認証システムおよび認証方法
【課題】複数のサーバに対するシングルサインオンを可能とし、各サーバやシステム間でのセキュリティを確保しつつ、同時並行的に認証を行うことを可能とする認証システムを提供する。
【解決手段】各サーバ１００は認証処理を行う認証処理部１２０を有し、クライアント端末３００は各サーバ１００に対して認証の要求を送信する認証要求部３１１を有し、認証処理部１２０はサーバシーズとユーザＩＤ毎にパスワードをサーバシーズを用いてハッシュ化したハッシュ化パスワード１３２を含むユーザ情報１３０とを有し、認証の要求に対してシーズとしてサーバシーズをクライアント端末３００に送信し、認証要求部３１１はパスワードをサーバ１００から受信したシーズを用いてハッシュ化したハッシュ値をサーバ１００に送信し、認証処理部１２０はクライアント端末３００から受信したハッシュ値と対象のユーザに係るハッシュ化パスワード１３２とを比較して認証を行う。
【解決手段】各サーバ１００は認証処理を行う認証処理部１２０を有し、クライアント端末３００は各サーバ１００に対して認証の要求を送信する認証要求部３１１を有し、認証処理部１２０はサーバシーズとユーザＩＤ毎にパスワードをサーバシーズを用いてハッシュ化したハッシュ化パスワード１３２を含むユーザ情報１３０とを有し、認証の要求に対してシーズとしてサーバシーズをクライアント端末３００に送信し、認証要求部３１１はパスワードをサーバ１００から受信したシーズを用いてハッシュ化したハッシュ値をサーバ１００に送信し、認証処理部１２０はクライアント端末３００から受信したハッシュ値と対象のユーザに係るハッシュ化パスワード１３２とを比較して認証を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証技術に関し、特に、複数のサーバ等に対して一回のユーザＩＤおよびパスワードの入力によりシングルサインオンを行う認証システムおよび認証方法に適用して有効な技術に関するものである。
【背景技術】
【０００２】
近年、クラウドコンピューティングサービスなどの進展により、ユーザが保有するクライアント端末から、複数のデータセンターやサーバに連続的もしくは同時並行的にアクセスして、情報処理に係る業務等を行う形態が一般的となってきている。このようなシステム環境において、各サーバ等へのアクセスを開始する毎に、ユーザがそれぞれのサーバ等において個別にユーザ認証を行うことの煩雑さを回避するため、いわゆるシングルサインオンの仕組みが適用される場合もある。
【０００３】
シングルサインオンの仕組みでは、ユーザが一度の認証を行うことで、ユーザ認証が必要な複数のシステムやサーバに対して個別の認証手続きを行わずにアクセスすることを可能とする。この仕組みを実現する手法としては、例えば、各サーバやシステムがＳＡＭＬ（Security Assertion Markup Language）プロトコル（非特許文献１）を用いてサーバ間で通信を行って、認証サーバ等の特定のサーバで行った認証結果の情報を自動的に引き継ぐことで、各サーバ等でのユーザによる再度の認証手続きを不要とするという手法がとられる。
【０００４】
しかしながら、このような仕組みによるシングルサインオンの環境は、例えば、イントラネット上の社内システムなど、サーバやシステム間で認証情報の引き継ぎ・受け入れを許容する信頼関係が成立していることが前提となる。従って、各サーバやシステムが異なる事業者によって運用されている場合などでは、セキュリティ上の関係等からこのような信頼関係が成立しない場合もある。
【０００５】
これに対して、例えば、特開２０１０−８６４３５号公報（特許文献１）には、以下のようなネットワークシステムの例が記載されている。すなわち、当該ネットワークシステムは、複数のＷｅｂサーバと中継サーバおよび複数のユーザ端末から構成され、第一のＷｅｂサーバは、端末からの認証情報と記憶部の認証情報とを照合して認証を行い、認証が成立した場合に、認証情報に含まれる第一のユーザＩＤ、第一のＷｅｂサーバへの第一のＵＲＬ、第二Ｗｅｂサーバへの第二のＵＲＬおよび認証強度に関連する情報を含むメッセージを生成して中継サーバに送信する。
【０００６】
中継サーバは、同一ユーザ情報を登録するテーブルから第一のユーザＩＤに対応する第二のユーザＩＤを取得して、メッセージ中の第一のユーザＩＤを第二のユーザＩＤに書き換えて第二のＷｅｂサーバに送信する。第二のＷｅｂサーバは、メッセージを受信すると、メッセージから第二のユーザＩＤを取得し、第二のユーザＩＤが記憶部に記憶されている場合に、受信した認証強度に関連する情報と記憶部の認証強度に関連する情報に基づいてユーザの再認証を行う。これにより、互いに信頼関係や連携関係にない複数のシステムから構成されるネットワークシステムにおいて、一回の認証情報の入力により、認証が必要な複数のアプリケーションを利用可能とする。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１０−８６４３５号公報
【非特許文献】
【０００８】
【非特許文献１】“Security Assertion Markup Language (SAML) v2.0”、[online]、２００５年３月１５日、ＯＡＳＩＳ（Organization for the Advancement of Structured Information Standards）、［平成２３年４月２５日検索］、インターネット＜URL: http://www.oasis-open.org/standards#samlv2.0＞
【発明の概要】
【発明が解決しようとする課題】
【０００９】
上述したように、非特許文献１のような技術を用いればシングルサインオンの環境を構築することが可能である。しかしながら、このような環境では、サーバやシステム間で信頼関係が成立していることが必要である。従って、例えば、社内と社外や、異なる事業者間など、サーバやシステム間で信頼関係が成立していない環境では、あるサーバにおいて、当該サーバにおける認証処理のために認証サーバ等から取得した認証情報を利用して他のサーバに対して不正なアクセスを行う、ということも考えられ、サーバやシステム間でのセキュリティの確保という観点では課題を有する。
【００１０】
一方、特許文献１のような仕組みを用いれば、信頼関係が成立していないサーバやシステム間で、シングルサインオンの環境を構築することが可能である。しかしながら、ユーザは、あるサーバでのユーザ管理とは別に、他のサーバにおいても個別にユーザＩＤの登録や変更等の管理を行わなければならないのが通常である。また、例えば特許文献１での中継サーバなどのように、複数のサーバにおけるユーザＩＤの対応関係の管理も行う必要があり、管理が煩雑となる。また、このように複数のサーバやシステム間で連続的に認証を行っていく形態では、ユーザが多数のサーバやシステムに同時並行的にアクセスする必要がある場合には、レスポンスが低下するという課題を有する。
【００１１】
