ネットワーク認証システム、ネットワーク認証方法およびプログラム
【課題】通信プロトコルに依存しないネットワーク認証システム、ネットワーク認証方法およびプログラムを提供する。
【解決手段】ユーザ端末が、認証サーバへ認証要求を送信し、認証サーバが、受信した認証要求に対して、認証を行う。認証サーバは、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成し、作成したファイルをユーザ端末に送信する。ユーザ端末は、受信したファイルを格納し、機能提供サーバに対して、認証用ファイルとともに、認証要求を送信する。そして、機能提供サーバは、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信し、認証サーバが、受信したＩＤに基づいて、前記認証用ファイル自体の有効性を確認するとともに、確認結果を機能提供サーバに送信する。そして、機能提供サーバが、確認が完了した後に、情報提供を行う。
【解決手段】ユーザ端末が、認証サーバへ認証要求を送信し、認証サーバが、受信した認証要求に対して、認証を行う。認証サーバは、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成し、作成したファイルをユーザ端末に送信する。ユーザ端末は、受信したファイルを格納し、機能提供サーバに対して、認証用ファイルとともに、認証要求を送信する。そして、機能提供サーバは、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信し、認証サーバが、受信したＩＤに基づいて、前記認証用ファイル自体の有効性を確認するとともに、確認結果を機能提供サーバに送信する。そして、機能提供サーバが、確認が完了した後に、情報提供を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信プロトコルに依存しないネットワーク認証システム、ネットワーク認証方法およびプログラムに関する。
【背景技術】
【０００２】
インターネット上のサービス利用における認証手法として、ブラウザを活用する場合には、認証クッキーを利用する手法がある（例えば、非特許文献１参照。）。これは、ユーザの端末をクライアントとし、サービス提供側のサーバをサーバとするクライアントサーバシステムにおいて、サーバがユーザを何らかの手法（例えばＩＤ／パスワード）で認証した際に、認証クッキーと呼ばれるユーザの状態を示すファイルをクライアント側で作成し、以降の認証には、そのファイルを利用することにより行う。しかしながら、このクッキーを利用した認証状態の継続は、ブラウザで利用することが前提となっている。
【０００３】
一方で、近年、端末の小型化や、ネットワークのユビキタス化により屋内のみならず屋外でも、携帯可能な端末を介してサービスを享受する機会が増加している。このため、ある端末から別の端末に移行してサービス提供を受けるような場合や、異なるサービスが連携してサービスを提供するようなサービスの利用形態が想定されている。
【０００４】
こうしたサービス利用において、セキュリティ機能を提供するためには、端末側とネットワーク側とでの連携が必要となり、そのためのプラットフォーム技術の構築が求められている。こうしたプラットフォームでの端末とネットワーク側での通信では、ブラウザを利用しないケースも想定されるため、先のクッキーによる認証をそのまま利用できない可能性がある。
【０００５】
また、このプラットフォーム技術の１つの利用例として、サービス提供者側での認証の手間を軽減するシングルサインオンの技術がある。このブラウザリダイレクトを利用する場合の、シングルサインオンの概要を図６に示す。
【０００６】
このシステムは、図６に示すように、ユーザ端末１と、認証サーバ２と、サービス提供サーバ３とから構成されており、その処理は、次のようになる。まず、ユーザ端末１がサービス提供サーバ３にサービスの利用要求を送信する。具体的には、ユーザ端末１上で、サービスサイトのトップ画面にアクセスする（図中の（１））。
【０００７】
サービス提供サーバ３は、リダイレクトにより、認証サーバ２のサイトへ誘導する（図中の（２））。これにより、ユーザ端末１上に認証用画面が表示される（図中の（３））。ユーザは、認証画面に認証のための情報として、ＩＤやパスワード等必要な情報を入力する（図中の（４））。
【０００８】
認証サーバ２による認証が完了すると、認証サーバ２から認証クッキーが送信され、ユーザ端末１は、これを保存する（図中の（５））。次に、リダイレクトにより、サービス提供サーバ３へ誘導されるとともに、認証サーバ２からサービス提供サーバ３へユーザの認証状態が通知される（図中の（６））。ユーザの認証状態が通知されたサービス提供サーバ３は、ユーザ端末１にサービスを提供するとともに、サービス提供用のクッキーを保存する（図中の（７））。このように、ブラウザの利用を前提としてシングルサイオンが実現し、その過程で認証のためのクッキーがユーザ端末１に保持されていることとなる。
【先行技術文献】
【非特許文献】
【０００９】
【非特許文献１】ＲＦＣ ２９６５ ＨＴＴＰ Ｓｔａｔｅ Ｍａｎａｇｅｍｅｎｔ Ｍｅｃｈａｎｉｓｍ．Ｏｃｔ、２０００．
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら、上記のようにインターネット上でのサービス利用におけるクッキーを利用したユーザ認証は、ブラウザでの利用を前提としているため、ブラウザ非依存の通信手法において当該技術を利用することが困難であるという問題がある。また、端末のためのプラットフォーム技術では、端末とネットワーク側との通信において、ブラウザ非依存の通信を利用する可能性がある。
【００１１】
そこで、本発明は、上述の課題に鑑みてなされたものであり、通信プロトコルに依存しないネットワーク認証システム、ネットワーク認証方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。
【００１３】
（１）本発明は、ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムであって、前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、前記ユーザ端末が、前記認証サーバへ認証要求を送信する第１の送信手段（例えば、図２の認証要求送信部１１に相当）を備え、前記認証サーバが、受信した認証要求に対して、認証を行う認証処理手段（例えば、図３の認証処理部２２に相当）と、該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成するファイル作成手段（例えば、図３のファイル作成部２３に相当）と、該作成したファイルを前記ユーザ端末に送信する第２の送信手段（例えば、図３の認証ファイル送信部２４に相当）と、を備え、前記ユーザ端末が、受信した前記ファイルを格納する格納手段（例えば、図２のファイル格納部１３に相当）と、前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第３の送信手段（例えば、図２の認証要求送信部１４に相当）と、を備え、前記機能提供サーバが、認証ファイルの検証を行う検証手段（例えば、図４の認証検証部４２に相当）と、前記認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第４の送信手段と、を備え、前記認証サーバが、受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する確認手段と、該確認結果を前記機能提供サーバに送信する第５の送信手段と、を備え、前記機能提供サーバが、該確認が完了した後に、情報提供を行う情報提供手段（例えば、図４の情報提供部４５に相当）と、を備えたことを特徴とするネットワーク認証システムを提案している。
【００１４】
この発明によれば、ユーザ端末は、サービス提供サーバからのサービスの提供に関して、認証サーバからユーザ認証されており、ユーザ端末の第１の送信手段が、認証サーバへ認証要求を送信し、認証サーバ認証処理手段が、受信した認証要求に対して、認証を行い、ファイル作成手段が、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成し、第２の送信手段が、作成したファイルをユーザ端末に送信する。また、ユーザ端末の格納手段が、受信したファイルを格納し、第３の送信手段が機能提供サーバに対して、認証用ファイルとともに、認証要求を送信する。機能提供サーバの検証手段は、認証ファイルの検証を行い、第４の送信手段は、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する。認証サーバの確認手段は、受信した前記ＩＤに基づいて、認証用ファイル自体の有効性を確認し、第５の送信手段は、確認結果を機能提供サーバに送信する。そして、機能提供サーバの情報提供手段は、確認が完了した後に、情報提供を行う。したがって、異なるサーバが連携してサービスや機能を提供する場合においても、新たなサーバとユーザ端末との認証については、ブラウザに依存することなく、ユーザの認証を行うことができる。また、機能提供サーバでのファイルの検証の際に、認証用ファイル自体の有効性を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【００１５】
