JP2007241809A - 個人情報保護プログラムおよび端末 - Google Patents

Abstract

【課題】暗号化される送信データに関しても監視することができ、監視の結果として送信データに個人情報が含まれているときは、送信を中止することができる個人情報保護プログラムを提供する
【解決手段】個人情報保護プログラムは、個人情報検出処理部５６と意志確認処理部５７とを備える。個人情報検出処理部５６は、ウェブページの文字入力欄へ入力された文字列をウェブブラウザが送信する際に、記憶部５８の監視対象個人情報ファイルが記憶している個人情報に基づき、入力された文字列から個人情報を検出する。意志確認処理部５７は、個人情報検出処理部５６が個人情報を検出したときは、ユーザに対して送信可否の問い合わせを行い、ユーザに対する問い合わせの結果を取得して、ウェブブラウザに通知する。
【選択図】図２

Description

本発明は、個人情報保護プログラムおよび端末にかかわり、特にウェブページの文字入力欄に入力された文字列から個人情報が流出することを防止する個人情報保護プログラムおよび端末に関する。

インターネットを介して個人情報を詐取する詐欺手口としてフィッシング詐欺がある。これは正規サービス提供者を偽って、次のように個人情報を詐取する。１）正規サービス提供者を擬した不正ウェブサイトを開設する。２）正規サービス提供者を偽ってエンドユーザに不正サイトに個人情報の投入を求めるメールを送る。３）エンドユーザがウェブブラウザで不正なサイトにアクセスし、個人情報を送信する。
このような詐欺の防衛手段として、ウェブブラウザからウェブサーバに送信されるデータに個人情報が含まれていないことを監視／チェックする従来の方式としてパケットモニタリング方式がある（例えば、非特許文献１参照）。
パケットモニタリング方式は、ネットワーク上に流れるデータに特定データが含まれているか否かをチェックし、監視する方式である。このための監視手段は、ウェブブラウザが動作しているクライアントやネットワーク上におかれる。
"eEye Iris"、キャノンシステムソリューションズ株式会社、［online］、［平成１８年２月２７日検索］、インターネット＜URL：http://canon-sol.jp/product/ir/index.html＞

しかしながら、非特許文献１に示すパケットモニタリング方式にあっては、送信データがＳＳＬ (Secure Socket Layer)などにより暗号化されていた場合にはデータ内容を把握することができない。また送信データの監視のみであるため、送信データが暗号化されていない場合にはデータ内容を把握することができても、該送信データの送信を中止することはできないという問題がある。

本発明は、このような事情に鑑みてなされたもので、その目的は、暗号化される送信データに関しても監視することができ、監視の結果として送信データに個人情報が含まれているときは、送信を中止することができる個人情報保護プログラムを提供することにある。

この発明は上述した課題を解決するためになされたもので、請求項１に記載の発明は、ウェブブラウザと個人情報を記憶している監視対象個人情報記憶手段とを備えるコンピュータを、ウェブページの文字入力欄へ入力された文字列を前記ウェブブラウザが送信する際に、前記監視対象個人情報記憶手段が記憶している個人情報に基づき、前記入力された文字列から個人情報を検出する個人情報検出手段、前記個人情報検出手段が個人情報を検出したときは、ユーザに対して送信可否の問い合わせを行い、前記ユーザに対する問い合わせの結果を取得して、前記ウェブブラウザに通知する意思確認手段として機能させる個人情報保護プログラムである。

また、請求項２に記載の発明は、請求項１に記載の個人情報保護プログラムであって、前記コンピュータを、前記入力された文字列の送信先装置を認証し、該認証結果に基づき個人情報の検出要否を判定する認証手段としても機能させ、前記意思確認手段は、前記認証手段が個人情報の検出要と判定し且つ前記個人情報検出手段が個人情報を検出したときは、ユーザに対して送信可否の問い合わせを行い、前記ユーザに対する問い合わせの結果を取得して、前記ウェブブラウザに通知することを特徴とする。

