特表 2024-522281 コードベースの二要素認証

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-06-13

(54)【発明の名称】コードベースの二要素認証

(51)【国際特許分類】

   G06F 21/31 20130101AFI20240606BHJP

   G06F 21/33 20130101ALI20240606BHJP

   G06F 21/42 20130101ALI20240606BHJP

   G06F 21/36 20130101ALI20240606BHJP

【ＦＩ】

G06F21/31

G06F21/33

G06F21/42

G06F21/36

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2023573162

(86)(22)【出願日】2022-06-28

(85)【翻訳文提出日】2023-11-27

(86)【国際出願番号】 US2022035293

(87)【国際公開番号】W WO2023278426

(87)【国際公開日】2023-01-05

(31)【優先権主張番号】63/217,029

(32)【優先日】2021-06-30

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】17/850,684

(32)【優先日】2022-06-27

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＪＡＶＡ

２．ＱＲコード

３．ＢＬＵＥＴＯＯＴＨ

(71)【出願人】

【識別番号】000002185

【氏名又は名称】ソニーグループ株式会社

(71)【出願人】

【識別番号】596102126

【氏名又は名称】ソニー ピクチャーズ エンターテインメント インコーポレイテッド

(74)【代理人】

【識別番号】100092093

【弁理士】

【氏名又は名称】辻居 幸一

(74)【代理人】

【識別番号】100109070

【弁理士】

【氏名又は名称】須田 洋之

(74)【代理人】

【識別番号】100067013

【弁理士】

【氏名又は名称】大塚 文昭

(74)【代理人】

【氏名又は名称】上杉 浩

(74)【代理人】

【識別番号】100141553

【弁理士】

【氏名又は名称】鈴木 信彦

(72)【発明者】

【氏名】ディール エリック

(72)【発明者】

【氏名】ルドラバトラ チャイタニヤ

(57)【要約】

ユーザ装置からリモートサービスにアクセスするためのユーザアカウントを認証することが、リモートサービスによって提供される、ユーザ装置上に表示された機械可読画像コードを、モバイル装置を使用して取り込むことと、画像コードに埋め込まれた対応するセッションコードを抽出して呼び出すことと、ストレージ内に電話トークンが存在するかどうかを判定することと、（ａ）ストレージ内に電話トークンが存在する場合、電話トークンをリモートサービスに送信すること、又は（ｂ）ストレージ内に電話トークンが存在しない場合、ユーザにユーザ名及びパスワードを含む認証情報を入力するように促して、入力された認証情報をリモートサービスに送信すること、の一方を行うことと、セッションコードが有効であり、かつ認証情報が有効であり又は電話トークンが確認された場合に、ユーザ装置のリモートサービスへのアクセスを受け取ることと、を含む。
【選択図】 なし

【特許請求の範囲】

【請求項1】

ユーザ装置からリモートサービスにアクセスするためのユーザアカウントを認証する方法であって、
前記リモートサービスによって提供される、前記ユーザ装置上に表示された機械可読画像コードを、モバイル装置を使用して取り込むことと、
前記機械可読画像コードに埋め込まれた対応するセッションコードを抽出して呼び出すことと、
ストレージ内に電話トークンが存在するかどうかを判定することと、
（ａ）前記ストレージ内に前記電話トークンが存在する場合、前記電話トークンを前記リモートサービスに送信すること、又は（ｂ）前記ストレージ内に前記電話トークンが存在しない場合、ユーザにユーザ名及びパスワードを含む認証情報を入力するように促して、該入力された認証情報を前記リモートサービスに送信すること、の一方を行うことと、
前記セッションコードが有効であり、かつ前記認証情報が有効であり又は前記電話トークンが確認された場合に、前記ユーザ装置の前記リモートサービスへのアクセスを受け取ることと、
を含むことを特徴とする方法。

【請求項2】

前記機械可読画像コードは、クイックレスポンス（ＱＲ）コードを含む、
請求項１に記載の方法。

【請求項3】

前記ユーザ装置は、テレビ、コンピュータ又はゲーム機のうちの１つである、
請求項１に記載の方法。

【請求項4】

前記ユーザ装置にインストールされたリモートサービスアプリケーションによって前記機械可読画像コードを表示することをさらに含む、
請求項１に記載の方法。

【請求項5】

前記リモート装置から前記電話トークンが受け取られた時に、前記電話トークンを前記モバイル装置の前記ストレージに記憶することをさらに含む、
請求項１に記載の方法。

【請求項6】

ユーザ装置からリモートサービスにアクセスするためのユーザアカウントを認証するリモートサービス方法であって、
モバイル装置からセッションコードを受け取ることと、
前記セッションコードがセット構造内の保留中のセッションコードのうちの１つに一致するかどうかを判定することと、
前記一致したセッションコードを前記セット構造から削除することと、
電話トークン又は前記ユーザアカウントの認証情報を受け取ることと、
（ａ）前記認証情報が受け取られた場合、前記認証情報の有効性を判定すること、又は（ｂ）前記認証情報が受け取られない場合、前記リモートサービスの認証情報データベース内に前記電話トークンが存在するかどうかを判定すること、の一方を行うことと、
前記認証情報が有効であると判定された場合、前記電話トークンを生成して前記ユーザ装置に送信することと、
前記認証情報を使用して、前記ユーザ装置にインストールされたリモートサービスアプリケーションに前記リモートサービスへのアクセスを許可することと、
を含むことを特徴とする方法。

