JP5685158B2

JP5685158B2 - Authentication device

Info

Publication number: JP5685158B2
Application number: JP2011160962A
Authority: JP
Inventors: 中島　博文; 博文中島
Original assignee: Panasonic Intellectual Property Management Co Ltd
Current assignee: Panasonic Intellectual Property Management Co Ltd
Priority date: 2011-07-22
Filing date: 2011-07-22
Publication date: 2015-03-18
Anticipated expiration: 2031-07-22
Also published as: JP2013025623A

Description

本発明は、サーバ装置にネットワークを介してアクセスするクライアント装置の認証を行う認証装置に関するものである。 The present invention relates to an authentication device that authenticates a client device that accesses a server device via a network.

近年、ＶｏＩＰ（Voice Over IP）／ＳＩＰ（Session Initiation Protocol）を利用したＩＰ電話が普及している。図９では、ＩＰ電話サービスを提供するＳＩＰサーバ１０１と、ＩＰ電話サービスを利用するクライアント装置１０２とがネットワークＮＴ１０１を介して接続している。ＳＩＰサーバ１０１は、認証部１０１ａを備えており、クライアント装置１０２によるＩＰ電話サービスの利用開始時に認証処理を行う。 In recent years, IP telephones using VoIP (Voice Over IP) / SIP (Session Initiation Protocol) have become widespread. In FIG. 9, a SIP server 101 that provides an IP telephone service and a client apparatus 102 that uses the IP telephone service are connected via a network NT101. The SIP server 101 includes an authentication unit 101a, and performs authentication processing when the client apparatus 102 starts using the IP telephone service.

しかしながら、このようなネットワークシステムは、攻撃者からの攻撃脅威にさらされており、例えば攻撃者１０３によるＤｏＳ（denial of service）攻撃、攻撃者１０４による総当り攻撃が挙げられる。 However, such a network system is exposed to an attack threat from an attacker, and examples thereof include a DoS (denial of service) attack by the attacker 103 and a brute force attack by the attacker 104.

ＤｏＳ攻撃は、ＳＩＰサーバ１０１をダウンさせて、サービスを妨害することを目的とし、総当り攻撃は、ＩＰ電話サービスの利用開始時における認証処理に用いるパスワードを不正取得し、例えば海外向け通話などに不正利用することを目的としている。 The DoS attack aims to shut down the SIP server 101 and interfere with the service. The brute force attack illegally obtains a password used for authentication processing at the start of use of the IP telephone service. It is intended for unauthorized use.

このような攻撃脅威に対する防御策は様々に検討されており、ＤｏＳ攻撃に対する防御方法、総当り攻撃に対する防御方法（例えば、特許文献１乃至３参照）が提案されている。 Various countermeasures against such an attack threat have been studied, and a defense method against a DoS attack and a defense method against a brute force attack (for example, see Patent Documents 1 to 3) have been proposed.

具体的な防御方法しては、ＳＩＰサーバ１０１が、ＤｏＳ攻撃の検知時に攻撃者のＩＰアドレスを特定し、もしくは通信記録（ログ）から攻撃者のＩＰアドレスを特定し、以降、そのＩＰアドレスからのアクセスを禁止している。また、ＳＩＰサーバ１０１が、あるＩＰアドレスから短時間に多量のアクセスがあった場合に、ＤｏＳ攻撃が発生したと推定し、以降、そのＩＰアドレスからのアクセスを禁止する。また、パスワードの入力値の過去データ差分に基づいて、総当り攻撃が発生しているか否かを推定する方法もある。 As a specific defense method, the SIP server 101 specifies an attacker's IP address when a DoS attack is detected, or specifies an attacker's IP address from a communication record (log). Is prohibited. The SIP server 101 also estimates that a DoS attack has occurred when there is a large amount of access from a certain IP address in a short time, and thereafter prohibits access from that IP address. There is also a method for estimating whether or not a brute force attack has occurred based on the past data difference of the password input value.

特開２００３−３３３０９２号公報JP 2003-333092 A 特開２００６−２５３５４号公報JP 2006-25354 A 特開２００７−２００２１１号公報JP 2007-200191 A

しかしながら、ＳＩＰは、パケットの中身にアクセス元のＩＰアドレスが記述される仕組みであり、アクセス元を偽装し易い。また、ＤｏＳ攻撃には、アクセス元のＩＰアドレスをランダムに変更してくる攻撃もあり、ＩＰアドレス毎の単位時間当たりのアクセス回数に基づいて、攻撃の発生の有無を判断し難くなっている。 However, SIP is a mechanism in which the IP address of the access source is described in the contents of the packet, and it is easy to forge the access source. In addition, the DoS attack includes an attack in which the IP address of the access source is randomly changed, and it is difficult to determine whether the attack has occurred based on the number of accesses per unit time for each IP address.

また、ＶｏＩＰサービスを利用するユーザは、一般にＤＨＣＰ（Dynamic Host Configuration Protocol）環境下からＳＩＰサーバにアクセスしてくるものであり、この場合、アクセス毎にＩＰアドレスが異なる。よって、利用可能なＩＰアドレスを予め登録しておき、アクセス元のＩＰアドレスの認証処理を行う手法も、実現が難しい。 A user who uses the VoIP service generally accesses the SIP server from a DHCP (Dynamic Host Configuration Protocol) environment, and in this case, the IP address is different for each access. Therefore, it is difficult to realize a method in which usable IP addresses are registered in advance and the access source IP address is authenticated.

さらに、近年はＳＩＰサーバに対する上記攻撃数は増加しており、特にＩＰ電話サービスの利用開始時の認証処理に用いるパスワードを不正取得され、海外通話など高額な費用の通信を不正利用されるケースが頻発している。 Furthermore, in recent years, the number of attacks against SIP servers has increased, and in particular, there are cases in which passwords used for authentication processing at the start of IP phone service use are illegally acquired, and expensive communications such as overseas calls are illegally used. It occurs frequently.

そこで、ＶｏＩＰ／ＳＩＰを利用したＩＰ電話サービスを用いる場合に、ＤｏＳ攻撃、総当り攻撃を防御して、サービス妨害やサービスの不正利用を防ぎ、且つ正当なユーザによる利用は保障するという２点を両立させることが要望されていた。 Therefore, when using an IP telephone service using VoIP / SIP, the DoS attack and the brute force attack are prevented, the service interruption and the unauthorized use of the service are prevented, and the use by a legitimate user is guaranteed. There was a demand for both.

本発明は、上記事由に鑑みてなされたものであり、その目的は、正当なクライアント装置に対してはサーバ装置の利用を保障し、且つＤｏＳ攻撃、総当り攻撃に対して防御することができる認証装置を提供することにある。 The present invention has been made in view of the above reasons, and its purpose is to ensure the use of a server device for a legitimate client device and to protect against a DoS attack and a brute force attack. It is to provide an authentication device.

