JP2007336546A - サーバによるユーザ認証方法及びその装置 - Google Patents

Abstract

【課題】ユーザリクエストに応じたユーザ認証を単純化する目的を、サーバによりユーザが新たなパスワードの一部分のみで通信させて実現する。
【解決手段】変数Ｋ、ｔ、ｘの暗号化関数が提供されたクライアント装置を準備するステップ（Ｋは、サーバとクライアント装置とが共有する秘密であり、ｔは、時間に依存する変数であり、ｘは、少なくとも２つの値を有する変数である）と、サーバによるユーザ認証のために、クライアント装置が、ｘの第１値により得られる関数の第１値を計算するステップ（Ｓ３０）と、サーバによるユーザ認証の検証のために、クライアント装置が、ｘの第２値により得られる関数の第２値を計算するステップ（Ｓ８０、Ｓ１１０）とからなることを特徴とするサーバによるユーザ認証方法を構成する。また、本発明は、前記関数値の計算手段を備えたユーザ認証装置を提供する。
【選択図】図１

Description

本発明は、サーバによるユーザ認証方法及びその装置に係り、特に使い捨てパスワードの生成におけるサーバによるユーザ認証方法及びその装置に関するものである。

パスワードによる認証は、既知のものである。第三者が同一のアクセス権を取得しないよう、ユーザはパスワードを秘密にしなければならない。パスワードを生成できることは証拠を有するとみなされ、装置または管理サービスによってユーザアクセスが許容される。かかるパスワード技術は、「ウィーク」と称する認証システムの一部を構成する。

ところが、上記のパスワードによる認証方法の欠点は、認証情報が静的であること、すなわち、第三者がパスワードを破り（クラック）し、その後ユーザと同一のアクセス権を取得することに関連している。この問題の解決手段は、使い捨てパスワードシステム（パスワードは取引一回限り有効であるという１回限りのパスワード、以下ＯＴＰと称する）である。

かかるシステムにおいては、非同期またはチャレンジ／レスポンス方式のシステムが知られている。ユーザがサーバーによる認証を望む場合、サーバがチャレンジを（例えばランダムで）生成し、ユーザにそれを送信する。ユーザはクライアント装置でこのチャレンジを取得する。そしてこのクライアント装置において、ハッシュ関数および暗号化アルゴリズムによってＯＴＰを生成する。このＯＴＰは検証に必要な全ての情報を有しており、ユーザはＯＴＰをサーバに送信し、それからユーザが認証される。

非同期システムも既知のものであり、これは、チャレンジが現在の時間（絶対的なもの）に対応しているか、装置内部のカウンタ（使用ごとに数が増加する）に対応していること以外は、ほぼ同様の動作をする。クライアント装置とは、例えばユーザが所持している認証トークンであって、これはサーバがユーザ認証するためのパスワードを生成するために用いられるものである。認証トークンは、カード、小型計算機、キーリング等の様々な形態でありうる。この技術は、ユーザのチャレンジ入力の必要がないため、より簡単である。しかし、これはクライアント装置とサーバとの間で同期することが必要となる。

例えば、ＲＳＡ ＳｅｃｕｒｌＤシステムは、時間や共有秘密に基づいて使い捨てパスワードを生成するクライアント装置（例えば認証トークン）からなる。より具体的には、この装置は、６０秒ごとにコードを生成するアルゴリズムと組み合わせた独自の対称鍵を利用している。個人ユーザコードとの連携により、かかる装置は強力な識別確認をなすことができる。得られる数字は動的なものであるため、予想するのは困難である。したがって、ハッカーが特定の瞬間に対応したこのコードを破ることは難しい。各装置とセキュリティサーバとを同期させるために所定の技術が用いられる。

このシステムの第１の欠点は、クライアント装置が一定間隔でパスワードを生成するところにあり、これは時に不要なものであり、所定用途では不適合となる場合さえある。さらに、エネルギーを消費する。
別の欠点は、共有秘密を取得したアタッカーがパスワードを再生成できるところにある。ひとつのリスクは、このようなフォーク爆弾攻撃（ハイジャック）である。実際にユーザ認証は接続時になされる。一旦このユーザ認証を通過すると、認証が常に正しいかの検証は行われない。また、通信、例えばＴＣＰ／ＩＰ型やＤＴＭＦ送信の流用も可能である。ひとたびこの流用がなされると、サーバが攻撃者に対話を求めた場合、これに対し攻撃者は犠牲者のセッションを使用するという事態が生じる。

