JP2018028745A - 認証サーバ、仲介サーバおよび広告配信サーバ - Google Patents

Abstract

【課題】多数のサーバが関与する広告配信を悪用した攻撃、特に広告媒体を介する広告配信を悪用した攻撃に対して利用者端末に画一的且つ高いセキュリティを提供できる認証サーバを提供する。【解決手段】広告タグ発行部３２０は、広告の領域を含む広告媒体を送信する広告媒体サーバが利用者端末に送信して実行させるための広告タグに、利用者端末にて実行されると広告の配信を制御する配信制御プログラムの送信を要求させる処理を記述して発行し、広告媒体サーバに送信する。そして、配信制御プログラム発行部３２３は、利用者端末が受信した受信情報が、仲介サーバが利用者端末に送信する仲介情報に対して仲介署名発行部３２１が生成した仲介署名とともに受信された仲介情報か否かを検証し、検証に成功すると受信情報の利用を許可する処理が記述された配信制御プログラムを、広告タグを実行した利用者端末からの要求に応じて当該利用者端末に送信する。【選択図】 図１

Description

本発明は、利用者端末に広告媒体を介して広告を配信する広告配信システムに関連し、広告の配信を制御する配信制御プログラムの発行等を行う認証サーバ、広告の配信を仲介する仲介サーバ、および広告を配信する広告配信サーバに関する。

近年、利用者端末に表示する広告を自動オークションして配信するＲＴＢ（Real Time Bidding）方式が主流となってきている。ＲＴＢ方式では、デマンドサイドプラットフォーム（Demand-Side Platform；DSP）すなわち広告を買う側の事業者の複数のサーバ、サプライサイドプラットフォーム（Supply-Side Platform；SSP）すなわち広告を供給する側の事業者の複数のサーバ、落札された広告の画像を配信する画像サーバなど多数の広告事業者のサーバが関与する（非特許文献１における図１−２−３など）。

「ＤＳＰ／ＲＴＢオーディエンスターゲティング入門」横山隆治、菅原健一、楳田良輝（インプレスジャパン）

ところで、広告配信に多数のサーバが関与すると、利用者端末が様々なセキュリティレベルのサーバと通信することとなり、利用者端末においてマルウェア感染等のリスクが高まる。例えば、広告配信を仲介するサーバの中にセキュリティレベルの低いサーバが１つでもあると、当該サーバが不正侵入され仲介情報が改ざんされることなどによって利用者端末にマルウェア等が送信される場合がある。

このように広告配信を悪用して利用者端末にマルウェアを感染させる攻撃はマルバタイジング（Malvertising）などと称され、短期間で被害が拡大し易いことから問題となっている。

しかしながら、マルバタイジングに対する画一的且つ高いセキュリティを利用者端末に提供することは困難であった。すなわち、サーバ単位あるいは広告事業者単位でセキュリティを提供しても配信システム全体として画一的且つ高いセキュリティを提供することが困難であった。
また、広告の多くはウェブページ、アプリ画面、ゲーム画面などの一部に表示されることが多い。つまり多数の広告事業者のサーバが関与する広告は、さらに広告媒体を提供する多数の広告媒体事業者のサーバを介して配信されるため、マルバタイジングに対する画一的且つ高いセキュリティを利用者端末に提供することはさらに困難となっていた。

本発明は、上記問題を鑑みてなされたものであって、多数のサーバが関与する広告配信を悪用した攻撃、特に広告媒体を介する広告配信を悪用した攻撃に対して利用者端末に画一的且つ高いセキュリティを提供できる認証サーバを提供することを目的とする。

また本発明は、利用者端末に画一的且つ高いセキュリティを提供する認証サーバを用いて利用者端末への広告の配信を仲介する仲介サーバを提供することを別の目的とする。

また本発明は、利用者端末に画一的且つ高いセキュリティを提供する認証サーバを用いて利用者端末への広告の配信を行う広告配信サーバを提供することを別の目的とする。

かかる課題を解決するために、本発明は、広告の領域を含む広告媒体を利用者端末に送信する広告媒体サーバが利用者端末に送信して利用者端末に実行させるための広告タグであって、利用者端末にて実行されると広告の配信を制御する配信制御プログラムの送信を利用者端末に要求させる処理を記述した広告タグを広告媒体サーバに送信する広告タグ発行部と、公開鍵暗号方式により、広告の配信を仲介する仲介サーバが利用者端末に送信する仲介情報に対して仲介署名を生成し、仲介署名を仲介サーバに送信する仲介署名発行部と、少なくとも、利用者端末が受信した受信情報が仲介署名とともに受信された仲介情報であることを検証する仲介検証処理、および、仲介検証処理が成功した場合は利用者端末による受信情報の利用を許可し、仲介検証処理が失敗した場合は利用者端末による受信情報の利用を禁止する仲介制御処理が記述された配信制御プログラムを、広告タグを実行した利用者端末からの要求に応じて当該利用者端末に送信する配信制御プログラム発行部と、を備えたことを特徴とする認証サーバを提供する。

また、かかる認証サーバにおいて、仲介情報は、仲介サーバのアドレスまたは前記広告を配信する広告配信サーバのアドレスを含み、仲介制御処理は、仲介検証処理が成功した場合は仲介情報に含まれたアドレスへの接続を利用者端末に行わせ、仲介検証処理が失敗した場合は利用者端末による受信情報の利用を禁止する処理であることが好ましい。

また、かかる認証サーバにおいては、公開鍵暗号方式により広告に対して広告署名を生成し、広告署名を広告配信サーバに送信する広告署名発行部、をさらに備え、配信制御プログラム発行部は、仲介検証処理、仲介制御処理、広告配信サーバから利用者端末が受信する広告が当該広告に対する広告署名とともに受信されたことを検証する広告検証処理、および、広告検証処理が成功した場合は利用者端末における広告の表示を許可し、広告検証処理が失敗した場合は利用者端末における広告の表示を禁止する表示制御処理が記述された配信制御プログラムを、広告タグを実行した利用者端末からの要求に応じて当該利用者端末に送信することが好ましい。

また、かかる認証サーバにおいては、広告タグ発行部は、配信制御プログラムの送信をＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を用いて利用者端末から認証サーバに要求させる処理を記述した広告タグを広告媒体サーバに送信することにより、当該配信制御プログラムが認証サーバの権限で動作させることを可能にしたものとすることが好ましい。

また、本発明は、利用者端末に広告の配信を仲介する仲介情報を送信する仲介サーバであって、仲介情報を、所定の認証サーバが公開鍵暗号方式により仲介情報に対して生成した仲介署名とともに利用者端末に送信することを特徴とした仲介サーバを提供する。

また、かかる仲介サーバにおいては、認証サーバを指定したクロスオリジンリソースシェアリングの許可コードを含めたＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）レスポンスによって、仲介情報と仲介署名とを利用者端末に送信することが好ましい。

また、本発明は、利用者端末に広告を配信する広告配信サーバであって、広告を、所定の認証サーバが公開鍵暗号方式により広告に対して生成した広告署名とともに利用者端末に送信することを特徴とした広告配信サーバを提供する。

また、かかる広告配信サーバにおいては、認証サーバを指定したクロスオリジンリソースシェアリングの許可コードを含めたＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）レスポンスによって、広告と広告署名とを利用者端末に送信することが好ましい。

本発明の認証サーバ、仲介サーバまたは広告配信サーバによれば、広告媒体を介した広告配信に多数のサーバが関与しても利用者端末に画一的且つ高いセキュリティを提供できる。

本発明に係る広告配信システムの全体構成図である。 本発明の一実施形態に係る利用者端末の構成を示すブロック図である。 本発明の一実施形態に係る認証サーバの構成を示すブロック図である。 認証サーバの鍵記憶部が記憶するデータ例を説明する図である。 認証サーバの配信制御情報記憶部が記憶するデータ例を説明する図である。 広告媒体例を説明する図である。 広告媒体の記述例を説明する図である。 本発明の一実施形態に係る広告媒体サーバの構成を示すブロック図である。 本発明の一実施形態に係る広告領域管理サーバの構成を示すブロック図である。 広告決定要求とその返信の例を説明する模式図である。 本発明の一実施形態に係る広告管理サーバの構成を示すブロック図である。 本発明の一実施形態に係る広告配信サーバの構成を示すブロック図である。 広告配信前の動作を説明するフローチャートである。 広告配信の動作を説明するフローチャートである。

以下、本発明に係る認証サーバ、仲介サーバまたは広告配信サーバを用いた広告配信システムの実施の形態について、図を参照しつつ説明する。

［構成例］
図１は、本発明の好適な実施形態の一例に係る広告配信システム１の構成を示す構成図である。

広告配信システム１は、利用者端末２、認証サーバ３、広告媒体サーバ４−１、４−２、…、広告領域管理サーバ５−１、５−２、…、広告管理サーバ６−１、６−２、…、広告配信サーバ７−１、７−２、…および広告主端末８がインターネット９を介して接続されることにより構成される。

