JP6113678B2 - 認証装置、認証システム及び認証方法 - Google Patents

Description

本発明は、オンラインシステム等においてユーザの認証を行う認証装置、認証システム及び認証方法に係り、特にリスクベース認証を行う認証装置、認証システム及び認証方法に関する。

インターネットを介して物品購入や銀行等の金融機関での取引を行うサービスが提供されている。従来、利用者からＩＤ及びパスワードを受け付けることにより利用者を認証する方式がとられていたが、パスワードは第三者による詐取が容易であり、不正行為者によるなりすましリスクが高かった。そのため、パスワードによる認証方式に、生体情報を用いる認証方式、ＩＣカードを用いる認証方式、ハードウェアトークンを用いる認証方式などを組み合わせて認証強度を高める手法が提案されている。

また、アクセス元端末のＯＳやブラウザの種類、ＩＰアドレス、利用場所、アクセス時間帯などの情報を取得し、利用者の断片的な行動パターンを分析してモデル化することで本人か否かを判定するリスクベース認証方式が提案されている。リスクベース認証方式では、ログイン時のアクセスログなどからユーザの行動パターンを分析し、各トランザクションについてのリスク値を算出し、サービス提供者のポリシーに基づいたリスクレベルに応じて認証方式や認証強度を変更する。

このようなリスクベース認証方式を用いた認証システムとして、例えば、特許文献１には、複数の企業の業務サーバがリスクベース認証を行う認証サーバを共同利用するものが開示されている。

また、特許文献２には、認証ルールに従ってルール分析、行動分析及びポリシーの適用を行って、対象のアクセスについてのリスクレベルを評価する認証サーバと、外部サーバからインターネット上の危険度情報を定期的に取得し、取得した危険度情報に基づいて認証サーバ上の認証ルールを更新する危険度情報取得サーバとを備え、危険度情報の変化に応じてリスクレベルの評価結果を変化させ、追加認証を実行する判断レベルを変化させるリスクベース認証システムが開示されている。

特開２０１１−２１５７５３号公報 特許第５１９１３７６号公報

しかし、上述した従来のリスクベース認証システムは、外部サーバから新しい危険度情報を取得しない限り認証ルールは更新されず、詐欺等の疑いの強い認証要求があっても、これを即時に認証ルール（リスク判定条件）に反映することができなかった。

本発明は、上記従来の実状に鑑みてなされたものであり、不審な認証要求に基づいてリスク判定条件の更新を行う認証装置、認証システム及び認証方法を提供することを課題とする。

第１発明の認証装置は、ユーザから業務装置へのアクセスのリスクレベルを算出するためのリスク判定条件を記憶したリスク判定テーブルと、前記業務装置からユーザのアクセス情報とともに認証種別の問合せを受け付け、前記アクセス情報及び前記リスク判定条件に基づいて、前記アクセスのリスクレベルを判定し、前記リスクレベルに基づいてユーザに対する認証種別を特定する判定部と、前記判定部が特定した前記認証種別を前記業務装置に応答する第１応答部と、前記業務装置から前記認証種別に応じたユーザ入力パスワードとともに認証要求を受け付け、このユーザ入力パスワードに基づいてユーザの認証処理を行う認証処理部と、前記認証処理部による認証結果を前記業務装置に応答する第２応答部と、前記リスク判定条件を更新するための更新条件を記憶した更新条件テーブルと、前記業務装置からの認証要求が前記更新条件を満たす場合に、前記リスク判定条件を更新する更新部と、を備える。

第１発明の認証装置においては、前記業務装置から受け付けた認証要求、及びこの認証要求に対応する認証結果を記憶した認証履歴テーブルをさらに備え、前記更新部は、前記認証履歴テーブルに記憶された複数の認証要求及び認証結果と前記更新条件とを比較することが好ましい。

第１発明の認証装置においては、前記リスク判定条件は、少なくとも１つのＩＰアドレスを記載したＩＰアドレスリストを含み、前記アクセス情報は、ユーザのＩＰアドレスを含み、前記認証要求は、ユーザＩＤ及びユーザのＩＰアドレスを含み、前記判定部は、前記アクセス情報に含まれるＩＰアドレスが前記ＩＰアドレスリストに記載されているか否か検出し、記載されている場合は記載されていない場合よりも高いリスクレベルを算出し、前記更新部は、前記認証履歴テーブルに、ＩＰアドレスが同一かつユーザＩＤが異なる認証要求が所定時間内に所定数以上記憶されている場合、該ＩＰアドレスを前記ＩＰアドレスリストに追加することが好ましい。