（２）本発明は、（１）のネットワーク認証システムについて、前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからシングルサインオンによりユーザ認証されていることを特徴とする請求項１に記載のネットワーク認証システムを提案している。
【００１６】
この発明によれば、ユーザ端末は、サービス提供サーバからのサービスの提供に関して、認証サーバからシングルサインオンによりユーザ認証されている。したがって、ユーザ端末とサービス提供サーバの間では、ブラウザリダイレクトを用いるシングルサインオンによるユーザ認証が行われている場合であっても、機能提供サーバとの認証においては、ブラウザに依存しないプロトコルを利用することが可能となる。
【００１７】
（３）本発明は、（１）のネットワーク認証システムについて、前記ユーザを識別するためのファイルがクッキーファイルであることを特徴とするネットワーク認証システムを提案している。
【００１８】
この発明によれば、ユーザを識別するためのファイルがクッキーファイルである。したがって、ユーザ端末とサービス提供サーバの間では、ブラウザリダイレクトを用いるシングルサインオンによるユーザ認証が利用でき、機能提供サーバとの認証においては、別の認証用ファイルを用いることにより、ブラウザに依存しないプロトコルを利用することが可能となる。
【００１９】
（４）本発明は、（１）のネットワーク認証システムについて、前記認証用ファイルに、少なくともユーザの識別子、ユーザの認証情報、有効期限、認証サーバの署名が含まれていることを特徴とするネットワーク認証システムを提案している。
【００２０】
この発明によれば、認証用ファイルに、少なくともユーザの識別子、ユーザの認証情報、有効期限、認証サーバの署名が含まれている。したがって、このファイルを交換することによって、ブラウザに依存しなくても、機能提供サーバでの認証を正確に実行することができる。
【００２１】
（５）本発明は、（４）のネットワーク認証システムについて、前記検証手段が、認証サーバの署名、ユーザの識別子および有効期限を確認することにより検証を行うことを特徴とするネットワーク認証システムを提案している。
【００２２】
この発明によれば、認証サーバの署名、ユーザの識別子および有効期限を確認することにより検証を行う。したがって、認証サーバにおける認証の正当性を確認しつつ、ユーザと有効期限とを特定して認証処理を行うことができる。
【００２３】
（６）本発明は、（１）のネットワーク認証システムについて、前記確認手段が、前記ＩＤに基づいて、前記認証用ファイルの失効確認を行うことを特徴とするネットワーク認証システムを提案している。
【００２４】
この発明によれば、確認手段が、ＩＤに基づいて、認証用ファイルの失効確認を行う。したがって、機能提供サーバでのファイルの検証の際に、当該ファイルの失効状態を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【００２５】
（７）本発明は、（１）のネットワーク認証システムについて、前記ユーザ端末と機能提供サーバとの間には、安全な通信路が形成されていることを特徴とするネットワーク認証システムを提案している。
【００２６】
この発明によれば、ユーザ端末と機能提供サーバとの間には、安全な通信路が形成されている。したがって、ユーザ端末と機能提供サーバとの間で、交換される認証用ファイルの漏洩を防止して、ユーザのプライバシーを保護することができる。
【００２７】
（８）本発明は、ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムにおけるネットワーク認証方法であって、前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、前記ユーザ端末が、前記認証サーバへ認証要求を送信する第１のステップ（例えば、図５のステップＳ１０１に相当）と、前記認証サーバが、受信した認証要求に対して、認証を行う第２のステップ（例えば、図５のステップＳ１０２に相当）と、前記認証サーバが、該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成する第３のステップ（例えば、図５のステップＳ１０３に相当）と、前記認証サーバが、該作成したファイルを前記ユーザ端末に送信する第４のステップ（例えば、図５のステップＳ１０４に相当）と、前記ユーザ端末が、受信した前記ファイルを格納する第５のステップ（例えば、図５のステップＳ１０５に相当）と、前記ユーザ端末が、前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第６のステップ（例えば、図５のステップＳ１０６に相当）と、前記機能提供サーバが、認証ファイルの検証を行う第７のステップ（例えば、図５のステップＳ１０７に相当）と、前記機能提供サーバが、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第８のステップ（例えば、図５のステップＳ１０８に相当）と、前記認証サーバが、受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する第９のステップ（例えば、図５のステップＳ１０９に相当）と、前記認証サーバが、該確認結果を前記機能提供サーバに送信する第１０のステップ（例えば、図５のステップＳ１１０に相当）と、前記機能提供サーバが、該確認が完了した後に、情報提供を行う第１１のステップ（例えば、図５のステップＳ１１１に相当）と、を備えたことを特徴とするネットワーク認証方法を提案している。
【００２８】
この発明によれば、ユーザ端末は、サービス提供サーバからのサービスの提供に関して、認証サーバからユーザ認証されており、ユーザ端末が、認証サーバへ認証要求を送信し、認証サーバが、受信した認証要求に対して、認証を行う。認証サーバは、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成し、作成したファイルをユーザ端末に送信する。ユーザ端末は、受信したファイルを格納し、機能提供サーバに対して、認証用ファイルとともに、認証要求を送信する。機能提供サーバは、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信し、認証サーバが、受信したＩＤに基づいて、前記認証用ファイル自体の有効性を確認するとともに、確認結果を機能提供サーバに送信する。そして、機能提供サーバが、確認が完了した後に、情報提供を行う。したがって、異なるサーバが連携してサービスや機能を提供する場合においても、新たなサーバとユーザ端末との認証については、ブラウザに依存することなく、ユーザの認証を行うことができる。また、機能提供サーバでのファイルの検証の際に、認証用ファイル自体の有効性を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【００２９】
（９）本発明は、ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムにおけるネットワーク認証方法をコンピュータに実行させるためのプログラムであって、前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、前記ユーザ端末が、前記認証サーバへ認証要求を送信する第１のステップ（例えば、図５のステップＳ１０１に相当）と、前記認証サーバが、受信した認証要求に対して、認証を行う第２のステップ（例えば、図５のステップＳ１０２に相当）と、前記認証サーバが、該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成する第３のステップ（例えば、図５のステップＳ１０３に相当）と、前記認証サーバが、該作成したファイルを前記ユーザ端末に送信する第４のステップ（例えば、図５のステップＳ１０４に相当）と、前記ユーザ端末が、受信した前記ファイルを格納する第５のステップ（例えば、図５のステップＳ１０５に相当）と、前記ユーザ端末が、前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第６のステップ（例えば、図５のステップＳ１０６に相当）と、前記機能提供サーバが、認証ファイルの検証を行う第７のステップ（例えば、図５のステップＳ１０７に相当）と、前記機能提供サーバが、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第８のステップ（例えば、図５のステップＳ１０８に相当）と、前記認証サーバが、受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する第９のステップ（例えば、図５のステップＳ１０９に相当）と、前記認証サーバが、該確認結果を前記機能提供サーバに送信する第１０のステップ（例えば、図５のステップＳ１１０に相当）と、前記機能提供サーバが、該確認が完了した後に、情報提供を行う第１１のステップ（例えば、図５のステップＳ１１１に相当）と、をコンピュータに実行させるためのプログラムを提案している。