そこで本発明の目的は、複数のサーバやシステムに対するシングルサインオンを可能とし、各サーバやシステム間でのセキュリティを確保しつつ、同時並行的に認証を行うことを可能とする認証システムおよび認証方法を提供することにある。本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。
【課題を解決するための手段】
【００１２】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。
【００１３】
本発明の代表的な実施の形態による認証システムは、ユーザによるクライアント端末からの一度の認証処理によって、ネットワークを介して接続された複数のサーバに対するシングルサインオンを行う認証システムであって、以下の特徴を有するものである。
【００１４】
すなわち、前記各サーバは、前記サーバへのアクセスに対しての認証処理を行う認証処理部を有し、前記クライアント端末は、前記各サーバの機能を実行もしくは利用するに際して、ユーザからユーザＩＤおよびパスワードの指定を受けて前記各サーバに対して順次もしくは並行的に認証の要求を送信する認証要求部を有する。
【００１５】
前記サーバの前記認証処理部は、前記サーバ毎に異なる固有情報であるサーバシーズと、登録されたユーザのユーザＩＤ毎に前記ユーザのパスワードを前記サーバシーズを用いて所定の手順でハッシュ化したハッシュ化パスワードを含むアカウント情報を保持するユーザ情報とを有し、前記クライアント端末から受信した前記認証の要求に対して、シーズとして前記サーバシーズを前記クライアント端末に対して送信し、前記クライアント端末の前記認証要求部は、前記ユーザから指定されたパスワードを、前記サーバから受信した前記シーズを用いて所定の手順でハッシュ化したハッシュ値を前記サーバに送信し、前記サーバの前記認証処理部は、前記クライアント端末から受信した前記ハッシュ値と、対象の前記ユーザに係る前記ハッシュ化パスワードとを比較して認証を行い、認証結果を前記クライアント端末に送信する。
【００１６】
また、本発明は、ユーザによるクライアント端末からの一度の認証処理によって、ネットワークを介して接続された複数のサーバに対するシングルサインオンを行う認証方法にも適用することができる。
【発明の効果】
【００１７】
本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。
【００１８】
本発明の代表的な実施の形態によれば、複数のサーバやシステムに対するシングルサインオンを可能とし、各サーバやシステム間でのセキュリティを確保しつつ、同時並行的に認証を行うことで認証処理によるレスポンスの低下を抑止することが可能となる。
【図面の簡単な説明】
【００１９】
【図１】本発明の一実施の形態である認証システムの構成例について概要を示した図である。
【図２】本発明の一実施の形態における認証処理の流れの例について概要を示した図である。
【発明を実施するための形態】
【００２０】
以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一の符号を付し、その繰り返しの説明は省略する。
【００２１】
本発明の一実施の形態である認証システムは、ユーザによるクライアント端末からの一度の認証処理によって複数のサーバやシステム（以下では単に“サーバ”と記載する場合がある）に対するシングルサインオンを実現するシステムである。このとき、サーバ毎に異なる鍵（サーバ固有情報）を用いて認証を行うことで、各サーバに対するアクセスを独立してセキュアに行うことを可能とする。また、各サーバでの認証を同時並行的に行うことを可能とし、多数のサーバに同時並行的にアクセスする必要がある場合などにおいて認証に要する時間を削減してレスポンスの低下を抑止することが可能である。
【００２２】
＜システム構成＞
以下では、本実施の形態の認証システムのシステム構成について説明する。図１は、本発明の一実施の形態である認証システムの構成例について概要を示した図である。認証システム１は、ネットワーク４００に対して、複数のサーバ１００、マスタサーバ２００、およびクライアント端末３００が接続された構成を有する。
【００２３】
サーバ１００は、サーバ機器によって構成されるコンピュータシステムであり、例えば、Ｗｅｂサーバやアプリケーションサーバ、データベースサーバ、ファイルサーバ、ストレージシステムなど、ユーザ認証を経た後にクライアント端末３００等からのアクセスを受け付けてサービスを提供する機能を有する。サーバ１００は、例えば、ソフトウェアプログラムにより実装される業務処理部１１０および認証処理部１２０を有する。業務処理部１１０は、サーバ１００が提供するサービス（業務）に係る処理を実行するものであり、例えば、ミドルウェアやアプリケーションプログラム等から構成される。
【００２４】
認証処理部１２０は、サーバ１００へのアクセスに対しての認証処理を行う。認証処理部１２０は、認証処理を行う際に利用する情報として、ユーザ毎のアカウント情報からなるユーザ情報１３０を有する。ユーザ情報１３０は、例えば、データベースやファイルテーブル等によって構成され、例えば、登録されたユーザのユーザＩＤ毎に、ユーザ毎に異なる固有情報としてのユーザシーズ１３１、およびパスワードを所定の手順によりハッシュ化したハッシュ化パスワード１３２などのアカウント情報を有する。また、認証処理部１２０は、サーバ毎に異なる固有情報としてのサーバシーズ１４０を有する。
【００２５】
本実施の形態では、認証処理部１２０は、後述するように、クライアント端末３００との間でチャレンジ／レスポンス方式により認証処理を行う。すなわち、ユーザからの認証要求に対して、サーバシーズ１４０、ユーザシーズ１３１、およびチャレンジとしての乱数等を送信する。さらに、これらによってハッシュ化されたパスワード（ハッシュ値）をクライアント端末３００からレスポンスとして受信して、受信したハッシュ値と、ハッシュ化パスワード１３２を上記乱数によってハッシュ化したものとを比較して認証を行う。従って、認証処理部１２０は、乱数生成の機能やハッシュアルゴリズムを実装している。なお、これらの実装には公知の各種技術やアルゴリズムを利用することができる。サーバ１００とクライアント端末３００との間の通信経路のセキュリティが確保されるなどの場合には、チャレンジ／レスポンス方式以外の他の方式を採用するなどしてもよい。
【００２６】
マスタサーバ２００は、サーバ機器やＰＣ（Personal Computer）等によって構成されるコンピュータシステムであり、各サーバ１００に保持するユーザシーズ１３１およびサーバシーズ１４０を生成して提供する。認証を代表的に行ういわゆる認証サーバではないため、ユーザ認証の機能は有さない。マスタサーバ２００は、例えば、ソフトウェアプログラムにより実装されるシーズ生成部２１０を有する。
【００２７】
