JP6279348B2 - ウェブ中継サーバ装置、及びウェブページ閲覧システム - Google Patents

Description

本発明は、利用者端末装置からウェブページを閲覧する際に利用されるウェブ中継サーバ装置及びウェブページ閲覧システムに関し、特にウェブページを閲覧する際のセキュリティを向上させる技術に関する。

近年、インターネットを利用したショッピング、ネットバンキングなどがその利便性により、広く普及している。しかしながら、例えば、ネットバンキングでは、銀行のウェブサイトにログインするためのパスワードや取引に必要な情報などを利用者から騙し取るウィルスが出回っている。ウィルスへの感染は、攻撃者が用意したウェブサイトやウィルスに感染したウェブサイトなどの特定のウェブページを閲覧することでも起こる。例えば、攻撃者は当該特定のウェブページのＵＲＬ（Uniform Resource Locator）を記載した電子メールを送りつけ、利用者は当該ＵＲＬをクリックすることにより当該特定のウェブページに誘導されてしまう。

利用者がこうした危険なウェブサイトにアクセスすることを防止する、或いは安全なウェブサイトにのみアクセスを許可する方法として、ホワイトリストやブラックリストを用いる方式がある。ホワイトリストは警戒する必要のないウェブサイト又はウェブページの一覧表であり、ホワイトリスト方式はホワイトリストに登録されたウェブページのみにアクセスを可能とする（特許文献１）。ブラックリストは有害なウェブサイト又はウェブページの一覧表であり、ブラックリスト方式はブラックリストに登録されたウェブページへのアクセスを制限する（特許文献２）。従来は、ホワイトリスト、ブラックリストのいずれかを用いて、利用者によるウェブページの閲覧を制御して安全を確保している。

特開２０１１−０１３７０７号公報 特開２００７−２２６６０８号公報

例えば、ホワイトリスト方式の場合、一度安全だと評価されてホワイトリストに登録されたウェブページがその登録後、悪意のある第三者により改ざんされ、利用者がそれを知らずにアクセスしてしまう危険がある。同様のことはブラックリスト方式にも言える。また、不正改ざん等により、どのウェブサイトが危険であるかは日常的に変化し、また増加しているおそれがあり、ブラックリストに登録されていないウェブサイトであっても必ずしも安全であるとは言えない。

本発明は、上記課題に鑑み、利用者がウェブページを閲覧する際の安全性を向上させるウェブ中継サーバ装置及びウェブページ閲覧システムを提供することを目的とする。

（１）本発明に係るウェブ中継サーバ装置は、利用者端末装置がウェブサーバ上のウェブページを閲覧する際に用いられるものであって、前記ウェブページの閲覧対象としての安全性に関する評価情報を取得し、予め定めた判定基準を用い前記評価情報に基づいて前記ウェブページのうち安全ウェブページと危険ウェブページとを判定する判定手段と、前記安全ウェブページを登録されるホワイトリストと、前記危険ウェブページを登録されるブラックリストとを格納する記憶手段と、前記利用者端末装置から前記ウェブページへのアクセス要求に対する許否を制御するアクセス制御手段と、を有し、前記アクセス制御手段は、前記ホワイトリストに登録されており、かつ前記ブラックリストに登録されていない前記ウェブページへの前記アクセス要求に対してアクセス許可を与える。

（２）上記（１）に記載するウェブ中継サーバ装置の好適な態様では、前記評価情報は、前記ウェブページの電子証明書の有無又は当該電子証明書の信頼性に関する情報を含み、前記判定基準は、前記電子証明書を有すること、又は前記電子証明書の信頼性が予め定めた要件を満たすことを前記安全ウェブページの要件として含む。

（３）上記（２）に記載するウェブ中継サーバ装置の好適な態様では、前記評価情報は、前記ウェブページからダウンロードされる要警戒ソフトウェアの有無又はマルウェアの有無に関する情報を含み、前記判定基準は、前記要警戒ソフトウェアが無いこと、又は前記マルウェアが無いことを前記安全ウェブページの要件として含む。

（４）上記（１）から（３）に記載するウェブ中継サーバ装置において、前記記憶手段は、前記ブラックリストとして予め作成された初期ブラックリストを格納され、前記判定手段は、新たに判定した前記危険ウェブページを前記ブラックリストに追加する構成とすることができる。

（５）上記（１）から（４）に記載するウェブ中継サーバ装置の好適な態様では、前記判定手段は、前記ウェブページのうち前記安全ウェブページ及び前記危険ウェブページのいずれの要件を満たさないものを注意ウェブページと判定し、前記記憶手段は、前記注意ウェブページを登録されるグレーリストをさらに格納し、前記判定手段は、前記グレーリストに登録されている前記ウェブページへの前記アクセス要求があった場合に、当該ウェブページについて再判定を行い、前記アクセス制御手段は、前記アクセス要求に係る前記ウェブページが前記注意ウェブページである場合には当該アクセス要求を拒否し、一方、前記再判定により前記安全ウェブページと判定された場合には当該アクセス要求を許可する。

（６）上記（５）に記載するウェブ中継サーバ装置の好適な態様では、前記判定基準は複数の評価項目からなり、前記グレーリストは、前記評価項目のうち前記注意ウェブページが前記安全ウェブページとして不適格となった欠格項目を記録し、前記判定手段は、前記ホワイトリスト、前記グレーリスト及び前記ブラックリストのいずれにも登録されていない前記ウェブページへの前記アクセス要求があった場合には前記評価項目の全てについて適格であれば当該ウェブページを前記安全ウェブページと判定し、一方、前記再判定に際しては前記欠格項目のみについて行い、前記欠格項目の全てが適格であれば前記安全ウェブページと判定し、前記アクセス制御手段は、前記安全ウェブページへの前記アクセス要求を許可する。

