认证系统、认证方法、应用提供装置、认证装置、认证用程序

摘要

在认证系统(S)中，应用服务器(2)具有：认证请求部(223)，其当从终端(3)接受到用户的认证请求时，向认证服务器(1)发送生物体认证请求信息，该生物体认证请求信息包含用于识别自身的服务ID且用于请求进行用户的生物体认证；以及提供部(224)，当该生物体认证成功时，所述提供部(224)向终端(3)提供与应用有关的功能，认证服务器(1)具有：生物体认证指示部(121)，其当接收到生物体认证请求信息时，向由用户持有的便携终端(4)推送通知第一指示信息，该第一指示信息用于指示执行与该生物体认证请求信息中包含的服务ID对应的生物体认证；结果发送部(123)，当验证为从便携终端(4)接收到的与第一指示信息对应的生物体认证的认证结果合法时，所述结果发送部(123)向发送了生物体认证请求信息的应用服务器(2)发送认证结果。

说明书

技术领域

本发明涉及一种认证系统、认证方法、应用提供装置、认证装置、认证用程序。

背景技术

近年来，在提供Web应用等应用的网站的认证中，使用生物体认证来作为以往的密码认证的替代手段的事例增多。作为使用生物体认证进行的认证的结构，关注FIDO(FastIDentity Online：线上快速身份验证)UAF(Universal Authentication Framework：通用身份认证框架)，还开发出合规的产品(例如参照专利文献1)。

现有技术文献

专利文献

专利文献1：日本特开2017-152880号公报

发明内容

发明要解决的问题

在FIDO UAF中，无需在服务器侧保存生物体信息，因此安全性高且有效。然而，在应用的开发者导入FIDO UAF的情况下，需要导入执行遵照FIDO UAF的处理的认证服务器，存在导入障碍高的问题。

因此，本发明是鉴于这些点而完成的，其目的在于提供一种能够使得能够在应用服务器中容易地处理生物体认证的结果的认证系统、认证方法、应用提供装置、认证装置、认证用程序。

用于解决问题的方案

本发明的第一方式所涉及的认证系统是具备用于提供应用的多个应用提供装置以及对利用所述应用的用户进行生物体认证的认证装置的认证系统，其中，所述应用提供装置具有：认证请求部，其当从终端接受到所述用户的认证请求时，向所述认证装置发送生物体认证请求信息，该生物体认证请求信息包含用于识别所述应用提供装置的服务识别信息且用于请求进行所述用户的生物体认证；以及提供部，其从所述认证装置接收所述生物体认证的认证结果，当该认证结果表示所述生物体认证成功了时，所述提供部向所述终端提供与所述应用有关的功能，所述认证装置具有：生物体认证指示部，其当接收到所述生物体认证请求信息时，向由所述用户持有且能够执行生物体认证的便携终端推送通知第一指示信息，该第一指示信息用于指示执行与该生物体认证请求信息中包含的服务识别信息对应的所述生物体认证；验证部，其从所述便携终端接收与所述第一指示信息对应的所述生物体认证的认证结果，并验证该认证结果的合法性；以及结果发送部，当由所述验证部验证为所述认证结果合法时，所述结果发送部向发送了所述生物体认证请求信息的所述应用提供装置发送所述认证结果。

也可以是，所述认证装置还具有存储部，所述存储部将所述服务识别信息、用于识别所述用户的用户识别信息以及在向所述便携终端进行所述推送通知的情况下使用的通知用识别信息相关联地进行存储，所述认证请求部当从所述终端获取到所述用户识别信息时，向所述认证装置发送包含该用户识别信息和所述服务识别信息的生物体认证请求信息，所述生物体认证指示部当接收到所述生物体认证请求信息时，参照所述存储部，基于与所述用户识别信息及所述服务识别信息相关联的所述通知用识别信息，来向所述便携终端推送通知所述第一指示信息。

也可以是，所述存储部将所述服务识别信息、所述通知用识别信息以及被散列化后的所述用户识别信息相关联地进行存储，所述认证请求部当从所述终端获取到被散列化后的所述用户识别信息时，向所述认证装置发送包含所述服务识别信息和被散列化后的所述用户识别信息的所述生物体认证请求信息，所述生物体认证指示部当接收到所述生物体认证请求信息时，参照所述存储部，基于与所述服务识别信息及被散列化后的所述用户识别信息相关联的所述通知用识别信息，来向所述便携终端推送通知所述第一指示信息。

也可以是，所述认证请求部发送包含用于将所述用户识别信息散列化的脚本的地址且用于接受所述用户识别信息的输入的页，并从所述终端获取基于由所述便携终端基于该地址获取到的所述脚本而生成的被散列化后的所述用户识别信息。

也可以是，所述应用提供装置还具有登记请求部，所述登记请求部当从所述便携终端获取到包含所述用户识别信息和所述通知用识别信息且表示将所述用户登记到所述认证装置的登记请求的第一登记请求信息时，向所述认证装置发送包含该用户识别信息、该通知用识别信息以及所述服务识别信息且用于请求进行该用户的登记的第二登记请求信息，所述生物体认证指示部当接收到所述第二登记请求信息时，基于该第二登记请求信息中包含的所述通知用识别信息，来向所述便携终端推送通知第二指示信息，该第二指示信息用于指示执行与该第二登记请求信息中包含的服务识别信息对应的所述生物体认证，所述验证部从所述便携终端接收与所述第二指示信息对应的所述生物体认证的认证结果，并验证该认证结果的合法性，当由所述验证部验证为与所述第二指示信息对应的所述生物体认证的认证结果合法时，所述结果发送部将所述第二登记请求信息中包含的所述用户识别信息、所述服务识别信息以及所述通知用识别信息相关联地存储到所述存储部，并将所述用户的登记结果发送到所述便携终端和所述应用提供装置。

也可以是，所述登记请求部发送包含用于将所述用户识别信息散列化的脚本的地址且用于接受所述用户识别信息的输入的页，并获取包含基于由所述便携终端基于该地址获取到的所述脚本而生成的被散列化后的所述用户识别信息的第一登记请求信息。

