JP2005267558A - サーバ装置 - Google Patents

Abstract

【課題】 なりすましを防止する効果が従来よりも高い仕組みを提供する。
【解決手段】 ＷＷＷサーバ装置２０ａは、受信したＨＴＴＰリクエストに含まれる携帯電話機１０ａの端末固有情報を用いて、ＨＴＴＰリクエストを受信したアクセス時刻を暗号化する。次いで、ＷＷＷサーバ装置２０ａは、暗号化したアクセス時刻をｈｉｄｄｅｎタグのパラメータとしてＨＴＭＬファイルに埋め込んで、携帯電話機１０ａに送信する。ＷＷＷサーバ装置２０ａは、携帯電話機から次に受信したＨＴＴＰリクエストに含まれている端末固有情報でリクエスト内のｈｉｄｄｅｎタグのパラメータを復号し、その結果、アクセス時刻が得られた場合にのみアクセスを認める。
【選択図】 図１

Description

本発明は、各種のサービスを提供するに際して、サービス提供先のユーザをより確実に認証するための技術に関する。

ＷＷＷ（World Wide Web）ブラウザを実装した携帯電話機が近年になって急速に普及しつつある。このような状況の下、多数のコンテンツプロバイダが、例えばニュース配信のような情報閲覧サービスやオンラインバンキングのような情報処理サービスなどの、携帯電話機向けの様々なサービスを開始している。

ところで、ユーザがこの種のサービスを受ける際には、正当なユーザであるか否かを確認する手続き（ユーザ認証）がなされることが多い。一般的なユーザ認証の手法は、ユーザによって携帯電話機に入力されたユーザＩＤ及びパスワードと、ＷＷＷサーバ装置に事前に登録されているユーザＩＤ及びパスワードとが照合され、両者が一致するか否かで正当なユーザであるか否かが判断されるといった具合である。しかし、このようなユーザＩＤとパスワードは簡易な文字列で表現されていることが多いので、第３者によって容易に盗まれやすく、いわゆる「なりすまし」の被害が後を絶たない。

このような「なりすまし」を防止するための技術として、例えば特許文献１には、各々の携帯電話機に固有の情報である「セッションキー」を、ＨＴＭＬ（Hypertext Markup Language）によって表されたページ内のハイパーリンクに埋め込んでおき、携帯電話機からのアクセスに伴って送信されてくる上記セッションキーが、ＷＷＷサーバによって予め記憶されているものと一致する否かにより、ユーザの正当性を判断する、といった仕組みが提案されている。
特開２００３−９２４３号公報

特許文献１に記載された技術は、要するに、認証の根拠となる情報であるセッションキーが正当なものであるか否かによって、ユーザ認証を実行しようとするものである。従って、パスワードなどと同様に、上記のようなセッションキーそのものが盗まれてしまうと「なりすまし」が発生してしまう可能性がある。よって、セッションキー自体をどのようにして外部に対して秘密にするかという点をさらに工夫する必要がある。

現在普及している携帯電話機には、ＨＴＭＬのソースを参照する機能が実装されていないので、一般のユーザはハイパーリンクに埋め込まれたセッションキーを参照することはできない。ただし、ＨＴＭＬソースを参照し得るように携帯電話機のコンピュータプログラムを改変することは不可能ではないから、その場合には、セッションキーが簡単に盗まれてしまうことになる。また、将来的には、製造メーカがＨＴＭＬのソースを参照する機能を携帯電話機に実装することも充分に考えられる。このような可能性まで考慮すると、特許文献１に記載された技術では、「なりすまし」を完全に防止することができない虞がある。

本発明は、このような事情に鑑みてなされたものであり、その目的は、「なりすまし」という不正行為を防止する効果がより高い仕組みを提供することにある。

上記課題を達成するために、本発明は、情報の表示態様を指示するための複数種類の指示子を用いて記述されたデータファイルの内容を解釈して前記情報を表示するクライアント端末と、ネットワークを介して通信を行う通信手段と、第１の前記データファイルと、当該第１のデータファイルに対して階層的に関連づけられた第２のデータファイルとを記憶した記憶手段と、生成されるタイミングに応じて異なる内容の一時情報を生成する一時情報生成手段と、前記第１のデータファイルを要求するための第１のリクエストが前記通信手段によって受信されると、当該リクエストに含まれる各クライアント端末に固有の端末固有情報を用いて、前記一時情報生成手段によって生成された一時情報を暗号化する暗号化手段と、前記複数種類の指示子のうち、パラメータとして指定した情報を表示しないように指示するための非表示指示子を用いて、前記暗号化手段によって暗号化された一時情報を前記第１のデータファイルに記述する情報記述手段と、前記情報記述手段によって前記一時情報が記述された前記第１のデータファイルを、前記通信手段を用いて前記クライアント端末に送信する第１のファイル提供手段と、前記第２のデータファイルを要求するための第２のリクエストが前記通信手段によって受信されると、当該リクエストに前記非表示指示子のパラメータとして含まれている情報を当該リクエストに含まれる前記端末固有情報によって復号する復号手段と、前記復号手段による復号の結果、前記一時情報が得られた場合には、前記第２のデータファイルを前記通信手段によって前記クライアント端末に送信する一方、前記一時情報が得られなかった場合には、エラーの旨のメッセージが記述されたデータファイルを前記通信手段によって前記クライアント端末に送信する第２のファイル提供手段とを備えるサーバ装置を提供する。

このサーバ装置によれば、第１のリクエストと第２のリクエストとに含まれるそれぞれの端末固有情報が一致しない場合には一時情報が得られないことになり、その場合には、第２のデータファイルはクライアント端末に提供されない。つまり、第２のデータファイルを提供するにあたっては、第１のリクエストの送信元のクライアント端末と第２のリクエストの送信元のクライアント端末との同一性が担保される。また、認証の根拠となる一時情報は端末固有情報によって暗号化され、さらに、非表示指示子のパラメータとしてデータファイルに記述されるから、これを受信したクライアント端末においても、一時情報の内容を知ることは難しい。よって、第３者が正当なユーザになりすまして第２のリクエストの送信元になることはできず、第２のデータファイルを入手することもできない。