利用者端末２は、インターネット９を介して各種サービスを利用する利用者により所有される端末装置である。例えば、このサービスは広告媒体サーバ４−１、４−２、…が提供する広告媒体が利用者端末２にてウェブページとして表示されることにより実現される。その場合の広告媒体は例えばニュース記事等をその内容とするＨＴＭＬ（Hypertext Markup Language）ファイル、スタイルファイル、画像ファイル等からなるファイル群である。
また、これらの広告媒体は広告を表示するための処理などが記述された領域を含む。以下、この領域を広告領域と称する。広告領域に対応して広告配信サーバ７−１、７−２、…が提供する広告が表示され、広告媒体と共に広告が利用者の閲覧に供される。広告配信サーバ７−１、７−２、…が提供する広告は、広告主端末８から事前に当該広告配信サーバに送信されたものである。表示される広告は競売により動的に決定される。

なお、広告媒体の内容はニュース記事に限らずブログ、ゲームまたはアプリ等であってもよい。また、広告媒体の形式はＨＴＭＬファイルを含んだファイル群に限らず、実行形式のファイル等であってもよい。
また、広告（広告データ）は企業やサービスのロゴをその内容とする静止画ファイルまたは動画ファイル等である。広告は企業サイトやサービスサイトへのリンクを含む場合もある。

広告領域管理サーバ５−１、５−２、…および広告管理サーバ６−１、６−２、…は利用者端末２への広告の配信を仲介する仲介サーバである。仲介を受けた利用者端末２は、紹介されたアドレスに接続することになる。広告を仲介するために通信される情報を仲介情報と称する。

このように広告の配信には多数のサーバが関与し、関与するサーバが増えるほど、これらと通信し得る利用者端末２においてはマルウェアやウイルスに感染する可能性が高まる。

例えば、広告配信サーバ７−１、７−２、…のいずれかが不正侵入され、そのサーバから広告を改ざんした受信情報または広告を偽装した受信情報を表示した利用者端末２、あるいは、広告を改ざんした受信情報または広告を偽装した受信情報に含まれるリンク先に接続した利用者端末２は、マルウェアやウイルスに感染し得る。
また例えば、広告領域管理サーバ５−１、５−２、…および広告管理サーバ６−１、６−２、…のいずれかが不正侵入されると、仲介情報を改ざんした受信情報または仲介情報を偽装した受信情報に基づく通信を行った利用者端末２は、マルウェアやウイルスに感染し得る。

認証サーバ３は、仲介情報に対する電子署名、広告に対する電子署名およびこれらの電子署名を検証して仲介や表示の実行を制御するためのプログラム等を提供し、利用者端末２がマルウェアやウイルスに感染することを防ぐ。以下、仲介情報に対する電子署名を仲介署名と称し、広告に対する電子署名を広告署名と称する。また、仲介署名や広告署名を検証して広告の仲介や広告の表示の実行を制御するためのプログラムを配信制御プログラムと称する。

以下、利用者端末２、認証サーバ３、広告媒体サーバ４−１、４−２、…、広告領域管理サーバ５−１、５−２、…、広告管理サーバ６−１、６−２、…および広告配信サーバ７−１、７−２、…のそれぞれについて説明する。

＜利用者端末＞
図２に利用者端末２の構成の一例を示す。

利用者端末２は、パーソナルコンピュータ、スマートフォン、タブレット等の端末装置であり、端末通信部２０、端末記憶部２１、端末表示部２２および端末処理部２３等を備える。
端末通信部２０はインターネット９に接続されて認証サーバ３、広告媒体サーバ４−１、４−２、…、広告領域管理サーバ５−１、５−２、…、広告管理サーバ６−１、６−２、…および広告配信サーバ７−１、７−２、…との通信を行う通信インターフェース回路である。端末記憶部２１はブラウザ等の各種プログラムや各種データを記憶するＲＯＭ、ＲＡＭ等の記憶装置である。端末表示部２２は広告媒体および広告などを表示する液晶ディスプレイ等の表示装置である。端末処理部２３はＣＰＵ（Central Processing Unit）、ＭＣＵ（Micro Control Unit）等で構成される演算装置であり、端末通信部２０、端末記憶部２１および端末表示部２２と接続され、端末記憶部２１に記憶されているプログラム等に従って通信処理や表示処理を行う。通信処理や表示処理については後述する。

＜認証サーバ＞
図３に認証サーバ３の構成の一例を示す。

認証サーバ３はいわゆるサーバ装置であり、認証通信部３０、認証記憶部３１および認証処理部３２等を備える。
認証通信部３０は、インターネット９に接続されて利用者端末２、広告媒体サーバ４−１、４−２、…、広告領域管理サーバ５−１、５−２、…、広告管理サーバ６−１、６−２、…および広告配信サーバ７−１、７−２、…との通信を行う通信インターフェース回路である。
認証記憶部３１は各種プログラムや各種データを記憶するＲＯＭ、ＲＡＭ等の記憶装置である。認証記憶部３１には鍵記憶部３１０および配信制御情報記憶部３１１が含まれる。

鍵記憶部３１０は、認証サーバ３に固有の秘密鍵および当該秘密鍵に対応する公開鍵を、秘密鍵と公開鍵の組ごとに付与された鍵ＩＤと対応付けて記憶する。これらの鍵は、予め認証処理部３２が生成し、あるいは予め第三者機関により生成されて鍵記憶部３１０に記憶されている。
好ましくは、鍵記憶部３１０には、さらに、秘密鍵および公開鍵と対応付けて生成日時および有効期限等が記憶され、有効期限が到来する前に、新た生成された秘密鍵および公開鍵が追記される。

図４に鍵記憶部３１０が記憶するデータの例を示す。この例では、現在日付が２０１６年７月１２日であるとすると、鍵ＩＤが１である現在無効な公開鍵「FJAIERHI289TY…」と秘密鍵「JCAIUHV846A9…」の組、および鍵ＩＤが２である現在有効な公開鍵「FJAIERHI289TY…」と秘密鍵「JCAIUHV846A9…」の組、…が記憶されている。

配信制御情報記憶部３１１は、広告領域ごとに、当該広告領域に一意に付与された広告領域ＩＤ、広告領域管理サーバ５−１、５−２、…のうちの当該広告領域を管理している広告領域管理サーバのアドレス、当該広告領域の情報および当該広告領域に対して利用者端末装置２が受信し得る仲介署名や広告署名の検証に必要な公開鍵の鍵ＩＤ等を記憶する。

図５に配信制御情報記憶部３１１が記憶するデータの例を示す。例示したデータは、広告領域ＩＤ「ad123456」が付与された広告領域を管理している広告領域管理サーバ５−１のアドレスが「https://ssp1.ads.com」であり同広告領域は広告媒体サーバ４−１の広告媒体「http://www.pub1.com/contents.htm」に含まれるものであり同広告領域の署名検証に用いる公開鍵の鍵ＩＤが２であること、および広告領域ＩＤ「ad667788」が付与された広告領域を管理している広告領域管理サーバ５−１のアドレスが「https://ssp1.ads.com」であり同広告領域は広告媒体サーバ４−２の広告媒体「http://www.pub2.com/contents.htm」に含まれるものであり同広告領域の署名検証に用いる公開鍵の鍵ＩＤが２であること、…を示している。

配信制御情報記憶部３１１が記憶する広告領域ごとの広告領域管理サーバのアドレスおよび広告領域ごとの鍵ＩＤ等は、各広告領域に対する配信制御プログラムを生成するための基礎情報となる。

認証処理部３２は、ＣＰＵ、ＭＣＵ等で構成される演算装置であり、認証通信部３０および認証記憶部３１と接続される。認証処理部３２は、認証記憶部３１に記憶されているプログラム等に従って広告タグ発行部３２０、仲介署名発行部３２１、広告署名発行部３２２、配信制御プログラム発行部３２３などとして動作する。

広告タグ発行部３２０は、広告領域管理サーバ５−１、５−２、…から広告領域の情報を認証通信部３０経由で受信すると、当該広告領域を一意に識別可能な広告領域ＩＤを付与するとともに、当該広告領域を表す初期コードであり当該広告領域の広告領域ＩＤを含ませた広告タグを生成し、生成した広告タグを認証通信部３０経由で返信する。広告タグは、受信した広告領域管理サーバによって、対応する広告領域を含めた広告媒体を提供する広告媒体サーバに転送される。なお、広告領域の情報とは、対象の広告領域を含んだ広告媒体のアドレス、当該広告媒体内における広告の表示位置および同広告の大きさなどである。また、広告タグの生成および送信は広告の配信に先立って行われる。

また広告タグ発行部３２０は、付与した広告領域ＩＤと広告領域の情報の送信元である広告領域管理サーバのアドレスと広告領域の情報と鍵記憶部３１０における現在有効な鍵ＩＤとを対応付けて配信制御情報記憶部３１１に記憶させる。なお、鍵記憶部３１０への鍵の追加や有効期限の到来に応じて配信制御情報記憶部３１１の鍵ＩＤを更新してもよい。

広告タグは、広告媒体サーバ４−１、４−２、…が利用者端末２に送信して当該利用者端末に実行させるためのコードであって、当該利用者端末にて実行されると認証サーバ３による配信制御プログラムの送信を当該利用者端末に要求させる処理を記述したコードである。配信制御プログラムは、広告の配信を制御するプログラムであり、その詳細は後述する。

