JP5135509B2 - コンピュータ装置の安全な動作方法 - Google Patents

Description

本発明はコンピュータ装置の動作方法に関し、特に、ユーザが装置に対して要求する動作を実行させることが可能になる前に、パスフレーズの入力等によるユーザ認証が要求される、コンピュータ装置の安全な動作方法に関する。本発明は、更に、この方法に基づいて動作するように構成されたコンピュータ装置と、コンピュータ装置をこの方法に基づいて動作させるコンピュータソフトウェアにも関する。

ここで用いられるコンピュータ装置という用語は、あらゆる形態の電子機器を含むように拡張的に解釈され、任意のフォームファクタ（form factor）を有する静止画及び動画に係るデジタルカメラ等を含むデータ記録装置と、携帯端末及びパーソナルコンピュータを含むあらゆる種類及び形態のコンピュータと、任意のフォームファクタを有する通信装置とを含む。ただし、任意のフォームファクタを有する通信装置には、携帯電話と、高機能電話と、通信、画像記録と再生との少なくともいずれか、及び、計算機能を単一装置内で結合するコミュニケータと、及び、他の形態の無線又は有線の情報機器とが含まれる。

分散コンピューティング・システムは、日々の生活においてますます広く普及しているものの１つである。分散コンピューティング装置は、現在では、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワーク、及び、インターネット等のネットワークのネットワークに接続されている。そのようなネットワークの多くは様々な技術によって安全性が保たれている。このような技術には、ファイヤーウォール・ソフトウェア、ルーティングの制限、暗号化、バーチャル・プライベート・ネットワーク、又は、他の手段、及びこれらの組合せが含まれる。セキュリティ境界（security perimeter）内部のコンピュータには、通常は、ユーザ及びグループのパーミッションやアクセス・コントロール・リスト、及びその他に従って、セキュアネットワーク内に格納されたデータへのアクセスが予め与えられるだろう。これに対して、境界の外のマシンは、実質的に或いは完全に、アクセスが拒否される。

このような安全なネットワークとその情報コンテンツの発展に伴い、権限のあるユーザによる安全なアクセスを補助する必要性が高まっている。さらに、ユーザを認証する必要も高まっている。これは、ネットワークにアクセスする権限がユーザに対して与えられている場合においても、他のものよりも機密性が要求されるとみなされる特定の通信がネットワーク上に存在するからである。インターネットを介してクレジットカードによる買い物を行ったり、組織内の離れた異なる部門間で会社の機密情報について議論する等の、機密性が要求されるあらゆる種類の処理を実行する場合、暗号化技術及び復号技術を使用することは、ますます重要であるとみなされている。

Pretty Good Privacy（ＰＧＰ）は、インターネット等の大きなネットワーク上で通信を暗号化・復号するために用いられるコンピュータプログラムである。これは、暗号化されたデジタル署名を送信するためにも用いることができる。暗号化されたデジタル署名によれば、通信の受信者は、送信者のアイデンティティ（identity）を検証することができ、途中でメッセージが変更されていないことを知ることができる。ＰＧＰは、プライバシーを保証するプログラムとして、最も広く用いられているものの１つである。ＰＧＰは、公開鍵システムの変形を用いている。そのようなシステムでは、各ユーザは、公衆に知られた暗号化鍵と、そのユーザにのみ知られた秘密鍵とを有する。第三者に送信されるメッセージは、その者の公開鍵を用いて暗号化される。その暗号化されたメッセージをその第三者が受信した場合、それはその者に秘密鍵を用いて復号される。メッセージ全体を暗号化すると比較的時間がかかることがあるため、ＰＧＰはメッセージを暗号化するのに高速な暗号化アルゴリズムを用いており、メッセージ全体を暗号化するのに用いられた短い鍵を暗号化するために公開鍵を用いる。暗号化されたメッセージと短い鍵は受信者に送信される。受信者は、まず、受信者の秘密鍵を用いて短い鍵を復号し、次に、その鍵を用いてメッセージを復号する。暗号化／復号技術を用いることは、無線通信において特に重要であると考えられている。なぜなら、無線の回路は、配線で接続された同等物よりも盗聴が容易であることが多いためである。

