JP5555394B2

JP5555394B2 - Information leakage prevention program uninstall execution availability control method and information leakage prevention system

Info

Publication number: JP5555394B2
Application number: JP2010222013A
Authority: JP
Inventors: 雄三久原; 建樹原田
Original assignee: Hitachi Solutions Ltd
Current assignee: Hitachi Solutions Ltd
Priority date: 2010-09-30
Filing date: 2010-09-30
Publication date: 2014-07-23
Anticipated expiration: 2030-09-30
Also published as: JP2012078979A

Description

本発明は、情報漏洩防止プログラムをインストールした情報漏洩防止システムに係り、情報漏洩防止プログラムのアンインストール実行可否制御方法およびシステムに関するものである。 The present invention relates to an information leakage prevention system in which an information leakage prevention program is installed, and relates to a method and system for controlling whether or not to uninstall an information leakage prevention program.

データの持ち出しを禁止する情報漏洩防止プログラムをインストールした情報漏洩防止システムにあっては、情報漏洩防止プログラムをアンインストールすることによってデータの持ち出し禁止機能を解除し、データの持ち出しが可能になってしまう。
そこで、従来の情報漏洩防止システムでは、情報漏洩防止プログラムのアンインストール実行時に実行者の権限をパスワードによって認証し、認証に成功した実行者のみにアンインストールを許可し、どの情報処理端末が情報漏洩防止プログラムをアンインストールしたかを管理するようにしている。 In an information leakage prevention system that has an information leakage prevention program that prohibits data export, uninstalling the information leakage prevention program cancels the data leakage prohibition function and makes it possible to take data out .
Therefore, in the conventional information leakage prevention system, when executing the uninstallation of the information leakage prevention program, the authority of the executor is authenticated by a password, and only the executor who has succeeded in the authentication is allowed to uninstall, and which information processing terminal is informed It is managed whether the prevention program is uninstalled.

しかし、実行者の権限をチェックする場合、実行者毎に異なる権限を管理する必要がある。またアンインストール時に使用するパスワードを、インストール媒体毎で異なる値に設定すると、管理者はそれらの異なるパスワード全ての管理を行う必要があるため、運用面での負荷が高くなる。そのため運用面での負荷を低減するために、実行者の権限を一律で禁止または許可にした、インストール媒体毎で共通のパスワードを設定したりする場合があり、この場合セキュリティを保つことができなくなる。 However, when checking the authority of an executor, it is necessary to manage different authority for each executor. Also, if the password used for uninstallation is set to a different value for each installation medium, the administrator needs to manage all the different passwords, which increases the operational load. For this reason, in order to reduce the operational load, a common password may be set for each installation medium that prohibits or permits the performer's authority uniformly, and security cannot be maintained in this case. .

本発明に類似する情報漏洩防止システムとして、例えば下記の特許文献１に開示されたものがある。この特許文献１に開示されたものは、インストールおよびアンインストールを行う際に、セキュリティ権限をチェックすることで、インストールおよびアンインストールの制御を行うというものである。 As an information leakage prevention system similar to the present invention, for example, there is one disclosed in Patent Document 1 below. The technique disclosed in Patent Document 1 controls installation and uninstallation by checking security authority when performing installation and uninstallation.

特開２０００−３３９１４２号公報JP 2000-339142 A

実行者毎にセキュリティ権限を設定することは、実行者の数に比例して、管理コストも増大する。そのため、運用面での負荷が高く、権限の管理コストを抑えるため、実行者の権限を一律で禁止または、許可にする場合がある。
セキュリティ権限を一律で禁止にした場合は、アンインストールが必要な時にアンインストールが不可となり、運用上の柔軟な対応が取れない。逆に一律で許可にした場合、容易にアンインストールが可能となり、セキュリティが保てない。
また管理者がインストール媒体毎で利用者共通のパスワードを設定する場合、ある利用者がアンインストールを実行する際に、取得したパスワード情報を異なる利用者に漏洩すると、その異なる利用者が使用する情報漏洩防止プログラムをアンインストールすることが可能となってしまう。また、管理者は、その異なる利用者が情報漏洩防止プログラムをアンインストールしたことを把握できず、情報漏洩の防止および検知が行えなくなってしまう。 Setting security authority for each executor increases the management cost in proportion to the number of executors. For this reason, there is a case where the executioner's authority is uniformly prohibited or permitted in order to increase the operational load and reduce the authority management cost.
If the security authority is uniformly prohibited, it will not be possible to uninstall when it is necessary, and flexible operation will not be possible. On the other hand, if the permission is uniformly applied, the uninstallation can be easily performed and the security cannot be maintained.
In addition, when an administrator sets a common password for each installation medium, when a user performs the uninstallation, if the acquired password information is leaked to a different user, the information used by the different user It becomes possible to uninstall the leakage prevention program. In addition, the administrator cannot grasp that the different user has uninstalled the information leakage prevention program, and cannot prevent and detect the information leakage.

