JP2006211588A

JP2006211588A - Ｗｅｂサイトの成りすまし検出方法及びプログラム

Info

Publication number: JP2006211588A
Application number: JP2005024214A
Authority: JP
Inventors: Hiroto Kawahara; 洋人川原
Original assignee: NTT Software Corp
Current assignee: NTT Software Corp
Priority date: 2005-01-31
Filing date: 2005-01-31
Publication date: 2006-08-10
Anticipated expiration: 2025-01-31
Also published as: JP4698239B2

Abstract

【課題】Webサイトの成りすましを防止する技術を提供する。
【解決手段】画面情報提供装置と、画面情報表示装置とを有するシステムにおいて、前記画面情報提供装置が、そのアドレス情報と再表示画面指定情報とを含む暫定画面情報を前記画面情報表示装置に送信し、前記画面情報表示装置が、前記画面情報を表示し、秘密情報と前記アドレス情報とを含む情報を、前記画面情報提供装置のみが復号できるように暗号化して送信し、前記画面情報提供装置は、前記アドレス情報が正当である場合に、前記秘密情報を前記画面情報表示装置に送信し、前記画面情報表示装置は、受信秘密情報が正しい場合に、前記画面情報提供装置に前記再表示画面指定情報を送信し、前記画面情報提供装置は、前記再表示画面指定情報が正当である場合に、前記秘密情報を含む前記画面情報を送信し、前記画面情報表示装置は、前記秘密情報を前記画面情報とともに表示する。
【選択図】図４

Description

本発明は、Webサイトの成りすましを防止するための技術に関するものである。

Webサイトを介した電子商取引が普及している中で、Webサイトの成りすましによる詐欺（フィッシング（Phishing）と呼ばれる）が問題になっている。これは、有名サイトを偽装した画面を利用者に提供し、利用者が入力した口座番号やパスワード等の秘密情報を盗む詐欺である。

フィッシングに対する対策の一つとして、利用者がIDとパスワードの他にパスフレーズをサービス提供者のWebサイトに登録しておき、利用者がID、パスワードの一部を入力すると、Webサイトが登録したパスフレーズを返し、利用者がそれを確認することにより、交信しているWebサイトが真正なものであることを確認するという方法が提案されている。

なお、本発明に関連する文献として特許文献１、非特許文献１がある。
特開昭６３−２１７７３９号公報境、光成、笠原「楕円曲線上のペアリングを用いた２，３の暗号方式」情報処理学会の研究報告「コンピュータセキュリティ」No.014

しかしながら、上記の方法では、利用者がサービス提供者毎に秘密のパスフレーズを用意しなければならず、利用者の負担が大きいという問題がある。特に対象となるサービス提供者が複数ある場合に利用者の負担が大きくなる。また、上記の方法はMan in the Middle (MITM) アタック（通信者の間に位置する攻撃者によるデータ改竄・盗聴攻撃）により破られてしまうという問題がある。

すなわち、フィッシャーが利用者とサービス提供者サイトの間に入り、利用者に成り代わってサービス提供者サイトにアクセスすることにより、フィッシャーによるサービス提供者サイトの成りすましが可能となってしまう。これを図１を用いてより詳しく説明する。

フィッシャーのサイトが利用者と真のサービス提供者の間に位置する。フィッシャーは、偽画面を利用者に対して表示し（ステップ１、２）、利用者から入力されたID、パスワード（一部）を受信する（ステップ３）。続いてフィッシャーは、利用者のふりをして、そのID、パスワード（一部）を、真のサービス提供者の画面を呼び出して投入する（ステップ４〜６）。そして、サービス提供者は利用者がID、パスワード（一部）投入したと判断してパスフレーズをフィッシャーに返し（ステップ７）、フィッシャーはそれを利用者に転送する（ステップ８）。利用者から見れば、サービス提供者のページに入力したID、パスワード（一部）に対して正しいパスフレーズが返されたように見え、利用者はフィッシャーサイトを真のサービス提供者のサイトと誤認してしまう。なお、このようなフィッシャーサイトの処理はプログラムにより容易に自動化できるものである。

本発明は上記の点に鑑みてなされたものであり、秘密のパスフレーズを用意することが不要であり、Man in the MiddleアタックによるWebサイトの成りすましを防止する技術を提供することを目的とする。

上記の課題は、認証要求元装置と被認証装置とがネットワークを介して接続しているシステムで、被認証装置の正当性を認証要求元装置から認証するための認証方法であって、被認証装置は、認証要求元装置からのアクセス要求を受付けると、当該アクセス要求に対応する被認証装置のアドレス情報を当該認証要求元装置に送信し、前記アドレス情報を受信した認証要求元装置は、外部から入力された又は自身で生成した秘密情報を保管すると共に、当該保管した秘密情報と前記アドレス情報を、被認証装置のみが復号できるように暗号化して、前記アドレス情報が示す宛先に送信し、被認証装置は、前記認証要求元装置から受信した暗号化情報を復号し、得られたアドレス情報が認証要求元装置に送信した前記アドレス情報と等しい場合には、前記暗号化情報から復号した秘密情報を、前記暗号情報の送信元である認証要求元装置に送信し、前記認証要求元装置は、前記被認証装置から前記秘密情報を受信できない場合に、通信相手が不当な被認証装置であると判断された場合に実行する処理として予め設定されている処理を実行することを特徴とする認証方法により解決できる。

