JP4954979B2 - 詐欺監視、検出、および階層状ユーザ認証のためのシステムおよび方法 - Google Patents

Description

発明の分野
本発明は一般的に、コンピュータネットワーク上で個人情報窃盗に対する保護を提供するシステムおよび方法に関する。

発明の背景
インターネットを介して企業や個人が行うオンライントランザクションの量の増加は驚異的である。オンライントランザクションを行うにあたってユーザを認証するには、機密のプライベートな個人情報が一般的に使われる。インターネットトランザクションのための個人情報使用の増加にともない、その情報が傍受されたり盗まれたりする危険が増している。個人情報窃盗は、誰かが詐欺を働くために、他人のパスワード、ユーザ名、社会保障番号、クレジットカード番号、またはその他の個人識別情報を勝手に使用するときに起こる。２００３年９月の連邦取引委員会（ＦＴＣ）調査によると、過去５年間におけるアメリカ人の個人情報窃盗被害者は２７３０万人を数え、２００２年だけでも９９０万人におよぶ。ＦＴＣ調査によると、２００２年に個人情報窃盗から企業や金融機関が被った損失は全部で４８０億ドル近くにおよび、消費者被害者は５０億ドルの現金支出を報告している。

Ｅコマースサーバとのトランザクションに入るには通常、認証データ、トランザクションを記述するデータ、その他を含む、機密の内密データをユーザが提供する必要がある。このデータは一般的に、インターネット（またはその他のコンピュータネットワーク）へリンクされたウェブブラウザを実行しているユーザの手元にあるデバイスに接続されたキーボードおよび／またはマウスを使って入力される。図１は、ユーザ認証およびトランザクションデータの入力に使われる例示的システム１０を示す図である。この例で、ユーザによって入力される認証情報はユーザＩＤとパスワードとを含む。公知のシステムで、ユーザＩＤとパスワードはコンピュータデバイス１４でウェブブラウザを実行しながらキーボード１２を通じて入力される文字列からなる。ブラウザからユーザへディスプレイ１６上に提供される典型的なユーザ入力インターフェイス１８が図示されている。

入力後、ユーザの機密情報は一般的に、好ましくは暗号化された形式で安全な接続を介し、リモートサーバへ送信される。例えば、普及しているＴＣＰ／ＩＰ通信プロトコルは、暗号化データストリームを使った安全なデータ転送を可能にするためのセキュアソケットレイヤー（ＳＳＬ）プロトコルを基礎とするセキュリティプロトコルを含む。ＳＳＬは、不安定な公共ネットワーク上で交わされる情報を保護する手段として、暗号化と、ソース認証と、データ保全とを提供する。このため、多くのＥコマースサーバおよびアプリケーションでは、リモートサーバとローカルユーザシステムとの間でデータを交換するために、ＳＳＬまたは同様のセキュリティプロトコルを使用している。入力された認証情報がサーバによって承認されると、ユーザはデータを送信することと、サーバのウェブサイトからデータを受信することとを許可される。

ウェブサーバで受信されるメッセージの出所はしばしば、そのメッセージの送信元にあたるデバイスのＩＰアドレスから、および／またはユーザからのデータに含まれるクッキーから割り出される。クッキーは一般的に、ユーザのブラウザがサーバにさらに他の要求を行うたびに、ファイルへの保存用やサーバへの返信用にウェブサーバからユーザのコン
ピュータシステム上に常駐するブラウザへ送信される、しばしば機密情報である情報のパケットを指す。ＩＰアドレスは一般的にメッセージのヘッダの中に含まれ、クッキーは通常、あらかじめサーバによって、しばしばログイン時に送信されたものである。サーバは、メッセージを送信するユーザの個人情報と、ユーザが現在サーバにログインしているか否かを判定するために、ユーザのログインデータを、メッセージのＩＰアドレスおよび戻されるクッキーと比較する。ユーザのＩＰアドレスの確認も行われる。

これらの公知の予防策にもかかわらず、ユーザの機密情報は、ユーザによる入力から遠隔送信に先立つ暗号化までの間は未加工の安全でない形式であるため、無防備であることにかわりはない。また、サーバから送信される機密データも、復号化から表示に至るまでの期間中は無防備である。この安全でない情報は数々の方法で密かに捕捉できる。例えば、クッキーハイジャッカーは、クッキーから機密情報をコピーする。さらに、キーボードロガーとマウスクリックロガーは、マウスのクリックや押されたキーを、ユーザの入力後ではあるがブラウザやその他のソフトウェアによって処理されるより前に、傍受しコピーする潜伏ソフトウェアである。ロガーソフトウェアは、ユーザの安全な情報を容易く傍受できる。キーボードロガーとマウスクリックロガーは、キーボードおよびマウスケーブルと、コンピュータまたはキーボードおよびマウスデバイスの内蔵ハードウェアとの間に接続されたハードウェアの形をとることもある。（テキスト入力フィールドを提供することの代わりに、またはこれに加えて）ユーザ入力のための選択可能なグラフィック付きのオンスクリーンのキーパッドとキーボードを表示するグラフィカルユーザインターフェイスでさえ、マウスクリックロガー、スクリーンキャプチャロガー、およびその他の計略にとっては無防備である。図１、２、および３は、かかるインターフェイスの先行技術例を図示する。グラフィカルインターフェイスでは、独特のグラフィック画像によって、例えば数字「１」を形成するピクセルによって、各々の英数字が表現される。スクリーンキャプチャロガーは、ユーザのＩＤおよびパスワードの実際の英数字テキスト文字を確認するために、光学式文字認識（ＯＣＲ）技術を使用してマウスクリックと対応する英数字グラフィックとによって選択される文字を解読する。また、高性能なスクリーンキャプチャロガーは、データ入力のときにユーザのマウスクリックによって選択されたグラフィック画像に対応するデータ項目がどれなのかを突き止めるために、グラフィック画像のチェックサムおよびサイズ特性も利用する。こうしてスクリーンキャプチャロガーは、たとえグラフィカルユーザインターフェイスがキーパッドまたはキーボード上で英数字の順序を並べ替えたとしても、個人情報を取得できる。

また機密情報は、スヌープウェア、スパイウェア、非ウイルスマルウェア、ハッカーユーティリティ、偵察ユーティリティ、トロイの木馬、その他を含むスパイ行為ソフトウェアによっても傍受され得る。スパイ行為ソフトウェアは、人または組織に関する情報を、人または組織に知られず、またはこれの同意を得ず、不正に取得するのに役立つ。これは通常、ユーザのコンピュータに自身を勝手にインストールし、その後デバイスの使用を監視または制御する。ユーザのキーストローク、チャット会話、訪れたウェブサイト、ユーザとブラウザとのやり取り、実行されるアプリケーション、印刷される文書、テキストおよび画像はことごとく、スパイ行為ソフトウェアによって捕捉されるおそれがある。スパイ行為ソフトウェアは通常、捕捉したデータを、ほとんどの場合ユーザに知られず、またはこれの同意を得ず、局所的に保存するか、またはインターネットを介して第三者へ送信することができる。

ユーザのディスプレイを密かに読んで情報を取得する「肩越し」スパイもまた、機密個人情報の不正取得者である。

公知のウイルス対策およびスパイウェア対策ソフトウェア製品は、ユーザがかかる悪質ソフトウェアから防御できるようにすることを試みる。ただし、古くなったウイルス対策
およびスパイウェア対策ファイルの使用は、外部の脅威に対して、せいぜい最低限のコンピュータデータ保護しか提供しない。したがってこれらの製品には、保護を最新の状態に保つために、ウイルス対策およびスパイウェア対策プログラムによって使用される情報を絶えず更新して新たに発見された計略を反映させなければならないという欠点がある。ウイルス情報を最新の状態に保つことに加え、システムで起こりうる感染を定期的にスキャンしなければならない。

さらに、個人情報窃盗が並外れて集中する特定の地域が知られている。したがって、サーバに対するアクセスがどこから試みられているかを知ると有利である。ＩＰアドレスは容易く入手できる位置情報源である。ただしＩＰアドレスには、多くのユーザにとってこれが一定でないという欠点がある。公知のネットワークプロトコルおよび設備は可変ＩＰアドレスをもたらすことがある。例えば、ある組織のローカルエリアネットワークとインターネットとの間にゲートウェイを設けるためにプロキシサーバが使用される。ローカルネットワークは、このプロキシサーバにインストールされたファイアウォールソフトウェアによって保護される。プロキシサーバは、そこから新しいメッセージが送信されるたびにユーザデバイスに新しいＩＰアドレスを動的に割り当てる。その結果、プロキシサーバ経由でインターネットに接続するユーザにとって、個々のユーザデバイスに割り当てられる一定のＩＰアドレスは存在しない。

ＴＣＰ／ＩＰネットワーク上でデバイスにＩＰアドレスを動的かつ自動的に割り当てる、一般に使用される動的ホスト構成プロトコル（ＤＨＣＰプロトコル）もまた、ＩＰアドレスを変化させる原因になっている。ＤＨＣＰサーバは、デバイスがネットワークへ接続するときに、使用可能アドレスの一覧からＩＰアドレスをデバイスに割り当てる。そのデバイスは、現在のセッションが続く間だけこのＩＰアドレスを保持する。一部のＤＨＣＰサーバシステムは、セッション中にユーザのＩＰアドレスを動的に変更できる。プロキシまたはＤＨＣＰサーバの使用は、ある特定のユーザデバイスを識別するにあたってＩＰアドレスだけでは不十分であることを意味する。

上述したリスクに対し保護を提供するセキュリティシステムおよび方法は、平均的ユーザのユーザビリティの問題にも対処しなければならない。サービスプロバイダは、安全なオンライン利用を奨励することを望んでいる。しかし、煩雑で時間がかかるユーザインターフェイスやユーザにとって扱いづらいインターフェイスはユーザのやる気をそぐおそれがあり、ユーザをしりごみさせたり苛立たせたりするおそれすらあり、あるいはユーザエラー等を引き起こすおそれがある。またセキュリティシステムは、ユーザの情報および／またはシステムが損なわれる危険があることが判明した時点で、不正トランザクションの実行を阻止するための対策を設置しなければならない。またセキュリティシステムは、ユーザに関係なく、プロバイダのシステムにアクセスを試みる特定のデバイスに基づきサービスプロバイダに注意を促さなければならない。

またセキュリティシステムは、サービスプロバイダがシステムのセキュリティとユーザビリティとの間で適度のバランスを達成できるようにしなければならない。換言すると、セキュリティリスクが確認されないときには扱いやすい下級セキュリティインターフェイスを、そしてセキュリティリスクが確認されるときには上級セキュリティインターフェイスを、サービスプロバイダが提供することを可能にするシステムおよび方法が必要である。加えて、望ましいセキュリティシステムおよび方法とは、その安全な状態を維持するにあたって人間の行為にできるだけ依存しないものである。例えば、トークン、デジタル証明書、その他の保管および維持をユーザに求めることは有利ではない。トークンには紛失、損壊、盗難、その他のおそれがある。

しかしながら、説明した脅威を防ぎ、かつ説明した性質を有するセキュリティシステム
は当該技術において一般に知られていない。当該技術において必要とされているのに欠けているのは、以下の特徴と態様とを備えるセキュリティシステムおよび方法である。

−デバイス本位の詐欺監視システムであること。
−オンラインサービスプロバイダが、プロバイダのシステムに対するアクセスをデバイスに認めるか否か、そしてこれをどのような形で認めるかを判断するにあたって、必要とするリアルタイム情報を得られるようにするため、堅牢な詐欺監視および検出を堅牢な詐欺分析およびリスク査定とともに提供すること。

−ユーザビリティおよび／またはセキュリティに関して、安全なユーザ認証の選択可能なレベルを提供すること。

−ユーザの情報および／またはシステムを危険に晒しているセキュリティリスクを確認し、詐欺活動から身を守るためにより安全なログインインターフェイスを提供すること。

−他のセキュリティ追跡情報リポジトリと統合でき、より確実で堅牢なユーザデバイスフィンガープリンティングに基づき真正ユーザと不正ユーザとを識別するための情報を格納するリポジトリ。

−ハードウェアデバイスの支給と保守とを必要としない、純粋にソフトウェアに基づく個人情報窃盗に対する解決策であること。
−オンラインユーザにとって便利であること。

発明の概要
本発明のシステムおよび方法は、認証サービスの改善をもたらすことによって先行技術の欠陥を埋める。

本発明によるシステムおよび方法の一利点として、これが提供する情報と選択可能ユーザインターフェイスによって、サービスプロバイダはトランザクションの実施を試みるユーザとデバイスの両方から浮上するリスクに応じてオンライントランザクションをリアルタイムで認可、拒否、または保留するための処置を講じることができる。

本発明のもうひとつの利点として、本発明は、サービスプロバイダがユーザとデバイスの両方の履歴データ分析に基づき進行中の不正認証トランザクションを識別できるようにする。トランザクションは承認、却下でき、または１組の所定のルールに基づく検証のために保留できる。

本発明のもうひとつの利点として、本発明が提供する、ユーザとデバイスの両方に基づく堅牢な詐欺監視および検出と堅牢な詐欺分析およびリスク査定により、オンラインサービスプロバイダには、プロバイダのシステムに対するアクセスをデバイスに認めるか否か、そしてこれをどのような形で認めるかを判断するにあたって必要となるリアルタイム情報が提供される。

本発明のもうひとつの利点として、本発明は、所定のユーザビリティおよび／またはセキュリティ懸念に応じて安全ユーザグラフィカル認証レベルを選択することを可能にする。

本発明のもうひとつの利点として、エンドユーザをオンライン個人情報窃盗から保護するにあたって、トークン、カードおよびその他類似のハードウェアデバイス、デジタル証
明書、ウイルス対策ソフトウェア、またはパーソナルファイアウォールソリューションには依存しない。

本発明のもうひとつの利点として、ユーザのみに基づくのではなくデバイスに基づくブラックリストおよび／またはホワイトリストの取得および作成がある。

大まかに言って、一実施形態によると、本発明はデバイス識別情報を入手することによってユーザのデバイスをフィンガープリントし、そのユーザデバイスにてユーザが投げかける詐欺リスクの査定にこれを役立てることができる。別の実施形態によると、本発明は詐欺分析を実行し、サービスプロバイダのサーバへのアクセスに使われるデバイスに関連するリスクを警告する。別の実施形態によると、本発明は、ユーザデバイスとこれまでに確認された詐欺リスクとのデータベースを中央リポジトリに含む。別の実施形態によると、本発明は複数のセキュリティおよびユーザビリティのレベルを提供する複数のユーザ認証インターフェイスから選択されたユーザ認証インターフェイスを提示する。

したがって、本発明は複数レベルの詐欺監視、検出、および階層型ユーザ認証を提供するシステムおよび方法を提供し、該システムおよび方法は、サーバへの接続を要求したユーザデバイスを識別するフィンガープリンティングモジュールと、ユーザデバイス上での提示に向けて、ユーザビリティとセキュリティに関するルールの形をとる所定の選択基準に応じて複数のログイングラフィカルユーザインターフェイスから選択することを可能にする認証モジュールと、ユーザデバイスの使用の履歴追跡に応じてユーザデバイスに関連するリスクを分析し査定する詐欺分析・警告モジュールと、フィンガープリンティングモジュールと他の追跡情報リポジトリとに基づき真正ユーザおよび不正ユーザを識別するデバイス中央リポジトリとを備える。本発明は、１つ以上のサービスプロバイダに認証サービスを提供するため、本発明の方法を実施する様々に設計されたシステムを提供する。

自身のログインｉｄまたはパスワードを忘れたユーザに本発明のユーザビリティおよびセキュリティ特徴の一例を見ることができる。かかるユーザは通常、限られた数のユーザデバイスからシステムにアクセスし、この種の認証試行がかかるデバイスから行われた事実は本発明によって認識され、当該ユーザの助けになるインターフェイスを提示するにあたってこれを役立てることができる。そのデバイスがシステムにとって未知ならば、これをもとにハッカーがシステムへの侵入を試みていることを警告することができ、高度なセキュリティの認証インターフェイスを提示するのに役立てることができる。加えて、かかるユーザは通常、概ね正確ではあっても全面的には正確でない自身のユーザ／パスワード情報を入力する。本発明はこれを認識でき、ユーザ認証をさらに手引きするのに役立てることができる。好適な実施形態において、これらのオプションはルールエンジンによって処理されるルールによって表現される。

ユーザの挙動を区別する能力に本発明のユーザビリティおよびセキュリティ特徴のさらに他の例を見ることができる。以前にサービスプロバイダにアクセスしたことがないユーザデバイスからアクセスが発生する場合（例えばこれは、ユーザデバイスに格納されるデバイストークンの不在によって検出される）、システムルールは、より高度な認証または問い合わせに合格することをこのアクセスに要求できる。ただしユーザは、自身のユーザデバイスからアプリケーショントークンを日常的に除去する経験豊富なユーザかもしれない（インターネットユーザのほぼ１５％）。さらに、このユーザには、以前のアクセスに基づき、容易く識別できないデバイスからの日常的アクセスを示唆する挙動パターンを関連づけることができる。そして、このユーザには好ましくは問い合わせを行わない、またはこのユーザをより高度な精査の対象にしない。対照的に、過去のユーザ挙動に基づき認証プロセスを調整しない認証システムを備えるシステムは、かかるユーザに常に問い合わせを行うことになるであろう。よって本発明は、全てのユーザにとって、彼らが経験豊富
であろうがなかろうが、より良いユーザ体験を提供する。