第１発明の認証装置においては、前記認証要求に含まれるユーザＩＤをもとに前記リスク判定テーブルを検索する第２判定部をさらに備え、前記リスク判定条件は、少なくとも１つのユーザＩＤを記載したユーザＩＤリストを含み、前記認証要求は、ユーザから要求されている処理内容を含み、前記第２判定部は、前記認証要求に含まれるユーザＩＤが前記ユーザＩＤリストに記載されているか否か検出し、記載されている場合は前記認証処理部に通知し、前記認証処理部は、前記第２判定部からの通知に基づき認証結果を失敗とし、前記更新部は、前記認証履歴テーブルに、所定の処理内容かつユーザＩＤが同一の認証要求が所定時間内に所定数以上記憶されている場合、該ユーザＩＤを前記ユーザＩＤリストに追加することが好ましい。

第２発明の認証システムは、第１業務装置からユーザの第１アクセス情報とともに認証種別の問合せを受け付け、ユーザから前記第１業務装置へのアクセスの第１リスクレベルを判定し、該第１リスクレベルに基づいてユーザに対する認証種別を特定して前記第１業務装置に応答し、前記第１業務装置から該認証種別に応じたユーザ入力パスワードとともに認証要求を受け付け、該ユーザ入力パスワードに基づいてユーザの認証処理を行い、認証結果を前記第１業務装置に応答する第１認証装置と、第２業務装置からユーザの第２アクセス情報とともに認証種別の問合せを受け付け、ユーザから前記第２業務装置へのアクセスの第２リスクレベルを判定し、該第２リスクレベルに基づいてユーザに対する認証種別を特定して前記第２業務装置に応答し、前記第２業務装置から該認証種別に応じたユーザ入力パスワードとともに認証要求を受け付け、該ユーザ入力パスワードに基づいてユーザの認証処理を行い、認証結果を前記第２業務装置に応答する第２認証装置と、ユーザから前記第１業務装置又は前記第２業務装置へのアクセスのリスクレベルを算出するための共通リスク判定条件を記憶した共通リスク判定テーブルと、を備え、前記第１認証装置は、前記共通リスク判定条件を更新するための第１更新条件を記憶した第１更新条件テーブルを有し、前記第１アクセス情報及び前記共通リスク判定条件に基づいて前記第１リスクレベルを判定し、前記第１業務装置からの認証要求が前記第１更新条件を満たす場合に、前記共通リスク判定条件を更新し、前記第２認証装置は、前記共通リスク判定条件を更新するための第２更新条件を記憶した第２更新条件テーブルを有し、前記第２アクセス情報及び前記共通リスク判定条件に基づいて前記第２リスクレベルを判定し、前記第２業務装置からの認証要求が前記第２更新条件を満たす場合に、前記共通リスク判定条件を更新することを特徴とする。

第２発明の認証システムにおいては、前記第１認証装置は、ユーザから前記第１業務装置へのアクセスのリスクレベルを算出するための個別リスク判定条件を記憶した個別リスク判定テーブルを備え、前記第１更新条件テーブルは、前記個別リスク判定条件を更新するための第３更新条件を記憶しており、前記第１業務装置からの認証要求が前記第３更新条件を満たす場合に、前記個別リスク判定条件を更新することが好ましい。

第３発明の認証方法は、ユーザから業務装置へのアクセスのリスクレベルを算出するためのリスク判定条件を記憶したリスク判定テーブル、判定部、第１応答部、認証処理部、第２応答部、前記リスク判定条件を更新するための更新条件を記憶した更新条件テーブル、及び更新部を備えた認証装置による認証方法であって、前記判定部が、前記業務装置からユーザのアクセス情報とともに認証種別の問合せを受け付け、前記アクセス情報及び前記リスク判定条件に基づいて、前記アクセスのリスクレベルを判定し、前記リスクレベルに基づいてユーザに対する認証種別を特定するステップと、前記第１応答部が、前記判定部により特定された認証種別を前記業務装置に応答するステップと、前記認証処理部が、前記業務装置から前記認証種別に応じたユーザ入力パスワードとともに認証要求を受け付け、前記ユーザ入力パスワードに基づいてユーザの認証処理を行うステップと、前記第２応答部が、前記認証処理部による認証結果を前記業務装置に応答するステップと、前記更新部が、前記業務装置からの認証要求が前記更新条件を満たす場合に、前記リスク判定条件を更新するステップと、を備える。