本発明の好ましい態様においては、前記記憶手段は、前記第２のデータファイルに対して階層的に関連づけられた第３のデータファイルを記憶しており、前記暗号化手段は、前記復号手段によって前記一時情報が得られた場合には、前記一時情報生成手段によって生成された一時情報を前記第２のリクエストに含まれる前記固有端末識別情報によって暗号化し、前記情報記述手段は、前記暗号化手段によって暗号化された一時情報を前記非表示指示子を用いて前記第２のデータファイルに記述し、前記前記第２のファイル提供手段は、暗号化された一時情報が記述された前記第２のデータファイルを前記通信手段によって前記クライアント端末に送信し、前記復号手段は、前記第３のデータファイルを要求する第３のリクエストが前記通信手段によって受信されると、当該リクエストに前記非表示指示子のパラメータとして含まれている情報を当該リクエストに含まれる前記端末固有情報によって復号し、さらに、前記復号手段による復号の結果、前記一時情報が得られた場合には、前記第３のデータファイルを前記通信手段によって前記クライアント端末に送信する一方、前記一時情報が得られなかった場合には、エラーの旨のメッセージが記述されたデータファイルを前記通信手段によって前記クライアント端末に送信する第３のファイル提供手段を備えるようにしてもよい。

この態様によれば、第２のリクエストと第３のリクエストに含まれる端末固有情報が一致しない限り、第３のデータファイルはクライアント端末に提供されない。よって、第３者が正当なユーザになりすまして第３のデータファイルを入手することはできない。

また、本発明は、情報の表示態様を指示するための複数種類の指示子を用いて記述されたデータファイルの内容を解釈して前記情報を表示するクライアント端末と、ネットワークを介して通信を行う通信手段と、複数の前記データファイルを記憶した記憶手段と、生成されるタイミングに応じて異なる内容の一時情報を生成する一時情報生成手段と、前記記憶手段に記憶されたデータファイルを要求するための第１のリクエストが前記通信手段によって受信されると、当該リクエストに含まれる各クライアント端末に固有の端末固有情報を用いて、前記一時情報生成手段によって生成された一時情報を暗号化する暗号化手段と、前記複数種類の指示子のうち、パラメータとして指定した情報を表示しないように指示するための非表示指示子を用いて、前記暗号化手段によって暗号化された一時情報を要求された前記データファイルに記述する情報記述手段と、前記情報記述手段によって前記一時情報が記述されたデータファイルを、前記通信手段を用いて前記クライアント端末に送信するファイル提供手段と、送信された前記データファイルの内容に基づき前記クライアント端末において指定された処理の実行を要求する第２のリクエストが前記通信手段によって受信されると、当該リクエストに前記非表示指示子のパラメータとして含まれている情報を当該リクエストに含まれる前記端末固有情報によって復号する復号手段と、前記復号手段による復号の結果、前記一時情報が得られた場合には要求された前記処理を実行する一方、前記一時情報が得られなかった場合には、要求された前記処理を実行しない処理実行手段とを備えるサーバ装置を提供する。

このサーバ装置によれば、このサーバ装置によれば、第１のリクエストと第２のリクエストとに含まれる端末固有情報が一致しない場合には一時情報が得られないことになり、その場合には、前記クライアント端末において指定された処理が実行されない。クライアント端末において指定された処理を実行するにあたっては、第１のリクエストの送信元のクライアント端末と第２のリクエストの送信元のクライアント端末との同一性が担保される。よって、第３者が正当なユーザになりすまして第２のリクエストの送信元になることはできず、サーバ装置に処理を実行させることもできない。

前記一時情報生成手段は時刻を計測する計時手段であり、前記暗号化手段は、前記通信手段によって前記第１又は第２のリクエストが受信されたときに前記計時手段によって計測されている時刻を前記端末固有情報によって暗号化するとより望ましい。

次に本発明の実施の形態について説明する。
（１）構成
図１は、本発明の一実施形態に係るシステムの全体構成を示す図である。図１において、移動通信網１とインターネット２との間はゲートウェイ装置３によって接続されており、これら移動通信網１とインターネット２との間ではゲートウェイ装置３を介して双方向のデータ通信が可能になっている。インターネット２には、ＷＷＷ（World Wide Web）を構成するＷＷＷサーバ装置２０ａ，２０ｂが接続されている。ＷＷＷサーバ装置２０ａ，２０ｂは、Ｃｏｍｐａｃｔ-ＨＴＭＬ（Compact-Hypertext Markup Language）で記述されたデータファイル（以下、ＨＴＭＬファイルという）を記憶している。Ｃｏｍｐａｃｔ−ＨＴＭＬは、主として携帯電話機やＰＤＡ（Personal Digital Assistants）のような小型のＷＷＷクライアント端末向けに開発されたＨＴＭＬのサブセットである。このＣｏｍｐａｃｔ−ＨＴＭＬでは、ＨＴＭＬと同様に、情報の論理構造ないし情報の表示態様を指示するための「タグ」と呼ばれる指示子が利用される。

