JP5049962B2 - 個人の存在を条件とする、トークンによるトランザクション認証 - Google Patents

Description

本発明は、コミュニケーション・ネットワーク上のトランザクションを認証するためのハードウェア・トークンに関する。

インターネットおよび移動コミュニケーション・ネットワークは、主に電子商取引に関連して、ますます金融取引に用いられるようになって来ている。ほとんどのトランザクションでは、トランザクションを要請する者のＩＤが証明されなければならない。コミュニケーション・ネットワークは、しばしば不安定であり、また、悪意のあるソフトウェアが存在することも当り前になっている。その結果、個人のパソコンおよび携帯電話は、信用できるとはみなされず、パソコンあるいは携帯電話へタイプ入力したこと、また、そのようなデバイスを用いて通信したことは、何であれ、他者によるハッキングによって暴露されるものである。結果、詐欺的なトランザクションからの損害は、毎年何億ドルもあり、消費者、販売業者および金融機関が負担している。

より安全な識別を提供するために、「トークン」または「スマートカード」という形態の、特殊な電子ハードウェアが開発されて来た。そのようなハードウェアは、通常の攻撃に十分に耐えるよう、改ざん不可能な構造と暗号法とを組み合わせている。「チャレンジ＆レスポンス」、「一度きりのパスワード」または「時間依存キー」として知られる技術は、たとえトークンによるトランザクション・セッションが遮断されたとしても、再度のトランザクションにセッションを再利用できないことを保証している。

したがって、金融機関が発行したトークンを、例えば、ＵＳＢインターフェイスあるいはスマートカード・リーダを用いてパソコンに結合したとき、金融機関のサーバとパソコンとの間の認証セッションは、トークンの真正を満足に検証する。検証の一部として、トークンは、トークン認証データをサーバへ送信する。トークンの真正のそのような検証を、本文では、トークンの「認証」と呼ぶ。しかしながら、実際に重要なのは、トークンの真正ではなく、トークンの所有者の真正である。これは、トークンの不正使用に関わる二つの抜け道が依然として存在することを示す。１）トークンが物理的に遺失または盗難された場合、それを、その合法的な所有者のＩＤを盗むために用いることができる。２）コンピュータ内の悪意あるプログラムは、コンピュータに結合したトークンを操作して、犯人の利益となるトランザクションを不正に発生させることができる。第一の抜け道を解決するために、セキュリティ・プロバイダは、「あなたが持っているもの」（すなわち、トークン）を、「あなたが知っていること」（例えば、ＰＩＮコード）および「あなたが誰であるか」（例えば、指紋等の生物学的属性）の少なくとも一つと組み合わせたマルチ・ファクタ認証パラダイムを開発している。

悪意のあるプログラムの制御下で作動しているコンピュータのケースは、ウイルス感染した個人のコンピュータ、またはインターネット・カフェあるいはオフィス・サービス店にある不特定多数の者が使用するコンピュータである。両ケースでは、コンピュータのキーボードから入力したＰＩＮ、あるいはパソコンに結合したデバイスで読み込んだ指紋イメージが、悪意あるプログラムによって傍受され、それから不正なトランザクションのためにトークンを作動させるのに再利用される可能性がある。長時間に渡ってトークンをホストに挿入したままにすると、この危険性は大いに高まる。トークンが、例えば、ＵＳＢフラッシュメモリ・キー等の多目的デバイスの一部を形成している場合、コンピュータに何時間も結合された状態になる可能性がある。そのような脆弱性への有効な改善策は、トークンそれ自体内に、あるいはトークンを含む多目的デバイス内に、ＰＩＮパッドまたは指紋リーダを含ませることである。しかしながら、そのような追加は、トークンを大型化する、また高価なものとするため、多くの場合望ましいことではない。

人間の存在を検出する別な方法には、「ＣＡＰＴＣＨＡ」と呼ぶものがある。例えば、「ｈｔｔｐ：//ｗｗｗ．ｃａｐｔｃｈａ．ｎｅｔ．」を参照のこと。人間には判読可能であるが、悪意のあるプログラムには判読不可能なフォントを用いて視覚的にユーザへ提示されたランダムな文字列を、ユーザはタイプするように要求される。この技術の欠点は、悪意のあるプログラムが、ＣＡＰＴＣＨＡグラフィクスを、他の場所にいる人間の共犯者へ送信する、いわゆる「仲裁者」攻撃である。

したがって、トークンは、ＰＩＮを受信するための、あるいはユーザの生物学的属性を生体情報へ変換するための入力デバイスを含むことを必要とせずに、コンピュータに結合した認証トークンを、悪意のあるプログラムに乗っ取られないように保護する方法の必要性が広く認識される、また、そのような方法を得ることは非常に有利である。

本発明の目的は、トークンが、ＰＩＮを受信するための、または生物学的属性を測定するための入力デバイスを含むことを要求することなく、コンピュータに接続した認証トークンを、悪意のあるプログラムに乗っ取られることから保護するためのシステムおよび機能を提供することである。より詳しくは、本発明の目的は、ユーザのコンピュータ上で作動する悪意のあるプログラムが、直前の正規の認証セッションの間に傍受したＰＩＮを利用するとともにコンピュータに接続されたトークンを利用して実行する、意図しない、そして目立たない認証セッションから、トークンのユーザを保護することである。

「トークン」は、データを含む、および／あるいはデバイスに関連するユニークなＩＤを認証するための処理能力を含むポータブル・デバイスを意味する。トークンのための模範的なフォーム・ファクタは、スマートカード、ＵＳＢキー、そして電話機またはハンドヘルド・コンピュータ用の拡張カードを含む。トークンは、独立型デバイスであっても、またはＵＳＢフラッシュメモリ・ディスク等の、別のデバイスの一部を形成するものであってもよい。

「ホスト」は、典型的に販売業者または金融機関である「プロバイダ」の「サーバ」とのトランザクションを実行するための処理および通信デバイスを意味する。ホストの例としては、パーソナルデスクトップまたはラップトップ・コンピュータ、携帯電話、２ウェイ・ポケットベル、そしてハンドヘルド・コンピュータを含む。

