認証サービス方法及びシステム
【課題】高度なセキュリティを有する認証サービスを提供する。
【解決手段】ＯＴＰトークンと、端末と、ネットショップの専用サイトと、認証サーバとを備え、端末と専用サイトと認証サーバとがネットワークに接続されているシステムが実行する方法であって、端末が、入力されたカード番号を専用サイトに送信し、専用サイトが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を認証サーバに送信し、認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信し、ＯＴＰトークンが、端末で受信されて入力されたチャレンジデータを基に、ワンタイム・パスワードを生成し、端末が、入力されたワンタイム・パスワードを認証サーバに送信し、認証サーバが、受信したワンタイム・パスワードを基にユーザ認証を行って、認証結果を専用サイトに送信する認証サービス方法。
【解決手段】ＯＴＰトークンと、端末と、ネットショップの専用サイトと、認証サーバとを備え、端末と専用サイトと認証サーバとがネットワークに接続されているシステムが実行する方法であって、端末が、入力されたカード番号を専用サイトに送信し、専用サイトが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を認証サーバに送信し、認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信し、ＯＴＰトークンが、端末で受信されて入力されたチャレンジデータを基に、ワンタイム・パスワードを生成し、端末が、入力されたワンタイム・パスワードを認証サーバに送信し、認証サーバが、受信したワンタイム・パスワードを基にユーザ認証を行って、認証結果を専用サイトに送信する認証サービス方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証サービスに関する。
【背景技術】
【０００２】
一般に、インターネット等のネットワークでクレジットカード決済に必要なユーザ認証サービスとしては、３Ｄセキュアが知られている。
【０００３】
この３Ｄセキュアは、予め認証サーバにパスワードを登録しておき、ネットワークでクレジットカード決済する際に、パスワードを、ユーザが送信することを促すものである。
【０００４】
また一般に、インターネット等のネットワークでクレジットカード決済に必要なユーザ認証サービスとしては、時刻ベースのワンタイム・パスワードを利用することも知られている。
【０００５】
この時刻ベースのワンタイム・パスワードは、予め認証サーバと時間的に同期してワンタイム・パスワードを生成するワンタイム・パスワード生成器をユーザに持たせ、ネットワークでクレジットカード決済する際に、生成されたワンタイム・パスワードを、ユーザが送信することを促すものである。
【０００６】
これらのサービスは、第三者が認証サーバを装い認証サーバとは別のサーバに、パスワード又はワンタイムパスワードを送信するよう誘引して、パスワード又はワンタイムパスワードを盗む、いわゆるフィッシングの危険がある。
【０００７】
また時刻ベースのワンタイム・パスワードでは、ワンタイム生成器が盗まれた場合、さらにネットショップにログインするために必要なＩＤ及びパスワードが事前に分かっていた場合、なりすましのリスクが高まる。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明は斯かる背景技術に鑑みてなされたもので、高度なセキュリティを有する認証サービスを提供することを課題とする。
【課題を解決するための手段】
【０００９】
本発明において上記課題を解決するために、まず請求項１の発明では、ＯＴＰトークンと、端末と、ネットショップの専用サイトと、認証サーバとを備え、これら端末と専用サイトと認証サーバとがネットワークに接続されているシステムが実行する方法であって、
端末が、入力されたカード番号を専用サイトに送信する工程と、
専用サイトが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を認証サーバに送信する工程と、
認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する工程と、
ＯＴＰトークンが、端末で受信されて入力されたチャレンジデータを基に、ワンタイム・パスワードを生成する工程と、
