JP2009526328A - ネットワークベースの不正および認証サービスのシステムと方法 - Google Patents

Abstract

アイデンティティ保護サービスを提供するシステムおよび方法である。実施形態にしたがって、バリデーションサーバが、ネットワークを通して、ユーザに関係する信用証明書からの応答を受け取り、１つのネットワークサイトの代わりに、バリデーションサーバによって信用証明書応答を確認して、不正検出サーバが、ネットワークを通して、１つのネットワークサイトにおけるユーザに関係するトランザクションに関連する情報を受け取り、１つのネットワークサイト以外の、ネットワーク上の１つ以上のサイトにおける１つ以上のトランザクションに関連し、不正検出サーバに提供された情報に少なくとも部分的に基づいて、不審なアクティビティに対するトランザクション情報を評価し、信用証明書応答は、認証のための要素として信用証明書を受け入れる、ネットワーク上の複数のサイトうちの１つに対してユーザを認証するために、ユーザによって提供される。
【選択図】 図１

Description

関連出願の相互参照

本出願は、２００６年２月１０日に出願された米国仮特許出願第６０／７７１，８６１号の３５Ｕ．Ｓ．Ｃ．１１９条のもとでの利益を主張している。この出願は、その全体が参照によりここに組み込まれている。

本発明の背景

アイデンティティの盗用は増加し続け、この問題の広がりは重大である。各年、ＵＳの何百万人もの成人が自身のアイデンティティを盗まれ、何千万ものアカウントが脅かされ、何十億ものアイデンティティの盗用から損害に至っている。不正損害自体が重大である一方で、一段と厄介なことは、消費者がこれらの侵入工作の犠牲者となる企業に対するマイナスの影響である。トランザクション量をより少なくし、さらに株の価格も低下させるアカウントチャーンは、大多数の企業に負担させて、損害の広がりをよりひどいものにした。

オンラインビジネス上でのアイデンティティの盗用の影響、および認証を強化することについての規制ガイダンスを想定して、より一層、企業は、企業のオンライン消費者ベースの認証オプションを評価している。弱い認証は、インターネットアイデンティティ盗用や、フィッシングや、オンライン金融詐欺を導く。より多くの消費者が、買い物をしたり、自身の財政を管理をしたり、健康管理情報にアクセスしたりするために、コンピューターおよび移動体デバイスを使用するにつれて、不正およびアイデンティティ盗用のリスクは増大する。

時間の経過とともに、企業は、法人ネットワークおよびアプリケーションに対する従業員や取引先のアクセスをセキュリティ保護するために強力な認証を使用している。法人資産に対する非認証アクセスを可能にするリスクは、強力な認証を導入するのに必要な行動様式の変化および投資を正当化して、企業に対する公正な直接的なリスク／報酬の評価に役立つ。しかしながら、これらの企業の解決策は、より少数の配備用に設計されてきたので、消費者アプリケーションをセキュリティ保護するために、これらのものを利用することは全面的に実現可能ではない。これらの企業の認証解決策をコスト効率がよい方法で何百万ものユーザに合わせて調整することは、ほとんど不可能である。

したがって、消費者に対してアイデンティティ保護を向上させるシステムおよび方法が技術的に必要である。

詳細な説明

本発明では、第３者のサービスプロバイダによってホスト接続された認証および不正検出サービスの双方を企業のネットワークに提供することによって、現在の解決策の欠点を解決する。これらのサービスは、ホスト接続されたサービスを利用する企業のネットワーク間で知能およびリソースを共有することによって、コストを最小限にし、安全性を最大限にする。サービスプロバイダは、ホスト接続された認証サービスを利用している参加企業間で認証信用証明書を共有することができたり、ホスト接続された不正検出サービスを利用している参加企業間で不正知能（例えば、不正データおよび署名）を共有したりすることができる。このアプローチは、消費者およびオンラインサービスの双方の代わりに、日常のウェブライフスタイルの便利さを犠牲にすることなく、デジタルアイデンティティの盗用を抑制する。

図１は、本発明の実施形態にしたがったネットワークベース認証および不正検出サービスのシステムを図示している。第３者のサービスプロバイダ（１００）は、ネットワーク（１３０）上の多数のサイト（１６０、１６２、１６４、１６６）に対して、認証サービス（１１０）と不正検出サービス（１２０）とを提供する。これらの多数のサイトは、サービス（１１０、１２０）に対するサービスプロバイダ（１００）を信頼している。信頼性のある当事者のうちの一人（１６４）と取引を行うように望んでいるエンドユーザ（１７０）のアイデンティティを保護するために、これらの信頼性のある当事者（１６０、１６２、１６４、１６６）は、これらのサービス（１１０、１２０）に従事している。

認証サービス（１１０）によって使用されるデータベース（１１５）中に記憶されている情報は、不正検出サービス（１２０）によって使用されてもよい。同様に、不正検出サービス（１２０）によって使用されるデータベース（１２５）中に記憶されている情報は、認証サービス（１１０）によって使用されてもよい。

