情報処理装置、情報処理方法、及びコンピュータプログラム
【課題】 認証に用いるパスワードの複雑性評価に従った表示を行い、ユーザに対してパスワード登録の際に参考情報を提示する。
【解決手段】 ユーザによるパスワード入力欄に対する編集処理に応じて、当該入力欄に入力されて文字列についての複雑性評価をウェブサーバに対して要求する。ウェブサーバでは、当該ユーザの氏名や生年月日、また、文字列の法則性などに従った当該パスワードの複雑性評価かを行う。そしてその結果に応じてクライアント側では、パスワードの複雑性をユーザに認識させるべく、複雑性が低い場合にはパスワード入力欄の背景色を変える等、警告表示を行う。
【解決手段】 ユーザによるパスワード入力欄に対する編集処理に応じて、当該入力欄に入力されて文字列についての複雑性評価をウェブサーバに対して要求する。ウェブサーバでは、当該ユーザの氏名や生年月日、また、文字列の法則性などに従った当該パスワードの複雑性評価かを行う。そしてその結果に応じてクライアント側では、パスワードの複雑性をユーザに認識させるべく、複雑性が低い場合にはパスワード入力欄の背景色を変える等、警告表示を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ウェブアプリケーションが提供するパスワード入力画面の表示に関し、特に、ユーザが登録するパスワードの複雑性に関する情報をユーザが認識可能に表示する技術に関する。
【背景技術】
【０００２】
近年、インターネット上には無数のウェブサイトが公開され、それぞれのウェブサイトは、ウェブアプリケーションを用いた多様なウェブサービスを提供している。例えば、インターネットバンキングや、オンラインショッピングなどのウェブサービスが広く行われている。それらのウェブサービスを利用する場合には、ユーザは、それぞれのウェブサイトにユーザ登録を行う必要があり、その際には、認証に用いるパスワードの登録を行うことが一般的である。
【０００３】
このような、ウェブサイトが提供するウェブサービスは利便性が高いため、多くのユーザにとって不可欠なものとなりつつあるが、その利用に伴い、ユーザは成りすましによる不正利用など、様々なリスクに晒されることにもなる。
【０００４】
不正利用の対策は様々あるが、認証に用いるパスワードの複雑性を高めることが有効的な手段の１つとして挙げられる。例えば、パスワードを登録する際には所定の文字数以上のパスワードを設定するようにする、アルファベット及び数字の双方を必ず１字以上使用させる、等の対策をとっていることが一般的である。これによりパスワードの複雑性を高めることはできる。
【０００５】
このような、パスワードを登録する場合には、ユーザがパスワードとして用いる文字列を入力後、登録ボタンに対する押下指示を受け付けることでウェブサービスを提供するウェブサーバにパスワードが送信され、ウェブサーバは受信した文字列が、パスワードとしての登録可能要件を満たすかを判定し、登録可能要件を満たしていると判定した場合には、受信した文字列をパスワードとして登録し、満たしていないと判定した場合には、パスワードとして用いる文字列を再度ユーザに入力させることになる。
【０００６】
また、パスワードの登録に際しては、周囲から入力操作を盗み見される等の、ソーシャルエンジニアリングの危険にも晒される。このようなソーシャルエンジニアリングに対処すべく、例えば特許文献１に開示されている発明がなされている。この発明は、ユーザが入力したパスワード文字をマスクするエコー文字の文字数を複数文字とすることで、ユーザが入力したパスワードの文字数が漏洩することを防ぐためのものである。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００４−２１５６０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
パスワードの複雑性を求めようとした場合に、従来の方法では、ユーザがパスワードと使用する文字列の入力を一旦確定しなければその複雑性の判断が行われなかった。このため、ウェブサイトが要求するパスワードの複雑性を満たさない文字列の入力が行われた場合に、入力のやり直しを行わなくてはならず、ソーシャルエンジニアリングの危険にさらに晒されることになってしまう。
【０００９】
また、上述のパスワードの文字数制限や、アルファベットと数字の双方を使用するといった程度の複雑性のみを求めるのであれば、ユーザに対するパスワード制限に関する表示を容易に行うことができるが、さらなる複雑性を要求する場合には、その全ての要件をユーザに提供することは困難である。
【００１０】
この場合、一旦確定された文字列がパスワードとして不適切として判断された理由を表示してユーザに通知することが想定されるが、不適切となった原因が１つ見つかった場合に、それ以外の要件については適切／不適切の判定を行わず、それらの要件を満たすか否かの情報はユーザには通知されず、結局はトライアンドエラーを繰り返す原因になってしまうことが想定される。
【００１１】
そこで、本発明は、パスワードの登録に関し、パスワードとして用いる文字列の入力を確定させる前にユーザにウェブサイトが要求する複雑性を満たすか等、パスワードの複雑性に関する情報を表示することで、ユーザに報知可能な技術を提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記した目的を達成するために、本発明の情報処理装置は、ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置であって、前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示手段と、前記表示手段により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付手段と、前記第１の受付手段で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求手段と、前記要求手段による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得手段と、前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御手段と、を備えることを特徴とする。
【００１３】
上記した目的を達成するために、本発明の情報処理方法は、ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置による情報処理方法であって、前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示工程と、前記表示工程により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付工程と、前記第１の受付工程で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求工程と、前記要求工程による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得工程と、前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御工程と、を備えることを特徴とする。
【００１４】
上記した目的を達成するために、本発明のコンピュータプログラムは、ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置を、前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示手段と、前記表示手段により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付手段と、前記第１の受付手段で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求手段と、前記要求手段による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得手段と、前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御手段として機能させることを特徴とする。
【発明の効果】
【００１５】
本発明によれば、ユーザによるパスワード入力が完了していなくとも、ユーザが文字入力するたびに、その時点で入力されている文字列がＷｅｂアプリケーションにおいて求められているパスワードの複雑性を満たしているかを知ることが出来る。
【図面の簡単な説明】
【００１６】
【図１】本発明の情報処理システムのシステム構成の一例を示す図である。
【図２】図１に示す各装置に適用可能な情報処理装置のハードウェア構成の一例を示す図である。
【図３】図１に示す各装置の機能構成の一例を示す図である。
【図４】第１の実施形態の形態におけるユーザ情報登録処理を示すフローチャートである。
【図５】図５のステップＳ４１１のパスワードデータ入力受付処理の詳細を示すフローチャートである。
【図６】第１の実施形態におけるパスワード複雑性評価・登録処理の一例を示すフローチャートである。
【図７】ユーザ情報入力画面の構成の一例を示す図である。
【図８】パスワード入力画面の構成の一例を示す図である。
【図９】パスワード入力画面のパスワード複雑性情報表示の一例を示す図である。
【図１０】第２の実施形態におけるユーザ情報入力処理を示すフローチャートである。
【図１１】第２の実施形態におけるユーザ情報登録処理を示すフローチャートである。
【図１２】第２の実施形態におけるパスワード複雑性評価・登録処理の一例を示すフローチャートである。
【図１３】第２の実施形態におけるユーザ情報入力画面の構成の一例を示す図である。
【図１４】ユーザ情報テーブルのデータ構成の一例を示す図である。
【発明を実施するための形態】
【００１７】
以下、図面を参照して、本発明を実施するための形態の一例について説明する。
【００１８】
図１は、本発明の情報処理システムのシステム構成の一例を示す図である。図１に示すように、本発明の情報処理システムは、クライアント装置１０１−１乃至１０１−３（以下、まとめてクライアント装置１０１とする）、ウェブサーバ１０２、アプリケーションサーバ（ＡＰサーバ）１０３、データベースサーバ（ＤＢサーバ）１０４を備えて構成されている。
【００１９】
クライアント装置１０１は、ウェブサーバ１０２が提供するウェブサイトによるウェブサービスを利用するユーザが操作するコンピュータであって、インターネット１０６等の広域回線網を介してウェブサーバ１０２にアクセスし、ウェブサービスを利用する。
【００２０】
ウェブサーバ１０２は、クライアント装置１０１からの要求に応じて、ウェブサービスを提供するためのサーバ装置である。ＡＰサーバ１０３は、ウェブサーバが提供するウェブサービスで実行されるウェブアプリケーションを実行するサーバ装置であって、ウェブサーバ１０２から要求されたウェブアプリケーションを実行し、その処理結果をウェブサーバ１０２に通知する。ＤＢサーバ１０４は、ウェブサーバ１０２、ＡＰサーバ１０３が利用する各種のデータを記憶するサーバ装置である。
【００２１】
１０５はＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）であって、ウェブサーバ１０２、ＡＰサーバ１０３及びＤＢサーバ１０４を相互に通信可能に接続するためのネットワークである。
【００２２】
次に、図２を参照して、図１に示す各装置（クライアント装置１０１、ウェブサーバ１０２、ＡＰサーバ１０３及びＤＢサーバ１０４）のハードウェア構成の一例について説明する。図２は、図１に示す各装置に適用可能な情報処理装置のハードウェア構成の一例を示す図である。
【００２３】
図中、ＣＰＵ２０１は、システムバス２０４に接続される後述の各デバイスやコントローラを統括的に制御する。また、ＲＯＭ２０３あるいは外部メモリ２１１には、ＣＰＵ２０１の制御プログラムであるＢＩＯＳ（Basic Input / Output System）やオペレーティングシステムプログラム（以下、ＯＳ）や、各装置に後述する各種の処理を実行させるために必要な各種プログラムやデータ等が記憶されている。ＲＡＭ２０２は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。
【００２４】
ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＡＭ２０２にロードして、プログラムを実行することで後述する各種処理を実現するものである。また、入力コントローラ（入力Ｃ）２０５は、キーボードやポインティングデバイス等で構成される入力装置２０９からの入力を制御する。ビデオコントローラ（ＶＣ）２０６は、ディスプレイ装置２１０等の表示装置への表示を制御する。ディスプレイ装置２１０は、例えばＣＲＴディスプレイや液晶ディスプレイ等で構成される。
【００２５】
メモリコントローラ（ＭＣ）２０７は、ブートプログラム、ブラウザソフトウエア、各種のアプリケーション、フォントデータ、ユーザファイル、編集ファイル、各種データ等を記憶するハードディスク（ＨＤ）やフロッピーディスク（登録商標 ＦＤ）或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュメモリ等の外部メモリ２１１へのアクセスを制御する。
【００２６】
通信Ｉ／Ｆコントローラ（通信Ｉ／ＦＣ）２０８は、図１に示すＬＡＮ１０５やインターネット１０６等のネットワークを介して、外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いたインターネット通信等が可能である。
【００２７】
なお、ＣＰＵ２０１は、例えばＲＡＭ２０２内の表示情報用領域へアウトラインフォン
トの展開（ラスタライズ）処理を実行することにより、ディスプレイ装置２１０上での表
示を可能としている。また、ＣＰＵ２０１は、ディスプレイ装置２１０上の不図示のマウ
スカーソル等でのユーザ指示を可能とする。以上が、ハードウェア構成の説明であるが、各装置が後述する各種の処理を実行可能であれば、必ずしも図２に記載のハードウェア構成を有していなくとも構わないことは言うまでもない。
【００２８】
次に、図３を参照して、図１に示す各装置（クライアント装置１０１、ウェブサーバ１０２、ＡＰサーバ１０３、ＤＢサーバ１０４）の機能構成について説明する。図３は、図１に示す各装置が備える機能構成を示す図である。
【００２９】
図３に示す通り、クライアント装置１０１は、入力受付部３０１、表示制御部３０２、通信部３０３を備えており、通信部３０３は、同期通信部３０３−１、非同期通信部３０３−２を含む。
【００３０】
入力受付部３０１は、ウェブサーバに接続する際に用いられるＵＲＬ情報や、後述するユーザ情報入力画面７００やパスワード入力画面８００を介しての各種情報の入力を受け付ける。表示制御部３０２は、ウェブサーバ１０２より受信したレスポンスデータに従った画面表示（例えば、ユーザ情報入力画面７００やパスワード入力画面８００の表示）をウェブブラウザに対して行う。
【００３１】
