JP2004102635A

JP2004102635A - ユーザ認証方法、情報システム、文書保存装置及びデジタル複合機

Info

Publication number: JP2004102635A
Application number: JP2002263418A
Authority: JP
Inventors: Yusuke Ota; 太田　雄介; Yoichi Kanai; 金井　洋一; Takeshi Yoshimura; 吉村　剛; Moriyuki Koike; 小池　守幸; Koichi Kanetani; 金谷　浩一
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2002-09-09
Filing date: 2002-09-09
Publication date: 2004-04-02

Abstract

【課題】ユーザ認証機能を強化する。
【解決手段】各使用者や情報資産に対する認証の連続失敗回数を揮発性記憶領域３に記憶すると共に、使用者や情報資産の区別に関係なく、前回リセットが行われてからの通算失敗回数を不揮発性記憶領域２に記憶する。そして、通算失敗回数が規定回数に達したら、次回リセットが行われる際にシステムの立ち上げ時間を意図的に延長する。これによってリセット後、認証情報を順番に組み合わせた攻撃が行われたとしても、攻撃成功までの時間を長くすることができる。さらに、アクセスを拒否するまでの連続失敗規定回数、次回のリセット時の立ち上げ時間を延長するかどうかを決める通算失敗規定回数、及び認証情報の質（パスワード長等）を自由に組み合わせることにより、そのシステムに対して適切な強度を有する認証機能を付与することができる。
【選択図】　　　　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、情報システムにおける機器の使用や内部に保存された電子情報の使用を、正規の使用者あるいは情報資産の所有者に限定するユーザ認証方法、情報システム、文書保存装置及びデジタル複合機（複写機等）に関するもので、特に認証機能の強化に関するものである。
【０００２】
【従来の技術】
従来より、情報システム内に保存されたファイル等の情報資産に対するアクセスを正規のユーザに対してのみ許可するために、システムや情報資産の正規ユーザであることを、そのユーザしか持ち得ない特定の情報を用いて認証する方法が広く行われている。認証のために用いられる特定の情報（認証情報）としては、パスワードや生体情報（指絞など）がよく知られている。この認証情報が与えられる対象は、使用者（例えばログインアカウント）であったり、情報資産（例えばグループで共有しているフォルダ）であったりする。
【０００３】
生体情報などを除いて、誰もが使えるある特定の情報の組み合せ、例えば文字によるパスワード等を認証情報として用いることがある。この場合は、不正なユーザが、認証情報の可能な組み合わせを順番に用いて認証の試みを何度も繰り返すような総当り攻撃を行えば、いずれ正しい認証情報を見つけ出し、システムを不正に使用したり、情報資産にアクセスしたりできることは自明である。
【０００４】
この対策として、従来より認証情報のパスワードを長くするとか、同じ文字を使わせないとかすることにより、照合成功までの平均時間を長くさせる方法や、連続した照合失敗を検知して、ある規定回数以上の連続失敗後はアクセスを無条件に拒否する（ロックする）方法が一般に知られている。
【０００５】
上記の方法のうち連続失敗回数を検知する方法として、ある一つの照合対象についての失敗によってシステム全体をロックする（例えば１人の使用者が３回連続してパスワード入力を間違えたら、それ以降は他の使用者もシステムを使用できなくなる）方法（Ａ）がある。この方法（Ａ）は、利便性を犠牲にしてもなお高いセキュリティを要求されるようなシステムの場合は有効であるが、一般的には使いにくい方法である。そこで、利便性を重視した方法として、各使用者あるいは各情報資産ごとに連続失敗回数を記憶し、それが規定回数を超えた使用者あるいは情報資産のみをロックする方法（Ｂ）がある。
【０００６】
【発明が解決しようとする課題】
