WO2024004011A1 - 本人性認証システム、本人性認証方法、本人性スコア算出装置、認証装置、および、プログラム - Google Patents

本人性認証システム、本人性認証方法、本人性スコア算出装置、認証装置、および、プログラム Download PDF

Info

Publication number
WO2024004011A1
WO2024004011A1 PCT/JP2022/025659 JP2022025659W WO2024004011A1 WO 2024004011 A1 WO2024004011 A1 WO 2024004011A1 JP 2022025659 W JP2022025659 W JP 2022025659W WO 2024004011 A1 WO2024004011 A1 WO 2024004011A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
user
advanced
identity
normal
Prior art date
Application number
PCT/JP2022/025659
Other languages
English (en)
French (fr)
Inventor
芳彦 大森
高生 山下
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2022/025659 priority Critical patent/WO2024004011A1/ja
Publication of WO2024004011A1 publication Critical patent/WO2024004011A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication

Definitions

  • the present invention provides an identity authentication system, an identity authentication method, an identity score calculation device, an authentication device, and Regarding the program.
  • a single sign-on (SSO) system is known as a convenient login method for users.
  • Single sign-on refers to a mechanism that allows users to use multiple systems (web services, in-house systems, cloud services, etc.) with a single user authentication.
  • the identity score calculation function (the identity score calculation device 10a in FIG. 12) Calculate the user's authenticity score.
  • Information about user behavior includes the time the user accessed their account, the terminal or device they are using, and their location at the time of access.
  • the authentication function of the single sign-on system 1a (the authentication device 20a in FIG. 12) selects a user who has a low identity (high score) based on the user's identity score calculated by the identity score calculation device 10a. Users will be required to perform strict authentication such as two-step verification before being allowed to access their accounts.
  • identity means the reliability that the user accessing the account is the true user (principal) associated with the account.
  • a user uses a web server 51, an in-house system 52, a cloud service 53, etc. as a system that uses single sign-on (hereinafter sometimes referred to as "SS0". The same applies to each figure).
  • SS0 single sign-on
  • Step S1 First, in order to use the web service using the user terminal 3, the user accesses the web server 51 and requests login.
  • Step S2 The Web server 51 redirects to the single sign-on system 1a via the user terminal 3 in order to authenticate the user.
  • Step S3 The authentication device 20a of the single sign-on system 1a acquires location information and terminal type (device information) from the user terminal 3 as user behavior information.
  • Step S4 The authentication device 20a transmits the location information and the terminal type (device information) together with the access time to the identity score calculation device 10a.
  • the identity score calculation device 10a stores the location information, terminal type (device information), and access time obtained from the authentication device 20a in the user behavior information table. Then, the identity score calculation device 10a calculates and records a score based on the difference from the information at the time of past access for each location information, terminal type (device information), and access time.
  • the user identity score calculated by this identity score calculation device 10a determines whether the user attempting to access the account is the account owner based on the acquired user behavior information for each item of user behavior information. It is estimated and evaluated numerically. In calculating the identity score, the larger the difference from the information at the time of past access, the larger the score. For example, in the case of location information, the score value is increased for connections from different areas than usual. Regarding the terminal type (device information), the score value increases as the connection is made using a different device than usual. Regarding the access time, the score value is increased when access is made at a time different from usual. As shown in FIG. 13, the identity score calculation device 10a calculates and stores a value obtained by adding up the numerical values evaluated for each item of the user's behavior information as the user's identity score.
  • Step S6 The identity score calculation device 10a transmits the calculated user identity score to the authentication device 20a.
  • Step S7 If the identity score exceeds a preset threshold, the authentication device 20a performs two-step authentication to authenticate the user. Further, if the threshold value is not exceeded, the authentication device 20a authenticates the user using the default authentication method. In this way, the single sign-on system 1a can perform identity authentication using the identity score.
  • Non-Patent Document 2 As a technology related to the identity of a user who accesses an account, a technology described in Non-Patent Document 2 is known.
  • ICS Industrial Control Systems
  • a multi-level Bayesian network is constructed and the probability of occurrence of an incident (probability that an attack will occur: predict the probability that the Then, by combining a multi-level Bayesian network and a multi-model, the amount of impact (damage) caused by the incident is evaluated.
  • the risk of causing an attack on a network is evaluated based on the probability of occurrence of an incident and the amount of impact caused.
  • SmartFactor Authentication OneLogin, [online], [Retrieved June 7, 2020], Internet ⁇ URL: https://www.onelogin.com/product/smartfactor-authentication> Q. Zhang, et.al., “Multimodel-Based Incident Prediction and Risk Assessment in Dynamic Cybersecurity Protection for Industrial Control Systems,” IEEE Transactions on Systems, Man, and Cybernetics: Systems, vol. 46, no. 10, pp. 1429-1444, 2016.
  • Non-Patent Document 1 since the scores of each user's identity are digitized (scored), the operating status of the network or server (for example, the network or server It is difficult to perform authentication that optimizes security and convenience based on changes in traffic volume that are thought to be attacks (challenge A).
  • Non-Patent Document 1 since the score of the user's identity is determined based on a unique standard for each product, the account maintainer is unable to identify the user who is not the user (account owner). It is necessary to acquire different know-how for each product in order to evaluate the impact and decide on a response when a threat posed by a product (such as spoofing, spoofing, etc.) occurs (Issue B). Furthermore, since the user's identity is quantified using unique standards, it is difficult to evaluate the user's identity by integrating the numerical values of multiple products (Issue C).
  • Non-Patent Document 2 assumes that parameters and state transition probabilities related to the user's behavior have been extracted based on the advanced knowledge of the maintainer. ), the probability that an incident will lead to another incident, etc. are not known, or the identity of the user cannot be quantified in terms of probability (Issue D).
  • the present invention was made in view of these points, and an object of the present invention is to calculate a user's identity score from observable information without using unique standards or know-how for each product. shall be.
  • An identity authentication system is an identity authentication system comprising an identity score calculation device that calculates a score indicating the identity of a user, and an authentication device that performs user authentication, wherein the authentication device is a standard It has multiple types of normal authentication means for normal authentication that performs authentication with a certain authentication strength, and suppresses authentication failures to below the first predetermined level if the user is the user himself/herself, and prevents authentication failures if the user is not the user himself/herself. It has multiple types of advanced authentication means for advanced authentication that performs authentication with an authentication strength that suppresses success to a second predetermined level or less, and the identity score calculation device is configured to allow a user to access an account using a user terminal.
  • a behavior information collection unit that collects behavior information that indicates access information indicating the service usage environment and behavior history information of the user; and an authentication result indicating success or failure of the normal authentication and the advanced authentication from the authentication device.
  • an authentication result collection unit that collects information and a user who has accessed an account within a predetermined period of time, and determines whether or not to perform the advanced authentication in addition to the normal authentication, and determines that the advanced authentication is to be performed.
  • the advanced authentication control unit that notifies the authentication device of the advanced authentication means determined for the user who has been determined to perform the advanced authentication; and the number of users who have successfully and unsuccessfully performed the normal authentication obtained from the authentication result information, and the advanced authentication method.
  • a probability calculation unit that calculates the probability of the identity of the user who has accessed the account based on statistical values using the number of users who have successfully and unsuccessfully authenticated; , performs normal authentication using a predetermined normal authentication means, and performs advanced authentication on the user for whom it is determined that the advanced authentication is to be performed using the advanced authentication means notified by the identity score calculation device, and
  • the present invention is characterized by comprising an authentication processing unit that transmits the authentication result information of the normal authentication and the advanced authentication to the identity score calculation device.
  • a user's identity score can be calculated from observable information without using unique standards or know-how for each product.
  • FIG. 1 is a diagram showing the overall configuration of an identity authentication system according to the present embodiment.
  • FIG. 2 is a diagram for explaining an overview of processing of the identity authentication system according to the present embodiment.
  • FIG. 3 is a diagram for explaining authentication results for a principal and a non-principal according to the present embodiment.
  • FIG. 1 is a functional block diagram showing a configuration example of an identity score calculation device according to the present embodiment.
  • FIG. 3 is a diagram illustrating a data configuration example of authentication result information stored in an authentication result DB according to the present embodiment.
  • FIG. 2 is a diagram illustrating a data configuration example of behavior information (access information and behavior history information) stored in a behavior information DB according to the present embodiment.
  • FIG. 2 is a diagram illustrating a data configuration example of statistical information stored in a statistical information DB according to the present embodiment.
  • FIG. 2 is a functional block diagram showing a configuration example of an authentication device according to the present embodiment.
  • FIG. 3 is a diagram illustrating normal authentication method selection processing performed by the authentication device according to the present embodiment.
  • FIG. 2 is a sequence diagram showing the flow of processing executed by the identity authentication system according to the present embodiment.
  • 1 is a hardware configuration diagram showing an example of a computer that implements the functions of an identity score calculation device and an authentication device according to the present embodiment.
  • FIG. 2 is a diagram for explaining a conventional single sign-on system.
  • FIG. 3 is a diagram for explaining an example of calculating a user's identity score in the prior art.
  • FIG. 1 is a diagram showing the overall configuration of an identity authentication system 1 according to the present embodiment.
  • the identity authentication system 1 according to the present embodiment is a single sign-on (SSO) system configured by an authentication device 20 and an identity score calculation device 10.
  • SSO single sign-on
  • the authentication device 20 of the identity authentication system 1 centralizes the user's account with one authentication for the Web server 51 that provides Web services, the in-house system 52, the cloud service 53, etc. Manage effectively.
  • the identity authentication system 1 collects information about the behavior of the person associated with the account from the service usage environment (location information, usage time, line information, ID information, etc.) and behavior history without any effort on the part of the user. .
  • information on the user's behavior history is acquired from the external server 40 (eg, room entry/exit management server, etc.).
  • information about the behavior of people associated with an account is obtained from devices and systems in a channel different from the account authentication channel (out-of-band). The acquired information regarding the human behavior is then used to determine the selection of an authentication method ("advanced authentication method" to be described later).
  • the identity authentication system 1 detects the trend of the identity rate of all users who access the web server 51, in-house system 52, cloud service 53, etc. during operation. evaluate. In other words, the focus is not on the identity of each individual user, but on the proportion of the identity of all users.
  • the identity authentication system 1 (the identity score calculation device 10) verifies the identity of the user who accesses the web server 51, in-house system 52, cloud service 53, etc.
  • the identity authentication system 1 uses observable information regarding human behavior linked to the account of the web server 51, etc. This makes it possible to score the authenticity of users accessing websites, etc.
  • the identity authentication system 1 estimates the probability of evaluating the trend of the identity ratio among all users who access the web server 51, in-house system 52, cloud service 53, etc. Allows (automatically) to select the optimal strength normal authentication method based on the value. Furthermore, in order to solve problems B and C, it is possible to evaluate the user's identity as an objective numerical value with probability, without depending on the unique standards of the device.
  • the identity authentication system 1 enables (automatically) selecting a normal authentication method of optimal strength based on the estimated value of the probability of identity for all users.
  • the identity authentication system 1 solves the above-mentioned issues A to D and incorporates the following technical ideas in order to enable selection of the optimal normal authentication based on the estimated probability of identity for all users. Introduce.
  • the identity authentication system 1 uses a combination of normal authentication conventionally performed by the authentication device 20 and "advanced authentication" for estimating the proportion of non-identified persons.
  • normal authentication is authentication with standard authentication strength as a procedure for permitting a user to use an account, and is, for example, authentication using a user ID and password, which is widely used in the world.
  • the identity authentication system 1 uses randomly sampled users to estimate the proportion of users who are not the authenticated users (hereinafter referred to as "non-identified users”) among the user group accessing the account. Perform user authentication (hereinafter referred to as "advanced authentication").
  • Advanced authentication refers to strong user authentication, which almost prevents authentication failures if the user is the user himself/herself (prevents authentication failures to below the first predetermined level if the user is the user himself/herself), and prevents authentication failures if the user is the user himself or herself. If so, it means authentication at a level that almost prevents successful authentication (prevents successful authentication to a level below the second predetermined level in the case of a non-identified person).
  • Advanced authentication includes, for example, smart card, SMS (Short Message Service) authentication, and out-of-band authentication methods that require unlocking and line usage, and are multi-factor and cryptographically strong.
  • the meaning of “having multiple factors and cryptographically sufficient strength” is defined as “preventing authentication failure if the user is the user himself”.
  • the identity authentication system 1 prepares a plurality of advanced authentication methods, and selects the advanced authentication that can prevent the user himself/herself from failing in authentication based on information regarding the behavior of the person associated with the account being accessed.
  • the identity authentication system 1 includes a plurality of advanced authentication methods (advanced authentication methods "1" to “n”) in addition to normal authentication. Then, among the users who have requested access to the account, randomly selected users will be required to undergo one of the multiple advanced authentication methods (advanced authentication methods "1" to “n”) in addition to normal authentication. Select and do. The selection of this advanced authentication method is performed based on information regarding the behavior of the person (user) associated with the account to be accessed ("behavior information" to be described later) (symbol x in FIG. 2).
  • the selection of the advanced authentication method is performed as follows. (Example 1) If the person linked to the account being accessed has recently successfully performed some kind of authentication using the My Number card on another account linked to the ID, select advanced authentication using the My Number card. . (Example 2) If the person associated with the accessing account has recently accessed the network from a pre-registered mobile terminal, select advanced authentication using SMS. (Example 3) If the person associated with the accessing account has already entered the office and opens/closes the door using an employee ID card (smart card) with IC card function when entering/exiting, select advanced authentication using a smart card. do. (Example 4) If the person associated with the accessing account plans to work from home, select advanced authentication using a pre-registered home line ID.
  • the identity authentication system 1 stores the behavioral information of the person linked to the account being accessed, and selects advanced authentication based on the real-time behavior of the person accessing the account. By using human behavior information, it is possible to prevent the person in question from failing in authentication.
  • the identity authentication system 1 estimates the probability of identity for all users using the following assumptions.
  • (Premise 2) Access to an account by a non-user does not depend on the status of the account (whether or not it is in use, the environment such as the user's location information and line type).
  • a 1 indicates the number of individuals in the user group (N 1 ) who have succeeded in normal authentication and also succeeded in selected advanced authentication.
  • c 1 indicates the number of individuals in the user group (N 1 ) who failed in normal authentication but succeeded in the selected advanced authentication.
  • b 1 indicates the number of non-principal users who succeeded in normal authentication and failed in the selected advanced authentication in the user group (N 1 ).
  • d 1 indicates the number of non-principal users in the user group (N 1 ) who failed in normal authentication and also failed in selected advanced authentication.
  • a 2 indicates the number of individuals who have successfully undergone normal authentication in the population (N 2 ).
  • c 2 indicates the number of individuals for whom normal authentication has failed in the population (N 2 ).
  • b 2 indicates the number of non-principal persons who have successfully undergone normal authentication in the population (N 2 ).
  • d 2 indicates the number of non-principal persons who have failed normal authentication in the population (N 2 ).
  • the identity authentication system 1 collects the following observable information based on the selected advanced authentication method (see Figure 3).
  • the identity authentication system 1 calculates the "proportion ⁇ 2 of non-identified users who normally succeed in authentication” and "ratio ⁇ 2 of non-identified users to all users” in the population using the following formula (1) and the formula Calculated based on (2).
  • the identity authentication system 1 calculates, in the population, "the number a 2 of individuals who succeed in normal authentication,”"the number b 2 of non-identified individuals who succeed in normal authentication,” and "the number of individuals who fail normal authentication.”
  • ⁇ number c 2 '' and ⁇ number d 2 of non-principals who normally fail authentication'' are calculated using the following formulas.
  • the identity authentication system 1 estimates the identity of a user who has succeeded in normal authentication within a predetermined period using the probability that the user is the authentic person (P S P ) (Equation (5)), and the probability that the user is not the authentic user (P S P ) (Equation (5)).
