JP6061122B2 - 静的パスワードシステムの２ファクタ認証になる変換 - Google Patents

Description

本発明は２ファクタ認証に関し、特に、本発明は静的パスワードシステム上で２ファクタ認証を実現するためのシステム及び方法に関する。

現代の電子的世界において、識別を達成する正当とされる手段は、主に、「あなたが知る何か」（例えばパスワード、ＰＩＮ番号、その他）、「あなたが有する何か」（例えばトークン、アクセスカード、その他）または「あなたである何か」（例えば指紋、虹彩走査およびその他）のような、所定のファクタに基づく。ファクタの妥当性を検査する評価プロセスは、一般に認証として知られる。例えば、アリスとボブがデートに行くことになった場合、彼らは以下によって互いを識別することができる：ｉ）会う時間と場所を知る（第１のファクタ認証）、ｉｉ）彼らが運転している自動車のナンバープレートを識別する（第２のファクタ認証）、およびｉｉｉ）挨拶の際にお互いの顔と声を認識する（第３のファクタ認証）。当然、この種の認証プロセスは意図的にかつ厳密になされて実施されないであろうが、彼らが会うたびに潜在意識でなされる。それにもかかわらず、ボブが会う時間を忘れたが、なお同じ自動車を運転したならば、アリスはあたかもボブが異なる自動車を運転していたか、または更に悪いことに、ボブが違って見えたかのようには疑わないであろう。

違う認証ファクタの組合せは、識別される人が正確に認証される、より強い可能性に寄与する。例えば、システムがユーザに識別されるべき秘密のパスワード（１ファクタ認証）を提示することだけを要求し、一方、別のシステムがユーザに秘密のパスワードおよび一意のトークンから生成される動的パスワードの両方（２ファクタ認証または２ＦＡ）を提示することを要求するならば、後者のシステムがユーザを認証する際により安全なシステムとしてみなされる。ユーザの識別を確認する１ファクタ認証だけを実施するシステムに対するフィッシングおよびファーミングのような、多くの成功した攻撃があり、この種の攻撃は増えることになる。

それでも１ファクタ認証上で動作するシステムは２ＦＡを実現するシステムをはるかに凌駕する。２ＦＡは、最も一般的には金融機関等によって適応される。１ファクタ認証が２ＦＡに比べてより好適である無数の理由がある。理由は、コスト実現可能性、システム実現可能性、プロトコル互換性およびユーザ制御性を含む。

ＲＳＡ、ＶＡＳＣＯ、ＤＳ３およびその他のような、多くの２ＦＡ解決策がすでに商業上存在する。それは、それらのユーザに対する２ファクタ認証を達成するために、それらのバックエンドシステムで統合されることができる。２ＦＡ解決策を統合することは、主要アップグレードまたは既存のシステムを必要とする。したがって、２ＦＡを既存のシステム全体に配備して維持するコストは、導き出される恩恵を上回るかもしれない。それは、この種の実現から組織を思いとどまらせる主因になる。

組織がそれらの応用システムを制限のなくおよび最新に保つよう努めるとはいえ、組織の制御が変更するかまたは再構成することを越えているいくつかのレガシー用途または専用のシステムが必然的にある。組織が適所にエンタープライズにわたる２ＦＡ解決策を有するとしても、この種のシステムは付加されたセキュリティを利用することが可能でない。

２ＦＡの使用と両立しない複数のパスワードプロトコルがある。たとえば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓアクティブディレクトリを含む多くのシステムによって広く使われているＫｅｒｂｅｒｏｓ、世界中のシステムの大多数のエンタープライズバックボーンが、２ＦＡと互換性がない。ユーザーログイン段階中に、Ｋｅｒｂｅｒｏｓネットワーク認証プロトコルはＫｅｒｂｅｒｏｓサーバとの鍵交換の一部として静的パスワードを操作する必要がある。ユーザが静的パスワードおよび動的パスワードをバックエンド認証サーバに伝送するために与えなければならない時、このプロトコルは２ＦＡ解決策でうまく機能しない。

動的パスワードを別に処理するためにＷｉｎｄｏｗｓジーナログインプロセスを変更することを必要とする、利用可能な複数の回避方法があるが、これらの回避方法は配備するのにわずらわしくて維持するのにはより困難でさえある。

