JP5025203B2 - ユーザ情報管理方法及びユーザ情報管理システム - Google Patents

Description

本発明は、予め配布されたワンタイムパスワード（ＯＴＰ）の生成手段を所有するユーザの端末が通信ネットワークを通じて接続されるホストコンピュータによって、所定の取引を実行する際のユーザ情報を管理する方法及びこの方法を実行するシステムに関する。

近年、スキミングやフィッシングなどの不正行為によって、取引の決済に必要なパスワードやクレジットカード番号などの情報が取得される事件が多発している。特に、金融機関のＷＥＢサーバと顧客の通信端末とを公衆回線で接続して種々の金融サービスをネットワーク上で提供するネットバンキングにおいては、公衆回線を介してパスワード等を送信することになるため、通信中に第三者が介在していることを認識しにくく、フィッシング被害に遭い易い。

このような犯罪行為を未然に防止するため、ネット専業銀行を始めとする金融機関やその関係企業は、従来のパスワード方式に代えて、若しくはこれに加えて、種々のセキュリティ対策を講じている。例えば、キーボードの入力信号を不正取得するキーロガーを回避するため、暗証番号を画面上に表示させたキーボードで入力させるソフトウェアキーボード技術、ユーザの指紋をはじめ、顔、手型、虹彩、網膜、血管などの生体的特徴を数値化し、登録されたデータと照合することで本人を確認するバイオメトリクス（生物計測学的認証）、ユーザに配布した乱数表を利用したチャレンジ・レスポンス方式、などが具体的に検討され若しくは導入され初めている。このような、認証技術については、夫々以下の特許文献１〜３が参考になる。

特開２００５−２８４８６０号公報 特開２０００−０４７９９０号公報 特開２００５−３０９５９０号公報

しかしながら、上記した認証技術には未だ解決すべき課題が存在する。

まず、乱数表などを利用したチャレンジ・レスポンス方式は、キーボードで顧客が押したキーをソフトウェアで認識して転送するとともに、画面に表示されているチャレンジを画面キャプチャ(画像データの取り込み)することで入力された数値を容易に取得できる。これを取引の度に数回繰り返すことで、顧客が保有する乱数表を完全に複製できる。

また、ソフトウェアキーボードでも、顧客端末の画面上に表示されたキーボードに暗証番号等が入力される度に、画面をそのままキャプチャ（画像データの取り込み）されるおそれがある。

次に、バイオメトリクス認証は、端末に備える認証機構が高額であると共に、クローン技術を利用して複製した生体情報によっても本人と誤認識してしまうなど、認証精度も不十分である。また、一旦複製されてしまうと、外科手術などによらなければ本人の生体情報を変更できないという致命的な欠点がある。

一方、ワンタイムパスワードと称される、一定時間毎に生成される使い捨てのパスワード（ＯＴＰ）を利用した認証方式では、ＯＴＰを不正取得されてもＯＴＰの有効期間が１分〜数分に限られているため上記した問題は生じない。そのため、ＯＴＰ認証方式は種々の分野で実用化が進められている。

しかし、従来のＯＴＰ認証方式では、ログイン情報とＯＴＰとの二重管理の繁雑さを回避して取引処理の時間を短縮するために、金融取引などの高度なセキュリティが要求される取引の認証に際しても、金融機関のＷＥＢサーバへのログイン時の認証をＯＴＰに置き換えているにすぎない。

例えば、図５に示すように、顧客端末からネットバンク（金融機関のＷＥＢサーバ）にログインする際にＯＴＰによる認証を行い（ステップＳ１００）、認証が肯定的であれば、その後の取引要求受付け時（ステップＳ１０１）には再度の認証は行わないか、乱数表等による第２暗証番号などによる認証を行っているに過ぎない。第２暗証番号は、上記したように、フィッシングに対して脆弱性が認められているため、ＯＴＰと組み合わせても十分なセキュリティ強度は確保できない。そのため、ログイン時にＯＴＰを不正取得されると、そのＯＴＰの有効期間内に悪意の第三者がユーザ端末の通信セッションに割り込んでフィッシングサイトの画面を数秒間表示させ、その間に入手したＯＴＰを使って本人になりすまして不正行為（送金等）を行うおそれがある。このような問題は、ＯＴＰの有効期間を短縮することである程度は回避できるが、一方で、ＯＴＰの入力途中で有効期間が切れて新たなＯＴＰが生成される事態が頻発し、通信端末の操作に不慣れなユーザや高齢者などが利用しにくくなる。

本発明は、このような課題を解決するためになされたもので、ユーザの利便性を損なわずにＯＴＰを利用して第三者の不正行為を有効に防止できるユーザ情報管理方法及び管理システムを提供することを目的とする。

