JP2005284876A - コンピュータネットワークにおけるユーザ判別方法 - Google Patents

Abstract

【課題】 正規ユーザがコンピュータネットワークに接続された任意の端末を用いて、アクセスが制限されたサーバ上の特定コンテンツに簡便かつ安全にアクセスできるようにする。
【解決手段】 サーバ１２が、端末１４からの正規ユーザ１６によるパスワード要求（Ｓ１）に応答してワンタイムパスワードを作成し、このワンタイムパスワードを正規ユーザの携帯電話１８に電子メールにより送信する（Ｓ２）とともに、ワンタイムパスワードとパスワード要求がなされた端末のＩＰアドレスとの関連付けを行う。次に、サーバが、端末からの正規ユーザのみがアクセスを許可されるコンテンツへのアクセス要求があり、この端末からパスワードが入力されたとき（Ｓ３）に、このパスワードとアクセス要求がなされた端末のＩＰアドレスとの関連を照合し、この関連がワンタイムパスワードとパスワード要求がなされた端末のＩＰアドレスとの関連付けと合致する場合にのみ、アクセス要求がなされた端末からのコンテンツへのアクセスを許可する（Ｓ４）。
【選択図】 図２

Description

本発明は、正規ユーザのみがアクセスを許可されるコンテンツを有するサーバが接続されたコンピュータネットワークにおいて、コンピュータネットワークに接続された端末からアクセスされたサーバが、このアクセスが正規ユーザからのアクセスであるか否かを判別する方法に関する。

コンピュータネットワークにおいて、本人認証を行うために最も汎用されている方法はパスワードを用いるものである。短いパスワードあるいは名前や生年月日といった第３者に推測され易い内容を持つパスワードは危険であるため、パスワードはある程度以上の長さと複雑さを有するものが必要とされ、また定期的に変更することが推奨される。これに対し、上記のような煩雑さを解消するために、パスワードが必要時にサーバで生成され、このパスワードがユーザ端末に送られるシステムがある（例えば、特許文献１参照）。

特開２００３−３０１４８号公報

しかし、特許文献１の技術は、作成されたパスワードがユーザ端末に送られるものであるため、ユーザ端末が組織内で共用されている場合のように、他人が当該端末に物理的にアクセス可能であるときには、セキュリティーを保つことができない可能性がある。これを回避するため、指紋などの生体情報を用いて本人認証を行うことも考えられるが、この方法は専用の機器およびソフトウェアが必要となり、インターネットなどのコンピュータネットワークに接続された任意の端末に応用することはできなかった。

本発明は、前述した事情に鑑みてなされたもので、正規ユーザがコンピュータネットワークに接続された任意の端末を用いて、アクセスが制限されたサーバ上の特定コンテンツに簡便かつ安全にアクセスできることを可能とし、なおかつ権限を持たないユーザが上記コンテンツに不正にアクセスすることを阻止することを可能とする方法を提供することを目的とする。

本発明は、前記目的を達成するため、正規ユーザのみがアクセスを許可されるコンテンツを有するサーバが接続されたコンピュータネットワークにおけるユーザ判別方法であって、
（ａ）サーバが、前記コンピュータネットワークに接続された端末からの正規ユーザによるパスワード要求に応答してワンタイムパスワードを作成し、このワンタイムパスワードを前記パスワード要求がなされた端末以外の正規ユーザが管理する電子メール受信手段に電子メールにより送信するとともに、前記ワンタイムパスワードと前記パスワード要求がなされた端末のＩＰアドレスとの関連付けを行うステップと、
（ｂ）サーバが、前記コンピュータネットワークに接続された端末からの前記正規ユーザのみがアクセスを許可されるコンテンツへのアクセス要求があり、該アクセス要求がなされた端末からパスワードが入力されたときに、このパスワードと前記アクセス要求がなされた端末のＩＰアドレスとの関連を照合し、この関連が前記ワンタイムパスワードとパスワード要求がなされた端末のＩＰアドレスとの関連付けと合致する場合にのみ、前記アクセス要求がなされた端末からの前記コンテンツへのアクセスを許可するステップと、
を行うことを特徴とするコンピュータネットワークにおけるユーザ判別方法を提供する。

本発明において、コンピュータネットワークとしては、例えばインターネット、イントラネットなどを挙げることができる。また、サーバは一般にはサーバコンピュータであり、端末は一般にはパーソナルコンピュータである。

