認証システム、携帯無線通信端末、認証方法、認証プログラム、認証情報生成方法、認証情報生成プログラム
【課題】仮にトークンである非接触型情報記憶媒体が盗取された場合であっても、ユーザなりすましが困難なシステムをユーザの記憶に負荷をかけない形で利便性高く実現することができる認証システム、携帯無線通信端末、認証方法、認証プログラム、認証情報生成方法、認証情報生成プログラムを提供する。
【解決手段】携帯無線通信端末１００のリーダライタ１４０により、非接触型ＩＣカード４０の第１の固有情報Ｘを読み取り、認証キーＰを生成する。この認証キーＰをパスワードの代わりに用いて、認証を行う。
【解決手段】携帯無線通信端末１００のリーダライタ１４０により、非接触型ＩＣカード４０の第１の固有情報Ｘを読み取り、認証キーＰを生成する。この認証キーＰをパスワードの代わりに用いて、認証を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットサービスを利用する携帯電話機等における認証システム、携帯無線通信端末、認証方法、認証プログラム、認証情報生成方法、認証情報生成プログラムに関するものである。
【背景技術】
【０００２】
ＯｐｅｎＩＤと連携したInformation Card等のｗｅｂ認証サービスでは、認証を担うプロバイダを共有する仕組みにより、ユーザのＩＤ及びパスワード管理責任を軽減する仕組みを提供している。これらは、前提として、ＩＤたるカード（そして多くの場合パスワードも）をユーザが記憶してカード情報の利用をユーザが厳重に管理することを前提とする。人間の記憶に頼る以上、適切なパスワードの徹底には限界があり、多くのユーザの場合、極端に桁数が短かったり、辞書攻撃に弱いパスワードを指定したりする等、安全性を確保したパスワード運用が困難であった。
【０００３】
また、利用者が認証プロバイダからＰＣ（パーソナルコンピュータ）向けに発行を受けたInformation Card規格のカードは、基本的にカードを生成した端末内で利用することを前提としている。したがって、携帯電話等の他の端末で利用したくても、生成済みカードを他の端末へ安全にコピーする仕組みがないため、同一の利用者が利用する異なる情報機器（ＰＣ、携帯電話等）に同一のＩＤでログインすることはできなかった。
【０００４】
さらに、ＯＡＳＩＳ規格(Identity Metasystem Interoperability Version 1.0 )では、カード様式の暗号化手順は定めているがＰＩＮに依っているため、安全性がＰＩＮの長さ等に依存するという問題点は解消されていない。
【０００５】
このように、従来の方式では、安全なパスワードは、一定の桁数を要求し、辞書攻撃に強い、ランダムな英数字記号等の羅列であることが求められる。ＯｐｅｎＩＤ及びInformation CardではＩｄＰの統合やシングルサインオンの利用により、パスワードの数を減らせるとしてもパスワードの安全性は、人間のパスワード生成にまかされている。したがって、結局のところ人間の記憶可能な高い安全性を持ったパスワードの利用徹底は、一般ユーザには極めて困難であった。
【０００６】
一方、利用者の入力の手間を省きながら同時に正規利用者であることを確認する方式として、利用者端末から割符をサーバ側へ渡すことで認証を行う方式が特許文献１及び特許文献２に開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００４−２３４６３２号公報
【特許文献２】特開２００４−２３４６３３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、特許文献１及び特許文献２に開示の方式では、認証時の専用カードではなく、他用途（乗車券、電子マネー等）向けカードを認証に利用する非接触型ＩＣカードとして流用する場合、本来の用途とは異なるサービス業者がカード固有ＩＤを知ることになる。他用途向けの非接触型ＩＣカード本来の用途では、カード固有ＩＤが個人を特定するものではない（無記名式）場合もあり、カード固有ＩＤと個人との結びつけはプライバシーの問題上好ましくないという問題があった。
【０００９】
また、非接触型ＩＣカードを盗取された場合や無線部分の盗聴等、何らかの方法で非接触型ＩＣカードのＩＤを悪意ある第３者が入手した場合には、本人なりすましによる不正利用のおそれがあった。
【００１０】
本発明の課題は、仮にトークンである非接触型情報記憶媒体が盗取された場合であっても、ユーザなりすましが困難なシステムをユーザの記憶に負荷をかけない形で利便性高く実現することができる認証システム、携帯無線通信端末、認証方法、認証プログラム、認証情報生成方法、認証情報生成プログラムを提供することである。
【課題を解決するための手段】
【００１１】
本発明は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。
【００１２】
（１）本発明は、第１の認証情報を保持するコンピュータ装置（５０）と、前記第１の認証情報に加えて前記コンピュータ装置から入力されたパスワードを用いて認証処理を行うサーバ（１１，１２）と、通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段により前記コンピュータ装置と通信が可能な携帯無線通信端末（１００）と、を備えた認証システムであって、前記携帯無線通信端末は、非接触型情報記憶媒体（４０）と非接触で通信を行うリーダライタ（１４０）と、前記リーダライタを介して前記非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得手段（１３１）と、前記第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得手段（１３２）と、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成手段（１３３）と、前記通信サービスを介して行われる前記第１の認証情報を用いる前記サーバとの認証に関する処理を、前記パスワードに代えて前記第２の認証情報を用いて行う認証処理手段（１３４）と、を備えること、を特徴とする認証システムを提案している。
【００１３】
この発明によれば、第１の固有情報取得手段は、携帯無線通信端末が、非接触型情報記憶媒体と非接触で通信を行うリーダライタと、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第１の認証情報取得手段は、第１の認証情報をコンピュータ装置と通信を行うことにより取得する。第２の認証情報生成手段は、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。認証処理手段は、通信サービスを介して行われる第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて第２の認証情報を用いて行う。したがって、ユーザは、パスワードを記憶しなくとも、非接触型情報記憶媒体が有する第１の固有情報を用いて認証処理を行うことができる。
【００１４】
（２）本発明は、（１）の認証システムについて、前記コンピュータ装置（５０）は、前記携帯無線通信端末（１００）から前記第２の認証情報（Ｐ）を取得し、前記サーバ（１１，１２）に対して前記第２の認証情報を前記第１の認証情報に関連付けて送ること、を特徴とする認証システムを提案している。
【００１５】
この発明によれば、コンピュータ装置は、携帯無線通信端末から第２の認証情報を取得し、サーバに対して第２の認証情報を第１の認証情報に関連付けて送る。したがって、コンピュータ装置に非接触型情報記憶媒体と通信可能なリーダライタが設けられていなくとも、第２の認証情報を共有できる。
【００１６】
（３）本発明は、（１）又は（２）の認証システムにおいて、前記第２の認証情報（Ｐ）は、前記携帯無線通信端末内に装着された接触型情報記憶媒体（３０）が記憶する前記通信サービスに関する第２の固有情報をさらに用いて生成されること、を特徴とする認証システムを提案している。
【００１７】
この発明によれば、第２の認証情報は、携帯無線通信端末内に装着された接触型情報記憶媒体が記憶する通信サービスに関する第２の固有情報をさらに用いて生成される。したがって、より安全性を高めることができる。
【００１８】
（４）本発明は、（１）の認証システムにおいて、前記コンピュータ装置（５０）は、前記非接触型情報記憶媒体（４０）と非接触で通信を行うリーダライタ（５２）を備え、前記リーダライタを介して前記非接触型情報記憶媒体が有する前記第１の固有情報を取得するコンピュータ装置内固有情報取得手段（５３）と、前記第２の認証情報（Ｐ）を生成するコンピュータ装置内第２の認証情報生成手段（５４）と、を備えることを特徴とする認証システムを提案している。
【００１９】
この発明によれば、コンピュータ装置内固有情報取得手段は、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。コンピュータ装置内第２の認証情報生成手段は、第２の認証情報を生成する。したがって、より簡単に第２の認証情報を共有できる。
【００２０】
（５）本発明は、通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段によりコンピュータ装置（５０）と通信が可能な携帯無線通信端末（１００）であって、非接触型情報記憶媒体（４０）と非接触で通信を行うリーダライタ（１４０）と、前記リーダライタを介して前記非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得手段（１３１）と、第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得手段（１３２）と、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成手段（１３３）と、前記通信サービスを介して行われる前記第１の認証情報を用いるサーバ（１１，１２）との認証に関する処理を、パスワードに代えて前記第２の認証情報を用いて行う認証処理手段（１３４）と、を備えること、を特徴とする携帯無線通信端末を提案している。
【００２１】
この発明によれば、第１の固有情報取得手段は、非接触型情報記憶媒体と非接触で通信を行うリーダライタと、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第１の認証情報取得手段は、第１の認証情報をコンピュータ装置と通信を行うことにより取得する。第２の認証情報生成手段は、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。認証処理手段は、通信サービスを介して行われる第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて第２の認証情報を用いて行う。したがって、ユーザは、パスワードを記憶しなくとも、非接触型情報記憶媒体が有する第１の固有情報を用いて認証処理を行うことができる。
【００２２】
（６）本発明は、第１の認証情報を保持するコンピュータ装置（５０）と、前記第１の認証情報に加えて前記コンピュータ装置から入力されたパスワードを用いて認証処理を行うサーバ（１１，１２）と、通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段により前記コンピュータ装置と通信が可能な携帯無線通信端末（１００）と、を備えた認証システムにおける認証方法であって、前記携帯無線通信端末は、リーダライタ（１４０）を介して非接触型情報記憶媒体（４０）が有する第１の固有情報を取得する第１の固有情報取得ステップと、前記第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得ステップと、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成ステップと、前記通信サービスを介して行われる前記第１の認証情報を用いる前記サーバとの認証に関する処理を、前記パスワードに代えて前記第２の認証情報を用いて行う認証処理ステップと、を実行すること、を特徴とする認証方法を提案している。
