JP2013025623A

JP2013025623A - 認証装置

Info

Publication number: JP2013025623A
Application number: JP2011160962A
Authority: JP
Inventors: Hirobumi Nakajima; 博文中島
Original assignee: Panasonic Corp
Current assignee: Panasonic Corp
Priority date: 2011-07-22
Filing date: 2011-07-22
Publication date: 2013-02-04
Anticipated expiration: 2031-07-22
Also published as: JP5685158B2

Abstract

【課題】正当なクライアント装置に対してはサーバ装置の利用を保障し、且つＤｏＳ攻撃、総当り攻撃に対して防御することができる認証装置を提供する。
【解決手段】ＳＩＰサーバ１の認証部１１は、クライアント装置２がＨＴＴＰを用いてアクセスしてきた場合、ワンタイムパスワードを表示するパスワード提示領域、およびクライアント装置２の操作によって文字列を入力する文字列入力領域を設けた認証画面を作成して、この認証画面をクライアント装置２に表示させ、クライアント装置２が文字列入力領域に入力した文字列を取得して、この取得した文字列とワンタイムパスワードとが一致した場合、クライアント装置２のＩＰアドレスを登録し、以降、ＳＩＰを用いてＳＩＰサーバ１にアクセスしたクライアント装置２のＩＰアドレスが、登録したＩＰアドレスと一致した場合、取得したＩＰアドレスを認証済とする。
【選択図】図１

Description

本発明は、サーバ装置にネットワークを介してアクセスするクライアント装置の認証を行う認証装置に関するものである。

近年、ＶｏＩＰ（Voice Over IP）／ＳＩＰ（Session Initiation Protocol）を利用したＩＰ電話が普及している。図９では、ＩＰ電話サービスを提供するＳＩＰサーバ１０１と、ＩＰ電話サービスを利用するクライアント装置１０２とがネットワークＮＴ１０１を介して接続している。ＳＩＰサーバ１０１は、認証部１０１ａを備えており、クライアント装置１０２によるＩＰ電話サービスの利用開始時に認証処理を行う。

しかしながら、このようなネットワークシステムは、攻撃者からの攻撃脅威にさらされており、例えば攻撃者１０３によるＤｏＳ（denial of service）攻撃、攻撃者１０４による総当り攻撃が挙げられる。

ＤｏＳ攻撃は、ＳＩＰサーバ１０１をダウンさせて、サービスを妨害することを目的とし、総当り攻撃は、ＩＰ電話サービスの利用開始時における認証処理に用いるパスワードを不正取得し、例えば海外向け通話などに不正利用することを目的としている。

このような攻撃脅威に対する防御策は様々に検討されており、ＤｏＳ攻撃に対する防御方法、総当り攻撃に対する防御方法（例えば、特許文献１乃至３参照）が提案されている。

具体的な防御方法しては、ＳＩＰサーバ１０１が、ＤｏＳ攻撃の検知時に攻撃者のＩＰアドレスを特定し、もしくは通信記録（ログ）から攻撃者のＩＰアドレスを特定し、以降、そのＩＰアドレスからのアクセスを禁止している。また、ＳＩＰサーバ１０１が、あるＩＰアドレスから短時間に多量のアクセスがあった場合に、ＤｏＳ攻撃が発生したと推定し、以降、そのＩＰアドレスからのアクセスを禁止する。また、パスワードの入力値の過去データ差分に基づいて、総当り攻撃が発生しているか否かを推定する方法もある。

特開２００３−３３３０９２号公報特開２００６−２５３５４号公報特開２００７−２００２１１号公報

しかしながら、ＳＩＰは、パケットの中身にアクセス元のＩＰアドレスが記述される仕組みであり、アクセス元を偽装し易い。また、ＤｏＳ攻撃には、アクセス元のＩＰアドレスをランダムに変更してくる攻撃もあり、ＩＰアドレス毎の単位時間当たりのアクセス回数に基づいて、攻撃の発生の有無を判断し難くなっている。

また、ＶｏＩＰサービスを利用するユーザは、一般にＤＨＣＰ（Dynamic Host Configuration Protocol）環境下からＳＩＰサーバにアクセスしてくるものであり、この場合、アクセス毎にＩＰアドレスが異なる。よって、利用可能なＩＰアドレスを予め登録しておき、アクセス元のＩＰアドレスの認証処理を行う手法も、実現が難しい。

さらに、近年はＳＩＰサーバに対する上記攻撃数は増加しており、特にＩＰ電話サービスの利用開始時の認証処理に用いるパスワードを不正取得され、海外通話など高額な費用の通信を不正利用されるケースが頻発している。