また、上記の課題は、画面情報を提供する画面情報提供装置と、当該画面情報を前記画面情報提供装置から受信して表示する画面情報表示装置とを有するシステムにおいて、前記画面情報が前記画面情報提供装置から送信されたものであることを前記画面情報表示装置の利用者が確認するために必要な情報を、前記画面情報表示装置に表示させる方法であって、前記画面情報提供装置が、当該画面情報提供装置自身のアドレス情報と前記画面情報を再表示するための再表示画面指定情報とを含む暫定画面情報を前記画面情報表示装置に送信し、前記画面情報表示装置が、前記画面情報表示装置自身で生成した、もしくは利用者から入力された秘密情報と、前記暫定画面情報から取得した前記アドレス情報とを、前記画面情報提供装置のみが復号できるように暗号化し、当該暗号化した暗号情報を、前記暫定画面情報から取得したアドレス情報が示す宛先に送信し、前記宛先である前記画面情報提供装置は、受信した前記暗号情報を復号し、復号して得られたアドレス情報が前記画面情報提供装置自身に対応するアドレス情報である場合に、復号して得られた前記秘密情報に識別子を対応付けて保管すると共に、前記暗号情報の送信元である画面情報表示装置に当該秘密情報と識別子とを送信し、当該秘密情報を受信した画面情報表示装置は、当該受信した秘密情報が前記暗号化して送信した秘密情報と等しい場合に、前記画面情報提供装置に前記暫定画面情報から取得した再表示画面指定情報と前記識別子とを送信し、前記画面情報提供装置は、前記受信した再表示画面指定情報が前記暫定画面情報に含めた再表示画面指定情報と等しい場合に、前記再表示画面指定情報に対応付けられる画面情報と、当該受信した識別子に対応付けて保管されている秘密情報を含む画面情報を前記画面情報表示装置に送信し、前記画面情報表示装置は、当該受信した秘密情報を受信した画面情報とともに表示することを特徴とする方法によっても解決できる。

また、本発明は、画面情報を提供する画面情報提供装置と、当該画面情報を前記画面情報提供装置から受信して表示する画面情報表示装置とを有するシステムにおいて、前記画面情報が前記画面情報提供装置から送信されたものであることを前記画面情報表示装置の利用者が確認するために必要な情報を、前記画面情報表示装置に表示させる方法であって、前記画面情報提供装置が、当該画面情報提供装置自身のアドレス情報と前記画面情報を再表示するための再表示画面指定情報とを含む暫定画面情報を前記画面情報表示装置に送信し、前記画面情報表示装置が、前記画面情報表示装置自身で生成した、もしくは利用者から入力された秘密情報と、前記暫定画面情報から取得した前記アドレス情報および再表示画面指定情報とを、前記画面情報提供装置のみが復号できるように暗号化し、当該暗号化した暗号情報を、前記暫定画面情報から取得したアドレス情報が示す宛先に送信し、前記宛先である前記画面情報提供装置は、受信した前記暗号情報を復号し、復号して得られたアドレス情報及び再表示画面指定情報が前記暫定画面情報で送信したアドレス情報、再表示画面指定情報と夫々一致する場合に、復号して得られた前記秘密情報と再表示画面指定情報に識別子を対応付けて保管すると共に、前記暗号情報の送信元である画面情報表示装置に当該秘密情報と識別子とを送信し、当該秘密情報を受信した画面情報表示装置は、当該受信した秘密情報が前記暗号化して送信した秘密情報と等しい場合に、前記画面情報提供装置に前記識別子を送信し、前記画面情報提供装置は、当該受信した識別子に対応付けて保管されている秘密情報を含む画面情報を前記画面情報表示装置に送信し、前記画面情報表示装置は、当該受信した秘密情報を受信した画面情報とともに表示することを特徴とする方法として構成することもできる。

また、本発明は、画面情報を提供する画面情報提供装置と、当該画面情報を前記画面情報提供装置から受信して表示する画面情報表示装置とを有するシステムにおいて、前記画面情報が前記画面情報提供装置から送信されたものであることを前記画面情報表示装置の利用者が確認するために必要な情報を、前記画面情報表示装置に表示させる方法であって、前記画面情報提供装置が、当該画面情報提供装置自身のアドレス情報と前記画面情報を再表示するための再表示画面指定情報とを含む暫定画面情報を前記画面情報表示装置に送信し、前記画面情報表示装置が、前記画面情報表示装置自身で生成した、もしくは利用者から入力された秘密情報と、前記暫定画面情報から取得した前記アドレス情報および再表示画面指定情報とを、前記画面情報提供装置のみが復号できるように暗号化し、当該暗号化した暗号情報を、前記暫定画面情報から取得したアドレス情報が示す宛先に送信し、前記宛先である前記画面情報提供装置は、受信した前記暗号情報を復号し、復号して得られたアドレス情報及び再表示画面指定情報が前記暫定画面情報で送信したアドレス情報、再表示画面指定情報と夫々一致する場合に、提供する画面情報に前記秘密情報を埋め込んで前記画面情報表示装置に送信することを特徴とする方法として構成することもできる。

更に、本発明は、画面情報を提供する画面情報提供装置と、当該画面情報を前記画面情報提供装置から受信して表示する画面情報表示装置とを有し、前記画面情報が前記画面情報提供装置から送信されたものであることを前記画面情報表示装置の利用者が確認するために必要な情報を、前記画面情報表示装置に表示させるシステムにおける前記画面情報提供装置の機能をコンピュータに実現させるプログラムであって、前記コンピュータを、前記コンピュータ自身のアドレス情報と前記画面情報を再表示するための再表示画面指定情報とを含む暫定画面情報を前記画面情報表示装置に送信する手段、前記画面情報表示装置自身で生成した、もしくは利用者から入力された秘密情報と前記アドレス情報とを、前記コンピュータのみが復号できるように暗号化した暗号情報を、前記画面情報表示装置から受信する手段、前記暗号情報を受信すると、暗号化された情報を復号し、復号して得られたアドレス情報が前記コンピュータ自身に対応するものである場合に、復号して得られた前記秘密情報に識別子を対応付けて保管すると共に、前記暗号情報の送信元である画面情報表示装置に当該秘密情報と識別子とを送信する手段、前記画面情報表示装置から前記再表示画面指定情報と前記識別子を受信し、受信した前記再表示画面指定情報が前記コンピュータ自身の画面情報を指定するものとして正当である場合に、当該受信した識別子に対応付けて保管されている秘密情報を含む前記画面情報を前記画面情報表示装置に送信する手段、として機能させることを特徴とするプログラムとして構成することもできる。

本発明によれば、従来技術で必要であったパスフレーズの登録を行うことなく、Man in the MiddleアタックによるWebサイトの成りすましを検出することが可能となり、結果としてMan in the MiddleアタックによるWebサイトの成りすましを防止できる。