移動通信網１は、図示せぬ基地局や交換局によって構成されており、携帯電話機１０ａ、１０ｂに対して移動通信サービスを提供する。携帯電話機１０ａ，１０ｂは、例えばＰＤＣ（Personal Digital Cellular）方式やＩＭＴ−２０００（International Mobile Telecommunications-2000）方式のデータ通信が可能な携帯電話機や、ＰＨＳ（Personal Handyphone System：登録商標）方式のデータ通信が可能な簡易携帯電話機である。携帯電話機１０ａ、１０ｂの内蔵メモリにはＷＷＷブラウザが記憶されている。携帯電話機１０ａ、１０ｂのＣＰＵ（Central Processing Unit）は、このＷＷＷブラウザを実行することによって、ＷＷＷサーバ装置２０ａ，２０ｂに対するＷＷＷクライアント端末として機能する。具体的には、携帯電話機１０ａ，１０ｂは、ＷＷＷサーバ装置２０ａ，２０ｂと移動通信網１及びインターネット２を介してＨＴＴＰ（Hypertext Transfer Protocol）に従った通信を行い、ＷＷＷサーバ装置２０ａ，２０ｂによって送信されてくるＨＴＭＬファイルを受信すると、その内容を解釈して各種情報を液晶ディスプレイに表示するようになっている。

ゲートウェイ装置３は、携帯電話機１０ａ，１０ｂからＷＷＷサーバ装置２０ａ，２０ｂ宛てに送信されたＨＴＴＰリクエストを移動通信網１経由で受信すると、通信プロトコルの変換処理を行いつつ、そのＨＴＴＰリクエストをインターネット２経由で宛先のＷＷＷサーバ装置２０ａ，２０ｂに送信する。また、ゲートウェイ装置３は、ＷＷＷサーバ装置２０ａ，２０ｂから携帯電話機１０ａ，１０ｂ宛てに送信されたＨＴＴＰレスポンスをインターネット２経由で受信すると、通信プロトコルの変換処理を行いつつ、そのＨＴＴＰレスポンスを移動通信網１経由で宛先の携帯電話機１０ａ，１０ｂに送信する。

ここで、携帯電話機１０ａ，１０ｂからＷＷＷサーバ装置２０ａ，２０ｂ宛てに送信されたＨＴＴＰリクエストがゲートウェイ装置３に到達する際には、そのリクエストを移動通信網１において中継した交換局からゲートウェイ装置３に対して、リクエスト送信元の携帯電話機１０ａ，１０ｂの端末固有情報が網内の専用プロトコルによって通知されるようになっている。ここでいう「端末固有情報」とは各々の携帯電話機１０ａ，１０ｂに固有の情報であり、例えば、携帯電話機に実装されたＷＷＷブラウザ（ソフトウェア）やその携帯電話機自体（ハードウェア）に割り当てられたシリアルナンバーないし製造番号であっても良い。また、ＵＩＭ（User Identify Module）と呼ばれるＩＣカードを挿入して利用される携帯電話機の場合には、そのＵＩＭの製造番号やＩＣＣＩＤ（IC-card Identification）であってもよい。また、携帯電話機或いはＵＩＭに割り当てられた電話番号であってもよい。そして、ゲートウェイ装置３は、上記ＨＴＴＰリクエストを受信すると、交換局から通知された端末固有情報をそのＨＴＴＰリクエストのヘッダの所定フィールドに記述した後に、宛先のＷＷＷサーバ装置２０ａ，２０ｂに送信する。従って、不正な第３者が自身の携帯電話機から発信されるＨＴＴＰリクエストのヘッダに他人の携帯電話機の端末固有情報を偽って記述し、他人になりすまそうとしたとしても、ゲートウェイ装置３はヘッダ内の端末固有情報を、交換局から通知される正しい端末固有情報に書き換えてＷＷＷサーバ装置２０ａ，２０ｂに転送するから、端末固有情報を簡単に改竄することはできないようになっている。ＷＷＷサーバ装置２０ａ，２０ｂは受信したＨＴＴＰリクエストのヘッダを参照すれば、リクエスト送信元の携帯電話機１０ａ，１０ｂの端末固有情報を把握することができる。ＷＷＷサーバ装置２０ａ，２０ｂは、この端末固有情報を後述する認証処理に利用することによって、不正な第３者が正当なユーザになりすますことを防止する。

次に、図２に示すブロック図を参照しながら、ＷＷＷサーバ装置２０ａ，２０ｂの構成について、ＷＷＷサーバ装置２０ａを例に挙げて説明する。図２に示すように、ＷＷＷサーバ装置２０ａは、制御部２０１と、通信部２０２と、不揮発性記憶部２０３とを備えている。制御部２０１は、例えばＣＰＵなど演算装置や、ＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）などの各種メモリを備えている。制御部２０１の演算装置は、これらのメモリや不揮発性記憶部２０３に記憶されているコンピュータプログラムを読み出して実行することにより、ＷＷＷサーバ装置２０ａの各部を制御する。通信部２０２は、インターネット２に接続するための接続インタフェースや通信制御回路を備えており、制御部２０１による制御の下でインターネット２を介してデータ通信を行うようになっている。

不揮発性記憶部２０３は、例えばハードディスクなどの大容量記憶装置である。この不揮発性記憶部２０３には、ＷＷＷサーバとして機能するための手順が記述されたＷＷＷサーバアプリケーションプログラム２０４と、現在時刻を計時する計時プログラム２０５とが記憶されている。ＷＷＷサーバアプリケーションプログラム２０４には、携帯電話機１０ａ，１０ｂの端末固有情報を利用して認証を行うＣＧＩ（Common Gateway interface）プログラムが含まれており、以下、このＣＧＩプログラムを「認証ＣＧＩプログラム」という。

さらに、不揮発性記憶部２０３には、携帯電話機１０ａ，１０ｂに提供される多数のＨＴＭＬファイル群２０６が記憶されている。これらのＨＴＭＬファイル群２０６に含まれるＨＴＭＬファイルは、それぞれハイパーリンクによって階層的に関連づけられている。図２に示す例では、第１のＨＴＭＬファイルと、この第１のＨＴＭＬファイルに対して階層的に関連づけられた第２のＨＴＭＬファイルと、この第２のＨＴＭＬファイルに対して階層的に関連づけられた第３のＨＴＭＬファイルとが図示されている。従って、ユーザがこれらＨＴＭＬファイルのハイパーリンクを次々と辿っていくことによって、携帯電話機１０ａ，１０ｂは、第１のＨＴＭＬファイルから第２のＨＴＭＬファイル、さらには第３のＨＴＭＬファイルへと、ＨＴＭＬファイルを１つずつ取得していくことができる。なお、これら第１〜第３のＨＴＭＬファイルの他に、さらに多くのＨＴＭＬファイルが不揮発性記憶部２０３には記憶されていてもよいことはもちろんである。

