JPH05500876A - 分散したユーザの認証プロトコル - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 分散したユーザの認証プロトコル 従来の技術 本発明は分散型コンピュータシステムにおいて正当なユーザを認識するシステム に関し、−特にコンピュータパスワードの使用、及び他のコンピュータ認識プロ トコルに関する。

どのようなコンピュータシステムでも、侵入者が通常チャンネルを使用して、無 断で重要な又は機密情報にアクセスする危険性が常にある。不当ユーザはコンピ ュータシステムに多くの問題を引き起こす。彼等はソフトウェアを変更し、予期 せね現象をシステムに発生させるか、又はそれによって利益を得る。彼等は私有 のデータ又は機密データにアクセスして、ソフトウェアなどの資産をコピーする 。これらの不正行為をする一方、彼等がコンピュータ資源を使用するときに、彼 等はコンピュータに基づくすべての動作に影響を与え、応答時間を劣化させ、又 は正当ユーザに対するサービスを妨害することもある。このようなアクセスは様 々の方法で行われる。例えばユーザが他のユーザになることを要求したり、その ユーザがアクセス経路を他のコンピュータシステムに逸らしたり、そのユーザが 正当ユーザのオペレーション又はデータ記録の前にシステムにアクセスするなど の方法で行われる。

解放通信ネットワーク内の正当なログオン・セツション（ｌｏｇｏｎ　５ｅｓｓ ｉｏｎ）を観察する者によってアクセスが得られ、その者は観察された情報を使 用して正当ユーザを装う。ユーザの選択した簡単な個人的パスワードは、侵入者 により、即ち彼等が作成したプログラムにより、推測できる。正当セツションは 通信ネットワークから記録でき、又は侵入者はユーザの使用が終わる前に、シス テムを使用して正当なセツションを不正にアクセス又はピギーバック（ｐＬｇｇ ’／ｂａｃｋ）する。

このような攻撃に対する防衛として、システムはシステムのユーザを認識しなけ ればならない。パスワード及び正当な応答は、共謀又は不正手段によって得られ る。これらは正当な処理範囲以外の処理である。この種の攻撃に対する本発明の 効果は、不完全な応答セットが得られ、その結果テストが失敗した場合のみに限 られる。

ユーザを正当化するパスワードの使用は、現在最も普及している方法である。多 くの場合、ユーザは自分が所有するパスワードを選択するか、又はグループパス ワードを継続して使用する。調査によると、殆どのユーザは個人的に覚えやすい パスワードを選択し、それを変更することはあまりない。

このような条件の基で、彼等は個人的要因によって、又はランダムワード発生技 術を用いる簡単なプログラムにより、パスワードを容易に推測する。

あるシステムでは、ユーザーにパスワードと共に一連のネームなどの入力を要求 する認証手段を使用するものもある。

この方法ではシステムの使用が更に難しくなるが、所定手続きが得られ、又は識 別された応答又は予期される応答が容易に推測できるときは、依然として被害を 受けやすい。認証機構又はパスワードによる方法は、どちらも正当ユーザによる 使用が終わる前のピギーバックに対する抵抗力がない。

発明の要旨 本発明の目的及び特徴によれば、分散型認証システムが提供され、このシステム は不当な使用者が分散型コンピュータシステムにアクセスするのを防止する。ア クセスの制限は、ソフトウェアやデータ、又は被害を受け安い機密情報の破壊的 変更、及びコンピュータシステム資源の誤った使用を防止する主要ステップであ る。本発明の特徴の１つは、多重ランダム選択認証機構又は請求機構（ｃｈａ　 １１　ｅｎｇｅｍｅｃｈａｎｉｓｍｓ）、及び広範な様々の正当な回答範囲であ る。”適切な”回答は、正しい応答や誤った応答、又は無応答の場合も含まれる 。

本発明による認証システムは、明確な３つの局面を有する。

第１局面では、ユーザのパスワードがコンピュータシステムにより発生され、そ のパスワードはメツセージ認証コードと共にコード化カード上に暗号化されて記 録され、アクセスしようとするあらゆる試みの前に変更されるのを防止する。こ のシステムは複雑で個人的な構成であって、容易に推測することはできない。こ のコード化されたカードは、アクセス要求がシステムに対してあったときは、必 ず使用しなければならない。第２に、パスワードの入力に加え、ユーザはアクセ スを要求するときに、ランダムに選択された認証請求のセットに適切に応答する ことが要求される。適切な応答は、曜日又は時間などの変数に依存して、正しい 応答、誤った応答、又は無応答の中のどれかで変化する。このような二重の任意 性により、観察されたログオン情報の有用性を減少させる。