【請求項7】

前記セッションコードを生成して前記セット構造に記憶することと、
前記記憶されたセッションコードを使用して機械可読画像コードを生成することと、
前記生成された機械可読画像コードを、前記ユーザ装置にインストールされた前記リモートサービスアプリケーションに送信することと、
をさらに含む、請求項６に記載のリモートサービス方法。

【請求項8】

前記認証情報は、ユーザ名及びパスワードを含み、前記認証情報の前記有効性を判定することは、
前記パスワードをソルト化してｓａｌｔｅｄｐａｓｓｗｏｒｄを生成することと、
前記認証情報データベース内に｛ユーザ名、ｓａｌｔｅｄＰａｓｓｗｏｒｄ｝のペアが存在するかどうかをチェックすることと、
を含み、
前記ｓａｌｔｅｄＰａｓｓｗｏｒｄは、パスワード及びソルトの組み合わせにハッシュ関数を適用した結果であり、
ソルトは乱数である、
請求項６に記載のリモートサービス方法。

【請求項9】

前記電話トークンは、ユーザ名を含むＪａｖａ Ｗｅｂ Ｔｏｋｅｎである、
請求項６に記載のリモートサービス方法。

【請求項10】

前記電話トークンをソルト化ハッシュとして前記認証情報データベースに記憶することをさらに含む、
請求項６に記載のリモートサービス方法。

【請求項11】

前記モバイル装置に前記電話トークンを送信して、前記モバイル装置のストレージに前記電話トークンを記憶することをさらに含む、
請求項６に記載のリモートサービス方法。

【請求項12】

前記セッションコードは、該セッションコードの使用を制限する有効期限を含む、
請求項６に記載のリモートサービス方法。

【請求項13】

前記電話トークンは、該電話トークンの使用を制限する有効期限を含む、
請求項６に記載のリモートサービス方法。

【請求項14】

リモートサービスにアクセスするためのユーザアカウントを認証するシステムであって、
前記リモートサービスによって提供される機械可読画像コードを表示するリモートサービスアプリケーションを含むユーザ装置と、
前記リモートサービスにアクセスするための前記機械可読画像コードを取り込み、前記機械可読画像コードに埋め込まれた対応するセッションコードを抽出して呼び出し、前記抽出されたセッションコード、及び（ａ）自機のストレージ内の電話トークン又は（ｂ）ユーザから取得された認証情報の一方を前記リモートサービスに送信して、前記認証情報が有効である場合、又は前記電話トークンが確認された場合に、前記ユーザ装置の前記リモートサービスへのアクセスを受け取る、モバイル装置と、
を含む、ことを特徴とするシステム。

【請求項15】

前記機械可読画像コードは、クイックレスポンス（ＱＲ）コードを含む、
請求項１４に記載のシステム。

【請求項16】

前記ユーザ装置は、テレビ、コンピュータ又はゲーム機のうちの１つである、
請求項１４に記載のシステム。

【請求項17】

前記モバイル装置から前記セッションコードを受け取り、前記セッションコードが前記セット構造内の保留中のセッションコードのうちの１つに一致するかどうかを判定し、前記一致したセッションコードを前記セット構造から削除する、リモートサービスをさらに含み、
前記リモートサービスは、前記電話トークン又は前記ユーザアカウントの前記認証情報を受け取り、（ａ）前記認証情報の有効性、又は（ｂ）前記リモートサービスの認証情報データベースにおける前記電話トークンの存在を判定し、
前記リモートサービスは、前記セッションコードが前記セット構造内の前記保留中のセッションコードのうちの１つに一致し、かつ（ａ）前記認証情報が有効であり、又は（ｂ）前記電話トークンが前記リモートサービスの前記認証情報データベース内に存在する場合に、前記リモートサービスのための前記ユーザ装置にインストールされた前記リモートサービスアプリケーションへのアクセスを許可する、
請求項１４に記載のシステム。

【請求項18】

前記セッションコードは、該セッションコードの使用を制限する有効期限を含む、
請求項１７に記載のシステム。

【請求項19】

前記電話トークンは、ユーザ名を含むＪａｖａ Ｗｅｂ Ｔｏｋｅｎである、
請求項１４に記載のシステム。

【請求項20】

前記電話トークンは、該電話トークンの使用を制限する有効期限を含む、
請求項１４に記載のシステム。

【発明の詳細な説明】

【技術分野】

【0001】

〔関連出願との相互参照〕
本出願は、２０２１年６月３０日に出願された「ＱＲコードベースの二要素認証（ＱＲ Ｃｏｄｅ－Ｂａｓｅｄ Ｔｗｏ Ｆａｃｔｏｒ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）」という名称の同時係属中の米国仮特許出願第６３／２１７，０２９号の米国特許法第１１９条に基づく優先権の利益を主張するものである。上記出願の開示は、引用により本明細書に組み入れられる。

【0002】

本開示は、二要素認証に関し、具体的には、ユーザ装置においてリモートサービスにアクセスするためのユーザアカウントの認証に関する。

【背景技術】

【0003】

スマートＴＶ、セットトップボックス、又はＡｐｐｌｅ ＴＶ（ＴＭ）などの専用装置上で動作する多くのストリーミングサービスはユーザ認証を必要とする。多くの場合、この認証は使い勝手が悪く、特に新たなアクセス毎に認証義務がある場合にはなおさらである。例えば、リモコン装置のみを使用する場合、複雑なパスワードを入力する作業はすぐに面倒になってしまうことがある。