通信部３０３は、ウェブサーバ１０２とＨＴＴＰ等による通信を行う。尚、同期通信部３０３−１は、ウェブサーバ１０２との間で同期通信を行う。非同期通信部３０３−２は、ＪａｖａＳｃｒｉｐｔのクラスライブラリである「ＸＭＬＨｔｔｐＲｅｑｕｅｓｔ」を用いて、ウェブサーバ１０２に非同期通信でＨＴＴＰリクエストを送る。また、当該ＨＴＴＰリクエストに応じてウェブサーバ１０２より送信されるレスポンスデータについては、非同期通信部３０３−２が提供するコールバック機能を用いて受信することになる。
【００３２】
ウェブサーバ１０２は、実行要求部３１１、応答データ生成部３１２、通信部３１３を備えており、通信部３１３は、同期通信部３１３−１、非同期通信部３１３−２を含む。
【００３３】
実行要求部３１１は、後述する通信部３１３でクライアント装置１０１から受信したＨＴＴＰリクエストデータに含まれるリクエストＵＲＬを解析することでサービスの実行要求であるかを判定し、サービス実行要求であると判定した場合には、ＡＰサーバ１０３に対してサービス実行要求を行う。例えば、リクエストＵＲＬに含まれるファイルの拡張子が「ｄｏ」である場合に、サービスの実行要求であると判定する。
【００３４】
応答データ生成部３１２は、クライアント装置１０１からのＨＴＴＰリクエストデータに対する応答データであるレスポンスデータを生成する。そして生成したレスポンスデータを通信部３１３に渡す。
【００３５】
通信部３１３は、クライアント装置１０１とＨＴＴＰを用いた通信を行うための機能部であり、同期通信部３１３−１はクライアント装置１０１の同期通信部３０３−１と、非同期通信部３１３−２は、クライアント装置１０１の非同期通信部３０３−２との通信を行う。
【００３６】
ＡＰサーバ１０３は、サービス実行部３２１、データ操作部３２２を備えており、サービス実行部３２１は実行要求受付部３２１−１、特定部３２１−２、処理実行部３２１−３を含み、データ操作部３２２は、データ取得部３２２−１、データ登録部３２２−２を含む。
【００３７】
サービス実行部３２１は、ウェブサーバ１０２からの要求に応じてＡＰサーバ１０３が提供するサービスを実行する機能部である。ＡＰサーバ１０３が提供するサービスとしては、例えばパスワード複雑性評価を行うためのパスワード検証サービスや、ユーザ情報登録サービス等がある。
【００３８】
実行要求受付部３２１−１は、ウェブサーバ１０２の実行要求部３１１からのサービスの実行要求を受け付ける機能部である。サービス特定部３２１−２は、実行要求受付部３２１−１で受け付けたサービスの実行要求に従って、実行すべきサービスを特定する。処理実行部３２１−３は、サービス特定部３２１−２で実行するサービスとして特定されたサービスを実行し、その処理結果をウェブサーバ１０２の実行要求部３１１に返す。
【００３９】
データ操作部３２２は、ＤＢサーバ１０４で管理されているユーザ情報テーブル等のデータベースを操作するための機能部であり、データ取得部３２２−１は、ＤＢサーバ１０４が管理するデータベースより、各種のデータを取得する機能部である。データ登録部３２２−２は、データベースにデータを追加する、データベースからデータを削除する、既に登録されているデータを変更する機能部である。
【００４０】
ＤＢサーバ１０４は、記憶部３３１を備えており、この記憶部３３１で後述する処理で用いられる各種データや、作成される各種データを記憶することになる。以上が図１に示す各装置の機能構成の説明である。
【００４１】
＜第１の実施の形態＞
次に、図４を参照して、クライアント装置１０１のＣＰＵ２０１、ウェブサーバ１０２のＣＰＵ２０１、及びＡＰサーバ１０３のＣＰＵによって行われる、本発明の第１の実施の形態におけるユーザ情報登録処理について説明する。本図のステップＳ４０１からＳ４１１に示す処理はクライアント装置１０１のＣＰＵ２０１によって、ステップＳ４２１からＳ４２６に示す処理はウェブサーバ１０２のＣＰＵ２０１によって、ステップＳ４４１からＳ４４４に示す処理はＡＰサーバ１０３のＣＰＵ２０１によって行われる処理である。
【００４２】
まず、クライアント装置１０１は、ユーザの入力装置２０９操作に従って、アクセスするウェブサーバ１０２を特定するためのＵＲＬ情報の入力を受け付ける（ステップＳ４０１）。そして、ステップＳ４０１で入力されたＵＲＬで特定されるウェブサーバ１０２に対して、画面要求のためにリクエストデータを送信する（ステップＳ４０２）。
【００４３】
ウェブサーバ１０２のＣＰＵ２０１は、クライアント装置１０１より送信された画面要求のためのリクエストデータを取得すると（ステップＳ４２１）、表示画面情報を含むレスポンスデータを、当該要求を行ってきたクライアント装置１０１に対して送信する（ステップＳ４２２）。
【００４４】
クライアント装置１０１のＣＰＵ２０１は、ウェブサーバ１０２から送信された表示画面情報を含むレスポンスデータを受信すると（ステップＳ４０３）、受信した表示画面情報に従って、画面表示を行う（ステップＳ４０４）。ここでは、例えば図７に示すユーザ情報入力画面７００が表示されることになる。
【００４５】
ここで、図７を参照して、ユーザ情報入力画面７００の構成について説明する。図７はユーザ情報入力画面７００の構成の一例を示す図である。
【００４６】
図７に示す通り、ユーザ情報入力画面７００は、氏名入力欄７０１、氏名（ローマ字）入力欄７０２、性別入力欄７０３、生年月日入力欄７０４、住所入力欄７０５、電話番号入力欄７０６、職業入力欄７０７、メールアドレス入力欄７０８、メールアドレス確認入力欄７０９、ログインユーザ名入力欄７１０、次（パスワード入力）へボタン７１１等を備えて構成されている。
【００４７】
ユーザは、本画面に設定されている各入力欄に自身に関する情報を、入力装置２０９を用いて夫々の入力欄に対して入力することになる。そして、入力が必須となっている全ての入力欄に対する入力を受け付けると次（パスワード入力）へボタン７１１が有効となる。尚、ログインユーザ名入力欄７１０には、ユーザが当該ウェブサービスを利用する際に用いるユーザ名の入力を受け付けることになる。
【００４８】
図４の説明に戻る。クライアント装置１０１のＣＰＵ２０１は、ステップＳ４０４で表示したユーザ情報入力画面７００を介してのユーザからのユーザ情報入力を受け付ける（ステップＳ４０５）。その後、ユーザ情報入力画面７００の次（パスワード入力）へボタン７１１の押下指示により入力される登録指示の入力を受け付けると（ステップＳ４０６でＹＥＳ）、ユーザ情報入力画面７００に対して入力されたユーザ情報を登録するためのリクエストデータを作成し、そのリクエストデータをウェブサーバ１０２に対して送信する（ステップＳ４０７）。
【００４９】
クライアント装置１０１から送信されたユーザ情報を登録のためのリクエストデータを受信すると（ステップＳ４２３）、ウェブサーバ１０２のＣＰＵ２０１は、ＡＰサーバ１０３に対してユーザ情報の登録のためのプログラムの実行要求を行う（ステップＳ４２４）。この時に合わせて、クライアント装置１０１から取得したユーザ情報をＡＰサーバ１０３に対して送信する。
【００５０】
ＡＰサーバ１０３のＣＰＵ２０１は、ウェブサーバ１０２からのユーザ登録プログラム実行要求を受け付けると（ステップＳ４４１）、ユーザ登録プログラムを実行し（ステップＳ４４２）、ＤＢサーバ１０４が備えるユーザ情報テーブル１４００にユーザ情報を登録する（ステップＳ４４３）。そしてその処理結果をＡＰサーバ１０３に送信する（ステップＳ４４４）。
【００５１】
ここで、図１４を参照して、ＤＢサーバ１０４の外部メモリ２１１に管理されているユーザ情報テーブル１４００のデータ構成について説明する。図１４は、ユーザ情報テーブル１４００のデータ構成の一例を示す図である。
【００５２】
図１４に示す通り、ユーザ情報テーブル１４００は、ユーザＩＤ１４０１、氏名１４０２、氏名（ローマ字）１４０３、性別１４０４、生年月日１４０５、住所１４０６、電話番号１４０７、職業１４０８、メールアドレス１４０９、ログインユーザ名１４１０、パスワード１４１１等のデータ項目を備えて構成されている。
【００５３】
図７の説明に戻る。ウェブサーバ１０２は、ＡＰサーバ１０３から処理結果を受け取ると（ステップＳ４２５）、ユーザ情報登録結果を示すレスポンスデータを作成し、クライアント装置１０１に送信する（ステップＳ４２６）。この時、ユーザ情報登録に成功した場合には、図８に示すパスワード入力画面８００を、失敗した場合には、不図示のエラー通知画面を表示するための画面情報を含むレスポンスデータを作成し、クライアント装置１０１に送信することになる。
【００５４】
クライアント装置１０１のＣＰＵ２０１は、ウェブサーバ１０２からのレスポンスデータを取得すると（ステップＳ４０８）、処理をステップＳ４０９に進め、取得したレスポンスデータに従った画面表示を行う。つまりは、登録処理結果に応じて、図８に示すパスワード入力画面８００若しくは、エラー通知画面の表示を行うことになる。
【００５５】
そして、登録に失敗した場合（ステップＳ４１０でＮＯ）には再度ユーザ情報入力画面７００を表示させ、ステップＳ４０５からの処理を繰り返す。一方、登録に成功した場合（ステップＳ４１０でＹＥＳ）には処理をステップＳ４１１に進め、パスワードデータ入力受付処理を行う。この処理の詳細については、図５を参照して説明することにする。以上が、図４のユーザ情報登録処理の説明である。
【００５６】
尚、本発明では、このユーザ情報登録処理でユーザにより入力された氏名や、生年月日、電話番号などの情報を用いて、パスワードの複雑性を判断することになる。例えば、パスワードとして利用する文字列に、氏名情報や、生年月日が含まれていると、他人からパスワードの推測が容易になってしまうという問題があるので、それらに使用されている文字列を使用させないようにすることで、複雑性を担保するようにしている。
【００５７】
次に、図５を参照して、図４のステップＳ４１１のパスワード入力受付処理の詳細について説明する。
【００５８】
まず、クライアント装置１０１のＣＰＵ２０１は、ディスプレイ装置２１０に表示されているパスワード入力画面８００に対するユーザ操作の監視を始める（ステップＳ５０１）。
【００５９】
ここで、図８を参照して、パスワード入力画面８００の画面構成について説明する。図８はパスワード入力画面８００の構成の一例を示す図である。
【００６０】
図８に示すように、パスワード入力画面８００には、画面初期表示時には、パスワード入力欄８０１及び登録ボタン８０２を備えて構成される。
【００６１】
パスワード入力欄８０１は、パスワードとして利用する文字列の入力を受け付ける受付欄である。本発明では、パスワード入力欄８０１の情報が編集されるたびに、クライアント装置１０１のＣＰＵ２０１は、この入力欄に入力された文字列情報を非同期通信部３０３−２によりウェブサーバ１０２に送信し、その後ＡＰサーバ１０３によって、その文字列の複雑性評価が行われることになる。そして、複雑性評価の結果をユーザに報知するための表示を本画面に行うことになる。また、このパスワード入力欄８０１は、パスワードの最大文字数より多くの文字数の入力は受け付けない。
【００６２】
登録ボタン８０２は、パスワードの入力を確定させ、ウェブサーバ１０２に対してパスワードの登録を要求するために用いられるボタンである。尚、この登録ボタンは、パスワード入力欄８０１に入力された文字列が所定の文字数ではない場合、また、複雑性評価によりパスワードとして登録するための要件を満たさないと判断された場合には、グレーアウト表示され、登録指示を行うことができないように制御される。この登録ボタンが押された場合には、クライアント装置１０１のＣＰＵ２０１は、同期通信部３０３−１によりウェブサーバ１０２に入力された文字列を送信することになる。以上が図８のパスワード入力画面８００の構成の説明である。
【００６３】
図５の説明に戻る。ユーザの操作監視中、パスワード入力欄８０１に対する操作によりパスワードの編集が行われたと判断した場合に（ステップＳ５０２でＹＥＳ）、処理をステップＳ５０３に進め、パスワード入力欄８０１に表示する文字数を変更する。尚、このパスワード入力欄には、どのような文字列が入力されたかを理解できないようにするために、入力された文字ではなく、「＊」等をマスク文字として利用する。であるので、このステップＳ５０３では「＊」の表示数を変更する処理が行われることになる。パスワード編集が行われていないと判断した場合には（ステップＳ５０２でＮＯ）、処理をステップＳ５１６に進める。
【００６４】
その後、パスワード入力欄８０１に入力された文字数が所定数以上であるかを判断し（ステップＳ５０４）、所定数以上ではないと判断した場合には（ステップＳ５０４でＮＯ）、処理をステップＳ５０５に進め、登録ボタン８０２を無効し、グレーアウト表示する。
【００６５】
その後、入力された文字列に対してパスワード複雑性評価処理結果を示すパスワード複雑性表示がパスワード入力画面８００にされている場合には（ステップ５０６でＹＥＳ）、その表示を消去する（ステップＳ５０７）。
【００６６】
ステップＳ５０４の判定処理で、パスワード入力欄８０１に入力された文字数が所定数以上であると判定した場合には、処理をステップＳ５０８に進め、パスワード複雑性評価要求のリクエストデータを作成し、作成したリクエストデータをウェブサーバ１０２に対して非同期通信機能を用いて送信する（ステップＳ５０９）。この時、ユーザによる明示的な指示を行う必要はなく、クライアント装置１０１のＣＰＵ２０１がパスワード入力欄の入力内容に変更がされたと判定すると、自動的にこの処理を行うことになる。
【００６７】
その後、ステップＳ５０９のリクエストデータに対する応答データであるレスポンスデータの受信待ち状態になる。その間、ＣＰＵ２０１は他の処理を実行することが可能である。そして、ウェブサーバ１０２の非同期通信機能を用いて送信されたレスポンスデータを受信したと判断すると（ステップＳ５１０でＹＥＳ）、処理をステップＳ５１１に進め、レスポンスデータに含まれるパスワード複雑性情報を取得する。そして、パスワード複雑性情報に従って、ディスプレイ装置２１０に表示されているパスワード入力画面にパスワード複雑性情報を示す複雑性表示を行う（ステップＳ５１２）。この時、パスワード入力画面全体の表示情報をリフレッシュするのではなく、表示変更を行う必要がある部分のみ表示の更新が行われる。
【００６８】
そして、ステップＳ５１１で取得したパスワード複雑性情報に従い、現在入力中のパスワードを登録可能であるかを判定し、パスワードの登録要件を満たし登録可能であると判定した場合には（ステップＳ５１３でＹＥＳ）、登録ボタンを有効にする（ステップＳ５１４）。一方、パスワードの登録要件を満たさないと判定した場合には（ステップＳ５１３でＮＯ）、登録ボタンを無効にする（ステップＳ５１５）。そして、ステップＳ５０１に処理を移行させる。
【００６９】
