、ナレッジとして格納したシングルサインオンを実現するシングルサインオンモジュール、業務システムのログイン通信を解析し適用可能なシングルサインオンモジュールを選択、実行するシングルサインオンサーバを備え、HTTP、HTMLなどの下位レイヤの知識を必要せずにシングルサインオンを実現するものである。
【０００８】
特許文献２では、上記の構成を備えることにより、システムエンジニアにHTTP、HTMLなどの下位レイアの知識を要求することなくシングルサインオンを実現できるので、短期間、低コストでのシングルサインオンが実現できるとしている。
【０００９】
上記のように、ＳＳＯシステムにおいては、ユーザ端末と、ＩｄＰと、サービスプロバイダがサービスを提供するために使用するサービスサーバ（以下、ＳＰと称する）から構成され、ＩｄＰで一度認証が行われると、他の連携しているシステムにログインすることができ、ユーザが一度認証を受けるだけで、許可されているすべてのＳＰが提供するサービス機能を利用することができる。
【００１０】
しかし、ネットワーク間におけるＩＤ連携においては、仮にＳＰが協力して、それぞれのＳＰ毎に提供されるＩＤに紐づく属性情報（ユーザの情報）を集めることにより個人の特定が出来てしまう、いわゆる、「名寄せ」、が可能となるリスクを抱えている。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】特開２００７−２９３７６０号公報
【特許文献２】特開２００６−３３１０４４号公報
【発明の概要】
【発明が解決しようとする課題】
【００１２】
上記の連携型認証方式は、ＩｄＰで一度認証が行われると、他の連携しているシステムにログインすることができるＳＳＯを実現して、そのＳＳＯを利用してサービスプロバイダにより提供される所定のサービスを利用することが可能となるため、ユーザの利便性を高めることができる特長を有している。しかし、ネットワーク間におけるＩＤ連携においては、サービスサイト毎にユーザ情報を集めることによって名寄せが可能となってしまう可能性がある。
【００１３】
本発明は、データベースでユーザのデータ管理を行うとともに、名寄せを防ぐことのできるＳＳＯシステムを実現することを目的とする。
【課題を解決するための手段】
【００１４】
本発明によるシングルサインオンシステムは、ユーザ端末と、該ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバと、該複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバと、を有するシングルサインオンシステムであって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納するデータベースと、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送する暗号・復号化クラスと、を備え、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行い、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信することを特徴とする。
【００１５】
本発明によるシングルサインオン方法は、ユーザ端末と、該ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバと、該複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバと、を有するシングルサインオンシステムで行われるシングルサインオン方法であって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納し、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送し、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行い、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信することを特徴とする。
【００１６】
本発明の手法では、各サービスサイトにおける固有の識別子を利用し、暗号化と復号化を用いて新たなＩＤを払い出すことにより、サイト毎に払い出したＩＤにより、ユーザ情報のＤＢによる管理を可能としながら、セキュアなログインを実現している。
【発明の効果】
【００１７】
第１の効果は、ユーザを特定することが出来ないことにある。
【００１８】
その理由は、ＳＰ毎に払いだされたＩＤを利用するためである。
【００１９】
第２の効果は、名寄せを防ぐことができることにある。
【００２０】
その理由は、ＩＤより利用者を特定することが出来ないためである。）
第３の効果は、膨大なＩＤを生成しながらもユーザをＤＢで管理することが可能な点にある。
【００２１】
その理由は、復号化によりユーザＩＤの復元が可能な点にある。
【図面の簡単な説明】
【００２２】
【図１】本発明によるＳＳＯシステムの一実施形態の構成を示すブロック図である。
【図２】図１中のＩｄＰ３の構成を詳細に示すブロック図である。
