パーティ間の推移的信用に基づいてユーザのデジタルアイデンティティを受け入れる方法及び装置
【課題】パーティ間の推移的信用に基づいてユーザのデジタルアイデンティティを受け入れるための方法及び装置を提供すること。
【解決手段】本発明の一態様は、ユーザのデジタルアイデンティティを管理することに関する。自己表明型クレームを含むようなデジタルアイデンティティが第１のパーティへ与えられる。受入れトークンがその第１のパーティから得られる。その受入れトークンは、その第１のパーティによる自己表明型クレームの認証を示している。受入れトークンに基づく第２のパーティによる自己表明型クレームの妥当性検証を要求するため、それらデジタルアイデンティティ及び受入れトークンが第２のパーティへ与えられる。
【解決手段】本発明の一態様は、ユーザのデジタルアイデンティティを管理することに関する。自己表明型クレームを含むようなデジタルアイデンティティが第１のパーティへ与えられる。受入れトークンがその第１のパーティから得られる。その受入れトークンは、その第１のパーティによる自己表明型クレームの認証を示している。受入れトークンに基づく第２のパーティによる自己表明型クレームの妥当性検証を要求するため、それらデジタルアイデンティティ及び受入れトークンが第２のパーティへ与えられる。
【発明の詳細な説明】
【発明の分野】
【０００１】
[0001]本発明の実施形態は、一般に、デジタルアイデンティティ管理に関する。より詳細には、本発明は、パーティ間の推移的信用に基づいてユーザのデジタルアイデンティティを受け入れるための方法及び装置に関する。
【関連技術の説明】
【０００２】
[0002]インターネットの如きコンピュータネットワークにおいて、ユーザは、典型的には、特定のアプリケーション又はサービスが要求するところに従って個人及び秘密情報を送信する。ある場合において、このような秘密情報は、ユーザが後でアクセスするため、遠隔ホストによって記憶される。これらアプリケーションは、典型的には、そのような秘密情報を受け入れる前に、又はそのような情報へのアクセスを許す前に、ユーザの認証を行う。認証のための１つの良く知られたシナリオは、ネットワークを通してユーザ名及びパスワードをインターネット上のウエブサイトの如きアプリケーションへ送信することを含む。認証のための別の最近のより安全な機構は、デジタルアイデンティティを使用することを含む。ネットワークを通して送信されるとき、デジタルアイデンティティは、セキュリティートークン（トークンとも称される）によって表される。トークンは、デジタルアイデンティティによって送信される全情報のある部分を各々が含む１つ以上のクレーム（ＣＬＡＩＭ）を含む。例えば、トークンは、ユーザ名、パスワード、クレジットカード番号及び／又は無数の他のタイプの情報に対するクレームを含む。
【０００３】
[0003]あるデジタルアイデンティティ管理システムによれば、２つのタイプのデジタルアイデンティティ、即ち、自己表明型アイデンティティ及び被管理アイデンティティが管理される。これらの２つのタイプのアイデンティティを区別するためには、３つの異なる役割を定めるのが有用である。ユーザは、デジタルアイデンティティに関連付けられたエンティティである。アイデンティティプロバイダーは、ユーザにデジタルアイデンティティを与えるエンティティである。信頼パーティは、デジタルアイデンティティに何らかの仕方で頼るエンティティである。例えば、信頼パーティは、ユーザを認証するためそのデジタルアイデンティティを使用する。自己表明型アイデンティティは、ユーザとアイデンティティプロバイダーとが１つで同じであるような場合のものである。例えば、ユーザがアマゾンドットコムの如きオンラインプロバイダーでアカウントを生成している場合には、そのユーザは、自分自身のアイデンティティ（例えば、ユーザ名及びパスワード）を生成しているのである。被管理アイデンティティは、情報が第三者により支持され、従って、より信用できるものであると推定されるようなより強い形式のデジタルアイデンティティである。即ち、ユーザとは無関係のアイデンティティプロバイダーにより、そのユーザへデジタルアイデンティティが与えられるのである。
【０００４】
[0004]自己表明型アイデンティティの場合には、信頼パーティは、ユーザ及びそのユーザの自己表明型クレームの妥当性検証をするのに信頼パーティ自身の処理を使用しなければならない。被管理アイデンティティの場合には、ユーザは、典型的には、アイデンティティプロバイダーからそのアイデンティティを得るため直接的又は間接的料金を支払うことを必要とされる。その上、信頼パーティは、そのアイデンティティプロバイダーを知り、ユーザに対して発行された被管理アイデンティティを受け入れる前に、そのアイデンティティプロバイダーのポリシーを知らねばならない。もし、ユーザでないならば、信頼パーティは、典型的には、その発行されたアイデンティティを使用するためそのアイデンティティプロバイダーに支払をすることが必要とされる。従って、ユーザ、信頼パーティ及びアイデンティティプロバイダーの間でのデジタルアイデンティティの確立及び使用に関連付けられたコストを減少又は排除するようなアイデンティティ管理機構が当業分野において必要とされている。
【発明の概要】
【０００５】
[0005]パーティ間の推移的信用に基づいてユーザのデジタルアイデンティティを受け入れるための方法及び装置を提供する。本発明の一態様は、ユーザのデジタルアイデンティティを管理することに関する。自己表明型クレームを含むデジタルアイデンティティが第１のパーティに付与される。受入れトークンがその第１のパーティから得られる。その受入れトークンは、その第１のパーティによる自己表明型クレームの認証を示している。それらデジタルアイデンティティ及び受入れトークンは第２のパーティに付与されて、受入れトークンに基づいて第２のパーティによる自己表明型クレームの妥当性検証が要求される。
【０００６】
[0006]別の実施形態では、自己表明型クレームを含むデジタルアイデンティティが、コンピュータから第１のパーティに付与される。その自己表明型クレームは、その第１のパーティにて妥当性検証される。受入れトークンがその第１のパーティからそのコンピュータへと送られる。その受入れトークンは、その第１のパーティによるその自己表明型クレームの認証を示している。それらデジタルアイデンティティ及び受入れトークンは、そのコンピュータから第２のパーティに付与される。その自己表明型クレームは、その受入れトークン及びその第１のパーティとその第２のパーティとの間に確立される推移的信用に基づいて、その第２のパーティにて妥当性検証される。
【０００７】
[0007]本発明の前述した特徴を詳細に理解できるように、その概要を簡単に前述したような本発明について、図面に幾つかを例示している実施形態に関連して、以下より詳細に説明する。しかしながら、添付図面は、本発明の典型的な実施態様のみを例示しているのであり、それらに本発明の範囲を限定しようとしているものではなく、本発明は、その他の均等の効果のある実施形態が考えられるものであることに注意されたい。
【詳細な説明】
【０００８】
[0011]図１は、本発明の１つ以上の態様によるネットワークコンピュータシステム１００の典型的な実施形態を示すブロック図である。このシステム１００は、コンピュータ１０４に結合されるネットワーク１０２を含む。コンピュータ１０４は、プロセッサ１０８，メモリ１１４、種々のサポート回路１１０、入出力インターフェース１０６を含むものとして例示されている。プロセッサ１０８は、当業分野において知られている１つ以上のマイクロプロセッサを含むことができる。プロセッサ１０８のためのサポート回路１１０は、通常のキャッシュ、電力供給装置、クロック回路、データレジスタ、入出力インターフェース等を含む。入出力インターフェース１０６は、メモリ１１４に直接結合することもできるし、又は、プロセッサ１０８を通してメモリ１１４に結合することもできる。入出力インターフェース１０６は、ネットワーク装置、種々の記憶装置、マウス、キーボード、ディスプレイ等の如き入力装置１１１及び／又は出力装置１１３と通信するように構成しておくこともできる。入出力インターフェース１０６は、ネットワーク１０２にも結合される。ネットワーク１０２は、ワイヤ、ケーブル、ファイバーオプチック及び／又はハブ、スイッチ、ルーター等の如き種々のタイプの良く知られたネットワーク要素により実施されるワイヤレスリンクによりコンピュータシステムを接続する通信システムを備える。ネットワーク１０２は、情報を通信するため、種々の良く知られたプロトコルを使用することができる。例えば、ネットワーク１０２は、インターネットの部分である。
【０００９】