第３に、セツション中の任意の時間に、ユーザは選択された認証請求に再び応答 するように要求される。これがピギーバックを検出する。

本明細書で説明される認証システムは、集中管理される環境のみならず、分散型 システムでもこのような機能を発揮する。ユーザ・ノードとコンピュータシステ ム間で認証義務が分散されるので、ユーザはあるユーザ・ノードから異なるコン ピュータシステムにアクセスできる。唯一の制限は、ユーザはアクセスされるコ ンピュータによって発生じる１つ又は複数のコード化されたカードを処理しなけ ればならないことである。使用される請求は、各認証セツションについて任意に 選択される。その請求に対する応答も又変化する。一度に、１つの真の応答が期 待される。更に、無応答又は誤った回答が適切な回答であることもある。これら 応答パターンの選択は、所望であれば曜日などのパラメータに基づき変更できる 。

アクセスは請求の全セットに対する適切な応答の受信に基づいて許可される。ユ ーザはそのパスワードを思い出す必要がある。応答パターンは、ユーザがそのパ ターンを不用意な所に記録することがないように、十分簡単になるように注意し なければならない。

図面の簡単な説明 本発明の様々の特徴及び利点は、図面を参照して以下に示される発明の詳細な説 明により容易に理解される。

図１は本発明の原則を実施するコンピュータシステムの簡略ブロック図；及び 図２は本発明の原則を実施するコンピュータシステムの第２実施例を示す簡略ブ ロック図。

詳細な説明 図１は物理的に分離したコンピュータ設備の簡略構成例で、コンピュータ設備は 分散型コンピュータシステム１ｏに相互接続されている。分散型コンピュータ１ ｏは、通信リンク１−３により接続される第１端末１１及び第２端末１２を具備 する。第１及び第２端末１１．１２は物理的に分離しており、異なる地域、又は 同一ビル内の異なる部屋に配置される。通信リンク１３はワイヤ又は同軸ケーブ ル、マイクロ波リンク、又は通信衛星回線又は通信ネットネットワークである。

第１端末１１は、カードリーダ１５、データ入力キーボード１６及び読出し装置 ］７に接続されるコンピュータ１４を具備する。同様に、第２端末１２は、カー ドリーダ２１、データ入力キーボード２２及び読出し装置２３に接続されるコン ピュータ２０に接続される。コンピュータ１４．２０は、ＩＢＭ。

マツキントラシュ（Ｍａｃｌｎｔｏｓｈ）や他の大型コンピュータなど一般的な ユニットを使用できる。カードリーダ１５．２１はカードスロットを有し、磁気 リーダ又はカードに印刷されたバーコードを読み取る光学読取り装置、又は他の 適当な読取り装置を内蔵するボックスである。データ入力キーボード１６．２２ はキーバッド又は一般的なコンピュータキーボードである。読出し装置１７．２ ３は液晶ディスプレイ、陰極線管、又はハードコピープリンタである。

動作において、ユーザ２６は第１端末１１で、コード化されたカード２７をカー ドリーダ１５に挿入する。カードリーダ１５はカード２７上のコードを読み取る 。コンピュータ１４はカード２７の信憑性を、カード２７に格納された認証デー タに、コードを照合することで確認する。そこで認証されたならば、コンピュー タ１４は読出し装置１７を介してパスワードを要求する。ユーザ２６はパスワー ドをデータ入力キーボード１６を介して入力する。コンピュータ１４はそのパス ワードを、コード化カード２７に格納されたパスワードと比較する。認証されな ければ、通信は終了する。

パスワードが認証されたならば、第１端末１１のコンピュータ１４は、第２端末 １２のコンピュータ２０と通信を開始する。ハンドシェーキング（ｈａｎｄｓｈ ａｋｉｎｇ）及び認証プロトコルが完了し、コンピュータ１４．２０が互いを認 証し合った後、正当な経路がそれらの間に成立する。

