JP2022047506A - Information processing apparatus and control method for the same and program, and system - Google Patents
Information processing apparatus and control method for the same and program, and system Download PDFInfo
- Publication number
- JP2022047506A JP2022047506A JP2021136656A JP2021136656A JP2022047506A JP 2022047506 A JP2022047506 A JP 2022047506A JP 2021136656 A JP2021136656 A JP 2021136656A JP 2021136656 A JP2021136656 A JP 2021136656A JP 2022047506 A JP2022047506 A JP 2022047506A
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- information
- region
- user
- client terminal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Information Transfer Between Computers (AREA)
Abstract
Description
本発明は、インターネットを介したクライアント端末から受信したリージョン特定要求に対する応答技術に関するものである。 The present invention relates to a technique for responding to a region specifying request received from a client terminal via the Internet.
近年、インターネット上に展開されたクラウドサービスの利用が拡大している。クラウドサービスでは、サーバやネットワーク機器などのＩＴ機器をデータセンターと呼ばれる施設に集約して設置、運用し、利用者にＷｅｂアプリケーションサービスを提供している。データセンターは国や地域ごとに設置されており、ワールドワイドにサービスを提供する企業は、必要に応じて複数のデータセンターに同種のサービスを配備している。 In recent years, the use of cloud services deployed on the Internet has been expanding. In cloud services, IT devices such as servers and network devices are centrally installed and operated in facilities called data centers, and Web application services are provided to users. Data centers are set up in each country or region, and companies that provide services worldwide deploy similar services to multiple data centers as needed.
利用者のユーザＩＤ、パスワード、並びに、メールアドレスと言ったデータは、個人情報保護の観点から、利用者がアクセスするデータセンターごとに独立して管理される。利用者は、物理的な地域や法制度に応じてアクセスするデータセンターを決めることになるが、データセンターが異なるとデータセンターに配備されたサービスサイトにアクセスするためのＵＲＬも異なる。 Data such as a user's user ID, password, and e-mail address are managed independently for each data center accessed by the user from the viewpoint of personal information protection. The user decides the data center to access according to the physical area and the legal system, but different data centers have different URLs for accessing the service sites deployed in the data centers.
かかる点に対し、特許文献１には、利用者が共通のＵＲＬでサービスにアクセスできるよう、統合サーバでユーザが登録されているリージョンを特定し、特定されたリージョンの認証サーバに対してＷｅｂクライアントが認証要求を送信する方法が開示されている。 In response to this point, Patent Document 1 specifies a region in which a user is registered on an integrated server so that a user can access a service with a common URL, and a Web client is used for an authentication server in the specified region. Discloses how to send an authentication request.
上記の通り、統合サーバはユーザＩＤの登録されているリージョンを特定し、Ｗｅｂクライアントに応答する。また、統合サーバは、未登録のユーザＩＤの場合には、リージョンを特定できないので、何らかのエラーを返すことになる。悪意の或る者は、適当なユーザＩＤで統合サーバにアクセスした場合に、統合サーバからの応答内容に基づき、利用したユーザＩＤの登録の有無を判別可能となる。したがって、登録されている場合には、そのユーザＩＤを用いてパスワード総当たり攻撃に利用されるなどの、セキュリティ上の問題がある。 As described above, the integrated server identifies the region where the user ID is registered and responds to the Web client. Further, the integrated server cannot specify the region in the case of an unregistered user ID, and therefore returns some error. When a malicious person accesses the integrated server with an appropriate user ID, it is possible to determine whether or not the used user ID is registered based on the response content from the integrated server. Therefore, if it is registered, there is a security problem such as being used for a password brute force attack using the user ID.
本発明は、上述した問題を解決するためになされたものであり、統合サーバのリージョン特定応答によるユーザＩＤの登録有無の判別を困難にし、セキュリティリスクを低減する技術を提供しようとするものである。 The present invention has been made to solve the above-mentioned problems, and an object of the present invention is to provide a technique for making it difficult to determine whether or not a user ID is registered by a region-specific response of an integrated server and reducing a security risk. ..
この課題を解決するため、例えば本発明の情報処理装置は以下の構成を備える。すなわち、
インターネットを介したクライアント端末から受信したリージョン特定要求に対し、該当するリージョンを表すリージョン情報を前記クライアント端末に送信する情報処理装置であって、
インターネットと通信する通信手段と、
ユーザ情報とリージョン情報とが関連付けられたマッピング情報を管理する管理手段と、
前記通信手段を介して、クライアント端末からユーザを特定するユーザ情報を含むリージョン特定要求を受信した場合、前記管理手段のマッピング情報を照合する照合手段と、
該照合手段の照合結果が、該当するユーザ情報が前記マッピング情報に存在することを示す場合は、対応するリージョン情報を応答として前記クライアント端末に送信し、
前記照合手段の照合結果が、該当するユーザ情報が前記マッピング情報に存在しないことを示す場合は、虚偽のリージョン情報を応答として前記クライアント端末に送信する応答手段とを有する。
In order to solve this problem, for example, the information processing apparatus of the present invention has the following configuration. That is,
An information processing device that transmits region information representing a corresponding region to the client terminal in response to a region identification request received from a client terminal via the Internet.
Communication means to communicate with the Internet and
A management means for managing mapping information associated with user information and region information,
When a region identification request including user information for identifying a user is received from a client terminal via the communication means, a collation means for collating the mapping information of the management means and a collation means.
When the collation result of the collation means indicates that the corresponding user information exists in the mapping information, the corresponding region information is transmitted to the client terminal as a response.
When the collation result of the collation means indicates that the corresponding user information does not exist in the mapping information, the collation means has a response means for transmitting false region information as a response to the client terminal.
本発明によれば、ユーザＩＤとリージョンのマッピング情報を管理する統合サーバとして機能し、そして、リージョン特定要求した要求元でのユーザＩＤの登録有無の判別を困難にし、セキュリティリスクを低減させることが可能となる。 According to the present invention, it functions as an integrated server that manages mapping information between a user ID and a region, makes it difficult to determine whether or not a user ID is registered at a request source that requests region identification, and reduces security risk. It will be possible.
以下、添付図面を参照して実施形態を詳しく説明する。尚、以下の実施形態は特許請求の範囲に係る発明を限定するものでない。実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが発明に必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。さらに、添付図面においては、同一若しくは同様の構成に同一の参照番号を付し、重複した説明は省略する。 Hereinafter, embodiments will be described in detail with reference to the accompanying drawings. The following embodiments do not limit the invention according to the claims. Although a plurality of features are described in the embodiment, not all of the plurality of features are essential for the invention, and the plurality of features may be arbitrarily combined. Further, in the attached drawings, the same or similar configurations are given the same reference numbers, and duplicate explanations are omitted.
［第１の実施形態］
本実施形態に係る情報処理システムのネットワーク構成例について、図１のブロック図を用いて説明する。
[First Embodiment]
An example of a network configuration of an information processing system according to this embodiment will be described with reference to the block diagram of FIG.
システムは、インターネット１００に接続されるＷｅｂクライアント１０１、統合サーバ１３０、及び、データセンター１１０、１２０を有する。Ｗｅｂクライアント１０１はＷｅｂブラウザの機能を搭載したクライアント端末であり、ｃｏｏｋｉｅ等のＷｅｂ技術を利用することができる。データセンター１１０、１２０は互いに独立している。実施形態では、便宜上、データセンターが設置されている地域を元にした識別名でデータセンターを区別することとし、以降、データセンター１１０をＵＳリージョン、データセンター１２０をＥＵリージョンと呼称する。
The system has a
