JP2020057439A - ユーザ認証方法、評価装置、プログラム、及びユーザ認証システム - Google Patents

Abstract

【課題】個人情報の保護に配慮したクラウド型のリスクベース認証技術を提供する。【解決手段】評価装置１において、受信部１２０ａは、ユーザのログイン認証を実行する認証装置２から、ユーザがログインに使用した端末３において生成されたユーザを識別するためのユーザ識別子のハッシュ値と、端末３において暗号化された端末３のログイン環境を示す情報とを受信する。復号部１２１は、暗号化された端末３のログイン環境を示す情報を復号する。リスク算出部１２２は、端末３のログイン環境と、ハッシュ値に対応するユーザによる過去のログイン環境との類似度に関する統計量に基づいて、ログインが不正アクセスであるリスクを示す評価値を算出する。送信部１２０ｂは、算出した評価値と所定の閾値との比較結果を、認証装置２に送信する。【選択図】図２

Description

本発明は、ユーザ認証方法、評価装置、プログラム、及びユーザ認証システムに関する。

近年、インターネット上で用いるユーザＩＤ（IDentification）及びパスワードが盗難され、第三者によって不正にウェブサイトにアクセスされる、いわゆる「なりすまし」が問題となっている。このため、ウェブサイトへのアクセス履歴に基づくリスクベース認証を行う技術も提案されている（例えば、特許文献１を参照）。

特開２０１１−２１５７５３号公報

リスクベース認証は不正アクセスのリスクがあると判断される場合に実行される副次的な認証技術である。リスクベース認証は、例えばユーザ毎に設定された秘密の合言葉をログインを試みるユーザが答えられるか否かに基づいて認証するため、技術的には比較的容易に実現できる。しかしながら、リスクベース認証を行うべきか否かの判断は、ユーザによるウェブサイトのアクセス履歴に基づいて行われることが多く、そのためにはアクセス履歴の管理等を担うためのサーバが必要となる。

リスクベース認証のような副次的な認証のためのサーバを維持するのは、ウェブサイトの提供者にとっては負担となりうる。一方で、リスクベース認証は個人情報であるアクセス履歴に基づくため、個人情報保護の観点から、リスクベース認証を外部機関に委託することはウェブサイトの提供者にとって二の足を踏む状態である。

そこで、本発明はこれらの点に鑑みてなされたものであり、個人情報の保護に配慮したクラウド型のリスクベース認証技術を提供することを目的とする。

本発明の第１の態様は、ユーザ認証方法である。この方法は、認証装置が、ユーザによるログインを認証する認証ステップと、前記ログインが不正アクセスであるリスクを評価する評価装置が、前記ユーザがログインに使用した端末において生成された前記ユーザを識別するためのユーザ識別子のハッシュ値と、前記端末において暗号化された前記端末のログイン環境を示す情報とを、前記認証装置を介して受信する情報受信ステップと、前記評価装置が、前記端末のログイン環境と、前記ハッシュ値に対応するユーザによる過去のログイン環境との類似度に関する統計量に基づいて算出した前記リスクを示す評価値を算出する算出ステップと、前記評価装置が、算出した評価値と所定の閾値との比較結果を前記認証装置に通知する評価通知ステップと、前記認証装置が、前記比較結果が不正アクセスであるリスクが高いことを示す場合、前記ユーザに対して追加認証を実行する追加認証ステップと、を有する。

前記ユーザ認証方法は、前記認証装置が、前記ユーザの追加認証が成功した場合、前記追加認証が成功したことを示す情報を前記評価装置に通知する成功通知ステップと、前記評価装置が、前記追加認証が成功したときの前記端末のログイン環境と前記ハッシュ値との組み合わせを認証成功リストに格納する成功情報記憶ステップと、をさらに有する。

前記ユーザ認証方法は、前記評価装置が、前記情報受信ステップにおいて取得した前記ハッシュ値と前記端末のログイン環境との組み合わせが前記認証成功リストに含まれる場合、前記ログインを承認すべきことを示す情報を前記認証装置に通知する承認通知ステップをさらに有する。

前記ユーザ認証方法は、前記認証装置が、前記認証成功リストの掲載期間を示す情報を前記評価装置に送信する掲載期間送信ステップと、前記評価装置が、前記認証成功リストに格納してから前記掲載期間を経過した前記端末のログイン環境と前記ハッシュ値との組み合わせを、前記認証成功リストから削除する削除ステップと、をさらに有する。

前記ユーザ認証方法は、前記評価装置が、前記所定の閾値から前記評価値を減じた値が小さいほど前記掲載期間が長くなるように、前記掲載期間を延長する延長ステップをさらに有する。

前記ユーザ認証方法は、前記認証装置が、前記ログインの認証に成功したことを条件として、前記ハッシュ値と前記端末のログイン環境とを前記評価装置に送信する情報送信ステップをさらに有する。

