JP2004046532A

JP2004046532A - 情報処理装置、情報処理方法および記録媒体

Info

Publication number: JP2004046532A
Application number: JP2002203025A
Authority: JP
Inventors: Takahiro Yagishita; 柳下　高弘; Yukiko Yamazaki; 山崎　由希子
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2002-07-11
Filing date: 2002-07-11
Publication date: 2004-02-12

Abstract

【課題】知識型ユーザ認証手段に対する攻撃耐性を高め、バイオメトリックス認証手段に対する判定誤りの損失を小さくできる情報処理装置を提供する。
【解決手段】ユーザからのアクセスによってデータ出力部５からデータを出力する情報処理装置において、アクセスの正当性を判断する判断手段としての認証部４と制御部３を有し、前記判断手段の判断結果に基づき、出力データ内容を決定する。
【選択図】　　　　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、正当でないアクセスに対して、本物とは別のデータを出力する情報処理装置に関するものである。
【０００２】
【従来の技術】
出力するデータが機密であるような、セキュリティを求められる情報処理装置には通常、アクセスの正当性を判定する機能が備わっている。この機能は、アクセスユーザの認証手段で実現される。ユーザ認証手段には、パスワードのような知識有無を利用するもの、ＩＤカードのような所有有無を利用するもの、指紋認識など身体特徴を利用するものがある。
【０００３】
パスワードのような知識型ユーザ認証では、人間の記憶限界から、知識集合を有限化せざるを得ない（例えば０〜９の数字を４桁に限定）。これによって、知識集合の総当り攻撃が可能となってしまう（４桁数字なら１万回のアクセスで必ず正解に到達する）。
【０００４】
従来、この攻撃に対し所定回数アクセス失敗があると、不正アクセス攻撃されていると判定し、それ以後アクセスを拒否したり、管理部署へ通知したり、時間かせぎをしたりしていた。例えば、特開平１１−１４３８３４号公報、特開２００１−２８２７３９号公報は、所定回数アクセス失敗で、ログインが成功したかに見せかけることで、時間稼ぎをするものである。
【０００５】
不正アクセスと判定する別の方法として、トラップパスワードの設定がある。これは、特開平１０−１２４４５７号公報のように、本物のパスワードとは別に、あらかじめ登録した特別なパスワード（ユーザの誕生日、社員番号などから類推されるもの、現在無効な過去のパスワードなど）を、不正ユーザが入力すると、直ちに不正アクセスと判定するものである。
【０００６】
【発明が解決しようとする課題】
知識型ユーザ認証で不正アクセスと判定するのを、アクセス失敗複数回としていたのは、正当なユーザがパスワードを何回か誤っても、不正と誤判定しないためである。これによって逆に、不正ユーザにとっては、パスワード検証が、所定回数まで容易に行える結果を生んでいた。
【０００７】
例えば、４桁数字のパスワードで１０回失敗を不正と判定するシステムは、１回の攻撃で１０種のパスワードが検証されるので、わずか千回の攻撃で必ず正解に到達されてしまう。従来方法（図４）への攻撃（図５）をフローチャートで表せば、非常に容易な判断Ｓ５で、何種類もパスワードが検証されてしまう。
【０００８】
このように、従来の判定及びそれに伴う対応方法には、情報処理装置側の攻撃耐性を低くすると言う問題点があった。トラップパスワードも、正解パスワード以外の一部分でしかなく、トラップでも正解でもない、残り多くのパスワードについては、アクセス失敗複数回で、不正と判定することになり、上記問題点が解決されているわけではない。
【０００９】
また、指紋識別のようなバイオメトリックス認証は、その判定結果に不確かさを伴うものの、グレー判定をせず強制的に白黒判定を行い、その結果に従いアクセス許可／拒否を決定していた（特開２００１−１５５１５０号公報）。このため、判定誤りによって、正当ユーザに対するアクセス拒否、不正ユーザに対するアクセス許可と言った、大きな損失が発生する問題があった。
