ワンタイムパスワードを用いた認証システム、認証サーバ及び認証方法
【課題】 クレジットカード加盟店で商品等を購入するユーザをＯＴＰ（ワンタイムパスワード）を用いて認証し、加盟店サーバにログインする際にも共通のＯＴＰを適用することが可能であり、かつ、購入要求時にクレジットカードのカード番号の入力を不要とする認証システム等を提供する。
【解決手段】 加盟店サーバ、カード事業者サーバを共通のＯＴＰシリアル等を用いてＯＴＰによる認証を行う認証サーバと接続し、それぞれ加盟店サーバへのログイン時、加盟店サーバが受け付けた購入要求に対するカード事業者サーバでのクレジットカードによる決済承認時において、ユーザの認証に認証サーバの提供するＯＴＰを利用することによって、ユーザはＯＴＰの利用に必要な一のＯＴＰシリアルとＯＴＰシードをユーザの操作する端末に記憶させるだけで、ログイン時、購入承認時の二段階でＯＴＰによる認証を受けることが可能になる。
【解決手段】 加盟店サーバ、カード事業者サーバを共通のＯＴＰシリアル等を用いてＯＴＰによる認証を行う認証サーバと接続し、それぞれ加盟店サーバへのログイン時、加盟店サーバが受け付けた購入要求に対するカード事業者サーバでのクレジットカードによる決済承認時において、ユーザの認証に認証サーバの提供するＯＴＰを利用することによって、ユーザはＯＴＰの利用に必要な一のＯＴＰシリアルとＯＴＰシードをユーザの操作する端末に記憶させるだけで、ログイン時、購入承認時の二段階でＯＴＰによる認証を受けることが可能になる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための認証システム、認証サーバ及び認証方法に関するものである。
【背景技術】
【０００２】
近年、インターネットを利用した電子商取引の拡大に伴い、ネット上で購入した商品やサービスの代金決済にクレジットカードが用いられる機会が増加している。従来の店舗に設置されたＣＡＴ端末と専用のネットワークを用いた決済に比べ、ネット上でクレジットカードによる決済を行うと、クレジットカードのカード番号流出による不正取引のリスクが著しく高まることとなり、クレジットカードの安全対策が電子商取引における重要な課題となっている。
【０００３】
これに対して、ネット上でクレジットカードを利用して代金決済を行う際に、クレジットカードに印字されたセキュリティコードの入力を求めたり、クレジットカードのカード番号とあわせてカード会社に登録したパスワードを入力させたりすることによって、クレジットカードの所有者であることを確認する本人認証が利用されるようになっている（例えば、非特許文献１、非特許文献２参照）。
【０００４】
また、パスワードが流出するリスクを回避できる方法として、ワンタイムパスワード（ＯＴＰ）が利用されることもあり、例えば、専用の補助装置にＩＣカードを挿入すると、生体情報による本人認証を条件に、クレジットカードのカード番号とワンタイムパスワードが表示され、このワンタイムパスワードによってクレジットカード利用時の本人認証を行う発明が開示されている（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−１５９２４号公報
【非特許文献】
【０００６】
【非特許文献１】「３−Ｄセキュア」の解説、ＩＴ用語辞典・ｅ−Ｗｏｒｄｓホームページ、［２００９年１１月２日検索]、インターネット＜URL：http://e-words.jp/w/3-DE382BBE382ADE383A5E382A2.html＞
【非特許文献２】安全なオンラインショッピング、Ｖｉｓａ Ｉｎｃ．・ＶＩＳＡカードホームページ、［２００９年１１月２日検索]、インターネット＜URL： http://www.visa-asia.com/ap/jp/cardholders/security/vbv.shtml＞
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１記載の発明のように、ワンタイムパスワードを利用することで取引の安全性が高められることになるが、安全性や利便性の観点から、引続きいくつかの課題を有するものとなっている。第１に、顧客がネット上でクレジットカードを利用して代金決済を行うケースでは、その前提として何らかの商品販売サイトやサービス提供サイトにログインした状態にあることが多いと考えられるが、安全性の高いワンタイムパスワードを利用するのであれば、クレジットカードの決済承認を行うときだけでなく、これらのサイトにログインをする際にも、共通のワンタイムパスワードの仕組みを用いて認証を行うこととすれば、取引を行う入口段階での安全性も強化することが可能になると考えられる。
【０００８】
第２に、特許文献１記載の発明でも顧客にはクレジットカードのカード番号を入力することが求められ、このカード番号はネットワークを介して送信されるため（特許文献１の段落０１２５等参照）、ネットワーク上においてカード番号が流出するリスクが生じてしまうことになるが、顧客の操作する端末から、購入要求のたびにクレジットカードのカード番号を送信しなくても認証可能な仕組みが提供されることが好ましい。
【０００９】
本発明は、このような課題に対応するためになされたものであり、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証し、加盟店サーバにログインする際にも共通のワンタイムパスワードの仕組みを適用することが可能であり、かつ、購入要求時にクレジットカードのカード番号の入力を不要とする認証システム、認証サーバ及び認証方法を提供することを目的とするものである。
【課題を解決するための手段】
【００１０】
本発明にかかる課題を解決する第１の発明は、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバからなる認証システムであって、前記加盟店サーバは、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、を備え、前記カード事業者サーバは、前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、を備え、前記認証サーバは、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えることを特徴とするワンタイムパスワードを用いた認証システムである。
【００１１】
本発明にかかる課題を解決する第２の発明は、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバからなる認証システムであって、前記加盟店サーバは、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルとを、前記カード事業者サーバに送信する購入情報送信手段と、を備え、前記カード事業者サーバは、前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルとを受信する購入情報受信手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰ受付手段と、前記購入情報受信手段の受信したＯＴＰシリアルと前記ＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、を備え、前記認証サーバは、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えることを特徴とするワンタイムパスワードを用いた認証システムである。
【００１２】
本発明では、加盟店サーバ、カード事業者サーバを共通のＯＴＰシリアル等を用いてワンタイムパスワードによる認証を行う認証サーバと接続し、それぞれ加盟店サーバへのログイン時、加盟店サーバが受け付けた購入要求に対するカード事業者サーバでのクレジットカードによる決済承認時において、ユーザの認証に認証サーバの提供するワンタイムパスワードを利用することによって、ユーザはワンタイムパスワードの利用に必要な一のＯＴＰシリアルとＯＴＰシードをユーザの操作する端末に記憶させるだけで、ログイン時、購入承認時の二段階でワンタイムパスワードによる認証を受けることが可能になり、取引の安全性が高められることとなっている。
【００１３】
尚、本発明のうち、購入承認時にユーザが入力したワンタイムパスワードを、第１の発明では加盟店サーバで受け付けるのに対して、第２の発明ではカード事業者サーバで受け付ける構成となる。
【００１４】
また、本発明は、前記カード事業者サーバは、ユーザの利用するクレジットカードのカード番号と前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するカード情報記憶手段と、前記加盟店サーバの購入情報送信手段から送信されたＯＴＰシリアルと関連付けられたカード番号を、前記カード情報記憶手段から読み出すカード番号読出手段と、前記購入情報受信手段の受信した購入情報と前記カード番号読出手段の読み出したカード番号を指定したオーソリ要求を、クレジットカードのオーソリゼーションを実行するオーソリシステムに送信するオーソリ要求送信手段と、前記オーソリシステムから、前記オーソリ要求送信手段の送信したオーソリ要求に対するオーソリ結果を受信するオーソリ結果受信手段と、を備えることを特徴とすることもできる。
【００１５】
このように構成すると、ユーザが購入要求時にクレジットカードのカード番号を入力しなくても、カード事業者サーバにおいてＯＴＰシリアルからカード番号を特定して、オーソリゼーションに必要な処理を行うことができるので、ネット上においてカード番号が流出するリスクを低減することが可能になる。
【００１６】
上記の構成において、前記カード事業者サーバは、ユーザの操作するユーザ端末から、前記ユーザの利用するクレジットカードのカード番号とＯＴＰシリアルが指定されたＯＴＰシリアルの登録要求と、前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰシリアル登録要求受付手段と、前記ＯＴＰシリアル登録要求受付手段の受け付けたＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する第２の認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する第２の認証結果受信手段と、少なくとも前記第２の認証結果受信手段の受信した認証結果がユーザ本人と認証されたものであることを条件に、前記ＯＴＰシリアル登録要求受付手段の受け付けた登録要求に指定されたクレジットカードのカード番号とＯＴＰシリアルを関連付けて前記カード情報記憶手段に登録するＯＴＰシリアル登録手段と、を備えることを特徴としてもよい。
【００１７】
このように構成すると、ワンタイムパスワードによるユーザの認証を前提とすることによって、カード事業者サーバにおけるＯＴＰシリアルとカード番号の紐付けを、安全に実行することが可能になる。
【００１８】
さらに、本発明は、前記加盟店サーバにおいて、前記ユーザ情報記憶手段には、前記ユーザＩＤと前記ユーザを認証するために指定されたパスワードが関連付けて記憶され、前記加盟店サーバは、前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたパスワードを前記ユーザ情報記憶手段から読み出し、前記ログイン要求受付手段が受け付けたログイン要求に指定されたパスワードと照合して、パスワードの一致を判定するパスワード判定手段と、少なくともパスワード判定手段においてパスワードが一致し、かつ前記認証結果受信手段の受信した認証結果がユーザ本人と認証されたものであることを条件に、前記ログイン要求受付手段がログイン要求を受け付けたユーザのログイン処理を実行するログイン実行手段と、を備えることを特徴としてもよい。
【００１９】
このように構成すると、ユーザが加盟店サーバにログインする際には、通常のパスワードによる認証とワンタイムパスワードによる認証を併用することによって、取引の安全性をより高めることが可能になる。
【００２０】
さらに、本発明は、前記加盟店サーバにおいて、前記ユーザ情報記憶手段には、前記ユーザＩＤと前記ユーザを認証するために指定されたパスワードが関連付けて記憶され、前記加盟店サーバは、ユーザの操作するユーザ端末から、前記ユーザを識別するユーザＩＤとＯＴＰシリアルが指定されたＯＴＰシリアルの登録要求を受け付けるＯＴＰシリアル登録要求受付手段と、前記ユーザ端末に入力されたパスワードを受け付けるパスワード受付手段と、前記ＯＴＰシリアル登録要求受付手段が登録要求を受け付けたユーザのユーザＩＤと関連付けられたパスワードを前記ユーザ情報記憶手段から読み出し、前記パスワード受付手段が受け付けたパスワードと照合して、パスワードの一致を判定するパスワード判定手段と、少なくとも前記パスワード判定手段においてパスワードが一致することを条件に、前記ＯＴＰシリアル登録要求受付手段の受け付けた登録要求に指定されたユーザＩＤとＯＴＰシリアルを関連付けて前記ユーザ情報記憶手段に登録するＯＴＰシリアル登録手段と、を備えることを特徴としてもよい。
【００２１】
このように構成すると、パスワードによるユーザの認証を前提とすることによって、加盟店サーバにおけるＯＴＰシリアルとユーザＩＤの紐付けを、安全に実行することが可能になる。
【００２２】
本発明は、本発明にかかる認証システムを構成する認証サーバとして特定することもできる。
【００２３】
第１の発明に対応する認証サーバは、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと接続された、ユーザの認証処理を行う認証サーバであって、前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、が備えられ、前記カード事業者サーバには、前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、が備えられていて、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えることを特徴とするワンタイムパスワードを用いた認証サーバである。
【００２４】
第２の発明に対応する認証サーバは、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと接続された、ユーザの認証処理を行う認証サーバであって、前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、が備えられ、前記カード事業者サーバには、前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、が備えられていて、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えることを特徴とするワンタイムパスワードを用いた認証サーバである。
【００２５】
本発明は、本発明にかかる認証システムによって実行される認証方法として特定することもできる。
【００２６】
第１の発明に対応する認証方法は、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバによって実行される認証方法であって、前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段が、前記認証サーバには、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段が備えられていて、前記加盟店サーバが、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付ステップと、前記加盟店サーバが、前記ログイン要求受付ステップでログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出ステップと、前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付ステップと、前記加盟店サーバが、前記第１のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと前記第１のＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、前記加盟店サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、前記加盟店サーバが、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付ステップと、前記加盟店サーバが、前記購入要求受付ステップで購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出ステップと、前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付ステップと、前記加盟店サーバが、前記購入要求受付ステップで受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付ステップで受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信ステップと、前記カード事業者サーバが、前記加盟店サーバが購入情報送信ステップで送信した購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信ステップと、前記カード事業者サーバが、前記購入情報受信ステップで受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、前記カード事業者サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、前記認証サーバが、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信ステップと、前記認証サーバが、前記認証要求受信ステップで受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信ステップで受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理ステップと、前記認証サーバが、前記認証処理ステップでの認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信ステップと、を有すること特徴とするワンタイムパスワードを用いた認証方法である。
【００２７】