【００２３】
この発明によれば、第１の固有情報取得ステップは、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第１の認証情報取得ステップは、第１の認証情報をコンピュータ装置と通信を行うことにより取得する。第２の認証情報生成ステップは、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。認証処理ステップは、通信サービスを介して行われる第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて第２の認証情報を用いて行う。したがって、ユーザは、パスワードを記憶しなくとも、非接触型情報記憶媒体が有する第１の固有情報を用いて認証処理を行うことができる。
【００２４】
（７）本発明は、通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段によりコンピュータ装置（５０）と通信が可能な携帯無線通信端末（１００）における認証プログラム（１３０）であって、前記携帯無線通信端末のコンピュータに、リーダライタ（５２）を介して非接触型情報記憶媒体（４０）が有する第１の固有情報を取得する第１の固有情報取得ステップと、第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得ステップと、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成ステップと、前記通信サービスを介して行われる前記第１の認証情報を用いるサーバ（１１，１２）との認証に関する処理を、パスワードに代えて前記第２の認証情報を用いて行う認証処理ステップと、を実行させるための認証プログラムを提案している。
【００２５】
この発明によれば、第１の固有情報取得ステップは、携帯無線通信端末のコンピュータに、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第１の認証情報取得ステップは、第１の認証情報をコンピュータ装置と通信を行うことにより取得する。第２の認証情報生成ステップは、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。認証処理ステップは、通信サービスを介して行われる第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて第２の認証情報を用いて行う。したがって、ユーザは、パスワードを記憶しなくとも、非接触型情報記憶媒体が有する第１の固有情報を用いて認証処理を行うことができる。
【００２６】
（８）本発明は、リーダライタ（５２，１４０）を介して非接触型情報記憶媒体（４０）が有する第１の固有情報を取得する第１の固有情報取得ステップと、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成ステップと、を実行すること、を特徴とする認証情報生成方法を提案している。
【００２７】
この発明によれば、第１の固有情報取得ステップは、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第２の認証情報生成ステップは、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。したがって、パスワードの代わりとなる第２の認証情報を簡単かつ安全に生成できる。
【００２８】
（９）本発明は、コンピュータに、リーダライタ（５２，１４０）を介して非接触型情報記憶媒体（４０）が有する第１の固有情報を取得する第１の固有情報取得ステップと、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成ステップと、を実行させるための認証情報生成プログラム（５１，１３０）を提案している。
【００２９】
この発明によれば、第１の固有情報取得ステップは、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第２の認証情報生成ステップは、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。したがって、パスワードの代わりとなる第２の認証情報を簡単かつ安全に生成できる。
【発明の効果】
【００３０】
本発明によれば、仮にトークンである非接触型情報記憶媒体が盗取された場合であっても、ユーザなりすましが困難なシステムをユーザの記憶に負荷をかけない形で利便性高く実現することができる。
【図面の簡単な説明】
【００３１】
【図１】本発明による認証方法を用いた携帯無線通信端末を含む認証システムの第１実施形態を示す図である。
【図２】第１実施形態の認証システムにおいてInformation Cardを携帯無線通信端末１００に移行する動作を示すフローチャートである。
【図３】携帯無線通信端末１００によりInformation Cardと非接触型ＩＣカード４０とを用いたＳＰサーバ１１に対する認証処理を示すフローチャートである。
【図４】携帯無線通信端末１００によりInformation Cardと非接触型ＩＣカード４０とを用いたＳＰサーバ１１に対する認証処理を示すフローチャートである。
【図５】本発明による認証方法を用いた携帯無線通信端末を含む認証システムの第２実施形態を示す図である。
【発明を実施するための形態】
【００３２】
以下、図面を用いて、本発明の実施形態について詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組み合わせを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。
【００３３】
（第１実施形態）
図１は、本発明による認証方法を用いた携帯無線通信端末を含む認証システムの第１実施形態を示す図である。
本実施形態の認証システムは、ＳＰ（Service Provider）サーバ１１と、ＩｄＰ（Identity Provider）サーバ１２と、基地局２０と、ＵＩＭ（User Identity Module）カード３０と、非接触型ＩＣカード４０と、コンピュータ装置５０と、携帯無線通信端末１００とを備えている。
【００３４】
ＳＰサーバ１１は、サービス提供者が管理運営するサービス提供サーバである。ＳＰサーバ１１は、基地局２０を介して携帯無線通信端末１００と通信を行う。なお、ＳＰサーバ１１は、１つのみ図示しているが、複数の異なるサービス毎に異なるＳＰサーバ１１が設けられている。
【００３５】
ＩｄＰサーバ１２は、認証管理を行うサーバであり、ＳＰサーバ１１とネットワーク接続されている。
ＩｄＰサーバ１２は、後述のInformation Cardを用いた認証処理を要求されたＳＰサーバ１１に代わって認証処理を行う。したがって、複数の異なるサービスを提供するＳＰサーバ１１が存在している場合であっても、認証処理自体は、ＩｄＰサーバ１２が行うので、単一のInformation Cardだけでも、複数の異なるＳＰサーバ１１の認証処理を行える。
【００３６】
基地局２０は、ＳＰサーバ１１と接続されており、携帯無線通信端末１００との間で無線通信を行う。本実施形態では、基地局２０は、携帯電話サービス等の通信サービスを提供する通信事業者が管理し、ＳＰサーバ１１は、この通信サービスを提供する通信事業者とは異なる各種有料サービス等を行うサービス提供者が管理している。
【００３７】
ＵＩＭカード３０は、携帯無線通信端末１００内に装着されて、携帯無線通信端末１００内の接触端子（不図示）と接触して携帯無線通信端末１００との間で情報の通信を行う接触型ＩＣカード（接触型情報記憶媒体）である。ＵＩＭカード３０には、通信サービスの利用者を特定する固有番号として利用者識別ＩＤ（以下、第２の固有情報とする）が記憶されている。なお、この第２の固有情報は、安全性を優先して通信事業者以外の第三者には読み書きできないように保護されている。しかし、例えば、特定の限定されたサービス事業者に対してのみ読み書き可能又は読取りのみ可能な固有情報を第２の固有情報としてもよい。
【００３８】
非接触型ＩＣカード４０は、後述のリーダライタ１４０との間で非接触通信可能な非接触型情報記憶媒体である。本実施形態では、後述するように、ＳＰサーバ１１及びＩｄＰサーバ１２との認証処理を行うときに非接触型ＩＣカード４０を用いるが、リーダライタ１４０との間で非接触通信が可能であれば、どのような用途で発行されたカードであっても認証用に用いることができる。例えば、電子マネーカード、ポイントカード、会員カード、身分証明カード、乗車券カード等の中から、利用者が任意に選択して認証に用いることができる。非接触型ＩＣカード４０は、上記各種用途に応じて各種のアプリケーション４１を有している。また、非接触型ＩＣカード４０には、アプリケーション４１とは独立して、非接触型ＩＣカード４０自身のＩＤを示す固有番号がカード製造番号等の形態で付与されている。以下、この非接触型ＩＣカード４０自身のＩＤを第１の固有情報と呼ぶ。
【００３９】
コンピュータ装置５０は、パーソナルコンピュータである。コンピュータ装置５０は、ＳＰサーバ１１とネットワーク接続されている。なお、コンピュータ装置５０とＩｄＰサーバ１２との間は、ＨＴＴＰＳ（Hypertext Transfer Protocol Security）通信路で接続されていてもよいし、WS-Securityの仕組みを用いてメッセージを暗号化して送信してもよい。また、コンピュータ装置５０とＳＰサーバ１１との接続は、有線であってもよいし、一部又は全部に無線回線を用いてもよい。さらに、コンピュータ装置５０は、不図示のＵＳＢ（Universal Serial Bus）（登録商標）端子を介して携帯無線通信端末１００と接続されている。さらにまた、コンピュータ装置５０は、コンピュータアプリケーション５１が起動可能である。本実施形態のコンピュータ装置５０が実行するコンピュータアプリケーション５１では、Information Cardを用いてＳＰサーバ１１に対する認証処理を実行可能である。Information Cardには、認証処理に必要な認証情報（以下、第１の認証情報）が暗号化されて含まれている。コンピュータ装置５０は、このInformation Cardを用いることにより、Information Cardを選択して、単一のパスワードを入力するだけで、複数の異なるサービスを提供するＳＰサーバ１１の認証を簡単に行える。
【００４０】
携帯無線通信端末１００は、基地局２０を介して、ＳＰサーバ１１との間で通信を行うことができる携帯電話機である。携帯無線通信端末１００は、無線通信部１１０と、演算部１２０と、リーダライタ１４０と、有線通信部１５０とを備えている。
【００４１】
無線通信部１１０は、基地局２０との間で無線通信を行う。無線通信部１１０は、演算部１２０と接続されている。
【００４２】
演算部１２０は、携帯無線通信端末１００全体の動作を統括制御するマイコン（コンピュータ）である。演算部１２０は、無線通信部１１０、リーダライタ１４０、有線通信部１５０の他、不図示の操作部、表示部等と接続されている。また、演算部１２０は、不図示のＵＩＭ装着部に装着されたＵＩＭカード３０と通信を行う。さらに、演算部１２０では、様々な端末アプリケーション（プログラム）を実行することができる。本実施形態では、演算部１２０上で実行される端末アプリケーション１３０として、後述する有料通信サービス用のアプリケーションが実行されているものとして説明を行う。このアプリケーションにより、コンピュータである演算部１２０は、第１の固有情報取得部１３１、第１の認証情報取得部１３２、第２の認証情報生成部１３３、認証処理部１３４として機能する。なお、端末アプリケーション１３０は、端末販売時に埋め込んでおいてもよいし、ユーザからの要求に基づいてダウンロードしてインストールする形態としてもよい。
