JP2001306519A - System and method for authentication and connection - Google Patents
System and method for authentication and connectionInfo
- Publication number
- JP2001306519A JP2001306519A JP2000126611A JP2000126611A JP2001306519A JP 2001306519 A JP2001306519 A JP 2001306519A JP 2000126611 A JP2000126611 A JP 2000126611A JP 2000126611 A JP2000126611 A JP 2000126611A JP 2001306519 A JP2001306519 A JP 2001306519A
- Authority
- JP
- Japan
- Prior art keywords
- server
- user
- authentication
- information
- service
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Abstract
Description
【０００１】[0001]
【発明の属する技術分野】本発明は、インターネット等
の電子的ネットワークにおける認証接続に関する。[0001] The present invention relates to an authentication connection in an electronic network such as the Internet.
【０００２】[0002]
【従来の技術】インターネットは原則としてプロトコル
やインターフェースがオープンな電子的ネットワークで
ある。しかし、例えば電子商取引のように、インターネ
ットを利用して特定のユーザにのみ特定のサービスを提
供する場合には、サービスの提供に先だってサービス提
供者はユーザを認証する必要がある。また、サービスが
送金を伴うような場合には、ユーザとサービス提供者が
相互に認証する必要がある。従来より、サービス提供者
はユーザに対し固有の認証ＩＤを発行し、ユーザにサー
ビスを利用するたびにこの認証ＩＤの入力が要求するこ
とによってユーザを認証している。2. Description of the Related Art The Internet is, in principle, an electronic network with open protocols and interfaces. However, in the case of providing a specific service only to a specific user using the Internet as in e-commerce, for example, the service provider needs to authenticate the user before providing the service. When the service involves remittance, the user and the service provider need to authenticate each other. Conventionally, a service provider issues a unique authentication ID to a user, and authenticates the user by requesting the user to input the authentication ID every time the service is used.
【０００３】さらに、ユーザやシステムを「なりすま
し」や「改ざん」等のセキュリティ上の脅威から守るた
めに、ユーザ認証（正規のユーザであるかどうかの確
認）やメッセージ認証（情報が改ざんされていないかど
うかの確認）が必要となる場合もある。すなわち、ブラ
ウザからユーザとサービス提供者との間に形成された通
信路を介して認証ＩＤのやりとりをしているので、たと
え認証ＩＤを暗号化したとしても、「なりすまし」や
「改ざん」には対処することはできないので、ディジタ
ル署名等の電子認証技術により、ユーザ認証やメッセー
ジ認証を行うことが一般に行われている。たとえば、公
開鍵暗号を利用したディジタル署名においては、ユーザ
側のクライアントからサービス提供者のサーバへ秘密鍵
で暗号化された暗号文と暗号化されていない元情報とを
組にして送り、サーバではこの暗号文を公開鍵を使って
復号化したものと元情報を比較することにより、ユーザ
認証とメッセージ認証を行っている。Further, in order to protect users and systems from security threats such as “spoofing” and “falsification”, user authentication (confirmation of the valid user) and message authentication (information is not falsified) Confirmation). That is, since the authentication ID is exchanged from the browser via the communication path formed between the user and the service provider, even if the authentication ID is encrypted, it cannot be used for “spoofing” or “falsification”. Since no countermeasure can be taken, user authentication and message authentication are generally performed by an electronic authentication technique such as a digital signature. For example, in a digital signature using public key cryptography, a ciphertext encrypted with a secret key and unencrypted original information are sent as a pair from a client on the user side to a server of a service provider. User authentication and message authentication are performed by comparing the original information with the decryption of the cipher text using the public key.
【０００４】[0004]
【発明が解決しようとする課題】しかしながら、上述の
ような認証には次のような問題点があった。すなわち、
サービス提供者が発行するユーザ固有の認証ＩＤをユー
ザがサービスを利用するたびに入力する形態において
は、サービス提供者又はサービスごとに異なる認証ＩＤ
を管理しなければならないとともに、サービス提供を受
けるたびにそのサービス提供者に固有の認証ＩＤやパス
ワードを入力しなければならず、認証情報の管理、入力
が煩雑となる嫌いがあった。However, the above-described authentication has the following problems. That is,
In a mode in which a user-specific authentication ID issued by a service provider is input each time a user uses a service, an authentication ID that differs for each service provider or service
, And every time a service is provided, the service provider must input a unique authentication ID and password, which makes the management and input of authentication information complicated.
【０００５】このような問題を解決するために、特開平
１０−１７７５５２号公報には、ユーザ側のクライアン
トとサービス提供者のサーバとの間に代理サーバを設け
たシステムが開示されている。すなわち、クライアント
からサーバにアクセスするときにサーバごとに必要とな
るユーザ名及びパスワード等の認証情報をこの代理サー
バで一括して管理し、クライアントからあるサーバに対
するアクセスが要求されたときは、クライアントとこの
代理サーバとの間で認証を行って、この代理サーバがク
ライアントに代わってそのサーバが求める認証情報をそ
のサーバに返すものである。In order to solve such a problem, Japanese Patent Laid-Open Publication No. Hei 10-177552 discloses a system in which a proxy server is provided between a client on the user side and a server of a service provider. In other words, when the client accesses the server, authentication information such as a user name and a password required for each server is collectively managed by this proxy server. Authentication is performed with the proxy server, and the proxy server returns authentication information required by the server to the server on behalf of the client.
【０００６】しかし、上記代理サーバを設けたシステム
は、サービス提供者のサーバがユーザのクライアントを
認証することはできても、ユーザがサービス提供者を認
証するものではない。また、ユーザが認証ＩＤを管理す
る負担を軽減することはできても、サービス提供者がユ
ーザを認証するにはユーザ毎に認証作業を行わなければ
ならない。したがって、そのための認証システムの構築
・運営等、サービス提供者側の負担を軽減することはで
きない。However, in the system provided with the proxy server, the server of the service provider can authenticate the client of the user, but the user does not authenticate the service provider. Further, even though the burden of managing the authentication ID by the user can be reduced, the service provider must perform the authentication work for each user in order to authenticate the user. Therefore, the burden on the service provider such as the construction and operation of an authentication system for that purpose cannot be reduced.
【０００７】また、ディジタル署名等の電子認証技術に
よるユーザ認証においては、サービス提供者のサーバ又
は代理サーバが確認しているのは、クライアントに与え
られた認証情報である。したがって、正規のユーザであ
っても特定のクライアントを使用しなければサービスの
提供を受けることができなかった。そこで本発明は、ク
ライアント端末に依拠せず、また個別に認証を行う際の
認証情報の管理の負担を軽減する認証及び接続を提供す
ることを目的とするものである。[0007] In user authentication using an electronic authentication technique such as a digital signature, the server or proxy server of the service provider confirms the authentication information given to the client. Therefore, even a legitimate user cannot receive a service unless a specific client is used. Therefore, an object of the present invention is to provide an authentication and connection that does not rely on a client terminal and reduces the burden of managing authentication information when performing individual authentication.
【０００８】[0008]
【課題を解決するための手段】上述の目的を達成するた
めに、本発明にかかる認証接続システムは、特定ユーザ
に関するユーザ認証情報を記録したＩＣチップと、この
ＩＣチップに記録された前記ユーザ認証情報を読み取る
と共に電子的ネットワークに接続可能なユーザ端末と、
電子的ネットワークを介して前記特定ユーザに対してサ
ービスを提供するサービス・サーバと、前記ユーザ端末
と前記サービス・サーバのそれぞれと電子的ネットワー
クを介して接続される仲介サーバとを備え、前記特定ユ
ーザのユーザ端末と前記仲介サーバとが前記ＩＣチップ
から読み取った前記ユーザ認証情報に基づいて相互に認
証し、かつ少なくとも前記サービス・サーバが前記仲介
サーバを認証した場合に前記ユーザ端末と前記サービス
・サーバとを接続することを特徴とするものである。In order to achieve the above object, an authentication connection system according to the present invention comprises an IC chip recording user authentication information relating to a specific user, and the user authentication information recorded on the IC chip. A user terminal capable of reading information and connecting to an electronic network;
A service server that provides a service to the specific user via an electronic network; and a mediation server connected to each of the user terminal and the service server via an electronic network; The user terminal and the mediation server mutually authenticate each other based on the user authentication information read from the IC chip, and at least when the service server has authenticated the mediation server, the user terminal and the service server Are connected.
【０００９】ここでユーザ端末は、前記ＩＣチップに記
録された前記ユーザ認証情報を電子的ネットワークを介
して前記仲介サーバに送信する送信手段と、前記仲介サ
ーバより電子的ネットワークを介して第１の仲介サーバ
認証情報を受信する受信手段と、前記ＩＣチップに記録
された前記ユーザ認証情報と前記仲介サーバより電子的
ネットワークを介して受信した前記仲介サーバ認証情報
とに基づいて前記仲介サーバの認証を行う仲介サーバ認
証手段とを有する。また、前記サービス・サーバは、前
記仲介サーバより電子的ネットワークを介して第２の仲
介サーバ認証情報を受信して、この第２の仲介サーバ認
証情報に基づいて前記仲介サーバの認証を行う仲介サー
バ認証手段を有する。Here, the user terminal transmits the user authentication information recorded on the IC chip to the intermediary server via an electronic network, and a first terminal via the electronic network from the intermediary server. Receiving means for receiving the mediation server authentication information; and performing authentication of the mediation server based on the user authentication information recorded on the IC chip and the mediation server authentication information received from the mediation server via an electronic network. Mediation server authentication means for performing the authentication. Further, the service server receives second mediation server authentication information from the mediation server via an electronic network, and authenticates the mediation server based on the second mediation server authentication information. Has authentication means.
