ＳＩＰを用いた認証システムおよび認証方法
【課題】認証管理サーバが認証を代行する仕組みをＳＩＰのフレームワークに組み込んだ認証システムおよび認証方法を提供する。
【解決手段】認証管理サーバ３００は、サービス提供サーバ２００が送信した認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ ＵｎａｕｔｈｏｒｉｚｅｄをＳＩＰサーバ５００から受信すると、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ ＵｎａｕｔｈｏｒｉｚｅｄをＳＩＰサーバ５００を通じて利用者端末１０１へ転送する。そして、利用者端末１０１が送信した認証ヘッダを含むＩＮＶＩＴＥをＳＩＰサーバ５００から受信すると、認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥをＳＩＰサーバ５００を通じてサービス提供サーバ２００へ転送する。
【解決手段】認証管理サーバ３００は、サービス提供サーバ２００が送信した認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ ＵｎａｕｔｈｏｒｉｚｅｄをＳＩＰサーバ５００から受信すると、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ ＵｎａｕｔｈｏｒｉｚｅｄをＳＩＰサーバ５００を通じて利用者端末１０１へ転送する。そして、利用者端末１０１が送信した認証ヘッダを含むＩＮＶＩＴＥをＳＩＰサーバ５００から受信すると、認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥをＳＩＰサーバ５００を通じてサービス提供サーバ２００へ転送する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は認証システムおよび認証方法に関し、特に通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用した通信網を介して利用者がサービス提供サーバからサービスの提供を受ける際の認証技術に関する。
【背景技術】
【０００２】
パーソナルコンピュータ（ＰＣ）などの利用者端末から通信網経由でサービス提供サーバをアクセスし、サービスの提供を受ける際の利用者認証は、利用者端末とサービス提供サーバとの間で直接に行われるのが基本である。通信セッションを確立するためのシグナリングプロトコルであるＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）においても、サーバ側でリクエストの送信者が誰かということを確認する手段として、ユーザ−ユーザ間ＨＴＴＰダイジェスト認証方式の利用が規定されている。
【０００３】
図２２を参照すると、ＳＩＰで規定されたユーザ−ユーザ間ＨＴＴＰダイジェスト認証方式では、まずＵＡＣ（Ｕｓｅｒ Ａｇｅｎｔ Ｃｌｉｅｎｔ）として動作する利用者端末がＵＡＳ（Ｕｓｅｒ Ａｇｅｎｔ Ｓｅｒｖｅｒ）として動作するサービス提供サーバに対して、ＡｕｔｈｏｒｉｚａｔｉｏｎヘッダのないＩＮＶＩＴＥを送信する。このＩＮＶＩＴＥは、ＵＡＣとＵＡＳの間にあってＳＩＰメッセージの中継を担うＳＩＰサーバ（プロキシサーバ）によって中継されて、サービス提供サーバに届けられる。
【０００４】
サービス提供サーバは、受信したＩＮＶＩＴＥ中のＡｕｔｈｏｒｉｚａｔｉｏｎヘッダの有無を確認する。そして、当該ヘッダが無いため、図２３に例示するようにチャレンジ値として必要なパラメータを記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ａｕｔｈｅｎｔｉｃａｔｅを応答として返す。このＷＷＷ−ＡｕｔｈｅｎｔｉｃａｔｅはＳＩＰサーバで中継されて、利用者端末へ届けられる。
【０００５】
利用者端末は、４０１ Ａｕｔｈｅｎｔｉｃａｔｅを受信すると、図２４に例示するようにレスポンス値に必要なパラメータを記述したＡｕｔｈｏｒｉｚａｔｉｏｎヘッダとその他必要な情報を記述したＩＮＶＩＴＥを作成して送信する。このＩＮＶＩＴＥはＳＩＰサーバで中継されて、サービス提供サーバへ届けられる。
【０００６】
サービス提供サーバは、受信したＩＮＶＩＴＥ中のＡｕｔｈｏｒｉｚａｔｉｏｎヘッダの有無を確認する。そして、当該ヘッダが有るため、記述されている情報を元に認証を行う。その結果、認証が成功すれば、２００ ＯＫを応答として返し、ＡＣＫの受信後、サービスの提供を行う。
【０００７】
他方、サービス提供サーバの負荷を軽減するために、通信網に認証管理サーバを接続し、サービス提供サーバのサービス提供のために認証管理サーバが利用者の認証を代行するシステムが提案されている（例えば特許文献１参照）。
【０００８】
利用者の認証には、利用者ＩＤとパスワードによる認証方法、指紋などの生体特徴による認証方法など、利用者の本人性を確認するための認証情報を用いる方法が種々提案ないし実用化されている。また、通信網へ接続する加入者回線と利用者との関連付けを行い、加入者回線の回線識別情報と利用者を一意に識別する情報とによる認証を行うことによって、利用者毎に特定された加入者回線以外からサービスを利用できないようにした認証方法が提案されている（例えば特許文献１参照）。
【０００９】
さらに、高いセキュリティレベルを必要とするサービス、それほど高いセキュリティレベルを必要としないサービスなど、セキュリティレベルの異なる複数のサービスを提供するサービス提供サーバにおいて、提供するサービスに応じた認証レベルで認証を行う方法が提案されている（例えば特許文献２、特許文献３参照）。ここで、認証レベルは、そのレベルが高いほど、確保できるセキュリティレベルが高いことを意味する。例えば、指紋による認証はパスワードによる認証に比べて認証レベルが高いと言える。
【００１０】
【特許文献１】特開２００６−３３１２０４号公報
【特許文献２】特開２００７−７９９９２号公報
【特許文献３】特開２００３−２４８６６１号公報
【発明の開示】
【発明が解決しようとする課題】
【００１１】
上述したようにＳＩＰにおいては、サービス提供サーバ側で利用者端末の利用者が誰かということを確認するためにユーザ−ユーザ間認証方式が規定されている。しかし、サービス提供サーバが利用者端末との間で直接に認証処理を行わなければならないために、サービス提供サーバの認証に伴う負荷が大きかった。従って、ＳＩＰにおいてもサービス提供サーバのために認証管理サーバが利用者の認証を代行できる仕組みが求められている。しかし、認証管理サーバによって認証を代行する仕組みを、ＳＩＰシグナリングフレームワークにどのように適用すれば良いのかという技術上の課題がある。
【００１２】
本発明の目的は、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用した通信網を通じてサービスを提供するサービス提供サーバの負荷を軽減するために、認証管理サーバが認証を代行する仕組みをＳＩＰのフレームワークに組み込んだ認証システムおよび認証方法を提供することにある。
【課題を解決するための手段】
【００１３】
本発明の第１の認証システムは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に利用者端末とサービス提供サーバとＳＩＰサーバとが接続され、前記ＳＩＰサーバに認証管理サーバが接続された認証システムであって、前記認証管理サーバは、前記利用者端末が前記サービス提供サーバに送信したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが送信した認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段とを備え、前記サービス提供サーバは、前記利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段とを備え、前記利用者端末は、前記認証管理サーバが前記ＳＩＰサーバを通じて送信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段とを備える。
【００１４】
本発明の第１の認証方法は、ａ）通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するステップと、ｂ）ＳＩＰサーバが、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送するステップと、ｃ）前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答するステップと、ｄ）前記ＳＩＰサーバが、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記認証管理サーバへ転送するステップと、ｅ）前記認証管理サーバが、受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送するステップと、ｆ）前記利用者端末が、受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信するステップと、ｇ）前記ＳＩＰサーバが、前記ＩＮＶＩＴＥリクエストを認証管理サーバへ転送するステップと、ｈ）前記認証管理サーバが、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていることを判定し、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送するステップと、ｉ）前記サービス提供サーバが、受信した前記ＩＮＶＩＴＥリクエストに認証結果が含まれていることを判定し、認証結果の成否に応じてサービスの提供可否を判断するステップとを含む。
【００１５】
本発明の第１の認証管理サーバは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストをＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段とを備える。
【００１６】
本発明の第１のサービス提供サーバは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証管理サーバによる認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段とを備える。
【００１７】
本発明の第１の利用者端末は、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末であって、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するサービス処理手段と、該送信されたＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定した前記サービス提供サーバが、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に送信し、該送信された４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスがＳＩＰサーバにより認証管理サーバへ転送され、前記認証管理サーバが受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて転送してきた場合に、該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段とを備える。
【００１８】
本発明の第１のＳＩＰサーバは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続されたＳＩＰサーバであって、利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストを受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていない場合には、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送し、認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送する認証要求手段とを備える。
【００１９】
本発明の第１のプログラムは、認証管理サーバを構成するコンピュータを、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストをＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段として機能させる。
【００２０】
本発明の第２のプログラムは、サービス提供サーバを構成するコンピュータを、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証管理サーバによる認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段として機能させる。
【００２１】
本発明の第３のプログラムは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末を構成するコンピュータを、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するサービス処理手段と、該送信されたＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定した前記サービス提供サーバが、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に送信し、該送信された４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスがＳＩＰサーバにより認証管理サーバへ転送され、前記認証管理サーバが受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて転送してきた場合に、該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段として機能させる。
【００２２】
本発明の第４のプログラムは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続されたＳＩＰサーバを構成するコンピュータを、利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストを受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていない場合には、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送し、認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送する認証要求手段として機能させる。
【発明の効果】
【００２３】
本発明によれば、認証管理サーバが認証を代行する仕組みをＳＩＰのフレームワークに組み込んだ認証システムおよび認証方法を提供することができる。これにより、ＳＩＰを使用した通信網を通じてサービスを提供するサービス提供サーバの負荷を軽減することができる。
【発明を実施するための最良の形態】
【００２４】
『第１の実施の形態』
図１を参照すると、本発明の第１の実施の形態は、利用者設備１００とサービス提供サーバ２００とＳＩＰサーバ５００とが、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用したネットワーク４００を通じて相互に通信可能に接続され、かつ、認証管理サーバ３００がＳＩＰサーバ５００を介してネットワーク４００に接続されている。
【００２５】
利用者設備１００は、例えば各家庭毎に設けられる電子設備であり、利用者端末１０１とホームゲートウェイ１０２とで構成される。利用者端末１０１は、パーソナルコンピュータ等の情報処理機器で構成され、利用者はこの利用者端末１０１を通じてサービス提供サーバ２００へアクセスし、サービスの提供を受ける。ホームゲートウェイ１０２は、１台以上の利用者端末１０１を回線１０３を通じてネットワーク４００に接続するための通信機器であり、例えばネットワーク４００を管理運営する通信事業者から各家庭にレンタルされる。
【００２６】
サービス提供サーバ２００は、ビデオオンデマンドやオンラインショッピングなどの各種サービスを利用者端末１０１へ提供するコンピュータである。サービス提供サーバ２００は、利用者端末１０１からサービス要求を受信すると、提供するサービスに応じた認証レベルの認証が得られることを条件にサービスの提供を行う。
【００２７】
ＳＩＰサーバ５００は、実際に通信を行う利用者端末１０１とサービス提供サーバ２００の間にあってＳＩＰメッセージの中継を担うプロキシサーバである。ＳＩＰサーバ５００は、中継するＳＩＰメッセージのうち特定の条件を満たすものだけを認証管理サーバ３００に転送するよう構成されている。認証管理サーバ３００は転送されてきたＳＩＰメッセージに基づいて認証の代行処理などの所定の処理を実施する。認証管理サーバ３００から出力されたＳＩＰメッセージは、ＳＩＰサーバ５００において再びルーティングされ、利用者端末１０１やサービス提供サーバ２００へ転送される。ここで、ＳＩＰサーバ５００において、中継するＳＩＰメッセージが特定の条件を満たすかどうかを判定する具体的な方法としては、例えば、特定の条件をｉＦＣ（Ｉｎｉｔｉａｌ Ｆｉｌｔｅｒ Ｃｒｉｔｅｒｉａ）に記述しておき、中継するＳＩＰメッセージを受信する毎にｉＦＣを参照し、特定の条件を満たすかどうかを判定する方法がある。
【００２８】
ＳＩＰサーバ５００のｉＦＣに記述された特定の条件の例を図１に示す。図１のｉＦＣ中の記述は、メソッド名がＩＮＶＩＴＥであれば特定の条件を満たすことを示す。この条件により、利用者端末１０１からサービス提供サーバ２００へ送信されるＩＮＶＩＴＥのリクエストが、ＳＩＰサーバ５００による中継の際に認証管理サーバ３００に取り込まれる。また、基本的にＳＩＰの応答はリクエストが通ってきたルートをそのまま遡るため、ＩＮＶＩＴＥの応答である４０１ Ｕｎａｕｔｈｏｒｉｚｅｄも、ＳＩＰサーバ５００による中継の際に認証管理サーバ３００に取り込まれることになる。本実施の形態では図１に例示した特定の条件を使用するが、ＳＩＰサーバ５００のｉＦＣに記述する特定の条件は上記の例に限定されず、例えば、以下のような例も考えられる。
１：メソッド名＝”ＩＮＶＩＴＥ” ＆ ヘッダ名＝”Ａｕｔｈｏｒｉｚａｔｉｏｎ”
２：ステータスコード＝”４０１” ＆ ヘッダ名＝”ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅ” ＆ 認証スキーム名＝”ＩｎｔｅｇｒａｔｅｄＡｕｔｈ”
１番目の記述は、メソッド名がＩＮＶＩＴＥであり、且つ、ヘッダ名がＡｕｔｈｏｒｉｚａｔｉｏｎであれば、特定の条件を満たすことを示す。この条件により、利用者端末１０１からサービス提供サーバ２００へ送信されるＩＮＶＩＴＥのリクエストのうち、認証ヘッダの有るＩＮＶＩＴＥだけが、ＳＩＰサーバ５００による中継の際に認証管理サーバ３００に取り込まれる。
２番目の記述は、ステータスコードが４０１、且つ、ヘッダ名がＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅ、且つ、認証スキーム名がＩｎｔｅｇｒａｔｅｄＡｕｔｈであれば特定の条件を満たすことを示す。この条件により、サービス提供サーバ２００から利用者端末１０１へ送信される４０１ Ｕｎａｕｔｈｏｒｉｚｅｄのうち、サービス提供サーバ２００が認証の代行を要求している４０１ Ｕｎａｕｔｈｏｒｉｚｅｄが、ＳＩＰサーバ５００による中継の際に認証管理サーバ３００に取り込まれる。なお、この場合サービス提供サーバ２００からの応答に対しても、ＳＩＰサーバ５００でｉＦＣを参照して条件判定を行い、条件を満たす場合は認証管理サーバ３００へ転送され、その後の利用者端末１０１への転送が正しく行われるものとする。
【００２９】
図１では、ＳＩＰサーバ５００と認証管理サーバ３００とを別々のブロックで図示しているが、これはＳＩＰサーバ５００と認証管理サーバ３００とが物理的に別々のコンピュータに実装されていることを限定しているものではなく、ＳＩＰサーバ５００と認証管理サーバ３００は同じコンピュータに実装することも可能である。また、認証管理サーバ３００は、ＳＩＰサーバ５００の拡張機能（付加機能）として実現することも可能である。なお、認証管理サーバ３００の具体的な実現手法は任意であり、中継サーバのような構成で実現しても良いし、内部的に２つのＳＩＰ ＵＡを背中合わせに実装したＢ２ＢＵＡ（Ｂａｃｋ ｔｏ Ｂａｃｋ Ｕｓｅｒ Ａｇｅｎｔ）で実現しても良い。