シーズ生成部２１０は、管理者等からの指示もしくは各サーバ１００からの要求等に基づいてシーズを生成し、ユーザシーズ１３１もしくはサーバシーズ１４０として、対象のサーバ１００にネットワーク４００を介して提供する。なお、シーズの生成方法やシーズのフォーマット等については特に限定されないが、例えば、所定の長さのユニークな文字列やバイナリデータを生成してシーズとすることができる。
【００２８】
クライアント端末３００は、ＰＣや携帯端末等によって構成されるコンピュータシステムであり、各サーバ１００が提供するサービス（業務）を実行・利用するためにネットワーク４００を介してサーバ１００にアクセスする機能を有する。クライアント端末３００は、例えば、ソフトウェアプログラムにより実装されるクライアントアプリケーション３１０を有する。クライアントアプリケーション３１０は、各サーバ１００が提供する機能（業務）を実行・利用するためのアプリケーションプログラムであり、認証要求部３１１を有し、例えば、Ｗｅｂブラウザ上で稼働するプログラム等を利用することもできる。
【００２９】
認証要求部３１１は、クライアントアプリケーション３１０が各サーバ１００の機能を実行・利用するに際しての、サーバ１００に対する認証の要求を行う。例えば、ログイン画面を介してユーザからユーザＩＤおよびパスワードの入力を受け付け、チャレンジ／レスポンス方式等により、各サーバ１００の認証処理部１２０との間で順次もしくは並行的にそれぞれ個別に認証処理を行うことで、シングルサインオンの機能を実現する。
【００３０】
ここでは、認証要求の送信に対してサーバ１００の認証処理部１２０から送信されたサーバシーズ１４０、ユーザシーズ１３１、および乱数に基づいて、ユーザから指定されたパスワードを所定の手順によりハッシュ化し、これをサーバ１００の認証処理部１２０に送信することで認証処理を行う。従って、認証要求部３１１は、サーバ１００の認証処理部１２０が実装しているものと同一のハッシュアルゴリズムを実装している。
【００３１】
ネットワーク４００は、例えば、インターネット等の公衆通信網や、ＷＡＮ（Wide Area Network）、ＶＰＮ（Virtual Private Network）等の一般公衆回線を一部に用いた通信網、ＬＡＮ（Local Area Network）などを適宜利用することができる。
【００３２】
＜認証処理＞
以下では、本実施の形態の認証システム１における認証処理の内容について説明する。認証処理を行うに当たっての初期状態として、各サーバ１００では、予め、マスタサーバ２００のシーズ生成部２１０によって生成されたシーズをそれぞれサーバシーズ１４０として保持しているものとする。さらに、各ユーザによって、ユーザＩＤ、パスワード等を含むアカウント情報の初期登録が事前に行われているものとする。このとき、アカウント情報として、ユーザＩＤ毎にそれぞれマスタサーバ２００のシーズ生成部２１０によって生成されたシーズをユーザシーズ１３１として保持しておく。さらに、パスワードについては、当該ユーザシーズ１３１およびサーバシーズ１４０をシード値として、所定のハッシュアルゴリズムによりハッシュ化したハッシュ化パスワード１３２として保持しておく。
【００３３】
パスワードを直接保持しないことで、パスワードの漏洩を防止することができる。また、ユーザ毎にユニークなユーザシーズ１３１をシード値としてハッシュ化を行うことで、例えば、複数のユーザによって偶然同一のパスワードが指定された場合でも、ユーザ毎にハッシュ値が異なるようにすることができる。
【００３４】
図２は、本実施の形態における認証処理の流れの例について概要を示した図である。まず、ユーザはクライアント端末３００の認証要求部３１１を介して、認証（ログイン）の要求を行う。このとき、例えば、ユーザＩＤおよびパスワードの情報をログイン画面等を介して指定する。認証要求部３１１は、指定されたユーザＩＤを含む認証の要求をサーバ１００へ送信する（Ｓ０１）。
【００３５】
ユーザＩＤを受信したサーバ１００の認証処理部１２０は、チャレンジ／レスポンス方式におけるチャレンジとしての乱数を生成し、さらにシーズを取得して、これらをクライアント端末３００に送信する（Ｓ０２）。ここでは、乱数に加えて、サーバシーズ１４０と、ユーザ情報１３０に保持されたユーザＩＤに対応するユーザシーズ１３１を取得する。
【００３６】
サーバシーズ１４０とユーザシーズ１３１、および乱数を受信したクライアント端末３００の認証要求部３１１では、ステップＳ０１において指定されたパスワードを所定のハッシュアルゴリズムによりハッシュ化する（Ｓ０３）。さらに、ステップＳ０３で得られたハッシュ値を、ユーザシーズ１３１をシード値としてハッシュ化する（Ｓ０４）。さらに、ステップＳ０４で得られたハッシュ値を、サーバシーズ１４０をシード値としてハッシュ化する（Ｓ０５）。さらに、ステップＳ０５で得られたハッシュ値を、乱数をシード値としてハッシュ化することでワンタイム化し、得られたハッシュ値をサーバ１００へ送信する（Ｓ０６）。
【００３７】
なお、上記のステップＳ０３〜Ｓ０５の一連のハッシュ化処理手順は、一例であり、同等の結果が得られる他の手順とすることも当然可能であるが、事前のユーザ登録の際にパスワードをハッシュ化してハッシュ化パスワード１３２を取得する際のハッシュ化処理と同一の手順である必要がある。また、例えば、ステップＳ０２において、サーバ１００からパスワードの有効期限が経過しているためパスワードを更新する旨の指示を受信した場合など、必要に応じて、ステップＳ０３を実行する前にパスワード（およびハッシュ化パスワード１３２）の更新を行えるようにしてもよい。
【００３８】
ハッシュ値を受信したサーバ１００の認証処理部１２０は、ユーザ情報１３０から対象のユーザＩＤに対応するハッシュ化パスワード１３２を取得し（Ｓ０７）、取得したハッシュ化パスワード１３２を、ステップＳ０２で生成した乱数をシード値としてハッシュ化する（Ｓ０８）。その後、得られたハッシュ値と、ステップＳ０７でクライアント端末３００から受信したハッシュ値とを比較することで認証処理を行い、認証結果をクライアント端末３００に送信する（Ｓ０９）。すなわち、比較の結果両者が一致すれば認証は成立し、不一致であれば認証は不成立となる。なお、このとき例えば、クライアント端末３００からの要求電文からＩＰアドレス等の発信元の所在に係る情報を取得し、当該情報が所定の範囲内にあるか否か等の他の条件を認証の成否の判断に加えてもよい。
【００３９】
クライアント端末３００の認証要求部３１１は、認証結果を受領し（Ｓ１０）、その後、必要に応じて他のサーバ１００に対しても順次上記の一連の処理を自動的に行い、各サーバ１００に対する認証処理を行う。各サーバ１００での認証処理は独立していることから、必要な複数のサーバ１００に対して上記の一連の処理を同時並行的に行うことも可能である。なお、必要なサーバ１００の情報については、例えば、クライアント端末３００上にサーバ１００のリストからなる設定ファイル等を保持することで把握することができる。
【００４０】
