特許 7519979 認証システム、認証端末、認証サーバ及び認証プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-11

(45)【発行日】2024-07-22

(54)【発明の名称】認証システム、認証端末、認証サーバ及び認証プログラム

(51)【国際特許分類】

   G06F 21/31 20130101AFI20240712BHJP

   G06F 21/35 20130101ALI20240712BHJP

【ＦＩ】

G06F21/31

G06F21/35

【請求項の数】 9

(21)【出願番号】P 2021195450

(22)【出願日】2021-12-01

(65)【公開番号】P2023081604

(43)【公開日】2023-06-13

【審査請求日】2024-02-09

(73)【特許権者】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(74)【代理人】

【識別番号】100106002

【弁理士】

【氏名又は名称】正林 真之

(74)【代理人】

【識別番号】100120891

【弁理士】

【氏名又は名称】林 一好

(72)【発明者】

【氏名】田淵 純一

【審査官】辻 勇貴

(56)【参考文献】

【文献】特表２０１９－５１７０８７（ＪＰ，Ａ）

【文献】特開２０１０－１１７９８８（ＪＰ，Ａ）

【文献】特開２０１５－０８２１４０（ＪＰ，Ａ）

【文献】国際公開第２０１１／０８３８６７（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／３１

Ｇ０６Ｆ ２１／３５

(57)【特許請求の範囲】

【請求項1】

認証端末及び認証サーバを備え、前記認証端末からのユーザＩＤを伴うアクセスに応じて、認証サーバが当該アクセスを認証する認証システムであって、
前記認証端末は、
前記認証サーバから送信される認証用メッセージを受信してユーザに提示するメッセージ受信部と、
前記認証用メッセージに記載されたパスワードの入力を受け付け、前記認証サーバへ送信する認証要求部と、
所定のアプリケーションに対する前記認証サーバからのプッシュ通知に対して、当該プッシュ通知の送信元へ応答する通知応答部と、を備え、
前記認証サーバは、
前記アクセスに応じて、前記ユーザＩＤに紐づく電話番号により前記認証端末へ前記認証用メッセージを送信するメッセージ送信部と、
前記認証端末に入力された前記パスワードを受信する要求受信部と、
前記電話番号に紐付けられた識別情報により前記所定のアプリケーションに対して前記プッシュ通知を行い、当該プッシュ通知に対する応答を受信する応答受信部と、
前記パスワード及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に前記アクセスを認証する送信元検証部と、を備える認証システム。

【請求項2】

ログイン端末、認証端末及び認証サーバを備え、前記ログイン端末からのユーザＩＤを伴うアクセスに応じて、認証サーバが当該アクセスを認証する認証システムであって、
前記認証端末は、
前記認証サーバから送信される認証用メッセージを受信してユーザに提示するメッセージ受信部と、
前記認証用メッセージに記載されたＵＲＬに基づくページに対して、前記ユーザの確認入力を受け付け、前記認証サーバへ確認情報を送信する認証要求部と、
所定のアプリケーションに対する前記認証サーバからのプッシュ通知に対して、当該プッシュ通知の送信元へ応答する通知応答部と、を備え、
前記認証サーバは、
前記アクセスに応じて、前記ユーザＩＤに紐づく電話番号により前記認証端末へ前記認証用メッセージを送信するメッセージ送信部と、
要求に応じて前記認証端末へ前記ＵＲＬに基づくページを送信し、前記確認情報を受信する要求受信部と、
前記電話番号に紐付けられた識別情報により前記所定のアプリケーションに対して前記プッシュ通知を行い、当該プッシュ通知に対する応答を受信する応答受信部と、
前記確認情報及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に前記アクセスを認証する送信元検証部と、を備える認証システム。

