JP5959070B2 - 情報処理装置、端末、プログラム及び方法 - Google Patents

Description

本発明は、情報処理装置、端末、プログラム及び方法に関する。

端末で入力されたパスワード等に基づいてユーザ及び端末を認証する情報処理装置が知られている（例えば、特許文献１参照）。
特許文献１ 特開２００４−２５９０２０号公報

しかしながら、上述の技術では、予めユーザが選択した端末から取得したパスワード等に基づいて端末の認証の可否を判定するので、ユーザ及び端末の認証の精度が不十分であった。

本発明の第１の態様においては、パスワードを端末に送信する情報処理装置であって、パスワード送信要求を受信する要求受信部と、端末の状態を取得する状態取得部と、取得された状態に基づいて、パスワードの送信先の端末、端末との間の通信方法、および、端末におけるパスワードの入力方法の少なくとも１つを選択する選択部と、を備える情報処理装置及び情報処理装置に関連するプログラム及び方法を提供する。

本発明の第２の態様においては、情報処理装置との間でパスワードを送信または受信する端末であって、当該端末の状態を前記情報処理装置へと送信する状態送信部と、前記状態に基づいて前記情報処理装置が選択した当該端末との間の通信方法を用いて、前記情報処理装置との間でパスワードを受信し、または前記情報処理装置からユーザへと通知されたパスワードを当該通信方法を用いて前記情報処理装置へと送信する通信部と、を備える端末及び端末に関連するプログラム及び方法を提供する。

本発明の第３の態様においては、情報処理装置に対してパスワードを送信する端末であって、当該端末の状態を前記情報処理装置へと送信する状態送信部と、前記状態に基づいて前記情報処理装置が選択したパスワードの入力方法を用いてユーザにパスワードを入力させる入力部と、入力されたパスワードを前記情報処理装置へと送信する通信部と、を備える端末及び端末に関連するプログラム及び方法を提供する。

なお、上記の発明の概要は、本発明の特徴の全てを列挙したものではない。また、これらの特徴群のサブコンビネーションもまた、発明となりうる。

情報システム１０の全体構成図である。 情報処理装置１２の全体構成図である。 端末１４の全体構成図である。 情報処理装置１２による端末１４の認証処理のフローチャートである。 端末１４の状態を格納した端末状態テーブルの一例である。 端末１４の状態のリスク判定結果を含む端末状態テーブルの一例である。 アプリケーションのリスク構成を含むアプリケーション情報の一例である。 端末１４の状態の他の例である。 本実施形態に係るコンピュータ１９００のハードウェア構成の一例を示す。

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、情報システム１０の全体構成図である。図１に示すように、情報システム１０は、１または複数の情報処理装置１２と、１または複数の端末１４とを備える。情報処理装置１２及び端末１４は、ネットワーク１６を介して、パスワード等の情報を互いに送受信可能に接続されている。

情報システム１０では、情報処理装置１２が、端末１４から取得したパスワードＰＷ及び端末１４の状態に基づいて、ユーザＵまたは端末１４を認証する。例えば、情報処理装置１２は、複数の端末１４を有するユーザＵからパスワード送信要求及び各端末１４の状態を取得すると、当該状態に基づいて選択したユーザＵの複数の端末１４のいずれかにパスワードＰＷを送信する。情報処理装置１２は、当該パスワードＰＷをユーザＵの端末１４のいずれかから受信することによって、ユーザＵを認証することで、当該認証の精度を向上させる。

情報処理装置１２の一例は、金融機関に設置されているインターネットバンキングを提供する端末１４等を認証してサービスを提供するＷｅｂサーバとして機能する１または複数のコンピュータである。情報処理装置１２の他の例は、ＩＴサービス会社においてユーザの認証サービスを提供するＷｅｂサーバとして機能する１または複数のコンピュータである。このような情報処理装置１２は、２以上の端末１４のうち、一の端末１４にパスワードＰＷを送信して、他の端末１４で当該パスワードＰＷを入力させることによって、ユーザを認証する二要素認証または多要素認証を利用する。

端末１４は、例えば、スマートフォン、通信機能付き時計、カーナビゲーション装置、及び、タブレット端末等のコンピュータである。各端末１４は、いずれかのユーザＵａ、Ｕｂ、Ｕｃが所有する。ここで、１人のユーザが複数の端末１４を有する場合もある。尚、各端末を区別する必要がない場合、端末の符号を「１４」とする。いずれかのユーザＵａ、Ｕｂ、Ｕｃが所有する端末の符号をそれぞれ「１４ａ、１４ｂ、１４ｃ」とする。更に、各ユーザの端末を区別する場合、例えば、ユーザＵａの端末の符号を「１４ａｎ（ｎ＝１、２・・）」とする。

図２は、情報処理装置１２の全体構成図である。図２に示すように、情報処理装置１２は、装置側制御部２０と、記憶部２２とを有する。

装置側制御部２０は、ＣＰＵ（Central Processing Unit）等の処理装置を含む。装置側制御部２０は、プログラム送信部３０と、登録部３２と、要求受信部３４と、状態取得部３６と、選択部３８と、パスワード送信部４０と、検証部４２とを備える。装置側制御部２０は、記憶部２２に記憶されたプログラムを読み込むことによって、プログラム送信部３０、登録部３２、要求受信部３４、状態取得部３６、選択部３８、パスワード送信部４０、及び、検証部４２として機能する。プログラム送信部３０、登録部３２、要求受信部３４、状態取得部３６、選択部３８、パスワード送信部４０、及び、検証部４２の一部または全部を回路等のハードウェアで構成してもよい。

プログラム送信部３０は、端末１４から状態を取得するための状態取得プログラムを端末１４に対して送信する。例えば、プログラム送信部３０は、状態取得プログラムの送信要求を受信すると、記憶部２２から状態取得プログラムを取得する。プログラム送信部３０は、ネットワーク１６を介して、当該送信要求を送信した端末１４に、状態取得プログラム、または、状態取得プログラムを含む端末側アプリケーションを送信する。