【００１０】また、認証接続を行う仲介サーバは、前記
特定ユーザのユーザ端末より電子的ネットワークを介し
て受信した前記ユーザ認証情報に基づいて前記ユーザ端
末の認証を行うユーザ認証手段と、前記ユーザ端末に電
子的ネットワークを介して送信すべき前記第１の仲介サ
ーバ認証情報を蓄積管理する第１の蓄積管理手段と、前
記ユーザ端末における仲介サーバ認証手段が前記第１の
仲介サーバ認証情報に基づいて前記仲介サーバを認証し
かつ前記ユーザ認証手段が前記ユーザ認証情報に基づい
て前記ユーザ端末を認証したときに前記ユーザ端末と前
記仲介サーバとの間に第１の通信路を設定する第１の通
信路形成手段と、前記ユーザ端末から指定された前記サ
ービス・サーバに電子的ネットワークを介して送信すべ
き前記第２の仲介サーバ認証情報を蓄積管理する第２の
蓄積管理手段と、少なくとも前記仲介サーバが前記サー
ビス・サーバによって認証されたときに前記サービス・
サーバと前記仲介サーバとの間に第２の通信路を形成す
る第２の通信路形成手段と、前記第２の通信路を介して
前記サービス・サーバに前記特定ユーザの認証に関する
情報を通知する認証通知手段と、前記ユーザ端末と前記
仲介サーバとが相互に認証しかつ少なくとも前記サービ
ス・サーバが前記仲介サーバを認証した場合に前記ユー
ザ端末と前記サービス・サーバとの間に第３の通信路を
形成する第３の通信路形成手段とを有する[0010] The mediation server for performing an authentication connection includes a user authentication means for authenticating the user terminal based on the user authentication information received from the user terminal of the specific user via an electronic network; First storage management means for storing and managing the first transfer server authentication information to be transmitted via an electronic network, and transfer server authentication means in the user terminal based on the first transfer server authentication information. A first communication for establishing a first communication path between the user terminal and the mediation server when the mediation server is authenticated and the user authentication means authenticates the user terminal based on the user authentication information; Route forming means, and the second intermediary to be transmitted from the user terminal to the service server designated via an electronic network A second storage management means for storing and managing the over server authentication information, wherein at least when the mediation server is authenticated by the service server service
Second communication path forming means for forming a second communication path between a server and the mediation server, and notifying the service server of information relating to the authentication of the specific user via the second communication path. Authentication notifying means, and a third communication path between the user terminal and the service server when the user terminal and the mediation server mutually authenticate each other and at least the service server authenticates the mediation server. And third communication path forming means for forming
【００１１】また、本発明にかかる認証接続方法は、特
定ユーザに関するユーザ認証情報を前記特定ユーザが所
有するＩＣチップに記憶させるステップと、このＩＣチ
ップに記録された前記ユーザ認証情報をユーザ端末が読
み込むステップと、仲介サーバが前記ユーザ認証情報を
電子的ネットワークを介して読み取るステップと、前記
仲介サーバが前記ユーザ端末に電子的ネットワークを介
して第１の仲介サーバ認証情報を送信するステップと、
前記仲介サーバが前記ユーザ端末より電子的ネットワー
クを介して受信した前記ユーザ認証情報に基づいて前記
特定ユーザのユーザ端末の認証を行うステップと、前記
ユーザ端末が前記仲介サーバより電子的ネットワークを
介して受信した前記第１の仲介サーバ認証情報に基づい
て前記仲介サーバの認証を行うステップと、前記ユーザ
端末が前記仲介サーバを認証しかつ前記仲介サーバが前
記特定ユーザの前記ユーザ端末を認証したときに前記ユ
ーザ端末と前記仲介サーバとの間に第１の通信路を設定
するステップと、前記ユーザ端末から指定された前記サ
ービス・サーバが前記仲介サーバを認証するステップ
と、少なくとも前記仲介サーバが前記サービス・サーバ
によって認証されたときに前記サービス・サーバと前記
仲介サーバとの間に第２の通信路を形成するステップ
と、前記第２の通信路を介して前記仲介サーバから前記
サービス・サーバに前記特定ユーザの認証に関する情報
を通知するステップと、前記ユーザ端末と前記仲介サー
バとが相互に認証しかつ少なくとも前記サービス・サー
バが前記仲介サーバを認証した場合に前記ユーザ端末と
前記指定されたサービス・サーバとの間に第３の通信路
を形成するステップとを含むことを特徴とするものであ
る。Further, in the authentication connection method according to the present invention, the user authentication information relating to a specific user is stored in an IC chip owned by the specific user, and the user terminal stores the user authentication information recorded in the IC chip. Reading, a step in which the transfer server reads the user authentication information via an electronic network, and a step in which the transfer server transmits first transfer server authentication information to the user terminal via an electronic network;
A step in which the mediation server authenticates the user terminal of the specific user based on the user authentication information received from the user terminal via an electronic network, and wherein the user terminal is transmitted from the mediation server via the electronic network. Performing the authentication of the mediation server based on the received first mediation server authentication information, and when the user terminal authenticates the mediation server and the mediation server authenticates the user terminal of the specific user Setting a first communication path between the user terminal and the mediation server; certifying the mediation server by the service server designated by the user terminal; Between the service server and the intermediary server when authenticated by a server Forming a second communication path, a step of notifying the service server of information relating to the authentication of the specific user via the second communication path, wherein the user terminal and the relay server Mutually authenticating and forming a third communication path between the user terminal and the designated service server when at least the service server authenticates the intermediary server. Is what you do.
【００１２】本発明は、特定ユーザと仲介サーバとの間
で相互認証し、かつ仲介サーバが少なくともサービス提
供者によって認証されたことをもって特定ユーザとサー
ビス提供者との間の認証がされたものとみなすものであ
り、これによってユーザ及びサービス提供者はそれぞれ
単一の仲介サーバとの認証を行うだけで個別に相互に認
証をしたものと同等の効果を得ることができる。したが
って、ユーザとサービス提供者との間で電子的ネットワ
ーク上での認証が必要な場合、ユーザとサービス提供者
との間で直接認証のやりとりを行う必要がなく、ユーザ
は１つの認証情報で複数のサービス提供者のサービスを
利用でき、サービス提供者又はサービス毎に複数の認証
情報を管理する必要がなくなる。なお、仲介サーバとサ
ービス・サーバとの間の認証を相互認証とすることでよ
り高いセキュリティを実現することができるが、これを
サービス・サーバが仲介サーバを認証する、いわゆる片
側認証としてもよい。According to the present invention, the mutual authentication between the specific user and the mediation server is performed, and the authentication between the specific user and the service provider is performed when the mediation server is at least authenticated by the service provider. Therefore, the user and the service provider can obtain the same effect as that obtained by mutually authenticating each other only by performing authentication with a single mediation server. Therefore, when authentication between the user and the service provider on the electronic network is required, there is no need to directly exchange the authentication between the user and the service provider, and the user can perform multiple authentications with one authentication information. Service provider's service can be used, and there is no need to manage a plurality of authentication information for each service provider or service. It should be noted that higher security can be realized by making the authentication between the mediation server and the service server a mutual authentication, but this may be so-called one-sided authentication in which the service server authenticates the mediation server.
【００１３】また、本発明では、ＩＣチップにユーザ認
証情報を記録し、このＩＣチップを有する媒体をユーザ
本人に付与することにより、ユーザが任意の端末から認
証及び暗号通信を行うことができる。したがって、端末
単位ではなく、ユーザ単位での認証が可能となる。しか
もＩＣチップの耐タンパ性により認証情報の漏洩が防止
できる。In the present invention, the user authentication information is recorded on the IC chip and the medium having the IC chip is given to the user himself / herself, so that the user can perform authentication and encrypted communication from any terminal. Therefore, authentication can be performed not for each terminal but for each user. Moreover, leakage of authentication information can be prevented by the tamper resistance of the IC chip.
【００１４】ここで「ユーザ認証情報」とは、特定のユ
ーザの本人性を確認するために必要な情報をいい、例え
ばユーザの氏名やユーザＩＤ、パスワードなどの特定ユ
ーザの識別情報があげられる。また、暗号に関する鍵、
又は認証局（ＣＡ）が発行する電子証明書もここでいう
「ユーザ認証情報」の一例であるが、本発明において
は、鍵や認証局（ＣＡ）が発行する証明書等に限定され
るものでもなく、また、鍵や認証局（ＣＡ）が発行する
証明書を含んでいる必要はない。Here, "user authentication information" refers to information necessary for confirming the identity of a specific user, and includes, for example, identification information of a specific user such as a user's name, user ID, and password. Also, cryptographic keys,
Alternatively, an electronic certificate issued by a certificate authority (CA) is also an example of the “user authentication information” here, but in the present invention, a key or a certificate issued by a certificate authority (CA) is limited. Nor do they need to include keys or certificates issued by a Certificate Authority (CA).
【００１５】また、第１の仲介サーバ認証情報とは仲介
サーバを特定する情報で、例えば、仲介サーバを一意に
示すＩＤ、パスワード、ＣＡが仲介サーバに対して発行
した証明書などがあげられる。この第１の仲介サーバ認
証情報は、仲介サーバの第１の蓄積管理手段において蓄
積管理されるほか、上記ユーザ認証情報の一部として特
定ユーザが保有するＩＣチップに記録される。The first transfer server authentication information is information for specifying the transfer server, and includes, for example, an ID and a password uniquely indicating the transfer server, a certificate issued by the CA to the transfer server, and the like. The first mediation server authentication information is stored and managed by the first storage management means of the mediation server, and is recorded on an IC chip held by the specific user as a part of the user authentication information.
【００１６】また、本発明は、ユーザとサービス・サー
バとを仲介サーバが個別に認証した後に、ユーザ端末と
サービス・サーバとの間に通信路（第３の通信路）を形
成するので、従来に比べてより高いセキュリティを実現
することができる。According to the present invention, a communication path (third communication path) is formed between the user terminal and the service server after the mediation server individually authenticates the user and the service server. A higher security can be realized as compared with.
【００１７】ここで、前記第１乃至第３の通信路は暗号
路とすることにより、システムのセキュリティを更に高
めることができる。具体的には、上記通信路のうち、ユ
ーザ端末と仲介サーバとの間の第１の通信路は、例えば
ＴＣＰ／ＩＰの通信のセキュリティを強化する手法の１
つであるＩＰＳｅｃ（IP Security） により形成するこ
とができる。さらにＩＰＳｅｃにより形成した通信路上
でＳＳＬ（Source Socket Layer） のような暗号化手法
を利用してもよい。また、仲介サーバとサービス・サー
バとの間の第２の通信路は、第１の通信路同様にＩＰＳ
ｅｃによってＶＰＮ（Virtual Private Network:仮想的
な専用線）を形成する他、専用線を用いることも可能で
ある。さらに、これらの通信路上でＳＳＬのような暗号
化手法を利用してもよい。Here, the security of the system can be further enhanced by using the first to third communication paths as encryption paths. Specifically, of the above communication paths, the first communication path between the user terminal and the mediation server is, for example, one of the techniques for enhancing the security of TCP / IP communication.
IPSec (IP Security). Further, an encryption method such as SSL (Source Socket Layer) may be used on a communication path formed by IPSec. In addition, the second communication path between the mediation server and the service server is the same as the first communication path in the IPS.
In addition to forming a VPN (Virtual Private Network) using ec, a dedicated line can also be used. Further, an encryption method such as SSL may be used on these communication paths.
【００１８】ユーザ端末とサービス・サーバとの間の第
３の通信路は、上記第１の通信路と第２の通信路を接続
することによって形成することができるが、ユーザとサ
ービス・サーバがそれぞれ認証された時点で新たにエン
ド−エンドの通信路を再形成するようにしてもよい。し
たがって、ユーザ端末と指定されたサービス・サーバと
の間に第３の通信路を形成する第３の通信路形成手段
は、仲介サーバ上に設けることもできるが、本発明にお
いてはこれに限定されず、例えば、ユーザ端末又はサー
ビス・サーバに設けることも可能である。なお、第３の
通信路を確立する場合には、ユーザ端末とサービス・サ
ーバとの間であらためて相互認証又はサービス・サーバ
によるユーザ端末の片側認証を行っても良い。The third communication path between the user terminal and the service server can be formed by connecting the first communication path and the second communication path. The end-to-end communication path may be newly formed at the time of each authentication. Therefore, the third communication path forming means for forming the third communication path between the user terminal and the designated service server can be provided on the mediation server, but is not limited to this in the present invention. Alternatively, for example, it can be provided in a user terminal or a service server. When the third communication path is established, mutual authentication or one-side authentication of the user terminal by the service server may be performed again between the user terminal and the service server.
【００１９】また、本発明において、仲介サーバが特定
ユーザとサービス・サーバの双方を認証した場合にサー
ビス・サーバに対して提供される「特定ユーザの認証に
関する情報」とは、単に本人性が確認できたという認証
結果（認証成立の有無）のみの通知であってもよいが、
前記仲介サーバに、ユーザに関する情報を記憶した記憶
手段と、前記ユーザ認証手段が前記特定ユーザを認証し
たときに前記記憶手段に記憶された情報の中から前記特
定ユーザに関する情報を特定するユーザ情報特定手段と
を設け、特定ユーザの氏名、ユーザＩＤなど、前記ユー
ザ情報特定手段によって特定された前記特定ユーザに関
する情報の一部又は全部を前記サービス・サーバに提供
するようにしてもよい。このようにサービス・サーバに
対して特定ユーザに関する情報を前記サービス・サーバ
に提供することによって、サービス・サーバごとに必要
とするユーザ情報を提供することができる。これによ
り、サービス・サーバ側でのユーザのフィルタリング等
を可能とし、きめ細かいサービスを可能とする。In the present invention, the "information relating to the authentication of a specific user" provided to the service server when the mediation server authenticates both the specific user and the service server simply means that the identity of the user is confirmed. It may be a notification only of the authentication result (authentication success or failure) that it was successful,
A storage unit that stores information about a user in the mediation server; and user information identification that identifies information about the specific user from information stored in the storage unit when the user authentication unit authenticates the specific user. Means, and a part or all of the information on the specific user specified by the user information specifying means, such as the name of the specific user and the user ID, may be provided to the service server. By providing the service server with the information on the specific user to the service server in this way, it is possible to provide the user information required for each service server. As a result, it is possible to perform filtering of the user on the service server side, and to provide a detailed service.
【００２０】この場合、仲介サーバとサービス・サーバ
との間の認証の結果形成された暗号路を第２の通信路と
することにより、「なりすまし」や「改ざん」に対する
セキュリティとともに機密性を担保することができる。
また、本発明は、「特定ユーザの認証に関する情報（ユ
ーザ認証情報）」にレベルを設け、サービス提供者又は
サービスに応じて、異なる特定ユーザの関連する情報を
通知するようにしてもよい。これによって認証した後に
ユーザの「サービスによる振り分け」が可能になる。In this case, by using an encryption path formed as a result of authentication between the mediation server and the service server as the second communication path, security against “spoofing” and “falsification” and confidentiality are ensured. be able to.