[0012]メモリ１１４は、プロセッサ１０８によって実行及び／又は使用されるプロセッサ実行可能な命令及び／又はデータを記憶する。これらプロセッサ実行可能な命令は、ハードウエア、ファームウエア、ソフトウエア等又はそれらの組合せを含むことができる。メモリ１１４に記憶されたプロセッサ実行可能な命令を有するモジュールは、アイデンティティマネージャー１１６を含むことができる。コンピュータ１０４は、良く知られたプラットフォームのなかでも、オーエスツー、ジャバ仮想マシン、リナックス、ソラリス、ユニックス、エイチピーユーエックス、エーアイエックス、ウインドーズ、ウインドーズ９５、ウインドーズ９８、ウインドーズＮＴ、ウインドーズ２０００、ウインドーズＭＥ、ウインドーズＸＰ、ウインドーズサーバーを含むことのできるオペレーティングシステム１２４でプログラムされることができる。オペレーティングシステム１２４の少なくとも一部分は、メモリ１１４に配設することができる。メモリ１１４は、ランダムアクセスメモリ、リードオンリーメモリ、磁気抵抗効果リード／ライトメモリ、光リード／ライトメモリ、キャッシュメモリ、磁気リード／ライトメモリ等並びに以下に説明するような信号担持媒体のうちの１つ以上のものを含むことができる。
【００１０】
[0013]アイデンティティマネージャー１１６は、コンピュータ１０４の１人以上のユーザのためのデジタルアイデンティティを管理するように構成されている。一般的に、デジタルアイデンティティは、このデジタルアイデンティティによって送信される全情報のうちのある部分を各々が含む１つ以上のクレームを有するセキュリティートークン（トークン）によって表される。デジタルアイデンティティは、Ｅメールアドレスのように簡単なものであることができるし、又は、ユーザ名、パスワード、クレジットカード番号、ソーシャルセキュリティー番号及び／又は無数の他のタイプの情報の如きより多くの情報を含むこともできる。トークンは、Ｘ.５０９証明書、ケルベロスチケット等を含めて、種々の良く知られたフォーマットであることができる。トークンは、セキュリティーアサーションマークアップ言語（ＳＡＭＬ）の如き標準言語を使用して生成することもできる。トークンの一実施形態は、マイクロソフトカードスペースである。他の実施形態としては、オープンＩＤ、軽量アイデンティティプロトコル（ＬＩＤ）、安全拡張アイデンティティプロトコル（ＳＸＩＰ）等に従うトークンがある。
【００１１】
[0014]一実施形態では、アイデンティティマネージャー１１６は、自己表明型アイデンティティ１５０を管理する。自己表明型アイデンティティの各々は、１つ以上の自己表明型クレームを含む。例えば、ユーザは、自分のＥメールアドレスのためのクレームを有する自己表明型アイデンティティを確立することができる。特に、どのビジネスモデルも被管理アイデンティティを使用することを要求しているとは限らない。ある信頼パーティは、ユーザがユニークユーザであることを知るだけでよいとし、ユーザＥメールアドレス等を要求するだけである。このような信頼パーティの場合には、ユーザは、Ｅメールアドレスの如き要求される識別符号を有する自己表明型アイデンティティを使用して自身を同定することができる。本発明の一態様によれば、自己表明型アイデンティティは、他のパーティがそのアイデンティティを受け入れた（従って、妥当性検証した）ことを示す情報を含む。もし、所定のパーティがそれらの他のパーティを信用できるものと考える場合には、そのパーティは、それら他のパーティによる受入れにのみ基づいてその自己表明型アイデンティティを受け入れることを選択することができる。即ち、信頼パーティのあるグループは、互いの間で「推移的信用」を確立して、それらパーティのうちの１人により受け入れたユーザによる自己表明型クレームを、そのグループにおける他のパーティのすべてが受け入れるというようにすることができる。従って、信用が確立されるとき、他のパーティは、その自己表明型アイデンティティを妥当性検証しなければならないというような負担を避けることができる。
【００１２】
[0015]図２は、本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法の典型的な実施形態を示すフロー図である。この方法２００は、コンピュータ１０４によって行われる方法２０１、信頼パーティ１２８によって行われる方法２０２及び信頼パーティ１３０によって行われる方法２０３を含む。この実施形態では、ユーザは、初期的に、自己表明型アイデンティティを信頼パーティ１２８へ提示し、その信頼パーティ１２８がそれにおける１つ以上のクレームを妥当性検証する。信頼パーティ１２８と信頼パーティ１３０とは、互いの間で推移的信用を確立している。そのユーザがその自己表明型アイデンティティを信頼パーティ１３０へ提示するとき、その信頼パーティ１３０は、信頼パーティ１２８がそのアイデンティティを正当であると受け入れした事実に基づいて、そのアイデンティティを正当であると見なす。
【００１３】
[0016]詳述するに、方法２０１は、ステップ２０４で始まり、このステップ２０４において、コンピュータ１０４のユーザは、自己表明型デジタルアイデンティティを信頼パーティ１２８へ提示する。そのユーザは、典型的には、信頼パーティ１２８による要求に応答してその自己表明型アイデンティティを与える。信頼パーティ１２８は、典型的には、特定のフォーマットを有し特定の１つのクレーム又は複数のクレームを含むユーザのデジタルアイデンティティを要求する。例えば、ユーザは、その信頼パーティとのアカウントを確立しようとする、又は、既に確立されたアカウントにアクセスしようとする。
【００１４】
[0017]それから、方法２０２は、ステップ２０６で始まる。このステップ２０６では、信頼パーティ１２８は、その自己表明型デジタルアイデンティティを受け取る。ステップ２０８にて、信頼パーティ１２８は、その自己表明型アイデンティティにおける少なくとも１つのクレームを妥当性検証する。信頼パーティ１２８は、当業分野において良く知られた種々の機構のうちの任意のものを使用して、このような妥当性検証を行うことができる。ステップ２１０にて、信頼パーティ１２８は、そのユーザへ受入れトークンを与える。その受入れトークンは、その信頼パーティ１２８によるその自己表明型クレームの認証を示す情報を含む（即ち、その受入れトークンは、その信頼パーティがそれらクレームを妥当性検証したこと又はその信頼パーティがそれらクレームを真正であるとして信用したことを示している）。一実施形態では、信頼パーティ１２８は、公開キー基盤（ＰＫＩ）システムを使用してその信用を立証する。信頼パーティ１２８は、その自己表明型クレームにデジタル的に署名するか、又は、そのような自己表明型クレームのある表現（例えば、それらクレームのハッシュ）にデジタル的に署名する。このデジタル署名は、非対称暗号化アルゴリズム及びプライベートキーを使用するクレーム（又はクレームの表現）の暗号化を含むことができる。別のパーティは、信頼パーティ１２８の公開キーを使用して、信頼パーティ１２８がそれらクレームにデジタル的に署名したことを検証することができる。他のパーティは、このようなデジタル署名を、信頼パーティ１２８がそれらクレームを真正であるとして信用した証拠として取り扱うことができる。
【００１５】
[0018]一実施形態では、受入れトークンは、その自己表明型クレームが真正であるとされてきた時間期間を示す情報の如きそのユーザと信頼パーティ１２８との間の関係に関連付けられた他のタイプの属性を含む。例えば、もし、信頼パーティ１２８がユーザのＥメールアドレスが真正であることを検証した場合には、信頼パーティ１２８は、そのＥメールアドレスがどのくらい長くそのユーザとの関係の一部であった（例えば、そのＥメールアドレスがＸ月／年の間使用されていた）ことを含めることができる。
【００１６】
[0019]方法２０１に戻って、受入れトークンは、ステップ２１２にて受け取られる。ステップ２１４にて、この受入れトークンは、自己表明型アイデンティティにおけるクレームとして含まれる。一実施形態では、この受入れトークンは、任意的クレームである。即ち、ユーザがその自己表明型アイデンティティをあるパーティへ提示するとき、受入れトークンは、そのユーザの好みに基づいて選択的に送られる。ステップ２１６にて、ユーザは、その自己表明型アイデンティティ及び受入れトークンを信頼パーティ１３０へ提示する。ユーザは、典型的には、信頼パーティ１３０による要求に応答して、その自己表明型アイデンティティを与える。信頼パーティ１３０は、典型的には、特定のフォーマットを有し特定の１つのクレーム又は複数のクレームを含むユーザのデジタルアイデンティティを要求する。例えば、ユーザは、信頼パーティ１３０とのアカウントを確立しようとするか、又は、既に確立されたアカウントにアクセスしようとすることができる。
【００１７】
[0020]それから、方法２０３は、ステップ２１８で始まる。このステップ２１８にて、信頼パーティ１３０は、その自己表明型アイデンティティ及び受入れトークンを受け取る。ステップ２２０にて、信頼パーティ１３０は、その受入れトークンに基づいてその自己表明型クレームを妥当性検証する。即ち、信頼パーティ１３０は、その受入れトークンを、信頼パーティ１２８がその自己表明型クレームが正当であると受け入れた証拠として使用する。もし、信頼パーティ１３０が信頼パーティ１２８を信用できるものであると考える場合には、その信頼パーティ１３０は、その受入れのトークンにのみ基づいてその自己表明型クレームを妥当性検証することができる。換言すると、もし、信頼パーティ１３０が信頼パーティ１２８を信頼できるものであると考える場合には、その自己表明型クレームは、受入れトークンにより支持されていない他のクレームより信頼できるものである。従って、信頼パーティ１３０は、このようなクレームが別の信用できるパーティにより既に妥当性検証されているので、その自己表明型クレームを妥当性検証しなければならいというような負担を負う必要はない。