本発明の目的は、管理者の運用負荷を高くせずに、情報漏洩プログラムのアンインストール実行可否の制御を行い、管理者が把握できない情報漏洩プログラムのアンインストールが行えないようにするための方法及びシステムを提供することにある。 An object of the present invention is to control whether or not an information leakage program can be uninstalled without increasing the operation load of the administrator, and to prevent the information leakage program from being uninstalled that the administrator cannot grasp. And providing a system.

上記目的を達成するために、本発明の情報漏洩防止プログラムのアンインストール実行可否制御方法は、クライアントコンピュータにインストールした情報漏洩防止機能を備えたクライアント用プログラムのアンインストールの実行可否を管理者が管理するサーバコンピュータとの協同によって制御する方法であって、
前記サーバコンピュータが、前記クライアント用プログラムのインストール媒体の作成時に、組織毎に異なる値をシークレットとして当該インストール媒体に書き込んで設定し、設定したシークレットを前記クライアント用プログラムと組織とに対応付けて保持するステップと、
前記クライアントコンピュータが、前記クライアント用プログラムのインストール時に、前記インストール媒体から前記シークレットを読み出し、インストールしたクライアント用プログラムと対応付けて保持するステップと、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストール時に、当該クライアントコンピュータに固有の情報を用いて予め定めたアルゴリズムによりチャレンジを生成し、その生成したチャレンジを前記サーバコンピュータに通知すると共に、前記保持していた前記シークレットを読み出し、その読み出したシークレットと前記生成したチャレンジとに基づきレスポンスを生成し、記憶するステップと、
前記サーバコンピュータが、前記クライアント用プログラムと組織とに対応付けて保持いるシークレットと前記クライアントコンピュータから通知されたチャレンジに基づき前記アルゴリズムと同一のアルゴリズムによってレスポンスを生成し、その生成したレスポンスを前記クライアントコンピュータに通知するステップと、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較するステップと、
レスポンスが一致した場合に、前記クライアント用プログラムのアンインストールを実行するステップとを備えることを特徴とする。
また、前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可とするステップと、
を備えることを特徴とする。
また、前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする。
また、情報漏洩防止機能を備えたクライアント用プログラムをインストールしたクライアントコンピュータと、管理者が管理するサーバコンピュータとによって構成された情報漏洩防止システムであって、
前記サーバコンピュータが、前記クライアント用プログラムのインストール媒体の作成時に、組織毎に異なる値をシークレットとして当該インストール媒体に書き込んで設定し、設定したシークレットを前記クライアント用プログラムと組織とに対応付けて保持する手段と、
前記クライアントコンピュータが、前記クライアント用プログラムのインストール時に、前記インストール媒体から前記シークレットを読み出し、インストールしたクライアント用プログラムと対応付けて保持する手段と、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストール時に、当該クライアントコンピュータに固有の情報を用いて予め定めたアルゴリズムによりチャレンジを生成し、その生成したチャレンジを前記サーバコンピュータに通知すると共に、前記保持していた前記シークレットを読み出し、その読み出したシークレットと前記生成したチャレンジとに基づきレスポンスを生成し、記憶する手段と、
前記サーバコンピュータが、前記クライアント用プログラムと組織とに対応付けて保持いるシークレットと前記クライアントコンピュータから通知されたチャレンジに基づき前記アルゴリズムと同一のアルゴリズムによってレスポンスを生成し、その生成したレスポンスを前記クライアントコンピュータに通知する手段と、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する手段と、
レスポンスが一致した場合に、前記クライアント用プログラムのアンインストールを実行する手段とを備えることを特徴とする。
また、前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可とする手段を備えることを特徴とする。
また、前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする。 In order to achieve the above object, in the information leakage prevention program uninstall execution feasibility control method of the present invention, the administrator manages whether or not the client program having the information leakage prevention function installed in the client computer can be uninstalled. A method of controlling in cooperation with a server computer
When the server computer creates the installation medium for the client program, the server computer writes and sets a different value for each organization as a secret in the installation medium, and holds the set secret in association with the client program and the organization. Steps,
When the client computer installs the client program, reads the secret from the installation medium and holds the secret in association with the installed client program;
When the client computer uninstalls the client program, the client computer generates a challenge using information specific to the client computer, notifies the server computer of the generated challenge, and holds the challenge Reading the secret, and generating and storing a response based on the read secret and the generated challenge; and
The server computer generates a response by the same algorithm as the algorithm based on the secret held in association with the client program and the organization and the challenge notified from the client computer, and the generated response is sent to the client computer. The step of notifying
The client computer compares the response received from the server computer with the stored response and compares them for matching;
And a step of uninstalling the client program when the responses match.
In addition, when the client computer compares the response received from the server computer with the stored response and compares them with each other, the client computer determines that the response from the server computer is not notified within a predetermined time. The step of disallowing the execution of the installation;
It is characterized by providing.
The information unique to the client computer is information having a large fluctuation range as information and a small deviation.
An information leakage prevention system configured by a client computer installed with a client program having an information leakage prevention function and a server computer managed by an administrator,
When the server computer creates the installation medium for the client program, the server computer writes and sets a different value for each organization as a secret in the installation medium, and holds the set secret in association with the client program and the organization. Means,
Means for reading out the secret from the installation medium and holding the client computer in association with the installed client program when the client computer is installed;
When the client computer uninstalls the client program, the client computer generates a challenge using information specific to the client computer, notifies the server computer of the generated challenge, and holds the challenge Means for reading the secret that has been stored, generating a response based on the read secret and the generated challenge, and storing the response ;
The server computer generates a response by the same algorithm as the algorithm based on the secret held in association with the client program and the organization and the challenge notified from the client computer, and the generated response is sent to the client computer. Means to notify
Means for checking that the client computer matches the response received from the server computer with the stored response,
And a means for executing uninstallation of the client program when the responses match.
In addition, when the client computer compares the response received from the server computer with the stored response and compares them with each other, the client computer determines that the response from the server computer is not notified within a predetermined time. A means for disabling execution of the installation is provided.
The information unique to the client computer is information having a large fluctuation range as information and a small deviation.