登録部３２は、状態取得プログラムが搭載された端末１４を、パスワードＰＷの送信先となる端末１４の候補として登録する。例えば、登録部３２は、ユーザＵを識別するためのユーザＩＤを端末１４から取得して、ユーザＩＤとユーザＵの端末１４の情報を対応付けて記憶部２２に記憶させ、当該端末１４をパスワード送信先ＰＷの候補として登録する。

要求受信部３４は、パスワード送信要求を受信する。例えば、要求受信部３４は、情報処理装置１２に認証を要求するユーザの端末１４であって、記憶部２２に登録された端末１４から、ネットワーク１６を介して、パスワード送信要求を受信する。要求受信部３４は、パスワード送信要求を受信すると、その旨を状態取得部３６へ出力する。

状態取得部３６は、１または複数の端末１４の状態を取得する。例えば、状態取得部３６は、記憶部２２に登録された端末１４からパスワード送信要求を受信した旨の情報を要求受信部３４から取得すると、ネットワーク１６を介して、端末１４の状態を受信する。

選択部３８は、取得された１または複数の端末１４の状態に基づいて、パスワードＰＷの送信先の端末１４、端末１４との通信方法、及び、端末１４におけるパスワードＰＷの入力方法の少なくとも１つを選択する。選択部３８は、リスク判定部４４と、決定部４６とを有する。

リスク判定部４４は、端末１４の状態に基づいて、パスワードＰＷの送信先となる端末１４の候補、端末１４との間の通信方法の候補、及び、端末１４におけるパスワードＰＷの入力方法の候補の少なくとも１つを判定する。リスク判定部４４は、判定した判定結果を決定部４６へ出力する。

決定部４６は、リスク判定部４４の判定結果に基づいて、パスワードＰＷの送信先の端末１４、端末１４との間の通信方法、及び、端末１４におけるパスワードＰＷの入力方法の少なくとも１つを決定する。決定部４６は、決定した決定結果をパスワード送信部４０へ出力する。

パスワード送信部４０は、決定部４６による決定に応じて、パスワードＰＷの送信先となる端末１４にパスワードＰＷを送信する。パスワード送信部４０が送信するパスワードＰＷの一例は、認証要求に応じて情報処理装置１２が生成する当該認証においてのみ使用可能なワンタイムパスワードである。パスワード送信部４０は、パスワードＰＷを検証部４２へ出力する。

検証部４２は、端末１４からパスワードＰＷを取得して、パスワード送信部４０が送信したパスワードＰＷと一致するか否かを判定する。検証部４２は、両パスワードＰＷが一致した場合、当該端末１４によるアクセスを認可する。

記憶部２２は、情報処理装置１２が実行するプログラム、及び、プログラムの実行において必要となる情報及びパラメータを記憶する。

図３は、端末１４の全体構成図である。図３に示すように、端末１４は、端末側制御部５０と、表示部５２と、入力部材５４と、記憶部５６とを有する。

端末側制御部５０は、ＣＰＵ等の処理装置を含む。端末側制御部５０は、状態送信部６０と、入力部６２と、通信部６４とを備える。端末側制御部５０は、情報処理装置１２のプログラム送信部３０から送信されて、記憶部５６に記憶された状態取得プログラムを読み込むことによって、状態送信部６０、入力部６２、及び、通信部６４として機能する。状態送信部６０、入力部６２、及び、通信部６４の一部または全部を回路等のハードウェアで構成してもよい。また、端末１４のうち、いずれかは、状態送信部６０、及び、通信部６４を備え、他のいずれかは、状態送信部６０、入力部６２、及び、通信部６４を有するように構成してもよい。

状態送信部６０は、当該端末１４の状態を情報処理装置１２へと送信する。例えば、状態送信部６０は、端末１４の状態を情報処理装置１２の状態取得部３６へ送信する。端末１４の状態の一例は、局所的なリスクを判定するための端末１４のＷｉＦｉ（登録商標）等に関する情報、マルウエアまたは不測の情報流出等の悪意のあるアプリケーションとしてのリスクを判定するための端末１４に搭載されたアプリケーションに関する情報、及び、デバイスとしてのリスクを判定するための端末１４のＯＳ（Operating System）及びアプリケーション等のプログラムのバージョン等に関する情報である。

入力部６２は、端末１４の状態に基づいて情報処理装置１２が選択したパスワードＰＷの入力方法を用いてユーザＵにパスワードＰＷを入力させる。例えば、入力部６２は、タッチパネル等の入力部材５４を介して、ユーザＵにキー入力でパスワードＰＷを入力させる。または、入力部６２は、マイク等の入力部材５４を介して、ユーザＵに音声でパスワードＰＷを入力させる。入力部６２は、表示部５２に表示させて当該入力方法をユーザＵに通知してもよく、スピーカ等によって音声によって当該入力方法をユーザＵに通知させてもよい。入力部６２は、入力させたパスワードＰＷを通信部６４へ出力する。

通信部６４は、端末１４の状態に基づいて情報処理装置１２が選択した当該端末１４との間の通信方法を用いて、情報処理装置１２との間でパスワードＰＷを受信する。または、通信部６４は、情報処理装置１２からユーザＵへと通知されたパスワードＰＷを、当該通信方法を用いて情報処理装置１２へと送信する。

表示部５２は、端末側制御部５０から入力された情報に基づいて画像を表示する。例えば、表示部５２は、入力部６２から取得したパスワードＰＷ及び入力方法に関する画像を表示する。

入力部材５４は、ユーザＵからの入力を受け付ける。例えば、入力部材５４は、キーボード及びタッチパネル等のキー入力装置、音声等によって入力するマイク等を含む。入力部材５４は、ユーザＵから受け付けた入力を電気信号に変換して、入力部６２へ出力する。

記憶部５６は、端末１４が実行するプログラム、及び、プログラムの実行において必要となる情報及びパラメータを記憶する。

図４は、情報処理装置１２による端末１４の認証処理のフローチャートである。図５は、端末１４の状態を格納した端末状態テーブルの一例である。図６は、端末１４の状態のリスク判定結果を含む端末状態テーブルの一例である。図７は、アプリケーションのリスク構成を含むアプリケーション情報の一例である。

