JP2023524934A - オンライン詐欺マルウェアのセキュアな検出 - Google Patents

オンライン詐欺マルウェアのセキュアな検出 Download PDF

Info

Publication number
JP2023524934A
JP2023524934A JP2022556210A JP2022556210A JP2023524934A JP 2023524934 A JP2023524934 A JP 2023524934A JP 2022556210 A JP2022556210 A JP 2022556210A JP 2022556210 A JP2022556210 A JP 2022556210A JP 2023524934 A JP2023524934 A JP 2023524934A
Authority
JP
Japan
Prior art keywords
browser
computing system
web
secure multi
sending
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2022556210A
Other languages
English (en)
Other versions
JP7411111B2 (ja
Inventor
ガン・ワン
デイヴィッド・ブルース・ターナー
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Google LLC
Original Assignee
Google LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Google LLC filed Critical Google LLC
Publication of JP2023524934A publication Critical patent/JP2023524934A/ja
Application granted granted Critical
Publication of JP7411111B2 publication Critical patent/JP7411111B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Bioethics (AREA)
  • Theoretical Computer Science (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Information Transfer Between Computers (AREA)
  • Computer And Data Communications (AREA)

Abstract

オンライン詐欺のセキュアな検出のための方法が提供される。本方法は、ブラウザアクティビティを表す暗号化されたプロファイルを生成することと、暗号化されたプロファイルを、セキュアマルチパーティ計算システムに送ることと、ウェブブラウザがオンライン詐欺に関与していないとの判定に基づいて、セキュアマルチパーティ計算システムからトラストトークンを受信することと、セキュアマルチパーティ計算システムを用いてトラストトークンを引き換えるための要求を送ることと、ウェブコンテンツに関連するウェブサイトがブロックされていないとの判定に基づいて、セキュアマルチパーティ計算システムから暗号化された引換えレコードを受信することと、暗号化された引換えレコードを含む、サードパーティコンテンツを求める要求を送ることであって、サードパーティコンテンツがウェブコンテンツに関連するものである、送ることとを含む。