【請求項3】

前記送信元検証部は、前記送信元ＩＰアドレスの全体が一致する場合に前記アクセスを認証する請求項１又は請求項２に記載の認証システム。

【請求項4】

ユーザＩＤを伴うアクセスに応じて、当該ユーザＩＤに紐づく電話番号により認証サーバから送信される認証用メッセージを受信してユーザに提示するメッセージ受信部と、
前記認証用メッセージに記載されたパスワードの入力を受け付け、前記認証サーバへ送信する認証要求部と、
前記電話番号に紐付けられた識別情報による所定のアプリケーションに対する前記認証サーバからのプッシュ通知に対して、当該プッシュ通知の送信元へ応答する通知応答部と、を備え、
前記パスワード及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に、前記認証サーバにより前記アクセスが認証される認証端末。

【請求項5】

ログイン端末からのユーザＩＤを伴うアクセスに応じて、当該ユーザＩＤに紐づく電話番号により認証サーバから送信される認証用メッセージを受信してユーザに提示するメッセージ受信部と、
前記認証用メッセージに記載されたＵＲＬに基づき前記認証サーバから送信されたページに対して、前記ユーザの確認入力を受け付け、前記認証サーバへ確認情報を送信する認証要求部と、
前記電話番号に紐付けられた識別情報による所定のアプリケーションに対する前記認証サーバからのプッシュ通知に対して、当該プッシュ通知の送信元へ応答する通知応答部と、を備え、
前記確認情報及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に、前記認証サーバにより前記アクセスを認証させる認証端末。

【請求項6】

認証端末からのユーザＩＤを伴うアクセスに応じて、前記ユーザＩＤに紐づく電話番号により前記認証端末へ、パスワードが記載された認証用メッセージを送信するメッセージ送信部と、
前記認証端末に入力された前記パスワードを受信する要求受信部と、
前記電話番号に紐付けられた識別情報により、前記認証端末で動作する所定のアプリケーションに対してプッシュ通知を行い、当該プッシュ通知に対する応答を受信する応答受信部と、
前記パスワード及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に前記アクセスを認証する送信元検証部と、を備える認証サーバ。

【請求項7】

ログイン端末からのユーザＩＤを伴うアクセスに応じて、前記ユーザＩＤに紐づく電話番号により認証端末へ認証用メッセージを送信するメッセージ送信部と、
前記認証用メッセージに記載されたＵＲＬに基づく要求に応じてページを送信し、ユーザからの確認入力に応じた確認情報を受信する要求受信部と、
前記電話番号に紐付けられた識別情報により、前記認証端末で動作する所定のアプリケーションに対してプッシュ通知を行い、当該プッシュ通知に対する応答を受信する応答受信部と、
前記確認情報及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に前記アクセスを認証する送信元検証部と、を備える認証サーバ。

【請求項8】

請求項６に記載の認証サーバとしてコンピュータを機能させるための認証プログラム。

【請求項9】

請求項７に記載の認証サーバとしてコンピュータを機能させるための認証プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ＳＭＳを用いた多段階の認証システムに関する。

【背景技術】

【0002】

従来、ユーザ認証時のセキュリティ向上のため、携帯端末に通知するＳＭＳを用いた２段階認証が多く採用されているが（例えば、特許文献１参照）、近年、マルウェアによるＳＭＳ盗聴を用いた攻撃による被害が増加している。
こうした攻撃に対策するため、Ａｕｔｈｅｎｔｉｃａｔｏｒアプリによる認証や、ＦＩＤＯ（登録商標）による認証など、ＳＭＳ以外の手段を用いた２段階認証が提案されている。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２００７－０５８４６９号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、Ａｕｔｈｅｎｔｉｃａｔｏｒアプリによる認証、又はＦＩＤＯによる認証といった従来の認証方式は、端末紛失時にログイン不可となることから、端末紛失時向けの認証手段を別途提供しなければならないため、プライマリの認証手段とはなり得ない。また、ＳＭＳは、様々な端末での実現性、利便性、費用などの観点で優位性があるため、他の認証手段へ切り替えることは難しかった。