第２の発明に対応する認証方法は、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバによって実行される認証方法であって、前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段が、前記認証サーバには、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段が備えられていて、前記加盟店サーバが、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付ステップと、前記加盟店サーバが、前記ログイン要求受付ステップでログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出ステップと、前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付ステップと、前記加盟店サーバが、前記第１のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと前記第１のＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、前記加盟店サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、前記加盟店サーバが、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付ステップと、前記加盟店サーバが、前記購入要求受付ステップで購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出ステップと、前記加盟店サーバが、前記購入要求受付ステップで受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルとを、前記カード事業者サーバに送信する購入情報送信ステップと、前記カード事業者サーバが、前記加盟店サーバが購入情報送信ステップで送信した購入情報と、ＯＴＰシリアルとを受信する購入情報受信ステップと、前記カード事業者サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰ受付ステップと、前記カード事業者サーバが、前記購入情報受信ステップで受信したＯＴＰシリアルと前記ＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、前記カード事業者サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、前記認証サーバが、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信ステップと、前記認証サーバが、前記認証要求受信ステップで受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信ステップで受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理ステップと、前記認証サーバが、前記認証処理ステップでの認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信ステップと、を有すること特徴とするワンタイムパスワードを用いた認証方法である。
【発明の効果】
【００２８】
本発明によって、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証する場合に、加盟店サーバにログインする際にも共通のワンタイムパスワードの仕組みを適用することが可能になり、かつ、購入要求時にクレジットカードのカード番号の入力を不要とすることも可能になる。そのため、ユーザに特別な操作負担をかけることなく、ネット上で商品又はサービスを購入する際の安全性が高められることになる。
【図面の簡単な説明】
【００２９】
【図１】本発明にかかる認証システムの実施形態の概要を示す図である。
【図２】本発明にかかる認証システムの構成を示すブロック図である。
【図３】本発明にかかる認証システムにおいて、ＯＴＰアプリのダウンロードを要求する手順を示す図である。
【図４】本発明にかかる認証システムにおいて、ＯＴＰアプリをダウンロードする手順を示す図である。
【図５】本発明にかかる認証システムにおいて、ＯＴＰシリアルを加盟店サーバの顧客データベースに登録する手順を示す図である。
【図６】本発明にかかる認証システムにおいて、ＯＴＰシリアルをカード事業者サーバの変換テーブルに登録する手順を示す図である。
【図７】本発明にかかる認証システムにおいて、加盟店サーバにログインする手順を示す図である。
【図８】本発明にかかる認証システムにおいて、加盟店サーバに商品等の購入を要求する手順を示す図である。
【図９】本発明にかかる認証システムにおいて、カード事業者サーバでクレジットカードによる決済を承認する手順を示す図である。
【図１０】本発明にかかる認証システムにおいて、ＯＴＰアプリのダウンロードを要求する処理フローを示すフローチャートである。
【図１１】本発明にかかる認証システムにおいて、ＯＴＰアプリをダウンロードする処理フローを示すフローチャートである。
【図１２】本発明にかかる認証システムにおいて、ＯＴＰシリアルを加盟店サーバの顧客データベースに登録する処理フローを示すフローチャートである。
【図１３】本発明にかかる認証システムにおいて、ＯＴＰシリアルをカード事業者サーバの変換テーブルに登録する処理フローを示すフローチャートである。
【図１４】本発明にかかる認証システムにおいて、加盟店サーバにログインする処理フローを示すフローチャートである。
【図１５】本発明にかかる認証システムにおいて、加盟店サーバに商品等の購入を要求する処理フローを示すフローチャートである。
【図１６】本発明にかかる認証システムにおいて、カード事業者サーバでクレジットカードによる決済を承認する処理フローを示すフローチャートである。
【発明を実施するための形態】
【００３０】
本発明を実施するための形態について、図面を用いて以下に詳細に説明する。尚、以下の説明は本発明の実施形態の一例を示したものであって、顧客が使用する端末の種別やワンタイムパスワードをダウンロードするための構成など、本発明の構成は以下に示した実施形態に限定されるものではない。
【００３１】
図１を用いて、本発明にかかる認証システムの実施形態の概要について説明する。本発明にかかる認証システムは、クレジットカードを用いて購入することが可能な商品又はサービスをネット上で提供する加盟店の加盟店サーバ、クレジットカードを発行するカード会社等のカード事業者のカード事業者サーバと、商品やサービスを購入するユーザの認証処理を行う認証サーバから構成されている。
【００３２】
本発明において顧客の認証に用いられるワンタイムパスワードは、認証システムにおいて管理されている。ワンタイムパスワードは、ＯＴＰアプリの所定のロジックに顧客によって異なるＯＴＰシードを適用することによって生成されるが、顧客によって異なるＯＴＰシードを識別するコードとして、顧客毎にＯＴＰシリアルが割り当てられる。
【００３３】
顧客毎に割り当てられたＯＴＰシリアルとこれに対応するＯＴＰシードは、認証システムの認証データベースに関連付けて記憶される。また、顧客が操作する端末に、その顧客に割り当てられたＯＴＰシリアルとＯＴＰシード、認証システムと同じＯＴＰアプリを記憶させることによって、顧客が操作する端末と認証システムを同期させ、同一のワンタイムパスワードを生成して認証に用いることが可能になる。
【００３４】
以下に説明する実施形態では、カード事業者の発行するクレジットカードを用いて加盟店で商品やサービスを購入する顧客は、ワンタイムパスワードを表示する端末として携帯電話を、インターネットに接続して加盟店のサイトで商品やサービスを購入する操作を行う端末としてＰＣ（パーソナルコンピュータ）を使用するものとする。この場合、顧客の携帯電話には、認証システムと同じＯＴＰアプリ、その顧客に割り当てられたＯＴＰシリアルとＯＴＰシードが予めダウンロードされた状態となっている。
【００３５】
認証システムにおいて顧客が入力したワンタイムパスワードを受け付ける際には、その顧客に割り当てられたＯＴＰシリアルを特定することができれば、対応するＯＴＰシードからワンタイムパスワードを生成することができるので、認証システムにおいて生成したワンタイムパスワードとの一致から、顧客の認証を行うことができる。
【００３６】
本発明において、加盟店サーバの顧客データベースには、加盟店で顧客を識別するために用いられているユーザＩＤと、その顧客をワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルが関連付けて記憶されている。これによって、加盟店サーバに顧客がログインする際には、顧客のユーザＩＤが特定されれば、ＯＴＰシリアルを入力しなくても顧客を識別することができるので、加盟店サーバにおいてユーザＩＤに対応するＯＴＰシリアルを特定し、認証システムに問い合わせを行うことでワンタイムパスワードによる認証を行うことができる。
【００３７】
また、加盟店サーバにログインしている顧客が、加盟店においてクレジットカードを用いて商品やサービスを購入することを要求すると、加盟店サーバからカード事業者サーバにクレジットカードによる決済承認を要求する際に、商品コードや購入金額等の購入情報とあわせて顧客のＯＴＰシリアルと顧客が入力したワンタイムパスワードを送信する。カード事業者サーバは受信したＯＴＰシリアルとワンタイムパスワードを認証システムに送信して問い合わせを行うことによって、ワンタイムパスワードによる認証を受けることができる。
【００３８】
以上の構成によって、本発明では、顧客は一のＯＴＰシリアル等をダウンロードしておくだけで、加盟店サーバへのログイン時、加盟店サーバでのクレジットカードを用いた商品やサービスの購入時のいずれにおいても、ワンタイムパスワードによる安全性の高い認証手段を利用することが可能になる。
【００３９】
さらに本発明では、カード事業者サーバに顧客の保有するクレジットカードのカード番号と顧客に割り当てられたＯＴＰシリアルを関連付けた変換テーブルを設けることによって、加盟店サーバからＯＴＰシリアルを指定したクレジットカードの決済要求を受け付けると、顧客にカード番号の入力を求めなくても、カード事業者サーバにおいてカード番号を特定し、通常のクレジットカード決済で行われるオーソリゼーションを行うことが可能になる。この決済スキームによると、顧客の端末にカード番号が入力されてネット上に送信されることがないので、カード番号の流出リスクの低減にも効果的である。
【００４０】
図２を用いて、本発明にかかる認証システムの構成について説明する。
【００４１】
加盟店サーバ１０は、インターネットに接続され、顧客端末（ＰＣ）６０との通信が可能なＷｅｂサーバであって、ＯＴＰシリアル登録部１１、ログイン受付部１２、購入要求受付部１３を備えて構成されている。これらの各部はいずれも機能的に特定されるものであって、各々の機能に必要な処理を実行するためのアプリケーションプログラムが加盟店サーバ１０を構成するコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されることによって、各々の機能が実現される。
【００４２】
また、加盟店サーバ１０には、顧客ＤＢ（データベース）１４が備えられている。顧客ＤＢ（データベース）１４には、コンピュータのＨＤＤ等の所定の記憶領域が割り当てられるが、ハードウェアの構成は特に限定されるものではなく、Ｗｅｂサーバとして機能するコンピュータの一部が用いられてもよいし、データベースサーバとして異なるコンピュータが用いられるものであってもよい。
【００４３】
ＯＴＰ認証システム２０は、ＯＴＰ認証申込受付サーバ２１、ダウンロードサーバ２２、認証サーバ２３、認証ＤＢ（データベース）２４を含んで構成されている。これらのサーバ、データベースの物理的な構成は特に限定されるものではなく、複数のサーバ等の機能が同一のコンピュータによって実現されるものであってもよい。
【００４４】
ＯＴＰ認証申込受付サーバ２１、ダウンロードサーバ２２は、インターネットに接続され、それぞれ顧客端末（ＰＣ）６０、顧客端末（携帯電話）７０との通信が可能なＷｅｂサーバであって、各々のサーバの機能に必要な処理を実行するためのアプリケーションプログラムがコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されることによって、各々の機能が実現される。
【００４５】
認証サーバ４３は、加盟店サーバ１０、カード事業者サーバ３０とネットワークを介して接続されたサーバコンピュータであって、加盟店サーバ１０、カード事業者サーバ３０からの認証要求に対応して認証処理を実行するためのアプリケーションプログラムがコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されることによって、認証機能が実現される。認証サーバ４３と加盟店サーバ１０、カード事業者サーバ３０を接続するネットワークはインターネットに限定されるものではない。
【００４６】
認証ＤＢ（データベース）２４には、コンピュータのＨＤＤ等の所定の記憶領域が割り当てられるが、ハードウェアの構成は特に限定されるものではなく、認証サーバ２３等のサーバとして機能するコンピュータの一部が用いられてもよいし、データベースサーバとして異なるコンピュータが用いられるものであってもよい。
【００４７】
カード事業者サーバ３０は、インターネットに接続され、顧客端末（ＰＣ）６０との通信が可能なＷｅｂサーバであって、ＯＴＰシリアル登録部３１、認証処理部３２を備えて構成されている。これらの各部はいずれも機能的に特定されるものであって、各々の機能に必要な処理を実行するためのアプリケーションプログラムがカード事業者サーバ３０を構成するコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されることによって、各々の機能が実現される。
【００４８】
また、カード事業者サーバ３０には変換ＴＢ（テーブル）３３が備えられている。変換ＴＢ（テーブル）３３には、コンピュータのＨＤＤ等の所定の記憶領域が割り当てられるが、ハードウェアの構成は特に限定されるものではなく、Ｗｅｂサーバとして機能するコンピュータの一部が用いられてもよいし、データベースサーバとして異なるコンピュータが用いられるものであってもよい。
【００４９】
オーソリシステム４０、３−Ｄ認証サーバ５０は、それぞれカード事業者サーバ３０における決済の承認要求に対するオーソリゼーションや、暗証番号等による顧客の認証を実行するために、ネットワークを介してカード事業者サーバ３０と接続されたコンピュータであるが、本発明においてこれらの構成は特に限定されるものではなく、カード事業者サーバ３０とネットワークを介して接続され、カード事業者サーバ３０からの要求に対して所定の処理を実行するものであればよい。
【００５０】
以上に説明した認証システムの構成を前提にして、本発明にかかる認証システムの動作について、図３〜図１６を用いて以下に説明する。
【００５１】
図３は、本発明にかかる認証システムにおいて、ＯＴＰアプリのダウンロードを要求する手順を示しており、図１０がＯＴＰ認証申込受付サーバ２１における処理フローを示すフローチャートである。
【００５２】
顧客端末（ＰＣ）６０を操作し、加盟店サーバ１０にアクセスして商品やサービスを購入する顧客が、ＯＴＰ認証（ワンタイムパスワードによる認証）サービスを利用したい場合は、加盟店サーバ１０から提供されるＷｅｂページでＯＴＰ認証サービスの申込を選択する（図３の（１））。リンク等の機能によってＯＴＰ認証申込受付サーバ２１にジャンプし（図３の（２））、顧客端末（ＰＣ）６０はカード事業者サーバ３０にアクセスする（図３の（３））。
【００５３】
ここで、ＯＴＰ認証申込のためのアクセスを受け付けたＯＴＰ認証申込受付サーバ２１では、図１０のフローチャートに示した処理が行われる。顧客端末（ＰＣ）６０からＯＴＰ認証の申込要求を受け付けると（Ｓ０１）、申込要求を受け付けた顧客の認証に用いるための、ＯＴＰシードと関連付けられたＯＴＰシリアルを割り当てる（Ｓ０２）。割り当てられたＯＴＰシリアルとこれに関連付けられたＯＴＰシードは、認証ＤＢ２４に記憶されるが、ここで割り当てられるＯＴＰシリアルとＯＴＰシードは新たに認証ＤＢ２４に記憶されるものであってもよいし、あらかじめ認証ＤＢ２４に記憶されたＯＴＰシリアルとＯＴＰシードのいずれかの組み合わせを選択して有効な状態とするものであってもよい。
【００５４】
また、ここで割り当てられたＯＴＰシリアルに対してダウンロード用のＩＤとパスワードを採番し、顧客に割り当てたＯＴＰシリアルと関連付けて認証ＤＢ２４に記憶させる。このダウンロード用のＩＤとパスワードが、ＯＴＰアプリとＯＴＰシリアル、ＯＴＰシードをダウンロードするためのダウンロードサーバ２２のＵＲＬとあわせて所定の用紙等に出力され（Ｓ０３）、郵便等で顧客に送付される（図３の（４））。
【００５５】
図４は、本発明にかかる認証システムにおいて、ＯＴＰアプリをダウンロードする手順を示しており、図１１がダウンロードサーバ２２における処理フローを示すフローチャートである。
【００５６】
ダウンロード用のＩＤとパスワード、ＯＴＰアプリ等をダウンロードするためのダウンロードサーバ２２のＵＲＬを受け取った顧客は、顧客端末（携帯電話）７０を操作から指定されたダウンロードサーバ２２のＵＲＬにアクセスして、ＯＴＰアプリをダウンロードする（図４の（１））。ここでダウンロードされるＯＴＰアプリはどの顧客にも共通のものなので、この段階ではダウンロード用のＩＤとパスワードの入力は要求されない。
【００５７】
次に、顧客端末（携帯電話）７０にダウンロード用のＩＤとパスワードを入力して、これをダウンロードサーバ２２に送信する（図４の（２））。ダウンロードサーバ２２では、認証ＤＢ２４を検索して、認証ＤＢ２４に記憶されている有効なＩＤ、パスワードの中に一致する組み合わせが確認された場合には、このＩＤ、パスワードと関連付けられたＯＴＰシリアル、ＯＴＰシードを認証ＤＢ２４から読み出して、顧客端末（携帯電話）７０にダウンロードさせる（図４の（３））。ここでダウンロードされるＯＴＰシリアルとＯＴＰシードは顧客毎にユニークなものとなるので、このＯＴＰシードを用いてＯＴＰアプリでＯＴＰ（ワンタイムパスワード）を生成することによって、顧客のＯＴＰ認証が可能になる。
【００５８】
以上の手順を、ダウンロードサーバ２２における処理フローとして示したのが、図１１のフローチャートである。ダウンロードサーバ２２が顧客端末（携帯電話）７０からＯＴＰアプリのダウンロード要求を受け付けると（Ｓ１１）、顧客端末（携帯電話）７０にＯＴＰアプリをダウンロードさせる（Ｓ１２）。続いて、顧客端末（携帯電話）７０に入力されたダウンロード用のＩＤとパスワードを受け付ける（Ｓ１３）。
【００５９】
ここで認証ＤＢ２４を検索し、認証ＤＢ２４に記憶されている有効なＩＤ、パスワードのいずれかと一致する場合には（Ｓ１４）、このＩＤ、パスワードと関連付けられたＯＴＰシリアル、ＯＴＰシードを認証ＤＢ２４から読み出して、顧客端末（携帯電話）７０にダウンロードさせる（Ｓ１５）。一致するＩＤ、パスワードが存在しない場合、又は、一致するＩＤ、パスワードが既にダウンロード済や期限切れなど無効なものである場合には、エラー処理となる（Ｓ１６）。
【００６０】
図５は、本発明にかかる認証システムにおいて、ＯＴＰシリアルを加盟店サーバ１０の顧客ＤＢ１４に登録する手順を示しており、図１２が加盟店サーバ１０における処理フローを示すフローチャートである。
【００６１】