ちなみに、広告タグを受信した広告媒体サーバ４−１、４−２、…は、受信した広告タグを含めた広告媒体を生成して記憶しておき、利用者端末２からの要求に応じて当該広告媒体を当該利用者端末に送信する。

図６は、広告媒体サーバ４−１が記憶する広告媒体１００等を例示したものである。広告媒体１００は利用者端末２に送信され、広告媒体１００中に記されている「trustad.js」が利用者端末２のブラウザにて実行されると広告媒体１００が広告媒体１１０に置き換わる。

広告媒体１００中の点線で囲んだコードが広告タグ１０１である。広告タグ１０１は、広告領域ＩＤ「ad123456」の広告タグ生成の第二段階として、認証サーバ３「ads.ttp.com」へのプログラム「trustad.js」の送信を利用者端末２に要求させることを示している。

広告タグ発行部３２０は、この要求に応じて「trustad.js」を利用者端末２に送信し、利用者端末２にて「trustad.js」が実行されると広告タグ１０１が広告タグ１１１に置き換わる。

広告タグ１１１中の「<iframe src = “https://ads.ttp.com/frame.php?adtag_id=ad123456” />」は、広告領域ＩＤ「ad123456」が付与された広告領域用の配信制御プログラムの送信要求の第一段階として、認証サーバ３「ads.ttp.com」のＣＧＩ（Common Gateway Interface）プログラム「frame.php」によるインラインフレームのファイルの生成と送信を利用者端末２に要求させることを示している。そしてこのＣＧＩプログラム「frame.php」により送信されるファイルには配信制御プログラムが含まれる。

なお、図６を参照して上述した例では認証サーバ３における広告タグ発行部３２０の保守性を高めるために（すなわち広告媒体を変更せずに「trustad.js」をバージョンアップ可能とするために）２段階で広告タグを生成しているが、これを１段階とすることもできる。その場合、広告タグ発行部３２０は図６の広告タグ１１１で例示したような広告タグを広告媒体サーバ４−１に送信する。

仲介署名発行部３２１は、仲介サーバから仲介情報を受信した場合に、当該仲介情報の安全性を確認し、安全性が確認された場合に、公開鍵暗号方式により当該仲介情報に対する仲介署名を生成し、生成した仲介署名を仲介サーバに返信する。

具体的には、例えば、仲介署名発行部３２１は、広告管理サーバ６−１、６−２、…のいずれかから当該広告管理サーバが利用者端末装置２に送信する予定の広告管理先紹介情報を認証通信部３０経由で受信すると、受信した広告管理先紹介情報に含まれている広告管理サーバのアドレスに自動接続してマルウェアやウイルス等が受信されるか否かを確認し、マルウェアやウイルス等が受信されなかった場合に広告管理先紹介情報が安全であり、受信された場合に安全でないと判定する。或いは、事前に安全性を確認したアドレスが記載されたホワイトリストを認証記憶部３１に記憶させておき、受信した広告管理先紹介情報に含まれている広告管理サーバのアドレスがホワイトリストに含まれる場合に広告管理先紹介情報が安全であると判定し、含まれない場合に安全でないと判定することもできる。
そして、受信した広告管理先紹介情報の安全性が確認された場合に、鍵記憶部３１０から現在有効な秘密鍵を読み出し、受信した広告管理先紹介情報に対する電子署名を生成し、生成した電子署名を認証通信部３０経由で返信する。

また、仲介署名発行部３２１は、広告管理サーバ６−１、６−２、…のいずれかから当該広告管理サーバが利用者端末装置２に送信する予定の広告配信元紹介情報を認証通信部３０経由で受信すると、広告配信元紹介情報の安全性を確認し、安全性が確認された場合に、鍵記憶部３１０から現在有効な秘密鍵を読み出し、受信した広告配信元紹介情報に対する電子署名を生成し、生成した電子署名を認証通信部３０経由で返信する。

広告署名発行部３２２は、広告配信サーバ７−１、７−２、…から広告を受信した場合に、当該広告の安全性を確認し、安全性が確認された場合に、公開鍵暗号方式により当該広告に対する広告署名を生成し、生成した広告署名を広告配信サーバ７−１、７−２、…に返信する。

具体的には、例えば、広告署名発行部３２２は、広告配信サーバ７−１、７−２、…のいずれかから当該広告配信サーバが利用者端末装置２に送信する予定の広告を認証通信部３０経由で受信すると、当該広告をスキャンしてマルウェアやウイルス等が検出されるか否かを確認し、マルウェアやウイルス等が検出されなかった場合に広告が安全であると判定し、検出された場合に安全でないと判定する。
そして、受信した広告の安全性が確認された場合に、鍵記憶部３１０から現在有効な秘密鍵を読み出し、受信した広告に対する電子署名を生成し、生成した電子署名を認証通信部３０経由で返信する。

なお、有効な秘密鍵が鍵記憶部３１０に複数記憶されている場合、仲介署名発行部３２１および広告署名発行部３２２は、生成日時が最も新しい秘密鍵を用いて電子署名を生成するのがよい。

配信制御プログラム発行部３２３は、広告領域ごとの広告タグを実行した利用者端末２から配信制御プログラム発行要求を受信した場合に、当該利用者端末に当該広告領域に対応する配信制御プログラムを返信する。公開鍵は利用者端末からの要求に応じて都度送信することもできるが、通信回数を減らすために、好ましくは、配信制御プログラム発行部３２３は公開鍵を含ませた配信制御プログラムを返信する。

広告領域ごとの配信制御プログラムのそれぞれは、以下に示す広告決定要求処理、仲介検証処理、仲介制御処理、広告検証処理および表示制御処理が記述されたプログラムであり、返信先の利用者端末２にて実行される。

広告決定要求処理は、配信制御プログラム発行要求に対応する広告領域を管理している広告領域管理サーバに、当該広告領域に配信する広告の決定を要求する広告決定要求処理を送信する処理である。ちなみに、この広告決定要求処理を受信した広告領域管理サーバは競売を実行して当該広告領域に表示する広告を決定する。なお、広告決定要求に、端末記憶部２１にクッキー（cookie）などとして記憶されている利用者属性を含めてもよい。広告決定要求に利用者属性が含まれる場合は当該利用者属性が加味された競売が行われる。

仲介検証処理は、利用者端末２が受信した受信情報が仲介署名とともに受信された仲介情報であることを検証する処理である。なお、仲介署名の検証は認証サーバ３の公開鍵を用いて行われる。

仲介制御処理は、仲介検証処理が成功した場合に利用者端末２による受信情報の利用を許可し、仲介検証処理が失敗した場合に利用者端末２による受信情報の利用を禁止する処理である。なお、仲介検証処理が成功した場合に許可されるのは、仲介情報に基づく利用者端末２の通信等であり、具体的には、広告管理先紹介情報に含まれるアドレスへのリダイレクト通信、および広告配信元紹介情報に含まれるアドレスへのリダイレクト通信等である。

仲介制御処理により、マルウェアやウイルス等に感染する可能性がある受信情報の利用は禁止される。よって、利用者端末２を、仲介情報を改ざんした受信情報または仲介情報を偽装した受信情報によるマルウェア感染やウイルス感染等から護ることができる。

広告検証処理は、広告配信サーバ７−１、７−２、…のいずれかから利用者端末２が受信する広告が当該広告に対する広告署名とともに受信されたことを検証する処理である。なお、広告署名の検証は認証サーバ３の公開鍵を用いて行われる。

表示制御処理は、広告検証処理が成功した場合に利用者端末２における広告の表示を許可し、広告検証処理が失敗した場合に利用者端末２における広告の表示を禁止する処理である。

表示制御処理によっても、マルウェアやウイルス等に感染する可能性がある受信情報の利用は禁止される。よって、利用者端末２を、広告を改ざんした受信情報や広告を偽装した受信情報によるマルウェア感染やウイルス感染等から護ることができる。

なお、複数の公開鍵が有効期限内である場合、仲介検証処理および広告検証処理においては、有効な公開鍵のいずれかにより検証できれば検証成功とすることができる。

具体的には、配信制御プログラム発行部３２３は、利用者端末２から広告領域ＩＤが含まれた配信制御プログラム発行要求を認証通信部３０経由で受信すると、配信制御情報記憶部３１１から当該広告領域ＩＤと対応付けて記憶されている広告領域管理サーバのアドレスおよび鍵ＩＤ等を読み出すとともに当該鍵ＩＤに対応する公開鍵を鍵記憶部３１０から読み出し、読み出した広告領域管理サーバのアドレスに対する広告決定要求処理、読み出した公開鍵を用いた仲介検証処理、仲介制御処理、読み出した公開鍵を用いた広告検証処理および表示制御処理を記述した配信制御プログラム生成して認証通信部３０経由で返信する。