また、情報漏洩防止機能を備えたクライアント用プログラムをインストールしたクライアントコンピュータと、管理者が管理するサーバコンピュータとによって構成された情報漏洩システムであって、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストールの実行に先立ち、当該クライアント用プログラムがインストールされているクライアントコンピュータに固有の情報を用い、予め定めたアルゴリズムによってチャレンジとレスポンスを生成し、生成したチャレンジを前記サーバコンピュータに通知すると共に生成したレスポンスを記憶する手段と、
前記サーバコンピュータが、通知されたチャレンジに基づき前記クライアントコンピュータの前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータに通知する手段と、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する手段と、
レスポンスが一致した場合に、前記クライアント用プログラムのインストールを実行する手段とを備えることを特徴とする。
また、前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可する手段を備えることを特徴とする。
また、前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする。 An information leakage system configured by a client computer installed with a client program having an information leakage prevention function and a server computer managed by an administrator,
Prior to execution of uninstallation of the client program, the client computer generates a challenge and a response using a predetermined algorithm using information unique to the client computer in which the client program is installed, and the generated challenge Means for notifying the server computer and storing the generated response;
Means for generating a response by the same algorithm as the algorithm of the client computer based on the notified challenge, and notifying the client computer of the response;
Means for checking that the client computer matches the response received from the server computer with the stored response,
Means for executing installation of the client program when the responses match.
In addition, when the client computer compares the response received from the server computer with the stored response and compares them with each other, the client computer determines that the response from the server computer is not notified within a predetermined time. Means is provided for disabling execution of the installation.
The information unique to the client computer is information having a large fluctuation range as information and a small deviation.

本発明の方式によれば、次のような効果がある。
（１）利用者は、管理者の許可なくアンインストールを行えないため、管理者の検知し得ない情報漏洩プログラムのアンインストールは実行不可能となる。
（２）管理者は、インストール媒体ごとのパスワードの管理および実行者の権限の管理を行う必要がなく、運用負荷がかからずに、アンインストールの実行可否を制御することができる。
（３）組織内でアンインストールに使用するワンタイムパスワード（レスポンス）の衝突が発生しにくい。
（４）異なる組織間で、異なるシークレットを定めていれば、アンインストールに使用するワンタイムパスワードの衝突が発生しない。 The method of the present invention has the following effects.
(1) Since the user cannot perform uninstallation without the administrator's permission, the information leakage program that cannot be detected by the administrator cannot be uninstalled.
(2) The administrator does not need to manage the password for each installation medium and the authority of the executor, and can control whether or not the uninstallation can be executed without applying an operational load.
(3) The one-time password (response) used for uninstallation in the organization is less likely to collide.
(4) If different secrets are defined between different organizations, there will be no collision of one-time passwords used for uninstallation.

