JP2015039214A - Ｉｄ盗難又は複製を用いた不正使用に対する保護の方法とシステム - Google Patents

Abstract

【課題】ＩＤ盗難、複製を防ぐ、又はその危険性を軽減する。【解決手段】ネットワーク、コンピュータ・システム又はプログラムにアクセスする場合、ネットワーク、コンピュータ・システム又はプログラムは、ユーザＩＤとパスワードを有効化し、且つユーザ、装置、使用しているネットワークなどに関するコンテキスト情報を収集する。ユーザＩＤとパスワードが有効化されると、リアルタイム・セッション固有ワンタイム・パスコードを有するメッセージが、携帯電話のＳＭＳネットワーク、又はインスタント・メッセージのような第二手段によって送信される。セッション固有のコード及び収集された情報は、公開された情報と不正アクセスから保護をするユーザ及びパスワードを表わす情報との間の不整合を介し、信用出来なくなったＩＤをユーザが検出できるようにする情報を提供する。【選択図】図１

Description

本願発明は、コンピュータ・システム中の対象コンポーネントに対するユーザアクセスを認証するためのコンピュータ実行アクセス認証の方法とシステムに関する。具体的には、本願発明は、ＩＤ盗難、及び／又は複製を介したＩＤ盗難を防ぐ、又は少なくともその危険性を軽減する方法とシステムに関する。

マルチユーザ・コンピュータの状況として、認証手続は、ユーザにアクセスすることを許可しているプログラムやシステム・リソースに対するユーザアクセス権を与えるために広く使用されている。本願明細書の記載として、コンピュータ・システム中の対象コンポーネントという用語は、認証スキームに基づきユーザアクセスが許可されているコンピュータ・システム中の如何なるエンティティ（entity）をも参照することを目的としている。上記の対象コンポーネントの例としては、コンピュータ、又はコンピュータのグループ、コンピュータ・ネットワーク、通信ネットワーク、データ処理システム上で実行される一又は二以上のコンピュータ・プログラム、一又は二以上のコンピュータ・プログラムの機能、コンピュータ・リソース（ドライバ、メモリ、コンピュータ周辺機器、メモリに格納されたデータ、コンピュータによって提供されたサービスなど）がある。アクセスを許可するための従来の手段は、ユーザＩＤとパスワードを使用する。広域ネットワーク及びインターネットの到来と同時に、数多くのコンピュータ・プログラムとシステムは、現状はセキュリティの点では専らユーザＩＤとパスワードとを用いた個別アクセスの許可に基づくものとなっている。ネットワーク介した通信を行う場合、第１コンピュータ装置と第２コンピュータ装置との間の通信の経過を追う方法は、セッションＩＤを用いてなされる。近年、ユーザＩＤとパスワードの形式でユーザの同一性を確保する方法とプログラムは、ユーザが日常的に騙し取られてしまう使用方法として爆発的に増加している。

ユーザのＩＤとパスワードを盗む巧妙な方法は、第三者が犯罪的手法によってユーザのＩＤとパスワードにアクセスすることができるいわゆるフィッシング詐欺である。これらの方法は、介入者攻撃のようなさらに巧妙な攻撃方法という可能性さえある。介入者攻撃とは、ユーザがネットワーク、コンピュータ・システム、又はプログラムにログインする際、ユーザと前記ネットワーク、コンピュータ・システム又はプログラムとの間の通信を不正な第三者が傍受するものである。ひとたび傍受されてしまうと、不正な第三者は、同じようなプロセスを立ち上げ、同じネットワーク、コンピュータ・システム又はプログラムに対してユーザとしてログインするだけでなく、介入者として容易に活動し、ＩＤ盗難を目的として前記ネットワーク、コンピュータ・システム又はプログラム上のユーザ活動に感染するようになる。

上記の攻撃に対してユーザの安全を確保する一方法は、認証に第二の手段を展開することができるようにすることである。上記の第二の手段は、認証の第二の要素としてもみなされる。初期に出てきた上記の解決策は、ユーザが肌身離さずどこにでも持ち運べるトークンと呼ばれるハードウェア装置を用いていた。ソフト・トークン、又はＳＭＳ配信トークンコードとしてもみられた上記方法は、一定期間、又は使用されるまでは有効である事前発行されたパスコードを用いる方法である。上記のコンセプトは、フィッシング詐欺、及び特に介入者攻撃の双方を防ぐには効果がないことが分かっている。それは、不正な第三者がいるかどうか、及びセッションが傍受されているかどうかということをユーザが決して気づくことができないからである。

最近出てきた解決策は、メッセージベースの取り組みに基づいている。一般的にユーザの携帯電話にパスコードを送信するため、広範囲で使用されているショート・メッセージ・システム（ＳＭＳ、又はテキスト・メッセージ）といった携帯電話ネットワーク上のシステムを用いる方法が最も広く見受けられている。もしくは、代替の実施態様として、ユーザのＩＤとパスワードによるログイン・プロセスにて認証を行うシステムを公開している中央サーバに、ユーザがアクセスする。ユーザＩＤとパスワードと同時にＳＭＳコードが入力され、それ故にフィッシング詐欺、及び証明書（credential）を危険にさらす類似手法を有効なものとしてしまう分離型ログイン・プロセスを用いていることがいくつかの現在の取り組みにおける問題となっている。これらの解決策における現在の実施態様も、一定期間、又は使用されるまでは有効であり、さらにそれ故、介入者攻撃にパスコードを危険にさらしてしまう事前発行されたパスコードを使用している。

