JP2004118433A

JP2004118433A - Operation control method for outside program, operation control program, operation controller, and operation control program providing device

Info

Publication number: JP2004118433A
Application number: JP2002279395A
Authority: JP
Inventors: Takuya Mori; 森　　拓也
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2002-09-25
Filing date: 2002-09-25
Publication date: 2004-04-15
Anticipated expiration: 2022-09-25
Also published as: JP3888273B2

Abstract

<P>PROBLEM TO BE SOLVED: To prevent the unauthorized use of a Web program on an HTML document or a falsified HTML document unintended by the creator of a Web program. <P>SOLUTION: An HTML signature verifying means verifies HTML signatures for an HTML document, and acquires the authentication information of the preparer of the HTML document. Then, a Web program execution control means decides whether the HTML document is altered on the basis of the verification result of the HTML signatures, and decides whether the HTML document is permitted to execute the Web program on the basis of the authentication information of the creator of the HTML document. When it is found that the HTML document is not falsified and the HTML document is permitted to execute the Web program, the Web program is controlled so as to be operated. In other cases, the Web program is controlled so as not to be operated. <P>COPYRIGHT: (C)2004,JPO

Description

【０００１】
【発明の属する技術分野】
本発明は、Ｊａｖａ（登録商標）アプレットに代表される、ＨＴＭＬ文書と同時にＷＷＷサーバからダウンロードされ、ＷＷＷブラウザ上で動作するプログラム（以下、「Ｗｅｂプログラム」と称する）が、ＷＷＷブラウザが動作するクライアントコンピュータ上に接続されている記憶装置や周辺装置に格納されている情報、及び、クライアントコンピュータやその周辺装置の機能（以下、「クライアントリソース」と称する）へ不正にアクセスすることを防止する方法、プログラム、装置、及び、当該プログラムの提供装置に関する。
【０００２】
【従来の技術】
従来、Ｗｅｂプログラムは、クライアントリソースの利用が制限されていたが、一方で近年、Ｗｅｂプログラムによるクライアントリソースに対するアクセスを実現する方式も開発されている（例えば、特許文献１参照）。
【０００３】
特許文献１のＪａｖａ（登録商標）アプレットによる周辺装置の制御方法及び装置、記憶媒体は、図５に示すように、ＰＣ端末１０と、ＰＣ端末１０に接続されたＲ／Ｗ装置２０と、Ｒ／Ｗ装置２０に接続されたＩＣカード３０と、ＰＣ端末１０にＩＰネットワークを介して接続されたＷＷＷサーバ４０とから構成されている。そして、ＰＣ端末１０は、ＷＷＷブラウザ１１と、メモリ制御部１２と、ＯＳ１３と、Ｉ／Ｏポート１４とを保持し、ＷＷＷブラウザ１１は、Ｊａｖａ（登録商標）インタプリタ１１０を、メモリ制御部１２は、データ等格納領域１２０、及び、Ｊａｖａ（登録商標）インタプリタ用ライブラリ格納領域１２１を有している。また、Ｊａｖａ（登録商標）インタプリタ用ライブラリ格納領域１２１は、Ｒ／Ｗ装置ドライバ１２２を有している。
【０００４】
このような構成を有する従来のＪａｖａ（登録商標）アプレットによる周辺装置の制御方法及び装置、記憶媒体は、概略次のように動作する。
【０００５】
すなわち、Ｊａｖａ（登録商標）インタプリタ１１０が、Ｊａｖａ（登録商標）アプレット４１０を翻訳する際に、ライブラリ呼出コードに従ってライブラリ格納領域１２１からＲ／Ｗ装置ドライバ１２２を呼び出し、このＲ／Ｗ装置ドライバ１２２に従ってＩ／Ｏポート１４を介してＲ／Ｗ装置２０を制御することで、ＩＣカード３０のデータ操作を行う。
【０００６】
【特許文献１】
特開２０００−１１２８６４号公報
【０００７】
【発明が解決しようとする課題】
しかしながら、上記従来技術を用いて、Ｗｅｂプログラムによるクライアントリソースへのアクセスを実現した場合、次のような問題点があった。
【０００８】
第１の問題点は、このＷｅｂプログラムを第三者が自身の作成するＨＴＭＬ文書内で参照し埋め込むことにより、そのＷｅｂプログラムの作成者が意図していないＨＴＭＬ文書上においてもそのＷｅｂプログラムを動作させることでき、結果として、クライアントリソースへの不正なアクセスが可能になる、ということである。一般にＷｅｂプログラムは、ＷＷＷサーバの記憶領域上に格納されており、任意のＨＴＭＬ文書から参照することができる。従って、第三者が、自身の作成するＨＴＭＬ文書内で、このＷｅｂプログラムを参照するとともに、このＷｅｂプログラムを自身の作成する別のＷｅｂプログラムを用いて操作することにより、クライアントリソースに不正にアクセスすることが可能となり、クライアント計算機上の秘密情報の不正取得を許してしまう危険性がある。上記従来技術では、ＷＷＷブラウザ、及び、Ｗｅｂプログラムの実行環境に、Ｗｅｂプログラムを参照し埋め込んでいるＨＴＭＬ文書を認証する手段がなく、任意のＨＴＭＬ文書上でのＷｅｂプログラムの動作を許しているからである。
【０００９】
この第１の問題点について、図６を参照して詳細に説明する。図６において、ＷＷＷサーバ２ａ上のＷｅｂプログラム２２ａは、正規ＨＴＭＬ文書２１ａ内で参照されることにより、クライアントリソース１４ａに正当にアクセスすることを意図したものであるとする。しかし、第三者ＷＷＷサーバ３ａ上の不正ＨＴＭＬ文書３１ａ内でＷｅｂプログラム２２ａを参照することも可能であり、この不正ＨＴＭＬ文書３１ａがクライアントＰＣ１ａにダウンロードされると、ＷＷＷブラウザ１１ａは、Ｗｅｂプログラム２２ａの不正ＨＴＭＬ文書３１ａ上での動作を許し、結果として、クライアントリソース１４ａへの不正なアクセスを許してしまう。例えば、Ｗｅｂプログラム２２ａが、入力された文書に対し、クライアントリソース１４ａを利用して電子書名を施し、電子署名の施された文書を出力する機能を提供するものだとすると、第三者が不正ＨＴＭＬ文書３１ａでＷｅｂプログラム２２ａを参照し埋め込むことにより、他人の電子署名を偽造することも可能になるのである。
【００１０】
第２の問題点は、ＷＷＷサーバにＷｅｂプログラムとともに保存されているＨＴＭＬ文書を改竄し、そのＷｅｂプログラムを不正操作する別のＷｅｂプログラムを埋め込むことにより、クライアントリソースへの不正なアクセスが可能になる、ということである。一般にＷｅｂプログラムは、外部の別のプログラムから操作可能な場合が多いため、ＨＴＭＬ文書を改竄し、クライアントリソースへのアクセスを行うＷｅｂプログラムを操作する別のＷｅｂプログラムを埋め込むことにより、Ｗｅｂプログラムを経由してクライアント計算機上の秘密情報を不正に取得することが可能となってしまう。上記従来技術では、ＷＷＷブラウザ、及び、Ｗｅｂプログラムの実行環境に、Ｗｅｂプログラムを参照しているＨＴＭＬ文書の改竄を検出する手段、及び、改竄を検出した結果、Ｗｅｂプログラムの動作を停止させる手段がないためである。
【００１１】
この第２の問題点について、図７を参照して詳細に説明する。図７において、ＷＷＷサーバ２ｂでは、クライアントリソース１４ｂに正当にアクセスすることを意図する正規ＨＴＭＬ文書が第三者に改竄され、改竄されたＨＴＭＬ文書２１ｂが、Ｗｅｂプログラム２２ｂを参照している。このような改竄されたＨＴＭＬ文書２１ｂがクライアントＰＣ１ｂにダウンロードされると、ＷＷＷブラウザ１１ｂは、Ｗｅｂプログラム２２ｂの改竄されたＨＴＭＬ文書２１ｂ上での動作を許し、結果として、クライアントリソース１４ａへの不正なアクセスを許してしまう。
【００１２】
本発明は、以上のような従来技術の問題点に鑑みてなされたものであって、その目的は、Ｗｅｂプログラムを経由したクライアント計算機上の秘密情報の流出を防止することができる方法、プログラム、装置、及び、当該プログラムの提供装置を提供することにある。
【００１３】
本発明の他の目的は、Ｗｅｂプログラムの作成者が意図していないＨＴＭＬページ上でのＷｅｂプログラムの不正利用を防止することができる方法、プログラム、装置、及び、当該プログラムの提供装置を提供することにある。
【００１４】
本発明のさらに他の目的は、改竄されたＨＴＭＬページ上でのＷｅｂプログラムの不正利用を防止することができる方法、プログラム、装置、及び、当該プログラムの提供装置を提供することにある。
【００１５】
【課題を解決するための手段】
本発明の第１の外部プログラムの動作制御方法は、文書データに対する署名データから当該文書データの作成者を特定するための認証情報を取得する第１のステップと、前記第１のステップで取得した認証情報に基づき、前記文書データが当該文書データで参照する外部プログラムを実行することが許可されているかどうかを判定する第２のステップと、前記第２のステップで前記文書データが前記外部プログラムを実行することが許可されていると判定されなかった場合に、当該外部プログラムが動作しないよう制御する第３のステップとを含んでいる。
【００１６】
本発明の第２の外部プログラムの動作制御方法は、文書データに対する署名データを検証する第４のステップと、前記第４のステップでの検証の結果に基づき、前記文書データが改竄されているかどうかを判定する第５のステップと、前記第５のステップで前記文書データが改竄されていると判定された場合に、前記文書データで参照する外部プログラムが動作しないよう制御する第６のステップとを含んでいる。
【００１７】
本発明の第３の外部プログラムの動作制御方法は、文書データに対する署名データを検証するとともに、当該署名データから当該文書データの作成者を特定するための認証情報を取得する第７のステップと、前記第７のステップでの検証の結果に基づき、前記文書データが改竄されているかどうかを判定する第８のステップと、前記第８のステップで前記文書データが改竄されていないと判定された場合に、前記第７のステップで取得した認証情報に基づき、前記文書データが当該文書データで参照する外部プログラムを実行することが許可されているかどうかを判定する第９のステップと、前記第９のステップで前記文書データが前記外部プログラムを実行することが許可されていると判定された場合に、当該外部プログラムが動作するよう制御する第１０のステップと、前記第８のステップで前記文書データが改竄されていると判定された場合、又は、前記第９のステップで前記文書データが前記外部プログラムを実行することが許可されていると判定されなかった場合に、当該外部プログラムが動作しないよう制御する第１１のステップとを含んでいる。
【００１８】
本発明の第１の外部プログラムの動作制御プログラムは、文書データに対する署名データから当該文書データの作成者を特定するための認証情報を取得する第１の処理と、前記第１の処理で取得した認証情報に基づき、前記文書データが当該文書データで参照する外部プログラムを実行することが許可されているかどうかを判定する第２の処理と、前記第２の処理で前記文書データが前記外部プログラムを実行することが許可されていると判定されなかった場合に、当該外部プログラムが動作しないよう制御する第３の処理とをコンピュータに実行させるためのものである。
【００１９】
本発明の第２の外部プログラムの動作制御プログラムは、文書データに対する署名データを検証する第４の処理と、前記第４の処理での検証の結果に基づき、前記文書データが改竄されているかどうかを判定する第５の処理と、前記第５の処理で前記文書データが改竄されていると判定された場合に、前記文書データで参照する外部プログラムが動作しないよう制御する第６の処理とをコンピュータに実行させるためのものである。
【００２０】
本発明の第３の外部プログラムの動作制御プログラムは、文書データに対する署名データを検証するとともに、当該署名データから当該文書データの作成者を特定するための認証情報を取得する第７の処理と、前記第７の処理での検証の結果に基づき、前記文書データが改竄されているかどうかを判定する第８の処理と、前記第８の処理で前記文書データが改竄されていないと判定された場合に、前記第７の処理で取得した認証情報に基づき、前記文書データが当該文書データで参照する外部プログラムを実行することが許可されているかどうかを判定する第９の処理と、前記第９の処理で前記文書データが前記外部プログラムを実行することが許可されていると判定された場合に、当該外部プログラムが動作するよう制御する第１０の処理と、前記第８の処理で前記文書データが改竄されていると判定された場合、又は、前記第９の処理で前記文書データが前記外部プログラムを実行することが許可されていると判定されなかった場合に、当該外部プログラムが動作しないよう制御する第１１の処理とをコンピュータに実行させるためのものである。
【００２１】
本発明の第１の外部プログラムの動作制御装置は、文書データと当該文書データで参照する外部プログラムとをサーバコンピュータから取得するデータ取得手段と、前記データ取得手段により取得した文書データに対する署名データから当該文書データの作成者を特定するための認証情報を取得する署名検証手段と、前記署名検証手段により取得した認証情報に基づき、前記文書データが前記データ取得手段により取得した外部プログラムを実行することが許可されているかどうかを判定し、許可されていると判定されなかった場合に、当該外部プログラムが動作しないよう制御する外部プログラム実行制御手段とを備えている。
【００２２】
本発明の第２の外部プログラムの動作制御装置は、文書データと当該文書データで参照する外部プログラムとをサーバコンピュータから取得するデータ取得手段と、前記データ取得手段により取得した文書データに対する署名データを検証する署名検証手段と、前記署名検証手段による検証の結果に基づき、前記文書データが改竄されているかどうかを判定し、改竄されていると判定された場合に、前記データ取得手段により取得した外部プログラムが動作しないよう制御する外部プログラム実行制御手段とを備えている。
【００２３】