そこで、本発明は、上記の欠点を簡単に解決するサーバによるユーザ認証方法及びその装置を提供することにある。

本発明の一態様において、変数Ｋ、ｔ、ｘの暗号化関数が提供されたクライアント装置を準備するステップと（Ｋは、サーバとクライアント装置とが共有する秘密であり、ｔは、時間に依存する変数であり、ｘは、少なくとも２つの値を有する変数である）、
サーバによるユーザ認証のために、クライアント装置が、ｘの第１値により得られる関数の第１値を計算するステップと、
サーバによるユーザ認証の検証のために、クライアント装置が、ｘの第２値により得られる関数の第２値を計算するステップとからなる。
好ましい実施態様においては、本発明の方法は、一つ以上の以下の特徴からなる。本発明による方法は、前記第１計算ステップの後で、さらに、
サーバに第１値を提供するステップと、
提供された第１値を利用して、サーバがユーザ認証を行うステップと、
ユーザがサーバに要求をするステップとからなり、またこの方法は、第２計算ステップの後で、さらに
サーバに第２値の少なくとも一部分を提供するステップと、
この第２値の少なくとも一部分を利用してサーバがユーザ認証を検証するステップとからなり、また、本発明による前記ユーザ認証方法は、第１計算ステップと第２計算ステップとの間において、さらに、
ユーザがサーバから第２値の少なくとも一部分に関連するチャレンジを受けるステップとからなり、
前記第１、第２計算ステップの少なくとも一方において、前記関数は変数Ｋ、ｔ、ｘの連結値を使用し、
変数ｘは、１ビットコードの変数であり、−前記関数は、ハッシュ関数である。
また、本発明は、変数Ｋ、ｔ、ｘの暗号化関数が提供されたユーザ認証装置において（Ｋは、サーバとクライアント装置とが共有する秘密であり、ｔは、時間に依存する変数であり、ｘは、少なくとも２つの値を有する変数である）、
少なくともｘの２つの値の一方または残りの関数値を計算する手段を設けたユーザ認証装置に関するものである。
本発明の好ましい実施態様において、本発明のユーザ認証装置は、一つ以上の以下の特徴を有している。本発明のユーザ認証装置は、さらに
ユーザが変数ｘを変更する手段を設け、
ユーザによってユーザ認証装置による関数値の計算を発動させる手段を設け、
この変更手段および発動手段は、一体化して設け、
また、本発明によるユーザ認証装置は、さらに、複数の表示部を有する関数値の表示手段を設け、このユーザ認証装置は、各表示部において関数値の部分表示が可能であり、
計算手段は、変数Ｋ、ｔ、ｘの連結値を利用した関数値の計算が可能であり、
変数ｘは、１ビットコードの変数である。

本発明は、システムの人間工学性を改善し、認証方法の背後にある原理によって、特に、ユーザリクエストに応じたユーザ認証を単純化する。

本発明は、ユーザリクエストに応じたユーザ認証を単純化する目的を、サーバによりユーザが新たなパスワードの一部分のみで通信させて実現するものである。
以下、図面に基づいてこの発明の実施例を詳細且つ具体的に説明する。

本発明は、使い捨てパスワードを生成するため、共有秘密および時間変数を使った暗号化関数に基づいたユーザ認証の方法および装置を提案するものである。またこの関数は、追加した別の変数にも依拠しており、この値は、必要に応じてユーザが変更可能である。この値の変更は、例えば、ユーザからの要求（リクエスト）を受けてサーバが生成するチャレンジを受けた後になされる。一方、パスワードが変更される時間は、予測不可能である。他方、引数値が変化し、よって関数値も変化する。通常の暗号化関数の性質を考慮すると、フォーク爆弾攻撃は、従来のＯＴＰシステムと比較してより困難となる。ユーザは、単純化されたサーバからのチャレンジに応じた、好ましくは新たなパスワードの一部分のみで通信できる。これにより、システムの人間工学性がかなり改善される。本発明の方法の背後にある原理によって、特に、ユーザリクエストに応じたユーザ認証が単純化される。