【００３０】
この発明によれば、ユーザ端末は、サービス提供サーバからのサービスの提供に関して、認証サーバからユーザ認証されており、ユーザ端末が、認証サーバへ認証要求を送信し、認証サーバが、受信した認証要求に対して、認証を行う。認証サーバは、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成し、作成したファイルをユーザ端末に送信する。ユーザ端末は、受信したファイルを格納し、機能提供サーバに対して、認証用ファイルとともに、認証要求を送信する。機能提供サーバは、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信し、認証サーバが、受信したＩＤに基づいて、前記認証用ファイル自体の有効性を確認するとともに、確認結果を機能提供サーバに送信する。そして、機能提供サーバが、確認が完了した後に、情報提供を行う。したがって、異なるサーバが連携してサービスや機能を提供する場合においても、新たなサーバとユーザ端末との認証については、ブラウザに依存することなく、ユーザの認証を行うことができる。また、機能提供サーバでのファイルの検証の際に、認証用ファイル自体の有効性を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【発明の効果】
【００３１】
本発明によれば、ブラウザリダイレクトを用いるシングルサインオンであっても、別途機能を提供する機能提供サーバとの認証において、非ブラウザ依存のプロトコルを利用することが可能となるという効果がある。また、機能提供サーバにおいて認証サーバの署名を検証することができるため、高速に認証を完了することができるという効果がある。さらに、機能提供のサーバでのファイルの検証の際に、当該ファイルの失効状態を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できるという効果がある。
【図面の簡単な説明】
【００３２】
【図１】本実施形態に係るネットワーク認証システムの構成を示す図である。
【図２】本実施形態に係るユーザ端末の構成を示す図である。
【図３】本実施形態に係る認証サーバの構成を示す図である。
【図４】本実施形態に係る機能提供サーバの構成を示す図である。
【図５】本実施形態に係るネットワーク認証システムの処理を示す図である。
【図６】シングルサインオンを実行するシステムの構成および処理を説明するための図である。
【発明を実施するための形態】
【００３３】
以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。
【００３４】
図１から図５を用いて、本実施形態に係るネットワーク認証システムについて説明する。
【００３５】
＜ネットワーク認証システムの構成＞
図１を用いて、本実施形態に係るネットワーク認証システムの構成について説明する。
【００３６】
本実施形態に係るネットワーク認証システムは、ユーザ端末１と、認証サーバ２と、サービス提供サーバ３と、機能提供サーバ４とから構成されている。ここで、ユーザ端末１とサービス提供サーバ３との間は、認証サーバ２を介したシングルサインオンにより、ユーザ認証がなされている。
【００３７】
また、機能提供サーバ４は、シングルサインオンや、その後のサービ利用などのセッションの管理や、ユーザの情報、サービス利用時の状態などの管理を行う。本実施形態にネットワーク認証システムは、ユーザ端末１とサービス提供サーバ３との間で、認証サーバ２を介したシングルサインオンにより用いられたクッキーファイルを利用できないユーザ端末１と機能提供サーバ４とのユーザ認証をブラウザに依存しないプロトコルを用いて実行するものである。なお、ユーザ端末１と機能提供サーバ４との間には、安全な通信路が形成されている。これにより、ユーザ端末１と機能提供サーバ４との間で、交換される認証用ファイルの漏洩を防止して、ユーザのプライバシーを保護することができる。さらに、機能提供のサーバでのファイルの検証の際に、当該ファイルの失効状態を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【００３８】
＜ユーザ端末の構成＞
図２を用いて、本実施形態に係るユーザ端末の構成について説明する。
【００３９】
本実施形態に係るユーザ端末は、図２に示すように、認証要求送信部１１と、受信部１２と、ファイル格納部１３と、認証要求送信部１４とから構成されている。
【００４０】
認証要求送信部１１は、認証サーバ２へ認証要求を送信する。受信部１２は、認証サーバ２における認証処理の完了後に、作成したユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイル（例えば、クッキーファイル）と認証用ファイルとを受信する。
【００４１】
ファイル格納部１３は、受信部１２が受信したユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイル（例えば、クッキーファイル）と認証用ファイルとを格納する。認証要求送信部１４は、機能提供サーバ４に対して、認証用ファイルとともに、認証要求を送信する。
【００４２】
＜認証サーバの構成＞
図３を用いて、本実施形態に係る認証サーバの構成について説明する。
【００４３】
本実施形態に係る認証サーバは、図３に示すように、認証要求受信部２１と、認証処理部２２と、ファイル作成部２３と、認証ファイル送信部２４と、ＩＤ受信部２５と、有効性確認部２６と、有効性送信部２７とから構成されている。
【００４４】
認証要求受信部２１は、ユーザ端末１から認証用ファイルとともに、認証要求を受信する。認証処理部２２は、受信した認証用ファイルに基づいて、ユーザ認証を実行する。ファイル作成部２３は、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイル（例えば、クッキーファイル）と認証用ファイルとを作成する。なお、認証用ファイルには、ユーザの識別子、ユーザの認証状態（認証済みであること）と、有効期限が記されており、認証サーバの署名が施されている。認証ファイル送信部２４は、作成したファイルをユーザ端末１に送信する。
【００４５】
ＩＤ受信部２５は、機能提供サーバ４が認証用ファイル自体の有効性を確認するために、その確認要求とともに、一意のＩＤを受信する。有効性確認部２６は、受信したＩＤに基づき、失効リストを検索して、失効確認を行うことにより、認証用ファイル自体の有効性を確認する。有効性送信部２７は、確認結果、すなわち、認証用ファイルの失効状態を機能提供サーバ４に送信する。
【００４６】
＜機能提供サーバの構成＞
図４を用いて、本実施形態に係る機能提供サーバの構成について説明する。
【００４７】
本実施形態に係る機能提供サーバは、図４に示すように、認証要求受信部４１と、認証検証部４２と、ＩＤ送信部４３と、確認結果受信部４４と、情報提供部４５とから構成されている。
【００４８】
認証要求受信部４１は、ユーザ端末１から認証用ファイルとともに、認証要求を受信する。認証検証部４２は、された認証用ファイルの署名を検証し、その正当性を確認する。その後、認証用ファイル内に記されているユーザのＩＤと有効期限を確認し、ユーザの認証を完了する。
【００４９】
ＩＤ送信部４３は、認証用ファイル自体の有効性を確認するために、その確認要求とともに、一意のＩＤを送信する。確認結果受信部４４は、認証サーバ２から認証用ファイルの有効性に関する確認結果を受信する。情報提供部４５は、認証用ファイルの有効性が確認された後に、プラットフォームの機能を提供する。
【００５０】
＜ネットワーク認証システムの処理＞
図５を用いて、本実施形態に係る機能提供サーバの処理について説明する。
【００５１】