「ユーザ」は、プロバイダとのトランザクションの実行を望み、トランザクションを実行するためにＩＤの認証が必要な、彼あるいは彼女自身を代表する、または組織に代わって操作する個人を意味する。

「トランザクション」は、当事者の相互確約を伴う、ユーザとプロバイダとの間のビジネス・プロセスを意味する。

「個人識別番号」または「ＰＩＮ」は、個人に既知である、その個人を認証するための、数字で表した秘密の文字列を意味する。一つの共通なパラダイムによれば、ＰＩＮは、ユーザおよびプロバイダにのみ既知である。代替的な共通パラダイムによれば、ＰＩＮは、ユーザと彼（女）のトークンにのみ既知である。したがって、トークンをアンロックするように機能する。「パスワード」または「パスフレーズ」は、その目的においてＰＩＮと同様であるが、通常、英文字および記号をも含む。したがって、ＰＩＮは、パスワードの特別なケースである。「生物学的属性」は、個人の身体の特徴（例えば、指紋または虹彩パターン）であり、適当なセンサで読み込んでデジタル化する。したがって、センサが生成するデジタルデータは、本文で「生体情報」と呼ぶ。「ユーザ識別」は、ＰＩＮ、パスワードまたは生体情報のいずれかを受信して検証することを意味する。ＰＩＮ、パスワードおよび生体情報は、識別証明の例である。「識別証明」は、トランザクションを要請する許可が与えられた個人のみからの受信が予想されるデータを意味する。「あなたが知っていること」（例えば、パスワードまたはＰＩＮ）、あるいは「あなたであること」（例えば、生体情報）のいずれかである。

「認可」は、トークンおよびユーザＩＤからの情報を組み合わせた、ユーザ識別に関する信頼性の高い検証を意味する。トークンおよびユーザＩＤからの情報の組み合わせが、二つの別個の、必須の情報ピースとして、プロバイダのサーバに到達する、あるいはユーザＩＤがローカルで検証されて、トークンをアンロックして作動させるようローカルで使用され、それからトークンからの情報のみが、プロバイダのサーバで（または専用ハードウェアで、あるいはプロバイダのサーバに関連した認証サービスによって）チェックされる。

「悪意のあるプログラム」は、偽の認証を介して詐欺的なトランザクションを生成する目的で、ホスト上に不正にインストールされたソフトウェア・コードを意味する。悪意のあるプログラムが、ホストへ結合した入力デバイス（例えば、従来のキーボードあるいは指紋リーダ）を介して入力されたＰＩＮ、パスワードまたは生体情報を傍受すること、また、ホストへ接続したトークンにアクセスすることが可能である、と仮定する。

「人間による規定の作用」は、個人のみが行うことが可能な、同じ目的に役立つ可能性のある機械が生成する作用を除外するという特定目的のために定義した作用を意味する。例えば、本発明の人間による規定の作用の目的は、ホストへ接続したトークンによって、個人の存在を検出することである。これは、例えば、トークンを切り離して再接続することを要求することによって、またはトークンに、個人の存在を検証するために押されなければならないボタンを備えることによって成就できる。

「アノニマス相互作用」は、デバイスまたはシステムとの個人による相互作用を意味する。この動作は、例えば、ＰＩＮまたはパスワード等の制限情報を所有している個人に、個人を識別することを要求せず、また、個人に特有で個人を識別する生物学的特徴等の属性を持つことを個人に要求しない。したがって、アノニマス相互作用は、個人の存在を検証するが、個人を識別しない。

本発明の目的は、正規のトランザクションにおいて入力されたユーザＩＤデータを傍受したホスト上の悪意のあるプログラムが、透過的にトランザクションを生成してユーザに代わってトランザクションを不正に認可することを防止することである。

本発明のゴールは、トークンの本体内にキーパッドおよび／あるいは指紋センサを埋め込むことによって、成就することが可能であるが、そのような追加を行うと、トークンは、よりかさばって、より高価なものとなる。本発明は、したがって、トークン内に埋め込んだＰＩＮあるいはパスワード・キーパッド、または生物測定センサを用いることなく、上述の目的を達成することを目指す。

したがって、本発明によれば、ホストのユーザが開始した、ホストとサーバとの間のトランザクションを認可するための、次のステップからなる方法が提供される。（ａ）ホストへトークンを接続操作するステップ。（ｂ）ホストによって、ユーザの識別証明を受信するステップ。（ｃ）トークンおよびサーバからなるグループから選択した少なくとも一つのデバイスによって、識別証明を検証するステップ。（ｄ）トークンによって、人間による規定の作用を検出するステップ。（ｅ）検出を条件として、前記トークンによって、トークン認証データを生成するステップ。（ｆ）ホストによって、トークン認証データをサーバへ送信するステップ。そして（ｇ）トークン認証データを受信したことを条件として、サーバによって、トランザクションを認可するステップ。

さらに、本発明によれば、ホストとサーバとの間のトランザクションを認証するための、次のものを含むデバイスが提供される。（ａ）ホストに相互作用するためのデバイス・インターフェイス。（ｂ）ホストへ取り外し可能にデバイス・インターフェイスを接続操作するためのコネクタ。そして（ｃ）アノニマスな人間による規定の作用の、コントローラによる検出を条件として、デバイス・インターフェイスを介してホストからトランザクション認証要求を受信すると、一度だけトランザクションを認証するように作動可能なコントローラ。

さらに、本発明によれば、個人によってホストへ接続操作された周辺デバイスにその個人の存在を確認する、次のステップを含む方法が提供される。（ａ）ホストにホスト・ユーザ入力インターフェイスを提供するステップ。（ｂ）周辺デバイスにデバイス・ユーザ出力インターフェイスを提供するステップ。（ｃ）周辺デバイスによって、デバイス・ユーザ出力インターフェイスに少なくとも一つの出力を生成するステップ。（ｄ）少なくとも一つの出力の各々に対して、ホストによって、対応する入力を捉えるためにホスト・ユーザ入力インターフェイスを監視するステップ。そして（ｅ）ホストによって、対応する入力の各々を周辺デバイスへ報告するステップ。各報告が周辺デバイスによって受信された場合にのみ、個人の存在が確認される。