本発明の認証装置は、サーバ装置にネットワークを介してアクセスするクライアント装置に対して認証処理を行う認証部を備える認証装置であって、前記認証部は、前記クライアント装置が第１の通信プロトコルを用いて前記サーバ装置にアクセスした場合、ランダムな文字列を表示するパスワード提示領域、および前記クライアント装置の操作によって文字列を入力する文字列入力領域を設けた認証画面を作成して、この認証画面を前記クライアント装置に表示させ、前記クライアント装置が前記文字列入力領域に入力した文字列を取得して、この取得した文字列と前記ランダムな文字列とが一致した場合、前記クライアント装置のＩＰアドレスを登録し、以降、第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレスを取得し、この取得したＩＰアドレスが前記登録したＩＰアドレスと一致した場合、前記取得したＩＰアドレスを認証済とすることを特徴とする。 An authentication apparatus according to the present invention is an authentication apparatus including an authentication unit that performs an authentication process on a client device that accesses a server device via a network, and the authentication unit includes a first communication protocol. When the server device is accessed using the authentication screen, a password presenting region for displaying a random character string and a character string input region for inputting a character string by operation of the client device are created. When the client device acquires the character string input to the character string input area and the acquired character string matches the random character string, the IP address of the client device is displayed. And the client accessing the server device using the second communication protocol thereafter. Get the IP address of the winding device, if the obtained IP address matches the IP address the registration, characterized in that the already authenticated IP address that the acquired.

この発明において、前記認証部は、前記クライアント装置を用いるユーザの認証情報を予め保持し、前記認証情報を入力する認証情報入力領域を前記認証画面に設け、前記クライアント装置が前記文字列入力領域に入力した文字列および前記認証情報領域に入力した前記認証情報を取得して、この取得した文字列と前記ランダムな文字列とが一致した場合、前記取得した認証情報と前記保持する認証情報とを比較し、前記取得した認証情報と前記保持する認証情報とが一致すれば、前記クライアント装置のＩＰアドレスを登録するとともに、前記ユーザは認証済であることを登録し、以降、前記第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレスを取得し、この取得したＩＰアドレスが前記登録したＩＰアドレスと一致した場合、前記取得したＩＰアドレスを認証済とすることが好ましい。 In this invention, the authentication unit holds authentication information of a user who uses the client device in advance, and provides an authentication information input area for inputting the authentication information on the authentication screen, and the client device is in the character string input area. When the acquired character string and the authentication information input in the authentication information area are acquired, and the acquired character string and the random character string match, the acquired authentication information and the authentication information held If the acquired authentication information and the stored authentication information match, the IP address of the client device is registered and the user is registered as authenticated, and then the second communication An IP address of the client device that has accessed the server device is acquired using a protocol, and the acquired IP address is If a match with the IP address, it is preferable that the IP address the acquisition and authenticated.

この発明において、前記認証部は、前記クライアント装置を用いるユーザの認証情報を予め保持し、前記第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレス、およびこのクライアント装置が入力した前記認証情報を取得し、前記取得したＩＰアドレスが、前記クライアント装置が前記第１の通信プロトコルを用いて前記サーバ装置にアクセスしたときに登録した前記ＩＰアドレスと一致した場合、前記取得した認証情報と前記保持する認証情報とを比較し、前記取得した認証情報と前記保持する認証情報とが一致すれば、前記取得したＩＰアドレスおよび前記ユーザを認証済とすることが好ましい。 In the present invention, the authentication unit holds in advance authentication information of a user who uses the client device, accesses the server device using the second communication protocol, and the client device The authentication information that has been input is acquired, and the acquired IP address matches the IP address that was registered when the client device accessed the server device using the first communication protocol. It is preferable that the authentication information and the held authentication information are compared, and if the acquired authentication information matches the held authentication information, the acquired IP address and the user are authenticated.

この発明において、前記認証部は、前記クライアント装置のＩＰアドレスを登録した場合、このＩＰアドレスの登録期限を前記クライアント装置へ通知し、前記第２の通信プロトコルを用いて前記サーバ装置にアクセスした前記クライアント装置のＩＰアドレスを取得して、この取得したＩＰアドレスが前記登録したＩＰアドレスと一致し且つ前記登録期限内である場合、前記取得したＩＰアドレスを認証済とすることが好ましい。 In the present invention, when the authentication unit registers the IP address of the client device, the authentication unit notifies the client device of the registration deadline of the IP address, and accesses the server device using the second communication protocol. It is preferable that the IP address of the client device is acquired, and if the acquired IP address matches the registered IP address and is within the registration time limit, the acquired IP address is preferably authenticated.

以上説明したように、本発明では、正当なクライアント装置に対してはサーバ装置の利用を保障し、且つＤｏＳ攻撃、総当り攻撃に対して防御することができるという効果がある。 As described above, according to the present invention, it is possible to guarantee the use of a server device for a legitimate client device and protect against a DoS attack and a brute force attack.

実施形態１のネットワークシステムの構成を示すブロック図である。1 is a block diagram illustrating a configuration of a network system according to a first embodiment. 同上の認証部による認証処理を示すブロック図である。It is a block diagram which shows the authentication process by the authentication part same as the above. 同上の認証部による認証処理を示すブロック図である。It is a block diagram which shows the authentication process by the authentication part same as the above. 同上の認証画面の構成を示す平面図である。It is a top view which shows the structure of an authentication screen same as the above. 同上の認証部による認証処理を示すブロック図である。It is a block diagram which shows the authentication process by the authentication part same as the above. 同上の認証部による認証処理を示すブロック図である。It is a block diagram which shows the authentication process by the authentication part same as the above. （ａ）（ｂ）同上の認証画面、アクセス画面の構成を示す平面図である。(A) (b) It is a top view which shows the structure of the authentication screen and access screen same as the above. ソフトフォンの認証画面を示す平面図である。It is a top view which shows the authentication screen of a softphone. 従来のネットワークシステムの構成を示すブロック図である。It is a block diagram which shows the structure of the conventional network system.

以下、本発明の実施の形態を図面に基づいて説明する。 Hereinafter, embodiments of the present invention will be described with reference to the drawings.

（実施形態１）
図１は、ＶｏＩＰ（Voice Over IP）／ＳＩＰ（Session Initiation Protocol）を利用したＩＰ電話サービスのネットワークシステムを示す。本システムは、ＩＰ電話サービスを提供するＳＩＰサーバ１（サーバ装置）と、ＩＰ電話サービスを利用するクライアント装置２とがネットワークＮＴ１を介して接続している。 (Embodiment 1)
FIG. 1 shows a network system of an IP telephone service using VoIP (Voice Over IP) / SIP (Session Initiation Protocol). In this system, a SIP server 1 (server apparatus) that provides an IP telephone service and a client apparatus 2 that uses the IP telephone service are connected via a network NT1.

ＳＩＰサーバ１は、認証部１１を備えており、認証部１１は、クライアント装置２によるＩＰ電話サービスの利用開始時に認証処理を行う。この認証部１１は、認証ＷＥＢサーバ１１ａ、パスワード発行部１１ｂ、データベース１１ｃ、アドレスフィルタ１１ｄ、ＳＩＰ認証部１１ｅを備える。すなわち、ＳＩＰサーバ１が本発明の認証装置の機能を有している。 The SIP server 1 includes an authentication unit 11, and the authentication unit 11 performs an authentication process when the client device 2 starts using the IP telephone service. The authentication unit 11 includes an authentication WEB server 11a, a password issuing unit 11b, a database 11c, an address filter 11d, and a SIP authentication unit 11e. That is, the SIP server 1 has the function of the authentication device of the present invention.