ステップＳ５０２の判定処理でユーザから受け付けた操作がパスワード編集操作ではないと判定した場合には（ステップＳ５０２でＮＯ）、処理をステップＳ５１６に進め、登録ボタン８０２の押下指示をＣＰＵ２０１が、登録ボタンの押下指示を受け付けたかを判定する。ＣＰＵ２０１が、登録ボタン８０２の押下指示を受け付けたと判定した場合には（ステップＳ５１６でＹＥＳ）、パスワード文字列を含む当該パスワード文字列を含むパスワード登録要求のリクエストデータを作成し（ステップＳ５１７）、作成したリクエストデータをウェブサーバ１０２に同期通信で送信する（ステップＳ５１８）そして、その後ウェブサーバからのレスポンスデータを受信し（ステップＳ５１９）、当該レスポンスデータに応じた画面表示を行い、本処理を終了する。
【００７０】
ステップＳ５１６で登録ボタンに対する押下指示を受け付けていないと判定した場合には（ステップＳ５１６でＮＯ）、終了指示を受け付けたかを判定する（ステップＳ５２０）。ステップＳ５２０で終了指示を受け付けたと判定した場合には（ステップＳ５２０でＹＥＳ）、パスワード登録処理を行うことなく本処理を終了する。一方、登録ボタンの押下指示も終了指示も受け付けていない場合にはステップＳ５０１に処理を進め、それ以降の処理を繰り返し行うことになる。以上がクライアント装置１０１によって行われるパスワードデータ入力受付処理の詳細である。
【００７１】
次に、図６を参照して、クライアント装置１０１でのパスワードデータ入力受付処理に応じてウェブサーバ１０２及びＡＰサーバ１０３によって行われるパスワード複雑性評価・登録処理について説明する。
【００７２】
まず、ウェブサーバ１０２のＣＰＵ２０１は、クライアント装置１０１からのリクエストデータを受信すると（ステップＳ６０１）、該受信したリクエストデータをＡＰサーバ１０３に転送する（ステップＳ６０２）。ウェブサーバ１０２がステップＳ６０１でクライアント装置１０１から受信するリクエストデータとしては、図５のステップＳ５０９で送信されたパスワード複雑性評価要求のリクエストデータ（非同期通信）、図５のステップＳ５１８で送信されたパスワード登録要求のリクエストデータ（同期通信）があげられる。
【００７３】
ＡＰサーバ１０３のＣＰＵ２０１は、ウェブサーバ１０２からリクエストデータを転送されると（ステップＳ６２１）、転送されたリクエストデータの種類を特定する。ＡＰサーバ１０３は、特定されたリクエストデータの種類によって、実行するサービスを特定する（ステップＳ６２２）ことになる。
【００７４】
ウェブサーバ１０２より転送されたリクエストデータがパスワード登録要求のリクエストデータであると判定した場合には（ステップＳ６２３で「登録」）、パスワードを登録するためのサービスを実行し（ステップＳ６２４）、ＤＢサーバ１０４が記憶しているユーザ情報テーブル１４００にパスワードを追加登録する（ステップＳ６２５）。そして、その処理結果をＤＢサーバ１０４より受信し（ステップＳ６２６）、ウェブサーバ１０２に送信する（ステップＳ６２７）。
【００７５】
一方で、ステップＳ６２３でパスワードの複雑性評価要求のリクエストデータであると判定した場合には、パスワード検証サービスを実行し（ステップＳ６２８）、検証に必要なユーザ情報をＤＢサーバが管理しているユーザ情報テーブル１４００から取得する（ステップＳ６２９）。そして、複雑性評価要求のリクエストデータに含まれる入力中の文字列情報と、ステップＳ６２９で取得したユーザ情報とを用いて、パスワード検証を行う（ステップＳ６３０）。本発明では、ユーザ情報を用いてパスワード検証を検証することが可能であるので、次に示すようなパスワード検証を行うことができる。
【００７６】
・パスワードにユーザの生年月日が含まれていないか。
・パスワードにユーザの氏名の一部が含まれていないか。
・パスワードにユーザの電話番号が含まれていないか。
・パスワードがユーザのメールアドレスのアカウントと同一ではないか。
【００７７】
また、ユーザ情報を用いたパスワード検証以外にも次に示すパスワード検証を合わせて行うことが可能である。
【００７８】
・パスワードにアルファベット、数字が夫々含まれているか。
・パスワードに英数文字以外（例えば％、＠等）が含まれているか。
【００７９】
そして、ステップＳ６３０では、上記のような複数のチェック項目夫々に対して、ステップＳ６２１で受信したリクエストデータに含まれる文字列情報に対するチェックを行い、その結果に従いパスワードの複雑性の度合いを示す評価値を算出することになる。例えば、パスワードにユーザの生年月日が含まれている場合には−３０、氏名の一部が含まれている場合には−２０、パスワードにアルファベット、数字の双方が含まれている場合には＋２０等、各チェック項目に値を設定しておき、それらの合計することで評価値を算出するなどの手法をとればよい。
【００８０】
その後、ステップＳ６３０での複雑性評価により算出される評価値に応じてパスワード複雑性情報を作成し（ステップＳ６３１）、作成したパスワード複雑性情報をウェブサーバ１０２に対して送信する（ステップＳ６３２）。
【００８１】
ウェブサーバ１０２のＣＰＵ２０１は、ＡＰサーバ１０３よりステップＳ６２７で送信されたパスワード登録処理結果を受信する（ステップＳ６０３）と、登録処理結果を含むレスポンスデータを作成し（ステップＳ６０４）、作成したレスポンスデータをクライアント装置１０１に同期通信で送信する（ステップＳ６０５）。
【００８２】
また、ウェブサーバ１０２のＣＰＵ２０１は、ＡＰサーバ１０３よりステップＳ６３２で送信されたパスワード複雑性情報を受信すると（ステップＳ６０６）、パスワード複雑性情報を含むレスポンスデータを作成し（ステップＳ６０７）、レスポンスデータをクライアント装置１０１に非同期通信で送信する（ステップＳ６０８）。以上が、クライアント装置１０１のパスワード入力処理に応じてウェブサーバ１０２及びＡＰサーバ１０３により行われるパスワード複雑性評価・登録処理である。
【００８３】
ここで、図９を参照して、図５に示すパスワードデータ入力受付処理が行われている間に表示されるパスワード入力画面８００のパスワード複雑性表示の一例について説明する。
【００８４】
図９の（１）は、パスワードとして登録不可の文字列が入力された場合のパスワード複雑性表示の一例を示している。図９の（１）に示すように、パスワードとして登録できない文字列が入力された場合には、例えばパスワード入力欄の背景色を変える等、通常の表示と異ならせるとともに、どのような禁止条件に合致しているかをメッセージ表示部９０２−１に表示する。これによりユーザは、パスワードの危険度合いや、どの禁止条件に合致しているかを認識することが可能となる。
【００８５】
一方、パスワードとして登録可能な文字列が入力された場合には、図９の（２）に示すようにパスワードとして登録可能である旨の表示をメッセージ表示部９０２−２に表示する。
【００８６】
また、本発明では、単にパスワードとして登録可能／不可能だけでなく、パスワードとして適切かを示す評価値に基づいて、パスワード入力部の背景表示を切り替える。
【００８７】
例えば、以下の条件でパスワードの登録が可能であるとする。
・パスワードに姓、名が含まれない。
・パスワードに生年月日が含まれない。
・パスワードは８文字以上１６文字以下。
・パスワードには必ず英字、数字が１字以上含まれる。
【００８８】
このような条件のもと、１９８０年５月９日生まれの山田太郎さんがパスワードを登録しようとして、「１２３４５ＡＢＣ」や「１ｑａｚ２ｗｓｘ」、「ｙａｍａ０００１」等を入力した場合に、これらは登録が可能であると判断する。
【００８９】
しかし、「１２３４ＡＢＣＤ」は、数字、英字ともに最初の文字から順に４字ずつ入力したものであり、入力に法則性があるので必ずしもパスワードとして適切であるとは言えない。
【００９０】
また、「１ｑａｚ２ｗｓｘ」は一見法則性がないようにも見えるが、キーボード配列の左２列に設定されている文字を順に入力しているだけであるので、この文字列にも一定の法則性があるといえる。
【００９１】
また、「ｙａｍａ０００１」のような文字列を入力された場合にも、姓の全てが含まれているわけではないが、その一部（ｙａｍａ）が用いられているので、他人に推測される可能性は、法則性がない文字列よりも高いといえる。
【００９２】
上記のように、法則性がある文字列や個人情報の一部を用いている文字列は、法則性がない文字列と比較して、他人から推測される危険性が高いといえるので、これらの文字列が入力された場合には、パスワードとして登録は可能であるがリスクが高いパスワードであることをユーザに報知するようにする。このようなことを行えるようにするために、パスワード検証サービスにおいて、このような法則性のチェックも合わせて行うことになる。
【００９３】
そのために、例えばパスワード登録が不可能な文字列の場合には、登録ボタンをグレーアウトするとともに、背景色を赤くしてユーザにパスワード登録をできないことを認識させる様に表示制御する。
【００９４】
法則性がある文字列が入力された場合には、あらかじめ設定されているルールに従って、その危険度合い示す評価値が算出されるので、その危険度合いをユーザに認識させるようにする。例えば、個人情報の一部が含まれている等、非常に危険性度合いが高いと思われる場合には「橙」、入力された文字列に法則性がある等、比較的危険度合いが高い場合には「黄」、その他危険度合いに応じて「緑」、「青」といったようにパスワードの入力欄の背景色を変えることにより、その危険度合いを報知すれば良い。
【００９５】
本発明では、登録ボタンが押されることでパスワード文字列の確定を行う前に、パスワードの危険度合いをユーザに報知するためのパスワード複雑性情報を表示するので、ユーザはその情報に応じて危険度合いを確認しながらパスワードの設定を行うことが可能となる。
【００９６】
＜第２の実施の形態＞
以下、図１０、図１１を参照して、クライアント装置１０１のＣＰＵ２０１によって行われる本発明の第２の実施の形態におけるユーザ情報入力処理（図１０）、ユーザ情報登録処理（図１１）について説明する。尚、この処理に応じてウェブサーバ１０２及びＡＰサーバ１０３によって行われる処理は、別途図１２を参照して説明する。
【００９７】
第１の実施の形態におけるユーザ情報登録処理では、ユーザ情報を入力するための画面（ユーザ情報入力画面７００）と、パスワード情報を入力するための画面（パスワード入力画面８００）とを別の画面にする例について説明したが、第２の実施の形態では、同一の画面で入力する場合について説明する。
【００９８】
まず、ＣＰＵ２０１は、ディスプレイ装置２１０に図１３に示すユーザ情報入力画面１３００を表示する（ステップＳ１００１）。この画面を表示するために用いられるＨＴＭＬデータはウェブサーバ１０２に保存されており、クライアント装置１０１は、ウェブサーバ１０２に対して本画面を表示するための情報を要求することになる。
【００９９】
ここで、図１３を参照して、第２の実施の形態におけるユーザ情報入力画面について説明する。図１３はユーザ情報入力画面の構成の一例を示す図である。
【０１００】
図１３に示す通り、ユーザ情報入力画面１３００は、氏名入力欄１３０１、氏名（ローマ字）入力欄１３０２、性別入力欄１３０３、生年月日入力欄１３０４、住所入力欄１３０５、電話番号入力欄１３０６、職業入力欄１３０７、メールアドレス入力欄１３０８、メールアドレス確認入力欄１３０９、ログインユーザ名入力欄１３１０、パスワード入力欄１３１１、登録ボタン１３１２等を備えて構成されている。
【０１０１】
ユーザは、本画面に設定されている各入力欄に自身に関するユーザ属性情報を、入力装置２０９を用いて夫々の入力欄に入力することになる。尚、この入力項目の内、複数の項目（例えば、氏名、生年月日、メールアドレス等）についてはパスワードの複雑性評価に用いる項目として設定されている。この画面を表示するＨＴＭＬデータには、複雑性評価に用いる項目として設定されている項目に対する編集処理、パスワード入力欄に対する編集処理が行われた場合に、非同期通信でそれらの入力欄に入力された情報をウェブサーバ１０２に送信するようなスクリプトが定義されている。そして、入力情報が送信されると、パスワードの複雑性評価が行われることになる。
【０１０２】
図１０の説明に戻る。ユーザ情報入力画面１３００をディスプレイ装置に表示後、当該画面に設定されている各種の入力欄等に対するユーザの入力装置２０９を介した操作を監視することになる（ステップＳ１００２）。
【０１０３】
そして、ユーザ情報（パスワードを含む）の編集指示を受け付けたかを判定し（ステップＳ１００３）、ユーザ情報の編集指示を受けたと判定した場合（ステップＳ１００３でＹＥＳ）には、処理をステップＳ１００４に、ユーザ情報の編集指示以外の指示を受け付けたと判定した場合（ステップＳ１００３でＮＯ）には処理を図１１のステップＳ１１０１に進める。
【０１０４】
ステップＳ１００４では、パスワード入力欄に対する編集指示が行われたかを判定する。パスワード入力欄に対する編集指示が行われたと判定した場合には（ステップＳ１００４でＹＥＳ）、処理をステップＳ１００７に進める。一方、パスワード以外の入力欄に対する編集指示が行われたと判定した場合には（ステップＳ１００４でＮＯ）、処理をステップＳ１００５に進め、編集指示を受け付けた入力欄の表示の更新を行う。
【０１０５】
そして、ステップＳ１００５の処理後、編集指示はパスワード複雑性評価に用いる属性情報に対する編集処理を受け付けたと判定した場合には（ステップＳ１００６でＹＥＳ）、処理をステップＳ１００８に、一方、編集処理を受け付けたのはセキュリティ判定に用いる属性項目ではないと判定した場合には（ステップＳ１００６でＮＯ）、処理をステップＳ１００２に戻す。
【０１０６】
ステップＳ１００４の判定処理でパスワード入力欄に対して編集指示を受け付けたと判定した場合には（ステップＳ１００４でＹＥＳ）、パスワード入力欄の表示を更新する（ステップＳ１００７）。
【０１０７】
そして、ステップＳ１００７の処理終了後、または、ステップＳ１００６でＹＥＳと判定した場合には、パスワード入力欄１３１１に入力されている文字数が所定の文字数（パスワードの最低文字数）以上であるかを判定し（ステップＳ１００８）、所定文字数以上であると判定した場合には（ステップＳ１００８でＹＥＳ）、パスワード入力欄１３１１に入力されているパスワード情報及びパスワードの複雑性評価に使用する属性として設定されているユーザ属性の情報をユーザ情報入力画面より取得し（ステップＳ１００９）、その後、ステップＳ１００９で取得した各種の情報を含むパスワードの複雑性評価要求のリクエストデータを作成し（ステップＳ１０１０）、非同期通信部３０３−２により、作成したリクエストデータをウェブサーバ１０２に対して送信する（ステップＳ１０１１）。ウェブサーバ１０２では、このリクエストデータに応じたパスワード複雑性評価処理を行うことになる。この処理については図１２を参照して後述する。
【０１０８】
クライアント装置１０１はリクエストデータ送信後、ウェブサーバ１０２よりステップＳ１０１１で送信したリクエストデータに対する応答データであるレスポンスデータを非同期通信部３０３−２が受信すると（ステップＳ１０１２でＹＥＳ）、処理をステップＳ１０１３に進め、レスポンスデータに含まれるパスワード複雑性情報に応じたパスワード複雑性表示を行う（ステップＳ１０１３）。
【０１０９】