Description

本文献は、オンライン詐欺マルウェアをセキュアに検出するための方法に関する。いくつかの典型的なオンライン詐欺シナリオでは、悪意あるパブリッシャおよび/またはそれらのパートナが、金融上の違法な利益を得るために、マルウェア(またはペイトゥクリック(pay-to-click))に感染した多くのブラウザを、悪意あるパブリッシャのウェブページをクリックするように操作する。この類のオンライン詐欺は、パブリッシャインフレーション(publisher inflation)と一般に呼ばれる。ひとたびブラウザベンダらがサードパーティクッキーを非推奨にすれば、データセキュリティを維持しながら複数のウェブサイトにわたってブラウザの閲覧履歴またはクリック履歴を収集する効果的な方途は現在のところ全くない。したがって、詐欺対策ベンダが、マルウェアに感染したためパブリッシャインフレーションに関与しているブラウザまたはウェブビューのセットを、サードパーティクッキーを一切使用せず、クライアントデータのセキュリティを維持しながら、識別することが必要とされている。
例として、ユーザは、複数のウェブサイトおよびドメインにわたって複数のパブリッシャのウェブコンテンツを閲覧することができる。ユーザには、いくつかの要因、例えば閲覧履歴、現在閲覧されているウェブコンテンツ、パブリッシャなどに基づいて、コンテンツが提供される。オンライン詐欺マルウェアによる影響を受けたクライアントは、疑わしい同一ウェブコンテンツパブリッシャのウェブコンテンツを繰り返し要求し、それらの疑わしいウェブパブリッシャのウェブコンテンツに対する同一アクションに繰り返し関与する傾向がある。このため、これらの疑わしいウェブパブリッシャに、それらのウェブコンテンツへの詐欺的なアクセスに関係する、オンラインコンテンツに対する支払いが行われるという結果となり得る。
IPアドレスは、ウェブサイトにわたってクライアントを追跡するための最も重要なフィンガープリンティング信号(fingerprinting signal)のうちの1つである。しかし、クライアントセキュリティ上の懸念は、IPアドレスを使用した結果として生じる。例として、Willful IP Blindnessエクスプレイナ(explainer)には、悪用対策/詐欺対策を含むいくつかを免除して、IPアドレスのいかなる使用もPrivacy Budgetに対してカウントされると規定されている。IPアドレスは、本質的に、オープンなインターネット上でそれらを見いだし、ルーティングすることができるような、クライアントにとって一意の識別子を提供する。IPアドレスは受動的な情報源であるため、Privacy Budgetエクスプレイナには、IPアドレスは、全てのサイトについて消費される識別情報源とみなされ、バジェットから自動的に差し引かれなければならないと記載されている。クライアントデータセキュリティについての懸念の高まりに直面して、プロトコルのこの特徴は、IPアドレスがある期間にわたって安定している場合(しばしばそうである)、そのIPアドレスを使用してファーストパーティウェブサイトにわたってクライアントを識別できるという点で、バグに転じた。
さらに、いかなる目的であれIPアドレスを使用して複数のサイトにわたってユーザを追跡することは、ユーザデータセキュリティ上の懸念のため、許容されてはならない。これが特に問題となるのは、それ自体で大きな情報源となることのあるAPIの場合であり、というのも、そのようなシステムによってIPアドレスが使用されると、いかなる妥当なクライアントデータセキュリティバジェットも超過することになるためである。Privacy Budgetに直面して、IPアドレスアクセスが差し引かれた後に残ったものよりも多くのAPIアクセスを必要とするウェブサイトについて、これらのウェブサイトには、セキュリティ上機密のクライアント識別IPアドレスへの暴露に加わらないことを選択する方途が必要となる。
一般に、本明細書において説明する本主題の革新的な一態様は、オンライン詐欺マルウェアをセキュアに検出するための方法において具現化することができる。HTTPアプリケーションが、IPアドレス、およびコネクションプーリング行動など他のクライアント識別ネットワーク情報を、HTTPアプリケーション自体に見えなくさせ、その事実をクライアントにアドバタイズし、それによって、クライアントがそれ自体の行動をそれに応じて変更できるようにするためのメカニズムが提供される。本発明の別の革新的な態様は、サーバがそのホストしているサービスのアプリケーション層からIPアドレスおよび他の識別ネットワーク情報をマスクしているという事実を伝える、署名された証明(signed attestation)を可能にする。コンテンツデリバリネットワーク(CDN)ならこれを、それがホストするサービスに対する特徴として提供することができ、それによって、ホストされたサービスが、それらのPrivacy BudgetがIPアドレスに関して使い果たされていないため、普通なら利用できるはずであるよりも多くのAPIにアクセスできるようになる。同様に、リバースプロキシなら、これと同じサービスを、サービスをホストするという負担なしに提供することができる。
本発明は、悪用対策/スパム対策ベンダが、クライアントデータセキュリティを保護しながら、少数のウェブページ、ドメイン、またはパブリッシャに常に作用するIPアドレスのセットまたはIPアドレスとユーザエージェントとの組合せを識別するための方法を提供する。このコンテキストでは、ユーザエージェントは、エンドユーザがウェブコンテンツと交わす対話を取り出し、レンダリングし、容易にするウェブブラウザなど、ユーザの代わりに働くソフトウェアとすることができる。この手法により、悪用対策/スパム対策ベンダが、クライアントデータセキュリティ、およびIPアドレスなど他の機密情報を維持するために、ブラウザを一般化することが可能になる。
本発明は、悪用対策/スパム対策ベンダが、クライアントデータセキュリティを促進しながら、少数のウェブページ、ドメイン、またはパブリッシャを常に訪問するかまたは少数のウェブページ、ドメイン、またはパブリッシャ上で常にコンバージョンするIPアドレスのセットまたはIPアドレスとユーザエージェントとの組合せを識別するための方法も提供する。この手法は、クリックタイプのアクティビティを、他のアクティビティタイプ、例えばページビューまたはコンバージョンに一般化する。
本発明は、悪用対策/スパム対策ベンダが、クライアントデータセキュリティを保護しながら、URLのセットに対して常に疑わしいアクティビティを行うIPアドレスのセットまたはIPアドレスとユーザエージェントとの組合せを識別するための方法をさらに提供する。この手法は、疑わしいアクティビティが行われるロケーションを、例えば、個々のURLからウェブサイトに、同一エンティティによって所有されるものなど関係するウェブサイトのグループに、一般化する。有益には、本明細書において開示する方法により、サードパーティクッキーを必要とすることなく、かつデータセキュリティを維持しながら、オンライン詐欺を識別することが可能になる。
本方法では、一般的なオーディエンス機械学習(ML)インフラストラクチャを利用する。本方法によれば、ブラウザが、詐欺検出ベンダによって指令されて、ウェブページ、ドメイン、または同一パブリッシャによって所有される複数のドメインにわたるブラウザのアクティビティ(例えばページビュー、クリック、またはコンバージョン)に基づくユーザプロファイルを作成する。ブラウザが、暗号化されたユーザプロファイルをセキュアマルチパーティ計算(MPC)クラスタに送った後、MPCクラスタは、オプションで、ブラウザのIPアドレスおよび/またはブラウザユーザエージェント文字列に基づいて、ユーザプロファイルを集約してよい。
本方法は、MPCクラスタが、2つのk-NNモデルまたはk-meansモデルなどの、2つのモデルを作成することを含む。一方のモデルにおいて、各近傍はブラウザ、またはIPアドレスおよび/もしくはユーザエージェント文字列にわたって集約されたブラウザである。このモデルは、同じロケーションのセット上で類似のオンラインアクティビティ、例えばページビュー、クリック、またはコンバージョンを行う、全てのブラウザ、またはIPアドレスおよび/もしくはユーザエージェント文字列にわたって集約されたブラウザを見いだすものである。ロケーションは、ウェブページ、ドメイン、または同一パブリッシャによって所有される複数のドメインとすることができる。第2のモデルにおいて、各近傍はロケーションである。このモデルは、類似のブラウザ(またはIPアドレスおよび/もしくはユーザエージェント文字列にわたって集約されたブラウザ)のセットが類似のアクティビティを行う全てのロケーションを見いだすものである。
この2つのモデルが相まって、詐欺検出ベンダが、詐欺的なエンティティ、例えばブラウザ、または同一IPアドレスおよび/もしくはブラウザユーザエージェントの背後にあるブラウザを識別することが可能になる。次いで、詐欺検出ベンダは、これらの詐欺的なエンティティに関するブロックリストを作成することができる。このブロックリストに基づいて、MPCクラスタは、ブロックリストに載っていないエンティティにトラストトークンを発行するトラストトークン発行者となることができる。
上記の実施形態および他の実施形態はそれぞれ、オプションで、これらの特徴のうちの1つまたは複数を含むことができる。
本態様の他の実施形態は、コンピュータ記憶デバイス上に符号化された方法のアクションを実施するように構成された、対応するシステム、装置、およびコンピュータプログラムを含む。
本文献において説明する本主題の特定の実施形態は、以下の利点のうちの1つまたは複数を実現するように実装することができる。ある特定の環境下では、サードパーティクッキーのない状態でオンライン詐欺を検出すると同時に、クライアントデータセキュリティを維持する方途が、これまで全くなかった。その欠点が、本明細書において論じる技法、デバイス、およびシステムによって対処される。本文献において説明する技法により、システムが、さまざまなユースケースの中でもとりわけオンライン詐欺を検出し克服することが可能になる。