米国特許出願公開第２００７/０１３６５７３号には、少なくとも一つからなる多重多要素認証を用いる認証のシステムと方法とが公開されている。上記の先行技術の方法は、信用があるコンピュータの存在と使用に関する。上記の先行技術文献は、信用があるコンピュータの構築のためのプロセスを介入者攻撃から保護するため、信用があるコンピュータの構築に関する如何なる方法も公開していない。それ故、信用があるコンピュータを必要とせず、介入者攻撃に対して高めたセキュリティを提供するという問題が残っている。

本願発明は、フィッシング詐欺、及びファーミングによるＩＤ盗難、又はＩＤ複製を阻止するために先行技術の解決策のいくつかの課題を克服するものである。

本願明細書に開示する本願方法と本願システムとの実施態様は、リアルタイム且つセッション固有の二要素認証方法を組み合わせている。二要素認証方法は、ユーザに送信したメッセージの中にログイン・プロセスの間に収集されたコンテキスト情報を含めることによって、ユーザの個人的な情報を組み合わせた方法である。

ユーザが第一ユーザ・システムからコンピュータ・システム中の対象コンポーネントにアクセスする場合、ユーザは、ユーザ名と、パスワード、ＰＩＮ、又は別の機密情報の形式のパスワードとを提供することがまず求められる。本願明細書に開示する方法の実施態様は、証明書を有効とするとともに、セッション固有のコンテキスト情報を収集し、且つ例えばセッション・クッキーＩＤ（これに限定されるものではない）などの個別のログイン・セッションＩＤに関連するものだけが有効となるパスコードを生成する。リアルタイム・パスコードとコンテキスト情報は、通信ネットワーク経由で第二ユーザ・システムに送信される。上記コンテキスト情報は、介入者攻撃が進行中であるかどうかをユーザが判断できるようにし、もしそうであるならば、セッション固有のパスワードを入力しないことによってフィッシング詐欺及びファーミング攻撃を防ぐ。上記コンテキスト情報が正しいと思われる場合、ユーザはパスコード入力を継続し、セッションＩＤに対して有効であるならば、ユーザはアクセス権が与えられる。

一実施態様において、第一ユーザ・システムからコンピュータ・システム中の対象コンポーネントにアクセスしようとしているユーザを認証するために、コンピュータ実行システムによって実行される方法が公開される。第一ユーザ・システムの実施態様は、第一通信ネットワークに接続可能となっている。上記方法の実施態様は、以下の段階を具備している。

−第一ユーザ・システム中の第一ユーザ・インターフェースを通してユーザによって入力されたユーザ認証情報を受信する段階

−第一ユーザ・システムのプロパティを示す情報、又は第一通信ネットワーク及びセッションＩＤのプロパティを示す情報から選択されたコンテキスト情報の少なくとも一つの項目を前記第一通信ネットワーク経由で取得する段階

−ユーザ認証情報を検証する段階と、ユーザ認証情報の検証の成功に応答して、コンピュータ実行認証システムから第二通信ネットワークを経由し第二ユーザ・システムへメッセージを送信する段階と、第二ユーザ・システムが、ユーザがコンテキスト情報の少なくとも一つの項目、及びセッション固有のワンタイム・パスコードを検証できるように、第二ユーザ・インターフェースを経由しユーザに対してコンテキスト情報の少なくとも一つの項目を表示することを許可する段階
前記メッセージはコンテキスト情報の少なくとも一つの項目、又はＩＰアドレスに基づくおおよその位置情報もしくはＧＰＳ（全地球測位システム）座標に基づく地名などの収集されたコンテキスト情報の派生情報を含む。

−第一ユーザ・システム、及び第一通信ネットワークを経由し、第一ユーザ・システムに対してユーザによって入力されたセッション固有のパスコードを受信する段階

−パスコードを検証する段階と、パスコードの検証が成功した場合、第一ユーザ・システムに対し対象コンポーネントに対するアクセス権を与える段階

いくつかの実施態様において、第二ユーザ・インターフェースと第一ユーザ・インターフェースは、同一のユーザ・インターフェースであってもよい。第二ユーザ・インターフェースが第一インターフェースと異なる場合、例えば、ユーザに対し表示される異なるウィンドウ（例えば、同一であっても異なったソフトウェア・プログラム）、異なったディスプレイなどの異なる物理的インターフェース、インスタント・メッセージ・システムなどの異なるメッセージ・ゲートウェイなどの場合、システムのセキュリティはさらに改善される。

前記第一ユーザ・システムは、デスクトップ・コンピュータ、ポータブル、又はハンドヘルド・コンピュータなどのコンピュータであってもよいし、又は通信ネットワークに接続可能な如何なる別の制御演算装置（例えば、電子手帳、発信機、電話、ネットワーク端末など）であってもよい。第二ユーザ・システムは、通信ネットワーク経由でメッセージを受信するように構成された如何なる適切な装置であってもよい。