さらに詳しくは、本発明のシステムおよび方法は、アイデンティティを確認するため、サイトにおける挙動使用パターン（「人物像」）に加えて、各ユーザのコンピュータと位置（「所有」）とを検証する。これらの検証は、ログイン／パスワード信用証明（「知識」）に対する企業の既存の要求に加えられる。これにより、詐欺に対抗する保護の数層の強力な追加階層が企業に提供される。

本発明は、コンピュータであれ、ラップトップであれ、モバイルデバイスであれ、その他であれ、ユーザがどのデバイスからアプリケーションにアクセスするかを認識しフィンガープリントするためのセキュアクッキー、フラッシュオブジェクト、および他の技術を含む。これらのユーザデバイスは追加的な認証材料となり、ユーザ挙動の変更は要求しない。これらのユーザデバイスに関する情報はフィンガープリントされ、使用を１回に限るデバイストークンまたはデバイスｉｄの中に格納される。ｉｄまたはトークンはユーザデバイスに格納され、以降のユーザデバイスアクセスから回収されるトークンと後ほど比較するためにデータベースに保存される。トークンは、ユーザがこれの再使用を試みる場合に無効になる。

本発明は、本発明の方法によって無作為的に生成される一意な番号を有するデバイストークンまたはデバイスｉｄも含む。かかるデバイストークンはその後特定のユーザデバイスに割り当てられ、永続データとして特定のユーザデバイスに格納され（例えばクッキー）、さらにまた本発明の認証サービスにアクセスできるようにするために格納される。これにより、特定のユーザデバイスは以降のアクセスの際に、ユーザデバイスからデバイストークンを回収し、一意な番号を格納された情報と比較することにより識別できる。データが一致する場合、この特定のデバイスは識別される。そして、新しい一意な識別番号が作成され、さらに他のアクセスにおいて使用するために、本発明の方法によってユーザデバイスに格納される。

本発明は、アプリケーションサービスプロバイダが各オンラインログインおよびトランザクションにつきリスクを採点すること、ならびにリスクが高いかまたは詐欺の可能性があるトランザクションについてはリアルタイムでログイン時およびセッション中に認証セキュリティを上げること、を可能にする。本発明は、詐欺の検出とトランザクションの保全を保証するため、各トランザクションのセッション前、セッション後、およびセッション中の特性を評価する。そして方法は、採点と、アクションと、警告とをサービスプロバイダに提供する。例えば、リスク採点が高く、よって詐欺の可能性があるトランザクションの場合に、一つの好適なアクションは、そのトランザクションを保留にすること、そして二次認証または二次問い合わせを求めることである。ユーザには、例えば保留にされたトランザクションの有効性を確認するためにサービスプロバイダ職員に連絡をとることが求められる。もうひとつのアクションは、トランザクションを拒否することである。トランザクションにとって適切な処置は、トランザクションのタイプの違いに応じて異なる。バンキングサービスプロバイダの場合、口座残高を見ることは許されても電信送金は許されない。ｅコマース／ＡＳＰサービスプロバイダの場合には、機密文書のダウンロードをリスク採点に基づき制限できる。これらのアクションは好ましくは、トランザクション評価のときに評価されるルールによって呼び出される。

本発明のシステムおよび方法は以下の特徴を含む。すなわち、デバイス、位置、ユーザ挙動（「ワークフロー」）フィンガープリンティング、ユーザワークフローの捕捉と記録によるユーザプロファイリング、リアルタイムリスク採点、ルールに基づくリアルタイムの詐欺警告および対応、警告、不審活動の自動内部標識付け、構成可能な帯域外エンドユーザ任意二次認証（ｅメール、ＳＭＳ、声紋、その他）、オープンＡＰＩによるサードパ
ーティインテグレーション、共有認証および詐欺サービスインフラのサポート、個々のクライアントログを見直すためのケース管理ツール、インバウンドカスタマケアをサービスするためのカスタマケアツール、リアルタイム詐欺および活動監視のためのダッシュボード、リスク管理と傾向分析のための報告、システムの運営とルールの構成および保守である。方法およびシステムは以下のコンポーネントおよび特徴を含む。すなわち、ルールエンジン、リスク採点／犯罪科学、リアルタイム応答、デバイス・位置・ワークフローの独自フィンガープリンティング、モデルとルール、インテリジェントアルゴリズム、およびダッシュボード、レポート、およびカスタマケア等の包括的管理ツールである。

これらをはじめとする本発明の実施形態、特徴、態様、および利点は、以下の説明と、添付の請求項と、添付の図面との関係でよりよく理解されるであろう。

前述した本発明の態様と付随する利点とは、以下の詳細な説明を添付の図面と併せて参照することにより、より容易く理解されるであろう。

図中、そこに示された特定のコンポーネント、態様、または特徴を示すため参照記号または参照名が使われており、２つ以上の図に共通する参照記号はそこに示された同様のコンポーネント、態様、または特徴を示す。

好適な実施形態の詳細な説明
本発明は一般的に、オンラインサービスプロバイダのサービス提供システムとインターフェイスで連結し、ユーザ要求、特にユーザログオン要求と、トランザクションシーケンス（本書ではユーザの「ワークフロー」と呼ぶ）との認証にあたってサービスプロバイダを支援するシステムおよび方法を提供する。簡潔に、本発明は、認証要求の発信元のデバイスのアイデンティティと、要求を行うユーザのアイデンティティに関する利用可能な情報との両方によって決まる方法で、ユーザとログイン要求を認証（本書では「前認証」と呼ぶ）する。ユーザワークフローシーケンスは、ユーザのトランザクション履歴を用いて認証（本書では「後認証」と呼ぶ）する。両方のアプリケーションにおいて、厳密な認証プロセスおよび決定はサービスプロバイダからのルールによって指導できる。

好適なシステム構成
これらのシステムおよび方法の好適な実施形態の一般的構造および配置をこれより説明する。以下は、コンポーネントプロセスの好適な実施形態のより詳細な説明である。本書では、限定を意図せずに、専ら明快にするために見出しが使われる。

図１３Ａは、オンラインサービスアプリケーションを個々のユーザに入手可能とするオンラインサービスプロバイダへ認証サービスを提供することを目的とする本発明の例示的実施形態を図示する。一般的に、サーバアプリケーションはサービスプロバイダのサーバマシン上で実行する。図示された実施形態は、例えばシステム１３０２および１３０４などの１つ以上のサービスプロバイダコンピュータシステムを含み、さらにネットワーク７１０を通じて１つ以上のユーザデバイス７２０へ相互に接続される認証システムサーバシステム１３０６を含み、ユーザは該ユーザデバイスにてログオン要求とその後のトランザクション要求とを入力する。システムサーバ１３０６は概して当該技術で公知のように構築され、ＣＰＵ、ＲＡＭメモリ、ディスクまたはその他のデータベースメモリ１３０８、通信インターフェイス、任意選択可能なユーザインターフェイス設備等を含む。データベース１３０８は、デバイスおよびユーザ履歴等の認証プロセスに用いるデータを格納する。ネットワークもまた概して当該技術で公知のように構築でき、私用イントラネット、公共インターネット等であってよい。ユーザがサーバアプリケーションに対し要求を行うところのユーザデバイスは、ワークステーションタイプのコンピュータ、ＰＣタイプのコン
ピュータ、端末、その他であってよい。

多くの好適な実施形態において（ただし限定なし）、本発明の認証プロセスはクライアントサーバタイプのアーキテクチャ（より一般的には分散システムタイプのアーキテクチャ）で実施される。したがって、ある特定のサービスプロバイダアプリケーションのために認証サービスを提供する個々のプロセスは、サービスプロバイダのコンピュータシステム上で実行できるほか、ネットワークに取り付けられた他のコンピュータシステムの中で分散できる。好適な分散アーキテクチャは、デバイス中央リポジトリ（「ＤＣＲ」）サービスを少なくともホストする１つ以上の認証サーバを含む。

ＤＣＲは、ユーザデバイスと、ユーザデバイスに関連する詐欺リスクとを識別するオンライン情報１３１０を受信し、格納し、使用可能にする。この情報は、それぞれ詐欺リスクがより高い、そして詐欺リスクがより低いデバイスのブラックリストおよび／またはホワイトリストを含み得る。この情報は、本発明の一実施に参加するサービスプロバイダの認証経験から、または本発明の他の同時相互通信の実施から、サードパーティデータソース等から収集できる。また認証サーバは、サービスプロバイダアプリケーションもホストできる。

任意に、認証サーバは本発明の実際の認証プロセスをもホストでき、この場合の認証プロセスは、サービスプロバイダコンピュータシステム上で遠隔的に実行するアプリケーションからの要求に応答するサーバプロセスとして構成される。これにより、本発明の特定の実施形態において認証サーバシステムは「ＤＣＲサービス」のほかに「デバイス本位認証サービス」をも提供する。例えばシステム１３０４であるサービスプロバイダサーバシステムは、例えば全ての（またはいずれかの）認証プロセスを自ら実行する必要はないが、その代わりに、認証サーバ上でサービスプロバイダサーバシステムがホストしないこれらのプロセス（または全ての認証プロセス）にアクセスできる。別の実施形態において、サービスプロバイダシステムは全ての認証プロセスを実行でき、よって任意選択可能のＤＣＲサービスのために認証サーバにアクセスするだけでよい。図１３Ａで、システム１３０２は自ら前認証処理を実行しないが、「後認証サービス」は実行する。

別の好適な実施形態において、通常は前認証サービスである認証サービスは、ファイアウォールマシン（または別種のネットワークゲートウェイマシン）で実行できる。図１３Ａで、ファイアウォール１３０５は主に、サービスプロバイダシステム１３０４のために前認証サービスを実行する。認証されたユーザは、アプリケーションＡ、Ｂ、Ｃ、Ｄ等々のサービスプロバイダアプリケーションにアクセスできる。ファイアウォールは特定の例において全ての前認証サービス処理を実行できるが、ほとんどの例においては、認証サーバの認証サービスに対しクライアントとして機能することがファイアウォールにとって有利である。事実、ファイアウォールが全前認証処理を実行することは、たとえサーバ支援があっても実際的ではないかもしれないが、この場合、サーバは認証処理の一部分（本書では「基礎認証サービス」と呼ぶ）を実行できる。

基礎認証サービスは、ユーザデバイスフィンガープリンティングと、ＩＰアドレス、オペレーティングシステム、デバイスＩＤ等の基礎的マシンデータの確認とに限定できる。後ほど説明するとおり、ユーザのコンピュータにはマシンの識別情報を含むクッキーが提供される。このクッキーは、事業体がユーザについて把握していることにこれが一致することを検証するため、ログインの際にファイアウォールによって見直される。食い違いは識別でき、アクセスを許可するか否かを、またはアクセスを許可する前にセキュリティの質問等の二次認証プロトコルを適用するか否かを判断するために採点できる。この実施形態は、組織、会社、または法律事務所等の事業体がその被雇用者、メンバー、またはその他のユーザからのリモートログインを認証するのに適用でき、ここでこれらの被雇用者ま
たはユーザの数は約１０，０００以下である。

図１３Ｂは、本発明の認証サービス、主に前認証サービスを協働して提供する、コンピュータにより実施されるプロセスを図示する。図示された好適な実施形態において、これらのプロセスは点線で囲まれた部分の中に示されているように構築され、フィンガープリントプロセス４００と、詐欺分析・警告サービス（「ＦＡＡＳ」）と、認証サービス６００と、標識付きデバイスモジュール（「ＦＤＭ」）とを含む。プロセス間のリンクには重要入出力データタイプのラベルが付されている。

認証サービスは、認証を要するユーザ要求１３２０をサーバアプリケーションかサービスプロバイダコンピュータシステムが受け取るときに呼び出される。前認証の場合、最も一般的なユーザ要求は、アプリケーションまたはシステムにアクセスするためのログイン要求である。後認証サービスによって通常処理される他の要求は、例えば多額の金が絡むトランザクション要求を含む。ユーザ要求は通信サブシステムから直接的に受信でき、あるいは代わりに、サービスプロバイダアプリケーションまたはシステムからインターフェイスを介して認証プロセスへ転送できる。

好適な実施形態においては、外部で入手可能なアプリケーションプログラミングインターフェイス（「ＡＰＩ」）を通じて認証サービスを呼び出すことができる。表１は例示的ＡＰＩ要求の抜粋を提示する。

受信したユーザ要求の送信元にあたるデバイスの認証を開始するため、第１の要求は、典型的にはサービスプロバイダアプリケーションから送信される。第２の要求は、サービスプロバイダアプリケーションが、例えば高価トランザクションを実行するため、認証ステータスのチェックを望むときに送信できる。最後に、第３の例示的要求はルールを提供でき、ユーザまたはセッションの特徴を記述する現在の認証情報に照らしてそれらを処理させることができる。

フィンガープリントプロセス４００は、ユーザ要求を記述する入力データとともに最初に呼び出される認証プロセスである。そしてフィンガープリントプロセスはユーザ要求の発信元にあたるデバイスを記述する識別情報を収集し、デバイス識別子（「デバイスＩＤ」）を作成する。デバイスＩＤ（そして任意に他のデバイス識別情報）はユーザデバイスに格納され、該ユーザデバイスから回収でき、以降のフィンガープリンティングのときに使われるデバイス識別情報の一部を形成する。

次に、ＦＡＡＳプロセス６００はデバイスＩＤ（そして任意に他のデバイスおよび／ま
たはユーザ識別情報）とともに呼び出される。このプロセスは、これの入力識別情報を評価し、例えばその要求をさらに処理するべきであることを、またはシステムから遮断するべきであることを（ここでは「アクション」と呼ぶ）、サービスプロバイダアプリケーションまたはシステムに推奨できる。またこのプロセスは、リスク警告と、入力要求の相対的リスクを記述するリスク採点（ここでは「警告」および「採点」と呼ぶ）とを提供でき、これによりサービスプロバイダアプリケーションまたはシステムは自らかかる認証決定を下すことができる。ＦＡＡＳ評価は好ましくは、入力要求情報において明らかな現在の要求の特性に関係する犯罪科学情報を回収することから始まる。情報源は、認証システムの過去の認証結果を格納するシステムＤＣＲサービスと、現在の要求の発信地予想を提供する地理位置情報データサービスなどの幅広いデータを提供できるサードパーティデータサービスとを含むことができる。その後、入力データと回収された犯罪科学データは、出力されるアクション、警告、または採点を判定するためにルール本位の決定プロセスによって分析される。

換言すると、デバイスｉｄは通常ならば入手可能であり、入手可能であるなら認定ユーザを識別するための主要な項目となる。たとえデバイスｉｄが認識される場合でも、ユーザにはアクセスを許可する前に追加のセキュリティ情報の提供を求めることができる。他の従来のセキュリティプロトコル（すなわち個人的質問、多肢選択質問からの個人情報の選択等）またはより高度なセキュリティ（すなわちＩＰアドミニストレータに電話をかける、音声認識の提供を求める等）が使用できる。特定の時期に異なるコンピュータがアクセスのために使われることをユーザが事前に知っている場合、例えば新しい場所への出張で異なるコンピュータの使用が予期される場合には、この情報を事業体とそのＩＰアドミニストレータに提供でき、その特定のユーザと期間についてルールを変更することによってシステムとそのアプリケーションへのアクセスを容易にすることができる。

要求をさらに処理する場合のさらに他の例示的アクションは、特定の認証を必要とする要求を行う新たに到着したユーザまたは既存のユーザを認証するための、好適なグラフィカル（または別種の）ユーザインターフェイス（「ＧＵＩ」）の選択である。認証インターフェイス選択基準は、評価されたリスク採点と何らかのリスク警告とにしたがって判定できる。そして選択基準は、詐欺リスクに相応のセキュリティを備えるインターフェイスを要求する。また、サービスプロバイダシステムまたはアプリケーションにリスク情報を提供することもでき、該サービスプロバイダシステムまたはアプリケーションは、例えばより入念な認証データチェックを実行でき、あるいはユーザまたは要求を再認証するために本発明の認証サービスを要求できる。これは、例えば詳細認証質問に対する回答を求めること、または生体識別情報（例えば、指紋、網膜スキャン等）を入手すること、または声紋を入手すること等を伴ってよい。

次に、認証プロセス７００がインターフェイス選択基準とともに呼び出され、基準に従いユーザインターフェイスデータベースから特定のユーザ認証インターフェイスを選択し、次に選択したインターフェイスを発信元ユーザデバイスに提示し、インターフェイス提示に応答して入力されるデータを受信する。入力されたデータはその後、本発明のプロセスのサービスプロバイダアプリケーション１３２２による認証決定の一部として使われる。サーバアプリケーション、またはＦＡＡＳ、または両方は、現在の要求を認証するか否かを決定する。

ＤＣＲプロセスは現在の要求の認証処理の結果を収集し、それらを発信元ユーザデバイスの識別情報（例えばデバイスＩＤ）に関連付けてＤＣＲデータベース１１１０に格納する。これらの格納される処理結果は好ましくは、少なくとも、要求が認可されたか否か、および／または要求が不正と判明したか否かを含む。これによりＤＣＲデータベースは、現在の認証要求処理でＦＡＡＳを手引きするため以前の要求認証処理の結果の履歴レコー
ドを提供できる。ＤＣＲデータベースは少なくとも、現在のサービスプロバイダから入手したデータを含む。これは好ましくは、他のサービスプロバイダからのデータも含み、かくしてデバイスリスク情報を共有でき、認証処理の精度を倍増できる。