以下、本発明の第１の実施の形態及び第２の実施の形態について図面を参照して説明する。

［第１の実施の形態］
まず、本発明の第１の実施の形態について説明する。図２に第１の実施の形態におけるシステム構成を示す。図２に示すとおり、本システムは、復号化用の鍵を発行・管理する鍵発行センタ装置１、利用者にWebページを提供するサービス提供者装置２、及び、サービス提供者装置２からのWebページを受信する利用者装置３とを含み、これらの装置がインターネット等のネットワークにより接続された構成を有している。

（処理シーケンス）
以下、図３〜図５に示すシーケンス図を参照して、システムの動作を説明する。まず、サービス提供者装置側と利用者装置側の事前準備について図３を参照して説明する。なお、この事前準備は、システム自身の動作というよりも、システムの管理者等が主体になって行われるものである。

図３に示すように、サービス提供者が鍵発行センタに対してIDの登録申請を行う（ステップ１１）。有名Webサイトの偽装を防止するという観点から、本実施の形態では、サービス提供者自身が有名Webサイトの提供者であるものとする。そのために、鍵発行センタでは、上記IDが社会的に良く知られた商号、サービス名、商標等であり、なおかつ、そのIDが確かにサービス提供者のものであることを確認する。確認できた場合にのみ、当該IDをそのサービス提供者のものとして登録する。

また、サービス提供者と鍵発行センタ間の通信を安全なものとするために、サービス提供者を鍵発行センタが確実に認証するための方法、及び鍵配送を安全に行うための方法をサービス提供者と鍵発行センタとの間で定めておく。このような方法として、サービス提供者と鍵発行センタ間でパスワードを取り決めておく方法、公開鍵と秘密鍵を取り決めておく方法等があるが、ここでは、鍵発行センタが、このサービス提供者用の公開鍵と秘密鍵のペア（PKペアと呼ぶことにする）を安全な方法でサービス提供者に配布しておくものとする（ステップ１２）。また、鍵発行センタ装置では、サービス提供者名とIDとPKペアとをデータベースに登録する（ステップ１３）。

そして、IDを公開鍵として用いる暗号化方式における秘密鍵S_IDを発行し、データベースに登録する（ステップ１４）。そして、その秘密鍵S_IDをPKペアの公開鍵で暗号化してサービス提供者装置に送信する（ステップ１５）。なお、IDを公開鍵として用いる暗号化方式自体は公知の技術である（例えば特許文献１参照）。

利用者装置側では、ページ真正性確認クライアントモジュール（単にクライアントモジュールと呼ぶ場合がある）を利用者装置にインストールする（ステップ１６、１７）。また、鍵発行センタ装置が公開する暗号化共通公開パラメータPoを取得しておく。暗号化共通公開パラメータPoは、IDを公開鍵として使用して情報を暗号化する際に必要となる情報である。

なお、図３のステップ１６に示すように、ページ真正性確認クライアントモジュールを鍵発行センタ装置からダウンロードする実施形態では、鍵発行センタ装置においてページ真正性確認クライアントモジュールに暗号化共通公開パラメータPoを組み込んでおけばページ真正性確認クライアントモジュールのダウンロードと同時に暗号化共通公開パラメータPoを取得できる。

以上の事前準備の後、利用者がサービス提供者のWebページを閲覧する段階においてサービス提供者装置のWebページの真正性を確認する全体の処理概要を図４、図５のシーケンスチャートを参照して説明する。

利用者装置がWebブラウザによりサービス提供者装置に対してWebページを要求する（ステップ２１）。この要求に応じ、サービス提供者装置は、真正性確認ボタンが付され、サービス提供者のIDとサービス提供者装置のアドレス情報（復号宛先情報と呼ぶ）とページ再表示のためのURL（再表示URLと呼ぶ）とを含むWebページを利用者装置に送信する（ステップ２２）。利用者装置にはそのWebページが表示される。

利用者が真正性確認ボタンをクリックすると、Webブラウザは予めインストールされているブラウザへのプラグインモジュール経由で、クライアントモジュールに渡すべき情報を所定の引継ぎファイルに入れる（ステップ２３）。利用者からの指示によりクライアントモジュールが起動されると、クライアントモジュールは、その情報を引き継ぎファイルから読み出す（ステップ２４）。

上記の処理においてクライアントモジュールに渡される情報は、サービス提供者のID、サービス提供者のページ（クリックした真正性確認ボタンのあったページ）を再表示させるための再表示URL、及び、復号宛先情報である。なお、復号宛先情報は、例えばホスト名を含むドメイン名（完全修飾ドメイン（FQDN））、IPアドレス等である。

続いて、クライアントモジュールは、真正性確認のために使用される乱数を発生し、また、その乱数と復号宛先情報とを結合した情報を、サービス提供者装置のみが復号できるように暗号化する（ステップ２５）。なお、乱数を生成することに代えて、利用者が秘密情報を入力し、その秘密情報と復号宛先情報とを結合した情報をサービス提供者装置のみが復号できるよう暗号化してもよい。また、暗号化の詳細については後述する。利用者装置は、上記のようにして暗号化した情報を、復号宛先情報で示される宛先であるサービス提供者装置へ送信する（ステップ２６）。

利用者装置から暗号化された情報を受け取ったサービス提供者装置は、鍵発行センタ装置から予め取得している自らのIDに対応する復号鍵を用いることにより、利用者装置から受け取った暗号化された情報を復号し、乱数と復号宛先情報を取得する。そして、復号宛先情報がサービス提供者装置自身を示すものかどうか確認する（ステップ２７）。サービス提供者装置自身を示すものであることを確認したら、乱数の識別子を作成し、その識別子とともに乱数を記憶し、その乱数と識別子を利用者装置に送信する（ステップ２８）。

サービス提供者装置から乱数とその識別子を受信した利用者装置は、自身がステップ２５で生成した乱数と、受信した乱数とを比較して乱数が正しく復号されているか否かを確認する（ステップ２９）。乱数が正しく復号されている場合、利用者に対して、当該乱数を含む乱数通知画面を表示する。そして、乱数通知画面を表示するとともに、サービス提供者装置宛に、再表示URLと乱数識別子を送信することにより、確認対象としたWebページの再表示を要求する（ステップ３０）。