加盟店サーバ１０の提供するサービスを利用する顧客には、顧客を識別するユーザＩＤが割り当てられ、このユーザＩＤは認証用のパスワードと関連付けて顧客ＤＢ１４に登録されている。ユーザＩＤが割り当てられた顧客は、顧客端末（ＰＣ）６０を操作して加盟店サーバ１０にアクセスすると、ログイン受付部１２が起動されてユーザＩＤとパスワードによる認証が行われ、加盟店サーバ１０へのログインが実行される（図５の（１））。
【００６２】
顧客がログインした状態でＯＴＰシリアルの登録メニューを選択すると、加盟店サーバ１０のＯＴＰシリアル登録部１１が起動される。顧客は顧客端末（携帯電話）７０にダウンロードされたＯＴＰアプリを起動して、顧客端末（携帯電話）７０にＯＴＰシリアルを表示させ、これを顧客端末（ＰＣ）６０に入力して加盟店サーバ１０に送信する。加盟店サーバ１０では、受信したＯＴＰシリアルをユーザＩＤと関連付けて顧客ＤＢ１４に記憶させる（図５の（２））。
【００６３】
以上の手順を、加盟店サーバ１０のログイン受付部１２とＯＴＰシリアル登録部１１における処理フローとして示したのが、図１２のフローチャートである。加盟店サーバ１０が顧客端末（ＰＣ）６０からログイン要求を受け付けると（Ｓ２１）、顧客端末（ＰＣ）６０にユーザＩＤとパスワードの入力を要求し、顧客端末（ＰＣ）６０に入力されたユーザＩＤとパスワードを受け付ける（Ｓ２２）。
【００６４】
ここで顧客ＤＢ１４を検索し、顧客ＤＢ１４に記憶されている有効なユーザＩＤ、パスワードのいずれかと一致する場合には（Ｓ２３）、ログインの処理を実行する（Ｓ２４）。ログインした状態で、顧客端末（ＰＣ）６０からＯＴＰシリアルが指定された登録要求を受け付けると（Ｓ２５）、ログイン中の顧客のユーザＩＤと関連付けて顧客ＤＢ１４に受け付けたＯＴＰシリアルを書き込む（Ｓ２６）。一方、一致するＩＤ、パスワードが存在しない場合、又は、一致するＩＤ、パスワードが退会済や期限切れなど無効なものである場合には、エラー処理となる（Ｓ２７）。
【００６５】
図６は、本発明にかかる認証システムにおいて、ＯＴＰシリアルをカード事業者サーバ３０の変換ＴＢ３３に登録する手順を示しており、図１３がカード事業者サーバ３０における処理フローを示すフローチャートである。
【００６６】
カード事業者サーバ３０を運用するカード事業者が発行するクレジットカードを利用している顧客が、顧客端末（ＰＣ）６０を操作してカード事業者サーバ３０にアクセスする。顧客がクレジットカードによって決済を行う際にＯＴＰ認証を利用したい場合には、カード事業者サーバ３０でＯＴＰシリアルの登録メニューを選択し、カード事業者サーバ３０ではＯＴＰシリアル登録部３１が起動される。
【００６７】
顧客は顧客端末（携帯電話）７０にダウンロードされたＯＴＰアプリを起動してＯＴＰシリアルを表示させ、さらに顧客端末（携帯電話）７０にはＯＴＰシードを用いて生成されたＯＴＰが表示される。顧客は顧客端末（携帯電話）７０に表示されたＯＴＰシリアルとＯＴＰを顧客端末（ＰＣ）６０に入力して、カード事業者サーバ３０に送信する。
【００６８】
ＯＴＰシリアルとＯＴＰを受信したカード事業者サーバ３０では、認証処理部３２が起動されて、これらを認証サーバ２３に送信して顧客のＯＴＰ認証を要求する。認証サーバ２３では、カード事業者サーバ３０から受信したＯＴＰシリアルに対応するＯＴＰシードを認証ＤＢ２４から読み出し、このＯＴＰシードから顧客端末（携帯電話）７０にダウンロードされたものと同じＯＴＰアプリを用いてＯＴＰを生成し、カード事業者サーバ３０から受信したＯＴＰと一致するか否かによって、顧客のＯＴＰ認証を行う（図６の（１））。一致した場合は顧客本人と認証されたこと、一致しない場合は顧客本人と認証されなかったことを示す認証結果が、カード事業者サーバ３０に返信される。
【００６９】
また、カード事業者サーバ３０では、カード利用者を確認するために、顧客にクレジットカードのカード番号の入力を要求する。あわせて、顧客がクレジットカード保有者本人であることを確認するために、クレジットカードに印字されたセキュリティコードなどの入力を要求する。顧客は要求された情報を顧客端末（ＰＣ）６０に入力して、カード事業者サーバ３０に送信する（図６の（２））。
【００７０】
顧客のカード番号とセキュリティコードなどの認証コードを受信したカード事業者サーバ３０は、これらをオーソリシステム４０に送信して顧客の本人確認を要求すると、オーソリシステム４０ではクレジットカード利用時と同様にオーソリゼーションを実行し、確認結果がカード事業者サーバ３０に返信される（図６の（３））。認証サーバ２３によるＯＴＰ認証、オーソリシステム４０によるオーソリゼーションにより、いずれも顧客本人であることが確認された場合には、顧客端末（ＰＣ）６０から受信した顧客のクレジットカードのカード番号とＯＴＰシリアルを、変換ＴＢ３３に関連付けて登録する（図６の（４））。
【００７１】
尚、上記のカード利用者を確認する方法は、カード利用者本人であることが確認できるものであれば、オーソリシステム４０を用いたオーソリゼーションに限定されるものではなく、例えば３−Ｄ認証サーバ５０を利用した３−Ｄセキュアなど、顧客があらかじめ登録した暗証番号等を利用した方式によることとしてもよい。本人認証を確実に行うためには、これらの方式を併用することが好ましい。
【００７２】
以上の手順を、カード事業者サーバ３０のＯＴＰシリアル登録部３１と認証処理部３２における処理フローとして示したのが、図１３のフローチャートである。カード事業者サーバ３０が顧客端末（ＰＣ）６０からＯＴＰシリアルの登録要求を受け付けると（Ｓ３１）、顧客端末（ＰＣ）６０にＯＴＰシリアルとＯＴＰの入力を要求し、顧客端末（ＰＣ）６０に入力されたＯＴＰシリアルとＯＴＰを受け付ける（Ｓ３２）。
【００７３】
続いて、ＯＴＰ認証により本人認証を行うために、受信したＯＴＰシリアルとＯＴＰを送信して認証サーバ２３に問い合わせを行う（Ｓ３３）。認証サーバ２３によるＯＴＰ認証の認証結果により本人であることが確認された場合は（Ｓ３４）、顧客端末（ＰＣ）６０に入力されたカード番号とセキュリティコード等を受け付ける（Ｓ３５）。さらに、カード利用者の本人認証を行うために、受信したカード番号とセキュリティコード等を送信してオーソリシステム４０に問い合わせを行う（Ｓ３６）。オーソリシステム４０によるオーソリゼーションの結果によりカード利用者本人であることが確認された場合は（Ｓ３７）、顧客端末（ＰＣ）６０から受信したカード番号とＯＴＰシリアルを紐付けて、変換ＴＢ３３に登録する（Ｓ３８）。認証サーバ２３による認証、又は、オーソリシステム４０によるオーソリゼーションのいずれかの結果で本人であることが確認されなかった場合には、エラー処理となる（Ｓ３９）。
【００７４】
尚、上記のフローにおいて、認証サーバ２３による認証とオーソリシステム４０によるオーソリゼーションの処理順は特に限定されるものではなく、オーソリゼーションが先に行われるものであってもよい。また、カード利用者本人の確認方法がオーソリゼーションのみに限定されず、３−Ｄセキュア等の方式を併用してもよいことは、先に説明したとおりである。
【００７５】
以上の図３〜図６、図１０〜図１３によって説明したように、顧客端末（携帯電話）７０にはＯＴＰアプリ、ＯＴＰシリアル、ＯＴＰシードがダウンロードされ、加盟店サーバ１０の顧客ＤＢ１４にはユーザＩＤとＯＴＰシリアルが関連付けて記憶され、カード事業者サーバ３０の変換ＴＢ３３にはカード番号とＯＴＰシリアルが関連付けて記憶されているという前提で、本発明では以下に説明するように、加盟店サーバ１０へのログイン時と、加盟店サーバ１０でのクレジットカードを用いた商品やサービスの購入時において、認証サーバ２３によるＯＴＰ認証が行われることになる。尚、本発明を実施するためにはこのような前提が整えられていればよく、ＯＴＰアプリをダウンロードする処理手順等は、これまで説明した方法に限定されるものではない。
【００７６】
図７は、本発明にかかる認証システムにおいて、加盟店サーバ１０にログインする手順を示しており、図１４が加盟店サーバ１０における処理フローを示すフローチャートである。
【００７７】
顧客が顧客端末（ＰＣ）６０を操作して加盟店サーバ１０にアクセスして、ログインを要求すると、ログイン受付部１２が起動されてユーザＩＤとパスワードによる認証が行われる（図７の（１））。ここで、固定のパスワード（顧客ＤＢ１４に登録されているパスワード）とあわせてＯＴＰの入力が要求され、顧客は顧客端末（携帯電話）７０にダウンロードされたＯＴＰアプリを起動してＯＴＰを表示させ、顧客端末（携帯電話）７０に表示されたＯＴＰを顧客端末（ＰＣ）６０に入力して、加盟店サーバ１０に送信する（図７の（２））。
【００７８】
ＯＴＰを受信した加盟店サーバ１０では、先に固定のパスワードにより認証されたユーザＩＤと関連付けて記憶されたＯＴＰシリアルを顧客ＤＢ１４から読み出す。本発明では、このようにあらかじめ登録されたＯＴＰシリアルを読み出して用いることによって、顧客にＯＴＰシリアルを入力させることなく、ＯＴＰ認証に必要なＯＴＰシリアルを特定することが可能になっている。
【００７９】
続いて、顧客端末（ＰＣ）６０から受信したＯＴＰと顧客ＤＢ１４から読み出したＯＴＰシリアルを認証サーバ２３に送信して、顧客のＯＴＰ認証を要求する。認証サーバ３０では、加盟店サーバ１０から受信したＯＴＰシリアルに対応するＯＴＰシードを認証ＤＢ２４から読み出し、このＯＴＰシードから顧客端末（携帯電話）７０にダウンロードされたものと同じＯＴＰアプリを用いてＯＴＰを生成し、加盟店サーバ１０から受信したＯＴＰと一致するか否かによって、顧客のＯＴＰ認証を行う（図７の（３））。一致した場合は顧客本人と認証されたこと、一致しない場合は顧客本人と認証されなかったことを示す認証結果が、加盟店サーバ１０に返信される。
【００８０】
加盟店サーバ１０では、ＯＴＰ認証により本人認証が行われたことを条件にして、ログインの処理を行う。以上のように、加盟店サーバ１０では、固定のパスワードによる認証とＯＴＰによる認証を併用することによって、ログインの際の本人認証を強化し、取引の安全性を高めることとしている。
【００８１】
以上の手順を、加盟店サーバ１０のログイン受付部１２における処理フローとして示したのが、図１４のフローチャートである。加盟店サーバ１０が顧客端末（ＰＣ）６０からログイン要求を受け付けると（Ｓ４１）、顧客端末（ＰＣ）６０にユーザＩＤとパスワードの入力を要求し、顧客端末（ＰＣ）６０に入力されたユーザＩＤとパスワードを受け付ける（Ｓ４２）。
【００８２】
ここで顧客ＤＢ１４を検索し、顧客ＤＢ１４に記憶されている有効なユーザＩＤ、パスワードのいずれかと一致するかを確認する（Ｓ４３）。一致する場合には、顧客端末（ＰＣ）６０にＯＴＰの入力を要求し、顧客端末（ＰＣ）６０に入力されたＯＴＰを受け付ける（Ｓ４４）。さらに、顧客ＤＢ１４から、先にパスワードにより認証されたユーザＩＤに対応するＯＴＰシリアルを読み出し（Ｓ４５）、ＯＴＰ認証により本人認証を行うために、受信したＯＴＰと読み出したＯＴＰシリアルを送信して認証サーバ２３に問い合わせを行う（Ｓ４６）。
【００８３】
認証サーバ２３によるＯＴＰ認証の認証結果により本人認証が行われたことが確認された場合は（Ｓ４７）、ログインのための処理が実行される（Ｓ４８）。固定のパスワードによる認証、又は、認証サーバ２３による認証のいずれかにおいて本人であると認証されなかった場合には、エラー処理となる（Ｓ４９）。
【００８４】
図８は、本発明にかかる認証システムにおいて、加盟店サーバ１０に商品等の購入を要求する手順を示しており、図１５が加盟店サーバ１０における処理フローを示すフローチャートである。
【００８５】
顧客が加盟店サーバ１０にログインした状態で、加盟店サーバ１０の提供する商品やサービスの購入を要求する。顧客端末（ＰＣ）６０からは、購入したい商品の商品コードや数量等の購入情報が加盟店サーバ１０に送信されるとともに、ＯＴＰの入力が要求され、顧客は顧客端末（携帯電話）７０にダウンロードされたＯＴＰアプリを起動してＯＴＰを表示させ、顧客端末（携帯電話）７０に表示されたＯＴＰを顧客端末（ＰＣ）６０に入力して、加盟店サーバ１０に送信する（図８の（１））。
【００８６】
加盟店サーバ１０では購入要求受付部１３が起動され、受信した購入情報、ＯＴＰとあわせて、ログイン中の顧客のユーザＩＤと関連付けて記憶されたＯＴＰシリアルを顧客ＤＢ１４から読み出して、カード事業者サーバ３０に送信する（図８の（２））。本発明では、このようにあらかじめ登録されたＯＴＰシリアルを読み出して用いることによって、顧客にＯＴＰシリアルを入力させることなく、ＯＴＰ認証に必要なＯＴＰシリアルを特定することが可能になっている。
【００８７】
尚、後にも説明するように、ＯＴＰ認証のために顧客が入力するＯＴＰは、上記のように加盟店サーバ１０からの入力要求に対して送信される方式に限定されるものではなく、購入情報等を受信したカード事業者サーバ３０からの入力要求に対して送信される方式をとることとしてもよい。後者の場合には、加盟店サーバ１０からカード事業者サーバ３０には購入情報とＯＴＰシリアルが送信され、送信される情報にＯＴＰは含まれないことになる。
【００８８】
以上の手順を、加盟店サーバ１０の購入要求受付部１３における処理フローとして示したのが、図１５のフローチャートである。加盟店サーバ１０が顧客端末（ＰＣ）６０から商品やサービスの購入情報が指定された購入要求を受け付けると（Ｓ５１）、顧客端末（ＰＣ）６０にＯＴＰの入力を要求し、顧客端末（ＰＣ）６０に入力されたＯＴＰを受け付ける（Ｓ５２）。さらに、顧客ＤＢ１４から、ログイン中のユーザＩＤに対応するＯＴＰシリアルを読み出し（Ｓ５３）、受信した購入情報、ＯＴＰと読み出したＯＴＰシリアルをカード事業者サーバ３０に送信する（Ｓ５４）。尚、ここでＯＴＰを含まずにカード事業者サーバ３０で受け付けるよう構成してもよいことは、先に説明したとおりである。
【００８９】
図９は、本発明にかかる認証システムにおいて、カード事業者サーバでクレジットカードによる決済を承認する手順を示しており、図１６がカード事業者サーバ３０における処理フローを示すフローチャートである。
【００９０】
カード事業者サーバ３０が加盟店サーバ１０から購入情報、ＯＴＰシリアル、ＯＴＰを受信すると（図９の（１））、認証処理部３２が起動され、受信したＯＴＰとＯＴＰシリアルを認証サーバ２３に送信して、顧客のＯＴＰ認証を要求する。認証サーバ３０では、カード事業者サーバ３０から受信したＯＴＰシリアルに対応するＯＴＰシードを認証ＤＢ２４から読み出し、このＯＴＰシードから顧客端末（携帯電話）７０にダウンロードされたものと同じＯＴＰアプリを用いてＯＴＰを生成し、カード事業者サーバ３０から受信したＯＴＰと一致するか否かによって、顧客のＯＴＰ認証を行う（図９の（２））。一致した場合は顧客本人と認証されたこと、一致しない場合は顧客本人と認証されなかったことを示す認証結果が、カード事業者サーバ３０に返信される。
【００９１】
尚、認証サーバ２３に送信するＯＴＰについては、加盟店サーバ１０から受信するのではなく、カード事業者サーバ３０から顧客端末（ＰＣ）６０に入力を要求し、顧客端末（ＰＣ）６０からカード事業者サーバ３０が受信したＯＴＰを用いることとしてもよい。
【００９２】
次に、カード事業者サーバ３０が受信したＯＴＰシリアルに対応するクレジットカードのカード番号を、変換ＴＢ３３から読み出して（図９の（３））、決済に用いられるクレジットカードのカード番号を特定する。このように、顧客にカード番号を送信させることなくカード番号を特定するよう構成すれば、クレジットカードのカード番号がネット上で送受信されることを回避できるため、カード番号の流出リスクを低減することに効果的である。
【００９３】
続いて、カード事業者サーバ３０が受信した購入情報と読み出したカード番号をオーソリシステム４０に送信して、クレジットカードによる決済の可否についてオーソリゼーションを要求する。オーソリゼーションの際には、図６で説明したようなセキュリティコードや３−Ｄセキュア等による認証を要求することとしてもよい。オーソリシステム４０での承認の結果はカード事業者サーバ３０に返信され（図９の（４））、ＯＴＰ認証による本人認証とオーソリゼーションの結果から、クレジットカードによる決済の可否を判断して加盟店サーバ１０に返信される。
【００９４】
尚、以上の説明では、顧客が決済に用いるクレジットカードのカード番号を、変換ＴＢ３３から読み出して特定することとしているが、ＯＴＰシリアルとして使用される番号にクレジットカードのカード番号と同じ番号を用いれば、変換ＴＢ３３を用いたＯＴＰシリアルからカード番号への変換が不要になる。例えば、加盟店サーバ１０でサービスを提供する加盟店に専用のハウスカード等を発行して、クレジットカードの発行とＯＴＰシリアルの割り当てをあわせて行うように運用すれば、かかる実施形態も可能になる。
【００９５】
以上の手順を、カード事業者サーバ３０の認証処理部３２における処理フローとして示したのが、図１６のフローチャートである。カード事業者サーバ３０は、加盟店サーバ１０から購入情報、ＯＴＰシリアル、ＯＴＰを受け付ける（Ｓ５５）。ここで加盟店サーバからＯＴＰを受け付けない場合には、顧客端末（ＰＣ）６０にＯＴＰの入力を要求し、顧客端末（ＰＣ）６０に入力されたＯＴＰを受け付ける（Ｓ５６）。
【００９６】
続いて、ＯＴＰ認証により本人認証を行うために、受信したＯＴＰシリアルとＯＴＰを送信して認証サーバ２３に問い合わせを行う（Ｓ５７）。認証サーバ２３によるＯＴＰ認証の認証結果により本人であると認証されたことが確認された場合は（Ｓ５８）、変換ＴＢ３３から受信したＯＴＰシリアルに対応するカード番号を読み出し（Ｓ５９）、顧客端末（ＰＣ）６０に入力されたセキュリティコード等の認証に必要な情報を受け付けて、クレジットカードによる決済の可否を確認するために、読み出したカード番号とセキュリティコード等を送信してオーソリシステム４０に問い合わせを行う（Ｓ６０）。
【００９７】
オーソリシステム４０によるオーソリゼーションの結果によりクレジットカードによる決済が可能であることが確認された場合は（Ｓ６１）、加盟店サーバ１０にクレジットカードによる決済が承認されたことを送信する（Ｓ６２）。認証サーバ２３による認証、又は、オーソリシステム４０によるオーソリゼーションのいずれかがＮＧであった場合には、エラー処理となる（Ｓ６３）。
【符号の説明】
【００９８】
１０ 加盟店サーバ
１１ ＯＴＰ認証申込受付部
１２ ＯＴＰシリアル登録部
１３ ログイン受付部
１４ 購入要求受付部
１５ 顧客データベース
２０ ＯＴＰ認証システム
２１ ＯＴＰ認証申込受付サーバ
２２ ダウンロードサーバ
２３ 認証サーバ
２４ 認証データベース
３０ カード事業者サーバ
３１ ＯＴＰシリアル登録部
３２ 認証処理部
３３ 変換テーブル
４０ オーソリシステム
５０ ３−Ｄ認証サーバ
６０ 顧客端末（ＰＣ）
７０ 顧客端末（携帯電話）
【技術分野】
【０００１】
本発明は、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための認証システム、認証サーバ及び認証方法に関するものである。
【背景技術】
【０００２】