また、請求項３に記載の発明は、請求項２に記載の個人情報保護プログラムであって、前記認証手段は、前記ウェブページの中から電子透かし情報の検出を行い、前記電子透かし情報を検出できないときは、個人情報の検出要と判定することを特徴とする。

また、請求項４に記載の発明は、個人情報を記憶している監視対象個人情報記憶手段と、通信回線にて接続されたウェブサーバに対して、ウェブページの要求を送信する要求送信手段と、前記ウェブサーバからウェブページを受信する受信手段と、前記受信手段が受信したウェブページを表示し、前記ウェブページの文字入力欄へ入力された文字列と該文字列の送信指示とを受け付ける入力受付手段と、前記監視対象個人情報記憶手段が記憶している個人情報に基づき、前記入力された文字列から個人情報を検出する個人情報検出手段と、前記個人情報検出手段が個人情報を検出したときは、ユーザに対して送信可否の問い合わせを行い、前記問い合わせの結果を取得する意志確認手段と、前記意思確認手段が取得した結果が送信可のときは、前記入力された文字列を送信し、送信不可のときは、前記入力された文字列の送信を中止する文字列送信手段とを備えることを特徴とする端末である。

この発明によれば、文字入力欄へ入力された文字列をウェブブラウザが送信する際に、監視対象個人情報記憶手段に基づき該文字列から個人情報を検出するので、暗号化される前に送信データを監視することができ、ユーザに対して送信可否を問い合わせた結果をウェブブラウザに通知するので、送信を中止することができる。

以下、本発明の一実施形態による個人情報保護プログラムを利用した個人情報保護システムを、図面を参照して説明する。図１は同実施形態による個人情報保護システムの概略構成を示すブロック図である。この図において、符号１は本個人保護システムの運営者が運営する管理サーバであり、ウェブページ真偽確認のために利用される各種情報や個人情報保護プログラムなどの生成およびウェブページへの電子透かしの埋め込みを行い、それらの情報およびプログラムを他の装置へ送信する。また２は本個人保護システムの運営者が運営する真偽判定サーバであり、端末５から依頼されたウェブページについて、運営者により認定された正規サーバから所得したものであるかの真偽判定を行う。また３は運営者により認定されており、管理サーバ１による電子透かしを埋め込まれたウェブページを配信する正規ウェブサーバ、４は運営者により認定がされていない一般のウェブサーバである。また５はＰＣ、携帯電話、ＰＤＡなどの端末である。
そして、これら管理サーバ１、真偽判定サーバ２、正規ウェブサーバ３、ウェブサーバ４、端末５、は通信ネットワークを介して接続されている。なお、管理サーバ１、真偽判定サーバ２、正規ウェブサーバ３は別々のサーバとして示しているが、各サーバの処理が同一サーバ上に構成されていてもよい。

図２は端末５の概略機能ブロックを示す図である。
この図において、５１は各サーバと情報の送受信を行う通信処理部である。また５２は端末５内の各処理部を制御する制御部である。また５３はウェブブラウザの処理を行うウェブブラウザ処理部である。また５４は監視対象とする個人情報の文字列の登録を促す画面を端末５の表示部に表示し、文字列の登録指示を受付けた場合に当該文字列を記憶部５８の監視対象個人情報ファイルに記憶する処理を行う文字列登録部である。また５５はウェブページ真偽判定依頼情報の送信有無の判定と、その情報の生成および真偽判定サーバ２への送信処理を行う真偽判定依頼処理部（認証手段）である。真偽判定依頼処理部５５は、ウェブ真偽判定依頼情報の送信をしないまたはできない場合は、個人情報の検出要と判定する。また５６は真偽判定依頼処理部５５が個人情報の検出要と判定したときは、ウェブページの入力欄に入力された文字列と監視対象個人情報ファイルの内容とを比較し、一致する文字列を検出すると、検出通知を出力する個人情報検出処理部（個人情報検出手段）である。また５７は個人情報検出処理部５６から検出通知を受けると、ユーザに対して個人情報検出の通知と送信可否の問い合わせの画面を端末５の表示部に表示し、該問い合わせ結果を取得してウェブブラウザ処理部５３に通知する意思確認処理部（意思確認手段）である。また５８は監視対象個人情報ファイル（監視対象個人情報記憶手段）などの各種情報を記憶する記憶部である。