ステップＳ１００８で所定の文字数未満である（ＮＯ）と判定した場合には、処理をステップＳ１０１４に進め、既にパスワード複雑性表示が行われているかを判定する。パスワード複雑性表示が行われている場合には、編集に伴うパスワード情報の複雑性評価が行われなかったため処理をステップＳ１０１５に進め、前回の評価結果であるパスワード複雑性表示を消去することになる。そして、ステップＳ１０１３または、ステップＳ１０１５の処理終了後、処理をステップＳ１００２に戻し、それ以降の処理を繰り返し行うことになる。
【０１１０】
図１０のステップＳ１００３で、ユーザより受け付けた操作がユーザ情報の編集処理ではないと判定した場合には（ＮＯ）、処理を図１１のステップＳ１１０１に進める。
【０１１１】
クライアント装置１０１のＣＰＵ２０１は、ステップＳ１１０１において、ユーザより図１３の登録ボタン１３１２に対する押下指示を受け付けたかを判定する（ステップＳ１１０１）。登録ボタンに対する押下指示を受け付けた（ＹＥＳ）と判定した場合には処理をステップＳ１１０２に、受け付けていない（ＮＯ）と判定した場合には、処理をステップＳ１１１０に進める。
【０１１２】
クライアント装置１０１のＣＰＵ２０１は、ステップＳ１１０２において、ユーザ情報入力画面１３００中で入力が必須であるとされている項目の全てに入力が行われているかを判定する。この処理は、ユーザ情報入力画面１３００の表示に用いられるＨＴＭＬデータ中に登録ボタン１３１２に対する押下指示がなされた場合に実行するスクリプトが設定されており、そのスクリプトを実行することで判定処理を行うことになる。このスクリプトにより、入力必須項目とされている属性情報それぞれがブランクでないかを判定する処理を行う。
【０１１３】
入力必須項目とされている属性情報を入力する入力欄に全て入力がなされている（ＹＥＳ）と判定した場合には、処理をステップＳ１１０３に、入力がされていない入力必須項目があると判定した場合には、処理をステップＳ１１０９に進める。
【０１１４】
ステップＳ１１０３では、パスワード入力欄１３１１に入力されているパスワード情報が登録可能であるかをウェブサーバ１０２から受信したパスワード複雑性情報に従って判定する。パスワードが登録可能である（ＹＥＳ）と判定した場合には処理をステップＳ１１０４に、登録不可である（ＮＯ）と判定した場合には処理をステップＳ１１０９に進める。
【０１１５】
ステップＳ１１０３でＹＥＳと判定すると、クライアント装置１０１のＣＰＵ２０１は、ユーザ情報入力画面１３００の各種入力部に入力された情報を取得し（ステップＳ１１０４）、該取得した入力情報を含む、ユーザ情報登録要求のためのリクエストデータを作成し（ステップＳ１１０５）、そのリクエストデータを同期通信部３０３−１よりウェブサーバ１０２に対して送信する（ステップＳ１１０６）。このリクエストデータに応答してウェブサーバ１０２によって行われる処理については、図１２を参照して説明する。
【０１１６】
そして、ステップＳ１１０６でウェブサーバ１０２に送信したリクエストデータに応じた処理を行った結果ウェブサーバ１０２より送信されたレスポンスデータを取得すると（ステップＳ１１０７）、そのレスポンスデータに応じて登録処理結果をディスプレイ装置２１０に表示する（ステップＳ１１０８）。
【０１１７】
ステップＳ１１０２、Ｓ１１０３でＮＯと判定した場合には、処理をステップＳ１１０９に進め、警告メッセージを表示する。ステップＳ１１０２でＮＯと判定した場合には、必須の入力項目に対する入力がされていないことを示す警告メッセージを、ステップＳ１１０３でＮＯと判定した場合には、パスワード入力欄１３１１に入力された文字列がパスワードとして登録できないことを示す警告メッセージを表示する。
【０１１８】
ステップＳ１１０１で登録ボタンの押下指示を受け付けていないと判定した場合には処理をステップＳ１１１０に進め、終了指示を受け付けたかを判定する。終了指示を受け付けていないと判定した場合には処理を図１０のステップＳ１００２に進める。一方、終了指示を受け付けた場合には本処理を終了することになる。
【０１１９】
次に、図１２を参照して、クライアント装置１０１によって行われるユーザ情報入力処理（図１０）、ユーザ情報登録処理（図１１）に応じて、ウェブサーバ１０２、ＡＰサーバ１０３によって行われるパスワード複雑性評価・登録処理について説明する。
【０１２０】
まず、ウェブサーバ１０２のＣＰＵ２０１は、クライアント装置１０１からのリクエストデータを受信すると（ステップＳ１２０１）、該受信したリクエストデータをＡＰサーバ１０３に転送する（ステップＳ１２０２）。ウェブサーバ１０２がステップＳ１２０１でクライアント装置１０１から受信するリクエストデータとしては、図１０のステップＳ１０１１で送信されたパスワード複雑性評価要求のリクエストデータ（非同期通信）、図１１のステップＳ１１０６で送信されたパスワード登録要求のリクエストデータがあげられる。
【０１２１】
ＡＰサーバ１０３のＣＰＵ２０１は、ウェブサーバ１０２からリクエストデータを転送されると（ステップＳ１２２１）、転送されたリクエストデータの種類を特定する。ＡＰサーバ１０３は、特定されたリクエストデータの種類によって、実行するサービスを特定することになる（ステップＳ１２２２）。
【０１２２】
ウェブサーバ１０２より転送されたリクエストデータがパスワード登録要求のリクエストデータであると判定した場合には（ステップＳ１２２３で登録）、パスワードを登録するためのサービスを実行し（ステップＳ１２２４）、ＤＢサーバ１０４が記憶しているユーザ情報テーブル１４００にパスワードを追加登録する（ステップＳ１２２５）。そして、その処理結果をＤＢサーバより受信し（ステップＳ１２２６）、ウェブサーバ１０２に送信する（ステップＳ１２２７）。
【０１２３】
一方で、ステップＳ１２２３でパスワードの複雑性評価要求のリクエストデータであると判定した場合には、パスワード検証サービスを実行する（ステップＳ１２２８）。
【０１２４】
パスワード検証に必要となるパスワードとして設定しようとしている文字列やユーザ属性情報は、ステップＳ１２２１でウェブサーバ１０２から受信したリクエストデータに含まれているので、ＡＰサーバ１０３のＣＰＵ２０１は、リクエストデータからパスワード複雑性評価に必要となる各種のデータを取得する（ステップＳ１２２９）。そして、ステップＳ１２２９で取得したパスワードとして設定しようとしている文字列及びユーザ属性情報とを用いて、パスワードの複雑性評価を行う（ステップＳ１２３０）。第２の実施の形態においても、第１の実施の形態と同様ユーザ属性情報がパスワードに設定しようとしている文字列に含まれていないかという検証を含む、パスワードの複雑性を判定するためのパスワード複雑性評価が可能であり、その結果をユーザに通知することで、ユーザが設定しようとしているパスワードの複雑性をユーザに対して報知することが可能である。
【０１２５】
そして、ステップＳ１２３０では、あらかじめ設定されている複数のチェック項目夫々に対して、ステップＳ１２２１で受信したリクエストデータに含まれる文字列情報に対するチェックを行い、その結果に従いパスワードのセキュリティの度合いを示す評価値を算出することになる。
【０１２６】
その後、ステップＳ１２３０での複雑性評価による各チェック項目に対するチェック結果及びその結果算出される評価値等に応じてパスワード複雑性情報を作成し（ステップＳ１２３１）、作成したパスワード複雑性情報をウェブサーバ１０２に対して送信する（ステップＳ１２３２）。
【０１２７】
ウェブサーバ１０２のＣＰＵ２０１は、ＡＰサーバ１０３よりステップＳ１２２７で送信されたパスワード登録処理結果を受信すると（ステップＳ１２０３）、登録処理結果を含むレスポンスデータを作成し（ステップＳ１２０４）、作成したレスポンスデータをクライアント装置１０１に同期通信で送信する（ステップＳ１２０５）。
【０１２８】
また、ウェブサーバ１０２のＣＰＵ２０１は、ＡＰサーバ１０３よりステップＳ１２３２で送信されたパスワード複雑性情報を受信すると（ステップＳ１２０６）、パスワード複雑性情報を含むレスポンスデータを作成し（ステップＳ１２０７）、レスポンスデータをクライアント装置１０１に非同期通信で送信する（ステップＳ１２０８）。以上が、クライアント装置１０１のパスワード入力処理に応じてウェブサーバ１０２及びＡＰサーバ１０３により行われるパスワード複雑性評価・登録処理である。
【０１２９】
第２の実施の形態では、パスワード文字列の入力欄とユーザ属性の入力欄とが同一の画面で構成されているユーザ情報入力画面１３００を用いた場合に入力されたパスワードの複雑性評価を行う例について説明した。このように、パスワード文字列と、当該パスワード文字列の複雑性評価を行うユーザ属性が同じ画面を用いて入力される場合に、パスワード文字列が先に入力され、その後ユーザ属性情報の入力、編集が行われる可能性もある。
【０１３０】
そこで、第２の実施の形態では、パスワード入力欄に対する編集が行われた場合だけでなく、パスワードの複雑性評価に用いるユーザ情報が編集された場合にも、ウェブサーバ１０２に対して非同期通信でパスワードの複雑性評価を行うよう構成した。これにより、ユーザはパスワードの確定前、つまりパスワードの入力の最中からその複雑性を把握することが可能となり、パスワードの入力及び確定を繰り返す必要がなくなる。
【０１３１】
＜その他の実施形態＞
また、本発明の目的は、以下のようにすることによって達成される。即ち、上述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体（又は記録媒体）を、システム或いは装置に供給する。そして、そのシステム或いは装置の中央演算処理手段（ＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出し実行する。この場合、記憶媒体から読み出されたプログラムコード自体が上述した実施形態の機能を実現することになり、そのプログラムコードを記録した記憶媒体は本発明を構成することになる。
【０１３２】
また、システム或いは装置の前記中央演算処理手段が読み出したプログラムコードを実行することにより、そのプログラムコードの指示に基づき、システム或いは装置上で稼働しているオペレーティングシステム（ＯＳ）等が実際の処理の一部又は全部を行う。その処理によって上述した実施形態の機能が実現される場合も含まれる。
【０１３３】
更に、記憶媒体から読み出されたプログラムコードが、前記システム或いは装置に挿入された機能拡張カードや、接続された機能拡張ユニットに備わるメモリに書込まれたとする。その後、そのプログラムコードの指示に基づき、その機能拡張カードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部又は全部を行い、その処理によって上述した実施形態の機能が実現される場合も含まれる。
【符号の説明】
【０１３４】
１０１−１、１０１−２、１０１−３ クライアント装置
１０２ ウェブサーバ
１０３ アプリケーション（ＡＰ）サーバ
１０４ データベース（ＤＢ）サーバ
１０５ ＬＡＮ
１０６ インターネット
２０１ ＣＰＵ
２０２ ＲＡＭ
２０３ ＲＯＭ
２０４ システムバス
２０５ 入力コントローラ
２０６ ビデオコントローラ
２０７ メモリコントローラ
２０８ 通信インターフェース（Ｉ／Ｆ）コントローラ
２０９ 入力装置
２１０ ディスプレイ装置
２１１ 外部メモリ
【技術分野】
【０００１】
本発明は、ウェブアプリケーションが提供するパスワード入力画面の表示に関し、特に、ユーザが登録するパスワードの複雑性に関する情報をユーザが認識可能に表示する技術に関する。
【背景技術】
【０００２】
近年、インターネット上には無数のウェブサイトが公開され、それぞれのウェブサイトは、ウェブアプリケーションを用いた多様なウェブサービスを提供している。例えば、インターネットバンキングや、オンラインショッピングなどのウェブサービスが広く行われている。それらのウェブサービスを利用する場合には、ユーザは、それぞれのウェブサイトにユーザ登録を行う必要があり、その際には、認証に用いるパスワードの登録を行うことが一般的である。
【０００３】
このような、ウェブサイトが提供するウェブサービスは利便性が高いため、多くのユーザにとって不可欠なものとなりつつあるが、その利用に伴い、ユーザは成りすましによる不正利用など、様々なリスクに晒されることにもなる。
【０００４】
不正利用の対策は様々あるが、認証に用いるパスワードの複雑性を高めることが有効的な手段の１つとして挙げられる。例えば、パスワードを登録する際には所定の文字数以上のパスワードを設定するようにする、アルファベット及び数字の双方を必ず１字以上使用させる、等の対策をとっていることが一般的である。これによりパスワードの複雑性を高めることはできる。
【０００５】
このような、パスワードを登録する場合には、ユーザがパスワードとして用いる文字列を入力後、登録ボタンに対する押下指示を受け付けることでウェブサービスを提供するウェブサーバにパスワードが送信され、ウェブサーバは受信した文字列が、パスワードとしての登録可能要件を満たすかを判定し、登録可能要件を満たしていると判定した場合には、受信した文字列をパスワードとして登録し、満たしていないと判定した場合には、パスワードとして用いる文字列を再度ユーザに入力させることになる。
【０００６】
また、パスワードの登録に際しては、周囲から入力操作を盗み見される等の、ソーシャルエンジニアリングの危険にも晒される。このようなソーシャルエンジニアリングに対処すべく、例えば特許文献１に開示されている発明がなされている。この発明は、ユーザが入力したパスワード文字をマスクするエコー文字の文字数を複数文字とすることで、ユーザが入力したパスワードの文字数が漏洩することを防ぐためのものである。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００４−２１５６０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
パスワードの複雑性を求めようとした場合に、従来の方法では、ユーザがパスワードと使用する文字列の入力を一旦確定しなければその複雑性の判断が行われなかった。このため、ウェブサイトが要求するパスワードの複雑性を満たさない文字列の入力が行われた場合に、入力のやり直しを行わなくてはならず、ソーシャルエンジニアリングの危険にさらに晒されることになってしまう。
【０００９】
また、上述のパスワードの文字数制限や、アルファベットと数字の双方を使用するといった程度の複雑性のみを求めるのであれば、ユーザに対するパスワード制限に関する表示を容易に行うことができるが、さらなる複雑性を要求する場合には、その全ての要件をユーザに提供することは困難である。
【００１０】
この場合、一旦確定された文字列がパスワードとして不適切として判断された理由を表示してユーザに通知することが想定されるが、不適切となった原因が１つ見つかった場合に、それ以外の要件については適切／不適切の判定を行わず、それらの要件を満たすか否かの情報はユーザには通知されず、結局はトライアンドエラーを繰り返す原因になってしまうことが想定される。
【００１１】
