JP7714569B2 - 暗号化認証のためのシステム及び方法 - Google Patents

Description

関連出願の相互参照
[0001] 本願は、参照によりその全内容が本明細書に援用される、２０２０年４月１７日に出願された米国仮特許出願第６３／０１１，７７５号の優先権及び利益を主張する。

発明の背景
[0002] １つ又は複数のオンライン資源にアクセスするための認証は、個人情報窃盗又は他の種類の窃盗を防ぐために重要である。オンラインサービスプロバイダは、個人の識別子を検査するためにより多くのセキュリティ層を追加し始めている。一例では、個人を認証するためにＦＩＤＯ（「Fast Identity Online」）認証を利用することができる。他の種類の近接ベース認証が使用され得る。

[0003] しかし、特定の装置は、ＦＩＤＯ認証又は他の種類の近接ベース認証をサポートすることができない場合がある。一部の例では、この種の認証は、装置が有さない種類のハードウェアを必要とし得る。他の例では、装置は、かかる認証に必要であり得る特定のコンポーネント又はハードウェアの使用を制限し得るソフトウェア又は他のアプリケーションを有し得る。これは、オンライン資源にアクセスすることができるようにユーザが特定の装置を使用することを妨げ得る。

発明の概要
[0004] 暗号化認証のためのシステム及び方法の改善された方法に対する必要性が存在する。ユーザが、装置により、たとえその装置が認証の種類（例えば、ＦＩＤＯ認証、近接ベース認証）を概してサポートしなくても、オンライン資源にアクセスできるようにし得るシステム及び方法に対する更なる必要性が存在する。

[0005] ログイン装置によってサポートされていない認証の種類を実行するために、オーセンティケータ装置の使用を可能にし得るシステム及び方法が提供される。例えば、ユーザは、ログイン装置によってオンライン資源にアクセスすることを望み得るが、そのログイン装置は、ＦＩＤＯ認証をサポートしない場合がある。ユーザは、ログイン装置上に表示されるグラフィカルコードを走査するためにオーセンティケータ装置を使用することができる。グラフィカルコードは、オーセンティケータ装置が認証（例えば、ＦＩＤＯ認証）を行うことを可能にし得るブラウザ又はアプリケーションをユーザがオーセンティケータ装置上で開くことを可能にし得る。資源のホストに認証の確認を提供することができ、ユーザは、ログイン装置上で資源にアクセスすることを許可され得る。

[0006] 本発明の態様は、認証を提供するための方法であって、ログイン装置に一意のＵＲＬ（統一資源ロケータ）を提供することであって、前記ＵＲＬは、ログイン装置上に表示されるグラフィカルコード内に符号化されるように構成される、提供すること、オーセンティケータ装置との接続を確立することであって、接続は、オーセンティケータ装置が、ログイン装置上に表示されるグラフィカルコードを撮像し、及びグラフィカルコード内に符号化されているＵＲＬにアクセスするときに提供される、確立すること、及び近接ベース認証を行うオーセンティケータ装置と通信することを含む方法を対象とする。

[0007] 一態様では、認証を提供するための方法が提供される。この方法は、一意のＵＲＬを生成することであって、ＵＲＬは、サービスプロバイダによって提供される資源にアクセスするためのログイン装置上でレンダリングされるグラフィカルコード内に符号化される、生成すること、一意のＵＲＬを使用して、ログイン装置とユーザ装置との間のネットワーク接続を確立することであって、ネットワーク接続は、ユーザ装置が、ログイン装置上に表示されるグラフィカルコードを撮像し、及びグラフィカルコード内に符号化されているＵＲＬにアクセスするときに確立される、確立すること、及び近接ベース認証を行うユーザ装置と通信することを含む。

[0008] 一部の実施形態では、グラフィカルコードは、ＱＲコードである。一部の実施形態では、一意のＵＲＬは、ウェブソケット接続を介してログイン装置に提供される。一部の実施形態では、グラフィカルコードは、ウェブソケット接続を介してログイン装置に提供される。一部の実施形態では、グラフィカルコードは、ログイン装置上のネイティブアプリケーション内でレンダリングされる。一部の事例では、グラフィカルコードは、ネイティブアプリケーションによって生成される。

[0009] 一部の実施形態では、ログイン装置とユーザ装置との間のネットワーク接続は、ウェブソケット接続である。一部の実施形態では、近接ベース認証は、ＦＩＤＯ（Fast IDentity Online）認証を含む。一部の事例では、ＦＩＤＯ認証のためのチャレンジ及びレスポンスは、ネットワーク接続を介して伝送される。例えば、チャレンジ及びレスポンスは、ユーザ装置のネイティブブラウザを介して伝達される。

[0010] 一部の実施形態では、一意のＵＲＬは、サービスプロバイダのネットワークドメイン内にある。一部の事例では、一意のＵＲＬは、ドメイン名及び一意識別子を含む。

[0011] 関係するが、別の態様では、認証を提供するためのシステムが提供される。このシステムは、一意のＵＲＬを生成するように構成されるトランスポートサービスであって、ＵＲＬは、サービスプロバイダによって提供される資源にアクセスするためのログイン装置上でレンダリングされるグラフィカルコード内に符号化される、トランスポートサービスと、ユーザ装置であって、（ｉ）一意のＵＲＬを使用して、ログイン装置とのネットワーク接続を確立することであって、ネットワーク接続は、ユーザ装置が、ログイン装置上に表示されるグラフィカルコードを撮像し、及びグラフィカルコード内に符号化されているＵＲＬにアクセスするときに確立される、確立すること、ｉｉ）近接ベース認証を行い、及びネットワーク接続を介してログイン装置と通信して、近接ベース認証のレスポンスを伝送することを行うように構成されるユーザ装置とを含む。

[0012] 一部の実施形態では、グラフィカルコードは、ＱＲコードである。一部の実施形態では、一意のＵＲＬは、ウェブソケット接続を介してログイン装置に提供される。一部の実施形態では、グラフィカルコードは、トランスポートサービスによって生成され、及びウェブソケット接続を介してログイン装置に提供される。一部の実施形態では、グラフィカルコードは、ログイン装置上のネイティブアプリケーション内でレンダリングされる。一部の事例では、グラフィカルコードは、ネイティブアプリケーションによって生成される。

[0013] 一部の実施形態では、ログイン装置とユーザ装置との間のネットワーク接続は、ウェブソケット接続である。一部の実施形態では、近接ベース認証は、ＦＩＤＯ認証を含む。一部の事例では、ＦＩＤＯ認証のためのチャレンジは、ネットワーク接続を介して伝送される。例えば、チャレンジ及びレスポンスは、ユーザ装置のネイティブブラウザを介して伝達される。一部の実施形態では、一意のＵＲＬは、サービスプロバイダのネットワークドメイン内にある。一部の事例では、一意のＵＲＬは、ドメイン名及び一意識別子を含む。

[0014] 本開示の更なる態様及び利点は、以下の詳細な説明から当業者に容易に明らかになり、以下の詳細な説明では、本開示の例示的実施形態のみを示し、説明する。理解されるように、本開示は、他の及び異なる実施形態が可能であり、その幾つかの詳細は、様々な明白な点において全て本開示から逸脱することなしに修正が可能である。従って、図面及び説明は、本質的に限定ではなく、例示と見なすべきである。

参照による援用
[0015] 本明細書で言及する全ての刊行物、特許及び特許出願は、個々の刊行物、特許又は特許出願が参照により援用されると具体的に及び個別に示される場合と同程度に参照により本明細書に援用される。参照により援用される刊行物及び特許又は特許出願が、本明細書に含まれる開示と矛盾する限り、本明細書は、そのようないかなる矛盾する資料にも優先及び／又は先行することを意図される。

図面の簡単な説明
[0016] 本発明の新規な特徴は、添付の特許請求の範囲で詳細に記載される。本発明の原理が利用される例示的実施形態を記載する以下の詳細な説明及び添付図面（本明細書では「図面」及び「図」とも呼ぶ）を参照することにより、本発明の特徴及び利点のより詳細な理解が得られる。

[0017]本発明の実施形態による、ログイン装置にログインするのに役立つオーセンティケータ装置をユーザが利用する図を示す。 [0018]本発明の実施形態による、第２の装置を用いて第１の装置にログインするための例示的プロセスを示す。 [0019]本発明の実施形態による、第２の装置を用いて第１の装置においてアカウントを登録するための例示的プロセスを示す。 [0020]本発明の実施形態による、認証セッション中に第２の装置がグラフィカルコードを捕捉する概略図を示す。 [0021]本発明の実施形態による、認証に役立つウェブソケットの使用を示す例示的な概略図を示す。 [0022]本発明の実施形態による、認証に役立つウェブソケットの使用を示す別の例示的な概略図を示す。 [0023]本発明の実施形態による、資源にアクセスするためのユーザを認証するための例示的方法を示す。 [0024]本発明の実施形態による、資源にアクセスするためのユーザを認証するための例示的方法の別の流れ図を示す。 [0025]本発明の実施形態による、１つ又は複数の認証システムを示す例示的なネットワークレイアウトを示す。 [0026]本発明の実施形態による例示的なコンピュータシステムを示す。

詳細な説明
[0027] 本発明の様々な実施形態を本明細書で示し、説明しているが、かかる実施形態は、例として示すに過ぎないことが当業者に明らかになる。本発明から逸脱することなく、多数の改変形態、変更形態及び置換形態が当業者に想到され得る。本明細書に記載する本発明の実施形態に対する様々な代替形態が用いられ得ることを理解すべきである。

[0028] 本発明は、暗号化認証のためのシステム及び方法を提供する。本明細書に記載する本発明の様々な態様は、以下に記載する特定の応用の何れにも適用することができる。本発明は、オンラインサービス又は認証システムの一部として適用され得る。本発明の様々な態様を個々に、集合的に又は互いに組み合わせて認識できることを理解すべきである。

[0029] 所要の認証レベルをサポートしない可能性があるログイン装置上でユーザがオンライン資源にアクセスすることを許可し得る、認証のためのシステム及び方法が提供される。一部の実施形態では、アカウントにログインすること又はオンラインサイトにおいて特定のアクションを行うこと等、オンライン資源へのアクセスにＦＩＤＯ認証等の近接ベース認証が必要であり得る。これらのシナリオにおいて、従来のシステムでは、ユーザは、ログイン装置を使用してオンラインシステムにアクセスできない場合がある。

[0030] 加えて、従来のＦＩＤＯ認証プロトコルは、ユーザのオーセンティケータと対話するためのＡＰＩを依拠当事者（例えば、サービスプロバイダ、アプリケーションサーバ）が使用することを必要とする。依拠当事者は、バックエンドサーバ及びフロントエンドアプリケーションで構成される。認証又は登録中、アプリケーションは、クライアント側ＡＰＩを使用して、オーセンティケータとのユーザ資格情報を作成し、検査する。例えば、これは、サーバからオーセンティケータに暗号チャレンジを伝え、検証のためにオーセンティケータのレスポンスをサーバに返すことを含み得る。バックエンドサーバは、ユーザの公開鍵資格情報及びアカウント情報を記憶する。認証又は登録中、サーバは、アプリケーションからの要求に応答して暗号チャレンジを生成する。次いで、サーバは、チャレンジに対するレスポンスを評価する。ＦＩＤＯオーセンティケータがユーザ資格情報を生成する。ユーザ資格情報は、公開鍵コンポーネント及び秘密鍵コンポーネントの両方を有する。公開鍵は、アプリケーションサービスと共有されるのに対して、秘密鍵は、オーセンティケータによって秘密に保たれる。

[0031] オーセンティケータは、ユーザの装置の一部又は外部のハードウェア若しくはソフトウェア片であり得る。従来のＦＩＤＯ登録プロセスでは、ユーザがウェブサイト上のアカウントにサインアップするとき、そのアプリケーションサービス（即ち依拠当事者のサービス）上でのみ使用できる新たな鍵の対をオーセンティケータが生成する。資格情報のための公開鍵及び識別子がサーバと共に記憶され得る。従来のＦＩＤＯ認証プロセスでは、ユーザが新たな装置上でサービスに戻る場合又はユーザのセッションが失効した後、オーセンティケータは、ユーザの秘密鍵のプルーフを提供し得る。オーセンティケータは、サーバによって発行される暗号チャレンジに応答することによってこれを行う。ユーザの識別子を検査するために、一部の種類のオーセンティケータは、指紋若しくは顔認識等のバイオメトリクス又はＰＩＮを使用する。しかし、従来のＦＩＤＯプロトコルにおけるペアリング又は結合プロセスは、煩雑であり得る。例えば、ペアリング又は結合プロセスは、オーセンティケータ装置上のＵＳＢ、近距離無線通信（ＮＦＣ）、Bluetooth（ＢＬＥ）を必要とし得る。更に、ＦＩＤＯをサポートするためのオムニチャネルが欠如しており、十分なフィッシング耐性を有するネットワークトランスポートの現在のＦＩＤＯ技術の欠如である。

[0032] 本明細書のシステム及び方法は、オーセンティケータ装置と依拠当事者アプリケーション（例えば、ブラウザ、オンライン資源）との間のプロキシとしての役割を果たすトランスポートサービスを提供することができ、ユーザがオーセンティケータ装置を使用して近接ベース認証を行うことを可能にし、それは、認証の確認時にユーザがログイン装置においてオンライン資源にアクセスすることを可能にする。ログイン装置は、ＱＲコード等のグラフィカルコードを表示することができる。ＱＲコードは、内部に一意のＵＲＬが符号化され得る。

[0033] ＵＲＬは、依拠当事者ドメイン（例えば、ネットワークドメイン）の一意のＵＲＬであり得る。例えば、依拠当事者ドメインは、http://www.bank.com/loginにおける資源であり得、一意のＵＲＬは、www.bank.com/login?cid=(uuid)等、www.bank.com/loginによってホストされ得る。オーセンティケータ装置は、ＦＩＤＯ認証を行うために依拠当事者ドメイン上の安全なログインＵＲＬにナビゲートすることができる。例えば、ＦＩＤＯ認証は、依拠当事者アプリケーション（例えば、ブラウザ内の一意のＵＲＬにおけるウェブページ、ログイン装置上で実行されているブラウザ）上で呼び出され得、チャレンジがオーセンティケータ装置への確立済みチャネルによって転送される。オーセンティケータは、チャレンジに応答し、レスポンスが依拠当事者アプリケーションに送り返される。このようにして、ＦＩＤＯレスポンスが依拠当事者のドメインに向かう。ＦＩＤＯの引き継がれたセキュリティが依然として存在し、鍵が一意でありながら、リモート認証は、依拠当事者の同じドメイン上で生じるため、確立されるチャネルは、フィッシングを有益になくす。ＵＲＬは、トランスポートサービスによって生成され得る。提供される認証方法は、セキュリティが改善した状態で既存のＦＩＤＯアーキテクチャ及び既存のネットワーク通信チャネルに適合し得る。

[0034] オーセンティケータ装置と依拠当事者アプリケーションとの間で確立される通信チャネルは、ＦＩＤＯ認証のチャレンジ及びレスポンスを移送できるように双方向接続であり得る。双方向接続は、ウェブソケットプロトコルを使用し得る。このプロトコルは、クライアントとサーバとの間の接続を可能にすることができ、何れかの当事者（クライアント又はサーバ）によって終了されるまで生き続ける。ＨＴＴＰが接続ごとに要求及びレスポンスを必要とするのと異なり、ウェブソケットによって確立される接続は、ＨＴＴＰよりも少ないオーバヘッドで対話を可能にし得る。

[0035] 提供する認証方法のペアリングプロセスは、フィッシング耐性機能と共に単純化され、向上されている。オーセンティケータ装置は、ＱＲコードの画像を捕捉することができ、オーセンティケータ装置上のブラウザは、符号化されたＵＲＬに導かれ得る。これは、オーセンティケータ装置上に追加の認証アプリケーションをインストールすることを有益に回避し得る。オーセンティケータ装置は、オーセンティケータ装置が近接ベース確認（例えば、ＦＩＤＯ認証）を行うことを可能にするトランスポートサービスによって確立される双方向接続により、依拠当事者アプリケーション（例えば、ログイン装置上のブラウザ）と通信することができる。認証が確認されると、ユーザは、ログイン装置においてオンライン資源にアクセスすることを許可され得る。この形態は、完全な所要の認証レベルを依然として実行し、それによりセキュリティを犠牲にせずに、ユーザがログイン装置において、それにより所望のユーザインタフェースを犠牲にせずに資源にアクセスすることを有利に可能にし得る。

[0036] 図１は、本発明の実施形態による、ログイン装置１１０にログインするのに役立つオーセンティケータ装置１２０をユーザ１６０が利用する図を示す。

[0037] 一部の実施形態では、ユーザ１６０は、オンライン資源にアクセスすることを望む場合がある。資源は、サービス（例えば、オンライントランザクション、データベースアクセス、ファイル転送、リモートアクセス）、保護されたデータ、特定の計算装置、ファイル空間、アカウント、トランザクション又は計算機能を含み得る。資源についての本明細書のいかなる説明も任意の種類の資源又はサービスに当てはまることができ、逆も同様である。