本発明の第３の外部プログラムの動作制御装置は、文書データと当該文書データで参照する外部プログラムとをサーバコンピュータから取得するデータ取得手段と、前記データ取得手段により取得した文書データに対する署名データを検証するとともに、当該署名データから当該文書データの作成者を特定するための認証情報を取得する署名検証手段と、前記署名検証手段による検証の結果に基づき、前記文書データが改竄されているかどうかを判定し、改竄されていないと判定された場合に、前記署名検証手段により取得した認証情報に基づき、前記データ取得手段により取得した外部プログラムを実行することが許可されているかどうかを判定し、許可されていると判定された場合に、当該外部プログラムが動作するよう制御し、一方、前記文書データが改竄されていると判定された場合、又は、前記文書データが前記外部プログラムを実行することが許可されていると判定されなかった場合に、当該外部プログラムが動作しないよう制御する外部プログラム実行制御手段とを備えている。
【００２４】
本発明の第１の外部プログラムの動作制御プログラムの提供装置は、文書データを記憶する第１の記憶手段と、前記文書データで参照する外部プログラムを記憶する第２の記憶手段と、前記文書データに対する署名データから当該文書データの作成者を特定するための認証情報を取得する機能を実現する署名検証プログラムを記憶する第３の記憶手段と、前記署名検証プログラムが実現する機能により取得される認証情報に基づき、前記文書データが前記外部プログラムを実行することが許可されているかどうかを判定し、許可されていると判定されなかった場合に、当該外部プログラムが動作しないよう制御する機能を実現する外部プログラム実行制御プログラムを記憶する第４の記憶手段とを備え、クライアントコンピュータからの前記文書データの取得要求に応じて、前記文書データに加え、前記外部プログラム、前記署名検証プログラム、及び、前記外部プログラム実行制御プログラムを当該クライアントコンピュータに提供することを特徴とする。
【００２５】
本発明の第２の外部プログラムの動作制御プログラムの提供装置は、文書データを記憶する第５の記憶手段と、前記文書データで参照する外部プログラムを記憶する第６の記憶手段と、前記文書データに対する署名データを検証する機能を実現する署名検証プログラムを記憶する第７の記憶手段と、前記署名検証プログラムが実現する機能による検証の結果に基づき、前記文書データが改竄されているかどうかを判定し、改竄されていると判定された場合に、前記外部プログラムが動作しないよう制御する機能を実現する外部プログラム実行制御プログラムを記憶する第８の記憶手段とを備え、クライアントコンピュータからの前記文書データの取得要求に応じて、前記文書データに加え、前記外部プログラム、前記署名検証プログラム、及び、前記外部プログラム実行制御プログラムを当該クライアントコンピュータに提供することを特徴とする。
【００２６】
本発明の第３の外部プログラムの動作制御プログラムの提供装置は、文書データを記憶する第９の記憶手段と、前記文書データで参照する外部プログラムを記憶する第１０の記憶手段と、前記文書データに対する署名データを検証するとともに、当該署名データから当該文書データの作成者を特定するための認証情報を取得する機能を実現する署名検証プログラムを記憶する第１１の記憶手段と、前記署名検証プログラムが実現する機能による検証の結果に基づき、前記文書データが改竄されているかどうかを判定し、改竄されていないと判定された場合に、前記署名検証プログラムが実現する機能により取得される認証情報に基づき、前記文書データが前記外部プログラムを実行することが許可されているかどうかを判定し、許可されていると判定された場合に、当該外部プログラムが動作するよう制御し、一方、前記文書データが改竄されていると判定された場合、又は、前記文書データが前記外部プログラムを実行することが許可されていると判定されなかった場合に、当該外部プログラムが動作しないよう制御する機能を実現する外部プログラム実行制御プログラムを記憶する第１２の記憶手段とを備え、クライアントコンピュータからの前記文書データの取得要求に応じて、前記文書データに加え、前記外部プログラム、前記署名検証プログラム、及び、前記外部プログラム実行制御プログラムを当該クライアントコンピュータに提供することを特徴とする。
【００２７】
【発明の実施の形態】
次に、本発明の第１の実施の形態について図面を参照して詳細に説明する。
【００２８】
図１を参照すると、本発明の第１の実施の形態は、クライアント計算機１と、ＷＷＷサーバ２とから構成されている。
【００２９】
クライアント計算機１は、ＷＷＷブラウザ１１と、ＨＴＭＬ署名検証手段１２と、Ｗｅｂプログラム実行制御手段１３とを含む。Ｗｅｂプログラム実行制御手段１３は、アクセス制御リスト１３１を保持する。
【００３０】
これらの手段はそれぞれ概略次のように動作する。
【００３１】
ＷＷＷブラウザ１１は、ＷＷＷサーバ２からＨＴＭＬ文書２１をダウンロードするとともに、ＨＴＭＬ文書２１中の記述に従い、Ｗｅｂプログラム２２をダウンロードする。すなわち、ＷＷＷサーバ２から所望のデータを取得する手段として機能する。
【００３２】
ＨＴＭＬ署名検証手段１２は、クライアント計算機１のＣＰＵが補助記憶装置に記憶されたＨＴＭＬ署名検証プログラムを主記憶装置に読み込むことにより実現されるものである。まず、ＷＷＷブラウザ１１によりダウンロードされたＨＴＭＬ文書２１に含まれるＨＴＭＬ署名２１１を検証し、ＨＴＭＬ文書２１が改竄されていないことを確認する。さらに、ＨＴＭＬ署名２１１に含まれるＨＴＭＬ文書２１の作成者の公開鍵証明書を検証することにより、ＨＴＭＬ文書２１の作成者を認証する。最後に、ＨＴＭＬ文書２１の検証結果をＷｅｂプログラム実行制御手段１３に通知する。
【００３３】
Ｗｅｂプログラム実行制御手段１３は、クライアント計算機１のＣＰＵが補助記憶装置に記憶されたＷｅｂプログラム実行制御プログラムを主記憶装置に読み込むことにより実現されるものである。ＨＴＭＬ署名検証手段１２から検証成功の結果を受け取った場合、アクセス制御リスト１３１を参照し、Ｗｅｂプログラム２２がＨＴＭＬ文書２１上で動作を許可されているかを確認する。許可されていれば、Ｗｅｂプログラム２２に対して動作を許可する通知を行い、そうでなければ、Ｗｅｂプログラム２２に対して動作を停止させる通知を行う。
【００３４】
ＷＷＷサーバ２は、ＨＴＭＬ文書２１と、Ｗｅｂプログラム２２とを含み、クライアント計算機の要求により、それらを送出する。ＨＴＭＬ文書２１は、ＨＴＭＬ署名２１１を保持する。なお、図１は、ＨＴＭＬ署名２１１がＨＴＭＬ文書２１上に記述されるようなされるような図になっているが、ＨＴＭＬ文書２１上にはＨＴＭＬ署名２１１のＵＲＬを記述しておき、ＨＴＭＬ署名２１１は、そのＵＲＬで示される記憶領域に記憶するようにしてもよい。
【００３５】
次に、図２のフローチャートを参照して本実施の形態の全体の動作について詳細に説明する。
【００３６】
クライアント計算機１の利用者の操作に応じて、ＷＷＷブラウザ１１は、ＨＴＭＬ文書をダウンロードする（ステップＡ１）。この際、ＷＷＷブラウザ１１は、ＨＴＭＬ文書２１の記述に従い、Ｗｅｂプログラム２２、ＨＴＭＬ署名２１１もダウンロードする。ここで、ＨＴＭＬ署名２１１としては、例えば、特願２００２−１４６４１０号に記載した方法により作成したものを用いる。すなわち、ＨＴＭＬ署名２１１には、ＨＴＭＬ文書２１のＵＲＬ情報と、ＨＴＭＬ文書２１のダイジェスト値と、Ｗｅｂプログラム２２のＵＲＬ情報と、Ｗｅｂプログラム２２のダイジェスト値と、ＨＴＭＬ文書２１の作成者の公開鍵証明書と、それら全てを含むデータのダイジェスト値をＨＴＭＬ文書２１の作成者の秘密鍵で暗号化して得られた電子署名値とが記述される。
【００３７】
次に、ＨＴＭＬ署名検証手段１２は、ＨＴＭＬ文書２１が改竄されていないかを確認するために、ＨＴＭＬ署名２１１を検証する（ステップＡ２）。この検証は、ＨＴＭＬ署名２１１として上記のものを用いた場合、以下のように行われる。すなわち、まず、ダウンロードしたＨＴＭＬ文書２１のダイジェスト値を計算し、それがＨＴＭＬ署名２１１中に記述されているＨＴＭＬ文書２１のダイジェスト値と同一であることを確認する。次に、ダウンロードしたＷｅｂプログラム２２のダイジェスト値を計算し、それがＨＴＭＬ署名２１１中に記述されているＷｅｂプログラム２２のダイジェスト値と同一であることを確認する。最後に、ＨＴＭＬ署名２１１中に含まれる、ＨＴＭＬ文書２１のＵＲＬ情報、ＨＴＭＬ文書２１のダイジェスト値、Ｗｅｂプログラム２２のＵＲＬ情報、Ｗｅｂプログラム２２のダイジェスト値、公開鍵証明書の全てを含むデータのダイジェスト値を計算し、ＨＴＭＬ署名２１１中に含まれる電子署名値を公開鍵証明書に対する公開鍵で復号化して得られた値と等しいかどうかを確認する。
【００３８】
また、ＨＴＭＬ署名検証手段１２は、ＨＴＭＬ文書２１の作成者を認証するため、公開鍵証明書に対する認証情報を取得する。この認証情報の取得は、ＨＴＭＬ署名２１１として上記のものを用いた場合、ＨＴＭＬ署名２１１中に含まれる公開鍵証明書に基づき、ＨＴＭＬ文書２１の作成者を特定するための何らかの情報（メールアドレスその他の情報）を取得することにより行う。
【００３９】
最後に、ＨＴＭＬ署名検証手段１２は、検証結果をＷｅｂプログラム実行制御手段１３へ通知する。すなわち、ＨＴＭＬ文書２１のダイジェスト値が一致し、かつ、Ｗｅｂプログラム２２のダイジェスト値が一致し、かつ、ＨＴＭＬ文書２１のＵＲＬ情報、ＨＴＭＬ文書２１のダイジェスト値、Ｗｅｂプログラム２２のＵＲＬ情報、Ｗｅｂプログラム２２のダイジェスト値、公開鍵証明書の全てを含むデータのダイジェスト値が一致した場合、検証成功を通知し、いずれか一つでも一致しなかった場合、検証失敗を通知する。また、認証情報も通知する。
【００４０】
Ｗｅｂプログラム実行制御手段１３は、ＨＴＭＬ署名２１１の検証が成功したか、検証結果を判断する（ステップＡ３）。ＨＴＭＬ署名の検証が成功した場合、Ｗｅｂプログラム実行制御手段１３は、検証結果からＨＴＭＬ文書２１の認証情報を取得し、アクセス制御リスト１３１の一覧にその認証情報が含まれるかを確認する（ステップＡ４、Ａ５）。
【００４１】
アクセス制御リスト１３１の一覧に認証情報が含まれている場合、Ｗｅｂプログラム実行制御手段１３は、アクセス制御リスト１３１内に、Ｗｅｂプログラム２２がＨＴＭＬ文書２１上で動作することが許可されていることを示す情報があるかどうかを確認する（ステップＡ６、Ａ７）。動作許可の確認は、ＨＴＭＬ文書２１の認証情報と、Ｗｅｂプログラム２２のＵＲＬと、動作許可を示す情報との組み合わせが、アクセス制御リスト１３１に格納されていることを確認することにより行う。
【００４２】
Ｗｅｂプログラム２２がＨＴＭＬ文書２１上で動作することが許可されていることを確認すると、Ｗｅｂプログラム実行制御手段１３は、Ｗｅｂプログラム２２に対して動作許可を通知する。通知された動作許可の情報は、Ｗｅｂプログラム２２に設定され、これにより、Ｗｅｂプログラム２２は機能するようになる。
【００４３】
一方、ステップＡ３でＨＴＭＬ署名２１１の検証に失敗した場合、ステップＡ５でアクセス制御リスト１３１からのＨＴＭＬ文書２１の認証情報の取得に失敗した場合や、ステップＡ７でＷｅｂプログラム２２のＨＴＭＬ文書２１上での動作許可を確認できなかった場合は、Ｗｅｂプログラム実行制御手段１３は、Ｗｅｂプログラム２２に対して動作不許可を通知する（ステップＡ９）。通知された動作不許可の情報は、Ｗｅｂプログラム２２に設定され、これにより、Ｗｅｂプログラム２２は機能しないようになる。なお、Ｗｅｂプログラム２２を動作許可が通知されない限り機能しないように設定しておき、Ｗｅｂプログラム２２の動作が許可されていることが確認された場合に動作許可を通知し、Ｗｅｂプログラム２２の動作が許可されていないことが確認された場合には何も通知しないようにしてもよい。
【００４４】
次に、本実施の形態について、具体例を用いて説明する。
【００４５】
図３に示すように、ＷＷＷサーバ３にあるＨＴＭＬ文書３１が、ＷＷＷサーバ２上のＷｅｂプログラム２２を参照し、Ｗｅｂプログラム２２の不正使用を試みる場合を考える。
【００４６】
ＨＴＭＬ文書３１は、Ｗｅｂブラウザ１１により、Ｗｅｂプログラム２２と、ＨＴＭＬ署名３１１とともにクライアント計算機１にダウンロードされる。ＨＴＭＬ署名検証手段１２は、ＨＴＭＬ署名３１１の署名検証を試みる。ＨＴＭＬ文書３１が、ＨＴＭＬ署名３１１を持っていない場合、あるいは、ＨＴＭＬ署名３１１を持っていながら、ＨＴＭＬ署名の検証に失敗した場合、ＨＴＭＬ署名検証手段１２は、Ｗｅｂプログラム実行制御手段１３に検証結果として署名検証失敗を通知する。Ｗｅｂプログラム実行制御手段１３は、この署名検証失敗の通知を受け、Ｗｅｂプログラム２２に動作不許可を通知する。一方、ＨＴＭＬ署名検証手段１２により、ＨＴＭＬ署名３１１の検証に成功した場合、ＨＴＭＬ署名検証手段１２は、検証結果として、署名検証に成功した旨と、ＨＴＭＬ文書３１の認証情報とを、Ｗｅｂプログラム実行制御手段１３に通知する。
【００４７】
Ｗｅｂプログラム実行制御手段１３は、上記の検証結果を受け取り、自らが保持するアクセス制御リスト１３１に対して、ＨＴＭＬ文書３１の認証情報の記述があるか検索を行う。ＨＴＭＬ文書３１の認証情報が、アクセス制御リスト１３１に含まれない場合、Ｗｅｂプログラム実行制御手段１３は、Ｗｅｂプログラム２２のＨＴＭＬ文書３１上での実行が許可されていないと判断し、Ｗｅｂプログラム２２に対して動作不許可の通知を行う。
【００４８】
以上のように、本発明の第１の実施の形態では、ＨＴＭＬ署名検証手段を用いてＨＴＭＬページの作成者の認証を行い、その認証情報を用いて、Ｗｅｂプログラム実行制御手段によりＷｅｂプログラムの動作を制御するようにしたことにより、Ｗｅｂプログラムの作成者が意図していないＨＴＭＬページ上でのＷｅｂプログラムの不正利用を防止することができ、結果として、Ｗｅｂプログラムを経由したクライアント計算機上の秘密情報の流出を防止できる、という効果が得られる。
【００４９】
また、本発明の第１の実施の形態では、ＨＴＭＬ署名検証手段を用いてＨＴＭＬページの改竄検出を行い、その結果を用いて、Ｗｅｂプログラム実行制御手段によりＷｅｂプログラムの動作を制御するようにしたことにより、改竄されたＨＴＭＬページ上でのＷｅｂプログラムの不正利用を防止することができ、結果として、Ｗｅｂプログラムを経由したクライアント計算機上の秘密情報の流出を防止できる、という効果も得られる。
【００５０】
次に、本発明の第２の実施の形態について図面を参照して詳細に説明する。
【００５１】
図４を参照すると、本発明の第２の実施の形態は、クライアント計算機１と、ＷＷＷサーバ２とから構成されている。
【００５２】
クライアント計算機１は、ＷＷＷブラウザ１１を含む。
【００５３】
ＷＷＷサーバ２は、ＨＴＭＬ文書２１と、Ｗｅｂプログラム２２と、ＨＴＭＬ検証手段２３と、Ｗｅｂプログラム実行制御手段２４とを含む。Ｗｅｂプログラム実行制御手段１３は、アクセス制御リスト２４１を保持しており、クライアント計算機１の要求により、それらを送出する。ＨＴＭＬ文書２１は、ＨＴＭＬ署名２１１を保持する。なお、図４は、ＨＴＭＬ署名２１１がＨＴＭＬ文書２１上に記述されるようなされるような図になっているが、ＨＴＭＬ文書２１上にはＨＴＭＬ署名２１１のＵＲＬを記述しておき、ＨＴＭＬ署名２１１は、そのＵＲＬで示される記憶領域に記憶するようにしてもよい。
【００５４】
これらの手段はそれぞれ概略次のように動作する。
【００５５】
ＷＷＷブラウザ１１は、ＷＷＷサーバ２からＨＴＭＬ文書２１をダウンロードするとともに、ＨＴＭＬ文書２１中の記述に従い、Ｗｅｂプログラム２２と、ＨＴＭＬ署名検証手段２３と、Ｗｅｂプログラム実行制御手段２４とをダウンロードする。すなわち、ＷＷＷサーバ２から所望のデータを取得する手段として機能する。
【００５６】
ＨＴＭＬ署名検証手段２３は、上記第１の実施の形態におけるＨＴＭＬ署名検証プログラムに相当し、ＷＷＷサーバ２の補助記憶装置に記憶されているものである。まず、ＷＷＷブラウザ１１によりダウンロードされたＨＴＭＬ文書２１に含まれるＨＴＭＬ署名２１１を検証し、ＨＴＭＬ文書２１が改竄されていないことを確認する。さらに、ＨＴＭＬ署名２１１に含まれるＨＴＭＬ文書２１の作成者の公開鍵証明書を検証することにより、ＨＴＭＬ文書２１の作成者を認証する。最後に、ＨＴＭＬ文書２１の検証結果をＷｅｂプログラム実行制御手段２４に通知する。
【００５７】