今までのところ、２ＦＡの実現はシステム所有者の特権に任せられる。システム所有者がユーザアカウントをプロテクトするために２ＦＡを実現しないほうを選択するならば、ユーザはより複雑なパスワードを選びログインするのに信頼されたマシンだけを用いる他にすることができることはあまりない。

これはインターネット上で非常に明らかであり、インターネットの大多数およびＧＭａｉｌ、ＭＳＮ、Ｙａｈｏｏ、Ｆａｃｅｂｏｏｋ、ＭａｐｌｅＳｔｏｒｙ、その他のようなウェブ２．０サービスがユーザからの高い要求にもかかわらず２ＦＡを提供しない。２ＦＡが彼らのアカウントをプロテクトすることを望むユーザは、単にシステム所有者に左右される。

本発明は、既存のシステムを変更する必要なしに、ユーザに静的パスワードおよび動的パスワードの両方を提示することを要求する、強力な２ファクタ認証を強制するために、静的パスワード認証または第１ファクタ認証を実施する任意のシステムを変換するためのシステムおよびプロセスを提供する。

本発明の一態様において、静的パスワード認証または１ファクタ認証を実施する既存のシステム上で２ファクタ認証または複数ファクタ認証を実現するための一システムが、提供される。このシステムは、ユーザのトークンデータを用いて、第２の認証ファクタを生成するように使用可能なトークンマネージャを備え、パスワードマネージャが既存のシステムにアクセス可能であり、パスワードマネージャは、第１の認証ファクタおよび第２の認証ファクタに基づいて新規な認証コードを形成するように使用可能であり、第１の認証ファクタはそれに対してアクセスするための既存のシステム上に登録される認証されたコードであり、パスワードマネージャは既存のシステム上に現在登録される新規な認証コードで第１の認証ファクタを置換する。

一実施態様において、第２の認証ファクタの生成および新規な認証コードによる第１の認証ファクタの置換が、定義済み間隔で循環的に実行される。

別の実施態様において、トークンマネージャが第１の認証ファクタに基づいて第２の認証ファクタを生成する。更なる実施態様において、第１の認証ファクタが静的パスワードを備えることができ、第２の認証ファクタが動的パスワードを備える。

さらにもう１つの実施態様において、パスワードマネージャがパスワード変更操作経由で新規な認証コードで第１の認証ファクタを置換する。パスワードマネージャがパスワード設定／再設定操作経由で新規な認証コードで第１の認証ファクタを置換することもまた、可能である。

更なる実施態様において、システムが既存のシステムから遠隔で存在する。システムが既存のシステム上に存在することもまた可能である。さらに、パスワードマネージャが既存のシステム上に存在することができる時、トークンマネージャが既存のシステムから遠隔で存在することができる。

その上更なる実施態様において、システムがソフトウェアモジュールまたはハードウェアモジュールまたは両方の組合せであることができる。

本発明の別の態様に従って、静的パスワード認証または１ファクタ認証を実施する既存のシステム上で２ファクタ認証または複数ファクタ認証を実現する一方法が、提供される。この方法が、モジュールを配備するステップと、既存のシステムを通してユーザのトークンデータを用いて、第２の認証ファクタを生成するステップと、第１の認証ファクタおよび第２の認証ファクタに基づいて新規な認証コードを形成するステップであって、第１の認証ファクタがそれに対してアクセスするために既存のシステム上に登録される認証されたコードであるステップと、既存のシステム上で新規な認証コードで第１の認証ファクタを置換して、それによって、既存のシステムにアクセスするための認証が、新規な認証コードに基づくステップと、を含む。

一実施態様において、第２の認証ファクタを生成してかつ新規な認証コードで認証されたコードを置換するステップが、所定の間隔で循環的に実行される。

一実施態様において、第１の認証ファクタが静的パスワードを備え、第２の認証ファクタが動的パスワードを備える。第２の認証ファクタが第１の認証ファクタに基づいて生成されることが可能である。

別の実施態様において、新規な認証コードで第１の認証ファクタを置換するステップが、既存のシステム上で登録されたパスワードを変更するステップを含む。新規な認証コードで第１の認証ファクタを置換するステップが、既存のシステム上で登録されたパスワードを設定する／再設定するステップを含むこともまた可能である。

更なる実施態様において、モジュールが既存のシステムから遠隔で存在するように配備される。モジュールが既存のシステム上に存在するように配備されることもまた可能である。

