個人認証システム

【課題】
個人認証において、安全性を維持しつつコストを低減することが求められている。特に、専用の装置、端末などを用意しなくとも、安全性を確保できる個人認証技術を提供することを課題とする。
【解決手段】
そこで、本発明では、照合などの認証ための処理を複数行い場合、時間的に後に行う処理に用いる情報を認証対象者に通知するための方法を複数用意しておくものである。この方法について、先に行う認証とは別の手段で必要な情報を通知することが好適である。その一例を挙げるならば、ワンタイムパスワードの配布方式を携帯電話のメールと電話の２つ方法を予め登録することにより代替手段を確保し、低コストかつ安全な認証方式を利便性の低下を抑止して実現する。

【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人を認証するための技術に関する。その中でも特に、認証のための処理を複数回実行することにより、その適否を判断する技術に関する。
【背景技術】
【０００２】
現在、コンピュータシステムの利用などでその安全性(セキュリティ)を確保することが必要となっている。このため、パスワードを利用するなどした認証技術が提案されている。ここで、安全性を保つ際にも際限なくコストを掛けられる訳ではない。そこで、コストの問題を考慮した従来技術として、特許文献１がある。この特許文献１には、「可搬媒体に記憶された第１の識別情報と、ユーザ端末に記憶された第２の識別情報と、に基づいて生成された使用回数制限パスワードを、第１及び第２の識別情報に関連付けて記憶したユーザ端末と、使用回数制限パスワードを、第１及び第２の識別情報に基づいて予め生成された認証用識別情報に関連付けて記憶した認証サーバと、を備え、ユーザ端末が、第１及び第２の識別情報を読み出す識別情報読出手段と、第１及び第２の識別情報を用いて使用回数制限パスワードを読み出すパスワード読出手段と、使用回数制限パスワードをネットワークを介して認証サーバに送信する認証情報送信手段と、を備え、認証サーバが、記憶されている使用回数制限パスワードを読み出し、ユーザ端末から受け取った使用回数制限パスワードとの照合を行う照合手段を備え」ることにより、簡便な認証としつつそれなりの精度を保つことが開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−３３４６４４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
また、近年クラウドサービスなどを代表としてネットワークを介したサービス利用が広まりつつある。これらのサービスを他者に介入されること無く安全に利用する為には個人特定するための認証システムが必要となる。しかし、安全な認証システム、たとえば生体認証システムでは生体認証情報読み取りの為の専用機器が必要な為、高コストとなる。また生体認証情報読み取り用の専用機器のない場所では利用出来ないなど利便性が低いことが課題となる。また、特許文献１に記載されたトークンを利用する技術についても、トークン配布コスト、またトークン紛失時に再度サービス事業者からトークン再配布を受けるまで間、サービス利用ができなくなる等の利便性の低下の課題がある。
【課題を解決するための手段】
【０００５】
そこで、本発明では、照合などの認証ための処理を複数行い場合、時間的に後に行う処理に用いる情報を認証対象者に通知するための方法を複数用意しておくものである。この方法について、先に行う認証とは別の手段で必要な情報を通知することが好適である。その一例を挙げるならば、ワンタイムパスワードの配布方式を携帯電話のメールと電話の２つ方法を予め登録することにより代替手段を確保し、低コストかつ安全な認証方式を利便性の低下を抑止して実現するものである。特に、電話やメールと言った既存の手段を用いることで、低コストが実現可能になる。ここで、本発明では、電話等を利用することに加え、電話等の既存のシステムでもセキュリティを維持するための情報処理である(先の)第１の認証処理の結果等からこれらの手段を用いる第２の認証処理を行う点にその特徴がある。
【発明の効果】
【０００６】
本発明によれば、個人認証システムをユーザの利便性を確保しつつ、低コストに実現することが可能。
【図面の簡単な説明】
【０００７】
【図１】本発明の一実施の形態による、全体概要を説明する図である。
【図２】本発明の一実施の形態による、認証システムおよび、端末装置の概要を説明する図である。