しかし、暗号化されたデータを送信又はアクセスする人の認証は、非常に重要であり欠くことができない。認証は、誰か又は何かが、実際に、宣言されている誰か又は何かであるか否かを判定する処理である。インターネットを含む、コンピュータのプライベート・ネットワーク及びパブリック・ネットワークにおいて、一般的に、認証はログオン・パスワードを用いてなされている。パスワードを知っていることは、そのユーザが本物であることを保証すると仮定される。ユーザは、それぞれ、割り当てられた、或いは、自分で宣言したパスワードを用いて、まず登録するだろう。その後使用するたびに、ユーザは、以前宣言されたパスワードを、知っておき、使用しなければならない。金銭の交換などの重要な取引を行う場合、このシステムにおける欠点は、パスワードは、よく盗まれ、偶然流出し、或いは、忘れられることがあることである。

ＰＧＰ等の暗号化及び復号のプログラムにおいては、パスフレーズが、実質的に、本人を認証するためのデジタル署名として用いられる。実際、パスフレーズは２つの目的を遂行する−即ち、パスフレーズは、そのソフトウェアの権限のあるユーザが実際に存在すると鍵管理（鍵マネージャ）ソフトウェアが判定することを可能にし（そのユーザのみがＰＩＮ又はパスフレーズを知っているため）、そのユーザが鍵の使用を望んでいることを確認する。従って、パスフレーズは、メッセージを送ったと主張する人、暗号化されたメッセージへのアクセスを得ようとしている人、或いは、商業的な購入等の安全な取引を実行しようとしている人が、実際にその人であることを証明するために用いられる。普通のアクセス用パスワードによりもたらされる安全性と比べて高度なレベルの安全性が要求されるため、パスフレーズの長さは、一般的に、１６文字程度あり、長さが１００文字程度にまで及ぶこともよくある。

もし不正なソフトウェアが、ユーザが要求していない取引に署名しようと企てて、鍵マネージャを呼び出そうとするならば、ユーザに自己を認証することを要求するユーザインタフェースの表示が、第三者がユーザの鍵の使用を試みているとユーザに対して警告し、ユーザは、自己を認証することを断るようになるだろう。

以上概説したように、パスフレーズは、通常、比較的長いアルファベット数字式（alpha numeric）の文字シーケンスであるため、ユーザ認証が要求される度毎にパスフレーズを繰り返し入力することは便利ではないと考えられる。パスフレーズが比較的長いアルファベット数字式のシーケンスである場合や、或いは、パスフレーズの再入力が非常に頻繁に要求される場合、そうでなければその他の点では特に有益であると考えられるとしても、頻繁すぎる認証の繰り返しは、ユーザが暗号化処理を用いることを思いとどまらせてしまうだろう。このため、そのようなシステムの使用におけるユーザ体験を改善するため、過去に鍵を使用してからその鍵が短時間しか使用されていない場合、ユーザに再認証を要求しないことが知られている。これは、"パスフレーズ・キャッシュ（pass phrase caching）"と呼ばれている。パスフレーズ・キャッシュは、所定の期間、鍵が"ロックされない"ようなユーザ体験を提供する方法の１つである。更なる鍵の使用において認証処理の繰り返しが要求されるのは、この期間が満了した場合のみである。

