JP2014010463A - 認証システムおよび認証装置 - Google Patents

Abstract

【課題】中間者攻撃を受けていることをユーザが認識することは容易ではなかった。
【解決手段】認証システム１００は、Ｉｄｐ装置２０と、要求側経路３０を介してＩｄｐ装置２０と通信するＰＣ１０と、確認側経路３２を介してＩｄｐ装置２０と通信するスマートフォン１２を備える。Ｉｄｐ装置２０は、ＰＣ１０からユーザ認証の要求を受け付け、当該要求の送信元アドレスに応じた送信元の地理的な位置を示す送信元位置情報を位置情報サーバ２６から取得する。Ｉｄｐ装置２０は、スマートフォン１２へ送信元位置情報を通知し、スマートフォン１２からユーザ認証の続行が指示された場合に、ユーザ認証に関する情報をＰＣ１０へ提供する。スマートフォン１２は、ユーザ認証の続行可否をユーザに判断させるために、Ｉｄｐ装置２０から通知された送信元位置情報を表示させる。
【選択図】図１

Description

本発明はデータ処理技術に関し、特に認証システムおよび認証装置に関する。

通信網を介して接続された認証サーバとユーザ端末間において、ユーザ認証のための情報が送受されることがある。

特開２００８−１１７３１７号公報

現在、ユーザの機密情報が通信網を介して送受されることがあり、悪意ある第三者が認証サーバとユーザ端末間の通信に介在し、その通信内容を傍受・改ざんする中間者攻撃に注意が必要になる。ユーザ端末のウェブブラウザで指定するＵＲＬをユーザが注意深く確認すれば、アクセス先が不正なものか否かを見破ることが可能な場合もある。しかし、ＤＮＳスプーフィングによりユーザが不正サイトへ誘導されることもあり、中間者攻撃を受けていることをユーザが認識することは容易ではなかった。

本発明はこうした課題に鑑みてなされたものであり、その主な目的は、ユーザが中間者攻撃を受けている場合に、その事実をユーザが認識することを支援するための技術を提供することにある。

上記課題を解決するために、本発明のある態様の認証システムは、認証サーバと、第１の経路を介して認証サーバと通信する第１のユーザ端末と、第１の経路とは異なる第２の経路を介して認証サーバと通信する第２のユーザ端末と、を備える。認証サーバは、第１のユーザ端末から第１の経路を介して送信されたユーザ認証の要求を受け付ける認証要求受付部と、ユーザ認証の要求の送信元アドレスに応じた送信元の地理的な位置を示す送信元位置情報を所定の記憶装置から取得する位置情報取得部と、送信元位置情報を、第２の経路を介して第２のユーザ端末へ通知する通知部と、第２のユーザ端末からユーザ認証の続行が指示された場合に、ユーザ認証に関する情報を第１のユーザ端末へ提供する認証情報提供部と、を含む。第２のユーザ端末は、ユーザ認証の続行可否をユーザに判断させるために、認証サーバから通知された送信元位置情報を出力する出力部を含む。

本発明の別の態様は、認証装置である。この装置は、あるユーザの第１端末から第１の経路を介して送信されたユーザ認証の要求を受け付ける認証要求受付部と、ユーザ認証の要求の送信元アドレスに応じた送信元の地理的な位置を示す送信元位置情報を所定の記憶装置から取得する位置情報取得部と、送信元の地理的な位置をユーザに確認させるために、第１の経路とは異なる第２の経路を介してユーザの第２端末へ送信元位置情報を通知する通知部と、第２端末からユーザ認証の続行が指示された場合に、ユーザ認証に関する情報を第１端末へ提供する認証情報提供部と、を備える。

なお、以上の構成要素の任意の組合せ、本発明の表現を方法、プログラム、プログラムを格納した記録媒体などの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、ユーザが中間者攻撃を受けている場合に、その事実をユーザが認識することを支援できる。

実施の形態の認証システムの構成を示す図である。 図１のＩｄｐ装置の機能構成を示すブロック図である。 図１のスマートフォンの機能構成を示すブロック図である。 認証システムの動作を示すシーケンス図である。 スマートフォンに表示された確認画面を示す図である。 認証システムの動作を示すシーケンス図である。 スマートフォンに表示された確認画面を示す図である。 認証システムの動作を示すシーケンス図である。

既述したように、ユーザが中間者攻撃を受けている場合に、その事実をユーザが認識することは容易ではなかった。そのため、悪意ある第三者のプロキシサーバがユーザ端末と認証サーバ間の通信に介在した場合、ユーザ認証に関連する様々な情報が、ユーザが気づかないうちに、第三者へ漏洩してしまう可能性がある。

また現在、送信元ＩＰアドレスに基づき送信元装置が存在する地理的な位置（例えば設置場所の住所）を通知するウェブサービスが提供されている。

実施の形態の認証サーバは、ユーザの第１端末から認証要求を受け付けた場合に、その要求電文が含む送信元ＩＰアドレスに対応する送信元の位置情報を取得する。そして、送信元の位置情報を、認証要求を受け付けた経路とは異なる経路を介して、ユーザの第２端末へ通知する。