第４発明の認証方法は、ユーザから第１業務装置又は第２業務装置へのアクセスのリスクレベルを算出するための共通リスク判定条件を記憶した共通リスク判定テーブルと、前記共通リスク判定条件を更新するための第１更新条件を記憶した第１更新条件テーブルを有する第１認証装置と、前記共通リスク判定条件を更新するための第２更新条件を記憶した第２更新条件テーブルを有する第２認証装置とによる認証方法であって、前記第１認証装置が、前記第１業務装置からユーザの第１アクセス情報とともに認証種別の問合せを受け付け、該第１アクセス情報及び前記共通リスク判定条件に基づいてユーザから前記第１業務装置へのアクセスの第１リスクレベルを判定し、該第１リスクレベルに基づいてユーザに対する認証種別を特定するステップと、特定した認証種別を前記第１業務装置に応答するステップと、前記第１業務装置から前記認証種別に応じたユーザ入力パスワードとともに認証要求を受け付け、該ユーザ入力パスワードに基づいてユーザの認証処理を行うステップと、認証結果を前記第１業務装置に応答するステップと、前記第１業務装置からの認証要求が前記第１更新条件を満たす場合に、前記共通リスク判定条件を更新するステップと、を実行し、前記第２認証装置が、前記第２業務装置からユーザの第２アクセス情報とともに認証種別の問合せを受け付け、該第２アクセス情報及び前記共通リスク判定条件に基づいてユーザから前記第２業務装置へのアクセスの第２リスクレベルを判定し、該第２リスクレベルに基づいてユーザに対する認証種別を特定するステップと、特定した認証種別を前記第２業務装置に応答するステップと、前記第２業務装置から前記認証種別に応じたユーザ入力パスワードとともに認証要求を受け付け、該ユーザ入力パスワードに基づいてユーザの認証処理を行うステップと、認証結果を前記第２業務装置に応答するステップと、前記第２業務装置からの認証要求が前記第２更新条件を満たす場合に、前記共通リスク判定条件を更新するステップと、を実行する。

本発明によれば、更新部が業務装置からの認証要求と更新条件テーブルに記憶されている更新条件とを比較し、更新条件が満たされる場合にリスク判定条件を更新するので、ユーザからの処理要求に伴う業務サーバからの認証要求に基づいてリスク判定条件を即時に更新することができる。また、業務装置からの認証要求をリスク判定条件の更新要否の判断に用いるので、外部サーバから新しい危険度情報を取得しなくてもリスク判定条件を速やかに更新して、ユーザ認証におけるセキュリティレベルを向上させることができる。

本発明の実施形態に係る認証システムの構成図である。 アクセス履歴テーブルの一例を示す図である。 リスク判定更新条件テーブルの一例を示す図である。 サーバのハードウェア構成例を示す図である。 本実施形態による認証処理のシーケンス図である。 第１変形例による認証システムの構成図である。 第２変形例による認証システムの構成図である。 リスクレベル算出処理及びリスク判定テーブル更新処理の流れを示す図である。 リスク判定更新条件テーブルの一例を示す図である。

以下に本発明の実施の形態を詳細に説明する。

図１は本発明の実施形態に係る認証システムの構成図である。図１の通り、認証システムは、業務サーバ１及び認証サーバ２を備える。ユーザは、ユーザ端末３を操作して業務サーバ１にアクセスし、業務サーバ１により提供されるサービスを利用する。認証サーバ２は、業務サーバ１からの要求に応じて、この業務サーバ１にアクセスしてきたユーザ端末３のユーザについてリスクベース認証に基づく本人認証を行い、認証結果を要求元の業務サーバ１に通知する。

ユーザ端末３は、インターネットなどのネットワーク４を介して業務サーバ１に接続される。ユーザ端末３は、例えば、パーソナルコンピュータ、タブレット端末、スマートフォン、携帯電話、情報家電であり、ユーザから各種の入力（ログインＩＤやパスワードなど）を受け付ける入力部、各種の情報を表示する表示部、及びネットワーク４に接続するための通信部を備え、ブラウザと同様の機能を有する。

