特許 7266560 認証装置、認証方法及び認証プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-04-20

(45)【発行日】2023-04-28

(54)【発明の名称】認証装置、認証方法及び認証プログラム

(51)【国際特許分類】

   G06F 21/42 20130101AFI20230421BHJP

   G06F 21/55 20130101ALI20230421BHJP

   G06F 21/62 20130101ALI20230421BHJP

【ＦＩ】

G06F21/42

G06F21/55

G06F21/62 309

【請求項の数】 8

(21)【出願番号】P 2020123024

(22)【出願日】2020-07-17

(65)【公開番号】P2022019274

(43)【公開日】2022-01-27

【審査請求日】2022-07-06

(73)【特許権者】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(74)【代理人】

【識別番号】100106002

【弁理士】

【氏名又は名称】正林 真之

(74)【代理人】

【識別番号】100120891

【弁理士】

【氏名又は名称】林 一好

(72)【発明者】

【氏名】田淵 純一

(72)【発明者】

【氏名】磯村 学

【審査官】局 成矢

(56)【参考文献】

【文献】特開２００９－２７６８６４（ＪＰ，Ａ）

【文献】特表２０１７－５０３２５３（ＪＰ，Ａ）

【文献】特開２０１７－１１２５９２（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／４２

Ｇ０６Ｆ ２１／５５

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

第１の端末で動作する第１のアプリケーションからのアクセスに応じて、当該第１のアプリケーションに対して、ログイン準備画面のデータを送信する準備画面送信部と、
前記第１の端末において前記ログイン準備画面に入力されたユーザＩＤを受信したことに応じて、前記第１のアプリケーションに対して、端末データを収集するためのスクリプトが難読されて記述されたログイン中画面のデータを送信する処理中画面送信部と、
前記スクリプトが実行されることにより収集された前記端末データを受信し、当該端末データが正当であることを検証する端末データ検証部と、
ワンタイムパスワードを生成し、前記スクリプトに対して、当該ワンタイムパスワードをエンコードして送信し、前記スクリプトによりデコードさせて前記ログイン中画面に表示させる乱数送信部と、
前記ユーザＩＤと予め紐付けられている第２の端末へ、ログイン許可画面のＵＲＬを含むログイン通知データを送信するログイン通知送信部と、
前記ＵＲＬに基づく前記第２の端末で動作する第２のアプリケーションからのアクセスに応じて、当該第２のアプリケーションに対して、前記ログイン許可画面のデータを送信する許可画面送信部と、
前記第２の端末において前記ログイン許可画面に入力されたパスワードを前記ワンタイムパスワードと照合することにより、前記第１のアプリケーションによるログインを承認するログイン承認部と、を備える認証装置。

【請求項2】

前記端末データ検証部は、前記端末データに基づいて、前記第１のアプリケーションのアクセス先が自装置であることを検証する請求項１に記載の認証装置。

【請求項3】

前記端末データ検証部は、前記端末データに基づいて、前記第１のアプリケーションの識別情報が規定のものであることを検証する請求項１又は請求項２に記載の認証装置。

【請求項4】

前記端末データ検証部は、前記端末データに基づいて、前記第１のアプリケーションが表示中の画面のデータが前記処理中画面送信部により送信されたものであることを検証する請求項１から請求項３のいずれかに記載の認証装置。

【請求項5】

前記端末データ検証部は、前記端末データに基づいて、前記第１のアプリケーションの前記第１の端末における実行状態が所定の条件を満たすことを検証する請求項１から請求項４のいずれかに記載の認証装置。

【請求項6】

前記端末データ検証部により前記端末データが正当でないと判定された場合、前記乱数送信部及び前記許可画面送信部が機能した後に、前記ログイン承認部は、前記ワンタイムパスワードとの照合の結果によらず、前記第１のアプリケーションによるログインを失敗させる請求項１から請求項５のいずれかに記載の認証装置。

