JP7273007B2 - 認証装置、認証方法及び認証プログラム - Google Patents

Description

本発明は、フィッシングによる不正アクセスを防止する認証システムに関する。

従来、第三者による不正アクセスを防止するユーザ認証の仕組みとして、２段階認証が利用されている。２段階認証では、ユーザがアカウントにログインする際に、ＩＤ及びパスワードの入力に加えて、例えば、登録してある電話番号又はメールアドレス等を利用して別の端末に届く通知に対して承認を行う（例えば、セキュリティコードを入力する）ことで、ログインが完了する（例えば、特許文献１参照）。
また、例えば、アクセス元の端末に表示させた二次元バーコードを、登録済みの携帯端末等で読み取ることによりログインを承認する手法も提案されている（例えば、特許文献２参照）。

特開２００７－０５８４６９号公報 特開２０１１－２３８０３６号公報

しかしながら、従来の認証システムにおいて表示されるログイン画面は、スクリーンショット等の画面撮影機能、又はリモートデスクトップ等の画面転送機能により容易にフィッシングサイトが作成される可能性があった。攻撃者は、このフィッシングサイトにより、２段階認証におけるユーザの承認をも実行させ、ユーザに発行された鍵情報を詐取できていた。

本発明は、フィッシングサイトの作成が困難な認証システムを構築できる認証装置、認証方法及び認証プログラムを提供することを目的とする。

本発明に係る認証装置は、第１の端末で動作する第１のアプリケーションからのアクセスに応じて、仮ＩＤを発行し、当該仮ＩＤに対する認証情報を生成する仮ＩＤ発行部と、前記仮ＩＤと紐付けられたデータに変換可能なデータ画像を含み、前記仮ＩＤにコンテンツ保護機能のライセンスを付与した動画を生成する動画生成部と、前記動画を再生するためのログイン画面のデータ及び前記認証情報を、前記第１の端末へ送信する動画送信部と、前記第１の端末から前記認証情報と共に動画再生の要求を受け付けると、当該認証情報に対応する前記仮ＩＤに付与されたライセンス情報を送信するライセンス送信部と、第２の端末で読み取られた前記データ画像を変換したデータ、及び前記第２の端末で動作する認証済みのアプリケーションの鍵情報を受信すると、前記データ画像を変換したデータに紐づけられている前記仮ＩＤ、及び前記鍵情報により示される本ＩＤを対応付けて取得し、当該仮ＩＤを発行した前記第１の端末へ認証完了要求を送信する完了要求送信部と、前記認証完了要求に応じて前記第１の端末から前記ライセンス情報を受信すると、当該ライセンス情報が付与されている前記仮ＩＤに対応付けられている前記本ＩＤに対して、前記第１のアプリケーションの鍵情報を生成し、前記第１の端末へ送信する鍵生成部と、を備える。

前記動画生成部は、再生時間の一部のみに前記データ画像を含む動画を生成してもよい。

前記動画生成部は、フレームの一部の領域に前記データ画像を合成した動画を生成してもよい。

本発明に係る認証方法は、第１の端末で動作する第１のアプリケーションからのアクセスに応じて、仮ＩＤを発行し、当該仮ＩＤに対する認証情報を生成する仮ＩＤ発行ステップと、前記仮ＩＤと紐付けられたデータに変換可能なデータ画像を含み、前記仮ＩＤにコンテンツ保護機能のライセンスを付与した動画を生成する動画生成ステップと、前記動画を再生するためのログイン画面のデータ及び前記認証情報を、前記第１の端末へ送信する動画送信ステップと、前記第１の端末から前記認証情報と共に動画再生の要求を受け付けると、当該認証情報に対応する前記仮ＩＤに付与されたライセンス情報を送信するライセンス送信ステップと、第２の端末で読み取られた前記データ画像を変換したデータ、及び前記第２の端末で動作する認証済みのアプリケーションの鍵情報を受信すると、前記データ画像を変換したデータに紐づけられている前記仮ＩＤ、及び前記鍵情報により示される本ＩＤを対応付けて取得し、当該仮ＩＤを発行した前記第１の端末へ認証完了要求を送信する完了要求送信ステップと、前記認証完了要求に応じて前記第１の端末から前記ライセンス情報を受信すると、当該ライセンス情報が付与されている前記仮ＩＤに対応付けられている前記本ＩＤに対して、前記第１のアプリケーションの鍵情報を生成し、前記第１の端末へ送信する鍵生成ステップと、をコンピュータが実行する。