【００４３】
第１の固有情報取得部１３１は、後述のリーダライタ１４０を介して非接触型ＩＣカード４０から第１の固有情報Ｘを取得する。
【００４４】
第１の認証情報取得部１３２は、コンピュータ装置５０が有するInformation Cardに含まれる第１の認証情報を、有線通信部１５０を介した通信により、Information Cardごと取得する。
【００４５】
第２の認証情報生成部１３３は、ＵＩＭカード３０から第２の固有情報Ｙを取得し、第１の固有情報Ｘと第２の固有情報Ｙとを用いて、認証キーＰ（第２の認証情報）を生成する。
【００４６】
認証処理部１３４は、コンピュータ装置５０からInformation Cardとパスワードを用いて行っていたＳＰサーバ１１に対する認証処理を、パスワードに代えて認証キーＰ（第２の認証情報）を用いて行う。
【００４７】
リーダライタ１４０は、非接触型ＩＣカード４０と非接触で通信を行う。非接触型ＩＣカードの通信規格は複数存在しているが、本実施形態のリーダライタ１４０としては、少なくとも１種類の通信規格に対応することが必要である。なお、リーダライタ１４０は、複数種類の通信規格に対応したものとすることが、利用者にとって利便性の高いシステムとするために望ましい。
【００４８】
有線通信部１５０は、コンピュータ装置５０と有線通信をおこなうインタフェースである。なお、本実施形態の有線通信部１５０は、ＵＳＢ（登録商標）を用いているが、他の規格のインタフェースであってもよいし、コンピュータ装置５０が対応していれば、有線に限らず、赤外線通信や近距離無線通信等としてもよい。
【００４９】
図２は、第１実施形態の認証システムにおいてInformation Cardを携帯無線通信端末１００に移行する動作を示すフローチャートである。コンピュータ装置５０とＩｄＰサーバ１２との間は、相互認証済みであるものとして説明を行う。
【００５０】
ステップ（以下、単にＳと記す）１０１では、コンピュータ装置５０が、ＩｄＰサーバ１２に対して、発行済みInformation Cardのサブカードを携帯無線通信端末１００に移行させる要求を行う。
【００５１】
Ｓ１０２では、ＩｄＰサーバ１２が、承認回答として、Ｑ＝「サーバ発行番号ａ＋サーバ日時Ｓ（ｔｉｍｅ）＋サーバ生成ｎｏｎｃｅ１（ｎ１）」＋Ｑのハッシュ値をコンピュータ装置５０へ送信する。
【００５２】
Ｓ１０３では、コンピュータ装置５０が、ＩｄＰサーバ１２から受信したＱのハッシュ値とＱから計算したハッシュ値とを比較して、Ｑが改ざんされていないことを検証する。なお、Ｑが改ざんされていた場合には、この時点で処理を終了する。
【００５３】
Ｓ１０４では、携帯無線通信端末１００が、ユーザによりリーダライタ（ＲＷ）１４０にかざされた非接触型ＩＣカード４０から、第１の固有情報Ｘを読み取る。
ここで、利用する非接触型ＩＣカード４０は、１枚に限らない。必要に応じてユーザが複数枚かざすことにより複数の第１の固有情報Ｘを利用することも可能である。複数枚登録する場合は、登録時（Information Cardの移行時）にカードをかざす順番を記憶しておくことも可能である。
【００５４】
Ｓ１０５では、携帯無線通信端末１００の第２の認証情報生成部１３３が、ＵＩＭカード３０から第２の固有情報Ｙを取得する。そして、Ｓ１４０において読み取った第１の固有情報Ｘと、第２の固有情報Ｙとを用いて認証キーＰ＝（Ｘ || Ｙ || 乱数）を生成する。ただし、Ｐは、固定長とする。
【００５５】
Ｓ１０６では、Ｚ＝（Ｐ || Ｎ＝移動機ＩＤ）＋Ｚのハッシュ値を演算し、演算したＺのハッシュ値をＵＩＭカード３０へ格納する。また、演算したＺのハッシュ値をコンピュータ装置５０へ有線通信部１５０を介して送る。ここで、Ｎは、例えば電話番号とすることができる。また、ハッシュ値の代わりにＭＡＣ値を用いてもよい。
【００５６】
Ｓ１０７では、コンピュータ装置５０が、Ｚからハッシュ値を生成する。
Ｓ１０８では、コンピュータ装置５０が、Ｓ１０７において生成したＺのハッシュ値と、携帯無線通信端末１００から受信したＺのハッシュ値とを比較して、同一か否かの確認を行う。
【００５７】
Ｓ１０９では、コンピュータ装置５０が、ｎｏｎｃｅ２（ｎ２）を生成する。
Ｓ１１０では、コンピュータ装置５０が、Ｓ１０９において生成したｎｏｎｃｅ２（ｎ２）を用いて、（Ｎ || ｎｏｎｃｅ２（ｎ２））を生成し、ＩｄＰサーバ１２に通知する。
【００５８】
Ｓ１１１では、コンピュータ装置５０が、認証キーＰをパスワードとして、例えば、ＲＦＣ２８９８の手順で、コンピュータ装置５０上で選択した既存のInformation CardのデータＣｄを暗号化する（暗号化手順の関数をＣｉｐｈｅｒとする）。このデータをＣ１とする。すなわち、Ｃ１＝Ｃｉｐｈｅｒ（Ｃｄ，Ｐ）を生成する。
【００５９】
Ｓ１１２では、コンピュータ装置５０が、Ｃ１に、サーバ発行番号ａ、サーバ日時Ｓ（ｔｉｍｅ）、 ｎ１、ｎ２を連結し、このデータをＳＣとする。すなわち、ＳＣ＝（Ｃ１ || ａ || Ｓ（ｔｉｍｅ） || ｎ１ || ｎ２）とする。そして、コンピュータ装置５０が、ＳＣを携帯無線通信端末１００へ送る。
【００６０】
Ｓ１１３では、携帯無線通信端末１００が、ＳＣからＣ１、ａ、Ｓ（ｔｉｍｅ）、ｎ１、ｎ２を分解する。
以上の動作により、携帯無線通信端末１００によりInformation Cardを利用可能となる。
【００６１】
次に、携帯無線通信端末１００によりInformation Cardと非接触型ＩＣカード４０とを用いてＳＰサーバ１１に対して認証処理を行う動作を説明する。
図３及び図４は、携帯無線通信端末１００によりInformation Cardと非接触型ＩＣカード４０とを用いたＳＰサーバ１１に対する認証処理を示すフローチャートである。
【００６２】
Ｓ２０１では、携帯無線通信端末１００からＳＰサーバ１１に対してサービス利用要求を行う。
Ｓ２０２では、ＳＰサーバ１１から携帯無線通信端末１００に対してサービス認証条件を提示する。
【００６３】
Ｓ２０３では、携帯無線通信端末１００からＩｄＰサーバ１２に対して、サービス認証条件に対応する認証トークンを要求する。
Ｓ２０４では、ＩｄＰサーバ１２から携帯無線通信端末１００に対して、Information Cardを要求する。
【００６４】
Ｓ２０５では、携帯無線通信端末１００において、ＩＤセレクタアプリケーションが自動起動し、ユーザが、Information Cardを選択する。
Ｓ２０６では、携帯無線通信端末１００において、ＩＤセレクタアプリケーションが、Ｓ２５０において選択されたInformation Cardに基づき、非接触型ＩＣカード４０の読み取りをユーザに要求する。
【００６５】
Ｓ２０７では、携帯無線通信端末１００のリーダライタ１４０が、ユーザによってかざされた非接触型ＩＣカード４０を読み取る。
ここで、先に示した図２のＳ１０４においてかざした非接触型ＩＣカード４０が複数枚である場合には、その複数枚の非接触型ＩＣカード４０をかざして読み取る必要がある。
【００６６】
Ｓ２０８では、携帯無線通信端末１００の第１の認証情報取得部１３２が、リーダライタ１４０を介して、非接触型ＩＣカード４０から第１の固有情報Ｘを取得する。
Ｓ２０９では、携帯無線通信端末１００の第２の認証情報生成部１３３が、ＵＩＭカード３０から第２の固有情報Ｙを取得し、非接触型ＩＣカード４０から取得した第１の固有情報Ｘ及び第２の固有情報Ｙを用いて認証キーＰ＝（Ｘ || Ｙ || 乱数）を生成する。
【００６７】
Ｓ２１０では、携帯無線通信端末１００の認証処理部１３４が、暗号化されたInformation Cardを、認証キーＰにより復号する。
Ｓ２１１では、携帯無線通信端末１００からＩｄＰサーバ１２に対して、Information Cardに指定された手順でCredentialを提示する。Credential内において、<ic:CardId>タグ内のＵＲＩに以下の数値を末尾へ連結する。
ハッシュ(認証キー || サーバ発行番号 || サーバ日時 ||nonce1）|| nonce2)。
また、<ic:CardVersion>タグ内のバージョンにおいてCardId計算方法を指定する。
【００６８】
Ｓ２１２では、ＩｄＰサーバ１２が、ユーザ認証をおこなう。具体的には、Information Card内のＩＤの正当性確認、及び、ＩＤに紐づく付加情報：サーバ発行番号,サーバ日時,nonce1,nonce2の計算値の同一性をＤＢ（データベース）内付加情報からCardVersionタグのバージョンで指定する計算方法にて確認する。
【００６９】
Ｓ２１３では、ＩｄＰサーバ１２が、Ｓ２１２における同一性の確認結果が、一致しているか否かにより、処理を分岐する。一致していれば、Ｓ２１５に進み、一致していなければ、Ｓ２１４に進む。
Ｓ２１４では、処理を中止する。
【００７０】
Ｓ２１５では、ＩｄＰサーバ１２から携帯無線通信端末１００に対してトークンの払い出しを行う。
Ｓ２１６では、携帯無線通信端末１００からＳＰサーバ１１に対してトークンの提示を行う。
【００７１】
Ｓ２１７では、ＳＰサーバ１１からＩｄＰサーバ１２に対してトークンの提示を行う。
Ｓ２１８では、ＩｄＰサーバ１２が、受信したトークンが正しいかどうかの認証を行う。
【００７２】
Ｓ２１９では、ＩｄＰサーバ１２が、Ｓ２１８における認証の結果、受信したトークンが正しいか否かにより、処理を分岐する。正しければ、Ｓ２２１に進み、正しくなければ、Ｓ２２０に進む。
Ｓ２２０では、処理を中止する。
【００７３】
Ｓ２２１では、ＩｄＰサーバ１２が要求属性をＤＢから引き出す。
Ｓ２２２では、ＩｄＰサーバ１２からＳＰサーバ１１に対して、ＳＰサーバ１１より要求された属性を提示する。
【００７４】
Ｓ２２３では、ＳＰサーバ１１が、携帯無線通信端末１００に対してサービス利用を認可する。
Ｓ２２４では、携帯無線通信端末１００において、サービスの利用を開始可能となり、例えば、サービス開始ページへリダイレクトする。
【００７５】
以上説明したように、第１実施形態によれば、非接触型ＩＣカード４０から取得する第１の固有情報Ｘを用いて認証キーＰを生成し、認証に用いるので、ユーザは、パスワード等を記憶して利用する必要がない。よって、ユーザの記憶に負荷をかけることなく、利便性の高い認証システムとなる。また、携帯無線通信端末１００と非接触型ＩＣカード４０との組合せを知らなければ、認証処理を行うことができず、また、携帯無線通信端末１００を使わなければ、非接触型ＩＣカード４０だけ持っていたとしても認証処理を行うことができない。よって、仮にトークンである非接触型ＩＣカード４０が盗取された場合であっても、ユーザなりすましを防止できる。
【００７６】
（第２実施形態）
図５は、本発明による認証方法を用いた携帯無線通信端末を含む認証システムの第２実施形態を示す図である。
第２実施形態の認証システムは、コンピュータ装置５０にリーダライタ５２が設けられており、かつ、コンピュータアプリケーション５１に、第１の固有情報取得部５３及び第２の認証情報生成部５４が追加され、さらに、第1実施形態における有線通信部１５０が不要である他は、第１実施形態と同様な形態をしている。よって、前述した第１実施形態と同様の機能を果たす部分には、同一の符号を付して、重複する説明を適宜省略する。
【００７７】
コンピュータ装置５０は、リーダライタ５２を備えている。
リーダライタ５２は、リーダライタ１４０と同様に、非接触型ＩＣカード４０と非接触で通信を行う。非接触型ＩＣカードの通信規格は複数存在しているが、本実施形態のリーダライタ５２としては、少なくとも１種類の通信規格に対応することが必要である。なお、リーダライタ５２は、複数種類の通信規格に対応したものとすることが、利用者にとって利便性の高いシステムとするために望ましい。