ＵＳリージョン１１０内のコンピュータネットワーク１１１には、リバースプロキシサーバ１１２、認証サーバ１１３、リソースサーバ１１４が接続されている。また、ＥＵリージョン１２０内のコンピュータネットワーク１２１には、リバースプロキシサーバ１２２、認証サーバ１２３、リソースサーバ１２４が接続されている。なお、リージョンとは国、地域と言ったある一定の範囲を指す用語であり、リージョンの範囲に限定はない。ＵＳリージョン１１０とＥＵリージョン１２０には同様のサーバ構成が構築されている。リバースプロキシサーバ１１２および１２２は、外部からのアクセス要求をネットワーク内部のサーバに振り分ける役割を持つ。例えば、リバースプロキシサーバは、ＵＲＬのパス名から認証サーバへ振り分けるのか、リソースサーバへ振り分けるのかを判断する。リバースプロキシサーバ１１２と１２２はそれぞれリージョン固有の異なるドメイン名が割り当てられ、ＵＲＬのドメイン名も異なる。従って、アクセスはリージョン毎に分離されることになる。Ｗｅｂクライアント１０１からリバースプロキシサーバ１１２へのアクセスは認証サーバ１１３およびリソースサーバ１１４に振り分けられる。一方、Ｗｅｂクライアント１０１からリバースプロキシサーバ１２２へのアクセスは、認証サーバ１２３およびリソースサーバ１２４に振り分けられる。また、リバースプロキシサーバ１１２および１２２がアクセス要求を受信する。このため、認証サーバ１１３とリソースサーバ１１４のドメイン名およびドメインは同じになり、同様に認証サーバ１２３とリソースサーバ１２４のドメイン名およびドメインも同じになる。認証サーバ１１３および１２３は、Ｗｅｂクライアント１０１からの要求に対して認証を行う。リソースサーバ１１４は認証サーバ１１３に認証されたことに応じてＷｅｂアプリケーションサービスを提供する。また、リソースサーバ１２４は、認証サーバ１２３に認証されたことに応じてＷｅｂアプリケーションサービスを提供する。
A
統合サーバ１３０は、ワールドワイドで共通のＵＲＬを受け付けるために用意された、Ｗｅｂクライアント１０１と通信可能なサーバである。統合サーバ１３０は、ＵＳリージョン１１０やＥＵリージョン１２０とは別のデータセンターに配備されてもよいし、ＵＳリージョン１１０あるいはＥＵリージョン１２０に配備されてもよい。また、統合サーバを複数のデータセンターに配備し、ＧｅｏＤＮＳ（不図示）を用いて共通のＵＲＬを付与するようにしてもよい。ＧｅｏＤＮＳとはアクセスを要求しているクライアントからネットワーク的に近いサーバへ要求を転送する仕組みである。例えばＷｅｂクライアント１０１が統合サーバの共通ＵＲＬへアクセスを要求した場合であって、Ｗｅｂクライアント１０１の配置位置がネットワーク上におけるＵＳリージョン１１０に近い場合、ＵＳリージョン１１０に配備された統合サーバ１３０に要求が転送される。
The
Ｗｅｂクライアント１０１、各種サーバは、情報処理装置としての基本的な構成を有する。図２は、情報処理装置が有するハードウェア構成を示している。
The
情報処理装置は、ＣＰＵ２００、ＲＡＭ２０１、ＲＯＭ２０２、ネットワークインタフェース２０３、外部記憶装置２０４、表示装置２０５、入力装置２０６を備えている。
The information processing device includes a
ＣＰＵ２００は、情報処理装置を構成する各部の動作制御を行うと共に、情報処理装置が行うものとして後述する各種の処理を実行する主体となる。ＲＡＭ２０１は、データや制御情報を一時的に格納するメモリであり、ＣＰＵ２００が各種の処理を実行する際に用いるワークエリアとなる。ＲＯＭ２０２には、情報処理装置の固定の動作パラメータや動作プログラム等が格納される。
The
ネットワークインタフェース２０３は、インターネット１００、コンピュータネットワーク１１１および１２１に接続して通信するための機能を提供するものである。情報処理装置は、このネットワークインタフェース２０３によって、外部装置とデータの送受信を行うことができる。
The
外部記憶装置２０４は、データを記憶する装置であり、データの読み書きを行うためのＩ／Ｏコマンドを受け付けるインタフェースを持つ。外部記憶装置２０４は、ハードディスクドライブ（ＨＤＤ）、ソリッドステートドライブ（ＳＳＤ）、光ディスクドライブ、半導体記憶装置またはその他の記憶装置であってもよい。外部記憶装置２０４は、情報処理装置が行うものとして後述する各処理をＣＰＵ２００に実行させるためのコンピュータプログラムやデータが格納されている。
The
表示装置２０５は、例えば、ＬＣＤ（Liquid Crystal Display）などであり、ユーザに必要な情報を表示する。入力装置２０６は、例えば、キーボードやマウス、タッチパネルなどであり、ユーザから必要な入力を受け付ける。表示装置２０５及び入力装置２０６は、ユーザインタフェースを構成することになる。
The
Ｗｅｂクライアント１０１や各種サーバ（１１２乃至１１４、１２２乃至１２４、１３０）は、上記の通り図２の基本構成を有するが、装置の利用形態に応じた固有の構成を有しても良い。例えばＷｅｂクライアント１０１はスマートフォンであれば、図２の構成に加えて、撮像センサや回線接続の構成を有することになる。ただし、固有な構成の説明は、本実施形態の本質から外れるので、ここでは省略する。
The
次に、本実施形態に係るＷｅｂクライアント１０１の機能構成について、図３のブロック図を用いて説明する。図３に示す構成は、Ｗｅｂクライアント１０１のＣＰＵ２００がＷｅｂクライアントとしてのプログラムを実行した場合の機能構成を表している。
Next, the functional configuration of the
Ｗｅｂクライアント１０１は、表示制御部３００、入力受付部３０１、リージョン特定要求送信部３０２、リージョン特定結果受信部３０３、認証サーバ決定部３０４、認証要求送信部３０５、認証結果受信部３０６を備える。説明の都合上、Ｗｅｂクライアント１０１のハードウェアが、図２の構成であるものとする。
The
表示制御部３００は、表示装置２０５にログイン画面を表示する。また、表示制御部３００は、表示装置２０５に、後述する認証結果に応じてログイン成功画面およびログイン失敗画面を表示する。
The
入力受付部３０１は、表示制御部３００によって表示されたログイン画面に対し、入力装置２０６よりユーザＩＤとパスワードの入力を受け付ける。
The
リージョン特定要求送信部３０２は、入力受付部３０１で受け付けたユーザＩＤをユーザ情報として含むリージョン特定要求を統合サーバ１３０へ送信する。
The region specifying
リージョン特定結果受信部３０３は、統合サーバ１３０より送信されたリージョン特定結果を受信する。
The region identification
認証サーバ決定部３０４は、リージョン特定結果受信部３０３によって受信したリージョンに基づき、認証要求を送信する認証サーバを決定する。
The authentication
認証要求送信部３０５は、入力受付部３０１で受け付けたユーザＩＤとパスワードに基づく認証要求を、認証サーバ決定部３０４によって決定された認証サーバへ送信する。
The authentication
認証結果受信部３０６は、認証サーバより送信された認証結果を受信する。
The authentication
次に、本実施形態に係るＷｅｂクライアント１０１のログイン処理時の処理手順を、図４のフローチャートを参照して説明する。
Next, the processing procedure at the time of login processing of the
まず、Ｓ４００にて、表示制御部３００は、統合サーバ１３０よりログイン画面を取得し、表示装置２０５に表示する。表示されるログイン画面の一例を図５に示す。ログイン画面５００は、ユーザがユーザＩＤ入力領域５０１、パスワード入力領域５０２、入力した情報を確定するボタン５０３から構成される。なお、ログイン画面は統合サーバ１３０からの取得に限らず、例えば外部記憶装置２０４より取得しても構わない。
First, in S400, the
次に、Ｓ４０１にて、入力受付部３０１は、ユーザから、ログイン画面に対するユーザＩＤとパスワードの入力を受け付ける（Ｓ４０１）。ここで、ユーザは入力装置２０６を使って、ログイン画面５００のユーザＩＤ入力領域５０１にユーザＩＤを、パスワード入力領域５０２にパスワードを入力し、ボタン５０３を押下することにより入力を確定する。
Next, in S401, the
ユーザＩＤとパスワードの入力が確定されたことに応じて、Ｓ４０２にて、リージョン特定要求送信部３０２は、リージョン特定要求を統合サーバ１３０へ送信する。ここで、リージョン特定要求には、入力受付部３０１が受け付けたユーザＩＤが少なくとも含まれる。統合サーバ１３０は、受信したリージョン特定要求に基づいて該ユーザＩＤが登録されているリージョンを特定し、Ｗｅｂクライアント１０１に応答する。統合サーバ１３０によるリージョンの特定する処理については後述する。
Upon confirming the input of the user ID and password, the region identification
Ｓ４０３にて、リージョン特定結果受信部３０３は、統合サーバ１３０からのリージョン特定結果を受信する。
In S403, the region identification
次に、Ｓ４０４にて、認証サーバ決定部３０４は、受信したリージョン特定結果に基づき、認証要求の送信対象となる認証サーバを決定する。例えば、該ユーザＩＤが登録されていると特定されたリージョンがＵＳリージョン１１０であった場合、認証サーバ決定部３０４は、ＵＳリージョン１１０の認証サーバ１１３を認証要求の送信対象として決定する。同様に、該ユーザＩＤが登録されていると特定されたリージョンがＥＵリージョン１２０であった場合、認証サーバ決定部３０４は、ＥＵリージョン１２０の認証サーバ１２３を認証要求の送信対象として決定する。
Next, in S404, the authentication
Ｓ４０５にて、認証要求送信部３０５は、送信対象として決定された認証サーバに認証要求を送信する。この認証要求には、入力受付部３０１が受け付けたユーザＩＤとパスワードが少なくとも含まれる。送信時に指定するＵＲＬは、ＵＳリージョン１１０の認証サーバ１１３が認証要求の送信対象として決定された場合は、ＵＳリージョン１１０に固有のドメイン名を持ったＵＲＬとなる。また、ＥＵリージョン１２０の認証サーバ１２３が認証要求の送信対象として決定された場合は、ＥＵリージョン１２０に固有のドメイン名を持ったＵＲＬとなる。認証サーバは、受信した認証要求に含まれるユーザＩＤおよびパスワードに基づいてユーザを認証し、要求元のＷｅｂクライアント１０１に認証結果を応答する。
In S405, the authentication
Ｓ４０６にて、認証結果受信部３０６は、認証サーバから送信された認証結果を受信する。そして、Ｓ４０７にて、認証結果受信部３０６は、受信した認証結果が「成功」、「失敗」のいずれであるかを判定する。成功であった場合（Ｓ４０７がＹＥＳの場合）、Ｓ４０８にて、表示制御部３００は表示装置２０５にログイン成功画面を表示する（Ｓ４０８）。また、認証サーバからの応答には、認証トークンをＣｏｏｋｉｅに設定する指示が含まれる。一方、認証結果が「失敗」である場合（Ｓ４０７でＮＯの場合）、Ｓ４０９にて、表示制御部３００は表示装置２０５にログイン失敗画面を表示する。
In S406, the authentication
次に、本実施形態に係る統合サーバ１３０の機能構成について、図６のブロック図を用いて説明する。図６に示す構成は、統合サーバ１３０のＣＰＵ２００が統合サーバとして機能するためのプログラムを実行した場合の機能構成を表している。説明の都合上、統合サーバ１３０のハードウェアが、図２の構成であるものとする。
Next, the functional configuration of the
統合サーバ１３０は、リージョン特定要求受信部６００、ユーザＩＤ変換部６０１、マッピング情報管理部６０２、マッピング情報照合部６０３、リージョン決定部６０４、リージョン特定結果送信部６０５を備える。
The
リージョン特定要求受信部６００は、ネットワークインタフェース２０３を介して、Ｗｅｂクライアント１０１より送信されるリージョン特定要求を受信する。
The region specifying
ユーザＩＤ変換部６０１は、リージョン特定要求に含まれるユーザＩＤをハッシュ値に変換する。
The user
マッピング情報管理部６０２は、各リージョンに登録されているユーザＩＤのハッシュ値と該ユーザが登録されているリージョンとのマッピング情報を、外部記憶装置２０４に格納保持し、管理する。ユーザＩＤのハッシュ値を保管するのは、個人情報になり得るユーザＩＤを保護するためである。
The mapping
マッピング情報照合部６０３は、ユーザＩＤ変換部によって算出されたユーザＩＤのハッシュ値をキーにしてマッピング情報管理部６０２で照合（若しくは検索）し、存在したか否かの判定（照合結果）、並びに存在した場合には該当するリージョンを特定する。
The mapping
リージョン決定部６０４は、リージョン特定要求に含まれるユーザＩＤに基づき、虚偽のリージョンを決定する。
The
リージョン特定結果送信部６０５は、マッピング情報照合部６０３によって特定されたリージョンまたはリージョン決定部６０４によって決定された虚偽のリージョンのいずれかを表すリージョン情報を、リージョン特定結果として、ネットワークインタフェース２０３を介して、Ｗｅｂクライアント１０１に送信する。
The region identification
次に、本実施形態に係る統合サーバ１３０のリージョン特定処理を、図７のフローチャートを用いて説明する。
Next, the region specifying process of the
まず、Ｓ７００にて、リージョン特定要求受信部６００は、Ｗｅｂクライアント１０１より送信されたリージョン特定要求を受信する。そして、Ｓ７０１にて、ユーザＩＤ変換部６０１が、受信したリージョン特定要求に含まれるユーザＩＤのハッシュ値を算出する。
First, in S700, the region specifying
次に、Ｓ７０２にて、マッピング情報照合部６０３が、Ｓ７０１で得られたユーザＩＤのハッシュ値を基に、マッピング情報管理部６０２からリージョンのマッピング情報を照合する。
Next, in S702, the mapping
マッピング情報管理部６０２で管理される、ユーザＩＤのハッシュ値とリージョンのマッピング情報の例を図８に示す。第１フィールドの“user_id_hash”は、ユーザＩＤのハッシュ値を、第２フィールドの“region”はユーザの登録リージョンである。前述のように、ユーザＩＤをハッシュ化して管理するのは、ユーザＩＤが個人情報に該当する場合があるためである。
FIG. 8 shows an example of mapping information between the hash value of the user ID and the region managed by the mapping
Ｓ７０３にて、マッピング情報照合部６０３は、Ｓ７０１の算出で得たハッシュ値に一致するハッシュ値がマッピング情報に存在するか否かを判定する。換言すれば、マッピング情報照合部６０３は、ユーザＩＤが登録されているか否かを判定する。
In S703, the mapping
一致するハッシュ値が見つかった場合（Ｓ７０３がＹＥＳの場合）、Ｓ７０４にて、リージョン特定結果送信部６０５が、一致したハッシュ値に対応付けられたリージョンをリージョン特定結果としてＷｅｂクライアント１０１に送信する。
When a matching hash value is found (YES in S703), in S704, the region identification
一方、マッピング情報が見つからない場合（Ｓ７０３でＮＯの場合）、Ｓ７０５にて、リージョン決定部６０４は虚偽のリージョンを決定する。そして、Ｓ７０６にて、リージョン特定結果送信部６０５が、虚偽のリージョンをリージョン特定結果としてＷｅｂクライアント１０１に送信する。
On the other hand, when the mapping information is not found (NO in S703), the
ここで、Ｓ７０５における虚偽のリージョンの決定方法を、図９のフローチャートを用いて説明する。 Here, a method of determining a false region in S705 will be described with reference to the flowchart of FIG.