図１は、本発明の実施の形態例を示すシステム構成図である。FIG. 1 is a system configuration diagram showing an embodiment of the present invention. 図２は、クライアント２００の機能ブロック図である。FIG. 2 is a functional block diagram of the client 200. 図３は、サーバ３００の機能ブロック図である。FIG. 3 is a functional block diagram of the server 300. 図４は、クライアント２００上での処理フローである。FIG. 4 is a processing flow on the client 200.

以下、本発明を適用した情報漏洩防止プログラムのアンインストールの実行可否の制御方法について図示する実施の形態に基づいて説明する。
図１は本発明に係る情報漏洩プログラムのアンインストールの実行可否の制御方法の概要を示したシステム構成図である。
利用者１０１は、本発明を適用した情報漏洩防止システムのクライアント用プログラムをインストールしたＰＣ（パーソナルコンピュータ）であるクライアント２００を利用している。
管理者１０２は、本発明を適用した情報漏洩防止システムのサーバ用プログラムをインストールしたＰＣであるサーバ３００を利用している。サーバ３００では、情報漏洩防止システムのクライアントインストール媒体５００を作成する。クライアントインストール媒体５００の作成時に、組織ごとに異なる値（シークレット）６００を設定する。サーバ３００で作成したインストール媒体５００を使用して、クライアント２００に情報漏洩防止システムのクライアント用プログラムをインストールすると、クライアント２００では、サーバ３００で設定したシークレット６００を保持する。 Hereinafter, a method for controlling whether or not to uninstall an information leakage prevention program to which the present invention is applied will be described based on the illustrated embodiment.
FIG. 1 is a system configuration diagram showing an outline of a method for controlling whether or not to uninstall an information leakage program according to the present invention.
A user 101 uses a client 200 that is a PC (personal computer) in which a client program of an information leakage prevention system to which the present invention is applied is installed.
The administrator 102 uses a server 300 that is a PC in which a server program of an information leakage prevention system to which the present invention is applied is installed. The server 300 creates a client installation medium 500 for the information leakage prevention system. When creating the client installation medium 500, a different value (secret) 600 is set for each organization. When the client program of the information leakage prevention system is installed in the client 200 using the installation medium 500 created in the server 300, the client 200 holds the secret 600 set in the server 300.

利用者１０１は、クライアント２００から情報漏洩防止システムのクライアント用プログラムのアンインストールの実行を開始する。すると、クライアント２００にインストールされた情報漏洩防止システムのクライアント用プログラムは、アンインストールの要求を受け付けたタイミングで、クライアント２００の現在時刻情報などシードとしてチャレンジ７００を生成する。また、このチャレンジ７００とシークレット６００を元にレスポンス８００を生成し、クライアント２００上に、予め定めた一定時間の間保持する。 The user 101 starts execution of uninstallation of the client program of the information leakage prevention system from the client 200. Then, the client program of the information leakage prevention system installed in the client 200 generates a challenge 700 as a seed such as the current time information of the client 200 at the timing when an uninstall request is received. Further, a response 800 is generated based on the challenge 700 and the secret 600 and is held on the client 200 for a predetermined time.

情報漏洩防止システムのクライアント２００は、生成したチャレンジ７００をクライアント２００の画面に表示し、利用者１０１に確認させ、管理者１０２にアンインストールの許可申請と一緒にチャレンジ７００を届け出る。この届け出は文書または電話、携帯メールなどによって行う。要は、クライアント２００とサーバ３００間の通信経路とは別の経路、方法によって届け出を行う。 The client 200 of the information leakage prevention system displays the generated challenge 700 on the screen of the client 200, allows the user 101 to confirm, and notifies the administrator 102 together with the application for permission to uninstall. This notification is made by document, telephone or mobile mail. In short, the notification is performed by a route and method different from the communication route between the client 200 and the server 300.

