情報処理装置及び情報処理方法
【課題】ユーザにおける負担が増すことなく、かつサーバ側において登録ユーザの認証情報を保持することなく認証を行うための情報処理装置及び情報処理方法を提供する。
【解決手段】クライアントから送信された登録情報を受信する登録情報受信手段と、登録情報を含むＵＲＬを生成するＵＲＬ生成手段と、ＵＲＬをクライアントへと通知するＵＲＬ通知手段と、クライアントからＵＲＬを受信し、クライアントにＵＲＬに対応するログイン画面を表示させるとともに登録情報をＵＲＬから抽出するログインＵＲＬ処理手段と、クライアントから送信された第２の登録情報を含む認証要求を受信する認証要求受信手段と、登録情報と第２の登録情報とが一致するか否かによりクライアントの認証の可否を判断する認証実行手段とを有することを特徴とする情報処理装置。
【解決手段】クライアントから送信された登録情報を受信する登録情報受信手段と、登録情報を含むＵＲＬを生成するＵＲＬ生成手段と、ＵＲＬをクライアントへと通知するＵＲＬ通知手段と、クライアントからＵＲＬを受信し、クライアントにＵＲＬに対応するログイン画面を表示させるとともに登録情報をＵＲＬから抽出するログインＵＲＬ処理手段と、クライアントから送信された第２の登録情報を含む認証要求を受信する認証要求受信手段と、登録情報と第２の登録情報とが一致するか否かによりクライアントの認証の可否を判断する認証実行手段とを有することを特徴とする情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証を行う装置及び方法に関し、より詳細には、セキュリティを高めてシステムにおいてクライアントの認証を行う装置及び方法に関する。
【背景技術】
【０００２】
従来、サーバとクライアントとを備えるシステムにおいて、クライアントを使用するユーザの認証を行なうには、ユーザのＩＤとパスワードとの組み合わせなどの認証情報をサーバに記憶しておき、クライアントから送信された認証情報と、サーバに記憶している認証情報と、を比較することが行なわれている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−３１０６３０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、ユーザの数が増えると、サーバに記憶する認証情報の数が増加することになる。このため、サーバに記憶されておる認証情報が漏洩すると、多数のユーザに対して不正アクセスなどの危機が発生することとなる。
【０００５】
そこで、本発明は、ユーザにおける負担が増すことなく、かつサーバ側において登録ユーザの認証情報を保持することなく認証を行うための情報処理装置及び情報処理方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の一実施形態に係る情報処理装置は、クライアントから送信された登録情報を受信する登録情報受信手段と、前記登録情報を含むＵＲＬを生成するＵＲＬ生成手段と、前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、前記クライアントから前記ＵＲＬを受信し、前記クライアントに前記ＵＲＬに対応するログイン画面を表示させるとともに前記登録情報を前記ＵＲＬから抽出するログインＵＲＬ処理手段と、前記クライアントから送信された第２の登録情報を含む認証要求を受信する認証要求受信手段と、前記登録情報と前記第２の登録情報とが一致するか否かにより前記クライアントの認証の可否を判断する認証実行手段とを有することを特徴とする。
【０００７】
また、本発明の他の実施形態に係る情報処理装置は、クライアントから送信された登録情報を受信する登録情報受信手段と、前記登録情報をキーとして用いてハッシュ値を算出する計算手段と、前記ハッシュ値を含むＵＲＬを生成するＵＲＬ生成手段と、前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、前記クライアントから前記ＵＲＬを受信し、前記クライアントにログイン画面を表示させるとともに前記ハッシュ値を前記ＵＲＬから抽出するログインＵＲＬ受信手段と、前記クライアントから送信された認証要求を受信する認証要求受信手段と、前記認証要求をキーとして第２のハッシュ値を算出し、前記ハッシュ値と前記第２のハッシュ値とが適合するか否かにより前記クライアントの認証の可否を判断する認証実行手段とを有することを特徴とする。
【０００８】
また、本発明のさらに他の実施形態に係る情報処理装置は、クライアントから送信された登録情報を受信する登録情報受信手段と、前記登録情報をキーとして用いてハッシュ値を算出する計算手段と、前記登録情報を暗号化して暗号化登録情報を生成する暗号化手段と、前記ハッシュ値及び前記暗号化登録情報を含むＵＲＬを生成するＵＲＬ生成手段と、前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、前記クライアントから前記ＵＲＬを受信し、前記ハッシュ値を前記ＵＲＬから抽出するとともに前記ＵＲＬから前記暗号化登録情報を抽出するログインＵＲＬ処理手段と、前記暗号化登録情報を前記登録情報へと復号化し、復号化した前記登録情報をキーとして第２のハッシュ値を算出し、前記ハッシュ値と前記第２のハッシュ値とが適合するか否かにより前記クライアントの認証の可否を判断する認証実行手段とを有することを特徴とする。
【０００９】
また、本発明の一実施形態に係る情報処理方法は、クライアントから送信された登録情報を受信し、前記登録情報をキーとして用いてハッシュ値を算出し、前記ハッシュ値を含むＵＲＬを生成し、生成した前記ＵＲＬを前記クライアントへと通知し、前記クライアントからの前記ＵＲＬを含む認証要求を受信し、前記認証要求に含まれる前記ＵＲＬから前記ハッシュ値を抽出し、前記クライアントの認証を行うことを特徴とする。
【発明の効果】
【００１０】
本発明により、クライアント側において特別なプログラムを導入するなどの手続きが不要で、かつ情報処理装置、すなわちサーバ側において認証情報を保持することが不要な認証を行うことのできる情報処理装置が提供される。
【図面の簡単な説明】
【００１１】
【図１】本発明の一実施形態に係る情報処理装置を含む情報処理システムの構成を示す機能ブロック図である。
【図２】本発明の一実施形態に係る情報処理システムにおけるデータの流れを説明するシーケンス図である。
【図３】登録部１１０におけるデータの流れをより詳細に説明するシーケンス図である。
【図４】本発明の一実施形態に係る情報処理装置において、クライアントによるサービス利用のための利用登録の流れを説明するためのフローチャートである。
【図５Ａ】認証部１２０におけるデータの流れをより詳細に説明するシーケンス図である。
【図５Ｂ】認証部１２０におけるデータの流れをより詳細に説明するシーケンス図である。
【図６Ａ】本発明の一実施形態に係る情報処理装置において、クライアントによりサービス利用のために情報処理装置にログインを行う流れを説明するためのフローチャートである。
【図６Ｂ】本発明の一実施形態に係る情報処理装置において、クライアントによりサービス利用のために情報処理装置にログインを行う流れを説明するためのフローチャートである。
【図７】本発明の他の実施形態に係る情報処理装置を含む情報処理システムの構成を示す機能ブロック図である。
【図８】本発明の他の実施形態に係る情報処理システムにおけるデータの流れを示すシーケンス図である。
【図９】本発明の他の実施形態に係る情報処理装置において、クライアントによるサービス利用のための利用登録の流れを説明するためのフローチャートである。
【図１０】本発明の他の実施形態に係る情報処理装置において、クライアントによりサービス利用のために情報処理装置にログインを行う流れを説明するためのフローチャートである。
【発明を実施するための形態】
【００１２】
以下、本発明を実施するための形態をいくつかの実施形態として説明する。なお、本発明は、これらの実施形態に限定されることなく、種々の変形を加えて実施することが可能である。
【００１３】
（実施形態１）
図１は、本発明の一実施形態に係る情報処理システムの機能ブロック図である。
【００１４】
図１を参照すると、本発明の一実施形態に係る情報処理システムは、情報処理装置１００とクライアント２００とを備え、通信網を介して通信を行なう。情報処理装置１００は、登録部１１０と、認証部１２０とを有する。情報処理装置１００は、例えば１台以上のネットワークに接続可能なサーバであり、クライアント２００とネットワーク接続されている。クライアント２００は、利用者が操作する端末装置である。クライアント２００は、パーソナルコンピュータ、ＰＤＡ、携帯電話、スマートフォンなどのＣＰＵ（中央演算公知）を有する機器にプログラムがインストールされるなどして実現される。