【図３】図１中のユーザ端末１がＳＰ２にログインするときのユーザ端末１、ＳＰ２、ＩｄＰ３それぞれの動作を示すシーケンス図である。
【図４】図１中の、ＳＰ２毎の識別子４とユーザＩＤ６から新規ＩＤ７を生成する方法と新規ＩＤ７からＳＰ２毎の識別子４とユーザＩＤ６を復元する方法を示す図であり、（ａ）はＳＰ２毎の識別子４とユーザＩＤ６から新規ＩＤ７を生成する方法を示し、（ｂ）は新規ＩＤ７からＳＰ２毎の識別子４とユーザＩＤ６を復元する方法を示している。
【発明を実施するための形態】
【００２３】
次に、本発明の実施形態について図面を参照して説明する。
【００２４】
図１は、本発明によるＳＳＯシステムの一実施形態の構成を示すブロック図である。
【００２５】
本実施形態は、ユーザ端末１、ＳＰ２、ＩｄＰ３から構成されている。ユーザ端末１、ＳＰ２、ＩｄＰ３は、制御装置、記憶装置、表示装置、入力装置、および通信装置を備える一般的なコンピュータから構成されるものであり、特定の利用者（ユーザ）が利用可能な、インターネットのような、周知の通信ネットワークを介して接続される。図ではＩｄＰ３について特徴的となる構成要素を示しているが、これらは制御装置により記憶装置上に仮想的に構築されるものであり、本発明にはコンピュータにこれらを構築するためのプログラムも含まれる。
【００２６】
ユーザ端末１、ＳＰ２、ＩｄＰ３のいずれも複数設けられるもので、ＳＳＯを行うＳＰとして紐付けられている各ＳＰ２は、ユーザ端末１に対してそれぞれ固有のサービスを行うものであり、認証を行う連携先となるＩｄＰ３の情報が予め登録されている。ＩｄＰ３は、認証を行うためのユーザＩＤ６を格納するデータベース３ａと、ＳＰ２毎の新規ＩＤの払い出しを実現する暗号・復号化クラス３ｂを備えており、データベース３ａにはＳＳＯ認証を行う紐付けられたＳＰが予め登録されている。
【００２７】
ＩｄＰ３は、ユーザ端末１がＳＰ２にログインする際の認証を行うものであり、ユーザ端末１がＳＳＯを行うＳＰとして紐付けられている各ＳＰ２に最初にログインする際に必要となるユーザＩＤ６およびパスワード、ユーザ端末１がＳＳＯシステムを構成する各ＳＰ２によるサービスを受けるときに必要となる新規ＩＤ７を発行する。
【００２８】
ユーザ端末１を利用するユーザは、ＩｄＰ３に対して予めユーザ登録を行い、これに応じて、ＩｄＰ３はユーザ端末１に対してユーザＩＤ６およびパスワードを発行し、ＩｄＰ３のデータベース３ａにはパスワードとともに、ＳＰ２がサービスに利用するためのユーザデータ、たとえば、氏名、年齢、職業、などがユーザＩＤ６に対応して格納される。
【００２９】
図２はＩｄＰ３の構成を詳細に示すブロック図、図３はユーザ端末１がＳＰ２にログインするときのユーザ端末１、ＳＰ２、ＩｄＰ３それぞれの動作を示すシーケンス図である。以下に、図１ないし図３を参照して本実施形態の動作について詳細に説明する。
【００３０】
ＳＰ２によるサービスを受けるために、図３に示すように、ユーザ端末１よりＳＰ２に対してログイン要求が実施される（ステップＳ１）。ログイン要求には、Ｉｄｐ３が発行したユーザＩＤ６とパスワードを含むものであり、ユーザＩＤ６にはどのＩｄＰに対して連携用のＩＤを要求すればよいかを示すＩｄＰを特定する情報、本実施形態においては、ＩｄＰ３を特定する情報が付与されている。
【００３１】
ログイン要求を受け付けたＳＰ２は、ログイン要求（ユーザＩＤ６）に含まれるＩｄＰを特定する情報を利用して、連携するＩｄＰ３に対してユーザ端末１の認証要求を行う（ステップＳ２）。この認証要求には、ユーザ端末１のアドレスとユーザＩＤ６が含まれている。
【００３２】
連携用のＩＤの要求を受け付けたＩｄＰ３は、ユーザ端末ＩＤにより、ユーザ端末１に対して、パスワードの入力を要求する（ステップＳ３）。
【００３３】
次に、パスワード入力要求を受け付けたユーザ端末１からＩｄＰ３に対して、パスワードが送られる（ステップＳ４）。
【００３４】
ＩｄＰ３は、ユーザ端末１から送られてきたパスワードをデータベース３ａに格納されているパスワードと比較する認証処理を実施し、これらが一致した場合には、ＳＰ２のアドレスからＳＳＯを行うＳＰとして紐付けられている各ＳＰやＳＳＯの有効期限を示す認証セッション情報を生成し、ユーザ端末１のユーザ情報としてデータベース３ａに格納するとともに、ＳＳＯを行うために必要となる新規ＩＤ７の生成を開始する。
【００３５】
新規ＩＤ７の生成では、ＳＰ２固有の識別子４の要求をＳＰ２に対して行い（ステップＳ５）、該要求を受け付けたＳＰ２が固有の識別子４をＩｄＰ３へ送信することによりＳＰ２固有の識別子４の取得が行われる（ステップＳ６）。なお、ウェブサイトの情報など、すでに保持している情報を固有の識別子４として利用する場合には、ＩｄＰ３からＳＰ２に対して固有の識別子４の要求を行う必要はない。
【００３６】
次に、ＳＰ２の固有の識別子４と予め保持するハッシュ関数８を用いてハッシュ値５を取得する。取得したハッシュ値５とデータベース３ａに登録されているユーザＩＤ６とを連結し、予め保持する暗号鍵９（図２参照）を用いて暗号化することにより、連携を実現するための新規ＩＤ７を生成し、ユーザ端末１への払い出しを行う（ステップＳ７）。ユーザ端末１は払い出された新規ＩＤ７を用いてＳＰ２へサービスを要求することが可能となる。
【００３７】