図１は、クライアント装置による関数ｆ（Ｋ、ｔ、ｘ）の第１値の計算ステップ（ステップＳ３０）の方法を提供するものである。
変数Ｋは、サーバとクライアント装置とが共有する秘密（シークレット）であって、通常、これは秘密鍵（一般には二つの通信者間にのみ知られた独自の鍵）である。従来技術で知られているように、暗号化セキュリティーは、この共通鍵による秘匿性に依存している。

変数ｔは、何らかの方法で時間に依拠している。通常、これは現在時間の変数である。サーバ側の検証での同期問題を回避するため、従来技術で知られるように、例えばタイムスロットを割り当てることもできる。また、変数ｔは、接続ごと（従って徐々に進展する）に増加する数字とすることも可能である。秘密や時間変数を実行するための様々な従来技術が知られている。

本発明によると、関数は、少なくとも２つの値を有する変数ｘにも依存している。このために、変形例によると、この変数は、以下に例示する１ビットコードの変数でありうる。
関数ｆは、通常、暗号化やハッシングやメッセージ認証コード（ＭＡＣ）に適する関数である。この関数は、ハッシュアルゴリズムからなる、ハッシュ関数またはダブルハッシュ関数（例えばＭＤ５、ＳＨＡ、ＳＨＡの発展型）が好ましい。従来技術で知られるように、このような関数は、一連の値をより小範囲の値に対応させるものである。アルゴリズムによって、初期メッセージを簡易化したメッセージを生成できる。
より正確には、ハッシュ関数ｆの場合、ｆ（ｎ）≠ｆ（ｍ）はｎ≠ｍを意味し、ｆ（ｎ）＝ｆ（ｍ）はおそらくｎ＝ｍを意味することが要求される。ｎの設定値がｆによる設定値を超える場合、後者の性質を評価するのは困難である。実際にも、暗号という意味合いでは、関数ｆは、ｎが任意でハッシュ値ｆ（ｎ）が既知の場合、ｆ（ｎ）＝ｆ（ｍ）であるようにｍを計算することが非常に困難（すなわち技術的に不可能であるかほぼ不可能）となるように追求される。

特に単純で効果的な実施例において、この関数は変数Ｋ、ｔ、ｘの連結値を利用する。行われる計算は、ｆ（Ｃ＝ｔＫｘ）≡ｆ（Ｋ、ｔ、ｘ）に相当する。
変数ｘは、ハッシュレベルを考慮した、例えば追加ビットである。変数ｘを追加ビットでコード化することは、変数ｘに二つの値を与えるにつき十分であるため、特に単純で有利であることが証明される。
例えば、時間変数は、１バイトでコード化されうる（例えば１１００１０１０）。秘密すなわち鍵は、例えば、１０１１００１０１０１００１１１１０１０１０１０１１００００１０１０というストリングを有する値でありうる（他の値と区別するため太字で示している）。また、以下のように構成することもできる。
（ｉ）ｆ（Ｋ、ｔ、ｘ＝０）＝ｆ（１１００１０１０１０１１００１０１０１００１１１１０１０１０１０１１００００１０１００）、あるいは
（ｉｉ）ｆ（Ｋ、ｔ、ｘ＝１）＝ｆ（１１００１０１０１０１１００ｌ０１０１００１１１１０１０１０１０１１００００１０１０１）。
この計算ステップは、変数ｘ（例えばｘ＝０）の第１値のために実施される。

もし必要ならば、この計算ステップの後に、サーバにｆ（Ｋ、ｔ、ｘ＝０）の結果を提供するステップ（ステップＳ４０）を設けることもできる。この結果は、ハードウェア構成に応じた任意の手段でサーバに提供される。特に、この結果は、（例えば、ＵＳＢポートにより、あるいはインターネットでサーバに接続したクライアントコンピュータを介して）クライアント装置がサーバに接続した場合でユーザ確認の後に、クライアント装置によって送信される。あるいは変形例として、この結果は、特にクライアント装置が接続していない場合にはユーザ自身がサーバと結果を通信する方法によって、クライアント装置に表示される。