上記の方法（Ｂ）は、利便性が高い一方で、複数の使用者や情報資産についてそれぞれ独自のカウント情報を持たせなければならないという制約がある（方法（Ａ）の場合はシステム全体で一つのカウント情報を持てばよい）。また、これらのカウント情報は、例えばシステムの電源再投入等により簡単にリセットできるようなものであってはならないという制約もある。これは、リセットすることで何度でも攻撃が可能となるからである。リセットされない不揮発性記憶領域が十分あるようなシステムであればこれらの制約はなんら問題とはならないが、そのような記憶領域があまり取れないようなシステムの場合は、実用に耐え得るレベルで方法（Ｂ）を採用することは難しいという問題があった。
【０００７】
本発明は上記の問題を解決するためのもので、前記方法（Ｂ）を用いたユーザ認証方法の強化を図ることを目的とするものである。
【０００８】
【課題を解決するための手段】
上記の目的を達成するために本発明によるユーザ認証方法は、認証情報を用いたユーザ認証機能により情報資源へのアクセスを正当な使用者に許可する情報システムのユーザ認証方法において、ユーザ認証のための不正なアクセスを検知する情報として、アクセス回数の連続失敗回数と通算失敗回数とを用いることを特徴とするものである。
【０００９】
また、本発明による情報システムは、認証情報を用いたユーザ認証機能により情報資源へのアクセスを正当な使用者に許可する情報システムにおいて、ユーザ認証のためのアクセス回数の連続失敗回数と通算失敗回数とを検知し、検知した情報を不正なアクセスを検知する情報として用いる不正アクセス検知手段を設けたことを特徴とするものである。
【００１０】
また、本発明による文書保存装置は、上記ユーザ認証方法を実行する機能を有すると共に、アクセス制御の対象となる情報資源として電子文書を扱うことを特徴とするものである。
【００１１】
また、本発明によるデジタル複合機（複写機等）は、上記文書保存装置におけるユーザ認証機能により保護される電子文書に対するアクセス機能として、文書の保存・消去・紙への印刷・他の情報システムへの移動・ユーザ認証情報の付与・変更・消去等の機能を持つことを特徴とするものである。
【００１２】
【発明の実施の形態】
以下、本発明の実施の形態を図面と共に説明する。
本実施の形態では、以下のような制約を持つ情報システムを対象としている。
・ロック機能のために使用可能な不揮発性記憶領域が少なく、使用者あるいは情報資産ごとに独立した失敗カウンタを持つことが難しい。
・揮発性記憶領域は十分取れるが、例えば電源再投入などによるリセットを誰でも簡単に行うことができてしまう。
【００１３】
そこで、本実施の形態は、不揮発性記憶領域と揮発性記憶領域とを組み合せることで、上記のような制約のある情報システムにおいても、適切な強度を持つ前記方法（Ｂ）を実現することを目的としている。
【００１４】
図１は本発明の実施の形態によるユーザ認証方法を実行する情報システム１０を示すブロック図である。
図において、１はアクセス制御部で、ユーザからのアクセスに基づいて正規ユーザの認証（認証情報の照合）を行うと共に、認証された正規ユーザへ情報資産を渡す機能を持つ。また、ロックされたユーザによるアクセスやロックされた情報資産へのアクセスは拒否する機能も持つ。２は不揮発性記憶領域で、通算失敗回数を記憶する。３は揮発性記憶領域で、各使用者あるいは各情報資産ごとの連続失敗回数を記憶する。４はデータ保存部で、情報資産及びそのパスワード、又は各使用者の情報（パスワードなど）、及び照合失敗の発生では変更されないような情報等を記録する。５はシステム制御部で、リセット時に不揮発性記憶領域２にある通算失敗回数に関する情報を見て、リセットを遅延させるかどうかを決定する。
【００１５】
前記の目的を達成するために、本実施の形態においては、次のような方法が行われる。
各使用者や情報資産に対する認証の連続失敗回数を揮発性記憶領域３に記憶させる一方で、使用者や情報資産の区別に関係なく、前回リセットが行われてからの通算失敗回数を不揮発性記憶領域２に記憶させる。
その上で、通算失敗回数が規定回数を超えた場合、次回リセットが行われる際にリセットに要する時間（システムの立ち上げ時間）を意図的に延長する。
【００１６】
このようにすることにより、仮にリセットによる再攻撃が行われたとしても、攻撃成功までの平均時間を長くすることができ、制約のあるシステムであっても実用に耐え得るレベルで前記方法（Ｂ）を実現することができる。
