▶ コニカ ミノルタ ビジネス ソリューションズ ユー．エス．エー．， インコーポレイテッドの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024046644
(43)【公開日】2024-04-03
(54)【発明の名称】認証の方法及びシステム
(51)【国際特許分類】
G06F 21/41 20130101AFI20240327BHJP
【ＦＩ】
G06F21/41
【審査請求】有
【請求項の数】20
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2023156535
(22)【出願日】2023-09-21
(31)【優先権主張番号】17/950,357
(32)【優先日】2022-09-22
(33)【優先権主張国・地域又は機関】US
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＷＩＮＤＯＷＳ
２．ＨＤＭＩ
(71)【出願人】
【識別番号】519448326
【氏名又は名称】コニカ ミノルタ ビジネス ソリューションズ ユー．エス．エー．， インコーポレイテッド
(74)【代理人】
【識別番号】110001254
【氏名又は名称】弁理士法人光陽国際特許事務所
(72)【発明者】
【氏名】ソリアノ， ランディ クルス
(72)【発明者】
【氏名】バドリ， サブラマンヤム
(57)【要約】 （修正有）
【課題】Ｗｅｂアプリケーションにアクセスするためのユーザー認証方法及びシステムを提供する。
【解決手段】方法は、プロセッサによって、１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信し、プロセッサによって、１つ又は複数のリライングパーティーアプリケーションへのアクセス要求に伴う、ユーザーのユーザー識別子と生体認証識別子を検証し、プロセッサによって、外部の信頼できるソースからユーザーの認証トークンを取得し、プロセッサによって、外部の信頼できるソースから取得されたユーザーの認証トークンを１つ又は複数のリライングパーティーアプリケーションに転送し、プロセッサ上で、１つ又は複数のリライングパーティーアプリケーションから、ユーザーが１つ又は複数のリライングパーティーアプリケーションにアクセスするための認証を受信する。
【選択図】図４
【解決手段】方法は、プロセッサによって、１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信し、プロセッサによって、１つ又は複数のリライングパーティーアプリケーションへのアクセス要求に伴う、ユーザーのユーザー識別子と生体認証識別子を検証し、プロセッサによって、外部の信頼できるソースからユーザーの認証トークンを取得し、プロセッサによって、外部の信頼できるソースから取得されたユーザーの認証トークンを１つ又は複数のリライングパーティーアプリケーションに転送し、プロセッサ上で、１つ又は複数のリライングパーティーアプリケーションから、ユーザーが１つ又は複数のリライングパーティーアプリケーションにアクセスするための認証を受信する。
【選択図】図４
【特許請求の範囲】
【請求項1】
Ｗｅｂアプリケーションにアクセスするためのユーザー認証方法であって、
プロセッサによって、１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信することと、
前記プロセッサによって、前記１つまたは複数のリライングパーティーアプリケーションへのアクセス要求に伴う、前記ユーザーの前記ユーザー識別子と前記生体認証識別子を検証することと、
前記プロセッサによって、外部の信頼できるソースから前記ユーザーの認証トークンを取得することと、
前記プロセッサによって、前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送することと、
前記プロセッサ上で、前記１つまたは複数のリライングパーティーアプリケーションから、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信することと、を備える方法。
プロセッサによって、１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信することと、
前記プロセッサによって、前記１つまたは複数のリライングパーティーアプリケーションへのアクセス要求に伴う、前記ユーザーの前記ユーザー識別子と前記生体認証識別子を検証することと、
前記プロセッサによって、外部の信頼できるソースから前記ユーザーの認証トークンを取得することと、
前記プロセッサによって、前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送することと、
前記プロセッサ上で、前記１つまたは複数のリライングパーティーアプリケーションから、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信することと、を備える方法。
【請求項2】
前記認証トークンが、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするために、常に前記外部の信頼できるソースから取得される、請求項１に記載の方法。
【請求項3】
前記プロセッサがＩＤサービスプロバイダと通信している場合は、前記認証トークンが前記外部の信頼できるソースから取得され、ＩＤサービスプロバイダとは通信していない場合は、前記ＩＤサービスプロバイダが前記認証トークンを提供するよう構成されている、請求項１に記載の方法。
【請求項4】
前記プロセッサによって、前記外部の信頼できるソースの前記認証トークンを、所定の時間経過後または前記ユーザーによる所定回数のログイン後に、更新された認証トークンに置き換えること、を更に備える、請求項１に記載の方法。
【請求項5】
前記外部の信頼できるソースから前記ユーザーの認証トークンを取得できない場合、
前記プロセッサによって、ＩＤサービスプロバイダからの前記ユーザーの更新済み認証トークンを要求することと、
前記プロセッサによって、前記ＩＤサービスプロバイダから前記ユーザーの前記更新済み認証トークンを受信することと、
前記プロセッサによって、前記ユーザーの前記更新済み認証トークンを前記外部の信頼できるソースに転送することと、を更に備える、請求項１に記載の方法。
前記プロセッサによって、ＩＤサービスプロバイダからの前記ユーザーの更新済み認証トークンを要求することと、
前記プロセッサによって、前記ＩＤサービスプロバイダから前記ユーザーの前記更新済み認証トークンを受信することと、
前記プロセッサによって、前記ユーザーの前記更新済み認証トークンを前記外部の信頼できるソースに転送することと、を更に備える、請求項１に記載の方法。
【請求項6】
前記ユーザーの前記認証トークンは、前記プロセッサを伴うコンピュータシステムのユーザーブラウザのキャッシュから取得されない、請求項１に記載の方法。
【請求項7】
前記外部の信頼できるソースは、セキュアコンテナである、請求項１に記載の方法。
【請求項8】
前記セキュアコンテナは、ユニバーサルシリアルバス（ＵＳＢ）デバイス、またはセキュアデジタル（ＳＤ）カードである、請求項６に記載の方法。
【請求項9】
前記外部の信頼できるソースは、セキュア外部ドライブである、請求項１に記載の方法。
【請求項10】
前記プロセッサによって、生体認証装置から前記生体認証識別子を受信することを更に備え、
前記生体認証装置は、センサ、走査装置又は電子リーダの１つまたは複数を含み、前記生体認証識別子は、前記ユーザーの少なくとも１つの生理的特徴であって、前記少なくとも１つの生理的特徴は、指紋、手のひら静脈、顔認識、ＤＮＡ（デオキシリボ核酸）、掌紋、掌形、虹彩認識、網膜および／または臭気／芳香の１つまたは複数から選択される、請求項１に記載の方法。
前記生体認証装置は、センサ、走査装置又は電子リーダの１つまたは複数を含み、前記生体認証識別子は、前記ユーザーの少なくとも１つの生理的特徴であって、前記少なくとも１つの生理的特徴は、指紋、手のひら静脈、顔認識、ＤＮＡ（デオキシリボ核酸）、掌紋、掌形、虹彩認識、網膜および／または臭気／芳香の１つまたは複数から選択される、請求項１に記載の方法。
【請求項11】
前記生体認証装置は、前記処理サーバをホストするよう構成された第２のモバイル装置と通信するよう構成されている第１のモバイル装置である、請求項１０に記載の方法。
【請求項12】
前記プロセッサによって、前記ユーザーの期間設定をするアプリケーションから前記外部の信頼できるソースへの期間設定および前記ユーザーの前記外部の信頼できるソースへのログイン回数のログイン設定の１つまたは複数を取得することであって、前記期間設定または前記ログイン設定が、前記ユーザーの前記期間設定または前記ログイン設定に基づいて、前記外部の信頼できるソースの前記認証トークンの有効性を決定し、
前記期間設定または前記ログイン設定を、前記ユーザーが超過していない場合に、前記プロセッサによって、前記信頼できるソースに前記ユーザーの前記認証トークンを転送することと、を更に備える、請求項１に記載の方法。