まず、リージョン決定部６０４は、Ｓ９００にて、リージョン特定要求に含まれていたユーザＩＤにソルト（所定の値もしくは所定の文字列）を付与する。そして、リージョン決定部６０４は、Ｓ９０１にて、付与したその文字列を入力としたハッシュ関数の出力をハッシュ値として算出する。そして、リージョン決定部６０４は、Ｓ９０２にて、算出して得たハッシュ値を数値として見立てて、リージョンの総数で除算し、その剰余値を求める。次に、リージョン決定部６０４は、Ｓ９０３にて、その剰余値に対応したリージョンを虚偽のリージョンとして決定する。
First, the
例えば、本実施形態においては、リージョンの総数は２であり、剰余値が０であればＵＳリージョン、剰余値が１であればＥＵリージョンを虚偽のリージョンとして決定する。これにより、ユーザＩＤから虚偽のリージョンが一意に定まるため、同じユーザＩＤについてリージョン特定要求を複数回送信されても毎回同じリージョン特定結果が応答される。よって、ユーザＩＤがいずれかのリージョンに登録されているか否かの判別を困難にすることができる。 For example, in the present embodiment, the total number of regions is 2, and if the remainder value is 0, the US region is determined, and if the remainder value is 1, the EU region is determined as a false region. As a result, a false region is uniquely determined from the user ID, so that the same region identification result is returned each time even if a region identification request is transmitted multiple times for the same user ID. Therefore, it is possible to make it difficult to determine whether or not the user ID is registered in any region.
なお、ユーザＩＤから虚偽のリージョンを一意に決定する方法はこれに限らず、例えば、Ｓ９００のソルトの付与は省略しても構わないし、Ｓ９０１でハッシュ値を算出する代わりに、Ｓ７０１で算出されたユーザＩＤのハッシュ値を代用しても構わない。また、ユーザＩＤがいずれかのリージョンに登録されると、その前後で統合サーバ１３０が応答するリージョン特定結果が虚偽のリージョンから真のリージョンに変化するため、この変化を元にユーザＩＤの登録されたリージョンを判別される可能性がある。これを解決するため、一部または全てのユーザＩＤに対してソルトやハッシュ関数、ハッシュ値の算出アルゴリズムを定期的に変更しても構わない。
The method of uniquely determining a false region from the user ID is not limited to this, and for example, the addition of the salt of S900 may be omitted, and the hash value is calculated in S701 instead of being calculated in S901. The hash value of the user ID may be substituted. Also, when the user ID is registered in any region, the region identification result that the
以上説明したように、本実施形態の統合サーバ１３０は、いずれのリージョンにも登録されていないユーザＩＤについてのリージョン特定要求に対して、ユーザＩＤから一意に定まる虚偽のリージョンを応答する。そのため、要求元（Ｗｅｂクライアント）のユーザに対して、リージョン特定要求によるユーザＩＤの登録有無の判別を困難にすることが可能となる。
As described above, the
なお、本実施形態においては、統合サーバ１３０はリージョン特定結果としてユーザＩＤが登録されているリージョンを送信し、Ｗｅｂクライアント１０１はリージョンから認証サーバを決定するが、これに限定されない。例えば、統合サーバ１３０はリージョン特定結果として、ユーザＩＤが登録されているリージョンの認証サーバにアクセスするためのＵＲＬおよびドメインを送信しても構わない。これにより、Ｗｅｂクライアント１０１による認証サーバ決定処理を省略し、統合サーバ１３０で認証要求の送信先を制御することが可能となる。
In the present embodiment, the
また、本実施形態においては、ユーザが登録されているリージョンを特定するが、これに限定されない。例えば、デバイスやクライアントサービスの認証・認可サーバを決定するために、デバイスやクライアントサービスの登録されているリージョンを特定しても構わない。また、Ｗｅｂクライアントが送信する認証要求の認証対象を制御するために、ユーザが登録されている組織やレルムを特定しても構わない。 Further, in the present embodiment, the region in which the user is registered is specified, but the region is not limited to this. For example, in order to determine the authentication / authorization server of the device or client service, the region where the device or client service is registered may be specified. Further, in order to control the authentication target of the authentication request transmitted by the Web client, the organization or realm in which the user is registered may be specified.
［第２の実施形態］
上記第１の実施形態では、統合サーバ１３０によるリージョン特定処理において、リージョン特定要求を受信する毎に一意に定まる虚偽のリージョンを決定する方法を説明した。
[Second Embodiment]
In the first embodiment, the method of determining a false region uniquely determined each time a region identification request is received in the region identification process by the
本第２の実施形態では、同じユーザＩＤについてリージョン特定要求を複数回送信されても毎回同じリージョン特定結果を応答する例を説明する。そして、本第２の実施形態では、統合サーバ１３０は、第１の実施形態で示したマッピング情報に加えて、ユーザＩＤと虚偽のリージョン情報を関連付けた虚偽用マッピング情報を利用する例を説明する。なお、ネットワーク構成例、ハードウェア構成例、機能構成例、Ｗｅｂクライアント１０１によるログイン処理については、第１の実施形態と同様のため説明を省略する。
In the second embodiment, an example will be described in which the same region identification result is returned each time even if the region identification request is transmitted a plurality of times for the same user ID. Then, in the second embodiment, an example will be described in which the
本第２の実施形態における虚偽リージョン決定処理（図７のＳ７０５）の詳細を、図１０のフローチャートを参照して説明する。 The details of the false region determination process (S705 in FIG. 7) in the second embodiment will be described with reference to the flowchart of FIG.
まず、Ｓ１０００にて、マッピング情報照合部６０３は、Ｓ７０１で算出されたユーザＩＤのハッシュ値をキーに、マッピング情報管理部６０２における虚偽用マッピング情報を照合する。マッピング情報管理部６０２で管理される虚偽用マッピング情報（外部記憶装置２０４に記憶保持される）の例を図１１に示す。第１フィールドの“user_id_hash”はユーザＩＤのハッシュ値を、第２フィールドの“fake_region”は過去に応答したユーザＩＤのハッシュ値に対応する虚偽のリージョン情報である。
First, in S1000, the mapping
Ｓ１００１にて、マッピング情報照合部６０３は、虚偽用マッピング情報に、一致するハッシュ値があったか否かを判定する。
In S1001, the mapping
存在した場合（Ｓ１００１がＹＥＳの場合）、リージョン決定部６０４は、Ｓ１００２にて、見つかったハッシュ値に対応付けられたリージョンを虚偽のリージョンとして決定する。
If it exists (YES in S1001), the
一方、一致したハッシュ値が存在しなかった場合（Ｓ１００１がＮＯの場合）、リージョン決定部６０４は、Ｓ１００３にて、リージョンを例えば無作為に決定する。そして、Ｓ１００４にて、マッピング情報管理部６０２が、Ｓ１００３で決定された虚偽のリージョンとユーザＩＤのハッシュ値を虚偽用マッピング情報に追加登録する。
On the other hand, when the matching hash value does not exist (when S1001 is NO), the
これにより、所定のユーザＩＤに対する虚偽のリージョンが一意に定まるため、同じユーザＩＤについてリージョン特定要求を複数回送信されても毎回同じリージョン特定結果が応答される。よって、ユーザＩＤがいずれかのリージョンに登録されているか否かの判別を困難にすることができる。なお、Ｓ１００３においてリージョンを無作為に決定する方法を説明したが、これに限らない。 As a result, a false region for a predetermined user ID is uniquely determined, so that the same region identification result is returned each time even if a region identification request is transmitted multiple times for the same user ID. Therefore, it is possible to make it difficult to determine whether or not the user ID is registered in any region. Although the method of randomly determining the region in S1003 has been described, the present invention is not limited to this.
例えば、Ｓ７００で受信したリージョン特定要求の送信元ＩＰアドレスを解析し、送信元から地理的に遠いリージョンをマッピング情報として記憶するようにしても良い。一般に、物理的な距離が大きくなると通信速度が低下する傾向が高いので、攻撃者による認証サーバへの認証要求送信の頻度を低下させることが可能となる。 For example, the source IP address of the region identification request received by S700 may be analyzed, and the region geographically distant from the source may be stored as mapping information. In general, as the physical distance increases, the communication speed tends to decrease, so that it is possible to reduce the frequency of sending an authentication request to the authentication server by an attacker.
このように、本実施形態に係る情報処理システムによれば、統合サーバ１３０が、いずれのリージョンにも登録されていないユーザＩＤについてのリージョン特定要求に対して、ユーザＩＤから一意に定まる虚偽のリージョンを応答する。そのため、リージョン特定要求によるユーザＩＤの登録有無の判別を困難にすることが可能となる。
As described above, according to the information processing system according to the present embodiment, the
［第３の実施形態］
上記第１の実施形態では、統合サーバ１３０によるリージョン特定処理において、リージョン特定要求を受信する毎に一意に定まる虚偽のリージョンを決定する方法を説明した。
[Third Embodiment]
In the first embodiment, the method of determining a false region uniquely determined each time a region identification request is received in the region identification process by the
本第３の実施形態では、統合サーバが虚偽のリージョンとして、認証処理を行わない疑似認証サーバのリージョンを返却する方法について説明する。なお、ハードウェア構成例については、第１の実施形態と同様のため説明を省略する。 In the third embodiment, a method will be described in which the integrated server returns the region of the pseudo-authentication server that does not perform the authentication process as a false region. Since the hardware configuration example is the same as that of the first embodiment, the description thereof will be omitted.
本実施形態に係る情報処理システムのネットワーク構成例について、図１２のブロック図を用いて説明する。 An example of the network configuration of the information processing system according to the present embodiment will be described with reference to the block diagram of FIG.