そこで、ＶｏＩＰ／ＳＩＰを利用したＩＰ電話サービスを用いる場合に、ＤｏＳ攻撃、総当り攻撃を防御して、サービス妨害やサービスの不正利用を防ぎ、且つ正当なユーザによる利用は保障するという２点を両立させることが要望されていた。

本発明は、上記事由に鑑みてなされたものであり、その目的は、正当なクライアント装置に対してはサーバ装置の利用を保障し、且つＤｏＳ攻撃、総当り攻撃に対して防御することができる認証装置を提供することにある。

本発明の認証装置は、サーバ装置にネットワークを介してアクセスするクライアント装置に対して認証処理を行う認証部を備える認証装置であって、前記認証部は、前記クライアント装置が第１の通信プロトコルを用いて前記サーバ装置にアクセスした場合、ランダムな文字列を表示するパスワード提示領域、および前記クライアント装置の操作によって文字列を入力する文字列入力領域を設けた認証画面を作成して、この認証画面を前記クライアント装置に表示させ、前記クライアント装置が前記文字列入力領域に入力した文字列を取得して、この取得した文字列と前記ランダムな文字列とが一致した場合、前記クライアント装置のＩＰアドレスを登録し、以降、第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレスを取得し、この取得したＩＰアドレスが前記登録したＩＰアドレスと一致した場合、前記取得したＩＰアドレスを認証済とすることを特徴とする。

この発明において、前記認証部は、前記クライアント装置を用いるユーザの認証情報を予め保持し、前記認証情報を入力する認証情報入力領域を前記認証画面に設け、前記クライアント装置が前記文字列入力領域に入力した文字列および前記認証情報領域に入力した前記認証情報を取得して、この取得した文字列と前記ランダムな文字列とが一致した場合、前記取得した認証情報と前記保持する認証情報とを比較し、前記取得した認証情報と前記保持する認証情報とが一致すれば、前記クライアント装置のＩＰアドレスを登録するとともに、前記ユーザは認証済であることを登録し、以降、前記第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレスを取得し、この取得したＩＰアドレスが前記登録したＩＰアドレスと一致した場合、前記取得したＩＰアドレスを認証済とすることが好ましい。

この発明において、前記認証部は、前記クライアント装置を用いるユーザの認証情報を予め保持し、前記第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレス、およびこのクライアント装置が入力した前記認証情報を取得し、前記取得したＩＰアドレスが、前記クライアント装置が前記第１の通信プロトコルを用いて前記サーバ装置にアクセスしたときに登録した前記ＩＰアドレスと一致した場合、前記取得した認証情報と前記保持する認証情報とを比較し、前記取得した認証情報と前記保持する認証情報とが一致すれば、前記取得したＩＰアドレスおよび前記ユーザを認証済とすることが好ましい。

この発明において、前記認証部は、前記クライアント装置のＩＰアドレスを登録した場合、このＩＰアドレスの登録期限を前記クライアント装置へ通知し、前記第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレスを取得して、この取得したＩＰアドレスが前記登録したＩＰアドレスと一致し且つ前記登録期限内である場合、前記取得したＩＰアドレスを認証済とすることが好ましい。

以上説明したように、本発明では、正当なクライアント装置に対してはサーバ装置の利用を保障し、且つＤｏＳ攻撃、総当り攻撃に対して防御することができるという効果がある。

実施形態１のネットワークシステムの構成を示すブロック図である。同上の認証部による認証処理を示すブロック図である。同上の認証部による認証処理を示すブロック図である。同上の認証画面の構成を示す平面図である。同上の認証部による認証処理を示すブロック図である。同上の認証部による認証処理を示すブロック図である。（ａ）（ｂ）同上の認証画面、アクセス画面の構成を示す平面図である。ソフトフォンの認証画面を示す平面図である。従来のネットワークシステムの構成を示すブロック図である。

以下、本発明の実施の形態を図面に基づいて説明する。

（実施形態１）
図１は、ＶｏＩＰ（Voice Over IP）／ＳＩＰ（Session Initiation Protocol）を利用したＩＰ電話サービスのネットワークシステムを示す。本システムは、ＩＰ電話サービスを提供するＳＩＰサーバ１（サーバ装置）と、ＩＰ電話サービスを利用するクライアント装置２とがネットワークＮＴ１を介して接続している。