図４に示すように、認証処理が開始すると、情報処理装置１２では、要求受信部３４がいずれかの端末１４からパスワード送信要求を受信したか否かを判定する（Ｓ１１０）。要求受信部３４はパスワード送信要求を受信するまで待機状態となる（Ｓ１１０：Ｎｏ）。一方、いずれかの端末１４、例えば、端末１４ａ_１の通信部６４が自己のユーザＩＤまたは端末ＩＤとともにパスワード送信要求を送信して（Ｓａ５１０）、要求受信部３４は当該パスワード送信要求を受信すると（Ｓ１１０：Ｙｅｓ）、パスワードＰＷを生成して、記憶部２２に記憶させる（Ｓ１２０）。ここで生成されるパスワードＰＷの一例は、ワンタイムパスワードである。例えば、要求受信部３４は、パスワードＰＷとしてＰＩＮ（Personal Identification Number）のような４桁の番号「２４３４」等を生成する。

次に、状態取得部３６は、端末１４の状態を要求する（Ｓ１３０）。具体的には、状態取得部３６は、パスワード送信要求を送信した端末１４と同じユーザＵの端末１４を記憶部２２から検索する。尚、記憶部２２には、登録部３２によって、ユーザＵのユーザＩＤ及び端末ＩＤと関連付けられた端末１４に関する図５に示すような情報が記憶されている。状態取得部３６は、当該ユーザＵが登録している全てまたは一部の端末１４に、当該端末１４の状態を要求する。

端末１４では、状態送信部６０が、情報処理装置１２から端末１４の状態の要求を受信すると、自己の端末１４の状態を送信する（Ｓａ６１０）。

情報処理装置１２では、状態取得部３６が、各端末１４からそれぞれの状態を取得する（Ｓ１４０）。例えば、状態取得部３６は、図５の端末状態テーブルに示すような各端末１４の状態を取得する。

例えば、状態取得部３６は、図５の端末状態テーブルに示すような端末１４の状態を取得する。端末１４の状態は、ＯＳのバージョン、管理者アカウントで操作できるか否かを示すルート化、アプリケーション識別情報Ａｐｐｍ（ｍ＝１、２・・）、ＷｉＦｉ情報、入力方法、通信方法、及び、ユーザポリシー等を含む。ＯＳのバージョンは、端末１４に搭載されたプログラムの更新状況の一例である。アプリケーション識別情報Ａｐｐｍは、端末１４に搭載されたプログラムの一例であるアプリケーションを識別するプログラム識別情報の一例である。

図５に示す端末状態テーブルの例では、状態取得部３６は、端末１４ａ_１、１４ａ_２、１４ａ_４のＯＳのバージョンが最新のＡ＿１．０９であって、端末１４ａ_３のＯＳのバージョンが最新のパッチファイルによって修正されていないＡ＿１．０２である情報を取得している。

状態取得部３６は、端末１４ａ_４がルート化されていることを示し、それ以外の端末１４ａ_１、１４ａ_２、１４ａ_３はルート化されていないことを示す情報を取得している。

状態取得部３６は、アプリケーションＡｐｐ１及びアプリケーションＡｐｐ２が端末１４ａ_１に搭載され、アプリケーションＡｐｐ１及びアプリケーションＡｐｐ３が端末１４ａ_２に搭載されている情報を取得している。

状態取得部３６は、端末１４ａ_１、１４ａ_２、１４ａ_３はＰｈｏｎｅＷｉＦｉによってネットワークに接続され、端末１４ａ_４はＨｏｍｅＷｉＦｉによってネットワークに接続されていることを示す情報を取得している。

状態取得部３６は、端末１４ａ_１がキーボードまたはタッチパネル等のキー入力、及び、マイク等による音声入力が可能なことを示す情報を取得している。状態取得部３６は、端末１４ａ_２がＳＭＳ及びＯＳ ｍｅｓｓａｇｅによる通信が可能であり、端末１４ａ_３はＯＳ ｍｅｓｓａｇｅによる通信が可能であり、端末１４ａ_４はＶｏｉｃｅ ｃａｌｌによる通信が可能であることを示す情報を取得している。

状態取得部３６は、端末１４ａ_１、１４ａ_２、１４ａ_３が認証処理に使用してもよいことがユーザによって予め設定されたユーザポリシー、及び、端末１４ａ_４は認証処理に使用しないことがユーザによって予め設定されているユーザポリシーの情報を取得している。

状態取得部３６は、各ユーザＵのユーザＩＤである「Ｕａ、Ｕｂ」及び端末１４の端末ＩＤである「ｄ１、ｄ２・・」と関連付けて、端末１４の状態を記憶部２２に記憶させるとともに、選択部３８のリスク判定部４４へ出力する。尚、本実施形態では、端末１４ａ_１の端末ＩＤを「ｄ１」、端末１４ａ_２の端末ＩＤを「ｄ２」、端末１４ａ_３の端末ＩＤを「ｄ３」、端末１４ａ_４の端末ＩＤを「ｄ４」とする。

リスク判定部４４は、状態取得部３６から取得した端末１４の状態に基づいて、各端末１４のリスクを判定する。

具体的には、まず、リスク判定部４４は、端末１４の局所性のリスクを判定する（Ｓ１５０）。例えば、局所性のリスクとして、リスク判定部４４は、各端末１４のＷｉＦｉの状態から要求元の端末１４ａ_１及び他の端末１４ａ_２、１４ａ_３、１４ａ_４の近接度が予め定められた基準を満たすか否かに基づいて判定する。図６に示す端末状態テーブルの例では、要求元の端末１４ａ_１および他の端末１４ａ_２、１４ａ_３は、ＷｉＦｉの状態がＰｈｏｎｅＷｉＦｉであって、同じＷｉＦｉを利用している。これにより、リスク判定部４４は、要求元の端末１４ａ_１および他の端末１４ａ_２、１４ａ_３は予め定められた基準を満たし、互いに近く（＝Ｎｅａｒ）に存在して、リスクが低いと判定する。一方、リスク判定部４４は、他の端末１４ａ_１、１４ａ_２、１４ａ_３とは異なるＷｉＦｉであるＨｏｍｅＷｉＦｉを利用している端末１４ａ_４が予め定められた基準を満たさず、他の端末１４ａ_１、１４ａ_２、１４ａ_３から離れていて（＝Ｆａｒ）、リスクが高いと判定する。