【００１８】
[0021]前述したように、一実施形態では、信頼パーティ１２８は、受入れのトークンにおけるデジタル署名を含む。ステップ２２０での妥当性検証中に、信頼パーティ１３０は、その受入れのトークンにおけるデジタル署名を認証するため、信頼パーティ１２８の公開キーを得ることができる。従って、信頼パーティ１３０は、信頼パーティ１２８がその自己表明型クレームを受け入れたことを確かめることができる。一実施形態では、信頼パーティ１３０は、信頼パーティ１２８から直接にその公開キーを得ることができるし、又は、公開キーのリストからその公開キーを得ることができる。別の仕方として、信頼パーティ１３０は、ユーザから信頼パーティ１２８のための公開キーを得ることができる。即ち、任意的ステップ２１７にて、ユーザは、信頼パーティ１２８のための公開キーを信頼パーティ１３０へ与える。いかなる場合においても、信頼パーティ１３０によって得られる公開キーは、認証局によって署名されたデジタル証明書の一部でありうる。こうして、信頼パーティ１３０は、その公開キーが真正のものであることを知る。
【００１９】
[0022]単一の自己表明型アイデンティティについて説明してきたのであるが、当業者には、各々が１つ以上の自己表明型クレームを有する複数の自己表明型アイデンティティを使用する場合にも、この方法２００を使用することができることは理解されよう。更に又、２つの信頼パーティのみを示しているが、推移的信用を確立するパーティのグループは、２つより多いパーティを含むことができるものである。
【００２０】
[0023]一実施形態では、アイデンティティマネージャー１１６は、被管理アイデンティティ１５２を管理するように構成される。被管理アイデンティティの各々は、アイデンティティプロバイダーにより支持される１つ以上のクレームを含む。例えば、被管理アイデンティティは、アイデンティティプロバイダーによって妥当性検証されているユーザのＥメールアドレスを含むことができる。本発明の一態様によれば、アイデンティティプロバイダーは、ユーザにより与えられた自己表明型アイデンティティに基づいて被管理アイデンティティを発行する。この場合において、その自己表明型アイデンティティは、他のパーティがそのアイデンティティを受け入れている（従って、妥当性検証している）ことを示す情報を含んでいる。もし、アイデンティティプロバイダーがこれらの他のパーティを信用できるものであると考える場合には、そのアイデンティティプロバイダーは、その他のパーティによる受入れのみに基づいてその被管理アイデンティティを発行することを選択することができる。
【００２１】
[0024]図３は、本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法３００の別の典型的な実施形態を示すフロー図である。この方法３００は、コンピュータ１０４によって行われる方法３０１、信頼パーティ１２８によって行われる方法３０２及びアイデンティティプロバイダー１３２によって行われる方法３０３を含む。この実施形態では、ユーザは、初期的に、信頼パーティ１２８へ自己表明型アイデンティティを提示する。信頼パーティ１２８は、そこにおける１つ以上のクレームを妥当性検証する。信頼パーティ１２８とアイデンティティプロバイダー１３２とは、互いの間に推移的信用を確立している。アイデンティティプロバイダー１３２は、２つのタイプの被管理アイデンティティを発行する。即ち、その一方のタイプの被管理アイデンティティは、アイデンティティプロバイダー１３２自身により妥当性検証された１つ以上のクレームを含むものであり、他方のタイプの被管理アイデンティティは、アイデンティティプロバイダー１３２が信用する１つ以上のパーティ（例えば、信頼パーティ１２８）によって妥当性検証されているクレームを含むものである。その第２のタイプの被管理アイデンティティは、更に、そのアイデンティティプロバイダー１３２が信用する他のパーティがそれらクレームを妥当性検証している事実を伝えるものである。これら他のパーティのアイデンティティは、その被管理アイデンティティ内には含まれていない。ユーザは、この被管理アイデンティティを、アイデンティティプロバイダー１３２との信用を確立している他の信頼パーティへ提示することができる。
【００２２】
[0025]より詳細には、この方法３００は、ステップ３０４で始まり、このステップ３０４にて、コンピュータ１０４のユーザは、自己表明型デジタルアイデンティティを信頼パーティ１２８へ提示する。ユーザは、典型的には、信頼パーティ１２８による要求に応答してその自己表明型アイデンティティを与える。信頼パーティ１２８は、典型的には、特定のフォーマットを有し特定の１つ又は複数のクレームを含むユーザのデジタルアイデンティティを要求する。例えば、ユーザは、信頼パーティ１２８とのアカウントを確立しようとするか、又は、既に確立されたアカウントにアクセスしようとすることができる。
【００２３】
[0026]それから、方法３０２は、ステップ３０６で始まり、このステップ３０６にて、信頼パーティ１２８は、自己表明型デジタルアイデンティティを受け取る。ステップ３０８にて、信頼パーティ１２８は、その自己表明型アイデンティティにおける少なくとも１つのクレームを妥当性検証する。信頼パーティ１２８は、当業分野において良く知られた種々の機構のうちのいずれかを使用して、このような妥当性検証を行うことができる。ステップ３１０にて、信頼パーティ１２８は、ユーザへ受入れトークンを与える。その受入れトークンは、信頼パーティ１２８によるその自己表明型クレームの認証を示す情報を含む（即ち、その受入れトークンは、信頼パーティ１２８がそれらクレームを妥当性検証したこと、又は、信頼パーティ１２８がそれらクレームを真正のものであると信用していること、を示している）。一実施形態では、信頼パーティ１２８は、前述したように、公開キー基盤（ＰＫＩ）システムを使用してこのような信用を立証する。即ち、この受入れトークンは、信頼パーティ１２８のデジタル署名を含むことができる。一実施形態では、この受入れトークンは、その自己表明型クレームが真正なものであるとされてきた時間期間を示す情報の如き、ユーザと信頼パーティとの間の関係と関連付けられた他のタイプの属性を含む。
【００２４】
[0027]方法３０１に戻って、受入れトークンがステップ３１２にて受け取られる。ステップ３１４にて、受入れトークンは、自己表明型アイデンティティにおいてクレームとして含ませられる。一実施形態では、受入れトークンは、任意的クレームである。即ち、ユーザがその自己表明型アイデンティティをあるパーティへ提示するとき、受入れトークンは、そのユーザの好みに基づいて選択的に送られる。ステップ３１６にて、ユーザは、その自己表明型アイデンティティ及び受入れトークンをアイデンティティプロバイダー１３２へ提示する。ユーザは、被管理アイデンティティを得るために、自己表明型アイデンティティをアイデンティティプロバイダー１３２へ提示することができる。
【００２５】
[0028]方法３０３は、ステップ３１６で始まり、このステップ３１８で、アイデンティティプロバイダー１３２は、自己表明型アイデンティティ及び受入れトークンを受け取る。ステップ３２０にて、アイデンティティプロバイダー１３２は、受入れトークンに基づいてその自己表明型クレームを妥当性検証する。即ち、アイデンティティプロバイダー１３２は、信頼パーティ１２８がその自己表明型クレームが正当なものであると受け入れた証拠としてその受入れトークンを使用する。もし、アイデンティティプロバイダー１３２がその信頼パーティ１２８を信用できるものと考える場合には、そのアイデンティティプロバイダー１３２は、その受入れのトークンのみに基づいてその自己表明型クレームを妥当性検証することができる。
【００２６】
[0029]前述したように、一実施形態では、信頼パーティ１２８は、その受入れのトークンにデジタル署名を含ませる。ステップ３２０での妥当性検証中に、アイデンティティプロバイダー１３２は、その受入れのトークンにおけるデジタル署名を認証するため、その信頼パーティ１２８の公開キーを得ることができる。従って、アイデンティティプロバイダー１３２は、その信頼パーティ１２８がその自己表明型クレームを受け入れたことを確かめることができる。一実施形態では、アイデンティティプロバイダー１３２は、信頼パーティ１２８から直接的に公開キーを得ることができるし、又は、公開キーのリストからその公開キーを得ることができる。別の仕方として、アイデンティティプロバイダー１３２は、ユーザからその信頼パーティ１２８に対する公開キーを得ることができる。即ち、任意的ステップ３１７にて、ユーザは、その信頼パーティ１２８に対する公開キーをアイデンティティプロバイダー１３２へ与える。いずれの場合にも、アイデンティティプロバイダー１３２により得られた公開キーは、認証局によって署名されたデジタル証明書の一部でありうる。このようにして、アイデンティティプロバイダー１３２は、その公開キーが真正のものであることを知る。
【００２７】