これにより、ユーザの第１端末と認証サーバとの通信に、プロキシサーバが介在する場合、そのプロキシサーバの位置情報がユーザに通知される。したがって、そのプロキシサーバが悪意ある第三者が設置したもので、ユーザが中間者攻撃を受けている場合に、ユーザがその事実を認識しやすくなるよう支援できる。また、中間者攻撃を受けている可能性が高いとユーザが判断する場合は、認証サーバによるユーザ認証を第２端末からキャンセルすることで、個人情報等の漏洩を防止できる。

なお上記の第１端末および第２端末は、同一のユーザが使用する情報処理装置であり、実施の形態では第１端末をＰＣとし、第２端末をスマートフォンとする。ただし第１端末と第２端末は同じ種類の機器であってもよく、また、ＰＣ・スマートフォン・携帯電話機・タブレット端末等の任意の組み合わせであってもよい。

図１は、実施の形態の認証システムの構成を示す。認証システム１００は、１人のユーザが所有する情報処理装置としてのＰＣ１０およびスマートフォン１２と、認証サーバとしてのＩｄｐ（Identity Provider）装置２０と、位置情報サーバ２６を備える。Ｉｄｐ装置２０とＰＣ１０は、要求側経路３０を介してデータを送受し、Ｉｄｐ装置２０とスマートフォン１２は、要求側経路３０とは異なる確認側経路３２を介してデータを送受する。

要求側経路３０と確認側経路３２は、経路上で通信を中継する通信機器の少なくとも一部が異なるものであってよく、一部の通信機器が共通してもよい。また要求側経路３０を提供する通信事業者やプロバイダ事業者と、確認側経路３２を提供する通信事業者やプロバイダ事業者の少なくとも一部が異なってもよい。また要求側経路３０はＩＰ網による経路である一方、確認側経路３２は電話網による経路であってもよく、その逆でもよい。また要求側経路３０は、ウェブサーバとウェブクライアントの同期通信網であってもよく、確認側経路３２は、メールサーバを介した非同期通信網であってもよい。

本実施の形態では、要求側経路３０上にプロキシサーバ２４が存在し、プロキシサーバ２４は、要求側経路３０を流れる通信データを中継する。プロキシサーバ２４は、ユーザが契約する通信事業者やプロバイダ事業者が設置した正規のプロキシサーバかもしれないし、悪意のある第三者が中間者攻撃を行うために設置した不正のプロキシサーバかもしれない。このように、要求側経路３０は、悪意のある第三者が不正なプロキシサーバを設置することを完全に排除することが難しい経路であるが、確認側経路３２は、不正なプロキシサーバが存在する可能性が要求側経路３０より低い経路であることが望ましい。言い換えれば、確認側経路３２は、セキュリティ上、要求側経路３０より安全な経路であることが望ましい。

位置情報サーバ２６は、通信網上に設置された複数の機器について、各機器のＩＰアドレスと、各機器が設置された地理的な位置を示す情報（以下、単に「位置情報」と呼ぶ。）とを対応づけたデータベースを保持する。位置情報サーバ２６は、位置情報を問い合わせるためのＡＰＩを外部へ公開し、外部装置からＩＰアドレスを指定した位置情報の問い合わせ（上記ＡＰＩの呼び出し）を受け付けると、そのＩＰアドレスに対応づけられた位置情報を問い合わせ元へ提供する。位置情報は、地図上での各機器の設置位置とも言え、本実施の形態では国名・都市名・緯度・経度を含むものとする。

ＲＰ装置２２は、ＯｐｅｎＩＤの規格で定められたＲＰとして機能し、外部装置が発行したユーザＩＤによるログインを受け入れて、各種のサービスをＰＣ１０へ提供するウェブサーバである。本実施の形態におけるユーザＩＤの提供主体はＩｄｐ装置２０である。以下、ＩＤの設定やユーザ認証に関するＲＰおよびＩｄｐの処理について特に言及しない場合は、公知のＯｐｅｎＩＤ規格に準ずるものとする。

ＲＰ装置２２は、ＰＣ１０からウェブコンテンツを要求されると、Ｉｄｐ装置２０へのリダイレクト指示と、ユーザ属性の提供要求を含む認証依頼をＰＣ１０へ返信する。Ｉｄｐ装置２０は、ＰＣ１０から認証要求を受け付けるとユーザ認証を行い、ユーザ認証に成功すると、ユーザ属性情報を含む認証情報をＰＣ１０へ提供する。ＰＣ１０はＩｄｐ装置２０から取得した認証情報をＲＰ装置２２へ提供し、ＲＰ装置２２はその認証情報にもとづいてＰＣ１０へウェブコンテンツを提供する。

図２は、図１のＩｄｐ装置２０の機能構成を示すブロック図である。Ｉｄｐ装置２０は、通信処理部４０とユーザ情報保持部４２とユーザ認証部４４を備える。

本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。例えば、図２の各ブロックは、プログラムモジュールとして記録媒体に格納され、Ｉｄｐ装置２０のストレージへインストールされてもよい。そして、各ブロックに対応するプログラムモジュールがメインメモリに読み出されてＣＰＵにより実行されることで、各ブロックの機能が実現されてもよい。後述する図３でも同様である。