以上がＷＷＷサーバ装置２０ａの構成である。一方、ＷＷＷサーバ装置２０ｂは、記憶しているＨＴＭＬファイルの内容がＷＷＷサーバ装置２０ａと相違するだけであるので、その詳細な説明は省略する。

（２）動作
図３は、上述した認証ＣＧＩプログラムに記述された処理の流れを示すフローチャートである。この図３を用いて、例えば携帯電話機１０ａがＷＷＷサーバ装置２０ａにアクセスする際の動作について説明する。まず、ＷＷＷサーバ装置２０ａの制御部２０１は、通信部２０２によってＨＴＴＰリクエストを受信したことを検知すると（ステップＳ１；Ｙｅｓ）、そのＨＴＴＰリクエストのヘッダに記述されている情報の中から端末固有情報を抽出する（ステップＳ２）。

次いで、制御部２０１は、計時プログラム２０５によって計測されている日時「yyyy:mm:dd:hh:mm:ss」（＝年：月：日：時：分：秒）を携帯電話機１０ａのアクセス時刻として取得した後（ステップＳ３）、上記ＨＴＴＰリクエスト内に、ｈｉｄｄｅｎタグのパラメータが含まれている否かを判断する（ステップＳ４）。これが無い場合には（ステップＳ４；Ｎｏ）、制御部２０１は、ステップＳ３において取得したアクセス時刻を、ステップＳ２において抽出した端末固有情報によって暗号化する（ステップＳ５）。この時の暗号化アルゴリズムとしてはＷＷＷサーバ装置２０ａ，２０ｂ毎に任意のものを利用すればよい。

次いで、制御部２０１は、上記ＨＴＴＰリクエストによって要求されているＨＴＭＬファイル（ここでは第１のＨＴＭＬファイルとする）を不揮発性記憶部２０３から読み出し、ステップＳ５において暗号化されたアクセス時刻を、第１のＨＴＭＬファイル内にｈｉｄｄｅｎタグのパラメータとして記述することによって当該ファイルに埋め込む（ステップＳ６）。なお、ここでいう「ｈｉｄｄｅｎタグ」とは、Ｔｙｐｅ属性に「ｈｉｄｄｅｎ」という値（ｖａｌｕｅ）が指定されている「ＩＮＰＵＴ」タグのことである。例えば、アクセス時刻が２００４年２月８日１２時２９分の場合には、「<INPUT Type="ｈｉｄｄｅｎ" Value="2004:02:08:12:29:00">」が第１のＨＴＭＬファイルに記述されることになる。制御部２０１は、暗号化されたアクセス時刻が埋め込まれた第１のＨＴＭＬファイルを含むＨＴＴＰレスポンスを、通信部２０２によって携帯電話機１０ａに送信する（ステップＳ７）。

ｈｉｄｄｅｎタグは、パラメータとして指定した情報をＷＷＷクライアント端末において表示しないことを指示するためのタグ（非表示指示子）であるから、携帯電話機１０ａが第１のＨＴＭＬファイルを解釈してＨＴＭＬページを表示したとしても、暗号化されたアクセス時刻は表示されない。このアクセス時刻は、携帯電話機１０ａによる次のアクセス時の認証処理において利用されるから、第３者によってこのアクセス時刻が知られてしまうと、「なりすまし」される可能性が生じてしまう。しかし、本実施形態ではｈｉｄｄｅｎタグによって表示しないように指示されているから、第３者はＨＴＭＬソースを何らかの特別な手段で参照しない限り、暗号化されたアクセス時刻を見ることができない。また、仮に、第３者がそれを見ることができたとしても、ＷＷＷサーバ装置２０ａが使用した任意の暗号化アルゴリズムと携帯電話機１０ａの端末固有情報との双方を知っていなければ、暗号化されたアクセス時刻を正しく復号することができない。よって、上記のようなアクセス時刻（つまり認証の根拠となる情報）が第３者はもちろん正当なユーザにすら漏洩する可能性は極めて低いと言える。

さて、携帯電話機１０ａが、第１のＨＴＭＬファイルを解釈して、図４に例示するようにＨＴＭＬページを液晶ディスプレイに表示した状態で、ユーザが携帯電話機１０ａのキーを操作して、ＨＴＭＬページ上のハイパーリンク（「次へ」）を指定したとする。携帯電話機１０ａは、この操作に応じて、そのハイパーリンクによって関連づけられているＵＲＬ（第２のＨＴＭＬファイルのＵＲＬとする）と、ｈｉｄｄｅｎタグのパラメータ（暗号化されているアクセス時刻）とを含むＨＴＴＰリクエストをＷＷＷサーバ装置２０ａに送信し、第２のＨＴＭＬファイルを要求する。このＨＴＴＰリクエストに応じて、ＷＷＷサーバ装置２０ａの制御部２０１は、再度、上述したステップＳ１〜Ｓ３の処理を経て、ステップＳ４の処理に移行する。ここでは、ＨＴＴＰリクエスト内にｈｉｄｄｅｎタグのパラメータが含まれているので（ステップＳ４；Ｙｅｓ）、制御部２０１の処理はステップＳ８に進む。