【００３０】
認証管理サーバ３００は、サービス提供サーバ２００のサービス提供のために利用者の認証を代行する。認証管理サーバ３００は、複数の認証レベルのうち、サービス提供サーバ２００が利用者端末１０１に対して提供するサービスに応じた認証レベルの認証方法を用いて、利用者端末１０１の利用者の認証を代行する。
【００３１】
複数の認証レベルの認証方法としては、利用者端末１０１が接続されている回線１０３の回線識別情報と、それぞれ異なる他の１以上の認証情報とによる認証を使用する。回線１０３の回線識別情報としては、ホームゲートウェイ１０２に対してネットワーク４００から払い出されたＩＰアドレスが使用される。また、他の１以上の認証情報としては、例えば利用者端末の端末情報、パスワード、指紋などの生体特徴などが使用される。利用者端末の端末情報としては、利用者端末のＭＡＣアドレスや、ＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）から取得できる情報など、端末の認証に使用できる情報であれば良い。
【００３２】
本実施の形態では、図２の認証方法情報テーブルＴ３に記載した以下の３つの認証レベルの認証方法を使用する。勿論、認証レベルは２つでも良いし、４つ以上あっても良い。
認証レベル１：回線識別情報と利用者端末の端末情報による認証
認証レベル２：回線識別情報と利用者端末の端末情報とパスワードによる認証
認証レベル３：回線識別情報と利用者端末の端末情報とパスワードと指紋による認証
【００３３】
認証レベル１の認証方法では、利用者端末１０１毎に特定された回線１０３からサービス要求が送信されているかどうかを確認する。認証レベル２では、認証レベル１による認証に加えてさらに、パスワードによる認証によって利用者の本人性を確認する。認証レベル３では、認証レベル２による認証に加えてさらに、指紋による認証によって利用者の本人性をより厳密に確認する。従って、認証レベル３、認証レベル２、認証レベル１の順にセキュリティレベルが高くなる。
【００３４】
以上のような認証方法を実現するために、実際の認証処理に先立ち、認証管理サーバ３００に図２に示される回線認証テーブルＴ１と端末・個人認証テーブルＴ２とが登録される。
【００３５】
回線認証テーブルＴ１は、回線１０３を一意に識別するための回線ＩＤに対応付けて、その回線１０３に接続されたホームゲートウェイ１０２のＩＰアドレスを保持する。回線ＩＤとしては、回線１０３を一意に識別するためにネットワーク４００で付された識別番号、回線１０３の電話番号、あるいはホームゲートウェイ１０２のＭＡＣアドレスのうちの何れか１つ或いは複数が使用される。回線認証テーブルＴ１へのホームゲートウェイ１０２のＩＰアドレスの登録は、ホームゲートウェイ１０２へ新たなＩＰアドレスが払い出される毎に行われる。具体的には、ホームゲートウェイ１０２の電源がオンされ、ホームゲートウェイ１０２からネットワーク４００にＤＨＣＰパケットが送信されると、ネットワーク４００は、このＤＨＣＰパケットを送信したホームゲートウェイ１０２のＭＡＣアドレスが当該回線１０３に対してレンタルしたホームゲートウェイのＭＡＣアドレスと一致するかどうかを確認し、一致した場合に限ってＩＰアドレスをホームゲートウェイ１０２に払い出す。この払い出したタイミングで回線認証テーブルＴ１が更新される。また、ＩＰｖ６を用いるケースでは、前記の手順で毎回新たなＩＰアドレスを払い出しても良いし、あらかじめ回線ＩＤに対応付けたＩＰアドレスを決めておき、毎回その回線に対応した同じＩＰアドレスを払い出しても良い。
【００３６】
端末・個人認証テーブルＴ２は、回線１０３の回線ＩＤに対応付けて、その回線１０３にホームゲートウェイ１０２を通じて接続された利用者端末１０１の端末情報、当該利用者端末１０１の利用者のパスワード、指紋情報を保持する。端末・個人認証テーブルＴ２へのこれらの情報の登録は、オンラインまたはオフラインで行われる。
【００３７】
次に本実施の形態における認証の処理手順について、図３のシーケンス図を参照して説明する。
【００３８】
まず、利用者端末１０１は、サービス提供サーバ２００に対して、図４に例示するような認証ヘッダを含まないＩＮＶＩＴＥをサービス要求として送信する（Ｓ１１１）。図４に示されるＩＮＶＩＴＥにおいて、Ｔｏ：＜ｓｉｐｕｓｅｒ１＠ｘｘ．ｘｘ．ｘｘ．ｘｘ＞はリクエストの着信者のＳＩＰ ＵＲＬであるが、利用しようとするサービスを特定する情報としての役割も果たしている。
【００３９】
利用者端末１０１から送信されたＩＮＶＩＴＥは、特定の条件を満たすことによりＳＩＰサーバ５００から認証管理サーバ３００へ転送され、受信される（Ｓ３１１）。認証管理サーバ３００は、ＩＮＶＩＴＥ中に認証情報を記述したヘッダが含まれているかどうかを確認し（Ｓ３１２）、今の場合は含まれていないので、ＳＩＰサーバ５００を通じて当該ＩＮＶＩＴＥをサービス提供サーバ２００へ転送する（Ｓ３１３）。
【００４０】
サービス提供サーバ２００は、ＩＮＶＩＴＥを受信すると（Ｓ２１１）、ＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１２）、今の場合は含まれていないので、認証を要求する手順を実行する。まず、要求されたサービスに応じた認証レベルを判定する（Ｓ２１３）。次に、図５に例示するようなＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを利用者端末１０１に応答する（Ｓ２１４）。ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダ中のＩｎｔｅｇｒａｔｅｄＡｕｔｈは、ＳＩＰで規定されたＨＴＴＰダイジェスト認証と区別するために付けられた認証スキーム名である。また、ａｕｔｈｌｅｖｅｌは認証レベルを意味するパラメータ名、２はそのパラメータ値であり、この例では認証レベルが２であることを示している。
【００４１】
４０１ Ｕｎａｕｔｈｏｒｉｚｅｄは、リクエストに認証情報がないか不適切な認証情報が含まれる場合に、ＵＡＳがＨＴＴＰダイジェスト認証を要求する場合に使用するものとしてＳＩＰで規定されている。その場合、ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダの認証スキーム名はＤｉｇｅｓｔと記述され、続けて、＜チャレンジ値＞が記述される。本実施の形態では、認証スキーム名としてＩｎｔｅｇｒａｔｅｄＡｕｔｈを使用することにより、当該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを、認証の代行を認証管理サーバ３００に要求するレスポンスとして利用している。また、ａｕｔｈｌｅｖｅｌ＝２という記述を入れることで、認証レベル２の認証の代行を認証管理サーバ３００に要求するレスポンスとして利用している。
【００４２】
サービス提供サーバ２００から送信された上記の４０１ Ｕｎａｕｔｈｏｒｉｚｅｄは、ＳＩＰサーバ５００から認証管理サーバ３００へ転送され、受信される（Ｓ３１４）。認証管理サーバ３００は、受信した４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析して認証レベルを認識し、その認証レベルの認証を実現する認証方法を決定する（Ｓ３１５）。そして、ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダ中のパラメータ名ａｕｔｈｌｅｖｅｌの記述部分を、その認証レベルの認証を実現する認証方法の記述に書き換え、ＳＩＰサーバ５００を通じて利用者端末１０１へ転送する（Ｓ３１６）。
【００４３】
具体的には、図５に例示したように「ａｕｔｈｌｅｖｅｌ＝２」となっていれば、認証管理サーバ３００は、図６に例示するように「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ＆ＰＷ”」に書き換えて転送する。ここで、ａｕｔｈｍｅｔｈｏｄは認証方法を意味するパラメータ名、”ＭＩＮＦＯ＆ＰＷ”はそのパラメータ値で、ＭＩＮＦＯは利用者端末の端末情報による認証を、ＰＷはパスワードによる認証をそれぞれ示す。また、認証管理サーバ３００は、例えば「ａｕｔｈｌｅｖｅｌ＝１」となっていれば「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ”」に書き換えて転送し、「ａｕｔｈｌｅｖｅｌ＝３」となっていれば「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ＆ＰＷ＆ＦＩＮＧＥＲＰＲＩＮＴ”」に書き換えて転送する。ここで、ＦＩＮＧＥＲＰＲＩＮＴは指紋認証を示す。
【００４４】
利用者端末１０１は、上記の４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを受信すると（Ｓ１１２）、そのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析し、要求された認証方法の認証に必要な認証情報を必要に応じて利用者から入力する（Ｓ１１３）。そして、認証情報を記述した認証ヘッダを含む図７に例示するようなＩＮＶＩＴＥを作成し、サービス提供サーバ２００へ送信する（Ｓ１１４）。図７において、「Ａｕｔｈｏｒｉｚａｔｉｏｎ：ＩｎｔｅｇｒａｔｅｄＡｕｔｈ ＭＩＮＦＯ＝”ＡＡ−ＢＢ−ＣＣ−ＤＤ”、ＰＷ＝”ｐａｓｓｗｏｒｄ”」が認証情報を記述した認証ヘッダであり、”ＡＡ−ＢＢ−ＣＣ−ＤＤ”は利用者端末のＭＡＣアドレスを、”ｐａｓｓｗｏｒｄ”はパスワードをそれぞれ示す。
【００４５】
利用者端末１０１から再び送信されたＩＮＶＩＴＥは、特定の条件を満たすことによりＳＩＰサーバ５００から認証管理サーバ３００へ転送され、受信される（Ｓ３１７）。認証管理サーバ３００は、ＩＮＶＩＴＥに認証情報を記述したヘッダが含まれているかどうかを確認し（Ｓ３１８）、含まれているので、その認証情報と図２に示した回線認証テーブルＴ１と端末・個人認証テーブルＴ２とに基づいて認証を行う（Ｓ３１９）。そして、認証の結果を認証ヘッダに記述した図８に例示するようなＩＮＶＩＴＥをＳＩＰサーバ５００を通じてサービス提供サーバ２００へ転送する（Ｓ３２０）。図８において、「Ａｕｔｈｏｒｉｚａｔｉｏｎ：ＩｎｔｅｇｒａｔｅｄＡｕｔｈ ａｕｔｈｒｅｓｕｌｔ＝”ＯＫ”」が認証結果を記述した認証ヘッダであり、ａｕｔｈｒｅｓｕｌｔは認証結果を意味するパラメータ名、”ＯＫ”は認証が成功したことを示すパラメータ値である。なお、認証が失敗した場合、パラメータ値は”ＮＧ”になる。
【００４６】
サービス提供サーバ２００は、ＩＮＶＩＴＥを受信すると（Ｓ２１５）、ＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１６）、含まれているので、認証成功かどうかを確認する（Ｓ２１７）。そして、認証が成功していれば、利用者端末１０１に対して要求されたサービスを提供する（Ｓ２１８）。
【００４７】
利用者端末１０１は、サービス提供サーバ２００から提供されるサービスを受信する（Ｓ１１５）。
【００４８】
次に本実施の形態の効果を説明する。
【００４９】
本実施の形態によれば、サービス提供サーバ２００のサービス提供のために認証管理サーバ３００が利用者の認証を代行する仕組みをＳＩＰシグナリングオペレーションのメッセージフローに組み込んだことにより、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用したネットワーク４００を通じてサービスを提供するサービス提供システムにおいて、サービス提供サーバ２００が提供するサービスのための利用者の認証を認証管理サーバ３００が代行する処理をＳＩＰのフレームワークを変更することなしに実現することができる。
【００５０】
また本実施の形態によれば、複数の認証レベルの認証方法のうち、サービス提供サーバ２００が利用者端末１０１に対して提供するサービスに応じた認証レベルの認証方法を用いて、利用者端末１０１の利用者の認証を代行する認証管理サーバ３００を備えているため、サービスに応じた認証レベルでの認証を必要とするサービス提供サーバ２００の認証に伴う負荷を軽減することができる。
【００５１】
また本実施の形態によれば、サービス提供サーバ２００の認証に係る負荷をより軽減することができる。その理由は、サービスに応じた認証レベルを決定してその認証の代行を要求すれば、その認証レベルを実現する具体的な認証方法の決定などその他の処理は認証管理サーバ３００で行われるためである。
【００５２】
また本実施の形態によれば、最低の認証レベルでも事前に登録された回線以外からはサービスの提供を受けることができないため、最低の認証レベルでも、高いセキュリティレベルを確保することができる。
【００５３】
また本実施の形態によれば、最低の認証レベルのサービスを享受する利用者の負担を軽減することができる。その理由は、最低の認証レベルである認証レベル１で必要な認証情報は、回線識別情報であるホームゲートウェイ１０２のＩＰアドレスと利用者端末の端末情報の合計２つであり、前者の回線識別情報はホームゲートウェイ１０２で自動的にＩＰヘッダに付加され、後者の利用者端末の端末情報は端末自体から読み出せるため、利用者は何もしなくて済むためである。
【００５４】
次に本実施の形態を構成する利用者端末１０１、サービス提供サーバ２００および認証管理サーバ３００の詳細について説明する。
【００５５】
図９を参照すると、認証管理サーバ３００の一例は、回線認証情報データベース３１１、端末・個人認証情報データベース３１２および認証方法情報データベース３１３といったハードウェア資源と、データベース管理部３１４、認証判定部３１５、認証要求部３１６、パケット解析部３１７およびパケット送受信部３１８といった機能手段とを含んで構成される。認証管理サーバ３００がワークステーション等のコンピュータで構成される場合、回線認証情報データベース３１１、端末・個人認証情報データベース３１２および認証方法情報データベース３１３は、主記憶装置や補助記憶装置で実現され、データベース管理部３１４、認証判定部３１５、認証要求部３１６、パケット解析部３１７およびパケット送受信部３１８は、プログラムで実現することができる。プログラムは、ハードディスクなどのコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られ、そのコンピュータの動作を制御することにより、そのコンピュータ上に上述した各機能手段を実現し、所定の処理を行わせる。
【００５６】
回線認証情報データベース３１１には、図２で例示した回線認証テーブルＴ１が記憶される。
【００５７】
端末・個人認証情報データベース３１２には、図２で例示した端末・個人認証テーブルＴ２が記憶される。
【００５８】
認証方法情報データベース３１３には、図２で例示した各認証レベルに対応する認証方法の情報を記述した認証方法情報テーブルＴ３が記憶される。
【００５９】
データベース管理部３１４は、各データベース３１１〜３１３に対する検索や更新を管理する。
【００６０】
認証要求部３１６は、サービス提供サーバ２００の代わりに利用者端末１０１に対して各認証レベルの認証を要求する。
【００６１】
認証判定部３１５は、サービス提供サーバ２００の代わりに利用者端末１０１から送信された認証情報に基づいて各認証レベルの認証を行う。
【００６２】
パケット解析部３１７は、ＳＩＰサーバ５００から転送されてきたＳＩＰのパケットを解析し、認証要求部３１６による処理、認証判定部３１５による処理に切り分ける。また、認証要求部３１６および認証判定部３１５から伝達されたＳＩＰのパケットをパケット送受信部３１８へ出力する。
【００６３】
パケット送受信部３１８は、認証管理サーバ３００とＳＩＰサーバ５００との間でＳＩＰのパケットの送受信を行う。
【００６４】
次に図３のシーケンス図と図９のブロック図を参照して、認証管理サーバ３００の動作を説明する。
【００６５】
図３のステップＳ１１１において利用者端末１０１から送信されたＩＮＶＩＴＥがＳＩＰサーバ５００から転送されてくると、パケット送受信部３１８で受信され（Ｓ３１１）、パケット解析部３１７に伝達される。パケット解析部３１７は、ＩＮＶＩＴＥに認証情報を記述したヘッダが含まれているかどうかを確認し（Ｓ３１２）、含まれていないので、パケット送受信部３１８を通じて当該ＩＮＶＩＴＥをＳＩＰサーバ５００に送信する。ＳＩＰサーバ５００はこのＩＮＶＩＴＥをサービス提供サーバ２００へ転送する（Ｓ３１３）。
【００６６】
また、図３のステップＳ２１４においてサービス提供サーバ２００から送信された図５に例示した４０１ ＵｎａｕｔｈｏｒｉｚｅｄがＳＩＰサーバ５００から転送されてくると、パケット送受信部３１８で受信され（Ｓ３１４）、パケット解析部３１７に伝達される。パケット解析部３１７は、受信したパケットが、ＩｎｔｅｇｒａｔｅｄＡｕｔｈが記述されたＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄであることを解析し、認証要求部３１６へ当該パケットを伝達する。
【００６７】
認証要求部３１６は、受信した４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析して認証レベルを認識し、データベース管理部３１４を通じて認証方法情報データベース３１３を検索し、認識した認証レベルの認証を実現する認証方法を決定する（Ｓ３１５）。そして認証要求部３１６は、この決定した認証方法に基づいて図６に例示したように４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを書き換えて、パケット解析部３１７およびパケット送受信部３１８を通じてＳＩＰサーバ５００へ送信する。ＳＩＰサーバ５００は、これを利用者端末１０１へ転送する（Ｓ３１６）。
【００６８】
また、図３のステップＳ１１４において利用者端末１０１から再び送信されたＩＮＶＩＴＥがＳＩＰサーバ５００から転送されてくると、パケット送受信部３１８で受信され（Ｓ３１７）、パケット解析部３１７へ伝達される。パケット解析部３１７は、ＩＮＶＩＴＥに認証情報を記述したヘッダが含まれているかどうかを確認し（Ｓ３１８）、含まれているので、当該ＩＮＶＩＴＥを認証判定部３１５へ伝達する。
【００６９】
認証判定部３１５は、受け取ったＩＮＶＩＴＥ中の認証情報と、データベース管理部３１４を通じて回線認証情報データベース３１１の回線認証テーブルＴ１および端末・個人認証情報データベース３１２の端末・個人認証テーブルＴ２から検索した情報とに基づいて認証を行う（Ｓ３１９）。そして、認証判定部３１５は、認証の結果を認証ヘッダに記述した図８に例示するようなＩＮＶＩＴＥをパケット解析部３１７およびパケット送受信部３１８を通じてＳＩＰサーバ５００へ送信する。ＳＩＰサーバ５００は、これをサービス提供サーバ２００へ転送する（Ｓ３２０）。
【００７０】
図１０を参照すると、サービス提供サーバ２００の一例は、提供サービス情報記憶部２１１、認証レベル情報記憶部２１２といったハードウェア資源と、サービス提供部２１３、認証レベル判定部２１４、認証代行要求部２１５、パケット解析部２１６およびパケット送受信部２１７といった機能手段とを含んで構成される。サービス提供サーバ２００がワークステーション等のコンピュータで構成される場合、提供サービス情報記憶部２１１および認証レベル情報記憶部２１２は、主記憶装置や補助記憶装置で実現され、サービス提供部２１３、認証レベル判定部２１４、認証代行要求部２１５、パケット解析部２１６およびパケット送受信部２１７は、プログラムで実現することができる。プログラムは、ハードディスクなどのコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られ、そのコンピュータの動作を制御することにより、そのコンピュータ上に上述した各機能手段を実現し、後述した処理を行わせる。
【００７１】
提供サービス情報記憶部２１１には、サービス提供サーバ２００が利用者端末１０１に提供する画像や音声などのコンテンツ、オンラインショッピングサービスを提供するＷｅｂページなどの情報が記憶される。
【００７２】