[0038] 資源は、オンラインサービスプロバイダによって提供され得る。オンラインサービスプロバイダに対するオンラインアカウントをユーザが作成できるようにすること等、オンラインサービスプロバイダは、ユーザに様々なサービスを提供するために１つ又は複数のサーバを管理することができる。オンラインサービスプロバイダは、ユーザがそれによりオンラインアカウントを開設することができるオンラインポータル又はオンラインウェブページを有するサービスプロバイダであり得る。本明細書の「サービスプロバイダ」という用語は、「オンラインサービスプロバイダ」と同義で使用され得る。サービスプロバイダは、ユーザトランザクションが試行されるエンティティ（例えば、ユーザトランザクションを実行するウェブサイト又はオンラインサービス）であり得る「依拠当事者」とも呼ばれ得る。サービスプロバイダは、任意の種類の資源を提供し得る。例えば、オンラインサービスプロバイダは、金融機関（例えば、銀行）、小売業者（例えば、電子小売業者、オークションサイト等）、データベース、教育機関、通信サービス（例えば、電子メール、メッセージング）、ヘルスケアサービス、財産管理サービス、ファイル共有ネットワーク、クラウドコンピューティングサービス、ソーシャルメディアサービス、ストリーミングサービス又は他の任意の種類のサービスであり得る。

[0039] ユーザは、オンライン資源にアクセスするためにオンラインアカウントを作成可能であり得る。オンラインアカウントは、ユーザによってオンラインで作成され得る別個のアカウントであり得る。オンラインアカウントは、ユーザ専用であり得、及び／又はユーザによって所有され得る。ユーザのオンラインアカウントは、ユーザ固有情報（例えば、名前、住所、電子メール等）に関連付けられ得る。従って、オンラインサービスプロバイダは、オンラインサービスプロバイダに対するユーザのオンラインアカウントによってユーザを識別することができる。ユーザのユーザ名及び付随するパスワード等のユーザ資格情報をオンラインアカウントに関連付け、オンラインアカウントへのアクセスをユーザが要求するとき、ユーザ資格情報の提供を要求することにより、オンラインアカウントへのアクセスを保護することができる。オンラインアカウントは、サーバのメモリ記憶域内に記憶することができる。

[0040] ユーザは、オンラインサービスプロバイダに登録され得る。ユーザは、オンラインサービスプロバイダに対するオンラインアカウントを開設したときに登録され得る。例えば、ユーザは、オンラインサービスプロバイダに対するオンラインアカウントを作成した場合にオンラインサービスプロバイダに登録され得る。

[0041] ユーザは、例えば、ユーザとオンラインサービスプロバイダ（例えば、金融機関、教育機関等）との間の関係を保ち、追跡すること、頻繁に使用されるユーザ情報（例えば、発送先住所）又はオンラインサービスプロバイダ（例えば、オンライン小売業者）に対するユーザ活動の履歴（例えば、注文の請求書）を保存すること、オンラインサービスプロバイダから同じ又は同様のサービスを受けるために冗長な情報を提供しなければならないことを回避すること、オンラインサービスプロバイダ（例えば、保険会社）によってユーザに提供されるサービス（例えば、保険金請求）を便利に管理すること、オンラインサービスプロバイダ（例えば、Facebook（登録商標）、Instagram（登録商標））によってサポートされるソーシャルネットワーキングサービスに参加すること、オンラインサービスプロバイダ（例えば、Gmail（登録商標）、Outlook（登録商標）等）によって提供されるオンライン識別子（例えば、電子メール）の所有権を得ること等を含む任意の数の理由から、オンラインサービスプロバイダに対するオンラインアカウントを開設することを望む場合がある。

[0042] 一部の例では、ユーザは、（例えば、信用調査書、銀行取引明細書を与える）極めて個人的な及び機密性の高いサービスをオンラインサービスプロバイダに提供することができ、逆も同様であり、そのため、安全な認証システムを有することは、ユーザ及びサービスプロバイダにとって得策であり得る。一部の例では、従来のパスワードを使用することは、ユーザアカウントを保護するのに不十分であり得る。一部の例では、従来のパスワード単独ではアカウントをハッカーから安全にできないことがある。更に、ユーザは、従来のパスワードを覚えておくか又は追跡することが困難な場合がある。

[0043] 一部の実施形態では、資源へのアクセスをユーザに提供するために、オンライン資源が近接ベース認証を使用し得る。ログインするために、ユーザは、近接ベース認証を受けることができる。近接ベース認証についての本明細書のいかなる記載も、認証を受けるためにユーザ又はユーザによって運ばれるオブジェクト（例えば、ドングル、スマートカード、モバイル装置、任意の近距離無線通信装置、ＵＳＢ等）の物理的近接を利用する任意の認証を含み得る。一部の例では、近接ベース認証は、ユーザのバイオメトリク情報（例えば、指紋、掌紋、目の走査、顔認識、ジェスチャ認識、歩容認識、音声認識、言葉によるパスフレーズ又はパスワード）を利用し得る。一部の実施形態では、Bluetooth、無線、光接続、ケーブル等の直接通信又は他の任意の種類の直接通信が近接ベース認証に利用され得る。一部の例では、指紋スキャナ、虹彩スキャナ、カメラ、マイクロホン、無線アンテナ、Bluetoothアンテナ、ＵＳＢポート等の専用ハードウェアが近接ベース認証を行うために必要とされ得る。近接ベース認証についての本明細書のいかなる説明もＦＩＤＯ（Fast Identity Online）認証を含むことができ、逆も同様である。

[0044] ユーザ１６０は、ログイン装置１１０においてオンラインサービスプロバイダのオンライン資源にアクセスすることを望む場合がある。ログイン装置は、任意の種類の装置（例えば、モバイル装置（スマートフォン、タブレット、携帯情報端末）、コンピュータ（例えば、デスクトップコンピュータ、ラップトップコンピュータ、サーバコンピュータ）、スマートデバイス／ＩｏＴ（モノのインターネット）デバイス、ウェアラブルデバイス（例えば、グラス、腕時計、アームバンド、ヘッドセット等）、キオスク、ＡＴＭ（現金自動預払機）又は他の任意の種類の装置であり得る。ログイン装置は、広域ネットワーク（インターネット等のＷＡＮ）、ローカルエリアネットワーク（ＬＡＮ）、電気通信網（例えば、３Ｇ、４Ｇ、５Ｇ、ＬＴＥ等）又は他の任意の種類のネットワーク等のネットワーク１４０にアクセス可能であり得る。

[0045] ログイン装置は、ユーザがオンライン資源にアクセスすることを可能にし得るウェブブラウザ、ポータル又はアプリケーションをサポート可能であり得る。しかし、一部の例では、ログイン装置は、近接ベース認証をサポートすることができない場合がある。例えば、ログイン装置は、近接ベース認証を完了するのに必要なハードウェアを有さない場合がある。例えば、ログイン装置は、ユーザの所要のバイオメトリク情報を収集し得る装置を欠いている場合がある。別の例では、ログイン装置は、ユーザが持ち運ぶ装置と通信し得るアンテナ又は他のコンポーネントを欠いている場合がある。更なる例では、ログイン装置は、近接ベース認証を可能にし得るソフトウェアを欠いている場合がある。一部の例では、近接ベース認証を妨げ得るソフトウェア又はハードウェアがログイン装置上に設けられる場合がある。例えば、ログイン装置は、Bluetooth対応であり得るが、Bluetoothが特定の方法で利用されることを妨げ得るセキュリティソフトウェアがログイン装置上に設けられる場合がある。例えば、ログイン装置は、オンライン資源にアクセス（例えば、ログイン）するためにオンラインサービスプロバイダによって要求されるＦＩＤＯ認証又は特定の種類のＦＩＤＯ認証を行うことができない場合がある。一例では、ＦＩＤＯ２．０等のＦＩＤＯ認証は、ＵＳＢ、近距離無線通信（ＮＦＣ）、Bluetooth（ＢＬＥ）等のプロトコルの少なくとも１つをログイン装置上で必要とし得る。

[0046] かかる状況では、ユーザは、オンライン資源にアクセスするために依然としてログイン装置を使用することを望む場合がある。本明細書に示すシステム及び方法は、たとえログイン装置が所要の認証プロセスに対応していなくても、オンライン資源にアクセスするためにユーザがログイン装置を使用することを可能にし得る。提供する方法は、追加のハードウェア又はソフトウェアアプリケーションを必要とすることなく、セキュリティ保護されたオムニネットワークチャネル（例えば、ネイティブブラウザアプリケーション）によってＦＩＤＯチャレンジが行われることも可能にし得る。

[0047] ユーザは、オーセンティケータ装置１２０へのアクセスを有し得る。オーセンティケータ装置は、所要のレベルの認証を行うことが可能であり得る。例えば、オーセンティケータ装置は、ＦＩＤＯ認証等の近接ベース認証を行うことが可能であり得る。オーセンティケータ装置は、所要の認証を行うために必要なハードウェア及び／又はソフトウェアを有し得る。例えば、オーセンティケータ装置は、オンラインサービスへの登録中に新たな鍵の対を作成し、秘密鍵を保つことができ、公開鍵がオンラインサービスに登録される。認証中、オーセンティケータ装置は、チャレンジに署名することによって秘密鍵の保持をサービスに証明し、かかる署名は、上記で説明したように、指紋の提供、ＰＩＮの入力、自撮り写真の撮影、マイクロホンに向かって話すこと及び他の様々なもの等の近接ベース認証を含む。オーセンティケータ装置は、所要の認証が行われることを妨げるハードウェア又はソフトウェアを有さない場合がある。

[0048] 例えば、オーセンティケータ装置は、ユーザの必要な任意のバイオメトリク情報を捕捉できるようにし得るバイオメトリクリーダを有し得る。例えば、オーセンティケータ装置は、所望の任意のバイオメトリク情報を捕捉するために使用され得る指紋スキャナ、手のひらスキャナ、目のスキャナ、１つ又は複数のカメラ又は１つ若しくは複数のマイクロホンを有し得る。オーセンティケータ装置は、認証に必要であり得る、ユーザによって運ばれるオブジェクトとの通信を可能にし得るアンテナ又は任意の種類の通信装置を有し得る。

[0049] ユーザがログイン装置にログインすることを望むが、ログイン装置が所要の認証（例えば、近接ベース認証）をサポートしない場合、ログイン装置は、グラフィカルコードを表示することができる。グラフィカルコードについてのいかなる説明も、ＱＲコード、バーコード（例えば、１Ｄ、２Ｄ又は３Ｄバーコード）、一連の記号、アイコン、画像又は他の任意の一意の若しくは符号化可能な画像、画像若しくは光の時系列に当てはまることができ、逆も同様である。グラフィカルコードは、画面又は他の種類のディスプレイ上に表示され得る。グラフィカルコードは、ウェブブラウザ、ウェブポータル又はオンライン資源にアクセスするために使用され得るログイン装置上の他の任意のアプリケーションで表示され得る。

[0050] 一部の実施形態では、ログイン装置が所要の認証（例えば、近接ベース認証）をサポートしないという検出が生じる場合、グラフィカルコードは、ログイン装置において自動で表示され得る。例えば、ログイン装置が特定の種類のハードウェアを有さないこと又は必要なハードウェアの種類が使用不可であることをオンラインウェブサービス又はアプリケーションが自動で検出し得る。同様に、ログイン装置が、所要の認証を可能にする特定のソフトウェアを有さないこと又は所要の認証を行う能力を使用不可にするソフトウェアが与えられていることをオンラインウェブサービスアプリケーションが自動で検出し得る。かかる状況では、グラフィカルコードは、ディスプレイ上において自動でポップアップし得る（例えば、グラフィカルコードを求めるユーザによる要求を必要としない）。一部の例では、グラフィカルコードと共に指示が提供され得る。

[0051] 一部の状況では、グラフィカルコードを表示するための要求をユーザが行うことができる。例えば、ユーザは、ログイン装置が所要の認証（例えば、近接ベース認証）をサポートしないことを検出することができ、グラフィカルコードを要求し得る。ユーザの要求に応答してグラフィカルコードが表示され得る。一部の例では、たとえログイン装置が所要のレベルの認証をサポートしても、ユーザは、グラフィカルコードを要求することができる。代替的実施形態では、ログイン装置が所要の認証レベルをサポートする場合、グラフィカルコードがユーザによって要求されなくてもよい。

[0052] グラフィカルコードは、符号化情報を含み得る。グラフィカルコード内に符号化される情報は、トランスポートサービスによって提供され得る。トランスポートサービスは、オンラインサービスプロバイダと通信することができ、及び／又はオンラインサービスプロバイダの一部であり得る。トランスポートサービスは、オンラインサービスプロバイダ又は別個のサードパーティによってホストされ得る。グラフィカルコードは、トランスポートサービス又はオンラインサービスプロバイダによって生成され得る。一例では、トランスポートサービスは、グラフィカルコード内に符号化される情報（例えば、一意のＵＲＬ）を生成し、符号化情報を有するグラフィカルコードを生成し得る。トランスポートサービスは、ログイン装置にＱＲコードを伝送することができる。別の例では、トランスポートサービスは、グラフィカルコード内に符号化される情報を提供し、その情報をオンラインサービスプロバイダに伝送することができる。オンラインサービスプロバイダは、符号化情報を有するグラフィカルコードを作成し、レンダリングし得る。ログイン装置は、オンラインサービスプロバイダによって作成されたグラフィカルコードを表示することができる。例えば、トランスポートサービスは、ログイン装置（例えば、ＡＴＭ）のネイティブアプリケーション（例えば、ネイティブブラウザ）内に埋め込まれるソフトウェア開発キット（ＳＤＫ）若しくはライブラリ、他のアプリケーションによって呼び出し可能な独立型アプリケーション及び／又はオペレーティングシステムレベルで呼び出し可能なサービスを含み得る。ＳＤＫ又はライブラリは、一意のＵＲＬと共に符号化されるＱＲコードをネイティブアプリケーション（例えば、ブラウザ）が生成及び／又はレンダリングすることを可能にし得る。一部の事例では、ＳＤＫは、トランスポートサービスによって配布又は提供されるダウンロード可能なデータオブジェクトであり得る。ＳＤＫは、ブラウザ等のサービスプロバイダのアプリケーション内に組み込むか又はコンパイルすることができる。ＳＤＫは、アプリケーションソースコード開発に関連するフレームワークであり得るか、依拠当事者のアプリケーション内にダウンロードされ、含められるライブラリであり得るか、又は任意の適切な方法で組み込まれ得る。サードパーティアプリケーションインスタンス内で使用される。一部の事例では、依拠当事者ドメインの一意のＵＲＬを生成すること、ＵＲＬを符号化するＱＲコードを生成すること又はＱＲコードをレンダリングすること等の機能が依拠当事者のアプリケーション内で管理され得る。

[0053] 符号化される情報は、ＵＲＬ（統一資源ロケータ）であり得る。ＵＲＬは、依拠当事者ドメイン（即ちオンラインサービスプロバイダ）の実質的に一意のＵＲＬであり得る。ＵＲＬは、トランスポートサービス及び／又はオンラインサービスプロバイダによってホストされるサイトのためのものであり得る。例えば、依拠当事者ドメインは、http://www.bank.com/loginにおける資源であり得、一意のＵＲＬは、www.bank.com/login?cid=(uuid)等、www.bank.com/loginによってホストされ得る。一部の例では、トランスポートサービスは、オンラインサービスプロバイダの一部であり得るか、又はオンラインサービスプロバイダによって運営され得る。代わりに、トランスポートサービスは、オンラインサービスプロバイダと別個であり得、及び／又はサードパーティによって運営され得る。

[0054] グラフィカルコードの画像を捕捉するためにオーセンティケータ装置を使用することができる。オーセンティケータ装置は、グラフィカルコードの画像を捕捉可能であり得る１つ又は複数のカメラを有し得る。１つ又は複数のカメラは、オーセンティケータ装置に一体化され得る。代わりに、１つ又は複数のカメラは、アタッチメント又はアドオンとして提供され得る。

[0055] オーセンティケータ装置は、グラフィカルコードを認識可能であり得るソフトウェア又はアプリケーションを有し得る。オーセンティケータ装置は、グラフィカルコード内の符号化情報にアクセス可能であり得る。グラフィカルコード内の符号化情報にアクセス可能であるために、オーセンティケータ装置は、専用ソフトウェア又はアプリケーションを使用しても又はしなくてもよい。ユーザは、グラフィカルコードの画像を捕捉する前又はグラフィカルコードの画像を解析する前にアプリケーション又はソフトウェアを開く必要があっても又はなくてもよい。

[0056] オーセンティケータ装置は、上記の認証プロセスを実行するために、グラフィカルコード内に符号化された情報を利用することができる。例えば、グラフィカルコード内に符号化される情報は、オーセンティケータ装置がオンラインサービスプロバイダとのＦＩＤＯ認証等の近接ベース認証を行うことを可能にし得る。