【請求項7】

第１の端末で動作する第１のアプリケーションからのアクセスに応じて、当該第１のアプリケーションに対して、ログイン準備画面のデータを送信する準備画面送信ステップと、
前記第１の端末において前記ログイン準備画面に入力されたユーザＩＤを受信したことに応じて、前記第１のアプリケーションに対して、端末データを収集するためのスクリプトが難読されて記述されたログイン中画面のデータを送信する処理中画面送信ステップと、
前記スクリプトが実行されることにより収集された前記端末データを受信し、当該端末データが正当であることを検証する端末データ検証ステップと、
ワンタイムパスワードを生成し、前記スクリプトに対して、当該ワンタイムパスワードをエンコードして送信し、前記スクリプトによりデコードさせて前記ログイン中画面に表示させる乱数送信ステップと、
前記ユーザＩＤと予め紐付けられている第２の端末へ、ログイン許可画面のＵＲＬを含むログイン通知データを送信するログイン通知送信ステップと、
前記ＵＲＬに基づく前記第２の端末で動作する第２のアプリケーションからのアクセスに応じて、当該第２のアプリケーションに対して、前記ログイン許可画面のデータを送信する許可画面送信ステップと、
前記第２の端末において前記ログイン許可画面に入力されたパスワードを前記ワンタイムパスワードと照合することにより、前記第１のアプリケーションによるログインを承認するログイン承認ステップと、をコンピュータが実行する認証方法。

【請求項8】

請求項１から請求項６のいずれかに記載の認証装置としてコンピュータを機能させるための認証プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、フィッシングによる不正アクセスを防止する認証システムに関する。

【背景技術】

【0002】

従来、第三者による不正アクセスを防止するユーザ認証の仕組みとして、２段階認証が利用されている。２段階認証では、ユーザがアカウントにログインする際に、ＩＤ及びパスワードの入力に加えて、登録してある電話番号又はメールアドレス等を利用して別の端末に届く通知に対して承認を行う（例えば、セキュリティコードを入力する）ことで、ログインが完了する（例えば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２００７－０５８４６９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、従来の認証システムにおいて表示されるログイン画面は、容易に模倣されフィッシングサイトが作成される可能性があった。このフィッシングサイトは、ユーザの入力を正規の認証システムへ中継することにより正規の通知を出力させ、この通知をユーザに承認させることにより認証システムが返送する鍵情報を詐取できる。

【0005】

本発明は、フィッシングサイトの作成が困難な認証システムを構築できる認証装置、認証方法及び認証プログラムを提供することを目的とする。

【課題を解決するための手段】

【0006】

本発明に係る認証装置は、第１の端末で動作する第１のアプリケーションからのアクセスに応じて、当該第１のアプリケーションに対して、ログイン準備画面のデータを送信する準備画面送信部と、前記第１の端末において前記ログイン準備画面に入力されたユーザＩＤを受信したことに応じて、前記第１のアプリケーションに対して、端末データを収集するためのスクリプトが難読されて記述されたログイン中画面のデータを送信する処理中画面送信部と、前記スクリプトが実行されることにより収集された前記端末データを受信し、当該端末データが正当であることを検証する端末データ検証部と、ワンタイムパスワードを生成し、前記スクリプトに対して、当該ワンタイムパスワードをエンコードして送信し、前記スクリプトによりデコードさせて前記ログイン中画面に表示させる乱数送信部と、前記ユーザＩＤと予め紐付けられている第２の端末へ、ログイン許可画面のＵＲＬを含むログイン通知データを送信するログイン通知送信部と、前記ＵＲＬに基づく前記第２の端末で動作する第２のアプリケーションからのアクセスに応じて、当該第２のアプリケーションに対して、前記ログイン許可画面のデータを送信する許可画面送信部と、前記第２の端末において前記ログイン許可画面に入力されたパスワードを前記ワンタイムパスワードと照合することにより、前記第１のアプリケーションによるログインを承認するログイン承認部と、を備える。

【0007】

前記端末データ検証部は、前記端末データに基づいて、前記第１のアプリケーションのアクセス先が自装置であることを検証してもよい。

【0008】

前記端末データ検証部は、前記端末データに基づいて、前記第１のアプリケーションの識別情報が規定のものであることを検証してもよい。

【0009】

前記端末データ検証部は、前記端末データに基づいて、前記第１のアプリケーションが表示中の画面のデータが前記処理中画面送信部により送信されたものであることを検証してもよい。