ＳＰ２に対してユーザ端末１がＳＰ２におけるサービスの利用要求を実施すると（ステップＳ８）、ＳＰ２はＩｄＰ３に対してサービスの提供に必要となるユーザの情報の開示を、新規ＩＤ７を付与して要求する（ステップＳ９）。
【００３８】
ＩｄＰ３は必要な情報のみをＳＰ２に対して提示を行う（ステップＳ１０）。
【００３９】
ＳＰ２は提示された情報を利用して、ユーザ端末１に対してサービスの提供を行う（ステップＳ１１）。
【００４０】
図４は本実施形態におけるＳＰ２毎の識別子４とユーザＩＤ６から新規ＩＤ７を生成する方法と新規ＩＤ７からＳＰ２毎の識別子４とユーザＩＤ６を復元する方法を示す図であり、（ａ）はＳＰ２毎の識別子４とユーザＩＤ６から新規ＩＤ７を生成する方法を示し、（ｂ）は新規ＩＤ７からＳＰ２毎の識別子４とユーザＩＤ６を復元する方法を示している。以下に、新規ＩＤ７の生成方法とユーザＩ６Ｄの復元方法について図４を参照して説明する。
【００４１】
図４（ａ）に示すように、ＩｄＰ３は、ユーザＩＤ６とＳＰ２の識別子４のハッシュ値とを連結して文字列を作り、その文字列に対して暗号鍵９を利用して暗号化を行うことによって、ＳＰ２毎に異なる新規ＩＤ７を生成する（図３におけるステップＳ７）。
【００４２】
ＳＰ２はＩｄＰ３に対してサービスの提供に必要なユーザの情報開示を要求する際、該要求とともに新規ＩＤ７を添付する（図３におけるステップＳ９）。ＩｄＰ３は新規ＩＤ７に対して、暗号鍵９を利用して復号化を行い、ユーザＩＤ６とハッシュ値５を復号し、さらに、ハッシュ値５とハッシュ関数８からＳＰ２の識別子４を復号する。
【００４３】
ＩｄＰ３は、データベース３ａから復号されたユーザＩＤ６に対応するユーザデータのうち、まず、認証セッション情報を確認して、ＳＰ２がユーザＩＤ６のＳＳＯ対象であり、また、ＳＳＯの有効期限内であるかを確認し、これらに該当するものである場合に、サービスの提供に必要であるとして要求されたユーザの情報を引き出す。
【００４４】
この後、ユーザ端末１がＳＰを遷移する場合にも図３におけるステップＳ８と同様に、新規ＩＤ７を用いてサービスの利用要求を実施し、以後、ステップＳ９〜Ｓ１１の動作が行われる。
【００４５】
上記のように本実施形態においては、ＳＰ２毎に新規ＩＤ７を作成するが、新規ＩＤはＳＰ毎の識別子およびユーザＩＤ６を含む暗号化されたものであるため、ＩｄＰ３は新規ＩＤ７を復号することにより、ＳＰ２およびユーザを特定することが出来る。膨大な数のＳＰ毎の新規ＩＤ７を生成しても、逆引きが可能であることから、ＩｄＰ３は生成したＳＰ２毎の新規ＩＤ７をデータベースに、登録・保持することなくユーザを管理することが可能となる。
【００４６】
本発明によれば、ユーザの特定が出来ないＩＤによるＳＰにおける商品の購入、サービスの利用後の、ＩＳＰによる一括決済といった用途に適用できる。また、匿名性を保持したままの、医療機関や法律事務所に対する相談といった用途にも適用可能である。
【符号の説明】
【００４７】
１ ユーザ端末
２ ＳＰ（サービスサーバ）
３ ＩｄＰ（認証サーバ）
３ａ データベース（ＤＢ）
３ｂ 暗号・復号化クラス
４ 識別子
５ ハッシュ値
６ ユーザＩＤ
７ 新規ＩＤ
８ ハッシュ関数
９ 暗号鍵
Ｓ１〜Ｓ１１ ステップ
【技術分野】
【０００１】
本発明は、サーバに認証を受けることにより、利用することが可能となる複数の機能について、一度の認証を受けるだけで、各機能の利用が可能となるＳＳＯ（シングルサインオン：Single Sign On）システムに関する。
【背景技術】
【０００２】
ユーザの所持するパーソナルコンピュータ等のユーザ端末機器が、ユーザの希望するシステムにログインする場合には、認証サーバでのログインが必要となる。所定のシステムにログインしたユーザ端末機器が、他のシステムにログインしようとする場合には、もう一度、他の認証サーバでのログインが必要となる。
【０００３】
上記のように、ユーザが複数のシステムにログインする場合は、システム毎にログインの手続が必要となりユーザの利便性が損なわれるので、連携型認証方式が提案されている。この連携型認証方式は、認証サーバ（以下、ＩｄＰという）で一度認証が行われると、他の連携しているシステムにログインすることができるＳＳＯシステムを実現することができる。すなわち、このＳＳＯシステムでは、ユーザが一度認証を受けるだけで、許可されているすべての機能を利用することができる。
【０００４】
ＳＳＯシステムの一例が、特許文献１（特開２００７−２９３７６０号公報）および特許文献２（特開２００６−３３１０４４号公報）に開示されている。
【０００５】
特許文献１に開示されるシステムは、ネットワークを介して接続される、ユーザクライアント端末、ＳＳＯ認証サーバ、複数のサービスサイトからなるシステムで、各サービスサイトが、個別ログインＩＤに対してＳＳＯ利用ユーザの可否を判定する情報を持ち、個別ログイン画面から個別ログインＩＤとパスワードでログインしたクライアント端末がＳＳＯ利用ユーザかを判定し、ＳＳＯ利用ユーザであれば当該クライアント端末をＳＳＯ認証サーバにリダイレクトさせ、個別ログインＩＤ情報と、サービスサイトのログイン成功情報をＳＳＯ認証サーバに渡し、ＳＳＯ認証サーバは、受け取った個別ログインＩＤ情報を元に、それに紐付くＳＳＯログインＩＤ情報を取得し、当該クライアント端末のＳＳＯ認証を行うものである。