管理者１０２は、利用者１０１が情報漏洩防止システムのクライアント用プログラムをアンインストールすることを申請した場合、サーバ３００にインストールされた情報漏洩防止システムのサーバ用プログラムのレスポンス生成ツールを実行する。
サーバ３００のレスポンス生成ツールは、管理者１０２にチャレンジ７００の入力を促す。このチャレンジ７００は利用者１０１から受け取ったものである。 When the user 101 applies for the client 101 to uninstall the information leakage prevention system client program, the administrator 102 executes a response generation tool for the information leakage prevention system server program installed in the server 300.
The response generation tool of the server 300 prompts the administrator 102 to input the challenge 700. This challenge 700 is received from the user 101.

管理者１０２は、サーバ３００で実行しているサーバ用プログラムのレスポンス生成ツールに、利用者１０１から届けられたチャレンジ７００を入力する。
サーバ３００で実行しているサーバ用プログラムのレスポンス生成ツールは、管理者１０２が入力したチャレンジ７００を受け付けた後、クライアント２００に設定したシークレット６００を使用して、クライアント２００におけるレスポンス生成処理と同様のアルゴリズムでレスポンス９００を生成する。そして、生成したレスポンス９００をサーバ３００の画面上に表示し、管理者１０２に通知する。 The administrator 102 inputs the challenge 700 delivered from the user 101 to the response generation tool of the server program executed on the server 300.
The server program response generation tool executed on the server 300 accepts the challenge 700 input by the administrator 102 and then uses the secret 600 set in the client 200 to perform the same response generation processing as in the client 200. A response 900 is generated by an algorithm. Then, the generated response 900 is displayed on the screen of the server 300 and notified to the administrator 102.

管理者１０２は、サーバ３００に表示されたレスポンス９００を確認し、利用者１０１にアンインストール許可の知らせと共にレスポンス９００を文書または電話、携帯メール等により通知する。
利用者１０１は、管理者１０２より受け取ったレスポンス９００を、クライアント２００に入力する。 The administrator 102 confirms the response 900 displayed on the server 300, and notifies the user 101 of the response 900 together with the notification of permission to uninstall by document, telephone, mobile mail, or the like.
The user 101 inputs the response 900 received from the administrator 102 to the client 200.

クライアント２００は、入力されたレスポンス９００と、クライアント２００上に保持しているレスポンス８００とを照合し、合致していれば、情報漏洩防止システムのクライアント用プログラムをアンインストールする。
レスポンスを保持する一定時間を越えて、管理者１０２より受け取ったレスポンス９００を入力した場合は、照合を失敗とする。そして、この場合は、アンインストールを実行しない。 The client 200 collates the input response 900 with the response 800 held on the client 200, and if they match, uninstalls the client program of the information leakage prevention system.
If the response 900 received from the administrator 102 is input beyond a certain time for holding the response, the verification is failed. In this case, the uninstallation is not executed.

アンインストールに成功したレスポンス９００を、利用者１０１が、利用者１０３（シークレット１０００が定められ、異なる組織に属している）に情報を漏洩した場合でも、クライアント４００には異なるシークレット１０００を保持しているため、照合に失敗しアンインストールを行えない。
アンインストールを行うためのパスワードをサーバ３００で管理する必要がなく、組織ごとにシークレットを定めることで、異なる組織間で、パスワードの衝突も発生しにくい。 Even if the user 101 leaks information to the user 103 (the secret 1000 is defined and belongs to a different organization), the client 400 holds the different secret 1000 in the response 900 that has been successfully uninstalled. Therefore, verification fails and uninstallation cannot be performed.
It is not necessary to manage the password for uninstalling in the server 300, and by setting a secret for each organization, it is difficult for password conflicts to occur between different organizations.

図２はクライアント２００の機能ブロック図を示している。
Ｉ／Ｏ部２１０は、ユーザ１０１からアンインストール実行の命令要求、ユーザ１０１へのチャレンジ７００の出力およびユーザ１０１からのレスポンス８００の入力を行う。チャレンジ生成部２２１は、Ｉ／Ｏ部２１０でアンインストール実行の命令要求を受け付けた際にチャレンジ７００の生成処理を行う。時間記録部２２４はチャレンジ生成部２２１が処理を始めた時刻を記録する。レスポンス生成部２２３は、チャレンジ生成部２２１が生成したチャレンジ７００と、シークレット記録部２２２に記録されているシークレット６００の２つの値を用いてレスポンス８００を生成し、レスポンス記録部２２５に記録する。 FIG. 2 shows a functional block diagram of the client 200.
The I / O unit 210 issues an instruction to execute uninstallation from the user 101, outputs a challenge 700 to the user 101, and inputs a response 800 from the user 101. The challenge generation unit 221 performs the generation process of the challenge 700 when the I / O unit 210 accepts an uninstall execution command request. The time recording unit 224 records the time when the challenge generation unit 221 starts processing. The response generation unit 223 generates a response 800 using the two values of the challenge 700 generated by the challenge generation unit 221 and the secret 600 recorded in the secret recording unit 222 and records the response 800 in the response recording unit 225.

