(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022190213
(43)【公開日】2022-12-26
(54)【発明の名称】多要素認証のための方法および装置
(51)【国際特許分類】
G06F 21/41 20130101AFI20221219BHJP
G06F 21/44 20130101ALI20221219BHJP
【ＦＩ】
G06F21/41
G06F21/44
【審査請求】有
【請求項の数】12
【出願形態】ＯＬ
(21)【出願番号】P 2021098428
(22)【出願日】2021-06-14
(11)【特許番号】
(45)【特許公報発行日】2022-08-23
(71)【出願人】
【識別番号】397036309
【氏名又は名称】株式会社インターネットイニシアティブ
(74)【代理人】
【識別番号】100118902
【弁理士】
【氏名又は名称】山本 修
(74)【代理人】
【識別番号】100106208
【弁理士】
【氏名又は名称】宮前 徹
(74)【代理人】
【識別番号】100196508
【弁理士】
【氏名又は名称】松尾 淳一
(74)【代理人】
【識別番号】100162846
【弁理士】
【氏名又は名称】大牧 綾子
(72)【発明者】
【氏名】柿島 純
(57)【要約】
【課題】多要素認証において、ユーザ認証の安全性を高める。
【解決手段】 複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得し、第１の認証サーバへ送信するステップと、第１の認証サーバでユーザＩＤとユーザ要素情報との組み合わせが正しいと判定された場合に、ユーザ端末に固有に割り当てられているユーザ端末の第１の共通暗号鍵を、ユーザの加入者ＩＤと共に第１の認証サーバへ送信するステップであって、ユーザ端末の第１の共通暗号鍵と、ユーザ端末を認証している第２の認証サーバの第２の共通暗号鍵であって、加入者ＩＤに関連付けられている第２の共通暗号鍵が一致する通知を第１の認証サーバから受信すると、複数のクラウドサービスとの通信を開始するステップと、を含むユーザ端末において実行される方法を提供する。
【選択図】図５
【解決手段】 複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得し、第１の認証サーバへ送信するステップと、第１の認証サーバでユーザＩＤとユーザ要素情報との組み合わせが正しいと判定された場合に、ユーザ端末に固有に割り当てられているユーザ端末の第１の共通暗号鍵を、ユーザの加入者ＩＤと共に第１の認証サーバへ送信するステップであって、ユーザ端末の第１の共通暗号鍵と、ユーザ端末を認証している第２の認証サーバの第２の共通暗号鍵であって、加入者ＩＤに関連付けられている第２の共通暗号鍵が一致する通知を第１の認証サーバから受信すると、複数のクラウドサービスとの通信を開始するステップと、を含むユーザ端末において実行される方法を提供する。
【選択図】図５
【特許請求の範囲】
【請求項1】
ユーザ端末において実行される方法であって、
複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得し、第１の認証サーバへ送信するステップと、
前記第１の認証サーバで前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しいと判定された場合に、前記ユーザ端末に固有に割り当てられているユーザ端末の第１の共通暗号鍵を、ユーザの加入者ＩＤと共に前記第１の認証サーバへ送信するステップであって、
前記ユーザ端末の第１の共通暗号鍵と、前記ユーザ端末を認証している第２の認証サーバの第２の共通暗号鍵であって、前記加入者ＩＤに関連付けられている第２の共通暗号鍵とが一致する通知を前記第１の認証サーバから受信すると、前記複数のクラウドサービスとの通信を開始するステップと、
を含む、方法。
複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得し、第１の認証サーバへ送信するステップと、
前記第１の認証サーバで前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しいと判定された場合に、前記ユーザ端末に固有に割り当てられているユーザ端末の第１の共通暗号鍵を、ユーザの加入者ＩＤと共に前記第１の認証サーバへ送信するステップであって、
前記ユーザ端末の第１の共通暗号鍵と、前記ユーザ端末を認証している第２の認証サーバの第２の共通暗号鍵であって、前記加入者ＩＤに関連付けられている第２の共通暗号鍵とが一致する通知を前記第１の認証サーバから受信すると、前記複数のクラウドサービスとの通信を開始するステップと、
を含む、方法。
【請求項2】
前記ユーザＩＤと前記ユーザ要素情報とを前記第１の認証サーバへ送信するステップの前に、前記ユーザ端末は、前記第２の認証サーバとの間でＡＫＡ認証を行い、前記ユーザ端末と前記第２の認証サーバとの間で共通暗号鍵を共有するステップと、をさらに含む請求項１に記載の方法。
【請求項3】
前記第１の共通暗号鍵は前記ユーザ端末のＳＩＭに保持されている、請求項１または２に記載の方法。
【請求項4】
前記第１の共通暗号鍵と前記第２の共通暗号鍵とはＡＫＡ認証により生成されるＣＫ（Ｃｉｐｈｅｒ Ｋｅｙ）、およびＩＫ（Ｉｎｔｅｇｒｉｔｙ Ｋｅｙ）である、請求項１から３のいずれか１項に記載の方法。
【請求項5】
前記第１の共通暗号鍵は、暗号化して前記第１の認証サーバへ送信される、請求項１から４のいずれか１項に記載の方法。
【請求項6】
前記ユーザ要素情報は、前記ユーザの知識情報と、前記ユーザの生体情報とのうち少なくとも一方を含む、請求項１から５のいずれか１項に記載の方法。
【請求項7】
前記第２の認証サーバは通信キャリア事業者によって提供されるサーバである、請求項１から６のいずれか１項に記載の方法。
【請求項8】
前記第１の認証サーバと前記ユーザ端末とは互いにインターネットを介して接続されており、前記第１の認証サーバと前記第２の認証サーバとは互いに通信キャリア網を介して接続されている、請求項１から７のいずれか１項に記載の方法。
【請求項9】
装置において実行される方法であって、
ユーザ端末から、複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得するステップと、
前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しいと判定すると、
前記ユーザＩＤに関連付けられた加入者ＩＤに基づいて、認証サーバから第１の共通暗号鍵を取得するステップであって、前記認証サーバは前記ユーザ端末を認証している、第１の共通暗号鍵を取得するステップと、
前記ユーザ端末から、前記加入者ＩＤに関連付けられた第２の共通暗号鍵を取得するステップと、
前記認証サーバからの前記第１の共通暗号鍵と、前記ユーザ端末からの前記第２の共通暗号鍵とが一致する場合に、前記ユーザ端末へ両者の一致を通知するステップと
を備える、方法。
ユーザ端末から、複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得するステップと、
前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しいと判定すると、
前記ユーザＩＤに関連付けられた加入者ＩＤに基づいて、認証サーバから第１の共通暗号鍵を取得するステップであって、前記認証サーバは前記ユーザ端末を認証している、第１の共通暗号鍵を取得するステップと、
前記ユーザ端末から、前記加入者ＩＤに関連付けられた第２の共通暗号鍵を取得するステップと、
前記認証サーバからの前記第１の共通暗号鍵と、前記ユーザ端末からの前記第２の共通暗号鍵とが一致する場合に、前記ユーザ端末へ両者の一致を通知するステップと
を備える、方法。
【請求項10】
前記ユーザＩＤに関連付けられた前記加入者ＩＤを取得するステップをさらに備える、請求項９に記載の方法。
【請求項11】
