匿名認証方法
【課題】会員制コミュニティーにおいて、被認証者（会員）の匿名性を確保しつつ、必要に応じ匿名性を剥奪できる匿名認証を実現する。
【解決手段】被認証者装置は、被認証者の個人情報を管理者装置に送信する。これを受けた管理者装置は、被認証者に対する認証情報を生成し、被認証者装置にその認証情報を送付する。次に被認証装置は第三者装置に対し前記認証情報を与える。第三者装置は、新しい認証情報を作成し、被認証装置とコミュニティーを運営する運営者装置とに前記新しい認証情報を送付する。被認証者は、被認証者装置を用いては、新しい認証情報で運営者装置にアクセスすることで匿名性が保たれる。また、匿名性を剥奪する必要がある場合には、認証情報、管理者装置の個人情報より個人が特定され匿名性が剥奪される。
【解決手段】被認証者装置は、被認証者の個人情報を管理者装置に送信する。これを受けた管理者装置は、被認証者に対する認証情報を生成し、被認証者装置にその認証情報を送付する。次に被認証装置は第三者装置に対し前記認証情報を与える。第三者装置は、新しい認証情報を作成し、被認証装置とコミュニティーを運営する運営者装置とに前記新しい認証情報を送付する。被認証者は、被認証者装置を用いては、新しい認証情報で運営者装置にアクセスすることで匿名性が保たれる。また、匿名性を剥奪する必要がある場合には、認証情報、管理者装置の個人情報より個人が特定され匿名性が剥奪される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、会員制のコミュニティーにおける匿名認証方法に関し、詳しくは、被認証者の匿名性を確保しつつ、必要に応じて匿名性を剥奪できる匿名認証方法に関する。
【背景技術】
【０００２】
現在の会員制のコミュニティーや、インターネットなどのネットワークに存在している会員制のコミュニティーの多くは、被認証者がコミュニティーヘの会員登録をする際に、被認証者は自らの個人情報をコミュニティーの運営者に送信し、それを受けた運営者はその個人情報との対応付けを行ったＩＤとパスワードを発行し、ＩＤとパスワードを被認証者に渡す、といった方法が一般的である（例えば、非特許文献１参照）。被認証者がコミュニティーに参加する際には、被認証者がこれらＩＤとパスワードを入力し、コミュニティーの運営者はそのＩＤとパスワードを確認し、運営者が発行したものと共に一致すれば被認証者を認証し、コミュニティーヘの参加を許可する。
【０００３】
一方、このような会員制のコミュニティーにおいて、被認証者の匿名性を高めるための施策として、被認証者がコミュニティーヘの会員登録をする際に、被認証者は自らの個人情報をコミュニティーの運営者に送信し、それを受けた運営者はコミュニティーの会員全員と同一のＩＤとパスワードを被認証者に渡す、といった方法が考えられる。被認証者が認証を受ける際には、被認証者が会員同一のパスワードを入力し、運営者はそのパスワードを確認し、コミュニティーヘの参加を許可する。
【非特許文献１】長原宏治監訳：インターネット・エキサイティングテクノロジーシリーズ「インターネットセキュリティ」（株式会社インプレス、１９９７年２月２１日）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
現在まで知られているＩＤとパスワードを用いた認証においては、被認証者がコミュニティーヘの会員登録の際に自らの個人情報を運営者に送信し、それに基づいて運営者がＩＤとパスワードを発行するため、被認証者がコミュニティーに参加したことが運営者に知られ、被認証者の匿名性はコミュニティーの運営者に対しては保護されていないと言える。このような匿名性が運営者に対しては確保されていないＩＤ、パスワードによる認証では、そのコミュニティーに所属、もしくは参加しているという事実が個人のプライバシーに大きく関わる場合、そのＩＤ、パスワードを保持する運営者には情報漏洩対策など様々な負担がかかり、また被認証者にとっては運営者が参加している事を知りうる状態であることは望ましくない。
【０００５】
逆に匿名性を考慮するために同一のパスワードを用いた場合は、被認証者の誰かがコミュニティーに参加したことだけしか運営者には分からない。そのために顕在化する弊害としては、被認証者の振る舞いがコミュニティーの規約によって個人を特定されるべき行為（以下、匿名性剥奪対象行為）であったとしても、管理者は被認証者を特定することが出来ない事が挙げられる。さらに被認証者の振る舞いがコミュニティーの規約によってコミュニティーから除外されるべき行為（以下、除外対象行為）であったとしても、運営者は個人を特定できないためにコミュニティーから除外する方法がなく、これも運営者にとって運用上不便であると考えられる。
【０００６】
また、同一のパスワードを用いる認証においては、複数回の認証に対して、それが同一の被認証者の行為である事を確かめることが出来ない。このことによって、営利目的のコミュニティーにおいては特に重要であると考えられるリピーターに関する情報を運営者が取得することができないことも運用上のデメリットである。このリピーターに関する情報は、例えばコミュニティーの規約外の利用を行う複数の被認証者が同一の者であることを確認し、それをもってコミュニティーからの除外を決めるその判断基準として利用することが可能である。
【０００７】
以上の理由から、運営者に対しても被認証者の匿名性を保ちつつ、複数の匿名認証の同一性を確認できる、また必要に応じて被認証者を特定、もしくはコミュニティーから除外できる認証方式は重要であると考えられる。
【０００８】
前述の課題を解決するために、本発明は、被認証者の匿名性を保ったまま、運営者が複数の匿名認証の同一性の検証とコミュニティーからの除外ができ、さらに、第三者と管理者の合意協力により被認証者の匿名性の剥奪やコミュニティーからの除外ができる匿名認証方法を提供することにある。
【０００９】
具体的には、特に電子署名や公開鍵暗号といったセキュリティ技術を用いずとも、従来のＩＤやパスワードといった簡単なものを用いても実現できる、被認証者と運営者の他に第三者と管理者を介在させることによる匿名認証方法を提供することにある。
【課題を解決するための手段】
【００１０】
本発明は、コミュニティーに属するユーザ（以下、被認証者）が操作する被認証者装置、コミュニティーの運営者が操作する運営者装置、被認証者の個人情報を管理する管理者が操作する管理者装置、及び、第三者が操作する第三者装置を備える。被認証者装置は、被認証者の個人情報を管理者装置に送付する。これを受けて管理者装置は、被認証者に対して、該被認証者の認証に必要な情報（以下、認証情報）ＣＩを発行すると共に、該認証情報ＣＩと被認証者の個人情報との対応を記憶しておく。被認証者装置は、前記管理装置が発行した認証情報ＣＩを第三者装置に送付する。これを受けて、第三者装置は、被認証者をコミュニティーの会員と見なし、該被認証者に対して新しい認証情報ＣＩＮを発行すると共に、該認証情報ＣＩＮと認証情報ＣＩとの対応を記憶し、さらに、コミュニティー運営者の運営者装置に認証情報ＣＩＮを送付する。被認証者装置は認証情報ＣＩＮを運営者装置に送付し、これを受けて運営者装置は被認証者をコミュニティー内の者と見なす。
【００１１】
一方、被認証者を特定する必要が発生した場合、運営者装置は当該被認証者の認証情報ＣＩＮを第三者装置に送付し、第三者装置は該認証情報ＣＩＮに対応する認証情報ＣＩを管理者装置に送付し、管理者装置は該認証情報ＣＩに対応する個人情報により被認証者を特定する。また、運営者装置は、被認証者装置から同じ認証情報ＣＩＮを複数回受け取ることで、被認証者の同一性を検証する。
【００１２】
また、本発明は、被認証者装置、運営者装置、管理者装置、及び、複数の第三者装置を備える。被認証者装置は、被認証者の個人情報を管理者装置に送付する。これを受けて管理者装置は、被認証者に対して認証情報ＣＩを発行すると共に、該認証情報ＣＩと被認証者の個人情報との対応を記憶する。被認証者装置は認証情報ＣＩを１番目の第三者装置に送付する。１番目の第三者装置は、被認証者装置から認証情報ＣＩを受けて、被認証者に対して認証情報ＣＩＮ1を発行すると共にＣＩＮ1とＣＩの対応を記憶し、２番目の第三者装置にＣＩＮ1を送付する。２番目の第三者装置は、被認証者装置からＣＩＮ1を受けて、被認証者に対して認証情報ＣＩＮ2を発行すると共にＣＩＮ2とＣＩＮ1の対応を記憶し、３番目の第三者装置にＣＩＮ2を送付する。以下同様の処理を繰り返し、最後のｎ番目の第三者装置は、被認証者装置からＣＩＮn-1を受けて、被認証者に対して認証情報ＣＩＮnを発行すると共にＣＩＮnとＣＩＮn-1の対応を記憶し、運営者装置に認証情報ＣＩＮnを送付する。被認証者装置は認証情報ＣＩＮnを運営者装置に送付し、これを受けて運営者装置は被認証者をコミュニティー内の者と見なす。
【００１３】
一方、被認証者装置を特定する必要が発生した場合、運営者装置は当該被認証者の認証情報ＣＩＮnをｎ番目の第三者装置に送付する。ｎ番目の第三者装置はＣＩＮnに対応するＣＩＮn-1をｎ−１番目の第三者装置に送付する。以下、同様の処理を繰り返し、１番目の第三者装置が２番目の第三者装置からＣＩＮ1を受け取ると、該ＣＩＮ1に対応するＣＩを管理者装置に送付する。管理者装置は、該ＣＩに対応する個人情報により被認証者を特定する。
【００１４】
運営者装置は、被認証者装置から同じ認証情報ＣＩＮnを複数回受け取ることで、被認証者の同一性を検証する。
【発明の効果】
【００１５】
本発明の匿名認証方法によれば、コミュニティーの規約に沿った利用を行っている限りにおいては、運営者のみならず、第三者や管理者に対しても被認証者の匿名性を確保することが出来る。また被認証者のプライバシーを守ることが出来ると同時に、運営者も自身で個人情報を扱う必要がなくなるため、情報漏洩対策上もメリットは大きい。
【００１６】
また匿名性の剥奪の可能性を持たせることにより、コミュニティーの規約外の不正な利用を防止でき、さらに匿名性の剥奪は、例えば情報提供サイトにおいて有力情報に対する報奨金を与える場合などにも適用できるため、運営側のメリットも大きと考えられる。一方、第三者が複数名存在する場合は、匿名性剥奪をするために複数名の第三者の合意協力を得る必要があるため、安易な匿名性剥奪を抑止することが可能になる。
【００１７】