前記第二要素装置として言及される第二ユーザ・システムは、第一ユーザ・システムとは異なった通信装置であってもよい。例えば、携帯電話、ページャ（pager）、ユーザによって持ち運ばれる別の通信機器であってもよい。或いは、第一ユーザ・システムと第二ユーザ・システムを、二つの別々のユーザ・インターフェースが実装されるように構成された同一の装置で具現してもよい。例えば、第一インターフェースがユーザ認証情報を入力するユーザ・インターフェースを提供するログイン・プログラム形式インターフェースであるとともに、第二ユーザ・インターフェースがインスタント・メッセージ・プログラムのユーザ・インターフェース、又はメッセージを受信し表示するための別のプログラムのユーザ・インターフェースであってもよい。

従って、前記第一通信ネットワークと前記第二通信ネットワークは、異なったネットワーク、同一のネットワークでもよい。もしくは、部分的に同一のネットワークを使用し、部分的には異なるネットワークを利用してもよい。一般的に、第二通信ネットワークは、リアルタイム・メッセージを通信することに適しているネットワークであってもよい。例えば、ショートテキスト・メッセージ・システム、インスタント・メッセージ・システム、又はそれに類するものである。それ故、第二通信ネットワークは、メッセージ・ネットワークとしても言及される。第一通信ネットワークは、如何なる適切な通信ネットワークの一種であってもよい。例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、無線ローカル・エリア・ネットワーク（ＷＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネットなどのコンピュータ・ネットワーク、ＧＳＭ(登録商標)、ＧＰＲＳ、ＥＤＧＥ、ＵＴＭＳ、ＨＳＤＰＡ、ＷＩＭＡＸ規格に基づく移動体通信ネットワークなどの電気通信ネットワーク、又は他の如何なる適切なネットワークであってもよい。

“リアルタイム・セッション固有のワンタイム・パスコード”という用語は、パスコードに関連した、すなわちパスコードがセッション固有であるセッションのログイン・セッション中にリアルタイムで生成されるパスコードを示すことを意図としている。それ故、上記パスコードは、事前に作成されるものではなく、むしろ対応ログイン・セッションが開始する直前に存在しているものである。上記パスコードは、セッション固有である。すなわち、ある固有のログイン・セッションに関連している。パスコードは、セッションに対して一意的であることが望ましい。さらに、上記パスコードは、ワンタイムコードである。つまり、たった一回のログインのみで有効である。

本願明細書に開示する本願方法と本願システムの実施態様は、ユーザがコンピュータ・システム、コンピュータ・プログラム、又はネットワークにアクセスする場合、前記ユーザの認証を行うため、コンピュータ・システム、コンピュータ・プログラム、及びメッセージ・ゲートウェイによって実装してもよい。本願明細書に開示する本願方法と本願システムの実施態様は、少なくとも二つの異なる認証の要素／手段を用いたセッション固有のメッセージベース認証プロセスを使用してもよい。第一要素は、例えばユーザＩＤとパスワード形式でユーザに対して既知のものとなっている。第二要素は、例えば従来の携帯電話、ページャなどのネットワーク接続されたメッセージ受信装置の形式で、又はインスタント・メッセージ・プログラムなどのコンピュータ上で実行されるプログラムの形式で、ユーザの管理下にあるか、又はアクセス可能となっている。

本願明細書に開示する本願方法と本願システムの実施態様は、ネットワーク接続されたメッセージ受信装置にパスコード・メッセージを送信する。例えば、生成されたリアルタイム・セッション固有のワンタイム・パスコードと、ログイン・プロセスの間に例えば第一通信ネットワーク及び／又は第一ユーザ・システムで用いられているコンピュータ又は別の装置から収集されたコンテキスト情報とを含むリアルタイム・メッセージベースの手段によって、前記メッセージを送信する。コンテキスト情報は、ログイン試行がユーザ自身ではなく別のエンティティから実施されていることを、ユーザが見破ることができる如何なる適切な情報であってもよい。その試行で、ＩＤ盗難、又はＩＤ複製イベントが可能性として発生していることを示してもよい。適切なコンテキスト情報の例としては、ログイン・プロセスを実行するために第一ユーザ・システムとして使用されているコンピュータのコンピュータＩＤ、ログイン試行が開始された第一ユーザ・システムの位置に関する少なくともおおよその地域情報がある。それ故、ユーザは、ログイン・プロセスを実行しているコンピュータがユーザ自身のコンピュータかどうか、又はいわゆる介入者攻撃を実行している不正な第三者のコンピュータが存在している可能性があるかどうかを判断できるようになる。例として、ログイン・プロセスの間に例えばログイン中に使用されていたコンピュータ、又は装置、又はネットワークから収集されたコンテキスト識別情報は、例えばインターネット・プロトコル・アドレス又は携帯電話からの全地球測位座標に基づくおおよその地域位置情報、又は前記二つを組み合わせから決定される一意的なデータ項目、又はインターネット・ブラウザのバージョン、オペレーティング・システムの言語設定などである。