以上の処理により、ユーザは、ユーザＩＤおよびパスワードの指定を１回行うだけで、必要な各サーバ１００に対して認証処理を行うことができる。
【００４１】
上述したような手法をとることにより、例えば、あるサーバ１００の管理者等が、対象のユーザのユーザシーズ１３１やハッシュ化パスワード１３２などのアカウント情報を自身のユーザ情報１３０から取得したとしても、これらの情報を利用して他のサーバ１００に対してなりすましによる認証を行うことはできず、サーバ１００間でのセキュリティは確保される。
【００４２】
これは、あるサーバ１００でのユーザのハッシュ化パスワード１３２の値は、自身のサーバシーズ１４０によってハッシュ化されたものであり、他のサーバ１００における当該ユーザのハッシュ化パスワード１３２は、当該他のサーバ１００のサーバシーズ１４０によってハッシュ化されたものであるため値が異なるからである。従って、両者を同じ乱数をシード値としてハッシュ化しても同一のハッシュ値とはならず、図２のステップＳ０９において認証は不成立となる。また、当該他のサーバ１００のサーバシーズ１４０を何らかの手段で取得してきたとしても、対象のユーザのパスワードを知らない限り、当該他のサーバ１００におけるハッシュ化パスワード１３２と同じ値のハッシュ値を生成することはできない。
【００４３】
以上に説明したように、本発明の一実施の形態である認証システム１によれば、ユーザによるクライアント端末３００からの一度の認証処理によって複数のサーバ１００に対するシングルサインオンを実現することができる。このとき、サーバ１００毎に異なる固有情報（サーバシーズ１４０）を用いて認証を行うことで、各サーバ１００に対するアクセスを独立してセキュアに行うことが可能となる。また、各サーバ１００での認証を同時並行的に行うことを可能とし、多数のサーバに同時並行的にアクセスする必要がある場合などにおいて認証に要する時間を削減してレスポンスの低下を抑止することが可能となる。
【００４４】
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。
【産業上の利用可能性】
【００４５】
本発明は、複数のサーバ等に対して一回のユーザＩＤおよびパスワードの入力によりシングルサインオンを行う認証システムおよび認証方法に利用可能である。
【符号の説明】
【００４６】
１…認証システム、
１００…サーバ、１１０…業務処理部、１２０…認証処理部、１３０…ユーザ情報、１３１…ユーザシーズ、１３２…ハッシュ化パスワード、１４０…サーバシーズ、
２００…マスタサーバ、２１０…シーズ生成部、
３００…クライアント端末、３１０…クライアントアプリケーション、３１１…認証要求部、
４００…ネットワーク。
【技術分野】
【０００１】
本発明は、認証技術に関し、特に、複数のサーバ等に対して一回のユーザＩＤおよびパスワードの入力によりシングルサインオンを行う認証システムおよび認証方法に適用して有効な技術に関するものである。
【背景技術】
【０００２】
近年、クラウドコンピューティングサービスなどの進展により、ユーザが保有するクライアント端末から、複数のデータセンターやサーバに連続的もしくは同時並行的にアクセスして、情報処理に係る業務等を行う形態が一般的となってきている。このようなシステム環境において、各サーバ等へのアクセスを開始する毎に、ユーザがそれぞれのサーバ等において個別にユーザ認証を行うことの煩雑さを回避するため、いわゆるシングルサインオンの仕組みが適用される場合もある。
【０００３】
シングルサインオンの仕組みでは、ユーザが一度の認証を行うことで、ユーザ認証が必要な複数のシステムやサーバに対して個別の認証手続きを行わずにアクセスすることを可能とする。この仕組みを実現する手法としては、例えば、各サーバやシステムがＳＡＭＬ（Security Assertion Markup Language）プロトコル（非特許文献１）を用いてサーバ間で通信を行って、認証サーバ等の特定のサーバで行った認証結果の情報を自動的に引き継ぐことで、各サーバ等でのユーザによる再度の認証手続きを不要とするという手法がとられる。
【０００４】
しかしながら、このような仕組みによるシングルサインオンの環境は、例えば、イントラネット上の社内システムなど、サーバやシステム間で認証情報の引き継ぎ・受け入れを許容する信頼関係が成立していることが前提となる。従って、各サーバやシステムが異なる事業者によって運用されている場合などでは、セキュリティ上の関係等からこのような信頼関係が成立しない場合もある。
【０００５】
これに対して、例えば、特開２０１０−８６４３５号公報（特許文献１）には、以下のようなネットワークシステムの例が記載されている。すなわち、当該ネットワークシステムは、複数のＷｅｂサーバと中継サーバおよび複数のユーザ端末から構成され、第一のＷｅｂサーバは、端末からの認証情報と記憶部の認証情報とを照合して認証を行い、認証が成立した場合に、認証情報に含まれる第一のユーザＩＤ、第一のＷｅｂサーバへの第一のＵＲＬ、第二Ｗｅｂサーバへの第二のＵＲＬおよび認証強度に関連する情報を含むメッセージを生成して中継サーバに送信する。
【０００６】
中継サーバは、同一ユーザ情報を登録するテーブルから第一のユーザＩＤに対応する第二のユーザＩＤを取得して、メッセージ中の第一のユーザＩＤを第二のユーザＩＤに書き換えて第二のＷｅｂサーバに送信する。第二のＷｅｂサーバは、メッセージを受信すると、メッセージから第二のユーザＩＤを取得し、第二のユーザＩＤが記憶部に記憶されている場合に、受信した認証強度に関連する情報と記憶部の認証強度に関連する情報に基づいてユーザの再認証を行う。これにより、互いに信頼関係や連携関係にない複数のシステムから構成されるネットワークシステムにおいて、一回の認証情報の入力により、認証が必要な複数のアプリケーションを利用可能とする。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１０−８６４３５号公報
【非特許文献】
【０００８】
【非特許文献１】“Security Assertion Markup Language (SAML) v2.0”、[online]、２００５年３月１５日、ＯＡＳＩＳ（Organization for the Advancement of Structured Information Standards）、［平成２３年４月２５日検索］、インターネット＜URL: http://www.oasis-open.org/standards#samlv2.0＞
【発明の概要】
【発明が解決しようとする課題】
【０００９】
上述したように、非特許文献１のような技術を用いればシングルサインオンの環境を構築することが可能である。しかしながら、このような環境では、サーバやシステム間で信頼関係が成立していることが必要である。従って、例えば、社内と社外や、異なる事業者間など、サーバやシステム間で信頼関係が成立していない環境では、あるサーバにおいて、当該サーバにおける認証処理のために認証サーバ等から取得した認証情報を利用して他のサーバに対して不正なアクセスを行う、ということも考えられ、サーバやシステム間でのセキュリティの確保という観点では課題を有する。