[0057] 一例では、グラフィカルコード内に符号化される情報は、オンラインサービスプロバイダドメインの一意のＵＲＬであり得る。オーセンティケータ装置は、グラフィカルコードの画像を捕捉することができる。オーセンティケータ装置は、グラフィカルコードからＵＲＬを抽出可能又は認識可能であり得る。オーセンティケータ装置は、オーセンティケータ装置上で動作するブラウザ又はオペレーティングシステムレベルのアプリケーション等のネイティブアプリケーションによってＵＲＬサイトにアクセスすることができる。例えば、オーセンティケータ装置は、ＦＩＤＯ認証を行うために依拠当事者ドメイン上の安全なログインＵＲＬにナビゲートすることができる。かかるログインは、ユーザ／プロバイダが選択した任意のＦＩＤＯオーセンティケータに適合するＦＩＤＯチャレンジのためのオムニチャネルを有益に提供する。

[0058] ＵＲＬにより、オーセンティケータ装置を利用して認証プロセスが行われ得る。例えば、完全なＦＩＤＯ認証のためのチャレンジ及びレスポンスがオーセンティケータ装置との間で生じ得る。ＦＩＤＯ認証は、アクセスを認証するために使用される新たな及び一意の公開／秘密暗号鍵の対をオーセンティケータ装置が作成する登録プロセスを含み得る。次いで、公開鍵がオンラインサービスプロバイダに送信され、ユーザのアカウントに関連付けられる。近接ベース認証方法に関係する秘密鍵及び他の全ての機密データ（例えば、バイオメトリクプリント）は、ローカル装置上に留まり、そこから決して離れない。ＦＩＤＯ認証チャレンジ中、オーセンティケータ装置は、暗号チャレンジに問題なく応答することにより、秘密鍵の保持を認証側サービスに証明することを求められる。秘密鍵は、登録されたオーセンティケータを使用して（例えば、指紋センサ上で指をスワイプすること、ＰＩＮを入力すること、マイクロホンに向かって話すこと、第２要素デバイスを挿入すること、ボタンを押すこと等によって）問題なく認証した後にのみ使用することができる。次いで、オーセンティケータ装置は、正しい鍵を選択するために、サービスによって提供されるユーザアカウント識別子を使用し、サービスのチャレンジに暗号署名する。署名済みのチャレンジがオンラインサービスプロバイダに送り返され、オンラインサービスプロバイダは、それを記憶済みの公開鍵で検査し、ユーザをログインする。チャレンジ及び署名済みのチャレンジは、上記の一意のＵＲＬによって確立される双方向接続によって伝達され得る。

[0059] 一部の事例では、ＦＩＤＯ認証は、ドングル等の第２要素デバイスを必要とし得る。ドングル１５０は、例として示すに過ぎない。認証は、オーセンティケータ装置１２０と、別個の装置１５０との間の通信を含み得る。例えば、別個の装置は、ドングル、スマートカード、モバイル装置又は本明細書の他の箇所で記載するような他の任意の種類の装置であり得る。通信は、ハードワイヤード接続又は無線通信によって行われ得る。無線通信は、Bluetooth、無線、光接続又は他の任意の直接通信技法等による直接無線通信であり得る。通信は、別個の装置がオーセンティケータ装置の近接範囲内にある必要があり得るように近接ベースであり得る。オーセンティケータ装置と一体化し得る装置等、近接ベース認証を補助するために他の任意の種類の装置が使用され得る。例えば、バイオメトリクリーダは、オーセンティケータ装置内に一体化され得るか、又はオーセンティケータ装置と別々に設けられるが、近接ベース通信（例えば、ハードワイヤード又は直接の無線通信）を利用し得る。

[0060] 次いで、認証を確認することができる。認証プロセスが完了すると、ユーザが認証済みの個人であることをオンラインサービスプロバイダが確認し得る。任意選択的に、オンラインサービスプロバイダは、ユーザがオンライン資源へのアクセスを承認されていることも確認し得る。ユーザが認証及び／又は承認されていることが確認されると、そのユーザは、ログイン装置によってオンライン資源にアクセスすることを許可され得る。

[0061] 一意のＵＲＬを使用して、オーセンティケータ装置と、ログイン装置上で実行されるネイティブアプリケーションとの間でネットワーク接続を確立することにより、提供される方法は、オンライン資源へのアクセスに必要な認証プロセスをログイン装置がサポートしない場合でも、ユーザがログイン装置によってオンライン資源にアクセスすることを有利に許可し得る。これは、ロバストな認証も可能にしながら、ログイン装置のユーザインタフェースを使用する利益をユーザが得ることを可能にし得る。例えば、ログイン装置の方がユーザフレンドリなインタフェースを有する場合、ユーザは、オーセンティケータ装置ではなく、ログイン装置によってオンライン資源にアクセスすることを望み得る。例えば、ログイン装置の方が大きい画面、使い易いキーボード又は他の対話装置（例えば、マウス、タッチパッド、スキャナ、トラックボール、タッチスクリーン等）を有し得るか、又は快適な環境（例えば、座席、キオスク、ポッド等）内に位置し得る。

[0062] 図２は、本発明の実施形態による、第２の装置を用いて第１の装置にログインするための例示的プロセスを示す。

[0063] ユーザは、第１の装置２１０において、サイト上の資源にアクセスすることを最初に試み得る。資源にアクセスするための要求は、オンラインサービスプロバイダによってホストされるサイトにログインすることを含み得る。ログインするための要求は、ユーザがログインしたときに利用可能な資源にアクセスするための要求であり得る。一部の例では、ユーザがログインした後でも、資源を求める要求が行われ得る。例えば、ユーザが特定のアクションを行うことを望むとき、追加の検査又は認証が要求され得る。

[0064] 例えば、ユーザは、金融機関のサイトにログインし得る。ユーザは、追加情報を必要とせずにサイト上で特定の活動を行うことが可能であり得る。しかし、ユーザが大規模な金融取引（例えば、閾値金額を上回る取引）に関与することを望む場合、ユーザは、更なる認証を必要とし得る。資源にログイン又はアクセスするという本明細書のいかなる説明も、大規模な取引を行うこと等、更なる認証を必要とし得るユーザによる任意の種類の活動を含み得る。一部の例では、認証が取引の様々な活動に対して又は様々な段階において必要とされ得る。近接ベース認証を補助するためにオーセンティケータ装置を利用するという本明細書のいかなる説明も、最初にサイトにログインすること又はユーザがサイトにログインした後に生じることがある更なる認証を必要とし得る任意のステップを指す場合がある。

[0065] 一部の事例では、ユーザは、ログイン装置のネイティブブラウザ等のネイティブアプリケーションによって資源へのアクセスを試み得る。ログイン装置は、オンラインサービスプロバイダによって提供される資源へのオンラインポータルとしての役割を果たし得るウェブブラウザを有し得る。ブラウザについての本明細書のいかなる説明も、オンラインサービスプロバイダによって提供される資源にアクセスするためにログイン装置上に設けられ得るアプリケーションに当てはまり得る。ログイン装置は、オンラインサービスプロバイダによって提供される資源（例えば、オンラインサービスプロバイダによってホストされるウェブサイト、部分又はステップ）にアクセスするための任意の専用ソフトウェア又はダウンロードを必要としても又はしなくてもよい。

[0066] ユーザがログイン装置において資源へのアクセスを要求した後、ログイン装置においてグラフィカルコード（例えば、ＱＲコード）が表示され得る２２０。グラフィカルコードは、ログイン装置のウェブブラウザ等のネイティブアプリケーション上に表示され得る。代わりに、グラフィカルコードは、ログイン装置の他のアプリケーション上に表示され得る。グラフィカルコードは、オンラインサービスプロバイダに資源を要求するために使用される同じアプリケーション又はソフトウェア上に表示され得る。例えば、ユーザが、オンラインサービスプロバイダによってホストされるサイトにログインしようと試みるためにウェブブラウザを使用する場合、グラフィカルコードを表示するためにウェブブラウザが使用され得る。

[0067] グラフィカルコードは、埋め込み情報を有し得る。例えば、ＱＲコード内にＵＲＬが符号化され得る。上記で説明したように、ＵＲＬは、依拠当事者ドメイン（例えば、オンラインサービスプロバイダドメイン）の一意のＵＲＬであり得る。ＵＲＬ及びＱＲコードは、オンラインサービスプロバイダからの要求に応答してトランスポートサービスによって生成され得る。代わりに、ＱＲコードは、トランスポートサービスによって生成されるＵＲＬを符号化するためのウェブブラウザの埋め込みＳＤＫによって生成され得る。

[0068] グラフィカルコードを撮像するために第２の装置を使用することができる２３０。第２の装置は、第１の装置と別個であり得る。第２の装置は、第１の装置と独立に動作可能であり得る。第２の装置は、第１の装置と独立に動作し得る独自のアプリケーションの組を有し得る。第２の装置は、第１の装置に近接することを必要とせずに動作可能であり得る。一例では、第２の装置は、スマートフォン、タブレット、ラップトップ又は携帯情報端末等のモバイル装置であり得る。第２の装置は、本明細書の他の箇所で記載する任意のウェアラブルデバイス等のウェアラブルデバイスであり得る。

[0069] 一部の実施形態では、第１の装置及び第２の装置の両方がネットワーク対応であり得る。第１の装置及び第２の装置は、インターネット等の広域ネットワークと通信可能であり得る。第１の装置及び／又は第２の装置は、本明細書の他の箇所で記載するような電気通信網と通信可能であり得る。第２の装置は、ＦＩＤＯ認証等の近接ベース認証を可能にし得るハードウェア又はソフトウェアを任意選択的に有し得る。第２の装置は、上記のオーセンティケータ装置と同じであり得る。第１の装置は、近接ベース認証を可能にするハードウェア又はソフトウェアを任意選択的に有さなくてもよい。一部の例では、第２の装置は、近接ベース認証を妨げるハードウェア又はソフトウェアを有さない。一部の例では、第１の装置は、近接ベース認証を妨げるハードウェア又はソフトウェアを有する。

[0070] 一例では、第１の装置は、キオスク、デスクトップコンピュータ、ラップトップコンピュータ、現金自動預払機（ＡＴＭ）、自動販売機又はユーザがそれによりオンライン資源にアクセスすることを望み得る他の装置であり得る。第１の装置又はログイン装置についての本明細書のいかなる説明も、限定されないが、ＡＴＭを含む記載した任意の種類の第１の装置に当てはまり得る。第２の装置は、スマートフォン、タブレット、ラップトップ、携帯情報端末、ウェアラブルデバイス又は近接ベース認証が可能であり得る他の装置であり得る。第２の装置は、第１の装置よりも小さくても若しくは小さくなくてもよいか、又は可動性であっても若しくはなくてもよい。

[0071] 第２の装置は、グラフィカルコード内に埋め込まれる情報を復号可能であり得る。埋め込み情報（例えば、ＵＲＬ）を識別するためにグラフィカルコードの画像を使用することができる。第２の装置は、埋め込み情報を識別するために専用ソフトウェア又はアプリケーションを使用しても又はしなくてもよい。別の例では、第２の装置に搭載されたプロセッサを使用して識別をローカルに行うことができる。代わりに、グラフィカルコード内に埋め込まれた情報を識別するために、第２の装置は、リモート資源と通信することができる。

[0072] 埋め込み情報を識別することは、近接ベース認証（例えば、ＦＩＤＯ認証）を促し得るブラウザ（又は他のネイティブアプリケーション）を開かせることができる２４０。例えば、埋め込まれる情報は、ＵＲＬであり得る。ブラウザは、第２の装置内において自動で開かれ得、グラフィカルコード内に符号化されるＵＲＬに導かれ得る。グラフィカルコード内に符号化されるＵＲＬは、トランスポートサービス及び／又はオンラインサービスプロバイダによってホストされ得る。トランスポートサービスは、オンラインサービスプロバイダによって運営され得、ＵＲＬは、オンラインサービスプロバイダによってホスト又は運営される一意の位置（例えば、オンラインサービスプロバイダドメインの一意のＵＲＬ）にユーザを導き得る。別の例では、トランスポートサービスは、オンラインサービスプロバイダとは別個のサードパーティによって運営され得、ＵＲＬは、オンラインサービスプロバイダとは別個のトランスポートサービスによってホスト又は運営される一意の位置にユーザを導き得る。

[0073] グラフィカルコード内に符号化されるＵＲＬは、実質的に一意であり得る。一意のＵＲＬについての本明細書のいかなる説明も、実質的に一意である任意のＵＲＬ又は他の何れのグラフィカルコードも同じＵＲＬを現在埋め込むことができない目的のために一意である任意のＵＲＬを指し得る。一意のＵＲＬは、乱数発生器又は他の任意の種類のアルゴリズム若しくは技法を使用して生成され得る。ＵＲＬは、十分に一意であり得、そのため、コード／ＵＲＬが依然として有効でありながら、他の何れのユーザも、その同じＵＲＬを有するＱＲコードを示されない。一意のＵＲＬは、オンラインサービスプロバイダドメイン内にある。例えば、ＵＲＬは、ドメイン名及び一意識別子を含み得る。例えば、依拠当事者ドメインは、http://www.bank.com/loginにおける資源であり得、一意のＵＲＬは、www.bank.com/login?cid=(uuid)等、www.bank.com/loginによってホストされ得る。

[0074] 一部の例では、コード／ＵＲＬは、所定の時間窓内において有効であるか、又は所定の時間後に失効し得る。一部の例では、ＵＲＬが使用されていると、そのＵＲＬは、長期間（例えば、少なくとも１時間、少なくとも１日、少なくとも１週間、少なくとも１カ月間等）にわたり再び使用されてはならない。

[0075] 第２の装置内で開かれるブラウザ又はアプリケーションは、認証プロセスを促し得る。例えば、どのように認証を進めるか（例えば、ＦＩＤＯチャレンジに応答するか）についての指示をユーザに表示することができる。第２の装置に一体化又は接続される（若しくは通信する）装置が必要である場合、かかる装置は、認証プロセスにおけるその装置の役割を実行するために自動で初期化又は準備されても又はされなくてもよい。

[0076] 次いで、ユーザは、第２の装置を使用して、近接ベース認証（例えば、ＦＩＤＯ認証）を使用する認証プロセスを受け、完了することができる２５０。例えば、第１の装置上のブラウザアプリケーションと、第２のアプリケーション上のブラウザアプリケーションとの間のネットワーク接続により、上記のＦＩＤＯチャレンジ及び署名済みのチャレンジが第１の装置と第２の装置との間で伝達され得る。署名済みのレスポンスが依拠当事者アプリケーション（例えば、第１の装置上のブラウザ）に送り返され、それによりＦＩＤＯレスポンスが依拠当事者ドメインに向かう。ＦＩＤＯの引き継がれたセキュリティが依然として存在し、鍵が一意でありながら、ＦＩＤＯ認証は、依拠当事者の同じドメイン上で生じるため、確立されるチャネルは、フィッシングを有益になくす。任意選択的に、認証プロセスを通してユーザを導き得る段階的な方法で指示を与えることができる。指示は、第２の装置上に表示され得る。指示は、第２の装置のウェブブラウザ等のユーザインタフェース上に表示され得る。認証プロセスを完了するために、第２の装置は、トランスポートサービス及び／又はオンラインサービスプロバイダと通信することができる。

[0077] ユーザが第１の装置において資源にアクセスすることを可能にするために、認証が完了したことの確認をオンラインサービスプロバイダに与えることができる２６０。一部の事例では、認証が完了し、検査されていることを確認することをトランスポートサービスが支援し得る。例えば、トランスポートサービスは、ユーザにチャレンジを中継し、第２の装置からレスポンスを受信し得る。トランスポートサービスは、アクセスを有することができるか、又はユーザが認証プロセスを使用して認証されていることを直接確認することができる。代わりに、トランスポートサービスは、第２の装置とオンラインサービスプロバイダとの間のチャレンジ及びレスポンスを中継し得る。一部の例では、認証プロセスを完了するための情報（例えば、公開鍵、ユーザアカウント識別子等）をオンラインサービスプロバイダが有し得る。トランスポートサービスは、第２の装置とオンラインサービスプロバイダとの間で単に情報を中継することができ、オンラインサービスプロバイダは、ユーザが認証されているかどうかの判断を下すことができる。

[0078] 一部の例では、認証が確認されるとき、第２の装置上でメッセージ又は確認を表示することができる。代わりに、第２の装置上でメッセージ又は確認が表示されない。一部の例では、第１の装置が認証の何らかの形式の確認を表示することができ、及び／又は被要求資源へのアクセス（例えば、ログイン、トランザクション等）がユーザに付与され得る。

[0079] ユーザが認証プロセスを受けるが、認証されない場合（例えば、指紋が一致しない、ドングルが読み取られないか又は不適切な一致であるように思われる等）、ユーザは、再試行するように促され得る。ユーザは、ログインを試みるためのステップを再び案内され得るか、又はトラブルシューティングのヒントを与えられ得る。一部の例では、認証されるために異なる装置（例えば、第２の装置又は第１の装置と異なる装置）を使用するようにユーザが指示され得る。一部の例では、試行回数が所定の閾値を上回る場合、一定期間にわたり、ユーザは、ロックアウトされ得る。試行回数又はユーザへの提案は、オンラインサービスプロバイダによって決定され得、任意選択的にサービスプロバイダに基づいて異なり得る。