本発明の第１の主要な観点によれば、予め配布されたＯＴＰの生成手段を所有するユーザの端末が通信ネットワークを通じて接続されるホストコンピュータによって、所定の取引を実行する際のユーザ情報を管理する方法であって、前記ＯＴＰ生成手段は、配布時にホストコンピュータのクロック機構と同期されたクロック値を出力するクロック値出力機能と、一定の周期でクロック値を所定のアルゴリズムに適用してＯＴＰを生成するＯＴＰ生成機能とを備え、この方法は、前記ホストコンピュータが、通信ネットワーク経由で前記ユーザ端末からログイン情報を取得してユーザ認証を行うログイン時認証工程と、ログイン時認証が肯定された場合に、ユーザ端末から取引実行指示と前記ＯＴＰ生成手段が生成したＯＴＰとを取得する取引要求受付工程と、ユーザのＯＴＰ生成手段と同一の周期でホストコンピュータのクロック機構からクロック値を取得し、このクロック値をＯＴＰ生成手段と同一のアルゴリズムに適用して同一のＯＴＰを生成するパスワード生成工程と、取得したＯＴＰ生成手段のＯＴＰと生成されたＯＴＰとが同一であるかに基づいて取引要求の正当性を判別して判別結果を出力する取引正当性判別工程とを実行することを特徴とする方法が提供される。

また、本発明の第２の主要な観点によれば、予め配布されたＯＴＰの生成手段を所有するユーザの端末が通信ネットワークを通じて接続されるホストコンピュータを備え、所定の取引を実行する際のユーザ情報を管理するシステムであって、前記ＯＴＰ生成手段は、配布時にホストコンピュータのクロック機構と同期されたクロック値を出力するクロック値出力機能と、一定の周期でクロック値を所定のアルゴリズムに適用してＯＴＰを生成するパスワード生成機能とを備え、このシステムは、通信ネットワーク経由で前記ユーザ端末からログイン情報を取得してユーザ認証を行うログイン時認証手段と、ログイン時認証が肯定された場合に、ユーザ端末から取引実行指示と前記ＯＴＰ生成手段が生成したＯＴＰとを取得する取引要求受付手段と、ＯＴＰ生成手段と同一の周期でホストコンピュータのクロック機構からクロック値を取得し、このクロック値をＯＴＰ生成手段と同一のアルゴリズムに適用して同一のＯＴＰを生成するパスワード生成手段と、取得したＯＴＰ生成手段のＯＴＰと生成されたＯＴＰとが同一であるかに基づいて取引要求の正当性を判別して判別結果を出力する取引正当性判別手段とを備えたことを特徴とするシステム提供される。

本発明によれば、ユーザに予め配布されたＯＴＰ生成手段（生成機器やソフトウェア）とホストコンピュータとが同一周期で生成したＯＴＰによる認証を、ホストコンピュータへのログイン時ではなく、その後の取引要求受付時に行うようにした。そのため、第三者がログイン情報を不正に取得した場合でも、ＯＴＰを入手できなければユーザに成りすまして取引を実行させることはできない。通常、ＯＴＰは有効期間が１分〜数分程度に設定されるので、仮に、前回の取引時に入力されたＯＴＰが漏洩したとしても、それを利用して取引が実行されることを有効に防止できる。

また、ＯＴＰの有効期間を極端に短縮しなくてもセキュリティ強度を維持できるので、端末の操作に不慣れなユーザにとっても十分な操作時間を提供できる。

これにより、ユーザの利便性を損なわずにＯＴＰを利用して第三者の不正行為を有効に防止できるユーザ情報管理方法及び管理システムを得ることができる。特に、ログイン後の顧客端末とホストコンピュータとの通信セッションを監視することにより、第三者がフィッシングサイトを表示させることができないので、ＯＴＰが不正取得された場合でも取引が実行されることはない。このような認証方式は、金融機関の口座からの資金移動やその口座に関する個人情報の追加登録・更新（削除や改変等）などの重要な取引を実行する際に特に有効である。

以下、本発明の実施の形態を図面に基づき説明する。
図１は本発明の一実施形態に係るユーザ情報管理システムのネットワーク構成図である。この図に符号１で示すユーザ情報管理システムは、ネットバンキングサービスを提供する金融機関２に備えられた勘定系ホストコンピュータ３、及びこの勘定系ホストコンピュータ３と行内の専用回線等で接続されるＷＥＢサーバ４、データベースサーバ５、及び図示しないアプリケーションサーバなどの種々のコンピュータシステムの一部の機能を協働させることで構成される。以下においては、便宜上、これら複数のコンピュータシステムを１のホストコンピュータのように説明することがある。