認証レベル情報記憶部２１２には、サービス提供サーバ２００が提供するサービス毎にその認証レベルの情報が記憶される。例えば、サービス提供サーバ２００が３つのサービスＡ、Ｂ、Ｃを提供し、サービスＡの認証レベルは１、サービスＢの認証レベルは２、サービスＣの認証レベルは３のとき、認証レベル情報記憶部２１２には、図１１に例示するような認証レベル情報が記憶される。
【００７３】
サービス提供部２１３は、提供サービス情報記憶部２１１に記憶された情報を用いて、利用者端末１０１にサービスを提供する。
【００７４】
認証レベル判定部２１４は、利用者端末１０１が要求するサービスの認証レベルを認証レベル情報記憶部２１２を参照して判定する処理を行う。
【００７５】
認証代行要求部２１５は、サービスの提供を要求する利用者端末１０１の利用者の認証の代行を認証管理サーバ３００に要求する処理を行う。
【００７６】
パケット解析部２１６は、ＳＩＰサーバ５００から転送されてきたＳＩＰのパケットを解析し、認証代行要求部２１５による処理、サービス提供部２１３による処理といった処理に切り分ける。
【００７７】
パケット送受信部２１７は、ネットワーク４００を通じて利用者端末１０１およびＳＩＰサーバ５００との間でＳＩＰのパケットや他の通信プロトコル（たとえばＨＴＴＰプロトコル）のパケットの送受信を行う。
【００７８】
次に図３のシーケンス図と図１０のブロック図を参照して、サービス提供サーバ２００の動作を説明する。
【００７９】
図３のステップＳ３１３において認証管理サーバ３００から送信された認証ヘッダなしのＩＮＶＩＴＥがＳＩＰサーバ５００から転送されてくると、パケット送受信部２１７で受信され（Ｓ２１１）、パケット解析部２１６に伝達される。パケット解析部２１６は、ＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１２）、含まれていないので、受信したＩＮＶＩＴＥを認証代行要求部２１５へ伝達する。
【００８０】
認証代行要求部２１５は、要求されたサービスに応じた認証レベルを判定する（Ｓ２１３）。具体的には、ＩＮＶＩＴＥ中のＴｏヘッダに記述された論理的なリクエスト送信先に基づいてサービス名を決定し、この決定したサービス名を通知して認証レベル判定部２１４に認証レベルを要求する。認証レベル判定部２１４は、通知されたサービス名で認証レベル情報記憶部２１２を検索して、対応する認証レベルを認証代行要求部２１５に返却する。次に、認証代行要求部２１５は、図５に例示するような認証レベルを記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを作成し、パケット解析部２１６およびパケット送受信部２１７を通じてネットワーク４００経由で利用者端末１０１に応答する（Ｓ２１４）。
【００８１】
また、図３のステップＳ３２０において認証管理サーバ３００から送信された認証ヘッダありのＩＮＶＩＴＥがＩＰサーバ５００から転送されてくると、パケット送受信部２１７が受信し（Ｓ２１５）、パケット解析部２１６に伝達される。パケット解析部２１６は、受け取ったＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１６）、含まれていれば、さらに、認証が成功したかどうかを確認する（Ｓ２１７）。そして、認証が成功していれば、パケット解析部２１６は、受け取ったＩＮＶＩＴＥをサービス提供部２１３へ伝達する。サービス提供部２１３は、このＩＮＶＩＴＥに従って、利用者端末１０１に対して要求されたサービスを提供する（Ｓ２１８）。
【００８２】
図１２を参照すると、利用者端末１０１の一例は、キーボード１１１、液晶ディスプレイ等の表示装置１１２、指紋入力装置１１３、利用者端末情報記憶部１１４といったハードウェア資源と、指紋入力部１１５、パスワード入力部１１６、利用者端末情報入力部１１７、認証要求応答部１１８、パケット解析部１１９、パケット送受信部１２０、サービス処理部１２１といった機能手段とを含んで構成される。利用者端末１０１がパーソナルコンピュータ等のコンピュータで構成される場合、利用者端末情報記憶部１１４は、主記憶装置や補助記憶装置で実現され、指紋入力部１１５、パスワード入力部１１６、利用者端末情報入力部１１７、認証要求応答部１１８、パケット解析部１１９、パケット送受信部１２０、サービス処理部１２１は、プログラムで実現することができる。プログラムは、ハードディスクなどのコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られ、そのコンピュータの動作を制御することにより、そのコンピュータ上に上述した各機能手段を実現し、後述した処理を行わせる。
【００８３】
利用者端末情報記憶部１１４には、当該利用者端末１０１の端末情報として、例えばＭＡＣアドレスが記憶される。
【００８４】
利用者端末情報入力部１１７は、認証要求応答部１１８からの指示に従って利用者端末情報記憶部１１４から利用者端末のＭＡＣアドレスを読み出し、認証要求応答部１１８に伝達する。
【００８５】
パスワード入力部１１６は、認証要求応答部１１８からの指示に従って、利用者端末１０１の利用者からパスワードを入力し、認証要求応答部１１８に伝達する。具体的には、表示装置１１２の画面にパスワード入力画面を表示し、利用者がキーボード１１１を操作してパスワード入力画面にパスワードを入力すると、この入力されたパスワードを取り込んで認証要求応答部１１８へ出力する。
【００８６】
指紋入力部１１５は、認証要求応答部１１８からの指示に従って、指紋入力装置１１３から利用者の指紋情報を入力し、認証要求応答部１１８に伝達する。
【００８７】
認証要求応答部１１８は、パケット解析部１１９から受信した４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析し、要求された認証情報を利用者端末情報入力部１１７、パスワード入力部１１６、指紋入力部１１５から入力し、この入力した認証情報を記述したＩＮＶＩＴＥを作成して、パケット解析部１１９へ送信する。
【００８８】
サービス処理部１２１は、キーボード１１１から入力される指示に従ってサービス提供サーバ２００へサービスを要求し、それに応じて提供されるサービスを表示装置１１２に表示する等の処理を行う。
【００８９】
パケット解析部１１９は、ＳＩＰサーバ５００やサービス提供サーバ２００から転送されてきたパケットをパケット送受信部１２０から受信し、認証要求応答部１１８およびサービス処理部１２１へパケットを伝達する。また、その逆に認証要求応答部１１８およびサービス処理部１２１から伝達されるパケットをパケット送受信部１２０へ伝達する。
【００９０】
パケット送受信部１２０は、ホームゲートウェイ１０２およびネットワーク４００を通じて利用者端末１０１およびＳＩＰサーバ５００との間でＳＩＰのパケットや他の通信プロトコル（たとえばＨＴＴＰプロトコル）のパケットの送受信を行う。
【００９１】
次に図３のシーケンス図と図１２のブロック図を参照して、利用者端末１０１の動作を説明する。
【００９２】
利用者端末１０１において、サービス提供サーバ２００のサービスを受けるためにサービス提供サーバ２００をアクセスする際、サービス処理部１２１はＩＮＶＩＴＥを作成し、パケット解析部１１９、パケット送受信部１２０およびホームゲートウェイ１０２を通じてネットワーク４００経由でサービス提供サーバへ送信する（Ｓ１１４）。
【００９３】
また図３のステップＳ３１６において認証管理サーバ３００からＳＩＰサーバ５００を通じて送信された図６に例示するような４０１ Ｕｎａｕｔｈｏｒｉｚｅｄがホームゲートウェイ１０２から転送されてくると、パケット送受信部１２０で受信され（Ｓ１１２）、パケット解析部１１９に伝達される。パケット解析部１１９は、受信したパケットが４０１ Ｕｎａｕｔｈｏｒｉｚｅｄであり、そのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダ中に「ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅ：ＩｎｔｅｇｒａｔｅｄＡｕｔｈ ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ＆ＰＷ”」に例示するような認証情報を要求する記述があるため、当該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを認証要求応答部１１８へ伝達する。
【００９４】
認証要求応答部１１８は、受け取った４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダで要求されている認証情報を判定し、要求された認証情報を利用者端末情報入力部１１７、パスワード入力部１１６、指紋入力部１１５から入力する（Ｓ１１３）。そして、この入力した認証情報を認証ヘッダに記述したＩＮＶＩＴＥを作成し、パケット解析部１１９、パケット送受信部１２０およびホームゲートウェイ１０２を通じてネットワーク４００経由でサービス提供サーバへ送信する（Ｓ１１４）。
【００９５】
また、図３のステップＳ２１８においてサービス提供サーバ２００から送信されたサービス情報にかかるパケットがホームゲートウェイ１０２で受信されて転送されてくると、パケット送受信部１２０が受信し（Ｓ１１５）、パケット解析部１１９に伝達される。パケット解析部１１９は、受け取ったサービス情報にかかるパケットをサービス処理部１２１へ伝達し、サービス処理部１２１は受信した情報を表示装置１１２へ表示するといった処理を実行する。
【００９６】
以上の説明では、サービスに応じた認証レベルの認証方法は事前に唯一つだけ定められていたが、同一の認証レベルに対して複数の認証方法を定めておいて、その内の任意の認証方法を選択して使用するようにしても良い。また、図２に示した認証方法情報テーブルＴ３の代わりに、図１３に例示するように、基本となる複数の認証方法と、その選択条件（必須か任意か）とそれを使用した際の認証レベルの増加ポイントとを定義した認証方法情報テーブルＴ４を使用し、幾つかの認証方法を動的に組み合わせてサービスに応じた認証レベルの認証方法を決定するようにしても良い。図１３に例示した認証方法情報テーブルＴ４によると、認証レベル１の認証方法は、回線識別情報と利用者端末情報による認証として決定され、認証レベル２の認証方法は、回線識別情報と利用者端末情報による認証とパスワードによる認証との組み合わせとして決定され、認証レベル３の認証方法は、回線識別情報と利用者端末情報による認証と指紋による認証との組み合わせとして決定され、認証レベル４の認証方法は、回線識別情報と利用者端末情報による認証とパスワードによる認証と指紋による認証との組み合わせとして決定される。
【００９７】
また以上の説明では、利用者端末１０１が接続されている回線１０３の回線識別情報と異なる他の認証情報として、利用者端末１０１の端末情報、パスワード、指紋を使用したが、利用者の本人性を確認する情報であれば、他の種類の情報を使用することができる。また、利用者の本人性を確認するには効果が少ないと考えられる利用者の性別や年齢などの属性情報を認証情報として利用し、図１４の認証方法情報テーブルＴ５に例示するように認証レベルを利用者の属性に応じて更に細分化しても良い。この場合、利用者に属性情報を入力させると利用者に負担がかかるので、図１５の端末・個人認証テーブルＴ６に例示するように、他の認証情報と同様に認証管理サーバ３００の端末・個人認証情報データベース３１２に登録しておき、他の認証情報によって利用者が特定された後、その利用者の属性情報を確認するようにするのが望ましい。
【００９８】
また以上の説明では、利用者端末１０１が接続されている回線１０３の回線識別情報として、ホームゲートウェイ１０２のＩＰアドレスを使用したが、それに代えて、あるいはそれに加えて回線１０３に対してネットワーク４００から割り当てられている電話番号を回線識別情報として使用しても良い。この場合、回線認証テーブルＴ１は図１６に例示するような構成となる。利用者端末１０１側では、電話番号は記憶部に予め記憶しておいても良いし、キーボードからその都度入力するようにしても良い。電話番号は、端末情報などの他の認証情報と同様にＩＮＶＩＴＥの認証ヘッダに記述されて送信される。
【００９９】
電話番号を回線識別情報として使用する場合、以下の２通りの認証方法が考えられる。第１の方法は、認証ヘッダに電話番号が含まれている場合、ホームゲートウェイ１０２のＩＰアドレスの代わりに、その電話番号を使って認証を行う方法である。具体的には、認証管理サーバ３００は、認証ヘッダに記述された電話番号をキーに図１６の回線認証テーブルＴ１を検索し、一致する電話番号に対応する回線ＩＤを取得する。次に、この取得した回線ＩＤをキーに図２の端末・個人認証テーブルＴ２を検索して、端末情報などのその他の認証情報を取得して認証ヘッダ中の端末情報と比較する方法である。
【０１００】
第２の方法は、前述した実施の形態および実施例と同様にホームゲートウェイ１０２のＩＰアドレスをキーに図１６の回線認証テーブルＴ１を検索し、一致するＩＰアドレスに対応する回線ＩＤを取得し、次に、この取得した回線ＩＤをキーに図２の端末・個人認証テーブルＴ２を検索して、端末情報を取得して認証ヘッダ中の端末情報と比較した時点で一致しなかった場合、電話番号を使用した前記第１の方法に切り替える方法である。この場合、利用者端末１０１に一旦認証失敗を通知して、電話番号の入力を要求しても良いし、既に認証ヘッダに電話番号が記述されていれば、それを利用しても良い。
【０１０１】
電話番号を回線識別情報として使用する構成は、たとえば他人の家を訪れた際、自分の利用者端末を使ってその家の回線を借りてサービスを受けたい場合に有効である。回線に結び付いた認証という意味では、その回線の正規（登録）利用者という識別は行っていないが、電話番号をもとに、どこの回線に登録されている（どこの回線の正規ユーザなのか）ということがわかるので、外出先でサービスを利用する場合の認証方法として有効である。
【０１０２】
『第２の実施の形態』
図１７を参照すると、本発明の第２の実施の形態は、図１に示した第１の実施の形態と比較して、サービス提供サーバ２００および認証管理サーバ３００に代えてサービス提供サーバ２０１および認証管理サーバ３０１を備えている点で相違する。
【０１０３】
サービス提供サーバ２０１は、第１の実施の形態のサービス提供サーバ２００と比較して、認証管理サーバ３０１に対してサービスに応じた認証レベルの認証の代行を要求する際に認証レベルを指定しない点で相違する。
【０１０４】
認証管理サーバ３０１は、第１の実施の形態の認証管理サーバ３００と比較して、サービス提供サーバ２０１から認証の代行を要求された際、サービス提供サーバ２０１が利用者端末１０１に対して提供するサービスの認証レベルを判定し、この判定した認証レベルの認証の代行を行う点で相違する。
【０１０５】
次に、本実施の形態における認証の処理手順について、図１８のシーケンス図を参照して説明する。
【０１０６】
まず、利用者端末１０１は、サービス提供サーバ２０１に対して、図４に例示するような認証ヘッダを含まないＩＮＶＩＴＥをサービス要求として送信する（Ｓ１１１）。図４に示されるＩＮＶＩＴＥにおいて、Ｔｏ：＜ｓｉｐｕｓｅｒ１＠ｘｘ．ｘｘ．ｘｘ．ｘｘ＞はリクエストの着信者のＳＩＰ ＵＲＬであるが、利用しようとするサービスを特定する情報としての役割も果たしている。
【０１０７】
利用者端末１０１から送信されたＩＮＶＩＴＥは、特定の条件を満たすことによりＳＩＰサーバ５００から認証管理サーバ３０１へ転送され、受信される（Ｓ３１１）。認証管理サーバ３０１は、ＩＮＶＩＴＥ中に認証情報を記述したヘッダが含まれているかどうかを確認し（Ｓ３１２）、今の場合は含まれていないので、ＳＩＰサーバ５００を通じて当該ＩＮＶＩＴＥをサービス提供サーバ２０１へ転送する（Ｓ３１３）。
【０１０８】
サービス提供サーバ２０１は、ＩＮＶＩＴＥを受信すると（Ｓ２１１）、ＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１２）、今の場合は含まれていないので、図１９に例示するようなＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを利用者端末１０１に応答する（Ｓ２２２）。ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダ中のＩｎｔｅｇｒａｔｅｄＡｕｔｈは、ＳＩＰで規定されたＨＴＴＰダイジェスト認証と区別するために付けられた認証スキーム名である。また、ａｕｔｈｒｅｑは認証要求を意味するパラメータ名、””はそのパラメータ値であり、サービスに応じた認証レベルの認証を要求していることを示している。
【０１０９】
４０１ Ｕｎａｕｔｈｏｒｉｚｅｄは、リクエストに認証情報がないか不適切な認証情報が含まれる場合に、ＵＡＳがＨＴＴＰダイジェスト認証を要求する場合に使用するものとしてＳＩＰで規定されている。その場合、ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダの認証スキーム名はＤｉｇｅｓｔと記述され、続けて、＜チャレンジ値＞が記述される。本実施の形態では、認証スキーム名としてＩｎｔｅｇｒａｔｅｄＡｕｔｈを使用することにより、当該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄが、認証の代行を認証管理サーバ３０１に要求するレスポンスとして利用している。また、ａｕｔｈｒｅｑ＝””という記述を入れることで、サービスに応じた認証レベルの認証の代行を認証管理サーバ３０１に要求するレスポンスとして利用している。
【０１１０】
サービス提供サーバ２０１から送信された上記の４０１ Ｕｎａｕｔｈｏｒｉｚｅｄは、ＳＩＰサーバ５００から認証管理サーバ３０１へ転送され、受信される（Ｓ３２２）。認証管理サーバ３０１は、受信した４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析し、サービスに応じた認証レベルの認証の代行が要求されていることから、まず、要求されたサービスに応じた認証レベルを判定する（Ｓ３２３）。次に、この認証レベルの認証を実現する認証方法を決定する（Ｓ３１５）。そして、ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダ中のパラメータ名ａｕｔｈｒｅｑの記述部分を、その認証レベルの認証を実現する認証方法の記述に書き換え、ＳＩＰサーバ５００を通じて利用者端末１０１へ転送する（Ｓ３１６）。
【０１１１】
具体的には、認証レベル２の場合、認証管理サーバ３０１は、図６に例示するように「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ＆ＰＷ”」に書き換えて転送する。ここで、ａｕｔｈｍｅｔｈｏｄは認証方法を意味するパラメータ名、”ＭＩＮＦＯ＆ＰＷ”はそのパラメータ値で、ＭＩＮＦＯは利用者端末の端末情報による認証を、ＰＷはパスワードによる認証をそれぞれ示す。また、認証管理サーバ３０１は、認証レベル１の場合、「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ”」に書き換えて転送し、認証レベル３の場合、「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ＆ＰＷ＆ＦＩＮＧＥＲＰＲＩＮＴ”」に書き換えて転送する。ここで、ＦＩＮＧＥＲＰＲＩＮＴは指紋認証を示す。
【０１１２】
以下、第１の実施の形態と同様の手順が実行される（Ｓ１１２〜Ｓ１１５、Ｓ３１７〜Ｓ３２０、Ｓ２１５〜Ｓ２１８）。
【０１１３】
このように本実施の形態によれば、サービス提供サーバ２０１はサービスに応じた認証レベルを自ら決定する必要がないため、認証に係るサービス提供サーバ２０１の負荷をより一層軽減することができる。
【０１１４】
次に本実施の形態を構成するサービス提供サーバ２０１および認証管理サーバ３０１の詳細について説明する。なお、利用者端末１０１は第１の実施の形態と同じである。
【０１１５】
図２０を参照すると、本実施の形態で使用する認証管理サーバ３０１は、図９で示した第１の実施の形態で使用する認証管理サーバ３００と比較して、認証レベル情報記憶部３２１を新たに備えている点、認証要求部３１６の代わりに認証要求部３２２を備えている点で相違する。
【０１１６】
認証レベル情報記憶部３２１には、図１１で例示したようなサービス名と認証レベルとの対応関係を示す認証レベル情報が記憶される。
【０１１７】