次に個人情報保護システムの処理の詳細について説明する。
まず、端末５への個人情報保護プログラムの配信について説明する。
ユーザによる端末５の操作によって、端末５が管理サーバ１へアクセスし、個人情報保護プログラムのダウンロード要求を通知する。この通知を受けた管理サーバ１は、個人情報保護プログラムを自装置の記憶部などから読取って端末５へ配信する。ここで、この個人情報保護プログラムは、端末５において実行されることにより、端末５内部に文字列登録部５４、真偽判定依頼処理部５５、個人情報検出処理部５６、意思確認処理部５７の各処理機能を構成する。

個人情報保護プログラムが端末５においてユーザの操作によって実行されると、当該プログラムはまず、個人情報保護プログラムが既に実装されていないかの判定と、偽造された個人情報保護プログラムが実装されていないかの判定とを行う。そして次に端末５内に構成された文字列登録部５４が文字列登録用画面を表示部に表示し、情報漏洩を防止したいＩＤやパスワードなどの監視対象となる文字列の情報の登録を促す。文字列の情報がユーザより入力されると、文字列登録部５４はその文字列を監視対象文字列として記憶部５８の監視対象個人情報ファイルに記憶する。この時、文字列登録部５４は監視対象文字列を暗号化して記憶するようにしてもよい。そして、真偽判定依頼処理部５５がその後、ウェブブラウザ処理部５３の受信したウェブページの入力欄に入力された文字列の送信処理を常時監視する処理を行う。なお、個人情報保護プログラムには、当該プログラムのＩＤ、有効期限の情報が格納されており、これらの情報も設定ファイルなどとして、記憶部５８に記録される。個人情報保護プログラムは、ウェブブラウザに実装されるプラグインのような形式のプログラムであっても良いし、また、端末５のコンピュータに常駐するプログラムのような形式であってもよい。

図３は監視対象個人情報ファイルに記録される情報内容の例を示す図である。
図３で示す例のように、監視対象個人情報ファイルには、メールアドレスやログイン名、パスワードなどの個人情報を例えばＸＭＬ形式のタグｏｂｓｅｒｖｅｄＣｈａｒａｃｔｅｒｓに、項目毎にタグｃｈａｒで記述する。

次に、正規ウェブサーバ３の本個人情報保護システムへの登録について説明する。
正規ウェブサーバ３は、自身が配信するウェブページへの電子透かしの埋め込みを管理サーバ１に依頼する。管理サーバ１は、この依頼を受けると、電子透かしの埋め込み毎に発行する一意な値である電子透かしＩＤと真偽判定サーバ２のＵＲＬとをウェブページに電子透かしとして埋め込む。管理サーバ１は、この電子透かしを埋め込んだウェブページを正規サーバ３に返却するとともに、真偽判定サーバ２に、該ウェブページのＵＲＬと電子透かしＩＤとを組にして登録する。