本発明に係る認証プログラムは、前記認証装置としてコンピュータを機能させるためのものである。

本発明によれば、フィッシングサイトの作成が困難な認証システムを構成できる。

実施形態における認証方法でユーザに提示される画面の遷移を示す図である。 実施形態における認証装置の機能構成を示す図である。 実施形態における認証方法による処理の流れを示すシーケンス図である。

以下、本発明の実施形態の一例について説明する。
本実施形態の認証システムでは、２段階認証において、ログイン画面に表示される二次元バーコード等、所定のデータ列に一意に変換可能なデータ画像を、別端末で動作する認証済みのアプリケーションで撮像することにより読み取らせる。データ画像は、規格化された一次元又は二次元のバーコードには限られず、独自の変換手法によりデータ列を取得可能な画像、あるいは、データ列自体を画像認識により取得可能な画像等であってもよい。以下、一例として、データ画像が二次元バーコードであるとして説明する。
二次元バーコードは、ＤＲＭ（Ｄｉｇｉｔａｌ Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ）でコンテンツ保護された動画により再生されることで、画面撮影又は画面転送によるフィッシングサイトの作成が制限される。

図１は、本実施形態における認証方法でユーザに提示される画面の遷移を示す図である。
パーソナルコンピュータ又はモバイル端末等から認証システムへのアクセスに応じて、ログイン画面に二次元バーコードが動画内に表示される。ログイン画面においては、まず、ユーザのＩＤ及びパスワードの入力による１段階目の認証後に、二次元バーコードを含む動画が配信されてよい。

ユーザは、認証用の端末上の認証済みのアプリケーションを用いて動画に表示された二次元バーコードを読み取り、認証済みの鍵情報と紐づけることで、認証を完了させる。
これにより、ログイン中の端末でログイン画面が更新されると、ログイン完了となる。

図２は、本実施形態における認証装置１の機能構成を示す図である。
認証装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。

制御部１０は、認証装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群を認証装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（認証プログラム）、及びユーザの登録情報等を記憶する。

制御部１０は、仮ＩＤ発行部１１と、動画生成部１２と、動画送信部１３と、ライセンス送信部１４と、完了要求送信部１５と、鍵生成部１６とを備える。

仮ＩＤ発行部１１は、ユーザＸが保持するユーザ端末Ｘ－ＵＥ（第１の端末）で動作するアプリケーションＸ－ＵＥ－Ａ１（第１のアプリケーション）からのアクセスに応じて、仮の識別情報であるＩＤ－Ｔを発行し、このＩＤ－Ｔに対する認証情報を生成する。

動画生成部１２は、ＩＤ－Ｔと紐付けられたデータを表す二次元バーコードを含み、ＩＤ－Ｔにコンテンツ保護機能のライセンスを付与した動画を生成する。
ここで、動画生成部１２は、再生時間の一部のみに二次元バーコードを含む動画を生成してよい。また、二次元バーコードは、動画を構成するフレーム画像の一部の領域に合成されてもよい。

動画送信部１３は、動画生成部１２により生成された動画を再生するためのログイン画面のデータと、仮ＩＤ発行部１１により生成された認証情報を、アクセス元であるユーザ端末Ｘ－ＵＥのアプリケーションＸ－ＵＥ－Ａ１へ送信する。

ライセンス送信部１４は、ユーザ端末Ｘ－ＵＥから認証情報と共に動画再生の要求を受け付けると、この認証情報に対応するＩＤ－Ｔに付与されたライセンス情報をアプリケーションＸ－ＵＥ－Ａ１に送信する。

完了要求送信部１５は、ユーザ端末Ｘ－ＵＥ２（第２の端末）で動作する認証済みのアプリケーションＸ－ＵＥ２－Ａ２で読み取られた二次元バーコードが表すデータ、及びアプリケーションＸ－ＵＥ２－Ａ２の鍵情報を受信すると、二次元バーコードが表すデータに紐づけられているＩＤ－Ｔと、鍵情報により示される本ＩＤであるＸとを対応付けて取得する。そして、完了要求送信部１５は、このＩＤ－Ｔを発行したユーザ端末Ｘ－ＵＥのアプリケーションＸ－ＵＥ－Ａ１へ認証完了要求を送信する。

鍵生成部１６は、認証完了要求に応じてユーザ端末Ｘ－ＵＥのアプリケーションＸ－ＵＥ－Ａ１からライセンス情報を受信すると、このライセンス情報が付与されているＩＤ－Ｔに対応付けられているＩＤのＸに対して、アプリケーションＸ－ＵＥ－Ａ１の鍵情報を生成し、ユーザ端末Ｘ－ＵＥのアプリケーションＸ－ＵＥ－Ａ１へ送信する。