このユーザ情報管理システム１は、ＷＥＢサーバ４を介して、金融機関２に口座を有するユーザ（顧客）６のユーザ端末７（ＰＣや携帯電話等）とインターネットなどの公衆回線を通じて接続され、ユーザ６に対してネットワーク上で種々の金融サービスを提供する。そして、このようなネットバンキングサービスを提供する際に、第三者による不正行為を防止するため、後述する認証機器（トークン）８を利用して本発明の特徴であるユーザ情報の管理機能を実行する。なお、ファイアウォールやゲートウェイ、基地局、ＩＳＰなどの周知の構成及び機能は省略してある。また、以下においては、金融機関２がユーザ６に提供する、他の口座への資金移動や口座残高の減少を伴う重要な取引、若しくはこのような取引を行う際に必要な個人情報の追加登録・更新などの取引を「金融取引」と称し、残高や口座番号の照会などの重要性が比較的低い取引を「他の取引」と称し、金融取引と他の取引とを単に「取引」と称して説明する。

認証機器としてのトークン８は、１回限りのＯＴＰを作成して「チャレンジ・レスポンス」または「時刻同期」の何れかの方式によってその所有者を認証する携帯型の機器である。以下においては、時刻同期方式による本人認証の例を説明する。

図１に示すように、このトークン８は、ユーザ６に郵送等で配布される際にホストコンピュータのクロック機構と同期されたクロック値を出力するクロック値出力機構８ａと、一定の周期（本実施形態では６０秒毎）でクロック値出力機構８ａが出力したクロック値をホストコンピュータと同一のアルゴリズム（ロジック）に適用してＯＴＰを生成するパスワード生成機構８ｂとを備えている。また、全てのトークン８にはメーカや金融機関２が付したシリアル番号が付与されている。このトークン８としては、種々の分野で広く採用されている汎用のものをそのまま採用でき、構成・機能・初期設定や交換時の処理等は従来周知であるため、詳細説明は省略する。

上記したユーザ情報の管理を行うため、本実施形態のシステム１は、図２に示すような構成を備えている。
具体的には、このシステム１は、ホストコンピュータに内蔵されたＣＰＵ１１にシステムバス１２を介してＲＡＭ１３、ＲＯＭやＨＤＤなどの記憶装置１４及び入出力インタフェース（Ｉ／Ｆ）１５が接続されている。入出力Ｉ／Ｆ１５には、ＣＲＴディスプレイなどの出力装置１６、キーボードやマウスなどの入力装置１７、モデムなどの通信デバイス１８、及びＣＤ−ＲＯＭやＤＶＤ−ＲＯＭなどのリムーバブル記録媒体用のドライブ１９が夫々接続されている。本発明の機能を実現するソフトウェアプログラムはＨＤＤやＲＯＭなどの記憶装置１４にインストールされている。金融機関２のオペレータが入力装置１７を操作して各種の指令（コマンド）を入力したり、ユーザ端末７から送信されたコマンドを取得することで、このソフトウェアプログラムがＣＰＵ１１によってＲＡＭ１３上に呼び出されて実行されることで、ＯＳ（オペレーションシステム）と協働してこの発明の機能を奏するようになっている。上記プログラムはドライブ１９を通じてリムーバブル記録媒体２０から導入することもできる。

前記記憶装置１４は、データ格納エリアと、ソフトウェアプログラム格納エリアとを備えている。データ格納エリアは、ユーザ情報格納部２１、トークン情報格納部２２、及びＯＴＰ生成アルゴリズム格納部２３、を備えている。

ユーザ情報格納部２１は、主として、前記データベースサーバ５に備えられており、ユーザ６の氏名、住所、担当店舗名やその店コード、口座番号、ユーザ６に配布したトークン８のＩＤなどのユーザ情報を格納する。

トークン情報格納部２２は、この金融機関２がユーザ６に配布する全てのトークン８のシリアル番号などのＩＤが格納される。このトークンＩＤは、ユーザ６に発送する際は、特定のユーザ６や上記ユーザ情報とは紐付けされていないため、万が一、郵便事故等でユーザ以外の第三者に届いた場合でも実害はない。トークン８は、ユーザ６からユーザ情報やトークンＩＤなどを取得して初期設定等の申込みを受け付け、ユーザ認証とトークンＩＤの認証（正規に製造・配布されたものであるかの認証）が完了すると、このユーザ情報とトークンＩＤとがトークン情報格納部２２に関連付けられて登録される。これにより、トークン８が活性化され使用可能となる。

ＯＴＰ生成アルゴリズム格納部２３は、所定周期（６０秒毎）でトークン８のクロック値出力機構８ａと同期してＯＴＰを生成するためのアルゴリズムを格納するものである。このＯＴＰ生成アルゴリズムは、例えば、ホストコンピュータのクロック機構が出力するクロック値に基づいて所定桁数（６〜８桁程度）のＯＴＰを生成するためのプログラムであり、トークン８にも同一のアルゴリズムが格納若しくは設定される。各トークン８の発送時に、ホストコンピュータのクロック機構と同期するように設定されるため、ホストコンピュータとトークン８とは、通信によってその都度同期を取らなくても、常に同一のクロック値に基づいて同一のＯＴＰが生成される。