さらに、本発明によれば、ホストとサーバとの間のトランザクションを認証するための、次のものを含むデバイスが提供される。（ａ）ホストに相互作用するためのデバイス・インターフェイス。（ｂ）ユーザ・インターフェイス。そして（ｃ）デバイス・インターフェイスを介してホストからトランザクション認証要求を受信すると、サーバを検証し、そしてユーザ・インターフェイスを介して、検証の成功を表示するように作動可能なコントローラ。

さらに、本発明によれば、ホストとサーバとの間のトランザクションを認証するための、次のステップを含む方法が提供される。（ａ）ホストへトークンを接続操作するステップ。（ｂ）トークンによって、サーバを検証するステップ。そして（ｃ）トークンのユーザ・インターフェイスを介して、トークンによって、検証の成功を表示するステップ。

本発明の第一の方法は、ホストのユーザが開始した、ホストとサーバとの間のトランザクションを認可するための方法である。基本的な方法によれば、トークンは、ホストへ接続操作される。ホストは、ユーザの識別証明を受信する。識別証明は、トークンによって、またはサーバによって、あるいはトークンおよびサーバの両方によって検証される。識別証明が、ホスト上で作動する悪意のあるプログラムによって生成されたものではないことを保証するために、トークンが、人間による規定の作用を検出した場合にのみ、トークンは、トークン認証データを生成する。それから、ホストは、トークン認証データをサーバへ送信する。サーバがトークン認証データを受信した場合、サーバは、トランザクションを許可する。

ホストが受信する識別証明は、ＰＩＮ等のパスワードである、あるいは択一的に生体情報であることが好ましい。

トークンが検出する人間による規定の作用は、トークンがホストへ作動可能に接続されている間に少なくとも部分的に実行される、個人とトークンとの間の相互作用を含むことが好ましい。トークンがホストへ作動可能に接続されている間に相互作用を少なくとも部分的に実行しなければならないことは、相互作用の定義の範囲から、最初にホストからトークンを分離することをせずに単にホストへトークンを接続操作することを除外する。この点に関して、オペレーションの開始時にはトークンがホストへ実際に作動可能に接続されているのだから、ホストからトークンを分離操作することは、トークンがホストへ作動可能に接続されている間に実行すべきオペレーションである、とみなすことに注意すべきである。

本発明の範囲は、例えば識別証明の受信を介して個人を識別する相互作用を含むが、識別証明が、トークンによってではなく、ホストによって受信されるので、トークンは、例えば、キーパッドまたは生物測定センサ等の、大きな、そしてコスト高なユーザ・インターフェイスを含む必要がない。それでいて、個人を識別することなく個人の存在を検出するために、トークンに、ボタンあるいはＬＥＤ等の、小さな、安価なユーザ・インターフェイスを設けることは、本発明の範囲内にある。ホスト・ユーザ・インターフェイスを介したユーザ識別を、最小のトークン・ユーザ・インターフェイスを介したトークンによるアノニマス・ユーザ存在検出に組み合わせることは、本発明の重要な要素である。

アノニマス相互作用は、個人とトークンとの間の直接的な相互作用であることが好ましい。相互作用が「直接的である」というのは、例えばホスト等の、もう一つのエンティティによって調停されないことを意味する。そのような直接的な相互作用の例としては、ホストからトークンを分離操作してから、トークンをホストへ再接続操作し、そしてトークンを構成する（最小限の）ユーザ・インターフェイスをアノニマスに操作することを含む。もう一つの、そのような直接的な相互作用は、トークンに、トークンがもうすぐ認証データを生成することを合図するためのユーザ・インターフェイスを設けることを必要とする。関連する相互作用は、その合図後の少なくとも所定の時間だけ、トークンをホストへ作動可能に接続したままにすることである。

択一的に、アノニマス相互作用は、トークンに直接的にではなく、ホストによって調停する。トークンがユーザ・インターフェイスを備える、そのような調停相互作用の一つの例は、例えば、ホストのキーボードでキーを押すことによって、ホストに相互作用することである。この場合、ホストは、トークンのユーザ・インターフェイスから、少なくとも一つの信号の各々に実質的に同期された、好ましくは複数の信号の各々に実質的に同期された対応するユーザ入力を受信する。入力を受信すると、ホストは、すぐに入力の受信をトークンへ報告する。対応する信号の生成に実質的に同期されたこれらの報告の受信は、トークンによる、人間による規定の作用の検出を構成する。この文脈における「同期」は、通常の人間の反応時間を考慮して定義する。例えば、信号を聞いた後の１秒以内にキーを押すことは、信号に同期させることであるが、信号を聞いて２０秒後にキーを押すことは、信号に同期させたことにはならない。

この方法は、また、トークンにユーザ・インターフェイスを提供すること、トークンによってサーバを検証すること、そしてトークンによって、検証が成功したかどうかを表示することを含むことが好ましい。この場合、人間による規定の作用は、検証の成功を条件とする。検証が失敗ならば、ユーザは、トークンと相互作用することを控える。

ホストとサーバとの間のトランザクションを認証するための、本発明の基本的な第一のデバイスは、ホストに相互作用するためのデバイス・インターフェイス、ホストへ取り外し可能にデバイスを接続操作するためのコネクタ、そしてデバイス・インターフェイスを介してホストからトランザクション認証要求を受信し、コントローラによってアノニマスな人間による規定の作用を検出したときにのみ、一度だけトランザクションを認証するコントローラを含む。

そのような人間による規定の作用の一例は、認証要求が受信される前の所定時限内に、ホストへデバイス・インターフェイスを接続操作することである。この状態を、デバイス・インターフェイスを介して検出する。