【００１５】
登録部１１０は、クライアント２００において、情報処理装置１００が提供するサービスを利用するための利用登録に用いるコンポーネントであって、登録情報受信手段１１１、計算手段１１２、ＵＲＬ生成手段１１３、ＵＲＬ通知手段１１４を有する。また、認証部１２０は、利用登録後、クライアント２００がサービス利用のためにログインを行う際に認証を行う。認証部１２０は、ログインＵＲＬ処理手段１２１、認証要求受信手段１２２、認証実行手段１２３を有する。
【００１６】
登録情報受信手段１１１は、クライアント２００より送信された登録情報１０を受信する。登録情報１０は、例えばサービス利用時に用いるユーザＩＤとパスワードである。また、ユーザＩＤのみクライアント２００において入力させてもよく、ユーザＩＤに対応するパスワードを情報処理装置１００において生成してもよい。また、クライアント２００には、利用者の氏名、住所などの利用者を特定する情報を登録情報として入力し、クライアント２００に入力された情報に対応するユーザＩＤとパスワードとを情報処理装置１００において生成してもよい。生成された結果は、登録情報１０に対する返信としてのウェブページに記載されてもよいし、登録情報１０に含まれる電子メールアドレスや住所に返送されるようになっていてもよい。
【００１７】
計算手段１１２は、ハッシュ関数を用い、登録情報１０のハッシュ値１５を算出する。算出に用いられるハッシュ関数は例えばＭＤ５やＳＨＡ−１、ＳＨＡ−２５６などであり、その他のハッシュ関数を用いてもよい。また、登録情報１０に、ｓａｌｔ値を加えたもののハッシュ値１５を算出してもよく、これにより、ハッシュ値１５の逆算を、ｓａｌｔ値を用いない場合よりも困難とし、登録情報１０がハッシュ値１５から第三者により逆算されて漏洩することを困難とし、漏洩を防止することができる。
【００１８】
ＵＲＬ生成手段１１３は、計算手段１１２において算出されたハッシュ値１５を含むログインＵＲＬ２０を生成する。具体的には、例えば、「http://www.example.co.jp/login.html」といったＵＲＬに、ハッシュ値１５を追加し、「http://www.example.co.jp/login.html?q=ハッシュ値」といったログインＵＲＬ２０を生成する。ハッシュ値は、例えば、この例に示すようにＵＲＬにおけるクエリ部分として追加してもよい。これにより、ユーザの数に関わらず実際のアクセスするログイン画面の位置を特定するＵＲＬとしては、１つ用意すればよい。この例の場合には、ログイン画面の位置を特定するＵＲＬは、「http://www.example.co.jp/login.html」となり、このＵＲＬに「?q=ハッシュ値」というクエリ部分が付加されている。
【００１９】
なお、ハッシュ値１５をそのままログインＵＲＬ２０に含めるのではなく、別途ハッシュ値を暗号化する手段を設け、同手段によりハッシュ値１５を暗号化した後に、暗号化されたハッシュ値１５をログインＵＲＬ２０に含めてもよい。
【００２０】
登録情報１０からログインＵＲＬ２０を生成する１つの具体例を示す。登録情報１０の内容がユーザＩＤ及びパスワードであり、ユーザＩＤが「user1」、パスワードが「password1」、salt値が「ty」である場合に、これらを組み合わせて、「user1password1ty」をキーとし、ハッシュ関数としてＭＤ５を使用してハッシュ値を計算すると、ハッシュ値１５は「6f2ca242c40b3589b0fdf03f04da719a」となる。ログイン画面が表示されるＵＲＬが「http://www.example.co.jp/login.html」であるとき、ハッシュ値１５を用いてログインＵＲＬ２０を作成すると、「http://www.example.co.jp/login.html?q=6f2ca242c40b3589b0fdf03f04da719a」となる。
【００２１】
ＵＲＬ通知手段１１４は、ＵＲＬ生成手段１１３において生成されたログインＵＲＬ２０を、クライアント２００へと通知する。ＵＲＬ通知手段１１４は、クライアント２００への通知方法として、電子メールで送信してもよく、クライアント２００のＷｅｂブラウザ上に表示してもよく、またはその他の方法によってもよい。一例としては、登録完了の通知として、クライアント２００においてユーザが指定した電子メールアドレスへと、登録内容とともに、生成したログインＵＲＬ２０が記載された電子メールを送信する方法により行ってもよい。また、情報処理装置１００においてユーザＩＤおよびパスワードのいずれか一以上が生成される場合には、生成されたユーザＩＤおよびパスワードのいずれか一以上が、生成されたＵＲＬと同じ経路、あるいは異なる経路でユーザに通知される。例えば、ユーザＩＤおよびパスワードは、郵便やファクシミリなどによりユーザに通知され、生成されたＵＲＬは電子メールでユーザに通知される。
【００２２】
次に、クライアント２００が、ＵＲＬ通知手段１１４により通知されたログインＵＲＬを用いて情報処理装置におけるサービス利用のためのログインを行う際の認証部１２０の動作について説明する。
【００２３】
認証要求のために、例えばクライアント２００のＷｅｂブラウザにおいて、登録時に通知されたログインＵＲＬ２０を入力し、情報処理装置１００へと送信する。例えば、Ｗｅｂブラウザのブックマークに、通知されたＵＲＬを格納しておき、ブックマークを読み出して、通知されたＵＲＬに対するアクセスを行なう。あるいは、通知されたＵＲＬが電子メールにより通知されている場合には、メーラの表示画面にその通知を行なうメールを表示させ、通知されたＵＲＬのクリックなどを行なう。
【００２４】
ログインＵＲＬ２０を受信すると、認証部１２０のログインＵＲＬ処理手段１２１はクライアント２００にログイン画面３０として使用されるウェブページを表示する。クライアント２００の利用者がログイン画面３０に認証情報を入力し、情報処理装置１００に認証要求の送信を行なうと、認証部１２０は、ログインＵＲＬ２０に含まれるハッシュ値１５を抽出してもよい。
【００２５】
認証部１２０による、ハッシュ値１５の抽出の方法としては、ログインＵＲＬ処理手段１２１において、受信したログインＵＲＬ２０から抽出する方法があるが、他に、例えばログインＵＲＬ２０を、リファラ（ｒｅｆｅｒｅｒ）として認証部１２０が認識する方法がある。すなわち、情報処理装置１００は、クライアント２００においてログインＵＲＬ２０に対応するログイン画面３０として使用されるウェブページを表示させる。例えば、クライアント２００は、ログイン画面３０において、認証情報、例えばユーザＩＤとパスワードとを入力し、認証要求４０を情報処理装置１００へと送信する。この送信時に、アドレス遷移元のＵＲＬ、すなわちリファラとしてログイン画面３０として使用されるウェブページのＵＲＬであるログインＵＲＬ２０とともに、認証要求４０を情報処理装置１００へと送信する。ログインＵＲＬ２０をリファラとして認識させる場合においても、ユーザは、クライアント２００のＷｅｂブラウザにおいてログインＵＲＬ２０を入力、送信するだけでよく、入力送信したＵＲＬをリファラとして遷移後のページの処理において参照することは、Ｗｅｂ技術における標準的なプロトコルにより実現可能であるから、クライアント２００に特別なプログラムを導入することを不要とすることができる。例えばリファラの値は、ＣＧＩ（Ｃｏｍｍｏｎ Ｇａｔｅｗａｙ Ｉｎｔｅｒｆａｃｅ）において、環境変数HTTP_REFERERを介して参照することができる。
【００２６】
ログイン画面３０においてユーザにより入力され、クライアント２００から送信された認証要求４０は、認証要求受信手段１２２において受信される。認証要求受信手段１２２は、受信した認証要求４０を認証実行手段１２３へと出力する。認証要求４０には、ユーザが登録部１１０において登録した登録情報１０と同様の内容、例えばユーザＩＤやパスワードが含まれ得るが、認証要求受信手段１２２は、認証要求４０から、認証実行手段１２２において認証に用いる情報のみを抽出して認証実行手段１２３へと出力してもよい。ログインＵＲＬ２０がリファラとして認証要求４０とともに送信された場合には、認証要求受信手段１２２が、ログインＵＲＬ２０についても受信してもよい。
【００２７】
認証実行手段１２３において、受信した認証要求４０に基づいて、クライアント２００のログイン認証を実行し、認証の可否を判断する。
【００２８】
