JP6823564B2 - Authentication key sharing system and new terminal registration method - Google Patents
Authentication key sharing system and new terminal registration methodDownload PDFInfo
- Publication number
- JP6823564B2 JP6823564B2JP2017149575AJP2017149575AJP6823564B2JP 6823564 B2JP6823564 B2JP 6823564B2JP 2017149575 AJP2017149575 AJP 2017149575AJP 2017149575 AJP2017149575 AJP 2017149575AJP 6823564 B2JP6823564 B2JP 6823564B2
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- key
- public
- registered
- authentication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Description
Translated fromJapanese本発明は、利用者が端末機からＷｅｂサービス利用のために必要な認証鍵を利用する認証鍵共有システム及び端末機新規登録方法に関する。 The present invention relates to an authentication key sharing system in which a user uses an authentication key necessary for using a Web service from a terminal, and a method for newly registering a terminal.
インターネットの利用者は、パソコン（パーソナルコンピュータ）やスマートフォン、タブレット等の端末機を使って、オンラインバンキングやネットショッピング等の各種Ｗｅｂ(World Wide Web)サービスを利用している。Ｗｅｂサービス（単にサービスともいう）を利用する際には、利用者認証が必要であり、利用者ＩＤ（IDentifier）とパスワードを用いるのが一般的である。しかしながら、安易に設定したパスワードが推測されたり、不正アクセスによりＷｅｂサービスを行うＷｅｂサーバ（サーバともいう）からパスワードが漏洩したりすることによって、パスワードが盗まれてしまう事件が多発している。 Internet users use various Web (World Wide Web) services such as online banking and online shopping by using terminals such as personal computers (personal computers), smartphones, and tablets. When using a Web service (also simply referred to as a service), user authentication is required, and it is common to use a user ID (IDentifier) and a password. However, there are many cases in which a password is stolen because the password set easily is guessed or the password is leaked from a Web server (also called a server) that provides a Web service due to unauthorized access.
パスワード認証に代わる利用者認証技術として、ＦＩＤＯ（Fast IDentity Online）という公開鍵暗号を用いたＷｅｂサービスの利用者認証技術がある。ＦＩＤＯでは、サービス毎に各々が異なる一対の秘密鍵及び公開鍵の認証鍵ペアを端末機で生成し、公開鍵をサーバに登録し、秘密鍵を端末機内のセキュア領域に閉じ込めておく。例えば、図１５（ａ）に示すように、所定のサービスＡを提供するＷｅｂサーバ１０ａに公開鍵１１ａを登録し、所定のサービスＢを提供するＷｅｂサーバ１０ｂに公開鍵１１ｂを登録する。端末機１２ａのセキュア領域１３ａ内に、公開鍵１１ａと対の秘密鍵１４ａと、公開鍵１１ｂと対の秘密鍵１４ｂとを閉じ込めておく。なお、「と対の」は、「と一対の」ことを表す。以降同様である。 As a user authentication technology that replaces password authentication, there is a user authentication technology for Web services that uses public key cryptography called FIDO (Fast IDentity Online). In FIDO, a pair of private key and public key authentication key pairs, which are different for each service, are generated by the terminal, the public key is registered in the server, and the private key is confined in the secure area in the terminal. For example, as shown in FIG. 15A, the public key 11a is registered in the
サーバ（例えば１０ａ）による利用者認証は、チャレンジ・レスポンス認証（後述）における署名等によって次のように行われる。即ち、サーバ１０ａが乱数を生成して端末機１２ａへ送信し、端末機１２ａが秘密鍵１４ａを用い乱数に署名してサーバ１０ａへ返信し、サーバ１０ａが公開鍵１１ａで署名を検証するといった手順で行われる。その署名検証が成功すれば、利用者認証が成功したことになり、利用者はＷｅｂサービスを利用することができる。なお、チャレンジ・レスポンス認証とは、ユーザ認証に使われるランダム文字列（チャレンジという）に特殊な処理を施すことにより、通信途中にパスワード等が盗聴されるのを防ぐ認証方式である。 User authentication by the server (for example, 10a) is performed as follows by signature in challenge / response authentication (described later). That is, a procedure in which the
上記サーバによる利用者認証の前に、利用者が端末機１２ａの秘密鍵１４ａ，１４ｂを利用する場合、端末機１２ａ上で生体認証等により行うことが前提となっている。秘密鍵１４ａ，１４ｂの利用は、端末機１２ａのセキュア領域１３ａ内で行われ、端末機１２ａの外部に秘密鍵１４ａ，１４ｂが出ることが無いため高いセキュリティが保持されている。 When the user uses the private keys 14a and 14b of the
但し、図１５（ｂ）に示す新規の端末機１２ｂを使用する場合、セキュア領域１３ｂ内には秘密鍵が無いので、Ｗｅｂサーバ１０ａ，１０ｂのサービスＡ，Ｂ毎に再度、認証鍵ペアを生成して秘密鍵を登録する必要がある。この際、複数の端末機を使用する場合、端末機数×サービス数だけ登録作業が必要となる。このため、端末機やサービスの数が多い程に利便性が低くなる。 However, when the
そこで、非特許文献１では、複数の秘密鍵を端末機外部のキーストア（後述）に集約し、複数の端末機からキーストアを共有して利用可能にする手法が開示されている。この手法ついて図１６を参照して説明する。 Therefore,
図１６に示すキーストア１７は、サーバ等により構成されており、端末鍵保管領域１８及び認証鍵保管領域１９を有する。端末機１２ａ，１２ｂは、秘密鍵としての端末鍵｛以降、端末鍵（秘）という｝２０ａ，２０ｂを保持し、キーストア１７に第三者が保証する本人確認情報を提示し、端末鍵（秘）２０ａ，２０ｂと対の公開鍵としての端末鍵｛以降、端末鍵（公）という｝１５ａ，１５ｂを端末鍵保管領域１８に登録する。認証鍵保管領域１９には、秘密鍵としての認証鍵｛以降、認証鍵（秘）という｝１６ａ，１６ｂが登録されている。認証鍵（秘）１６ａは、サーバ１０ａのサービスＡに対応付けられた公開鍵としての認証鍵｛以降、認証鍵（公）という｝１１ａに１対１で対応しており、認証鍵（秘）１６ｂは、サーバ１０ｂのサービスＢに対応付けられた認証鍵（公）１１ｂに１対１で対応している。 The
端末機（例えば１２ａ）は、端末鍵（秘）２０ａと端末鍵（公）１５ａのペアを生成し、端末鍵（秘）２０ａを自端末機１２ａに保持し、端末鍵（公）１５ａをキーストア１７に提示し、キーストア１７は端末鍵（公）１５ａを保持する。この保持後、端末機１２ａは、利用したいサービス（例えばＡ）に係る乱数をキーストア１７に転送し、キーストア１７内で、サービスＡの認証鍵（公）１１ａと対の認証鍵（秘）１６ａで、乱数に署名を行うように要求する。キーストア１７は、乱数に認証鍵（秘）１６ａで署名を行って端末機１２ａに返す。更に、端末機１２ａは、キーストア１７から受信した署名付きの乱数を、サーバ１０ａへ返信する。サーバ１０ａは認証鍵（公）１１ａで署名を検証し、この検証がＯＫであれば、端末機１２ａに対してサービスＡを利用可能とする。 The terminal (for example, 12a) generates a pair of the terminal key (secret) 20a and the terminal key (public) 15a, holds the terminal key (secret) 20a in the
このように端末機１２ａ，１２ｂは、端末機自体が保持する端末鍵（秘）２０ａ，２０ｂと対の端末鍵（公）１５ａ，１５ｂをキーストア１７に登録すればよい。この登録により端末機１２ａ，１２ｂは、端末鍵（秘）２０ａ，２０ｂによる認証適合後、認証鍵保管領域１９に保管された認証鍵（秘）１６ａ，１６ｂで乱数に署名して返信して貰うことで、任意のサービスＡ，Ｂを利用可能となっている。また、端末機１２ａ，１２ｂによるキーストア１７への端末鍵（公）１５ａ，１５ｂの登録時には、端末機所有者の本人確認処理を行うことで、同一所有者に属する端末機１２ａ，１２ｂにしかキーストア１７上の認証鍵（秘）１６ａ，１６ｂを利用できない仕組みになっている。このため、高いセキュリティが保持されている。 In this way, the
上述したキーストア１７を用いる手法では、同一所有者の端末機１２ａ，１２ｂに限ってキーストア１７上の認証鍵（秘）１６ａ，１６ｂにアクセス可能とするために、キーストア１７に端末鍵（公）１５ａ，１５ｂを登録する。この登録を行う場合、第三者が保証する本人確認情報を提示することを前提としているので、端末機１２ａ，１２ｂを新規に追加する度に本人確認情報を提示する必要がある。 In the method using the
本人確認情報の提示手段は様々に考えられるが、キーストア１７への不正アクセスによる成り済ましを防ぐためには、第三者による保証に基づいた、あるレベル以上の本人確認が求められると想定されるので、ユーザの負担は少なくない。具体的には、一般的に実施されている次の（１）〜（３）の方法がある。 There are various ways to present identity verification information, but in order to prevent spoofing due to unauthorized access to the
（１）対面での身分証の提示。
（２）事前登録したメールアドレスや電話番号｛ＳＭＳ（ショートメッセージ）番号｝へ確認コードを送信し、新規端末機上で確認コードを入力する。
（３）本人確認済みＩＣ(integrated circuit)カード（例：マイナンバーカード等）を端末機へ接触させる。(1) Face-to-face identification.
(2) Send the confirmation code to the pre-registered email address or phone number {SMS (short message) number}, and enter the confirmation code on the new terminal.
(3) Bring an IC (integrated circuit) card whose identity has been confirmed (eg, My Number card, etc.) into contact with the terminal.
利用者が数台程度の端末機を専有してサービスを利用することが一般的な現行の利用環境を想定すれば、端末機の利用開始時に限って本人確認を実施する負担は許容の範囲内と想定される。 Assuming the current usage environment in which users generally use a few terminals exclusively to use the service, the burden of performing identity verification only at the start of using the terminals is within the permissible range. Is assumed.
しかし、将来的にウェアラブル端末機等を含めて所有する端末機数が飛躍的に増加した場合や、様々な場所に存在する共用端末機を一時的に専有してサービスを利用し、利用終了時に解放するような利用スタイルが一般化することが想定される。この場合、新規に端末機が増えたり、共用端末機を利用する都度、本人確認情報を提示して端末鍵（公）をキーストアに登録する必要があるので、ユーザの負担が大きいという問題が生じる。 However, if the number of terminals owned, including wearable terminals, increases dramatically in the future, or if shared terminals existing in various locations are temporarily occupied and the service is used, at the end of use. It is expected that usage styles that release will be generalized. In this case, every time a new terminal is added or a shared terminal is used, it is necessary to present the identity verification information and register the terminal key (public) in the keystore, which causes a problem that the burden on the user is heavy. Occurs.
本発明は、このような事情に鑑みてなされたものであり、同一利用者が所有する端末機数が増加しても、一定のセキュリティを担保しつつ、端末機から利便性良くＷｅｂサービス利用のために必要な認証鍵を利用することができる認証鍵共有システム及び端末機新規登録方法を提供することを課題とする。 The present invention has been made in view of such circumstances, and even if the number of terminals owned by the same user increases, the Web service can be conveniently used from the terminals while ensuring a certain level of security. An object of the present invention is to provide an authentication key sharing system and a new terminal registration method that can use the authentication key required for the purpose.
上記課題を解決するための手段として、請求項１に係る発明は、通信による各種のサービスを提供するサーバと、前記サービスを通信で利用する端末機と、前記サービスを認証する公開鍵としての認証鍵（公）及び当該認証鍵（公）と対のサービス認証用の秘密鍵としての認証鍵（秘）、並びに、前記端末機が保持する端末機用の秘密鍵としての端末鍵（秘）と対の公開鍵としての端末鍵（公）が登録されるキーストアとを有する認証鍵共有システムであって、前記端末機は、第三者が保証する本人確認情報を提示し、自登録済端末機が保持する端末鍵（秘）と対の端末鍵（公）を前記キーストアに登録した登録済端末機が存在する場合に、新規で登録する新規端末機に保持された端末鍵（秘）と対の端末鍵（公）を、当該登録済端末機が保持する端末鍵（秘）で署名し、この署名により生成された署名済み端末鍵（公）を前記キーストアへ送信する端末鍵管理部を備え、前記キーストアは、前記署名済み端末鍵（公）の署名が、当該キーストアに保持された登録済端末機の端末鍵（公）で検証された場合に、前記新規端末機の端末鍵（公）を当該キーストアに登録する端末管理部を備え、前記登録済端末機から前記新規端末機に、前記サービスの利用を制限する利用条件を送信し、前記新規端末機の前記キーストアへの端末鍵（公）の登録時に、前記利用条件が当該キーストアへ送信され、前記キーストアは、前記利用条件に従って、前記新規端末機の前記サービスの利用を制限するようにしたことを特徴とする認証鍵共有システムである。As a means for solving the above problems, the invention according to
請求項８に係る発明は、通信による各種のサービスを提供するサーバと、前記サービスを通信で利用する端末機と、前記サービスを認証する公開鍵としての認証鍵（公）及び当該認証鍵（公）と対のサービス認証用の秘密鍵としての認証鍵（秘）、並びに、前記端末機が保持する端末機用の秘密鍵としての端末鍵（秘）と対の公開鍵としての端末鍵（公）が登録されるキーストアとを有する認証鍵共有システムの端末機新規登録方法であって、第三者が保証する本人確認情報を提示し、自登録済端末機が保持する端末鍵（秘）と対の端末鍵（公）を前記キーストアに登録した登録済端末機が存在する場合に、前記登録済端末機は、新規で登録する新規端末機に保持された端末鍵（秘）と対の端末鍵（公）を、当該登録済端末機が保持する端末鍵（秘）で署名し、この署名により生成された署名済み端末鍵（公）を前記キーストアへ送信するステップを実行し、前記キーストアは、前記署名済み端末鍵（公）の署名が、当該キーストアに保持された登録済端末機の端末鍵（公）で検証された場合に、前記新規端末機の端末鍵（公）を当該キーストアに登録するステップを実行し、前記登録済端末機は、前記新規端末機に、前記サービスの利用を制限する利用条件を送信するステップを実行し、前記新規端末機は、前記キーストアへの端末鍵（公）の登録時に、前記利用条件を当該キーストアへ送信するステップを実行し、前記キーストアは、前記利用条件に従って、前記新規端末機の前記サービスの利用を制限するステップを実行することを特徴とする端末機新規登録方法である。The invention according to claim 8 is a server that provides various services by communication, a terminal that uses the service in communication, an authentication key (public) as a public key for authenticating the service, and the authentication key (public). ) And the authentication key (secret) as the private key for service authentication, and the terminal key (public) as the public key paired with the terminal key (secret) as the private key for the terminal held by the terminal. ) is a terminal new registration method of authentication key sharing system and a key store that is registered, the terminal key to presenting a personal identification informationby third parties to guarantee, self-registered terminal is held (secret) When there is a registered terminal in which the terminal key (public) paired with is registered in the key store, the registeredterminal is paired with the terminal key (secret) held in the newly registered new terminal. The terminal key (public) of is signed with the terminal key (secret) held by the registered terminal, and the signed terminal key (public) generated by this signature is transmitted to the key store. In the key store, when the signature of the signed terminal key (public) is verified with the terminal key (public) of the registered terminal held in the key store, the terminal key (public) of the new terminal is used. )Is executedin the key store, the registeredterminal executes a step of transmitting a usage condition for restricting the use of the service to the new terminal, and the new terminal executes the step of transmitting the usage conditions to restrict the use of the service. When the terminal key (public) is registered in the key store, the step of transmitting the usage conditions to the key store is executed, and the key store restricts the use of the service of the new terminal according to the usage conditions. This is a new terminal registration method characterizedby executing steps .