人間による規定の作用の他の例は、デバイスがユーザ・インターフェイスをも含むことを要求する。そのような一例は、認証を可能にするための、ユーザ・インターフェイスとの相互作用である。もう一つの、そのような例は、デバイス・インターフェイスを、認証要求が受信されたことをユーザ・インターフェイスが表示した後の少なくとも所定の時間だけ、ホストへ作動可能に接続されたままにしておくことである。もう一つの、そのような例は、ユーザ・インターフェイスからの少なくとも一つの信号の各々に実質的に同期させてホストに相互作用することである。しかし、この場合は、ユーザ・インターフェイスからの複数の信号の各々に同期させることが好ましい。後の例における、コントローラによって人間による規定の作用を検出することは、ホストから相互作用の通知を受信するためのコントローラを含む。

コントローラによる認証は、また、デバイス・インターフェイスを介してのコントローラによる、ホストで入力した識別証明（例えば、パスワード、ＰＩＮまたは生体情報）の受信、そしてコントローラによる識別証明の検証を条件とすることが好ましい。

デバイスは、また、ユーザ・インターフェイスを含み、そしてコントローラは、また、サーバを検証し、ユーザ・インターフェイスを介して、サーバの検証が成功したかどうかを表示するように作動可能であることが好ましい。

デバイスは、また、デバイス・インターフェイスを介してホストから受信したデータを記憶するなどの、トランザクションの認証には関係しない機能を提供するために、例えばメモリ等の、機能コンポーネントを含むことが好ましい。デバイス・インターフェイスがホストへ接続操作されたとき、認証要求が懸案になっていれば、コントローラは、その機能をホストへ提供することなく、必要条件が満たされたので認証要求を満足させることによって、あるいは必要条件が満たされなかったので認証要求を拒否することによって認証要求を取り扱い、そうではなく、認証要求が懸案でない場合は、コントローラは、ホストへその機能を提供することが最も好ましい。認証要求を取り扱った後、コントローラが、デバイス・インターフェイスを介して、ホストへ機能を提供するよう要求を受信したとき、コントローラは、ホストからデバイス・インターフェイスを分離操作してからデバイス・インターフェイスをホストへ再接続操作するよう、ユーザに促すことが最も好ましい。また、コントローラが、ホストへ機能を提供している間に認証要求を受信した場合、コントローラは、デバイス・インターフェイスをホストから分離操作してからデバイス・インターフェイスをホストへ再接続操作するよう、ユーザに促すことが最も好ましい。

択一的に、認証要求を取り扱った後、コントローラが、デバイス・インターフェイスを介して、ホストへ機能を提供するよう要求を受信したとき、コントローラは、ホストへ機能を提供することを開始する。コントローラが、ホストへ機能を提供している間に認証要求を受信した場合、コントローラは、ホストへの機能の提供を停止して、その代わりに、認証要求を取り扱う。

本発明のもう一つの方法は、個人がホストへ接続操作したトークン等の周辺デバイスに、その個人が実際に存在することを確認するための方法である。基本的な方法によれば、ホストはホスト・ユーザ入力インターフェイスを備え、周辺デバイスは、デバイス・ユーザ出力インターフェイスを備え、そのデバイス・ユーザ出力インターフェイスで少なくとも一つの出力を生成し、そして、ホストは、その出力の各々への対応する入力を捉えるよう、ホスト・ユーザ入力インターフェイスを監視し、その入力を周辺デバイスへ報告する。周辺デバイスが、対応する（単数あるいは複数の）報告を実際に受信した場合にのみ、個人の存在が確認される。この文脈における「入力インターフェイス」は、ユーザからの入力を受信するための、例えばボタンまたはキーボード等のインターフェイスであり、「出力インターフェイス」は、ユーザへ出力を提供するための、例えばＬＥＤまたはディスプレイ・スクリーン等のインターフェイスである。実際、この方法を適用するホストは、ほぼ、どのケースでも入力インターフェイスおよび出力インターフェイスを含むが、方法は、ホストの入力インターフェイスのみを用いる。周辺デバイスは、入力インターフェイスを含んでも、あるいは含まなくてもよいが、出力インターフェイスを含まなければならない。

周辺デバイスは、時間的にランダムに分散させた、複数の出力を生成することが好ましい。また、ホストによる対応する出力の生成に実質的に同期されて、各報告が周辺デバイスによって受信された場合にのみ、個人の存在が確認されることが好ましい。

本発明の第二のデバイスも、ホストとサーバとの間のトランザクションを認証するためのデバイスである。このデバイスは、ホストに相互作用するためのデバイス・インターフェイス、ユーザ・インターフェイスおよびコントローラを含む。コントローラが、デバイス・インターフェイスを介して、ホストからのトランザクション認証要求を受信したとき、コントローラは、サーバを検証し、ユーザ・インターフェイスを使用して、サーバの検証が成功したかどうかを表示する。

ホストとサーバとの間のトランザクションを認証するための、本発明の第三の方法は、第二のデバイスに対応する。ホストに作動可能に接続されたトークンが、サーバを検証し、そのユーザ・インターフェイスを介して、検証が成功したかどうかを表示する。

本発明を、例としてのみ、添付の図面を参照して説明する。

本発明は、トークンがユーザ特定情報を直接的に受信する必要のない、ユーザ認証に使用可能なトークンに関する。

本発明によるトークンの原理および作用は、図面とその説明文を参照することによって、よりよく理解できる。

さて、図面を参照する。図１は、本発明によって構成されたシステムの好適実施例１００を表し、多目的ポータブル・デバイス１１０の一部を形成する認証トークン１１２に関する。多目的ポータブル・デバイス１１０は、認証トークン１１２のトークン機能を、例えば記憶等の、他の機能１１４に組み合わせる。コントローラ１１５は、多目的ポータブル・デバイス１１０のオペレーションを制御し、また、認証トークン１１２および機能１１４を制御する。インジケータ１１８は、コントローラ１１５の制御下で、音声および／あるいは視覚信号をユーザへ提供する。ボタン１２０は、ユーザが許可信号を提供するためのオプションである。ボタン１２０は、物理的な押しボタン、または択一的に、インジケータ１１８と連動する光センサでもよい。例えば、ユーザが多目的ポータブル・デバイス１１０の本体に接触すると、彼（女）の指がインジケータ１１８から来る光を反射し、これを、ボタン１２０の一部を形成する感光性センサが感知する。デバイス・インターフェイス１１６は、デバイス側の、ＵＳＢ（ユニバーサル・シリアル・バス）インターフェイスまたはＳＤ（セキュア・デジタル）インターフェイス等の、標準的な電気および論理インターフェイスである。デバイス・コネクタ１３０は、ホスト１５０へのリンク１４０を介して、配線接続または無線接続を提供する。

