HK1254321A1 - 服务器和存储介质 - Google Patents

Description

服务器、移动终端及程序

技术领域

本发明涉及服务器、移动终端及程序。

背景技术

近年来，用户在利用服务时有时需要进行用户认证。在用户认证的一例中，用户通过移动终端而向作为服务的提供目的地的服务器发送令牌，在服务器侧会判断该令牌的合法性。作为提供该令牌的方法，公知有利用IC芯片、USB钥匙等的专用硬件的方法、和利用安装在移动终端上的软件的方法。

发明内容

在利用专用的硬件来提供令牌的方法中，在丢失了该硬件的情况下无法进行认证。另一方面，在利用软件来提供令牌的方法中，需要向移动终端安装软件。无论是哪一种方法，移动终端的用户便利性均较低。本发明的部分实施方式提供一种对用户而言便利性较高的令牌的分配方式。

在本发明的一个方面中，提供一种服务器，其向移动终端提供令牌，其特征在于，具有：网络接口；以及与所述网络接口结合的处理部，所述处理部被构成为，从移动终端接收要求令牌的请求，取得所述移动终端的订户识别信息，取得包含与所述订户识别信息相关联的用户资料并且被赋予了电子签名的令牌，向所述移动终端发送所述令牌。

通过参照附图而进行的以下的说明，可清楚地理解本发明的其他特征及优点。另外，在附图中，对相同或同样的结构，标注相同的符号。

附图说明

附图包括在说明书中而构成其一部分，并示出了本发明的实施方式，附图用于与实施方式的记载一起对本发明的原理进行说明。

图1是对一部分的实施方式的移动体通信系统的结构例进行说明的图。

图2是对图1的一部分的装置的结构例进行说明的框图。

图3是对图1的移动体通信系统的动作例进行说明的时序图。

图4是对图1的移动终端的动作例进行说明的流程图。

图5是对图1的外部服务器的动作例进行说明的流程图。

图6是对图1的令牌要求服务器的动作例进行说明的流程图。

图7是对图1的令牌发出服务器的动作例进行说明的流程图。

图8是对图1的移动终端的另一动作例进行说明的流程图。

图9是对图1的外部服务器的另一动作例进行说明的流程图。

具体实施方式

参照图1，对本发明的一部分实施方式所涉及的移动体通信系统的结构进行说明。图1的移动体通信系统既可以遵循LTE(长期演进)，也可以遵循3G，还可以遵循其他规格。移动体通信系统构成移动网络110。移动网络110特别包括基站111、网关装置112、令牌要求服务器113、及令牌发出服务器114。移动体通信系统既可由MNO(移动体通信运营商)来提供，也可由MNO和MVNO(虚拟移动体通信运营商)共同提供。

移动体通信系统向移动终端101提供通信服务。移动终端101能够经由移动网络110而例如访问外部网络120所包括的外部服务器121。外部网络120既可以是互联网等公共网络，也可以是由个别企业等提供的专用网络。基站111将移动终端101连接到移动网络110内的核心网络。网关装置112作为核心网络的网关而发挥功能，具备对移动终端101提供与外部网络120的访问的功能。在移动网络110为3G网络的情况下，网关装置112相当于GGSN(分组·网关·节点)，在移动网络110为LTE网络的情况下，网关装置112相当于P-GW(分组数据网络网关)。外部服务器121对移动终端101提供网站(Web)阅览服务等各种服务。关于外部服务器121所提供的部分或全部服务，既可以要求移动终端101的用户的认证，也可以向移动终端101的用户要求个人信息。

令牌要求服务器113根据来自移动终端101的要求，向令牌发出服务器114要求生成令牌。令牌是指，外部服务器121中的认证中所使用的信息，又被称为认证令牌或安全令牌。令牌例如可以是RFC7519中规定的JSON Web Token。令牌发出服务器114根据来自令牌要求服务器113的要求而生成带电子签名的令牌。令牌发出服务器114例如包括在由令牌要求服务器113可安全地进行通信的后台的分段内。关于令牌要求服务器113及令牌发出服务器114的动作的具体情况，将在后文中叙述。