公知の認証技術においては、パスフレーズは所定の時間（例えば３０分）キャッシュされる。このため、多数の動作を安全に実行するために、例えば、以下のイベント・シーケンスをユーザに要求してもよい。
１．ユーザが電子メールの復号を要求する−動作Ａ。
２．そのユーザは、メールを復号して閲覧するために自分のパスフレーズを入力する（自分を認証する）。
３．５分後、そのユーザは他の電子メールを復号する−動作Ａ。
４．パスフレーズがまだキャッシュされているため、ユーザは、パスフレーズの再入力を要求されない。
５．１分後、ユーザは他の電子メールに署名する−動作Ｂ。
６．パスフレーズがまだキャッシュされているため、ユーザは、パスフレーズの再入力を要求されない。
７．１分後、ユーザは他の電子メールに署名する−動作Ｂ。
８．パスフレーズがまだキャッシュされているため、ユーザは、パスフレーズの再入力を要求されない。
９．５分後、ユーザは他の電子メールに署名する−動作Ｂ。
１０．パスフレーズがまだキャッシュされているため、ユーザは、パスフレーズの再入力を要求されない。
１１．１時間後、ユーザは他の電子メールに署名しようとする−動作Ｂ。
１２．キャッシュされたパスフレーズは失効しているため、ユーザはパスフレーズを再入力する。
１３．１時間後、ユーザは他の電子メールの復号を要求する−動作Ａ。
１４．キャッシュされたパスフレーズは失効しているため、ユーザはパスフレーズを再入力する。
１５．１０分後、ユーザは金銭取引の実行を要求する−動作Ｃ。
１６．パスフレーズがまだキャッシュされているため、ユーザは、パスフレーズの再入力を要求されない。

上記の例から、パスフレーズが所定の期間キャッシュされるため、パスフレーズが有効であるキャッシュ期間と同じ期間、動作Ａ、動作Ｂ或いは動作Ｃを実行することができることが分かる。これは、ユーザが実行する動作に関わらず、共通のキャッシュ期間が適用されるためである。しかし、上記の例では、金銭的な費用を扱う動作Ｃは、動作Ｂよりも商業的な機密性が高いということが理解されよう。さらに、電子メールの生成を扱う動作Ｂは、電子メールの閲覧にとどまっている動作Ａよりも機密性が高い。しかし、キャッシュ期間が経過していないとパスフレーズはまだ認証されているため、これらはパスフレーズを再入力せずに実行可能である。このため、ある種類の動作に適していると考えられている期間の間パスフレーズをキャッシュすることは、ある程度、他の種類の動作の安全性を損なうかもしれない。

従って、本発明の目的は、コンピュータ装置上における動作の実行を要求するユーザを認証する改善された方法を提供することである。

本発明の第１の側面によれば、コンピュータ装置の動作方法であって、ユーザからの前記装置を使用した動作の実行要求に応じて、前記ユーザのアイデンティティが認証されてからの時間を判定する工程と、前記判定された時間と、前記要求された動作の目的とに基づいて、前記要求された動作を実行可能にする工程と、を備えることを特徴とする方法が提供される。

本発明の第２の側面によれば、第１の側面に係る方法に基づいて動作するように構成されたコンピュータ装置が提供される。

本発明の第３の側面によれば、第２の側面に係るコンピュータ装置を、第１の側面に係る方法に基づいて動作させるコンピュータソフトウェアが提供される。

以下、一例として、本発明に係る実施の形態について、図１を参照して説明する。図１は、本発明に係るユーザを認証する方法のフローチャートである。

図１のステップ２において、コンピュータ装置は、安全動作の実行要求を受信する。これは、パスフレーズの入力等により、ユーザが現在認証されている場合にのみ完了することができる。ステップ４において、コンピュータ装置は、ユーザが要求した動作の種類を判定する。例えば、ユーザは、重要な金銭的約束を含む、購入契約の承認の実行を要求するかもしれない。この場合、ユーザを正しく識別し、従って、そのユーザが金銭的約束を行う権限を持っていることを保証することは、必要不可欠である。これは、高度な安全性のレベルを要する動作と見なすことができる。或いは、ユーザは、電子メールの閲覧等の、比較的安全性のレベルが低い動作の実行を要求するかもしれない。要求されている動作の種類を判定する方法は多数存在するだろう。例えば、動作の実行に用いられるアプリケーションの種類や、要求されるファイルの判定に基づいたり、或いは、要求の中身そのものを解析することによってもよいだろう。動作の種類を判定する多くの方法はこの分野の当業者にとって明らかであり、要求された動作を分類するために用いることが可能なあらゆる方法を、本発明は適用し、包含することができると考えられる。