なお、ステップ２９において、受信した乱数が正しくない場合は、例えば、通信相手が正当でない可能性がある旨を示す画面を表示して処理を中断する。また、暗号化した情報をサービス提供者装置へ送信した後、一定時間経過しても、サービス提供者装置からの情報返却が無かった場合にも、通信相手が正当でない可能性がある旨を示す画面を表示して処理を中断する。

利用者からWebページの再表示要求を受け取ったサービス提供者装置は、再表示URLがサービス提供者装置のものとして正当であるか否かをチェックする（図５のステップ３１）。チェックOKであれば、再表示URLにより指定されるWebページに、一緒に送信されてきた識別子に対応する乱数を埋め込んで、利用者装置に送信する(ステップ３２)。

利用者装置は、上記のWebページを再表示する。再表示されたWebページには乱数が含まれており、利用者は、再表示されたWebページ上の乱数とステップ２９で表示された乱数通知画面上の乱数とが等しいことを確認することにより、Webページが確かにサービス提供者が提供するものであることを確認できる（ステップ３３）。

なお、上記の例では、IDを公開鍵として用いる暗号化方式における秘密鍵S_IDをサービス提供者装置に持たせることにより、サービス提供者装置のみが利用者装置から送られた暗号化情報を復号可能としていたが、これに代えて、利用者装置とサービス提供者装置に共通秘密鍵を予め持たせ、利用者装置がその共通秘密鍵を用いて暗号化を行うことにより、サービス提供者装置のみが利用者装置から送られた暗号化情報を復号可能とすることもできる。

上記の方法により、フィッシャーによるMan in the Middleアタックを防止できることについて説明する。

上記の方法では、乱数とともに復号宛先情報を用いているので、フィッシャーがMan in the Middleアタックを行ったとしても乱数を取得できない。このことを、復号宛先情報を用いない場合においてフィッシャーがMITMアタックを行うことを想定することにより説明する。この想定において、復号宛先情報を用いないこと以外は、フィッシャーが存在することを除き図４、５と同じ処理が行われるものと仮定する。このような想定の下では、図６、７に示すようなMITMアタックが行われる。

フィッシャーは、図６のステップ４２において、フィッシャーのアドレス情報とフィッシャーのページを再表示するURLを含む確認ボタン付きページを利用者装置に送信する。そして、フィッシャーは、利用者装置から送信された（ステップ４６）暗号化された乱数を受け取った時に、利用者のふりをして、サービス提供者の確認ボタンつきのページを呼び出し、確認ボタンをクリックしたようにシミュレートし、サービス提供者装置に利用者装置から受信した暗号化された乱数を送信する（ステップ４７〜４９）。サービス提供者装置は、利用者装置からの暗号化乱数とフィッシャーからの暗号化乱数とを区別できないので、フィッシャーから暗号化乱数を受け取ると、復号した乱数をフィッシャーに返し（ステップ５１）、フィッシャーは乱数を利用者装置に送信する（ステップ５２）。これにより正しい乱数が利用者装置に表示されるので、Webページの再表示要求が、フィッシャーに対して送信される（図７のステップ５３）。フィッシャーは正しい乱数をWebページに埋め込めるので、利用者は、フィッシャーの偽装サイトを真のサービス提供者のサイトと誤認してしまう（ステップ５４、５５）。

一方、図４、５に示したような本実施の形態の方法によれば、利用者装置は乱数と復号宛先情報を一緒に暗号化するように動作するので、図６、７に示すようなフィッシャーによるアタックが行われた場合、利用者装置は、フィッシャーのサイトのアドレス情報を復号宛先情報として乱数と一緒に暗号化する。途中でフィッシャーがこの情報を受け取り、この情報をサービス提供者装置に送信する。サービス提供者装置はこの情報を復号し、復号宛先情報を調べることにより自分に送られたものではないことを認識でき、不正者が介在していることを知ることができる。すなわち、利用者装置が、サービス提供者装置のみが復号できるようにサービス提供者装置のアドレス情報を暗号化し、暗号化した情報を相手に送信し、相手から正しい応答が返却されたことを確認することにより、その相手が正当なサービス提供者装置であることを認証できる。

ただし、フィッシャーが図６のステップ４２において、フィッシャーのサイトのアドレス情報ではなくサービス提供者装置のアドレス情報を利用者装置に送ることが考えられる。この場合、図８に示すように、サービス提供者装置は復号宛先情報のチェックを行ってもフィッシャーの存在を見抜くことはできす、利用者装置には、図８の時点Aにおいて正しく復号された乱数が返される。

しかし、本実施の形態の方法では、時点Aの後に、再表示要求をサービス提供者装置を宛先として送信するので、最終的に表示されるWebページは真のサービス提供者装置から送られたものとなる。また、真のサービス提供者が再表示URLを自分のものでないことを検出した場合は、利用者に警告画面を送ることもできる。従って、本実施の形態によれば、図８に示すようなフィッシャーによる偽装も防止できる。

なお、上記の処理では利用者装置が乱数を発生することとしたが、利用者が利用者のみの知る情報を指定し、それを乱数の代わりに用いても良い。その場合、クライアントモジュールが乱数を発生する代わりに、利用者に利用者自身のみ知る情報を入力する画面を提示して情報入力させる。

また、上記のシーケンスにおいて、IDとしてサービス提供者に固有の名前自体等を用いることの他、鍵の有効期間の情報をIDに付加したものを用いてもよい。これにより鍵（公開鍵として用いるID）の更新が可能となる。この場合、システム全体でIDの有効期間を定めておき、有効期間が到来したら、鍵発行センタ、サービス提供装置、利用者装置において次の有効期間の情報をIDに付加する。例えば月ごとに鍵を変える場合には、その時の月名をIDに追加する。IDを更新した場合、更新後のIDに対応する秘密鍵は鍵発行センタがサービス提供者に配布する。利用者側においては、この制御情報の付加は、クライアントモジュールが日付を参照し、自動的に行うようにすればよい。

（各装置の詳細構成）
次に、図２のシステムを構成する各装置の機能について詳細に説明する。なお、各装置は、CPU、メモリ、ハードディスク、通信装置等を有するコンピュータであり、以下で説明する各機能は、コンピュータにインストールされたプログラムにより実現されるものである。