本実施形態では、第１の実施形態のネットワーク構成に加えて、データセンター１２４０が追加されており、以降、データセンター１２４０をＡＮリージョンと呼称する。ＡＮリージョン１２４０内のコンピュータネットワーク１２４１には疑似認証サーバ１２４２が接続されている。
In this embodiment, in addition to the network configuration of the first embodiment, a
本実施形態において、疑似認証サーバはＡＮリージョン１２４０にのみ存在するが、これに限定するものではない。疑似認証サーバは複数のリージョンに存在してよく、また、認証サーバが存在するリージョンにいてもよい。
In this embodiment, the pseudo-authentication server exists only in the
次に、本実施形態に係る統合サーバ１３０の機能構成について、図１３のブロック図を用いて説明する。図１３に示す構成は、統合サーバ１３０のＣＰＵ２００が統合サーバとして機能するためのプログラムを実行した場合の機能構成を表している。説明の都合上、統合サーバ１３０のハードウェアが、図２の構成であるものとする。
Next, the functional configuration of the
統合サーバ１３０は、第１の実施形態の構成に加えて、攻撃者判定部１３０６を備える。１３００～１３０５までは６００～６０５と同様のため説明を省略する。攻撃者判定部１３０６では、Ｗｅｂクライアント１０１より送信されたリージョン特定要求とその付帯情報をもとに、Ｗｅｂクライアントが攻撃者であるかどうかを判定することを行う。
The
次に、本実施形態に係る疑似認証サーバ１２４２の機能構成について、図１４のブロック図を用いて説明する。図１４に示す構成は、疑似認証サーバ１２４２のＣＰＵ２００が疑似認証サーバとして機能するためのプログラムを実行した場合の機能構成を表している。説明の都合上、疑似認証サーバ１２４２のハードウェアが、図２の構成であるものとする。
Next, the functional configuration of the
疑似認証サーバ１２４２は、認証要求受信部１４００、疑似認証部１４０１、発行部１４０２、認証結果送信部１４０３を備える。
The
認証要求受信部１４００は、ネットワークインタフェース２０３を介して、Ｗｅｂクライアント１０１より送信される認証要求を受信する。
The authentication
疑似認証部１４０１は、認証要求受信部１４００で受信した認証要求に対して、疑似認証を行う。疑似認証は常に認証失敗を返すだけの処理としてもよく、認証要求の形式不正のみ、通常の認証処理と同様に検証してもよい。
The
例えば認証サーバ１１３、１１４が認証要求のユーザＩＤに対して特定文字を含む制約を持ち、認証要求のユーザＩＤに特定文字が含まれていない場合は、形式不正のエラーをＷｅｂクライアントに対して応答するとする。その場合、疑似認証部１４０１は、認証サーバと同様に認証要求のユーザＩＤに対して特定文字を含んでいるか検証を行い、含まれていない場合は、形式不正のエラーをＷｅｂクライアントに対して応答する。
For example, if the
発行部１４０２は、疑似認証部１４０１の結果をもとに疑似認証結果を発行する。認証失敗の場合は認証サーバ１１３、１１４における認証失敗時の認証結果と同じ疑似認証結果を発行する。または、疑似認証結果として、認証サーバ１１３、１１４の認証成功時に発行される認証トークンと同様の形式を持つ、疑似認証トークンを発行してもよい。疑似認証トークンは、通常の認証トークンと同様にＷｅｂクライアント１０１でＣｏｏｋｉｅに設定されるが、利用はできないトークンである。
The
認証結果送信部１４０３は、発行部１４０２によって発行された疑似認証結果を、ネットワークインタフェース２０３を介して、Ｗｅｂクライアント１０１に送信する。
The authentication
次に、本実施形態に係る統合サーバ１３０のリージョン特定処理を、図１５のフローチャートを用いて説明する。
Next, the region specifying process of the
Ｓ１５００からＳ１５０２までは、第一の実施形態におけるＳ７００からＳ７０２までと同様のため説明を省略する。 Since S1500 to S1502 are the same as S700 to S702 in the first embodiment, the description thereof will be omitted.
Ｓ１５０３にて、攻撃者判定部１３０６はＷｅｂクライアント１０１が攻撃者か否かを判定する。判定処理にはリージョン特定要求とともに受信した付帯情報が利用される。例えば、リージョン特定要求の送信元情報であるＩＰアドレスを付帯情報として取得し、特定のＩＰアドレスまたはＩＰアドレス範囲であった場合に攻撃者と判定する。また、正規のＷｅｂクライアント１０１にのみ、リージョン特定要求とともに付帯情報として特定の文字列を送信させ、その付帯情報の有無で攻撃者か否かを判定することもできる。
In S1503, the
さらに、攻撃者判定部１３０６はマッピング情報照合部１３０３の照合結果と、リージョン特定要求の付帯情報とを関連付けてリージョン特定要求履歴として保存し、攻撃者判定に利用してもよい。付帯情報であるＩＰアドレスと照合結果を関連付けて保存し、同一ＩＰアドレスで所定時間内に一定回数以上の照合失敗履歴が存在する場合、当該ＩＰアドレスからのリージョン特定要求は攻撃者であると判定してもよい。
Further, the
攻撃者でないと判定された場合（Ｓ１５０３がＮＯの場合）、Ｓ１５０４にて、マッピング情報照合部１３０３は、Ｓ７０３と同様にＳ１５０１の算出で得たハッシュ値がマッピング情報に存在するか否かを判定する。
When it is determined that the person is not an attacker (when S1503 is NO), in S1504, the mapping
一致するハッシュ値が見つかった場合（Ｓ１５０４がＹＥＳの場合）、Ｓ１５０５にて、リージョン特定結果送信部１３０５が、Ｓ７０４と同様にリージョン特定結果をＷｅｂクライアント１０１に送信する。
When a matching hash value is found (YES in S1504), in S1505, the region identification
一方、攻撃者と判定された場合（Ｓ１５０３がＹＥＳの場合）や、マッピング情報が見つからない場合（Ｓ１５０４でＮＯの場合）、Ｓ１５０６にて、リージョン決定部１３０４は虚偽のリージョンを決定する。そして、Ｓ１５０７にて、リージョン特定結果送信部１３０５が、Ｓ７０６と同様に虚偽のリージョンをリージョン特定結果としてＷｅｂクライアント１０１に送信する。
On the other hand, if it is determined to be an attacker (YES in S1503) or if the mapping information cannot be found (NO in S1504), the
ここで、Ｓ１５０６における虚偽のリージョンの決定方法は、図９のフローチャートと同様である。ただしＳ９０２およびＳ９０３にて、認証サーバのリージョンではなく疑似認証サーバのリージョンを利用する。 Here, the method of determining the false region in S1506 is the same as the flowchart of FIG. However, in S902 and S903, the region of the pseudo authentication server is used instead of the region of the authentication server.
リージョン決定部１３０４は、Ｓ９０２にて、算出して得たハッシュ値を数値として見立てて、疑似認証サーバのリージョンの総数で除算し、その剰余値を求める。次に、リージョン決定部１３０４は、Ｓ９０３にて、その剰余値に対応した疑似認証サーバのリージョンを虚偽のリージョンとして決定する。
The
以上説明したように、本実施形態の統合サーバ１３０は、いずれのリージョンにも登録されていないユーザＩＤについてのリージョン特定要求に対して、ユーザＩＤから一意に定まる虚偽のリージョンを応答する。さらに、攻撃者と判定された要求元（Ｗｅｂクライアント）に対しても、虚偽のリージョンを応答する。その際、虚偽のリージョンは疑似認証サーバのリージョンから選択される。そのため、要求元（Ｗｅｂクライアント）のユーザに対して、リージョン特定要求によるユーザＩＤの登録有無の判別を困難にするとともに、疑似認証サーバを利用することで認証サーバに掛かる負担を軽減できる。
As described above, the
［第４の実施形態］
上記第３の実施形態では、統合サーバ１３０によるリージョン特定処理において、認証処理を行わない疑似認証サーバのリージョンを虚偽のリージョンとして返却する方法について説明した。
[Fourth Embodiment]
In the third embodiment, the method of returning the region of the pseudo-authentication server that does not perform the authentication process as a false region in the region identification process by the
本第４の実施形態では、統合サーバはＷｅｂクライアントが攻撃者であるか否かを判定し、認証サーバへ通知することで、認証サーバの認証処理を省略する方法について説明する。なお、ネットワーク構成例、ハードウェア構成例については、第１の実施形態と同様のため説明を省略する。 In the fourth embodiment, a method will be described in which the integrated server determines whether or not the Web client is an attacker and notifies the authentication server to omit the authentication process of the authentication server. Since the network configuration example and the hardware configuration example are the same as those in the first embodiment, the description thereof will be omitted.
次に、本実施形態に係る統合サーバ１３０の機能構成について、図１６のブロック図を用いて説明する。図１６に示す構成は、統合サーバ１３０のＣＰＵ２００が統合サーバとして機能するためのプログラムを実行した場合の機能構成を表している。説明の都合上、統合サーバ１３０のハードウェアが、図２の構成であるものとする。
Next, the functional configuration of the
統合サーバ１３０は、第３の実施形態の構成に加えて、攻撃者情報通知部１６０７を備える。１６００～１６０６までは１３００～１３０６と同様のため説明を省略する。攻撃者情報通知部１３０７では、攻撃者判定部１６０６で攻撃者と判定されたＷｅｂクライアントの情報を、各認証サーバに通知することを行う。通知する情報は攻撃者を特定できる情報であればよく、ＷｅｂクライアントのＩＰアドレスの情報などが利用できる。
The
次に、本実施形態に係る統合サーバ１３０のリージョン特定処理に関しても、図１５のフローチャートと同様であるが、一部の処理において異なるため、その処理についてのみ説明する。
Next, the region specifying process of the
Ｓ１５０３にて、攻撃者判定部１６０６はＷｅｂクライアント１０１が攻撃者か否かを判定する。判定方法は第３の実施形態と同様であるが、攻撃者と判定した場合は、攻撃者情報通知部１６０７が各認証サーバに対して、攻撃者情報を通知する。
In S1503, the
Ｓ１５０６における虚偽のリージョンの決定方法は、図９のフローチャートと同様であり、第１の実施形態と同様に認証サーバの中から虚偽のリージョンを決定する。 The method of determining the false region in S1506 is the same as the flowchart of FIG. 9, and the false region is determined from the authentication server as in the first embodiment.