  • P S n (Equation (6)) is used to estimate the identity.
  • the identity authentication system 1 estimates the identity of a user who fails normal authentication within a predetermined period using the probability (P f P ) (formula (7)) that the user is the authentic person, and the probability that the user is not the authentic user ( The identity is estimated using P f n ) (Equation (8)).
  • the identity authentication system 1 estimates the probability (P t ) of all users who have accessed the user for a predetermined period of time using the following equation (9).
  • the identity authentication system 1 for a user who successfully completes normal authentication within a predetermined period of time, the identity of the user can be estimated using equation (5) based on the probability that the user is the authentic user (P S P ).
  • the identity in the identity verification system 1, the identity can be estimated by using equation (9) to determine the probability (P t ) of the identity, including the case where normal authentication fails.
  • FIG. 4 is a functional block diagram showing a configuration example of the identity score calculation device 10 according to the present embodiment.
  • the identity score calculation device 10 obtains the results of normal authentication and advanced authentication from the authentication device 20 when the user accesses an account on the web server 51 etc. using the user terminal 3, and determines the identity of the user who has accessed the account. Calculate the probability.
  • This identity score calculation device 10 collects the service usage environment (location information, usage time, line information, ID information, etc.), behavior history, etc. as information about the behavior of the person (user) linked to the account being accessed. Select an advanced authentication method that collects "behavioral information" and prevents authentication failures.
  • the identity score calculation device 10 is constituted by a computer including a control section 11, an input/output section 12, and a storage section 13.
  • the input/output unit 12 inputs and outputs information to and from the authentication device 20, the external server 40 for acquiring behavior information, and the like.
  • the input/output unit 12 includes a communication interface for transmitting and receiving information via a communication line, and an input/output interface for inputting and outputting information between an input device such as a keyboard and an output device such as a monitor (not shown). It consists of
  • the storage unit 13 includes a hard disk, flash memory, RAM (Random Access Memory), and the like.
  • This storage unit 13 includes an authentication result DB 100 that stores the authentication results of normal authentication and advanced authentication (see FIG. 5 described later for details), and a behavior information DB 200 that stores information (behavior information) regarding user behavior (details are (see FIG. 6, which will be described later), and a statistical information DB 300 (see FIG. 7, which will be described later) that stores statistical information calculated using the results of normal authentication and advanced authentication (see FIG. 7, which will be described later). Further, the storage unit 13 temporarily stores programs for executing each function of the control unit 11 and information necessary for processing of the control unit 11.
  • the control unit 11 is in charge of the overall processing executed by the identity score calculation device 10, and as shown in FIG. It is configured to include a control section 114, a statistical processing section 115, and a probability calculation section 116.
  • the authentication result collection unit 111 acquires the results of the normal authentication performed by the authentication device 20 and the advanced authentication when the user accesses the account from the authentication device 20. , and stores information on the authentication result (authentication result information 110) in the authentication result DB 100.
  • FIG. 5 is a diagram showing an example data structure of authentication result information 110 stored in authentication result DB 100 according to the present embodiment.
  • the authentication result information 110 includes, in association with the account name, which is an ID unique to each user, the access time to the account, the normal authentication result indicating whether the normal authentication was successful or unsuccessful, and Advanced authentication results indicating the results of advanced authentication are stored.
  • the advanced authentication result stores "success” or “failure” when advanced authentication is executed, and stores "not implemented” when the user wishes to be a target of advanced authentication.
  • the behavior information collection unit 112 acquires information regarding the user's service usage environment (access information) and information regarding the user's behavior history (behavior history information), and stores it in the behavior information DB 200 as behavior information 220. .
  • FIG. 6 is a diagram illustrating a data configuration example of the behavior information 220 (access information 221 and behavior history information 222) stored in the behavior information DB 200 according to the present embodiment.
  • the access information 221 includes information related to the service usage environment when the user accesses the account, such as access time, terminal type, location, etc. in association with the account name, which is an ID unique to each user. etc. information is stored.
  • the terminal type is "smartphone”
  • the smartphone address information required for SMS authentication and if the terminal type is "PC”, line information, etc. are included in the user's account name.
  • the behavior information collection unit 112 acquires this access information 221 by receiving the information collected by the authentication device 20 from the user terminal 3.
  • the behavior information collection unit 112 acquires information regarding the user's behavior history (behavior history information 222) from the external server 40 as an out-of-band system.
  • the out-of-band system is an entry/exit management system for an office or the like
  • the entry/exit management server which is the external server 40
  • the external server linkage unit 113 as shown in FIG.
  • Information on the entry/exit time of the person who has arrived is acquired and stored in the behavior information DB 200.
  • the external server cooperation unit 113 performs cooperation processing (out-of-band cooperation processing) with various external servers 40 to obtain the user's action history from a channel other than the channel (information transmission path) with the user terminal 3. For example, as described above, processing for generating a request message and a response message for transmitting and receiving the entry/exit time of a person associated with an account with the entry/exit management server is performed.
  • the advanced authentication control unit 114 determines whether advanced authentication is to be performed for a user who has accessed within a predetermined period. In order to ensure (Premise 2) of Technical Idea 3 described above, the advanced authentication control unit 114 randomly selects a user to perform advanced authentication from among users who have performed normal authentication.
  • the advanced authentication control unit 114 uses behavior information 220 (FIG. 6) regarding the user who performs advanced authentication, and collects access information 221 and behavior history information 222, which are information related to the service usage environment, and multiple advanced authentication
  • the correspondence relationship with advanced authentication in which a user successfully authenticates is held as a profile (analysis result) based on a predetermined logic. For example, if there was an access from a smartphone just before, a profile is created that uses SMS authentication as advanced authentication. If there is a record of entering and exiting the office immediately before, a profile is created that uses authentication using a smart card such as an employee ID card based on the entry/exit management information of the office building or the like.
  • the advanced authentication control unit 114 uses the profile of a user who has decided to perform advanced authentication to determine an advanced authentication method that allows successful authentication if the person (user) is associated with the account. The advanced authentication control unit 114 then notifies the authentication device 20 of the advanced authentication method determined for the user associated with the account.
  • the statistical processing unit 115 calculates statistical values (the number of users) as a result of normal authentication and various types of advanced authentication for all users who have accessed during a predetermined period, and stores the calculated values in the statistical information DB 300 as statistical information 310. .
  • FIG. 7 is a diagram showing a data configuration example of statistical information 310 stored in statistical information DB 300 according to the present embodiment.
  • the statistical information 310 stores, for each advanced authentication method, the result of the advanced authentication (success/failure) and the result of the normal authentication of the user who performed the advanced authentication. be done. Further, the number of users with normal authentication results (success/failure) for users who have not yet undergone advanced authentication is stored.
  • the probability calculation unit 116 refers to the statistical information 310 stored in the statistical information DB 300 to calculate the probability of the identity of the user who has accessed the account.
  • the probability calculating unit 116 calculates the probability (P S P ) that a user who successfully authenticates in a predetermined period is the authentic user using the above-mentioned formula (5).
  • the probability calculation unit 116 may calculate the probability (P t ) that the person is the real person, including the case where the normal authentication fails, using equation (9).
  • Equation (5) or equation (9) the probability calculation unit 116 uses to calculate the probability of the identity of the user who has accessed the account. Then, the probability calculation unit 116 transmits the calculated probability (estimated value) of the user's identity to the authentication device 20.
  • FIG. 8 is a functional block diagram showing a configuration example of the authentication device 20 according to this embodiment.
  • the authentication device 20 includes multiple types of normal authentication methods (normal authentication methods) with different strengths and multiple types of advanced authentication methods (advanced authentication methods).
  • the authentication device 20 receives an authentication request from the user terminal 3, performs a preset normal authentication, and acquires information (access information 221) regarding the user's service usage environment.
  • the authentication device 20 transmits the normal authentication results and access information 221 to the identity score calculation device 10. Further, the authentication device 20 receives information on the determined advanced authentication method for the user who has decided to perform advanced authentication from the identity score calculation device 10, performs the advanced authentication method, and then transfers the authentication result to the user.
  • the authentication device 20 also obtains information on the user's identity probability (estimated value) from the identity score calculation device 10, and provides the optimal normal Select an authentication method.
  • the identity score calculation device 10 is constituted by a computer including a control section 21, an input/output section 22, and a storage section 23.
  • the input/output unit 22 inputs and outputs information to and from the identity score calculation device 10, the terminal 3, the web server 51, the in-house system 52, the cloud service 53, and the like.
  • the input/output unit 22 includes a communication interface for transmitting and receiving information via a communication line, and an input/output interface for inputting and outputting information between an input device such as a keyboard and an output device such as a monitor (not shown). It consists of
  • the storage unit 23 includes a hard disk, flash memory, RAM (Random Access Memory), and the like.
  • information necessary for normal authentication of the accessing user is stored in the user information DB 400.
  • information such as the account name (user ID) and password of the user who has accessed, address information of the user terminal 3, etc. are stored.
  • the user information DB 400 also stores information necessary for authentication when advanced authentication is performed. Note that the information necessary for this advanced authentication may be obtained from the external server 40 or the like via the external server cooperation unit 113 (FIG. 4) of the identity score calculation device 10 and stored in the user information DB 400. good.
  • the storage unit 23 temporarily stores programs for executing each function of the control unit 21 and information necessary for processing of the control unit 21.
  • the control unit 21 controls overall processing executed by the authentication device 20, and as shown in FIG. 8, includes an access information acquisition unit 211, an authentication processing unit 212, a normal authentication selection unit 213, an authentication control unit 214, It is configured to include a unified information management section 215.
  • the access information acquisition unit 211 acquires the terminal type, location information, etc. as information (access information 221) regarding the user's service usage environment from the user terminal 3 that has received the login request. Then, the access information acquisition unit 211 transmits the access time (for example, the time when the login request was received) as well as access information 221 such as the terminal type and location information to the identity score calculation device 10.
  • the authentication processing unit 212 holds multiple types of normal authentication methods and multiple types of advanced authentication methods for users who have accessed their accounts.
  • the authentication processing unit 212 authenticates the accessing user using the set normal authentication method. Further, the authentication processing unit 212 receives information on the determined advanced authentication method for the user who has decided to perform advanced authentication from the identity score calculation device 10, and selects the advanced authentication method from among the plurality of advanced authentication methods. Select and authenticate.
  • the authentication processing unit 212 transmits the results (success/failure) of the normal authentication and advanced authentication to the identity score calculation device 10.
  • the normal authentication selection unit 213 acquires the probability (estimated value) of the user's identity from the identity score calculation device 10 at predetermined intervals. Then, the normal authentication selection unit 213 selects the optimal normal authentication from a plurality of normal authentication methods, taking into consideration the threat of an increase in the proportion of non-identified users and the user's convenience, according to the obtained probability of the user's identity. Choose a method.
  • the normal authentication methods are set in stages from normal authentication method "1" with high strength to normal authentication method "n” with low strength (standard). Then, when the normal authentication selection unit 213 obtains the estimated value of the probability of the user's identity from the identity score calculation device 10, for example, if the estimated value of the probability of the user's identity is equal to or higher than a predetermined threshold value, In this case, a standard normal authentication method (for example, normal authentication method "n”) is selected in consideration of user convenience.
  • the standard normal authentication method "n" is, for example, authentication using a user ID and password.
  • the normal authentication selection unit 213 selects a relatively strong normal authentication method (for example, Select the normal authentication method "1").
  • the normal authentication method "1" which is relatively strong, is, for example, biometric authentication or two-step authentication.
  • the normal authentication selection unit 213 sets the normal authentication method by notifying the authentication processing unit 212 of information on the selected normal authentication method.
  • the authentication control unit 214 executes authentication processing with the user terminal 3 based on a user authentication protocol such as RADIUS (Remote Authentication Dial In User Service).
  • RADIUS Remote Authentication Dial In User Service
  • the unified information management unit 215 uses, for example, LDAP (Lightweight Directory Access Protocol) to realize single sign-on (SSO) that allows multiple services to be used with one ID and password.
  • LDAP Lightweight Directory Access Protocol
  • SSO single sign-on
  • FIG. 10 is a sequence diagram showing the flow of processing executed by the identity authentication system 1.
  • the action history information 222 acquired from the external server 40 is information from an entry/exit management system of an office or the like.
  • the identity score calculation device 10 receives information on the entry/exit time of the person linked to the account (entrance/exit management information), as shown in the action history information 222 in FIG. ).
  • the entry/exit management system manages user entry/exit in the following manner, for example.
  • a person linked to an account comes to the office, he or she enters the office by passing through a flapper gate or the like using an employee ID card (smart card) that has an IC card function.
  • the room entry/exit management server acquires the ID of the user who entered the room and the time of entry/exit from the employee ID card, and records the information in its own server. In this way, the entry/exit management server records the user's action history information 222.
  • the user uses the user terminal 3 (for example, a PC) to access the Web server 51 and make a login request in order to use the Web service.
  • Web server 51 redirects to authentication device 20 via user terminal 3 in order to authenticate the user.
  • the access information acquisition unit 211 acquires the terminal type, location information, etc. from the user terminal 3 as information regarding the user's service usage environment (access information 221). (Step S11). Then, the access information acquisition unit 211 transmits the access time (for example, the time when the login request was received) as well as access information 221 such as the terminal type and location information to the identity score calculation device 10. Then, the behavior information collection unit 112 of the identity score calculation device 10 acquires the access information 221 from the authentication device 20 and stores it in the behavior information DB 200 (step S12).
  • the authentication processing unit 212 of the authentication device 20 executes normal authentication regarding the accessing user using a predetermined (initial setting) normal authentication method (step S13). Then, the authentication processing unit 212 transmits the result of the normal authentication (success/failure) to the identity score calculation device 10. Upon acquiring the result of the normal authentication, the authentication result collection unit 111 of the identity score calculation device 10 stores it in the authentication result DB 100 as authentication result information 110 (FIG. 5) (step S14).
  • the advanced authentication control unit 114 of the identity score calculation device 10 determines whether or not to perform advanced authentication in addition to normal authentication for the user who has accessed within a predetermined period (step S15).
  • the advanced authentication control unit 114 randomly determines whether the user is to perform advanced authentication.
  • the behavior information collection unit 112 of the identity score calculation device 10 acquires information regarding the user's behavior history (behavior history information 222) from the external server 40 (step S16), and stores it in the behavior information DB 200. do.
  • the behavior information collection unit 112 acquires information on the time of entry and exit of the person associated with the account (entry/exit management information) from the entry/exit management server (external server 40) as the behavior history information 222.
  • the advanced authentication control unit 114 of the identity score calculation device 10 refers to the behavior information 220 (FIG. 6) regarding the user for whom advanced authentication is performed, and if the person (user) is associated with the account, the authentication is successful.
  • the advanced authentication method to be used is determined (step S17). Then, the advanced authentication control unit 114 notifies the authentication device 20 of whether advanced authentication is necessary for the user (here, "required") and the determined advanced authentication method.