図９は、鍵発行センタ装置の機能構成図である。図９に示すように、鍵発行センタ装置は、サービス提供者装置との通信を行うための通信機能部１１、サービス利用者のIDをデータベースに登録するためのID登録機能部１３、サービス提供者装置が情報を復号するために使用する秘密鍵を生成する秘密鍵生成機能部１５、及びその秘密鍵をサービス提供者装置に送信する秘密鍵配布機能部１７を有している。更に、鍵発行センタ装置は、IDに関する情報を保持するデータベース１９を有している。

データベース１９には、ID、ID所有者（サービス提供者）の情報、サービス提供者装置と鍵発行センタ装置間における復号用の秘密鍵の配送方法、及びサービス提供者用の秘密鍵が記録される。上述したようにPKペアを使う場合はそのPKペアがIDに対応付けて格納される。また、データベース１９には、暗号化共通公開パラメータPoと暗号化共通秘密パラメータPsが保持される。これらの暗号化共通公開パラメータPoと暗号化共通秘密パラメータPsは定期的に更新される（例えば年に１回程度）。更新の際には、利用者装置が保持する暗号化共通公開パラメータPoと、サービス提供者装置が保持する秘密鍵も自動的に更新する機能を有してもよい。

次に、図１０を参照して利用者装置の機能構成を説明する。図１０に示すように、利用者装置は、サービス提供者装置と通信を行う通信機能部２１、サービス提供者装置から送られるWebページを表示するブラウザ２３、及び準備段階でインストールされるページ真正性確認クライアントモジュール２５を有している。また、準備段階でインストールされる、ブラウザへのプラグインモジュール２３１を有している。なお、ページ真正性確認クライアントモジュール２５をブラウザ２３に組み込む構成をとることもできる。

ページ真正性確認クライアントモジュール２５は、図４、５に示したページ真正性確認における一連の処理の制御、通信電文作成、利用者インターフェース画面表示等を行う制御部２５１と、サービス提供者装置のみが復号できるように乱数と復号宛先情報の暗号化を行う暗号化セッション鍵生成・暗号化機能部２５２と、モジュール真正性チェック機能部２５３とを有している。また、暗号化共通パラメータPo、合言葉対応表、乱数−ID対応表等をデータベース２５４〜２５６に保持している。

モジュール真正性チェック機能部２５３は、起動されたページ真正性確認クライアントモジュール２５が、改竄されていたり、偽者ではないことを利用者が確認するための機能を有している。フィッシャーによる偽装として、例えば、正規のサービス提供者のページと外見上同じページを表示し、ボタンをクリックした場合に正規の利用者情報入力画面と外見上同じ画面を表示することが考えられる。この偽装画面にデータを投入してしまえばデータが暗号化されることなくフィッシャーに送信されることになる。このような偽装を防止するために、本実施の形態のモジュール真正性チェック機能部２５３は、以下のような処理を行う。

準備として、ページ真正性確認クライアントモジュール２５を利用者装置にインストールする際に、利用者固有の合言葉（利用者が入力する言葉と、それに対して返す言葉）を決め、ページ真正性確認クライアントモジュール２５に登録する。モジュール真正性チェック機能部２５３は、利用者からの上記合言葉の入力を受け、対応する合言葉を返す。利用者は合言葉を投入して正しい答えが返ってくるか確認することにより、正しいページ真正性確認クライアントモジュールが動作しているか否かを確認できる。なお、合言葉を使用する代わりに、利用者が予め設定したシンボルを表示するといった簡易な方式を用いることもできる。

このような構成を有する利用者装置の動作を、図１１、１２のフローチャートを参照して説明する。また、このフローの中で利用者装置に表示される画面の例についても処理に流れに沿って示す。

利用者が、サービス提供者装置に対してWebページを要求し、サービス提供者装置からWebページが送信されると、利用者装置は、図１３に示すような確認ボタンを含むWebページを表示する。

上記Webページ上での利用者による確認ボタンのクリックを受けて（ステップ１０１）、利用者装置のブラウザは、図１４に示す画面を表示するとともに、プラグインモジュールを呼び出して、引継情報である、サービス提供者ID、再表示URL、復号宛先情報をプラグインモジュールに渡す（ステップ１０２）。プラグインモジュールは、引継情報を引継ファイルに格納する（ステップ１０３）。なお、ステップ１０２の機能は、Webページが備えているものである。

一方、図１４の画面を見た利用者が、ページ真正性確認モジュールを起動すると（ステップ１０４）、ページ真正性確認モジュールは、モジュール真正性チェック機能部により、図１５に示す合言葉入力画面を表示する（ステップ１０５）。利用者が合言葉を入力すると（ステップ１０６）、ページ真正性確認モジュールは、図１６に示す画面を表示する（ステップ１０７）。利用者は、画面に表示された返し言葉がインストール時に設定した正しい返し言葉か否かを判断する（ステップ１０８）。正しくなければ処理を終了させる。

正しければ利用者は図１６の画面上でOKボタンを押し、これに応じて、ページ真正性確認モジュールは、引継ファイルから引継情報を読み込み（ステップ１０９）、図１７に示すID確認画面を表示する（ステップ１１０）。

利用者は、表示されたIDが、利用者が想定するサービス提供者のIDであることを確認し、OKボタンを押すと（ステップ１１１のOK）、ページ真正性確認モジュールは乱数及びセッション鍵（対称鍵暗号方式による秘密鍵）を発生させ、乱数と復号宛先情報をセッション鍵を用いて暗号化し、また、セッション鍵を、暗号化共通公開パラメータPoとIDを用いて暗号化し、暗号化情報Mを作成する（ステップ１１２）。ここで、利用者装置で発生させた乱数をRan、復号宛先情報Add、セション鍵をKsとすると、
M = E_ID(Ks) + E _Ks(Ran+Add)
である。この表記において、E _Kは鍵Kで暗号化するファンクションを表す。“＋“はデータ（ビット列）の結合を示す。結合の方法は特に限定されず、結合した文字列からそれぞれの情報を分離抽出できる方法ならばどのような方法を用いてもよい。E_IDは、IDを暗号鍵（公開鍵）として用いることにより、準備段階でサービス提供者装置が取得した秘密鍵S_IDでのみ復号できるように暗号化を行うことを示している。IDを公開鍵として用いる方法自体は公知であり、例えば特許文献１に開示されている。この文献に基づく方法の概略について以下説明する。
まず、鍵発行センタ装置で大きな素数をいくつか選択し、その積Nを計算する。以下、素数がp、q、rの３つの場合について説明する。この場合、N = pqrである。次に、p、q、rにそれぞれ対応するガロア体GF(p)、GF(q)、GF(r)に共通の原始根θを選択する。鍵発行センタは暗号化共通公開パラメータとして（N, θ）を公開し、暗号化共通秘密パラメータとしてp、q、rを秘匿する。