[0030]ステップ３２２にて、アイデンティティプロバイダー１３２は、それら自己表明型クレームを有する被管理アイデンティティを生成する。この被管理アイデンティティは、そのアイデンティティプロバイダー１３２が１つ以上の信頼パーティとの推移的信用に基づいてそこにあるクレームを妥当性検証したことを示す情報を含む。アイデンティティプロバイダー１３２は、その被管理アイデンティティにデジタル的に署名し、その被管理アイデンティティがそのアイデンティティプロバイダー１３２から発せられたものであることを他のパーティが検証することができるようにする。ステップ３２４にて、アイデンティティプロバイダー１３２は、その被管理アイデンティティをユーザへ送る。方法３０１に戻って、ステップ３２６にて、ユーザは、そのアイデンティティプロバイダー１３２からその被管理アイデンティティを受け取る。ステップ３２８にて、ユーザは、その被管理アイデンティティを１つ以上の信頼パーティへ提示する。
【００２８】
[0031]単一の自己表明型アイデンティティ及びそれに対応する被管理アイデンティティについて説明してきたのであるが、当業者には、各々が１つ以上の自己表明型クレームを有し、各々が個々の被管理アイデンティティを生ずるような複数の自己表明型アイデンティティを使用する場合にも、この方法３００を使用することができるものであることは理解されよう。
【００２９】
[0032]本発明の一態様は、コンピュータシステムで使用するためのプログラム製品として実施される。このプログラム製品のプログラムは、実施形態の機能を定めており、種々の信号担持媒体に含ませることができ、これは、これに限定されるものではないが、（i）非書き込み記憶媒体（例えば、ＣＤ-ＲＯＭドライブ又はＤＶＤドライブによって読み取り可能なＣＤ-ＲＯＭ又はＤＶＤ-ＲＯＭディスクの如きコンピュータ内のリードオンリーメモリ装置）に恒久的に記憶された情報、（ii）書き込み可能記憶媒体（例えば、ディスケットドライブ又はハードディスクドライブ内のフロッピーディスク又は読み取り／書き込み可能ＣＤ又は読み取り／書き込み可能ＤＶＤ）に記憶された変更可能な情報、又は（iii）ワイヤレス通信を含むコンピュータ又は電話ネットワークを介しての如き通信媒体によってコンピュータへ送信される情報、を含む。後者の実施形態は、特に、インターネット及び他のネットワークからダウンロードされる情報を含む。このような信号担持媒体は、本発明の機能を指示するコンピュータ読み取り可能な命令を担持するとき、本発明の実施形態となっている。
【００３０】
[0033]本発明の実施形態について前述してきたのであるが、本発明の基本的範囲から逸脱せずに、本発明の他の更なる実施形態を考えることができるものであり、本発明の範囲は、特許請求の範囲によって決定されるものである。
【図面の簡単な説明】
【００３１】
【図１】本発明の１つ以上の態様によるネットワークコンピュータシステムの典型的な実施形態を示すブロック図である。
【図２】本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法の典型的な実施形態を示すフロー図である。
【図３】本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法の別の典型的な実施形態を示すフロー図である。
【符号の説明】
【００３２】
１００・・・ネットワークコンピュータシステム、１０２・・・ネットワーク、１０４・・・コンピュータ、１０６・・・入出力インターフェース、１０８・・・プロセッサ、１１０・・・サポート回路、１１１・・・入力装置、１１３・・・出力装置、１１４・・・メモリ、１１６・・・アイデンティティマネージャー、１２８・・・信頼パーティ、１３０・・・信頼パーティ、１３２・・・アイデンティティプロバイダー、１５０・・・自己表明型アイデンティティ、１５２・・・被管理アイデンティティ
【発明の分野】
【０００１】
[0001]本発明の実施形態は、一般に、デジタルアイデンティティ管理に関する。より詳細には、本発明は、パーティ間の推移的信用に基づいてユーザのデジタルアイデンティティを受け入れるための方法及び装置に関する。
【関連技術の説明】
【０００２】
[0002]インターネットの如きコンピュータネットワークにおいて、ユーザは、典型的には、特定のアプリケーション又はサービスが要求するところに従って個人及び秘密情報を送信する。ある場合において、このような秘密情報は、ユーザが後でアクセスするため、遠隔ホストによって記憶される。これらアプリケーションは、典型的には、そのような秘密情報を受け入れる前に、又はそのような情報へのアクセスを許す前に、ユーザの認証を行う。認証のための１つの良く知られたシナリオは、ネットワークを通してユーザ名及びパスワードをインターネット上のウエブサイトの如きアプリケーションへ送信することを含む。認証のための別の最近のより安全な機構は、デジタルアイデンティティを使用することを含む。ネットワークを通して送信されるとき、デジタルアイデンティティは、セキュリティートークン（トークンとも称される）によって表される。トークンは、デジタルアイデンティティによって送信される全情報のある部分を各々が含む１つ以上のクレーム（ＣＬＡＩＭ）を含む。例えば、トークンは、ユーザ名、パスワード、クレジットカード番号及び／又は無数の他のタイプの情報に対するクレームを含む。
【０００３】
[0003]あるデジタルアイデンティティ管理システムによれば、２つのタイプのデジタルアイデンティティ、即ち、自己表明型アイデンティティ及び被管理アイデンティティが管理される。これらの２つのタイプのアイデンティティを区別するためには、３つの異なる役割を定めるのが有用である。ユーザは、デジタルアイデンティティに関連付けられたエンティティである。アイデンティティプロバイダーは、ユーザにデジタルアイデンティティを与えるエンティティである。信頼パーティは、デジタルアイデンティティに何らかの仕方で頼るエンティティである。例えば、信頼パーティは、ユーザを認証するためそのデジタルアイデンティティを使用する。自己表明型アイデンティティは、ユーザとアイデンティティプロバイダーとが１つで同じであるような場合のものである。例えば、ユーザがアマゾンドットコムの如きオンラインプロバイダーでアカウントを生成している場合には、そのユーザは、自分自身のアイデンティティ（例えば、ユーザ名及びパスワード）を生成しているのである。被管理アイデンティティは、情報が第三者により支持され、従って、より信用できるものであると推定されるようなより強い形式のデジタルアイデンティティである。即ち、ユーザとは無関係のアイデンティティプロバイダーにより、そのユーザへデジタルアイデンティティが与えられるのである。
【０００４】
[0004]自己表明型アイデンティティの場合には、信頼パーティは、ユーザ及びそのユーザの自己表明型クレームの妥当性検証をするのに信頼パーティ自身の処理を使用しなければならない。被管理アイデンティティの場合には、ユーザは、典型的には、アイデンティティプロバイダーからそのアイデンティティを得るため直接的又は間接的料金を支払うことを必要とされる。その上、信頼パーティは、そのアイデンティティプロバイダーを知り、ユーザに対して発行された被管理アイデンティティを受け入れる前に、そのアイデンティティプロバイダーのポリシーを知らねばならない。もし、ユーザでないならば、信頼パーティは、典型的には、その発行されたアイデンティティを使用するためそのアイデンティティプロバイダーに支払をすることが必要とされる。従って、ユーザ、信頼パーティ及びアイデンティティプロバイダーの間でのデジタルアイデンティティの確立及び使用に関連付けられたコストを減少又は排除するようなアイデンティティ管理機構が当業分野において必要とされている。
【発明の概要】
【０００５】
[0005]パーティ間の推移的信用に基づいてユーザのデジタルアイデンティティを受け入れるための方法及び装置を提供する。本発明の一態様は、ユーザのデジタルアイデンティティを管理することに関する。自己表明型クレームを含むデジタルアイデンティティが第１のパーティに付与される。受入れトークンがその第１のパーティから得られる。その受入れトークンは、その第１のパーティによる自己表明型クレームの認証を示している。それらデジタルアイデンティティ及び受入れトークンは第２のパーティに付与されて、受入れトークンに基づいて第２のパーティによる自己表明型クレームの妥当性検証が要求される。
【０００６】
[0006]別の実施形態では、自己表明型クレームを含むデジタルアイデンティティが、コンピュータから第１のパーティに付与される。その自己表明型クレームは、その第１のパーティにて妥当性検証される。受入れトークンがその第１のパーティからそのコンピュータへと送られる。その受入れトークンは、その第１のパーティによるその自己表明型クレームの認証を示している。それらデジタルアイデンティティ及び受入れトークンは、そのコンピュータから第２のパーティに付与される。その自己表明型クレームは、その受入れトークン及びその第１のパーティとその第２のパーティとの間に確立される推移的信用に基づいて、その第２のパーティにて妥当性検証される。
【０００７】