【0005】

本発明は、ＳＭＳ認証の安全性を向上した多段階の認証システムを提供することを目的とする。

【課題を解決するための手段】

【0006】

本発明に係る認証システムは、認証端末及び認証サーバを備え、前記認証端末からのユーザＩＤを伴うアクセスに応じて、認証サーバが当該アクセスを認証するシステムであって、前記認証端末は、前記認証サーバから送信される認証用メッセージを受信してユーザに提示するメッセージ受信部と、前記認証用メッセージに記載されたパスワードの入力を受け付け、前記認証サーバへ送信する認証要求部と、所定のアプリケーションに対する前記認証サーバからのプッシュ通知に対して、当該プッシュ通知の送信元へ応答する通知応答部と、を備え、前記認証サーバは、前記アクセスに応じて、前記ユーザＩＤに紐づく電話番号により前記認証端末へ前記認証用メッセージを送信するメッセージ送信部と、前記認証端末に入力された前記パスワードを受信する要求受信部と、前記電話番号に紐付けられた識別情報により前記所定のアプリケーションに対して前記プッシュ通知を行い、当該プッシュ通知に対する応答を受信する応答受信部と、前記パスワード及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に前記アクセスを認証する送信元検証部と、を備える。

【0007】

本発明に係る認証システムは、ログイン端末、認証端末及び認証サーバを備え、前記ログイン端末からのユーザＩＤを伴うアクセスに応じて、認証サーバが当該アクセスを認証するシステムであって、前記認証端末は、前記認証サーバから送信される認証用メッセージを受信してユーザに提示するメッセージ受信部と、前記認証用メッセージに記載されたＵＲＬに基づくページに対して、前記ユーザの確認入力を受け付け、前記認証サーバへ確認情報を送信する認証要求部と、所定のアプリケーションに対する前記認証サーバからのプッシュ通知に対して、当該プッシュ通知の送信元へ応答する通知応答部と、を備え、前記認証サーバは、前記アクセスに応じて、前記ユーザＩＤに紐づく電話番号により前記認証端末へ前記認証用メッセージを送信するメッセージ送信部と、要求に応じて前記認証端末へ前記ＵＲＬに基づくページを送信し、前記確認情報を受信する要求受信部と、前記電話番号に紐付けられた識別情報により前記所定のアプリケーションに対して前記プッシュ通知を行い、当該プッシュ通知に対する応答を受信する応答受信部と、前記確認情報及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に前記アクセスを認証する送信元検証部と、を備える。

【0008】

前記送信元検証部は、前記送信元ＩＰアドレスの全体が一致する場合に前記アクセスを認証してもよい。

【0009】

本発明に係る認証端末は、ユーザＩＤを伴うアクセスに応じて、当該ユーザＩＤに紐づく電話番号により認証サーバから送信される認証用メッセージを受信してユーザに提示するメッセージ受信部と、前記認証用メッセージに記載されたパスワードの入力を受け付け、前記認証サーバへ送信する認証要求部と、前記電話番号に紐付けられた識別情報による所定のアプリケーションに対する前記認証サーバからのプッシュ通知に対して、当該プッシュ通知の送信元へ応答する通知応答部と、を備え、前記パスワード及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に、前記認証サーバにより前記アクセスが認証される。

【0010】

本発明に係る認証端末は、ログイン端末からのユーザＩＤを伴うアクセスに応じて、当該ユーザＩＤに紐づく電話番号により認証サーバから送信される認証用メッセージを受信してユーザに提示するメッセージ受信部と、前記認証用メッセージに記載されたＵＲＬに基づき前記認証サーバから送信されたページに対して、前記ユーザの確認入力を受け付け、前記認証サーバへ確認情報を送信する認証要求部と、前記電話番号に紐付けられた識別情報による所定のアプリケーションに対する前記認証サーバからのプッシュ通知に対して、当該プッシュ通知の送信元へ応答する通知応答部と、を備え、前記確認情報及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に、前記認証サーバにより前記アクセスを認証させる。

【0011】

本発明に係る認証サーバは、認証端末からのユーザＩＤを伴うアクセスに応じて、前記ユーザＩＤに紐づく電話番号により前記認証端末へ、パスワードが記載された認証用メッセージを送信するメッセージ送信部と、前記認証端末に入力された前記パスワードを受信する要求受信部と、前記電話番号に紐付けられた識別情報により、前記認証端末で動作する所定のアプリケーションに対してプッシュ通知を行い、当該プッシュ通知に対する応答を受信する応答受信部と、前記パスワード及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に前記アクセスを認証する送信元検証部と、を備える。