ホスト接続された認証サービス（１１０）を利用している信頼性のある当事者（１６０、１６２、１６４）は、共有された認証ネットワーク（１４０）の一部としてみなされ、ホスト接続された不正検出サービス（１２０）を利用している信頼性のある当事者（１６２、１６４、１６６）は、不正知能ネットワーク（１５０）の一部としてみなされる。

ホスト接続された認証サービス（１１０）に関して、共有された認証ネットワーク（１４０）中の各当事者は、ネットワークの他の参加メンバーと同一の認証信用証明書を受け入れる。これによって、形態（例えば、ＯＡＴＨ準拠）に関係なく、参加ネットワークメンバのあらゆるサイトにわたって、エンドユーザが単一の認証証明書を利用することができる。このことは、エンドユーザが、異なる信頼性のある当事者と取引するために、別の信用証明書を必要とするときに生じる「ネックレス」問題を解決する助けとなる。

信用証明書とは、認証目的に使用される任意の電子デバイスまたはドキュメントのことを言う。妥当性確認のために信用証明書によって提供される値は、信用証明書応答（例えば、ＯＴＰ（「ワンタイムパスワード」）値、デジタル署名、またはチャレンジ応答クエリに対する応答）と呼ばれる。例えば、（時には、トークンとだけ呼ばれる）ＯＴＰトークンは、要求に応じて一意的なコードを発生させるハードウェアデバイス信用証明書である。通常、この一意的なコードは、認証のために、例えば、第２の要素として使用される。

第２の要素認証とは、ユーザが把握している何か（第１の要素）と異なった、またはこれに加えて、ユーザが有する何か、あるいはユーザである何か（第２の要素）を認証することを言う。第１および第２要素認証を用いるシステムにおいて、攻撃者が第１の要素のみを盗用した場合、攻撃者は第２の要素を偽造することができず、認証することは不可能である。攻撃者が第２の要素を盗用した場合、攻撃者は第１の要素を把握しておらず、認証することは不可能である。

ハードウェアトークン、デジタル証明書、およびバイオメトリックデバイスのような多くの異なるタイプの第２の要素があってもよい。さらに、認証サービスでは、２つより多い要素が必要であるかもしれない。例えば、システムでは、パスフレーズや、デジタル証明書や、親指の指紋センサや、ユーザが把握している何かや、ユーザが所有している何かや、ユーザである何かを組み合わせることが必要であるかもしれない。

第２の要素ネットワークは、使用しやすい単一のデバイスを使用することを容易にするすばらしい方法である。エンドユーザは、ネットワーク中のすべての場所で同一の方法を動作させる単一のデバイスを受け取る。ユーザが、第２の要素ネットワークをサポートするサービスにデバイスを単に登録すると、認証する準備ができる。ユーザがデバイスを紛失または破壊させた場合に、ユーザがデバイスの発行者にコンタクトをとると、各信頼性のある当時者が、ステータスの変化を知る。サービスプロバイダは、エンドユーザ信用証明書およびデバイスを管理することについて心配しなくてもよく、単に、ネットワークとコンタクトをとる。

ホスト接続された不正検出サービス（１２０）に関して、不正知能ネットワーク（１５０）における各当事者は、不正知能（例えば、ウェブブラウザヘッダ、ＩＰアドレス等）を共有して、アイデンティティ保護をさらに最大限にする。ネットワーク（１５０）全体からのトランザクション情報を共有することによって、不正検出サービス（１２０）は、リアルタイムで、参加しているサイト全体にわたっての行動のパターンを比較し、検出を助け、単一のサイトからのデータによって検出できなかった攻撃を阻止する。サービス（１２０）は、不正を検出するための個人的な識別可能な情報を必要とせずに、一意的な偽名を使用して、異なるサイト全体にわたってエンドユーザを識別することができる。

サービスプロバイダ１００は、不正知能ネットワーク情報から離れて取り出されたネットワークレベル知能を獲得するために、外的ソースに問い合わせしてもよい。このような知能は、ＩＰ地理的位置データ、接続タイプ、ネットワークプロバイダ、ＧＰＳデータ、ホームロケーションレジスタデータ、（地上ベースおよび／またはセルラ）発呼および被呼電話機データ等のような、インターネットのＤＮＳインフラストラクチャに関係する情報を含んでいてもよい。

したがって、不正検出サービス（１２０）は、個人情報を入手するために、ウェブサイトフィッシング、キー自動記録装置、擬似店頭、およびデータベースの盗用のような、多くの異なるメカニズムを使用して個人情報を入手するインターネット上の犯罪者をより抑制することができる。犯罪者は、複数のウェブサイト上で同一の情報を使用して、試行錯誤してログイン情報をテストしたり、複数の不正なアカウントまたは他の悪質なアクティビティを確立したりしようと試みることが多い。