前記期間設定または前記ログイン設定を、前記ユーザーが超過していない場合に、前記プロセッサによって、前記信頼できるソースに前記ユーザーの前記認証トークンを転送することと、を更に備える、請求項１に記載の方法。
【請求項13】
前記プロセッサは多機能周辺装置の一部であって、
前記プロセッサによって、前記多機能周辺装置へのアクセスと、前記外部の信頼できるソースからの前記ユーザーの認証トークンを取得及び前記１つまたは複数のリライングパーティーアプリケーションへのアクセスとのための前記ユーザーの多要素認証のため、前記ユーザーから１つまたは複数の追加認証要素を要求すること、を備える、請求項１に記載の方法。
前記プロセッサによって、前記多機能周辺装置へのアクセスと、前記外部の信頼できるソースからの前記ユーザーの認証トークンを取得及び前記１つまたは複数のリライングパーティーアプリケーションへのアクセスとのための前記ユーザーの多要素認証のため、前記ユーザーから１つまたは複数の追加認証要素を要求すること、を備える、請求項１に記載の方法。
【請求項14】
Ｗｅｂアプリケーションにアクセスするためのユーザー認証のコンピュータプログラムプロダクトであって、
その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、
１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信することと、
前記１つまたは複数のリライングパーティーアプリケーションへの前記アクセス要求に伴う、ユーザーの前記ユーザー識別子と前記生体認証識別子を検証することと、
外部の信頼できるソースからユーザーの認証トークンを取得することと、
前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送することと、
前記１つまたは複数のリライングパーティーアプリケーションから、ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信することと、
を備える方法を実行させる、コンピュータプログラムプロダクト。
その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、
１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信することと、
前記１つまたは複数のリライングパーティーアプリケーションへの前記アクセス要求に伴う、ユーザーの前記ユーザー識別子と前記生体認証識別子を検証することと、
外部の信頼できるソースからユーザーの認証トークンを取得することと、
前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送することと、
前記１つまたは複数のリライングパーティーアプリケーションから、ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信することと、
を備える方法を実行させる、コンピュータプログラムプロダクト。
【請求項15】
前記認証トークンが、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするために、常に前記外部の信頼できるソースから取得される、請求項１４に記載のコンピュータプログラムプロダクト。
【請求項16】
前記プロセッサがＩＤサービスプロバイダと通信している場合は、前記認証トークンが前記外部の信頼できるソースから取得され、ＩＤサービスプロバイダとは通信していない場合は、前記ＩＤサービスプロバイダが前記認証トークンを提供するよう構成されている、請求項１４に記載のコンピュータプログラムプロダクト。
【請求項17】
前記外部の信頼できるソースの前記認証トークンを、所定の時間経過後または前記ユーザーによる所定回数のログイン後に、更新された認証トークンに置き換えること、を更に備える、請求項１４に記載のコンピュータプログラムプロダクト。
【請求項18】
前記外部の信頼できるソースから前記ユーザーの認証トークンを取得できない場合、
ＩＤサービスプロバイダからの前記ユーザーの更新済み認証トークンを要求することと、
前記ＩＤサービスプロバイダから前記ユーザーの前記更新済み認証トークンを受信することと、
前記ユーザーの前記更新済み認証トークンを前記外部の信頼できるソースに転送することと、を更に備える、請求項１４に記載のコンピュータプログラムプロダクト。
ＩＤサービスプロバイダからの前記ユーザーの更新済み認証トークンを要求することと、
前記ＩＤサービスプロバイダから前記ユーザーの前記更新済み認証トークンを受信することと、
前記ユーザーの前記更新済み認証トークンを前記外部の信頼できるソースに転送することと、を更に備える、請求項１４に記載のコンピュータプログラムプロダクト。
【請求項19】
Ｗｅｂアプリケーションにアクセスするためのユーザー認証システムであって、
１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信し、
前記１つまたは複数のリライングパーティーアプリケーションへのアクセス要求に伴う、前記ユーザーの前記ユーザー識別子と前記生体認証識別子を検証し、
外部の信頼できるソースから前記ユーザーの認証トークンを取得し、
前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送し、
前記１つまたは複数のリライングパーティーアプリケーションから、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信するよう構成されたプロセッサを備える、システム。
１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信し、
前記１つまたは複数のリライングパーティーアプリケーションへのアクセス要求に伴う、前記ユーザーの前記ユーザー識別子と前記生体認証識別子を検証し、
外部の信頼できるソースから前記ユーザーの認証トークンを取得し、
前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送し、
前記１つまたは複数のリライングパーティーアプリケーションから、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信するよう構成されたプロセッサを備える、システム。
【請求項20】
前記認証トークンが、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするために、常に前記外部の信頼できるソースから取得される、請求項１９に記載のシステム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、Ｗｅｂアプリケーションにアクセスするためのユーザー認証方法およびシステムに関する。
【背景技術】
【0002】
シングルサインオン（ＳＳＯ）は、ユーザーが１セットのログイン認証情報で複数のアプリケーションにアクセスできる認証プロセスである。たとえば、シングルサインオンは、クライアントがローカルエリアネットワーク（ＬＡＮ）に接続された複数のリソースにアクセスする、企業で一般的な手順である。
【0003】
シングルサインオン（ＳＳＯ）は、ＩＤプロバイダ（ＩｄＰまたはＩＤＰ）を使用して実行でき、ＩＤプロバイダは、プリンシパルのＩＤ情報を作成、維持、および管理し、フェデレーションまたは分散ネットワーク内のリライングアプリケーションに認証サービスを提供するシステムエンティティになることができる。ＩＤプロバイダ（ＩｄＰ）は、ユーザー認証をサービスとして提供する。Ｗｅｂアプリケーションなどのリライングパーティーアプリケーションは、ユーザー認証ステップを信頼できるＩＤプロバイダに委託する。このようなリライングパーティーアプリケーションはフェデレーションと呼ばれ、つまりフェデレーションＩＤを使う。
【発明の概要】
【発明が解決しようとする課題】
【0004】
ＩＤプロバイダは、たとえば、システムがシングルサインオン（ＳＳＯ）を使用して他のウェブサイトにアクセスできる信頼できるプロバイダとなり得る。さらに、シングルサインオン（ＳＳＯ）により、ユーザーが複数のＷｅｂアプリケーションにアクセスする際に呼び出す必要のあるパスワードの数を減らすなど、ユーザビリティを強化できる。さらに、ＩＤプロバイダ（ＩｄＰ）はセキュリティを提供することができ、クラウドコンピューティングリソースとユーザー間の接続を容易にし、モバイルおよびローミングアプリケーションを使用する際にユーザーが再認証する必要性を減らすことができる。しかし、何らかの理由でＩＤプロバイダ（ＩｄＰ）が利用できない場合、ユーザーはＷｅｂアプリケーションとそれに対応するリソースにアクセスできなくなり、不便なだけでなく、例えば金銭的な損失も生じる可能性がある。
【課題を解決するための手段】
【0005】
従って、ＩＤプロバイダ（ＩｄＰ）が利用可能な場合でも、外部の信頼できるソースから常に認証トークンを取得することで、ＩＤプロバイダ（ＩｄＰ）の可用性に依存しないＷｅｂアプリケーションのユーザー認証の方法とシステムが望ましい。