本発明の第２の態様は、評価装置である。この装置は、ユーザのログイン認証を実行する認証装置から、前記ユーザがログインに使用した端末において生成された前記ユーザを識別するためのユーザ識別子のハッシュ値と、前記端末において暗号化された前記端末のログイン環境を示す情報とを受信する受信部と、前記暗号化された前記端末のログイン環境を示す情報を復号する復号部と、前記端末のログイン環境と、前記ハッシュ値に対応するユーザによる過去のログイン環境との類似度に関する統計量に基づいて、前記ログインが不正アクセスであるリスクを示す評価値を算出するリスク算出部と、算出した評価値と所定の閾値との比較結果を、前記認証装置に送信する送信部と、を備える。

本発明の第３の態様は、プログラムである。このプログラムは、コンピュータに、ユーザのログイン認証を実行する認証装置から、前記ユーザがログインに使用した端末において生成された前記ユーザを識別するためのユーザ識別子のハッシュ値と、前記端末において暗号化された前記端末のログイン環境を示す情報とを受信する機能と、前記暗号化された前記端末のログイン環境を示す情報を復号する機能と、前記端末のログイン環境と、前記ハッシュ値に対応するユーザによる過去のログイン環境との類似度に関する統計量に基づいて、前記ログインが不正アクセスであるリスクを示す評価値を算出する機能と、算出した評価値と所定の閾値との比較結果を、前記認証装置に送信する機能と、を実現させる。

本発明の第４の態様は、ユーザが使用する端末を介して前記ユーザによるログインを認証する認証装置と、前記ログインが不正アクセスであるリスクを評価する評価装置と、を備えるユーザ認証システムである。このシステムにおいて、前記認証装置は、前記端末及び前記評価装置とネットワークを介して通信する通信部と、前記ユーザが使用する端末を介して前記ユーザによるログインを認証する認証部と、を備え、前記評価装置は、前記端末において生成された前記ユーザを識別するためのユーザ識別子のハッシュ値と、前記端末において暗号化された前記端末のログイン環境を示す情報とを、前記ネットワークを介して前記認証装置から受信する受信部と、前記暗号化された前記端末のログイン環境を示す情報を復号する復号部と、前記端末のログイン環境と、前記ハッシュ値に対応するユーザによる過去のログイン環境との類似度に関する統計量に基づいて算出した前記リスクを示す評価値を算出するリスク算出部と、算出した評価値と所定の閾値との比較結果を、前記ネットワークを介して前記認証装置に送信する送信部と、を備え、前記認証装置は、前記評価装置から取得した比較結果において不正アクセスであるリスクが高いことが示されている場合、前記ユーザに対して追加認証を実行する追加認証部をさらに備える。

本発明によれば、個人情報の保護に配慮したクラウド型のリスクベース認証技術を提供することができる。

実施の形態に係るユーザ認証システムで行われる処理の概要を説明するための模式図である。 実施の形態に係る評価装置と認証装置とのそれぞれの機能構成を模式的に示す図である。 実施の形態に係るリスク算出部が参照するログイン環境データベースのデータ構造を模式的に示す図である。 復号部が復号することで得られたログイン環境とハッシュ値とを示す図である。 実施の形態に係る認証成功リストのデータ構造を模式的に示す図である。 実施の形態に係るユーザ認証システムで実行されるユーザ認証処理を説明するためのシーケンス図の前半部である。 実施の形態に係るユーザ認証システムで実行されるユーザ認証処理を説明するためのシーケンス図の後半部である。

＜実施の形態の概要＞
本発明の実施の形態の概要を述べる。実施の形態に係るユーザ認証システムは、ユーザのログイン認証を担う認証装置と、ユーザによるログインが不正アクセスであるリスクを評価する評価装置とが、インターネット等の公のネットワークを介して互いに通信可能な態様で接続されている。評価装置はいわゆるクラウド型のサーバであり、評価機能をＳａａＳ（Software as a Service）で提供する。

認証装置が提供するウェブサイトには、あらかじめリスクベース認証のためのスクリプトへのリンクが埋め込まれている。ユーザが端末を介して認証装置が提供するウェブサイトにアクセスすると、端末はリンク先の評価装置からスクリプトをダウンロードする。ダウンロードしたスクリプトを端末が実行すると、端末のログイン環境を示す情報（例えば、ブラウザ情報やアクセス地域等を示す情報）の暗号化データと、ログインのためのユーザ識別子のハッシュ値とが、認証装置を介して評価装置に送信される。なお、スクリプトとしては、例えば既知のＪａｖａＳｃｒｉｐｔ（登録商標）が用いられる。

端末は、スクリプトを実行することにより、端末のログイン環境を示す情報を暗号化するとともに、ユーザ識別子のハッシュ値を生成する。端末装置が実行する暗号化処理は、例えば既知のＡＥＳ（Advanced Encryption Standard）が用いられ、ハッシュ値の生成処理には例えば既知のＭＤ５（Message Digest Algorithm 5）が用いられる。

評価装置は、暗号化されたログイン環境を示す情報を復号することによってログイン環境を示す情報を取得できる。一方、評価装置はユーザ識別子のハッシュ値を取得するため、元のユーザ識別子を復元することはできない。しかしながら、元のユーザ識別子が異なれば、生成されるハッシュ値も異なるため、評価装置は、取得したハッシュ値をいわば「ユーザ識別子」として用いることができる。