図７に、図６で例示した広告タグの実行により配信制御プログラム発行部３２３から利用者端末２に送信される配信制御プログラムの例を示す。
図７のＨＴＭＬファイル２００は広告領域を表すインラインフレームのファイルであり、利用者端末２が図６で例示したＣＧＩプログラム「frame.php」を実行することより認証サーバ３から利用者端末２に送信される。ＨＴＭＬファイル２００の一部であるコード２０１が配信制御プログラムの一部を表している。コード２０１のうちの「GJAIIAJFMAW4…」は広告領域ＩＤ「ad123456」が付与された広告領域の検証に用いる公開鍵を表し、コード２０１のうちの「https://ssp1.ads.com」は同広告領域の広告決定要求先が広告領域管理サーバ５−１であることを表している。

また図７のＪａｖａＳｃｒｉｐｔ（登録商標）ファイル２１０は配信制御プログラムのその余の部分である。ＪａｖａＳｃｒｉｐｔファイル２１０は、利用者端末２がコード２０１のうちの「<script src = “https://ads.ttp.com/verify.js”></script>」を実行することにより認証サーバ３から利用者端末２に送信される。ＪａｖａＳｃｒｉｐｔファイル２１０において、コード２１１には「https://ssp1.ads.com」への広告決定要求処理が記述されており、コード２１２には公開鍵「GJAIIAJFMAW4…」を用いた仲介検証処理が記述されており、コード２１３にはコード２１２の検証結果に応じた仲介制御処理が記述されており、コード２１４には公開鍵「GJAIIAJFMAW4…」を用いた広告検証処理が記述されており、コード２１５にはコード２１４の検証結果に応じた表示制御処理が記載されている。
つまりＨＴＭＬファイル２００中のコード２０１とＪａｖａＳｃｒｉｐｔファイル２１０が配信制御プログラムである。

ここで、配信制御プログラムを含んだＨＴＭＬファイル２００が広告媒体本体のＨＴＭＬ１００または１１０とは別に、認証サーバ３によって生成され、ＨＴＴＰ（Hypertext Transfer Protocol）通信によって利用者端末２に送信されたことに注意されたい。このように生成され送信されたＨＴＭＬファイル２００に含まれる配信制御プログラムは、利用者端末２において認証サーバ３の権限で実行されることになる。このことによって、広告媒体を送信した広告媒体サーバやそれを受信した利用者端末によらず、配信制御プログラムの処理を認証サーバ３の権限で実行でき、画一的且つ高いセキュリティを利用者端末２に提供できる。

なお、図７を参照して上述した例では認証サーバ３における配信制御プログラム発行部３２３の保守性を高めるために（すなわち「frame.php」を変更することなく「verify.js」をバージョンアップ可能とするために）２段階で配信制御プログラムを送信しているが、これを１段階とすることもできる。その場合、配信制御プログラム発行部３２３は図７のＨＴＭＬファイル２００にＪａｖａＳｃｒｉｐｔファイル２１０内のコードを直接記述したＨＴＭＬファイルを利用者端末２に送信する。

＜広告媒体サーバ＞
広告媒体サーバ４−１、４−２、…のそれぞれはアド・ネットワークにおいてパブリッシャー（Publisher）と位置付けられるサーバ装置である。広告媒体サーバ４−１、４−２、…のそれぞれはインターネット９を介して利用者端末２および広告領域管理サーバ５−１、５−２、…に接続される。

図８に広告媒体サーバ４−１の構成の一例を示す。

広告媒体サーバ４−１はＰＵＢ通信部４０−１、ＰＵＢ記憶部４１−１およびＰＵＢ処理部４２−１等を備える。
ＰＵＢ通信部４０−１はインターネット９に接続されて利用者端末２および広告領域管理サーバ５−１、５−２、…との通信を行う通信インターフェース回路である。ＰＵＢ記憶部４１−１は各種プログラムやデータを記憶するＲＯＭ、ＲＡＭ等の記憶装置である。ＰＵＢ処理部４２−１はＣＰＵ、ＭＣＵ等で構成される演算装置であり、ＰＵＢ通信部４０−１およびＰＵＢ記憶部４１−１と接続されて通信処理等を行う。

ＰＵＢ記憶部４１−１が記憶するデータには１または複数の広告媒体が含まれる。また各広告媒体には当該広告媒体に対応する広告タグを含む。

例えば、ＰＵＢ記憶部４１−１が記憶する広告媒体のひとつは図６に例示したＨＴＭＬファイル１００であり、その広告媒体に含まれる広告タグは図６に例示したコード１０１である。

図６の広告タグ１０１は、事前に、認証サーバ３の広告タグ発行部３２０により生成され、広告領域管理サーバ５−１を介して広告媒体サーバ４−１に送信される。広告媒体サーバ４−１のＰＵＢ処理部４２−１はＰＵＢ通信部４０−１経由で広告タグ１０１を受信して広告媒体１００の広告領域に広告タグ１０１を書き加え、ＰＵＢ記憶部４１−１に記憶させる。

そして、広告媒体サーバ４−１のＰＵＢ処理部４２−１は、利用者端末２からの広告媒体１００のアドレスを指定した広告媒体要求をＰＵＢ通信部４０−１経由で受信した場合に、広告タグ１０１を含んだ広告媒体１００をＰＵＢ通信部４０−１経由で当該利用者端末に返信する。

ここまでは広告媒体サーバ４−１について説明したが、他の広告媒体サーバ４−２、…も、広告媒体サーバ４−１のＰＵＢ記憶部４０−１と同様のＰＵＢ記憶部４０−２、…（不図示）、広告媒体サーバ４−１のＰＵＢ通信部４１−１と同様のＰＵＢ通信部４１−２、…（不図示）および広告媒体サーバ４−１のＰＵＢ処理部４２−１と同様のＰＵＢ処理部４２−２、…（不図示）等を備える。

すなわち、広告媒体サーバ４−１、４−２、…のそれぞれは、広告の配信に先立って、各広告媒体に対応する広告タグを広告領域管理サーバ５−１、５−２、…のいずれかを介して認証サーバ３から受信し、受信した広告タグを含んだ広告媒体を生成し、記憶している。

そして、広告媒体サーバ４−１、４−２、…のそれぞれは、利用者端末２から広告媒体要求を受信した場合に、広告タグを含んだ広告媒体を当該利用者端末に返信する。

＜広告領域管理サーバ＞
広告領域管理サーバ５−１、５−２、…のそれぞれはＲＴＢ方式のアド・ネットワークにおいてＳＳＰに位置付けられるサーバ装置である。つまり広告領域管理サーバ５−１、５−２、…のそれぞれは広告媒体主側の仲介サーバである。広告領域管理サーバ５−１、５−２、…のそれぞれはインターネット９を介して利用者端末２、認証サーバ３および広告媒体サーバ４−１、４−２、…、広告管理サーバ６−１、６−２、…に接続される。

図９に広告領域管理サーバ５−１の構成の一例を示す。

広告領域管理サーバ５−１はＳＳＰ通信部５０−１、ＳＳＰ記憶部５１−１およびＳＳＰ処理部５２−１等を備える。
ＳＳＰ通信部５０−１はインターネット９に接続されて利用者端末２、認証サーバ３および広告管理サーバ６−１、６−２、…との通信を行う通信インターフェース回路である。ＳＳＰ記憶部５１−１は各種プログラムや認証サーバ３のアドレスなどの各種データを記憶するＲＯＭ、ＲＡＭ等の記憶装置である。ＳＳＰ処理部５２−１はＣＰＵ、ＭＣＵ等で構成される演算装置であり、ＳＳＰ通信部５０−１およびＳＳＰ記憶部５１−１と接続されて通信処理等を行う。

また、広告領域管理サーバ５−１は、利用者端末２からの広告決定要求をＳＳＰ通信部５０−１経由で受信した場合に、広告管理サーバ６−１、６−２、…と通信して競売を行うことにより当該利用者端末に配信する広告を決定する。

また、広告領域管理サーバ５−１は、決定した広告を管理している広告管理サーバ（落札した広告管理サーバ）から当該広告管理サーバのアドレスを含む広告管理先紹介情報、当該広告管理先紹介情報に対する仲介署名および決定した広告の広告ＩＤをＳＳＰ通信部５０−１経由で受信すると、それらを配信先の利用者端末２にＳＳＰ通信部５０−１経由で転送する。

この転送は、認証サーバ３を指定したクロスオリジンリソースシェアリング（Cross-Origin Resource Sharing；CORS（W3C Recommendation 16 January 2014））許可コードを含めたＨＴＴＰレスポンスによって行われる。図１０はこの転送の一例を示す模式図である。

図１０では、広告領域管理サーバ５−１「ads.ssp1.com」から利用者端末２へ、広告管理先紹介情報と仲介署名を含むデータ「IAJ49URA9HBAS.JFAIT2939T0HA.23VHAU92T」をＨＴＴＰレスポンスにより転送する様子を示している。そのＨＴＴＰレスポンスのヘッダ部に記述された「Access-Control-Allow-Origin: https://ads.ttp.com」が認証サーバ３のオリジン（生成元としての権限）「https://ads.ttp.com」を指定したＣＯＲＳ許可コードである。この記述によって広告領域管理サーバ５−１は、認証サーバ３の権限下で動作している配信制御プログラムに、広告管理先紹介情報と仲介署名が受け付けられるようにして転送することができる。