通信処理部４０は、ＰＣ１０、スマートフォン１２、位置情報サーバ２６と通信する。例えば、ＰＣ１０、スマートフォン１２、位置情報サーバ２６とＨＴＴＰによりデータを送受する。また、公知のプッシュ通知（Push Notification）の方法にしたがって、スマートフォン１２へデータを通知する。

ユーザ情報保持部４２は、ユーザに関する各種情報を保持する。具体的には、ユーザが予め登録した、もしくは、ユーザに予め払い出したＩＤおよびパスワードを保持する。また、ユーザの個人情報を含む様々な属性情報、例えば性別や、生年月日、メールアドレス、電話番号、クレジットカード番号を保持する。

またユーザ情報保持部４２は、ユーザの第１端末からの認証要求に対応して確認情報を通知すべきユーザの第２端末の情報を保持する。第２端末の情報は、Ｉｄｐ装置２０がユーザの第２端末へ確認情報を通知するために必要な情報であり、具体的には、ユーザの第２端末へのプッシュ通知を行うために必要な情報である。例えば、第２端末の個体識別番号や電話番号、ＩＰアドレス、ＭＡＣアドレス等であってもよい。

ユーザ認証部４４は、ユーザ認証のためのデータ処理を実行するアプリケーションである。ユーザ認証部４４は、認証要求受付部４６と、認証処理部４８と、位置情報取得部５０と、確認情報通知部５２と、確認結果受付部５４と、認証情報提供部５６を含む。

認証要求受付部４６は、ユーザ認証の要求をＰＣ１０から受け付け、所定のユーザ認証処理を実行する。例えば認証要求受付部４６は、ユーザＩＤおよびパスワードの入力フィールドを含むログイン画面のデータをＰＣ１０へ提供し、ユーザがログイン画面に入力したユーザＩＤおよびパスワードをＰＣ１０から取得する。そして、ユーザが入力したユーザＩＤ・パスワードと、ユーザ情報保持部４２に予め格納されたユーザＩＤ・パスワードを照合し、これらが整合する場合にユーザ認証に成功したと判定してもよい。

また実施の形態のユーザ認証要求は、ユーザ属性情報（例えばメールアドレスやクレジットカード番号等）の提供要求を含む。認証要求受付部４６は、ユーザ認証に成功した場合、ユーザ認証要求で要求されたユーザ属性情報をＰＣ１０へ提供することを許可する。その一方、ユーザ認証に失敗した場合、もしくは、後述するようにスマートフォン１２からユーザ認証のキャンセルが指示された場合、ユーザ認証要求で要求されたユーザ属性情報をＰＣ１０へ提供することを禁止する。

位置情報取得部５０は、ユーザ認証要求のＩＰパケットで指定された送信元ＩＰアドレスを特定し、その送信元ＩＰアドレスを指定した位置情報の提供要求を位置情報サーバ２６へ送信する。そして、その送信元ＩＰアドレスに対応する位置情報を位置情報サーバ２６から取得する。

確認情報通知部５２は、位置情報取得部５０により取得された位置情報と、ユーザ認証要求で要求されたユーザ属性情報の項目名の両方を確認情報としてスマートフォン１２へ通知する。本実施の形態では、公知のプッシュ通知の方式により確認情報をスマートフォン１２へ提供して表示させる。また確認情報通知部５２は、確認情報のハッシュ値をＩｄｐ装置２０の暗号鍵で暗号化した署名データを確認情報へ付加してスマートフォン１２へ提供する。

確認結果受付部５４は、確認情報通知部５２による確認情報の通知に対する応答として、ユーザ認証の続行もしくはキャンセルを指示するデータをスマートフォン１２から受け付ける。

認証情報提供部５６は、ユーザ認証の続行指示がスマートフォン１２から受け付けられた場合、ユーザ認証の結果を示すアサーションやトークンのデータ（以下、「ユーザ認証情報」とも呼ぶ。）を設定する。認証情報提供部５６は、ユーザ認証要求で要求されたユーザ属性情報をユーザ認証情報に含めてＰＣ１０へ提供する。ＰＣ１０は、Ｉｄｐ装置２０から取得したユーザ認証情報をＲＰ装置２２へ提供することにより、所望のウェブコンテンツをＲＰ装置２２から取得する。

認証情報提供部５６は、ユーザ認証のキャンセル指示がスマートフォン１２から受け付けられた場合、ユーザ認証がキャンセルされた旨の情報をＰＣ１０へ提供する。この場合、認証情報提供部５６は、ユーザ認証要求で要求されたユーザ属性情報をＰＣ１０へ提供することを抑制する。

図３は、図１のスマートフォン１２の機能構成を示すブロック図である。スマートフォン１２は、表示装置（例えば液晶ディスプレイ）と入力装置（例えばタッチパネル）とを一体化したタッチスクリーン６０と、操作検出部６２と、表示制御部６４と、通信処理部６６と、ＧＰＳ受信部６８と、ユーザ確認部７０を備える。