前記ソフトウェアプログラムは、主として、ホストコンピュータにインストールされる認証対応モジュールであり、ユーザ６の暗証番号やユーザ６が所持しているトークン８のＩＤを要求する２ファクタの認証ソリューション（オーセンティケータ）として機能する。すなわち、このオーセンティケータは、ＯＴＰを６０秒間隔で作成し、ユーザ６のトークン８で生成されたＯＴＰと照合することで本人確認、すなわち金融取引の実行可否を判断する。なお、トークン８のＩＤは、実際はユーザ端末７とホストコンピュータとの通信セッション中に授受されるユーザの口座番号とセッションＩＤに自動的に埋め込まれるため、ユーザ６が端末７から入力する必要はない。

具体的には、このソフトウェアプログラムは、図示しないメインプログラムの他、ログイン時認証部２５、通信セッション制御部２６、取引要求受付部２７、ＯＴＰ生成部２８、取引時認証部２９、及び取引処理部３０を備えている。

ログイン時認証部２５は、ＷＥＢサーバがユーザ端末７のディスプレイに表示させたログイン情報の入力インタフェースを通じてこのユーザ端末７から取得したログイン情報（ユーザＩＤ、数桁のパスワード等）と、前記ユーザ情報格納部２１に予め格納されたユーザ情報とが一致するかに基づいて、このユーザの接続要求の正当性を判別するものである。この時点での認証は、従来の暗証番号等による認証と同様に行われる。

通信セッション制御部２６は、ログイン時認証が肯定された後に、ユーザ端末７とホストコンピュータとの間の通信状態をセッションＩＤに基づいて監視し、取引要求受付部２７がユーザ端末７から取引要求を受け付けた場合に、このユーザ端末７との通信セッションの正当性を判別するものである。具体的には、ユーザ端末７とホストコンピュータとの間で送受信されるパケットに矛盾がないかを常時確認することで、データの改竄やユーザ以外の第三者の割り込み接続を防止する認証機能を備えている。この通信セッション制御部２６の機能はブロードバンドルーターに組み込むこともできる。

取引要求受付部２７は、インターネットなどの公衆回線網を介して、ユーザ端末７から、トークン８が生成しユーザが入力したＯＴＰと、残高照会、振込みなどの取引の要求を受け付けるものである。具体的には、取引情報入力画面を生成してユーザ端末７のディスプレイに表示させ、この画面上のラジオボタンやプルダウンメニューからユーザ６がマウスで選択したり、入力ボックスに入力した数値（振込み金額や振込先の口座番号、ＯＴＰなど）などの取引情報を取得してメモリに格納するものである。

ＯＴＰ生成部２８は、所定周期（６０秒毎）でホストコンピュータのクロック機構からクロック値を取得し、このクロック値をパラメータとして所定のアルゴリズムに適用してＯＴＰを生成するものである。ホストコンピュータのクロック機構はトークン８のクロック値出力機構８ａと同期しており、生成周期（ＯＴＰの有効期間）や生成アルゴリズムは何れもトークン８と同一であるため、このＯＴＰ生成部２８が生成するＯＴＰとトークン８のパスワード生成機構８ｂが生成するＯＴＰとは原則として同一となる。なお、経時的にトークン８とホストコンピュータとの間で時刻のずれが生じた場合は、一定範囲内で自動補正するのが好ましい。

取引時認証部２９は、ユーザ端末７から取得しメモリに格納されたＯＴＰと前記ＯＴＰ生成部２８が生成したＯＴＰとが一致するかに基づいて、このユーザ６から要求された金融取引の正当性を判別し、判別結果をディスプレイや取引処理部３０に出力するものである。このように、ログイン時ではなく、ログイン後に金融取引の要求を受け付けた時点でＯＴＰによる認証を行うことで、ＯＴＰの入力（取得）から取引時認証までを瞬時に行うことができ、ＯＴＰの不正取得を有効に防止できる。

仮に、入力されたＯＴＰが不正に取得された場合でも、当初の金融取引（正当に要求された金融取引）の処理が完了した後でなければ次の金融取引の処理は開始されない。そのため、不正取得したＯＴＰを利用して第三者が次の金融取引を要求するまでの間にそのＯＴＰの有効期間（６０秒）が経過してそのＯＴＰによる認証は否定されることになる。従って、ＯＴＰの不正利用を有効に防止でき、金融取引に際してのセキュリティを格段に向上させることができる。特に、本実施形態では、ログイン後に前記通信セッション制御部２６によって通信パケットの正当性を常に監視するようにしているため、ＯＴＰの不正取得も有効に防止できる。