認証ＷＥＢサーバ１１ａは、Ｗｅｂ画面を作成する機能を有し、クライアント装置２からＨＴＴＰ（HyperText Transfer Protocol）によるアクセスがあった場合に、Ｗｅｂ画面を用いたＨＴＴＰによる認証処理を行う。パスワード発行部１１ｂは、乱数によるパスワード作成機能によって、ランダムな文字列で構成されるワンタイムパスワード（例えば、英数字７文字）を作成する。データベース１１ｃは、ユーザ認証に用いるＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードの各データが予め格納されている。このＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードは、ユーザ毎に予め割り付けられており、クライアント装置２を用いるユーザの認証情報に相当する。アドレスフィルタ１１ｄは、ＨＴＴＰによってＳＩＰサーバ１にアクセスしたクライアント装置２のＩＰアドレスが登録される。ＳＩＰ認証部１１ｅは、ＳＩＰによる認証処理を行う。 The authentication WEB server 11a has a function of creating a Web screen. When the client device 2 is accessed by HTTP (HyperText Transfer Protocol), the authentication WEB server 11a performs authentication processing by HTTP using the Web screen. The password issuing unit 11b creates a one-time password (for example, seven alphanumeric characters) composed of a random character string by a password creation function using random numbers. In the database 11c, VoIP user ID and VoIP password data used for user authentication are stored in advance. The VoIP user ID and VoIP password are allocated in advance for each user, and correspond to authentication information of a user who uses the client device 2. The address filter 11d registers the IP address of the client device 2 that has accessed the SIP server 1 by HTTP. The SIP authentication unit 11e performs an authentication process using SIP.

以下、認証部１１による認証処理について、図２，図３を用いて説明する。 Hereinafter, authentication processing by the authentication unit 11 will be described with reference to FIGS.

まず、正当なユーザのクライアント装置２からＳＩＰサーバ１に対して、第１のプロトコルであるＨＴＴＰによるアクセスが発生する（Ｓ１）。クライアント装置２は、パーソナルコンピュータのブラウザ機能を利用してＳＩＰサーバ１にアクセスする方法、または専用のクライアントツールを利用してＳＩＰサーバ１にアクセスする方法のいずれを用いてもよい。 First, access from the client device 2 of the legitimate user to the SIP server 1 by the HTTP that is the first protocol occurs (S1). The client device 2 may use either a method of accessing the SIP server 1 using a browser function of a personal computer or a method of accessing the SIP server 1 using a dedicated client tool.

ＳＩＰサーバ１では、認証ＷＥＢサーバ１１ａが、クライアント装置２からのアクセスに対して、認証画面Ｇ１をＷｅｂ画面で作成し、この認証画面Ｇ１をクライアント装置２に表示させる。図４は、認証画面Ｇ１の構成を示し、認証画面Ｇ１は、パスワード提示領域Ｒ１、文字列入力領域Ｒ２、ユーザＩＤ入力領域Ｒ３、ＶｏＩＰパスワード入力領域Ｒ４、送信ボタンＢ１を有する。なお、ユーザＩＤ入力領域Ｒ３、ＶｏＩＰパスワード入力領域Ｒ４は、本発明の認証情報入力領域に相当する。 In the SIP server 1, the authentication WEB server 11 a creates an authentication screen G 1 on the Web screen for access from the client device 2, and causes the client device 2 to display this authentication screen G 1. FIG. 4 shows the configuration of the authentication screen G1, and the authentication screen G1 has a password presentation area R1, a character string input area R2, a user ID input area R3, a VoIP password input area R4, and a send button B1. The user ID input area R3 and the VoIP password input area R4 correspond to the authentication information input area of the present invention.

認証ＷＥＢサーバ１１ａは、パスワード発行部１１ｂが作成したワンタイムパスワードを取得し、パスワード提示領域Ｒ１にワンタイムパスワードを表示する（Ｓ２）。ユーザは、認証画面Ｇ１に表示されたワンタイムパスワードを見て、クライアント装置２を操作することによって、文字列入力領域Ｒ２にワンタイムパスワードを入力する。このワンタイムパスワードの入力は、ユーザが認証画面Ｇ１を見てワンタイムパスワードに設定された文字列を認識する必要があるため、機械的な自動アクセスでは対応できない。さらに、ユーザは、クライアント装置２を操作することによって、ユーザＩＤ入力領域Ｒ３、ＶｏＩＰパスワード入力領域Ｒ４に、ＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを入力する。ユーザは、文字列入力領域Ｒ２、ユーザＩＤ入力領域Ｒ３、ＶｏＩＰパスワード入力領域Ｒ４への入力操作の後、送信ボタンＢ１を押下することによって、各入力データをＳＩＰサーバ１へ送信する。 The authentication WEB server 11a acquires the one-time password created by the password issuing unit 11b, and displays the one-time password in the password presentation area R1 (S2). The user views the one-time password displayed on the authentication screen G1 and operates the client device 2 to input the one-time password in the character string input area R2. This one-time password input cannot be handled by mechanical automatic access because the user needs to recognize the character string set in the one-time password by looking at the authentication screen G1. Further, the user operates the client device 2 to input the VoIP user ID and the VoIP password in the user ID input area R3 and the VoIP password input area R4. The user transmits each input data to the SIP server 1 by pressing the send button B1 after the input operation to the character string input area R2, the user ID input area R3, and the VoIP password input area R4.

ＳＩＰサーバ１の認証ＷＥＢサーバ１１ａは、文字列入力領域Ｒ２に入力されたワンタイムパスワードと、パスワード発行部１１ｂが作成したワンタイムパスワードとを比較する。そして、双方のワンタイムパスワードが互いに一致すれば、次に、ＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを用いたユーザ認証を行う。 The authentication WEB server 11a of the SIP server 1 compares the one-time password input in the character string input area R2 with the one-time password created by the password issuing unit 11b. If both one-time passwords coincide with each other, user authentication using the VoIP user ID and VoIP password is performed.