近年、インターネットを利用した電子商取引の拡大に伴い、ネット上で購入した商品やサービスの代金決済にクレジットカードが用いられる機会が増加している。従来の店舗に設置されたＣＡＴ端末と専用のネットワークを用いた決済に比べ、ネット上でクレジットカードによる決済を行うと、クレジットカードのカード番号流出による不正取引のリスクが著しく高まることとなり、クレジットカードの安全対策が電子商取引における重要な課題となっている。
【０００３】
これに対して、ネット上でクレジットカードを利用して代金決済を行う際に、クレジットカードに印字されたセキュリティコードの入力を求めたり、クレジットカードのカード番号とあわせてカード会社に登録したパスワードを入力させたりすることによって、クレジットカードの所有者であることを確認する本人認証が利用されるようになっている（例えば、非特許文献１、非特許文献２参照）。
【０００４】
また、パスワードが流出するリスクを回避できる方法として、ワンタイムパスワード（ＯＴＰ）が利用されることもあり、例えば、専用の補助装置にＩＣカードを挿入すると、生体情報による本人認証を条件に、クレジットカードのカード番号とワンタイムパスワードが表示され、このワンタイムパスワードによってクレジットカード利用時の本人認証を行う発明が開示されている（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−１５９２４号公報
【非特許文献】
【０００６】
【非特許文献１】「３−Ｄセキュア」の解説、ＩＴ用語辞典・ｅ−Ｗｏｒｄｓホームページ、［２００９年１１月２日検索]、インターネット＜URL：http://e-words.jp/w/3-DE382BBE382ADE383A5E382A2.html＞
【非特許文献２】安全なオンラインショッピング、Ｖｉｓａ Ｉｎｃ．・ＶＩＳＡカードホームページ、［２００９年１１月２日検索]、インターネット＜URL： http://www.visa-asia.com/ap/jp/cardholders/security/vbv.shtml＞
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１記載の発明のように、ワンタイムパスワードを利用することで取引の安全性が高められることになるが、安全性や利便性の観点から、引続きいくつかの課題を有するものとなっている。第１に、顧客がネット上でクレジットカードを利用して代金決済を行うケースでは、その前提として何らかの商品販売サイトやサービス提供サイトにログインした状態にあることが多いと考えられるが、安全性の高いワンタイムパスワードを利用するのであれば、クレジットカードの決済承認を行うときだけでなく、これらのサイトにログインをする際にも、共通のワンタイムパスワードの仕組みを用いて認証を行うこととすれば、取引を行う入口段階での安全性も強化することが可能になると考えられる。
【０００８】
第２に、特許文献１記載の発明でも顧客にはクレジットカードのカード番号を入力することが求められ、このカード番号はネットワークを介して送信されるため（特許文献１の段落０１２５等参照）、ネットワーク上においてカード番号が流出するリスクが生じてしまうことになるが、顧客の操作する端末から、購入要求のたびにクレジットカードのカード番号を送信しなくても認証可能な仕組みが提供されることが好ましい。
【０００９】
本発明は、このような課題に対応するためになされたものであり、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証し、加盟店サーバにログインする際にも共通のワンタイムパスワードの仕組みを適用することが可能であり、かつ、購入要求時にクレジットカードのカード番号の入力を不要とする認証システム、認証サーバ及び認証方法を提供することを目的とするものである。
【課題を解決するための手段】
【００１０】
本発明にかかる課題を解決する第１の発明は、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバからなる認証システムであって、前記加盟店サーバは、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、を備え、前記カード事業者サーバは、前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、を備え、前記認証サーバは、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えることを特徴とするワンタイムパスワードを用いた認証システムである。
【００１１】
本発明にかかる課題を解決する第２の発明は、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバからなる認証システムであって、前記加盟店サーバは、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルとを、前記カード事業者サーバに送信する購入情報送信手段と、を備え、前記カード事業者サーバは、前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルとを受信する購入情報受信手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰ受付手段と、前記購入情報受信手段の受信したＯＴＰシリアルと前記ＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、を備え、前記認証サーバは、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えることを特徴とするワンタイムパスワードを用いた認証システムである。
【００１２】
本発明では、加盟店サーバ、カード事業者サーバを共通のＯＴＰシリアル等を用いてワンタイムパスワードによる認証を行う認証サーバと接続し、それぞれ加盟店サーバへのログイン時、加盟店サーバが受け付けた購入要求に対するカード事業者サーバでのクレジットカードによる決済承認時において、ユーザの認証に認証サーバの提供するワンタイムパスワードを利用することによって、ユーザはワンタイムパスワードの利用に必要な一のＯＴＰシリアルとＯＴＰシードをユーザの操作する端末に記憶させるだけで、ログイン時、購入承認時の二段階でワンタイムパスワードによる認証を受けることが可能になり、取引の安全性が高められることとなっている。
【００１３】
尚、本発明のうち、購入承認時にユーザが入力したワンタイムパスワードを、第１の発明では加盟店サーバで受け付けるのに対して、第２の発明ではカード事業者サーバで受け付ける構成となる。
【００１４】
また、本発明は、前記カード事業者サーバは、ユーザの利用するクレジットカードのカード番号と前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するカード情報記憶手段と、前記加盟店サーバの購入情報送信手段から送信されたＯＴＰシリアルと関連付けられたカード番号を、前記カード情報記憶手段から読み出すカード番号読出手段と、前記購入情報受信手段の受信した購入情報と前記カード番号読出手段の読み出したカード番号を指定したオーソリ要求を、クレジットカードのオーソリゼーションを実行するオーソリシステムに送信するオーソリ要求送信手段と、前記オーソリシステムから、前記オーソリ要求送信手段の送信したオーソリ要求に対するオーソリ結果を受信するオーソリ結果受信手段と、を備えることを特徴とすることもできる。
【００１５】
このように構成すると、ユーザが購入要求時にクレジットカードのカード番号を入力しなくても、カード事業者サーバにおいてＯＴＰシリアルからカード番号を特定して、オーソリゼーションに必要な処理を行うことができるので、ネット上においてカード番号が流出するリスクを低減することが可能になる。
【００１６】
上記の構成において、前記カード事業者サーバは、ユーザの操作するユーザ端末から、前記ユーザの利用するクレジットカードのカード番号とＯＴＰシリアルが指定されたＯＴＰシリアルの登録要求と、前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰシリアル登録要求受付手段と、前記ＯＴＰシリアル登録要求受付手段の受け付けたＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する第２の認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する第２の認証結果受信手段と、少なくとも前記第２の認証結果受信手段の受信した認証結果がユーザ本人と認証されたものであることを条件に、前記ＯＴＰシリアル登録要求受付手段の受け付けた登録要求に指定されたクレジットカードのカード番号とＯＴＰシリアルを関連付けて前記カード情報記憶手段に登録するＯＴＰシリアル登録手段と、を備えることを特徴としてもよい。
【００１７】
このように構成すると、ワンタイムパスワードによるユーザの認証を前提とすることによって、カード事業者サーバにおけるＯＴＰシリアルとカード番号の紐付けを、安全に実行することが可能になる。
【００１８】
さらに、本発明は、前記加盟店サーバにおいて、前記ユーザ情報記憶手段には、前記ユーザＩＤと前記ユーザを認証するために指定されたパスワードが関連付けて記憶され、前記加盟店サーバは、前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたパスワードを前記ユーザ情報記憶手段から読み出し、前記ログイン要求受付手段が受け付けたログイン要求に指定されたパスワードと照合して、パスワードの一致を判定するパスワード判定手段と、少なくともパスワード判定手段においてパスワードが一致し、かつ前記認証結果受信手段の受信した認証結果がユーザ本人と認証されたものであることを条件に、前記ログイン要求受付手段がログイン要求を受け付けたユーザのログイン処理を実行するログイン実行手段と、を備えることを特徴としてもよい。
【００１９】
このように構成すると、ユーザが加盟店サーバにログインする際には、通常のパスワードによる認証とワンタイムパスワードによる認証を併用することによって、取引の安全性をより高めることが可能になる。
【００２０】
さらに、本発明は、前記加盟店サーバにおいて、前記ユーザ情報記憶手段には、前記ユーザＩＤと前記ユーザを認証するために指定されたパスワードが関連付けて記憶され、前記加盟店サーバは、ユーザの操作するユーザ端末から、前記ユーザを識別するユーザＩＤとＯＴＰシリアルが指定されたＯＴＰシリアルの登録要求を受け付けるＯＴＰシリアル登録要求受付手段と、前記ユーザ端末に入力されたパスワードを受け付けるパスワード受付手段と、前記ＯＴＰシリアル登録要求受付手段が登録要求を受け付けたユーザのユーザＩＤと関連付けられたパスワードを前記ユーザ情報記憶手段から読み出し、前記パスワード受付手段が受け付けたパスワードと照合して、パスワードの一致を判定するパスワード判定手段と、少なくとも前記パスワード判定手段においてパスワードが一致することを条件に、前記ＯＴＰシリアル登録要求受付手段の受け付けた登録要求に指定されたユーザＩＤとＯＴＰシリアルを関連付けて前記ユーザ情報記憶手段に登録するＯＴＰシリアル登録手段と、を備えることを特徴としてもよい。
【００２１】
このように構成すると、パスワードによるユーザの認証を前提とすることによって、加盟店サーバにおけるＯＴＰシリアルとユーザＩＤの紐付けを、安全に実行することが可能になる。
【００２２】
本発明は、本発明にかかる認証システムを構成する認証サーバとして特定することもできる。
【００２３】
第１の発明に対応する認証サーバは、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと接続された、ユーザの認証処理を行う認証サーバであって、前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、が備えられ、前記カード事業者サーバには、前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、が備えられていて、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えることを特徴とするワンタイムパスワードを用いた認証サーバである。
【００２４】
第２の発明に対応する認証サーバは、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと接続された、ユーザの認証処理を行う認証サーバであって、前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、が備えられ、前記カード事業者サーバには、前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、が備えられていて、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えることを特徴とするワンタイムパスワードを用いた認証サーバである。
【００２５】
本発明は、本発明にかかる認証システムによって実行される認証方法として特定することもできる。
【００２６】
第１の発明に対応する認証方法は、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバによって実行される認証方法であって、前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段が、前記認証サーバには、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段が備えられていて、前記加盟店サーバが、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付ステップと、前記加盟店サーバが、前記ログイン要求受付ステップでログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出ステップと、前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付ステップと、前記加盟店サーバが、前記第１のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと前記第１のＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、前記加盟店サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、前記加盟店サーバが、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付ステップと、前記加盟店サーバが、前記購入要求受付ステップで購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出ステップと、前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付ステップと、前記加盟店サーバが、前記購入要求受付ステップで受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付ステップで受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信ステップと、前記カード事業者サーバが、前記加盟店サーバが購入情報送信ステップで送信した購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信ステップと、前記カード事業者サーバが、前記購入情報受信ステップで受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、前記カード事業者サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、前記認証サーバが、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信ステップと、前記認証サーバが、前記認証要求受信ステップで受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信ステップで受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理ステップと、前記認証サーバが、前記認証処理ステップでの認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信ステップと、を有すること特徴とするワンタイムパスワードを用いた認証方法である。
【００２７】
第２の発明に対応する認証方法は、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバによって実行される認証方法であって、前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段が、前記認証サーバには、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段が備えられていて、前記加盟店サーバが、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付ステップと、前記加盟店サーバが、前記ログイン要求受付ステップでログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出ステップと、前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付ステップと、前記加盟店サーバが、前記第１のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと前記第１のＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、前記加盟店サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、前記加盟店サーバが、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付ステップと、前記加盟店サーバが、前記購入要求受付ステップで購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出ステップと、前記加盟店サーバが、前記購入要求受付ステップで受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルとを、前記カード事業者サーバに送信する購入情報送信ステップと、前記カード事業者サーバが、前記加盟店サーバが購入情報送信ステップで送信した購入情報と、ＯＴＰシリアルとを受信する購入情報受信ステップと、前記カード事業者サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰ受付ステップと、前記カード事業者サーバが、前記購入情報受信ステップで受信したＯＴＰシリアルと前記ＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、前記カード事業者サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、前記認証サーバが、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信ステップと、前記認証サーバが、前記認証要求受信ステップで受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信ステップで受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理ステップと、前記認証サーバが、前記認証処理ステップでの認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信ステップと、を有すること特徴とするワンタイムパスワードを用いた認証方法である。
