JP2023118166A - 認証システム及びコンピュータプログラム - Google Patents

Abstract

【課題】フィッシング攻撃による詐欺等の被害を抑制すること【解決手段】ユーザ端末にインストールされているアプリケーションソフトウェアの利用時に前記ユーザ端末に係るユーザを認証する認証システムであって、前記サーバに対する前記ユーザ端末への認証コードの送信要求を受け付ける認証コード送信要求受付手段と、前記認証コードの送信要求を受け付け、前記認証コードが付帯した認証用ＵＲＬを前記ユーザ端末に送信する認証用ＵＲＬ生成手段と、前記ユーザ端末に表示される前記認証用ＵＲＬの選択操作に基づいて、前記認証用ＵＲＬの生成元の前記サーバに対する前記認証コードの認証実行要求を受け付ける認証コード認証実行要求受付手段と、前記認証用ＵＲＬにおいて前記認証コードの認証実行要求に係る認証コードを認証する認証手段と、を備えることを特徴とする認証システム。【選択図】図３

Description

この発明は、端末を使用するユーザを認証するシステム及びコンピュータプログラムに関する。

従来、ネットバンキングやショッピングサイトでは、ユーザ認証の信頼性を高めるため、ＩＤ・パスワードに加え、ワンタイムパスワードや生体情報等の入力を求める多要素認証が採用されている。

しかし、このような認証技術を採用しているにもかかわらず、近年、多要素認証を突破する手口によるネットバンキングの不正送金の被害が増加している。多要素認証を突破する手口として図５に示すフィッシングＳＭＳが挙げられる。
１．攻撃者からユーザに偽のＳＭＳ（フィッシングＳＭＳ）が送られる。
２．ユーザはフィッシングＳＭＳに表示されている偽サイト（フィッシングサイト）へアクセスする。
３．正規サイトを装ったフィッシングサイトにおいて、ユーザはＩＤ及びパスワードを入力する。続いて認証番号の入力が求められる。
４．攻撃者はフィッシングサイトにおいてユーザのＩＤ及びパスワードを取得し、これらを使用して正規サイトにログインする。
５．正規サイトからユーザに認証番号が送られる。
６．ユーザは送られてきた認証番号をフィッシングサイトの認証番号入力画面に入力する。
７．攻撃者はフィッシングサイトにおいて認証番号を取得し、これを取引パスワード入力画面に入力して正規サイトで各種の手続き（例えば送金など）を行う。

特開２００９－３０１４４６号公報

上記のようなフィッシング攻撃による多要素認証突破を防ぐシステムの提案が望まれている。

この発明は、フィッシング攻撃による詐欺等の被害を抑制することを目的とする。

［１］
ユーザが使用するユーザ端末にインストールされているアプリケーションソフトウェアの利用時又はＷｅｂサービスを提供するサーバへアクセスして前記Ｗｅｂサービスを利用する時に前記ユーザ端末に係るユーザを認証する認証システムであって、
前記サーバに対する前記ユーザ端末への認証コードの送信要求を受け付ける認証コード送信要求受付手段と、
前記認証コードの送信要求を受け付け、前記認証コードが付帯した認証用ＵＲＬを前記ユーザ端末に送信する認証用ＵＲＬ生成手段と、
前記ユーザ端末に表示される前記認証用ＵＲＬの選択操作に基づいて、前記認証用ＵＲＬの生成元の前記サーバに対する前記認証コードの認証実行要求を受け付ける認証コード認証実行要求受付手段と、
前記認証用ＵＲＬにおいて前記認証コードの認証実行要求に係る認証コードを認証する認証手段と、を備える
ことを特徴とする認証システム。

［２］
［１］に記載した認証システムとしてコンピュータを機能させるためのコンピュータプログラム。

この発明によれば、フィッシング攻撃による詐欺等の被害を抑制することができる。

本実施形態の認証システムの構成の一例を表す図である。 本実施形態の認証システムによる認証処理の一例を表すフロー図である。 （ａ）から（ｆ）はそれぞれ、本実施形態の認証システムによる認証処理におけるユーザ端末の画面遷移の一例を表す図である。 本実施形態の認証システムによる効果の一例としてフィッシング攻撃の防止を表す概念図である。 多要素認証突破によるフィッシング被害の一例を表す概念図である。