[0080] 図３は、本発明の実施形態による、第２の装置を用いて第１の装置においてアカウントを登録するための例示的プロセスを示す。

[0081] ユーザは、第１の装置において、オンラインサービスプロバイダのためのアカウントを登録するために最初にアクセスを試み得る３１０。登録するための要求は、オンラインサービスプロバイダによってホストされるサイトにおいて新規アカウントを作成することを含み得る。アカウントを登録するための要求は、ユーザがログインするための新規アカウントを作成し、ユーザのログイン時に利用可能な所望の資源にアクセスすることを可能にし得る。一部の例では、ユーザがアカウントを作成した後でも、認証装置を登録すること又はユーザ若しくはユーザ装置に関する情報を収集することを要求し得る資源を求める要求が行われ得る。例えば、ユーザが特定のアクションを行うことを望むとき、追加の確認又は認証が要求され得る。たとえユーザが既にアカウントを作成していても、追加の検査を要求するステップをユーザが依然として行っていない場合、そのユーザは、追加の検査に登録することを要求され得る。

[0082] 例えば、ユーザは、金融機関のサイトのためのアカウントを作成することを望み得る。サイトにログインするために、ユーザは、近接ベース認証プロセス（例えば、ＦＩＤＯ認証）を受ける必要があり得る。登録プロセスの一部として、ユーザは、その後の近接ベース認証を可能にするために近接ベース情報を提供する必要があり得る。例えば、ユーザがログインするためにバイオメトリク情報を提供する必要がある場合、ユーザは、自らがログインするときのための比較点として使用され得る初期バイオメトリク情報の組を提供することを要求され得る。例えば、認証が顔認識を要求する場合、ユーザは、その後の認証のためのベースラインを提供するために自らの１枚又は複数の写真を撮ることを要求され得る。別の例では、ユーザがドングル又は他の近距離無線通信装置を有する場合、ユーザは、その後の認証を可能にするために装置を登録するか又は最初にリンクする必要があり得る。上記で説明したように、オーセンティケータ装置は、オンラインサービスプロバイダへの登録中に新たな鍵の対を作成し、秘密鍵を保つことができ、公開鍵がオンラインサービスプロバイダに登録される。一部の事例では、登録中、オンラインサービスプロバイダは、ローカルに利用可能などの認証メカニズムを受け付けるか又は選択することができる。例えば、ユーザは、自らのモバイル装置を登録し、オンラインサービスに自らを認証するために使用するローカル認証手段としてその埋め込み指紋センサを選択することができる。カメラを見ること、マイクロホンに向かって話すこと又はＰＩＮを入力することを含む他の認証メカニズムも選択することができる。登録され、オンラインサービスによって受け付けられると、ユーザは、登録されたローカル認証アクションを使用してオンラインサービスに対して認証し、秘密鍵を使用してＦＩＤＯチャレンジに応答することができる。

[0083] 別の例では、ユーザは、金融機関のサイトにおいて既にアカウントを有し得る。ユーザは、追加情報を必要とせずにサイト上で特定の活動を行うことが可能であり得る。しかし、ユーザが大規模な金融取引（例えば、閾値金額を上回る取引）に関与することを望む場合、ユーザは、更なる認証を必要とし得る。資源にログイン又はアクセスするという本明細書のいかなる説明も、大規模な取引を行う等、更なる認証を必要とし得るユーザによる任意の種類の活動を含み得る。一部の例では、認証は、取引の様々な活動に対して又は様々な段階において必要とされ得る。近接ベース認証を受けるのに必要な情報をユーザが過去に登録又は提供していない場合、ユーザは、追加情報を必要とする活動を行う前にかかる登録又は提供を行うことを要求され得る。近接ベース認証に関して登録することを補助するためにオーセンティケータ装置を利用するという本明細書のいかなる説明も、最初にサイトのためのアカウントを作成すること又は更なる認証を必要とし得るサイトにユーザがログインした後に生じ得る任意のステップを指す場合がある。

[0084] 更に、ユーザは、第１の装置におけるブラウザによってアカウント及び／又は認証プロセスに登録しようと試みる場合がある。第１の装置は、オンラインサービスプロバイダによって提供される資源へのオンラインポータルとしての役割を果たし得るウェブブラウザを有し得る。ブラウザについての本明細書のいかなる説明も、オンラインサービスプロバイダによって提供される資源にアクセスし、及び／又はオンラインサービスプロバイダとのアカウントを登録できるようにするためにログイン装置上で提供され得るアプリケーションに当てはまり得る。第１の装置は、オンラインサービスプロバイダによって提供される資源（例えば、オンラインサービスプロバイダによってホストされるウェブサイト、部分又はステップ）にアクセスし、及び／又はオンラインサービスプロバイダとのアカウントを登録するための任意の専用ソフトウェア又はダウンロードを必要としても又はしなくてもよい。

[0085] ユーザがアカウントの開設を要求した後、第１の装置においてグラフィカルコード（例えば、ＱＲコード）が表示され得る３２０。グラフィカルコードは、第１の装置のウェブブラウザ上に表示され得る。代わりに、グラフィカルコードは、第１の装置の他のアプリケーション上に表示され得る。グラフィカルコードは、オンラインサービスプロバイダに資源を要求するために使用される同じアプリケーション又はソフトウェア上に表示され得る。例えば、ユーザが、オンラインサービスプロバイダによってホストされるサイトにログインしようと試みるためにウェブブラウザを使用する場合、グラフィカルコードを表示するためにウェブブラウザが使用され得る。

[0086] グラフィカルコードは、埋め込み情報を有し得る。例えば、上記で説明したように、ＱＲコード内にＵＲＬが符号化され得る。

[0087] グラフィカルコードを撮像するために第２の装置を使用することができる３３０。第２の装置は、第１の装置と別個であり得る。第２の装置は、第１の装置と独立に動作可能であり得る。第２の装置は、第１の装置と独立に動作し得る独自のアプリケーションの組を有し得る。第２の装置は、第１の装置に近接することを必要とせずに動作可能であり得る。一例では、第２の装置は、スマートフォン、タブレット、ラップトップ又は携帯情報端末等のモバイル装置であり得る。第２の装置は、本明細書の他の箇所で記載する任意のウェアラブルデバイス等のウェアラブルデバイスであり得る。

[0088] 一部の実施形態では、第１の装置及び第２の装置の両方がネットワーク対応であり得る。第１の装置及び第２の装置は、インターネット等の広域ネットワークと通信可能であり得る。第１の装置及び／又は第２の装置は、本明細書の他の箇所で記載するような電気通信網と通信可能であり得る。第２の装置は、ＦＩＤＯ認証等の近接ベース認証を可能にし得るハードウェア又はソフトウェアを任意選択的に有し得る。第１の装置は、近接ベース認証を可能にするハードウェア又はソフトウェアを任意選択的に有さなくてもよい。一部の例では、第２の装置は、近接ベース認証を妨げるハードウェア又はソフトウェアを有さない。一部の例では、第１の装置は、近接ベース認証を妨げるハードウェア又はソフトウェアを有する。

[0089] 一例では、第１の装置は、キオスク、デスクトップコンピュータ、ラップトップコンピュータ、ＡＴＭ又はユーザがそれによりオンライン資源にアクセスすることを望み得る他の装置であり得る。第２の装置は、スマートフォン、タブレット、ラップトップ、携帯情報端末、ウェアラブルデバイス又は近接ベース認証が可能であり得る他の装置であり得る。第２の装置は、第１の装置よりも小さくても若しくは小さくなくてもよいか、又は可動性であっても若しくはなくてもよい。

[0090] 第２の装置は、グラフィカルコード内に埋め込まれる情報を識別可能であり得る。埋め込み情報（例えば、ＵＲＬ）を識別するためにグラフィカルコードの画像を使用することができる。第２の装置は、埋め込み情報を識別するために専用ソフトウェア又はアプリケーションを使用しても又はしなくてもよい。別の例では、第２の装置に搭載されたプロセッサを使用して識別をローカルに行うことができる。代わりに、グラフィカルコード内に埋め込まれた情報を識別するために、第２の装置は、リモート資源と通信することができる。

[0091] 埋め込み情報を識別することは、近接ベース認証（例えば、ＦＩＤＯ認証）の登録を促し得るブラウザ（又は他のアプリケーション）を開かせることができる３４０。例えば、埋め込まれる情報は、ＵＲＬであり得る。ブラウザは、第２の装置内において自動で開かれ得、グラフィカルコード内に符号化されるＵＲＬに導かれ得る。グラフィカルコード内に符号化されるＵＲＬは、トランスポートサービス及び／又はオンラインサービスプロバイダによってホストされ得る。ＵＲＬは、トランスポートサービス及び／又はオンラインサービスプロバイダと同じドメインを有し得る。一部の事例では、ＵＲＬは、依拠当事者ドメインの一意のＵＲＬであり得る。例えば、依拠当事者ドメインは、http://www.bank.com/loginにおける資源であり得、一意のＵＲＬは、www.bank.com/login?cid=(uuid)等、www.bank.com/loginによってホストされ得る。トランスポートサービスは、オンラインサービスプロバイダによって運営され得、ＵＲＬは、オンラインサービスプロバイダによってホスト又は運営される一意の位置にユーザを導き得る。別の例では、トランスポートサービスは、オンラインサービスプロバイダとは別個のサードパーティによって運営され得、ＵＲＬは、オンラインサービスプロバイダとは別個のトランスポートサービスによってホスト又は運営される一意の位置にユーザを導き得る。

[0092] グラフィカルコード内に符号化されるＵＲＬは、実質的に一意であり得る。一意のＵＲＬについての本明細書のいかなる説明も、実質的に一意である任意のＵＲＬ又は他の何れのグラフィカルコードも同じＵＲＬを現在埋め込むことができない目的のために一意である任意のＵＲＬを指し得る。一意のＵＲＬは、乱数発生器又は他の任意の種類のアルゴリズム若しくは技法を使用して生成され得る。ＵＲＬは、十分に一意であり得、そのため、コード／ＵＲＬが依然として有効でありながら、他の何れのユーザも、その同じＵＲＬを有するＱＲコードを示されない。一部の例では、コード／ＵＲＬが所定の時間後に失効し得る。一部の例では、ＵＲＬが使用されていると、そのＵＲＬは、長期間（例えば、少なくとも１時間、少なくとも１日、少なくとも１週間、少なくとも１カ月間、１年間等）にわたり再び使用されてはならない。

[0093] 第２の装置内で開かれるブラウザ又はアプリケーションは、登録プロセスを促し得る。例えば、どのように登録を進めるかについての指示をユーザに表示することができる。第２の装置に一体化又は接続される（若しくは通信する）装置が必要である場合、かかる装置は、登録プロセスにおけるその装置の役割を実行するために自動で初期化又は準備されても又はされなくてもよい。

[0094] 次いで、ユーザは、第２の装置を使用して、近接ベース認証（例えば、ＦＩＤＯ認証）のための登録プロセスを受け、完了することができる３５０。任意選択的に、登録プロセスを通してユーザを導き得る段階的な方法で指示を与えることができる。指示は、第２の装置上に表示され得る。指示は、第２の装置のウェブブラウザ等のユーザインタフェース上に表示され得る。登録プロセスを完了するために、第２の装置は、トランスポートサービス及び／又はオンラインサービスプロバイダと通信することができる。

[0095] ユーザが、第１の装置において、サイトのためのアカウントの作成を完了することを可能にするために、登録が完了したことの確認をオンラインサービスプロバイダに与えることができる３６０。一部の例では、登録を完了することは、ユーザがアカウントの作成を完了し、アカウントにログインすることを許可し得る。一部の実施形態では、登録が完了していることをトランスポートサービスが確認し得る。例えば、トランスポートサービスは、ユーザにチャレンジを提供し、第２の装置からレスポンスを受信し得る。トランスポートサービスは、アクセスを有することができるか、又はユーザが登録を完了したことを直接確認することができ、その後の近接ベース認証（例えば、ＦＩＤＯ認証）に必要な近接ベース情報を十分に提供する。代わりに、トランスポートサービスは、第２の装置とオンラインサービスプロバイダとの間の通信を中継し得る。一部の例では、登録プロセスを完了するために、オンラインサービスプロバイダが情報を有し得る。トランスポートサービスは、第２の装置とオンラインサービスプロバイダとの間で単に情報を中継することができ、オンラインサービスプロバイダは、近接ベース認証に関する登録が完了しているかどうかの判断を下すことができる。

[0096] 一部の例では、登録が確認されるとき、第２の装置上でメッセージ又は確認を表示することができる。代わりに、第２の装置上でメッセージ又は確認が表示されない。一部の例では、第１の装置が登録の何らかの形式の確認を表示することができ、及び／又はアカウントがユーザに付与され得る。

[0097] ユーザが登録プロセスを受けるが、エラーが発生する場合（例えば、指紋が鮮明でない、ドングルが登録されていないか又は予期しない形式である等）、ユーザは、再試行するように促され得る。ユーザは、登録を試みるためのステップを再び案内され得るか、又はトラブルシューティングのヒントを与えられ得る。一部の例では、登録されるために異なる装置（例えば、第２の装置又は第１の装置と異なる装置）を使用するようにユーザが指示され得る。一部の例では、試行回数が所定の閾値を上回る場合、一定期間にわたり、ユーザは、ロックアウトされ得る。試行回数又はユーザへの提案は、オンラインサービスプロバイダによって決定され得、任意選択的にサービスプロバイダに基づいて異なり得る。

[0098] 認証プロセスについての本明細書のいかなる説明も登録プロセスに当てはまり得る。例えば、第２の装置を使用して認証プロセスをどのように行うかについての本明細書の任意の説明は、近接ベース認証を行うために第２の装置を利用する登録システムにも当てはまり得る。認証プロセスをどのように行うことができるかについての本明細書のいかなる詳細も、登録プロセスに同様に当てはまり得る。

[0099] 図４は、本発明の実施形態による、認証セッション中に第２の装置４０４がグラフィカルコードを捕捉する概略図を示す。

[0100] 認証セッションは、１つ又は複数の対話型ウェブページ上でサーバによってホストされ、１人又は複数のユーザによってアクセスされ得る。第１の装置４０１（例えば、ログイン装置）上に表示されるＱＲコード等のビジュアルグラフィカルコードを走査するために、第２の装置４０４（例えば、オーセンティケータ装置）を使用することができる。ＱＲコード又は他の任意のグラフィカルコードは、トランスポートシステム４０２によって第１の装置に提供され得る。

[0101] 第２の装置４０４及び第１の装置４０１は、別個の装置であり得る。第２の装置及び第１の装置は、互いに独立に動作可能であり得る。代わりに、第２の装置４０４及び第１の装置４０１は、同じ装置であり得る。一部の例では、第１の装置及び第２の装置は、互いに独立にネットワーク上で通信可能であり得る。第１の装置又は第２の装置は、トランスポートシステムに登録されても又はされなくてもよい。一部の例では、第１の装置及び第２の装置を登録することなく、本明細書で提供するシステム及び方法が機能可能であり得る。第１の装置及び第２の装置は、ネットワーク上でトランスポートシステムと通信可能であり得る。

[0102] 第２の装置４０４は、モバイル装置（例えば、スマートフォン、タブレット、ページャ、携帯情報端末（ＰＤＡ））、コンピュータ（例えば、ラップトップコンピュータ、デスクトップコンピュータ、サーバ）若しくはウェアラブルデバイス（例えば、スマートウォッチ）又は本明細書の他の箇所で記載する他の任意の装置であり得る。第２の装置は、他の任意のメディアコンテンツプレーヤ、例えばセットトップボックス、テレビ受像機、テレビゲーム機又はデータを提供若しくはレンダリング可能な任意の電子装置も含み得る。第２の装置は、任意選択的に、携帯型であり得る。第２の装置は、手持ち型であり得る。第２の装置は、ローカルエリアネットワーク（ＬＡＮ）、インターネット等の広域ネットワーク（ＷＡＮ）、電気通信網、データネットワーク等のネットワーク又は他の任意の種類のネットワークに接続可能なネットワーク装置であり得る。

[0103] 第２の装置４０４は、１つ又は複数のステップを実行するためのコード、ロジック又は命令を含む非一時的コンピュータ可読媒体を含み得るメモリ記憶ユニットを含み得る。第２の装置は、登録中に生成される公開／秘密鍵及び／又は他の認証情報（例えば、バイオメトリクデータ）もローカルに記憶することができる。ユーザ装置は、例えば、非一時的コンピュータ可読媒体による１つ又は複数のステップを実行可能な１つ又は複数のプロセッサを含み得る。第２の装置は、グラフィカルユーザインタフェースを示すディスプレイを含み得る。第２の装置は、ユーザ対話装置による入力を受け付け可能であり得る。かかるユーザ対話装置の例は、キーボード、ボタン、マウス、タッチスクリーン、タッチパッド、ジョイスティック、トラックボール、カメラ、マイクロホン、運動センサ、熱センサ、慣性センサ又は他の任意の種類のユーザ対話装置を含み得る。第２の装置は、１つ又は複数の認証システムによって提供されるソフトウェア又はアプリケーションを実行可能であり得る。１つ又は複数のアプリケーションは、グラフィカルコード等のコードを読み取ることに関係しても又はしなくてもよい。