【００１０】
一方、特許文献１のような仕組みを用いれば、信頼関係が成立していないサーバやシステム間で、シングルサインオンの環境を構築することが可能である。しかしながら、ユーザは、あるサーバでのユーザ管理とは別に、他のサーバにおいても個別にユーザＩＤの登録や変更等の管理を行わなければならないのが通常である。また、例えば特許文献１での中継サーバなどのように、複数のサーバにおけるユーザＩＤの対応関係の管理も行う必要があり、管理が煩雑となる。また、このように複数のサーバやシステム間で連続的に認証を行っていく形態では、ユーザが多数のサーバやシステムに同時並行的にアクセスする必要がある場合には、レスポンスが低下するという課題を有する。
【００１１】
そこで本発明の目的は、複数のサーバやシステムに対するシングルサインオンを可能とし、各サーバやシステム間でのセキュリティを確保しつつ、同時並行的に認証を行うことを可能とする認証システムおよび認証方法を提供することにある。本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。
【課題を解決するための手段】
【００１２】
本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。
【００１３】
本発明の代表的な実施の形態による認証システムは、ユーザによるクライアント端末からの一度の認証処理によって、ネットワークを介して接続された複数のサーバに対するシングルサインオンを行う認証システムであって、以下の特徴を有するものである。
【００１４】
すなわち、前記各サーバは、前記サーバへのアクセスに対しての認証処理を行う認証処理部を有し、前記クライアント端末は、前記各サーバの機能を実行もしくは利用するに際して、ユーザからユーザＩＤおよびパスワードの指定を受けて前記各サーバに対して順次もしくは並行的に認証の要求を送信する認証要求部を有する。
【００１５】
前記サーバの前記認証処理部は、前記サーバ毎に異なる固有情報であるサーバシーズと、登録されたユーザのユーザＩＤ毎に前記ユーザのパスワードを前記サーバシーズを用いて所定の手順でハッシュ化したハッシュ化パスワードを含むアカウント情報を保持するユーザ情報とを有し、前記クライアント端末から受信した前記認証の要求に対して、シーズとして前記サーバシーズを前記クライアント端末に対して送信し、前記クライアント端末の前記認証要求部は、前記ユーザから指定されたパスワードを、前記サーバから受信した前記シーズを用いて所定の手順でハッシュ化したハッシュ値を前記サーバに送信し、前記サーバの前記認証処理部は、前記クライアント端末から受信した前記ハッシュ値と、対象の前記ユーザに係る前記ハッシュ化パスワードとを比較して認証を行い、認証結果を前記クライアント端末に送信する。
【００１６】
また、本発明は、ユーザによるクライアント端末からの一度の認証処理によって、ネットワークを介して接続された複数のサーバに対するシングルサインオンを行う認証方法にも適用することができる。
【発明の効果】
【００１７】
本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。
【００１８】
本発明の代表的な実施の形態によれば、複数のサーバやシステムに対するシングルサインオンを可能とし、各サーバやシステム間でのセキュリティを確保しつつ、同時並行的に認証を行うことで認証処理によるレスポンスの低下を抑止することが可能となる。
【図面の簡単な説明】
【００１９】
【図１】本発明の一実施の形態である認証システムの構成例について概要を示した図である。
【図２】本発明の一実施の形態における認証処理の流れの例について概要を示した図である。
【発明を実施するための形態】
【００２０】
以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一の符号を付し、その繰り返しの説明は省略する。
【００２１】
本発明の一実施の形態である認証システムは、ユーザによるクライアント端末からの一度の認証処理によって複数のサーバやシステム（以下では単に“サーバ”と記載する場合がある）に対するシングルサインオンを実現するシステムである。このとき、サーバ毎に異なる鍵（サーバ固有情報）を用いて認証を行うことで、各サーバに対するアクセスを独立してセキュアに行うことを可能とする。また、各サーバでの認証を同時並行的に行うことを可能とし、多数のサーバに同時並行的にアクセスする必要がある場合などにおいて認証に要する時間を削減してレスポンスの低下を抑止することが可能である。
【００２２】
＜システム構成＞
以下では、本実施の形態の認証システムのシステム構成について説明する。図１は、本発明の一実施の形態である認証システムの構成例について概要を示した図である。認証システム１は、ネットワーク４００に対して、複数のサーバ１００、マスタサーバ２００、およびクライアント端末３００が接続された構成を有する。
【００２３】
サーバ１００は、サーバ機器によって構成されるコンピュータシステムであり、例えば、Ｗｅｂサーバやアプリケーションサーバ、データベースサーバ、ファイルサーバ、ストレージシステムなど、ユーザ認証を経た後にクライアント端末３００等からのアクセスを受け付けてサービスを提供する機能を有する。サーバ１００は、例えば、ソフトウェアプログラムにより実装される業務処理部１１０および認証処理部１２０を有する。業務処理部１１０は、サーバ１００が提供するサービス（業務）に係る処理を実行するものであり、例えば、ミドルウェアやアプリケーションプログラム等から構成される。
【００２４】
認証処理部１２０は、サーバ１００へのアクセスに対しての認証処理を行う。認証処理部１２０は、認証処理を行う際に利用する情報として、ユーザ毎のアカウント情報からなるユーザ情報１３０を有する。ユーザ情報１３０は、例えば、データベースやファイルテーブル等によって構成され、例えば、登録されたユーザのユーザＩＤ毎に、ユーザ毎に異なる固有情報としてのユーザシーズ１３１、およびパスワードを所定の手順によりハッシュ化したハッシュ化パスワード１３２などのアカウント情報を有する。また、認証処理部１２０は、サーバ毎に異なる固有情報としてのサーバシーズ１４０を有する。
【００２５】
本実施の形態では、認証処理部１２０は、後述するように、クライアント端末３００との間でチャレンジ／レスポンス方式により認証処理を行う。すなわち、ユーザからの認証要求に対して、サーバシーズ１４０、ユーザシーズ１３１、およびチャレンジとしての乱数等を送信する。さらに、これらによってハッシュ化されたパスワード（ハッシュ値）をクライアント端末３００からレスポンスとして受信して、受信したハッシュ値と、ハッシュ化パスワード１３２を上記乱数によってハッシュ化したものとを比較して認証を行う。従って、認証処理部１２０は、乱数生成の機能やハッシュアルゴリズムを実装している。なお、これらの実装には公知の各種技術やアルゴリズムを利用することができる。サーバ１００とクライアント端末３００との間の通信経路のセキュリティが確保されるなどの場合には、チャレンジ／レスポンス方式以外の他の方式を採用するなどしてもよい。