認証実行手段１２３における認証の可否の判断は、以下のように行われる。まず、認証要求４０のうち、ハッシュ値１５の算出に用いた登録情報１０に対応する情報、典型的にはユーザＩＤとパスワードとを用いて、ハッシュ値を算出する。このハッシュ値を、ここでは第２のハッシュ値と称する。そして、算出された第２のハッシュ値を、ログインＵＲＬ２０内に含まれるハッシュ値１５と比較する。比較の結果、ハッシュ値が適合（例えば一致）すれば、ログインが成功したものとして、クライアント２００へのサービス提供を開始する。一方、ハッシュ値が適合しなければ、ログイン失敗として、ログイン失敗をクライアント２００に通知する。ログイン失敗の場合、ユーザＩＤ及びパスワードの再入力を求めたり、別の認証方法へと移行したりしてもよい。
【００２９】
以上の本発明の一実施形態に係る情報処理装置により、情報処理装置側においてユーザの認証に必要な情報を保持することなく、ユーザ認証を行うことができる。また、ユーザにおいて、特別なプログラムや電子証明書を導入するなどの煩雑な作業を不要としつつユーザ認証が行われる。
【００３０】
なお、より簡略化された情報処理装置においては、計算手段１１２を含まず、ログインＵＲＬ生成手段１１３において、登録情報１０を平文で含んだログインＵＲＬ２０を生成し、かかるログインＵＲＬ２０を後続の手続きにおいて用いてもよい。この場合、ログインＵＲＬ２０から、容易に登録情報１０を知ることが可能となり、セキュリティの点ではハッシュ値１５を用いる場合よりも劣るが、計算手段１１２が不要となり、より簡易でコストがかからない認証を行うことのできる情報処理装置が提供される。また、ハッシュ値１５に関する計算が行われない分、高速な認証を行うことが可能となる。
【００３１】
次に、図２乃至図４を参照して、本発明の一実施形態に係る情報処理装置の登録部１１０における処理の流れ及びデータの流れを説明する。
【００３２】
図２は、本発明の一実施形態に係る情報処理装置におけるデータの流れを説明するシーケンス図である。また、図３は、登録部１１０におけるデータの流れをより詳細に説明するシーケンス図である。そして、図４は、本発明の一実施形態に係る情報処理装置において、クライアント２００によるサービス利用のための利用登録の流れを説明するためのフローチャートである。
【００３３】
図２乃至図４を参照すると、まず、クライアント２００には登録情報を入力するための登録画面が表示される（ステップＳ１１０）。
【００３４】
クライアント２００に表示された登録画面において、入力した登録情報１０が登録部１１０へと送信され、登録部１１０の登録情報受信手段１１１において当該登録情報１０を受信する（ｓ１０、ステップＳ１２０）。登録情報受信手段１１１は、受信した登録情報１０から、計算手段１１２へと登録情報１０を出力する（ｓ１１）。
【００３５】
計算手段１１２において、登録情報１０を含むキーにより、ハッシュ関数を用いてハッシュ値１５を算出する（ステップＳ１３０）。算出したハッシュ値１５をＵＲＬ生成手段１１３へと出力する（ｓ１２）。
【００３６】
ＵＲＬ生成手段１１３において、ハッシュ値１５を用いてログインＵＲＬ２０を生成し（ステップＳ１４０）、生成したログインＵＲＬ２０をＵＲＬ通知手段１１４へと出力する（ｓ１３）。ただし、上述したように、ハッシュ値１５を算出して出力することは必須ではなく、登録情報を平文として含むログインＵＲＬを生成して出力してもよい。
【００３７】
ＵＲＬ通知手段１１４は、ログインＵＲＬ２０を、クライアント２００へと所定の形式により通知する（ｓ２０、ステップＳ１５０）。
【００３８】
次に、図２、図５Ａ及び図６Ａを参照して、本発明の一実施形態に係る情報処理装置の認証部１２０における処理の流れ及びデータの流れを説明する。
【００３９】
なお、登録情報の入力はユーザがクライアントを用いて行なうのではなく、例えば銀行口座の申し込みや証券取引口座の申し込みなどの場合には、銀行や証券会社がユーザに代行して行ない、生成されたログインＵＲＬ２０を銀行や証券会社などがユーザに対して郵便や電子メールを用いて通知するようしてもよい。
【００４０】
図５Ａは、図２のうち認証部１２０におけるデータの流れをより詳細に説明するシーケンス図である。図６Ａは、本発明の一実施形態に係る情報処理装置において、クライアント２００によりサービス利用のために情報処理装置にログインを行う流れを説明するためのフローチャートである。
【００４１】
図２、図５Ａ及び図６Ａを参照すると、クライアント２００は、ＵＲＬ通知手段１１４より通知されたログインＵＲＬ２０へとアクセスを行う（ｓ３０）。ログインＵＲＬ２０をログインＵＲＬ処理手段１２１が受信する（ステップＳ２１０）。
【００４２】
ログインＵＲＬ処理手段１２１は、ログインＵＲＬ２０からハッシュ値１５を抽出し（ステップＳ２２０）、認証実行手段へと出力する（ｓ３１）。
【００４３】
また、ログインＵＲＬ処理手段１２１は、ログイン画面３０をクライアント２００へと送信し（ｓ４０）、クライアント２００にログイン画面３０が表示される（ステップＳ２３０）。
【００４４】
これと異なり、ログインＵＲＬ２０をリファラとして認識部１２０において認識させる場合には、ログインＵＲＬ処理手段１２１は、図５Ｂ及び図６Ｂに示されるように、ログインＵＲＬ２０からハッシュ値１５を抽出するステップＳ２２０を行わず、認証実行手段へのハッシュ値の出力（ｓ３１）も行わない。ログインＵＲＬ処理手段１２１は、ログインＵＲＬを受信し（ステップＳ２１０）、ログイン画面３０をクライアント２００へと送信し（ｓ４０）、ログイン画面を表示する（ステップＳ２３０）。
【００４５】
クライアント２００は、表示されたログイン画面３０において、登録情報１０、たとえばユーザＩＤ及びパスワードを入力し、認証要求４０を認証要求受信手段１２２へと送信する（ｓ５０）。認証要求受信手段１２２は、認証要求４０を受信する（ステップＳ２４０）。認証要求受信手段１２２は、受信した認証要求０４０を、認証実行手段１２３へと出力する（ｓ５１）。
【００４６】
これと異なり、ログインＵＲＬ２０をリファラとして認識部１２０において認識させる場合には、クライアント２００は、表示されたログイン画面３０において、登録情報１０を入力し、認証要求４０を、リファラとともに認証要求受信手段１２２へと送信する（ｓ５０ｂ）。このとき、リファラはログインＵＲＬ２０である。認証要求受信手段１２２は、認証要求４０およびリファラであるログインＵＲＬ２０を受信する（ステップＳ２４０ｂ）。認証要求受信手段１２２は、リファラとして受信したログインＵＲＬ２０からハッシュ値１５を抽出し（ステップＳ２２０ｂ）、受信した認証要求４０とともに、認証実行手段１２３へと出力する（ｓ５１ｂ）。
【００４７】
認証実行手段１２３において、認証要求４０に含まれる登録情報１０からハッシュ値を算出し（ステップＳ２５０）、この算出したハッシュ値とハッシュ値１５とを照合し（ステップＳ２６０）、適合するか否かにより、認証の可否を判断する（ステップＳ２７０）。適合しなかった場合には、ログイン失敗と判断し（ステップＳ２８０）、適合した場合には、ログイン成功と判断する（ステップＳ２９０）。ログイン失敗の場合には、再試行を行うなどの後続処理を行ってもよい。認証実行手段１２３は、認証の可否を、認証結果５０として、クライアント２００へと出力する（ｓ６０）。また、ログイン成功の場合には、サービスを開始する。
【００４８】
以上のように、本発明の一実施形態に係る情報処理装置１００によれば、サーバ側において認証情報を保持しなくても、クライアントの認証を行うことができ、かつクライアント側において特別なプログラムなどの導入が不要となる認証方法が提供される。
【００４９】
（実施形態２）
次に、本発明の他の実施形態に係る情報処理装置３００について、図７を参照して説明する。図７は、本発明の他の実施形態に係る情報処理装置を含む情報処理システムの構成を示す機能ブロック図である。
【００５０】
図７を参照すると、情報処理装置３００においても、基本的な構成は、図１を参照して上述した情報処理装置３００と同様であり、登録部１１０及び認証部１２０を有する。ただ、情報処理装置３００においては、情報処理装置３００は、登録部１１０において、登録情報１０を暗号化する暗号化手段１１５を有し、認証部１２０において、ログインＵＲＬ処理手段１２５及び認証実行手段１２６がログインＵＲＬ処理手段１２１及び認証実行手段１２３と若干異なる処理を行い、かつ認証要求受信手段１２２を備えなくともよい点において異なる。
【００５１】
暗号化手段１１５は、登録情報１０の暗号化を行う。暗号化は、認証部１２０での後続の手続きにおいて復号可能な形式で行われればよく、共通鍵暗号方式及び公開鍵暗号方式のいずれでもよく、一般的な暗号方式を用いることができる。
【００５２】
ＵＲＬ生成手段１１３は、暗号化手段１１５において暗号化された登録情報１０を、ハッシュ値１５とともにＵＲＬへと追加し、ログインＵＲＬ２０を生成する。
【００５３】