また、運営者が被認証者の匿名性を保ったまま、複数の被認証者の同一性を検証できることにより、運営者は営利目的のコミュニティーにおいては特に重要であると考えられるリピーターに関する情報を得ることができる。また、このリピーターに関する情報は、例えばコミュニティーの規約外の利用を行う複数の被認証者が同一の者であることを確認し、それをもってコミュニティーからの除外を決めるといった、判断基準としての利用も可能であると考えられる。
【００１８】
さらに運営者は、管理者や第三者に匿名性を剥奪して被認証者の匿名性を剥奪してからコミュニティーの除外を行う他に、運営者単独の権限で匿名のままに被認証者の除外も可能であるため、第三者や管理者による匿名性剥奪の是非の判断を待つ前に被認証者のサービスの利用を停止することができる。
【００１９】
本発明の実施例として、ネットワーク上におけるオークションサイトの認証方法とネットワーク上に限らずともレンタルビデオなどの会員の認証方法を挙げたが、その他にもＰ２Ｐネットワークや、匿名掲示板サイト、情報提供サイトなどに適用することも可能である。
【発明を実施するための最良の形態】
【００２０】
以下、本発明の実施の形態について図面を用いて詳しく説明する。
〔第１の実施の形態〕
ここでは第１の実施の形態として会員制のコミュニティーとしてネットオークションを想定し、被認証者装置、運営者装置、第三者装置、管理者装置が繋がれたネットワーク上で、被認証者は個別のＩＤやパスワードＰＷといった認証に必要な情報（以下、認証情報）を用いてネットオークションサイトの一員であることをオークションサイト管理者に対し証明し、更に被認証者がオークションサイトの利用中に匿名性剥奪対象行為を行った場合、運営者は第三者、管理者に対して、被認証者が匿名性剥奪対象行為を行った事実を証明し、最終的に運営者と第三者と管理者が協力することで被認証者を特定する例について、図１乃至図８を用いて詳細に説明する。
【００２１】
第１の実施の形態におけるシステム構成は、図１に示すように、被認証者の個人情報を管理している管理者１１−ｉk（ただしｉk＝１，・・・，ｍk）、及び管理者１１−ｉkの操作する管理者装置１０−ｉk、認証情報の中継を行う第三者１０００１−ｉk、及び第三者１０００１−ｉkの操作する第三者装置１００００−ｉk、幾つかのオークションサイト１０１０−ｉ0（ただしｉ0＝１，・・・，ｍ0）それぞれに対応した運営者１００１−ｉ0及び運営者１００１−ｉ0の操作する運営者装置１００１−ｉ0、オークションサイト１０１０−ｉ0（そのＵＲＬをＵＲＬ１０１０−ｉ0とする）に属する被認証者１０１−ｉ0−ｉh（ただしｉh＝１，・・・，ｍi0）、及び被認証者１０１−ｉ0−ｉhの操作する被認証者装置１００−ｉ0−ｉhが存在し、被認証者装置１００−ｉ0−ｉhと運営者装置１０００−ｉ0、そして第三者装置１００００−ｉhと管理者装置１０−ｉkはネットワークを通じて接続されている。なお、被認証者１０１−ｉ0−ihは同時に複数のオークションサイト（コミュニティー）１０１０に属することも可能であり、同様に、管理者１１−ikは複数のオークションサイトに属する被認証者の個人情報を管理することも可能である。
【００２２】
以下では、オークションサイト１０１０−１において、被認証者１０１−１−１が匿名認証を行う場合を例に挙げて説明する。また、この際の管理者は１１−１、第三者は１０００１−１とする。勿論、以下で示す例はこのオークションサイトのモデルに特化したものではなく、インデックスを適宜変更することで、他のオークションサイトの例と置き換えて見ることができる。図２乃至図５に被認証者装置１００−１−１、運営者装置１０００−１、第三者装置１００００−１及び管理者装置１０−１の主要構成要素をそれぞれ示す。
【００２３】
先ず、認証の際の事前処理（会員登録処理）について説明する。図６は本実施の形態の事前処理シーケンス例を示している。
【００２４】
（事前処理１）
被認証者１０１−１−1は、被認証者装置１００−１−１を用いて自らの個人情報Ｍ１０１−１−１（氏名、年齢、住所、銀行口座、その他）を個人情報管理者１１−１の操作する管理者装置１０−１に送信し、被認証者装置１００−１−１の具備する記憶部１０３−１−１に個人情報Ｍ１０１−１−１を記憶しておく。なお、被認証者装置１００−１−１の記憶部１０３−１−１にあらかじめ個人情報Ｍ１０１−１−１を記憶しておき、これを読み出して管理装置１０−１に送信することでもよい。
【００２５】
被認証者装置１００−１−１から個人情報Ｍ１０１−１−１を受け取った管理者装置１０−１は、被認証者装置１００−１−１に対する個別のＩＤとパスワードＰＷからなる認証情報ＣＩ１０１−１−１を自身の具備する認証情報生成部１２−１により生成する。なお、ＩＤはオークションサイト１０１０−１の会員全員と同一のＩＤとすることでもよい。管理者１１−１は、この生成された認証情報ＣＩ１０１−１−１を被認証者１０１−１−１に与える。被認証者１０１−１−１に認証情報ＣＩ１０１−１−１を与える方法は、例えば電子メールにより管理者装置１０−１から被認証者装置１００−１−１へ送るとしても良いが、セキュリティの観点から、認証情報記載部分に保護シールの付いた、認証情報が記載された用紙ＳＨＥＥＴ１０１−１−１を管理者１１−１から被認証者１０１−１−１へ直接手渡す、または暗号機能付電子メールを用いる等の配慮を行うことが望ましい。ここでは当該用紙ＳＨＥＥＴ１０１−１−１を直接手渡すとして話を進める。
【００２６】
管理者１１−１は第三者１０００１−１に対しても被認証者１０１−１−１の認証情報ＣＩ１０１−１−１を与える。また、管理者１１−１は、この認証情報ＣＩ１０１−１−１と被認証者１０１−１−１の個人情報Ｍ１０１−１との対応付けのされたリストＬ１１−１を管理者装置１０−１の具備する記憶部１３−１に記憶しておく。
【００２７】
（事前処理２）
その後、被認証者１０１−１−１は、被認証者装置１００−１−１を用いて第三者装置１００００−１に対し認証情報ＣＩ１０１−１−１を入力する。これにより、第三者装置１００００−１は、被認証者１０１−１−１をオークションサイト１０１０−１の会員と見なし、第三者装置１００００−１の具備する認証情報生成部１０００２−１により、新しい認証情報ＣＩＮ１０１−１−１を生成し、被認証者装置１００−１−１に与える。また、第三者装置１００００−１は、新しい認証情報ＣＩＮ１０１−１−１と管理者の発行した認証情報ＣＩ１０１−１−１とが対応付けされたリストＬ１０００１−１を第三者装置１００００−１の具備する記憶部１０００３−１に記憶しておく。このとき同時に、第三者装置１００００−１は運営者装置１０００−１に対しても認証情報ＣＩＮ１０１−１−１を与える。認証情報ＣＩＮ１０１−１−１を受け取った運営者装置１０００−１は、これをリストＬ１００１−１として自身の具備する記憶部１００３−１に記憶しておく。
【００２８】
次に、認証処理の流れについて説明する。図７は認証処理の通常の処理シーケンスを示している。
【００２９】
被認証者１０１−１−１は、運営者１００１−１の提供するオークションサイト１０１０−１用のＷｅｂページを閲覧するために、被認証者装置１００−１−１のＷｅｂブラウザ１０２−１−１を操作して、オークションサイト１０１０−１のＵＲＬ１０１０−１に対応する運営者装置１０００−１のＷｅｂページ情報格納部１００２−１にアクセスする。このＷｅｂページでは、先ず認証処理が行われ、被認証者１０１−１−１は、被認証者装置１００−１−１により認証情報ＣＩＮ１０１−１−１を入力する。なお、第三者装置１００００−１が発行した認証情報ＣＩＮ１０１−１−１を被認証者装置１００−１−１の具備する記憶部１０３−１−１に記憶しておき、被認証者１０１−１−１の操作に応じて、被認証者装置１００−１−１がＣＩＮ１０１−１−１を記憶部１０３−１−１から読み出して運営者装置１０００−１に送付するようにしてもよい。
【００３０】
運営者装置１０００−１は、被認証者装置１００−１−１から送付された認証情報ＣＩＮ１０１−１−１について、自身の具備する記憶部１００３−１に記憶されているリストＬ１００１−１のＣＩＮ１０１−１−１とパスワードを照合することで、被認証者１０１−１−１をオークションサイト１０１０−１内の者と見なし、被認証者１０１−１−１に対してオークションサイト１０１０−１用のＷｅｂページを閲覧することを許可する。
【００３１】
ここで、運営者装置１０００−１を操作する運営者１００１−１は、リストＣＩ１００１−１の認証情報ＣＩＮ１０１−１−１からはオークションサイト１０１０−１内の被認証者までを特定することが出来ず、また、認証情報ＣＩＮ１０１−１−１を生成した第三者装置１００００−１を操作する第三者１０００１−１と、認証情報ＣＩ１０１−１−１を生成した管理者装置１０−１を操作する管理者１１−１は、一般に被認証者１０１−１−１のアクセス事実を知らないため、運営者１００１−１、第三者１０００１−１、管理者１１−１の三者に対して被認証者１０１−１−１の匿名性が確保される。
【００３２】
次に、被認証者１０１−１−１は匿名性剥奪対象行為を行った者であるとして、管理者１１−１と運営者１００１−１と第三者１０００１−１が協力して被認証者１０１−１−１を特定するための手続きを説明する。図８は匿名の被認証者１０１−１−１を特定する手続きの処理シーケンス例を示している。
【００３３】
匿名の被認証者が匿名性剥奪対象行為を行ったと判断した運営者１００１−１は、運営者装置１０００−１により、被認証者１０１−１−１の認証情報ＣＩＮ１０１−１−１を記憶部１００３−１に記憶されたリストＬ１００１−１より取り出し、第三者１０００１−１に提示する。これを受けて、匿名の被認証者１０１−１−１が匿名性剥奪対象行為を行ったと判断した第三者１０００１−１は、第三者装置１００００−１の記憶部１０００３−１に格納されたリストＬ１０００１−１を閲覧し、管理者から与えられた認証情報ＣＩ１０１−１−１との照合を行う。そして、第三者１０００１−１は、認証情報ＣＩＮ１０１−１−１と対の認証情報ＣＩ１０１−１−１を管理者１１−１に提示する。管理者１１−１は、管理者装置１０−１の具備する記憶部１３−１に記憶されたリストＬｌ１−１を閲覧し、パスワードＰＷと照合することで、被認証者１０１−１−１を特定することが出来る。
【００３４】