（７）上記（５）に記載するウェブ中継サーバ装置の好適な態様では、前記判定手段は、前記ホワイトリスト及び前記グレーリストに登録された前記ウェブページについて周期的に再判定を行い、前記グレーリストに登録された前記ウェブページの前記再判定の周期は、前記ホワイトリストに登録された前記ウェブページの前記再判定の周期より長い。

（８）上記（７）に記載するウェブ中継サーバ装置の好適な態様では、前記判定基準は複数の評価項目からなり、前記グレーリストは、前記評価項目のうち前記注意ウェブページが前記安全ウェブページとして不適格となった欠格項目を記録し、前記判定手段は、前記グレーリストに登録された前記ウェブページについて、前記欠格項目を当該欠格項目以外の前記評価項目より長い周期で前記再判定を行う。

（９）上記（５）から（８）に記載するウェブ中継サーバ装置の好適な態様では、前記判定手段は、前記グレーリストに登録された前記ウェブページが前記再判定により前記安全ウェブページと判定された場合、当該ウェブページを前記グレーリストから前記ホワイトリストに移す。

（１０）本発明に係るウェブページ閲覧システムは、利用者端末装置が上記（１）から（９）のいずれか１つに記載のウェブ中継サーバ装置を介してウェブサーバ上のウェブページを閲覧するシステムであり、前記利用者端末装置は、第１のオペレーティングシステムを格納した第１プログラム格納部と、前記第１のオペレーティングシステムとは排他的に動作する第２のオペレーティングシステムと、当該第２のオペレーティングシステム上で動作し、かつ接続先を前記ウェブ中継サーバ装置に固定された接続ソフトウェアとを格納した第２プログラム格納部と、を有し、前記第１のオペレーティングシステムと前記第２のオペレーティングシステムとを選択的に起動でき、前記第２プログラム格納部は読み出し専用記憶媒体からなる。

（１１）上記（１０）に記載するウェブページ閲覧システムの好適な態様では、前記第２プログラム格納部は、前記利用者端末装置に装着されて当該利用者端末装置の一部として機能する可搬記憶媒体に設けられ、前記利用者端末装置は前記可搬記憶媒体を装着されると前記第２のオペレーティングシステムで動作する。

本発明によれば、利用者がウェブページを閲覧する際に、ウィルス感染などの被害を受けることが防止され安全性が向上する。

本発明の実施形態に係るウェブページ閲覧システム２の概略の構成図である。 ウェブサイト評価機能の概略の動作を説明するフロー図である。 証明書チェック処理の概略のフロー図である。 マルウェアチェック処理の概略のフロー図である。 ウェブ中継サーバと接続されたときの利用者端末装置における専用ウェブブラウザの表示画面の一例を示す模式図である。 ウェブページの検索結果の例を示す表示画面の模式図である。

以下、本発明の実施の形態（以下実施形態という）であるウェブページ閲覧システム２について、図面に基づいて説明する。

図１は、実施形態に係るウェブページ閲覧システム２の概略の構成図である。ウェブページ閲覧システム２は、それぞれコンピュータネットワーク４に接続された利用者端末装置６及びウェブ中継サーバ８（ウェブ中継サーバ装置）を含んで構成され、例えば、ユーザがインターネット上にてネットバンキングなどの目的サイト１０ａなどのウェブサイト１０（ウェブサーバ）にアクセスする際の安全性を向上させる。

コンピュータネットワーク４はインターネットを含んで構成され、当該インターネット上には利用者端末装置６、ウェブ中継サーバ８、及び目的サイト１０ａを含むウェブサイト１０が存在する。利用者端末装置６はユーザがコンピュータネットワーク４にアクセスする際に使用するパソコンなどのコンピュータである。ウェブ中継サーバ８はユーザが利用者端末装置６によりウェブサイト１０にアクセスする際に、利用者端末装置６とウェブサイト１０との間の接続を中継するコンピュータである。ウェブ中継サーバ８は、例えば、ネットワークセキュリティサービスを提供する事業者の施設に設置され、当該事業者により管理される。

利用者端末装置６はパソコンなどのコンピュータシステムであり、メインユニット２０とこれに接続される周辺機器とからなる。メインユニット２０はコンピュータとしての基本機能を備え、それ自体が利用者端末装置６となる。図１では利用者端末装置６がメインユニット２０と可搬記憶媒体２２とからなる構成を示している。可搬記憶媒体２２はメインユニット２０に脱着自在であり、例えば、メインユニット２０にＵＳＢ接続可能な小型のスティック形状のもの、或いはＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等とすることができる。

メインユニット２０は処理部３０及び記憶部３２を有する。処理部３０はプログラムを実行して各種の機能を提供する装置であり、例えば、ＣＰＵ(Central Processing Unit)３４及びメインメモリ３６を含んで構成される。メインメモリ３６はＲＡＭ（Random Access Memory）等の揮発性メモリからなる。記憶部３２は、処理部３０にて実行される各種プログラムや処理部３０での処理にて使用されるデータを記憶する記憶装置であり、例えば、いわゆる補助記憶装置が記憶部３２に該当する。メインユニット２０は記憶部３２として、例えばハードディスクドライブなどのリードライト可能な記憶装置を有する。本実施形態では、記憶部３２の一部の記憶領域が汎用オペレーティングシステム（ＯＳ）４０を格納するプログラム格納部３８（第１プログラム格納部）を構成する。