一方で、残高照会や取引履歴の照会などの資金移動を伴わないような重要性の低い他の取引においても、常にＯＴＰによる認証を要求すると却ってユーザの利便性を損なうおそれもある。そのため、ユーザ６の利害に影響が大きい金融取引に限ってＯＴＰによる認証を要求し、それ以外の相対的に重要性の低い他の取引においてはログイン時認証だけでそのまま処理できるようにするのが好ましい。ユーザの選択によって、全ての取引についてＯＴＰによる認証を条件にすることもできる。このようにしてユーザが選択した取引の種別は、前記ユーザ情報格納部２１に格納される。

取引処理部３０は、取引認証が肯定された場合に、ユーザ端末７から受け付けた振込み等の金融取引処理を実行するものである。なお、この取引処理部３０は金融取引以外の他の取引も処理する。金融取引が完了すると、前記通信セッション制御部２６に完了通知が出力され、通信セッションの監視モードが解除され、ログイン状態を維持した通常モードに復帰する。上記したように、一般的に、この状態に復帰するまでに、取引時認証に際して入力したＯＴＰの有効期間（６０秒）は経過しているため、不正取得されたＯＴＰを不正に利用して次の金融取引を要求しても取引時認証は否定されることになる。換言すれば、このような取引処理に要する時間を考慮して、ＯＴＰの有効期間、すなわち、ＯＴＰの生成周期を設定するのが好ましい。

以下、このシステム１の詳細な機能を実際の動作と共に、図３のフローチャートを参照して説明する。以下においては、ユーザ６が、ネットバンキングを利用して他の口座に振り込みを依頼する場合（金融取引）を例示して説明する。

まず、ログイン時認証部２５が、ユーザ端末７からユーザＩＤやログインパスワードなどの、予めホストコンピュータのユーザ情報格納部２１に登録してあるログイン情報を取得して、ログイン時の認証を行う（ステップＳ１、Ｓ２）。この場合のログイン情報は、ＳＳＬ（Secure Socket Layer）などによって暗号通信を行うようにしたり、図５の従来技術として示したようにＯＴＰを用いた認証を行ったとしても、第三者から不正に取得されるおそれは否定できない。しかし、本実施形態では、この時点の認証情報だけではユーザになりすまして口座の資金移動を伴うような金融取引は行えないため、セキュリティの面で問題はない。このログイン時認証が否定された場合は（ステップＳ２のＮｏ）、所定回数までは再入力を促すが（ステップＳ３のＹｅｓ）、その回数を超えると（ステップＳ３のＮｏ）、本人ではないと判断してログイン情報の凍結、エラーメッセージの出力等のエラー処理を行う（ステップＳ４）。

一方、ログイン時認証が肯定されると（ステップＳ２のＹｅｓ）、取引要求受付部２７が、取引種別選択画面を生成してユーザ端末７のディスプレイに表示させ、この画面を介して取引種別の選択を受け付ける（ステップＳ５）。入力された取引が所定の金融取引（：振込み）であると判断した場合は（ステップＳ６のＹｅｓ）、まずＣＰＵ１１が前記通信セッション制御部２６を起動してユーザ端末７との通信セッションを監視するセッション監視モードに移行する（ステップＳ７）。このセッション監視モードに移行すると、通信セッション制御部２６は、ホストコンピュータとユーザ端末７との間で交信されるパケットの矛盾を監視し、データの改竄や他の端末からの接続要求を拒否する。通信セッション監視モードは、取引処理部３０から後述する取引完了通知や取引キャンセル通知を受領するまで、若しくは取引時認証部２９から取引時認証の否定通知を受領するまで（Ｓ１８：エラー処理）継続する。

ＯＴＰの入力（取引時認証）が不要な取引が選択された場合は（ステップＳ６のＮｏ）、取引情報入力画面のＯＴＰ入力ボックスを入力不能にしたり、ＯＴＰの入力は不要である旨のメッセージを表示させる。この場合には、後述するステップＳ７〜Ｓ１３をスキップしてステップＳ１４の取引実行処理に進む。また、ユーザ６が選択した取引種別に応じてＯＴＰを要求するかどうかを異ならせる場合は、取引種別入力画面で取引種別が選択された時点で（ステップＳ５）、ステップＳ１で取得したログイン情報に基いてユーザ情報格納部２１を参照してその取引に関するＯＴＰの入力要否を判別する（ステップＳ６）。

この通信セッション監視モードに移行した後、前記取引要求受付部２７は取引情報入力画面を生成してユーザ端末７のディスプレイに表示させて振込額や振込先の口座番号・名義の情報（以下、「取引情報」と総称する）と、前記ユーザ６の手元のトークン８が生成しディスプレイに表示されたＯＴＰの入力を促す（ステップＳ８）。