Ｗｅｂプログラム実行制御手段２４は、上記第１の実施の形態におけるＷｅｂプログラム実行制御プログラムに相当し、ＷＷＷサーバ２の補助記憶装置に記憶されているものである。ＨＴＭＬ署名検証手段２３から検証成功の結果を受け取った場合、アクセス制御リスト２４１を参照し、Ｗｅｂプログラム２２が、ＨＴＭＬ文書２１上で動作を許可されているかを確認する。許可されていれば、Ｗｅｂプログラム２２に対して動作を許可する通知を行い、そうでなければ、Ｗｅｂプログラム２２に対して動作を停止させる通知を行う。
【００５８】
以上のように、本発明の第２の実施の形態では、ＨＴＭＬ署名検証手段２３と、Ｗｅｂプログラム実行制御手段２４を、Ｗｅｂプログラム２２とともに、ＷＷＷサーバ２側に保持し、実行時にＷＷＷブラウザ１１上にダウンロードすることとし、上記第１の実施の形態と同様の効果が得られる。
【００５９】
なお、上記第１及び第２の実施の形態においては、ＨＴＭＬ文書２１で参照されるＷｅｂプログラム２２の動作の制御に限定して説明してきたが、ＨＴＭＬ文書に限らず、ある文書データで参照される外部プログラムがある場合に、その外部プログラムの動作の制御について、本発明は適用可能である。
【００６０】
【発明の効果】
本発明には、Ｗｅｂプログラムを経由したクライアント計算機上の秘密情報の流出を防止することができるという効果がある。
【００６１】
また、本発明には、Ｗｅｂプログラムの作成者が意図していないＨＴＭＬページ上でのＷｅｂプログラムの不正利用を防止することができるという効果もある。
【００６２】
さらに、本発明には、改竄されたＨＴＭＬページ上でのＷｅｂプログラムの不正利用を防止することができるという効果もある。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態の構成を示すブロック図である。
【図２】本発明の第１の実施の形態の動作を示す流れ図である。
【図３】本発明の第１の実施の形態の具体例を示すブロック図である。
【図４】本発明の第２の実施の形態の構成を示すブロック図である。
【図５】従来技術の構成を示すブロック図である。
【図６】従来技術の第１の問題点を示すブロック図である。
【図７】従来技術の第２の問題点を示すブロック図である。
【符号の説明】
１　　　クライアント計算機
１１　　ＷＷＷブラウザ
１２　　ＨＴＭＬ署名検出手段
１３　　Ｗｅｂプログラム実行制御手段
１３１　アクセス制御リスト
２　　　ＷＷＷサーバ
２１　　ＨＴＭＬ文書
２１１　ＨＴＭＬ署名
２２　　Ｗｅｂプログラム
２３　　ＨＴＭＬ署名検出手段
２４　　Ｗｅｂプログラム実行制御手段
２４１　アクセス制御リスト
３　　　ＷＷＷサーバ
３１　　ＨＴＭＬ文書
３１１　ＨＴＭＬ署名
２２　　Ｗｅｂプログラム[0001]
TECHNICAL FIELD OF THE INVENTION
According to the present invention, a program (hereinafter, referred to as a “Web program”) that is downloaded from a WWW server at the same time as an HTML document and runs on a WWW browser, such as a Java (registered trademark) applet, is a client that runs a WWW browser. Information stored in a storage device or a peripheral device connected to a computer, and a method of preventing unauthorized access to a function of a client computer or a peripheral device thereof (hereinafter, referred to as “client resource”); The present invention relates to a program, an apparatus, and an apparatus for providing the program.
[0002]
[Prior art]
Conventionally, the use of client resources in a Web program has been restricted. On the other hand, in recent years, a method for realizing access to client resources by the Web program has been developed (for example, see Patent Document 1).
[0003]
As shown in FIG. 5, a method and an apparatus for controlling a peripheral device using a Java (registered trademark) applet and a storage medium include a PC terminal 10, an R / W device 20 connected to the PC terminal 10, and an R / W device 20 as shown in FIG. It comprises an IC card 30 connected to the / W device 20 and a WWW server 40 connected to the PC terminal 10 via an IP network. The PC terminal 10 holds a WWW browser 11, a memory control unit 12, an OS 13, and an I / O port 14. The WWW browser 11 controls the Java (registered trademark) interpreter 110, and the memory control unit 12 , A data storage area 120, and a Java (registered trademark) interpreter library storage area 121. The library storage area 121 for Java (registered trademark) has an R / W device driver 122.
[0004]
A conventional method and apparatus for controlling peripheral devices using a Java (registered trademark) applet having such a configuration, and a storage medium generally operate as follows.
[0005]
That is, when the Java (registered trademark) interpreter 110 translates the Java (registered trademark) applet 410, it calls the R / W device driver 122 from the library storage area 121 according to the library call code, and according to the R / W device driver 122. By controlling the R / W device 20 via the I / O port 14, the data operation of the IC card 30 is performed.
[0006]
[Patent Document 1]
JP-A-2000-112864
[0007]
[Problems to be solved by the invention]
However, when accessing a client resource by a Web program using the above-described conventional technology, there are the following problems.
[0008]
The first problem is that a third party refers to and embeds this Web program in an HTML document created by the third party, so that the Web program can operate on an HTML document that is not intended by the creator of the Web program. And, as a result, unauthorized access to client resources is possible. Generally, a Web program is stored in a storage area of a WWW server and can be referred to from any HTML document. Therefore, a third party refers to this Web program in an HTML document created by the third party, and operates the Web program using another Web program created by the third party, thereby illegally accessing the client resource. And there is a risk that illegal acquisition of secret information on the client computer is permitted. In the above-described conventional technology, the WWW browser and the execution environment of the Web program have no means for authenticating the embedded HTML document with reference to the Web program, and allow the operation of the Web program on an arbitrary HTML document. It is.
[0009]
This first problem will be described in detail with reference to FIG. In FIG. 6, it is assumed that the Web program 22a on the WWW server 2a is intended to legitimately access the client resource 14a by being referred to in the regular HTML document 21a. However, it is also possible to refer to the Web program 22a in the malicious HTML document 31a on the third-party WWW server 3a, and when the malicious HTML document 31a is downloaded to the client PC 1a, the WWW browser 11a starts the Web program 22a. The operation on the unauthorized HTML document 31a is permitted, and as a result, the unauthorized access to the client resource 14a is permitted. For example, if the Web program 22a provides a function of giving an electronic signature to an input document by using the client resource 14a and outputting a digitally signed document, a third party may use an unauthorized HTML document. By referring to and embedding the Web program 22a at 31a, it is possible to forge an electronic signature of another person.
[0010]
The second problem is that, by falsifying an HTML document stored together with a Web program in a WWW server and embedding another Web program that illegally operates the Web program, unauthorized access to client resources becomes possible. ,That's what it means. In general, a Web program can be operated from another external program in many cases. Therefore, the HTML document is falsified, and another Web program that operates a Web program that accesses a client resource is embedded. As a result, it becomes possible to illegally obtain secret information on the client computer. In the above-mentioned conventional technology, a WWW browser and a means for detecting falsification of an HTML document referencing the Web program and a means for stopping the operation of the Web program as a result of the detection of the falsification are provided in the execution environment of the Web program. Because there is no.
[0011]
This second problem will be described in detail with reference to FIG. In FIG. 7, in the WWW server 2b, a regular HTML document intended to legitimately access the client resource 14b is falsified by a third party, and the falsified HTML document 21b refers to the Web program 22b. When such a falsified HTML document 21b is downloaded to the client PC 1b, the WWW browser 11b allows the Web program 22b to operate on the falsified HTML document 21b, and as a result, an unauthorized access to the client resource 14a is made. Allow access.