前記第一ユーザ・インターフェースは、第一ユーザ・システム上で、又は第一ユーザ・システム上の第一ユーザ・インターフェースを公開するように構成されている認証システムのサーバ・コンピュータ上で実行されるウィンドウベース、又はログイン・プログラムの如何なる他の適切なインターフェースであってもよい。第二ユーザ・インターフェースは、第二ユーザ・システム上で、又はサーバ・コンピュータ上で実行されるウィンドウベース、又は別の適切なプログラム・インターフェース、又はネットワーク接続されたメッセージ受信装置の表示であってもよい。本願明細書に開示する本願方法と本願システムの実施態様を用いたシステムにユーザがログインをする場合、ユーザは、まずユーザ名及びパスワードなど自身のユーザ証明書を第一ユーザ・インターフェースに入力する。例えば、第一ユーザ・システム上で提供されているログイン・ウィンドウのようなインターフェースである。ひとたび証明書が有効となれば、認証システムは、コンテキスト情報、及びリアルタイム・セッション固有のワンタイム・パスコードを含むメッセージを第二ユーザ・システムに送信してもよい。例えば、ユーザに割り当てられた第二要素装置に送信をしてもよい。同時に、第一ユーザ・インターフェースのログイン・ウィンドウが、第二要素装置に送信されたリアルタイム・セッション固有のワンタイム・パスコードを入力することができる新しい第二ウィンドウへと移行する。ひとたび上記の内容が入力され有効化されると、ログイン・エンティティにアクセスの許可が与えられる。

別の実施態様において、ログイン・システム、すなわち第一ユーザ・システムは、ログイン・プロセスの間に収集されたコンテキスト情報を表示してもよいし、又は不正にＩＤを盗難しようとしているエンティティではなくＩＤとパスワード証明書の所有者のみが知りうる別の情報を表示してもよい。例として、コンテキスト情報を、別のメッセージベース・ネットワークから送信されたリアルタイム・セッション固有のワンタイム・パスコードを入力するために使用される第二ログイン画面に表示してもよい。コンテキスト情報は、システムに実際にログインしようとしているのが異なるコンピュータであるかどうかをユーザが確認可能であることを保証する。異なるコンピュータによるログインは、第三者がログイン・プロセスを傍受して、ユーザが証明書を入力しようとした際に、ユーザ個人情報を一般的にログインＩＤ及びパスワードの形式で複製しようとする介入者攻撃によって引き起こされる。

前記第二要素装置がメッセージ・ネットワークに接続されていない場合において、本願明細書に開示する本願方法と本願システムの実施態様は、事前発行されたパスコードのセットをユーザに前もって送信してもよい。ユーザが自身の証明書を用いてログイン・システムにその後アクセスする場合、第二ログイン・ウィンドウは、収集されたコンテキスト情報、及びユーザに対して一又は二以上の事前発行されたパスコードの組み合わせの入力要求を表示する。事前発行されたパスコードにより、セッション固有のコードを生成する適切な組み合わせを入力した場合、有効化された時点で、ユーザアクセスが許可される。

本願発明は、上記方法及び下記方法、及びそれに相当するシステム、装置、及び／又は生産手段を含む様々な態様に関する。各々は最初に記載した態様に関連して記載された一又は二以上の利点と長所をもたらし、各々は最初に記載した態様及び／又は添付の特許請求の範囲に公開された態様に関連して記載された一又は二以上の実施態様を有する。

本願発明の典型的な実施態様は、図面を参照してここに記載される。

本願発明の典型的な実施態様を図示したブロック図である。

図１は、本願明細書に開示された方法とシステムの実施形態を図示したブロック図である。具体的には、図１は、コンピュータ実行ユーザ認証システム（４）を用いる構造図を図示している。コンピュータ実行ユーザ認証システム（４）は、認証されていないユーザによるアクセスを阻止する一方でコンピュータ・システム中の対象コンポーネント（１４）に対するアクセス権を認証対象ユーザ（１）に与えることを目的としている。対象コンポーネント（１４）は、コンピュータ・プログラム、コンピュータ又は別のデータ処理システム、コンピュータ・ネットワーク又は認証を必要とする如何なる別のコンピュータアクセス可能なエンティティであってもよい。コンピュータ実行ユーザ認証システム（６）は、サーバ・ログイン画面プログラム、ネットワークアクセス・ログイン・プログラム、又はそれに類するものなどのように適切にプログラムされたデータ処理システムであってもよい。前記システムは、第一私的又は公的通信ネットワーク（１１）に対する適切なインターフェース、一又は二以上の認証システム（６）に対する適切なインターフェースを具備している。例えば、Ｏｕｔｌｏｏｋ Ｗｅｂ Ａｃｃｅｓｓなどのウェブサイト・ログイン・システム、又は追加された二要素認証を除いたＷｉｎｄｏｗｓ（登録商標） Ｇｉｎａインターフェース・システムなどのＷｉｎｄｏｗｓ（登録商標）ログイン・システムなどのようなインターフェースである。また、前記システムは、コンピュータ・シリアル・インターフェース経由かホスト・ゲートウェイに対するネットワーク経由かのいずれかで接続されているＳＭＳメッセージベース・ゲートウェイなどのメッセージベース・システムに接続されているリアルタイム・セッション固有のＳＭＳワンタイム・パスコード・システム（４）に基づいている。前記ゲートウェイは、携帯電話ネットワーク又はそれに類するネットワークに接続されており、前記携帯電話ネットワークのＳＭＳサービス、又はそれに類するユーザ装置（１０）に対するメッセージ・ネットワーク、又はゲートウェイに基づくインスタント・メッセージ・システムを経由してメッセージを送信することができる。前記メッセージ・システムは、公的又は私的ネットワークを経由し中央コンピュータ又は分散したコンピュータ集合を経由して、ログインに使用されたコンピュータではなく同一又は異なるコンピュータ上に存在する別のプログラムに対してメッセージを送信できる。前記ログインにおいて、ユーザは前記インスタント・メッセージ・ゲートウェイ・ユーザ・プログラムに対しログインする異なる方法を用いている。前記インスタント・メッセージ・プログラムは（２）でログインするために使用されたコンピュータとは別のウィンドウに送信した情報を表示する。ユーザ認証システム（４）は、ＳＭＳに基づいた従来の二要素認証システムの機能を提供する。ＳＭＳに基づいたシステムは、ＲＳＡに見られるコード生成器とハードウェア・ディスプレイを収容しユーザにより管理が行われるハードウェア・トークン、又は携帯端末ディスプレイにてワンタイム・パスコード・トークンを表示する携帯端末上で実行されるソフト・トークン生成器、又は事前発行され、且つ一定期間有効な標準のメッセージベースコードとは異なったものである。既知の代替システムとは異なって、リアルタイム・セッション固有のワンタイム・パスコード・システム（４）は、対応するセッションに関するコンテキスト情報を有する特定のログイン・セッションのみに有効な各々固有のログイン・セッション用の一意的なワンタイム・パスコードを生成する。通常はユーザ名及びパスワードである第一要素は、認証システム（６）によって有効化される。認証システム（６）を、下記に詳細に記載する。二要素認証システム（４）の第二要素を生成することに加えて、前記システムは、認証されていないユーザ、例えば一般的に介入者と呼ばれる攻撃者から不正行為を受けていないかどうかを認証対象ユーザが検証できるようにするコンテキスト情報も収集する。上記は、ログインを試みようとしているシステム（２）に接続されたネットワーク（１１）経由で一般的に実施される。前記コンテキスト情報は、第一要素が有効化された後、同一のシステム（２）経由か、第二ネットワーク経由の第二システム経由、例えばネットワーク（１２）経由のシステム（１３）経由かのいずれかでユーザに対して表示される。或いは、ユーザ認証システム（４）を、コンテキスト情報の収集及び認証対象ユーザ（１）への表示に関する機能を提供するために既存の二要素認証システム内部に統合してもよい。