例えば、パソコン、携帯電話あるいは２ウェイ・ポケットベル等のホスト１５０は、ユーザが、例えばインターネットまたは携帯リンクへの結合等のネットワーク接続１７２を介して、プロバイダ（図示せず）の遠隔サーバとトランザクションを実行することを可能にする。ＣＰＵ１５６は、オペレーティングシステム、ワープロ、通信プログラム等の、ソフトウェアプログラムであるサービス１５４の下で、ホスト１５０のオペレーションを制御する。ユーザは、例えば、キーボード、指紋リーダおよび／あるいはスクリーンを含むユーザ・インターフェイス１５２を使用して、ホスト１５０を操作する、また、ユーザＩＤとして、ＰＩＮ、パスワードあるいは生体情報を提供する。ホスト・インターフェイス１５８は、ホスト側の、多目的ポータブル・デバイス１１０との、標準的な電気および論理インターフェイスを提供し、ホスト・コネクタ１７０は、多目的ポータブル・デバイス１１０との、リンク１４０を介した有線または無線接続を提供する。悪意のあるプログラム１６０は、ホスト１５０内に存在し、ユーザ・インターフェイス１５２を介して入力されるＰＩＮ、パスワードおよび／あるいは生体情報を傍受し、それから、多目的ポータブル・デバイス１１０がホスト１５０に接続されたときに認証トークン１１２を利用しようと試み、多目的ポータブル・デバイス１１０の正規の所有者になりすまして不正なトランザクションを生成する、と推定する。

図２は、図１に示す多目的ポータブル・デバイス１１０のオペレーションのための、第一の好適方法を表すフロー・チャートである。上述したように、本方法の主要な目的は、多目的ポータブル・デバイス１１０が、機能１１４を目的としてホスト１５０に接続されているとき、例えば、機能１１４内に記憶機能を含む多目的ポータブル・デバイス１１０が、記憶の目的でホスト１５０に長時間接続されているとき、悪意のあるプログラム１６０が不正なトランザクションを生成することを防止することである。ステップ２００で、多目的ポータブル・デバイス１１０をホスト１５０へ作動可能に接続する。接続の一部として、デバイス・インターフェイス１１６とホスト・インターフェイス１５８との間で、論理ハンドシェイクが行われる。これは、ステップ２０２で、ホスト１５０が懸案の認証セッションの最中であるかどうかを、コントローラ１１５が識別できるようにする。答えが否定である場合、ステップ２１０において、コントローラ１１５は、機能１１４の機能のために、多目的ポータブル・デバイス１１０のみをマウントする。すなわち、認証トークン１１２は、分離され、ホスト１５０へのアクセスが不可能である。ステップ２１２で、認証トークン１１２が使用不能である間、ホスト１５０は、サービス１５４を実行する、および／あるいは多目的ポータブル・デバイス１１０の機能１１４と連動する（例えば、機能１１４内に含まれるデータ記憶デバイス上での、読み込みおよび書き込みオペレーションを実行する）。明らかであるが、この段階では、認証トークン１１２が接続されていないため、悪意のあるプログラム１６０は、少しの認証トランザクションも実行できない。サービスの一つが認証を必要とする場合、このことがステップ２１４で検出されることによって、ステップ２３０へ進む。ここで、ユーザは、ホスト１５０から多目的ポータブル・デバイス１１０を取り外して、それから、多目的ポータブル・デバイス１１０をホスト１５０に再接続するよう、ホスト１５０に促される。これは、人間の関与を必要とする、悪意あるプログラム１６０が実行できない手作業である。ステップ２３０でユーザが従った場合にのみ、システム１００はステップ２００へ戻るが、今度は、ホスト１５０は、ＣＰＵ１５６がホスト・インターフェイス１５８に通知して、認証を待つ。多目的ポータブル・デバイス１１０とホスト１５０との間のハンドシェイク中のこの時点で、ステップ２０２が、懸案の認証があることを識別した場合、それに応じて、ステップ２２０へ進む。そこで、認証トークン１１２の機能のために、多目的ポータブル・デバイス１１０がマウントされ、機能１１４は使用不能になる。ステップ２２１で、ユーザは、ユーザ・インターフェイス１５２へ、彼（女）のＰＩＮ、パスワードまたは生物学的識別属性を提示するよう促され、ステップ２２２で、単一の認証セッションが実行され、その後、認証トークン１１２は使用不能になる。もし、ステップ２２６で、機能１１４による追加のオペレーションを望むなら、ステップ２３０で促されたとき、多目的ポータブル・デバイス１１０を再接続する必要がある。