ＳＩＰサーバ１は、認証部１１を備えており、認証部１１は、クライアント装置２によるＩＰ電話サービスの利用開始時に認証処理を行う。この認証部１１は、認証ＷＥＢサーバ１１ａ、パスワード発行部１１ｂ、データベース１１ｃ、アドレスフィルタ１１ｄ、ＳＩＰ認証部１１ｅを備える。すなわち、ＳＩＰサーバ１が本発明の認証装置の機能を有している。

認証ＷＥＢサーバ１１ａは、Ｗｅｂ画面を作成する機能を有し、クライアント装置２からＨＴＴＰ（HyperText Transfer Protocol）によるアクセスがあった場合に、Ｗｅｂ画面を用いたＨＴＴＰによる認証処理を行う。パスワード発行部１１ｂは、乱数によるパスワード作成機能によって、ランダムな文字列で構成されるワンタイムパスワード（例えば、英数字７文字）を作成する。データベース１１ｃは、ユーザ認証に用いるＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードの各データが予め格納されている。このＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードは、ユーザ毎に予め割り付けられており、クライアント装置２を用いるユーザの認証情報に相当する。アドレスフィルタ１１ｄは、ＨＴＴＰによってＳＩＰサーバ１にアクセスしたクライアント装置２のＩＰアドレスが登録される。ＳＩＰ認証部１１ｅは、ＳＩＰによる認証処理を行う。

以下、認証部１１による認証処理について、図２，図３を用いて説明する。

まず、正当なユーザのクライアント装置２からＳＩＰサーバ１に対して、第１のプロトコルであるＨＴＴＰによるアクセスが発生する（Ｓ１）。クライアント装置２は、パーソナルコンピュータのブラウザ機能を利用してＳＩＰサーバ１にアクセスする方法、または専用のクライアントツールを利用してＳＩＰサーバ１にアクセスする方法のいずれを用いてもよい。

ＳＩＰサーバ１では、認証ＷＥＢサーバ１１ａが、クライアント装置２からのアクセスに対して、認証画面Ｇ１をＷｅｂ画面で作成し、この認証画面Ｇ１をクライアント装置２に表示させる。図４は、認証画面Ｇ１の構成を示し、認証画面Ｇ１は、パスワード提示領域Ｒ１、文字列入力領域Ｒ２、ユーザＩＤ入力領域Ｒ３、ＶｏＩＰパスワード入力領域Ｒ４、送信ボタンＢ１を有する。なお、ユーザＩＤ入力領域Ｒ３、ＶｏＩＰパスワード入力領域Ｒ４は、本発明の認証情報入力領域に相当する。

認証ＷＥＢサーバ１１ａは、パスワード発行部１１ｂが作成したワンタイムパスワードを取得し、パスワード提示領域Ｒ１にワンタイムパスワードを表示する（Ｓ２）。ユーザは、認証画面Ｇ１に表示されたワンタイムパスワードを見て、クライアント装置２を操作することによって、文字列入力領域Ｒ２にワンタイムパスワードを入力する。このワンタイムパスワードの入力は、ユーザが認証画面Ｇ１を見てワンタイムパスワードに設定された文字列を認識する必要があるため、機械的な自動アクセスでは対応できない。さらに、ユーザは、クライアント装置２を操作することによって、ユーザＩＤ入力領域Ｒ３、ＶｏＩＰパスワード入力領域Ｒ４に、ＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを入力する。ユーザは、文字列入力領域Ｒ２、ユーザＩＤ入力領域Ｒ３、ＶｏＩＰパスワード入力領域Ｒ４への入力操作の後、送信ボタンＢ１を押下することによって、各入力データをＳＩＰサーバ１へ送信する。

ＳＩＰサーバ１の認証ＷＥＢサーバ１１ａは、文字列入力領域Ｒ２に入力されたワンタイムパスワードと、パスワード発行部１１ｂが作成したワンタイムパスワードとを比較する。そして、双方のワンタイムパスワードが互いに一致すれば、次に、ＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを用いたユーザ認証を行う。

認証ＷＥＢサーバ１１ａは、ユーザ認証処理において、データベース１１ｃに予め格納されているＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードを取得する（Ｓ３）。そして、ユーザＩＤ入力領域Ｒ３およびＶｏＩＰパスワード入力領域Ｒ４に入力されたＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードと、データベース１１ｃに予め格納されているＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードとを比較する。そして、認証ＷＥＢサーバ１１ａは、双方のＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードが互いに一致すれば、ユーザ認証が肯定されたユーザ認証済であることをデータベース１１ｃに登録する（Ｓ４）。さらに、認証ＷＥＢサーバ１１ａは、ユーザ認証が肯定された場合、クライアント装置２がＨＴＴＰによるアクセス時に用いたＩＰアドレス（発信元ＩＰアドレス）を取得し、この発信元ＩＰアドレスをアドレスフィルタ１１ｄに登録する（Ｓ５）。