取引情報及びＯＴＰが入力され、「実行」ボタンがクリックされると、ホストコンピュータは通信ネットワークを介してこれらの情報を取得してメモリに一時的に格納する（ステップＳ９）。この時点では取引処理部３０は要求された取引（振込み）を実行せず、ＯＴＰによる認証が完了するまで待機する。

次いで、ＣＰＵ１１はＯＴＰ生成部２８を起動させ、ログイン時に取得したユーザ情報若しくは通信セッションＩＤに埋め込まれた口座番号等に基づいて前記トークン情報格納部２２からこのユーザ６に配布されたトークン８のＩＤを検索し、ＯＴＰ生成アルゴリズム格納部２３を参照して当該トークン８と同一のアルゴリズムを特定する（ステップＳ１０）。また、ホストコンピュータのクロック機構からクロック値を取得し、前記特定したアルゴリズムを適用してこのトークン８と同一のＯＴＰを生成する（ステップＳ１１）。この時、トークン８とホストコンピュータのクロック機構との誤差の補正値がユーザ情報格納部２１に登録されている場合には、この補正値で補正した後に前記アルゴリズムを適用してＯＴＰを生成する。生成されたＯＴＰは、前記取引時認証部２９に受け渡され、ユーザ端末７から取得しメモリに格納されたＯＴＰと同一であるかが判定される（ステップＳ１２）。２つのＯＴＰが同一である場合には、本人からの取引要求であると判断して判定結果を、ホストコンピュータのディスプレイに出力すると共に、取引処理部３０に転送する。

取引処理部３０は、取引時の認証が正当であるという判定結果を取得した場合（ステップＳ１２のＹｅｓ）、このユーザ６の口座に対する他の勘定処理（資金移動）を停止（口座をロック）し（ステップＳ１３）、メモリに保存していた取引情報に基づいて要求された振込み処理を実行する（ステップＳ１４）。振込み処理自体は従来周知であるため詳細説明は省略する。金融取引が完了し取引処理部３０が完了通知を送出すると、前記通信セッション制御部２６がセッション監視モードを解除して通常モードに復帰する（ステップＳ１５）。最後に、取引完了のメッセージを表示した通知画面をユーザ端末７に表示させてこの処理を終了する（ステップＳ１６）。

一方、ＯＴＰが同一でないと判断した場合は（ステップＳ１２のＮｏ）、取引時認証部２９は、所定回数までは再入力を促すが（ステップＳ１７）、その回数を超えると（ステップＳ１７のＮｏ）、本人ではないと判断し取引処理部３０に口座情報の凍結等を指示したり、取引情報入力画面にエラーメッセージを表示したり、前記通信セッション制御部２７に取引時認証の否定を通知するなどのエラー処理を行う（ステップＳ１８）。ここで、ＯＴＰは６０秒毎に更新されるため、ユーザ６が入力した直後にＯＴＰが更新されて認証が否定される可能性がある。また、キーボード操作等に不慣れなユーザ６は入力に時間がかかることもある。そのため、この場合の再入力許容回数は、上記ログイン時の回数よりも多くするのが好ましい。

以上のように、本実施形態では、前記セッションＩＤが監視された状態でＯＴＰを入力・送信させるように構成したので、第三者がユーザ６に成りすましてホストコンピュータに接続して不正にＯＴＰを取得しようとしても、接続自体が拒否される。そのため、ＯＴＰが漏洩することはなく、その後の金融取引が不正に行われることもない。また、このＯＴＰは、６０秒間だけ有効なものであるため、入力されたＯＴＰが取引完了後に漏洩したとしても、そのＯＴＰを再度利用して金融取引を行うことはできない。これにより、ＯＴＰの有効期間を過度に短縮する必要がなく、ユーザの利便性を損なわずにＯＴＰを利用した金融取引のセキュリティを向上させ第三者の不正行為を有効に防止できる。

（第２の実施形態）
次に、図４を参照して本発明の第２の実施形態を説明する。この実施形態では、ＯＴＰ生成手段として、ＯＴＰを生成するソフトウェアプログラム（ソフトウェアトークン）４０をＣＤ−ＲＯＭなどのリムーバブル記録媒体やネットワークを介してオンライン／オフラインでユーザ６に予め配布し、ユーザ端末７にこのＯＴＰ生成プログラムをインストールして実行させることで、ＯＴＰを生成させるものである。なお、上記した第１の実施形態と同一の構成及び相当する構成には同一の符号を付して詳細説明は省略する。

具体的には、このソフトウェアトークン４０は、図４に示すように、ＰＣや携帯電話、ＰＤＡなどのユーザ端末７の図示しないＨＤＤなどにインストールされ、このユーザ端末７に内蔵されたクロック機構からクロック値を取得するクロック値取得機構４１ａと、取得したクロック値に基いてＯＴＰを生成するパスワード生成機構４１ｂとを備えている。ソフトウェアトークン４０は、第１の実施形態におけるホストコンピュータのＯＴＰ生成部２８と同様に、所定周期（６０秒毎）でユーザ端末７のクロック機構からクロック値を取得し、このクロック値をパラメータとして所定のアルゴリズムに適用してＯＴＰを生成するものである。