図２のプロシージャが、多目的ポータブル・デバイス１１０の所有者を、悪意のあるプログラム１６０が、彼または彼女に代わって認証トークン１１２を作動させて、気づかれないように不正なトランザクションを繰り返すことから保護することは明らかである。しかしながら、悪意のあるプログラム１６０が利用可能な、いくつかの抜け道は依然として存在する。これらの抜け道は、図２のステップ２２３、２２４、２２５および２２７で、少なくとも部分的に解決できる。第一の抜け道は、悪意あるプログラム１６０が、バックグラウンドで不正なトランザクションを準備することである。これは、ユーザが、機能１１４内のある機能を実行するために、ホスト１５０へ多目的ポータブル・デバイス１１０を接続するとき、悪意あるプログラムが、ステップ２０２で、認証ペンディング・ステータスを実際に生成し、不正なトランザクションを実行できることである。この場合、認証のためにステップ２２０への移動があり機能の使用が不能になるため、ユーザは、彼（女）の所望の機能にアクセスすることに失敗するが、多くのユーザは、単にハードウェアの不良を非難し、不正なトランザクションに気づくことはない。これを防止するためには、オプションとして、ステップ２２４での、人間による明確な許可が必要となる。この明確な許可は、ボタン１２０を押すことによって、または以下の図５で説明する方法の下で、ホストのユーザ・インターフェイス１５２を通しても提供できる。代替的に、あるいは追加的に、ステップ２２５で、トランザクションに気づかないことがないよう、ユーザにトランザクションを知らせるために、インジケータ１１８が特別な音声および／あるいは視覚的な信号を生成する。さらに、視聴覚信号を、認証セッションに対して２、３秒先行できるので、ユーザには、トランザクションを防止するに十分な、ステップ２２７に示す、ホスト１５０から多目的ポータブル・デバイス１１０を取り外すための時間がある。もう一つの予防措置は、ユーザが、異なるウェブサイトに接続されているのに彼／彼女が正規のウェブサイトでトランザクションを実行している、とユーザに信じ込ませる「フィッシング」に対して取ることができる。フィッシングは、ステップ２２３におけるホスト検証によって防止する。この場合、ステップ２２２の認証を拡張して、ネットワーク接続１７２を介して接続されたプロバイダのサーバのＩＤの暗号検証を含め、そして相手側のホストが照合され、そのＩＤが認証トークン１１２によって記録されたことを、インジケータ１１８を介して（例えば、特別な音または点滅緑光によって）合図する。

図２Ａは、認証と他の機能セッションとの間でホスト１５０から多目的ポータブル・デバイス１１０を物理的に取り外すことを必要としない、オペレーティングシステム１００の代替的な方法を表すフロー・チャートである。以下の点を除き、すべてのステップは、図２のものと同様である。ボタン１２０を押す、あるいは 図５の方法を適用することによって、ステップ２２４の、人間による明確な許可を示すことは必須である。ステップ２３０および２４０のいずれのモードに対するマウントも、コントローラ１１５の制御下で論理的に実行されるため、ホスト１５０から多目的ポータブル・デバイス１１０を物理的に取り外す必要はない。ステップ２３４および２３６における、一方から他方へのモード切り換えは、物理的な再マウントではなく、論理的な再マウントで実行する。注目すべきことは、論理マウントを用いる代わりに、認証トークン１１２および機能１１４の両方を同時にマウントしたままにしておいて、コントローラ１１５がそれらの機能を単に切り替えてもよい、ということである。したがって、単語「マウントする」に代わるものとして、単語「作動させる」がブロック２３０および２４０に現れる。明らかなことは、図２Ａの実施例の下では、人間による許可２２４が必須であるため、一回の許可につき、単一の認証のみを行うことが可能である。

図３は、本発明のもう一つの、好適なシステム３００を図解する。これは、図１に示す多目的ポータブル・デバイス１１０を、認証以外の機能を全く持たない単一目的ポータブル・トークン３１０で置換している。ホスト１５１は、サービス１５５が、多目的ポータブル・デバイス１１０の追加的機能１１４を必要とするサービスを含む必要がないということ以外において、ホスト１５０と同様である。トークン・インターフェイス３１８およびトークン・コネクタ３３０は、各々、図１に示すデバイス・インターフェイス１１６およびデバイス・コネクタ１３０と同様である。クリプトコントローラ３１６はポータブル・トークン３１０のオペレーションを制御し、インジケータ１１８およびボタン１２０は、図１に示すそれらの対照物と同じである。

図４は、図３のシステム３００のオペレーションを表すフローチャートである。ステップ４００で、ポータブル・トークン３１０を、ホスト１５１に作動可能に接続する。ポータブル・トークン３１０の唯一の目的は認証であるのだから、実際の認証オペレーションは、ステップ４０４でチェックするように、所定の時限（例えば、１分間）内に実行される、と推定する。この時限内に認証を開始すると、ステップ２２１および２２２で、図２のものに同様な、単一の認証オペレーションが実行され、図２の場合のように、オプションとして、ホスト検証２２３、人間による許可２２４、そして視聴覚表示２２５も行われる。もし、ステップ４２６で、ユーザが、図３に示すサービス１５５の一つを介して、もう一回の認証セッションを行いたい場合、彼／彼女は、ステップ４３０で、ポータブル・トークン３１０を物理的に切り離してホスト１５１へ再接続するよう促される。もしステップ４０４で、認証が（例えば）１分間という所定の時限内に開始されなかった場合は、ステップ４１０で、トークンは使用不能になる。ステップ４１４において認証の必要がある場合には、ユーザは、ステップ４３０で、ポータブル・トークン３１０を物理的に切り離してホスト１５１へ再接続するよう促される。

図４Ａは、認証セッション間でホスト１５１からポータブル・トークン３１０を物理的に取り外すことを必要としない、オペレーティングシステム３００の代替的な方法を表すフロー・チャートである。ステップ４００で、ポータブル・トークン３１０をホスト１５１へ接続する。ステップ２２１、２２２、２２３、２２４および２２５は、人間による明確な許可が必須であるステップ２２４以外、図４のものと同じである。ステップ４２６は、必須である人間による明確な許可２２２などによって、（ステップ２２１のユーザＩＤを繰り返す必要が全くなく）ステップ２２２におけるもう一回の認証オペレーションへ導いてもよい。