そして、認証ＷＥＢサーバ１１ａは、認証画面Ｇ１に対するユーザの各入力作業に対するレスポンスとして、発信元ＩＰアドレスは登録完了である旨をＨＴＴＰによってクライアント装置２へ通知する（Ｓ６）。クライアント装置２は、発信元ＩＰアドレスの登録完了を画面上（Ｗｅｂ画面上）に表示する。

次に、ＳＩＰ認証部１１ｅのＳＩＰ手続きによる通話過程に進む。

発信元ＩＰアドレスの登録完了を通知されたクライアント装置２は、ＳＩＰサーバ１に対して、第２のプロトコルであるＳＩＰによるアクセス（ＲＥＧＩＳＴＥＲ通知）を行う（Ｓ７）。ＳＩＰサーバ１では、ユーザ認証を既に行っているので、ＩＰアドレスの認証処理のみを行う。具体的に、ＳＩＰ認証部１１ｅは、クライアント装置２がＳＩＰによるアクセス時に用いたＩＰアドレス（発信元ＩＰアドレス）を取得し、この取得した発信元ＩＰアドレスを、アドレスフィルタ１１ｄに登録している発信元アドレスと比較する（Ｓ８）。すなわち、ＳＩＰ認証部１１ｅは、ＨＴＴＰによるアクセス時の発信元ＩＰアドレスと、ＳＩＰによるアクセス時の発信元ＩＰアドレスとが一致しているか否かを判定する。そして、ＳＩＰ認証部１１ｅは、ＨＴＴＰによるアクセス時の発信元ＩＰアドレスと、ＳＩＰによるアクセス時の発信元ＩＰアドレスとが一致している場合、ＳＩＰによるアクセス時の発信元ＩＰアドレスを認証済とし、クライアント装置２からのＲＥＧＩＳＴＥＲ通知を受け取る。

ＲＥＧＩＳＴＥＲ通知を受け取ったＳＩＰ認証部１１ｅは、データベース１１ｃを参照して、ユーザ認証済であることを認識すると（Ｓ９）、ＲＥＧＩＳＴＥＲ（認証登録）を行う。

ＲＥＧＩＳＴＥＲを完了したＳＩＰ認証部１１ｅは、ＳＩＰ手続きの「２００ＯＫ」をクライアント装置２へ送信する（Ｓ１０）。以降、クライアント装置２は、ＳＩＰサーバ１が提供するＩＰ電話サービスを利用して、ＳＩＰによる通話（ＩＮＶＩＴＥ）等を行う（Ｓ１１）。

このような構成では、ワンタイムパスワードの入力は、ユーザが認証画面Ｇ１を見て、ワンタイムパスワードに設定された文字列を認識する必要がある。したがって、総当り攻撃者が、機械的な自動アクセスによって、ＳＩＰサーバ１にアクセスしてきた場合、ワンタイムパスワードを読み取ることができない。したがって、機械的な自動アクセスによる総当り攻撃から防御できる。

また、人的なアクセスによる総当り攻撃に対しては、ＨＴＴＰによるＳＩＰサーバ１へのアクセス毎に、ワンタイムパスワードを入力する必要があり、短時間に多くの攻撃を行うことは不可能である。したがって、人的なアクセスによる総当り攻撃からも防御できる。

また、機械的な自動アクセスによるＤｏＳ攻撃、人的なアクセスによるＤｏＳ攻撃の両方に対しても、上記総当り攻撃と同様に防御できる。

また、ＤｏＳ攻撃者は、ユーザ認証が行われなければ、攻撃に用いるＩＰアドレスがアドレスフィルタ１１ｄに登録されていないので、このＩＰアドレスからＳＩＰサーバ１へのアクセスは禁止され、ＤｏＳ攻撃からの防御が可能になる。ＳＩＰサーバ１のＳＩＰ認証部１１ｅは、アドレスフィルタ１１ｄに登録されていないＩＰアドレスを用いたＳＩＰによるアクセスにあった場合、ＳＩＰ手続きの「エラー通知」をクライアント装置２へ送信してもよく、または無応答であってもよい。