図２は、本発明の実施形態にしたがったネットワークベース認証および不正検出のためのプロセスを図示している。信頼性のある当事者（１６４）がエンドユーザ（１７０）を認証するために信用証明書を要求した（ステップ２００）ときに、ユーザ（１７０）は、認証サービス（１１０）によって信用証明書応答が妥当性確認される（ステップ２２０）ように、ユーザ（１７０）によって所有されている信用証明書に関係する信用証明書応答を提供する（ステップ２１０）。

本発明の１つの実施形態では、ユーザ（１７０）が、信頼性のある当事者（１６４）に信用証明書応答を提供してもよく、信頼性のある当事者（１６４）が、バックエンドインテグレーションによって認証サービス（１１０）による情報をチェックする。別の実施形態では、信用証明書応答を入れるために、信頼性のある当事者（１６４）がユーザ（１７０）を認証サービス（１１０）にリダイレクトしてもよい。この実施形態では、認証サービス（１１０）が、デジタル的にサインされた表明、すなわち、試行が有効または無効であったか否かの表明を生成して、この表明をショートＡＳＣＩＩストリングにエンコードする。ショートＡＳＣＩＩストリングは、ｈｔｔｐリダイレクトを使用して、信頼性のある当事者（１６４）に返信するようにＵＲＬに添付することができる。さらに別の実施形態では、ユーザのウェブブラウザを異なるウェブページにリダイレクトする代わりに、信頼性のある当事者（１６４）のページ上のＪａｖａ（登録商標）スクリプトを使用して、（例えば、ＸＭＬＨｔｔｐＲｅｑｕｅｓｔ通話を通して）認証サービス（１１０）に信用証明書応答を転送して、結果的に生じた表明を受け取るように、信頼性のある当事者（１６４）はＡＪＡＸ（非同期型ＪａｖａスクリプトおよびＸＭＬ）を利用してもよい。

信頼性のある当事者（１６４）は、ユーザ（１７０）に関係するトランザクションを監視（ステップ２３０）して、不審なアクティビティに対して評価する（２４０）ために、不正検出サービス（１２０）に対してトランザクションに関係する情報を提供する。このトランザクションは、ログイン、購入、クリックスルー、あるいは信頼性のある当事者（１６４）のサイト上のユーザ（１７０）による何らかの他のアクティビティを含んでいてもよい。安全性を高めるために、不正検出サービス（１２０）は、不正知能ネットワーク（１５０）サイトによって不正検出サービス（１２０）に提供された他のトランザクション情報に少なくとも部分的に基づいて、不審なアクティビティに対するトランザクション情報を評価する。

図３は、本発明の実施形態にしたがった２段階の不正検出プロセスを図示しているフローチャートである。最初に、ユーザ（１７０）が、妥当性確認（ステップ３１０）のために、信頼性のある当事者（１６４）にログイン信用証明書を提供する（ステップ３００）。信用証明書が無効であった場合、ログインは拒絶され（ステップ３２０）、信用証明書が有効であった場合、信頼性のある当事者（１６４）がユーザのログインに関係する情報を不正検出サービス（１２０）に転送する（ステップ３３０）。

不正検出サービス（１２０）は不審なアクティビティをチェックし（ステップ３４０）、不審なアクティビティが発見されなかった場合、トランザクションが合格（ステップ３５０）し、信頼性のある当事者（１６４）が決定を通知し、ユーザ（１７０）がログインすることを許可される（ステップ３６０）。

一方、１次チェックによって不審なアクティビティが判明した場合、不正検出サービス（１２０）は、より高性能化した、複雑な侵略的な技術を使用して、その信用証明書が正当であることを妥当性確認するために進む（ステップ３７０）。この２次チェックの後に、不正検出サービス（１２０）は、トランザクションが不正または正当かどうかを決定する。

１次不正チェックは、トランザクションのプロパティ、ユーザアカウントのプロパティ、およびトランザクション履歴に基づいたものであってもよい。これらのチェックは、完全に自動化されているので、人の介入は必要でない。さらに、重要なことに、余分なステップはプロセスに加えられない。

２次不正チェックは、付加的なステップをプロセスに加える。不正検出サービス（１２０）は、電話機、ｅメール、またはユーザのアイデンティティのＳＭＳ確認を必要としてもよい。代わりに、システムは、ユーザ（１７０）の付加的なチャレンジ／応答質問を尋ねてもよい。これらのチェックの目的は、付加的な情報を提供して、ユーザのアイデンティティの妥当性確認をすることである。２次チェックが成功した場合、不正チェックが成功し（ステップ３５０）、ユーザはログインを許可される（ステップ３６０）。

２次チェックが失敗であった場合、不正チェックは、不合格であり（ステップ３８０）、不正検出サービス（１２０）が、信頼性のある当事者（１６４）に失敗を報告する。信頼性のある当事者（１６４）は、ログイン要求を拒絶（ステップ３２０）してもよく、解決のためにカスタマサービスに顧客を照会することを選択してもよい。

本発明の実施形態では、ステップ３１０に基づいて拒絶されたログインに関係する情報はまた、信頼性のある当事者（１６４）によって不正検出サービス（１２０）に送信されてもよい。