[0007]本発明の前述した特徴を詳細に理解できるように、その概要を簡単に前述したような本発明について、図面に幾つかを例示している実施形態に関連して、以下より詳細に説明する。しかしながら、添付図面は、本発明の典型的な実施態様のみを例示しているのであり、それらに本発明の範囲を限定しようとしているものではなく、本発明は、その他の均等の効果のある実施形態が考えられるものであることに注意されたい。
【詳細な説明】
【０００８】
[0011]図１は、本発明の１つ以上の態様によるネットワークコンピュータシステム１００の典型的な実施形態を示すブロック図である。このシステム１００は、コンピュータ１０４に結合されるネットワーク１０２を含む。コンピュータ１０４は、プロセッサ１０８，メモリ１１４、種々のサポート回路１１０、入出力インターフェース１０６を含むものとして例示されている。プロセッサ１０８は、当業分野において知られている１つ以上のマイクロプロセッサを含むことができる。プロセッサ１０８のためのサポート回路１１０は、通常のキャッシュ、電力供給装置、クロック回路、データレジスタ、入出力インターフェース等を含む。入出力インターフェース１０６は、メモリ１１４に直接結合することもできるし、又は、プロセッサ１０８を通してメモリ１１４に結合することもできる。入出力インターフェース１０６は、ネットワーク装置、種々の記憶装置、マウス、キーボード、ディスプレイ等の如き入力装置１１１及び／又は出力装置１１３と通信するように構成しておくこともできる。入出力インターフェース１０６は、ネットワーク１０２にも結合される。ネットワーク１０２は、ワイヤ、ケーブル、ファイバーオプチック及び／又はハブ、スイッチ、ルーター等の如き種々のタイプの良く知られたネットワーク要素により実施されるワイヤレスリンクによりコンピュータシステムを接続する通信システムを備える。ネットワーク１０２は、情報を通信するため、種々の良く知られたプロトコルを使用することができる。例えば、ネットワーク１０２は、インターネットの部分である。
【０００９】
[0012]メモリ１１４は、プロセッサ１０８によって実行及び／又は使用されるプロセッサ実行可能な命令及び／又はデータを記憶する。これらプロセッサ実行可能な命令は、ハードウエア、ファームウエア、ソフトウエア等又はそれらの組合せを含むことができる。メモリ１１４に記憶されたプロセッサ実行可能な命令を有するモジュールは、アイデンティティマネージャー１１６を含むことができる。コンピュータ１０４は、良く知られたプラットフォームのなかでも、オーエスツー、ジャバ仮想マシン、リナックス、ソラリス、ユニックス、エイチピーユーエックス、エーアイエックス、ウインドーズ、ウインドーズ９５、ウインドーズ９８、ウインドーズＮＴ、ウインドーズ２０００、ウインドーズＭＥ、ウインドーズＸＰ、ウインドーズサーバーを含むことのできるオペレーティングシステム１２４でプログラムされることができる。オペレーティングシステム１２４の少なくとも一部分は、メモリ１１４に配設することができる。メモリ１１４は、ランダムアクセスメモリ、リードオンリーメモリ、磁気抵抗効果リード／ライトメモリ、光リード／ライトメモリ、キャッシュメモリ、磁気リード／ライトメモリ等並びに以下に説明するような信号担持媒体のうちの１つ以上のものを含むことができる。
【００１０】
[0013]アイデンティティマネージャー１１６は、コンピュータ１０４の１人以上のユーザのためのデジタルアイデンティティを管理するように構成されている。一般的に、デジタルアイデンティティは、このデジタルアイデンティティによって送信される全情報のうちのある部分を各々が含む１つ以上のクレームを有するセキュリティートークン（トークン）によって表される。デジタルアイデンティティは、Ｅメールアドレスのように簡単なものであることができるし、又は、ユーザ名、パスワード、クレジットカード番号、ソーシャルセキュリティー番号及び／又は無数の他のタイプの情報の如きより多くの情報を含むこともできる。トークンは、Ｘ.５０９証明書、ケルベロスチケット等を含めて、種々の良く知られたフォーマットであることができる。トークンは、セキュリティーアサーションマークアップ言語（ＳＡＭＬ）の如き標準言語を使用して生成することもできる。トークンの一実施形態は、マイクロソフトカードスペースである。他の実施形態としては、オープンＩＤ、軽量アイデンティティプロトコル（ＬＩＤ）、安全拡張アイデンティティプロトコル（ＳＸＩＰ）等に従うトークンがある。
【００１１】
[0014]一実施形態では、アイデンティティマネージャー１１６は、自己表明型アイデンティティ１５０を管理する。自己表明型アイデンティティの各々は、１つ以上の自己表明型クレームを含む。例えば、ユーザは、自分のＥメールアドレスのためのクレームを有する自己表明型アイデンティティを確立することができる。特に、どのビジネスモデルも被管理アイデンティティを使用することを要求しているとは限らない。ある信頼パーティは、ユーザがユニークユーザであることを知るだけでよいとし、ユーザＥメールアドレス等を要求するだけである。このような信頼パーティの場合には、ユーザは、Ｅメールアドレスの如き要求される識別符号を有する自己表明型アイデンティティを使用して自身を同定することができる。本発明の一態様によれば、自己表明型アイデンティティは、他のパーティがそのアイデンティティを受け入れた（従って、妥当性検証した）ことを示す情報を含む。もし、所定のパーティがそれらの他のパーティを信用できるものと考える場合には、そのパーティは、それら他のパーティによる受入れにのみ基づいてその自己表明型アイデンティティを受け入れることを選択することができる。即ち、信頼パーティのあるグループは、互いの間で「推移的信用」を確立して、それらパーティのうちの１人により受け入れたユーザによる自己表明型クレームを、そのグループにおける他のパーティのすべてが受け入れるというようにすることができる。従って、信用が確立されるとき、他のパーティは、その自己表明型アイデンティティを妥当性検証しなければならないというような負担を避けることができる。
【００１２】
[0015]図２は、本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法の典型的な実施形態を示すフロー図である。この方法２００は、コンピュータ１０４によって行われる方法２０１、信頼パーティ１２８によって行われる方法２０２及び信頼パーティ１３０によって行われる方法２０３を含む。この実施形態では、ユーザは、初期的に、自己表明型アイデンティティを信頼パーティ１２８へ提示し、その信頼パーティ１２８がそれにおける１つ以上のクレームを妥当性検証する。信頼パーティ１２８と信頼パーティ１３０とは、互いの間で推移的信用を確立している。そのユーザがその自己表明型アイデンティティを信頼パーティ１３０へ提示するとき、その信頼パーティ１３０は、信頼パーティ１２８がそのアイデンティティを正当であると受け入れした事実に基づいて、そのアイデンティティを正当であると見なす。
【００１３】
[0016]詳述するに、方法２０１は、ステップ２０４で始まり、このステップ２０４において、コンピュータ１０４のユーザは、自己表明型デジタルアイデンティティを信頼パーティ１２８へ提示する。そのユーザは、典型的には、信頼パーティ１２８による要求に応答してその自己表明型アイデンティティを与える。信頼パーティ１２８は、典型的には、特定のフォーマットを有し特定の１つのクレーム又は複数のクレームを含むユーザのデジタルアイデンティティを要求する。例えば、ユーザは、その信頼パーティとのアカウントを確立しようとする、又は、既に確立されたアカウントにアクセスしようとする。
【００１４】
[0017]それから、方法２０２は、ステップ２０６で始まる。このステップ２０６では、信頼パーティ１２８は、その自己表明型デジタルアイデンティティを受け取る。ステップ２０８にて、信頼パーティ１２８は、その自己表明型アイデンティティにおける少なくとも１つのクレームを妥当性検証する。信頼パーティ１２８は、当業分野において良く知られた種々の機構のうちの任意のものを使用して、このような妥当性検証を行うことができる。ステップ２１０にて、信頼パーティ１２８は、そのユーザへ受入れトークンを与える。その受入れトークンは、その信頼パーティ１２８によるその自己表明型クレームの認証を示す情報を含む（即ち、その受入れトークンは、その信頼パーティがそれらクレームを妥当性検証したこと又はその信頼パーティがそれらクレームを真正であるとして信用したことを示している）。一実施形態では、信頼パーティ１２８は、公開キー基盤（ＰＫＩ）システムを使用してその信用を立証する。信頼パーティ１２８は、その自己表明型クレームにデジタル的に署名するか、又は、そのような自己表明型クレームのある表現（例えば、それらクレームのハッシュ）にデジタル的に署名する。このデジタル署名は、非対称暗号化アルゴリズム及びプライベートキーを使用するクレーム（又はクレームの表現）の暗号化を含むことができる。別のパーティは、信頼パーティ１２８の公開キーを使用して、信頼パーティ１２８がそれらクレームにデジタル的に署名したことを検証することができる。他のパーティは、このようなデジタル署名を、信頼パーティ１２８がそれらクレームを真正であるとして信用した証拠として取り扱うことができる。
【００１５】