さらに、モジュールがソフトウェアモジュールまたはハードウェアモジュールまたは両方の組合せであることができる。

本発明に従う好ましい実施態様が、次に図を参照して記載され、そこにおいて、同様な参照番号は同様な要素を意味する。

本発明の一実施態様に従う２ファクタ認証システムのブロック機能図である。 本発明の別の実施態様に従う２ファクタ認証システムのブロック機能図である。 本発明の別の実施態様に従う２ファクタ認証システムのブロック機能図である。 本発明の別の実施態様に従う２ファクタ認証システムのブロック機能図である。 本発明の別の実施態様に従う２ファクタ認証システムのブロック機能図である。 本発明の別の実施態様に従う２ファクタ認証システムのブロック機能図である。 本発明の別の実施態様に従う２ファクタ認証システムのブロック機能図である。

上記の概要に基づいて、複数の特定のおよび代替の実施態様の以下の記述が、本発明の創意に富んだ機能を理解するために提供される。しかしながら、本発明がこの種の具体的な詳細なしで実践されることができることは当業者にとって明らかである。いくつかの詳細は、本発明を不明瞭にしないために詳細に記載されないかもしれない。参照の容易さのために、図に共通している同じまたは類似した特徴を参照する時、共通の参照番号が図の全体にわたって用いられる。

２ファクタ認証（２ＦＡ）をサポートする、確立されたシステム、典型的に１ファクタ認証システム上で実行可能な一解決策を提供することが本発明の一目的である。確立された１ファクタ認証システム上の２ＦＡの実現が既存のシステム上の任意の変更を必要とすることが、求められる。本発明は、静的パスワード認証または第１ファクタ認証を実施する既存のシステムを２ＦＡシステムに変換するためのシステム及び方法を提供する。一実施態様において、変換されたシステムは、既存のシステムを変更する必要なしに、ユーザに認証のための静的パスワードおよび動的パスワードを提示することを要求する。

この記述のために、静的パスワードは認証のために用いられる所定のコードまたはキャラクター列を指す。静的パスワードは、アクセスされるべき既存のシステムで一般に記憶される第１の認証ファクタである。それがユーザの要求によって変更されるまで、静的パスワードは全ての時間の間概ね固定される。動的パスワードは、他方では、規定されたアルゴリズムに基づいて生成される第２の認証ファクタを指す。

図１は、本発明の一実施態様に従う２ＦＡシステム１００の機能図である。２ＦＡシステム１００は、一般に２つのパーティー：フロントエンドのユーザ１１０およびバックエンドシステム１２０を備える。説明を簡単にするため、フロントエンドのユーザ１１０はまた、ユーザ１１０と称され、バックエンドシステム１２０はまた、バックエンドシステム１２０と称される。ユーザ即ちフロントエンドのユーザ１１０は、以下に識別コードによって制限されたアクセス資源にアクセスするために合法の権利を与える任意の人と称する。バックエンドシステム１２０は、バックエンドモジュール１２１および既存のシステム１２５を含む。バックエンドモジュール１２１は既存のシステム１２５にアクセスすることが可能であり、かつ既存のシステム１２５に対してインソースまたはアウトソースで与えられる。既存のシステム１２５は、１ファクタまたは静的パスワード認証システムである。ログインプロセスの前に、ユーザ１１０はユーザ動的パスワードを得るためのトークンを与えられる。

トークンが、ハードウェア装置、装置上で動作するソフトウェアモジュール、ＳＭＳ、電子メールおよびその他のような任意の利用可能な手段経由で伝送されるメッセージの形、またはスクラッチカードもしくは一連のパスワードを含有する任意の物理媒体でさえあることができる。典型的に、トークンを通して与えられる動的パスワードは、所定の間隔または任意の所定の条件で変化する擬似乱数であるワンタイムパスワード（ＯＴＰ）である。これらの条件は、特定の時間または間隔でユーザに特有であることができる。当業者は、トークンが２ＦＡまたは複数ファクタ認証のために広く使われているということを認識し、したがって、説明を簡単にするため詳細はこれにより提供されない。