Further, according to the present invention, a level may be provided in “information relating to authentication of a specific user (user authentication information)”, and information relating to a different specific user may be notified according to a service provider or a service. This allows the user to "sort by service" after authentication.
【００２１】このとき仲介サーバからサービス・サーバ
に提供される情報は、仲介サーバに記録されている特定
ユーザに関する情報の全てをサービス・サーバに提供す
るようにしても良いが、その一部、すなわちあらかじめ
指定された事項に関するものに限定されていてもよい。
ここで、あらかじめ指定された事項は、例えばプライバ
シー保護の観点からユーザ、仲介サーバを運営する者及
びサービス提供者の三者によって指定することができ
る。また、特定ユーザに関する情報の一部をサービス・
サーバに提供する際に、仲介サーバは、前記サービス・
サーバからの問い合わせに応じて情報を提供するように
してもよい。At this time, the information provided from the mediation server to the service server may be such that all of the information on the specific user recorded in the mediation server is provided to the service server. It may be limited to those relating to the items specified in advance.
Here, the items specified in advance can be specified by, for example, a user, a person who operates the mediation server, and a service provider from the viewpoint of privacy protection. In addition, a part of information about a specific user
When providing the service to the server, the mediation server
Information may be provided in response to an inquiry from the server.
【００２２】[0022]
【発明の実施の形態】以下、本発明の実施の形態にかか
る認証接続システムとこのシステムにおける認証接続の
手順を図面を参照して説明する。図１は、電子的ネット
ワークであるインターネット（ＩＰ網）１００に、ユー
ザ端末１１０と、サービス提供者のサーバ（以下、「サ
ービス・サーバ」という）１２０と仲介業者のサーバ
（以下、「仲介サーバ」という）１３０がそれぞれ接続
している様子を示す図である。ユーザ端末１１０には、
ＩＣカード・リーダ１１２が図示しないインターフェー
スを介して接続されている。ユーザには、そのユーザの
ユーザ認証情報が記憶されたＩＣチップを搭載した媒体
であるＩＣカード１１４が配布されており、ユーザ端末
１１０は、このＩＣカード・リーダ１１２を介して、Ｉ
Ｃカード１１４上のＩＣチップに記録されている情報を
読み取ることができ、ＩＣカード１１４から読み込んだ
認証情報を送信手段によってインターネット１００経由
で他のサーバへ送信することができる。一方、仲介サー
バ１３０には、ユーザ情報データベース（以下、「ユー
ザ情報ＤＢ」という）１３２が設けられている。仲介サ
ーバ１３０はこのユーザ情報ＤＢ１３２にアクセスし、
ここにあらかじめ登録してあるユーザ情報を読み取るこ
とができる。DESCRIPTION OF THE PREFERRED EMBODIMENTS An authentication connection system according to an embodiment of the present invention and an authentication connection procedure in this system will be described below with reference to the drawings. FIG. 1 shows a user terminal 110, a server of a service provider (hereinafter, referred to as “service server”) 120 and a server of an intermediary (hereinafter, “intermediation server”) on the Internet (IP network) 100 which is an electronic network. FIG. 14 illustrates a state in which each of these is connected. In the user terminal 110,
The IC card reader 112 is connected via an interface (not shown). The user is provided with an IC card 114 which is a medium on which an IC chip in which the user authentication information of the user is stored is distributed, and the user terminal 110 communicates with the IC card reader 112 via the IC card reader 112.
The information recorded on the IC chip on the C card 114 can be read, and the authentication information read from the IC card 114 can be transmitted to another server via the Internet 100 by the transmission means. On the other hand, the mediation server 130 is provided with a user information database (hereinafter, referred to as “user information DB”) 132. The mediation server 130 accesses the user information DB 132,
The user information registered here in advance can be read.
【００２３】図２は仲介サーバ１３０の構成を示す機能
ブロック図である。ここに示すように、仲介サーバ１３
０は、ユーザ端末１１０との間で交わされる情報の送受
信を行う第１通信部２１１と、サービス・サーバ１２０
との間で交わされる情報の送受信を行う第２通信部２２
１とを備えている。FIG. 2 is a functional block diagram showing the configuration of the mediation server 130. As shown here, the mediation server 13
0 denotes a first communication unit 211 for transmitting and receiving information exchanged with the user terminal 110, and a service server 120
Communication unit 22 for transmitting and receiving information exchanged between
1 is provided.
【００２４】仲介サーバ１３０は、ユーザに関する情報
を格納したユーザ情報記憶部２１３を備えており、ユー
ザ認証情報や認証情報の開示に関する意向などはこのユ
ーザ情報記憶部２１３に記憶されている。The mediation server 130 includes a user information storage unit 213 that stores information about the user, and the user authentication information and the intention regarding the disclosure of the authentication information are stored in the user information storage unit 213.
【００２５】ユーザ認証部２１２は、ユーザ端末による
仲介サーバの認証結果を受信するとともに、第１通信部
２１１を介して得られたユーザ端末１１０からのユーザ
認証情報とユーザ認証情報記憶部２１３に記憶されたユ
ーザ情報とをつき合わせ、ユーザ認証の判断を行う。仲
介サーバ１３０はまた、ユーザ認証部２１２の認証結果
を受け、第１通信部２１１を介してユーザ端末１１０と
仲介サーバ１３０との間に第１の暗号路を形成する第１
の暗号路形成部２１４を備えている。The user authentication unit 212 receives the authentication result of the mediation server by the user terminal and stores the user authentication information from the user terminal 110 obtained via the first communication unit 211 and the user authentication information storage unit 213. The user information is correlated with the obtained user information to determine user authentication. The mediation server 130 also receives the authentication result of the user authentication unit 212, and forms a first cryptographic path between the user terminal 110 and the mediation server 130 via the first communication unit 211.
Is provided.
【００２６】また、仲介サーバ１３０は、サービス提供
者に関する情報を格納したサービス提供者情報記憶部２
２３を備えている。このサービス提供者情報記憶部２２
３には、サービス提供者の認証情報の他、サービス提供
者の会員情報や、サービス提供者が仲介サーバ１３０に
対して提供を要望するユーザ認証情報の種類に関する情
報等が記憶されている。The mediation server 130 is a service provider information storage unit 2 that stores information on service providers.
23. This service provider information storage unit 22
3 stores, in addition to the authentication information of the service provider, member information of the service provider, information on the type of user authentication information that the service provider requests the mediation server 130 to provide, and the like.
【００２７】サービス提供者認証部２２２は、サービス
・サーバによる仲介サーバの認証結果を受信する。さら
に、仲介サーバとサービス・サーバとが相互認証する場
合には、サービス・サーバ１２０から送信され、第２通
信部を介して得られたサービス提供者認証情報とサービ
ス提供者情報記憶部２２３に記憶されたサービス提供者
情報とをつき合わせ、サービス提供者（サービス・サー
バ）の認証を行う。仲介サーバ１３０はまた、サービス
提供者認証部２２２の認証結果を受け、第２通信部２２
１を介してサービス・サーバ１２０と仲介サーバ１３０
との間に第２の暗号路を形成する第２の暗号路形成部２
２４を備えている。The service provider authentication section 222 receives the authentication result of the mediation server by the service server. Further, when the mediation server and the service server mutually authenticate, the service provider authentication information transmitted from the service server 120 and obtained through the second communication unit and stored in the service provider information storage unit 223. The service provider (service server) is authenticated by matching the received service provider information. The mediation server 130 also receives the authentication result of the service provider authentication unit 222, and
1 and the service server 120 and the mediation server 130
Second cryptographic path forming unit 2 that forms a second cryptographic path between
24.
【００２８】仲介サーバ１３０の認証仲介判定部２０１
は、ユーザ認証部２１２及びサービス提供者認証部２２
２におけるユーザ及びサービス提供者の認証結果に基づ
いて、ユーザ端末１１０とサービス・サーバ１２０とを
接続するかどうかの判定を行う。この認証仲介判定部２
０１は、ユーザ・サービス提供者の認証の是非に加え、
ユーザ認証情報に対するユーザの開示意思や、サービス
提供者の要望、サービス提供者の会員情報、仲介業者の
開示意思等を判定要素として、ユーザ端末１１０とサー
ビス・サーバ１２０とを暗号路で結ぶか否かの判定や、
ユーザ認証情報をサービス提供者に提供するか否かの判
定を行う。これらの判定結果は、第３の暗号路形成部２
０３とユーザ認証情報送信部２０２に送られる。Authentication mediation determination section 201 of mediation server 130
Are the user authentication unit 212 and the service provider authentication unit 22
It is determined whether or not to connect the user terminal 110 and the service server 120 based on the authentication result of the user and the service provider in 2. This authentication mediation determination unit 2
01, in addition to the user service provider authentication,
Whether the user terminal 110 and the service server 120 are connected by an encryption path, using the user's intention to disclose the user authentication information, the service provider's request, the service provider's member information, the intermediary company's intention to disclose, etc. Judgment,
It is determined whether to provide the user authentication information to the service provider. These determination results are sent to the third encryption path forming unit 2
03 and the user authentication information transmission unit 202.
【００２９】第３の暗号路形成部２０３は、認証仲介判
定部２０１の判定結果を受けて、第１の暗号路形成部２
１４によって形成された第１の暗号路と第２の暗号路形
成部２２４によって形成された第２の暗号路を互いに接
続し、ユーザ端末１１０とサービス・サーバ１２０とが
互いに暗号路通信を行う第３の暗号路を形成する。ユー
ザ認証情報送信部２０２は、認証仲介判定部２０１の判
定結果を受けて、サービス提供者（サービス・サーバ１
２０）に送信する特定ユーザの認証に関する情報（ユー
ザ認証情報）のレベルを選定し、そのレベルに応じたユ
ーザ認証情報を送信する。なお、「特定ユーザの認証に
関する情報（ユーザ認証情報）のレベル」については後
述する。The third cryptographic path forming unit 203 receives the determination result of the authentication mediation determining unit 201, and
14 and the second cryptographic path formed by the second cryptographic path forming unit 224 are connected to each other, and the user terminal 110 and the service server 120 perform cryptographic communication with each other. 3 is formed. The user authentication information transmission unit 202 receives the determination result of the authentication mediation determination unit 201, and receives a service provider (service server 1).
20) The level of the information (user authentication information) related to the authentication of the specific user to be transmitted is selected, and the user authentication information according to the level is transmitted. The “level of information (user authentication information) related to authentication of a specific user” will be described later.
【００３０】本認証接続システムの動作手順を図３乃至
図６を参照して説明する。図３は、特定のユーザＡがサ
ービス提供者からサービスを受ける際に、ユーザＡのユ
ーザ端末１１０とサービス提供者のサービス・サーバ１
２０との間で直接認証を行う代わりに、認証仲介業者の
仲介サーバ１３０を介して認証接続を行う様子を示す図
である。また、図４は、ユーザ端末１１０と仲介サーバ
１３０とサービス・サーバ１２０との間の信号のやりと
りを示すシーケンス図である。The operation procedure of the authentication connection system will be described with reference to FIGS. FIG. 3 shows a case where a specific user A receives a service from a service provider and the user terminal 110 of the user A and the service server 1 of the service provider.
FIG. 7 is a diagram illustrating a state in which an authentication connection is performed via an intermediary server 130 of an authentication intermediary, instead of directly performing authentication with the authentication intermediation 20. FIG. 4 is a sequence diagram showing the exchange of signals among the user terminal 110, the mediation server 130, and the service server 120.
【００３１】仲介サーバ１３０は、図３に示すように、
第三者機関である認証局（ＣＡ）から発行された証明書
を含むユーザＡ及びサービス提供者Ｂのそれぞれについ
ての認証情報（認証情報Ａ及び認証情報Ｂ）を保有して
いる。認証局（ＣＡ）から発行された証明書を認証情報
の一部として使用することにより、認証におけるセキュ
リティをより高めることができる。The mediation server 130, as shown in FIG.
It holds authentication information (authentication information A and authentication information B) for each of user A and service provider B including a certificate issued by a certificate authority (CA), which is a third-party organization. By using a certificate issued by a certificate authority (CA) as a part of authentication information, security in authentication can be further enhanced.