[0018]一実施形態では、受入れトークンは、その自己表明型クレームが真正であるとされてきた時間期間を示す情報の如きそのユーザと信頼パーティ１２８との間の関係に関連付けられた他のタイプの属性を含む。例えば、もし、信頼パーティ１２８がユーザのＥメールアドレスが真正であることを検証した場合には、信頼パーティ１２８は、そのＥメールアドレスがどのくらい長くそのユーザとの関係の一部であった（例えば、そのＥメールアドレスがＸ月／年の間使用されていた）ことを含めることができる。
【００１６】
[0019]方法２０１に戻って、受入れトークンは、ステップ２１２にて受け取られる。ステップ２１４にて、この受入れトークンは、自己表明型アイデンティティにおけるクレームとして含まれる。一実施形態では、この受入れトークンは、任意的クレームである。即ち、ユーザがその自己表明型アイデンティティをあるパーティへ提示するとき、受入れトークンは、そのユーザの好みに基づいて選択的に送られる。ステップ２１６にて、ユーザは、その自己表明型アイデンティティ及び受入れトークンを信頼パーティ１３０へ提示する。ユーザは、典型的には、信頼パーティ１３０による要求に応答して、その自己表明型アイデンティティを与える。信頼パーティ１３０は、典型的には、特定のフォーマットを有し特定の１つのクレーム又は複数のクレームを含むユーザのデジタルアイデンティティを要求する。例えば、ユーザは、信頼パーティ１３０とのアカウントを確立しようとするか、又は、既に確立されたアカウントにアクセスしようとすることができる。
【００１７】
[0020]それから、方法２０３は、ステップ２１８で始まる。このステップ２１８にて、信頼パーティ１３０は、その自己表明型アイデンティティ及び受入れトークンを受け取る。ステップ２２０にて、信頼パーティ１３０は、その受入れトークンに基づいてその自己表明型クレームを妥当性検証する。即ち、信頼パーティ１３０は、その受入れトークンを、信頼パーティ１２８がその自己表明型クレームが正当であると受け入れた証拠として使用する。もし、信頼パーティ１３０が信頼パーティ１２８を信用できるものであると考える場合には、その信頼パーティ１３０は、その受入れのトークンにのみ基づいてその自己表明型クレームを妥当性検証することができる。換言すると、もし、信頼パーティ１３０が信頼パーティ１２８を信頼できるものであると考える場合には、その自己表明型クレームは、受入れトークンにより支持されていない他のクレームより信頼できるものである。従って、信頼パーティ１３０は、このようなクレームが別の信用できるパーティにより既に妥当性検証されているので、その自己表明型クレームを妥当性検証しなければならいというような負担を負う必要はない。
【００１８】
[0021]前述したように、一実施形態では、信頼パーティ１２８は、受入れのトークンにおけるデジタル署名を含む。ステップ２２０での妥当性検証中に、信頼パーティ１３０は、その受入れのトークンにおけるデジタル署名を認証するため、信頼パーティ１２８の公開キーを得ることができる。従って、信頼パーティ１３０は、信頼パーティ１２８がその自己表明型クレームを受け入れたことを確かめることができる。一実施形態では、信頼パーティ１３０は、信頼パーティ１２８から直接にその公開キーを得ることができるし、又は、公開キーのリストからその公開キーを得ることができる。別の仕方として、信頼パーティ１３０は、ユーザから信頼パーティ１２８のための公開キーを得ることができる。即ち、任意的ステップ２１７にて、ユーザは、信頼パーティ１２８のための公開キーを信頼パーティ１３０へ与える。いかなる場合においても、信頼パーティ１３０によって得られる公開キーは、認証局によって署名されたデジタル証明書の一部でありうる。こうして、信頼パーティ１３０は、その公開キーが真正のものであることを知る。
【００１９】
[0022]単一の自己表明型アイデンティティについて説明してきたのであるが、当業者には、各々が１つ以上の自己表明型クレームを有する複数の自己表明型アイデンティティを使用する場合にも、この方法２００を使用することができることは理解されよう。更に又、２つの信頼パーティのみを示しているが、推移的信用を確立するパーティのグループは、２つより多いパーティを含むことができるものである。
【００２０】
[0023]一実施形態では、アイデンティティマネージャー１１６は、被管理アイデンティティ１５２を管理するように構成される。被管理アイデンティティの各々は、アイデンティティプロバイダーにより支持される１つ以上のクレームを含む。例えば、被管理アイデンティティは、アイデンティティプロバイダーによって妥当性検証されているユーザのＥメールアドレスを含むことができる。本発明の一態様によれば、アイデンティティプロバイダーは、ユーザにより与えられた自己表明型アイデンティティに基づいて被管理アイデンティティを発行する。この場合において、その自己表明型アイデンティティは、他のパーティがそのアイデンティティを受け入れている（従って、妥当性検証している）ことを示す情報を含んでいる。もし、アイデンティティプロバイダーがこれらの他のパーティを信用できるものであると考える場合には、そのアイデンティティプロバイダーは、その他のパーティによる受入れのみに基づいてその被管理アイデンティティを発行することを選択することができる。
【００２１】
[0024]図３は、本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法３００の別の典型的な実施形態を示すフロー図である。この方法３００は、コンピュータ１０４によって行われる方法３０１、信頼パーティ１２８によって行われる方法３０２及びアイデンティティプロバイダー１３２によって行われる方法３０３を含む。この実施形態では、ユーザは、初期的に、信頼パーティ１２８へ自己表明型アイデンティティを提示する。信頼パーティ１２８は、そこにおける１つ以上のクレームを妥当性検証する。信頼パーティ１２８とアイデンティティプロバイダー１３２とは、互いの間に推移的信用を確立している。アイデンティティプロバイダー１３２は、２つのタイプの被管理アイデンティティを発行する。即ち、その一方のタイプの被管理アイデンティティは、アイデンティティプロバイダー１３２自身により妥当性検証された１つ以上のクレームを含むものであり、他方のタイプの被管理アイデンティティは、アイデンティティプロバイダー１３２が信用する１つ以上のパーティ（例えば、信頼パーティ１２８）によって妥当性検証されているクレームを含むものである。その第２のタイプの被管理アイデンティティは、更に、そのアイデンティティプロバイダー１３２が信用する他のパーティがそれらクレームを妥当性検証している事実を伝えるものである。これら他のパーティのアイデンティティは、その被管理アイデンティティ内には含まれていない。ユーザは、この被管理アイデンティティを、アイデンティティプロバイダー１３２との信用を確立している他の信頼パーティへ提示することができる。
【００２２】
[0025]より詳細には、この方法３００は、ステップ３０４で始まり、このステップ３０４にて、コンピュータ１０４のユーザは、自己表明型デジタルアイデンティティを信頼パーティ１２８へ提示する。ユーザは、典型的には、信頼パーティ１２８による要求に応答してその自己表明型アイデンティティを与える。信頼パーティ１２８は、典型的には、特定のフォーマットを有し特定の１つ又は複数のクレームを含むユーザのデジタルアイデンティティを要求する。例えば、ユーザは、信頼パーティ１２８とのアカウントを確立しようとするか、又は、既に確立されたアカウントにアクセスしようとすることができる。
【００２３】
[0026]それから、方法３０２は、ステップ３０６で始まり、このステップ３０６にて、信頼パーティ１２８は、自己表明型デジタルアイデンティティを受け取る。ステップ３０８にて、信頼パーティ１２８は、その自己表明型アイデンティティにおける少なくとも１つのクレームを妥当性検証する。信頼パーティ１２８は、当業分野において良く知られた種々の機構のうちのいずれかを使用して、このような妥当性検証を行うことができる。ステップ３１０にて、信頼パーティ１２８は、ユーザへ受入れトークンを与える。その受入れトークンは、信頼パーティ１２８によるその自己表明型クレームの認証を示す情報を含む（即ち、その受入れトークンは、信頼パーティ１２８がそれらクレームを妥当性検証したこと、又は、信頼パーティ１２８がそれらクレームを真正のものであると信用していること、を示している）。一実施形態では、信頼パーティ１２８は、前述したように、公開キー基盤（ＰＫＩ）システムを使用してこのような信用を立証する。即ち、この受入れトークンは、信頼パーティ１２８のデジタル署名を含むことができる。一実施形態では、この受入れトークンは、その自己表明型クレームが真正なものであるとされてきた時間期間を示す情報の如き、ユーザと信頼パーティとの間の関係と関連付けられた他のタイプの属性を含む。
【００２４】
[0027]方法３０１に戻って、受入れトークンがステップ３１２にて受け取られる。ステップ３１４にて、受入れトークンは、自己表明型アイデンティティにおいてクレームとして含ませられる。一実施形態では、受入れトークンは、任意的クレームである。即ち、ユーザがその自己表明型アイデンティティをあるパーティへ提示するとき、受入れトークンは、そのユーザの好みに基づいて選択的に送られる。ステップ３１６にて、ユーザは、その自己表明型アイデンティティ及び受入れトークンをアイデンティティプロバイダー１３２へ提示する。ユーザは、被管理アイデンティティを得るために、自己表明型アイデンティティをアイデンティティプロバイダー１３２へ提示することができる。