【０００６】
特許文献１では、上記の構成を備えることにより、各サービスサイトでＳＳＯを利用するユーザと利用しないユーザが混在する環境で、ＳＳＯ利用ユーザはサービスサイトへログインするアクセス先と個別ログインＩＤを変更することなく、ＳＳＯ認証サーバの認証を受けることができ、ＳＳＯ利用ユーザの利便性が向上するとしている。
【０００７】
特許文献２に開示されるシステムは、ナレッジとして格納したシングルサインオンを実現するシングルサインオンモジュール、業務システムのログイン通信を解析し適用可能なシングルサインオンモジュールを選択、実行するシングルサインオンサーバを備え、HTTP、HTMLなどの下位レイヤの知識を必要せずにシングルサインオンを実現するものである。
【０００８】
特許文献２では、上記の構成を備えることにより、システムエンジニアにHTTP、HTMLなどの下位レイアの知識を要求することなくシングルサインオンを実現できるので、短期間、低コストでのシングルサインオンが実現できるとしている。
【０００９】
上記のように、ＳＳＯシステムにおいては、ユーザ端末と、ＩｄＰと、サービスプロバイダがサービスを提供するために使用するサービスサーバ（以下、ＳＰと称する）から構成され、ＩｄＰで一度認証が行われると、他の連携しているシステムにログインすることができ、ユーザが一度認証を受けるだけで、許可されているすべてのＳＰが提供するサービス機能を利用することができる。
【００１０】
しかし、ネットワーク間におけるＩＤ連携においては、仮にＳＰが協力して、それぞれのＳＰ毎に提供されるＩＤに紐づく属性情報（ユーザの情報）を集めることにより個人の特定が出来てしまう、いわゆる、「名寄せ」、が可能となるリスクを抱えている。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】特開２００７−２９３７６０号公報
【特許文献２】特開２００６−３３１０４４号公報
【発明の概要】
【発明が解決しようとする課題】
【００１２】
上記の連携型認証方式は、ＩｄＰで一度認証が行われると、他の連携しているシステムにログインすることができるＳＳＯを実現して、そのＳＳＯを利用してサービスプロバイダにより提供される所定のサービスを利用することが可能となるため、ユーザの利便性を高めることができる特長を有している。しかし、ネットワーク間におけるＩＤ連携においては、サービスサイト毎にユーザ情報を集めることによって名寄せが可能となってしまう可能性がある。
【００１３】
本発明は、データベースでユーザのデータ管理を行うとともに、名寄せを防ぐことのできるＳＳＯシステムを実現することを目的とする。
【課題を解決するための手段】
【００１４】
本発明によるシングルサインオンシステムは、ユーザ端末と、該ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバと、該複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバと、を有するシングルサインオンシステムであって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納するデータベースと、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送する暗号・復号化クラスと、を備え、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行い、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信することを特徴とする。
【００１５】
本発明によるシングルサインオン方法は、ユーザ端末と、該ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバと、該複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバと、を有するシングルサインオンシステムで行われるシングルサインオン方法であって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納し、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送し、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行い、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信することを特徴とする。
【００１６】
本発明の手法では、各サービスサイトにおける固有の識別子を利用し、暗号化と復号化を用いて新たなＩＤを払い出すことにより、サイト毎に払い出したＩＤにより、ユーザ情報のＤＢによる管理を可能としながら、セキュアなログインを実現している。
【発明の効果】
【００１７】
第１の効果は、ユーザを特定することが出来ないことにある。
【００１８】
その理由は、ＳＰ毎に払いだされたＩＤを利用するためである。
【００１９】
第２の効果は、名寄せを防ぐことができることにある。
【００２０】
その理由は、ＩＤより利用者を特定することが出来ないためである。）