請求項１の構成及び請求項８の方法によれば、新規端末機の端末鍵（公）に登録済端末機の端末鍵（秘）で署名を行い、この署名済み端末鍵（公）をキーストアで認証して新規端末機の端末鍵（公）を登録することができる。このため、新規端末機をキーストアに登録する際に、本人確認情報を提示せずとも、容易に認証して登録することができる。従って同一利用者が所有する端末機数が増加しても、一定のセキュリティを担保しつつ、端末機から利便性良くＷｅｂサービス利用のために必要な認証鍵を利用することができる。
また、端末機間の署名に基づく認証で登録された新規端末機では、サービスの利用に制限を設けて、本人確認情報の提示により登録された登録済端末機と差別化を図ることができる。According to the configuration of
In addition, new terminals registered by authentication based on signatures between terminals can be differentiated from registered terminals by presenting identity verification information by setting restrictions on the use of services.
請求項２に係る発明は、通信による各種のサービスを提供するサーバと、前記サービスを通信で利用する端末機と、前記サービスを認証する公開鍵としての認証鍵（公）及び当該認証鍵（公）と対のサービス認証用の秘密鍵としての認証鍵（秘）、並びに、前記端末機が保持する端末機用の秘密鍵としての端末鍵（秘）と対の公開鍵としての端末鍵（公）が登録されるキーストアとを有する認証鍵共有システムであって、前記端末機は、第三者が保証する本人確認情報を提示し、自登録済端末機が保持する端末鍵（秘）と対の端末鍵（公）を前記キーストアに登録した登録済端末機が存在する場合に、新規で登録する新規端末機の接続要求に応じて、前記キーストアから受信した端末機を識別するためのランダム文字列による端末識別チャレンジを、前記新規端末機から取得した前記登録済端末機が、当該登録済端末機が保持する端末鍵（秘）で署名し、この署名により生成された署名付端末識別チャレンジを前記新規端末機を介して前記キーストアへ返信する端末鍵管理部を備え、前記キーストアは、前記署名付端末識別チャレンジの署名が、当該キーストアに保持された登録済端末機の端末鍵（公）で検証された場合に、前記新規端末機の端末鍵（公）を当該キーストアに登録する端末管理部を備え、前記登録済端末機から前記新規端末機に、前記サービスの利用を制限する利用条件を送信し、前記新規端末機の前記キーストアへの端末鍵（公）の登録時に、前記利用条件が当該キーストアへ送信され、前記キーストアは、前記利用条件に従って、前記新規端末機の前記サービスの利用を制限するようにしたことを特徴とする認証鍵共有システムである。The invention according to
この構成によれば、新規端末機からの端末識別チャレンジに登録済端末機の端末鍵（秘）で署名を行い、この署名付端末識別チャレンジをキーストアで認証して新規端末機の端末鍵（公）を登録することができる。このため、新規端末機をキーストアに登録する際に、本人確認情報を提示せずとも、容易に認証して登録することができる。
また、端末機間の署名に基づく認証で登録された新規端末機では、サービスの利用に制限を設けて、本人確認情報の提示により登録された登録済端末機と差別化を図ることができる。According to this configuration, the terminal identification challenge from the new terminal is signed with the terminal key (secret) of the registered terminal, the signed terminal identification challenge is authenticated by the key store, and the terminal key of the new terminal ( Public) can be registered. Therefore, when registering a new terminal in the keystore, it is possible to easily authenticate and register without presenting the identity verification information.
In addition, new terminals registered by authentication based on signatures between terminals can be differentiated from registered terminals by presenting identity verification information by setting restrictions on the use of services.
請求項３に係る発明は、前記登録済端末機から前記新規端末機に前記利用条件を送信する際に、当該登録済端末機が保持する端末鍵（秘）で署名し、この署名により生成された署名済み端末鍵（公）に当該利用条件を付けて送信することを特徴とする請求項１に記載の認証鍵共有システムである。The invention according to claim 3 isgenerated by signing with a terminal key (secret) held by the registered terminal when transmitting the terms of use from the registered terminal to the new terminal.and an authentication key agreement system according to
請求項４に係る発明は、前記登録済端末機から前記新規端末機に前記利用条件を送信する際に、当該登録済端末機が保持する端末鍵（秘）で署名し、この署名により生成された署名付端末識別チャレンジに当該利用条件を付けて送信することを特徴とする請求項２に記載の認証鍵共有システムである。The invention according to claim 4, when transmitting the use condition from the registered terminal to the new terminal, signed with a terminal key (secret) which the registered terminal isheld, generated by the signature ofthis The authentication key sharing system according to
請求項３及び４の構成によれば、次のような作用効果を得ることができる。端末機間の署名に基づく認証で登録された新規端末機では、サービスの利用に制限を設けて、本人確認情報の提示により登録された登録済端末機と差別化を図ることができる。 According to the configurations of claims 3 and 4, the following effects can be obtained. New terminals registered by authentication based on signatures between terminals can be differentiated from registered terminals by presenting identity verification information by setting restrictions on the use of services.
請求項５に係る発明は、前記キーストアに、前記登録済端末機及び前記新規端末機に係る端末機の登録時の情報を、当該端末機の固有情報に対応付けて保管するアクセス管理部を備え、前記サーバは、前記端末機が前記キーストアに登録された前記認証鍵（秘）を使用する際に、当該キーストアから受信した当該端末機の登録時の情報に応じて、当該端末機の認証鍵（秘）の使用を制限する認証鍵利用制御部を備えることを特徴とする請求項１又は２に記載の認証鍵共有システムである。 The invention according to
この構成によれば、サーバにおいて、端末機の登録時の情報に応じて、端末機の認証鍵（秘）の使用を制限することによって、端末機へのサービスの利用を制限することができる。 According to this configuration, in the server, the use of the service to the terminal can be restricted by restricting the use of the authentication key (secret) of the terminal according to the information at the time of registration of the terminal.
請求項６に係る発明は、前記端末機が、前記新規端末機と前記登録済端末機間で前記署名のための通信を行う前に、当該新規端末機と当該登録済端末機との双方が、予め定められた距離で予め定められた操作が同時に行われた際に、双方の通信を確立させる相互確認部を更に備えることを特徴とする請求項１〜５の何れか１項に記載の認証鍵共有システムである。 In the invention according to claim 6, both the new terminal and the registered terminal are used before the terminal communicates for the signature between the new terminal and the registered terminal. The present invention according to any one of
この構成によれば、端末機同士が、予め定められた距離、例えば２ｍ以内位の距離で、予め定められた操作が同時に行われた場合にのみ、端末機間の通信が確立するので、セキュリティを高めながら、端末機を利用するユーザの利便性を向上させることができる。 According to this configuration, communication between terminals is established only when predetermined operations are simultaneously performed within a predetermined distance, for example, within 2 m, so that security is established. It is possible to improve the convenience of the user who uses the terminal while improving the above.
請求項７に係る発明は、前記キーストアが、前記本人確認情報の提示により前記キーストアに登録された登録済端末機に当該本人確認情報を対応付け、当該登録済端末機と前記新規端末機間の前記署名で生成された署名済み端末鍵（公）の署名が検証されて前記キーストアに登録された新規端末機に、信頼情報を対応付けて端末管理テーブルに保存するアクセス管理部を備えることを特徴とする請求項１〜６の何れか１項に記載の認証鍵共有システムである。In the invention according to
この構成によれば、キーストアの端末管理テーブルにおいて、登録済端末機には本人確認情報が対応付けられ、新規端末機には信頼情報が対応付けられる。これによって、キーストアに登録されている端末機が、本人確認情報で認証されたものであるか、端末機間の署名で簡易に認証されたものであるかを、容易に識別することができる。このため、端末機に利用条件を付ける場合等に、正確に識別することができる。 According to this configuration, in the terminal management table of the keystore, the registered terminal is associated with the identity verification information, and the new terminal is associated with the trust information. This makes it possible to easily identify whether the terminal registered in the keystore is authenticated by the identity verification information or simply authenticated by the signature between the terminals. .. Therefore, it can be accurately identified when the usage conditions are attached to the terminal.
本発明によれば、同一利用者が所有する端末機数が増加しても、一定のセキュリティを担保しつつ、端末機から利便性良くＷｅｂサービス利用のために必要な認証鍵を利用する認証鍵共有システム及び端末機新規登録方法を提供することができる。 According to the present invention, even if the number of terminals owned by the same user increases, an authentication key that conveniently uses an authentication key necessary for using a Web service from a terminal while ensuring a certain level of security. It is possible to provide a shared system and a new terminal registration method.
以下、本発明の実施形態を、図面を参照して説明する。
最初に本発明の原理を図１を参照して説明する。図１は、本発明に係る認証鍵共有システム３０の構成を示すブロック図である。
認証鍵共有システム（システムともいう）３０は、オンラインバンキングやネットショッピング等の各種Ｗｅｂサービス（サービスともいう）を提供するＷｅｂサーバ（サーバともいう）３１ａ，３１ｂと、ユーザ（利用者）が使用するパソコンやスマートフォン、タブレット等の第１及び第２端末機３２ａ，３２ｂと、サーバ等により構成されるキーストア３３とを備えて構成されている。Hereinafter, embodiments of the present invention will be described with reference to the drawings.
First, the principle of the present invention will be described with reference to FIG. FIG. 1 is a block diagram showing a configuration of an authentication key sharing system 30 according to the present invention.
The authentication key sharing system (also referred to as a system) 30 is used by a user (user) and Web servers (also referred to as servers) 31a and 31b that provide various Web services (also referred to as services) such as online banking and online shopping. It is configured to include first and
サーバ３１ａ，３１ｂは、サービスＡ，Ｂに対応付けられた認証鍵（公）Ｋ１ａ，Ｋ１ｂを保持している。キーストア３３には、サーバ３１ａ，３１ｂの認証鍵（公）Ｋ１ａ，Ｋ１ｂと対の認証鍵（秘）Ｋ４ａ，Ｋ４ｂが登録されている。第１端末機３２ａは、端末鍵（秘）Ｋ２ａを保持し、キーストア３３に第三者が保証する本人確認情報を提示し、端末鍵（秘）Ｋ２ａと対の端末鍵（公）Ｋ３ａをキーストア３３に登録する。第２端末機３２ｂは、端末鍵（秘）Ｋ２ｂを保持し、後述のように端末鍵（秘）Ｋ２ｂと対の端末鍵（公）Ｋ３ｂをキーストア３３に登録するようになっている。 The
ユーザは、第１及び第２端末機３２ａ，３２ｂを使って、サーバ３１ａ，３１ｂの各種サービスを利用する。この際、端末鍵（秘）Ｋ２ａを保持する第１端末機３２ａの端末鍵（公）Ｋ３ａは、矢印Ｙ１で示すように、ユーザの本人確認情報の提示によって、キーストア３３に登録されているとする。この場合に、ユーザが新規端末機（例えば、第２端末機３２ｂ）を使用する場合、本発明では、次のようにキーストア３３に、新規端末機３２ｂの端末鍵（公）Ｋ３ｂの登録を行う。 The user uses the first and
本発明では、キーストア３３への新規の第２端末機３２ｂの登録時に、第三者が保証した本人確認情報を提示しなくても、既に登録済みの第１端末機３２ａと双方向矢印Ｙ２に示すように、端末機３２ａ，３２ｂ同士の通信を確立させる相互確認を行って、所有者が同一であることを簡易的に確認できたと見なす。この確認ＯＫにより第１端末機３２ａが信頼情報を提示する。そして、矢印Ｙ３で示すように、第１端末機３２ａの信頼情報の提示の基に、第２端末機３２ｂの端末鍵（公）Ｋ３ｂの登録（端末機の登録ともいう）を許容するようになっている。 In the present invention, when registering a new second terminal 32b in the
上記の相互確認は、第１及び第２端末機３２ａ，３２ｂが予め定められた近距離（２ｍ以内位の短距離）で、予め定められた操作が同時に実行されることが条件となっている。相互確認を行う手段の具体例としては、端末機３２ａ，３２ｂ間をＵＳＢケーブル等の所定長さの短いケーブルで接続したり、ＲＦＩＤ(Radio Frequency Identification)や、ＮＦＣ(Near Field Communication)、ＢＬＥ(Bluetooth（登録商標） Low Energy)等で近距離の無線によって接続し、同一の確認コードを入力して近距離通信を確立する。この近接通信を確立するのは、成り済まし等を防止しセキュリティを、より高めるためである。 The above mutual confirmation is conditional on the first and
また、端末機３２ａ，３２ｂ間の相互確認に基づいて登録された第２端末機３２ｂは、第三者が保証した本人確認情報の提示がない。このため、本人確認情報を提示して端末鍵（公）Ｋ３ａを登録した第１端末機３２ａに比べ、限定的な利用条件のもとでキーストア３３の認証鍵（秘）Ｋ４ａ，Ｋ４ｂを利用可能としてある。 Further, the
利用条件の限定例としては、次の（１）〜（３）等がある。
（１）端末機登録後、一定時間しか認証鍵（秘）Ｋ４ａ，Ｋ４ｂを利用できないようにする。
（２）端末機登録後、一定回数しか認証鍵（秘）Ｋ４ａ，Ｋ４ｂを利用できないようにする。
（３）全ての認証鍵（秘）Ｋ４ａ，Ｋ４ｂではなく、特定の認証鍵（秘）（例えばＫ４ａ）しか利用できないようにする。Limited examples of usage conditions include the following (1) to (3).