すなわち、評価装置は、ユーザ識別子のハッシュ値毎に、取得したログイン環境を示す情報を履歴として管理している。評価装置は、取得したログイン環境と、過去のログイン環境の履歴との類似度に関する統計量に基づいて、不正アクセスであるリスクを評価する。評価装置は、評価結果を認証装置に送信する。認証装置は、評価装置による評価結果に基づいて、リスクベース認証をするか否かを選択する。

このように、公のネットワークを介して端末装置、認証装置、及び評価装置の間でやり取りされる情報は暗号化されているか、又は元の情報のハッシュ値であるため、情報が第三者に漏洩する危険性は低い。また、評価装置が取得できるのはユーザ識別子のハッシュ値だけであり、元のユーザ識別子を特定することは困難であるため、ログイン環境を示す情報と個人とを結びつけることは実質的にできない。

ゆえに、認証装置の管理者は、第三者である評価装置の管理者にユーザの個人情報が漏洩するリスクを軽減することができる。結果として、実施の形態に係るユーザ認証システムは、個人情報の保護に配慮したクラウド型のリスクベース認証技術を実現できる。

＜ユーザ認証システムＳの処理の流れ＞
図１は、実施の形態に係るユーザ認証システムＳで行われる処理の概要を説明するための模式図である。実施の形態に係るユーザ認証システムＳは、ネットワークＮを介して互いに通信可能となるように接続された評価装置１、認証装置２、及び端末３を備える。

端末３は、ユーザＵが使用する端末である。認証装置２は、端末３を介してユーザＵによるログインを認証する。評価装置１は、ユーザＵによるログインが不正アクセスであるリスクを評価する。
以下、ユーザ認証システムＳで行われる処理の手順を（１）から（１１）で説明するが、その説明は図１中の（１）から（１１）と対応する。

（１）ユーザＵの端末３は、認証装置２が提供するウェブサイトへのページをリクエストする。具体的には、端末３は、リスクベース認証を含んだページを認証装置２にリクエストする。リスクベース認証を含んだページには、リスクベース認証用のスクリプトへのリンクが含まれている。リスクベース認証用のスクリプトは、評価装置１に存在する。

（２）認証装置２は、端末３がリクエストしたページを端末３に送信する。
（３）端末３は、リスクベース認証用のスクリプトへのリンクに基づいて、評価装置１にスクリプトをリクエストする。
（４）評価装置１は、リクエストされたスクリプトを端末３に送信する。

（５）ユーザＵは、ユーザ識別子及びパスワードを用いて認証装置２が提供するウェブサイトへのログインを試みる。
（６）ユーザ識別子及びパスワードが一致する場合、端末３は、スクリプトを実行することによって生成したログイン環境を示す情報の暗号化データと、ユーザ識別子のハッシュ値とを認証装置２にポスト（ＰＯＳＴ）する。認証装置２は、ポストされたデータを評価装置１に送信する。

（７）評価装置１は、ユーザ識別子のハッシュ値に紐づけられた端末３の過去のログイン環境と、取得した端末３のログイン環境との類似度に関する統計量に基づいて算出した不正アクセスであるリスクの評価結果を認証装置２に送信する。

（８）認証装置２は、リスクの評価結果が所定の閾値を超える場合、端末３のユーザＵにリスクベース認証を実行する。
（９）ユーザＵは、リスクベース認証の回答を端末３を介して認証装置２に送信する。

（１０）認証装置２は、ユーザＵがリスクベース認証に成功した場合、端末３にウェブサイトを提供する。
（１１）認証装置２は、認証に成功した場合、その旨を評価装置１に通知する。
（１２）評価装置１は、認証に成功した端末３のログイン環境を、端末３のユーザＵに割り当てられたユーザ識別子のハッシュ値に関連付けて格納する。

認証装置２の運用者は、ユーザＵに提供するためのウェブサイトのソースコードに、リスクベース認証のためのスクリプトへのリンクを追加するだけで、リスクベース認証を実現することができる。このため、認証装置２の運用者は、既存のウェブサイトのソースコードを大きく改変することもせず、また、新たなサーバ等を用意することもせずに、リスクベース認証機能を実現することができる。

＜評価装置１及び認証装置２の機能構成＞
以下、図２を参照して、評価装置１の機能構成と認証装置２の機能構成とを説明する。
図２は、実施の形態に係る評価装置１と認証装置２とのそれぞれの機能構成を模式的に示す図である。評価装置１は、通信部１０、記憶部１１、及び制御部１２を備える。また認証装置２は、通信部２０、認証部２１、追加認証部２２、及び期間管理部２３を備える。

通信部１０は、ネットワークＮを介して認証装置２及び端末３との間でデータを送受信する。記憶部１１は、評価装置１を実現するコンピュータのＢＩＯＳ（Basic Input Output System）等を格納するＲＯＭ（Read Only Memory）や評価装置１の作業領域となるＲＡＭ（Random Access Memory）、ＯＳ（Operating System）やアプリケーションプログラム、当該アプリケーションプログラムの実行時に参照される各種データベースを含む種々の情報を格納するＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の大容量記憶装置である。

制御部１２は、評価装置１のＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等のプロセッサであり、記憶部１１に記憶されたプログラムを実行することによって通信制御部１２０、復号部１２１、リスク算出部１２２、及びリスト管理部１２３として機能する。