可搬記憶媒体２２はプログラム格納部６０（第２プログラム格納部）、電子証明書６２を含む。プログラム格納部６０は処理部３０にて実行されるプログラムとして、専用ＯＳ７０及び専用ウェブブラウザプログラム７２を格納している。

電子証明書６２はウェブ中継サーバ８におけるユーザ認証に用いられる。

第１のオペレーティングシステムである汎用ＯＳ４０と第２のオペレーティングシステムである専用ＯＳ７０とは排他的に動作する。すなわち、処理部３０は汎用ＯＳ４０と専用ＯＳ７０とのいずれかを選択的に読み込んで実行する。具体的には、処理部３０のＢＩＯＳ（Basic Input/Output System）は可搬記憶媒体２２がメインユニット２０に接続されていない場合には、汎用ＯＳ４０を読み込んで利用者端末装置６を起動させ、可搬記憶媒体２２がメインユニット２０に接続されている場合には、専用ＯＳ７０を読み込んで利用者端末装置６を起動させる。

汎用ＯＳ４０は利用者端末装置６を汎用とする。ユーザは通常はメインユニット２０に可搬記憶媒体２２を接続しないことにより、利用者端末装置６で様々な処理を行うことができる。一方、専用ＯＳ７０はウェブサイト１０の閲覧時に起動され、利用者端末装置６の機能を制限する。例えば、専用ＯＳは通常の使用においてはメインユニット２０の記憶部３２へのアクセスができないように作られている。

記憶部３２は２つのＯＳのうち汎用ＯＳのみにより管理される。つまり記憶部３２は汎用ＯＳの下で、専用ＯＳから独立した記憶手段として機能する。具体的には、既に述べたように専用ＯＳがメインユニット２０の記憶部３２にアクセスできないように作られている。

専用ウェブブラウザプログラム７２は専用ＯＳ上で動作し、かつウェブサイト１０へのアクセスに際してウェブ中継サーバ８との通信を確立する接続ソフトウェアである。専用ウェブブラウザプログラム７２は起動されると、例えば、ウェブ中継サーバ８とＶＰＮ（Virtual Private Network）接続し、ユーザが指定する任意のＵＲＬをウェブ中継サーバ８へ送る。

例えば、プログラム格納部６０はマスクＲＯＭ（Read Only Memory）などの読み出し専用記憶媒体で構成される。これにより、専用ＯＳ７０や専用ウェブブラウザプログラム７２の改ざんなどを防止することができる。また、プログラム格納部６０の格納内容をＡＥＳ方式などの暗号化により保護することもでき、好適にはプログラム格納部６０は読み出し専用記憶媒体で構成し、かつ暗号化を施すのがよい。

或いは、プログラム格納部６０は、特定の条件下でのみ書き換え可能なメモリで構成するようにしてもよい。例えば、専用の書き込みソフトウェアにてパスワードを掛けて書き込み禁止保護を行い、所定の管理権限を有するもののみに書き換えを制限するようにすることも可能である。

電子証明書６２はユーザごとに内容が異なるため、コスト抑制の観点からは書き換え可能な不揮発性メモリに格納することができる。その際、セキュリティを確保するため、電子証明書６２は二重暗号化などを施して格納する。なお、電子証明書６２を読み出し専用記憶媒体に格納してもよい。

なお、利用者端末装置６は汎用ＯＳのみで動作し専用ＯＳに切り換えられないものであってもよい。この場合には、例えば、汎用ＯＳ上にて上述した専用ウェブブラウザプログラム７２を実行させ、必ずウェブ中継サーバ８を介してウェブサイト１０へアクセスするように利用者端末装置６を構成することができる。

ウェブ中継サーバ８は、ユーザ管理機能８０、リモート接続機能８２、ウェブサイト評価機能８４、ＵＲＬフィルタ８６、記憶部８８及びアラート機能８９を有する。ユーザ管理機能８０、リモート接続機能８２、ウェブサイト評価機能８４及びＵＲＬフィルタ８６は例えば、記憶部８８に記憶されたプログラムをウェブ中継サーバ８のＣＰＵで実行することにより実現される。記憶部８８は各種プログラムの他、ウェブ中継サーバ８を利用する利用者端末装置６のユーザ情報９０を記憶する。また記憶部８８にはホワイトリスト９２及びブラックリスト９４が格納され、さらに本実施形態では記憶部８８はグレーリスト９６を格納する。

ユーザ管理機能８０はウェブ中継サーバ８の管理者が利用ユーザのユーザ情報９０の登録や削除、及びログ管理等を行うための機能である。

ウェブ中継サーバ８はコンピュータネットワーク４を介して利用者端末装置６及びウェブサイト１０と接続し、利用者端末装置６とウェブサイト１０との間の通信を可能とする通信手段を有する。リモート接続機能８２及びＵＲＬフィルタ８６は当該通信手段の一部をなす。このうち、リモート接続機能８２は、利用者端末装置６からの接続要求に対して認証を行った上で接続を許可する。具体的には、利用者端末装置６において専用のОＳが起動すると自動或いはユーザ操作により専用ウェブブラウザが起動され、電子証明書６２を用いてウェブ中継サーバ８にログインする。これにより、利用者端末装置６とウェブ中継サーバ８との間は、例えばＳＳＬ−ＶＰＮ（Secure Socket Layer Virtual Private Network ）で接続される。

ウェブサイト評価機能８４は、ウェブページの閲覧対象としての安全性に関する評価情報を取得し、当該評価情報に基づいて、予め定めた判定基準を用いウェブページのうち安全ウェブページと危険ウェブページとを判定する判定手段である。また、本実施形態では、ウェブサイト評価機能８４は、ウェブページのうち安全ウェブページ及び危険ウェブページのいずれの要件を満たさないものを注意ウェブページと判定する。