[0012]
The present invention has been made in view of the above-described problems of the related art, and has as its object to provide a method, a program, and a program that can prevent leakage of secret information on a client computer via a Web program. It is an object to provide a device and a device for providing the program.
[0013]
Another object of the present invention is to provide a method, a program, an apparatus, and an apparatus for providing the program, which can prevent unauthorized use of the Web program on an HTML page not intended by the creator of the Web program. It is in.
[0014]
Still another object of the present invention is to provide a method, a program, an apparatus, and an apparatus for providing the program, which can prevent unauthorized use of a Web program on a falsified HTML page.
[0015]
[Means for Solving the Problems]
According to a first operation control method of an external program of the present invention, a first step of obtaining authentication information for specifying a creator of document data from signature data of the document data, and a step of obtaining authentication information in the first step A second step of determining whether or not the document data is permitted to execute an external program referred to by the document data based on the authentication information; and A third step of controlling the external program not to operate when it is not determined that the external program is permitted to be executed.
[0016]
According to a second operation control method of an external program of the present invention, a fourth step of verifying signature data for document data, and whether or not the document data has been falsified based on a result of the verification in the fourth step A fifth step of determining whether the document data has been falsified in the fifth step, and a sixth step of controlling so that an external program referred to by the document data does not operate when it is determined that the document data has been tampered with. Contains.
[0017]
A third method of controlling operation of an external program according to the present invention includes a seventh step of verifying signature data for document data and acquiring authentication information for identifying a creator of the document data from the signature data; An eighth step of determining whether the document data has been tampered based on the result of the verification in the seventh step, and a case in which the document data is determined not to have been tampered in the eighth step A ninth step of determining whether the document data is permitted to execute an external program referred to by the document data based on the authentication information obtained in the seventh step; If it is determined in step that the document data is permitted to execute the external program, the external program operates. If it is determined in the tenth step of controlling and the eighth step that the document data has been tampered with, or in the ninth step, the document data is permitted to execute the external program. And determining that the external program does not operate when it is not determined that the external program has been executed.
[0018]
The operation control program of the first external program of the present invention obtains authentication information for identifying a creator of the document data from signature data for the document data, and obtains the authentication information in the first processing. A second process for determining whether or not the document data is permitted to execute an external program referenced by the document data based on the authentication information; and If the execution of the external program is not determined to be permitted, the third process of controlling the external program to be inactive is performed by the computer.
[0019]
An operation control program of a second external program according to the present invention includes a fourth process for verifying the signature data for the document data, and whether or not the document data has been falsified based on a result of the verification in the fourth process. And a sixth process for controlling, when the fifth process determines that the document data has been tampered with, an external program referenced by the document data so as not to operate. It is intended to be executed by a computer.
[0020]
An operation control program of a third external program of the present invention verifies signature data for the document data, and obtains authentication information for identifying a creator of the document data from the signature data; Eighth processing for determining whether the document data has been falsified based on the result of the verification in the seventh processing, and when it is determined in the eighth processing that the document data has not been falsified A ninth process for determining whether or not the document data is permitted to execute an external program referred to by the document data based on the authentication information acquired in the seventh process; A tenth process for controlling the operation of the external program when it is determined in the process that the document data is permitted to execute the external program; If it is determined in the eighth process that the document data has been tampered with, or it is not determined in the ninth process that the document data is permitted to execute the external program In this case, the computer is configured to execute an eleventh process for controlling the external program not to operate.
[0021]
A first external program operation control device according to the present invention includes: a data acquisition unit that acquires document data and an external program referenced by the document data from a server computer; and a signature data for the document data acquired by the data acquisition unit. A signature verification unit for obtaining authentication information for identifying a creator of the document data; and executing the external program in which the document data is obtained by the data obtaining unit based on the authentication information obtained by the signature verification unit. External program execution control means for judging whether or not the external program is permitted, and controlling the external program not to operate when it is not determined that the external program is permitted.
[0022]
An operation control device for a second external program according to the present invention includes a data acquisition unit that acquires document data and an external program referenced by the document data from a server computer, and a signature data for the document data acquired by the data acquisition unit. A signature verification unit for verifying the document data, determining whether the document data has been tampered with based on a result of the verification by the signature verification unit; External program execution control means for controlling the operation of the program.