不審なアクティビティをチェックするために、不正検出サービス（１２０）には、各トランザクションについての情報が供給されてもよい。スコア付けするモデルまたはルールを使用して、サービス（１２０）が決定を出力する。各決定およびすべてのトランザクションの詳細が、トランザクションログにセーブされてもよい。周期的に、抽出変換ローディング（ＥＴＬ）プロセスは、トランザクション履歴データベース（１２５）に対するいくつかの情報を計算するために使用されてもよい。最近のトランザクションについての詳細の中には、トランザクション履歴データベース（１２５）に直接セーブされるものもあってもよい（例えば、単純で、計算しやすい情報）。スコア付けエンジンはまた、決定を強化するために使用できる（ＩＰ地理的データ、ＧＰＳデータ、ホームロケーションレジスタデータ、（地上ベースおよび／またはセルラ）発呼および被呼電話機データ等のような）外的ソースからの情報を含んでいるデータベースに問い合わせしてもよい。

スコア付けエンジンは、認証試行の有効と無効とを区別するように設計されている。

ログイントランザクションには２つのタイプがある。それは、正当な認証試行と、不正な認証試行である。２つを区別するために、ログインが他の正当な試行のパターンに適合しているか否か、およびログインが他の不正試行のパターンに適合しているか否かを、エンジンは学習しようとする。

時間とともに、各アカウントに対する正当なログイン試行がどのようなものであるかの良好の状況は、エンジンによって明らかにすることができる。例えば、ある期間にわたって、ミネソタにいるユーザがトークンを使用して、自分の取引アカウントにアクセスすると仮定したとする。時間が経過するにつれて、ユーザが、いつも取引時間にしかログインしないことや、１週間あたりに３回から４回しかログインしないことや、中西部におけるＩＰアドレスからしかログインしないことが明らかになるかもしれない。

このパターンからの何らかの逸脱は、不審なアクティビティのサインである。例えば、エンジンは、ロシアからＥＳＴに向けて深夜に２０回試行された認証を示すものは不審なトランザクション情報であると考えるであろう。エンジンは、通常の使用パターンを特徴付けて、そのパターンからの逸脱を探す。

ベースラインの動作の他の例は、ユーザの知られている地理的位置に基づくものであり得る。このユーザの知られている地理的位置は、（例えば、ユーザのセル電話に埋め込まれており、ログインするためのインターフェースは、例えば、セル電話による）ＧＰＳシステムから得られるユーザに関係する実際の位置データ、番号情報と呼ばれるホームロケションレジスタ情報等と比較することができる。ユーザの既知の位置とこれらの位置との間の何らかの通常とは異なる差異が、不正を示すことができる。さらに、これらのデータ間の何らかの差異が、不正を示すことができる。例えば、ＧＰＳデータがミネソタを示して、ホームロケーションデータがニューヨークを示した場合、不正が疑われ、対不正測定が実現されてもよい。

不正ログイン試行の状況もまた、エンジンによって時間とともに明らかにすることができる。例えば、多くの不正なログイン試行が無名のＩＰプロキシによるものであること、または東ヨーロッパ諸国からのものであることが明らかになるかもしれない。不正な試行が不適切なウェブサイトにおいてトークンを使用しようとすることや、辞書攻撃がトークンに対してなされる（例えば、トークンによって、異なるＰＩＮコードを体系的にテストする）こと等が明らかになるかもしれない。あらゆる種類の不正の動作を実質的に検出して反撃するために、ルールをコード化することができる。

不正を検出するために、不正検出サービス（１２０）は、各トランザクションについての十分な情報を収集して、適正な推測を行うことが必要である。広範な十分な情報を入手するために、以下のフィールドを使用することができる。
・トークンシリアル番号（または、トークングループＩＤ）
・トークンタイプ（ＯＴＰ、ＰＫＩ等）
・トランザクションの時間
・トークンユーザのＩＰアドレス
・ユーザがアクセスしようとするウェブサイト／システム
・ユーザが試行しているトランザクション（すなわち、ログイン、購入、株取引等）
・近似トランザクション値
・認証試行（有効または無効なＯＴＰ、有効または無効なＰＩＮ、不適切なサイト等）の結果

不正検出サービス（１２０）はまた、ディープな十分な情報を入手することが必要である。これは、トランザクションの履歴レコードを生成し、例えば、１年分が好ましいが、少なくとも９０日まで遡ることを意味している。時間が経過するにつれて、不審なアクティビティを探すために使用することができる（１ヶ月あたりのログインの平均数のような）サマリ情報を構築することができる。