次に、本実施形態に係る認証サーバ１１３、１１４の機能構成について、図１７のブロック図を用いて説明する。
Next, the functional configurations of the
認証サーバ１１３、１２３はそれぞれ、認証要求受信部１７００、認証情報管理部１７０１、認証部１７０２、発行部１７０３、攻撃者情報利用部１７０４、疑似認証部１７０５、認証結果送信部１７０６を備える。
The
認証要求受信部１７００は、ネットワークインタフェース２０３を介して、Ｗｅｂクライアント１０１より送信される認証要求を受信する。
The authentication
認証情報管理部１７０１は、各認証サーバに登録されているユーザのユーザＩＤとパスワードを関連付けた認証情報を、外部記憶装置２０４に格納保持し、管理する。
The authentication
認証部１７０２は、認証要求受信部１７００によって受信した認証要求と認証情報管理部１７０１が管理する認証情報とを照合してユーザを認証する。
The
発行部１７０３は、ユーザが認証されたことを示す認証トークンを発行する。
Issuing
攻撃者情報利用部１７０４は、統合サーバ１３０より通知された攻撃者情報を格納保持する。それに加えて、認証要求を送信したＷｅｂクライアント１０１が攻撃者であるかどうかを、格納した攻撃者情報をもとに判断する。
The attacker
疑似認証部１７０５は、攻撃者情報利用部１７０４で攻撃者と判定された認証要求に対して、第３の実施形態における統合サーバの疑似認証部１４０１と同様に、疑似認証を行う。その場合、発行部１７０３は、第３の実施形態における統合サーバの発行部１４０２と同様に、疑似認証部１７０５の結果をもとに疑似認証結果を発行する。
The
認証結果送信部１７０６は、発行部１７０３によって発行された認証トークンまたは疑似認証結果を、ネットワークインタフェース２０３を介して、Ｗｅｂクライアント１０１に送信する。
The authentication
次に、本実施形態に係る認証サーバ１１３、１２３の認証処理を、図１８のフローチャートを用いて説明する。
Next, the authentication process of the
まず、Ｓ１８００にて、認証要求受信部１７００は、Ｗｅｂクライアント１０１より送信された認証要求を受信する。
First, in S1800, the authentication
次に、Ｓ１８０１にて、攻撃者情報利用部１７０４が認証要求を送信したＷｅｂクライアント１０１が攻撃者であるか否かを判定する。攻撃者であると判断した場合（Ｓ１８０１でＹＥＳの場合）、Ｓ１８０７に進む。攻撃者でないと判断した場合（Ｓ１８０１でＮＯの場合）は、Ｓ１８０２に進む。
Next, in S1801, the attacker
次に、Ｓ１８０２にて、認証部１７０２が、Ｓ１８００で受信した認証要求に含まれるユーザＩＤ及びパスワードと、認証情報管理部１７０１が管理する認証情報とを照合する。
Next, in S1802, the
該ユーザＩＤが認証情報管理部１７０１に登録されており、パスワードも一致する場合（Ｓ１８０３がＹＥＳの場合）、Ｓ１８０４にて、発行部１７０３が、認証トークンを発行する。そして、Ｓ１８０５にて、認証結果送信部１７０６が、認証トークンを認証結果としてＷｅｂクライアント１０１に送信する。一方、パスワードが一致しない場合（Ｓ１８０３がＮＯの場合）、Ｓ１８０６にて、認証結果送信部１７０６が、認証結果を認証失敗としてＷｅｂクライアント１０１に送信する。
When the user ID is registered in the authentication
次に、Ｓ１８０７にて、疑似認証部１７０５で疑似認証を行うとともに、発行部１７０３にて疑似認証結果を発行する。疑似認証および疑似認証結果の発行は第３の実施形態と同様のため説明を省略する。
Next, in S1807, the
次に、Ｓ１８０８にて、認証結果送信部１７０６は、発行部１４０２によって発行された疑似認証結果を、ネットワークインタフェース２０３を介して、Ｗｅｂクライアント１０１に送信する。
Next, in S1808, the authentication
以上説明したように、本実施形態においては、統合サーバ１３０はＷｅｂクライアント１０１が攻撃者であるか否かを判定し、認証サーバ１１３、１２３へ通知することで、認証サーバの認証処理の代わりに疑似認証をおこなう。これにより、疑似認証サーバを置くことなく、攻撃者のリクエストに対して各認証サーバに掛かる負荷を低減することが可能となる。
As described above, in the present embodiment, the
［第５の実施形態］
上記第１の実施形態では、統合サーバ１３０によるリージョン特定処理において、リージョン特定要求を受信する毎に一意に定まる虚偽のリージョンを決定する方法を説明した。
[Fifth Embodiment]
In the first embodiment, the method of determining a false region uniquely determined each time a region identification request is received in the region identification process by the
本第５の実施形態では、統合サーバに代わって認証サーバがリージョンを特定し応答する例を説明する。なお、ネットワーク構成例、ハードウェア構成例については、第１の実施形態と同様のため説明を省略する。 In the fifth embodiment, an example in which the authentication server identifies and responds to a region on behalf of the integrated server will be described. Since the network configuration example and the hardware configuration example are the same as those in the first embodiment, the description thereof will be omitted.
まず、本第５の実施形態に係るＷｅｂクライアント１０１の機能構成について、図１９のブロック図を用いて説明する。図１９に示す構成は、Ｗｅｂクライアント１０１のＣＰＵ２００がＷｅｂクライアントとしてのプログラムを実行した場合の機能構成を表している。
First, the functional configuration of the
Ｗｅｂクライアント１０１は、表示制御部１９００、入力受付部１９０１、認証サーバ決定部１９０２、認証要求送信部１９０３、認証結果受信部１９０４、認証要求再送信部１９０５を備える。説明の都合上、Ｗｅｂクライアント１０１のハードウェアが、図２の構成であるものとする。
The
表示制御部１９００は、表示装置２０５にログイン画面を表示する。また、表示制御部１９００は、表示装置２０５に、後述する認証結果に応じてログイン成功画面およびログイン失敗画面を表示する。
The
入力受付部１９０１は、表示制御部１９００によって表示されたログイン画面に対し、入力装置２０６よりユーザＩＤとパスワードの入力を受け付ける。
The
認証サーバ決定部１９０２は、認証要求を送信する第一の認証サーバ、及び、第二の認証サーバを決定する。
The authentication
認証要求送信部１９０３は、入力受付部１９０１で受け付けたユーザＩＤとパスワードに基づく１回目の認証要求を、認証サーバ決定部１９０２によって決定された第一の認証サーバへ送信する。
The authentication
認証結果受信部１９０４は、認証サーバより送信された認証結果を受信する。
The authentication
認証要求再送信部１９０５は、入力受付部１９０１で受け付けたユーザＩＤとパスワードに基づく２回目の認証要求を、認証サーバ決定部１９０２によって決定された第二の認証サーバへ送信する。
The authentication
次に、本第５の実施形態に係るＷｅｂクライアント１０１のログイン処理時の処理手順を、図２０のフローチャートを参照して説明する。
Next, the processing procedure at the time of login processing of the
まず、Ｓ２０００にて、表示制御部１９００は、統合サーバ１３０よりログイン画面を取得し、表示装置２０５に表示する。表示されるログイン画面については、第１の実施形態と同様のため説明を省略する。
First, in S2000, the
次に、Ｓ２００１にて、入力受付部１９０１は、ユーザから、ログイン画面に対するユーザＩＤとパスワードの入力を受け付ける。ここで、ユーザは入力装置２０６を使って、ログイン画面５００のユーザＩＤ入力領域５０１にユーザＩＤを、パスワード入力領域５０２にパスワードを入力し、ボタン５０３を押下することにより入力を確定する。
Next, in S2001, the
ユーザＩＤとパスワードの入力が確定されたことに応じて、Ｓ２００２にて、認証サーバ決定部１９０２は、認証要求の送信対象となる第一の認証サーバを決定する。例えば、Ｗｅｂクライアント１０１のＩＰアドレスがＵＳリージョン１１０に近い場合、認証サーバ決定部１９０２は、ＵＳリージョン１１０の認証サーバ１１３を第一の認証サーバとして決定する。同様に、Ｗｅｂクライアント１０１のＩＰアドレスがＥＵリージョン１２０に近い場合、認証サーバ決定部１９０２は、ＥＵリージョン１２０の認証サーバ１２３を第一の認証サーバとして決定する。このように、ユーザが利用するＷｅｂクライアントに近い認証サーバを第一の認証サーバとして決定することにより、後述する１回目の認証要求で該ユーザを認証できる可能性が高くなる。
In S2002, the authentication
次に、Ｓ２００３にて、認証要求送信部１９０３は、送信対象として決定された第一の認証サーバに１回目の認証要求を送信する。この認証要求には、入力受付部１９０１が受け付けたユーザＩＤとパスワードが少なくとも含まれる。送信時に指定するＵＲＬは、ＵＳリージョン１１０の認証サーバ１１３が認証要求の送信対象として決定された場合は、ＵＳリージョン１１０に固有のドメイン名を持ったＵＲＬとなる。また、ＥＵリージョン１２０の認証サーバ１２３が認証要求の送信対象として決定された場合は、ＥＵリージョン１２０に固有のドメイン名を持ったＵＲＬとなる。認証サーバは、受信した認証要求に含まれるユーザＩＤおよびパスワードに基づいてユーザを認証、または、リージョンを決定し、要求元のＷｅｂクライアント１０１に認証結果として応答する。認証サーバによるユーザの認証、及び、リージョンの決定処理については後述する。
Next, in S2003, the authentication
Ｓ２００４にて、認証結果受信部１９０４は、第一の認証サーバから送信された認証結果を受信する。そして、Ｓ２００５にて、認証結果受信部１９０４は、受信した認証結果が認証トークンであるか、リージョンであるかを判定する。認証トークンであった場合（Ｓ２００５がＹＥＳの場合）、Ｓ２００６にて、表示制御部１９００は表示装置２０５にログイン成功画面を表示する。一方、認証結果がリージョンである場合（Ｓ２００５がＮＯの場合）、Ｓ２００７にて、認証サーバ決定部１９０２は、受信したリージョンに基づき、認証要求の再送信対象となる第二の認証サーバを決定する。例えば、受信したリージョンがＵＳリージョン１１０であった場合、認証サーバ決定部１９０２は、ＵＳリージョン１１０の認証サーバ１１３を第二の認証サーバとして決定する。同様に、受信したリージョンがＥＵリージョン１２０であった場合、認証サーバ決定部１９０２は、ＥＵリージョン１２０の認証サーバ１２３を第二の認証サーバとして決定する。
In S2004, the authentication
次に、Ｓ２００８にて、認証要求再送信部１９０５は、送信対象として決定された第二の認証サーバに２回目の認証要求を送信する。この認証要求には、入力受付部１９０１が受け付けたユーザＩＤとパスワードが少なくとも含まれる。送信時に指定するＵＲＬは、ＵＳリージョン１１０の認証サーバ１１３が認証要求の送信対象として決定された場合は、ＵＳリージョン１１０に固有のドメイン名を持ったＵＲＬとなる。また、ＥＵリージョン１２０の認証サーバ１２３が認証要求の送信対象として決定された場合は、ＥＵリージョン１２０に固有のドメイン名を持ったＵＲＬとなる。認証サーバは、受信した認証要求に含まれるユーザＩＤおよびパスワードに基づいてユーザを認証、または、リージョンを決定し、要求元のＷｅｂクライアント１０１に認証結果として応答する。
Next, in S2008, the authentication
Ｓ２００９にて、認証結果受信部１９０４は、第二の認証サーバから送信された認証結果を受信する。そして、Ｓ２０１０にて、認証結果受信部１９０４は、受信した認証結果が認証トークンであるか、リージョンであるかを判定する。認証トークンであった場合（Ｓ２０１０がＹＥＳの場合）、Ｓ２００６にて、表示制御部１９００は表示装置２０５にログイン成功画面を表示する。一方、認証結果がリージョンである場合（Ｓ２０１０がＮＯの場合）、Ｓ２０１１にて、表示制御部１９００は表示装置２０５にログイン失敗画面を表示する。
In S2009, the authentication
次に、本第５の実施形態に係る認証サーバ１１３、１２３の機能構成について、図２１のブロック図を用いて説明する。図２１に示す構成は、認証サーバ１１３、１２３のＣＰＵ２００が認証サーバとして機能するためのプログラムを実行した場合の機能構成を表している。説明の都合上、認証サーバ１１３、１２３のハードウェアが、図２の構成であるものとする。
Next, the functional configurations of the
認証サーバ１１３、１２３はそれぞれ、認証要求受信部２１００、認証情報管理部２１０１、認証部２１０２、発行部２１０３、ユーザＩＤ変換部２１０４、マッピング情報管理部２１０５、マッピング情報照合部２１０６、リージョン決定部２１０７、認証結果送信部２１０８を備える。
The
認証要求受信部２１００は、ネットワークインタフェース２０３を介して、Ｗｅｂクライアント１０１より送信される認証要求を受信する。
The authentication
認証情報管理部２１０１は、各認証サーバに登録されているユーザのユーザＩＤとパスワードを関連付けた認証情報を、外部記憶装置２０４に格納保持し、管理する。
The authentication
認証部２１０２は、認証要求受信部２１００によって受信した認証要求と認証情報管理部２１０１が管理する認証情報とを照合してユーザを認証する。
The
発行部２１０３は、ユーザが認証されたことを示す認証トークンを発行する。
The
ユーザＩＤ変換部２１０４は、認証要求に含まれるユーザＩＤをハッシュ値に変換する。
The user
マッピング情報管理部２１０５は、各リージョンに登録されているユーザＩＤのハッシュ値と該ユーザが登録されているリージョンとのマッピング情報を、外部記憶装置２０４に格納保持し、管理する。ユーザＩＤのハッシュ値を保管するのは、個人情報になり得るユーザＩＤを保護するためである。
The mapping
マッピング情報照合部２１０６は、ユーザＩＤ変換部によって算出されたユーザＩＤのハッシュ値をキーにしてマッピング情報管理部２１０５で照合（若しくは検索）し、存在したか否かの判定（照合結果）、並びに存在した場合には該当するリージョンを特定する。
The mapping
リージョン決定部２１０７は、認証要求に含まれるユーザＩＤに基づき、虚偽のリージョンを決定する。
The
認証結果送信部２１０８は、発行部２１０３によって発行された認証トークン、またはマッピング情報照合部２１０６によって特定されたリージョン、またはリージョン決定部２１０７によって決定された虚偽のリージョンのいずれかを表す認証結果を、ネットワークインタフェース２０３を介して、Ｗｅｂクライアント１０１に送信する。
The authentication
次に、本第５の実施形態に係る認証サーバ１１３、１２３の認証処理を、図２２のフローチャートを用いて説明する。
Next, the authentication process of the
まず、Ｓ２２００にて、認証要求受信部２１００は、Ｗｅｂクライアント１０１より送信された認証要求を受信する。
First, in S2200, the authentication
次に、Ｓ２２０１にて、認証部２１０２が、Ｓ２２００で受信した認証要求に含まれるユーザＩＤ及びパスワードと、認証情報管理部２１０１が管理する認証情報とを照合する。
Next, in S2201, the