【００７８】
第１の固有情報取得部５３は、リーダライタ５２を介して、非接触型ＩＣカード４０から第１の固有情報Ｘを取得するコンピュータ装置内固有情報取得手段である。
第２の認証情報生成部５４は、第１の固有情報取得部５３が取得した第１の固有情報Ｘを用いて、認証キーＰを生成するコンピュータ装置内第２の認証情報生成手段である。
【００７９】
第２実施形態では、コンピュータ装置５０が有するリーダライタ５２を利用して、鍵の共有を、さらに簡便に行うことができる。
コンピュータ装置５０には、携帯無線通信端末１００の携帯電話事業者が提供するコンピュータアプリケーション５１を、コンピュータ装置５０にダウンロードすることにより、このコンピュータアプリケーション５１に格納された鍵生成アルゴリズムを配布する。そして、このコンピュータアプリケーション５１が、非接触型ＩＣカード４０から第１の固有情報Ｘをリーダライタ５２を介して取得し、携帯無線通信端末１００と同一の鍵生成アルゴリズムにより鍵を生成する。
【００８０】
次に、第２実施形態における鍵共有の動作について説明する。
まず、ユーザが非接触型ＩＣカード４０を任意に選択し、同一の非接触型ＩＣカード４０をコンピュータ装置５０のリーダライタ５２と、携帯無線通信端末１００のリーダライタ１４０とにかざす。
コンピュータ装置５０及び携帯無線通信端末１００では、それぞれにおいて、非接触型ＩＣカード４０から取得した第１の固有情報Ｘをもとにアプリケーション内の鍵生成アルゴリズムを利用することにより共有鍵として認証キーを生成する。ただし、第２実施形態では、第１実施形態における認証キーＰとは異なり、ＵＩＭカードのＩＤ（第２の固有情報Ｙ）は認証キーに含まれていない。
【００８１】
以上説明したように、第２実施形態によれば、携帯無線通信端末１００にかざす非接触型ＩＣカード４０と同一の非接触型ＩＣカード４０をコンピュータ装置５０のリーダライタ５２にかざすことにより、共有鍵を生成するので、さらにユーザの利便性を向上させることができる。
【００８２】
なお、携帯無線通信端末の処理をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを携帯無線通信端末に読み込ませ、実行することによって本発明の携帯無線通信端末、認証方法を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。
【００８３】
また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００８４】
また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【００８５】
以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【００８６】
（変形形態）
（１）各実施形態において、非接触型ＩＣカード４０をかざす際にカードＩＤである第１の固有情報Ｘを読み取ってマスタ鍵としているが、新規に非接触型ＩＣカードを発行することで、非接触型ＩＣカード内部にアプリケーションとして乱数生成機能を載せて乱数を利用することも可能であるし、カードＩＤに非接触型ＩＣカード内で生成したｓａｌｔ（乱数）を連結することも可能である。十分なデータ長の乱数を安全に非接触型ＩＣカード内で保管すれば、カードＩＤのデータ長が短かったとしても、安全性の確保が可能である。
【００８７】
（２）各実施形態において、取得した非接触型ＩＣカード４０の第１の固有情報Ｘをもとに共有鍵を生成するときに、非接触型ＩＣカードを新規発行するか、又は、非接触型ＩＣカード内のアプリケーションを新規発行した場合は、第１の固有情報Ｘに、非接触型ＩＣカード内のアプリケーションで生成した乱数を連結した数値としてもよい。
【００８８】
（３）各実施形態において、携帯無線通信端末１００は、携帯電話機である例を挙げて説明したが、これに限らず、例えば、通話機能を持たない無線通信端末であってもよい。
【００８９】
（４）各実施形態において、非接触型ＩＣカードを利用する例を挙げて説明したが、非接触型情報記憶媒体であればよい。例えば、カードの形態に限らず、各種非接触型のＲＦＩＤタグを利用してもよい。
【００９０】
（５）第２実施形態において、ＵＩＭカードのＩＤ（第２の固有情報Ｙ）は認証キーに含めない例を挙げて説明した。これに限らず、例えば、携帯無線通信端末が持つリーダライタを利用して、携帯無線通信端末自体に非接触型ＩＣカードの機能を持たせることが可能で有り、携帯無線通信端末側で機能を切り替えることにより非接触型ＩＣカードＩＦを用いた相互通信が可能である。携帯無線通信端末からコンピュータ装置へデータ送信する場合には、携帯無線通信端末上のアプリケーションとＵＩＭ上の接触型ＩＣカードアプリケーションが通信することで算出した値を、接触型ＩＣカードＩＦ経由でＵＩＭ上の非接触型ＩＣカードアプリケーションに書き込むことにより、自由に送出データを非接触型ＩＣカードＩＦにてコンピュータ装置のリーダライタ経由でデータ送出することが可能となる。このようにすることにより、鍵共有でもＵＩＭカードのＩＤ（第２の固有情報Ｙ）を交換することが可能となる。
【００９１】
なお、各実施形態及び変形形態は、適宜組み合わせて用いることもできるが、詳細な説明は省略する。
【符号の説明】
【００９２】
１１ ＳＰサーバ
１２ ＩｄＰサーバ
２０ 基地局
３０ ＵＩＭカード
４０ 非接触型ＩＣカード
４１ アプリケーション
５０ コンピュータ装置
５１ コンピュータアプリケーション
５２ リーダライタ
１００ 携帯無線通信端末
１１０ 無線通信部
１２０ 演算部
１３０ 端末アプリケーション
１３１ 第１の固有情報取得部
１３２ 第１の認証情報取得部
１３３ 第２の認証情報生成部
１３４ 認証処理部
１４０ リーダライタ
１５０ 有線通信部
【技術分野】
【０００１】
本発明は、インターネットサービスを利用する携帯電話機等における認証システム、携帯無線通信端末、認証方法、認証プログラム、認証情報生成方法、認証情報生成プログラムに関するものである。
【背景技術】
【０００２】
ＯｐｅｎＩＤと連携したInformation Card等のｗｅｂ認証サービスでは、認証を担うプロバイダを共有する仕組みにより、ユーザのＩＤ及びパスワード管理責任を軽減する仕組みを提供している。これらは、前提として、ＩＤたるカード（そして多くの場合パスワードも）をユーザが記憶してカード情報の利用をユーザが厳重に管理することを前提とする。人間の記憶に頼る以上、適切なパスワードの徹底には限界があり、多くのユーザの場合、極端に桁数が短かったり、辞書攻撃に弱いパスワードを指定したりする等、安全性を確保したパスワード運用が困難であった。
【０００３】
また、利用者が認証プロバイダからＰＣ（パーソナルコンピュータ）向けに発行を受けたInformation Card規格のカードは、基本的にカードを生成した端末内で利用することを前提としている。したがって、携帯電話等の他の端末で利用したくても、生成済みカードを他の端末へ安全にコピーする仕組みがないため、同一の利用者が利用する異なる情報機器（ＰＣ、携帯電話等）に同一のＩＤでログインすることはできなかった。
【０００４】
さらに、ＯＡＳＩＳ規格(Identity Metasystem Interoperability Version 1.0 )では、カード様式の暗号化手順は定めているがＰＩＮに依っているため、安全性がＰＩＮの長さ等に依存するという問題点は解消されていない。
【０００５】
このように、従来の方式では、安全なパスワードは、一定の桁数を要求し、辞書攻撃に強い、ランダムな英数字記号等の羅列であることが求められる。ＯｐｅｎＩＤ及びInformation CardではＩｄＰの統合やシングルサインオンの利用により、パスワードの数を減らせるとしてもパスワードの安全性は、人間のパスワード生成にまかされている。したがって、結局のところ人間の記憶可能な高い安全性を持ったパスワードの利用徹底は、一般ユーザには極めて困難であった。
【０００６】
一方、利用者の入力の手間を省きながら同時に正規利用者であることを確認する方式として、利用者端末から割符をサーバ側へ渡すことで認証を行う方式が特許文献１及び特許文献２に開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００４−２３４６３２号公報
【特許文献２】特開２００４−２３４６３３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、特許文献１及び特許文献２に開示の方式では、認証時の専用カードではなく、他用途（乗車券、電子マネー等）向けカードを認証に利用する非接触型ＩＣカードとして流用する場合、本来の用途とは異なるサービス業者がカード固有ＩＤを知ることになる。他用途向けの非接触型ＩＣカード本来の用途では、カード固有ＩＤが個人を特定するものではない（無記名式）場合もあり、カード固有ＩＤと個人との結びつけはプライバシーの問題上好ましくないという問題があった。
【０００９】
また、非接触型ＩＣカードを盗取された場合や無線部分の盗聴等、何らかの方法で非接触型ＩＣカードのＩＤを悪意ある第３者が入手した場合には、本人なりすましによる不正利用のおそれがあった。
【００１０】
本発明の課題は、仮にトークンである非接触型情報記憶媒体が盗取された場合であっても、ユーザなりすましが困難なシステムをユーザの記憶に負荷をかけない形で利便性高く実現することができる認証システム、携帯無線通信端末、認証方法、認証プログラム、認証情報生成方法、認証情報生成プログラムを提供することである。
【課題を解決するための手段】
【００１１】
本発明は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。
【００１２】
（１）本発明は、第１の認証情報を保持するコンピュータ装置（５０）と、前記第１の認証情報に加えて前記コンピュータ装置から入力されたパスワードを用いて認証処理を行うサーバ（１１，１２）と、通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段により前記コンピュータ装置と通信が可能な携帯無線通信端末（１００）と、を備えた認証システムであって、前記携帯無線通信端末は、非接触型情報記憶媒体（４０）と非接触で通信を行うリーダライタ（１４０）と、前記リーダライタを介して前記非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得手段（１３１）と、前記第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得手段（１３２）と、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成手段（１３３）と、前記通信サービスを介して行われる前記第１の認証情報を用いる前記サーバとの認証に関する処理を、前記パスワードに代えて前記第２の認証情報を用いて行う認証処理手段（１３４）と、を備えること、を特徴とする認証システムを提案している。
【００１３】
この発明によれば、第１の固有情報取得手段は、携帯無線通信端末が、非接触型情報記憶媒体と非接触で通信を行うリーダライタと、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第１の認証情報取得手段は、第１の認証情報をコンピュータ装置と通信を行うことにより取得する。第２の認証情報生成手段は、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。認証処理手段は、通信サービスを介して行われる第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて第２の認証情報を用いて行う。したがって、ユーザは、パスワードを記憶しなくとも、非接触型情報記憶媒体が有する第１の固有情報を用いて認証処理を行うことができる。