したがって、正当なクライアント装置２に対してはＳＩＰサーバ１の利用を保障し、且つＤｏＳ攻撃、総当り攻撃に対しては防御することができる。

なお、本実施形態では、認証部１１を備えたＳＩＰサーバ１が、本発明の認証装置を構成している。しかし、ＳＩＰサーバ１、およびＳＩＰサーバ１に接続した図示しないルータ、ファイヤーウォール機器等が互いに連携することによって、認証装置を構成してもよい。また、認証部１１を備えた認証装置を、ＳＩＰサーバ1とは別体に構成してもよい。

また、上記ステップＳ６において、ＳＩＰサーバ１の認証ＷＥＢサーバ１１ａは、クライアント装置２の発信元ＩＰアドレスをアドレスフィルタ１１ｄに登録した場合、発信元ＩＰアドレスは登録完了である旨をクライアント装置２へ通知する。このとき、認証ＷＥＢサーバ１１ａは、アドレスフィルタ１１ｄに登録した発信元ＩＰアドレスの登録期限情報（例えば、３０秒以内）を設定し、発信元ＩＰアドレスの登録状態（認証完了）とともにクライアント装置２へ通知してもよい。クライアント装置２は、この登録期限情報を表示し、ユーザに、登録期限内のＳＩＰによるアクセス（ＲＥＧＩＳＴＥＲ通知）を促す。

そして、上記ステップＳ７においてクライアント装置２からＲＥＧＩＳＴＥＲ通知を受け取ったＳＩＰ認証部１１ｅは、発信元ＩＰアドレスを取得する。ＳＩＰ認証部１１ｅは、上記ステップＳ８において、取得した発信元ＩＰアドレスが登録期限内であれば、この取得した発信元ＩＰアドレスを、アドレスフィルタ１１ｄに登録している発信元アドレスと比較する。すなわち、ＳＩＰ認証部１１ｅは、この取得した発信元ＩＰアドレスが前記登録したＩＰアドレスと一致し、且つ登録期限内である場合、この発信元ＩＰアドレスを認証済とする。

このように、発信元ＩＰアドレスの認証に期限を設けることにより、ＤｏＳ攻撃、総当り攻撃に対して、さらなる防御を図ることができる。

（実施形態２）
本実施形態は、図１のシステム構成を備えており、実施形態１と同様の構成には同一の符号を付し、説明は省略する。

以下、認証部１１による認証処理について、図５，図６を用いて説明する。

まず、正当なユーザのクライアント装置２からＳＩＰサーバ１に対して、第１のプロトコルであるＨＴＴＰによるアクセスが発生する（Ｓ２１）。クライアント装置２は、パーソナルコンピュータのブラウザ機能を利用してＳＩＰサーバ１にアクセスする方法、または専用のクライアントツールを利用してＳＩＰサーバ１にアクセスする方法のいずれを用いてもよい。

ＳＩＰサーバ１では、認証ＷＥＢサーバ１１ａが、クライアント装置２からのアクセスに対して、認証画面Ｇ１１をＷｅｂ画面で作成し、この認証画面Ｇ１１をクライアント装置２に表示させる。図７（ａ）は、認証画面Ｇ１１の構成を示し、認証画面Ｇ１１は、パスワード提示領域Ｒ１１、文字列入力領域Ｒ１２、送信ボタンＢ１１を有する。

認証ＷＥＢサーバ１１ａは、パスワード発行部１１ｂが作成したワンタイムパスワードを取得し、パスワード提示領域Ｒ１にワンタイムパスワードを表示する（Ｓ２２）。ユーザは、認証画面Ｇ１１に表示されたワンタイムパスワードを見て、クライアント装置２を操作することによって、文字列入力領域Ｒ１２にワンタイムパスワードを入力する。このワンタイムパスワードの入力は、ユーザが認証画面Ｇ１１を見てワンタイムパスワードに設定された文字列を認識する必要があるため、機械的な自動アクセスでは対応できない。ユーザは、文字列入力領域Ｒ２への入力操作の後、送信ボタンＢ１１を押下することによって、入力データをＳＩＰサーバ１へ送信する。

ＳＩＰサーバ１の認証ＷＥＢサーバ１１ａは、文字列入力領域Ｒ１２に入力されたワンタイムパスワードと、パスワード発行部１１ｂが作成したワンタイムパスワードとを比較する。そして、双方のワンタイムパスワードが互いに一致すれば、認証ＷＥＢサーバ１１ａは、クライアント装置２がＨＴＴＰによるアクセス時に用いたＩＰアドレス（発信元ＩＰアドレス）を取得し、この発信元ＩＰアドレスをアドレスフィルタ１１ｄに登録する（Ｓ２３）。