通信制御部１２０は、例えばＬＡＮ（Local Area Network）コントローラである。通信制御部１２０は、通信部１０を介して評価装置１の外部の装置からデータを受信する受信部１２０ａとして機能する。また、通信制御部１２０は、通信部１０を介して評価装置１の外部の装置にデータを送信する送信部１２０ｂとしても機能する。以下、通信制御部１２０が通信部１０を介して外部の装置とデータを送受信することを前提として、単に「受信部１２０ａがデータを受信する」、「送信部１２０ｂがデータを送信する」のように記載する。

認証装置２の通信部２０は、評価装置１の通信部１０と同様に、ネットワークＮを介して評価装置１及び端末３との間でデータを送受信する。認証部２１は、端末３を介したユーザＵによるログインを認証する。具体的には、認証部２１は、端末３から送信されたユーザ識別子とパスワードとが一致する場合ログイン認証は成功と判定し、不一致の場合ログイン認証は失敗と判定する。

認証部２１によってログイン認証が成功と判定されることを条件として、端末３は、あらかじめ評価装置１からダウンロードしたスクリプトを実行することにより、ログイン環境を示す情報を暗号化するとともに、端末３のユーザＵに割り当てられているユーザ識別子のハッシュ値を生成する。

ここで、「ログイン環境を示す情報」とは、認証装置２が提供するウェブサイトにログインを試みる端末３が置かれた環境を示す情報をいう。ログイン環境を示す情報の具体例としては、クッキーの有無、ＣＰＵ情報、言語名、プラットフォーム名、接続状態、オペレーティングシステム（Operating System；以下「ＯＳ」と記載する。）、システム言語名、ユーザエージェント（ブラウザ）名、市名、州名、国名、ＩＰ（Internet Protocol）アドレス名、インターネットサービスプロバイダ名、大陸名、スクリーンサイズ等の１５項目が挙げられるが、これらに限定されるものではない。

端末３は、ログイン環境を示す情報を暗号化したデータと、ユーザ識別子のハッシュ値とを認証装置２にポストすることにより、これらのデータを認証装置２を介して評価装置１に送信する。認証部２１によってログイン認証が成功と判定されることを条件として、端末３は暗号化処理及びハッシュ値生成を実行する。これは、ログイン認証が失敗した場合は、端末３は暗号化処理及びハッシュ値生成を実行しないこと意味する。これにより、端末３が不要な処理を実行することを抑制できる。

評価装置１の受信部１２０ａは、端末３において生成されたユーザＵを識別するためのユーザ識別子のハッシュ値と、端末３において暗号化された端末３のログイン環境を示す情報とを、ネットワークＮを介して認証装置２から受信する。復号部１２１は、暗号化された端末３のログイン環境を示す情報を復号する。

リスク算出部１２２は、端末３のログイン環境と、ハッシュ値に対応するユーザＵによる過去のログイン環境との類似度に関する統計量を算出する。リスク算出部１２２は、算出した統計量に基づいて、ログインが不正アクセスであるリスクを示す評価値を算出する。

図３は、実施の形態に係るリスク算出部１２２が参照するログイン環境データベースのデータ構造を模式的に示す図である。ログイン環境データベースは記憶部１１に格納されており、リスク算出部１２２によって管理されている。

図３は、ユーザ識別子のハッシュ値が「d4492684fb8d97・・・64ab0856320fa77」であるユーザＵが過去にログインしたときのログイン環境を例示している。具体的には、このユーザＵはプロセッサがａａａである端末３を用いて過去に９回ログインしている。また、ユーザＵは、ＯＳがｅｅｅである端末を用いて過去に６回ログインしている。なお、図３には図示を省略しているが、ログイン環境データベースには、上述した１５項目に関する過去のログイン環境が格納されている。

図４は、復号部１２１が復号することで得られたログイン環境とハッシュ値とを示す図である。図４に示す例では、ユーザ識別子のハッシュ値が「d4492684fb8d97・・・64ab0856320fa77」であるユーザのログイン環境を示している。

図４に示す例は、ログイン環境を示す項目として、プロセッサ情報、アクセス地域情報、及びブラウザ情報の３つの項目を取得したことを示している。具体的には、端末３に搭載されているプロセッサがｂｂｂであり、端末３はｈｈｈで示される地域からブラウザとしてｊｊｊを用いて認証装置２にアクセスしたことを示している。

リスク算出部１２２は、例えば、以下の式（１）及び（２）で示す計算式に基づいて、類似度に関する統計量Ｐを算出する。
統計量Ｐ＝Σ（取得した項目の回数／その項目における合計回数）×重みＷ （１）
重みＷ＝取得した項目の数／ログイン環境データベースに含まれる項目の数 （２）

図３より、ユーザＵは、プロセッサがｂｂｂである端末３から過去に２回ログインしている。すなわち、式（１）における「取得した項目の回数」は２である。ユーザＵは、プロセッサａａａの端末３で９回、プロセッサｃｃｃの端末３で３回それぞれ過去にログインしているため、式（１）における「その項目における合計回数」は、９＋２＋３＝１４である。アクセス地域情報、及びブラウザ情報についても同様である。