【0010】

前記端末データ検証部は、前記端末データに基づいて、前記第１のアプリケーションの前記第１の端末における実行状態が所定の条件を満たすことを検証してもよい。

【0011】

前記端末データ検証部により前記端末データが正当でないと判定された場合、前記乱数送信部及び前記許可画面送信部が機能した後に、前記ログイン承認部は、前記ワンタイムパスワードとの照合の結果によらず、前記第１のアプリケーションによるログインを失敗させてもよい。

【0012】

本発明に係る認証方法は、第１の端末で動作する第１のアプリケーションからのアクセスに応じて、当該第１のアプリケーションに対して、ログイン準備画面のデータを送信する準備画面送信ステップと、前記第１の端末において前記ログイン準備画面に入力されたユーザＩＤを受信したことに応じて、前記第１のアプリケーションに対して、端末データを収集するためのスクリプトが難読されて記述されたログイン中画面のデータを送信する処理中画面送信ステップと、前記スクリプトが実行されることにより収集された前記端末データを受信し、当該端末データが正当であることを検証する端末データ検証ステップと、ワンタイムパスワードを生成し、前記スクリプトに対して、当該ワンタイムパスワードをエンコードして送信し、前記スクリプトによりデコードさせて前記ログイン中画面に表示させる乱数送信ステップと、前記ユーザＩＤと予め紐付けられている第２の端末へ、ログイン許可画面のＵＲＬを含むログイン通知データを送信するログイン通知送信ステップと、前記ＵＲＬに基づく前記第２の端末で動作する第２のアプリケーションからのアクセスに応じて、当該第２のアプリケーションに対して、前記ログイン許可画面のデータを送信する許可画面送信ステップと、前記第２の端末において前記ログイン許可画面に入力されたパスワードを前記ワンタイムパスワードと照合することにより、前記第１のアプリケーションによるログインを承認するログイン承認ステップと、をコンピュータが実行する。

【0013】

本発明に係る認証プログラムは、前記認証装置としてコンピュータを機能させるためのものである。

【発明の効果】

【0014】

本発明によれば、フィッシングサイトの作成が困難な認証システムが構築される。

【図面の簡単な説明】

【0015】

【図1】実施形態における認証方法でユーザに提示される画面の遷移を示す図である。

【図2】実施形態における認証装置の機能構成を示す図である。

【図3】実施形態における認証方法により認証に成功した場合の処理の流れを示すシーケンス図である。

【図4】実施形態における認証方法が攻撃を受けた場合の処理の流れを例示する第１の図である。

【図5】実施形態における認証方法が攻撃を受けた場合の処理の流れを例示する第２の図である。

【発明を実施するための形態】

【0016】

以下、本発明の実施形態の一例について説明する。
本実施形態の認証システムでは、２段階認証において、スクリプトによりログイン中画面に表示されるワンタイムパスワードを、ログイン許可画面に入力させる。
このスクリプトは、解析及び改変ができないように難読化されて認証装置からログイン端末に提供され、さらに、スクリプトによりアクセス元の情報を収集することによりユーザの正当性が検証される。

【0017】

図１は、本実施形態における認証方法でユーザに提示される画面の遷移を示す図である。
まず、ユーザがパーソナルコンピュータ又はモバイル端末等のユーザ端末Ｘから、ブラウザ又は専用アプリケーション等を利用してログイン先のサイトにアクセスすると、端末Ｘにはログイン準備画面が表示される。

【0018】

ログイン準備画面でユーザＩＤを入力後、ログインボタンが押下されると、ユーザ端末Ｘには、ログイン中画面が表示される。ログイン中画面には、ワンタイムパスワードとしての乱数が表示され、別途、ログイン通知がユーザ端末Ｙに送信される。

【0019】

ユーザ端末Ｙに届いたログイン通知に基づいてアクセスしたログイン許可画面において、ユーザ端末Ｘに表示された乱数を入力後、承認ボタンが押下されると、ユーザ端末Ｘのログイン中画面は、手動更新あるいは自動更新により、ログイン完了となる。