【００３２】ここで認証情報Ａは、ユーザを特定するユ
ーザ認証情報と同時に、ＣＡから仲介サーバ１３０に発
行された証明書を第１の仲介サーバ認証情報として含ん
でいる。また、認証情報Ｂは、ＣＡからサービス・サー
バ１２０に対して発行された証明書を含む。仲介サーバ
１３０は、認証情報Ｂを第２の仲介サーバ認証情報とし
て保有している。Here, the authentication information A includes, as the first transfer server authentication information, a certificate issued by the CA to the transfer server 130 together with the user authentication information for specifying the user. The authentication information B includes a certificate issued from the CA to the service server 120. The transfer server 130 holds the authentication information B as second transfer server authentication information.
【００３３】［Ｓ００１：ユーザの登録］インターネッ
ト１００上でサービス提供者から認証が必要となるサー
ビスを受けようとするユーザは、あらかじめ仲介業者の
会員登録をしておく（図３、Ｓ００１）。この会員登録
は、特定ユーザに関する情報（ユーザ情報）を収集する
ことを１つの目的とする。ユーザ情報には、仲介業者が
そのユーザを特定する情報とそのユーザが利用できるサ
ービスを特定する情報が含まれる。前者の例としては、
仲介業者がその特定ユーザを特定するためのユーザＩ
Ｄ、パスワード、氏名、性別、年齢、住所、クレジット
カードナンバー、連絡先（電話番号、メールアドレ
ス）、配送先などがある。また、後者は、その特定ユー
ザが利用しようとするサービス名、そのサービスを特定
するサービスＩＤ、サービス提供者を特定するサービス
提供者ＩＤ及びサービスの提供者からその特定ユーザに
与えられたサービス・ユーザＩＤなどが含まれる。これ
らのユーザ情報は、ユーザ情報ＤＢ１３２において、図
５に示すようなテーブルとして管理される。[S001: User Registration] A user who intends to receive a service requiring authentication from a service provider on the Internet 100 registers in advance as a member of an intermediary company (S001 in FIG. 3). One purpose of this member registration is to collect information (user information) on a specific user. The user information includes information specifying the user by the intermediary and information specifying a service available to the user. As an example of the former,
User I for the broker to identify the specific user
D, password, name, gender, age, address, credit card number, contact information (telephone number, mail address), delivery address, and the like. The latter is a service name that the specific user intends to use, a service ID for specifying the service, a service provider ID for specifying the service provider, and a service user given to the specific user from the service provider. ID and the like are included. These user information are managed in the user information DB 132 as a table as shown in FIG.
【００３４】［Ｓ００２：サービスの登録］一方、ある
サービスについて仲介業者による仲介を利用できるよう
にするため、仲介業者とサービス提供業者との間で仲介
サービス利用契約を結ぶ。これによって、特定のサービ
スに関するサービスＩＤが決定される（図３、Ｓ００
２）。また、この契約を受けて、サービス・サーバ１２
０上のサービスサイトと仲介サーバ１３０上の認証サー
ビスサイトとの間にサイトリンク等により双方のサービ
スの関連性を構築し、ユーザがサービスサイト及び認証
サービスサイトのうちどちらにアクセスしても、仲介サ
ーバの認証を受けた上でサービス提供者のサービスが受
けられるようにする。[S002: Registration of Service] On the other hand, an intermediary service use contract is concluded between the intermediary agent and the service provider in order to be able to use the mediation by the intermediary agent for a certain service. Thereby, the service ID related to the specific service is determined (S00 in FIG. 3).
2). Upon receiving this contract, the service server 12
No. 0 and the authentication service site on the mediation server 130 establish a relationship between the two services by using a site link or the like, and even if the user accesses either the service site or the authentication service site, the mediation is performed. Authenticate the server so that service provider services can be received.
【００３５】仲介業者は、認証局（ＣＡ）から発行され
た証明書を含む認証情報ＡをＩＣカード１１４上のＩＣ
チップに記録し、このＩＣカード１１４を先に登録した
ユーザＡに配布する（図３［Ｓ０１０：認証情報の配
布］）。このＩＣチップに記録された認証情報の構成要
素は、図６に示すように、特定のユーザＡと一意に対応
するユーザＩＤとロング・パスワード、氏名等があげら
れる。また、ディジタル署名や公開鍵を含む証明書を含
んでいてもよい。このように認証情報をＩＣチップに格
納し、そのＩＣチップを搭載した媒体（ＩＣカード１１
４）をユーザに事前に配布しておくことによって、認証
情報をユーザＡ本人に保有させる。The intermediary transmits the authentication information A including the certificate issued by the certificate authority (CA) to the IC card 114 on the IC card 114.
It is recorded on a chip, and the IC card 114 is distributed to the user A registered in advance (FIG. 3 [S010: Distribution of authentication information]). As shown in FIG. 6, the components of the authentication information recorded on the IC chip include a user ID uniquely corresponding to a specific user A, a long password, a name, and the like. Further, a certificate including a digital signature and a public key may be included. In this way, the authentication information is stored in the IC chip, and the medium (IC card 11) on which the IC chip is mounted is stored.
By distributing 4) to the user in advance, the user A owns the authentication information.
【００３６】［Ｓ０２０：認証情報の読み取り］ユーザ
ＡはＩＣカード１１４を持ち運び、認証が必要となるた
びに任意のユーザ端末１１０にＩＣカード・リーダ１１
２からＩＣチップに格納された認証情報Ａを読みこませ
る。[S020: Reading of Authentication Information] User A carries the IC card 114, and attaches the IC card reader 11 to an arbitrary user terminal 110 every time authentication is required.
2 to read the authentication information A stored in the IC chip.
【００３７】［Ｓ０３０〜Ｓ０３１：認証サービスサイ
トへのアクセス］ユーザＡは、インターネット１００を
経由してサービス・サーバ１２０上に設けられたサービ
ス提供者のサービスサイトにアクセスする（Ｓ０３
０）。このサービス・サーバ１２０上のサービスサイト
と仲介サーバ１３０上の認証サービスサイトとの間には
リンクが張られており、認証が必要な場合には自動的に
認証サービスサイトに飛ぶように構成されている。その
結果、ユーザ端末１１０は仲介サーバ１３０上の認証サ
ービスサイトにアクセスする（Ｓ０３１）。また、仲介
サーバ１３０からサービス・サーバ１２０のサービス・
サイトへもアクセスある（Ｓ０３２）。[S030-S031: Access to Authentication Service Site] User A accesses the service site of the service provider provided on the service server 120 via the Internet 100 (S03).
0). A link is provided between the service site on the service server 120 and the authentication service site on the mediation server 130, and when authentication is required, the system automatically jumps to the authentication service site. I have. As a result, the user terminal 110 accesses the authentication service site on the mediation server 130 (S031). In addition, the service from the mediation server 130 to the service server 120
There is also access to the site (S032).
【００３８】なお、サービス・サーバ１２０上のサービ
スサイトから仲介サーバ１３０上の認証サービスサイト
に飛ぶ代わりに、ユーザＡはまず仲介サーバ１３０上の
認証サービスサイトにアクセスし、この認証サービスサ
イトからサービス・サーバ１２０上に設けられたサービ
ス提供者のサービスサイトにアクセスするようにしても
よい。この場合は、認証サービスサイトに認証すべきサ
ービス・サーバに関する情報を格納したボタンを設けて
おき、ユーザＡがこのボタンを押下することによりサー
ビス・サイトを特定することになる。Note that instead of jumping from the service site on the service server 120 to the authentication service site on the mediation server 130, the user A first accesses the authentication service site on the mediation server 130, and the service A service site of a service provider provided on the server 120 may be accessed. In this case, a button storing information on the service server to be authenticated is provided in the authentication service site, and when the user A presses this button, the service site is specified.
【００３９】［Ｓ０４０：ユーザ／仲介サーバ間の相互
認証］特定ユーザＡが仲介サーバ１３０の仲介サービス
・サイトにアクセスすると、ユーザ端末１１０と仲介サ
ーバ１３０との間で、認証情報Ａを交換して相互認証す
る（Ｓ０４０）。[S040: Mutual Authentication between User / Mediation Server] When the specific user A accesses the mediation service site of the mediation server 130, the authentication information A is exchanged between the user terminal 110 and the mediation server 130. Mutual authentication is performed (S040).
【００４０】上記ユーザＡと仲介サーバ１３０との間の
相互認証は次のようにして行う。すなわち、ユーザ端末
１１０は、ＩＣカード１１４から読み込んだ認証情報Ａ
をインターネット１００を介して仲介サーバ１３０に送
信するとともに、仲介サーバ１３０より仲介サーバ認証
情報を受信する。そして、ＩＣカード１１４から読み込
んだ認証情報Ａと仲介サーバ１３０よりインターネット
１００を介して受信した仲介サーバ認証情報とに基づい
て前記仲介サーバの認証を行う。ユーザ端末１１０にお
いて仲介サーバ１３０が認証されれば、仲介サーバ１３
０にその旨通知される。The mutual authentication between the user A and the mediation server 130 is performed as follows. That is, the user terminal 110 uses the authentication information A read from the IC card 114.
Is transmitted to the mediation server 130 via the Internet 100, and the mediation server authentication information is received from the mediation server 130. Then, authentication of the transfer server is performed based on the authentication information A read from the IC card 114 and the transfer server authentication information received from the transfer server 130 via the Internet 100. If the mediation server 130 is authenticated at the user terminal 110, the mediation server 13
0 is notified to that effect.
【００４１】また、仲介サーバ１３０は、自己の認証情
報蓄積管理部で蓄積管理された認証情報（図３に示す認
証仲介業者の認証情報Ａ）をインターネット１００を介
してユーザ端末１１０に送信するとともに、ＩＣカード
１１４上の記録された認証情報Ａをユーザ端末１１０か
ら受信する。ユーザ端末１１０から受信した認証情報Ａ
と認証情報蓄積管理部で蓄積管理された認証情報とに基
づいて、特定ユーザＡの認証を行う。すなわち、相互認
証は、認証情報Ａ内のユーザＩＤ及びパスワード、並び
に証明書を交換することによって行われる。本実施の形
態においては、これらのユーザＩＤ、パスワード、証明
書をＩＰＳｅｃによる通信路を確立する際に交換する。
なお、これらの認証情報ＡをさらにＳＳＬ（Ｓｏｕｒｃ
ｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）を利用した暗号通信に
より交換してもよい。The mediation server 130 transmits the authentication information (authentication information A of the authentication mediator shown in FIG. 3) stored and managed by its own authentication information storage management unit to the user terminal 110 via the Internet 100. , The authentication information A recorded on the IC card 114 is received from the user terminal 110. Authentication information A received from user terminal 110
The specific user A is authenticated based on the authentication information stored and managed by the authentication information storage management unit. That is, the mutual authentication is performed by exchanging the user ID and the password in the authentication information A and the certificate. In the present embodiment, these user IDs, passwords, and certificates are exchanged when establishing a communication path by IPSec.
Note that the authentication information A is further transferred to SSL (Source).
e Socket Layer) may be exchanged by cipher communication.
【００４２】［Ｓ０５０：ユーザの特定及び第１の通信
路（暗号路）の形成］ユーザＡと仲介サーバ１３０との
間の相互認証が成立すれば、仲介サーバ１３０は、ユー
ザからのアクセスであることを示す唯一無二のユーザア
クセスＩＤを生成し、サービス提供者へ通知する認証情
報の元情報の１つとして仲介サーバ側に格納する（Ｓ０
４１）と共に、ユーザ・仲介サーバ間にＩＰＳｅｃによ
る第１の通信路を形成し（Ｓ０５０）、次に説明するユ
ーザ情報の特定に進む。認証が成立しなければ、仲介サ
ーバは、ユーザに対してその旨メッセージを送り、接続
処理を終了する。本実施の形態においては、このユーザ
アクセスＩＤとして、会員登録時（図３：Ｓ００１）の
ユーザＩＤを用いている。なお、このようにして形成さ
れた第１の通信路の通信をＳＳＬを利用した暗号通信と
してもよい。[S050: Identification of User and Formation of First Communication Path (Encryption Path)] If mutual authentication between user A and transfer server 130 is established, transfer server 130 is an access from the user. Is generated and stored in the mediation server as one of the original information of the authentication information notified to the service provider (S0).