認証要求部３２２は、認証要求部３１６の機能に加えてさらに、サービスに応じた認証レベルを判定する機能を有する。
【０１１８】
次に図１８のシーケンス図と図２０のブロック図を参照して、本実施例の認証管理サーバ３０１の動作を説明する。
【０１１９】
図１８のステップＳ２２２においてサービス提供サーバ２０１から送信された図１９に例示した４０１ ＵｎａｕｔｈｏｒｉｚｅｄがＳＩＰサーバ５００から転送されてくると、パケット送受信部３１８で受信され（Ｓ３２２）、パケット解析部３１７に伝達される。パケット解析部３１７は、受信したパケットが、ＩｎｔｅｇｒａｔｅｄＡｕｔｈが記述されたＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄであることを解析し、認証要求部３２２へ当該パケットを伝達する。
【０１２０】
認証要求部３２２は、受信した４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析し、Ｔｏヘッダに記述された論理的なリクエスト送信先に基づいてサービス名を決定し、この決定したサービス名をキーにデータベース管理部３１４を通じて認証レベル情報記憶部３２１を検索し、対応する認証レベルを取得する（Ｓ３２３）。次に、この認証レベルをキーにデータベース管理部３１４を通じて認証方法情報データベース３１３を検索し、認識した認証レベルの認証を実現する認証方法を決定する（Ｓ３１５）。そして認証要求部３２２は、この決定した認証方法に基づいて図６に例示したように４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを書き換えて、パケット解析部３１７およびパケット送受信部３１８を通じてＳＩＰサーバ５００へ送信する。ＳＩＰサーバ５００は、これを利用者端末１０１へ転送する（Ｓ３１６）。
【０１２１】
その他の動作は第１の実施の形態における認証管理サーバ３００と同じである。
【０１２２】
図２１を参照すると、本実施の形態で使用するサービス提供サーバ２０１の一例は、図１０に示した第１の実施の形態のサービス提供サーバ２００と比較して、認証レベル情報記憶部２１２および認証レベル判定部２１４が省略されている点と、認証代行要求部２１５の代わりに認証代行要求部２２１を備えている点で相違する。
【０１２３】
認証代行要求部２２１は、サービスに応じて認証レベルを判定する処理を行わない点で認証代行要求部２１５より機能が簡素化されている。
【０１２４】
次に図１８のシーケンス図と図２１のブロック図を参照して、本実施例のサービス提供サーバ２０１の動作を説明する。
【０１２５】
図１８のステップＳ３１３において認証管理サーバ３０１から送信された認証ヘッダなしのＩＮＶＩＴＥがＳＩＰサーバ５００から転送されてくると、パケット送受信部２１７で受信され（Ｓ２１１）、パケット解析部２１６に伝達される。パケット解析部２１６は、ＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１２）、含まれていないので、受信したＩＮＶＩＴＥを認証代行要求部２２１へ伝達する。
【０１２６】
認証代行要求部２２１は、図１９に例示するようなＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを作成し、パケット解析部２１６およびパケット送受信部２１７を通じてネットワーク４００経由で利用者端末１０１に応答する（Ｓ２２２）。
【０１２７】
その他の動作は、第１の実施の形態の実施例で使用するサーバ提供サーバ２００と同じである。
【０１２８】
以上本発明の実施の形態について説明したが、本発明は以上の実施の形態にのみ限定されず、その他各種の付加変更が可能である。例えば、前述した実施の形態では、サービスに応じた認証レベルの認証を行ったが、サービスによらず常に同じレベルの認証を行うシステムに対しても本発明は適用可能である。また前述した実施の形態では、利用者端末が接続された回線の回線識別情報による認証を行ったが、そのような認証方法に限定されず、ＩＤとパスワードによる認証など任意の認証方法を使用するシステムに対して本発明は適用可能である。
【産業上の利用可能性】
【０１２９】
本発明は、利用者が通信網を介してサービス提供サーバからサービスの提供を受ける際の認証技術に有効であり、特に通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用したネットワークにおける利用者認証に用いるのに適している。
【図面の簡単な説明】
【０１３０】
【図１】本発明の第１の実施の形態のブロック図である。
【図２】本発明の第１の実施の形態で使用する回線認証テーブル、端末・個人認証テーブルおよび認証方法情報テーブルの一例を示す図である。
【図３】本発明の第１の実施の形態の動作を示すシーケンス図である。
【図４】本発明の第１の実施の形態において利用者端末から送信されるＩＮＶＩＴＥ（認証ヘッダなし）の一例を示す図である。
【図５】本発明の第１の実施の形態においてサービス提供サーバから送信される４０１ Ｕｎａｕｔｈｏｒｉｚｅｄの一例を示す図である。
【図６】本発明の第１の実施の形態において認証管理サーバから利用者端末へ送信される４０１ Ｕｎａｕｔｈｏｒｉｚｅｄの一例を示す図である。
【図７】本発明の第１の実施の形態において利用者端末から送信されるＩＮＶＩＴＥ（認証ヘッダあり）の一例を示す図である。
【図８】本発明の第１の実施の形態において認証管理サーバからサービス提供サーバに送信されるＩＮＶＩＴＥ（認証結果あり）の一例を示す図である。
【図９】本発明の第１の実施の形態における認証管理サーバのブロック図である。
【図１０】本発明の第１の実施の形態におけるサービス提供サーバのブロック図である。
【図１１】サービスと認証レベルとの対応を記憶する認証レベル情報の一例を示す図である。
【図１２】本発明の第１の実施の形態における利用者端末のブロック図である。
【図１３】本発明の第１の実施の形態で使用する認証方法情報テーブルの他の例を示す図である。
【図１４】本発明の第１の実施の形態で使用する認証方法情報テーブルの更に別の例を示す図である。
【図１５】本発明の第１の実施の形態で使用する端末・個人認証テーブルの別の例を示す図である。
【図１６】本発明の第１の実施の形態で使用する回線認証テーブルの別の例を示す図である。
【図１７】本発明の第２の実施の形態のブロック図である。
【図１８】本発明の第２の実施の形態の動作を示すシーケンス図である。
【図１９】本発明の第２の実施の形態においてサービス提供サーバから送信される４０１ Ｕｎａｕｔｈｏｒｉｚｅｄの一例を示す図である。
【図２０】本発明の第２の実施の形態における認証管理サーバのブロック図である。
【図２１】本発明の第２の実施の形態におけるサービス提供サーバのブロック図である。
【図２２】ＳＩＰで規定されたユーザ−ユーザ間ＨＴＴＰダイジェスト認証方式の動作シーケンス図である。
【図２３】ＳＩＰで規定されたユーザ−ユーザ間ＨＴＴＰダイジェスト認証方式における４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダの内容例を示す図である。
【図２４】ＳＩＰで規定されたユーザ−ユーザ間ＨＴＴＰダイジェスト認証方式におけるＩＮＶＩＴＥのＡｕｔｈｏｒｉｚａｔｉｏｎヘッダの内容例を示す図である。
【符号の説明】
【０１３１】
１００…利用者設備
１０１…利用者端末
１０２…ホームゲートウェイ
１０３…回線
２００、２０１…サービス提供サーバ
３００、３０１…認証管理サーバ
４００…ネットワーク
５００…ＳＩＰサーバ
【技術分野】
【０００１】
本発明は認証システムおよび認証方法に関し、特に通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用した通信網を介して利用者がサービス提供サーバからサービスの提供を受ける際の認証技術に関する。
【背景技術】
【０００２】
パーソナルコンピュータ（ＰＣ）などの利用者端末から通信網経由でサービス提供サーバをアクセスし、サービスの提供を受ける際の利用者認証は、利用者端末とサービス提供サーバとの間で直接に行われるのが基本である。通信セッションを確立するためのシグナリングプロトコルであるＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）においても、サーバ側でリクエストの送信者が誰かということを確認する手段として、ユーザ−ユーザ間ＨＴＴＰダイジェスト認証方式の利用が規定されている。
【０００３】
図２２を参照すると、ＳＩＰで規定されたユーザ−ユーザ間ＨＴＴＰダイジェスト認証方式では、まずＵＡＣ（Ｕｓｅｒ Ａｇｅｎｔ Ｃｌｉｅｎｔ）として動作する利用者端末がＵＡＳ（Ｕｓｅｒ Ａｇｅｎｔ Ｓｅｒｖｅｒ）として動作するサービス提供サーバに対して、ＡｕｔｈｏｒｉｚａｔｉｏｎヘッダのないＩＮＶＩＴＥを送信する。このＩＮＶＩＴＥは、ＵＡＣとＵＡＳの間にあってＳＩＰメッセージの中継を担うＳＩＰサーバ（プロキシサーバ）によって中継されて、サービス提供サーバに届けられる。
【０００４】
サービス提供サーバは、受信したＩＮＶＩＴＥ中のＡｕｔｈｏｒｉｚａｔｉｏｎヘッダの有無を確認する。そして、当該ヘッダが無いため、図２３に例示するようにチャレンジ値として必要なパラメータを記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ａｕｔｈｅｎｔｉｃａｔｅを応答として返す。このＷＷＷ−ＡｕｔｈｅｎｔｉｃａｔｅはＳＩＰサーバで中継されて、利用者端末へ届けられる。
【０００５】
利用者端末は、４０１ Ａｕｔｈｅｎｔｉｃａｔｅを受信すると、図２４に例示するようにレスポンス値に必要なパラメータを記述したＡｕｔｈｏｒｉｚａｔｉｏｎヘッダとその他必要な情報を記述したＩＮＶＩＴＥを作成して送信する。このＩＮＶＩＴＥはＳＩＰサーバで中継されて、サービス提供サーバへ届けられる。
【０００６】
サービス提供サーバは、受信したＩＮＶＩＴＥ中のＡｕｔｈｏｒｉｚａｔｉｏｎヘッダの有無を確認する。そして、当該ヘッダが有るため、記述されている情報を元に認証を行う。その結果、認証が成功すれば、２００ ＯＫを応答として返し、ＡＣＫの受信後、サービスの提供を行う。
【０００７】
他方、サービス提供サーバの負荷を軽減するために、通信網に認証管理サーバを接続し、サービス提供サーバのサービス提供のために認証管理サーバが利用者の認証を代行するシステムが提案されている（例えば特許文献１参照）。
【０００８】
利用者の認証には、利用者ＩＤとパスワードによる認証方法、指紋などの生体特徴による認証方法など、利用者の本人性を確認するための認証情報を用いる方法が種々提案ないし実用化されている。また、通信網へ接続する加入者回線と利用者との関連付けを行い、加入者回線の回線識別情報と利用者を一意に識別する情報とによる認証を行うことによって、利用者毎に特定された加入者回線以外からサービスを利用できないようにした認証方法が提案されている（例えば特許文献１参照）。
【０００９】
さらに、高いセキュリティレベルを必要とするサービス、それほど高いセキュリティレベルを必要としないサービスなど、セキュリティレベルの異なる複数のサービスを提供するサービス提供サーバにおいて、提供するサービスに応じた認証レベルで認証を行う方法が提案されている（例えば特許文献２、特許文献３参照）。ここで、認証レベルは、そのレベルが高いほど、確保できるセキュリティレベルが高いことを意味する。例えば、指紋による認証はパスワードによる認証に比べて認証レベルが高いと言える。
【００１０】
【特許文献１】特開２００６−３３１２０４号公報
【特許文献２】特開２００７−７９９９２号公報
【特許文献３】特開２００３−２４８６６１号公報
【発明の開示】
【発明が解決しようとする課題】
【００１１】
上述したようにＳＩＰにおいては、サービス提供サーバ側で利用者端末の利用者が誰かということを確認するためにユーザ−ユーザ間認証方式が規定されている。しかし、サービス提供サーバが利用者端末との間で直接に認証処理を行わなければならないために、サービス提供サーバの認証に伴う負荷が大きかった。従って、ＳＩＰにおいてもサービス提供サーバのために認証管理サーバが利用者の認証を代行できる仕組みが求められている。しかし、認証管理サーバによって認証を代行する仕組みを、ＳＩＰシグナリングフレームワークにどのように適用すれば良いのかという技術上の課題がある。
【００１２】
本発明の目的は、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用した通信網を通じてサービスを提供するサービス提供サーバの負荷を軽減するために、認証管理サーバが認証を代行する仕組みをＳＩＰのフレームワークに組み込んだ認証システムおよび認証方法を提供することにある。
【課題を解決するための手段】
【００１３】
本発明の第１の認証システムは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に利用者端末とサービス提供サーバとＳＩＰサーバとが接続され、前記ＳＩＰサーバに認証管理サーバが接続された認証システムであって、前記認証管理サーバは、前記利用者端末が前記サービス提供サーバに送信したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが送信した認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段とを備え、前記サービス提供サーバは、前記利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段とを備え、前記利用者端末は、前記認証管理サーバが前記ＳＩＰサーバを通じて送信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段とを備える。
【００１４】
本発明の第１の認証方法は、ａ）通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するステップと、ｂ）ＳＩＰサーバが、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送するステップと、ｃ）前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答するステップと、ｄ）前記ＳＩＰサーバが、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記認証管理サーバへ転送するステップと、ｅ）前記認証管理サーバが、受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送するステップと、ｆ）前記利用者端末が、受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信するステップと、ｇ）前記ＳＩＰサーバが、前記ＩＮＶＩＴＥリクエストを認証管理サーバへ転送するステップと、ｈ）前記認証管理サーバが、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていることを判定し、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送するステップと、ｉ）前記サービス提供サーバが、受信した前記ＩＮＶＩＴＥリクエストに認証結果が含まれていることを判定し、認証結果の成否に応じてサービスの提供可否を判断するステップとを含む。
【００１５】
本発明の第１の認証管理サーバは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストをＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段とを備える。
【００１６】
本発明の第１のサービス提供サーバは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証管理サーバによる認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段とを備える。
【００１７】
本発明の第１の利用者端末は、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末であって、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するサービス処理手段と、該送信されたＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定した前記サービス提供サーバが、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に送信し、該送信された４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスがＳＩＰサーバにより認証管理サーバへ転送され、前記認証管理サーバが受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて転送してきた場合に、該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段とを備える。
【００１８】
本発明の第１のＳＩＰサーバは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続されたＳＩＰサーバであって、利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストを受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていない場合には、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送し、認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送する認証要求手段とを備える。
【００１９】
本発明の第１のプログラムは、認証管理サーバを構成するコンピュータを、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストをＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段として機能させる。
【００２０】
本発明の第２のプログラムは、サービス提供サーバを構成するコンピュータを、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証管理サーバによる認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段として機能させる。
【００２１】
本発明の第３のプログラムは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末を構成するコンピュータを、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するサービス処理手段と、該送信されたＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定した前記サービス提供サーバが、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に送信し、該送信された４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスがＳＩＰサーバにより認証管理サーバへ転送され、前記認証管理サーバが受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて転送してきた場合に、該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段として機能させる。
【００２２】
本発明の第４のプログラムは、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続されたＳＩＰサーバを構成するコンピュータを、利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストを受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていない場合には、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送し、認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送する認証要求手段として機能させる。