図５は、図２、２Ａ、４および４Ａに示す必須の人間による許可２２４のための、ボタン１２０を押すことを代替する好適方法を表すフローチャートである。キー押しを検出するアプリケーションが、ホスト１５０またはホスト１５１上で作動し、キーが押される度に、接続された多目的ポータブル・デバイス１１０またはポータブル・トークン３１０へ瞬時に報告する。ゴールは、ユーザ許可のためにユーザ・インターフェイス１５２（例えば、従来のキーボード）を、悪意のあるプログラム１６０が模倣できない様式で用いることを可能にすることである。これは、ユーザに、視聴覚インジケータ１１８から受信した信号に同期させて、ユーザ・インターフェイス１５２上のキーを押させることによって実行する。（信号を、コントローラ１１５によって、あるいはクリプトコントローラ３１６によって自動的に生成するとき）人間であるユーザは信号に気づくが、悪意あるプログラム１６０は信号にに対して盲目であるため、人間である操作者の存在が確認できる。図解の例示的なプロシージャは、ユーザに、ホスト・コンピュータのユーザ・インターフェイス１５２上の一つのキーを、インジケータ１１８から受信した信号に同期させて、四度連続で押すことを要請する。もしユーザが、第一回目の、四度押しセッション中の、いずれのキー押しをミスしても、彼／彼女は、四度のキー押しに対する、もう二回のチャンスがある。彼／彼女が三回連続でセッションに失敗すると、トークンはそれ自体をロックする。ロックしたトークンのアンロックには、例えば、サービス事務所への訪問等の、人間であるユーザによる決定的な手作業が必要である。この要件は、悪意のあるプログラムが、複数のセッションに渡って、正しいタイミングが推測できるまで、キー押しの正しいタイミングをランダムに推測することを繰り返し試みることを防止するために提供されるものである。失敗を探知するために、コントローラ１１５（図１）の、またはクリプトコントローラ３１６（図３）の一部を形成する失敗カウンタが設けられている。この失敗カウンタは、製造時、パーソナライズ時、または例えば、悪意あるプログラムが到達不可能であろうサービス事務所の信頼できるコンピュータで、ユーザが他の決定的な手作業を行ったとき、ゼロに予めセットされる。また、失敗カウンタは、以下のステップ５４０で説明するように、一連のキー押しが成功したとき、ゼロにリセットされる。

したがって、ステップ５００において、成功フラグを論理真へセットし、その後、ステップ５０２で、４つのキー押し入力のセッションを介してループする。ステップ５０４で、コントローラ１１５またはクリプトコントローラ３１６が、０と４の間の乱数を生成して、インジケータ１１８がオフの間、この秒数だけ待機する。ステップ５０６で、もしこの待ち時間内にキー押しが検出されると、成功フラグは、偽へセットされる。それから、ステップ５０８で、コントローラ１１５またはクリプトコントローラ３１６によって、インジケータ１１８を介して信号を生成する。そしてステップ５１０で、信号持続時間内にキー押しを期待する。キー押しが検出されたら、四度のキー押しセッション・ループはステップ５０２へ戻る。そうでない場合、ステップ５１２で、成功フラグを偽へセットし、その後、ステップ５０２におけるループを継続する。全四セッションが完了すると、ループはステップ５３０の方へ出て、そこで成功フラグが調べられる。ユーザ・インターフェイス１５２におけるすべての四度のキー押しが、インジケータ１１８からの信号に同期していた場合にだけ、成功フラグは真に留まる。このことは、ステップ５４０で、コントローラ１１５またはクリプトコントローラ３１６内に含んだ失敗カウンタをゼロへリセットすること、それから、ステップ５４２で、認証を是認することへ導く。すなわち、図２、２Ａ、４および４Ａのいずれにあっても、ステップ２２２の実行へ導く。キー押しと信号との同期における一度の失敗でさえ、ループ５０２は、ステップ５３０で、成功＝偽で終了する。このことは、ステップ５３２へ導き、先に言及した失敗カウンタを１だけ増加する。もし失敗カウンタが許容失敗数、例えば３を超過した場合、ステップ５３４は、コントローラ１１５またはクリプトコントローラ３１６が、ステップ５３６において、それ自体をロックするように導き、ステップ５３８でサービスを拒絶する（すなわち、図２、２Ａ、４および４Ａのいずれにおいても、ステップ２２２で認証は実行されない）。しかし、最高二度の先の失敗に対しては、ステップ５３４は、ステップ４９８で、インジケータ１１８および／あるいはユーザ・インターフェイス１５２を介してメッセージを生成するよう導き、ステップ５００で、ユーザにもう一度試すよう勧める。

注目すべきことは、悪意あるプログラムが単独で認証を完了することを防止するために、上記のすべての異形実施例が、人間のみが実行できる必須の手作業ステップを要求することである。また、そのようなステップが認証のために要求されることは珍しいし、他のことで用いられるとしたら意味のないことである。そのような手作業ステップの例は、以下のものを含む。ホストへのデバイスの再接続、特殊目的ボタンを押すこと、不正な認証が発生する前にユーザがトークンの接続を断つことができるよう警告信号を送信すること、タイムリーな様式でトークンをホストへ接続すること、そしてトークンから受信した視聴覚信号に同期させてホストのキーを押すこと。

したがって、本発明の焦点は、悪意のあるプログラムが単独でトークンを操作することを防止するために、人間である操作者が実際に存在して管理していることを確認することにある。人間である操作者は、ホストへＰＩＮ、パスワードまたは生物学的属性を提示することによって、別個に識別される必要がある。ユーザ識別の要求は、紛失または盗難に対してのものであり、トークンを、（ＰＩＮ、パスワードまたは生体情報を傍受した、と推定する）悪意のあるプログラムから保護するに至っていない。したがって、拾った、あるいは盗んだトークンで、不正なトランザクションを生成しようと試みる犯人は、トークンの所有者が使用するホスト上に、悪意あるプログラムをこっそりとインストールする犯人と同じではない、と暗黙のうちに仮定する。ホストに悪意のあるプログラムをインストールし、その後、ホスト上で使用されたトークンを手に入れる犯人は、容易にトークンの所有者のふりをすることができる。本発明は、そのようなシナリオに対しては無力であるが、そのようなシナリオは、ほとんどあり得ないため、本発明の一般的な有用性は保たれる。

本発明を限られた数の実施例に関して説明したが、本発明の多くの変形、修正、そして他の応用が可能であることは明らかである。

本発明によるシステムを表す、高度なブロック図である。 図１に示すシステムを作動させる二つの方法を表すフロー・チャートである。 図１に示すシステムを作動させる二つの方法を表すフロー・チャートである。 本発明によるもう一つのシステムを表す、高度なブロック図である。 図３に示すシステムを作動させる二つの方法を表すフロー・チャートである。 図３に示すシステムを作動させる二つの方法を表すフロー・チャートである。 図５は、必須の、人間による許可のための好適方法を表すフロー・チャートである。

Claims (26)