不正検出サービス（１２０）は、ポリシーエンジンによってトランザクションを分析する。そして、トランザクションは、ポリシーに基づいて、異常エンジンに送られ、異常エンジンは、ステータス（異常か、または異常でないか）と、確信度（どの程度エンジンが自身の決定に確信があるか）とによって回答し、これは戻されてポリシーエンジンによって処理される。データフロープロセスの実施形態を以下に提供する。
・データがデータアダプタを通してシステムに到着
・ポリシーエンジンが、イベントに関連するルールを実行
・要求された場合、ポリシーエンジンが、異常検出するために異常エンジンにイベントを送る
・ポリシーンエンジンが、ステータス（異常であるか？）および確信度として構成されている戻された結果を受け取る
・確信度とステータスとにしたがって、ポリシーエンジンが、ユーザ定義されたアクションと内的分析とを含む付加的なイベントを発行

各ルールには、アクションの条件およびリストがあってもよい。例えば、条件は、イベントが生じたこと、グラフ中のデータが変化したこと、実際値が変化したこと等であってもよい。アクションは、グラフ中のデータが変化することや、実際値を設定することや、ｅメールを送信することや、スクリプトを実行すること等のことであってもよい。ルールは、ポリシーにグループ化されてもよい。各ポリシーには、名前と、属性（イネーブル／ディセーブル）および耐久性（ポリシーがアクティブであるときのスケジュール）とがある。ポリシーは、ディレクトリ中に論理的に記憶されていてもよい。

どの程度異常で、どの程度確信があるかについてエンジンが決定したことに基づいてフィルターを設定する機能を提供することに加えて、不正検出サービス（１２０）は、さらに正確性を高めるために、エンジンの決定を使用してもよい。例えば、高い異常スコアおよび確信度によって、トランザクションが異常であるとタグ付けされた場合でも、知られている不正トランザクションまたは知られている不正「でない」トランザクションのクラスターと、トランザクションを比較することによって、システムは、その正確性を高めることができる。

この教師なし学習を実現するために、不正検出サービス（１２０）は、その異常エンジンにおけるクラスタリングアルゴリズムを利用して、ユーザのアクションのうちのどのアクションが自然行動に対応しているか、そして、どれが例外的であるかを、何の支援もなしに決定してもよい。

クラスタリングアルゴリズムは、以下のような隣接の概念およびリンクに基づいた凝集型階層的クラスタリングアルゴリズムであるＲＯＣＫ階層的クラスタリングアルゴリズム（リンクを使用しているロバストクラスタリング）に基づいたものであってもよい。

ドメインエキスパートまたは類似度マトリックス上の２つの要素の類似度が、あるしきい値を超えた場合に、２つのデータ要素は隣接であるとみなされる。最初に、すべてのｎ個のデータ要素が、ｎ個のクラスターにそれぞれマッピングされる。それぞれの反復によって、双方のクラスターが任意の対のクラスターＣ_i、Ｃ_jに対してリンク（Ｃ_i、Ｃ_j）の最大値を実現するように、エンジンは、２つの最も接近したクラスター間で併合する。メトリックリンク（Ｃ_i,Ｃ_j）は、第２のクラスター中のすべての要素と第１のクラスター中のすべての要素との間の共通の隣接の数を表わす。

この基準は、双方のクラスターにおける潜在的な隣接の数によって標準化されるので、大きいクラスターは、他のすべてのクラスターをのみ込まず、すべての要素で終わることはないだろう。リンクを使用してデータ要素をグループ分けすることによって、全体に及ぶ知識をクラスタリングプロセスに導入し、要素間の最適な区分を形成する。したがって、形成されたクラスターは大きすぎずもしなければ、小さすぎもせず、また、クラスターは互いに比較的に類似した要素を含んでいる。

エンジンは、ＲＯＣＫアルゴリズムに対する強化を利用し、この強化はＲＯＣＫアルゴリズムを全体的な異常検出プロセスに適合させる。すなわち、強化は、クラスタリング段階の実行時間を十分に利用して、クラスターを見つけるＲＯＣＫの能力を、異常を見つける能力に変換する。これらの強化に加えて、エンジンは、以下のような認証レベルに関する強化を利用する。

他のクラスタリングアルゴリズムと同様に、ＲＯＣＫはまた、発生させるクラスターの数を決定する引き数を予測する。一方で、強化されたアルゴリズムは、クラスターの実際量を生成させ、これは、実際にデータ内で明らかになるように、ユーザの行動パターンのそれぞれを表している。

さらに、アルゴリズムは、クラスタリング実行レベルの概念を導入し、さまざまなシチュエーションに対して規定され得る異なるクラスタリング構成を可能にする。例えば、異常検出プロセスが相対希薄データ集合を持って開始された場合、一組のデータ要素間の共通の隣接の数は少ないことになっているので、エンジンは、低下した類似度しきい値によって、クラスタリング段階をアクティブ化することを望んでもよい。

これによって、間違った正数または負数を発生させないで、データ収集の早い段階でエンジンが不正検出を行うことができる。各実行レベルでは、トランザクションの最小数や、類似度しきい値や、確実度や、関係属性を規定することができる。

図４では、本発明の実施形態にしたがって、強化されたクラスタリングアルゴリズムが適用されてもよいグラフを図示している。

第１ステップ
Ｓを類似度関数とする。すべての要素に対してＳ（ｘ、ｙ）を計算する。
この例では、類似度を、互いに「接近している」、または接続されているものと定義する。