ログインＵＲＬ処理手段１２５は、ログインＵＲＬ処理手段１２１と同様、クライアント２００からログインＵＲＬ２０を受信し、ハッシュ値１５を抽出し、認証実行手段１２６へと出力する。さらに、ログインＵＲＬ処理手段１２５は、ログインＵＲＬ２０から暗号化された登録情報１０を抽出し、認証実行手段１２６へと出力する。
【００５４】
認証実行手段１２６において、暗号化された登録情報１０から登録情報１０を復号化する。復号化された登録情報１０をキーとして、第２のハッシュ値を算出する。この場合のキーに対するハッシュ値１５の算出にｓａｌｔ値を用いた場合には、同じｓａｌｔ値が用いられる。算出された第２のハッシュ値と、ハッシュ値１５とを比較する。比較の結果、ハッシュ値が適合（例えば一致）すれば、ログインが成功したものとして、クライアント２００へのサービス提供を開始する。一方、ハッシュ値が適合しなければ、ログイン失敗として、ログイン失敗をクライアント２００に通知する。ログイン失敗の場合、ユーザＩＤ及びパスワードの再入力を求めたり、別の認証方法へと移行したりしてもよい。
【００５５】
以上の本発明の他の実施形態に係る情報処理装置３００により、情報処理装置３００側においてユーザの認証に必要な情報を保持することなく、ユーザ認証を行うことができる。また、ユーザにおいて、特別なプログラムを導入するなどの煩雑な作業が不要な、簡便なログイン認証が行われる。さらに、ユーザは通知されたログインＵＲＬ２０へとアクセスするのみで、情報処理装置３００におけるユーザのログイン認証が行われ、ユーザの少ない操作によってログイン認証を行うことができる。
【００５６】
本発明の他の実施形態に係る情報処理装置３００における認証手段は、単独で用いた場合においても、簡易な認証手段として有用であるが、他の認証手段とも簡易に組み合わせることが可能である。このような組合せにより、他の認証手段におけるよりもセキュリティを向上することができる。他の認証手段と組み合わせた場合においても、ログイン時、ユーザがクライアント２００において単にログインＵＲＬ２０にアクセスするだけで本実施形態における認証手段を実現できるから、ユーザにおいて追加で何らかの入力を行う必要もない。
【００５７】
次に、本発明の他の実施形態に係る情報処理装置における処理の流れ及びデータの流れを説明する。
【００５８】
図８は、情報処理装置３００におけるデータの流れを示すシーケンス図である。また、図９は、情報処理装置３００における登録部１１０の処理の流れを示すフローチャートであり、図１０は認証部の処理の流れを示すフローチャートである。
【００５９】
図８及び図９を参照すると、登録部１１０とクライアント２００との間の処理及びデータの流れとして、情報処理装置３００が登録画面をクライアント２００へと表示させ（ステップＳ１１０）、クライアント２００から送信された登録情報１０を登録部１１０が受信する点（ステップＳ１２０、ｓ１０）、受信した登録情報１０に基づきハッシュ値１５を計算する点（ステップＳ１３０）、及びログインＵＲＬ２０をクライアント２００へと通知する点（ステップＳ１５０、ｓ２０）は図２乃至図４を参照して説明した情報処理装置１００の登録部１１０における処理の流れと同様である。情報処理装置３００が、情報処理装置１００と異なるのは、登録部１１０が登録情報１０を暗号化し（ステップＳ１３５）、暗号化した登録情報１０をハッシュ値１５とともにＵＲＬへと追加してログインＵＲＬ２０を生成する（ステップＳ１４５）点である。
【００６０】
次に、認証部１２０における処理の流れおよびデータの流れを説明する。図８及び図１０を参照すると、ログインＵＲＬ２０を受信し、ログインＵＲＬ２０からハッシュ値１５を抽出する点（ｓ３０、ステップＳ３１０、ステップＳ３２０）は同様であるが、情報処理装置３００においては、ログインＵＲＬ２０から暗号化された登録情報を抽出し、登録情報１０を復号化し（ステップＳ３３０）、復号化された登録情報１０をキーとして、ハッシュ値を算出する（ステップＳ３４０）。算出されたハッシュ値と、ハッシュ値１５を照合し（ステップＳ３５０）、ハッシュ値が適合するか否かを判定するステップＳ３６０以降のステップは、ステップＳ２７０〜ステップＳ２９０と同様である。ログイン失敗の場合には、別のログイン方法による認証を行ってもよい。
【００６１】
以上のように、本発明の他の実施形態に係る情報処理装置３００によれば、サーバ側において認証情報を保持すること無くクライアントの認証を行うことができ、かつクライアント側において特別なプログラムなどの導入が不要で、ログイン時にユーザＩＤやパスワードの入力が不要な認証方法が提供される。
【符号の説明】
【００６２】
１００ 情報処理装置、１１０ 登録部、１１１ 登録情報受信手段、１１２ 計算手段、１１３ ＵＲＬ生成手段、１１４ ＵＲＬ通知手段、１２０ 認証部、１２１ ログインＵＲＬ処理手段、１２２ 認証要求受信手段、１２３ 認証実行手段
【技術分野】
【０００１】
本発明は、認証を行う装置及び方法に関し、より詳細には、セキュリティを高めてシステムにおいてクライアントの認証を行う装置及び方法に関する。
【背景技術】
【０００２】
従来、サーバとクライアントとを備えるシステムにおいて、クライアントを使用するユーザの認証を行なうには、ユーザのＩＤとパスワードとの組み合わせなどの認証情報をサーバに記憶しておき、クライアントから送信された認証情報と、サーバに記憶している認証情報と、を比較することが行なわれている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−３１０６３０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、ユーザの数が増えると、サーバに記憶する認証情報の数が増加することになる。このため、サーバに記憶されておる認証情報が漏洩すると、多数のユーザに対して不正アクセスなどの危機が発生することとなる。
【０００５】
そこで、本発明は、ユーザにおける負担が増すことなく、かつサーバ側において登録ユーザの認証情報を保持することなく認証を行うための情報処理装置及び情報処理方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の一実施形態に係る情報処理装置は、クライアントから送信された登録情報を受信する登録情報受信手段と、前記登録情報を含むＵＲＬを生成するＵＲＬ生成手段と、前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、前記クライアントから前記ＵＲＬを受信し、前記クライアントに前記ＵＲＬに対応するログイン画面を表示させるとともに前記登録情報を前記ＵＲＬから抽出するログインＵＲＬ処理手段と、前記クライアントから送信された第２の登録情報を含む認証要求を受信する認証要求受信手段と、前記登録情報と前記第２の登録情報とが一致するか否かにより前記クライアントの認証の可否を判断する認証実行手段とを有することを特徴とする。
【０００７】
また、本発明の他の実施形態に係る情報処理装置は、クライアントから送信された登録情報を受信する登録情報受信手段と、前記登録情報をキーとして用いてハッシュ値を算出する計算手段と、前記ハッシュ値を含むＵＲＬを生成するＵＲＬ生成手段と、前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、前記クライアントから前記ＵＲＬを受信し、前記クライアントにログイン画面を表示させるとともに前記ハッシュ値を前記ＵＲＬから抽出するログインＵＲＬ受信手段と、前記クライアントから送信された認証要求を受信する認証要求受信手段と、前記認証要求をキーとして第２のハッシュ値を算出し、前記ハッシュ値と前記第２のハッシュ値とが適合するか否かにより前記クライアントの認証の可否を判断する認証実行手段とを有することを特徴とする。
【０００８】
また、本発明のさらに他の実施形態に係る情報処理装置は、クライアントから送信された登録情報を受信する登録情報受信手段と、前記登録情報をキーとして用いてハッシュ値を算出する計算手段と、前記登録情報を暗号化して暗号化登録情報を生成する暗号化手段と、前記ハッシュ値及び前記暗号化登録情報を含むＵＲＬを生成するＵＲＬ生成手段と、前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、前記クライアントから前記ＵＲＬを受信し、前記ハッシュ値を前記ＵＲＬから抽出するとともに前記ＵＲＬから前記暗号化登録情報を抽出するログインＵＲＬ処理手段と、前記暗号化登録情報を前記登録情報へと復号化し、復号化した前記登録情報をキーとして第２のハッシュ値を算出し、前記ハッシュ値と前記第２のハッシュ値とが適合するか否かにより前記クライアントの認証の可否を判断する認証実行手段とを有することを特徴とする。
【０００９】