また、鍵発行センタはPohlig-Hellmanのアルゴリズムを用いて、
θ^s₁ ≡ ID^2 (mod p)、
θ^s₂ ≡ ID^2 (mod q)、
θ^s₃ ≡ ID^2 (mod r)
を満たすs₁、s₂、s₃を求め（^はべき乗を表す）、θ^s ≡ ID^2 (mod N)となるsを秘密鍵S_IDとする。この秘密鍵をサービス提供者装置に対して発行する。

また、利用者装置は、乱数tを生成し、暗号化共通公開パラメータ（N, θ）を用いて、
C₁ = θ^t (mod N)
C₂ = Ks・ID^(2t) ( mod N)
を計算することにより、Ksを暗号化する。なお、（C₁, C₂）を受け取ったサービス提供者装置は、秘密鍵ｓを用い、Ks = C₂/(C₁^(2s)) ( mod N)を計算することによりKsを求めることができる。その他のID公開鍵方式としては、上記のほかに例えば楕円曲線上のWeil Pairingを用いたものがある（非特許文献１参照）。

図１１のフローチャートにおいて、利用者装置は暗号化情報Mを作成した後、暗号化情報Mをサービス提供者装置に送信する（ステップ１１３）。そして、サービス提供者装置からの返信を待つ（ステップ１１４）。ここでは、時間監視を行い、一定時間返信がなければ利用者に異常を通知し、処理を終了する。

利用者装置が暗号化情報Mの送信に対する応答を受信すると（図１２のステップ１１５）、その受信情報の中から乱数を取り出す（ステップ１１６）。その乱数と、利用者装置自身がステップ１１２において作成した乱数とを比較し、受信情報の乱数が正しいものかどうかをチェックする（ステップ１１７）。乱数が正しくない場合、フィッシングの可能性があることを示す警告を表示し、利用者が終了ボタンを押すことにより処理を終了する（ステップ１１８、１１９）。

乱数が正しい場合、図１８に示すような乱数と再表示ボタンを含む画面を表示する（ステップ１２０）。利用者が再表示ボタンをクリックすると（ステップ１２１）、再表示URLと乱数識別子とを復号宛先情報で示される宛先であるサービス提供者装置に送信することにより、Weｂページの再表示を要求する（ステップ１２２）。また、乱数、乱数識別子、サービス提供者のIDを対応付けてファイルに格納する（ステップ１２３）。これにより、利用者が、乱数とIDとの対応を随時確認できる。なお、乱数は一時的なものであり、長い期間使用することは好ましくないので、セッションが終了したら廃棄する。

その後、再表示要求に対応するWebページを受信し、図１９に示すような、乱数を埋め込んだ再表示Webページ画面を表示する。この乱数は利用者とサービス提供者の間の秘密情報であるため、一度確認が成功すれば、一つのセションとして管理されている複数の画面でこの乱数を表示することにより、フィッシャーの作った偽装画面ではないことを保証することも可能である。すなわち、全ての画面に確認ボタンを設置する必要はないということである。

なお、図１２のフローに代えて、図２０のように再表示の要求を自動的に行うようにしてもよい。この場合、図１１のステップ１１０の前に乱数を発生させ、ステップ１１０において図２１に示す画面が表示され、利用者がIDを確認するボタンを押し、正しく復号された乱数を受信した場合に、利用者が再表示を要求するボタンを押すことなく、利用者装置が自動的に再表示の要求を行い（図２０のステップ１１５〜１２３）、最後に図１９に示す画面を表示する。

次に、サービス提供者装置の構成について図２２を参照して説明する。

図２２に示すように、サービス提供者装置は、利用者装置及び鍵発行センタ装置と通信を行うための通信機能部３１、利用者装置に送るWebページを作成するWebページ作成機能部３３、暗号化情報の復号や、Webページの再表示等を含む真正性確認のための処理を実行する制御部３５、及び、鍵発行センタ装置に対して秘密鍵を要求し、秘密鍵を受信して秘密鍵データベース３７１に格納する秘密鍵管理機能部３７を有する。なお、秘密鍵管理機能部は、秘密鍵を更新するために、例えば１〜２ヶ月に一回の頻度で秘密鍵の要求・取得を行うことができる。

図２３のフローチャートを参照して、サービス提供者装置の動作を説明する。

利用者装置から暗号化情報Mを受信すると（ステップ２０１）、準備段階で鍵発行センタ装置から取得していた秘密鍵S_IDを用いてMの中のE_ID(Ks)を復号し、Ksを用いてE _Ks(Ran+Add)を復号することにより乱数（Ran）と復号宛先情報（Add）を取得する（ステップ２０２）。

そして、復号宛先情報が自分自身に対応するものかどうかをチェックする（ステップ２０３）。自分自身に対応するものでない場合は、利用者装置に異常を通知して処理を終了する（ステップ２０４、２０５）。自分自身に対応する場合、復号により得た乱数の識別子を生成し、乱数と識別子を利用者装置に返信する（ステップ２０６）。また、Webページを要求した利用者装置に対応付けて、乱数と乱数識別子をファイルに格納し（ステップ２０７）、利用者装置からの再表示要求を待つ（ステップ２０８）。なお、上記ファイルへの格納は一時的なものである。

サービス提供者装置が利用者装置から再表示要求を受信すると（ステップ２０９）、再表示要求から乱数の識別子を取り出し、乱数識別子に対応する乱数を上記のファイルから検索し、取得する（ステップ２１０）。