【００１７】
また、ロックするまでの連続失敗回数、次回のリセット時の立ち上げ時間を延長するかどうかを決める通算失敗規定回数、及び認証情報の質（パスワード長等）を自由に組み合わせることにより、そのシステムに対して適切な強度を有する認証機能を付与することができる。
【００１８】
次に、第１〜１３の実施の形態について説明する。
・第１の実施の形態（請求項１、１２、１３、１４に対応）
ユーザ認証機能により情報資源へのアクセス許可を正当な使用者だけに与える情報システム１０において、不正なユーザによって認証情報の可能な組合せを順番に試していくような総当たり攻撃の平均成功時間を延ばすための方法であって、攻撃を検知する情報として、連続失敗回数と通算失敗回数とを組合せて用いる。
【００１９】
ユーザ認証に対する攻撃は認証情報の可能な組合せを順番に試していくことが多い。このような攻撃は認証失敗が連続して発生することで検知できる。そこで、連続失敗回数がある程度の数に達した時点でそれ以降のアクセスをすべて拒否（ロック）すれば、そのような総当たり的な攻撃を防ぐことができる。
さらに、揮発性記憶領域３における連続失敗回数の記録が確実に保存されることが保証できない場合には、上記連続失敗回数と不揮発性記憶領域２の通算失敗回数とを組合せて使用することにより、確実な強化を行うことができる。
【００２０】
・第２の実施の形態（請求項２に対応）
第１の実施の形態を具体化したもので、ユーザ認証情報として数字・記号及びアルファベット等の文字から成るパスワードを使用するものである。
最も一般的なユーザ認証方法（パスワード）に対応できる。
【００２１】
・第３の実施の形態（請求項３に対応）
使用者ごとにユーザ認証情報を与えることにより、使用者単位のアクセス制御を行うものである。
複数の使用者が存在する場合に個別のアクセス制御を行うことができる。
【００２２】
・第４の実施の形態（請求項４に対応）
アクセスされる情報資源ごとにユーザ認証のための情報を与えることにより、情報資源単位のアクセス制御を行うものである。
各情報資源別のアクセス制御を行いたい場合、例えばある特定の情報を複数使用者で共有したいような場合に対応できる。
【００２３】
・第５の実施の形態（請求項５に対応）
第３の実施の形態において、連続失敗回数として、どの使用者に関する失敗かの区別のない連続失敗回数を用いる。そして、連続失敗回数が規定回数（連続失敗規定回数）に達したときに、それ以降のすべての使用者によるアクセスを不許可とする。
攻撃と思われる認証連続失敗が発生した時に、すべての使用者からのアクセスを拒否することで、システムをより安全に保護できる。また、連続失敗回数のカウンタはシステム全体で一つ持てばすむ。
【００２４】
・第６の実施の形態（請求項６に対応）
第４の実施の形態において、連続失敗回数として、どの情報資源に対する失敗かの区別のない連続失敗回数を用いる。そして、連続失敗回数が規定回数（連続失敗規定回数）に達したときに、それ以降のすべての情報資源に対するアクセスを不許可とする。
攻撃と思われる認証連続失敗が発生した時に、すべての情報資産へのアクセスを拒否することで、システムをより安全に保護できる。また、連続失敗回数のカウンタはシステム全体で一つ持てばすむ。
【００２５】
・第７の実施の形態（請求項７に対応）
第３の実施の形態において、連続失敗回数として、個々の使用者それぞれに対する連続失敗回数を記憶させ、連続失敗回数が規定回数に達した使用者によるそれ以降のアクセスを不許可とする。
攻撃と思われる認証連続失敗が発生した時に、関係する使用者からのアクセスだけを拒否することで、他の使用者の利便性を損わずに安全を確保できる。
【００２６】
・第８の実施の形態（請求項８に対応）
第４の実施の形態において、連続失敗回数として、個々の情報資源それぞれ
に対する連続失敗回数を記憶させ、連続失敗回数が規定回数に達した情報資源に対するそれ以降のアクセスを不許可とする。
攻撃と思われる認証連続失敗が発生した時に、関係する情報資産へのアクセスだけを拒否することで、他の情報資産への利便性を損わずに安全を確保できる。
【００２７】
・第９の実施の形態（請求項９に対応）
第５〜８の実施の形態において、アクセスが不許可になった状態を回復させる手段として、別の手段で認証された特権ユーザが連続失敗回数をリセットしてゼロに戻す。