本発明の方法は、このように、上記計算と等価の計算結果を使用したユーザ認証ステップ（Ｓ５０）を備えている。より具体的には、サーバは、秘密、時間またはタイムスロットを知っており、よって初回のユーザ認証に必要な情報を有している。かかる原理は、引数が変数ｘにより変化し引き続き関数ｆの値が変化するという点を除いては、従来技術で知られている。

好ましくは、ユーザがサーバにリクエストした場合（ステップＳ８０あるいはステップＳ７０）に引き続いて、ユーザは、クライアント装置がｘ（例えばｘは１以上）の第２値のために計算した関数ｆの第２値の少なくとも一部分につきサーバと通信する。ｘ値の変更は、ユーザ自身によって行われる。この点については、図２に示している。

それから、サーバ自体は、同一の認証原理に基づきユーザ認証を検証する。それ以降の、ユーザリクエストの取得は、サーバによるユーザ認証の検証に依存する。
この原理によると、装置がユーザにｘ＝０で生成されうる各新規パスワードを知らせる必要がないことに注目しなければならない。ユーザは、必要なときのみ装置に要求するだけでよい。したがって、ユーザは、例えば、１回目は、ユーザ自身を認証するよう装置にリクエストまたはそれを制御し（Ｘ＝０）、それから２回目はサーバが認証を検証するための新規パスワードの交付を要求する（ｘ＝１）。

応用例は、ユーザによる銀行口座の遠隔管理である。１回目にユーザは銀行サーバによって認証を受ける（ステップＳ５０と同様）。この認証によって、ユーザがその銀行口座に関する情報へのアクセスが可能となる。それから、ユーザが銀行口座の操作を望む場合は（ユーザリクエスト）、サーバは、サーバが発したチャレンジに対してユーザが正確に応答することを条件に、この操作の妥当性確認を送信する。

サーバは、ｆ（Ｋ、ｔ、ｘ＝１）に関するチャレンジを送る。ユーザがこのチャレンジを受け取る（ステップＳ９０）。

好ましくは、サーバは、ｆ（Ｋ、ｔ、ｘ＝１）の結果の一部分のみ、例えばｆ（Ｋ、ｔ、ｘ＝１）の結果のうち２つの数字のみに関するチャレンジを送る（実際に、これでユーザ認証に対する検証につき十分な保護を与えることができる）。したがって、ユーザはサーバと通信するにつき少ないキャラクター数で足りる。この方法の人間工学性は、このように改良されている。

さらに、サーバと通信が行われるこの結果の一部分は、サーバがランダムに選択することができる。例えば、サーバが、ランダム処理により（よって予見不可能）、通信される結果の最初の２つの数字や次の２つの数字等を尋ねる。これにより、さらにハッキングの可能性を減少することができる。このために、特に有利な装置が図２に示されている。

ユーザがチャレンジに対して正しく応答した場合、ユーザリクエストが許容される（ステップＳ１４０）

図２は、本発明によるクライアント装置１０の例を示している。このクライアント装置１０は、上記のようなユーザ認証やその検証を可能とするものである。

このクライアント装置１０は、前記ｘの少なくとも２つの値の一方または残部についての関数ｆ（Ｋ、ｔ、ｘ）の値を計算する手段を備えている。またこのクライアント装置１０は、変数ｘを変更する手段１６を備えている。この変更手段１６は、例えばボタン形状である。このボタンを押すことにより、ｘ＝０がｘ＝１に変化する。

またクライアント装置１０は、クライアント装置による関数値計算のためのユーザ発動手段１６も備えており、また関数値の表示手段２０も備えている。この表示手段は、例えば液晶ディスプレイである。

このように、本発明の一実施例において、クライアント装置は、デフォルトで、秘密および接続変数や現時変数（例えば現時のタイムスロット）に対応するパスワードを表示することができる。このパスワードにより、サーバがいつでもユーザの認証を行うことができる。それ以降、サーバからのチャレンジに応答して、ユーザはこのボタンを押す。それからｘの値が切り替わる。