ＦＤＭ１２００は、現在の要求認証処理の結果を実際に収集することと組み立てることとを実行する。現在の要求からのデータは、ＦＡＡＳによって回収済みのデータに類似するサードパーティデータ、および／または現在の要求の評価に関連するＦＡＡＳによって回収される他のデータによって、任意に補足できる。ＦＤＭプロセスは、認証サービスの一部として局所的に、または遠隔的に実行でき、あるいはＤＣＲサービスの一部として実施できる。

図１３Ｃは、ファイアウォールまたはルータによって（局所的または遠隔的に）呼び出すことができる基礎認証サービスの例示的実施形態のためのコンピュータによる実施プロセスを図示する。この実施形態は、本発明による認証を行うのに必要最低限の処理であるルールエンジンプロセス７０１を実行する。このプロセスは、例えばファイアウォールによってユーザ要求が受信されるときに呼び出され、要求を記述する情報を受信する。一代案において、このプロセスは、ユーザトランザクションを記述する入力データと、データベース１８０９から回収されるルール（サービスプロバイダから供給されるルール、または認証システムから入手できるデフォルトルール）とからアクションと採点を判定する。ルールは事前対応的かまたは事後対応的であってよい。例えばアクセスは、詐欺リスクが低い場合を除き遮断でき、または詐欺リスクが高い場合を除き許可できる。別の代案において、プロセス７０１はＤＣＲデータベースおよび／またはサードパーティソースからデータを回収でき、これに依拠することもできる。そして、ファイアウォール１３２２によるさらに他の処理のためにアクション、採点、および／または警告が提供される。

換言すると、システムは、上昇したリスク採点を発見すると、そのリスク採点に照らしてルールを評価し、アクション、警告、またはリスク採点報告を遂行できる。表２は、上昇したリスク採点に対する好適な対応カテゴリを提示する。

例示的アクションは、内部標識を設定すること、またはサービスプロバイダが後ほど追跡できるようにするためウォッチリストへ追加することである。もうひとつの例示的アクションは、好ましくはチャレンジレスポンスモデルに基づく、オンラインまたは帯域外二次認証である。例えば、オンライン二次認証は登録ｅメールアドレスへ送信されたｅメールに対する応答をユーザに要求することができる。帯域外認証は、問い合わせに対し口頭で応答することをユーザに要求できる声紋等の様々な生体認証法を含み得る。

本発明の方法は、要求の発信元にあたるデバイスと、要求を発信するユーザと、当該ユーザが要求するトランザクションとに関する情報を回収する。この情報を効率的に処理することは、特に多数の同時ユーザに応対する商業アプリケーションにおいて有利である。よって多くの好適な実施形態において、収集された情報は、オンライン用途の場合には圧縮または要約された形式で、オフライン用途の場合にはほぼ網羅的または完全網羅的に、
格納される。オンライン用途は、例えばリアルタイムの認証と認証更新とを含む。オフライン用途は、例えばデータマイニング、ルール微調整等を含む。

好適な圧縮または要約形式は本書でフィンガープリントと呼ぶ。まず、あるカテゴリのデータの考えられる値または認証基準の考えられる値は、多数の「ビン」に分割される。そして、ある特定のユーザのカテゴリまたは基準フィンガープリントは、データを有するビンがどれか、そして有さないビンはどれかを専ら示す収集データの一表現（例えばバイナリトークンとして）である。この表現は、公知の手法を用いて任意に圧縮できる。これにより、ユーザの認証およびトランザクション要求はいくつかのバイナリトークンで表現できる。

例えば典型的なオンラインビジネスアプリケーションでは、２０のあらかじめ識別される独自の機密トランザクションシーケンス（ワークフロー）があり得る。各ワークフローは、例えば１０個のビンまたは変数によって特徴づけることができ、各変数は、例えば１０バインドの値を有する。したがって、ユーザは一定数の考えられるフィンガープリントによって特徴づけることができ、各ユーザは平均して、例えば１０個の独自のフィンガープリントを有する。

好適な機能構成
本発明の機能は、例えばオンラインストアアプリケーション、オンラインバンキングアプリケーション等のサービスプロバイダアプリケーションに対し、ユーザから行われる要求の真正性とセキュリティとをチェックする一貫した方法を提供するように構成される。この方法は、要求そのもののコピーか、または現在の要求の内容を記述し要約する情報を受け取る。入力情報は処理され、方法は、リスク採点と、リスク警告と、アクション（またはアクション推奨）とを出力する。リスク採点および警告は、現在の要求が不正確である、または悪質である、または不正である、等の起こり得るリスクのしるしである。より具体的に、リスク採点出力は、個々のサービスプロバイダごとにカスタマイズできる分析プロセスを用いてリアルタイムで加重され分析される多数の詐欺検出入力の産物である。詐欺検出入力は、ユーザ、ユーザのデバイス、ユーザのデバイスの位置、ユーザが入ったトランザクションのワークフロー、ユーザアクセスの既往パターン、およびサードパーティデータソースからのデータを記述する。この情報はサービスプロバイダアプリケーションおよびシステム（本発明の「ユーザ」）に提供され、その内部認証プロセスに使われる。また本発明の方法は、サービスプロバイダのガイドラインまたはルールに従いアクションを推奨または開始することもできる。これらのアクションは一般的に、処理過程にある要求を認証するための情報の収集を目的とする。

一般的に、ユーザ要求に関係する入手可能なセキュリティ関連情報（「要求属性」）は、基準と呼ばれる関係情報グループに分けられ、各々の基準は好ましくは、ユーザ要求にかかわる数個のデータを含む。そして、好ましくは基準に特有のルールからなるグループが基準を評価し、出力されるリスク採点とアクションは、各基準のルール本位評価の結果を組み合わせ、加重することによって得られる。ユーザ要求、特にユーザトランザクションの関係グループが、本発明によって認証され、サービスプロバイダアプリケーションによって処理されるときには、ある程度の基準データは入手可能であり、基準の重要度は異なる。例えば、ユーザが認証されサービスプロバイダアプリケーションへのアクセスが許可される前には、ワークフロー基準に関連するデータ（例えば、ユーザによる関係トランザクションのシーケンス）は通常ならば入手不能である。他方、ユーザがトランザクションの要求に従事しているときには、初期認証に関係する基準は通常ならばさほど重要でない。これらの期間はそれぞれ「前認証」期および「後認証」期と呼ばれる。

好適な前認証基準は位置情報とデバイス情報とを含み、好適な後認証基準はユーザ情報
とワークフロー情報とを含む。表２は、これらの基準の各々に関連する例示的データを提示する。

図１４は、表２の要求属性と基準とを含む例示的機能構成を図示する。基準の要求属性はフィンガープリントの形に、すなわち位置フィンガープリント、デバイスフィンガープリント、ワークフローフィンガープリント、および履歴データフィンガープリントの形に圧縮される。その後フィンガープリントは、アクションと、警告と、採点とを生成するように処理される。考えられるアクションは一次認証を含み、これはユーザを識別し認証するプロセスである。一次認証は主に位置およびデバイスフィンガープリントに基づき、ユーザデバイスにおける安全ログオン画面の提示を含み得る。もうひとつのアクションは二次認証であり、これは認証の確認やさらに他の認証が必要とされる場合にセッション中に呼び出すことができる。これは、例えばｅメール、声紋等の使用を含み得る。

この図はまた、評価プロセスにサードパーティデータを含めることができることを図示する。サードパーティデータは様々なフィンガープリントに組み込むことができる。例えばサードパーティデータは、ユーザデバイスにおけるファイアウィールまたはウイルス対
策ソフトウェアの有無、および／またはかかるソフトウェアの保守ステータスを含み得る。サードパーティデータは、ＩＰインテリジェンス、リスクデータ、（データウェアハウスからの）履歴データ、詐欺ネットワークデータ等も含み得る。さらに、既知リスクの特性を位置、デバイス、またはユーザレベルで記述するサードパーティをサードパーティデータウェアハウスから受信でき、主にワークフローフィンガープリントと履歴データフィンガープリントである様々なフィンガープリントに組み込むことができる。また、サードパーティの評価ツールを、フィンガープリントを評価する分析・採点プロセスに組み入れることができ、あるいはサードパーティの評価ツールでこれを補うことができる。

位置情報とデバイス情報は、特に前認証期において重要な基準となる。位置情報は、要求の発信元にあたるデバイスの位置を特徴づける。位置は、デバイスのＩＰアドレスと、デバイスをインターネットにリンクするネットワークの階層とから最も容易く推定できる。デバイス情報は、ハードウェアおよびソフトウェアコンポーネント等の発信元デバイスそのものを特徴づける。表３は、ブラウザでホストされるプロセスによってデバイスから抽出できるデバイスのソフトウェアおよびハードウェアの特性のより詳細な目録を提示する。

例えば以前にユーザデバイスとして使われたことがあるデバイスから入手できるセキュアクッキーなどのセキュアトークンは、入手可能であれば、デバイス情報のさらに他の重要成分である。デバイスから要求を受信するときに、少なくとも入手可能な位置およびデバイス情報は要約でき、圧縮でき、またはフィンガープリントでき、セキュアトークンとしてデバイスに格納される。このデバイスから別の要求が発生する場合には、そのセキュアトークンを回収でき、これの内容をその時点で収集される位置およびデバイス情報に比較することができる。不一致がある場合は、リスク分析に用いる採点を形成するために加
重できる。不一致があろうがなかろうが、その時点で回収された情報から新しいセキュアトークンが生成され、デバイスに格納される。

かかるセキュアトークンも、本発明の方法によって生成される一意な識別子を有利に含む。回収されたトークンの中にある一意な識別子を、予期される、または既知の、一意な識別子に比較することにより、採点の基礎となるさらに他の情報が提供される。また、一意な識別子は、ユーザデバイスから位置またはデバイス情報を入手できない場合にとりわけ有用である。この場合、一意なトークンは唯一の識別デバイス情報であり得る。

好適な後認証情報はユーザ情報とトランザクション（またはワークフロー）情報とを含む。ユーザ情報は、ユーザ識別情報と、ユーザ認証プロセスを通過するユーザの進捗状況とを含む。トランザクション情報は、要求されたトランザクションから抽出される情報と、トランザクションのシーケンスおよびタイミングとを含む。情報は好ましくは、キー式を探すことにより、そして値（ことによると値の範囲のみ）とキーに関連するその他の情報とを抽出することにより、トランザクション要求から抽出される。トランザクションのシーケンスおよびタイミングならびに訪問を受けたウェブページのシーケンスおよびタイミングは、ユーザの既往使用パターンの要約にあたるワークフローフィンガープリントの中にパッケージされる。

図１４は、上述したとおりにフィンガープリントの中にパッケージされた基準データが、ルールエンジンによって駆動される詐欺分析によってリアルタイムで処理され、採点されることも示している。認証サービスを複数のサービスプロバイダおよびサービスプロバイダアプリケーションに同時に提供するため、この処理を規定する分析およびルールは好ましくは、ルールエンジンによって実質的に交換可能とみなされる、機能的に関係のあるモジュールにグループ分けされる。よって、包括ルールエンジン（または包括ルールエンジンのいくつかのインスタンス）をモジュールごとに切り替えることにより、様々なサービスプロバイダへ認証サービスを提供できる。各々のサービスプロバイダは、このモジュールを提供することによって独自の認証サービスを規定できる。

よって分析は好ましくは、本書でポリシーと呼ぶグループの中で実施される。表５は、ほとんどのシステムにとって有用な好適なポリシーを示している。他のシステムは必要に応じて、いくつかの、または異なるポリシーを有することができる。

ポリシーは前認証のときに、例えばユーザが認証されているときに、あるいは後認証のときに、例えばユーザがトランザクション要求を行っているときに、施行できる。ルールエンジンは、要求の文脈に基づき実行するべきモデルを自動的に判断する。例えば請求書支払い、送金、パスワード変更、ｅメール変更等のトランザクションの異なるタイプをサポートするため、異なるモデルを構成できる。モデルはＸＭＬで定義され記述されるから、初期統合の後、サービスプロバイダアプリケーションにおいてコードの変更は必要ない。モデルはどれもネットワークインターフェイスを用いて、またはＸＭＬ定義ファイルを置換することによって、修正できる。また、本発明の方法の動作中に新しいモデルを途切れなく加えることができる。モデルは完全に移動可能だから、シミュレーション環境から試験および実働環境へ移すことができる。加えて、「ユーザリストにないユーザ」または「バンクキオスクではないデバイス」等というふうにポリシーの例外を構成できる。ポリシーは、例えば期間または１回の例外に基づき一時的に無効にすることができる。

簡潔に、セキュリティポリシーは前認証および後認証に適用でき、典型的には既知のハッカー挙動を認識することを目指す。これらの挙動は、異種産業間共通ベストプラクティスから策定される規格を用いて認識できる。ビジネスポリシーは主に、トランザクションセッションが進行しているときに後認証に適用できる。これらのポリシーは一般的に、トランザクションリスクを軽減するためにある特定のサービスプロバイダによって定められる規格を示す。ワークフローポリシーは主に後認証に適用でき、詐欺をほのめかす予期せぬパターンを検出するため、過去のトランザクションセッション活動のフィンガープリントを現在のセッションのフィンガープリントと比較する。

図１５Ａは、表４のポリシー等、ポリシーを実施する機能構成を図示する。認証段階に適用される全ポリシーにおける分析論にしたがって、各々の着信要求が（好ましくは同時に）分析される。そして、ポリシーの判定およびその分析の判定は、適切なアクション、警告、および採点を生成するために、様々な閾値に照らして加重される加重リスク採点の形に結合される。加重、閾値、アクション、および警告はサービスプロバイダごとにカスタマイズできる。

以下、好適なセキュリティ、ビジネス、ワークフロー、およびサードパーティポリシーの例を、まずはセキュリティポリシーから詳細に説明する。セキュリティポリシーはほとんどのサービスプロバイダおよびサービスプロバイダアプリケーションにわたって幅広く適用でき、前認証と後認証の両方に使用できる。これらは、例えばユーザログインのときに、そしてユーザトランザクション処理のときに、適用できる。セキュリティモデルは、概してセキュリティ採点を得るために評価されるデバイスおよび位置基準から複数のデータ項目を評価する。図１５Ｂはかかるデータ項目の一例を図示する。例えば、複数のマシン、または複数の都市、または複数の位置から、ありえないほど短い期間にわたって発生していると思われる要求を提出するユーザがおそらくハッカーであることはわかっている。したがって、これらのデータ項目や類似するデータ項目は好適なセキュリティモデルの一部である。

セキュリティポリシーは、ユーザ、デバイス、および位置情報に関連するリスクパターンに基づく決定をともなうモデルを含む。セキュリティモデルは既知のリスク条件と潜在的にリスキーな挙動とに基づき、以下のモデルに分類される。表６Ａおよび６Ｂは、例証的セキュリティモデルを提示する。

サービスプロバイダは、ユーザ要求に関連する特定の条件からこのユーザのアクセスを阻止しなければならないことを発見するかもしれない。制限モデルは、ある特定のアクセスを阻止しなければならないという決定に関連するデータ項目および要素を収集する。代わりにサービスプロバイダは、ユーザがハッカーであること、または悪質であることを示唆する特定のユーザ挙動パターンを発見するかもしれない。これにしたがって、ハッカーモデルは関連データ項目および要素を収集する。表７は、セキュリティポリシーに関連するデータ項目のさらに他の例を提示する。

これらのデータ項目は、（列２に示すとおり）位置、デバイス、およびユーザ基準から組み立てられる。ユーザタイプのデータ項目は一般的に、ある特定のユーザの挙動に悪意の意思がありそうなことを示唆するか否かを検査する。デバイスタイプのデータ項目は一般的に、ある特定のデバイスが、悪意の意思がありそうなユーザによってアクセスされたことを示唆する形で使用されたか否か、および／または使用されているか否かを検査する。例えばデバイスが疑わしいのは、これがかつて拒否されたログイン要求の発信元にあたるデバイスである場合、あるいは識別不能の不審ユーザによってアクセスされたデバイスである場合である。またこれらのデータ項目は、デバイスから入手可能ならば、デバイスＩＤまたはフィンガープリントを含む。位置タイプのデータ項目は一般的に、デバイスまたはユーザとＩＰアドレスとの関連を検査する。例えば、ユーザまたはデバイスが疑わしい可能性があるのは、それらの要求が複数のＩＰアドレスまたは新しいＩＰアドレス等から発生している場合である。

表１５Ｂまたは表７のモデル等のセキュリティモデルには評価ルールが関連し、これは好適な実施形態において、現在の要求がセキュリティ問題である可能性を反映する採点を提供する。表８および９は例示的セキュリティ評価を決定表の形で提示する。図示された決定プロセスは表８で階層的に配置（または入れ子）されており、何らかの状態が発見される場合に、表９のチェック等のさらなるチェックを呼び出す。

この表は、現在のユーザ要求との関係で評価される全てのデータ項目が存在し、且つ一致する場合に、「０」の採点（詐欺の可能性が低いことを示す採点）を返す。データ項目が一切存在しない場合か、または全てのデータ項目が一致しない場合には、「１０」の採点（詐欺の可能性が高いことを示す採点）が返される。いくつかのデータ項目が存在し、且つ一致し、他のデータ項目が不在かまたは一致しない場合、この表はさらに他のチェックを呼び出す。例えばセキュアクッキー、フラッシュクッキー、またはフラッシュデータ等の、本発明によってあらかじめデバイスに格納された回収データトークンが存在しない場合には、さらに他のパターンチェックが行われる。このパターンチェックは、位置およびデバイス基準のパターンの詳細を調べ、しかるべき採点を割り当てる。データトークンに含まれるデータが現在の位置およびデバイス基準に一致しない場合には、さらに他の二次チェックが行われる。