【００１０】
本発明は上記欠点に鑑み、知識型ユーザ認証手段に対する攻撃耐性を高め、バイオメトリックス認証手段に対する判定誤りの損失を小さくできる情報処理装置を提供することを目的とする。
【００１１】
【課題を解決するための手段】
上記目的を達成するために、請求項１記載の発明は、ユーザからのアクセスによってデータ出力部からデータを出力する情報処理装置において、アクセスの正当性を判断する判断手段としての認証部と制御部を有し、前記判断手段の判断結果に基づき、出力データ内容を決定する情報処理装置を最も主要な特徴とする。
【００１２】
請求項２記載の発明は、前記判断手段が正当とする判断を示さなかったアクセスに対し出力するデータは、前記判断手段が正当とする判断を示したアクセスに対し出力するデータとは類似だが別のデータである請求項１記載の情報処理装置を主要な特徴とする。
【００１３】
請求項３記載の発明は、前記判断手段が正当とする判断を示さなかったアクセスのたびに、毎回異なるデータを出力する請求項１記載の情報処理装置を主要な特徴とする。
【００１４】
請求項４記載の発明は、前記判断手段が正当とする判断を示さなかったアクセスに対し出力するデータは、利用の際、異常な動作を引き起こすデータである請求項１記載の情報処理装置を主要な特徴とする。
【００１５】
請求項５記載の発明は、前記判断手段が正当とする判断を示さなかったアクセスに対し出力するデータは、前記判断手段が正当とする判断を示したアクセスに対し出力するデータを正当度合いに応じて加工したデータである請求項１記載の情報処理装置を主要な特徴とする。
【００１６】
請求項６記載の発明は、前記データ出力部が出力するデータは、ビットマップ画像データである請求項２記載の情報処理装置を主要な特徴とする。
【００１７】
請求項７記載の発明は、前記判断手段が正当とする判断を示さなかったアクセスに対し出力するデータは、このデータを、正当なユーザのみが知りうる手段によって、前記判断手段が正当とする判断を示したアクセスに対し出力するデータに変換可能である請求項２または５記載の情報処理装置を主要な特徴とする。
【００１８】
請求項８記載の発明は、前記判断手段が正当とする判断を示さなかったアクセスに対し出力するデータと、前記判断手段が正当とする判断を示したアクセスに対し出力するデータとの差異部分を示すことで、前記判断手段の判断結果を変更可能とした請求項２または５記載の情報処理装置を主要な特徴とする。
【００１９】
請求項９記載の発明は、ユーザからのアクセスによってデータ出力部からデータを出力する情報処理方法において、アクセスの正当性を判断し、その判断結果に基づき、出力データ内容を決定する情報処理方法を最も主要な特徴とする。
【００２０】
請求項１０記載の発明は、コンピュータで読み取り可能な記録媒体であって、請求項９記載の情報処理方法を、コンピュータで実行するためのプログラムを記録した記録媒体を最も主要な特徴とする。
【００２１】
【発明の実施の形態】
以下、図面により本発明の実施の形態を詳細に説明する。図１は本発明の実施の形態に係る情報処理装置のブロック構成図である。データ記憶部１は、データを記憶保存するブロックである。データ名入力部２は、記憶したデータの中で、出力対象とするデータ部分の指定を受け付けるブロックである。例えばデータをファイルと言う概念で分類している場合、どのファイルを出力対象とするかを受け付ける。また各ファイルごとに、どのユーザに出力を許可するかを示すテーブルが制御部３にある。
【００２２】
認証部４は、データ出力要求を出したユーザが、本人に相違ないか否かを判定するブロックである。パスワード認証であれば、ユーザ名とパスワードを受け、これが事前登録されたものと同じであるかで、個人認証判定を行う。制御部３は、認証部４で本人に相違ないと判定され、前述のテーブルで、そのユーザが出力許可されたユーザであることが確認されて初めて、正当なアクセスであるとの判断を下す。正当なアクセスに対し、データ名入力部２で指定したファイルを、データ記憶部１から取り出し、データ出力部５へと送る。データ出力部５は、このデータを装置外部へ送出する。
【００２３】