生成されたＯＴＰは、図４に拡大して示すように、ユーザ端末７のディスプレイ上のＯＴＰ表示画面４２に表示される。ユーザ６は、ユーザ情報管理システム１に接続（ログイン）して金融取引を要求する際に、ホストコンピュータの取引要求受付部２７から送信された取引情報入力画面４３のＯＴＰ入力ボックス４４に、ＯＴＰ表示画面４２に表示されたＯＴＰを入力してホストコンピュータに送信する。以後の処理は、第１の実施形態と同様に行われる。なお、このソフトウェアトークン４０は、ユーザ端末７に常駐させてもよいし、取引情報入力画面４３を表示させる際に手動／自動で呼び出して実行させてもよい。

この実施形態においては、ＯＴＰ表示画面４２に表示させたＯＴＰを汎用の音声読み上げソフトウェアを利用して音声で出力させるのが好ましい。これにより、視覚障害者でもＯＴＰを利用してネットバンキングで取引を依頼することが可能になる。すなわち、第１の実施形態に挙げたトークン８（ＯＴＰ生成機器）は、生成されたＯＴＰを視覚的に表示するものであるため、視覚障害者は自らＯＴＰを入力・確認することができないという課題がある。そのため、第２の実施形態に示したように、ＯＴＰを音声で出力するのが好ましい。

なお、この発明は上記の実施形態に限定されるものではなく、発明の要旨を変更しない範囲で種々変形可能である。

例えば、上記の実施形態では、ＯＴＰの生成パラメータとしてクロック値を例示したが、ＯＴＰの累積生成回数、クロック機構の基礎になるパルスの累積回数等のイベントをパラメータとしてもよい。

また、第１の実施形態と第２の実施形態とを組み合わせることもできる。すなわち、視覚障害者のような特殊事情があるユーザ６や希望するユーザには第２の実施形態のソフトウェアトークン４０を配布し、それ以外のユーザ６には第１の実施形態のトークン８（ＯＴＰ生成機器）を配布する。また、第１の実施形態のトークン８に、音声・振動などの視覚以外での出力機能を追加してもよい。これにより、視覚障害者などでもトークン８が生成したＯＴＰを認識することができる。

図１は、本発明の実施形態のネットワーク構成図である。 図２は、ホストコンピュータの概略構成を示す機能ブロック図である。 図３は、本実施形態の全体処理工程を示すフローチャートである。 図４は、本発明の第２の実施形態のネットワーク構成図である。 図５は、従来のＯＴＰ認証を説明するための図である。

符号の説明

１…ユーザ情報管理システム
２…金融機関
３…勘定系ホストコンピュータ
４…ＷＥＢサーバ
５…データベースサーバ
６…ユーザ
７…ユーザ端末
８…認証機器（トークン）
８ａ…クロック値出力機構
８ｂ…パスワード生成機構
１１…ＣＰＵ
１２…システムバス
１３…ＲＡＭ
１４…記憶装置
１５…入出力インタフェース
１６…出力装置
１７…入力装置
１８…通信デバイス
１９…ドライブ
２１…ユーザ情報格納部
２２…トークン情報格納部
２３…ＯＴＰ生成アルゴリズム格納部
２５…ログイン時認証部
２６…通信セッション制御部
２７…取引要求受付部
２８…ＯＴＰ生成部
２９…取引時認証部
３０…取引処理部
４０…ソフトウェアトークン
４１ａ…クロック値取得機構
４１ｂ…パスワード生成機構
４２…ＯＴＰ表示画面
４３…取引情報入力画面
４４…ＯＴＰ入力ボックス

Claims (5)