業務サーバ１は、業務処理部１１、認証種別問合せ部１２及び認証要求部１３を備えている。

業務処理部１１は、ユーザ端末３からのアクセスがあると、アクセス元ＩＰアドレスやユーザ端末３の端末情報を取得する。端末情報については後述する。業務処理部１１は、ユーザ端末３から認証を必要とする処理が要求された場合、認証サーバ２により特定された認証種別に応じた認証画面をユーザ端末３へ送信する。ここで、認証種別とは、ユーザに対する認証手法の種類であり、例えば、固定パスワードを用いたパスワード認証や、パスワード認証とハードウェアトークン認証とを組み合わせた二要素認証などがある。認証種別が二要素認証である場合、認証画面には、固定パスワードを入力する入力欄と、ハードウェアトークンに表示されているパスワードを入力する入力欄とが含まれる。認証を必要とする処理がログイン処理の場合には、認証画面にユーザＩＤの入力欄も含まれる。認証サーバ２による認証種別の特定方法については後述する。

業務処理部１１は、認証サーバ２による認証が成功し、ユーザ端末３を操作するユーザが正当なユーザであると判断された場合、所定の業務処理を行い、処理結果をユーザ端末３に応答することにより、トランザクションの処理を実行する。一方、認証サーバ２による認証が失敗した場合、業務処理部１１はユーザ端末３に対し、認証失敗を通知するとともに、再度、認証画面をユーザ端末３へ送信する。

認証種別問合せ部１２は、ユーザ端末３からのアクセスがあると、ユーザからのログイン処理に備え、業務処理部１１により取得されたアクセス元ＩＰアドレスやユーザ端末３の端末情報を認証サーバ２へ送信し、当該ユーザのログイン処理に対応する認証種別を問い合わせる。ログイン後にユーザ端末３から認証を必要とする処理が要求されると、認証種別問合せ部１２は、アクセス元ＩＰアドレス、要求されている処理を認証サーバ２へ送信し、当該ユーザから要求された処理に対応する認証種別を問い合わせる。また、認証種別問合せ部１２は、問い合せに応じて認証サーバ２が特定した認証種別を取得する。

認証要求部１３は、ユーザによりユーザ端末３の認証画面に入力されたパスワードがユーザ端末３から通知されると、このユーザ入力パスワード、ユーザＩＤ及びＩＰアドレスを認証サーバ２へ送信して認証処理を要求する。認証要求部１３は、認証サーバ２から認証結果を取得する。

認証サーバ２は、リスク判定部２１、認証種別応答部２２、リスク判定テーブル２３、認証処理部２４、リスク判定更新部２５、認証結果応答部２６、認証テーブル２７、認証履歴テーブル２８、及びリスク判定更新条件テーブル２９を備えている。

リスク判定部２１は、業務サーバ１の認証種別問合せ部１２からの問い合わせに応じて、ユーザのログイン処理やユーザから業務サーバ１に対して要求された処理に対応する認証種別を特定する。リスク判定部２１は、認証種別問合せと共に業務サーバ１から受け取ったＩＰアドレス、端末情報等のアクセス情報と、リスク判定テーブル２３に登録されているリスク判定条件とに基づいてリスクレベルを算出し、認証種別を特定する。

リスク判定テーブル２３に登録されているリスク判定条件は、ユーザ端末３からのアクセスのリスクレベルを算出する際に用いられる条件である。例えば、図示しないアクセス履歴テーブルに、図２に示すような、アクセス履歴及びアクセス時の端末情報が登録されており、リスク判定部２１は、アクセス履歴や端末情報からユーザの過去の行動パターンを解析し、リスク判定条件に基づいて、過去の行動パターンと業務サーバ１から受信したアクセス情報とを比較し、リスクレベルを算出する。ここで、アクセス履歴は、アクセス日時、アクセス元のＩＰアドレスなどを含む。端末情報は、ユーザ端末３において稼働しているＯＳやブラウザを示すＯＳ情報、ブラウザバージョンや言語設定等のブラウザ情報、搭載されているＣＰＵを示すＣＰＵ情報などを含む。