ホワイトリスト９２は、利用者端末装置６のユーザに対し有害でないと判断される安全ウェブページを登録される。例えば、ホワイトリスト９２はウェブサイト評価機能８４により安全ウェブページと判定されたウェブページを記憶する。また、ウェブ中継サーバ８の管理者がホワイトリスト９２に安全ウェブページを登録することもできる。

ブラックリスト９４は利用者端末装置６のユーザに対し有害であると判断される危険ウェブページを登録される。例えば、ブラックリスト９４はウェブサイト評価機能８４により危険ウェブページと判定されたウェブページを記憶する。また、ウェブ中継サーバ８の管理者がウェブサイトの安全性を監視する所定機関などから入手した危険ウェブページの情報に基づいて、初期ブラックリストをブラックリスト９４に登録し、これにウェブサイト評価機能８４により得られる危険ウェブページを順次追加してもよい。初期ブラックリストは、ブラックリストの中でも最も危険度の高いウェブページと位置付け、所定機関などから定期的に最新情報を入手し更新する。

グレーリスト９６はウェブサイト評価機能８４により注意ウェブページと判定されたウェブページを登録される。

ＵＲＬフィルタ８６は、利用者端末装置６からＵＲＬを指定されたウェブページへの接続を許可するか否かを制御するアクセス制御手段である。ＵＲＬフィルタ８６は、ウェブサイト評価機能８４の出力や記憶部８８に格納されたホワイトリスト９２及びブラックリスト９４、又はさらにグレーリスト９６に基づいて、ウェブページへのアクセス要求に対してアクセス許可を与える。これにより、利用者端末装置６からのアクセス要求に対して、フィッシングサイトなどではなく安全なサイトであることが確認され、例えば、ネットバンキングを利用しようとするユーザに対して金融機関の正規のサイトにしかアクセスできないように利用者端末装置６の接続先をコントロールする。

アラート機能８９は、ウェブページの評価により、ブラックリストまたはグレーリストに登録された際に、所定の通知先へ電子メール等で通知する機能を有する。所定の通知先は、例えばブラックリストに登録されたウェブページの管理者等であり、当該管理者にウェブページが危険である可能性がある旨の通知を行うことができる。通知の有無は、ウェブページの属性に応じて限定するようにしてもよく、例えば、ショッピング等の特定目的のサイトに限定することができる。また、通知内容は適宜カスタマイズ可能であり、例えばブラック判定された項目のみ通知する、或いは評価結果の詳細まで通知するなどができる。

なお、ウェブ中継サーバ８の機能は必ずしも単一のコンピュータにより実現されるものでなくてもよく、例えば、コンピュータネットワーク４上に分散する複数のコンピュータにより実現されるものであってもよい。例えば、ウェブ中継サーバ８のうちウェブサイト評価機能８４を別のコンピュータに設けてもよい。

次に、ウェブサイト評価機能８４の動作、並びにホワイトリスト９２、ブラックリスト９４及びグレーリスト９６の登録方法について説明する。

図２はウェブサイト評価機能８４の概略の動作を説明するフロー図である。ウェブ中継サーバ８は、或る程度の量のウェブアクセスログを評価対象の母集団として、当該ログにアクセスが記録された各ウェブページを図２に示す処理に従って評価して、ホワイトリスト９２、ブラックリスト９４及びグレーリスト９６への登録を行う。

ウェブサイト評価機能８４は、検査対象のウェブサイト／ウェブページが、管理者が所定機関から取得し入力した最も危険性の高い既知の危険ウェブサイト情報のファイル（初期ブラックリスト）に含まれているか否か検索する（ステップＳ１００）。検査対象のウェブページが当該ファイルに存在する場合（ステップＳ１００にて「Ｙｅｓ」の場合）は、当該ウェブページをブラックリスト９４に登録する（ステップＳ６００）。

一方、当該ファイルに存在しない場合（ステップＳ１００にて「Ｎｏ」の場合）は、ウェブサイト評価機能８４は証明書チェック処理Ｓ２００、マルウェアチェック処理Ｓ３００を順次行う。

証明書チェック処理Ｓ２００及びマルウェアチェック処理Ｓ３００のいずれかにてブラック判定がなされた場合には（ステップＳ４００にて「Ｙｅｓ」の場合）、検査対象ウェブページを危険ウェブページと判定してブラックリスト９４に登録する（Ｓ６００）。

また、証明書チェック処理Ｓ２００及びマルウェアチェック処理Ｓ３００の評価結果がいずれもブラック判定ではなく（Ｓ４００にて「Ｎｏ」の場合）、両方ともホワイト判定であった場合には（ステップＳ５００にて「Ｙｅｓ」の場合）、検査対象ウェブページを安全ウェブページと判定してホワイトリスト９２に登録する（ステップＳ７００）。

一方、両方ともブラック判定ではないが（Ｓ４００にて「Ｎｏ」の場合）、いずれかがホワイト判定ではない、つまりグレー判定が存在する場合には（Ｓ５００にて「Ｎｏ」の場合）、検査対象ウェブページを注意ウェブページと判定してグレーリスト９６に登録する（ステップＳ８００）。

ここで、ウェブサイト評価機能８４は、証明書チェック処理Ｓ２００及びマルウェアチェック処理Ｓ３００における複数の評価項目のうち注意ウェブページと判定される要因となったもの、つまり安全ウェブページとして不適格となった欠格項目をグレーリスト９６に記録する。また、ホワイト判定に複数の判定レベルを設ける場合には、当該判定レベルをウェブページと関連付けてホワイトリスト９２等に記録する。