リスク判定部４４は、端末１４のアプリケーションのリスクを判定する（Ｓ１６０）。例えば、リスク判定部４４は、記憶部２２に記憶されたアプリケーション情報に基づいて、各端末１４のアプリケーションのリスクを判定する。

アプリケーション情報の一例は、図７に示すように、アプリケーションＩＤと、各アプリケーションのリスク構成及びマルウエアか否かの判定結果とが関連付けられている。例えば、アプリケーションＡｐｐ１、Ａｐｐ４、Ａｐｐ５は、リスク構成がなく、マルウエアでないとして登録されている。

アプリケーションＡｐｐ２は、キー入力された内容のログを取得するkey loggerをリスク構成として有し、マルウエアとして登録されている。key loggerに関する情報は、候補となるパスワードＰＷの入力方法が端末１４に搭載されたアプリケーションが傍受することが許可されているか否かを示すパーミッション情報の一例である。

アプリケーションＡｐｐ３は、ＳＭＳ（Short Message Service）をリード可能なリードパーミッションをリスク構成として有し、マルウエアとして登録されている。リードパーミッションに関する情報は、候補となるパスワードＰＷの通信方法が端末１４に搭載されたアプリケーションが傍受することが許可されているか否かを示すパーミッション情報の一例である。尚、パーミッション情報の他の例は、パスワードＰＷを入力させて傍受するスクリーンキャプチャに関する情報である。

リスク判定部４４は、端末１４ａ_１のアプリケーションＡｐｐ２及び端末１４ａ_２のアプリケーションＡｐｐ３をリスクありとして、当該アプリケーションＡｐｐ２、Ａｐｐ３にリスクフラグを設定するとともに、アプリケーションＡｐｐ２、Ａｐｐ３と関連付けてリスク構成を記憶させる。

リスク判定部４４は、各端末１４のデバイスとしてのリスクを判定する（Ｓ１７０）。例えば、リスク判定部４４は、端末１４に搭載されたＯＳが予め定められたバージョンまで更新されているか否かに基づいて、リスクを判定する。予め定められたバージョンの一例は、最新のバージョンである。リスク判定部４４は、最新のバージョンであるＡ＿１．０９のＯＳが搭載されている端末１４ａ_１、１４ａ_２、１４ａ_４のリスクは低いと判定して、古いバージョンであるＡ＿１．０２のＯＳが搭載されている端末１４ａ_３のリスクは高いと判定する。また、リスク判定部４４は、各端末１４のルート化の有無によって、デバイスとしてのリスクを判定してもよい。リスク判定部４４は、ルート化されていない端末１４ａ_１、１４ａ_２、１４ａ_３はリスクが低いと判定して、ルート化されている端末１４ａ_４はリスクが高いと判定する。

リスク判定部４４は、各状態に基づいて判定した端末１４のリスクを総合的に判定したリスクの判定結果を記憶部２２に記憶させる（Ｓ１８０）。例えば、リスク判定部４４は、端末１４ａ_１において、アプリケーションＡｐｐ２がｋｅｙ ｌｏｇｇｅｒを有するので、キー入力はリスクが高い（＝Ｈｉｇｈ）と判定するが、音声による入力はリスクが低い（＝Ｌｏｗ）と判定する。リスク判定部４４は、端末１４ａ_２において、アプリケーションＡｐｐ３がＳＭＳリードパーミッションを有するので、ＳＭＳによる通信方法はリスクが高いと判定するが、ＯＳ ｍｅｓｓａｇｅによる通信方法はリスクが低いと判定する。リスク判定部４４は、端末１４ａ_３において、ＯＳのバージョンが古いのでリスクが高いと判定する。リスク判定部４４は、端末１４ａ_４において、ＷｉＦｉに基づき、他の端末１４ａ_１、１４ａ_２、１４ａ_３から離れているので、リスクが高いと判定する。

尚、リスク判定部４４は、端末１４のリスクの一部のみを判定してもよい。この場合、リスク判定部４４は、各端末１４のリスクの判定結果の一部または全部を記憶部２２に予め記憶させて、新たに判定したリスクの判定結果のみを更新するようにしてもよい。

決定部４６は、リスク判定部４４が判定したリスクの判定結果に基づいて、パスワードＰＷの交換方式を決定する（Ｓ１９０）。尚、ここでいう交換方式は、パスワードＰＷを送信する端末１４、パスワードＰＷを入力する端末１４、端末１４におけるパスワードＰＷの入力方法、情報処理装置１２から端末１４への通信方法、及び、端末１４から情報処理装置１２への通信方法等である。

例えば、決定部４６は、リスクの判定結果の一つである近接度が予め定められた基準を満たすことを条件として、及び、ＯＳのバージョンによるリスクに基づいて、複数の端末１４からパスワードＰＷの送信先としていずれかの端末１４を決定する。図６に示す端末状態テーブルの例では、決定部４６は、近接度が予め定められた基準を満たす端末１４ａ_２を、パスワードＰＷの送信先として選択する。

また、決定部４６は、端末１４から取得されたパーミッション情報に基づいて、アプリケーションから傍受できない当該端末１４との間の通信方法および当該端末１４におけるパスワードＰＷの入力方法の少なくとも一方を選択して決定する。図６に示す端末状態テーブルの例では、決定部４６は、端末１４ａ_２において、リードパーミッションを有するアプリケーションＡｐｐ３によってリードされて傍受されるＳＭＳではなく、ＯＳ ｍｅｓｓａｇｅを情報処理装置１２から端末１４ａ_２へのパスワードＰＷ等の通信方法として選択する。決定部４６は、パスワードＰＷを入力させる端末１４として端末１４ａ_１を選択する。決定部４６は、Ｋｅｙ ｌｏｇｇｅｒを有するアプリケーションＡｐｐ２によってログが記録されて傍受されるキー入力ではなく、音声入力を端末１４ａ_１におけるパスワードＰＷの入力方法として選択する。決定部４６は、端末１４ａ_１から情報処理装置１２へのパスワードＰＷ等の通信方法としてＳＭＳを選択する。尚、決定部４６は、ＯＳのバージョンによるリスク判定の結果に基づいて、端末１４との間の通信方法、および、端末１４におけるパスワードＰＷの入力方法のいずれかを決定してもよい。