業務サーバ１から受信したアクセス情報と過去の行動パターンとの一致度が高い場合はリスクレベルが低くなり、一致度が低い場合はリスクレベルが高くなる。

さらに、リスク判定テーブル２３には、不正行為者である可能性の高いＩＰアドレスを記載したＩＰアドレスリストと、業務サーバ１から受け取ったユーザのＩＰアドレスとＩＰアドレスリスト内のＩＰアドレスとが一致した場合はリスクレベルが高いと判定する条件式とがリスク判定条件として登録されている。

リスク判定部２１は、算出したリスクレベルに基づいてユーザに対する認証種別を特定する。例えば、リスク判定部２１は、レベル１〜レベル３の３段階のリスクレベルを算出し、レベル１（低リスク）の場合は認証種別としてパスワード認証を特定し、レベル２の場合は認証種別として二要素認証を特定し、レベル３（高リスク）の場合は認証処理をブロックする（認証不可）と判定する。

認証種別応答部２２は、リスク判定部２１が特定した認証種別を業務サーバ１に通知する。

認証処理部２４は、業務サーバ１の認証要求部１３から認証要求とともにユーザ入力パスワード、ユーザＩＤ、ＩＰアドレス等を受信する。認証テーブル２７には、ユーザの固定パスワードやワンタイムパスワードの計算式等が登録されており、認証処理部２４はこれらの情報を用いて、業務サーバ１から受信したパスワードが正当なものであるか否か判定する。業務サーバ１から受信したパスワードが正当なものである場合、認証成功となり、正当なものでない場合、認証失敗となる。

また、認証処理部２４は、認証要求部１３から認証要求を受け取ると、ユーザＩＤやＩＰアドレス、ユーザから要求されている処理内容、認証結果を認証履歴テーブル２８に登録する。認証履歴テーブル２８には、所定時間内に認証要求部１３から受け取った認証要求、及びこの認証要求に対する認証結果が登録されている。

証結果応答部２６は、認証処理部２４による認証結果を業務サーバ１に応答する。

リスク判定更新部２５は、認証履歴テーブル２８に登録されている認証要求及び認証結果をもとにリスク判定更新条件テーブル２９を参照し、リスク判定テーブル２３のリスク判定条件を更新するか否か判定する。リスク判定更新条件テーブル２９には、リスク判定条件を更新するための更新条件と、更新条件を満たした場合の更新処理とが登録されている。リスク判定更新部２５は、認証処理部２４により認証処理が行われる度に、リスク判定更新条件テーブル２９に登録された更新条件を満たす認証要求が行われていないか確認し、行われている場合は対応する更新処理を即時実行する。

図３に、リスク判定更新条件テーブル２９の登録内容の一例を示す。例えば、同一ＩＰアドレスから所定時間内にＸ１（Ｘ１は２以上の整数）以上のユーザＩＤについての認証要求があり、全て認証失敗であった場合、リスク判定更新部２５は、このＩＰアドレスが不正行為者のものである可能性が高いと判定し、このＩＰアドレスをリスク判定テーブル２３のＩＰアドレスリストに即時追加し、リスク判定条件を更新する。

また、例えば、同一ＩＰアドレスから所定時間内にＸ２（Ｘ２はＸ１より大きい整数）以上のユーザＩＤについての認証要求があった場合、たとえ認証成功となった認証処理があったとしても、リスク判定更新部２５は、このＩＰアドレスをリスク判定テーブル２３のＩＰアドレスリストに即時追加し、リスク判定条件を更新する。これは、不正行為者が多数のユーザＩＤについて認証要求を行い、パスワードが偶然一致した認証処理があったと考えられるためである。

上述した業務サーバ１及び認証サーバ２は、それぞれ、図４に示すような、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）４０１、メインメモリ４０２、ネットワークインタフェース４０３、不揮発性記憶装置４０４を備えたコンピュータを用いることができる。不揮発性記憶装置４０４は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＤＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）であり、ＣＰＵ４０１により実行されるプログラムを格納する。ＣＰＵ４０１が、不揮発性記憶装置４０４に格納されているプログラムをメインメモリ４０２にロードして実行することで、業務サーバ１や認証サーバ２の各機能が実現される。

次に、図５に示すシーケンス図を用いて、本実施形態の認証システムにおける認証処理について説明する。図５では、ユーザのログインに伴う認証処理と、ログイン後に認証を必要とする処理が要求された際の認証処理とについて説明する。

（ステップＳ１０１）ユーザがユーザ端末３を操作し、業務サーバ１にアクセスする。このとき、業務処理部１１は、アクセス元ＩＰアドレスやユーザ端末３の端末情報を取得する。