本明細書において説明する本主題の1つまたは複数の実施形態の詳細は、添付の図面および以下の説明に記載されている。本主題の他の特徴、態様、および利点が、説明、図面、および特許請求の範囲から明らかとなろう。
クライアントデータセキュリティを保全しながらオンライン詐欺を検出するための例示的環境のブロック図およびフローチャートである。 ブラウザアクティビティ履歴を表現したものを示す図である。 ロケーションにわたるブラウザアクティビティ履歴を表現したものを示す図である。 オンライン詐欺マルウェアを検出および軽減するための例示的プロセスのブロック図およびフローチャートである。
さまざまな図面中の同様の参照番号および名称は、同様の要素を示す。
本文献では、オンライン詐欺マルウェアのセキュアな検出を可能にする方法、システム、およびデバイスについて説明する。
いくつかの実装形態では、本方法は、クライアントプライバシおよびクライアントIPアドレスの不明瞭化を維持しながらオンライン詐欺マルウェアを検出することを可能にするシステムを利用する。本方法によれば、悪用対策/スパム対策ベンダが、ブラウザをIPアドレスなど他のプライバシ機密情報に対して一般化することによってクライアントデータセキュリティを維持しながら、少数のドメインを常にクリックするIPアドレスのセットまたはIPアドレスとユーザエージェントとの組合せを識別する。また、本方法によれば、悪用対策/スパム対策ベンダが、ウェブコンテンツ訪問にわたってクライアントアクティビティを一般化することによってクライアントデータセキュリティを維持しながら、少数のドメインを常に訪問するかまたは少数のドメイン上で常にコンバージョンするIPアドレスのセットまたはIPアドレスとユーザエージェントとの組合せを識別する。さらに本方法によれば、悪用対策/スパム対策ベンダが、疑わしいアクティビティが行われるロケーションを一般化することによってクライアントデータセキュリティを維持しながら、URLのセットに対して常に疑わしいアクティビティを行うIPアドレスのセットまたはIPアドレスとユーザエージェントとの組合せを識別する。
一実装形態では、本方法は、ブラウザがクライアントに関するユーザプロファイルを維持することを含む。ブラウザは、ユーザプロファイル内に、ウェブコンテンツを求める要求、ウェブコンテンツに関係して行われるアクション、ウェブコンテンツのロケーション、IPアドレス、ブラウザの識別情報およびバージョン情報、ユーザエージェント文字列などを含めることができる。ブラウザは、ユーザデータセキュリティを維持しながら、ユーザプロファイルを詐欺対策ベンダシステムとセキュアに共有する。ブラウザは、ユーザプロファイル情報を指定の頻度で(例えば毎日)送るように構成することができる。詐欺対策ベンダシステムは、ユーザプロファイル情報を受信する。詐欺対策ベンダシステムは、ユーザプロファイル情報の一部分をMPCサーバに定期的に送ることができる。いくつかの実装形態では、ブラウザは、詐欺対策ベンダシステムによって指令されて、ユーザプロファイルをMPCサーバに直接、セキュアに送る。MPCサーバは、ユーザプロファイル間の類似度に基づくモデルを構築するためのマルチステップ秘匿計算に関与する。モデルは、閲覧行動が類似したIPアドレスのクラスタを詐欺対策ベンダシステムが識別するのを助ける。MPCサーバは、ユーザプロファイル集約結果を詐欺対策ベンダに送る。詐欺対策ベンダは、スパム対策解析または悪用対策解析を行うときに、このユーザプロファイル集約結果を利用する。詐欺対策ベンダは、スパム対策解析または悪用対策解析に基づいて、1つまたは複数のブロックリストを作成することができる。ブロックリストは、オンライン詐欺に関与していると判定されたウェブサイトまたはウェブサイトのパブリッシャのリストを含むことができる。ブロックリストは、オンライン詐欺に関与していると判定されたクライアント、IPアドレス、またはIPアドレスとユーザエージェントとの組合せを含むこともできる。詐欺の判定に基づいて、MPCサーバは、詐欺防止ベンダシステムからのブロックリストに基づき、クライアントがオンライン詐欺に関与していると判定されたかどうかを示すトラストトークンを、クライアントに、クライアントのグループに、または同一のIPアドレス、IPアドレスのグループ、もしくはIPアドレスとユーザエージェントとの組合せを有する全てのクライアントに、発行することができる。ブラウザは、あるパブリッシャのサイトを訪問するときに、MPCサーバを用いてトラストトークンを引き換えることができる。MPCサーバは、引換えプロセスの終わりにブラウザに発行される署名済み引換えレコード(SRR)内に、詐欺対策ベンダシステムからのブロックリストに基づいて、ブラウザが詐欺的であるかどうか、またはパブリッシャサイトが詐欺的であるかどうかを示す追加の信号を収容することができる。ブラウザは、広告技術プロバイダなどのデジタルコンポーネントプロバイダへの、ウェブコンテンツを求める要求に関連した要求内に、SRRを含めることができる。いくつかの実装形態では、詐欺対策ベンダシステムからのブロックリストに基づいて、MPCサーバは、ブロックリストに載っているブラウザへのトラストトークンの発行を拒否することもでき、あるいはブロックリストに載っているパブリッシャのウェブサイト上にブラウザがあるときに、トラストトークンの引換えを拒否することもできる。
一実装形態では、本発明に従って検出および防止すべき詐欺対策ユースケースのセットを、訪問グラフ(visitation graph)として、すなわちその頂点を互いに素である独立した2つの集合UおよびVに、各エッジが頂点UをVに属する頂点に接続するように分割することのできる2部グラフとして、視覚化することができる。そのような訪問グラフでは、Uに属する各頂点は、クッキー、ブラウザ、IPアドレス、IPアドレスとユーザエージェントとの組合せ、またはユーザに関係するクライアント情報の他の何らかのセットを表す。そのような訪問グラフでは、Vに属する各頂点は、ユニフォームリソースロケータ(URL)、ドメイン、同一パブリッシャに付属するドメインのセットなどのロケーションを表す。そのような訪問グラフでは、Uに属する頂点とVに属する頂点との間の各エッジは、特定のユーザ(例えばクッキー、ブラウザ、IPアドレス、IPアドレスとユーザエージェントとの組合せ、またはユーザに関係するクライアント情報の他の何らかのセット)が特定のロケーションにおいてアクティビティ(例えば訪問、クリック、コンバージョン)に関与したことを表す。オンライン詐欺は、U'からの出エッジ(outgoing edge)のかなりの割合がV'に向かい、かつ/またはV'への入エッジ(incoming edge)のかなりの割合がU'からであるような、U'⊂UおよびV'⊂Vを見いだすことによって、検出することができる。かなりの割合は、70%以上とすることができるが、発見的調整(heuristic tuning)またはMLを用いると、70%を上回る、または70%未満の、他のかなりの割合が明らかになり得る。そのような適切な部分集合の関係は、クライアントとロケーションがオンライン詐欺に関与した可能性があることを示す。他のさまざまな方法を使用して、クライアント、クライアントのグループ、IPアドレス、IPアドレスのグループ、またはIPアドレスとユーザエージェントとの組合せがオンライン詐欺に関与したかどうか、または関与しているかどうかを判定することができ、上記の方法は一例である。
一実装形態では、本方法は一般的なMLアーキテクチャを活用する。この一般的なMLアーキテクチャは、2つ以上のセキュアマルチパーティ計算サーバ、またはMPCサーバのクラスタを含むことができる。一般的なMPCサーバは、1つまたは複数のサードパーティエンティティに付属してよい。複数のサードパーティに付属する一般的なMPCサーバは、複数の独立したサーバのうちでクライアントIPデータ、ブラウザアクティビティ、およびロケーションデータを不明瞭化して、クライアントデータセキュリティを侵害するリスクを低減または阻止するという、付加的な恩恵を受ける。MPCは、複数のパーティが、少なくともしきい値数のパーティが正直であり続ける限りデータが漏洩することはないという暗号保証の下に、制限された明確に定義された出力のみを明らかにしながら入力に対して合同で計算することを可能にする、暗号学的メカニズムである。例えば、MPCは、集約されたプライベートの出力の計算を可能にしながらも補助サーバ側のインフラストラクチャは最小限に信頼すべきであるという高レベルの目標を満足させるために、いくつかのヘルパーサーバにわたって信頼を分散させる。MPCプロトコルは、データセキュリティの維持の点で利点をもたらす。例として、セキュア2パーティ計算セットアップでは、ヘルパーサーバは、両ヘルパーサーバが共謀しない限り平文でデータを見ることができず、一方のヘルパーサーバがサードパーティと共謀しても、データセキュリティは依然として維持される。
オプションの一実装形態では、デバイスレベルの信号またはアプリケーションレベルの信号に基づいてトラストトークンを発行するトラストトークン発行者が、あるHTTP要求が、信頼できるデバイスの上で実行されているブラウザの公式ビルドから生じたものであることを、受信側ドメインで検証できるようにする。そのような実装形態では、オペレーティングシステムがトラストトークンの定義または処理に関与してよい。
図1は、クライアントデータセキュリティを保全しながらオンライン詐欺を検出するための例示的環境のブロック図およびフローチャートである。この環境は、ブラウザ100、詐欺対策ベンダ110、およびMPC120を備える。デバイス100が、ユーザ130の要求に基づいて、ウェブコンテンツを要求し、表示する。ユーザ130は、人間のユーザであってもよく、アプリケーション、プロセス、スレッド、プログラムなどのソフトウェアエンティティであってもよい。