この二次チェックは、回収されたデータトークンに含まれるデータが現在のユーザ要求に関連する基準にどのように一致しないかの詳細を調べる。表９は、かかる二次チェックを実施する例示的な決定表である。

この表で、ＡＳＮは「自律システム番号」を短縮したものであり、ＩＳＰは「インターネットサービスプロバイダ」を短縮したものであり、ＩＰはＩＰアドレスを表す（これらはいずれも通信技術において周知である）。メッセージ発信源の好適な表示は、（例えばＩＰアドレスだけではなく）メッセージのＡＳＮと、ＩＳＰと、ＩＰとを組み合わせることによって得られる。例えばセキュアクッキーの不一致の結果として、二次チェックが呼び出される場合には、表示されたデータ項目が収集され、表から採点が決まり、この二次チェックを呼び出した一次決定表へ採点が返される。異なる時間に異なる一次決定表からひとつの二次チェックを呼び出すことができる。

ビジネスポリシーは一般的に、詐欺または悪意の意思の可能性について個々のセッション中トランザクションのパラメータを評価するルール（「トランザクションルール」と呼ぶ）を含む。したがってビジネスポリシーは、一般的には後認証のときに適用され、一般的には分野またはサービスプロバイダおよびサービスプロバイダアプリケーションの業務に固有のものである。例えば、バンキングアプリケーションにおいて、例えば請求書支払い、資金振替等の特定のバンキングトランザクションのために、特定のトランザクションルールをあてがうことができる。トランザクションモデルはセキュリティルールと連動して使用でき、例えば国際ＩＰアドレスからの送金要求は許可しない（またはこれについてユーザに問い合わせを行う）。ビジネスポリシーはある特定の分野の異なるサービスプロバイダにより共有でき、あるいはある特定のサービスプロバイダのために作成およびカスタマイズできる。

表１０。例えば、ある特定のバンキングサービスプロバイダが、特定のトランザクションデータが制限または拒否するべきトランザクションを示していると判断したとする。表１０は、制限、問い合わせ、または拒否の対象となるトランザクションを指摘できる条件を評価する例示的ルールを提示する。

ワークフローポリシーは、予想される挙動パターンを示す、ある特定のユーザによって要求されるトランザクション等の関係トランザクションのグループまたはシーケンスを評価するモデルを含む。これらのルールは好ましくは、所与のクラスの典型的ユーザに対する期待に、またはある特定のユーザを記述する履歴に基づく。逆に、ワークフローポリシーのルールは悪意の意思を示す予期せぬ挙動を指摘できる。例えば、もしもあるユーザが日常的に一定の範囲内で口座振替を要求するなら、この範囲から大きく外れる振替はリスクを示唆する。代わりに、もしもあるユーザが予想される平均を上回る額の送金を日常的に行うなら、部分範囲内の将来の振替は必ずしもリスクを示唆せず、当該ユーザに対して適切なルールを有利に緩和できる。

表１１は、要求されたトランザクションが不正または悪質かもしれず、制限、問い合わせ、または拒否すべきものであることを指摘するルールの例を提示する。

リスクの評価にサードパーティデータベースからのデータが有用な状況において、さらに他のタイプのポリシーおよびモデルを適用できる。例えば、関連ルールは、サードパーティデータベースからのブラックリストＩＰアドレス入力に基づきログインまたはトランザクションを遮断または制限できる。加えて、関連モデルは、外部データベースから入手できる詐欺パターンまたはモデルに基づくことができる。本発明の実施形態は、トランザクション評価に役立つデータベースを保守し、不正挙動パターンを生成しシミュレーションする方法を提供する。

基準、ポリシーおよびモデルの構造を上で説明した。運用にあたっては、認証サービスを提供する過程で判明する特定のデバイス、位置、ユーザ、要求、サービスプロバイダ等について、これらのデータおよびルールクラスの特定のインスタンスが作成され、挿入される。本書ではこれらを「外部オブジェクト」と総称する。個々のサービスプロバイダのための認証サービスのより容易なカスタマイズに役立てるため、作成されたインスタンスはグループにまとめられ、（可能な限り）グループのメンバーとして評価される。グループは特定の基準項目に対応し、活動を評価するために使われるルールを含む適合モデルにリンクされる。

図１６Ａ−Ｃは、外部オブジェクトグループと特定外部オブジェクトとを、評価およびアクションルールを指定するモデルにリンクする一つの好適なモデルを図示する。モデルは構成されたルールの集まりである。モデルはあらゆる数のルールを含む。図１６Ａは、（例えば過去に認識された）デバイス、位置、ユーザ、およびワークフロー（好ましくはワークフローフィンガープリント）が、これらのオブジェクトからなるそれぞれの特定のグループに各々割り当てられることを図示する。また、外部オブジェクトからなるこれらのグループは、例えば選択されるデータ項目を強調する決定表等の関係評価ルールおよび戦略をグループ分けするモデルへ、リンクされる。それぞれのサービスプロバイダは、要求の評価に用いるリンクされたモデルから異なるモデルを選択できる。また、それぞれのサービスプロバイダは外部オブジェクトグループへリンクする独自のモデル（またはこれを作成するための指示）を提供できる。

図１６Ｂは、ある特定のセッションで提出されるユーザトランザクションのために作成できる特定の外部オブジェクト表現の一例を図示する。図示されたセッションは、ある特定の位置である特定のデバイスにてある特定のユーザによって提出されるある特定のワークフローを表している。この特定のユーザ、デバイス、位置、およびワークフローは、これらのそれぞれの外部オブジェクトからなる図示されたグループのインスタンスである。これらのグループは、評価ルールを含む評価モデルへリンクされる。好ましくは、デバイスおよび位置グループは１つ以上のセキュリティモデルグループへリンクされ、他方、ユーザおよびワークフローグループは１つ以上のビジネスモデルおよび／またはワークフローモデルにリンクされる。図示されたビジネスモデルは指示された評価ルールを含み、評価ルールは状況に応じて指示されたアクションまたは警告を生じさせることができる。任意で、そして仕様をさらに簡潔にするため、モデルはポリシーセットにグループ分けでき、ポリシーセットは典型的には各種モデルのうち１つを含む。そして、個々のモデルの代わりにポリシーセットへ外部オブジェクトをリンクできる。

ポリシーセットは、総合リスク採点を評価するために用いる全てのポリシー、モデル、およびルールインスタンスを保持する。複数のポリシーセットを構成し、試験し、格納することができるが、好適な実施形態においては一度にただひとつのポリシーセットを実際に使用できる。各々のポリシーセットは一般的には、例えばセキュリティポリシー、ビジネスポリシー、ワークフローポリシー、サードパーティポリシーの４タイプのポリシーを含み、各々のポリシーのタイプはポリシーのタイプに基づくモデルを表わす。

図１６Ｃは、この構造における単一要求の処理を図示する。着信要求を定義するデータは、この要求に関連するポリシーセットの中でモデルを更新するために使われる。これらのデータ更新によってリスク／ルールエンジンをトリガできる。そしてリスク／ルールエンジンは要請されるアクション、警告、採点を出力できる。

より詳細に、グループ、モデル、およびルールは、ビジネスニーズに応じて、一定のリスク閾値より上にトランザクションが採点される場合に起動する形にカスタマイズできる。表１２はいくつかの例示的ルールタイプを提示する。

さらに、より高度なリスク採点精度を保証するためにモデルを入れ子できる。入れ子モデルは、システムによって出力される当初の結果が決定的でない場合にリスク採点をさらに定量化するために使われる二次モデルである。入れ子モデルは、特定の一連の回答が一次モデルから返される場合に限り実行される。したがって、入れ子モデルは偽陽性および陰性を減らし、リスク採点の全体的精度を保証するのに役立つ。サービスプロバイダが特定の基準およびデータ組み合わせについてリスク採点または入れ子モデルを割り当てることを望まない場合には、各々の属性にデフォルトの重みが付けられる。これはカスタマイズ要件をさらに改善する。

この階層構造が簡便なカスタマイズの実現によく適することは明白であり、サービスプロバイダは自身の認証サービスについて大まかな目標を指定するだけでよく、特定の詳細はシステムグループに隠される。このモデルがオブジェクト指向プログラミング手法による実施に適することもまた明白であろう。システムルールエンジンは、基準データの収集と、外部オブジェクトの作成と、ルールの処理とを指導する。

ルールエンジン（図１４）は、モデルとポリシーとそのデータエレメントとをそれらの使用に先駆け分析する。認証サービスの際、ルールエンジンは、事前に分析されたサービスプロバイダモデルトランザクションデータフローに関連する、事前に分析されたデータエレメントを認識するときに、モデルに影響する可能性のあるこれらのエレメントを識別するために、モデル処理をトリガする。トリガの後、モデルは実行し、要請に応じてリスク採点と、アクションと、警告とを提供する。新規または変更されたパラメータおよびデータは維持されるので、次回に新規のデータが認識されるとき、または次回にモデルがトリガされるときには、それらを試験できる。例えば、もしも新しいデータが古いデータの一定の範囲内にあるなら、関連モデルをトリガする必要はない。

表１３はルールエンジンの好適なアーキテクチャを提示する。

好適な実施形態において、ルールエンジンは公知のフォーマッティング言語および規約によって構築される外部インターフェイスを提供する。エキスパートコアに含まれる方法は、サービスプロバイダが詐欺や悪意の意図の可能性を正確に認識できる形に設計される。

より詳細に、以下はコア方法の例である。ひとつの例示的な方法は「閾値超えタイム（ｔｉｍｅ ｏｖｅｒ ｔｈｒｅｓｈｏｌｄ）」として知られている。この方法は、トランザクションのたびにある変数の値をある所定の閾値と比較し、もしもその値があまりにも多くのトランザクションで範囲から外れていた場合には報告する。よって、閾値を超えるたびにモデルをトリガするのではなく、最近の履歴データを用いて永続的問題を選り分ける。よって、閾値超えタイムは不必要な警告とアクションとを解消する。もうひとつの例示的な方法は「標準からの逸脱（ｄｅｖｉａｔｉｏｎ ｆｒｏｍ ｎｏｒｍａｌ）」として知られている。この方法は、現在のアクションを一定の閾値に比較する代わりに、使用履歴データを用いて特定の日、時間、ユーザ、デバイス、ワークフロー等の標準を設定す
る。そして、類似状況下での標準から現在の挙動が逸脱しているか否かを査定する。

もうひとつの例示的な方法は「イベント状態（ｅｖｅｎｔ ｓｔａｔｅ）」として知られている。この方法は、過去の警告とアクションとを格納する外部オブジェクトの状態を維持する。そして、失格ルールが最初の失敗に際しひとつの警告を発する。最初の警告から選択された期間が経過するまでは、以降の失敗から追加の警告は発せられない。その後ルールが成功する場合には警告が解除される。もうひとつの例示的な方法は「イベント率（ｅｖｅｎｔ ｒａｔｅ）」として知られている。この方法は、過去の選択された期間中に選択されたイベントがあまりにも多く発生した後に限り警告を発する。例えば、もしもログイン失敗が１時間に３回発生するなら、侵入者がシステムへのアクセスを試みているかもしれないことを示す警報または警告が発せられる。ただし、所定の期間中は以降のログイン失敗から追加の警報は発せられないし、３回未満のログイン失敗でも発せられない。さらに他の例示的な方法は「閾値超えイベントタイム（ｅｖｅｎｔ ｔｉｍｅ ｏｖｅｒ ｔｈｒｅｓｈｏｌｄ）」として知られている。この方法は、受信するトラップの率が一定期間中に閾値率を超過する場合に警告を発する。例えば、ネットワークリンクは頻繁に変動するから、リンク周期のたびに警報を発すると煩わしい。しかし、もしもネットワークリンクが例えば１時間に例えば１０分以上停止したならアベイラビリティに支障をきたすおそれがあり、警告を発することができる。
好適なソフトウェア構成
これまで簡潔に説明してきた本発明の方法およびシステムの個々のコンポーネント、すなわちフィンガープリントプロセス（図４Ａ参照）、次にＦＡＡＳプロセス（図５および６参照）、次に認証プロセス（図７−１０参照）、次にＤＣＲサーバ（図１１参照）、最後にＦＤＭプロセスを（図１２参照）、以下により詳細に説明する。ユーザデバイスは好ましくは、セキュアクッキー、フラッシュクッキー、および類似するデータトークンを、ブラウザ特性、デバイスハードウェア構成（例えばフラッシュコールを用いて取得）、ネットワーク特性等の他のデータ項目と組み合わせて用いることで識別される。デバイス識別データは構成可能な入れ子ルールのセットによって評価され、該入れ子ルールのセットはデバイスを識別するのみならず、クッキーが使用不能の場合および同調しないクッキーのような例外的なケースの処理、ならびに不正に盗まれたクッキーの識別を含み、当該デバイスからの既往ログインの正確さをチェックする。

図４Ａ−Ｂは、本発明のシステムおよび方法のデバイスフィンガープリントプロセス４００の例示的実施形態を図示するフローチャートである。図４Ａはデバイスフィンガープリンティングのより大まかな図を提示し、図４Ｂは図４Ａを洗練したものであり、デバイスフィンガープリンティングの好適な一実施形態のより詳しい図を提示する。この説明では主に図４Ａを参照し、その結果、図４Ｂ中の同様のステップは明白となる。ステップ４０２では、サービスプロバイダサーバにて、例えばそこに常駐のデータを求める要求を、ユーザデバイス７２０（図１３Ａ）から受信する。フィンガープリンティングプロセスが呼び出され、要求を記述する情報が転送される。ユーザデバイスは、図１３Ａのようなパーソナルコンピュータ７２０、携帯電話機、携帯データ端末（ＰＤＡ）、現金自動預け払い機（ＡＴＭ）、またはサーバにアクセスできる他の適当なデバイスであってよい。サービスプロバイダサーバは好ましくは、ユーザデバイスからインターネット、またはその他の公共ネットワーク、または私用ネットワークを介してアクセスできるウェブサーバである。

ステップ４０４では、ユーザデバイスのデバイスアイデンティティ情報を捕捉する。この情報は、あらかじめユーザデバイスに常駐するクライアントプログラムによって捕捉できる。インターネットアプリケーションの場合、このクライアントプログラムは一般的にウェブブラウザである。代わりに、識別情報を収集するためにソフトウェアモジュールをユーザデバイスへダウンロードして実行できる。インターネットアプリケーションの場合
、このソフトウェアモジュールは、ウェブブラウザによってダウンロードされ実行されるプラグイン、スクリプト、またはアプレット（例えばＪａｖａ（登録商標）アプレット）であってよい。ユーザデバイスを可能な限り一意に識別するように、収集されるアイデンティティ情報が選択される。好ましくは、サーバアプリケーションにアクセスするユーザデバイスの中でデバイスを一意に識別できる。もしも一意な識別のため入手可能な情報が不十分なら、例えばユーザデバイス間で大きく異なる特定のプロパティの値によって、ユーザデバイスをできるだけ狭く識別する。アイデンティティ情報は、フィンガープリンティングプロセスそのものによって生成されるデータによって、例えば大きい乱数等の一意なビット文字列によって、増補できる。デバイスアイデンティティ情報の一部または全部は（フィンガープリンティングプロセスによって生成される識別情報とともに）「デバイスＩＤ」と呼ばれるデータトークンに格納される。この節の補遺Ａは、デバイスフィンガープリンティングのある特定の好適な実施形態に役立つデータエレメントと評価ルールの具体例を提示する。

一般的に、捕捉されるデバイス識別情報は以下を含む。第１のタイプのデバイス識別情報は、あらかじめユーザデバイスに格納されたセキュア永続データトークンである。セキュア永続データは一般的に、暗号化され、署名され、または他の何らかの方法で変更に対する保護が施され、たとえユーザデバイスがサービスプロバイダアプリケーションにアクセスしていないときでもユーザデバイスに常駐し続ける、データエレメントを含む。このデータは、サービスプロバイダサーバアプリケーションによってあらかじめユーザデバイスに格納されていることがあり、その場合、これはしばしばサービスプロバイダにアクセスしたユーザを識別する。このデータはまた、このデバイスの以前の識別の過程で本発明のフィンガープリンティングプロセスによって格納されていることがあり、その場合、これは好ましくは「デバイスＩＤ」を含む。

リモートアプリケーションが永続データをユーザデバイスに格納し回収することを可能にする手法ならどれでも使用できるが、公知で広く利用可能な手法を使用することが好ましい。かかる手法のひとつは「セキュアクッキー」として知られている。標準的なクッキーは、ホストマシン上のファイルへの保存するためウェブサーバによってウェブブラウザへ送信されるデータパケットである。このデータパケットは、ブラウザがサーバに対し追加の要求を行うとき等、要求されれば回収でき、サーバへ送り返すことができる。セキュアクッキーは、変更や改竄から保護された標準クッキーを指す。

もうひとつのかかる手法は「フラッシュクッキー」として知られている。「Ｆｌａｓｈ」の商標名で一般的に識別されているＭａｃｒｏｍｅｄｉａ社のグラフィカルソフトウェアアプリケーションおよび／またはプラグインは、現在多くのユーザデバイスに常駐している。このソフトウェアは、ウェブブラウザによって格納される標準「クッキー」のように、ユーザのデバイス上で永続データを局所的に維持するため「フラッシュクッキー」として知られるローカル共有オブジェクトを作成できる。フラッシュクッキーは、フラッシュプラグインユーザのデバイス上で局所的に格納でき、更新可能であり、標準クッキーのようにユーザのデバイスから容易く削除されはしないという利点を持つ。

