JP2017527891A - パスワードの照合のための記号入力のタイミングの使用 - Google Patents

Abstract

多次元アプローチは、パスワードを照合するために使用することができる。正しいパスワードの入力を必要とすることに加えて、パスワードの記号が入力されるタイミングが判定され、記憶されタイミング値と比較され得る。正しいパスワードが入力される場合でも、パスワードの記号が必要とされるタイミングに従って入力されない場合、依然として認証は失敗し得る。

Description

個人情報及び企業情報のセキュリティは、今世紀の決定的問題のうちの１つである。個人情報及び企業情報への不正アクセスは、個人及び企業に毎年数十億ドルの負担をかけ、電子商取引における一般人の信用を損なっている。本業界が、これらの侵入を止めるための新しくより効果的な方法を模索するにつれ、当面これらを止めることはできないことが明らかであるように思える。多くのシステムは、ログインプロセス中に「秘密の質問」又は写真を含めることによって、セキュリティの追加の層を加えている。効果的である一方で、多くの機関は、セキュリティ問題のバランスにおいて比重の大きい顧客の不便性について懸念している。実際に、多くのサービスプロバイダは、顧客に不便をかけるくらいなら、数十億ドルの損失を受け入れても構わないと思っている。

本発明は、パスワードを認証するために入力のタイミングを使用するための方法、システム、及びコンピュータプログラム製品に及ぶ。換言すると、本発明は、パスワードを認証するための多次元アプローチを提供する。多くの認証シナリオによるように、本発明は、ユーザ名及びパスワードなどの認証情報の入力を必要とし得る。しかしながら、伝統的な認証シナリオとは異なり、正しい認証情報の入力を必要とすることに加えて、本発明は、パスワードの各記号の間の適切なタイミング間隔を使用するパスワードの入力も必要とし得る。このパスワード認証の更なる次元は、ユーザにほんの僅かな負担しか加えずに、システムのセキュリティを大幅に増加させ得る。

一実施形態では、本発明は、ユーザ認証情報を認証するための方法として実装される。パスワード及びタイミング情報を含む入力されたユーザ認証情報が受信される。タイミング情報は、パスワードの個々の記号が入力された時間を定義する。記憶されたパスワード及び記憶されたタイミング情報を含む記憶されたユーザ認証情報にアクセスする。記憶されたタイミング情報は、記憶されたパスワードの個々の記号が入力されなければならない、必要とされる時間を定義する。入力されたユーザ認証情報のタイミング情報は、パスワードの個々の記号が、記憶されたタイミング情報に従って入力されたかどうかを判定するために、記憶されたタイミング情報と比較される。パスワードの個々の記号が、記憶されたタイミング情報に従って入力されたと判定すると、入力されたユーザ認証情報が認証される。

別の実施形態では、本発明は、パスワードに対するタイミング情報を生成するための方法として実装される。パスワードのユーザ入力が受信される。パスワードは複数の記号を含む。パスワードが入力される間に、複数の記号の各々が入力されるときが判定される。複数の記号の各々が入力されたときを定義するタイミング情報が生成される。

別の実施形態では、本発明は、ユーザを認証するための方法を実装するように構成されているサーバシステム（単数又は複数）として実装される。サーバシステムは、第１のクライアントコンピューティングデバイス上に表示される第１のユーザインターフェースから、第１のユーザ名、第１のパスワード、及び第１のパスワードの各記号がユーザによって第１のユーザインターフェースに入力されたときを定義する第１のタイミング情報を受信する。サーバシステムは、第１のユーザ名、第１のパスワード、及び第１のタイミング情報を、サーバシステムとの認証を行うためのユーザについてのユーザ認証情報として記憶する。サーバシステムは、第２のクライアントコンピューティングデバイス上に表示される別のユーザインターフェースから、第２のユーザ名、第２のパスワード、及び第２のパスワードの各記号がユーザによって第２のユーザインターフェースに入力されたときを定義する第２のタイミング情報を受信する。サーバシステムは、第２のユーザ名、第２のパスワード、及び第２のタイミング情報を、第１のユーザ名、第１のパスワード、及び第１のタイミング情報と比較する。サーバシステムは、第２のユーザ名、第２のパスワード、及び第２のタイミング情報が、第１のユーザ名、第１のパスワード、及び第１のタイミング情報と一致すると判定する際に、ユーザを認証する。

この概要は、単純化した形態の概念のセレクションを紹介するために提供され、これらは、以下の発明を実施するための形態において以下で更に説明される。この概要は、特許請求される主題の主要な特徴又は本質的な特徴を特定することを意図していない。

本発明の上述の利点及び他の利点並びに特徴が取得され得る様式を説明するために、上で端的に説明した本発明のより具体的な説明が、添付の図面中で図示されるその特定の実施形態を参照することによって提供されることになる。これらの図面は、本発明の典型的な実施形態のみを示すものであり、したがって、その範囲を限定するものと見なされるべきではないことを理解した上で、本発明は、添付の図面の使用を通して更に具体的かつ詳細に記載及び説明されることになる。
本発明が実装され得る例示的なコンピューティング環境を図示する。 ユーザが認証情報を確立できるようにするためにユーザに表示され得る例示的なユーザインターフェースを図示する。 タイミング情報を含むユーザ認証情報を記憶するための例示的なデータ構造を図示する。 ユーザがクライアントコンピューティングデバイスを用いてサーバシステムとの認証を行うときに実装され得る照合プロセスの流れ図を図示する。 タイミング情報及び分散パラメータを含むユーザ認証情報を記憶するための別の例示的なデータ構造を図示する。 多次元認証情報に対してユーザ名及びパスワードのユーザ入力を照合するためのプロセスの別の例を図示する。 ユーザ認証情報を認証するための例示的な方法の流れ図を図示する。 パスワードに対するタイミング情報を生成するための例示的な方法の流れ図を図示する。