[0023]
An operation control device for a third external program according to the present invention includes a data acquisition unit that acquires document data and an external program referred to by the document data from a server computer, and a signature data for the document data acquired by the data acquisition unit. A signature verification unit that verifies and obtains authentication information for identifying a creator of the document data from the signature data; and, based on a result of the verification by the signature verification unit, determines whether the document data has been tampered with. If it is determined that the external program has not been tampered with, it is determined whether the execution of the external program acquired by the data acquisition unit is permitted based on the authentication information acquired by the signature verification unit. If it is determined that the external program is operated, the external program is controlled to operate. If the document data is determined to be falsified, or if it is not determined that the document data is permitted to execute the external program, an external device that controls the external program to operate does not operate. Program execution control means.
[0024]
An apparatus for providing an operation control program for a first external program according to the present invention includes: a first storage unit for storing document data; a second storage unit for storing an external program to be referred to by the document data; Storage means for storing a signature verification program for realizing a function of acquiring authentication information for identifying the creator of the document data from signature data for the third party, and authentication obtained by a function realized by the signature verification program Based on the information, it is determined whether or not the document data is permitted to execute the external program, and if it is not determined that the document data is permitted to be executed, a function of controlling the external program to operate is realized. A fourth storage unit for storing an external program execution control program, wherein In response to an acquisition request for writing data, in addition to the document data, the external program, the signature verification program, and, and providing the external program execution control program to the client computer.
[0025]
An apparatus for providing an operation control program for a second external program according to the present invention includes a fifth storage unit for storing document data, a sixth storage unit for storing an external program referenced by the document data, And a seventh storage unit for storing a signature verification program for realizing a function of verifying the signature data with respect to the document data. And an eighth storage means for storing an external program execution control program for realizing a function of controlling the external program so as not to operate when it is determined that the document data has been tampered with. In response to the acquisition request, in addition to the document data, the external program, the signature verification program, , And providing said external program execution control program to the client computer.
[0026]
According to a third aspect of the present invention, there is provided an apparatus for providing an operation control program of an external program, comprising: ninth storage means for storing document data; tenth storage means for storing an external program referred to by the document data; An eleventh storage unit for storing a signature verification program for realizing a function of verifying the signature data of the document data and obtaining authentication information for identifying the creator of the document data from the signature data, Based on the result of the verification by the function to be realized, it is determined whether or not the document data has been tampered with. If it is determined that the document data has not been tampered with, based on the authentication information obtained by the function to be realized by the signature verification program, Determining whether the document data is permitted to execute the external program; When it is determined that the external program is operated, on the other hand, when it is determined that the document data is falsified, or when the document data is allowed to execute the external program, Twelfth storage means for storing an external program execution control program for realizing a function of controlling the operation of the external program when it is not determined that the external program is not operated. Accordingly, in addition to the document data, the external program, the signature verification program, and the external program execution control program are provided to the client computer.
[0027]
BEST MODE FOR CARRYING OUT THE INVENTION
Next, a first embodiment of the present invention will be described in detail with reference to the drawings.
[0028]
Referring to FIG. 1, the first embodiment of the present invention includes a client computer 1 and a WWW server 2.
[0029]
The client computer 1 includes a WWW browser 11, an HTML signature verification unit 12, and a Web program execution control unit 13. The Web program execution control unit 13 holds an access control list 131.
[0030]
Each of these means operates roughly as follows.
[0031]
The WWW browser 11 downloads the HTML document 21 from the WWW server 2 and also downloads the Web program 22 according to the description in the HTML document 21. That is, it functions as a unit for acquiring desired data from the WWW server 2.
[0032]
The HTML signature verification means 12 is realized by the CPU of the client computer 1 reading the HTML signature verification program stored in the auxiliary storage device into the main storage device. First, the HTML signature 211 included in the HTML document 21 downloaded by the WWW browser 11 is verified to confirm that the HTML document 21 has not been falsified. Further, the creator of the HTML document 21 is authenticated by verifying the public key certificate of the creator of the HTML document 21 included in the HTML signature 211. Finally, the verification result of the HTML document 21 is notified to the Web program execution control means 13.
[0033]
The Web program execution control means 13 is realized by the CPU of the client computer 1 reading the Web program execution control program stored in the auxiliary storage device into the main storage device. When the result of the successful verification is received from the HTML signature verifying means 12, the access control list 131 is referred to, and it is confirmed whether the operation of the Web program 22 on the HTML document 21 is permitted. If the operation is permitted, a notification that the operation is permitted is sent to the Web program 22. If not, a notification that the operation is stopped is sent to the Web program 22.