デバイス100は、詐欺対策ベンダ110の要求に従ってユーザプロファイルを更新する。更新の頻度は、指数関数的減衰を利用してユーザプロファイルデータの格納量を一定に抑える次式に従って、生じることができる。
Figure 2023524934000002
モニタされるイベント(例えば広告要求、インプレッション、クリック、コンバージョン、ウェブコンテンツ要求)ごとに、詐欺対策ベンダ110は、デバイス100にJavaScript APIを介して特徴ベクトルFViを提供する。イベント寿命(event age)が、秒単位のレコード寿命iである。減衰レート、すなわち秒単位の減衰レートが、古いイベントがいかに急速に重みを失い、計算されるユーザプロファイルにそれほど影響を及ぼさなくなるかを制御する。あるいは、デバイス100は、デバイス100の、FViの数に線形の格納量を必要とする、ユーザプロファイルを計算することもできる。
詐欺対策ベンダシステムが特徴ベクトルFViを定義する方法は複数ある。1つの方法は、ワンホット符号化である。図2に示すように、ワンホット符号化したものが、値220の許容される組合せが高レベル(1)ビットがただ1つと残り全てが低レベル(0)のものだけである、ビットのグループからなる特徴ベクトル200である。オンライン詐欺を被りやすい、合計m箇所の広告収入で運営されるロケーション210(例えばURL、ウェブサイト、ドメイン、またはパブリッシャ)がある場合、特徴ベクトルFVはm次元の疎ベクトルとなる。疎ベクトル内の各要素は、1つのロケーション210に対応する。例えば、ブラウザが今しがたアクセスしたウェブサイトに対応する要素が1となることを除き、疎ベクトル内の全ての要素は0となる。あるいは、特徴ベクトル230は、調査期間中のロケーション240上でのクリックの回数を表す要素値250を有してもよい。最小格納空間を必要とする疎ベクトルを表す、よく知られた多くの方法がある。例えば、疎ベクトルの非ゼロ入力のみを格納することによって、メモリ要件の大幅な低減を実現することができる。非ゼロ入力の数および分布に応じて、さまざまなデータ構造を使用することができ、さまざまなデータ構造が、基本的な手法に比べてメモリの大幅な節減をもたらすことができる。効率的な格納に対するトレードオフは、個々の要素へのアクセスがより複雑になり、オリジナルベクトルを一義的に回復できるようにするために追加の構造が必要になることである。DOK(キーの辞書(Dictionary of keys))、LIL(リストのリスト(List of lists))、またはCOO(座標リスト(Coordinate list))など、効率的な修正をサポートする格納形式が、行列を構築するために一般に使用される。他の格納形式としては、CSR(圧縮疎行(Compressed Sparse Row))またはCSC(圧縮疎列(Compressed Sparse Column))がある。
一実装形態では、ユーザプロファイルは、特徴ベクトルに従って計算することができる。上で特徴ベクトルの定義に関して説明したように、計算されるユーザプロファイルPiは、m次元の疎ベクトルとなり、その場合、ブラウザがアクセスしたウェブサイトに対応する要素が0よりも大きくなることを除き、ベクトル内の全ての要素は0となる。オンライン詐欺に関わるブラウザのセットを検出するには、ブラウザが上式に従ってユーザプロファイルをローカルに計算すれば十分である。MPCクラスタ120は、ユーザプロファイルPiおよびPjの対間のコサイン類似度に基づいて、行動が類似したブラウザを識別することができる。
一実装形態では、ブラウザ100は、ユーザプロファイルPiを[Pi,1]と[Pi,2]に暗号学的に分割することができる。この暗号設計は、各シェアがそれ自体で秘密ユーザプロファイルPiに全く似ていない疑似乱数のように見えることを保証するものである。Piを再構築するためには、1つのエンティティが[Pi,1]と[Pi,2]の両方を平文で所有しなければならない。次いで、ブラウザ100は、PublicKeyEncrypt([Pi,1], MPC1)およびPublicKeyEncrypt([Pi,2], MPC2)を詐欺対策ベンダ110に送る。一実装形態では、詐欺対策ベンダ110のバッチが、定義可能な期間内に受信された全てのPublicKeyEncrypt([Pi,1], MPC1)をMPC1 120に、また同じ期間内に受信された全てのPublicKeyEncrypt([Pi,2], MPC2)をMPC2に、アップロードする。
一実装形態では、MPC1とMPC2は、ユーザプロファイルPiとPjとの間のコサイン類似度に基づくk-NNモデルを構築するためのマルチステップ秘匿計算に関与する。honest-but-curiousセキュリティモデル下でユーザデータセキュリティを維持するために、ランダムプロジェクションおよびハミング距離に基づく確率的アルゴリズムにより、暗号文でコサイン類似度が計算される。コサイン類似度は、内積空間の2つの非ゼロベクトル間の類似度を測定するものである。コサイン類似度は、2つの非ゼロベクトル間の角度のコサインに等しくなるように定義されており、これは、同じベクトルを、どちらも長さ1を有するように正規化したものの内積と同じでもある。ランダムプロジェクションは、2つのベクトル間のコサイン距離を近似するように設計される。例として、当初のランダム超平面(法線単位ベクトルrによって定義される)を選択し、それを使用して2つの入力ベクトルをハッシュして、コサイン距離を得る。2つのベクトル間のコサイン距離は、類似度を示す。例として、2つのベクトル間の角度が0°である場合、2つのベクトルは類似または同一である。角度が90°である場合、2つのベクトル間に類似性は全くない。さらに、角度が180°である場合、2つのベクトルは互いに逆向きのものである。等しい長さをもつ2つのベクトル間のハミング距離は、対応する符号が異なる地点の数であり、2つのベクトル間の類似度または相違度も示す。honest-but-curious(HBC)敵対者は、定義されたプロトコルから逸脱しないが、正当に受信したメッセージから可能な全ての情報を学習しようと試みる、通信プロトコルの正当な参加者である。本発明の目的に従って、ユーザプロファイルを符号化し、ユーザプロファイルの符号化したシェアを処理することにより、ユーザデータセキュリティが維持される。
一実装形態では、疑わしい行動が類似したIPアドレスのセット(またはIPアドレスとユーザエージェントを合わせたもの)を検出するとき、上式によって計算されるユーザプロファイルが十分ではないことがある。その代わりに、MPCクラスタが、個々のブラウザによってレポートされたユーザプロファイルをIPアドレス(またはIPアドレスとユーザエージェントを合わせたもの)にわたって集約することができる。集約は、MPC1を例として使用して、次のように行われてよい。MPC1が、次の情報を伴う暗号化されたレポートを受信する:ブラウザIPアドレス、(オプションの)ブラウザユーザエージェント文字列、ユーザプロファイルの秘密シェア[Pi,1]、ユーザプロファイルのタイムスタンプti。MPC1は、ユーザプロファイルの秘密シェアのための集約キーを、
HMAC(browser_ip_address || optional_user_agent_string, secret_key_for_model_version)
のように計算する。MPC1は、同一集約キーを共有するユーザプロファイルの全ての秘密シェアについて、IPアドレス(またはIPアドレスとユーザエージェントを合わせたもの)に関連する全てのプロファイルの和を計算する。IPアドレス(またはIPアドレスとユーザエージェントを合わせたもの)に関する組み合わされたプロファイルを用いると、行動が類似したIPアドレスのクラスタを識別するk-NNモデルを構築することが可能になる。明確にするために、本文献における「ユーザプロファイル」とは、1つのブラウザに関するユーザプロファイル、1つのIPアドレスに関する組み合わされたプロファイル、IPアドレスとユーザエージェントを合わせたものに関する組み合わされたプロファイルのいずれかを指す。
一実装形態では、MPCクラスタは、詐欺的なブラウザアクティビティおよび詐欺的なロケーションを検出するための複数のモデルを、同一トレーニングデータセットを使用して構築する。例として、MPCクラスタは、少数のウェブサイト上でオンライン詐欺に関わるブラウザのクラスタを識別しようと試みることができる。これを行うために、MPCクラスタは、一方のモデルは行動が類似したブラウザを識別し、もう一方のモデルは類似のブラウザのセットが対話したウェブサイトを識別する、2つのモデルを構築することができる。行動が類似したブラウザを決定するために、MPCサーバは、詐欺対策ベンダからユーザプロファイルのリストを受信することができる。各ユーザプロファイルは、m個のウェブサイトに対応する、m次元の疎ベクトルである。各ユーザプロファイルは行ベクトルとして表され、ユーザプロファイルのリストのサイズはnである。MPC1およびMPC2は、ユーザプロファイルの対間のコサイン距離を計算し、それに応じてk-NNモデルを構築することによって、行動が類似したブラウザのクラスタを識別することができる。図3を参照すると、MPC1は、類似のブラウザのセットが対話したウェブサイトを識別するために、n個のユーザプロファイル320をn×m行列300に積み重ねることができる。そのような行列300において、各列ベクトル310は、対応するウェブサイト上での全てのブラウザの行動を符号化したものである。MPC1およびMPC2は、列ベクトル310の対間のコサイン距離を計算し、それに応じてk-NNモデルを構築することによって、ユーザ対話が類似したウェブサイトのクラスタ、例えば同じブラウザのセットからクリックの大多数を受けたウェブサイトのクラスタを識別することができる。