【００１４】
（２）本発明は、（１）の認証システムについて、前記コンピュータ装置（５０）は、前記携帯無線通信端末（１００）から前記第２の認証情報（Ｐ）を取得し、前記サーバ（１１，１２）に対して前記第２の認証情報を前記第１の認証情報に関連付けて送ること、を特徴とする認証システムを提案している。
【００１５】
この発明によれば、コンピュータ装置は、携帯無線通信端末から第２の認証情報を取得し、サーバに対して第２の認証情報を第１の認証情報に関連付けて送る。したがって、コンピュータ装置に非接触型情報記憶媒体と通信可能なリーダライタが設けられていなくとも、第２の認証情報を共有できる。
【００１６】
（３）本発明は、（１）又は（２）の認証システムにおいて、前記第２の認証情報（Ｐ）は、前記携帯無線通信端末内に装着された接触型情報記憶媒体（３０）が記憶する前記通信サービスに関する第２の固有情報をさらに用いて生成されること、を特徴とする認証システムを提案している。
【００１７】
この発明によれば、第２の認証情報は、携帯無線通信端末内に装着された接触型情報記憶媒体が記憶する通信サービスに関する第２の固有情報をさらに用いて生成される。したがって、より安全性を高めることができる。
【００１８】
（４）本発明は、（１）の認証システムにおいて、前記コンピュータ装置（５０）は、前記非接触型情報記憶媒体（４０）と非接触で通信を行うリーダライタ（５２）を備え、前記リーダライタを介して前記非接触型情報記憶媒体が有する前記第１の固有情報を取得するコンピュータ装置内固有情報取得手段（５３）と、前記第２の認証情報（Ｐ）を生成するコンピュータ装置内第２の認証情報生成手段（５４）と、を備えることを特徴とする認証システムを提案している。
【００１９】
この発明によれば、コンピュータ装置内固有情報取得手段は、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。コンピュータ装置内第２の認証情報生成手段は、第２の認証情報を生成する。したがって、より簡単に第２の認証情報を共有できる。
【００２０】
（５）本発明は、通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段によりコンピュータ装置（５０）と通信が可能な携帯無線通信端末（１００）であって、非接触型情報記憶媒体（４０）と非接触で通信を行うリーダライタ（１４０）と、前記リーダライタを介して前記非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得手段（１３１）と、第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得手段（１３２）と、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成手段（１３３）と、前記通信サービスを介して行われる前記第１の認証情報を用いるサーバ（１１，１２）との認証に関する処理を、パスワードに代えて前記第２の認証情報を用いて行う認証処理手段（１３４）と、を備えること、を特徴とする携帯無線通信端末を提案している。
【００２１】
この発明によれば、第１の固有情報取得手段は、非接触型情報記憶媒体と非接触で通信を行うリーダライタと、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第１の認証情報取得手段は、第１の認証情報をコンピュータ装置と通信を行うことにより取得する。第２の認証情報生成手段は、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。認証処理手段は、通信サービスを介して行われる第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて第２の認証情報を用いて行う。したがって、ユーザは、パスワードを記憶しなくとも、非接触型情報記憶媒体が有する第１の固有情報を用いて認証処理を行うことができる。
【００２２】
（６）本発明は、第１の認証情報を保持するコンピュータ装置（５０）と、前記第１の認証情報に加えて前記コンピュータ装置から入力されたパスワードを用いて認証処理を行うサーバ（１１，１２）と、通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段により前記コンピュータ装置と通信が可能な携帯無線通信端末（１００）と、を備えた認証システムにおける認証方法であって、前記携帯無線通信端末は、リーダライタ（１４０）を介して非接触型情報記憶媒体（４０）が有する第１の固有情報を取得する第１の固有情報取得ステップと、前記第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得ステップと、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成ステップと、前記通信サービスを介して行われる前記第１の認証情報を用いる前記サーバとの認証に関する処理を、前記パスワードに代えて前記第２の認証情報を用いて行う認証処理ステップと、を実行すること、を特徴とする認証方法を提案している。
【００２３】
この発明によれば、第１の固有情報取得ステップは、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第１の認証情報取得ステップは、第１の認証情報をコンピュータ装置と通信を行うことにより取得する。第２の認証情報生成ステップは、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。認証処理ステップは、通信サービスを介して行われる第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて第２の認証情報を用いて行う。したがって、ユーザは、パスワードを記憶しなくとも、非接触型情報記憶媒体が有する第１の固有情報を用いて認証処理を行うことができる。
【００２４】
（７）本発明は、通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段によりコンピュータ装置（５０）と通信が可能な携帯無線通信端末（１００）における認証プログラム（１３０）であって、前記携帯無線通信端末のコンピュータに、リーダライタ（５２）を介して非接触型情報記憶媒体（４０）が有する第１の固有情報を取得する第１の固有情報取得ステップと、第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得ステップと、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成ステップと、前記通信サービスを介して行われる前記第１の認証情報を用いるサーバ（１１，１２）との認証に関する処理を、パスワードに代えて前記第２の認証情報を用いて行う認証処理ステップと、を実行させるための認証プログラムを提案している。
【００２５】
この発明によれば、第１の固有情報取得ステップは、携帯無線通信端末のコンピュータに、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第１の認証情報取得ステップは、第１の認証情報をコンピュータ装置と通信を行うことにより取得する。第２の認証情報生成ステップは、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。認証処理ステップは、通信サービスを介して行われる第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて第２の認証情報を用いて行う。したがって、ユーザは、パスワードを記憶しなくとも、非接触型情報記憶媒体が有する第１の固有情報を用いて認証処理を行うことができる。
【００２６】
（８）本発明は、リーダライタ（５２，１４０）を介して非接触型情報記憶媒体（４０）が有する第１の固有情報を取得する第１の固有情報取得ステップと、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成ステップと、を実行すること、を特徴とする認証情報生成方法を提案している。
【００２７】
この発明によれば、第１の固有情報取得ステップは、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第２の認証情報生成ステップは、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。したがって、パスワードの代わりとなる第２の認証情報を簡単かつ安全に生成できる。
【００２８】
（９）本発明は、コンピュータに、リーダライタ（５２，１４０）を介して非接触型情報記憶媒体（４０）が有する第１の固有情報を取得する第１の固有情報取得ステップと、少なくとも前記第１の固有情報を用いて生成される第２の認証情報（Ｐ）を生成する第２の認証情報生成ステップと、を実行させるための認証情報生成プログラム（５１，１３０）を提案している。
【００２９】
この発明によれば、第１の固有情報取得ステップは、リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する。第２の認証情報生成ステップは、少なくとも第１の固有情報を用いて生成される第２の認証情報を生成する。したがって、パスワードの代わりとなる第２の認証情報を簡単かつ安全に生成できる。
【発明の効果】
【００３０】
本発明によれば、仮にトークンである非接触型情報記憶媒体が盗取された場合であっても、ユーザなりすましが困難なシステムをユーザの記憶に負荷をかけない形で利便性高く実現することができる。
【図面の簡単な説明】
【００３１】
【図１】本発明による認証方法を用いた携帯無線通信端末を含む認証システムの第１実施形態を示す図である。
【図２】第１実施形態の認証システムにおいてInformation Cardを携帯無線通信端末１００に移行する動作を示すフローチャートである。
【図３】携帯無線通信端末１００によりInformation Cardと非接触型ＩＣカード４０とを用いたＳＰサーバ１１に対する認証処理を示すフローチャートである。
【図４】携帯無線通信端末１００によりInformation Cardと非接触型ＩＣカード４０とを用いたＳＰサーバ１１に対する認証処理を示すフローチャートである。
【図５】本発明による認証方法を用いた携帯無線通信端末を含む認証システムの第２実施形態を示す図である。
【発明を実施するための形態】
【００３２】
以下、図面を用いて、本発明の実施形態について詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組み合わせを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。
【００３３】
（第１実施形態）
図１は、本発明による認証方法を用いた携帯無線通信端末を含む認証システムの第１実施形態を示す図である。
本実施形態の認証システムは、ＳＰ（Service Provider）サーバ１１と、ＩｄＰ（Identity Provider）サーバ１２と、基地局２０と、ＵＩＭ（User Identity Module）カード３０と、非接触型ＩＣカード４０と、コンピュータ装置５０と、携帯無線通信端末１００とを備えている。
【００３４】
ＳＰサーバ１１は、サービス提供者が管理運営するサービス提供サーバである。ＳＰサーバ１１は、基地局２０を介して携帯無線通信端末１００と通信を行う。なお、ＳＰサーバ１１は、１つのみ図示しているが、複数の異なるサービス毎に異なるＳＰサーバ１１が設けられている。