まず、前提条件として、ユーザ端末１は、サービス提供サーバ３からのサービスの提供に関して、認証サーバ２からユーザ認証されている。ユーザ端末１は、認証サーバ２へＩＤとパスワード等とともに認証要求を送信する（ステップＳ１０１）。認証サーバ２は、受信した認証要求に対して、認証を行い（ステップＳ１０２）、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成する（ステップＳ１０３）。そして、認証サーバ２は、作成したファイルをユーザ端末１に送信する（ステップＳ１０４）。
【００５２】
ユーザ端末１は、受信したこれらのファイルを格納し（ステップＳ１０５）、機能提供サーバ４に対して、認証用ファイルとともに、認証要求を送信する（ステップＳ１０６）。機能提供サーバ４は、認証ファイルの検証を行い（ステップＳ１０７）、認証用ファイルの有効性を確認するために、一意のＩＤとともに、確認要求を送信する（ステップＳ１０８）。
【００５３】
認証サーバ２は、受信したＩＤに基づき、失効リストを検索して、失効確認を行うことにより、認証用ファイル自体の有効性を確認し（ステップＳ１０９）、有効性に関する確認結果を通知する（ステップＳ１１０）。そして、機能提供サーバ４は、認証用ファイルの有効性が確認された後に、プラットフォームの機能を提供する（ステップＳ１１１）。
【００５４】
したがって、本実施形態によれば、ブラウザリダイレクトを用いるシングルサインオンであっても、別途機能を提供する機能提供サーバとの認証において、非ブラウザ依存のプロトコルを利用することが可能となる。また、機能提供サーバにおいて認証サーバの署名を検証することができるため、高速に認証を完了することができる。さらに、機能提供のサーバでのファイルの検証の際に、当該ファイルの失効状態を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【００５５】
なお、ネットワーク認証システムの処理をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをユーザ端末、認証サーバおよび機能提供サーバに読み込ませ、実行することによって本発明のネットワーク認証システムを実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。
【００５６】
また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００５７】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００５８】
以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【符号の説明】
【００５９】
１；ユーザ端末
２；認証サーバ
３；サービス提供サーバ
４；機能提供サーバ
１１；認証要求送信部
１２；受信部
１３；ファイル格納部
１４；認証要求送信部
２１；認証要求受信部
２２；認証処理部
２３；ファイル作成部
２４；認証ファイル送信部
２５；ＩＤ受信部
２６；有効性確認部
２７；有効性送信部
４１；認証要求受信部
４２；認証検証部
４３；ＩＤ送信部
４４；結果受信部
４５；情報提供部
【技術分野】
【０００１】
本発明は、通信プロトコルに依存しないネットワーク認証システム、ネットワーク認証方法およびプログラムに関する。
【背景技術】
【０００２】
インターネット上のサービス利用における認証手法として、ブラウザを活用する場合には、認証クッキーを利用する手法がある（例えば、非特許文献１参照。）。これは、ユーザの端末をクライアントとし、サービス提供側のサーバをサーバとするクライアントサーバシステムにおいて、サーバがユーザを何らかの手法（例えばＩＤ／パスワード）で認証した際に、認証クッキーと呼ばれるユーザの状態を示すファイルをクライアント側で作成し、以降の認証には、そのファイルを利用することにより行う。しかしながら、このクッキーを利用した認証状態の継続は、ブラウザで利用することが前提となっている。
【０００３】
一方で、近年、端末の小型化や、ネットワークのユビキタス化により屋内のみならず屋外でも、携帯可能な端末を介してサービスを享受する機会が増加している。このため、ある端末から別の端末に移行してサービス提供を受けるような場合や、異なるサービスが連携してサービスを提供するようなサービスの利用形態が想定されている。
【０００４】
こうしたサービス利用において、セキュリティ機能を提供するためには、端末側とネットワーク側とでの連携が必要となり、そのためのプラットフォーム技術の構築が求められている。こうしたプラットフォームでの端末とネットワーク側での通信では、ブラウザを利用しないケースも想定されるため、先のクッキーによる認証をそのまま利用できない可能性がある。
【０００５】
また、このプラットフォーム技術の１つの利用例として、サービス提供者側での認証の手間を軽減するシングルサインオンの技術がある。このブラウザリダイレクトを利用する場合の、シングルサインオンの概要を図６に示す。
【０００６】
このシステムは、図６に示すように、ユーザ端末１と、認証サーバ２と、サービス提供サーバ３とから構成されており、その処理は、次のようになる。まず、ユーザ端末１がサービス提供サーバ３にサービスの利用要求を送信する。具体的には、ユーザ端末１上で、サービスサイトのトップ画面にアクセスする（図中の（１））。
【０００７】
サービス提供サーバ３は、リダイレクトにより、認証サーバ２のサイトへ誘導する（図中の（２））。これにより、ユーザ端末１上に認証用画面が表示される（図中の（３））。ユーザは、認証画面に認証のための情報として、ＩＤやパスワード等必要な情報を入力する（図中の（４））。
【０００８】
認証サーバ２による認証が完了すると、認証サーバ２から認証クッキーが送信され、ユーザ端末１は、これを保存する（図中の（５））。次に、リダイレクトにより、サービス提供サーバ３へ誘導されるとともに、認証サーバ２からサービス提供サーバ３へユーザの認証状態が通知される（図中の（６））。ユーザの認証状態が通知されたサービス提供サーバ３は、ユーザ端末１にサービスを提供するとともに、サービス提供用のクッキーを保存する（図中の（７））。このように、ブラウザの利用を前提としてシングルサイオンが実現し、その過程で認証のためのクッキーがユーザ端末１に保持されていることとなる。
【先行技術文献】
【非特許文献】
【０００９】
【非特許文献１】ＲＦＣ ２９６５ ＨＴＴＰ Ｓｔａｔｅ Ｍａｎａｇｅｍｅｎｔ Ｍｅｃｈａｎｉｓｍ．Ｏｃｔ、２０００．
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら、上記のようにインターネット上でのサービス利用におけるクッキーを利用したユーザ認証は、ブラウザでの利用を前提としているため、ブラウザ非依存の通信手法において当該技術を利用することが困難であるという問題がある。また、端末のためのプラットフォーム技術では、端末とネットワーク側との通信において、ブラウザ非依存の通信を利用する可能性がある。
【００１１】
そこで、本発明は、上述の課題に鑑みてなされたものであり、通信プロトコルに依存しないネットワーク認証システム、ネットワーク認証方法およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。
【００１３】
（１）本発明は、ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムであって、前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、前記ユーザ端末が、前記認証サーバへ認証要求を送信する第１の送信手段（例えば、図２の認証要求送信部１１に相当）を備え、前記認証サーバが、受信した認証要求に対して、認証を行う認証処理手段（例えば、図３の認証処理部２２に相当）と、該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成するファイル作成手段（例えば、図３のファイル作成部２３に相当）と、該作成したファイルを前記ユーザ端末に送信する第２の送信手段（例えば、図３の認証ファイル送信部２４に相当）と、を備え、前記ユーザ端末が、受信した前記ファイルを格納する格納手段（例えば、図２のファイル格納部１３に相当）と、前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第３の送信手段（例えば、図２の認証要求送信部１４に相当）と、を備え、前記機能提供サーバが、認証ファイルの検証を行う検証手段（例えば、図４の認証検証部４２に相当）と、前記認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第４の送信手段と、を備え、前記認証サーバが、受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する確認手段と、該確認結果を前記機能提供サーバに送信する第５の送信手段と、を備え、前記機能提供サーバが、該確認が完了した後に、情報提供を行う情報提供手段（例えば、図４の情報提供部４５に相当）と、を備えたことを特徴とするネットワーク認証システムを提案している。