第２のタイプのデバイス識別情報は、ユーザデバイスおよび／またはユーザデバイスのネットワーク接続のハードウェア特性である。ＩＰアドレス、アダプタＭＡＣアドレス、現地時間および／または時間帯、ダウンロードおよび／またはアップロード時間等のネットワーク接続速度、マイクロプロセッサのタイプおよび／または処理および／またはシリアル番号等を含む、多くの種類のハードウェア特性をデバイス識別の目的で収集できる。この節の補遺Ｂにはかかる情報を収集するソフトウェアが記載されている。

ステップ４０６では、あらかじめ格納されたデバイスＩＤを含む、捕捉されたデバイス
アイデンティティ情報（ＩＤ）を、あらかじめＦＡＡＳプロセスによってデータベースに格納された、「デバイス／プロファイル履歴」と呼ばれる、アイデンティティ情報と比較する（デバイス／プロファイル履歴が「プロファイル履歴」と呼ばれている図６の６１０参照）。デバイス履歴／プロファイルデータベースは、以前に認識および／または識別されたデバイスに関連しこれを記述するレコードを含む。もしも捕捉されたデバイス情報がデバイスに格納済みの情報に相当することをテスト４０８で立証できるなら、ステップ４１２で、新しい識別情報によってデバイスのデバイス履歴レコードが更新される。フィンガープリントによってあらかじめ生成され、ユーザデバイスおよびデバイス履歴に格納される一意なビット文字列が１つのテストに一致している。テスト４０８のときにデバイス履歴データベースで相当するレコードが見つからなければ、ステップ４１０で新しいアイデンティティ情報によって新しいレコードが作成される。

最後に、ステップ４１４にてデバイスの新しいデバイスＩＤトークンが作成され、ステップ４１６にてユーザデバイスへ送信され、例えば標準クッキーまたはフラッシュクッキーとしてそこに格納される。デバイスＩＤがユーザデバイスで見つからなかった場合には、収集された識別情報から新しいデバイスＩＤトークンが作成される。デバイスＩＤが見つかった場合は、例えば新しい一意なビット文字列、新しいタイムスタンプ等によりこれを更新できる。ステップ４１８でプロセスは継続する。

本発明の一特徴は、ログインごとのユーザのマシン上でのクッキーの置換に関する。これはさらに他のセキュリティを提供し、たとえユーザのマシン情報が以前のクッキーに盛り込まれた情報さえも含めて第三者によって不正に取得される場合でも、認証システムはそのユーザが認定されていないことを識別でき、システムへのアクセスを拒否できる。無論、異なるコンピュータによるアクセスは一部のユーザでよくあることで、認定ユーザにアクセスを許可するために二次セキュリティプロトコルを提供できる。加えて、異なるコンピュータを使ったユーザからのアクセスが許可される場合は、そのユーザがアプリケーションやシステム内の他のファイルにアクセスを試みるときに、高セキュリティリスクの実施を含むソフトウェアによってこれを識別できる。またクッキーおよびデバイストークンは一般的に、後で回収されたトークンと比較するために格納される。よって、盗まれたフィンガープリント、トークン、またはデバイスｉｄを不正に再使用することはできない。

フィンガープリンティングプロセスによって呼び出される詐欺分析・警告システム（ＦＡＡＳ）プロセスを、該プロセスの例示的フローチャートを図示する図５と、該プロセスの例示的実施を図示する図６とを参照しながら説明する。一般的に、ＦＡＡＳの機能は、アクセス要求を行うデバイスに関係するリスク情報に照らして、そして任意に要求の性質に照らして認証をいかに良好に遂行するかについて、ユーザとサービスプロバイダの指示を「表現」することである。好適な実施形態において、ユーザとサービスプロバイダの指示はルールによって表現される。ＦＡＡＳのルールエンジンコンポーネントは、認証インターフェイス選択基準を判定するため、入手可能な詐欺リスク情報に照らしてアクセス要求を評価する。代替の実施形態においては、アクセス要求を評価するため、そしてインターフェイス選択基準を判定するために、別の手法を使用できる。例えばルールおよびルールエンジンは、統計分析手法、ニューラルネットワーク手法等に置き換えることができる。Duda et al.（デューダ他）、 Pattern Classfication（パターン分類）、 Wiley−Interscience， 2nd ed．、 ２０００参照。

図６へ移り、ＦＡＡＳ６００は、これの入力、出力、内部データ構造、および処理コンポーネントを参照しながら図示され説明される。ほとんどの外部入力はデータソース処理モジュール６０６によって処理される。このモジュールは外部データを受け取り、ルールエンジン６０４による使用に向けてこれをフォーマットおよび／または準備する。外部入
力のひとつは、現在のアクセス要求の発信元にあたるデバイスに関しフィンガープリンティングプロセス５００によって収集されるデバイス識別情報である。この収集された情報は好ましくは、デバイスＩＤを含み（および／またはこれに封入され）、さらにまたＩＰアドレス、セキュアおよびフラッシュクッキー、ＣＰＵタイプ等を含み得る。現在のデバイスがかつてサービスプロバイダシステムにアクセスしたことがあるか否かを判断するため、この識別情報はデバイス／プロファイル履歴データベース６１０の相互参照に使われる。アクセスしたことがある場合は、例えばリスク情報などの、そこに格納されている現在のデバイスに関連する情報が回収され、データソース処理モジュールへ入力される。デバイス／プロファイルデータベースは現在の識別情報で更新される。デバイスを一意に識別できない場合、この情報は、現在のデバイスを含む類似デバイスのグループを指す。

サービスプロバイダシステムからデータソース処理モジュールへ至るもうひとつの外部入力はトランザクション本位入力６２０である。トランザクション本位入力６２０は、サービスプロバイダまたはユーザがルール定義モジュール６０８にルールを格納することにより特別に処理することを望む、ユーザデバイスによって要求されている、例えば購入金額、送金額、要求された送金のタイプ等の特定のトランザクションに関する入力を含む。例えばサービスプロバイダは、一定額を上回る購買要求がサーバへ送信される前に、警告を受け取ること、および／またはより高度なセキュリティ認証インターフェイスを呼び出すことを、望むかもしれない。

データソース処理モジュールに対するもうひとつの外部入力は、標識付きデバイス中央リポジトリ（ＤＣＲ）６１８からである。ＤＣＲは、サービスプロバイダから、そしてさらに好ましくは他のサービスプロバイダから、引き出される既往詐欺リスク情報のデータベースである。この情報は、フィンガープリンティングおよびＦＡＡＳプロセスから導出される。

データソース処理モジュールは、好ましくは外部のサードパーティデータプロバイダからもデータを受け取る。これらのソースは、地理位置情報サービス６１２、ブラックリストサービス６１４、ホワイトリストサービス６１６等を含み得る。地理位置情報サービス６１２は、ユーザデバイスのＩＰアドレスに対応するおおよその地理緯度および経度を提供する。ＩＰアドレスによる地理位置情報は、ユーザのＩＰアドレスを、他の近傍のサーバおよびルータの既知の位置と比較することによってユーザに対応する地理緯度および経度を判断する手法である。地理位置情報サービスはこれの加入者にインターネット詐欺と戦うためのもうひとつの武器を与える。サードパーティブラックリストサービス６１４は典型的には、例えば不審な活動または既知の不正活動に関連するアドレス等の疑わしい不正ユーザのＩＰアドレスを含むリストを提供する。サードパーティホワイトリストサービス６１６は典型的には、真正であることの履歴を持つ、すなわち詐欺との関連がない、ＩＰアドレスのリストを提供する。

ＦＡＡＳ処理は好ましくは、ルールエンジン６０４によって実行される。このルールエンジンは、当該技術で公知のとおり、認証インターフェイス選択基準を判定するため所定のルールのセットを使用する形に構築できる。外部データを容易く形成するために、データソース処理モジュールはルールエンジンへ結合される。ルール定義モジュール６０８は格納されたルールおよびアクションを提供する。ルールはルール定義モジュールのコンポーネント６２２に格納され、ルールに関連するアクションはストレージ６２４に格納される。認証アクションをサービスプロバイダの要件に合わせて調整できるようにするため、ルールはサービスプロバイダによって供給でき、格納できる。サービスプロバイダサービスアプリケーション１３２２は任意に、ルールエンジンへのダイレクトリンクを有することもでき、かくしてルールエンジンはサービスプロバイダアプリケーションに追加の認証ガイダンスを要求する。

例示的アクションは、ある特定の認証インターフェイス選択を指定することである。例えば、一定の閾値を上回る額の送金要求をユーザデバイスから受け取る場合、そしてそのデバイスが不正活動の量が通常より多いことで知られている場所にあることが地理位置情報から判定される場合に取るべきアクションとして、不正の可能性があるトランザクションに対するセキュリティを高めるため、所定の上級のセキュリティユーザインターフェイスをユーザに提示することをルールで指定できる。

ルールエンジンは、格納されたルールに従いその入力データ（そしてもしあるなら入力ガイダンス）を評価し、格納されたアクションに従いインターフェイス選択基準を判定する。インターフェイス選択基準は、現在のアクセス要求を認証するために、現在のユーザデバイスにてユーザに向けて表示すべき認証インターフェイスのタイプを指定する。これらの基準は、いくつかの実施形態においては表示するべき特定のインターフェイスを指定でき、あるいは他の実施形態においては、セキュリティのレベル等、インターフェイスの特性を指定できる。インターフェイス選択基準はオーセンティケータ７００へ出力され、該オーセンティケータは認証インターフェイスを選択し、ユーザに向けて表示する。そしてユーザは要求された認証情報を入力する、および／または要求された認証アクションを（もしあるなら）実行する。「ユーザ認証情報」として知られるこの入力情報は、ＦＡＡＳおよび／またはサービスプロバイダアプリケーションおよびルールエンジンへ返される。ユーザが認証されるか否かを判断するため、ルールエンジンまたはサービスプロバイダアプリケーションのいずれか一方または両方が、ユーザ認証情報を評価する。任意に、認証の程度を判断できる。サービスプロバイダアプリケーションは、認証の程度が不十分である場合に、さらに他の認証の実行をＦＡＡＳに要求できる。

図５は例示的なＦＡＡＳのフローチャートを図示する。ＦＡＡＳ処理は、デバイス識別データを、例えばフィンガープリンティングプロセスによってユーザデバイスから捕捉されるデバイスＩＤを、これが受信するときに呼び出される。サードパーティプロバイダから追加のデータを回収できる。そして、あらかじめ決められた／あらかじめ選択されたユーザインターフェイスをユーザ要求の発信元にあたる現在のデバイスに提供するべきか否かを判断するため、ルールエンジンによってアイデンティティおよびリスク情報が評価される５０４。提供する場合には、インターフェイス選択基準にしたがって、好ましくはグラフィカルインターフェイスであるユーザインターフェイスを生成するため、そしてこのインターフェイスをデバイスに提示するため５１０、オーセンティケータ機能７００が呼び出される５０８。

そしてルールエンジンは、別の形の認証または検証が必要か否かをさらに判断するため５１２、返されたユーザ認証情報を評価する。追加の認証が必要な場合は、サービスプロバイダによって指定されるルールに従いこれが遂行される５１４。例えば、任意選択可能のステップ５１４は、サービスプロバイダが、何らかのトランザクションのためより高度なセキュリティ認証インターフェイスを求める銀行またはその他金融機関である場合であってよい。

次に、ルールエンジンおよび／またはサービスプロバイダシステムまたはアプリケーションは、例えばユーザによって入力されたユーザ名およびパスワード等の受け取った認証情報に基づき、ユーザを有効と認証するか否かを決定する。もしもユーザが有効ならば、サービスプロバイダウェブサーバにてサービスプロバイダアプリケーション１３２２とともに処理は続行する５２０。もしもユーザが有効でなければ、ユーザはエラーメッセージページへ誘導される５１８。ここでサービスプロバイダは典型的には、ウェブサーバに対するユーザアクセスを遮断し、セッション接続を終了する。代わりにサービスプロバイダは、有効なユーザ認証情報を提示する追加の機会をユーザに与えることができる。

認可のためにユーザ入力インターフェイスを使って認証情報を入力する機会を、サービスプロバイダがユーザに与えない場合があることは理解されよう。例えば、ＩＤ情報に基づき、もしも重大な詐欺リスクを投げかけるものとしてユーザデバイスが識別されるなら、本発明のシステムおよび方法は、サービスプロバイダに、ルールを通じて詐欺警告をサービスプロバイダに送るように求めることを可能にする。この場合、サービスプロバイダは、ユーザインターフェイスを通じてユーザの認証情報の入力を可能にする前にサーバに対するユーザの接続を終了させることにより対処できる。表示される初期ユーザインターフェイスの選択基準はサービスプロバイダが事前に決めることができる。

ユーザまたはサービスプロバイダが、例えば要求されているトランザクションに基づき、有効な認証済みセッションの過程でさらに他の認証を要求できることもまた理解されよう。例えば、銀行またはその他金融機関は、一定額を超えるトランザクションがサーバへ送信される前に上級のセキュリティ認証インターフェイスをセッション中に呼び出すことを望むかもしれない。かかる認証を提供するため本発明のシステムおよび方法を呼び出すことができる。
ユーザインターフェイス管理
図７はオーセンティケータ７００のブロック図である。オーセンティケータは、入力データとルールとに依存して、ＦＡＡＳによって判定されるインターフェイス選択基準７３０に応じて選択されるログインインターフェイスをネットワーク７１０を介してユーザデバイス７２０に提示する。この選択基準は複数のユーザビリティおよびセキュリティ要素を含み得る。例えばサービスプロバイダまたはサービスプロバイダのユーザ／加入者は、高くなった詐欺リスクが認められるある種のトランザクションについて強化セキュリティログインインターフェイスを要求するかもしれない。これは、サービスプロバイダ、またはある特定のユーザ、またはある特定のトランザクションタイプに特有のルールに反映させることができる。

本発明は、基礎的で見慣れたユーザインターフェイスから複数のインターフェイスをはさんで最も安全なユーザインターフェイスに至る、選択可能な複数のグラフィカルログインユーザインターフェイス層を提供することによってユーザビリティの問題に対処できる。例えば、既知の詐欺リスクが存在しないデバイスを使用している長期ユーザ／顧客の平常のトランザクションには、よりユーザにとって使い勝手の良いインターフェイスを提示できる。後者の場合はそのユーザのためのルールを作成でき、図６の定義モジュール６０８の一部として含めることができる。また、ある特定のユーザには、ルールを追加することによって自身の認証インターフェイスを調整することを許可できる。

より詳細に、インターフェイス選択基準７３０はオーセンティケータ７００のインターフェイスセレクタ／ディスプレイヤ７０２によって受信される。インターフェイスモジュール７０６とデータベース７０４はインターフェイスセレクタ／ディスプレイヤ７０２へ結合される。データベース７０４は、「ＧＵＩ １」から「ＧＵＩ Ｎ」と図示された複数のグラフィカルユーザインターフェイス（ＧＵＩ）を備える。インターフェイス選択基準７３０に応じて、選択されるＧＵＩは、インターフェイスセレクタ／ディスプレイヤ７０２によって、インターフェイスモジュール７０６へ送信される。インターフェイスモジュール７０６は、選択されたＧＵＩをネットワーク７１０を介してユーザデバイス７２０へ送信する。任意に、選択されたＧＵＩをある特定の様態で修正することをインターフェイス選択基準で指定できる。入力されたユーザ認証情報は、ＦＡＡＳおよび／またはサービスプロバイダへ返される。

データベース７０４は、例えば図１に示されたインターフェイス１８ならびに図２、３、８、および９に示されたインターフェイスおよびこれらの変形等のユーザインターフェ
イスを含むことができ、該変形は、例えば後ほど図２のキーパッドユーザインターフェイスに基づき複数の上級セキュリティインターフェイスを例示する図１０Ａ−Ｅに示される。ユーザインターフェイスは２つの認証要素、すなわちユーザｉｄまたはユーザ名とパスワードとともに図示されているが、本発明が２つの要素に限定されず、本発明の範囲内でさらに他の要素を含めることができることは理解されよう。図示されたＧＵＩの各々は、例えばＭＡＣＲＯＭＥＤＩＡのＦｌａｓｈ、Ｊａｖａ（登録商標）等の適当なソフトウェアを用いてユーザデバイスへ送信される。好適な実施形態においてはＧＵＩについてＦｌａｓｈソフトウェアを使用する。

図８および９のＧＵＩは、データ出力形態ばかりでなく実際の画像形態でも認識不能のオンライン画像を用いてパスワードやその他の機密情報をユーザに入力させ、提出させることによって強化セキュリティを提供する。「認識不能」オンライン画像を提供する方法のさらに他の詳細は、２００５年６月２９日に出願された係属中の米国特許出願第１１／１６９，５６４号に見ることができ、該係属中米国特許出願はここで参照によりその全体が組み込まれる。図８は、英数字およびグラフィック記号を整合させるためマウスクリックナビゲーションを使用し認証情報入力を可能にするグラフィカルホイール２要素認証インターフェイスを図示する。図９は、英数字およびグラフィック記号を整合させるためにマウスクリックナビゲーションを使用して認証情報入力を可能にする例示的グラフィカルスライダ認証インターフェイスを図示する。図８および９に示された記号および英数字が例示的であること、すなわち本発明を実践するため他のグラフィカル記号および画像を使用できることは理解されよう。