本発明において、ステップ（ａ）における正規ユーザが管理する電子メール受信手段としては、パスワード要求がなされた端末以外の電子メール受信可能な機器、例えば携帯電話、ＰＨＳ、ＰＤＡ、デスクトップ型パーソナルコンピュータ、ノートブック型パーソナルコンピュータ等を挙げることができる。このうち、最も好ましいのは携帯性、利便性などの点で携帯電話である。また、上記正規ユーザが管理する電子メール受信手段のメールアドレスは、サーバに予め登録されていることが好ましい。この場合、上記メールアドレスのサーバへの登録は、電話、ＦＡＸ、郵便などのコンピュータネットワークとは別の経路の通信手段を用いて行うことがセキュリティーの点で好ましい。

本発明において、ステップ（ａ）でサーバが作成するワンタイムパスワードは、一回の使用で無効となるパスワードである。ワンタイムパスワードの内容に限定はなく、例えば、極端に短くなければ数字でも、英文字でも、それらの混在でもよい。また、必ずしもランダムな文字列である必要はなく、十分な数の語彙を揃えておきその中からランダムに選ぶのであれば、覚えやすい単語でもよい。

ワンタイムパスワードが一回限りの使用でどのように無効化されるものであるかは種々考えられるが、例えば、（１）サーバが、アクセス要求がなされた端末からのパスワードとアクセス要求がなされた端末のＩＰアドレスとの関連と、ワンタイムパスワードとパスワード要求がなされた端末のＩＰアドレスとの関連との照合を終えた時点で無効化する方式、（２）上記照合の後、正規ユーザがアクセス制限の対象となるコンテンツにアクセスした時点で無効化する方式、（３）一つのコンテンツにアクセスできる端末が動的ＩＰアドレスアクセス制御により最大で１つに限られる排他的制御（後述）を採用する場合に、正規ユーザがコンテンツへのアクセスを終了した時点で無効化する方式などを採用できる。

本発明において、ステップ（ａ）でサーバが作成するパスワードは、一回の使用で無効となるだけではなく、作成してから一定時間経過後に無効となる「時限」であることがセキュリティーの点で好ましい。したがって、ステップ（ａ）でサーバが作成するパスワードは、時限ワンタイムパスワードであることがより好ましい。

また、本発明では、ステップ（ｂ）において、アクセス要求がなされた端末からのパスワードとアクセス要求がなされた端末のＩＰアドレスとの関連が、ワンタイムパスワードとパスワード要求がなされた端末のＩＰアドレスとの関連付けと合致しない場合において、（ア）アクセス要求がなされた端末からのパスワードとワンタイムパスワードとが異なり、アクセス要求がなされた端末のＩＰアドレスとパスワード要求がなされた端末のＩＰアドレスとが同じであるときには、正規ユーザによるパスワードの入力ミスであると判断して、正規ユーザに限れられた回数だけパスワードの再入力を促し、（イ）アクセス要求がなされた端末からのパスワードとワンタイムパスワードとが同じで、アクセス要求がなされた端末のＩＰアドレスとパスワード要求がなされた端末のＩＰアドレスとが異なるときには、アクセス要求はワンタイムパスワードを送信した電子メールに対する盗聴行為を行った後の不正アクセスであると判断して、アクセス要求がなされた端末からのアクセスを遮断するとともに、この不正アクセスに関する情報を前記正規ユーザが管理する電子メール受信手段に電子メールにより送信し、（ウ）アクセス要求がなされた端末からのパスワードとワンタイムパスワードとが異なり、アクセス要求がなされた端末のＩＰアドレスとパスワード要求がなされた端末のＩＰアドレスとが異なるときには、アクセス要求は不正アクセスの予備行為であると判断し、この不正アクセスの予備行為に関する情報をサーバのデータベースに登録することができる。

本発明において、ステップ（ａ）で用いるワンタイムパスワードは、一回の使用で無効となるパスワードである。したがって、正規ユーザが正規の方法で得たパスワードを用い、パスワードを要求した端末と同じ端末からサーバにコンテンツへのアクセス要求をしたときに拒否されたとすると、パスワード要求からコンテンツへのアクセス要求までの間にサーバがパスワードを送信した電子メールを盗聴した上での不正アクセスが存在したことが確実に検出できる。

