JP2023012091A

JP2023012091A - 検知装置、検知方法及び検知プログラム

Info

Publication number: JP2023012091A
Application number: JP2021115530A
Authority: JP
Inventors: 純一田淵; Junichi Tabuchi
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2021-07-13
Filing date: 2021-07-13
Publication date: 2023-01-25
Anticipated expiration: 2041-07-13
Also published as: JP7451464B2

Abstract

【課題】不正アクセスによるウェブサイトの複製を精度良く検知できる検知システムを提供すること。【解決手段】ウェブサーバ１０は、ウェブサイトの記載に従ったブラウザからのアクセスに応じて、当該ウェブサイトのフィンガープリント情報を構成する複数の要素の並び順をランダムに決定し、当該並び順、及び所定の有効期限を特定可能なフォーマット指定データを生成するフォーマット生成部１１と、ブラウザにフォーマット指定データ、及び複数の要素を並び順に出力させるためのワンタイムプログラムを生成し、当該ブラウザに送信するプログラム生成部１２と、ワンタイムプログラムにより生成されたフィンガープリント情報を、ブラウザから有効期限までに受信した際に、当該フィンガープリント情報が所定の条件に合致している場合にのみ、アクセスを正常と判定する判定部１３と、を備える。【選択図】図１

Description

本発明は、ウェブサイトの不正アクセスを検知するシステムに関する。

従来、フィッシングサイトの作成等を目的としたウェブサイトの複製方法としては、サイトの完成形を視覚的に再現する静的な複製方法と、真正なサイトの配信するデータを一部改竄する等してユーザに再配信する動的な複製方法とが存在する。これらのうち、動的な複製サイトは、現状のセキュリティ対策の中心となっている二段階認証等の技術を突破可能であることが知られている。

これに対し、ウェブサイトの画面遷移時等、サーバへのアクセス時に現在アクセス中のウェブサイト情報を含むウェブサイトフィンガープリント情報を送信し、これをサーバがチェックする対策手法がある（例えば、特許文献１参照）。
この手法では、複製サイトで生成されたウェブサイトフィンガープリント情報が真正なサイトと異なることから、複製サイトからのサーバアクセスが失敗するため、複製サイトの生成が困難になる。

特表２０２０－５０３６０５号公報

しかしながら、このようなウェブサイトフィンガープリント情報によるチェックは有効ではあるものの、複製サイトは真正なサイトの配信するデータを一部改竄することが可能なため、ウェブサイトフィンガープリント情報を生成するプログラムを改竄し、真正なサイト上で生成されるウェブサイトフィンガープリント情報を生成するようにすることで複製サイトの作成が可能となっていた。

これに対し、難読化技術によりウェブサイトフィンガープリント情報を生成するプログラムの解読を困難にすることで改竄を困難とする試みがなされているが、現状の難読化技術では、人の目で読みづらくはあるものの強度に問題があり、数週間等の比較的短い期間で解読されてしまうという課題があった。

本発明は、不正アクセスによるウェブサイトの複製を精度良く検知できる検知システムを提供することを目的とする。

本発明に係る検知装置は、ウェブサイトの記載に従ったブラウザからのアクセスに応じて、当該ウェブサイトのフィンガープリント情報を構成する複数の要素の並び順をランダムに決定し、当該並び順、及び所定の有効期限を特定可能なフォーマット指定データを生成するフォーマット生成部と、前記ブラウザに前記フォーマット指定データ、及び前記複数の要素を前記並び順に出力させるためのワンタイムプログラムを生成し、当該ブラウザに送信するプログラム生成部と、前記ワンタイムプログラムにより生成された前記フィンガープリント情報を、前記ブラウザから前記有効期限までに受信した際に、当該フィンガープリント情報が所定の条件に合致している場合にのみ、前記アクセスを正常と判定する判定部と、を備える。