ステップＳ８において、制御部２０１は、ステップＳ２において抽出した端末固有情報を用いて、暗号化されているｈｉｄｄｅｎタグのパラメータを復号する。次いで、制御部２０１は復号できたか否か、つまり、アクセス時刻に相当する情報が得られたか否かを判断する（ステップＳ９）。アクセス時刻は、前述したように「yyyy:mm:dd:hh:mm:ss」という文字列であるので、制御部２０１はこのような形式の文字列が得られた場合にはアクセス時刻に相当する情報が得られたと判断し、上記形式の文字列が得られなかった場合にはアクセス時刻に相当する情報が得られなかったと判断すればよい。

アクセス時刻に相当する情報が得られない場合には（ステップＳ９;Ｎｏ）、「なりすまし」の可能性があるので、制御部２０１は、例えば「最初のページから操作をやり直してください。」とか、「このアクセスは認められませんでした」とか、「ページが見つかりません」といったような、エラー（不具合）を示す何らかのメッセージを表示させるためのＨＴＭＬファイルを不揮発性記憶部２０３から読み出し、携帯電話機１０ａに送信する（ステップＳ１０）。携帯電話機１０ａは、このＨＴＭＬファイルを受信すると、これを解釈して上記メッセージを表示する。

一方、ステップＳ９においてアクセス情報に相当する情報が得られた場合には（ステップＳ９；Ｙｅｓ）、制御部２０１は、ステップＳ３において得たアクセス時刻と、復号により得られたアクセス時刻とが所定の期間内（例えば３０分）に収まるか否かを判断し（ステップＳ１１）、収まる場合にのみアクセスを許可する。なぜなら、これらの両時刻の間隔（つまり前回のアクセスと今回のアクセスとの時間間隔）があまりにも離れている場合には、第３者が正当ユーザになりすましているという可能性を否定できないからである。

従って、収まる場合には（ステップＳ１１：Ｙｅｓ）、制御部２０１の処理はステップＳ５へ移行して、前述とほぼ同様に、アクセス時刻を端末固有情報で暗号化し、それをｈｉｄｄｅｎタグのパラメータとして第２のＨＴＭＬファイルに埋め込んで携帯電話機１０ａに送信する、といった処理を繰り返すことになる。携帯電話機１０ａは、この第２のＨＴＭＬファイルを受信すると、これを解釈して、図５に例示するようなＨＴＭＬページを表示する。

一方、収まらない場合には（ステップＳ１１：Ｎｏ）、「なりすまし」の可能性があるので、制御部２０１の処理は前述したステップＳ１０へ移行し、エラーを示すメッセージを表示させるためのＨＴＭＬファイルを携帯電話機１０ａに送信する。携帯電話機１０ａは、このＨＴＭＬファイルを受信すると、これを解釈して上記メッセージを表示する。
以上が、ＷＷＷサーバ装置２０ａの制御部２０１による動作の内容である。なお、第２のＨＴＭＬファイル以降に関連づけられたＨＴＭＬファイル、具体的には、第２のＨＴＭＬファイル→第３のＨＴＭＬファイル→第４のＨＴＭＬファイル（図示略）・・・についても制御部２０１は上記のような処理を繰り返し実行する。

（３）サービス適用例
次に、具体的なサービスの適用事例について説明する。
最近普及している携帯電話機にはＷＷＷブラウザのみならずメーラが実装されていることが多いが、携帯電話機に割り当てられるメールアドレスは移動通信網の事業者に届け出ることで簡単に変更することができるようになっている。具体的には、ユーザが携帯電話機を用いてメールアドレスを変更するためのＷＷＷサーバ装置にアクセスすると、変更後のメールアドレスを入力するためのテキストボックスが携帯電話機によって表示されるので、ユーザはこのテキストボックスに所望のメールアドレスを入力する。携帯電話機は入力されたメールアドレスをＣＧＩパラメータとして上記ＷＷＷサーバ装置に送信する。ＷＷＷサーバ装置ではＣＧＩプログラムを実行して、変更前のメールアドレスを、ＣＧＩパラメータとして受信したメールアドレスに更新する処理を行う。以後、移動通信網においては更新後のメールアドレスに従って電子メールの配信処理が行われる。

以上のような仕組みを第３者が把握していると仮定すれば、次のような不正行為を行って他人のメールアドレスを第３者が勝手に決めたメールアドレスに変更することが可能である。まず、第３者は他人の携帯電話機に対して「メールアドレスの変更」とは一切関係のない内容の電子メールを送信する。例えば、「プレゼントに当選したので、これから紹介するＷＷＷサイトにアクセスしてプレゼントを受け取ってください」といった内容の勧誘メールや広告メールなどである。他人はこの電子メールの本文に設けられているハイパーリンクを選択する操作を行うと、携帯電話機はそのハイパーリンクによって関連づけられているＵＲＬを宛先としてＨＴＴＰリクエストを送信する。

ここで、第３者は事前に上記ハイパーリンクによって、前述したメールアドレスを変更するためのＷＷＷサーバ装置のＵＲＬを関連づけ、さらに、第３者自身が勝手に決めたメールアドレスをＣＧＩパラメータとして関連づけておく。第３者がこのような細工を事前にしておけば、上記ＨＴＴＰリクエストを受信したＷＷＷサーバ装置は、ＣＧＩプログラムを実行して、元のメールアドレスを第３者が勝手に決めてしまったメールアドレスに更新してしまうことになる。このようにメールアドレスが勝手に変更されてしまうと、本来は正しいユーザ宛に届くはずの電子メールが別のユーザに送られてしまい、そのメールの内容が見られてしまうなどの重大な問題が発生してしまう。