図８のホイールＧＵＩ ８００はオーセンティケータによって生成でき、または格納でき、データ入力時点での暗号化のため少なくとも２つの同心ホイール８０２および８０４を備える。ユーザ名フィールド８１０またはパスワードフィールド８１２の次のエレメント（または記号、または文字）へ入るため、ユーザは、反時計回りの場合は「右矢印」ボタン８０６の、時計回りの場合は「左矢印ボタン」８０８のナビゲーションマウスクリックにより、内側ホイール８０２上の参照点を外側ホイール８０４上の所望のエレメントまで誘導する。参照点はユーザによって選択され、ユーザだけがこれを知るから、画像は、様々なスパイ行為ソフトウェアと「肩越し」スパイとを含む部外者にとって解釈不能および／または識別不能となる。

ユーザが画像記号を入力するために「ｎｅｘｔ」ボタンをクリックするたびに、内側ホイール８０２の以前の向きからの変位を記述するデータが、好ましくは度、またはラジアン、または同様の角度単位として、サーバへ送信される。ユーザ名フィールド８１０またはパスワードフィールド８１２についてエレメントの入力を指定するため、好ましくは「ｅｎｔｅｒ」ボタンを使用する。図示されたボタン識別子は例示にすぎず、本発明では他のボタン識別子を使用できる。また、ユーザ名またはパスワードが固定長であるシステムの場合には、「ｎｅｘｔ」および「ｅｎｔｅｒ」ボタンの代わりに、好ましくはただひとつのボタンを使用する。好ましくは、「肩越し」スパイがフィールドの情報を見るのを防ぐための補助として、ユーザ名フィールド８１０またはパスワードフィールド８１２において入力されるエレメントは表示されない。例えば、各エレメントの入力を示すためフィールドの中にアスタリスクを任意に表示できる。

その後、度（またはラジアン、または同様の角度単位）で測定された内側ホイール８０２の変位はサーバへ送信され、サーバによって復号化される。実際の認証情報と画像の詳細とを知るオーセンティケータは、セッションの認証にあたってユーザ入力を判定／復号化するため、変位情報を復号化することによって選択されたマーカを導き出す。変位座標はセッションに固有のものであり、ひとたびセッションが終了すると使用不能である。

図９は、本発明の別の実施形態に従い例示的グラフィカルスライダ認証インターフェイス９００を図示する。ルーラとも呼ばれるスライダインターフェイス９００は、ユーザ名入力フィールド９０２と、パスワード入力フィールド９０４と、スライダを動かすための選択可能矢印ボタン９０６Ａおよび９０６Ｂとを含む。代わりに、スライダを動かすためキーボードの矢印キーを使用することもできる。スライダ９００は、一連の記号（または文字）を有する、すなわちこの例では文字「Ｂ」の下にトランプの記号９１２、すなわち

を有する下行９０８と、入力される一連のエレメント（文字）を有する固定された上行９１０とを含む。下行９０８は操作中に「左矢印」ボタン９０６Ａと「右行ボタン」９０６Ｂとのユーザナビゲーションマウスクリックに応じて滑動的に変位できる。スライダ９００の可動下行９０８の変位は固定上行９１０を基準にして測定され、ユーザが「ｅｎｔｅｒ」ボタン９１４を用いて入力を告げた時点でサーバへ送信され、サーバによって復号化される。よって、スライダ９００のオーセンティケータへの変位情報送信の一般概念はホイール８００のそれに類似する。

ユーザがユーザ名またはパスワードの入力を再開できるようにするため、好ましくは「ｒｅｓｅｔ」ボタン９１６が設けられる。フィールド入力の状況を表示するため、すなわちこれまで入力されたユーザ名またはパスワードのエレメント数を伝えるため、２つの行の右側には好ましくはブロックアイコン９１８が設けられる。好ましくは、「肩越し」スパイがフィールドの情報を見るのを防ぐための補助として、入力されるエレメントはユーザ名フィールド８０２またはパスワードフィールド９０４において表示されない。代わりに、各エレメントの入力を示すため入力箇所にアスタリスクを表示できる。

図２は、公知の数字キーパッドの形態のグラフィカルユーザインターフェイスを図示する。そのキーパッド画像は、好ましくはデータベース７０４の中にある選択可能なＧＵＩのうちの１つである。図１０Ａ−Ｅは、標準的なキーパッドインターフェイスに対する上級セキュリティレベルユーザインターフェイス修正を図示するものであり、これは標準的なキーパッドインターフェイスより安全な５つの追加の選択可能層を提供する。これらのインターフェイスは、オーセンティケータによって格納でき、あるいはオーセンティケータによって、例えば図２のインターフェイスから生成できる。

図１０Ａは、図２のインターフェイスにおける英数字記号を再配置する第１の選択可能上級セキュリティキーパッドグラフィカル認証インターフェイスを図示する。キーパッド１０１０は、図２の数字キーパッド２０における数字の再配置表示の一例を含む。再配置は、キーパッド画像上の数字に対し異なるｘ−ｙ座標を有することにより、マウスクリックｘ−ｙ座標ロガーに対する追加のセキュリティをもたらす。

図１０Ｂは、図２のインターフェイスのキーパッド２０を一方向にずらす第２の選択可能上級セキュリティキーパッドグラフィカル認証インターフェイス１０２０を図示する。図１０Ｂのキーパッドインターフェイス１０２０はキーパッドをずらすことにより、マウスクリックおよびｘ−ｙ座標２３ロガーおよびスクリーンキャプチャラに対する追加のセキュリティをもたらす。図１０Ｂの再配置の欠点として、光学文字認識（ＯＣＲ）を備える高性能のスクリーンキャプチャラは、例えばキーパッドの各数字が相対ｘ−ｙ座標のどこに位置するかを解読でき、入力された数列を確認するためこれをマウスクリックのｘ−ｙ座標と相互参照できる。

図１０Ｃは、図２のインターフェイスのキーパッド２０を別の方向にずらす第３の選択可能上級セキュリティキーパッドグラフィカル認証インターフェイス１０３０を図示する。

図１０Ｄは、図２のインターフェイスの英数字キーパッド入力選択肢を変形させる第４の選択可能セキュリティキーパッドグラフィカル認証インターフェイスを図示する。グラフィカルユーザインターフェイス画像を変形させる方法は、２００５年６月２９日に出願された係属中の米国特許出願第１１／１６９，５６４号にさらに詳しく説明されており、該係属中の米国特許出願はここで参照によりその全体が組み込まれる。キーパッド１０４０は画像と数字を変形させることにより、スクリーンキャプチャ／ＯＣＲおよびマウスクリックｘ−ｙロガーに対する追加の保護をもたらす。変形は、人間のユーザが画像の中の数字を容易く識別することを可能にしつつ、スクリプトキャプチャラ／ＯＣＲおよびｘ−ｙ座標ロガーがマウスクリックを特定の数字にリンクすることを防ぐ。

図１０Ｅは、図２のインターフェイスの一部分を再配置し、網掛けする第５の選択可能上級セキュリティキーパッドグラフィカル認証インターフェイス１０５０を図示する。キーパッドインターフェイス１０５０における斑点網掛けは、ユーザ名またはパスワードを盗むためグラフィック画像のチェックサムを頼りに数字キーパッド上の各数字のｘ−ｙ位置を解読するスパイウェアに対する保護をもたらす。斑点網掛けによって結果として生じるチェックサムは図１０Ａの画像と比べて変化し、図１０Ｂにおけるキーパッド数字の再配置がこれに組み合わされることにより、セキュリティの強化をもたらす。

例えば上に指摘した米国特許出願にあるとおり、例えば図３のキーボード３０のようなキーボードを変形させる等、図１０Ｄの変形方法と図１０Ａ−Ｅにおけるその他の改良例に関する方法を他のグラフィカルユーザインターフェイスにも適用できることは理解されよう。逆に言えば、本発明は上述した変形手法に限定されず、セキュリティを強化するため当該技術で公知の他の変形手法を含む。
デバイス中央リポジトリサービス
図１１は、履歴デバイスリスク情報を格納し、複数のサービスプロバイダとの間で、例えばサービスプロバイダ１からＮとの間で、これを報告し合う例示的デバイス中央リポジトリ（ＤＣＲ）システム１１００を図示するブロック図である。ＤＣＲシステムは、好ましくはサービスプロバイダのウェブサーバとは別個のウェブサーバ１１１０上で常駐し実行するＤＣＲサーバアプリケーションを含む。ＤＣＲウェブサーバ１１１０は、公共のインターネット等、適切な公共ネットワークまたは私用ネットワークによってウェブサーバ１１２０、１１２２〜１１３０上のサービスプロバイダ１〜Ｎとして図示されている１つ以上のサービスプロバイダの加入者にとってアクセス可能となり、本発明のフィンガープリンティングモジュールによって収集されるデバイス識別情報に基づき所定の詐欺リスク情報を提供する（それらがサービスプロバイダアプリケーションによって呼び出されるとき）。サービスプロバイダアプリケーションは、各サービスプロバイダにて実行する標識付きデバイスモジュール（ＦＤＭ）１２００によって提供される設備によってＤＣＲサーバアプリケーションと通信する。

図１２はＦＤＭの実施形態を図示するブロック図である。標識付きデバイスモジュール１２００は、標識付けルールエンジン１２１０と、ルール定義モジュール１２２０と、共有リスト処理モジュール１２４０と、サービスプロバイダ認証（有効／無効）データモジュール１２３０とを含む。まずは標識付けルールエンジンに注目し、これの入力は、本発明の方法およびシステムによって生成される情報と、外部サードパーティデータプロバイダから回収される情報とを含む。本発明のシステムおよび方法によって生成される入力情報の重要成分は、サービスプロバイダ認証情報１２３０を含む。この情報は、現在のアクセス要求が有効および／または不正であるか否か等、現在のユーザアクセス要求の認証結
果を記述する。

フィンガープリンティングモジュール４００によってユーザデバイス１２６０から収集されるデバイス識別情報もまた入力される。この識別情報は、ＦＡＡＳ ６００へ入力されデータベース６１０に格納されるアイデンティティ情報５００に類似する。したがってアイデンティティ情報は好ましくは、ＩＰアドレス、標準クッキー、フラッシュクッキー、およびその他の識別情報を含む。本書に添付された補遺には、ＣＰＵタイプ／処理速度および接続速度識別のための他の識別情報を入手する方法が記載されている。他の公知の識別子もまたユーザデバイスの識別のために使用でき、過去にユーザデバイスからアクセスできた情報とセキュリティのレベルに依拠してよい。

サードパーティデータプロバイダ１２５０からの情報もまた入力される。この入力は、ＦＡＡＳ ６００に至るサードパーティ入力にその内容が概ね類似する。これらは、ＦＡＡＳと同様、サードパーティ地理位置情報データ６１２と、サードパーティブラックリストデータ６１４と、サードパーティホワイトリストデータ６１６とを含む。

組み合わされた入力情報は現在のデバイスの識別情報とともにＤＣＲへ送信され、ここで既往リスクデータベースを更新するために使われる。また組み合わされた入力情報は標識付けルールエンジン１２１０によって評価され、これは、任意に１つ以上の特定ユーザデバイスを対象とし履歴情報に基づきデバイスとその関連詐欺リスクを識別するリストを保守するためにルール定義１２２０を適用する。共有リスト処理１２４０は標識付けルールエンジンに誘導されながらブラックリスト１２４２とホワイトリスト１２４４とを作成、更新、さもなくば保守する。デバイスと、各デバイスによる潜在的な詐欺リスクとを識別するために、これらのリストはデバイス本位である。

この情報はＦＡＡＳにとって利用可能とされる（図６の入力６１８）。またこの情報は、図１１のＤＣＲサーバ１１１０へ出力される。そしてＤＣＲは、ネットワークを介して共有リスト（および任意でさらに他のリスク情報）を加入サービスプロバイダにとって利用可能にでき、あるいはこれを公開することによりサードパーティベンダにとってリストを利用可能とすることができる。

これまで本発明の特定の実施形態を説明してきたが、様々な修正、変更、代替構成、および均等物もまた本発明の範囲内に含まれる。したがって、明細書と図面は制限的ではなく例証的とみなされるべきである。ただし、請求項に定める本発明のより広い精神および範囲から逸脱することなく、追加、除去、削除、ならびに他の修正および変更をこれに施せることは明白であろう。
管理ツール
本発明は、認証サービスの提供と監視にあたってシステムオペレータとサービスプロバイダとを支援する管理ツールも含む。

図１７Ａは、「ダッシュボード」として知られる、かかるツールのひとつを図示する。ダッシュボードは、ユーザ、デバイス、発信国別にカスタマイズされた表示を可能にするグラフィカルインターフェイスを有し、進行中の潜在的に不正な活動をひと目で見て取ることができる。ダッシュボードは、保護されたサイトの健全性をリアルタイムで表示する。これは１組のデフォルトモニタを含み、該デフォルトモニタは一組の特定の活動を追跡するため任意の方法で組み合わせることができる。これは、関心を寄せるモニタだけを表示するようユーザごとに調整できる。モニタは、リアルタイム追跡情報を集約するために用いるメカニズムである。モニタは、無効ユーザから特定国からのログイン試行まで、何もかもカウントできる。デフォルトモニタには、ステータス別試行ログイン、新規デバイス、初回ログイン、警告カウント、（特定位置または特定グループの）位置カウントを含
むものがある。定義されたモニタは、モニタとチャートのタイプを指定することによってダッシュボード表示において使用できる。

警告ブラウザは、認証とトランザクションのチェックポイントでトリガされた警告の詳しいリストを提供する。これは、ユーザ、デバイス、地理、および警告別に整理された相関インパクト分析を伝えることにより、不正挙動の危険性があるユーザ／トランザクションがどれなのかを識別する。本発明は、ｅメール、ページャを介して、ネットワーク管理システムへ警報を転送することによって、またはユーザ指定アクションを呼び出すことによって、警告／トランザクションについてしかるべき職員に、またはことによるとエンドユーザに、自動的に通知を行うこともできる。

図１７Ｂは、全ての警告ではなく、特定の警告だけを傾向分析のために表示するようダッシュボードをカスタマイズできることを図示する。例えば組織は、全ての他のトランザクションの代わりに非常警告をともなう全電信送金だけを監視することを望むかもしれない。

さらに他のツールは、詳しいリスク管理・分析情報を提供するカスタマイズ可能なレポートである。レポートは、地理的位置、デバイス、ユーザを含む履歴情報を提供できる。図１７Ｃは例示的レポートを図示する。本発明の方法によってアクセスされるほとんどのデータは、１つ以上のレポートの中で提示できる。

もうひとつの管理ツールはケース管理を提供し、これによりサービスプロバイダは個々のクライアントごとにサービスログを見直すことができ、さらにアクションが実行された理由または警告がトリガされた理由を調査することができる。図１７Ｄは、カスタマケアツールの例示的画面を図示する。

例えばサービスプロバイダ職員は、ログインやトランザクションが遮断された理由を見たり、警告ステータスをともなう深刻度標識を見て段階的拡大に役立てたり、顧客に対する一時的許可の発行等のアクションを完遂したり、適切な場合にはデバイスの登録を抹消したり等できる。カスタマケアの詐欺分析コンポーネントにおける権限と閲覧権は、役割と会社の手順にしたがってカスタマイズおよび管理できる。
［添付資料Ａ］

［添付資料Ｂ］
ＣＰＵ検出

最初の方法では登録ＣＰＵの微妙な違いをもとに登録ＣＰＵを区別する。検出方法は括弧の中に表示されている。

Ｉｎｔｅｌ ｉ３８６ＳＸ（ＰＯＰＡＤバグを有する）
Ｉｎｔｅｌ ｉ３８６ＤＸ（ＦＰＵを欠く）
Ｉｎｔｅｌ ｉ４８６ＳＸ（フラグレジスタにてＡＣを有する）
Ｉｎｔｅｌ ｉ４８６ＤＸ（フラグレジスタにてＩＤビットを有する、ＣＰＵＩＤ命令サポートをサインする）
Ｉｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標）（ＦＰＵを欠く）
Ｃｙｒｉｘ Ｃｘ４８６Ｓ（Ｃｙｒｉｘ ＣＰＵは分割の後に未定義フラグを変更しない）
Ｃｙｒｉｘ Ｃｘ４８６ＤＸ（ＦＰＵを欠く）
ＮｅｘＧｅｎ Ｎｘ５８６（ＮｅｘＧｅｎ ＣＰＵは分割の後にゼロフラグを変更しない）
ＮｅｘＧｅｎ Ｎｘ５８６ＦＰ

第２の方法では、第１の方法の結果をもとにＣＰＵを周波数で識別する。

ＡＭＤ Ａｍ３８６ＳＸ（４０ＭＨｚ）
ＡＭＤ Ａｍ３８６ＤＸ（５０および６６ＭＨｚ）
Ｉｎｔｅｌ ｉ４８６ＤＸ２（１ ００および１２０ＭＨｚ）
ＡＭＤ Ａｍ４８４ＤＸ４（６６および８０ ＭＨｚ）
Ｃｙｒｉｘ Ｃｘ４８６ＤＸ２（１ ００ＭＨｚ）
Ｃｙｒｉｘ Ｃｘ４８６ＤＸ４（全バージョン、８０〜１５０ＭＨｚ）
Ｃｙｒｉｘ ６ｘ８６（１６６ＭＨｚから全バージョン）
Ｃｙｒｉｘ Ｉｊｘ８６ＭＸ（４０ＭＨｚ）