【００１４】
この発明によれば、ユーザ端末は、サービス提供サーバからのサービスの提供に関して、認証サーバからユーザ認証されており、ユーザ端末の第１の送信手段が、認証サーバへ認証要求を送信し、認証サーバ認証処理手段が、受信した認証要求に対して、認証を行い、ファイル作成手段が、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成し、第２の送信手段が、作成したファイルをユーザ端末に送信する。また、ユーザ端末の格納手段が、受信したファイルを格納し、第３の送信手段が機能提供サーバに対して、認証用ファイルとともに、認証要求を送信する。機能提供サーバの検証手段は、認証ファイルの検証を行い、第４の送信手段は、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する。認証サーバの確認手段は、受信した前記ＩＤに基づいて、認証用ファイル自体の有効性を確認し、第５の送信手段は、確認結果を機能提供サーバに送信する。そして、機能提供サーバの情報提供手段は、確認が完了した後に、情報提供を行う。したがって、異なるサーバが連携してサービスや機能を提供する場合においても、新たなサーバとユーザ端末との認証については、ブラウザに依存することなく、ユーザの認証を行うことができる。また、機能提供サーバでのファイルの検証の際に、認証用ファイル自体の有効性を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【００１５】
（２）本発明は、（１）のネットワーク認証システムについて、前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからシングルサインオンによりユーザ認証されていることを特徴とする請求項１に記載のネットワーク認証システムを提案している。
【００１６】
この発明によれば、ユーザ端末は、サービス提供サーバからのサービスの提供に関して、認証サーバからシングルサインオンによりユーザ認証されている。したがって、ユーザ端末とサービス提供サーバの間では、ブラウザリダイレクトを用いるシングルサインオンによるユーザ認証が行われている場合であっても、機能提供サーバとの認証においては、ブラウザに依存しないプロトコルを利用することが可能となる。
【００１７】
（３）本発明は、（１）のネットワーク認証システムについて、前記ユーザを識別するためのファイルがクッキーファイルであることを特徴とするネットワーク認証システムを提案している。
【００１８】
この発明によれば、ユーザを識別するためのファイルがクッキーファイルである。したがって、ユーザ端末とサービス提供サーバの間では、ブラウザリダイレクトを用いるシングルサインオンによるユーザ認証が利用でき、機能提供サーバとの認証においては、別の認証用ファイルを用いることにより、ブラウザに依存しないプロトコルを利用することが可能となる。
【００１９】
（４）本発明は、（１）のネットワーク認証システムについて、前記認証用ファイルに、少なくともユーザの識別子、ユーザの認証情報、有効期限、認証サーバの署名が含まれていることを特徴とするネットワーク認証システムを提案している。
【００２０】
この発明によれば、認証用ファイルに、少なくともユーザの識別子、ユーザの認証情報、有効期限、認証サーバの署名が含まれている。したがって、このファイルを交換することによって、ブラウザに依存しなくても、機能提供サーバでの認証を正確に実行することができる。
【００２１】
（５）本発明は、（４）のネットワーク認証システムについて、前記検証手段が、認証サーバの署名、ユーザの識別子および有効期限を確認することにより検証を行うことを特徴とするネットワーク認証システムを提案している。
【００２２】
この発明によれば、認証サーバの署名、ユーザの識別子および有効期限を確認することにより検証を行う。したがって、認証サーバにおける認証の正当性を確認しつつ、ユーザと有効期限とを特定して認証処理を行うことができる。
【００２３】
（６）本発明は、（１）のネットワーク認証システムについて、前記確認手段が、前記ＩＤに基づいて、前記認証用ファイルの失効確認を行うことを特徴とするネットワーク認証システムを提案している。
【００２４】
この発明によれば、確認手段が、ＩＤに基づいて、認証用ファイルの失効確認を行う。したがって、機能提供サーバでのファイルの検証の際に、当該ファイルの失効状態を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【００２５】
（７）本発明は、（１）のネットワーク認証システムについて、前記ユーザ端末と機能提供サーバとの間には、安全な通信路が形成されていることを特徴とするネットワーク認証システムを提案している。
【００２６】
この発明によれば、ユーザ端末と機能提供サーバとの間には、安全な通信路が形成されている。したがって、ユーザ端末と機能提供サーバとの間で、交換される認証用ファイルの漏洩を防止して、ユーザのプライバシーを保護することができる。
【００２７】
（８）本発明は、ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムにおけるネットワーク認証方法であって、前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、前記ユーザ端末が、前記認証サーバへ認証要求を送信する第１のステップ（例えば、図５のステップＳ１０１に相当）と、前記認証サーバが、受信した認証要求に対して、認証を行う第２のステップ（例えば、図５のステップＳ１０２に相当）と、前記認証サーバが、該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成する第３のステップ（例えば、図５のステップＳ１０３に相当）と、前記認証サーバが、該作成したファイルを前記ユーザ端末に送信する第４のステップ（例えば、図５のステップＳ１０４に相当）と、前記ユーザ端末が、受信した前記ファイルを格納する第５のステップ（例えば、図５のステップＳ１０５に相当）と、前記ユーザ端末が、前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第６のステップ（例えば、図５のステップＳ１０６に相当）と、前記機能提供サーバが、認証ファイルの検証を行う第７のステップ（例えば、図５のステップＳ１０７に相当）と、前記機能提供サーバが、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第８のステップ（例えば、図５のステップＳ１０８に相当）と、前記認証サーバが、受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する第９のステップ（例えば、図５のステップＳ１０９に相当）と、前記認証サーバが、該確認結果を前記機能提供サーバに送信する第１０のステップ（例えば、図５のステップＳ１１０に相当）と、前記機能提供サーバが、該確認が完了した後に、情報提供を行う第１１のステップ（例えば、図５のステップＳ１１１に相当）と、を備えたことを特徴とするネットワーク認証方法を提案している。
【００２８】
この発明によれば、ユーザ端末は、サービス提供サーバからのサービスの提供に関して、認証サーバからユーザ認証されており、ユーザ端末が、認証サーバへ認証要求を送信し、認証サーバが、受信した認証要求に対して、認証を行う。認証サーバは、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成し、作成したファイルをユーザ端末に送信する。ユーザ端末は、受信したファイルを格納し、機能提供サーバに対して、認証用ファイルとともに、認証要求を送信する。機能提供サーバは、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信し、認証サーバが、受信したＩＤに基づいて、前記認証用ファイル自体の有効性を確認するとともに、確認結果を機能提供サーバに送信する。そして、機能提供サーバが、確認が完了した後に、情報提供を行う。したがって、異なるサーバが連携してサービスや機能を提供する場合においても、新たなサーバとユーザ端末との認証については、ブラウザに依存することなく、ユーザの認証を行うことができる。また、機能提供サーバでのファイルの検証の際に、認証用ファイル自体の有効性を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【００２９】