【0004】

ほとんどの従来のソリューションは、伝統的なユーザ名とパスワードとの組み合わせを使用する。しかしながら、この組み合わせは使い勝手が悪く、安全でない場合もある。ソリューションの中には、登録電話を用いた伝統的な二要素認証（２ＦＡ）を使用するものもある。このサービスは、ユーザの登録済みモバイル装置にＳＭＳを介してコードを送信する。このソリューションでも、ユーザはリモコン装置を介して自身の認証情報を入力する必要がある。他のソリューションには、既に登録済みの装置にコードを送信することによってユーザの装置を登録するものもある。この場合も、ユーザはリモコン装置を使用して認証情報を入力しなければならない。

【発明の概要】

【課題を解決するための手段】

【0005】

本開示は、リモートサービスにアクセスするためのユーザアカウントの認証を提供する。

【0006】

１つの実装では、ユーザ装置からリモートサービスにアクセスするためのユーザアカウントを認証する方法を開示する。方法は、リモートサービスによって提供される、ユーザ装置上に表示された機械可読画像コードを、モバイル装置を使用して取り込むことを含む。方法は、画像コードに埋め込まれた対応するセッションコードを抽出して呼び出すことも含む。方法は、ストレージ内に電話トークンが存在するかどうかを判定することと、（ａ）ストレージ内に電話トークンが存在する場合、電話トークンをリモートサービスに送信すること、又は（ｂ）ストレージ内に電話トークンが存在しない場合、ユーザにユーザ名及びパスワードを含む認証情報を入力するように促して、入力された認証情報をリモートサービスに送信すること、の一方を行うことと、をさらに含む。方法は、セッションコードが有効であり、かつ認証情報が有効であり又は電話トークンが確認された場合に、ユーザ装置のリモートサービスへのアクセスを受け取ることをさらに含む。

【0007】

別の実装では、ユーザ装置においてリモートサービスにアクセスするためのユーザアカウントを認証するリモートサービス方法を開示する。この方法は、モバイル装置からセッションコードを受け取ることと、セッションコードがセット構造内の保留中のセッションコードのうちの１つに一致するかどうかを判定することと、一致したセッションコードをセット構造から削除することと、を含む。方法は、電話トークン又はユーザアカウントの認証情報を受け取ることと、（ａ）認証情報が受け取られた場合、認証情報の有効性を判定すること、又は（ｂ）認証情報が受け取られない場合、リモートサービスの認証情報データベース内に電話トークンが存在するかどうかを判定すること、の一方を行うことと、をさらに含む。方法は、認証情報が有効であると判定された場合、電話トークンを生成してユーザ装置に送信することと、認証情報を使用して、ユーザ装置にインストールされたリモートサービスアプリケーションにリモートサービスへのアクセスを許可することと、をさらに含む。

【0008】

さらに別の実装では、リモートサービスにアクセスするためのユーザアカウントを認証するシステムが、ユーザ装置、モバイル装置、及びリモートサービスを含む。ユーザ装置は、リモートサービスによって提供される機械可読画像コードを表示するリモートサービスアプリケーションを含む。モバイル装置は、リモートサービスにアクセスするための機械可読画像コードを取り込み、機械可読画像コードに埋め込まれた対応するセッションコードを抽出して呼び出す。また、モバイル装置は、抽出されたセッションコード、及び（ａ）モバイル装置のストレージ内の電話トークン又は（ｂ）ユーザから取得された認証情報の一方をリモートサービスに送信して、認証情報が有効である場合、又は電話トークンが確認された場合に、ユーザ装置のリモートサービスへのアクセスを受け取る。

【0009】

本開示の態様を一例として示す本明細書からは、他の特徴及び利点も明らかになるはずである。

【0010】

同じ部分を同じ参照数字によって示す添付図面を検討することにより、本開示の詳細をその構造及び動作の両方に関して部分的に入手することができる。

【図面の簡単な説明】

【0011】

【図1】本開示の１つの実装による、ユーザ装置においてリモートサービスにアクセスするためのユーザアカウントを認証するプロセスのフロー図である。

【図2】本開示の１つの実装による、リモートサービスにアクセスするためのユーザアカウントを認証するリモートサービスプロセスのフロー図である。

【図3】本開示の１つの実装による、リモートサービスにアクセスするためのユーザアカウントを認証するシステムのブロック図である。

【図4A】本開示の１つの実装によるコンピュータシステム及びユーザの表現である。

【図4B】本開示の１つの実装による、認証アプリケーションをホストするコンピュータシステムを示す機能ブロック図である。

【発明を実施するための形態】

【0012】

上述したように、多くのストリーミングサービスのユーザ認証は使い勝手が悪いことが多く、リモコン装置のみを使用する場合にはすぐに作業が面倒になってしまうことがある。従って、ユーザアカウントを認証する単純な方法が必要とされている。

【0013】

本開示のいくつかの実装は、ユーザアカウントを認証する方法及びシステムを提供する。１つの実装では、サーバシステムが、セッションコードを含む機械可読コード（例えば、クイックレスポンス（ＱＲ）コード）をユーザ装置に提供する。ユーザは、モバイル装置を使用してユーザ装置からＱＲコードの画像を取り込み、ＱＲコードからセッションコードを抽出する。モバイル装置は、セッションコードをサーバシステムに戻す。すると、サーバシステムは、受け取った情報を認証して、サーバシステムが提供するサービスへのアクセスを（ディスプレイを含む）ユーザ装置に許可する。１つの例では、サーバシステムがコンテンツストリーミングサービスを提供する。別の例では、ディスプレイ装置が、インターネットを通じてリモートサービスシステムに接続されたテレビである。