【発明の効果】
【００２３】
本発明によれば、認証管理サーバが認証を代行する仕組みをＳＩＰのフレームワークに組み込んだ認証システムおよび認証方法を提供することができる。これにより、ＳＩＰを使用した通信網を通じてサービスを提供するサービス提供サーバの負荷を軽減することができる。
【発明を実施するための最良の形態】
【００２４】
『第１の実施の形態』
図１を参照すると、本発明の第１の実施の形態は、利用者設備１００とサービス提供サーバ２００とＳＩＰサーバ５００とが、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用したネットワーク４００を通じて相互に通信可能に接続され、かつ、認証管理サーバ３００がＳＩＰサーバ５００を介してネットワーク４００に接続されている。
【００２５】
利用者設備１００は、例えば各家庭毎に設けられる電子設備であり、利用者端末１０１とホームゲートウェイ１０２とで構成される。利用者端末１０１は、パーソナルコンピュータ等の情報処理機器で構成され、利用者はこの利用者端末１０１を通じてサービス提供サーバ２００へアクセスし、サービスの提供を受ける。ホームゲートウェイ１０２は、１台以上の利用者端末１０１を回線１０３を通じてネットワーク４００に接続するための通信機器であり、例えばネットワーク４００を管理運営する通信事業者から各家庭にレンタルされる。
【００２６】
サービス提供サーバ２００は、ビデオオンデマンドやオンラインショッピングなどの各種サービスを利用者端末１０１へ提供するコンピュータである。サービス提供サーバ２００は、利用者端末１０１からサービス要求を受信すると、提供するサービスに応じた認証レベルの認証が得られることを条件にサービスの提供を行う。
【００２７】
ＳＩＰサーバ５００は、実際に通信を行う利用者端末１０１とサービス提供サーバ２００の間にあってＳＩＰメッセージの中継を担うプロキシサーバである。ＳＩＰサーバ５００は、中継するＳＩＰメッセージのうち特定の条件を満たすものだけを認証管理サーバ３００に転送するよう構成されている。認証管理サーバ３００は転送されてきたＳＩＰメッセージに基づいて認証の代行処理などの所定の処理を実施する。認証管理サーバ３００から出力されたＳＩＰメッセージは、ＳＩＰサーバ５００において再びルーティングされ、利用者端末１０１やサービス提供サーバ２００へ転送される。ここで、ＳＩＰサーバ５００において、中継するＳＩＰメッセージが特定の条件を満たすかどうかを判定する具体的な方法としては、例えば、特定の条件をｉＦＣ（Ｉｎｉｔｉａｌ Ｆｉｌｔｅｒ Ｃｒｉｔｅｒｉａ）に記述しておき、中継するＳＩＰメッセージを受信する毎にｉＦＣを参照し、特定の条件を満たすかどうかを判定する方法がある。
【００２８】
ＳＩＰサーバ５００のｉＦＣに記述された特定の条件の例を図１に示す。図１のｉＦＣ中の記述は、メソッド名がＩＮＶＩＴＥであれば特定の条件を満たすことを示す。この条件により、利用者端末１０１からサービス提供サーバ２００へ送信されるＩＮＶＩＴＥのリクエストが、ＳＩＰサーバ５００による中継の際に認証管理サーバ３００に取り込まれる。また、基本的にＳＩＰの応答はリクエストが通ってきたルートをそのまま遡るため、ＩＮＶＩＴＥの応答である４０１ Ｕｎａｕｔｈｏｒｉｚｅｄも、ＳＩＰサーバ５００による中継の際に認証管理サーバ３００に取り込まれることになる。本実施の形態では図１に例示した特定の条件を使用するが、ＳＩＰサーバ５００のｉＦＣに記述する特定の条件は上記の例に限定されず、例えば、以下のような例も考えられる。
１：メソッド名＝”ＩＮＶＩＴＥ” ＆ ヘッダ名＝”Ａｕｔｈｏｒｉｚａｔｉｏｎ”
２：ステータスコード＝”４０１” ＆ ヘッダ名＝”ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅ” ＆ 認証スキーム名＝”ＩｎｔｅｇｒａｔｅｄＡｕｔｈ”
１番目の記述は、メソッド名がＩＮＶＩＴＥであり、且つ、ヘッダ名がＡｕｔｈｏｒｉｚａｔｉｏｎであれば、特定の条件を満たすことを示す。この条件により、利用者端末１０１からサービス提供サーバ２００へ送信されるＩＮＶＩＴＥのリクエストのうち、認証ヘッダの有るＩＮＶＩＴＥだけが、ＳＩＰサーバ５００による中継の際に認証管理サーバ３００に取り込まれる。
２番目の記述は、ステータスコードが４０１、且つ、ヘッダ名がＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅ、且つ、認証スキーム名がＩｎｔｅｇｒａｔｅｄＡｕｔｈであれば特定の条件を満たすことを示す。この条件により、サービス提供サーバ２００から利用者端末１０１へ送信される４０１ Ｕｎａｕｔｈｏｒｉｚｅｄのうち、サービス提供サーバ２００が認証の代行を要求している４０１ Ｕｎａｕｔｈｏｒｉｚｅｄが、ＳＩＰサーバ５００による中継の際に認証管理サーバ３００に取り込まれる。なお、この場合サービス提供サーバ２００からの応答に対しても、ＳＩＰサーバ５００でｉＦＣを参照して条件判定を行い、条件を満たす場合は認証管理サーバ３００へ転送され、その後の利用者端末１０１への転送が正しく行われるものとする。
【００２９】
図１では、ＳＩＰサーバ５００と認証管理サーバ３００とを別々のブロックで図示しているが、これはＳＩＰサーバ５００と認証管理サーバ３００とが物理的に別々のコンピュータに実装されていることを限定しているものではなく、ＳＩＰサーバ５００と認証管理サーバ３００は同じコンピュータに実装することも可能である。また、認証管理サーバ３００は、ＳＩＰサーバ５００の拡張機能（付加機能）として実現することも可能である。なお、認証管理サーバ３００の具体的な実現手法は任意であり、中継サーバのような構成で実現しても良いし、内部的に２つのＳＩＰ ＵＡを背中合わせに実装したＢ２ＢＵＡ（Ｂａｃｋ ｔｏ Ｂａｃｋ Ｕｓｅｒ Ａｇｅｎｔ）で実現しても良い。
【００３０】
認証管理サーバ３００は、サービス提供サーバ２００のサービス提供のために利用者の認証を代行する。認証管理サーバ３００は、複数の認証レベルのうち、サービス提供サーバ２００が利用者端末１０１に対して提供するサービスに応じた認証レベルの認証方法を用いて、利用者端末１０１の利用者の認証を代行する。
【００３１】
複数の認証レベルの認証方法としては、利用者端末１０１が接続されている回線１０３の回線識別情報と、それぞれ異なる他の１以上の認証情報とによる認証を使用する。回線１０３の回線識別情報としては、ホームゲートウェイ１０２に対してネットワーク４００から払い出されたＩＰアドレスが使用される。また、他の１以上の認証情報としては、例えば利用者端末の端末情報、パスワード、指紋などの生体特徴などが使用される。利用者端末の端末情報としては、利用者端末のＭＡＣアドレスや、ＴＰＭ（Ｔｒｕｓｔｅｄ Ｐｌａｔｆｏｒｍ Ｍｏｄｕｌｅ）から取得できる情報など、端末の認証に使用できる情報であれば良い。
【００３２】
本実施の形態では、図２の認証方法情報テーブルＴ３に記載した以下の３つの認証レベルの認証方法を使用する。勿論、認証レベルは２つでも良いし、４つ以上あっても良い。
認証レベル１：回線識別情報と利用者端末の端末情報による認証
認証レベル２：回線識別情報と利用者端末の端末情報とパスワードによる認証
認証レベル３：回線識別情報と利用者端末の端末情報とパスワードと指紋による認証
【００３３】
認証レベル１の認証方法では、利用者端末１０１毎に特定された回線１０３からサービス要求が送信されているかどうかを確認する。認証レベル２では、認証レベル１による認証に加えてさらに、パスワードによる認証によって利用者の本人性を確認する。認証レベル３では、認証レベル２による認証に加えてさらに、指紋による認証によって利用者の本人性をより厳密に確認する。従って、認証レベル３、認証レベル２、認証レベル１の順にセキュリティレベルが高くなる。
【００３４】
以上のような認証方法を実現するために、実際の認証処理に先立ち、認証管理サーバ３００に図２に示される回線認証テーブルＴ１と端末・個人認証テーブルＴ２とが登録される。
【００３５】
回線認証テーブルＴ１は、回線１０３を一意に識別するための回線ＩＤに対応付けて、その回線１０３に接続されたホームゲートウェイ１０２のＩＰアドレスを保持する。回線ＩＤとしては、回線１０３を一意に識別するためにネットワーク４００で付された識別番号、回線１０３の電話番号、あるいはホームゲートウェイ１０２のＭＡＣアドレスのうちの何れか１つ或いは複数が使用される。回線認証テーブルＴ１へのホームゲートウェイ１０２のＩＰアドレスの登録は、ホームゲートウェイ１０２へ新たなＩＰアドレスが払い出される毎に行われる。具体的には、ホームゲートウェイ１０２の電源がオンされ、ホームゲートウェイ１０２からネットワーク４００にＤＨＣＰパケットが送信されると、ネットワーク４００は、このＤＨＣＰパケットを送信したホームゲートウェイ１０２のＭＡＣアドレスが当該回線１０３に対してレンタルしたホームゲートウェイのＭＡＣアドレスと一致するかどうかを確認し、一致した場合に限ってＩＰアドレスをホームゲートウェイ１０２に払い出す。この払い出したタイミングで回線認証テーブルＴ１が更新される。また、ＩＰｖ６を用いるケースでは、前記の手順で毎回新たなＩＰアドレスを払い出しても良いし、あらかじめ回線ＩＤに対応付けたＩＰアドレスを決めておき、毎回その回線に対応した同じＩＰアドレスを払い出しても良い。
【００３６】
端末・個人認証テーブルＴ２は、回線１０３の回線ＩＤに対応付けて、その回線１０３にホームゲートウェイ１０２を通じて接続された利用者端末１０１の端末情報、当該利用者端末１０１の利用者のパスワード、指紋情報を保持する。端末・個人認証テーブルＴ２へのこれらの情報の登録は、オンラインまたはオフラインで行われる。
【００３７】
次に本実施の形態における認証の処理手順について、図３のシーケンス図を参照して説明する。
【００３８】
まず、利用者端末１０１は、サービス提供サーバ２００に対して、図４に例示するような認証ヘッダを含まないＩＮＶＩＴＥをサービス要求として送信する（Ｓ１１１）。図４に示されるＩＮＶＩＴＥにおいて、Ｔｏ：＜ｓｉｐｕｓｅｒ１＠ｘｘ．ｘｘ．ｘｘ．ｘｘ＞はリクエストの着信者のＳＩＰ ＵＲＬであるが、利用しようとするサービスを特定する情報としての役割も果たしている。
【００３９】
利用者端末１０１から送信されたＩＮＶＩＴＥは、特定の条件を満たすことによりＳＩＰサーバ５００から認証管理サーバ３００へ転送され、受信される（Ｓ３１１）。認証管理サーバ３００は、ＩＮＶＩＴＥ中に認証情報を記述したヘッダが含まれているかどうかを確認し（Ｓ３１２）、今の場合は含まれていないので、ＳＩＰサーバ５００を通じて当該ＩＮＶＩＴＥをサービス提供サーバ２００へ転送する（Ｓ３１３）。
【００４０】
サービス提供サーバ２００は、ＩＮＶＩＴＥを受信すると（Ｓ２１１）、ＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１２）、今の場合は含まれていないので、認証を要求する手順を実行する。まず、要求されたサービスに応じた認証レベルを判定する（Ｓ２１３）。次に、図５に例示するようなＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを利用者端末１０１に応答する（Ｓ２１４）。ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダ中のＩｎｔｅｇｒａｔｅｄＡｕｔｈは、ＳＩＰで規定されたＨＴＴＰダイジェスト認証と区別するために付けられた認証スキーム名である。また、ａｕｔｈｌｅｖｅｌは認証レベルを意味するパラメータ名、２はそのパラメータ値であり、この例では認証レベルが２であることを示している。
【００４１】
４０１ Ｕｎａｕｔｈｏｒｉｚｅｄは、リクエストに認証情報がないか不適切な認証情報が含まれる場合に、ＵＡＳがＨＴＴＰダイジェスト認証を要求する場合に使用するものとしてＳＩＰで規定されている。その場合、ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダの認証スキーム名はＤｉｇｅｓｔと記述され、続けて、＜チャレンジ値＞が記述される。本実施の形態では、認証スキーム名としてＩｎｔｅｇｒａｔｅｄＡｕｔｈを使用することにより、当該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを、認証の代行を認証管理サーバ３００に要求するレスポンスとして利用している。また、ａｕｔｈｌｅｖｅｌ＝２という記述を入れることで、認証レベル２の認証の代行を認証管理サーバ３００に要求するレスポンスとして利用している。
【００４２】
サービス提供サーバ２００から送信された上記の４０１ Ｕｎａｕｔｈｏｒｉｚｅｄは、ＳＩＰサーバ５００から認証管理サーバ３００へ転送され、受信される（Ｓ３１４）。認証管理サーバ３００は、受信した４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析して認証レベルを認識し、その認証レベルの認証を実現する認証方法を決定する（Ｓ３１５）。そして、ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダ中のパラメータ名ａｕｔｈｌｅｖｅｌの記述部分を、その認証レベルの認証を実現する認証方法の記述に書き換え、ＳＩＰサーバ５００を通じて利用者端末１０１へ転送する（Ｓ３１６）。
【００４３】
具体的には、図５に例示したように「ａｕｔｈｌｅｖｅｌ＝２」となっていれば、認証管理サーバ３００は、図６に例示するように「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ＆ＰＷ”」に書き換えて転送する。ここで、ａｕｔｈｍｅｔｈｏｄは認証方法を意味するパラメータ名、”ＭＩＮＦＯ＆ＰＷ”はそのパラメータ値で、ＭＩＮＦＯは利用者端末の端末情報による認証を、ＰＷはパスワードによる認証をそれぞれ示す。また、認証管理サーバ３００は、例えば「ａｕｔｈｌｅｖｅｌ＝１」となっていれば「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ”」に書き換えて転送し、「ａｕｔｈｌｅｖｅｌ＝３」となっていれば「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ＆ＰＷ＆ＦＩＮＧＥＲＰＲＩＮＴ”」に書き換えて転送する。ここで、ＦＩＮＧＥＲＰＲＩＮＴは指紋認証を示す。
【００４４】
利用者端末１０１は、上記の４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを受信すると（Ｓ１１２）、そのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析し、要求された認証方法の認証に必要な認証情報を必要に応じて利用者から入力する（Ｓ１１３）。そして、認証情報を記述した認証ヘッダを含む図７に例示するようなＩＮＶＩＴＥを作成し、サービス提供サーバ２００へ送信する（Ｓ１１４）。図７において、「Ａｕｔｈｏｒｉｚａｔｉｏｎ：ＩｎｔｅｇｒａｔｅｄＡｕｔｈ ＭＩＮＦＯ＝”ＡＡ−ＢＢ−ＣＣ−ＤＤ”、ＰＷ＝”ｐａｓｓｗｏｒｄ”」が認証情報を記述した認証ヘッダであり、”ＡＡ−ＢＢ−ＣＣ−ＤＤ”は利用者端末のＭＡＣアドレスを、”ｐａｓｓｗｏｒｄ”はパスワードをそれぞれ示す。
【００４５】
利用者端末１０１から再び送信されたＩＮＶＩＴＥは、特定の条件を満たすことによりＳＩＰサーバ５００から認証管理サーバ３００へ転送され、受信される（Ｓ３１７）。認証管理サーバ３００は、ＩＮＶＩＴＥに認証情報を記述したヘッダが含まれているかどうかを確認し（Ｓ３１８）、含まれているので、その認証情報と図２に示した回線認証テーブルＴ１と端末・個人認証テーブルＴ２とに基づいて認証を行う（Ｓ３１９）。そして、認証の結果を認証ヘッダに記述した図８に例示するようなＩＮＶＩＴＥをＳＩＰサーバ５００を通じてサービス提供サーバ２００へ転送する（Ｓ３２０）。図８において、「Ａｕｔｈｏｒｉｚａｔｉｏｎ：ＩｎｔｅｇｒａｔｅｄＡｕｔｈ ａｕｔｈｒｅｓｕｌｔ＝”ＯＫ”」が認証結果を記述した認証ヘッダであり、ａｕｔｈｒｅｓｕｌｔは認証結果を意味するパラメータ名、”ＯＫ”は認証が成功したことを示すパラメータ値である。なお、認証が失敗した場合、パラメータ値は”ＮＧ”になる。
【００４６】
サービス提供サーバ２００は、ＩＮＶＩＴＥを受信すると（Ｓ２１５）、ＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１６）、含まれているので、認証成功かどうかを確認する（Ｓ２１７）。そして、認証が成功していれば、利用者端末１０１に対して要求されたサービスを提供する（Ｓ２１８）。
【００４７】
利用者端末１０１は、サービス提供サーバ２００から提供されるサービスを受信する（Ｓ１１５）。
【００４８】
次に本実施の形態の効果を説明する。
【００４９】
本実施の形態によれば、サービス提供サーバ２００のサービス提供のために認証管理サーバ３００が利用者の認証を代行する仕組みをＳＩＰシグナリングオペレーションのメッセージフローに組み込んだことにより、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用したネットワーク４００を通じてサービスを提供するサービス提供システムにおいて、サービス提供サーバ２００が提供するサービスのための利用者の認証を認証管理サーバ３００が代行する処理をＳＩＰのフレームワークを変更することなしに実現することができる。
【００５０】
また本実施の形態によれば、複数の認証レベルの認証方法のうち、サービス提供サーバ２００が利用者端末１０１に対して提供するサービスに応じた認証レベルの認証方法を用いて、利用者端末１０１の利用者の認証を代行する認証管理サーバ３００を備えているため、サービスに応じた認証レベルでの認証を必要とするサービス提供サーバ２００の認証に伴う負荷を軽減することができる。
【００５１】
また本実施の形態によれば、サービス提供サーバ２００の認証に係る負荷をより軽減することができる。その理由は、サービスに応じた認証レベルを決定してその認証の代行を要求すれば、その認証レベルを実現する具体的な認証方法の決定などその他の処理は認証管理サーバ３００で行われるためである。
【００５２】
また本実施の形態によれば、最低の認証レベルでも事前に登録された回線以外からはサービスの提供を受けることができないため、最低の認証レベルでも、高いセキュリティレベルを確保することができる。
【００５３】
また本実施の形態によれば、最低の認証レベルのサービスを享受する利用者の負担を軽減することができる。その理由は、最低の認証レベルである認証レベル１で必要な認証情報は、回線識別情報であるホームゲートウェイ１０２のＩＰアドレスと利用者端末の端末情報の合計２つであり、前者の回線識別情報はホームゲートウェイ１０２で自動的にＩＰヘッダに付加され、後者の利用者端末の端末情報は端末自体から読み出せるため、利用者は何もしなくて済むためである。
【００５４】
次に本実施の形態を構成する利用者端末１０１、サービス提供サーバ２００および認証管理サーバ３００の詳細について説明する。
【００５５】
図９を参照すると、認証管理サーバ３００の一例は、回線認証情報データベース３１１、端末・個人認証情報データベース３１２および認証方法情報データベース３１３といったハードウェア資源と、データベース管理部３１４、認証判定部３１５、認証要求部３１６、パケット解析部３１７およびパケット送受信部３１８といった機能手段とを含んで構成される。認証管理サーバ３００がワークステーション等のコンピュータで構成される場合、回線認証情報データベース３１１、端末・個人認証情報データベース３１２および認証方法情報データベース３１３は、主記憶装置や補助記憶装置で実現され、データベース管理部３１４、認証判定部３１５、認証要求部３１６、パケット解析部３１７およびパケット送受信部３１８は、プログラムで実現することができる。プログラムは、ハードディスクなどのコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られ、そのコンピュータの動作を制御することにより、そのコンピュータ上に上述した各機能手段を実現し、所定の処理を行わせる。
【００５６】