（９）本発明は、ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムにおけるネットワーク認証方法をコンピュータに実行させるためのプログラムであって、前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、前記ユーザ端末が、前記認証サーバへ認証要求を送信する第１のステップ（例えば、図５のステップＳ１０１に相当）と、前記認証サーバが、受信した認証要求に対して、認証を行う第２のステップ（例えば、図５のステップＳ１０２に相当）と、前記認証サーバが、該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成する第３のステップ（例えば、図５のステップＳ１０３に相当）と、前記認証サーバが、該作成したファイルを前記ユーザ端末に送信する第４のステップ（例えば、図５のステップＳ１０４に相当）と、前記ユーザ端末が、受信した前記ファイルを格納する第５のステップ（例えば、図５のステップＳ１０５に相当）と、前記ユーザ端末が、前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第６のステップ（例えば、図５のステップＳ１０６に相当）と、前記機能提供サーバが、認証ファイルの検証を行う第７のステップ（例えば、図５のステップＳ１０７に相当）と、前記機能提供サーバが、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第８のステップ（例えば、図５のステップＳ１０８に相当）と、前記認証サーバが、受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する第９のステップ（例えば、図５のステップＳ１０９に相当）と、前記認証サーバが、該確認結果を前記機能提供サーバに送信する第１０のステップ（例えば、図５のステップＳ１１０に相当）と、前記機能提供サーバが、該確認が完了した後に、情報提供を行う第１１のステップ（例えば、図５のステップＳ１１１に相当）と、をコンピュータに実行させるためのプログラムを提案している。
【００３０】
この発明によれば、ユーザ端末は、サービス提供サーバからのサービスの提供に関して、認証サーバからユーザ認証されており、ユーザ端末が、認証サーバへ認証要求を送信し、認証サーバが、受信した認証要求に対して、認証を行う。認証サーバは、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成し、作成したファイルをユーザ端末に送信する。ユーザ端末は、受信したファイルを格納し、機能提供サーバに対して、認証用ファイルとともに、認証要求を送信する。機能提供サーバは、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信し、認証サーバが、受信したＩＤに基づいて、前記認証用ファイル自体の有効性を確認するとともに、確認結果を機能提供サーバに送信する。そして、機能提供サーバが、確認が完了した後に、情報提供を行う。したがって、異なるサーバが連携してサービスや機能を提供する場合においても、新たなサーバとユーザ端末との認証については、ブラウザに依存することなく、ユーザの認証を行うことができる。また、機能提供サーバでのファイルの検証の際に、認証用ファイル自体の有効性を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【発明の効果】
【００３１】
本発明によれば、ブラウザリダイレクトを用いるシングルサインオンであっても、別途機能を提供する機能提供サーバとの認証において、非ブラウザ依存のプロトコルを利用することが可能となるという効果がある。また、機能提供サーバにおいて認証サーバの署名を検証することができるため、高速に認証を完了することができるという効果がある。さらに、機能提供のサーバでのファイルの検証の際に、当該ファイルの失効状態を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できるという効果がある。
【図面の簡単な説明】
【００３２】
【図１】本実施形態に係るネットワーク認証システムの構成を示す図である。
【図２】本実施形態に係るユーザ端末の構成を示す図である。
【図３】本実施形態に係る認証サーバの構成を示す図である。
【図４】本実施形態に係る機能提供サーバの構成を示す図である。
【図５】本実施形態に係るネットワーク認証システムの処理を示す図である。
【図６】シングルサインオンを実行するシステムの構成および処理を説明するための図である。
【発明を実施するための形態】
【００３３】
以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。
【００３４】
図１から図５を用いて、本実施形態に係るネットワーク認証システムについて説明する。
【００３５】
＜ネットワーク認証システムの構成＞
図１を用いて、本実施形態に係るネットワーク認証システムの構成について説明する。
【００３６】
本実施形態に係るネットワーク認証システムは、ユーザ端末１と、認証サーバ２と、サービス提供サーバ３と、機能提供サーバ４とから構成されている。ここで、ユーザ端末１とサービス提供サーバ３との間は、認証サーバ２を介したシングルサインオンにより、ユーザ認証がなされている。
【００３７】
また、機能提供サーバ４は、シングルサインオンや、その後のサービ利用などのセッションの管理や、ユーザの情報、サービス利用時の状態などの管理を行う。本実施形態にネットワーク認証システムは、ユーザ端末１とサービス提供サーバ３との間で、認証サーバ２を介したシングルサインオンにより用いられたクッキーファイルを利用できないユーザ端末１と機能提供サーバ４とのユーザ認証をブラウザに依存しないプロトコルを用いて実行するものである。なお、ユーザ端末１と機能提供サーバ４との間には、安全な通信路が形成されている。これにより、ユーザ端末１と機能提供サーバ４との間で、交換される認証用ファイルの漏洩を防止して、ユーザのプライバシーを保護することができる。さらに、機能提供のサーバでのファイルの検証の際に、当該ファイルの失効状態を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【００３８】
＜ユーザ端末の構成＞
図２を用いて、本実施形態に係るユーザ端末の構成について説明する。
【００３９】
本実施形態に係るユーザ端末は、図２に示すように、認証要求送信部１１と、受信部１２と、ファイル格納部１３と、認証要求送信部１４とから構成されている。
【００４０】
認証要求送信部１１は、認証サーバ２へ認証要求を送信する。受信部１２は、認証サーバ２における認証処理の完了後に、作成したユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイル（例えば、クッキーファイル）と認証用ファイルとを受信する。
【００４１】
ファイル格納部１３は、受信部１２が受信したユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイル（例えば、クッキーファイル）と認証用ファイルとを格納する。認証要求送信部１４は、機能提供サーバ４に対して、認証用ファイルとともに、認証要求を送信する。
【００４２】
＜認証サーバの構成＞
図３を用いて、本実施形態に係る認証サーバの構成について説明する。
【００４３】
本実施形態に係る認証サーバは、図３に示すように、認証要求受信部２１と、認証処理部２２と、ファイル作成部２３と、認証ファイル送信部２４と、ＩＤ受信部２５と、有効性確認部２６と、有効性送信部２７とから構成されている。
【００４４】
認証要求受信部２１は、ユーザ端末１から認証用ファイルとともに、認証要求を受信する。認証処理部２２は、受信した認証用ファイルに基づいて、ユーザ認証を実行する。ファイル作成部２３は、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイル（例えば、クッキーファイル）と認証用ファイルとを作成する。なお、認証用ファイルには、ユーザの識別子、ユーザの認証状態（認証済みであること）と、有効期限が記されており、認証サーバの署名が施されている。認証ファイル送信部２４は、作成したファイルをユーザ端末１に送信する。
【００４５】
ＩＤ受信部２５は、機能提供サーバ４が認証用ファイル自体の有効性を確認するために、その確認要求とともに、一意のＩＤを受信する。有効性確認部２６は、受信したＩＤに基づき、失効リストを検索して、失効確認を行うことにより、認証用ファイル自体の有効性を確認する。有効性送信部２７は、確認結果、すなわち、認証用ファイルの失効状態を機能提供サーバ４に送信する。
【００４６】
＜機能提供サーバの構成＞