第２端末１２のコンピュータ２０は、第１端末１１の読出し装置１７を介して、 １セツトの請求（ｃｈａ　１１　ｅｎｇｅＳ）２８を提出する段階に進む。ユー ザ２６は、第１端末１１のデータ入力キーボードを用いて請求２８に対して応答 する。第２端末１２のコンピュータ２０は、与えられた応答パターン２９を、前 もって承認され格納された応答パターンと比較する。適切な応答パターン２９は 、目的に応じである種の”不正解”をも含まれることが本発明の特徴である。５ つの請求２９の１セツトに関して、応答２９の中の３つは適切であること、及び 応答２９の２つは不適切であることを前もって設定できる。請求２８のセット及 び応答パターン２９は、記録としてそれらを書き留める必要性を容易に避けるた めに慎重に作成される。重要なことは、パターン応答２９の合致にある。１０個 の中で７つの正解、あるいは単に回答数か７つなど。応答パターン２９は１日毎 に、又は朝から昼にかけて変化できる。各ユーザに対して異なる応答パターン２ ９を使用することもできる。アクセスされる端末が複数あるとき、識別パターン ２９は、あるニー・ザが異なる端末をアクセスするとき、異なるパターンであっ ても良い。

本発明は分散型のコンピュータシステムに対するあらゆる不当なアクセスを防止 する。アクセスの制限は、ソフトウェア又はデータの破壊的変更、抵抗力のない 分類された情報の不適切な提供、及びコンピュータシステム資源の誤った使用を 防止するための主要ステップである。本発明の１つの特徴は、多重の任意に選択 される認証機構の使用、及び適切な回答の範囲が広いことである。”適切な回答 は、正解、不正解、無回答を含むことができる。認証は１つの質問に対する１つ の応答よりは、応答セット全体の正確度に依存するので、本発明は不当なコンピ ュータアクセスを検出し防止する能力を大幅に向上させる。

本発明による認証は明白に異なる３つの局面を有する。第１に、ユーザパスワー ドはコンピュータシステムにより発生され、メツセージ認証コードと共にコード 化カードに暗号化され、アクセス前のあらゆる変更を防止する。これらのパスワ ードは複雑で非人格的なので、容易に推測することはできない。このコード化カ ードは、システムに対してアクセス要求があったときは必ず使用しなければなら ない。第２に、パスワードを入力することに加え、ユーザはアクセスするときに 、任意に選択された１セツトの認証請求に適切に応答することが要求される。適 切な応答は、曜日又は時間などの変数に依存して、正しい応答、誤った応答、又 は無応答の中のどれかで変化する。このような二重の任意性により、ログオン情 報の有用性が減少される。第３に、セツション中の任意時間に、ユーザは選択さ れた認証請求に再び応答するように要求される。これがピギーバックを検出する 。

ここに説明される本発明の認証法は、前述の機能を集中管理システムのみならず 、分散型のシステムにおいても発揮する。本システムは、一対の認証ボックス、 コード化カード、パスワード及び請求の選択を使用している。ユーザノード及び コンピュータシステムの間で認証義務を分散することで、ユーザはあるユーザノ ードから異なるコンピュータシステムにアゲセスできる。唯一の制・限は、ユー ザがアクセス対象のコンピュータによって発生された１つ又は複数のコード化さ れたカードを保有しなければならないことである。使用される請求は、各認証セ ツションに対して任意に選択される。請求に対する応答も又変更することができ る。あるときは真の応答が期待され、又あるときは、無回答又は誤った回答が適 切な応答であることもある。これらの応答パターンは、それらの選択を曜日など のパラメータに基づいて行うことにより変更できる。アクセスは請求のセット全 体に対する適切な応答の受信に基づいて許可される。ユーザがシステムにアクセ スするには、ユーザのパスワニド及び有効パターンを思い出す必要がある。応答 パターンはユーザがそのパターンを何かに書き留めるようなことがないように、 覚えやすいものであることに注意する必要がある。

図２は動作構成の第２実施例である。このシステムでは、対象のコンピュータに より発生されたパスワードを含むコード化されたカードを所有していれば、ユー ザはあるノードから分散型システム内のあらゆるコンピュータに”アクセスでき る。

図２は分散型コンピュータシステム３０の他の実施例を示すブロック図であり、 このシステム３０は５つのノード３１．３２．３３．３４．３５を有する。各ノ ード３１．３２．３３．３４．３５はコンピュータシステム３６、及び認証ボッ クス３７を具備する。この実施例で、第５ノード３５の認証ボックス３７は通信 リンク３８を有し、このリンクは第１、第２及び第３のノード３１．３２．３３ の認証ボックス３７に接続される。同様に、第４ノード３４の認証ボックス３７ は通信リンク４０を有し、このリンクは第１、第２及び第３ノード３１．３２． ３３の認証ボックス３７に接続される。