次に、本個人情報保護システムによる正規ウェブサーバ３の認証について説明する。
まず、ユーザ操作により、端末５０のウェブブラウザ処理部５３が、正規ウェブサーバ３に対して、ウェブページを要求する。正規ウェブサーバ３は、この要求を受けると、ウェブページを端末５に送信する。端末５では、このウェブページを受けると、そのウェブブラウザ処理部５３が該ウェブページを端末５の表示部に表示する。ここでは、このウェブページにはパスワード等の文字列を入力する入力欄があったとする。すると該ウェブページを見たユーザが、この入力欄への文字列の入力と該文字列の送信指示とを端末５のウェブブラウザ処理部５３に対して行う。端末５の真偽判定依頼処理部５５は、これを検出して、文字列と送信指示を受けたウェブブラウザ処理部５３に対して、文字列の送信を一時保留させる指示を行う。そして真偽判定依頼処理部５５は、端末５の表示部に「真偽判定中」などの表示により真偽判定開始をユーザに通知し、表示中のウェブページに所定の電子透かし情報が埋め込まれているかどうかを判定する。

ここで、該ウェブページは正規サーバ３から取得したウェブページであるので、先に管理サーバ１によって埋め込まれた所定の電子透かし情報が埋め込まれている。真偽判定依頼処理部５５は、この電子透かしから電子透かしＩＤと真偽判定サーバ２のＵＲＬを読取る。次に、読み取った電子透かしＩＤと該ウェブページのＵＲＬを記載したウェブページ真偽判定依頼情報を生成して、読取った真偽判定サーバ２のＵＲＬに宛てて送信する。真偽判定サーバ２は、このウェブページ真偽判定依頼情報を受けると、このウェブページ真偽判定依頼情報から電子透かしＩＤとＵＲＬを抽出し、抽出した電子透かしＩＤとＵＲＬの組み合わせが、先に管理サーバ１により自装置に登録されたウェブページのＵＲＬと電子透かしＩＤとの組にあるかを確認する。ここで、該ウェブページは正規ウェブサーバ３から取得したページであるので、先に登録された電子透かしＩＤとＵＲＬの組に一致するものがあるので、真偽判定サーバ２は、当該ウェブページが認定された正規のウェブサーバから取得されたものであるとみなして、端末５の真偽判定依頼処理部５５に「真」を通知する。真偽判定依頼処理部５５は、「真」の通知を受けると、ウェブブラウザ処理部５３に対して、一時保留の解除を指示し、該指示を受けたウェブブラウザ処理部５３は一時保留していた文字列の送信を続行する。

このようにして、端末５は、管理サーバ１により生成された電子透かしを埋め込まれたウェブページに基づいた文字列の送信に対しては、その送信先は信用できるとみなして、送信処理を行う。

次に、本個人情報保護システムの運営者により認定されていない（電子透かしを埋め込まれていない）一般のウェブサーバ４から取得したウェブページに基づいた送信に対する処理を以下に説明する。図４は入力欄を持つウェブページをウェブブラウザ処理部５３が、ウェブサーバ４から取得し端末５の表示部に表示してからの個人情報保護プログラムの動作を説明するシーケンス図である。

ここで、端末５の表示部に表示されたウェブページの入力欄への文字列の入力と当該文字列の送信指示とがウェブブラウザ処理部５３に対してユーザの操作によって行われるとする（Ｓ１０）。この時、端末５の真偽判定依頼処理部５５は、これを検出して（Ｓ１１）、ウェブブラウザ処理部５３に対して、文字列の送信を一時保留させる指示を行う。そして真偽判定依頼処理部５５は、端末５の表示部に「真偽判定中」などの表示により真偽判定開始をユーザに通知し、ウェブページに所定の電子透かし情報が埋め込まれているかどうかを判定する。

ここで、ウェブサーバ４は運営者によって認定されたウェブサーバではないため、ウェブサーバ４から取得した該ウェブページには電子透かし情報が埋め込まれていないため真偽の判定を行えない。その場合、真偽判定依頼処理部５５は、個人情報の検出要求を個人情報検出処理部５６に通知する（Ｓ１２）。個人情報検出処理５６は、この検出要求を受けると、記憶部５８の監視対象個人情報ファイルを読み出し、該ファイルに記述されている個人情報の文字列と一致する文字列がないか確認する。ここで、一致する文字列がない場合は、入力欄に入力された文字列の送信可と判断して、ウェブブラウザ処理部５３に対して、送信の指示を行う。これを受けたウェブブラウザ処理部５３は、一時保留していた文字列の送信を行う。

