JP2021043675A - 制御方法、制御プログラム、情報処理装置及び情報処理システム - Google Patents

Abstract

【課題】不正なプログラムに対して認証器の認証結果を送信するのを防止する【解決手段】外部認証器４００は、サービスの認証画面を端末装置１００のモニタに表示するブラウザ２０から認証依頼のコマンドを受け付けたときに（１）、提供サーバ２００に対してプログラムを送信する（２）。そして、提供サーバ２００は、受信したプログラムを端末装置１００のブラウザ２０に送信する（（３）、（４））。このプログラムは、認証画面を識別可能に表示させるプログラムであるため、ユーザは、どのブラウザが認証依頼のコマンドを送信してきたものであるかを確認することができる。【選択図】図７

Description

本発明は、制御方法、制御プログラム、情報処理装置及び情報処理システムに関する。

従来、オンラインバンキングやネットショッピングなどインターネットを経由してサービスにログインするために本人確認が行われるケースがある。近年、FIDO Alliance（Fast IDentity Online Alliance）により、生体認証などを利用した新しいオンライン認証技術の標準化が進められており、オンラインバンキングサービスなどにおいて採用されている。FIDO Allianceにより標準化が進められている認証方式では、生体情報などを用いたローカル認証とネットワークを経由した公開鍵暗号による署名検証の組み合わせにより、インターネットに生体情報などの機密情報を流さずにセキュアな認証を実現している。なお、ローカル認証は、ユーザが利用している端末やスマートフォンなどの外部認証器（ローカル）に登録データを保持し、端末や外部認証器内で行う認証を意味する。

ＦＩＤＯ２．０に準拠した認証（非特許文献２）において生体認証を行うためにブラウザのJavaScript（登録商標）から認証器にアクセスする場合、ＣＴＡＰ（Client-to-Authenticator Protocol）プロトコルを用い、認証器に対してＵＳＢ（Universal Serial Bus）／ＢＬＥ（Bluetooth（登録商標） Low Energy）／ＮＦＣ（Near Field Communication）のようなブリッジインタフェースを経由して接続できる。

特開２００９−１１８１１０号公報

"FIDO Alliance"、［Online］、［平成３０年１１月２２日検索］、インターネット＜https://fidoalliance.org/specifications/overview/＞ "FIDO Alliance"、［Online］、［平成３０年１１月２２日検索］、インターネット＜https://fidoalliance.org/fido2/＞

上記のようにブラウザがブリッジインタフェースを経由して認証器に接続する場合、正当なブラウザと認証器とが安全に接続を確立する必要があり、不正なプログラムに対して認証器の認証結果を送信するのを防止する必要がある。

１つの側面では、本発明は、不正なプログラムに対して認証器の認証結果を送信するのを防止することが可能な制御方法、制御プログラム、情報処理装置及び情報処理システムを提供することを目的とする。

一つの態様では、制御方法は、サービスの認証画面を端末装置の表示部に表示させるソフトウェアから認証器が第１の認証依頼を受け付けたことに応じて、前記認証器から送信される前記認証画面を識別可能に表示させるプログラムを受信し、受信した前記プログラムを前記端末装置の前記ソフトウェアに送信する、処理をコンピュータが実行する制御方法である。

不正なプログラムに対して認証器の認証結果を送信するのを防止することができる。

一実施形態に係る情報処理システムの構成を概略的に示す図である。 一実施形態に係る情報処理システムの機能ブロック図である。 登録処理を示すタイミングチャートである。 図４（ａ）、図４（ｂ）は、端末装置の表示例を示す図である。 サービス利用時の処理を示すタイミングチャートである。 図６（ａ）は、端末装置の表示例を示す図であり、図６（ｂ）は、外部認証器４００の表示例を示す図である。 一実施形態におけるサービス利用時の処理の主要部分を簡略化して示す図である。 図８（ａ）、図８（ｂ）は、比較例における端末装置の状態変化を模式的に示す図（その１）である。 図９（ａ）、図９（ｂ）は、比較例における端末装置の状態変化を模式的に示す図（その２）である。 比較例における端末装置の状態変化を模式的に示す図（その３）である。 図１１（ａ）、図１１（ｂ）は、一実施形態における端末装置の状態変化を模式的に示す図である。 図１２（ａ）は、端末装置のハードウェア構成の一例を示す図であり、図１２（ｂ）は、外部認証器のハードウェア構成の一例を示す図である。 提供サーバ及びＦＩＤＯサーバのハードウェア構成の一例を示す図である。

以下、一実施形態に係る認証システムついて、図１〜図１３に基づいて詳細に説明する。図１は、一実施形態に係る情報処理システム１０の構成の一例を示す図である。

図１に示すように、本実施形態の情報処理システム１０は、端末装置１００と、認証器としての外部認証器４００と、情報処理装置としての提供サーバ２００と、ＦＩＤＯサーバ３００とを有する。なお、情報処理システム１０では、端末装置１００、外部認証器４００、提供サーバ２００およびＦＩＤＯサーバ３００の数は限定されず、任意の数の端末装置１００、外部認証器４００、提供サーバ２００およびＦＩＤＯサーバ３００を有することとしてもよい。端末装置１００と提供サーバ２００との間、端末装置１００とＦＩＤＯサーバ３００との間、および、提供サーバ２００とＦＩＤＯサーバ３００との間は、ネットワークＮを介して、相互に通信可能に接続される。かかるネットワークＮには、有線または無線を問わず、インターネットを始め、ＬＡＮ（Local Area Network）やＶＰＮ（Virtual Private Network）などの任意の種類の通信網を採用できる。また、ネットワークＮを介する通信は、例えば、ＴＬＳ（Transport Layer Security）／ＳＳＬ（Secure Sockets Layer）等によって暗号化される。また、端末装置１００と外部認証器４００は、ＮＦＣ（Near Field Communication）、ＢＬＥ（Bluetooth（登録商標） Low Energy）、ＵＳＢ（Universal Serial Bus）などにより接続される。