本発明の実施形態は、以下でより詳細に考察するように、例えば、１つ以上のプロセッサ及びシステムメモリなどのコンピュータハードウェアを含む、専用コンピュータ又は汎用コンピュータを備えるか、又は利用し得る。本発明の範囲内の実施形態は、コンピュータによって実行可能な命令及び／又はデータ構造を搬送又は記憶するための物理的コンピュータ可読媒体を含む。かかるコンピュータ可読媒体は、汎用又は専用コンピュータシステムがアクセスできる任意の利用可能な媒体であり得る。

コンピュータ可読媒体は、コンピュータ記憶媒体及び伝送媒体の２つの分離したカテゴリーに分類される。コンピュータ記憶媒体（デバイス）としては、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭ、半導体ドライブ（「ＳＳＤ」）（例えば、ＲＡＭに基づく）、フラッシュメモリ、相変化メモリ（「ＰＣＭ」）、他の種類のメモリ、他の光学ディスク記憶装置、磁気ディスク記憶装置若しくは他の磁気ディスク記憶デバイス、又はコンピュータによって実行可能な命令若しくはデータ構造の形態にある所望のプログラムコード手段を記憶するために使用され得、かつ汎用若しくは専用コンピュータがアクセスできる、任意の他の類似の記憶媒体が挙げられる。伝送媒体は、信号及び搬送波を含む。

コンピュータによって実行可能な命令は、例えば、命令及びデータを含み、これらは、プロセッサによって実行されるときに、汎用コンピュータ、専用コンピュータ、又は専用処理デバイスに、ある特定の機能又は機能群を行わせる。コンピュータによって実行可能な命令は、例えば、バイナリ、アセンブリ言語若しくはＰコードなどの中間形式命令、又は更にはソースコードであってもよい。

当業者は、パーソナルコンピュータ、デスクトップコンピュータ、ラップトップコンピュータ、メッセージプロセッサ、携帯型デバイス、マルチプロセッサシステム、マイクロプロセッサ系若しくはプログラム可能な消費者向け電子機器、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、携帯電話、ＰＤＡ、タブレット、ポケットベル、ルータ、スイッチなどを含む、多くの種類のコンピュータシステム構成を用いて、ネットワークコンピューティング環境において実施され得ることを理解することになる。

本発明はまた、分散システム環境において実施されてもよく、この環境では、ネットワークを通してリンクされる（配線データリンク、無線データリンク、又は配線データリンクと無線データリークとの組み合わせのいずれかによって）ローカルコンピュータシステムとリモートコンピュータシステムとの両方がタスクを行う。分散システム環境では、プログラムモジュールは、ローカルメモリ記憶デバイスとリモートメモリ記憶デバイスとの両方の中に位置してもよい。分散システム環境の例は、ネットワーク化されたサーバ又はサーバリソースのクラウドである。したがって、本発明は、クラウド環境においてホストされ得る。

図１は、本発明が実装され得る例示的なコンピュータ環境１００を図示する。コンピュータ環境１００は、サーバシステム１０１、及びネットワーク１０３を介して相互接続しているある数のクライアントコンピューティングデバイス１０２ａ〜１０２ｎを含む。サーバシステム１０１は、ユーザの情報へのアクセスを提供するシステムを表し得、かかるアクセスは、認証プロセスによって制御される。本明細書では、認証プロセスは、ユーザに、情報又は機能へのアクセスを取得するために秘密の認証情報を入力することを必要とする、任意のプロセスとして解釈されるべきである。典型的には、これらの認証情報は、ユーザ名及びパスワードの形態である。しかしながら、本発明は、認証情報がパスワード（例えば、バイオメトリック情報とパスワードとの組み合わせ）を含む限り、いかなる種類の認証情報が必要とされる場合にも実装することができる。パスワードは、ユーザの身元の証明の形態として働く、文字、数字、符号などを含む、記号の任意の配列を含むと広く解釈されるべきである。

クライアントコンピューティングデバイス１０２ａ〜１０２ｎは、サーバシステム１０１と通信することができ、認証情報のユーザ入力を受信することができる、任意の種類のコンピューティングデバイスを表し得る。例えば、クライアントコンピューティングデバイス１０２ａ〜１０２ｎは、パーソナルコンピュータ、携帯電話、キオスク、タッチスクリーンディスプレイ、キーパッドなどを含み得る。ネットワーク１０３は、典型的には、インターネットであり得るが、ローカルネットワーク接続を含む任意のネットワーク接続を用いて、サーバシステム１０１とクライアントコンピューティングデバイス１０２ａ〜１０２ｎとの間の通信を可能にし得る。

図１に示されるクライアント／サーバ環境に加えて、本発明は、完全に単一のデバイス内で実装され得る。例えば、クライアントコンピューティングデバイス１０２ａ〜１０２ｎのうちのいずれも、デバイスの機能にアクセスするため、例えば、パーソナルコンピュータにログインするため、又は携帯電話のロックスクリーンを抜けるため（この場合、必要とされる認証情報はパスワードのみであってもよい）に、認証情報のユーザ入力を必要とするように構成され得る。かかる場合には、パスワードの入力及び照合は、ネットワーク１０３上のいかなる通信も必要とせずに、完全に単一のデバイス（又は直接接続されたデバイス）によって、行われ得る。したがって、本発明は、関与するコンピューティングデバイスの数又は種類に関わらず、パスワードの入力を必要とするいずれのコンピューティング環境においても実装され得る。