前記第２の共通暗号鍵は、前記ユーザ端末に格納された共通暗号鍵の取得を行うためのアプリケーションプログラムの実行によって取得されたものである、請求項９に記載の方法。
【請求項12】
装置であって、
少なくとも１つのプロセッサと、
命令を記憶したメモリであって、前記少なくとも１つのプロセッサに実行されたときに、前記装置に
ユーザ端末から、複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得するステップと、
前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しい場合に、
前記ユーザＩＤに関連付けられた加入者ＩＤに基づいて、認証サーバから第１の共通暗号鍵を取得するステップであって、前記認証サーバは前記ユーザ端末を認証している、第１の共通暗号鍵を取得するステップと、
前記ユーザ端末から、前記加入者ＩＤに関連付けられた第２の共通暗号鍵を取得するステップと、
前記認証サーバからの第１の共通暗号鍵と、前記ユーザ端末からの第２の共通暗号鍵とが一致する場合に、前記ユーザ端末へ両者の一致を通知するステップと
を実行させる命令を記憶したメモリと
備える、装置。
少なくとも１つのプロセッサと、
命令を記憶したメモリであって、前記少なくとも１つのプロセッサに実行されたときに、前記装置に
ユーザ端末から、複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得するステップと、
前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しい場合に、
前記ユーザＩＤに関連付けられた加入者ＩＤに基づいて、認証サーバから第１の共通暗号鍵を取得するステップであって、前記認証サーバは前記ユーザ端末を認証している、第１の共通暗号鍵を取得するステップと、
前記ユーザ端末から、前記加入者ＩＤに関連付けられた第２の共通暗号鍵を取得するステップと、
前記認証サーバからの第１の共通暗号鍵と、前記ユーザ端末からの第２の共通暗号鍵とが一致する場合に、前記ユーザ端末へ両者の一致を通知するステップと
を実行させる命令を記憶したメモリと
備える、装置。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、多要素認証のための方法および装置に関する。より詳細には、本開示は、クラウド型のＩＤ管理サービスにおける多要素認証のための方法および装置に関する。
【背景技術】
【0002】
様々なアプリケーションソフトを利用できるスマートデバイスの普及に伴い、クラウドサービスを利用する企業や個人が増えている。このため、企業内や個人のデータの一部をローカルで管理する一方、他のデータの一部をクラウドに移行するなど、データが分散管理され、データの一元管理が困難となっている。しかも、クラウドサービスごとにＩＤ・パスワード認証を実施すると、クラウドサービスごとにエンドユーザはＩＤとパスワードの組み合わせを記憶しなければならず、ユーザフレンドリーではなかった。
【0003】
近年は、クラウド型のＩＤ管理サービス（ＩＤａａＳ：Identity as a Service）が登場している。ＩＤａａＳは、異なるクラウドサービスの各ＩＤとパスワード認証を一元管理できる仕組みである。ＩＤａａＳはシングルサインオン（統一されたひとつのＩＤとパスワードで認証）を実現できる。
【0004】
しかしながら、パスワードに頼る認証では、一旦パスワードが流出すると、流出したパスワードと同じパスワードを設定した他のサービスまで不正利用されたりするなどの課題があった。さらにパスワードに頼る認証は、セキュリティ意識が低い利用者は単純な文字列を設定しがちであるため、セキュリティの強度を利用者に任せている点も問題である。このパスワードによるセキュリティ上の脆弱性を克服するために、ＩＤａａＳは多要素認証方式を採用している。多要素認証方式は、知識情報/所持情報/生体情報の３要素を組み合わせた認証である。「知識情報」による認証はユーザしか知り得ない情報であるパスワードなどによる認証、「所持情報」による認証には、ＭＡＣアドレスなどによる認証，「生体情報」による認証は指紋などによる認証がある。
【発明の概要】
【発明が解決しようとする課題】
【0005】
本発明の目的の一つは、多要素認証において、ユーザ認証の安全性および信頼性を高めることにある。
【0006】
また、本発明の他の目的の一つは、多要素認証において、ユーザによる認証のための処理を簡便にすることにある。
【課題を解決するための手段】
【0007】
上記目的を達成するための方法の特徴構成は、ユーザ端末において実行される方法であって、複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得し、第１の認証サーバへ送信するステップと、前記第１の認証サーバで前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しいと判定された場合に、前記ユーザ端末に固有に割り当てられているユーザ端末の第１の共通暗号鍵を、ユーザの加入者ＩＤと共に前記第１の認証サーバへ送信するステップであって、前記ユーザ端末の第１の共通暗号鍵と、前記ユーザ端末を認証している第２の認証サーバの第２の共通暗号鍵であって、前記加入者ＩＤに関連付けられている第２の共通暗号鍵とが一致する通知を前記第１の認証サーバから受信すると、前記複数のクラウドサービスとの通信を開始するステップと、を含む、点にある。
【0008】
上記目的を達成するための特徴構成は、装置において実行される方法であって、ユーザ端末から、複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得するステップと、前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しいと判定すると、前記ユーザＩＤに関連付けられた加入者ＩＤに基づいて、認証サーバから第１の共通暗号鍵を取得するステップであって、前記認証サーバは前記ユーザ端末を認証している、第１の共通暗号鍵を取得するステップと、前記ユーザ端末から、前記加入者ＩＤに関連付けられた第２の共通暗号鍵を取得するステップと、前記認証サーバからの前記第１の共通暗号鍵と、前記ユーザ端末からの前記第２の共通暗号鍵とが一致する場合に、前記ユーザ端末へ両者の一致を通知するステップとを備える、点にある。
【0009】
上記目的を達成するための装置の特徴構成は、装置であって、少なくとも１つのプロセッサと、命令を記憶したメモリであって、前記少なくとも１つのプロセッサに実行されたときに、前記装置にユーザ端末から、複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得するステップと、前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しい場合に、前記ユーザＩＤに関連付けられた加入者ＩＤに基づいて、認証サーバから第１の共通暗号鍵を取得するステップであって、前記認証サーバは前記ユーザ端末を認証している、第１の共通暗号鍵を取得するステップと、前記ユーザ端末から、前記加入者ＩＤに関連付けられた第２の共通暗号鍵を取得するステップと、前記認証サーバからの第１の共通暗号鍵と、前記ユーザ端末からの第２の共通暗号鍵とが一致する場合に、前記ユーザ端末へ両者の一致を通知するステップとを実行させる命令を記憶したメモリと備える、点にある。
【0010】
本発明は、多要素認証において、ユーザ認証の安全性および信頼性を高める装置および方法を提供するものである。
【図面の簡単な説明】
【0011】
【図1】本開示の一実施形態に係るクラウド型の多要素認証管理サービスを提供するシステムを示す。
【図2】本開示の一実施形態に係るユーザ端末のハードウェア構成図を示す。
【図3】本開示の一実施形態に係る多要素認証サーバのハードウェア構成図を示す。
【図5】本開示の第一実施形態に係るシステムにおいて実行される処理の例を示す。
【図6】本開示の第二実施形態に係るシステムにおいて実行される処理の例を示す。