認証部で本人に相違ないと判定されなかったとき、または前述のテーブルで、そのユーザが出力許可されたユーザでなかったときは、正当なアクセスではない、との判断を下す。この場合、出力指定された本物のデータとは別のデータを出力する。正当／不正の判断結果は返さず、全アクセスに対して、何らかのデータを出力するので、不正ユーザは、受け取ったデータを使って、アクセスの成功／失敗の判定処理をしなければならない。アクセスの結果（成功／失敗）を情報処理装置が答えていた従来法より、攻撃の効率が低下、すなわち情報処理装置の攻撃耐性が向上する。また仮に正当ユーザを不正と誤判定しても、本物データを知っている正当ユーザなら、誤判定をすぐ知覚できるので、副作用もない。
【００２４】
本発明方法の制御フローチャート（Ｓ１〜Ｓ７）を図２に、これに攻撃を加える不正ユーザのフローチャート（Ｓ１〜Ｓ６）を図３にそれぞれ示す。従来の攻撃フロー（図５）では、非常に容易な判断Ｓ５で、何種類もパスワードの検証が可能であったのに対し、本発明の攻撃フロー（図３）では、比較的困難な判断Ｓ６で、パスワード検証を行わなければならない。
【００２５】
また、バイオメトリックス認証などで、本人に相違ないとも相違あるとも言えないグレー判定となり、そのユーザが出力許可されたユーザであったときは、グレーなアクセスである、との判断を下し、出力指定された本物のデータを加工したデータを出力する。仮に正当ユーザをグレーと誤判定しても、ある程度本物のデータに近いデータを出力するので、まったくデータを出力しない従来法より、損害が小さい。逆に不正ユーザをグレーと誤判定しても、ある程度本物のデータとは異なるデータを出力するので、本物のデータを出力してしまう従来法より、損害が小さい。このように、アクセスの正当性判断誤りの損失を小さくできる。
【００２６】
正当なアクセスではない、との判断時、出力するデータを、指定された本物のデータと類似したものとすれば、さらに攻撃耐性が向上する。例えば、種類（プログラムコード、テキストコード、イメージデータなど）が同じで、統計的性質（事象の単独や連接の確率分布など）も類似しているデータを出力する。不正ユーザは、これらの属性に関し、本物データがどのような値を取るかを予め推定し、この推定との照合でアクセスの成功／失敗判定処理を行なうが、常に本物と類似したデータ出力ならば、この判定処理を無効化させることができる。場合によっては、不正ユーザをニセのデータで欺き、攻撃を停止させる可能性すら生まれる。このような点で情報処理装置の攻撃耐性が向上する。
【００２７】
データ種類の中でも、イメージデータは、他のデータに比べ、推定との照合に手間がかかる。データが本来文字列であっても、コードデータでなくビットマップイメージデータで扱えば、データ量は増大してしまうものの、攻撃耐性が向上する効果が得られる。
【００２８】
本発明の処理方式は、ある面、従来からある暗号処理と似ている。ユーザ固有の情報（暗号の場合「鍵」）を入力し、それに対し何らかのデータ（暗号の場合「復号文」）を出力する点では同一だからである。しかし、正当でない情報「鍵」に対する出力「復号文」が、正しいものとは通常かなり異なる暗号に対し、本発明では常に類似している点が異なっている。アクセスの成功／失敗判定処理が、困難である点で、本発明の処理方式の方が、暗号処理より高い攻撃耐性を有していると言える。
【００２９】
情報処理装置が、本発明の処理でなく、従来通りの（正当なアクセスに対してのみデータを出力し、不正なアクセスにはデータを出力しない）処理を行う装置であると考える不正ユーザには、１つの本物データについて１つの類似データがあればよい。類似データを得た時点で、不正ユーザは攻撃が成功した思い込み、攻撃を停止する可能性が高いからである。しかし、情報処理装置が、本発明の処理を行うことを知っている不正ユーザには、１つの本物データについて複数の類似データを準備する必要がある。そうしないと、異なる検証パスワードに対し同じデータが出力されることとなり、同じデータが出力されている限りアクセスが失敗していると容易に判断できるようになってしまうからである。
【００３０】