認証システム（６）は、ユーザ認証システム（４）から通常は分離されているとともに、ユーザ名とパスワードの有効性を提供する。認証システム（６）の例としては、Ｍｉｃｒｏｓｏｆｔ（登録商標） Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ ｓｅｒｖｅｒ、又はホームバンキングのようなアプリケーションにてユーザ名及びパスワードに関する情報を保持するシステムがある。システム（４）及び（６）が、別々のシステムとして図示されていたとしても、システム（４）及び（６）が同一のコンピュータ上に実装されたり、更には同一のソフトウェア・アプリケーションによって実装されたりする可能性も別に存在する。そのため、認証システム（６）及びリアルタイム・セッション固有のワンタイム・パスコード・システムは、ある形式に統合されたユニバーサルアクセス・アプリケーションに見られるように、一つで且つ同一のアプリケーションに組み込まれている。そのため、上記の二つのプログラムの実行は、メッセージベース認証システム（４）が全ログイン・プロセスを処理するがユーザＩＤ及びパスワードロジックをリアルタイムで渡すように統合され、又はメッセージベース認証システム（４）によって管理されている単一ユーザのログイン経験の提供を除いてバックエンド認証システム（６）にキャッシュされる。

システム（４）及びシステム（６）の間にあるインターフェース（５及び７）は、イーサネット（登録商標）、インターネットなどのような従来のコンピュータ・ネットワークに一般的になっている。

第一私的又は公的通信ネットワーク（１１）は、如何なる適切な通信ネットワークの形式であってもよい。例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、無線ローカル・エリア・ネットワーク（ＷＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネットなどのコンピュータ・ネットワーク、ＧＳＭ(登録商標)、ＧＰＲＳ、ＥＤＧＥ、ＵＴＭＳ、ＨＳＤＰＡ、ＷＩＭＡＸ規格に基づく移動体通信ネットワークなどの電気通信ネットワーク、又は他の如何なる適切なネットワークであってもよい。

上記プロセスは、ユーザ（１）が、ユーザ・システム（２）経由で対象コンピュータへのアクセスを要求（１５）することによって開始される。ユーザ・システム（２）の例としては、第一通信ネットワーク（１１）に接続可能なＰＣ又は他のあらゆるデータ処理システムなどのコンピュータである。