【図7】本開示の一実施形態に係る加入者ファイルのデータ構造の例である。
【図8】本開示の一実施形態に係るユーザ管理ファイルのデータ構造の例である。
【図9】本開示の一実施形態に係る共通暗号鍵ファイルのデータ構造の例である。
【発明を実施するための形態】
【0012】
［本発明の実施形態の説明］
最初に、本発明の実施形態の内容を列記して説明する。本発明の一実施形態は、以下のような構成を備える。
最初に、本発明の実施形態の内容を列記して説明する。本発明の一実施形態は、以下のような構成を備える。
【0013】
〔構成１〕 本発明に係る方法の特徴構成は、ユーザ端末において実行される方法であって、複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得し、第１の認証サーバ（多要素認証サーバ２００）へ送信するステップと、前記第１の認証サーバで前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しいと判定された場合に、前記ユーザ端末に固有に割り当てられているユーザ端末の第１の共通暗号鍵を、ユーザの加入者ＩＤと共に前記第１の認証サーバへ送信するステップであって、前記ユーザ端末の第１の共通暗号鍵と、前記ユーザ端末を認証している第２の認証サーバ（認証サーバ３００）の第２の共通暗号鍵であって、前記加入者ＩＤに関連付けられている第２の共通暗号鍵とが一致する通知を前記第１の認証サーバから受信すると、前記複数のクラウドサービスとの通信を開始するステップと、を含む、点にある。
【0014】
〔構成２〕 本発明に係る方法の別の特徴構成は、前記ユーザＩＤと前記ユーザ要素情報とを前記第１の認証サーバへ送信するステップの前に、前記ユーザ端末は、前記第２の認証サーバとの間でＡＫＡ認証を行い、前記ユーザ端末と前記第２の認証サーバとの間で共通暗号鍵を共有するステップと、をさらに含む点にある。
【0015】
〔構成３〕 本発明に係る方法の別の特徴構成は、前記第１の共通暗号鍵は前記ユーザ端末のＳＩＭに保持されている、点にある。
【0016】
〔構成４〕 本発明に係る方法の別の特徴構成は、前記第１の共通暗号鍵と前記第２の共通暗号鍵とはＡＫＡ認証により生成されるＣＫ（ＣｉｐｈｅｒＫｅｙ）、およびＩＫ（ＩｎｔｅｇｒｉｔｙＫｅｙ）である、点にある。
【0017】
〔構成５〕 本発明に係る方法の別の特徴構成は、前記第１の共通暗号鍵は、暗号化して前記第１の認証サーバへ送信される、点にある。
【0018】
〔構成６〕 本発明に係る方法の別の特徴構成は、前記ユーザ要素情報は、前記ユーザの知識情報と、前記ユーザの生体情報とのうち少なくとも一方を含む、点にある。
【0019】
〔構成７〕 本発明に係る方法の別の特徴構成は、前記第２の認証サーバは通信キャリア事業者によって提供されるサーバである、点にある。
【0020】
〔構成８〕 本発明に係る方法の別の特徴構成は、前記第１の認証サーバと前記ユーザ端末とは互いにインターネットを介して接続されており、前記第１の認証サーバと前記第２の認証サーバとは互いに通信キャリア網を介して接続されている、点にある。
【0021】
〔構成９〕本発明に係る方法の特徴構成は、装置において実行される方法であって、ユーザ端末から、複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得するステップと、前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しいと判定すると、前記ユーザＩＤに関連付けられた加入者ＩＤに基づいて、認証サーバから第１の共通暗号鍵を取得するステップであって、前記認証サーバは前記ユーザ端末を認証している、第１の共通暗号鍵を取得するステップと、前記ユーザ端末から、前記加入者ＩＤに関連付けられた第２の共通暗号鍵を取得するステップと、前記認証サーバからの前記第１の共通暗号鍵と、前記ユーザ端末からの前記第２の共通暗号鍵とが一致する場合に、前記ユーザ端末へ両者の一致を通知するステップとを備える、点にある。
【0022】
〔構成１０〕 本発明に係る方法の別の特徴構成は、前記ユーザＩＤに関連付けられた前記加入者ＩＤを取得するステップをさらに備える、点にある。
【0023】
〔構成１１〕 本発明に係る方法の別の特徴構成は、前記第２の共通暗号鍵は、前記ユーザ端末に格納された共通暗号鍵の取得を行うためのアプリケーションプログラムの実行によって取得されたものである、点にある。
【0024】
〔構成１２〕 本発明に係る装置の特徴構成は、装置であって、少なくとも１つのプロセッサと、命令を記憶したメモリであって、前記少なくとも１つのプロセッサに実行されたときに、前記装置にユーザ端末から、複数のクラウドサービスへシングルサインオンするためのユーザＩＤとユーザ要素情報とを取得するステップと、前記ユーザＩＤと前記ユーザ要素情報との組み合わせが正しい場合に、前記ユーザＩＤに関連付けられた加入者ＩＤに基づいて、認証サーバから第１の共通暗号鍵を取得するステップであって、前記認証サーバは前記ユーザ端末を認証している、第１の共通暗号鍵を取得するステップと、前記ユーザ端末から、前記加入者ＩＤに関連付けられた第２の共通暗号鍵を取得するステップと、前記認証サーバからの第１の共通暗号鍵と、前記ユーザ端末からの第２の共通暗号鍵とが一致する場合に、前記ユーザ端末へ両者の一致を通知するステップとを実行させる命令を記憶したメモリと備える、点にある。
【0025】
［本発明の実施形態の詳細］
以下、本発明の実施形態について図面を参照して説明する。なお、本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が本開示に含まれることが意図される。以下の説明では、図面の説明において同一の要素には同一の符号を付し、重複する説明を繰り返さないものとする。
以下、本発明の実施形態について図面を参照して説明する。なお、本開示はこれらの例示に限定されるものではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が本開示に含まれることが意図される。以下の説明では、図面の説明において同一の要素には同一の符号を付し、重複する説明を繰り返さないものとする。
【0026】
図１は本開示の一実施形態によるクラウド型の多要素認証サービスを提供するシステム１０を示す。システム１０は、ユーザ端末（ＵＥ）１００と、多要素認証サービスを提供する装置としての多要素認証サーバ２００と、認証サーバ３００とを備える。システム１０は、ユーザにより入力される知識情報等の要素情報に加えて、ユーザ端末１００の保持する所持情報としてのユーザ端末１００固有の情報を組み合わせて、ユーザを認証するシステムである。本開示においてユーザにより入力される要素情報は、ユーザの知識情報と、ユーザの生体情報とのうち少なくとも一方を含む。本開示によると、ユーザ端末１００を操作するユーザは、一旦多要素認証サーバ２００で認証をパスすれば、各種クラウドサービス４への認証は不要となり、様々なクラウドサービス４にシングルサインオンできる。ユーザの知識情報は、ユーザしか知り得ない情報であり、パスワード、秘密の質問、ＰＩＮコード等である。ユーザの生体情報は、ユーザの指紋、虹彩、静脈、声紋、顔の情報等である。
【0027】
図１の例では、ユーザ端末１００は、ネットワーク６（１）を介して多要素認証サーバ２００と通信可能に接続され、多要素認証サーバ２００は、ネットワーク６（２）を介して認証サーバ３００と通信可能に接続されている。また、ユーザ端末１００と、多要素認証サーバ２００とは、それぞれ不図示のネットワークを介して、クラウドサービス４に通信可能に接続することができる。ユーザ端末１００は複数台であってもよいが、図１では１台のユーザ端末を示す。
【0028】
ネットワーク６（１）は、インターネットおよび図示しない無線基地局によって構築される各種無線通信システム等で構成される。この無線通信システムとしては、例えば、所謂３Ｇ、４Ｇ、５Ｇ移動体通信網、ＬＴＥ（Long Term Evolution）、および所定のアクセスポイントによってインターネットに接続可能な無線ネットワーク（例えばWi-Fi（登録商標））等が挙げられる。