そこで、本発明は、パスワードの登録に関し、パスワードとして用いる文字列の入力を確定させる前にユーザにウェブサイトが要求する複雑性を満たすか等、パスワードの複雑性に関する情報を表示することで、ユーザに報知可能な技術を提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記した目的を達成するために、本発明の情報処理装置は、ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置であって、前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示手段と、前記表示手段により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付手段と、前記第１の受付手段で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求手段と、前記要求手段による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得手段と、前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御手段と、を備えることを特徴とする。
【００１３】
上記した目的を達成するために、本発明の情報処理方法は、ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置による情報処理方法であって、前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示工程と、前記表示工程により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付工程と、前記第１の受付工程で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求工程と、前記要求工程による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得工程と、前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御工程と、を備えることを特徴とする。
【００１４】
上記した目的を達成するために、本発明のコンピュータプログラムは、ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置を、前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示手段と、前記表示手段により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付手段と、前記第１の受付手段で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求手段と、前記要求手段による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得手段と、前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御手段として機能させることを特徴とする。
【発明の効果】
【００１５】
本発明によれば、ユーザによるパスワード入力が完了していなくとも、ユーザが文字入力するたびに、その時点で入力されている文字列がＷｅｂアプリケーションにおいて求められているパスワードの複雑性を満たしているかを知ることが出来る。
【図面の簡単な説明】
【００１６】
【図１】本発明の情報処理システムのシステム構成の一例を示す図である。
【図２】図１に示す各装置に適用可能な情報処理装置のハードウェア構成の一例を示す図である。
【図３】図１に示す各装置の機能構成の一例を示す図である。
【図４】第１の実施形態の形態におけるユーザ情報登録処理を示すフローチャートである。
【図５】図５のステップＳ４１１のパスワードデータ入力受付処理の詳細を示すフローチャートである。
【図６】第１の実施形態におけるパスワード複雑性評価・登録処理の一例を示すフローチャートである。
【図７】ユーザ情報入力画面の構成の一例を示す図である。
【図８】パスワード入力画面の構成の一例を示す図である。
【図９】パスワード入力画面のパスワード複雑性情報表示の一例を示す図である。
【図１０】第２の実施形態におけるユーザ情報入力処理を示すフローチャートである。
【図１１】第２の実施形態におけるユーザ情報登録処理を示すフローチャートである。
【図１２】第２の実施形態におけるパスワード複雑性評価・登録処理の一例を示すフローチャートである。
【図１３】第２の実施形態におけるユーザ情報入力画面の構成の一例を示す図である。
【図１４】ユーザ情報テーブルのデータ構成の一例を示す図である。
【発明を実施するための形態】
【００１７】
以下、図面を参照して、本発明を実施するための形態の一例について説明する。
【００１８】
図１は、本発明の情報処理システムのシステム構成の一例を示す図である。図１に示すように、本発明の情報処理システムは、クライアント装置１０１−１乃至１０１−３（以下、まとめてクライアント装置１０１とする）、ウェブサーバ１０２、アプリケーションサーバ（ＡＰサーバ）１０３、データベースサーバ（ＤＢサーバ）１０４を備えて構成されている。
【００１９】
クライアント装置１０１は、ウェブサーバ１０２が提供するウェブサイトによるウェブサービスを利用するユーザが操作するコンピュータであって、インターネット１０６等の広域回線網を介してウェブサーバ１０２にアクセスし、ウェブサービスを利用する。
【００２０】
ウェブサーバ１０２は、クライアント装置１０１からの要求に応じて、ウェブサービスを提供するためのサーバ装置である。ＡＰサーバ１０３は、ウェブサーバが提供するウェブサービスで実行されるウェブアプリケーションを実行するサーバ装置であって、ウェブサーバ１０２から要求されたウェブアプリケーションを実行し、その処理結果をウェブサーバ１０２に通知する。ＤＢサーバ１０４は、ウェブサーバ１０２、ＡＰサーバ１０３が利用する各種のデータを記憶するサーバ装置である。
【００２１】
１０５はＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）であって、ウェブサーバ１０２、ＡＰサーバ１０３及びＤＢサーバ１０４を相互に通信可能に接続するためのネットワークである。
【００２２】
次に、図２を参照して、図１に示す各装置（クライアント装置１０１、ウェブサーバ１０２、ＡＰサーバ１０３及びＤＢサーバ１０４）のハードウェア構成の一例について説明する。図２は、図１に示す各装置に適用可能な情報処理装置のハードウェア構成の一例を示す図である。
【００２３】
図中、ＣＰＵ２０１は、システムバス２０４に接続される後述の各デバイスやコントローラを統括的に制御する。また、ＲＯＭ２０３あるいは外部メモリ２１１には、ＣＰＵ２０１の制御プログラムであるＢＩＯＳ（Basic Input / Output System）やオペレーティングシステムプログラム（以下、ＯＳ）や、各装置に後述する各種の処理を実行させるために必要な各種プログラムやデータ等が記憶されている。ＲＡＭ２０２は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。
【００２４】
ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＡＭ２０２にロードして、プログラムを実行することで後述する各種処理を実現するものである。また、入力コントローラ（入力Ｃ）２０５は、キーボードやポインティングデバイス等で構成される入力装置２０９からの入力を制御する。ビデオコントローラ（ＶＣ）２０６は、ディスプレイ装置２１０等の表示装置への表示を制御する。ディスプレイ装置２１０は、例えばＣＲＴディスプレイや液晶ディスプレイ等で構成される。
【００２５】
メモリコントローラ（ＭＣ）２０７は、ブートプログラム、ブラウザソフトウエア、各種のアプリケーション、フォントデータ、ユーザファイル、編集ファイル、各種データ等を記憶するハードディスク（ＨＤ）やフロッピーディスク（登録商標 ＦＤ）或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュメモリ等の外部メモリ２１１へのアクセスを制御する。
【００２６】
通信Ｉ／Ｆコントローラ（通信Ｉ／ＦＣ）２０８は、図１に示すＬＡＮ１０５やインターネット１０６等のネットワークを介して、外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いたインターネット通信等が可能である。
【００２７】
なお、ＣＰＵ２０１は、例えばＲＡＭ２０２内の表示情報用領域へアウトラインフォン
トの展開（ラスタライズ）処理を実行することにより、ディスプレイ装置２１０上での表
示を可能としている。また、ＣＰＵ２０１は、ディスプレイ装置２１０上の不図示のマウ
スカーソル等でのユーザ指示を可能とする。以上が、ハードウェア構成の説明であるが、各装置が後述する各種の処理を実行可能であれば、必ずしも図２に記載のハードウェア構成を有していなくとも構わないことは言うまでもない。
【００２８】
次に、図３を参照して、図１に示す各装置（クライアント装置１０１、ウェブサーバ１０２、ＡＰサーバ１０３、ＤＢサーバ１０４）の機能構成について説明する。図３は、図１に示す各装置が備える機能構成を示す図である。
【００２９】
図３に示す通り、クライアント装置１０１は、入力受付部３０１、表示制御部３０２、通信部３０３を備えており、通信部３０３は、同期通信部３０３−１、非同期通信部３０３−２を含む。
【００３０】
入力受付部３０１は、ウェブサーバに接続する際に用いられるＵＲＬ情報や、後述するユーザ情報入力画面７００やパスワード入力画面８００を介しての各種情報の入力を受け付ける。表示制御部３０２は、ウェブサーバ１０２より受信したレスポンスデータに従った画面表示（例えば、ユーザ情報入力画面７００やパスワード入力画面８００の表示）をウェブブラウザに対して行う。
【００３１】
通信部３０３は、ウェブサーバ１０２とＨＴＴＰ等による通信を行う。尚、同期通信部３０３−１は、ウェブサーバ１０２との間で同期通信を行う。非同期通信部３０３−２は、ＪａｖａＳｃｒｉｐｔのクラスライブラリである「ＸＭＬＨｔｔｐＲｅｑｕｅｓｔ」を用いて、ウェブサーバ１０２に非同期通信でＨＴＴＰリクエストを送る。また、当該ＨＴＴＰリクエストに応じてウェブサーバ１０２より送信されるレスポンスデータについては、非同期通信部３０３−２が提供するコールバック機能を用いて受信することになる。
【００３２】
ウェブサーバ１０２は、実行要求部３１１、応答データ生成部３１２、通信部３１３を備えており、通信部３１３は、同期通信部３１３−１、非同期通信部３１３−２を含む。
【００３３】
実行要求部３１１は、後述する通信部３１３でクライアント装置１０１から受信したＨＴＴＰリクエストデータに含まれるリクエストＵＲＬを解析することでサービスの実行要求であるかを判定し、サービス実行要求であると判定した場合には、ＡＰサーバ１０３に対してサービス実行要求を行う。例えば、リクエストＵＲＬに含まれるファイルの拡張子が「ｄｏ」である場合に、サービスの実行要求であると判定する。
【００３４】
応答データ生成部３１２は、クライアント装置１０１からのＨＴＴＰリクエストデータに対する応答データであるレスポンスデータを生成する。そして生成したレスポンスデータを通信部３１３に渡す。
【００３５】
通信部３１３は、クライアント装置１０１とＨＴＴＰを用いた通信を行うための機能部であり、同期通信部３１３−１はクライアント装置１０１の同期通信部３０３−１と、非同期通信部３１３−２は、クライアント装置１０１の非同期通信部３０３−２との通信を行う。
【００３６】
ＡＰサーバ１０３は、サービス実行部３２１、データ操作部３２２を備えており、サービス実行部３２１は実行要求受付部３２１−１、特定部３２１−２、処理実行部３２１−３を含み、データ操作部３２２は、データ取得部３２２−１、データ登録部３２２−２を含む。
【００３７】
サービス実行部３２１は、ウェブサーバ１０２からの要求に応じてＡＰサーバ１０３が提供するサービスを実行する機能部である。ＡＰサーバ１０３が提供するサービスとしては、例えばパスワード複雑性評価を行うためのパスワード検証サービスや、ユーザ情報登録サービス等がある。
【００３８】
実行要求受付部３２１−１は、ウェブサーバ１０２の実行要求部３１１からのサービスの実行要求を受け付ける機能部である。サービス特定部３２１−２は、実行要求受付部３２１−１で受け付けたサービスの実行要求に従って、実行すべきサービスを特定する。処理実行部３２１−３は、サービス特定部３２１−２で実行するサービスとして特定されたサービスを実行し、その処理結果をウェブサーバ１０２の実行要求部３１１に返す。
【００３９】
データ操作部３２２は、ＤＢサーバ１０４で管理されているユーザ情報テーブル等のデータベースを操作するための機能部であり、データ取得部３２２−１は、ＤＢサーバ１０４が管理するデータベースより、各種のデータを取得する機能部である。データ登録部３２２−２は、データベースにデータを追加する、データベースからデータを削除する、既に登録されているデータを変更する機能部である。
【００４０】
ＤＢサーバ１０４は、記憶部３３１を備えており、この記憶部３３１で後述する処理で用いられる各種データや、作成される各種データを記憶することになる。以上が図１に示す各装置の機能構成の説明である。
【００４１】
＜第１の実施の形態＞
次に、図４を参照して、クライアント装置１０１のＣＰＵ２０１、ウェブサーバ１０２のＣＰＵ２０１、及びＡＰサーバ１０３のＣＰＵによって行われる、本発明の第１の実施の形態におけるユーザ情報登録処理について説明する。本図のステップＳ４０１からＳ４１１に示す処理はクライアント装置１０１のＣＰＵ２０１によって、ステップＳ４２１からＳ４２６に示す処理はウェブサーバ１０２のＣＰＵ２０１によって、ステップＳ４４１からＳ４４４に示す処理はＡＰサーバ１０３のＣＰＵ２０１によって行われる処理である。
【００４２】
まず、クライアント装置１０１は、ユーザの入力装置２０９操作に従って、アクセスするウェブサーバ１０２を特定するためのＵＲＬ情報の入力を受け付ける（ステップＳ４０１）。そして、ステップＳ４０１で入力されたＵＲＬで特定されるウェブサーバ１０２に対して、画面要求のためにリクエストデータを送信する（ステップＳ４０２）。
【００４３】
ウェブサーバ１０２のＣＰＵ２０１は、クライアント装置１０１より送信された画面要求のためのリクエストデータを取得すると（ステップＳ４２１）、表示画面情報を含むレスポンスデータを、当該要求を行ってきたクライアント装置１０１に対して送信する（ステップＳ４２２）。
【００４４】
クライアント装置１０１のＣＰＵ２０１は、ウェブサーバ１０２から送信された表示画面情報を含むレスポンスデータを受信すると（ステップＳ４０３）、受信した表示画面情報に従って、画面表示を行う（ステップＳ４０４）。ここでは、例えば図７に示すユーザ情報入力画面７００が表示されることになる。
【００４５】
ここで、図７を参照して、ユーザ情報入力画面７００の構成について説明する。図７はユーザ情報入力画面７００の構成の一例を示す図である。