図２は、本発明の１つ以上の実施形態に従う、ユーザが認証情報を確立できるようにするためにユーザに表示され得る例示的なユーザインターフェース２００を図示する。例えば、ユーザインターフェース２００は、クライアントコンピューティングデバイス１０２ａのユーザが、サーバシステム１０１によって提供される情報及び／又は機能にアクセスするためのユーザ名及びパスワードを作成することを可能にするようにするために、サーバシステム１０１によってクライアントコンピューティングデバイス１０２ａに送信されるウェブページを表し得る。ユーザインターフェース２００はまた、ユーザが、デバイスにログインするためのユーザ名及びパスワードを作成することを可能にするようにするために、クライアントコンピューティングデバイス１０２ａによって表示されるスクリーンを表し得る。

図２に示すように、ユーザインターフェース２００は、ユーザ名フィールド２０１及びパスワードフィールド２０２を含む。フィールド２０１及び２０２は、ユーザが所望のユーザ名及びパスワードを定義する記号を入力できるようにする、テキストボックス又は他の好適なユーザインターフェース要素として構成され得る。本発明の実施形態に従い、ユーザインターフェース２００は、個々の記号がパスワードフィールド２０２に入力されるときを記録するように構成され得る。例えば、ユーザインターフェース２００は、ユーザがパスワードの各記号を入力するときを識別するためのタイマーを使用し得る。ユーザ名及びパスワードが入力され、ユーザが送信をクリックすると、ユーザ名及びパスワード、並びにタイミング情報（総称「多次元認証情報」）が、サーバシステム１０１、及び／又はサーバシステム１０１が通信する１つ以上の他のシステムに記憶され得る。一部の実施形態では、タイミング情報は、システムのセキュリティを増加させるために、パスワードとは別に（例えば、異なるシステム上に、又は異なるデータ構造中に）記憶され得る。

この例では、ユーザは、「ｕｓｅｒ１２３４５」のユーザ名及び「１２３４５」のパスワードを入力している。ユーザが、２５０ミリ秒の各記号間の期間で５つの記号のパスワードを入力したことも推測されることになる。図３は、多次元認証情報を記憶するために作成され得る例示的なデータ構造３００を図示する。データ構造３００は、ユーザ名（ｕｓｅｒ１２３４５）、パスワード（１２３４５）、及びパスワードと関連付けられるタイミング情報を定義するタイミングアレイ３０１を含む。

タイミングアレイ３０１は、５つの入力を含み、各入力は、パスワードの特定の記号に対応する。第１の入力は０であり、これは、この場合「１」であるパスワードの第１の記号が時間０ミリ秒で入力されたことを示す。タイミングアレイ３０１は、０値が常に第１の記号に使用される場合は、この第１の入力を含み得ないことに留意されたい。したがって、タイミングアレイ３０１は、説明目的で使用され、タイミング情報の記憶のためにいずれの特定の形式を必要とするとしても解釈されるべきではない。各記号間の期間を識別するのに事足りる限り、任意の好適な構造及び／又は形式を使用して、タイミング情報を記憶することができる。データ構造３００が例示のみを目的とすることにも留意されたい。典型的には実装では、多次元認証情報の異なる構成要素は、別個の場所に記憶される傾向にある。

タイミングアレイ３０１における第２の入力は２５０であり、これは、この場合「２」である第２の記号が、時間２５０ミリ秒で入力されたことを示す。各入力に対する絶対値を用いるのではなく、相対値が使用され得る。例えば、２５０ミリ秒は、第２の記号が入力されたときの絶対時間（即ち、タイマーの値）を表し得るか、又は第１の記号及び第２の記号の入力の間の時間量（偶然にもこの例では同じ２５０ミリ秒値）を表し得る。タイミングアレイ３０１における第３から第５の入力は、それぞれ、５００、７５０、及び１０００であり、これは、パスワードの第３から第５の記号が、それぞれ、時間５００ミリ秒、７５０ミリ秒、及び１０００ミリ秒で入力されたことを示す。相対値を用いて各記号間の期間を定義する場合、タイミングアレイ３０１は、代わりに｛２５０、２５０、２５０、２５０｝の値を記憶し得、これは、各記号が、先行の記号の２５０ミリ秒後に入力されたことを示す。一部の実施形態では、サーバシステム１０１は、ある形式でタイミング情報を受信し、タイミング情報を記憶するかさもなければ使用する前に、別の形式に翻訳し得る。例えば、クライアントコンピューティングデバイス１０２ａは、絶対値を使用してタイミング情報を生成してもよく、一方でサーバシステム１０１は、タイミング情報を相対値として記憶してもよい。かかる場合には、サーバシステム１０１は、タイミング情報を記憶する又は使用する前に、絶対値を相対値に翻訳し得る。

多次元認証情報が確立されると、これらを使用して、続くユーザの認証試行を照合し得る。典型的な認証スキームを用いる場合のように、ユーザは、認証のために、「ｕｓｅｒ１２３４５」のユーザ名、及び「１２３４５」のパスワードを入力することが必要とされる。しかしながら、ユーザは、パスワードの記号を適切なタイミングで入力することを更に必要とされる。換言すると、ユーザが認証に成功するためには、ユーザは、パスワードの第２から第５の記号の各々を、それ以前に入力した記号の２５０ミリ秒後に入力することを必要とされる。

認証試行中の記号の入力のタイミングを識別するために、上記と類似のプロセスが行われ得る。例えば、ユーザ名及びパスワードが入力されるユーザインターフェースは、タイマーを使用して、各記号が入力されるときを識別し、対応するタイミング情報を記憶するように構成され得る。入力されたユーザ名、パスワード、及びタイミング情報は、記憶された多次元認証情報に対する照合のために、サーバシステム１０１に送信され得る。