（ステップＳ１０２）業務サーバ１の認証種別問合せ部１２が、ユーザのログイン処理について、どのような種別の認証処理を行うかを認証サーバ２に問い合わせる。このとき、認証種別問合せ部１２はステップＳ１０１で取得されたアクセス元ＩＰアドレスや端末情報を含むアクセス情報を認証サーバ２へ送信する。

（ステップＳ１０３）認証サーバ２のリスク判定部２１は、認証種別問合せ部１２からの問い合わせに応じて、ユーザからのアクセスのリスクレベルを算出し、リスクレベルに応じた認証処理の種別を特定する。

例えば、リスク判定部２１は、今回のユーザからのアクセスと、アクセス履歴テーブルに登録されているアクセス履歴や端末情報に基づくユーザの過去の行動パターンとを比較し、比較結果に基づいてリスクレベルを算出する。また、例えば、リスク判定部２１は、リスク判定テーブル２３に登録されているＩＰアドレスリストに、今回のユーザからのアクセスのアクセス元ＩＰアドレスが含まれているか否か検出し、含まれている場合はリスクレベルを高める。

そして、リスク判定部２１は、算出したリスクレベルに基づいて認証処理の種別を特定する。例えば、リスク判定部２１は、認証種別として固定パスワードを用いたパスワード認証を特定する。

（ステップＳ１０４）認証種別応答部２２が、リスク判定部２１により特定された認証種別を業務サーバ１に通知する。

（ステップＳ１０５）業務サーバ１の業務処理部１１が、認証サーバ２により特定された認証種別に応じた認証画面をユーザ端末３へ送信する。

（ステップＳ１０６）ユーザがユーザ端末３の認証画面にユーザＩＤ及びパスワードを入力する。入力されたユーザＩＤ及びパスワードは、ユーザ端末３から業務サーバ１に通知される。例えばユーザは自身が記憶している固定パスワードを入力する。

（ステップＳ１０７）業務サーバ１の認証要求部１３は、ユーザ端末３からパスワードが通知されると、このパスワードをユーザＩＤ及びＩＰアドレスとともに認証サーバ２へ送信して認証要求を行う。

（ステップＳ１０８）認証サーバ２の認証処理部２４は、業務サーバ１からの認証要求に伴い、認証処理を行う。具体的には、認証処理部２４は、認証テーブル２７に登録されているパスワードと、認証要求とともに業務サーバ１から受信したパスワードとを照合し、照合結果の一致／不一致を判定する。照合結果が一致していた場合、正当なユーザからのアクセスであると判定され、認証成功となる。認証成功の場合、認証処理部２４は、アクセス履歴テーブルに、今回のアクセスにおけるアクセス日時、ＩＰアドレス、端末情報等を登録する。一方、照合結果が一致しない場合は、認証失敗となる。図５に示す例ではログイン処理が成功したものとする。

また、認証処理部２４は、認証要求を受け取ると、ユーザＩＤやＩＰアドレス、ユーザから要求されている処理内容（この場合はログイン処理）、認証結果を認証履歴テーブル２８に登録する。

（ステップＳ１０９）認証結果応答部２６が、認証処理部２４による認証処理の結果を業務サーバ１に応答する。

業務サーバ１の業務処理部１１は、認証成功である場合、ユーザのログイン処理を実行する。一方、認証失敗の場合、業務処理部１１はユーザ端末３に対して認証失敗を通知するとともに、再度、認証画面をユーザ端末３へ送信する。

（ステップＳ１１０）リスク判定更新部２５が、認証履歴テーブル２８に登録されている認証要求及び認証結果をもとにリスク判定更新条件テーブル２９を参照し、リスク判定テーブル２３内のリスク判定条件を更新するか否か判定する。リスク判定更新部２５は、更新条件が満たされている場合、リスク判定テーブル２３の更新処理を即時行う。

例えば、認証履歴テーブル２８に、同一ＩＰアドレスから所定時間内にＸ２以上のユーザＩＤについての認証要求が登録されている場合、リスク判定更新部２５は、このＩＰアドレスをリスク判定条件のＩＰアドレスリストに即時追加し、リスク判定条件を更新する。その後のリスク判定部２１によるリスクレベルの算出には、更新されたリスク判定条件が用いられる。