上記のように不正アクセスの存在が確実な場合には、正規ユーザは当該不正アクセスを即時に遮断するため、サーバに不正アクセス遮断要求を行い、サーバはこの不正アクセス遮断要求に応答して当該不正アクセスを遮断することができる。上記不正アクセス遮断要求としては、例えば、パスワードが送られた電子メールをアクセス遮断に関連付けられた特定アドレスに返信することにより、当該不正アクセスを遮断する方法、あるいは緊急時のアクセス遮断用のパスワードを予め用意し、それを用いて端末からサーバにアクセス遮断要求を行うことにより、当該不正アクセスを遮断する方法を採ることができ、これにより不正アクセスの時間を最小限に抑えることができる。したがって、これらの方法によって不正アクセスを早期に発見し、それによる被害を最小限に抑えることが可能となる。

また、本発明では、正規ユーザが携帯電話などの電子メール受信手段を紛失したときには、正規ユーザはサーバに電子メール受信手段へのパスワード送信停止要求を行い、サーバはこのパスワード送信停止要求に応答して当該電子メール受信手段へのワンタイムパスワードの送信を停止することができる。例えば、正規ユーザは予めサーバに登録してある緊急用パスワードを用いて任意端末からサーバにアクセスし、当該電子メール受信手段へのパスワード送信を止めることができる。これにより、当該電子メール受信手段が第３者の手に渡った場合でも、それを用いて不正アクセスが行われることを防止することができる。なお、上記電子メール受信手段を紛失したときに用いる緊急用パスワードは、前述した不正アクセスが検出された際に用いるアクセス遮断用のパスワードと共通でもよい。ただし、このパスワードが他人に知られると正規ユーザによる正規のアクセスが妨害される可能性があるので、緊急時に一度しか使えないワンタイムパスワードとし、パスワードの再発行手続は電話、ＦＡＸ、郵便などのコンピュータネットワークとは別の経路の通信手段を用いて行うことがセキュリティーの点で好ましい。

本発明によれば、サーバが端末にコンテンツへのアクセス許可を与えるにあたり、アクセス要求がなされた端末からのパスワードとアクセス要求がなされた端末のＩＰアドレスとの関連と、サーバが発行したワンタイムパスワードとパスワード要求がなされた端末のＩＰアドレスとの関連との照合を行うので、サーバはコンテンツへのアクセス許可を与える相手が、不正ユーザであることを判定できる可能性が従来に比べ格段に高まり、安全性を高めることができる。さらに、パスワードがワンタイムパスワードであることにより、不正ユーザのアクセス経路によらず、不正ユーザを確実に検出でき、そのアクセスを即時に遮断することができる。

また、本発明を実施するにあたり、特別に必要な機構はサーバのみに存在し、その他の構成要素においては特別なハードウェアやソフトウェアを必要とせず、例えば携帯電話などの電子メール受信手段においては電子メールの受信機能、端末においてはウェブブラウザが必要になるのみである。さらに、アクセスが正規ユーザからのアクセスであるか否かを判別する際の処理も単純である。

したがって、本発明方法を採用したシステムは、セキュリティーに優れている上に、コストパーフォーマンスや使いやすさにも優れていると評価され、幅広い応用が実現可能である。

以下、図面を参照して本発明の実施の形態を説明する。図１は本発明方法を実施するシステムの一例を示す全体図である。このシステムは、インターネット（コンピュータネットワーク）１０にサーバ１２および端末１４が接続され、サーバ１２と端末１４とはインターネット１０を介して相互にアクセス可能である。サーバ１２は、正規ユーザのみがアクセスを許可されるコンテンツを備えている。また、サーバ１２には、正規ユーザ１６が管理する携帯電話（電子メール受信手段）１８のメールアドレスが予め登録されている。なお、登録されたメールアドレスの変更は適宜手段で行うことができる。

サーバ１２は、正規ユーザからの要求に応じてワンタイムパスワードを生成し電子メールにより送信する機能、パスワードを要求した端末のＩＰアドレスを上記ワンタイムパスワードと関連付けて保存する機能、端末からのコンテンツへのアクセス要求に対して認証を行う機能、および特定ＩＰアドレスの端末からのアクセス制御を動的に行う機能（動的ＩＰアドレスアクセス制御機構）を備えている。

本実施形態の動作を図２を参照して説明する。まず、正規ユーザ１６は、インターネットに接続された任意の端末１４からサーバ１２にアクセスし、パスワード要求をする（Ｓ１）。パスワード要求の方法に限定はなく、例えば、正規ユーザ１６が携帯電話１８のメールアドレスをサーバ１２に直接記述する方法、正規ユーザ１６が携帯電話１８のメールアドレスと関連付けられたユーザＩＤをサーバ１２に入力する方法などを挙げることができる。サーバ１２は、パスワード要求のあった端末１４のＩＰアドレス、パスワード要求をした正規ユーザ１６が入力したメールアドレスあるいはＩＤ、パスワード要求の時刻をデータベースに登録する。登録されたデータは、ユーザの利用状況の統計解析、不正なパスワード要求の検出、防止に利用することができる。