そして、認証ＷＥＢサーバ１１ａは、認証画面Ｇ１１に対するユーザの各入力作業に対するレスポンスとして、発信元ＩＰアドレスは登録完了である旨をＨＴＴＰによってクライアント装置２へ通知する（Ｓ２４）。クライアント装置２は、発信元ＩＰアドレスの登録完了を画面上（Ｗｅｂ画面上）に表示する。

発信元ＩＰアドレスの登録完了を通知されたクライアント装置２は、ＳＩＰサーバ１に対して、第２のプロトコルであるＳＩＰによるアクセス（ＲＥＧＩＳＴＥＲ通知）を行う（Ｓ２５）。このとき、クライアント装置２は、アクセス操作時に表示しているアクセス画面Ｇ１２中に、図７（ｂ）に示すユーザＩＤ入力領域Ｒ１３、ＶｏＩＰパスワード入力領域Ｒ１４を設ける。そして、ユーザは、クライアント装置２を操作することによって、ユーザＩＤ入力領域Ｒ１３、ＶｏＩＰパスワード入力領域Ｒ１４に、ＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを入力する。なお、ユーザＩＤ入力領域Ｒ１３、ＶｏＩＰパスワード入力領域Ｒ１４は、本発明の認証情報入力領域に相当する。

次に、ＳＩＰ認証部１１ｅは、ＩＰアドレスの認証処理、およびＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを用いたユーザ認証を行う。具体的に、ＳＩＰ認証部１１ｅは、クライアント装置２がＳＩＰによるアクセス時に用いたＩＰアドレス（発信元ＩＰアドレス）を取得し、この取得した発信元ＩＰアドレスを、アドレスフィルタ１１ｄに登録している発信元アドレスと比較する（Ｓ２６）。すなわち、ＳＩＰ認証部１１ｅは、ＨＴＴＰによるアクセス時の発信元ＩＰアドレスと、ＳＩＰによるアクセス時の発信元ＩＰアドレスとが一致しているか否かを判定する。そして、ＳＩＰ認証部１１ｅは、ＨＴＴＰによるアクセス時の発信元ＩＰアドレスと、ＳＩＰによるアクセス時の発信元ＩＰアドレスとが一致している場合、ＳＩＰによるアクセス時の発信元ＩＰアドレスを認証済とする。そして、ＳＩＰ認証部１１ｅは、クライアント装置２からのＲＥＧＩＳＴＥＲ通知、およびＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを受け取る。

そして、ＳＩＰ認証部１１ｅは、データベース１１ｃに予め格納されているＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードを取得する（Ｓ２７）。そして、ユーザＩＤ入力領域Ｒ１３およびＶｏＩＰパスワード入力領域Ｒ１４に入力されたＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードと、データベース１１ｃに予め格納されているＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードとを比較する。そして、ＳＩＰ認証部１１ｅは、双方のＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードが互いに一致すれば、ユーザ認証が肯定されたユーザ認証済であると認識し、ＲＥＧＩＳＴＥＲ（認証登録）を行う。ＲＥＧＩＳＴＥＲを完了したＳＩＰ認証部１１ｅは、ＳＩＰ手続きの「２００ＯＫ」をクライアント装置２へ送信する（Ｓ２８）。以降、クライアント装置２は、ＳＩＰサーバ１が提供するＩＰ電話サービスを利用して、ＳＩＰによる通話（ＩＮＶＩＴＥ）等を行う（Ｓ２９）。

このような構成では、ワンタイムパスワードの入力は、ユーザが認証画面Ｇ１１を見て、ワンタイムパスワードに設定された文字列を認識する必要がある。したがって、総当り攻撃者が、機械的な自動アクセスによって、ＳＩＰサーバ１にアクセスしてきた場合、ワンタイムパスワードを読み取ることができない。したがって、機械的な自動アクセスによる総当り攻撃から防御できる。

また、上記ステップＳ２４において、ＳＩＰサーバ１の認証ＷＥＢサーバ１１ａは、クライアント装置２の発信元ＩＰアドレスをアドレスフィルタ１１ｄに登録した場合、発信元ＩＰアドレスは登録完了である旨をクライアント装置２へ通知する。このとき、認証ＷＥＢサーバ１１ａは、アドレスフィルタ１１ｄに登録した発信元ＩＰアドレスの登録期限情報（例えば、３０秒以内）を設定し、発信元ＩＰアドレスの登録状態（認証完了）とともにクライアント装置２へ通知してもよい。クライアント装置２は、この登録期限情報を表示し、ユーザに、登録期限内のＳＩＰによるアクセス（ＲＥＧＩＳＴＥＲ通知）を促す。