ここまでは広告領域管理サーバ５−１について説明したが、他の広告領域管理サーバ５−２、…も、広告領域管理サーバ５−１のＳＳＰ記憶部５１−１と同様のＳＳＰ記憶部５１−２、…（不図示）、広告領域管理サーバ５−１のＳＳＰ通信部５０−１と同様のＳＳＰ通信部５０−２、…（不図示）および広告領域管理サーバ５−１のＳＳＰ処理部５２−１と同様のＳＳＰ処理部５２−２、…（不図示）等を備える。なお、競売時に共働する広告管理サーバは広告領域管理サーバ５−１、５−２、…の間で一部または全部が重複してもよい。

すなわち、広告領域管理サーバ５−１、５−２、…のそれぞれは、利用者端末２からの広告決定要求を受信した場合に、広告管理サーバ６−１、６−２、…のうちのいずれか１以上との共働により競売を行って利用者端末２に配信する広告を決定し、決定した広告を管理している広告管理サーバのアドレスを含む広告管理先紹介情報、当該広告管理先紹介情報に対する仲介署名および決定した広告の広告ＩＤを当該利用者端末に返信する。これによって広告領域管理サーバ５−１、５−２、…のそれぞれは、認証サーバ３を共通の信頼点とした画一的且つ高いセキュリティを利用者端末２に提供できる。

そして、広告領域管理サーバ５−１、５−２、…のそれぞれは、利用者端末２への上記返信を、認証サーバ３を指定したクロスオリジンリソースシェアリングの許可コードを含めたＨＴＴＰレスポンスによって行う。すなわち広告領域管理サーバ５−１、５−２、…のそれぞれは、広告配信システム１における共通の信頼点である認証サーバ３の権限で実行されている配信制御プログラムを介して利用者端末２と通信するため、画一的且つ高いセキュリティを利用者端末２に提供できる。

＜広告管理サーバ＞
広告管理サーバ６−１、６−２、…のそれぞれは、ＲＴＢ方式のアド・ネットワークにおいてＤＳＰに位置付けられるサーバ装置である。つまり広告管理サーバ６−１、６−２、…のそれぞれは広告主側の仲介サーバである。広告管理サーバ６−１、６−２、…のそれぞれはインターネット９を介して利用者端末２、認証サーバ３、広告領域管理サーバ５−１、５−２、…および広告配信サーバ７−１、７−２、…に接続される。

図１１に広告管理サーバ６−１の構成の一例を示す。

広告管理サーバ６−１はＤＳＰ通信部６０−１、ＤＳＰ記憶部６１−１およびＤＳＰ処理部６２−１等を備える。
ＤＳＰ通信部６０−１はインターネット９に接続されて利用者端末２、認証サーバ３、広告領域管理サーバ５−１、５−２、…および広告配信サーバ７−１、７−２、…との通信を行う通信インターフェース回路である。ＤＳＰ記憶部６１−１は各種プログラムやデータを記憶するＲＯＭ、ＲＡＭ等の記憶装置である。ＤＳＰ処理部６２−１はＣＰＵ、ＭＣＵ等で構成される演算装置であり、ＤＳＰ通信部６０−１およびＤＳＰ記憶部６１−１と接続されて通信処理等を行う。

ＤＳＰ記憶部６１−１が記憶するデータには、自身のアドレスを含む広告管理先紹介情報、各広告管理先紹介情報に対する電子署名および認証サーバ３のアドレスが含まれる。広告管理先紹介情報は仲介情報のひとつであり、広告管理先紹介情報に対する電子署名は仲介署名のひとつである。仲介署名は認証サーバ３によって生成され、広告管理サーバ６−１は事前にこれらを取得して記憶している。

また、ＤＳＰ記憶部６１−１が記憶するデータには、自身が管理する１または複数の広告の広告ＩＤ、各広告を記憶している広告配信サーバそれぞれのアドレスを含む広告配信元紹介情報、および各広告配信元紹介情報に対する電子署名が含まれる。広告配信元紹介情報は仲介情報のひとつであり、広告配信元紹介情報に対する電子署名は仲介署名のひとつである。仲介署名は認証サーバ３によって生成され、広告管理サーバ６−１は事前にこれらを取得して記憶している。

また、ＤＳＰ記憶部６１−１が記憶するデータには、各広告の落札条件等（不図示）を含み、広告管理サーバ６−１は、広告領域管理サーバ５−１、５−２、…のいずれかが広告決定要求を受信すると当該広告領域管理サーバに自身が管理している広告の落札条件等を当該広告の広告ＩＤとともに送信することで競売を行う。そして自身の管理する広告が利用者端末２に配信する広告に決定された場合（自身が入札した広告が落札した場合）、広告管理サーバ６−１は、自身のアドレスを含む広告管理先紹介情報と当該広告管理先紹介情報に対する仲介署名と配信が決定された広告の広告ＩＤとを、入札先の広告領域管理サーバに送信する。

この広告管理先紹介情報と仲介署名と広告ＩＤは入札先の広告領域管理サーバから利用者端末２に転送され、転送に応答して当該利用者端末２から広告管理サーバ６−１に当該広告ＩＤを含んだ配信元紹介要求が送信される。

広告管理サーバ６−１は、配信が決定した広告の広告ＩＤが含まれた配信元紹介要求を利用者端末２からＤＳＰ通信部６０−１経由で受信すると、当該広告ＩＤに対応づけて記憶している広告配信元紹介情報および仲介署名を当該利用者端末２にＤＳＰ通信部６０−１経由で返信する。

この返信は、認証サーバ３を指定したＣＯＲＳ許可コードを含めたＨＴＴＰレスポンスによって行われ、これによって広告管理サーバ６−１は、認証サーバ３の権限下で動作している配信制御プログラムに、広告配信元紹介情報および仲介署名が受け付けられるようにして返信することができる。

ここまでは広告管理サーバ６−１について説明したが、他の広告管理サーバ６−２、…も、広告管理サーバ６−１のＤＳＰ通信部６０−１と同様のＤＳＰ通信部６０−２、…（不図示）、広告管理サーバ６−１のＤＳＰ記憶部６１−１と同様のＤＳＰ記憶部６１−２、…（不図示）および広告管理サーバ６−１のＤＳＰ処理部６２−１と同様のＤＳＰ処理部６２−２、…（不図示）等を備える。

すなわち、広告管理サーバ６−１、６−２、…のそれぞれは、広告配信に先立って、それぞれが利用者端末２に送信する予定のある広告管理先紹介情報のそれぞれを認証サーバ３に送信して認証サーバ３から当該広告管理先紹介情報に対する仲介署名を受信し、それぞれのＤＳＰ記憶部６１−１、６１−２、…に記憶している。

また、広告管理サーバ６−１、６−２、…のそれぞれは、広告配信に先立って、利用者端末２に送信する予定のある広告配信元紹介情報のそれぞれを認証サーバ３に送信して認証サーバ３から当該広告配信元紹介情報に対する仲介署名を受信し、それぞれのＤＳＰ記憶部６１−１、６１−２、…に記憶している。

また、広告管理サーバ６−１、６−２、…のそれぞれは、広告領域管理サーバ５−１、５−２、…のいずれかおよび他の広告管理サーバとの共働により競売を行って利用者端末２に配信する広告を決定する。

そして、広告管理サーバ６−１、６−２、…のそれぞれは、自身が管理している広告が利用者端末２に配信する広告に決定された場合、自身のアドレスを含む広告管理先紹介情報、当該広告管理先情報に対する仲介署名および配信が決定した広告の広告ＩＤを、広告領域管理サーバに送信する（広告領域管理サーバ経由で利用者端末２に送信する）。

また、広告管理サーバ６−１、６−２、…のそれぞれは、利用者端末２からの広告配信元紹介要求を受信した場合に、広告配信サーバ７−１、７−２、…のうちの当該利用者端末２への配信が決定した広告を記憶している広告配信サーバのアドレスを含む広告配信元紹介情報、当該広告配信元紹介情報に対する仲介署名を当該利用者端末２に返信する。これによって広告管理サーバ６−１、６−２、…のそれぞれは、認証サーバ３を共通の信頼点とした画一的且つ高いセキュリティを利用者端末２に提供できる。

そして、広告管理サーバ６−１、６−２、…のそれぞれは、利用者端末２への上記返信を、認証サーバ３を指定したクロスオリジンリソースシェアリングの許可コードを含めたＨＴＴＰレスポンスによって行う。すなわち広告管理サーバ６−１、６−２、…のそれぞれは、広告配信システム１における共通の信頼点である認証サーバ３の権限で実行されている配信制御プログラムを介して利用者端末２と通信するため、画一的且つ高いセキュリティを利用者端末２に提供できる。

＜広告配信サーバ＞
広告配信サーバ７−１、７−２、…のそれぞれはアド・ネットワークにおいてコンテンツ・デリバリー・ネットワーク（Contents Delivery Network；CDN）の構成要素と位置付けられるサーバ装置である。広告配信サーバ７−１、７−２、…のそれぞれはインターネット９を介して利用者端末２、広告管理サーバ６−１、６−２、…および認証サーバ３に接続される。