【００３５】
ＩｄＰサーバ１２は、認証管理を行うサーバであり、ＳＰサーバ１１とネットワーク接続されている。
ＩｄＰサーバ１２は、後述のInformation Cardを用いた認証処理を要求されたＳＰサーバ１１に代わって認証処理を行う。したがって、複数の異なるサービスを提供するＳＰサーバ１１が存在している場合であっても、認証処理自体は、ＩｄＰサーバ１２が行うので、単一のInformation Cardだけでも、複数の異なるＳＰサーバ１１の認証処理を行える。
【００３６】
基地局２０は、ＳＰサーバ１１と接続されており、携帯無線通信端末１００との間で無線通信を行う。本実施形態では、基地局２０は、携帯電話サービス等の通信サービスを提供する通信事業者が管理し、ＳＰサーバ１１は、この通信サービスを提供する通信事業者とは異なる各種有料サービス等を行うサービス提供者が管理している。
【００３７】
ＵＩＭカード３０は、携帯無線通信端末１００内に装着されて、携帯無線通信端末１００内の接触端子（不図示）と接触して携帯無線通信端末１００との間で情報の通信を行う接触型ＩＣカード（接触型情報記憶媒体）である。ＵＩＭカード３０には、通信サービスの利用者を特定する固有番号として利用者識別ＩＤ（以下、第２の固有情報とする）が記憶されている。なお、この第２の固有情報は、安全性を優先して通信事業者以外の第三者には読み書きできないように保護されている。しかし、例えば、特定の限定されたサービス事業者に対してのみ読み書き可能又は読取りのみ可能な固有情報を第２の固有情報としてもよい。
【００３８】
非接触型ＩＣカード４０は、後述のリーダライタ１４０との間で非接触通信可能な非接触型情報記憶媒体である。本実施形態では、後述するように、ＳＰサーバ１１及びＩｄＰサーバ１２との認証処理を行うときに非接触型ＩＣカード４０を用いるが、リーダライタ１４０との間で非接触通信が可能であれば、どのような用途で発行されたカードであっても認証用に用いることができる。例えば、電子マネーカード、ポイントカード、会員カード、身分証明カード、乗車券カード等の中から、利用者が任意に選択して認証に用いることができる。非接触型ＩＣカード４０は、上記各種用途に応じて各種のアプリケーション４１を有している。また、非接触型ＩＣカード４０には、アプリケーション４１とは独立して、非接触型ＩＣカード４０自身のＩＤを示す固有番号がカード製造番号等の形態で付与されている。以下、この非接触型ＩＣカード４０自身のＩＤを第１の固有情報と呼ぶ。
【００３９】
コンピュータ装置５０は、パーソナルコンピュータである。コンピュータ装置５０は、ＳＰサーバ１１とネットワーク接続されている。なお、コンピュータ装置５０とＩｄＰサーバ１２との間は、ＨＴＴＰＳ（Hypertext Transfer Protocol Security）通信路で接続されていてもよいし、WS-Securityの仕組みを用いてメッセージを暗号化して送信してもよい。また、コンピュータ装置５０とＳＰサーバ１１との接続は、有線であってもよいし、一部又は全部に無線回線を用いてもよい。さらに、コンピュータ装置５０は、不図示のＵＳＢ（Universal Serial Bus）（登録商標）端子を介して携帯無線通信端末１００と接続されている。さらにまた、コンピュータ装置５０は、コンピュータアプリケーション５１が起動可能である。本実施形態のコンピュータ装置５０が実行するコンピュータアプリケーション５１では、Information Cardを用いてＳＰサーバ１１に対する認証処理を実行可能である。Information Cardには、認証処理に必要な認証情報（以下、第１の認証情報）が暗号化されて含まれている。コンピュータ装置５０は、このInformation Cardを用いることにより、Information Cardを選択して、単一のパスワードを入力するだけで、複数の異なるサービスを提供するＳＰサーバ１１の認証を簡単に行える。
【００４０】
携帯無線通信端末１００は、基地局２０を介して、ＳＰサーバ１１との間で通信を行うことができる携帯電話機である。携帯無線通信端末１００は、無線通信部１１０と、演算部１２０と、リーダライタ１４０と、有線通信部１５０とを備えている。
【００４１】
無線通信部１１０は、基地局２０との間で無線通信を行う。無線通信部１１０は、演算部１２０と接続されている。
【００４２】
演算部１２０は、携帯無線通信端末１００全体の動作を統括制御するマイコン（コンピュータ）である。演算部１２０は、無線通信部１１０、リーダライタ１４０、有線通信部１５０の他、不図示の操作部、表示部等と接続されている。また、演算部１２０は、不図示のＵＩＭ装着部に装着されたＵＩＭカード３０と通信を行う。さらに、演算部１２０では、様々な端末アプリケーション（プログラム）を実行することができる。本実施形態では、演算部１２０上で実行される端末アプリケーション１３０として、後述する有料通信サービス用のアプリケーションが実行されているものとして説明を行う。このアプリケーションにより、コンピュータである演算部１２０は、第１の固有情報取得部１３１、第１の認証情報取得部１３２、第２の認証情報生成部１３３、認証処理部１３４として機能する。なお、端末アプリケーション１３０は、端末販売時に埋め込んでおいてもよいし、ユーザからの要求に基づいてダウンロードしてインストールする形態としてもよい。
【００４３】
第１の固有情報取得部１３１は、後述のリーダライタ１４０を介して非接触型ＩＣカード４０から第１の固有情報Ｘを取得する。
【００４４】
第１の認証情報取得部１３２は、コンピュータ装置５０が有するInformation Cardに含まれる第１の認証情報を、有線通信部１５０を介した通信により、Information Cardごと取得する。
【００４５】
第２の認証情報生成部１３３は、ＵＩＭカード３０から第２の固有情報Ｙを取得し、第１の固有情報Ｘと第２の固有情報Ｙとを用いて、認証キーＰ（第２の認証情報）を生成する。
【００４６】
認証処理部１３４は、コンピュータ装置５０からInformation Cardとパスワードを用いて行っていたＳＰサーバ１１に対する認証処理を、パスワードに代えて認証キーＰ（第２の認証情報）を用いて行う。
【００４７】
リーダライタ１４０は、非接触型ＩＣカード４０と非接触で通信を行う。非接触型ＩＣカードの通信規格は複数存在しているが、本実施形態のリーダライタ１４０としては、少なくとも１種類の通信規格に対応することが必要である。なお、リーダライタ１４０は、複数種類の通信規格に対応したものとすることが、利用者にとって利便性の高いシステムとするために望ましい。
【００４８】
有線通信部１５０は、コンピュータ装置５０と有線通信をおこなうインタフェースである。なお、本実施形態の有線通信部１５０は、ＵＳＢ（登録商標）を用いているが、他の規格のインタフェースであってもよいし、コンピュータ装置５０が対応していれば、有線に限らず、赤外線通信や近距離無線通信等としてもよい。
【００４９】
図２は、第１実施形態の認証システムにおいてInformation Cardを携帯無線通信端末１００に移行する動作を示すフローチャートである。コンピュータ装置５０とＩｄＰサーバ１２との間は、相互認証済みであるものとして説明を行う。
【００５０】
ステップ（以下、単にＳと記す）１０１では、コンピュータ装置５０が、ＩｄＰサーバ１２に対して、発行済みInformation Cardのサブカードを携帯無線通信端末１００に移行させる要求を行う。
【００５１】
Ｓ１０２では、ＩｄＰサーバ１２が、承認回答として、Ｑ＝「サーバ発行番号ａ＋サーバ日時Ｓ（ｔｉｍｅ）＋サーバ生成ｎｏｎｃｅ１（ｎ１）」＋Ｑのハッシュ値をコンピュータ装置５０へ送信する。
【００５２】
Ｓ１０３では、コンピュータ装置５０が、ＩｄＰサーバ１２から受信したＱのハッシュ値とＱから計算したハッシュ値とを比較して、Ｑが改ざんされていないことを検証する。なお、Ｑが改ざんされていた場合には、この時点で処理を終了する。
【００５３】
Ｓ１０４では、携帯無線通信端末１００が、ユーザによりリーダライタ（ＲＷ）１４０にかざされた非接触型ＩＣカード４０から、第１の固有情報Ｘを読み取る。
ここで、利用する非接触型ＩＣカード４０は、１枚に限らない。必要に応じてユーザが複数枚かざすことにより複数の第１の固有情報Ｘを利用することも可能である。複数枚登録する場合は、登録時（Information Cardの移行時）にカードをかざす順番を記憶しておくことも可能である。
【００５４】
Ｓ１０５では、携帯無線通信端末１００の第２の認証情報生成部１３３が、ＵＩＭカード３０から第２の固有情報Ｙを取得する。そして、Ｓ１４０において読み取った第１の固有情報Ｘと、第２の固有情報Ｙとを用いて認証キーＰ＝（Ｘ || Ｙ || 乱数）を生成する。ただし、Ｐは、固定長とする。
【００５５】
Ｓ１０６では、Ｚ＝（Ｐ || Ｎ＝移動機ＩＤ）＋Ｚのハッシュ値を演算し、演算したＺのハッシュ値をＵＩＭカード３０へ格納する。また、演算したＺのハッシュ値をコンピュータ装置５０へ有線通信部１５０を介して送る。ここで、Ｎは、例えば電話番号とすることができる。また、ハッシュ値の代わりにＭＡＣ値を用いてもよい。
【００５６】
Ｓ１０７では、コンピュータ装置５０が、Ｚからハッシュ値を生成する。
Ｓ１０８では、コンピュータ装置５０が、Ｓ１０７において生成したＺのハッシュ値と、携帯無線通信端末１００から受信したＺのハッシュ値とを比較して、同一か否かの確認を行う。
【００５７】
Ｓ１０９では、コンピュータ装置５０が、ｎｏｎｃｅ２（ｎ２）を生成する。
Ｓ１１０では、コンピュータ装置５０が、Ｓ１０９において生成したｎｏｎｃｅ２（ｎ２）を用いて、（Ｎ || ｎｏｎｃｅ２（ｎ２））を生成し、ＩｄＰサーバ１２に通知する。
【００５８】
Ｓ１１１では、コンピュータ装置５０が、認証キーＰをパスワードとして、例えば、ＲＦＣ２８９８の手順で、コンピュータ装置５０上で選択した既存のInformation CardのデータＣｄを暗号化する（暗号化手順の関数をＣｉｐｈｅｒとする）。このデータをＣ１とする。すなわち、Ｃ１＝Ｃｉｐｈｅｒ（Ｃｄ，Ｐ）を生成する。
【００５９】
Ｓ１１２では、コンピュータ装置５０が、Ｃ１に、サーバ発行番号ａ、サーバ日時Ｓ（ｔｉｍｅ）、 ｎ１、ｎ２を連結し、このデータをＳＣとする。すなわち、ＳＣ＝（Ｃ１ || ａ || Ｓ（ｔｉｍｅ） || ｎ１ || ｎ２）とする。そして、コンピュータ装置５０が、ＳＣを携帯無線通信端末１００へ送る。
【００６０】
Ｓ１１３では、携帯無線通信端末１００が、ＳＣからＣ１、ａ、Ｓ（ｔｉｍｅ）、ｎ１、ｎ２を分解する。
以上の動作により、携帯無線通信端末１００によりInformation Cardを利用可能となる。
【００６１】
次に、携帯無線通信端末１００によりInformation Cardと非接触型ＩＣカード４０とを用いてＳＰサーバ１１に対して認証処理を行う動作を説明する。
図３及び図４は、携帯無線通信端末１００によりInformation Cardと非接触型ＩＣカード４０とを用いたＳＰサーバ１１に対する認証処理を示すフローチャートである。
【００６２】
Ｓ２０１では、携帯無線通信端末１００からＳＰサーバ１１に対してサービス利用要求を行う。
Ｓ２０２では、ＳＰサーバ１１から携帯無線通信端末１００に対してサービス認証条件を提示する。
【００６３】
Ｓ２０３では、携帯無線通信端末１００からＩｄＰサーバ１２に対して、サービス認証条件に対応する認証トークンを要求する。
Ｓ２０４では、ＩｄＰサーバ１２から携帯無線通信端末１００に対して、Information Cardを要求する。
【００６４】
Ｓ２０５では、携帯無線通信端末１００において、ＩＤセレクタアプリケーションが自動起動し、ユーザが、Information Cardを選択する。