認証ＷＥＢサーバ１１ａは、ユーザ認証処理において、データベース１１ｃに予め格納されているＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードを取得する（Ｓ３）。そして、ユーザＩＤ入力領域Ｒ３およびＶｏＩＰパスワード入力領域Ｒ４に入力されたＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードと、データベース１１ｃに予め格納されているＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードとを比較する。そして、認証ＷＥＢサーバ１１ａは、双方のＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードが互いに一致すれば、ユーザ認証が肯定されたユーザ認証済であることをデータベース１１ｃに登録する（Ｓ４）。さらに、認証ＷＥＢサーバ１１ａは、ユーザ認証が肯定された場合、クライアント装置２がＨＴＴＰによるアクセス時に用いたＩＰアドレス（発信元ＩＰアドレス）を取得し、この発信元ＩＰアドレスをアドレスフィルタ１１ｄに登録する（Ｓ５）。 In the user authentication process, the authentication WEB server 11a acquires a VoIP user ID and a VoIP password stored in advance in the database 11c (S3). Then, the VoIP user ID and VoIP password input in the user ID input area R3 and VoIP password input area R4 are compared with the VoIP user ID and VoIP password stored in advance in the database 11c. Then, if both VoIP user IDs and VoIP passwords match, the authentication WEB server 11a registers in the database 11c that the user authentication is affirmed (S4). Further, when the user authentication is affirmed, the authentication WEB server 11a acquires the IP address (source IP address) used when the client device 2 is accessed by HTTP, and registers the source IP address in the address filter 11d. (S5).

そして、認証ＷＥＢサーバ１１ａは、認証画面Ｇ１に対するユーザの各入力作業に対するレスポンスとして、発信元ＩＰアドレスは登録完了である旨をＨＴＴＰによってクライアント装置２へ通知する（Ｓ６）。クライアント装置２は、発信元ＩＰアドレスの登録完了を画面上（Ｗｅｂ画面上）に表示する。 Then, the authentication WEB server 11a notifies the client apparatus 2 by HTTP that the registration of the transmission source IP address is completed as a response to each input operation of the user with respect to the authentication screen G1 (S6). The client device 2 displays the registration completion of the transmission source IP address on the screen (on the Web screen).

次に、ＳＩＰ認証部１１ｅのＳＩＰ手続きによる通話過程に進む。 Next, the process proceeds to a call process by the SIP procedure of the SIP authentication unit 11e.

発信元ＩＰアドレスの登録完了を通知されたクライアント装置２は、ＳＩＰサーバ１に対して、第２のプロトコルであるＳＩＰによるアクセス（ＲＥＧＩＳＴＥＲ通知）を行う（Ｓ７）。ＳＩＰサーバ１では、ユーザ認証を既に行っているので、ＩＰアドレスの認証処理のみを行う。具体的に、ＳＩＰ認証部１１ｅは、クライアント装置２がＳＩＰによるアクセス時に用いたＩＰアドレス（発信元ＩＰアドレス）を取得し、この取得した発信元ＩＰアドレスを、アドレスフィルタ１１ｄに登録している発信元アドレスと比較する（Ｓ８）。すなわち、ＳＩＰ認証部１１ｅは、ＨＴＴＰによるアクセス時の発信元ＩＰアドレスと、ＳＩＰによるアクセス時の発信元ＩＰアドレスとが一致しているか否かを判定する。そして、ＳＩＰ認証部１１ｅは、ＨＴＴＰによるアクセス時の発信元ＩＰアドレスと、ＳＩＰによるアクセス時の発信元ＩＰアドレスとが一致している場合、ＳＩＰによるアクセス時の発信元ＩＰアドレスを認証済とし、クライアント装置２からのＲＥＧＩＳＴＥＲ通知を受け取る。 The client device 2 notified of the registration completion of the transmission source IP address performs access (REGISTER notification) by the SIP that is the second protocol to the SIP server 1 (S7). In the SIP server 1, since user authentication has already been performed, only IP address authentication processing is performed. Specifically, the SIP authenticating unit 11e acquires an IP address (source IP address) used by the client device 2 when accessing by SIP, and transmits the acquired source IP address in the address filter 11d. Compare with the original address (S8). That is, the SIP authentication unit 11e determines whether or not the source IP address at the time of access by HTTP matches the source IP address at the time of access by SIP. The SIP authenticating unit 11e determines that the source IP address at the time of access by SIP is authenticated when the source IP address at the time of access by HTTP matches the source IP address at the time of access by SIP. A REGISTER notification from the client apparatus 2 is received.

ＲＥＧＩＳＴＥＲ通知を受け取ったＳＩＰ認証部１１ｅは、データベース１１ｃを参照して、ユーザ認証済であることを認識すると（Ｓ９）、ＲＥＧＩＳＴＥＲ（認証登録）を行う。 Receiving the REGISTER notification, the SIP authentication unit 11e refers to the database 11c and recognizes that the user has been authenticated (S9), and performs REGISTER (authentication registration).

ＲＥＧＩＳＴＥＲを完了したＳＩＰ認証部１１ｅは、ＳＩＰ手続きの「２００ＯＫ」をクライアント装置２へ送信する（Ｓ１０）。以降、クライアント装置２は、ＳＩＰサーバ１が提供するＩＰ電話サービスを利用して、ＳＩＰによる通話（ＩＮＶＩＴＥ）等を行う（Ｓ１１）。 The SIP authentication unit 11e that has completed the REGISTER transmits “200 OK” of the SIP procedure to the client device 2 (S10). Thereafter, the client apparatus 2 performs a SIP call (INVITE) or the like using the IP telephone service provided by the SIP server 1 (S11).

このような構成では、ワンタイムパスワードの入力は、ユーザが認証画面Ｇ１を見て、ワンタイムパスワードに設定された文字列を認識する必要がある。したがって、総当り攻撃者が、機械的な自動アクセスによって、ＳＩＰサーバ１にアクセスしてきた場合、ワンタイムパスワードを読み取ることができない。したがって、機械的な自動アクセスによる総当り攻撃から防御できる。 In such a configuration, the input of the one-time password requires the user to recognize the character string set in the one-time password by looking at the authentication screen G1. Therefore, when the brute force attacker accesses the SIP server 1 by mechanical automatic access, the one-time password cannot be read. Therefore, it can protect against brute force attacks by mechanical automatic access.

また、人的なアクセスによる総当り攻撃に対しては、ＨＴＴＰによるＳＩＰサーバ１へのアクセス毎に、ワンタイムパスワードを入力する必要があり、短時間に多くの攻撃を行うことは不可能である。したがって、人的なアクセスによる総当り攻撃からも防御できる。 For brute force attacks by human access, it is necessary to input a one-time password every time the SIP server 1 is accessed by HTTP, and it is impossible to perform many attacks in a short time. . Therefore, it can protect against brute force attacks by human access.

また、機械的な自動アクセスによるＤｏＳ攻撃、人的なアクセスによるＤｏＳ攻撃の両方に対しても、上記総当り攻撃と同様に防御できる。 Further, both the DoS attack by mechanical automatic access and the DoS attack by human access can be protected in the same manner as the brute force attack.

また、ＤｏＳ攻撃者は、ユーザ認証が行われなければ、攻撃に用いるＩＰアドレスがアドレスフィルタ１１ｄに登録されていないので、このＩＰアドレスからＳＩＰサーバ１へのアクセスは禁止され、ＤｏＳ攻撃からの防御が可能になる。ＳＩＰサーバ１のＳＩＰ認証部１１ｅは、アドレスフィルタ１１ｄに登録されていないＩＰアドレスを用いたＳＩＰによるアクセスにあった場合、ＳＩＰ手続きの「エラー通知」をクライアント装置２へ送信してもよく、または無応答であってもよい。 In addition, since the IP address used for the attack is not registered in the address filter 11d unless user authentication is performed, the DoS attacker is prohibited from accessing the SIP server 1 from this IP address and is protected from the DoS attack. Is possible. The SIP authentication unit 11e of the SIP server 1 may transmit an “error notification” of the SIP procedure to the client device 2 when there is an access by SIP using an IP address that is not registered in the address filter 11d, or There may be no response.