  • the advanced authentication control unit 114 determines that, for example, as shown by the symbol y in FIG. In other words, when it is assumed that there is a user in the office, advanced authentication using an employee identification card (smart card) is determined as an advanced authentication method that will be successful if it is a person linked to the account.
  • employee identification card smart card
  • the authentication processing unit 212 of the authentication device 20 executes advanced authentication for the corresponding user using the notified advanced authentication method (step S18).
  • the authentication processing unit 212 performs advanced authentication on the user using an employee ID card.
  • the user who has successfully undergone advanced authentication by the authentication processing unit 212 is permitted to log in to the Web server 51 with an account.
  • the authentication processing unit 212 of the authentication device 20 transmits the result of the advanced authentication (success/failure) to the identity score calculation device 10. Then, upon acquiring the result of the advanced authentication, the authentication result collection unit 111 of the identity score calculation device 10 stores it in the authentication result DB 100 as authentication result information 110 (FIG. 5) (step S19).
  • the statistical processing unit 115 of the identity score calculation device 10 calculates statistical values (number of users) as a result of normal authentication and various types of advanced authentication for all users who have accessed during a predetermined period, and It is stored in the statistical information DB 300 as information 310 (FIG. 7).
  • the probability calculation unit 116 of the authenticity score calculation device 10 uses the statistical information 310 (FIG. 7) to calculate the probability of authenticity for all users, including those who have not performed advanced authentication (step S20).
  • the probability calculation unit 116 calculates the probability (P S P ) that a user who successfully authenticates in a predetermined period is the authentic user using the above-mentioned formula (5). For example, by referring to the statistical information 310 shown in FIG. 7, the probability calculation unit 116 calculates the probability that the person is the person (P S P ) using equation (5), and the following score (estimated value) is obtained. becomes.
  • the probability calculation unit 116 calculates the probability (P t ) that the person is the real person, including the case where the normal authentication fails, using equation (9). For example, by referring to the statistical information 310 shown in FIG. 7, the probability calculation unit 116 calculates the probability (P t ) of the identity of the person using equation (9), resulting in the following score.
  • the probability calculation unit 116 transmits the calculated probability of the identity of the user who has accessed the account to the authentication device 20.
  • the normal authentication selection unit 213 of the authentication device 20 obtains the estimated value of the probability of the user's identity from the identity score calculation device 10 at predetermined intervals. Then, the normal authentication selection unit 213 selects an optimal normal authentication method from a plurality of types of normal authentication methods according to the obtained estimated value of the probability of the user's identity (step S21).
  • the normal authentication selection unit 213 selects a standard normal authentication method (for example, a normal authentication method) that takes into consideration the user's convenience. n”).
  • a standard normal authentication method for example, a normal authentication method
  • the normal authentication selection unit 213 selects a relatively strong normal authentication method (for example, Select the normal authentication method "1").
  • the normal authentication selection unit 213 sets the normal authentication method by notifying the authentication processing unit 212 of information on the selected normal authentication method (step S22).
  • the normal authentication selection unit 213 selects a non-identity among the users who have succeeded in normal authentication. Evaluate the threat based on the percentage of individuals involved and select normal authentication.
  • the estimated value calculated by the "probability of authenticity when including users who have failed normal authentication” (Equation (9))
  • the percentage of users who have failed normal authentication that are the real person When there are many authentication methods, from the viewpoint of user convenience, the normal authentication method with relatively high strength is changed to the normal authentication method with standard strength while taking the above-mentioned threats into consideration.
  • the identity authentication system 1 it is possible to select the optimal authentication method based on the estimated value of the identity of all users who have accessed the site in a predetermined period.
  • the identity score calculation device 10 (advanced authentication control unit 114) of the identity authentication system 1 according to the present embodiment randomly determines a user to perform advanced authentication in addition to normal authentication, and authenticates the determined user. A successful advanced authentication method was determined and notified to the authentication device 20.
  • the advanced authentication control unit 114 refers to the authentication result DB 100 regarding a randomly determined user who performs advanced authentication, and regarding a user who has failed in normal authentication, , control not to perform advanced authentication.
  • the user's identity is estimated using the probability that the user is the authentic user (P S P ) (Equation (5)), and the probability that the user is not the authentic user (P S n )
  • the identity is estimated using (Equation (6)).
  • ⁇ 1 ⁇ 1 can be expressed by the following formula (10).
  • (z 1 ′) is the number (z 1 ′) of users who succeeded in normal authentication and failed in advanced authentication. These numbers can be observed if advanced authentication is performed only for users who have successfully undergone normal authentication among the user group. Note that users who have failed normal authentication are also included in the randomly sampled users in order to obtain N1 .
  • the advanced authentication control unit 114 of the modified example performs control so that advanced authentication is not performed for users who have failed normal authentication even if they are sampled. Even in this case, the probability calculation unit 116 can calculate the estimated value of the identity of all users.
  • FIG. 11 is a hardware configuration diagram showing an example of a computer 900 that implements the functions of the identity score calculation device 10 and the authentication device 20 according to the present embodiment.
  • the computer 900 includes a CPU (Central Processing Unit) 901, a ROM (Read Only Memory) 902, a RAM 903, an HDD (Hard Disk Drive) 904, an input/output I/F (Interface) 905, a communication I/F 906, and a media I/F 907.
  • CPU Central Processing Unit
  • ROM Read Only Memory
  • RAM 903 Random Access Memory
  • HDD Hard Disk Drive
  • I/F Interface
  • the CPU 901 operates based on a program stored in the ROM 902 or HDD 904, and performs control by the control unit.
  • the ROM 902 stores a boot program executed by the CPU 901 when the computer 900 is started, programs related to the hardware of the computer 900, and the like.
  • the CPU 901 controls an input device 910 such as a mouse or a keyboard, and an output device 911 such as a display or printer via an input/output I/F 905.
  • the CPU 901 acquires data from the input device 910 via the input/output I/F 905 and outputs the generated data to the output device 911.
  • a GPU Graphics Processing Unit
  • the like may be used in addition to the CPU 901 as the processor.
  • the HDD 904 stores programs executed by the CPU 901 and data used by the programs.
  • the communication I/F 906 receives data from other devices via a communication network (for example, NW (Network) 920) and outputs it to the CPU 901, and also sends data generated by the CPU 901 to other devices via the communication network. Send to device.
  • NW Network
  • the media I/F 907 reads the program or data stored in the recording medium 912 and outputs it to the CPU 901 via the RAM 903.
  • the CPU 901 loads a program related to target processing from the recording medium 912 onto the RAM 903 via the media I/F 907, and executes the loaded program.
  • the recording medium 912 is an optical recording medium such as a DVD (Digital Versatile Disc) or a PD (Phase change rewritable disk), a magneto-optical recording medium such as an MO (Magneto Optical disk), a magnetic recording medium, a semiconductor memory, or the like.
  • the CPU 901 of the computer 900 executes the program loaded on the RAM 903 to perform the identity score calculation device 10 and the authentication device 10.
  • the functions of the device 20 are realized.
  • data in the RAM 903 is stored in the HDD 904 .
  • the CPU 901 reads a program related to target processing from the recording medium 912 and executes it.
  • the CPU 901 may read a program related to target processing from another device via a communication network (NW 920).
  • the identity authentication system is an identity authentication system 1 that includes an identity score calculation device 10 that calculates a score indicating the identity of a user, and an authentication device 20 that performs user authentication.
  • the identity score calculation device 10 has a plurality of types of advanced authentication means for performing authentication with an authentication strength that suppresses successful authentication to a second predetermined level or less.
  • the behavior information collection unit 112 collects access information 221 indicating the service usage environment in which the account was accessed, and behavior information 220 indicating the user's behavior history information 222, and the authentication device 20 collects information about the success or failure of normal authentication and advanced authentication.
  • An authentication result collection unit 111 that collects authentication result information 110 indicating failure, and determines whether or not to perform advanced authentication in addition to normal authentication for users who have accessed the account within a predetermined period, and performs advanced authentication.
  • the advanced authentication means that suppresses the possibility of authentication failure for the user himself or herself to a first predetermined level or less is determined with reference to the behavior information 220.
  • the advanced authentication control unit 114 notifies the authentication device 20 of the advanced authentication method determined for the user who has been determined to perform advanced authentication, and the number of successful and unsuccessful users of normal authentication obtained from the authentication result information 110, and the advanced authentication method.
  • the authentication device 20 includes a probability calculation unit 116 that calculates the probability of the identity of the user who has accessed the account based on statistical values using the number of users who have successfully and unsuccessfully authenticated. , performs normal authentication using a predetermined normal authentication means, and also performs advanced authentication for the user who has been determined to perform advanced authentication using the advanced authentication means notified by the identity score calculation device 10, and performs normal authentication. and an authentication processing unit 212 that transmits authentication result information of advanced authentication to the identity score calculation device 10.
  • the identity authentication system 1 uses observable information to verify the identity of all users accessing the account, without relying on the unique standards of the device or the know-how that differs from product to product. It can be calculated using probability as an objective numerical value. In other words, since it is possible to evaluate the percentage of accesses to accounts by non-identified individuals, in the event of an increase in unauthorized access, there is no need for proprietary advanced know-how regarding other products or devices that score identity. becomes. In addition, in order to quantify the user's identity as a probability using observable information about the person associated with the account (authentication results of normal authentication and advanced authentication), the maintainer's advanced information such as past service operation results is used. Knowledge and knowledge can be made unnecessary.
  • the probability calculation unit 116 of the identity score calculation device 10 transmits the calculated probability of identity to the authentication device 20 every predetermined period, and the authentication device 20 calculates the identity score.
  • the present invention is characterized by comprising a normal authentication selection unit 213 that selects a newly set predetermined normal authentication means from among a plurality of types of normal authentication means according to the probability of identity obtained from the device 10.
  • the identity authentication system 1 selects the normal authentication method with the optimal strength in consideration of user convenience and security, based on the probability of identity among all users who have accessed in a predetermined period. be able to. Further, the identity authentication system can select the most suitable normal authentication method without the intervention of a maintenance person (automatically) according to the probability of identity calculated at each predetermined period.
  • the identity authentication system 1 is characterized in that the probability calculation unit 116 calculates the probability that a user who has successfully authenticated in a predetermined period is the user himself/herself as the probability of the identity of the user who has accessed the account. shall be.
  • the identity authentication system 1 can estimate the identity of a user who has successfully undergone normal authentication. Specifically, the identity authentication system 1 can calculate the probability that a user who has successfully undergone normal authentication is an authentic user using the above-mentioned equation (5). Therefore, the identity authentication system 1 can select a normal authentication method by evaluating the threat based on the proportion of non-identified users among the users who have succeeded in normal authentication.
  • the identity authentication system 1 refers to the authentication result information regarding a user for whom the advanced authentication control unit 114 has determined to perform advanced authentication in addition to normal authentication, and if the normal authentication for the user is unsuccessful, The feature is that the advanced authentication means is not notified to the authentication device.
  • the identity authentication system 1 refers to the authentication results of the normal authentication, and if the normal authentication has failed, even if the user is determined to perform the advanced authentication, the user does not have to perform the advanced authentication method. It is possible to make no determination and not notify the authentication device. Therefore, when calculating the probability of identity for a user who has succeeded in normal authentication, the authentication device should not perform advanced authentication for users who have failed normal authentication, which is unnecessary for calculating the identity, and the authentication device's processing Load can be reduced.
  • the probability calculation unit 116 calculates the probability that the user is the authentic user among all users, including users who have failed normal authentication within a predetermined period, as the probability of the identity of the user who has accessed the account. It is characterized by calculating.
  • the identity authentication system 1 can calculate the probability that the user is the authentic user among all users, including users who have failed normal authentication within a predetermined period. Specifically, the identity authentication system 1 can Using the above formula (9), the probability that the user is the authentic user among all the users, including those who have failed the normal authentication, can be calculated, and if the proportion of users who have failed the normal authentication is high, then From the perspective of user convenience, settings can be changed, such as changing from a normal authentication method with relatively high strength to a normal authentication method with standard strength, while taking the above threats into consideration.
  • the identity score calculation device is an identity score calculation device 10 that is connected to an authentication device 20 that performs user authentication and calculates a score indicating the user's identity, and the authentication device 20 is a standard
  • the authentication device 20 is a standard
  • normal authentication means for normal authentication that performs authentication of authentication strength
  • authentication failure is suppressed to below a first predetermined level if the user is the user himself/herself, and authentication is successful if the user is not the user himself/herself.
  • Authentication result information indicating success or failure of normal authentication and advanced authentication is received from the behavior information collection unit 112 that collects access information 221 indicating the usage environment and behavior information 220 indicating user behavior history information 222, and from the authentication device 20.
  • an authentication result collection unit 111 that collects 110, and a user who has determined whether to perform advanced authentication in addition to normal authentication for users who have accessed the account within a predetermined period;
  • an advanced authentication means that suppresses authentication failure for the user himself/herself to a first predetermined level or less is determined by referring to the behavior information 220, and advanced authentication is executed.
  • the advanced authentication control unit 114 notifies the authentication device 20 of the advanced authentication means determined for the determined user, and the number of successful and failed users of normal authentication, the number of successful and failed advanced authentications obtained from the authentication result information 110. It is characterized by comprising a probability calculation unit 116 that calculates the probability of the identity of the user who has accessed the account based on statistical values using the number of users.
  • the identity score calculation device 10 can determine the identity of all users accessing the account using observable information, without relying on the device's unique standards or know-how that differs from product to product. , can be calculated using probability as an objective numerical value.
  • the authentication device is an authentication device 20 that is connected to an identity score calculation device 10 that calculates a score indicating the user's identity and performs user authentication, and the authentication device 20 has a standard authentication strength.
  • the system suppresses authentication failure to a first predetermined level or less if the user is the user himself/herself, and suppresses authentication failure if the user is a non-principal user.
  • the authentication device 20 has multiple types of advanced authentication means for performing authentication with an authentication strength that is suppressed to a predetermined level or less, and the authentication device 20 uses a predetermined normal authentication method to authenticate a user who has accessed an account.
  • the authentication processing unit 212 sends information to the identity score calculation device 10, and the normal authentication is newly set from among multiple types of normal authentication means according to the probability of identity acquired from the identity score calculation device 10. It is characterized by comprising a normal authentication selection section 213 for selecting a means.
  • the authentication device can select the normal authentication method with the optimal strength in consideration of user convenience and security, based on the probability of authenticity among all users who have accessed for a predetermined period. . Further, the authentication device can select the most suitable normal authentication method without the intervention of a maintenance person (automatically) according to the probability of authenticity calculated at each predetermined period.
  • Identity authentication system 3 User terminal 10 Identity score calculation device 20 Authentication device 40 External server 51 Web server 52 Internal system 53 Cloud service 11, 21 Control section 12, 22 Input/output section 13, 23 Storage section 100 Authentication result DB 110 Authentication result information 111 Authentication result collection unit 112 Behavior information collection unit 113 External server cooperation unit 114 Advanced authentication control unit 115 Statistical processing unit 116 Probability calculation unit 200 Behavior information DB 211 Access information acquisition unit 212 Authentication processing unit 213 Normal authentication selection unit 214 Authentication control unit 215 Unified information management unit 220 Behavior information 221 Access information 222 Behavior history information 300 Statistical information DB 400 User information DB