【0012】

本発明に係る認証サーバは、ログイン端末からのユーザＩＤを伴うアクセスに応じて、前記ユーザＩＤに紐づく電話番号により認証端末へ認証用メッセージを送信するメッセージ送信部と、前記認証用メッセージに記載されたＵＲＬに基づく要求に応じてページを送信し、ユーザからの確認入力に応じた確認情報を受信する要求受信部と、前記電話番号に紐付けられた識別情報により、前記認証端末で動作する所定のアプリケーションに対してプッシュ通知を行い、当該プッシュ通知に対する応答を受信する応答受信部と、前記確認情報及び前記応答の送信元ＩＰアドレスが少なくとも同一のサブネットである場合に前記アクセスを認証する送信元検証部と、を備える。

【0013】

本発明に係る認証プログラムは、前記認証サーバとしてコンピュータを機能させるためのものである。

【発明の効果】

【0014】

本発明によれば、多段階の認証システムにおいて、ＳＭＳ認証の安全性を向上できる。

【図面の簡単な説明】

【0015】

【図1】認証端末がログイン端末と同一の場合の認証システムの機能構成を示す図である。

【図2】認証端末がログイン端末と同一の場合の認証手順を示すシーケンス図である。

【図3】認証端末がログイン端末と異なる場合の認証システムの機能構成を示す図である。

【図4】認証端末がログイン端末と異なる場合の認証手順を示すシーケンス図である。

【発明を実施するための形態】

【0016】

以下、本発明の実施形態の一例について説明する。
本実施形態の認証システムは、ＳＭＳを用いてワンタイムパスワード又はＵＲＬを認証端末に送信して２段階認証を行う際に、このＳＭＳに伴う通信と、別途のプッシュ通信に伴う通信とで、ＩＰアドレスが同一であることを追加で検証することにより、ＳＭＳの盗聴による攻撃を抑制する。
なお、ＩＰアドレスが同一であるとは、ＩＰアドレスの全体が一致することとしてもよいが、例えば、２４ビット～８ビットなどのサブネットマスクが設定されている場合に、このサブネットが同一であることとしてもよい。

【0017】

ここで、ＳＭＳを用いた２段階認証が実施されるとき、次の二通りの場合が存在する。
ケースＡ： ログインしようとしている端末（ログイン端末）と、ＳＭＳの送受信が行われる端末（認証端末）とが同一の場合。
ケースＢ： ログイン端末と認証端末とが異なる場合。

【0018】

ログインの開始時点において、ユーザに明示的に選択させることなく、この２つのケースを正確に判別することは困難である。しかしながら、ユーザが利用中の端末（ログイン端末）の機種又は画面サイズなどから、おおよその判別をすることが可能である。つまり、機種がスマートフォンの場合にはケースＡの可能性が高く、また、画面サイズが小型の場合にはケースＡの可能性が高いと判別することができる。
本実施形態では、認証サーバは、ユーザに明示的に選択させる、あるいは、端末の機種又は画面サイズから判別するなどして、ログイン開始時においてケースＡ又はＢのいずれであるかを判別した後、それぞれのシーケンスによりログイン認証を行う。

【0019】

図１は、本実施形態のケースＡ、すなわち認証端末がログイン端末と同一の場合の認証システム１Ａの機能構成を示す図である。
認証システム１Ａは、認証端末２０（ログイン端末）が認証サーバ１０へアクセスする際にＳＭＳ認証及び追加認証を実施するための構成である。認証サーバ１０には、予めユーザが保有する認証端末２０の電話番号を含む情報がユーザＩＤと紐付けて登録されている。

【0020】

認証端末２０は、認証サーバ１０にログインするとともに、２段階認証のために電話番号に基づくメッセージ（以下、ＳＭＳとする）を受信可能な情報処理装置であり、スマートフォンなどの携帯端末が該当する。