したがって、正当なクライアント装置２に対してはＳＩＰサーバ１の利用を保障し、且つＤｏＳ攻撃、総当り攻撃に対しては防御することができる。 Therefore, it is possible to guarantee the use of the SIP server 1 for a legitimate client device 2 and to protect against DoS attacks and brute force attacks.

なお、本実施形態では、認証部１１を備えたＳＩＰサーバ１が、本発明の認証装置を構成している。しかし、ＳＩＰサーバ１、およびＳＩＰサーバ１に接続した図示しないルータ、ファイヤーウォール機器等が互いに連携することによって、認証装置を構成してもよい。また、認証部１１を備えた認証装置を、ＳＩＰサーバ1とは別体に構成してもよい。 In the present embodiment, the SIP server 1 provided with the authentication unit 11 constitutes the authentication device of the present invention. However, the authentication apparatus may be configured by the SIP server 1 and a router, a firewall device, and the like (not shown) connected to the SIP server 1 cooperate with each other. In addition, the authentication device including the authentication unit 11 may be configured separately from the SIP server 1.

また、上記ステップＳ６において、ＳＩＰサーバ１の認証ＷＥＢサーバ１１ａは、クライアント装置２の発信元ＩＰアドレスをアドレスフィルタ１１ｄに登録した場合、発信元ＩＰアドレスは登録完了である旨をクライアント装置２へ通知する。このとき、認証ＷＥＢサーバ１１ａは、アドレスフィルタ１１ｄに登録した発信元ＩＰアドレスの登録期限情報（例えば、３０秒以内）を設定し、発信元ＩＰアドレスの登録状態（認証完了）とともにクライアント装置２へ通知してもよい。クライアント装置２は、この登録期限情報を表示し、ユーザに、登録期限内のＳＩＰによるアクセス（ＲＥＧＩＳＴＥＲ通知）を促す。 In step S6, when the authentication web server 11a of the SIP server 1 registers the source IP address of the client device 2 in the address filter 11d, the authentication web server 11a notifies the client device 2 that the source IP address has been registered. To do. At this time, the authentication WEB server 11a sets registration deadline information (for example, within 30 seconds) of the source IP address registered in the address filter 11d, and sends it to the client apparatus 2 together with the registration state (authentication completed) of the source IP address You may be notified. The client device 2 displays this registration time limit information and prompts the user to access via SIP within the registration time limit (REGISTER notification).

そして、上記ステップＳ７においてクライアント装置２からＲＥＧＩＳＴＥＲ通知を受け取ったＳＩＰ認証部１１ｅは、発信元ＩＰアドレスを取得する。ＳＩＰ認証部１１ｅは、上記ステップＳ８において、取得した発信元ＩＰアドレスが登録期限内であれば、この取得した発信元ＩＰアドレスを、アドレスフィルタ１１ｄに登録している発信元アドレスと比較する。すなわち、ＳＩＰ認証部１１ｅは、この取得した発信元ＩＰアドレスが前記登録したＩＰアドレスと一致し、且つ登録期限内である場合、この発信元ＩＰアドレスを認証済とする。 In step S7, the SIP authentication unit 11e that has received the REGISTER notification from the client device 2 acquires the source IP address. In step S8, if the acquired source IP address is within the registration deadline, the SIP authenticating unit 11e compares the acquired source IP address with the source address registered in the address filter 11d. That is, the SIP authentication unit 11e determines that the source IP address has been authenticated when the acquired source IP address matches the registered IP address and is within the registration time limit.

このように、発信元ＩＰアドレスの認証に期限を設けることにより、ＤｏＳ攻撃、総当り攻撃に対して、さらなる防御を図ることができる。 In this way, by providing a time limit for the authentication of the source IP address, it is possible to further protect against the DoS attack and the brute force attack.

（実施形態２）
本実施形態は、図１のシステム構成を備えており、実施形態１と同様の構成には同一の符号を付し、説明は省略する。 (Embodiment 2)
The present embodiment has the system configuration of FIG. 1, the same reference numerals are given to the same configurations as those of the first embodiment, and description thereof will be omitted.

以下、認証部１１による認証処理について、図５，図６を用いて説明する。 Hereinafter, authentication processing by the authentication unit 11 will be described with reference to FIGS. 5 and 6.

まず、正当なユーザのクライアント装置２からＳＩＰサーバ１に対して、第１のプロトコルであるＨＴＴＰによるアクセスが発生する（Ｓ２１）。クライアント装置２は、パーソナルコンピュータのブラウザ機能を利用してＳＩＰサーバ１にアクセスする方法、または専用のクライアントツールを利用してＳＩＰサーバ１にアクセスする方法のいずれを用いてもよい。 First, access from the client device 2 of the legitimate user to the SIP server 1 by the HTTP that is the first protocol occurs (S21). The client device 2 may use either a method of accessing the SIP server 1 using a browser function of a personal computer or a method of accessing the SIP server 1 using a dedicated client tool.

ＳＩＰサーバ１では、認証ＷＥＢサーバ１１ａが、クライアント装置２からのアクセスに対して、認証画面Ｇ１１をＷｅｂ画面で作成し、この認証画面Ｇ１１をクライアント装置２に表示させる。図７（ａ）は、認証画面Ｇ１１の構成を示し、認証画面Ｇ１１は、パスワード提示領域Ｒ１１、文字列入力領域Ｒ１２、送信ボタンＢ１１を有する。 In the SIP server 1, the authentication WEB server 11 a creates an authentication screen G 11 on the Web screen for access from the client device 2, and causes the client device 2 to display the authentication screen G 11. FIG. 7A shows the configuration of the authentication screen G11. The authentication screen G11 has a password presentation area R11, a character string input area R12, and a send button B11.

認証ＷＥＢサーバ１１ａは、パスワード発行部１１ｂが作成したワンタイムパスワードを取得し、パスワード提示領域Ｒ１にワンタイムパスワードを表示する（Ｓ２２）。ユーザは、認証画面Ｇ１１に表示されたワンタイムパスワードを見て、クライアント装置２を操作することによって、文字列入力領域Ｒ１２にワンタイムパスワードを入力する。このワンタイムパスワードの入力は、ユーザが認証画面Ｇ１１を見てワンタイムパスワードに設定された文字列を認識する必要があるため、機械的な自動アクセスでは対応できない。ユーザは、文字列入力領域Ｒ２への入力操作の後、送信ボタンＢ１１を押下することによって、入力データをＳＩＰサーバ１へ送信する。 The authentication WEB server 11a acquires the one-time password created by the password issuing unit 11b, and displays the one-time password in the password presentation area R1 (S22). The user views the one-time password displayed on the authentication screen G11 and operates the client device 2 to input the one-time password in the character string input area R12. This one-time password input cannot be handled by mechanical automatic access because the user needs to recognize the character string set in the one-time password by looking at the authentication screen G11. The user transmits input data to the SIP server 1 by pressing the transmission button B11 after an input operation to the character string input area R2.