【0006】
一実施形態によれば、Ｗｅｂアプリケーションにアクセスするためのユーザー認証方法であって、プロセッサによって、１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信することと、前記プロセッサによって、前記１つまたは複数のリライングパーティーアプリケーションへのアクセス要求に伴う、前記ユーザーの前記ユーザー識別子と前記生体認証識別子を検証することと、前記プロセッサによって、外部の信頼できるソースから前記ユーザーの認証トークンを取得することと、前記プロセッサによって、前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送することと、前記プロセッサ上で、前記１つまたは複数のリライングパーティーアプリケーションから、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信することと、を備える。
【0007】
一実施形態によれば、Ｗｅｂアプリケーションにアクセスするためのユーザー認証のコンピュータプログラムプロダクトであって、その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信することと、前記１つまたは複数のリライングパーティーアプリケーションへの前記アクセス要求に伴う、ユーザーの前記ユーザー識別子と前記生体認証識別子を検証することと、外部の信頼できるソースからユーザーの認証トークンを取得することと、前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送することと、前記１つまたは複数のリライングパーティーアプリケーションから、ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信することと、を備える方法を実行させる。
【0008】
一実施形態によれば、Ｗｅｂアプリケーションにアクセスするためのユーザー認証システムであって、１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信し、前記１つまたは複数のリライングパーティーアプリケーションへのアクセス要求に伴う、前記ユーザーの前記ユーザー識別子と前記生体認証識別子を検証し、外部の信頼できるソースから前記ユーザーの認証トークンを取得し、前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送し、前記１つまたは複数のリライングパーティーアプリケーションから、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信するよう構成されたプロセッサを備える。
【0009】
上記の概要及び下記の詳細な説明は、いずれも例示的及び説明的なものであり、クレームされた発明の更なる説明を行うものであると解すべきである。
【図面の簡単な説明】
【0010】
【発明の詳細な説明】
【0011】
本発明の好適な実施形態を、添付の図面を参照して詳細に説明する。可能な限り、図面や明細書では同じ参照番号を使用して、同じものまたは類似の部品を指す。
【0012】
図１は、既知のシステムにおけるユーザー１０２のオンライン認証を行うシステム１００の図である。システム１００は、例えば、１つまたは複数のコンピュータシステム１１０、１２０、１３０を含み得る。１つまたは複数のコンピュータシステム１１０、１２０、１３０は、例えば、パーソナルコンピュータ、家庭またはオフィス内のホームセキュリティまたはオフィスのセキュリティシステム、サーバ、スマートフォン、スマートタブレット、カメラ、ルーター、医療機器または装置、印刷機、プリントサーバ、プリンタなどで使用できる印刷データを生成することができる多機能周辺装置（ＭＦＰ）である。
【0013】
１つまたは複数のコンピュータシステム１１０、１２０、１３０には、プロセッサまたは中央処理装置（ＣＰＵ）、およびソフトウェアプログラムとデータを格納するための１つまたは複数のメモリを含み得る。プロセッサまたはＣＰＵは、コンピュータプログラムの命令を実行し、１つまたは複数のコンピュータシステム１１０、１２０、１３０の装置の機能の少なくとも一部を操作および／または制御する。１つまたは複数のコンピュータシステム１１０、１２０、１３０には、コンピュータのハードウェアを管理し、さまざまなソフトウェアプログラムを効率的に実行するための共通サービスを提供するオペレーティングシステム（ＯＳ）を含めることもできる。例えば、ソフトウェアプログラムには、例えば、認証モジュールおよび／または生体認証識別子を管理するためのアプリケーションソフトウェア、および／または、例えば、コンピュータシステム１１０のような、１つまたは複数のコンピュータシステム１１０、１２０、１３０のためのプリンタドライバソフトウェアを含むことができる。
【0014】
コンピュータシステム１１０は、多機能周辺装置（ＭＦＰ）またはプリンタであり、通信ネットワーク１４０を介してコンピュータシステム１２０、１３０に接続できる。多機能周辺装置（ＭＦＰ）は、少なくともコピー機能、画像読取機能、ファクシミリ（ＦＡＸ）機能、プリンタ機能を含み得、例えばコンピュータシステム１１０から受信した多機能周辺装置の印刷ジョブ（印刷命令）に基づいてシート上に画像を形成する。
【0015】
例えば、コンピュータシステム１１０は、医療機器または医療装置であって、例えば、診断および／または治療目的で使用することができる。医療機器または医療装置の例としては、例えば放射線画像、血管撮影画像、超音波画像、および／または断層画像を得ることができる医用画像装置を含み得る。或いは、例えばコンピュータシステム１３０のような、１つまたは複数のコンピュータシステム１１０、１２０、１３０は、例えば、バックエンドデータベース、またはエンタープライズデータベースシステムであり得、例えば１つまたは複数のコンピュータシステム１１０、１２０を介して、外部アプリケーションを通じて間接的に１人または複数のユーザーがアクセスすることができる。
【0016】
図１に示すように、システム１００は、例えば、コンピュータシステム１３０でホストされている１つまたは複数のＷｅｂアプリケーションのような、１つまたは複数のリライングパーティーアプリケーション１３２にアクセスする既知の方法における、ユーザー１０２のオンライン認証に使用することができる。１つまたは複数のリライングパーティーアプリケーション１３２には、たとえばＧｏｏｇｌｅ Ｗｏｒｋｓｐａｃｅ（旧Ｇ Ｓｕｉｔｅ）などのＷｅｂアプリケーションおよび／または、Ｓａｌｅｓｆｏｒｃｅ、Ｍｉｃｒｏｓｏｆｔ３６５、Ｂｏｘが提供するＷｅｂアプリケーションを含み得る。
【0017】
１つまたは複数のコンピュータシステム１１０、１２０、１３０が通信ネットワーク１４０を介して接続されている。通信ネットワーク１４０は、例えば有線又は無線の従来型ネットワークを含み、スター型構成、トークンリング型構成、その他の既知の構成等、任意の数の構成を有し得る。通信ネットワーク１４０は、１つまたは複数のローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）（インターネットなど）、仮想プライベートネットワーク（ＶＰＮ）、ピアツーピアネットワーク、ニアフィールドネットワーク（Ｂｌｕｅｔｏｏｔｈ(R)など）、セルラーネットワーク（３Ｇ、４Ｇ、５Ｇ、その他の世代など）、および／または複数のコンピューティングノードが通信する可能性のあるその他の相互接続されたデータパスを含み得る。
【0018】
データは、例えば、さまざまなインターネット層、トランスポート層、またはアプリケーション層プロトコルを含むさまざまな異なる通信プロトコルを使用して、１つまたは複数のコンピュータシステム１１０、１２０、１３０の間で暗号化または非暗号化の形で転送され得る。例えば、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、ユーザーデータグラムプロトコル（ＵＤＰ）、伝送制御プロトコル（ＴＣＰ）、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、セキュアハイパーテキスト転送プロトコル（ＨＴＴＰＳ）、動的適応ストリーミングオーバーＨＴＴＰ（ＤＡＳＨ）、リアルタイムストリーミングプロトコル（ＲＴＳＰ）、リアルタイム転送プロトコル（ＲＴＰ）およびリアルタイム転送制御プロトコル（ＲＴＣＰ）、ファイル転送プロトコル（ＦＴＰ）、ＷｅｂＳｏｃｋｅｔ（ＷＳ）、ワイヤレスアクセスプロトコル（ＷＡＰ）、各種メッセージングプロトコル（ＳＭＳ、ＭＭＳ、ＸＭＳ、ＩＭＡＰ、ＳＭＴＰ、ＰＯＰ、ＷｅｂＤＡＶなど）、または他の既知のプロトコルを使用して、ネットワーク１４０を介して1つ以上のコンピュータシステム１１０、１２０、１３０の間でデータを転送することができる。
【0019】