図３は、本実施形態における認証方法による処理の流れを示すシーケンス図である。
ここでは、ユーザＸが保有するユーザ端末Ｘ－ＵＥ上のアプリケーションＸ－ＵＥ－Ａ１に対して、認証装置１が鍵情報Ｘ－ＴＯＫＥＮを発行する。
なお、ユーザＸは、ユーザ端末Ｘ－ＵＥ２上に、認証済みのアプリケーションＸ－ＵＥ２－Ａ２を既に保有しており、認証装置１において識別子Ｘと紐付けられた鍵情報Ｘ－ＵＥ２－Ａ２－ＴＯＫＥＮを保持している。

ステップＳ１において、ユーザ端末Ｘ－ＵＥは、アプリケーションＸ－ＵＥ－Ａ１によって、認証装置１にアクセスする。
ステップＳ２において、認証装置１は、アクセス元のユーザの仮の識別情報としてＩＤ－Ｔを生成し、アプリケーションＸ－ＵＥ－Ａ１に対して、ＩＤ－Ｔの認証情報を生成する。また、認証装置１は、ＩＤ－Ｔにライセンスを付与したうえで、コンテンツ保護機能を有効にした動画ファイルＵを生成する。動画ファイルＵには、ＩＤ－Ｔと紐付けられたデータを表す二次元バーコードＨが表示内容として含まれる。

ステップＳ３において、認証装置１は、アプリケーションＸ－ＵＥ－Ａ１に対して、ログイン画面のデータと、ＩＤ－Ｔの認証情報を送信する。ログイン画面には、動画ファイルＵの表示指示が含まれる。

ステップＳ４において、ユーザ端末Ｘ－ＵＥは、アプリケーションＸ－ＵＥ－Ａ１によりログイン画面を表示する。
ステップＳ５において、ユーザ端末Ｘ－ＵＥは、アプリケーションＸ－ＵＥ－Ａ１により、ログイン画面のデータに含まれる指示に基づいて、動画ファイルＵを認証装置１に要求し表示を開始する。

ステップＳ６において、ユーザ端末Ｘ－ＵＥは、アプリケーションＸ－ＵＥ－Ａ１により、動画ファイルＵを表示するために、ＩＤ－Ｔの認証情報を認証装置１に送信してライセンス情報を要求する。
ステップＳ７において、ユーザ端末Ｘ－ＵＥは、アプリケーションＸ－ＵＥ－Ａ１により、認証装置１からライセンス情報Ｐを受信し、動画ファイルＵを再生する。

ステップＳ８において、ユーザは、ログイン画面に表示された動画に含まれる二次元バーコードＨを、ユーザ端末Ｘ－ＵＥ２のアプリケーションＸ－ＵＥ２－Ａ２で読み込む。
ステップＳ９において、ユーザ端末Ｘ－ＵＥ２は、アプリケーションＸ－ＵＥ２－Ａ２により、二次元バーコードＨが表すデータと、予め保持しているユーザＸに対するアプリケーションＸ－ＵＥ２－Ａ２の鍵情報Ｘ－ＵＥ２－Ａ２－ＴＯＫＥＮを、認証装置１に送信する。

ステップＳ１０において、認証装置１は、鍵情報Ｘ－ＵＥ２－Ａ２－ＴＯＫＥＮからログイン対象のユーザＩＤ：Ｘを取得する。さらに、認証装置１は、二次元バーコードＨが表すデータからＩＤ－Ｔを取得し、Ｘと対応付ける。

ステップＳ１１において、認証装置１は、ＩＤ－Ｔを付与したユーザ端末Ｘ－ＵＥのアプリケーションＸ－ＵＥ－Ａ１に対して、認証完了要求を送信する。
ステップＳ１２において、ユーザ端末Ｘ－ＵＥは、認証完了要求に応じて、アプリケーションＸ－ＵＥ－Ａ１により、ライセンス情報Ｐを認証装置１に送信する。
ステップＳ１３において、認証装置１は、ライセンス情報Ｐの発行対象である動画ファイルＵに含まれる二次元バーコードＨが表すデータに紐づけられたＩＤ－Ｔを特定すると、ＩＤ－Ｔに対応付けられたユーザＩＤ：Ｘに対して、鍵情報Ｘ－ＴＯＫＥＮを生成してユーザ端末Ｘ－ＵＥに送信する。