送信側パスワード送信部４０は、交換方式及びパスワードＰＷを端末１４ａ_２に送信するとともに、パスワードＰＷを検証部４２へ出力する（Ｓ２００）。尚、決定部４６がパスワードＰＷの送信先となる端末１４の候補、端末１４との間の通信方法の候補、および、端末１４におけるパスワードの入力方法の候補のうち選択肢のいずれにおいてもリスクが予め定められた基準以上であると判断したことに応じて、送信側パスワード送信部４０は、パスワードＰＷを送信できない旨を端末１４に通知してもよい。

端末１４ａ_２では、入力部６２が、交換方式及びパスワードＰＷを受信すると、パスワードＰＷをユーザＵａに通知する（Ｓａ７１０）。例えば、入力部６２は、表示部５２に交換方式及びパスワードＰＷを表示させることによって、通知する。また、入力部６２は、スピーカ等によって音声で交換方式及びパスワードＰＷを通知してもよい。

入力部６２は、パスワードＰＷとともに、交換方式に含まれる入力方法を通知する（Ｓａ７２０）。ここでいう入力方法は、パスワードＰＷを入力させる端末１４ａ_１、パスワードＰＷを入力させるキー入力またはマイク等の入力部材５４、及び、キー入力用のアプリケーションの指定等を含む。

パスワードＰＷを入力先として指定された端末１４ａ_１では、ユーザＵａがパスワードＰＷを入力するまで待機状態となる（Ｓａ８１０：Ｎｏ）。ユーザＵａがステップＳａ７１０で通知されたパスワードＰＷを指定された入力部材５４を介して入力すると、入力部６２は、当該パスワードＰＷを入力部材５４から取得して、通信部６４へ出力する（Ｓａ８１０：Ｙｅｓ）。

通信部６４は、入力部６２から取得したパスワードＰＷを情報処理装置１２へ送信する（Ｓａ８２０）。

情報処理装置１２では、検証部４２が、パスワードＰＷを受信すると、当該パスワードＰＷを検証して、パスワードＰＷを送信した端末１４ａ_１を認証するか否かを判定する（Ｓ２１０）。検証部４２は、パスワードＰＷがステップＳ２００で送信したパスワードＰＷと一致した場合、パスワードＰＷを送信した当該端末１４ａ_１を認証して（Ｓ２１０：Ｙｅｓ）、認証処理を終了する。この後、例えば、情報処理装置１２は、インターネットバンキングの振込等の各処理をユーザから受け付ける。一方、検証部４２は、パスワードＰＷがステップＳ２００で送信したパスワードＰＷと一致しなかった場合、パスワードＰＷを送信した当該端末１４ａ_１を認証せずに（Ｓ２１０：Ｎｏ）、ステップＳ１２０から繰り返す。尚、検証部４２は、当該端末１４ａ_１を認証しない場合も、認証処理を終了させてもよい。

上述したように、情報処理装置１２では、状態取得部３６が取得した各端末１４の状態に基づいて、選択部３８がパスワードＰＷの送信先の端末１４、端末１４との間の通信方法、及び、端末１４におけるパスワードＰＷの入力方法を選択している。これにより、情報処理装置１２側でこれらの選択を実行することによって、ユーザ側でパスワードを送信する端末１４等を選択する場合に比べて、パスワードＰＷが漏洩する等のリスクを低減できる。この結果、情報処理装置１２は、端末１４の状態に基づいてパスワードＰＷによる認証の精度を向上させることができる。

具体的には、情報処理装置１２では、リスク判定部４４が、端末１４同士の近接度に基づいてリスクを判定して、決定部４６が、当該判定結果に基づいてパスワードＰＷの送信先の端末１４を決定している。これにより、情報処理装置１２は、盗難などによって他の端末１４と離れて存在する端末１４にパスワードＰＷを送信して、パスワードＰＷが漏洩することを抑制できる。

情報処理装置１２では、リスク判定部４４がアプリケーションのリスクを判定して、決定部４６が、当該判定結果に基づいて、パスワードＰＷの通信方法及び入力方法を決定している。これにより、情報処理装置１２は、悪意のあるアプリケーション等によって、通信中にパスワードＰＷが傍受されること、及び、パスワードＰＷを入力中に傍受されること等を低減して、パスワードＰＷが漏洩することを抑制できる。

情報処理装置１２では、リスク判定部４４がＯＳのバージョン及びルート化の有無によってリスクを判定して、決定部４６が、当該判定結果に基づいて、パスワードＰＷの送信先の端末１４を決定している。これにより、情報処理装置１２は、脆弱な端末１４にパスワードＰＷを送信することによって、パスワードＰＷが漏洩することを抑制できる。

次に、上述した実施形態の一部を変更した形態について説明する。尚、上述の実施形態における各構成の接続関係、情報の送受信先等は適宜変更してよい。

例えば、状態取得部３６は、互いに異なる複数のタイミングで端末１４の状態を取得してもよい。これにより、パスワードＰＷの認証毎に、状態取得部３６が端末１４の状態を取得する場合に比べて、通信量及び通信時間を低減できる。この場合、選択部３８は、取得された状態の履歴に基づいて、パスワードの送信先の端末１４、端末１４との間の通信方法、および、端末１４におけるパスワードの入力方法の少なくとも１つを選択してもよい。

通信方法は、上述した以外に、携帯電話通信網、ＷｉＭＡＸ（登録商標）等の無線ＬＡＮ、携帯音声の選択、メール、及び、Ｗｅｂ等から選択したいずれかを適用してもよい。

図８は、端末１４の状態の他の例である。図８に示すように、各端末１４の状態が、ＧＰＳによって検出した位置情報を含んでもよい。この場合、リスク判定部４４は、位置情報または位置情報の履歴に基づいて、各端末１４間の距離を算出して、当該距離が予め定められた基準距離以上か否かで近接度を判定してもよい。具体的には、リスク判定部４４は、当該距離が基準距離以上でないと判定すると、端末１４間の近接度が高いと判定する。また、リスク判定部４４は、各端末１４が接続されている基地局または通信ステーションが一致するか否かで近接度を判定してもよい。具体的には、リスク判定部４４は、各端末１４の基地局等が一致する場合、当該端末１４間の近接度が高いと判定する。