上記目的を達成するため、ユーザ・システム（２）は、例えば、ユーザ・システム（２）上で適切なログイン・プログラムを実行することによって、又はコンピュータ実行認証システム（４）もしくはコンピュータ実行認証システム（６）上で実行されるログイン・プログラムのログイン・ウィンドウを表示することによって、最初にログイン・プロセスを実行する。一般的に、上記ログイン・プロセスは、ユーザにユーザ名及びパスワード、又は他の認証情報を問い合わせる。上記ログイン・プロセスは、少なくとも一つのユーザ・システム（２）及びアクセスが要求された場所から／経由の第一通信ネットワーク（１１）に関する追加的なコンテキスト情報、又は対象コンポーネント（１４）又は認証システム（６）内に収集された情報をさらに収集する。収集された上記コンテキスト情報は、ログイン操作のコンテキストに関するユーザ検証可能な情報を伝達するログイン・プロセスによって収集可能な如何なる情報であってもよい。例として、コンテキスト情報は、ユーザ・システムのプロパティ、及び／又は第一通信ネットワークのプロパティ、及び／又はそれに類するものに関する情報であってもよい。ユーザ・システムに関する適切な情報は、例えば、ユーザ・システムの製造会社、プロセッサの型式、利用可能なメモリ量といった一又は二以上のハードウェアのプロパティ、及び／又はオペレーティング・システムの型式及び／又はバージョンといった一又は二以上のソフトウェアのプロパティに関する情報であってもよい。ユーザ・システムのプロパティに関する別の適切な情報は、例えばオペレーティング・システムの言語設定、インターネット・ブラウザの言語設定、ブラウザの型式、ユーザ・システム（２）のＩＰアドレス、ネットワーク・トラフィックの経路、収集されたＧＰＳ座標、又はそれに類するものといったユーザ・システムの地理的な位置を決定するのに適した情報、又は例えばＧＰＳ座標に基づいて算出した位置、ＩＰアドレスに基づくおおよその位置といった該収集された情報からの派生情報を含んでいる。第一通信ネットワークに関する適切な情報は、ネットワーク、ネットワーク・アドレス、ＭＡＣアドレス、ネットワーク経路などを提供しているネットワーク・オペレータの名称を含んでいてもよい。上記情報が追加的なユーザ入力を必要としないログイン・プロセスによって自動的に収集される場合、該プロセスはより効率的になり、且つ悪用のリスクはさらに軽減される。なぜならば、収集されたデータを改ざんしようとする未認証ユーザによるリスクが軽減されるからである。コンテキスト情報がユーザによって容易に及び直接的に検証できる情報を含む場合、上記コンテキスト情報は、ログイン・プロセスの完全性を検証するために用いることができる。上記コンテキスト情報が一意にユーザ・システムを識別するのに適するものだとしても、このことは本願明細書に記載の方法にとって必要条件とならないことは高く評価される。例として、上記コンテキスト情報は、国、地域、都市、又はユーザ・システムの地理的な位置に関する別の情報などのユーザ・システムに関する情報、又はユーザ・システムの製造会社、及び／又はそれに類するものを単に含むものであってもよい。それ故、上記の情報に基づいて、ユーザは、例えば介入者攻撃によってログイン・プロセスの完全性が信用に足るものではなくなったかどうかを判断することができる可能性がある。

ユーザ・システム（２）を経た上記ユーザが、第一公的又は私的通信ネットワーク（１１）経由で対象コンポーネント（１４）へのアクセスを要求する場合、要求（３）は、ユーザの証明書の企業ユーザＩＤ台帳検証を目的としてコンピュータ実行ユーザ認証システム（４）を経由し認証システム（６）へと送られる。ユーザの証明書は、例えばユーザ名とパスワードである。上記要求（３）は、ユーザの証明書、ログイン・セッションを識別するセッションＩＤ（例えば、セッション・クッキー）、及びログイン・プロセスによって収集されたコンテキスト情報を検証するために必要となる情報を含む。上記セッションＩＤは、前記セッションＩＤを有する全入力データパケットが正常なログイン・セッションに関連付けられていることを保証する認証システムによって生成してもよい。ひとたび認証が適合することをシステム（６）によって識別したのであれば、コンピュータ実行ユーザ認証システム（４）は、一意的なメッセージ警告を生成する。メッセージ警告は、以下を具備している。
・ログイン・プロセスの間に、例えばコンピュータ（２）、装置（２）、対象システム（１４）、又はネットワーク（３，１１）から収集されたコンテキスト情報。
・認証システムによってリアルタイムに生成される、例えば、パスワード、又は別の適したコード型式、又は別の適したリアルタイム・セッション固有のワンタイム第二認証手段などのワンタイム・パスコード（ＯＴＰ）（８）。
上記ワンタイムパスワードは、セッション固有である。すなわち、特定のセッションＩＤと関連しており、特定のセッションＩＤのみで有効となる。

上記コンピュータ実行ユーザ認証システム（４）は、第二通信チャネル（９，１０，１２）を経由しユーザが所持している通信装置（１３）へ、又は直接第一コンピュータ・システム（２）へ上記生成メッセージを送信する。図１の例では、コンピュータ実行ユーザ認証システム（４）は、第二ネットワーク（９）、例えば、電気通信ネットワーク（１２）を介して携帯電話（１３）にメッセージを送信するＳＭＳゲートウェイ（１０）に対するＬＡＮアクセス、又はセキュアＷＡＮアクセスを経由し生成メッセージを送信する。上記生成メッセージは、シリアル・インターフェース経由、ＳＭＳインターフェースに対するＳＭＴＰ、インスタント・メッセージ・インターフェースに対するコンピュータ、又は他の如何なる適切なインターフェースを経由して送信される。ユーザは、携帯電話のメッセージ・フレームワークにて上記メッセージを受信する。

上記メッセージの受信をもって、ユーザは、上記メッセージに含まれるコンテキスト情報の識別と検証を行う。ユーザが上記コンテキスト情報を有効だと検証できた場合、少なくとも受信したリアルタイム・セッション固有のワンタイム・パスコード（１５）をユーザ・システム（２）に入力する。