【００２６】
マスタサーバ２００は、サーバ機器やＰＣ（Personal Computer）等によって構成されるコンピュータシステムであり、各サーバ１００に保持するユーザシーズ１３１およびサーバシーズ１４０を生成して提供する。認証を代表的に行ういわゆる認証サーバではないため、ユーザ認証の機能は有さない。マスタサーバ２００は、例えば、ソフトウェアプログラムにより実装されるシーズ生成部２１０を有する。
【００２７】
シーズ生成部２１０は、管理者等からの指示もしくは各サーバ１００からの要求等に基づいてシーズを生成し、ユーザシーズ１３１もしくはサーバシーズ１４０として、対象のサーバ１００にネットワーク４００を介して提供する。なお、シーズの生成方法やシーズのフォーマット等については特に限定されないが、例えば、所定の長さのユニークな文字列やバイナリデータを生成してシーズとすることができる。
【００２８】
クライアント端末３００は、ＰＣや携帯端末等によって構成されるコンピュータシステムであり、各サーバ１００が提供するサービス（業務）を実行・利用するためにネットワーク４００を介してサーバ１００にアクセスする機能を有する。クライアント端末３００は、例えば、ソフトウェアプログラムにより実装されるクライアントアプリケーション３１０を有する。クライアントアプリケーション３１０は、各サーバ１００が提供する機能（業務）を実行・利用するためのアプリケーションプログラムであり、認証要求部３１１を有し、例えば、Ｗｅｂブラウザ上で稼働するプログラム等を利用することもできる。
【００２９】
認証要求部３１１は、クライアントアプリケーション３１０が各サーバ１００の機能を実行・利用するに際しての、サーバ１００に対する認証の要求を行う。例えば、ログイン画面を介してユーザからユーザＩＤおよびパスワードの入力を受け付け、チャレンジ／レスポンス方式等により、各サーバ１００の認証処理部１２０との間で順次もしくは並行的にそれぞれ個別に認証処理を行うことで、シングルサインオンの機能を実現する。
【００３０】
ここでは、認証要求の送信に対してサーバ１００の認証処理部１２０から送信されたサーバシーズ１４０、ユーザシーズ１３１、および乱数に基づいて、ユーザから指定されたパスワードを所定の手順によりハッシュ化し、これをサーバ１００の認証処理部１２０に送信することで認証処理を行う。従って、認証要求部３１１は、サーバ１００の認証処理部１２０が実装しているものと同一のハッシュアルゴリズムを実装している。
【００３１】
ネットワーク４００は、例えば、インターネット等の公衆通信網や、ＷＡＮ（Wide Area Network）、ＶＰＮ（Virtual Private Network）等の一般公衆回線を一部に用いた通信網、ＬＡＮ（Local Area Network）などを適宜利用することができる。
【００３２】
＜認証処理＞
以下では、本実施の形態の認証システム１における認証処理の内容について説明する。認証処理を行うに当たっての初期状態として、各サーバ１００では、予め、マスタサーバ２００のシーズ生成部２１０によって生成されたシーズをそれぞれサーバシーズ１４０として保持しているものとする。さらに、各ユーザによって、ユーザＩＤ、パスワード等を含むアカウント情報の初期登録が事前に行われているものとする。このとき、アカウント情報として、ユーザＩＤ毎にそれぞれマスタサーバ２００のシーズ生成部２１０によって生成されたシーズをユーザシーズ１３１として保持しておく。さらに、パスワードについては、当該ユーザシーズ１３１およびサーバシーズ１４０をシード値として、所定のハッシュアルゴリズムによりハッシュ化したハッシュ化パスワード１３２として保持しておく。
【００３３】
パスワードを直接保持しないことで、パスワードの漏洩を防止することができる。また、ユーザ毎にユニークなユーザシーズ１３１をシード値としてハッシュ化を行うことで、例えば、複数のユーザによって偶然同一のパスワードが指定された場合でも、ユーザ毎にハッシュ値が異なるようにすることができる。
【００３４】
図２は、本実施の形態における認証処理の流れの例について概要を示した図である。まず、ユーザはクライアント端末３００の認証要求部３１１を介して、認証（ログイン）の要求を行う。このとき、例えば、ユーザＩＤおよびパスワードの情報をログイン画面等を介して指定する。認証要求部３１１は、指定されたユーザＩＤを含む認証の要求をサーバ１００へ送信する（Ｓ０１）。
【００３５】
ユーザＩＤを受信したサーバ１００の認証処理部１２０は、チャレンジ／レスポンス方式におけるチャレンジとしての乱数を生成し、さらにシーズを取得して、これらをクライアント端末３００に送信する（Ｓ０２）。ここでは、乱数に加えて、サーバシーズ１４０と、ユーザ情報１３０に保持されたユーザＩＤに対応するユーザシーズ１３１を取得する。
【００３６】
サーバシーズ１４０とユーザシーズ１３１、および乱数を受信したクライアント端末３００の認証要求部３１１では、ステップＳ０１において指定されたパスワードを所定のハッシュアルゴリズムによりハッシュ化する（Ｓ０３）。さらに、ステップＳ０３で得られたハッシュ値を、ユーザシーズ１３１をシード値としてハッシュ化する（Ｓ０４）。さらに、ステップＳ０４で得られたハッシュ値を、サーバシーズ１４０をシード値としてハッシュ化する（Ｓ０５）。さらに、ステップＳ０５で得られたハッシュ値を、乱数をシード値としてハッシュ化することでワンタイム化し、得られたハッシュ値をサーバ１００へ送信する（Ｓ０６）。
【００３７】
なお、上記のステップＳ０３〜Ｓ０５の一連のハッシュ化処理手順は、一例であり、同等の結果が得られる他の手順とすることも当然可能であるが、事前のユーザ登録の際にパスワードをハッシュ化してハッシュ化パスワード１３２を取得する際のハッシュ化処理と同一の手順である必要がある。また、例えば、ステップＳ０２において、サーバ１００からパスワードの有効期限が経過しているためパスワードを更新する旨の指示を受信した場合など、必要に応じて、ステップＳ０３を実行する前にパスワード（およびハッシュ化パスワード１３２）の更新を行えるようにしてもよい。
【００３８】
ハッシュ値を受信したサーバ１００の認証処理部１２０は、ユーザ情報１３０から対象のユーザＩＤに対応するハッシュ化パスワード１３２を取得し（Ｓ０７）、取得したハッシュ化パスワード１３２を、ステップＳ０２で生成した乱数をシード値としてハッシュ化する（Ｓ０８）。その後、得られたハッシュ値と、ステップＳ０７でクライアント端末３００から受信したハッシュ値とを比較することで認証処理を行い、認証結果をクライアント端末３００に送信する（Ｓ０９）。すなわち、比較の結果両者が一致すれば認証は成立し、不一致であれば認証は不成立となる。なお、このとき例えば、クライアント端末３００からの要求電文からＩＰアドレス等の発信元の所在に係る情報を取得し、当該情報が所定の範囲内にあるか否か等の他の条件を認証の成否の判断に加えてもよい。