【発明の効果】
【００２８】
本発明によって、クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証する場合に、加盟店サーバにログインする際にも共通のワンタイムパスワードの仕組みを適用することが可能になり、かつ、購入要求時にクレジットカードのカード番号の入力を不要とすることも可能になる。そのため、ユーザに特別な操作負担をかけることなく、ネット上で商品又はサービスを購入する際の安全性が高められることになる。
【図面の簡単な説明】
【００２９】
【図１】本発明にかかる認証システムの実施形態の概要を示す図である。
【図２】本発明にかかる認証システムの構成を示すブロック図である。
【図３】本発明にかかる認証システムにおいて、ＯＴＰアプリのダウンロードを要求する手順を示す図である。
【図４】本発明にかかる認証システムにおいて、ＯＴＰアプリをダウンロードする手順を示す図である。
【図５】本発明にかかる認証システムにおいて、ＯＴＰシリアルを加盟店サーバの顧客データベースに登録する手順を示す図である。
【図６】本発明にかかる認証システムにおいて、ＯＴＰシリアルをカード事業者サーバの変換テーブルに登録する手順を示す図である。
【図７】本発明にかかる認証システムにおいて、加盟店サーバにログインする手順を示す図である。
【図８】本発明にかかる認証システムにおいて、加盟店サーバに商品等の購入を要求する手順を示す図である。
【図９】本発明にかかる認証システムにおいて、カード事業者サーバでクレジットカードによる決済を承認する手順を示す図である。
【図１０】本発明にかかる認証システムにおいて、ＯＴＰアプリのダウンロードを要求する処理フローを示すフローチャートである。
【図１１】本発明にかかる認証システムにおいて、ＯＴＰアプリをダウンロードする処理フローを示すフローチャートである。
【図１２】本発明にかかる認証システムにおいて、ＯＴＰシリアルを加盟店サーバの顧客データベースに登録する処理フローを示すフローチャートである。
【図１３】本発明にかかる認証システムにおいて、ＯＴＰシリアルをカード事業者サーバの変換テーブルに登録する処理フローを示すフローチャートである。
【図１４】本発明にかかる認証システムにおいて、加盟店サーバにログインする処理フローを示すフローチャートである。
【図１５】本発明にかかる認証システムにおいて、加盟店サーバに商品等の購入を要求する処理フローを示すフローチャートである。
【図１６】本発明にかかる認証システムにおいて、カード事業者サーバでクレジットカードによる決済を承認する処理フローを示すフローチャートである。
【発明を実施するための形態】
【００３０】
本発明を実施するための形態について、図面を用いて以下に詳細に説明する。尚、以下の説明は本発明の実施形態の一例を示したものであって、顧客が使用する端末の種別やワンタイムパスワードをダウンロードするための構成など、本発明の構成は以下に示した実施形態に限定されるものではない。
【００３１】
図１を用いて、本発明にかかる認証システムの実施形態の概要について説明する。本発明にかかる認証システムは、クレジットカードを用いて購入することが可能な商品又はサービスをネット上で提供する加盟店の加盟店サーバ、クレジットカードを発行するカード会社等のカード事業者のカード事業者サーバと、商品やサービスを購入するユーザの認証処理を行う認証サーバから構成されている。
【００３２】
本発明において顧客の認証に用いられるワンタイムパスワードは、認証システムにおいて管理されている。ワンタイムパスワードは、ＯＴＰアプリの所定のロジックに顧客によって異なるＯＴＰシードを適用することによって生成されるが、顧客によって異なるＯＴＰシードを識別するコードとして、顧客毎にＯＴＰシリアルが割り当てられる。
【００３３】
顧客毎に割り当てられたＯＴＰシリアルとこれに対応するＯＴＰシードは、認証システムの認証データベースに関連付けて記憶される。また、顧客が操作する端末に、その顧客に割り当てられたＯＴＰシリアルとＯＴＰシード、認証システムと同じＯＴＰアプリを記憶させることによって、顧客が操作する端末と認証システムを同期させ、同一のワンタイムパスワードを生成して認証に用いることが可能になる。
【００３４】
以下に説明する実施形態では、カード事業者の発行するクレジットカードを用いて加盟店で商品やサービスを購入する顧客は、ワンタイムパスワードを表示する端末として携帯電話を、インターネットに接続して加盟店のサイトで商品やサービスを購入する操作を行う端末としてＰＣ（パーソナルコンピュータ）を使用するものとする。この場合、顧客の携帯電話には、認証システムと同じＯＴＰアプリ、その顧客に割り当てられたＯＴＰシリアルとＯＴＰシードが予めダウンロードされた状態となっている。
【００３５】
認証システムにおいて顧客が入力したワンタイムパスワードを受け付ける際には、その顧客に割り当てられたＯＴＰシリアルを特定することができれば、対応するＯＴＰシードからワンタイムパスワードを生成することができるので、認証システムにおいて生成したワンタイムパスワードとの一致から、顧客の認証を行うことができる。
【００３６】
本発明において、加盟店サーバの顧客データベースには、加盟店で顧客を識別するために用いられているユーザＩＤと、その顧客をワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルが関連付けて記憶されている。これによって、加盟店サーバに顧客がログインする際には、顧客のユーザＩＤが特定されれば、ＯＴＰシリアルを入力しなくても顧客を識別することができるので、加盟店サーバにおいてユーザＩＤに対応するＯＴＰシリアルを特定し、認証システムに問い合わせを行うことでワンタイムパスワードによる認証を行うことができる。
【００３７】
また、加盟店サーバにログインしている顧客が、加盟店においてクレジットカードを用いて商品やサービスを購入することを要求すると、加盟店サーバからカード事業者サーバにクレジットカードによる決済承認を要求する際に、商品コードや購入金額等の購入情報とあわせて顧客のＯＴＰシリアルと顧客が入力したワンタイムパスワードを送信する。カード事業者サーバは受信したＯＴＰシリアルとワンタイムパスワードを認証システムに送信して問い合わせを行うことによって、ワンタイムパスワードによる認証を受けることができる。
【００３８】
以上の構成によって、本発明では、顧客は一のＯＴＰシリアル等をダウンロードしておくだけで、加盟店サーバへのログイン時、加盟店サーバでのクレジットカードを用いた商品やサービスの購入時のいずれにおいても、ワンタイムパスワードによる安全性の高い認証手段を利用することが可能になる。
【００３９】
さらに本発明では、カード事業者サーバに顧客の保有するクレジットカードのカード番号と顧客に割り当てられたＯＴＰシリアルを関連付けた変換テーブルを設けることによって、加盟店サーバからＯＴＰシリアルを指定したクレジットカードの決済要求を受け付けると、顧客にカード番号の入力を求めなくても、カード事業者サーバにおいてカード番号を特定し、通常のクレジットカード決済で行われるオーソリゼーションを行うことが可能になる。この決済スキームによると、顧客の端末にカード番号が入力されてネット上に送信されることがないので、カード番号の流出リスクの低減にも効果的である。
【００４０】
図２を用いて、本発明にかかる認証システムの構成について説明する。
【００４１】
加盟店サーバ１０は、インターネットに接続され、顧客端末（ＰＣ）６０との通信が可能なＷｅｂサーバであって、ＯＴＰシリアル登録部１１、ログイン受付部１２、購入要求受付部１３を備えて構成されている。これらの各部はいずれも機能的に特定されるものであって、各々の機能に必要な処理を実行するためのアプリケーションプログラムが加盟店サーバ１０を構成するコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されることによって、各々の機能が実現される。
【００４２】
また、加盟店サーバ１０には、顧客ＤＢ（データベース）１４が備えられている。顧客ＤＢ（データベース）１４には、コンピュータのＨＤＤ等の所定の記憶領域が割り当てられるが、ハードウェアの構成は特に限定されるものではなく、Ｗｅｂサーバとして機能するコンピュータの一部が用いられてもよいし、データベースサーバとして異なるコンピュータが用いられるものであってもよい。
【００４３】
ＯＴＰ認証システム２０は、ＯＴＰ認証申込受付サーバ２１、ダウンロードサーバ２２、認証サーバ２３、認証ＤＢ（データベース）２４を含んで構成されている。これらのサーバ、データベースの物理的な構成は特に限定されるものではなく、複数のサーバ等の機能が同一のコンピュータによって実現されるものであってもよい。
【００４４】
ＯＴＰ認証申込受付サーバ２１、ダウンロードサーバ２２は、インターネットに接続され、それぞれ顧客端末（ＰＣ）６０、顧客端末（携帯電話）７０との通信が可能なＷｅｂサーバであって、各々のサーバの機能に必要な処理を実行するためのアプリケーションプログラムがコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されることによって、各々の機能が実現される。
【００４５】
認証サーバ４３は、加盟店サーバ１０、カード事業者サーバ３０とネットワークを介して接続されたサーバコンピュータであって、加盟店サーバ１０、カード事業者サーバ３０からの認証要求に対応して認証処理を実行するためのアプリケーションプログラムがコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されることによって、認証機能が実現される。認証サーバ４３と加盟店サーバ１０、カード事業者サーバ３０を接続するネットワークはインターネットに限定されるものではない。
【００４６】
認証ＤＢ（データベース）２４には、コンピュータのＨＤＤ等の所定の記憶領域が割り当てられるが、ハードウェアの構成は特に限定されるものではなく、認証サーバ２３等のサーバとして機能するコンピュータの一部が用いられてもよいし、データベースサーバとして異なるコンピュータが用いられるものであってもよい。
【００４７】
カード事業者サーバ３０は、インターネットに接続され、顧客端末（ＰＣ）６０との通信が可能なＷｅｂサーバであって、ＯＴＰシリアル登録部３１、認証処理部３２を備えて構成されている。これらの各部はいずれも機能的に特定されるものであって、各々の機能に必要な処理を実行するためのアプリケーションプログラムがカード事業者サーバ３０を構成するコンピュータのメインメモリ等のメモリ領域に読み出され、ＣＰＵによって演算処理が実行されることによって、各々の機能が実現される。
【００４８】
また、カード事業者サーバ３０には変換ＴＢ（テーブル）３３が備えられている。変換ＴＢ（テーブル）３３には、コンピュータのＨＤＤ等の所定の記憶領域が割り当てられるが、ハードウェアの構成は特に限定されるものではなく、Ｗｅｂサーバとして機能するコンピュータの一部が用いられてもよいし、データベースサーバとして異なるコンピュータが用いられるものであってもよい。
【００４９】
オーソリシステム４０、３−Ｄ認証サーバ５０は、それぞれカード事業者サーバ３０における決済の承認要求に対するオーソリゼーションや、暗証番号等による顧客の認証を実行するために、ネットワークを介してカード事業者サーバ３０と接続されたコンピュータであるが、本発明においてこれらの構成は特に限定されるものではなく、カード事業者サーバ３０とネットワークを介して接続され、カード事業者サーバ３０からの要求に対して所定の処理を実行するものであればよい。
【００５０】
以上に説明した認証システムの構成を前提にして、本発明にかかる認証システムの動作について、図３〜図１６を用いて以下に説明する。
【００５１】
図３は、本発明にかかる認証システムにおいて、ＯＴＰアプリのダウンロードを要求する手順を示しており、図１０がＯＴＰ認証申込受付サーバ２１における処理フローを示すフローチャートである。
【００５２】
顧客端末（ＰＣ）６０を操作し、加盟店サーバ１０にアクセスして商品やサービスを購入する顧客が、ＯＴＰ認証（ワンタイムパスワードによる認証）サービスを利用したい場合は、加盟店サーバ１０から提供されるＷｅｂページでＯＴＰ認証サービスの申込を選択する（図３の（１））。リンク等の機能によってＯＴＰ認証申込受付サーバ２１にジャンプし（図３の（２））、顧客端末（ＰＣ）６０はカード事業者サーバ３０にアクセスする（図３の（３））。
【００５３】
ここで、ＯＴＰ認証申込のためのアクセスを受け付けたＯＴＰ認証申込受付サーバ２１では、図１０のフローチャートに示した処理が行われる。顧客端末（ＰＣ）６０からＯＴＰ認証の申込要求を受け付けると（Ｓ０１）、申込要求を受け付けた顧客の認証に用いるための、ＯＴＰシードと関連付けられたＯＴＰシリアルを割り当てる（Ｓ０２）。割り当てられたＯＴＰシリアルとこれに関連付けられたＯＴＰシードは、認証ＤＢ２４に記憶されるが、ここで割り当てられるＯＴＰシリアルとＯＴＰシードは新たに認証ＤＢ２４に記憶されるものであってもよいし、あらかじめ認証ＤＢ２４に記憶されたＯＴＰシリアルとＯＴＰシードのいずれかの組み合わせを選択して有効な状態とするものであってもよい。
【００５４】
また、ここで割り当てられたＯＴＰシリアルに対してダウンロード用のＩＤとパスワードを採番し、顧客に割り当てたＯＴＰシリアルと関連付けて認証ＤＢ２４に記憶させる。このダウンロード用のＩＤとパスワードが、ＯＴＰアプリとＯＴＰシリアル、ＯＴＰシードをダウンロードするためのダウンロードサーバ２２のＵＲＬとあわせて所定の用紙等に出力され（Ｓ０３）、郵便等で顧客に送付される（図３の（４））。
【００５５】
図４は、本発明にかかる認証システムにおいて、ＯＴＰアプリをダウンロードする手順を示しており、図１１がダウンロードサーバ２２における処理フローを示すフローチャートである。
【００５６】
ダウンロード用のＩＤとパスワード、ＯＴＰアプリ等をダウンロードするためのダウンロードサーバ２２のＵＲＬを受け取った顧客は、顧客端末（携帯電話）７０を操作から指定されたダウンロードサーバ２２のＵＲＬにアクセスして、ＯＴＰアプリをダウンロードする（図４の（１））。ここでダウンロードされるＯＴＰアプリはどの顧客にも共通のものなので、この段階ではダウンロード用のＩＤとパスワードの入力は要求されない。
【００５７】
次に、顧客端末（携帯電話）７０にダウンロード用のＩＤとパスワードを入力して、これをダウンロードサーバ２２に送信する（図４の（２））。ダウンロードサーバ２２では、認証ＤＢ２４を検索して、認証ＤＢ２４に記憶されている有効なＩＤ、パスワードの中に一致する組み合わせが確認された場合には、このＩＤ、パスワードと関連付けられたＯＴＰシリアル、ＯＴＰシードを認証ＤＢ２４から読み出して、顧客端末（携帯電話）７０にダウンロードさせる（図４の（３））。ここでダウンロードされるＯＴＰシリアルとＯＴＰシードは顧客毎にユニークなものとなるので、このＯＴＰシードを用いてＯＴＰアプリでＯＴＰ（ワンタイムパスワード）を生成することによって、顧客のＯＴＰ認証が可能になる。
【００５８】
以上の手順を、ダウンロードサーバ２２における処理フローとして示したのが、図１１のフローチャートである。ダウンロードサーバ２２が顧客端末（携帯電話）７０からＯＴＰアプリのダウンロード要求を受け付けると（Ｓ１１）、顧客端末（携帯電話）７０にＯＴＰアプリをダウンロードさせる（Ｓ１２）。続いて、顧客端末（携帯電話）７０に入力されたダウンロード用のＩＤとパスワードを受け付ける（Ｓ１３）。
【００５９】
ここで認証ＤＢ２４を検索し、認証ＤＢ２４に記憶されている有効なＩＤ、パスワードのいずれかと一致する場合には（Ｓ１４）、このＩＤ、パスワードと関連付けられたＯＴＰシリアル、ＯＴＰシードを認証ＤＢ２４から読み出して、顧客端末（携帯電話）７０にダウンロードさせる（Ｓ１５）。一致するＩＤ、パスワードが存在しない場合、又は、一致するＩＤ、パスワードが既にダウンロード済や期限切れなど無効なものである場合には、エラー処理となる（Ｓ１６）。
【００６０】
図５は、本発明にかかる認証システムにおいて、ＯＴＰシリアルを加盟店サーバ１０の顧客ＤＢ１４に登録する手順を示しており、図１２が加盟店サーバ１０における処理フローを示すフローチャートである。
【００６１】
加盟店サーバ１０の提供するサービスを利用する顧客には、顧客を識別するユーザＩＤが割り当てられ、このユーザＩＤは認証用のパスワードと関連付けて顧客ＤＢ１４に登録されている。ユーザＩＤが割り当てられた顧客は、顧客端末（ＰＣ）６０を操作して加盟店サーバ１０にアクセスすると、ログイン受付部１２が起動されてユーザＩＤとパスワードによる認証が行われ、加盟店サーバ１０へのログインが実行される（図５の（１））。
【００６２】
顧客がログインした状態でＯＴＰシリアルの登録メニューを選択すると、加盟店サーバ１０のＯＴＰシリアル登録部１１が起動される。顧客は顧客端末（携帯電話）７０にダウンロードされたＯＴＰアプリを起動して、顧客端末（携帯電話）７０にＯＴＰシリアルを表示させ、これを顧客端末（ＰＣ）６０に入力して加盟店サーバ１０に送信する。加盟店サーバ１０では、受信したＯＴＰシリアルをユーザＩＤと関連付けて顧客ＤＢ１４に記憶させる（図５の（２））。
【００６３】
以上の手順を、加盟店サーバ１０のログイン受付部１２とＯＴＰシリアル登録部１１における処理フローとして示したのが、図１２のフローチャートである。加盟店サーバ１０が顧客端末（ＰＣ）６０からログイン要求を受け付けると（Ｓ２１）、顧客端末（ＰＣ）６０にユーザＩＤとパスワードの入力を要求し、顧客端末（ＰＣ）６０に入力されたユーザＩＤとパスワードを受け付ける（Ｓ２２）。
【００６４】
ここで顧客ＤＢ１４を検索し、顧客ＤＢ１４に記憶されている有効なユーザＩＤ、パスワードのいずれかと一致する場合には（Ｓ２３）、ログインの処理を実行する（Ｓ２４）。ログインした状態で、顧客端末（ＰＣ）６０からＯＴＰシリアルが指定された登録要求を受け付けると（Ｓ２５）、ログイン中の顧客のユーザＩＤと関連付けて顧客ＤＢ１４に受け付けたＯＴＰシリアルを書き込む（Ｓ２６）。一方、一致するＩＤ、パスワードが存在しない場合、又は、一致するＩＤ、パスワードが退会済や期限切れなど無効なものである場合には、エラー処理となる（Ｓ２７）。
【００６５】