【0021】

認証端末２０では、認証サーバ１０にアクセスするためのアプリケーション（以下、ブラウザアプリという）の他、ＳＭＳを受信するアプリケーション（以下、ＳＭＳアプリという）が動作する。さらに、追加認証のため、認証端末２０には、所定のアプリケーション（アプリＸ）が予めインストールされている。
このアプリＸは、認証サーバ１０からプッシュ通知が可能なアプリケーションであり、通知のための識別情報が電話番号に紐付けて認証サーバ１０に登録される。

【0022】

認証サーバ１０の制御部１１は、記憶部１２に記憶されたソフトウェア（認証プログラム）を実行することにより、メッセージ送信部１１１、要求受信部１１２、応答受信部１１３、送信元検証部１１４として機能する。

【0023】

メッセージ送信部１１１は、認証端末２０（ブラウザアプリ）からのユーザＩＤを伴うアクセスに応じて、ユーザＩＤに紐づく電話番号により認証端末２０へ、ワンタイムパスワードが記載された認証用のＳＭＳを送信する。

【0024】

要求受信部１１２は、認証端末２０（ブラウザアプリ）に入力されたワンタイムパスワードを受信する。

【0025】

応答受信部１１３は、認証端末２０の電話番号に紐付けられた識別情報により所定のアプリケーション（アプリＸ）に対してプッシュ通知を行い、このプッシュ通知に対する応答を受信する。

【0026】

送信元検証部１１４は、要求受信部１１２が受信したワンタイムパスワード、及び応答受信部１１３が受信した応答の送信元ＩＰアドレスが同一である場合に、認証端末２０からのアクセスを認証し、ログインを完了させる。

【0027】

認証端末２０の制御部２１は、記憶部２２に記憶されたソフトウェア（ブラウザアプリ、ＳＭＳアプリ、アプリＸ）を実行することにより、メッセージ受信部２１１、認証要求部２１２、通知応答部２１３として機能する。

【0028】

メッセージ受信部２１１は、ＳＭＳアプリにより、認証サーバ１０から送信された認証用のＳＭＳを受信してユーザに提示する。
このＳＭＳには、認証情報としてのワンタイムパスワードが記載されており、このワンタイムパスワードは、ブラウザアプリにユーザが手入力、又は自動で入力される。

【0029】

認証要求部２１２は、ブラウザアプリにより、認証用のＳＭＳに記載されたワンタイムパスワードの入力を受け付け、認証サーバ１０へ送信する。

【0030】

通知応答部２１３は、認証端末２０の電話番号に紐付けられた識別情報（例えば、端末番号）によるアプリＸに対する認証サーバ１０からのプッシュ通知に対して、このプッシュ通知の送信元へ応答する。

【0031】

図２は、本実施形態のケースＡ、すなわち認証端末がログイン端末と同一の場合の認証手順を示すシーケンス図である。

【0032】

ステップＳ１において、ユーザは、認証端末２０で動作するブラウザにおいて、認証サーバ１０へのログインの開始操作を行う。
ステップＳ２において、認証端末２０（ブラウザ）は、認証サーバ１０にアクセスし、ログインページを要求する。
ステップＳ３において、認証サーバ１０は、ログインページを認証端末２０に返却する。

【0033】

ステップＳ４において、ユーザは、表示されたログインページにＩＤ（及びパスワード）を入力する。
ステップＳ５において、認証端末２０（ブラウザ）は、入力されたＩＤ（及びパスワード）を認証サーバ１０に送信する。
ステップＳ６において、認証サーバ１０は、２段階認証の開始ページを認証端末２０に返却する。

【0034】

ステップＳ７において、認証サーバ１０は、記憶部１２に格納されているユーザ情報データベースから、ユーザのＩＤに紐づく電話番号を抽出し、この電話番号を有する認証端末２０に対して、ワンタイムパスワードを含むＳＭＳを送信する。