【００４６】
図７に示す通り、ユーザ情報入力画面７００は、氏名入力欄７０１、氏名（ローマ字）入力欄７０２、性別入力欄７０３、生年月日入力欄７０４、住所入力欄７０５、電話番号入力欄７０６、職業入力欄７０７、メールアドレス入力欄７０８、メールアドレス確認入力欄７０９、ログインユーザ名入力欄７１０、次（パスワード入力）へボタン７１１等を備えて構成されている。
【００４７】
ユーザは、本画面に設定されている各入力欄に自身に関する情報を、入力装置２０９を用いて夫々の入力欄に対して入力することになる。そして、入力が必須となっている全ての入力欄に対する入力を受け付けると次（パスワード入力）へボタン７１１が有効となる。尚、ログインユーザ名入力欄７１０には、ユーザが当該ウェブサービスを利用する際に用いるユーザ名の入力を受け付けることになる。
【００４８】
図４の説明に戻る。クライアント装置１０１のＣＰＵ２０１は、ステップＳ４０４で表示したユーザ情報入力画面７００を介してのユーザからのユーザ情報入力を受け付ける（ステップＳ４０５）。その後、ユーザ情報入力画面７００の次（パスワード入力）へボタン７１１の押下指示により入力される登録指示の入力を受け付けると（ステップＳ４０６でＹＥＳ）、ユーザ情報入力画面７００に対して入力されたユーザ情報を登録するためのリクエストデータを作成し、そのリクエストデータをウェブサーバ１０２に対して送信する（ステップＳ４０７）。
【００４９】
クライアント装置１０１から送信されたユーザ情報を登録のためのリクエストデータを受信すると（ステップＳ４２３）、ウェブサーバ１０２のＣＰＵ２０１は、ＡＰサーバ１０３に対してユーザ情報の登録のためのプログラムの実行要求を行う（ステップＳ４２４）。この時に合わせて、クライアント装置１０１から取得したユーザ情報をＡＰサーバ１０３に対して送信する。
【００５０】
ＡＰサーバ１０３のＣＰＵ２０１は、ウェブサーバ１０２からのユーザ登録プログラム実行要求を受け付けると（ステップＳ４４１）、ユーザ登録プログラムを実行し（ステップＳ４４２）、ＤＢサーバ１０４が備えるユーザ情報テーブル１４００にユーザ情報を登録する（ステップＳ４４３）。そしてその処理結果をＡＰサーバ１０３に送信する（ステップＳ４４４）。
【００５１】
ここで、図１４を参照して、ＤＢサーバ１０４の外部メモリ２１１に管理されているユーザ情報テーブル１４００のデータ構成について説明する。図１４は、ユーザ情報テーブル１４００のデータ構成の一例を示す図である。
【００５２】
図１４に示す通り、ユーザ情報テーブル１４００は、ユーザＩＤ１４０１、氏名１４０２、氏名（ローマ字）１４０３、性別１４０４、生年月日１４０５、住所１４０６、電話番号１４０７、職業１４０８、メールアドレス１４０９、ログインユーザ名１４１０、パスワード１４１１等のデータ項目を備えて構成されている。
【００５３】
図７の説明に戻る。ウェブサーバ１０２は、ＡＰサーバ１０３から処理結果を受け取ると（ステップＳ４２５）、ユーザ情報登録結果を示すレスポンスデータを作成し、クライアント装置１０１に送信する（ステップＳ４２６）。この時、ユーザ情報登録に成功した場合には、図８に示すパスワード入力画面８００を、失敗した場合には、不図示のエラー通知画面を表示するための画面情報を含むレスポンスデータを作成し、クライアント装置１０１に送信することになる。
【００５４】
クライアント装置１０１のＣＰＵ２０１は、ウェブサーバ１０２からのレスポンスデータを取得すると（ステップＳ４０８）、処理をステップＳ４０９に進め、取得したレスポンスデータに従った画面表示を行う。つまりは、登録処理結果に応じて、図８に示すパスワード入力画面８００若しくは、エラー通知画面の表示を行うことになる。
【００５５】
そして、登録に失敗した場合（ステップＳ４１０でＮＯ）には再度ユーザ情報入力画面７００を表示させ、ステップＳ４０５からの処理を繰り返す。一方、登録に成功した場合（ステップＳ４１０でＹＥＳ）には処理をステップＳ４１１に進め、パスワードデータ入力受付処理を行う。この処理の詳細については、図５を参照して説明することにする。以上が、図４のユーザ情報登録処理の説明である。
【００５６】
尚、本発明では、このユーザ情報登録処理でユーザにより入力された氏名や、生年月日、電話番号などの情報を用いて、パスワードの複雑性を判断することになる。例えば、パスワードとして利用する文字列に、氏名情報や、生年月日が含まれていると、他人からパスワードの推測が容易になってしまうという問題があるので、それらに使用されている文字列を使用させないようにすることで、複雑性を担保するようにしている。
【００５７】
次に、図５を参照して、図４のステップＳ４１１のパスワード入力受付処理の詳細について説明する。
【００５８】
まず、クライアント装置１０１のＣＰＵ２０１は、ディスプレイ装置２１０に表示されているパスワード入力画面８００に対するユーザ操作の監視を始める（ステップＳ５０１）。
【００５９】
ここで、図８を参照して、パスワード入力画面８００の画面構成について説明する。図８はパスワード入力画面８００の構成の一例を示す図である。
【００６０】
図８に示すように、パスワード入力画面８００には、画面初期表示時には、パスワード入力欄８０１及び登録ボタン８０２を備えて構成される。
【００６１】
パスワード入力欄８０１は、パスワードとして利用する文字列の入力を受け付ける受付欄である。本発明では、パスワード入力欄８０１の情報が編集されるたびに、クライアント装置１０１のＣＰＵ２０１は、この入力欄に入力された文字列情報を非同期通信部３０３−２によりウェブサーバ１０２に送信し、その後ＡＰサーバ１０３によって、その文字列の複雑性評価が行われることになる。そして、複雑性評価の結果をユーザに報知するための表示を本画面に行うことになる。また、このパスワード入力欄８０１は、パスワードの最大文字数より多くの文字数の入力は受け付けない。
【００６２】
登録ボタン８０２は、パスワードの入力を確定させ、ウェブサーバ１０２に対してパスワードの登録を要求するために用いられるボタンである。尚、この登録ボタンは、パスワード入力欄８０１に入力された文字列が所定の文字数ではない場合、また、複雑性評価によりパスワードとして登録するための要件を満たさないと判断された場合には、グレーアウト表示され、登録指示を行うことができないように制御される。この登録ボタンが押された場合には、クライアント装置１０１のＣＰＵ２０１は、同期通信部３０３−１によりウェブサーバ１０２に入力された文字列を送信することになる。以上が図８のパスワード入力画面８００の構成の説明である。
【００６３】
図５の説明に戻る。ユーザの操作監視中、パスワード入力欄８０１に対する操作によりパスワードの編集が行われたと判断した場合に（ステップＳ５０２でＹＥＳ）、処理をステップＳ５０３に進め、パスワード入力欄８０１に表示する文字数を変更する。尚、このパスワード入力欄には、どのような文字列が入力されたかを理解できないようにするために、入力された文字ではなく、「＊」等をマスク文字として利用する。であるので、このステップＳ５０３では「＊」の表示数を変更する処理が行われることになる。パスワード編集が行われていないと判断した場合には（ステップＳ５０２でＮＯ）、処理をステップＳ５１６に進める。
【００６４】
その後、パスワード入力欄８０１に入力された文字数が所定数以上であるかを判断し（ステップＳ５０４）、所定数以上ではないと判断した場合には（ステップＳ５０４でＮＯ）、処理をステップＳ５０５に進め、登録ボタン８０２を無効し、グレーアウト表示する。
【００６５】
その後、入力された文字列に対してパスワード複雑性評価処理結果を示すパスワード複雑性表示がパスワード入力画面８００にされている場合には（ステップ５０６でＹＥＳ）、その表示を消去する（ステップＳ５０７）。
【００６６】
ステップＳ５０４の判定処理で、パスワード入力欄８０１に入力された文字数が所定数以上であると判定した場合には、処理をステップＳ５０８に進め、パスワード複雑性評価要求のリクエストデータを作成し、作成したリクエストデータをウェブサーバ１０２に対して非同期通信機能を用いて送信する（ステップＳ５０９）。この時、ユーザによる明示的な指示を行う必要はなく、クライアント装置１０１のＣＰＵ２０１がパスワード入力欄の入力内容に変更がされたと判定すると、自動的にこの処理を行うことになる。
【００６７】
その後、ステップＳ５０９のリクエストデータに対する応答データであるレスポンスデータの受信待ち状態になる。その間、ＣＰＵ２０１は他の処理を実行することが可能である。そして、ウェブサーバ１０２の非同期通信機能を用いて送信されたレスポンスデータを受信したと判断すると（ステップＳ５１０でＹＥＳ）、処理をステップＳ５１１に進め、レスポンスデータに含まれるパスワード複雑性情報を取得する。そして、パスワード複雑性情報に従って、ディスプレイ装置２１０に表示されているパスワード入力画面にパスワード複雑性情報を示す複雑性表示を行う（ステップＳ５１２）。この時、パスワード入力画面全体の表示情報をリフレッシュするのではなく、表示変更を行う必要がある部分のみ表示の更新が行われる。
【００６８】
そして、ステップＳ５１１で取得したパスワード複雑性情報に従い、現在入力中のパスワードを登録可能であるかを判定し、パスワードの登録要件を満たし登録可能であると判定した場合には（ステップＳ５１３でＹＥＳ）、登録ボタンを有効にする（ステップＳ５１４）。一方、パスワードの登録要件を満たさないと判定した場合には（ステップＳ５１３でＮＯ）、登録ボタンを無効にする（ステップＳ５１５）。そして、ステップＳ５０１に処理を移行させる。
【００６９】
ステップＳ５０２の判定処理でユーザから受け付けた操作がパスワード編集操作ではないと判定した場合には（ステップＳ５０２でＮＯ）、処理をステップＳ５１６に進め、登録ボタン８０２の押下指示をＣＰＵ２０１が、登録ボタンの押下指示を受け付けたかを判定する。ＣＰＵ２０１が、登録ボタン８０２の押下指示を受け付けたと判定した場合には（ステップＳ５１６でＹＥＳ）、パスワード文字列を含む当該パスワード文字列を含むパスワード登録要求のリクエストデータを作成し（ステップＳ５１７）、作成したリクエストデータをウェブサーバ１０２に同期通信で送信する（ステップＳ５１８）そして、その後ウェブサーバからのレスポンスデータを受信し（ステップＳ５１９）、当該レスポンスデータに応じた画面表示を行い、本処理を終了する。
【００７０】
ステップＳ５１６で登録ボタンに対する押下指示を受け付けていないと判定した場合には（ステップＳ５１６でＮＯ）、終了指示を受け付けたかを判定する（ステップＳ５２０）。ステップＳ５２０で終了指示を受け付けたと判定した場合には（ステップＳ５２０でＹＥＳ）、パスワード登録処理を行うことなく本処理を終了する。一方、登録ボタンの押下指示も終了指示も受け付けていない場合にはステップＳ５０１に処理を進め、それ以降の処理を繰り返し行うことになる。以上がクライアント装置１０１によって行われるパスワードデータ入力受付処理の詳細である。
【００７１】
次に、図６を参照して、クライアント装置１０１でのパスワードデータ入力受付処理に応じてウェブサーバ１０２及びＡＰサーバ１０３によって行われるパスワード複雑性評価・登録処理について説明する。
【００７２】
まず、ウェブサーバ１０２のＣＰＵ２０１は、クライアント装置１０１からのリクエストデータを受信すると（ステップＳ６０１）、該受信したリクエストデータをＡＰサーバ１０３に転送する（ステップＳ６０２）。ウェブサーバ１０２がステップＳ６０１でクライアント装置１０１から受信するリクエストデータとしては、図５のステップＳ５０９で送信されたパスワード複雑性評価要求のリクエストデータ（非同期通信）、図５のステップＳ５１８で送信されたパスワード登録要求のリクエストデータ（同期通信）があげられる。
【００７３】
ＡＰサーバ１０３のＣＰＵ２０１は、ウェブサーバ１０２からリクエストデータを転送されると（ステップＳ６２１）、転送されたリクエストデータの種類を特定する。ＡＰサーバ１０３は、特定されたリクエストデータの種類によって、実行するサービスを特定する（ステップＳ６２２）ことになる。
【００７４】
ウェブサーバ１０２より転送されたリクエストデータがパスワード登録要求のリクエストデータであると判定した場合には（ステップＳ６２３で「登録」）、パスワードを登録するためのサービスを実行し（ステップＳ６２４）、ＤＢサーバ１０４が記憶しているユーザ情報テーブル１４００にパスワードを追加登録する（ステップＳ６２５）。そして、その処理結果をＤＢサーバ１０４より受信し（ステップＳ６２６）、ウェブサーバ１０２に送信する（ステップＳ６２７）。
【００７５】
一方で、ステップＳ６２３でパスワードの複雑性評価要求のリクエストデータであると判定した場合には、パスワード検証サービスを実行し（ステップＳ６２８）、検証に必要なユーザ情報をＤＢサーバが管理しているユーザ情報テーブル１４００から取得する（ステップＳ６２９）。そして、複雑性評価要求のリクエストデータに含まれる入力中の文字列情報と、ステップＳ６２９で取得したユーザ情報とを用いて、パスワード検証を行う（ステップＳ６３０）。本発明では、ユーザ情報を用いてパスワード検証を検証することが可能であるので、次に示すようなパスワード検証を行うことができる。
【００７６】
・パスワードにユーザの生年月日が含まれていないか。
・パスワードにユーザの氏名の一部が含まれていないか。
・パスワードにユーザの電話番号が含まれていないか。
・パスワードがユーザのメールアドレスのアカウントと同一ではないか。
【００７７】
また、ユーザ情報を用いたパスワード検証以外にも次に示すパスワード検証を合わせて行うことが可能である。
【００７８】
・パスワードにアルファベット、数字が夫々含まれているか。
・パスワードに英数文字以外（例えば％、＠等）が含まれているか。
【００７９】
そして、ステップＳ６３０では、上記のような複数のチェック項目夫々に対して、ステップＳ６２１で受信したリクエストデータに含まれる文字列情報に対するチェックを行い、その結果に従いパスワードの複雑性の度合いを示す評価値を算出することになる。例えば、パスワードにユーザの生年月日が含まれている場合には−３０、氏名の一部が含まれている場合には−２０、パスワードにアルファベット、数字の双方が含まれている場合には＋２０等、各チェック項目に値を設定しておき、それらの合計することで評価値を算出するなどの手法をとればよい。
【００８０】
その後、ステップＳ６３０での複雑性評価により算出される評価値に応じてパスワード複雑性情報を作成し（ステップＳ６３１）、作成したパスワード複雑性情報をウェブサーバ１０２に対して送信する（ステップＳ６３２）。
【００８１】
ウェブサーバ１０２のＣＰＵ２０１は、ＡＰサーバ１０３よりステップＳ６２７で送信されたパスワード登録処理結果を受信する（ステップＳ６０３）と、登録処理結果を含むレスポンスデータを作成し（ステップＳ６０４）、作成したレスポンスデータをクライアント装置１０１に同期通信で送信する（ステップＳ６０５）。
【００８２】