リスク判定部４４は、各端末１４の振動の履歴に基づいて、各端末１４間の近接度を判定してもよい。例えば、各端末１４に振動センサを設けて、当該振動センサが検出した振動情報の履歴を端末１４の状態として状態取得部３６が取得してリスク判定部４４へ出力する。リスク判定部４４は、当該振動情報の履歴が類似する端末１４同士を、互いに近くに存在するとして、近接度が高いと判定する。これにより、リスク判定部４４は、１人のユーザが所持して互いに近くに存在する端末１４の近接度を高いと判定することができる。リスク判定部４４は、各端末１４の温度の履歴に基づいて、各端末１４間の近接度を判定してもよい。例えば、リスク判定部４４は、温度の履歴が類似する端末１４同士の近接度を高いと判定すればよい。リスク判定部４４は、各端末１４間のＮＦＣ（Near Field Communication）の履歴に基づいて、各端末１４間の近接度を判定してもよい。

上述の実施形態では、選択部３８が、パスワードＰＷの送信先の端末１４、端末１４との間の通信方法、および、端末１４におけるパスワードＰＷの入力方法を全て選択する例を示したが、選択部３８は、これらの少なくとも１つを選択するようにしてもよい。

上述の実施形態では、状態取得部３６が端末１４の状態を取得して、リスク判定部４４が端末１４の状態に基づいて端末１４のリスクを判定するエージェント方式を採用したが、リモートスキャナによって端末１４のリスクを診断してもよく、Ｊａｖａｓｃｒｉｐｔ（登録商標）等の診断プログラムによってリスクを診断してもよい。

図９は、本実施形態に係るコンピュータ１９００のハードウェア構成の一例を示す。本実施形態に係るコンピュータ１９００は、情報処理装置１２及び端末１４の一例である。コンピュータ１９００は、ホスト・コントローラ２０８２により相互に接続されるＣＰＵ２０００、ＲＡＭ２０２０、グラフィック・コントローラ２０７５、及び表示部２０８０を有するＣＰＵ周辺部と、入出力コントローラ２０８４によりホスト・コントローラ２０８２に接続される通信インターフェイス２０３０、及び、ハードディスクドライブ２０４０を有する入出力部と、入出力コントローラ２０８４に接続されるＲＯＭ２０１０、メモリドライブ２０５０及び入出力チップ２０７０を有するレガシー入出力部とを備える。

ホスト・コントローラ２０８２は、ＲＡＭ２０２０と、高い転送レートでＲＡＭ２０２０をアクセスするＣＰＵ２０００及びグラフィック・コントローラ２０７５とを接続する。ＣＰＵ２０００は、ＲＯＭ２０１０及びＲＡＭ２０２０に格納されたプログラムに基づいて動作し、各部の制御を行う。グラフィック・コントローラ２０７５は、ＣＰＵ２０００等がＲＡＭ２０２０内に設けたフレーム・バッファ上に生成する画像データを取得し、表示部２０８０上に表示させる。これに代えて、グラフィック・コントローラ２０７５は、ＣＰＵ２０００等が生成する画像データを格納するフレーム・バッファを、内部に含んでもよい。

入出力コントローラ２０８４は、ホスト・コントローラ２０８２と、比較的高速な入出力装置である通信インターフェイス２０３０、ハードディスクドライブ２０４０を接続する。通信インターフェイス２０３０は、ネットワークを介して他の装置と通信する。ハードディスクドライブ２０４０は、コンピュータ１９００内のＣＰＵ２０００が使用する表示プログラム等のプログラム及びデータを格納する。

また、入出力コントローラ２０８４には、ＲＯＭ２０１０と、メモリドライブ２０５０、及び入出力チップ２０７０の比較的低速な入出力装置とが接続される。ＲＯＭ２０１０は、コンピュータ１９００が起動時に実行するブート・プログラム、及び／又は、コンピュータ１９００のハードウェアに依存するプログラム等を格納する。メモリドライブ２０５０は、メモリカード２０９０から例えば表示プログラム等のプログラム又はデータを読み取り、ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供する。入出力チップ２０７０は、メモリドライブ２０５０を入出力コントローラ２０８４へと接続すると共に、例えばパラレル・ポート、シリアル・ポート、キーボード・ポート、マウス・ポート等を介して各種の入出力装置を入出力コントローラ２０８４へと接続する。

ＲＡＭ２０２０を介してハードディスクドライブ２０４０に提供されるプログラムは、メモリカード２０９０、又はＩＣカード等の記録媒体に格納されて利用者によって提供される。表示プログラム等のプログラムは、記録媒体から読み出され、ＲＡＭ２０２０を介してコンピュータ１９００内のハードディスクドライブ２０４０にインストールされ、ＣＰＵ２０００において実行される。

コンピュータ１９００にインストールされ、コンピュータ１９００を情報処理装置１２として機能させるプログラムは、プログラム送信モジュール、登録モジュール、要求受信モジュール、状態取得モジュール、選択モジュール、パスワード送信モジュール、及び、検証モジュールを備える。これらのプログラム又はモジュールは、ＣＰＵ２０００等に働きかけて、コンピュータ１９００を、プログラム送信部３０、登録部３２、要求受信部３４、状態取得部３６、選択部３８、パスワード送信部４０、及び、検証部４２としてそれぞれ機能させる。

これらのプログラムに記述された情報処理は、コンピュータ１９００に読込まれることにより、ソフトウェアと上述した各種のハードウェア資源とが協働した具体的手段であるプログラム送信部３０、登録部３２、要求受信部３４、状態取得部３６、選択部３８、パスワード送信部４０、及び、検証部４２として機能する。そして、これらの具体的手段によって、本実施形態におけるコンピュータ１９００の使用目的に応じた情報の演算又は加工を実現することにより、使用目的に応じた特有の情報処理装置１２が構築される。