そして、上記ステップＳ２５においてクライアント装置２からＲＥＧＩＳＴＥＲ通知を受け取ったＳＩＰ認証部１１ｅは、発信元ＩＰアドレスを取得する。ＳＩＰ認証部１１ｅは、上記ステップＳ２６において、取得した発信元ＩＰアドレスが登録期限内であれば、この取得した発信元ＩＰアドレスを、アドレスフィルタ１１ｄに登録している発信元アドレスと比較する。すなわち、ＳＩＰ認証部１１ｅは、この取得した発信元ＩＰアドレスが前記登録したＩＰアドレスと一致し、且つ登録期限内である場合、この発信元ＩＰアドレスを認証済とする。

（実施形態３）
本実施形態では、クライアント装置２として、専用のクライアントツールであるソフトフォンを用いており、図８は、ソフトフォンの認証画面Ｇ２１を示す。この認証画面Ｇ２１は、接続の状況などが表示される情報表示領域Ｒ２１、ダイヤル先などを入力する番号ボタンＢ２１、番号ボタンＢ２１による相手先番号の入力後に発呼を実施するダイヤルボタンＢ２２、通話を切断する切断ボタンＢ２３を、一般的なソフトフォンと同様に備える。さらに、ワンタイムパスワードを表示するパスワード提示領域Ｒ２２、番号ボタンＢ２１を操作することによって、ワンタイムパスワードを入力する文字列入力領域Ｒ２３を備える。また、文字列入力領域Ｒ２３の入力データをＳＩＰサーバ１へ送信する際に操作する送信ボタンＢ２４も備える。

このソフトフォンは、ワンタイムパスワードを表示するパスワード提示領域Ｒ２２、ワンタイムパスワードを入力する文字列入力領域Ｒ２３を設けた点が、一般的なソフトフォンとは異なる。しかしながら、このソフトフォンは、一般的に利用される形状を多く残し、認証処理のためにユーザが新たに操作する箇所を減らした構成にしている。

また、一般的なソフトフォンでは、「設定画面」と呼ばれる別画面にて、ＲＥＧＩＳＴＥＲに使用されるＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを予め入力している。そして、このソフトフォンでは、パーソナルコンピュータ上でソフトフォンのソフトウェアを起動させた時点（パソコン画面上に認証画面Ｇ２１が表示された時点）で、バックグラウンドでそれらのデータをＳＩＰサーバ１へ自動送信し、認証される手順になっている。この点が実施形態１，２のクライアント装置２とは異なる。

しかしながら、実施形態１と同様の認証処理では、送信ボタンＢ２４を押下（送信ボタンＢ１の押下に相当）することによって、ＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードの各データがＳＩＰサーバ１へ送信される構成になる。また、実施形態２と同様の認証処理では、ダイヤルボタンＢ２２を押下して発呼する時点で（ステップＳ２５に相当）、ＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードの各データがＳＩＰサーバ１へ送信される構成になる。このように、実施形態１，２の各認証処理において、互いに同一の認証画面Ｇ２１を用いることができる。

また、ＲＥＧＩＳＴＥＲを完了した後にソフトフォンを用いた通話が可能となるが、ユーザは、ＲＥＧＩＳＴＥＲを完了した後に即時に発呼を行わなくてもよい。一般的にＶｏＩＰの利用では、ＲＥＧＩＳＴＥＲされた後、パソコン上でソフトフォンを起動した状態にしておき、ユーザが必要に応じて発呼する場合もあるし、着信を受ける場合もある。本構成は、この通常のＶｏＩＰの利用方法については独自性を持たず、ユーザの慣れ親しんだ手順からの逸脱を行わないようにしている。

また、一般にソフトフォンは、一度ＲＥＧＩＳＴＥＲした後、一定時間毎にＲＥＧＩＳＴＥＲを自動で繰り返し、ＳＩＰサーバ１から切断されないように振舞っている。本構成においても、登録期限情報によって、ＲＥＧＩＳＴＥＲしていない状態からＲＥＧＩＳＴＥＲするまでの許可時間（例えば３０秒以内）を設定するが、一度ＲＥＧＩＳＴＥＲした後は、一般のＶｏＩＰ同様、定期的にＲＥＧＩＳＴＥＲが実施されれば、ＳＩＰサーバ１から切断されることはない。よって、一度ＲＥＧＩＳＴＥＲした後は、ユーザの任意のタイミングで発呼も着信受けも可能である。