図４は、ユーザがクライアントコンピューティングデバイス１０２ａを用いてサーバシステム１０１との認証を行う場合に（例えば、ウェブページ又は専用アプリケーションとの相互作用によって）、照合プロセスが実装され得る方法の流れ図を図示する。示すように、サーバシステム１０１は、サーバシステム１０１との認証に必要とされるユーザの多次元認証情報を含むデータ構造３００を記憶する。代替的に、多次元認証情報の構成要素の少なくともいくつかは、サーバシステム１０１にアクセス可能な別のコンピューティングシステム上に記憶され得、この場合、サーバシステム１０１は、もう一方のシステムから認証情報を引き出すか、又はもう一方のシステムによる認証情報の照合を要求してもよい。

工程１では、ユーザは、クライアントコンピューティングデバイス１０２ａ上でユーザ名及びパスワードを入力する。クライアントコンピューティングデバイス１０２ａ（又はより具体的には、クライアントコンピューティングデバイス１０２ａ上で実行されているウェブブラウザ又はアプリケーション）は、ユーザ名及びパスワードの入力を受信する。工程１と同時に行うことができる工程２では、クライアントコンピューティングデバイス１０２ａは、パスワードの記号が入力されるタイミングを判定する。工程２は、上記と類似の様式で行われ得る。例えば、クライアントコンピューティングデバイス１０２ａは、各記号が入力されるときを表す絶対値又は相対値を判定し得る。

工程３では、クライアントコンピューティングデバイス１０２ａは、入力されたユーザ名及びパスワード、並びに判定されたタイミング情報を、サーバシステム１０１に送信する。例えば、この情報は、ユーザ名及びパスワードが入力されるユーザインターフェースにおいてユーザが送信ボタンをクリックすることに応答して送信され得る。

工程４では、サーバシステム１０１は、記憶された多次元認証情報にアクセスし、受信されたユーザ名、パスワード、及びタイミング情報を多次元認証情報と比較する。標準的な認証プロセスを用いる場合のように、ユーザが認証されるためには、受信されたユーザ名及びパスワードが、記憶されたユーザ名及びパスワードと一致しなければならない。しかしながら、本発明に従うと、認証に成功するためには、受信されたタイミング情報も記憶されたタイミング情報と一致しなければならない。

工程５では、受信されたユーザ名、パスワード、及びタイミング情報が、記憶された多次元認証情報と一致すると、サーバシステム１０１は、クライアントコンピューティングデバイス１０２ａのユーザにアクセスを供与し得る。この多次元一致要件は、このように、ユーザ名及びパスワードを知っているだけでは不十分であるため、認証プロセスのセキュリティを大幅に増加させる。ハッカーなどの個人がユーザのユーザ名及びパスワードを取得しようとしたとしても、パスワードが適切なタイミングを使用して入力されなければならないという更なる要件により、その個人はやはり不正アクセスを取得することができないであろう。タイミングの可能性は事実上無限であるため、個人が必要とされるタイミングを正しく推測することは極めて困難であり得る。

ユーザが、ユーザが自身の多次元認証情報を最初に確立したときに使用した通りの正確なタイミングでパスワードを入力することは困難であり得るため、サーバシステム１０１は、僅かなタイミングの分散を許して一致を見なすために、分散パラメータを用い得る。例えば、図５は、データ構造３００と類似しているが分散パラメータ５０１を含む、データ構造５００を図示する。分散パラメータ５０１は、１０ミリ秒の値に設定され、これは、記号が必要とされる値の１０ミリ秒以内に入力された場合に一致となるということを意味する。

例えば、認証試行中に、ユーザが、０、２４０、５０５、７４８、１００９のタイミング列を使用して「１２３４５」の適切なパスワードを入力した場合、パスワードの入力は、パスワードの各記号を入力したタイミングが分散内に入るため、やはり一致と見なされ得る。換言すると、記号が、２０ミリ秒ウィンドウ（即ち、必要とされる時間の１０ミリ秒前及び１０ミリ秒後）以内に入力される限り、記号は、必要とされるタイミングに従って入力されたと判断され得る。

一部の実施形態では、分散パラメータの値は、構成可能なオプションであり得る。例えば、ウェブサイトのホスト（例えば、企業）は、ウェブサイトのユーザのために所望の分散を指定し得る。ウェブサイトが機密性の高い情報へのアクセスを提供する場合（例えば、銀行取引ウェブサイト）、分散はより低い値に設定されてもよく、一方でウェブサイトが機密性の低い情報へのアクセスを提供する場合（例えば、娯楽用ウェブサイト）、分散はより高い値に設定されてもよい。

こうして、分散パラメータの使用により、システムのセキュリティが更に増加し得る。例えば、ユーザが、パスワードを入力するためのタイミングとして、人気のある又は好きなメロディーを用いることが一般的であり得る。各ユーザは異なる様式でメロディーを「再生」し得る（例えば、あるユーザは、別のユーザが同じメロディーを歌い得る場合よりも僅かに速い速度でメロディーを歌い得るか、又はあるユーザは、メロディーの拍子に変更を加え得る）ため、パスワードのタイミングが基準とするメロディーを知っていたとしても、必要とされる分散が低い場合には、依然として不十分であり得る。一例として、ユーザは、パスワードのタイミングに「Ｄｕｋｅ ｏｆ Ｅａｒｌ」という曲の６拍配列を用いてもよいが、実際の曲に用いられるものよりも速いテンポを使用してもよい。かかる場合、ある個人がユーザのユーザ名及びパスワードを見つけ出し、パスワードのタイミングが「Ｄｕｋｅ ｏｆ Ｅａｒｌ」に基づくことを知ったとしても、その個人は、ユーザがパスワードを作成したテンポを知ることなく、認証情報を使用してアクセスを取得することは依然としてできないであろう。このように、各ユーザが多少なりとも独自の方法でメロディーを再生するため、分散パラメータを小さい値に設定することで、不正アクセスを極めて困難にすることができる。