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Collating Specific Patterns (AREA)

Abstract

本人性認証システム（１）は、本人性スコア算出装置（１０）と認証装置（２０）とを備える。本人性スコア算出装置（１０）は、アクセス情報と行動履歴を振る舞い情報として収集する振る舞い情報収集部と、通常認証に加えて高度認証を実行すると判定したユーザについて、振る舞い情報に基づき高度認証手法を決定する高度認証制御部と、認証結果情報を用いて本人性の確率を算出する確率算出部を備える。認証装置（２０）は、通常認証および高度認証を実行し、認証結果情報を、本人性スコア算出装置（１０）へ送信する認証処理部を備える。

Description

本人性認証システム、本人性認証方法、本人性スコア算出装置、認証装置、および、プログラム
　本発明は、Ｗｅｂサービスやオンラインシステムのアカウントにアクセスするユーザが正規のユーザであるかを定量的に推定する、本人性認証システム、本人性認証方法、本人性スコア算出装置、認証装置、および、プログラムに関する。
　ユーザにとって、便利なログイン手法として、シングルサインオン（ＳＳＯ：Single Sign On）システムが知られている。シングルサインオンとは、１度のユーザ認証によって複数のシステム（Ｗｅｂサービスや社内システム、クラウドサービス等）の利用が可能となる仕組みを意味する。
　例えば、図１２に示すような非特許文献１に記載のシングルサインオンシステム１ａでは、ユーザの振る舞いに関する情報を収集して、本人性スコア算出機能（図１２の本人性スコア算出装置１０ａ）において、ユーザの本人性のスコアを算出する。ユーザの振る舞いに関する情報としては、ユーザのアカウントへのアクセス時刻、利用している端末やデバイス、アクセス時の位置情報などがある。
　また、シングルサインオンシステム１ａの認証機能（図１２の認証装置２０ａ）が、本人性スコア算出装置１０ａが算出した、ユーザの本人性のスコアに基づいて、本人性の低い（スコアの高い）ユーザに対しては、２段階認証などの厳格な認証を行ってから、アカウントへのアクセスを許可する。
　なお、本明細書において「本人性」とは、アカウントにアクセスしてくるユーザが、そのアカウントに紐づく真のユーザ（本人）であることの信頼性を意味する。
　図１２で示すシングルサインオンシステム１ａにおける本人認証の処理の流れについて説明する。なお、ここでは、シングルサインオン（以下、「ＳＳ０」と記載することがある。各図も同様。）を利用するシステムとして、Ｗｅｂサーバ５１、社内システム５２、クラウドサービス５３等をユーザが利用する環境において、Ｗｅｂサーバ５１に対しアクセスする例として説明する。
　（ステップＳ１）まず、ユーザはユーザ端末３を用いてＷｅｂサービスを利用するために、Ｗｅｂサーバ５１にアクセスしてログイン要求する。
　（ステップＳ２）Ｗｅｂサーバ５１は、ユーザを認証するために、ユーザ端末３を経由して、シングルサインオンシステム１ａにリダイレクトする。
　（ステップＳ３）シングルサインオンシステム１ａの認証装置２０ａは、ユーザ端末３から、ユーザの振る舞い情報として、位置情報、端末種別（デバイス情報）を取得する。
　（ステップＳ４）認証装置２０ａは、位置情報、端末種別（デバイス情報）を、アクセス時刻とともに、本人性スコア算出装置１０ａに送信する。
　（ステップＳ５）本人性スコア算出装置１０ａは、認証装置２０ａから取得した、位置情報、端末種別（デバイス情報）、アクセス時刻を、ユーザ振る舞い情報テーブルに格納する。そして、本人性スコア算出装置１０ａは、位置情報、端末種別（デバイス情報）、アクセス時刻ごとの過去のアクセス時の情報との差分に基づいてスコアを算出し記録する。
　この本人性スコア算出装置１０ａが算出するユーザの本人性のスコアは、ユーザの振る舞い情報の項目ごとに、取得したユーザ振る舞い情報に基づきアカウントにアクセスしようとしているユーザがアカウントの所有者であるかを推定し、数値で評価するものである。そして、本人性のスコアの算出では、過去のアクセス時の情報との差分が大きいほど、スコアが大きい値とする。例えば、位置情報では、いつもと異なるエリアからの接続ほどスコアの値を大きくする。端末種別（デバイス情報）では、いつもと異なるデバイスでの接続ほど、スコアの値を大きくする。アクセス時刻では、いつもと異なる時刻にアクセスした場合ほど、スコアの値を大きくする。本人性スコア算出装置１０ａは、図１３で示すように、ユーザの振る舞い情報の項目ごとに評価した数値を合算した値を、ユーザの本人性のスコアとして算出し記憶する。
　（ステップＳ６）本人性スコア算出装置１０ａは、算出したユーザの本人性のスコアを、認証装置２０ａに送信する。
　（ステップＳ７）認証装置２０ａは、本人性のスコアが、予め設定された閾値を超えている場合には、２段階認証を実行してユーザを認証する。また、閾値を超えていない場合、認証装置２０ａは、デフォルトの認証手法によりユーザを認証する。
　このようにして、シングルサインオンシステム１ａにより、本人性のスコアを用いて本人認証を行うことができる。
　一方、アカウントにアクセスするユーザの本人性に関する技術として、非特許文献２に記載の技術が知られている。
　非特許文献２に記載の技術では、ＩＣＳ（Industrial Control Systems）に特徴的な高セキュリティなインシデント予測を行うために、マルチレベルベイズネットワークを構築して、インシデントの発生確率（攻撃が起こる確率：本人でない確率）を予測する。そして、マルチレベルベイズネットワークと、マルチモデルを組み合わせて、そのインシデントによりもたらされる影響（被害）の量を評価する。非特許文献２に記載の技術では、ネットワークに攻撃をもたらすリスクを、インシデントの発生確率と、もたらされる影響の量とに基づき評価する。
"SmartFactor Authentication,"OneLogin, ［online］,［令和4年6月7日検索］、インターネット＜ＵＲＬ：https://www.onelogin.com/product/smartfactor-authentication＞ Q. Zhang, et.al.,"Multimodel-Based Incident Prediction and Risk Assessment in Dynamic Cybersecurity Protection for Industrial Control Systems,"IEEE Transactions on Systems, Man, and Cybernetics: Systems, vol. 46, no. 10, pp. 1429-1444, 2016.
　しかしながら、非特許文献１および非特許文献２に記載の技術では、個々のユーザの本人性のスコアを数値化（スコア化）しているので、ネットワークやサーバの運用状態（例えば、ネットワークやサーバへの攻撃と思われるトラヒック量の変化）に基づいてセキュリティと利便性を最適化した認証を行うことは困難である（課題Ａ）。
　また、非特許文献１に記載の技術では、ユーザの本人性のスコアが、製品ごとに独自の基準でスコア化したものであるため、アカウントの保守者は、本人ではないユーザ（アカウントの所有者ではない、なりすまし等）がもたらす脅威が発生したときの影響評価と対応判断に、製品ごとに異なるノウハウの習得が必要になる（課題Ｂ）。さらに、独自の基準でユーザの本人性を数値化しているため、複数の製品の各数値を統合して本人性を評価することが難しい（課題Ｃ）。
　一方、非特許文献２に記載の技術では、保守者の高度な知識に基づいて、ユーザの振る舞いに関するパラメータや状態遷移確率が抽出されていることが前提であり、攻撃が起こる確率（本人でない確率）や、インシデントが他のインシデントをもたらす確率などが、既知でないと、ユーザの本人性を確率で数値化できない（課題Ｄ）。
　このような点に鑑みて本発明がなされたのであり、本発明は、ユーザの本人性のスコアを、製品ごとの独自の基準やノウハウを用いることなく、観測可能な情報から算出することを課題とする。
　本発明に係る本人性認証システムは、ユーザの本人性を示すスコアを算出する本人性スコア算出装置と、ユーザ認証を行う認証装置とを備える本人性認証システムであって、前記認証装置が、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、前記本人性スコア算出装置が、ユーザがユーザ端末によりアカウントにアクセスしたサービス利用環境を示すアクセス情報と、前記ユーザの行動履歴情報とを示す振る舞い情報を収集する振る舞い情報収集部と、前記認証装置から、前記通常認証および前記高度認証の成功または失敗を示す認証結果情報を収集する認証結果収集部と、所定期間内にアカウントにアクセスしてきたユーザに対して、前記通常認証に加えて前記高度認証を実行するか否かを判定し、前記高度認証を実行すると判定したユーザに関し、前記複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する前記高度認証手段を、前記振る舞い情報を参照して決定し、前記高度認証を実行すると判定したユーザについて決定した高度認証手段を、前記認証装置に通知する高度認証制御部と、前記認証結果情報から得られる、前記通常認証の成功および失敗のユーザ数、前記高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出する確率算出部と、を備え、前記認証装置が、前記アカウントにアクセスしてきたユーザに対して、所定の通常認証手段による通常認証を実行するとともに、前記本人性スコア算出装置から通知された高度認証手段により、前記高度認証を実行すると判定したユーザに対し高度認証を実行し、前記通常認証および前記高度認証の前記認証結果情報を前記本人性スコア算出装置に送信する認証処理部を備えることを特徴とする。
　本発明によれば、ユーザの本人性のスコアを、製品ごとの独自の基準やノウハウを用いることなく、観測可能な情報から算出することができる。
本実施形態に係る本人性認証システムの全体構成を示す図である。 本実施形態に係る本人性認証システムの処理の概要を説明するための図である。 本実施形態に係る本人および非本人の認証結果を説明するための図である。 本実施形態に係る本人性スコア算出装置の構成例を示す機能ブロック図である。 本実施形態に係る認証結果ＤＢに格納される認証結果情報のデータ構成例を示す図である。 本実施形態に係る振る舞い情報ＤＢに格納される振る舞い情報（アクセス情報および行動履歴情報）のデータ構成例を示す図である。 本実施形態に係る統計情報ＤＢに格納される統計情報のデータ構成例を示す図である。 本実施形態に係る認証装置の構成例を示す機能ブロック図である。 本実施形態に係る認証装置による通常認証手法の選択処理を説明するための図である。 本実施形態に係る本人性認証システムが実行する処理の流れを示すシーケンス図である。 本実施形態に係る本人性スコア算出装置および認証装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。 従来のシングルサインオンシステムを説明するための図である。 従来技術におけるユーザの本人性のスコアの算出例を説明するための図である。
　次に、本発明を実施するための形態（以下、「本実施形態」と称する。）について説明する。
　図１は、本実施形態に係る本人性認証システム１の全体構成を示す図である。
　本実施形態に係る本人性認証システム１は、認証装置２０および本人性スコア算出装置１０により構成されるシングルサインオン（ＳＳＯ）システムである。この本人性認証システム１の認証装置２０が、ユーザの認証を受け付けることにより、Ｗｅｂサービスを提供するＷｅｂサーバ５１や、社内システム５２、クラウドサービス５３等について、１度の認証によりユーザのアカウントを一元的に管理する。
　また、本人性認証システム１は、アカウントに紐づくヒトの振る舞いに関する情報を、サービス利用環境（位置情報、利用時間、回線情報、ＩＤ情報など）および行動履歴からユーザの手間をかけずに収集する。例えば、ユーザの行動履歴の情報を、外部サーバ４０（例えば、入退室管理サーバ等）から取得する。つまり、アカウントの認証チャネルとは別のチャネルの機器やシステム（アウトオブバンド）から、アカウントに紐づくヒトの振る舞いに関する情報を取得する。そして、取得したヒトの振る舞いに関する情報を、認証手法（後記する、「高度認証手法」）の選択の判断に利用する。
＜概要および技術思想＞
　まず、本実刑形態に係る本人性認証システム１の概要と、上記した課題Ａ～Ｄを解決する技術思想について説明する。
　本実施形態に係る本人性認証システム１は、上記した課題Ａを解決するため、運用中にＷｅｂサーバ５１や、社内システム５２、クラウドサービス５３等にアクセスするユーザ全体の本人性の割合の傾向を評価する。つまり、個々のユーザの本人性ではなく、ユーザ全体の本人性の割合に着目する。また、上記した課題Ｂ，Ｃを解決するため、本人性認証システム１（本人性スコア算出装置１０）は、Ｗｅｂサーバ５１や社内システム５２、クラウドサービス５３等にアクセスするユーザの本人性を、装置の独自基準によらず、客観的な数値として確率で評価することを可能にする。また、上記した課題Ｄを解決するため、本人性認証システム１（本人性スコア算出装置１０）は、Ｗｅｂサーバ５１等のアカウントに紐づくヒトの振る舞いに関する観測可能な情報を用いて、Ｗｅｂサーバ５１等にアクセスするユーザの本人性をスコアリングすることを可能にする。
　上記した課題を解決するための本人性認証システム１の機能（および処理）に関する技術思想について説明する。
　本実施形態に係る本人性認証システム１では、上記課題Ａを解決するため、Ｗｅｂサーバ５１や社内システム５２、クラウドサービス５３等にアクセスするユーザ全体における本人性の割合の傾向を評価する確率の推定値に基づいて、最適な強度の通常認証の手法を（自動的に）選択できるようにする。また、課題Ｂ，Ｃを解決するため、ユーザの本人性を、装置の独自基準によらず、客観的な数値として確率で評価できるようにする。また、課題Ｄを解決するため、Ｗｅｂサービス等のアカウントに紐づくヒトの振る舞いに関する観測可能な情報を用いて、Ｗｅｂサービス等にアクセスするユーザの本人性のスコアリングを可能にする。つまり、過去のサービス運用実績などの保守者の高度な知識や知見を不要とする。さらに、アカウントに紐づくヒトの振る舞いに関する情報を、サービス利用環境（位置情報、利用時間、回線情報、ＩＤ情報など）および行動履歴から、ユーザの手間をかけさせずに収集するものとする。