図１に示すように、ユーザー１０２は、たとえばシングルサインオン（ＳＳＯ）認証スキームを使用して認証できる。ユーザー１０２がコンピュータシステム１１０によって認証されると、第１のステップ（１）において、コンピュータシステム１１０は、コンピュータシステム１３０にホストされている、１つまたは複数のリライングパーティーアプリケーション１３２、例えば、１つまたは複数のＷｅｂアプリケーションへのアクセスを要求することができる。コンピュータシステム１３０は要求を受信し、ステップ２では、コンピュータシステム１２０でホストされているＩＤプロバイダ１２２を介してユーザー１０２のユーザーまたはデジタルＩＤを認証するために、要求をコンピュータシステム１１０にリダイレクトする。コンピュータシステム１１０は、リダイレクトされた要求を受信し、認証要求を、例えば、コンピュータシステム１２０がホストするＩＤプロバイダ（ＩｄＰ）１２２に転送する。図１に示すように、コンピュータシステム１２０は、１人または複数のユーザー１０２のデジタルＩＤを保存および管理するように構成されたＩＤプロバイダ（ＩｄＰ）１２２となり得る。ステップ４では、ＩＤプロバイダ（ＩｄＰ）１２２は、たとえばユーザー名とパスワードの組み合わせや、生体認証要素を含むその他の要素を介して、オーセンティケーターによってユーザー１０２のＩＤを確認できる。さらに、ＩＤプロバイダ（ＩｄＰ）１２２は、例えばコンピュータシステム１１０、１４０のように、ネットワークまたはシステムに接続されている任意のエンティティを認証することができる。特に、ＩＤプロバイダ（ＩｄＰ）１２２は、クラウドコンピューティング環境でユーザーＩＤの管理に使用できる。
【0020】
一実施形態によれば、ユーザー１０２、または、ユーザー１０２およびコンピュータシステム１１０がＩＤプロバイダ（ＩｄＰ）１２２によって認証されている場合、ＩＤプロバイダ（ＩｄＰ）１２２に関連付けられたコンピュータシステム１２０は、ユーザー１０２および／またはユーザー１０２およびコンピュータシステム１１０に対して、ステップ４の認証トークン（例えば、ユーザーＩＤおよび認証クッキー１５０を含むことができる）をコンピュータシステム１１０に送信できる。ステップ５では、コンピュータシステム１１０は、ウェブアプリケーション１３２をホストするコンピュータシステム１３０に認証トークン１５０を送信でき、ステップ６では、ユーザー１０２に関連付けられたコンピュータシステム１１０は、コンピュータシステム１３０でホストされている１つまたは複数のリライングパーティーアプリケーション１３２へのアクセスを受け取ることができる。
【0021】
図２は例示的実施形態においてユーザー１０２の認証を行うシステム２００の図である。 上述のように、ユーザー１０２が、コンピュータシステム１３０にホストされている１つまたは複数のリライングパーティーアプリケーション１３２にアクセスすると、認証トークン１５０は、例えば、コンピュータシステム１２０にホストされているＩＤプロバイダ（ＩｄＰ）１２２によって生成される。しかしながら、ＩＤプロバイダ（ＩｄＰ）１２２は、ＩＤプロバイダ（ＩｄＰ）１２２によって認証トークン１５０を生成することができないなど、到達できない可能性があり、したがって、ユーザー１０２および対応するコンピュータシステム１１０は、コンピュータシステム１３０でホストされている１つまたは複数のリライングパーティーアプリケーション１３２にアクセスできなくなる。
【0022】
図２に示すように、実施形態によれば、ユーザー１０２の演算装置１１０のウェブブラウザにユーザー識別クッキーと認証クッキーをキャッシュすると、認証要求をＩＤプロバイダ（ＩｄＰ）１２２にリダイレクトすることなく、ユーザー１０２を識別することができる。 ただし、ユーザー識別クッキーおよび認証クッキーのキャッシュは、ユーザー１０２のコンピュータシステム１１０でキャッシュがクリアされない限り、有効ではない。従って、ＩＤプロバイダ（ＩｄＰ）１２２の状態とは無関係にユーザー１０２の認証を行う方法及びシステムを有し、かつ、その方法及びシステム２００が、例えば、コンピュータシステム１１０が通信中又は接続されている外部の信頼できるソース２１０から常に認証トークン１５０を取得することが望ましい。
【0023】
システム２００は、例えば、１つまたは複数のコンピュータシステム１１０、１２０、２２０、およびセキュアコンテナ２１０を含み得る。１つまたは複数のコンピュータシステム１１０、１２０、２２０は、例えば、パーソナルコンピュータ、家庭またはオフィス内のホームセキュリティまたはオフィスのセキュリティシステム、サーバ、スマートフォン、スマートタブレット、カメラ、ルーター、医療機器または装置、多機能周辺装置（またはプリンタ）、プリンタ、プリントサーバ、または多機能周辺装置（ＭＦＰ）などで使用できる印刷データを生成することができる、これらに類するものである。一実施形態によれば、コンピュータシステム１１０、２２０の１つまたは複数は、ユーザー１０２を認証することができる、オーセンティケーターおよび／または生体認証識別子２３０を受信するための認証アプリケーション（又は認証モジュール）を少なくとも１つ含み得る。
【0024】
一実施形態によれば、オーセンティケーターは、例えばパスワードまたはパスコードの１つまたは複数と生体認証識別子２３０となり得る。例示的実施形態によれば、生体認証識別子２３０には、個人をラベル付けし、記述または識別するために使用する、特徴的で測定可能な特性を含めることができ、これには、人間の特性に関連するメトリックが含まれる。例えば、生体認証識別子２３０には、個人の生理的特徴を含み得、それらは、指紋、手のひら静脈、顔認識、ＤＮＡ（つまり、デオキシリボ核酸）、掌紋、掌形、虹彩認識、網膜、および／または臭気／芳香を含むがこれらに限定されない。
【0025】
ユーザー１０２が認証されると、ユーザー１０２は、本明細書に開示されているコンピュータシステム１１０、１２０、１３０の１つまたは複数にアクセスすることができる。少なくとも１つの認証アプリケーションは、例えば、キーパッドを介し、ユーザー名とパスワード（パスワード）、および／または、センサ、スキャンデバイス、または、例えば、近接型カード、ＲＦＩＤカード、スマートカード、ウェアラブル端末、ＲＳＡトークン、および／または生体認証識別子などデータの読み込みおよび／または取得可能な電子リーダーなどに対して、オーセンティケーターおよび／または生体認証識別子を受信するように構成できる。１つまたは複数のコンピュータシステム１１０、１２０、１３０は、ユーザー１０２が少なくとも１つのオーセンティケーターおよび／または生体認証識別子２３０を介してアクセスすることができ、好ましくは少なくとも２つ以上のオーセンティケーターおよび／または生体認証識別子２３０を介してアクセスすることができる。
【0026】
一実施形態によれば、コンピュータシステム１１０を家庭又はオフィスのセキュリティシステムに組み込むことができ、これには、例えば、建物への扉、家庭又はオフィスの床又は部屋、例えばエレベーターおよび／またはその他の安全な部屋を介して、家庭又はオフィスにアクセスするユーザー１０２を認証する方法又はシステムを含むことができる。また、ここで開示されている方法およびシステムは、ユーザーの自宅またはオフィス内のセキュリティシステム、コンピュータなどのデバイスのセキュリティ保護に使用することができる。
【0027】
セキュアコンテナ２１０は、例示的な実施形態によれば、例えば、実行可能なソフトウェアパッケージまたはアプリケーションであって、他のソフトウェアパッケージまたは１つまたは複数のコンピュータシステム１１０上で実行されるアプリケーションから隔離される。セキュアコンテナ２１０は、例えば、図１に示すように、コンピュータシステム１３０から受信したユーザー識別および認証クッキー１５０といった認証トークンのコンテナ化（又はサンドボックス化）のために構成される。セキュアコンテナ２１０は、トラステッドプラットフォームモジュール（ＴＰＭ）となり得、たとえば、セキュアな暗号プロセッサや、統合された暗号鍵によってハードウェアを保護する専用のマイクロコントローラなどである。一実施形態によれば、トラステッドプラットフォームモジュール（ＴＰＭ）は標準に準拠したコンピュータチップであり得る。例えば、Ｗｉｎｄｏｗｓ１１にはトラステッドプラットフォームモジュール２．０（ＴＰＭ ２．０）が含まれており、例えばファームウェアやランサムウェア攻撃に対するセキュリティを強化する設計となっている。例示的な実施形態によれば、セキュアコンテナ２１０は、ユニバーサルシリアルバス（ＵＳＢ）ドライブまたはセキュアデジタル（ＳＤ）カードとなり得る。一実施形態によれば、セキュアコンテナは、保存データをＵＳＢドライブまたはＳＤカードに書き込む前に暗号化し、読み取り後に復号化するＵＳＢドライブまたはＳＤカードが望ましい。例えば、ＵＳＢドライブやＳＤカードの暗号化と復号化には、対称暗号化アルゴリズム（ＡＥＳ、Ｔｗｏｆｉｓｈ、Ｔｒｉｐｌｅ ＤＥＳなど）と非対称暗号化アルゴリズム（ＲＳＡなど）を使用できる。別の実施形態によれば、セキュアコンテナ２１０は、セキュア外部ドライブとなり得る。例えば、セキュアコンテナ２１０は、モバイル機器やスマートフォンなどのコンピュータシステムであってもよい。
【0028】