そこで、前述したなりすまし防止の仕組みをメールアドレスの変更サービスに適用してもよい。図６のシーケンス図には、ユーザが携帯電話機１０ａを操作して、メールアドレス変更サービスを行うＷＷＷサーバ装置２０ａにアクセスし、メールアドレスを変更するまでの処理の流れが示されている。なお、ＷＷＷサーバ装置２０ａは、携帯電話機１０ａに割り当てられたメールアドレスを予め記憶しているものとする。図６において、まず、ユーザが携帯電話機１０ａを用いて所定の操作を行うと、携帯電話機１０ａはＷＷＷブラウザを起動させ、メニュー画面を表示する。図７は、このメニュー画面の表示例であり、各種のサービスメニュー項目が表示されている。ユーザが、「１．メールアドレス変更」を選択すると、携帯電話機１０ａは、その項目に関連づけられているＵＲＬを含むＨＴＴＰリクエストを送信する（ステップＳ２１）。このＵＲＬはＷＷＷサーバ装置２０ａが記憶している第１のＨＴＭＬファイルの格納位置を示すＵＲＬである。

ＷＷＷサーバ装置２０ａは、上記ＨＴＴＰリクエストを移動通信網１及びインターネット２を介して受信すると、図３に示したステップＳ１→Ｓ２→Ｓ３→Ｓ４→Ｓ５→Ｓ６→Ｓ７という処理を経て、第１のＨＴＭＬファイルを含むＨＴＴＰレスポンスを携帯電話機１０ａに送信する（ステップＳ２２）。

携帯電話機１０ａは、第１のＨＴＭＬファイルを受信すると、この内容を解釈して液晶ディスプレイに表示する。図８は、この表示例であり、メールアドレスを入力するためのテキストボックスＴＢが設けられている。このテキストボックスＴＢは、２つのＦＯＲＭタグによって記述されており、さらに、これらのＦＯＲＭタグとＦＯＲＭタグとの間にはｈｉｄｄｅｎタグのパラメータとして、携帯電話機１０ａの端末固有情報で暗号化されたアクセス時刻が記述されている。

ユーザは、このテキストボックスＴＢに所望のメールアドレスを入力し、「送信」ボタンを選択する操作を行う。この操作に応じて、携帯電話機１０ａは、入力されたメールアドレスと、ｈｉｄｄｅｎタグのパラメータとして指定されている暗号化されたアクセス時刻とを含むＨＴＴＰリクエストをＷＷＷサーバ装置２０ａに送信する（ステップＳ２３）。

ＷＷＷサーバ装置２０ａは、このＨＴＴＰリクエストを受信すると、図３のステップＳ１→Ｓ２→Ｓ３→Ｓ４→Ｓ８→Ｓ９の処理を行う。即ち、ＷＷＷサーバ装置２０ａは、上記リクエスト内でｈｉｄｄｅｎタグのパラメータとして指定されている情報を上記リクエストに含まれる端末固有情報によって復号してアクセス時刻が得られたか否かを判断する。ここでは、リクエスト送信元の携帯電話機が同一であるからアクセス時刻が得られるはずである。

続いて、ＷＷＷサーバ装置２０ａは、図３のステップＳ１１→Ｓ５→Ｓ６→Ｓ７の処理を行う。即ち、ＷＷＷサーバ装置２０ａは、前回のアクセスと今回のアクセスとが所定期間内に収まっていると判断して、自身が記憶しているメールアドレスを更新する処理を行う。次いで、ＷＷＷサーバ装置２０ａは、第２のＨＴＭＬファイルを含むＨＴＴＰレスポンスを携帯電話機１０ａに送信する（ステップＳ２４）。携帯電話機１０ａは、第２のＨＴＭＬファイルを受信すると、この内容を解釈して液晶ディスプレイに表示する。図９は、この表示例であり、メールアドレスを変更した旨のメッセージが表示されている。

なお、ＷＷＷサーバ装置２０ａは、復号の結果、アクセス時刻が得られない場合や、前回のアクセスと今回のアクセスとが所定期間内に収まっていない場合には、携帯電話機１０ａによって指定された処理（メールアドレスの変更処理）を実行せずに、図３のステップＳ１０の処理、即ち、エラーの旨のＨＴＭＬファイルを携帯電話機１０ａに送信して処理を終了する。

以上説明したように、ＷＷＷサーバ装置２０ａは、受信したＨＴＴＰリクエストに含まれる携帯電話機の端末固有情報を用いて、ＨＴＴＰリクエストを受信したアクセス時刻を暗号化し、これをＨＩＤＤＥＮタグのパラメータとしてＨＴＭＬファイルに埋め込んで、携帯電話機１０ａに送信する。そして、ＷＷＷサーバ装置２０ａは、次に受信したＨＴＴＰリクエストに含まれている端末固有情報によって、ＨＴＴＰリクエスト内のＨＩＤＤＥＮタグのパラメータを復号し、その結果、アクセス時刻が得られた場合にのみアクセスを認める。これにより、連続する２回のアクセスの主体が同一の携帯電話機である場合にのみ、２回目のアクセスが認められるので、例えばメールアドレスを正当なユーザが意図しない内容に変更しようといった、なりすましによる不正行為を防止することが可能となる。

なお、ＷＷＷサーバ装置２０ａが携帯電話機１０ａから２回目に受信したＨＴＴＰリクエストは、ＷＷＷサーバ装置２０ａに対して第２のＨＴＭＬファイルを要求するＨＴＴＰリクエストであると捉えることもできるし、ＷＷＷサーバ装置２０ａに対して或る処理の実行を要求するＨＴＴＰリクエストであると捉えることもできる。前者は、例えば図４、５に例示したように、ＷＷＷサーバ装置２０ａが携帯電話機１０ａからの要求に応じて、情報が記述されたページを次々と提供するようなサービス（情報提供サービス）を行う場合である。後者は、例えば図７〜９に例示したように、ＷＷＷサーバ装置２０ａが携帯電話機１０ａに割り当てられたメールアドレスを変更するようなサービス（情報処理サービス）を行う場合である。