端末が、入力されたワンタイム・パスワードを認証サーバに送信する工程と、
認証サーバが、受信したワンタイム・パスワードを基にユーザ認証を行って、認証結果を専用サイトに送信する工程とを含むことを特徴とする認証サービス方法としたものである。
【００１０】
また請求項２の発明では、ＯＴＰトークンが、入力されたＰＩＮを基にユーザ認証を行い、認証に成功した場合のみ、チャレンジコードの入力を可能にする工程を含むことを特徴とする請求項１記載の認証サービス方法としたものである。
【００１１】
また請求項３の発明では、認証サーバは、カード番号と、ＯＴＰトークンの所持の有無とを対にして記憶しているデータベースを有し、
認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する工程の代わりに、認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、データベースを参照して、このカード番号と対のＯＴＰトークンの所持の有無を確かめ、ＯＴＰトークンの所持がない場合、このことを専用サイトに送信し、他方、ＯＴＰトークンの所持が有る場合、チャレンジデータを生成して端末に送信する工程を含むことを特徴とする請求項１又は２記載の認証サービス方法としたものである。
【００１２】
また請求項４の発明では、
ＯＴＰトークンと、端末と、ネットショップの専用サイトと、認証サーバとを備え、これら端末と専用サイトと認証サーバとがネットワークに接続されているシステムであって、
ＯＴＰトークンは、端末で受信されて入力されたチャレンジデータを基に、ワンタイム・パスワードを生成する手段を有し、
端末は、入力されたカード番号を専用サイトに送信する手段と、入力されたワンタイム・パスワードを認証サーバに送信する手段とを有し、
専用サイトは、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を認証サーバに送信する手段を有し、
認証サーバは、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する手段と、受信したワンタイム・パスワードを基にユーザ認証を行って、認証結果を専用サイトに送信する手段とを有することを特徴とする認証サービスシステムとしたものである。
【００１３】
また請求項５の発明では、ＯＴＰトークンは、入力されたＰＩＮを基にユーザ認証を行い、認証に成功した場合のみ、チャレンジコードの入力を可能にする手段を有することを特徴とする請求項４記載の認証サービスシステムとしたものである。
【００１４】
また請求項６の発明では、認証サーバは、カード番号と、ＯＴＰトークンの所持の有無とを対にして記憶しているデータベースと、専用サイトが受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する手段の代わりに、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、データベースを参照して、このカード番号と対のＯＴＰトークンの所持の有無を確かめ、ＯＴＰトークンの所持がない場合、このことを専用サイトに送信し、他方、ＯＴＰトークンの所持が有る場合、チャレンジデータを生成して端末に送信する手段とを有することを特徴とする請求項４又は５記載の認証サービスシステムとしたものである。
【発明の効果】
【００１５】
請求項１及び４の発明は、第三者が認証サーバを装い認証サーバとは別のサーバに、ワンタイムパスワードを送信するよう誘引しても、この認証サーバとは別のサーバが、認証サーバと全く同じチャレンジデータを端末に送信しない限り、ワンタイムパスワードを盗み取ることができないので、フィッシング詐欺に対処することができるという効果がある。
【００１６】
請求項２及び５の発明は、ＯＴＰトークンが盗まれても、ＰＩＮを入力して、ユーザ認証に成功しない限り、ワンタイム・パスワードを生成するためのチャレンジコードの入力が不可能なので、なりすましのリスクが低減するという効果がある。
【００１７】
請求項３及び６の発明は、ネットショップが、クレジットカードで決済しようとするユーザがＯＴＰトークンを所持しているか否かを知ることができ、このユーザにＯＴＰトークンの所持を促すことができるという効果がある。
【００１８】
以上、本願発明は、高度なセキュリティを有する認証サービスを提供することができるという効果がある。