操作検出部６２は、タッチスクリーン６０や、スマートフォン１２に配置された各種のボタンに対して入力されたユーザ操作を検出する。表示制御部６４は、タッチスクリーン６０の表示内容を制御し、ユーザ確認部７０から出力された表示用のデータ（例えばＩｄｐ装置２０から提供された確認データ）をスマートフォン１２に表示させる。通信処理部６６は、確認側経路３２を介して、Ｉｄｐ装置２０とデータを送受する。

ＧＰＳ受信部６８は、ＧＰＳ衛星から発信された信号を受信し、その信号に基づいてスマートフォン１２の現在位置を示す情報を出力する。具体的には、スマートフォン１２の現在位置を示す経度および緯度を出力する。

ユーザ確認部７０は、ユーザ認証の続行可否をユーザに確認するためのアプリケーションである。ユーザ確認部７０は、確認情報受付部７２と、署名確認部７４と、現在位置取得部７６と、確認画面設定部７８と、確認結果通知部８０を含む。

確認情報受付部７２は、Ｉｄｐ装置２０から送信された確認情報を受け付ける。署名確認部７４は、確認情報に付加された署名データをＩｄｐ装置２０の公開鍵で復号し、復号結果である確認情報のハッシュ値を取得する。そして、署名確認部７４自身で生成した確認情報のハッシュ値と、上記署名データの復号結果であるハッシュ値とを照合することにより、確認情報に改ざんがあるか否かを確認する。

現在位置取得部７６は、ＧＰＳ受信部６８が出力した経度および緯度の値にもとづいてスマートフォン１２の地理的な現在位置を示す情報（例えば国名・都市名）を取得する。例えば、ＧＰＳ受信部６８が出力した経度および緯度を指定した問い合わせを、通信処理部６６を介して外部の住所特定サーバ（不図示）へ送信してもよい。この住所特定サーバは、経度および緯度の値を受け付けて、その値で特定される住所をスマートフォン１２へ提供してもよい。またはスマートフォン１２は、経度および緯度の組み合わせと、国名・都市名等の住所情報を対応づけた地図情報を予め保持してもよい。現在位置取得部７６は、その地図情報を参照して、ＧＰＳ受信部６８が出力した経度および緯度の値に対応づけられた現在位置の住所を取得してもよい。

確認画面設定部７８は、Ｉｄｐ装置２０から送信された確認情報が示す送信元位置と、ユーザ認証要求で要求されたユーザ属性情報の項目名と、現在位置取得部７６が取得した現在位置住所を含む確認画面のデータを設定する。そして、確認画面のデータを表示制御部６４へ渡してタッチスクリーン６０に表示させる。

また確認画面設定部７８は、スマートフォン１２の現在位置と、送信元位置との乖離が大きい場合に、中間者攻撃に対するユーザの注意を喚起するための所定の態様になるよう確認画面を設定する。例えば、ユーザの注意を喚起するための各種オブジェクト（注意喚起のためのメッセージや画像等）を確認画面に設定してもよい。また、送信元位置および／または現在位置の文字色、文字サイズ、背景色等を通常の態様とは異なる態様で表示させ、すなわち両者の違いを強調した態様で表示させてもよい。また、スマートフォン１２の現在位置と、送信元位置との地理的な距離、例えば地図上で測定した距離が所定値以上の場合に、両者の位置の乖離が大きいと判定してもよい。また、スマートフォン１２の現在位置と送信元位置のそれぞれが示す国が異なり、または、それぞれが地図上で離れた都市を示す場合に、両者の位置の乖離が大きいと判定してもよい。

確認結果通知部８０は、スマートフォン１２に表示された確認画面に対して、ユーザ認証の続行を指示するユーザ操作が入力された場合、ユーザ認証の続行を示すデータをＩｄｐ装置２０へ送信する。その一方、確認画面に対して、ユーザ認証のキャンセルを指示するユーザ操作が入力された場合、ユーザ認証のキャンセルを示すデータをＩｄｐ装置２０へ送信する。また確認結果通知部８０は、署名確認部７４により確認情報の改ざんが検出された場合も、ユーザ認証のキャンセルを示すデータをＩｄｐ装置２０へ送信する。

以上の動作による認証システム１００の動作を以下説明する。
図４は、認証システム１００の動作を示すシーケンス図である。同図のプロキシサーバ２４は、中間者攻撃に関与しない正規のプロキシサーバであることとする。ＰＣ１０のウェブブラウザは、ユーザが所望するサービスの提供をＲＰ装置２２へ要求する（Ｓ１０）。ＲＰ装置２２は、ユーザＩＤやユーザ属性情報を含む認証情報の提供をＰＣ１０へ依頼する（Ｓ１２）。例えば、Ｉｄｐ装置２０のユーザ認証サービスのＵＲＬをリダイレクト先として指定するウェブページをＰＣ１０へ提供する。ＰＣ１０はＩｄｐ装置２０宛のユーザ認証要求を要求側経路３０へ送出し（Ｓ１４）、プロキシサーバ２４はそのユーザ認証要求を透過的にＩｄｐ装置２０へ転送する（Ｓ１６）。