好ましくは、変更手段１６および発動手段１６とは、一体化されている。ユーザがボタン１６を押すと、同時に、ｆ（Ｋ、ｔ、ｘ＝１）の計算結果Ｂが表示される。
また好ましくは、表示手段は、個別の表示部２３〜２５からなる。これらの表示部は、例えば、表示スクリーン２０の境界部を設けることや、個別のスクリーンによって、個別化される。当業者は、例えば、個別の表示部の間にキャラクター表示スペースを設けることで、読み取り容易にできる。

また、クライアント装置は、各表示部２３、２４、２５に関数値の部分表示が可能である。したがって、ユーザは、上記の手段を備えた人間工学的な装置を利用可能となる。上記のように、サーバは、かかる表示部の一つにチャレンジを表示するようにできる。例えば、かかるチャレンジは、「表示部Ａに示される２つの数字を入力せよ」というものである。図に示した例に従うと、このチャレンジに応じて、ユーザは８９という数字を入力しなければならない。

上記のような応用例については、銀行口座の操作についての典型的なチャレンジは、以下の通りである。−残高を表示するには、バイパスボタン１６を押して、Ｃという文字の下に現れる数字を入力せよ。−それから、新しい通帳を注文するには、バイパスボタン１６を押して、Ｂという文字の下に現れる名前を入力せよ。

あるいは、別のクライアント装置は、例えばＡＢＣＤＥＦＧＨＩＪの文字に対応した１０の表示部からなる液晶ディスプレイである。

変形例として、チャレンジは暗黙のものとできる。例えば、ユーザの銀行口座からの送金操作の場合は、予めの処置や初期設定でユーザに了承させたことに基づいて、暗黙のうちに、表示部Ａに示される数字を入力提供するものとする。この場合、ユーザは、リクエストがなされたと同時に対応する数字をサーバへ提供する（例えば、数字をリクエストボックスに入力する）。

他の変形例として、クライアント装置は、例えばＵＳＢポート１２のようなサーバへ関数値を送信するためのサーバ接続手段１２を備えている。したがって、関数ｆ（Ｋ、ｔ、ｘ）の値は、クライアント装置がサーバに接続した場合に（例えばユーザのコンピュータおよびインターネットを介して）、クライアント装置から直接転送される。

もし必要ならば、ｆ（Ｋ、ｔ、ｘ＝０）の値のみを、認証のため送信すれば足りるようにできる。これに対し、よりセキュリティを高めるためには、クライアント装置は、ｆ（Ｋ、ｔ、ｘ＝１）の値のみ表示されるように設計することができる。

他の変形例によると、クライアント装置には、２つの異なったメイン表示部（例えば２つの異なった液晶ディスプレイ）が設けられている。一方の表示部はｆ（Ｋ、ｔ、ｘ＝０）の値を表示し、他方の表示部がｆ（Ｋ、ｔ、ｘ＝１）の値を表示する。このようにして、ｆ（Ｋ、ｔ、ｘ＝０）およびｆ（Ｋ、ｔ、ｘ＝１）の値が表示され、ユーザはいつでもこれらの値を見ることができる。したがって、特定の動作によって、ｆ（Ｋ、ｔ、ｘ＝１）の計算を発動させる必要がなくなる。そこで、クライアント装置にはボタンを設ける必要がなくなる。さらに、メイン表示部のそれぞれにおいて、表示部２３、２４、２５の異なった表示部において、関数ｆの値の一部を表示することができる。

このように、本発明は、支払端末へ有利に適用可能である。例えば、チャレンジは、（例えば店舗における）取引の合計に対応するものとなりうる。

さらに、本発明は、上記の変形例に限定されるものではなく、当業者が容易に利用可能な方法でのそれ以外の様々な変形をなすことができる。例えば、エラー許容がなされたハッシュ関数を実施できる。また、個人用静的パスワードによる妥当性確認を受けたクライアント装置を利用することも可能である。