【図面の簡単な説明】
【００１９】
【図１】本発明に係るシステムの構成例を示す図。
【図２】クレジットカードによる決済のためのユーザ認証処理の流れの例を示すフローチャート。
【発明を実施するための形態】
【００２０】
以下に、本発明の実施の一形態を説明する。
【００２１】
本発明に係るシステムは、図１に示すように、ユーザの端末及びＯＴＰ（Ｏｎｅ Ｔｉｍｅ Ｐａｓｓｗｏｒｄ）トークン並びクレジットカードと、ネットショップの専用サイトと、カード会社又は第三者のデータセンタの認証サーバとを備え、これら端末と専用サイトと認証サーバとがインターネット等のネットワークに接続されているものである。
【００２２】
ＯＴＰトークンは、パスワード生成装置であって、ワンタイム・パスワードによるユーザ認証を希望するクレジットカードのユーザのみに、カード会社が与えるものである。
【００２３】
ワンタイム・パスワードは、ＯＴＰトークンによって、認証サーバから送られる度にランダムに変化するチャレンジデータを基に生成され、生成される度にランダムに変化するパスワードであって、認証サーバに送られてユーザ認証に用いられるものである。
【００２４】
認証サーバは、チャレンジデータを基にＯＴＰトークンと同じワンタイム・パスワードを生成し、生成されたワンタイム・パスワードと、送られて来たワンタイム・パスワードとを照合することによりユーザ認証（ワンタイム・パスワード認証とも云う）を行う。
【００２５】
尚、ＯＴＰトークンは、ＰＩＮ（Ｐｅｒｓｏｎａｌ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｎｕｍｂｅｒ）によるユーザ認証を行い、認証に成功した場合のみ、チャレンジコードの入力が可能になり、これによってワンタイム・パスワードの生成が可能になる。
【００２６】
認証サーバは、カード番号と、このカード番号で識別されるクレジットカードのユーザについてＯＴＰトークンの所持の有無とを対にして記憶しているデータベースを有する。
【００２７】
以下に、クレジットカードによる決済のためのユーザ認証処理の流れの例を、図２のフローチャートに従って説明する。
【００２８】
Ｓ（ＳＴＥＰ）１；
ユーザは、端末からネットショップの専用サイトに、ＩＤとパスワードでログインして
、買い物を行う。
【００２９】
Ｓ（ＳＴＥＰ）２；
クレジットカードによる決済のために、ユーザが、端末のＷｅｂ画面にてカード番号を入力すると、端末は、入力されたカード番号を、ネットショップの専用サイトに送信する。
【００３０】
Ｓ（ＳＴＥＰ）３；
ネットショップの専用サイトは、カード番号を受信すると、受信したカード番号で識別されるクレジットカードのユーザについて、ワンタイム・パスワードによるユーザ認証の依頼を、受信したカード番号とともに認証サーバに送信する。
【００３１】
Ｓ（ＳＴＥＰ）４；
認証サーバは、ワンタイム・パスワードによるユーザ認証の依頼を、カード番号とともに受信すると、データベースを参照して、受信したカード番号で識別されるクレジットカードのユーザについてＯＴＰトークンの所持の有無を確かめる。
【００３２】
Ｓ（ＳＴＥＰ）５；
ＯＴＰトークンの所持が無い場合、ＳＴＥＰ６へ進み、
他方、ＯＴＰトークンの所持が有る場合、ＳＴＥＰ７へ進む。
【００３３】
Ｓ（ＳＴＥＰ）６；
認証サーバは、ＯＴＰトークンの所持無しをネットショップの専用サイトに送信して、ＳＴＥＰ１３に進む。
【００３４】
Ｓ（ＳＴＥＰ）７；
認証サーバは、チャレンジデータ（ランダムな数値列）を生成してユーザの端末に送信するとともに、生成したチャレンジデータをユーザ及び生成時刻と対応付けて記憶する。
【００３５】
Ｓ（ＳＴＥＰ）８；
ユーザは、端末にて、チャレンジデータを受信すると、ＯＴＰトークンにＰＩＮ（Ｐｅｒｓｏｎａｌ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｎｕｍｂｅｒ）を入力する。
【００３６】
Ｓ（ＳＴＥＰ）９；
ＯＴＰトークンが、入力されたＰＩＮによってユーザ認証を行い、認証に成功して、チャレンジデータの入力を可能にすると、ユーザは、ＯＴＰトークンに、受信したチャレンジデータを入力する。
【００３７】
Ｓ（ＳＴＥＰ）１０；
ＯＴＰトークンは、入力されたチャレンジデータを基に、ワンタイム・パスワードを生成して出力する。
【００３８】
Ｓ（ＳＴＥＰ）１１；