(1) After registering the terminal, the authentication keys (secret) K4a and K4b can be used only for a certain period of time.
(2) After registering the terminal, the authentication keys (secret) K4a and K4b can be used only a certain number of times.
(3) Only a specific authentication key (secret) (for example, K4a) can be used instead of all authentication keys (secret) K4a and K4b.
このような利用条件は、認証鍵（秘）の存在を根拠にユーザ認証を行うサービス提供者が指定することも、新規端末機の登録処理を実行するユーザ自身が相互確認時に指定することも、キーストアの管理者が指定することも可能である。 Such terms of use can be specified by the service provider who authenticates the user based on the existence of the authentication key (secret), or by the user who executes the registration process of the new terminal at the time of mutual confirmation. It can also be specified by the keystore administrator.
このことから、第１端末機３２ａは、矢印Ｙ４で示すように、利用条件無しにキーストア３３の何れの認証鍵（秘）Ｋ４ａ，Ｋ４ｂを利用できる。これによって、サーバ３１ａ，３１ｂの何れのサービスＡ，Ｂも利用できる。 From this, as shown by the arrow Y4, the
一方、第１端末機３２ａとの相互確認により登録された第２端末機３２ｂは、矢印Ｙ５で示すように、利用条件有りで認証鍵（秘）Ｋ４ａしか利用できない。このため、サーバ３１ａのサービスＡのみを利用できる。 On the other hand, as shown by the arrow Y5, the
＜第１実施形態の構成＞
次に、本発明の第１実施形態に係る認証鍵共有システムについて説明する。図２は、本発明の第１実施形態に係る認証鍵共有システム３０Ａの構成を示すブロック図である。但し、システム３０Ａにおいて、図１に示した認証鍵共有システム３０と同一部分には同一符号を付し、その説明を適宜省略する。<Structure of the first embodiment>
Next, the authentication key sharing system according to the first embodiment of the present invention will be described. FIG. 2 is a block diagram showing a configuration of the authentication key sharing system 30A according to the first embodiment of the present invention. However, in the system 30A, the same parts as those of the authentication key sharing system 30 shown in FIG. 1 are designated by the same reference numerals, and the description thereof will be omitted as appropriate.
図２に示すシステム３０Ａは、各種サービスを提供するサーバ３１ａ，３１ｂと、ユーザが使用する第１及び第２端末機３２ａ，３２ｂと、キーストア３３とを備えて構成されている。 The system 30A shown in FIG. 2 includes
サーバ３１ａは、サービスＡに対応付けられた認証鍵（公）Ｋ１ａを保持する認証部４１ａを備える。サーバ３１ｂは、サービスＢに対応付けられた認証鍵（公）Ｋ１ｂを保持する認証部４１ｂを備える。認証部４１ａ，４１ｂの認証鍵（公）Ｋ１ａ，Ｋ１ｂの保持は、例えば、鍵管理テーブルＴ４（図７参照）で行われる。 The
第１端末機３２ａは、Ｗｅｂクライアント４３ａと、相互確認部４４ａと、キーストアアクセス部（アクセス部ともいう）４５ａと、端末鍵（秘）Ｋ２ａを保持する端末鍵管理部４６ａとを備える。第２端末機３２ｂは、Ｗｅｂクライアント４３ｂと、相互確認部４４ｂと、キーストアアクセス部４５ｂと、端末鍵（秘）Ｋ２ｂを保持する端末鍵管理部４６ｂとを備える。 The
Ｗｅｂクライアント４３ａ，４３ｂは、ＷｅｂブラウザやＷｅｂ上のサービスを利用するためのスマートフォンアプリケーション等である。Ｗｅｂクライアント４３ａ，４３ｂは、本発明のベースとなるＦＩＤＯ技術において、Ｗｅｂサービスを通常利用するためのサーバやクライアント（ブラウザやＷｅｂアプリケーション）に加えて、ＦＩＤＯ認証を実現する各ソフトウェアコンポーネントを実装するアーキテクチャとなっている。本発明も、本アーキテクチャを基にしているので、Ｗｅｂクライアントが存在している。 The
キーストア３３は、アクセス管理部４７と、端末鍵（公）Ｋ３ａ，Ｋ３ｂを保持する端末管理部４８と、認証鍵（秘）Ｋ４ａ，Ｋ４ｂを保持する認証鍵管理部４９とを備える。アクセス管理部４７は、図３に示す端末管理テーブルＴ１を備える。認証鍵管理部４９は、図４に示す鍵管理テーブルＴ２を備える。 The
＜第１実施形態の本人確認情報による端末機の登録処理＞
本人確認情報を用いて第１端末機３２ａをキーストア３３へ登録する処理を、図５に示すシーケンス図を参照して説明する。
図５に示すステップＳ１において、端末機３２ａのキーストアアクセス部４５ａが、ユーザ名によって自端末機３２ａの登録要求を、キーストア３３の端末管理部４８に行う。端末管理部４８は、ステップＳ２において、本人確認情報の要求を、Ｘ社が端末機３２ａのユーザであることを証明するＸ社証明書（Ｘ社発行の電子証明書）の提示を指示して行う。この要求はアクセス部４５ａを介して端末鍵管理部４６ａへ通知される。<Terminal registration process based on the identity verification information of the first embodiment>
The process of registering the
In step S1 shown in FIG. 5, the keystore access unit 45a of the terminal 32a makes a registration request of the
端末鍵管理部４６ａは、ステップＳ３において、生体認証を行う。これは、例えば、ユーザが端末機３２ａの指紋認証手段に自分の指紋を提示することにより行われる。この他、静脈認証等の生体認証もある。この生体認証がＯＫであれば、端末鍵管理部４６ａは、ステップＳ４において、１対の端末鍵（秘）Ｋ２ａと端末鍵（公）Ｋ３ａの鍵ペアを生成する。更に、端末鍵管理部４６ａは、ステップＳ５において、その生成した端末鍵（秘）Ｋ２ａを保持（図２）し、ステップＳ６において、端末鍵（公）Ｋ３ａをアクセス部４５ａに出力する。 The terminal
端末鍵（公）Ｋ３ａを受け取ったアクセス部４５ａは、ステップＳ７において、Ｘ社証明書を取得する。ここでは、事前に端末機３２ａを所有するユーザの本人確認がＸ社で行われ、Ｘ社から電子証明書としてのＸ社証明書が発行されていることを前提条件とする。次に、アクセス部４５ａは、ステップＳ８において、自端末機３２ａの端末ＩＤ、端末鍵（公）Ｋ３ａ及びＸ社証明書をセットにして、キーストア３３の端末管理部４８へ送信する。 The access unit 45a that has received the terminal key (public) K3a acquires the company X certificate in step S7. Here, it is a precondition that the identity verification of the user who owns the terminal 32a is performed in advance by the company X, and the company X certificate is issued by the company X as an electronic certificate. Next, in step S8, the access unit 45a sets the terminal ID of the
端末管理部４８は、ステップＳ９において、Ｘ社証明書の内容を確認して、Ｘ社証明書に紐付くユーザであることを検証する。この検証がＯＫであれば、端末管理部４８は、ステップＳ１０において、アクセス管理部４７に該当の端末機３２ａを登録する。この登録は、図３の端末管理テーブルＴ１のユーザ欄に第１ユーザ、端末ＩＤ欄に第１端末機（Ｄｅｖ−１）、公開鍵欄に端末鍵（公）Ｋ３ａを１６進数表記した「Ｄ２３０９４Ｆ１Ｆ…」、登録時の情報欄に本人確認情報、利用条件欄に利用条件無し「−」、のように行われる。以降、上記の端末鍵（公）Ｋ３ａを１６進数表記した「Ｄ２３０９４Ｆ１Ｆ…」を、端末鍵（公）Ｋ３ａ「Ｄ２３０９４Ｆ１Ｆ…」と記載する。他の鍵においても同様とする。ここでは、端末ＩＤの「Ｄｅｖ−１」をキーに、端末鍵（公）Ｋ３ａ「Ｄ２３０９４Ｆ１Ｆ…」が公開鍵として登録される。また、登録時に本人確認情報が確認できているため、利用条件無し（制約無く全ての認証鍵を利用可能）「−」と登録される。 In step S9, the
このように、第１端末機３２ａはキーストア３３に登録済みであるとする。なお、第１端末機３２ａを、登録済端末機３２ａとも称す。 In this way, it is assumed that the
＜第１実施形態の新規端末機の登録処理＞
次に、第２端末機３２ｂを、本人確認情報の提示無しに、新規にキーストア３３に登録する場合について説明する。なお、第２端末機３２ｂを、新規端末機３２ｂとも称す。<Registration process of new terminal of the first embodiment>
Next, a case where the
この新規登録の場合、図２に示す新規端末機３２ｂの相互確認部４４ｂが、生体認証後に、端末鍵管理部４６ｂに保持された端末鍵（秘）Ｋ２ｂと対の端末鍵（公）Ｋ３ｂを、矢印Ｙ１１で示すように、登録済端末機３２ａの相互確認部４４ａへ送信する。相互確認部４４ａは、その送信されて来た端末鍵（公）Ｋ３ｂに、登録済端末機３２ａが保持する端末鍵（秘）Ｋ２ａで署名する。 In the case of this new registration, the
登録済端末機３２ａは、矢印Ｙ１２で示すように、端末鍵（秘）Ｋ２ａで署名Ｋ２ａ１された端末鍵（公）Ｋ３ａを、新規端末機３２ｂへ返信する。新規端末機３２ｂは、矢印Ｙ１３で示すように、その返信されて来た署名Ｋ２ａ１済みの端末鍵（公）Ｋ３ｂをキーストア３３へ送信する。キーストア３３は、署名Ｋ２ａ１済みの端末鍵（公）Ｋ３ｂが、キーストア３３に保持する登録済端末機３２ａの端末鍵（公）Ｋ３ａで署名Ｋ２ａ１されていることを検証し、端末鍵（公）Ｋ３ｂを登録する。このように端末機３２ａ，３２ｂ間同士の検証を基に登録される情報を、信頼情報という。この信頼情報は、登録済端末機３２ａの端末鍵（秘）Ｋ２ａでの署名による情報であり、図３に示す端末管理テーブルＴ１の登録時の情報欄に登録される。なお、署名Ｋ２ａ１済みの端末鍵（公）Ｋ３ｂは、請求項記載の署名済み端末鍵（公）を構成する。 As shown by the arrow Y12, the registered terminal 32a returns the terminal key (public) K3a signed with the terminal key (secret) K2a to the
＜第１実施形態の信頼情報による端末機の登録処理＞
上述した登録済端末機３２ａの信頼情報を活用して第２端末機３２ｂをキーストア３３に登録する処理を、図６に示すシーケンス図を参照して具体的に説明する。<Terminal registration process based on the trust information of the first embodiment>
The process of registering the
図６に示すステップＳ１１において、新規登録を行う第２端末機３２ｂの相互確認部４４ｂが近接通信確立要求を、登録済みの第１端末機３２ａの相互確認部４４ａに対して行う。これは、２つの端末機３２ａ，３２ｂ同士が、予め定められた所定近距離（２ｍ以内位の短距離）で同時に操作を行って通信を確立するための相互確認を行う要求である。 In step S11 shown in FIG. 6, the
近接通信確立要求を受けた第１端末機３２ａは、ステップＳ１２において、第１端末機３２ａのディスプレイ（図示せず）に、ユーザに見せる接続コード（パスコード）を表示する。この接続コードは、互いの端末機３２ａ，３２ｂ間を接続するためのコード列である。そのディスプレイに表示された接続コードを見たユーザは、ステップＳ１３において、第２端末機３２ｂの相互確認部４４ｂに接続コードを入力する。 In step S12, the
第２端末機３２ｂの相互確認部４４ｂは、ステップＳ１４において、接続コードを第１端末機３２ａの相互確認部４４ａへ送信する。この接続コードを受信した相互確認部４４ａは、ステップＳ１５において、近接通信確立応答を第２端末機３２ｂの相互確認部４４ｂを介して端末鍵管理部４６ｂに送信する。これによって、端末機３２ａ，３２ｂ間の近接通信が確立する。 In step S14, the
端末鍵管理部４６ｂは、ステップＳ１６において生体認証を行う。この生体認証がＯＫであれば、端末鍵管理部４６ｂは、ステップＳ１７において、１対の端末鍵（秘）Ｋ２ｂと端末鍵（公）Ｋ３ｂの鍵ペアを生成する。更に、端末鍵管理部４６ｂは、ステップＳ１８において、その生成した端末鍵（秘）Ｋ２ｂを保持（図２）し、ステップＳ１９において、端末鍵（公）Ｋ３ｂを第１端末機３２ａの端末鍵管理部４６ａに送信する。 The terminal
登録済の第１端末機３２ａでは、ステップＳ２０において、ユーザが新規登録を行う第２端末機３２ｂの利用条件（サービス利用の回数、時間等）を指定する。この指定後、端末鍵管理部４６ａは、ステップＳ２１において生体認証を行う。この生体認証がＯＫであれば、ステップＳ２２において、端末鍵管理部４６ａは、自端末鍵管理部４６ａが保持する端末鍵（秘）Ｋ２ａで、第２端末機３２ｂからの端末鍵（公）Ｋ３ｂに署名を行う。そして、端末鍵管理部４６ａは、ステップＳ２３において、その署名付きで且つ利用条件が付けられた端末鍵（公）Ｋ３ｂを、第２端末機３２ｂの端末鍵管理部４６ｂを介してアクセス部４５ｂへ返信する。なお、利用条件は、矢印Ｙ１６で示すように、回数「５」、時間「０１：２０」であるとする。 In the registered
アクセス部４５ｂは、ステップＳ２４において、ユーザ名によって自端末機の登録要求を、キーストア３３の端末管理部４８に行う。この際、アクセス部４５ｂは、ステップＳ２５において、上記返信された署名付きで且つ利用条件が付けられた端末鍵（公）Ｋ３ｂを端末管理部４８へ送信する。 In step S24, the
端末管理部４８は、ステップＳ２６において、アクセス管理部４７に格納された端末管理テーブルＴ１（図３）を参照し、登録済端末機３２ａの端末鍵（公）Ｋ３ａを検索する。端末管理部４８は、ステップＳ２７において、その検索された端末鍵（公）Ｋ３ａで、上記ステップＳ２５で送信されて来た署名付きで且つ利用条件が付けられた端末鍵（公）Ｋ３ｂを検証する。この検証がＯＫであれば、端末管理部４８は、ステップＳ２８において、アクセス管理部４７に新規の第２端末機３２ｂを登録する。 In step S26, the
この登録は、図３の端末管理テーブルＴ１のユーザ欄に第１ユーザ、端末ＩＤ欄に第２端末機（Ｄｅｖ−２）、公開鍵欄に端末鍵（公）Ｋ３ｂ「６２Ｃ８Ｆ２７ＤＤ…」、登録時の情報欄に信頼情報（第１端末機）、利用条件欄に残回数「５」、残時間「０１：２０」のように行われる。残回数「５」は、サービスの利用回数が５回であることを示す。残時間「０１：２０」は、サービスの利用時間が、１時間２０分であることを示す。なお、利用条件は、キーストア事業者が個別の利用条件を設定してもよい。 For this registration, the first user is in the user column of the terminal management table T1 in FIG. 3, the second terminal (Dev-2) is in the terminal ID column, and the terminal key (public) K3b "62C8F27DD ..." is in the public key column. The information column is the trust information (first terminal), the usage condition column is the remaining number of times "5", and the remaining time is "01:20". The remaining number of times "5" indicates that the number of times the service has been used is five. The remaining time "01:20" indicates that the service usage time is 1 hour and 20 minutes. As for the terms of use, the keystore operator may set individual terms of use.