ＳＩＰサーバ１の認証ＷＥＢサーバ１１ａは、文字列入力領域Ｒ１２に入力されたワンタイムパスワードと、パスワード発行部１１ｂが作成したワンタイムパスワードとを比較する。そして、双方のワンタイムパスワードが互いに一致すれば、認証ＷＥＢサーバ１１ａは、クライアント装置２がＨＴＴＰによるアクセス時に用いたＩＰアドレス（発信元ＩＰアドレス）を取得し、この発信元ＩＰアドレスをアドレスフィルタ１１ｄに登録する（Ｓ２３）。 The authentication WEB server 11a of the SIP server 1 compares the one-time password input in the character string input area R12 with the one-time password created by the password issuing unit 11b. If both one-time passwords match each other, the authentication WEB server 11a acquires the IP address (source IP address) used when the client apparatus 2 is accessed by HTTP, and uses this source IP address as the address filter 11d. (S23).

そして、認証ＷＥＢサーバ１１ａは、認証画面Ｇ１１に対するユーザの各入力作業に対するレスポンスとして、発信元ＩＰアドレスは登録完了である旨をＨＴＴＰによってクライアント装置２へ通知する（Ｓ２４）。クライアント装置２は、発信元ＩＰアドレスの登録完了を画面上（Ｗｅｂ画面上）に表示する。 Then, the authentication WEB server 11a notifies the client apparatus 2 by HTTP that the registration of the transmission source IP address is completed as a response to each input operation of the user with respect to the authentication screen G11 (S24). The client device 2 displays the registration completion of the transmission source IP address on the screen (on the Web screen).

発信元ＩＰアドレスの登録完了を通知されたクライアント装置２は、ＳＩＰサーバ１に対して、第２のプロトコルであるＳＩＰによるアクセス（ＲＥＧＩＳＴＥＲ通知）を行う（Ｓ２５）。このとき、クライアント装置２は、アクセス操作時に表示しているアクセス画面Ｇ１２中に、図７（ｂ）に示すユーザＩＤ入力領域Ｒ１３、ＶｏＩＰパスワード入力領域Ｒ１４を設ける。そして、ユーザは、クライアント装置２を操作することによって、ユーザＩＤ入力領域Ｒ１３、ＶｏＩＰパスワード入力領域Ｒ１４に、ＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを入力する。なお、ユーザＩＤ入力領域Ｒ１３、ＶｏＩＰパスワード入力領域Ｒ１４は、本発明の認証情報入力領域に相当する。 The client device 2 notified of the registration completion of the transmission source IP address performs an access (REGISTER notification) by the SIP that is the second protocol to the SIP server 1 (S25). At this time, the client apparatus 2 provides a user ID input area R13 and a VoIP password input area R14 shown in FIG. 7B in the access screen G12 displayed during the access operation. Then, the user operates the client device 2 to input the VoIP user ID and the VoIP password in the user ID input area R13 and the VoIP password input area R14. The user ID input area R13 and the VoIP password input area R14 correspond to the authentication information input area of the present invention.

次に、ＳＩＰ認証部１１ｅは、ＩＰアドレスの認証処理、およびＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを用いたユーザ認証を行う。具体的に、ＳＩＰ認証部１１ｅは、クライアント装置２がＳＩＰによるアクセス時に用いたＩＰアドレス（発信元ＩＰアドレス）を取得し、この取得した発信元ＩＰアドレスを、アドレスフィルタ１１ｄに登録している発信元アドレスと比較する（Ｓ２６）。すなわち、ＳＩＰ認証部１１ｅは、ＨＴＴＰによるアクセス時の発信元ＩＰアドレスと、ＳＩＰによるアクセス時の発信元ＩＰアドレスとが一致しているか否かを判定する。そして、ＳＩＰ認証部１１ｅは、ＨＴＴＰによるアクセス時の発信元ＩＰアドレスと、ＳＩＰによるアクセス時の発信元ＩＰアドレスとが一致している場合、ＳＩＰによるアクセス時の発信元ＩＰアドレスを認証済とする。そして、ＳＩＰ認証部１１ｅは、クライアント装置２からのＲＥＧＩＳＴＥＲ通知、およびＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを受け取る。 Next, the SIP authentication unit 11e performs IP address authentication processing and user authentication using a VoIP user ID and a VoIP password. Specifically, the SIP authenticating unit 11e acquires an IP address (source IP address) used by the client device 2 when accessing by SIP, and transmits the acquired source IP address in the address filter 11d. The original address is compared (S26). That is, the SIP authentication unit 11e determines whether or not the source IP address at the time of access by HTTP matches the source IP address at the time of access by SIP. Then, if the source IP address at the time of access by HTTP matches the source IP address at the time of access by SIP, the SIP authenticating unit 11e determines that the source IP address at the time of access by SIP is authenticated. . Then, the SIP authentication unit 11e receives the REGISTER notification from the client device 2, and the VoIP user ID and VoIP password.

そして、ＳＩＰ認証部１１ｅは、データベース１１ｃに予め格納されているＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードを取得する（Ｓ２７）。そして、ユーザＩＤ入力領域Ｒ１３およびＶｏＩＰパスワード入力領域Ｒ１４に入力されたＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードと、データベース１１ｃに予め格納されているＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードとを比較する。そして、ＳＩＰ認証部１１ｅは、双方のＶｏＩＰユーザＩＤおよびＶｏＩＰパスワードが互いに一致すれば、ユーザ認証が肯定されたユーザ認証済であると認識し、ＲＥＧＩＳＴＥＲ（認証登録）を行う。ＲＥＧＩＳＴＥＲを完了したＳＩＰ認証部１１ｅは、ＳＩＰ手続きの「２００ＯＫ」をクライアント装置２へ送信する（Ｓ２８）。以降、クライアント装置２は、ＳＩＰサーバ１が提供するＩＰ電話サービスを利用して、ＳＩＰによる通話（ＩＮＶＩＴＥ）等を行う（Ｓ２９）。 Then, the SIP authentication unit 11e acquires a VoIP user ID and a VoIP password stored in advance in the database 11c (S27). Then, the VoIP user ID and VoIP password input in the user ID input area R13 and VoIP password input area R14 are compared with the VoIP user ID and VoIP password stored in advance in the database 11c. Then, if both VoIP user IDs and VoIP passwords match each other, the SIP authenticating unit 11e recognizes that the user authentication is affirmed and performs REGISTER (authentication registration). The SIP authenticating unit 11e that has completed the REGISTER transmits “200OK” of the SIP procedure to the client device 2 (S28). Thereafter, the client device 2 uses the IP phone service provided by the SIP server 1 to make a SIP call (INVITE) or the like (S29).