【0035】

ステップＳ８において、ユーザは、送信されたＳＭＳを閲覧し、記載されたワンタイムパスワードを読み取る。
ステップＳ９において、ユーザは、認証端末２０（ブラウザ）に、読み取ったワンタイムパスワードを入力する。なお、このワンタイムパスワードの読み取り及び入力は、自動で行われてもよい。
ステップＳ１０において、認証端末２０（ブラウザ）は、入力されたワンタイムパスワードを認証サーバ１０に送信する。

【0036】

ステップＳ１１において、認証サーバ１０は、ステップＳ７で使用した電話番号と紐付けられている端末番号に対して、プッシュ通知を行う。
ステップＳ１２において、認証端末２０（アプリＸ）は、受信したプッシュ通知に応答して、送信元へアクセスする。

【0037】

ステップＳ１３において、認証サーバ１０は、ステップＳ１０におけるワンタイムパスワードの送信元ＩＰアドレスと、ステップＳ１２におけるアクセス元のＩＰアドレスとが同一であることを確認する。
ステップＳ１４において、認証サーバ１０は、認証端末２０に対してログイン完了後のページと、認証情報とを送信しログインを完了する。

【0038】

図３は、本実施形態のケースＢ、すなわち認証端末がログイン端末と異なる場合の認証システム１Ｂの機能構成を示す図である。
認証システム１Ｂは、ログイン端末３０が認証サーバ１０へアクセスする際に、認証端末２０を利用してＳＭＳ認証及び追加認証を実施するための構成である。認証サーバ１０には、予めユーザが保有する認証端末２０の電話番号を含む情報がユーザＩＤと紐付けて登録されている。

【0039】

認証端末２０は、ログイン端末３０が認証サーバ１０にログインする際に、２段階認証のために電話番号に基づくメッセージ（以下、ＳＭＳとする）を受信可能な情報処理装置であり、スマートフォンなどの携帯端末が該当する。

【0040】

認証端末２０では、ＳＭＳを受信するアプリケーション（以下、ＳＭＳアプリという）が動作する。さらに、認証端末２０には、ＵＲＬにアクセスするためのアプリケーション（以下、ブラウザアプリという）の他、追加認証のため所定のアプリケーション（アプリＸ）が予めインストールされている。
このアプリＸは、認証サーバ１０からプッシュ通知が可能なアプリケーションであり、通知のための識別情報が電話番号に紐付けて認証サーバ１０に登録される。

【0041】

認証サーバ１０の制御部１１は、記憶部１２に記憶されたソフトウェア（認証プログラム）を実行することにより、メッセージ送信部１１１、要求受信部１１２、応答受信部１１３、送信元検証部１１４として機能する。

【0042】

メッセージ送信部１１１は、ログイン端末３０（ブラウザアプリ）からのユーザＩＤを伴うアクセスに応じて、ユーザＩＤに紐づく電話番号により認証端末２０へ、ＵＲＬが記載された認証用のＳＭＳを送信する。

【0043】

要求受信部１１２は、認証用のＳＭＳに記載されたＵＲＬに基づく認証端末２０（ブラウザアプリ）からの要求に応じて、対応するページを送信し、ユーザからの確認入力に応じた確認情報を受信する。

【0044】

応答受信部１１３は、認証端末２０の電話番号に紐付けられた識別情報により所定のアプリケーション（アプリＸ）に対してプッシュ通知を行い、このプッシュ通知に対する応答を受信する。

【0045】

送信元検証部１１４は、要求受信部１１２が受信した確認情報、及び応答受信部１１３が受信した応答の送信元ＩＰアドレスが同一である場合に、ログイン端末３０からのアクセスを認証し、ログインを完了させる。

【0046】

認証端末２０の制御部２１は、記憶部２２に記憶されたソフトウェア（ブラウザアプリ、ＳＭＳアプリ、アプリＸ）を実行することにより、メッセージ受信部２１１、認証要求部２１２、通知応答部２１３として機能する。

【0047】

メッセージ受信部２１１は、ＳＭＳアプリにより、認証サーバ１０から送信された認証用のＳＭＳを受信してユーザに提示する。
このＳＭＳには、認証情報としてのＵＲＬが記載されており、このＵＲＬによりブラウザアプリが起動される。