回線認証情報データベース３１１には、図２で例示した回線認証テーブルＴ１が記憶される。
【００５７】
端末・個人認証情報データベース３１２には、図２で例示した端末・個人認証テーブルＴ２が記憶される。
【００５８】
認証方法情報データベース３１３には、図２で例示した各認証レベルに対応する認証方法の情報を記述した認証方法情報テーブルＴ３が記憶される。
【００５９】
データベース管理部３１４は、各データベース３１１〜３１３に対する検索や更新を管理する。
【００６０】
認証要求部３１６は、サービス提供サーバ２００の代わりに利用者端末１０１に対して各認証レベルの認証を要求する。
【００６１】
認証判定部３１５は、サービス提供サーバ２００の代わりに利用者端末１０１から送信された認証情報に基づいて各認証レベルの認証を行う。
【００６２】
パケット解析部３１７は、ＳＩＰサーバ５００から転送されてきたＳＩＰのパケットを解析し、認証要求部３１６による処理、認証判定部３１５による処理に切り分ける。また、認証要求部３１６および認証判定部３１５から伝達されたＳＩＰのパケットをパケット送受信部３１８へ出力する。
【００６３】
パケット送受信部３１８は、認証管理サーバ３００とＳＩＰサーバ５００との間でＳＩＰのパケットの送受信を行う。
【００６４】
次に図３のシーケンス図と図９のブロック図を参照して、認証管理サーバ３００の動作を説明する。
【００６５】
図３のステップＳ１１１において利用者端末１０１から送信されたＩＮＶＩＴＥがＳＩＰサーバ５００から転送されてくると、パケット送受信部３１８で受信され（Ｓ３１１）、パケット解析部３１７に伝達される。パケット解析部３１７は、ＩＮＶＩＴＥに認証情報を記述したヘッダが含まれているかどうかを確認し（Ｓ３１２）、含まれていないので、パケット送受信部３１８を通じて当該ＩＮＶＩＴＥをＳＩＰサーバ５００に送信する。ＳＩＰサーバ５００はこのＩＮＶＩＴＥをサービス提供サーバ２００へ転送する（Ｓ３１３）。
【００６６】
また、図３のステップＳ２１４においてサービス提供サーバ２００から送信された図５に例示した４０１ ＵｎａｕｔｈｏｒｉｚｅｄがＳＩＰサーバ５００から転送されてくると、パケット送受信部３１８で受信され（Ｓ３１４）、パケット解析部３１７に伝達される。パケット解析部３１７は、受信したパケットが、ＩｎｔｅｇｒａｔｅｄＡｕｔｈが記述されたＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄであることを解析し、認証要求部３１６へ当該パケットを伝達する。
【００６７】
認証要求部３１６は、受信した４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析して認証レベルを認識し、データベース管理部３１４を通じて認証方法情報データベース３１３を検索し、認識した認証レベルの認証を実現する認証方法を決定する（Ｓ３１５）。そして認証要求部３１６は、この決定した認証方法に基づいて図６に例示したように４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを書き換えて、パケット解析部３１７およびパケット送受信部３１８を通じてＳＩＰサーバ５００へ送信する。ＳＩＰサーバ５００は、これを利用者端末１０１へ転送する（Ｓ３１６）。
【００６８】
また、図３のステップＳ１１４において利用者端末１０１から再び送信されたＩＮＶＩＴＥがＳＩＰサーバ５００から転送されてくると、パケット送受信部３１８で受信され（Ｓ３１７）、パケット解析部３１７へ伝達される。パケット解析部３１７は、ＩＮＶＩＴＥに認証情報を記述したヘッダが含まれているかどうかを確認し（Ｓ３１８）、含まれているので、当該ＩＮＶＩＴＥを認証判定部３１５へ伝達する。
【００６９】
認証判定部３１５は、受け取ったＩＮＶＩＴＥ中の認証情報と、データベース管理部３１４を通じて回線認証情報データベース３１１の回線認証テーブルＴ１および端末・個人認証情報データベース３１２の端末・個人認証テーブルＴ２から検索した情報とに基づいて認証を行う（Ｓ３１９）。そして、認証判定部３１５は、認証の結果を認証ヘッダに記述した図８に例示するようなＩＮＶＩＴＥをパケット解析部３１７およびパケット送受信部３１８を通じてＳＩＰサーバ５００へ送信する。ＳＩＰサーバ５００は、これをサービス提供サーバ２００へ転送する（Ｓ３２０）。
【００７０】
図１０を参照すると、サービス提供サーバ２００の一例は、提供サービス情報記憶部２１１、認証レベル情報記憶部２１２といったハードウェア資源と、サービス提供部２１３、認証レベル判定部２１４、認証代行要求部２１５、パケット解析部２１６およびパケット送受信部２１７といった機能手段とを含んで構成される。サービス提供サーバ２００がワークステーション等のコンピュータで構成される場合、提供サービス情報記憶部２１１および認証レベル情報記憶部２１２は、主記憶装置や補助記憶装置で実現され、サービス提供部２１３、認証レベル判定部２１４、認証代行要求部２１５、パケット解析部２１６およびパケット送受信部２１７は、プログラムで実現することができる。プログラムは、ハードディスクなどのコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られ、そのコンピュータの動作を制御することにより、そのコンピュータ上に上述した各機能手段を実現し、後述した処理を行わせる。
【００７１】
提供サービス情報記憶部２１１には、サービス提供サーバ２００が利用者端末１０１に提供する画像や音声などのコンテンツ、オンラインショッピングサービスを提供するＷｅｂページなどの情報が記憶される。
【００７２】
認証レベル情報記憶部２１２には、サービス提供サーバ２００が提供するサービス毎にその認証レベルの情報が記憶される。例えば、サービス提供サーバ２００が３つのサービスＡ、Ｂ、Ｃを提供し、サービスＡの認証レベルは１、サービスＢの認証レベルは２、サービスＣの認証レベルは３のとき、認証レベル情報記憶部２１２には、図１１に例示するような認証レベル情報が記憶される。
【００７３】
サービス提供部２１３は、提供サービス情報記憶部２１１に記憶された情報を用いて、利用者端末１０１にサービスを提供する。
【００７４】
認証レベル判定部２１４は、利用者端末１０１が要求するサービスの認証レベルを認証レベル情報記憶部２１２を参照して判定する処理を行う。
【００７５】
認証代行要求部２１５は、サービスの提供を要求する利用者端末１０１の利用者の認証の代行を認証管理サーバ３００に要求する処理を行う。
【００７６】
パケット解析部２１６は、ＳＩＰサーバ５００から転送されてきたＳＩＰのパケットを解析し、認証代行要求部２１５による処理、サービス提供部２１３による処理といった処理に切り分ける。
【００７７】
パケット送受信部２１７は、ネットワーク４００を通じて利用者端末１０１およびＳＩＰサーバ５００との間でＳＩＰのパケットや他の通信プロトコル（たとえばＨＴＴＰプロトコル）のパケットの送受信を行う。
【００７８】
次に図３のシーケンス図と図１０のブロック図を参照して、サービス提供サーバ２００の動作を説明する。
【００７９】
図３のステップＳ３１３において認証管理サーバ３００から送信された認証ヘッダなしのＩＮＶＩＴＥがＳＩＰサーバ５００から転送されてくると、パケット送受信部２１７で受信され（Ｓ２１１）、パケット解析部２１６に伝達される。パケット解析部２１６は、ＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１２）、含まれていないので、受信したＩＮＶＩＴＥを認証代行要求部２１５へ伝達する。
【００８０】
認証代行要求部２１５は、要求されたサービスに応じた認証レベルを判定する（Ｓ２１３）。具体的には、ＩＮＶＩＴＥ中のＴｏヘッダに記述された論理的なリクエスト送信先に基づいてサービス名を決定し、この決定したサービス名を通知して認証レベル判定部２１４に認証レベルを要求する。認証レベル判定部２１４は、通知されたサービス名で認証レベル情報記憶部２１２を検索して、対応する認証レベルを認証代行要求部２１５に返却する。次に、認証代行要求部２１５は、図５に例示するような認証レベルを記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを作成し、パケット解析部２１６およびパケット送受信部２１７を通じてネットワーク４００経由で利用者端末１０１に応答する（Ｓ２１４）。
【００８１】
また、図３のステップＳ３２０において認証管理サーバ３００から送信された認証ヘッダありのＩＮＶＩＴＥがＩＰサーバ５００から転送されてくると、パケット送受信部２１７が受信し（Ｓ２１５）、パケット解析部２１６に伝達される。パケット解析部２１６は、受け取ったＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１６）、含まれていれば、さらに、認証が成功したかどうかを確認する（Ｓ２１７）。そして、認証が成功していれば、パケット解析部２１６は、受け取ったＩＮＶＩＴＥをサービス提供部２１３へ伝達する。サービス提供部２１３は、このＩＮＶＩＴＥに従って、利用者端末１０１に対して要求されたサービスを提供する（Ｓ２１８）。
【００８２】
図１２を参照すると、利用者端末１０１の一例は、キーボード１１１、液晶ディスプレイ等の表示装置１１２、指紋入力装置１１３、利用者端末情報記憶部１１４といったハードウェア資源と、指紋入力部１１５、パスワード入力部１１６、利用者端末情報入力部１１７、認証要求応答部１１８、パケット解析部１１９、パケット送受信部１２０、サービス処理部１２１といった機能手段とを含んで構成される。利用者端末１０１がパーソナルコンピュータ等のコンピュータで構成される場合、利用者端末情報記憶部１１４は、主記憶装置や補助記憶装置で実現され、指紋入力部１１５、パスワード入力部１１６、利用者端末情報入力部１１７、認証要求応答部１１８、パケット解析部１１９、パケット送受信部１２０、サービス処理部１２１は、プログラムで実現することができる。プログラムは、ハードディスクなどのコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られ、そのコンピュータの動作を制御することにより、そのコンピュータ上に上述した各機能手段を実現し、後述した処理を行わせる。
【００８３】
利用者端末情報記憶部１１４には、当該利用者端末１０１の端末情報として、例えばＭＡＣアドレスが記憶される。
【００８４】
利用者端末情報入力部１１７は、認証要求応答部１１８からの指示に従って利用者端末情報記憶部１１４から利用者端末のＭＡＣアドレスを読み出し、認証要求応答部１１８に伝達する。
【００８５】
パスワード入力部１１６は、認証要求応答部１１８からの指示に従って、利用者端末１０１の利用者からパスワードを入力し、認証要求応答部１１８に伝達する。具体的には、表示装置１１２の画面にパスワード入力画面を表示し、利用者がキーボード１１１を操作してパスワード入力画面にパスワードを入力すると、この入力されたパスワードを取り込んで認証要求応答部１１８へ出力する。
【００８６】
指紋入力部１１５は、認証要求応答部１１８からの指示に従って、指紋入力装置１１３から利用者の指紋情報を入力し、認証要求応答部１１８に伝達する。
【００８７】
認証要求応答部１１８は、パケット解析部１１９から受信した４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析し、要求された認証情報を利用者端末情報入力部１１７、パスワード入力部１１６、指紋入力部１１５から入力し、この入力した認証情報を記述したＩＮＶＩＴＥを作成して、パケット解析部１１９へ送信する。
【００８８】
サービス処理部１２１は、キーボード１１１から入力される指示に従ってサービス提供サーバ２００へサービスを要求し、それに応じて提供されるサービスを表示装置１１２に表示する等の処理を行う。
【００８９】
パケット解析部１１９は、ＳＩＰサーバ５００やサービス提供サーバ２００から転送されてきたパケットをパケット送受信部１２０から受信し、認証要求応答部１１８およびサービス処理部１２１へパケットを伝達する。また、その逆に認証要求応答部１１８およびサービス処理部１２１から伝達されるパケットをパケット送受信部１２０へ伝達する。
【００９０】
パケット送受信部１２０は、ホームゲートウェイ１０２およびネットワーク４００を通じて利用者端末１０１およびＳＩＰサーバ５００との間でＳＩＰのパケットや他の通信プロトコル（たとえばＨＴＴＰプロトコル）のパケットの送受信を行う。
【００９１】
次に図３のシーケンス図と図１２のブロック図を参照して、利用者端末１０１の動作を説明する。
【００９２】
利用者端末１０１において、サービス提供サーバ２００のサービスを受けるためにサービス提供サーバ２００をアクセスする際、サービス処理部１２１はＩＮＶＩＴＥを作成し、パケット解析部１１９、パケット送受信部１２０およびホームゲートウェイ１０２を通じてネットワーク４００経由でサービス提供サーバへ送信する（Ｓ１１４）。
【００９３】
また図３のステップＳ３１６において認証管理サーバ３００からＳＩＰサーバ５００を通じて送信された図６に例示するような４０１ Ｕｎａｕｔｈｏｒｉｚｅｄがホームゲートウェイ１０２から転送されてくると、パケット送受信部１２０で受信され（Ｓ１１２）、パケット解析部１１９に伝達される。パケット解析部１１９は、受信したパケットが４０１ Ｕｎａｕｔｈｏｒｉｚｅｄであり、そのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダ中に「ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅ：ＩｎｔｅｇｒａｔｅｄＡｕｔｈ ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ＆ＰＷ”」に例示するような認証情報を要求する記述があるため、当該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを認証要求応答部１１８へ伝達する。
【００９４】
認証要求応答部１１８は、受け取った４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダで要求されている認証情報を判定し、要求された認証情報を利用者端末情報入力部１１７、パスワード入力部１１６、指紋入力部１１５から入力する（Ｓ１１３）。そして、この入力した認証情報を認証ヘッダに記述したＩＮＶＩＴＥを作成し、パケット解析部１１９、パケット送受信部１２０およびホームゲートウェイ１０２を通じてネットワーク４００経由でサービス提供サーバへ送信する（Ｓ１１４）。
【００９５】
また、図３のステップＳ２１８においてサービス提供サーバ２００から送信されたサービス情報にかかるパケットがホームゲートウェイ１０２で受信されて転送されてくると、パケット送受信部１２０が受信し（Ｓ１１５）、パケット解析部１１９に伝達される。パケット解析部１１９は、受け取ったサービス情報にかかるパケットをサービス処理部１２１へ伝達し、サービス処理部１２１は受信した情報を表示装置１１２へ表示するといった処理を実行する。
【００９６】
以上の説明では、サービスに応じた認証レベルの認証方法は事前に唯一つだけ定められていたが、同一の認証レベルに対して複数の認証方法を定めておいて、その内の任意の認証方法を選択して使用するようにしても良い。また、図２に示した認証方法情報テーブルＴ３の代わりに、図１３に例示するように、基本となる複数の認証方法と、その選択条件（必須か任意か）とそれを使用した際の認証レベルの増加ポイントとを定義した認証方法情報テーブルＴ４を使用し、幾つかの認証方法を動的に組み合わせてサービスに応じた認証レベルの認証方法を決定するようにしても良い。図１３に例示した認証方法情報テーブルＴ４によると、認証レベル１の認証方法は、回線識別情報と利用者端末情報による認証として決定され、認証レベル２の認証方法は、回線識別情報と利用者端末情報による認証とパスワードによる認証との組み合わせとして決定され、認証レベル３の認証方法は、回線識別情報と利用者端末情報による認証と指紋による認証との組み合わせとして決定され、認証レベル４の認証方法は、回線識別情報と利用者端末情報による認証とパスワードによる認証と指紋による認証との組み合わせとして決定される。
【００９７】
また以上の説明では、利用者端末１０１が接続されている回線１０３の回線識別情報と異なる他の認証情報として、利用者端末１０１の端末情報、パスワード、指紋を使用したが、利用者の本人性を確認する情報であれば、他の種類の情報を使用することができる。また、利用者の本人性を確認するには効果が少ないと考えられる利用者の性別や年齢などの属性情報を認証情報として利用し、図１４の認証方法情報テーブルＴ５に例示するように認証レベルを利用者の属性に応じて更に細分化しても良い。この場合、利用者に属性情報を入力させると利用者に負担がかかるので、図１５の端末・個人認証テーブルＴ６に例示するように、他の認証情報と同様に認証管理サーバ３００の端末・個人認証情報データベース３１２に登録しておき、他の認証情報によって利用者が特定された後、その利用者の属性情報を確認するようにするのが望ましい。
【００９８】
また以上の説明では、利用者端末１０１が接続されている回線１０３の回線識別情報として、ホームゲートウェイ１０２のＩＰアドレスを使用したが、それに代えて、あるいはそれに加えて回線１０３に対してネットワーク４００から割り当てられている電話番号を回線識別情報として使用しても良い。この場合、回線認証テーブルＴ１は図１６に例示するような構成となる。利用者端末１０１側では、電話番号は記憶部に予め記憶しておいても良いし、キーボードからその都度入力するようにしても良い。電話番号は、端末情報などの他の認証情報と同様にＩＮＶＩＴＥの認証ヘッダに記述されて送信される。
【００９９】
電話番号を回線識別情報として使用する場合、以下の２通りの認証方法が考えられる。第１の方法は、認証ヘッダに電話番号が含まれている場合、ホームゲートウェイ１０２のＩＰアドレスの代わりに、その電話番号を使って認証を行う方法である。具体的には、認証管理サーバ３００は、認証ヘッダに記述された電話番号をキーに図１６の回線認証テーブルＴ１を検索し、一致する電話番号に対応する回線ＩＤを取得する。次に、この取得した回線ＩＤをキーに図２の端末・個人認証テーブルＴ２を検索して、端末情報などのその他の認証情報を取得して認証ヘッダ中の端末情報と比較する方法である。
【０１００】
第２の方法は、前述した実施の形態および実施例と同様にホームゲートウェイ１０２のＩＰアドレスをキーに図１６の回線認証テーブルＴ１を検索し、一致するＩＰアドレスに対応する回線ＩＤを取得し、次に、この取得した回線ＩＤをキーに図２の端末・個人認証テーブルＴ２を検索して、端末情報を取得して認証ヘッダ中の端末情報と比較した時点で一致しなかった場合、電話番号を使用した前記第１の方法に切り替える方法である。この場合、利用者端末１０１に一旦認証失敗を通知して、電話番号の入力を要求しても良いし、既に認証ヘッダに電話番号が記述されていれば、それを利用しても良い。
【０１０１】
電話番号を回線識別情報として使用する構成は、たとえば他人の家を訪れた際、自分の利用者端末を使ってその家の回線を借りてサービスを受けたい場合に有効である。回線に結び付いた認証という意味では、その回線の正規（登録）利用者という識別は行っていないが、電話番号をもとに、どこの回線に登録されている（どこの回線の正規ユーザなのか）ということがわかるので、外出先でサービスを利用する場合の認証方法として有効である。
【０１０２】
『第２の実施の形態』
図１７を参照すると、本発明の第２の実施の形態は、図１に示した第１の実施の形態と比較して、サービス提供サーバ２００および認証管理サーバ３００に代えてサービス提供サーバ２０１および認証管理サーバ３０１を備えている点で相違する。
【０１０３】
サービス提供サーバ２０１は、第１の実施の形態のサービス提供サーバ２００と比較して、認証管理サーバ３０１に対してサービスに応じた認証レベルの認証の代行を要求する際に認証レベルを指定しない点で相違する。
【０１０４】
認証管理サーバ３０１は、第１の実施の形態の認証管理サーバ３００と比較して、サービス提供サーバ２０１から認証の代行を要求された際、サービス提供サーバ２０１が利用者端末１０１に対して提供するサービスの認証レベルを判定し、この判定した認証レベルの認証の代行を行う点で相違する。
【０１０５】
次に、本実施の形態における認証の処理手順について、図１８のシーケンス図を参照して説明する。