図４を用いて、本実施形態に係る機能提供サーバの構成について説明する。
【００４７】
本実施形態に係る機能提供サーバは、図４に示すように、認証要求受信部４１と、認証検証部４２と、ＩＤ送信部４３と、確認結果受信部４４と、情報提供部４５とから構成されている。
【００４８】
認証要求受信部４１は、ユーザ端末１から認証用ファイルとともに、認証要求を受信する。認証検証部４２は、された認証用ファイルの署名を検証し、その正当性を確認する。その後、認証用ファイル内に記されているユーザのＩＤと有効期限を確認し、ユーザの認証を完了する。
【００４９】
ＩＤ送信部４３は、認証用ファイル自体の有効性を確認するために、その確認要求とともに、一意のＩＤを送信する。確認結果受信部４４は、認証サーバ２から認証用ファイルの有効性に関する確認結果を受信する。情報提供部４５は、認証用ファイルの有効性が確認された後に、プラットフォームの機能を提供する。
【００５０】
＜ネットワーク認証システムの処理＞
図５を用いて、本実施形態に係る機能提供サーバの処理について説明する。
【００５１】
まず、前提条件として、ユーザ端末１は、サービス提供サーバ３からのサービスの提供に関して、認証サーバ２からユーザ認証されている。ユーザ端末１は、認証サーバ２へＩＤとパスワード等とともに認証要求を送信する（ステップＳ１０１）。認証サーバ２は、受信した認証要求に対して、認証を行い（ステップＳ１０２）、認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成する（ステップＳ１０３）。そして、認証サーバ２は、作成したファイルをユーザ端末１に送信する（ステップＳ１０４）。
【００５２】
ユーザ端末１は、受信したこれらのファイルを格納し（ステップＳ１０５）、機能提供サーバ４に対して、認証用ファイルとともに、認証要求を送信する（ステップＳ１０６）。機能提供サーバ４は、認証ファイルの検証を行い（ステップＳ１０７）、認証用ファイルの有効性を確認するために、一意のＩＤとともに、確認要求を送信する（ステップＳ１０８）。
【００５３】
認証サーバ２は、受信したＩＤに基づき、失効リストを検索して、失効確認を行うことにより、認証用ファイル自体の有効性を確認し（ステップＳ１０９）、有効性に関する確認結果を通知する（ステップＳ１１０）。そして、機能提供サーバ４は、認証用ファイルの有効性が確認された後に、プラットフォームの機能を提供する（ステップＳ１１１）。
【００５４】
したがって、本実施形態によれば、ブラウザリダイレクトを用いるシングルサインオンであっても、別途機能を提供する機能提供サーバとの認証において、非ブラウザ依存のプロトコルを利用することが可能となる。また、機能提供サーバにおいて認証サーバの署名を検証することができるため、高速に認証を完了することができる。さらに、機能提供のサーバでのファイルの検証の際に、当該ファイルの失効状態を認証サーバが確認するため、認証ファイルの有効性を厳密に確認できる。
【００５５】
なお、ネットワーク認証システムの処理をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをユーザ端末、認証サーバおよび機能提供サーバに読み込ませ、実行することによって本発明のネットワーク認証システムを実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。
【００５６】
また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００５７】
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００５８】
以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【符号の説明】
【００５９】
１；ユーザ端末
２；認証サーバ
３；サービス提供サーバ
４；機能提供サーバ
１１；認証要求送信部
１２；受信部
１３；ファイル格納部
１４；認証要求送信部
２１；認証要求受信部
２２；認証処理部
２３；ファイル作成部
２４；認証ファイル送信部
２５；ＩＤ受信部
２６；有効性確認部
２７；有効性送信部
４１；認証要求受信部
４２；認証検証部
４３；ＩＤ送信部
４４；結果受信部
４５；情報提供部
【特許請求の範囲】
【請求項１】
ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムであって、
前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、
前記ユーザ端末が、
前記認証サーバへ認証要求を送信する第１の送信手段を備え、
前記認証サーバが、
受信した認証要求に対して、認証を行う認証処理手段と、
該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成するファイル作成手段と、
該作成したファイルを前記ユーザ端末に送信する第２の送信手段と、を備え、
前記ユーザ端末が、
受信した前記ファイルを格納する格納手段と、
前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第３の送信手段と、を備え、
前記機能提供サーバが、
前記認証用ファイルの検証を行う検証手段と、
前記認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第４の送信手段と、
を備え、
前記認証サーバが、
受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する確認手段と、
該確認結果を前記機能提供サーバに送信する第５の送信手段と、
を備え、
前記機能提供サーバが、該確認が完了した後に、情報提供を行う情報提供手段と、
を備えたことを特徴とするネットワーク認証システム。
【請求項２】
前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからシングルサインオンによりユーザ認証されていることを特徴とする請求項１に記載のネットワーク認証システム。
【請求項３】
前記ユーザを識別するためのファイルがクッキーファイルであることを特徴とする請求項１に記載のネットワーク認証システム。
【請求項４】
前記認証用ファイルに、少なくともユーザの識別子、ユーザの認証情報、有効期限、認証サーバの署名が含まれていることを特徴とする請求項１に記載のネットワーク認証システム。
【請求項５】
前記検証手段が、認証サーバの署名、ユーザの識別子および有効期限を確認することにより検証を行うことを特徴とする請求項４に記載のネットワーク認証システム。
【請求項６】
前記確認手段が、前記ＩＤに基づいて、前記認証用ファイルの失効確認を行うことを特徴とする請求項１に記載のネットワーク認証システム。
【請求項７】
前記ユーザ端末と機能提供サーバとの間には、安全な通信路が形成されていることを特徴とする請求項１に記載のネットワーク認証システム。
【請求項８】
ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムにおけるネットワーク認証方法であって、
前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、
前記ユーザ端末が、前記認証サーバへ認証要求を送信する第１のステップと、
前記認証サーバが、受信した認証要求に対して、認証を行う第２のステップと、
前記認証サーバが、該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成する第３のステップと、
前記認証サーバが、該作成したファイルを前記ユーザ端末に送信する第４のステップと、
前記ユーザ端末が、受信した前記ファイルを格納する第５のステップと、
前記ユーザ端末が、前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第６のステップと、
前記機能提供サーバが、認証ファイルの検証を行う第７のステップと、
前記機能提供サーバが、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第８のステップと、
前記認証サーバが、受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する第９のステップと、
前記認証サーバが、該確認結果を前記機能提供サーバに送信する第１０のステップと、
前記機能提供サーバが、該確認が完了した後に、情報提供を行う第１１のステップと、
を備えたことを特徴とするネットワーク認証方法。
【請求項９】
ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムにおけるネットワーク認証方法をコンピュータに実行させるためのプログラムであって、