也可以是，所述生物体认证指示部判定所述终端与所述便携终端是否为表示正被同一用户使用的信赖关系状态，当判定为所述终端与所述便携终端处于所述信赖关系状态时，推送通知所述第一指示信息。

也可以是，所述便携终端与所述认证装置共享用于生成一次性密码的公用密钥，所述便携终端基于所述公用密钥来生成并显示所述一次性密码，所述认证请求部从所述终端接受用于识别所述用户的用户识别信息和所述一次性密码，由此接受所述用户的认证请求，将包含该用户识别信息和该一次性密码的所述生物体认证请求信息发送到所述认证装置，所述生物体认证指示部当接收到所述生物体认证请求信息时，基于所述公用密钥来生成一次性密码，基于生成的一次性密码与所述生物体认证请求信息中包含的一次性密码是否一致，来判定所述终端与所述便携终端是否处于信赖关系状态。

也可以是，当所述用户的认证成功时，所述终端将在该认证中使用到的所述用户识别信息存储于所述终端，所述认证请求部当在从所述终端接受到所述用户的认证请求的情况下在所述终端已存储有所述用户识别信息时，从所述终端获取该用户识别信息，并向所述认证装置发送包含该用户识别信息和所述服务识别信息的所述生物体认证请求信息。

也可以是，所述认证装置还具有信赖构建部，所述信赖构建部当获取到所述生物体认证请求信息时，基于规定的信道识别信息将所述终端与所述便携终端以能够经由所述认证装置进行通信的方式连接，从所述便携终端接受所述终端与所述便携终端是否处于信赖关系，当接受到所述终端与所述便携终端处于所述信赖关系时，所述信赖构建部针对所述终端和所述便携终端存储表示所述终端与所述便携终端处于所述信赖关系的信赖关系信息，在针对所述终端和所述便携终端存储有所述信赖关系信息的情况下，所述生物体认证指示部判定为所述终端与所述便携终端处于所述信赖关系状态，向该便携终端推送通知所述第一指示信息。

所述验证部在所述认证装置接收到所述生物体认证请求信息前，从所述便携终端接收在所述便携终端中已进行的所述生物体认证的认证结果，并验证该认证结果的合法性，所述结果发送部响应于在由所述验证部验证为所述认证结果合法后接收到了所述生物体认证请求信息这一情况，向发送了所述生物体认证请求信息的所述应用提供装置发送所述认证结果。

也可以是，当所述认证结果表示所述生物体认证成功了时，所述结果发送部使所述终端或者所述便携终端显示表示所述用户的认证成功了的信息。

也可以是，当所述认证结果表示所述生物体认证成功了时，所述结果发送部使所述终端或者所述便携终端持续规定时间地显示表示所述用户的认证成功了的信息。

本发明的第二方式所涉及的认证方法是由认证系统执行的认证方法，该认证系统具备用于提供应用的多个应用提供装置以及对利用所述应用的用户进行认证的认证装置，所述认证方法包括以下步骤：所述应用提供装置当从终端接受到所述用户的认证请求时，向所述认证装置发送生物体认证请求信息，该生物体认证请求信息包含用于识别该应用提供装置的服务识别信息且用于请求进行所述用户的生物体认证；所述认证装置当接收到所述生物体认证请求信息时，向由所述用户持有且能够执行生物体认证的便携终端推送通知第一指示信息，该第一指示信息用于指示执行与所述生物体认证请求信息中包含的服务识别信息对应的所述生物体认证；所述认证装置从所述便携终端接收与所述第一指示信息对应的所述生物体认证的认证结果，并验证该认证结果的合法性；当所述认证装置验证为所述认证结果合法时，向发送了所述生物体认证请求信息的所述应用提供装置发送所述认证结果；所述应用提供装置从所述认证装置接收所述生物体认证的认证结果，当该认证结果表示所述生物体认证成功了时，所述应用提供装置向所述终端提供与所述应用有关的功能。

本发明的第三方式所涉及的应用提供装置是用于提供应用的应用提供装置，所述应用提供装置具备：认证请求部，其当从终端接受到用户的认证请求时，向用于进行所述用户的生物体认证的认证装置发送生物体认证请求信息，该生物体认证请求信息包含用于识别自身的服务识别信息且用于请求进行所述用户的生物体认证；以及提供部，其从所述认证装置接收所述生物体认证的认证结果，当该认证结果表示所述生物体认证成功了时，所述提供部向所述终端提供与所述应用有关的功能。

本发明的第四方式所涉及的认证装置是用于进行用户的生物体认证的认证装置，所述认证装置具备：生物体认证指示部，其当从用于提供应用的应用提供装置接收到包含用于识别所述应用提供装置的服务识别信息且用于请求进行所述用户的生物体认证的生物体认证请求信息时，向由所述用户持有且能够执行生物体认证的便携终端推送通知用于指示执行与该服务识别信息对应的所述生物体认证的指示信息；以及验证部，其从所述便携终端接收与所述指示信息对应的所述生物体认证的认证结果，并验证该认证结果的合法性；以及结果发送部，当由所述验证部验证为所述认证结果合法时，所述结果发送部向发送了所述生物体认证请求信息的所述应用提供装置发送所述认证结果。

本发明的第五方式所涉及的认证用程序使提供应用的计算机作为以下各部发挥功能：认证请求部，其当从终端接受到用户的认证请求时，向用于进行所述用户的生物体认证的认证装置发送生物体认证请求信息，该生物体认证请求信息包含用于识别自身的服务识别信息且用于请求进行所述用户的生物体认证；以及提供部，其从所述认证装置接收所述生物体认证的认证结果，当该认证结果表示所述生物体认证成功了时，所述提供部向所述终端提供与所述应用有关的功能。