[0104] 一部の例では、ソフトウェア及び／又はアプリケーションは、ユーザが認証セッション中に別の装置又は同じ装置上に表示されるＱＲコード等のグラフィカル認証の印を走査し、第２の装置４０４とトランスポートシステム４０２との間で認証データを伝送することを可能にし得る。ソフトウェア及び／又はアプリケーションは、ユーザによってトランスポートシステムに登録されている場合がある。任意選択的に、ソフトウェア及び／又はアプリケーションは、トランスポートシステムに登録されていなくてもよく、オーセンティケータ装置又はログイン装置のみがトランスポートシステムに登録され得る。任意選択的に、ソフトウェア及びオーセンティケータ装置の両方又はログイン装置がトランスポートシステムに登録され得る。任意選択的に、ソフトウェア及び／又はアプリケーションは、認証データ（例えば、画像捕捉特性、捕捉時間等）を収集し、そのデータを暗号化してから認証セッション中にトランスポートサーバに送信するように構成され得る。先に説明したように、一部の例では、トランスポートサービスに事前登録されるために装置又はソフトウェアアプリケーションが不要であり得る。

[0105] 第２の装置４０４は、例えば、開示した実施形態と一致する１つ又は複数の操作を実行するように構成される１つ又は複数の計算装置であり得る。例えば、第２の装置は、近接ベース認証及び／又は登録に有用であり得る。第２の装置は、ビジュアルコード等の１つ又は複数のビジュアル要素を光学的に検出可能であり得る。ユーザ装置は、光学検出機器を利用することができる。光学検出機器は、ビジュアル要素を光学的に読み取り又は走査することができる。一部の実施形態では、ユーザ装置は、ＱＲコード、テキスト、写真、そのシーケンス又は第１の装置４０１上に表示されている他の任意の形式のグラフィカル認証の印等のビジュアルグラフィカル要素を捕捉するように構成される撮像装置４０３を含み得る。撮像装置は、ハードウェア及び／又はソフトウェア要素を含み得る。一部の実施形態では、撮像装置は、ユーザ装置に動作可能に結合されるハードウェアカメラセンサであり得る。例えば、カメラセンサは、第２の装置に埋め込まれ得る。代わりに、撮像装置は、ケーブル又は無線で接続されるように第２の装置の外に位置し得、本明細書の他の箇所で記載する通信手段によってグラフィカル要素の画像データが第２の装置に伝送され得る。撮像装置は、ビジュアルグラフィカルコードを走査するように構成されるアプリケーション及び／又はソフトウェアによって制御され得る。例えば、カメラは、ＱＲコードを走査するように構成され得る。任意選択的に、コードを走査するために第２の装置上のカメラを活性化するようにソフトウェア及び／又はアプリケーションが構成され得る。一部の例では、カメラは、第２の装置内にネイティブに埋め込まれるプロセッサによって制御され得る。任意選択的に、第１の装置４０１及び第２の装置４０４が同じ装置である場合、撮像装置は、第２の装置１０４の画面上のＱＲコードを捕捉及び／又は走査するように構成され得る画面捕捉ソフトウェア（例えば、スクリーンショット）を含み得る。

[0106] 第１の装置４０１は、ビジュアルグラフィカルコード（例えば、ＱＲコード）をユーザに表示するように構成され得る。一部の実施形態では、ＱＲコードは、ウェブページ、アプリケーション、プログラム又は任意の適切なソフトウェア等のインタフェースによって表示され得る。第１の装置４０１は、モニタ、コンピュータ（例えば、ラップトップコンピュータ、デスクトップコンピュータ）、モバイル装置（例えば、スマートフォン、タブレット、ページャ、携帯情報端末（ＰＤＡ））、キオスク、ＡＴＭ、スマートデバイス又は自動販売機であり得る。一部の例では、第１の装置は、第１の装置内にネイティブに埋め込まれる１つ又は複数のプロセッサを含み得る。第１の装置は、任意選択的に、携帯型であり得る。第１の装置は、手持ち型であり得る。

[0107] 一部の例では、ディスプレイ装置１０１上に表示され、撮像装置１０３によってその後走査されるビジュアルグラフィカルコードは、ＱＲコードであり得る。ＱＲコードは、正方形又は矩形状に配置される暗い及び明るいモジュールを使用することによってデータを符号化する二次元バーコードである。ＱＲコードは、機械によって光学的に捕捉され、読み取られ得る。バーコードは、バーコードの読み取り及び復号を可能にするためのバーコードのバージョン、形式、位置、位置合わせ及びタイミング等の要素を定めることができる。バーコードの残りの部分は、様々な種類の情報をバイナリ情報又は英数字情報等の任意の種類の適切な形式で符号化することができる。撮像装置によってＱＲコードを妥当な距離から走査できる限り、ＱＲコードは、様々な記号サイズを有し得る。ＱＲコードは、任意の画像ファイル形式（例えば、ＥＰＳ又はＳＶＧベクトルグラフ、ＰＮＧ、ＴＩＦ、ＧＩＦ又はＪＰＥＧラスタグラフィックス形式）のものであり得る。ＱＲコードは、幾つかの標準の何れかに基づき得る。一部の例では、ＱＲコードは、標準的なＱＲリーダによって読み取り可能な既知の標準に従うことができる。ＱＲコードによって符号化される情報は、４つの標準化された種類（「モード」）のデータ（数字、英数字、バイト／バイナリ、漢字）で又はサポートされる拡張、実質的に全ての種類のデータによって構成され得る。一部の例では、ＱＲコードが独占権下にある場合があり、そのため、ユーザ装置上で実行される認証システムによって提供される認証済みアプリケーションによってのみ読み取られ得る。一部の例では、認証システム又は認証済みアプリケーションのみがＱＲコードを暗号化又は復号することができる。

[0108] ＱＲコードに情報が埋め込まれる場合がある。一部の例では、埋め込まれた情報にアクセスするために専用ソフトウェア又はアプリケーションが必要であり得る。代わりに、埋め込まれた情報にアクセスするために専用ソフトウェア又はアプリケーションが不要であり得る。第２の装置は、埋め込まれた情報にアクセスし、それを解釈することが可能であり得る。第２の装置は、ネットワーク接続性を必要とすることなしに情報にアクセスし、それを解釈することが可能であり得る。第２の装置は、ローカルに情報にアクセスし、それを解釈することが可能であり得る。代わりに、第２の装置は、埋め込み情報にアクセスし、それを解釈するために１つ又は複数のリモート資源を利用することができる。第２の装置は、符号化情報にアクセスし、それを解釈できるようにネットワーク接続性を必要とし得る。

[0109] ＱＲコード内に埋め込まれる情報は、ＵＲＬを含み得る。ＵＲＬは、トランスポートサービスによってホストされ得る。トランスポートサービスは、ＵＲＬのためのオンラインサービスプロバイダによるウェブサイト又はＵＲＬのためのサードパーティによるウェブサイトを利用し得る。ＵＲＬは、実質的に一意であり得る。実質的に一意であることを確実にするために、ＵＲＬは、乱数発生器又は他の任意の種類のアルゴリズムを使用して作成され得る。

[0110] ＵＲＬは、既知の又は後に開発される任意の技法を使用してＱＲコード内に符号化され得る。

[0111] ＱＲコードを走査することは、ＵＲＬによって定められるサイトに第２の装置が自動で導かれることを引き起こし得る。第２の装置は、第２の装置のローカルブラウザを自動で開き、ＵＲＬに導かれ得る。代わりに、第２の装置は、第２の装置上のアプリケーションを自動で開き、ＵＲＬに導かれ得る。ＵＲＬにアクセスするためにユーザは、続行するように促されても又は促されなくてもよい。

[0112] 図５Ａは、本発明の実施形態による、認証に役立つウェブソケットの使用を示す例示的な概略図を示す。

[0113] ウェブブラウザ５１０がログイン装置上で動作し得る。ウェブブラウザは、ネットワーク対応の装置上で動作し得る。ウェブブラウザは、トランスポートサービス５３０を介してオーセンティケータ５２０とウェブソケット接続を確立可能であり得る。ウェブソケット接続についての本明細書のいかなる説明も、任意の種類の双方向通信チャネルに当てはまり得る。一部の実施形態では、接続は、全二重通信チャネルを提供し得る。かかる通信チャネルは、単一のＴＣＰ（伝送制御プロトコル）接続上で提供され得る。一部の実施形態では、この接続は、ＨＴＴＰ適合であり得るか、又はＨＴＴＰ適合の初期ハンドシェイクを利用し得る。この接続は、ウェブブラウザとトランスポートサービスの１つ又は複数のサーバとの間の対話をオーバヘッドが少ない状態で可能にし得る。ウェブソケットは、クライアントとサーバとの間の接続が何れかの当事者（クライアント又はサーバ）によって終了されるまで生き続けることを意味するステートフルプロトコルである。ＨＴＴＰが接続ごとに要求及びレスポンスを必要とするのと異なり、ウェブソケットによって確立される接続は、ＨＴＴＰよりも少ないオーバヘッドで対話を可能にし得る。これは、ＦＩＤＯ認証中のチャレンジ及びレスポンスのための高速通信を有益に可能にする。ウェブソケット接続についての本明細書のいかなる説明も、これらの特性の何れかを有する接続に当てはまり得る。ウェブソケットについての本明細書のいかなる説明も、ウェブブラウザとトランスポートサービスとの間の双方向通信を可能にする任意の通信に当てはまり得る。

[0114] ウェブブラウザとトランスポートサービスとの間のウェブソケット接続は、ウェブブラウザが一意のＵＲＬを要求することを可能にし得る。一部の実施形態では、ユーザが他の任意の種類の資源にログイン又はアクセスしようと試みるとき、ウェブブラウザは、ＵＲＬを求める要求を自動で生成することができる。一部の実施形態では、ログイン装置が所要の認証（例えば、ＦＩＤＯ認証等の近接ベース認証）を行うことができないことが検出されるとき、ウェブブラウザは、ＵＲＬを求める要求を自動で生成することができる。任意選択的に、ウェブブラウザは、ＵＲＬを要求するユーザ入力に応答してＵＲＬを求める要求を生成することができる。

[0115] トランスポートサービスは、一意のＵＲＬを生成することができる。一意のＵＲＬは、実質的に一意であり得、トランスポートサービスによってホストされ得る。トランスポートサービスは、オンラインサービスプロバイダによって運営され得る。例えば、ユーザがhttp://www.bank.comにおける資源にアクセスしようと試みている場合、トランスポートサービスは、www.bank.com/によってホストされるＵＲＬを任意選択的に提供することができる。他の実施形態では、トランスポートサービスは、オンラインサービスプロバイダとは独立に所有され、運営され得る。例えば、ユーザがhttp://www.bank.comにおける資源にアクセスしようと試みている場合、トランスポートサービスは、www.transportservice.com/によってホストされるＵＲＬを任意選択的に提供することができる。

[0116] ＵＲＬは、依拠当事者のドメイン名及び一意識別子を含み得る。トランスポートサービスは、ＵＲＬ内の一意識別子をランダム化された方法で生成することができる。トランスポートサービスは、１つ又は複数のアルゴリズムを用いてＵＲＬを生成することができる。ＵＲＬは、一連のランダム又は疑似ランダム文字列であり得る。ＵＲＬは、少なくとも１０文字、１５文字、２０文字、３０文字、４０文字又は５０文字の長さであり得る。トランスポートサービスは、同じＵＲＬが現在活性状態にないこと又は同じＵＲＬが過去の所定期間以内（例えば、過去１時間、１日、１週間、１カ月間、１年間以内等）に生成若しくは活性化されていないことを確実にするために、ランダムＵＲＬの生成後にチェックを行うことができる。

[0117] ＵＲＬがトランスポートサービスによって生成されると、そのＵＲＬがウェブブラウザに送信され得る。ウェブブラウザは、ＵＲＬを符号化し得るＱＲコード等のグラフィカルコードを生成することができる。他の例では、ＵＲＬが符号化されたＱＲコードをトランスポートサービスが生成し得る。ＱＲコードは、ウェブブラウザに送信され得る。ＱＲコードは、ウェブブラウザ上に表示され得る。

[0118] オーセンティケータ５２０がＱＲコードを走査することができる。オーセンティケータは、本明細書の他の箇所に記載するような任意の装置であり得る。オーセンティケータは、ＱＲコードの画像を捕捉し得る撮像装置を有することができる。オーセンティケータは、ＱＲコードからの符号化済みのＵＲＬにアクセス可能であり得る。オーセンティケータは、ＱＲコードからのＵＲＬにアクセスするために専用ソフトウェア又はアプリケーションを使用しても又はしなくてもよい。オーセンティケータは、ＱＲコードからのＵＲＬにアクセスし得るリモート装置と通信するためにネットワーク接続を利用することができる。

[0119] ＵＲＬにアクセスすることは、オーセンティケータ内で新たなブラウザが開くことを引き起こし得る。オーセンティケータに搭載されたブラウザは、ログイン装置におけるウェブブラウザと別々に又は独立に動作している場合がある。オーセンティケータ上のブラウザについての本明細書のいかなる説明も、オーセンティケータ上で開かれ得るアプリケーションに当てはまり得る。新たなブラウザは、ＵＲＬを自動で開き得る。一部の実施形態では、ＱＲコードの画像捕捉時にユーザ入力を必要とすることなしに新たなブラウザが自動で開かれ、ＵＲＬに導かれ得る。代わりに、１つ又は複数の行動を取るように又はＵＲＬを開くことを承認するようにユーザが促される場合がある。

[0120] オーセンティケータ５２０とトランスポートサービス５３０との間にウェブソケット接続が確立され得る。ウェブブラウザ５１０及びオーセンティケータ５２０間のウェブソケットを確立するためのプロキシとしてトランスポートサービス５３０が機能するように、ウェブソケット接続は、一意のＵＲＬを使用して確立され得る。先に記載したように、ウェブソケット接続についての本明細書のいかなる説明も任意の種類の双方向通信チャネルに当てはまり得る。一部の実施形態では、接続は、全二重通信チャネルを提供し得る。かかる通信チャネルは、単一のＴＣＰ（伝送制御プロトコル）接続上で提供され得る。一部の実施形態では、この接続は、ＨＴＴＰ適合であり得るか、又はＨＴＴＰ適合の初期ハンドシェイクを利用し得る。この接続は、オーセンティケータのブラウザとトランスポートサービスの１つ又は複数のサーバとの間の対話をオーバヘッドが少ない状態で可能にし得る。一部の実施形態では、この接続は、ＨＴＴＰよりも少ないオーバヘッドで対話を可能にし得る。ウェブソケット接続についての本明細書のいかなる説明も、これらの特性の何れかを有する接続に当てはまり得る。ウェブソケットについての本明細書のいかなる説明も、オーセンティケータのブラウザとトランスポートサービスとの間の双方向通信を可能にする任意の通信に当てはまり得る。

[0121] ウェブブラウザ５１０及びトランスポートサービス５３０と同じ種類の接続は、オーセンティケータ５２０とトランスポートサービス５３０との間に確立され得る。一部の実施形態では、本明細書で提供するシステム及び方法に関して、トランスポートサービスとウェブブラウザ及びオーセンティケータの両方との間の任意の種類の双方向通信があれば十分であり得る。一部の実施形態では、ウェブブラウザ及びオーセンティケータが何らかの種類のネットワーク接続性（例えば、インターネット、電気通信網、データネットワーク等）を有する限り、本明細書で提供するシステム及び方法は、動作可能であり得る。

[0122] ＵＲＬは、オーセンティケータとトランスポートサービスとの間のウェブソケット接続を作成するために使用され得る。その後、ユーザは、オーセンティケータ上で所要の完全な認証プロセスを行うことが可能であり得る。所要の完全な認証を行うのに必要なチャレンジ及びレスポンスは、トランスポートサービスとオーセンティケータとの間で移送され得る。所要の認証は、ＦＩＤＯ認証等の近接ベース認証であり得る。本明細書の他の箇所で記載する認証技法の何れもオーセンティケータを使用して実行され得る。

[0123] 認証が確認されると、ユーザは、元のウェブブラウザ５１０において被要求資源にアクセス（例えば、ウェブサイトにログイン）可能であり得る。トランスポートサービスは、オンラインサービスプロバイダに認証の確認を伝達することができ、オンラインサービスプロバイダは、資源へのアクセスを付与し得る。その後、ユーザは、ログイン装置上の元のウェブブラウザと標準操作で対話することができる。