また、復号部１２１が復号することで得られたログイン環境にはプロセッサ情報、アクセス地域情報、及びブラウザ情報の３つの項目が含まれており、一方ログイン環境データベースには１５項目が格納されている。このため、式（２）より、重みＷ＝３／１５となる。

以上より、リスク算出部１２２は、統計量Ｐ＝（２／（９＋２＋３）＋１０／（１＋１０＋３）＋３／（３＋５＋４））×３／１５≒０．２２を算出する。式（１）及び（２）から明らかなように、リスク算出部１２２が算出する統計量Ｐは０以上１以下の値を取り、端末３が過去にログインした環境に近いほど、またログイン環境を示す項目をリスク算出部１２２が多く取得するほど大きな値となる。

リスク算出部１２２は、算出した統計量Ｐに基づいて、ログインが不正アクセスであるリスクを示す評価値を算出する。リスク算出部１２２は、例えば算出した統計量Ｐとあらかじめ定められたリスク判定基準閾値との比較結果を評価値としてもよい。あるいは、リスク算出部１２２は、過去に算出した統計量Ｐを格納する統計量データベース（不図示）を参照することにより、算出した統計量Ｐの標準偏差やＺスコアを求めて、その値とリスク判定基準閾値との比較結果を評価値としてもよい。この場合、リスク算出部１２２は、比較結果としてリスクレベルが高いことを示す情報である「high」、リスクレベルが低いことを示す情報である「low」を保存する。このことにより、認証装置２の運営者はリスク評価の判別を容易にすることができる。

いずれにしても、以下本明細書において、リスク算出部１２２が算出する評価値は、その値が大きいほど不正アクセスのリスクが小さいことを示すことを前提とする。この場合、リスク算出部１２２が算出する評価値がリスク判定基準閾値を下回ると、ログインが不正アクセスであるリスクを示唆することになる。なお、評価値が大きいほど不正アクセスのリスクが大きいことを示すようにリスク算出部１２２が評価値を算出する場合には、この反対となる。

ここで「リスク判定基準閾値」とは、リスク算出部１２２が算出した評価値からログインが不正アクセスであるリスクを判定するために定められた閾値である。この閾値の具体的な値は、認証装置２の運用者が評価装置１に通知することによって定めることができる。これにより、認証装置２の運用者は、ユーザＵに提供するウェブサイトの性質等を考慮してウェブサイト毎にリスク判定の基準を変更することができる。

送信部１２０ｂは、リスク算出部１２２が算出した評価値と所定の閾値との比較結果を、前記認証装置に送信する。認証装置２の追加認証部２２は、評価装置１から取得した比較結果が、ログインが不正アクセスであるリスクが高いことを示すが示されている場合、ユーザＵに対して追加認証を実行する。追加認証部２２が実行する追加認証はいわゆるリスクベース認証であり、ユーザＵのログイン行為が不正アクセスであるリスクがある場合にユーザＵに課す認証である。ログインが不正アクセスであるリスクが高い場合の具体例は、評価値が所定の閾値を下回る場合である。

追加認証部２２は、例えばユーザＵ毎に設定された「秘密の質問」に対する回答をユーザＵに求めることにより追加認証を実現する。あるいは、追加認証部２２は、ユーザＵがあらかじめ定めたスマートフォン等の携帯端末にＳＭＳ（Short Message Service）を利用して送付したトークンの入力を求める「ＳＭＳ認証」によって追加認証を実現する。これにより、実施の形態に係る評価装置１は、個人情報の保護に配慮したクラウド型のリスクベース認証技術を認証装置２に提供することができる。

ここで、例えばユーザＵが普段使用するための携帯端末を変更したとする。ユーザＵが変更後の携帯端末を過去に使用したことがない場合、当然ながら、ユーザＵはその携帯端末を用いて認証装置２にログインした実績もないことになる。このため、ユーザＵが変更後の携帯端末を用いて認証装置２にログインを試みると、それが正当なアクセスであるにもかかわらず、リスク算出部１２２が算出する評価値のみから判定する場合、不正アクセスであるリスクが高まることになる。

ユーザＵが変更後の携帯端末で認証装置２へのログインを繰り返すことにより、ユーザＵに対応するログイン環境データベースが更新され、リスク算出部１２２が算出する評価値も徐々に高まることになる。しかしながら、リスク算出部１２２が算出する評価値が高まるまで認証装置２へのログインの際にユーザＵに追加認証を課すとすると、ユーザＵに煩雑感を与えかねない。

そこで、追加認証部２２は、ユーザＵの追加認証が成功した場合、追加認証が成功したことを示す情報を評価装置１に通知する。評価装置１のリスト管理部１２３は、追加認証が成功したときの端末３のログイン環境とユーザ識別子のハッシュ値との組み合わせを認証成功リストに格納する。

図５は、実施の形態に係る認証成功リストのデータ構造を模式的に示す図である。認証成功リストは記憶部１１に格納されており、リスト管理部１２３によって管理されている。図５は、ユーザ識別子のハッシュ値が「d4492684fb8d97・・・64ab0856320fa77」であるユーザＵに関する認証成功リストを示している。