また、本発明の一実施形態に係る情報処理方法は、クライアントから送信された登録情報を受信し、前記登録情報をキーとして用いてハッシュ値を算出し、前記ハッシュ値を含むＵＲＬを生成し、生成した前記ＵＲＬを前記クライアントへと通知し、前記クライアントからの前記ＵＲＬを含む認証要求を受信し、前記認証要求に含まれる前記ＵＲＬから前記ハッシュ値を抽出し、前記クライアントの認証を行うことを特徴とする。
【発明の効果】
【００１０】
本発明により、クライアント側において特別なプログラムを導入するなどの手続きが不要で、かつ情報処理装置、すなわちサーバ側において認証情報を保持することが不要な認証を行うことのできる情報処理装置が提供される。
【図面の簡単な説明】
【００１１】
【図１】本発明の一実施形態に係る情報処理装置を含む情報処理システムの構成を示す機能ブロック図である。
【図２】本発明の一実施形態に係る情報処理システムにおけるデータの流れを説明するシーケンス図である。
【図３】登録部１１０におけるデータの流れをより詳細に説明するシーケンス図である。
【図４】本発明の一実施形態に係る情報処理装置において、クライアントによるサービス利用のための利用登録の流れを説明するためのフローチャートである。
【図５Ａ】認証部１２０におけるデータの流れをより詳細に説明するシーケンス図である。
【図５Ｂ】認証部１２０におけるデータの流れをより詳細に説明するシーケンス図である。
【図６Ａ】本発明の一実施形態に係る情報処理装置において、クライアントによりサービス利用のために情報処理装置にログインを行う流れを説明するためのフローチャートである。
【図６Ｂ】本発明の一実施形態に係る情報処理装置において、クライアントによりサービス利用のために情報処理装置にログインを行う流れを説明するためのフローチャートである。
【図７】本発明の他の実施形態に係る情報処理装置を含む情報処理システムの構成を示す機能ブロック図である。
【図８】本発明の他の実施形態に係る情報処理システムにおけるデータの流れを示すシーケンス図である。
【図９】本発明の他の実施形態に係る情報処理装置において、クライアントによるサービス利用のための利用登録の流れを説明するためのフローチャートである。
【図１０】本発明の他の実施形態に係る情報処理装置において、クライアントによりサービス利用のために情報処理装置にログインを行う流れを説明するためのフローチャートである。
【発明を実施するための形態】
【００１２】
以下、本発明を実施するための形態をいくつかの実施形態として説明する。なお、本発明は、これらの実施形態に限定されることなく、種々の変形を加えて実施することが可能である。
【００１３】
（実施形態１）
図１は、本発明の一実施形態に係る情報処理システムの機能ブロック図である。
【００１４】
図１を参照すると、本発明の一実施形態に係る情報処理システムは、情報処理装置１００とクライアント２００とを備え、通信網を介して通信を行なう。情報処理装置１００は、登録部１１０と、認証部１２０とを有する。情報処理装置１００は、例えば１台以上のネットワークに接続可能なサーバであり、クライアント２００とネットワーク接続されている。クライアント２００は、利用者が操作する端末装置である。クライアント２００は、パーソナルコンピュータ、ＰＤＡ、携帯電話、スマートフォンなどのＣＰＵ（中央演算公知）を有する機器にプログラムがインストールされるなどして実現される。
【００１５】
登録部１１０は、クライアント２００において、情報処理装置１００が提供するサービスを利用するための利用登録に用いるコンポーネントであって、登録情報受信手段１１１、計算手段１１２、ＵＲＬ生成手段１１３、ＵＲＬ通知手段１１４を有する。また、認証部１２０は、利用登録後、クライアント２００がサービス利用のためにログインを行う際に認証を行う。認証部１２０は、ログインＵＲＬ処理手段１２１、認証要求受信手段１２２、認証実行手段１２３を有する。
【００１６】
登録情報受信手段１１１は、クライアント２００より送信された登録情報１０を受信する。登録情報１０は、例えばサービス利用時に用いるユーザＩＤとパスワードである。また、ユーザＩＤのみクライアント２００において入力させてもよく、ユーザＩＤに対応するパスワードを情報処理装置１００において生成してもよい。また、クライアント２００には、利用者の氏名、住所などの利用者を特定する情報を登録情報として入力し、クライアント２００に入力された情報に対応するユーザＩＤとパスワードとを情報処理装置１００において生成してもよい。生成された結果は、登録情報１０に対する返信としてのウェブページに記載されてもよいし、登録情報１０に含まれる電子メールアドレスや住所に返送されるようになっていてもよい。
【００１７】
計算手段１１２は、ハッシュ関数を用い、登録情報１０のハッシュ値１５を算出する。算出に用いられるハッシュ関数は例えばＭＤ５やＳＨＡ−１、ＳＨＡ−２５６などであり、その他のハッシュ関数を用いてもよい。また、登録情報１０に、ｓａｌｔ値を加えたもののハッシュ値１５を算出してもよく、これにより、ハッシュ値１５の逆算を、ｓａｌｔ値を用いない場合よりも困難とし、登録情報１０がハッシュ値１５から第三者により逆算されて漏洩することを困難とし、漏洩を防止することができる。
【００１８】
ＵＲＬ生成手段１１３は、計算手段１１２において算出されたハッシュ値１５を含むログインＵＲＬ２０を生成する。具体的には、例えば、「http://www.example.co.jp/login.html」といったＵＲＬに、ハッシュ値１５を追加し、「http://www.example.co.jp/login.html?q=ハッシュ値」といったログインＵＲＬ２０を生成する。ハッシュ値は、例えば、この例に示すようにＵＲＬにおけるクエリ部分として追加してもよい。これにより、ユーザの数に関わらず実際のアクセスするログイン画面の位置を特定するＵＲＬとしては、１つ用意すればよい。この例の場合には、ログイン画面の位置を特定するＵＲＬは、「http://www.example.co.jp/login.html」となり、このＵＲＬに「?q=ハッシュ値」というクエリ部分が付加されている。
【００１９】
なお、ハッシュ値１５をそのままログインＵＲＬ２０に含めるのではなく、別途ハッシュ値を暗号化する手段を設け、同手段によりハッシュ値１５を暗号化した後に、暗号化されたハッシュ値１５をログインＵＲＬ２０に含めてもよい。
【００２０】
登録情報１０からログインＵＲＬ２０を生成する１つの具体例を示す。登録情報１０の内容がユーザＩＤ及びパスワードであり、ユーザＩＤが「user1」、パスワードが「password1」、salt値が「ty」である場合に、これらを組み合わせて、「user1password1ty」をキーとし、ハッシュ関数としてＭＤ５を使用してハッシュ値を計算すると、ハッシュ値１５は「6f2ca242c40b3589b0fdf03f04da719a」となる。ログイン画面が表示されるＵＲＬが「http://www.example.co.jp/login.html」であるとき、ハッシュ値１５を用いてログインＵＲＬ２０を作成すると、「http://www.example.co.jp/login.html?q=6f2ca242c40b3589b0fdf03f04da719a」となる。
【００２１】
ＵＲＬ通知手段１１４は、ＵＲＬ生成手段１１３において生成されたログインＵＲＬ２０を、クライアント２００へと通知する。ＵＲＬ通知手段１１４は、クライアント２００への通知方法として、電子メールで送信してもよく、クライアント２００のＷｅｂブラウザ上に表示してもよく、またはその他の方法によってもよい。一例としては、登録完了の通知として、クライアント２００においてユーザが指定した電子メールアドレスへと、登録内容とともに、生成したログインＵＲＬ２０が記載された電子メールを送信する方法により行ってもよい。また、情報処理装置１００においてユーザＩＤおよびパスワードのいずれか一以上が生成される場合には、生成されたユーザＩＤおよびパスワードのいずれか一以上が、生成されたＵＲＬと同じ経路、あるいは異なる経路でユーザに通知される。例えば、ユーザＩＤおよびパスワードは、郵便やファクシミリなどによりユーザに通知され、生成されたＵＲＬは電子メールでユーザに通知される。
【００２２】
次に、クライアント２００が、ＵＲＬ通知手段１１４により通知されたログインＵＲＬを用いて情報処理装置におけるサービス利用のためのログインを行う際の認証部１２０の動作について説明する。
【００２３】
認証要求のために、例えばクライアント２００のＷｅｂブラウザにおいて、登録時に通知されたログインＵＲＬ２０を入力し、情報処理装置１００へと送信する。例えば、Ｗｅｂブラウザのブックマークに、通知されたＵＲＬを格納しておき、ブックマークを読み出して、通知されたＵＲＬに対するアクセスを行なう。あるいは、通知されたＵＲＬが電子メールにより通知されている場合には、メーラの表示画面にその通知を行なうメールを表示させ、通知されたＵＲＬのクリックなどを行なう。