次に、サーバ１２は、正規ユーザ１６のパスワード要求に対しワンタイムパスワードを作成し、このワンタイムパスワードを正規ユーザ１６の携帯電話１８に電子メールにより送信する（Ｓ２）。また、パスワード要求のあった端末１４のＩＰアドレスを記録し、そのＩＰアドレスとワンタイムパスワードとの関連付けを行う。

携帯電話１８でワンタイムパスワードを受け取った正規ユーザ１６は、パスワードを要求した端末１４を用いてサーバ１２の正規ユーザのみがアクセスを許可されるコンテンツへのアクセスページにアクセスし、当該ワンタイムパスワードをサーバ１２に入力する（Ｓ３）。

サーバ１２は、Ｓ３においてアクセス要求がなされた端末からのパスワードとこの端末のＩＰアドレスとの関連を照合し、上記関連がＳ２におけるワンタイムパスワードとパスワード要求がなされた端末のＩＰアドレスとの関連付けと合致する場合にのみ、当該端末１４からのコンテンツへのアクセスを許可し（Ｓ４）、例えばコンテンツの閲覧、コンテンツへのデータ入力などを行うことができるようにする。

この際、前述したコンテンツが当該ユーザ以外によりアクセス要求をされる可能性がない場合、すなわち同時にアクセスする要求がひとつを越えない場合には、そのコンテンツへのアクセス許可はその時点では当該ＩＰアドレスを持つ端末に対してのみとされ、他のＩＰアドレスを持つ端末からのアクセス要求がたとえ有効なパスワードとともにあったとしても拒否するような排他的制御も可能である。排他的制御がされている間にアクセス要求があった場合には不正アクセスとしてデータベースに登録され、正規ユーザに電子メールで報告される。

また、Ｓ３においてアクセス要求がなされた端末からのパスワードとこの端末のＩＰアドレスとの関連を照合した結果、上記関連がＳ２におけるワンタイムパスワードとパスワード要求がなされた端末のＩＰアドレスとの関連付けと合致しない場合には、前述した（イ）〜（ハ）の処理を行う。具体的には、下記のように処理する。
（イ）コンテンツへのアクセス要求のあった端末のＩＰアドレスが直前にパスワード要求のあった端末のものであるが、パスワードが正しくない場合には、パスワードの入力ミスと判断して、限れられた回数だけパスワードの再入力を促す。
（ロ）パスワードが直前に発行されたものであるが、コンテンツへのアクセス要求のあった端末のＩＰアドレスが不一致の場合には、パスワードを送信した電子メールに対する盗聴行為を行った後の不正アクセスとして、動的ＩＰアドレスアクセス制御機構により当該ＩＰアドレスを持つ端末からのアクセスを遮断し、同時に不正アクセスに関する情報を正規ユーザに電子メールで報告する。また、その情報はサーバのデータベースにも登録する。
（ハ）ワンタイムパスワードが直前に発行されたものではなく、ＩＰアドレスも直前にパスワード要求のあった端末のものではない場合には、不正アクセスの予備行為としてサーバのデータベースに登録する。

なお、組織内のイントラネットではプライベートＩＰアドレスを使い、外部のインターネットに接続する際にはＮＡＴ（network address translation）機構を用いてプライベートＩＰアドレスをグローバルＩＰアドレスに変換するシステムでは、その組織内のいずれかの端末からのサーバへのアクセスは全て同じグローバルＩＰアドレスからのものと判断されるため、セキュリティー上の脆弱性につながる可能性がある。しかしながら、端末からイントラネットおよびインターネットを介して送られるパスワード要求やアクセス要求の通信データをＴＣＰ／ＩＰのパケットレベルで解析すると、送信元のグローバルＩＰアドレスに加え、ＮＡＴ機構で変換される前の当該組織内における個々の端末に割り振られたプライベートＩＰアドレスの情報も得ることできるので、その情報を組み合わせることによりアクセス元の端末を正確に同定することができ、セキュリティーを保つことが可能である。