前記フォーマット生成部は、前記並び順を算出可能なデータ、及び前記有効期限を暗号化して、前記フォーマット指定データを生成してもよい。

前記検知装置は、前記並び順を算出可能なデータ、及び前記有効期限を、識別子に対応付けて記憶する記憶部を備え、前記フォーマット生成部は、前記識別子を前記フォーマット指定データとして生成してもよい。

前記プログラム生成部は、前記ワンタイムプログラムを、所定のアルゴリズムにより難読化して送信してもよい。

前記プログラム生成部は、前記要素それぞれの並び順に応じた出力箇所を指定したプログラム部品を、ランダムに配置して前記ワンタイムプログラムを生成してもよい。

前記プログラム生成部は、前記要素それぞれの出力箇所を含まないプログラム部品を、前記並び順に従って配置して前記ワンタイムプログラムを生成してもよい。

前記複数の要素は、アクセス先のＵＲＬ、当該ＵＲＬのパス、アクセス時の通信プロトコル、前記ブラウザのユーザエージェント、ブラウザの提供する特定スクリプト向け機能の有無、ウェブサイトを構成するＨＴＭＬのＤＯＭ情報、ユーザ操作履歴、ユーザ操作時におけるＨＴＭＬのＤＯＭイベントの発生状況の少なくともいずれかを含んでもよい。

前記ウェブサイトは、前記フィンガープリント情報を前記ブラウザ上に表示させるものであってもよい。

本発明に係る検知方法は、ウェブサイトの記載に従ったブラウザからのアクセスに応じて、当該ウェブサイトのフィンガープリント情報を構成する複数の要素の並び順をランダムに決定し、当該並び順、及び所定の有効期限を特定可能なフォーマット指定データを生成するフォーマット生成ステップと、前記ブラウザに前記フォーマット指定データ、及び前記複数の要素を前記並び順に出力させるためのワンタイムプログラムを生成し、当該ブラウザに送信するプログラム生成ステップと、前記ワンタイムプログラムにより生成された前記フィンガープリント情報を、前記ブラウザから前記有効期限までに受信した際に、当該フィンガープリント情報が所定の条件に合致している場合にのみ、前記アクセスを正常と判定する判定ステップと、をコンピュータが実行する。

本発明に係る検知プログラムは、前記検知装置としてコンピュータを機能させるためのものである。

本発明によれば、不正アクセスによるウェブサイトの複製を精度良く検知できる。

実施形態における検知システムを構成するウェブサーバの機能構成を示す図である。実施形態におけるウェブサイトフィンガープリント情報を示す図である。実施形態におけるプログラム部品を例示する図である。実施形態におけるワンタイムプログラムの第１の例を示す図である。実施形態におけるワンタイムプログラムの第２の例を示す図である。実施形態における検知方法の流れを示すシーケンス図である。

以下、本発明の実施形態の一例について説明する。
本実施形態の検知システムは、従来の難読化を施した、ウェブサイトフィンガープリント情報を生成するプログラムに代えて、都度異なる出力フォーマット及びプログラム構造を持ったワンタイムプログラムを生成し、これに短い有効期限を付与することで難読化の強度を飛躍的に向上させる。

図１は、本実施形態における検知システム１を構成する検知装置としてのウェブサーバ１０の機能構成を示す図である。
検知システム１は、ウェブサーバ１０と、インターネットを介してウェブサーバ１０が提供するウェブサイトを閲覧するブラウザを備えた端末２０とを備える。端末２０は、真正サイトにアクセスしているユーザの端末の他、検知対象として、フィッシングサイトを構築する攻撃者のサーバ、又は動的に複製されたフィッシングサイトにアクセスしているユーザの端末等が想定される。

ウェブサーバ１０は、制御部、記憶部及び各種の入出力・通信インタフェースを備え、ウェブサイトを端末２０に提供する情報処理装置である。制御部は、記憶部に格納された各種のソフトウェアを実行することにより、本実施形態の機能を実現する。
具体的には、制御部は、検知プログラムを実行することにより、フォーマット生成部１１、プログラム生成部１２、及び判定部１３として機能する。これにより、ウェブサーバ１０は、ウェブサイトを複製するための不正アクセス（自動操縦）を抑制するため、端末２０のブラウザが生成したウェブサイトフィンガープリント情報の正当性をチェックする。