Ｉｄｐ装置２０は、ユーザ認証要求で指定された送信元ＩＰアドレスに対応する送信元位置を位置情報サーバ２６へ問い合わせ（Ｓ１８）、その送信元位置を示す位置情報を位置情報サーバ２６から取得する（Ｓ２０）。Ｉｄｐ装置２０は、送信元位置およびＲＰ装置２２により要求されたユーザ属性を示す確認情報を、確認側経路３２を介してスマートフォン１２へ提供する（Ｓ２２）。スマートフォン１２は、Ｉｄｐ装置２０から提供された確認情報を確認画面に表示させることにより、ユーザ認証の続行可否をユーザに判断させる（Ｓ２４）。

図５は、スマートフォン１２に表示された確認画面を示す。確認画面は、スマートフォン１２自身で取得した現在位置を表示するエリア９３、確認情報に含まれる送信元位置を表示するエリア９５、同じく確認情報に含まれる要求対象のユーザ属性項目を表示するエリア９７を含む。エリア９５の送信元位置は、ユーザが契約するプロバイダ事業者のプロキシサーバ等の所在地となるため、エリア９３の現在位置と必ずしも一致しない。ただし典型的には、エリア９５の送信元位置とエリア９３の現在位置とは近傍位置（例えば同一都道府県内や、隣接都道府県の範囲）になる。したがって、両者の位置が非常に離れている場合（例えば離れた都道府県や、国が異なる場合等）には、中間者攻撃を受けているリスクが比較的高いことをユーザに認識させやすくなる。

またエリア９７の要求属性に、ユーザが想定しない個人情報が表示される場合、例えば商品購入等に何ら関係のないＲＰ装置２２のウェブコンテンツをユーザが閲覧しようとしているにも関わらず、クレジットカード番号が要求されている場合には、中間者攻撃を受けているリスクが比較的高いことをユーザに認識させやすくなる。ユーザは、ユーザ認証を続行する場合（例えば中間者攻撃のリスクが低いと判断する場合であり、ユーザ属性の提供を許可する場合）には確認画面上の続行ボタン９０にタッチし、ユーザ認証をキャンセルする場合はキャンセルボタン９１にタッチする。図４の動作例ではユーザが続行ボタン９０にタッチすることとし、スマートフォン１２はユーザ認証の続行指示をＩｄｐ装置２０へ通知する（Ｓ２６）。

Ｉｄｐ装置２０は、ユーザ認証の結果およびＲＰ装置２２により要求されたユーザ属性情報を含む認証情報をＰＣ１０宛に要求側経路３０へ送出し（Ｓ２８）、プロキシサーバ２４はその認証情報を透過的にＰＣ１０へ転送する（Ｓ３０）。ＰＣ１０は、Ｉｄｐ装置２０から取得した認証情報をＲＰ装置２２へ提供し（Ｓ３２）、ＲＰ装置２２は、その認証情報にもとづいてＰＣ１０から要求されたサービスをＰＣ１０へ提供する（Ｓ３４）。

仮にプロキシサーバ２４が不正なものであり、これまでの認証システムのようにＳ１８からＳ２６の処理がなければ、ユーザは中間者攻撃を受けていることの検知が困難であり、Ｓ２８において認証情報が不正なプロキシサーバ２４により盗窃されてしまう。これを防止するための認証システム１００の動作は図６に関連して後述する。

なお図４には不図示であるが、Ｉｄｐ装置２０の認証処理部４８は、ユーザ認証の続行指示をスマートフォン１２から受け付けたことを条件として、ユーザＩＤおよびパスワードの入力フィールドを含むログイン画面のデータをＰＣ１０へ提供してもよい。そして、ユーザがログイン画面に入力したユーザＩＤおよびパスワードをＰＣ１０から取得し、それらの情報にもとづいてユーザ認証の成否を判定してもよい。これにより、スマートフォン１２の確認画面においてユーザがユーザ認証をキャンセルした場合、ユーザＩＤおよびパスワードを悪意のある第三者が設置したプロキシサーバ２４が盗窃することを防止できる。

図６は、認証システム１００の動作を示すシーケンス図である。ただし同図のプロキシサーバ２４は、中間者攻撃のために悪意のある第三者が要求側経路３０に設置した不正なプロキシサーバである。この例では、ＤＮＳスプーフィングによりユーザが気づかないまま、外国に設置された不正なプロキシサーバ２４にＰＣ１０がアクセスすることとする。図６のＳ１０からＳ１４までの動作は図４と同じであるため省略する。プロキシサーバ２４は、ユーザ認証要求をＰＣ１０から受け付けると、ＲＰ装置２２へ提供すべきユーザ属性の項目を、所望の盗窃対象の項目とするようユーザ属性を改変し（Ｓ１５）、改変後のユーザ認証要求をＩｄｐ装置２０へ転送する（Ｓ１６）。図６のＳ１８からＳ２４までの動作も図４と同じであるため省略する。

図７は、スマートフォン１２に表示された確認画面を示す。図７ではエリア９３の現在位置と、エリア９５の送信元位置の国が異なるため、注意喚起オブジェクト９９が表示されている。これにより、中間者攻撃を受けているリスクが比較的高いことをユーザに認識させやすくなる。またエリア９７には重要な個人情報が要求されていることが表示されるため、セキュリティ上のリスクが比較的高いことをユーザに認識させやすくなる。図６の動作例ではユーザがキャンセルボタン９１にタッチすることとし、スマートフォン１２はユーザ認証のキャンセル指示をＩｄｐ装置２０へ通知する（Ｓ４０）。Ｉｄｐ装置２０は、ユーザ認証処理を中断し、ユーザ認証がキャンセルされた旨をプロキシサーバ２４を介してＰＣ１０へ通知する（Ｓ４２）。