一実施形態によれば、システム２００は、ユーザー１０２のコンピュータシステム１１０内のセキュアコンテナ２１０内に認証トークン１５０を確保できるように構成することができる。ただし、ユーザー１０２のコンピュータシステム１１０内のセキュアコンテナ２１０内に認証トークン１５０を格納するのではなく、セキュアコンテナ２１０が外部ドライブであることが望ましい場合がある。
【0029】
一実施形態によれば、認証トークン１５０は、たとえば時間ベースの認証トークンとなり得、このトークンは、所定の期間後に図１に示すように更新する必要がある。または、認証トークン１５０は、使用回数、または所定期間と使用回数またはログイン回数の組み合わせに基づいて更新を要求できる。さらに、認証トークン１５０は、認証トークン１５０を使用できる１つまたは複数のタイプのコンピュータシステム１１０の制限を含み得る。例えば、認証トークン１５０は、例えば、携帯端末やスマートフォンをコンピュータシステム１１０として利用することはできない。
【0030】
図２に示すように、ユーザー１０２は、例えば、コンピュータシステム１１０に少なくとも生体認証識別子を含むシングルサインオン（ＳＳＯ）方式を使用し、認証される。たとえば、ユーザー１０２は、コンピュータシステム１１０へのアクセスを提供するモバイル機器など、コンピュータシステム２２０を介して認証され得る。あるいは、コンピュータシステム１１０によって、例えば、生体認証技術を用いたウェアラブルデバイス２２２を用いて、ユーザー１０２を認証することができる。生体認証技術は、例えば、各ユーザー１０２の身体的特徴（生体情報）に基づいて、その真正性を確認することを含み得る。例えば、ウェアラブルデバイス２２２の生体情報により、ユーザー固有の心電図によりユーザー本人を認証することができる。
【0031】
ここで開示されているように、ユーザー１０２がコンピュータシステム１１０によって認証されると、第１のステップ（１）１６０において、コンピュータシステム１１０は、セキュアコンテナ２１０から取得した認証トークン１５０で、コンピュータシステム１３０にホストされている、１つまたは複数のリライングパーティーアプリケーション１３２へのアクセスを要求することができる。コンピュータシステム１３０は、認証トークン１５０で要求を受信し、ステップ２、１６２では、ユーザー１０２に関連付けられたコンピュータシステム１１０は、コンピュータシステム１３０でホストされている１つまたは複数のＷｅｂアプリケーション１３２へのアクセスを受け取ることができる。一実施形態によれば、コンピュータシステム１３０は、もう１つのＷｅｂアプリケーション１３２を１つまたは複数のクラウドコンピュータに分散させるクラウドコンピューティング構成とすることができる。
【0032】
図３Ａと３Ｂは、図２に示す実施形態におけるユーザー１０２の認証のフローチャート３００である。図３Ａと３Ｂに示すように、工程３０２から始まる。ステップ３０４では、ユーザー１０２が認証された後、例えば生体認証識別子３３０に基づいてコンピュータシステム１１０上でシングルサインオン（ＳＳＯ）方式を用いて、コンピュータシステム１１０がセキュアコンテナ２１０に認証トークン１５０の認証要求を送信することができる。セキュアコンテナ２１０は、例えば通信プロトコルを介してコンピュータシステム１１０と通信することができ、および／またはセキュアコンテナ２１０をコンピュータシステム１１０に物理的に接続することができる。ステップ３０６において、コンピュータシステム１１０は、通信中又はコンピュータシステム１１０に接続されているセキュアコンテナ２１０から、認証トークン１５０を含むユーザー認証情報を取得する。ステップ３０８において、コンピュータシステム１１０は、ユーザー１０２のコンピュータシステム１１０内のセキュアコンテナ２１０から取得したユーザー認証情報と、あるいは、セキュアコンテナ２１０から取得したユーザー認証情報、例えば、ＵＳＢドライブやＳＤドライブから取得したユーザー認証情報を判別する。たとえば、認証トークンを取得しようとするユーザー１０２のＩＤ確認には、ユーザー認証情報を使用して、ユーザーのＩＤ確認（ユーザーが誰であるかを証明）、認証（ユーザーが誰であると言われているユーザーであることを証明）、認可（ユーザーがしようとしていることが許可されていることを証明）を行うことができる。例えば、ユーザー認証情報は、２要素認証（２ＦＡ）または多要素認証（２ＦＡ）のための知識（ユーザー１０２だけが知っているもの）、所有（ユーザー１０２だけが持っているもの）、および固有性（ユーザー１０２だけであるもの）に基づいて、生体認証識別子３３０とユーザーＩＤなどの一意の識別子を組み合わせて、追加の認証係数を含めることができる。たとえば、追加の認証要素は、パスワードであったり、物理オブジェクトや環境に関する情報をユーザー１０２に要求したりすることができる。セキュアコンテナ２１０から取得した認証情報の検証の判定には、認証トークン１５０がまだ有効であるかどうか、および／または認証トークン１５０がコンピュータシステム１３０にホストされている１つまたは複数のリライングパーティーアプリケーション１３２へのアクセスをユーザー１０２に提供するかどうかの判定を含み得る。
【0033】
ステップ３１０において１つまたは複数のリライングパーティーアプリケーション１３２は、コンピュータシステム１１０から受信した認証トークンのユーザー認証情報を検証する。ユーザー認証情報が検証されると、ステップ３１２において、ユーザー１０２のコンピュータシステム１１０が、コンピュータシステム１３０にホストされている１つまたは複数のリライングパーティーアプリケーション１３２にアクセスできるようになる。一実施形態によれば、ステップ３０８において、コンピュータシステム１１０がユーザー認証情報が有効でないと判断した場合、プロセスはステップ３１４に進み、コンピュータシステム１１０がユーザーブラウザからユーザー情報を登録することができ、ステップ３１６において、コンピュータシステム１１０のブラウザからの認証要求がＩＤプロバイダ（ＩｄＰ）１２２に送信される（図１）。ステップ３１８では、ユーザー情報が正しければ、ＩＤプロバイダ（ＩｄＰ）１２２がユーザーのトークン（または認証トークン）１５０を生成し、コンピュータシステム１１０に送信する。ステップ３２０では、コンピュータシステムはユーザーのトークン（または認証トークン）１５０のユーザー情報が有効であるかどうかを判断する。ステップ３２０でユーザー情報が有効でない場合、プロセスは、ステップ３１４に戻る。ユーザー情報が有効な場合、プロセスはステップ３２２に進み、認証トークン１５０はセキュアコンテナ２１０に格納され、ユーザー認証はセキュアコンテナ２１０に設定および更新される。
【0034】
図４は、実施形態におけるＷｅｂアプリケーションにアクセスするためのユーザー認証の方法４００のフローチャートである。図４に示すように、方法４００は、ステップ４１０において、１つまたは複数のリライングパーティーアプリケーション１３２へのアクセス要求とともに、ユーザー１０２のユーザー識別子と生体認証識別子２３０がプロセッサによって受信されることを含む。ステップ４２０では、ユーザー１０２のユーザー識別子と、生体認証識別子２３０が、１つまたは複数のリライングパーティーアプリケーション１３２へのアクセス要求に伴い、プロセッサによって検証される。ステップ４３０では、外部の信頼できるソース２１０からユーザー１０２の認証トークン１５０がプロセッサによって取得される。ステップ４４０では、外部の信頼できるソース２１０から取得したユーザー１０２の認証トークン１５０が、プロセッサによって１つまたは複数のリライングパーティーアプリケーション１３２に転送される。ステップ４５０では、ユーザー１０２が１つまたは複数のリライングパーティーアプリケーション１３２にアクセスするために１つまたは複数のリライングパーティーアプリケーション１３２からの認証がプロセッサ上で受信される。
【0035】
一実施形態によれば、認証トークン１５０が、外部の信頼できるソース２１０から常に取得されて、ユーザーが１つまたは複数のリライングパーティーアプリケーション１３２にアクセスすることができる。プロセッサがＩＤサービスプロバイダ１２２と通信している場合は、認証トークン１５０が外部の信頼できるソース２１０から取得され、ＩＤサービスプロバイダ１２２とは通信していない場合は、ＩＤサービスプロバイダ１２２が、認証トークン１５０を提供するように構成される。
【0036】
一実施形態によれば、プロセッサによって、外部の信頼できるソース２１０の認証トークン１５０を、所定の時間経過後またはユーザー１０２による所定回数のログイン後に、更新された認証トークンに置き換える方法を含む。一実施形態によれば、外部の信頼できるソース２１０からユーザーの認証トークン１５０を取得できない場合、プロセッサによって、ユーザー１０２の更新済み認証トークン１５２をＩＤサービスプロバイダ１２２から要求し、プロセッサによって、ＩＤサービスプロバイダ１２２からユーザーの更新済み認証トークン１５２を受信し、プロセッサによって、ユーザー１０２の更新済み認証トークン１５２を外部の信頼できるソース２１０に転送する方法を含む。一実施形態によれば、方法２００はさらに、例えば、必要に応じて、プロセッサがユーザー１０２に対して１つまたは複数のリライングパーティーアプリケーション１３２へのアクセスを要求し、プロセッサが１つまたは複数のリライングパーティーアプリケーション１３２からリダイレクション要求を受信して、ユーザー１０２に対して更新された認証トークン１５２をＩＤサービスプロバイダ１２２から取得することを含むことができる。