情報処理システム１０は、提供サーバ２００が提供するサービス（例えば、オンラインバンキングのサービス）を端末装置１００においてユーザが利用する際に、端末装置１００に接続された外部認証器４００でユーザの生体情報を照合することでユーザ認証処理を行う。そして、外部認証器４００は、認証結果に署名をしてＦＩＤＯサーバ３００に送信し、署名検証に問題が無ければ、提供サーバ２００がユーザに対してサービスを提供する。ここで、端末装置１００は、提供サーバ２００が提供するサービスをユーザが利用するための情報処理装置である。端末装置１００は、例えば、生体センサ等が内蔵されていない据え置き型のパーソナルコンピュータなどであるものとする。なお、端末装置１００は、不特定多数のユーザにより利用されるＡＴＭ（Automatic Teller Machine）などのキオスク端末であってもよい。外部認証器４００は、例えば指紋センサなどを有するスマートフォンであるものとする。

本実施形態の情報処理システム１０では、上述したユーザ認証処理を行う機能とは別に、端末装置１００にインストールされた不正なプログラム（アプリ）が外部認証器４００による認証結果を用いて、悪意のある操作を行うのを防止する機能を備えている。不正なプログラムは、例えば、ユーザの生体認証結果を不正に取得して、オンラインバンキングにおいて、ユーザが意図しない振込先へ金銭を振り込み等するプログラムであるものとする。

図２には、情報処理システム１０が有する各装置の構成が示されている。

図２に示すように、端末装置１００では、ブラウザ２０においてJavaScript（登録商標）などのアプリが実行されることにより、情報送受信部２２及び表示制御部２４としての機能が実現されている。情報送受信部２２及び表示制御部２４の具体的な機能については、後述する。ブラウザ２０は、ブリッジインタフェース２８を経由して外部認証器４００と接続する。なお、ブラウザは複数のタブ画面（タブ）を有する場合があるが、本実施形態においては、説明の便宜上、１つ１つのタブが別々のブラウザであると見做して説明する。なお、ブラウザ２０は、提供サーバ２００のサービスの画面を表示部１９３上に表示するソフトウェアの一例である。

ここで、端末装置１００は、例えば、図１２（ａ）に示すようなハードウェア構成を有する。端末装置１００は、各種演算処理を実行するＣＰＵ（Central Processing Unit）１９０と、データ入力を受け付ける入力装置１９５と、表示部としてのモニタ１９３とを有する。また、端末装置１００は、可搬型記憶媒体１９１からプログラム等を読み取る可搬型記憶媒体用ドライブ１９９と、他の情報処理装置等と有線または無線により接続するための通信装置１９７とを有する。また、端末装置１００は、ＲＯＭ（Read Only Memory）１９２、ＲＡＭ（Random Access Memory）１９４、ＨＤＤ（Hard Disk Drive）１９６を有する。これら端末装置１００に含まれる各装置は、バス１９８に接続される。

ＲＯＭ１９２には、図２に示した各部の機能を有する制御プログラムが記憶される。入力装置１９５は、例えば、端末装置１００のユーザから操作情報等の各種情報の入力を受け付ける。モニタ１９３は、例えば、端末装置１００のユーザに対して表示画面等の各種画面を表示する。通信装置１９７は、例えば、ネットワークＮと接続され、他の情報処理装置等と各種情報をやりとりする。

ＣＰＵ１９０は、ＲＯＭ１９２に記憶された制御プログラムを読み出して、ＲＡＭ１９４に展開して実行することで、各種の処理を行う。また、制御プログラムは、端末装置１００を図２に示した各部として機能させることができる。

なお、上記制御プログラムは、必ずしもＲＯＭ１９２に記憶されている必要はない。例えば、端末装置１００が読み取り可能な可搬型記憶媒体１９１に記憶されたプログラムを、端末装置１００が読み出して実行するようにしてもよい。可搬型記憶媒体１９１としては、例えば、ＣＤ−ＲＯＭやＤＶＤ（Digital Versatile Disc）、ＵＳＢメモリ等が挙げられる。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこの制御プログラムを記憶させておき、端末装置１００がこれらから制御プログラムを読み出して実行するようにしてもよい。

図２に戻り、外部認証器４００は、ＣＴＡＰ接続インタフェース４０、証明書・鍵管理部４２、署名部４４、ＧＵＩ（Graphical User Interface）制御部４６、データ生成部４８、生体認証ライブラリ５０、ＦＩＤＯ処理部５２を有する。

ＣＴＡＰ接続インタフェース４０は、ブリッジインタフェース２８を介して、ＣＴＡＰプロトコルを用いて端末装置１００と接続する。なお、ＣＴＡＰプロトコルは、ＦＩＤＯ２．０から採用される認証器にアクセスするためのプロトコルである。

証明書・鍵管理部４２は、外部認証器４００の秘密鍵や提供サーバ２００から受信したＴＬＳ証明書（公開鍵を含む）を管理する。署名部４４は、提供サーバ２００からブラウザ２０を経由して署名要求が送信されてきたときに、署名処理を実行する。署名部４４は、ユーザ認証処理において、後述するデータ生成部４８が認証ＯＫと判定した場合に、証明書・鍵管理部４２で管理されている外部認証器４００の秘密鍵を用いて署名を行う。そして、署名部４４は、ユーザ認証処理結果としての署名を、端末装置１００を介してＦＩＤＯサーバ３００に送信する。