フォーマット生成部１１は、ウェブサイトの記載（ページデータ、スクリプト等）に従ったブラウザからのアクセスに応じて、このウェブサイトのフィンガープリント情報を構成するための複数の要素の並び順をランダムに決定する。そして、フォーマット生成部１１は、決定した並び順、及び所定の有効期限を特定可能なフォーマット指定データを生成する。

図２は、本実施形態におけるウェブサイトフィンガープリント情報を示す図である。
従来のウェブサイトフィンガープリント情報（Ａ）は、表示中のウェブサイトに関するデータ、すなわち、アクセス先、接続プロトコル、ＵＲＬ、ウェブサイトのコンテンツの一部等から生成された複数のデータの並びである。

これに対して、本実施形態のウェブサイトフィンガープリント情報（Ｂ）には、ランダムにフォーマットが決定されるワンタイム情報であり、決定されたフォーマットを示すフォーマット指定データが追加される。
さらに、（Ａ）のウェブサイトフィンガープリントデータにおける複数の要素の並び順が、決定されたフォーマットに従って入れ替えられる。

ここで、フォーマット指定データは、例えば、データの入れ替え方法（並び順）を算出可能なデータ、及び有効期限を暗号化したものである。
あるいは、フォーマット生成部１１は、識別子をフォーマット指定データとして生成し、この識別子に対応付けて、並び順を算出可能なデータ及び有効期限を記憶部に記憶してもよい。

データの入れ替え方法を算出可能なデータは、例えば、［７，４，８，…］といった数字の配列データ、あるいは、このようなデータ列を出力するランダム関数のシード値であってよい。このランダム関数は、シード値を用いて連続した数列が得られる関数であればよく、必ずしも予測困難な数列が得られるものでなくてもよい。

ウェブサイトフィンガープリントデータの複数の要素には、例えば、次のものが用いられる。
・アクセス先のＵＲＬ
・アクセス先のＵＲＬのパス
・アクセス時の通信プロトコル
・ブラウザのユーザエージェント
・ブラウザの提供する特定スクリプト向け機能の有無
・ウェブサイトを構成するＨＴＭＬのＤＯＭ情報
・ウェブサイトフィンガープリント情報の生成直前までのユーザ操作履歴
・ユーザ操作時におけるＨＴＭＬのＤＯＭイベントの発生状況

なお、ＨＴＭＬのＤＯＭイベントの発生状況とは、例えば、マウスクリック又は画面タッチ時等に、ＨＴＭＬのＤＯＭの各要素に発生するイベントの伝播モデルを示し、これにより、想定されるブラウザと同じ機能を持つ環境で実行されていることを確認できる。

プログラム生成部１２は、端末２０のブラウザにフォーマット指定データ、及びウェブサイトフィンガープリントデータの複数の要素を指定の並び順に出力させるためのワンタイムプログラムを生成し、ブラウザに送信する。
このとき、プログラム生成部１２は、ワンタイムプログラムを、所定のアルゴリズム（最適化処理又は難読化処理等）により難読化して送信してもよい。

具体的には、プログラム生成部１２は、例えば、ウェブサイトフィンガープリントデータの要素それぞれの並び順に応じた、出力箇所を指定したプログラム部品を、ランダムに配置してワンタイムプログラムを生成する。

すなわち、フォーマット指定データＦを出力するプログラム部品Ｐ_Ｆと、ウェブサイトフィンガープリントデータを構成するｋ個のデータＮ_１～Ｎ_ｋのそれぞれについて、該当のデータを収集し指定位置ｉに出力するプログラム部品Ｐ_１（ｉ）～Ｐ_ｋ（ｉ）が用意され、これらがランダムに配置される。
ここで、フォーマット指定データＦは、ｘ番目のデータをｙ番目に出力するデータ入れ替え方法Ｃ（ｘ）＝ｙを示すものとする。