ユーザが、端末に、出力されたワンタイム・パスワードを入力すると、端末は、入力されたワンタイム・パスワードを認証サーバに送信する。
【００３９】
Ｓ（ＳＴＥＰ）１２；
認証サーバは、ワンタイム・パスワードを受信すると、記憶しているチャレンジデータを基にユーザのＯＴＰトークンと同じ演算を行ってワンンタイムパスワードを生成し、受信したパスワードと生成したパスワードとを比較するワンタイム・パスワード認証を行い
、一致する場合には認証成功、相違する場合には認証失敗とするワンタイム・パスワード認証結果を、ネットショップの専用サイトに送信する。
【００４０】
Ｓ（ＳＴＥＰ）１３；
ネットショップの専用サーバは、ＯＴＰトークンの所持無し、或いは、ワンタイム・パスワード認証結果を受信すると、取引を完了する処理を行う。
【００４１】
このように、認証サーバがランダムに生成したチャレンジデータを基にワンタイム・パスワードを生成し、これを認証に用いているため、単に時刻及びＯＴＰトークンが保有している計算式のみから生成したワンタイム・パスワードを認証に用いる場合に比べて、セキュリティが向上し、フィッシングの危険性を低下させることが可能となる。
【技術分野】
【０００１】
本発明は、認証サービスに関する。
【背景技術】
【０００２】
一般に、インターネット等のネットワークでクレジットカード決済に必要なユーザ認証サービスとしては、３Ｄセキュアが知られている。
【０００３】
この３Ｄセキュアは、予め認証サーバにパスワードを登録しておき、ネットワークでクレジットカード決済する際に、パスワードを、ユーザが送信することを促すものである。
【０００４】
また一般に、インターネット等のネットワークでクレジットカード決済に必要なユーザ認証サービスとしては、時刻ベースのワンタイム・パスワードを利用することも知られている。
【０００５】
この時刻ベースのワンタイム・パスワードは、予め認証サーバと時間的に同期してワンタイム・パスワードを生成するワンタイム・パスワード生成器をユーザに持たせ、ネットワークでクレジットカード決済する際に、生成されたワンタイム・パスワードを、ユーザが送信することを促すものである。
【０００６】
これらのサービスは、第三者が認証サーバを装い認証サーバとは別のサーバに、パスワード又はワンタイムパスワードを送信するよう誘引して、パスワード又はワンタイムパスワードを盗む、いわゆるフィッシングの危険がある。
【０００７】
また時刻ベースのワンタイム・パスワードでは、ワンタイム生成器が盗まれた場合、さらにネットショップにログインするために必要なＩＤ及びパスワードが事前に分かっていた場合、なりすましのリスクが高まる。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明は斯かる背景技術に鑑みてなされたもので、高度なセキュリティを有する認証サービスを提供することを課題とする。
【課題を解決するための手段】
【０００９】
本発明において上記課題を解決するために、まず請求項１の発明では、ＯＴＰトークンと、端末と、ネットショップの専用サイトと、認証サーバとを備え、これら端末と専用サイトと認証サーバとがネットワークに接続されているシステムが実行する方法であって、
端末が、入力されたカード番号を専用サイトに送信する工程と、
専用サイトが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を認証サーバに送信する工程と、
認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する工程と、
ＯＴＰトークンが、端末で受信されて入力されたチャレンジデータを基に、ワンタイム・パスワードを生成する工程と、
端末が、入力されたワンタイム・パスワードを認証サーバに送信する工程と、
認証サーバが、受信したワンタイム・パスワードを基にユーザ認証を行って、認証結果を専用サイトに送信する工程とを含むことを特徴とする認証サービス方法としたものである。
【００１０】
また請求項２の発明では、ＯＴＰトークンが、入力されたＰＩＮを基にユーザ認証を行い、認証に成功した場合のみ、チャレンジコードの入力を可能にする工程を含むことを特徴とする請求項１記載の認証サービス方法としたものである。
【００１１】
また請求項３の発明では、認証サーバは、カード番号と、ＯＴＰトークンの所持の有無とを対にして記憶しているデータベースを有し、