ステップ６において、コンピュータ装置は、ユーザが自分のパスフレーズを入力して、最後に認証されてから経過した時間を判定する。次に、本発明においては、コンピュータ装置は、認証から経過した時間に基づいて、要求された動作を受け付けられるか否かを判定する。これは、図１のステップ８に示されている。上述のように、契約の承認と電子メールの閲覧を例に挙げると、電子メールの閲覧は安全性のレベルが比較的低い動作であるため、電子メールの閲覧については"標準的な"キャッシュ期間、例えば、１時間が許容範囲にあると考えられる。パスフレーズにより最後に認証してから経過した時間が１時間未満であると判定された場合、ユーザのアイデンティティは真正であると考えられる。このため、図１のステップ１０に示されるように、動作は可能となる。しかし、契約承認の動作について、この種の動作に関しては、同じ種類の過去の動作の完了に応じてキャッシュ期間が満了するようにシステムは構成されている。従って、この例では、ステップ８において、コンピュータ装置は、要求された動作について最後の認証は正当でないため時間は経過していると判定し、図１のステップ１２において、特別な契約承認の動作においてユーザを認証するために、ユーザに自分のパスフレーズを再入力するように要求する。パスフレーズが正しく入力された場合、ユーザは認証され、ステップ８において期限は許容範囲にあると判定され、安全性のレベルが高いこの動作は実行可能となる。要求された動作を実行可能にした後、ステップ１４において処理は終了する。上述の処理によればより安全な環境が提供され、１つのパスフレーズを用いて全ての鍵の使用を制御できることが理解される。

以下の例は、類似しているが明らかに異なる２つの動作について、本発明がどのように用いられるかを示している。動作Ａは、"今日の自分のカレンダー入力を復号し、閲覧する"ものであり、動作Ｂは、"本を購入するための取引に署名する"ものである。動作Ａは、おそらく、就業日毎にユーザが多数回要求するようになり、従って、関心のある日のカレンダー入力を閲覧したいとユーザが思うたびに、ユーザは自分のパスフレーズをタイプしなければならないならば、非常に煩わしいだろう。本質的に、この動作を実行するために、ユーザは、自分のパスフレーズを日に１回或いは２回だけ、入力することが要求されるようにすべきである。一方、動作Ｂは金銭がかかるため、携帯電話の形態をとりうる、コンピュータ装置へのアクセスを取得するかもしれない第三者が、本の購入等のあらゆる金銭取引を実行することができないということの保証を、ユーザは求めるだろう。このため、この種の動作には比較的短いキャッシュ時間が設定される。ただし、ユーザが、３つの納入業者から３つの本を、比較的短期間に続けて購入したいと考えている場合は、ユーザは取引毎に自分のパスフレーズを入力する必要があることを望まないが、それでも自分のカレンダーについて設定されたキャッシュ時間により提供される安全性よりも高いレベルの安全性を有することを求める。実際、ユーザは、自分のパスフレーズにより、例えば３分などの比較的短い間、動作Ｂの使用が許可されることを望むだろう。このため、本発明によれば、上述の動作は以下のように実行することができる。
１．ユーザは自分のカレンダーの閲覧を求める−動作Ａ。
２．ユーザは自分のパスフレーズを入力する。
３．５分後、ユーザはカレンダー中の他の日を閲覧する−動作Ａ。
４．パスフレーズが入力されてから１日が経過しておらず、キャッシュ期間内にあるため、ユーザは自分のパスフレーズの入力を促されない。
５．１分後、ユーザは本の購入を要求する−動作Ｂ。
６．パスフレーズが最後に入力されてから３分を超える時間が経過しているため、ユーザは、パスフレーズの再入力を求め「られる」。これは異なる動作であり、良好な安全性がもたらされる。
７．１分後、ユーザは他の本を買う−動作Ｂ。
８．パスフレーズが最後に入力されてから３分が経過していないため、ユーザはパスフレーズの再入力を求められない。
９．５分後、ユーザは他の本を買う−動作Ｂ。
１０．パスフレーズが最後に入力されてから３分を超える時間が経過してるため、ユーザはパスフレーズの再入力を求め「られる」−動作Ｂと異なる振る舞いであり、同じパスワードを使用して安全性が高められている。
１１．１時間後、ユーザは他の本を買う−動作Ｂ。
１２．ユーザはパスフレーズの再入力を求められる。
１３．１時間後、ユーザは、カレンダー入力の閲覧を要求する−動作Ａ。
１４．パスフレーズが最後に入力されてから１日が経過していないため、ユーザはパスフレーズの再入力を要求「されない」−動作Ｂと異なる振る舞いであり、ユーザに良好な利便性を提供しながら必要なレベルの安全性を確保している。