参照图2，对移动终端101、令牌要求服务器113、令牌发出服务器114及外部服务器121的结构例进行说明。基站111及网关装置112可以是以往的结构，因此省略其详细的说明。

移动终端101是能够访问移动网络110的设备，例如可以是移动体电话、智能手机、平板电脑、个人计算机、传感器、致动器等。可以假定移动终端101是携带的装置，也可以是假定它是固定使用的装置。移动终端101例如具备CPU201、存储器202、网络接口203、SIM卡204、显示器205及输入设备206。CPU201结合移动终端101的各结构要素对它们的动作进行控制。存储器202存储用于控制移动终端101的动作的程序，或用作进行动作时的作业区域。

网络接口203用于供移动终端101与其他的装置进行通信。网络接口203例如可访问LTE、3G等移动网络110。网络接口203还可访问移动网络110以外的网络，例如可访问无线LAN。

SIM卡204用于在移动终端101访问移动网络110时进行移动网络运营商的认证。SIM卡204具备存储有IMSI(国际移动体订户识别号码)及用于进行认证的秘密信息的IC芯片。IMSI是针对订户，按照每个加入契约而唯一地分配的订户识别信息的一例。由于SIM卡204SIM卡204的防篡改性高，因此无法从外部取得SIM卡204的内容。另外，IMSI是按照运用移动网络110的运营商而发行的，IMSI只有在注册到移动网络110的情况下才有效，因此伪造IMSI在实际中是不可能的。

对移动终端101分配有IMEI(国际移动体装置识别号码)。IMEI是指，对每个移动终端分配的国际识别号码。IMEI既可以存储在存储器202，也可以存储在网络接口203。

显示器205是用于向移动终端101的用户提示信息的设备。输入设备206是用于从移动终端101的用户受理输入的设备，例如由小键盘、触摸面板构成。在移动终端101为传感器、致动器等的情况下，移动终端101可以不具备显示器205及输入设备206。

令牌要求服务器113例如具备CPU211、存储器212、网络接口213及存储部214。CPU211结合令牌要求服务器113的各个结构要素对它们的动作进行控制。存储器212存储用于控制令牌要求服务器113的动作的程序或被用作进行动作时的作业区域。网络接口213用于供令牌要求服务器113与其他的装置进行通信。存储部214存储在令牌要求服务器113的动作中使用的各种信息。

令牌发出服务器114例如具备CPU221、存储器222、网络接口223及存储部224。CPU221结合令牌发出服务器114的各个结构要素对它们的动作进行控制。存储器222存储用于控制令牌发出服务器114的动作的程序或被用作进行动作时的作业区域。网络接口223用于供令牌发出服务器114与其他的装置进行通信。存储部224存储在令牌发出服务器114的动作中使用的各种信息。

外部服务器121例如具备CPU231、存储器232、网络接口233及存储部234。CPU231结合外部服务器121的各个结构要素对它们的动作进行控制。存储器232存储用于控制外部服务器121的动作的程序或被用作进行动作时的作业区域。网络接口233用于供外部服务器121与其他的装置进行通信。存储部234存储在外部服务器121的动作中使用的各种信息。例如，存储部234中存储有为了提供网页等服务所需的信息。

接着，参照图3，对图1的移动体通信系统的动作的一个脚本进行说明。在该脚本中，移动终端101经由移动网络110，通过HTTPS而访问外部服务器121所提供的网页。假设该网页的URL为“https://external-service.example.com/auth”。该网页需要由移动终端101的用户进行的认证。另外，假设令牌要求服务器113的URL为“https://auth.soracom.io”。在图3的各个步骤中，由双引号括起来的字符串表示用于执行各个步骤的HTTP命令。

在步骤S1中，移动终端101对外部服务器121发送用于阅览需要认证的网页的请求。在步骤S2中，外部服务器121将来自移动终端101的请求重定向至令牌要求服务器113。在步骤S3中，移动终端101按照来自外部服务器121的重定向指示，向令牌要求服务器113发送请求。在该请求中，作为参数而包括在取得令牌之后应返回的URL(即，步骤S1中的作为连接目的地的网页的URL)。