　そして、本人性認証システム１は、ユーザ全体における本人性の確率の推定値に基づいて、最適な強度の通常認証の手法を（自動的に）選択できるようにする。
　本人性認証システム１は、上記した課題Ａ～Ｄを解決した上で、ユーザ全体における本人性の確率の推定値に基づいて、最適な通常認証の選択を可能にするため、以下の技術思想を導入する。
［技術思想１：非本人の割合を推定するための高度認証］
　本人性認証システム１は、認証装置２０が従来から行う通常認証と、非本人の割合を推定するための「高度認証」とを併用する。
　ここで、通常認証とは、ユーザにアカウントの利用を許可するための手続きとして標準的な認証強度の認証であり、例えば、世の中で広く用いられている、ユーザＩＤとパスワードによる認証である。
　本人性認証システム１では、通常認証の他に、ランダムにサンプリングしたユーザについて、アカウントにアクセスするユーザ群の中で本人でないユーザ（以下、「非本人」と称する。）の割合を推定するためのユーザ認証（以下、「高度認証」と称する。）を行う。
　高度認証は、強度の高いユーザ認証を意味し、ユーザ本人であれば認証失敗することをほぼ抑止し（ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し）、非本人であれば認証成功することほぼ抑止する（非本人であれば認証成功することを第２の所定レベル以下に抑止する）レベルの認証を意味する。
　高度認証として、例えば、スマートカードや、ＳＭＳ（Short Message Service）認証、利用時にロック解除や回線利用などを必要とするアウトオブバンドでの認証手法であり、多要素かつ暗号学的に十分な強度を持つ認証手法を用いる。
　なお、本実施形態において、「多要素かつ暗号学的に十分な強度を持つ」という意味を、「ユーザ本人であれば認証失敗することをほぼ抑止する（ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する）」、「非本人であれば認証成功することほぼ抑止する（非本人であれば認証成功することを第２の所定レベル以下に抑止する）」と同じ意味として用いる。
［技術思想２：複数の高度認証の中からユーザ本人が認証失敗することを抑止できる高度認証を選択］
　本人性認証システム１は、高度認証の手法を複数用意しておき、アクセスするアカウントに紐づくヒトの振る舞いに関する情報に基づいて、ユーザ本人が認証失敗することを抑止できる高度認証を選択する。
　図２で示すように、本人性認証システム１では、通常認証に加えて、複数の高度認証の手法（高度認証手法「１」～「ｎ」）を備える。そして、アカウントにアクセス要求してきたユーザのうち、ランダムに選択したユーザについて、通常認証に加えて、複数の高度認証（高度認証手法「１」～「ｎ」）のうちのいずれかの高度認証を選択して行う。この高度認証手法の選択は、アクセスするアカウントに紐づくヒト（ユーザ）の振る舞いに関する情報（後記する「振る舞い情報」）に基づき行われる（図２の符号ｘ）。
　高度認証手法の選択は、例えば、以下のように行われる。
　（例１）アクセスするアカウントに紐づくヒトが、直近に、ＩＤ連携先の他のアカウントにマイナンバーカードを用いた何らかの認証を行いて成功していた場合、マイナンバーカードを用いた高度認証を選択する。
　（例２）アクセスするアカウントに紐づくヒトが、直近に、予め登録済みの携帯端末からネットワークにアクセスしていた場合、ＳＭＳを用いた高度認証を選択する。
　（例３）アクセスするアカウントに紐づくヒトが、オフィスに入室後であり、入出時にＩＣカード機能を持つ社員証（スマートカード）でドア開閉を行った場合、スマートカードを用いた高度認証を選択する。
　（例４）アクセスするアカウントに紐づくヒトが、在宅勤務を予定している場合、予め登録済みの自宅の回線ＩＤを用いた高度認証を選択する。
　このように、本人性認証システム１では、アクセスするアカウントに紐づいたヒトの振る舞い情報を記憶しておき、アクセスしてきたヒトのリアルタイムの振る舞いに基づいて、高度認証を選択する。ヒトの振る舞い情報を利用することで、本人が認証失敗することを抑止することができる。
［技術思想３：ユーザ全体における本人性の確率の推定値の算出手法］
　本人性認証システム１では、以下に示す前提を用いて、ユーザ全体における本人性の確率の推定を行う。
　（前提１）選択した高度認証手法では、本人はほぼ認証成功し（ユーザ本人であれば認証失敗することが第１の所定レベル以下であり）、非本人はほぼ認証を失敗する（非本人であれば認証成功することが第２の所定レベル以下である）。
　（前提２）非本人によるアカウントへのアクセスは、アカウントの状態（利用中かどうか、利用しているユーザの位置情報や回線種別などの環境）には関わらない。つまり、技術思想２で示した高度認証手法の選択が、非本人の割合に関して恣意的にならないものとする。
　（前提３）所定期間に認証要求してきた全ユーザ（母集団Ｎ2）から、ランダムにサンプリングしたユーザ群（Ｎ1）において、以下の割合は、母集団でのそれらの割合と近似できる。なお、（前提３）を実現するために（前提１）および（前提２）が必要となる。
Figure JPOXMLDOC01-appb-M000001
　ここで、図３で示すように、ａ1は、ユーザ群（Ｎ1）において、通常認証に成功し、選択した高度認証にも成功した本人の数を示す。ｃ1は、ユーザ群（Ｎ1）において、通常認証に失敗し、選択した高度認証で成功した本人の数を示す。ｂ1は、ユーザ群（Ｎ1）において、通常認証に成功し、選択した高度認証で失敗した非本人の数を示す。ｄ1は、ユーザ群（Ｎ1）において、通常認証に失敗し、選択した高度認証でも失敗した非本人の数を示す。
　また、ａ2は、母集団（Ｎ2）において、通常認証に成功した本人の数を示す。ｃ2は、母集団（Ｎ2）において、通常認証に失敗した本人の数を示す。ｂ2は、母集団（Ｎ2）において、通常認証に成功した非本人の数を示す。ｄ2は、母集団（Ｎ2）において、通常認証に失敗した非本人の数を示す。
　本人性認証システム１では、選択した高度認証手法に基づき、観測可能な以下の情報を収集する（図３参照）。
Figure JPOXMLDOC01-appb-M000002
　そして、本人性認証システム１は、母集団における、「非本人が通常認証に成功する割合β２」、および、「全ユーザに対する非本人の割合γ２」を、以下の式（１）および式（２）に基づき算出する。
Figure JPOXMLDOC01-appb-M000003
　この「非本人が通常認証に成功する割合β２」（式（１））は、全アカウントを対象にして、所定期間内にアクセスしてきた非本人のうち、通常認証に成功する割合である。これは、１アカウント当たりで非本人が乗っ取った（認証に成功した）割合を示している。
　また「全ユーザに対する非本人の割合γ２」（式（２））は、１アカウント当たりの攻撃の割合を示している。
　この式（１）、式（２）と、上記した観測可能なＮ2 (a+b)＝ａ2＋ｂ2 …式（３）、および、Ｎ2 (c+d)＝ｃ2＋ｄ2 …式（４）とを用いて、連立方程式を解くことにより、ａ2、ｂ2、ｃ2、ｄ2を求めることができる。
　具体的には、本人性認証システム１は、母集団における、「通常認証に成功する本人の数ａ2」、「通常認証に成功する非本人の数ｂ2」、「通常認証に失敗する本人の数ｃ2」、「通常認証に失敗する非本人の数ｄ2」を次の式により算出する。
Figure JPOXMLDOC01-appb-M000004
　そして、本人性認証システム１は、所定期間に通常認証に成功したユーザにおいては、本人である確率（ＰS P）（式（５））を用いて本人性を推定し、本人ではない確率（ＰS n）（式（６））を用いて本人性を推定する。
Figure JPOXMLDOC01-appb-M000005
　また、本人性認証システム１は、所定期間に通常認証に失敗したユーザにおいては、本人である確率（Ｐf P）（式（７））を用いて本人性を推定し、本人ではない確率（Ｐf n）（式（８））を用いて本人性を推定する。
Figure JPOXMLDOC01-appb-M000006
　本人性認証システム１は、所定期間にアクセスしてきた全ユーザにおいては、次の式（９）を用いて、本人である確率（Ｐt）を推定する。
Figure JPOXMLDOC01-appb-M000007
　このように、本人性認証システム１では、所定期間に通常認証に成功したユーザにおいては、本人である確率（ＰS P）を、式（５）を用いて本人性を推定することができる。
　また、本人性認証システム１では、通常認証に失敗した場合も含めた本人である確率（Ｐt）を、式（９）を用いて本人性を推定することができる。
　次に、本実施形態に係る本人性認証システム１を構成する、本人性スコア算出装置１０および認証装置２０について、具体的に説明する。
＜本人性スコア算出装置＞
　図４は、本実施形態に係る本人性スコア算出装置１０の構成例を示す機能ブロック図である。
　本人性スコア算出装置１０は、ユーザがユーザ端末３により、Ｗｅｂサーバ５１等のアカウントにアクセスした際の通常認証および高度認証の結果を、認証装置２０から取得し、アクセスしてきたユーザの本人性の確率を算出する。この本人性スコア算出装置１０は、アクセスするアカウントに紐づくヒト（ユーザ）の振る舞いに関する情報として、サービス利用環境（位置情報、利用時間、回線情報、ＩＤ情報など）や、行動履歴等を、「振る舞い情報」と収集し、本人が認証失敗するのを抑止できる、高度認証の手法を選択する。
　この本人性スコア算出装置１０は、制御部１１と、入出力部１２と、記憶部１３とを備えるコンピュータにより構成される。
　入出力部１２は、認証装置２０や、振る舞い情報を取得するための外部サーバ４０等との間の情報について入出力を行う。この入出力部１２は、通信回線を介して情報の送受信を行う通信インタフェースと、図示を省略したキーボード等の入力装置やモニタ等の出力装置との間で情報の入出力を行う入出力インタフェースとから構成される。
　記憶部１３は、ハードディスクやフラッシュメモリ、ＲＡＭ（Random Access Memory）等により構成される。
　この記憶部１３には、通常認証および高度認証の認証結果を格納する認証結果ＤＢ１００（詳細は後記する図５参照）と、ユーザの振る舞いに関する情報（振る舞い情報）を格納する振る舞い情報ＤＢ２００（詳細は後記する図６参照）と、通常認証および高度認証の結果を用いて算出された統計情報を格納する統計情報ＤＢ３００（詳細は後記する図７参照）とを備える。
　また、記憶部１３には、制御部１１の各機能を実行させるためのプログラムや、制御部１１の処理に必要な情報が一時的に記憶される。
　制御部１１は、本人性スコア算出装置１０が実行する処理の全般を司り、図４で示すように、認証結果収集部１１１と、振る舞い情報収集部１１２と、外部サーバ連携部１１３と、高度認証制御部１１４と、統計処理部１１５と、確率算出部１１６とを含んで構成される。
　認証結果収集部１１１は、ユーザがアカウントにアクセスした際に、認証装置２０により行われる通常認証、および、高度認証が行われた場合には、その高度認証の結果を、認証装置２０から取得し、その認証結果の情報（認証結果情報１１０）を認証結果ＤＢ１００に格納する。
　図５は、本実施形態に係る認証結果ＤＢ１００に格納される認証結果情報１１０のデータ構成例を示す図である。
　認証結果情報１１０には、図５で示すように、各ユーザに固有なＩＤであるアカウント名に対応付けて、アカウントへのアクセス時刻、通常認証が成功か失敗かを示す通常認証結果、および、高度認証の結果を示す高度認証結果が格納される。
　なお、高度認証結果は、高度認証が実行された場合に、「成功」または「失敗」が格納され、高度認証の対象とならたかった場合には、「未実施」が格納される。
　図４に戻り、振る舞い情報収集部１１２は、ユーザのサービス利用環境に関する情報（アクセス情報）や、ユーザの行動履歴に関する情報（行動履歴情報）を取得し、振る舞い情報２２０として振る舞い情報ＤＢ２００に格納する。
　図６は、本実施形態に係る振る舞い情報ＤＢ２００に格納される振る舞い情報２２０（アクセス情報２２１および行動履歴情報２２２）のデータ構成例を示す図である。
　図６で示すように、アクセス情報２２１には、ユーザがアカウントへアクセスした際のサービス利用環境に関する情報として、各ユーザに固有なＩＤであるアカウント名に対応付けて、アクセス時刻、端末種別、位置等の情報が格納される。これ以外にも、端末種別が「スマホ」であれば、ＳＭＳ認証に必要なスマホのアドレス情報や、端末種別が「ＰＣ」であり、在宅勤務であれば回線情報等が、ユーザのアカウント名に紐づけられて格納される。
　なお、振る舞い情報収集部１１２は、このアクセス情報２２１を、認証装置２０がユーザ端末３から収集した情報を受け取ることにより取得する。
　また、振る舞い情報収集部１１２は、アウトオブバンドのシステムとしての外部サーバ４０から、ユーザの行動履歴に関する情報（行動履歴情報２２２）を取得する。例えば、アウトオブバンドのシステムが、オフィス等の入退室管理システムである場合、外部サーバ連携部１１３を介して、外部サーバ４０である入退室管理サーバから、図６で示すように、アカウントに紐づいたヒトの入退室時刻の情報（入退室管理情報）を取得し、振る舞い情報ＤＢ２００に格納する。
　外部サーバ連携部１１３は、ユーザ端末３とのチャネル（情報伝達経路）以外のチャネルから、ユーザの行動履歴を取得するための各種外部サーバ４０との連携処理（アウトオブバンド連携処理）を行う。例えば、上記のように、入退室管理サーバとの間で、アカウントに紐づくヒトの入退室時間等の送受信を行うための要求メッセージや応答メッセージの生成処理等を行う。
　高度認証制御部１１４は、所定期間内にアクセスしてきたユーザに対して、高度認証を行うか否かを判定する。高度認証制御部１１４は、上記した技術思想３の（前提２）を担保するため、通常認証を行ったユーザからランダムに高度認証を行うユーザを選択する。
　また、高度認証制御部１１４は、高度認証を行うとしたユーザに関し、振る舞い情報２２０（図６）を用いて、サービス利用環境に関する情報であるアクセス情報２２１や行動履歴情報２２２と、複数の高度認証のうちのユーザが認証に成功する高度認証との対応関係を、所定のロジックに基づくプロファイル（分析結果）として保持しておく。
　例えば、直前に、スマホからアクセスがあった場合には、高度認証として、ＳＭＳ認証を用いるとのプロファイルが作成される。直前に、オフィスの入退室記録がある場合には、オフィスビル等の入退室管理情報に基づき、社員証等のスマートカードによる認証を用いるとのプロファイルが作成される。
　高度認証制御部１１４は、高度認証を行うことに決定したユーザに対し、当該プロファイルを用いて、アカウントに紐づくヒト（ユーザ）であれば認証成功する高度認証の手法を決定する。