第３の方法は、ＣＰＵＩＤ命令をサポートするＣＰＵだけで実行する。つまり、主に１９８３年に導入された最初のＩｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標）より後に製造された全ＣＰＵである。また１９９４年以降の新しい４８６はこの命令をサポートする。ただし、Ｃｙｒｉｘ ５ｘ８６、Ｃｙｒｉｘ ６ｘ８６、およびＮｅｘＧｅｎ ＣＰＵがインストールされたマザーボードは普通、ＢＩＯＳにてこの命令を使用不能にする。正常検出
のため、これはソフトウェアによって使用可能にする必要がある。このＣＰＵＩＤ命令は、新しい全ＣＰＵを容易く識別するにあたって十分なＣＰＵタイプについての情報を返す。この方法で認識されるＣＰＵは次のとおりである。

ＣＰＵＩＤ命令は数レベルで実行できる。第１レベルのＣＰＵＩＤ命令はベンダ固有の
文字列を返す。

“ＧｅｎｕｉｎｅＩｎｔｅｌ−Ｉｎｔｅｌプロセッサにより返却。
“ＡｕｔｈｅｎｔｉｃＡＭＤ”−ＡＭＤプロセッサにより返却。
“ＣｙｒｉｘＩｎｓｔｅａｄ”−Ｃｙｒｉｘプロセッサにより返却。
“ＮｅｘＧｅｎＤｒｉｖｅｎ”−ＮｅｘＧｅｎプロセッサにより返却。
“ＣｅｎｔａｕｒＨａｕｌｓ”−Ｃｅｎｔａｕｒ／ＩＤＴプロセッサにより返却。
“ＲｉｓｅＲｉｓｅＲｉｓｅ”−Ｒｉｓｅプロセッサにより返却。
“ＵＭＣ ＵＭＣ ＵＭＣ”−ＵＭＣプロセッサにより返却。

第２レベルのＣＰＵＩＤ命令は、タイプ、ファミリ、モデル、ステッピング（リビジョン）、およびその他ＣＰＵ特徴に関する情報を返す。

このアプリケーションは、この検出情報へ短い記述を加える小規模データベースを含み得る。ここで、ＣＰＵＩＤによって返される値を簡単に説明する。

タイプはこれらの値を有する。
０−ＴｅｓｔＣＰＵがシステムにて一次ＣＰＵ（または唯一のＣＰＵ）を使用していることを意味する
１−ＯｖｅｒＤｒｉｖｅプロセッサがインストールされていることを、すなわち旧マザーボード上での直接ＣＰＵ交換によるアップグレードを意味する
２−マルチプロセッサシステムにおける二次（補助）ＣＰＵを意味する

ファミリは世代にほぼ等しく、ＣＰＵ「性能」クラスを表す。
４−全４８６、ＡＭＤ ５ｘ８６、Ｃｙｒｉｘ ５ｘ８６
５−Ｉｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標）およびＰｅｎｔｉｕｍ（登録商標） ＭＭＸ、ＡＭＤ Ｋ５およびＫ６、Ｃｙｒｉｘ ５ｘ８６、全Ｃｅｎｔａｕｒ／ＩＤＴ
Ｗｉｎｃｈｉｐ，Ｒｉｓｅ ｍＰ６
６−Ｉｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標） Ｐｒｏ、Ｃｅｌｅｒｏｎ、Ｐｅｎｔｉｕｍ（登録商標） ＩＩおよびＰｅｎｔｉｕｍ（登録商標） ＩＩＩ、ＡＭＤ Ａｔｈｌｏｎ、Ｃｙｒｉｘ ６ｘ８６ＭＸおよびＭ−Ｉ１

モデルはファミリの中でモデルを指定する番号である。
例えばファミリ４で、
０−ｉ４８６ＤＸ
３−ｉ４８６ＤＸ２
８−ｉ４８６ＤＸ４
例えばファミリ５で、
２−Ｐｅｎｔｉｕｍ（登録商標）
４−Ｐｅｎｔｉｕｍ（登録商標） ＭＭＸ
例えばファミリ６で、
１−Ｐｅｎｔｉｕｍ（登録商標） Ｐｒｏ
５−Ｐｅｎｔｉｕｍ（登録商標） ＩＩ
６−Ｃｅｌｅｒｏｎ
７−Ｐｅｎｔｉｕｍ（登録商標） ＩＩＩ

注：これらのＣＰＵはどれもＩｎｔｅｌ製である。他の製造業者のＣＰＵはこの方式を使用しない。

ステッピング：これはＣＰＵ設計における小規模な変更に従い増加する番号である。

ブランド：Ｉｎｔｅｌの一部ＣＰＵを区別するための新しいフィールド。既知の値は次のとおりである。

０−サポートされず
２−Ｉｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標） ＩＴ１
３−Ｉｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標） ＩＩＩ Ｘｅｏｎ

第３レベルのＣＰＵＩＤ命令をサポートするのはＩｎｔｅｌの第６世代ＣＰＵ（Ｐｅｎｔｉｕｍ（登録商標） Ｐｒｏ以降）だけであり、これはこれらの１６進値によって表されるキャッシュサイズについての情報を返す。

＄０６−プロセッサは命令用に８ｋＢ Ｌ１キャッシュを有する
＄０８−プロセッサは命令用に１６ｋＥ３ Ｌ１キャッシュを有する
＄０Ａ−プロセッサはデータ用に８ｋＢ Ｌ１キャッシュを有する
＄０Ｃ−プロセッサはデータ用に１６ｋＢ Ｌ１キャッシュを有する
＄４０−プロセッサはＬ２キャッシュを有さない（Ｃｅｌｅｒｏｎ検出方法）
＄４１−プロセッサは１２８ｋＢ Ｌ２キャッシュを有する（Ｃｅｌｅｒｏｎ Ａ）
＄４２−プロセッサは２５６ｋＢ Ｌ２キャッシュを有する（モバイルＰｅｎｔｉｕｍ（登録商標） ＩＩ）
＄４３−プロセッサは５ １２ｋＢ Ｌ２キャッシュを有する（Ｐｅｎｔｉｕｍ（登録商標） ＩＩおよびＩＤ）
＄４４−プロセッサは１ＭＢ Ｌ２キャッシュを有する（Ｘｅｏｎバージョン）
＄４５−プロセッサは２ＭＢ Ｌ２キャッシュを有する（Ｘｅｏｎバージョン）
＄８２−プロセッサは２５６ｋＢ Ｌ２キャッシュを有する（Ｐｅｎｔｉｕｍ（登録商標） Ｅ）
＄４ｘ−４ウェイキャッシュを意味する（全て）
＄８ｘ−８ウェイキャッシュを意味する（Ｐｅｎｔｉｕｍ（登録商標） ＩＩＩ Ｅ）

第４レベルのＣＰＵＩＤ命令をサポートするのはＩｎｔｅｌ Ｐｅｎｔｉｕｍ（登録商標） ＩＩＩ以降であり、これはプロセッサのシリアル番号を返す。

ＡＭＤ、Ｃｙｒｉｘ、およびＣｅｎｔａｕｒ ＣＰＵは数レベルのＣＰＵＩＤをサポートし、これらは特別な特徴（例えば３Ｄｎｏｗ！技術）、キャッシュサイズ、またはオンチップでコーディングされる文字列（ＣＰＵ名）の検出に役立てることができる。これらのＣＰＵによって返される文字列は次のとおりである。

ＣＰＵ周波数は２通りの方法で判定する。
最初の方法は何らかのＣＰＵ命令の実行時間を測定し、この時間をＣＰＵタイプ別の値の表に比較する。これらの値は、識別されるＣＰＵがその実行にあたって必要とするクロック周期の特定の数である。そして我々のアプリケーションは、該当する値を実行時間で割ることによりＣＰＵ周波数を求める。

この方法には、ＣＰＵタイプを正しく検出しなかった場合に、または表にはない新しいプロセッサの場合に、周波数が正確に測定されないという欠点がある。

第１の方法による周波数検出：
実行に要するクロック周期数（表から）／実行時間＝周波数
１２００００「刻み」／０．００１２秒＝１００ ＭＨｚ

第２の方法は、タイムスタンプカウンタを実装するＣＰＵだけに当てはまる。ＴＳＣはプロセッサのクロック周期をカウントする。これは内部プロセッサクロック周期のたびにインクリメントされ、ＰＣ上で最も正確なタイミング法を可能にする。なお、プロセッサのリセット後にこのカウンタがゼロにリセットされる点に注意されたい。これは６４ビット幅で、もしもプロセッサが１００ＭＨｚで実行するなら、５８５０年余りをカウントするにあたって十分である。実装されたＴＳＣをチェックするにはＣＰＵＩＤ命令を使用する。新しいＣＰＵはどれもＴＳＣを有することになる。ＩｎｔｅｌはＰｅｎｔｉｕｍ（登録商標）プロセッサ以上から、ＡＭＤはＫ５から、Ｃｙｒｉｘは６ｘ８６ＭＸから、これをサポートしている。周波数は、理論上は１クロック周期精度まで測定できるが、実際にはハードウェア要因のためクロック速度は僅かに変化することがある。たとえそうでも、本発明によるシステムは０．００１ＭＨｚの精度まで周波数を測定できる。

第２の方法による周波数検出：
１）ＴＳＣを読み取り、これをＴ１変数に書き込む
２）正確に１秒間待つ（この間ＴＳＣは自動的にインクリメントされる）
３）再びＴＳＣを読み取り、これをＴ２に書き込む
４）Ｔ２−Ｔ１差からヘルツ単位の周波数を算出する

Ｐ定格
一部のＣＰＵは、性能定格を意味する接尾辞ＰＲを周波数の横に有する。この余分のラベルは、自社ＣＰＵがＩｎｔｅｌのＰｅｎｔｉｕｍ（登録商標）またはＰｅｎｔｉｕｍ（登録商標） ＩＩプロセッサよりコード実行に優れ（所与の周波数で）より速く実行することを示唆したいプロセッサベンダＡＭＤ、Ｃｙｒｉｘ、およびＩＢＭのものである。彼らはＷｉｎｓｔｏｎｅベンチマークを比較に用いている。そこで例えば、Ｐｅｎｔｉｕｍ（登録商標） ７５の性能を備えるプロセッサにはＰＲ７５のラベルが付される。

これはクロック速度を含むＰＲ表である。

特徴

ＣＰＵＩＤ命令によって返されるプロセッサ特徴を以下に記す。ユーザにとって興味深い特徴がいくつかある。

プロセッサは浮動小数点演算ユニットを内蔵する
この項目は、チップ上に直に浮動小数点演算ユニット（ＦＰＵ）があることを意味し、現代のＣＰＵ（４８６ＤＸから）はどれもこれを含む。ＦＰＵは実数計算のために使われる。

タイムスタンプカウンタＴＳＣはＰＣ上で最も正確なタイミング法を提供する。これは正確なプロセッサ周波数測定を可能にする。

マルチプロセッササポート（チップがＡＰＩＣを内蔵する）。これは、対称型多重処理を可能にするＡＰＩＣの存在を意味する。もしもこの項目が消されるなら、ＡＰＩＣは使用不能になっているか、サポートされていないのかのいずれかである。

プロセッサシリアル番号。シリアル番号が使用可能になっていることを意味する。この議論の余地がある特徴は使用不能にできる（そしてこの項目は消される）。これを目的とするソフトウェアはＩｎｔｅｌから入手できる。

ＭＭＸ技術は、プロセッサ命令セットエクステンションを意味し、５７の新しいＭＭＸ命令はグラフィックとマルチメディアの処理を加速する。これはＩｎｔｅｌのＰｅｎｔｉｕｍ（登録商標） ＭＭＸプロセッサとともに導入された。現在ＭＭＸは全てのプロセッサ製造業者によってサポートされている。

高速保存・復元ＦＰ／ＭＭＸ／ＳＳＥは、ＦＰＵ、ＭＭＸ、およびＳＳＥモードを素早く切り替えるこのプロセッサの能力を意味する。

ＩｎｔｅｌのストリーミングＳＩＭＤエクステンション（ＳＳＥ）は、第２の命令セットエクステンションの存在を意味し、７０の新しい命令は３Ｄグラフィック、サウンド、およびインターネットの処理を加速する。ＩｎｔｅｌのＰｅｎｔｉｕｍ（登録商標） ＩＩＩプロセッサ以上からサポート。

以下に記すいくつかの特徴はＩｎｔｅｌ競合プロセッサだけがサポートする。

部分ＳＳＥサポートは、Ａｔｈｌｏｎ（以降）プロセッサの命令セットエクステンションを意味する。これはＳＳＥ−ＭＭＸおよびＳＳＥ−ＭＥＭ命令をサポートする。

Ｃｙｒｉｘ拡張ＭＭＸは、６ｘ８６ＭＸ２ ＭーＩ１以降のプロセッサの命令セットエクステンションを意味する。これらのプロセッサはいくつかの新しいＭＭＸ命令をサポートする。

ＡＭＤ ３Ｄｎｏｗ！は、３Ｄグラフィック加速のためＡＭＤの２３の命令のサポートを意味し、ＫＳ−２プロセッサとともに初めて導入された。ＩＤＴ ＷｉｎＣｈｉｐプロセッサもこのグラフィックス命令セットをサポートする。ＡＭＤ拡張３Ｄｎｏｗ！ＡＭＤ Ａｔｈｌｏｎ（以降）プロセッサは追加の３Ｄ命令を有する。

メモリ

２つのメモリベンチマークのうち、最初に取り上げるＭＯＶテストはメモリとキャッシュの転送速度を測定する。これらのメモリ速度は、同じデータブロックを２回転送することによって測定される。最初の転送のときにはキャッシュの中ヘデータブロックがロードされ、２度目のデータはキャッシュから転送される。ブロックサイズは２ｋＢから２ＭＢにかけて繰り返し増やされる。転送速度はある一定のブロックサイズを上回ると大幅に落ち、キャッシュが容量一杯に達したことを示す。こうしてキャッシュサイズを検出できる。
このテストでは１対のＭＯＶ命令を、すなわち最も一般的に使われている命令の１つを、使用できる。ただし、ＭＯＶ命令による転送は、第２のメモリテストで使われるＭＯＶＳＤ命令による転送より遅い。

これは、この転送に使用する例示的ソースコードの一部である。

ＥＳＴはソースアドレスを含み、ＥＤ１はターゲットアドレスを保持し、ＥＣＸは繰り返しの数を含む。一度に３２ビット（４バイト）が転送されるから、４Ｋを転送するには１０２４回の繰り返しが必要となる。命令ＭＯＶ ＥＡＸ，［ＥＳＩ］は、メモリのソースアドレス［ＥＳＩ］からプロセッサのＥＡＸレジスタにかけてデータを読み込む。第２の命令ＭＯＶ［ＥＤＩ］，ＥＡＸは、ＥＡＸから［ＥＤＩ］にてメモリのターゲットアドレスへデータを書き込む。次の２つの命令ＡＤＤ ＥＳＩ，４およびＡＤＤ ＥＤＸ，４は、転送する次の４バイトを指し示すためソースおよびターゲットアドレスへのポインタをインクリメントさせる。次の命令ＤＥＣ ＥＣＸはＥＣＸレジスタを１デクリメントし、これによりループは１０２３回だけ繰り返される。最後の命令ＪＮＺ ＠ＷＰＥＡＴは、ＥＣＸがゼロに達するまでこのループの繰り返しを強制する。

キャッシュメモリは速く小さい。これは頻繁に使われるデータを保持し、データはキャッシュにて速やかにアクセスできる。キャッシュメモリは３８６マザーボードで初めて使われた。４８６プロセッサ以降では２つのキャッシュが使われている。オンチップの第１レベルキャッシュ（Ｌ１）と、通常ならばマザーボード上に置かれる第２レベルキャッシュ（Ｌ２）とがある。この第２レベルキャッシュは、他方より大きく、ただし他方より遅い。Ｐｅｎｔｉｕｍ（登録商標）クラスのプロセッサでは、第１レベルキャッシュがコードおよびデータキャッシュに分割される。
いくつかのオンダイキャッシュサイズ：

メモリ２

ＭＯＶＳＤテストの働きは第１のメモリベンチに似ている。これもメモリ転送速度とキャッシュ転送速度とをそれぞれ測定するが、ただしＭＯＶＳＤ命令を使用する。モデムプロセッサはバーストサイクルを使用するｐｒｅ−ｆｅｔｃｈ ｒｅａｄとバーストサイクルへのデータのｗｒｉｔｅ−ｃｏｍｂｉｎｅを行うから、この命令は１対のＭＯＶ命令より速い。データブロックを転送する方法は類似し、ＥＳＩはソースアドレスを含み、ＥＤ１はターゲットアドレスを保持し、ＥＣＸは繰り返しの数をカウントする。

そしてＲＥＰ ＭＯＶＳＤ命令が実行される。接頭辞ＲＥＰは、その後に続く命令が繰り返し実行されることを意味する。繰り返しの数はＥＣＸレジスタにて判定され、その値は、これがゼロになるまで反復のたびに減少する。ＲＥＰ ＭＯＶＳＤループの実行は終了する。ＭＯＶＳＤ命令はソースアドレス［ＥＳＩ］からターゲットアドレス［ＥＤＩ］へデータを移し、次の位置を指し示すため両ポインタ（ＥＳ１およびＥＤＩ）を増加させる。