（４）変形例
本発明は上述した実施形態に限定されず、次のような変形が可能である。
（４−１）変形例１
ユーザが利用するクライアント端末は携帯電話機に限らず、無線によるデータ通信が可能なＰＤＡや、固定型のパーソナルコンピュータであってもよい。この場合、ＰＤＡは移動通信網や無線ＬＡＮ（Local Area Network）に通信接続されて利用されるし、パーソナルコンピュータはインターネットなどの固定網に接続されて利用される。電話機以外のクライアント端末を利用する場合であっても、各クライアント端末に固有の端末固有情報として、例えばＷＷＷブラウザ（ソフトウェア）やクライアント端末（ハードウェア）に割り当てられたシリアルナンバーないし製造番号などを利用することができる。

（４−２）変形例２
ＷＷＷサーバ装置２０ａ，２０ｂは、実施形態で述べたように単体のサーバ装置によって構成される必要はなく、複数のサーバ装置群によって構成されていてもよい。例えば、認証に関わる機能を担うサーバ装置と、情報提供や情報処理などのサービスに関わる機能を担うサーバ装置とを別々に構成し、これらのサーバ装置同士が連携することで上記実施形態のＷＷＷサーバ装置と同等の機能を実現しても良い。

（４−３）変形例３
実施形態では、Compact−ＨＴＭＬによって情報を記述する例を説明したが、これに限らず、情報の表示態様を指示する複数種類の指示子を用いて情報を記述する記述言語であれば、それを用いても良い。例えば、ＨＴＭＬやＸＨＴＭＬ（Extensible-HTML）はもちろん、タグ等の指示子を用いて情報を記述するマークアップ言語であるＨＤＭＬ（Handheld Device Markup Language）であってもよいし、ＷＭＬ（Wireless Markup Language）であっても良いし、ＸＭＬ（Extensible Markup Language）において情報の表示態様を記述するためのＸＳＬ（Extensible Stylesheet Language）やＣＳＳ（Cascading Style Sheets）であっても良い。指示子は、「タグ」と呼称されるものに限らず、情報の表示態様を指示するものであれば「指示子」に相当する。なお、上記に例示した言語には、情報の表示態様を指示する複数種類の指示子以外にも、情報の論理構造を指示する指示子などの各種指示子が含まれているが、情報の表示態様を指示する指示子を少なくとも含んでいる言語であれば、本発明の意図する内容に含まれることは言うまでもない。

（４−４）変形例４
クライアント端末の端末固有情報によって暗号化される対象は、アクセス時刻に限らない。例えばワンタイムパスワードのように、生成されるタイミングに応じて異なる一時情報であってもよい。ここで言う「生成されるタイミングに応じて異なる情報」とは、１回１回生成される度に異なる情報を意味するほか、例えば１時間毎や１日毎などの所定期間単位で異なる内容の情報も含む。また、生成されるタイミングに関わらず、常に同じ内容の所定情報を暗号の対象としてもよいが、その所定情報がＷＷＷサーバ装置の外部にいったん漏れてしまうと、その所定情報を入手した第３者がなりすましを装う可能性が高くなるので、情報の漏洩防止策を充分に施しておく必要がある。

（４−５）変形例５
サービスへの適用例は、例えば次のようなものもあり得る。
携帯電話機向けのサービスとして、ＷＷＷサーバ装置に予め登録しておいた電子メールを指定した日時が到来するとその宛先に届ける、というメール配信サービスがある。具体的には、ユーザが携帯電話機を用いて上記ＷＷＷサーバ装置にアクセスして、メールの宛先や本文及び送信予定日時を入力すると、携帯電話機は入力された情報をＣＧＩパラメータとして上記ＷＷＷサーバ装置に送信する。ＷＷＷサーバ装置はＣＧＩプログラムを実行して、送信予定日時が到来すると電子メールを宛先に送信する。

以上のような仕組みを第３者が把握していると仮定すれば、次のような不正行為を行って他人のメールアドレスを第３者が不正に入手することが可能である。まず、第３者は他人の携帯電話機に対して、例えば「プレゼントに当選したので、これから紹介するＷＷＷサイトにアクセスしてプレゼントを受け取ってください」といった虚偽の内容のメールを、当てずっぽうのメールアドレスを宛先として送信する。この電子メールがもし他人の携帯電話機に届けられてしまい、そのユーザがこの電子メールの本文に設けられているハイパーリンクを選択する操作を行うと、携帯電話機はそのハイパーリンクによって関連づけられているＵＲＬを宛先としてＨＴＴＰリクエストを送信する。

ここで、第３者は上記ハイパーリンクによって、上記メール配信サービスを行うＷＷＷサーバ装置のＵＲＬを関連づけ、さらに、第３者自身のメールアドレスを宛先アドレスを示すＣＧＩパラメータとして関連づけておく。第３者がこのような細工を事前にしておけば、上記ＨＴＴＰリクエストを受信したＷＷＷサーバ装置は、ＣＧＩプログラムを実行して、上記の第３者に対して電子メールを送信してしまう。この電子メールは、本文に何も書かれていない空メールであるが、そのメールの送信元アドレスとして、上記の他人の携帯電話機のメールアドレスが記述された状態で第３者に届けられることになる。第３者はこのような行為を多数のユーザに対して行うことによって、多数のメールアドレスを不正に入手することができてしまう。
そこで、図６を用いて説明したメールアドレスの変更サービスと同様の考え方で、実施形態で述べたなりすまし防止の仕組みを上記メール配信サービスに適用しても良い。

（４−６）変形例６
上述したＷＷＷサーバ装置２０ａ、２０ｂにおいて実行されるプログラムは、磁気テープ、磁気ディスク、フロッピー（登録商標）ディスク、光記録媒体、光磁気記録媒体、ＣＤ（Compact Disk）−ＲＯＭ、ＤＶＤ（Digital Versatile Disk）、ＲＡＭなどの記録媒体に記録した状態で提供し得る。