チャレンジ生成部２２１はＩ／Ｏ部２１０に、生成したチャレンジ７００を出力する。また、レスポンス認証部２２６は、Ｉ／Ｏ部２１０がユーザ１０１からのレスポンス９００の入力を受け付けた際に、入力されたレスポンス９００と、レスポンス記録部２２５に記録されているレスポンス８００とを比較することで認証処理を行う。入力されたレスポンス９００と記録されているレスポンス８００とが一致した場合に、時間記録部２２４に記録されている時刻と現在の時刻を使用して、経過時間を求め、一定の時間内であれば、アンインストール処理を行う。 The challenge generation unit 221 outputs the generated challenge 700 to the I / O unit 210. In addition, when the I / O unit 210 receives an input of the response 900 from the user 101, the response authentication unit 226 compares the input response 900 with the response 800 recorded in the response recording unit 225. Authentication process. When the input response 900 and the recorded response 800 match, the elapsed time is obtained using the time recorded in the time recording unit 224 and the current time, and if within a certain time , Uninstall process.

図３はサーバ３００の機能ブロック図である。
Ｉ／Ｏ部３１０は、管理者１０２からのチャレンジ７００の入力および管理者１０２へのレスポンス９００の出力を行う。シークレット記録部３２２には、シークレット６００が記録されている。レスポンス生成部３２１は、Ｉ／Ｏ部３１０でチャレンジ７００の入力を受け付けた際に、管理者１０２から入力されたチャレンジ７００と、シークレット記録部３２２に記録されているシークレット６００とを使用し、クライアント２００と同等の処理によって、レスポンス９００の生成処理を行う。レスポン生成部３２１で生成されたレスポンス９００は、Ｉ／Ｏ部３１０に出力される。 FIG. 3 is a functional block diagram of the server 300.
The I / O unit 310 inputs a challenge 700 from the administrator 102 and outputs a response 900 to the administrator 102. A secret 600 is recorded in the secret recording unit 322. The response generation unit 321 uses the challenge 700 input from the administrator 102 and the secret 600 recorded in the secret recording unit 322 when the input of the challenge 700 is received by the I / O unit 310, and the client The response 900 is generated by a process equivalent to 200. The response 900 generated by the response generation unit 321 is output to the I / O unit 310.

図４は、クライアント２００上での処理を示すフローチャートである。
クライアント２００では、アンインストール実行要求を契機に処理を開始する。
まず、現在時の時刻情報などをシードとして、チャレンジ７００を生成する（ステップＳ０１）。チャレンジ７００を生成した時刻を処理の開始時刻として記録する（ステップＳ０２）。ステップＳ０１で生成したチャレンジ７００と、クライアント２００上に保持しているシークレット６００とを使用してレスポンス８００を生成する（ステップＳ０３）。ステップＳ０３で生成したレスポンス８００を、クライアント２００上に記録して保持しておく（ステップＳ０４）。画面上に、ステップＳ０１で生成したチャレンジ７００を表示する（ステップＳ０５）。チャレンジ７００の表示後、利用者１０１からのレスポンス９００の入力を待つ（ステップＳ０６）。その間に、利用者はステップＳ０５で表示されたチャレンジ７００を管理者に通知し、サーバ３００で生成されるレスポンス９００を教えてもらい、そのレスポンス９００をクライアント２００に入力する。 FIG. 4 is a flowchart showing processing on the client 200.
In the client 200, processing is started in response to an uninstall execution request.
First, the challenge 700 is generated using the current time information as a seed (step S01). The time when the challenge 700 is generated is recorded as the processing start time (step S02). A response 800 is generated using the challenge 700 generated in step S01 and the secret 600 held on the client 200 (step S03). The response 800 generated in step S03 is recorded and held on the client 200 (step S04). The challenge 700 generated in step S01 is displayed on the screen (step S05). After displaying the challenge 700, it waits for an input of a response 900 from the user 101 (step S06). In the meantime, the user notifies the administrator of the challenge 700 displayed in step S <b> 05, receives the response 900 generated by the server 300, and inputs the response 900 to the client 200.