【0048】

認証要求部２１２は、ブラウザアプリにより、認証用のＳＭＳに記載されたＵＲＬのページを認証サーバ１０に要求し、返却された確認ページに対してユーザの確認入力を受け付け、認証サーバ１０へ確認情報を送信する。

【0049】

通知応答部２１３は、認証端末２０の電話番号に紐付けられた識別情報によるアプリＸに対する認証サーバ１０からのプッシュ通知に対して、このプッシュ通知の送信元へ応答する。

【0050】

図４は、本実施形態のケースＢ、すなわち認証端末がログイン端末と異なる場合の認証手順を示すシーケンス図である。

【0051】

ステップＳ２１において、ユーザは、ログイン端末３０で動作するブラウザにおいて、認証サーバ１０へのログインの開始操作を行う。
ステップＳ２２において、ログイン端末３０（ブラウザ）は、認証サーバ１０にアクセスし、ログインページを要求する。
ステップＳ２３において、認証サーバ１０は、ログインページをログイン端末３０に返却する。

【0052】

ステップＳ２４において、ユーザは、表示されたログインページにＩＤ（及びパスワード）を入力する。
ステップＳ２５において、ログイン端末３０（ブラウザ）は、入力されたＩＤ（及びパスワード）を認証サーバ１０に送信する。
ステップＳ２６において、認証サーバ１０は、２段階認証の開始ページをログイン端末３０に返却する。

【0053】

ステップＳ２７において、認証サーバ１０は、記憶部１２に格納されているユーザ情報データベースから、ユーザのＩＤに紐づく電話番号を抽出し、この電話番号を有する認証端末２０に対して、２段階認証用のＵＲＬを含むＳＭＳを送信する。

【0054】

ステップＳ２８において、ユーザは、送信されたＳＭＳに記載されたＵＲＬを選択（タップ）し、認証端末２０のブラウザにこのＵＲＬのページを開くことを要求する。
ステップＳ２９において、認証端末２０（ブラウザ）は、指定されたＵＲＬのページを認証サーバ１０に要求する。
ステップＳ３０において、認証サーバ１０は、２段階認証の確認ページを認証端末２０に返却する。

【0055】

ステップＳ３１において、ユーザは、認証端末２０のブラウザに表示された確認ページにおいて確認操作を行う（ボタンをタップする）。
ステップＳ３２において、認証端末２０（ブラウザ）は、ユーザから確認操作があったことを示す確認情報を認証サーバ１０に送信する。
ステップＳ３３において、認証サーバ１０は、２段階認証の確認完了ページを認証端末２０に返却する。

【0056】

ステップＳ３４において、認証サーバ１０は、ステップＳ２７で使用した電話番号と紐付けられている端末番号に対して、プッシュ通知を行う。
ステップＳ３５において、認証端末２０（アプリＸ）は、受信したプッシュ通知に応答して、送信元へアクセスする。

【0057】

ステップＳ３６において、認証サーバ１０は、ステップＳ３２における確認情報の送信元ＩＰアドレスと、ステップＳ３５におけるアクセス元のＩＰアドレスとが同一であることを確認する。
ステップＳ３７において、ユーザは、２段階認証の開始ページを更新（ボタンをタップ）、又は自動更新を待つ。これにより、ログイン端末３０（ブラウザ）は、認証サーバ１０に認証の状態を確認する。
ステップＳ３８において、認証サーバ１０は、ログイン端末３０に対してログイン完了後のページと、認証情報とを送信しログインを完了する。

【0058】

なお、ケースＡのシーケンス（図２）又はケースＢのシーケンス（図４）において、追加認証（破線枠内）の通信は、ユーザＩＤの入力（ステップＳ５又はＳ２５）後、送信元の検証（ステップＳ１３又はＳ３６）までの任意のタイミングで実施されてよい。