第３の効果は、膨大なＩＤを生成しながらもユーザをＤＢで管理することが可能な点にある。
【００２１】
その理由は、復号化によりユーザＩＤの復元が可能な点にある。
【図面の簡単な説明】
【００２２】
【図１】本発明によるＳＳＯシステムの一実施形態の構成を示すブロック図である。
【図２】図１中のＩｄＰ３の構成を詳細に示すブロック図である。
【図３】図１中のユーザ端末１がＳＰ２にログインするときのユーザ端末１、ＳＰ２、ＩｄＰ３それぞれの動作を示すシーケンス図である。
【図４】図１中の、ＳＰ２毎の識別子４とユーザＩＤ６から新規ＩＤ７を生成する方法と新規ＩＤ７からＳＰ２毎の識別子４とユーザＩＤ６を復元する方法を示す図であり、（ａ）はＳＰ２毎の識別子４とユーザＩＤ６から新規ＩＤ７を生成する方法を示し、（ｂ）は新規ＩＤ７からＳＰ２毎の識別子４とユーザＩＤ６を復元する方法を示している。
【発明を実施するための形態】
【００２３】
次に、本発明の実施形態について図面を参照して説明する。
【００２４】
図１は、本発明によるＳＳＯシステムの一実施形態の構成を示すブロック図である。
【００２５】
本実施形態は、ユーザ端末１、ＳＰ２、ＩｄＰ３から構成されている。ユーザ端末１、ＳＰ２、ＩｄＰ３は、制御装置、記憶装置、表示装置、入力装置、および通信装置を備える一般的なコンピュータから構成されるものであり、特定の利用者（ユーザ）が利用可能な、インターネットのような、周知の通信ネットワークを介して接続される。図ではＩｄＰ３について特徴的となる構成要素を示しているが、これらは制御装置により記憶装置上に仮想的に構築されるものであり、本発明にはコンピュータにこれらを構築するためのプログラムも含まれる。
【００２６】
ユーザ端末１、ＳＰ２、ＩｄＰ３のいずれも複数設けられるもので、ＳＳＯを行うＳＰとして紐付けられている各ＳＰ２は、ユーザ端末１に対してそれぞれ固有のサービスを行うものであり、認証を行う連携先となるＩｄＰ３の情報が予め登録されている。ＩｄＰ３は、認証を行うためのユーザＩＤ６を格納するデータベース３ａと、ＳＰ２毎の新規ＩＤの払い出しを実現する暗号・復号化クラス３ｂを備えており、データベース３ａにはＳＳＯ認証を行う紐付けられたＳＰが予め登録されている。
【００２７】
ＩｄＰ３は、ユーザ端末１がＳＰ２にログインする際の認証を行うものであり、ユーザ端末１がＳＳＯを行うＳＰとして紐付けられている各ＳＰ２に最初にログインする際に必要となるユーザＩＤ６およびパスワード、ユーザ端末１がＳＳＯシステムを構成する各ＳＰ２によるサービスを受けるときに必要となる新規ＩＤ７を発行する。
【００２８】
ユーザ端末１を利用するユーザは、ＩｄＰ３に対して予めユーザ登録を行い、これに応じて、ＩｄＰ３はユーザ端末１に対してユーザＩＤ６およびパスワードを発行し、ＩｄＰ３のデータベース３ａにはパスワードとともに、ＳＰ２がサービスに利用するためのユーザデータ、たとえば、氏名、年齢、職業、などがユーザＩＤ６に対応して格納される。
【００２９】
図２はＩｄＰ３の構成を詳細に示すブロック図、図３はユーザ端末１がＳＰ２にログインするときのユーザ端末１、ＳＰ２、ＩｄＰ３それぞれの動作を示すシーケンス図である。以下に、図１ないし図３を参照して本実施形態の動作について詳細に説明する。
【００３０】
ＳＰ２によるサービスを受けるために、図３に示すように、ユーザ端末１よりＳＰ２に対してログイン要求が実施される（ステップＳ１）。ログイン要求には、Ｉｄｐ３が発行したユーザＩＤ６とパスワードを含むものであり、ユーザＩＤ６にはどのＩｄＰに対して連携用のＩＤを要求すればよいかを示すＩｄＰを特定する情報、本実施形態においては、ＩｄＰ３を特定する情報が付与されている。
【００３１】
ログイン要求を受け付けたＳＰ２は、ログイン要求（ユーザＩＤ６）に含まれるＩｄＰを特定する情報を利用して、連携するＩｄＰ３に対してユーザ端末１の認証要求を行う（ステップＳ２）。この認証要求には、ユーザ端末１のアドレスとユーザＩＤ６が含まれている。
【００３２】
連携用のＩＤの要求を受け付けたＩｄＰ３は、ユーザ端末ＩＤにより、ユーザ端末１に対して、パスワードの入力を要求する（ステップＳ３）。
【００３３】
次に、パスワード入力要求を受け付けたユーザ端末１からＩｄＰ３に対して、パスワードが送られる（ステップＳ４）。
【００３４】
ＩｄＰ３は、ユーザ端末１から送られてきたパスワードをデータベース３ａに格納されているパスワードと比較する認証処理を実施し、これらが一致した場合には、ＳＰ２のアドレスからＳＳＯを行うＳＰとして紐付けられている各ＳＰやＳＳＯの有効期限を示す認証セッション情報を生成し、ユーザ端末１のユーザ情報としてデータベース３ａに格納するとともに、ＳＳＯを行うために必要となる新規ＩＤ７の生成を開始する。
【００３５】
新規ＩＤ７の生成では、ＳＰ２固有の識別子４の要求をＳＰ２に対して行い（ステップＳ５）、該要求を受け付けたＳＰ２が固有の識別子４をＩｄＰ３へ送信することによりＳＰ２固有の識別子４の取得が行われる（ステップＳ６）。なお、ウェブサイトの情報など、すでに保持している情報を固有の識別子４として利用する場合には、ＩｄＰ３からＳＰ２に対して固有の識別子４の要求を行う必要はない。
【００３６】