【0014】

実装において提供する機能は、限定するわけではないが、以下の項目のうちの１つ又は２つ以上を含むことができる。
（ａ）セッションコードを作成し、セッションコードを含む画像コード（ＱＲコードなど）を作成すること、
（ｂ）画像コードの取り込み画像からセッションコードを抽出すること、
（ｃ）将来的なトランザクションについてモバイル装置を識別するためのモバイル装置用トークンを作成すること、及び、
（ｄ）セッションコード及びユーザ認証情報、又はセッションコード及びトークンを使用してユーザ装置を認証すること。

【0015】

以下の説明を読んだ後には、様々な実装及び用途における本開示の実装方法が明らかになるであろう。本明細書では本開示の様々な実装について説明するが、これらの実装はほんの一例として提示するものであり、限定ではないと理解されたい。従って、様々な実装の詳細な説明は、本開示の範囲又は外延を限定するものとして解釈すべきではない。

【0016】

１つの実装では、コンテンツサービスが、サーバシステム（例えば、リモートサービス）からインターネットを介してテレビ、コンピュータ又はゲーム機などのユーザ装置にビデオデータを送信することによってストリーミングビデオを提供する。１つの実装では、ユーザ装置が、リモート／ストリーミングサービスに接続するアプリケーションを含む。ユーザは、アプリケーションを起動してリモート／ストリーミングサービスにアクセスする。

【0017】

例えば、ユーザは、テレビを通じてストリーミングサービスにアクセスするために、モバイル装置を使用してサーバシステムとの間でテレビを認証する。ユーザは、（インターネットに接続された）テレビを通じてサービスへのアクセスを要求する。サーバシステムは、セッションコードを作成するとともに、セッションコードを示すＱＲコードを作成する。サーバシステムは、インターネットを通じてテレビにＱＲコードを送信する。テレビは、受け取ったＱＲコードを表示する。ユーザは、モバイル装置のカメラを使用してＱＲコードの画像を取り込む。モバイル装置は、ＱＲコード画像からセッションコードを抽出又は導出する。

【0018】

１つの実装では、モバイル装置が、サーバシステムから受け取られたセッションコード及びトークンを使用する。モバイル装置は、トークンを有していない場合には、トークンを使用せずにセッションコードをサーバシステムに送信する。サーバシステムはセッションコードを検証し、モバイル装置にユーザ認証情報（ユーザ名及びパスワードなど）を要求する。モバイル装置は、（未だユーザ認証情報を記憶していない場合には）ユーザにユーザ認証情報を要求してこれを受け取り、その後に認証情報をサーバシステムに送信する。サーバシステムは、認証情報を検証する。サーバシステムは、検証後にテレビにストリーミングサービスへのアクセスを許可する。認証されたテレビは、サーバシステムにビデオデータを要求し、これを受け取って表示することができる。サーバは、ユーザに関連するトークン（例えば、ユーザ名）も作成して記憶し、このトークンをモバイル装置に送信する。モバイル装置は、将来的な要求のためにトークンを記憶する。

【0019】

モバイル装置は、以前にサーバシステムからトークンを受け取っている場合、セッションコード及びトークンをサーバシステムに送信する。サーバシステムは、セッションコード及びトークンを検証する。サーバシステムは、検証後にテレビにストリーミングサービスへのアクセスを許可する。認証されたテレビは、サーバシステムにビデオデータを要求し、これを受け取って表示することができる。

【0020】

図１は、本開示の１つの実装による、ユーザ装置においてリモートサービスにアクセスするためのユーザアカウントを認証するプロセス１００のフロー図である。１つの実装では、ユーザ装置を使用してリモートサービスにアクセスするために、ブロック１１０において、ユーザがモバイル装置を使用して、ユーザ装置上に表示された画像コード（例えば、ＱＲコード）を取り込む。画像コードは、バーコード、近距離無線通信（ＮＦＣ）タグ、ＳｎａｐＴａｇｓ、画像認識（Ｉｍａｇｅ Ｒｅｃｏｇｎｉｔｉｏｎ）、Ｂｌｕｅｔｏｏｔｈビーコンなどの他のコード又はタグを含むこともできる。１つの実装では、ユーザ装置が、テレビ、コンピュータ又はゲーム機のうちの１つである。１つの実装では、ユーザ装置にインストールされたリモートサービスアプリケーションによってＱＲコードが表示される。

【0021】

ブロック１１０においてＱＲコードが取り込まれると、ブロック１１２において、モバイル装置が、ＱＲコードに埋め込まれた対応するロケーションコード（例えば、ユニフォームリソースロケータ（ＵＲＬ））を抽出して呼び出す。この機能は、モバイル装置の最近のオペレーティングシステム内にしばしば存在する。いくつかの実装では、モバイル装置が、対応するセッションコードを抽出してリモートサービスに送信することもできる。モバイル装置は、ブロック１２０において、自機のストレージに電話トークンを有しているかどうかを判定するチェックを行う。モバイル装置は、既に電話トークンを有していると判定した場合、ブロック１３０において電話トークンをリモートサービスに送信し、ブロック１３２において確認を待つ。