ＧＵＩ制御部４６は、生体認証の入力用ダイアログをモニタ２９３上に表示する。また、ＧＵＩ制御部４６は、外部認証器４００に対して認証依頼を出しているサービスを表示するブラウザ（タブ）を識別可能に表示するためのプログラムを複数表示し、ユーザに対して選択を促す。ここで、ブラウザを識別可能に表示するプログラムには、例えば、ブラウザに所定の数字（例えば「１２３」）を表示するプログラム、ブラウザを点滅させるプログラム、ブラウザを所定色の枠（例えば赤枠）で表示するプログラム、ブラウザを最前面に表示するプログラム等が含まれる。

データ生成部４８は、外部認証器４００が有する生体センサ２８９（図１２（ｂ）参照）から取得した画像から照合用データを生成する。また、データ生成部４８は、ユーザ認証処理において、生体認証ライブラリ５０に格納されている生体データと、生成した照合用データとを比較して、認証ＯＫ／ＮＧを判定する。

ＦＩＤＯ処理部５２は、不正なプログラムによる悪意のある操作を防止するための各種処理を実行する。例えば、ＦＩＤＯ処理部５２は、ユーザが選択したプログラムをブラウザ２０を介して提供サーバ２００に送信する。

ここで、外部認証器４００は、例えば、図１２（ｂ）に示すようなハードウェア構成を有する。外部認証器４００は、上述した端末装置１００と同様、ＣＰＵ２９０、ＲＯＭ２９２、ＲＡＭ２９４、ＨＤＤ２９６、入力装置２９５、モニタ２９３、通信装置２９７を有する。また、外部認証器４００は、可搬型記憶媒体２９１からプログラム等を読み取る可搬型記憶媒体用ドライブ２９９を有する。更に、外部認証器４００は、指紋センサや静脈センサなどの生体センサ２８９を有する。これら外部認証器４００に含まれる各装置は、バス２９８に接続される。ＣＰＵ２９０は、例えば、ＲＯＭ１９２に記憶された各プログラムを読み出して、ＲＡＭ２９４に展開して実行することで、図２に示す外部認証器４００の各部として機能させることができる。

提供サーバ２００は、各種サービスを提供するサーバである。提供サーバ２００は、後述する外部認証器４００による認証処理の結果（認証結果）に問題ないことがＦＩＤＯサーバ３００において検証された場合に、ユーザ専用のサービスを提供するためのＷｅｂページを端末装置１００に送信する。なお、本実施形態では、一例として、提供サーバ２００のドメイン名が「abc.com」であるものとする。ここで、提供サーバ２００は、送受信部３２と、プログラム抽出部３４を有している。送受信部３２は、端末装置１００やＦＩＤＯサーバ３００との間で、情報のやり取りを行う。プログラム抽出部３４は、外部認証器４００のＦＩＤＯ処理部５２から送信されてきたレスポンスからブラウザを識別可能に表示するためのプログラムを抽出する。プログラム抽出部３４が抽出したプログラムは、送受信部３２によって、端末装置１００のブラウザ２０に送信される。これにより、プログラムを受信したブラウザ２０は、プログラムの内容通りに識別可能に表示される。なお、本実施形態では、送受信部３２がプログラムを受信する受信部として機能しており、送受信部３２とプログラム抽出部３４とにより、プログラムをブラウザ２０に対して送信する送信部として機能している。

ＦＩＤＯサーバ３００は、外部認証器４００を用いた認証処理を制御するサーバである。ＦＩＤＯサーバ３００は、事前登録部６６と、検証部６０と、を有している。事前登録部６６は、外部認証器４００の登録処理を実行する。事前登録部６６による登録処理には、ユーザのメールアドレスとユーザＩＤ（userid）との紐づけ処理や、外部認証器４００の公開鍵の登録処理が含まれる。検証部６０は、外部認証器４００から端末装置１００を経由して認証結果を取得すると、認証結果を検証し、問題が無ければ、提供サーバ２００にユーザの情報（ユーザのメールアドレス）を送信する。この場合、提供サーバ２００は、ユーザのメールアドレスに対応するＷｅｂページ（ユーザ専用のＷｅｂページ）をブラウザ２０に送信し、ユーザに対するサービス提供を開始する。ここで、ＦＩＤＯサーバ３００は、ユーザＤＢ６２と、公開鍵repository６４とを有する。ユーザＤＢ６２においては、ユーザが入力したメールアドレスと、ユーザＩＤ（userid）と、登録された外部認証器４００の情報と、が紐付けられている。公開鍵repository６４には、外部認証器４００の公開鍵がユーザＩＤに紐付けて格納されている。

提供サーバ２００及びＦＩＤＯサーバ３００は、例えば、図１３に示すようなハードウェア構成を有する。提供サーバ２００及びＦＩＤＯサーバ３００は、ＣＰＵ９０、ＲＯＭ９２、ＲＡＭ９４、ＨＤＤ９６、通信装置９７を有する。また、提供サーバ２００及びＦＩＤＯサーバ３００は、可搬型記憶媒体９１からプログラム等を読み取る可搬型記憶媒体用ドライブ９９を有する。これら提供サーバ２００及びＦＩＤＯサーバ３００に含まれる各装置は、バス９８に接続される。提供サーバ２００のＣＰＵ９０は、例えば、ＲＯＭ９２に記憶された制御プログラムを読み出して、ＲＡＭ９４に展開して実行することで、図２に示す提供サーバ２００の各部として機能させることができる。また、ＦＩＤＯサーバ３００のＣＰＵ９０もプログラムを同様にして実行することで、図２に示すＦＩＤＯサーバ３００の各部として機能させることができる。