在步骤S4中，令牌要求服务器113判断移动终端101经由移动网络110而发送了请求这一情况，取得移动终端101的IMSI。在步骤S5中，令牌要求服务器113对令牌发出服务器114发送要求发出令牌的请求。在该请求中包括移动终端101的IMSI和在取得令牌之后所应当返回的URL。

在步骤S6中，令牌发出服务器114生成令牌，对该令牌赋予电子签名。在步骤S7中，令牌发出服务器114将带电子签名的令牌返送至令牌要求服务器113。在步骤S8中，令牌要求服务器113将带电子签名的令牌转送到移动终端101。

在步骤S9中，移动终端101向外部服务器121发送具备接收到的带电子签名的令牌来作为参数的引数的请求。在步骤S10中，外部服务器121对接收到的带电子签名的令牌进行验证。在此，设带电子签名的令牌是合法的。因此，在步骤S11中，外部服务器121根据来自移动终端101的请求，将需要认证的网页返送至移动终端101。

接着，参照图4～图7，对图3中的各个装置的动作的具体情况进行说明。首先，参照图4，对移动终端101的动作的具体情况进行说明。该动作通过由移动终端101的CPU201作为通用的处理电路而执行存储于存储器202的程序来实现。也可以代替该方式，移动终端101具备用于执行以下的各个步骤的专用的处理电路(例如，ASIC)，并由该电路执行各个步骤。

在步骤S401中，移动终端101向外部服务器121发送要求服务的请求。该服务可以需要认证，也可以不需要认证。该服务可以是如上述脚本那样的网页的阅览，也可以是利用了HTTP以外的协议的服务，例如邮件的收发、文件转送等。在外部服务器121的服务不需要认证的情况下，移动终端101从外部服务器121接收所提供的服务，并结束处理。以下，对外部服务器121的服务需要认证的情况进行说明。

在步骤S402中，移动终端101从外部服务器121接收重定向指示而作为在步骤S401中发送的请求的应答。该重定向指示中包括令牌要求服务器113的地址(例如，URL)。

在步骤S403中，移动终端101按照在步骤S402中接收到的重定向指示，向令牌要求服务器113发送请求。如上述的脚本那样，令牌要求服务器113根据来自移动终端101的请求，将带电子签名的令牌返送至移动终端101。因此，对于向令牌要求服务器113发送的请求，无论该请求内是否有明确的指示，都会作为要求带电子签名的令牌的请求来处理。向令牌要求服务器113发送的请求包括在步骤S401中发送的请求的目的地地址(例如，URL)。另外，向令牌要求服务器113发送的请求根据需要还可以包括由外部服务器121继续进行后续的步骤所需的信息(会话信息、辅助确定用户的信息等)。例如，在步骤S401中发送的请求为GET方法的情况下，向令牌要求服务器113发送的请求可以包括查询参数，在步骤S401中发送的请求为POST方法的情况下，向令牌要求服务器113发送的请求可以在Body中包括用户数据(即，移动终端101的用户可自由追加的任意数据)。

在步骤S404中，移动终端101从令牌要求服务器113接收带电子签名的令牌和该令牌应当提交的服务地址。应当提交令牌的服务例如为在步骤S401中被发送的请求的目的地的服务。

在步骤S405中，移动终端101对在步骤S404中指定的地址而发送包括带电子签名的令牌的请求。带电子签名的令牌例如作为表示令牌的参数的自变量而包括在请求中。对该请求作出应答，从外部服务器121向移动终端101提供需要认证的服务。

移动终端101可以在于步骤S405中发送请求之前，对在步骤S404中接收到的令牌的合法性进行验证。例如，移动终端101可以对令牌中所包含的IMSI及IMEI是否与自身的IMSI及IMEI一致进行判断，也可以对令牌中所包含的数据(查询参数、用户数据等)与在步骤S403中发送的请求中所包含的数据是否一致进行判断。在判断为令牌不合法的情况下，移动终端101不进行步骤S405的请求的发送。