該ユーザＩＤが認証情報管理部２１０１に登録されており（Ｓ２２０２がＹＥＳの場合）、パスワードも一致する場合（Ｓ２２０３がＹＥＳの場合）、Ｓ２２０４にて、発行部２１０３が、認証トークンを発行する。そして、Ｓ２２０５にて、認証結果送信部２１０８が、認証トークンを認証結果としてＷｅｂクライアント１０１に送信する。一方、パスワードが一致しない場合（Ｓ２２０３がＮＯの場合）、Ｓ２２０６にて、リージョン決定部２１０７は虚偽のリージョンを決定する。そして、Ｓ２２０７にて、認証結果送信部２１０８が、虚偽のリージョンを認証結果としてＷｅｂクライアント１０１に送信する。なお、虚偽のリージョンの決定方法については、第１の実施形態のＳ７０５と同様であるため説明を省略する。
If the user ID is registered in the authentication information management unit 2101 (when S2202 is YES) and the passwords match (when S2203 is YES), the
該ユーザＩＤが認証情報管理部２１０１に登録されていない場合（Ｓ２２０２がＮＯの場合）、Ｓ２２０８にて、ユーザＩＤ変換部２１０４が、Ｓ２２００で受信した認証要求に含まれるユーザＩＤのハッシュ値を算出する。
When the user ID is not registered in the authentication information management unit 2101 (when S2202 is NO), the user
次に、Ｓ２２０９にて、マッピング情報照合部２１０６が、Ｓ２２０８で得られたユーザＩＤのハッシュ値を基に、マッピング情報管理部２１０５からリージョンのマッピング情報を照合する。リージョンのマッピング情報については、第１の実施形態の例と同様であるため説明を省略する。
Next, in S2209, the mapping
ハッシュ値に一致するマッピング情報が見つかった場合（Ｓ２２１０がＹＥＳの場合）、Ｓ２２１１にて、認証結果送信部２１０８が、一致したハッシュ値に対応付けられたリージョンを認証結果としてＷｅｂクライアント１０１に送信する。
When the mapping information matching the hash value is found (when S2210 is YES), in S2211, the authentication
一方、マッピング情報が見つからない場合（Ｓ２２１０がＮＯの場合）、Ｓ２２１２にて、リージョン決定部２１０７は虚偽のリージョンを決定する。そして、Ｓ２２１３にて、認証結果送信部２１０８が、虚偽のリージョンを認証結果としてＷｅｂクライアント１０１に送信する。なお、虚偽のリージョンの決定方法については、第１の実施形態のＳ７０５と同様であるため説明を省略する。
On the other hand, when the mapping information is not found (when S2210 is NO), the
以上説明したように、本第５の実施形態の認証サーバ１１３、１２３は、正しいユーザＩＤとパスワードを含む認証要求に対して、認証トークンを応答する。Ｗｅｂクライアント１０１が該ユーザＩＤの登録されている認証サーバを第一の認証サーバとして決定し１回目の認証要求を送信した場合、１回のＷｅｂクライアントと認証サーバ間の通信でログインが完了するため、ユーザビリティが向上する。さらに、いずれのリージョンにも登録されていないユーザＩＤについての認証要求、及び、パスワード誤りの認証要求に対して、ユーザＩＤから一意に定まる虚偽のリージョンを応答するため、ユーザＩＤの登録有無の判別を困難にすることも可能となる。
As described above, the
なお、本第５の実施形態においては、認証サーバ１１３、１２３は、ユーザＩＤから一意に定まる虚偽のリージョンを決定し応答するが、この決定方法を認証サーバ間で共通にしても構わない。これにより、ユーザＩＤ毎に応答されるリージョンが各認証サーバで一意になるため、ユーザＩＤの登録有無の判別をさらに困難にすることが可能となる。
In the fifth embodiment, the
（その他の実施例）
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
(Other examples)
The present invention supplies a program that realizes one or more functions of the above-described embodiment to a system or device via a network or storage medium, and one or more processors in the computer of the system or device reads and executes the program. It can also be realized by the processing to be performed. It can also be realized by a circuit (for example, ASIC) that realizes one or more functions.
発明は上記実施形態に制限されるものではなく、発明の精神及び範囲から離脱することなく、様々な変更及び変形が可能である。従って、発明の範囲を公にするために請求項を添付する。 The invention is not limited to the above embodiment, and various modifications and modifications can be made without departing from the spirit and scope of the invention. Therefore, a claim is attached to publicize the scope of the invention.
１００…インターネット、１０１…Ｗｅｂクライアント、１１０…ＵＳリージョン、１２０…ＥＰリージョン、１１２、１２２…リバースプロキシサーバ、１１３，１２３…認証サーバ、１１４，１２４…リソースサーバ、１３０…統合サーバ、６００…リージョン特定要求受信部、６０１…ユーザＩＤ変換部、６０２…マッピング情報管理部、６０３…マッピング情報照合部、６０４…リージョン決定部、６０５…リージョン特定結果送信部 100 ... Internet, 101 ... Web client, 110 ... US region, 120 ... EP region, 112, 122 ... Reverse proxy server, 113, 123 ... Authentication server, 114, 124 ... Resource server, 130 ... Integrated server, 600 ... Region identification Request receiving unit, 601 ... User ID conversion unit, 602 ... Mapping information management unit, 603 ... Mapping information collating unit, 604 ... Region determination unit, 605 ... Region specific result transmission unit
Claims (29)
インターネットと通信する通信手段と、
ユーザ情報とリージョン情報とが関連付けられたマッピング情報を管理する管理手段と、
前記通信手段を介して、クライアント端末からユーザを特定するユーザ情報を含むリージョン特定要求を受信した場合、前記管理手段のマッピング情報を照合する照合手段と、
該照合手段の照合結果が、該当するユーザ情報が前記マッピング情報に存在することを示す場合は、対応するリージョン情報を応答として前記クライアント端末に送信し、
前記照合手段の照合結果が、該当するユーザ情報が前記マッピング情報に存在しないことを示す場合は、虚偽のリージョン情報を応答として前記クライアント端末に送信する応答手段と
を有することを特徴とする情報処理装置。 An information processing device that transmits region information representing a corresponding region to the client terminal in response to a region identification request received from a client terminal via the Internet.
Communication means to communicate with the Internet and
A management means for managing mapping information associated with user information and region information,
When a region identification request including user information for identifying a user is received from a client terminal via the communication means, a collation means for collating the mapping information of the management means and a collation means.
When the collation result of the collation means indicates that the corresponding user information exists in the mapping information, the corresponding region information is transmitted to the client terminal as a response.
Information processing characterized by having a response means for transmitting false region information as a response to the client terminal when the collation result of the collation means indicates that the corresponding user information does not exist in the mapping information. Device.
前記管理手段は、ユーザＩＤのハッシュ値とリージョン情報とを対にした情報を前記マッピング情報として管理し、
前記照合手段は、受信したリージョン特定要求に含まれるユーザＩＤからハッシュ値を求め、当該ハッシュ値をキーに前記マッピング情報を検索することで照合を行う
ことを特徴とする請求項１に記載の情報処理装置。 The user information includes a user ID that identifies the user, and includes a user ID.
The management means manages the information obtained by pairing the hash value of the user ID and the region information as the mapping information.
The information according to claim 1, wherein the collation means obtains a hash value from a user ID included in a received region identification request, and performs collation by searching for the mapping information using the hash value as a key. Processing equipment.
ことを特徴とする請求項１に記載の情報処理装置。 When the matching result of the matching means indicates that the mapping information does not have a value matching the hash value of the corresponding user ID, the response means is a falsehood uniquely determined by the numerical value represented by the hash value of the user ID. The information processing apparatus according to claim 1, wherein the region information of the above is transmitted as a response.
ことを特徴とする請求項３に記載の情報処理装置。 The response means responds with information representing a region specified by a residual value when the numerical value represented by the hash value of the user ID is divided by the number of regions managed by the management means as the false region information. The information processing apparatus according to claim 3, wherein the information processing apparatus is to be used.
前記応答手段は、
前記照合手段の照合結果が、前記マッピング情報に該当するユーザＩＤのハッシュ値に一致する値が存在せず、且つ、前記虚偽用マッピング情報に一致する値が存在することを示す場合には、当該虚偽用マッピング情報における該当する虚偽のリージョン情報を応答し、
前記照合手段の照合結果が、前記マッピング情報に該当するユーザＩＤのハッシュ値に一致する値が存在せず、且つ、前記虚偽用マッピング情報にも一致する値が存在しないことを示す場合は、前記ユーザＩＤのハッシュ値と新たな虚偽のリージョン情報の対を前記虚偽用マッピング情報に登録し、前記新たな虚偽のリージョン情報を応答する
ことを特徴とする請求項１に記載の情報処理装置。 The management means further manages false mapping information in which a hash value of a user ID that does not exist in the mapping information and the false region information are paired.
The response means
When the collation result of the collation means does not have a value matching the hash value of the user ID corresponding to the mapping information and there is a value matching the false mapping information, the relevant value is applicable. In response to the relevant false region information in the false mapping information,
When the collation result of the collation means does not have a value matching the hash value of the user ID corresponding to the mapping information and there is no matching value in the false mapping information, the above is described. The information processing apparatus according to claim 1, wherein a pair of a hash value of a user ID and a new false region information is registered in the false mapping information, and the new false region information is returned.