図３は、本実施形態におけるプログラム部品を例示する図である。
Ｐ_Ｆは、０番目の位置に、フォーマット指定データを出力するプログラム部品である。
また、１番目のデータであるユーザエージェントを７番目に出力し、２番目のデータであるアクセス先ＵＲＬを４番目に出力し、３番目のデータであるアクセス先パスを８番目に出力する、…という入れ替え方法Ｃ（１）＝７，Ｃ（２）＝４，Ｃ（３）＝８，…にそれぞれ相当するプログラム部品Ｐ_１（７），Ｐ_２（４），Ｐ_３（８），…が用意される。

図４は、本実施形態におけるワンタイムプログラムの第１の例を示す図である。
用意された図３のプログラム部品Ｐ_１（Ｃ（１））～Ｐ_ｋ（Ｃ（ｋ））を、Ｃ（ｘ）の順に、又はランダムに入れ替えて配置し、さらに、これらを動作させるために必要な依存関係プログラムを付与することにより、ワンタイムプログラムＰ_ＸＡが生成される。

また、プログラム生成部１２は、ウェブサイトフィンガープリントデータの要素それぞれの出力箇所を含まないプログラム部品を、指定の並び順に従って配置することによりワンタイムプログラムを生成してもよい。

図５は、本実施形態におけるワンタイムプログラムの第２の例を示す図である。
ここでは、出力位置の指定が省略されたプログラム部品Ｐ_Ｆ及びＰ_１～Ｐ_ｋが、指定の並び順に配置されている。

例えば、入れ替え方法Ｃ（７）＝１，Ｃ（４）＝２，Ｃ（８）＝３，…が指定された場合に、Ｐ_Ｆに続いてＰ_１～Ｐ_ｋがＣ（ｘ）の順に、すなわち、Ｐ_７，Ｐ_４，Ｐ_８，…の順に配置されている。さらに、これらを動作させるために必要な依存関係プログラムを付与することにより、ワンタイムプログラムＰ_ＸＡが生成される。

判定部１３は、端末２０のブラウザが実行したワンタイムプログラムにより生成されたウェブサイトフィンガープリント情報を、ブラウザから有効期限までに受信した際に、このウェブサイトフィンガープリント情報が所定の条件に合致している場合にのみ、正常なアクセスである、すなわち、ユーザの端末２０が真正なサイトを正常に閲覧していると判定する。これにより、ユーザが動的に複製されたフィッシングサイトにアクセスしている、又は真正サイトを自動操縦して複製する等の不正アクセスがされている等の異常が検知される。

ここで、所定の条件とは、ウェブサーバ１０が直前に提供した真正サイトの情報、及びサイト上で自動操縦でなくユーザが正常に操作した場合に得られる情報等の正常値（期待値）と、ウェブサイトフィンガープリント情報とが合致することである。

図６は、本実施形態における検知方法の流れを示すシーケンス図である。
この例では、ウェブページＡからＢへの遷移に伴って、ウェブサーバ１０が不正アクセスの有無を検知する。

ステップＳ１において、端末２０は、ブラウザによりウェブサーバ１０にアクセスし、ウェブページＡを要求する。
ステップＳ２において、ウェブサーバ１０は、要求されたウェブページＡのデータ（ＨＴＭＬ、スクリプト等）を端末２０に返送する。

ステップＳ３において、端末２０は、ウェブページＡの表示画面において、クリック又はタッチ等のユーザ操作により次のウェブページへの遷移要求を受け付ける。
ステップＳ４において、端末２０は、遷移要求に応じて、ウェブページＡの記載に従い、ワンタイムプログラムＰ_ＸＡをウェブサーバ１０に要求する。
ステップＳ５において、ウェブサーバ１０は、フォーマット指定データＦをランダムに決定し、決定したフォーマットに従って、ワンタイムプログラムＰ_ＸＡを生成して端末２０へ返送する。