図５に示す例では、ユーザ識別子のハッシュ値が「d4492684fb8d97・・・64ab0856320fa77」であるユーザＵが、プロセッサａａａを備える端末３からブラウザｊｊｊを用いてｈｈｈで特定される地域から認証装置２にログインし、追加認証に成功したことを示している。同様に、ユーザＵは、ＯＳがｅｅｅであり、ＩＰアドレスがｘｘｘ．ｘｘｘ．ｘｘｘ．ｘｘｘが割り当てられた端末３を用いてｈｈｈで特定される地域から認証装置２にログインし、追加認証に成功したことも示している。

ユーザＵが、認証成功リストに格納されているログイン環境と同じ環境で認証装置２にログインを試みている場合、それは不正アクセスである蓋然性は低いと考えられる。そこで、リスク算出部１２２は、受信部１２０ａが取得したハッシュ値と端末のログイン環境との組み合わせが認証成功リストに含まれる場合、ログインを承認すべきことを示す情報を認証装置２に通知する。これにより、認証装置２の追加認証部２２はユーザＵに追加認証を課さずにログインを許可できるので、ログインに関するユーザＵのユーザビリティを向上することができる。

また、リスク算出部１２２は、ログインを承認すべきことを示す情報を、不正アクセスであるリスクを示す評価値とリスク判定基準閾値との比較結果に替えて、評価装置１に通知してもよい。これにより、評価装置１は、評価値の算出処理を省略することができるので、不正アクセスであるか否かを示すリスク判定をより迅速に実現することができる。

上述したように、受信部１２０ａが取得したハッシュ値と端末のログイン環境との組み合わせが認証成功リストに含まれる場合、リスク算出部１２２が算出する評価値が不正アクセスであるリスクを示唆する場合であっても、ユーザＵのログインが許可される。これによってユーザビリティは向上するものの、場合によっては不正アクセスを見逃すことにもなりかねない。

そこで、認証装置２の期間管理部２３は、認証成功リストの掲載期間を示す情報を評価装置１に送信する。評価装置１のリスト管理部１２３は、期間管理部２３から受信した掲載期間を認証成功リストに格納する。例えば図５に示す例では、プロセッサａａａを備える端末３からブラウザｊｊｊを用いてｈｈｈで特定される地域から認証装置２にログインしたことを示すログイン環境の掲載期間が〇〇時間であることを示している。

リスト管理部１２３は、認証成功リストに格納してから掲載期間を経過した端末３のログイン環境とハッシュ値との組み合わせを、認証成功リストから削除する。この結果、ひとたび認証成功リストにログイン環境が掲載されても、掲載期間が経過した後には、ユーザＵがそのログイン環境と同じ環境で認証装置２にログインを試みても評価装置１は承認せず、追加認証部２２はユーザＵに追加認証を課すことになる。

なお、掲載期間は期間管理部２３が評価装置１に通知して設定される。このため、掲載期間の具体的な値は認証装置２の運用者がユーザＵに提供するウェブサイトの性質（例えば設定すべきセキュリティの強度やログインの頻度等）を考慮して決定すればよい。これにより、認証装置２のログインに関するユーザＵのユーザビリティの向上と、第三者による認証装置２への不正アクセスの防止とのバランスを取ることができる。

このように、認証成功リストに格納する掲載期間は、ユーザビリティの向上と、第三者による認証装置２への不正アクセスの防止とのバランスを取るパラメータとなる。そのため、リスト管理部１２３は、リスク算出部１２２が算出した評価値とリスク判定基準閾値との大小関係に応じて、掲載期間を適応的に変更してもよい。

具体的には、リスト管理部１２３は、リスク判定基準閾値からリスク算出部１２２が算出した評価値を減じた値が小さいほど、掲載期間が長くなるように、認証成功リストに格納されている掲載期間を延長する。これにより、リスク算出部１２２が算出した評価値がリスク判定基準閾値を下回る場合であってもその差が小さい場合には、大きい場合と比較して掲載期間が長くなる。

この結果、不正アクセスのリスクが低い場合にはユーザビリティの向上が優先され、認証装置２がユーザＵに対して追加認証を課さない期間が長くなる。反対に、不正アクセスのリスクが高い場合には不正アクセスの防止が優先され、早い段階で認証装置２はユーザＵに対して追加認証を課すことになる。ゆえに、認証装置２は、ユーザビリティの向上と、第三者による認証装置２への不正アクセスの防止とのバランスをより適切に定めることができる。

＜実施の形態に係るユーザ認証システムＳで実行されるユーザ認証処理の処理フロー＞
図６は、実施の形態に係るユーザ認証システムＳで実行されるユーザ認証処理を説明するためのシーケンス図の前半部である。また、図７は、実施の形態に係るユーザ認証システムＳで実行されるユーザ認証処理を説明するためのシーケンス図の後半部である。以下、図６及び図７を参照して、実施の形態に係るユーザ認証システムＳで実行されるユーザ認証処理を説明する。

端末３は、認証装置２が提供するウェブサイトにログインするための認証情報（ユーザ識別子及びパスワード）を認証装置２に送信する（Ｓ２）。ユーザ識別子及びパスワードが一致しない場合、すなわち認証が失敗した場合（Ｓ４のＮｏ）、本認証処理は終了する。認証に成功した場合（Ｓ４のＹｅｓ）、認証装置２は端末３に対して認証が成功したことを通知する。