【0022】

一方で、モバイル装置は、電話トークンを有していないと判定した場合、ブロック１２２においてユーザにユーザ名及びパスワードを含む認証情報を入力するように促す。ブロック１４０において、モバイル装置は、受け取った認証情報をリモートサービスに送信する。次に、ブロック１５０において、モバイル装置は、電話トークンを保持するトークン応答を待つ。モバイル装置は、ブロック１６０において（未だモバイル装置がトークンを記憶していない場合にはトークンと共に）確認を受け取ると、ブロック１７０においてセキュアなストレージにトークンを記憶する。さらに、モバイル装置が確認を受け取ると、サーバシステムは、ユーザ装置にストリーミングサービスへのアクセスを許可する。この結果、認証されたユーザ装置は、リモートサービスにビデオデータを要求し、これを受け取って表示することができる。

【0023】

特定の実装では、ユーザ装置からリモートサービスにアクセスするためのユーザアカウントを認証する方法を開示する。この方法は、リモートサービスによって提供される、ユーザ装置上に表示された機械可読画像コードを、モバイル装置を使用して取り込むことと、画像コードに埋め込まれた対応するセッションコードを抽出して呼び出すことと、ストレージ内に電話トークンが存在するかどうかを判定することと、（ａ）ストレージ内に電話トークンが存在する場合、電話トークンをリモートサービスに送信すること、又は（ｂ）ストレージ内に電話トークンが存在しない場合、ユーザにユーザ名及びパスワードを含む認証情報を入力するように促して、入力された認証情報をリモートサービスに送信すること、の一方を行うことと、セッションコードが有効であり、かつ認証情報が有効であり又は電話トークンが確認された場合に、ユーザ装置のリモートサービスへのアクセスを受け取ることと、を含む。

【0024】

１つの実装では、機械可読画像コードがクイックレスポンス（ＱＲ）コードを含む。１つの実装では、ユーザ装置が、テレビ、コンピュータ又はゲーム機のうちの１つである。１つの実装では、方法が、ユーザ装置にインストールされたリモートサービスアプリケーションによって機械可読画像コードを表示することをさらに含む。１つの実装では、方法が、リモート装置から電話トークンが受け取られた時に、電話トークンをモバイル装置のストレージに記憶することをさらに含む。

【0025】

図２は、本開示の１つの実装による、リモートサービスにアクセスするためのユーザアカウントを認証するリモートサービスプロセス２００のフロー図である。最初に、リモートサービスは、ユーザアカウントを認証するために、（ａ）セッションコード（例えば、２５６ビットのノンスセッションコード（ｎｏｎｃｅ ｓｅｓｓｉｏｎ ｃｏｄｅ））を生成してこのコードをセット構造（ｓｅｔ ｓｔｒｕｃｔｕｒｅ）に記憶するステップと、（ｂ）記憶されたセッションコードを使用して、（例えば、ＲＦＣ２０４５標準に従って２進数を文字列に符号化するＵＲＬｌｂａｓｅ６４によって定められる）ＱＲコードを生成するステップと、（ｃ）生成されたＱＲコードを、ユーザ装置にインストールされた上述したようなリモートサービスアプリケーションに送信するステップと、を実行する。

【0026】

図２の例示的な実装では、ブロック２１０において、リモートサービスが、モバイル装置によって送信されたＱＲコードを受け取って（例えば、ｂａｓｅ６４符号化されたコードを復号することによって）セッションコードを抽出する。リモートサービスは、ブロック２２０において、抽出されたコードが保留中のセッションコードのうちの１つであるかどうかを判定する。リモートサービスは、取り出されたコードが保留中のセッションコードのうちの１つであるとブロック２２０において判定した場合、対応するセッションコードをセット構造から削除する。次に、リモートサービスは、ブロック２２２において、ユーザの認証情報（例えば、ユーザ名及びパスワード）を提供するための応答要求メッセージをモバイル装置に送信する。

【0027】

リモートサービスは、ブロック２３０においてモバイル装置が認証情報で応答したと判定した場合、ブロック２３４において認証情報の有効性をチェックする。１つの実装では、リモートサービスが、ｓａｌｔｅｄＰａｓｓｗｏｒｄを計算して｛ユーザ名、ｓａｌｔｅｄＰａｓｓｗｏｒｄ｝のペアがリモートサービスの認証情報データベース内に存在するかどうかをチェックすることによって認証情報を検証する。１つの実装では、ｓａｌｔｅｄＰａｓｓｗｏｒｄ＝ＳＨＡ５１２（ｐａｓｓｗｏｒｄ｜ｓａｌｔ）であり、ソルトは５１２ビットの乱数である。リモートサービスは、ブロック２３４において認証情報が有効であると判定すると、ブロック２４０において電話トークンを生成し、生成された電話トークンをユーザ装置に送信する。１つの実装では、電話トークンが、ユーザ名（ｕｓｅｒｎａｍｅ）を含むＪａｖａ Ｗｅｂ Ｔｏｋｅｎ（例えば、２５６ビットのｎｏｎｃｅ）である。１つの実装では、リモートサービスが、電話トークンをソルト化ハッシュなどとして認証情報データベースに記憶することも行う。モバイル装置は、その後のリモートサービスの使用時に、迅速なアクセスのために、取り込まれたコード及び記憶された電話トークンの両方を送信する。