ステップＳ６において、端末２０は、ワンタイムプログラムＰ_ＸＡによりウェブサイトフィンガープリント情報Ｘを生成し、ステップＳ３の遷移要求に対して、Ｘと付与してウェブサーバ１０へウェブページＢを要求する。

ステップＳ７において、ウェブサーバ１０は、ウェブサイトフィンガープリント情報Ｘからフォーマット指定データＦを取り出し、Ｆにより特定されるデータ入れ替え方法Ｃ（ｘ）に従って、予め定められたフィンガープリントデータの期待値の順序を入れ替える。そして、ウェブサーバ１０は、順序を入れ替えた期待値がＸに含まれるウェブサイトフィンガープリントデータと合致するか否かを判定する。

ステップＳ８において、ウェブサーバ１０は、ステップＳ７の判定結果に応じて、端末２０に対して提供するサービスを変化させる。すなわち、ウェブサーバ１０は、ウェブサイトフィンガープリントデータが期待値と合致している場合は、要求に応じたウェブページＢのデータを返送し、合致しない場合は、例えば、端末２０にエラー画面等を表示させ、サービスの提供を中断する。

なお、ウェブサイトフィンガープリント情報Ｘを生成するためのワンタイムプログラムＰ_ＸＡを取得するタイミングはこれには限られず、ウェブページＡの記載に応じた所定のタイミングで実装されてよい。

本実施形態によれば、検知システム１は、ランダムに生成したフォーマット指定データに応じて、都度異なるプログラム構造を持ったワンタイムプログラムを生成し、これにより、毎回フォーマットがランダムに変更されるウェブサイトフィンガープリント情報を取得する。
さらに、ランダムに決定されたウェブサイトフィンガープリントデータの出力フォーマットに対して、短い有効期限（例えば、１０秒）を付与することで、限られた時間にワンタイムの出力フォーマットを偽装することを困難にし、この結果、検知システム１は、不正アクセスによるウェブサイトの複製を精度良く検知できる。

このとき、検知システム１は、フォーマット指定データを暗号化、又は識別子のみとすることにより、攻撃者による解読を困難にし、ウェブサイトフィンガープリント情報の偽装をより困難にできる。
また、検知システム１は、ワンタイムプログラムを難読化して送信することで、さらに攻撃者による解読を困難にし、ウェブサイトフィンガープリント情報の偽装をより困難にできる。

検知システム１は、出力箇所を指定したプログラム部品をウェブサーバ１０において用意し、これらをランダムに配置することにより、都度異なるワンタイムプログラムを容易に生成することができる。
また、検知システム１は、出力箇所を含まないプログラム部品を並び順に従って配置してワンタイムプログラムを生成してもよい。これにより、簡潔なプログラム部品を用いて容易にワンタイムプログラムを生成できる。

ウェブサイトフィンガープリントデータの要素は、例えば、アクセス先のＵＲＬ、当該ＵＲＬのパス、アクセス時の通信プロトコル、前記ブラウザのユーザエージェント、ブラウザの提供する特定スクリプト向け機能の有無、ウェブサイトを構成するＨＴＭＬのＤＯＭ情報、ユーザ操作履歴、ユーザ操作時におけるＨＴＭＬのＤＯＭイベントの発生状況等を含む。
このように、検知システム１は、ブラウザが有する複数の機能に対応したデータを複数出力させることで、ウェブサイトフィンガープリントデータ全体を偽装することを極めて困難にできる。特に、ウェブサイトの構造情報（ＤＯＭ）を取得することでサイトの複製を困難にし、操作履歴を取得することで、ユーザとロボット（自動操縦）との違いを適切に検知することができる。

なお、前述の実施形態により、例えば、フィッシングサイトの構築を抑制できることから、国連が主導する持続可能な開発目標（ＳＤＧｓ）の目標９「レジリエントなインフラを整備し、持続可能な産業化を推進するとともに、イノベーションの拡大を図る」に貢献することが可能となる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