図３は証明書チェック処理Ｓ２００の概略のフロー図である。既に述べたように、ウェブサイト評価機能８４はウェブページの閲覧対象としての安全性に関する評価情報を取得し、予め定めた判定基準を用い評価情報に基づいてウェブページが安全ウェブページ、危険ウェブページ及び注意ウェブページのいずれであるかを判定する。電子証明書に関する評価情報は、ウェブページの電子証明書の有無又は当該電子証明書の信頼性に関する情報を含む。ウェブサイト評価機能８４は電子証明書に関して複数の評価項目からなる判定基準を有し、当該判定基準は例えば、電子証明書を有すること、又は電子証明書の信頼性が予め定めた要件を満たすことを安全ウェブページの要件として含む。図３に示す証明書チェック処理Ｓ２００は評価項目として電子証明書の有無（ステップＳ２０１）の他、電子証明書の信頼性に関する項目である、電子証明書の失効（ステップＳ２０３）、電子証明書の有効期限（ステップＳ２０５）、及び電子証明書の発行元の信頼性（ステップＳ２０７）を含む。

ウェブサイト評価機能８４はステップＳ２０１にて、検査対象のウェブサイトが電子証明書を有しているか否かを判定し、有していない場合には（Ｓ２０１にて「Ｎｏ」の場合）、この評価項目についてホワイト判定とする（ステップＳ２０２）。ここで電子証明書を有していない場合にホワイト判定を行うのは、電子証明書を持っていなくても安全であるサイトが多いためである。但し、安全度の評価は低いため、ここではホワイト判定の判定レベルは「低」とする。

電子証明書を有している場合には（Ｓ２０１にて「Ｙｅｓ」の場合）、ウェブサイト評価機能８４は電子証明書が失効しているか否か判定する（Ｓ２０３）。ここで電子証明書の失効は、電子証明書の所有者が認証局に申請することにより生じる。例えば電子証明書の所有者は、自分の秘密鍵を紛失したり盗まれたりして、その秘密鍵が悪意のあるハッカーの手に渡ってしまった場合などに失効を申請する。認証局は失効させた電子証明書のリストを定期的に発行する。ウェブサイト評価機能８４はこの情報を取得して失効の有無を判定することができる。失効している場合は（Ｓ２０３にて「Ｙｅｓ」の場合）、ウェブサイト評価機能８４はこの評価項目についてブラック判定とする（ステップＳ２０４）。

電子証明書が失効していない場合には（Ｓ２０３にて「Ｎｏ」の場合）、ウェブサイト評価機能８４は電子証明書の有効期限が残っている否かを判定する（Ｓ２０５）。有効期限が切れている場合は（Ｓ２０５にて「Ｎｏ」の場合）、ウェブサイト評価機能８４はこの評価項目についてグレー判定とする（ステップＳ２０６）。

有効期限が残っている場合には（Ｓ２０５にて「Ｙｅｓ」の場合）、ウェブサイト評価機能８４は電子証明書の発行元の信頼性が高いか否か判定する（Ｓ２０７）。ここで、電子証明書の信頼性が高いか否かは、信頼できる機関が発行している否かに基づく。電子証明書は階層構造になっており、例えば、信頼できる所定の認定機関の認定を受けて運営される上位認証局（ルート認証局）により発行された電子証明書を含む場合は信頼性が高いと言えるが、逆にそのような電子証明書を含まない場合は、電子証明書があっても信頼性が低いものとなる。例えば、ウェブサイト評価機能８４は、例えば管理者により記憶部８８に格納された発行元の信頼度に関する情報のファイルを参照して、検査対象のウェブページの電子証明書の発行元の信頼度を評価する。信頼度が予め定めた基準未満である場合は（Ｓ２０７にて「Ｎｏ」の場合）、安全度の判定レベルが「中」のホワイト判定とし（ステップＳ２０８）、信頼度が基準以上である場合は（Ｓ２０７にて「Ｙｅｓ」の場合）、安全度の判定レベルが「高」のホワイト判定とする（ステップＳ２０９）。

図４はマルウェアチェック処理Ｓ３００の概略のフロー図である。ウェブサイト評価機能８４はウェブページからダウンロードされるソフトウェアに関して複数の評価項目からなる判定基準を有する。マルウェアチェック処理Ｓ３００に関する評価情報は、ウェブページからダウンロードされる要警戒ソフトウェアの有無又はマルウェアの有無に関する情報を含み、ウェブサイト評価機能８４における判定基準は例えば、要警戒ソフトウェアが無いこと、又はマルウェアが無いことを安全ウェブページの要件として含む。

マルウェアチェック処理Ｓ３００により、検査対象ウェブページ自身にマルウェアが存在し、当該ウェブページを閲覧するとウィルス感染してしまう危険性や、検査対象ウェブページが改ざんされており、当該ウェブページに設定されたリンク先をクリックすることで別の外部ウェブサイト（いわゆる、マルウェアが存在する攻撃サイト）へ飛ばされ、ウィルス感染してしまう危険性に対するチェックが行われる。

ここでマルウェアは不正かつ有害な動作を行う意図で作成された悪意のあるソフトウェアや悪質なコードを意味する。例えば、マルウェアには、コンピュータウィルス、ワーム、トロイの木馬、フィッシング、バックドアなどが含まれる。マルウェアに感染すると、例えばパソコン内の情報、ユーザのキー入力情報が盗まれたり、フィッシング詐欺ページに移動させる等の被害がユーザにもたらされる。