このような構成では、ワンタイムパスワードの入力は、ユーザが認証画面Ｇ１１を見て、ワンタイムパスワードに設定された文字列を認識する必要がある。したがって、総当り攻撃者が、機械的な自動アクセスによって、ＳＩＰサーバ１にアクセスしてきた場合、ワンタイムパスワードを読み取ることができない。したがって、機械的な自動アクセスによる総当り攻撃から防御できる。 In such a configuration, the input of the one-time password requires the user to recognize the character string set in the one-time password by looking at the authentication screen G11. Therefore, when the brute force attacker accesses the SIP server 1 by mechanical automatic access, the one-time password cannot be read. Therefore, it can protect against brute force attacks by mechanical automatic access.

また、上記ステップＳ２４において、ＳＩＰサーバ１の認証ＷＥＢサーバ１１ａは、クライアント装置２の発信元ＩＰアドレスをアドレスフィルタ１１ｄに登録した場合、発信元ＩＰアドレスは登録完了である旨をクライアント装置２へ通知する。このとき、認証ＷＥＢサーバ１１ａは、アドレスフィルタ１１ｄに登録した発信元ＩＰアドレスの登録期限情報（例えば、３０秒以内）を設定し、発信元ＩＰアドレスの登録状態（認証完了）とともにクライアント装置２へ通知してもよい。クライアント装置２は、この登録期限情報を表示し、ユーザに、登録期限内のＳＩＰによるアクセス（ＲＥＧＩＳＴＥＲ通知）を促す。 In step S24, when the authentication web server 11a of the SIP server 1 registers the source IP address of the client device 2 in the address filter 11d, the authentication web server 11a notifies the client device 2 that the source IP address has been registered. To do. At this time, the authentication WEB server 11a sets registration deadline information (for example, within 30 seconds) of the source IP address registered in the address filter 11d, and sends it to the client apparatus 2 together with the registration state (authentication completed) of the source IP address. You may be notified. The client device 2 displays this registration time limit information and prompts the user to access via SIP within the registration time limit (REGISTER notification).

そして、上記ステップＳ２５においてクライアント装置２からＲＥＧＩＳＴＥＲ通知を受け取ったＳＩＰ認証部１１ｅは、発信元ＩＰアドレスを取得する。ＳＩＰ認証部１１ｅは、上記ステップＳ２６において、取得した発信元ＩＰアドレスが登録期限内であれば、この取得した発信元ＩＰアドレスを、アドレスフィルタ１１ｄに登録している発信元アドレスと比較する。すなわち、ＳＩＰ認証部１１ｅは、この取得した発信元ＩＰアドレスが前記登録したＩＰアドレスと一致し、且つ登録期限内である場合、この発信元ＩＰアドレスを認証済とする。 In step S25, the SIP authentication unit 11e that has received the REGISTER notification from the client apparatus 2 acquires the source IP address. In step S26, if the acquired source IP address is within the registration deadline, the SIP authenticating unit 11e compares the acquired source IP address with the source address registered in the address filter 11d. That is, the SIP authentication unit 11e determines that the source IP address has been authenticated when the acquired source IP address matches the registered IP address and is within the registration time limit.

（実施形態３）
本実施形態では、クライアント装置２として、専用のクライアントツールであるソフトフォンを用いており、図８は、ソフトフォンの認証画面Ｇ２１を示す。この認証画面Ｇ２１は、接続の状況などが表示される情報表示領域Ｒ２１、ダイヤル先などを入力する番号ボタンＢ２１、番号ボタンＢ２１による相手先番号の入力後に発呼を実施するダイヤルボタンＢ２２、通話を切断する切断ボタンＢ２３を、一般的なソフトフォンと同様に備える。さらに、ワンタイムパスワードを表示するパスワード提示領域Ｒ２２、番号ボタンＢ２１を操作することによって、ワンタイムパスワードを入力する文字列入力領域Ｒ２３を備える。また、文字列入力領域Ｒ２３の入力データをＳＩＰサーバ１へ送信する際に操作する送信ボタンＢ２４も備える。 (Embodiment 3)
In the present embodiment, a soft phone which is a dedicated client tool is used as the client device 2, and FIG. 8 shows a soft phone authentication screen G21. The authentication screen G21 includes an information display area R21 for displaying a connection status, a number button B21 for inputting a dial destination, a dial button B22 for executing a call after inputting a destination number by the number button B21, and a call. A cutting button B23 for cutting is provided in the same manner as a general softphone. Furthermore, a password presenting area R22 for displaying a one-time password and a character string input area R23 for inputting a one-time password by operating a number button B21 are provided. In addition, a transmission button B24 that is operated when transmitting the input data of the character string input area R23 to the SIP server 1 is also provided.

このソフトフォンは、ワンタイムパスワードを表示するパスワード提示領域Ｒ２２、ワンタイムパスワードを入力する文字列入力領域Ｒ２３を設けた点が、一般的なソフトフォンとは異なる。しかしながら、このソフトフォンは、一般的に利用される形状を多く残し、認証処理のためにユーザが新たに操作する箇所を減らした構成にしている。 This softphone is different from a general softphone in that a password presenting area R22 for displaying a one-time password and a character string input area R23 for inputting a one-time password are provided. However, this soft phone has a configuration in which many commonly used shapes are left and the number of locations that the user newly operates for authentication processing is reduced.

また、一般的なソフトフォンでは、「設定画面」と呼ばれる別画面にて、ＲＥＧＩＳＴＥＲに使用されるＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードを予め入力している。そして、このソフトフォンでは、パーソナルコンピュータ上でソフトフォンのソフトウェアを起動させた時点（パソコン画面上に認証画面Ｇ２１が表示された時点）で、バックグラウンドでそれらのデータをＳＩＰサーバ１へ自動送信し、認証される手順になっている。この点が実施形態１，２のクライアント装置２とは異なる。 In a general softphone, a VoIP user ID and a VoIP password used for REGISTER are input in advance on another screen called a “setting screen”. In this softphone, when the softphone software is started on the personal computer (when the authentication screen G21 is displayed on the personal computer screen), the data is automatically transmitted to the SIP server 1 in the background. The procedure is to be authenticated. This point is different from the client device 2 of the first and second embodiments.

しかしながら、実施形態１と同様の認証処理では、送信ボタンＢ２４を押下（送信ボタンＢ１の押下に相当）することによって、ＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードの各データがＳＩＰサーバ１へ送信される構成になる。また、実施形態２と同様の認証処理では、ダイヤルボタンＢ２２を押下して発呼する時点で（ステップＳ２５に相当）、ＶｏＩＰユーザＩＤ、ＶｏＩＰパスワードの各データがＳＩＰサーバ１へ送信される構成になる。このように、実施形態１，２の各認証処理において、互いに同一の認証画面Ｇ２１を用いることができる。 However, in the authentication process similar to that of the first embodiment, the VoIP user ID and VoIP password data are transmitted to the SIP server 1 by pressing the transmission button B24 (corresponding to the pressing of the transmission button B1). . In the authentication process similar to that of the second embodiment, the VoIP user ID and VoIP password data are transmitted to the SIP server 1 when the dial button B22 is pressed to make a call (corresponding to step S25). Become. In this way, the same authentication screen G21 can be used in each authentication process of the first and second embodiments.