操作上、バックエンドシステム１２０の側で、定期的プリセット間隔で、バックエンドモジュール１２１がステップ１２２で動的パスワードを計算する。一旦動的パスワードが生成されると、バックエンドモジュールは「パスワード変更」動作を実行して、既存のシステム１２５上に登録される現在登録されたパスワードを、ステップ１２４で、定義済み形式で、静的パスワードおよびモジュール式動的パスワードを備える新規なパスワードに変更する。パスワード変更動作は、ユーザが任意の１ファクタ認証システム上で登録されたパスワードを自発的に変更することを可能にする典型的機能である。ステップ１２６で、新規なパスワードが次のユーザのログインを待っている既存のシステム１２６上で登録されている。新規なパスワードが、バックエンドモジュールで更に記録され、それで、以降の新規なパスワードが以前に得られた新規なパスワードに基づいて得られることができる。既存のシステム１２５上に静的パスワードおよび動的パスワードを備える新規なパスワードの定期的変更および更新によって、既存のシステム１２５上に登録されるパスワードが２つ以上の認可ファクタを備えるので、既存のシステム１２５はよりよくプロテクトされることができる。

ユーザ１１０の静的パスワードは、既存のシステム１２５で登録される記録されたパスワードである。ユーザ１１０は、１ファクタ認可に基づく既存のシステム１２５にアクセスするために静的パスワードをおそらく用いる。静的パスワードは、また、新規なパスワードを生成するためにバックエンドモジュール１２１によって事前記録されなければならない。ユーザ１１０が静的パスワードを自発的に変更する場合には、バックエンドモジュール１２１はこの新規な静的パスワードで更新される必要がある。

新規なパスワードの定義済み形式は、静的パスワードおよび動的パスワード両方の、たとえば連結された形の、任意の組合せであることができる。セキュリティを改善するために、新規なパスワードが更にエンコードされることができる。

ユーザ１１０の側で、ユーザ１１０はステップ１１２で既存のシステム１２５にログオンすることを要求する。ユーザ１１０は、次いでステップ１１４で既存のシステム１２５にアクセスするユーザ１１０のための静的パスワードを思い出してステップ１１６でトークンを通して動的パスワードを得る。一旦静的パスワードおよび動的パスワードがステップ１１８でユーザ１１０に利用可能になると、２つのパスワードは、所定の方法で、例えば、既存のシステム１２５上に記録される新規なパスワードに対して確認するために、連結されて、組み合わせられて既存のシステム１２５に与えられる。

トークンを通して得られる動的パスワードは、バックエンドモジュール１２１によって生成される動的パスワードに同じであるかまたは対応する。同様に、ユーザ１１０から組み合わせられたパスワードの所定の方法が、また、既存のシステム１２５上に登録される新規なパスワードに同じかまたは対応する。したがって、ユーザ１１０の側から伝送される組み合わせられたパスワードが、認証のために既存のシステム１２５に登録される新規なパスワードに対して確認される。パスワードの検証および認証が１ファクタまたは静的パスワード認証経由で既存のシステム１２５で実行される点に留意する必要がある。したがって、２ＦＡがバックエンドモジュール１２１を通して既存のシステム１２５上で実現され、およびそれによって、既存のシステム１２５のセキュリティを有意に改善する。

バックエンドモジュール１２１は、既存のシステム１２５に適応される１ファクタ認証システムから独立に機能するアドオンアプリケーションまたはシステムである。それは、既存のシステム１２５を変更する必要性を伴わずに１ファクタ認証システムに第２のファクタまたはより多くのファクタを自動的に含む。また、既存のシステム１２５によって適応されるプロトコルに何の変更も修正もない。

一実施態様において、静的パスワードが認証のための第２の（またはより多くの）ファクタとの連結のために引き出すことができるように、静的パスワードがバックエンドモジュール１２１で記憶される。

本発明が１ファクタ認可を適応する、もし全てでなければ大部分の既存のシステムに適用できることは、当業者によく理解されている。認可を２つ以上のファクタ認可に拡張するために既存のシステム上に配備されることができるモジュールが設けられ、それによって、アクセスのセキュリティを向上する。典型的に、ユーザは、インターネットのような通信網を介してパーソナルコンピュータ、携帯電話、その他のような電子手段経由でシステムにアクセスする。