　そして、高度認証制御部１１４は、そのアカウントに紐づくユーザについて決定した高度認証手法を、認証装置２０に通知する。
　統計処理部１１５は、所定期間にアクセスしてきた全ユーザについて、通常認証や各種の高度認証を行った結果としての統計値（ユーザ数）を算出し、統計情報３１０として、統計情報ＤＢ３００に格納する。
　図７は、本実施形態に係る統計情報ＤＢ３００に格納される統計情報３１０のデータ構成例を示す図である。
　図７で示すように、統計情報３１０は、各高度認証の手法ごとに、その高度認証の結果（成功／失敗）と、その高度認証を行ったユーザの通常認証の結果が対応付けられて格納される。また、高度認証が未実施のユーザについての通常認証の結果（成功／失敗）のユーザ数が格納される。
　図４に戻り、確率算出部１１６は、統計情報ＤＢ３００に格納された統計情報３１０を参照して、アカウントにアクセスしてきたユーザの本人性の確率を算出する。
　確率算出部１１６は、所定期間に通常認証に成功したユーザにおいては、本人である確率（ＰS P）を、上記した式（５）を用いて算出する。
　なお、確率算出部１１６は、通常認証に失敗した場合も含めた本人である確率（Ｐt）を、式（９）を用いて算出してもよい。
　確率算出部１１６が、アカウントにアクセスしてきたユーザの本人性の確率の計算式として、式（５）および式（９）のどちらを用いるかは、予め決定しておく。そして、確率算出部１１６は、算出したユーザの本人性の確率（推定値）を、認証装置２０に送信する。
＜認証装置＞
　次に、本実施形態に係る認証装置２０について説明する。
　図８は、本実施形態に係る認証装置２０の構成例を示す機能ブロック図である。
　認証装置２０は、強度の異なる複数種類の通常認証の手法（通常認証手法）と、複数種類の高度認証の手法（高度認証手法）とを備える。認証装置２０は、ユーザ端末３からの認証要求を受け付け、予め設定しておいた通常認証を行うとともに、ユーザのサービス利用環境に関する情報（アクセス情報２２１）を取得する。そして、認証装置２０は、通常認証の結果やアクセス情報２２１を、本人性スコア算出装置１０へ送信する。また、認証装置２０は、本人性スコア算出装置１０から、高度認証を行うことに決定したユーザについて、決定した高度認証手法の情報を受け取り、その高度認証手法を行った上でその認証結果を本人性スコア算出装置１０に送信する。
　また、認証装置２０は、本人性スコア算出装置１０から、ユーザの本人性確率（推定値）の情報を取得し、非本人の割合の増加による脅威とユーザの利便性を考慮した、最適な通常認証手法を選択する。
　この本人性スコア算出装置１０は、制御部２１と、入出力部２２と、記憶部２３とを備えるコンピュータにより構成される。
　入出力部２２は、本人性スコア算出装置１０や、端末３、Ｗｅｂサーバ５１，社内システム５２、クラウドサービス５３等との間の情報について入出力を行う。この入出力部２２は、通信回線を介して情報の送受信を行う通信インタフェースと、図示を省略したキーボード等の入力装置やモニタ等の出力装置との間で情報の入出力を行う入出力インタフェースとから構成される。
　記憶部２３は、ハードディスクやフラッシュメモリ、ＲＡＭ（Random Access Memory）等により構成される。
　この記憶部２３には、アクセスしてきたユーザの通常認証に必要な情報がユーザ情報ＤＢ４００に格納される。例えば、アクセスしてきたユーザのアカウント名（ユーザＩＤ）とパスワードの情報や、ユーザ端末３のアドレス情報等が格納される。また、このユーザ情報ＤＢ４００には、高度認証を行った際に認証のために必要な情報も格納される。なお、この高度認証のために必要な情報は、本人性スコア算出装置１０の外部サーバ連携部１１３（図４）を介して外部サーバ４０等から取得し、ユーザ情報ＤＢ４００に格納しておいてもよい。
　また、記憶部２３には、制御部２１の各機能を実行させるためのプログラムや、制御部２１の処理に必要な情報が一時的に記憶される。
　制御部２１は、認証装置２０が実行する処理の全般を司り、図８で示すように、アクセス情報取得部２１１と、認証処理部２１２と、通常認証選択部２１３と、認証制御部２１４と、一元情報管理部２１５とを含んで構成される。
　アクセス情報取得部２１１は、ログイン要求を受け付けたユーザ端末３から、ユーザのサービス利用環境に関する情報（アクセス情報２２１）として、端末種別や位置情報等を取得する。そして、アクセス情報取得部２１１は、アクセス時刻（例えば、ログイン要求を受信した時刻）とともに、端末種別や位置情報等のアクセス情報２２１を、本人性スコア算出装置１０へ送信する。
　認証処理部２１２は、アカウントにアクセスしてきたユーザに対する、複数種類の通常認証手法と、複数種類の高度認証手法とを保持する。
　認証処理部２１２は、アクセスしてきたユーザに対し、設定された通常認証手法により認証を行う。また、認証処理部２１２は、本人性スコア算出装置１０から、高度認証を行うことに決定したユーザについて、決定した高度認証手法の情報を受け取り、複数の高度認証手段の中から、その高度認証手法を選択して認証を行う。
　認証処理部２１２は、通常認証および高度認証の結果（成功／失敗）を、本人性スコア算出装置１０へ送信する。
　通常認証選択部２１３は、本人性スコア算出装置１０から、ユーザの本人性の確率（推定値）を、所定期間ごとに取得する。そして、通常認証選択部２１３は、取得したユーザの本人性の確率に応じて、非本人の割合の増加による脅威と、ユーザの利便性を考慮して、複数の通常認証手法から最適な通常認証手法を選択する。
　図９で示すように、通常認証手法は、強度の高い通常認証手法「１」～強度の低い（標準の）通常認証手法「ｎ」まで、段階的に設定されている。そして、通常認証選択部２１３は、本人性スコア算出装置１０から、ユーザの本人性の確率の推定値を取得すると、例えば、ユーザの本人性の確率の推定値が、所定の閾値以上である場合には、ユーザの利便性を考慮した標準的な通常認証手法（例えば、通常認証手法「ｎ」）を選択する。標準的な通常認証手法「ｎ」は、例えば、ユーザＩＤとパスワードによる認証である。一方、通常認証選択部２１３は、ユーザの本人性の確率の推定値が、所定の閾値よりも低い場合には、ユーザの利便性を犠牲にして、比較的強度の高い通常認証手法（例えば、通常認証手法「１」）を選択する。比較的強度の高い通常認証手法「１」は、例えば、生体認証や２段階認証である。
　通常認証選択部２１３は、選択した通常認証手法の情報を、認証処理部２１２に通知することにより、通常認証手法の設定を行う。
　図８に戻り、認証制御部２１４は、例えば、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）等のユーザ認証プロトコルに基づき、ユーザ端末３との間で認証処理を実行する。
　一元情報管理部２１５は、例えば、ＬＤＡＰ（Lightweight Directory Access Protocol）を用いることにより、１つのＩＤとパスワードで、複数のサービスを利用可能にするシングルサインオン（ＳＳＯ）を実現する。
≪処理の流れ≫
　次に、本実施形態に係る本人性認証システム１が実行する処理の流れについて説明する。
　図１０は、本人性認証システム１が実行する処理の流れを示すシーケンス図である。
　なお、ここでは、外部サーバ４０から取得する行動履歴情報２２２として、オフィス等の入退室管理システムからの情報を取得するものとして説明する。つまり、外部サーバ４０である入退室管理サーバから、本人性スコア算出装置１０が、図６の行動履歴情報２２２で示すような、アカウントに紐づいたヒトの入退室時刻の情報（入退室管理情報）を取得するものとして説明する。
　入退室管理システムでは、例えば次のように、ユーザの入退出を管理している。
　アカウントに紐づくヒトがオフィスに出社すると、ＩＣカード機能を持つ社員証（スマートカード）を用いてフラッパーゲート等を通過することにより入室する。入退室管理サーバは、社員証から、入室したユーザのＩＤと入出時刻を取得して、自サーバに記録する。このようにして、入退室管理サーバでは、ユーザの行動履歴情報２２２を記録しておく。
　そして、先ず、ユーザがユーザ端末３（例えば、ＰＣ）を用いて、Ｗｅｂサービスを利用するために、Ｗｅｂサーバ５１にアクセスしてログイン要求を行う。
　Ｗｅｂサーバ５１は、ユーザを認証するために、ユーザ端末３を経由して、認証装置２０にリダイレクトする。
　認証装置２０は、ログイン要求のリダイレクトを受け取ると（ステップＳ１０）、アクセス情報取得部２１１が、ユーザのサービス利用環境に関する情報（アクセス情報２２１）として、端末種別や位置情報等をユーザ端末３から取得する（ステップＳ１１）。そして、アクセス情報取得部２１１は、アクセス時刻（例えば、ログイン要求を受信した時刻）とともに、端末種別や位置情報等のアクセス情報２２１を、本人性スコア算出装置１０へ送信する。
　そして、本人性スコア算出装置１０の振る舞い情報収集部１１２は、認証装置２０からアクセス情報２２１を取得し、振る舞い情報ＤＢ２００に格納する（ステップＳ１２）。
　続いて、認証装置２０の認証処理部２１２は、所定（初期設定）の通常認証手法により、アクセスしてきたユーザに関する通常認証を実行する（ステップＳ１３）。そして、認証処理部２１２は、その通常認証の結果（成功／失敗）を、本人性スコア算出装置１０へ送信する。
　本人性スコア算出装置１０の認証結果収集部１１１は、その通常認証の結果を取得すると、認証結果ＤＢ１００に、認証結果情報１１０（図５）として格納する（ステップＳ１４）。
　次に、本人性スコア算出装置１０の高度認証制御部１１４は、所定期間内にアクセスしてきたユーザに対して、通常認証に加えて、高度認証を行うか否かを決定する（ステップＳ１５）。高度認証制御部１１４は、高度認証を行うユーザか否かをランダムに決定する。
　高度認証を行うユーザについて、本人性スコア算出装置１０の振る舞い情報収集部１１２は、ユーザの行動履歴に関する情報（行動履歴情報２２２）を外部サーバ４０から取得し（ステップＳ１６）、振る舞い情報ＤＢ２００に格納する。
　ここでは、振る舞い情報収集部１１２は、入退出管理サーバ（外部サーバ４０）から、アカウントに紐づいたヒトの入退室時刻の情報（入退室管理情報）を、行動履歴情報２２２として取得する。
　次に、本人性スコア算出装置１０の高度認証制御部１１４は、高度認証を行うとしたユーザに関し、振る舞い情報２２０（図６）を参照し、アカウントに紐づくヒト（ユーザ）であれば認証成功する高度認証の手法を決定する（ステップＳ１７）。そして、高度認証制御部１１４は、そのユーザに関する高度認証の要否（ここでは、「要」）と、決定した高度認証手法とを、認証装置２０へ通知する。
　ここで、高度認証制御部１１４は、行動履歴情報２２２（入退室管理情報）を参照することにより、例えば、図６の符号ｙで示すように、入室時刻はあるが、退室時刻の記録がない場合、つまり、オフィス内にユーザがいると推定される場合に、アカウントに紐づくヒトであれば成功する高度認証手法として、社員証（スマートカード）を用いた高度認証に決定する。
　認証装置２０の認証処理部２１２は、該当するユーザに対し、通知された高度認証手法により、高度認証を実行する（ステップＳ１８）。ここでは、認証処理部２１２は、ユーザに対し社員証を用いた高度認証を行う。
　そして、認証処理部２１２による高度認証が成功したユーザに対して、認証制御部２１４および一元情報管理部２１５による制御により、Ｗｅｂサーバ５１に対して、アカウントのログインを許可する。
　続いて、認証装置２０の認証処理部２１２は、その高度認証の結果（成功／失敗）を、本人性スコア算出装置１０へ送信する。
　そして、本人性スコア算出装置１０の認証結果収集部１１１は、その高度認証の結果を取得すると、認証結果ＤＢ１００に、認証結果情報１１０（図５）として格納する（ステップＳ１９）。
　次に、本人性スコア算出装置１０の統計処理部１１５は、所定期間にアクセスしてきた全ユーザについて、通常認証や各種の高度認証を行った結果としての統計値（ユーザ数）を算出し、統計情報３１０（図７）として、統計情報ＤＢ３００に格納する。
　続いて、本人性スコア算出装置１０の確率算出部１１６は、統計情報３１０（図７）を用いて、高度認証未実施を含む全ユーザにおける本人性の確率を計算する（ステップＳ２０）。
　ここで、確率算出部１１６は、所定期間に通常認証に成功したユーザにおいては、本人である確率（ＰS P）を、上記した式（５）を用いて算出する。
　確率算出部１１６は、例として、図７で示す統計情報３１０を参照することにより、本人である確率（ＰS P）を、式（５）を用いて計算すると、以下のスコア（推定値）となる。
Figure JPOXMLDOC01-appb-M000008
　ここで、β1＝（2＋3）／（2＋10＋3＋9）＝5／24である。γ1＝（2＋10＋3＋9）／（80＋50）＝24／130である。Ｎ2＝80＋50＋1000＝1130である。
　また、他の例として、確率算出部１１６は、通常認証に失敗した場合も含めた本人である確率（Ｐt）を、式（９）を用いて算出する。
　確率算出部１１６は、例として、図７で示す統計情報３１０を参照することにより、本人である確率（Ｐt）を、式（９）を用いて計算すると、以下のスコアとなる。
Figure JPOXMLDOC01-appb-M000009
　そして、確率算出部１１６は、算出したアカウントにアクセスしてきたユーザの本人性の確率を、認証装置２０に送信する。
　認証装置２０の通常認証選択部２１３は、本人性スコア算出装置１０から、ユーザの本人性の確率の推定値を、所定期間ごとに取得する。そして、通常認証選択部２１３は、取得したユーザの本人性の確率の推定値に応じて、複数種類の通常認証手法から最適な通常認証手法を選択する（ステップＳ２１）。
　例えば、通常認証選択部２１３は、ユーザの本人性の確率の推定値が、所定の閾値以上である場合には、ユーザの利便性を考慮した標準的な通常認証手法（例えば、通常認証手法「ｎ」）を選択する。一方、通常認証選択部２１３は、ユーザの本人性の確率の推定値が、所定の閾値よりも低い場合には、ユーザの利便性を犠牲にして、比較的強度の高い通常認証手法（例えば、通常認証手法「１」）を選択する。
　通常認証選択部２１３は、選択した通常認証手法の情報を、認証処理部２１２に通知することにより、通常認証手法の設定を行う（ステップＳ２２）。
　なお、通常認証選択部２１３は、「通常認証に成功したユーザの本人性の確率」（式（５））により算出された推定値を用いる場合には、通常認証に成功したユーザの中に非本人が含まれる割合から脅威を評価して通常認証を選択する。一方、「通常認証に失敗したユーザも含めた場合の本人性の確率」（式（９））により算出された推定値を用いる場合において、通常認証に失敗したユーザの中に本人が含まれる割合が多いときには、ユーザの利便性の観点から、上記脅威を考慮しつつ、強度が比較的高い通常認証手法から標準的な強度の通常認証手法に変更する。