次に、ＳＰ２の固有の識別子４と予め保持するハッシュ関数８を用いてハッシュ値５を取得する。取得したハッシュ値５とデータベース３ａに登録されているユーザＩＤ６とを連結し、予め保持する暗号鍵９（図２参照）を用いて暗号化することにより、連携を実現するための新規ＩＤ７を生成し、ユーザ端末１への払い出しを行う（ステップＳ７）。ユーザ端末１は払い出された新規ＩＤ７を用いてＳＰ２へサービスを要求することが可能となる。
【００３７】
ＳＰ２に対してユーザ端末１がＳＰ２におけるサービスの利用要求を実施すると（ステップＳ８）、ＳＰ２はＩｄＰ３に対してサービスの提供に必要となるユーザの情報の開示を、新規ＩＤ７を付与して要求する（ステップＳ９）。
【００３８】
ＩｄＰ３は必要な情報のみをＳＰ２に対して提示を行う（ステップＳ１０）。
【００３９】
ＳＰ２は提示された情報を利用して、ユーザ端末１に対してサービスの提供を行う（ステップＳ１１）。
【００４０】
図４は本実施形態におけるＳＰ２毎の識別子４とユーザＩＤ６から新規ＩＤ７を生成する方法と新規ＩＤ７からＳＰ２毎の識別子４とユーザＩＤ６を復元する方法を示す図であり、（ａ）はＳＰ２毎の識別子４とユーザＩＤ６から新規ＩＤ７を生成する方法を示し、（ｂ）は新規ＩＤ７からＳＰ２毎の識別子４とユーザＩＤ６を復元する方法を示している。以下に、新規ＩＤ７の生成方法とユーザＩ６Ｄの復元方法について図４を参照して説明する。
【００４１】
図４（ａ）に示すように、ＩｄＰ３は、ユーザＩＤ６とＳＰ２の識別子４のハッシュ値とを連結して文字列を作り、その文字列に対して暗号鍵９を利用して暗号化を行うことによって、ＳＰ２毎に異なる新規ＩＤ７を生成する（図３におけるステップＳ７）。
【００４２】
ＳＰ２はＩｄＰ３に対してサービスの提供に必要なユーザの情報開示を要求する際、該要求とともに新規ＩＤ７を添付する（図３におけるステップＳ９）。ＩｄＰ３は新規ＩＤ７に対して、暗号鍵９を利用して復号化を行い、ユーザＩＤ６とハッシュ値５を復号し、さらに、ハッシュ値５とハッシュ関数８からＳＰ２の識別子４を復号する。
【００４３】
ＩｄＰ３は、データベース３ａから復号されたユーザＩＤ６に対応するユーザデータのうち、まず、認証セッション情報を確認して、ＳＰ２がユーザＩＤ６のＳＳＯ対象であり、また、ＳＳＯの有効期限内であるかを確認し、これらに該当するものである場合に、サービスの提供に必要であるとして要求されたユーザの情報を引き出す。
【００４４】
この後、ユーザ端末１がＳＰを遷移する場合にも図３におけるステップＳ８と同様に、新規ＩＤ７を用いてサービスの利用要求を実施し、以後、ステップＳ９〜Ｓ１１の動作が行われる。
【００４５】
上記のように本実施形態においては、ＳＰ２毎に新規ＩＤ７を作成するが、新規ＩＤはＳＰ毎の識別子およびユーザＩＤ６を含む暗号化されたものであるため、ＩｄＰ３は新規ＩＤ７を復号することにより、ＳＰ２およびユーザを特定することが出来る。膨大な数のＳＰ毎の新規ＩＤ７を生成しても、逆引きが可能であることから、ＩｄＰ３は生成したＳＰ２毎の新規ＩＤ７をデータベースに、登録・保持することなくユーザを管理することが可能となる。
【００４６】
本発明によれば、ユーザの特定が出来ないＩＤによるＳＰにおける商品の購入、サービスの利用後の、ＩＳＰによる一括決済といった用途に適用できる。また、匿名性を保持したままの、医療機関や法律事務所に対する相談といった用途にも適用可能である。
【符号の説明】
【００４７】
１ ユーザ端末
２ ＳＰ（サービスサーバ）
３ ＩｄＰ（認証サーバ）
３ａ データベース（ＤＢ）
３ｂ 暗号・復号化クラス
４ 識別子
５ ハッシュ値
６ ユーザＩＤ
７ 新規ＩＤ
８ ハッシュ関数
９ 暗号鍵
Ｓ１〜Ｓ１１ ステップ
【特許請求の範囲】
【請求項１】
ユーザ端末と、該ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバと、該複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバと、を有するシングルサインオンシステムであって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納するデータベースと、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送する暗号・復号化クラスと、を備え、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行い、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信することを特徴とするシングルサインオンシステム。
【請求項２】
ユーザ端末と、該ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバとともにシングルサインオンシステムを構成し、前記複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバであって、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行い、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信するものであり、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納するデータベースと、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送する暗号・復号化クラスと、を備えることを特徴とする認証サーバ。
