JP2017228264A5

JP2017228264A5 -

Info

Publication number: JP2017228264A5
Application number: JP2016173869A
Authority: JP
Filing date: 2016-09-06
Publication date: 2019-06-27
Anticipated expiration: 2036-09-06

Description

プラグイン１３５によって送信された認証要求を受信した直後に、デバイス１１５は、証明書を取得することができるサイト１４０への新たな保護された接続の作成を開始することができる。新しい保護された接続は、ドライバ１３６によって作成されてもよい。受信した証明書のチェック（検証）のために、デバイス１１５は、ルート証明書を除いて、サイト１４０の証明書の完全な階層構造についてコンピュータ１００にインストールされたドライバ１３６に問い合わせることができる。自身のルート証明書のリストを使用して、デバイス１１５は、サイト１４０に対する一連の証明書全体の有効性（信頼性）をチェックすることができる。もしチェックが成功しなかった場合、保護された接続が切断されることがある。デバイス１１５は、接続を確立するときに、例えば取得されたヘッダ又はダウンロードされたスクリプトのリスト等、サイト１４０のチェックのためにプラグイン１３５からの他の情報を使用することもできる。例えば、デバイス１１５は、プラグイン１３５から得られ、サイト１４０からダウンロードされたスクリプトの畳み込み（ハッシュサム）を、自身のハッシュサムと比較することができ、得られたスクリプトはデバイス１１５上に保存することができる。そしてその畳み込みが自身のハッシュサムと適合しなければ、サイト１４０への接続が切断される可能性がある。

図４に示すように、ブラウザ１３０を介したユーザの通常のウェブサーフィン中（ステップ１）に、プラグイン１３５によって傍受され、デバイス１１５に送信される認証フォームがサイト１４０から到着する（ステップ２）。デバイス１１５は、プラグイン１３５を使用して、サイト１４０との追加的且つ直接的にｈｔｔｐｓ接続を確立し（ステップ４）、このサイトの証明書を受信することができる（ステップ５）。証明書の有効性をチェックするために、デバイス１１５は、ユーザのコンピュータに対して、プラグイン１３５からの証明書の完全な階層構造を要求することができる（ステップ６）。自身のルート証明書のリスト（デバイス１１５に格納されている）を使用して、サイト１４０に対応し、受信した（ステップ７）証明書の有効性をデバイス１１５上でチェックし（ステップ８）、与えられたコンピュータに対してデバイス１１５上で認証データを検索することができる（ステップ９）。次いで、第２認証ファクタ（例えば、デバイス１１５に直接インプットされた指紋又はパスワード）を得るための要求をユーザに送信し（ステップ１０）、デバイス１１５のメモリ内の認証データを解読することができる（ステップ１１）。前のステップの実行が成功した後、デバイス１１５は（ＴＣＰ接続のみを確立し、データをデバイス１１５に送信するプラグイン１３５の助けを借りて）サイト１４０とのｈｔｔｐｓ接続の確立を完了することができ（ステップ１２）、記入済み認証フォームをサイト１４０へと送信できる（ステップ１３）。サーバ（サイト１４０）にとっては、このステップは、ブラウザ１３０から記入済みフォームを取得するように見える。サーバから取得された応答（ステップ１４）は、デバイス１１５によってプラグイン１３５に中継され、これをブラウザ１３０に直接送信することで（ステップ１５）、認証機構を完全に通過した後に、ブラウザ１３０はすぐに新しいセッションを取得することができる（ステップ１６）。