（情報処理システム１０の処理について）
以下、情報処理システム１０の処理について、図３、図５に基づいて詳細に説明する。図３は、外部認証器４００の登録時の処理を示しており、図５は、サービス利用時の処理を示している。

（登録時の処理）
図３の処理の前提として、端末装置１００のモニタ１９３に表示されているブラウザ２０には、図４（ａ）に示すような登録画面が表示されているものとする。図４（ａ）の登録画面には、メールアドレスの入力欄と、登録ボタンが含まれる。この図４（ａ）の登録画面は、提供サーバ２００のサービス（abc.com）を利用する際にユーザ認証に用いる外部認証器４００の情報をＦＩＤＯサーバ３００に登録するとともに、ユーザの情報（メールアドレス）を提供サーバ２００に登録するための画面である。

図３の処理においては、まず、ユーザが、自己のメールアドレス（以下、「メールアドレスｙｙ」と表記する）を入力するとともに、登録ボタンを押す（Ｓ１０）。これに対し、ブラウザ２０の情報送受信部２２は、提供サーバ２００の送受信部３２に対して、入力されたメールアドレスｙｙを用いて、サービス利用に関する登録要求を送信する（Ｓ１２）。

次いで、提供サーバ２００の送受信部３２は、メールアドレスｙｙを確認し（Ｓ１４）、メールアドレスｙｙに対してメールを送信する（Ｓ１６）。このメールには、外部認証器４００を登録するためのリンク（ＵＲＬ）が表示されているものとする。ユーザが端末装置１００のメールアプリを用いてメールを開き、メール内のリンクをクリックすると（Ｓ１８）、メールアプリから提供サーバ２００の送受信部３２に対して通知が行われる。この場合、提供サーバ２００の送受信部３２は、ＦＩＤＯサーバ３００の事前登録部６６に対し、メールアドレスｙｙに関して、Level2（生体）登録を促すコマンドの送信を要求する（Ｓ２０）。

ＦＩＤＯサーバ３００の事前登録部６６は、提供サーバ２００の送受信部３２から上述した要求を受信すると、ユーザＤＢ６２においてメールアドレスｙｙとユーザＩＤ（userid）とを紐づける（Ｓ２２）。また、送受信部３２は、ブラウザ２０の情報送受信部２２に対してコマンドを送信する（Ｓ２４）。このコマンドには、userid、乱数、提供サーバ２００のドメイン名（abc.com）、Level2（生体）を促すpolicyが含まれる。ここで、乱数は、ＦＩＤＯサーバ３００の事前登録部６６が有する乱数生成機能により生成される。なお、ユーザＩＤは、ユーザが事前に入力した識別情報であるものとする。

ブラウザ２０の情報送受信部２２は、提供サーバ２００からコマンドを受信すると、表示制御部２４に通知し、表示制御部２４は、外部認証器４００の接続を要求する表示を行う（Ｓ２６）。この場合、ブラウザ２０には、図４（ｂ）に示すようなメッセージが表示されるものとする。ユーザは、このメッセージを確認したタイミングで、外部認証器４００を端末装置１００に対して接続する（Ｓ２８）。

ユーザにより外部認証器４００の接続が行われると、ブラウザ２０の情報送受信部２２は、ステップＳ２４で受信したコマンドのうちの一部を含むコマンドを外部認証器４００のＦＩＤＯ処理部５２に送信する（Ｓ３０）。ここで送信されるコマンドには、乱数と提供サーバ２００のドメイン名（abc.com）が含まれる。

外部認証器４００のＦＩＤＯ処理部５２は、受信したコマンドに対して、レスポンスを送信する（Ｓ３２）。このレスポンスには、pendingの情報と、提供サーバ２００（abc.com）の証明書の送付要求が含まれる。提供サーバ２００の送受信部３２は、このレスポンスを受けて、外部認証器４００のＦＩＤＯ処理部５２に対してコマンドを送信する（Ｓ３４）。このコマンドには、乱数、提供サーバ２００のドメイン名（abc.com）、サービス（abc.com）のＴＬＳ証明書が含まれる。

次いで、外部認証器４００は、コマンドに含まれるサービス（abc.com）のＴＬＳ証明書を証明書・鍵管理部４２に保存する（Ｓ３６）。なお、外部認証器４００は、コマンドに含まれる乱数がステップＳ３０で受信したコマンドに含まれる乱数と一致しているかを確認し、一致している場合に、ステップＳ３６の処理を行うことができる。これにより、コマンドが送信されてくる途中で改ざんされていないかをチェックした上で、ステップＳ３６の処理を行うことができる。