【0020】

図２は、本実施形態における認証装置１の機能構成を示す図である。
認証装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。

【0021】

制御部１０は、認証装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

【0022】

記憶部２０は、ハードウェア群を認証装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（認証プログラム）、及びユーザの登録情報等を記憶する。

【0023】

制御部１０は、準備画面送信部１１と、処理中画面送信部１２と、端末データ検証部１３と、乱数送信部１４と、ログイン通知送信部１５と、許可画面送信部１６と、ログイン承認部１７とを備える。

【0024】

準備画面送信部１１は、ユーザ端末Ｘ（第１の端末）で動作するブラウザ又は専用ソフトウェア等、第１のアプリケーションＭからのアクセスに応じて、このアプリケーションＭに対して、ログイン準備画面のデータを送信する。

【0025】

処理中画面送信部１２は、ユーザ端末Ｘにおいてログイン準備画面に入力されたユーザＩＤを受信したことに応じて、アプリケーションＭに対して、端末データを収集するためのスクリプトが難読されて記述されたログイン中画面のデータを送信する。

【0026】

端末データ検証部１３は、スクリプトが実行されることにより収集された端末データを受信し、この端末データが正当であることを検証する。
ここで、端末データは、次の（１）～（３）の情報を含む。

【0027】

（１）アプリケーションＭの現在のアクセス先を示す情報として、ＵＲＬ、ＩＰアドレス、ドメイン名等。
端末データ検証部１３は、この端末データに基づいて、アプリケーションＭのアクセス先が認証装置１であることを検証する。

【0028】

（２）アプリケーションＭそのものの識別情報として、ＵｓｅｒＡｇｅｎｔ、アプリケーション名、バージョン等。
端末データ検証部１３は、この端末データに基づいて、アプリケーションＭの識別情報が規定のものであることを検証する。

【0029】

（３）アプリケーションＭが表示中のログイン中画面に関する情報として、表示中のＨＴＭＬテキスト、動作中のスクリプト等。
端末データ検証部１３は、この端末データに基づいて、アプリケーションＭが表示中の画面のデータが処理中画面送信部１２により送信されたものであること、すなわち改変されていないことを検証する。

【0030】

（４）アプリケーションＭの実行状態を示す情報として、表示ウィンドウのサイズ等。
端末データ検証部１３は、この端末データに基づいて、アプリケーションＭのユーザ端末Ｘにおける実行状態が所定の条件を満たすことを検証する。例えば、実行されるべき端末の解像度を超えるサイズで実行されている場合に不正が考えられる。

【0031】

乱数送信部１４は、端末データ検証部１３により端末データが正当であると判定された場合に、ワンタイムパスワードとして、例えば乱数を生成し、ログイン中画面のスクリプトに対して、生成したワンタイムパスワードをエンコードして送信し、スクリプトによりデコードさせてログイン中画面に表示させる。

【0032】

ログイン通知送信部１５は、記憶部２０の登録情報においてユーザＩＤと予め紐付けられているユーザ端末Ｙ（第２の端末）へ、ログイン許可画面のＵＲＬを含むログイン通知データを送信する。

【0033】

許可画面送信部１６は、ＵＲＬに基づくユーザ端末Ｙで動作する第２のアプリケーションＮからのアクセスに応じて、このアプリケーションＮに対して、ログイン許可画面のデータを送信する。

【0034】

ログイン承認部１７は、ユーザ端末Ｙにおいてログイン許可画面に入力されたパスワードを、乱数送信部１４により生成されたワンタイムパスワードと照合することにより、アプリケーションＭによるログインを承認する。

【0035】

図３は、本実施形態における認証方法により認証に成功した場合の処理の流れを示すシーケンス図である。

【0036】

ステップＳ１において、ユーザ端末Ｘは、ユーザの操作に応じて、アプリケーションＭにより認証装置１にアクセスする。
ステップＳ２において、認証装置１は、ユーザ端末ＸのアプリケーションＭに対してログイン準備画面のデータを送信する。
ステップＳ３において、ユーザ端末Ｘは、アプリケーションＭにより受信したデータに基づいてログイン準備画面を表示する。