なお、上記各実施形態では、一般的な防御手法である「攻撃者のＩＰアドレスを特定する」という手法とは反対に、「正当なユーザのＩＰアドレスを特定し、それ以外のアクセスを全て禁止する」という手法を用いている。

また、ＳＩＰサーバ１は、従来のＳＩＰによる認証機能に加えて、ＨＴＴＰによる認証機能を設けている。正当なユーザは、ＨＴＴＰによるＷｅｂ画面でワンタイムパスワードによる認証を実施し、ＳＩＰサーバ１への一定期間のＲＥＧＩＳＴＥＲ（ＳＩＰサーバ１上での認証）権利を得る。続けて、クライアント装置２は、汎用のＶｏＩＰクライアントソフトウェアもしくは専用のソフトウェアを用いて、ＳＩＰサーバ１へＳＩＰの手続きでアクセスし、発信を実施できる。

攻撃者、または不正ユーザは、ＨＴＴＰによる認証を経ない場合、ＳＩＰサーバ１にどんなＶｏＩＰユーザＩＤであっても、ＲＥＧＩＳＴＥＲできない。また、認証ＷＥＢサーバ１１ａにアクセスした場合でも、ワンタイムパスワードを用いた認証をアクセス毎に行うため、機械的な自動アクセスによるパスワード検索は防止される。

１ＳＩＰサーバ
１１認証部
１１ａ認証ＷＥＢサーバ
１１ｂパスワード発行部
１１ｃデータベース
１１ｄアドレスフィルタ
１１ｅＳＩＰ認証部
２クライアント装置
ＮＴ１ネットワーク

Claims

サーバ装置にネットワークを介してアクセスするクライアント装置に対して認証処理を行う認証部を備える認証装置であって、
前記認証部は、
前記クライアント装置が第１の通信プロトコルを用いて前記サーバ装置にアクセスした場合、ランダムな文字列を表示するパスワード提示領域、および前記クライアント装置の操作によって文字列を入力する文字列入力領域を設けた認証画面を作成して、この認証画面を前記クライアント装置に表示させ、
前記クライアント装置が前記文字列入力領域に入力した文字列を取得して、この取得した文字列と前記ランダムな文字列とが一致した場合、前記クライアント装置のＩＰアドレスを登録し、
以降、第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレスを取得し、この取得したＩＰアドレスが前記登録したＩＰアドレスと一致した場合、前記取得したＩＰアドレスを認証済とする
ことを特徴とする認証装置。
前記認証部は、
前記クライアント装置を用いるユーザの認証情報を予め保持し、
前記認証情報を入力する認証情報入力領域を前記認証画面に設け、
前記クライアント装置が前記文字列入力領域に入力した文字列および前記認証情報領域に入力した前記認証情報を取得して、この取得した文字列と前記ランダムな文字列とが一致した場合、前記取得した認証情報と前記保持する認証情報とを比較し、前記取得した認証情報と前記保持する認証情報とが一致すれば、前記クライアント装置のＩＰアドレスを登録するとともに、前記ユーザは認証済であることを登録し、
以降、前記第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレスを取得し、この取得したＩＰアドレスが前記登録したＩＰアドレスと一致した場合、前記取得したＩＰアドレスを認証済とする
ことを特徴とする請求項１記載の認証装置。
前記認証部は、
前記クライアント装置を用いるユーザの認証情報を予め保持し、
前記第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレス、およびこのクライアント装置が入力した前記認証情報を取得し、前記取得したＩＰアドレスが、前記クライアント装置が前記第１の通信プロトコルを用いて前記サーバ装置にアクセスしたときに登録した前記ＩＰアドレスと一致した場合、前記取得した認証情報と前記保持する認証情報とを比較し、前記取得した認証情報と前記保持する認証情報とが一致すれば、前記取得したＩＰアドレスおよび前記ユーザを認証済とする
ことを特徴とする請求項１記載の認証装置。
前記認証部は、
前記クライアント装置のＩＰアドレスを登録した場合、このＩＰアドレスの登録期限を前記クライアント装置へ通知し、
前記第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレスを取得して、この取得したＩＰアドレスが前記登録したＩＰアドレスと一致し且つ前記登録期限内である場合、前記取得したＩＰアドレスを認証済とする
ことを特徴とする請求項１乃至３いずれか記載の認証装置。