図２は、本発明の別の実施態様に従う２ＦＡシステム２００の機能図である。２ＦＡシステム２００は、ユーザ２１０およびバックエンドシステム２２０を備える。バックエンドシステム２２０は、バックエンドモジュール２２１および既存のシステム２２５を備える。操作上、定期的プリセット間隔で、バックエンドモジュール２２１はステップ２２２で動的パスワードを計算する。動的パスワードは、次いで新規なパスワードを形成するために登録された静的パスワードと連結される。ステップ２２４で、新規なパスワードが既存のシステム２２５にアクセスするための認可されたパスワードとして設定／再設定されている。概ね、この種の動作（すなわち、パスワードを設定／再設定する）は新規なパスワードを設定するために管理者特権を要求し、それは、図１内に例示される「パスワード変更」動作と異なる。したがって、ステップ２２６で、ユーザ２１０から伝送される連結されたパスワードが、認証のためにバックエンドモジュール２２１によって設定される新規なパスワードに対して確認される。

ユーザ２１０の側で、ユーザ２１０はトークンを与えられる。ステップ２１２で、ユーザ２１０は、既存のシステム２２５にログオンすることを要求する。ステップ２１４で、ユーザ２１０は静的パスワードを思い出し、ステップ２１６で、ユーザは動的パスワードを生成するためにトークンを起動する。ステップ２１８で、静的パスワードおよび動的パスワードを備える新規なパスワードが形成されて既存のシステム２２５に与えられることができる。したがって、既存のシステム２２５は既存のシステム２２５上に現在登録される連結されたパスワードに対してユーザ２１０からの新規なパスワードを確認することができる。

バックエンドモジュール２２１が、既存のシステム２２５上に登録される記録されたパスワードを元の静的パスワードおよび生成されたパスワードを備える新規なパスワードに変更して更新するように与えられることは、当業者に理解されている。上述した実施態様は、認証のための第２のファクタ（すなわち動的パスワード）を含み、それによって、１ファクタ認証システム上で２ＦＡをシミュレートするように、既存のシステム２２５上に登録されるパスワードを変更することによって既存の１ファクタ認証システム上で２ＦＡを達成する。

この記述のために、動作「パスワード変更」および「パスワード設定／再設定」は既存のシステム２２５にアクセスする特権によって主に異なる。上述のごとく大部分のシステムでは、一般ユーザは彼らのパスワードを自発的に変更するユーザ権利を与えられる。パスワード変更動作を実行するために、ユーザは既存のシステム２２５上に現在登録されるパスワードを入力する必要がある。他方では、パスワード設定／再設定動作は既存のシステム２２５の管理者によって一般に使用可能であり、それによってこの種の動作を実行するために管理者特権が必要である。管理者特権の下では、典型的に、既存のシステム２２５上に登録されるパスワードがどんなパスワードであるか知らずに変更されることができる。それゆえに、１ファクタ認証システム上の２ＦＡの実現がそれに対して第２の認証ファクタを含むものとの登録されたパスワードの定期的な置換を必要とすることを認識することが重要である。したがって、２ＦＡまたは複数ファクタ認証はシステムおよび／またはそれに対して適応されるプロトコル上の任意の主要アップグレードまたは変更を伴わずに任意の既存のシステム上に実現されることができる。

図３は、本発明のさらにもう１つの実施態様に従う２ＦＡシステム３００の機能図である。２ＦＡシステム３００は、ユーザ３１０およびバックエンドシステム３２０を備える。バックエンドシステム３２０は、バックエンドモジュール３２１および既存のシステム３２５を備える。操作上、定期的プリセット間隔で、バックエンドシステム３２０上に存在するバックエンドモジュール３２１がステップ３２２で動的パスワードを計算する。ステップ３２４で、バックエンドモジュール３２１は記録上の現在のパスワードを提供することによってバックエンドモジュール３２１によって生成される動的パスワードに記録上の現在のパスワードを変更するために「パスワード変更」動作を実行する。従って、既存のシステム３２５はユーザ３１０が動的パスワードでログオンするのを待つ。同様に、動的パスワードを生成しかつ記録上のパスワードを変更する動作は所定の期間／間隔で循環的に実施される。

ユーザ３１０の側で、ユーザ３１０はトークンを与えられる。ステップ３１２で、ユーザ３１０は、既存のシステム３２５にログインすることを要求する。ステップ３１４で、ユーザ３１０はトークンに静的パスワードを入力する。ステップ３１６で、トークンは動的パスワードを出力する。動的パスワードは、次いで認証のためにステップ３１８でバックエンドシステム３２０に与えられる。一致した動的パスワードを出力したユーザ３１０に、既存のシステム３２５へのアクセスが可能にされる。