【０１０６】
まず、利用者端末１０１は、サービス提供サーバ２０１に対して、図４に例示するような認証ヘッダを含まないＩＮＶＩＴＥをサービス要求として送信する（Ｓ１１１）。図４に示されるＩＮＶＩＴＥにおいて、Ｔｏ：＜ｓｉｐｕｓｅｒ１＠ｘｘ．ｘｘ．ｘｘ．ｘｘ＞はリクエストの着信者のＳＩＰ ＵＲＬであるが、利用しようとするサービスを特定する情報としての役割も果たしている。
【０１０７】
利用者端末１０１から送信されたＩＮＶＩＴＥは、特定の条件を満たすことによりＳＩＰサーバ５００から認証管理サーバ３０１へ転送され、受信される（Ｓ３１１）。認証管理サーバ３０１は、ＩＮＶＩＴＥ中に認証情報を記述したヘッダが含まれているかどうかを確認し（Ｓ３１２）、今の場合は含まれていないので、ＳＩＰサーバ５００を通じて当該ＩＮＶＩＴＥをサービス提供サーバ２０１へ転送する（Ｓ３１３）。
【０１０８】
サービス提供サーバ２０１は、ＩＮＶＩＴＥを受信すると（Ｓ２１１）、ＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１２）、今の場合は含まれていないので、図１９に例示するようなＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを利用者端末１０１に応答する（Ｓ２２２）。ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダ中のＩｎｔｅｇｒａｔｅｄＡｕｔｈは、ＳＩＰで規定されたＨＴＴＰダイジェスト認証と区別するために付けられた認証スキーム名である。また、ａｕｔｈｒｅｑは認証要求を意味するパラメータ名、””はそのパラメータ値であり、サービスに応じた認証レベルの認証を要求していることを示している。
【０１０９】
４０１ Ｕｎａｕｔｈｏｒｉｚｅｄは、リクエストに認証情報がないか不適切な認証情報が含まれる場合に、ＵＡＳがＨＴＴＰダイジェスト認証を要求する場合に使用するものとしてＳＩＰで規定されている。その場合、ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダの認証スキーム名はＤｉｇｅｓｔと記述され、続けて、＜チャレンジ値＞が記述される。本実施の形態では、認証スキーム名としてＩｎｔｅｇｒａｔｅｄＡｕｔｈを使用することにより、当該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄが、認証の代行を認証管理サーバ３０１に要求するレスポンスとして利用している。また、ａｕｔｈｒｅｑ＝””という記述を入れることで、サービスに応じた認証レベルの認証の代行を認証管理サーバ３０１に要求するレスポンスとして利用している。
【０１１０】
サービス提供サーバ２０１から送信された上記の４０１ Ｕｎａｕｔｈｏｒｉｚｅｄは、ＳＩＰサーバ５００から認証管理サーバ３０１へ転送され、受信される（Ｓ３２２）。認証管理サーバ３０１は、受信した４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析し、サービスに応じた認証レベルの認証の代行が要求されていることから、まず、要求されたサービスに応じた認証レベルを判定する（Ｓ３２３）。次に、この認証レベルの認証を実現する認証方法を決定する（Ｓ３１５）。そして、ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダ中のパラメータ名ａｕｔｈｒｅｑの記述部分を、その認証レベルの認証を実現する認証方法の記述に書き換え、ＳＩＰサーバ５００を通じて利用者端末１０１へ転送する（Ｓ３１６）。
【０１１１】
具体的には、認証レベル２の場合、認証管理サーバ３０１は、図６に例示するように「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ＆ＰＷ”」に書き換えて転送する。ここで、ａｕｔｈｍｅｔｈｏｄは認証方法を意味するパラメータ名、”ＭＩＮＦＯ＆ＰＷ”はそのパラメータ値で、ＭＩＮＦＯは利用者端末の端末情報による認証を、ＰＷはパスワードによる認証をそれぞれ示す。また、認証管理サーバ３０１は、認証レベル１の場合、「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ”」に書き換えて転送し、認証レベル３の場合、「ａｕｔｈｍｅｔｈｏｄ＝”ＭＩＮＦＯ＆ＰＷ＆ＦＩＮＧＥＲＰＲＩＮＴ”」に書き換えて転送する。ここで、ＦＩＮＧＥＲＰＲＩＮＴは指紋認証を示す。
【０１１２】
以下、第１の実施の形態と同様の手順が実行される（Ｓ１１２〜Ｓ１１５、Ｓ３１７〜Ｓ３２０、Ｓ２１５〜Ｓ２１８）。
【０１１３】
このように本実施の形態によれば、サービス提供サーバ２０１はサービスに応じた認証レベルを自ら決定する必要がないため、認証に係るサービス提供サーバ２０１の負荷をより一層軽減することができる。
【０１１４】
次に本実施の形態を構成するサービス提供サーバ２０１および認証管理サーバ３０１の詳細について説明する。なお、利用者端末１０１は第１の実施の形態と同じである。
【０１１５】
図２０を参照すると、本実施の形態で使用する認証管理サーバ３０１は、図９で示した第１の実施の形態で使用する認証管理サーバ３００と比較して、認証レベル情報記憶部３２１を新たに備えている点、認証要求部３１６の代わりに認証要求部３２２を備えている点で相違する。
【０１１６】
認証レベル情報記憶部３２１には、図１１で例示したようなサービス名と認証レベルとの対応関係を示す認証レベル情報が記憶される。
【０１１７】
認証要求部３２２は、認証要求部３１６の機能に加えてさらに、サービスに応じた認証レベルを判定する機能を有する。
【０１１８】
次に図１８のシーケンス図と図２０のブロック図を参照して、本実施例の認証管理サーバ３０１の動作を説明する。
【０１１９】
図１８のステップＳ２２２においてサービス提供サーバ２０１から送信された図１９に例示した４０１ ＵｎａｕｔｈｏｒｉｚｅｄがＳＩＰサーバ５００から転送されてくると、パケット送受信部３１８で受信され（Ｓ３２２）、パケット解析部３１７に伝達される。パケット解析部３１７は、受信したパケットが、ＩｎｔｅｇｒａｔｅｄＡｕｔｈが記述されたＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄであることを解析し、認証要求部３２２へ当該パケットを伝達する。
【０１２０】
認証要求部３２２は、受信した４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを解析し、Ｔｏヘッダに記述された論理的なリクエスト送信先に基づいてサービス名を決定し、この決定したサービス名をキーにデータベース管理部３１４を通じて認証レベル情報記憶部３２１を検索し、対応する認証レベルを取得する（Ｓ３２３）。次に、この認証レベルをキーにデータベース管理部３１４を通じて認証方法情報データベース３１３を検索し、認識した認証レベルの認証を実現する認証方法を決定する（Ｓ３１５）。そして認証要求部３２２は、この決定した認証方法に基づいて図６に例示したように４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを書き換えて、パケット解析部３１７およびパケット送受信部３１８を通じてＳＩＰサーバ５００へ送信する。ＳＩＰサーバ５００は、これを利用者端末１０１へ転送する（Ｓ３１６）。
【０１２１】
その他の動作は第１の実施の形態における認証管理サーバ３００と同じである。
【０１２２】
図２１を参照すると、本実施の形態で使用するサービス提供サーバ２０１の一例は、図１０に示した第１の実施の形態のサービス提供サーバ２００と比較して、認証レベル情報記憶部２１２および認証レベル判定部２１４が省略されている点と、認証代行要求部２１５の代わりに認証代行要求部２２１を備えている点で相違する。
【０１２３】
認証代行要求部２２１は、サービスに応じて認証レベルを判定する処理を行わない点で認証代行要求部２１５より機能が簡素化されている。
【０１２４】
次に図１８のシーケンス図と図２１のブロック図を参照して、本実施例のサービス提供サーバ２０１の動作を説明する。
【０１２５】
図１８のステップＳ３１３において認証管理サーバ３０１から送信された認証ヘッダなしのＩＮＶＩＴＥがＳＩＰサーバ５００から転送されてくると、パケット送受信部２１７で受信され（Ｓ２１１）、パケット解析部２１６に伝達される。パケット解析部２１６は、ＩＮＶＩＴＥに認証結果が含まれているかどうかを確認し（Ｓ２１２）、含まれていないので、受信したＩＮＶＩＴＥを認証代行要求部２２１へ伝達する。
【０１２６】
認証代行要求部２２１は、図１９に例示するようなＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄを作成し、パケット解析部２１６およびパケット送受信部２１７を通じてネットワーク４００経由で利用者端末１０１に応答する（Ｓ２２２）。
【０１２７】
その他の動作は、第１の実施の形態の実施例で使用するサーバ提供サーバ２００と同じである。
【０１２８】
以上本発明の実施の形態について説明したが、本発明は以上の実施の形態にのみ限定されず、その他各種の付加変更が可能である。例えば、前述した実施の形態では、サービスに応じた認証レベルの認証を行ったが、サービスによらず常に同じレベルの認証を行うシステムに対しても本発明は適用可能である。また前述した実施の形態では、利用者端末が接続された回線の回線識別情報による認証を行ったが、そのような認証方法に限定されず、ＩＤとパスワードによる認証など任意の認証方法を使用するシステムに対して本発明は適用可能である。
【産業上の利用可能性】
【０１２９】
本発明は、利用者が通信網を介してサービス提供サーバからサービスの提供を受ける際の認証技術に有効であり、特に通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用したネットワークにおける利用者認証に用いるのに適している。
【図面の簡単な説明】
【０１３０】
【図１】本発明の第１の実施の形態のブロック図である。
【図２】本発明の第１の実施の形態で使用する回線認証テーブル、端末・個人認証テーブルおよび認証方法情報テーブルの一例を示す図である。
【図３】本発明の第１の実施の形態の動作を示すシーケンス図である。
【図４】本発明の第１の実施の形態において利用者端末から送信されるＩＮＶＩＴＥ（認証ヘッダなし）の一例を示す図である。
【図５】本発明の第１の実施の形態においてサービス提供サーバから送信される４０１ Ｕｎａｕｔｈｏｒｉｚｅｄの一例を示す図である。
【図６】本発明の第１の実施の形態において認証管理サーバから利用者端末へ送信される４０１ Ｕｎａｕｔｈｏｒｉｚｅｄの一例を示す図である。
【図７】本発明の第１の実施の形態において利用者端末から送信されるＩＮＶＩＴＥ（認証ヘッダあり）の一例を示す図である。
【図８】本発明の第１の実施の形態において認証管理サーバからサービス提供サーバに送信されるＩＮＶＩＴＥ（認証結果あり）の一例を示す図である。
【図９】本発明の第１の実施の形態における認証管理サーバのブロック図である。
【図１０】本発明の第１の実施の形態におけるサービス提供サーバのブロック図である。
【図１１】サービスと認証レベルとの対応を記憶する認証レベル情報の一例を示す図である。
【図１２】本発明の第１の実施の形態における利用者端末のブロック図である。
【図１３】本発明の第１の実施の形態で使用する認証方法情報テーブルの他の例を示す図である。
【図１４】本発明の第１の実施の形態で使用する認証方法情報テーブルの更に別の例を示す図である。
【図１５】本発明の第１の実施の形態で使用する端末・個人認証テーブルの別の例を示す図である。
【図１６】本発明の第１の実施の形態で使用する回線認証テーブルの別の例を示す図である。
【図１７】本発明の第２の実施の形態のブロック図である。
【図１８】本発明の第２の実施の形態の動作を示すシーケンス図である。
【図１９】本発明の第２の実施の形態においてサービス提供サーバから送信される４０１ Ｕｎａｕｔｈｏｒｉｚｅｄの一例を示す図である。
【図２０】本発明の第２の実施の形態における認証管理サーバのブロック図である。
【図２１】本発明の第２の実施の形態におけるサービス提供サーバのブロック図である。
【図２２】ＳＩＰで規定されたユーザ−ユーザ間ＨＴＴＰダイジェスト認証方式の動作シーケンス図である。
【図２３】ＳＩＰで規定されたユーザ−ユーザ間ＨＴＴＰダイジェスト認証方式における４０１ ＵｎａｕｔｈｏｒｉｚｅｄのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダの内容例を示す図である。
【図２４】ＳＩＰで規定されたユーザ−ユーザ間ＨＴＴＰダイジェスト認証方式におけるＩＮＶＩＴＥのＡｕｔｈｏｒｉｚａｔｉｏｎヘッダの内容例を示す図である。
【符号の説明】
【０１３１】
１００…利用者設備
１０１…利用者端末
１０２…ホームゲートウェイ
１０３…回線
２００、２０１…サービス提供サーバ
３００、３０１…認証管理サーバ
４００…ネットワーク
５００…ＳＩＰサーバ
【特許請求の範囲】
【請求項１】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に利用者端末とサービス提供サーバとＳＩＰサーバとが接続され、前記ＳＩＰサーバに認証管理サーバが接続された認証システムであって、
前記認証管理サーバは、前記利用者端末が前記サービス提供サーバに送信したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが送信した認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段とを備え、
前記サービス提供サーバは、前記利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段とを備え、
前記利用者端末は、前記認証管理サーバが前記ＳＩＰサーバを通じて送信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段とを備えることを特徴とする認証システム。
【請求項２】
前記認証管理サーバの前記認証要求手段は、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送することを特徴とする請求項１記載の認証システム。
【請求項３】
前記認証管理サーバの前記認証要求手段は、前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述されたサービスの認証レベルを判定することを特徴とする請求項２記載の認証システム。
【請求項４】
前記認証管理サーバの前記認証要求手段は、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項２記載の認証システム。
【請求項５】
ａ）通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するステップと、
ｂ）ＳＩＰサーバが、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送するステップと、
ｃ）前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答するステップと、
ｄ）前記ＳＩＰサーバが、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記認証管理サーバへ転送するステップと、
ｅ）前記認証管理サーバが、受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送するステップと、
ｆ）前記利用者端末が、受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信するステップと、
ｇ）前記ＳＩＰサーバが、前記ＩＮＶＩＴＥリクエストを認証管理サーバへ転送するステップと、
ｈ）前記認証管理サーバが、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていることを判定し、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送するステップと、
ｉ）前記サービス提供サーバが、受信した前記ＩＮＶＩＴＥリクエストに認証結果が含まれていることを判定し、認証結果の成否に応じてサービスの提供可否を判断するステップとを含むことを特徴とする認証方法。
【請求項６】
前記ステップｅにおいて、前記認証管理サーバが、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送することを特徴とする請求項５記載の認証方法。
【請求項７】
前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに、サービスの認証レベルの記述が含まれることを特徴とする請求項６記載の認証方法。
【請求項８】
前記ステップｅにおいて、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項６記載の認証方法。
【請求項９】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストをＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段とを備えることを特徴とする認証管理サーバ。
【請求項１０】
前記認証要求手段は、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送することを特徴とする請求項９記載の認証管理サーバ。
【請求項１１】
前記認証要求手段は、前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述されたサービスの認証レベルを判定することを特徴とする請求項１０記載の認証管理サーバ。
【請求項１２】
前記認証要求手段は、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項１０記載の認証管理サーバ。
【請求項１３】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証管理サーバによる認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段とを備えることを特徴とするサービス提供サーバ。
【請求項１４】
前記認証代行要求手段は、要求されたサービスに応じた認証レベルを前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述することを特徴とする請求項１３記載のサービス提供サーバ。
【請求項１５】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末であって、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するサービス処理手段と、該送信されたＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定した前記サービス提供サーバが、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に送信し、該送信された４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスがＳＩＰサーバにより認証管理サーバへ転送され、前記認証管理サーバが受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて転送してきた場合に、該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段とを備えたことを特徴とする利用者端末。
【請求項１６】
認証管理サーバを構成するコンピュータを、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストをＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段として機能させるためのプログラム。
【請求項１７】
前記認証要求手段は、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送することを特徴とする請求項１６記載のプログラム。