【0029】
ネットワーク６（２）は、通信事業者が管理する通信キャリア網である。認証サーバ３００は通信キャリア網側のサーバであり、外部から侵入できないよう構成される。なお、通信キャリア網であるネットワーク６（２）は１つに限定されるものではなく、２つ以上であってもよい。通信キャリア網が２つ以上なら、多要素認証サーバ２００に接続するキャリア網と、認証サーバ３００とは複数あってもよい。
【0030】
（ユーザ端末１００）
ユーザ端末１００は、本開示のクラウドサービス４へのシングルサインオンサービスを利用するユーザからの要素情報の入力を受け付ける端末である。ユーザ端末１００は、例えばブラウザを用いて多要素認証サーバ２００にアクセス可能に構成される。本実施形態では、一例として、ユーザ端末１００がスマートフォンとして実現される例を説明するが、ユーザ端末１００はスマートフォンに限定されない。ユーザ端末１００はＳＩＭを備えていればよく、例えば、ＰＤＡ（Personal Digital Assistant）、タブレット型コンピュータ、ラップトップ型コンピュータ（いわゆる、ノートパソコン）などとして実現されてもよい。
ユーザ端末１００は、本開示のクラウドサービス４へのシングルサインオンサービスを利用するユーザからの要素情報の入力を受け付ける端末である。ユーザ端末１００は、例えばブラウザを用いて多要素認証サーバ２００にアクセス可能に構成される。本実施形態では、一例として、ユーザ端末１００がスマートフォンとして実現される例を説明するが、ユーザ端末１００はスマートフォンに限定されない。ユーザ端末１００はＳＩＭを備えていればよく、例えば、ＰＤＡ（Personal Digital Assistant）、タブレット型コンピュータ、ラップトップ型コンピュータ（いわゆる、ノートパソコン）などとして実現されてもよい。
【0031】
ユーザ端末１００は多要素認証サーバ２００により認証されると、複数のクラウドサービス４にアクセスすることができる。クラウドサービス４は、例えば、Ｗｅｂブラウザ上で動作する電子メールサービス、スケジュール管理サービスを含む。
【0032】
また、ユーザ端末１００は、ユーザ端末１００を認証する際に利用可能な各種情報を格納するＳＩＭカードを保持する。本開示において、この各種情報は、ユーザ端末１００に固有の所持情報である共通暗号鍵を含む。共通暗号鍵は、認証が許可されたユーザ端末１００と、認証サーバ３００との間で共有される暗号鍵である。一ユーザが複数の契約を結べば契約毎に異なる共有暗号鍵が認証サーバ３００との間で共有される。また、ユーザ端末１００が複数の場合は、ユーザ端末１００毎に異なる共通暗号鍵が認証サーバ３００との間で共有される。
【0033】
共通暗号鍵は、一例では、ユーザ端末１００のＳＩＭカードと、通信キャリア網（認証サーバ３００）との間で取り交わされるＡＫＡ認証（Authentication and Key Agreement）によって算出されるＣＫ（Cipher Key）とＩＫ（Integrity Key）である。この共通暗号鍵は、ユーザ端末１００の製造・出荷時には、ユーザ端末１００に割り当てられておらず、またユーザによるユーザ端末１００の操作で変更・更新することはできない。ＣＫは暗号解読キーを、ＩＫは完全性キーを表わす。ＡＫＡ認証による認証が行われると、認証が許可されたユーザ端末１００が認証サーバ３００に登録される。共通暗号鍵は、ＡＫＡ’認証によって算出されるＣＫとＩＫであってもよい。
【0034】
（多要素認証サーバ２００）
多要素認証サーバ２００は、クラウド型のサーバ装置として動作し、いわゆるＩＤａａＳサービス提供者に運営される装置である。多要素認証サーバ２００は、ユーザ端末１００から受け付けた要求に基づいて、シングルサインオンを実現する。ＩＤａａＳサービス提供者は、通信キャリア事業者等を含む。
多要素認証サーバ２００は、クラウド型のサーバ装置として動作し、いわゆるＩＤａａＳサービス提供者に運営される装置である。多要素認証サーバ２００は、ユーザ端末１００から受け付けた要求に基づいて、シングルサインオンを実現する。ＩＤａａＳサービス提供者は、通信キャリア事業者等を含む。
【0035】
多要素認証サーバ２００は、クラウドサービス４へのシングルサインオンサービスを利用するユーザを識別するためのユーザＩＤと、ユーザＩＤに対応するパスワードなどの、そのユーザＩＤのユーザしか有さない要素情報の組み合わせを登録している。多要素認証サーバ２００は、ユーザ端末１００からユーザＩＤと要素情報とを取得すると、取得したユーザＩＤと、要素情報との組み合わせが正しいか判定する。さらに多要素認証サーバ２００は、認証サーバ３００が保持する共通暗号鍵（暗号鍵１）と、ユーザ端末１００が保持する所持情報としての共通暗号鍵（暗号鍵２）とを使用して、ユーザ端末１００を認証する。
【0036】
共通暗号鍵が、ＡＫＡ認証によって算出されたＣＫと、ＩＫの場合、多要素認証サーバ２００は、ユーザの所持情報としてのＣＫ／ＩＫと、パスワードなどの要素情報を合わせてユーザの認証を行う。
【0037】
（認証サーバ３００）
認証サーバ３００は、通信キャリア事業者によって運営されており、ユーザ端末１００との間で共通暗号鍵を共有する。例えば、認証サーバ３００は、ユーザ端末１００との間でＡＫＡ認証を行い、認証が許可されたユーザ端末１００を登録するとともに、ユーザ端末１００と共通暗号鍵を共有する。認証サーバ３００は、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバとして機能してもよい。
認証サーバ３００は、通信キャリア事業者によって運営されており、ユーザ端末１００との間で共通暗号鍵を共有する。例えば、認証サーバ３００は、ユーザ端末１００との間でＡＫＡ認証を行い、認証が許可されたユーザ端末１００を登録するとともに、ユーザ端末１００と共通暗号鍵を共有する。認証サーバ３００は、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバとして機能してもよい。
【0038】
【0039】
（ユーザ端末１００）
ユーザ端末１００は図２に示すように、プロセッサ１０２と、メモリ１０４と、ストレージ１０６と、通信インターフェイス（ＩＦ）１０８と、入出力インターフェイス（ＩＦ）１１０と、ＳＩＭ１１２とを備えるコンピュータ装置として実現することができる。ユーザ端末１００が備えるこれらの構成は、バス１１４によって互いに電気的に接続される。ユーザ端末１００は、不図示のディスプレイを備えてもよい。ユーザ端末１００のハードウェア構成は、図に示した各装置を１つまたは複数含むように構成されてもよいし、一部の装置を含まずに構成されてもよい。
ユーザ端末１００は図２に示すように、プロセッサ１０２と、メモリ１０４と、ストレージ１０６と、通信インターフェイス（ＩＦ）１０８と、入出力インターフェイス（ＩＦ）１１０と、ＳＩＭ１１２とを備えるコンピュータ装置として実現することができる。ユーザ端末１００が備えるこれらの構成は、バス１１４によって互いに電気的に接続される。ユーザ端末１００は、不図示のディスプレイを備えてもよい。ユーザ端末１００のハードウェア構成は、図に示した各装置を１つまたは複数含むように構成されてもよいし、一部の装置を含まずに構成されてもよい。
【0040】
ＳＩＭ（subscriber identity module）１１２は、上述したようにユーザ端末１００を認証する際に利用可能な各種情報を記録するチップである。なお、ＳＩＭ１１２は、通信サービスの変更のために差し替えの必要なカード（いわゆるＳＩＭカード）であってもよいし、オンラインで通信サービスを変更できるｅＳＩＭ（embedded SIM）でもよい。
【0041】
（多要素認証サーバ２００）
多要素認証サーバ２００は図３に示すように、プロセッサ２０２と、メモリ２０４と、ストレージ２０６と、通信インターフェイス（ＩＦ）２０８とを備えるコンピュータ装置として実現することができる。多要素認証サーバ２００が備えるこれらの構成は、バス２１４によって互いに電気的に接続される。多要素認証サーバ２００のハードウェア構成は、図に示した各装置を１つまたは複数含むように構成されてもよいし、一部の装置を含まずに構成されてもよい。