しかし、一致する文字列があった場合は、意思確認処理部５７に対して、確認メッセージ表示を要求する（Ｓ１３）。意思確認処理部５７は、確認メッセージ表示の要求を受けると、図５に例を示すような送信データに個人情報が含まれている旨の通知と送信を中止するかどうかの意思を確認する確認ダイアログＤ１を表示する（Ｓ１４）。ここで、この確認ダイアログＤ１を見たユーザがＯＫボタンＢ１またはキャンセルボタンＢ２を選択すると（Ｓ１５）、意思確認処理部５７は、これを検出して、ここではＯＫボタンＢ１なら送信拒否のユーザ応答通知を、キャンセルボタンＢ２なら送信のユーザ応答通知を個人情報検出処理部５６に送る（Ｓ１６）。個人情報検出処理部５６は、ユーザ応答通知を受けると、それが送信拒否のユーザ応答通知ならば、送信拒否をウェブブラウザ処理部５３に通知し（Ｓ１７）、ウェブブラウザ処理部５３は文字列の送信を中止する。また、送信のユーザ応答通知ならば、送信をウェブブラウザ処理部５３に通知する（Ｓ１８）。

ウェブブラウザ処理部５３は、送信の通知を受けると、一時保留していた文字列の送信を再開し、これがＳＳＬなどの暗号化通信であれば、通信処理部５１に対して、該文字列とともに暗号化送信要求を通知し（Ｓ１９）、暗号化のない通常の通信であれば、送信要求を通知する。通信処理部５１は、文字列とともに暗号化送信要求を受けると該文字列を暗号化してウェブサーバ４に送信し（Ｓ２０）、通常の送信要求を受けると該文字列をウェブサーバ４に送信する。

このようにして、端末５は、管理サーバ１により生成された電子透かしを埋め込まれていないウェブページに基づいた文字列の送信に対しては、その送信先は信用できるか不明なため、文字列が個人情報を含まない場合はそのまま送信し、個人情報を含む場合はユーザに送信可否を問い合わせて、該問い合わせ結果に応じた処理を行う。

なお、本実施形態において、真偽判定依頼処理部５５は、ウェブページに電子透かしが埋め込まれていないために真偽の判定を行えなかったときに、個人情報の検出要求を個人情報検出処理部５６に通知するとして説明したが、ウェブページに電子透かしが埋め込まれていないのではなく、真偽判定サーバ２と通信できない、真偽判定サーバ２から返信が来ないなどの理由で真偽判定を行えなかったときも同様に個人情報の検出要求を個人情報検出処理部５６に通知するとしてもよい。また、電子透かしを用いた真偽の判定ではなく、該ウェブページを配信しているウェブサーバ４の証明書を取得して認証するなどしてウェブサーバ４を認証し、この認証ができなかった場合に、個人情報の検出要求を個人情報検出処理部５６に通知するようにしてもよい。

また、本実施形態において、真偽判定依頼処理部５５によるウェブページの真偽判定、個人情報検出処理部５６による個人情報の検出の順に処理を行ったが、逆に個人情報検出処理部５６による個人情報の検出、真偽判定依頼処理部５５によるウェブページの真偽判定もしくは他の手段によるウェブサーバの認証の順に処理を行ってもよい。

また、監視対象個人情報ファイルは、端末５が備えるハードディスクなどの記憶媒体にファイルとして格納してもよいし、レジストリなどの形式で格納してもよい。また、本実施形態においては、文字列登録部５４が生成するとしたが、テキストエディタなどの汎用のプログラムを用いて作成するとしてもよい。