　このようにすることにより、本実施形態に係る本人性認証システム１によれば、所定期間にアクセスしてきたユーザ全体における本人性の推定値に基づいて、最適な認証手法を選択することができる。
＜変形例＞
　本実施形態に係る本人性認証システム１の本人性スコア算出装置１０（高度認証制御部１１４）は、通常認証に加えて高度認証を行うユーザをランダムに決定し、その決定したユーザであれば認証成功する高度認証手法を決定して、認証装置２０へ通知していた。
　これに対し、本人性スコア算出装置１０の変形例では、ランダムに決定した高度認証を行うユーザに関し、高度認証制御部１１４が、認証結果ＤＢ１００を参照し、通常認証に失敗しているユーザに関しては、高度認証を行わないように制御する。
　上記したように、所定期間に通常認証に成功したユーザにおいては、本人である確率（ＰS P）（式（５））を用いて本人性を推定し、本人ではない確率（ＰS n）（式（６））を用いて本人性を推定する。
　ここで、β1γ1は、下記の式（１０）で表すことができる。
Figure JPOXMLDOC01-appb-M000010
　式（１０）のうち、（ｘ1+ｚ1）は、ランダムにサンプリングしたユーザ群の数（Ｎ1＝ｘ1+ｚ1）である。また、（ｚ1´）は、ユーザ群の中で通常認証に成功し、かつ高度認証に失敗した数（ｚ1´）である。これらの数は、ユーザ群の中で、通常認証の成功したユーザについてのみ高度認証を行えば観測可能となるものである。
　なお、ランダムにサンプリングするユーザには、Ｎ1を求めるために、通常認証に失敗したユーザも含めるものとする。しかしながら、変形例の高度認証制御部１１４では、通常認証に失敗したユーザについては、サンプリングしても高度認証を行わないように制御する。このようにしても、確率算出部１１６は、ユーザ全体における本人性の推定値を算出することができる。
＜ハードウェア構成＞
　本実施形態に係る本人性スコア算出装置１０および認証装置２０は、例えば図１１に示すような構成のコンピュータ９００によって実現される。
　図１１は、本実施形態に係る本人性スコア算出装置１０および認証装置２０の機能を実現するコンピュータ９００の一例を示すハードウェア構成図である。コンピュータ９００は、ＣＰＵ（Central Processing Unit）９０１、ＲＯＭ（Read Only Memory）９０２、ＲＡＭ９０３、ＨＤＤ（Hard Disk Drive）９０４、入出力Ｉ／Ｆ（Interface）９０５、通信Ｉ／Ｆ９０６およびメディアＩ／Ｆ９０７を有する。
　ＣＰＵ９０１は、ＲＯＭ９０２またはＨＤＤ９０４に記憶されたプログラムに基づき作動し、制御部による制御を行う。ＲＯＭ９０２は、コンピュータ９００の起動時にＣＰＵ９０１により実行されるブートプログラムや、コンピュータ９００のハードウェアに係るプログラム等を記憶する。
　ＣＰＵ９０１は、入出力Ｉ／Ｆ９０５を介して、マウスやキーボード等の入力装置９１０、および、ディスプレイやプリンタ等の出力装置９１１を制御する。ＣＰＵ９０１は、入出力Ｉ／Ｆ９０５を介して、入力装置９１０からデータを取得するともに、生成したデータを出力装置９１１へ出力する。なお、プロセッサとしてＣＰＵ９０１とともに、ＧＰＵ（Graphics Processing Unit）等を用いても良い。
　ＨＤＤ９０４は、ＣＰＵ９０１により実行されるプログラムおよび当該プログラムによって使用されるデータ等を記憶する。通信Ｉ／Ｆ９０６は、通信網（例えば、ＮＷ（Network）９２０）を介して他の装置からデータを受信してＣＰＵ９０１へ出力し、また、ＣＰＵ９０１が生成したデータを、通信網を介して他の装置へ送信する。
　メディアＩ／Ｆ９０７は、記録媒体９１２に格納されたプログラムまたはデータを読み取り、ＲＡＭ９０３を介してＣＰＵ９０１へ出力する。ＣＰＵ９０１は、目的の処理に係るプログラムを、メディアＩ／Ｆ９０７を介して記録媒体９１２からＲＡＭ９０３上にロードし、ロードしたプログラムを実行する。記録媒体９１２は、ＤＶＤ（Digital Versatile Disc）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto Optical disk）等の光磁気記録媒体、磁気記録媒体、半導体メモリ等である。
　例えば、コンピュータ９００が本発明の本人性スコア算出装置１０および認証装置２０として機能する場合、コンピュータ９００のＣＰＵ９０１は、ＲＡＭ９０３上にロードされたプログラムを実行することにより、本人性スコア算出装置１０および認証装置２０の機能を実現する。また、ＨＤＤ９０４には、ＲＡＭ９０３内のデータが記憶される。ＣＰＵ９０１は、目的の処理に係るプログラムを記録媒体９１２から読み取って実行する。この他、ＣＰＵ９０１は、他の装置から通信網（ＮＷ９２０）を介して目的の処理に係るプログラムを読み込んでもよい。
＜効果＞
　以下、本発明に係る本人性認証システム１等の効果について説明する。
　本発明に係る本人性認証システムは、ユーザの本人性を示すスコアを算出する本人性スコア算出装置１０と、ユーザ認証を行う認証装置２０とを備える本人性認証システム１であって、認証装置２０が、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、本人性スコア算出装置１０が、ユーザがユーザ端末３によりアカウントにアクセスしたサービス利用環境を示すアクセス情報２２１と、ユーザの行動履歴情報２２２とを示す振る舞い情報２２０を収集する振る舞い情報収集部１１２と、認証装置２０から、通常認証および高度認証の成功または失敗を示す認証結果情報１１０を収集する認証結果収集部１１１と、所定期間内にアカウントにアクセスしてきたユーザに対して、通常認証に加えて高度認証を実行するか否かを判定し、高度認証を実行すると判定したユーザに関し、複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する高度認証手段を、振る舞い情報２２０を参照して決定し、高度認証を実行すると判定したユーザについて決定した高度認証手段を、認証装置２０に通知する高度認証制御部１１４と、認証結果情報１１０から得られる、通常認証の成功および失敗のユーザ数、高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出する確率算出部１１６と、を備え、認証装置２０が、アカウントにアクセスしてきたユーザに対して、所定の通常認証手段による通常認証を実行するとともに、本人性スコア算出装置１０から通知された高度認証手段により、高度認証を実行すると判定したユーザに対し高度認証を実行し、通常認証および高度認証の認証結果情報を本人性スコア算出装置１０に送信する認証処理部２１２を備えることを特徴とする。
　このようにすることで、本人性認証システム１は、アカウントにアクセスしてくるユーザ全体における本人性を、装置の独自基準や製品ごとに異なるノウハウによらずに、観測可能な情報を用いて、客観的な数値としての確率で算出することができる。
　つまり、非本人によるアカウントへのアクセスの割合を評価することができるため、不正アクセスの増加等が発生した際において、本人性をスコア化する他の製品や装置に関する独自の高度なノウハウ等が不要となる。また、アカウントに紐づくヒトに関する観測可能な情報（通常認証および高度認証の認証結果）を用いて、ユーザの本人性を確率として数値化するため、過去のサービス運用実績などの保守者の高度な知識や知見を不要とすることができる。
　また、本人性認証システム１は、本人性スコア算出装置１０の確率算出部１１６が、算出した本人性の確率を、所定期間ごとに認証装置２０に送信し、認証装置２０が、本人性スコア算出装置１０から取得した本人性の確率に応じて、複数種類の通常認証手段の中から、新たに設定する所定の通常認証手段を選択する通常認証選択部２１３を備えること　を特徴とする。
　このようにすることにより、本人性認証システム１は、所定期間にアクセスしてきたユーザ全体における本人性の確率に基づいて、ユーザの利便性とセキュリティを考慮した最適な強度の通常認証手法を選択することができる。
　また、本人性認証システムは、所定期間ごとに算出した本人性の確率に応じて、保守者の介在なしに（自動で）、最適な通常認証手法を選択することが可能となる。
　また、本人性認証システム１は、確率算出部１１６が、アカウントにアクセスしてきたユーザの本人性の確率として、所定期間に通常認証に成功したユーザが、ユーザ本人である確率を算出することを特徴とする。
　これにより、本人性認証システム１は、通常認証に成功したユーザに関し、本人性を推定することができる。具体的には、本人性認証システム１は、上記した式（５）を用いて、通常認証に成功したユーザに関し、本人性である確率を算出することができる。よって、本人性認証システム１は、通常認証に成功したユーザの中に非本人が含まれる割合から脅威を評価して通常認証手法を選択することが可能となる。
　また、本人性認証システム１は、高度認証制御部１１４が、通常認証に加えて高度認証を実行すると判定したユーザに関し、認証結果情報を参照し、当該ユーザに関する通常認証が失敗である場合に、認証装置に対する高度認証手段の通知を行わないことを特徴とする。
　これにより、本人性認証システム１は、通常認証の認証結果を参照し、通常認証が失敗している場合には、高度認証を実行すると判定されたユーザであっても、実行する高度認証手段を決定せず、認証装置に対して通知を行わないようにすることができる。
　よって、通常認証に成功したユーザに関して本人性の確率を算出する場合に、認証装置において、本人性の算出に不要な、通常認証に失敗したユーザに対する高度認証を実行しないようにし、認証装置の処理負荷を低減させることができる。
　また、本人性認証システム１は、確率算出部１１６が、アカウントにアクセスしてきたユーザの本人性の確率として、所定期間に通常認証に失敗したユーザも含めた、ユーザ全体におけるユーザ本人である確率を算出することを特徴とする。
　これにより、本人性認証システム１は、所定期間に通常認証に失敗したユーザも含めた、ユーザ全体におけるユーザ本人である確率を算出することができる、具体的には、本人性認証システム１は、上記した式（９）を用いて、通常認証に失敗したユーザも含めた、ユーザ全体におけるユーザ本人である確率を算出でき、通常認証に失敗したユーザの中に本人が含まれる割合が多いときには、ユーザの利便性の観点から、上記脅威を考慮しつつ、強度が比較的高い通常認証手法から標準的な強度の通常認証手法に変更する等の設定変更を行うことができる。
　本発明に係る本人性スコア算出装置は、ユーザ認証を行う認証装置２０に接続され、ユーザの本人性を示すスコアを算出する本人性スコア算出装置１０であって、認証装置２０が、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、本人性スコア算出装置１０が、ユーザがユーザ端末によりアカウントにアクセスしたサービス利用環境を示すアクセス情報２２１と、ユーザの行動履歴情報２２２とを示す振る舞い情報２２０を収集する振る舞い情報収集部１１２と、認証装置２０から、通常認証および高度認証の成功または失敗を示す認証結果情報１１０を収集する認証結果収集部１１１と、所定期間内にアカウントにアクセスしてきたユーザに対して、通常認証に加えて高度認証を実行するか否かを判定し、高度認証を実行すると判定したユーザに関し、複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する高度認証手段を、振る舞い情報２２０を参照して決定し、高度認証を実行すると判定したユーザについて決定した高度認証手段を、認証装置２０に通知する高度認証制御部１１４と、認証結果情報１１０から得られる、通常認証の成功および失敗のユーザ数、高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出する確率算出部１１６と、を備えることを特徴とする。
　このようにすることにより、本人性スコア算出装置１０は、アカウントにアクセスしてくるユーザ全体における本人性を、装置の独自基準や製品ごとに異なるノウハウによらずに、観測可能な情報を用いて、客観的な数値としての確率で算出することができる。
　本発明に係る認証装置は、ユーザの本人性を示すスコアを算出する本人性スコア算出装置１０に接続され、ユーザ認証を行う認証装置２０であって、認証装置２０は、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、認証装置２０は、アカウントにアクセスしてきたユーザに対して、所定の通常認証手段による通常認証を実行するとともに、本人性スコア算出装置から通知された高度認証手段により、高度認証を実行すると判定したユーザに対し高度認証を実行し、通常認証および高度認証の成功または失敗を示す認証結果情報を本人性スコア算出装置１０に送信する認証処理部２１２と、本人性スコア算出装置１０から取得した本人性の確率に応じて、複数種類の通常認証手段の中から、新たに設定する通常認証手段を選択する通常認証選択部２１３と、を備えることを特徴とする。
　このようにすることにより、認証装置は、所定期間にアクセスしてきたユーザ全体における本人性の確率に基づいて、ユーザの利便性とセキュリティを考慮した最適な強度の通常認証手法を選択することができる。
　また、認証装置は、所定期間ごとに算出した本人性の確率に応じて、保守者の介在なしに（自動で）、最適な通常認証手法を選択することが可能となる。
　なお、本発明は、以上説明した実施形態に限定されるものではなく、多くの変形が本発明の技術的思想内で当分野において通常の知識を有する者により可能である。
　１　　　本人性認証システム
　３　　　ユーザ端末
　１０　　本人性スコア算出装置
　２０　　認証装置
　４０　　外部サーバ
　５１　　Ｗｅｂサーバ
　５２　　社内システム
　５３　　クラウドサービス
　１１，２１　制御部
　１２，２２　入出力部
　１３，２３　記憶部
　１００　認証結果ＤＢ
　１１０　認証結果情報
　１１１　認証結果収集部
　１１２　振る舞い情報収集部
　１１３　外部サーバ連携部
　１１４　高度認証制御部
　１１５　統計処理部
　１１６　確率算出部
　２００　振る舞い情報ＤＢ
　２１１　アクセス情報取得部
　２１２　認証処理部
　２１３　通常認証選択部
　２１４　認証制御部
　２１５　一元情報管理部
　２２０　振る舞い情報
　２２１　アクセス情報
　２２２　行動履歴情報
　３００　統計情報ＤＢ
　４００　ユーザ情報ＤＢ