【0037】

ステップＳ４において、ユーザは、ユーザ端末Ｘのログイン準備画面にユーザＩＤを入力し、ログインボタンを押下（タッチ）する。
ステップＳ５において、ユーザ端末Ｘは、アプリケーションＭにより、入力されたユーザＩＤを認証装置１へ送信する。
ステップＳ６において、認証装置１は、ユーザ端末ＸのアプリケーションＭに対してログイン中画面のデータを送信する。

【0038】

ステップＳ７において、ユーザ端末Ｘは、アプリケーションＭにより受信したデータに基づいてログイン中画面を表示する。このとき、アプリケーションＭにより、ログイン中画面のデータに含まれるスクリプトが実行される。
ステップＳ８において、ユーザ端末Ｘは、実行されたスクリプトによりアプリケーションＭに関する端末データを収集し、認証装置１へ送信する。

【0039】

ステップＳ９において、認証装置１は、端末データを検証し、アプリケーションＭのアクセス先が認証装置１となっていることを確認する。
ステップＳ１０において、認証装置１は、乱数Ｐを生成し、ユーザ端末Ｘのスクリプトに対して、エンコードした乱数を送信する。
ステップＳ１１において、ユーザ端末Ｘは、スクリプトにより乱数Ｐをデコードし、ログイン中画面に表示する。

【0040】

ステップＳ１２において、認証装置１は、ユーザ端末Ｙに対してログイン通知データを送信する。
ステップＳ１３において、ユーザは、ユーザ端末Ｙに届いたログイン通知をタップし、アプリケーションＮを起動する。
ステップＳ１４において、ユーザ端末Ｙは、アプリケーションＮにより認証装置１にアクセスする。これに応じて、認証装置１は、ユーザ端末ＹのアプリケーションＮに対してログイン許可画面のデータを送信し、ユーザ端末Ｙは、アプリケーションＮにより受信したデータに基づいてログイン許可画面を表示する。

【0041】

ステップＳ１５において、ユーザは、ユーザ端末Ｙのログイン許可画面の入力欄に乱数Ｐを入力し、承認ボタンを押下（タッチ）する。これに応じて、ユーザ端末Ｙは、アプリケーションＮにより、入力された乱数Ｐを認証装置１へ送信する。
ステップＳ１６において、ユーザ端末Ｘは、アプリケーションＭによるログイン中画面の自動更新、又はユーザの操作（更新ボタン）に応じた手動更新により、認証装置１から鍵情報を取得し、ログインを完了する。

【0042】

図４は、本実施形態における認証方法が攻撃を受けた場合の処理の流れを例示する第１の図である。
この例では、攻撃者がユーザ端末Ｘと認証装置１との通信を中継している。

【0043】

ステップＳ１、Ｓ２、Ｓ５、Ｓ６、Ｓ８において、攻撃者が通信データを中継することにより、ユーザ端末ＸのアプリケーションＭに関する端末データが認証装置１に提供される。
ステップＳ９において、認証装置１は、端末データを検証するが、アプリケーションＭのアクセス先（ステップＳ１）は、認証装置１とはなっておらず、攻撃者のフィッシングサイトを経由していることが検知される。

【0044】

なお、ステップＳ９において端末データが正当でないと判定され攻撃が検知された場合、この時点で処理が終了してもよいが、図３と同様にステップＳ１０～Ｓ１５が実行されてもよい。この場合、ステップＳ１６において、認証装置１は、ログインを失敗させる。
これにより、どのステップで攻撃が検知されてログインに失敗したのかを、攻撃者が判断できなくなる。

【0045】

図５は、本実施形態における認証方法が攻撃を受けた場合の処理の流れを例示する第２の図である。
この例では、図４の例のように端末データにより攻撃が検知されないために、攻撃者が自らスクリプトを実行して端末データを取得している。

【0046】

攻撃者の端末は、ステップＳ６において、ログイン中画面のデータを取得すると、ステップＳ７ａにおいて、データに含まれるスクリプトを取得して自端末で実行することにより、自端末におけるアプリケーションＭに関する端末データを認証装置１へ送信する。
この結果、ステップＳ９において、認証装置１は、端末データに含まれるアクセス先等が正当であることを確認できるため、ステップＳ１０において、エンコードした乱数を送信する。