図６は、本発明にかかる認証システムにおいて、ＯＴＰシリアルをカード事業者サーバ３０の変換ＴＢ３３に登録する手順を示しており、図１３がカード事業者サーバ３０における処理フローを示すフローチャートである。
【００６６】
カード事業者サーバ３０を運用するカード事業者が発行するクレジットカードを利用している顧客が、顧客端末（ＰＣ）６０を操作してカード事業者サーバ３０にアクセスする。顧客がクレジットカードによって決済を行う際にＯＴＰ認証を利用したい場合には、カード事業者サーバ３０でＯＴＰシリアルの登録メニューを選択し、カード事業者サーバ３０ではＯＴＰシリアル登録部３１が起動される。
【００６７】
顧客は顧客端末（携帯電話）７０にダウンロードされたＯＴＰアプリを起動してＯＴＰシリアルを表示させ、さらに顧客端末（携帯電話）７０にはＯＴＰシードを用いて生成されたＯＴＰが表示される。顧客は顧客端末（携帯電話）７０に表示されたＯＴＰシリアルとＯＴＰを顧客端末（ＰＣ）６０に入力して、カード事業者サーバ３０に送信する。
【００６８】
ＯＴＰシリアルとＯＴＰを受信したカード事業者サーバ３０では、認証処理部３２が起動されて、これらを認証サーバ２３に送信して顧客のＯＴＰ認証を要求する。認証サーバ２３では、カード事業者サーバ３０から受信したＯＴＰシリアルに対応するＯＴＰシードを認証ＤＢ２４から読み出し、このＯＴＰシードから顧客端末（携帯電話）７０にダウンロードされたものと同じＯＴＰアプリを用いてＯＴＰを生成し、カード事業者サーバ３０から受信したＯＴＰと一致するか否かによって、顧客のＯＴＰ認証を行う（図６の（１））。一致した場合は顧客本人と認証されたこと、一致しない場合は顧客本人と認証されなかったことを示す認証結果が、カード事業者サーバ３０に返信される。
【００６９】
また、カード事業者サーバ３０では、カード利用者を確認するために、顧客にクレジットカードのカード番号の入力を要求する。あわせて、顧客がクレジットカード保有者本人であることを確認するために、クレジットカードに印字されたセキュリティコードなどの入力を要求する。顧客は要求された情報を顧客端末（ＰＣ）６０に入力して、カード事業者サーバ３０に送信する（図６の（２））。
【００７０】
顧客のカード番号とセキュリティコードなどの認証コードを受信したカード事業者サーバ３０は、これらをオーソリシステム４０に送信して顧客の本人確認を要求すると、オーソリシステム４０ではクレジットカード利用時と同様にオーソリゼーションを実行し、確認結果がカード事業者サーバ３０に返信される（図６の（３））。認証サーバ２３によるＯＴＰ認証、オーソリシステム４０によるオーソリゼーションにより、いずれも顧客本人であることが確認された場合には、顧客端末（ＰＣ）６０から受信した顧客のクレジットカードのカード番号とＯＴＰシリアルを、変換ＴＢ３３に関連付けて登録する（図６の（４））。
【００７１】
尚、上記のカード利用者を確認する方法は、カード利用者本人であることが確認できるものであれば、オーソリシステム４０を用いたオーソリゼーションに限定されるものではなく、例えば３−Ｄ認証サーバ５０を利用した３−Ｄセキュアなど、顧客があらかじめ登録した暗証番号等を利用した方式によることとしてもよい。本人認証を確実に行うためには、これらの方式を併用することが好ましい。
【００７２】
以上の手順を、カード事業者サーバ３０のＯＴＰシリアル登録部３１と認証処理部３２における処理フローとして示したのが、図１３のフローチャートである。カード事業者サーバ３０が顧客端末（ＰＣ）６０からＯＴＰシリアルの登録要求を受け付けると（Ｓ３１）、顧客端末（ＰＣ）６０にＯＴＰシリアルとＯＴＰの入力を要求し、顧客端末（ＰＣ）６０に入力されたＯＴＰシリアルとＯＴＰを受け付ける（Ｓ３２）。
【００７３】
続いて、ＯＴＰ認証により本人認証を行うために、受信したＯＴＰシリアルとＯＴＰを送信して認証サーバ２３に問い合わせを行う（Ｓ３３）。認証サーバ２３によるＯＴＰ認証の認証結果により本人であることが確認された場合は（Ｓ３４）、顧客端末（ＰＣ）６０に入力されたカード番号とセキュリティコード等を受け付ける（Ｓ３５）。さらに、カード利用者の本人認証を行うために、受信したカード番号とセキュリティコード等を送信してオーソリシステム４０に問い合わせを行う（Ｓ３６）。オーソリシステム４０によるオーソリゼーションの結果によりカード利用者本人であることが確認された場合は（Ｓ３７）、顧客端末（ＰＣ）６０から受信したカード番号とＯＴＰシリアルを紐付けて、変換ＴＢ３３に登録する（Ｓ３８）。認証サーバ２３による認証、又は、オーソリシステム４０によるオーソリゼーションのいずれかの結果で本人であることが確認されなかった場合には、エラー処理となる（Ｓ３９）。
【００７４】
尚、上記のフローにおいて、認証サーバ２３による認証とオーソリシステム４０によるオーソリゼーションの処理順は特に限定されるものではなく、オーソリゼーションが先に行われるものであってもよい。また、カード利用者本人の確認方法がオーソリゼーションのみに限定されず、３−Ｄセキュア等の方式を併用してもよいことは、先に説明したとおりである。
【００７５】
以上の図３〜図６、図１０〜図１３によって説明したように、顧客端末（携帯電話）７０にはＯＴＰアプリ、ＯＴＰシリアル、ＯＴＰシードがダウンロードされ、加盟店サーバ１０の顧客ＤＢ１４にはユーザＩＤとＯＴＰシリアルが関連付けて記憶され、カード事業者サーバ３０の変換ＴＢ３３にはカード番号とＯＴＰシリアルが関連付けて記憶されているという前提で、本発明では以下に説明するように、加盟店サーバ１０へのログイン時と、加盟店サーバ１０でのクレジットカードを用いた商品やサービスの購入時において、認証サーバ２３によるＯＴＰ認証が行われることになる。尚、本発明を実施するためにはこのような前提が整えられていればよく、ＯＴＰアプリをダウンロードする処理手順等は、これまで説明した方法に限定されるものではない。
【００７６】
図７は、本発明にかかる認証システムにおいて、加盟店サーバ１０にログインする手順を示しており、図１４が加盟店サーバ１０における処理フローを示すフローチャートである。
【００７７】
顧客が顧客端末（ＰＣ）６０を操作して加盟店サーバ１０にアクセスして、ログインを要求すると、ログイン受付部１２が起動されてユーザＩＤとパスワードによる認証が行われる（図７の（１））。ここで、固定のパスワード（顧客ＤＢ１４に登録されているパスワード）とあわせてＯＴＰの入力が要求され、顧客は顧客端末（携帯電話）７０にダウンロードされたＯＴＰアプリを起動してＯＴＰを表示させ、顧客端末（携帯電話）７０に表示されたＯＴＰを顧客端末（ＰＣ）６０に入力して、加盟店サーバ１０に送信する（図７の（２））。
【００７８】
ＯＴＰを受信した加盟店サーバ１０では、先に固定のパスワードにより認証されたユーザＩＤと関連付けて記憶されたＯＴＰシリアルを顧客ＤＢ１４から読み出す。本発明では、このようにあらかじめ登録されたＯＴＰシリアルを読み出して用いることによって、顧客にＯＴＰシリアルを入力させることなく、ＯＴＰ認証に必要なＯＴＰシリアルを特定することが可能になっている。
【００７９】
続いて、顧客端末（ＰＣ）６０から受信したＯＴＰと顧客ＤＢ１４から読み出したＯＴＰシリアルを認証サーバ２３に送信して、顧客のＯＴＰ認証を要求する。認証サーバ３０では、加盟店サーバ１０から受信したＯＴＰシリアルに対応するＯＴＰシードを認証ＤＢ２４から読み出し、このＯＴＰシードから顧客端末（携帯電話）７０にダウンロードされたものと同じＯＴＰアプリを用いてＯＴＰを生成し、加盟店サーバ１０から受信したＯＴＰと一致するか否かによって、顧客のＯＴＰ認証を行う（図７の（３））。一致した場合は顧客本人と認証されたこと、一致しない場合は顧客本人と認証されなかったことを示す認証結果が、加盟店サーバ１０に返信される。
【００８０】
加盟店サーバ１０では、ＯＴＰ認証により本人認証が行われたことを条件にして、ログインの処理を行う。以上のように、加盟店サーバ１０では、固定のパスワードによる認証とＯＴＰによる認証を併用することによって、ログインの際の本人認証を強化し、取引の安全性を高めることとしている。
【００８１】
以上の手順を、加盟店サーバ１０のログイン受付部１２における処理フローとして示したのが、図１４のフローチャートである。加盟店サーバ１０が顧客端末（ＰＣ）６０からログイン要求を受け付けると（Ｓ４１）、顧客端末（ＰＣ）６０にユーザＩＤとパスワードの入力を要求し、顧客端末（ＰＣ）６０に入力されたユーザＩＤとパスワードを受け付ける（Ｓ４２）。
【００８２】
ここで顧客ＤＢ１４を検索し、顧客ＤＢ１４に記憶されている有効なユーザＩＤ、パスワードのいずれかと一致するかを確認する（Ｓ４３）。一致する場合には、顧客端末（ＰＣ）６０にＯＴＰの入力を要求し、顧客端末（ＰＣ）６０に入力されたＯＴＰを受け付ける（Ｓ４４）。さらに、顧客ＤＢ１４から、先にパスワードにより認証されたユーザＩＤに対応するＯＴＰシリアルを読み出し（Ｓ４５）、ＯＴＰ認証により本人認証を行うために、受信したＯＴＰと読み出したＯＴＰシリアルを送信して認証サーバ２３に問い合わせを行う（Ｓ４６）。
【００８３】
認証サーバ２３によるＯＴＰ認証の認証結果により本人認証が行われたことが確認された場合は（Ｓ４７）、ログインのための処理が実行される（Ｓ４８）。固定のパスワードによる認証、又は、認証サーバ２３による認証のいずれかにおいて本人であると認証されなかった場合には、エラー処理となる（Ｓ４９）。
【００８４】
図８は、本発明にかかる認証システムにおいて、加盟店サーバ１０に商品等の購入を要求する手順を示しており、図１５が加盟店サーバ１０における処理フローを示すフローチャートである。
【００８５】
顧客が加盟店サーバ１０にログインした状態で、加盟店サーバ１０の提供する商品やサービスの購入を要求する。顧客端末（ＰＣ）６０からは、購入したい商品の商品コードや数量等の購入情報が加盟店サーバ１０に送信されるとともに、ＯＴＰの入力が要求され、顧客は顧客端末（携帯電話）７０にダウンロードされたＯＴＰアプリを起動してＯＴＰを表示させ、顧客端末（携帯電話）７０に表示されたＯＴＰを顧客端末（ＰＣ）６０に入力して、加盟店サーバ１０に送信する（図８の（１））。
【００８６】
加盟店サーバ１０では購入要求受付部１３が起動され、受信した購入情報、ＯＴＰとあわせて、ログイン中の顧客のユーザＩＤと関連付けて記憶されたＯＴＰシリアルを顧客ＤＢ１４から読み出して、カード事業者サーバ３０に送信する（図８の（２））。本発明では、このようにあらかじめ登録されたＯＴＰシリアルを読み出して用いることによって、顧客にＯＴＰシリアルを入力させることなく、ＯＴＰ認証に必要なＯＴＰシリアルを特定することが可能になっている。
【００８７】
尚、後にも説明するように、ＯＴＰ認証のために顧客が入力するＯＴＰは、上記のように加盟店サーバ１０からの入力要求に対して送信される方式に限定されるものではなく、購入情報等を受信したカード事業者サーバ３０からの入力要求に対して送信される方式をとることとしてもよい。後者の場合には、加盟店サーバ１０からカード事業者サーバ３０には購入情報とＯＴＰシリアルが送信され、送信される情報にＯＴＰは含まれないことになる。
【００８８】
以上の手順を、加盟店サーバ１０の購入要求受付部１３における処理フローとして示したのが、図１５のフローチャートである。加盟店サーバ１０が顧客端末（ＰＣ）６０から商品やサービスの購入情報が指定された購入要求を受け付けると（Ｓ５１）、顧客端末（ＰＣ）６０にＯＴＰの入力を要求し、顧客端末（ＰＣ）６０に入力されたＯＴＰを受け付ける（Ｓ５２）。さらに、顧客ＤＢ１４から、ログイン中のユーザＩＤに対応するＯＴＰシリアルを読み出し（Ｓ５３）、受信した購入情報、ＯＴＰと読み出したＯＴＰシリアルをカード事業者サーバ３０に送信する（Ｓ５４）。尚、ここでＯＴＰを含まずにカード事業者サーバ３０で受け付けるよう構成してもよいことは、先に説明したとおりである。
【００８９】
図９は、本発明にかかる認証システムにおいて、カード事業者サーバでクレジットカードによる決済を承認する手順を示しており、図１６がカード事業者サーバ３０における処理フローを示すフローチャートである。
【００９０】
カード事業者サーバ３０が加盟店サーバ１０から購入情報、ＯＴＰシリアル、ＯＴＰを受信すると（図９の（１））、認証処理部３２が起動され、受信したＯＴＰとＯＴＰシリアルを認証サーバ２３に送信して、顧客のＯＴＰ認証を要求する。認証サーバ３０では、カード事業者サーバ３０から受信したＯＴＰシリアルに対応するＯＴＰシードを認証ＤＢ２４から読み出し、このＯＴＰシードから顧客端末（携帯電話）７０にダウンロードされたものと同じＯＴＰアプリを用いてＯＴＰを生成し、カード事業者サーバ３０から受信したＯＴＰと一致するか否かによって、顧客のＯＴＰ認証を行う（図９の（２））。一致した場合は顧客本人と認証されたこと、一致しない場合は顧客本人と認証されなかったことを示す認証結果が、カード事業者サーバ３０に返信される。
【００９１】
尚、認証サーバ２３に送信するＯＴＰについては、加盟店サーバ１０から受信するのではなく、カード事業者サーバ３０から顧客端末（ＰＣ）６０に入力を要求し、顧客端末（ＰＣ）６０からカード事業者サーバ３０が受信したＯＴＰを用いることとしてもよい。
【００９２】
次に、カード事業者サーバ３０が受信したＯＴＰシリアルに対応するクレジットカードのカード番号を、変換ＴＢ３３から読み出して（図９の（３））、決済に用いられるクレジットカードのカード番号を特定する。このように、顧客にカード番号を送信させることなくカード番号を特定するよう構成すれば、クレジットカードのカード番号がネット上で送受信されることを回避できるため、カード番号の流出リスクを低減することに効果的である。
【００９３】
続いて、カード事業者サーバ３０が受信した購入情報と読み出したカード番号をオーソリシステム４０に送信して、クレジットカードによる決済の可否についてオーソリゼーションを要求する。オーソリゼーションの際には、図６で説明したようなセキュリティコードや３−Ｄセキュア等による認証を要求することとしてもよい。オーソリシステム４０での承認の結果はカード事業者サーバ３０に返信され（図９の（４））、ＯＴＰ認証による本人認証とオーソリゼーションの結果から、クレジットカードによる決済の可否を判断して加盟店サーバ１０に返信される。
【００９４】
尚、以上の説明では、顧客が決済に用いるクレジットカードのカード番号を、変換ＴＢ３３から読み出して特定することとしているが、ＯＴＰシリアルとして使用される番号にクレジットカードのカード番号と同じ番号を用いれば、変換ＴＢ３３を用いたＯＴＰシリアルからカード番号への変換が不要になる。例えば、加盟店サーバ１０でサービスを提供する加盟店に専用のハウスカード等を発行して、クレジットカードの発行とＯＴＰシリアルの割り当てをあわせて行うように運用すれば、かかる実施形態も可能になる。
【００９５】
以上の手順を、カード事業者サーバ３０の認証処理部３２における処理フローとして示したのが、図１６のフローチャートである。カード事業者サーバ３０は、加盟店サーバ１０から購入情報、ＯＴＰシリアル、ＯＴＰを受け付ける（Ｓ５５）。ここで加盟店サーバからＯＴＰを受け付けない場合には、顧客端末（ＰＣ）６０にＯＴＰの入力を要求し、顧客端末（ＰＣ）６０に入力されたＯＴＰを受け付ける（Ｓ５６）。
【００９６】
続いて、ＯＴＰ認証により本人認証を行うために、受信したＯＴＰシリアルとＯＴＰを送信して認証サーバ２３に問い合わせを行う（Ｓ５７）。認証サーバ２３によるＯＴＰ認証の認証結果により本人であると認証されたことが確認された場合は（Ｓ５８）、変換ＴＢ３３から受信したＯＴＰシリアルに対応するカード番号を読み出し（Ｓ５９）、顧客端末（ＰＣ）６０に入力されたセキュリティコード等の認証に必要な情報を受け付けて、クレジットカードによる決済の可否を確認するために、読み出したカード番号とセキュリティコード等を送信してオーソリシステム４０に問い合わせを行う（Ｓ６０）。
【００９７】
オーソリシステム４０によるオーソリゼーションの結果によりクレジットカードによる決済が可能であることが確認された場合は（Ｓ６１）、加盟店サーバ１０にクレジットカードによる決済が承認されたことを送信する（Ｓ６２）。認証サーバ２３による認証、又は、オーソリシステム４０によるオーソリゼーションのいずれかがＮＧであった場合には、エラー処理となる（Ｓ６３）。
【符号の説明】
【００９８】
１０ 加盟店サーバ
１１ ＯＴＰ認証申込受付部
１２ ＯＴＰシリアル登録部
１３ ログイン受付部
１４ 購入要求受付部
１５ 顧客データベース
２０ ＯＴＰ認証システム
２１ ＯＴＰ認証申込受付サーバ
２２ ダウンロードサーバ
２３ 認証サーバ
２４ 認証データベース
３０ カード事業者サーバ
３１ ＯＴＰシリアル登録部
３２ 認証処理部
３３ 変換テーブル
４０ オーソリシステム
５０ ３−Ｄ認証サーバ
６０ 顧客端末（ＰＣ）
７０ 顧客端末（携帯電話）
【特許請求の範囲】
【請求項１】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバからなる認証システムであって、
前記加盟店サーバは、
ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、
ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、
前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、
前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、
前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、
前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、
前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、を備え、
前記カード事業者サーバは、
前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、
前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、を備え、
前記認証サーバは、
ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、
前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、
前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、
前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えること
を特徴とするワンタイムパスワードを用いた認証システム。
【請求項２】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバからなる認証システムであって、
前記加盟店サーバは、
ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、
ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、