根据本发明，起到能够使得能够在应用服务器中容易地处理生物体认证的结果这样的效果。

附图说明

图1是表示实施方式所涉及的认证系统的结构的图。

图2是示意性地表示实施方式所涉及的认证服务器和应用服务器的各服务器的功能结构的图。

图3是表示实施方式所涉及的认证服务器登记用户的情况下的处理流程的时序图。

图4是继图3之后的时序图。

图5是表示用户登记用的画面的一例的例子。

图6是表示示出进行了用户登记的服务的已登记服务画面的一例的图。

图7是表示在实施方式所涉及的认证系统中对用户进行认证的情况下的处理流程的时序图。

图8是继图7之后的时序图。

图9是表示在便携终端显示有表示用户的认证成功了的信息的例子的图。

图10是示意性地表示实施方式的认证服务器和应用服务器的各服务器的功能结构的变形例的图。

具体实施方式

[认证系统S的概要]

图1是表示实施方式所涉及的认证系统S的结构的图。认证系统S是进行生物体认证的系统，具备作为认证装置的认证服务器1、作为应用提供装置的应用服务器2、终端3以及便携终端4。

终端3例如是用户U使用的个人计算机。便携终端4例如是智能手机等移动电话，能够进行指纹认证等生物体认证。

终端3及便携终端4例如与认证服务器1及应用服务器2以能够经由LAN、手机网络、Wi-Fi(注册商标)等网络N进行通信的方式连接。

认证服务器1是使用便携终端4来进行用户U的生物体认证的服务器。

应用服务器2是向终端3提供应用的服务器。在实施方式中，设为设置有多个应用服务器2。

下面，用(1)～(6)来说明在认证系统S中进行的处理的过程，该说明与图1中的(1)～(6)对应。

(1)、(2)应用服务器2当从终端3接受到认证请求时，向认证服务器1进行针对终端3的用户进行生物体认证的请求。

(3)认证服务器1当从应用服务器2接受到针对终端3的用户进行生物体认证的请求时，向便携终端4推送通知用于指示执行生物体认证的指示信息，使便携终端4进行生物体认证。

(4)、(5)认证服务器1从便携终端4获取生物体认证的认证结果，当确认认证结果合法时，将认证结果发送到应用服务器2。

(6)应用服务器2当从认证服务器1接收到的认证结果表示生物体认证成功了时，向用户U提供应用所涉及的功能。

能够使得当在应用服务器2中进行用户U的认证时使用户U进行生物体认证的情况下，仅安装进行与生物体认证的请求有关的处理的功能以及获取认证结果的功能，应用服务器2的运用者就能够在应用服务器2中容易地处理生物体认证的结果。

[认证服务器1和应用服务器2的功能结构]

下面，参照图2来说明认证服务器1的功能结构和应用服务器2的功能结构。图2是示意性地表示实施方式所涉及的认证服务器1和应用服务器2的各服务器的功能结构的图。

如图2所示，认证服务器1具备通信部10、存储部11以及控制部12。通信部10与应用服务器2及便携终端4之间经由网络N进行数据的发送接收。存储部11是保存实现认证服务器1的计算机的BIOS(Basic Input Output System：基本输入输出系统)等的ROM(ReadOnly Memory：只读存储器)、成为认证服务器1的作业区域的RAM(Random Access Memory：随机存取存储器)、保存OS(Operating System：操作系统)、应用程序、包含在执行该应用程序时参照的各种数据库的各种信息的HDD(Hard Disk Drive：硬盘驱动器)、SSD(SolidState Drive固态驱动器)等的大容量存储装置。

控制部12是认证服务器1的CPU(Central Processing Unit：中央处理单元)、GPU(Graphics Processing Unit：图形处理单元)等处理器。控制部12通过执行存储部11中存储的程序，来作为生物体认证指示部12、验证部122、结果发送部123发挥功能。

另外，如图2所示，应用服务器2具备通信部20、存储部21以及控制部22。

通信部20与认证服务器1及终端3之间经由网络N进行数据的发送接收。

存储部21是保存实现应用服务器2的计算机的BIOS等的ROM、成为应用服务器2的作业区域的RAM、保存OS、应用程序、包含在执行该应用程序时参照的各种数据库的各种信息的HDD、SSD等的大容量存储装置。存储部21存储用于使控制部22作为登记请求部221、登记结果通知部222、认证请求部223以及提供部224发挥功能的认证用程序。

控制部22是应用服务器2的CPU、GPU等处理器，通过执行存储部21中存储的程序来作为登记请求部221、登记结果通知部222、认证请求部223以及提供部224发挥功能。

[在认证服务器1中进行的用户的登记]

在实施方式中，应用服务器2的登记请求部221当从用户U使用的便携终端4接受到向认证服务器1登记用户U的登记请求时，向认证服务器1请求进行用户U的登记。

认证服务器1的生物体认证指示部121当接受到用户U的登记请求时，指示便携终端4执行生物体认证。验证部122当从便携终端4接收到生物体认证的认证结果时，验证该认证结果的合法性。当验证为生物体认证的认证结果合法时，结果发送部123对用户U进行登记。

下面，按照认证系统S中的时序来说明认证服务器1对用户U进行登记的功能的详细内容。图3和图4是表示实施方式所涉及的认证服务器1对用户U进行登记的情况下的处理流程的时序图。

首先，应用服务器2的登记请求部221从便携终端4接受用户登记请求(S1)。具体地说，在便携终端4中安装有用于进行生物体认证且与认证服务器1协作的认证应用。便携终端4当执行认证应用时，显示认证应用的画面。图5和图6是示出实施方式所涉及的认证应用的画面的一例的图。图5是表示用户登记用的画面的一例的例子。图6是表示示出进行了用户登记的服务的已登记服务画面的一例的图。在图5和图6所示的画面中设置有显示为“生物体认证登记”的选项卡和显示为“已登记”的选项卡。当选择显示为“生物体认证登记”的选项卡时，便携终端4的认证应用显示图5所示的画面，当选择显示为“已登记”的选项卡时，便携终端4的认证应用显示图6所示的画面。此外，在下面的说明中，将便携终端4的认证应用也简称为认证应用。