第２ステップ
隣接マトリックスを構築する。
Ｍ（ｘ,ｙ）＝１ ｉｆ Ｓ（ｘ,ｙ）＞Ｔあるしきい値
この例では、例えば、ｅおよびｄは接近しており、かつ、ｄおよびｆは接続されているので、Ｍ（ｅ,ｄ）＝１で、Ｍ（ｄ,ｆ）＝１である。しかしながら、ａ，ｂは、遠く離れており、接続されていないので、Ｍ（ａ,ｂ）＝０である。
完全なマトリックスを表１に表わす。

第３ステップ
リンクマトリックスを作成する。

共通の隣接の数が、要素のそれぞれの対（ｘ，ｙ）に対して計算される。

そこで、例えば、表２ではａおよびｃを採用する。

共通隣接の数は２である。この例に対するリンクマトリックスを表３に示す。

最終ステップ
基準関数
・同一のクラスターに属しているｘおよびｙのＬｉｎｋ（ｘ,ｙ）の合計を最大化
・異なるクラスターに属しているｘおよびｙのＬｉｎｋ（ｘ,ｙ）の合計を最小化

直観的に、概念は、クラスター内では、要素は、可能な限り多くの共通の隣接を持っている一方で、同時に、これらの要素は、他のクラスターにおける要素と可能な限り「異種」であることを確認する。

これらのメトリックに基づいて、クラスターを併合すべきか否かに関して決定するために良好性の尺度もまた計算される。すなわち、ポイントからクラスターへの一般化は論理的である。

ｋを、「可能性があるもの」に到達するためのクラスターの数をシステムに対して指定するために使用されるパラメータであるとする。ｋは絶対制限値でなく、また、システムは、より多くのクラスターを併合しようとすることができるが、ｋに一度到達すると、併合を「強要」しないであろうことに留意すべきである。

ｋ＝３であると仮定すると、（ａ、ｃ、ｄ、ｆ）はクラスタリングされることになる一方で、ｂおよびｅは別個のままであるだろう。

ｋ＝２である場合、大きいクラスター（ａ、ｃ、ｄ、ｅ、ｆ）が形成される可能性があるが、ｂは、別個のままである。その理由は、ｃに対して１つしか接続を有しておらず、ｄに対するｅと同じ程度に「接近」しておらず（ここでは類似度としての視覚の距離）、ｄはａおよびｆに接続されているからである。

この簡略化した例は、異常エンジンによって実現される強化されたクラスタリングアルゴリズムの主な原理を説明する役割をする。

本発明の実施形態にしたがった図５に示したように、サービスプロバイダ（１００）のような信用証明書発行者（５００）は、要求されたときに（５２０）、シードのバルクエンド発生およびシードのバルクエンドの安全な移送（５３０）をトークン製造業者（５１０）に提供してもよい。バルクプロビジョニングプロトコルを利用することによって、予めプロビジョニングされたトークン、すなわち、アクティブ化されて使用される準備ができているデバイスをユーザに対して送ることが可能になる。

ＯＴＰを発生させるために使用されるトークンまたはデバイスによってのみ既知のシークレットと、ＯＴＰの妥当性確認をするために使用されるバックエンドサービスとを発生させる複雑性は、発行者（５００）と、例えば、特定のトークンまたはＯＡＴＨ互換デバイスを製造する信頼されたパートナー（５１０）とによって取り扱われる。発行者により、供給されるアプリケーション、トークン製造ユーティリティ（ＴＭＵ）は、製造設備中にイントールおよび統合され、ＯＴＰ発生デバイス中に後に統合されるバッチシードの要求を可能にする。この方法で、デバイス製造業者（５１０）は、ＯＴＰ自体を消費のために発生させて提供するために必要な機能以外に、デバイス自体の複雑性を増大させないで、現行のプロセスを活用することができる。

本発明の実施形態では、バルクプロビジョニングプロトコルについて以下に説明する。

・ＴＭＵは、対のキーとトークンＩＤとを各トークンに対して発生させる。
・ＴＭＵは、公開キーを含む対のランダムキーを各トークンＩＤに対して発生させる。
・この公開キーは、プロビジョンコマンドによって登録要求が行われるごとに、第２のパラメータとしてトランスペアレントに使用される。
・ＴＭＵは、パラメータとして要求されたトークンＩＤによって、各トークンに対する証明書を登録することができる。
・ＯＴＰ共有シークレットは、各トークンＩＤに対していつも要求される。
・オプション的に、管理共有シークレットが、各トークンＩＤに対して同様に要求されてもよい。