多要素認証サーバ２００は図３に示すように、プロセッサ２０２と、メモリ２０４と、ストレージ２０６と、通信インターフェイス（ＩＦ）２０８とを備えるコンピュータ装置として実現することができる。多要素認証サーバ２００が備えるこれらの構成は、バス２１４によって互いに電気的に接続される。多要素認証サーバ２００のハードウェア構成は、図に示した各装置を１つまたは複数含むように構成されてもよいし、一部の装置を含まずに構成されてもよい。
【0042】
（認証サーバ３００）
図１に示す認証サーバ３００は、多要素認証サーバ２００と同様に構成され、ここでは認証サーバ３００のハードウェア構成の図示は割愛する。認証サーバ３００は、プロセッサ３０２と、メモリ３０４と、ストレージ３０６と、通信インターフェイス（ＩＦ）３０８とを備えるコンピュータ装置として実現することができる。認証サーバ３００が備えるこれらの構成は、バス３１４によって互いに電気的に接続される。
図１に示す認証サーバ３００は、多要素認証サーバ２００と同様に構成され、ここでは認証サーバ３００のハードウェア構成の図示は割愛する。認証サーバ３００は、プロセッサ３０２と、メモリ３０４と、ストレージ３０６と、通信インターフェイス（ＩＦ）３０８とを備えるコンピュータ装置として実現することができる。認証サーバ３００が備えるこれらの構成は、バス３１４によって互いに電気的に接続される。
【0043】
次に、ユーザ端末１００と、多要素認証サーバ２００と、認証サーバ３００に共通するハードウェア構成を説明する。
【0044】
プロセッサ１０２、２０２、３０２は、それぞれ、ユーザ端末１００と、多要素認証サーバ２００と、認証サーバ３００との全体の動作を制御する。プロセッサ１０２、２０２、３０２は、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、およびＧＰＵ（Graphics Processing Unit）を含むことができる。プロセッサ１０２、２０２、３０２は、それぞれ、後述するストレージ１０６、２０６、３０６からプログラムを読み出す。そして、プロセッサ１０２、２０２、３０２は、それぞれ、読み出したプログラムを、後述するメモリ１０４、２０４、３０４に展開する。プロセッサ１０２、２０２、３０２は、展開したプログラムを実行する。一例として、プロセッサ１０２は、ユーザ端末１００に与えられる信号に基づいて、あるいは、予め定められた条件が成立したことに基づいて、メモリ１０４に展開したプログラムに含まれる一連の命令を実行する。プロセッサ２０２、３０２もプロセッサ１０２と同様に、メモリに展開したプログラムに含まれる一連の命令を実行する。
【0045】
メモリ１０４、２０４、３０４は主記憶装置である。メモリ１０４、２０４、３０４は、ＲＯＭ（Read Only Memory）およびＲＡＭ（Random Access Memory）等の記憶装置で構成される。一例として、メモリ１０４は、プロセッサ１０２が後述するストレージ１０６から読み出したプログラムおよび各種データを一時的に記憶することにより、プロセッサ１０２に作業領域を提供する。メモリ２０４、３０４もメモリ１０４と同様に、ストレージ２０６、３０６から読み出したプログラムおよび各種データを一時的に記憶することにより、プロセッサに作業領域を提供する。メモリ１０４、２０４、３０４には、少なくともオペレーティングシステムが格納されている。オペレーティングシステムは、ユーザ端末１００、多要素認証サーバ２００、認証サーバ３００の全体的な動作を制御するためのコンピュータプログラムである。
【0046】
ストレージ１０６、２０６、３０６は補助記憶装置である。ストレージ１０６、２０６、３０６は、プログラムおよびデータを永続的に保持する。ストレージ１０６、２０６、３０６は、例えば、不揮発性半導体メモリ、ハードディスク装置、フラッシュメモリ等の不揮発性記憶装置として実現される。ストレージ１０６、２０６、３０６には、例えば、他のコンピュータや端末との通信を実現するためのプログラム等が格納される。
【0047】
通信ＩＦ１０８、２０８、３０８は、それぞれ、ユーザ端末１００、多要素認証サーバ２００、および認証サーバ３００における各種データの送受信を制御する。通信ＩＦ１０８、２０８は、無線ＬＡＮ、無線ＷＡＮ、携帯電話回線網を介したインターネット通信等を用いた無線通信を制御する。また、通信ＩＦ１０８は多要素認証サーバ２００との間で例えば、ＬＡＮ（Local Area Network）、ＷＡＮなどのＩＰ（Internet Protocol）を介する通信等を制御してもよい。通信ＩＦ３０８は、通信キャリア網を介した通信を制御する。通信ＩＦ３０８は、所定の通信プロトコルに従って多要素認証サーバ２００と認証サーバ３００との間でデータを送受信するように構成される。
【0048】
入出力インターフェイス（ＩＦ）１１０は、ユーザ端末１００がデータの入力を受け付けるため、また、データを出力するためのインターフェイスである。入出力ＩＦ１１０は、ＵＳＢ（Universal Serial Bus）等を介してデータの入出力を行ってもよい。入出力ＩＦ１１０と接続される入力装置は、物理ボタン、カメラ、マイク、マウス、キーボード、スティック、レバー、タッチパネル、指紋読み取りセンサ、静脈センサなどを含み得る。入出力ＩＦ１１０と接続される出力装置は、ディスプレイ、スピーカなどを含み得る。
【0049】
【0050】
（ユーザ端末１００）
ユーザ端末１００は、ユーザによる要素情報の入力を受け付ける機能と、共通暗号鍵を取得する機能と、各種サーバとの間で情報を送受する機能とを備える。ユーザ端末１００は、主たる構成要素として、制御部１３０と、記憶部１５０とを備える。制御部１３０は、ユーザ端末１００に与えられる信号に基づいて、あるいは、予め定められた条件が成立したことに基づいて、記憶部１５０に格納されているプログラム（不図示）に含まれる一連の命令を実行する。ユーザ端末１００は、プロセッサ１０２、メモリ１０４、ストレージ１０６、通信ＩＦ１０８（図２）等の協働によって、制御部１３０および記憶部１５０として機能する。
ユーザ端末１００は、ユーザによる要素情報の入力を受け付ける機能と、共通暗号鍵を取得する機能と、各種サーバとの間で情報を送受する機能とを備える。ユーザ端末１００は、主たる構成要素として、制御部１３０と、記憶部１５０とを備える。制御部１３０は、ユーザ端末１００に与えられる信号に基づいて、あるいは、予め定められた条件が成立したことに基づいて、記憶部１５０に格納されているプログラム（不図示）に含まれる一連の命令を実行する。ユーザ端末１００は、プロセッサ１０２、メモリ１０４、ストレージ１０６、通信ＩＦ１０８（図２）等の協働によって、制御部１３０および記憶部１５０として機能する。
【0051】
制御部１３０は、プログラムの記述に応じて、操作受付部１３１、取得/送信部１３２、進行部１３３として機能する。制御部１３０は、実行されるアプリケーションの性質に応じて、図示しないその他の機能ブロックとしても機能することができる。
【0052】
操作受付部１３１は、ディスプレイ（不図示）に表示された各種アプリケーション画面に応じて入力される、ユーザの操作入力を受け付けする。操作受付部１３１は、ユーザによるシングルサインオンのためのユーザＩＤと、要素情報の入力を受け付ける。要素情報は、パスワードの場合、ユーザ端末１００の物理ボタン、キーボード、あるいはタッチパネルなどにより入力される。要素情報は、指紋情報の場合、ユーザ端末１００の指紋読み取りセンサにより入力され、声紋情報の場合、ユーザ端末１００のマイクにより入力され、顔情報の場合、ユーザ端末１００のカメラにより入力される。
【0053】
取得/送信部１３２は、多要素認証サーバ２００から受信した各種データ（例えば、加入者ＩＤ）に基づいて、ユーザ端末１００側の共通暗号鍵を取得し、多要素認証サーバ２００へ送信する。
【0054】