＜第１実施形態の認証鍵の登録処理＞
次に、キーストア３３上に認証鍵（秘）（例えば認証鍵（秘）Ｋ４ａ）を生成し、サーバ（例えばサーバ３１ａ）に認証鍵（公）Ｋ１ａを新規登録する処理を、図７に示すシーケンス図を参照して具体的に説明する。<Authentication key registration process of the first embodiment>
Next, FIG. 7 shows a process of generating an authentication key (secret) (for example, authentication key (secret) K4a) on the
ＦＩＤＯに基づく認証鍵（秘）の登録処理を開始すると、端末機は端末鍵を用いたチャレンジ・レスポンス認証に基づいてキーストアにアクセスする。この例では、キーストア３３に新規認証鍵を生成できるのは、本人確認情報に基づいて登録した登録済端末機３２ａのみとしている。 When the registration process of the authentication key (secret) based on FIDO is started, the terminal accesses the keystore based on the challenge-response authentication using the terminal key. In this example, only the registered
ステップＳ３１において、登録済端末機３２ａがサーバ（例えばサーバ３１ａ）のサービスを使いたいので、ステップＳ３１において、Ｗｅｂクライアント４３ａから認証鍵を使いたいという登録要求をサーバ３１ａの認証部４１ａに行ったとする。認証部４１ａは、ステップＳ３２において、認証部４１ａに格納されているポリシ管理テーブルＴ３から、上記登録要求に係るサービスに応じた利用ポリシ（ポリシともいう）を検索する。なお、ポリシ管理テーブルＴ３には、サービス毎にポリシが対応付けられて保存されている。 In step S31, since the registered
認証部４１ａは、ステップＳ３３において、認証鍵の登録要求と上記ステップＳ３２で検索したポリシとを、登録済端末機３２ａのアクセス部４５ａへ送信する。アクセス部４５ａは、ステップＳ３４において、キーストア３３の端末管理部４８に登録用接続要求を行う。この要求を受信した端末管理部４８は、ステップＳ３５において、端末識別用のランダム文字列である端末識別チャレンジを登録済端末機３２ａのアクセス部４５ａへ送信する。 In step S33, the
アクセス部４５ａは、ステップＳ３６において、端末識別チャレンジを受けたことを端末鍵管理部４６ａへ通知する。この通知を受けた端末鍵管理部４６ａは、ステップＳ３７において、生体認証を行い、この結果がＯＫであれば、端末鍵（秘）Ｋ２ａで端末識別チャレンジに署名を行って、ステップＳ３９において、アクセス部４５へ返す。これを受けたアクセス部４５ａは、ステップＳ４０において、署名付チャレンジをキーストア３３の端末管理部４８へ送信する。 In step S36, the access unit 45a notifies the terminal
端末管理部４８は、ステップＳ４１において、アクセス管理部４７に格納された図３に示す端末管理テーブルＴ１を参照し、ステップＳ４２において、登録要求を行った端末機３２ａを、本人確認情報で登録した端末機３２ａの端末鍵（公）Ｋ３ａで検証する。即ち、公開鍵欄に登録されている端末鍵（公）Ｋ３ａ「Ｄ２３０９４Ｆ１Ｆ…」で、上記の署名付チャレンジを検証する。この検証がＯＫであれば、端末管理部４８は、ステップＳ４３において、サーバ３１ａへの接続ＯＫを登録済端末機３２ａのアクセス部４５へ送信する。 In step S41, the
アクセス部４５ａは、ステップＳ４４において、認証鍵の登録要求と上記ポリシとをキーストア３３の認証鍵管理部４９へ送信する。認証鍵管理部４９は、ステップＳ４５において、認証鍵（秘）Ｋ４ａと認証鍵（公）Ｋ１ａとの鍵ペアを生成し、認証鍵（秘）Ｋ４ａを保持する。また、認証鍵管理部４９は、ステップＳ４６において、認証鍵（公）Ｋ１ａを登録済端末機３２ａのアクセス部４５へ送信する。アクセス部４５ａは、ステップＳ４７において、サーバ３１ａの認証部４１ａに、認証鍵（公）Ｋ１ａの登録要求を行う。 In step S44, the access unit 45a transmits the authentication key registration request and the above policy to the authentication
認証部４１ａは、ステップＳ４８において、認証鍵（公）Ｋ１ａを保持する。この保持は、認証部４１ａに格納された鍵管理テーブルＴ４において、登録済端末機３２ａのアカウントである「Ｕｓｅｒ１」に、認証鍵として、認証鍵（公）Ｋ１ａ「６２Ｃ９５１ＢＡ２Ｆ…」が登録されて行われる。この登録後、認証部４１ａは、ステップＳ４９において、登録完了を登録済端末機３２ａのＷｅｂクライアント４３へ送信する。 The
＜第１実施形態のサービス利用時のユーザ認証処理＞
次に、上述したようにキーストア３３に登録された認証鍵（秘）Ｋ４ａを利用して、サーバ３１ａのサービスを利用するためのユーザ認証を行う処理を、図８に示すシーケンス図を参照して具体的に説明する。<User authentication process when using the service of the first embodiment>
Next, refer to the sequence diagram shown in FIG. 8 for the process of performing user authentication for using the service of the
最初に、上記ユーザ認証処理の要点について説明する。ＦＩＤＯに基づく認証処理を開始すると、登録済端末機３２ａは、端末鍵を用いたチャレンジ・レスポンス認証に基づいてキーストアにアクセスする。その後、サーバ３１ａから受信した利用サービスに係るランダム文字列である認証チャレンジをキーストア３３に転送し、指定の鍵ＩＤ（サービス固有のＩＤ）に紐付いた端末鍵（秘）での署名を要求する。ここで、キーストア３３はアクセスしている登録済端末機３２ａと紐付けて管理されている利用条件と、指定の鍵に紐付けられている利用ポリシとを突き合わせることで、認証鍵の利用可否を判断する。認証鍵を利用してよいと判断された場合に限り、キーストア３３は認証チャレンジに署名を行った上で登録済端末機３２ａにレスポンスとして返信する。登録済端末機３２ａは、その返信されたレスポンスとしての署名付認証チャレンジを、サーバ３１ａへ転送することで認証処理を完了する。この認証処理の詳細な説明を図８を参照して行う。 First, the main points of the user authentication process will be described. When the authentication process based on FIDO is started, the registered terminal 32a accesses the keystore based on the challenge-response authentication using the terminal key. After that, the authentication challenge, which is a random character string related to the service used received from the
図８に示すステップＳ５１において、登録済端末機３２ａのＷｅｂクライアント４３がサーバ３１ａのサービスを利用するためのユーザの認証要求を、サーバ３１ａの認証部４１ａに行ったとする。認証部４１ａは、ステップＳ５２において、認証部４１ａが保持するサービス固有ＩＤテーブルＴ５から該当サービス固有の鍵ＩＤ「ｓｅｒｖｉｃｅ２．ｊｐ」を検索する。次に、認証部４１ａは、ステップＳ５３において、その検索した鍵ＩＤを含む認証チャレンジを、登録済端末機３２ａのアクセス部４５ａへ送信する。 In step S51 shown in FIG. 8, it is assumed that the Web client 43 of the registered
アクセス部４５ａは、ステップＳ５４において、キーストア３３の端末管理部４８に認証用接続要求を行う。この要求を受信した端末管理部４８は、ステップＳ５５において、端末機を識別するための文字列である端末識別チャレンジを登録済端末機３２ａのアクセス部４５ａへ送信する。 In step S54, the access unit 45a makes an authentication connection request to the
アクセス部４５ａは、ステップＳ５６において、端末識別チャレンジを受けたことを端末鍵管理部４６ａへ通知する。この通知を受けた端末鍵管理部４６ａは、ステップＳ５７において、生体認証を行い、この結果がＯＫであれば、端末鍵（秘）Ｋ２ａで端末識別チャレンジに署名を行って、ステップＳ５９において、アクセス部４５へ返す。これを受けたアクセス部４５ａは、ステップＳ６０において、レスポンスとしての署名付チャレンジをキーストア３３の端末管理部４８へ送信する。 In step S56, the access unit 45a notifies the terminal
端末管理部４８は、ステップＳ６１において、アクセス管理部４７に格納された図３に示す端末管理テーブルＴ１を参照し、ステップＳ６２において、認証要求を行った端末機３２ａを、本人確認情報で登録した端末機３２ａの端末鍵（公）Ｋ３ａで適正か否かを検証する。即ち、公開鍵欄に登録されている端末鍵（公）Ｋ３ａ「Ｄ２３０９４Ｆ１Ｆ…」で、上記の署名付チャレンジを検証する。この検証がＯＫであれば、端末管理部４８は、ステップＳ６３において、サーバ３１ａへの接続ＯＫを登録済端末機３２ａのアクセス部４５へ送信する。 In step S61, the
アクセス部４５ａは、ステップＳ６４において、上記ステップＳ５３で受信した鍵ＩＤを含む認証チャレンジをキーストア３３の認証鍵管理部４９へ送信する。つまり、サーバ３１ａから受信した利用サービスに係る認証チャレンジで、指定の鍵ＩＤに紐付いた端末鍵（秘）Ｋ２ａでの署名を認証鍵管理部４９に要求する。 In step S64, the access unit 45a transmits an authentication challenge including the key ID received in step S53 to the authentication
この要求に応じて認証鍵管理部４９は、ステップＳ６５において、端末管理テーブルＴ１（図３）及び鍵管理テーブルＴ２（図４）を参照して認証鍵の利用可否を判断する。この判断について、図３及び図４を参照して説明する。認証鍵管理部４９は、図３に示す端末管理テーブルＴ１において、アクセスしている登録済端末機３２ａ「端末ＩＤ＝第１端末機３２ａ（Ｄｅｖ−１）」と紐付けて管理されている利用条件「無し」と、図４に示す鍵管理テーブルＴ２において、指定の鍵ＩＤ「ｓｅｒｖｉｃｅ２．ｊｐ」に紐付けられている利用ポリシ（登録時確認「信頼情報」、頻度「無制限」）とを突き合わせることで、認証鍵の利用可否を判断する。 In response to this request, the authentication
ここで、認証鍵を利用してよいと判断された場合、認証鍵管理部４９は、ステップＳ６６において、認証チャレンジに署名を行い、この署名付認証チャレンジを、ステップＳ６７において、登録済端末機３２ａのアクセス部４５ａを介してサーバ３１ａへ送信する。サーバ３１ａは、ステップＳ６８において、認証鍵（公）Ｋ１ａで署名付認証チャレンジを検証し、検証ＯＫであれば、ステップＳ６９において、登録済端末機３２ａのＷｅｂクライアント４３に認証完了を通知する。 Here, when it is determined that the authentication key may be used, the authentication