また、ウェブサーバ１０２のＣＰＵ２０１は、ＡＰサーバ１０３よりステップＳ６３２で送信されたパスワード複雑性情報を受信すると（ステップＳ６０６）、パスワード複雑性情報を含むレスポンスデータを作成し（ステップＳ６０７）、レスポンスデータをクライアント装置１０１に非同期通信で送信する（ステップＳ６０８）。以上が、クライアント装置１０１のパスワード入力処理に応じてウェブサーバ１０２及びＡＰサーバ１０３により行われるパスワード複雑性評価・登録処理である。
【００８３】
ここで、図９を参照して、図５に示すパスワードデータ入力受付処理が行われている間に表示されるパスワード入力画面８００のパスワード複雑性表示の一例について説明する。
【００８４】
図９の（１）は、パスワードとして登録不可の文字列が入力された場合のパスワード複雑性表示の一例を示している。図９の（１）に示すように、パスワードとして登録できない文字列が入力された場合には、例えばパスワード入力欄の背景色を変える等、通常の表示と異ならせるとともに、どのような禁止条件に合致しているかをメッセージ表示部９０２−１に表示する。これによりユーザは、パスワードの危険度合いや、どの禁止条件に合致しているかを認識することが可能となる。
【００８５】
一方、パスワードとして登録可能な文字列が入力された場合には、図９の（２）に示すようにパスワードとして登録可能である旨の表示をメッセージ表示部９０２−２に表示する。
【００８６】
また、本発明では、単にパスワードとして登録可能／不可能だけでなく、パスワードとして適切かを示す評価値に基づいて、パスワード入力部の背景表示を切り替える。
【００８７】
例えば、以下の条件でパスワードの登録が可能であるとする。
・パスワードに姓、名が含まれない。
・パスワードに生年月日が含まれない。
・パスワードは８文字以上１６文字以下。
・パスワードには必ず英字、数字が１字以上含まれる。
【００８８】
このような条件のもと、１９８０年５月９日生まれの山田太郎さんがパスワードを登録しようとして、「１２３４５ＡＢＣ」や「１ｑａｚ２ｗｓｘ」、「ｙａｍａ０００１」等を入力した場合に、これらは登録が可能であると判断する。
【００８９】
しかし、「１２３４ＡＢＣＤ」は、数字、英字ともに最初の文字から順に４字ずつ入力したものであり、入力に法則性があるので必ずしもパスワードとして適切であるとは言えない。
【００９０】
また、「１ｑａｚ２ｗｓｘ」は一見法則性がないようにも見えるが、キーボード配列の左２列に設定されている文字を順に入力しているだけであるので、この文字列にも一定の法則性があるといえる。
【００９１】
また、「ｙａｍａ０００１」のような文字列を入力された場合にも、姓の全てが含まれているわけではないが、その一部（ｙａｍａ）が用いられているので、他人に推測される可能性は、法則性がない文字列よりも高いといえる。
【００９２】
上記のように、法則性がある文字列や個人情報の一部を用いている文字列は、法則性がない文字列と比較して、他人から推測される危険性が高いといえるので、これらの文字列が入力された場合には、パスワードとして登録は可能であるがリスクが高いパスワードであることをユーザに報知するようにする。このようなことを行えるようにするために、パスワード検証サービスにおいて、このような法則性のチェックも合わせて行うことになる。
【００９３】
そのために、例えばパスワード登録が不可能な文字列の場合には、登録ボタンをグレーアウトするとともに、背景色を赤くしてユーザにパスワード登録をできないことを認識させる様に表示制御する。
【００９４】
法則性がある文字列が入力された場合には、あらかじめ設定されているルールに従って、その危険度合い示す評価値が算出されるので、その危険度合いをユーザに認識させるようにする。例えば、個人情報の一部が含まれている等、非常に危険性度合いが高いと思われる場合には「橙」、入力された文字列に法則性がある等、比較的危険度合いが高い場合には「黄」、その他危険度合いに応じて「緑」、「青」といったようにパスワードの入力欄の背景色を変えることにより、その危険度合いを報知すれば良い。
【００９５】
本発明では、登録ボタンが押されることでパスワード文字列の確定を行う前に、パスワードの危険度合いをユーザに報知するためのパスワード複雑性情報を表示するので、ユーザはその情報に応じて危険度合いを確認しながらパスワードの設定を行うことが可能となる。
【００９６】
＜第２の実施の形態＞
以下、図１０、図１１を参照して、クライアント装置１０１のＣＰＵ２０１によって行われる本発明の第２の実施の形態におけるユーザ情報入力処理（図１０）、ユーザ情報登録処理（図１１）について説明する。尚、この処理に応じてウェブサーバ１０２及びＡＰサーバ１０３によって行われる処理は、別途図１２を参照して説明する。
【００９７】
第１の実施の形態におけるユーザ情報登録処理では、ユーザ情報を入力するための画面（ユーザ情報入力画面７００）と、パスワード情報を入力するための画面（パスワード入力画面８００）とを別の画面にする例について説明したが、第２の実施の形態では、同一の画面で入力する場合について説明する。
【００９８】
まず、ＣＰＵ２０１は、ディスプレイ装置２１０に図１３に示すユーザ情報入力画面１３００を表示する（ステップＳ１００１）。この画面を表示するために用いられるＨＴＭＬデータはウェブサーバ１０２に保存されており、クライアント装置１０１は、ウェブサーバ１０２に対して本画面を表示するための情報を要求することになる。
【００９９】
ここで、図１３を参照して、第２の実施の形態におけるユーザ情報入力画面について説明する。図１３はユーザ情報入力画面の構成の一例を示す図である。
【０１００】
図１３に示す通り、ユーザ情報入力画面１３００は、氏名入力欄１３０１、氏名（ローマ字）入力欄１３０２、性別入力欄１３０３、生年月日入力欄１３０４、住所入力欄１３０５、電話番号入力欄１３０６、職業入力欄１３０７、メールアドレス入力欄１３０８、メールアドレス確認入力欄１３０９、ログインユーザ名入力欄１３１０、パスワード入力欄１３１１、登録ボタン１３１２等を備えて構成されている。
【０１０１】
ユーザは、本画面に設定されている各入力欄に自身に関するユーザ属性情報を、入力装置２０９を用いて夫々の入力欄に入力することになる。尚、この入力項目の内、複数の項目（例えば、氏名、生年月日、メールアドレス等）についてはパスワードの複雑性評価に用いる項目として設定されている。この画面を表示するＨＴＭＬデータには、複雑性評価に用いる項目として設定されている項目に対する編集処理、パスワード入力欄に対する編集処理が行われた場合に、非同期通信でそれらの入力欄に入力された情報をウェブサーバ１０２に送信するようなスクリプトが定義されている。そして、入力情報が送信されると、パスワードの複雑性評価が行われることになる。
【０１０２】
図１０の説明に戻る。ユーザ情報入力画面１３００をディスプレイ装置に表示後、当該画面に設定されている各種の入力欄等に対するユーザの入力装置２０９を介した操作を監視することになる（ステップＳ１００２）。
【０１０３】
そして、ユーザ情報（パスワードを含む）の編集指示を受け付けたかを判定し（ステップＳ１００３）、ユーザ情報の編集指示を受けたと判定した場合（ステップＳ１００３でＹＥＳ）には、処理をステップＳ１００４に、ユーザ情報の編集指示以外の指示を受け付けたと判定した場合（ステップＳ１００３でＮＯ）には処理を図１１のステップＳ１１０１に進める。
【０１０４】
ステップＳ１００４では、パスワード入力欄に対する編集指示が行われたかを判定する。パスワード入力欄に対する編集指示が行われたと判定した場合には（ステップＳ１００４でＹＥＳ）、処理をステップＳ１００７に進める。一方、パスワード以外の入力欄に対する編集指示が行われたと判定した場合には（ステップＳ１００４でＮＯ）、処理をステップＳ１００５に進め、編集指示を受け付けた入力欄の表示の更新を行う。
【０１０５】
そして、ステップＳ１００５の処理後、編集指示はパスワード複雑性評価に用いる属性情報に対する編集処理を受け付けたと判定した場合には（ステップＳ１００６でＹＥＳ）、処理をステップＳ１００８に、一方、編集処理を受け付けたのはセキュリティ判定に用いる属性項目ではないと判定した場合には（ステップＳ１００６でＮＯ）、処理をステップＳ１００２に戻す。
【０１０６】
ステップＳ１００４の判定処理でパスワード入力欄に対して編集指示を受け付けたと判定した場合には（ステップＳ１００４でＹＥＳ）、パスワード入力欄の表示を更新する（ステップＳ１００７）。
【０１０７】
そして、ステップＳ１００７の処理終了後、または、ステップＳ１００６でＹＥＳと判定した場合には、パスワード入力欄１３１１に入力されている文字数が所定の文字数（パスワードの最低文字数）以上であるかを判定し（ステップＳ１００８）、所定文字数以上であると判定した場合には（ステップＳ１００８でＹＥＳ）、パスワード入力欄１３１１に入力されているパスワード情報及びパスワードの複雑性評価に使用する属性として設定されているユーザ属性の情報をユーザ情報入力画面より取得し（ステップＳ１００９）、その後、ステップＳ１００９で取得した各種の情報を含むパスワードの複雑性評価要求のリクエストデータを作成し（ステップＳ１０１０）、非同期通信部３０３−２により、作成したリクエストデータをウェブサーバ１０２に対して送信する（ステップＳ１０１１）。ウェブサーバ１０２では、このリクエストデータに応じたパスワード複雑性評価処理を行うことになる。この処理については図１２を参照して後述する。
【０１０８】
クライアント装置１０１はリクエストデータ送信後、ウェブサーバ１０２よりステップＳ１０１１で送信したリクエストデータに対する応答データであるレスポンスデータを非同期通信部３０３−２が受信すると（ステップＳ１０１２でＹＥＳ）、処理をステップＳ１０１３に進め、レスポンスデータに含まれるパスワード複雑性情報に応じたパスワード複雑性表示を行う（ステップＳ１０１３）。
【０１０９】
ステップＳ１００８で所定の文字数未満である（ＮＯ）と判定した場合には、処理をステップＳ１０１４に進め、既にパスワード複雑性表示が行われているかを判定する。パスワード複雑性表示が行われている場合には、編集に伴うパスワード情報の複雑性評価が行われなかったため処理をステップＳ１０１５に進め、前回の評価結果であるパスワード複雑性表示を消去することになる。そして、ステップＳ１０１３または、ステップＳ１０１５の処理終了後、処理をステップＳ１００２に戻し、それ以降の処理を繰り返し行うことになる。
【０１１０】
図１０のステップＳ１００３で、ユーザより受け付けた操作がユーザ情報の編集処理ではないと判定した場合には（ＮＯ）、処理を図１１のステップＳ１１０１に進める。
【０１１１】
クライアント装置１０１のＣＰＵ２０１は、ステップＳ１１０１において、ユーザより図１３の登録ボタン１３１２に対する押下指示を受け付けたかを判定する（ステップＳ１１０１）。登録ボタンに対する押下指示を受け付けた（ＹＥＳ）と判定した場合には処理をステップＳ１１０２に、受け付けていない（ＮＯ）と判定した場合には、処理をステップＳ１１１０に進める。
【０１１２】
クライアント装置１０１のＣＰＵ２０１は、ステップＳ１１０２において、ユーザ情報入力画面１３００中で入力が必須であるとされている項目の全てに入力が行われているかを判定する。この処理は、ユーザ情報入力画面１３００の表示に用いられるＨＴＭＬデータ中に登録ボタン１３１２に対する押下指示がなされた場合に実行するスクリプトが設定されており、そのスクリプトを実行することで判定処理を行うことになる。このスクリプトにより、入力必須項目とされている属性情報それぞれがブランクでないかを判定する処理を行う。
【０１１３】
入力必須項目とされている属性情報を入力する入力欄に全て入力がなされている（ＹＥＳ）と判定した場合には、処理をステップＳ１１０３に、入力がされていない入力必須項目があると判定した場合には、処理をステップＳ１１０９に進める。
【０１１４】
ステップＳ１１０３では、パスワード入力欄１３１１に入力されているパスワード情報が登録可能であるかをウェブサーバ１０２から受信したパスワード複雑性情報に従って判定する。パスワードが登録可能である（ＹＥＳ）と判定した場合には処理をステップＳ１１０４に、登録不可である（ＮＯ）と判定した場合には処理をステップＳ１１０９に進める。
【０１１５】
ステップＳ１１０３でＹＥＳと判定すると、クライアント装置１０１のＣＰＵ２０１は、ユーザ情報入力画面１３００の各種入力部に入力された情報を取得し（ステップＳ１１０４）、該取得した入力情報を含む、ユーザ情報登録要求のためのリクエストデータを作成し（ステップＳ１１０５）、そのリクエストデータを同期通信部３０３−１よりウェブサーバ１０２に対して送信する（ステップＳ１１０６）。このリクエストデータに応答してウェブサーバ１０２によって行われる処理については、図１２を参照して説明する。
【０１１６】
そして、ステップＳ１１０６でウェブサーバ１０２に送信したリクエストデータに応じた処理を行った結果ウェブサーバ１０２より送信されたレスポンスデータを取得すると（ステップＳ１１０７）、そのレスポンスデータに応じて登録処理結果をディスプレイ装置２１０に表示する（ステップＳ１１０８）。
【０１１７】
ステップＳ１１０２、Ｓ１１０３でＮＯと判定した場合には、処理をステップＳ１１０９に進め、警告メッセージを表示する。ステップＳ１１０２でＮＯと判定した場合には、必須の入力項目に対する入力がされていないことを示す警告メッセージを、ステップＳ１１０３でＮＯと判定した場合には、パスワード入力欄１３１１に入力された文字列がパスワードとして登録できないことを示す警告メッセージを表示する。
【０１１８】
ステップＳ１１０１で登録ボタンの押下指示を受け付けていないと判定した場合には処理をステップＳ１１１０に進め、終了指示を受け付けたかを判定する。終了指示を受け付けていないと判定した場合には処理を図１０のステップＳ１００２に進める。一方、終了指示を受け付けた場合には本処理を終了することになる。
【０１１９】
次に、図１２を参照して、クライアント装置１０１によって行われるユーザ情報入力処理（図１０）、ユーザ情報登録処理（図１１）に応じて、ウェブサーバ１０２、ＡＰサーバ１０３によって行われるパスワード複雑性評価・登録処理について説明する。
【０１２０】
まず、ウェブサーバ１０２のＣＰＵ２０１は、クライアント装置１０１からのリクエストデータを受信すると（ステップＳ１２０１）、該受信したリクエストデータをＡＰサーバ１０３に転送する（ステップＳ１２０２）。ウェブサーバ１０２がステップＳ１２０１でクライアント装置１０１から受信するリクエストデータとしては、図１０のステップＳ１０１１で送信されたパスワード複雑性評価要求のリクエストデータ（非同期通信）、図１１のステップＳ１１０６で送信されたパスワード登録要求のリクエストデータがあげられる。
【０１２１】
ＡＰサーバ１０３のＣＰＵ２０１は、ウェブサーバ１０２からリクエストデータを転送されると（ステップＳ１２２１）、転送されたリクエストデータの種類を特定する。ＡＰサーバ１０３は、特定されたリクエストデータの種類によって、実行するサービスを特定することになる（ステップＳ１２２２）。
【０１２２】