[0124] 本明細書で提供するシステム及び方法は、所要の認証（例えば、近接ベース認証）をサポートしない可能性がある装置上のウェブブラウザとユーザが対話することを有利に可能にし得る。ユーザは、認証を行うためにオーセンティケータ装置を使用し、認証が確認される場合に元のウェブブラウザと対話することができる。この形態は、所要の認証を典型的にはサポートしない可能性がある様々な装置においてユーザが資源にアクセスするための柔軟性の向上をもたらし得る。

[0125] 図５Ｂは、本発明の実施形態による認証に役立つウェブソケットの使用を示す別の例示的な概略図を示す。本明細書の他の箇所で記載する特性又はステップの何れも適用され得る。

[0126] ログイン装置上のウェブブラウザ５１０とトランスポートサービス５３０との間にウェブソケット接続が確立される。ウェブブラウザによって一意のＵＲＬが受信され得、ＵＲＬが符号化されたＱＲコード等のグラフィカルコードは、ウェブブラウザ上に表示され得る。モバイル装置等のオーセンティケータ５２０は、グラフィカルコードの画像を捕捉し得る。モバイル装置は、グラフィカルコードを走査し、ＵＲＬを開くことができる。オーセンティケータは、一意のＵＲＬを使用してウェブソケット接続を確立することができる。

[0127] ＦＩＤＯチャレンジが応答部５４０によってウェブブラウザに提供され得る。トランスポートサービスがＦＩＤＯ認証のためのチャレンジ及びレスポンスをオーセンティケータに移送し得る。次いで、チャレンジに対するＦＩＤＯレスポンスをウェブブラウザが依拠当事者に伝えることができる。

[0128] 図６Ａは、本発明の実施形態による、資源にアクセスするためのユーザを認証するための例示的方法を示す。一部の実施形態では、ログイン装置６０１、オーセンティケータ装置６０２、サービスプロバイダサーバ６０３、トランスポートサービス６０４及び近接ベースオーセンティケータ６０５が設けられ得る。

[0129] サービスプロバイダサーバ及びトランスポートサービスは、同じサーバ又は別個のサーバとして設けることができる。トランスポートサービスは、全体的なサービスプロバイダシステムの一部であり得るか、又はサービスプロバイダシステムとは別個であり得る。サービスプロバイダ又はトランスポートシステムによって実行され得るステップについての本明細書のいかなる説明も同じエンティティによって実行され得る。

[0130] 同様に、近接ベースオーセンティケータは、ドングルとして図示され得るが、近接ベース認証を行うために必要な任意のハードウェア若しくはソフトウェア又はユーザプレゼンスに当てはまり得る。例えば、オーセンティケータ装置は、バイオメトリクリーダ、カメラ、マイクロホン、温度センサ、圧力センサ、超音波センサ、アンテナ等のローカルハードウェア又は近接ベース認証を可能にし得る他の種類のハードウェアを有し得る。同様に、オーセンティケータは、近接ベース認証に有用であり得る専用ソフトウェアを有し得る。一部の例では、近接ベース認証に外部装置（例えば、ドングル、スマートカード、モバイル装置等）が必要とされる場合がある。一部の例では、近接ベース認証に（例えば、バイオメトリク読み取りのために）ユーザの物理的存在が必要とされる場合がある。

[0131] ユーザは、オンライン資源にアクセスすることを望む場合がある。ユーザは、ログイン装置６０１と対話することができる。ユーザは、ログイン装置のブラウザと対話することができる。ログイン装置（例えば、ログイン装置のブラウザ）は、資源へのアクセスを要求し得る６１０。この要求は、サービスプロバイダサーバ６０３に提供され得る。

[0132] 一部の実施形態では、近接ベース認証がログイン装置上で無効にされていると判定され得る。一部の例では、近接ベース認証がログイン装置上で有効にされていないことを示す入力をユーザが与え得る。代わりに、ログイン装置上で近接ベース認証が無効にされているいかなる指示も必要とされない場合がある。

[0133] トランスポートサービスとウェブソケット接続を確立することができる６１２。ログイン装置は、セッションのためのＱＲコードを要求することができる。一意のＵＲＬが符号化されたＱＲコードをトランスポートサービスが生成し得る６１３。上記のように、一意のＵＲＬは、依拠当事者のドメイン内にある。代わりに、トランスポートサービスは、一意のＵＲＬのみを生成し得る。

[0134] 一部の実施形態では、トランスポートサービスは、ログイン装置にＱＲコードを提供し得る６１４。代わりに、トランスポートサービスは、ログイン装置にＵＲＬを与えることができ、ＵＲＬが符号化されたＱＲコードをログイン装置が生成し得る。

[0135] ログイン装置は、ＱＲコードを表示することができる６１５。ＱＲコードは、ログイン装置のウェブブラウザ上に表示され得る。

[0136] オーセンティケータ装置６０２がＱＲコードを走査し得る６１６。オーセンティケータ装置は、ＱＲコードの画像を捕捉し得る１つ又は複数のカメラを有し得る。一部の実施形態では、符号化情報を読み取り可能な十分な明瞭度で撮像装置がＱＲコードの画像を捕捉可能であり得る。捕捉される画像が十分明瞭でない場合、オーセンティケータは、別の写真を撮るように促され得る。

[0137] オーセンティケータ装置は、オーセンティケータ装置のローカルブラウザ内において、ＱＲコード内に符号化されたＵＲＬを開くことができる６１７。代わりに又は加えて、走査したＱＲコードに基づいてアプリケーションを開くことができる。

[0138] ＵＲＬを使用して、オーセンティケータとトランスポートサービスとの間でウェブソケット接続を確立することができる６１８。ＵＲＬは、実質的に一意であり得る。たとえ他の装置が様々なログインセッションのためにトランスポートサービスを使用していても、その通信及び認証は、一意のＵＲＬに基づいて分離されたままであり得る。

[0139] トランスポートサービスは、ＱＲコードの走査に関してログイン装置に通知することができる６１８１。ログイン装置は、サービスプロバイダにＦＩＤＯチャレンジを要求することができる６１８２。ログイン装置は、ＦＩＤＯチャレンジを送信することもできる６１８３。

[0140] トランスポートサービスは、ＦＩＤＯ認証のためのチャレンジをオーセンティケータに移送することができる６１９。オーセンティケータは、ＦＩＤＯ情報を収集するための要求を行うことができる６２０。この要求は、バイオメトリク情報を提供するためのユーザに対する要求を含むことができ、オーセンティケータ又はリモート装置において入力を行うためのユーザに対する要求であり得、ドングル又はスマートカード等のリモート装置に対する要求若しくはping又は近接ベース認証を完了するために必要であり得る他の種類の要求を含み得る。

[0141] 要求された情報が提供され得る６２１。例えば、オーセンティケータによる要求にリモート装置が応答することができる。一部の実施形態では、リモート装置とオーセンティケータとの間で直接の無線通信（例えば、Bluetooth、無線、光、赤外線等）又は有線通信が生じ得る。リモート装置は、認証を行うためにオーセンティケータに近接する必要があり得る近距離無線通信装置又は任意の種類の装置であり得る。別の例では、バイオメトリク情報を提供するためにユーザが要求に応答し得る。

[0142] オーセンティケータは、ＦＩＤＯ認証のためのレスポンスをトランスポートサービスに移送することができる６２２。トランスポートサービスは、ログイン装置にＦＩＤＯ認証レスポンスを伝えることができる６２３。ログイン装置は、サービスプロバイダサーバにＦＩＤＯ認証レスポンスを伝えることができる６２３１。サービスプロバイダは、ユーザの承認を判定することができる６２４。サービスプロバイダは、ユーザが被要求資源にアクセスすることを承認されているかどうか判定することができる。

[0143] 被要求資源にアクセスすることを承認されているとユーザが判定される場合、資源へのアクセスがユーザに付与され得る６２５。サービスプロバイダは、ユーザが資源にアクセスすることをログイン装置上のブラウザに許可させ得る更新を提供することができる。

[0144] 図６Ｂは、本発明の実施形態による、資源にアクセスするためのユーザを認証するための別の例示的方法を示す。本明細書の他の箇所で記載する特徴、特性又はステップの何れも適用され得る。例えば、ユーザは、ログイン装置（例えば、ＡＴＭ）と対話することによってオンライン資源にアクセスすることを望む場合がある。ユーザは、ＡＴＭのネイティブブラウザと対話することができる。ログイン装置（例えば、ＡＴＭのブラウザ）は、資源（例えば、https://bank.com/login）へのアクセスを要求し得る。要求は、依拠当事者に提供され得る。ウェブソケット接続を確立するために、ログイン装置（例えば、ＡＴＭ）は、トランスポートサービスに要求を送信し得る。

[0145] 要求に応答して、トランスポートサービスは、依拠当事者ドメインの一意のＵＲＬ（https://bank.com/login?cid=(uuid)）を生成することができる。例えば、ＵＲＬは、ドメイン名bank.com及び一意識別子uuidを含む。

[0146] ＵＲＬを受信すると、ブラウザに組み込まれるソフトウェア開発キット（ＳＤＫ）を用いて、ＵＲＬと共に符号化されるＱＲコードをＡＴＭのネイティブブラウザが生成し、レンダリングし得る。例えば、トランスポートサービスは、装置のネイティブアプリケーション内に埋め込まれるソフトウェア開発キット（ＳＤＫ）若しくはライブラリ、他のアプリケーションによって呼び出し可能な独立型アプリケーション及び／又はオペレーティングシステムレベルで呼び出し可能なサービスを含み得る。ＳＤＫ又はライブラリは、一意のＵＲＬと共に符号化されるＱＲコードをＡＴＭブラウザが生成することを可能にし得る。

[0147] ユーザは、ユーザ装置を使用してＱＲコードを走査することができ、ユーザ装置は、ＵＲＬにナビゲートされ得る。例えば、ユーザ装置上のネイティブブラウザは、依拠当事者によってホストされる一意のＵＲＬに導かれ得る。同時に、ユーザ装置は、ＵＲＬ内の一意識別子を使用してトランスポートサービスとのウェブソケット接続を確立することができる。これにより、トランスポートサービスを介したユーザ装置とＡＴＭとの間の双方向のウェブソケット接続が確立される。ユーザ装置とのウェブソケット接続が確立されていることを示す通知をトランスポートサービスから受信すると、ＡＴＭは、依拠当事者に通知することができ、依拠当事者は、ＡＴＭのネイティブブラウザにＦＩＤＯ認証要求を送信することができる。次いで、ＡＴＭのネイティブブラウザは、ウェブソケット接続を介してユーザ装置のネイティブブラウザにＦＩＤＯ認証要求を移送することができる。

[0148] 次いで、ユーザは、オーセンティケータ等とユーザ装置においてＦＩＤＯ認証をローカルに行うように促され得る（例えば、近接ベース認証）。認証されると、オーセンティケータは、チャレンジ要求に署名し、ユーザ装置のネイティブブラウザがウェブソケット接続を介してＡＴＭのネイティブブラウザにレスポンスを送り返すことができる。依拠当事者は、認証結果を知らされ得る。

[0149] 上記の認証プロセス中、ＦＩＤＯチャレンジ及びレスポンスが依拠当事者のドメイン内で伝達され、それは、ネットワーク移送のセキュリティを有益に高める。ＱＲコードを用いて及びネイティブブラウザアプリケーションの活性化により、ＡＴＭとユーザ装置との間のペアリングも単純化される。

[0150] 図７は、本発明の実施形態による１つ又は複数の認証システムを示す例示的なネットワークレイアウトを示す。一態様では、ネットワークレイアウトは、複数のオーセンティケータ装置７０２、１つ又は複数のサーバ７０４、ネットワーク７０６、１つ又は複数のデータベース７１２、複数のログイン装置７１４、複数のトランスポートサーバ７０８及び１つ又は複数のトランスポートシステム７１０を含み得る。コンポーネント７０２、７０４、７０８、７１０及び７１４のそれぞれは、ネットワーク７０６又はあるコンポーネントから別のコンポーネントへのデータの伝送を可能にする他の任意の種類の通信リンクによって互いに動作可能に接続され得る。

[0151] 本明細書で先に記載したオーセンティケータ装置７０２は、例えば、開示した実施形態と一致する１つ又は複数の操作を実行するように構成される１つ又は複数の計算装置であり得る。例えば、オーセンティケータ装置は、近接ベース認証を含むソフトウェア又はアプリケーションを実行可能な計算装置であり得る。一部の実施形態では、ソフトウェア及び／又はアプリケーションは、ユーザが、認証セッション中に別の装置上に表示されたＱＲコード又は他の任意の種類のグラフィカルコードを走査し、そのＱＲコードを処理し、オーセンティケータ装置とトランスポートシステムとの間で認証データを伝送することを可能にし得る。ソフトウェア及び／又はアプリケーションは、ユーザによってトランスポートシステムに登録されていても又はいなくてもよい。任意選択的に、ソフトウェア及び／又はアプリケーションは、トランスポートシステムに登録されなくてもよい。一部の実施形態では、アプリケーションは、認証セッション中に認証データ（例えば、画像の捕捉、捕捉時間等）を収集し、そのデータを暗号化してからトランスポートサーバに送信するように構成され得る。認証セッションは、１つ又は複数の対話型ウェブページ上でサービスプロバイダサーバ７０４によってホストされ、１人又は複数のユーザによってアクセスされ得る。

[0152] 先に記載したように、オーセンティケータ装置７０２は、カメラ及び／又は撮像ソフトウェア等の撮像装置を含み得る。カメラ及び／又は撮像ソフトウェアは、ＱＲコード又はビジュアルグラフィカルバーコードを捕捉可能であるように構成され得る。

[0153] 一部の例では、ネットワーク７０６は、複数のオーセンティケータ装置７０２を含み得る。各オーセンティケータ装置は、１人又は複数のユーザに関連しても又はしなくてもよい。１人又は複数のユーザは、地理的に同じ位置にいることができ、例えば同じオフィス又は同じ地理的位置で働いているユーザであり得る。一部の例では、ユーザ及びオーセンティケータ装置の一部又は全ては、離れた地理的位置（例えば、異なる都市、国等）にあり得るが、それは、本発明の限定ではない。

[0154] ネットワークレイアウトは、複数のノードを含み得る。ノードは、電気通信網の一部であり得る。ノードは、情報を受信及び／又は中継することができる。ノードは、中継され得る情報を生成することができる。ネットワーク内の各オーセンティケータ装置７０２は、ノードに対応し得る。図７では、「オーセンティケータ装置７０２」の後に数字又は文字が続く場合、「オーセンティケータ装置７０２」は、同じ数字又は文字を共有するノード及びノードに対応する他のコンポーネントに対応し得ることを意味する。例えば、図７に示すように、オーセンティケータ装置７０２－１は、ユーザ１、ログイン装置７１４－１及びサーバ７０４－１に関連するノード１に対応することができ、オーセンティケータ装置７０２－２は、ユーザ２、ログイン装置７１４－２及びサーバ７０４－２に関連するノード２に対応することができ、オーセンティケータ装置７０２－ｋは、ユーザｋ、オーセンティケータ装置７１４－ｋ及びサーバ７０４－ｋに関連するノードｋに対応することができ、ここで、ｋは、任意の正の整数であり得る。

[0155] ノードは、ネットワークレイアウト内の論理的に独立したエンティティであり得る。従って、ネットワークレイアウト内の複数のノードが様々なエンティティを表すことができる。例えば、各ノードは、ユーザ、ユーザの集団又はユーザの複数の集団に関連し得る。例えば、ノードは、個々のエンティティ（例えば、個人）に対応し得る。別の例では、ノードは、複数のエンティティ（例えば、個人の集団）に対応し得る。

[0156] 任意の数の認証セッションが同時に又は逐次的に行われ得る。一部の実施形態では、複数の個人が、同じサービスプロバイダ又は複数のサービスプロバイダによってホストされるウェブサイトに同時にログインしようと試みている場合がある。図示のように、一部の例では、トランスポートサービスは、様々なサービスプロバイダの複数のサーバと通信し得るか、又はかかる複数のサーバをサポートし得る。別の例では、各サーバ又はオンラインサービスプロバイダは、その特定のオンラインサービスプロバイダをサポートする独自のトランスポートサービスを有し得る。トランスポートサービスは、サービスプロバイダのサーバ上で動作することができ、別個のトランスポートサービス／トランスポートサーバが不要であり得る。

[0157] ユーザは、認証システムに登録されるか又は関連付けられ得る。例えば、ユーザは、サービスプロバイダサーバ７０４の１つ又は複数を提供及び／又は管理するエンティティ（例えば、企業、組織、個人等）の登録ユーザであり得る。１人のユーザが１つ又は複数のオーセンティケータ装置７０２に関連付けられ得るか、又はかかるオーセンティケータ装置７０２を使用することができる。１つのオンラインサービスプロバイダが１つ又は複数のサーバ７０４に関連し得る。開示した実施形態は、ユーザと、オンラインサービスプロバイダ又はサーバ７０４、データベース７１２、トランスポートサービス７０８及びトランスポートシステム７１０との間のいかなる特定の関係又は提携にも限定されない。