第１ユーザ４１は第５ノード３５に位置しており、そして第２のユーザ４２は第 ４ノード３４に位置している。認証ボックス３７は各コンピュータシステム３６ と同時に配置されるので、各ボックス３７及びそのコンピュータシステム３６間 の経路は信頼できると考えられる。

次に動作を説明する。通信リンク３８．４０を介して送られたメツセージに対し て不正応答は、時間スタンプ及び続き番号を使用して与えられる。侵入者は許容 できる時間ウィンドウの間にメツセージを解読して応答することができないか、 又はそのメツセージに使用されているセットに関する続き番号を判断できない。

通信に先立って、第１ノード３１は、（ａ）非対称の２のキー、即ちユーザのカ ードに格納されたＡＫｃ、及び第１ノード３１に格納されユーザのパスワードフ ァイルに関するＡＫｘを発生し、及び（ｂ）個人キー（ＰＫカード）を使用して 第１ユーザ４１によって所持されるカードを発生しなければならない。このカー ドはユーザの名前、暗号化されたパスワード、ＡＫｃ、メツセージ認証コード（ ＭＡＣ：Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｃｏｄｅ）を含む。

セツションの開始にあたって、第１ユーザ４１は、カードを第５ノード３５の認 証ボックス３７に供給する。第５ノード３５はＭＡＣをチェックすることにより カードを認証する。

確証されたならば、第５ノード３５は、パスワードを要求し、それを暗号化し、 それをカードに格納されたパスワードと比較することにより第１ユーザ４１を認 証する。確証されなければ通信は終結する。確証されたならば、第５ノード３５ は第１ノード３１の認証ボックス３７にメツセージを送る。このメツセージは第 １ノード３１の公共コードで暗号化され、第５ノード３５の承認、日時スタンプ 、続き番号、第５ノード３５で発生した任意番号、及びＭＡＣを含む。確証され なければ通信は終結する。

第１ノード３１はそのメツセージを解読し、第５ノード３５がキー管理センター （Ｋｅｙ　Ｍａｎａｇｅｍｅｎ　ｔＣｅｎｔｅｒ）として指定された当局により 設定された適当な認証ボックス３７内の許容リストに掲載されていないことを確 認する。第５ノードがこのリストに載っていた場合、第１ノード３１はそのカー ドを再び許容された第１ユーザ４１のものであると判断し、通信を終結する。第 ５ノードがリストに載っていなければ、第１ノード３１は時間スタンプをチェッ クし、それが所定ウィンドウ内にあるかどうか判断する。

もしなければ、メツセージは無効と判断され、通信は終結する。もし有効であれ ば、第１ノード３１は続き番号をチェックし、この番号が第５ノード３５に関し て連続していることを確認する。連続していなければ、そのメツセージは無効と 判断され、通信は終結する。有効であれば、第１ノード３１は第５ノード３５に メツセージを送る。このメツセージは第５ノード３５の公共キーにより暗号化さ れ、第１ノード３１の確認、日時スタンプ、続き番号、第５ノード３５によって 発生した任意数、及びＭＡＣを含んでいる。

第５ノード３５は（最終パラグラフで説明するように）そのメツセージを解読し 、同一時間スタンプ及び続き番号テストを実行する。そこで合格しなければ、第 ５ノード３５は確認及び任意数の両方を使用して交通暗号キー（ＴＥＫａｂ：ｔ ｒａｆｆｉｃ　ｅｎｃｒｙｐｔｉｏｎ　ｋｅｙ）を発生する。この点で、第５ノ ード３５及び第１ノード３１は互いに認証され、それらの間で信頼できる経路が 確立される。

交通暗号化キーＴＥＫａｂを使用して、第１ノード３１は第５ノード３５にメツ セージを送る。このメツセージには第１ユーザ４１のパスワードとＭＡＣの要求 が含まれる。第５ノード３５は第１ユーザ４１にパスワードを要求する。第１ユ ーザ４１は明確なテストパスワードを入力する。第５ノード３５はパスワードを 暗号化し、モしてＴＥＫａｂを使用してそのパスワードをＭＡＣと共に第１ノー ド３１に送る。第１ノード３１は暗号化されたパスワードを第１ノード３１に格 納されたパスワードと比較する。パスワードの入力は３回だけ許される。失敗し たならば、セツションは終結する。

パスワードが受け入れられると、第１ノード３１はその認証ボックス３７から第 ５ノード３５に請求の全てをロード（ｌｏａｄ）する。第１ノード３１の認証ボ ックス３７は、請求を任意に選択し、第５ノード３５にメツセージを送る。