Together with 41), a first communication path by IPSec is formed between the user and the mediation server (S050), and the process proceeds to the specification of user information described next. If the authentication is not successful, the mediation server sends a message to that effect to the user and ends the connection processing. In the present embodiment, the user ID at the time of member registration (FIG. 3: S001) is used as the user access ID. The communication of the first communication path formed in this way may be an encrypted communication using SSL.
【００４３】［Ｓ０６０：サービス・サーバ／仲介サー
バ間の認証］仲介サーバ１３０は、ユーザがアクセス
し、かつユーザの認証を必要とするサービス・サーバ、
すなわち、先にユーザＡがサービスサイトへアクセスし
たことによって指定されたサービス・サーバ１２０との
間で、インターネット１００を通じた認証を行う。[S060: Authentication Between Service Server / Mediation Server] The mediation server 130 is a service server accessed by a user and requiring user authentication.
That is, authentication via the Internet 100 is performed with the service server 120 designated by the user A previously accessing the service site.
【００４４】具体的には、サービス・サーバ１２０と仲
介サーバ１３０との間は、上記Ｓ０３２において接続さ
れているので、仲介サーバ１３０に蓄積管理されたサー
ビス・サーバに関する認証情報Ｂ（ＩＤ、パスワード、
証明書等）をサービス・サーバ１２０に送出する。サー
ビス・サーバ１２０は、仲介サーバ１３０から受信した
認証情報Ｂにより仲介サーバ１３０を認証する（Ｓ０６
０）。サービス・サーバと仲介サーバ１３０との間で認
証が成立すれば、次のＳ０７０に進む。More specifically, since the service server 120 and the mediation server 130 are connected in S032, the authentication information B (ID, password,
Certificate, etc.) to the service server 120. The service server 120 authenticates the mediation server 130 based on the authentication information B received from the mediation server 130 (S06)
0). If the authentication is established between the service server and the mediation server 130, the process proceeds to the next S070.
【００４５】なお、この認証は、サービス・サーバ１２
０が仲介サーバ１３０を認証するだけでもよいが、より
高いセキュリティを必要とする場合は、サービス・サー
バ１２０による仲介サーバ１３０の片側認証に加えて、
仲介サーバ１３０がサービス・サーバ１２０を認証する
相互認証が望ましい。何れの形態をとるかは、実際のサ
ービスに求められるセキュリティに対する要求とコスト
によって決定される。認証が成立しなければ、仲介サー
バは、ユーザ及びサービス・サーバに対してその旨メッ
セージを送り、接続処理を終了する。This authentication is performed by the service server 12
0 may only authenticate the mediation server 130, but if higher security is required, in addition to the one-sided authentication of the mediation server 130 by the service server 120,
Mutual authentication in which the mediation server 130 authenticates the service server 120 is desirable. Which form to take depends on the security demands and costs required for the actual service. If the authentication is not successful, the mediation server sends a message to that effect to the user and the service server, and ends the connection processing.
【００４６】［Ｓ０７０：第２の通信路の形成］認証が
成立した後、サービス・サーバ１２０と仲介サーバ１３
０との間に第２の通信路が形成される。本実施の形態に
おいて、この第２の通信路はＩＰＳｅｃによるＶＰＮで
ある。しかし、この第２の通信路は専用線を用いても良
いし、オープンなネットワークを使用してＳＳＬによる
暗号通信により実現してもよい。ただし、専用線やネッ
トワークレイヤにおいてユーザ・仲介サーバ間には実質
的な専用線（ＩＰ−ＶＰＮ）のように、物理的に保護さ
れている場合は、外部からは両者間の通信内容をのぞき
見ることはできないので、必ずしも暗号路としなくても
よいが、ＩＰ−ＶＰＮや専用線にＳＳＬを併用してもよ
いことはいうまでもない。また、オープンなネットワー
クを使用する場合は、セキュリティの観点からＳＳＬ等
による暗号化が望ましい。[S070: Formation of Second Communication Channel] After the authentication is established, the service server 120 and the mediation server 13
A second communication path is formed between the first communication path and the first communication path. In the present embodiment, the second communication path is a VPN based on IPSec. However, the second communication path may use a dedicated line, or may be realized by SSL-based encrypted communication using an open network. However, in the case of a physical line such as a dedicated line (IP-VPN) between a user and an intermediary server in a dedicated line or a network layer, communication contents between the two can be viewed from the outside. Since it is not possible to use the encryption path, it is not always necessary to use the encryption path, but it goes without saying that SSL may be used in combination with IP-VPN or a dedicated line. When an open network is used, encryption using SSL or the like is desirable from the viewpoint of security.
【００４７】［Ｓ０８０：認証の通知］仲介サーバ１３
０は、サービス・サーバ１２０との間に形成された暗号
路を介して、上記Ｓ０５０で生成したユーザアクセスＩ
Ｄを元にユーザ認証情報をサービス・サーバ１２０に通
知する。この「ユーザ認証情報」は、認証が成立したこ
との他、上記Ｓ０４１で格納された「ユーザＩＤ」によ
って決まるユーザに関する情報であって、具体的には、
ユーザ情報ＤＢ１３２に記録された「氏名」、「性
別」、「年齢」、「住所」、「クレジットカードナンバ
ー」、「サービス名」、「サービスＩＤ」、「サービス
・ユーザＩＤ」等の全部又は一部である。これらの情報
のうちどれを「ユーザ認証情報」としてサービス・サー
バ１２０に通知するかは、ユーザの開示意思とサービス
・サーバ１２０を運営するサービス提供者の要望、及び
仲介サーバ１３０を運営する仲介業者の開示意思により
決定される。[S080: Notification of Authentication] Mediation Server 13
0 is the user access I generated in S050 via an encryption path formed with the service server 120.
The user authentication information is notified to the service server 120 based on D. This “user authentication information” is information on the user determined by the “user ID” stored in S041 in addition to the fact that the authentication has been established, and specifically,
All or one of “name”, “gender”, “age”, “address”, “credit card number”, “service name”, “service ID”, “service user ID”, etc. recorded in the user information DB 132 Department. Which of these pieces of information is notified to the service server 120 as “user authentication information” depends on the user's intention to disclose and the request of the service provider that operates the service server 120, and the intermediary that operates the mediation server 130. Is determined by the willingness to disclose.
【００４８】「ユーザの開示意思」はユーザの登録（Ｓ
００１）の際にユーザが通知を許可する又は許可しない
情報を指定しておく。また、「サービス提供者の要望」
については、サービスの登録（Ｓ００２）の際に通知を
希望する又は希望しない情報を指定しておく場合と、ユ
ーザ認証情報の通知に先立って、サービス・サーバ１２
０から仲介サーバ１３０に対して通知を希望する情報を
指定する場合とがある。The “user's intention to disclose” is registered by the user (S
At the time of (001), the user specifies information that permits or does not permit the notification. In addition, "service provider's request"
For information about the service, the information that the user wants or does not want to be notified at the time of registering the service (S002) is specified.
In some cases, information desired to be notified to the mediation server 130 from 0 may be specified.
【００４９】一方、特定ユーザの認証に関する情報（ユ
ーザ認証情報）」の通知について、仲介サーバ１３０を
運営する仲介業者は、例えばサービス提供者毎又はサー
ビス毎に通知し得るユーザ認証情報の範囲をあらかじめ
指定しておくことができる。特に、仲介業者側で通知し
得るユーザ認証情報の範囲をパターン化し、このパター
ン化された範囲を複数の「レベル」として定義すること
により、仲介業者はサービス提供者毎又はサービス毎に
この「レベル」を設定することも可能である。On the other hand, with regard to the notification of "information (user authentication information) relating to the authentication of a specific user", the mediation company operating the mediation server 130 determines in advance the range of the user authentication information that can be notified for each service provider or each service. Can be specified. In particular, by patterning the range of user authentication information that can be notified by the broker and defining this patterned range as a plurality of “levels”, the broker can determine this “level” for each service provider or service. Can also be set.
【００５０】また、サービス毎に異なるユーザ認証情報
を通知するには、サービス・サーバ１２０上のサービス
サイトと仲介サーバ１３０上の認証サービスサイトとを
リンクするリンクボタンをいずれかのサイトに設け、こ
のリンクボタンに、サービス・サーバ１２０が通知を希
望するユーザ認証情報に関する情報又は上記レベルに関
する情報を設定すればよい。To notify different user authentication information for each service, a link button for linking a service site on the service server 120 and an authentication service site on the mediation server 130 is provided at any one of the sites. In the link button, information about the user authentication information that the service server 120 wants to notify or information about the above level may be set.
【００５１】仲介サーバ１３０とユーザＡ及びサービス
・サーバ１２０のそれぞれが個別に認証を行ったことに
より、サービス・サーバ１２０は、仲介サーバ１３０か
らのユーザ認証情報の通知をもってユーザとの認証を行
ったこととし、また、ユーザＡは、個人の情報（すなわ
ち、ユーザ認証情報）が仲介サーバ１３０を通じてサー
ビス・サーバ１２０に通知されることをもってサービス
・サーバ１２０の認証を行ったものとして、ユーザとサ
ービス・サーバとの間の相互認証が成立したものとす
る。なお、ユーザ認証情報の通知を受けたサービス・サ
ーバは、ユーザ認証情報の中に含まれる認証結果（認証
成立の有無）のみに基づくか、又はユーザ認証情報に含
まれるユーザＡに関する情報（例えば、「年齢」、「性
別」、「住所」等のユーザ属性情報や、「ユーザＩ
Ｄ」、「ユーザ証明書」等のユーザ特定情報）とそのサ
ービス内容とに基づいて、このユーザＡからのアクセス
を認めるか否かを判断するようにしてもよい。Since the mediation server 130 and the user A and the service server 120 individually authenticate each other, the service server 120 authenticates the user with the notification of the user authentication information from the mediation server 130. In addition, the user A authenticates the service server 120 by notifying the service server 120 of personal information (that is, user authentication information) through the mediation server 130, and determines that the user A and the service It is assumed that mutual authentication with the server has been established. In addition, the service server that has received the notification of the user authentication information is based on only the authentication result (whether the authentication is successful) included in the user authentication information or based on the information about the user A included in the user authentication information (for example, User attribute information such as “age”, “sex”, “address”, and “user I
D, user identification information such as “user certificate”) and the service content, and whether to permit the access from the user A may be determined.
【００５２】［Ｓ０９０：ユーザ端末／サービス・サー
バ間の暗号路形成］上述のようなユーザ／サービス提供
者間での認証成立を受けて仲介サーバ１３０は、ユーザ
端末１１０と仲介サーバ１３０との間で形成された第１
の通信路（暗号路）と、サービス・サーバ１２０と仲介
サーバ１３０との間で形成された第２の通信路（暗号
路）とを接続し、ユーザ端末１１０とサービス・サーバ
１２０との間に第３の通信路（暗号路）を形成する。こ
れによって、インターネット１００上における第三者の
通信盗聴・改ざんを防止し、ユーザとサービス提供者が
ネットワーク上で安全に直接やりとりが行える環境が完
成する。[S090: Formation of Encrypted Channel Between User Terminal / Service Server] Upon completion of the authentication between the user / service provider as described above, the mediation server 130 establishes a connection between the user terminal 110 and the mediation server 130. The first formed by
Is connected to a second communication path (encrypted path) formed between the service server 120 and the mediation server 130, and between the user terminal 110 and the service server 120. A third communication path (encryption path) is formed. This prevents an eavesdropping and falsification of communication by a third party on the Internet 100 and completes an environment in which the user and the service provider can safely and directly exchange information on the network.
【００５３】［Ｓ１００：ユーザ端末／サービス・サー
バ間通信］ユーザ端末１１０とサービス・サーバ１２０
は、それぞれアプリケーションを起動し、ユーザ端末１
１０とサービス・サーバ１２０との間に形成された暗号
路を通じて電子商取引等のトランザクションを処理す
る。また、ユーザが暗号路内でサービス・サーバ１２０
と直接暗号通信を行うにあたり、サービス・サーバ１２
０は、必要に応じてサービス提供者用の認証作業を設定
し、ＩＣカード１１４のＩＣチップに格納された認証情
報を利用し、又はサービス提供者が独自に設定したユー
ザＩＤ及びパスワード等を利用して、再度ユーザ確認を
行ってもよい。[S100: Communication between User Terminal / Service Server] User terminal 110 and service server 120
Starts the application, respectively, and executes the user terminal 1
A transaction such as electronic commerce is processed through a cryptographic path formed between the server 10 and the service server 120. Also, when the user sets the service server 120
When performing direct cryptographic communication with the service server 12
0 sets the authentication work for the service provider as necessary, uses the authentication information stored in the IC chip of the IC card 114, or uses the user ID and password set by the service provider independently. Then, the user may be confirmed again.