【0037】
一実施形態によれば、ユーザー１０２の認証トークン１５０は、プロセッサを伴うコンピュータシステムのユーザーブラウザのキャッシュから取得されない。外部の信頼できるソース２１０はセキュアコンテナになり得、たとえば、セキュアコンテナはユニバーサルシリアルバス（ＵＳＢ）デバイスやセキュアデジタル（ＳＤ）カードとなり得る。外部の信頼できるソース２１０は、セキュア外部ドライブとなり得る。
【0038】
一実施形態によれば、方法は、プロセッサによって、生体認証装置、例えばコンピュータシステム２２０から、生体認証識別子２３０を受信することを含み、生体認証装置は、センサ、走査装置又は電子リーダの１つまたは複数を含み、生体認証識別子は、ユーザーの少なくとも１つの生理的特徴であって、前記少なくとも１つの生理的特徴は、指紋、手のひら静脈、顔認識、ＤＮＡ（デオキシリボ核酸）、掌紋、掌形、虹彩認識、網膜および／または臭気／芳香から選択される。
【0039】
一実施形態によれば、生体認証装置は、第１のモバイル装置であり、例えば、処理サーバをホストするように構成されたコンピュータシステム１１０といった第２のモバイル装置と通信するように構成された第１のモバイル装置である。
【0040】
一実施形態によれば、方法はさらに、プロセッサによって、ユーザーの期間設定をするアプリケーションから外部の信頼できるソース２１０への期間設定およびユーザーの外部の信頼できるソース２１０へのログイン回数のログイン設定の１つまたは複数を取得し、期間設定またはログイン設定が、ユーザー１０２の期間設定またはログイン設定に基づいて、外部の信頼できるソース２１０の認証トークン１５０の有効性を決定し、期間設定またはログイン設定を、ユーザー１０２が超過していない場合に、プロセッサによって、外部の信頼できるソース２１０にユーザー１０２の認証トークン１５０を転送することを更に含む。一実施形態によれば、アプリケーションでユーザーに対して外部の信頼できるソース２１０への期間設定を設定し、コンピュータシステム１１０上でユーザー１０２に対して、外部の信頼できるソース２１０へのログイン回数を設定する。
【0041】
一実施形態によれば、プロセッサは多機能周辺装置の一部であり、その方法は、プロセッサによって、多機能周辺装置へのアクセスと、外部の信頼できるソースからユーザーの認証トークンを取得及び１つまたは複数のリライングパーティーアプリケーション１２２へのアクセスとのためのユーザーの多要素認証のため、１つまたは複数の追加認証要素をユーザーに要求することを含む。
【0042】
図５は、代表的なコンピュータシステム５００を図示しており、本開示の実施形態、又はその一部を、ハードウェア上で実行されるコンピュータ可読コードとして実装することができる。例えば、本書に開示されているユーザー認証の方法およびシステムに関連する１つまたは複数のコンピュータシステム１１０、１２０、１３０は、ハードウェア、ハードウェア上で実行されるソフトウェア、ファームウェア、命令が格納された非一時的なコンピュータ可読メディア、またはこれらの組み合わせを使用して、全部または一部がコンピュータシステム５００によって実行され得、１つまたは複数のコンピュータシステムまたはその他の処理システムに実行され得る。ハードウェア、ハードウェア上で実行されるソフトウェア、またはこれらの組み合わせは、現在説明されている方法およびシステムの方法とステップを実行するために使用されるモジュールおよびコンポーネントを実施することができる。
【0043】
プログラマブルロジックを使用する場合、そのようなロジックは実行可能なソフトウェアコードによって構成された市販の処理プラットフォーム上で実行され、特定用途のコンピュータまたは特定用途のデバイス（例えば、プログラマブルロジックアレイ、特定用途向け集積回路など）となり得る。開示された主題の実施形態が、マルチコアマルチプロセッサシステム、ミニコンピュータ、メインフレームコンピュータ、分散機能でリンクまたはクラスタ化されたコンピュータ、そして事実上あらゆるデバイスに埋め込まれる可能性のあるパーベイシブまたはミニチュアコンピュータを含むさまざまなコンピュータシステム構成で実践できることを当業者はわかるであろう。例えば、少なくとも１つのプロセッサデバイスと１つのメモリを使用して、前述の実施形態を実施することができる。
【0044】
本書で説明するプロセッサユニットまたはデバイスは、単一のプロセッサ、複数のプロセッサ、またはこれらの組み合わせである。プロセッサデバイスは、１つまたは複数のプロセッサ「コア」を有し得る。本書で説明する「コンピュータプログラム媒体」、「非一時的なコンピュータ可読媒体」、「コンピュータ使用可能媒体」という用語は、一般にリムーバブル記憶装置５１８、リムーバブル記憶装置５２２、ハードディスクドライブ５１２に取り付けられているハードディスクなどの有形の媒体を指すために使用される。
【0045】
本開示の様々な実施形態は、この代表的なコンピュータシステム５００に関して説明する。本明細書を読むと、他のコンピュータシステムおよび／またはコンピュータアーキテクチャを使用して現在の開示を実施する方法は、関連する技術の当業者にとって明白である。操作は逐次的なプロセスとして説明されるが、実際には、一部の操作は並行、同時、および／または分散環境で実行され、シングルプロセッサまたはマルチプロセッサマシンからのアクセス用にローカルまたはリモートにプログラムコードが格納されている。また、いくつかの実施形態では、開示された主題の精神から逸脱することなく、操作の順序を再構成してもよい。
【0046】
プロセッサデバイス５０４は、本書で説明する機能を実行するように特別に構成されたプロセッサデバイスであってよい。プロセッサデバイス５０４は、バス、メッセージキュー、ネットワーク、マルチコアメッセージパッシングスキームなどの通信インフラストラクチャ５０６に接続してもよい。ネットワークは、本明細書で開示されている機能を実行するのに適した任意のネットワークであり、ローカルエリアネットワーク（「ＬＡＮ」）、ワイドエリアネットワーク（「ＷＡＮ」）、ワイヤレスネットワーク（「Ｗｉ－Ｆｉ」）、モバイル通信ネットワーク、衛星ネットワーク、インターネット、光ファイバー、同軸ケーブル、赤外線、無線周波数（「ＲＦ」）、またはこれらの組み合わせを含み得る。その他の適切なネットワークの種類と構成は、関連する技術の当業者には明白である。コンピュータシステム５００は、メインメモリ５０８（例えば、ランダムアクセスメモリ、読み取り専用メモリなど）を含み得、また、セカンダリメモリ５１０を含み得る。セカンダリメモリ５１０は、フロッピーディスクドライブ、磁気テープドライブ、光学ディスクドライブ、フラッシュメモリなどのハードディスクドライブ５１２とリムーバブル記憶ドライブ５１４を含み得る。
【0047】
リムーバブル記憶ドライブ５１４は、リムーバブル記憶装置５１８に対して、周知の方法で読み込みおよび／または書き込みを行うことができる。リムーバブル記憶装置５１８は、リムーバブル記憶ドライブ５１４によって読み書きされるリムーバブル記憶媒体を含み得る。例えば、リムーバブル記憶ドライブ５１４がフロッピーディスクドライブまたはユニバーサルシリアルバスポートである場合、リムーバブル記憶装置５１８はそれぞれフロッピーディスクまたはポータブルフラッシュドライブであってよい。一実施形態では、リムーバブル記憶装置５１８は、非一時的なコンピュータ可読記録媒体であってもよい。
【0048】
いくつかの実施形態では、セカンダリメモリ５１０は、例えば、リムーバブル記憶装置５２２とインターフェース５２０のように、コンピュータシステム５００にコンピュータプログラムや他の命令をロードすることを可能にする代替手段を含み得る。そのような手段の例としては、関連する技術の当業者には明らかであるように、プログラムカートリッジとカートリッジインターフェース（例：ビデオゲームシステムに見られるもの）、リムーバブルメモリチップ（例：ＥＥＰＲＯＭ、ＰＲＯＭなど）と関連するソケット、およびその他のリムーバブル記憶装置５２２とインターフェース５２０が含まれ得る。
【0049】
コンピュータシステム５００に記憶されたデータ（例えば、メインメモリ５０８および／またはセカンダリメモリ５１０に記憶される）は、光記憶装置（例えば、コンパクトディスク、デジタル汎用ディスク、ブルーレイディスク）又は磁気記憶装置（例えば、ハードディスクドライブ）等の適切なコンピュータ可読媒体に記憶することができる。データは、リレーショナルデータベース、構造化照会言語（ＳＱＬ）データベース、分散データベース、オブジェクトデータベースなど、あらゆる種類の適切なデータベース構成で構成できる。適切な構成とストレージの種類は、関連する技術の当業者には明白である。