【００２４】
ログインＵＲＬ２０を受信すると、認証部１２０のログインＵＲＬ処理手段１２１はクライアント２００にログイン画面３０として使用されるウェブページを表示する。クライアント２００の利用者がログイン画面３０に認証情報を入力し、情報処理装置１００に認証要求の送信を行なうと、認証部１２０は、ログインＵＲＬ２０に含まれるハッシュ値１５を抽出してもよい。
【００２５】
認証部１２０による、ハッシュ値１５の抽出の方法としては、ログインＵＲＬ処理手段１２１において、受信したログインＵＲＬ２０から抽出する方法があるが、他に、例えばログインＵＲＬ２０を、リファラ（ｒｅｆｅｒｅｒ）として認証部１２０が認識する方法がある。すなわち、情報処理装置１００は、クライアント２００においてログインＵＲＬ２０に対応するログイン画面３０として使用されるウェブページを表示させる。例えば、クライアント２００は、ログイン画面３０において、認証情報、例えばユーザＩＤとパスワードとを入力し、認証要求４０を情報処理装置１００へと送信する。この送信時に、アドレス遷移元のＵＲＬ、すなわちリファラとしてログイン画面３０として使用されるウェブページのＵＲＬであるログインＵＲＬ２０とともに、認証要求４０を情報処理装置１００へと送信する。ログインＵＲＬ２０をリファラとして認識させる場合においても、ユーザは、クライアント２００のＷｅｂブラウザにおいてログインＵＲＬ２０を入力、送信するだけでよく、入力送信したＵＲＬをリファラとして遷移後のページの処理において参照することは、Ｗｅｂ技術における標準的なプロトコルにより実現可能であるから、クライアント２００に特別なプログラムを導入することを不要とすることができる。例えばリファラの値は、ＣＧＩ（Ｃｏｍｍｏｎ Ｇａｔｅｗａｙ Ｉｎｔｅｒｆａｃｅ）において、環境変数HTTP_REFERERを介して参照することができる。
【００２６】
ログイン画面３０においてユーザにより入力され、クライアント２００から送信された認証要求４０は、認証要求受信手段１２２において受信される。認証要求受信手段１２２は、受信した認証要求４０を認証実行手段１２３へと出力する。認証要求４０には、ユーザが登録部１１０において登録した登録情報１０と同様の内容、例えばユーザＩＤやパスワードが含まれ得るが、認証要求受信手段１２２は、認証要求４０から、認証実行手段１２２において認証に用いる情報のみを抽出して認証実行手段１２３へと出力してもよい。ログインＵＲＬ２０がリファラとして認証要求４０とともに送信された場合には、認証要求受信手段１２２が、ログインＵＲＬ２０についても受信してもよい。
【００２７】
認証実行手段１２３において、受信した認証要求４０に基づいて、クライアント２００のログイン認証を実行し、認証の可否を判断する。
【００２８】
認証実行手段１２３における認証の可否の判断は、以下のように行われる。まず、認証要求４０のうち、ハッシュ値１５の算出に用いた登録情報１０に対応する情報、典型的にはユーザＩＤとパスワードとを用いて、ハッシュ値を算出する。このハッシュ値を、ここでは第２のハッシュ値と称する。そして、算出された第２のハッシュ値を、ログインＵＲＬ２０内に含まれるハッシュ値１５と比較する。比較の結果、ハッシュ値が適合（例えば一致）すれば、ログインが成功したものとして、クライアント２００へのサービス提供を開始する。一方、ハッシュ値が適合しなければ、ログイン失敗として、ログイン失敗をクライアント２００に通知する。ログイン失敗の場合、ユーザＩＤ及びパスワードの再入力を求めたり、別の認証方法へと移行したりしてもよい。
【００２９】
以上の本発明の一実施形態に係る情報処理装置により、情報処理装置側においてユーザの認証に必要な情報を保持することなく、ユーザ認証を行うことができる。また、ユーザにおいて、特別なプログラムや電子証明書を導入するなどの煩雑な作業を不要としつつユーザ認証が行われる。
【００３０】
なお、より簡略化された情報処理装置においては、計算手段１１２を含まず、ログインＵＲＬ生成手段１１３において、登録情報１０を平文で含んだログインＵＲＬ２０を生成し、かかるログインＵＲＬ２０を後続の手続きにおいて用いてもよい。この場合、ログインＵＲＬ２０から、容易に登録情報１０を知ることが可能となり、セキュリティの点ではハッシュ値１５を用いる場合よりも劣るが、計算手段１１２が不要となり、より簡易でコストがかからない認証を行うことのできる情報処理装置が提供される。また、ハッシュ値１５に関する計算が行われない分、高速な認証を行うことが可能となる。
【００３１】
次に、図２乃至図４を参照して、本発明の一実施形態に係る情報処理装置の登録部１１０における処理の流れ及びデータの流れを説明する。
【００３２】
図２は、本発明の一実施形態に係る情報処理装置におけるデータの流れを説明するシーケンス図である。また、図３は、登録部１１０におけるデータの流れをより詳細に説明するシーケンス図である。そして、図４は、本発明の一実施形態に係る情報処理装置において、クライアント２００によるサービス利用のための利用登録の流れを説明するためのフローチャートである。
【００３３】
図２乃至図４を参照すると、まず、クライアント２００には登録情報を入力するための登録画面が表示される（ステップＳ１１０）。
【００３４】
クライアント２００に表示された登録画面において、入力した登録情報１０が登録部１１０へと送信され、登録部１１０の登録情報受信手段１１１において当該登録情報１０を受信する（ｓ１０、ステップＳ１２０）。登録情報受信手段１１１は、受信した登録情報１０から、計算手段１１２へと登録情報１０を出力する（ｓ１１）。
【００３５】
計算手段１１２において、登録情報１０を含むキーにより、ハッシュ関数を用いてハッシュ値１５を算出する（ステップＳ１３０）。算出したハッシュ値１５をＵＲＬ生成手段１１３へと出力する（ｓ１２）。
【００３６】
ＵＲＬ生成手段１１３において、ハッシュ値１５を用いてログインＵＲＬ２０を生成し（ステップＳ１４０）、生成したログインＵＲＬ２０をＵＲＬ通知手段１１４へと出力する（ｓ１３）。ただし、上述したように、ハッシュ値１５を算出して出力することは必須ではなく、登録情報を平文として含むログインＵＲＬを生成して出力してもよい。
【００３７】
ＵＲＬ通知手段１１４は、ログインＵＲＬ２０を、クライアント２００へと所定の形式により通知する（ｓ２０、ステップＳ１５０）。
【００３８】
次に、図２、図５Ａ及び図６Ａを参照して、本発明の一実施形態に係る情報処理装置の認証部１２０における処理の流れ及びデータの流れを説明する。
【００３９】
なお、登録情報の入力はユーザがクライアントを用いて行なうのではなく、例えば銀行口座の申し込みや証券取引口座の申し込みなどの場合には、銀行や証券会社がユーザに代行して行ない、生成されたログインＵＲＬ２０を銀行や証券会社などがユーザに対して郵便や電子メールを用いて通知するようしてもよい。
【００４０】
図５Ａは、図２のうち認証部１２０におけるデータの流れをより詳細に説明するシーケンス図である。図６Ａは、本発明の一実施形態に係る情報処理装置において、クライアント２００によりサービス利用のために情報処理装置にログインを行う流れを説明するためのフローチャートである。
【００４１】
図２、図５Ａ及び図６Ａを参照すると、クライアント２００は、ＵＲＬ通知手段１１４より通知されたログインＵＲＬ２０へとアクセスを行う（ｓ３０）。ログインＵＲＬ２０をログインＵＲＬ処理手段１２１が受信する（ステップＳ２１０）。
【００４２】
ログインＵＲＬ処理手段１２１は、ログインＵＲＬ２０からハッシュ値１５を抽出し（ステップＳ２２０）、認証実行手段へと出力する（ｓ３１）。
【００４３】
また、ログインＵＲＬ処理手段１２１は、ログイン画面３０をクライアント２００へと送信し（ｓ４０）、クライアント２００にログイン画面３０が表示される（ステップＳ２３０）。
【００４４】
これと異なり、ログインＵＲＬ２０をリファラとして認識部１２０において認識させる場合には、ログインＵＲＬ処理手段１２１は、図５Ｂ及び図６Ｂに示されるように、ログインＵＲＬ２０からハッシュ値１５を抽出するステップＳ２２０を行わず、認証実行手段へのハッシュ値の出力（ｓ３１）も行わない。ログインＵＲＬ処理手段１２１は、ログインＵＲＬを受信し（ステップＳ２１０）、ログイン画面３０をクライアント２００へと送信し（ｓ４０）、ログイン画面を表示する（ステップＳ２３０）。
【００４５】