【請求項３】
ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバと、該複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバとともにシングルサインオンシステムを構成するユーザ端末であって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納するデータベースと、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送する暗号・復号化クラスと、を備え、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信するものであり、
システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行うことを特徴とするユーザ端末。
【請求項４】
ユーザ端末と、認証サーバと、ともにシングルサインオンシステムを構成し、前記ユーザ端末に対してサービスを提供する複数が予め紐付けられたサービスサーバであって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納するデータベースと、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送する暗号・復号化クラスと、を備え、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行うものであり、
前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスとユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、前記新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信することを特徴とするサービスサーバ。
【請求項５】
ユーザ端末と、該ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバと、該複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバと、を有するシングルサインオンシステムで行われるシングルサインオン方法であって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納し、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送し、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行い、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信することを特徴とするシングルサインオン方法。
【請求項６】
請求項２記載の認証サーバをコンピュータ上に実現するプログラム。
【請求項７】
請求項３記載のユーザ端末をコンピュータ上に実現するプログラム。
【請求項８】
請求項４記載のサービスサーバをコンピュータ上に実現するプログラム。
【請求項１】
ユーザ端末と、該ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバと、該複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバと、を有するシングルサインオンシステムであって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納するデータベースと、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送する暗号・復号化クラスと、を備え、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行い、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信することを特徴とするシングルサインオンシステム。
【請求項２】
ユーザ端末と、該ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバとともにシングルサインオンシステムを構成し、前記複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバであって、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行い、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信するものであり、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納するデータベースと、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送する暗号・復号化クラスと、を備えることを特徴とする認証サーバ。