前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、
前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、
前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、
前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、
前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルとを、前記カード事業者サーバに送信する購入情報送信手段と、を備え、
前記カード事業者サーバは、
前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルとを受信する購入情報受信手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰ受付手段と、
前記購入情報受信手段の受信したＯＴＰシリアルと前記ＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、を備え、
前記認証サーバは、
ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、
前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、
前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、
前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えること
を特徴とするワンタイムパスワードを用いた認証システム。
【請求項３】
前記カード事業者サーバは、
ユーザの利用するクレジットカードのカード番号と前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するカード情報記憶手段と、
前記加盟店サーバの購入情報送信手段から送信されたＯＴＰシリアルと関連付けられたカード番号を、前記カード情報記憶手段から読み出すカード番号読出手段と、
前記購入情報受信手段の受信した購入情報と前記カード番号読出手段の読み出したカード番号を指定したオーソリ要求を、クレジットカードのオーソリゼーションを実行するオーソリシステムに送信するオーソリ要求送信手段と、
前記オーソリシステムから、前記オーソリ要求送信手段の送信したオーソリ要求に対するオーソリ結果を受信するオーソリ結果受信手段と、を備えること
を特徴とする請求項１又は２記載の認証システム。
【請求項４】
前記カード事業者サーバは、
ユーザの操作するユーザ端末から、前記ユーザの利用するクレジットカードのカード番号とＯＴＰシリアルが指定されたＯＴＰシリアルの登録要求と、前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰシリアル登録要求受付手段と、
前記ＯＴＰシリアル登録要求受付手段の受け付けたＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する第２の認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する第２の認証結果受信手段と、
少なくとも前記第２の認証結果受信手段の受信した認証結果がユーザ本人と認証されたものであることを条件に、前記ＯＴＰシリアル登録要求受付手段の受け付けた登録要求に指定されたクレジットカードのカード番号とＯＴＰシリアルを関連付けて前記カード情報記憶手段に登録するＯＴＰシリアル登録手段と、を備えること
を特徴とする請求項３記載の認証システム。
【請求項５】
前記加盟店サーバにおいて、
前記ユーザ情報記憶手段には、前記ユーザＩＤと前記ユーザを認証するために指定されたパスワードが関連付けて記憶され、
前記加盟店サーバは、
前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたパスワードを前記ユーザ情報記憶手段から読み出し、前記ログイン要求受付手段が受け付けたログイン要求に指定されたパスワードと照合して、パスワードの一致を判定するパスワード判定手段と、
少なくともパスワード判定手段においてパスワードが一致し、かつ前記認証結果受信手段の受信した認証結果がユーザ本人と認証されたものであることを条件に、前記ログイン要求受付手段がログイン要求を受け付けたユーザのログイン処理を実行するログイン実行手段と、を備えること
を特徴とする請求項１乃至４いずれかに記載の認証システム。
【請求項６】
前記加盟店サーバにおいて、
前記ユーザ情報記憶手段には、前記ユーザＩＤと前記ユーザを認証するために指定されたパスワードが関連付けて記憶され、
前記加盟店サーバは、
ユーザの操作するユーザ端末から、前記ユーザを識別するユーザＩＤとＯＴＰシリアルが指定されたＯＴＰシリアルの登録要求を受け付けるＯＴＰシリアル登録要求受付手段と、
前記ユーザ端末に入力されたパスワードを受け付けるパスワード受付手段と、
前記ＯＴＰシリアル登録要求受付手段が登録要求を受け付けたユーザのユーザＩＤと関連付けられたパスワードを前記ユーザ情報記憶手段から読み出し、前記パスワード受付手段が受け付けたパスワードと照合して、パスワードの一致を判定するパスワード判定手段と、
少なくとも前記パスワード判定手段においてパスワードが一致することを条件に、前記ＯＴＰシリアル登録要求受付手段の受け付けた登録要求に指定されたユーザＩＤとＯＴＰシリアルを関連付けて前記ユーザ情報記憶手段に登録するＯＴＰシリアル登録手段と、を備えること
を特徴とする請求項１乃至５いずれかに記載の認証システム。
【請求項７】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと接続された、ユーザの認証処理を行う認証サーバであって、
前記加盟店サーバには、
ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、
ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、
前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、
前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、
前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、
前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、
前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、が備えられ、
前記カード事業者サーバには、
前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、
前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、が備えられていて、
ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、
前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、
前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、
前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、
を備えることを特徴とするワンタイムパスワードを用いた認証サーバ。
【請求項８】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと接続された、ユーザの認証処理を行う認証サーバであって、
前記加盟店サーバには、
ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、
ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、
前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、
前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、
前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、
前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、
前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、が備えられ、
前記カード事業者サーバには、
前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、
前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、が備えられていて、
ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、
前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、
前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、
前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、
を備えることを特徴とするワンタイムパスワードを用いた認証サーバ。
【請求項９】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバによって実行される認証方法であって、
前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段が、
前記認証サーバには、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段が備えられていて、
前記加盟店サーバが、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付ステップと、
前記加盟店サーバが、前記ログイン要求受付ステップでログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出ステップと、
前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付ステップと、
前記加盟店サーバが、前記第１のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと前記第１のＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、
前記加盟店サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、
前記加盟店サーバが、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付ステップと、
前記加盟店サーバが、前記購入要求受付ステップで購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出ステップと、
前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付ステップと、
前記加盟店サーバが、前記購入要求受付ステップで受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付ステップで受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信ステップと、
前記カード事業者サーバが、前記加盟店サーバが購入情報送信ステップで送信した購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信ステップと、
前記カード事業者サーバが、前記購入情報受信ステップで受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、
前記カード事業者サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、
前記認証サーバが、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信ステップと、
前記認証サーバが、前記認証要求受信ステップで受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信ステップで受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理ステップと、
前記認証サーバが、前記認証処理ステップでの認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信ステップと、
を有すること特徴とするワンタイムパスワードを用いた認証方法。
【請求項１０】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバによって実行される認証方法であって、
前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段が、
前記認証サーバには、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段が備えられていて、
前記加盟店サーバが、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付ステップと、
前記加盟店サーバが、前記ログイン要求受付ステップでログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出ステップと、
前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付ステップと、
前記加盟店サーバが、前記第１のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと前記第１のＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、
前記加盟店サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、
前記加盟店サーバが、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付ステップと、
前記加盟店サーバが、前記購入要求受付ステップで購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出ステップと、
前記加盟店サーバが、前記購入要求受付ステップで受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルとを、前記カード事業者サーバに送信する購入情報送信ステップと、
前記カード事業者サーバが、前記加盟店サーバが購入情報送信ステップで送信した購入情報と、ＯＴＰシリアルとを受信する購入情報受信ステップと、
前記カード事業者サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰ受付ステップと、
前記カード事業者サーバが、前記購入情報受信ステップで受信したＯＴＰシリアルと前記ＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、
前記カード事業者サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、
前記認証サーバが、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信ステップと、
前記認証サーバが、前記認証要求受信ステップで受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信ステップで受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理ステップと、
前記認証サーバが、前記認証処理ステップでの認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信ステップと、
を有すること特徴とするワンタイムパスワードを用いた認証方法。
【請求項１】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバからなる認証システムであって、
前記加盟店サーバは、
ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、
ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、
前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、
前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、
前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、
前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、
前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、を備え、
前記カード事業者サーバは、
前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、
前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、を備え、
前記認証サーバは、
ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、
前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、
前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、
前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えること
を特徴とするワンタイムパスワードを用いた認証システム。
【請求項２】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバからなる認証システムであって、
前記加盟店サーバは、
ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、
ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、