（ステップＳ１１１）ログイン後、ユーザがユーザ端末３を操作し、認証が必要な処理を要求する。

（ステップＳ１１２）業務サーバ１の認証種別問合せ部１２は、ユーザ端末３から認証を必要とする処理が要求されると、どのような種別の認証処理を行うかを認証サーバ２に問い合わせる。このとき、認証種別問合せ部１２は、アクセス元ＩＰアドレス及び端末情報を含むアクセス情報を認証サーバ２に通知する。さらに、認証種別問合せ部１２は、ユーザＩＤや要求されている処理を認証サーバ２に通知してもよい。

（ステップＳ１１３）認証サーバ２のリスク判定部２１は、認証種別問合せ部１２からの問い合わせに応じて、ユーザからのアクセスのリスクレベルを算出し、リスクレベルに応じた認証処理の種別を特定する。リスク判定部２１は、ステップＳ１１０で更新されたリスク判定条件を用いて、リスクレベルを算出する。

ユーザから要求されている処理に応じて異なるリスクレベルが算出されてもよい。例えば、業務サーバ１がインターネットバンキングサービスを提供するものである場合、残高確認処理よりも振込処理の方が高いリスクレベルが算出されるようにしてもよい。

また、例えば、リスク判定部２１は、リスク判定テーブル２３に登録されているＩＰアドレスリストに、今回のユーザからのアクセスのアクセス元ＩＰアドレスが含まれているか否か検出し、含まれている場合はリスクレベルを高めるようにしてもよい。

リスク判定部２１は、算出したリスクレベルに基づいて認証処理の種別を特定する。例えば、リスク判定部２１は、認証種別として、パスワード認証とハードウェアトークン認証とを組み合わせた二要素認証を特定する。

（ステップＳ１１４）認証種別応答部２２が、リスク判定部２１により特定された認証種別を業務サーバ１に通知する。

（ステップＳ１１５）業務サーバ１の業務処理部１１が、認証サーバ２により特定された認証種別に応じた認証画面をユーザ端末３へ送信する。

（ステップＳ１１６）ユーザがユーザ端末３の認証画面にパスワードを入力する。入力されたパスワードは、ユーザ端末３から業務サーバ１に通知される。例えばユーザは、自身が記憶している固定パスワードと、ハードウェアトークンに表示されているパスワードとを入力する。

（ステップＳ１１７）業務サーバ１の認証要求部１３は、ユーザ端末３からパスワードが通知されると、このパスワードをユーザＩＤ及びＩＰアドレスとともに認証サーバ２へ送信して認証要求を行う。

（ステップＳ１１８）認証サーバ２の認証処理部２４は、業務サーバ１からの認証要求に伴い、認証処理を行う。具体的には、認証処理部２４は、認証テーブル２７に登録されているパスワードと、認証要求とともに業務サーバ１から受信したパスワードとを照合し、照合結果の一致／不一致を判定する。照合結果が一致していた場合、正当なユーザからのアクセスであると判定され、認証成功となる。一方、照合結果が一致しない場合は、認証失敗となる。

また、認証処理部２４は、認証要求を受け取ると、ユーザＩＤやＩＰアドレス、ユーザから要求されている処理内容、認証結果を認証履歴テーブル２８に登録する。

（ステップＳ１１９）認証結果応答部２６が、認証処理部２４による認証処理の結果を業務サーバ１に応答する。

業務サーバ１の業務処理部１１は、認証成功である場合、所定の業務処理を行い、処理結果をユーザ端末３に応答することにより、トランザクションの処理を実行する。一方、認証失敗の場合、業務処理部１１はユーザ端末３に対して認証失敗を通知するとともに、再度、認証画面をユーザ端末３へ送信する。

（ステップＳ１２０）リスク判定更新部２５が、認証履歴テーブル２８に登録されている認証要求及び認証結果をもとにリスク判定更新条件テーブル２９を参照し、リスク判定テーブル２３内のリスク判定条件を更新するか否か判定する。リスク判定更新部２５は、更新条件が満たされている場合、リスク判定テーブル２３の更新処理を即時行う。その後のリスク判定部２１によるリスクレベルの算出には、更新されたリスク判定条件が用いられる。