本発明によるクライアント装置によるユーザ認証を、他の構造にも適用できる。

本発明の実施例による方法を示すフローチャートである。 本発明によるクライアント装置の例を示したものである。

符号の説明

１０ クライアント装置
１２ サーバ接続手段
１６ 変更手段
２０ 表示手段
２３〜２５ 表示部

Claims (12)

1. 変数Ｋ、ｔ、ｘの暗号化関数が提供されたクライアント装置を準備するステップ（Ｋは、サーバとクライアント装置とが共有する秘密であり、ｔは、時間に依存する変数であり、ｘは、少なくとも２つの値を有する変数である）と、
   サーバによるユーザ認証のために、クライアント装置が、ｘの第１値により得られる関数の第１値を計算するステップ（Ｓ３０）と、
   サーバによるユーザ認証の検証のために、クライアント装置が、ｘの第２値により得られる関数の第２値を計算するステップ（Ｓ８０、Ｓ１１０）とからなることを特徴とするサーバによるユーザ認証方法。
2. 前記ユーザ認証方法は、前記第１計算ステップ（Ｓ３０）の後で、さらに、
   サーバに第１値を提供するステップ（Ｓ４０）と、
   提供された第１値を利用して、サーバがユーザ認証を行うステップ（Ｓ５０）と、
   ユーザがサーバにリクエストをするステップ（Ｓ７０、Ｓ８０）とからなり、
   また、前記ユーザ認証方法は、前記第２計算ステップの後で、さらに、
   サーバに第２値の少なくとも一部分を提供するステップ（Ｓ１１０、Ｓ８０）と、
   この第２値の少なくとも一部分を利用してサーバがユーザ認証を検証するステップ（Ｓ５０）とからなることを特徴とする請求項１に記載のサーバによるユーザ認証方法。
3. 前記ユーザ認証方法は、第１計算ステップ（Ｓ３０）と第２計算ステップ（Ｓ８０、Ｓ１１０）との間において、さらに、
   ユーザがサーバから第２値の少なくとも一部分に関連するチャレンジを受けるステップ（Ｓ９０）からなることを特徴とする請求項１又は請求項２に記載のサーバによるユーザ認証方法。
4. 前記第１計算ステップ（Ｓ３０）および第２計算ステップ（Ｓ８０、Ｓ１１０）の少なくとも一方において、前記関数は変数Ｋ、ｔ、ｘの連結値を使用することを特徴とする請求項１〜３のいずれか１項に記載のサーバによるユーザ認証方法。
5. 前記変数ｘは１ビットコードの変数であることを特徴とする請求項１〜４のいずれか１項に記載のサーバによるユーザ認証方法。
6. 前記関数は、ハッシュ関数であることを特徴とする請求項１〜５のいずれか１項に記載のサーバによるユーザ認証方法。
7. 変数Ｋ、ｔ、ｘの暗号化関数が提供された備えたユーザ認証装置において（Ｋは、サーバとクライアント装置とが共有する秘密であり、ｔは、時間に依存する変数であり、ｘは、少なくとも２つの値を有する変数である）、ｘの少なくとも２つの値の一方または残りの関数値を計算する手段を設けたことを特徴とするユーザ認証装置。
8. ユーザが変数ｘを変更する手段（１６）を設け、ユーザによってユーザ認証装置による関数値の計算を発動させる手段（１６）を設けたことを特徴とする請求項７に記載のユーザ認証装置。
9. 前記変更および発動手段（１６）は、一体化して設けたことを特徴とする請求項８に記載のユーザ認証装置。
10. 複数の表示部（２３〜２５）を有する関数値の表示手段（２０）を設けたユーザ認証装置であって、このユーザ認証装置は、各表示部（２３〜２５）において関数値の部分表示が可能であることを特徴とする請求項７〜請求項９のいずれか１項に記載のユーザ認証装置。
11. 前記計算手段は、変数Ｋ、ｔ、ｘの連結値を利用した関数値の計算が可能であることを特徴とする請求項７〜請求項１０のいずれか１項に記載のユーザ認証装置。
12. 前記変数ｘは、１ビットコードの変数であることを特徴とする請求項７〜請求項１１のいずれか１項に記載のユーザ認証装置。

Images