加入者ＩＤは、加入者に固有のＩＤであり、通信キャリア事業者のネットワークに接続するために利用される。加入者ＩＤは、例えば、ＩＭＳＩ（International Mobile Subscriber Identity）である。ＩＭＳＩは通信キャリア事業者のネットワークに接続するための認証に使われる。ＩＭＳＩの最初の３桁が国番号（ＭＣＣ）で日本は「440」、続く2～3桁が事業者番号（ＭＮＣ）、残りの最大１０桁が加入者識別コード（ＭＳＩＮ）となる。加入者ＩＤは、ＭＳＩＳＤＮ（Mobile Subscriber Integrated Service Digital Network Number）やＩＣＣＩＤ（Integrated Circuit Card ID）であってもよい。１つのユーザＩＤには少なくとも１つの加入者ＩＤが関連付けられる。
【0055】
進行部１３３は、ユーザ端末１００の動作の全体を制御する。進行部１３３は、ユーザ端末１００が認証サーバ３００により認証（例えばＡＫＡ認証）されると、認証サーバ３００と共通する共通暗号鍵を記憶部１５０にあらかじめ格納しておく。また、進行部１３３は、多要素認証サーバ２００によりクラウドサービス４（図１）へのシングルサインオンの認証が許可されると、各種クラウドサービス４との通信を可能にする。
【0056】
（多要素認証サーバ２００）
多要素認証サーバ２００は、ユーザ端末１００から受信した要素情報と、ユーザのシングルサインオンのためのユーザＩＤとの組み合わせが正しいかを判定する機能と、ユーザ端末１００から受信した共通暗号鍵と、認証サーバ３００から受信した共通暗号鍵とを照合する機能とを備える。ユーザ端末１００から受信する要素情報は、パスワードなどの知識情報、ユーザの指紋、静脈情報、声紋、顔などの生体情報のうち少なくとも一つを含む。
多要素認証サーバ２００は、ユーザ端末１００から受信した要素情報と、ユーザのシングルサインオンのためのユーザＩＤとの組み合わせが正しいかを判定する機能と、ユーザ端末１００から受信した共通暗号鍵と、認証サーバ３００から受信した共通暗号鍵とを照合する機能とを備える。ユーザ端末１００から受信する要素情報は、パスワードなどの知識情報、ユーザの指紋、静脈情報、声紋、顔などの生体情報のうち少なくとも一つを含む。
【0057】
多要素認証サーバ２００は、主たる構成要素として、制御部２３０と、記憶部２５０とを備える。制御部２３０は、多要素認証サーバ２００に与えられる信号に基づいて、あるいは、予め定められた条件が成立したことに基づいて、記憶部２５０に格納されているプログラム（不図示）に含まれる一連の命令を実行する。多要素認証サーバ２００は、プロセッサ２０２、メモリ２０４、ストレージ２０６、通信ＩＦ２０８、および入出力ＩＦ２１０等の協働によって、制御部２３０および記憶部２５０として機能する。
【0058】
制御部２３０は、プログラムの記述に応じて、判定部２３１と、要求部２３２と、紐付部２３３と、照合部２３５として機能する。制御部４３０は、実行されるアプリケーションの性質に応じて、図示しないその他の機能ブロックとしても機能することができる。
【0059】
判定部２３１は、ユーザ端末１００より取得した要素情報と、ユーザＩＤとの組み合わせが正しいか判定する。また、判定部２３１は、ユーザ端末１００より取得したユーザＩＤに対応する加入者ＩＤを、ユーザ管理ファイル２５１から抽出する。ユーザ管理ファイル２５１の詳細は後述する。
【0060】
要求部２３２は、抽出した加入者ＩＤに基づいて、ユーザ端末１００あるいは、認証サーバ３００へ共通暗号鍵の要求を行う。また、要求部２３２は、ユーザ端末１００、あるいは認証サーバ３００から取得した共通暗号鍵などの各種情報を取得し、記憶部２５０に格納する。
【0061】
紐付部２３３は、認証サーバ３００の保持する共通暗号鍵を取得し、加入者ＩＤと関連付ける。あるいは、紐付部２３３は、ユーザ端末１００の保持する共通暗号鍵を取得し、加入者ＩＤと関連付ける。
【0062】
照合部２３４は、ユーザ端末１００の保持する共通暗号鍵と、認証サーバ３００の保持する共通暗号鍵とを照合し、両者が同じであれば、ユーザ端末１００へ認証済みであることの通知をユーザ端末１００へ送信する。
【0063】
（認証サーバ３００）
認証サーバ３００は、多要素認証サーバ２００からの要求に応じて、認証サーバ３００の保持する共通暗号鍵を多要素認証サーバ２００へ送信する機能を備える。認証サーバ３００は、あらかじめ、ＡＫＡ認証などで認証したユーザ端末１００とのあいだで共通暗号鍵を共有しておく。
認証サーバ３００は、多要素認証サーバ２００からの要求に応じて、認証サーバ３００の保持する共通暗号鍵を多要素認証サーバ２００へ送信する機能を備える。認証サーバ３００は、あらかじめ、ＡＫＡ認証などで認証したユーザ端末１００とのあいだで共通暗号鍵を共有しておく。
【0064】
認証サーバ３００は、主たる構成要素として、制御部３３０と、記憶部３５０とを備える。制御部３３０は、認証サーバ３００に与えられる信号に基づいて、あるいは、予め定められた条件が成立したことに基づいて、記憶部３５０に格納されているプログラム（不図示）に含まれる一連の命令を実行する。認証サーバ３００は、プロセッサ３０２、メモリ３０４、ストレージ３０６、および通信ＩＦ３０８等の協働によって、制御部３３０および記憶部３５０として機能する。
【0065】
制御部３３０は、プログラムの記述に応じて、取得／送信部３３１として機能する。制御部３３０は、実行されるアプリケーションの性質に応じて、図示しないその他の機能ブロックとしても機能することができる。
【0066】
取得／送信部３３１は、多要素認証サーバ２００からの共通暗号鍵の要求に応じて、認証サーバ３００の記憶部３５０に格納される共通暗号鍵ファイル３５１から、加入者ＩＤに対応する認証サーバ３００の共通暗号鍵を抽出し、多要素認証サーバ２００へ送信する。共通暗号鍵ファイル３５１の詳細は後述する。
【0067】
（各装置の記憶部が格納するデータ）
また、図４は、ユーザ端末１００と、多要素認証サーバ２００と、認証サーバ３００との記憶部に格納されるデータファイルの例を示す。
また、図４は、ユーザ端末１００と、多要素認証サーバ２００と、認証サーバ３００との記憶部に格納されるデータファイルの例を示す。
【0068】
（記憶部１５０）
記憶部１５０は、共通暗号鍵を取得するための暗号鍵取得アプリケーションプログラム１５１（以下、「暗号鍵取得アプリ」という）と、ユーザ端末のＳＩＭ１１２に格納されている加入者ファイル１５２とを格納する。図７は加入者ファイル１５２のデータ構造の一例である。加入者ファイル１５２は、シングルサインオンのアカウント識別のためのユーザＩＤと、これに関連付けられるユーザ情報を含む。ユーザ情報は、少なくとも、加入者ＩＤと、共通暗号鍵とを含む。ユーザ情報は、ユーザ管理情報（ユーザの名前、住所、電話番号など）を含んでもよい。加入者ファイル１５２は、ＡＫＡ認証などの認証アルゴリズムを格納してもよい。加入者ファイル１５２は、暗号鍵取得アプリ１５１が共通暗号鍵を取得した後は、認証サーバ３００と共有する共通暗号鍵を含む。
記憶部１５０は、共通暗号鍵を取得するための暗号鍵取得アプリケーションプログラム１５１（以下、「暗号鍵取得アプリ」という）と、ユーザ端末のＳＩＭ１１２に格納されている加入者ファイル１５２とを格納する。図７は加入者ファイル１５２のデータ構造の一例である。加入者ファイル１５２は、シングルサインオンのアカウント識別のためのユーザＩＤと、これに関連付けられるユーザ情報を含む。ユーザ情報は、少なくとも、加入者ＩＤと、共通暗号鍵とを含む。ユーザ情報は、ユーザ管理情報（ユーザの名前、住所、電話番号など）を含んでもよい。加入者ファイル１５２は、ＡＫＡ認証などの認証アルゴリズムを格納してもよい。加入者ファイル１５２は、暗号鍵取得アプリ１５１が共通暗号鍵を取得した後は、認証サーバ３００と共有する共通暗号鍵を含む。
【0069】
ユーザＩＤは、多要素認証サーバ２００によるユーザ毎のシングルサインオンのアカウントを識別するＩＤである。ユーザＩＤは、シングルサインオンを提供するサービス提供者によって付与される。