ステップ３２２に戻って参照して、バックエンドモジュールはバックエンドシステム３２０上に登録される静的パスワードに基づいて動的パスワードを計算することができる。ユーザＩＤが確認される限り、バックエンドモジュールが任意の静的パスワードを伴わずに動的パスワードを計算することもまた可能である。この場合、動的パスワードが第２の認証ファクタとしてみなされるのに対して、トークンに対する静的パスワードの入力は、第１の認証ファクタとしてみなされることができる。

本実施態様において、動的パスワードだけが既存のシステム３２５で認証のために用いられるとはいえ、別の認証ファクタが動的パスワードを生成するために必要とされ、したがって、２ＦＡがまた、実現される。

図４は、本発明のさらにもう１つの実施態様に従う２ＦＡシステム４００の機能図である。２ＦＡシステム４００は、ユーザ４１０およびバックエンドシステム４２０を備える。バックエンドシステム４２０はまた、バックエンドモジュール４２１および既存のシステム４２５を備える。操作上、定期的プリセット間隔で、バックエンドモジュール４２１はステップ４２２で動的パスワードを計算する。ステップ４２４で、「パスワード変更」動作がステップ４２４で既存のパスワードを連結されたパスワードに変更するためにバックエンドモジュール４２１によって実施される。動的パスワードが生成された（ステップ４２２）後で生じるステップ４２６で、動的パスワードが必要に応じて遠隔でユーザ４１０に伝送される。従って、既存のシステム４２５はユーザ４１０がログオンするのを待つ。

ユーザ４１０の側で、ユーザは動的パスワードを受け取るために携帯電話番号または電子メールアドレスまたは任意のメッセージ送信ＩＤのような予め指定された手段を提供される。動的パスワードがステップ４２６で伝送された時、動的パスワードは遠隔で予め指定された手段経由でユーザ４１０に与えられる。ユーザ４１０は任意の利用可能なサービス経由で動的パスワードを得ることが可能であり、例えば、生成された動的パスワードはＳＭＳまたは電子メールまたはオンラインメッセージ送信経由でバックエンドモジュール４２１からユーザ４１０まで伝送されることができる。ユーザ４１０は、既存のシステム４２５上のパスワードが変更される時点で、ステップ４１６でバックエンドモジュール４２１から動的パスワードを受け取る。ログインするために、ユーザ４１０は、ステップ４１４で既存のシステム４２５で以前に登録された静的パスワードを思い出しおよびステップ４１８で受け取られる動的パスワードと連結する。連結されたパスワードは、次いでステップ４２８で認証のために既存のシステム４２１に与えられる。

上記の実施態様に示すように、２ＦＡまたは複数ファクタ認可が、既存のシステムの既存のインフラおよびプロトコルを修正するかまたは変更することを必要とすることなくモジュールを配備すること経由で１ファクタ認可または静的パスワード認可システム上で実現されることができる。モジュールは、トークンマネージャおよびパスワードマネージャを備える。トークンマネージャは、ユーザのトークンデータを用いて、動的パスワードを生成するために用意される。トークンマネージャは、生成される動的パスワードが最新でかつ同期していることを確実にするように適応される。認証が必要とされる時、パスワードマネージャは既存のパスワードを取り出して新規なパスワードに置換するように適応される。パスワード置換は、パスワード変更動作またはパスワード設定／再設定動作経由で実施されることができる。配備のタイプに従い、パスワードマネージャは元のパスワードを記憶する／復元することを必要とすることができる。配備のタイプは局部配備または遠隔配備のどちらかであることができる。

図５は、本発明の一実施態様に従う２ＦＡ配備５００のブロック図を例示する。２ＦＡ配備５００はユーザ５２０がそれに対してアクセスすることを可能にするターゲットシステム５１０上に実現される。ターゲットシステム５１０は、静的パスワードまたは１ファクタ認可を適応するシステムである。バックエンドモジュール５３０は、２ＦＡを実現してかつシミュレートするためにターゲットシステム５１０にアクセス可能な遠隔システムで配備される。遠隔システムは、２ＦＡシステムを実現するための外部サービスプロバイダであることができる。バックエンドモジュール５３０は、「パスワード変更」動作経由で２ＦＡを実現するように適応される。この場合、ユーザはその上に設けられるトークンマネジメントサービスを通して直接遠隔システムにアクセスすることによって彼ら自身の動的トークンを管理することができる。この実施態様は、インターネットおよび、ＧＭａｉｌのような、ウェブ２．０でホストをつとめられるシステムにとって望ましい。