端末３は、評価装置１にリスクベース認証をリクエストする（Ｓ６）。この結果、端末３は、リスクベース認証のためのスクリプトを評価装置１からダウンロードすることで取得する。端末３は、スクリプトを実行することにより、端末３のログイン環境を示す情報を暗号化する（Ｓ８）。

続いて、端末３は、端末３のユーザＵに割り当てられたユーザ識別子のハッシュ値を算出して取得する（Ｓ１０）。端末３は、ログイン環境を示す情報を暗号化したデータと、ユーザ識別子のハッシュ値とを認証装置２にポストする（Ｓ１２）。認証装置２にポストされた情報は、認証装置２を経由して評価装置１に転送される。

評価装置１は、認証装置２から取得したログイン環境を示す情報の暗号化データを復号する（Ｓ１４）。評価装置１は、復号した情報に含まれるログイン環境が認証成功リストに含まれる場合、すなわちログインを承認する場合（Ｓ１６のＹｅｓ）、承認することを示す情報を認証装置２に通知する（Ｓ１８）。ログインを承認しない場合（Ｓ１６のＮｏ）、評価装置１は承認することを示す情報を認証装置２には通知しない。

図６における連結点Ａ、連結点Ｂ、及び連結点Ｃは、それぞれ図７における連結点Ａ、連結点Ｂ、及び連結点Ｃに連結することを示している。以下、実施の形態に係るユーザ認証システムＳで実行されるユーザ認証処理は、図７のシーケンス図に示す処理に移行する。

ログインを承認しない場合（図６におけるＳ１６のＮｏ）、評価装置１は、ログインが不正アクセスであるリスクを示す評価値を算出する（Ｓ２０）。評価装置１は、算出した評価値とリスク判定基準閾値との比較結果である評価結果を認証装置２に送信する（Ｓ２２）。

認証装置２は、評価装置１からが算出した評価値がリスク判定基準閾値を下回る場合、すなわちユーザＵに対して追加認証を課す場合（Ｓ２４のＹｅｓ）、端末３に追加認証を要求する（Ｓ２６）。端末３のユーザＵは、端末３を介して認証装置２に追加認証で要求された回答を入力して送信する（Ｓ２８）。

認証装置２は、ユーザＵが送信した回答が不正解の場合、すなわち追加認証に失敗した場合（Ｓ３０のＮｏ）、本認証処理は終了する。Ｕが送信した回答が正解の場合、すなわち追加認証に成功した場合（Ｓ３０のＹｅｓ）、認証装置２は追加認証に成功したことを示す情報を評価装置１に通知する（Ｓ３２）。続いて、認証装置２は、端末３を介したユーザＵによるログインを許可し（Ｓ３４）、ユーザＵの端末３にウェブサイトを提供する（Ｓ３６）。この結果、端末３は、認証装置２が提供するウェブサイトのサービスを享受することができる（Ｓ３８）。

認証装置２から追加認証に成功したことを示す情報を受け取った場合（Ｓ４０のＹｅｓ）、評価装置１は、認証成功リストを更新する（Ｓ４２）。認証装置２から追加認証に成功したことを示す情報を受け取らない場合（Ｓ４０のＮｏ）、評価装置１は認証成功リストを更新しない。

認証装置２は、最終的にユーザＵのログインを許可する場合、ユーザＵのログインを許可したことを示す情報を評価装置１に通知する（Ｓ４４）。評価装置１は、認証装置２からユーザＵのログインを許可したことを示す情報を受け取ると、ユーザＵのユーザ識別子に対応するハッシュ値に関連付けて、ログイン環境データベースを更新する（Ｓ４６）。以上の処理を繰り返すことにより、実施の形態に係るユーザ認証システムＳは、ユーザ認証処理を継続する。

＜実施の形態に係るユーザ認証システムＳが奏する効果＞
以上説明したように、実施の形態に係るユーザ認証システムＳによれば、個人情報の保護に配慮したクラウド型のリスクベース認証技術を提供することができる。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されず、その要旨の範囲内で種々の変形及び変更が可能である。例えば、装置の分散・統合の具体的な実施の形態は、以上の実施の形態に限られず、その全部又は一部について、任意の単位で機能的又は物理的に分散・統合して構成することができる。また、複数の実施の形態の任意の組み合わせによって生じる新たな実施の形態も、本発明の実施の形態に含まれる。組み合わせによって生じる新たな実施の形態の効果は、もとの実施の形態の効果を合わせ持つ。

１・・・評価装置
２・・・認証装置
３・・・端末
１０・・・通信部
１１・・・記憶部
１２・・・制御部
２０・・・通信部
２１・・・認証部
２２・・・追加認証部
２３・・・期間管理部
１２０・・・通信制御部
１２０ａ・・・受信部
１２０ｂ・・・送信部
１２１・・・復号部
１２２・・・リスク算出部
１２３・・・リスト管理部
Ｓ・・・ユーザ認証システム

Claims (9)