認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する工程の代わりに、認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、データベースを参照して、このカード番号と対のＯＴＰトークンの所持の有無を確かめ、ＯＴＰトークンの所持がない場合、このことを専用サイトに送信し、他方、ＯＴＰトークンの所持が有る場合、チャレンジデータを生成して端末に送信する工程を含むことを特徴とする請求項１又は２記載の認証サービス方法としたものである。
【００１２】
また請求項４の発明では、
ＯＴＰトークンと、端末と、ネットショップの専用サイトと、認証サーバとを備え、これら端末と専用サイトと認証サーバとがネットワークに接続されているシステムであって、
ＯＴＰトークンは、端末で受信されて入力されたチャレンジデータを基に、ワンタイム・パスワードを生成する手段を有し、
端末は、入力されたカード番号を専用サイトに送信する手段と、入力されたワンタイム・パスワードを認証サーバに送信する手段とを有し、
専用サイトは、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を認証サーバに送信する手段を有し、
認証サーバは、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する手段と、受信したワンタイム・パスワードを基にユーザ認証を行って、認証結果を専用サイトに送信する手段とを有することを特徴とする認証サービスシステムとしたものである。
【００１３】
また請求項５の発明では、ＯＴＰトークンは、入力されたＰＩＮを基にユーザ認証を行い、認証に成功した場合のみ、チャレンジコードの入力を可能にする手段を有することを特徴とする請求項４記載の認証サービスシステムとしたものである。
【００１４】
また請求項６の発明では、認証サーバは、カード番号と、ＯＴＰトークンの所持の有無とを対にして記憶しているデータベースと、専用サイトが受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する手段の代わりに、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、データベースを参照して、このカード番号と対のＯＴＰトークンの所持の有無を確かめ、ＯＴＰトークンの所持がない場合、このことを専用サイトに送信し、他方、ＯＴＰトークンの所持が有る場合、チャレンジデータを生成して端末に送信する手段とを有することを特徴とする請求項４又は５記載の認証サービスシステムとしたものである。
【発明の効果】
【００１５】
請求項１及び４の発明は、第三者が認証サーバを装い認証サーバとは別のサーバに、ワンタイムパスワードを送信するよう誘引しても、この認証サーバとは別のサーバが、認証サーバと全く同じチャレンジデータを端末に送信しない限り、ワンタイムパスワードを盗み取ることができないので、フィッシング詐欺に対処することができるという効果がある。
【００１６】
請求項２及び５の発明は、ＯＴＰトークンが盗まれても、ＰＩＮを入力して、ユーザ認証に成功しない限り、ワンタイム・パスワードを生成するためのチャレンジコードの入力が不可能なので、なりすましのリスクが低減するという効果がある。
【００１７】
請求項３及び６の発明は、ネットショップが、クレジットカードで決済しようとするユーザがＯＴＰトークンを所持しているか否かを知ることができ、このユーザにＯＴＰトークンの所持を促すことができるという効果がある。
【００１８】
以上、本願発明は、高度なセキュリティを有する認証サービスを提供することができるという効果がある。
【図面の簡単な説明】
【００１９】
【図１】本発明に係るシステムの構成例を示す図。
【図２】クレジットカードによる決済のためのユーザ認証処理の流れの例を示すフローチャート。
【発明を実施するための形態】
【００２０】
以下に、本発明の実施の一形態を説明する。
【００２１】
本発明に係るシステムは、図１に示すように、ユーザの端末及びＯＴＰ（Ｏｎｅ Ｔｉｍｅ Ｐａｓｓｗｏｒｄ）トークン並びクレジットカードと、ネットショップの専用サイトと、カード会社又は第三者のデータセンタの認証サーバとを備え、これら端末と専用サイトと認証サーバとがインターネット等のネットワークに接続されているものである。
【００２２】