要警戒ソフトウェアはマルウェアに類似する動作やパターンを有するが有害とまでは言えないものを意味する。例えば、要警戒ソフトウェアとして、ウィルス対策ソフトのパターンファイルや検知ロジックにより、マルウェアとして誤検知されてしまうプログラムが存在する。例えば、スパイウェアや、アドウェアなどが要警戒ソフトウェアに該当する。スパイウェアは例えば、ユーザが閲覧したホームページの履歴などの情報を、プログラムの提供元に送信する。また、アドウェアとはパソコン上で、宣伝や広告を目的とした様々な動作を行う。これらは、必ずしも有害とは限らない。

ウェブサイト評価機能８４はステップＳ３０１にて、検査対象ウェブページにてマルウェアが検知されるか否かを判定し、検知された場合には（Ｓ３０１にて「Ｙｅｓ」の場合）、この評価項目についてブラック判定とする（ステップＳ３０２）。

マルウェアが検知されない場合には（Ｓ３０１にて「Ｎｏ」の場合）、ウェブサイト評価機能８４は検査対象ウェブページにて要警戒ソフトウェアが検知されるか否か判定する（Ｓ３０３）。要警戒ソフトウェアが検知された場合は（Ｓ３０３にて「Ｙｅｓ」の場合）、ウェブサイト評価機能８４はこの評価項目についてグレー判定とし（ステップＳ３０４）、検知されない場合は（Ｓ３０３にて「Ｎｏ」の場合）、ウェブサイト評価機能８４はこの評価項目についてホワイト判定とする（ステップＳ３０５）。

次に、利用者端末装置６からウェブページへのアクセスする際の動作について説明する。既に述べたように利用者端末装置６とウェブ中継サーバ８とはＶＰＮ接続等で接続される。図５はウェブ中継サーバ８と接続されたときの利用者端末装置６における専用ウェブブラウザの表示画面の一例を示す模式図である。表示画面１００にはホワイトリスト９２に登録され、かつブラックリスト９４に登録されていないウェブサイト、ウェブページをホワイトリスト一覧１０２として表示することができ、利用者端末装置６のユーザは当該一覧１０２に表示されたサイト／ページの項目をクリックすることでアクセス要求を行うことができる。ＵＲＬフィルタ８６は一覧１０２に表示されたウェブページに対するアクセス要求に対してアクセス許可を与え、利用者端末装置６は当該ウェブページにアクセスすることができる。

表示画面１００にはキーワード入力欄１０４が設けられ、ユーザはキーワード入力欄１０４にキーワードを入力して検索エンジンによるウェブページの検索結果を得ることができる。図６は当該検索結果の例を示す表示画面１００ａの模式図である。表示画面１００ａには、検索条件にヒットしたウェブページの一覧１１０の例として「検索結果１」〜「検索結果５」が示されている。ウェブサイト評価機能８４は検索されたウェブページのうち既に評価済みのものについてはその安全性の評価結果１１２を併せて表示する。例えば、ホワイトリスト９２に登録されているものについては安全ウェブページを意味する「安全」を表示し、ブラックリスト９４に登録されているものについては危険ウェブページを意味する「危険」を表示し、グレーリスト９６に登録されているものについては注意ウェブページを意味する「注意」を表示する。さらにホワイトリスト９２に登録されたウェブページについては、上述した安全度の判定レベルに応じて表示を変えることができる。具体的には、信頼性の高いウェブページはより安心してユーザがアクセスできるように強調表示する。当該表示に基づいて、ユーザは安心して外部ウェブサイトへのアクセスが可能となる。

まだ評価をしていないウェブページ「検索結果３」については例えば「診断」ボタン１１４を表示し、ユーザが当該ボタン１１４をクリックするとウェブサイト評価機能８４は当該ウェブページが安全ウェブページ、注意ウェブページ、危険ウェブページのいずれであるかを判定し、その判定結果を安全性の評価結果１１２として表示画面１００ａに表示する。また、ユーザが診断を実行せずに表示項目「検索結果３」をクリックしてアクセス要求をした場合も、ウェブサイト評価機能８４は同様の判定を行い判定結果を表示画面１００ａに表示し、ＵＲＬフィルタ８６は当該判定結果に基づいてアクセス要求に対する許否を決定する。

例えば、判定結果が安全ウェブページであれば当該ウェブページはホワイトリスト９２に登録され、また判定結果が危険ウェブページであれば当該ウェブページはブラックリスト９４に登録され、ＵＲＬフィルタ８６は、ホワイトリスト９２に登録されており、かつブラックリスト９４に登録されていないウェブページへのアクセス要求に対してはアクセス許可を与える。

アクセス要求されたウェブページに対する判定結果が注意ウェブページである場合には、当該ウェブページはグレーリスト９６に登録されると共に、ＵＲＬフィルタ８６は当該アクセス要求を拒否する。

一方、過去の判定結果によりグレーリスト９６に登録されているウェブページについては、その後、安全ウェブページになっている可能性もある。そこで、グレーリスト９６に登録されているウェブページへのアクセス要求があった場合には、ウェブサイト評価機能８４は当該ウェブページについて再判定を行い、再判定により安全ウェブページと判定された場合にはＵＲＬフィルタ８６は当該アクセス要求を許可する。また、この場合には、当該ウェブページをグレーリスト９６から削除して、ホワイトリスト９２に登録してもよい。