クライアント２００は、表示されたログイン画面３０において、登録情報１０、たとえばユーザＩＤ及びパスワードを入力し、認証要求４０を認証要求受信手段１２２へと送信する（ｓ５０）。認証要求受信手段１２２は、認証要求４０を受信する（ステップＳ２４０）。認証要求受信手段１２２は、受信した認証要求０４０を、認証実行手段１２３へと出力する（ｓ５１）。
【００４６】
これと異なり、ログインＵＲＬ２０をリファラとして認識部１２０において認識させる場合には、クライアント２００は、表示されたログイン画面３０において、登録情報１０を入力し、認証要求４０を、リファラとともに認証要求受信手段１２２へと送信する（ｓ５０ｂ）。このとき、リファラはログインＵＲＬ２０である。認証要求受信手段１２２は、認証要求４０およびリファラであるログインＵＲＬ２０を受信する（ステップＳ２４０ｂ）。認証要求受信手段１２２は、リファラとして受信したログインＵＲＬ２０からハッシュ値１５を抽出し（ステップＳ２２０ｂ）、受信した認証要求４０とともに、認証実行手段１２３へと出力する（ｓ５１ｂ）。
【００４７】
認証実行手段１２３において、認証要求４０に含まれる登録情報１０からハッシュ値を算出し（ステップＳ２５０）、この算出したハッシュ値とハッシュ値１５とを照合し（ステップＳ２６０）、適合するか否かにより、認証の可否を判断する（ステップＳ２７０）。適合しなかった場合には、ログイン失敗と判断し（ステップＳ２８０）、適合した場合には、ログイン成功と判断する（ステップＳ２９０）。ログイン失敗の場合には、再試行を行うなどの後続処理を行ってもよい。認証実行手段１２３は、認証の可否を、認証結果５０として、クライアント２００へと出力する（ｓ６０）。また、ログイン成功の場合には、サービスを開始する。
【００４８】
以上のように、本発明の一実施形態に係る情報処理装置１００によれば、サーバ側において認証情報を保持しなくても、クライアントの認証を行うことができ、かつクライアント側において特別なプログラムなどの導入が不要となる認証方法が提供される。
【００４９】
（実施形態２）
次に、本発明の他の実施形態に係る情報処理装置３００について、図７を参照して説明する。図７は、本発明の他の実施形態に係る情報処理装置を含む情報処理システムの構成を示す機能ブロック図である。
【００５０】
図７を参照すると、情報処理装置３００においても、基本的な構成は、図１を参照して上述した情報処理装置３００と同様であり、登録部１１０及び認証部１２０を有する。ただ、情報処理装置３００においては、情報処理装置３００は、登録部１１０において、登録情報１０を暗号化する暗号化手段１１５を有し、認証部１２０において、ログインＵＲＬ処理手段１２５及び認証実行手段１２６がログインＵＲＬ処理手段１２１及び認証実行手段１２３と若干異なる処理を行い、かつ認証要求受信手段１２２を備えなくともよい点において異なる。
【００５１】
暗号化手段１１５は、登録情報１０の暗号化を行う。暗号化は、認証部１２０での後続の手続きにおいて復号可能な形式で行われればよく、共通鍵暗号方式及び公開鍵暗号方式のいずれでもよく、一般的な暗号方式を用いることができる。
【００５２】
ＵＲＬ生成手段１１３は、暗号化手段１１５において暗号化された登録情報１０を、ハッシュ値１５とともにＵＲＬへと追加し、ログインＵＲＬ２０を生成する。
【００５３】
ログインＵＲＬ処理手段１２５は、ログインＵＲＬ処理手段１２１と同様、クライアント２００からログインＵＲＬ２０を受信し、ハッシュ値１５を抽出し、認証実行手段１２６へと出力する。さらに、ログインＵＲＬ処理手段１２５は、ログインＵＲＬ２０から暗号化された登録情報１０を抽出し、認証実行手段１２６へと出力する。
【００５４】
認証実行手段１２６において、暗号化された登録情報１０から登録情報１０を復号化する。復号化された登録情報１０をキーとして、第２のハッシュ値を算出する。この場合のキーに対するハッシュ値１５の算出にｓａｌｔ値を用いた場合には、同じｓａｌｔ値が用いられる。算出された第２のハッシュ値と、ハッシュ値１５とを比較する。比較の結果、ハッシュ値が適合（例えば一致）すれば、ログインが成功したものとして、クライアント２００へのサービス提供を開始する。一方、ハッシュ値が適合しなければ、ログイン失敗として、ログイン失敗をクライアント２００に通知する。ログイン失敗の場合、ユーザＩＤ及びパスワードの再入力を求めたり、別の認証方法へと移行したりしてもよい。
【００５５】
以上の本発明の他の実施形態に係る情報処理装置３００により、情報処理装置３００側においてユーザの認証に必要な情報を保持することなく、ユーザ認証を行うことができる。また、ユーザにおいて、特別なプログラムを導入するなどの煩雑な作業が不要な、簡便なログイン認証が行われる。さらに、ユーザは通知されたログインＵＲＬ２０へとアクセスするのみで、情報処理装置３００におけるユーザのログイン認証が行われ、ユーザの少ない操作によってログイン認証を行うことができる。
【００５６】
本発明の他の実施形態に係る情報処理装置３００における認証手段は、単独で用いた場合においても、簡易な認証手段として有用であるが、他の認証手段とも簡易に組み合わせることが可能である。このような組合せにより、他の認証手段におけるよりもセキュリティを向上することができる。他の認証手段と組み合わせた場合においても、ログイン時、ユーザがクライアント２００において単にログインＵＲＬ２０にアクセスするだけで本実施形態における認証手段を実現できるから、ユーザにおいて追加で何らかの入力を行う必要もない。
【００５７】
次に、本発明の他の実施形態に係る情報処理装置における処理の流れ及びデータの流れを説明する。
【００５８】
図８は、情報処理装置３００におけるデータの流れを示すシーケンス図である。また、図９は、情報処理装置３００における登録部１１０の処理の流れを示すフローチャートであり、図１０は認証部の処理の流れを示すフローチャートである。
【００５９】
図８及び図９を参照すると、登録部１１０とクライアント２００との間の処理及びデータの流れとして、情報処理装置３００が登録画面をクライアント２００へと表示させ（ステップＳ１１０）、クライアント２００から送信された登録情報１０を登録部１１０が受信する点（ステップＳ１２０、ｓ１０）、受信した登録情報１０に基づきハッシュ値１５を計算する点（ステップＳ１３０）、及びログインＵＲＬ２０をクライアント２００へと通知する点（ステップＳ１５０、ｓ２０）は図２乃至図４を参照して説明した情報処理装置１００の登録部１１０における処理の流れと同様である。情報処理装置３００が、情報処理装置１００と異なるのは、登録部１１０が登録情報１０を暗号化し（ステップＳ１３５）、暗号化した登録情報１０をハッシュ値１５とともにＵＲＬへと追加してログインＵＲＬ２０を生成する（ステップＳ１４５）点である。
【００６０】
次に、認証部１２０における処理の流れおよびデータの流れを説明する。図８及び図１０を参照すると、ログインＵＲＬ２０を受信し、ログインＵＲＬ２０からハッシュ値１５を抽出する点（ｓ３０、ステップＳ３１０、ステップＳ３２０）は同様であるが、情報処理装置３００においては、ログインＵＲＬ２０から暗号化された登録情報を抽出し、登録情報１０を復号化し（ステップＳ３３０）、復号化された登録情報１０をキーとして、ハッシュ値を算出する（ステップＳ３４０）。算出されたハッシュ値と、ハッシュ値１５を照合し（ステップＳ３５０）、ハッシュ値が適合するか否かを判定するステップＳ３６０以降のステップは、ステップＳ２７０〜ステップＳ２９０と同様である。ログイン失敗の場合には、別のログイン方法による認証を行ってもよい。
【００６１】
以上のように、本発明の他の実施形態に係る情報処理装置３００によれば、サーバ側において認証情報を保持すること無くクライアントの認証を行うことができ、かつクライアント側において特別なプログラムなどの導入が不要で、ログイン時にユーザＩＤやパスワードの入力が不要な認証方法が提供される。
【符号の説明】
【００６２】
１００ 情報処理装置、１１０ 登録部、１１１ 登録情報受信手段、１１２ 計算手段、１１３ ＵＲＬ生成手段、１１４ ＵＲＬ通知手段、１２０ 認証部、１２１ ログインＵＲＬ処理手段、１２２ 認証要求受信手段、１２３ 認証実行手段
【特許請求の範囲】
【請求項１】
クライアントから送信された登録情報を受信する登録情報受信手段と、
前記登録情報を含むＵＲＬを生成するＵＲＬ生成手段と、
前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、
前記クライアントから前記ＵＲＬを受信し、前記クライアントに前記ＵＲＬに対応するログイン画面を表示させるとともに前記登録情報を前記ＵＲＬから抽出するログインＵＲＬ処理手段と、
前記クライアントから送信された第２の登録情報を含む認証要求を受信する認証要求受信手段と、
前記登録情報と前記第２の登録情報とが一致するか否かにより前記クライアントの認証の可否を判断する認証実行手段と