【００３９】
クライアント端末３００の認証要求部３１１は、認証結果を受領し（Ｓ１０）、その後、必要に応じて他のサーバ１００に対しても順次上記の一連の処理を自動的に行い、各サーバ１００に対する認証処理を行う。各サーバ１００での認証処理は独立していることから、必要な複数のサーバ１００に対して上記の一連の処理を同時並行的に行うことも可能である。なお、必要なサーバ１００の情報については、例えば、クライアント端末３００上にサーバ１００のリストからなる設定ファイル等を保持することで把握することができる。
【００４０】
以上の処理により、ユーザは、ユーザＩＤおよびパスワードの指定を１回行うだけで、必要な各サーバ１００に対して認証処理を行うことができる。
【００４１】
上述したような手法をとることにより、例えば、あるサーバ１００の管理者等が、対象のユーザのユーザシーズ１３１やハッシュ化パスワード１３２などのアカウント情報を自身のユーザ情報１３０から取得したとしても、これらの情報を利用して他のサーバ１００に対してなりすましによる認証を行うことはできず、サーバ１００間でのセキュリティは確保される。
【００４２】
これは、あるサーバ１００でのユーザのハッシュ化パスワード１３２の値は、自身のサーバシーズ１４０によってハッシュ化されたものであり、他のサーバ１００における当該ユーザのハッシュ化パスワード１３２は、当該他のサーバ１００のサーバシーズ１４０によってハッシュ化されたものであるため値が異なるからである。従って、両者を同じ乱数をシード値としてハッシュ化しても同一のハッシュ値とはならず、図２のステップＳ０９において認証は不成立となる。また、当該他のサーバ１００のサーバシーズ１４０を何らかの手段で取得してきたとしても、対象のユーザのパスワードを知らない限り、当該他のサーバ１００におけるハッシュ化パスワード１３２と同じ値のハッシュ値を生成することはできない。
【００４３】
以上に説明したように、本発明の一実施の形態である認証システム１によれば、ユーザによるクライアント端末３００からの一度の認証処理によって複数のサーバ１００に対するシングルサインオンを実現することができる。このとき、サーバ１００毎に異なる固有情報（サーバシーズ１４０）を用いて認証を行うことで、各サーバ１００に対するアクセスを独立してセキュアに行うことが可能となる。また、各サーバ１００での認証を同時並行的に行うことを可能とし、多数のサーバに同時並行的にアクセスする必要がある場合などにおいて認証に要する時間を削減してレスポンスの低下を抑止することが可能となる。
【００４４】
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。
【産業上の利用可能性】
【００４５】
本発明は、複数のサーバ等に対して一回のユーザＩＤおよびパスワードの入力によりシングルサインオンを行う認証システムおよび認証方法に利用可能である。
【符号の説明】
【００４６】
１…認証システム、
１００…サーバ、１１０…業務処理部、１２０…認証処理部、１３０…ユーザ情報、１３１…ユーザシーズ、１３２…ハッシュ化パスワード、１４０…サーバシーズ、
２００…マスタサーバ、２１０…シーズ生成部、
３００…クライアント端末、３１０…クライアントアプリケーション、３１１…認証要求部、
４００…ネットワーク。
【特許請求の範囲】
【請求項１】
ユーザによるクライアント端末からの一度の認証処理によって、ネットワークを介して接続された複数のサーバに対するシングルサインオンを行う認証システムであって、
前記各サーバは、前記サーバへのアクセスに対しての認証処理を行う認証処理部を有し、
前記クライアント端末は、前記各サーバの機能を実行もしくは利用するに際して、ユーザからユーザＩＤおよびパスワードの指定を受けて前記各サーバに対して順次もしくは並行的に認証の要求を送信する認証要求部を有し、
前記サーバの前記認証処理部は、前記サーバ毎に異なる固有情報であるサーバシーズと、登録されたユーザのユーザＩＤ毎に前記ユーザのパスワードを前記サーバシーズを用いて所定の手順でハッシュ化したハッシュ化パスワードを含むアカウント情報を保持するユーザ情報とを有し、前記クライアント端末から受信した前記認証の要求に対して、シーズとして前記サーバシーズを前記クライアント端末に対して送信し、
前記クライアント端末の前記認証要求部は、前記ユーザから指定されたパスワードを、前記サーバから受信した前記シーズを用いて所定の手順でハッシュ化したハッシュ値を前記サーバに送信し、
前記サーバの前記認証処理部は、前記クライアント端末から受信した前記ハッシュ値と、対象の前記ユーザに係る前記ハッシュ化パスワードとを比較して認証を行い、認証結果を前記クライアント端末に送信することを特徴とする認証システム。
【請求項２】
請求項１に記載の認証システムにおいて、
前記サーバの前記認証処理部は、前記ユーザ情報に保持する前記ユーザ毎の前記アカウント情報として、さらに、前記ユーザ毎に異なる固有情報であるユーザシーズを有し、また、前記ユーザのパスワードを前記サーバシーズおよび前記ユーザシーズを用いて所定の手順でハッシュ化したものを前記ハッシュ化パスワードとして有し、前記クライアント端末から受信した前記認証の要求に対して、前記シーズとして前記サーバシーズおよび対象の前記ユーザに係る前記ユーザシーズを前記クライアント端末に対して送信することを特徴とする認証システム。
【請求項３】
請求項１または２に記載の認証システムにおいて、
前記サーバの前記認証処理部は、前記クライアント端末から受信した前記認証の要求に対して、前記シーズおよび生成した乱数を前記クライアント端末に対して送信し、
前記クライアント端末の前記認証要求部は、前記ユーザから指定されたパスワードを、前記サーバから受信した前記シーズを用いて所定の手順でハッシュ化し、さらに前記サーバから受信した前記乱数を用いてハッシュ化したハッシュ値を前記サーバに送信し、
前記サーバの前記認証処理部は、前記クライアント端末から受信した前記ハッシュ値と、対象の前記ユーザに係る前記ハッシュ化パスワードを前記乱数を用いてハッシュ化した値とを比較して認証を行うことを特徴とする認証システム。
【請求項４】
請求項１〜３のいずれか１項に記載の認証システムにおいて、
さらに、前記ネットワークに接続され、前記各サーバからの要求に基づいて、前記各サーバに対して前記シーズとなるシード値を生成して提供するマスタサーバを有することを特徴とする認証システム。
【請求項５】
ユーザによるクライアント端末からの一度の認証処理によって、ネットワークを介して接続された複数のサーバに対するシングルサインオンを行う認証方法であって、