ＯＴＰトークンは、パスワード生成装置であって、ワンタイム・パスワードによるユーザ認証を希望するクレジットカードのユーザのみに、カード会社が与えるものである。
【００２３】
ワンタイム・パスワードは、ＯＴＰトークンによって、認証サーバから送られる度にランダムに変化するチャレンジデータを基に生成され、生成される度にランダムに変化するパスワードであって、認証サーバに送られてユーザ認証に用いられるものである。
【００２４】
認証サーバは、チャレンジデータを基にＯＴＰトークンと同じワンタイム・パスワードを生成し、生成されたワンタイム・パスワードと、送られて来たワンタイム・パスワードとを照合することによりユーザ認証（ワンタイム・パスワード認証とも云う）を行う。
【００２５】
尚、ＯＴＰトークンは、ＰＩＮ（Ｐｅｒｓｏｎａｌ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｎｕｍｂｅｒ）によるユーザ認証を行い、認証に成功した場合のみ、チャレンジコードの入力が可能になり、これによってワンタイム・パスワードの生成が可能になる。
【００２６】
認証サーバは、カード番号と、このカード番号で識別されるクレジットカードのユーザについてＯＴＰトークンの所持の有無とを対にして記憶しているデータベースを有する。
【００２７】
以下に、クレジットカードによる決済のためのユーザ認証処理の流れの例を、図２のフローチャートに従って説明する。
【００２８】
Ｓ（ＳＴＥＰ）１；
ユーザは、端末からネットショップの専用サイトに、ＩＤとパスワードでログインして
、買い物を行う。
【００２９】
Ｓ（ＳＴＥＰ）２；
クレジットカードによる決済のために、ユーザが、端末のＷｅｂ画面にてカード番号を入力すると、端末は、入力されたカード番号を、ネットショップの専用サイトに送信する。
【００３０】
Ｓ（ＳＴＥＰ）３；
ネットショップの専用サイトは、カード番号を受信すると、受信したカード番号で識別されるクレジットカードのユーザについて、ワンタイム・パスワードによるユーザ認証の依頼を、受信したカード番号とともに認証サーバに送信する。
【００３１】
Ｓ（ＳＴＥＰ）４；
認証サーバは、ワンタイム・パスワードによるユーザ認証の依頼を、カード番号とともに受信すると、データベースを参照して、受信したカード番号で識別されるクレジットカードのユーザについてＯＴＰトークンの所持の有無を確かめる。
【００３２】
Ｓ（ＳＴＥＰ）５；
ＯＴＰトークンの所持が無い場合、ＳＴＥＰ６へ進み、
他方、ＯＴＰトークンの所持が有る場合、ＳＴＥＰ７へ進む。
【００３３】
Ｓ（ＳＴＥＰ）６；
認証サーバは、ＯＴＰトークンの所持無しをネットショップの専用サイトに送信して、ＳＴＥＰ１３に進む。
【００３４】
Ｓ（ＳＴＥＰ）７；
認証サーバは、チャレンジデータ（ランダムな数値列）を生成してユーザの端末に送信するとともに、生成したチャレンジデータをユーザ及び生成時刻と対応付けて記憶する。
【００３５】
Ｓ（ＳＴＥＰ）８；
ユーザは、端末にて、チャレンジデータを受信すると、ＯＴＰトークンにＰＩＮ（Ｐｅｒｓｏｎａｌ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｎｕｍｂｅｒ）を入力する。
【００３６】
Ｓ（ＳＴＥＰ）９；
ＯＴＰトークンが、入力されたＰＩＮによってユーザ認証を行い、認証に成功して、チャレンジデータの入力を可能にすると、ユーザは、ＯＴＰトークンに、受信したチャレンジデータを入力する。
【００３７】
Ｓ（ＳＴＥＰ）１０；
ＯＴＰトークンは、入力されたチャレンジデータを基に、ワンタイム・パスワードを生成して出力する。
【００３８】
Ｓ（ＳＴＥＰ）１１；
ユーザが、端末に、出力されたワンタイム・パスワードを入力すると、端末は、入力されたワンタイム・パスワードを認証サーバに送信する。
【００３９】
Ｓ（ＳＴＥＰ）１２；
認証サーバは、ワンタイム・パスワードを受信すると、記憶しているチャレンジデータを基にユーザのＯＴＰトークンと同じ演算を行ってワンンタイムパスワードを生成し、受信したパスワードと生成したパスワードとを比較するワンタイム・パスワード認証を行い
、一致する場合には認証成功、相違する場合には認証失敗とするワンタイム・パスワード認証結果を、ネットショップの専用サイトに送信する。
【００４０】
Ｓ（ＳＴＥＰ）１３；
ネットショップの専用サーバは、ＯＴＰトークンの所持無し、或いは、ワンタイム・パスワード認証結果を受信すると、取引を完了する処理を行う。