ウェブサーバ１０２より転送されたリクエストデータがパスワード登録要求のリクエストデータであると判定した場合には（ステップＳ１２２３で登録）、パスワードを登録するためのサービスを実行し（ステップＳ１２２４）、ＤＢサーバ１０４が記憶しているユーザ情報テーブル１４００にパスワードを追加登録する（ステップＳ１２２５）。そして、その処理結果をＤＢサーバより受信し（ステップＳ１２２６）、ウェブサーバ１０２に送信する（ステップＳ１２２７）。
【０１２３】
一方で、ステップＳ１２２３でパスワードの複雑性評価要求のリクエストデータであると判定した場合には、パスワード検証サービスを実行する（ステップＳ１２２８）。
【０１２４】
パスワード検証に必要となるパスワードとして設定しようとしている文字列やユーザ属性情報は、ステップＳ１２２１でウェブサーバ１０２から受信したリクエストデータに含まれているので、ＡＰサーバ１０３のＣＰＵ２０１は、リクエストデータからパスワード複雑性評価に必要となる各種のデータを取得する（ステップＳ１２２９）。そして、ステップＳ１２２９で取得したパスワードとして設定しようとしている文字列及びユーザ属性情報とを用いて、パスワードの複雑性評価を行う（ステップＳ１２３０）。第２の実施の形態においても、第１の実施の形態と同様ユーザ属性情報がパスワードに設定しようとしている文字列に含まれていないかという検証を含む、パスワードの複雑性を判定するためのパスワード複雑性評価が可能であり、その結果をユーザに通知することで、ユーザが設定しようとしているパスワードの複雑性をユーザに対して報知することが可能である。
【０１２５】
そして、ステップＳ１２３０では、あらかじめ設定されている複数のチェック項目夫々に対して、ステップＳ１２２１で受信したリクエストデータに含まれる文字列情報に対するチェックを行い、その結果に従いパスワードのセキュリティの度合いを示す評価値を算出することになる。
【０１２６】
その後、ステップＳ１２３０での複雑性評価による各チェック項目に対するチェック結果及びその結果算出される評価値等に応じてパスワード複雑性情報を作成し（ステップＳ１２３１）、作成したパスワード複雑性情報をウェブサーバ１０２に対して送信する（ステップＳ１２３２）。
【０１２７】
ウェブサーバ１０２のＣＰＵ２０１は、ＡＰサーバ１０３よりステップＳ１２２７で送信されたパスワード登録処理結果を受信すると（ステップＳ１２０３）、登録処理結果を含むレスポンスデータを作成し（ステップＳ１２０４）、作成したレスポンスデータをクライアント装置１０１に同期通信で送信する（ステップＳ１２０５）。
【０１２８】
また、ウェブサーバ１０２のＣＰＵ２０１は、ＡＰサーバ１０３よりステップＳ１２３２で送信されたパスワード複雑性情報を受信すると（ステップＳ１２０６）、パスワード複雑性情報を含むレスポンスデータを作成し（ステップＳ１２０７）、レスポンスデータをクライアント装置１０１に非同期通信で送信する（ステップＳ１２０８）。以上が、クライアント装置１０１のパスワード入力処理に応じてウェブサーバ１０２及びＡＰサーバ１０３により行われるパスワード複雑性評価・登録処理である。
【０１２９】
第２の実施の形態では、パスワード文字列の入力欄とユーザ属性の入力欄とが同一の画面で構成されているユーザ情報入力画面１３００を用いた場合に入力されたパスワードの複雑性評価を行う例について説明した。このように、パスワード文字列と、当該パスワード文字列の複雑性評価を行うユーザ属性が同じ画面を用いて入力される場合に、パスワード文字列が先に入力され、その後ユーザ属性情報の入力、編集が行われる可能性もある。
【０１３０】
そこで、第２の実施の形態では、パスワード入力欄に対する編集が行われた場合だけでなく、パスワードの複雑性評価に用いるユーザ情報が編集された場合にも、ウェブサーバ１０２に対して非同期通信でパスワードの複雑性評価を行うよう構成した。これにより、ユーザはパスワードの確定前、つまりパスワードの入力の最中からその複雑性を把握することが可能となり、パスワードの入力及び確定を繰り返す必要がなくなる。
【０１３１】
＜その他の実施形態＞
また、本発明の目的は、以下のようにすることによって達成される。即ち、上述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体（又は記録媒体）を、システム或いは装置に供給する。そして、そのシステム或いは装置の中央演算処理手段（ＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出し実行する。この場合、記憶媒体から読み出されたプログラムコード自体が上述した実施形態の機能を実現することになり、そのプログラムコードを記録した記憶媒体は本発明を構成することになる。
【０１３２】
また、システム或いは装置の前記中央演算処理手段が読み出したプログラムコードを実行することにより、そのプログラムコードの指示に基づき、システム或いは装置上で稼働しているオペレーティングシステム（ＯＳ）等が実際の処理の一部又は全部を行う。その処理によって上述した実施形態の機能が実現される場合も含まれる。
【０１３３】
更に、記憶媒体から読み出されたプログラムコードが、前記システム或いは装置に挿入された機能拡張カードや、接続された機能拡張ユニットに備わるメモリに書込まれたとする。その後、そのプログラムコードの指示に基づき、その機能拡張カードや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部又は全部を行い、その処理によって上述した実施形態の機能が実現される場合も含まれる。
【符号の説明】
【０１３４】
１０１−１、１０１−２、１０１−３ クライアント装置
１０２ ウェブサーバ
１０３ アプリケーション（ＡＰ）サーバ
１０４ データベース（ＤＢ）サーバ
１０５ ＬＡＮ
１０６ インターネット
２０１ ＣＰＵ
２０２ ＲＡＭ
２０３ ＲＯＭ
２０４ システムバス
２０５ 入力コントローラ
２０６ ビデオコントローラ
２０７ メモリコントローラ
２０８ 通信インターフェース（Ｉ／Ｆ）コントローラ
２０９ 入力装置
２１０ ディスプレイ装置
２１１ 外部メモリ
【特許請求の範囲】
【請求項１】
ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置であって、
前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示手段と、
前記表示手段により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付手段と、
前記第１の受付手段で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求手段と、
前記要求手段による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得手段と、
前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御手段と、
を備えることを特徴とする情報処理装置。
【請求項２】
前記要求手段は、前記第１の領域に対して特定の文字数以上の入力がなされた場合に評価情報の作成要求をサーバ装置に対して行うこと
を特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記画面には、前記パスワードの複雑性の評価に用いられるユーザ情報の入力を受け付ける第２の入力領域がさらに含まれ、
前記要求手段はさらに、前記第２の入力領域に対する編集指示を受け付けることに応じて、さらに第２の入力領域に入力されたユーザ情報も合わせてサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行うこと
を特徴とする請求項１または２に記載の情報処理装置。
【請求項４】
前記表示制御手段は、前記第１の入力領域の表示の背景色表示により、ユーザに対してパスワードの複雑性の度合いを示す情報を表示すること
を特徴とする請求項１乃至３のいずれか１項に記載の情報処理装置。
【請求項５】
ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置による情報処理方法であって、
前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示工程と、
前記表示工程により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付工程と、
前記第１の受付工程で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求工程と、
前記要求工程による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得工程と、
前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御工程と、
を備えることを特徴とする情報処理方法。
【請求項６】
ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置を、
前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示手段と、
前記表示手段により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付手段と、
前記第１の受付手段で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求手段と、
前記要求手段による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得手段と、
前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御手段
として機能させることを特徴とするコンピュータプログラム。
【請求項１】
ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置であって、
前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示手段と、
前記表示手段により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付手段と、
前記第１の受付手段で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求手段と、
前記要求手段による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得手段と、
前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御手段と、
を備えることを特徴とする情報処理装置。
【請求項２】
前記要求手段は、前記第１の領域に対して特定の文字数以上の入力がなされた場合に評価情報の作成要求をサーバ装置に対して行うこと
を特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記画面には、前記パスワードの複雑性の評価に用いられるユーザ情報の入力を受け付ける第２の入力領域がさらに含まれ、
前記要求手段はさらに、前記第２の入力領域に対する編集指示を受け付けることに応じて、さらに第２の入力領域に入力されたユーザ情報も合わせてサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行うこと
を特徴とする請求項１または２に記載の情報処理装置。
【請求項４】
前記表示制御手段は、前記第１の入力領域の表示の背景色表示により、ユーザに対してパスワードの複雑性の度合いを示す情報を表示すること
を特徴とする請求項１乃至３のいずれか１項に記載の情報処理装置。
【請求項５】
ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置による情報処理方法であって、
前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示工程と、
前記表示工程により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付工程と、
前記第１の受付工程で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求工程と、
前記要求工程による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得工程と、
前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御工程と、
を備えることを特徴とする情報処理方法。
【請求項６】
ユーザの認証処理に用いるパスワードの入力を受け付ける情報処理装置を、
前記パスワードの入力を受け付ける第１の入力領域を含む入力画面を表示する表示手段と、
前記表示手段により表示された前記入力画面に含まれる前記第１の入力領域に対するパスワードの入力を受け付ける第１の受付手段と、
前記第１の受付手段で前記第１の入力領域に対するパスワード入力を受け付けることに応じて、該入力されたパスワードをサーバ装置に送信することで、前記第１の入力領域に対して入力されたパスワードの複雑性の度合いをユーザに報知するための評価情報の作成要求をサーバ装置に対して行う要求手段と、
前記要求手段による評価情報の作成要求に応じてサーバ装置で作成される評価情報を取得する取得手段と、
前記評価情報に応じて、ユーザに対してパスワードの複雑性の度合いを示す情報を表示する表示制御手段
として機能させることを特徴とするコンピュータプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２０１２−８３９１７（Ｐ２０１２−８３９１７Ａ）
【公開日】平成２４年４月２６日（２０１２．４．２６）
【国際特許分類】
【出願番号】特願２０１０−２２８９４０（Ｐ２０１０−２２８９４０）
【出願日】平成２２年１０月８日（２０１０．１０．８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．コンパクトフラッシュ
【出願人】（３９０００２７６１）キヤノンマーケティングジャパン株式会社 (656)
【出願人】（３１２０００２０６）キヤノンＭＪアイティグループホールディングス株式会社 (259)
【出願人】（５９２１３５２０３）キヤノンＩＴソリューションズ株式会社 (528)
【Ｆターム（参考）】
【公開日】平成２４年４月２６日（２０１２．４．２６）
【国際特許分類】
【出願日】平成２２年１０月８日（２０１０．１０．８）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．コンパクトフラッシュ
【出願人】（３９０００２７６１）キヤノンマーケティングジャパン株式会社 (656)
【出願人】（３１２０００２０６）キヤノンＭＪアイティグループホールディングス株式会社 (259)
【出願人】（５９２１３５２０３）キヤノンＩＴソリューションズ株式会社 (528)
【Ｆターム（参考）】
[ Back to top ]