【0028】

一方で、リモートサービスは、ブロック２３０においてモバイル装置が認証情報で応答しなかったと判定した場合、ブロック２３２において、モバイル装置が電話トークンで応答したかどうか、及びその電話トークンがリモートサービスの認証情報データベース内に存在するかどうかを判定するチェックを行う。ブロック２３２において、モバイル装置が電話トークンで応答してリモートサービスの認証情報データベース内にその電話トークンが存在すると判定された場合、リモートサービスは、（電話トークンに関連する）ユーザ名を含むＪａｖａ Ｗｅｂ Ｔｏｋｅｎを生成し、これをユーザ装置に送信することができる。なお、Ｊａｖａ Ｗｅｂ Ｔｏｋｅｎは、ユーザ名のみを伝えて電話トークンを伝えない。ブロック２３２及びブロック２３４における試験（すなわち、既知のトークン及び認証情報の有効性試験）に合格すると、リモートサービスは、ブロック２５０においてそのユーザのユーザ名についてアプリケーションへのアクセスを許可する。モバイル装置が電話トークンを有していないという理由で認証情報で応答した場合、リモートサービスは、モバイル装置に電話トークンを返送してモバイル装置のストレージにセキュアに記憶することも行う。

【0029】

１つの実装では、リモートサービスがセッションコードに有効期限を追加してセキュリティを強化する。従って、有効期限後にモバイル装置が応答した場合は認証に失敗する恐れがある。別の実装では、電話トークンも有効期限を有する。従って、有効期限切れのトークンが提示された場合には、モバイル装置に対して有効なユーザ名及びパスワードを提示するように命令することができる。さらに別の実装では、リモートサービスが、電話トークンの値又は新しさにかかわらず認証情報の提示をランダムに要求する。さらなる実施形態では、リモートサービスが、ユーザ名に関連する電話トークンの数を制限する。

【0030】

１つの実装では、ユーザ装置からリモートサービスにアクセスするためのユーザアカウントを認証するリモートサービス方法を開示する。この方法は、モバイル装置からセッションコードを受け取ることと、セッションコードがセット構造内の保留中のセッションコードのうちの１つに一致するかどうかを判定することと、一致したセッションコードをセット構造から削除することと、電話トークン又はユーザアカウントの認証情報を受け取ることと、（ａ）認証情報が受け取られた場合、認証情報の有効性を判定すること、又は（ｂ）認証情報が受け取られない場合、リモートサービスの認証情報データベース内に電話トークンが存在するかどうかを判定すること、の一方を行うことと、認証情報が有効であると判定された場合、電話トークンを生成してユーザ装置に送信することと、認証情報を使用して、ユーザ装置にインストールされたリモートサービスアプリケーションにリモートサービスへのアクセスを許可することと、を含む。

【0031】

１つの実装では、方法が、セッションコードを生成してセット構造に記憶することと、記憶されたセッションコードを使用して機械可読画像コードを生成することと、生成された機械可読画像コードを、ユーザ装置にインストールされたリモートサービスアプリケーションに送信することと、をさらに含む。１つの実装では、認証情報がユーザ名及びパスワードを含み、認証情報の有効性を判定することが、パスワードをソルト化してｓａｌｔｅｄｐａｓｓｗｏｒｄを生成することと、認証情報データベース内に｛ユーザ名、ｓａｌｔｅｄＰａｓｓｗｏｒｄ｝のペアが存在するかどうかをチェックすることとを含み、ｓａｌｔｅｄＰａｓｓｗｏｒｄはパスワード及びソルトの組み合わせにハッシュ関数を適用した結果であり、ソルトは乱数である。１つの実装では、電話トークンが、ユーザ名を含むＪａｖａ Ｗｅｂ Ｔｏｋｅｎである。１つの実装では、方法が、電話トークンをソルト化ハッシュとして認証情報データベースに記憶することをさらに含む。１つの実装では、方法が、モバイル装置に電話トークンを送信してモバイル装置のストレージに電話トークンを記憶することをさらに含む。１つの実装では、セッションコードが、セッションコードの使用を制限する有効期限を含む。１つの実装では、電話トークンが、電話トークンの使用を制限する有効期限を含む。

【0032】

図３は、本開示の１つの実装による、リモートサービスにアクセスするためのユーザアカウントを認証するシステム３００のブロック図である。図３の例示的な実装では、システム３００が、ユーザ装置３１０、モバイル装置３２０、及びリモートサービス３３０を含む。１つの実装では、システム３００のブロック３２０、３３０、３４０が、１又は２以上のデジタルシグナルプロセッサ（ＤＳＰ）、汎用マイクロプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルロジックアレイ（ＦＰＧＡ）、又はその他の同等の集積又はディスクリート論理回路を含むハードウェアで完全に構成される。

【0033】

図３の例示的な実装では、リモートサービス３３０にアクセスするために、ユーザ装置３１０上に表示されたＱＲコードをモバイル装置３２０を使用して取り込む。１つの実装では、ユーザ装置３１０が、テレビ、コンピュータ又はゲーム機のうちの１つである。１つの実装では、ユーザ装置３１０にインストールされたリモートサービスアプリケーション３１２によってＱＲコードが表示される。モバイル装置３２０は、ＱＲコードが取り込まれると、ＱＲコードに埋め込まれた対応するＵＲＬを抽出して呼び出す。モバイル装置３２０は、自機のストレージ内に電話トークンを有しているかどうかをチェックする。モバイル装置３２０は、既に電話トークンを有している場合には、電話トークンをリモートサービス３３０に送信して確認を待つ。