この図８のシーケンス動作では、本人確認情報による登録済端末機３２ａでの認証動作を説明したが、信頼情報による端末機３２ｂでも同様に行うことができる。但し、信頼情報による端末機３２ｂの場合、上記ステップＳ６２における認証鍵利用の可否判断において、鍵管理テーブルＴ２の利用ポリシに制限が登録されているので、この利用制限内でサーバ３１ａ，３１ｂのサービスが利用可能となる。また、上記ステップＳ６５における認証鍵利用の可否判断において、認証鍵利用が「否」であれば、端末機３２ａにユーザが認識可能にエラーが通知される。 In the sequence operation of FIG. 8, the authentication operation on the registered
＜第１実施形態の効果＞
以上説明したように、第１実施形態の認証鍵共有システム３０Ａを、次のような特徴構成とした。システム３０Ａは、通信による各種のサービスを提供するサーバ３１ａ，３１ｂと、サービスを通信で利用する端末機３２ａ，３２ｂを有する。更に、システム３０Ａは、サービスを認証する公開鍵としての認証鍵（公）Ｋ１ａ，Ｋ１ｂ及び当該認証鍵（公）Ｋ１ａ，Ｋ１ｂと対のサービス認証用の秘密鍵としての認証鍵（秘）Ｋ４ａ，Ｋ４ｂ、並びに、端末機３２ａ，３２ｂが保持する端末機用の秘密鍵としての端末鍵（秘）Ｋ２ａ，Ｋ２ｂと対の公開鍵としての端末鍵（公）Ｋ３ａ，Ｋ３ｂが登録されるキーストア３３と有する。<Effect of the first embodiment>
As described above, the authentication key sharing system 30A of the first embodiment has the following characteristic configuration. The system 30A includes
（１）端末機３２ａ，３２ｂは、第三者が保証する本人確認情報を提示し、自登録済端末機３２ａが保持する端末鍵（秘）Ｋ２ａと対の端末鍵（公）Ｋ３ａをキーストア３３に登録した登録済端末機３２ａが存在する場合に、新規で登録する新規端末機３２ｂに保持された端末鍵（秘）Ｋ２ｂと対の端末鍵（公）Ｋ３ｂを、当該登録済端末機３２ａが保持する端末鍵（秘）Ｋ２ａで署名し、この署名により生成された署名済み端末鍵（公）をキーストア３３へ送信する端末鍵管理部４６ａ，４６ｂを備える。 (1) The
キーストア３３は、署名済み端末鍵（公）の署名が、当該キーストア３３に保持された登録済端末機３２ａの端末鍵（公）Ｋ３ａで検証された場合に、新規端末機３２ｂの端末鍵（公）Ｋ３ｂを当該キーストア３３に登録する端末管理部４８を備える構成とした。 The
この構成によれば、新規端末機３２ｂの端末鍵（公）Ｋ３ｂに登録済端末機３２ａの端末鍵（秘）Ｋ２ａで署名を行い、この署名済み端末鍵（公）をキーストア３３で認証して新規端末機３２ｂの端末鍵（公）Ｋ３ｂを登録することができる。このため、新規端末機３２ｂをキーストア３３に登録する際に、本人確認情報を提示せずとも、容易に認証して登録することができる。 According to this configuration, the terminal key (public) K3b of the
従って、将来的にウェアラブル端末機等を含めて所有する端末機数が飛躍的に増加した場合や、様々な場所に存在する共用端末機を一時的に専有してサービスを利用し、利用終了時に解放するような利用スタイルが一般化した場合に、新規の端末機を容易に認証してキーストア３３に登録してサーバ３１ａ，３１ｂのサービスを利用することができる。 Therefore, if the number of terminals owned, including wearable terminals, increases dramatically in the future, or if shared terminals existing in various locations are temporarily occupied and the service is used, at the end of use. When the usage style of releasing is generalized, the new terminal can be easily authenticated and registered in the
（２）端末機３２ａ，３２ｂの端末鍵管理部４６ａ，４６ｂは、署名済み端末鍵（公）に、サービスの利用を制限する利用条件を付けてキーストア３３へ送信する。キーストア３３の端末管理部４８は、新規端末機３２ｂの端末鍵（公）Ｋ３ｂの登録時に、利用条件を対応付けて登録し、この登録された利用条件で、当該新規端末機３２ｂのサービスの利用のための認証鍵（秘）Ｋ４ａ，Ｋ４ｂの使用を制限するようにした。言い換えれば、登録済端末機３２ａから新規端末機３２ｂに、サービスの利用を制限する利用条件を送信し、新規端末機３２ｂのキーストア３３への端末鍵（公）Ｋ３ｂの登録時に、利用条件がキーストア３３へ送信され、キーストア３３は、利用条件に従って、新規端末機３２ｂのサービスの利用を制限するようにした。 (2) The terminal
この構成によれば、次のような作用効果を得ることができる。端末機３２ａ，３２ｂ間の署名に基づく認証で登録された新規端末機３２ｂでは、サービスの利用に制限を設けて、本人確認情報の提示により登録された登録済端末機３２ａと差別化を図ることができる。 According to this configuration, the following effects can be obtained. In the
（３）端末機３２ａ，３２ｂは、新規端末機３２ｂと登録済端末機３２ａ間で署名のための通信を行う前に、新規端末機３２ｂと登録済端末機３２ａとの双方が、予め定められた距離で予め定められた操作が同時に行われた際に、双方の通信を確立させる相互確認部４４ａ，４４ｂを更に備える構成とした。 (3) In the
この構成によれば、端末機３２ａ，３２ｂ同士が、予め定められた距離、例えば２ｍ以内位の距離で、予め定められた操作が同時に行われた場合にのみ、端末機３２ａ，３２ｂ間の通信が確立するので、セキュリティを低下させることなく、端末機３２ａ，３２ｂを利用するユーザの利便性を向上させることができる。 According to this configuration, communication between the
（４）端末機３２ａ，３２ｂは、本人確認情報の提示によりキーストア３３に登録された登録済端末機３２ａに本人確認情報を対応付け、登録済端末機３２ａと新規端末機３２ｂ間の署名で生成された署名済み端末鍵（公）の署名が検証されてキーストア３３に登録された新規端末機３２ｂに、信頼情報を対応付けて端末管理テーブルＴ１に保存するアクセス管理部４７を備える構成とした。 (4) The
この構成によれば、キーストア３３の端末管理テーブルＴ１において、登録済端末機３２ａには本人確認情報が対応付けられ、新規端末機３２ｂには信頼情報が対応付けられる。これによって、キーストア３３に登録されている端末機３２ａ，３２ｂが、本人確認情報で認証されたものであるか、端末機３２ａ，３２ｂ間の署名で簡易に認証されたものであるかを、容易に識別することができる。このため、端末機３２ａ，３２ｂに利用条件を付ける場合等に、正確に識別することができる。 According to this configuration, in the terminal management table T1 of the
＜第２実施形態の構成＞
次に、第２実施形態に係る認証鍵共有システムについて、図９に示す認証鍵共有システム３０Ｂを参照して説明する。但し、システム３０Ｂにおいて、図２に示した第１実施形態の認証鍵共有システム３０Ａと同一部分には同一符号を付し、その説明を適宜省略する。<Structure of the second embodiment>
Next, the authentication key sharing system according to the second embodiment will be described with reference to the authentication key sharing system 30B shown in FIG. However, in the system 30B, the same parts as those of the authentication key sharing system 30A of the first embodiment shown in FIG. 2 are designated by the same reference numerals, and the description thereof will be omitted as appropriate.
図９に示すシステム３０Ｂが、システム３０Ａと異なる点は、端末機３２ａ，３２ｂ間の相互確認にチャレンジを用いるようにしたことにある。また、システム３０Ｂは、互いの端末機３２ａ，３２ｂは、所定距離で近接通信が確立した状態となっている。 The difference between the system 30B shown in FIG. 9 and the system 30A is that the challenge is used for mutual confirmation between the
新規端末機３２ｂが、矢印Ｙ２１で示すように、キーストア３３から受信した端末識別チャレンジ（図９にはｃｈａｌと記載した）５１を、矢印Ｙ２２で示すように、近接通信で登録済端末機３２ａに転送し、端末鍵（秘）Ｋ２ａによる署名を要求する。この要求に応じて、登録済端末機３２ａは、端末識別チャレンジ５１に端末鍵（秘）Ｋ２ａで署名を行い、このレスポンスとしての署名付端末識別チャレンジ５１Ａを、矢印Ｙ２３で示すように新規端末機３２ｂへ返信する。 The terminal identification challenge (described as chal in FIG. 9) 51 received from the
新規端末機３２ｂは、返信された署名付端末識別チャレンジ５１Ａを信頼情報として、端末鍵（秘）Ｋ２ｂ及び端末鍵（公）Ｋ３ｂを生成し、端末鍵（秘）Ｋ２ｂを端末鍵管理部４６ｂに保持し、端末鍵（公）Ｋ３ｂを署名付端末識別チャレンジ５１Ａと共に、矢印Ｙ２４で示すようにキーストア３３へ送信する。キーストア３３は、署名付端末識別チャレンジ５１Ａの信頼情報を受信すると、端末鍵（公）Ｋ３ｂを端末管理部４８に登録する。これによって、新規端末機３２ｂがキーストア３３に新規登録される。この新規登録時に、前述したシステム３０Ａと同様に利用条件を設定してもよい。 The
また、サーバ３１ａ，３１ｂは、矢印Ｙ３Ａで示すように、自サーバ３１ａ，３１ｂの認証部４１ａ，４１ｂが保持する認証鍵（公）Ｋ１ａ，Ｋ１ｂと対の認証鍵（秘）Ｋ４ａ，Ｋ４ｂを、キーストア３３の認証鍵管理部４９に保持することができる。キーストア３３は、認証鍵（秘）Ｋ４ａ，Ｋ４ｂで、矢印Ｙ４Ａで示すように、サーバ３１ａ，３１ｂの認証鍵（公）Ｋ１ａ，Ｋ１ｂに対応付けられたサービスにアクセスすることができる。 Further, as shown by the arrow Y3A, the
＜第２実施形態の信頼情報による端末機の登録処理＞
上述した登録済端末機３２ａの信頼情報を活用して第２端末機３２ｂをキーストア３３に新規登録する処理を、図１０に示すシーケンス図を参照して具体的に説明する。<Terminal registration process using the trust information of the second embodiment>
The process of newly registering the
図１０に示すステップＳ７１において、新規登録を行う第２端末機３２ｂのアクセス部４５ｂが、キーストア３３のアクセス管理部４７に、端末登録用接続要求を行う。この要求に応じてアクセス管理部４７が、ステップＳ７２において、端末識別チャレンジ５１（図９参照）を、第２端末機３２ｂのアクセス部４５ｂを介して相互確認部４４ｂに送信する。 In step S71 shown in FIG. 10, the
相互確認部４４ｂは、ステップＳ７３において、近接通信確立要求を、登録済みの第１端末機３２ａの相互確認部４４ａに対して行う。近接通信確立要求を受けた相互確認部４４ａは、ステップＳ７４において、第１端末機３２ａのディスプレイ（図示せず）に、ユーザに見せる接続コードを表示する。そのディスプレイに表示された接続コードを見たユーザは、ステップＳ７５において、第２端末機３２ｂの相互確認部４４ｂに接続コードを入力する。 In step S73, the