図７で示すように、送信元位置情報および要求されたユーザ属性項目を、確認側経路３２を介してスマートフォン１２へ提供することで、不正なプロキシサーバ２４によるそれらの情報の改ざんを防止しつつ、ユーザに中間者攻撃のリスクの高低を判断させやすくなる。ユーザが中間者攻撃のリスクが高いと判断し、ユーザ認証をキャンセルした場合は、要求されたユーザ属性情報を含む認証情報をＰＣ１０へ提供することを抑制することにより、ユーザ属性情報の盗窃を防止できる。

なお、これまでの認証システムにおいても、図６のＳ５０以降で示すように、ＲＰ装置２２が要求したユーザ属性項目をＰＣ１０に確認させることは考えられる。しかし、Ｉｄｐ装置２０が、要求されたユーザ属性を示す確認情報をＰＣ１０宛に要求側経路３０へ送出した場合（Ｓ５０）、その確認情報を不正なプロキシサーバ２４が改変してしまうことがあり得る（Ｓ５２）。例えば、プロキシサーバ２４は、ユーザ認証要求を改変して、クレジットカード番号を要求した（Ｓ１５およびＳ１６）ことを秘匿して、メールアドレスを要求したかのように確認情報を改変し、改変後の確認情報をＰＣ１０へ転送する（Ｓ５４）。ＰＣ１０において確認情報を処理する主体は一般的なウェブブラウザであるため、確認情報が改変されたことの検出は困難である。

そのため、ウェブブラウザによる確認情報の表示時に（Ｓ５６）、ユーザはメールアドレスの提供に過ぎないと認識して、提供を許可してしまう。その結果、その許可情報がプロキシサーバ２４を介してＩｄｐ装置２０へ伝達され（Ｓ５８、Ｓ６０）、Ｉｄｐ装置２０は、クレジットカード番号等の重要な個人情報をＰＣ１０宛に送信してしまう。その結果、重要な個人情報がプロキシサーバ２４で盗窃され、第三者に漏洩してしまう。既述したように、実施の形態の認証システム１００では、要求されたユーザ属性項目を、確認側経路３２を介してスマートフォン１２へ提供することで、プロキシサーバ２４による改ざんを防止しつつ、ユーザに中間者攻撃の存在有無を判断させやすくなる。また仮にＩｄｐ装置２０からスマートフォン１２へ提供される確認情報が改ざんされても、スマートフォン１２の署名確認部７４がその改ざんを検出し、ユーザ認証をキャンセルすることにより、ユーザ情報の漏洩を防止できる。

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。以下変形例を示す。

第１の変形例を説明する。
上記実施の形態では、Ｉｄｐ装置２０が提供を要求されたユーザ属性項目を示す情報（以下、「要求属性項目」とも呼ぶ。）をスマートフォン１２に表示させた。変形例として、要求属性項目をＰＣ１０にも表示させてよく、例えば、図５・図７におけるエリア９７の情報をＰＣ１０にも表示させてよい。そのために、図６のＳ２２・Ｓ２４とＳ５４・Ｓ５６を並行して実行してもよい。この変形例によると、上記実施の形態と同様に、中間者攻撃の可能性が比較的低い確認側経路３２を介して通知した要求属性項目をスマートフォン１２に表示させることで、認証の続行可否をユーザが適切に判断しやすくなる。またこれに加えて、ＰＣ１０で表示された要求属性項目とスマートフォン１２で表示された要求属性項目とをユーザが容易に比較でき、これらの表示内容の違いから中間者攻撃の存在有無の判断が容易になり、ユーザ属性情報の盗窃を防止しやすくなる。

この変形例において、ＰＣ１０は、Ｉｄｐ装置２０から要求側経路３０を介して通知された要求属性項目を受け付け、要求属性項目を示す確認画面をディスプレイに表示させる確認画面表示部を備える。確認画面では、図５・図７におけるエリア９７と同様に要求属性項目を表示し、認証処理を続行するか否か、すなわち要求属性項目の提供を許可するか否かをユーザに入力させる。またＰＣ１０は、確認画面での確認結果であり、認証処理を続行するか否か、すなわち要求属性項目の提供を許可するか否かを示す情報をＩｄｐ装置２０へ通知する確認結果通知部も備える。

図８は、認証システム１００の動作を示すシーケンス図である。同図のプロキシサーバ２４は、中間者攻撃のために悪意のある第三者が要求側経路３０に設置した不正なプロキシサーバである。ＰＣ１０のウェブブラウザは、ユーザが所望するサービスの提供をＲＰ装置２２へ要求する（Ｓ７０）。ＲＰ装置２２は、ユーザＩＤやユーザ属性情報を含む認証情報の提供をＰＣ１０へ依頼する（Ｓ７２）。ＰＣ１０はＩｄｐ装置２０宛のユーザ認証要求を要求側経路３０へ送出する（Ｓ７４）。プロキシサーバ２４は、ユーザ認証要求をＰＣ１０から受け付けると、ＲＰ装置２２へ提供すべきユーザ属性の項目（例えばニックネーム）を、所望の盗窃対象の項目（例えばクレジットカード番号）とするよう改変し、改変後のユーザ認証要求をＩｄｐ装置２０へ転送する（Ｓ７６）。