本実施形態によれば、認証装置１は、二次元バーコードを表示内容に含む動画に対して、ＤＲＭによるコンテンツ保護を施し、アクセス元に付与した仮ＩＤに対してライセンス情報を発行する。この仮ＩＤの認証情報及びライセンス情報に基づいて表示される二次元バーコードは、ＤＲＭのコンテンツ保護機能により、画面撮影及び画面転送等が制限されるため、攻撃者は、二次元バーコードを再表示させてフィッシングサイトを作成することが困難となる。
したがって、認証済みの端末により二次元バーコードを読み取ることで、認証装置１は、仮ＩＤに認証済みの本ＩＤを対応付けて認証することができる。また、ログイン中の端末は、仮ＩＤに対して発行されたライセンス情報をキーとして、ログインを完了させることができる。
このように、認証装置１においてユーザ認証のシーケンスにライセンス認証のシーケンスを融合させることにより、ＤＲＭのセキュリティ強度に応じて、フィッシングサイトの作成が困難な認証システムが構築される。

二次元バーコードは、コンテンツ保護された動画の再生時間のうち、一部のみに表示されることにより、また、フレーム画像の一部の領域に合成されることにより、認証装置１は、フィッシングサイトに再現することを困難にし、安全性を高めることができる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

認証装置１による認証方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 認証装置
１０ 制御部
１１ 仮ＩＤ発行部
１２ 動画生成部
１３ 動画送信部
１４ ライセンス送信部
１５ 完了要求送信部
１６ 鍵生成部
２０ 記憶部

Claims (5)

1. 第１の端末で動作する第１のアプリケーションからのアクセスに応じて、仮ＩＤを発行し、当該仮ＩＤに対する認証情報を生成する仮ＩＤ発行部と、
   前記仮ＩＤと紐付けられたデータに変換可能なデータ画像を含み、前記仮ＩＤにコンテンツ保護機能のライセンスを付与した動画を生成する動画生成部と、
   前記動画を再生するためのログイン画面のデータ及び前記認証情報を、前記第１の端末へ送信する動画送信部と、
   前記第１の端末から前記認証情報と共に動画再生の要求を受け付けると、当該認証情報に対応する前記仮ＩＤに付与されたライセンス情報を送信するライセンス送信部と、
   第２の端末で読み取られた前記データ画像を変換したデータ、及び前記第２の端末で動作する認証済みのアプリケーションの鍵情報を受信すると、前記データ画像を変換したデータに紐づけられている前記仮ＩＤ、及び前記鍵情報により示される本ＩＤを対応付けて取得し、当該仮ＩＤを発行した前記第１の端末へ認証完了要求を送信する完了要求送信部と、
   前記認証完了要求に応じて前記第１の端末から前記ライセンス情報を受信すると、当該ライセンス情報が付与されている前記仮ＩＤに対応付けられている前記本ＩＤに対して、前記第１のアプリケーションの鍵情報を生成し、前記第１の端末へ送信する鍵生成部と、を備える認証装置。
2. 前記動画生成部は、再生時間の一部のみに前記データ画像を含む動画を生成する請求項１に記載の認証装置。
3. 前記動画生成部は、フレームの一部の領域に前記データ画像を合成した動画を生成する請求項１又は請求項２に記載の認証装置。
4. 第１の端末で動作する第１のアプリケーションからのアクセスに応じて、仮ＩＤを発行し、当該仮ＩＤに対する認証情報を生成する仮ＩＤ発行ステップと、
   前記仮ＩＤと紐付けられたデータに変換可能なデータ画像を含み、前記仮ＩＤにコンテンツ保護機能のライセンスを付与した動画を生成する動画生成ステップと、
   前記動画を再生するためのログイン画面のデータ及び前記認証情報を、前記第１の端末へ送信する動画送信ステップと、
   前記第１の端末から前記認証情報と共に動画再生の要求を受け付けると、当該認証情報に対応する前記仮ＩＤに付与されたライセンス情報を送信するライセンス送信ステップと、
   第２の端末で読み取られた前記データ画像を変換したデータ、及び前記第２の端末で動作する認証済みのアプリケーションの鍵情報を受信すると、前記データ画像を変換したデータに紐づけられている前記仮ＩＤ、及び前記鍵情報により示される本ＩＤを対応付けて取得し、当該仮ＩＤを発行した前記第１の端末へ認証完了要求を送信する完了要求送信ステップと、
   前記認証完了要求に応じて前記第１の端末から前記ライセンス情報を受信すると、当該ライセンス情報が付与されている前記仮ＩＤに対応付けられている前記本ＩＤに対して、前記第１のアプリケーションの鍵情報を生成し、前記第１の端末へ送信する鍵生成ステップと、をコンピュータが実行する認証方法。
5. 請求項１から請求項３のいずれかに記載の認証装置としてコンピュータを機能させるための認証プログラム。

Images