を有することを特徴とする情報処理装置。
【請求項２】
前記ＵＲＬ生成手段は、前記登録情報を除く部分を共通させてＵＲＬを生成することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記ＵＲＬ生成手段が生成するＵＲＬのうち前記登録情報を除く部分が前記ログイン画面に対応することを特徴とする請求項２に記載の情報処理装置。
【請求項４】
クライアントから送信された登録情報を受信する登録情報受信手段と、
前記登録情報のハッシュ値を算出する計算手段と、
前記ハッシュ値を含むＵＲＬを生成するＵＲＬ生成手段と、
前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、
前記クライアントから前記ＵＲＬを受信し、前記クライアントに前記ＵＲＬに対応するログイン画面を表示させるとともに前記ハッシュ値を前記ＵＲＬから抽出するログインＵＲＬ処理手段と、
前記クライアントから送信された認証要求を受信する認証要求受信手段と、
前記認証要求をキーとして第２のハッシュ値を算出し、前記ハッシュ値と前記第２のハッシュ値とが一致するか否かにより前記クライアントの認証の可否を判断する認証実行手段と
を有することを特徴とする情報処理装置。
【請求項５】
前記認証要求受信手段において、前記ＵＲＬは、リファラとして受信されることを特徴とする請求項１から４のいずれかに記載の情報処理装置。
【請求項６】
前記ＵＲＬ生成手段は、前記ハッシュ値を除く部分を共通させてＵＲＬを生成することを特徴とする請求項４または５に記載の情報処理装置。
【請求項７】
前記ＵＲＬ生成手段が生成するＵＲＬのうち前記ハッシュ値を除く部分が前記ログイン画面に対応することを特徴とする請求項６に記載の情報処理装置。
【請求項８】
クライアントから送信された登録情報を受信する登録情報受信手段と、
前記登録情報をキーのハッシュ値を算出する計算手段と、
前記登録情報を暗号化して暗号化登録情報を生成する暗号化手段と、
前記ハッシュ値及び前記暗号化登録情報を含むＵＲＬを生成するＵＲＬ生成手段と、
前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、
前記クライアントから前記ＵＲＬを受信し、前記ハッシュ値を前記ＵＲＬから抽出するとともに前記ＵＲＬから前記暗号化登録情報を抽出するログインＵＲＬ処理手段と、
前記暗号化登録情報を前記登録情報へと復号化し、復号化した前記登録情報をキーとして第２のハッシュ値を算出し、前記ハッシュ値と前記第２のハッシュ値とが一致するか否かにより前記クライアントの認証の可否を判断する認証実行手段と
を有することを特徴とする情報処理装置。
【請求項９】
前記ＵＲＬ情報通知手段は、電子メールにより前記ＵＲＬをクライアントへと通知することを特徴とする請求項１から８のいずれかに記載の情報処理装置。
【請求項１０】
クライアントから送信された登録情報を受信し、
前記登録情報をキーとして用いてハッシュ値を算出し、
前記ハッシュ値を含むＵＲＬを生成し、
生成した前記ＵＲＬを前記クライアントへと通知し、
前記クライアントからの前記ＵＲＬを受信し、
前記クライアントにログイン画面を表示し、
前記ハッシュ値を前記ＵＲＬから抽出し、
前記クライアントから認証要求を受信し、
前記認証要求から第２のハッシュ値を算出し、
前記ハッシュ値と前記第２のハッシュ値とが一致するか否かにより前記クライアントの認証の可否を判断する
ことを特徴とする情報処理方法。
【請求項１】
クライアントから送信された登録情報を受信する登録情報受信手段と、
前記登録情報を含むＵＲＬを生成するＵＲＬ生成手段と、
前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、
前記クライアントから前記ＵＲＬを受信し、前記クライアントに前記ＵＲＬに対応するログイン画面を表示させるとともに前記登録情報を前記ＵＲＬから抽出するログインＵＲＬ処理手段と、
前記クライアントから送信された第２の登録情報を含む認証要求を受信する認証要求受信手段と、
前記登録情報と前記第２の登録情報とが一致するか否かにより前記クライアントの認証の可否を判断する認証実行手段と
を有することを特徴とする情報処理装置。
【請求項２】
前記ＵＲＬ生成手段は、前記登録情報を除く部分を共通させてＵＲＬを生成することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記ＵＲＬ生成手段が生成するＵＲＬのうち前記登録情報を除く部分が前記ログイン画面に対応することを特徴とする請求項２に記載の情報処理装置。
【請求項４】
クライアントから送信された登録情報を受信する登録情報受信手段と、
前記登録情報のハッシュ値を算出する計算手段と、
前記ハッシュ値を含むＵＲＬを生成するＵＲＬ生成手段と、
前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、
前記クライアントから前記ＵＲＬを受信し、前記クライアントに前記ＵＲＬに対応するログイン画面を表示させるとともに前記ハッシュ値を前記ＵＲＬから抽出するログインＵＲＬ処理手段と、
前記クライアントから送信された認証要求を受信する認証要求受信手段と、
前記認証要求をキーとして第２のハッシュ値を算出し、前記ハッシュ値と前記第２のハッシュ値とが一致するか否かにより前記クライアントの認証の可否を判断する認証実行手段と
を有することを特徴とする情報処理装置。
【請求項５】
前記認証要求受信手段において、前記ＵＲＬは、リファラとして受信されることを特徴とする請求項１から４のいずれかに記載の情報処理装置。
【請求項６】
前記ＵＲＬ生成手段は、前記ハッシュ値を除く部分を共通させてＵＲＬを生成することを特徴とする請求項４または５に記載の情報処理装置。
【請求項７】
前記ＵＲＬ生成手段が生成するＵＲＬのうち前記ハッシュ値を除く部分が前記ログイン画面に対応することを特徴とする請求項６に記載の情報処理装置。
【請求項８】
クライアントから送信された登録情報を受信する登録情報受信手段と、
前記登録情報をキーのハッシュ値を算出する計算手段と、
前記登録情報を暗号化して暗号化登録情報を生成する暗号化手段と、
前記ハッシュ値及び前記暗号化登録情報を含むＵＲＬを生成するＵＲＬ生成手段と、
前記ＵＲＬを前記クライアントへと通知するＵＲＬ通知手段と、
前記クライアントから前記ＵＲＬを受信し、前記ハッシュ値を前記ＵＲＬから抽出するとともに前記ＵＲＬから前記暗号化登録情報を抽出するログインＵＲＬ処理手段と、
前記暗号化登録情報を前記登録情報へと復号化し、復号化した前記登録情報をキーとして第２のハッシュ値を算出し、前記ハッシュ値と前記第２のハッシュ値とが一致するか否かにより前記クライアントの認証の可否を判断する認証実行手段と
を有することを特徴とする情報処理装置。
【請求項９】
前記ＵＲＬ情報通知手段は、電子メールにより前記ＵＲＬをクライアントへと通知することを特徴とする請求項１から８のいずれかに記載の情報処理装置。
【請求項１０】
クライアントから送信された登録情報を受信し、
前記登録情報をキーとして用いてハッシュ値を算出し、
前記ハッシュ値を含むＵＲＬを生成し、
生成した前記ＵＲＬを前記クライアントへと通知し、
前記クライアントからの前記ＵＲＬを受信し、
前記クライアントにログイン画面を表示し、
前記ハッシュ値を前記ＵＲＬから抽出し、
前記クライアントから認証要求を受信し、
前記認証要求から第２のハッシュ値を算出し、
前記ハッシュ値と前記第２のハッシュ値とが一致するか否かにより前記クライアントの認証の可否を判断する
ことを特徴とする情報処理方法。
【図１】
【図２】
【図３】
【図４】
【図５Ａ】
【図５Ｂ】
【図６Ａ】
【図６Ｂ】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５Ａ】
【図５Ｂ】
【図６Ａ】
【図６Ｂ】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１２−２４７９９２（Ｐ２０１２−２４７９９２Ａ）
【公開日】平成２４年１２月１３日（２０１２．１２．１３）
【国際特許分類】
【出願番号】特願２０１１−１１９１２４（Ｐ２０１１−１１９１２４）
【出願日】平成２３年５月２７日（２０１１．５．２７）
【出願人】（５９８０４９３２２）株式会社三菱東京ＵＦＪ銀行 (200)
【Ｆターム（参考）】
【公開日】平成２４年１２月１３日（２０１２．１２．１３）
【国際特許分類】
【出願日】平成２３年５月２７日（２０１１．５．２７）
【出願人】（５９８０４９３２２）株式会社三菱東京ＵＦＪ銀行 (200)
【Ｆターム（参考）】
[ Back to top ]