図１２に広告配信サーバ７−１の構成の一例を示す。

広告配信サーバ７−１はＣＤＮ通信部７０−１、ＣＤＮ記憶部７１−１およびＣＤＮ処理部７２−１等を備える。
ＣＤＮ通信部７０−１はインターネット９に接続されて利用者端末２、広告管理サーバ６−１、６−２、…および認証サーバ３との通信を行う通信インターフェース回路である。ＣＤＮ記憶部７１−１は各種プログラムやデータを記憶するＲＯＭ、ＲＡＭ等の記憶装置である。ＣＤＮ処理部７２−１はＣＰＵ、ＭＣＵ等で構成される演算装置であり、ＣＤＮ通信部７０−１およびＣＤＮ記憶部７１−１と接続されて通信処理等を行う。

ＣＤＮ記憶部７１−１が記憶するデータには１または複数の広告、各広告に一意に付与された広告ＩＤ、各広告に対する電子署名および認証サーバ３のアドレスが含まれる。以下、広告に対する電子署名を広告署名と称する。広告署名は認証サーバ３によって生成され、広告配信サーバ７−１は事前にこれらを認証サーバ３からＣＤＮ通信部７０−１経由で受信して記憶している。

また、広告配信サーバ７−１は、利用者端末２から広告ＩＤを含んだ広告配信要求をＣＤＮ通信部７０−１経由で受信した場合に、当該広告ＩＤに対応する広告および当該広告に対する広告署名を当該利用者端末２にＣＤＮ通信部７０−１経由で返信する。

この返信は、認証サーバ３を指定したＣＯＲＳ許可コードを含めたＨＴＴＰレスポンスによって行われ、これによって広告配信サーバ７−１は、認証サーバ３の権限下で動作している配信制御プログラムに、広告および広告署名が受け付けられるようにして返信することができる。

ここまでは広告配信サーバ７−１について説明したが、他の広告配信サーバ７−２、…も、広告配信サーバ７−１のＣＤＮ通信部７０−１と同様のＣＤＮ通信部７０−１、…（不図示）、広告配信サーバ７−１のＣＤＮ記憶部７１−１と同様のＣＤＮ記憶部７１−２、…（不図示）および広告配信サーバ７−１のＣＤＮ処理部７２−１と同様のＣＤＮ処理部７２−１、…（不図示）等を備える。

すなわち、広告配信サーバ７−１、７−２、…のそれぞれは、広告配信に先立って、各広告を認証サーバ３に送信して認証サーバ３から当該広告に対する広告署名を受信し、それぞれのＣＤＮ記憶部７１−１、７１−２、…に記憶している。

そして、広告配信サーバ７−１、７−２、…のそれぞれは、利用者端末２から広告ＩＤを含んだ広告配信要求を受信した場合に、当該広告ＩＤに対応する広告および当該広告に対する広告署名を当該利用者端末２に返信する。これによって広告配信サーバ７−１、７−２、…のそれぞれは、認証サーバ３を共通の信頼点とした画一的且つ高いセキュリティを利用者端末２に提供できる。

そして、広告配信サーバ７−１、７−２、…のそれぞれは、利用者端末２への上記返信を、認証サーバ３を指定したクロスオリジンリソースシェアリングの許可コードを含めたＨＴＴＰレスポンスによって行う。すなわち広告配信サーバ７−１、７−２、…のそれぞれは、広告配信システム１における共通の信頼点である認証サーバ３の権限で実行されている配信制御プログラムを介して利用者端末２と通信するため、画一的且つ高いセキュリティを利用者端末２に提供できる。

［動作例］
＜広告配信前の動作＞
図１３を参照して、広告配信に先立って行われる動作の例、すなわち利用者端末２がニュース記事等をブラウジングするために広告媒体サーバ４−１、４−２、…のいずれかに接続する前の動作の例について説明する。

本例においては、広告領域管理サーバ５−１が、広告媒体サーバ４−１および４−２が提供する広告媒体の広告領域を管理しているとする。

広告領域管理サーバ５−１は広告媒体サーバ４−１が提供する広告媒体のアドレスなどからなる広告領域の情報を含めた広告タグ要求を認証サーバ３に送信し、認証サーバ３の広告タグ発行部３２０はこれを受信する（Ｓ１０）。

広告タグ要求を受信した広告タグ発行部３２０は当該要求に含まれる広告領域の情報に対して広告領域ＩＤを付与するとともに当該広告領域ＩＤを含む広告タグを生成して広告領域管理サーバ５−１に返信し、広告領域管理サーバ５−１はこれを受信する（Ｓ１１）。また、広告タグ発行部３２０は付与した広告領域ＩＤと要求元である広告領域管理サーバ５−１のアドレスと要求に含まれていた広告領域の情報と現在有効な鍵ＩＤとを対応付けて配信制御情報記憶部３１１に記憶させる。

広告タグを受信した広告領域管理サーバ５−１は当該広告タグを広告媒体サーバ４−１に転送し、転送を受けた広告媒体サーバ４−１は受信した広告タグを広告媒体に追加し、追加後の広告媒体をＰＵＢ記憶部４１−１に記憶させる（Ｓ１２）。

同様に、広告領域管理サーバ５−１は広告媒体サーバ４−２が提供する広告媒体に係る広告領域の情報を含めた広告タグ要求を認証サーバ３に送信し、認証サーバ３の広告タグ発行部３２０はこれを受信する（Ｓ１３）。

広告タグ発行部３２０はステップＳ１３で受信した広告領域の情報に対する広告領域ＩＤを付与して広告タグを生成し、広告領域管理サーバ５−１に返信し、広告領域管理サーバ５−１はこれを受信する（Ｓ１４）。また、広告タグ発行部３２０は付与した広告領域ＩＤと広告領域管理サーバ５−１のアドレスとステップＳ１３の要求に含まれていた広告領域の情報と現在有効な鍵ＩＤとを対応付けて配信制御情報記憶部３１１に記憶させる。

広告領域管理サーバ５−１はステップＳ１４で受信した広告タグを広告媒体サーバ４−２に転送し、転送を受けた広告媒体サーバ４−２は受信した広告タグを広告媒体に追加して、追加後の広告媒体をＰＵＢ記憶部４１−２に記憶させる（Ｓ１５）。

他の広告媒体サーバも同様に広告タグ発行部３２０から発行された広告タグを広告媒体に追加して、追加後の広告媒体を自身のＰＵＢ記憶部に記憶させる。

一方、広告管理サーバ６−１は、自身のアドレスを含んだ広告管理先紹介情報を含めた署名要求を認証サーバ３に送信し、認証サーバ３の仲介署名発行部３２１は該要求を受信する（Ｓ２０）。

ステップＳ２０で署名要求を受信した仲介署名発行部３２１は鍵記憶部３１０に記憶されている現在有効な最新の秘密鍵を用いて該要求内の広告管理先紹介情報に対する仲介署名を生成し、広告管理サーバ６−１に返信する（Ｓ２１）。返信を受けた広告管理サーバ６−１は、受信した仲介署名を、広告管理先紹介情報と対応付けてＳＳＰ記憶部５１−１に記憶させる。

同様に、広告管理サーバ６−２は自身への広告管理先紹介情報を認証サーバ３に送信し、認証サーバ３の仲介署名発行部３２１はこれを受信する（Ｓ２２）。

仲介署名発行部３２１はステップＳ２２で受信した広告管理先紹介情報に対する仲介署名を生成して広告管理サーバ６−２に返信し、広告管理サーバ６−２は広告管理先紹介情報と仲介署名を対応付けてＤＳＰ記憶部６１−２に記憶させる（Ｓ２３）。

また、他の広告管理サーバも同様に、仲介署名発行部３２１が生成した自身への広告管理先紹介情報に対する仲介署名を広告管理先紹介情報と対応付けて自身のＤＳＰ記憶部に記憶させる。

また、本例においては、広告管理サーバ６−１が広告配信サーバ７−１による広告の配信を管理しており、広告管理サーバ６−２が広告配信サーバ７−２による広告の配信を管理しているとする。

広告管理サーバ６−１は広告配信サーバ７−１のアドレスを含んだ広告配信元紹介情報を含めた署名要求を認証サーバ３に送信し、認証サーバ３の仲介署名発行部３２１は該要求を受信する（Ｓ３０）。

ステップＳ３０で署名要求を受信した仲介署名発行部３２１は、鍵記憶部３１０に記憶されている現在有効な最新の秘密鍵を用いて該要求内の広告配信元紹介情報に対する仲介署名を生成し、広告管理サーバ６−１に返信する（Ｓ３１）。返信を受けた広告管理サーバ６−１は、受信した仲介署名を、広告配信サーバ７−１のアドレスを含んだ広告配信元紹介情報と対応付けてＤＳＰ記憶部６１−１に記憶させる。

同様に、広告管理サーバ６−２は、広告配信サーバ７−２への広告配信元紹介情報を認証サーバ３に送信し、認証サーバ３の仲介署名発行部３２１はこれを受信する（Ｓ３２）。

仲介署名発行部３２１はステップＳ３２で受信した広告配信元紹介情報に対する仲介署名を生成して広告管理サーバ６−２に返信し、広告管理サーバ６−２は広告配信元紹介情報と仲介署名を対応付けてＤＳＰ記憶部６１−２に記憶させる（Ｓ３３）。