Claims

コンピュータによって実行される安全なオンライン認証のための方法であって、
決定ステップと、取得ステップと、確立ステップと、受信ステップと、有効性チェックステップと、実行ステップと、送信ステップと、を備え
前記決定ステップでは、安全な接続のための機器のプロセッサを介して、コンピュータ・システムにインストールされたブラウザアプリケーションと保護されたウェブサイトとの間に確立された接続を決定し、
前記コンピュータ・システムは、前記安全な接続のための機器とは別個のものであり、
前記取得ステップでは、前記安全な接続のための機器において、前記保護されたウェブサイトからの認証要求を取得するブラウザのプラグインに応答して、前記保護されたウェブサイトに関する情報を取得し、
前記確立ステップでは、前記保護されたウェブサイトの少なくとも１つの証明書を受信するために、前記保護されたウェブサイトと前記安全な接続のための機器との間に、保護されたデータを送信するためのチャネルを確立し、
前記受信ステップでは、ルート証明書を除いた証明書の完全な階層構造を、前記ブラウザアプリケーションのプラグインから受信し、
前記有効性チェックステップでは、機器に格納されているルート証明書に基づいて、前記完全な階層構造の有効性をチェックし、有効性がチェックできない場合には、前記保護されたデータを送信するためのチャネルを切断し、
前記実行ステップでは、前記有効性がチェックできた場合に、前記安全な接続のための機器に記憶された認証データを前記保護されたウェブサイトへ送信し、
前記送信ステップでは、前記保護されたウェブサイトから得られた認証結果に基づいて、前記保護されたウェブサイトへのアクセスを可能にするために、前記ブラウザアプリケーションに前記安全な接続のための機器から前記ブラウザアプリケーションのプラグインへ新しいセッションの識別子を送信する、
方法。
前記決定ステップは、前記ブラウザアプリケーションによって提供されるＡＰＩを介して前記保護されたウェブサイトのＵＲＩアドレスを取得するステップを含む、
請求項１に記載の方法。
前記決定ステップは、前記安全な接続のための機器にインストールされたドライバを介して前記ブラウザアプリケーションと前記保護されたウェブサイトとの間のネットワークトラフィックを傍受して、前記保護されたウェブサイトのＵＲＩアドレスを取得するステップを含む、
請求項１に記載の方法。
前記コンピュータ・システムによってアクセスされる前記保護されたウェブサイトのアドレスのリストに対して前記保護されたウェブサイトを確認するステップを更に含む、
請求項１に記載の方法。
前記コンピュータ・システムによってアクセスされる前記保護されたウェブサイトのアドレスのリストと、前記保護されたウェブサイトに関連する暗号化されたデータとを、前記安全な接続のための機器上に格納するステップを更に含む、
請求項４に記載の方法。
前記保護されたウェブサイトに関する情報は、ＵＲＬアドレスと、前記保護されたウェブサイトの前記少なくとも１つの証明書に関する情報と、前記保護されたウェブサイトのドメインに関するＷＨＯＩＳ情報と、前記ＵＲＬアドレスでの要求に対する応答により取得されたヘッダのリストと、畳み込み又はハッシュサムの形でダウンロードされたスクリプトに関する情報とを含む、
請求項１に記載の方法。
前記保護されたウェブサイトに関する取得された情報に基づいて、前記保護されたウェブサイトの有効性をチェックするステップを更に含み、前記情報は、接続を確立する際にダウンロードされたスクリプトについての取得されたヘッダ又はリストを含む、
請求項１に記載の方法。
前記認証を実行するための第２認証ファクタを取得し、前記認証データを保護されたウェブサイトに送信するステップを更に含む、
請求項１に記載の方法
前記保護されたウェブサイトへのアクセスを可能にするために識別された情報をブラウザアプリケーションに送信した後に、前記ブラウザアプリケーションを使用して前記保護されたウェブサイトへのアクセスを継続することを更に含む、
請求項１に記載の方法。
安全なオンライン認証のためのシステムであって、
安全なデータ送信のための計算機器のプロセッサを少なくとも１つ備え、
前記プロセッサは、決定ステップと、取得ステップと、確立ステップと、実行ステップと、受信ステップと、有効性チェックステップと、送信ステップとを実行するように構成され、
前記決定ステップでは、安全な接続のための機器のプロセッサを介して、コンピュータ・システムにインストールされたブラウザアプリケーションと保護されたウェブサイトとの間に確立された接続を決定し、
前記取得ステップでは、前記保護されたウェブサイトからの認証要求を取得するブラウザのプラグインに応答して、前記保護されたウェブサイトに関する情報を取得し、