【００５４】なお、上記実施の形態においては、ユーザ
Ａはサービスサイトのあるサービス・サーバ１２０に一
旦アクセスした後に仲介サーバ１３０にアクセスするも
のとして説明したが、これを先に仲介サーバ１３０にア
クセスした後にサービス・サーバ１２０にアクセスする
ようにしてもよい。In the above embodiment, the user A accesses the service server 120 having the service site once and then accesses the mediation server 130. However, the user A accesses the mediation server 130 first. The service server 120 may be accessed later.
【００５５】また、仲介サーバ１３０はユーザＡとの認
証の後にサービス・サーバ１２０との認証を行うとして
説明したが、これら２つの認証を並列に処理しても良い
ことはいうまでもない。Further, although it has been described that the mediation server 130 performs authentication with the service server 120 after authentication with the user A, it goes without saying that these two authentications may be processed in parallel.
【００５６】また、上記実施の形態においては、ユーザ
及びサービス・サーバの認証にあたって認証局（ＣＡ）
から発行された証明書を使用しているが、認証にあたっ
て認証局（ＣＡ）から発行された証明書を使用せず、特
定ユーザやサービス・サーバに割り当てられたユーザＩ
Ｄ及びパスワードのみで認証を行うことは可能である。In the above embodiment, the certification authority (CA) is used to authenticate the user and the service server.
Uses a certificate issued by a CA, but does not use a certificate issued by a Certificate Authority (CA) for authentication.
It is possible to perform authentication only with D and a password.
【００５７】さらに、ユーザ端末１１０と仲介サーバ１
３０との間の暗号路形成（Ｓ０５０）は、ユーザＡと仲
介サーバ１３０との間の（相互）認証（Ｓ０４０）の直
後で、ユーザアクセスＩＤの格納（Ｓ０４１）の前であ
ってもよい。Further, the user terminal 110 and the mediation server 1
30 (S050) may be immediately after the (mutual) authentication (S040) between the user A and the mediation server 130 and before storing the user access ID (S041).
【００５８】また、本実施の形態においては、ユーザ端
末１１０と仲介サーバ１３０との間に第３の通信路（暗
号路）を形成するにあたり、仲介業者が通信盗聴・改ざ
んをしないことを前提として、第１の通信路と第２の通
信路とを接続することも可能であるが、仲介サーバ１３
０上の第３の暗号路形成部２０３を暗号ボックスとする
ことにより、仲介業者に対してもより高いセキュリティ
を実現することができる。Also, in the present embodiment, in forming the third communication path (encryption path) between the user terminal 110 and the intermediary server 130, it is assumed that the intermediary agent does not wiretap or falsify the communication. It is possible to connect the first communication path and the second communication path,
By making the third cryptographic path forming unit 203 on 0 as a cryptographic box, higher security can be realized even for an intermediary.
【００５９】また、本実施の形態では、第３の暗号路を
形成する場合、第１の通信路（ＩＰＳｅｃにより形成さ
れたＩＰ−ＶＰＮであってＳＳＬによる暗号通信が行わ
れる暗号路）と第２の通信路（ＩＰＳｅｃによるＶＰＮ
又は専用線、若しくはオープン・ネットワーク上のＳＳ
Ｌによる暗号路）を接続するとして説明したが、ユーザ
端末１１０とサービス・サーバ１２０との間にエンドエ
ンド暗号路を再形成し、暗号通信上仲介サーバも経由し
ない、より安全性を強化した暗号通信網を形成すること
も可能である。このようなエンドエンド暗号路は、ユー
ザ端末１１０とサービス・サーバ１２０との間であらた
めて直接認証を行い、ＩＰＳｅｃ等によるＶＰＮによっ
て形成することが可能である。このときのユーザ端末１
１０とサービス・サーバ１２０との間の認証は、相互認
証又はサービス・サーバ１２０がユーザ端末１１０を認
証する片側認証の何れであってもよい。さらに、エンド
エンド暗号路上でＳＳＬによる暗号化を行ってもよい。In the present embodiment, when forming the third encryption path, the first communication path (the IP-VPN formed by IPSec and the encryption path in which the encryption communication by SSL is performed) is connected to the first communication path. 2 communication path (VPN by IPSec
Or a dedicated line or SS on an open network
L, an end-to-end encryption path is re-formed between the user terminal 110 and the service server 120 so that the encryption is performed without using an intermediary server in the encryption communication. It is also possible to form a communication network. Such an end-to-end encryption path can be formed by performing a direct authentication between the user terminal 110 and the service server 120 again and using a VPN such as IPSec. User terminal 1 at this time
The authentication between the server 10 and the service server 120 may be either a mutual authentication or a one-sided authentication in which the service server 120 authenticates the user terminal 110. Furthermore, SSL encryption may be performed on an end-to-end encryption path.
【００６０】[0060]
【発明の効果】本発明によれば、特定ユーザと仲介サー
バとの間で相互認証し、かつサービス・サーバが仲介サ
ーバを認証した後に特定ユーザとサービス・サーバとの
間に暗号路を形成するので、なりすまし等に対するシス
テムのセキュリティを向上させることができる。ユーザ
は、仲介サーバとのみ認証を認証を行うことで、複数サ
ービス提供者のサービス利用が可能となるので、サービ
ス提供者と直接認証を行うことで生じるサービス提供者
毎の認証作業を行う必要がなくなり、認証情報を取得・
管理する負担を軽減できる。また、サービス提供者は、
仲介サーバに対してのみ認証を行うことで、ユーザと直
接認証を行うことで生じるユーザ毎の認証作業を行う必
要がなく、複数ユーザの認証が可能となり、認証システ
ム構築・運営作業の軽減が図られる。さらに、サービス
提供者にとって、ユーザ認証の確認作業を常に精密に行
う必要がなく、サービス内容や状況に応じた認証情報の
レベル選択ができることにより、サービス提供者側でよ
り柔軟なシステム構成及び運営作業が可能となる。According to the present invention, mutual authentication is performed between the specific user and the mediation server, and after the service server authenticates the mediation server, an encryption path is formed between the specific user and the service server. Therefore, the security of the system against impersonation or the like can be improved. Since the user can use services of a plurality of service providers by performing authentication only with the mediation server, it is necessary to perform authentication work for each service provider that occurs by directly performing authentication with the service provider. Disappears and obtains authentication information
The burden of management can be reduced. In addition, the service provider
By performing authentication only on the mediation server, there is no need to perform authentication work for each user that occurs by performing authentication directly with the user, and authentication of multiple users becomes possible, reducing the work of building and operating an authentication system. Can be Furthermore, the service provider does not need to always perform the user authentication confirmation work precisely and can select the level of the authentication information according to the service content and the situation, so that the service provider side has more flexible system configuration and operation work. Becomes possible.
【００６１】また、サービス・サーバへは認証に基づい
て形成される暗号路又は物理的に保護された専用線を通
じてユーザ認証情報を通知するので、なりすましや盗聴
に対してセキュリティの高いシステムを提供することが
できる。また、ユーザ認証毎に仲介サーバとサービス・
サーバとの間で認証を行い、かつ少なくとも第１及び第
２の通信路を暗号路とすることによって、サービス提供
者は仲介業者に対するセキュリティを確保、すなわち仲
介業者のなりすましを防止することができる。Further, since the user authentication information is notified to the service server through a cryptographic path formed on the basis of authentication or a physically protected dedicated line, a system with high security against spoofing and eavesdropping is provided. be able to. In addition, the mediation server and service
By performing authentication with the server and using at least the first and second communication paths as encryption paths, the service provider can secure security for the intermediary, that is, can prevent impersonation of the intermediary.
【００６２】また、ユーザの認証情報が格納されたＩＣ
チップを仲介業者が配布したことにより、ユーザ本人に
認証情報を付与することができ、ユーザが認証の際に任
意の端末から自端末と同様の認証及び暗号通信を行うこ
とができる。しかもＩＣチップの耐タンパ性により認証
情報の漏洩が防止できる。また、ＩＣチップに格納され
た認証情報に基づいてユーザ及び仲介サーバが相互認証
するので、認証情報の管理が軽減されると共に、セキュ
リティを向上させることができる。An IC storing user authentication information
By distributing the chip by the intermediary agent, the authentication information can be given to the user himself / herself, and the user can perform the same authentication and encryption communication from any terminal as his own terminal at the time of authentication. Moreover, leakage of authentication information can be prevented by the tamper resistance of the IC chip. Further, since the user and the mediation server mutually authenticate based on the authentication information stored in the IC chip, management of the authentication information can be reduced and security can be improved.
【図１】 本発明の実施の形態に係るシステムを説明す
る図である。FIG. 1 is a diagram illustrating a system according to an embodiment of the present invention.
【図２】 上記システム内の仲介サーバの構成を示す図
である。FIG. 2 is a diagram showing a configuration of a mediation server in the system.
【図３】 上記システムの構成と認証接続手順を示す図
である。FIG. 3 is a diagram showing a configuration of the system and an authentication connection procedure.
【図４】 上記システムにおける認証接続手順を示すシ
ーケンス図である。FIG. 4 is a sequence diagram showing an authentication connection procedure in the above system.
【図５】 ユーザ情報ＤＢに記録されたユーザ情報の一
例を示す図である。FIG. 5 is a diagram showing an example of user information recorded in a user information DB.
【図６】 ユーザの認証情報の一例を示す図である。FIG. 6 is a diagram illustrating an example of user authentication information.
１００…インターネット、１１０…ユーザ端末、１１２
…ＩＣカードリーダ、１１４…ＩＣカード、１２０…サ
ービス・サーバ、１３０…仲介サーバ、１３２…ユーザ
情報データベース、２０１…認証仲介判定部、２０２…
ユーザ認証情報送信部、２０３…第３の暗号路形成部、
２１１…第１通信部、２１２…ユーザ認証部、２１３…
ユーザ情報記憶部、２１４…第１の暗号路形成部、２２
１…第２通信部、２２２…サービス提供者認証部、２２
３…サービス提供者情報記憶部、２２４…第２の暗号路
形成部２２４。100: Internet, 110: User terminal, 112
... IC card reader, 114 ... IC card, 120 ... service server, 130 ... mediation server, 132 ... user information database, 201 ... authentication mediation determination unit, 202 ...
A user authentication information transmitting unit, 203... A third cryptographic path forming unit,
211: first communication unit, 212: user authentication unit, 213 ...