以上のように、オークションサイト内の匿名の被認証者を特定するためには、運営者、第三者、管理者の三者が合意協力する必要がある。例えば、運営者１００１−１と第三者１０００１−１の二者のみが合意協力した場合は、第三者装置１０００１の記憶部に記憶された１リストＬ１０００１−１を用いて、被認証者１０１−１−１の認証情報ＣＩＮ１０１−１−１が認証情報ＣＩ１０１−１−１に対応している、ことまでは照合できるが、管理者装置１０−１の記憶部１３−１に記憶されている認証情報ＣＩ１０１−１−１と被認証者１０１−１−１の個人情報Ｍ１０１−１−１を対応付けるリストＬ１１−１を用いることが出来ないため、被認証者１０１−１−１を特定することが出来ない。また、運営者１００１−１と管理者１１−１の二者のみが合意協力した場合は、被認証者１０１−１−１が認証情報ＣＩＮ１０１−１−１を用いて、運営者装置１０００−１のＷｅｂページ情報格納部にアクセスしてきたことは分かるが、管理者装置１０−１のリストＬ１１−１では認証情報ＣＩ１０１−１−１と被認証者１０１−１−１の対応しか証明できないため、被認証者１０１−１−１を特定することが出来ない。また、第三者１０００１−１と管理者１１−１の二者のみが合意協力した場合は、二者共に被認証者１０１−１−１のアクセス事実を知らないため、被認証者１０１−１−１を特定することが出来ない。このように、管理者、第三者、認証者の三者のうち二者の合意協力では被認証者を特定することはできず、三者の合意協力が必要となるため、匿名性の解除の可能性を持たせることで不正な利用の抑止効果を保ったまま、安易な匿名性の解除も防止することが出来る。
【００３５】
次に、被認証者１０１−１−１が複数回にわたって匿名認証している場合を考える。このとき被認証者１０１−１−１の用いる認証情報ＣＩＮ１０１−１−１は常に同一であるため、運営者は認証情報ＣＩＮ１０１−１−１を運営者装置１０００−１に記憶しておくことによって同一性検証可能である。また、このＣＩＮ１０１−１−１を用いて行われる認証を許可しないことにより、匿名のままで被認証者１０１−１−１をコミュニティーから排除することができる。一方、運営者のみでの同一性検証を不可能にするためには、再度（事前処理１）と（事前処理２）のように管理者と第三者から新たな認証情報ＣＩ１０１−１−１′と認証情報ＣＩＮ１０１−１−１′を得る、もしくは（事前処理２）だけを行って認証情報ＣＩＮ１０１−１−１′を得ても可能である。前者では、同一性検証するためには運営者と管理者と第三者の三者が協力する必要があり、また後者では、運営者と第三者が協力する必要がある。
【００３６】
〔第２の実施の形態〕
ここでは第２の実施の形態として、被認証者装置、運営者装置、複数の第三者装置、管理者装置は必ずしもネットワークに繋がれていない状態を想定し、被認証者は認証情報をＩＣカードや携帯電話などに格納し、これ用いてレンタルビデオ店の会員であることをレンタルビデオ店の管理者に対し証明し、更に被認証者がレンタルビデオ店の利用中にレンタルビデオの長期にわたる返却遅延などの匿名性剥奪対象行為を行った場合、運営者は複数名の第三者と管理者に対して、被認証者が匿名性剥奪対象行為を行った事実を証明し、最終的に運営者と複数名の第三者と管理者が協力することで被認証者を特定する例について、図９乃至図１６を用いて詳細に説明する。
【００３７】
第２の実施の形態におけるシステム構成は、図９に示すように、被認証者の個人情報を管理している管理者１１−ｉk（ただし、ｉk＝１，…，mk）、及び管理者１１−ｉkの操作する管理者装置１０−ｉk、認証情報の中継を行う複数名の第三者１０００１−ｉk−ｉd（ただしｉd＝１，…，mik）、及び第三者１０００１−ｉk−ｉdの操作する第三者装置１００００−ｉk−ｉd、第三者１０００１−ｉk−ｉdと管理者１１−ｉkとが提供する認証システムを利用する幾つかのレンタルビデオ店１０１０−ｉ0（ただし、ｉ0＝１，…，m0）とそれぞれのレンタルビデオ店１０１０−ｉ0に対応した運営者１００１−ｉ0及び運営者１００１−ｉ0の操作する運営者装置１０００−ｉ0、レンタルビデオ店１０１０−ｉ0の会員である被認証者１０１−ｉ0−ｉh（ただし、ｉh＝１，…，mi0）、及び被認証者１０１−ｉ0−ｉhの操作する被認証者装置１００−ｉ0−ｉhが存在している。
【００３８】
以下では、レンタルビデオ店１０１０−１において、被認証者１０１−１−１が被認証者装置１００−１−１を用いて匿名認証を行う場合を例に挙げて説明する。またこの際の管理者及び管理者装置は１１−１及び１０−１、第三者及び第三者装置は１０００１−１-ｉｄ及び１００００−１−ｉd（ただし、ｉd＝１，…，mik）とする。勿論、以下で示す例はこのレンタルビデオ店のモデルに特化したものではなく、インデックスを適宜変更することで、他のレンタルビデオ店の例と置き換えて見ることが出来る。図１０乃至図１３に被認証者装置１００−１−１、運営者装置１０００−１、第三者装置１００００−１−ｉｄ及び管理者装置１０−１の主要構成要素をそれぞれ示す。
【００３９】
先ず、認証の際の事前処理（会員登録処理）について説明する。図１３は、本実施の形態の事前処理シーケンス例を示している。
【００４０】
（事前処理３）
被認証者１０１−１−１は、被認証者装置１００−１−１を用いて自らの個人情報Ｍ１０１−１−１（氏名、年齢、住所、銀行口座、その他）を個人情報管理者１１−１の操作する管理者装置１０−１に送信する。この時、被認証者装置１００−１−１は、自身の具備する記憶部１０３−１−１に個人情報Ｍ１０１−１−１を記憶しておく。被認証者装置１００−１−１から個人情報Ｍ１０１−１−１を受け取った管理者装置１０−１は、被認証者１０１−１−１に対する個別のＩＤやパスワードといった認証に必要な情報（認証情報）ＣＩ１０１−１−１を自身の具備する認証情報生成部２０−１により生成する。本実施の形態においても、ＩＤはレンタルビデオ店１０１０−１の会員全員と同一のＩＤとすることでもよい。管理者１１−１は、生成された認証情報ＣＩ１０１−１−１を被認証者１０１−１−１に与える。この与える方法は、例えば電子メールにより管理者装置１０−１から被認証者装置１００−１−１へ送るとしても良いが、セキュリティの観点から、認証情報記載部分に保護シールの付いた、認証情報が記載された用紙ＳＨＥＥＴ１０１−１−１を管理者１１−１から被認証者１０１−１−１へ直接手渡す、または暗号機能付電子メールを用いる等の配慮を行うことが望ましい。ここでは当該用紙ＳＨＥＥＴ１０１−１−１を直接手渡すとして話を進める。管理者１１−１は、第三者１０００１−１−１に対しても被認証者１０１−１−１の認証情報ＣＩ１０１−１−１を与える。また、管理者１１−１は、認証情報ＣＩ１０１−１−１と被認証者１０１−１−１の個人情報Ｍ１０１−１−１との対応付けのされたリストＬｌｌ−１を管理者装置１０−１の具備する記憶部１３−１に記憶しておく。
【００４１】
（事前処理４）
その後、被認証者１０１−１−１は、被認証者装置１００−１−１を用いて第三者装置１００００−１−１に対し認証情報ＣＩ１０１−１−１を入力する。これにより第三者装置１００００−１−１は、被認証者１０１−１−１をレンタルビデオ店１０１０−１の会員と見なし、第三者装置１０００１−１−１の具備する認証情報生成部１０００２−１−１により、新しい認証情報ＣＩＮ1１０１−１−１を生成し、被認証者装置１００−１−１に与える。また、新しい認証情報ＣＩＮ1１０１−１−１と管理者の発行した認証情報ＣＩ１０１−１−１とが対応付けされたリストＬ１０００１−１−１を第三者装置１０００１−１−１の具備する記憶部１０００３−１−１に記憶しておく。このとき同時に、第三者装置１００００−１−１は、第三者装置１００００−１−２に対しても認証情報ＣＩＮ1１０１−１−１を与える。認証情報ＣＩＮ1１０１−１−１を受け取った第三者装置１００００−１−２は、これを自身の具備する記憶部１０００３−１−２に記憶しておく。
【００４２】
（事前処理５）
次に被認証者１０１−１−１は、被認証者装置１００−１−１を用いて第三者装置１００００−１−２に対し認証情報ＣＩＮ1１０１−１−１を入力する。これにより第三者装置１００００一１−２は、被認証者１０１−１−１をレンタルビデオ店１０１０−１の会員と見なし、第三者装置１００００−１−２の具備する認証情報生成部１０００２−１−２により、新しい認証情報ＣＩＮ2１０１−１−１を生成し、被認証者装置１００−１−１に与える。また、新しい認証情報ＣＩＮ2１０１−１−１と第三者装置１００００−１−１が発行した認証情報ＣＩＮ1１０１−１−１とが対応付けされたリストＬ１０００１−１−２を第三者装置１００００−１−２の具備する記憶部１０００３−１−２に記憶しておく。このとき同時に、第三者装置１００００−１−２は、第三者装置１００００−１−３に対しても認証情報ＣＩＮ2１０１−１−１を与える。認証情報ＣＩＮ2１０１−１−１を受け取った第三者装置１００００−１−３は、これを自身の具備する記憶部１０００３−１−３に記憶しておく。
【００４３】
（事前処理６）
以上の操作を同様にmik回繰り返し、被認証者１０１−１−１は、被認証者装置１００−１−１を介して第三者装置１００００−１−mikに対し認証情報ＣＩＮ（mik−１）１０１−１−１を入力する。これにより第三者装置１００００−１−mikは、被認証者１０１−１−１をレンタルビデオ店１０１０−１の会員と見なし、第三者装置１００００−１−mikの具備する認証情報生成部１０００２−１−mikにより、新しい認証情報ＣＩＮmik１０１−１−１を生成し、被認証者装置１００−１−１に与える。また、新しい認証情報ＣＩＮmik１０１−１−１と第三者装置１００００−１−（mik−１）が発行した認証情報ＣＩＮ（mik−１）１０１−１−１とが対応付けされたリストＬ１０００１−１−mikを第三者装置１００００−１−mikの具備する記憶部１０００３−１−mikに記憶しておく。このとき同時に、第三者装置１００００−１−mikは、運営者装置１０００−１に対しても認証情報ＣＩＮmik１０１−１−１を与える。認証情報ＣＩＮmik１０１−１−１を受け取った運営者装置１０００−１は、これをリストＬ１００１−１として自身の具備する記憶部１００３−１に記憶しておく。また、被認証者装置１００−１−１は与えられたＩＤ及び新しい認証情報ＣＩＮmik１０１−１−１を自身の具備する記憶部１０３−１−１に記憶しておく。さらに、被認証者１００−１−１は、被認証者装置１００−１−１の記憶部１０３−１−１にアクセスすることにより、ＩＣカードや携帯電話などに認証情報ＣＩＮmik１０１−１−１を格納しておく。
【００４４】
ここで、複数の第三者装置に対して認証情報を送信する時間を被認証者側でランダムに設定することにより、複数名の第三者装置間で発行された認証情報（パスワード）の繋がりを送信時間によって追跡できないようにする。