一実装形態では、MPCクラスタは、集約結果(例えば2つのk-NNモデル)を詐欺対策システムに返す。詐欺対策システムは、これらの集約結果を使用して、少数のウェブサイト上でオンライン詐欺に関わるブラウザのクラスタを識別する。詐欺対策システムは、この2つのk-NNモデルに照会を適用する。これらの照会により、ウェブサイト自体のうちで(本文献において論じた)高いコサイン類似度を有する少数のウェブサイト(例えばn×m疎行列内の列)、それらのクラスタのうちで高いコサイン類似度を有する少数のブラウザ、またはIPアドレス、またはIPアドレスとユーザエージェント文字列を合わせたもの(例えばn×m行列内の行)、および第1の照会に応答して識別された少数のウェブサイトが受けたクリックまたは対話の大多数をもたらした少数のブラウザのクラスタが識別される。行列表現において、n×m疎行列内で、この少数のウェブサイトに対応する列内の大多数の非ゼロ要素は、それらのブラウザに対応する行に集中している。
一実装形態では、オンライン詐欺に関与しているブラウザおよびロケーションを決定するために、照会結果に発見的手法を適用することができる。実際の結果に基づいて、大多数のオンライン詐欺を解消しながらフォールスポジティブを低減するようにこれらの発見的手法を調整することができる。例えば、あるウェブサイトのページビューの90%が1000個のブラウザからのものであり、それらのブラウザのページビューの80%がそのウェブサイトに対するものである場合、その1000個のブラウザとそのウェブサイトは、オンライン詐欺が疑われる。
一実装形態では、発見的手法により集約および解析の結果が明らかになった後、オンライン詐欺を防止するための措置を取ることができる。例として、詐欺対策ベンダシステムによってオンライン詐欺に関与していると判定されたブラウザおよびロケーションは、ブロックリストに載せることができる。オンライン詐欺に関与していると判定されたブラウザ、IPアドレス、またはIPアドレスとユーザエージェント文字列を合わせたものは、ブラウザブロックリストに追加される。オンライン詐欺に関与していると判定されたロケーションは、ロケーションブロックリストに追加される。ブラウザブロックリストに載っているブラウザには、収益創出コンテンツ(例えば広告)などのデジタルコンポーネントは示されない。ロケーションブロックリストに載っているロケーションには、ベンダから、やはり収益創出コンテンツなどのデジタルコンポーネントは提供されず、したがって、ブロックリストに載っているロケーションにおいて収益創出コンテンツなどのデジタルコンポーネントは全く示されない。デジタルコンポーネントが収益創出コンテンツであるコンテキストでは、ブロックリストに載っているロケーションにおいて収益創出コンテンツが全く示されないことが有益である。より一般にデジタルコンポーネントのコンテキストでは、ブロックリストに載っているロケーションにおいてそのようなコンポーネントが表示されないようにすることにより、そのようなコンポーネントを送信またはレンダリングする必要がないため、ネットワークトラフィック負荷および処理負荷が低減し、またマルウェアへの暴露の可能性が低減する。特許請求された本方法がないため、従来のシステムは、詐欺的なエンティティのブロックリストを通じて事前にフィルタリングすることなく全てのデジタルコンポーネントを送信して、ネットワーク帯域幅要件および処理要件を大幅に増大させ、マルウェアへの暴露を増大させることがある。
一実装形態では、照会および発見的解析の後で、詐欺対策ベンダは、オンライン詐欺に関与している、n×m疎行列内の列の部分集合に対応するロケーション(例えばURL、ウェブサイト、またはパブリッシャ)のリストを作り上げることができる。したがって、デジタルコンポーネントのプロバイダは、それらのロケーションがデジタルコンポーネントを受信するのをブロックすることができる。例えば、広告技術企業は、それらのロケーションが広告をサービスするのをブロックすることができる。オンライン詐欺に関与していると判定されたこれらのロケーションの識別情報は、典型的には、データセキュリティ上またはプライバシ上機密ではないので、広告技術企業などのデジタルコンポーネントプロバイダは、それらのロケーションのリストを平文で、詐欺対策ベンダまたはMPCクラスタから直接受信し、ブロックリストをそれに応じて構築することができる。
データセキュリティ上およびプライバシ上の理由で、ブラウザ、IPアドレス、またはIPアドレスとユーザエージェントを合わせたもののリストを平文で共有することが望ましくないことがある。一実装形態では、データセキュリティ上およびプライバシ上の懸念に対処するために、トラストトークンの実装形態が望ましいことがある。
一実装形態では、トラストトークンAPIが、広告技術プロバイダなどのデジタルコンポーネントプロバイダに、ブラウザ、特定のIPアドレスに関連するブラウザ、または特定のIPアドレスおよびユーザエージェント文字列に関連するブラウザがオンライン詐欺に関与していると判定されたかどうかを通知する。図4は、トラストトークンメカニズムを利用するためのブロック図およびフローチャートを示す。詐欺対策システム420が、MPCクラスタ400によって作成され、所有される、2つのk-NNモデルを照会する。詐欺対策システム420は、オンライン詐欺に関与している可能性のあるブラウザのクラスタを識別するために、MPCクラスタ400から受信した、集約されたレポートを解析する。詐欺対策システム420は、MPCクラスタ400に、ブロックすべきブラウザのクラスタをアップロードする。各クラスタは、ビットベクトルによって表されるクラスタ中心までの最大ハミング距離によって識別することができる。MPCクラスタ400は、ブラウザによってアップロードされたユーザプロファイルのビットベクトルと、ブロックすべき任意のクラスタの中心との間のハミング距離を計算する。対応するハミング距離しきい値よりも小さいハミング距離があれば、そのブラウザはオンライン詐欺に関与している可能性があり、ブロックすべきである。MPCクラスタ400はそれに応じて、ブラウザ430にトラストトークンを、例えばブラウザ430がオンライン詐欺に関与している可能性があるかどうかを隠れビット内に符号化して発行することができる。後に、このブラウザがあるパブリッシャのサイトを訪問するときに、ブラウザ430は、トラストトークンを引き換え、署名済み引換えレコード(SRR)(別名引換えのレコード(record of redemption)とも呼ばれる)を、広告技術プロバイダなどのデジタルコンポーネントプロバイダ410への要求内に提供する。トラストトークンは、暗号技術を用いて意図的に設計された発行および引換えプロセスを利用するものであるため、広告技術企業は、トラストトークンを使用して個人、ブラウザ、IPアドレスなどを追跡することができず、それにより、データセキュリティおよびプライバシが確保される。
電子ドキュメント(簡単のため単にドキュメントと呼ぶ)は、必ずしもファイルに対応するとは限らない。ドキュメントは、他のドキュメントを保持するファイルの一部分内に、当該のドキュメントに専用の単一のファイル内に、または複数の連係されたファイル内に、格納することができる。
本明細書において説明した本主題および動作の実施形態は、デジタル電子回路として、またはコンピュータソフトウェア、コンピュータファームウェア、もしくは本明細書において開示した構造およびそれらの構造的等価物を含むコンピュータハードウェアとして、またはそれらのうちの1つもしくは複数のものの組合せとして、実装することができる。本明細書において説明した本主題の実施形態は、データ処理装置によって実行できるように、またはデータ処理装置の動作を制御するために、複数のコンピュータ記憶媒体(または1つのコンピュータ記憶媒体)上に符号化された、1つまたは複数のコンピュータプログラム、すなわちコンピュータプログラム命令の1つまたは複数のモジュールとして、実装することができる。その代わりにまたはそれに加えて、プログラム命令は、情報をデータ処理装置によって実行する目的で適切なレシーバ装置に送信できるように符号化するために生成される、人工的に生成された伝搬信号、例えばマシンにより生成された電気信号、光信号、または電磁信号上に、符号化することもできる。コンピュータ記憶媒体は、コンピュータ可読記憶デバイス、コンピュータ可読記憶基板、ランダムアクセスもしくはシリアルアクセスのメモリアレイもしくはメモリデバイス、またはそれらのうちの1つもしくは複数のものの組合せとすることもでき、あるいはその中に含めることもできる。さらに、コンピュータ記憶媒体は伝搬信号ではないが、コンピュータ記憶媒体は、人工的に生成された伝搬信号内に符号化されたコンピュータプログラム命令の供給元または供給先とすることができる。コンピュータ記憶媒体は、1つもしくは複数の別々の物理的コンポーネントまたは媒体(例えば複数のCD、ディスク、または他の記憶デバイス)とすることもでき、あるいはその中に含めることもできる。
本明細書において説明した動作は、1つもしくは複数のコンピュータ可読記憶デバイス上に格納されたデータまたは他の供給元から受け取ったデータに対して、データ処理装置によって実施される動作として、実装することができる。
「データ処理装置」という用語は、例として、プログラマブルプロセッサ、コンピュータ、システムオンチップ、または前述したもののうちの複数のもの、もしくは前述したものの組合せを含めて、データを処理するためのあらゆる種類の装置、デバイス、およびマシンを包含する。装置は、専用論理回路、例えばFPGA(フィールドプログラマブルゲートアレイ)またはASIC(特定用途向け集積回路)を含むことができる。装置は、ハードウェアに加えて、当該のコンピュータプログラムのための実行環境を作り出すコード、例えばプロセッサファームウェア、プロトコルスタック、データベース管理システム、オペレーティングシステム、クロスプラットフォーム実行環境、仮想マシン、またはそれらのうちの1つもしくは複数のものの組合せを構成するコードを含むこともできる。装置および実行環境は、ウェブサービスインフラストラクチャ、分散コンピューティングインフラストラクチャ、およびグリッドコンピューティングインフラストラクチャなど、異なるさまざまなコンピューティングモデルインフラストラクチャを実現することができる。