Ｉｄｐ装置２０の確認情報通知部５２は、要求属性項目（例えばクレジットカード番号）を示す確認情報をＰＣ１０宛に要求側経路３０へ送出する（Ｓ７８）。プロキシサーバ２４は、確認情報をＩｄｐ装置２０から受け付けると、要求属性項目を、ユーザが安全と考えると想定される属性項目（例えばニックネーム）へ改変して、改変後の確認情報をＰＣ１０へ送信する（Ｓ８０）。ＰＣ１０の確認画面表示部は、改変された確認情報を受け付けて、改変された要求属性項目を示す確認画面を表示させる。

Ｓ７８の処理と並行して、Ｉｄｐ装置２０は、ユーザ認証要求で指定された送信元ＩＰアドレスに対応する送信元位置を位置情報サーバ２６へ問い合わせ（Ｓ８２）、その送信元位置を示す位置情報を位置情報サーバ２６から取得する（Ｓ８４）。Ｉｄｐ装置２０の確認情報通知部５２は、送信元位置および要求属性項目（例えばクレジットカード番号）を示す確認情報をスマートフォン１２宛に確認側経路３２へ送出する（Ｓ８６）。確認側経路３２では確認情報は改変されることなくスマートフォン１２へ伝送される。スマートフォン１２はＩｄｐ装置２０から提供された確認情報を表示させ、ユーザはクレジットカード番号の提供を要求されていることを認識してユーザ認証をキャンセルする。スマートフォン１２は、ユーザ認証のキャンセル指示をＩｄｐ装置２０へ通知する（Ｓ８８）。

ところで、ＰＣ１０の確認画面にはニックネームの提供を要求されている旨が表示され、ユーザはスマートフォン１２の確認画面の内容と、ＰＣ１０の確認画面の内容とが不整合であることから、ユーザ認証の続行を禁止するよう判断できる。ここでは仮に、ＰＣ１０の確認画面においてユーザ認証の続行、すなわち要求属性項目の提供をユーザが許可してしまったとする。

ＰＣ１０の確認結果通知部は、ユーザ認証の続行指示をＩｄｐ装置２０へ送信し（Ｓ９０）、プロキシサーバ２４はその続行指示をＩｄｐ装置２０へ転送する（Ｓ９２）。ここで、Ｉｄｐ装置２０の認証情報提供部５６は、スマートフォン１２からユーザ認証のキャンセル指示を受け付けたため、ＰＣ１０からユーザ認証の続行指示を受け付けたか否かにかかわらず、ユーザ認証のキャンセル通知をＰＣ１０宛に送信する（Ｓ９４）。また認証情報提供部５６は、ユーザ認証処理を中断して、要求属性項目をＰＣ１０へ提供することを抑制する。なおキャンセル通知は、プロキシサーバ２４からＰＣ１０へ転送され（Ｓ９６）、ＰＣ１０からＲＰ装置２２へ送信される（Ｓ９８）。

このように、ＰＣ１０からのユーザ認証処理の続行指示にかかわらず、スマートフォン１２からのユーザ認証処理のキャンセル指示を優先してユーザ認証処理を中断するため、重要なユーザ属性情報の漏洩を防止することができる。なお、Ｉｄｐ装置２０の認証情報提供部５６は、ＰＣ１０からユーザ認証の続行指示を先に受け付けた場合も、スマートフォン１２からのユーザ認証処理の続行指示を受け付けるまでは、要求属性項目をＰＣ１０へ提供することを抑制してもよい。言い換えれば、ＰＣ１０からユーザ認証の続行指示を受け付け、かつ、スマートフォン１２からもユーザ認証処理の続行指示を受け付けることを条件として、要求属性項目をＰＣ１０へ提供してもよい。これにより、図８のＳ８８とＳ９０の先後にかかわらず、ユーザ属性情報の漏洩を防止できる。

第２の変形例を説明する。
上記実施の形態では、認証装置の例としてＯｐｅｎＩＤで規定されたＩｄｐを示したが、本発明の認証装置の適用範囲はＩｄｐに限られず、通信網を介してユーザ端末とユーザ情報を送受する種々の認証装置に適用できる。例えば、通販サイトにおいてユーザ認証を実行する、言い換えれば、通販サイトへのユーザのログイン可否を判定するウェブサーバやアプリケーションサーバにも適用できる。また上記実施の形態では、ＩＤの設定やユーザ認証に関する基本構成はＯｐｅｎＩＤの仕様に準ずるものとした。変形例として、これらの基本構成は他の仕様に準じてもよく、例えばＳＡＭＬ（Security Assertion Markup Language）の仕様に準ずるものであってもよい。