以下、添付図面を参照して、本発明の実施形態の一例を説明する。本実施形態の認証システムは、一又は複数のコンピュータで構成され、ユーザが使用するユーザ端末にインストールされているサービス提供者が提供するサービスに係るアプリケーションソフトウェアの利用時又はサービス提供者のＷｅｂサイト上で提供されるサービスをユーザが利用する際に使用されるものである。

一実施形態として、ユーザが使用するユーザ端末にインストールされている金融機関が提供するサービスに係るアプリケーションソフトウェアの使用時にユーザの認証を行う認証システムである。

他の実施形態として、金融機関のＷｅｂサービスの利用時にユーザの認証を行う認証システムである。

このような認証システムは、ユーザに対して上述したアプリケーションソフトウェアやＷｅｂサービスを提供する金融機関が一又は複数のコンピュータを用いて提供、管理するシステムである。

一実施形態として、ユーザが使用するユーザ端末と金融機関が管理するサーバとをネットワークを介して通信可能に接続し、サーバ側でユーザ端末に係るユーザを認証する形態で認証システムを構築することができる。

図１に示す認証システム１は、インターネット通信網、無線通信規格で定められている無線通信網を含む通信ネットワーク４を通じて、ユーザが使用するユーザ端末２と金融機関が管理するサーバ３とが通信可能に接続されて構築されている。

本実施形態には、この実施形態で説明する認証システムシステム１としてコンピュータを機能させるためのコンピュータプログラムを含む。

［ユーザ端末］
ユーザ端末２は、金融機関が提供するサービスを利用するユーザが使用する端末であって、パーソナルコンピュータ、スマートフォン、タブレット、等の端末である。図示していないが、ユーザ端末２は、ＣＰＵ等により構成され各種データの処理、演算を行う演算処理部と、メインメモリ等の各種データを記憶する主記憶部と、内蔵ストレージ等の補助記憶装置と、液晶ディスプレイ等の情報出力部と、タッチパネル等の情報入力部と、サーバ３と各種情報の送受信を行う通信部と、サーバ３へアクセスし金融機関が提供するＷｅｂサービスを利用するためのウェブブラウザを備えている。

図１に示す形態では、ユーザ端末２には、金融機関が提供するサービスに係る各種機能を実行可能なアプリケーションソフトウェア５がインストールされている。このアプリケーションソフトウェア５を起動することで、ユーザ端末２が画面遷移制御手段（不図示）、要素認証実行要求受付手段６、認証コード送信要求受付手段７、認証コード認証実行要求受付手段９、等として機能し、サーバ３と協働して本実施形態の認証システム１による情報処理が実行される。

［サーバ］
サーバ３は、金融機関が管理する各種サーバで構成される。一例として、金融機関がユーザに対して各種サービスを提供するため、アクセスしてきたユーザ端末２に対して金融機関のサービスに係るＷｅｂサイトを提供するＷｅｂサーバとしての機能を含むサーバである。図示していないが、サーバ３は、ＣＰＵ等により構成され各種データの処理、演算を行う演算処理部と、メインメモリ等の各種データを記憶する主記憶部と、内蔵ストレージ等の補助記憶装置と、液晶ディスプレイ等の情報出力部と、タッチパネル等の情報入力部と、ユーザ端末２と各種情報の送受信を行う通信部と、を備えている。また、サーバについては一もしくは複数の機器から構成してもよく、又はクラウド上で実現されるサーバであってもよい。

図１に示す形態では、サーバ３はＷｅｂサーバとしての機能の他、認証用ＵＲＬ生成手段８、認証手段１０及びセッション管理手段１１を備えている。

［認証処理フロー］
図２及び図３を参照して、本実施形態の認証システム１の処理フローの一例を説明する。

（Ｓ１０１）
ユーザ端末２においてアプリケーションソフトウェア５が起動すると、画面遷移制御手段はユーザ端末２の表示画面を所定のログイン画面へと遷移する処理を行う。要素認証実行要求受付手段６は、サーバ３に対するユーザの認証要素の認証実行要求を受け付ける処理を行う。本実施形態では前記ログイン画面において、図３（ａ）に示すようなログインＩＤ及びパスワードといった認証要素の入力をユーザ端末２に求める。ユーザがユーザ端末２を操作してログインＩＤ及びパスワードといった認証要素を入力すると、要素認証実行要求受付手段６は、入力された認証要素をサーバ３に送信し、認証実行を要求する。