そして、ユーザが、外部認証器４００の生体センサ２８９を用いて生体情報を提供すると（Ｓ３８）、生体認証ライブラリ５０が生体情報を登録する。この段階で、証明書・鍵管理部４２は、認証用の鍵ペア（公開鍵、秘密鍵）を生成し、秘密鍵を保存する。そして、外部認証器４００のＦＩＤＯ処理部５２は、ブラウザ２０を介してレスポンスをＦＩＤＯサーバ３００の事前登録部６６に送信する（Ｓ４０）。このレスポンスには、提供サーバ２００のドメイン名（abc.com）、乱数、外部認証器４００の公開鍵を署名したものが含まれる。ＦＩＤＯサーバ３００の事前登録部６６は、署名及び外部認証器４００がLevel2（生体）を満たすこと（真正性）をチェックし、真正性が確認できたら、useridと紐づけて、公開鍵repository６４に公開鍵を登録する（Ｓ４２）。なお、事前登録部６６は、ステップＳ４２の後に、ユーザＤＢ６２に登録したメールアドレスｙｙを提供サーバ２００に通知する。これにより、提供サーバ２００では、サービスの提供を受けるユーザの情報としてメールアドレスｙｙを登録することができるので、提供サーバ２００では、メールアドレスｙｙのユーザに対して、専用のサービスを提供することが可能となる。

以上により、登録処理が終了する。

（サービス利用時の処理）
次に、図５に基づいて、ユーザがサービスを利用するときの情報処理システム１０の処理について、説明する。なお、図５の処理が開始される前提として、ブラウザ２０には、図６（ａ）に示すような提供サーバ２００のサービス（abc.com）に対する認証画面が表示されているものとする。

ユーザが図６（ａ）の画面においてログインボタンを押すと（Ｓ５０）、ブラウザ２０の情報送受信部２２は、ログイン要求を提供サーバ２００の送受信部３２に対して送信する（Ｓ５２）。提供サーバ２００の送受信部３２は、ログイン要求を受信すると、ＦＩＤＯサーバ３００の検証部６０に対して、Level2（生体）での認証を要求する（Ｓ５４）。

ＦＩＤＯサーバ３００の検証部６０では、Level2の登録済み外部認証器４００を呼び出すコマンドをブラウザ２０の情報送受信部２２に対して送信する（Ｓ５６）。このコマンドには、検証部６０が生成した乱数と、提供サーバ２００のドメイン名（abc.com）が含まれている。ブラウザ２０の情報送受信部２２は、コマンドを受信すると、表示制御部２４にその旨を通知し、表示制御部２４は、外部認証器４００の接続を要求する表示を行う（Ｓ５８）。この場合、図４（ｂ）と同様のメッセージを表示するものとする。

この表示を見たユーザが、端末装置１００に外部認証器４００を接続すると（Ｓ６０）、ブラウザ２０の情報送受信部２２は、認証依頼のコマンド（第１の認証依頼）を外部認証器４００のＦＩＤＯ処理部５２に送信する（Ｓ６１）。このコマンドには、ステップＳ５６でブラウザ２０の情報送受信部２２が受信した乱数と、提供サーバ２００のドメイン名（abc.com）が含まれる。

これに対し、外部認証器４００のＦＩＤＯ処理部５２は、コマンドに含まれるドメイン名（abc.com）に対応するＴＬＳ証明書を証明書・鍵管理部４２から取り出す（Ｓ６２）。また、ユーザは、このタイミングで、認証依頼を行ったブラウザを識別可能に表示させるためのプログラムを選択する（Ｓ６３）。この場合、例えば、外部認証器４００のモニタ２９３には、図６（ｂ）に示すように複数のプログラムの内容が表示される。図６（ｂ）の例では、ブラウザに数字「１２３」を表示するプログラムの内容と、ブラウザを赤枠で表示するプログラムの内容が表示されており、ユーザは、いずれかのプログラムを選択可能になっている。本実施形態では、ユーザは、一例として、ブラウザを赤枠で表示するプログラムを選択したものとする。なお、ユーザは、プログラムの選択を事前に行っておいてもよい。

ユーザがプログラムを選択すると、外部認証器４００のＦＩＤＯ処理部５２は、ブラウザ２０経由で、提供サーバ２００の送受信部３２にレスポンスを送信する（Ｓ６４）。このレスポンスには、pendingの情報と、ＴＬＳ証明書の公開鍵で暗号化した乱数及びプログラムと、が含まれる。

提供サーバ２００のプログラム抽出部３４は、ＴＬＳ証明書の秘密鍵を用いてレスポンスからプログラムを抽出し（Ｓ６６）、送受信部３２は、抽出したプログラムを含む内容でサービス（abc.com）のＷｅｂページを更新する（Ｓ６８）。すなわち、送受信部３２は、サービス（abc.com）を表示するブラウザ２０に対してプログラムを送信する。これにより、サービス（abc.com）を表示するブラウザ２０の表示制御部２４がプログラムを実行することで、認証依頼を行ったブラウザ２０が赤枠で表示されるようになっている。

また、提供サーバ２００の送受信部３２は、外部認証器４００に対して認証依頼のコマンド（第２の認証依頼）を送信する（Ｓ７０）。この場合のコマンドには、乱数と、提供サーバ２００のドメイン名（abc.com）が含まれる。外部認証器４００のデータ生成部４８は、コマンドに含まれる乱数が、ステップＳ６１で受信した乱数と同一であれば、コマンドの改ざんが行われていないとみなし、外部認証器４００を用いたユーザの生体認証を許可する。ユーザは、自分自身が外部認証器４００において選択したプログラムに従って表示されている（赤枠で表示されている）ブラウザが、自分自身がログインしようとしているサービスを表示するブラウザであるかを確認する。