接下来，参照图5，对外部服务器121的动作的具体情况进行说明。该动作可以通过由外部服务器121的CPU231作为通用的处理电路执行存储于存储器232的程序来实现。也可以代替于此，外部服务器121具备用于执行以下的各个步骤的专用的处理电路(例如，ASIC)，并由该电路执行各个步骤。

在步骤S501中，外部服务器121发送从移动终端101要求服务的请求。该请求与上述的步骤S401中所说明的相同。

在步骤S502中，外部服务器121对在步骤S501中要求的服务是否需要移动终端101的用户的认证进行判断。在需要认证的情况下(在步骤S502中为“是”)，外部服务器121使处理转移到步骤S503，在不需要认证的情况下(在步骤S502中为“否”)，外部服务器121使处理转移到步骤S506。在步骤S506中，外部服务器121对来自移动终端101的请求作出应答，向移动终端101提供服务。

在步骤S503中，外部服务器121对是否指定了令牌来作为在步骤S501中接收到的请求的参数进行判断。在指定了令牌的情况下(在步骤S503中为“是”)，外部服务器121使处理转移到步骤S505，在未指定令牌的情况下(在步骤S503中为“否”)，外部服务器121使处理转移到步骤S504。

在步骤S504中，外部服务器121将在步骤S501中接收到的请求向令牌要求服务器113重定向。令牌要求服务器113的地址由外部服务器121的管理者事先存储于外部服务器121的存储部234。在步骤S504中，外部服务器121还可以针对每个服务来判断，是通过将请求转送到令牌要求服务器113进行认证，还是通过另外的方法而进行认证的。外部服务器121在将请求重定向至令牌要求服务器113之后，使处理返回到步骤S501，等待来自移动终端101的进一步的请求。

在步骤S505中，外部服务器121对在步骤S501中接收到的请求中所包含的令牌是否合法进行判断。在令牌合法的情况下(在步骤S505中为“是”)，外部服务器121使处理转移到步骤S506，在令牌不合法的情况下(在步骤S505中为“否”)，外部服务器121使处理转移到步骤S507。

外部服务器121在虽然指定了令牌作为参数，但请求不包含令牌的情况下，外部服务器121判断为令牌不合法。例如，在上述的脚本中，在接收到的HTTP命令为“GET https://external-service.example.com/auth？token＝”的情况下，判断为令牌不合法。

在请求包括令牌的情况下，外部服务器121会判断该令牌的合法性。例如，外部服务器121用令牌发出服务器114的公开密钥来验证令牌所带的电子签名，并对是否过了令牌的有效期限进行判断。也可以代替于此，由外部服务器121指示令牌发出服务器114、或其他的验证服务器对令牌的合法性进行判断。

在步骤S506中，在令牌合法的情况下，外部服务器121对请求作出、已完成在步骤S501中要求的服务的认证这一应答，并向移动终端101提供服务。

在步骤S507中，在令牌不合法的情况下，外部服务器121对请求作出、在步骤S501中要求的服务的认证失败这一应答，并向移动终端101返送错误。例如，在上述的脚本中，外部服务器12返送“403Forbidden”1作为HTTP命令。

接下来，参照图6，对令牌要求服务器113的动作的具体情况进行说明。该动作可以通过由令牌要求服务器113的CPU211作为通用的处理电路执行存储于存储器212的程序来实现。也可以代替于此，令牌要求服务器113具备用于执行以下的各个步骤的专用的处理电路(例如，ASIC)，并由该电路执行各个步骤。

在步骤S601中，令牌要求服务器113从移动终端101接收要求令牌的请求。该请求与上述的步骤S403中所说明的相同。

在步骤S602中，令牌要求服务器113对在步骤S601中接收到的请求是否是经由移动网络110而接收到的进行判断。在是经由移动网络110而接收到的情况下(在步骤S602中为“是”)，令牌要求服务器113使处理转移到步骤S603，在是经由其他的网络而接收到的情况下(在步骤S602中为“否”)，令牌要求服务器113使处理转移到步骤S606。其他的网络是指，例如互联网等外部网络120。