【図３】本発明の一実施の形態による、端末制御装置部の処理概要を説明するフローチャートの例である。
【図４】本発明の一実施の形態による、入力受付処理１０２の流れを説明するフローチャートの例である。
【図５】本発明の一実施の形態による、第一認証処理１０３の流れを説明するフローチャートの例である。
【図６】本発明の一実施の形態による、送信手段選択処理１０５の流れを説明するフローチャートの例である。
【図７】本発明の一実施の形態による、ワンタイムパスワード更新処理１０６の流れを説明するフローチャートの例である
【図８】本発明の一実施の形態による、第二認証処理１０９の流れを説明するフローチャートの例である。
【図９】本発明の一実施の形態で用いるユーザ管理テーブルである。
【発明を実施するための形態】
【０００８】
以下、本発明の一実施の形態を図面を用いて説明する。本実施の形態では、図１に示すような全体システムを対象としている。各装置（端末装置１０００など）がそれぞれインターネットのようなネットワークを介して接続されている。そして、利用者（ユーザ）は、端末装置１０００の使用ないしこれを利用して(図示しない)業務システムの使用の際に、個人認証システム１１００での認証を行う。また、利用者の認証において、携帯電話１０１０−１や電話機１０１０−２を用いるものとする。その利用の仕方は追って説明する。
【０００９】
また、図２は、図１が模式的に適用システムを示したものであるのに対し、個人認証システム１１００を中心に、装置構成を詳細化したものである。端末装置１００については、複数の装置がネットワークに接続可能、利用可能である。そして、各端末装置１００は、いわゆるコンピュータとして実現され、プログラムに従い演算処理を行う端末制御装置１０００−１、演算結果等を表示する表示装置１０００−２およびマウス、キーボードなどのようなユーザからの入力、指示を受付ける外部指示入力装置１０００−３から構成される。また、個人認証システム１１００は、これもいわゆるコンピュータで実現され、各処理は図示しないプログラムに従ってＣＰＵの如き演算装置でその処理を実現する。まず、個人認証システム１１００は、認証自体を実行する認証装置１１０１、この認証に関するユーザについての情報を格納したユーザ管理テーブルを記憶するユーザ管理記憶装置１１０２、認証に用いる情報（ワンタイムパスワード等）を電話機１０１０−２等に送信するメール送信装置１１０３や自動電話装置１１０４を備える。そして、これらの情報は、端末ＩＦ装置１１０５を介して送信される。
【００１０】
以下、上述した装置での処理について、フローチャート（図３〜８）およびフローチャートで示される処理に用いられるユーザ管理テーブル(図９)を用いて説明する。
まず、端末装置１０００は、起動する際、業務システムの利用要求を受付けた際などに、第一認証画面表示処理１０１として、ユーザＩＤ及びパスワードの受付画面を画面表示装置（１０００−２）に表示する。そして、ユーザからの入力に応じて、端末装置１０００は、入力受付処理１０２においてユーザＩＤ及びパスワードを外部指示入力装置（１０００−３）から入力を受付ける。その際に後続処理の選択可能とする。
【００１１】
そして、端末装置１０００は、ID/パスワード入力受付処理102-1において、外部指示入力装置（１０００−３）より、ＩＤ、パスワードの入力を受付ける。
また、端末装置１０００は、後続処理選択処理102-2において、外部指示入力装置（１０００−３）より、後続処理の選択をユーザから受付ける。そして、端末装置１０００は、受付けた情報を含む認証要求を、インターネットを経由して個人認証システム１１００に送信する。
【００１２】
上記の認証要求を受け、個人認証システム１１００は、第一認証処理１０３において１０３−１以下の処理で構成され、入力受付処理１０２で入力されたユーザＩＤ及びパスワードを使用し、認証を行う。認証は予め登録されたパスワードと比較して一致するかで判断する
なお、ＩＤ／パスワード送信処理１０３−１において先に記載のように端末制御装置（１０００−１）より送信されたＩＤ，パスワードを認証装置（１１０１）に送信する処理である。
【００１３】
そして、認証システム１１００は、認証サーバＩＤ／パスワード受信処理１０３−３において認証装置（１１０１）にて端末制御装置（１０００−１）から送信されたＩＤ，パスワード情報を受信する。
【００１４】