このグレーリスト９６に登録されているウェブページについての再判定において、ウェブサイト評価機能８４は、グレーリスト９６に記録されている各注意ウェブページの欠格項目のみについて評価を行い、欠格項目の全てが適格であれば安全ウェブページと判定してもよい。例えば、電子証明書の有効期限の評価項目（Ｓ２０５）のみがグレー判定（Ｓ２０６）であった場合は、電子証明書の期限のみ確認し、期限が有効になっていればアクセス可能とする。これにより再判定に要する時間が短縮され、ユーザは快適にウェブページにアクセスすることができる。

次に、ホワイトリスト９２、グレーリスト９６の更新処理について説明する。ウェブサイト評価機能８４は、ホワイトリスト９２及びグレーリスト９６に登録されたウェブページについて周期的に再判定を行い、その判定結果に基づいて当該ウェブページが登録されるリストを変更することができる。

ここで、例えば、グレーリスト９６に登録されたウェブページの再判定の周期は、ホワイトリスト９２に登録されたウェブページの再判定の周期より長くすることで、ウェブ中継サーバ８の処理負荷が軽減される。またホワイトリスト９２に登録されたウェブページについてはグレーリスト９６に登録されたウェブページよりも速やかに更新がなされる。ホワイトリスト９２に登録されたウェブページについて安全性の変化が生じる場合には、当該ウェブページが注意ウェブページや危険ウェブページになる場合が含まれ、この変化を迅速に検出しホワイトリスト９２から当該ウェブページを削除することで、ホワイトリスト９２を用いたアクセス制御の安全性が担保される。

ホワイトリスト９２の更新処理においては、ウェブページの安全度の判定レベルに応じて再判定の周期を変えてもよい。例えば、判定レベルが高いほど再判定の周期を長くすることができる。これによりウェブ中継サーバ８の評価負荷を低減するとともに、信頼度が低いウェブページについては比較的頻繁に安全度の評価を行うことでホワイトリスト９２の安全性が保てる。

また、グレーリスト９６の更新処理においても、上述したユーザからのアクセス要求に対する再判定と同様、グレーリスト９６に記録されている欠格項目のみについて評価を行い、欠格項目の全てが適格であれば安全ウェブページと判定してもよい。

また、ウェブサイト評価機能８４はグレーリスト９６の更新処理において、全ての評価項目を評価し直すものの、欠格項目を当該欠格項目以外の評価項目より長い周期で再判定してもよい。これにより、ウェブ中継サーバ８の処理負荷を軽減することが可能である。また欠格項目ではなかった評価項目が欠格項目になったことを迅速に検出することができるのでアクセス制御の安全性が担保される。

上述したウェブページ閲覧システム２では、専用ウェブブラウザの接続先のＵＲＬはウェブ中継サーバ８に固定されており、他のサイトには直接はアクセスできず、また、ウェブ中継サーバ８は利用者端末装置６からのアクセス要求先が安全と判断した場合にアクセスを許可するので、ユーザは安全なウェブページの閲覧が可能である。

また、専用ＯＳはメインユニット２０の記憶部３２にアクセスしないので、仮に記憶部３２にウィルスが潜んでいても、当該ウィルスによる攻撃を受けない。この効果は、プログラム格納部６０を読み出し専用記憶媒体で構成すること、またプログラム格納部６０を暗号化することにより一層確実とすることができる。

また、上述の実施形態ではプログラム格納部６０及び電子証明書６２は可搬記憶媒体２２に設ける構成を説明したが、それらの一部又は全部はメインユニット２０内に格納してもよい。

また、上述の実施形態では利用者端末装置６は１つの処理部３０を備えた一体の装置としたが、利用者端末装置６はそれぞれ処理部３０を有した複数のコンピュータで構成することもできる。例えば、上述の実施形態の利用者端末装置６の構成を２台のコンピュータ（利用者端末装置）に分散させる場合、一方の利用者端末装置に専用ＯＳ７０及び専用ウェブブラウザプログラム７２を含むプログラム格納部６０、並びに電子証明書６２を設け、他方の利用者端末装置に汎用ＯＳ４０を含むプログラム格納部３８、並びに記憶部３２を設ける構成としてもよい。

専用ＯＳで動作する利用者端末装置６からウェブ中継サーバ８へのログインの認証は電子証明書６２以外の手段で行ってもよい。

上述のようにＵＲＬフィルタ８６においてホワイトリスト９２とブラックリスト９４とは併用される。ここで、電子証明書の認証局が攻撃者に乗っ取られ、偽の電子証明書を発行する事例が存在する。したがって電子証明書の有無だけから安全なウェブサイトであるか信用するのは危険である。このような犯罪情報は所定機関等から得ることができ、これをブラックリスト９４として登録しておく。そしてホワイトリスト９２とブラックリスト９４とを併用することで、上記のような事例に対処することができる。

２ ウェブページ閲覧システム、４ コンピュータネットワーク、６ 利用者端末装置、８ ウェブ中継サーバ、１０ ウェブサイト、２０ メインユニット、２２ 可搬記憶媒体、３０ 処理部、３２，８８ 記憶部、３４ ＣＰＵ、３６ メインメモリ、３８，６０ プログラム格納部、４０ 汎用ＯＳ、６２ 電子証明書６２、７０ 専用ＯＳ、７２ 専用ウェブブラウザプログラム、８０ ユーザ管理機能、８２ リモート接続機能、８４ ウェブサイト評価機能、８６ ＵＲＬフィルタ、８９ アラート機能、９０ ユーザ情報、９２ ホワイトリスト、９４ ブラックリスト、９６ グレーリスト。

Claims (10)