要約すると、実行されようとしている動作の安全性と、パスフレーズが最後に入力されてから経過した時間に基づいて、必要と考えられる場合にのみ、ユーザは自分のパスフレーズを求められる。パスフレーズが求められるか否かは、キャッシュ期間内に実行されうる動作に関係のないキャッシュ期間について固定された期間に機械的に基づくわけではない。パスフレーズを連続して頻繁に再入力する必要が決してないように構成するために、ユーザは、動作のカテゴリと対応する経過時間を選択すると予想される。

以上、本発明について、特定の実施形態を参照して説明したが、添付の特許請求の範囲に記載された本発明の技術的範囲に含まれるならば修正してもよいことは理解されるだろう。例えば、上述の実施形態において、経過時間は、最後又は直前のパスフレーズの入力から判定される。しかし、この経過時間は、必ずしも最後の入力ではない過去のパスフレーズの入力から判別してもよい。更に、本発明について、パスフレーズの使用を参照して説明した。しかし、パスワード又はＰＩＮ（Personal Identification Numbers：個人識別番号）と、指紋や虹彩の認識等の生体データとの少なくともいずれかを使用する等、ユーザを認証する他の方法を採用してもよい。

本発明に係るユーザを認証する方法のフローチャートである。

Claims (3)

1. コンピュータ装置のプロセッサでソフトウェアが実行されることにより、前記コンピュータ装置が動作する方法であって、
   ユーザからの動作の実行要求を受信することと、
   前記ユーザのアイデンティティを認証することと、
   前記要求された動作の種類を判定することと、
   前記ユーザのアイデンティティが認証されてからの時間を判定することと、
   前記ユーザにより設定された複数の時間と、
   前記要求された動作の目的と、前記要求された動作の種類とに基づいて、前記複数の時間の１つを選択することと、
   前記判定された時間と前記選択された時間との比較に基づいて、前記要求された動作の正当性を判断することであって、
   前記判定された時間が前記選択された時間以下であって前記要求された動作が正当である場合、前記要求された動作を実行可能にすることと、
   前記要求された動作が正当でない場合、前記要求された動作の種類に応じて、前記ユーザのアイデンティティを再認証することと、前記再認証の結果に応じて、前記判定された時間を更新することと、
   ある種類の動作についての前記判定された時間は、直前の同じ種類の動作の完了に応じて満了するように構成されることと、
   を備える前記判断することと、
   を備えることを特徴とする方法。
2. 請求項１に記載の方法を実行するように構成されるコンピュータ装置。
3. コンピュータ装置により実行されることにより、該コンピュータ装置に、請求項１に記載の方法を実行させるように構成されるコンピュータプログラム。

Images