そして、認証装置１１０１では、ＩＤ／パスワード照合処理１０３−４において受信したＩＤ，パスワードをユーザ管理記憶装置（１１０２）に格納された情報と照合する。
【００１５】
この照合を受け、個人認証システム１１００では、ＮＧ応答送信処理１０３−５において１０３−４での照合結果が非合致の場合、ＮＧ応答を認証要求を送信した端末制御装置（１０００−１）に送信する。
また、上記の照合を受け、個人認証システム１１００では、ＯＫ応答送信処理１０３−６において１０３−４での照合結果が合致の場合、ＯＫ応答を認証要求を送信した端末制御装置（１０００−１）に送信する。
【００１６】
これらの結果を受信した端末制御装置１０００−１（端末装置１０００、以下同様）では、結果受信処理１０３−７において１０３−５あるいは１０３−６の応答を受信する。
【００１７】
これを受け、端末制御装置１０００−１は、結果判定処理１０４において第一認証処理１０３で得られた認証結果と入力受付処理１０２で選択した後続処理の選択(ユーザの選択ないし装置に予め登録されている選択内容)により判定を行う。
この判定の結果、認証ＯＫであり、後続処理が「送信手段選択」である場合、送信手段選択処理１０５に進む。本処理では、端末制御装置１０００−１は、パスワード送信手段を選択するインタフェースを提供し、ユーザ管理記憶装置（１１０２）の送信手段情報を更新する。なお、この判定の結果、認証ＯＫであり、後続処理が「第二認証」の場合には、ステップ１０６に進む。また、認証ＮＧの場合には、ステップ１０１に戻る。
【００１８】
この更新を受け、端末制御装置１０００−１は、送信手段・送信先情報選択入力処理１０５−１において外部指示入力装置（１０００−３）よりワンタイムパスワードの送信先情報の入力をユーザから受け付る。
そして、受付けた内容について、送信手段・送信先情報送信処理１０５−２において端末制御装置（１０００−１）より認証装置（１１０１）に１０５−１で入力された送信先情報を、個人認証システム１１００に送信する。
【００１９】
これを受け、個人認証システム１１００では、認証サーバ送信手段・送信先情報受信処理１０５−３において１０５−２で送信された送信先情報を認証装置（１１０１）で受信する。
【００２０】
そして、認証装置１１０１は、ユーザ管理テーブル送信手段・送信先情報更新処理１０５−４においてユーザ管理記憶装置（１１０２）の送信手段、および送信先情報を、受信した内容に更新する。
この更新を受け、認証装置１１０１は、ワンタイムパスワード更新依頼処理１０６において１０６−１以下の処理で構成され、ワンタイムパスワードの生成を行い、ユーザ管理記憶装置（１１０２）のワンタイムパスワードを更新する。
【００２１】
個人認証装置１１０１は、ワンタイムパスワード生成処理１０６−１においてワンタイムパスワードを生成する。この生成は、乱数により生成するものとする。
生成された際には、個人認証装置１１０１は、ユーザ管理テーブル・ワンタイムパスワード列更新処理１０６−２においてユーザ管理記憶装置（１１０２）のワンタイムパスワードを、生成された内容に更新する。
【００２２】
次に、個人認証装置１１０１は、送信手段判定処理１０６−３においてユーザ管理記憶装置（１１０２）に記録されている送信手段を判別する。例えば、ユーザ：00000001の場合、電話と判別される。
【００２３】
そして、この判決された結果について、個人認証装置１１０１は、ユーザ管理テーブル送信先メールアドレス取得処理１０６−３−１において、１０６−３での判別結果がメールであった場合、ユーザ管理記憶装置（１１０２）より、送信先情報を取得する。
そして、個人認証装置１１０１は、ワンタイムパスワード送信処理１０６−３−２において、メール送信装置（１１０３）に対して、１０６−３−１にて取得したメールアドレスに対し、ワンタイムパスワードを送信するような指示情報を送信する。
【００２４】
また、個人認証装置１１０１は、ユーザ管理テーブル送信先電話番号取得処理１０６−４−１において、１０６−３での判別結果が電話であった場合、ユーザ管理記憶装置（１１０２）より送信先の電話番号情報を取得する。
そして、個人認証装置１１０１は、ワンタイムパスワード送信処理１０６−４−２において、自動電話装置（１１０４）に対して、１０６−４−１にて取得した電話番号に対し、ワンタイムパスワードを自動音声にて電話発信するような指示情報を送信するする。
【００２５】