そして、ユーザは、自分自身がログインボタンしようとしているサービスを表示するブラウザであると確認できた場合に、外部認証器４００の生体センサ２８９から指紋情報等の生体情報を提供する（Ｓ７２）。これにより、外部認証器４００では、認証処理が実行される（Ｓ７４）。この認証処理においては、データ生成部４８が、生体センサから取得した画像から照合用データを生成し、生体認証ライブラリ５０に格納されている生体データと比較して、認証ＯＫ／ＮＧを判定する。そして、外部認証器４００の署名部４４は、認証ＯＫと判定された場合に、証明書・鍵管理部４２で管理されている外部認証器４００の秘密鍵を用いて署名を行い、レスポンスをブラウザ２０を介してＦＩＤＯサーバ３００の検証部６０に送信する。このレスポンスには、提供サーバ２００のドメイン名（abc.com）、乱数、userid、外部認証器４００の秘密鍵での署名が含まれる。

ＦＩＤＯサーバ３００の検証部６０は、公開鍵repository６４からレスポンスに含まれるuseridに対応する公開鍵を読み出して署名検証し、検証に成功した場合にuseridを抽出する（Ｓ７８）。そして、検証部６０は、ユーザＤＢ６２を参照して、抽出したuseridに対応するメールアドレスｙｙを検索する（Ｓ８０）。

その後、ＦＩＤＯサーバ３００の検証部６０は、チェック結果（メールアドレスｙｙ）を提供サーバ２００の送受信部３２に送信する（Ｓ８２）。そして、提供サーバ２００の送受信部３２は、メールアドレスｙｙのユーザが利用可能な、専用のサービス画面をブラウザ２０の情報送受信部２２に送信する（Ｓ８４）。これにより、表示制御部２４は、ログインしたユーザ専用のサービス画面を表示するため、ユーザは、表示されたサービス画面を利用することが可能となる。

図７は、本実施形態における情報処理システム１０の、サービス利用時の処理の主要部分を簡略化して示す図である。

図７に示すように、本実施形態では、（１）提供サーバ２００からの認証依頼のコマンド（第１の認証依頼）がブラウザ２０を介して外部認証器４００に送られると、（２）外部認証器４００は、レスポンスを提供サーバ２００に送信する。このレスポンスには、ユーザが選択したプログラムと乱数をＴＬＳ証明書の公開鍵で暗号化したものが含まれる。そして、（３）提供サーバ２００は、レスポンスから暗号鍵を用いてプログラムと乱数を復号するとともに、プログラムを分離（抽出）し、（４）プログラムをブラウザ２０に送信する。これにより、認証依頼を行ったサービスを表示するブラウザがプログラム通りに表示されるため、ユーザは、当該ブラウザに表示されているサービスに対して認証処理が行われることを認識できる。また、（５）提供サーバ２００は、乱数を用いた認証依頼のコマンド（第２の認証依頼）をブラウザ２０を介して外部認証器４００に送信し、（６）外部認証器４００において、ユーザの生体認証を実行する。ユーザの生体認証を実行した後は、（７）外部認証器４００は、レスポンス（認証結果）をＦＩＤＯサーバ３００に送信する。

このようにすることで、ユーザは、自身がログインしようとしているサービスに対して認証結果を確実に渡すことが可能となるため、悪意のある不正なプログラムに対して認証結果を渡すのを防止することができる。このため、悪意のあるプログラムにより悪意のある操作が実行されるのを防止し、ユーザが悪意のあるプログラムから被害を受けるのを防止することができる。

ここで、図８（ａ）〜図１０には、図７の（２）〜（５）の処理が実行されない場合の（比較例の）端末装置１００（モニタ１９３）の状態変化が模式的に示されている。なお、図８（ａ）〜図１０の例においては、端末装置１００に不正プログラム（悪意のあるプログラム）がインストールされている（動作している）ものとする。

図８（ａ）に示すように、端末装置１００において、ユーザがブラウザ２０を起動して提供サーバ２００（abc.com）にアクセスし、ブラウザ２０上に表示されている認証画面のログインボタンをクリックしたとする。この場合、不正プログラムは、ブラウザ２０の動作を確認して、ブラウザ２０の動作を真似して、図８（ｂ）に示すようにブラウザ２０と同じように提供サーバ２００にアクセスし、ログイン要求をする。また、図９（ａ）に示すようにブラウザ２０が外部認証器４００の接続要求を表示すると、ユーザは外部認証器４００を端末装置１００に接続する。このとき、不正プログラムは、図９（ｂ）に示すように、外部認証器４００が接続されたのを検知して、ブラウザ２０よりも早く認証依頼のコマンドを送信したり、ブラウザ２０と外部認証器４００が通信するのを邪魔したりする。

この図９（ｂ）の状態で、外部認証器４００を用いて生体認証を行うと、図１０に示すように、不正プログラムが認証結果を取得してしまうため、不正プログラムは提供サーバ２００にアクセスできるようになる。このため、不正プログラムが悪意ある操作を行ってしまうおそれがある。

一方、図１１（ａ）、図１１（ｂ）には、本実施形態のように、図７の（１）〜（７）の処理を実行した場合の端末装置１００（モニタ１９３）の状態変化が模式的に示されている。

本実施形態の場合であっても、図１１（ａ）に示すように、不正プログラムは、外部認証器４００に対してブラウザ２０よりも早くコマンドを送信したり、ブラウザ２０と外部認証器４００が通信するのを邪魔したりする。

しかるに、本実施形態では、図１１（ｂ）に示すように、外部認証器４００においてユーザが生体認証を行う前にプログラムを選択し、外部認証器４００が不正プログラムに対して選択されたプログラムを送信する。この場合、サービス（abc.com）を表示するブラウザはプログラム通りに変化しない。したがって、ユーザは、この状態で認証処理を行ってしまうと、認証結果が不正プログラムに悪用される可能性があると判断することができる。これにより、ユーザは、図１１（ａ）のような状況下で、生体情報を外部認証器４００に提供しないようにすることができるので、不正プログラムによって悪意ある操作が行われるのを防止することができる。