1. 予め配布されたワンタイムパスワード（ＯＴＰ）の生成手段を所有するユーザの端末が通信ネットワークを通じて接続されるホストコンピュータによって、所定の取引を実行する際のユーザ情報を管理する方法であって、
   前記ＯＴＰ生成手段は、配布時にホストコンピュータのクロック機構と同期されたクロック値を出力するクロック値出力機能と、一定の周期でクロック値を所定のアルゴリズムに適用してＯＴＰを生成するＯＴＰ生成機能とを備え、
   この方法は、前記ホストコンピュータが、
   通信ネットワーク経由で前記ユーザ端末からログイン情報を取得してユーザ認証を行うログイン時認証工程と、
   前記ログイン時認証が肯定された後、当該ユーザ端末から取引種別の入力を受け付ける取引種別取得工程と、
   前記取引種別が所定の金融取引種別である場合に、ユーザ端末とホストコンピュータとの通信セッションの監視を開始し、ユーザ端末とホストコンピュータの間で送受信されるパケットに矛盾がないかを確認することでデータの改ざんや当該ユーザ以外の第三者の割り込み接続を検出するセッション監視工程と、
   前記取引種別が所定の金融取引種別である場合、ユーザ端末から取引実行指示と前記ＯＴＰ生成手段が生成したＯＴＰとを取得する取引要求受付工程と、
   ユーザのＯＴＰ生成手段と同一の周期でホストコンピュータのクロック機構からクロック値を取得し、このクロック値をＯＴＰ生成手段と同一のアルゴリズムに適用して前記ユーザのＯＴＰと同一のＯＴＰを生成するパスワード生成工程と、
   取得したＯＴＰ生成手段のＯＴＰと生成されたＯＴＰとが同一であるか、及び、前記セッション監視工程により監視された取引要求受付までのセッションが正当であるか、に基づいて取引要求の正当性を判別して判別結果を出力する取引正当性判別工程と、
   前記取引要求が前記取引正当性判別工程で正当であると判断された場合、当該ユーザの口座に関する他の取引の受付けを保留若しくは拒否する工程と、
   前記取引要求に係る金融取引が実行された後、前記セッション監視工程を終了すると共に、当該ユーザの口座に関する他の取引の受付けを再開する工程と
   を実行するものであることを特徴とする方法。
2. 請求項１記載の方法において、
   前記所定の金融取引は、顧客であるユーザに金融機関が提供する、他の口座への資金移動や口座残高の減少を伴う所定の金融取引、若しくはこのような取引を行う際に必要な個人情報の追加登録・更新（以下、「金融取引」と総称する）である、
   ことを特徴とする方法。
3. 請求項１記載の方法において、
   前記ＯＴＰ生成手段は、特定のユーザにオンライン若しくはオフラインで選択的に配布され、そのユーザの端末の記録媒体にインストールされたＯＴＰ生成プログラムであり、
   このＯＴＰ生成プログラムは、生成されたＯＴＰを音声で出力するＯＴＰ出力機能を備えた
   ことを特徴とする方法。
4. 請求項１記載の方法において、
   前記ＯＴＰ生成手段は、ユーザに配布されたＯＴＰ生成機器であり、このＯＴＰ生成機器は、生成されたＯＴＰを音声及び／若しくは振動で出力するＯＴＰ出力機能を備えた
   ことを特徴とする方法。
5. 予め配布されたワンタイムパスワード（ＯＴＰ）の生成手段を所有するユーザの端末が通信ネットワークを通じて接続されるホストコンピュータによって、所定の取引を実行する際のユーザ情報を管理するシステムであって、
   前記ＯＴＰ生成手段は、配布時にホストコンピュータのクロック機構と同期されたクロック値を出力するクロック値出力機能と、一定の周期でクロック値を所定のアルゴリズムに適用してＯＴＰを生成するＯＴＰ生成機能とを備え、
   このシステムは、前記ホストコンピュータが、
   通信ネットワーク経由で前記ユーザ端末からログイン情報を取得してユーザ認証を行うログイン時認証手段と、
   前記ログイン時認証が肯定された後、当該ユーザ端末から取引種別の入力を受け付ける取引種別取得手段と、
   前記取引種別が所定の金融取引種別である場合に、ユーザ端末とホストコンピュータとの通信セッションの監視を開始し、ユーザ端末とホストコンピュータの間で送受信されるパケットに矛盾がないかを確認することでデータの改ざんや当該ユーザ以外の第三者の割り込み接続を検出するセッション監視手段と、
   前記取引種別が所定の金融取引種別である場合、ユーザ端末から取引実行指示と前記ＯＴＰ生成手段が生成したＯＴＰとを取得する取引要求受付手段と、
   ユーザのＯＴＰ生成手段と同一の周期でホストコンピュータのクロック機構からクロック値を取得し、このクロック値をＯＴＰ生成手段と同一のアルゴリズムに適用して前記ユーザのＯＴＰと同一のＯＴＰを生成するパスワード生成手段と、
   取得したＯＴＰ生成手段のＯＴＰと生成されたＯＴＰとが同一であるか、及び、前記セッション監視手段により監視された取引要求受付までのセッションが正当であるか、に基づいて取引要求の正当性を判別して判別結果を出力する取引正当性判別手段と、
   前記取引要求が前記取引正当性判別手段で正当であると判断された場合、当該ユーザの口座に関する他の取引の受付けを保留若しくは拒否する手段と、
   前記取引要求に係る金融取引が実行された後、前記セッション監視工程を終了すると共に、当該ユーザの口座に関する他の取引の受付けを再開する手段と
   を実行するものであることを特徴とするシステム。
   

Images