また、再表示要求から再表示URLを取得し、その再表示URLが自分自身のURLとして正しいものかどうかをチェックする（ステップ２１１）。すなわち、再表示URLにおけるアドレス部分が、自分自身を指すものか否かをチェックする。再表示URLが正しくなければ、フィッシングを警告する画面を利用者装置宛に送信する（ステップ２１２、２１３）。再表示URLが正しいものであれば、再表示URLを乱数とともにWebページ作成部へ渡し（ステップ２１４）、Webページ作成部は乱数を組み込んだWebページを作成し、利用者装置へ送信する（ステップ２１５）。

なお、利用者装置とサービス提供者装置間の同一セッションでの情報交換においては、サービス提供者装置が復号した情報を利用者装置に返送する場合を含め、セション鍵で情報を暗号化して情報交換を行ってもよい。これにより、伝送路上の盗聴に対処できる。

［第２の実施の形態］
前述したように、第１の実施の形態では、再表示要求を、乱数を正しく復号した装置に送ることにより図８に示したようなフィッシャーの偽装法を回避できる。ここで、フィッシャーが図８に示したような偽装をする場合、フィッシャーは、再表示URLとしてフィッシャーのページを表示するためのURLを確認ボタン付きページに含めて利用者装置に送ることになる。

従って、この再表示URLを早期にチェックすれば、図８に示したようなフィッシャーの偽装法を早期の段階で見破ることが可能となる。このような観点に基づく処理フローの２つの例を示す。

図２４は、図４、図５に示した処理の中のステップ２１〜２８に相当する部分の処理を抽出して示すものであるが、図２４に示す例では、利用者装置が確認ボタン付きページを受信した時点でサービス提供者装置のアドレス（復号宛先情報）と、再表示URLとの整合をチェックしている。すなわち、サービス提供者装置のアドレスと再表示URLの中のアドレスとを比較し、同じかどうかをチェックする。ここで整合がとれていないことがわかれば、この時点で警告を表示する。なお、上記の処理以外は図４、図５に示した処理と同じである。

図２５は、図４、図５に示した処理の中のステップ２１〜３０に相当する部分の処理を抽出して示すものであるが、図２５に示す例では、Ksで暗号化する情報に、乱数と復号宛先情報に加えて再表示URLを加え、サービス提供者装置側で復号宛先情報とともに再表示URLもチェックする。サービス提供者装置は、復号宛先情報と再表示URLの両方をチェックし、両方ともチェックOKである場合にのみ復号した乱数を利用者装置に送信する。なお、上記の処理以外は図４、図５に示した処理と同じである。

これまでに説明したように、本発明の実施の形態で説明したシステムを用いることにより、利用者は、閲覧しているWebページが真のサービス提供者が提供したものであるか否かを、パスフレーズを登録したりサービス提供者の鍵情報等を予め入手することなく、ボタンクリックという簡単な操作で確認することが可能となる。また、本システムを採用することにより、偽のページにアクセスさせて偽の情報をつかませたり、パスワードのような秘密情報を盗んだりする被害から利用者を救済することができるので、サービス提供者としての信用の向上とブランドイメージの向上に繋げることが可能となる。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内で種々変更・応用が可能である。

Man in the Middle （MITM）アタックを説明するための図である。本発明の実施の形態におけるシステム構成を示す図である。第１の実施の形態におけるシステムの動作を説明するためのシーケンス図（その１）である。第１の実施の形態におけるシステムの動作を説明するためのシーケンス図（その２）である。第１の実施の形態におけるシステムの動作を説明するためのシーケンス図（その３）である。復号宛先情報を用いない場合に想定されるMITMアタックを示す図（その１）である。復号宛先情報を用いない場合に想定されるMITMアタックを示す図（その２）である。想定されるMITMアタックを示す図である。鍵発行センタ装置の機能構成図である。利用者装置の機能構成図である。利用者装置の動作を示すフローチャート（その１）である。利用者装置の動作を示すフローチャート（その２）である。利用者装置に表示される画面例（その１）である。利用者装置に表示される画面例（その２）である。利用者装置に表示される画面例（その３）である。利用者装置に表示される画面例（その４）である。利用者装置に表示される画面例（その５）である。利用者装置に表示される画面例（その６）である。利用者装置に表示される画面例（その７）である。再表示を自動的に行う場合における利用者装置の動作を示すフローチャートの一部である。利用者装置に表示される画面例（その８）である。サービス提供者装置の機能構成図である。サービス提供者装置の動作を示すフローチャートである。第２の実施の形態におけるシステムの動作を説明するためのシーケンス図（第１の例）である。第２の実施の形態におけるシステムの動作を説明するためのシーケンス図（第２の例）である。

符号の説明

１鍵発行センタ装置
２サービス提供者装置
３利用者装置
１１通信機能部
１３ ID登録機能部
１５秘密鍵生成機能部
１７秘密鍵配布機能部
１９データベース
２１通信機能部
２３ブラウザ
２５ページ真正性確認クライアントモジュール
３１通信機能部
３３ Webページ作成機能部
３５制御部
３７秘密鍵管理機能部