[0034]
The WWW server 2 includes an HTML document 21 and a Web program 22, and sends them out at the request of the client computer. The HTML document 21 holds an HTML signature 211. Although FIG. 1 is a diagram in which the HTML signature 211 is described on the HTML document 21, the URL of the HTML signature 211 is described on the HTML document 21, and the HTML signature 211 is , May be stored in the storage area indicated by the URL.
[0035]
Next, the overall operation of the present embodiment will be described in detail with reference to the flowchart of FIG.
[0036]
In response to a user operation of the client computer 1, the WWW browser 11 downloads an HTML document (step A1). At this time, the WWW browser 11 also downloads the Web program 22 and the HTML signature 211 according to the description of the HTML document 21. Here, as the HTML signature 211, for example, a signature created by a method described in Japanese Patent Application No. 2002-146410 is used. That is, the HTML signature 211 includes the URL information of the HTML document 21, the digest value of the HTML document 21, the URL information of the Web program 22, the digest value of the Web program 22, and the public key certificate of the creator of the HTML document 21. And a digital signature value obtained by encrypting a digest value of data including all of them with a secret key of the creator of the HTML document 21.
[0037]
Next, the HTML signature verification unit 12 verifies the HTML signature 211 to check whether the HTML document 21 has been tampered with (step A2). This verification is performed as follows when the above-mentioned one is used as the HTML signature 211. That is, first, the digest value of the downloaded HTML document 21 is calculated, and it is confirmed that the digest value is the same as the digest value of the HTML document 21 described in the HTML signature 211. Next, the digest value of the downloaded Web program 22 is calculated, and it is confirmed that the digest value is the same as the digest value of the Web program 22 described in the HTML signature 211. Lastly, a digest of data including all of the URL information of the HTML document 21, the digest value of the HTML document 21, the URL information of the Web program 22, the digest value of the Web program 22, and the public key certificate included in the HTML signature 211. The value is calculated, and it is confirmed whether or not the digital signature value included in the HTML signature 211 is equal to the value obtained by decrypting the digital signature value with the public key for the public key certificate.
[0038]
Further, the HTML signature verification unit 12 acquires authentication information for the public key certificate in order to authenticate the creator of the HTML document 21. When the above information is used as the HTML signature 211, the authentication information is acquired based on a public key certificate included in the HTML signature 211 based on some information (such as a mail address or other information) for specifying the creator of the HTML document 21. Information).
[0039]
Finally, the HTML signature verification unit 12 notifies the Web program execution control unit 13 of the verification result. That is, the digest values of the HTML document 21 match, the digest values of the Web program 22 match, and the URL information of the HTML document 21, the digest value of the HTML document 21, the URL information of the Web program 22, the Web program 22 When the digest value of the data including the digest value of the public key certificate matches the digest value of the public key certificate, a verification success is notified, and when any one of them does not match, a verification failure is notified. Also, authentication information is notified.
[0040]
The Web program execution control unit 13 determines whether the verification of the HTML signature 211 is successful or not (Step A3). If the verification of the HTML signature is successful, the Web program execution control unit 13 acquires the authentication information of the HTML document 21 from the verification result, and checks whether the authentication information is included in the list of the access control list 131 (step A4). , A5).
[0041]
If the authentication information is included in the list of the access control list 131, the Web program execution control unit 13 determines that the access control list 131 permits the Web program 22 to operate on the HTML document 21. It is checked whether there is information to indicate (steps A6, A7). The operation permission is confirmed by confirming that the combination of the authentication information of the HTML document 21, the URL of the Web program 22, and the information indicating the operation permission is stored in the access control list 131.
[0042]
When confirming that the Web program 22 is permitted to operate on the HTML document 21, the Web program execution control unit 13 notifies the Web program 22 of the operation permission. The notified operation permission information is set in the Web program 22, so that the Web program 22 functions.
[0043]
On the other hand, if the verification of the HTML signature 211 fails in step A3, if the authentication information of the HTML document 21 from the access control list 131 fails in step A5, or if the HTML document 21 of the Web program 22 is If the operation permission is not confirmed, the Web program execution control unit 13 notifies the Web program 22 of the operation non-permission (step A9). The notified information indicating that the operation is not permitted is set in the Web program 22, whereby the Web program 22 does not function. The Web program 22 is set so as not to function unless the operation permission is notified, and when it is confirmed that the operation of the Web program 22 is permitted, the operation permission is notified, and the operation of the Web program 22 is performed. If it is confirmed that the permission is not granted, nothing may be notified.
[0044]
Next, the present embodiment will be described using a specific example.
[0045]
As shown in FIG. 3, a case is considered where an HTML document 31 in the WWW server 3 refers to the Web program 22 on the WWW server 2 and tries to use the Web program 22 illegally.
[0046]