前記確立ステップでは、前記保護されたウェブサイトの少なくとも１つの証明書を受信するために、前記保護されたウェブサイトと前記安全な接続のための機器との間に、保護されたデータを送信するためのチャネルを確立し、
前記受信ステップでは、ルート証明書を除いた証明書の完全な階層構造を、前記ブラウザアプリケーションのプラグインから受信し、
前記有効性チェックステップでは、機器に格納されているルート証明書に基づいて、前記完全な階層構造の有効性をチェックし、有効性がチェックできない場合には、前記保護されたデータを送信するためのチャネルを切断し、
前記実行ステップでは、前記有効性がチェックできた場合に、前記安全な接続のための機器に記憶された認証データを前記保護されたウェブサイトへ送信し、
前記送信ステップでは、前記保護されたウェブサイトから得られた認証結果に基づいて、前記保護されたウェブサイトへのアクセスを可能にするために、前記ブラウザアプリケーションに前記安全な接続のための機器から前記ブラウザアプリケーションのプラグインへ新しいセッションの識別子を記憶された認証情報を送信する、
システム。
前記決定ステップは、
前記ブラウザアプリケーションによって提供されるＡＰＩを介して前記保護されたウェブサイトのＵＲＩアドレスを取得するステップ、又は
ドライバを介して前記ブラウザアプリケーションと前記保護されたウェブサイトとの間のネットワークトラフィックを傍受して、前記保護されたウェブサイトのＵＲＩアドレスを取得するステップを含む、
請求項１０に記載のシステム。
前記プロセッサが、
前記コンピュータ・システムによってアクセスされる前記保護されたウェブサイトのアドレスのリストと、前記保護されたウェブサイトに関する暗号化されたデータとを格納し、
前記コンピュータ・システムによってアクセスされる前記保護されたウェブサイトのアドレスのリストに対して前記保護されたウェブサイトを確認するように更に構成される、
請求項１０に記載のシステム
前記保護されたウェブサイトに関する情報が、ＵＲＬアドレスと、前記保護されたウェブサイトの前記少なくとも１つの証明書に関する情報と、前記保護されたウェブサイトのドメインに関するＷＨＯＩＳ情報と、前記ＵＲＬアドレスでの要求に対する応答により取得されたヘッダのリストと、畳み込み又はハッシュサムの形でダウンロードされたスクリプトに関連する情報とを含む、
請求項１０に記載のシステム。
前記プロセッサが、前記保護されたウェブサイトに関する取得された情報に基づいて、前記保護されたウェブサイトの有効性をチェックするように構成され、前記情報は、接続を確立する際にダウンロードされたスクリプトについての取得されたヘッダ又はリストを含む、
請求項１０に記載のシステム。
前記プロセッサが、前記保護されたウェブサイトへのアクセスを可能にするために識別情報をブラウザアプリケーションに送信した後、前記ブラウザアプリケーションを使用して前記保護されたウェブサイトへのアクセスを継続するように更に構成される、
請求項１０に記載のシステム
安全なオンライン認証のためのコンピュータ実行可能命令を格納するコンピュータ上で読み取り可能な不揮発性媒体であって、
前記命令は、決定ステップと、取得ステップと、確立ステップと、受信ステップと、有効性チェックステップと、実行ステップと、送信ステップを備え、
前記決定ステップでは、安全な接続のための機器のプロセッサを介して、コンピュータ・システムにインストールされたブラウザアプリケーションと保護されたウェブサイトとの間に確立された接続を決定し、
前記取得ステップでは、前記保護されたウェブサイトからの認証要求を取得するブラウザのプラグインに応答して、前記保護されたウェブサイトに関する情報を取得し、
前記確立ステップでは、前記保護されたウェブサイトの少なくとも１つの証明書を受信するために、前記保護されたウェブサイトと前記安全な接続のための機器との間に、保護されたデータを送信するためのチャネルを確立し、
前記受信ステップでは、ルート証明書を除いた証明書の完全な階層構造を、前記ブラウザアプリケーションのプラグインから受信し、
前記有効性チェックステップでは、機器に格納されているルート証明書に基づいて、前記完全な階層構造の有効性をチェックし、有効性がチェックできない場合には、前記保護されたデータを送信するためのチャネルを切断し、
前記実行ステップでは、前記有効性がチェックできた場合に、前記安全な接続のための機器に記憶された認証データを前記保護されたウェブサイトへ送信し、
前記送信ステップでは、前記保護されたウェブサイトから得られた認証結果に基づいて、前記保護されたウェブサイトへのアクセスを可能にするために、前記ブラウザアプリケーションに前記安全な接続のための機器から前記ブラウザアプリケーションのプラグインへ新しいセッションの識別子を送信する、
媒体。