[0158] オーセンティケータ装置７０２は、１人又は複数のユーザから入力を受信するように構成され得る。ユーザは、例えば、キーボード、マウス、タッチスクリーンパネル、音声認識等の入力装置及び／又は口述ソフトウェア或いは上記のものの任意の組み合わせを使用してユーザ装置に入力を与え得る。他のユーザ対話装置の例は、ボタン、タッチパッド、ジョイスティック、トラックボール、カメラ、マイクロホン、運動センサ、熱センサ、慣性センサ又は他の任意の種類のユーザ対話装置を含み得る。入力は、認証セッション中又は認証セッション前にユーザが様々な仮想アクションを行うことを含み得る。入力は、例えば、指紋、手の走査、虹彩の走査、顔認識、ジェスチャ、歩行、声又は他の任意の特徴等、ユーザを認証するためのバイオメトリク情報を含み得る。入力は、ユーザが持ち運ぶか又は着用するオブジェクトの活性化又は近接性を含み得る。

[0159] 図７の解説図では、トランスポートサーバ７０８及び各認証装置７０２、サービスプロバイダサーバ７０４及び各認証装置７０２、認証サーバ７０８及び各サービスプロバイダサーバ７０４、サービスプロバイダサーバ７０４及び各ログイン装置７１４、トランスポートサーバ７０８及び各ログイン装置７１４等を含む任意の２つのコンポーネント間で双方向のデータ転送機能が提供され得る。

[0160] トランスポートサーバ７０８は、開示した実施形態と一致する１つ又は複数の動作を実行するように構成される１つ又は複数のサーバコンピュータを含み得る。一態様では、トランスポートを単一のコンピュータとして実装することができ、オーセンティケータ装置７０２及び／又はログイン装置７１４は、そのコンピュータを介してネットワーク７０６の他のコンポーネントと通信することができる。一部の例では、オーセンティケータ装置は、ネットワークを介してトランスポートサーバと通信することができる。他の例では、トランスポートサーバは、オーセンティケータ装置及び／又はログイン装置の代わりに、ネットワークを介して１つ又は複数のトランスポートシステム７１０又はデータベース７１２と通信することができる。一態様では、トランスポートサーバは、１つ又は複数のトランスポートシステムの機能を具体化し得る。別の態様では、１つ又は複数のトランスポートシステムは、サービスプロバイダサーバの内部及び／又は外部に実装され得る。いかなるサーバもデータネットワーク（例えば、クラウドコンピューティングネットワーク）内のサーバであり得る。

[0161] 一部の例では、オーセンティケータ装置及び／又はログイン装置は、別々のリンクを介してトランスポートサーバに直接接続され得る。それらは、ウェブソケットによって直接接続され得る。特定の例では、開示する特定の実施形態と一致する１つ又は複数のトランスポートシステムへのアクセスを提供するように構成されるフロントエンド装置として動作するようにトランスポートサーバが構成され得る。一部の例では、認証目的及びユーザ情報投入目的で認証データ（例えば、タイムスタンプ、検証ＩＤ等）及びユーザ情報要求データを比較し、マッチするために、トランスポートサーバは、１つ又は複数のトランスポートシステムを利用してオーセンティケータ装置によって提供されるデータ（例えば、ＦＩＤＯ認証データ）を処理することができる。トランスポートサーバは、認証データ、ユーザに関するユーザ情報データ及びオンラインサービスプロバイダに関するユーザ情報要求データを１つ又は複数のデータベース７１２内に記憶するように構成され得る。トランスポートサーバは、１つ又は複数のデータベース内に記憶される認証データを検索し、取得し、解析（例えば、解読、復号、比較等）するようにも構成され得る。トランスポートサーバは、１つ又は複数のデータベース内のユーザ情報データ及びユーザ情報要求データを検索し、取得し、記憶するようにも構成され得る。先に記載したように、トランスポートサービスは、１つ又は複数のサービスプロバイダ上で動作している場合があり、トランスポートサーバについての本明細書のいかなる記載も任意の個々のサービスプロバイダサーバに当てはまり得る。

[0162] 一部の例では、オンラインアカウントを開設するか又はかかるオンラインアカウントにアクセスするために、オーセンティケータ装置７０２及び／又はログイン装置７１４がオンラインサービスプロバイダのサーバ７０４に直接接続され得る。一部の例では、サーバがウェブサーバ、エンタプライズサーバ又は他の任意の種類のコンピュータサーバを含むことができ、計算装置（例えば、ユーザ装置、公に共有される装置）から要求（例えば、データ伝送を開始し得るＨＴＴＰ又は他のプロトコル）を受け付け、及び要求されたデータを計算装置に提供するようにコンピュータプログラムされ得る。加えて、サーバは、ＦＴＡ（無料放送）、ケーブル、衛星等の放送設備及びデータを配信するための他の放送設備であり得る。サーバは、データネットワーク（例えば、クラウドコンピューティングネットワーク）内のサーバでもあり得る。

[0163] サーバ７０４は、１つ又は複数のプロセッサ、プロセッサによって実行されるソフトウェア命令及びデータを記憶する１つ又は複数のメモリ装置等の既知の計算コンポーネントを含み得る。サーバは、１つ又は複数のプロセッサ及びプログラム命令を記憶するための少なくとも１つのメモリを有し得る。１つ又は複数のプロセッサは、特定の命令集合を実行可能な単一の又は複数のマイクロプロセッサ、書替え可能ゲートアレイ（ＦＰＧＡ）又はデジタル信号プロセッサ（ＤＳＰ）であり得る。フレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ（コンパクトディスク読取専用メモリ）、ＭＯ（光磁気）、ＤＶＤ－ＲＯＭ（デジタル多用途ディスク読取専用メモリ）、ＤＶＤ ＲＡＭ（デジタル多用途ディスクランダムアクセスメモリ）又は半導体メモリ等の有形の非一時的コンピュータ可読媒体上にコンピュータ可読命令が記憶され得る。代わりに、本明細書で開示した方法は、例えば、ＡＳＩＣ（特定用途向け集積回路）、専用コンピュータ若しくは汎用コンピュータ等のハードウェアコンポーネント又はハードウェアとソフトウェアとの組み合わせによって実装することができる。図７では、トランスポートサーバ７０８を単一のサーバとして示すが、一部の実施形態では、トランスポートサーバに関連する機能を複数の装置が実装することができるか、又はトランスポートサーバの機能がサービスプロバイダサーバ７１４によって実行され得る。

[0164] ネットワーク７０６は、ネットワークレイアウトの様々なコンポーネント間の通信を提供するように構成され得る。ネットワークは、ネットワークレイアウト内の装置及び／又はコンポーネントをそれらの装置及び／又はコンポーネント間の通信を可能にするために接続する１つ又は複数のネットワークを含み得る。例えば、ネットワークは、インターネット、無線ネットワーク、有線ネットワーク、ローカルエリアネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、Bluetooth、近距離無線通信（ＮＦＣ）又はネットワークレイアウトの１つ若しくは複数のコンポーネント間の通信を提供する他の任意の種類のネットワークとして実装され得る。一部の実施形態では、ネットワークは、セル及び／又はページャネットワーク、衛星、認可無線又は認可無線と無認可無線との組み合わせを使用して実装され得る。ネットワークは、無線、有線（例えば、イーサネット）又はその組み合わせであり得る。

[0165] １つ又は複数のトランスポートシステム７１０は、１つ又は複数のプロセッサによって実行されるとき、そのそれぞれが特定のセッション（例えば、検証ＩＤ、セッションＩＤ等）に関連する複数の一意のＵＲＬ及び／又はビジュアルグラフィカルコード（例えば、ＱＲコード）を要求時に生成し、コード又はコードのロケータをサーバ７０４に与えることができる命令を記憶する１つ又は複数のコンピュータとして実装され得る。ユーザは、オーセンティケータ装置７０２によってコードを走査し、１つ又は複数のトランスポートシステムに走査データを送り返すことができる。一方的認証又は相互認証のために、１つ又は複数のトランスポートシステムは、そのコード及び／又は走査データに基づいてオンラインサービスプロバイダにユーザ認証を与え、及び／又はユーザにオンラインサービスプロバイダ認証を与えることができる。１つ又は複数のトランスポートシステムは、ユーザの認証に関する決定を行い得るオンラインサービスプロバイダに情報を単純に伝えることができる。検査されると、トランスポートシステムは、オンラインサービスプロバイダに確認を与えることができ、それは、ユーザがログイン装置上で被要求資源にアクセスできるようにし得る。一部の例では、サーバは、１つ若しくは複数のトランスポートシステム及び／又は認証システムが実装されるコンピュータを含み得る。代わりに、トランスポートサーバは、１つ又は複数の認証システムが実装されるコンピュータを含み得る。代わりに、１つ又は複数のトランスポートシステムは、別個のコンピュータ上に実装され得る。

[0166] サーバは、開示した実施形態と一致する１つ又は複数のプロセスを実行するために１つ又は複数の認証システムにアクセスし、かかる認証システムを実行することができる。特定の構成では、１つ又は複数の認証システムは、サーバによってアクセス可能なメモリ内（例えば、サーバにとってローカルなメモリ又はネットワーク等の通信リンク上でアクセス可能なリモートメモリ内）に記憶されるソフトウェアであり得る。従って、特定の態様では、１つ又は複数の認証システムは、１つ又は複数のコンピュータとして、サーバによってアクセス可能なメモリ装置上に記憶されるソフトウェアとして又はその組み合わせとして実装され得る。例えば、ある認証システムは、１つ又は複数の認証技法を実行するコンピュータハードウェアであり得、別の認証システムは、サーバによって実行されるとき１つ又は複数の認証技法を実行するソフトウェアであり得る。

[0167] １つ又は複数の認証システムは、様々な異なる方法でユーザを認証するために使用され得る。例えば、１つ又は複数の認証システムは、オーセンティケータ装置を用いて収集されるＦＩＤＯ認証に基づいて、ユーザを認証するためのアルゴリズムを実行するソフトウェアを記憶及び／又は実行することができる。１つ又は複数のトランスポートシステムは、特定の検証ＩＤを有する一意のＵＲＬ及び／又はビジュアルグラフィカルコード（例えば、ＱＲコード）を生成するためのアルゴリズムを実行するソフトウェアも記憶及び／又は実行し得る。トランスポートシステムは、１つ又は複数の認証システムと通信することができ、ユーザに関するユーザ情報及びオンラインサービスプロバイダに関するユーザ情報要求データを検索、取得及び記憶するためのアルゴリズムを実行するソフトウェアを更に記憶及び／又は実行することができる。

[0168] 開示した実施形態は、認証完了後に所要のユーザ情報を提供することを含め、１つ又は複数の認証技法及び認証シーケンスを実行するために様々なアルゴリズムが実行され得るように１つ又は複数の認証システムを実装するように構成され得る。上記のアルゴリズムを実行するための複数の認証システムを記載してきたが、アルゴリズムの一部又は全ては、開示した実施形態と一致する単一の認証システムを使用して実行され得ることに留意すべきである。

[0169] オーセンティケータ装置７０２、トランスポートサーバ７０８、サービスプロバイダサーバ７０４及び１つ又は複数のトランスポートシステム７１０は、１つ又は複数のデータベース７１２に接続されるか又は相互接続され得る。１つ又は複数のデータベースは、データ（例えば、ＱＲコード、ＦＩＤＯ認証情報、ユーザ識別子、ユーザ装置識別子、サービスプロバイダ識別子、サーバ識別子、トランザクション／検証ＩＤ、ユーザ情報、ユーザ情報要求等）を記憶するように構成される１つ又は複数のメモリ装置であり得る。加えて、一部の実施形態では、１つ又は複数のデータベースは、記憶装置を有するコンピュータシステムとしても実装され得る。一態様では、開示した実施形態と一致する１つ又は複数の操作を実行するために１つ又は複数のデータベースがネットワークレイアウトのコンポーネントによって使用され得る。特定の実施形態では、１つ又は複数のデータベースがサーバと共同設置され得るか若しくは認証サーバと共同設置され得、及び／又はネットワーク上で互いに共同設置され得る。開示した実施形態は、１つ又は複数のデータベースのこの構成及び／又は配置に限定されないことを当業者であれば認識するであろう。

[0170] ログイン装置７１２は、装置の識別子がトランスポート又は認証システムに登録されておらず、必ずしも登録される必要がない点で非認証装置であり得る。一部の実施形態では、この装置は、オンラインサービスプロバイダに対するオンラインアカウントを開設するか、又はかかるオンラインアカウントにアクセスするために、サービスプロバイダサーバ７０４によって提供されるウェブポータル又はウェブサイトにアクセスするためにユーザが使用するものである。ログイン装置は、その識別子が認証システムに知られていない公に共有された装置であり得る。先に記載したように、ログイン装置は、ユーザにビジュアルグラフィカルコード（例えば、ＱＲコード）及び／又はユーザインタフェース（例えば、ウェブポータル、ウェブサイト）を表示するように構成され得る。トランスポートサーバからディスプレイ装置にビジュアルグラフィカルコード又はコードのロケータが伝送され得る。一部の実施形態では、ロケータ（例えば、ＵＲＬ）が提供される場合、ＱＲコードは、ウェブページ又は任意のソフトウェア等のインタフェースによって表示され得る。ユーザとトランスポートサーバとの間の通信を確立するために、インタフェースは、ロケータ（例えば、ＵＲＬ）によってサーバにリンクされ得る。ログイン装置は、（例えば、オンラインサービスプロバイダに対する）サーバ上のオンラインアカウントを開設するか、又はかかるオンラインアカウントにアクセスするためにユーザの認証又は検査を必要とするコンピュータ（例えば、ラップトップコンピュータ、デスクトップコンピュータ）、モバイル装置（例えば、スマートフォン、タブレット、ページャ、携帯情報端末（ＰＤＡ））、キオスク、ＡＴＭ、スマートアプライアンス、自動販売機等であり得る。ログイン装置は、任意選択的に、携帯型であり得る。ログイン装置は、手持ち型であり得る。

[0171] 一部の実施形態では、オーセンティケータ装置７０２、ログイン装置７１４、サーバ７０４、１つ又は複数のデータベース７１２及び／又は１つ若しくは複数のトランスポートシステム７１０の何れもコンピュータシステムとして実装することができる。加えて、図７では、ネットワークレイアウトのコンポーネント間の通信のための「中心」点としてネットワークを示すが、開示した実施形態は、それに限定されない。例えば、ネットワークレイアウトの１つ又は複数のコンポーネントを様々な方法で相互接続することができ、当業者であれば理解されるように、一部の実施形態では、互いに直接接続されるか、共同設置されるか又は離れている場合がある。加えて、開示した一部の実施形態は、サーバ上で実装され得るが、開示した実施形態は、それに限定されない。例えば、一部の実施形態では、サーバ及び認証システムに関して説明した実施形態を含め、開示した実施形態と一致するプロセス及び機能の１つ又は複数を行うように他の装置（１つ又は複数のオーセンティケータ又はログイン装置等）が構成され得る。

[0172] 特定の計算装置を図示し、ネットワークについて説明したが、本明細書に記載した実施形態の趣旨及び範囲から逸脱することなく、他の計算装置及びネットワークを利用できることを認識し、理解すべきである。加えて、当業者であれば認識するであろうように、ネットワークレイアウトの１つ又は複数のコンポーネントは、様々な方法で相互接続され得、一部の実施形態では、互いに直接接続されるか、共同設置されるか又は離れている場合がある。

コンピュータ制御システム
[0173] 本開示は、本開示の方法を実装するようにプログラムされるコンピュータ制御システムを提供する。図８は、オンライン資源にアクセスすることを試みているユーザの認証を補助するようにプログラム又は他に構成されるコンピュータシステム８０１を示す。このコンピュータシステムは、ＦＩＤＯ認証のユーザを有効化することができる。このコンピュータシステムは、ログイン装置、オーセンティケータ装置、トランスポートサービス又はプロバイダサービスの一部であり得る。このコンピュータシステムは、ユーザの電子装置又は電子装置に対して離れて位置するコンピュータシステムであり得る。電子装置は、モバイル電子装置であり得る。

[0174] コンピュータシステム８０１は、シングルコアプロセッサ若しくはマルチコアプロセッサ又は並列処理のための複数のプロセッサであり得る中央処理装置（ＣＰＵ、本明細書では「プロセッサ」及び「コンピュータプロセッサ」でもある）を含み得る。コンピュータシステムは、メモリ又はメモリ位置８１０（例えば、ランダムアクセスメモリ、読取専用メモリ、フラッシュメモリ）、電子記憶ユニット８１５（例えば、ハードディスク）、１つ又は複数の他のシステムと通信するための通信インタフェース８２０（例えば、ネットワークアダプタ）並びにキャッシュ、他のメモリ、データ記憶域及び／又は電子ディスプレイアダプタ等の周辺装置８２５も含む。メモリ８１０、記憶ユニット８１５、インタフェース８２０及び周辺装置８２５は、マザーボード等の通信バス（実線）によってＣＰＵ８０５と通信する。記憶ユニット８１５は、データを記憶するためのデータ記憶ユニット（又はデータリポジトリ）であり得る。コンピュータシステム８０１は、通信インタフェース８２０を用いてコンピュータネットワーク（「ネットワーク」）８３０に動作可能に結合され得る。ネットワーク８３０は、インターネット、インターネット及び／又はエクストラネット或いはインターネットと通信するイントラネット及び／又はエクストラネットであり得る。