【００２５】
[0028]方法３０３は、ステップ３１６で始まり、このステップ３１８で、アイデンティティプロバイダー１３２は、自己表明型アイデンティティ及び受入れトークンを受け取る。ステップ３２０にて、アイデンティティプロバイダー１３２は、受入れトークンに基づいてその自己表明型クレームを妥当性検証する。即ち、アイデンティティプロバイダー１３２は、信頼パーティ１２８がその自己表明型クレームが正当なものであると受け入れた証拠としてその受入れトークンを使用する。もし、アイデンティティプロバイダー１３２がその信頼パーティ１２８を信用できるものと考える場合には、そのアイデンティティプロバイダー１３２は、その受入れのトークンのみに基づいてその自己表明型クレームを妥当性検証することができる。
【００２６】
[0029]前述したように、一実施形態では、信頼パーティ１２８は、その受入れのトークンにデジタル署名を含ませる。ステップ３２０での妥当性検証中に、アイデンティティプロバイダー１３２は、その受入れのトークンにおけるデジタル署名を認証するため、その信頼パーティ１２８の公開キーを得ることができる。従って、アイデンティティプロバイダー１３２は、その信頼パーティ１２８がその自己表明型クレームを受け入れたことを確かめることができる。一実施形態では、アイデンティティプロバイダー１３２は、信頼パーティ１２８から直接的に公開キーを得ることができるし、又は、公開キーのリストからその公開キーを得ることができる。別の仕方として、アイデンティティプロバイダー１３２は、ユーザからその信頼パーティ１２８に対する公開キーを得ることができる。即ち、任意的ステップ３１７にて、ユーザは、その信頼パーティ１２８に対する公開キーをアイデンティティプロバイダー１３２へ与える。いずれの場合にも、アイデンティティプロバイダー１３２により得られた公開キーは、認証局によって署名されたデジタル証明書の一部でありうる。このようにして、アイデンティティプロバイダー１３２は、その公開キーが真正のものであることを知る。
【００２７】
[0030]ステップ３２２にて、アイデンティティプロバイダー１３２は、それら自己表明型クレームを有する被管理アイデンティティを生成する。この被管理アイデンティティは、そのアイデンティティプロバイダー１３２が１つ以上の信頼パーティとの推移的信用に基づいてそこにあるクレームを妥当性検証したことを示す情報を含む。アイデンティティプロバイダー１３２は、その被管理アイデンティティにデジタル的に署名し、その被管理アイデンティティがそのアイデンティティプロバイダー１３２から発せられたものであることを他のパーティが検証することができるようにする。ステップ３２４にて、アイデンティティプロバイダー１３２は、その被管理アイデンティティをユーザへ送る。方法３０１に戻って、ステップ３２６にて、ユーザは、そのアイデンティティプロバイダー１３２からその被管理アイデンティティを受け取る。ステップ３２８にて、ユーザは、その被管理アイデンティティを１つ以上の信頼パーティへ提示する。
【００２８】
[0031]単一の自己表明型アイデンティティ及びそれに対応する被管理アイデンティティについて説明してきたのであるが、当業者には、各々が１つ以上の自己表明型クレームを有し、各々が個々の被管理アイデンティティを生ずるような複数の自己表明型アイデンティティを使用する場合にも、この方法３００を使用することができるものであることは理解されよう。
【００２９】
[0032]本発明の一態様は、コンピュータシステムで使用するためのプログラム製品として実施される。このプログラム製品のプログラムは、実施形態の機能を定めており、種々の信号担持媒体に含ませることができ、これは、これに限定されるものではないが、（i）非書き込み記憶媒体（例えば、ＣＤ-ＲＯＭドライブ又はＤＶＤドライブによって読み取り可能なＣＤ-ＲＯＭ又はＤＶＤ-ＲＯＭディスクの如きコンピュータ内のリードオンリーメモリ装置）に恒久的に記憶された情報、（ii）書き込み可能記憶媒体（例えば、ディスケットドライブ又はハードディスクドライブ内のフロッピーディスク又は読み取り／書き込み可能ＣＤ又は読み取り／書き込み可能ＤＶＤ）に記憶された変更可能な情報、又は（iii）ワイヤレス通信を含むコンピュータ又は電話ネットワークを介しての如き通信媒体によってコンピュータへ送信される情報、を含む。後者の実施形態は、特に、インターネット及び他のネットワークからダウンロードされる情報を含む。このような信号担持媒体は、本発明の機能を指示するコンピュータ読み取り可能な命令を担持するとき、本発明の実施形態となっている。
【００３０】
[0033]本発明の実施形態について前述してきたのであるが、本発明の基本的範囲から逸脱せずに、本発明の他の更なる実施形態を考えることができるものであり、本発明の範囲は、特許請求の範囲によって決定されるものである。
【図面の簡単な説明】
【００３１】
【図１】本発明の１つ以上の態様によるネットワークコンピュータシステムの典型的な実施形態を示すブロック図である。
【図２】本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法の典型的な実施形態を示すフロー図である。
【図３】本発明の１つ以上の態様によるユーザに対する自己表明型デジタルアイデンティティを管理するための方法の別の典型的な実施形態を示すフロー図である。
【符号の説明】
【００３２】
１００・・・ネットワークコンピュータシステム、１０２・・・ネットワーク、１０４・・・コンピュータ、１０６・・・入出力インターフェース、１０８・・・プロセッサ、１１０・・・サポート回路、１１１・・・入力装置、１１３・・・出力装置、１１４・・・メモリ、１１６・・・アイデンティティマネージャー、１２８・・・信頼パーティ、１３０・・・信頼パーティ、１３２・・・アイデンティティプロバイダー、１５０・・・自己表明型アイデンティティ、１５２・・・被管理アイデンティティ
【特許請求の範囲】
【請求項１】
ユーザのデジタルアイデンティティを管理する方法において、
自己表明型クレームを有する前記デジタルアイデンティティを第１のパーティに付与するステップと、
前記第１のパーティによる前記自己表明型クレームの認証を示す受入れトークンを前記第１のパーティから得るステップと、
前記デジタルアイデンティティ及び前記受入れトークンを第２のパーティに付与し、前記受入れトークンに基づいて前記第２のパーティによる前記自己表明型クレームの妥当性検証を要求するステップと
を備える方法。
【請求項２】
前記受入れトークンは、前記第１のパーティのプライベートキーを使用して前記第１のパーティによりデジタル的に署名された前記自己表明型クレームの表現を含む、請求項１に記載の方法。
【請求項３】
前記第１のパーティによりデジタル的に署名された前記受入れトークンを検証する際に使用するため、前記第１のパーティの公開キーを前記第２のパーティに付与するステップを更に備える、請求項２に記載の方法。
【請求項４】
前記公開キーは、認証局によりデジタル的に署名されたデジタル証明書の一部として付与される、請求項３に記載の方法。
【請求項５】
前記受入れトークンを任意的クレームとして含むようデジタルアイデンティティを拡張するステップを更に備える、請求項１に記載の方法。
【請求項６】
前記受入れトークンは、前記自己表明型クレームの認証が前記第１のパーティにより維持されてきた期間を示す情報を含む、請求項１に記載の方法。
【請求項７】
前記第２のパーティはアイデンティティプロバイダーであり、前記自己表明型クレームに対応するクレームを含み且つ前記アイデンティティプロバイダーによる前記クレームの認証を示す被管理デジタルアイデンティティを、前記アイデンティティプロバイダーから受け取るステップを更に備える、請求項１に記載の方法。
【請求項８】
ユーザのデジタルアイデンティティを管理する装置において、
自己表明型クレームを有する前記デジタルアイデンティティを第１のパーティに付与する手段と、
前記第１のパーティによる前記自己表明型クレームの認証を示す受入れトークンを前記第１のパーティから得る手段と、
前記デジタルアイデンティティ及び前記受入れトークンを第２のパーティに付与して、前記受入れトークンに基づいて前記第２のパーティによる前記自己表明型クレームの妥当性検証を要求する手段と
を備える装置。
【請求項９】
前記受入れトークンは、前記第１のパーティのプライベートキーを使用して前記第１のパーティによりデジタル的に署名された前記自己表明型クレームの表現を含む、請求項８に記載の装置。
【請求項１０】
前記第１のパーティによりデジタル的に署名された前記受入れトークンの検証をする際に使用するため、前記第１のパーティの公開キーを前記第２のパーティに付与するための手段を更に備える、請求項９に記載の装置。
【請求項１１】
前記公開キーは、認証局によりデジタル的に署名されたデジタル証明書の一部として付与される、請求項１０に記載の装置。
【請求項１２】
任意的クレームとして前記受入れトークンを含むようデジタルアイデンティティを拡張することを更に含む、請求項８に記載の装置。