また、第３者がワンタイムパスワードを送信した電子メールを盗聴し、パスワードを要求した端末以外の端末から、送信元ＩＰアドレスを詐称し、正規のＩＰアドレスを偽ってサーバにアクセスを試みる場合も想定される。しかしながら、ＴＣＰ／ＩＰプロトコルにおいてはコネクション成立のために３ウェイハンドシェークの機構を用いているため、コネクション要求パケットに対する返信パケットは詐称したＩＰアドレス、すなわちパスワード要求した端末の正規ＩＰアドレスに送られるため、不正アクセスを試みている端末には届かず、その返信パケットの情報が無いことには３ウェイハンドシェークが成立しない。したがって、上記の場合にはコネクションを成立させることはできないため、不正アクセスを行うことも不可能である。

本発明方法を実施するシステムの一例を示す全体図である。 本発明方法の動作の一例を示すシーケンスチャートである。

符号の説明

１０ インターネット
１２ サーバ
１４ 端末
１６ 正規ユーザ
１８ 携帯電話

Claims (5)

1. 正規ユーザのみがアクセスを許可されるコンテンツを有するサーバが接続されたコンピュータネットワークにおけるユーザ判別方法であって、
   （ａ）サーバが、前記コンピュータネットワークに接続された端末からの正規ユーザによるパスワード要求に応答してワンタイムパスワードを作成し、このワンタイムパスワードを前記パスワード要求がなされた端末以外の正規ユーザが管理する電子メール受信手段に電子メールにより送信するとともに、前記ワンタイムパスワードと前記パスワード要求がなされた端末のＩＰアドレスとの関連付けを行うステップと、
   （ｂ）サーバが、前記コンピュータネットワークに接続された端末からの前記正規ユーザのみがアクセスを許可されるコンテンツへのアクセス要求があり、該アクセス要求がなされた端末からパスワードが入力されたときに、このパスワードと前記アクセス要求がなされた端末のＩＰアドレスとの関連を照合し、この関連が前記ワンタイムパスワードとパスワード要求がなされた端末のＩＰアドレスとの関連付けと合致する場合にのみ、前記アクセス要求がなされた端末からの前記コンテンツへのアクセスを許可するステップと、
   を行うことを特徴とするコンピュータネットワークにおけるユーザ判別方法。
2. 前記ステップ（ａ）における正規ユーザが管理する電子メール受信手段のメールアドレスは、サーバに予め登録されていることを特徴とする請求項１に記載のコンピュータネットワークにおけるユーザ判別方法。
3. ステップ（ｂ）において、アクセス要求がなされた端末からのパスワードとアクセス要求がなされた端末のＩＰアドレスとの関連が、ワンタイムパスワードとパスワード要求がなされた端末のＩＰアドレスとの関連付けと合致しない場合において、（ア）アクセス要求がなされた端末からのパスワードとワンタイムパスワードとが異なり、アクセス要求がなされた端末のＩＰアドレスとパスワード要求がなされた端末のＩＰアドレスとが同じであるときには、正規ユーザによるパスワードの入力ミスであると判断して、正規ユーザに限れられた回数だけパスワードの再入力を促し、（イ）アクセス要求がなされた端末からのパスワードとワンタイムパスワードとが同じで、アクセス要求がなされた端末のＩＰアドレスとパスワード要求がなされた端末のＩＰアドレスとが異なるときには、アクセス要求はワンタイムパスワードを送信した電子メールに対する盗聴行為を行った後の不正アクセスであると判断して、アクセス要求がなされた端末からのアクセスを遮断するとともに、この不正アクセスに関する情報を前記正規ユーザが管理する電子メール受信手段に電子メールにより送信し、（ウ）アクセス要求がなされた端末からのパスワードとワンタイムパスワードとが異なり、アクセス要求がなされた端末のＩＰアドレスとパスワード要求がなされた端末のＩＰアドレスとが異なるときには、アクセス要求は不正アクセスの予備行為であると判断し、この不正アクセスの予備行為に関する情報をサーバのデータベースに登録することを特徴とする請求項１または２に記載のコンピュータネットワークにおけるユーザ判別方法。
4. サーバは、正規ユーザからの不正アクセス遮断要求に応答して、当該不正アクセスを遮断することを特徴とする請求項１〜３のいずれか１項に記載のコンピュータネットワークにおけるユーザ判別方法。
5. サーバは、正規ユーザからの電子メール受信手段へのパスワード送信停止要求に応答して、当該電子メール受信手段へのワンタイムパスワードの送信を停止することを特徴とする請求項１〜４のいずれか１項に記載のコンピュータネットワークにおけるユーザ判別方法。