【0050】
コンピュータシステム５００は、通信インターフェース５２４をも含み得る。通信インターフェース５２４は、コンピュータシステム５００と外部装置との間でソフトウェアおよびデータを転送できるように構成してもよい。例示的な通信インターフェース５２４は、モデム、ネットワークインターフェース（例：イーサネットカード）、通信ポート、ＰＣＭＣＩＡスロット及びカード等を含み得る。通信インターフェース５２４を介して転送されるソフトウェアおよびデータは、信号形式であって、電子的、電磁的、光学的、または関連する技術の当業者に明白なその他の信号であってよい。信号は、通信経路５２６を介して伝達され得、信号を伝送するように構成されて、電線、ケーブル、光ファイバー、電話回線、携帯電話リンク、無線周波数リンク等を使用して実施される。
【0051】
コンピュータシステム５００は、さらにディスプレイインターフェース５０２を含み得る。ディスプレイインターフェース５０２は、コンピュータシステム５００と外部ディスプレイ５３０との間でデータを転送できるように構成してもよい。例示的なディスプレイインターフェース５０２には、高精細マルチメディアインターフェース（ＨＤＭＩ）、デジタルビジュアルインターフェース(ＤＶＩ)、ビデオグラフィックスアレイ(ＶＧＡ)などが含まれ得る。ディスプレイ５３０は、ブラウン管（ＣＲＴ）ディスプレイ、液晶ディスプレイ（ＬＣＤ）、発光ダイオード（ＬＥＤ）ディスプレイ、静電容量式タッチディスプレイ、薄膜トランジスタ（ＴＦＴ）ディスプレイなど、コンピュータシステム５００のディスプレイインターフェース５０２を介して伝送されるデータを表示するのに適した任意のタイプのディスプレイであってよい。コンピュータプログラム媒体およびコンピュータ使用可能媒体は、メインメモリ５０８やセカンダリメモリ５１０などのメモリを指す場合があり、これらはメモリ半導体（ＤＲＡＭなど）であり得る。これらのコンピュータプログラムプロダクトは、コンピュータシステム５００にソフトウェアを提供するための手段であり得る。コンピュータプログラム（例えば、コンピュータ制御ロジック）は、メインメモリ５０８および／またはセカンダリメモリ５１０に記憶してもよい。コンピュータプログラムは、通信インターフェース５２４を介して受信することもできる。そのようなコンピュータプログラムが実行されると、コンピュータシステム５００は、本書で説明されるように、現在の方法を実行できるようになり得る。特に、コンピュータプログラムが実行されると、プロセッサデバイス５０４は、本書で説明する図１から４で示される方法を実行できるようになり得る。従って、そのようなコンピュータプログラムは、コンピュータシステム５００の制御装置を表す。本開示がハードウェア上で実行されるソフトウェアを使用して実施される場合、ソフトウェアはコンピュータプログラムプロダクトに格納され、リムーバブル記憶ドライブ５１４、インターフェース５２０、およびハードディスクドライブ５１２、または通信インターフェース５２４を使用してコンピュータシステム５００にロードされる。
【0052】
プロセッサデバイス５０４は、コンピュータシステム５００の機能を実行するように構成された１つまたは複数のモジュールまたはエンジンから構成してもよい。各モジュールまたはエンジンは、ハードウェアを使用して実行することができ、場合によっては、メインメモリ５０８またはセカンダリメモリ５１０に記憶されたプログラムコードおよび／またはプログラムに対応するなど、ハードウェア上で実行されるソフトウェアを利用することもできる。このような場合、プログラムコードは、コンピュータシステム５００のハードウェアによって実行される前に、プロセッサデバイス５０４によって（例えば、コンパイルモジュールまたはエンジンによって）コンパイルされてもよい。例えば、プログラムコードは、プロセッサデバイス５０４および／またはコンピュータシステム５００の追加ハードウェアコンポーネントによって実行されるように、アセンブリ言語やマシンコードなどの下位レベルの言語に翻訳されたプログラミング言語で書かれたソースコードであり得る。コンパイルのプロセスには、字句解析、前処理、構文解析、意味解析、構文指示翻訳、コード生成、コード最適化、および本明細書に開示されている機能を実行するためにコンピュータシステム５００を制御するのに適した低レベル言語へのプログラムコードの翻訳に適したその他の技術の使用が含まれ得る。コンピュータシステム５００が、上記で説明した機能を実行するために特別にプログラムされたコンピュータシステム５００となることは、関連する技術の当業者には明らかであろう。
【0053】
本開示に一貫した技術は、とりわけ、ユーザー認証のための方法およびシステムを提供する。開示されたシステム及び方法の様々な例示的な実施形態は、以上述べたが、これらはあくまでも例示であり、制限ではないと理解すべきである。網羅的なものではなく、開示された正確な形態に限定するものではない。修正および変更は上記の教示に照らして可能であり、または幅や範囲から逸脱することなく開示の実施から取得することができる。
【図1】
【図2】
【図3A】
【図3B】
【図4】
【図5】
【手続補正書】
【提出日】2024-01-11
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
Ｗｅｂアプリケーションにアクセスするためのユーザー認証方法であって、
プロセッサによって、１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信することと、
前記プロセッサによって、前記１つまたは複数のリライングパーティーアプリケーションへのアクセス要求に伴う、前記ユーザーの前記ユーザー識別子と前記生体認証識別子を検証することと、
前記プロセッサによって、外部の信頼できるソースから前記ユーザーの認証トークンを取得することと、
前記プロセッサによって、前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送することと、
前記プロセッサ上で、前記１つまたは複数のリライングパーティーアプリケーションから、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信することと、を備える方法。
プロセッサによって、１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信することと、
前記プロセッサによって、前記１つまたは複数のリライングパーティーアプリケーションへのアクセス要求に伴う、前記ユーザーの前記ユーザー識別子と前記生体認証識別子を検証することと、
前記プロセッサによって、外部の信頼できるソースから前記ユーザーの認証トークンを取得することと、
前記プロセッサによって、前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送することと、
前記プロセッサ上で、前記１つまたは複数のリライングパーティーアプリケーションから、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信することと、を備える方法。
【請求項2】
前記認証トークンが、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするために、常に前記外部の信頼できるソースから取得される、請求項１に記載の方法。
【請求項3】
前記プロセッサがＩＤサービスプロバイダと通信している場合は、前記認証トークンが前記外部の信頼できるソースから取得され、ＩＤサービスプロバイダとは通信していない場合は、前記ＩＤサービスプロバイダが前記認証トークンを提供するよう構成されている、請求項１又は２に記載の方法。
【請求項4】
前記プロセッサによって、前記外部の信頼できるソースの前記認証トークンを、所定の時間経過後または前記ユーザーによる所定回数のログイン後に、更新された認証トークンに置き換えること、を更に備える、請求項１又は２に記載の方法。
【請求項5】
前記外部の信頼できるソースから前記ユーザーの認証トークンを取得できない場合、
前記プロセッサによって、ＩＤサービスプロバイダからの前記ユーザーの更新済み認証トークンを要求することと、
前記プロセッサによって、前記ＩＤサービスプロバイダから前記ユーザーの前記更新済み認証トークンを受信することと、
前記プロセッサによって、前記ユーザーの前記更新済み認証トークンを前記外部の信頼できるソースに転送することと、を更に備える、請求項１又は２に記載の方法。
前記プロセッサによって、ＩＤサービスプロバイダからの前記ユーザーの更新済み認証トークンを要求することと、
前記プロセッサによって、前記ＩＤサービスプロバイダから前記ユーザーの前記更新済み認証トークンを受信することと、
前記プロセッサによって、前記ユーザーの前記更新済み認証トークンを前記外部の信頼できるソースに転送することと、を更に備える、請求項１又は２に記載の方法。
【請求項6】
前記ユーザーの前記認証トークンは、前記プロセッサを伴うコンピュータシステムのユーザーブラウザのキャッシュから取得されない、請求項１又は２に記載の方法。