在用户U向认证服务器1进行用户登记的情况下，显示图5所示的用户登记用的画面。在图5中显示有多个认证服务器1的各认证服务器1提供的服务的名称。用户U通过在图5所示的画面中选择服务的名称，来选择期望向认证服务器1进行用户登记的服务。当选择了服务时，认证应用向与该服务对应的应用服务器2进行用户登记请求。

登记请求部221当从认证应用接受到用户登记请求时，向便携终端4发送用于接受用户ID的输入的页即登录表单，并获取包含在登录表单中输入的用户ID的第一登记请求信息。

具体地说，登记请求部221当从认证应用接受到用户登记请求时，向便携终端4发送用于接受用户ID和密码的输入的登录表单(S2)。在登录表单中嵌入有用于从认证服务器1获取作为脚本的JavaScript(注册商标)的地址，该脚本用于将用户ID散列化且用于获取作为在向便携终端4进行推送通知的情况下使用的通知用识别信息的通知用ID。应用服务器2将登录表单与作为服务识别信息的服务ID相关联地进行管理。在此，服务ID是用于识别应用服务器2的识别信息，是规定长度的字符串。

认证应用当接收到登录表单时，使便携终端4的显示部(未图示)显示该登录表单(S3)。认证应用在使显示部显示登录表单的情况下，基于用于从认证服务器1获取脚本的地址来向认证服务器1发送脚本的获取请求(S4)。认证服务器1的控制部12当从便携终端4接收到脚本的获取请求时，将该脚本发送到该便携终端4(S5)。

认证应用经由登录表单从用户U接受用户ID和密码的输入(S6)。当输入用户ID时，认证应用基于从认证服务器1接收到的脚本来将该用户ID散列化(S7)。在图3中，将被散列化后的用户ID记述为h(用户ID)。另外，认证应用获取通知用ID。

在登录表单中设置有用于向应用服务器2发送用户ID和密码的发送按钮。当发送按钮被按下时，认证应用通过HTTPS POST方式向应用服务器2发送包含用户ID、密码、通知用ID以及基于脚本被散列化后的用户ID的第一登记请求信息(S8)。登记请求部221获取第一登记请求信息。

登记请求部221基于从便携终端4获取到的第一登记请求信息中包含的用户ID和密码来进行密码认证。在应用服务器2的存储部21中存储有将用户ID与密码进行了关联的密码认证信息。当在存储部21中相关联地存储有第一登记请求信息中包含的用户ID和密码时，登记请求部221判定为密码认证成功了。

在密码认证成功了的情况下，登记请求部221通过HTTPS POST方式向认证服务器1发送第二登记请求信息，该第二登记请求信息包含通知用ID、被散列化后的用户ID以及与登录表单相关联的服务ID且用于请求进行用户U的登记(S9)。认证服务器1的生物体认证指示部121从应用服务器2接收第二登记请求信息。通过这样，在认证服务器1中，不会保持原样地处理用户ID，因此能够防止用户ID从认证服务器1泄露。

生物体认证指示部121当接收到第二登记请求信息时，确定与第二登记请求信息中包含的服务ID相关联的应用ID(S10)。具体地说，在存储部11中相关联地存储有服务ID和应用ID，生物体认证指示部121确定与接收到的服务ID相关联的应用ID。应用ID例如是用于识别应用服务器2的信息，在认证应用中用以识别请求了生物体认证的服务。

生物体认证指示部121当确定出应用ID时，使用第二登记请求信息中包含的通知用ID来推送通知第二指示信息，该第二指示信息用于指示执行与第二登记请求信息中包含的服务ID对应的生物体认证(S11)。在此，第二指示信息中包含应用ID和被散列化后的用户ID。

认证应用当接收到第二指示信息时，例如通过与FIDO UAF对应的处理过程，来向认证服务器1进行用户登记。

具体地说，认证应用向认证服务器1发送Facet ID(日语：ファセットID)的获取请求(S12)。认证服务器1当接收到Facet ID的获取请求时，向便携终端4发送Facet ID(S13)。在此，Facet ID用以确认认证应用(客户端平台)的合法性。

认证应用对接收到的Facet ID进行验证(S14)。之后，认证应用向认证服务器1发送表示用户登记请求的信息(S15)。设为表示用户登记请求的信息中包含应用ID、被散列化后的用户ID。

图3中的连结点A、连结点B以及连结点C分别表示与图4中的连结点A、连结点B以及连结点C连结。下面，将说明转到图4的时序图所示的处理。

认证服务器1的生物体认证指示部121当接收到表示用户登记请求的信息时，生成作为随机的字符串的质询信息。另外，生物体认证指示部121选择用以选择生物体认证的认证方式的策略信息。生物体认证指示部121将生成的质询信息和选择出的策略信息发送到便携终端4(S16)。

认证应用当接收到质询信息和策略信息时，基于该策略信息来选择生物体认证的认证方式(S17)。

认证应用基于选择出的认证方式来从便携终端4的用户接受生物体信息(S18)。例如，认证应用接受作为生物体信息的、表示用户U的指纹的指纹信息。

认证应用基于由用户U预先在认证应用中登记的生物体信息和在S18中接受到的生物体信息，来验证生物体信息(S19)。

认证应用当验证为在S18中接受到的生物体信息合法时，生成与应用ID对应的认证用私钥、认证用公钥以及用于识别这些秘钥的秘钥ID(S20)。

认证应用使用预先在认证应用中登记的认证用证书的私钥，来对生成的认证用公钥、秘钥ID、认证证书(Attestation Cert)以及AAID(Authenticator Attestation ID：认证器认证ID)进行签名，生成签名数据(S21)。认证应用将生成的签名数据发送到认证服务器1(S22)。

认证服务器1的验证部122当从便携终端4接收到表示与第二指示信息对应的生物体认证的认证结果的签名数据时，验证签名数据的合法性(S23)。具体地说，在存储部11中存储有在认证应用进行了登记的认证用证书的公钥，验证部122使用该公钥来验证接收到的签名数据是否合法。