連続失敗回数で以降のアクセスを拒否するような場合、正規のユーザが誤って対象をロックさせてしまう可能性があるが、そのような問題に対処できる。
【００２８】
・第１０の実施の形態（請求項１０に対応）
第５〜８の実施の形態において、アクセスが不許可になった状態を回復させる手段、及びアクセスが不許可になる前に連続失敗回数をゼロに戻す手段として、この機能が塔載された装置の電源を一度落とした後に再投入させる。
第９の実施の形態と同じだが、一般ユーザが特権ユーザの手を煩わせずに自力で復旧させることができる。
【００２９】
・第１１の実施の形態（請求項１１に対応）
第１０の実施の形態において、連続失敗回数が規定数に達する前に電源の再投入を行うことによる規定回数以上の繰り返し攻撃の効果を軽減させるために、連続かどうかとは無関係な通算失敗回数が、連続失敗規定回数未満に設定された別の規定回数（通算失敗規定回数）に達した場合、次回の電源投入時に装置が使用可能状態になるまでの時間（立ち上げ時間）を意図的に延ばすようにする。
【００３０】
ユーザが自力でロック状態を解除したり、ロック前に失敗回数をリセットできたりする場合は、第１０の実施の形態にあるような利点があるが、一方でそのリセット方法を用いて再び攻撃を繰り返すことが可能になる。そこで、以前に失敗が発生した場合にその情報を記憶しておいて、次回の起動を遅らせることにより、攻撃の成功に必要な平均時間を延ばすことができる。
【００３１】
・第１２の実施の形態（請求項１５に対応）
第１、２、４、６、８〜１１の実施の形態によるユーザ認証機能強化方法が塔載された装置であって、アクセス制御の対象となる情報資源として電子文書を扱うことを特徴とした文書保存装置。
【００３２】
・第１３の実施の形態（請求項１６に対応）
第１２の実施の形態による文書保存装置であって、ユーザ認証機能によって保護される電子文書に対するアクセス機能として、文書の保存・消去・紙への印刷・他の情報システムへの移動・ユーザ認証情報の付与・変更・消去等の機能を持つことを特徴とするデジタル複合機（複写機等）。
【００３３】
次に、第１２、１３の実施の形態に関するデジタル複合機（ＭＦＰ）（複写機等）の実施の形態を説明する。
本実施の形態によるデジタル複合機（複写機等）は、保存している文書ごとにパスワードを付与し（使用者ではなくて情報資産に対する認証）、それを知っている人だけがその文書を印刷したり、消去できる従来の機能に、ロック機能を追加したもので、そのために前記のような制約が発生したものである。
【００３４】
ロック機能は、パスワードを何度も入力することによる文書への不正なアクセスを防ぐことを目的とした照合メカニズムの機能である。その場合、関係するのはパスワード照合を行う「すべての」機能である。
・パスワードが設定された文書のプリントアウト、パスワードの変更・取消など。
・ネットワークからのアクセス時も同様。
【００３５】
ロック機能の具体的な方法を説明する。
パスワードが設定された一つの文書に対して連続３回の照合失敗が発生した場合、その文書に対するそれ以降のパスワード照合はすべて失敗とする（文書ロック）。この時、操作パネル上ではパスワード入力を求める画面はロック前と同じように何度でも表示され、ユーザはその都度パスワードの入力を行うことができるが、実際には内部でのパスワード照合は行われず、正しいパスワードを入力しても照合失敗と同じ応答がユーザに返ることになる。なお、連続失敗回数は文書ごとに独立してカウントする。
【００３６】
また、上記のロック状態は電源再投入によって解除される。
装置の稼働中に１度でもパスワード照合の失敗が発生した場合は、次回の電源投入時の立ち上がり時間を延ばす。例えば１分間以上の立ち上がり時間をかける。
【００３７】
揮発性記憶領域３に照合が失敗した文書とその連続失敗回数を記録できるようにする。連続３回失敗する前にパスワード照合が成功したら、その情報はリセットされる。
文書アクセス時、記録されている連続失敗回数が３回以上の場合、それ以降その文書に対するパスワード照合は必ず失敗するようにする。このロック状態は電源ＯＦＦ／ＯＮで解除される。
【００３８】