第３の変形例を説明する。
上記実施の形態では、スマートフォン１２はＩｄｐ装置２０から提供された確認情報を画面表示することとしたが、確認情報の内容を示す音声を出力することにより、確認情報をユーザへ通知してもよい。また、スマートフォン１２の現在位置と、確認情報が示す送信元位置との乖離が大きい場合に、ユーザの注意を喚起するための所定の音声をさらに出力してもよい。

第４の変形例を説明する。
上記実施の形態では言及していないが、スマートフォン１２のユーザ確認部７０は、確認画面においてユーザ認証の続行が選択された場合に、そのときエリア９５に表示された送信元位置を蓄積する承認情報保持部をさらに含んでもよい。ユーザ確認部７０の確認画面設定部７８は、Ｉｄｐ装置２０から通知された確認情報が示す送信元位置が、承認情報保持部に格納済みの送信元位置に一致する場合は、スマートフォン１２の現在位置と送信元位置との乖離の大きさにかかわらず、注意喚起オブジェクト９９の表示を抑制してもよい。ユーザが一旦承認した送信元については確認画面での警告を非表示とすることで、度重なる警告表示により、却ってユーザに煩わしさを感じさせてしまうことを回避できる。

また承認情報保持部は、送信元位置とユーザによる承認回数（続行ボタン９０を押下した回数）とを対応づけて蓄積してもよく、確認画面設定部７８は、Ｉｄｐ装置２０から通知された確認情報が示す送信元位置が、承認情報保持部に格納済みの送信元位置に一致し、かつ、承認回数が所定回数（例えば３回）以上であるときに、注意喚起オブジェクト９９の表示を抑制してもよい。

請求項に記載の各構成要件が果たすべき機能は、実施の形態および変形例において示された各構成要素の単体もしくはそれらの連係によって実現されることも当業者には理解されるところである。

１０ ＰＣ、 １２ スマートフォン、 ２０ Ｉｄｐ装置、 ２２ ＲＰ装置、 ２４ プロキシサーバ、 ２６ 位置情報サーバ、 ３０ 要求側経路、 ３２ 確認側経路、 ４６ 認証要求受付部、 ５０ 位置情報取得部、 ５２ 確認情報通知部、 ５４ 確認結果受付部、 ５６ 認証情報提供部、 ７６ 現在位置取得部、 ７８ 確認画面設定部、 ８０ 確認結果通知部、 １００ 認証システム。

Claims (5)

1. 認証サーバと、
   第１の経路を介して前記認証サーバと通信する第１のユーザ端末と、
   前記第１の経路とは異なる第２の経路を介して前記認証サーバと通信する第２のユーザ端末と、を備え、
   前記認証サーバは、
   前記第１のユーザ端末から前記第１の経路を介して送信されたユーザ認証の要求を受け付ける認証要求受付部と、
   前記ユーザ認証の要求の送信元アドレスに応じた送信元の地理的な位置を示す送信元位置情報を所定の記憶装置から取得する位置情報取得部と、
   前記送信元位置情報を、前記第２の経路を介して前記第２のユーザ端末へ通知する通知部と、
   前記第２のユーザ端末から前記ユーザ認証の続行が指示された場合に、前記ユーザ認証に関する情報を前記第１のユーザ端末へ提供する認証情報提供部と、を含み、
   前記第２のユーザ端末は、前記ユーザ認証の続行可否をユーザに判断させるために、前記認証サーバから通知された送信元位置情報を出力する出力部を含むことを特徴とする認証システム。
2. 前記第２のユーザ端末は、本端末の地理的な現在位置を取得する現在位置取得部をさらに備え、
   前記第２のユーザ端末の出力部は、本端末の現在位置と、前記送信元位置情報が示す位置との乖離が大きい場合に、その旨をユーザへ通知することを特徴とする請求項１に記載の認証システム。
3. 前記ユーザ認証の要求は、ユーザの属性情報を提供するよう要求するものであり、
   前記認証サーバの通知部は、前記送信元位置情報とともに、要求されたユーザの属性情報を前記第２のユーザ端末へ通知し、
   前記第２のユーザ端末の出力部は、前記認証サーバから通知されたユーザの属性情報をさらに出力することを特徴とする請求項１または２に記載の認証システム。
4. 前記認証サーバの通知部は、前記要求されたユーザの属性情報を前記第１のユーザ端末へも通知し、
   前記第１のユーザ端末は、前記認証サーバから通知されたユーザの属性情報をユーザに提示する出力部をさらに備えることを特徴とする請求項３に記載の認証システム。
5. あるユーザの第１端末から第１の経路を介して送信されたユーザ認証の要求を受け付ける認証要求受付部と、
   前記ユーザ認証の要求の送信元アドレスに応じた送信元の地理的な位置を示す送信元位置情報を所定の記憶装置から取得する位置情報取得部と、
   前記送信元の地理的な位置を前記ユーザに確認させるために、前記第１の経路とは異なる第２の経路を介して前記ユーザの第２端末へ前記送信元位置情報を通知する通知部と、
   前記第２端末から前記ユーザ認証の続行が指示された場合に、前記ユーザ認証に関する情報を前記第１端末へ提供する認証情報提供部と、
   を備えることを特徴とする認証装置。

Images