【0034】

一方で、モバイル装置３２０は、電話トークンを有していない場合には、ユーザにユーザ名及びパスワードを含む認証情報を入力するように促す。次に、モバイル装置３２０は、受け取った認証情報をリモートサービス３３０に送信する。その後、モバイル装置３２０は、電話トークンを保持するトークン応答を待つ。モバイル装置３２０は、（モバイル装置が未だ電話トークンを有していない場合には電話トークンと共に）確認を受け取ると、電話トークンをストレージに記憶する。さらに、モバイル装置３２０が確認を受け取ると、リモートサービス３３０は、ユーザ装置３１０にストリーミングサービスへのアクセスを許可する。この結果、認証されたユーザ装置は、リモートサービスにビデオデータを要求し、これを受け取って表示することができる。

【0035】

図３の例示的な実装では、リモートサービス３３０が、モバイル装置３２０によって送信されたＱＲコードを受け取って（例えば、ｂａｓｅ６４符号化されたコードを復号することによって）セッションコードを抽出する。リモートサービス３３０は、抽出されたコードが保留中のセッションコードのうちの１つであるかどうかをチェックする。リモートサービス３３０は、抽出されたコードが保留中のセッションコードのうちの１つである場合（かつトークンなしで送信された場合）、対応するセッションコードをセット構造から削除し、ユーザの認証情報（例えば、ユーザ名及びパスワード）を提供するための要求応答メッセージをモバイル装置３２０に送信する。モバイル装置３２０が認証情報で応答した場合、リモートサービス３３０は認証情報の有効性をチェックする。認証情報が有効である場合、リモートサービス３３０は電話トークンを生成し、生成された電話トークンをユーザ装置３１０に送信する。モバイル装置３２０は、その後のリモートサービス３３０の使用時に、迅速なアクセスのために、取り込まれたコード及び記憶された電話トークンの両方を送信する。

【0036】

一方で、モバイル装置３２０が認証情報で応答せずに電話トークンで応答した場合、リモートサービス３３０は、リモートサービス３２０の認証情報データベース内にその電話トークンが存在するかどうかをチェックする。リモートサービス３３０の認証情報データベース内に電話トークンが存在する場合、リモートサービス３３０は、電話トークンに関連するユーザ名を含むＪａｖａ Ｗｅｂ Ｔｏｋｅｎを生成し、これをユーザ装置３１０に送信する。トークン又は認証情報の有効性試験のいずれかに合格した場合、リモートサービス３３０は、そのユーザのユーザ名についてアプリケーションへのアクセスを許可する。リモートサービス３３０は、モバイル装置３２０にモバイル装置トークンを返送してモバイル装置３２０のストレージにセキュアに記憶することも行う。

【0037】

特定の実装では、リモートサービスにアクセスするためのユーザアカウントを認証するシステムを開示する。このシステムは、リモートサービスによって提供される機械可読画像コードを表示するリモートサービスアプリケーションを含むユーザ装置と、リモートサービスにアクセスするための機械可読画像コードを取り込み、機械可読画像コードに埋め込まれた対応するセッションコードを抽出して呼び出し、抽出されたセッションコード、及び（ａ）自機のストレージ内の電話トークン又は（ｂ）ユーザから取得した認証情報の一方をリモートサービスに送信して、認証情報が有効である場合、又は電話トークンが確認された場合に、ユーザ装置のリモートサービスへのアクセスを受け取るモバイル装置と、を含む。

【0038】

１つの実装では、機械可読画像コードがクイックレスポンス（ＱＲ）コードを含む。１つの実装では、ユーザ装置が、テレビ、コンピュータ又はゲーム機のうちの１つである。１つの実装では、システムが、モバイル装置からロケーションコードを受け取ってセッションコードを抽出し、抽出されたセッションコードがセット構造内の保留中のセッションコードのうちの１つに一致するかどうかを判定するリモートサービスをさらに含み、このリモートサービスは、電話トークン又はユーザアカウントの認証情報を受け取り、（ａ）認証情報の有効性、又は（ｂ）リモートサービスの認証情報データベースにおける電話トークンの存在を判定し、（ａ）認証情報が有効である場合、又は（ｂ）リモートサービスの認証情報データベース内に電話トークンが存在する場合に、リモートサービスのためのユーザ装置にインストールされたリモートサービスアプリケーションへのアクセスを許可する。１つの実装では、セッションコードが、セッションコードの使用を制限する有効期限を含む。１つの実装では、電話トークンが、ユーザ名を含むＪａｖａ Ｗｅｂ Ｔｏｋｅｎである。１つの実装では、電話トークンが、電話トークンの使用を制限する有効期限を含む。

【0039】

図４Ａは、本開示の実装によるコンピュータシステム４００及びユーザ４０２の表現である。ユーザ４０２は、コンピュータシステム４００を使用して、図１及び図２のプロセス１００、２００、並びに図３のシステム３００に関するリモートサービスにアクセスするためのユーザアカウントを認証する認証アプリケーション４９０を実行する。

【0040】

コンピュータシステム４００は、図４Ｂの認証アプリケーション４９０を記憶して実行する。また、コンピュータシステム４００は、ソフトウェアプログラム４０４と通信することができる。ソフトウェアプログラム４０４は、認証アプリケーション４９０のためのソフトウェアコードを含むことができる。以下でさらに説明するように、ソフトウェアプログラム４０４は、ＣＤ、ＤＶＤ又はストレージドライブなどの外部媒体にロードすることができる。