当验证为表示与第二指示信息对应的生物体认证的认证结果的签名数据合法时，认证服务器1的结果发送部123将第二登记请求信息中包含的应用ID、通知用ID、被散列化后的用户ID、签名数据中包含的认证用公钥、秘钥ID相关联地存储于存储部11，由此对用户U进行登记(S24)。

结果发送部123将用户U的登记结果发送到便携终端4和应用服务器2。例如，结果发送部123响应于从应用服务器2获取到了用户U的登记结果的获取请求这一情况，发送该登记结果(S25、S26)。另外，结果发送部123响应于对用户U进行了登记这一情况，向发送了第二指示信息的便携终端4发送登记结果(S27)。当便携终端4接收到登记结果时，认证应用在图6所示的画面中追加向认证服务器1进行了用户登记的服务。

此外，设为在图3和图4中示出的时序图中的S13到S24所表示的与用户登记相关的处理流程同FIDO UAF对应，但不限于此，也可以通过其它的处理过程来进行用户登记。

[用户的认证]

在实施方式中，应用服务器2的认证请求部223当从用户U使用的终端3接受到用户U的认证请求时，向认证服务器1发送生物体认证请求信息，该生物体认证请求信息包含服务ID且用于请求进行用户U的生物体认证。

认证服务器1的生物体认证指示部121当接收到生物体认证请求信息时，指示由用户U持有且能够执行生物体认证的便携终端4执行与生物体认证请求信息中包含的服务ID对应的生物体认证。验证部122当从便携终端4接收到生物体认证的认证结果时，验证该认证结果的合法性。当验证为生物体认证的认证结果合法时，判定为用户U的认证成功了，结果发送部123向发送了生物体认证请求信息的应用服务器2发送认证结果。

应用服务器2的提供部224从认证服务器1接收生物体认证的认证结果，当该认证结果表示生物体认证成功了时，应用服务器2的提供部224向终端3提供与应用有关的功能。

下面，按照认证系统S中的时序来说明认证服务器1对用户U进行认证的功能的详细内容。图7和图8是表示在实施方式所涉及的认证系统S中对用户U进行认证的情况下的处理流程的时序图。

首先，应用服务器2的认证请求部223当从终端3接受到认证请求时(S101)，向终端3发送登录表单(S102)。登录表单中包含认证服务器1的地址，该认证服务器1的地址是作为用于将用户ID散列化的脚本的JavaScript的地址。应用服务器2将登录表单与服务ID相关联地进行管理。

终端3当接收到登录表单时，使终端3的显示部(未图示)显示该登录表单(S103)。终端3在使显示部显示登录表单的情况下，基于用于从认证服务器1获取脚本的地址来向认证服务器1发送脚本的获取请求(S104)。认证服务器1的控制部12当从终端3接收到脚本的获取请求时，将该脚本发送到该终端3(S105)。

终端3经由登录表单从用户U接受用户ID的输入(S106)。此外，在进行用户U的认证时，进行基于生物体认证的认证来代替基于密码的认证，因此设为在登录表单中不接受密码的输入。当输入用户ID时，终端3基于从认证服务器1接收到的脚本来将该用户ID散列化(S107)。

在登录表单中设置有用于向应用服务器2发送用户ID的发送按钮。当发送按钮被按下时，终端3通过HTTPS POST方式向应用服务器2发送用户ID和被散列化后的用户ID(S108)。认证请求部223从终端3获取用户ID和被散列化后的用户ID。

认证请求部223当从终端3获取到用户ID和被散列化后的用户ID时，参照存储部21来判定是否存储有该用户ID。认证请求部223当判定为在存储部21中已存储有从终端3获取到的用户ID时，向认证服务器1请求进行与该用户ID对应的用户U的生物体认证。具体地说，认证请求部223将包含被散列化后的用户ID以及与发送到终端3的登录表单相关联的服务ID的生物体认证请求信息发送到认证服务器1，由此向认证服务器1请求进行用户U的生物体认证(S109)。

认证服务器1的生物体认证指示部121从终端3接收生物体认证请求信息。生物体认证指示部121当接收到生物体认证请求信息时，确定应用ID和通知用ID。具体地说，生物体认证指示部121参照存储部11来确定与生物体认证请求信息中包含的服务ID及被散列化后的用户ID相关联的通知用ID。另外，生物体认证指示部121当接收到生物体认证请求信息时，参照存储部11来确定与生物体认证请求信息中包含的服务ID相关联的应用ID。

生物体认证指示部121基于确定出的通知用ID来向便携终端4推送通知第一指示信息，该第一指示信息用于指示执行与服务ID对应的生物体认证(S111)。在此，第一指示信息中包含应用ID和被散列化后的用户ID。

便携终端4的认证应用当接收到第一指示信息时，例如通过与FIDO UAF对应的处理过程来进行生物体认证。

具体地说，认证应用向认证服务器1发送Facet ID的获取请求(S112)。认证服务器1当接收到Facet ID的获取请求时，向便携终端4发送Facet ID(S113)。

认证应用对接收到的Facet ID进行验证(S114)。之后，认证应用向认证服务器1发送表示认证开始请求的信息(S115)。设为表示认证开始请求的信息中包含应用ID和被散列化后的用户ID。

图7中的连结点E、连结点F、连结点G以及连结点H分别表示与图8中的连结点E、连结点F、连结点G以及连结点H连结。下面，将说明转到图8的时序图所示的处理。

认证服务器1的生物体认证指示部121当接受到认证开始请求时，生成作为随机的字符串的质询信息。另外，生物体认证指示部121选择用以选择生物体认证的认证方式的策略信息。生物体认证指示部121将生成的质询信息和选择出的策略信息发送到便携终端4(S116)。