【請求項１３】
前記受入れトークンは、前記自己表明型クレームの認証が前記第１のパーティにより維持されてきた期間を示す情報を含む、請求項８に記載の装置。
【請求項１４】
前記第２のパーティはアイデンティティプロバイダーであり、前記自己表明型クレームに対応するクレームを含み且つ前記アイデンティティプロバイダーによる前記クレームの認証を示す被管理デジタルアイデンティティを、前記アイデンティティプロバイダーから受け取るための手段を更に含む、請求項８に記載の装置。
【請求項１５】
ユーザのデジタルアイデンティティを管理する方法において、
自己表明型クレームを有する前記デジタルアイデンティティをコンピュータから第１のパーティに付与するステップと、
前記第１のパーティで前記自己表明型クレームを妥当性検証するステップと、
前記第１のパーティによる前記自己表明型クレームの認証を示す受入れトークンを前記第１のパーティから前記コンピュータに送るステップと、
前記デジタルアイデンティティ及び前記受入れトークンを前記コンピュータから第２のパーティに付与するステップと、
前記受入れトークン及び前記第１のパーティと前記第２のパーティとの間に確立された推移的信用に基づいて前記第２のパーティで前記自己表明型クレームを妥当性検証するステップと
を備える方法。
【請求項１６】
前記受入れトークンは、前記第１のパーティのプライベートキーを使用して前記第１のパーティによりデジタル的に署名された前記自己表明型クレームの表現を含む、請求項１５に記載の方法。
【請求項１７】
任意的クレームとして前記受入れトークンを含むデジタルアイデンティティを拡張するステップを更に含む、請求項１５に記載の方法。
【請求項１８】
前記受入れトークンは、前記自己表明型クレームの認証が前記第１のパーティにより維持されてきた期間を示す情報を含む、請求項１５に記載の方法。
【請求項１９】
前記第２のパーティはアイデンティティプロバイダーであり、前記自己表明型クレームに対応するクレームを含み且つ前記アイデンティティプロバイダーによる前記クレームの認証を示す被管理デジタルアイデンティティを、前記アイデンティティプロバイダーから前記コンピュータへ送るステップを更に備える、請求項１５に記載の方法。
【請求項１】
ユーザのデジタルアイデンティティを管理する方法において、
自己表明型クレームを有する前記デジタルアイデンティティを第１のパーティに付与するステップと、
前記第１のパーティによる前記自己表明型クレームの認証を示す受入れトークンを前記第１のパーティから得るステップと、
前記デジタルアイデンティティ及び前記受入れトークンを第２のパーティに付与し、前記受入れトークンに基づいて前記第２のパーティによる前記自己表明型クレームの妥当性検証を要求するステップと
を備える方法。
【請求項２】
前記受入れトークンは、前記第１のパーティのプライベートキーを使用して前記第１のパーティによりデジタル的に署名された前記自己表明型クレームの表現を含む、請求項１に記載の方法。
【請求項３】
前記第１のパーティによりデジタル的に署名された前記受入れトークンを検証する際に使用するため、前記第１のパーティの公開キーを前記第２のパーティに付与するステップを更に備える、請求項２に記載の方法。
【請求項４】
前記公開キーは、認証局によりデジタル的に署名されたデジタル証明書の一部として付与される、請求項３に記載の方法。
【請求項５】
前記受入れトークンを任意的クレームとして含むようデジタルアイデンティティを拡張するステップを更に備える、請求項１に記載の方法。
【請求項６】
前記受入れトークンは、前記自己表明型クレームの認証が前記第１のパーティにより維持されてきた期間を示す情報を含む、請求項１に記載の方法。
【請求項７】
前記第２のパーティはアイデンティティプロバイダーであり、前記自己表明型クレームに対応するクレームを含み且つ前記アイデンティティプロバイダーによる前記クレームの認証を示す被管理デジタルアイデンティティを、前記アイデンティティプロバイダーから受け取るステップを更に備える、請求項１に記載の方法。
【請求項８】
ユーザのデジタルアイデンティティを管理する装置において、
自己表明型クレームを有する前記デジタルアイデンティティを第１のパーティに付与する手段と、
前記第１のパーティによる前記自己表明型クレームの認証を示す受入れトークンを前記第１のパーティから得る手段と、
前記デジタルアイデンティティ及び前記受入れトークンを第２のパーティに付与して、前記受入れトークンに基づいて前記第２のパーティによる前記自己表明型クレームの妥当性検証を要求する手段と
を備える装置。
【請求項９】
前記受入れトークンは、前記第１のパーティのプライベートキーを使用して前記第１のパーティによりデジタル的に署名された前記自己表明型クレームの表現を含む、請求項８に記載の装置。
【請求項１０】
前記第１のパーティによりデジタル的に署名された前記受入れトークンの検証をする際に使用するため、前記第１のパーティの公開キーを前記第２のパーティに付与するための手段を更に備える、請求項９に記載の装置。
【請求項１１】
前記公開キーは、認証局によりデジタル的に署名されたデジタル証明書の一部として付与される、請求項１０に記載の装置。
【請求項１２】
任意的クレームとして前記受入れトークンを含むようデジタルアイデンティティを拡張することを更に含む、請求項８に記載の装置。
【請求項１３】
前記受入れトークンは、前記自己表明型クレームの認証が前記第１のパーティにより維持されてきた期間を示す情報を含む、請求項８に記載の装置。
【請求項１４】
前記第２のパーティはアイデンティティプロバイダーであり、前記自己表明型クレームに対応するクレームを含み且つ前記アイデンティティプロバイダーによる前記クレームの認証を示す被管理デジタルアイデンティティを、前記アイデンティティプロバイダーから受け取るための手段を更に含む、請求項８に記載の装置。
【請求項１５】
ユーザのデジタルアイデンティティを管理する方法において、
自己表明型クレームを有する前記デジタルアイデンティティをコンピュータから第１のパーティに付与するステップと、
前記第１のパーティで前記自己表明型クレームを妥当性検証するステップと、
前記第１のパーティによる前記自己表明型クレームの認証を示す受入れトークンを前記第１のパーティから前記コンピュータに送るステップと、
前記デジタルアイデンティティ及び前記受入れトークンを前記コンピュータから第２のパーティに付与するステップと、
前記受入れトークン及び前記第１のパーティと前記第２のパーティとの間に確立された推移的信用に基づいて前記第２のパーティで前記自己表明型クレームを妥当性検証するステップと
を備える方法。
【請求項１６】
前記受入れトークンは、前記第１のパーティのプライベートキーを使用して前記第１のパーティによりデジタル的に署名された前記自己表明型クレームの表現を含む、請求項１５に記載の方法。
【請求項１７】
任意的クレームとして前記受入れトークンを含むデジタルアイデンティティを拡張するステップを更に含む、請求項１５に記載の方法。
【請求項１８】
前記受入れトークンは、前記自己表明型クレームの認証が前記第１のパーティにより維持されてきた期間を示す情報を含む、請求項１５に記載の方法。
【請求項１９】
前記第２のパーティはアイデンティティプロバイダーであり、前記自己表明型クレームに対応するクレームを含み且つ前記アイデンティティプロバイダーによる前記クレームの認証を示す被管理デジタルアイデンティティを、前記アイデンティティプロバイダーから前記コンピュータへ送るステップを更に備える、請求項１５に記載の方法。
【図１】
【図２】
【図３】
【図２】
【図３】
【公開番号】特開２００８−２８７７０１（Ｐ２００８−２８７７０１Ａ）
【公開日】平成２０年１１月２７日（２００８．１１．２７）
【国際特許分類】
【外国語出願】
【出願番号】特願２００８−５９９７７（Ｐ２００８−５９９７７）
【出願日】平成２０年３月１０日（２００８．３．１０）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．リナックス
２．フロッピー
【出願人】（５０１１１３３５３）シマンテック コーポレイション (78)
【氏名又は名称原語表記】Ｓｙｍａｎｔｅｃ Ｃｏｒｐｏｒａｔｉｏｎ
【住所又は居所原語表記】２０３３０ Ｓｔｅｖｅｎｓ Ｃｒｅｅｋ Ｂｏｕｌｅｖａｒｄ， Ｃｕｐｅｒｔｉｎｏ， Ｃａｌｉｆｏｒｎｉａ ９５０１４， ＵＳＡ
【Ｆターム（参考）】
【公開日】平成２０年１１月２７日（２００８．１１．２７）
【国際特許分類】
【出願番号】特願２００８−５９９７７（Ｐ２００８−５９９７７）
【出願日】平成２０年３月１０日（２００８．３．１０）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．リナックス
２．フロッピー
【出願人】（５０１１１３３５３）シマンテック コーポレイション (78)
【氏名又は名称原語表記】Ｓｙｍａｎｔｅｃ Ｃｏｒｐｏｒａｔｉｏｎ
【住所又は居所原語表記】２０３３０ Ｓｔｅｖｅｎｓ Ｃｒｅｅｋ Ｂｏｕｌｅｖａｒｄ， Ｃｕｐｅｒｔｉｎｏ， Ｃａｌｉｆｏｒｎｉａ ９５０１４， ＵＳＡ
【Ｆターム（参考）】
[ Back to top ]