【００４１】
このように、認証サーバがランダムに生成したチャレンジデータを基にワンタイム・パスワードを生成し、これを認証に用いているため、単に時刻及びＯＴＰトークンが保有している計算式のみから生成したワンタイム・パスワードを認証に用いる場合に比べて、セキュリティが向上し、フィッシングの危険性を低下させることが可能となる。
【特許請求の範囲】
【請求項１】
ＯＴＰトークンと、端末と、ネットショップの専用サイトと、認証サーバとを備え、これら端末と専用サイトと認証サーバとがネットワークに接続されているシステムが実行する方法であって、
端末が、入力されたカード番号を専用サイトに送信する工程と、
専用サイトが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を認証サーバに送信する工程と、
認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する工程と、
ＯＴＰトークンが、端末で受信されて入力されたチャレンジデータを基に、ワンタイム・パスワードを生成する工程と、
端末が、入力されたワンタイム・パスワードを認証サーバに送信する工程と、
認証サーバが、受信したワンタイム・パスワードを基にユーザ認証を行って、認証結果を専用サイトに送信する工程とを含むことを特徴とする認証サービス方法。
【請求項２】
ＯＴＰトークンが、入力されたＰＩＮを基にユーザ認証を行い、認証に成功した場合のみ、チャレンジコードの入力を可能にする工程を含むことを特徴とする請求項１記載の認証サービス方法。
【請求項３】
認証サーバは、カード番号と、ＯＴＰトークンの所持の有無とを対にして記憶しているデータベースを有し、
認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する工程の代わりに、認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、データベースを参照して、このカード番号と対のＯＴＰトークンの所持の有無を確かめ、ＯＴＰトークンの所持がない場合、このことを専用サイトに送信し、他方、ＯＴＰトークンの所持が有る場合、チャレンジデータを生成して端末に送信する工程を含むことを特徴とする請求項１又は２記載の認証サービス方法。
【請求項４】
ＯＴＰトークンと、端末と、ネットショップの専用サイトと、認証サーバとを備え、これら端末と専用サイトと認証サーバとがネットワークに接続されているシステムであって、
ＯＴＰトークンは、端末で受信されて入力されたチャレンジデータを基に、ワンタイム・パスワードを生成する手段を有し、
端末は、入力されたカード番号を専用サイトに送信する手段と、入力されたワンタイム・パスワードを認証サーバに送信する手段とを有し、
専用サイトは、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を認証サーバに送信する手段を有し、
認証サーバは、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する手段と、受信したワンタイム・パスワードを基にユーザ認証を行って、認証結果を専用サイトに送信する手段とを有することを特徴とする認証サービスシステム。
【請求項５】
ＯＴＰトークンは、入力されたＰＩＮを基にユーザ認証を行い、認証に成功した場合のみ、チャレンジコードの入力を可能にする手段を有することを特徴とする請求項４記載の認証サービスシステム。
【請求項６】
認証サーバは、カード番号と、ＯＴＰトークンの所持の有無とを対にして記憶しているデータベースと、専用サイトが受信したカード番号で識別されるクレジットカードのユー
ザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する手段の代わりに、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、データベースを参照して、このカード番号と対のＯＴＰトークンの所持の有無を確かめ、ＯＴＰトークンの所持がない場合、このことを専用サイトに送信し、他方、ＯＴＰトークンの所持が有る場合、チャレンジデータを生成して端末に送信する手段とを有することを特徴とする請求項４又は５記載の認証サービスシステム。
【請求項１】