【００４５】
次に、認証処理の流れについて説明する。図１５は認証処理の通常の処理シーケンスを示している。
【００４６】
被認証者１０１−１−１は、運営者１００１−１の提供するレンタルビデオ店１０１０−１から貸し出し等のサービスを受けるために、被認証者装置１００−１−１あるいはＩＣカードや携帯電話を用いて、運営者装置１０００−１の具備する読み取り器１００４−１に対して認証情報ＣＩＮmik１０１−１−１を入力して認証を行う。これにより運営者装置１０００−１は、自身の具備する記憶部１００３−１に記憶されているリストＬ１００１−１と認証情報ＣＩＮmik１０１−１−１を照合することで、被認証者１０１−１−１をレンタルビデオ店１０１０−１の会員と見なし、被認証者１０１−１−１に対してレンタルビデオ店１０１０−１から貸し出し等のサービスを受けることを許可する。
【００４７】
ここで、運営者装置１０００−１を操作する運営者１００１−１は、認証情報ＣＩＮmik１０１−１−１からはレンタルビデオ店１０１０−１内の被認証者までを特定することが出来ず、認証情報ＣＩＮid１０１−１−１（ただし、ｉd＝１，…，mik）を生成した第三者装置１００００−１−ｉdを操作する第三者１０００１−１−ｉdと、認証情報ＣＩ１０１−１−１を生成した管理者装置１０−１を操作する管理者１１−１は、一般に被認証者１０１−１−１のサービス事実を知らないため、運営者１００１−１、第三者１０００１−１−ｉd、管理者１１−１に対して被認証者１０１−１−１の匿名性が確保される。
【００４８】
次に、被認証者１０１−１−１は匿名性剥奪対象行為を行った者であるとして、管理者１１−１と運営者１００１−１と第三者１０００１−１−ｉdが協力して被認証者１０１−１−１を特定するための手続きを説明する。図１６は本実施の形態において、匿名の被認証者１０１−１−１を特定する手続きの処理シーケンス例を示している。
【００４９】
匿名の被認証者１０１−１−１が匿名性剥奪対象行為を行ったと判断した運営者１００１−１は、運営者装置１０００−１より被認証者１０１−１−１の認証情報ＣＩＮmik１０１−１−１を記憶部１００３−１に記憶されたリストＬ１００１−１より取り出し、第三者１０００１−１−mikに提示する。これを受けて、匿名の被認証者１０１−１−１が匿名性剥奪対象行為を行ったと判断した第三者１０００１−１−mikは、第三者装置１００００−１−mikの記憶部１０００３−１−mikに格納されたリストＬ１０００１−１−mikを閲覧し、認証情報ＣＩＮmik１０１−１−１と第三者１０００１−１−（mik−１）から与えられた認証情報ＣＩＮ（mik−１）１０１−１−１との照合を行い、認証情報ＣＩＮ（mik−１）１０１−１−１を第三者１０００１−１−（mik−１）に提示する。以下、同様の操作を第三者１０００１−１−ｉｄ（ｉd＝mik，mik−１，…２，１）で行い、最後に第三者１０００１−１−１が第三者装置１００００−１−１の記憶部１０００３−１−１に格納されたリストＬ１０００１−１−１を閲覧し、ＣＩＮ1１０１−１−１と管理者１０−１から与えられた認証情報ＣＩ１０１−１−１との照合を行う。そして第三者１０００１−１−１は認証情報ＣＩ１０１−１−１を管理者１１−１に提示する。管理者１１−１は管理者装置１０−１の具備する記憶部１３−１に記憶されたリストＬｌ１−１を閲覧し、認証情報ＣＩ１０１−１−１に対応する個人情報Ｍ１０１−１−１と照合（パスワード照合）することで、被認証者１０１−１−１を特定することが出来る。
【００５０】
以上のように、レンタルビデオ店内の匿名の被認証者を特定するためには運営者、複数名の第三者、管理者が合意協力する必要がある。例えば運営者１００１−１と任意数の第三者１０００１−１−ｉdが合意協力した場合は、第三者全員が結託した場合を考えても、リストＬ１０００１−１−ｉdを用いて、被認証者１０１−１−１が運営者１００１−１に対して提示した認証情報ＣＩＮmik１０１−１−１が認証情報ＣＩ１０１−１−１に対応している、ことまでは照合できるが、認証情報ＣＩ１０１−１−１と被認証者１０１−１−１を対応付けるリストＬｌｌ−１を用いることが出来ないため、被認証者１０１−１−１を特定することが出来ない。
【００５１】
また運営者１００１−１と管理者１１−１の二者のみが合意協力した場合は、被認証者１０１−１−１が認証情報ＣＩＮmik１０１−１−１を用いてサービス要求してきたことは分かるが、リストＬｌ１−１では認証情報ＣＩ１０１−１−１と被認証者１０１−１−１の個人情報の対応しか証明できないため、被認証者１０１−１−１を特定することが出来ない。
【００５２】
また、任意数の第三者１０００１−１−ｉdと管理者１１−１が合意協力した場合は、第三者も管理者も被認証者１０１−１−１のサービス事実を知らないため、被認証者１０１一１−１を特定することが出来ない。このように、管理者、複数の第三者、認証者の全員の合意協力無しでは被認証者を特定することはできないため、匿名性の解除の可能性を持たせることで不正な利用の抑止効果を保ったまま、安易な匿名性の解除も防止することが出来る。
【００５３】
また、被認証者１０１−１−１が複数回にわたって匿名認証している場合を考える。このとき被認証者１０１−１−１の用いる認証情報ＣＩＮmik１０１−１−１は常に同一であるため、運営者は認証情報ＣＩＮmik１０１−１−１を記憶しておくことによって同一性検証可能である。また、このＣＩＮmik１０１−１−１を用いて行われる認証を許可しないことにより、匿名のままで被認証者１０１−１−１をコミュニティーから排除することができる。一方、運営者のみでの同一性検証を不可能にするためには、再度（事前処理４）〜（事前処理６）のように管理者と第三者から新たな認証情報ＣＩ１０１−１−１′と認証情報ＣＩＮmik１０１−１−１′を得る、もしくは（事前処理６）だけを行って認証情報ＣＩＮmik１０１−１−１′を得ても可能である。前者では、同一性検証するためには運営者と管理者と第三者が協力する必要があり、また後者では、運営者と第三者が協力する必要がある。
【００５４】
なお、図１や図９で示したシステムの各装置における一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、図６〜図８や図１４〜図１６で示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。
【図面の簡単な説明】
【００５５】
【図１】本発明の第１の実施の形態のシステム構成図。
【図２】第１の実施の形態の被認証者装置の主要構成図。
【図３】第１の実施の形態の運営者装置の主要構成図。
【図４】第１の実施の形態の第三者装置の主要構成図。
【図５】第１の実施の形態の管理者装置の主要構成図。
【図６】第１の実施の形態の認証事前処理の処理シーケンス図。
【図７】第１の実施の形態の匿名認証処理の処理シーケンス図。
【図８】第１の実施の形態の被認証者特定の処理シーケンス図。
【図９】本発明の第２の実施の形態のシステム構成図。
【図１０】第２の実施の形態の被認証者装置の主要構成図。
【図１１】第２の実施の形態の運営者装置の主要構成図。
【図１２】第２の実施の形態の第三者装置の主要構成図。
【図１３】第２の実施の形態の管理者装置の主要構成図。
【図１４】第２の実施の形態の認証事前処理の処理シーケンス図。
【図１５】第２の実施の形態の匿名認証処理の処理シーケンス図。
【図１６】第２の実施の形態の被認証者特定の処理シーケンス図。
【符号の説明】
【００５６】
１０ 管理者装置
１１ 管理者
１００ 被認証者装置
１０１ 被認証者
１０００ 運営者装置
１００１ 運営者
１０１０ コミュニティー
１００００ 第三者装置
１０００１ 第三者
【技術分野】
【０００１】
本発明は、会員制のコミュニティーにおける匿名認証方法に関し、詳しくは、被認証者の匿名性を確保しつつ、必要に応じて匿名性を剥奪できる匿名認証方法に関する。
【背景技術】
【０００２】
現在の会員制のコミュニティーや、インターネットなどのネットワークに存在している会員制のコミュニティーの多くは、被認証者がコミュニティーヘの会員登録をする際に、被認証者は自らの個人情報をコミュニティーの運営者に送信し、それを受けた運営者はその個人情報との対応付けを行ったＩＤとパスワードを発行し、ＩＤとパスワードを被認証者に渡す、といった方法が一般的である（例えば、非特許文献１参照）。被認証者がコミュニティーに参加する際には、被認証者がこれらＩＤとパスワードを入力し、コミュニティーの運営者はそのＩＤとパスワードを確認し、運営者が発行したものと共に一致すれば被認証者を認証し、コミュニティーヘの参加を許可する。
【０００３】
一方、このような会員制のコミュニティーにおいて、被認証者の匿名性を高めるための施策として、被認証者がコミュニティーヘの会員登録をする際に、被認証者は自らの個人情報をコミュニティーの運営者に送信し、それを受けた運営者はコミュニティーの会員全員と同一のＩＤとパスワードを被認証者に渡す、といった方法が考えられる。被認証者が認証を受ける際には、被認証者が会員同一のパスワードを入力し、運営者はそのパスワードを確認し、コミュニティーヘの参加を許可する。
【非特許文献１】長原宏治監訳：インターネット・エキサイティングテクノロジーシリーズ「インターネットセキュリティ」（株式会社インプレス、１９９７年２月２１日）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
現在まで知られているＩＤとパスワードを用いた認証においては、被認証者がコミュニティーヘの会員登録の際に自らの個人情報を運営者に送信し、それに基づいて運営者がＩＤとパスワードを発行するため、被認証者がコミュニティーに参加したことが運営者に知られ、被認証者の匿名性はコミュニティーの運営者に対しては保護されていないと言える。このような匿名性が運営者に対しては確保されていないＩＤ、パスワードによる認証では、そのコミュニティーに所属、もしくは参加しているという事実が個人のプライバシーに大きく関わる場合、そのＩＤ、パスワードを保持する運営者には情報漏洩対策など様々な負担がかかり、また被認証者にとっては運営者が参加している事を知りうる状態であることは望ましくない。
【０００５】