(プログラム、ソフトウェア、ソフトウェアアプリケーション、スクリプト、またはコードとしても知られる)コンピュータプログラムは、コンパイル型言語またはインタープリタ型言語、宣言型言語または手続き型言語を含む、任意の形態のプログラミング言語で記述することができ、またそれは、スタンドアロンプログラムとして、またはモジュール、コンポーネント、サブルーチン、オブジェクト、もしくはコンピューティング環境において使用するのに適した他のユニットとして、を含む、任意の形態でデプロイすることができる。コンピュータプログラムは、その必要はないが、ファイルシステム内のファイルに対応してよい。プログラムは、他のプログラムもしくはデータを保持するファイルの一部分(例えばマークアップ言語ドキュメント内に格納された1つもしくは複数のスクリプト)内に、当該のプログラムに専用の単一のファイル内に、または複数の連係されたファイル(例えばコードの1つもしくは複数のモジュール、サブプログラム、もしくは一部分を格納したファイル)内に、格納することができる。コンピュータプログラムは、1つのコンピュータ上で、または1つのサイトに位置するかもしくは複数のサイトにわたって分散され、通信ネットワークによって相互接続された複数のコンピュータ上で実行されるように、デプロイすることができる。
本明細書において説明したプロセスおよび論理フローは、アクションを実施するための1つまたは複数のコンピュータプログラムを、入力データを処理し出力を生成することによって実行する、1つまたは複数のプログラマブルプロセッサによって実施することができる。プロセスおよび論理フローは、専用論理回路、例えばFPGA(フィールドプログラマブルゲートアレイ)またはASIC(特定用途向け集積回路)によって実施することもでき、装置は、専用論理回路、例えばFPGA(フィールドプログラマブルゲートアレイ)またはASIC(特定用途向け集積回路)として実装することもできる。
コンピュータプログラムの実行に適したプロセッサとしては、例として、汎用マイクロプロセッサと専用マイクロプロセッサの両方がある。一般に、プロセッサは、読出し専用メモリまたはランダムアクセスメモリまたはその両方から、命令およびデータを受け取る。コンピュータの不可欠な要素が、命令に従ってアクションを実施するためのプロセッサ、ならびに命令およびデータを格納するための1つまたは複数のメモリデバイスである。一般に、コンピュータはまた、データを格納するための1つまたは複数の大容量記憶デバイス、例えば磁気ディスク、光磁気ディスク、または光ディスクを含むか、またはそこからデータを受け取り、もしくはそこにデータを転送し、もしくはその両方を行うように、動作可能に結合される。しかし、コンピュータは、そのようなデバイスを有している必要はない。さらに、コンピュータは別のデバイスに、例えば、ほんの数例を挙げると、モバイル電話、パーソナルデジタルアシスタント(PDA)、モバイルオーディオプレーヤもしくはモバイルビデオプレーヤ、ゲーム機、グローバルポジショニングシステム(GPS)レシーバ、またはポータブル記憶デバイス(例えばユニバーサルシリアルバス(USB)フラッシュドライブ)に、埋め込むことができる。コンピュータプログラム命令およびデータを格納するのに適したデバイスとしては、例として、半導体メモリデバイス、例えばEPROM、EEPROM、およびフラッシュメモリデバイス;磁気ディスク、例えば内蔵ハードディスクまたはリムーバブルディスク;光磁気ディスク;ならびにCD ROMディスクおよびDVD-ROMディスクを含む、あらゆる形態の不揮発性のメモリ、媒体、およびメモリデバイスがある。プロセッサおよびメモリは、専用論理回路によって補完するか、または専用論理回路に組み込むことができる。
ユーザとの対話を可能にするために、本明細書において説明した本主題の実施形態は、ユーザに情報を表示するためのディスプレイデバイス、例えばCRT(陰極線管)またはLCD(液晶ディスプレイ)モニタと、ユーザがそれによってコンピュータに入力することのできるキーボードおよびポインティングデバイス、例えばマウスまたはトラックボールとを有するコンピュータ上に実装することができる。他の種類のデバイスを使用して、ユーザとの対話を可能にすることもでき、例えば、ユーザに提供されるフィードバックは、任意の形態の感覚フィードバック、例えば視覚フィードバック、聴覚フィードバック、または触覚フィードバックとすることができ、ユーザからの入力は、音響入力、音声入力、または触覚入力を含む任意の形態で受け取ることができる。加えて、コンピュータは、ユーザが使用するデバイスにドキュメントを送り、そのデバイスからドキュメントを受信することによって、例えば、ユーザのクライアントデバイス上のウェブブラウザから受信した要求に応答して、そのウェブブラウザにウェブページを送ることによって、ユーザと対話することができる。
本明細書において説明した本主題の実施形態は、例えばデータサーバとしてのバックエンドコンポーネントを含むか、またはミドルウェアコンポーネント、例えばアプリケーションサーバを含むか、またはフロントエンドコンポーネント、例えば本明細書において説明した本主題の一実装形態とユーザがそれを通じて対話することのできるグラフィカルユーザインターフェースもしくはウェブブラウザを有するクライアントコンピュータを含むか、または1つもしくは複数のそのようなバックエンドコンポーネント、ミドルウェアコンポーネント、もしくはフロントエンドコンポーネントの任意の組合せを含む、コンピューティングシステム内に実装することができる。システムのコンポーネント同士は、任意の形態または媒体のデジタルデータ通信、例えば通信ネットワークによって、相互接続することができる。通信ネットワークの例としては、ローカルエリアネットワーク(「LAN」)および広域ネットワーク(「WAN」)、インターネットワーク(例えばインターネット)、ならびにピアツーピアネットワーク(例えばアドホックピアツーピアネットワーク)がある。
コンピューティングシステムは、クライアントおよびサーバを含むことができる。クライアントとサーバは一般に、相互に遠隔にあり、典型的には通信ネットワークを通じて対話する。クライアントとサーバの関係は、それぞれのコンピュータ上で実行され、相互にクライアント-サーバ関係を有する、コンピュータプログラムによって生じる。いくつかの実施形態では、(例えばクライアントデバイスと対話しているユーザにデータを表示し、そのユーザからユーザ入力を受け取る目的で)サーバがクライアントデバイスにデータ(例えばHTMLページ)を送信する。クライアントデバイスにおいて生成されたデータ(例えばユーザ対話の結果)は、クライアントデバイスからサーバにおいて受信されることが可能である。
本明細書は、実装形態の多くの具体的詳細を含んでいるが、これらは、任意の発明の範囲または特許請求され得るものの範囲に対する限定と解釈するのではなく、特定の発明の特定の実施形態に固有の特徴についての説明と解釈されたい。本明細書において別々の実施形態のコンテキストの中で説明される、ある特定の特徴を、単一の実施形態において組み合わせて実装することもできる。反対に、単一の実施形態のコンテキストの中で説明されるさまざまな特徴を、複数の実施形態において別々に、または任意の適切な部分組合せで、実装することもできる。さらに、特徴については上で、ある特定の組合せにおいて作用するものと説明されていることがあり、さらにはそのようなものとして最初に特許請求されていることすらあるが、特許請求された組合せからの1つまたは複数の特徴を、場合によっては、その組合せから除外することができ、特許請求された組合せが、部分組合せまたは部分組合せの変形を対象としてよい。
同様に、動作については図面中に特定の順序で示されているが、これは、望ましい結果を達成するために、そのような動作が図示の特定の順序で、もしくは順番に実施されること、または図示の全ての動作が実施されることを必要とするものと理解すべきではない。ある特定の状況下では、マルチタスキングおよび並列処理が有利となることがある。さらに、上で説明した実施形態におけるさまざまなシステムコンポーネントの分離は、全ての実施形態においてそのような分離を必要とするものと理解すべきではなく、先に説明したプログラムコンポーネントとシステムは一般に、単一のソフトウェア製品内に一緒に統合するか、または複数のソフトウェア製品にパッケージングできることを理解されたい。
以上、本主題の特定の実施形態について説明してきた。他の実施形態が、以下の特許請求の範囲内にある。場合によっては、特許請求の範囲に記載したアクションを異なる順序で実施し、それでもなお望ましい結果を達成することができる。加えて、添付の図に示したプロセスは、望ましい結果を達成するために、図示の特定の順序、または順番を必ずしも必要とするとは限らない。ある特定の実装形態では、マルチタスキングおよび並列処理が有利となることがある。
100 ブラウザ、デバイス
110 詐欺対策ベンダ
120 MPC、MPCクラスタ、MPC1
130 ユーザ
200 特徴ベクトル
210 広告収入で運営されるロケーション
220 値
230 特徴ベクトル
240 ロケーション
250 要素値
300 n×m行列
310 列ベクトル
320 ユーザプロファイル
400 MPCクラスタ
410 デジタルコンポーネントプロバイダ
420 詐欺対策システム
430 ブラウザ
FV 特徴ベクトル
FVi 特徴ベクトル
Pi 秘密ユーザプロファイル
Pj ユーザプロファイル
r 法線単位ベクトル
ti タイムスタンプ