相互確認部４４ｂは、ステップＳ７６において、接続コードを第１端末機３２ａの相互確認部４４ａへ送信する。この接続コードを受信した相互確認部４４ａは、ステップＳ７７において、第２端末機３２ｂの相互確認部４４ｂに近接通信確立応答を行う。この応答後、アクセス部４５ｂが、ステップＳ７８において、キーストア３３から受信した端末識別チャレンジ５１を、第１端末機３２ａの端末鍵管理部４６ａへ送信する。 In step S76, the
登録済の第１端末機３２ａでは、ステップＳ７９において、ユーザが新規登録を行う第２端末機３２ｂの利用条件（サービス利用の回数、時間等）を指定する。この指定後、端末鍵管理部４６ａは、ステップＳ８０において生体認証を行う。この生体認証がＯＫであれば、ステップＳ８１において、端末鍵管理部４６ａは、自端末鍵管理部４６ａが保持する端末鍵（秘）Ｋ２ａで、端末識別チャレンジ５１に署名を行う。この署名によりレスポンスとしての署名付端末識別チャレンジ５１Ａ（図９参照）が生成され、これに上記ステップＳ７９で指定された利用条件が付けられる。この利用条件は、矢印Ｙ１７で示すように、サービス利用の回数「５」、時間「０１：２０」であるとする。利用条件が付加された署名付端末識別チャレンジ５１Ａは、ステップＳ８２において、端末鍵管理部４６ａから第２端末機３２ｂのアクセス部４５ｂへ送信される。 In the registered
アクセス部４５ｂは、ステップＳ８３において、利用条件が付加された署名付端末識別チャレンジ５１Ａを、キーストア３３の端末管理部４８へ送信する。端末管理部４８は、ステップＳ８４において、アクセス管理部４７に格納された端末管理テーブルＴ１を参照し、登録済端末機３２ａの端末鍵（公）Ｋ３ａを検索する。端末管理部４８は、ステップＳ８５において、その検索された端末鍵（公）Ｋ３ａで、上記ステップＳ８５で利用条件が付加された署名付端末識別チャレンジ５１Ａを検証する。この検証がＯＫであれば、ステップＳ８６において、接続ＯＫを、第２端末機３２ｂのアクセス部４５ｂを介して端末鍵管理部４６ｂへ送信する。この接続ＯＫを受けた第２端末機３２ｂのユーザは生体認証を操作する。 In step S83, the
この操作を受けて端末鍵管理部４６ｂは、ステップＳ８７において生体認証を行う。この生体認証がＯＫであれば、端末鍵管理部４６ｂは、ステップＳ８８において、１対の端末鍵（秘）Ｋ２ｂと端末鍵（公）Ｋ３ｂの鍵ペアを生成する。更に、端末鍵管理部４６ｂは、ステップＳ８９において、その生成した端末鍵（秘）Ｋ２ｂを保持（図２）し、ステップＳ９０において、端末鍵（公）Ｋ３ｂをアクセス部４５ｂへ入力する。 In response to this operation, the terminal
アクセス部４５は、ステップＳ９１において、ユーザ名によって端末機３２ｂの登録要求を、キーストア３３の端末管理部４８に行う。この際、アクセス部４５ｂは、ステップＳ９２において、上記ステップＳ９０で入力された端末鍵（公）Ｋ３ｂを、上記ステップＳ８２で受信した利用条件と共に、キーストア３３の端末管理部４８へ送信する。 In step S91, the access unit 45 makes a registration request for the terminal 32b by the user name to the
端末管理部４８は、ステップＳ９３において、端末鍵（公）Ｋ３ｂを利用条件と共に、アクセス管理部４７の端末管理テーブルＴ１に登録することにより、新規の第２端末機３２ｂを登録する。この登録は、図３の端末管理テーブルＴ１のユーザ欄に第１ユーザ、端末ＩＤ欄に第２端末機（Ｄｅｖ−２）、公開鍵欄に端末鍵（公）Ｋ３ｂとしての「６２Ｃ８Ｆ２７ＤＤ…」、登録時の情報欄に信頼情報（第１端末機）、利用条件欄に残回数「５」、残時間「０１：２０」、のように行われる。なお、利用条件は、キーストア事業者が個別の利用条件を設定してもよい。 In step S93, the
＜第２実施形態の効果＞
以上説明したように、第２実施形態の認証鍵共有システム３０Ｂを、次のような特徴構成とした。システム３０Ｂは、通信による各種のサービスを提供するサーバ３１ａ，３１ｂと、サービスを通信で利用する端末機３２ａ，３２ｂを有する。更に、システム３０Ｂは、サービスを認証する公開鍵としての認証鍵（公）Ｋ１ａ，Ｋ１ｂ及び当該認証鍵（公）Ｋ１ａ，Ｋ１ｂと対のサービス認証用の秘密鍵としての認証鍵（秘）Ｋ４ａ，Ｋ４ｂ、並びに、端末機３２ａ，３２ｂが保持する端末機用の秘密鍵としての端末鍵（秘）Ｋ２ａ，Ｋ２ｂと対の公開鍵としての端末鍵（公）Ｋ３ａ，Ｋ３ｂが登録されるキーストア３３と有する。<Effect of the second embodiment>
As described above, the authentication key sharing system 30B of the second embodiment has the following characteristic configuration. The system 30B includes
（１）端末機３２ａ，３２ｂは、第三者が保証する本人確認情報を提示し、登録済端末機３２ａが保持する端末鍵（秘）Ｋ２ａと対の端末鍵（公）Ｋ３ａをキーストア３３に登録した登録済端末機３２ａが存在する場合に、新規で登録する新規端末機３２ｂが、キーストアから受信した端末機を識別するためのランダム文字列による端末識別チャレンジに、当該登録済端末機３２ａが保持する端末鍵（秘）Ｋ２ａで署名し、この署名により生成されたレスポンスとしての署名付端末識別チャレンジをキーストア３３へ返信する端末鍵管理部４６ａを備える。 (1) The
キーストア３３は、署名付端末識別チャレンジの署名が、当該キーストア３３に保持された登録済端末機３２ａの端末鍵（公）Ｋ３ａで検証された場合に、新規端末機３２ｂの端末鍵（公）Ｋ３ｂを当該キーストア３３に登録する端末管理部４８を備える構成とした。 In the
この構成によれば、新規端末機３２ｂからの端末識別チャレンジに登録済端末機３２ａの端末鍵（秘）Ｋ２ａで署名を行い、この署名付端末識別チャレンジをキーストア３３で認証して新規端末機３２ｂの端末鍵（公）Ｋ３ｂを登録することができる。このため、新規端末機３２ｂをキーストア３３に登録する際に、本人確認情報を提示せずとも、容易に認証して登録することができる。 According to this configuration, the terminal identification challenge from the
（２）端末機３２ａ，３２ｂの端末鍵管理部４６ａ，４６ｂは、署名付端末識別チャレンジに、サービスの利用を制限する利用条件を付けてキーストア３３へ送信する。キーストア３３の端末管理部４８は、新規端末機３２ｂの端末鍵（公）Ｋ３ｂの登録時に、利用条件を対応付けて登録し、この登録された利用条件で、当該新規端末機３２ｂのサービスの利用のための認証鍵（秘）Ｋ４ａ，Ｋ４ｂの使用を制限するようにした。言い換えれば、登録済端末機３２ａから新規端末機３２ｂに、サービスの利用を制限する利用条件を送信し、新規端末機３２ｂのキーストア３３への端末鍵（公）Ｋ３ｂの登録時に、利用条件がキーストア３３へ送信され、キーストア３３は、利用条件に従って、新規端末機３２ｂのサービスの利用を制限するようにした。 (2) The terminal
この構成によれば、次のような作用効果を得ることができる。端末機３２ａ，３２ｂ間の署名に基づく認証で登録された新規端末機３２ｂは、第三者が保証した本人確認情報の提示が無く、認証の信頼性が低い。このため、新規端末機３２ｂのサービスの利用に制限を設けて、本人確認情報の提示により登録された登録済端末機３２ａと差別化を図ることができる。 According to this configuration, the following effects can be obtained. The
＜第３実施形態の構成＞
図１１は、本発明の第３実施形態に係る認証鍵共有システム３０Ｃの構成を示すブロック図である。但し、システム３０Ｃにおいて、図２に示した認証鍵共有システム３０Ａと同一部分には同一符号を付し、その説明を適宜省略する。<Structure of the third embodiment>
FIG. 11 is a block diagram showing a configuration of the authentication key sharing system 30C according to the third embodiment of the present invention. However, in the system 30C, the same parts as those of the authentication key sharing system 30A shown in FIG. 2 are designated by the same reference numerals, and the description thereof will be omitted as appropriate.
図１１に示すシステム３０Ｃが、システム３０Ａと異なる点は、サーバ５１ａ，５１ｂに認証鍵利用制御部５２ａ，５２ｂを備え、サーバ５１ａ，５１ｂが端末機３２ａ，３２ｂに対する認証鍵の利用可否を判断するようにしたことにある。キーストア３３は、本人確認情報及び信頼情報を管理する。更に、キーストア３３は、端末機３２ａ，３２ｂが認証鍵（秘）Ｋ４ａ，Ｋ４ｂを使用時に、端末機３２ａ，３２ｂの登録時の情報を、矢印Ｙ３２で示すように、サーバ５１ａ，５１ｂへ送信する。サーバ５１ａ，５１ｂの認証鍵利用制御部５２ａ，５２ｂが、その送信されて来た登録時の情報を確認して、端末機３２ａ，３２ｂにサービス使用の可否を決定するようにした。 The system 30C shown in FIG. 11 differs from the system 30A in that the
更に説明すると、キーストア３３で端末機３２ａ，３２ｂ毎の利用条件を保管しないが、キーストア３３が端末機３２ａ，３２ｂと紐付けて登録時の情報を保管しておく。登録時の情報は、図１１の端末管理テーブルＴ１に一例を示すように行われる。第１端末機３２ａ（Ｄｅｖ−１）の行において、確認情報欄に本人確認情報、登録日時欄に２０１７年１月１日１０時４２分（2017/1/1/10:42）が登録される。第２端末機３２ｂ（Ｄｅｖ−２）の行において、確認情報欄に信頼情報、登録日時欄に２０１７年４月１日１２時１２分（2017/4/1/12:12）が登録される。 Further explaining, the
端末機３２ａ，３２ｂが、矢印Ｙ３１に示すように、キーストア３３にアクセスし、認証鍵（秘）Ｋ４ａ，Ｋ４ｂを利用したユーザ認証（チャレンジ・レスポンス方式）を行う場合、認証先のサーバ５１ａ，５１ｂのサービスに対して、認証チャレンジに対するレスポンスに該当端末機３２ａ，３２ｂの上記登録時の情報を付与して送付する。但し、矢印Ｙ３１は、サーバ５１ａ，５１ｂとキーストア３３間の認証鍵の登録も示す。 When the
サーバ５１ａ，５１ｂ側では、その付与された端末機３２ａ，３２ｂの登録時の情報を参照し、該当の端末機３２ａ，３２ｂからのユーザ認証要求を任意に制限する。この制限の例としては、信頼情報で登録した端末機３２ｂの要求は拒否する。或いは、端末機３２ｂの信頼情報の登録後一定期間しか許容しない、単位時間当たりの利用回数を制限する等である。 On the
但し、利用条件は、第１実施形態のシステム１０Ａ（図２）では、新規端末機の登録処理を実行するユーザ自身が相互確認時に指定することが可能であった。しかし、第３実施形態のシステム３０Ｃではユーザ自身による利用条件の指定は不可能となっている。 However, in the system 10A (FIG. 2) of the first embodiment, the usage conditions can be specified by the user who executes the registration process of the new terminal at the time of mutual confirmation. However, in the system 30C of the third embodiment, it is impossible for the user to specify the usage conditions by himself / herself.