【請求項３】
ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバと、該複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバとともにシングルサインオンシステムを構成するユーザ端末であって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納するデータベースと、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送する暗号・復号化クラスと、を備え、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信するものであり、
システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行うことを特徴とするユーザ端末。
【請求項４】
ユーザ端末と、認証サーバと、ともにシングルサインオンシステムを構成し、前記ユーザ端末に対してサービスを提供する複数が予め紐付けられたサービスサーバであって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納するデータベースと、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送する暗号・復号化クラスと、を備え、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行うものであり、
前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスとユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、前記新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信することを特徴とするサービスサーバ。
【請求項５】
ユーザ端末と、該ユーザ端末に対してサービスを提供する予め紐付けられた複数のサービスサーバと、該複数のサービスサーバが前記ユーザ端末に対してサービスを提供する際に必要となるユーザ情報を管理するとともに前記ユーザ端末が各サービスサーバにログインする際の認証を行う認証サーバと、を有するシングルサインオンシステムで行われるシングルサインオン方法であって、
前記認証サーバは、
前記予め紐付けられたサービスサーバの情報、および、前記複数のサービスサーバのそれぞれが各サービスを提供するために必要となるユーザの情報をユーザＩＤに対応して格納し、
前記サービスサーバから、前記ユーザＩＤおよび前記ユーザ端末のアドレスを含む認証要求を受け取ると、前記ユーザ端末のアドレスに対して認証を行うための入力を要求し、その後返送された内容と前記データベースの格納内容により認証を行い、認証が成功した場合には前記ユーザＩＤおよび認証要求を行ったサービスサーバ固有の識別子を連結し、暗号化した新規ＩＤを生成して前記ユーザ端末に対して送信し、その後、サービスサーバから新規ＩＤとともにユーザ情報を求める要求を受け付けると、前記新規ＩＤを復号し、ユーザの情報を求める要求を行ったサービスサーバが予め紐付けられたサービスサーバである場合には求められたユーザ情報を返送し、
前記ユーザ端末は、システムにログインする場合には、前記サービスサーバにアドレスおよびユーザＩＤを含むログイン要求を送信し、その後、前記認証端末から前記新規ＩＤを受け取ると、新規ＩＤを付与して前記サービスサーバに対してサービスを利用する要求を行い、
前記サービスサーバは、前記ユーザ端末からログイン要求を受け付けた場合には、前記ユーザ端末のアドレスと前記ユーザＩＤを付与して前記認証サーバに認証要求を送信し、前記ユーザ端末からサービスを利用する要求を受け付けた場合には、新規ＩＤを付与してユーザ情報を求める要求を前記認証サーバに送信することを特徴とするシングルサインオン方法。
【請求項６】
請求項２記載の認証サーバをコンピュータ上に実現するプログラム。
【請求項７】
請求項３記載のユーザ端末をコンピュータ上に実現するプログラム。
【請求項８】
請求項４記載のサービスサーバをコンピュータ上に実現するプログラム。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１１−１４５７５４（Ｐ２０１１−１４５７５４Ａ）
【公開日】平成２３年７月２８日（２０１１．７．２８）
【国際特許分類】
【出願番号】特願２０１０−３９６３（Ｐ２０１０−３９６３）
【出願日】平成２２年１月１２日（２０１０．１．１２）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２３年７月２８日（２０１１．７．２８）
【国際特許分類】
【出願日】平成２２年１月１２日（２０１０．１．１２）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]