コンピュータ１９００にインストールされ、コンピュータ１９００を端末１４として機能させるプログラムは、状態送信モジュール、入力モジュール、及び、通信モジュールを備える。これらのプログラム又はモジュールは、ＣＰＵ２０００等に働きかけて、コンピュータ１９００を、状態送信部６０、入力部６２、及び、通信部６４としてそれぞれ機能させる。

これらのプログラムに記述された情報処理は、コンピュータ１９００に読込まれることにより、ソフトウェアと上述した各種のハードウェア資源とが協働した具体的手段である状態送信部６０、入力部６２、及び、通信部６４として機能する。そして、これらの具体的手段によって、本実施形態におけるコンピュータ１９００の使用目的に応じた情報の演算又は加工を実現することにより、使用目的に応じた特有の端末１４が構築される。

一例として、コンピュータ１９００と外部の装置等との間で通信を行う場合には、ＣＰＵ２０００は、ＲＡＭ２０２０上にロードされた通信プログラムを実行し、通信プログラムに記述された処理内容に基づいて、通信インターフェイス２０３０に対して通信処理を指示する。通信インターフェイス２０３０は、ＣＰＵ２０００の制御を受けて、ＲＡＭ２０２０、ハードディスクドライブ２０４０、又はメモリカード２０９０等の記憶装置上に設けた送信バッファ領域等に記憶された送信データを読み出してネットワークへと送信し、もしくは、ネットワークから受信した受信データを記憶装置上に設けた受信バッファ領域等へと書き込む。このように、通信インターフェイス２０３０は、ＤＭＡ（ダイレクト・メモリ・アクセス）方式により記憶装置との間で送受信データを転送してもよく、これに代えて、ＣＰＵ２０００が転送元の記憶装置又は通信インターフェイス２０３０からデータを読み出し、転送先の通信インターフェイス２０３０又は記憶装置へとデータを書き込むことにより送受信データを転送してもよい。

また、ＣＰＵ２０００は、ハードディスクドライブ２０４０、メモリドライブ２０５０（メモリカード２０９０）等の外部記憶装置に格納されたファイルまたはデータベース等の中から、全部または必要な部分をＤＭＡ転送等によりＲＡＭ２０２０へと読み込ませ、ＲＡＭ２０２０上のデータに対して各種の処理を行う。そして、ＣＰＵ２０００は、処理を終えたデータを、ＤＭＡ転送等により外部記憶装置へと書き戻す。このような処理において、ＲＡＭ２０２０は、外部記憶装置の内容を一時的に保持するものとみなせるから、本実施形態においてはＲＡＭ２０２０および外部記憶装置等をメモリ、記憶部、または記憶装置等と総称する。本実施形態における各種のプログラム、データ、テーブル、データベース等の各種の情報は、このような記憶装置上に格納されて、情報処理の対象となる。なお、ＣＰＵ２０００は、ＲＡＭ２０２０の一部をキャッシュメモリに保持し、キャッシュメモリ上で読み書きを行うこともできる。このような形態においても、キャッシュメモリはＲＡＭ２０２０の機能の一部を担うから、本実施形態においては、区別して示す場合を除き、キャッシュメモリもＲＡＭ２０２０、メモリ、及び／又は記憶装置に含まれるものとする。

また、ＣＰＵ２０００は、ＲＡＭ２０２０から読み出したデータに対して、プログラムの命令列により指定された、本実施形態中に記載した各種の演算、情報の加工、条件判断、情報の検索・置換等を含む各種の処理を行い、ＲＡＭ２０２０へと書き戻す。例えば、ＣＰＵ２０００は、条件判断を行う場合においては、本実施形態において示した各種の変数が、他の変数または定数と比較して、大きい、小さい、以上、以下、等しい等の条件を満たすかどうかを判断し、条件が成立した場合（又は不成立であった場合）に、異なる命令列へと分岐し、またはサブルーチンを呼び出す。また、ＣＰＵ２０００は、記憶装置内のファイルまたはデータベース等に格納された情報を検索することができる。

以上に示したプログラム又はモジュールは、外部の記録媒体に格納されてもよい。記録媒体としては、メモリカード２０９０の他に、ＤＶＤ又はＣＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、ＩＣカード等の半導体メモリ等を用いることができる。また、専用通信ネットワーク又はインターネットに接続されたサーバシステムに設けたハードディスク又はＲＡＭ等の記憶装置を記録媒体として使用し、ネットワークを介してプログラムをコンピュータ１９００に提供してもよい。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

特許請求の範囲、明細書、および図面中において示した装置、システム、プログラム、および方法における動作、手順、ステップ、および段階等の各処理の実行順序は、特段「より前に」、「先立って」等と明示しておらず、また、前の処理の出力を後の処理で用いるのでない限り、任意の順序で実現しうることに留意すべきである。特許請求の範囲、明細書、および図面中の動作フローに関して、便宜上「まず、」、「次に、」等を用いて説明したとしても、この順で実施することが必須であることを意味するものではない。

１０ 情報システム、 １２ 情報処理装置、 １４ 端末、 １６ ネットワーク、 ２０ 装置側制御部、 ２２ 記憶部、 ３０ プログラム送信部、 ３２ 登録部、 ３４ 要求受信部、 ３６ 状態取得部、 ３８ 選択部、 ４０ パスワード送信部、 ４２ 検証部、 ４４ リスク判定部、 ４６ 決定部、 ５０ 端末側制御部、 ５２ 表示部、 ５４ 入力部材、 ５６ 記憶部、 ６０ 状態送信部、 ６２ 入力部、 ６４ 通信部、 １９００ コンピュータ、 ２０００ ＣＰＵ、 ２０１０ ＲＯＭ、 ２０２０ ＲＡＭ、 ２０３０ 通信インターフェイス、 ２０４０ ハードディスクドライブ、 ２０５０ メモリドライブ、 ２０７０ 入出力チップ、 ２０７５ グラフィック・コントローラ、 ２０８０ 表示部、 ２０８２ ホスト・コントローラ、 ２０８４ 入出力コントローラ、 ２０９０ メモリカード

Claims (14)