【0047】

攻撃者は、エンコードされた乱数、及び難読化されたスクリプトを解読できないことから、乱数をユーザ端末Ｘのログイン中画面に表示させることができない。
したがって、ステップＳ１２のログイン通知データに基づいて、ステップＳ１３～Ｓ１４においてユーザ端末ＹでアプリケーションＮが起動されたとしても、ユーザは、ステップＳ１５で乱数を入力することができず、ログインを完了できない。

【0048】

本実施形態によれば、認証装置１は、難読化したスクリプトによりユーザ端末Ｘにワンタイムパスワードである乱数を表示させ、ユーザＩＤに紐づけられたユーザ端末Ｙにこの乱数を入力させる。
これにより、ユーザ端末Ｘと認証装置１との通信を中継する攻撃者は、難読化されたスクリプトが解読できなければ、スクリプトの実行結果のみを中継することができないため、乱数をユーザ端末Ｘに表示させるためには、このスクリプトをユーザ端末Ｘで実行させなければならない。
したがって、認証装置１は、スクリプトの機能によりユーザ端末Ｘで動作中のアプリケーションＭに関する端末データを収集し、この端末データが正当であることを検証できる。この結果、攻撃者による標的型フィッシングサイトによる攻撃は検知されるので、難読化技術のセキュリティ強度に応じて、フィッシングサイトの作成が困難な認証システムが構築される。

【0049】

認証装置１は、端末データに基づいて、ログインのためにユーザ端末Ｘで実行されているアプリケーションＭのアクセス先が自装置であることを検証することにより、ユーザ端末Ｘがフィッシングサイトにアクセスしていることを容易に検知できる。

【0050】

認証装置１は、端末データに基づいて、アプリケーションＭの識別情報が規定のものであることを検証してもよい。これにより、提供サービスに専用のアプリケーションが利用される、あるいは使用可能なブラウザアプリケーションに制限があるような場合に、認証装置１は、このアプリケーションＭを識別する情報により、不正なアクセスを検知できる。

【0051】

認証装置１は、端末データに基づいて、アプリケーションＭが表示中の画面のデータが認証装置１により送信されたものと同一であり、改変されていないことを検証してもよい。これにより、認証装置１は、例えば、攻撃者による正規のログイン中画面における注意文言を削除する等といった僅かな改変、あるいは、難読化されたスクリプトの万が一の改変を検知できる。

【0052】

認証装置１は、端末データに基づいて、アプリケーションＭのユーザ端末Ｘにおける実行状態が所定の条件を満たすことを検証してもよい。これにより、認証装置１は、アプリケーションＭが想定される画面サイズ等により正常に実行されているか否かを判定し、不正なアクセスを検知できる。

【0053】

認証装置１は、端末データ検証部１３により端末データが正当でないと判定された場合、乱数送信部１４及び許可画面送信部１６を機能させた後に、ログイン承認部１７によるワンタイムパスワードの照合の結果によらず、アプリケーションＭによるログインを失敗させる。
これにより、認証装置１は、どのステップで攻撃を検知したのかを攻撃者に対して秘匿でき、攻撃検知の回避行動を抑制できるので安全性を高めることができる。

【0054】

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

【0055】

ログインを行うユーザ端末Ｘと承認を行うユーザ端末Ｙとは、同一のデバイスであってもよい。また、ログイン準備画面及びログイン中画面を表示するアプリケーションＭと、ログイン許可画面を表示するアプリケーションＮとは、同一のアプリケーションであってもよい。

【0056】

認証装置１による認証方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

【符号の説明】

【0057】

１ 認証装置
１０ 制御部
１１ 準備画面送信部
１２ 処理中画面送信部
１３ 端末データ検証部
１４ 乱数送信部
１５ ログイン通知送信部
１６ 許可画面送信部
１７ ログイン承認部
２０ 記憶部
Ｍ 第１のアプリケーション
Ｎ 第２のアプリケーション
Ｘ ユーザ端末（第１の端末）
Ｙ ユーザ端末（第２の端末）

【図1】

【図2】

【図3】

【図4】

【図5】