クライアント２００はレスポンス９００が入力されるまで、一定時間入力を待ち続ける（ステップＳ０７）。クライアント２００は入力されたレスポンス９００が、クライアント２００上に保持しているレスポンス８００と合致しているかを照合する（ステップＳ０８）。照合の結果、入力されたレスポンス９００が一致しなかった場合は、アンインストールを行わず、処理を終了する（ステップＳ０９）。入力されたレスポンス９００が一致した場合は、処理開始時刻からの経過時間を取得する（ステップＳ１０）。ステップＳ１０で取得した経過時間が、一定の時間以上であった場合は、アンインストールを行わず、処理を終了する（ステップＳ１１）。ステップＳ１０で取得した経過時間が、一定の時間内であれば、アンインストールを実行し、処理を終了する（ステップＳ１２）。 The client 200 continues to wait for an input for a certain time until the response 900 is input (step S07). The client 200 checks whether the input response 900 matches the response 800 held on the client 200 (step S08). If the input response 900 does not match as a result of the collation, the process is terminated without performing uninstallation (step S09). If the input response 900 matches, the elapsed time from the processing start time is acquired (step S10). If the elapsed time acquired in step S10 is equal to or longer than a certain time, the process is terminated without performing uninstallation (step S11). If the elapsed time acquired in step S10 is within a certain time, uninstallation is executed and the process is terminated (step S12).

以上のように、本実施形態においては、クライアント用プログラムをアンインストールする場合、クライアント用プログラムに備えられたチャレンジ生成ツールとレスポンス生成ツールとを用いて、時々刻々と変化する時刻情報あるいはＣＰＵの温度、メモリの使用量などの各クライアントに固有のシードによりチャレンジとレスポンスを生成し、生成したチャレンジをサーバの管理者に通知し、サーバ側でこのチャレンジとシークレットによりクライアントと同様にしてレスポンスを生成し、そのレスポンスをクライアント側に通知し、クライアント側で生成したレスポンスと一致する場合にのみクライアント用プログラムのアンインストールを許可し、実行するようにしたため、従来のようなクライアント別のパスワード認証によりアンインストールの実行権限を確認するといった面倒な管理を行う必要がなくなり、管理者の負荷が軽減するといった効果がある。
また、クライアントおよびサーバ側で同一アルゴリズムによって生成したレスポンスが一致するかどうかでセキュリティ権限を確認することによって、管理者はパスワードの組織毎の面倒な管理から解放され、セキュリティ権限の管理が楽になるといった効果がある。
また、クライアントおよびサーバ側で同一アルゴリズムによって生成したレスポンスを比較する場合に、クライアント側にサーバ側からのレスポンスが一定時間内に通知されなかった場合はアンインストールを実行しないようにしているため、辞書攻撃のような時間をかけて、不正にパスワード認証を成功させるような処理に対しても、容易にアンインストールが行えない
という効果がある。 As described above, in this embodiment, when the client program is uninstalled, the time information or the temperature of the CPU that changes from time to time using the challenge generation tool and the response generation tool provided in the client program. , Generate a challenge and response with a seed unique to each client such as memory usage, notify the server administrator of the generated challenge, and generate a response on the server side in the same way as the client with this challenge and secret Because the response is notified to the client side, and the client program is allowed to be uninstalled and executed only when the response matches the response generated on the client side, the client-specific password authentication is used to uninstall it. There is no need to perform a troublesome management, such as to check the execution authority of the installation, there is an effect, such as the load of the administrator is reduced.
Also, by checking the security authority based on whether the responses generated by the same algorithm on the client and server sides match, the administrator is relieved from the troublesome management of passwords for each organization, and management of security authority becomes easier. effective.
In addition, when comparing responses generated by the same algorithm on the client and server side, if the response from the server side is not notified to the client side within a certain period of time, uninstallation is not executed. There is also an effect that it is not possible to easily uninstall even for a process in which password authentication is performed successfully over time, such as an attack.