＜第３実施形態の信頼情報による端末機の登録処理＞
第３実施形態のシステム３０Ｃにおいて、登録済端末機３２ａの信頼情報を活用して第２端末機３２ｂをキーストア３３に登録する処理を、図１２に示すシーケンス図を参照して具体的に説明する。但し、図１２において、第１実施形態の図６に示したシーケンス図と同一ステップには同一符号を付し、その説明を適宜省略する。また、システム３０Ｃでは、システム１０Ａのように端末管理テーブルＴ１に端末機３２ａ，３２ｂ毎の鍵の利用条件を保管しないが、キーストア３３に端末機３２ａ，３２ｂの登録時の情報を保管しておくものとする。<Terminal registration process using the trust information of the third embodiment>
In the system 30C of the third embodiment, the process of registering the
図１２に示すステップＳ１１〜Ｓ２２までの処理は、図６と同様である。それら処理のうち最後のステップＳ２２においては、登録済端末機３２ａの端末鍵管理部４６ａが、自端末機３２ａの端末鍵（秘）Ｋ２ａで、新規登録対象の第２端末機３２ｂから受信した端末鍵（公）Ｋ３ｂへ署名する。 The processes from steps S11 to S22 shown in FIG. 12 are the same as those in FIG. In the final step S22 of these processes, the terminal
この後、第３実施形態のシステム３０Ｃでは、端末鍵管理部４６ａが、ステップＳ２３Ａにおいて、レスポンスとしての署名付き端末鍵（公）Ｋ３ｂを、第２端末機３２ｂの端末鍵管理部４６ｂを介してアクセス部４５ｂへ返信する。 After that, in the system 30C of the third embodiment, in step S23A, the terminal
アクセス部４５ｂは、ステップＳ２４Ａにおいて、ユーザ名によって自端末機の登録要求を、キーストア３３の端末管理部４８に行う。この際、アクセス部４５ｂは、ステップＳ２５Ａにおいて、上記署名付き端末鍵（公）Ｋ３ｂを端末管理部４８へ送信する。 In step S24A, the
端末管理部４８は、ステップＳ２６において、アクセス管理部４７に格納された端末管理テーブルＴ１を参照し、登録済端末機３２ａの端末鍵（公）Ｋ３ａを検索する。端末管理部４８は、ステップＳ２７Ａにおいて、その検索された端末鍵（公）Ｋ３ａで、上記ステップＳ２５Ａで送信されて来た署名付き端末鍵（公）Ｋ３ｂを検証する。この検証がＯＫであれば、端末管理部４８は、ステップＳ２８Ａにおいて、アクセス管理部４７に新規の第２端末機３２ｂを登録する。この登録は、図１１に示す端末管理テーブルＴ１の第２端末機３２ｂ（Ｄｅｖ−２）の行において、公開鍵欄に端末鍵（公）の「６２Ｃ８Ｆ２７ＤＤ…」、確認情報欄に信頼情報、登録日時欄に２０１７年４月１日１２時１２分（2017/4/1/12:12）が登録される。 In step S26, the
＜第３実施形態の認証鍵の登録処理＞
次に、キーストア３３上に認証鍵（秘）（例えば認証鍵（秘）Ｋ４ａ）を生成し、サーバ（例えばサーバ５１ａ）に認証鍵（公）Ｋ１ａを新規登録する処理を、図１３に示すシーケンス図を参照して具体的に説明する。但し、図１３において、第１実施形態の図７に示したシーケンス図と同一ステップには同一符号を付し、その説明を適宜省略する。また、システム３０Ｃは、第１実施形態のシステム３０Ａのように、サーバ５１ａ，５１ｂ側に該当の認証鍵（公）Ｋ１ａ，Ｋ１ｂの利用に関するポリシの情報がなく、キーストア３３側でも各認証鍵（秘）Ｋ４ａ，Ｋ４ｂの利用条件を管理しないものとする。<Authentication key registration process of the third embodiment>
Next, FIG. 13 shows a process of generating an authentication key (secret) (for example, authentication key (secret) K4a) on the
図１３において、登録済端末機３２ａがサーバ（例えばサーバ５１ａ）のサービスを使いたいので、ステップＳ３１において、Ｗｅｂクライアント４３ａから認証鍵を使いたいという登録要求をサーバ５１ａの認証部４１ａに行ったとする。認証部４１ａは、ステップＳ３２において、認証部４１ａに格納されているサービス固有ＩＤテーブルＴ５から、上記登録要求に係る認証鍵（公）Ｋ１ａを検索する。 In FIG. 13, since the registered
認証部４１ａは、ステップＳ３３Ａにおいて、上記検索した認証鍵（公）Ｋ１ａに基づき、認証鍵の登録要求を登録済端末機３２ａのアクセス部４５ａへ送信する。この後のステップＳ３４〜Ｓ４３までの処理は、図７と同様である。それら処理のうち最後のステップＳ４３においては、キーストア３３の端末管理部４８が、サーバ５１ａへの接続ＯＫを登録済端末機３２ａのアクセス部４５ａへ送信する。 In step S33A, the
アクセス部４５ａは、ステップＳ４４Ａにおいて、認証鍵の登録要求をキーストア３３の認証鍵管理部４９へ送信する。認証鍵管理部４９は、ステップＳ４５において、認証鍵（秘）Ｋ４ａと認証鍵（公）Ｋ１ａとの鍵ペアを生成し、認証鍵（秘）Ｋ４ａを保持する。また、認証鍵管理部４９は、ステップＳ４６において、認証鍵（公）Ｋ１ａを登録済端末機３２ａのアクセス部４５ａへ送信する。アクセス部４５ａは、ステップＳ４７において、サーバ５１ａの認証部４１ａに、認証鍵（公）Ｋ１ａの登録要求を行う。 In step S44A, the access unit 45a transmits the authentication key registration request to the authentication
認証部４１ａは、ステップＳ４８において、認証鍵（公）Ｋ１ａを保持する。この保持は、認証部４１ａに格納された鍵管理テーブルＴ４において、登録済端末機３２ａのアカウントである「Ｕｓｅｒ１」に、認証鍵として、認証鍵（公）Ｋ１ａ「６２Ｃ９５１ＢＡ２Ｆ…」が登録されて行われる。この登録後、認証部４１ａは、ステップＳ４９において、登録完了を登録済端末機３２ａのＷｅｂクライアント４３へ送信する。 The
＜第３実施形態のサービス利用時のユーザ認証処理＞
次に、上述した図１３のようにキーストア３３に登録された認証鍵（秘）Ｋ４ａを利用して、サーバ５１ａ，５１ｂのサービスを利用するためのユーザ認証を行う処理を、図１４に示すシーケンス図を参照して具体的に説明する。<User authentication process when using the service of the third embodiment>
Next, FIG. 14 shows a process of performing user authentication for using the services of the
第３実施形態のシステム３０Ｃは、第１実施形態のシステム３０Ａのように、キーストア３３が保管する認証鍵（秘）Ｋ４ａ，Ｋ４ｂの利用可否について制御を行わず、どの端末機３２ａ，３２ｂからの要求であっても署名を行うものとする。但し、アクセスしている端末機（例えば端末機３２ｂ）の登録時の情報を、レスポンスとしての署名付認証チャレンジに付与してサーバ（例えばサーバ５１ａ）へ返送することで、サーバ５１ａ側では登録時の情報の内容を確認し、署名が正しかったとしても、その端末機３２ｂからの認証要求を受け付けるか否かを判断可能となっている。 Unlike the system 30A of the first embodiment, the system 30C of the third embodiment does not control the availability of the authentication keys (secret) K4a and K4b stored in the
図１４に示すステップＳ５１Ａにおいて、信頼情報により登録された端末機３２ｂのＷｅｂクライアント４３ｂが、サーバのサービスを利用するためのユーザの認証要求を、サーバ５１ａの認証部４１ａに行ったとする。認証部４１ａは、ステップＳ５２において、自認証部４１ａが保持するサービス固有ＩＤテーブルＴ５から該当サービス固有の鍵ＩＤ「ｓｅｒｖｉｃｅ２．ｊｐ」を検索する。次に、認証部４１ａは、ステップＳ５３Ａにおいて、その検索した鍵ＩＤを含む認証チャレンジを、端末機３２ｂのアクセス部４５へ送信する。 In step S51A shown in FIG. 14, it is assumed that the
アクセス部４５ｂは、ステップＳ５４Ａにおいて、キーストア３３の端末管理部４８に認証用接続要求を行う。この要求を受信した端末管理部４８は、ステップＳ５５Ａにおいて、端末識別チャレンジを端末機３２ｂのアクセス部４５ｂへ送信する。 In step S54A, the
アクセス部４５ｂは、ステップＳ５６Ａにおいて、端末識別チャレンジを受けたことを端末鍵管理部４６ｂへ通知する。この通知を受けた端末鍵管理部４６ｂは、ステップＳ５７Ａにおいて、生体認証を行い、この結果がＯＫであれば、端末鍵（秘）Ｋ２ｂで端末識別チャレンジに署名を行って、ステップＳ５９Ａにおいて、アクセス部４５ｂへ返す。これを受けたアクセス部４５ｂは、ステップＳ６０Ａにおいて、レスポンスとしての署名付チャレンジをキーストア３３の端末管理部４８へ送信する。 In step S56A, the
端末管理部４８は、ステップＳ６１Ａにおいて、アクセス管理部４７に格納された端末管理テーブルＴ１（図１１）を参照し、ステップＳ６２Ａにおいて、認証要求を行った端末機３２ｂを、本人確認情報で登録した端末機３２ｂの端末鍵（公）Ｋ３ｂで検証する。即ち、図１１の端末管理テーブルＴ１の端末ＩＤ欄のＤｅｖ−２において、公開鍵欄に登録されている端末鍵（公）Ｋ３ｂ「６２Ｃ８Ｆ２７ＤＤ…」によって上記署名付チャレンジを検証する。この検証がＯＫであれば、端末管理部４８は、ステップＳ６３Ａにおいて、サーバ５１ａへの接続ＯＫを端末機３２ｂのアクセス部４５ｂへ送信する。 In step S61A, the
図１４に示すアクセス部４５ｂは、ステップＳ６４Ａにおいて、鍵ＩＤを含む認証チャレンジをキーストア３３の認証鍵管理部４９へ送信する。つまり、サーバ５１ａから受信した認証チャレンジで、指定の鍵ＩＤに紐付いた認証鍵（秘）Ｋ４ａでの署名を認証鍵管理部４９に要求する。 In step S64A, the
この要求に応じて認証鍵管理部４９は、ステップＳ６６Ａにおいて、認証チャレンジに署名を行う。なお、図１４のステップＳ６４ＡとＳ６６Ａとの間に、図８ではステップＳ６５の認証鍵の利用の可否判断処理があるが、図１４はその可否判断処理は実行されないので、未記載となっている。 In response to this request, the authentication
図１４のステップＳ６７Ａにおいて、上記ステップＳ６６Ａの署名で得られたレスポンスとしての署名付認証チャレンジを、登録済端末機３２ｂのアクセス部４５ａへ送信する。アクセス部４５ｂは、署名付認証チャレンジに登録時の情報を付加して、ステップＳ６７Ｂにおいて、サーバ５１ａの認証部４１ａへ送信する。 In step S67A of FIG. 14, a signed authentication challenge as a response obtained by the signature of step S66A is transmitted to the access unit 45a of the registered
認証部４１ａは、ステップＳ１０１において、その送信されて来た登録時の情報を認証鍵利用制御部５２ａへ出力する。認証鍵利用制御部５２ａは、ステップＳ１０２において、その登録時の情報から、サービスの利用可否を判断する。この判断が「否」であれば端末機３２ｂに利用者が認識可能にエラーが通知される。一方、その判断がＯＫであれば、ステップＳ１０３において、認証鍵利用制御部５２ａから認証部４１ａへサービスの利用ＯＫが出力される。認証部４１ａは、ステップＳ１０４において、鍵管理テーブルＴ４に登録された認証鍵（公）Ｋ１ａで、上記ステップＳ６７Ｂで受信された署名付認証チャレンジを検証する。この検証がＯＫであれば、ステップＳ１０５において、認証部４１ａは端末機３２ｂのＷｅｂクライアント４３ｂへ認証完了を通知する。 In step S101, the
この図１４のシーケンス動作は、信頼情報に係る端末機３２ｂが、サーバ５１ａのサービスを利用するためのユーザ認証を行う処理を説明したが、本人確認情報によるサービス利用に制限が無い端末機３２ａにおいても同様に行うことができる。 In the sequence operation of FIG. 14, the process in which the terminal 32b related to the trust information performs user authentication for using the service of the
＜第３実施形態の効果＞
以上説明したように、第３実施形態の認証鍵共有システム３０Ｃを、次のような特徴構成とした。システム３０Ｃは、通信による各種のサービスを提供するサーバ５１ａ，５１ｂと、サービスを通信で利用する端末機３２ａ，３２ｂを有する。更に、システム３０Ｃは、サービスを認証する公開鍵としての認証鍵（公）Ｋ１ａ，Ｋ１ｂ及び当該認証鍵（公）Ｋ１ａ，Ｋ１ｂと対のサービス認証用の秘密鍵としての認証鍵（秘）Ｋ４ａ，Ｋ４ｂ、並びに、端末機３２ａ，３２ｂが保持する端末機用の秘密鍵としての端末鍵（秘）Ｋ２ａ，Ｋ２ｂと対の公開鍵としての端末鍵（公）Ｋ３ａ，Ｋ３ｂが登録されるキーストア３３と有する。<Effect of the third embodiment>
As described above, the authentication key sharing system 30C of the third embodiment has the following characteristic configuration. The system 30C includes
（１）キーストア３３に、登録済端末機３２ａ及び新規端末機３２ｂに係る端末機３２ａ，３２ｂの登録時の情報を、当該端末機３２ａ，３２ｂの固有情報に対応付けて保管するアクセス管理部４７を備えた。サーバ５１ａ，５１ｂは、端末機３２ａ，３２ｂがキーストア３３に登録された認証鍵（秘）Ｋ４ａ，Ｋ４ｂを使用する際に、当該キーストアから受信した端末機３２ａ，３２ｂの登録時の情報に応じて、当該端末機３２ａ，３２ｂの認証鍵（秘）Ｋ４ａ，Ｋ４ｂの使用を制限する認証鍵利用制御部５２ａ，５２ｂを備える構成とした。 (1) An access control unit that stores information at the time of registration of
この構成によれば、サーバ５１ａ，５１ｂにおいて、端末機３２ａ，３２ｂの登録時の情報に応じて、端末機３２ａ，３２ｂの認証鍵（秘）Ｋ４ａ，Ｋ４ｂの使用を制限することによって、端末機３２ａ，３２ｂへのサービスの利用を制限することができる。 According to this configuration, the
その他、具体的な構成について、本発明の主旨を逸脱しない範囲で適宜変更が可能である。 In addition, the specific configuration can be appropriately changed without departing from the gist of the present invention.
３０，３０Ａ，３０Ｂ，３０Ｃ 認証鍵共有システム
３１ａ，３１ｂ，５１ａ，５１ｂ Ｗｅｂサーバ（サーバ）
３２ａ，３２ｂ 端末機
３３ キーストア
４１ａ，４１ｂ 認証部
４３ａ，４３ｂ Ｗｅｂクライアント
４５ａ，４５ｂ キーストアアクセス部
４６ａ，４６ｂ 端末鍵管理部
４３ａ，４３ｂ Ｗｅｂクライアント
４４ａ，４４ｂ 相互確認部
４７ アクセス管理部
４８ 端末管理部
４９ 認証鍵管理部
５２ａ，５２ｂ 認証鍵利用制御部
Ｔ１ 端末管理テーブル
Ｋ１ａ，Ｋ１ｂ 認証鍵（公）
Ｋ２ａ，Ｋ２ｂ 端末鍵（秘）
Ｋ３ａ，Ｋ３ｂ 端末鍵（公）
Ｋ４ａ，Ｋ４ｂ 認証鍵（秘）30,30A, 30B, 30C Authentication
32a,
K2a, K2b terminal key (secret)
K3a, K3b terminal key (public)
K4a, K4b authentication key (secret)
Claims (8)
Translated fromJapanese前記端末機は、
第三者が保証する本人確認情報を提示し、自登録済端末機が保持する端末鍵（秘）と対の端末鍵（公）を前記キーストアに登録した登録済端末機が存在する場合に、新規で登録する新規端末機に保持された端末鍵（秘）と対の端末鍵（公）を、当該登録済端末機が保持する端末鍵（秘）で署名し、この署名により生成された署名済み端末鍵（公）を前記キーストアへ送信する端末鍵管理部を備え、
前記キーストアは、前記署名済み端末鍵（公）の署名が、当該キーストアに保持された登録済端末機の端末鍵（公）で検証された場合に、前記新規端末機の端末鍵（公）を当該キーストアに登録する端末管理部を備え、
前記登録済端末機から前記新規端末機に、前記サービスの利用を制限する利用条件を送信し、
前記新規端末機の前記キーストアへの端末鍵（公）の登録時に、前記利用条件が当該キーストアへ送信され、
前記キーストアは、前記利用条件に従って、前記新規端末機の前記サービスの利用を制限するようにした
ことを特徴とする認証鍵共有システム。For service authentication paired with a server that provides various services by communication, a terminal that uses the service for communication, an authentication key (public) as a public key that authenticates the service, and the authentication key (public). An authentication key (secret) as a private key and a key store in which a terminal key (secret) as a private key for a terminal held by the terminal and a terminal key (public) as a pair of public keys are registered. It is an authentication key sharing system that has
The terminal is
When there is a registered terminal that presents identity verification information guaranteed by a third party and registers the terminal key (secret) and the paired terminal key (public) held by the self-registered terminal in the key store. , The terminal key (secret) held in the new terminal to be newly registered and the paired terminal key (public) are signed with the terminal key (secret) held by the registered terminal, and generated by this signature. It is equipped with a terminal key management unit that sends a signed terminal key (public) to the key store.