よって正当と言う判断でなかったアクセスのたびに、毎回異なるデータを出力する必要がある。ただし同じパスワードのアクセスには毎回同じデータを出力する。複数の類似データは、パスワードを引数としたある関数処理を本物データに施すことで求める。例えば、データの機密部分に、（類似データ）＝（本物データ）＋１２３４＋（パスワード）と言う関数処理を行う。「売上高は２５８０円です」と言うデータに適当なパスワード＝９８７６を入れると、「売上高は３６９０円です」と言う類似データが得られる。正解のパスワード＝８７６６を入れると、「売上高は２５８０円です」と言う本物データが得られる。
【００３１】
正当なアクセスではない、との判断時、出力するデータを、利用の際異常な動作を引き起こすデータとすれば、さらに攻撃耐性が向上する。例えば、本物データがテキストコードデータなら、未定義のコードや不正なエスケープシーケンスコードなどを含ませておくことで、不正ユーザがこれを利用（アクセスの成功／失敗判定処理）する際、その表示を乱すことができる。また「コンピュータ・ウィルス」のように不正ユーザのシステム側に混乱を来すようなデータであってもよい。
【００３２】
バイオメトリックス認証などで、グレー判断時、本物データを加工したものを最低１種類出力する（請求項１）より、そのグレー度合いに応じて複数種類出力した方がより判断誤りの損失を小さくできる。より白に近いグレー判断にはより本物に近いデータを、より黒に近いグレー判断にはより本物と異なるデータを出力する。加工方法には、削除、重合、変質などがある。「削除」は、黒判断に近づくにつれ、本物データからの削除部分を徐々に増やす方法である。
【００３３】
例えば「売上高は２５８０円です」と言うデータを「売上高は円です」に加工する。「重合」は、本物データへの追加部分を徐々に増やす方法である。追加するデータは、正当性が不完全な状態で出力された旨を示す情報であったり、機密部分を改変した情報である。例えば「売上高は２５８０円です」を「売上高は２５８０円４９８０円です」に加工する。「変質」は、イメージデータが対象で、フィルタ処理やノイズ付加処理などで黒判断に近づくにつれ、イメージを認識しづらくする加工方法である。
【００３４】
類似データもしくは、加工したデータから直接、本物のデータを復元することができれば、正当ユーザに対する認証判断誤りの損失をさらに小さくできる。当然、この復元手段は正当なユーザのみが知りうるものでなければならない。上述の例で、「売上高は３６９０円です」と言う類似データから本物データへの復元も、関数さえ知っていれば可能であるし、「売上高は２５８０円４９８０円です」と言う加工データから本物データへの復元も、前者の数字が本物、と言う知識さえあれば可能である。
【００３５】
類似データもしくは、加工したデータから間接的にでも本物データを得ることができれば、同様の効果が得られる。ここで間接的とは、本物データとの差異部分を情報処理装置に示すことで、認証判断結果をより白に近いものに変更し、本物データを得ることを意味している。例えば、「売上高は円です。経常利益は円です。」と言う類似／加工データから、後者の１文が追加された文であることを情報処理装置に示すことで、次回は「売上高は２５８０円です」と言う本物データが得られる。
【００３６】
以上、出力の形態は電子データのみで説明したが、表示手段や印字手段を持った情報処理装置であれば、ソフト／ハードコピー出力であってもよい。
【００３７】
【発明の効果】
以上説明したように、請求項１の情報処理装置においては、不正と判断したアクセスに対しても何らかのデータを出力するので、不正ユーザは、受け取ったデータを使ってアクセスの成功／失敗の判定処理をせねばならず、攻撃効率が低下、すなわち情報処理装置の攻撃耐性が向上する。また、グレーと判断したアクセスに対しては、本物のデータを変化させ出力するので、判断誤りの損失を小さくできる。
【００３８】
請求項２の情報処理装置においては、不正と判断したアクセスに対して、本物のデータと類似したデータを出力するので、不正ユーザが行うアクセスの成功／失敗判定処理がより困難さを増し、攻撃効率が低下、すなわち情報処理装置の攻撃耐性が向上する。
【００３９】
請求項３の情報処理装置においては、不正と判断したアクセスのたびに、毎回異なるデータを出力するので、不正ユーザによる連続アクセスに対しても攻撃耐性が向上する。
【００４０】