【0041】

さらに、コンピュータシステム４００は、ネットワーク４８０に接続することができる。ネットワーク４８０は、例えばクライアント－サーバアーキテクチャ、ピアツーピアネットワークアーキテクチャ又はその他のタイプのアーキテクチャなどの、様々な異なるアーキテクチャで接続することができる。例えば、ネットワーク４８０は、レンズパラメータシフティングアプリケーション４９０内で使用されるエンジン及びデータを協調させるサーバ４８５と通信することができる。また、ネットワークは異なるタイプのネットワークであることもできる。例えば、ネットワーク４８０は、インターネット、ローカルエリアネットワーク又はローカルエリアネットワークのいずれかの変形形態、ワイドエリアネットワーク、メトロポリタンエリアネットワーク、イントラネット又はエクストラネット、或いは無線ネットワークであることができる。

【0042】

図４Ｂは、本開示の実装による、認証アプリケーション４９０をホストするコンピュータシステム４００を示す機能ブロック図である。コントローラ４１０はプログラマブルプロセッサであり、コンピュータシステム４００及びそのコンポーネントの動作を制御する。コントローラ４１０は、メモリ４２０又は埋め込みコントローラメモリ（図示せず）から（例えば、コンピュータプログラムの形態の）命令をロードし、これらの命令を実行してデータ処理などを行うようにシステムを制御する。コントローラ４１０は、その実行において、認証アプリケーション４９０にソフトウェアシステムを提供する。或いは、このサービスは、コントローラ４１０又はコンピュータシステム４００内の別のハードウェアコンポーネントとして実装することもできる。

【0043】

メモリ４２０は、コンピュータシステム４００の他のコンポーネントによって使用されるデータを一時的に記憶する。１つの実装では、メモリ４２０がＲＡＭとして実装される。１つの実装では、メモリ４２０が、フラッシュメモリ及び／又はＲＯＭなどの長期又は固定メモリも含む。

【0044】

ストレージ４３０は、コンピュータシステム４００の他のコンポーネントによって使用されるデータを一時的に又は長期にわたって記憶する。例えば、ストレージ４３０は、認証アプリケーション４９０によって使用されるデータを記憶する。１つの実装では、ストレージ４３０がハードディスクドライブである。

【0045】

媒体装置４４０は、取り外し可能媒体を受け取り、挿入された媒体に対してデータの読み取り及び／又は書き込みを行う。例えば、１つの実装では、媒体装置４４０が光ディスクドライブである。

【0046】

ユーザインターフェイス４５０は、コンピュータシステム４００のユーザからのユーザ入力を受け入れてユーザ４０２に情報を提示するコンポーネントを含む。１つの実装では、ユーザインターフェイス４５０が、キーボード、マウス、オーディオスピーカ及びディスプレイを含む。別の実装では、ユーザインターフェイス４５０が、ユーザによって装着されてユーザ入力としての目の動きを収集するために使用されるヘッドセットも含む。コントローラ４１０は、ユーザ４０２からの入力を使用してコンピュータシステム４００の動作を調整する。

【0047】

Ｉ／Ｏインターフェイス４６０は、外部記憶装置又は補助装置（例えば、プリンタ又はＰＤＡ）などの対応するＩ／Ｏ装置に接続するための１又は２以上のＩ／Ｏポートを含む。１つの実装では、Ｉ／Ｏインターフェイス４６０のポートが、ＵＳＢポート、ＰＣＭＣＩＡポート、シリアルポート及び／又はパラレルポートなどのポートを含む。別の実装では、Ｉ／Ｏインターフェイス４６０が、外部装置と無線で通信するための無線インターフェイスを含む。

【0048】

ネットワークインターフェイス４７０は、イーサネット接続をサポートするＲＪ－４５、又は（限定するわけではないが８０２.１１を含む）「Ｗｉ－Ｆｉ」インターフェイスなどの有線及び／又は無線ネットワーク接続を含む。

【0049】

コンピュータシステム４００は、コンピュータシステムに特有のさらなるハードウェア及びソフトウェア（例えば、電源システム、冷却システム、オペレーティングシステム）を含むが、これらのコンポーネントは、単純にするために図４Ｂには具体的に示していない。他の実装では、コンピュータシステムの異なる構成（例えば、異なるバス、又はストレージ構成、又はマルチプロセッサ構成）を使用することもできる。

【0050】

本明細書に開示した実装の説明は、本発明をいずれかの当業者が実施又は利用できるように行ったものである。当業者には、これらの実装の数多くの修正が容易に明らかになると思われ、また本明細書で定める原理は、本発明の趣旨又は範囲から逸脱することなく他の実装にも適用することができる。例えば、リモートサービスは、ビデオデータ、音楽データ、画像データ、教育データ又は医療データなどの様々な種類の情報及びデータを提供することができる。他の実装では、バイオメトリック情報、セキュリティ質問又は暗号化パスワードなどのコードの代わりに、又はこのようなコードに加えて、別の形態の認証を使用することもできる。このように、本開示は、本明細書に示す実装に限定されることを意図するものではなく、本明細書に開示する原理及び新規の特徴と一致する最も広い範囲を許容すべきものである。従って、さらなる変形及び実装も可能である。

【0051】

本開示の特定の実装では、必ずしも上述した各実施例の全ての特徴が必要なわけではない。さらに、本明細書に示す説明及び図面は、本発明によって幅広く検討される主題を表すものであると理解されたい。さらに、本開示の範囲は、当業者に明らかになると考えられる他の実装を完全に含み、従って添付の特許請求の範囲以外のものによって限定されるものではないと理解されたい。

【図1】

【図2】

【図3】

【図4A】

【図4B】

【国際調査報告】