リアルタイム・セッション固有のワンタイム・パスコードが展開された場合、ユーザ・システム（２）は、入力されたＯＴＰ（８）を含む、もしくは第一私的又は公的通信ネットワーク（１１）上の別の第二認証手段を含むメッセージ（１６）をコンピュータ実行ユーザ認証システム（４）に送信する。コンピュータ実行ユーザ認証システム（４）は、受信したＯＴＰを元々送信したリアルタイム・セッション固有のワンタイム・パスコードと、及び／又はセッションＩＤと一致するかどうかを確認する。一致するのであれば、ユーザ・システム（２）は、初期アクセスが要求された対象コンポーネント（１４）に対するアクセス権が与えられる。

ユーザ・システム（２）は、第一ネットワーク及びコンピュータ・インターフェースを経由しユーザにコンテキスト情報を送信する代替手段として、第二ウィンドウにコンテキスト情報を表示することも可能である。

要約すれば、本願明細書に開示されたものは、コンピュータ・ユーザのＩＤとパスワードを不正使用することで行われるＩＤ盗難の検出と保護とを行う、及び／又は第二チャネル、ワンタイム・パスコード、及びユーザコンテキストローカル情報を使用する第二認証レベルによって同等なユーザ・セッションを介したＩＤ複製からユーザを保護する方法とシステムの実施形態である。ネットワーク、コンピュータ・システム又はプログラムにアクセスする場合、前記ネットワーク、コンピュータ・システム又はプログラムは、ユーザＩＤとパスワードを有効化し、且つユーザ、装置、使用しているネットワークなどに関するコンテキスト情報を収集しようとする。ひとたび有効化されれば、リアルタイム・セッション固有ワンタイム・パスコードを有するメッセージが、携帯電話のＳＭＳネットワーク、又はインスタント・メッセージのような第二手段によって送信される。セッション固有のコード及び収集された情報は、公開された情報と、不正アクセスから保護をするユーザ及びパスワードを表わす情報との間の不整合を介し、信用するに足りなくなったＩＤをユーザが検出できるようにする情報を提供する。

１ ユーザ
２ コンピュータ・プログラム
４ ＳＭＳパスコード有効化システム
８ ワンタイム・パスコード（ＯＴＰ）
１０ メッセージベース・ゲートウェイ
１１ 第一ネットワーク
１２ 第二ネットワーク
１３ 携帯電話

Claims (13)