前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、
前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、
前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、
前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、
前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルとを、前記カード事業者サーバに送信する購入情報送信手段と、を備え、
前記カード事業者サーバは、
前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルとを受信する購入情報受信手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰ受付手段と、
前記購入情報受信手段の受信したＯＴＰシリアルと前記ＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、を備え、
前記認証サーバは、
ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、
前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、
前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、
前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、を備えること
を特徴とするワンタイムパスワードを用いた認証システム。
【請求項３】
前記カード事業者サーバは、
ユーザの利用するクレジットカードのカード番号と前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するカード情報記憶手段と、
前記加盟店サーバの購入情報送信手段から送信されたＯＴＰシリアルと関連付けられたカード番号を、前記カード情報記憶手段から読み出すカード番号読出手段と、
前記購入情報受信手段の受信した購入情報と前記カード番号読出手段の読み出したカード番号を指定したオーソリ要求を、クレジットカードのオーソリゼーションを実行するオーソリシステムに送信するオーソリ要求送信手段と、
前記オーソリシステムから、前記オーソリ要求送信手段の送信したオーソリ要求に対するオーソリ結果を受信するオーソリ結果受信手段と、を備えること
を特徴とする請求項１又は２記載の認証システム。
【請求項４】
前記カード事業者サーバは、
ユーザの操作するユーザ端末から、前記ユーザの利用するクレジットカードのカード番号とＯＴＰシリアルが指定されたＯＴＰシリアルの登録要求と、前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰシリアル登録要求受付手段と、
前記ＯＴＰシリアル登録要求受付手段の受け付けたＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する第２の認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する第２の認証結果受信手段と、
少なくとも前記第２の認証結果受信手段の受信した認証結果がユーザ本人と認証されたものであることを条件に、前記ＯＴＰシリアル登録要求受付手段の受け付けた登録要求に指定されたクレジットカードのカード番号とＯＴＰシリアルを関連付けて前記カード情報記憶手段に登録するＯＴＰシリアル登録手段と、を備えること
を特徴とする請求項３記載の認証システム。
【請求項５】
前記加盟店サーバにおいて、
前記ユーザ情報記憶手段には、前記ユーザＩＤと前記ユーザを認証するために指定されたパスワードが関連付けて記憶され、
前記加盟店サーバは、
前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたパスワードを前記ユーザ情報記憶手段から読み出し、前記ログイン要求受付手段が受け付けたログイン要求に指定されたパスワードと照合して、パスワードの一致を判定するパスワード判定手段と、
少なくともパスワード判定手段においてパスワードが一致し、かつ前記認証結果受信手段の受信した認証結果がユーザ本人と認証されたものであることを条件に、前記ログイン要求受付手段がログイン要求を受け付けたユーザのログイン処理を実行するログイン実行手段と、を備えること
を特徴とする請求項１乃至４いずれかに記載の認証システム。
【請求項６】
前記加盟店サーバにおいて、
前記ユーザ情報記憶手段には、前記ユーザＩＤと前記ユーザを認証するために指定されたパスワードが関連付けて記憶され、
前記加盟店サーバは、
ユーザの操作するユーザ端末から、前記ユーザを識別するユーザＩＤとＯＴＰシリアルが指定されたＯＴＰシリアルの登録要求を受け付けるＯＴＰシリアル登録要求受付手段と、
前記ユーザ端末に入力されたパスワードを受け付けるパスワード受付手段と、
前記ＯＴＰシリアル登録要求受付手段が登録要求を受け付けたユーザのユーザＩＤと関連付けられたパスワードを前記ユーザ情報記憶手段から読み出し、前記パスワード受付手段が受け付けたパスワードと照合して、パスワードの一致を判定するパスワード判定手段と、
少なくとも前記パスワード判定手段においてパスワードが一致することを条件に、前記ＯＴＰシリアル登録要求受付手段の受け付けた登録要求に指定されたユーザＩＤとＯＴＰシリアルを関連付けて前記ユーザ情報記憶手段に登録するＯＴＰシリアル登録手段と、を備えること
を特徴とする請求項１乃至５いずれかに記載の認証システム。
【請求項７】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと接続された、ユーザの認証処理を行う認証サーバであって、
前記加盟店サーバには、
ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、
ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、
前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、
前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、
前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、
前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、
前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、が備えられ、
前記カード事業者サーバには、
前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、
前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、が備えられていて、
ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、
前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、
前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、
前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、
を備えることを特徴とするワンタイムパスワードを用いた認証サーバ。
【請求項８】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと接続された、ユーザの認証処理を行う認証サーバであって、
前記加盟店サーバには、
ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段と、
ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付手段と、
前記ログイン要求受付手段がログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付手段と、
前記第１のＯＴＰシリアル読出手段の読み出したＯＴＰシリアルと前記第１のＯＴＰ受付手段の受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、
前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付手段と、
前記購入要求受付手段が購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出手段と、
前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付手段と、
前記購入要求受付手段が受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出手段が読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付手段が受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信手段と、が備えられ、
前記カード事業者サーバには、
前記加盟店サーバの購入情報送信手段から送信された購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信手段と、
前記購入情報受信手段の受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信手段と、
前記認証サーバから、前記認証要求送信手段の送信した認証要求に対する認証結果を受信する認証結果受信手段と、が備えられていて、
ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段と、
前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信手段と、
前記認証要求受信手段の受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信手段の受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理手段と、
前記認証処理手段による認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信手段と、
を備えることを特徴とするワンタイムパスワードを用いた認証サーバ。
【請求項９】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバによって実行される認証方法であって、
前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段が、
前記認証サーバには、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段が備えられていて、
前記加盟店サーバが、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付ステップと、
前記加盟店サーバが、前記ログイン要求受付ステップでログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出ステップと、
前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付ステップと、
前記加盟店サーバが、前記第１のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと前記第１のＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、
前記加盟店サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、
前記加盟店サーバが、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付ステップと、
前記加盟店サーバが、前記購入要求受付ステップで購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出ステップと、
前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第２のＯＴＰ受付ステップと、
前記加盟店サーバが、前記購入要求受付ステップで受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと、前記第２のＯＴＰ受付ステップで受け付けたワンタイムパスワードとを、前記カード事業者サーバに送信する購入情報送信ステップと、
前記カード事業者サーバが、前記加盟店サーバが購入情報送信ステップで送信した購入情報と、ＯＴＰシリアルと、ワンタイムパスワードとを受信する購入情報受信ステップと、
前記カード事業者サーバが、前記購入情報受信ステップで受信したＯＴＰシリアルとワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、
前記カード事業者サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、
前記認証サーバが、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信ステップと、
前記認証サーバが、前記認証要求受信ステップで受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信ステップで受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理ステップと、
前記認証サーバが、前記認証処理ステップでの認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信ステップと、
を有すること特徴とするワンタイムパスワードを用いた認証方法。
【請求項１０】
クレジットカードの加盟店においてクレジットカードを用いて商品又はサービスを購入するユーザをワンタイムパスワードを用いて認証するための、商品又はサービスを販売する加盟店の加盟店サーバと、クレジットカードを発行するカード事業者のカード事業者サーバと、ユーザの認証処理を行う認証サーバによって実行される認証方法であって、
前記加盟店サーバには、ユーザを識別するユーザＩＤと前記ユーザをワンタイムパスワードで認証するために割り当てられたＯＴＰシリアルとを関連付けて記憶するユーザ情報記憶手段が、
前記認証サーバには、ワンタイムパスワードによる認証を利用するユーザ毎に割り当てたＯＴＰシリアルと認証に用いるワンタイムパスワードを生成するＯＴＰシードを関連付けて記憶する認証情報記憶手段が備えられていて、
前記加盟店サーバが、ユーザが操作するユーザ端末から、前記ユーザのユーザＩＤが指定された前記加盟店サーバへのログイン要求を受け付けるログイン要求受付ステップと、
前記加盟店サーバが、前記ログイン要求受付ステップでログイン要求を受け付けたユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第１のＯＴＰシリアル読出ステップと、
前記加盟店サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付ける第１のＯＴＰ受付ステップと、
前記加盟店サーバが、前記第１のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルと前記第１のＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、
前記加盟店サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、
前記加盟店サーバが、前記加盟店サーバにログイン中のユーザが操作するユーザ端末から、クレジットカードを用いて商品又はサービスを購入する購入要求を受け付ける購入要求受付ステップと、
前記加盟店サーバが、前記購入要求受付ステップで購入要求を受け付けたログイン中のユーザのユーザＩＤと関連付けられたＯＴＰシリアルを、前記ユーザ情報記憶手段から読み出す第２のＯＴＰシリアル読出ステップと、
前記加盟店サーバが、前記購入要求受付ステップで受け付けた購入要求に指定された商品又はサービスの購入情報と、前記第２のＯＴＰシリアル読出ステップで読み出したＯＴＰシリアルとを、前記カード事業者サーバに送信する購入情報送信ステップと、
前記カード事業者サーバが、前記加盟店サーバが購入情報送信ステップで送信した購入情報と、ＯＴＰシリアルとを受信する購入情報受信ステップと、
前記カード事業者サーバが、前記ユーザ端末に入力されたワンタイムパスワードを受け付けるＯＴＰ受付ステップと、
前記カード事業者サーバが、前記購入情報受信ステップで受信したＯＴＰシリアルと前記ＯＴＰ受付ステップで受け付けたワンタイムパスワードを指定した認証要求を、前記認証サーバに送信する認証要求送信ステップと、
前記カード事業者サーバが、前記認証サーバから、前記認証要求送信ステップで送信した認証要求に対する認証結果を受信する認証結果受信ステップと、
前記認証サーバが、前記加盟店サーバ又は前記カード事業者サーバから、ＯＴＰシリアルとワンタイムパスワードを指定した認証要求を受信する認証要求受信ステップと、
前記認証サーバが、前記認証要求受信ステップで受信したＯＴＰシリアルと関連付けられたＯＴＰシードを前記認証情報記憶手段から読み出してワンタイムパスワードを生成し、前記認証要求受信ステップで受信したワンタイムパスワードと一致すれば、ワンタイムパスワードを入力した者をユーザ本人と認証する認証処理ステップと、
前記認証サーバが、前記認証処理ステップでの認証結果を、前記加盟店サーバ又は前記カード事業者サーバに送信する認証結果送信ステップと、
を有すること特徴とするワンタイムパスワードを用いた認証方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【公開番号】特開２０１１−１０７７９１（Ｐ２０１１−１０７７９１Ａ）
【公開日】平成２３年６月２日（２０１１．６．２）
【国際特許分類】
【出願番号】特願２００９−２５９３６７（Ｐ２００９−２５９３６７）
【出願日】平成２１年１１月１３日（２００９．１１．１３）
【出願人】（５０４３０９２２１）サードネットワークス株式会社 (5)
【Ｆターム（参考）】
【公開日】平成２３年６月２日（２０１１．６．２）
【国際特許分類】
【出願日】平成２１年１１月１３日（２００９．１１．１３）
【出願人】（５０４３０９２２１）サードネットワークス株式会社 (5)
【Ｆターム（参考）】
[ Back to top ]