认证应用当接收到质询信息和策略信息时，基于该策略信息来选择生物体认证的认证方式(S117)。

认证应用基于选择出的认证方式来从便携终端4的用户接受生物体信息(S118)。

认证应用基于由用户U预先在认证应用中登记的生物体信息和在S118中接受到的生物体信息，来验证生物体信息(S119)。

认证应用当验证为在S118中接受到的生物体信息合法时，使用与第一指示信息中包含的应用ID对应的认证用私钥，来对验证结果和质询信息进行签名，生成签名数据(S120)。认证应用将作为与第二指示信息对应的生物体认证的认证结果而生成的签名数据发送到认证服务器1，并且将与认证用私钥对应的秘钥ID发送到认证服务器1(S121)。

认证服务器1的验证部122当从便携终端4接收到表示与第二指示信息对应的生物体认证的认证结果的签名数据时，验证签名数据的合法性(S122)。具体地说，验证部122参照存储部11来确定与同签名数据一起接收到的秘钥ID相关联的认证用公钥。验证部122使用确定出的认证用公钥来验证接收到的签名数据是否合法。

结果发送部123将用户U的认证结果发送到便携终端4和应用服务器2。具体地说，应用服务器2的提供部224向认证服务器1发送用户U的认证结果的获取请求(S123)。结果发送部123响应于获取到了用户U的认证结果的获取请求这一情况，向应用服务器2发送该认证结果(S124)。另外，结果发送部123响应于对用户U进行了认证这一情况，向发送了第一指示信息的便携终端4发送认证结果(S125)。

当从认证服务器1接收到的生物体认证的认证结果表示生物体认证成功了时，应用服务器2的提供部224向终端3提供与应用有关的功能。具体地说，当从认证服务器1接收到的生物体认证的认证结果表示生物体认证成功了时，提供部224向终端3发送表示生物体认证成功了的认证完成页(S126)。在此，在认证完成页中显示有表示认证成功了的信息并设置有OK按钮，该OK按钮用于向应用服务器2请求用于提供应用服务器2所提供的应用的功能的应用页。

终端3在显示部中显示接收到的认证完成页。当在认证完成页中按下OK按钮时，终端3向应用服务器2发送应用页的获取请求(S127)。此外，应用页的获取请求也可以通过重定向来进行。应用服务器2的提供部224当接受到应用页的获取请求时，向终端3发送应用页(S128)。

此外，也可以是，当认证结果表示生物体认证成功了时，结果发送部123使终端3或者便携终端4显示表示用户的认证成功了的信息。例如，当认证结果表示生物体认证成功了时，结果发送部123使终端3或者便携终端4持续规定时间地显示表示用户U的认证成功了的信息。图9是表示在便携终端4显示有表示用户U的认证成功了的信息的例子的图。在图9中能够确认出，作为表示与服务B对应的用户U的认证成功了的信息，在与服务B对应的区域41显示有表示用户U的认证成功了的图像即认证成功图像。另外，能够确认出，在区域41显示有表示认证成功了的信息的显示期间、即认证的有效期间。

[针对与终端3处于信赖关系的便携终端4的推送通知]

在实施方式中存在如下问题：在进行用户认证的情况下，当用户U在登录表单中输入与自身不同的用户的用户ID时，向该不同的用户持有的便携终端进行推送通知。因此，实施方式所涉及的认证服务器1的生物体认证指示部121判定终端3与便携终端4是否为被同一用户U使用的信赖关系状态，认证服务器1的生物体认证指示部121当判定为终端3与便携终端4处于信赖关系状态时，推送通知第一指示信息。下面，说明向与终端3处于信赖关系状态的便携终端4推送通知第一指示信息的例子。

首先，便携终端4和认证服务器1共享用于生成一次性密码的公用密钥。例如，认证服务器1的结果发送部123响应于对用户U进行了登记这一情况，生成用于生成密码的公用密钥。结果发送部123将生成的公用密钥与被散列化后的用户ID及应用ID相关联地进行存储，并且将登记结果和该公用密钥发送到便携终端4。在向认证服务器1登记用户U时，便携终端4将接收到的公用密钥与进行了用户的登记的服务相关联地进行存储。由此，在便携终端4与认证服务器1之间共享公用密钥。

便携终端4的认证应用针对图6所示的示出进行了用户登记的服务的已登记服务画面显示与多个服务分别对应的一次性密码。例如，便携终端4的认证应用每隔规定时间基于用于生成密码的公用密钥和当前的时刻来生成一次性密码，并显示于便携终端4的显示部。

认证请求部223从终端3接受用户ID和一次性密码，由此接受用户U的认证请求。例如，认证请求部223向终端3发送用于接受用户ID和一次性密码的输入的登录表单，从终端3接受用户ID和一次性密码。认证请求部223将包含用户ID和一次性密码的生物体认证请求信息发送到认证服务器1。

生物体认证指示部121当从应用服务器2接收到生物体认证请求信息时，基于用于生成密码的公用密钥和当前的时刻来生成一次性密码，基于生成的一次性密码与生物体认证请求信息中包含的一次性密码是否一致，来判定终端3与便携终端4是否处于信赖关系状态。当生成的一次性密码与生物体认证请求信息中包含的一次性密码一致时，生物体认证指示部121判定为终端3与便携终端4处于信赖关系状态，向该便携终端4发送第一指示信息。

此外，也可以是，在输入了一次性密码后用户U的认证成功了时，终端3将基于被输入到登录表单的用户ID而被散列化后的用户ID存储于终端3。例如，应用服务器2的提供部224在要向终端3发送表示生物体认证成功了的认证完成页的情况下，在该认证完成页中嵌入用于存储被散列化后的用户ID的脚本的地址，在使终端3显示认证完成页的情况下，使终端3获取该脚本。终端3基于获取到的脚本存储被散列化后的用户ID，来作为与登录表单对应的cookie信息。

认证请求部223在从终端3接受到用户U的认证请求的情况下，判定终端3中是否存储有被散列化后的用户ID。而且，认证请求部223当判定为终端3中已存储有被散列化后的用户ID时，不利用登录表单从终端3接受用户ID的输入，而是获取该被散列化后的用户ID。认证请求部223将包含该被散列化后的用户ID、与登录表单相关联的服务ID、表示自动地获取了用户ID的信息的生物体认证请求信息发送到认证服务器1。