1. コンピュータ実行認証システムによって実装され、第一ユーザ・システムは第一通信ネットワークに接続可能であり、前記第一ユーザ・システムからコンピュータ・システムの対象コンポーネントへのアクセスを試みようとするユーザを認証するための方法であって、
   少なくとも一つのコンピューティングデバイスによって、前記第一ユーザ・システムの第一ユーザ・インターフェースを介して、前記ユーザによって入力されたユーザ認証情報を受信するステップと、
   前記少なくとも一つのコンピューティングデバイスによって、セッションＩＤと、第一ユーザ・システム又は第一通信ネットワークのプロパティを識別するコンテキスト情報の少なくとも一つの項目とを、前記第一通信ネットワーク経由で、取得するステップと、
   前記少なくとも一つのコンピューティングデバイスによって、前記ユーザ認証情報を検証するとともに、前記ユーザ認証情報の検証の成功に応じて、前記コンピュータ実行認証システムから第二通信ネットワークを経由し第二ユーザ・システムへメッセージを送信するステップであって、前記メッセージは、
   a)前記ユーザが前記コンテキスト情報の少なくとも一つの項目を検証できるように、前記第二ユーザ・システムが第二ユーザ・インターフェースを介して前記ユーザに対して前記コンテキスト情報の少なくとも一つの項目を少なくとも表示できる、前記取得したコンテキスト情報又は前記取得したコンテキスト情報の派生情報の少なくとも一つの項目と、
   b)前記取得したコンテキスト情報の少なくとも一つとは異なり、且つ前記セッションＩＤに関連付けられた、リアルタイム・セッション固有のワンタイム・パスコードと
   を具備する、ステップと、
   前記少なくとも一つのコンピューティングデバイスによって、前記第一ユーザ・システム及び前記第一通信ネットワークを経由し、前記ユーザによって前記第一ユーザ・システムに入力されたパスコードを受信するステップと、
   前記少なくとも一つのコンピューティングデバイスによって、前記リアルタイム・セッション固有のワンタイム・パスコード及び／又は前記セッションＩＤと比較して、前記入力されたパスコードを検証するとともに、前記入力されたパスコードの検証の成功に応じて、前記第一ユーザ・システムに対し前記対象コンポーネントに対するアクセス権を与えるステップと
   を具備することを特徴とする方法。
2. 前記対象コンポーネントは、コンピュータ、コンピュータ・プログラム、コンピュータ・プログラム機能、コンピュータ・リソース、コンピュータ・ネットワークから選択されることを特徴とする請求項１に記載の方法。
3. 前記第一及び前記第二ユーザ・システムは、異なる装置であることを特徴とする請求項１又は請求項２に記載の方法。
4. 前記第二ユーザ・システムは、前記メッセージを受信し、且つ表示するように設定されたポータブル通信装置であることを特徴とする請求項３に記載の方法。
5. 前記第一及び前記第二ユーザ・システムは、前記第一及び前記第二ユーザ・インターフェースを提供するように構成された単一ユーザ・システムとして具現され、
   前記方法は、前記第一ユーザ・インターフェースとは異なる前記単一ユーザ・システムの第二ユーザ・インターフェースを介して、前記単一ユーザ・システムによってコンテキスト情報の少なくとも一つの項目を少なくとも表示するステップを具備することを特徴とする請求項１に記載の方法。
6. 前記第一及び前記第二通信ネットワークは、異なる通信ネットワークであることを特徴とする請求項１に記載の方法。
7. 前記コンピュータ実行認証システムから前記ユーザへ前記パスコードを伝達するステップをさらに具備すること特徴とする請求項１に記載の方法。
8. 前記第一ユーザ・システムによって表示される第二パスコード・ウィンドウを介して、前記コンピュータ実行認証システムから前記ユーザへ収集されたコンテキスト情報を伝達するステップをさらに具備することを特徴とする請求項１に記載の方法。
9. 前記認証システムは、パスコードの生成と送信とを要求する前記ログイン試行によって生成された前記セッションＩＤのみで有効なパスコードをリアルタイムに生成することを特徴とする請求項１に記載の方法。
10. 前記コンテキスト情報の少なくとも一つの項目は、前記第一ユーザ・システムとして使用されるコンピュータのコンピュータＩＤ、又は前記第一ユーザ・システムの位置に関するおおよその地域情報を具備することを特徴とする請求項１に記載の方法。
11. 第一ユーザ・システムからコンピュータ・システムの対象コンポーネントへのアクセスを試みようとするユーザを認証するための命令が符号化されている非一時的コンピュータ可読媒体であって、プロセッサによって実行可能な前記命令が、
    前記第一ユーザ・システムの第一ユーザ・インターフェースを介して、前記ユーザによって入力されたユーザ認証情報を受信することと、
    セッションＩＤと、第一ユーザ・システム又は第一通信ネットワークのプロパティを識別するコンテキスト情報の少なくとも一つの項目とを、前記第一通信ネットワーク経由で、取得することと、
    前記ユーザ認証情報を検証するとともに、前記ユーザ認証情報の検証の成功に応じて、コンピュータ実行認証システムから第二通信ネットワークを経由し第二ユーザ・システムへメッセージを送信することと、
    前記第一ユーザ・システム及び前記第一通信ネットワークを経由し、前記ユーザによって前記第一ユーザ・システムに入力されたパスコードを受信することと、
    リアルタイム・セッション固有のワンタイム・パスコード及び／又は前記セッションＩＤと比較して、前記入力されたパスコードを検証するとともに、前記入力されたパスコードの検証の成功に応じて、前記第一ユーザ・システムに対し前記対象コンポーネントに対するアクセス権を与えることと
    を具備し、
    前記メッセージは、
    a)前記ユーザが前記コンテキスト情報の少なくとも一つの項目を検証できるように、前記第二ユーザ・システムが第二ユーザ・インターフェースを介して前記ユーザに対して前記コンテキスト情報の少なくとも一つの項目を少なくとも表示できる、前記取得したコンテキスト情報又は前記取得したコンテキスト情報の派生情報の少なくとも一つの項目と、
    b)前記取得したコンテキスト情報の少なくとも一つとは異なり、且つ前記セッションＩＤに関連付けられた、前記リアルタイム・セッション固有のワンタイム・パスコードと
    を具備することを特徴とする非一時的コンピュータ可読媒体。
12. 第一ユーザ・システムは第一通信ネットワークに接続可能であり、前記第一ユーザ・システムからコンピュータ・システムの対象コンポーネントへのアクセスを試みようとするユーザを認証するためのシステムであって、
    前記第一ユーザ・システムの第一ユーザ・インターフェースを介して、前記ユーザによって入力されたユーザ認証情報を受信する、第一ユーザ・システムと、
    セッションＩＤと、第一ユーザ・システム又は第一通信ネットワークのプロパティを識別するコンテキスト情報の少なくとも一つの項目とを取得する、通信ネットワークと、
    少なくとも一つのプロセッサを具備する、認証システムであって、前記少なくとも一つのプロセッサが、
    前記ユーザ認証情報を検証するとともに、前記ユーザ認証情報の検証の成功に応じて、コンピュータ実行認証システムから第二通信ネットワークを経由し第二ユーザ・システムへメッセージを送信し、
    前記第一ユーザ・システム及び前記第一通信ネットワークを経由し、前記ユーザによって前記第一ユーザ・システムに入力されたパスコードを受信し、
    リアルタイム・セッション固有のワンタイム・パスコード及び／又は前記セッションＩＤと比較して、前記入力されたパスコードを検証するとともに、前記入力されたパスコードの検証の成功に応じて、前記第一ユーザ・システムに対し前記対象コンポーネントに対するアクセス権を与え、
    前記メッセージが、
    a)前記ユーザが前記コンテキスト情報の少なくとも一つの項目を検証できるように、前記第二ユーザ・システムが第二ユーザ・インターフェースを介して前記ユーザに対して前記コンテキスト情報の少なくとも一つの項目を少なくとも表示できる、前記取得したコンテキスト情報又は前記取得したコンテキスト情報の派生情報の少なくとも一つの項目と、
    b)前記取得したコンテキスト情報の少なくとも一つとは異なり、且つ前記セッションＩＤに関連付けられた、前記リアルタイム・セッション固有のワンタイム・パスコードとを具備する、
    認証システムと
    を具備することを特徴とするシステム。
13. 認証サーバをさらに具備し、前記少なくとも一つのプロセッサは前記第一ユーザ・システムに前記第一ユーザ・インターフェースをさらに提供することを特徴とする請求項１２に記載のシステム。

Images