前記各サーバは、前記サーバ毎に異なる固有情報であるサーバシーズと、登録されたユーザのユーザＩＤ毎に、前記ユーザ毎に異なる固有情報であるユーザシーズと、前記ユーザのパスワードを前記サーバシーズおよび前記ユーザシーズを用いて所定の手順でハッシュ化したハッシュ化パスワードとを含むアカウント情報を有しており、
前記クライアント端末が、前記各サーバの機能を実行もしくは利用するに際して、前記サーバに対して、前記ユーザから指定されたユーザＩＤを含む認証の要求を送信する第１のステップと、
前記認証の要求を受信した前記サーバが、前記サーバシーズと対象の前記ユーザに係る前記ユーザシーズ、および生成した乱数を、前記クライアント端末に対して送信する第２のステップと、
前記クライアント端末が、前記ユーザから指定されたパスワードを、前記サーバから受信した前記サーバシーズおよび前記ユーザシーズを用いて所定の手順でハッシュ化し、さらに前記乱数を用いてハッシュ化したハッシュ値を前記サーバに送信する第３のステップと、
前記ハッシュ値を受信した前記サーバが、前記ハッシュ値と、対象の前記ユーザに係る前記ハッシュ化パスワードを前記乱数を用いてハッシュ化した値とを比較して認証を行い、認証結果を前記クライアント端末に送信する第４のステップとを有し、
前記第１〜第４のステップを前記各サーバに対して順次もしくは並行的に実行することを特徴とする認証方法。
【請求項１】
ユーザによるクライアント端末からの一度の認証処理によって、ネットワークを介して接続された複数のサーバに対するシングルサインオンを行う認証システムであって、
前記各サーバは、前記サーバへのアクセスに対しての認証処理を行う認証処理部を有し、
前記クライアント端末は、前記各サーバの機能を実行もしくは利用するに際して、ユーザからユーザＩＤおよびパスワードの指定を受けて前記各サーバに対して順次もしくは並行的に認証の要求を送信する認証要求部を有し、
前記サーバの前記認証処理部は、前記サーバ毎に異なる固有情報であるサーバシーズと、登録されたユーザのユーザＩＤ毎に前記ユーザのパスワードを前記サーバシーズを用いて所定の手順でハッシュ化したハッシュ化パスワードを含むアカウント情報を保持するユーザ情報とを有し、前記クライアント端末から受信した前記認証の要求に対して、シーズとして前記サーバシーズを前記クライアント端末に対して送信し、
前記クライアント端末の前記認証要求部は、前記ユーザから指定されたパスワードを、前記サーバから受信した前記シーズを用いて所定の手順でハッシュ化したハッシュ値を前記サーバに送信し、
前記サーバの前記認証処理部は、前記クライアント端末から受信した前記ハッシュ値と、対象の前記ユーザに係る前記ハッシュ化パスワードとを比較して認証を行い、認証結果を前記クライアント端末に送信することを特徴とする認証システム。
【請求項２】
請求項１に記載の認証システムにおいて、
前記サーバの前記認証処理部は、前記ユーザ情報に保持する前記ユーザ毎の前記アカウント情報として、さらに、前記ユーザ毎に異なる固有情報であるユーザシーズを有し、また、前記ユーザのパスワードを前記サーバシーズおよび前記ユーザシーズを用いて所定の手順でハッシュ化したものを前記ハッシュ化パスワードとして有し、前記クライアント端末から受信した前記認証の要求に対して、前記シーズとして前記サーバシーズおよび対象の前記ユーザに係る前記ユーザシーズを前記クライアント端末に対して送信することを特徴とする認証システム。
【請求項３】
請求項１または２に記載の認証システムにおいて、
前記サーバの前記認証処理部は、前記クライアント端末から受信した前記認証の要求に対して、前記シーズおよび生成した乱数を前記クライアント端末に対して送信し、
前記クライアント端末の前記認証要求部は、前記ユーザから指定されたパスワードを、前記サーバから受信した前記シーズを用いて所定の手順でハッシュ化し、さらに前記サーバから受信した前記乱数を用いてハッシュ化したハッシュ値を前記サーバに送信し、
前記サーバの前記認証処理部は、前記クライアント端末から受信した前記ハッシュ値と、対象の前記ユーザに係る前記ハッシュ化パスワードを前記乱数を用いてハッシュ化した値とを比較して認証を行うことを特徴とする認証システム。
【請求項４】
請求項１〜３のいずれか１項に記載の認証システムにおいて、
さらに、前記ネットワークに接続され、前記各サーバからの要求に基づいて、前記各サーバに対して前記シーズとなるシード値を生成して提供するマスタサーバを有することを特徴とする認証システム。
【請求項５】
ユーザによるクライアント端末からの一度の認証処理によって、ネットワークを介して接続された複数のサーバに対するシングルサインオンを行う認証方法であって、
前記各サーバは、前記サーバ毎に異なる固有情報であるサーバシーズと、登録されたユーザのユーザＩＤ毎に、前記ユーザ毎に異なる固有情報であるユーザシーズと、前記ユーザのパスワードを前記サーバシーズおよび前記ユーザシーズを用いて所定の手順でハッシュ化したハッシュ化パスワードとを含むアカウント情報を有しており、
前記クライアント端末が、前記各サーバの機能を実行もしくは利用するに際して、前記サーバに対して、前記ユーザから指定されたユーザＩＤを含む認証の要求を送信する第１のステップと、
前記認証の要求を受信した前記サーバが、前記サーバシーズと対象の前記ユーザに係る前記ユーザシーズ、および生成した乱数を、前記クライアント端末に対して送信する第２のステップと、
前記クライアント端末が、前記ユーザから指定されたパスワードを、前記サーバから受信した前記サーバシーズおよび前記ユーザシーズを用いて所定の手順でハッシュ化し、さらに前記乱数を用いてハッシュ化したハッシュ値を前記サーバに送信する第３のステップと、
前記ハッシュ値を受信した前記サーバが、前記ハッシュ値と、対象の前記ユーザに係る前記ハッシュ化パスワードを前記乱数を用いてハッシュ化した値とを比較して認証を行い、認証結果を前記クライアント端末に送信する第４のステップとを有し、
前記第１〜第４のステップを前記各サーバに対して順次もしくは並行的に実行することを特徴とする認証方法。
【図１】
【図２】
【図２】
【公開番号】特開２０１３−２０３１２（Ｐ２０１３−２０３１２Ａ）
【公開日】平成２５年１月３１日（２０１３．１．３１）
【国際特許分類】
【出願番号】特願２０１１−１５１３３６（Ｐ２０１１−１５１３３６）
【出願日】平成２３年７月８日（２０１１．７．８）
【特許番号】特許第４８２０９２８号（Ｐ４８２０９２８）
【特許公報発行日】平成２３年１１月２４日（２０１１．１１．２４）
【出願人】（０００１５５４６９）株式会社野村総合研究所 (1,067)
【Ｆターム（参考）】
【公開日】平成２５年１月３１日（２０１３．１．３１）
【国際特許分類】
【出願日】平成２３年７月８日（２０１１．７．８）
【特許番号】特許第４８２０９２８号（Ｐ４８２０９２８）
【特許公報発行日】平成２３年１１月２４日（２０１１．１１．２４）
【出願人】（０００１５５４６９）株式会社野村総合研究所 (1,067)
【Ｆターム（参考）】
[ Back to top ]