在从应用服务器2接收到的生物体认证请求信息中包含表示自动地获取到了用户ID的信息的情况下，生物体认证指示部121判定为终端3与便携终端4处于信赖关系状态，向该便携终端4发送第一指示信息。

通过这样，认证系统S在终端3与便携终端4之间构建了信赖关系之后，省略用户ID的输入，从而能够减少与用户认证相关的用户的操作量。

另外，认证服务器1也可以通过其它方法来构建终端3与便携终端4之间的信赖关系状态。图10是示意性地表示实施方式的认证服务器1和应用服务器2的各服务器的功能结构的变形例的图。如图10所示，认证服务器1还具备信赖构建部124。

当认证服务器1获取到生物体认证请求信息时，信赖构建部124基于规定的信道识别信息将终端3与便携终端4以能够经由认证服务器1进行通信的方式连接，从便携终端4接受终端3与便携终端4是否处于信赖关系。例如，在进行用户认证时向终端3发送的登录表单中输入用户ID，并使该登录表单中中包含用于在向认证服务器1发送生物体认证请求信息的定时将终端3与认证服务器1以能够通过规定的信道识别信息进行通信的方式连接的连接用脚本的地址，基于该脚本将认证服务器1与终端3以能够通信的方式连接。

另外，在向便携终端4进行推送通知时，信赖构建部124向便携终端4通知规定的信道ID。而且，信赖构建部124通过使用在服务器端运行的JavaScript环境即Node.js和用于经由认证服务器1进行终端间的双向通信的WebSocket，来将终端3与便携终端4以能够经由认证服务器1进行通信的方式连接。

信赖构建部124使便携终端4显示用于选择终端3与便携终端4是否处于信赖关系的选择按钮，并接受终端3与便携终端4是否处于信赖关系。信赖构建部124当从便携终端4接受到终端3与便携终端4处于信赖关系时，将规定的信道识别信息作为信赖关系信息存储于终端3和便携终端4。另外，信赖构建部124将被散列化后的用户ID存储于终端3。

在终端3和便携终端4中存储有规定的信道识别信息的状态下，在终端3中显示登录表单的情况下，终端3与便携终端4以能够基于自身存储的规定的信道识别信息经由认证服务器1进行通信的方式连接。例如，在终端3中存储有规定的信道识别信息的情况下，连接用脚本中包含用于经由认证服务器1来与便携终端4进行通信连接的代码，终端3基于该代码而与便携终端4以能够经由认证服务器1进行通信的方式连接。

在终端3和便携终端4中存储有规定的信道识别信息(信赖关系信息)且终端3与便携终端4以能够经由认证服务器1进行通信的方式连接的情况下，生物体认证指示部121判定为终端3和便携终端4处于信赖关系状态，向该便携终端4推送通知第一指示信息。

具体地说，首先，在终端3与便携终端4基于规定的信道识别信息以能够进行通信的方式连接的情况下，认证请求部223响应于便携终端4被进行了操作这一情况，从终端3获取用户ID。例如，在便携终端4中显示有图6所示的画面，响应于在该画面中选择了服务这一情况，向终端3通知选择了服务这一情况。终端3当被通知选择了服务这一情况时，向应用服务器2发送与该服务对应地存储于存储部的被散列化后的用户ID。

应用服务器2的认证请求部223向认证服务器1发送包含该被散列化后的用户ID、与发送到终端3的登录表单相关联的服务ID、表示自动地获取到了用户ID的信息的生物体认证请求信息。

在从应用服务器2接收到的生物体认证请求信息中包含表示自动地获取到了用户ID的信息的情况下，生物体认证指示部121判定为终端3与便携终端4处于信赖关系状态，向该便携终端4发送第一指示信息。

通过这样，认证系统S能够防止向与用户U不同的用户持有的便携终端进行推送通知。

此外，设为在图7至图8中示出的时序图中的S112至S122所表示的与生物体认证相关的处理流程与FIDO UAF对应，但不限于此，也可以进行与其它的处理过程对应的生物体认证。

[实施方式所涉及的认证系统S起到的效果]

如以上说明的那样，根据实施方式所涉及的认证系统S，应用服务器2当从用户U使用的终端3接受到用户U的认证请求时，将包含用于识别应用服务器2的服务ID且用于请求进行用户U的生物体认证的生物体认证请求信息发送到认证服务器1，由此向认证服务器1请求生物体认证。认证服务器1当接收到生物体认证请求信息时，向由用户U持有且能够执行生物体认证的便携终端4推送通知第一指示信息，该第一指示信息用于指示执行与该生物体认证请求信息中包含的服务ID对应的生物体认证，认证服务器1从便携终端4接收生物体认证的认证结果。认证服务器1当验证为认证结果合法时，向发送了生物体认证请求信息的应用服务器2发送认证结果。应用服务器2从认证服务器1接收生物体认证的认证结果，在该认证结果表示生物体认证成功了时，应用服务器2向终端3提供与应用有关的功能。

通过这样，能够使得当在应用服务器2中进行用户U的认证时进行生物体认证的情况下，在应用服务器2中仅安装进行与生物体认证的请求相关的处理的功能以及在接收到认证结果的情况下向终端3提供与应用有关的功能，应用服务器2的运用者就能够在应用服务器2中容易地处理生物体认证的结果。因此，认证系统S能够使得能够在应用服务器2中容易地处理生物体认证的结果。

[变形例1]

以上，使用实施方式对本发明进行了说明，但本发明的技术范围不限定于上述实施方式所记载的范围，能够在其主旨的范围内进行各种变形和变更。例如，在上述的实施方式中，认证服务器1响应于从应用服务器2接受到了生物体认证的请求这一情况，向便携终端4推送通知用于指示执行生物体认证的第一指示信息，使便携终端4执行生物体认证，但不限于此。