令牌要求服务器113连接于网关装置112，具备用于在移动网络110内进行通信的端点和用于与外部网络120之间进行通信的端点。令牌要求服务器113通过两个独立的服务器而构成，这两个端点可以分别分配给两个服务器。在移动终端101经由移动网络110而访问令牌要求服务器113的情况下，令牌要求服务器113的地址(在上述的脚本中为“https://auth.soracom.io”)通过域名服务器而被域名解析成用于在移动网络110内进行通信的端点。另一方面，在移动终端101利用无线LAN等经由外部网络120而访问令牌要求服务器113的情况下，令牌要求服务器113的地址被域名解析成用于与外部网络120之间进行通信的端点。令牌要求服务器113通过判断哪个端点接收了请求，从而判断在步骤S601中接收到的请求是否经由移动网络110而被接收。

令牌要求服务器113也可以将接收经由移动网络110的访问和经由外部网络120的访问这两个访问的一个IP地址作为端点而使用，以代替上述的具备两个端点的方式。在该情况下，在移动网络110侧和外部网络120侧分别使用不同的网络接口，令牌要求服务器113根据接收的网络接口的不同来判断在步骤S601中接收到的请求是否是经由移动网络110而被接收的。具体地，令牌要求服务器113基于接收经由移动网络110的访问的网络接口接收到了请求的情况，判断为该请求是经由移动网络110而被接收的，并根据在接收经由外部网络120的访问的另外的网络接口接收到了请求的情况，判断为该请求是经由外部网络120而被接收的。对这些网络接口分配同一个IP地址。在令牌要求服务器113由两个独立的服务器构成，这两个端点分别分配给两个服务器的情况下，通过在各个端点使用同一个IP地址，并在移动网络110侧和外部网络120侧分别分配不同的网络接口，可实现同样的控制。

移动网络110可视为封闭式网络，因此无需对经由移动网络110的消息(请求、响应)加密，可以是明文。由此，可降低移动终端101中所需的处理能力和电力消耗。

在步骤S606中，令牌要求服务器113在经由其他的网络而接收到请求的情况下，向移动终端101返送错误，并通知无法发送令牌。这样，通过由令牌要求服务器113向移动终端101明确地返送错误，从而移动终端101无需等待超时等，能够继续进行处理。

在步骤S603中，令牌要求服务器113在经由移动网络110而接收到请求的情况下，取得移动终端101的IMSI。例如，令牌要求服务器113能够从移动网络110与移动终端101的会话信息取得IMSI。令牌要求服务器113在无法取得IMSI的情况下，例如移动终端101无法接收到由移动网络110提供的服务的情况下，可以与步骤S606同样，返送错误。并且，令牌要求服务器113在仅限于向特定的移动终端或特定的订户与移动终端的组合进行访问的情况下，从会话信息取得移动终端101的IMEI，并根据该IMEI来判断移动终端101是否能够接收由移动网络110提供的服务。由此，能够防止SIM卡204被盗时的恶意使用。

在步骤S604中，令牌要求服务器113向令牌发出服务器114请求令牌生成。该请求包括在步骤S603中取得的移动终端101的IMSI和在步骤601中接收到的来自移动终端101的请求中所包含的信息(在步骤S401中发送的请求的目的地地址、用户数据等)。另外，在于步骤S603中取得了移动终端101的IMEI的情况下，该请求还包括该IMEI。

在步骤S605中，令牌要求服务器113从令牌发出服务器114接收带电子签名的令牌，并向移动终端101转送该令牌。

接下来，参照图7，对令牌发出服务器114的动作的具体情况进行说明。该动作可以通过由令牌发出服务器114的CPU221作为通用的处理电路执行存储于存储器222的程序来实现。也可以代替于此，令牌发出服务器114具备用于执行以下的各个步骤的专用的处理电路(例如，ASIC)，并由该电路执行各个步骤。

在步骤S701中，令牌发出服务器114从令牌要求服务器113接收要求令牌的请求。该请求与在上述的步骤S604中所说明的相同。

在步骤S702中，令牌发出服务器114取得与步骤S701中接收到的请求所包含的IMSI相关的信息。该信息包括移动终端101的用户资料(例如，用户的姓名、住址、邮件地址等)。该信息事先存储于令牌发出服务器114的存储部224。也可以代替于此，用户资料可以存储于处于令牌发出服务器114的外部的数据库，令牌发出服务器114将IMSI作为关键字而从该数据库读出用户资料。