The HTML document 31 is downloaded to the client computer 1 by the Web browser 11 together with the Web program 22 and the HTML signature 311. The HTML signature verification unit 12 attempts to verify the signature of the HTML signature 311. If the HTML document 31 does not have the HTML signature 311, or if the HTML signature 311, and the verification of the HTML signature fails, the HTML signature verification unit 12 sends the verification result to the Web program execution control unit 13 as a verification result. Notify signature verification failure. Upon receiving the notification of the signature verification failure, the Web program execution control unit 13 notifies the Web program 22 of the non-permission of the operation. On the other hand, when the HTML signature verification unit 12 successfully verifies the HTML signature 311, the HTML signature verification unit 12 executes the Web program execution as a result of the verification, indicating that the signature verification was successful and the authentication information of the HTML document 31. Notify the control means 13.
[0047]
The Web program execution control means 13 receives the above verification result, and searches the access control list 131 held by itself for whether the authentication information of the HTML document 31 is described. If the authentication information of the HTML document 31 is not included in the access control list 131, the Web program execution control means 13 determines that the execution of the Web program 22 on the HTML document 31 is not permitted, and Then, a notification of operation non-permission is given.
[0048]
As described above, in the first embodiment of the present invention, the creator of the HTML page is authenticated by using the HTML signature verification unit, and the Web program execution control unit is used to execute the operation of the Web program by using the authentication information. , It is possible to prevent unauthorized use of the Web program on an HTML page that is not intended by the creator of the Web program, and as a result, the secret information on the client computer via the Web program can be prevented. The effect that the outflow of water can be prevented is obtained.
[0049]
Further, in the first embodiment of the present invention, the falsification of the HTML page is detected by using the HTML signature verification means, and the operation of the Web program is controlled by the Web program execution control means using the result. As a result, it is possible to prevent unauthorized use of the Web program on the falsified HTML page, and as a result, it is possible to prevent leakage of secret information on the client computer via the Web program.
[0050]
Next, a second embodiment of the present invention will be described in detail with reference to the drawings.
[0051]
Referring to FIG. 4, the second embodiment of the present invention includes a client computer 1 and a WWW server 2.
[0052]
The client computer 1 includes a WWW browser 11.
[0053]
The WWW server 2 includes an HTML document 21, a Web program 22, an HTML verification unit 23, and a Web program execution control unit 24. The Web program execution control unit 13 holds the access control list 241 and sends out the access control list 241 in response to a request from the client computer 1. The HTML document 21 holds an HTML signature 211. FIG. 4 is a diagram in which the HTML signature 211 is described on the HTML document 21. However, the URL of the HTML signature 211 is described on the HTML document 21, and the HTML signature 211 is , May be stored in the storage area indicated by the URL.
[0054]
Each of these means operates as follows.
[0055]
The WWW browser 11 downloads the HTML document 21 from the WWW server 2 and downloads a Web program 22, an HTML signature verification unit 23, and a Web program execution control unit 24 in accordance with the description in the HTML document 21. That is, it functions as a unit for acquiring desired data from the WWW server 2.
[0056]
The HTML signature verification means 23 corresponds to the HTML signature verification program in the first embodiment, and is stored in the auxiliary storage device of the WWW server 2. First, the HTML signature 211 included in the HTML document 21 downloaded by the WWW browser 11 is verified to confirm that the HTML document 21 has not been falsified. Further, the creator of the HTML document 21 is authenticated by verifying the public key certificate of the creator of the HTML document 21 included in the HTML signature 211. Finally, the verification result of the HTML document 21 is notified to the Web program execution control unit 24.
[0057]
The Web program execution control means 24 corresponds to the Web program execution control program in the first embodiment, and is stored in the auxiliary storage device of the WWW server 2. When the result of the successful verification is received from the HTML signature verifying unit 23, the access control list 241 is referred to and it is confirmed whether the operation of the Web program 22 on the HTML document 21 is permitted. If the operation is permitted, a notification that the operation is permitted is sent to the Web program 22. If not, a notification that the operation is stopped is sent to the Web program 22.
[0058]
As described above, in the second embodiment of the present invention, the HTML signature verifying unit 23 and the Web program execution control unit 24 are held together with the Web program 22 on the WWW server 2 side. And the same effect as in the first embodiment can be obtained.
[0059]
In the first and second embodiments, the description has been given of the case where the control of the operation of the Web program 22 referred to in the HTML document 21 is limited. However, the present invention is not limited to the HTML document but may be referred to by certain document data. The present invention is applicable to the control of the operation of an external program when there is an external program.
[0060]
【The invention's effect】
The present invention has an effect that leakage of secret information on a client computer via a Web program can be prevented.
[0061]
Further, the present invention has an effect that illegal use of a Web program on an HTML page not intended by the creator of the Web program can be prevented.
[0062]
Further, the present invention has an effect that illegal use of a Web program on a falsified HTML page can be prevented.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a first exemplary embodiment of the present invention.
FIG. 2 is a flowchart showing an operation of the first exemplary embodiment of the present invention.
FIG. 3 is a block diagram illustrating a specific example of the first exemplary embodiment of the present invention.
FIG. 4 is a block diagram showing a configuration of a second exemplary embodiment of the present invention.
FIG. 5 is a block diagram showing a configuration of a conventional technique.
FIG. 6 is a block diagram showing a first problem of the related art.
FIG. 7 is a block diagram showing a second problem of the related art.
[Explanation of symbols]
1 Client computer
11 WWW Browser
12. HTML signature detecting means
13 Web program execution control means
131 access control list
2 WWW server
21 HTML documents
211 HTML signature
22 Web program
23 HTML signature detecting means
24 Web program execution control means
241 access control list
3 WWW server
31 HTML document
311 HTML signature
22 Web program