計算

５つの数学的ベンチマークを以下に記す。
第１のベンチマークは整数を使用しながら大きい階乗を計算するから、このベンチマーク
はプロセッサだけを使用する（ＦＰＵは使用しない）。１０００１の階乗は１から１０００１までの全ての数の積である。

１０００１！＝１＊２＊３＊．．．９９９８＊９９９９＊１００００＊１０００１

この階乗結果は１４８ １２バイト（１４ ｋ３超）のメモリに格納される−１１ ８４９６ビット数！それでも結果はほとんどのプロセッサのオンダイＬ１キャッシュに収まる。これはメインメモリ性能を反映しない。

第２のベンチマークは最初の３００００の素数を計算する。このベンチマークも整数のみを使用するからプロセッサだけをテストし、約１２０ Ｉｄ３メモリを使用し、該メモリは１回だけアクセスされる。キャッシングは必要ない。

素数を求めるにあたっては多数のインテリジェントアルゴリズムが存在し、我々は以下を使用できる。

数ｎは、もしもこれが１より大きくｎより小さい数で割り切れないなら、素数である。ただし、数ａの平方根まで数（または因数）ｈ ｍ ２によって割り切れることを確認すれば十分である。２を超える偶数はどれも、当然ながら数２で割り切れるから、素数になりえない。

第３のベンチマークはラプラス変換を用いて９×９行列の行列式を計算する。このベンチマークは実数の（正則）行列を使用するから、プロセッサとＦＰＵの両方を使用する。ラプラス変換は元の行列からより小さい行列式への分解に基づき、より小さい行列式にはその後、単数が得られるまで分解などが行われる。これはＴｅｓｔＣＰＵにて再帰的プロシージャコールによってなされる。数学的説明によるこのベンチマークの一例として、これは３×３行列の分解である。

ユーザのモデム速度を検出する

残念ながら、関数を呼び出すだけでユーザの正確なインターネット接続速度が判明するような単純な方法はない。これを果たす唯一の現実的方法は、インターネットから大きいファイルをダウンロードし、そのダウンロードの進捗状況を監視することである。ダウンロードのサイズに基づきそのファイルのダウンロードにかかる時間を測定することにより、ユーザの接続速度の推定を計算できる（これは正に、ほとんどのブラウザのダウンロード機能が行っていることそのものである）。さらに重要なこととして、この計算は単なる理論上の接続速度（すなわち５６Ｋｂｐｓまたは１．５Ｍｂｐｓ）ではなく、ユーザのコンピュータとインターネットホスティング環境との間の現実世界のテストである。

ただしほとんどのユーザは、ただ接続速度がどの程度のものかを知るためだけに、不必要なダウンロードが終わるまでじっとしていなければならないなら、実に苛立つであろう。そこでこれを回避するため、ユーザへ提示する認証インターフェイスの実際のダウンロードをプレロードするローダムービーの中にこの監視チェックを組み込む。こうすれば、ユーザに不便をかけずにユーザの接続速度をつかむことができる。

ボタンの各々をクリックすると、キャッシュへプレロードされているファイルの進捗状況を視認できる。これはプレロードにともない、個々のマシン上での凡そのダウンロード速度も計算する。ここで、このダウンロードのためのフラッシュのサンプルコードを見てみよう。

このコードはｐｒｅｌｏａｄＦｉｌｅハンドラを呼び出し、ダウンロードする正確なＵＲＬをこれに渡す。ここで、ムービースクリプトの１つでｐｒｅｌｏａｄＦｉｌｅハンドラを作成する必要がある。そのコードは次のようになる。

このｐｒｅｌｏａｄＦｉｌｅハンドラは２つのグローバル変数、すなわちｇＮｅｔＩＤおよびｇＳｔａｒｔＴｉｍｅを使用する。第１のグローバルｇＮｅｔＩＤは、現在プレロードしているネットワークオペレーションがどれなのかを追跡する。第２のグローバルｇＳｔａｒｔＴｉｍｅは、ダウンロードが始まった時間を追跡する。このハンドラは、ネットオペレーションｐｒｅｌｏａｄＮｅｔＴｈｉｎｇの値をｇＮｅｔＩＤに代入することによって始まる。次にこれは、ｇＳｔａｒｔＴｉｍｅをゼロに設定して初期化する。最後にこれは、ハンドラｃｈｅｃｋＤｏｗｎｌｏａｄをｆ ００ミリ秒毎に、すなわち１秒当たり約１０回、呼び出すタイムアウトオブジェクトを作成する。ネットワークチェッカはｃｈｅｃｋＤｏｗｎｌｏａｄハンドラを１秒当たり１０回実行する。そのハンドラは次のようである。

このハンドラは、先に呼び出したプレロードオペレーションのｓｔｒｅａｍＳｔａｔｕｓを取得することによって始まる。ネットワークチェッカのｇｅｔｓｔｒｅａｍＳｔａｔｕｓ関数は、次のようなチェッカにおけるプロパティリストを返す。

このリストには５通りのプロパティがある。＃ｕｒｌプロパティはダウンロードされてい
る正確なＵＲＬを伝え、＃ｓｔａｔｅプロパティはダウンロードにともなう現在の状況を伝える。状態値には５通りの可能性、すなわち「Ｃｏｎｎｅｃｔｉｎｇ」と、「Ｓｔａｒｔｅｄ」と、「ＩｎＰｒｏｇｒｅｓｓ」と、「Ｃｏｍｐｌｅｔｅ」と、「Ｅｒｒｏｒ」とがある。＃ｂｙｔｅｓＳｏＦａｒプロパティはこれまでにダウンロードされたバイト数を伝え、＃ｂｙｔｅｓＴｏｔａｌプロパティはダウンロードの合計バイト数を伝える。最後に、エラーが生じる場合は、＃ｅｒｒｏｒプロパティでこれが返される。

ｃｈｅｃｋＤｏｗｎｌｏａｄハンドラで、我々はこのプロパティリストをローカル変数名ｔｅｍｐＳｔａｔｕｓへ代入する。次に＃ｓｔａｔｅプロパティの値をチェックし、もしも演算が完了しているなら、タイムアウトオブジェクトのことは忘れ、全ては完了する。もしも＃ｓｔａｔｅが始まったばかりか、または進行中ならば、グローバル変数ｇＳｔａｒｔＴｉｃｋｓがまだ０に設定されているか否かをチェックし、確認する。０に設定されているなら、これの値を、１秒の１／６Ｏで現在時間を伝えるシステムプロパティｔｉｃｋｓにリセットする。最後に、ステージ上の各種スプライトでｕｐｄａｔｅＤｏｗｎｌｏａｄＩｎｆｏハンドラを呼び出すためｓｅｎｄＡｌｌＳｐｒｉｔｅｓコマンドを使用する。

プログレスバーと現在時間を含むテキストフィールドの挙動は様々で、これらの挙動は、そこへ送られてきた情報を用いて自身の内容を更新する。ただし最も重要なことは、この情報を使って平均モデム速度を計算するということである。そのコードは次のようである。

このハンドラは、ｓｔａｒｔＴｉｃｋｓとｂｙｔｅｓＴｏｔａｌが０に等しくないことを確認することによって始まり、これは、ダウンロードが実際に始まっていることを効果的に確認するものである。次にこれは、ｓｔａｒｔＴｉｃｋｓから現在のティック数を引き、その数を６０で割ることにより、ダウンロードが始まってから経過した正確な秒数を求める。もしもｔｅｍｐＴｉｍｅがゼロに等しくなければ、このハンドラはこれまでのバイト数を取り、これに８を掛け、次にこれを１０００で割ることによりｍｏｄｅｍＲａｔｅを算出する。次に、ダウンロードが始まってから経過した合計秒数でその数字を割ると実際のダウンロード速度が出る。最後にこの数字を取り、画面上のテキストメンバーの中に表示する。

そこで、このモデム速度のための式は次のとおりである。ハンドラへ送られる数はダウンロード済みの合計バイト数である。ただし、従来のモデム速度はバイト数の代わりにビット数で表されるから、バイト数に８を掛けてビット数を求めなければならない。次に、モデム速度はキロビット数で、すなわち１０００のビット数で言及されるから、その数を求めるため合計ビット数を取り、これを１０００で割る。最後に、１秒当たりのキロビット数を知りたいから、合計キロビット数を取り、これを合計秒数で割ることにより１秒当たりのキロビット数を得る。

よって、ダウンロードが完了し実際の認証インターフェイス（オーセンティケータ）ムービーへ進む準備ができたときにはすでに、ユーザのインターネット接続速度のかなり正確な記述を含むテキストフィールドが用意されている。

ユーザ認証の入力に用いる例示的な先行技術のシステムを図示する図。 マウスクリック選択を通じて認証情報の入力を可能にする先行技術のキーパッドグラフィカルユーザインターフェイスを図示する。 マウスクリック選択を通じて認証情報の入力を可能にする先行技術のキーボードグラフィカルユーザインターフェイスを図示する。 本発明のシステムおよび方法のフィンガープリント態様の例示的実施形態を描くフローチャートを図示する。 本発明のシステムおよび方法のフィンガープリント態様の例示的実施形態を描くフローチャートを図示する。 本発明のシステムおよび方法の例示的実施形態を図示するプロセスを描くフローチャートを図示する。 本発明の一実施形態による詐欺分析・警告システム（ＦＡＡＳ）態様を図示する。 本発明の一実施形態に従い、選択基準に応じて複数のログイングラフィカルユーザインターフェイスのうち１つの選択を可能にするオーセンティケータのブロック図を図示する。 本発明の一実施形態に従い、英数字およびグラフィック記号を整合させるため、マウスクリックナビゲーションを使用して認証情報入力を可能にするグラフィカルホイール２要素認証インターフェイスを図示する。 本発明の一実施形態に従い、英数字およびグラフィック記号を整合させるため、マウスクリックナビゲーションを使用して認証情報入力を可能にする例示的グラフィカルスライダ認証インターフェイスを図示する。 本発明の一実施形態に従い、図２のインターフェイスにある英数字記号を再配置することを含み、上級セキュリティを提供する、選択可能な上級セキュリティキーパッドグラフィカル認証インターフェイスを図示する。 本発明の一実施形態に従い、図２のインターフェイスにあるキーパッドを１方向にずらすことを含み、上級セキュリティを提供する、選択可能な上級セキュリティキーパッドグラフィカル認証インターフェイスを図示する。 本発明の一実施形態に従い、図２のインターフェイスにあるキーパッドを別の方向にずらすことを含み、上級セキュリティを提供する、選択可能な上級セキュリティキーパッドグラフィカル認証インターフェイスを図示する。 本発明の一実施形態に従い、図２のインターフェイスにある英数字キーパッド入力選択肢を変形させることを含み、上級セキュリティを提供する、選択可能なセキュリティキーパッドグラフィカル認証インターフェイスを図示する。 本発明の一実施形態に従い、図２のインターフェイスの一部分を再配置することと網掛けすることとを含み、上級セキュリティを提供する、選択可能な上級セキュリティキーパッドグラフィカル認証インターフェイスを図示する。 本発明の一実施形態に従う例示的デバイス中央リポジトリ（ＤＣＲ）システムおよび方法を図示するフローチャート。 図１１の標識付きデバイスモジュール（ＦＤＭ）の一実施形態を図示するブロック図。 本発明の例示的システムの実施を図示する。 本発明の例示的方法構造の実施を図示する。 本発明の例示的システムの実施を図示する。 本発明の好適な機能構成を図示する。 例示的ポリシーセットと該例示的ポリシーセットの中に含まれる例示的セキュリティモデルとを図示する。 例示的ポリシーセットと該例示的ポリシーセットの中に含まれる例示的セキュリティモデルとを図示する。 本発明のモデルと外部オブジェクトの好適な構造を図示する。 本発明のモデルと外部オブジェクトの好適な構造を図示する。 本発明のモデルと外部オブジェクトの好適な構造を図示する。 例示的管理ツールを図示する。 例示的管理ツールを図示する。 例示的管理ツールを図示する。 例示的管理ツールを図示する。

Claims (6)

1. サーバにおいて、前記サーバと通信可能に接続されたクライアントデバイスから発せられたアクセス要求を受信するステップと、
   前記サーバにより、前記クライアントデバイスに関する識別情報を収集するステップと、
   前記サーバにより、前記アクセス要求が詐欺的であるリスクを識別するリスク情報を、デバイス中央リポジトリ（ＤＣＲ）から読み出すステップと、
   前記サーバにより、前記識別情報と前記リスク情報とに基づいて認証インターフェイス選択基準を決定するステップと、
   前記サーバにより、前記認証インターフェイス選択基準に基づいて、複数のグラフィカル認証ユーザインターフェイスの中から、グラフィカル認証ユーザインターフェイスを選択するステップとを含み、
   前記複数のグラフィカル認証ユーザインターフェイスの各々は、単一のユーザインターフェイスの変形であり、認証情報を入力するための１つ以上の別個のグラフィカル要素を含み、
   前記別個のグラフィカル要素は、前記単一のユーザインターフェイスの対応する要素の変形であり、
   前記選択されたグラフィカル認証ユーザインターフェイスは、前記リスク情報において識別されたリスクに応じたセキュリティレベルを有し、さらに、
   前記サーバによって、前記グラフィカル認証インターフェイスを前記クライアントデバイスにおいて提示させるステップと、
   前記サーバによって、提示されたグラフィカル認証インターフェイスに応じて前記クライアントデバイスにて入力された情報に基づいて、前記アクセス要求を認証するか否かを決定するステップと、
   前記サーバによって、前記アクセス要求に対する認証結果に基づいて、前記ＤＣＲに記憶されたリスク情報を更新するステップとを含む、方法。
2. 前記識別情報は前記クライアントデバイスに格納される永続データを含む、請求項１に記載の方法。
3. 前記識別情報の少なくとも一部に基づいてデバイスＩＤデータ項目を組み立てるステップと、
   前記デバイスＩＤデータ項目を永続データとして前記クライアントデバイスに格納するステップと、
   をさらに含む、請求項２に記載の方法。
4. 前記識別情報は前記クライアントデバイスの特性または前記クライアントデバイスのネットワーク接続の特性に関係する情報を含む、請求項１に記載の方法。
5. クライアントデバイスから発せられたアクセス要求を受信し、
   前記クライアントデバイスに関する識別情報を収集し、
   前記アクセス要求が詐欺的であるリスクを識別するリスク情報を、デバイス中央リポジトリ（ＤＣＲ）から読み出し、
   前記識別情報と前記リスク情報とに基づいて認証インターフェイス選択基準を決定し、
   前記認証インターフェイス選択基準に基づいて、複数のグラフィカル認証ユーザインターフェイスの中から、グラフィカル認証ユーザインターフェイスを選択するように構成された、処理コンポーネントを含み、
   前記複数のグラフィカル認証ユーザインターフェイスの各々は、単一のユーザインターフェイスの変形であり、認証情報を入力するための１つ以上の別個のグラフィカル要素を含み、
   前記別個のグラフィカル要素は、前記単一のユーザインターフェイスの対応する要素の変形であり、
   前記選択されたグラフィカル認証ユーザインターフェイスは、前記リスク情報において識別されたリスクに応じたセキュリティレベルを有し、
   前記処理コンポーネントは、さらに、
   前記グラフィカル認証インターフェイスを前記クライアントデバイスにおいて提示させ、
   提示されたグラフィカル認証インターフェイスに応じて前記クライアントデバイスにて入力された情報に基づいて、前記アクセス要求を認証するか否かを決定し、
   前記アクセス要求に対する認証結果に基づいて、前記ＤＣＲに記憶されたリスク情報を更新するように構成される、システム。
6. コンピュータシステムに、前記サーバと通信可能に接続されたクライアントデバイスから発せられたアクセス要求を受信させるコードと、
   前記コンピュータシステムに、前記クライアントデバイスに関する識別情報を収集させるコードと、
   前記コンピュータシステムに、前記アクセス要求が詐欺的であるリスクを識別するリスク情報を、デバイス中央リポジトリ（ＤＣＲ）から読み出させるコードと、
   前記コンピュータシステムに、前記識別情報と前記リスク情報とに基づいて認証インターフェイス選択基準を決定させるコードと、
   前記コンピュータシステムに、前記認証インターフェイス選択基準に基づいて、複数のグラフィカル認証ユーザインターフェイスの中から、グラフィカル認証ユーザインターフェイスを選択させるコードとを含み、
   前記複数のグラフィカル認証ユーザインターフェイスの各々は、単一のユーザインターフェイスの変形であり、認証情報を入力するための１つ以上の別個のグラフィカル要素を含み、
   前記別個のグラフィカル要素は、前記単一のユーザインターフェイスの対応する要素の変形であり、
   前記選択されたグラフィカル認証ユーザインターフェイスは、前記リスク情報において識別されたリスクに応じたセキュリティレベルを有し、さらに、
   前記コンピュータシステムに、前記グラフィカル認証インターフェイスを前記クライアントデバイスに送信させるコードと、
   前記コンピュータシステムに、提示されたグラフィカル認証インターフェイスに応じて前記クライアントデバイスにて入力された情報に基づいて、前記アクセス要求を認証するか否かを決定させるコードと、
   前記コンピュータシステムに、前記アクセス要求に対する認証結果に基づいて、前記ＤＣＲに記憶されたリスク情報を更新させるコードとを含む、前記コンピュータシステムによって実行されるプログラムコードを記憶した、不揮発性コンピュータ読取可能記憶媒体。

Images