In the keystore, when the signature of the signed terminal key (public) is verified by the terminal key (public) of the registered terminal held in the keystore, the terminal key (public) of the new terminal is used. ) Is provided in the terminal management department to register in the keystore.
The registered terminal transmits the usage conditions for restricting the use of the service to the new terminal.
When the terminal key (public) of the new terminal is registered in the keystore, the terms of use are transmitted to the keystore.
The key store is an authentication key sharing system characterized in thatthe use of the service of the new terminal is restricted according to the usage conditions .
前記端末機は、
第三者が保証する本人確認情報を提示し、自登録済端末機が保持する端末鍵（秘）と対の端末鍵（公）を前記キーストアに登録した登録済端末機が存在する場合に、新規で登録する新規端末機の接続要求に応じて、前記キーストアから受信した端末機を識別するためのランダム文字列による端末識別チャレンジを、前記新規端末機から取得した前記登録済端末機が、当該登録済端末機が保持する端末鍵（秘）で署名し、この署名により生成された署名付端末識別チャレンジを前記新規端末機を介して前記キーストアへ返信する端末鍵管理部を備え、
前記キーストアは、前記署名付端末識別チャレンジの署名が、当該キーストアに保持された登録済端末機の端末鍵（公）で検証された場合に、前記新規端末機の端末鍵（公）を当該キーストアに登録する端末管理部を備え、
前記登録済端末機から前記新規端末機に、前記サービスの利用を制限する利用条件を送信し、
前記新規端末機の前記キーストアへの端末鍵（公）の登録時に、前記利用条件が当該キーストアへ送信され、
前記キーストアは、前記利用条件に従って、前記新規端末機の前記サービスの利用を制限するようにした
ことを特徴とする認証鍵共有システム。For service authentication paired with a server that provides various services by communication, a terminal that uses the service for communication, an authentication key (public) as a public key that authenticates the service, and the authentication key (public). An authentication key (secret) as a private key and a key store in which a terminal key (secret) as a private key for a terminal held by the terminal and a terminal key (public) as a pair of public keys are registered. It is an authentication key sharing system that has
The terminal is
When there is a registered terminal that presents identity verification information guaranteed by a third party and registers the terminal key (secret) and the paired terminal key (public) held by the self-registered terminal in the key store. Inresponse to a connection request for a new terminal to be newly registered, the registeredterminal obtained from the new terminal takes a terminal identification challenge using a random character string for identifying the terminal received from the key store., signed with a terminal key (secret)which the registered terminal is held, with a terminal key management unit the signed terminal identification challenge generated by the signature returns to the key storethrough the new terminal,
The keystore uses the terminal key (public) of the new terminal when the signature of the signed terminal identification challenge is verified with the terminal key (public) of the registered terminal held in the keystore. includes a terminal management unit for registering to the keystore,
The registered terminal transmits the usage conditions for restricting the use of the service to the new terminal.
When the terminal key (public) of the new terminal is registered in the keystore, the terms of use are transmitted to the keystore.
The key store is an authentication key sharing system characterized in thatthe use of the service of the new terminal is restricted according to the usage conditions .
ことを特徴とする請求項１に記載の認証鍵共有システム。When transmitting the terms of use from the registered terminal to the new terminal, the signature is signed with the terminal key (secret) held by the registered terminal, and the signed terminal key (public) generated by this signature. authentication key sharing system according to claim1, characterized in that transmits with the useconditions.
ことを特徴とする請求項２に記載の認証鍵共有システム。From said registered terminal when transmitting the use condition to the new terminal, signed with a terminal key (secret) which the registered terminal isheld, the signed terminal identification challenge generated by the signature ofthis The authentication key sharing system according to claim2 , wherein the transmission is performed with the terms of use.
前記サーバは、前記端末機が前記キーストアに登録された前記認証鍵（秘）を使用する際に、当該キーストアから受信した当該端末機の登録時の情報に応じて、当該端末機の認証鍵（秘）の使用を制限する認証鍵利用制御部を備える
ことを特徴とする請求項１又は２に記載の認証鍵共有システム。The key store is provided with an access control unit that stores information at the time of registration of the registered terminal and the terminal related to the new terminal in association with the unique information of the terminal.
When the server uses the authentication key (secret) registered in the keystore, the server authenticates the terminal according to the information at the time of registration of the terminal received from the keystore. The authentication key sharing system according to claim 1 or 2, further comprising an authentication key usage control unit that restricts the use of a key (secret).
前記新規端末機と前記登録済端末機間で前記署名のための通信を行う前に、当該新規端末機と当該登録済端末機との双方が、予め定められた距離で予め定められた操作が同時に行われた際に、双方の通信を確立させる相互確認部を更に備える
ことを特徴とする請求項１〜５の何れか１項に記載の認証鍵共有システム。The terminal is
Before the communication for the signature is performed between the new terminal and the registered terminal, both the new terminal and the registered terminal perform a predetermined operation at a predetermined distance. The authentication key sharing system according to any one of claims 1 to 5, further comprising a mutual confirmation unit that establishes communication between the two when performed at the same time.
前記本人確認情報の提示により前記キーストアに登録された登録済端末機に当該本人確認情報を対応付け、当該登録済端末機と前記新規端末機間の前記署名で生成された署名済み端末鍵（公）の署名が検証されて前記キーストアに登録された新規端末機に、信頼情報を対応付けて端末管理テーブルに保存するアクセス管理部を備える
ことを特徴とする請求項１〜６の何れか１項に記載の認証鍵共有システム。Thekeystore is
By presenting the identity verification information, the identity verification information is associated with the registered terminal registered in the key store, and the signed terminal key generated by the signature between the registered terminal and the new terminal ( Any of claims 1 to 6, wherein the new terminal whose signature of (public) is verified and registered in the key store is provided with an access control unit for associating trust information and storing it in a terminal management table. The authentication key sharing system described in item 1.
第三者が保証する本人確認情報を提示し、自登録済端末機が保持する端末鍵（秘）と対の端末鍵（公）を前記キーストアに登録した登録済端末機が存在する場合に、前記登録済端末機は、
新規で登録する新規端末機に保持された端末鍵（秘）と対の端末鍵（公）を、当該登録済端末機が保持する端末鍵（秘）で署名し、この署名により生成された署名済み端末鍵（公）を前記キーストアへ送信するステップを実行し、
前記キーストアは、
前記署名済み端末鍵（公）の署名が、当該キーストアに保持された登録済端末機の端末鍵（公）で検証された場合に、前記新規端末機の端末鍵（公）を当該キーストアに登録するステップを実行し、
前記登録済端末機は、
前記新規端末機に、前記サービスの利用を制限する利用条件を送信するステップを実行し、
前記新規端末機は、
前記キーストアへの端末鍵（公）の登録時に、前記利用条件を当該キーストアへ送信するステップを実行し、
前記キーストアは、
前記利用条件に従って、前記新規端末機の前記サービスの利用を制限するステップを実行する
ことを特徴とする端末機新規登録方法。For service authentication paired with a server that provides various services by communication, a terminal that uses the service for communication, an authentication key (public) as a public key that authenticates the service, and the authentication key (public). An authentication key (secret) as a private key and a key store in which a terminal key (secret) as a private key for a terminal held by the terminal and a terminal key (public) as a pair of public keys are registered. It is a new registration method for the terminal of the authentication key sharing system that has
Ifthe third party is to present the personal identification information to guarantee, its own terminal key to the registered terminal is held (secret) and the registered terminal-to-terminal key (the public) was registered in the key store exists , Theregistered terminal
The terminal key (secret) held in the newly registered new terminal and the paired terminal key (public) are signed with the terminal key (secret) held by the registered terminal, and the signature generated by this signature. Execute the step of sending the completed terminal key (public) to the key store,
The keystore is
When the signature of the signed terminal key (public) is verified with the terminal key (public) of the registered terminal held in the key store, the terminal key (public) of the new terminal is used in the key store.run the step of registeringto,
The registered terminal is
Execute the step of transmitting the usage conditions that restrict the use of the service to the new terminal, and execute the step.
The new terminal is
When registering the terminal key (public) in the keystore, the step of transmitting the terms of use to the keystore is executed.
The keystore is
A terminal new registration method, characterizedin thata step of restricting the use of the service of the new terminal is executed according to the usage conditions .
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017149575AJP6823564B2 (en) | 2017-08-02 | 2017-08-02 | Authentication key sharing system and new terminal registration method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2017149575AJP6823564B2 (en) | 2017-08-02 | 2017-08-02 | Authentication key sharing system and new terminal registration method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2019029917A JP2019029917A (en) | 2019-02-21 |
| JP6823564B2true JP6823564B2 (en) | 2021-02-03 |
Family
ID=65476680
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2017149575AActiveJP6823564B2 (en) | 2017-08-02 | 2017-08-02 | Authentication key sharing system and new terminal registration method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6823564B2 (en) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US12267675B2 (en)* | 2023-03-20 | 2025-04-01 | Jamf Software, Llc | Secondary device enrollment validation |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH07160198A (en)* | 1993-12-03 | 1995-06-23 | Fujitsu Ltd | Public key registration method in cryptographic communication and public key certificate issuing authority |
| US7552322B2 (en)* | 2004-06-24 | 2009-06-23 | Palo Alto Research Center Incorporated | Using a portable security token to facilitate public key certification for devices in a network |
| JP2007281850A (en)* | 2006-04-06 | 2007-10-25 | Fuji Xerox Co Ltd | Document data distribution method |
| JP5765186B2 (en)* | 2011-10-27 | 2015-08-19 | コニカミノルタ株式会社 | Connection control apparatus, information processing apparatus, image forming apparatus, portable mobile terminal, information processing system, connection control apparatus control method, and connection control apparatus control program |
| JP6134841B1 (en)* | 2016-05-19 | 2017-05-24 | ヤフー株式会社 | Registration device, terminal device, registration method, registration program, and registration system |
- 2017
- 2017-08-02JPJP2017149575Apatent/JP6823564B2/enactiveActive
Also Published As
| Publication number | Publication date |
|---|---|
| JP2019029917A (en) | 2019-02-21 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6716744B2 (en) | Blockchain-based integrated login method, terminal and server using the same | |
| CN106664208B (en) | System and method for establishing trust using secure transport protocol | |
| US8112787B2 (en) | System and method for securing a credential via user and server verification | |
| US8495720B2 (en) | Method and system for providing multifactor authentication | |
| CN101414909B (en) | Network application user authentication system, method and mobile communication terminal | |
| Dodson et al. | Secure, consumer-friendly web authentication and payments with a phone | |
| CN105516195B (en) | A kind of security certification system and its authentication method based on application platform login | |
| US10050791B2 (en) | Method for verifying the identity of a user of a communicating terminal and associated system | |
| US20110219427A1 (en) | Smart Device User Authentication | |
| JP2019185775A (en) | Authority authentication method for block chain infrastructure, terminal, and server using the same | |
| CN106096947B (en) | The half off-line anonymous method of payment based on NFC | |
| JP4960738B2 (en) | Authentication system, authentication method, and authentication program | |
| JP7124174B1 (en) | Method and apparatus for multi-factor authentication | |
| JP2011204169A (en) | Authentication system, authentication device, authentication method and authentication program | |
| KR101001400B1 (en) | Online mutual authentication method and system | |
| JP5317795B2 (en) | Authentication system and authentication method | |
| EP2916509B1 (en) | Network authentication method for secure user identity verification | |
| JP6714551B2 (en) | Authentication key sharing system and inter-terminal key copying method | |
| JP6823564B2 (en) | Authentication key sharing system and new terminal registration method | |
| CN108886524B (en) | Secure Remote Authentication | |
| JP6454493B2 (en) | Authentication system, authentication method, and authentication program | |
| JP5037238B2 (en) | Mutual authentication system and mutual authentication method | |
| JP2015176167A (en) | Network authentication method for secure user identification information verification | |
| KR101576038B1 (en) | Network authentication method for secure user identity verification | |
| JP2024125515A (en) | Methods and systems |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination | Free format text:JAPANESE INTERMEDIATE CODE: A621 Effective date:20190826 | |
| A977 | Report on retrieval | Free format text:JAPANESE INTERMEDIATE CODE: A971007 Effective date:20200722 | |
| A131 | Notification of reasons for refusal | Free format text:JAPANESE INTERMEDIATE CODE: A131 Effective date:20201006 | |
| A521 | Request for written amendment filed | Free format text:JAPANESE INTERMEDIATE CODE: A523 Effective date:20201203 | |
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) | Free format text:JAPANESE INTERMEDIATE CODE: A01 Effective date:20210105 | |
| A61 | First payment of annual fees (during grant procedure) | Free format text:JAPANESE INTERMEDIATE CODE: A61 Effective date:20210108 | |
| R150 | Certificate of patent or registration of utility model | Ref document number:6823564 Country of ref document:JP Free format text:JAPANESE INTERMEDIATE CODE: R150 | |
| S533 | Written request for registration of change of name | Free format text:JAPANESE INTERMEDIATE CODE: R313533 |