Ｓ２０６では、携帯無線通信端末１００において、ＩＤセレクタアプリケーションが、Ｓ２５０において選択されたInformation Cardに基づき、非接触型ＩＣカード４０の読み取りをユーザに要求する。
【００６５】
Ｓ２０７では、携帯無線通信端末１００のリーダライタ１４０が、ユーザによってかざされた非接触型ＩＣカード４０を読み取る。
ここで、先に示した図２のＳ１０４においてかざした非接触型ＩＣカード４０が複数枚である場合には、その複数枚の非接触型ＩＣカード４０をかざして読み取る必要がある。
【００６６】
Ｓ２０８では、携帯無線通信端末１００の第１の認証情報取得部１３２が、リーダライタ１４０を介して、非接触型ＩＣカード４０から第１の固有情報Ｘを取得する。
Ｓ２０９では、携帯無線通信端末１００の第２の認証情報生成部１３３が、ＵＩＭカード３０から第２の固有情報Ｙを取得し、非接触型ＩＣカード４０から取得した第１の固有情報Ｘ及び第２の固有情報Ｙを用いて認証キーＰ＝（Ｘ || Ｙ || 乱数）を生成する。
【００６７】
Ｓ２１０では、携帯無線通信端末１００の認証処理部１３４が、暗号化されたInformation Cardを、認証キーＰにより復号する。
Ｓ２１１では、携帯無線通信端末１００からＩｄＰサーバ１２に対して、Information Cardに指定された手順でCredentialを提示する。Credential内において、<ic:CardId>タグ内のＵＲＩに以下の数値を末尾へ連結する。
ハッシュ(認証キー || サーバ発行番号 || サーバ日時 ||nonce1）|| nonce2)。
また、<ic:CardVersion>タグ内のバージョンにおいてCardId計算方法を指定する。
【００６８】
Ｓ２１２では、ＩｄＰサーバ１２が、ユーザ認証をおこなう。具体的には、Information Card内のＩＤの正当性確認、及び、ＩＤに紐づく付加情報：サーバ発行番号,サーバ日時,nonce1,nonce2の計算値の同一性をＤＢ（データベース）内付加情報からCardVersionタグのバージョンで指定する計算方法にて確認する。
【００６９】
Ｓ２１３では、ＩｄＰサーバ１２が、Ｓ２１２における同一性の確認結果が、一致しているか否かにより、処理を分岐する。一致していれば、Ｓ２１５に進み、一致していなければ、Ｓ２１４に進む。
Ｓ２１４では、処理を中止する。
【００７０】
Ｓ２１５では、ＩｄＰサーバ１２から携帯無線通信端末１００に対してトークンの払い出しを行う。
Ｓ２１６では、携帯無線通信端末１００からＳＰサーバ１１に対してトークンの提示を行う。
【００７１】
Ｓ２１７では、ＳＰサーバ１１からＩｄＰサーバ１２に対してトークンの提示を行う。
Ｓ２１８では、ＩｄＰサーバ１２が、受信したトークンが正しいかどうかの認証を行う。
【００７２】
Ｓ２１９では、ＩｄＰサーバ１２が、Ｓ２１８における認証の結果、受信したトークンが正しいか否かにより、処理を分岐する。正しければ、Ｓ２２１に進み、正しくなければ、Ｓ２２０に進む。
Ｓ２２０では、処理を中止する。
【００７３】
Ｓ２２１では、ＩｄＰサーバ１２が要求属性をＤＢから引き出す。
Ｓ２２２では、ＩｄＰサーバ１２からＳＰサーバ１１に対して、ＳＰサーバ１１より要求された属性を提示する。
【００７４】
Ｓ２２３では、ＳＰサーバ１１が、携帯無線通信端末１００に対してサービス利用を認可する。
Ｓ２２４では、携帯無線通信端末１００において、サービスの利用を開始可能となり、例えば、サービス開始ページへリダイレクトする。
【００７５】
以上説明したように、第１実施形態によれば、非接触型ＩＣカード４０から取得する第１の固有情報Ｘを用いて認証キーＰを生成し、認証に用いるので、ユーザは、パスワード等を記憶して利用する必要がない。よって、ユーザの記憶に負荷をかけることなく、利便性の高い認証システムとなる。また、携帯無線通信端末１００と非接触型ＩＣカード４０との組合せを知らなければ、認証処理を行うことができず、また、携帯無線通信端末１００を使わなければ、非接触型ＩＣカード４０だけ持っていたとしても認証処理を行うことができない。よって、仮にトークンである非接触型ＩＣカード４０が盗取された場合であっても、ユーザなりすましを防止できる。
【００７６】
（第２実施形態）
図５は、本発明による認証方法を用いた携帯無線通信端末を含む認証システムの第２実施形態を示す図である。
第２実施形態の認証システムは、コンピュータ装置５０にリーダライタ５２が設けられており、かつ、コンピュータアプリケーション５１に、第１の固有情報取得部５３及び第２の認証情報生成部５４が追加され、さらに、第1実施形態における有線通信部１５０が不要である他は、第１実施形態と同様な形態をしている。よって、前述した第１実施形態と同様の機能を果たす部分には、同一の符号を付して、重複する説明を適宜省略する。
【００７７】
コンピュータ装置５０は、リーダライタ５２を備えている。
リーダライタ５２は、リーダライタ１４０と同様に、非接触型ＩＣカード４０と非接触で通信を行う。非接触型ＩＣカードの通信規格は複数存在しているが、本実施形態のリーダライタ５２としては、少なくとも１種類の通信規格に対応することが必要である。なお、リーダライタ５２は、複数種類の通信規格に対応したものとすることが、利用者にとって利便性の高いシステムとするために望ましい。
【００７８】
第１の固有情報取得部５３は、リーダライタ５２を介して、非接触型ＩＣカード４０から第１の固有情報Ｘを取得するコンピュータ装置内固有情報取得手段である。
第２の認証情報生成部５４は、第１の固有情報取得部５３が取得した第１の固有情報Ｘを用いて、認証キーＰを生成するコンピュータ装置内第２の認証情報生成手段である。
【００７９】
第２実施形態では、コンピュータ装置５０が有するリーダライタ５２を利用して、鍵の共有を、さらに簡便に行うことができる。
コンピュータ装置５０には、携帯無線通信端末１００の携帯電話事業者が提供するコンピュータアプリケーション５１を、コンピュータ装置５０にダウンロードすることにより、このコンピュータアプリケーション５１に格納された鍵生成アルゴリズムを配布する。そして、このコンピュータアプリケーション５１が、非接触型ＩＣカード４０から第１の固有情報Ｘをリーダライタ５２を介して取得し、携帯無線通信端末１００と同一の鍵生成アルゴリズムにより鍵を生成する。
【００８０】
次に、第２実施形態における鍵共有の動作について説明する。
まず、ユーザが非接触型ＩＣカード４０を任意に選択し、同一の非接触型ＩＣカード４０をコンピュータ装置５０のリーダライタ５２と、携帯無線通信端末１００のリーダライタ１４０とにかざす。
コンピュータ装置５０及び携帯無線通信端末１００では、それぞれにおいて、非接触型ＩＣカード４０から取得した第１の固有情報Ｘをもとにアプリケーション内の鍵生成アルゴリズムを利用することにより共有鍵として認証キーを生成する。ただし、第２実施形態では、第１実施形態における認証キーＰとは異なり、ＵＩＭカードのＩＤ（第２の固有情報Ｙ）は認証キーに含まれていない。
【００８１】
以上説明したように、第２実施形態によれば、携帯無線通信端末１００にかざす非接触型ＩＣカード４０と同一の非接触型ＩＣカード４０をコンピュータ装置５０のリーダライタ５２にかざすことにより、共有鍵を生成するので、さらにユーザの利便性を向上させることができる。
【００８２】
なお、携帯無線通信端末の処理をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを携帯無線通信端末に読み込ませ、実行することによって本発明の携帯無線通信端末、認証方法を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。
【００８３】
また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
【００８４】
また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。
【００８５】
以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【００８６】
（変形形態）
（１）各実施形態において、非接触型ＩＣカード４０をかざす際にカードＩＤである第１の固有情報Ｘを読み取ってマスタ鍵としているが、新規に非接触型ＩＣカードを発行することで、非接触型ＩＣカード内部にアプリケーションとして乱数生成機能を載せて乱数を利用することも可能であるし、カードＩＤに非接触型ＩＣカード内で生成したｓａｌｔ（乱数）を連結することも可能である。十分なデータ長の乱数を安全に非接触型ＩＣカード内で保管すれば、カードＩＤのデータ長が短かったとしても、安全性の確保が可能である。
【００８７】
（２）各実施形態において、取得した非接触型ＩＣカード４０の第１の固有情報Ｘをもとに共有鍵を生成するときに、非接触型ＩＣカードを新規発行するか、又は、非接触型ＩＣカード内のアプリケーションを新規発行した場合は、第１の固有情報Ｘに、非接触型ＩＣカード内のアプリケーションで生成した乱数を連結した数値としてもよい。
【００８８】
（３）各実施形態において、携帯無線通信端末１００は、携帯電話機である例を挙げて説明したが、これに限らず、例えば、通話機能を持たない無線通信端末であってもよい。
【００８９】
（４）各実施形態において、非接触型ＩＣカードを利用する例を挙げて説明したが、非接触型情報記憶媒体であればよい。例えば、カードの形態に限らず、各種非接触型のＲＦＩＤタグを利用してもよい。
【００９０】
（５）第２実施形態において、ＵＩＭカードのＩＤ（第２の固有情報Ｙ）は認証キーに含めない例を挙げて説明した。これに限らず、例えば、携帯無線通信端末が持つリーダライタを利用して、携帯無線通信端末自体に非接触型ＩＣカードの機能を持たせることが可能で有り、携帯無線通信端末側で機能を切り替えることにより非接触型ＩＣカードＩＦを用いた相互通信が可能である。携帯無線通信端末からコンピュータ装置へデータ送信する場合には、携帯無線通信端末上のアプリケーションとＵＩＭ上の接触型ＩＣカードアプリケーションが通信することで算出した値を、接触型ＩＣカードＩＦ経由でＵＩＭ上の非接触型ＩＣカードアプリケーションに書き込むことにより、自由に送出データを非接触型ＩＣカードＩＦにてコンピュータ装置のリーダライタ経由でデータ送出することが可能となる。このようにすることにより、鍵共有でもＵＩＭカードのＩＤ（第２の固有情報Ｙ）を交換することが可能となる。
【００９１】
なお、各実施形態及び変形形態は、適宜組み合わせて用いることもできるが、詳細な説明は省略する。
【符号の説明】
【００９２】
１１ ＳＰサーバ
１２ ＩｄＰサーバ
２０ 基地局
３０ ＵＩＭカード
４０ 非接触型ＩＣカード
４１ アプリケーション
５０ コンピュータ装置
５１ コンピュータアプリケーション
５２ リーダライタ
１００ 携帯無線通信端末
１１０ 無線通信部
１２０ 演算部
１３０ 端末アプリケーション
１３１ 第１の固有情報取得部
１３２ 第１の認証情報取得部
１３３ 第２の認証情報生成部
１３４ 認証処理部
１４０ リーダライタ
１５０ 有線通信部
【特許請求の範囲】
【請求項１】
第１の認証情報を保持するコンピュータ装置と、
前記第１の認証情報に加えて前記コンピュータ装置から入力されたパスワードを用いて認証処理を行うサーバと、
通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段により前記コンピュータ装置と通信が可能な携帯無線通信端末と、
を備えた認証システムであって、
前記携帯無線通信端末は、
非接触型情報記憶媒体と非接触で通信を行うリーダライタと、
前記リーダライタを介して前記非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得手段と、