User information storage unit, 214... First encryption path forming unit, 22
1: second communication unit, 222: service provider authentication unit, 22
3 ... Service provider information storage unit, 224 ... Second encryption path forming unit 224
───────────────────────────────────────────────────── フロントページの続き (72)発明者 清松 幹央 東京都千代田区内幸町一丁目１番６号 エ ヌ・ティ・ティ・コミュニケーションズ株 式会社内 (72)発明者 嶋崎 剛 東京都千代田区内幸町一丁目１番６号 エ ヌ・ティ・ティ・コミュニケーションズ株 式会社内 (72)発明者 山田 順之介 東京都千代田区内幸町一丁目１番６号 エ ヌ・ティ・ティ・コミュニケーションズ株 式会社内 (72)発明者 伴野 淳志 東京都千代田区内幸町一丁目１番６号 エ ヌ・ティ・ティ・コミュニケーションズ株 式会社内 Ｆターム(参考） 5B085 AA08 AE12 AE23 BA06 BG07 5J104 AA01 AA07 KA01 MA05 NA02 NA05 NA35 NA38 PA07 ──────────────────────────────────────────────────続 き Continuing on the front page (72) Inventor Mikio Kiyomatsu 1-6-1 Uchisaiwaicho, Chiyoda-ku, Tokyo NTT Communications Corporation (72) Inventor Tsuyoshi Shimazaki Uchisaiwai-cho, Chiyoda-ku, Tokyo (No. 1-6) NTT Communications Corporation (72) Inventor Junnosuke Yamada 1-1-6 Uchisaiwaicho, Chiyoda-ku, Tokyo NTT Communications Corporation (72) 72) Inventor Atsushi Banno 1-6-1 Uchisaiwaicho, Chiyoda-ku, Tokyo F-term in NTT Communications Corporation (reference) 5B085 AA08 AE12 AE23 BA06 BG07 5J104 AA01 AA07 KA01 MA05 NA02 NA05 NA35 NA38 PA07
Claims (19)
録したＩＣチップと、 このＩＣチップに記録された前記ユーザ認証情報を読み
取ると共に電子的ネットワークに接続可能なユーザ端末
と、 電子的ネットワークを介して前記特定ユーザに対してサ
ービスを提供するサービス・サーバと、 前記ユーザ端末と前記サービス・サーバのそれぞれと電
子的ネットワークを介して接続される仲介サーバとを備
え、 前記特定ユーザのユーザ端末と前記仲介サーバとが前記
ＩＣチップから読み取った前記ユーザ認証情報に基づい
て相互に認証し、かつ少なくとも前記サービス・サーバ
が前記仲介サーバを認証した場合に前記ユーザ端末と前
記サービス・サーバとを接続することを特徴とする認証
接続システム。An IC chip on which user authentication information relating to a specific user is recorded; a user terminal capable of reading the user authentication information recorded on the IC chip and connecting to an electronic network; A service server that provides a service to a specific user; a mediation server connected to each of the user terminal and the service server via an electronic network; and a user terminal of the specific user and the mediation server Are mutually authenticated based on the user authentication information read from the IC chip, and connect the user terminal and the service server when at least the service server has authenticated the mediation server. And authentication connection system.
において、 前記ユーザ端末は、 前記ＩＣチップに記録された前記ユーザ認証情報を電子
的ネットワークを介して前記仲介サーバに送信する送信
手段と、 前記仲介サーバより電子的ネットワークを介して第１の
仲介サーバ認証情報を受信する受信手段と、前記ＩＣチ
ップに記録された前記ユーザ認証情報と前記仲介サーバ
より電子的ネットワークを介して受信した前記仲介サー
バ認証情報とに基づいて前記仲介サーバの認証を行う仲
介サーバ認証手段とを有し、 前記サービス・サーバは、 前記仲介サーバより電子的ネットワークを介して第２の
仲介サーバ認証情報を受信して、この第２の仲介サーバ
認証情報に基づいて前記仲介サーバの認証を行う仲介サ
ーバ認証手段を有し、 前記仲介サーバは、 前記特定ユーザのユーザ端末より電子的ネットワークを
介して受信した前記ユーザ認証情報に基づいて前記ユー
ザ端末の認証を行うユーザ認証手段と、 前記ユーザ端末に電子的ネットワークを介して送信すべ
き前記第１の仲介サーバ認証情報を蓄積管理する第１の
蓄積管理手段と、 前記ユーザ端末における仲介サーバ認証手段が前記第１
の仲介サーバ認証情報に基づいて前記仲介サーバを認証
しかつ前記ユーザ認証手段が前記ユーザ認証情報に基づ
いて前記ユーザ端末を認証したときに前記ユーザ端末と
前記仲介サーバとの間に第１の通信路を設定する第１の
通信路形成手段と、 前記ユーザ端末から指定された前記サービス・サーバに
電子的ネットワークを介して送信すべき前記第２の仲介
サーバ認証情報を蓄積管理する第２の蓄積管理手段と、 少なくとも前記仲介サーバが前記サービス・サーバによ
って認証されたときに前記サービス・サーバと前記仲介
サーバとの間に第２の通信路を形成する第２の通信路形
成手段と、 前記第２の通信路を介して前記サービス・サーバに前記
特定ユーザの認証に関する情報を通知する認証通知手段
と、 前記ユーザ端末と前記仲介サーバとが相互に認証しかつ
少なくとも前記サービス・サーバが前記仲介サーバを認
証した場合に前記ユーザ端末と前記サービス・サーバと
の間に第３の通信路を形成する第３の通信路形成手段と
を有することを特徴とする認証接続システム。2. The authentication connection system according to claim 1, wherein the user terminal transmits the user authentication information recorded on the IC chip to the mediation server via an electronic network. Receiving means for receiving first mediation server authentication information from the mediation server via an electronic network; and the user mediation information recorded on the IC chip and the mediation received from the mediation server via the electronic network; Mediation server authentication means for performing authentication of the mediation server based on server authentication information, wherein the service server receives second mediation server authentication information from the mediation server via an electronic network. A transfer server authentication unit that authenticates the transfer server based on the second transfer server authentication information; A server, user authentication means for performing authentication of the user terminal based on the user authentication information received from the user terminal of the specific user via an electronic network, and transmission to the user terminal via the electronic network A first accumulation management unit that accumulates and manages the first mediation server authentication information;
First communication between the user terminal and the mediation server when the mediation server is authenticated based on the mediation server authentication information and the user authentication unit authenticates the user terminal based on the user authentication information. First communication path forming means for setting a path, and second storage for storing and managing the second transfer server authentication information to be transmitted from the user terminal to the service server specified via the electronic network. Management means; second communication path forming means for forming a second communication path between the service server and the transfer server when at least the transfer server is authenticated by the service server; Authentication notifying means for notifying the service server of information on the authentication of the specific user via the second communication path; and the user terminal and the mediation server. Has a third communication path forming means for forming a third communication path between the user terminal and the service server when at least the service server has authenticated the intermediary server and mutually authenticated. An authentication connection system, characterized in that:
において、 前記仲介サーバは、さらに前記ユーザ端末から指定され
た前記サービス・サーバを認証するサービス・サーバ認
証手段を有し、 前記第２の通信路形成手段は、前記サービス・サーバと
前記仲介サーバとが相互に認証したときに前記サービス
・サーバと前記仲介サーバとの間に第２の通信路を形成
することを特徴とする認証接続システム。3. The authentication connection system according to claim 2, wherein the mediation server further includes a service server authentication unit that authenticates the service server specified by the user terminal. An authentication connection system, wherein the communication path forming means forms a second communication path between the service server and the relay server when the service server and the relay server mutually authenticate each other. .
接続システムにおいて、 前記第３の通信路は、 前記第１の通信路と前記第２の
通信路を互いに接続することにより形成されることを特
徴とする認証接続システム。4. The authentication connection system according to claim 2, wherein the third communication path is formed by connecting the first communication path and the second communication path to each other. An authentication connection system characterized by:
接続システムにおいて、 前記第３の通信路は、前記仲介サーバを介さずに前記ユ
ーザ端末と前記サービス・サーバとの間で形成されるこ
とを特徴とする認証接続システム。5. The authentication connection system according to claim 2, wherein the third communication path is formed between the user terminal and the service server without passing through the mediation server. An authentication connection system characterized by:
された認証接続システムにおいて、 前記第１、第２及び第３の通信路は暗号路であることを
特徴とする認証接続システム。6. The authentication connection system according to claim 2, wherein the first, second, and third communication paths are encryption paths.
された認証接続システムにおいて、 前記仲介サーバは、 ユーザに関する情報を記憶した記憶手段と、 前記ユーザ認証手段が前記特定ユーザの前記ユーザ端末
を認証したときに前記記憶手段に記憶された情報の中か
ら前記特定ユーザに関する情報を特定するユーザ情報特
定手段とを備え、 前記ユーザ情報特定手段によって特定された前記特定ユ
ーザに関する情報の一部又は全部を前記第２の通信路を
介して前記サービス・サーバに提供することを特徴とす
る認証接続システム。7. The authentication connection system according to claim 2, wherein the mediation server includes: a storage unit that stores information on a user; and the user authentication unit stores the user of the specific user. User information specifying means for specifying information on the specific user from information stored in the storage means when the terminal is authenticated, and a part of the information on the specific user specified by the user information specifying means Alternatively, the authentication connection system provides the entire service to the service server via the second communication path.
において、 前記仲介サーバから前記サービス・サーバに提供される
前記特定ユーザに関する情報は、あらかじめ指定された
事項に関するものに限定されていることを特徴とする認
証接続システム。8. The authentication connection system according to claim 7, wherein the information on the specific user provided from the intermediary server to the service server is limited to information on a predetermined item. Characterized authentication connection system.
接続システムにおいて、 前記仲介サーバから前記サービス・サーバに提供される
前記特定ユーザに関する情報は、前記サービス・サーバ
からの問い合わせに応じて提供されることを特徴とする
認証接続システム。9. The authentication connection system according to claim 7, wherein the information on the specific user provided from the mediation server to the service server is in response to an inquiry from the service server. An authentication connection system provided.
ーザに対してサービスを提供するサービス・サーバとに
電子的ネットワークを介して接続可能な仲介サーバであ
って、 前記特定ユーザのユーザ端末より電子的ネットワークを
介して受信したユーザ認証情報に基づいて前記特定ユー
ザの前記ユーザ端末の認証を行うユーザ認証手段と、 前記ユーザ端末に電子的ネットワークを介して送信すべ
き第１の仲介サーバ認証情報を蓄積管理する第１の蓄積
管理手段と、 前記ユーザ端末における仲介サーバ認証手段が前記第１
の仲介サーバ認証情報に基づいて前記仲介サーバを認証
しかつ前記ユーザ認証手段が前記ユーザ認証情報に基づ
いて前記ユーザ端末を認証したときに前記ユーザ端末と
前記仲介サーバとの間に第１の通信路を設定する第１の
通信路形成手段と、 前記ユーザ端末から指定された前記サービス・サーバに
電子的ネットワークを介して送信すべき第２の仲介サー
バ認証情報を蓄積管理する第２の蓄積管理手段と、 少なくとも前記仲介サーバが前記サービス・サーバ認証
手段によって認証されたときに前記サービス・サーバと
前記仲介サーバとの間に第２の通信路を形成する第２の
通信路形成手段と、 前記第２の通信路を介して前記サービス・サーバに前記
特定ユーザの認証に関する情報を通知する認証通知手段
と、 前記ユーザ端末と前記仲介サーバとが相互に認証しかつ
少なくとも前記サービス・サーバが前記仲介サーバを認
証した場合に前記ユーザ端末と前記サービス・サーバと
の間に第３の通信路を形成する第３の通信路形成手段と
を有することを特徴とする仲介サーバ。10. A mediation server connectable via a network to a user terminal and a service server providing a service to a specific user of the user terminal, wherein the mediation server is more electronic than the user terminal of the specific user. User authentication means for authenticating the user terminal of the specific user based on the user authentication information received via a network, and storing first mediation server authentication information to be transmitted to the user terminal via an electronic network A first storage management unit for managing, and a transfer server authentication unit in the user terminal,
First communication between the user terminal and the mediation server when the mediation server is authenticated based on the mediation server authentication information and the user authentication unit authenticates the user terminal based on the user authentication information. First communication path forming means for setting a path, and second storage management for storing and managing second mediation server authentication information to be transmitted from the user terminal to the service server specified via the electronic network. Means, a second communication path forming means for forming a second communication path between the service server and the transfer server when at least the transfer server is authenticated by the service server authentication means, Authentication notifying means for notifying the service server of information on the authentication of the specific user via a second communication path; and the user terminal and the mediation server. And a third communication path forming means for forming a third communication path between the user terminal and the service server when the server and the service server mutually authenticate each other and at least the service server authenticates the mediation server. A mediation server comprising:
おいて、 ユーザに関する情報を記憶した記憶手段と、 前記ユーザ認証手段が前記特定ユーザの前記ユーザ端末
を認証したときに前記記憶手段に記憶された情報の中か
ら前記特定ユーザに関する情報を特定するユーザ情報特
定手段とを備え、 前記ユーザ情報特定手段によって特定された前記特定ユ
ーザに関する情報の一部又は全部を前記第２の通信路を
介して前記サービス・サーバに提供することを特徴とす
る仲介サーバ。11. The mediation server according to claim 10, wherein the storage unit stores information about a user, and the user authentication unit stores the information when the user terminal of the specific user is authenticated. User information specifying means for specifying information on the specific user from among the information, wherein a part or all of the information on the specific user specified by the user information specifying means is provided via the second communication path. An intermediary server provided to a service server.