例如，也可以设为，在从终端3接受到生物体认证的请求前执行便携终端4中的生物体认证。在该情况下，用户U在图6所示的画面中进行选择用于进行生物体认证的服务的操作。在便携终端4中预先将服务名称、应用ID以及被散列化后的用户ID相关联地进行了存储。这些信息以使用AES(Advanced Encryption Standard：高级加密标准)-GCM(Galois/Counter Mode：伽罗瓦/计数器模式)进行了加密的状态被存储于遵照TEE(TrustedExecution Environment：可信执行环境)的安全区域上。如图6所示，便携终端4显示服务名称和用于识别服务的唯一代码，接受选择服务的操作。唯一代码例如是基于应用ID和被散列化后的用户ID来生成。认证应用响应于选择了服务这一情况，与图7所示的S115的处理同样地向认证服务器1发送包含应用ID和被散列化后的用户ID的认证开始请求。之后，在便携终端4与认证服务器1之间执行图8所示的S116～S122的处理。

认证服务器1的验证部122在认证服务器1接收生物体认证请求信息前从便携终端4接收在便携终端4中已进行的生物体认证的认证结果，并验证该认证结果的合法性。验证部122当验证为认证结果合法时，使将认证开始请求中包含的被散列化后的用户ID、应用ID以及认证结果进行了关联的预先认证信息在存储部11中存储规定时间(例如5分钟)。

在由验证部122验证为认证结果合法后，结果发送部123响应于认证服务器1接收到了生物体认证请求信息这一情况，向发送了该生物体认证请求信息的应用服务器2发送认证结果。具体地说，结果发送部123当接收到生物体认证请求信息时，确定与生物体认证请求信息中包含的服务ID相关联的应用ID。而且，在存储部11中已存储有与生物体认证请求信息中包含的被散列化后的用户ID及确定出的应用ID对应的预先认证信息的情况下，结果发送部123向发送了生物体认证请求信息的应用服务器2发送预先认证信息中包含的认证结果。

通过这样，用户U能够通过预先完成认证，来接受应用服务器2的功能提供。

[变形例2]

认证系统S可以在用户进入活动会场时使用。在该情况下，用户U在活动会场中的入场接待前，预先进行与用于提供同活动对应的服务的应用服务器2对应的用户登记。在该情况下，用户ID及密码与票相关联，例如在发行票时通知给用户U。

用户U在活动会场使用认证系统S进行用户U的认证。当用户U的认证成功时，认证服务器1的结果发送部123使用户U的便携终端4持续规定时间地显示表示用户U的认证成功了的认证成功图像。在活动会场中管理入场的工作人员通过确认在便携终端4中显示有认证成功图像，来允许用户U入场。此外，在从显示认证成功图像起经过了规定时间、从而用户U的便携终端4不再显示该信息的情况下，用户U再次进行认证。通过这样，认证系统S能够防止第三者冒充购票者。

[变形例3]

此外，在变形例2中，设为当认证成功时结果发送部123使便携终端4显示认证成功图像，但不限于此。例如也可以是，结果发送部123基于TOTP(Time-based One-timePassword：基于时间的一次性密码)来生成持续规定时间有效的表示令牌的QR码(注册商标)，使便携终端4显示该QR码。在活动会场例如设置有能够读取QR码的入场管理装置，用户U使该入场管理装置读取显示于便携终端4的QR码。入场管理装置判定QR码表示的令牌是否有效，使自身的显示部显示判定结果。在活动会场中管理入场的工作人员通过确认入场管理装置中显示有表示令牌有效的判定结果，来允许用户U入场。此外，也可以是，入场管理装置进行控制，以使得在判定为QR码表示的令牌有效的情况下，向入场门发送将门打开的信号即控制信号，来将门打开。

[变形例4]

另外，在变形例2和变形例3中，设为终端3由用户所持有，但不限于此。例如，终端3也可以是由管理入场的工作人员使用的终端。当在终端3中显示登录表单并由用户U输入用户ID时，从认证服务器1向便携终端4进行推送通知，进行用户U的生物体认证。当用户U的生物体认证成功时，在终端3中显示表示用户U的生物体认证成功了的信息。当在终端3中显示表示用户U的生物体认证成功了的信息时，管理入场的工作人员允许用户U入场。

此外，在本变形例中，设为用户U向终端3输入用户ID，但不限于此。例如也可以是，在应用服务器2中预先将使用户U持有的便携终端4的电话号码与用户ID相关联地进行存储。而且，也可以设为，应用服务器2响应于在终端3中接受到电话号码的输入这一情况，确定与该电话号码对应的用户ID，向认证服务器1请求进行与该用户ID对应的用户的生物体认证。在该情况下，终端3也可以接受电话号码的后4位的输入，应用服务器2也可以基于该电话号码的后4位来确定用户ID。在登记有多个与所输入的电话号码的后4位一致的电话号码的情况下，应用服务器2使终端3显示与这些电话号码相关联的多个用户ID，从用户U接受对自身的用户ID的选择。

[变形例5]

另外，在上述的实施方式中，设为终端3与便携终端4不同，但不限于此。便携终端4也可以作为终端3发挥功能。即使是用户U仅持有便携终端4的情况，也能够通过与实施方式相同的过程来进行用户认证。

另外，例如装置的分散/集成的具体的实施方式不限于以上的实施方式，其全部或一部分能够以在功能或者物理上以任意的单位分散/集成的方式构成。另外，通过多个实施方式的任意组合而产生的新的实施方式也包含于本发明的实施方式。通过组合而产生的新的实施方式的效果也同时具有原实施方式的效果。

附图标记说明

1：认证服务器；10：通信部；11：存储部；12：控制部；121：生物体认证指示部；122：验证部；123：结果发送部；124：信赖构建部；2：应用服务器；20：通信部；21：存储部；22：控制部；221：登记请求部；222：登记结果通知部；223：认证请求部；224：提供部；3：终端；4：便携终端；S：认证系统。