1. 認証装置が、ユーザによるログインを認証する認証ステップと、
   前記ログインが不正アクセスであるリスクを評価する評価装置が、前記ユーザがログインに使用した端末において生成された前記ユーザを識別するためのユーザ識別子のハッシュ値と、前記端末において暗号化された前記端末のログイン環境を示す情報とを、前記認証装置を介して受信する情報受信ステップと、
   前記評価装置が、前記端末のログイン環境と、前記ハッシュ値に対応するユーザによる過去のログイン環境との類似度に関する統計量に基づいて算出した前記リスクを示す評価値を算出する算出ステップと、
   前記評価装置が、算出した評価値と所定の閾値との比較結果を前記認証装置に通知する評価通知ステップと、
   前記認証装置が、前記比較結果が不正アクセスであるリスクが高いことを示す場合、前記ユーザに対して追加認証を実行する追加認証ステップと、
   を有するユーザ認証方法。
2. 前記認証装置が、前記ユーザの追加認証が成功した場合、前記追加認証が成功したことを示す情報を前記評価装置に通知する成功通知ステップと、
   前記評価装置が、前記追加認証が成功したときの前記端末のログイン環境と前記ハッシュ値との組み合わせを認証成功リストに格納する成功情報記憶ステップと、
   をさらに有する請求項１に記載のユーザ認証方法。
3. 前記評価装置が、前記情報受信ステップにおいて取得した前記ハッシュ値と前記端末のログイン環境との組み合わせが前記認証成功リストに含まれる場合、前記ログインを承認すべきことを示す情報を前記認証装置に通知する承認通知ステップをさらに有する、
   請求項２に記載のユーザ認証方法。
4. 前記認証装置が、前記認証成功リストの掲載期間を示す情報を前記評価装置に送信する掲載期間送信ステップと、
   前記評価装置が、前記認証成功リストに格納してから前記掲載期間を経過した前記端末のログイン環境と前記ハッシュ値との組み合わせを、前記認証成功リストから削除する削除ステップと、
   をさらに有する請求項２又は３に記載のユーザ認証方法。
5. 前記評価装置が、前記所定の閾値から前記評価値を減じた値が小さいほど前記掲載期間が長くなるように、前記掲載期間を延長する延長ステップをさらに有する、
   請求項４に記載のユーザ認証方法。
6. 前記認証装置が、前記ログインの認証に成功したことを条件として、前記ハッシュ値と前記端末のログイン環境とを前記評価装置に送信する情報送信ステップをさらに有する、
   請求項１から５のいずれか一項に記載のユーザ認証方法。
7. ユーザのログイン認証を実行する認証装置から、前記ユーザがログインに使用した端末において生成された前記ユーザを識別するためのユーザ識別子のハッシュ値と、前記端末において暗号化された前記端末のログイン環境を示す情報とを受信する受信部と、
   前記暗号化された前記端末のログイン環境を示す情報を復号する復号部と、
   前記端末のログイン環境と、前記ハッシュ値に対応するユーザによる過去のログイン環境との類似度に関する統計量に基づいて、前記ログインが不正アクセスであるリスクを示す評価値を算出するリスク算出部と、
   算出した評価値と所定の閾値との比較結果を、前記認証装置に送信する送信部と、
   を備える評価装置。
8. コンピュータに、
   ユーザのログイン認証を実行する認証装置から、前記ユーザがログインに使用した端末において生成された前記ユーザを識別するためのユーザ識別子のハッシュ値と、前記端末において暗号化された前記端末のログイン環境を示す情報とを受信する機能と、
   前記暗号化された前記端末のログイン環境を示す情報を復号する機能と、
   前記端末のログイン環境と、前記ハッシュ値に対応するユーザによる過去のログイン環境との類似度に関する統計量に基づいて、前記ログインが不正アクセスであるリスクを示す評価値を算出する機能と、
   算出した評価値と所定の閾値との比較結果を、前記認証装置に送信する機能と、
   を実現させるプログラム。
9. ユーザが使用する端末を介して前記ユーザによるログインを認証する認証装置と、
   前記ログインが不正アクセスであるリスクを評価する評価装置と、
   を備えるユーザ認証システムであって、
   前記認証装置は、
   前記端末及び前記評価装置とネットワークを介して通信する通信部と、
   前記ユーザが使用する端末を介して前記ユーザによるログインを認証する認証部と、
   を備え、
   前記評価装置は、
   前記端末において生成された前記ユーザを識別するためのユーザ識別子のハッシュ値と、前記端末において暗号化された前記端末のログイン環境を示す情報とを、前記ネットワークを介して前記認証装置から受信する受信部と、
   前記暗号化された前記端末のログイン環境を示す情報を復号する復号部と、
   前記端末のログイン環境と、前記ハッシュ値に対応するユーザによる過去のログイン環境との類似度に関する統計量に基づいて算出した前記リスクを示す評価値を算出するリスク算出部と、
   算出した評価値と所定の閾値との比較結果を、前記ネットワークを介して前記認証装置に送信する送信部と、
   を備え、
   前記認証装置は、
   前記評価装置から取得した比較結果において不正アクセスであるリスクが高いことが示されている場合、前記ユーザに対して追加認証を実行する追加認証部をさらに備える、
   ユーザ認証システム。
   
   

Images