図６は、本発明の代替実施態様に従う２ＦＡ配備６００のブロック図を例示する。２ＦＡ配備６００は、２ＦＡ配備６００のバックエンドモジュール６３０がターゲットシステム６１０に統合されている点を除いて、図５の２ＦＡ配備５００と類似した方法でユーザ６２０がそれに対してアクセスすることを可能にするターゲットシステム６１０上に実現される。統合された２ＦＡ配備６００は、よりよい性能およびより少ない処理オーバーヘッドである。２ＦＡ配備６００は、限定されないが、ターゲットシステム６１０自体、たとえば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓアクティブディレクトリ、の上に完全制御を有するエンタープライズに適切である。ユーザのための同様なもののトークン管理は、管理者にたぶん信頼できる。

さらに本発明の更なる実施態様において、図７で示す２ＦＡ配備７００が、提供される。２ＦＡ配備７００は局所的に統合されるバックエンドモジュールのパスワードマネージャ７４０を有することによってターゲットシステム７１０上に実現されるが、バックエンドモジュールのトークンマネージャ７３０は遠隔でまたは外部的に存在する。ユーザ７２０がログインすることを要求する時、パスワードマネージャ７４０は更新されたパスワードをユーザ７２０に得させるためにトークンマネージャに接続するように使用可能である。新規なパスワードが、ユーザ７２０を認証するために生成される。同様に、パスワードマネージャ７４０は認証のための新規なパスワードに現在の登録されたパスワードを置換するために「パスワード変更」を実施することができる。この配備７００は、それに対して２ファクタ認証を実現することを必要とする複数のターゲットシステムを有するエンタープライズに適している。

アドオンモジュールの変形例は、ターゲットシステム内にパスワード変更コンポーネントを保つ一方、ターゲットシステムの外側にトークン管理を設置することである。定期的間隔で、パスワード変更コンポーネントはユーザに対する更新されたパスワードを得てかつユーザに対するパスワードを設定するためにトークン管理サービスに接続する。この種の設定は複数のターゲットシステムがあるエンタープライズに適している。

本発明は、１ファクタ認証システムを２ＦＡシステムに変換するのに適している。本発明が、上記の実施態様のいずれかに関する何の変更もないかまたは軽微な変更で、（確立された２ＦＡシステムを含む）任意の既存のシステムを複数ファクタ認証システムに変えることが可能であることは、しかしながら当業者に理解されている。

特定の実施態様が図と共に説明されたとはいえ、それの多くの変更、修正、変形および組合せが本発明の範囲内において、本発明になされることができると理解される。

４０ パスワードマネージャ
１００ ２ＦＡシステム
１１０ ユーザ
１２０ バックエンドシステム
１２１ バックエンドモジュール
１２５ 既存のシステム
２００ ２ＦＡシステム
２１０ ユーザ
２２０ バックエンドシステム
２２１ バックエンドモジュール
２２５ 既存のシステム
３００ ２ＦＡシステム
３１０ ユーザ
３２０ バックエンドシステム
３２１ バックエンドモジュール
３２５ 既存のシステム
４００ ２ＦＡシステム
４１０ ユーザ
４２０ バックエンドシステム
４２１ バックエンドモジュール
４２５ 既存のシステム
５００ ２ＦＡ配備
５１０ ターゲットシステム
５２０ ユーザ
５３０ バックエンドモジュール
６００ ２ＦＡ配備
６１０ ターゲットシステム
６２０ ユーザ
６３０ バックエンドモジュール
７００ ２ＦＡ配備
７１０ ターゲットシステム
７２０ ユーザ
７３０ トークンマネージャ
７４０ パスワードマネージャ

Claims (18)