逆に匿名性を考慮するために同一のパスワードを用いた場合は、被認証者の誰かがコミュニティーに参加したことだけしか運営者には分からない。そのために顕在化する弊害としては、被認証者の振る舞いがコミュニティーの規約によって個人を特定されるべき行為（以下、匿名性剥奪対象行為）であったとしても、管理者は被認証者を特定することが出来ない事が挙げられる。さらに被認証者の振る舞いがコミュニティーの規約によってコミュニティーから除外されるべき行為（以下、除外対象行為）であったとしても、運営者は個人を特定できないためにコミュニティーから除外する方法がなく、これも運営者にとって運用上不便であると考えられる。
【０００６】
また、同一のパスワードを用いる認証においては、複数回の認証に対して、それが同一の被認証者の行為である事を確かめることが出来ない。このことによって、営利目的のコミュニティーにおいては特に重要であると考えられるリピーターに関する情報を運営者が取得することができないことも運用上のデメリットである。このリピーターに関する情報は、例えばコミュニティーの規約外の利用を行う複数の被認証者が同一の者であることを確認し、それをもってコミュニティーからの除外を決めるその判断基準として利用することが可能である。
【０００７】
以上の理由から、運営者に対しても被認証者の匿名性を保ちつつ、複数の匿名認証の同一性を確認できる、また必要に応じて被認証者を特定、もしくはコミュニティーから除外できる認証方式は重要であると考えられる。
【０００８】
前述の課題を解決するために、本発明は、被認証者の匿名性を保ったまま、運営者が複数の匿名認証の同一性の検証とコミュニティーからの除外ができ、さらに、第三者と管理者の合意協力により被認証者の匿名性の剥奪やコミュニティーからの除外ができる匿名認証方法を提供することにある。
【０００９】
具体的には、特に電子署名や公開鍵暗号といったセキュリティ技術を用いずとも、従来のＩＤやパスワードといった簡単なものを用いても実現できる、被認証者と運営者の他に第三者と管理者を介在させることによる匿名認証方法を提供することにある。
【課題を解決するための手段】
【００１０】
本発明は、コミュニティーに属するユーザ（以下、被認証者）が操作する被認証者装置、コミュニティーの運営者が操作する運営者装置、被認証者の個人情報を管理する管理者が操作する管理者装置、及び、第三者が操作する第三者装置を備える。被認証者装置は、被認証者の個人情報を管理者装置に送付する。これを受けて管理者装置は、被認証者に対して、該被認証者の認証に必要な情報（以下、認証情報）ＣＩを発行すると共に、該認証情報ＣＩと被認証者の個人情報との対応を記憶しておく。被認証者装置は、前記管理装置が発行した認証情報ＣＩを第三者装置に送付する。これを受けて、第三者装置は、被認証者をコミュニティーの会員と見なし、該被認証者に対して新しい認証情報ＣＩＮを発行すると共に、該認証情報ＣＩＮと認証情報ＣＩとの対応を記憶し、さらに、コミュニティー運営者の運営者装置に認証情報ＣＩＮを送付する。被認証者装置は認証情報ＣＩＮを運営者装置に送付し、これを受けて運営者装置は被認証者をコミュニティー内の者と見なす。
【００１１】
一方、被認証者を特定する必要が発生した場合、運営者装置は当該被認証者の認証情報ＣＩＮを第三者装置に送付し、第三者装置は該認証情報ＣＩＮに対応する認証情報ＣＩを管理者装置に送付し、管理者装置は該認証情報ＣＩに対応する個人情報により被認証者を特定する。また、運営者装置は、被認証者装置から同じ認証情報ＣＩＮを複数回受け取ることで、被認証者の同一性を検証する。
【００１２】
また、本発明は、被認証者装置、運営者装置、管理者装置、及び、複数の第三者装置を備える。被認証者装置は、被認証者の個人情報を管理者装置に送付する。これを受けて管理者装置は、被認証者に対して認証情報ＣＩを発行すると共に、該認証情報ＣＩと被認証者の個人情報との対応を記憶する。被認証者装置は認証情報ＣＩを１番目の第三者装置に送付する。１番目の第三者装置は、被認証者装置から認証情報ＣＩを受けて、被認証者に対して認証情報ＣＩＮ1を発行すると共にＣＩＮ1とＣＩの対応を記憶し、２番目の第三者装置にＣＩＮ1を送付する。２番目の第三者装置は、被認証者装置からＣＩＮ1を受けて、被認証者に対して認証情報ＣＩＮ2を発行すると共にＣＩＮ2とＣＩＮ1の対応を記憶し、３番目の第三者装置にＣＩＮ2を送付する。以下同様の処理を繰り返し、最後のｎ番目の第三者装置は、被認証者装置からＣＩＮn-1を受けて、被認証者に対して認証情報ＣＩＮnを発行すると共にＣＩＮnとＣＩＮn-1の対応を記憶し、運営者装置に認証情報ＣＩＮnを送付する。被認証者装置は認証情報ＣＩＮnを運営者装置に送付し、これを受けて運営者装置は被認証者をコミュニティー内の者と見なす。
【００１３】
一方、被認証者装置を特定する必要が発生した場合、運営者装置は当該被認証者の認証情報ＣＩＮnをｎ番目の第三者装置に送付する。ｎ番目の第三者装置はＣＩＮnに対応するＣＩＮn-1をｎ−１番目の第三者装置に送付する。以下、同様の処理を繰り返し、１番目の第三者装置が２番目の第三者装置からＣＩＮ1を受け取ると、該ＣＩＮ1に対応するＣＩを管理者装置に送付する。管理者装置は、該ＣＩに対応する個人情報により被認証者を特定する。
【００１４】
運営者装置は、被認証者装置から同じ認証情報ＣＩＮnを複数回受け取ることで、被認証者の同一性を検証する。
【発明の効果】
【００１５】
本発明の匿名認証方法によれば、コミュニティーの規約に沿った利用を行っている限りにおいては、運営者のみならず、第三者や管理者に対しても被認証者の匿名性を確保することが出来る。また被認証者のプライバシーを守ることが出来ると同時に、運営者も自身で個人情報を扱う必要がなくなるため、情報漏洩対策上もメリットは大きい。
【００１６】
また匿名性の剥奪の可能性を持たせることにより、コミュニティーの規約外の不正な利用を防止でき、さらに匿名性の剥奪は、例えば情報提供サイトにおいて有力情報に対する報奨金を与える場合などにも適用できるため、運営側のメリットも大きと考えられる。一方、第三者が複数名存在する場合は、匿名性剥奪をするために複数名の第三者の合意協力を得る必要があるため、安易な匿名性剥奪を抑止することが可能になる。
【００１７】
また、運営者が被認証者の匿名性を保ったまま、複数の被認証者の同一性を検証できることにより、運営者は営利目的のコミュニティーにおいては特に重要であると考えられるリピーターに関する情報を得ることができる。また、このリピーターに関する情報は、例えばコミュニティーの規約外の利用を行う複数の被認証者が同一の者であることを確認し、それをもってコミュニティーからの除外を決めるといった、判断基準としての利用も可能であると考えられる。
【００１８】
さらに運営者は、管理者や第三者に匿名性を剥奪して被認証者の匿名性を剥奪してからコミュニティーの除外を行う他に、運営者単独の権限で匿名のままに被認証者の除外も可能であるため、第三者や管理者による匿名性剥奪の是非の判断を待つ前に被認証者のサービスの利用を停止することができる。
【００１９】
本発明の実施例として、ネットワーク上におけるオークションサイトの認証方法とネットワーク上に限らずともレンタルビデオなどの会員の認証方法を挙げたが、その他にもＰ２Ｐネットワークや、匿名掲示板サイト、情報提供サイトなどに適用することも可能である。
【発明を実施するための最良の形態】
【００２０】
以下、本発明の実施の形態について図面を用いて詳しく説明する。
〔第１の実施の形態〕
ここでは第１の実施の形態として会員制のコミュニティーとしてネットオークションを想定し、被認証者装置、運営者装置、第三者装置、管理者装置が繋がれたネットワーク上で、被認証者は個別のＩＤやパスワードＰＷといった認証に必要な情報（以下、認証情報）を用いてネットオークションサイトの一員であることをオークションサイト管理者に対し証明し、更に被認証者がオークションサイトの利用中に匿名性剥奪対象行為を行った場合、運営者は第三者、管理者に対して、被認証者が匿名性剥奪対象行為を行った事実を証明し、最終的に運営者と第三者と管理者が協力することで被認証者を特定する例について、図１乃至図８を用いて詳細に説明する。
【００２１】
第１の実施の形態におけるシステム構成は、図１に示すように、被認証者の個人情報を管理している管理者１１−ｉk（ただしｉk＝１，・・・，ｍk）、及び管理者１１−ｉkの操作する管理者装置１０−ｉk、認証情報の中継を行う第三者１０００１−ｉk、及び第三者１０００１−ｉkの操作する第三者装置１００００−ｉk、幾つかのオークションサイト１０１０−ｉ0（ただしｉ0＝１，・・・，ｍ0）それぞれに対応した運営者１００１−ｉ0及び運営者１００１−ｉ0の操作する運営者装置１００１−ｉ0、オークションサイト１０１０−ｉ0（そのＵＲＬをＵＲＬ１０１０−ｉ0とする）に属する被認証者１０１−ｉ0−ｉh（ただしｉh＝１，・・・，ｍi0）、及び被認証者１０１−ｉ0−ｉhの操作する被認証者装置１００−ｉ0−ｉhが存在し、被認証者装置１００−ｉ0−ｉhと運営者装置１０００−ｉ0、そして第三者装置１００００−ｉhと管理者装置１０−ｉkはネットワークを通じて接続されている。なお、被認証者１０１−ｉ0−ihは同時に複数のオークションサイト（コミュニティー）１０１０に属することも可能であり、同様に、管理者１１−ikは複数のオークションサイトに属する被認証者の個人情報を管理することも可能である。
【００２２】
以下では、オークションサイト１０１０−１において、被認証者１０１−１−１が匿名認証を行う場合を例に挙げて説明する。また、この際の管理者は１１−１、第三者は１０００１−１とする。勿論、以下で示す例はこのオークションサイトのモデルに特化したものではなく、インデックスを適宜変更することで、他のオークションサイトの例と置き換えて見ることができる。図２乃至図５に被認証者装置１００−１−１、運営者装置１０００−１、第三者装置１００００−１及び管理者装置１０−１の主要構成要素をそれぞれ示す。
【００２３】
先ず、認証の際の事前処理（会員登録処理）について説明する。図６は本実施の形態の事前処理シーケンス例を示している。
【００２４】
（事前処理１）
被認証者１０１−１−1は、被認証者装置１００−１−１を用いて自らの個人情報Ｍ１０１−１−１（氏名、年齢、住所、銀行口座、その他）を個人情報管理者１１−１の操作する管理者装置１０−１に送信し、被認証者装置１００−１−１の具備する記憶部１０３−１−１に個人情報Ｍ１０１−１−１を記憶しておく。なお、被認証者装置１００−１−１の記憶部１０３−１−１にあらかじめ個人情報Ｍ１０１−１−１を記憶しておき、これを読み出して管理装置１０−１に送信することでもよい。