在步骤S703中，令牌发出服务器114生成令牌。该令牌包括：在步骤S701中接收到的请求中所包含的IMSI；在步骤S702中取得的信息；令牌发出服务器114所设定的令牌的有效期限；在步骤S701中接收到的请求中所包含的与向外部服务器121发出的请求相关的信息(用户数据、查询参数等)。

在步骤S704中，令牌发出服务器114利用令牌发出服务器114的私人密钥，对在步骤S703中生成的令牌赋予电子签名。电子签名的对象可以是全部令牌，也可以是其一部分。令牌发出服务器114的私人密钥事先存储于令牌发出服务器114的存储部224中。

在步骤S704中，令牌发出服务器114将在步骤S704中被赋予了电子签名的令牌返送至令牌要求服务器113。

根据以上说明的实施方式，在外部服务器121中的认证中也能够利用SIM的安全的认证结果。在上述的实施方式中，令牌要求服务器113在经由移动网络110以外的网络而接收到来自移动终端101的请求的情况下，会返送错误。也可以代替于此，令牌要求服务器113也可以通过利用与上述的移动终端101的会话取得IMSI(步骤S603)的方法不同的其他方法来对移动终端101进行认证，并取得该IMSI。例如，令牌要求服务器113可以利用遵循EAP(可扩展的认证协议)的质询·响应，经由外部网络120来对移动终端101进行认真，并取得该IMSI。该方法不仅适用于请求经由移动网络110以外的网络被接收到的情况，并且还适用于请求经由移动网络110而被接收到的情况。

在上述的实施方式中，使用了移动终端101的SIM卡204的认证结果还被用于外部服务器121中的认证中。因此，在利用网络共享等中继移动终端101从而访问外部服务器121的其他的设备中，也能够利用移动终端101的认证结果。移动终端101的用户在想要防止这样的被其他设备利用的情况下，可以设定成，令牌要求服务器113及移动终端101防范基于移动终端101的路由选择。例如，作为用于在令牌要求服务器113的移动网络110内进行通信的端点，可设定链路本地地址(IPv4中为169.254.0.0/16，IPv6中为fe80::/10)。在该情况下，令牌要求服务器113和移动终端101被直接链接，因此可通过链路本地地址到达。另一方面，经由移动终端101的其他的设备与令牌要求服务器113间接地链接，因此无法到达令牌要求服务器113。

接着，对图1的移动体通信系统的另一动作例进行说明。如上述，在向外部服务器121提供的令牌中包含用户资料。因此，移动终端101的用户可以利用上述的移动体通信系统向外部服务器121提供自己的个人信息。

首先，移动终端101的用户使移动终端101的IMSI与令牌发出服务器114相关联，并登记自己的个人信息。即，令牌发出服务器114的管理者实现了个人信息管理者的作用。个人信息管理者可以利用身份证明等确认移动终端101的用户是本人。另一方面，外部服务器121的管理者对个人信息管理者申请个人信息的利用。个人信息管理者可以进行外部服务器121的管理者的实际存在确认、或办公室的物理性确认。并且，个人信息管理者可以定期监视外部服务器121的管理者，将不合适的管理者从服务提供对象者中排除。

参照图8，对移动终端101的动作的具体情况进行说明。该动作可以通过由移动终端101的CPU201作为通用的处理电路执行存储于存储器202的程序来实现。也可以代替于此，移动终端101具备用于执行以下的各个步骤的专用的处理电路(例如，ASIC)，并由该电路执行各个步骤。

在步骤S801中，移动终端101向外部服务器121发送要求服务的请求。该服务可以需要个人信息，也可以不需要个人信息。该服务可以是上述脚本那样的网页的阅览，也可以是利用HTTP以外的协议的服务，例如邮件的收发、文件转送等。在外部服务器121的服务不需要个人信息的情况下，移动终端101接收从外部服务器121提供的服务，移动终端101结束处理。下面，针对外部服务器121的服务需要个人信息的情况进行处理。