前記応答手段は、該当するユーザ情報が前記マッピング情報に存在しないことを示す場合に加え、前記攻撃者判定手段により前記クライアント端末が攻撃者であると判断された場合にも、虚偽のリージョン情報を応答として送信する
ことを特徴とする請求項１乃至５のいずれか１項に記載の情報処理装置。 Further having an attacker determination means for determining whether the client terminal is an attacker,
The response means provides false region information even when the attacker determination means determines that the client terminal is an attacker, in addition to indicating that the corresponding user information does not exist in the mapping information. The information processing apparatus according to any one of claims 1 to 5, wherein the information processing apparatus is transmitted as a response.
ことを特徴とする請求項６に記載の情報処理装置。 The information processing device according to claim 6, wherein the attacker determination means determines whether or not the attacker is an attacker based on a region identification request sent from a client terminal and incidental information thereof.
ことを特徴とする請求項６に記載の情報処理装置。 The attacker determination means stores the region identification request sent from the client terminal and its incidental information as a region identification request history associated with the result of the collation means, and determines whether or not the region identification request history is an attacker. The information processing apparatus according to claim 6, wherein the information processing apparatus is used for determination.
前記通信手段を介して、クライアント端末からユーザを特定するユーザ情報を含むリージョン特定要求を受信した場合、前記管理手段のマッピング情報を照合する照合工程と、
該照合工程の照合結果が、該当するユーザ情報が前記マッピング情報に存在することを示す場合は、対応するリージョン情報を応答として前記クライアント端末に送信し、
前記照合工程の照合結果が、該当するユーザ情報が前記マッピング情報に存在しないことを示す場合は、虚偽のリージョン情報を応答として前記クライアント端末に送信する応答工程と
を有することを特徴とする情報処理装置の制御方法。 It has a communication means for communicating with the Internet and a management means for managing mapping information in which user information and region information are associated with each other, and is a region corresponding to a region identification request received from a client terminal via the communication means. It is a control method of an information processing device that transmits region information representing the above to the client terminal.
When a region identification request including user information for identifying a user is received from a client terminal via the communication means, a collation step for collating the mapping information of the management means and a collation step.
When the collation result of the collation step indicates that the corresponding user information exists in the mapping information, the corresponding region information is transmitted to the client terminal as a response.
Information processing characterized by having a response step of transmitting false region information as a response to the client terminal when the collation result of the collation step indicates that the corresponding user information does not exist in the mapping information. How to control the device.
前記統合サーバは、
インターネットと通信する通信手段と、
ユーザ情報とリージョン情報とが関連付けられたマッピング情報を管理する管理手段と、
前記通信手段を介して、クライアント端末からユーザを特定するユーザ情報を含むリージョン特定要求を受信した場合、前記管理手段のマッピング情報を照合する照合手段と、
前記クライアント端末が攻撃者であるかどうかを判定する攻撃者判定手段と、
該照合手段の照合結果が、該当するユーザ情報が前記マッピング情報に存在することを示す場合は、対応するリージョン情報を応答として前記クライアント端末に送信し、
前記照合手段の照合結果が、該当するユーザ情報が前記マッピング情報に存在しないことを示す場合に加え、前記攻撃者判定手段により前記クライアント端末が攻撃者であると判断された場合にも、疑似認証サーバのリージョン情報を送信する応答手段とを有し、
前記認証サーバは、
インターネットと通信する通信手段と、
前記通信手段を介して、前記クライアント端末から認証要求を受信した場合にユーザを認証する認証手段と、
前記認証手段の認証結果が認証に成功したことを示す場合は、認証トークンを応答とし、認証に失敗した場合は認証失敗を応答として、前記クライアント端末に送信する応答手段とを有し、
前記疑似認証サーバは、
インターネットと通信する通信手段と、
前記通信手段を介して、前記クライアント端末から認証要求を受信した場合にユーザを疑似認証する疑似認証手段と、
前記疑似認証手段の疑似認証結果を応答として前記クライアント端末に送信する応答手段とを有する
ことを特徴とするシステム。 A system that includes an integrated server deployed in one or more regions, an authentication server deployed in one or more regions, and a pseudo-authentication server deployed in one or more regions.
The integrated server is
Communication means to communicate with the Internet and
A management means for managing mapping information associated with user information and region information,
When a region identification request including user information for identifying a user is received from a client terminal via the communication means, a collation means for collating the mapping information of the management means and a collation means.
An attacker determination means for determining whether the client terminal is an attacker,
When the collation result of the collation means indicates that the corresponding user information exists in the mapping information, the corresponding region information is transmitted to the client terminal as a response.
In addition to the case where the collation result of the collation means indicates that the corresponding user information does not exist in the mapping information, the pseudo authentication is also performed when the client terminal is determined to be an attacker by the attacker determination means. It has a response means to send the region information of the server,
The authentication server is
Communication means to communicate with the Internet and
An authentication means that authenticates a user when an authentication request is received from the client terminal via the communication means, and an authentication means.
When the authentication result of the authentication means indicates that the authentication is successful, the authentication token is used as a response, and when the authentication fails, the authentication failure is used as a response and the response means is transmitted to the client terminal.
The pseudo authentication server is
Communication means to communicate with the Internet and
A pseudo-authentication means that pseudo-authenticates a user when an authentication request is received from the client terminal via the communication means, and a pseudo-authentication means.
A system including a response means for transmitting a pseudo-authentication result of the pseudo-authentication means to the client terminal as a response.
ことを特徴とする請求項１１に記載のシステム。 The system according to claim 11, wherein the attacker determination means in the integrated server determines whether or not the attacker is an attacker based on a region identification request sent from a client terminal and incidental information thereof. ..
ことを特徴とする請求項１１に記載のシステム。 The attacker determination means in the integrated server stores the region identification request sent from the client terminal and its incidental information as a region identification request history associated with the result of the matching means, and determines whether or not the attacker is an attacker. The system according to claim 11, characterized in that it is used.
前記疑似認証サーバにおける前記応答手段は、疑似認証結果として前記認証サーバが認証失敗時に送信する認証失敗を模した結果を応答する
ことを特徴とする請求項１１に記載のシステム。 The pseudo-authentication means in the pseudo-authentication server fails authentication regardless of the content of the authentication request sent from the client terminal.
The system according to claim 11, wherein the response means in the pseudo-authentication server responds as a pseudo-authentication result with a result imitating an authentication failure transmitted by the authentication server at the time of authentication failure.
前記疑似認証サーバにおける前記応答手段は、疑似認証結果として前記認証サーバが認証成功時に送信する認証トークンを模した疑似認証トークンを応答する
ことを特徴とする請求項１１に記載のシステム。 The pseudo-authentication means in the pseudo-authentication server determines that the authentication is successful regardless of the content of the authentication request sent from the client terminal.
The system according to claim 11, wherein the response means in the pseudo-authentication server responds as a pseudo-authentication result with a pseudo-authentication token imitating an authentication token transmitted by the authentication server when authentication is successful.
前記統合サーバは、
インターネットと通信する通信手段と、
ユーザ情報とリージョン情報とが関連付けられたマッピング情報を管理する管理手段と、
前記通信手段を介して、クライアント端末からユーザを特定するユーザ情報を含むリージョン特定要求を受信した場合、前記管理手段のマッピング情報を照合する照合手段と、
前記クライアント端末が攻撃者であるかどうかを判定する攻撃者判定手段と、
該攻撃者判定手段が攻撃者であると判定した場合に、認証サーバに対し前記クライアント端末が攻撃者であることを示す攻撃者情報を、前記通信手段を介して通知する攻撃者情報通知手段と、
前記照合手段の照合結果が、該当するユーザ情報が前記マッピング情報に存在することを示す場合は、対応するリージョン情報を応答として前記クライアント端末に送信し、
前記照合手段の照合結果が、該当するユーザ情報が前記マッピング情報に存在しないことを示す場合に加え、前記攻撃者判定手段により前記クライアント端末が攻撃者であると判断された場合にも、疑似認証サーバのリージョン情報を送信する、応答手段とを有し、
前記認証サーバは、
インターネットと通信する通信手段と、
前記通信手段を介して、前記統合サーバから通知された攻撃者情報を保存し、クライアント端末から認証要求を受信した際に、前記攻撃者情報をもとに前記クライアント端末が攻撃者であるかどうかを判定する攻撃者情報利用手段と、
前記攻撃者情報利用手段が、前記クライアント端末が攻撃者でないと判断した場合に、前記クライアント端末から受信した認証要求を利用してユーザを認証する認証手段と、
前記攻撃者情報利用手段が、前記クライアント端末が攻撃者であると判断した場合に、ユーザを疑似認証する疑似認証手段と、
前記認証手段が認証に成功したことを示す場合は、認証トークンを応答とし、認証に失敗した場合は認証失敗を応答とし、前記疑似認証手段が利用された場合は、疑似認証手段の疑似認証結果を応答として、前記クライアント端末に送信する応答手段とを有する、
ことを特徴とするシステム。 A system that includes an integrated server deployed in one or more regions and an authentication server deployed in one or more regions.
The integrated server is
Communication means to communicate with the Internet and
A management means for managing mapping information associated with user information and region information,
When a region identification request including user information for identifying a user is received from a client terminal via the communication means, a collation means for collating the mapping information of the management means and a collation means.
An attacker determination means for determining whether the client terminal is an attacker,
When the attacker determination means determines that the attacker is an attacker, the attacker information notification means for notifying the authentication server of the attacker information indicating that the client terminal is an attacker via the communication means. ,
When the collation result of the collation means indicates that the corresponding user information exists in the mapping information, the corresponding region information is transmitted to the client terminal as a response.
In addition to the case where the collation result of the collation means indicates that the corresponding user information does not exist in the mapping information, the pseudo authentication is also performed when the client terminal is determined to be an attacker by the attacker determination means. It has a response means to send the region information of the server,
The authentication server is
Communication means to communicate with the Internet and
Whether the client terminal is an attacker based on the attacker information when the attacker information notified from the integrated server is stored via the communication means and an authentication request is received from the client terminal. Attacker information usage means to determine
An authentication means that authenticates a user by using an authentication request received from the client terminal when the attacker information utilization means determines that the client terminal is not an attacker.
When the attacker information utilization means determines that the client terminal is an attacker, the pseudo-authentication means for pseudo-authentication of the user
When the authentication means indicates that the authentication is successful, the authentication token is used as a response, when the authentication fails, the authentication failure is used as the response, and when the pseudo authentication means is used, the pseudo authentication result of the pseudo authentication means is used. As a response, it has a response means for transmitting to the client terminal.
A system characterized by that.
ことを特徴とする請求項１６に記載のシステム。 The system according to claim 16, wherein the attacker determination means in the integrated server determines whether or not the attacker is an attacker based on a region identification request sent from a client terminal and incidental information thereof. ..
ことを特徴とする請求項１６に記載のシステム。 The attacker determination means in the integrated server stores the region identification request sent from the client terminal and its incidental information as a region identification request history associated with the result of the matching means, and the attacker uses this region identification request history. The system according to claim 16, characterized in that it is used for determining whether or not it exists.
前記認証サーバにおける前記応答手段は、疑似認証結果として認証失敗時に送信する認証失敗を模した結果を応答する
ことを特徴とする請求項１６に記載のシステム。 The pseudo-authentication means in the authentication server fails the authentication regardless of the content of the authentication request sent from the client terminal.