なお、本実施形態において図示した各部は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各部の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。また、図示した各処理は、上記の順番に限定されるものでなく、処理内容を矛盾させない範囲において、同時に実施してもよく、順序を入れ替えて実施してもよい。

さらに、各装置で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウェア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。

以上、詳細に説明したように、本実施形態によると、外部認証器４００は、サービスの認証画面を端末装置１００のモニタに表示するブラウザ２０から認証依頼のコマンド（第１の認証依頼）を受け付けたときに（Ｓ６１）、提供サーバ２００に対してプログラムを送信する（Ｓ６４）。そして、提供サーバ２００は、受信したプログラムを端末装置１００のブラウザ２０に送信する（Ｓ６８）。このプログラムは、認証画面を識別可能に表示させるプログラムである。これにより、認証依頼のコマンドを外部認証器４００に送信したブラウザを識別可能に表示することができるため、ユーザは、どのブラウザに対して認証結果が送信されるかを認識しながら、生体情報を外部認証器４００に提供することができる。したがって、悪意のある不正プログラムに対して認証結果を送信するのを防止することができるので、不正プログラムによる悪意のある操作の実行を防止することができる。また、本実施形態では、ブラウザ２０と外部認証器４００が安全に接続するために暗証番号入力（ＰＩＮ入力）を行う必要がないため、ユーザの手間を省略することができる。

また、本実施形態では、提供サーバ２００は、ブラウザ２０にプログラムを送信する際に、外部認証器４００に対して認証依頼のコマンド（第２の認証依頼）を送信し（Ｓ７０）、外部認証器４００に認証処理を行わせる。これにより、ブラウザ２０が認識可能に表示された適切なタイミングで、外部認証器４００において認証処理を行うことができるようになる。

また、本実施形態では、提供サーバ２００は、外部認証器４００からレスポンスとしてプログラムとともに乱数が送信されてくると（Ｓ６４）、外部認証器４００にコマンドを送信する際（Ｓ７０）に、受信した乱数を含むコマンドを送信する。これにより、外部認証器４００では、乱数が同一か否かをチェックすることで、コマンドが送信されてくる間にコマンドが改ざんされていないかを確認することができる。

なお、上記実施形態では、外部認証器４００から提供サーバ２００に送信するプログラムをユーザが選択する場合について説明したが、これに限られるものではない。例えば、プログラムの内容は予め定められていてもよい。また、外部認証器４００において自動的にプログラムが選択され、選択されたプログラムの内容が外部認証器４００のモニタ２９３上に表示されてもよい。

なお、上記実施形態では、コマンドに含まれる乱数を確認することで、コマンドが送信途中で改ざんされていないかを確認する場合について説明したが、これに限られるものではない。例えば、外部認証器４００は、ステップＳ６４において提供サーバ２００にレスポンスを送信する際に、プログラムとセッション鍵（乱数）をＴＬＳ公開鍵で暗号化してもよい。この場合、提供サーバ２００は、レスポンスからプログラムとセッション鍵を取り出し（Ｓ６６）、ステップＳ７０において、セッション鍵で認証依頼コマンドを暗号化して外部認証器４００に送信してもよい。このようにすることで、コマンドが送信途中で改ざんされるのを防止することができる。

なお、上記実施形態では、外部認証器４００がスマートフォンである場合について説明したが、これに限らず、その他のBluetooth（登録商標）機器、ＮＦＣ搭載デバイス、ＵＳＢトークンなどを用いることもできる。例えば、外部認証器４００がスマートフォン以外である場合には、モニタに代えて、プログラムを選択するためのボタンやダイヤルを搭載してもよい。

なお、上記実施形態において端末装置１００が認証器（生体センサ）を有している場合には、当該認証器を外部認証器４００の代わりに用いることとしてもよい。

なお、上記実施形態で説明したブラウザ２０の機能を、端末装置１００上で動作するアプリが有していてもよい。このようにしても、認証処理を行うアプリの画面をプログラムに従って認識可能に表示することで、上記実施形態と同様の作用効果を得ることができる。

なお、上記実施形態では、提供サーバ２００とＦＩＤＯサーバ３００が別の装置である場合について説明したが、これに限られるものではない。例えば、提供サーバ２００がＦＩＤＯサーバ３００の機能を有していてもよい。この場合、図３、図５に示したＦＩＤＯサーバ３００の処理を提供サーバ２００が行うようにすればよい。

上述した実施形態は本発明の好適な実施の例である。但し、これに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変形実施可能である。