前述の実施形態では、ウェブサイトフィンガープリント情報を自動的にウェブサーバ１０へ送信することによりウェブサイトにアクセスする手順を示したが、これには限られない。例えば、ウェブサイトの記載に従って、フィンガープリント情報がブラウザ上に表示されてもよい。この場合、例えば、ユーザが表示データを有効期限内に所定のアプリケーションの入力欄に貼り付けることで、正当なアクセスであることの認証が可能となる。

検知システム１による検知方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１検知システム
１０ウェブサーバ
１１フォーマット生成部
１２プログラム生成部
１３判定部
２０端末

Claims

ウェブサイトの記載に従ったブラウザからのアクセスに応じて、当該ウェブサイトのフィンガープリント情報を構成する複数の要素の並び順をランダムに決定し、当該並び順、及び所定の有効期限を特定可能なフォーマット指定データを生成するフォーマット生成部と、
前記ブラウザに前記フォーマット指定データ、及び前記複数の要素を前記並び順に出力させるためのワンタイムプログラムを生成し、当該ブラウザに送信するプログラム生成部と、
前記ワンタイムプログラムにより生成された前記フィンガープリント情報を、前記ブラウザから前記有効期限までに受信した際に、当該フィンガープリント情報が所定の条件に合致している場合にのみ、前記アクセスを正常と判定する判定部と、を備える検知装置。
前記フォーマット生成部は、前記並び順を算出可能なデータ、及び前記有効期限を暗号化して、前記フォーマット指定データを生成する請求項１に記載の検知装置。
前記並び順を算出可能なデータ、及び前記有効期限を、識別子に対応付けて記憶する記憶部を備え、
前記フォーマット生成部は、前記識別子を前記フォーマット指定データとして生成する請求項１に記載の検知装置。
前記プログラム生成部は、前記ワンタイムプログラムを、所定のアルゴリズムにより難読化して送信する請求項１から請求項３のいずれかに記載の検知装置。
前記プログラム生成部は、前記要素それぞれの並び順に応じた出力箇所を指定したプログラム部品を、ランダムに配置して前記ワンタイムプログラムを生成する請求項１から請求項４のいずれかに記載の検知装置。
前記プログラム生成部は、前記要素それぞれの出力箇所を含まないプログラム部品を、前記並び順に従って配置して前記ワンタイムプログラムを生成する請求項１から請求項４のいずれかに記載の検知装置。
前記複数の要素は、アクセス先のＵＲＬ、当該ＵＲＬのパス、アクセス時の通信プロトコル、前記ブラウザのユーザエージェント、ブラウザの提供する特定スクリプト向け機能の有無、ウェブサイトを構成するＨＴＭＬのＤＯＭ情報、ユーザ操作履歴、ユーザ操作時におけるＨＴＭＬのＤＯＭイベントの発生状況の少なくともいずれかを含む請求項１から請求項６のいずれかに記載の検知装置。
前記ウェブサイトは、前記フィンガープリント情報を前記ブラウザ上に表示させるものである請求項１から請求項７のいずれかに記載の検知装置。
ウェブサイトの記載に従ったブラウザからのアクセスに応じて、当該ウェブサイトのフィンガープリント情報を構成する複数の要素の並び順をランダムに決定し、当該並び順、及び所定の有効期限を特定可能なフォーマット指定データを生成するフォーマット生成ステップと、
前記ブラウザに前記フォーマット指定データ、及び前記複数の要素を前記並び順に出力させるためのワンタイムプログラムを生成し、当該ブラウザに送信するプログラム生成ステップと、
前記ワンタイムプログラムにより生成された前記フィンガープリント情報を、前記ブラウザから前記有効期限までに受信した際に、当該フィンガープリント情報が所定の条件に合致している場合にのみ、前記アクセスを正常と判定する判定ステップと、をコンピュータが実行する検知方法。
請求項１から請求項８のいずれかに記載の検知装置としてコンピュータを機能させるための検知プログラム。