【００２５】
被認証者装置１００−１−１から個人情報Ｍ１０１−１−１を受け取った管理者装置１０−１は、被認証者装置１００−１−１に対する個別のＩＤとパスワードＰＷからなる認証情報ＣＩ１０１−１−１を自身の具備する認証情報生成部１２−１により生成する。なお、ＩＤはオークションサイト１０１０−１の会員全員と同一のＩＤとすることでもよい。管理者１１−１は、この生成された認証情報ＣＩ１０１−１−１を被認証者１０１−１−１に与える。被認証者１０１−１−１に認証情報ＣＩ１０１−１−１を与える方法は、例えば電子メールにより管理者装置１０−１から被認証者装置１００−１−１へ送るとしても良いが、セキュリティの観点から、認証情報記載部分に保護シールの付いた、認証情報が記載された用紙ＳＨＥＥＴ１０１−１−１を管理者１１−１から被認証者１０１−１−１へ直接手渡す、または暗号機能付電子メールを用いる等の配慮を行うことが望ましい。ここでは当該用紙ＳＨＥＥＴ１０１−１−１を直接手渡すとして話を進める。
【００２６】
管理者１１−１は第三者１０００１−１に対しても被認証者１０１−１−１の認証情報ＣＩ１０１−１−１を与える。また、管理者１１−１は、この認証情報ＣＩ１０１−１−１と被認証者１０１−１−１の個人情報Ｍ１０１−１との対応付けのされたリストＬ１１−１を管理者装置１０−１の具備する記憶部１３−１に記憶しておく。
【００２７】
（事前処理２）
その後、被認証者１０１−１−１は、被認証者装置１００−１−１を用いて第三者装置１００００−１に対し認証情報ＣＩ１０１−１−１を入力する。これにより、第三者装置１００００−１は、被認証者１０１−１−１をオークションサイト１０１０−１の会員と見なし、第三者装置１００００−１の具備する認証情報生成部１０００２−１により、新しい認証情報ＣＩＮ１０１−１−１を生成し、被認証者装置１００−１−１に与える。また、第三者装置１００００−１は、新しい認証情報ＣＩＮ１０１−１−１と管理者の発行した認証情報ＣＩ１０１−１−１とが対応付けされたリストＬ１０００１−１を第三者装置１００００−１の具備する記憶部１０００３−１に記憶しておく。このとき同時に、第三者装置１００００−１は運営者装置１０００−１に対しても認証情報ＣＩＮ１０１−１−１を与える。認証情報ＣＩＮ１０１−１−１を受け取った運営者装置１０００−１は、これをリストＬ１００１−１として自身の具備する記憶部１００３−１に記憶しておく。
【００２８】
次に、認証処理の流れについて説明する。図７は認証処理の通常の処理シーケンスを示している。
【００２９】
被認証者１０１−１−１は、運営者１００１−１の提供するオークションサイト１０１０−１用のＷｅｂページを閲覧するために、被認証者装置１００−１−１のＷｅｂブラウザ１０２−１−１を操作して、オークションサイト１０１０−１のＵＲＬ１０１０−１に対応する運営者装置１０００−１のＷｅｂページ情報格納部１００２−１にアクセスする。このＷｅｂページでは、先ず認証処理が行われ、被認証者１０１−１−１は、被認証者装置１００−１−１により認証情報ＣＩＮ１０１−１−１を入力する。なお、第三者装置１００００−１が発行した認証情報ＣＩＮ１０１−１−１を被認証者装置１００−１−１の具備する記憶部１０３−１−１に記憶しておき、被認証者１０１−１−１の操作に応じて、被認証者装置１００−１−１がＣＩＮ１０１−１−１を記憶部１０３−１−１から読み出して運営者装置１０００−１に送付するようにしてもよい。
【００３０】
運営者装置１０００−１は、被認証者装置１００−１−１から送付された認証情報ＣＩＮ１０１−１−１について、自身の具備する記憶部１００３−１に記憶されているリストＬ１００１−１のＣＩＮ１０１−１−１とパスワードを照合することで、被認証者１０１−１−１をオークションサイト１０１０−１内の者と見なし、被認証者１０１−１−１に対してオークションサイト１０１０−１用のＷｅｂページを閲覧することを許可する。
【００３１】
ここで、運営者装置１０００−１を操作する運営者１００１−１は、リストＣＩ１００１−１の認証情報ＣＩＮ１０１−１−１からはオークションサイト１０１０−１内の被認証者までを特定することが出来ず、また、認証情報ＣＩＮ１０１−１−１を生成した第三者装置１００００−１を操作する第三者１０００１−１と、認証情報ＣＩ１０１−１−１を生成した管理者装置１０−１を操作する管理者１１−１は、一般に被認証者１０１−１−１のアクセス事実を知らないため、運営者１００１−１、第三者１０００１−１、管理者１１−１の三者に対して被認証者１０１−１−１の匿名性が確保される。
【００３２】
次に、被認証者１０１−１−１は匿名性剥奪対象行為を行った者であるとして、管理者１１−１と運営者１００１−１と第三者１０００１−１が協力して被認証者１０１−１−１を特定するための手続きを説明する。図８は匿名の被認証者１０１−１−１を特定する手続きの処理シーケンス例を示している。
【００３３】
匿名の被認証者が匿名性剥奪対象行為を行ったと判断した運営者１００１−１は、運営者装置１０００−１により、被認証者１０１−１−１の認証情報ＣＩＮ１０１−１−１を記憶部１００３−１に記憶されたリストＬ１００１−１より取り出し、第三者１０００１−１に提示する。これを受けて、匿名の被認証者１０１−１−１が匿名性剥奪対象行為を行ったと判断した第三者１０００１−１は、第三者装置１００００−１の記憶部１０００３−１に格納されたリストＬ１０００１−１を閲覧し、管理者から与えられた認証情報ＣＩ１０１−１−１との照合を行う。そして、第三者１０００１−１は、認証情報ＣＩＮ１０１−１−１と対の認証情報ＣＩ１０１−１−１を管理者１１−１に提示する。管理者１１−１は、管理者装置１０−１の具備する記憶部１３−１に記憶されたリストＬｌ１−１を閲覧し、パスワードＰＷと照合することで、被認証者１０１−１−１を特定することが出来る。
【００３４】
以上のように、オークションサイト内の匿名の被認証者を特定するためには、運営者、第三者、管理者の三者が合意協力する必要がある。例えば、運営者１００１−１と第三者１０００１−１の二者のみが合意協力した場合は、第三者装置１０００１の記憶部に記憶された１リストＬ１０００１−１を用いて、被認証者１０１−１−１の認証情報ＣＩＮ１０１−１−１が認証情報ＣＩ１０１−１−１に対応している、ことまでは照合できるが、管理者装置１０−１の記憶部１３−１に記憶されている認証情報ＣＩ１０１−１−１と被認証者１０１−１−１の個人情報Ｍ１０１−１−１を対応付けるリストＬ１１−１を用いることが出来ないため、被認証者１０１−１−１を特定することが出来ない。また、運営者１００１−１と管理者１１−１の二者のみが合意協力した場合は、被認証者１０１−１−１が認証情報ＣＩＮ１０１−１−１を用いて、運営者装置１０００−１のＷｅｂページ情報格納部にアクセスしてきたことは分かるが、管理者装置１０−１のリストＬ１１−１では認証情報ＣＩ１０１−１−１と被認証者１０１−１−１の対応しか証明できないため、被認証者１０１−１−１を特定することが出来ない。また、第三者１０００１−１と管理者１１−１の二者のみが合意協力した場合は、二者共に被認証者１０１−１−１のアクセス事実を知らないため、被認証者１０１−１−１を特定することが出来ない。このように、管理者、第三者、認証者の三者のうち二者の合意協力では被認証者を特定することはできず、三者の合意協力が必要となるため、匿名性の解除の可能性を持たせることで不正な利用の抑止効果を保ったまま、安易な匿名性の解除も防止することが出来る。
【００３５】
次に、被認証者１０１−１−１が複数回にわたって匿名認証している場合を考える。このとき被認証者１０１−１−１の用いる認証情報ＣＩＮ１０１−１−１は常に同一であるため、運営者は認証情報ＣＩＮ１０１−１−１を運営者装置１０００−１に記憶しておくことによって同一性検証可能である。また、このＣＩＮ１０１−１−１を用いて行われる認証を許可しないことにより、匿名のままで被認証者１０１−１−１をコミュニティーから排除することができる。一方、運営者のみでの同一性検証を不可能にするためには、再度（事前処理１）と（事前処理２）のように管理者と第三者から新たな認証情報ＣＩ１０１−１−１′と認証情報ＣＩＮ１０１−１−１′を得る、もしくは（事前処理２）だけを行って認証情報ＣＩＮ１０１−１−１′を得ても可能である。前者では、同一性検証するためには運営者と管理者と第三者の三者が協力する必要があり、また後者では、運営者と第三者が協力する必要がある。
【００３６】
〔第２の実施の形態〕
ここでは第２の実施の形態として、被認証者装置、運営者装置、複数の第三者装置、管理者装置は必ずしもネットワークに繋がれていない状態を想定し、被認証者は認証情報をＩＣカードや携帯電話などに格納し、これ用いてレンタルビデオ店の会員であることをレンタルビデオ店の管理者に対し証明し、更に被認証者がレンタルビデオ店の利用中にレンタルビデオの長期にわたる返却遅延などの匿名性剥奪対象行為を行った場合、運営者は複数名の第三者と管理者に対して、被認証者が匿名性剥奪対象行為を行った事実を証明し、最終的に運営者と複数名の第三者と管理者が協力することで被認証者を特定する例について、図９乃至図１６を用いて詳細に説明する。
【００３７】
第２の実施の形態におけるシステム構成は、図９に示すように、被認証者の個人情報を管理している管理者１１−ｉk（ただし、ｉk＝１，…，mk）、及び管理者１１−ｉkの操作する管理者装置１０−ｉk、認証情報の中継を行う複数名の第三者１０００１−ｉk−ｉd（ただしｉd＝１，…，mik）、及び第三者１０００１−ｉk−ｉdの操作する第三者装置１００００−ｉk−ｉd、第三者１０００１−ｉk−ｉdと管理者１１−ｉkとが提供する認証システムを利用する幾つかのレンタルビデオ店１０１０−ｉ0（ただし、ｉ0＝１，…，m0）とそれぞれのレンタルビデオ店１０１０−ｉ0に対応した運営者１００１−ｉ0及び運営者１００１−ｉ0の操作する運営者装置１０００−ｉ0、レンタルビデオ店１０１０−ｉ0の会員である被認証者１０１−ｉ0−ｉh（ただし、ｉh＝１，…，mi0）、及び被認証者１０１−ｉ0−ｉhの操作する被認証者装置１００−ｉ0−ｉhが存在している。
【００３８】