なお、クライアント２００のアンインストール認証に失敗した場合、クライアント２００はアンインストールを実行せず、保持しているレスポンスを自動的に破棄する。
また、クライアント２００が発行するチャレンジは、組織内でパスワードの衝突（シノニム）が発生しにくいようにするため、シードはエントロピーが高いもの、すなわち情報としての変動幅が大きく、偏りが少ないものを使用する。
また、クライアント用プログラムはサーバ３００が作成するインストール媒体５００を使用してインストールされ、インストール媒体５００を作成する際に、組織ごとに定めるシークレット６００を指定することができる。このシークレット６００は、クライアント２００が発行するレスポンス８００の一意性に利用し、異なる組織間で、情報漏洩システムが使用するワンタイムパスワード（レスポンス）のシノニムを発生しないようにする目的で使用する。
また、上記実施形態では、情報漏洩防止機能を備えたクライアント用プログラムをアンインストールしたクライアントがどのコンピュータであったかを記録することについては説明していないが、サーバ側で記録するように構成されていることは言うまでもない。 Note that if the uninstallation authentication of the client 200 fails, the client 200 does not perform the uninstallation and automatically discards the held response.
The challenge issued by the client 200 uses a seed with a high entropy, that is, a large fluctuation range as information and a small bias so that password collision (synonym) does not easily occur in the organization. To do.
The client program is installed using the installation medium 500 created by the server 300, and when creating the installation medium 500, a secret 600 determined for each organization can be specified. This secret 600 is used for the uniqueness of the response 800 issued by the client 200, and is used for the purpose of preventing a synonym of a one-time password (response) used by the information leakage system between different organizations.
In the above embodiment, recording of which computer is the client from which the client program having the information leakage prevention function is uninstalled is not described. However, the recording is performed on the server side. Needless to say.

１０１利用者
１０２管理者
１０３他の利用者
２００クライアント
２２１チャレンジ生成部
２２３レスポンス生成部
２２２シークレット記録部
２２６レスポンス認証部
３００サーバ
３２１レスポンス生成部
３２２シークレット記録部
５００インストール媒体
６００シークレット
７００チャレンジ
８００レスポンス
９００レスポンス 101 User 102 Administrator 103 Other user 200 Client 221 Challenge generation unit 223 Response generation unit 222 Secret recording unit 226 Response authentication unit 300 Server 321 Response generation unit 322 Secret recording unit 500 Installation medium 600 Secret 700 Challenge 800 Response 900 Response

Claims

A method for controlling whether or not to uninstall a client program having an information leakage prevention function installed on a client computer in cooperation with a server computer managed by an administrator,
When the server computer creates the installation medium for the client program, the server computer writes and sets a different value for each organization as a secret in the installation medium, and holds the set secret in association with the client program and the organization. Steps,
When the client computer installs the client program, reads the secret from the installation medium and holds the secret in association with the installed client program;
When the client computer uninstalls the client program, the client computer generates a challenge using information specific to the client computer, notifies the server computer of the generated challenge, and holds the challenge Reading the secret, and generating and storing a response based on the read secret and the generated challenge; and
The server computer generates a response by the same algorithm as the algorithm based on the secret held in association with the client program and the organization and the challenge notified from the client computer, and the generated response is sent to the client computer. The step of notifying
The client computer compares the response received from the server computer with the stored response and compares them for matching;
A method for controlling whether or not to uninstall a client program, comprising: uninstalling the client program when the responses match.

When the client computer compares the response received from the server computer with the stored response and compares the responses, the client computer does not notify the client computer of the response from the server computer within a predetermined time. A step that disallows execution, and
The method for controlling whether or not to uninstall a client program according to claim 1.

3. The method for controlling whether or not to uninstall a client program according to claim 1, wherein information unique to the client computer is information having a large fluctuation range as information and a small deviation.

An information leakage prevention system configured by a client computer installed with a client program having an information leakage prevention function and a server computer managed by an administrator,
When the server computer creates the installation medium for the client program, the server computer writes and sets a different value for each organization as a secret in the installation medium, and holds the set secret in association with the client program and the organization. Means,
Means for reading out the secret from the installation medium and holding the client computer in association with the installed client program when the client computer is installed;
When the client computer uninstalls the client program, the client computer generates a challenge using information specific to the client computer, notifies the server computer of the generated challenge, and holds the challenge Means for reading the secret that has been stored, generating a response based on the read secret and the generated challenge, and storing the response ;
The server computer generates a response by the same algorithm as the algorithm based on the secret held in association with the client program and the organization and the challenge notified from the client computer, and the generated response is sent to the client computer. Means to notify
Means for checking that the client computer matches the response received from the server computer with the stored response,
An information leakage prevention system comprising: means for performing uninstallation of the client program when the responses match.

When the client computer compares the response received from the server computer with the stored response and compares the responses, the client computer is not notified of the response from the server computer within a predetermined time. 5. The information leakage prevention system according to claim 4, further comprising means for disabling execution.

6. The information leakage prevention system according to claim 4, wherein the information unique to the client computer is information having a large fluctuation range as information and a small deviation.