（Ｓ１０２）
サーバ３では、認証手段１０は、要素認証実行要求受付手段６が受け付けた認証要素を認証する処理を行い、その結果をユーザ端末２に送信する処理を行う。

（Ｓ１０３）
要素認証が正常に行われた場合、ユーザ端末２では、認証コード送信要求受付手段７は、サーバ３に対するユーザ端末２への認証コードの送信要求を受け付ける処理を行う。本実施形態では、例えば入出金サービスを利用する際に取引パスワードが要求される場合において、図３（ｂ）に示すようなＳＭＳによる認証コードの送信要求を受け付けるアイコンが表示される。ユーザがユーザ端末２を操作して前記アイコンを選択すると、認証コード送信要求受付手段７は、ユーザ端末２に対して認証コードをショートメッセージで送信するようサーバ３へ要求する。画面遷移制御手段はユーザ端末２の表示画面を図３（ｃ）に示すような認証コード送信要求完了画面へと遷移する処理を行う。

（Ｓ１０４）
サーバ３では、認証用ＵＲＬ生成手段８は、認証コード送信要求受付手段７からのユーザ端末２への認証コードの送信要求を受け付け、認証コード及び当該認証コードが付帯した認証用ＵＲＬを生成する処理を行う。本実施形態では、認証用ＵＲＬ生成手段８は、認証コード送信要求に対して所定の認証コードを生成するとともに、前記認証コードが付帯し、認証用Ｗｅｂサイトへのリンク先となる認証用ＵＲＬを生成する。前記認証用ＵＲＬは一例としてユニバーサルリンクを採用することができる。認証用ＵＲＬ生成手段８は、生成した認証用ＵＲＬを認証コード送信要求に係るユーザ端末２へ送信する。
セッション管理手段１１は、認証コード生成・送信処理に係るユーザ端末２とサーバ３間の情報処理についてのセッションに紐づくセッションＩＤを生成する。生成されたセッションＩＤは前記認証用ＵＲＬとともにユーザ端末２に送信される。セッション管理手段１１は、認証用ＵＲＬ生成手段８が生成した認証用ＵＲＬの有効期限を定め、有効期限を過ぎた認証用ＵＲＬを使用した場合、ユーザ端末２とサーバ３間のセッションを終了するようにセッションＩＤに条件を設定する。
画面遷移制御手段はユーザ端末２の表示画面を図３（ｄ）に示すような認証用ＵＲＬ送信完了画面へと遷移する処理を行う。なお、認証用ＵＲＬ生成手段８は上述した処理に加え、図３（ｄ）に示すようなフィッシング攻撃に対する警告メッセージをユーザ端末２に送信する処理を行うこととしてもよい。

（Ｓ１０５、Ｓ１０６）
ユーザ端末２では、ユーザがユーザ端末２を操作して認証用ＵＲＬを選択すると、認証コード認証実行要求受付手段９は、選択された認証用ＵＲＬを生成したサーバ３に対する認証コードの認証実行要求を受け付ける処理を行う。本実施形態では、図３（ｄ）に示すような認証用ＵＲＬ１２が選択されると、認証コード認証実行要求受付手段９は、選択された認証用ＵＲＬ１２に付帯している認証コードと、前記セッションＩＤとを受け付け、これらをサーバ３に送信する。画面遷移制御手段はユーザ端末２の表示画面を図３（ｅ）に示すような認証処理中画面へと遷移する処理を行う。

（Ｓ１０７、Ｓ１０８）
サーバ３では、認証手段１０は、認証コード認証実行要求受付手段９が受け付けた認証コードの認証実行要求に係る認証コードを認証する処理を行い、その結果をユーザ端末２に送信する処理を行う。本実施形態では、認証手段１０は、ユーザ端末２から取得した認証コード認証実行要求に係る認証コードを、認証用ＵＲＬ生成手段８が生成した認証用ＵＲＬに付帯している認証コードと照合する。また、認証手段１０は、ユーザ端末２から取得したセッションＩＤを、セッション管理手段１１がＳ１０４の認証コード生成・送信処理時に生成したセッションＩＤと照合する。
認証手段１０は認証結果をユーザ端末２に送信する。認証コードの認証処理が正常に行われた場合、画面遷移制御手段はユーザ端末２の表示画面を図３（ｅ）に示すような認証完了画面へと遷移する処理を行い、ユーザは引き続きアプリケーションソフトウェアの機能を利用して各種の手続き、例えば入出金サービスを利用することができる。認証コードの認証処理に不備があった場合、画面遷移制御手段はユーザ端末の表示画面を所定のエラー画面へと遷移する処理を行う。