The system according to claim 16, wherein the response means in the authentication server responds as a pseudo-authentication result, which is transmitted as a result of imitating an authentication failure.
前記認証サーバにおける前記応答手段は、疑似認証結果として認証成功時に送信する認証トークンを模した疑似認証トークンを応答する
ことを特徴とする請求項１６に記載のシステム。 The pseudo-authentication means in the authentication server determines that the authentication is successful regardless of the content of the authentication request sent from the client terminal.
The system according to claim 16, wherein the response means in the authentication server responds with a pseudo authentication token imitating an authentication token transmitted at the time of successful authentication as a pseudo authentication result.
インターネットと通信する通信手段と、
前記通信手段を介して、クライアント端末からユーザを特定するユーザ情報を含む認証要求を受信した場合にユーザを認証する認証手段と、
ユーザ情報とリージョン情報とが関連付けられたマッピング情報を管理する管理手段と、
前記認証手段の認証結果がユーザ情報の誤りにより認証に失敗したことを示す場合に、前記管理手段のマッピング情報を照合する照合手段と、
前記認証手段の認証結果が認証に成功したことを示す場合は、認証トークンを応答として前記クライアント端末に送信し、
前記照合手段の照合結果が該当するユーザ情報が前記マッピング情報に存在することを示す場合は、対応するリージョン情報を応答として前記クライアント端末に送信し、
前記認証手段の認証結果がユーザ情報の誤りによらず認証に失敗したことを示す場合、または、前記照合手段の照合結果が該当するユーザ情報が前記マッピング情報に存在しないことを示す場合は、虚偽のリージョン情報を応答として前記クライアント端末に送信する応答手段と
を有することを特徴とする情報処理装置。 An information processing device that transmits an authentication result to the client terminal in response to an authentication request received from the client terminal via the Internet.
Communication means to communicate with the Internet and
An authentication means that authenticates a user when an authentication request including user information that identifies the user is received from a client terminal via the communication means.
A management means for managing mapping information associated with user information and region information,
When the authentication result of the authentication means indicates that the authentication has failed due to an error in the user information, the collation means for collating the mapping information of the management means and the collation means.
If the authentication result of the authentication means indicates that the authentication was successful, the authentication token is sent as a response to the client terminal.
When the collation result of the collation means indicates that the corresponding user information exists in the mapping information, the corresponding region information is transmitted to the client terminal as a response.
False if the authentication result of the authentication means indicates that the authentication has failed due to an error in the user information, or if the verification result of the matching means indicates that the corresponding user information does not exist in the mapping information. An information processing apparatus having a response means for transmitting the region information of the above to the client terminal as a response.
前記管理手段は、ユーザＩＤのハッシュ値とリージョン情報とを対にした情報を前記マッピング情報として管理し、
前記照合手段は、受信した認証要求に含まれるユーザＩＤからハッシュ値を求め、当該ハッシュ値をキーに前記マッピング情報を検索することで照合を行う
ことを特徴とする請求項２１に記載の情報処理装置。 The user information includes a user ID that identifies the user, and includes a user ID.
The management means manages the information obtained by pairing the hash value of the user ID and the region information as the mapping information.
The information processing according to claim 21, wherein the collation means obtains a hash value from a user ID included in a received authentication request, and performs collation by searching for the mapping information using the hash value as a key. Device.
ことを特徴とする請求項２１に記載の情報処理装置。 When the matching result of the matching means indicates that the mapping information does not have a value matching the hash value of the corresponding user ID, the response means is a falsehood uniquely determined by the numerical value represented by the hash value of the user ID. 21. The information processing apparatus according to claim 21, wherein the region information of the above is transmitted as a response.
ことを特徴とする請求項２３に記載の情報処理装置。 The response means responds with information representing a region specified by a residual value when the numerical value represented by the hash value of the user ID is divided by the number of regions managed by the management means as the false region information. 23. The information processing apparatus according to claim 23.
前記通信手段を介して、クライアント端末からユーザを特定するユーザ情報を含む認証要求を受信した場合にユーザを認証する認証工程と、
前記認証工程の認証結果がユーザ情報の誤りにより認証に失敗したことを示す場合に、前記管理手段のマッピング情報を照合する照合工程と、
前記認証工程の認証結果が認証に成功したことを示す場合は、認証トークンを応答として前記クライアント端末に送信し、
前記照合工程の照合結果が該当するユーザ情報が前記マッピング情報に存在することを示す場合は、対応するリージョン情報を応答として前記クライアント端末に送信し、
前記認証工程の認証結果がユーザ情報の誤りによらず認証に失敗したことを示す場合、または、前記照合工程の照合結果が該当するユーザ情報が前記マッピング情報に存在しないことを示す場合は、虚偽のリージョン情報を応答として前記クライアント端末に送信する応答工程と
を有することを特徴とする情報処理装置の制御方法。 It has a communication means for communicating with the Internet and a management means for managing mapping information associated with user information and region information, and in response to an authentication request received from a client terminal via the Internet, the authentication result is sent to the client terminal. It is a control method of the information processing device to send to
An authentication process for authenticating a user when an authentication request including user information for identifying a user is received from a client terminal via the communication means.
When the authentication result of the authentication step indicates that the authentication has failed due to an error in the user information, the collation step for collating the mapping information of the management means and the collation step.
When the authentication result of the authentication process indicates that the authentication was successful, the authentication token is sent as a response to the client terminal.
When the collation result of the collation step indicates that the corresponding user information exists in the mapping information, the corresponding region information is transmitted to the client terminal as a response.
False if the authentication result of the authentication process indicates that the authentication failed due to an error in the user information, or if the verification result of the collation process indicates that the corresponding user information does not exist in the mapping information. A control method for an information processing apparatus, which comprises a response process of transmitting the region information of the above to the client terminal as a response.
前記認証サーバは、
インターネットと通信する通信手段と、
前記通信手段を介して、前記クライアント端末からユーザを特定するユーザ情報を含む認証要求を受信した場合にユーザを認証する認証手段と、
ユーザ情報とリージョン情報とが関連付けられたマッピング情報を管理する管理手段と、
前記認証手段の認証結果がユーザ情報の誤りにより認証に失敗したことを示す場合に、前記管理手段のマッピング情報を照合する照合手段と、
前記認証手段の認証結果が認証に成功したことを示す場合は、認証トークンを応答として前記クライアント端末に送信し、
前記照合手段の照合結果が該当するユーザ情報が前記マッピング情報に存在することを示す場合は、対応するリージョン情報を応答として前記クライアント端末に送信し、
前記認証手段の認証結果がユーザ情報の誤りによらず認証に失敗したことを示す場合、または、前記照合手段の照合結果が該当するユーザ情報が前記マッピング情報に存在しないことを示す場合は、虚偽のリージョン情報を応答として前記クライアント端末に送信する応答手段とを有し、
前記クライアント端末は、
１以上のリージョンに配備された認証サーバの内、いずれかの認証サーバへ１回目の認証要求を送信する認証要求送信手段と、
前記認証要求に対してリージョン情報が応答された場合に、そのリージョンの認証サーバへ２回目の認証要求を送信する認証要求再送信手段とを有する
ことを特徴とするシステム。 A system that includes an authentication server deployed in one or more regions and a client terminal that has a Web browser.
The authentication server is
Communication means to communicate with the Internet and
An authentication means that authenticates a user when an authentication request including user information that identifies the user is received from the client terminal via the communication means.
A management means for managing mapping information associated with user information and region information,
When the authentication result of the authentication means indicates that the authentication has failed due to an error in the user information, the collation means for collating the mapping information of the management means and the collation means.
If the authentication result of the authentication means indicates that the authentication was successful, the authentication token is sent as a response to the client terminal.
When the collation result of the collation means indicates that the corresponding user information exists in the mapping information, the corresponding region information is transmitted to the client terminal as a response.
False if the authentication result of the authentication means indicates that the authentication has failed due to an error in the user information, or if the verification result of the matching means indicates that the corresponding user information does not exist in the mapping information. It has a response means for transmitting the region information of the above to the client terminal as a response.
The client terminal is
An authentication request transmission means for transmitting the first authentication request to one of the authentication servers deployed in one or more regions, and
A system comprising: an authentication request retransmission means for transmitting a second authentication request to an authentication server in the region when region information is responded to the authentication request.
ことを特徴とする請求項２７に記載のシステム。 27. The response means according to claim 27, wherein the response means determines false region information by a method common to all authentication servers deployed in one or more regions, and transmits the false region information as a response to the client terminal. system.
１以上のリージョンに配備された認証サーバの内、クライアント端末からの近さに基づき認証サーバを決定し、１回目の認証要求を送信する
ことを特徴とする請求項２７に記載のシステム。 The authentication request transmission means is
The system according to claim 27, wherein the authentication server is determined based on the proximity to the client terminal among the authentication servers deployed in one or more regions, and the first authentication request is transmitted.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US17/467,669 US20220086168A1 (en) | 2020-09-11 | 2021-09-07 | Information processing apparatus, control method thereof, and non-transitory computer-readable storage medium |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2020153175 | 2020-09-11 | ||
| JP2020153175 | 2020-09-11 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2022047506A true JP2022047506A (en) | 2022-03-24 |
Family
ID=80780364
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2021136656A Pending JP2022047506A (en) | 2020-09-11 | 2021-08-24 | Information processing apparatus and control method for the same and program, and system |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2022047506A (en) |
-
2021
- 2021-08-24 JP JP2021136656A patent/JP2022047506A/en active Pending
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP6643373B2 (en) | Information processing system, control method and program therefor | |
| US20210006410A1 (en) | Method for providing virtual asset service based on decentralized identifier and virtual asset service providing server using them | |
| US9571494B2 (en) | Authorization server and client apparatus, server cooperative system, and token management method | |
| JP4899853B2 (en) | Authentication program, authentication server, and single sign-on authentication system | |
| US7113994B1 (en) | System and method of proxy authentication in a secured network | |
| JP4742903B2 (en) | Distributed authentication system and distributed authentication method | |
| JP6675163B2 (en) | Authority transfer system, control method of authorization server, authorization server and program | |
| JP6929181B2 (en) | Devices and their control methods and programs | |
| JP7096736B2 (en) | System and data processing method | |
| JP2006260201A (en) | Distributed authentication system and communication controller | |
| JP2017004301A (en) | Authentication server system, method, program, and storage medium | |
| KR102376254B1 (en) | Method and apparatus for managing decentralized identifier | |
| JP2728033B2 (en) | Security method in computer network | |
| JP5772011B2 (en) | Information processing system, information processing apparatus, information processing method, and program | |
| JP6323163B2 (en) | Relay device, system and program | |
| JP2008257492A (en) | Authentication processing program, information processing program, authentication processing device, authentication processing system, and information processing system | |
| JP2017199145A (en) | Server unit, system, information processing method and program | |
| CN110489957B (en) | Management method of access request and computer storage medium | |
| JP4417132B2 (en) | Privacy information management server, method and program | |
| JP2019212017A (en) | Communication device and communication method | |
| JP4527491B2 (en) | Content provision system | |
| JP2022047506A (en) | Information processing apparatus and control method for the same and program, and system | |
| JP2004362189A (en) | User information circulation system | |
| JP2005301424A (en) | Distributed authentication system, load distribution device, authentication server, load distribution program, and authentication program | |
| JP2010152492A (en) | Device, system, and method for providing personal information |