ＯＴＰトークンと、端末と、ネットショップの専用サイトと、認証サーバとを備え、これら端末と専用サイトと認証サーバとがネットワークに接続されているシステムが実行する方法であって、
端末が、入力されたカード番号を専用サイトに送信する工程と、
専用サイトが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を認証サーバに送信する工程と、
認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する工程と、
ＯＴＰトークンが、端末で受信されて入力されたチャレンジデータを基に、ワンタイム・パスワードを生成する工程と、
端末が、入力されたワンタイム・パスワードを認証サーバに送信する工程と、
認証サーバが、受信したワンタイム・パスワードを基にユーザ認証を行って、認証結果を専用サイトに送信する工程とを含むことを特徴とする認証サービス方法。
【請求項２】
ＯＴＰトークンが、入力されたＰＩＮを基にユーザ認証を行い、認証に成功した場合のみ、チャレンジコードの入力を可能にする工程を含むことを特徴とする請求項１記載の認証サービス方法。
【請求項３】
認証サーバは、カード番号と、ＯＴＰトークンの所持の有無とを対にして記憶しているデータベースを有し、
認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する工程の代わりに、認証サーバが、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、データベースを参照して、このカード番号と対のＯＴＰトークンの所持の有無を確かめ、ＯＴＰトークンの所持がない場合、このことを専用サイトに送信し、他方、ＯＴＰトークンの所持が有る場合、チャレンジデータを生成して端末に送信する工程を含むことを特徴とする請求項１又は２記載の認証サービス方法。
【請求項４】
ＯＴＰトークンと、端末と、ネットショップの専用サイトと、認証サーバとを備え、これら端末と専用サイトと認証サーバとがネットワークに接続されているシステムであって、
ＯＴＰトークンは、端末で受信されて入力されたチャレンジデータを基に、ワンタイム・パスワードを生成する手段を有し、
端末は、入力されたカード番号を専用サイトに送信する手段と、入力されたワンタイム・パスワードを認証サーバに送信する手段とを有し、
専用サイトは、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を認証サーバに送信する手段を有し、
認証サーバは、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する手段と、受信したワンタイム・パスワードを基にユーザ認証を行って、認証結果を専用サイトに送信する手段とを有することを特徴とする認証サービスシステム。
【請求項５】
ＯＴＰトークンは、入力されたＰＩＮを基にユーザ認証を行い、認証に成功した場合のみ、チャレンジコードの入力を可能にする手段を有することを特徴とする請求項４記載の認証サービスシステム。
【請求項６】
認証サーバは、カード番号と、ＯＴＰトークンの所持の有無とを対にして記憶しているデータベースと、専用サイトが受信したカード番号で識別されるクレジットカードのユー
ザ認証の依頼を受信すると、チャレンジデータを生成して端末に送信する手段の代わりに、受信したカード番号で識別されるクレジットカードのユーザ認証の依頼を受信すると、データベースを参照して、このカード番号と対のＯＴＰトークンの所持の有無を確かめ、ＯＴＰトークンの所持がない場合、このことを専用サイトに送信し、他方、ＯＴＰトークンの所持が有る場合、チャレンジデータを生成して端末に送信する手段とを有することを特徴とする請求項４又は５記載の認証サービスシステム。
【図１】
【図２】
【図２】
【公開番号】特開２０１１−１６４８２１（Ｐ２０１１−１６４８２１Ａ）
【公開日】平成２３年８月２５日（２０１１．８．２５）
【国際特許分類】
【出願番号】特願２０１０−２５２３２（Ｐ２０１０−２５２３２）
【出願日】平成２２年２月８日（２０１０．２．８）
【出願人】（０００００３１９３）凸版印刷株式会社 (10,630)
【Ｆターム（参考）】
【公開日】平成２３年８月２５日（２０１１．８．２５）
【国際特許分類】
【出願日】平成２２年２月８日（２０１０．２．８）
【出願人】（０００００３１９３）凸版印刷株式会社 (10,630)
【Ｆターム（参考）】
[ Back to top ]