おいて、 前記サービス・サーバに提供される前記特定ユーザに関
する情報は、あらかじめ指定された事項に関するものに
限定されていることを特徴とする仲介サーバ。12. The mediation server according to claim 11, wherein the information on the specific user provided to the service server is limited to information on a predetermined item. .
た仲介サーバにおいて、 前記サービス・サーバに提供される前記特定ユーザに関
する情報は、前記サービス・サーバからの問い合わせに
応じて提供されることを特徴とする仲介サーバ。13. The mediation server according to claim 11, wherein the information on the specific user provided to the service server is provided in response to an inquiry from the service server. The mediation server that is the feature.
前記特定ユーザが所有するＩＣチップに記憶させるステ
ップと、 このＩＣチップに記録された前記ユーザ認証情報をユー
ザ端末が読み込むステップと、 仲介サーバが前記ユーザ認証情報を電子的ネットワーク
を介して読み取るステップと、 前記仲介サーバが前記ユーザ端末に電子的ネットワーク
を介して第１の仲介サーバ認証情報を送信するステップ
と、 前記仲介サーバが前記ユーザ端末より電子的ネットワー
クを介して受信した前記ユーザ認証情報に基づいて前記
特定ユーザのユーザ端末の認証を行うステップと、 前記ユーザ端末が前記仲介サーバより電子的ネットワー
クを介して受信した前記第１の仲介サーバ認証情報に基
づいて前記仲介サーバの認証を行うステップと、 前記ユーザ端末が前記仲介サーバを認証しかつ前記仲介
サーバが前記特定ユーザの前記ユーザ端末を認証したと
きに前記ユーザ端末と前記仲介サーバとの間に第１の通
信路を設定するステップと、 前記ユーザ端末から指定された前記サービス・サーバが
前記仲介サーバを認証するステップと、 少なくとも前記仲介サーバが前記サービス・サーバによ
って認証されたときに前記サービス・サーバと前記仲介
サーバとの間に第２の通信路を形成するステップと、 前記第２の通信路を介して前記仲介サーバから前記サー
ビス・サーバに前記特定ユーザの認証に関する情報を通
知するステップと、 前記ユーザ端末と前記仲介サーバとが相互に認証しかつ
少なくとも前記サービス・サーバが前記仲介サーバを認
証した場合に前記ユーザ端末と前記指定されたサービス
・サーバとの間に第３の通信路を形成するステップとを
含むことを特徴とする認証接続方法。14. A step of storing user authentication information relating to a specific user in an IC chip owned by the specific user; a step of reading the user authentication information recorded on the IC chip by a user terminal; Reading authentication information via an electronic network; transmitting the first mediation server authentication information to the user terminal via an electronic network; and transmitting the mediation server electronically from the user terminal. Authenticating the user terminal of the specific user based on the user authentication information received via a network; and the first transfer server authentication information received by the user terminal from the transfer server via an electronic network. Authenticating the mediation server based on Setting a first communication path between the user terminal and the mediation server when the user terminal authenticates the mediation server and the mediation server authenticates the user terminal of the specific user; The service server designated by a user terminal to authenticate the intermediary server; and a second server between the service server and the intermediary server when at least the intermediary server is authenticated by the service server. Forming a communication path; notifying the service server of information relating to the authentication of the specific user via the second communication path; and the user terminal and the transfer server interacting with each other. Authenticated and at least the user terminal and the designated Forming a third communication path with the service server.
において、 前記第２の通信路は、前記サービス・サーバと前記仲介
サーバとが相互に認証したときに形成されることを特徴
とする認証接続方法。15. The authentication connection method according to claim 14, wherein the second communication path is formed when the service server and the mediation server authenticate each other. Connection method.
た認証接続方法において、 前記第３の通信路は、 前記第１の通信路と前記第２の
通信路を互いに接続することにより形成されることを特
徴とする認証接続方法。16. The authentication connection method according to claim 14, wherein the third communication path is formed by connecting the first communication path and the second communication path to each other. Authentication connection method.
た認証接続方法において、 前記第３の通信路は、前記仲介サーバを介さずに前記ユ
ーザ端末と前記サービス・サーバとの間で形成されるこ
とを特徴とする認証接続方法。17. The authentication connection method according to claim 14, wherein the third communication path is formed between the user terminal and the service server without passing through the mediation server. Authentication connection method.
に記載された認証接続方法において、 前記第１、第２及び第３の通信路は暗号路であることを
特徴とする認証接続方法。18. The authentication connection method according to claim 14, wherein the first, second, and third communication paths are encryption paths.
に記載された認証接続方法において、 前記仲介サーバは、前記特定ユーザを認証したときにあ
らかじめ記憶されたユーザに関する情報の中から前記特
定ユーザに関する情報を特定し、 この特定された前記特定ユーザに関する情報の一部又は
全部を前記第２の通信路を介して前記サービス・サーバ
に提供することを特徴とする認証接続方法。19. The authentication connection method according to claim 14, wherein the mediation server selects the specific user from information stored in advance when the specific user is authenticated. An authentication connection method comprising: specifying information related to the specified user; and providing a part or all of the specified information related to the specified user to the service server via the second communication path.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000126611A JP2001306519A (en) | 2000-04-26 | 2000-04-26 | System and method for authentication and connection |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000126611A JP2001306519A (en) | 2000-04-26 | 2000-04-26 | System and method for authentication and connection |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2001306519A true JP2001306519A (en) | 2001-11-02 |
Family
ID=18636364
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000126611A Pending JP2001306519A (en) | 2000-04-26 | 2000-04-26 | System and method for authentication and connection |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2001306519A (en) |
Cited By (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2002076043A1 (en) * | 2001-03-19 | 2002-09-26 | Sony Corporation | Network system |
| JP2002278935A (en) * | 2001-03-19 | 2002-09-27 | Sony Corp | Network system, terminal equipment, communicating method, program and record medium |
| JP2004334887A (en) * | 2003-05-09 | 2004-11-25 | Microsoft Corp | Web access to secure data |
| JP2006079446A (en) * | 2004-09-10 | 2006-03-23 | Yumix:Kk | Service providing server |
| WO2006043463A1 (en) * | 2004-10-19 | 2006-04-27 | Nec Corporation | Vpn gateway device and hosting system |
| JP2007181123A (en) * | 2005-12-28 | 2007-07-12 | Ntt Communications Kk | Digital certificate exchange method, terminal device, and program |
| JP2008009864A (en) * | 2006-06-30 | 2008-01-17 | Ntt Comware Corp | Authentication system, authentication method and authentication management device |
| WO2010050406A1 (en) * | 2008-10-29 | 2010-05-06 | 高光産業株式会社 | Service providing system |
| US7792127B2 (en) | 2001-03-19 | 2010-09-07 | Sony Corporation | Network system |
| JP2010251974A (en) * | 2009-04-14 | 2010-11-04 | Nec System Technologies Ltd | Data transfer method, data transfer system and data relay program |
| JP2013510351A (en) * | 2009-11-05 | 2013-03-21 | ヴイエムウェア インク | Single sign-on for remote user sessions |
| JP2013530549A (en) * | 2010-01-29 | 2013-07-25 | 華為技術有限公司 | MTC device authentication method, MTC gateway and related device |
-
2000
- 2000-04-26 JP JP2000126611A patent/JP2001306519A/en active Pending
Cited By (21)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7792127B2 (en) | 2001-03-19 | 2010-09-07 | Sony Corporation | Network system |
| JP2002278935A (en) * | 2001-03-19 | 2002-09-27 | Sony Corp | Network system, terminal equipment, communicating method, program and record medium |
| WO2002076043A1 (en) * | 2001-03-19 | 2002-09-26 | Sony Corporation | Network system |
| US8559428B2 (en) | 2001-03-19 | 2013-10-15 | Sony Corporation | Network system |
| US8467385B2 (en) | 2001-03-19 | 2013-06-18 | Sony Corporation | Network system |
| JP4759823B2 (en) * | 2001-03-19 | 2011-08-31 | ソニー株式会社 | Network system, terminal device, server, communication method, program, and recording medium |
| JP2004334887A (en) * | 2003-05-09 | 2004-11-25 | Microsoft Corp | Web access to secure data |
| JP2006079446A (en) * | 2004-09-10 | 2006-03-23 | Yumix:Kk | Service providing server |
| JP4592369B2 (en) * | 2004-09-10 | 2010-12-01 | 株式会社サスライト | Service providing server |
| WO2006043463A1 (en) * | 2004-10-19 | 2006-04-27 | Nec Corporation | Vpn gateway device and hosting system |
| JPWO2006043463A1 (en) * | 2004-10-19 | 2008-05-22 | 日本電気株式会社 | VPN gateway device and hosting system |
| JP4737089B2 (en) * | 2004-10-19 | 2011-07-27 | 日本電気株式会社 | VPN gateway device and hosting system |
| CN101040496B (en) * | 2004-10-19 | 2010-09-15 | 日本电气株式会社 | VPN gateway device and host system |
| JP2007181123A (en) * | 2005-12-28 | 2007-07-12 | Ntt Communications Kk | Digital certificate exchange method, terminal device, and program |
| JP2008009864A (en) * | 2006-06-30 | 2008-01-17 | Ntt Comware Corp | Authentication system, authentication method and authentication management device |
| JPWO2010050406A1 (en) * | 2008-10-29 | 2012-03-29 | 高光産業株式会社 | Service provision system |
| WO2010050406A1 (en) * | 2008-10-29 | 2010-05-06 | 高光産業株式会社 | Service providing system |
| JP2010251974A (en) * | 2009-04-14 | 2010-11-04 | Nec System Technologies Ltd | Data transfer method, data transfer system and data relay program |
| JP2013510351A (en) * | 2009-11-05 | 2013-03-21 | ヴイエムウェア インク | Single sign-on for remote user sessions |
| JP2013530549A (en) * | 2010-01-29 | 2013-07-25 | 華為技術有限公司 | MTC device authentication method, MTC gateway and related device |
| US8769283B2 (en) | 2010-01-29 | 2014-07-01 | Huawei Technologies Co., Ltd. | MTC device authentication method, MTC gateway, and related device |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8856891B2 (en) | Proxy authentication network | |
| JP5334320B2 (en) | Authentication delegation based on re-verification of cryptographic evidence | |
| KR100563107B1 (en) | Ic card and authentication method in electronic ticket distribution system | |
| US20040199768A1 (en) | System and method for enabling enterprise application security | |
| JP2005505991A (en) | Method and system for providing client privacy when content is requested from a public server | |
| JP2008538668A (en) | Method and apparatus for connecting to SIM card accommodated in mobile terminal device | |
| CN103229452A (en) | Mobile handset identification and communication authentication | |
| KR20130098368A (en) | Shared secret establishment and distribution | |
| CN104767731A (en) | Identity authentication protection method of Restful mobile transaction system | |
| EP2957064B1 (en) | Method of privacy-preserving proof of reliability between three communicating parties | |
| JP2002298054A5 (en) | User authentication method, settlement method, user authentication information processing method, settlement information processing method, user authentication information processing system, settlement information processing system, communication terminal device and program | |
| JP5992535B2 (en) | Apparatus and method for performing wireless ID provisioning | |
| US20070118749A1 (en) | Method for providing services in a data transmission network and associated components | |
| JP2001306519A (en) | System and method for authentication and connection | |
| CN112565294B (en) | Identity authentication method based on block chain electronic signature | |
| KR101173359B1 (en) | Method of establishing protected electronic communication between various electronic devices, especially between electronic devices of electronic service providers and electronic devices of users of electronic service | |
| KR100926153B1 (en) | System For Wireless Public Certification Service Using Electronic Signature With Mobile Terminal and Method For Providing said Service | |
| JP2007525125A (en) | Public key transmission by mobile terminal | |
| US8423782B2 (en) | Method for authenticating a user accessing a remote server from a computer | |
| JP3914193B2 (en) | Method for performing encrypted communication with authentication, authentication system and method | |
| EP1437024B1 (en) | Method and arrangement in a communications network | |
| JP2001298774A (en) | Method for authenticating use of wireless phone | |
| JPH08335207A (en) | Authorizing method for network user | |
| JP7139635B2 (en) | Authentication system | |
| Bochmann et al. | A secure authentication infrastructure for mobile users |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20051025 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20051226 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060131 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20060509 |