【0070】
加入者ＩＤは、加入者（ＳＩＭカード）ごとに固有のＩＤであり、通信キャリア事業者のネットワークに接続するために利用される。一のユーザが複数の契約を結ぶと、契約毎に個別の加入者ＩＤが通信キャリア事業者によって付与される。
【0071】
暗号鍵取得アプリ１５１は、多要素認証サーバ２００からのプッシュ通知、あるいはユーザによるユーザＩＤの入力に応じて起動する。暗号鍵取得アプリ１５１は、ユーザからの直接の入力を受け付けるインターフェイスを提供しないよう構成することができる。
【0072】
（記憶部２５０）
記憶部２５０は、ユーザ管理ファイル２５１を格納する。図８はユーザ管理ファイル２５１のデータ構造の一例である。ユーザ管理ファイル２５１は、ＩＤａａＳサービス提供者によって管理されており、シングルサインオンのためのユーザＩＤと、これに関連付けられたユーザのパスワードなどの要素情報と、加入者ＩＤとを格納する。図示するように、要素情報は、パスワードに限られず、ユーザの声紋情報、指紋情報などであってもよい。多要素認証サーバ２００は、ユーザ管理ファイル２５１により、ユーザが利用するシングルサインオンのアカウントを識別するユーザＩＤと、加入者ＩＤとを連携する。図８の例では、１つのユーザＩＤに１つの要素情報が関連付けられているが、複数の要素情報が関連付けられていてもよい。
記憶部２５０は、ユーザ管理ファイル２５１を格納する。図８はユーザ管理ファイル２５１のデータ構造の一例である。ユーザ管理ファイル２５１は、ＩＤａａＳサービス提供者によって管理されており、シングルサインオンのためのユーザＩＤと、これに関連付けられたユーザのパスワードなどの要素情報と、加入者ＩＤとを格納する。図示するように、要素情報は、パスワードに限られず、ユーザの声紋情報、指紋情報などであってもよい。多要素認証サーバ２００は、ユーザ管理ファイル２５１により、ユーザが利用するシングルサインオンのアカウントを識別するユーザＩＤと、加入者ＩＤとを連携する。図８の例では、１つのユーザＩＤに１つの要素情報が関連付けられているが、複数の要素情報が関連付けられていてもよい。
【0073】
（記憶部３５０）
記憶部３５０は、共通暗号鍵ファイル３５１を格納する。図９は共通暗号鍵ファイル３５１のデータ構造の一例である。共通暗号鍵ファイル３５１は、通信キャリア事業者によって管理され、認証が許可されたユーザ端末の加入者ＩＤと、加入者ＩＤに対応する固有の共通暗号鍵を格納する。
記憶部３５０は、共通暗号鍵ファイル３５１を格納する。図９は共通暗号鍵ファイル３５１のデータ構造の一例である。共通暗号鍵ファイル３５１は、通信キャリア事業者によって管理され、認証が許可されたユーザ端末の加入者ＩＤと、加入者ＩＤに対応する固有の共通暗号鍵を格納する。
【0074】
（第一実施形態）
図５は、本開示の一実施形態に従うシステム１０において実行される処理の例を示す。処理に先立ち、ユーザ端末１００と、認証サーバ３００との間で、ユーザ端末１００が認証サーバ３００で認証（例えばＡＫＡ認証）されており、ユーザ端末１００は認証サーバ３００に登録されているものとする。また、ユーザ端末１００と認証サーバ３００との間で共通暗号鍵（例えばＣＫ／ＩＫ）を共有しているものとする。
図５は、本開示の一実施形態に従うシステム１０において実行される処理の例を示す。処理に先立ち、ユーザ端末１００と、認証サーバ３００との間で、ユーザ端末１００が認証サーバ３００で認証（例えばＡＫＡ認証）されており、ユーザ端末１００は認証サーバ３００に登録されているものとする。また、ユーザ端末１００と認証サーバ３００との間で共通暗号鍵（例えばＣＫ／ＩＫ）を共有しているものとする。
【0075】
ステップＳ５０２において、ユーザ端末１００（操作受付部１３１）は、ユーザのＩＤと、ユーザの要素情報の入力を受け付ける。ユーザの要素情報は、パスワードや、ユーザの生体認証情報を含む。ユーザ端末１００（操作受付部１３１）は、入力されたユーザのＩＤと、ユーザ要素情報とを、多要素認証サーバ２００に送信する。ユーザ要素情報は、パスワードに限られず、ユーザの指紋や、顔、声紋などの生体情報であってもよい。
【0076】
ステップＳ５０４において、多要素認証サーバ２００（判定部２３１）は要素情報とユーザＩＤを取得し、記憶部２５０にあらかじめ登録されているユーザ管理ファイル２５１を参照して、これらの組み合わせが正しいか否か判定する。組み合わせが正しい場合に、ユーザ管理ファイル２５１を参照し、取得したユーザＩＤに対応する加入者ＩＤを取得する。
【0077】
ステップＳ５０６において、多要素認証サーバ２００（要求部２３２）は、認証サーバ３００へ、ステップＳ５０４にて取得した加入者ＩＤに基づいて、認証サーバ３００へ共通暗号鍵の問い合わせを行う。
【0078】
次に、ステップＳ５０８において、認証サーバ３００（取得／送信部３３１）は、取得した加入者ＩＤに対応する共通暗号鍵（暗号鍵１）を、記憶部３５０に格納されている共通暗号鍵ファイル３５１から読み出し、多要素認証サーバ２００へ送信する。なお、認証サーバ３００は、共通暗号鍵をＨＡＳＨ関数などで暗号化して多要素認証サーバ２００へ送信するようにしてもよい。
【0079】
次に、ステップＳ５１０において、多要素認証サーバ２００（紐付部２３３）は、ステップＳ５０４にて取得した加入者ＩＤと、認証サーバ３００から取得した共通暗号鍵（暗号鍵１）とを関連付け、記憶部２５０に格納する。共通暗号鍵が暗号化されている場合は、多要素認証サーバ２００（紐付部２３３）は、共通暗号鍵を復号化した後に、加入者ＩＤと共通暗号鍵とを関連付ける。また、多要素認証サーバ２００（紐付部２３３）は、認証サーバ３００の共通暗号鍵を関連付けた加入者ＩＤに対応するユーザ端末１００へ、プッシュで共通暗号鍵を要求する通知を送信する。
【0080】
次に、ステップＳ５１２において、ユーザ端末１００（取得／送信部１３２）は、多要素認証サーバ２００からプッシュ通知を受信すると、記憶部１５０に格納されている暗号鍵取得アプリ１５１を起動する。暗号鍵取得アプリ１５１は実行されると、ユーザ端末１００の記憶部１５０の加入者ファイル１５２にあらかじめ格納されている共通暗号鍵（暗号鍵２）を取得し、加入者ＩＤと共に多要素認証サーバ２００へ送信する。なお、ユーザ端末１００は、共通暗号鍵をＨＡＳＨ関数などで暗号化して多要素認証サーバ２００へ送信するようにしてもよい。
【0081】
本開示において、多要素認証サーバ２００からのプッシュ通知は、ユーザ端末１００のディスプレイに表示されなくてよい。ユーザ端末１００に対するユーザによる共通暗号鍵取得のための操作がなくとも、ユーザ端末１００（暗号鍵取得アプリ１５１）は、ユーザ端末１００の共通暗号鍵を取得し、取得した共通暗号鍵（暗号鍵２）を、多要素認証サーバ２００へ送信する。ユーザ端末１００が、自動で共通暗号鍵の送信を行うため、ユーザは、暗号鍵の要求を受けていることや、暗号鍵取得アプリ１５１を起動することや、共通暗号鍵を送信することを意識しなくてもよい。
【0082】
次に、ステップＳ５１４において、多要素認証サーバ２００（照合部２３４）は、ユーザ端末から受信した共通暗号鍵（暗号鍵２）と、認証サーバ３００から受信した共通暗号鍵（暗号鍵１）とを照合する。ユーザ端末１００からの共通暗号鍵（暗号鍵２）が暗号化されている場合は、多要素認証サーバ２００（紐付部２３３）は、この共通暗号鍵（暗号鍵２）を復号化した後に、認証サーバ３００からの共通暗号鍵（暗号鍵１）と照合する。両者が一致する場合に、接続してきたユーザ端末１００が正しいと判定し、多要素認証サーバ２００は、両者が一致する通知をユーザ端末１００へ送信する。
【0083】
本開示によると、ユーザの要素情報だけではなく、この認証につかった端末自体も所持情報により認証している。つまり、ユーザ端末１００の所持情報である共通暗号鍵による認証とその他の要素情報による認証とを同時に実施する。これにより単体の要素情報の認証よりも、ユーザ認証の安全性を高めることができる。
【0084】