このように、送信データに個人情報が含まれている旨の通知と送信を中止するかどうかの意思を確認する確認ダイアログＤ１などの確認表示を、送信する入力欄に入力された文字列に個人情報が含まれているかどうかだけでなく、該ウェブページの真偽判定あるいは該ウェブページの配信元の認証結果も参照することにより、確認表示の表示回数を減らすことができ、ユーザの負担を減らすことができる。また、このような確認表示は、頻繁に表示されると、ユーザは確認表示の中身を確認することなく承認してしまうことが少なくないため、確認表示の表示回数を減らすことは、個人情報の流出防止にもつながる。

なお上述の各サーバや端末は内部に、コンピュータシステムを有している。そして、上述した処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

本発明は、インターネットなど一般に公開されたネットワークにおけるウェブシステムに用いて好適であるが、これに限られるものではない。

この発明の一実施形態による個人情報保護プログラムを利用した個人情報保護システムの構成を示すブロック図である。 同実施形態における端末５の概略構成を示すブロック図である。 同実施形態における監視対象個人情報ファイルの内容例を示す図である。 同実施形態における動作を説明するシーケンス図である。 同実施形態における端末５の表示部への確認ダイアログＤ１表示の例を示す図である。

符号の説明

１…管理サーバ
２…真偽判定サーバ
３…正規ウェブサーバ
４…ウェブサーバ
５…端末
５１…通信処理部
５２…制御部
５３…ウェブブラウザ処理部
５４…文字列登録部
５５…真偽判定依頼処理部
５６…個人情報検出処理部
５７…意思確認処理部
５８…記憶部

Claims (4)

1. ウェブブラウザと個人情報を記憶している監視対象個人情報記憶手段とを備えるコンピュータを、
   ウェブページの文字入力欄へ入力された文字列を前記ウェブブラウザが送信する際に、前記監視対象個人情報記憶手段が記憶している個人情報に基づき、前記入力された文字列から個人情報を検出する個人情報検出手段、
   前記個人情報検出手段が個人情報を検出したときは、ユーザに対して送信可否の問い合わせを行い、前記ユーザに対する問い合わせの結果を取得して、前記ウェブブラウザに通知する意思確認手段
   として機能させる個人情報保護プログラム。
2. 前記コンピュータを、前記入力された文字列の送信先装置を認証し、該認証結果に基づき個人情報の検出要否を判定する認証手段としても機能させ、
   前記意思確認手段は、前記認証手段が個人情報の検出要と判定し且つ前記個人情報検出手段が個人情報を検出したときは、ユーザに対して送信可否の問い合わせを行い、前記ユーザに対する問い合わせの結果を取得して、前記ウェブブラウザに通知することを特徴とする請求項１に記載の個人情報保護プログラム。
3. 前記認証手段は、前記ウェブページの中から電子透かし情報の検出を行い、前記電子透かし情報を検出できないときは、個人情報の検出要と判定することを特徴とする請求項２に記載の個人情報保護プログラム。
4. 個人情報を記憶している監視対象個人情報記憶手段と、
   通信回線にて接続されたウェブサーバに対して、ウェブページの要求を送信する要求送信手段と、
   前記ウェブサーバからウェブページを受信する受信手段と、
   前記受信手段が受信したウェブページを表示し、前記ウェブページの文字入力欄へ入力された文字列と該文字列の送信指示とを受け付ける入力受付手段と、
   前記監視対象個人情報記憶手段が記憶している個人情報に基づき、前記入力された文字列から個人情報を検出する個人情報検出手段と、
   前記個人情報検出手段が個人情報を検出したときは、ユーザに対して送信可否の問い合わせを行い、前記問い合わせの結果を取得する意志確認手段と、
   前記意思確認手段が取得した結果が送信可のときは、前記入力された文字列を送信し、前記取得した結果が送信不可のときは、前記入力された文字列の送信を中止する文字列送信手段と
   を備えることを特徴とする端末。
   
   

Images