[0175] 一部の事例では、ネットワーク８３０は、電気通信網及び／又はデータネットワークである。ネットワークは、クラウドコンピューティング等の分散コンピューティングを可能にし得る１つ又は複数のコンピュータサーバを含み得る。例えば、１つ又は複数のコンピュータサーバは、例えば、１つ又は複数の実験的環境の構成を捕捉すること、１つ又は複数の時点のそれぞれにおいて実験的環境をレジストリ内に記憶すること、実験的環境を活用する１つ又は複数の実験的実行を行うこと、環境を活用する実験的実行の出力を与えること、実験的環境と実験的実行との間の複数のリンクを生成すること、及び１つ又は複数の時点における実験的環境に対応する１つ又は複数の実行状態を生成すること等、本開示の解析、計算及び生成の様々な側面を実行するためのネットワーク上のクラウドコンピューティング（「クラウド」）を可能にし得る。かかるクラウドコンピューティングは、例えば、Amazon Web Services（ＡＷＳ）、Microsoft Azure、Google Cloud Platform及びIBM cloud等のクラウドコンピューティングプラットフォームによって提供され得る。一部の事例では、ネットワークは、コンピュータシステム８０１を用いてピアツーピアネットワークを実装することができ、ピアツーピアネットワークは、コンピュータシステムに結合される装置がクライアント又はサーバとして挙動することを可能にし得る。

[0176] ＣＰＵ８０５は、プログラム又はソフトウェアによって具体化され得る一連の機械可読命令を実行することができる。命令は、メモリ８１０等のメモリ位置内に記憶することができる。命令は、ＣＰＵに導くことができ、その後、本開示の方法を実装するようにＣＰＵをプログラム又は他に構成することができる。ＣＰＵによって実行される操作の例は、フェッチ、復号、実行及びライトバックを含み得る。

[0177] ＣＰＵ８０５は、集積回路等の回路の一部であり得る。システムの１つ又は複数の他のコンポーネントが回路内に含まれ得る。一部の事例では、回路は、特定用途向け集積回路（ＡＳＩＣ）である。

[0178] 記憶ユニット８１５は、ドライバ、ライブラリ及び保存済みプログラム等のファイルを記憶することができる。記憶ユニットは、ユーザデータ、例えばユーザ基本設定及びユーザプログラムを記憶することができる。一部の事例では、コンピュータシステム８０１は、イントラネット又はインターネットによってコンピュータシステムと通信するリモートサーバ上に位置するような、コンピュータシステムにとって外部にある１つ又は複数の追加のデータ記憶ユニットを含むことができる。

[0179] コンピュータシステム８０１は、ネットワーク８３０によって１つ又は複数のリモートコンピュータシステムと通信することができる。例えば、コンピュータシステムは、ユーザ（例えば、実験的環境のユーザ）のリモートコンピュータシステムと通信することができる。リモートコンピュータシステムの例は、パーソナルコンピュータ（例えば、ポータブルＰＣ）、スレート又はタブレットＰＣ（例えば、Apple（登録商標）iPad、Samsung（登録商標）Galaxy Tab）、電話、スマートフォン（例えば、Apple（登録商標）iPhone、アンドロイド対応装置、Blackberry（登録商標））又は携帯情報端末を含む。ユーザは、ネットワークによってコンピュータシステムにアクセスすることができる。

[0180] 本明細書に記載した方法は、例えば、メモリ８１０又は電子記憶ユニット８１５等、コンピュータシステム８０１の電子記憶位置上に記憶される機械（例えば、コンピュータプロセッサ）実行可能コードによって実装され得る。機械実行可能又は機械可読コードは、ソフトウェア形式で提供することができる。使用中、コードがプロセッサ８０５によって実行され得る。一部の事例では、プロセッサによる迅速なアクセスのためにコードを記憶ユニットから取得し、メモリ上に記憶することができる。一部の状況では、電子記憶ユニットを除外することができ、機械実行可能命令がメモリ上に記憶される。

[0181] コードは、コードを実行するように適合されるプロセッサを有する機械と共に使用するために事前コンパイル及び構成され得るか、又は実行時中にコンパイルされ得る。コードは、事前コンパイル式又はアズコンパイル式にコードを実行できるようにするために選択可能なプログラミング言語によって供給され得る。

[0182] プログラミング。本技術の様々な態様は、典型的には、一種の機械可読媒体上で運ばれるか又は機械可読媒体内に具体化される機械（又はプロセッサ）実行可能コード及び／又は関連データの形式を取る「製品」又は「製造品」として考えることができる。機械実行可能コードは、メモリ（例えば、読取専用メモリ、ランダムアクセスメモリ、フラッシュメモリ）又はハードディスク等の電子記憶ユニット上に記憶することができる。「ストレージ」型の媒体は、ソフトウェアプログラミングのために任意の時点で非一時的ストレージを提供することができる様々な半導体メモリ、テープドライブ、ディスクドライブ等、コンピュータ、プロセッサ等又はその関連モジュールの有形メモリの何れか又は全てを含み得る。ソフトウェアの全て又は一部は、ときにインターネット又は他の様々な電気通信網によって伝達され得る。かかる通信は、例えば、あるコンピュータ又はプロセッサから別のコンピュータ又はプロセッサ内、例えば管理サーバ又はホストコンピュータからアプリケーションサーバのコンピュータプラットフォーム内にソフトウェアをロードすることを可能にし得る。従って、ソフトウェア要素を担うことができる別の種類の媒体は、ローカル装置間の物理インタフェースを横断して、有線及び光回線ネットワークを介して及び様々なエアリンク上で使用されるような光波、電波及び電磁波を含む。有線リンク又は無線リンク、光リンク等、そのような波を運ぶ物理要素もソフトウェアを担う媒体と見なすことができる。本明細書で使用するとき、非一時的な有形の「記憶」媒体に限定されない限り、コンピュータ又は機械「可読媒体」等の用語は、実行するためにプロセッサに命令を与えることに関与する任意の媒体を指す。

[0183] 従って、コンピュータ実行可能コード等の機械可読媒体は、限定されないが、有形記憶媒体、搬送波媒体又は物理伝送媒体を含む多くの形式を取り得る。不揮発性記憶媒体は、例えば、データベース等を実装するために使用され得るような図示の任意のコンピュータ等における記憶装置の何れか等の光ディスク又は磁気ディスクを含む。揮発性記憶媒体は、かかるコンピュータプラットフォームのメインメモリ等のダイナミックメモリを含む。有形伝送媒体は、コンピュータシステム内のバスを含む配線を含む同軸ケーブル、銅線及び光ファイバを含む。搬送波伝送媒体は、無線周波数（ＲＦ）及び赤外線（ＩＲ）データ通信中に生成されるような電気信号若しくは電磁信号又は音波若しくは光波の形式を取り得る。従って、コンピュータ可読媒体の一般的形式は、例えば、フロッピディスク、フレキシブルディスク、ハードディスク、磁気テープ、他の任意の磁気媒体、ＣＤ－ＲＯＭ、ＤＶＤ又はＤＶＤ－ＲＯＭ、他の任意の光媒体、穿孔カード紙テープ、孔のパターンを有する他の任意の物理記憶媒体、ＲＡＭ、ＲＯＭ、ＰＲＯＭ及びＥＰＲＯＭ、ＦＬＡＳＨ－ＥＰＲＯＭ、他の任意のメモリチップ又はカートリッジ、データ又は命令を移送する搬送波、かかる搬送波を移送するケーブル若しくはリンク又はコンピュータがプログラミングコード及び／又はデータを読み取ることができる他の任意の媒体を含む。コンピュータ可読媒体のこれらの形式の多くは、実行するためにプロセッサに１つ又は複数の命令の１つ又は複数のシーケンスを運ぶことに関与し得る。

[0184] コンピュータシステム８０１は、例えば、環境の選択、環境のコンポーネント又は環境の時点を提供するためのユーザインタフェース（ＵＩ）８４０を含む電子ディスプレイ１０３５を含むことができるか、又はかかる電子ディスプレイ１０３５と通信することができる。ＵＩの例は、グラフィカルユーザインタフェース（ＧＵＩ）及びウェブベースのユーザインタフェースを限定なしに含む。

[0185] 本開示の方法及びシステムは、１つ又は複数のアルゴリズムによって実装することができる。アルゴリズムは、中央処理装置８０５による実行時にソフトウェアによって実装され得る。アルゴリズムは、例えば、１つ又は複数の実験的環境の構成を捕捉すること、１つ又は複数の時点のそれぞれにおいて実験的環境をレジストリ内に記憶すること、実験的環境を活用する１つ又は複数の実験的実行を行うこと、環境を活用する実験的実行の出力を与えること、実験的環境と実験的実行との間の複数のリンクを生成すること、及び１つ又は複数の時点における実験的環境に対応する１つ又は複数の実行状態を生成することができる。

[0186] 本明細書で示したシステム及び方法は、セキュリティを保ちながらオンライン資源へのアクセスをユーザに与える際の柔軟性の向上をもたらす１つ又は複数の利点を提供し得る。本明細書で示したシステム及び方法は、ＵＳＢ、ＮＦＣ又はＢＬＥ等の専用プロトコルを必要とすることなく、既存の（例えば、ウェブ）通信チャネルを利用する。これは、特定の資源にアクセスするために使用可能なログイン装置の種類の柔軟性の向上をもたらす。例えば、専用プロトコルを必要とすることなく、ログイン資源にアクセスするためにＡＴＭを使用することさえできる。本明細書で示したシステム及び方法は、物理的近接のＦＩＤＯの概念をサポートし、既存のＦＩＤＯアーキテクチャと有利に適合し得る。

[0187] 本明細書で示したシステム及び方法は、迅速で簡単なペアリングと共に有用性の向上をもたらす。本明細書で示したシステム及び方法は、モバイルプラットフォーム「ビルトイン」アプリケーションのオムニチャネル使用をもたらし得る。本システム及び方法は、セキュリティを損なうことなく、有用性の向上をもたらすことが可能であり得る。ＴＬＳ１．２によって保護されたウェブソケットが使用され得る。本明細書で示したシステム及び方法は、分散させることができる

[0188] 特定の実装形態を図示し、説明してきたが、それらの実装形態に対する様々な修正形態がなされ得、本明細書で予期されることを上記の内容から理解すべきである。更に、本発明は、本明細書で与えられた具体例によって限定されることを意図されない。本発明を上記の本明細書に関して説明してきたが、本明細書の好ましい実施形態についての説明及び図は、限定的な意味で解釈されることを意図されない。更に、本発明の全ての態様は、様々な条件及び変数に依存する、本明細書に記載の特定の描写、構成又は相対的比率に限定されないことを理解すべきである。本発明の実施形態の形式及び詳細における様々な修正形態が当業者に明らかになる。従って、本発明は、そのような任意の修正形態、改変形態及び近都物も包含すると考えられる。

Claims (24)

1. ログイン装置を介してサービスプロバイダによって提供される資源にアクセスするための認証を提供するための、コンピュータシステムによって実行される、方法であって、
   前記サービスプロバイダのネットワークのネットワークドメイン内の一意のユニフォームリソースロケータ（ＵＲＬ）を生成することであって、前記ＵＲＬは、前記サービスプロバイダの前記ネットワークドメインの名前を含み、前記ＵＲＬは、前記サービスプロバイダによって提供される前記資源にアクセスするための前記ログイン装置上でレンダリングされるグラフィカルコード内に符号化される、ことと、
   前記一意のＵＲＬを使用して、前記ログイン装置とユーザ装置との間のネットワーク接続を確立することであって、前記ネットワーク接続は、前記ユーザ装置が、前記ログイン装置上に表示される前記グラフィカルコードを撮像し、及び前記グラフィカルコード内に符号化されている前記ＵＲＬにアクセスするときに確立される、ことと、
   暗号化キーを用いて、前記ユーザ装置と前記サービスプロバイダとの間で前記ネットワーク接続を介して、暗号チャレンジ及び暗号レスポンスを実行し、前記ログイン装置を介して前記資源にアクセスするための認証を行うことであって、前記暗号レスポンスは、署名され、前記サービスプロバイダの前記ネットワークの前記ネットワークドメインに送信される、ことと、
   を含む方法。
2. 前記グラフィカルコードは、ＱＲコードである、請求項１に記載の方法。
3. 前記一意のＵＲＬは、ウェブソケット接続を介して前記ログイン装置に提供される、請求項１に記載の方法。
4. 前記グラフィカルコードは、ウェブソケット接続を介して前記ログイン装置に提供される、請求項１に記載の方法。
5. 前記グラフィカルコードは、前記ログイン装置上のネイティブアプリケーション内でレンダリングされる、請求項１に記載の方法。
6. 前記グラフィカルコードは、前記ネイティブアプリケーションによって生成される、請求項５に記載の方法。
7. 前記ログイン装置と前記ユーザ装置との間の前記ネットワーク接続は、ウェブソケット接続である、請求項１に記載の方法。
8. 前記暗号チャレンジ及び暗号レスポンスは、ＦＩＤＯ（Fast IDentity Online）認証を含む、請求項１に記載の方法。
9. 前記ＦＩＤＯ認証のための前記暗号チャレンジ及び前記暗号レスポンスは、前記暗号化キーを用いて署名される、請求項８に記載の方法。
10. 前記暗号チャレンジ及び前記暗号レスポンスは、前記ユーザ装置のネイティブブラウザを介して伝達される、請求項９に記載の方法。
11. 前記一意のＵＲＬは、一連のランダム又は疑似ランダム文字列を含む、請求項１に記載の方法。
12. 前記一意のＵＲＬは、一意識別子を更に含む、請求項１１に記載の方法。
13. ログイン装置を介してサービスプロバイダによって提供される資源にアクセスするための認証を提供するためのシステムであって、
    前記サービスプロバイダのネットワークのネットワークドメイン内の一意のユニフォームリソースロケータ（ＵＲＬ）を生成するように構成されるトランスポートサービスであって、前記ＵＲＬは、前記サービスプロバイダの前記ネットワークドメインの名前を含み、前記ＵＲＬは、前記サービスプロバイダによって提供される前記資源にアクセスするための前記ログイン装置上でレンダリングされるグラフィカルコード内に符号化される、トランスポートサービスと、
    ユーザ装置であって、
    （ｉ）前記一意のＵＲＬを使用して、前記ログイン装置とのネットワーク接続を確立することであって、前記ネットワーク接続は、前記ユーザ装置が、前記ログイン装置上に表示される前記グラフィカルコードを撮像し、及び前記グラフィカルコード内に符号化されている前記一意のＵＲＬにアクセスするときに確立される、ことと、
    （ｉｉ）暗号化キーを用いて、前記ネットワーク接続を介して前記ログイン装置で暗号チャレンジ及び暗号レスポンスを実行し、前記ログイン装置を介して前記資源にアクセスするための認証を行うことであって、前記暗号レスポンスは、署名され、前記サービスプロバイダの前記ネットワークの前記ネットワークドメインに送信される、ことと、
    を行うように構成されるユーザ装置と、
    を含むシステム。
14. 前記グラフィカルコードは、ＱＲコードである、請求項１３に記載のシステム。
15. 前記一意のＵＲＬは、ウェブソケット接続を介して前記ログイン装置に提供される、請求項１３に記載のシステム。
16. 前記グラフィカルコードは、前記トランスポートサービスによって生成され、及びウェブソケット接続を介して前記ログイン装置に提供される、請求項１３に記載のシステム。
17. 前記グラフィカルコードは、前記ログイン装置上のネイティブアプリケーション内でレンダリングされる、請求項１３に記載のシステム。
18. 前記グラフィカルコードは、前記ネイティブアプリケーションによって生成される、請求項１７に記載のシステム。
19. 前記ログイン装置と前記ユーザ装置との間の前記ネットワーク接続は、ウェブソケット接続である、請求項１３に記載のシステム。
20. 前記暗号チャレンジ及び暗号レスポンスは、ＦＩＤＯ認証を含む、請求項１３に記載のシステム。
21. 前記ＦＩＤＯ認証のための前記暗号チャレンジ及び前記暗号レスポンスは、前記暗号化キーを用いて署名される、請求項２０に記載のシステム。
22. 前記暗号チャレンジ及び前記暗号レスポンスは、前記ユーザ装置のネイティブブラウザを介して伝達される、請求項２１に記載のシステム。
23. 前記一意のＵＲＬは、一連のランダム又は疑似ランダム文字列を含む、請求項１３に記載のシステム。
24. 前記一意のＵＲＬは、一意識別子を更に含む、請求項２３に記載のシステム。