ＴＭＵは、登録局キーを使用して、認証されたＳＳＬチャネルの確立を取り決めてもよい。このチャネルは、各トークンに対する登録プロセスが完了するまで持続する。

本発明の実施形態におけるバルクプロビジョニングプロトコルフローについて、以下に説明する。
・ＴＭＵは、発行者のプロビジョニングサービスに接続し、提示された各トークンＩＤに対して、ＯＴＰ証明書を登録し、オプション的には、管理証明書も登録する。
・発行者（５００）が、各トークンに対して要求された証明書および共有シークレットを暗号化された形態で返す。
・発行者（５００）は、そのサイトにおいて、共有シークレットのコピーを記憶させる。ＯＴＰ共有シークレットは、ユーザを認証するために使用されるＯＴＰ値を計算するために使用される。また、管理共有シークレットは、紛失パスワードをリセットするときに使用される。
・発行者（５００）が、証明書を返す。
・ＴＭＵは、ローカルキー記憶装置に証明書と共有シークレットとを暗号化された形態で記憶させる。
共有シークレットが発行者（５００）から受け取られた後に、トークン製造業者（５１０）が、受け取った共有シークレットを正しいトークンに埋め込む。本発明の実施形態にしたがって、以下のプロセスを利用してもよい。
・リストコマンドを使用して、各トークンに対するローカルキー記憶装置からトークンＩＤと共有シークレットとを抽出して解読。
・安全な方法を用いて、リストコマンドによって出力された各トークンＩＤに対する共有シークレットを解読。
・製造プロセスを使用して、共有シークレットを正しいトークン中に埋め込む。

図６は、本発明の実施形態にしたがった、ベーシックコンピューティングデバイスの構成要素を図示している。ベーシックコンピューティングデバイスは、例えば、認証サービス（１１０）または不正検出サービス（１２０）を実行するサーバを備えていてもよい。コンピューティングデバイスは、パーソナルコンピュータ、ワークステーション、サーバ、あるいは他の何らかのタイプのマイクロプロセッサベースデバイスであってもよい。コンピューティングデバイスは、プロセッサ（６１０）、入力デバイス（６２０）、出力デバイス（６３０）、記憶装置（６４０）、通信デバイス（６６０）のうちの１つ以上のものを備えていてもよい。

入力デバイス（６２０）は、キーボードや、マウスや、ペン操作型タッチスクリーンまたはモニタや、音声認識デバイスや、あるいは入力を提供する他の何らかのデバイスを含んでいてもよい。出力デバイス（６３０）は、モニタや、プリンタや、ディスクドライブや、スピーカーや、あるいは出力を提供する他の何らかのデバイスを含んでいてもよい。

記憶装置（６４０）は、ＲＡＭ、キャッシュ、ハードドライブ、ＣＤ-ＲＯＭドライブ、テープドライブ、またはリムーバル記憶ディスクのような１つ以上の電気、磁気または光学メモリを含む揮発および不揮発性データ記憶装置を含んでいてもよい。通信デバイス（６６０）は、モデム、ネットワークインターフェースカード、あるいはネットワークを通して信号を送信および受信することができるな他の何らかのデバイスを含んでいてもよい。コンピューティングデバイスの構成要素は、例えば、ワイヤレスに、または電気バスを通してといった任意の方法で接続されていてもよい。

記憶装置（６４０）中に記憶され、プロセッサ（６１０）によって実行されるソフトウェア（６５０）は、例えば、本発明の機能を埋め込んでいる（例えば、認証サービス（１１０）および不正検出サービス（１２０）に埋め込まれているような）アプリケーションプログラミングを含んでいてもよい。ソフトウェア（６５０）は、アプリケーションサーバおよびデータベースサーバのような、クライアントアプリケーションと企業サーバとを組み合わせたものを含んでいてもよい。

通信は、何らかの通信プロトコルを実現したり、何らかのセキュリティプロトコルによってセキュリティ保護される任意のタイプのネットワークを通して行なわれてもよい。ネットワークリンクは、電話線、ＤＳＬ、ケーブルネットワーク、Ｔ１またはＴ３ライン、ワイヤレスネットワーク接続、あるいはネットワーク信号の送信および受信を実現する他の何らかの配置を含んでいてもよい。

コンピューティングデバイスは、ウィンドウズ（登録商標）、Ｌｉｎｕｘ（登録商標）またはＵＮＩＸ（登録商標）のような何らかの動作システムを実現してもよい。ソフトウェア（６５０）は、Ｃや、Ｃ＋＋や、Ｊａｖａ（登録商標）や、ビジュアルベーシックおよび／またはＳＱＬのような任意のプログラミング言語で書かれていてもよい。さまざまな実施形態において、本発明の機能を埋め込んでいるアプリケーションソフトウェアは、クライアント／サーバ配置で、あるいは、例えば、ウェブベースアプリケーションまたウェブサービスのようなウェブブラウザを通して、スタンドアローン型機械上で配備されていてもよい。

本発明のいくつかの実施形態をここで詳細に図示および／または説明した。しかしながら、本発明の精神および意図された範囲から逸脱することなく、本発明の修正または変形が上記の教示および添付した特許請求の範囲によって網羅されることを正しく認識するであろう。