また、他の広告管理サーバも同様に、自身が管理している広告配信サーバへの広告配信元紹介情報に対して仲介署名発行部３２１が生成した仲介署名を広告配信元紹介情報と対応付けて自身のＤＳＰ記憶部に記憶させる。

広告配信サーバ７−１は、自身が記憶している広告を含めた署名要求を認証サーバ３に送信し、認証サーバ３の広告署名発行部３２２は該要求を受信する（Ｓ４０）。

ステップＳ４０で署名要求を受信した広告署名発行部３２２は、鍵記憶部３１０に記憶されている現在有効な最新の秘密鍵を用いて該要求内の広告に対する広告署名を生成して広告配信サーバ７−１に返信する（Ｓ４１）。返信を受けた広告配信サーバ７−１は、受信した広告署名を、送信した広告と対応付けてＣＤＮ記憶部７１−１に記憶させる。なお、広告を複数記憶している場合は、各広告に対して広告署名の発行を受ける。

同様に、広告配信サーバ７−２は、自身が記憶している広告を認証サーバ３に送信し、認証サーバ３の広告署名発行部３２２はこれを受信する（Ｓ４２）。

広告署名発行部３２２はステップＳ４２で受信した広告に対する広告署名を生成して広告配信サーバ７−２に返信し、広告配信サーバ７−２は該広告と受信した広告署名を対応付けてＣＤＮ記憶部７１−２に記憶させる（Ｓ４３）。広告を複数記憶している場合は、各広告に対して広告署名の発行を受ける。

また、他の広告配信サーバも同様に、自身が記憶している各広告に対して広告署名発行部３２２が生成した広告署名を該広告と対応付けて自身のＣＤＮ記憶部に記憶させる。

＜広告配信時の動作＞
図１４を参照して、広告配信サーバ７−１の広告が広告媒体サーバ４−１の広告媒体とともに利用者端末２に表示される場合の例を中心に広告配信システム１の動作を説明する。

利用者が利用者端末２を操作して、ブラウザを起動し、広告媒体サーバ４−１の広告媒体のアドレスを入力すると、利用者端末２は広告媒体サーバ４−１に広告媒体のアドレスを含めた広告媒体要求を送信する（Ｓ１００）。

広告媒体要求を受信した広告媒体サーバ４−１は、利用者端末２に広告媒体を返信する（Ｓ１０１）。返信する広告媒体には広告タグが含まれておおり、その広告タグには広告領域ＩＤが含まれている。例えば返信する広告媒体は図６に示したような広告タグ１０１を含むＨＴＭＬファイル１００である。

広告媒体を受信した利用者端末２は、広告領域ＩＤを含めた配信制御プログラム発行要求を認証サーバ３に送信し、認証サーバ３の配信制御プログラム発行部３２３がこれを受信する（Ｓ１０２）。

配信制御プログラム発行要求を受信した配信制御プログラム発行部３２３は、該要求内の広告領域ＩＤと対応する広告領域管理サーバアドレスおよび鍵ＩＤを配信制御情報記憶部３１１から読み出し、さらに当該鍵ＩＤと対応する公開鍵を鍵ＩＤ記憶部３１０から読み出して、読み出した広告領域管理サーバアドレスおよび公開鍵を含めた配信制御プログラムを生成する。そして配信制御プログラム発行部３２３は、配信制御プログラムを含んだ広告領域のデータを利用者端末２に返信する（Ｓ１０３）。広告領域のデータは例えば図６に示したインラインフレームのＨＴＭＬファイル２００である。

ただし、本実施形態においては、この時点で広告タグ発行の第二段階も実行される。すなわち、利用者端末２にて図６に例示した第一段階の広告タグ１０１が「trustad.js」の送信を認証サーバ３に要求し、該要求を受信した認証サーバ３の広告タグ発行部３２０が「trustad.js」を返信する。そして、利用者端末２にて「trustad.js」が実行されて、第一段階の広告タグ１０１が第二段階の広告タグ１１１に置き換わり、第二段階の広告タグ１１１が実行されることによって配信制御プログラム発行要求が送信される。

配信制御プログラムを受信した利用者端末２は、当該プログラムを実行する。利用者端末２においては、配信制御プログラムを認証サーバ３からＨＴＴＰ通信で受信したことにより、配信制御プログラムが認証サーバ３の権限で実行される。つまり広告領域に係る受信情報が認証サーバ３からの受信情報、または認証サーバ３を指定したＣＯＲＳ許可コードが設定されたＨＴＴＰレスポンスでなければ受け付けなくなる。

配信制御プログラムを実行した利用者端末２は当該プログラムに従い、まず、広告領域管理サーバ５−１に広告決定要求を送信する（Ｓ１０４）。ちなみに利用者端末２は広告媒体における広告以外の内容をこの時点で端末表示部２２に表示させる。

広告決定要求を受信した広告領域管理サーバ５−１は広告管理サーバ６−１、６−２、…と通信して競売を行い、利用者端末２に配信する広告を決定する（Ｓ１０５）。本例においては広告管理サーバ６−１が管理している広告が配信対象に決定されたとする。

配信する広告が決定すると、決定した広告を管理している広告管理サーバ６−１は自身のアドレスを含んだ広告管理先紹介情報と当該広告管理先紹介情報に対する仲介署名を広告領域管理サーバ５−１に送信し、広告領域管理サーバ５−１はこれを利用者端末２に転送する（Ｓ１０６）。なお、ステップＳ１０８の転送は認証サーバ３を指定したＣＯＲＳ許可コードを含めたＨＴＴＰレスポンスによって行われる。

広告管理先紹介情報と仲介署名を受信した利用者端末２は、配信制御プログラムに従い、仲介署名検証処理を行う（Ｓ１０７）。すなわち利用者端末２は、ステップＳ１０３で受信した公開鍵を用いて、ステップＳ１０６で受信した仲介署名を検証する。

ステップＳ１０７の署名検証に失敗した場合、利用者端末２は、受信した広告管理先紹介情報が認証サーバ３による電子署名がなされていない不正な情報でありマルウェア感染等の危険があると判定して、その旨の警告出力を行い、配信制御プログラムの実行を終了する。すなわちこの場合、利用者端末２は広告管理先紹介情報に含まれたアドレスへの通信を行わない。

また、ＣＯＲＳ許可コードのない広告管理先紹介情報が受信された場合は配信制御プログラムが受け付けず、利用者端末２は広告管理先紹介情報に含まれたアドレスへの通信を行わない。この場合も不正な情報であるとして警告出力を行ってもよい。

他方、ステップＳ１０７の署名検証に成功した場合、利用者端末２は、受信した広告管理先紹介情報は正当であるとして、広告管理先紹介情報が示す広告管理サーバ６−１に配信元紹介要求を送信する（Ｓ１０８）。本例においては配信対象に決定された広告は広告配信サーバ７−１が記憶しているとする。

配信元紹介要求を受信した広告管理サーバ６−１は、ステップＳ１０５で決定した広告を記憶している広告配信サーバ７−１のアドレスを含んだ広告配信元紹介情報と当該広告配信元紹介情報に対する仲介署名を利用者端末２に返信する（Ｓ１０９）。なお、ステップＳ１０９の返信も認証サーバ３を指定したＣＯＲＳ許可コードを含めたＨＴＴＰレスポンスによって行われる。

広告配信元紹介情報と仲介署名を受信した利用者端末２は、配信制御プログラムに従い、仲介署名検証処理を行う（Ｓ１１０）。すなわち利用者端末２は、ステップＳ１０３で受信した公開鍵を用いて、ステップＳ１０９で受信した仲介署名を検証する。

ステップＳ１１０の署名検証に失敗した場合、利用者端末２は、受信した広告配信元紹介情報が認証サーバ３による電子署名がなされていない不正な情報でありマルウェア感染等の危険があると判定して、その旨の警告出力を行い、配信制御プログラムの実行を終了する。すなわちこの場合、利用者端末２は広告配信元紹介情報に含まれたアドレスへの通信を行わない。

また、ＣＯＲＳ許可コードのない広告配信元紹介情報が受信された場合は配信制御プログラムが受け付けず、利用者端末２は広告配信元紹介情報に含まれたアドレスへの通信を行わない。この場合も不正な情報であるとして警告出力を行ってもよい。

他方、ステップＳ１１０の署名検証に成功した場合、利用者端末２は、受信した広告配信元紹介情報は正当であるとして、広告配信元紹介情報が示す広告配信サーバ７−１に広告配信要求を送信する（Ｓ１１１）。

広告配信要求を受信した広告配信サーバ７−１は、ステップＳ１０５で決定した広告と当該広告に対する広告署名を利用者端末２に返信する（Ｓ１１２）。

なお、ステップＳ１１２の返信も認証サーバ３を指定したＣＯＲＳ許可コードを含めたＨＴＴＰレスポンスによって行われる。

広告と広告署名を受信した利用者端末２は、配信制御プログラムに従い、広告検証処理を行う（Ｓ１１３）。すなわち利用者端末２は、ステップＳ１０３で受信した公開鍵を用いて、ステップＳ１１２で受信した仲介署名を検証する。