このメツセージはＴＥＫａｂにより暗号化され、請求／応答フレーズ及びＭＡＣ を含む。このステップは、異なる認証請求を用いて任意の回数だけ繰り返される 。各請求に対する応答は１回だけ許される。第５ノード３５はＴＥＤａｂで暗号 化されたメツセージを送る。このメツセージには第１ユーザ４１の合格／不合格 のシーケンス及びＭＡＣが含まれる。第１ユーザ４１が合格／不合格請求の適切 なシーケンスを供給できなければ、セツションは終結する。第１ノード３１はセ ツション中、周期的に認証要求を繰り返し、連続して認証を行う。セツションが 終結したときは常に、第５ノード３５はロードした全ての情報を破壊し、暗号化 のＴＥＫを使い終わった時刻を第１ノード３１に通知する。

以上、コンピュータシステム内の正当ユーザを認識するための改良された新しい 方法が説明された。尚、前述の説明は、本発明の基本を示す単なる一実施例に過 ぎない。この分野の当業者は、本発明の範囲を越えない数々の他構成を工夫でき るものである。

↓ 要　約　書 分散された環境にある、あらゆるコンピュータシステムに対する不当アクセスを 防止する分散型認証システム。本発明による認証法は明白に異なる３つの局面を 有する。第１の局面において、ユーザパスワードがコンピュータシステム（１０ ）から発生され、メツセージ認証コードと共にコード化され、コード化カード（ ２７）に記録され、アクセスしようとする試みの前の変更を防止する。このコー ド化されたパスワード及びメツセージの構造は複雑、かつ非人格的で、容易に推 測できるものではない。このコード化カード（２７）はシステム（１０）に対し てアクセス要求があったときは何時でも使用しなければならない。第２に、アク セスを要求するときユーザは、パスワードの供給に加え、任意に選択された認証 請求（２８）のセットに適切に応答しなければならない。適切な応答（２９）は 、例えば曜日又は日時などの所定変数に依存して、正解、不正解又は無解答の中 のどれかに変更される。このようにして導入される二重の任意性により、観察さ れたログオン情報の有用性が大幅に減少される。第３に、セツション中の任意時 間に、ユーザは選択された認証請求（２８）に再び応答することが要求される。

これがピギーバックを検知する。この認証は、１つの質問に対する１つの応答と いうよりは、適切な応答のセット（２９）全体に依存するので、本発明は不当な コンピュータアクセスを検出し防止する能力を大幅に向上する。

国際調査報告 国際調査報告 ＵＳ　９１１０６００２ Ｓ＾　５２４１２

Claims (2)

【特許請求の範囲】
1. １．物理的に分離したノードを有するコンピュータネットワーク（１０）に使用 されるユーザ認証機構において、コンピュータ（１４、２０）、読出し装置（１ ７、２３）及びキーボード（１６、２２）を各々含む第１及び第２ノードであっ て、少なくとも１つの前記ノード（１１）はカードリーダ（１５）を含み、 前記ノード（１１、１２）を相互接続する通信リング（１３）と、及び 前記カードリーダ（１５）によって読み取れるように工夫され、コード化された メッセージが格納されたコード化カード（２７）であって、前記メッセージは選 択されたノード（１１）に格納された正しいメッセージと比較され、前記コード 化メッセージが前記正しいメッセージに合致したならば、１セットの請求（２８ ）が前記読出し装置（１７）に表示され、前記キーボード（１６）を用いてユー ザが前記請求（２８）に対する応答を入力し、前記ユーザによって入力されたそ の応答パターンは予め承認された応答パターン（２９）と比較され、前記コンピ ュータネットワーク（１０）に対する前記ユーザのアクセスの可否が判断され、 を具備することを特徴とするユーザ認証機構。
2. ２．コンピュータ（１４、２０）を各々具備し、物理的に分散したノード（１１ 、１２）を有するコンピュータネットワーク（１０）において、正当ユーザを認 証する方法であって、カードレーダ（１５）にコード化カード（２７）を挿入す るステップと、 前記カード（２７）に含まれるコードを前記コンピュータ（１４）に格納された 正しいコードと比較するステップと、正解と不正解、及び無解答を含む応答パタ ーンを有する請求（１８）の所定セットに応答させ、ここでユーザによって入力 され前記正解と不正解及び無解答を含む応答パターンは、所定の応答パターン（ ２９）と比較され、前記コンピュータネットワーク（１０）に対する前記ユーザ のアクセスの可否を判断するステップと、 を有することを特徴とするユーザ認証方法。