1. パスワードを端末に送信する情報処理装置であって、
   パスワード送信要求を受信する要求受信部と、
   端末の状態を取得する状態取得部と、
   取得された状態に基づいて、パスワードの送信先の端末、端末との間の通信方法、および、端末におけるパスワードの入力方法の少なくとも１つを選択する選択部と、
   を備え、
   前記状態取得部は、端末に搭載されたプログラムを識別するプログラム識別情報と、候補となる通信方法または入力方法を端末に搭載されたプログラムが傍受することが許可されているか否かを示すパーミッション情報とを含む前記状態を取得し、
   前記選択部は、端末から取得された前記パーミッション情報に基づいて、プログラムから傍受できない当該端末との間の通信方法および当該端末におけるパスワードの入力方法の少なくとも一方を選択する情報処理装置。
2. 前記選択部は、
   前記状態に基づいて、パスワードの送信先となる端末の候補、端末との間の通信方法の候補、および端末におけるパスワードの入力方法の候補の少なくとも１つのリスクを判定するリスク判定部と、
   前記リスク判定部の判定結果に基づいて、パスワードの送信先の端末、端末との間の通信方法、および、端末におけるパスワードの入力方法の少なくとも１つを決定する決定部と、
   を備える請求項１に記載の情報処理装置。
3. 前記状態取得部は、複数の端末の前記状態を取得し、
   前記選択部は、取得された各端末の前記状態に基づいて、前記複数の端末の中からパスワードの送信先とする端末を決定する請求項１または２に記載の情報処理装置。
4. 前記選択部は、端末から取得された前記プログラム識別情報に基づいて、当該端末をパスワードの送信先とするか否かを決定する請求項１から３のいずれか一項に記載の情報処理装置。
5. 前記選択部は、端末から取得された前記プログラム識別情報により識別されるプログラムによって傍受できない通信方法および入力方法の少なくとも一方を選択する請求項１から４のいずれか一項に記載の情報処理装置。
6. 前記状態取得部は、端末に搭載されたプログラムの更新状況を更に含む前記状態を取得し、
   前記選択部は、端末に搭載されたプログラムが予め定められたバージョンまで更新されているか否かに基づいて、パスワードの送信先の端末、端末との間の通信方法、および、端末におけるパスワードの入力方法の少なくとも１つを選択する請求項１から５のいずれか一項に記載の情報処理装置。
7. 前記状態取得部は、前記パスワード送信要求を送信した要求元端末および他の端末の近接度を判定するための情報を含む前記状態を取得し、
   前記選択部は、前記要求元端末および前記他の端末の近接度が予め定められた基準を満たすことを条件として、当該他の端末をパスワードの送信先として決定する
   請求項１から６のいずれか一項に記載の情報処理装置。
8. 前記状態取得部は、互いに異なる複数のタイミングで端末の状態を取得し、
   前記選択部は、取得された前記状態の履歴に基づいて、パスワードの送信先の端末、端末との間の通信方法、および、端末におけるパスワードの入力方法の少なくとも１つを選択する
   請求項１から７のいずれか一項に記載の情報処理装置。
9. 端末から状態を取得するための状態取得プログラムを端末に対して送信するプログラム送信部と、
   前記状態取得プログラムがインストールされた端末を、パスワードの送信先となる端末の候補として登録する登録部と、
   を更に備える請求項１から８のいずれか一項に記載の情報処理装置。
10. 前記決定部による決定に応じてパスワードの送信先となる端末にパスワードを送信するパスワード送信部を備え、
    前記パスワード送信部は、パスワードの送信先となる端末の候補、端末との間の通信方法の候補、および、端末におけるパスワードの入力方法の候補のうち選択肢のいずれにおいてもリスクが予め定められた基準以上であると判断したことに応じて、パスワードを送信できない旨を端末に通知する請求項２に記載の情報処理装置。
11. 情報処理装置との間でパスワードを送信または受信する端末であって、
    当該端末の状態を前記情報処理装置へと送信する状態送信部と、
    前記状態に基づいて前記情報処理装置が選択した当該端末との間の通信方法を用いて、前記情報処理装置との間でパスワードを受信し、または前記情報処理装置からユーザへと通知されたパスワードを当該通信方法を用いて前記情報処理装置へと送信する通信部と、
    を備え、
    前記状態送信部は、当該端末に搭載されたプログラムを識別するプログラム識別情報と、候補となる通信方法を当該端末に搭載されたプログラムが傍受することが許可されているか否かを示すパーミッション情報とを含む前記状態を送信し、
    前記情報処理装置は、当該端末から取得された前記パーミッション情報に基づいて、プログラムから傍受できない当該端末との間の通信方法を選択する端末。
12. 情報処理装置に対してパスワードを送信する端末であって、
    当該端末の状態を前記情報処理装置へと送信する状態送信部と、
    前記状態に基づいて前記情報処理装置が選択したパスワードの入力方法を用いてユーザにパスワードを入力させる入力部と、
    入力されたパスワードを前記情報処理装置へと送信する通信部と、
    を備え、
    前記状態送信部は、当該端末に搭載されたプログラムを識別するプログラム識別情報と、候補となる入力方法を当該端末に搭載されたプログラムが傍受することが許可されているか否かを示すパーミッション情報とを含む前記状態を送信し、
    前記情報処理装置は、当該端末から取得された前記パーミッション情報に基づいて、プログラムから傍受できない当該端末におけるパスワードの入力方法を選択する端末。
13. コンピュータによって実行され、前記コンピュータを請求項１から１０のいずれか一項に記載の情報処理装置として機能させるためのプログラム。
14. パスワードを端末に送信する情報処理装置による方法であって、
    パスワード送信要求を受信する要求受信段階と、
    端末の状態を取得する状態取得段階と、
    取得された状態に基づいて、パスワードの送信先の端末、端末との間の通信方法、および、端末におけるパスワードの入力方法の少なくとも１つを選択する選択段階と、
    を備え、
    前記状態取得段階では、端末に搭載されたプログラムを識別するプログラム識別情報と、候補となる通信方法または入力方法を端末に搭載されたプログラムが傍受することが許可されているか否かを示すパーミッション情報とを含む前記状態を取得し、
    前記選択段階では、端末から取得された前記パーミッション情報に基づいて、プログラムから傍受できない当該端末との間の通信方法および当該端末におけるパスワードの入力方法の少なくとも一方を選択する方法。

Images