前記第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得手段と、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成手段と、
前記通信サービスを介して行われる前記第１の認証情報を用いる前記サーバとの認証に関する処理を、前記パスワードに代えて前記第２の認証情報を用いて行う認証処理手段と、
を備えること、
を特徴とする認証システム。
【請求項２】
請求項１に記載の認証システムにおいて、
前記コンピュータ装置は、前記携帯無線通信端末から前記第２の認証情報を取得し、前記サーバに対して前記第２の認証情報を前記第１の認証情報に関連付けて送ること、
を特徴とする認証システム。
【請求項３】
請求項１又は請求項２に記載の認証システムにおいて、
前記第２の認証情報は、前記携帯無線通信端末内に装着された接触型情報記憶媒体が記憶する前記通信サービスに関する第２の固有情報をさらに用いて生成されること、
を特徴とする認証システム。
【請求項４】
請求項１に記載の認証システムにおいて、
前記コンピュータ装置は、前記非接触型情報記憶媒体と非接触で通信を行うリーダライタを備え、
前記リーダライタを介して前記非接触型情報記憶媒体が有する前記第１の固有情報を取得するコンピュータ装置内固有情報取得手段と、
前記第２の認証情報を生成するコンピュータ装置内第２の認証情報生成手段と、
を備えること、
を特徴とする認証システム。
【請求項５】
通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段によりコンピュータ装置と通信が可能な携帯無線通信端末であって、
非接触型情報記憶媒体と非接触で通信を行うリーダライタと、
前記リーダライタを介して前記非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得手段と、
第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得手段と、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成手段と、
前記通信サービスを介して行われる前記第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて前記第２の認証情報を用いて行う認証処理手段と、
を備えること、
を特徴とする携帯無線通信端末。
【請求項６】
第１の認証情報を保持するコンピュータ装置と、
前記第１の認証情報に加えて前記コンピュータ装置から入力されたパスワードを用いて認証処理を行うサーバと、
通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段により前記コンピュータ装置と通信が可能な携帯無線通信端末と、
を備えた認証システムにおける認証方法であって、
前記携帯無線通信端末は、
リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得ステップと、
前記第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得ステップと、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成ステップと、
前記通信サービスを介して行われる前記第１の認証情報を用いる前記サーバとの認証に関する処理を、前記パスワードに代えて前記第２の認証情報を用いて行う認証処理ステップと、
を実行すること、
を特徴とする認証方法。
【請求項７】
通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段によりコンピュータ装置と通信が可能な携帯無線通信端末における認証プログラムであって、
前記携帯無線通信端末のコンピュータに、
リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得ステップと、
第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得ステップと、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成ステップと、
前記通信サービスを介して行われる前記第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて前記第２の認証情報を用いて行う認証処理ステップと、
を実行させるための認証プログラム。
【請求項８】
リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得ステップと、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成ステップと、
を実行すること、
を特徴とする認証情報生成方法。
【請求項９】
コンピュータに、
リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得ステップと、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成ステップと、
を実行させるための認証情報生成プログラム。
【請求項１】
第１の認証情報を保持するコンピュータ装置と、
前記第１の認証情報に加えて前記コンピュータ装置から入力されたパスワードを用いて認証処理を行うサーバと、
通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段により前記コンピュータ装置と通信が可能な携帯無線通信端末と、
を備えた認証システムであって、
前記携帯無線通信端末は、
非接触型情報記憶媒体と非接触で通信を行うリーダライタと、
前記リーダライタを介して前記非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得手段と、
前記第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得手段と、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成手段と、
前記通信サービスを介して行われる前記第１の認証情報を用いる前記サーバとの認証に関する処理を、前記パスワードに代えて前記第２の認証情報を用いて行う認証処理手段と、
を備えること、
を特徴とする認証システム。
【請求項２】
請求項１に記載の認証システムにおいて、
前記コンピュータ装置は、前記携帯無線通信端末から前記第２の認証情報を取得し、前記サーバに対して前記第２の認証情報を前記第１の認証情報に関連付けて送ること、
を特徴とする認証システム。
【請求項３】
請求項１又は請求項２に記載の認証システムにおいて、
前記第２の認証情報は、前記携帯無線通信端末内に装着された接触型情報記憶媒体が記憶する前記通信サービスに関する第２の固有情報をさらに用いて生成されること、
を特徴とする認証システム。
【請求項４】
請求項１に記載の認証システムにおいて、
前記コンピュータ装置は、前記非接触型情報記憶媒体と非接触で通信を行うリーダライタを備え、
前記リーダライタを介して前記非接触型情報記憶媒体が有する前記第１の固有情報を取得するコンピュータ装置内固有情報取得手段と、
前記第２の認証情報を生成するコンピュータ装置内第２の認証情報生成手段と、
を備えること、
を特徴とする認証システム。
【請求項５】
通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段によりコンピュータ装置と通信が可能な携帯無線通信端末であって、
非接触型情報記憶媒体と非接触で通信を行うリーダライタと、
前記リーダライタを介して前記非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得手段と、
第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得手段と、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成手段と、
前記通信サービスを介して行われる前記第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて前記第２の認証情報を用いて行う認証処理手段と、
を備えること、
を特徴とする携帯無線通信端末。
【請求項６】
第１の認証情報を保持するコンピュータ装置と、
前記第１の認証情報に加えて前記コンピュータ装置から入力されたパスワードを用いて認証処理を行うサーバと、
通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段により前記コンピュータ装置と通信が可能な携帯無線通信端末と、
を備えた認証システムにおける認証方法であって、
前記携帯無線通信端末は、
リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得ステップと、
前記第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得ステップと、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成ステップと、
前記通信サービスを介して行われる前記第１の認証情報を用いる前記サーバとの認証に関する処理を、前記パスワードに代えて前記第２の認証情報を用いて行う認証処理ステップと、
を実行すること、
を特徴とする認証方法。
【請求項７】
通信サービスに利用される端末であって、前記通信サービスの通信回線、又は、他の通信手段によりコンピュータ装置と通信が可能な携帯無線通信端末における認証プログラムであって、
前記携帯無線通信端末のコンピュータに、
リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得ステップと、
第１の認証情報を前記コンピュータ装置と通信を行うことにより取得する第１の認証情報取得ステップと、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成ステップと、
前記通信サービスを介して行われる前記第１の認証情報を用いるサーバとの認証に関する処理を、パスワードに代えて前記第２の認証情報を用いて行う認証処理ステップと、
を実行させるための認証プログラム。
【請求項８】
リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得ステップと、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成ステップと、
を実行すること、
を特徴とする認証情報生成方法。
【請求項９】
コンピュータに、
リーダライタを介して非接触型情報記憶媒体が有する第１の固有情報を取得する第１の固有情報取得ステップと、
少なくとも前記第１の固有情報を用いて生成される第２の認証情報を生成する第２の認証情報生成ステップと、
を実行させるための認証情報生成プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公開番号】特開２０１１−１２９０４０（Ｐ２０１１−１２９０４０Ａ）
【公開日】平成２３年６月３０日（２０１１．６．３０）
【国際特許分類】
【出願番号】特願２００９−２８９２１９（Ｐ２００９−２８９２１９）
【出願日】平成２１年１２月２１日（２００９．１２．２１）
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
【公開日】平成２３年６月３０日（２０１１．６．３０）
【国際特許分類】
【出願日】平成２１年１２月２１日（２００９．１２．２１）
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
[ Back to top ]