【請求項7】
前記外部の信頼できるソースは、セキュアコンテナである、請求項１又は２に記載の方法。
【請求項8】
前記セキュアコンテナは、ユニバーサルシリアルバス（ＵＳＢ）デバイス、またはセキュアデジタル（ＳＤ）カードである、請求項６に記載の方法。
【請求項9】
前記外部の信頼できるソースは、セキュア外部ドライブである、請求項１又は２に記載の方法。
【請求項10】
前記プロセッサによって、生体認証装置から前記生体認証識別子を受信することを更に備え、
前記生体認証装置は、センサ、走査装置又は電子リーダの１つまたは複数を含み、前記生体認証識別子は、前記ユーザーの少なくとも１つの生理的特徴であって、前記少なくとも１つの生理的特徴は、指紋、手のひら静脈、顔認識、ＤＮＡ（デオキシリボ核酸）、掌紋、掌形、虹彩認識、網膜および／または臭気／芳香の１つまたは複数から選択される、請求項１又は２に記載の方法。
前記生体認証装置は、センサ、走査装置又は電子リーダの１つまたは複数を含み、前記生体認証識別子は、前記ユーザーの少なくとも１つの生理的特徴であって、前記少なくとも１つの生理的特徴は、指紋、手のひら静脈、顔認識、ＤＮＡ（デオキシリボ核酸）、掌紋、掌形、虹彩認識、網膜および／または臭気／芳香の１つまたは複数から選択される、請求項１又は２に記載の方法。
【請求項11】
前記生体認証装置は、前記処理サーバをホストするよう構成された第２のモバイル装置と通信するよう構成されている第１のモバイル装置である、請求項１０に記載の方法。
【請求項12】
前記プロセッサによって、前記ユーザーの期間設定をするアプリケーションから前記外部の信頼できるソースへの期間設定および前記ユーザーの前記外部の信頼できるソースへのログイン回数のログイン設定の１つまたは複数を取得することであって、前記期間設定または前記ログイン設定が、前記ユーザーの前記期間設定または前記ログイン設定に基づいて、前記外部の信頼できるソースの前記認証トークンの有効性を決定し、
前記期間設定または前記ログイン設定を、前記ユーザーが超過していない場合に、前記プロセッサによって、前記信頼できるソースに前記ユーザーの前記認証トークンを転送することと、を更に備える、請求項１又は２に記載の方法。
前記期間設定または前記ログイン設定を、前記ユーザーが超過していない場合に、前記プロセッサによって、前記信頼できるソースに前記ユーザーの前記認証トークンを転送することと、を更に備える、請求項１又は２に記載の方法。
【請求項13】
前記プロセッサは多機能周辺装置の一部であって、
前記プロセッサによって、前記多機能周辺装置へのアクセスと、前記外部の信頼できるソースからの前記ユーザーの認証トークンを取得及び前記１つまたは複数のリライングパーティーアプリケーションへのアクセスとのための前記ユーザーの多要素認証のため、前記ユーザーから１つまたは複数の追加認証要素を要求すること、を備える、請求項１又は２に記載の方法。
前記プロセッサによって、前記多機能周辺装置へのアクセスと、前記外部の信頼できるソースからの前記ユーザーの認証トークンを取得及び前記１つまたは複数のリライングパーティーアプリケーションへのアクセスとのための前記ユーザーの多要素認証のため、前記ユーザーから１つまたは複数の追加認証要素を要求すること、を備える、請求項１又は２に記載の方法。
【請求項14】
Ｗｅｂアプリケーションにアクセスするためのユーザー認証のコンピュータプログラムプロダクトであって、
その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、
１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信することと、
前記１つまたは複数のリライングパーティーアプリケーションへの前記アクセス要求に伴う、ユーザーの前記ユーザー識別子と前記生体認証識別子を検証することと、
外部の信頼できるソースからユーザーの認証トークンを取得することと、
前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送することと、
前記１つまたは複数のリライングパーティーアプリケーションから、ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信することと、
を備える方法を実行させる、コンピュータプログラムプロダクト。
その中に実施するプログラム命令を有する非一時的なコンピュータ可読ストレージ媒体を備え、前記プログラム命令はコンピュータによって実行可能であって、前記コンピュータに、
１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信することと、
前記１つまたは複数のリライングパーティーアプリケーションへの前記アクセス要求に伴う、ユーザーの前記ユーザー識別子と前記生体認証識別子を検証することと、
外部の信頼できるソースからユーザーの認証トークンを取得することと、
前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送することと、
前記１つまたは複数のリライングパーティーアプリケーションから、ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信することと、
を備える方法を実行させる、コンピュータプログラムプロダクト。
【請求項15】
前記認証トークンが、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするために、常に前記外部の信頼できるソースから取得される、請求項１４に記載のコンピュータプログラムプロダクト。
【請求項16】
前記プロセッサがＩＤサービスプロバイダと通信している場合は、前記認証トークンが前記外部の信頼できるソースから取得され、ＩＤサービスプロバイダとは通信していない場合は、前記ＩＤサービスプロバイダが前記認証トークンを提供するよう構成されている、請求項１４又は１５に記載のコンピュータプログラムプロダクト。
【請求項17】
前記外部の信頼できるソースの前記認証トークンを、所定の時間経過後または前記ユーザーによる所定回数のログイン後に、更新された認証トークンに置き換えること、を更に備える、請求項１４又は１５に記載のコンピュータプログラムプロダクト。
【請求項18】
前記外部の信頼できるソースから前記ユーザーの認証トークンを取得できない場合、
ＩＤサービスプロバイダからの前記ユーザーの更新済み認証トークンを要求することと、
前記ＩＤサービスプロバイダから前記ユーザーの前記更新済み認証トークンを受信することと、
前記ユーザーの前記更新済み認証トークンを前記外部の信頼できるソースに転送することと、を更に備える、請求項１４又は１５に記載のコンピュータプログラムプロダクト。
ＩＤサービスプロバイダからの前記ユーザーの更新済み認証トークンを要求することと、
前記ＩＤサービスプロバイダから前記ユーザーの前記更新済み認証トークンを受信することと、
前記ユーザーの前記更新済み認証トークンを前記外部の信頼できるソースに転送することと、を更に備える、請求項１４又は１５に記載のコンピュータプログラムプロダクト。
【請求項19】
Ｗｅｂアプリケーションにアクセスするためのユーザー認証システムであって、
１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信し、
前記１つまたは複数のリライングパーティーアプリケーションへのアクセス要求に伴う、前記ユーザーの前記ユーザー識別子と前記生体認証識別子を検証し、
外部の信頼できるソースから前記ユーザーの認証トークンを取得し、
前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送し、
前記１つまたは複数のリライングパーティーアプリケーションから、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信するよう構成されたプロセッサを備える、システム。
１つまたは複数のリライングパーティーアプリケーションへのアクセス要求とともに、ユーザーのユーザー識別子と生体認証識別子を受信し、
前記１つまたは複数のリライングパーティーアプリケーションへのアクセス要求に伴う、前記ユーザーの前記ユーザー識別子と前記生体認証識別子を検証し、
外部の信頼できるソースから前記ユーザーの認証トークンを取得し、
前記外部の信頼できるソースから取得された前記ユーザーの前記認証トークンを前記１つまたは複数のリライングパーティーアプリケーションに転送し、
前記１つまたは複数のリライングパーティーアプリケーションから、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするための認証を受信するよう構成されたプロセッサを備える、システム。
【請求項20】
前記認証トークンが、前記ユーザーが前記１つまたは複数のリライングパーティーアプリケーションにアクセスするために、常に前記外部の信頼できるソースから取得される、請求項１９に記載のシステム。
【外国語明細書】