Claims

A first step of acquiring authentication information for identifying a creator of the document data from signature data for the document data;
A second step of determining, based on the authentication information obtained in the first step, whether or not the document data is permitted to execute an external program referenced by the document data;
A third step of controlling the external program not to operate if it is not determined in the second step that the document data is permitted to execute the external program. To control the operation of external programs.

A fourth step of verifying the signature data for the document data;
A fifth step of determining whether or not the document data has been falsified based on the result of the verification in the fourth step;
And controlling the external program referenced by the document data so that the external program does not operate when it is determined in the fifth step that the document data has been tampered with. Operation control method.

A seventh step of verifying the signature data for the document data and acquiring authentication information for identifying a creator of the document data from the signature data;
An eighth step of determining whether the document data has been tampered with, based on a result of the verification in the seventh step;
When it is determined in the eighth step that the document data has not been tampered with, executing an external program that the document data refers to in the document data based on the authentication information obtained in the seventh step. A ninth step of determining whether is authorized;
A tenth step of controlling the external program to operate when it is determined in the ninth step that the document data is permitted to execute the external program;
When it is determined in the eighth step that the document data is falsified, or when it is not determined in the ninth step that the document data is permitted to execute the external program. And an eleventh step of controlling the external program so as not to operate.

A first process of acquiring authentication information for identifying a creator of the document data from signature data for the document data;
A second process for determining whether or not the document data is permitted to execute an external program referenced by the document data based on the authentication information acquired in the first process;
And causing the computer to execute a third process of controlling the external program not to operate when the document data is not determined to be permitted to execute the external program in the second process. Program.

A fourth process for verifying the signature data for the document data;
A fifth process of determining whether or not the document data has been falsified based on a result of the verification in the fourth process;
A program for causing a computer to execute, when it is determined in the fifth process that the document data has been tampered with, a sixth process of controlling an external program referred to by the document data not to operate.

A seventh process of verifying the signature data for the document data and acquiring authentication information for identifying a creator of the document data from the signature data;
An eighth process of determining whether or not the document data has been falsified based on a result of the verification in the seventh process;
When it is determined in the eighth process that the document data has not been tampered with, executing an external program that the document data refers to in the document data based on the authentication information acquired in the seventh process. Ninth processing for determining whether or not is permitted;
A tenth process for controlling the operation of the external program when it is determined in the ninth process that the document data is permitted to execute the external program;
When it is determined in the eighth process that the document data has been tampered with, or when it is not determined in the ninth process that the document data is permitted to execute the external program And an eleventh process for controlling the external program so as not to operate.

Data acquisition means for acquiring document data and an external program referred to by the document data from a server computer;
Signature verification means for obtaining authentication information for identifying a creator of the document data from signature data for the document data obtained by the data obtaining means;
Based on the authentication information acquired by the signature verification unit, determine whether the document data is permitted to execute the external program acquired by the data acquisition unit.If the document data is not determined to be authorized, And an external program execution control means for controlling the external program not to operate.

Data acquisition means for acquiring document data and an external program referred to by the document data from a server computer;
Signature verification means for verifying signature data for the document data acquired by the data acquisition means;
Based on the result of the verification by the signature verifying unit, it is determined whether the document data has been tampered with. An operation control apparatus for an external program, comprising: an external program execution control unit.

Data acquisition means for acquiring document data and an external program referred to by the document data from a server computer;
Signature verification means for verifying signature data for the document data acquired by the data acquisition means, and acquiring authentication information for identifying a creator of the document data from the signature data;
Determining whether the document data has been tampered with based on the result of the verification by the signature verifying unit; and determining that the document data has not been tampered with. Determining whether the execution of the external program obtained by the means is permitted, and if it is determined that the execution is permitted, controls the external program to operate. External program execution control means for controlling the external program not to operate when it is determined that the external program is executed or when it is not determined that the document data is permitted to execute the external program. An operation control device for an external program.

First storage means for storing document data;
Second storage means for storing an external program referred to by the document data;
Third storage means for storing a signature verification program for realizing a function of acquiring authentication information for identifying a creator of the document data from signature data for the document data;
Based on the authentication information obtained by the function realized by the signature verification program, determine whether the document data is allowed to execute the external program, if not determined to be allowed, A fourth storage unit that stores an external program execution control program that realizes a function of controlling the external program not to operate,
Providing an external program, the signature verification program, and the external program execution control program to the client computer in addition to the document data in response to an acquisition request for the document data from the client computer. An apparatus for providing a program operation control program.

Fifth storage means for storing document data,
Sixth storage means for storing an external program referred to by the document data,
Seventh storage means for storing a signature verification program for realizing a function of verifying signature data for the document data;
Based on the result of the verification by the function realized by the signature verification program, it is determined whether or not the document data has been tampered with. If it is determined that the document data has been tampered with, the function of controlling the external program not to operate is controlled. Eighth storage means for storing an external program execution control program to be realized,
Providing an external program, the signature verification program, and the external program execution control program to the client computer in addition to the document data in response to an acquisition request for the document data from the client computer. An apparatus for providing a program operation control program.

Ninth storage means for storing document data;
Tenth storage means for storing an external program referred to by the document data;
An eleventh storage unit that stores a signature verification program that verifies signature data for the document data and realizes a function of acquiring authentication information for specifying a creator of the document data from the signature data;
Based on the result of the verification by the function implemented by the signature verification program, it is determined whether the document data has been tampered with.If it is determined that the document data has not been tampered, the document data is acquired by the function realized by the signature verification program. Based on the authentication information, determines whether the document data is permitted to execute the external program, and if it is determined that the document data is permitted, controls the external program to operate. A function of controlling the external program not to operate when it is determined that the document data has been tampered with or when it is not determined that the document data is permitted to execute the external program. Twelfth storage means for storing an external program execution control program for realizing
Providing an external program, the signature verification program, and the external program execution control program to the client computer in addition to the document data in response to a request to acquire the document data from a client computer. An apparatus for providing a program operation control program.