在步骤S802中，移动终端101从外部服务器121接收输入个人信息的指示。该输入指示包括需要的个人信息的种类(例如，姓名、住址、电话号码、信用卡号码等)。

在步骤S803中，移动终端101将被指示输入的个人信息的种类显示到显示器205上，并受理是否应由用户利用输入设备206而提供个人信息的指示。在指示为不应提供个人信息的情况下，移动终端101结束处理，在指示为应该提供个人信息的情况下，移动终端101继续进行处理。

在步骤S804中，移动终端101向令牌要求服务器113发送请求。如上述，在本实施方式中，无论在该请求内是否有明确的指示，向令牌要求服务器113发送的请求都是作为要求带电子签名的令牌的请求而被处理的。向令牌要求服务器113发送的请求包含在步骤S801中发送的请求的目的地地址(例如，URL)。并且，向令牌要求服务器113发送的请求包含在步骤S802中接收到的所需的个人信息的种类。

令牌要求服务器113对在步骤S804中发送的请求作出应答，进行图6中所说明的处理，并将带电子签名的令牌返送至移动终端101。在该令牌中作为用户资料而包含移动终端101的用户的个人信息。如果请求中所包含的外部服务器121的地址并不是所申请利用的外部服务器121的地址，令牌要求服务器113向移动终端101返送错误。由此，防止向没有信用的外部服务器121提供用户的个人信息。

在步骤S805中，移动终端101从令牌要求服务器113接收令牌。在步骤S806中，移动终端101向外部服务器121发送令牌。

接下来，参照图9，对外部服务器121的动作进行具体说明。该动作可以通过由外部服务器121的CPU231作为通用的处理电路执行存储于存储器232的程序来实现。也可以代替于此，外部服务器121具备用于执行以下的各个步骤的专用的处理电路(例如，ASIC)，并由该电路执行各个步骤。

在步骤S901中，外部服务器121发送从移动终端101要求服务的请求。该请求与上述的步骤S801中所说明的相同。

在步骤S902中，外部服务器121对在步骤S901中所要求的服务是否需要移动终端101的用户的个人信息进行判断。在需要个人信息的情况下(在步骤S902中为“是”)，外部服务器121使处理转移到步骤S903，在不需要个人信息的情况下(在步骤S902中为“否”)，外部服务器121使处理转移到步骤S906。在步骤S906中，外部服务器121对来自移动终端101的请求作出应答而向移动终端101提供服务。作为需要个人信息的服务，例如有物品的发送(需要姓名、住址、电话号码等)、结算处理(需要姓名、信用卡号码等)。

在步骤S903中，外部服务器121向移动终端101要求输入提供服务时所需要的个人信息。在步骤S904中，外部服务器121从移动终端101接收令牌。

在步骤S905中，外部服务器121判断在步骤S904中接收到的令牌是否合法。在令牌合法的情况下(在步骤S905中为“是”)，外部服务器121使处理转移到步骤S906，在令牌不合法的情况下(在步骤S905中为“否”)，外部服务器121使处理转移到步骤S907。关于令牌的合法性的判断，与步骤S505相同。

在步骤S906中，在令牌合法的情况下，外部服务器121利用令牌中所包含的个人信息向移动终端101提供服务。外部服务器121也可以不从令牌取得个人信息，而是从令牌发出服务器114取得移动终端101的用户的个人信息。在该情况下，令牌可以仅具备外部服务器121所需要的个人信息的种类，而不包括个人信息的内容。外部服务器121也可以为了从令牌发出服务器114取得个人信息，向令牌发出服务器114发送在步骤S904中接收到的令牌。令牌发出服务器114在从外部服务器121接收到的令牌是自身所发出的令牌的情况下，向外部服务器121提供个人信息。在步骤S907中，在令牌不合法的情况下，外部服务器121对请求作出、没有输入个人信息这一应答，并向移动终端101返送错误。