Claims (20)

  1. オンライン詐欺マルウェアを検出するための方法であって、
    ブラウザアクティビティを表す暗号化されたプロファイルを生成するステップと、
    前記暗号化されたプロファイルを、セキュアマルチパーティ計算システムに送るステップと、
    前記セキュアマルチパーティ計算システムからトラストトークンを受信するステップであって、前記トラストトークンが、ウェブブラウザがオンライン詐欺に関与しているかどうかを示すものである、ステップと、
    前記ウェブブラウザによってウェブコンテンツを求める要求を送るための準備として、前記セキュアマルチパーティ計算システムを用いて前記トラストトークンを引き換えるための要求を送るステップと、
    前記トラストトークンを引き換えるための前記要求に応答して、前記ウェブコンテンツに関連するウェブサイトがブロックされていないとの判定に基づいて、前記セキュアマルチパーティ計算システムから署名済み引換えレコードを受信するステップと、
    前記署名済み引換えレコードを含む、サードパーティコンテンツを求める要求を送るステップであって、前記サードパーティコンテンツが前記ウェブコンテンツに関連するものである、ステップと
    を含む、方法。
  2. 前記トラストトークンを引き換えるための前記要求に応答して、前記ウェブコンテンツに関連するウェブサイトがブロックされているとの判定に基づいて、前記セキュアマルチパーティ計算システムからの署名済み引換えレコードが受信されない、請求項1に記載の方法。
  3. ブラウザアクティビティを表す第2の暗号化されたプロファイルを生成するステップと、
    前記第2の暗号化されたプロファイルを、セキュアマルチパーティ計算システムに送って、第2のトラストトークンを要求するステップと
    をさらに含み、
    前記ウェブブラウザがオンライン詐欺に関与していると判定された場合、前記セキュアマルチパーティ計算システムからの前記第2のトラストトークンが受信されず、または前記ウェブブラウザがオンライン詐欺に関与していると判定された場合、「詐欺的であること」を示す隠れビットを有する前記第2のトラストトークンが受信される、
    請求項1に記載の方法。
  4. 前記暗号化された引換えレコードが、ブラウザ、IPアドレスまたはユーザエージェント文字列にわたって集約されたブラウザがオンライン詐欺に関与しているかどうかの判定を示す指示を含む、請求項1に記載の方法。
  5. 前記暗号化された引換えレコードが、ブラウザ、IPアドレスまたはユーザエージェント文字列にわたって集約されたブラウザがオンライン詐欺に関与していないと判定されたことを示す所定の値であるとき、前記サードパーティコンテンツが前記ウェブブラウザを介して表示される、請求項1から4のいずれか一項に記載の方法。
  6. 前記トラストトークンが、前記ウェブブラウザがオンライン詐欺に関与していると判定されたことを表す符号化されたインジケータを含む、請求項1から5のいずれか一項に記載の方法。
  7. 前記暗号化されたプロファイルが、ウェブページ、ドメイン、または同一パブリッシャによって所有される複数のドメインにおけるブラウザアクティビティを表す、請求項1から6のいずれか一項に記載の方法。
  8. 前記ブラウザアクティビティが、ページビューアクティビティ、クリックアクティビティ、またはコンバージョンアクティビティを含む、請求項1から7のいずれか一項に記載の方法。
  9. 前記暗号化されたプロファイルをセキュアマルチパーティ計算システムに送る結果、IPアドレスまたはブラウザユーザエージェント文字列に基づいて、ブラウザ履歴を表す前記暗号化されたプロファイルが集約される、請求項1から8のいずれか一項に記載の方法。
  10. 前記暗号化されたプロファイルをセキュアマルチパーティ計算システムに送る結果、ブロックリストが生成される、請求項1から9のいずれか一項に記載の方法。
  11. 前記ブロックリストが、オンライン詐欺に関連すると判定されたウェブページ、ドメイン、または同一パブリッシャによって所有される複数のドメインを識別する、請求項10に記載の方法。
  12. 前記ブロックリストが、オンライン詐欺に関連すると判定されたブラウザ、IPアドレスまたはユーザエージェント文字列にわたって集約されたブラウザを識別する、請求項10または11に記載の方法。
  13. 前記暗号化されたプロファイルが、ウェブページもしくはドメインを示す特徴ベクトル、またはユーザが訪問したかもしくはその他の形でウェブページもしくはドメインと対話した回数を示す特徴ベクトルを含む、請求項1から12のいずれか一項に記載の方法。
  14. 命令が符号化された非一時的コンピュータ記憶媒体であって、前記命令が、分散コンピューティングシステムによって実行されると、前記分散コンピューティングシステムに、
    ブラウザアクティビティを表す暗号化されたプロファイルを生成することと、
    前記暗号化されたプロファイルを、セキュアマルチパーティ計算システムに送ることと、
    前記セキュアマルチパーティ計算システムからトラストトークンを受信することであって、前記トラストトークンが、ウェブブラウザがオンライン詐欺に関与しているかどうかを示すものである、受信することと、
    前記ウェブブラウザによってウェブコンテンツを求める要求を送るための準備として、前記セキュアマルチパーティ計算システムを用いて前記トラストトークンを引き換えるための要求を送ることと、
    前記トラストトークンを引き換えるための前記要求に応答して、前記ウェブコンテンツに関連するウェブサイトがブロックされていないとの判定に基づいて、前記セキュアマルチパーティ計算システムから署名済み引換えレコードを受信することと、
    前記暗号化された引換えレコードを含む、サードパーティコンテンツを求める要求を送ることであって、前記サードパーティコンテンツが前記ウェブコンテンツに関連するものである、送ることと
    を含む動作を実施させる、非一時的コンピュータ記憶媒体。
  15. 前記暗号化されたプロファイルが、ウェブページ、ドメイン、または同一パブリッシャによって所有される複数のドメインにおけるブラウザアクティビティを表す、請求項14に記載の非一時的コンピュータ記憶媒体。
  16. 前記トラストトークンを引き換えるための前記要求に応答して、前記ウェブコンテンツに関連するウェブサイトがブロックされているとの判定に基づいて、前記セキュアマルチパーティ計算システムからの署名済み引換えレコードが受信されない、請求項14に記載の非一時的コンピュータ記憶媒体。
  17. 前記動作が、
    ブラウザアクティビティを表す第2の暗号化されたプロファイルを生成することと、
    前記第2の暗号化されたプロファイルを、セキュアマルチパーティ計算システムに送って、第2のトラストトークンを要求することと
    をさらに含み、
    前記ウェブブラウザがオンライン詐欺に関与していると判定された場合、前記セキュアマルチパーティ計算システムからの前記第2のトラストトークンが受信されず、または前記ウェブブラウザがオンライン詐欺に関与していると判定された場合、「詐欺的であること」を示す隠れビットを有する前記第2のトラストトークンが受信される、
    請求項14に記載の非一時的コンピュータ記憶媒体。
  18. 前記暗号化された引換えレコードが、ブラウザ、IPアドレスまたはユーザエージェント文字列にわたって集約されたブラウザがオンライン詐欺に関与しているかどうかの判定を示す指示を含む、請求項14に記載の非一時的コンピュータ記憶媒体。
  19. 前記暗号化された引換えレコードが、ブラウザ、IPアドレスまたはユーザエージェント文字列にわたって集約されたブラウザがオンライン詐欺に関与していないと判定されたことを示す所定の値であるとき、前記サードパーティコンテンツが前記ウェブブラウザを介して表示される、請求項14から18のいずれか一項に記載の非一時的コンピュータ記憶媒体。
  20. 前記暗号化されたプロファイルをセキュアマルチパーティ計算システムに送る結果、ブロックリストが生成される、請求項14から19のいずれか一項に記載の非一時的コンピュータ記憶媒体。
JP2022556210A 2020-09-30 2020-09-30 オンライン詐欺マルウェアのセキュアな検出 Active JP7411111B2 (ja)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/US2020/053540 WO2022071941A1 (en) 2020-09-30 2020-09-30 Securely detecting online fraud malware