1. 静的パスワード認証または１ファクタ認証を実施する既存のシステム上に、２ファクタ認証または複数ファクタ認証を実現するためのシステムであって、前記システムが、
   ユーザのトークンデータを用いて、第２の認証ファクタを生成するように動作可能なトークンマネージャと、
   前記既存のシステムにアクセス可能であって、前記既存のシステム上に登録された静的パスワードまたは認証されたコード（第１の認証ファクタ）、および前記トークンマネージャにより生成される動的パスワード（第２の認証ファクタ）に基づく新規な認証コードを形成し、且つ、前記既存のシステム上において、パスワード変更操作経由で前記新規な認証コードによって第１の認証ファクタを置換するように動作可能なパスワードマネージャと、
   前記トークンマネージャおよびパスワードマネージャを含み、パスワード変更動作を実行するために既存のシステムにアクセス可能なバックエンドモジュールと、を備え、
   前記既存のシステムを、変更する必要なしに、静的パスワードおよび動的パスワードの両方を提示することを要求する２ファクタ認証を強制するように変換することを特徴とするシステム。
2. 前記第２の認証ファクタの生成および前記新規な認証コードによる第１の認証ファクタの置換が、所定の間隔で循環的に実行される、ことを特徴とする請求項１に記載のシステム。
3. 前記新規な認証コードが、前記第１の認証ファクタおよび前記第２の認証ファクタを備える、ことを特徴とする請求項１に記載のシステム。
4. 前記第１の認証ファクタが静的パスワードを備え、および、前記第２の認証ファクタが動的パスワードを備える、ことを特徴とする請求項１に記載のシステム。
5. 前記パスワードマネージャが、パスワード変更動作経由で前記新規な認証コードによって前記第１の認証ファクタを置換する、ことを特徴とする請求項１に記載のシステム。
6. 前記パスワードマネージャが、パスワード設定／再設定動作経由で前記新規な認証コードによって前記第１の認証ファクタを置換する、ことを特徴とする請求項１に記載のシステム。
7. 前記バックエンドモジュールが、前記既存のシステムから遠隔に存在する、ことを特徴とする請求項１に記載のシステム。
8. 前記バックエンドモジュールが、前記既存のシステム上に存在する、ことを特徴とする請求項１に記載のシステム。
9. 前記トークンマネージャが、前記既存のシステムから遠隔に存在し、および、前記パスワードマネージャが、前記既存のシステム上に存在する、ことを特徴とする請求項１に記載のシステム。
10. 前記バックエンドモジュールが、ソフトウェアモジュールである、ことを特徴とする請求項１に記載のシステム
11. 前記バックエンドモジュールが、ハードウェアモジュールである、ことを特徴とする請求項１に記載のシステム。
12. 静的パスワード認証または１ファクタ認証を実施する既存のシステム上で、２ファクタ認証または複数ファクタ認証を実現する方法であって、前記方法が、システムにより、
    トークンマネージャとパスワードマネージャを有し、パスワード変更動作を実行するために既存のシステムにアクセス可能なバックエンドモジュールを配備するステップと、
    前記トークンマネージャを介して、前記既存のシステムからユーザのトークンデータを用いて、第２の認証ファクタを生成するステップと、
    前記既存のシステムに登録された第１の認証ファクタ、および前記トークンマネージャにより生成される第２の認証ファクタに基づく新規な認証コードを形成するステップと、
    前記既存のシステム上で、前記新規な認証コードによって静的パスワードまたは認証されたコード（第１の認証ファクタ）を置換するステップと、
    前記パスワードマネージャを介して、前記新規な認証コードを記憶するステップと、
    前記既存のシステムにアクセスするための認証を、前記新規な認証コードに基づくようにするステップと、を含み、
    前記既存のシステムを、変更する必要なしに、静的パスワードおよび動的パスワードの両方を提示することを要求する２ファクタ認証を強制するように変換することを特徴とする方法。
13. 前記第２の認証ファクタを生成するステップと前記新規な認証コードによって既存の認証コードを置換するステップとが、所定の間隔で循環的に実行される、ことを特徴とする請求項１２に記載の方法。
14. 前記第１の認証ファクタが静的パスワードを備え、および、前記第２の認証ファクタが動的パスワードを備える、ことを特徴とする請求項１２に記載の方法。
15. 前記新規な認証コードによって前記第１の認証ファクタを置換するステップが、前記既存のシステム上の登録されたパスワードを変更するステップを含む、ことを特徴とする請求項１２に記載の方法。
16. 前記新規な認証コードによって前記第１の認証ファクタを置換するステップが、前記既存のシステム上の登録されたパスワードを設定／再設定するステップを含む、ことを特徴とする請求項１２に記載の方法。
17. 前記モジュールが、前記既存のシステムから遠隔に存在するように配備される、ことを特徴とする請求項１２に記載の方法。
18. 前記モジュールが、前記既存のシステム上に存在するように配備される、ことを特徴とする請求項１２に記載の方法。