ステップＳ１１３の署名検証に失敗した場合、利用者端末２は、受信した広告が認証サーバ３による電子署名がなされていない不正な広告でありマルウェア感染等の危険があると判定して、その旨の警告出力を行い、配信制御プログラムの実行を終了する。この場合、広告表示は行われない。

また、ＣＯＲＳ許可コードのない広告が受信された場合は配信制御プログラムが受け付けず、利用者端末２は広告表示を行わない。この場合も不正な広告であるとして警告出力を行ってもよい。

他方、ステップＳ１１３の署名検証に成功した場合、利用者端末２は、受信した広告は正当であるとして、当該広告を端末表示部２２に表示させる（Ｓ１１４）。すなわち配信制御プログラムにおいて広告を表示するコードの実行が許可され、ブラウザが広告のデータを受け付けて端末表示部２２に表示する。

［変形例］
上記実施形態においては、配信制御プログラム発行部３２３は利用者端末２において広告タグが実行された時点で配信制御プログラムの生成と送信を行ったが、広告タグの発行時に配信制御プログラムの生成を行って生成した配信制御プログラムを配信制御情報記憶部３１１に記憶させておき、利用者端末２において広告タグが実行された時点でこれを読み出して送信してもよい。

上記実施形態および変形例においては、広告領域管理サーバ５−１、５−２、…が認証サーバ３に広告タグの発行を要求して当該広告管理サーバが広告媒体サーバ４−１、４−２、…に広告タグを転送したが、広告媒体サーバ４−１、４−２、…が認証サーバ３に直接広告タグの発行を要求する構成とすることもできる。
その場合、認証サーバ３の広告タグ発行部３２０は、広告の配信に先立って、広告媒体サーバ４−１、４−２、…から広告領域の情報を受信すると、当該広告領域に広告領域ＩＤを付与するとともに、当該広告領域を表す初期コードである広告タグを生成し、生成した広告タグを返信する。またその場合、広告タグ発行部３２０は、付与した広告領域ＩＤと広告領域の情報の送信元である広告媒体サーバのアドレスを対応付けて配信制御情報記憶部３１１に記憶させる。

上記実施形態および各変形例においては、広告管理サーバ６−１、６−２、…が広告管理先紹介情報とその仲介署名を記憶しておく例を示したが、これらを広告領域管理サーバ５−１、５−２、…が記憶する構成とすることもできる。
その場合、認証サーバ３の仲介署名発行部３２１は、広告管理先紹介情報を広告管理サーバ６−１、６−２、…のいずれかから受信して、受信した広告管理先紹介情報の安全性を確認し、安全性が確認された場合に、受信した広告管理先紹介情報に対する仲介署名を生成し、生成した仲介署名を返信する。すなわち、図１３のステップＳ２０〜Ｓ２３で例示した処理は、広告管理サーバ６−１、６−２、…と認証サーバ３の間ではなく、広告領域管理サーバ５−１、５−２、…と認証サーバ３の間で行われる。
またこの場合、図１４のステップＳ１０８で例示した広告管理先紹介情報の送信は、広告管理サーバ６−１、６−２、…を経ず、広告領域管理サーバ５−１、５−２、…から利用者端末２に直接行われる。

上記実施形態および各変形例においては、広告配信サーバ７−１、７−２、…が広告署名を要求する例を示したが、これらの要求を広告管理サーバ６−１、６−２、…が行う構成とすることもできる。
その場合、認証サーバ３の広告署名発行部３２２は、広告を広告管理サーバ６−１、６−２、…のいずれかから受信して、受信した広告の安全性を確認し、安全性が確認された場合に、受信した広告に対する広告署名を生成し、生成した広告署名を当該広告管理サーバに返信する。そして、広告署名を受信した広告管理サーバは当該広告を管理している広告配信サーバに広告と広告署名を転送する。

以上で説明したように、本発明の認証サーバによって、広告タグ、署名および配信制御プログラムの発行を一貫して行うことにより、広告媒体を介した広告配信に多数のサーバが関与しても利用者端末に画一的且つ高いセキュリティを提供できる。
また、本発明の仲介サーバによれば、仲介情報を、利用者端末に画一的且つ高いセキュリティを提供する認証サーバにより発行された仲介署名とともに利用者端末することにより、利用者端末に画一的且つ高いセキュリティを提供できる。
また、本発明の広告配信サーバによれば、広告を、利用者端末に画一的且つ高いセキュリティを提供する認証サーバにより発行された広告署名とともに利用者端末することにより、利用者端末に画一的且つ高いセキュリティを提供できる。

１ ・・・広告配信システム
２ ・・・利用者端末
３ ・・・認証サーバ
３０ ・・・認証通信部
３１ ・・・認証記憶部
３１０ ・・・鍵記憶部
３１１ ・・・配信制御情報記憶部
３２ ・・・認証処理部
３２０ ・・・広告タグ発行部
３２１ ・・・仲介署名発行部
３２２ ・・・広告署名発行部
３２３ ・・・配信制御プログラム発行部
４−１、４−２、… ・・・広告媒体サーバ
５−１、５−２、… ・・・広告領域管理サーバ
６−１、６−２、… ・・・広告管理サーバ
７−１、７−２、… ・・・広告配信サーバ
８ ・・・広告主端末
９ ・・・インターネット

Claims (8)

1. 広告の領域を含む広告媒体を利用者端末に送信する広告媒体サーバが前記利用者端末に送信して前記利用者端末に実行させるための広告タグであって、前記利用者端末にて実行されると前記広告の配信を制御する配信制御プログラムの送信を前記利用者端末に要求させる処理を記述した前記広告タグを前記広告媒体サーバに送信する広告タグ発行部と、
   公開鍵暗号方式により、前記広告の配信を仲介する仲介サーバが前記利用者端末に送信する仲介情報に対して仲介署名を生成し、前記仲介署名を前記仲介サーバに送信する仲介署名発行部と、
   少なくとも、前記利用者端末が受信した受信情報が前記仲介署名とともに受信された前記仲介情報であることを検証する仲介検証処理、および、前記仲介検証処理が成功した場合は前記利用者端末による前記受信情報の利用を許可し、前記仲介検証処理が失敗した場合は前記利用者端末による前記受信情報の利用を禁止する仲介制御処理が記述された前記配信制御プログラムを、前記広告タグを実行した前記利用者端末からの要求に応じて当該利用者端末に送信する配信制御プログラム発行部と、
   を備えたことを特徴とする認証サーバ。
2. 前記仲介情報は、前記仲介サーバのアドレスまたは前記広告を配信する広告配信サーバのアドレスを含み、
   前記仲介制御処理は、前記仲介検証処理が成功した場合は前記仲介情報に含まれたアドレスへの接続を前記利用者端末に行わせ、前記仲介検証処理が失敗した場合は前記利用者端末による前記受信情報の利用を禁止する処理である、
   請求項１に記載の認証サーバ。
3. 請求項１または２に記載の認証サーバであって、
   公開鍵暗号方式により前記広告に対して広告署名を生成し、前記広告署名を広告配信サーバに送信する広告署名発行部、をさらに備え、
   前記配信制御プログラム発行部は、前記仲介検証処理、前記仲介制御処理、前記広告配信サーバから前記利用者端末が受信する前記広告が当該広告に対する前記広告署名とともに受信されたことを検証する広告検証処理、および、前記広告検証処理が成功した場合は前記利用者端末における前記広告の表示を許可し、前記広告検証処理が失敗した場合は前記利用者端末における前記広告の表示を禁止する表示制御処理が記述された前記配信制御プログラムを、前記広告タグを実行した前記利用者端末からの要求に応じて当該利用者端末に送信する認証サーバ。
4. 前記広告タグ発行部は、前記配信制御プログラムの送信をＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を用いて前記利用者端末から前記認証サーバに要求させる処理を記述した前記広告タグを前記広告媒体サーバに送信することにより、当該配信制御プログラムが前記認証サーバの権限で動作させることを可能にした、
   請求項１〜３のいずれかひとつに記載の認証サーバ。
5. 利用者端末に広告の配信を仲介する仲介情報を送信する仲介サーバであって、
   前記仲介情報を、所定の認証サーバが公開鍵暗号方式により前記仲介情報に対して生成した仲介署名とともに前記利用者端末に送信することを特徴とした仲介サーバ。
6. 前記認証サーバを指定したクロスオリジンリソースシェアリングの許可コードを含めたＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）レスポンスによって、前記仲介情報と前記仲介署名とを前記利用者端末に送信する請求項５に記載の仲介サーバ。
7. 利用者端末に広告を配信する広告配信サーバであって、
   前記広告を、所定の認証サーバが公開鍵暗号方式により前記広告に対して生成した広告署名とともに前記利用者端末に送信することを特徴とした広告配信サーバ。
8. 前記認証サーバを指定したクロスオリジンリソースシェアリングの許可コードを含めたＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）レスポンスによって、前記広告と前記広告署名とを前記利用者端末に送信する請求項７に記載の広告配信サーバ。
   

Images