Publications (2)

Publication Number Publication Date
JP2023524934A true JP2023524934A (ja) 2023-06-14
JP7411111B2 JP7411111B2 (ja) 2024-01-10

Family

ID=72896155

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2022556210A Active JP7411111B2 (ja) 2020-09-30 2020-09-30 オンライン詐欺マルウェアのセキュアな検出

Country Status (6)

Country Link
US (1) US20230199021A1 (ja)
EP (1) EP4097919A1 (ja)
JP (1) JP7411111B2 (ja)
KR (1) KR20220136439A (ja)
CN (1) CN115336229A (ja)
WO (1) WO2022071941A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115378747B (zh) * 2022-10-27 2023-01-24 北京六方云信息技术有限公司 恶意数据检测方法、终端设备以及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2009018566A2 (en) * 2007-08-02 2009-02-05 Imageneer Software, Inc. Methods of ensuring legitimate pay-per-click advertising
JP2009223375A (ja) * 2008-03-13 2009-10-01 Ntt Communications Kk 悪性Ｗｅｂサイト判定装置、悪性Ｗｅｂサイト判定システム、それらの方法、プログラム
JP2011065524A (ja) * 2009-09-18 2011-03-31 Hitachi Information Systems Ltd Ｗｅｂアクセスログ確認システムと方法およびプログラム

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150039513A1 (en) * 2014-02-14 2015-02-05 Brighterion, Inc. User device profiling in transaction authentications

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2009018566A2 (en) * 2007-08-02 2009-02-05 Imageneer Software, Inc. Methods of ensuring legitimate pay-per-click advertising
JP2009223375A (ja) * 2008-03-13 2009-10-01 Ntt Communications Kk 悪性Ｗｅｂサイト判定装置、悪性Ｗｅｂサイト判定システム、それらの方法、プログラム
JP2011065524A (ja) * 2009-09-18 2011-03-31 Hitachi Information Systems Ltd Ｗｅｂアクセスログ確認システムと方法およびプログラム

Also Published As

Publication number Publication date
CN115336229A (zh) 2022-11-11
WO2022071941A1 (en) 2022-04-07
EP4097919A1 (en) 2022-12-07
US20230199021A1 (en) 2023-06-22
JP7411111B2 (ja) 2024-01-10
KR20220136439A (ko) 2022-10-07

Similar Documents

Publication Publication Date Title
US12039078B2 (en) Cryptographically secure data protection
US12021972B2 (en) Aggregating encrypted network values
US20230050222A1 (en) Cryptographically secure request verification
US11949688B2 (en) Securing browser cookies
US11757619B2 (en) Generating sequences of network data while preventing acquisition or manipulation of time data
US20240146739A1 (en) Preventing data manipulation and protecting user privacy in determining accurate location event measurements
JP2022177209A (ja) 複数の集約サーバを使用してデータ操作を防止すること
US20230421544A1 (en) Preventing fraud in aggregated network measurements
US20220321356A1 (en) Protecting the integrity of communications from client devices
JP7411111B2 (ja) オンライン詐欺マルウェアのセキュアな検出
US20230163978A1 (en) Privacy-preserving activity aggregation mechanism
EP4042665B1 (en) Preventing data manipulation in telecommunication network measurements
JP7279209B2 (ja) 不正行為の検出のためのクロスドメイン頻度フィルタ
US20240297783A1 (en) Aggregating encrypted network values

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20221115

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20221115

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20231115

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20231127

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20231222

R150 Certificate of patent or registration of utility model

Ref document number: 7411111

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150