Claims (10)

  1. 　ユーザの本人性を示すスコアを算出する本人性スコア算出装置と、ユーザ認証を行う認証装置とを備える本人性認証システムであって、
    　前記認証装置は、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、
    　前記本人性スコア算出装置は、
    　ユーザがユーザ端末によりアカウントにアクセスしたサービス利用環境を示すアクセス情報と、前記ユーザの行動履歴情報とを示す振る舞い情報を収集する振る舞い情報収集部と、
    　前記認証装置から、前記通常認証および前記高度認証の成功または失敗を示す認証結果情報を収集する認証結果収集部と、
    　所定期間内にアカウントにアクセスしてきたユーザに対して、前記通常認証に加えて前記高度認証を実行するか否かを判定し、前記高度認証を実行すると判定したユーザに関し、前記複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する前記高度認証手段を、前記振る舞い情報を参照して決定し、前記高度認証を実行すると判定したユーザについて決定した高度認証手段を、前記認証装置に通知する高度認証制御部と、
    　前記認証結果情報から得られる、前記通常認証の成功および失敗のユーザ数、前記高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出する確率算出部と、を備え、
    　前記認証装置は、
    　前記アカウントにアクセスしてきたユーザに対して、所定の通常認証手段による通常認証を実行するとともに、前記本人性スコア算出装置から通知された高度認証手段により、前記高度認証を実行すると判定したユーザに対し高度認証を実行し、前記通常認証および前記高度認証の前記認証結果情報を前記本人性スコア算出装置に送信する認証処理部を備えること
    　を特徴とする本人性認証システム。
  2. 　前記本人性スコア算出装置の確率算出部は、算出した前記本人性の確率を、前記所定期間ごとに前記認証装置に送信し、
    　前記認証装置は、
    　前記本人性スコア算出装置から取得した前記本人性の確率に応じて、前記複数種類の通常認証手段の中から、新たに設定する前記所定の通常認証手段を選択する通常認証選択部を備えること
    　を特徴とする請求項１に記載の本人性認証システム。
  3. 　前記確率算出部は、前記アカウントにアクセスしてきたユーザの本人性の確率として、所定期間に前記通常認証に成功したユーザが、ユーザ本人である確率を算出すること
    　を特徴とする請求項１または請求項２に記載の本人性認証システム。
  4. 　前記高度認証制御部は、前記通常認証に加えて前記高度認証を実行すると判定したユーザに関し、前記認証結果情報を参照し、当該ユーザに関する通常認証が失敗である場合に、前記認証装置に対する前記高度認証手段の通知を行わないこと
    　を特徴とする請求項３に記載の本人性認証システム。
  5. 　前記確率算出部は、前記アカウントにアクセスしてきたユーザの本人性の確率として、所定期間に前記通常認証に失敗したユーザも含めた、ユーザ全体における、ユーザ本人である確率を算出すること
    　を特徴とする請求項１または請求項２に記載の本人性認証システム。
  6. 　ユーザの本人性を示すスコアを算出する本人性スコア算出装置と、ユーザ認証を行う認証装置とを備える本人性認証システムの本人性認証方法であって、
    　前記認証装置は、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、
    　前記認証装置は、
    　アカウントにアクセスしてきたユーザに対して、所定の通常認証手段による通常認証を実行し、通常認証の成功または失敗を示す認証結果情報を前記本人性スコア算出装置に送信するステップを実行し、
    　前記本人性スコア算出装置は、
    　前記認証装置から、前記通常認証についての前記認証結果情報を収集するステップと、
    　ユーザがユーザ端末によりアカウントにアクセスしたサービス利用環境を示すアクセス情報と、前記ユーザの行動履歴情報とを示す振る舞い情報を収集するステップと、
    　所定期間内にアカウントにアクセスしてきたユーザに対して、前記通常認証に加えて前記高度認証を実行するか否かを判定し、前記高度認証を実行すると判定したユーザに関し、前記複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する前記高度認証手段を、前記振る舞い情報を参照して決定し、前記高度認証を実行すると判定したユーザについて決定した高度認証手段を、前記認証装置に通知するステップと、を実行し、
    　前記認証装置は、
    　前記本人性スコア算出装置から通知された高度認証手段により、前記高度認証を実行すると判定したユーザに対し高度認証を実行し、当該高度認証の前記認証結果情報を前記本人性スコア算出装置に送信するステップを実行し、
    　前記本人性スコア算出装置は、
    　前記認証装置から、前記高度認証についての前記認証結果情報を収集するステップと、
    　前記認証結果情報から得られる、前記通常認証の成功および失敗のユーザ数、前記高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出するステップと、を実行すること
    　を特徴とする本人性認証方法。
  7. 　ユーザ認証を行う認証装置に接続され、ユーザの本人性を示すスコアを算出する本人性スコア算出装置であって、
    　前記認証装置は、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、
    　前記本人性スコア算出装置は、
    　ユーザがユーザ端末によりアカウントにアクセスしたサービス利用環境を示すアクセス情報と、前記ユーザの行動履歴情報とを示す振る舞い情報を収集する振る舞い情報収集部と、
    　前記認証装置から、前記通常認証および前記高度認証の成功または失敗を示す認証結果情報を収集する認証結果収集部と、
    　所定期間内にアカウントにアクセスしてきたユーザに対して、前記通常認証に加えて前記高度認証を実行するか否かを判定し、前記高度認証を実行すると判定したユーザに関し、前記複数種類の高度認証手段のうち、当該ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止する前記高度認証手段を、前記振る舞い情報を参照して決定し、前記高度認証を実行すると判定したユーザについて決定した高度認証手段を、前記認証装置に通知する高度認証制御部と、
    　前記認証結果情報から得られる、前記通常認証の成功および失敗のユーザ数、前記高度認証の成功および失敗のユーザ数を用いた統計値に基づき、アカウントにアクセスしてきたユーザの本人性の確率を算出する確率算出部と、
    　を備えることを特徴とする本人性スコア算出装置。
  8. 　ユーザの本人性を示すスコアを算出する本人性スコア算出装置に接続され、ユーザ認証を行う認証装置であって、
    　前記認証装置は、標準的な認証強度の認証を行う通常認証について複数種類の通常認証手段を有するとともに、ユーザ本人であれば認証失敗することを第１の所定レベル以下に抑止し、ユーザ本人でない非本人であれば認証成功することを第２の所定レベル以下に抑止する認証強度の認証を行う高度認証について複数種類の高度認証手段を有しており、
    　前記認証装置は、
    　アカウントにアクセスしてきたユーザに対して、所定の通常認証手段による通常認証を実行するとともに、前記本人性スコア算出装置から通知された高度認証手段により、前記高度認証を実行すると判定したユーザに対し高度認証を実行し、前記通常認証および前記高度認証の成功または失敗を示す認証結果情報を前記本人性スコア算出装置に送信する認証処理部と、
    　前記本人性スコア算出装置から取得した前記本人性の確率に応じて、前記複数種類の通常認証手段の中から、新たに設定する前記通常認証手段を選択する通常認証選択部と、
    　を備えることを特徴とする認証装置。
  9. 　コンピュータを、請求項７に記載の本人性スコア算出装置として機能させるためのプログラム。
  10. 　コンピュータを、請求項８に記載の認証装置として機能させるためのプログラム。
PCT/JP2022/025659 2022-06-28 2022-06-28 本人性認証システム、本人性認証方法、本人性スコア算出装置、認証装置、および、プログラム WO2024004011A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/025659 WO2024004011A1 (ja) 2022-06-28 2022-06-28 本人性認証システム、本人性認証方法、本人性スコア算出装置、認証装置、および、プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/025659 WO2024004011A1 (ja) 2022-06-28 2022-06-28 本人性認証システム、本人性認証方法、本人性スコア算出装置、認証装置、および、プログラム

Publications (1)

Publication Number Publication Date
WO2024004011A1 true WO2024004011A1 (ja) 2024-01-04

Family

ID=89382219

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/025659 WO2024004011A1 (ja) 2022-06-28 2022-06-28 本人性認証システム、本人性認証方法、本人性スコア算出装置、認証装置、および、プログラム

Country Status (1)

Country Link
WO (1) WO2024004011A1 (ja)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017111703A (ja) * 2015-12-18 2017-06-22 日本電信電話株式会社 認証手段選択装置、認証手段選択方法、およびプログラム
JP2019109556A (ja) * 2017-12-15 2019-07-04 株式会社日立製作所 行動履歴を用いた本人認証方法
JP2020107218A (ja) * 2018-12-28 2020-07-09 キヤノンマーケティングジャパン株式会社 情報処理装置、その制御方法とプログラム
US20200302042A1 (en) * 2019-03-19 2020-09-24 Cirrus Logic International Semiconductor Ltd. Biometric processes, apparatus and machine-readable mediums
WO2021261267A1 (ja) * 2020-06-26 2021-12-30 ソニーグループ株式会社 情報処理装置、情報処理方法、情報処理プログラム、および、情報処理システム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017111703A (ja) * 2015-12-18 2017-06-22 日本電信電話株式会社 認証手段選択装置、認証手段選択方法、およびプログラム
JP2019109556A (ja) * 2017-12-15 2019-07-04 株式会社日立製作所 行動履歴を用いた本人認証方法
JP2020107218A (ja) * 2018-12-28 2020-07-09 キヤノンマーケティングジャパン株式会社 情報処理装置、その制御方法とプログラム
US20200302042A1 (en) * 2019-03-19 2020-09-24 Cirrus Logic International Semiconductor Ltd. Biometric processes, apparatus and machine-readable mediums
WO2021261267A1 (ja) * 2020-06-26 2021-12-30 ソニーグループ株式会社 情報処理装置、情報処理方法、情報処理プログラム、および、情報処理システム

Similar Documents

Publication Publication Date Title
US10243935B2 (en) User authentication based on tracked activity
JP6538821B2 (ja) データ分析手法を用いた認証を実行するためのシステム及び方法
US8788419B2 (en) Method and system for mitigating risk of fraud in internet banking
US8424072B2 (en) Behavior-based security system
US11709921B1 (en) Quick-logon for computing device
US11399045B2 (en) Detecting fraudulent logins
US11018867B1 (en) Asynchronous step-up authentication for client applications
US11388167B2 (en) Contextual scoring of authenticators
US9160726B1 (en) Authentication system with selective authentication method based on risk reasoning
US8856892B2 (en) Interactive authentication
US11036838B2 (en) Processing authentication requests to secured information systems using machine-learned user-account behavior profiles
KR20180130735A (ko) 인증 서비스 시스템 및 방법
US20090199264A1 (en) Dynamic trust model for authenticating a user
US20080313707A1 (en) Token-based system and method for secure authentication to a service provider
US20200184050A1 (en) Processing Authentication Requests to Secured Information Systems Using Machine-Learned User-Account Behavior Profiles
EP2550619A1 (en) Method and system for authenticating user access to a restricted resource across a computer network
US20190081968A1 (en) Method and Apparatus for Network Fraud Detection and Remediation Through Analytics
US11050769B2 (en) Controlling dynamic user interface functionality using a machine learning control engine
CN112653679A (zh) 一种动态身份认证方法、装置、服务器及存储介质
WO2024004011A1 (ja) 本人性認証システム、本人性認証方法、本人性スコア算出装置、認証装置、および、プログラム
US10255558B1 (en) Managing knowledge-based authentication systems
US10063549B1 (en) Techniques for sharing authentication data among authentication servers
JP6842951B2 (ja) 不正アクセス検出装置、プログラム及び方法
WO2024116394A1 (ja) 本人性スコア算出装置、本人性認証システム、本人性認証方法、および、プログラム
US11336646B2 (en) Alternate user communication routing

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22949289

Country of ref document: EP

Kind code of ref document: A1