以下では、レンタルビデオ店１０１０−１において、被認証者１０１−１−１が被認証者装置１００−１−１を用いて匿名認証を行う場合を例に挙げて説明する。またこの際の管理者及び管理者装置は１１−１及び１０−１、第三者及び第三者装置は１０００１−１-ｉｄ及び１００００−１−ｉd（ただし、ｉd＝１，…，mik）とする。勿論、以下で示す例はこのレンタルビデオ店のモデルに特化したものではなく、インデックスを適宜変更することで、他のレンタルビデオ店の例と置き換えて見ることが出来る。図１０乃至図１３に被認証者装置１００−１−１、運営者装置１０００−１、第三者装置１００００−１−ｉｄ及び管理者装置１０−１の主要構成要素をそれぞれ示す。
【００３９】
先ず、認証の際の事前処理（会員登録処理）について説明する。図１３は、本実施の形態の事前処理シーケンス例を示している。
【００４０】
（事前処理３）
被認証者１０１−１−１は、被認証者装置１００−１−１を用いて自らの個人情報Ｍ１０１−１−１（氏名、年齢、住所、銀行口座、その他）を個人情報管理者１１−１の操作する管理者装置１０−１に送信する。この時、被認証者装置１００−１−１は、自身の具備する記憶部１０３−１−１に個人情報Ｍ１０１−１−１を記憶しておく。被認証者装置１００−１−１から個人情報Ｍ１０１−１−１を受け取った管理者装置１０−１は、被認証者１０１−１−１に対する個別のＩＤやパスワードといった認証に必要な情報（認証情報）ＣＩ１０１−１−１を自身の具備する認証情報生成部２０−１により生成する。本実施の形態においても、ＩＤはレンタルビデオ店１０１０−１の会員全員と同一のＩＤとすることでもよい。管理者１１−１は、生成された認証情報ＣＩ１０１−１−１を被認証者１０１−１−１に与える。この与える方法は、例えば電子メールにより管理者装置１０−１から被認証者装置１００−１−１へ送るとしても良いが、セキュリティの観点から、認証情報記載部分に保護シールの付いた、認証情報が記載された用紙ＳＨＥＥＴ１０１−１−１を管理者１１−１から被認証者１０１−１−１へ直接手渡す、または暗号機能付電子メールを用いる等の配慮を行うことが望ましい。ここでは当該用紙ＳＨＥＥＴ１０１−１−１を直接手渡すとして話を進める。管理者１１−１は、第三者１０００１−１−１に対しても被認証者１０１−１−１の認証情報ＣＩ１０１−１−１を与える。また、管理者１１−１は、認証情報ＣＩ１０１−１−１と被認証者１０１−１−１の個人情報Ｍ１０１−１−１との対応付けのされたリストＬｌｌ−１を管理者装置１０−１の具備する記憶部１３−１に記憶しておく。
【００４１】
（事前処理４）
その後、被認証者１０１−１−１は、被認証者装置１００−１−１を用いて第三者装置１００００−１−１に対し認証情報ＣＩ１０１−１−１を入力する。これにより第三者装置１００００−１−１は、被認証者１０１−１−１をレンタルビデオ店１０１０−１の会員と見なし、第三者装置１０００１−１−１の具備する認証情報生成部１０００２−１−１により、新しい認証情報ＣＩＮ1１０１−１−１を生成し、被認証者装置１００−１−１に与える。また、新しい認証情報ＣＩＮ1１０１−１−１と管理者の発行した認証情報ＣＩ１０１−１−１とが対応付けされたリストＬ１０００１−１−１を第三者装置１０００１−１−１の具備する記憶部１０００３−１−１に記憶しておく。このとき同時に、第三者装置１００００−１−１は、第三者装置１００００−１−２に対しても認証情報ＣＩＮ1１０１−１−１を与える。認証情報ＣＩＮ1１０１−１−１を受け取った第三者装置１００００−１−２は、これを自身の具備する記憶部１０００３−１−２に記憶しておく。
【００４２】
（事前処理５）
次に被認証者１０１−１−１は、被認証者装置１００−１−１を用いて第三者装置１００００−１−２に対し認証情報ＣＩＮ1１０１−１−１を入力する。これにより第三者装置１００００一１−２は、被認証者１０１−１−１をレンタルビデオ店１０１０−１の会員と見なし、第三者装置１００００−１−２の具備する認証情報生成部１０００２−１−２により、新しい認証情報ＣＩＮ2１０１−１−１を生成し、被認証者装置１００−１−１に与える。また、新しい認証情報ＣＩＮ2１０１−１−１と第三者装置１００００−１−１が発行した認証情報ＣＩＮ1１０１−１−１とが対応付けされたリストＬ１０００１−１−２を第三者装置１００００−１−２の具備する記憶部１０００３−１−２に記憶しておく。このとき同時に、第三者装置１００００−１−２は、第三者装置１００００−１−３に対しても認証情報ＣＩＮ2１０１−１−１を与える。認証情報ＣＩＮ2１０１−１−１を受け取った第三者装置１００００−１−３は、これを自身の具備する記憶部１０００３−１−３に記憶しておく。
【００４３】
（事前処理６）
以上の操作を同様にmik回繰り返し、被認証者１０１−１−１は、被認証者装置１００−１−１を介して第三者装置１００００−１−mikに対し認証情報ＣＩＮ（mik−１）１０１−１−１を入力する。これにより第三者装置１００００−１−mikは、被認証者１０１−１−１をレンタルビデオ店１０１０−１の会員と見なし、第三者装置１００００−１−mikの具備する認証情報生成部１０００２−１−mikにより、新しい認証情報ＣＩＮmik１０１−１−１を生成し、被認証者装置１００−１−１に与える。また、新しい認証情報ＣＩＮmik１０１−１−１と第三者装置１００００−１−（mik−１）が発行した認証情報ＣＩＮ（mik−１）１０１−１−１とが対応付けされたリストＬ１０００１−１−mikを第三者装置１００００−１−mikの具備する記憶部１０００３−１−mikに記憶しておく。このとき同時に、第三者装置１００００−１−mikは、運営者装置１０００−１に対しても認証情報ＣＩＮmik１０１−１−１を与える。認証情報ＣＩＮmik１０１−１−１を受け取った運営者装置１０００−１は、これをリストＬ１００１−１として自身の具備する記憶部１００３−１に記憶しておく。また、被認証者装置１００−１−１は与えられたＩＤ及び新しい認証情報ＣＩＮmik１０１−１−１を自身の具備する記憶部１０３−１−１に記憶しておく。さらに、被認証者１００−１−１は、被認証者装置１００−１−１の記憶部１０３−１−１にアクセスすることにより、ＩＣカードや携帯電話などに認証情報ＣＩＮmik１０１−１−１を格納しておく。
【００４４】
ここで、複数の第三者装置に対して認証情報を送信する時間を被認証者側でランダムに設定することにより、複数名の第三者装置間で発行された認証情報（パスワード）の繋がりを送信時間によって追跡できないようにする。
【００４５】
次に、認証処理の流れについて説明する。図１５は認証処理の通常の処理シーケンスを示している。
【００４６】
被認証者１０１−１−１は、運営者１００１−１の提供するレンタルビデオ店１０１０−１から貸し出し等のサービスを受けるために、被認証者装置１００−１−１あるいはＩＣカードや携帯電話を用いて、運営者装置１０００−１の具備する読み取り器１００４−１に対して認証情報ＣＩＮmik１０１−１−１を入力して認証を行う。これにより運営者装置１０００−１は、自身の具備する記憶部１００３−１に記憶されているリストＬ１００１−１と認証情報ＣＩＮmik１０１−１−１を照合することで、被認証者１０１−１−１をレンタルビデオ店１０１０−１の会員と見なし、被認証者１０１−１−１に対してレンタルビデオ店１０１０−１から貸し出し等のサービスを受けることを許可する。
【００４７】
ここで、運営者装置１０００−１を操作する運営者１００１−１は、認証情報ＣＩＮmik１０１−１−１からはレンタルビデオ店１０１０−１内の被認証者までを特定することが出来ず、認証情報ＣＩＮid１０１−１−１（ただし、ｉd＝１，…，mik）を生成した第三者装置１００００−１−ｉdを操作する第三者１０００１−１−ｉdと、認証情報ＣＩ１０１−１−１を生成した管理者装置１０−１を操作する管理者１１−１は、一般に被認証者１０１−１−１のサービス事実を知らないため、運営者１００１−１、第三者１０００１−１−ｉd、管理者１１−１に対して被認証者１０１−１−１の匿名性が確保される。
【００４８】
次に、被認証者１０１−１−１は匿名性剥奪対象行為を行った者であるとして、管理者１１−１と運営者１００１−１と第三者１０００１−１−ｉdが協力して被認証者１０１−１−１を特定するための手続きを説明する。図１６は本実施の形態において、匿名の被認証者１０１−１−１を特定する手続きの処理シーケンス例を示している。
【００４９】
匿名の被認証者１０１−１−１が匿名性剥奪対象行為を行ったと判断した運営者１００１−１は、運営者装置１０００−１より被認証者１０１−１−１の認証情報ＣＩＮmik１０１−１−１を記憶部１００３−１に記憶されたリストＬ１００１−１より取り出し、第三者１０００１−１−mikに提示する。これを受けて、匿名の被認証者１０１−１−１が匿名性剥奪対象行為を行ったと判断した第三者１０００１−１−mikは、第三者装置１００００−１−mikの記憶部１０００３−１−mikに格納されたリストＬ１０００１−１−mikを閲覧し、認証情報ＣＩＮmik１０１−１−１と第三者１０００１−１−（mik−１）から与えられた認証情報ＣＩＮ（mik−１）１０１−１−１との照合を行い、認証情報ＣＩＮ（mik−１）１０１−１−１を第三者１０００１−１−（mik−１）に提示する。以下、同様の操作を第三者１０００１−１−ｉｄ（ｉd＝mik，mik−１，…２，１）で行い、最後に第三者１０００１−１−１が第三者装置１００００−１−１の記憶部１０００３−１−１に格納されたリストＬ１０００１−１−１を閲覧し、ＣＩＮ1１０１−１−１と管理者１０−１から与えられた認証情報ＣＩ１０１−１−１との照合を行う。そして第三者１０００１−１−１は認証情報ＣＩ１０１−１−１を管理者１１−１に提示する。管理者１１−１は管理者装置１０−１の具備する記憶部１３−１に記憶されたリストＬｌ１−１を閲覧し、認証情報ＣＩ１０１−１−１に対応する個人情報Ｍ１０１−１−１と照合（パスワード照合）することで、被認証者１０１−１−１を特定することが出来る。
【００５０】
以上のように、レンタルビデオ店内の匿名の被認証者を特定するためには運営者、複数名の第三者、管理者が合意協力する必要がある。例えば運営者１００１−１と任意数の第三者１０００１−１−ｉdが合意協力した場合は、第三者全員が結託した場合を考えても、リストＬ１０００１−１−ｉdを用いて、被認証者１０１−１−１が運営者１００１−１に対して提示した認証情報ＣＩＮmik１０１−１−１が認証情報ＣＩ１０１−１−１に対応している、ことまでは照合できるが、認証情報ＣＩ１０１−１−１と被認証者１０１−１−１を対応付けるリストＬｌｌ−１を用いることが出来ないため、被認証者１０１−１−１を特定することが出来ない。