請求項４の情報処理装置においては、不正と判断したアクセスに対して、利用の際異常な動作を引き起こすデータを出力するので、不正ユーザが行うアクセスの成功／失敗判定処理をより混乱させ、攻撃効率が低下、すなわち情報処理装置の攻撃耐性が向上する。
【００４１】
請求項５の情報処理装置においては、不正またはグレーと判断したアクセスに対して、本物のデータをそのグレー度合いに応じて加工したデータを出力するので、判断誤りの損失をさらに小さくできる。
【００４２】
請求項６の情報処理装置においては、扱うデータをビットマップデータとしているので、不正ユーザが行うアクセスの成功／失敗判定処理がより困難さを増し、攻撃効率が低下、すなわち情報処理装置の攻撃耐性が向上する。
【００４３】
請求項７の情報処理装置においては、加工されたデータを、正当なユーザのみが知りうる手段によって、本物のデータに復元可能なものにしているので、正当ユーザに対し認証判断誤りが発生しても、正当ユーザは常に本物のデータを得ることができ、判断誤りの損失を小さくできる。
【００４４】
請求項８の情報処理装置においては、ユーザが情報処理装置に、加工された出力済みデータのどの部分が加工されたかを指示し、これが当っていれば前回の認証判断を正当という判断に変更しているので、正当ユーザに対し認証判断誤りが発生しても、正当ユーザは常に本物のデータを得ることができ、判断誤りの損失を小さくできる。
【００４５】
また請求項９記載の発明によれば。上記の効果が得られる情報処理方法を提供することができる。さらに請求項１０記載の発明によれば、上記の処理プログラムが格納された記録媒体を提供することができる。
【図面の簡単な説明】
【図１】本発明の実施の形態に係る情報処理装置のブロック構成図である。
【図２】本発明の制御フローチャートの例を示す図である。
【図３】本発明の攻撃フローチャートの例を示す図である。
【図４】従来例の制御フローチャートの例を示す図である。
【図５】従来例の攻撃フローチャートの例を示す図である。
【符号の説明】
１　データ記憶部
２　データ名入力部
３　制御部
４　認証部
５　データ出力部

Claims

ユーザからのアクセスによってデータ出力部からデータを出力する情報処理装置において、アクセスの正当性を判断する判断手段としての認証部と制御部を有し、前記判断手段の判断結果に基づき、出力データ内容を決定することを特徴とする情報処理装置。
前記判断手段が正当とする判断を示さなかったアクセスに対し出力するデータは、前記判断手段が正当とする判断を示したアクセスに対し出力するデータとは類似だが別のデータであることを特徴とする請求項１記載の情報処理装置。
前記判断手段が正当とする判断を示さなかったアクセスのたびに、毎回異なるデータを出力することを特徴とする請求項１記載の情報処理装置。
前記判断手段が正当とする判断を示さなかったアクセスに対し出力するデータは、利用の際、異常な動作を引き起こすデータであることを特徴とする請求項１記載の情報処理装置。
前記判断手段が正当とする判断を示さなかったアクセスに対し出力するデータは、前記判断手段が正当とする判断を示したアクセスに対し出力するデータを正当度合いに応じて加工したデータであることを特徴とする請求項１記載の情報処理装置。
前記データ出力部が出力するデータは、ビットマップ画像データであることを特徴とする請求項２記載の情報処理装置。
前記判断手段が正当とする判断を示さなかったアクセスに対し出力するデータは、このデータを、正当なユーザのみが知りうる手段によって、前記判断手段が正当とする判断を示したアクセスに対し出力するデータに変換可能であることを特徴とする請求項２または５記載の情報処理装置。
前記判断手段が正当とする判断を示さなかったアクセスに対し出力するデータと、前記判断手段が正当とする判断を示したアクセスに対し出力するデータとの差異部分を示すことで、前記判断手段の判断結果を変更可能としたことを特徴とする請求項２または５記載の情報処理装置。
ユーザからのアクセスによってデータ出力部からデータを出力する情報処理方法において、アクセスの正当性を判断し、その判断結果に基づき、出力データ内容を決定することを特徴とする情報処理方法。
コンピュータで読み取り可能な記録媒体であって、請求項９記載の情報処理方法を、コンピュータで実行するためのプログラムを記録したことを特徴とする記録媒体。