本実施形態の認証システム１によれば、フィッシング攻撃による多要素認証突破を防止することができる。上述したように、現在のフィッシング攻撃による多要素認証突破の手口は、ＳＭＳを利用して攻撃者側が用意した正規サイトを装った偽サイトへユーザを誘導し、当該偽サイトにてログイン情報や取引パスワードを搾取するものである。

本実施形態の認証システム１では、認証コードが付帯した認証用ＵＲＬをユーザ端末に表示させ当該認証用ＵＲＬを選択して認証コードを認証する仕組みを採用している。そのため、攻撃者側は偽サイトへユーザを誘導してログイン情報を搾取することができても、認証用ＵＲＬを搾取するためには図４に示すようなＵＲＬの貼り付け指示といった誘導画面を準備しなければならない。しかし、このようなＵＲＬの貼り付けを指示する誘導画面は、セキュリティチェックの流れとしては不自然な画面であり、その後の正規サイトから送信される図４に示すような認証用ＵＲＬが表示されることで、前画面がフィッシング攻撃であることをユーザに認知させ、警戒を促すことができる。

また、仮に、ユーザが認証用ＵＲＬを偽サイトの入力画面に入力しても、本実施形態の認証システム１では、認証手段１０は、ユーザ端末２から取得した認証コード認証実行要求に係る認証コードを、認証用ＵＲＬに付帯している認証コードと照合するとともに、ユーザ端末２から取得したセッションＩＤを、セッション管理手段１１がＳ１０４の認証コード生成・送信処理時に生成したセッションＩＤと照合する。

そこで、図４に示す例の場合、認証コード送信要求受付手段７からの認証コード送信要求を受け付けた際に取得したセッションＩＤが攻撃者側の端末とサーバ３間のセッションとなるので、ユーザ端末２から取得した認証コード認証実行要求に係るユーザ端末２とサーバ３間のセッションが、認証コード送信要求受付手段７からの認証コード送信要求を受け付けた際に取得した攻撃者側の端末とサーバ３間のセッションと一致しない。

そのため、認証コードの認証処理は失敗に終わり図４に示すようなエラーメッセージが表示されるので、攻撃者側は取引パスワード等を搾取することができない。

１ 認証システム
４ 通信ネットワーク
１２ 認証用ＵＲＬ

Claims (3)

1. ユーザが使用するユーザ端末にインストールされているアプリケーションソフトウェアの利用時又はＷｅｂサービスを提供するサーバへアクセスして前記Ｗｅｂサービスを利用する時に前記ユーザ端末に係るユーザを認証する認証システムであって、
   前記サーバに対する前記ユーザ端末への認証コードの送信要求を受け付ける認証コード送信要求受付手段と、
   前記認証コードの送信要求を受け付け、前記認証コードが付帯した認証用ＵＲＬを前記ユーザ端末に送信する認証用ＵＲＬ生成手段と、
   前記ユーザ端末に表示される前記認証用ＵＲＬの選択操作に基づいて、前記認証用ＵＲＬの生成元の前記サーバに対する前記認証コードの認証実行要求を受け付ける認証コード認証実行要求受付手段と、
   前記認証用ＵＲＬにおいて前記認証コードの認証実行要求に係る認証コードを認証する認証手段と、を備える
   ことを特徴とする認証システム。
2. 前記認証用ＵＲＬとともに前記ユーザ端末に送信される、前記ユーザ端末と前記サーバ間の情報処理についてのセッションに紐づくセッションＩＤを生成するセッション管理手段をさらに備え、
   前記認証コード認証実行要求受付手段は、前記認証コードの認証実行要求を受け付ける際に、前記認証用ＵＲＬに付帯している前記認証コードを前記セッションＩＤとともに受付け、
   前記認証手段は、前記認証コード認証実行要求受付手段が受け付けた前記認証コード認証実行要求に係る認証コードを、前記認証用ＵＲＬ生成手段が生成した認証用ＵＲＬに付帯している認証コードと照合し、前記認証コード認証実行要求受付手段が受け付けた前記セッションＩＤを、前記セッション管理手段が生成したセッションＩＤと照合する
   ことを特徴とする請求項１記載の認証システム。
3. 請求項１又は２に記載した認証システムとしてコンピュータを機能させるためのコンピュータプログラム。

Images