不揮発性記憶領域２に１ｂｉｔのフラグを用意し、どの文書かにかかわらずパスワード照合失敗が発生した場合にそのフラグを立てる。電源投入時、フラグが立っていれば、立ち上げに１分以上かける。フラグが立っていない場合は通常通り立ち上げる。
【００３９】
【発明の効果】
以上説明したように、本発明によれば、前述したような制約のある情報システムにおいても、前記方法（Ｂ）を用いて適切な強度と利便性を持つユーザ認証機能を実現することができる。
【図面の簡単な説明】
【図１】本発明の実施の形態によるユーザ認証方法を適用した情報システムを示すブロック図である。
【符号の説明】
１０　情報システム
１　アクセス制御部
２　不揮発性記憶領域
３　揮発性記憶領域
４　データ保存部
５　システム制御部

Claims

認証情報を用いたユーザ認証機能により情報資源へのアクセスを正当な使用者に許可する情報システムのユーザ認証方法において、
ユーザ認証のための不正なアクセスを検知する情報として、アクセス回数の連続失敗回数と通算失敗回数とを用いることを特徴とするユーザ認証方法。
前記認証情報として数字・記号・アルファベット等の文字から成るパスワードを使用することを特徴とする請求項１記載のユーザ認証方法。
使用者ごとに認証情報を与えることにより使用者単位のアクセス制御を行うことを特徴とする請求項１又は２記載のユーザ認証方法。
アクセスされる情報資源ごとに認証情報を与えることにより情報資源単位のアクセス制御を行うことを特徴とする請求項１から３のいずれか１項に記載のユーザ認証方法。
前記連続失敗回数としてどの使用者に関する失敗かの区別のない連続失敗回数を用い、連続失敗回数が規定回数に達したときそれ以降のすべての使用者によるアクセスを不許可とすることを特徴とする請求項１から４のいずれか１項に記載のユーザ認証方法。
前記連続失敗回数としてどの情報資源に対する失敗かの区別のない連続失敗回数を用い、連続失敗回数が規定回数に達したときそれ以降のすべて情報資源に対するアクセスを不許可とすることを特徴とする請求項１から５のいずれか１項に記載のユーザ認証方法。
前記連続失敗回数として、個々の使用者それぞれに対する連続失敗回数を記憶させ、連続失敗回数が規定回数に達した使用者によるそれ以降のアクセスを不許可とすることを特徴とする請求項１から６のいずれか１項に記載のユーザ認証方法。
前記連続失敗回数として、個々の情報資源それぞれに対する連続失敗回数を記憶させ、連続失敗回数が規定数に達した情報資源に対するそれ以降のアクセスを不許可とすることを特徴とする請求項１から７のいずれか１項に記載のユーザ認証方法。
アクセスが不許可になった状態を回復させるために、別の手段で認証された特権ユーザが前記連続失敗回数をリセットすることを特徴とする請求項５から８のいずれか１項に記載のユーザ認証方法。
アクセスが不許可になった状態を回復させるために及びアクセスが不許可になる前に前記連続失敗回数をリセットするために、前記情報システムの電源を一旦遮断した後、電源を再投入させることを特徴とする請求項５から８のいずれか１項に記載のユーザ認証方法。
前記通算失敗回数が、前記連続失敗規定回数未満に設定された通算失敗規定回数に達したとき、次回の電源投入時における立ち上げ時間を延長することを特徴とする請求項１０記載のユーザ認証方法。
前記連続失敗回数を揮発性記憶領域に記憶し、前記通算失敗回数を不揮発性記憶領域に記憶することを特徴とする請求項１から１１のいずれか１項に記載のユーザ認証方法。
認証情報を用いたユーザ認証機能により情報資源へのアクセスを正当な使用者に許可する情報システムにおいて、
ユーザ認証のためのアクセス回数の連続失敗回数と通算失敗回数とを検知し、検知した情報を不正なアクセスを検知する情報として用いる不正アクセス検知手段を設けたことを特徴とする情報システム。
前記連続失敗回数を揮発性記憶領域に記憶し、前記通算失敗回数を不揮発性記憶領域に記憶することを特徴とする請求項１３記載の情報システム。
請求項１、２、４、６または８から１２記載のユーザ認証方法を実行する機能を具備し、アクセス制御の対象となる情報資源として電子文書を扱うことを特徴とする文書保存装置。
請求項１５記載の文書保存装置におけるユーザ認証機能により保護される電子文書に対するアクセス機能として、文書の保存・消去・紙への印刷・他の情報システムへの移動・認証情報の付与・変更・消去等の機能を持つことを特徴とするデジタル複合機。