例えば、認証サービス（１１０）および不正検出サービス（１２０）のような本発明を実現するソフトウェア機能は、同じ機能を一緒にさらに提供するいくつかの別々のモジュールを備えていてもよく、図示したデータベース中に明記されたデータは、いくつかのデータベース区画、データベースおよび／またはシステムに及んでもよく、図２ないし３、および図５のデータおよびフロー図は、または、ここで説明した、より高いレベルの機能性を損わない、組み合わせたステップまたはいくつかの中間ステップを含んでいてもよい。

図１は、本発明の実施形態にしたがったネットワークベースの認証および不正検出サービスのシステムを図示しているブロック図である。 図２は、本発明の実施形態にしたがった認証および不正検出サービスを提供するためのプロセスを図示しているフローチャートである。 図３は、本発明の実施形態にしたがった２段階の不正検出プロセスを図示しているフローチャートである。 図４は、本発明の実施形態にしたがって、クラスタリングアルゴリズムが適用されたグラフである。 図５は、本発明の実施形態にしたがったバルクブロビジョニングプロセスを図示しているブロック図である。 図６は、本発明の実施形態にしたがったコンピューティングデバイスを図示しているブロック図である。

Claims (12)

1. アイデンティティ保護サービスを提供する方法において、
   ネットワークを通して、ユーザに関係する信用証明書からの応答をバリデーションサーバにおいて受け取ることと、
   １つのネットワークサイトの代わりに、バリデーションサーバによって信用証明書応答を確認することと、
   ネットワークを通して、１つのネットワークサイトにおけるユーザに関係するトランザクションに関連する情報を不正検出サーバにおいて受け取ることと、
   １つのネットワークサイト以外の、ネットワーク上の１つ以上のサイトにおける１つ以上のトランザクションに関連し、不正検出サーバに提供された情報に少なくとも部分的に基づいて、不審なアクティビティに対するトランザクション情報を不正検出サーバによって評価することとを含み、
   信用証明書応答は、認証のための要素として信用証明書を受け入れるネットワーク上の複数のサイトうちの１つに対してユーザを認証するために、ユーザによって提供される方法。
2. バリデーションサーバは、ユーザによって提供された信用証明書応答を確認することに関連し、不正検出サーバによって提供されたトランザクション情報を利用する請求項１記載の方法。
3. 不正検出サーバは、不審なアクティビティに対するユーザのトランザクション情報を評価することに関連し、バリデーションサーバによって提供された確認情報を利用する請求項１記載の方法。
4. １つのネットワークサイト以外の、ネットワーク上の１つ以上のサイトにおける１つ以上のトランザクションに関連し、不正検出サーバに提供されなかった他の情報に少なくとも部分的に基づいて、不正検出サーバが、不審なアクティビティに対するトランザクション情報を評価する請求項１記載の方法。
5. 他の情報は、インターネットのＤＮＳインフラストラクチャに関係するデータベースから問い合わせされる請求項４記載の方法。
6. 他の情報は、ＩＰ地理的位置データを含む請求項５記載の方法。
7. アイデンティティ保護サービスを提供するシステムにおいて、
   認証サービスを提供するように構成されているバリデーションサーバと、
   不正検出サービスを提供するように構成されている不正検出サーバと、
   バリデーションサーバに通信可能にリンクされている認証データベースと、
   不正検出サーバに通信可能にリンクされている不正検出データベースとを具備し、
   バリデーションサーバは、ネットワークを通して、ユーザに関係する信用証明書からの応答を受け取り、信用証明書応答は、認証のための要素として信用証明書を受け入れるネットワーク上の複数のサイトのうちの１つに対してユーザを認証するために、ユーザによって提供され、
   バリデーションサーバは、１つのネットワークサイトの代わりに信用証明書応答を確認し、
   不正検出サーバは、ネットワークを通して、１つのネットワークサイトにおけるユーザに関係するトランザクションに関連する情報を受け取り、
   不正検出サーバは、１つのネットワークサイト以外の、ネットワーク上の１つ以上のサイトにおける１つ以上のトランザクションに関連し、不正検出サーバに提供された情報に少なくとも部分的に基づいて、不審なアクティビティに対するトランザクション情報を評価するシステム。
8. バリデーションサーバは、ユーザによって提供された信用証明書応答を確認することに関連し、不正検出サーバによって提供されたトランザクション情報を利用する請求項１記載のシステム。
9. 不正検出サーバは、不審なアクティビティに対するユーザのトランザクション情報を評価することに関連し、バリデーションーバによって提供された確認情報を利用する請求項１記載のシステム。
10. １つのネットワークサイト以外の、ネットワーク上の１つ以上のサイトにおける１つ以上のトランザクションに関連し、不正検出サーバに提供されなかった他の情報に少なくとも部分的に基づいて、不正検出サーバが、不審なアクティビティに対するトランザクション情報を評価する請求項１記載のシステム。
11. 他の情報は、インターネットのＤＮＳインフラストラクチャに関係するデータベースから問い合わせされる請求項１０記載のシステム。
12. 他の情報は、ＩＰ地理的位置データを含む請求項１１記載のシステム。

Images