【0059】

本実施形態によれば、認証システム１（１Ａ又は１Ｂ）は、ＳＭＳ認証に伴う認証サーバ１０に対するアクセス元のＩＰアドレスが、予め認証端末２０にインストールされたアプリＸに対するプッシュ通知の応答と同一のサブネットであることを検証することにより、認証強度を向上させる。すなわち、攻撃者が認証端末２０に送信されたＳＭＳを盗聴し不正ログインを試みた場合に、アクセス元のＩＰアドレスのサブネットがアプリＸのＩＰアドレスと一致しないためログインに失敗する。
したがって、認証システム１は、多段階の認証システムにおいて、ＳＭＳ認証の安全性を向上できる。
さらに、認証システム１は、ＩＰアドレスの全体の一致を検証することで、端末が同一であることをより厳密に検証し、安全性を高めることができる。

【0060】

また、ＳＭＳの送受信が行われる認証端末２０と、ログイン端末３０とが異なるケースＢの場合、ケースＡと同様にワンタイムパスワードをログイン端末３０に入力させると、認証端末２０から認証サーバ１０への認証要求の通信が発生しないため、認証サーバ１０は、追加認証のためのＩＰアドレスを取得できない。
したがって、認証サーバ１０は、ＳＭＳ認証においてＵＲＬを認証端末２０に通知し、確認画面からの通信を発生させることで、ケースＢの場合であってもＩＰアドレスの同一性を検証することができる。

【0061】

なお、前述の実施形態により、例えば、マルウェア攻撃に強いＳＭＳ認証を実現し不正アクセス被害を低減できることから、国連が主導する持続可能な開発目標（ＳＤＧｓ）の目標９「レジリエントなインフラを整備し、持続可能な産業化を推進するとともに、イノベーションの拡大を図る」に貢献することが可能となる。

【0062】

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

【0063】

前述の実施形態では、認証端末２０から認証サーバ１０への認証要求の通信（ワンタイムパスワード又は確認情報）と、アプリＸからの通信とでＩＰアドレスの同一性を検証したが、これには限られない。ケースＡの場合、認証端末２０から認証サーバ１０への通信は複数発生するため、認証サーバ１０は、アプリＸからの通信と、他のいずれかの通信とでＩＰアドレスの同一性を検証してもよい。

【0064】

また、前述の実施形態では、アプリＸをＳＭＳアプリとは異なるアプリケーションとしているが、例えば、認証端末２０でＲＣＳ機能を持つＳＭＳアプリを利用中の場合には、アプリＸとＳＭＳアプリとが同一であってもよい。また、この場合、プッシュ通知がＳＭＳの送信を兼ねても、あるいは、ＳＭＳ送信がプッシュ通知を兼ねてもよい。

【0065】

前述の実施形態では、ケースＡ又はケースＢのいずれであるかが予め判定されているものとして説明したが、次のように誤認される場合があり得る。
ケースＢと判定したがＡであった場合、ユーザのＵＸは多少悪化するものの認証自体は成功する。
ケースＡと判定したがＢであった場合、ユーザは正しく操作しているにもかかわらず認証に失敗する。したがって、認証サーバ１０は、認証失敗時に、セキュリティ強化のため追加認証が必要になっている旨をユーザに提示し、通話認証など、より強度の高い２段階認証を追加で要求する。

【0066】

また、ＨＴＴＰプロクシ又はＮＡＴなどを原因としてＩＰアドレスの同一判定に失敗した場合についても、ユーザは正しく操作しているにもかかわらず認証に失敗するため、同様に、認証サーバ１０は、別の追加認証を要求して対処する。

【0067】

認証システム１による認証方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

【符号の説明】

【0068】

１、１Ａ、１Ｂ 認証システム
１０ 認証サーバ
１１ 制御部
１２ 記憶部
２０ 認証端末
２１ 制御部
２２ 記憶部
３０ ログイン端末
１１１ メッセージ送信部
１１２ 要求受信部
１１３ 応答受信部
１１４ 送信元検証部
２１１ メッセージ受信部
２１２ 認証要求部
２１３ 通知応答部

【図1】

【図2】

【図3】

【図4】