なお、以上の実施形態の説明に関して、更に以下の付記を開示する。
（付記１） サービスの認証画面を端末装置の表示部に表示させるソフトウェアから認証器が第１の認証依頼を受け付けたことに応じて、前記認証器から送信される前記認証画面を識別可能に表示させるプログラムを受信し、
受信した前記プログラムを前記端末装置の前記ソフトウェアに送信する、
処理をコンピュータが実行することを特徴とする制御方法。
（付記２） 前記送信する処理では、前記ソフトウェアに対して前記プログラムを送信するとともに、前記認証器に対して第２の認証依頼を送信して、前記認証器における認証処理の実行を依頼する、ことを特徴とする付記１に記載の制御方法。
（付記３） 前記受信する処理では、前記プログラムとともに前記認証器から送信されてくる乱数を受信し、
前記第２の認証依頼を送信する際に前記乱数を用いる、ことを特徴とする付記２に記載の制御方法。
（付記４） 前記プログラムは、予め定められている態様で前記認証画面を表示させるプログラム、又は前記認証器において選択された態様で前記認証画面を表示させるプログラムである、ことを特徴とする付記１〜３のいずれかに記載の制御方法。
（付記５） サービスの認証画面を端末装置の表示部に表示させるソフトウェアから認証器が第１の認証依頼を受け付けたことに応じて、前記認証器から送信される前記認証画面を識別可能に表示させるプログラムを受信し、
受信した前記プログラムを前記端末装置の前記ソフトウェアに送信する、
処理をコンピュータに実行させるための制御プログラム。
（付記６） サービスを提供する情報処理装置であって、
前記サービスの認証画面を端末装置の表示部に表示させるソフトウェアから認証器が第１の認証依頼を受け付けたことに応じて、前記認証器から送信される前記認証画面を識別可能に表示させるプログラムを受信する受信部と、
受信した前記プログラムを前記端末装置の前記ソフトウェアに送信する送信部と、
を備える情報処理装置。
（付記７） 前記送信部は、前記ソフトウェアに対して前記プログラムを送信するとともに、前記認証器に対して第２の認証依頼を送信して、前記認証器における認証処理の実行を依頼する、ことを特徴とする付記６に記載の情報処理装置。
（付記８） 前記受信部は、前記プログラムとともに前記認証器から送信されてくる乱数を受信し、
前記送信部は、前記第２の認証依頼を送信する際に前記乱数を用いる、ことを特徴とする付記７に記載の情報処理装置。
（付記９） 前記プログラムは、予め定められている態様で前記認証画面を表示させるプログラム、又は前記認証器において選択された態様で前記認証画面を表示させるプログラムである、ことを特徴とする付記６〜８のいずれかに記載の情報処理装置。
（付記１０） サービスを提供する情報処理装置と、
前記サービスの認証画面を表示する表示部を有する端末装置と、
前記端末装置に内蔵又は接続され、認証処理を実行して認証結果を前記情報処理装置又は前記情報処理装置に接続された認証用の装置に送信する認証器と、を備え、
前記端末装置は、前記認証画面を前記表示部に表示させるソフトウェアを有し、
前記認証器は、前記ソフトウェアから第１の認証依頼を受け付けたことに応じて、前記認証画面を識別可能に表示させるプログラムを前記情報処理装置に送信し、
前記情報処理装置は、受信した前記プログラムを前記端末装置の前記ソフトウェアに送信する、
ことを特徴とする情報処理システム。

１０ 情報処理システム
２０ ブラウザ（ソフトウェア）
３２ 送受信部（受信部、送信部の一部）
３４ プログラム抽出部（送信部の一部）
１００ 端末装置
１９３ モニタ（表示部）
２００ 提供サーバ（情報処理装置）
４００ 外部認証器（認証器）

Claims (7)

1. サービスの認証画面を端末装置の表示部に表示させるソフトウェアから認証器が第１の認証依頼を受け付けたことに応じて、前記認証器から送信される前記認証画面を識別可能に表示させるプログラムを受信し、
   受信した前記プログラムを前記端末装置の前記ソフトウェアに送信する、
   処理をコンピュータが実行することを特徴とする制御方法。
2. 前記送信する処理では、前記ソフトウェアに対して前記プログラムを送信するとともに、前記認証器に対して第２の認証依頼を送信して、前記認証器における認証処理の実行を依頼する、ことを特徴とする請求項１に記載の制御方法。
3. 前記受信する処理では、前記プログラムとともに前記認証器から送信されてくる乱数を受信し、
   前記第２の認証依頼を送信する際に前記乱数を用いる、ことを特徴とする請求項２に記載の制御方法。
4. 前記プログラムは、予め定められている態様で前記認証画面を表示させるプログラム、又は前記認証器において選択された態様で前記認証画面を表示させるプログラムである、ことを特徴とする請求項１〜３のいずれか一項に記載の制御方法。
5. サービスの認証画面を端末装置の表示部に表示させるソフトウェアから認証器が第１の認証依頼を受け付けたことに応じて、前記認証器から送信される前記認証画面を識別可能に表示させるプログラムを受信し、
   受信した前記プログラムを前記端末装置の前記ソフトウェアに送信する、
   処理をコンピュータに実行させるための制御プログラム。
6. サービスを提供する情報処理装置であって、
   前記サービスの認証画面を端末装置の表示部に表示させるソフトウェアから認証器が第１の認証依頼を受け付けたことに応じて、前記認証器から送信される前記認証画面を識別可能に表示させるプログラムを受信する受信部と、
   受信した前記プログラムを前記端末装置の前記ソフトウェアに送信する送信部と、
   を備える情報処理装置。
7. サービスを提供する情報処理装置と、
   前記サービスの認証画面を表示する表示部を有する端末装置と、
   前記端末装置に内蔵又は接続され、認証処理を実行して認証結果を前記情報処理装置又は前記情報処理装置に接続された認証用の装置に送信する認証器と、を備え、
   前記端末装置は、前記認証画面を前記表示部に表示させるソフトウェアを有し、
   前記認証器は、前記ソフトウェアから第１の認証依頼を受け付けたことに応じて、前記認証画面を識別可能に表示させるプログラムを前記情報処理装置に送信し、
   前記情報処理装置は、受信した前記プログラムを前記端末装置の前記ソフトウェアに送信する、
   ことを特徴とする情報処理システム。

Images