【請求項１８】
前記認証要求手段は、前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述されたサービスの認証レベルを判定することを特徴とする請求項１７記載のプログラム。
【請求項１９】
前記認証要求手段は、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項１７記載のプログラム。
【請求項２０】
サービス提供サーバを構成するコンピュータを、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証管理サーバによる認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段として機能させるためのプログラム。
【請求項２１】
前記認証代行要求手段は、要求されたサービスに応じた認証レベルを前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述することを特徴とする請求項２０記載のプログラム。
【請求項２２】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末を構成するコンピュータを、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するサービス処理手段と、該送信されたＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定した前記サービス提供サーバが、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に送信し、該送信された４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスがＳＩＰサーバにより認証管理サーバへ転送され、前記認証管理サーバが受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて転送してきた場合に、該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段として機能させるためのプログラム。
【請求項２３】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続されたＳＩＰサーバであって、利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストを受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていない場合には、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送し、認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送する認証要求手段とを備えることを特徴とするＳＩＰサーバ。
【請求項２４】
前記認証要求手段は、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送することを特徴とする請求項２３記載のＳＩＰサーバ。
【請求項２５】
前記認証要求手段は、前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述されたサービスの認証レベルを判定することを特徴とする請求項２４記載のＳＩＰサーバ。
【請求項２６】
前記認証要求手段は、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項２４記載のＳＩＰサーバ。
【請求項２７】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続されたＳＩＰサーバを構成するコンピュータを、利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストを受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていない場合には、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送し、認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送する認証要求手段として機能させるためのプログラム。
【請求項２８】
前記認証要求手段は、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送することを特徴とする請求項２７記載のプログラム。
【請求項２９】
前記認証要求手段は、前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述されたサービスの認証レベルを判定することを特徴とする請求項２８記載のプログラム。
【請求項３０】
前記認証要求手段は、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項２８記載のプログラム。
【請求項１】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に利用者端末とサービス提供サーバとＳＩＰサーバとが接続され、前記ＳＩＰサーバに認証管理サーバが接続された認証システムであって、
前記認証管理サーバは、前記利用者端末が前記サービス提供サーバに送信したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが送信した認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段とを備え、
前記サービス提供サーバは、前記利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段とを備え、
前記利用者端末は、前記認証管理サーバが前記ＳＩＰサーバを通じて送信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段とを備えることを特徴とする認証システム。
【請求項２】
前記認証管理サーバの前記認証要求手段は、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送することを特徴とする請求項１記載の認証システム。
【請求項３】
前記認証管理サーバの前記認証要求手段は、前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述されたサービスの認証レベルを判定することを特徴とする請求項２記載の認証システム。
【請求項４】
前記認証管理サーバの前記認証要求手段は、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項２記載の認証システム。
【請求項５】
ａ）通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するステップと、
ｂ）ＳＩＰサーバが、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送するステップと、
ｃ）前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答するステップと、
ｄ）前記ＳＩＰサーバが、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記認証管理サーバへ転送するステップと、
ｅ）前記認証管理サーバが、受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送するステップと、
ｆ）前記利用者端末が、受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信するステップと、
ｇ）前記ＳＩＰサーバが、前記ＩＮＶＩＴＥリクエストを認証管理サーバへ転送するステップと、
ｈ）前記認証管理サーバが、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていることを判定し、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送するステップと、
ｉ）前記サービス提供サーバが、受信した前記ＩＮＶＩＴＥリクエストに認証結果が含まれていることを判定し、認証結果の成否に応じてサービスの提供可否を判断するステップとを含むことを特徴とする認証方法。
【請求項６】
前記ステップｅにおいて、前記認証管理サーバが、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送することを特徴とする請求項５記載の認証方法。
【請求項７】
前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに、サービスの認証レベルの記述が含まれることを特徴とする請求項６記載の認証方法。
【請求項８】
前記ステップｅにおいて、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項６記載の認証方法。
【請求項９】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストをＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段とを備えることを特徴とする認証管理サーバ。
【請求項１０】
前記認証要求手段は、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送することを特徴とする請求項９記載の認証管理サーバ。
【請求項１１】
前記認証要求手段は、前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述されたサービスの認証レベルを判定することを特徴とする請求項１０記載の認証管理サーバ。
【請求項１２】
前記認証要求手段は、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項１０記載の認証管理サーバ。
【請求項１３】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証管理サーバによる認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段とを備えることを特徴とするサービス提供サーバ。
【請求項１４】
前記認証代行要求手段は、要求されたサービスに応じた認証レベルを前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述することを特徴とする請求項１３記載のサービス提供サーバ。
【請求項１５】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末であって、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するサービス処理手段と、該送信されたＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定した前記サービス提供サーバが、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に送信し、該送信された４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスがＳＩＰサーバにより認証管理サーバへ転送され、前記認証管理サーバが受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて転送してきた場合に、該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段とを備えたことを特徴とする利用者端末。
【請求項１６】
認証管理サーバを構成するコンピュータを、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストをＳＩＰサーバから受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記ＳＩＰサーバを通じて前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバから受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送する認証要求手段として機能させるためのプログラム。
【請求項１７】
前記認証要求手段は、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて前記利用者端末へ転送することを特徴とする請求項１６記載のプログラム。
【請求項１８】
前記認証要求手段は、前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述されたサービスの認証レベルを判定することを特徴とする請求項１７記載のプログラム。
【請求項１９】
前記認証要求手段は、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項１７記載のプログラム。
【請求項２０】
サービス提供サーバを構成するコンピュータを、通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末から送信されたＩＮＶＩＴＥリクエストを受信して解析し、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていない場合に、認証管理サーバによる認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答する認証代行要求手段と、前記受信したＩＮＶＩＴＥリクエストに前記認証管理サーバによる認証結果が含まれている場合に、認証結果の成否に応じてサービスの提供可否を判断するサービス提供手段として機能させるためのプログラム。
【請求項２１】
前記認証代行要求手段は、要求されたサービスに応じた認証レベルを前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述することを特徴とする請求項２０記載のプログラム。
【請求項２２】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続された利用者端末を構成するコンピュータを、前記通信網に接続されたサービス提供サーバにＩＮＶＩＴＥリクエストを送信するサービス処理手段と、該送信されたＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定した前記サービス提供サーバが、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に送信し、該送信された４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスがＳＩＰサーバにより認証管理サーバへ転送され、前記認証管理サーバが受信した前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記ＳＩＰサーバを通じて転送してきた場合に、該４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、要求された認証方法の認証に必要な認証情報を記述した認証ヘッダを含むＩＮＶＩＴＥリクエストを前記サービス提供サーバへ送信する認証要求応答手段として機能させるためのプログラム。
【請求項２３】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続されたＳＩＰサーバであって、利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストを受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていない場合には、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送し、認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送する認証要求手段とを備えることを特徴とするＳＩＰサーバ。
【請求項２４】
前記認証要求手段は、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送することを特徴とする請求項２３記載のＳＩＰサーバ。
【請求項２５】
前記認証要求手段は、前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述されたサービスの認証レベルを判定することを特徴とする請求項２４記載のＳＩＰサーバ。
【請求項２６】
前記認証要求手段は、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項２４記載のＳＩＰサーバ。
【請求項２７】
通信セッションを確立するためのシグナリングプロトコルとしてＳＩＰを使用する通信網に接続されたＳＩＰサーバを構成するコンピュータを、利用者端末が前記通信網に接続されたサービス提供サーバに送信したＩＮＶＩＴＥリクエストを受信して解析し、受信した前記ＩＮＶＩＴＥリクエストに認証ヘッダが含まれていない場合には、前記ＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送し、認証ヘッダが含まれている場合には、前記認証ヘッダに記述された認証情報に基づく認証処理を行い、認証結果を記述したＩＮＶＩＴＥリクエストを前記サービス提供サーバへ転送する認証判定手段と、前記サービス提供サーバが、受信したＩＮＶＩＴＥリクエストに認証結果が含まれていないことを判定し、認証の代行を要求する特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末に応答した場合に、前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを受信して解析し、認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送する認証要求手段として機能させるためのプログラム。
【請求項２８】
前記認証要求手段は、複数の認証レベルの認証方法のうち前記サービス提供サーバが前記利用者端末に対して提供するサービスに応じた認証レベルの認証方法を選択し、該選択した認証方法と特定の認証スキーム名を記述したＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを含む４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスを前記利用者端末へ転送することを特徴とする請求項２７記載のプログラム。
【請求項２９】
前記認証要求手段は、前記サービス提供サーバから送信される前記４０１ Ｕｎａｕｔｈｏｒｉｚｅｄレスポンスの前記ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダに記述されたサービスの認証レベルを判定することを特徴とする請求項２８記載のプログラム。
【請求項３０】
前記認証要求手段は、前記サービス提供サーバから受信した前記４０１ ＵｎａｕｔｈｏｒｉｚｅｄレスポンスのＴｏヘッダに記述された前記サービス提供サーバのＳＩＰ ＵＲＬからサービスを特定し、該特定したサービスに応じた認証レベルを判定することを特徴とする請求項２８記載のプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【公開番号】特開２００９−４３０４３（Ｐ２００９−４３０４３Ａ）
【公開日】平成２１年２月２６日（２００９．２．２６）
【国際特許分類】
【出願番号】特願２００７−２０７４８５（Ｐ２００７−２０７４８５）
【出願日】平成１９年８月９日（２００７．８．９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２１年２月２６日（２００９．２．２６）
【国際特許分類】
【出願日】平成１９年８月９日（２００７．８．９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]