1. ホストのユーザが開始した前記ホストとサーバとの間のトランザクションを前記ホストに接続されたトークンによって認証するための方法であって、
   前記ユーザから入力された前記ユーザの識別証明情報を前記トークンによって検証し、
   人間による規定の行為を行う要求に対応して前記ユーザが行った前記規定の行為により生じる信号に基づいて前記トークンが前記人間による規定の行為を検出し、
   前記検証が行われるとともに前記検出が行われることを条件として、前記ホストと前記サーバとの間の前記トランザクションの認証に用いられるトークン認証データを前記トークンが生成することを特徴とする方法。
2. 前記識別証明情報がパスワードである、請求項１の方法。
3. 前記識別証明情報が生体情報である、請求項１の方法。
4. 前記人間による規定の行為が、前記トークンが前記ホストに接続されている間に少なくとも部分的に実行される、個人と前記トークンとの間の相互作用を含む、請求項１の方法。
5. 前記相互作用がアノニマスである、請求項４の方法。
6. 前記アノニマス相互作用が、前記個人と前記トークンとの間の直接的な相互作用である、請求項５の方法。
7. 前記トークンが前記トークン認証データの生成を実行しようとしていることを合図するユーザ・インターフェイスを含み、
   前記直接的な相互作用が、前記合図の後、少なくとも所定の時間だけ、前記トークンを前記ホストに接続されたままにすることを含む、請求項６の方法。
8. 前記直接的な相互作用が、前記ホストから前記トークンを分離し、それから前記トークンを前記ホストに再接続することを含む、請求項６の方法。
9. 前記トークンがユーザ・インターフェイスを含み、前記直接的な相互作用が、前記ユーザ・インターフェイスのアノニマス操作を含む、請求項６の方法。
10. 前記アノニマス相互作用が、少なくとも部分的に前記ホストによって調停される、請求
    項５の方法。
11. 前記アノニマス相互作用は、前記ホストが前記個人から複数の前記入力を受信すること
    を含み、前記入力の各々が、対応する前記信号に実質的に同期されて受信される、請求項
    １０の方法。
12. 前記トークンがユーザ・インターフェイスを含み、
    前記トークンによって前記サーバを検証し、そして
    前記サーバが認証されている場合には、前記トークンが前記ユーザ・インターフェイスを介してそれを表示する、請求項１の方法。
13. ホストとサーバとの間のトランザクションを認証するためのデバイスであって、
    前記ホストに相互作用するためのデバイス・インターフェイスと、
    前記デバイス・インターフェイスを前記ホストに接続するためのコネクタと、
    ユーザから入力された前記ユーザの識別証明情報を検証するように作動可能なコントローラであって、
    人間による規定の行為を行う要求に対応して前記ユーザが行った前記規定の行為により生じる信号に基づいて前記人間による規定の行為の検出が行われるとともに前記ユーザの識別証明情報の検証が行われたことを条件として、前記デバイス・インターフェイスを介して前記ホストからトランザクション認証要求を受信したときに、一度だけ前記トランザクションを認証するように作動可能な前記コントローラと、
    を備える、デバイス。
14. 前記人間による規定の行為が、前記認証要求が受信される前の所定の時限内に、前記デバイス・インターフェイスを前記ホストへ接続することを含む、請求項１３のデバイス。
15. ユーザ・インターフェイスを備え、前記人間による規定の行為が、前記認証を可能にするために前記ユーザ・インターフェイスに相互作用することを含む、請求項１３のデバイス。
16. ユーザ・インターフェイスを備え、前記人間による規定の行為は、前記ユーザ・インターフェイスが個人に、前記認証要求が受信されたことを表示した後の少なくとも所定の時間だけ、前記デバイス・インターフェイスを前記ホストへ作動可能に接続したままにすることを含む、請求項１３のデバイス。
17. ユーザ・インターフェイスを備え、前記人間による規定の行為が、前記ユーザ・インターフェイスからの少なくとも一つの信号の各々に実質的に同期させて前記ホストに相互作用することを含む、請求項１３のデバイス。
18. 前記識別証明情報がパスワードである、請求項１３のデバイス。
19. ユーザ・インターフェイスを備え、前記コントローラが、また、前記サーバを検証し、そして前記ユーザ・インターフェイスを介して前記サーバが認証されているか否かを表示するように作動可能である、請求項１３のデバイス。
20. 前記認証に無関係な機能を前記ホストに提供するための機能コンポーネントを備える、請求項１３のデバイス。
21. 前記機能コンポーネントが、前記デバイス・インターフェイスを介して前記ホストから受信したデータを記憶するためのメモリを含む、請求項２０のデバイス。
22. 前記デバイス・インターフェイスが前記ホストへ接続されると、前記コントローラが、
    （ｉ）前記認証要求がペンディングである場合、前記機能を前記ホストへ提供することなく、前記トランザクションを認証するために前記要求を取り扱うよう、そして
    （ii）そうでない場合、前記機能を前記ホストへ提供するように作動可能である、請求項２０のデバイス。
23. 前記認証要求を取り扱った後、前記デバイス・インターフェイスを介して前記機能を前記ホストへ提供するよう要求を受信すると、前記コントローラが、前記ユーザに、前記ホストから前記デバイス・インターフェイスを分離し、それから前記デバイス・インターフェイスを前記ホストへ再接続するよう通知するように作動可能である、請求項２２のデバイス。
24. 前記機能を前記ホストへ提供している間に前記認証要求を受信すると、前記コントローラが、前記ユーザに、前記ホストから前記デバイス・インターフェイスを分離し、それから前記デバイス・インターフェイスを前記ホストへ再接続するよう通知するように作動可能である、請求項２２のデバイス。
25. 前記認証要求を取り扱った後、前記デバイス・インターフェイスを介して前記機能を前記ホストへ提供するよう要求を受信すると、前記コントローラが、前記機能を前記ホストへ提供するように作動する、請求項２２のデバイス。
26. 前記機能を前記ホストへ提供している間に前記認証要求を受信すると、前記コントローラが、前記機能を前記ホストへ提供することを停止し、その代わりに、前記認証要求を扱うように作動可能である、請求項２２のデバイス。

Images