[发明专利]用户认证方法及用于实现该方法的系统

说明书

代替以往的短的更新周期(例如60秒)的TOTP，提出使用了比较长的更新周期的基于时间的密码(TP)的用户认证方法。本发明是由认证系统执行的用户认证方法，所述认证系统使用参照终端装置对于为了对使用对象系统进行利用而从信息通信终端装置进行访问的用户进行认证，所述参照终端装置包含能够生成TP的安全令牌。该认证方法包括：将该TP的更新周期设定为30日、1个月或1个月以上的第一更新周期；接收用户认证请求，所述用户认证请求包含由该安全令牌按照该设定的第一更新周期而生成的基于时间的密码；以及基于该接收到的用户认证请求中所含的该TP而进行认证。

技术领域

本发明涉及用户认证方法及用于实现该方法的系统。

背景技术

为了保护计算机系统不受有恶意的第三方进行的非法访问，一般地，进行对用户的“认证(certification)”。用户认证的简单的例子是使用了用户ID与密码的组合的方式。关于用户认证，根据所要求的安全级别和/或使用环境，提出了各种方式。

例如，下述专利文献1公开了如下用户认证方式，即该用户认证方式不是使用密码本身，而是使用了用于导出密码的几何图案(称为“密码导出图案”或“密码挑选图案”)。具体地，专利文献1公开了如下用户认证方法及用户认证系统，即该用户认证方法及用户认证系统按照每位用户将密码导出图案预先注册到认证服务器，在用户使用系统时，认证服务器生成提示用图案而提示给用户，使用户关于该提示用图案输入与用户自身的密码导出图案对应的密码，认证服务器基于所提示的提示用图案和用户自身注册的密码导出图案，对所输入的密码进行认证，并将其认证结果通知给使用对象系统。在该文献中，为了进行提示用图案的提示，使用用户的信息通信终端。

此外，一次性密码(OTP)认证是代替用户ID及密码的组合，在认证时，发布仅限一次的“一次性的”密码、即“一次性密码”，或者除了用户ID及密码的组合之外，在认证时还发布“一次性密码”的用户认证方式。在基于OTP的用户认证方式中，认证者的服务器与被认证者(用户)的设备必然共享相互同步了的OTP。例如，认证服务器及用户设备使用共用的种子(密钥)及随机数生成算法，以相互时间同步的方式生成OTP。以这样的时间同步的方式发布的OTP称为时间同步一次性密码(Time synchronous OTP)或基于时间的一次性密码(Time-based OTP)(TOTP)，适于以例如30秒或60秒这样比较短的时间周期进行更新，以便不给予第三方用于非法攻击的足够时间。为了实现TOTP认证，用户预先从认证者被提供例如硬件令牌和/或软件令牌这样的安全令牌。

例如，下述专利文献2公开了一次性密码系统，该一次性密码系统具备服务器装置和生成与该服务器装置进行通信时使用的一次性密码的一次性密码装置。

此外，下述专利文献3公开了能够容易地改变在服务器与OTP装置双方之间同步的时刻的时间同步式一次性密码认证方法。具体地，专利文献3公开了如下内容：OTP装置3包括：获取为了求取在自身与服务器1双方之间同步的时刻而使用的时间差并且求取反应了该时间差的时刻而生成使用了该时刻的时间同步式一次性密码的过程，在服务器1中包括：求取反映了时间差的时刻的过程、生成使用了该时刻的时间同步式一次性密码的过程、和将自身生成的时间同步式一次性密码与OTP装置3所生成的时间同步式一次性密码进行比较而认证使用者的过程。

[现有技术文献]

[专利文献]

专利文献1：国际公开WO2003/069490

专利文献2：日本特开2008－269342号公报

专利文献3：日本特开2014－149559号公报

发明内容

技术问题