前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、
前記ユーザ端末が、前記認証サーバへ認証要求を送信する第１のステップと、
前記認証サーバが、受信した認証要求に対して、認証を行う第２のステップと、
前記認証サーバが、該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成する第３のステップと、
前記認証サーバが、該作成したファイルを前記ユーザ端末に送信する第４のステップと、
前記ユーザ端末が、受信した前記ファイルを格納する第５のステップと、
前記ユーザ端末が、前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第６のステップと、
前記機能提供サーバが、認証ファイルの検証を行う第７のステップと、
前記機能提供サーバが、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第８のステップと、
前記認証サーバが、受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する第９のステップと、
前記認証サーバが、該確認結果を前記機能提供サーバに送信する第１０のステップと、
前記機能提供サーバが、該確認が完了した後に、情報提供を行う第１１のステップと、
をコンピュータに実行させるためのプログラム。
【請求項１】
ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムであって、
前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、
前記ユーザ端末が、
前記認証サーバへ認証要求を送信する第１の送信手段を備え、
前記認証サーバが、
受信した認証要求に対して、認証を行う認証処理手段と、
該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成するファイル作成手段と、
該作成したファイルを前記ユーザ端末に送信する第２の送信手段と、を備え、
前記ユーザ端末が、
受信した前記ファイルを格納する格納手段と、
前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第３の送信手段と、を備え、
前記機能提供サーバが、
前記認証用ファイルの検証を行う検証手段と、
前記認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第４の送信手段と、
を備え、
前記認証サーバが、
受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する確認手段と、
該確認結果を前記機能提供サーバに送信する第５の送信手段と、
を備え、
前記機能提供サーバが、該確認が完了した後に、情報提供を行う情報提供手段と、
を備えたことを特徴とするネットワーク認証システム。
【請求項２】
前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからシングルサインオンによりユーザ認証されていることを特徴とする請求項１に記載のネットワーク認証システム。
【請求項３】
前記ユーザを識別するためのファイルがクッキーファイルであることを特徴とする請求項１に記載のネットワーク認証システム。
【請求項４】
前記認証用ファイルに、少なくともユーザの識別子、ユーザの認証情報、有効期限、認証サーバの署名が含まれていることを特徴とする請求項１に記載のネットワーク認証システム。
【請求項５】
前記検証手段が、認証サーバの署名、ユーザの識別子および有効期限を確認することにより検証を行うことを特徴とする請求項４に記載のネットワーク認証システム。
【請求項６】
前記確認手段が、前記ＩＤに基づいて、前記認証用ファイルの失効確認を行うことを特徴とする請求項１に記載のネットワーク認証システム。
【請求項７】
前記ユーザ端末と機能提供サーバとの間には、安全な通信路が形成されていることを特徴とする請求項１に記載のネットワーク認証システム。
【請求項８】
ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムにおけるネットワーク認証方法であって、
前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、
前記ユーザ端末が、前記認証サーバへ認証要求を送信する第１のステップと、
前記認証サーバが、受信した認証要求に対して、認証を行う第２のステップと、
前記認証サーバが、該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成する第３のステップと、
前記認証サーバが、該作成したファイルを前記ユーザ端末に送信する第４のステップと、
前記ユーザ端末が、受信した前記ファイルを格納する第５のステップと、
前記ユーザ端末が、前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第６のステップと、
前記機能提供サーバが、認証ファイルの検証を行う第７のステップと、
前記機能提供サーバが、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第８のステップと、
前記認証サーバが、受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する第９のステップと、
前記認証サーバが、該確認結果を前記機能提供サーバに送信する第１０のステップと、
前記機能提供サーバが、該確認が完了した後に、情報提供を行う第１１のステップと、
を備えたことを特徴とするネットワーク認証方法。
【請求項９】
ユーザ端末と認証サーバとプラットフォーム機能を提供する機能提供サーバとサービス提供サーバとからなるネットワーク認証システムにおけるネットワーク認証方法をコンピュータに実行させるためのプログラムであって、
前記ユーザ端末は、前記サービス提供サーバからのサービスの提供に関して、前記認証サーバからユーザ認証されており、
前記ユーザ端末が、前記認証サーバへ認証要求を送信する第１のステップと、
前記認証サーバが、受信した認証要求に対して、認証を行う第２のステップと、
前記認証サーバが、該認証処理の完了後に、ユーザ情報やユーザのアクセス履歴等のユーザを識別するためのファイルと認証用ファイルとを作成する第３のステップと、
前記認証サーバが、該作成したファイルを前記ユーザ端末に送信する第４のステップと、
前記ユーザ端末が、受信した前記ファイルを格納する第５のステップと、
前記ユーザ端末が、前記機能提供サーバに対して、前記認証用ファイルとともに、認証要求を送信する第６のステップと、
前記機能提供サーバが、認証ファイルの検証を行う第７のステップと、
前記機能提供サーバが、認証用ファイル自体の有効性を確認するために、一意のＩＤを前記認証サーバに送信する第８のステップと、
前記認証サーバが、受信した前記ＩＤに基づいて、前記認証用ファイル自体の有効性を確認する第９のステップと、
前記認証サーバが、該確認結果を前記機能提供サーバに送信する第１０のステップと、
前記機能提供サーバが、該確認が完了した後に、情報提供を行う第１１のステップと、
をコンピュータに実行させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１１−１７５５９１（Ｐ２０１１−１７５５９１Ａ）
【公開日】平成２３年９月８日（２０１１．９．８）
【国際特許分類】
【出願番号】特願２０１０−４０８５７（Ｐ２０１０−４０８５７）
【出願日】平成２２年２月２５日（２０１０．２．２５）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２１年度、独立行政法人情報通信研究機構「高度通信・放送研究開発委託研究／端末プラットフォーム技術に関する研究開発」、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（５９９１０８２６４）株式会社ＫＤＤＩ研究所 (233)
【Ｆターム（参考）】
【公開日】平成２３年９月８日（２０１１．９．８）
【国際特許分類】
【出願日】平成２２年２月２５日（２０１０．２．２５）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２１年度、独立行政法人情報通信研究機構「高度通信・放送研究開発委託研究／端末プラットフォーム技術に関する研究開発」、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（５９９１０８２６４）株式会社ＫＤＤＩ研究所 (233)
【Ｆターム（参考）】
[ Back to top ]