在上述的实施方式中，移动终端101的用户能够在必要的范围内将自己的个人信息向可信赖的外部服务器121提供，并在令牌发出服务器114中对自己的个人信息进行统一管理。另外，外部服务器121的管理者自身无需管理移动终端101的用户的个人信息，因此降低泄漏事故等风险。并且，外部服务器121的管理者能够识别所取得的个人信息是正确的(至少识别出是由个人信息管理者管理的信息)。

本发明不限于上述的实施方式，能够在不脱离本发明的主旨及范围的前提下进行各种变更及变形。下面，通过所附的权利要求来公开本发明的范围。

Claims (12)

1.一种服务器，其向移动终端提供令牌，其特征在于，具有：

网络接口；以及

与所述网络接口结合的处理部，

所述处理部被构成为，

从移动终端接收要求令牌的请求，

取得所述移动终端的订户识别信息，

取得包含与所述订户识别信息相关联的用户资料并且被赋予了电子签名的令牌，

向所述移动终端发送所述令牌。

2.根据权利要求1所述的服务器，其特征在于，

所述服务器配置在移动网络内。

3.根据权利要求2所述的服务器，其特征在于，

所述处理部还被构成为，

对所述请求是否是经由所述移动网络而被接收到的进行判断，

在所述请求是经由所述移动网络而被接收到的情况下，向所述移动终端发送所述令牌，

在所述请求并非是经由所述移动网络而接收到的情况下，通知所述移动终端不发送所述令牌。

4.根据权利要求2所述的服务器，其特征在于，

所述处理部还被构成为，

判断所述请求是否是经由所述移动网络而被接收到的，

在所述请求是经由所述移动网络而被接收到的情况下，根据与所述移动终端的会话而取得所述订户识别信息，

在所述请求并非是经由所述移动网络而接收到的情况下，通过对所述移动终端进行认证处理而取得所述订户识别信息。

5.根据权利要求3或4所述的服务器，其特征在于，

所述服务器具有：第1网络接口，其接收经由所述移动网络的访问；以及第2网络接口，其接收非经由所述移动网络的访问，

所述处理部还被构成为，根据所述请求是由所述第1网络接口接收到的情况而判断出所述请求是经由所述移动网络而接收到的。

6.根据权利要求1至5中的任一项所述的服务器，其特征在于，

所述处理部还被构成为，

取得所述移动终端的装置识别信息，

在所述装置识别信息与所述订户识别信息不对应的情况下，不向所述移动终端发送所述令牌。

7.根据权利要求1至6中的任一项所述的服务器，其特征在于，

向所述网络接口分配链路本地地址。

8.一种服务器，其发行令牌，其特征在于，具有：

网络接口；以及

与所述网络接口结合的处理部，

所述处理部被构成为，

从要求装置接收要求发出令牌的请求，该请求包含移动终端的订户识别信息，

取得与所述订户识别信息相关联的用户资料，

生成包括所述用户资料的令牌，

对所述令牌赋予电子签名，

将被赋予了所述电子签名的令牌发送到所述要求装置。

9.根据权利要求8所述的服务器，其特征在于，

所述请求包含与所述令牌被提供的目的地有关的信息，

所述处理部还被构成为，

判断是否应当向所述目的地提供所述令牌，

在不应当向所述目的地提供所述令牌的情况下，不向所述要求装置发送所述令牌。

10.一种服务器，其向移动终端提供服务，其特征在于，具有：

网络接口；以及

与所述网络接口结合的处理部，

所述处理部被构成为，

从所述移动终端接收要求服务的请求，

在所述服务需要所述移动终端的用户的认证或个人信息的情况下，将所述请求重定向给，被配置在移动网络内并向所述移动终端提供令牌的服务器，

在所述请求中包括令牌、并且所述令牌合法的情况下，向所述移动终端提供所述服务。

11.一种程序，其用于使计算机作为权利要求1至10中的任一项所述的服务器的控制部而发挥功能。

12.一种移动终端，其特征在于，具有：

存储器，其存储订户识别信息；

网络接口；

与所述存储器和所述网络接口结合的处理部，

所述处理部被构成为，

对配置在移动网络内的第1服务器发送要求令牌的请求，该令牌包含与所述订户识别信息相关联的用户资料，

向对所述移动终端提供服务的第2服务器发送包含所述令牌的请求。