一部の実施形態では、分散パラメータの値を設定する能力をユーザに付与してもよい。例えば、あるユーザは、ユーザがパスワードを入力するときのユーザのタイミングについて厳密になりたくないかもしれないが、それでも多次元認証情報によって提供される更なるセキュリティを所望し得る。かかる場合には、ユーザは、分散パラメータに対してより高い値を指定し得る。ユーザに選択肢を提供することは、パスワードが、ローカルデバイスへのアクセスを取得するための手段として働く場合（例えば、パスワードが、コンピュータにログインするため、又は携帯電話のロックスクリーンを抜けるために使用される場合）に好適であり得る。

一部の実施形態では、ユーザがパスワードを確立しているとき、ユーザは、パスワードを複数回入力するように促され得る。かかる場合では、作成され得るタイミング情報の複数のセットは、多次元認証情報の必要とされるタイミング情報を生成するために、種々の方法で処理され得る。一部の場合、タイミング情報の複数のセットを平均して、タイミング情報の単一のセットを生成し得る。例えば、認証情報を確立するときに、ユーザがパスワードを３回入力する場合、タイミング情報の以下のセットが生成されてもよい：｛０、２４８、５０３、７５１、１００９｝、｛０、２５１、４９９、７５８、９９９｝、及び｛０、２３９、４９５、７４７、９９２｝。次にこれらのセットが平均されて、｛０、２４６、４９９、７５２、１０００｝のセットが生まれる。その後、このセットは、ユーザに対して記憶された多次元認証情報のタイミング情報として使用され得る。

複数のセットが平均される場合には、別に定義された分散パラメータが上記のように使用されてもよい。しかしながら、平均を用いる一部の実施形態では、分散パラメータは、タイミング情報の複数のセット中の値に基づいて、パスワードの各記号に対して生成され得る。例えば、第２の記号について、平均（２４６）とセット中の値との間の最大の分散が７ミリ秒（２４６−２３９＝７）であるため、分散パラメータは７の値を有すると定義されてもよい。このように、この例では、続いて入力されたパスワードの第２の記号が２４６ミリ秒中７ミリ秒以内に入力される場合に、第２の記号が適切な時間で入力されたと判断されることになる。同様に、第４の記号について、分散パラメータは、平均（７５２）とセット中の値との間の最大の分散が６ミリ秒（７５８−７５２＝６）であるため、分散パラメータは６の値を有すると定義されてもよい。

代替的に、値を平均するのではなく、セット中に見出される最小値及び最大値を使用して、各値に対する範囲を生成し得る。例えば、上記と同じ３つのセットを使用すると、以下のタイミング情報が生成され得る：｛０、２３９−２５１、４９５−５０３、７４７−７５８、９９２−１００９｝。かかる例では、続いて入力されたパスワードは、パスワードの記号が定義された範囲内に入る時間で入力された場合に認証され得る。かかる場合には、範囲が既に定義されているため、別に定義された分散パラメータは不要であり得る。しかしながら、一部の実施形態では、分散パラメータも提供され得、これは、本質的には、許容可能な値の範囲を広げ得る。例えば、５の分散パラメータが提供される場合、２３４ミリ秒の時間でのパスワードの第２の記号の入力は、それが定義された範囲の５ミリ秒以内に入るため、依然として許容可能と判断され得る。

一部の実施形態では、サーバシステム１０１は、機械学習の形態としてそれが特定のユーザに対して記憶するタイミング情報を調整するように構成されてもよい。上記のように、サーバシステム１０１は、ユーザの多次元認証情報を記憶するデータ構造を最初に作成してもよい。ユーザの多次元認証情報が作成されると、サーバシステム１０１は、ユーザの後続のログイン試行中に提供されるタイミング情報を監視し得る。サーバシステム１０１が、記憶された多次元認証情報におけるタイミング情報から逸脱する、後続のログイン試行中に提供されるタイミング情報におけるパターンを識別する場合、サーバシステム１０１は、記憶されたタイミング情報を新たなパターンと一致するように変更を加え得る。このようにして、サーバシステム１０１は、記憶されたタイミング情報を、ユーザが現在パスワードを入力しているタイミングに適合させることにより、経時的に発生し得るタイミングのいずれの変更にも対応し得る。

一例として、データ構造５００は、２５０ミリ秒の期間がｕｓｅｒ１２３４５のパスワードの各記号間に存在すべきであること、及び最大１０ミリ秒の分散が許容可能であり得ることを最初に定義する。その後しばらくして、ユーザ１２３４５が第４の記号の２４０ミリ秒後に最後の記号を継続して入力することが検出された場合、サーバシステム１０１は、タイミングアレイ３０１を自動更新して、第４の記号と最後の記号との間の２４０ミリ秒の期間を定義する（例えば、タイミングアレイ３０１は｛０、２５０、５００、７５０、９９０｝に更新され得る）。この更新により、最後の記号が、それが第４の記号の２３０〜２５０ミリ秒後に入力される限り許容され得るように、依然として１０ミリ秒の分散が依然として適用され得る。