また、ＲＥＧＩＳＴＥＲを完了した後にソフトフォンを用いた通話が可能となるが、ユーザは、ＲＥＧＩＳＴＥＲを完了した後に即時に発呼を行わなくてもよい。一般的にＶｏＩＰの利用では、ＲＥＧＩＳＴＥＲされた後、パソコン上でソフトフォンを起動した状態にしておき、ユーザが必要に応じて発呼する場合もあるし、着信を受ける場合もある。本構成は、この通常のＶｏＩＰの利用方法については独自性を持たず、ユーザの慣れ親しんだ手順からの逸脱を行わないようにしている。 In addition, although a call using a softphone is possible after REGISTER is completed, the user does not have to make a call immediately after completing REGISTER. In general, in using VoIP, after REGISTER, a softphone is activated on a personal computer, and a user may make a call or receive an incoming call as necessary. This configuration does not have uniqueness in the use method of this normal VoIP, and does not deviate from the procedure familiar to the user.

また、一般にソフトフォンは、一度ＲＥＧＩＳＴＥＲした後、一定時間毎にＲＥＧＩＳＴＥＲを自動で繰り返し、ＳＩＰサーバ１から切断されないように振舞っている。本構成においても、登録期限情報によって、ＲＥＧＩＳＴＥＲしていない状態からＲＥＧＩＳＴＥＲするまでの許可時間（例えば３０秒以内）を設定するが、一度ＲＥＧＩＳＴＥＲした後は、一般のＶｏＩＰ同様、定期的にＲＥＧＩＳＴＥＲが実施されれば、ＳＩＰサーバ１から切断されることはない。よって、一度ＲＥＧＩＳＴＥＲした後は、ユーザの任意のタイミングで発呼も着信受けも可能である。 In general, a softphone behaves so as not to be disconnected from the SIP server 1 by re-registration automatically every predetermined time after REGISTER once. Also in this configuration, the registration time limit information sets the permission time (for example, within 30 seconds) from the state where REGISTER is not executed to REGISTER, but after REGISTER once, REGISTER is periodically implemented like general VoIP. If it is done, it will not be disconnected from the SIP server 1. Therefore, once REGISTER is made, it is possible to make and receive calls at any timing of the user.

なお、上記各実施形態では、一般的な防御手法である「攻撃者のＩＰアドレスを特定する」という手法とは反対に、「正当なユーザのＩＰアドレスを特定し、それ以外のアクセスを全て禁止する」という手法を用いている。 In each of the above embodiments, contrary to the general technique of “specifying the attacker's IP address”, which is a general defense technique, “specify the IP address of the legitimate user and prohibit all other access”. Is used.

また、ＳＩＰサーバ１は、従来のＳＩＰによる認証機能に加えて、ＨＴＴＰによる認証機能を設けている。正当なユーザは、ＨＴＴＰによるＷｅｂ画面でワンタイムパスワードによる認証を実施し、ＳＩＰサーバ１への一定期間のＲＥＧＩＳＴＥＲ（ＳＩＰサーバ１上での認証）権利を得る。続けて、クライアント装置２は、汎用のＶｏＩＰクライアントソフトウェアもしくは専用のソフトウェアを用いて、ＳＩＰサーバ１へＳＩＰの手続きでアクセスし、発信を実施できる。 In addition to the conventional SIP authentication function, the SIP server 1 has an HTTP authentication function. A legitimate user performs authentication with a one-time password on a Web screen based on HTTP, and obtains a REGISTER (authentication on the SIP server 1) right to the SIP server 1 for a certain period of time. Subsequently, the client apparatus 2 can access the SIP server 1 by SIP procedure using general-purpose VoIP client software or dedicated software, and can make a call.

攻撃者、または不正ユーザは、ＨＴＴＰによる認証を経ない場合、ＳＩＰサーバ１にどんなＶｏＩＰユーザＩＤであっても、ＲＥＧＩＳＴＥＲできない。また、認証ＷＥＢサーバ１１ａにアクセスした場合でも、ワンタイムパスワードを用いた認証をアクセス毎に行うため、機械的な自動アクセスによるパスワード検索は防止される。 An attacker or an unauthorized user cannot REGISTER any VoIP user ID in the SIP server 1 if authentication by HTTP is not performed. Even when the authentication WEB server 11a is accessed, authentication using a one-time password is performed for each access, so that password search by mechanical automatic access is prevented.

１ＳＩＰサーバ
１１認証部
１１ａ認証ＷＥＢサーバ
１１ｂパスワード発行部
１１ｃデータベース
１１ｄアドレスフィルタ
１１ｅＳＩＰ認証部
２クライアント装置
ＮＴ１ネットワーク DESCRIPTION OF SYMBOLS 1 SIP server 11 Authentication part 11a Authentication WEB server 11b Password issuing part 11c Database 11d Address filter 11e SIP authentication part 2 Client apparatus NT1 network

Claims

An authentication device including an authentication unit that performs authentication processing on a client device that accesses a server device via a network,
The authentication unit
When the client device accesses the server device using the first communication protocol, a password presenting region for displaying a random character string and a character string input region for inputting a character string by operation of the client device are provided. Create an authentication screen, display this authentication screen on the client device,
When the client device acquires a character string input to the character string input area and the acquired character string matches the random character string, the client device registers the IP address of the client device,
Thereafter, an IP address of the client device that has accessed the server device is acquired using the second communication protocol, and if the acquired IP address matches the registered IP address, the acquired IP address is authenticated. An authentication device characterized by that.

The authentication unit
Pre-holding authentication information of the user using the client device,
An authentication information input area for inputting the authentication information is provided on the authentication screen,
When the client device acquires the character string input in the character string input area and the authentication information input in the authentication information area, and the acquired character string matches the random character string, the acquired The authentication information is compared with the held authentication information. If the acquired authentication information and the held authentication information match, the IP address of the client device is registered and the user is authenticated. Register,
Thereafter, an IP address of the client device that has accessed the server device is acquired using the second communication protocol, and the acquired IP address is authenticated when the acquired IP address matches the registered IP address. The authentication apparatus according to claim 1, wherein the authentication apparatus is finished.

The authentication unit
Pre-holding authentication information of the user using the client device,
An IP address of the client device that has accessed the server device using the second communication protocol and the authentication information input by the client device are acquired, and the acquired IP address is determined by the client device as the first address. If the IP address registered when accessing the server device using the communication protocol is matched, the acquired authentication information is compared with the held authentication information, and the acquired authentication information and the held authentication are compared. The authentication apparatus according to claim 1, wherein if the information matches, the acquired IP address and the user are authenticated.

The authentication unit
When the IP address of the client device is registered, the registration deadline of this IP address is notified to the client device,
When the IP address of the client device that has accessed the server device using the second communication protocol is acquired, and the acquired IP address matches the registered IP address and is within the registration time limit, The authentication apparatus according to any one of claims 1 to 3, wherein the acquired IP address is authenticated.