また、本開示によると、所持情報としての共通暗号鍵（例えばＣＫ／ＩＫ）は、ユーザ端末１００および認証サーバ３００から、ユーザによる操作なくともそれぞれ自動で取得され、多要素認証サーバ２００において両者が一致するか照合する。このため、ユーザは１つの要素情報（知識情報、生体情報）を入力するだけで、入力された要素情報に加えて所持情報を含めた２要素認証をすることができる。その結果、ユーザにとって認証のための処理を簡便にすることができる。ユーザは、共通暗号鍵の管理、更新を意識しなくてもよい。
【0085】
また、本開示によると、ユーザ端末１００の認証にＡＫＡ認証により得られるＣＫ／ＩＫを用いることができる。このＣＫ／ＩＫは秘匿性が高く、ユーザ端末側で変更することはできないため、ユーザ認証にＣＫ／ＩＫを利用することで強固なセキュリティを確立することができる。
【0086】
次に、ステップＳ５１６において、ユーザ端末１００（進行部１３３）は共通暗号鍵が一致する通知を多要素認証サーバ２００から受信する。ユーザ端末１００は通知を受信すると、多要素認証サーバ２００により認証済みのユーザ端末１００として、各種クラウドサービス４にアクセスすることができる。
【0087】
具体的には、ユーザ端末１００がクラウドサービス４にアクセスしたことの通知を受信すると、多要素認証サーバ２００は、ユーザ端末１００が認証済みである旨をクラウドサービス４に通知する。これによりユーザはクラウドサービス毎に異なるＩＤやパスワードを入力することなく、クラウドサービス４を利用することができる。
【0088】
あるいは、ユーザ端末１００がクラウドサービス４にアクセスしたことの通知を受信すると、多要素認証サーバ２００は、ユーザ端末１００の代わりに、ユーザＩＤに対応するクラウドサービス４のＩＤと、クラウドサービス４のパスワードを参照し、これらをクラウドサービス４に入力してもよい。この場合、多要素認証サーバ２００は、あらかじめユーザが利用する各種クラウドサービス４のＩＤ・パスワードと、ユーザの利用するシングルサインオンのユーザＩＤとを連携して管理しておく。
【0089】
なお、図５に示す処理は例示的なものにすぎず、その順序が変更されてもよく、処理が追加されてもよい。
【0090】
（第二実施形態）
図６は本開示の第二実施形態に係るシステムにおいて実行される処理の例を示す。図６による処理では、図５と異なり、認証サーバ３００による共通暗号鍵を取得する前に、ユーザ端末１００からの共通暗号鍵を取得する。以下、図６を用いて、本開示の第二の実施形態に係るシステム１０における処理の流れについて説明する。処理に先立ち、ユーザ端末１００と、認証サーバ３００との間で認証（例えばＡＫＡ認証）が行われており、両者の間で共通暗号鍵が共有されているものとする。認証サーバ３００により認証が許可されたユーザ端末１００は認証サーバ３００に登録されている。
図６は本開示の第二実施形態に係るシステムにおいて実行される処理の例を示す。図６による処理では、図５と異なり、認証サーバ３００による共通暗号鍵を取得する前に、ユーザ端末１００からの共通暗号鍵を取得する。以下、図６を用いて、本開示の第二の実施形態に係るシステム１０における処理の流れについて説明する。処理に先立ち、ユーザ端末１００と、認証サーバ３００との間で認証（例えばＡＫＡ認証）が行われており、両者の間で共通暗号鍵が共有されているものとする。認証サーバ３００により認証が許可されたユーザ端末１００は認証サーバ３００に登録されている。
【0091】
ステップＳ６０２は、上述のステップＳ５０２と同様の処理であり、重複する説明は割愛する。さらに、ステップＳ６０２において、ユーザ端末１００（操作受付部１３１）は、ユーザによるユーザＩＤと、要素情報の入力を受け付けると、記憶部１５０に格納されている暗号鍵取得アプリ１５１を起動する。
【0092】
ステップＳ６０４において、多要素認証サーバ２００（判定部２３１）は、要素情報とユーザＩＤを取得し、記憶部２５０にあらかじめ登録されているユーザ管理ファイル２５１を参照し、要素情報とユーザＩＤの組み合わせが正しいと判定した場合に、ユーザ端末１００へ判定結果を送信する。
【0093】
ステップＳ６０６において、要素情報とユーザＩＤの組み合わせが正しいとの判定結果を受信すると、暗号鍵取得アプリ１５１は、ユーザ端末１００の記憶部１５０の加入者ファイル１５２にあらかじめ格納されている共通暗号鍵（暗号鍵２）を取得する。ユーザ端末１００（取得／送信部１３２）は、加入者ファイル１５２からユーザＩＤに対応する加入者ＩＤを取得し、暗号鍵取得アプリ１５１が取得した共通暗号鍵（暗号鍵２）を、加入者ＩＤと共に多要素認証サーバ２００へ送信する。なお、ユーザ端末１００は、共通暗号鍵をＨＡＳＨ関数などで暗号化して多要素認証サーバ２００へ送信するようにしてもよい。
【0094】
次にステップＳ６０８において、多要素認証サーバ２００（紐付部２３３）は、ステップＳ６０２にてユーザ端末１００から取得した加入者ＩＤと、ユーザ端末１００から取得した共通暗号鍵（暗号鍵２）とを関連付け、記憶部２５０に格納する。
【0095】
次に、ステップＳ６１０において、多要素認証サーバ２００（要求部２３２）は、認証サーバ３００へ、ステップＳ６０８にて取得した加入者ＩＤに基づいて、認証サーバ３００へ共通暗号鍵の問い合わせを行う。
【0096】
次に、ステップＳ６１２において、認証サーバ３００（取得／送信部３３１）は、取得した加入者ＩＤに対応する共通暗号鍵（暗号鍵１）を、記憶部３５０に格納されている共通暗号鍵ファイル３５１から読み出し、多要素認証サーバ２００へ送信する。なお、認証サーバ３００は、共通暗号鍵をＨＡＳＨ関数などで暗号化して多要素認証サーバ２００へ送信するようにしてもよい。
【0097】
次に、ステップＳ６１４において、多要素認証サーバ２００（照合部２３４）は、ユーザ端末から受信した共通暗号鍵（暗号鍵２）と、認証サーバ３００から受信した共通暗号鍵（暗号鍵１）とを照合する。両者が一致する場合に、接続してきたユーザ端末１００が正しいと判定し、多要素認証サーバ２００は、両者が一致する通知をユーザ端末１００へ送信する。
【0098】
次に、ステップＳ６１６において、ユーザ端末１００（進行部１３３）は共通暗号鍵が一致する通知を多要素認証サーバ２００から受信すると、多要素認証サーバ２００により認証済みのユーザ端末１００として、各種クラウドサービス４にアクセスすることができる。
【0099】
また、本開示の別の実施形態では、シングルサインオンのためのサービスにログインする際に、多要素認証サーバ２００側ではなく、ユーザ端末１００側でユーザＩＤと、指紋などの要素情報の組み合わせが正しいかを判定してもよい。あらかじめ、ユーザ端末１００は、ユーザＩＤと、指紋などの要素情報の正しい組み合わせとを、加入者ファイル１５２に格納しておく。ユーザ端末１００（操作受付部１３１）は、ユーザＩＤと要素情報の入力を受け付けし、ユーザＩＤと要素情報の組み合わせが正しいかを判定し、組み合わせが正しいと判定したユーザＩＤを、多要素認証サーバ２００へ送信する。次に、多要素認証サーバ２００は、記憶部２５０にあらかじめ登録されているユーザ管理ファイル２５１から、ユーザＩＤに対応する加入者ＩＤを取得する。多要素認証サーバ２００側で、要素情報とユーザＩＤの組み合わせが正しいか否か判定することはない。その後のステップは、図５のステップＳ５０６に続くステップＳ５１６までと同じである。
【0100】
本開示の実施形態を説明したが、これらが例示にすぎず、本開示の範囲を限定するものではないことは理解されるべきである。本開示の趣旨および範囲から逸脱することなく、実施形態の変更、追加、改良等を適宜行うことができることが理解されるべきである。本開示の範囲は、上述した実施形態のいずれによっても限定されるべきではなく、特許請求の範囲およびその均等物によってのみ規定されるべきである。
【符号の説明】
【0101】
４…クラウドサービス
６…ネットワーク
１０…システム
１００…ユーザ端末
２００…多要素認証サーバ
３００…認証サーバ
６…ネットワーク
１０…システム
１００…ユーザ端末
２００…多要素認証サーバ
３００…認証サーバ
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