サーバシステム１０１は、タイミング情報における変更されたパターンが、ログイン試行の閾値回数が変更されたパターンを含めた後で存在することを識別するように構成され得る。例えば、３回の連続したログイン試行中に、ｕｓｅｒ１２３４５が最後の記号を第４の記号の２４０ミリ秒後に入力する場合、サーバシステム１０１は、パターンにおける変更が生じたことにより、上記のようにタイミングアレイ３０１を更新し得ると判定し得る。

この例は、パターンにおける継続的な変更（即ち、最後の記号が第４の記号の２４０ミリ秒後ちょうどに継続して入力されること）を仮定しているが、サーバシステム１０１は、類似の分散パラメータを用いて、タイミングパターンにおける変更が発生したかどうかを判定してもよい。例えば、ユーザ１２３４５が、連続ログイン試行中に、最後の記号を、第４の記号の後、２４０ミリ秒、２４１ミリ秒、及び２４２ミリ秒の期間で入力し、サーバシステム１０１が、タイミング情報における変更されたパターンが発生したかどうかを検出する目的で２ミリ秒の分散パラメータを用いる場合、サーバシステム１０１は、２４０ミリ秒、２４１ミリ秒、及び２４２ミリ秒が全て互いの２ミリ秒以内であるため、依然として変更が発生したと判定し得る。一部の実施形態では、更に失敗したログイン試行が、依然としてこの判定において考慮されてもよい。例えば、連続的ログイン試行のうちの１つが第４の記号と最後の記号との間に２３９ミリ秒の期間を含んだ場合（２３９ミリ秒は２５０ミリ秒の１０ミリ秒分散から外れているため、失敗した試行に繋がり得る）、サーバシステム１０１は、一部の実施形態では、パターンにおける変更が発生したかどうかを判定するときに、依然としてこの失敗した試行を考慮してもよい。

一部の実施形態では、サーバシステム１０１は、検出されたタイミング情報における変更されたパターンをユーザに通知するように構成され得る。例えば、連続ログイン試行の閾値回数が変更されたパターンを一致するタイミング情報を作り出した後で、サーバシステム１０１は、検出された変更を示すユーザのデバイス上に表示されるポップアップウィンドウを引き起こしてもよい。このウィンドウは、記憶されたタイミング情報を、検出された変更と一致するように調整すべきかどうかを確認するようにユーザに尋ね得る。このようにして、ユーザは、サーバシステム１０１が記憶されたタイミング情報に変更を行うかどうかを制御することができる。また、これは、ユーザが今後どのようにパスワードを入力するかを変更し、その結果、それが以前に定義されたタイミング情報と再度一致するようにする機会をユーザに提供し得る。

図６は、多次元認証情報に対してユーザ名及びパスワードのユーザ入力を照合するためのプロセスの別の例を図示する。図６では、クライアントコンピューティングデバイス１０２ａのユーザは、サーバシステム１０１との認証を試行している。サーバシステム１０１は、３つの別個のデータ構造６０１、６０２、及び６０３を使用して、種々のユーザについて、それぞれ、ユーザ名、パスワード、及びタイミング情報を記憶する。図示されていないが、サーバシステム１０１は、入力されたタイミング情報が記憶されたタイミング情報と一致するかどうかを判定するために、２０ミリ秒の分散を用いることが仮定されることになる。この例では、サーバシステム１０１は、タイミング情報を、隣接する記号の入力間のミリ秒単位の期間として記憶する。したがって、各パスワードに対するタイミング情報は、パスワード中の記号の数より１つ少ない値を含む。

示すように、クライアントコンピューティングデバイス１０２ａは、ユーザによって入力されたユーザ名及びパスワード、並びにユーザがパスワードの記号を入力したときに基づいて生成されたタイミング情報を含む、認証要求６１０を送信する。この場合、ユーザ入力の値は、ユーザ名については「ｓａｍ＠ｅｍａｉｌ．ｃｏｍ」、パスワードについては「Ａｓｄｆｇｅ；」、及びタイミング情報については｛４００、５２０、１２９、１２５、１１９、１２２｝である。

認証要求６１０を受信すると、サーバシステム１０１は、認証要求に含まれるユーザ名を使用してデータ構造６０１中の一致するユーザ名を識別する。データ構造６０１とデータ構造６０２との間の矢印で表されているように、データ構造６０１は、列挙された各ユーザ名をデータ構造６０２中の対応するパスワードとマッピングする情報を記憶する。したがって、一致するユーザ名が識別されると、サーバシステム１０１は、データ構造６０２中の対応するパスワードを識別し、それを認証要求６１０中に含まれるパスワードと比較する。対応するパスワードが認証要求６１０中のパスワードと一致するため、サーバシステム１０１は、次に、データ構造６０２とデータ構造６０３との間の矢印によって表されるように、対応するタイミング情報を識別する。

その後、サーバシステム１０１は、この場合｛５１０、５２４、１２１、１１８、１２９、１２１｝である対応するタイミング情報を、｛４００、５２０、１２９、１２５、１１９、１２２｝である認証要求６１０中のタイミング情報と比較する。２０ミリ秒の分散が使用されるため、サーバシステム１０１は、認証要求６１０中に含まれるタイミング情報中の各値を、データ構造６０３における対応するタイミング情報中の対応する値と比較して、値が、必要とされる値の２０ミリ秒以内であるかどうかを判定することになる。

この場合、クライアントコンピューティングデバイス１０２ａから受信されたタイミング情報中の第１の値は、ユーザが、パスワードの第２の記号（「ｓ」）を、第１の記号（「Ａ」）を入力した４００ミリ秒後に入力したことを示す。しかしながら、データ構造６０３に記憶されたタイミング情報は、第２の記号が、第１の記号の後５００〜５２０ミリ秒（即ち、５１０ミリ秒＋／−１０ミリ秒）の間に入力されなければならないことを示す。換言すると、パスワードの入力時、ユーザは、第２の記号を、第１の記号の後で早く入力し過ぎた。サーバシステム１０１は、したがって、認証要求６１０が拒否されるべきであると判定し、ユーザが誤入力を提供したことを示す通信６１１を送信し得る。