【００５１】
また運営者１００１−１と管理者１１−１の二者のみが合意協力した場合は、被認証者１０１−１−１が認証情報ＣＩＮmik１０１−１−１を用いてサービス要求してきたことは分かるが、リストＬｌ１−１では認証情報ＣＩ１０１−１−１と被認証者１０１−１−１の個人情報の対応しか証明できないため、被認証者１０１−１−１を特定することが出来ない。
【００５２】
また、任意数の第三者１０００１−１−ｉdと管理者１１−１が合意協力した場合は、第三者も管理者も被認証者１０１−１−１のサービス事実を知らないため、被認証者１０１一１−１を特定することが出来ない。このように、管理者、複数の第三者、認証者の全員の合意協力無しでは被認証者を特定することはできないため、匿名性の解除の可能性を持たせることで不正な利用の抑止効果を保ったまま、安易な匿名性の解除も防止することが出来る。
【００５３】
また、被認証者１０１−１−１が複数回にわたって匿名認証している場合を考える。このとき被認証者１０１−１−１の用いる認証情報ＣＩＮmik１０１−１−１は常に同一であるため、運営者は認証情報ＣＩＮmik１０１−１−１を記憶しておくことによって同一性検証可能である。また、このＣＩＮmik１０１−１−１を用いて行われる認証を許可しないことにより、匿名のままで被認証者１０１−１−１をコミュニティーから排除することができる。一方、運営者のみでの同一性検証を不可能にするためには、再度（事前処理４）〜（事前処理６）のように管理者と第三者から新たな認証情報ＣＩ１０１−１−１′と認証情報ＣＩＮmik１０１−１−１′を得る、もしくは（事前処理６）だけを行って認証情報ＣＩＮmik１０１−１−１′を得ても可能である。前者では、同一性検証するためには運営者と管理者と第三者が協力する必要があり、また後者では、運営者と第三者が協力する必要がある。
【００５４】
なお、図１や図９で示したシステムの各装置における一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、図６〜図８や図１４〜図１６で示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。
【図面の簡単な説明】
【００５５】
【図１】本発明の第１の実施の形態のシステム構成図。
【図２】第１の実施の形態の被認証者装置の主要構成図。
【図３】第１の実施の形態の運営者装置の主要構成図。
【図４】第１の実施の形態の第三者装置の主要構成図。
【図５】第１の実施の形態の管理者装置の主要構成図。
【図６】第１の実施の形態の認証事前処理の処理シーケンス図。
【図７】第１の実施の形態の匿名認証処理の処理シーケンス図。
【図８】第１の実施の形態の被認証者特定の処理シーケンス図。
【図９】本発明の第２の実施の形態のシステム構成図。
【図１０】第２の実施の形態の被認証者装置の主要構成図。
【図１１】第２の実施の形態の運営者装置の主要構成図。
【図１２】第２の実施の形態の第三者装置の主要構成図。
【図１３】第２の実施の形態の管理者装置の主要構成図。
【図１４】第２の実施の形態の認証事前処理の処理シーケンス図。
【図１５】第２の実施の形態の匿名認証処理の処理シーケンス図。
【図１６】第２の実施の形態の被認証者特定の処理シーケンス図。
【符号の説明】
【００５６】
１０ 管理者装置
１１ 管理者
１００ 被認証者装置
１０１ 被認証者
１０００ 運営者装置
１００１ 運営者
１０１０ コミュニティー
１００００ 第三者装置
１０００１ 第三者
【特許請求の範囲】
【請求項１】
会員制コミュニティーにおける匿名認証方法であって、
被認証者の個人情報を管理する管理者装置は、被認証者に対して、該被認証者の認証に必要な情報（以下、認証情報）ＣＩを発行すると共に、該認証情報ＣＩと被認証者の個人情報との対応を記憶し、
被認証者の被認証者装置は、前記管理装置が発行した認証情報ＣＩを第三者装置に送付し、
第三者装置は、前記認証情報ＣＩにより被認証者をコミュニティーの会員と見なし、該被認証者に対して新しい認証情報ＣＩＮを発行すると共に、該認証情報ＣＩＮと認証情報ＣＩとの対応を記憶し、さらに、コミュニティー運営者の運営者装置に認証情報ＣＩＮを送付し、
被認証者装置は認証情報ＣＩＮを運営者装置に送付し、これを受けて運営者装置は被認証者をコミュニティー内の者と見なすことを特徴とする匿名認証方法。
【請求項２】
請求項１記載の匿名認証方法において、
被認証者を特定する必要が発生した場合、運営者装置は当該被認証者の認証情報ＣＩＮを第三者装置に送付し、第三者装置は該認証情報ＣＩＮに対応する認証情報ＣＩを管理者装置に送付し、管理者装置は該認証情報ＣＩに対応する個人情報により被認証者を特定することを特徴とする匿名認証方法。
【請求項３】
請求項１記載の匿名認証方法において、運営者装置は、被認証者装置から同じ認証情報ＣＩＮを複数回受け取ることで、被認証者の同一性を検証することを特徴とする匿名認証方法。
【請求項４】
請求項１記載の匿名認証方法において、
第三者装置は複数存在し、１番目の第三者装置は、被認証者装置から認証情報ＣＩを受けて、被認証者に対して認証情報ＣＩＮ1を発行すると共にＣＩＮ1とＣＩの対応を記憶し、２番目の第三者装置にＣＩＮ1を送付し、２番目の第三者装置は、被認証者装置からＣＩＮ1を受けて、被認証者に対して認証情報ＣＩＮ2を発行すると共にＣＩＮ2とＣＩＮ1の対応を記憶し、３番目の第三者装置にＣＩＮ2を送付し、以下同様の処理を繰り返し、最後のｎ番目の第三者装置は、被認証者装置からＣＩＮn-1を受けて、被認証者に対して認証情報ＣＩＮnを発行すると共にＣＩＮnとＣＩＮn-1の対応を記憶し、運営者装置に認証情報ＣＩＮnを送付し、
被認証者装置は認証情報ＣＩＮnを運営者装置に送付し、これを受けて運営者装置は被認証者をコミュニティー内の者と見なすことを特徴とする匿名認証方法。
【請求項５】
請求項４記載の匿名認証方法において、
被認証者を特定する必要が発生した場合、運営者装置は当該被認証者の認証情報ＣＩＮnをｎ番目の第三者装置に送付し、ｎ番目の第三者装置はＣＩＮnに対応するＣＩＮn-1をｎ−１番目の第三者装置に送付し、以下、同様の処理を繰り返し、１番目の第三者装置が２番目の第三者装置からＣＩＮ1を受け取ると、該ＣＩＮ1に対応するＣＩを管理者装置に送付し、管理者装置は、前記ＣＩに対応する個人情報により被認証者を特定することを特徴とする匿名認証方法。
【請求項６】
請求項４記載の匿名認証方法において、運営者装置は、被認証者装置から同じ認証情報ＣＩＮnを複数回受け取ることで、被認証者の同一性を検証することを特徴とする匿名認証方法。
【請求項１】
会員制コミュニティーにおける匿名認証方法であって、
被認証者の個人情報を管理する管理者装置は、被認証者に対して、該被認証者の認証に必要な情報（以下、認証情報）ＣＩを発行すると共に、該認証情報ＣＩと被認証者の個人情報との対応を記憶し、
被認証者の被認証者装置は、前記管理装置が発行した認証情報ＣＩを第三者装置に送付し、
第三者装置は、前記認証情報ＣＩにより被認証者をコミュニティーの会員と見なし、該被認証者に対して新しい認証情報ＣＩＮを発行すると共に、該認証情報ＣＩＮと認証情報ＣＩとの対応を記憶し、さらに、コミュニティー運営者の運営者装置に認証情報ＣＩＮを送付し、
被認証者装置は認証情報ＣＩＮを運営者装置に送付し、これを受けて運営者装置は被認証者をコミュニティー内の者と見なすことを特徴とする匿名認証方法。
【請求項２】
請求項１記載の匿名認証方法において、
被認証者を特定する必要が発生した場合、運営者装置は当該被認証者の認証情報ＣＩＮを第三者装置に送付し、第三者装置は該認証情報ＣＩＮに対応する認証情報ＣＩを管理者装置に送付し、管理者装置は該認証情報ＣＩに対応する個人情報により被認証者を特定することを特徴とする匿名認証方法。
【請求項３】
請求項１記載の匿名認証方法において、運営者装置は、被認証者装置から同じ認証情報ＣＩＮを複数回受け取ることで、被認証者の同一性を検証することを特徴とする匿名認証方法。
【請求項４】
請求項１記載の匿名認証方法において、
第三者装置は複数存在し、１番目の第三者装置は、被認証者装置から認証情報ＣＩを受けて、被認証者に対して認証情報ＣＩＮ1を発行すると共にＣＩＮ1とＣＩの対応を記憶し、２番目の第三者装置にＣＩＮ1を送付し、２番目の第三者装置は、被認証者装置からＣＩＮ1を受けて、被認証者に対して認証情報ＣＩＮ2を発行すると共にＣＩＮ2とＣＩＮ1の対応を記憶し、３番目の第三者装置にＣＩＮ2を送付し、以下同様の処理を繰り返し、最後のｎ番目の第三者装置は、被認証者装置からＣＩＮn-1を受けて、被認証者に対して認証情報ＣＩＮnを発行すると共にＣＩＮnとＣＩＮn-1の対応を記憶し、運営者装置に認証情報ＣＩＮnを送付し、
被認証者装置は認証情報ＣＩＮnを運営者装置に送付し、これを受けて運営者装置は被認証者をコミュニティー内の者と見なすことを特徴とする匿名認証方法。
【請求項５】
請求項４記載の匿名認証方法において、
被認証者を特定する必要が発生した場合、運営者装置は当該被認証者の認証情報ＣＩＮnをｎ番目の第三者装置に送付し、ｎ番目の第三者装置はＣＩＮnに対応するＣＩＮn-1をｎ−１番目の第三者装置に送付し、以下、同様の処理を繰り返し、１番目の第三者装置が２番目の第三者装置からＣＩＮ1を受け取ると、該ＣＩＮ1に対応するＣＩを管理者装置に送付し、管理者装置は、前記ＣＩに対応する個人情報により被認証者を特定することを特徴とする匿名認証方法。
【請求項６】
請求項４記載の匿名認証方法において、運営者装置は、被認証者装置から同じ認証情報ＣＩＮnを複数回受け取ることで、被認証者の同一性を検証することを特徴とする匿名認証方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【公開番号】特開２００６−２３５６６１（Ｐ２００６−２３５６６１Ａ）
【公開日】平成１８年９月７日（２００６．９．７）
【国際特許分類】
【出願番号】特願２００５−４４８７６（Ｐ２００５−４４８７６）
【出願日】平成１７年２月２１日（２００５．２．２１）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成１８年９月７日（２００６．９．７）
【国際特許分類】
【出願日】平成１７年２月２１日（２００５．２．２１）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]