Claims

認証要求元装置と被認証装置とがネットワークを介して接続しているシステムで、被認証装置の正当性を認証要求元装置から認証するための認証方法であって、
被認証装置は、認証要求元装置からのアクセス要求を受付けると、当該アクセス要求に対応する被認証装置のアドレス情報を当該認証要求元装置に送信し、
前記アドレス情報を受信した認証要求元装置は、外部から入力された又は自身で生成した秘密情報を保管すると共に、当該保管した秘密情報と前記アドレス情報を、被認証装置のみが復号できるように暗号化して、前記アドレス情報が示す宛先に送信し、
被認証装置は、前記認証要求元装置から受信した暗号化情報を復号し、得られたアドレス情報が認証要求元装置に送信した前記アドレス情報と等しい場合には、前記暗号化情報から復号した秘密情報を、前記暗号情報の送信元である認証要求元装置に送信し、
前記認証要求元装置は、前記被認証装置から前記秘密情報を受信できない場合に、通信相手が不当な被認証装置であると判断された場合に実行する処理として予め設定されている処理を実行する
ことを特徴とする認証方法。
画面情報を提供する画面情報提供装置と、当該画面情報を前記画面情報提供装置から受信して表示する画面情報表示装置とを有するシステムにおいて、前記画面情報が前記画面情報提供装置から送信されたものであることを前記画面情報表示装置の利用者が確認するために必要な情報を、前記画面情報表示装置に表示させる方法であって、
前記画面情報提供装置が、当該画面情報提供装置自身のアドレス情報と前記画面情報を再表示するための再表示画面指定情報とを含む暫定画面情報を前記画面情報表示装置に送信し、
前記画面情報表示装置が、前記画面情報表示装置自身で生成した、もしくは利用者から入力された秘密情報と、前記暫定画面情報から取得した前記アドレス情報とを、前記画面情報提供装置のみが復号できるように暗号化し、当該暗号化した暗号情報を、前記暫定画面情報から取得したアドレス情報が示す宛先に送信し、
前記宛先である前記画面情報提供装置は、受信した前記暗号情報を復号し、復号して得られたアドレス情報が前記画面情報提供装置自身に対応するアドレス情報である場合に、復号して得られた前記秘密情報に識別子を対応付けて保管すると共に、前記暗号情報の送信元である画面情報表示装置に当該秘密情報と識別子とを送信し、
当該秘密情報を受信した画面情報表示装置は、当該受信した秘密情報が前記暗号化して送信した秘密情報と等しい場合に、前記画面情報提供装置に前記暫定画面情報から取得した再表示画面指定情報と前記識別子とを送信し、
前記画面情報提供装置は、前記受信した再表示画面指定情報が前記暫定画面情報に含めた再表示画面指定情報と等しい場合に、前記再表示画面指定情報に対応付けられる画面情報と、当該受信した識別子に対応付けて保管されている秘密情報を含む画面情報を前記画面情報表示装置に送信し、
前記画面情報表示装置は、当該受信した秘密情報を受信した画面情報とともに表示する
ことを特徴とする方法。
画面情報を提供する画面情報提供装置と、当該画面情報を前記画面情報提供装置から受信して表示する画面情報表示装置とを有するシステムにおいて、前記画面情報が前記画面情報提供装置から送信されたものであることを前記画面情報表示装置の利用者が確認するために必要な情報を、前記画面情報表示装置に表示させる方法であって、
前記画面情報提供装置が、当該画面情報提供装置自身のアドレス情報と前記画面情報を再表示するための再表示画面指定情報とを含む暫定画面情報を前記画面情報表示装置に送信し、
前記画面情報表示装置が、前記画面情報表示装置自身で生成した、もしくは利用者から入力された秘密情報と、前記暫定画面情報から取得した前記アドレス情報および再表示画面指定情報とを、前記画面情報提供装置のみが復号できるように暗号化し、当該暗号化した暗号情報を、前記暫定画面情報から取得したアドレス情報が示す宛先に送信し、
前記宛先である前記画面情報提供装置は、受信した前記暗号情報を復号し、復号して得られたアドレス情報及び再表示画面指定情報が前記暫定画面情報で送信したアドレス情報、再表示画面指定情報と夫々一致する場合に、復号して得られた前記秘密情報と再表示画面指定情報に識別子を対応付けて保管すると共に、前記暗号情報の送信元である画面情報表示装置に当該秘密情報と識別子とを送信し、
当該秘密情報を受信した画面情報表示装置は、当該受信した秘密情報が前記暗号化して送信した秘密情報と等しい場合に、前記画面情報提供装置に前記識別子を送信し、
前記画面情報提供装置は、当該受信した識別子に対応付けて保管されている秘密情報を含む画面情報を前記画面情報表示装置に送信し、
前記画面情報表示装置は、当該受信した秘密情報を受信した画面情報とともに表示する
ことを特徴とする方法。
画面情報を提供する画面情報提供装置と、当該画面情報を前記画面情報提供装置から受信して表示する画面情報表示装置とを有するシステムにおいて、前記画面情報が前記画面情報提供装置から送信されたものであることを前記画面情報表示装置の利用者が確認するために必要な情報を、前記画面情報表示装置に表示させる方法であって、
前記画面情報提供装置が、当該画面情報提供装置自身のアドレス情報と前記画面情報を再表示するための再表示画面指定情報とを含む暫定画面情報を前記画面情報表示装置に送信し、
前記画面情報表示装置が、前記画面情報表示装置自身で生成した、もしくは利用者から入力された秘密情報と、前記暫定画面情報から取得した前記アドレス情報および再表示画面指定情報とを、前記画面情報提供装置のみが復号できるように暗号化し、当該暗号化した暗号情報を、前記暫定画面情報から取得したアドレス情報が示す宛先に送信し、
前記宛先である前記画面情報提供装置は、受信した前記暗号情報を復号し、復号して得られたアドレス情報及び再表示画面指定情報が前記暫定画面情報で送信したアドレス情報、再表示画面指定情報と夫々一致する場合に、提供する画面情報に前記秘密情報を埋め込んで前記画面情報表示装置に送信する
ことを特徴とする方法。
画面情報を提供する画面情報提供装置と、当該画面情報を前記画面情報提供装置から受信して表示する画面情報表示装置とを有し、前記画面情報が前記画面情報提供装置から送信されたものであることを前記画面情報表示装置の利用者が確認するために必要な情報を、前記画面情報表示装置に表示させるシステムにおける前記画面情報提供装置の機能をコンピュータに実現させるプログラムであって、前記コンピュータを、
前記コンピュータ自身のアドレス情報と前記画面情報を再表示するための再表示画面指定情報とを含む暫定画面情報を前記画面情報表示装置に送信する手段、
前記画面情報表示装置自身で生成した、もしくは利用者から入力された秘密情報と前記アドレス情報とを、前記コンピュータのみが復号できるように暗号化した暗号情報を、前記画面情報表示装置から受信する手段、
前記暗号情報を受信すると、暗号化された情報を復号し、復号して得られたアドレス情報が前記コンピュータ自身に対応するものである場合に、復号して得られた前記秘密情報に識別子を対応付けて保管すると共に、前記暗号情報の送信元である画面情報表示装置に当該秘密情報と識別子とを送信する手段、
前記画面情報表示装置から前記再表示画面指定情報と前記識別子を受信し、受信した前記再表示画面指定情報が前記コンピュータ自身の画面情報を指定するものとして正当である場合に、当該受信した識別子に対応付けて保管されている秘密情報を含む前記画面情報を前記画面情報表示装置に送信する手段、
として機能させることを特徴とするプログラム。