要約すると、本発明は、認証プロセスに更なる次元を追加する。この更なる次元は、更なる入力ではなく、現在必要とされる入力のタイミングの形態であるため、本発明は、認証プロセスに更なる負担を加えることなく更なるセキュリティを提供する。これは、セキュリティ用の問題の回答又は既知の画像の照合などの更なる入力を必要とすることによってセキュリティを増加させる他の技法とは対照的である。

更に、タイミング情報についての可能性は事実上無限であるため、本発明は、ユーザ認証情報を推測するための総当たり技法を無効にする。このように、本発明は、ユーザにほんの僅かな負担しか加えない高いセキュリティの認証プロセスを提供する。

図７は、ユーザ認証情報を認証するための例示的な方法７００の流れ図を図示する。方法７００を、図１〜３を参照して記載することで、本方法がどのように上の記載と関係するのかの好適な例を提供する。

方法７００は、パスワード及びタイミング情報を含む入力されたユーザ認証情報を受信する動作７０１を含む。タイミング情報は、パスワードの個々の記号が入力された時間を定義する。例えば、サーバシステム１０１は、クライアントコンピューティングデバイス１０２ａから、ユーザがクライアントコンピューティングデバイス１０２ａに入力したユーザ名及びパスワードを、ユーザがパスワードを入力する間にクライアントコンピューティングデバイス１０２ａによって生成されたタイミング情報と併せて受信し得る。代替的に、クライアントコンピューティングデバイス１０２ａは、パスワードのユーザ入力を受信し、この入力からタイミング情報を生成し得る。

方法７００は、記憶されたパスワード及び記憶されたタイミング情報を含む記憶されたユーザ認証情報にアクセスする動作７０２を含む。記憶されたタイミング情報は、記憶されたパスワードの個々の記号が入力されなければならない、必要とされる時間を定義する。例えば、サーバシステム１０１は、データ構造３０１のコンテンツにアクセスし得る。代替的に、クライアントコンピューティングデバイス１０２ａは、データ構造３００のコンテンツにアクセスし得る。

方法７００は、パスワードの個々の記号が、記憶されたタイミング情報に従って入力されたかどうかを判定するために、入力されたユーザ認証情報のタイミング情報を、記憶されたタイミング情報と比較する動作７０３を含む。例えば、サーバシステム１０１、又は代替的にクライアントコンピューティングデバイス１０２ａは、受信されたユーザ名並びに／又はパスワード、及びタイミング情報を、データ構造３００のコンテンツと比較し得る。

方法７００は、パスワードの個々の記号が記憶されたタイミング情報に従って入力されたと判定する際に、入力されたユーザ認証情報を認証する動作７０４を含む。例えば、サーバシステム１０１、又は代替的にクライアントコンピューティングデバイス１０２ａは、受信されたユーザ名並びに／又はパスワード、及びタイミング情報が、データ構造３００中に記憶された情報と一致する場合に、ユーザを認証し得る。

図８は、パスワードに対するタイミング情報を生成するための例示的な方法８００の流れ図を図示する。方法８００を、図１及び２を参照して記載することで、本方法がどのように上の記載と関係するのかの好適な例を提供する。

方法８００は、複数の記号を含むパスワードのユーザ入力を受信する動作８０１を含む。例えば、クライアントコンピューティングデバイス１０２ａは、ユーザインターフェース２００を介してパスワードの入力を受信し得る。ユーザインターフェース２００は、サーバシステム１０１によって提供されるか又はサーバシステム１０１と通信するように構成されている、ウェブページ又は他のインターフェースであってもよい。

方法８００は、パスワードが入力されている間に複数の記号の各々が入力されるときを判定する動作８０２を含む。例えば、クライアントコンピューティングデバイス１０２ａ（又はユーザインターフェース２００）は、パスワード「１２３４５」の各記号がパスワードフィールド２０２に入力されるときを判定し得る。

方法８００は、複数の記号の各々が入力されたときを定義するタイミング情報を生成する動作８０３を含む。例えば、クライアントコンピューティングデバイス１０２ａ（又はユーザインターフェース２００）は、タイミングアレイ３０１、又はタイミングアレイ３０１を生成するために使用され得る情報を生成し得る。タイミング情報が生成されると、クライアントコンピューティングデバイス１０２ａは、タイミング情報を使用して、ユーザ認証情報をローカルで記憶し、認証プロセスをローカルで行い、又はタイミング情報をサーバシステム１０１に送信して、ユーザ認証情報を作成するか、又はサーバシステム１０１との認証を行い得る。

本発明は、その趣旨又は本質的特徴から逸脱することなく、他の特定の形態で実現されてもよい。記載の実施形態は、全てに関して、例示のみを目的とし、限定的ではないと見なされるべきである。したがって、本発明の範囲は、前述の記載によってではなく、添付の特許請求の範囲によって示される。

Claims (20)