1. 利用者端末装置がウェブサーバ上のウェブページを閲覧する際に用いられるウェブ中継サーバ装置であって、
   前記ウェブページの閲覧対象としての安全性に関する評価情報を取得し、予め定めた判定基準を用い前記評価情報に基づいて前記ウェブページのうち安全ウェブページと危険ウェブページとを判定し、さらに前記ウェブページのうち前記安全ウェブページ及び前記危険ウェブページのいずれの要件を満たさないものを注意ウェブページと判定する判定手段と、
   前記安全ウェブページを登録されるホワイトリストと、前記危険ウェブページを登録されるブラックリストと、前記注意ウェブページを登録されるグレーリストとを格納する記憶手段と、
   前記利用者端末装置から前記ウェブページへのアクセス要求に対する許否を制御するアクセス制御手段と、を有し、
   前記判定手段は、前記グレーリストに登録されている前記ウェブページへの前記アクセス要求があった場合に、当該ウェブページについて再判定を行い、
   前記アクセス制御手段は、前記ホワイトリストに登録されており、かつ前記ブラックリストに登録されていない前記ウェブページへのアクセス要求と、前記再判定により前記安全ウェブページと判定された前記ウェブページへのアクセス要求とに対してアクセス許可を与えること、
   を特徴とするウェブ中継サーバ装置。
2. 請求項１に記載のウェブ中継サーバ装置において、
   前記評価情報は、前記ウェブページの電子証明書の有無又は当該電子証明書の信頼性に関する情報を含み、
   前記判定基準は、前記電子証明書を有すること、又は前記電子証明書の信頼性が予め定めた要件を満たすことを前記安全ウェブページの要件として含むこと、
   を特徴とするウェブ中継サーバ装置。
3. 請求項２に記載のウェブ中継サーバ装置において、
   前記評価情報は、前記ウェブページからダウンロードされる要警戒ソフトウェアの有無又はマルウェアの有無に関する情報を含み、
   前記判定基準は、前記要警戒ソフトウェアが無いこと、又は前記マルウェアが無いことを前記安全ウェブページの要件として含むこと、
   を特徴とするウェブ中継サーバ装置。
4. 請求項１から請求項３のいずれか１つに記載のウェブ中継サーバ装置において、
   前記記憶手段は、前記ブラックリストとして予め作成された初期ブラックリストを格納され、
   前記判定手段は、新たに判定した前記危険ウェブページを前記ブラックリストに追加すること、
   を特徴とするウェブ中継サーバ装置。
5. 請求項１に記載のウェブ中継サーバ装置において、
   前記判定基準は複数の評価項目からなり、
   前記グレーリストは、前記評価項目のうち前記注意ウェブページが前記安全ウェブページとして不適格となった欠格項目を記録し、
   前記判定手段は、前記ホワイトリスト、前記グレーリスト及び前記ブラックリストのいずれにも登録されていない前記ウェブページへの前記アクセス要求があった場合には前記評価項目の全てについて適格であれば当該ウェブページを前記安全ウェブページと判定し、一方、前記再判定に際しては前記欠格項目のみについて行い、前記欠格項目の全てが適格であれば前記安全ウェブページと判定し、
   前記アクセス制御手段は、前記安全ウェブページへの前記アクセス要求を許可すること、
   を特徴とするウェブ中継サーバ装置。
6. 請求項１に記載のウェブ中継サーバ装置において、
   前記判定手段は、前記ホワイトリスト及び前記グレーリストに登録された前記ウェブページについて周期的に再判定を行い、
   前記グレーリストに登録された前記ウェブページの前記再判定の周期は、前記ホワイトリストに登録された前記ウェブページの前記再判定の周期より長いこと、
   を特徴とするウェブ中継サーバ装置。
7. 請求項６に記載のウェブ中継サーバ装置において、
   前記判定基準は複数の評価項目からなり、
   前記グレーリストは、前記評価項目のうち前記注意ウェブページが前記安全ウェブページとして不適格となった欠格項目を記録し、
   前記判定手段は、前記グレーリストに登録された前記ウェブページについて、前記欠格項目を当該欠格項目以外の前記評価項目より長い周期で前記再判定を行うこと、
   を特徴とするウェブ中継サーバ装置。
8. 請求項１から請求項７のいずれか１つに記載のウェブ中継サーバ装置において、
   前記判定手段は、前記グレーリストに登録された前記ウェブページが前記再判定により前記安全ウェブページと判定された場合、当該ウェブページを前記グレーリストから前記ホワイトリストに移すこと、を特徴とするウェブ中継サーバ装置。
9. 利用者端末装置が請求項１から請求項８のいずれか１つに記載のウェブ中継サーバ装置を介してウェブサーバ上のウェブページを閲覧するウェブページ閲覧システムにおいて、
   前記利用者端末装置は、
   第１のオペレーティングシステムを格納した第１プログラム格納部と、
   前記第１のオペレーティングシステムとは排他的に動作する第２のオペレーティングシステムと、当該第２のオペレーティングシステム上で動作し、かつ前記ウェブページへのアクセスに際して前記ウェブ中継サーバ装置との通信を確立する接続ソフトウェアとを格納した第２プログラム格納部と、
   を有し、前記第１のオペレーティングシステムと前記第２のオペレーティングシステムとを選択的に起動でき、
   前記第２プログラム格納部は読み出し専用記憶媒体からなること、
   を特徴とするウェブページ閲覧システム。
10. 請求項９に記載のウェブページ閲覧システムにおいて、
    前記第２プログラム格納部は、前記利用者端末装置に装着されて当該利用者端末装置の一部として機能する可搬記憶媒体に設けられ、
    前記利用者端末装置は前記可搬記憶媒体を装着されると前記第２のオペレーティングシステムで動作すること、
    を特徴とするウェブページ閲覧システム。

Images