なお、これらのワンタイムパスワード送信処理は、ユーザに特有の経路であり、先にＩＤパスワードが送られるものとは別経路である電話、メールを介して送信されるものである。このユーザに特有とは、内線番号などであり、他のユーザと併用するものであってもかまわないが、より好適には専用のものがよい。
【００２６】
これらの処理を受け、第二認証処理を開始する。ここで、ユーザは電話ないしメールで受け取ったワンタイムパスワードを利用することになるので、この内容をメモしたり覚えておくことが必要になる。
【００２７】
まず、端末制御装置１０００−１では、ワンタイムパスワードを受領したユーザの入力や個人認証装置１１０１から第二認証開始の通知を受信するなどの所定条件を満たして場合、第二認証画面表示処理１０７においてワンタイムパスワードの受付画面を画面表示装置（１０００−２）に表示する。
そして、端末制御装置１０００−１は、入力受付処理１０８においてワンタイムパスワードを外部指示入力装置（１０００−３）を介してユーザからその入力を受付ける。
【００２８】
この第二認証処理１０９は１０９−１以下の処理で構成され、ユーザＩＤおよび１０８で入力されたワンタイムパスワードを使用し、認証を行う。認証は予め登録されたワンタイムパスワードと比較して一致するかで判断する
まず、端末制御装置１０００−１は、ワンタイムパスワード送信処理１０９−１として１０８にて外部指示入力装置（１０００−３）より入力されたワンタイムパスワードを、認証装置（１１０１）に送信する。
これを受け、認証サーバワンタイムパスワード受信処理１０９−１１において認証装置（１１０１）にて、端末制御装置（１０００−１）より送信されたワンタイムパスワードを受信する。
【００２９】
そして、認証装置１１０１は、ワンタイムパスワード照合処理１０９−１２において１０９−１１にて受信したワンタイムパスワードをユーザ管理記憶装置（１１０２）に保存されている値と比較し、評価を行う。つまり、照合して合致しているかを判断する。
この結果を受け、認証装置１１０１は、ＮＧ応答送信処理１０９−１３において、１０９−１２の評価の結果、合致しない場合は、NG応答を端末制御装置（１０００−１）に送信する。
認証装置１１０１は、ＯＫ応答送信処理１０９−１４において、１０９−１２の評価の結果、合致する場合は、OK応答を端末制御装置（１０００−１）に送信する。
【００３０】
結果受信処理１０９−２は認証装置（１１０１）より送信された応答を受信する。
結果判定処理１１０は第二認証処理１０９で得られた認証結果により判定を行う。OKの場合は認証処理を終了し、OSのログイン処理に遷移する。ないし、ＯＫとの結果を図示しない業務システムに送信し、端末装置１０００からのアクセスを許可させる。
【符号の説明】
【００３１】
１０００端末装置
１０００−１端末制御装置
１０００−２表示装置
１０００−３外部指示入力装置
１０１０ワンタイムパスワード通知装置
１０１０−１携帯電話端末
１０１０−２電話機
１１００個人認証システム
１１０１認証装置
１１０２ユーザ管理記憶装置
１１０３メール送信装置
１１０４自動電話装置
１１０５端末ＩＦ装置

【特許請求の範囲】
【請求項１】
認証に関する複数の処理を行う個人認証システムであって、利用者が利用する端末装置と前記認証および前記複数の処理を実行する認証装置を有する個人認証システムにおいて、
前記端末装置は、前記利用者からの入力に応じて、前記複数の処理に含まれる第1の処理に用いる第1の情報を含む認証要求を認証装置に送信し、
前記認証装置は、前記第1の情報を用いて、前記第1の処理を実行し、当該実行の結果が前記認証において肯定的である場合に、前記第1の情報の送信とは別の経路であって前記利用者特有の経路にて、前記利用者に対して、前記複数の処理に含まれる第2の処理に用いる第2の情報を送信し、
前記端末装置は、前記利用者からの入力に応じて、前記第2の情報を含む認証要求を、前記認証装置に送信し、
前記認証装置は、前記第2の情報を用いて前記第2の処理を実行し、当該第2の処理に基づいて前記認証を行うことを特徴とする個人認証システム。
【請求項２】
請求項１に記載の個人認証システムにおいて、
前記第2の処理は、ワンタイムパスワード認証であり、前記第2の情報はワンタイムパスワードであることを特徴とする個人認証システム。
【請求項３】
請求項１または２のいずれかに記載の個人認証システムにおいて、
前記別の経路は、電話ないし電子メールでの送信経路であることを特徴とする個人認証システム。

【図１】