本発明の実施形態に係るシステムの全体構成を示すブロック図である。 同実施形態におけるＷＷＷサーバ装置の構成を示すブロック図である。 同実施形態におけるＷＷＷサーバ装置の制御部の動作を示すフローチャートである。 同実施形態における携帯電話機によって表示される画面例を示す図である。 同実施形態における携帯電話機によって表示される画面例を示す図である。 同実施形態におけるシステム全体の動作例を示すシーケンス図である。 同実施形態における携帯電話機によって表示される画面例を示す図である。 同実施形態における携帯電話機によって表示される画面例を示す図である。 同実施形態における携帯電話機によって表示される画面例を示す図である。

符号の説明

１・・・移動通信網、２・・・インターネット、３・・・ゲートウェイ装置、１０ａ，１０ｂ・・・携帯電話機、２０ａ，２０ｂ・・・ＷＷＷサーバ装置、２０１・・・制御部、２０２・・・通信部、２０３・・・不揮発性記憶部。

Claims (4)

1. 情報の表示態様を指示するための複数種類の指示子を用いて記述されたデータファイルの内容を解釈して前記情報を表示するクライアント端末と、ネットワークを介して通信を行う通信手段と、
   第１の前記データファイルと、当該第１のデータファイルに対して階層的に関連づけられた第２のデータファイルとを記憶した記憶手段と、
   生成されるタイミングに応じて異なる内容の一時情報を生成する一時情報生成手段と、
   前記第１のデータファイルを要求するための第１のリクエストが前記通信手段によって受信されると、当該リクエストに含まれる各クライアント端末に固有の端末固有情報を用いて、前記一時情報生成手段によって生成された一時情報を暗号化する暗号化手段と、
   前記複数種類の指示子のうち、パラメータとして指定した情報を表示しないように指示するための非表示指示子を用いて、前記暗号化手段によって暗号化された一時情報を前記第１のデータファイルに記述する情報記述手段と、
   前記情報記述手段によって前記一時情報が記述された前記第１のデータファイルを、前記通信手段を用いて前記クライアント端末に送信する第１のファイル提供手段と、
   前記第２のデータファイルを要求するための第２のリクエストが前記通信手段によって受信されると、当該リクエストに前記非表示指示子のパラメータとして含まれている情報を当該リクエストに含まれる前記端末固有情報によって復号する復号手段と、
   前記復号手段による復号の結果、前記一時情報が得られた場合には、前記第２のデータファイルを前記通信手段によって前記クライアント端末に送信する一方、前記一時情報が得られなかった場合には、エラーの旨のメッセージが記述されたデータファイルを前記通信手段によって前記クライアント端末に送信する第２のファイル提供手段と
   を備えるサーバ装置。
2. 前記記憶手段は、前記第２のデータファイルに対して階層的に関連づけられた第３のデータファイルを記憶しており、
   前記暗号化手段は、前記復号手段によって前記一時情報が得られた場合には、前記一時情報生成手段によって生成された一時情報を前記第２のリクエストに含まれる前記固有端末識別情報によって暗号化し、
   前記情報記述手段は、前記暗号化手段によって暗号化された一時情報を前記非表示指示子を用いて前記第２のデータファイルに記述し、
   前記前記第２のファイル提供手段は、暗号化された一時情報が記述された前記第２のデータファイルを前記通信手段によって前記クライアント端末に送信し、
   前記復号手段は、前記第３のデータファイルを要求する第３のリクエストが前記通信手段によって受信されると、当該リクエストに前記非表示指示子のパラメータとして含まれている情報を当該リクエストに含まれる前記端末固有情報によって復号し、
   さらに、前記復号手段による復号の結果、前記一時情報が得られた場合には、前記第３のデータファイルを前記通信手段によって前記クライアント端末に送信する一方、前記一時情報が得られなかった場合には、エラーの旨のメッセージが記述されたデータファイルを前記通信手段によって前記クライアント端末に送信する第３のファイル提供手段を備える請求項１記載のサーバ装置。
3. 情報の表示態様を指示するための複数種類の指示子を用いて記述されたデータファイルの内容を解釈して前記情報を表示するクライアント端末と、ネットワークを介して通信を行う通信手段と、
   複数の前記データファイルを記憶した記憶手段と、
   生成されるタイミングに応じて異なる内容の一時情報を生成する一時情報生成手段と、
   前記記憶手段に記憶されたデータファイルを要求するための第１のリクエストが前記通信手段によって受信されると、当該リクエストに含まれる各クライアント端末に固有の端末固有情報を用いて、前記一時情報生成手段によって生成された一時情報を暗号化する暗号化手段と、
   前記複数種類の指示子のうち、パラメータとして指定した情報を表示しないように指示するための非表示指示子を用いて、前記暗号化手段によって暗号化された一時情報を要求された前記データファイルに記述する情報記述手段と、
   前記情報記述手段によって前記一時情報が記述されたデータファイルを、前記通信手段を用いて前記クライアント端末に送信するファイル提供手段と、
   送信された前記データファイルの内容に基づき前記クライアント端末において指定された処理の実行を要求する第２のリクエストが前記通信手段によって受信されると、当該リクエストに前記非表示指示子のパラメータとして含まれている情報を当該リクエストに含まれる前記端末固有情報によって復号する復号手段と、
   前記復号手段による復号の結果、前記一時情報が得られた場合には、要求された前記処理を実行する一方、前記一時情報が得られなかった場合には、要求された前記処理を実行しない処理実行手段と
   を備えるサーバ装置。
4. 前記一時情報生成手段は時刻を計測する計時手段であり、
   前記暗号化手段は、前記通信手段によって前記第１又は第２のリクエストが受信されたときに前記計時手段によって計測されている時刻を前記端末固有情報によって暗号化する請求項１又は３に記載のサーバ装置。

Images