1. コンピューティングシステムによって実装される、ユーザ認証情報を認証するための方法であって、
   パスワード及びタイミング情報を含む入力されたユーザ認証情報を受信することであって、前記タイミング情報が、前記パスワードの個々の記号が入力されたときを定義する、受信することと、
   記憶されたパスワード及び記憶されたタイミング情報を含む記憶されたユーザ認証情報にアクセスすることであって、前記記憶されたタイミング情報が、前記記憶されたパスワードの個々の記号が入力されなければならない、必要とされる時間を定義する、アクセスすることと、
   前記パスワードの前記個々の記号が、前記記憶されたタイミング情報に従って入力されたかどうかを判定するために、前記入力されたユーザ認証情報の前記タイミング情報を、前記記憶されたタイミング情報と比較することと、
   前記パスワードの前記個々の記号が、前記記憶されたタイミング情報に従って入力されたと判定する際に、前記入力されたユーザ認証情報を認証することと、を含む、方法。
2. 前記記憶されたタイミング情報が、個々の記号が入力されなければならない時間の範囲内として、前記必要とされる時間を定義する、請求項１に記載の方法。
3. 前記時間の範囲が、分散パラメータを使用して定義される、請求項２に記載の方法。
4. 前記入力されたユーザ認証情報及び前記記憶されたユーザ認証情報が、ユーザ名を含む、請求項１に記載の方法。
5. 前記記憶されたタイミング情報が、隣接する記号の入力の間の期間として、前記必要とされる時間を定義する、請求項１に記載の方法。
6. 前記記憶されたタイミング情報が、前記記憶されたパスワードとは別に記憶される、請求項１に記載の方法。
7. 前記記憶されたタイミング情報が、個々の記号が入力されなければならないときの絶対値、又は前記隣接する記号の入力の間の期間を定義する相対値のうちの一方を含み、前記入力されたユーザ認証情報の前記タイミング情報が、前記絶対値又は相対値の他方を含む、請求項１に記載の方法。
8. 前記記憶されたタイミング情報が、前記記憶されたパスワードの複数の入力から生成されるタイミング情報の平均を含む、請求項１に記載の方法。
9. 前記記憶されたタイミング情報が、前記記憶されたパスワードの少なくとも１つの記号に対する範囲を含み、前記範囲は、前記記号が前記記憶されたパスワードの複数の入力中に入力されたときの最小値及び最大値を含む、請求項１に記載の方法。
10. 前記入力されたユーザ認証情報が、コンピューティングデバイスから、又はユーザ入力から、前記コンピューティングシステムの構成要素へと受信される、請求項１に記載の方法。
11. ユーザがパスワードを含むユーザ認証情報を入力するために用いるコンピューティングデバイスによって実装される、前記パスワードについてのタイミング情報を生成するための方法であって、
    パスワードのユーザ入力を受信することであって、前記パスワードが、複数の記号を含む、受信することと、
    前記パスワードが入力される間に、前記複数の記号の各々が入力されるときを判定することと、
    前記複数の記号の各々が入力されたときを定義する、タイミング情報を生成することと、を含む、方法。
12. 前記タイミング情報を、前記コンピューティングシステムとの認証に対してユーザ認証情報を確立するための要求の形態で、又は前記コンピューティングシステムとの認証を行うための要求の形態で、別のコンピューティングシステムに伝送することを更に含む、請求項１１に記載の方法。
13. 前記タイミング情報が、前記複数の記号中の前記隣接する記号の各セットの入力の間の期間を定義する、請求項１１に記載の方法。
14. 前記タイミング情報が、少なくとも第２の記号から最後の記号までの各々が入力された絶対時間を定義する、請求項１１に記載の方法。
15. 少なくとも１つの分散パラメータを前記タイミング情報と関連付けることを更に含む、請求項１１に記載の方法。
16. 前記タイミング情報を、記憶されたタイミング情報と、認証プロセスの一部として比較することを更に含む、請求項１１に記載の方法。
17. 前記パスワードのユーザ入力を受信することが、複数回の前記パスワードのユーザ入力を受信することを含み、前記タイミング情報が、前記パスワードの前記複数の入力に基づいて生成される、請求項１１に記載の方法。
18. サーバシステムであって、
    １つまたは複数のプロセッサと、
    実行時にユーザを認証するための方法を実装する、コンピュータによって実行可能な命令を記憶するコンピュータ可読媒体と、を備え、前記方法が、
    第１のクライアントコンピューティングデバイス上に表示される第１のユーザインターフェースから、第１のユーザ名、第１のパスワード、及び前記第１のパスワードの各記号がユーザによって前記第１のユーザインターフェースに入力されたときを定義する第１のタイミング情報を受信することと、
    前記第１のユーザ名、第１のパスワード、及び第１のタイミング情報を、前記サーバシステムで認証を行うための前記ユーザについてのユーザ認証情報として記憶することと、
    第２のクライアントコンピューティングデバイス上に表示される別のユーザインターフェースから、第２のユーザ名、第２のパスワード、及び前記第２のパスワードの各記号が前記ユーザによって前記第２のユーザインターフェースに入力されたときを定義する第２のタイミング情報を受信することと、
    前記第２のユーザ名、前記第２のパスワード、及び前記第２のタイミング情報を、前記第１のユーザ名、前記第１のパスワード、及び前記第１のタイミング情報と比較することと、
    前記第２のユーザ名、前記第２のパスワード、及び前記第２のタイミング情報が、前記第１のユーザ名、前記第１のパスワード、及び前記第１のタイミング情報と一致すると判定する際に、前記ユーザを認証することと、を含む、サーバシステム。
19. 前記第１のクライアントコンピューティングデバイス及び前記第２のクライアントコンピューティングデバイスが、異なるクライアントコンピューティングデバイスである、請求項１８に記載のサーバシステム。
20. 前記第２のタイミング情報が前記第１のタイミング情報と一致すると判定することが、前記第２のパスワードの各記号が、前記第１のパスワードの前記対応する記号が入力されたときの分散内で入力されたと判定することを含む、請求項１８に記載のサーバシステム。

Images