ユーザから再び認証が必要な処理が要求された場合はステップＳ１１１に戻る。

このように、本実施形態によれば、ユーザからの処理要求に伴う業務サーバ１からの認証要求に基づいて、リスク判定テーブル２３に登録されているリスク判定条件を即時に更新することができる。例えば、詐欺等の疑いの強い不審な認証要求があった場合、これを即時にリスク判定条件に反映できる。このことにより、不審な認証要求によりログイン処理ができた場合でも、リスク判定条件がリアルタイムに更新されるため、その後に認証が必要な処理が要求された場合にリスクレベルを高くし、認証強度を高くすることができる。また、外部サーバから新しい危険度情報を取得しなくても、リスク判定条件を認証サーバ２内で更新して、ユーザ認証におけるセキュリティレベルを向上させることができる。

上記実施形態による認証システムは、例えばインターネットバンキングに適用することができる。業務サーバ１は銀行の業務サーバに相当し、ユーザはユーザ端末３を用いて業務サーバ１にアクセスしてログインし、残高確認、振込、預金預入等の処理を行う。例えば、ログインに伴う認証要求が不審なものであり、これがリスク判定更新条件に合致してリスク判定条件がリアルタイムに更新されると、その後の振込処理では更新後のリスク判定条件により認証強度の高い認証種別が特定されるため、セキュリティレベルを向上させることができる。

［第１変形例］
図６は第１変形例による認証システムの構成図である。第１変形例は、図１に示す実施形態と比較して、認証サーバ２に第２リスク判定部２００を設けた点が異なる。リスク判定テーブル２３には、不正行為者に攻撃されている疑いの強いユーザＩＤを記載した高リスクユーザＩＤリストが登録されている。また、リスク判定更新条件テーブル２９には、同一ユーザＩＤで一定時間内に所定の処理が所定回数行われていた場合に、このユーザＩＤを高リスクユーザＩＤリストに追加するという更新条件・更新処理が登録されている。

第２リスク判定部２００は、業務サーバ１の認証要求部１３から認証要求とともに受信したユーザＩＤが、高リスクユーザＩＤリストに含まれているか否かを検出し、検出結果を認証処理部２４に渡す。

認証要求とともに受信したユーザＩＤが高リスクユーザＩＤリストに含まれている場合、認証処理部２４は、ユーザ入力パスワードが正当なものであっても、認証失敗と判定する。一方、認証要求とともに受信したユーザＩＤが高リスクユーザＩＤリストに含まれていない場合、認証処理部２４は、認証処理を行うとともに、認証要求及び認証結果を認証履歴テーブル２８に登録する。

リスク判定更新部２５は、認証履歴テーブル２８に登録されている認証要求及び認証結果をもとにリスク判定更新条件テーブル２９を参照し、リスク判定テーブル２３（リスク判定条件）を更新するか否か判定する。同一ユーザＩＤで一定時間内に所定の処理が所定回数行われていた場合、リスク判定更新部２５は、このユーザＩＤをリスク判定テーブル２３の高リスクユーザＩＤリストに即時追加し、リスク判定条件を更新する。

ここで、所定の処理とは、例えば上限金額での振込処理である。上限金額での振込処理が短時間に繰り返されている場合、これらは不正行為者による処理の疑いが強い。そのため、このユーザＩＤをリスク判定テーブル２３の高リスクユーザＩＤリストに追加し、その後の振込処理では、認証処理前に第２リスク判定部２００が、認証要求とともに受信したユーザＩＤが高リスクユーザＩＤリストに含まれているか否か検出し、検出結果を認証処理部２４に通知することで、不正な振込処理を防止することができる。

［第２変形例］
図７〜９は第２変形例を示すものであり、図７は第２変形例による認証システムの構成図である。図７の通り、第２変形例による認証システムは、２つの業務サーバ１Ａ、１Ｂと、業務サーバ１Ａに利用される認証サーバ２Ａと、業務サーバ１Ｂに利用される認証サーバ２Ｂと、認証サーバ２Ａ及び２Ｂからアクセス可能な共通認証サーバ５とを備えている。業務サーバ１Ａ、１Ｂは上記実施形態による業務サーバ１と同様の構成である。また、認証サーバ２Ａ、２Ｂは上記実施形態による認証サーバ２と同様の構成である。

共通認証サーバ５は、認証サーバ２Ａ、２Ｂから参照及び更新が可能な共通リスク判定テーブル５１を有している。共通リスク判定テーブル５１は、ユーザ端末３からのアクセスのリスクレベルを算出する際に用いられる共通リスク判定条件が登録されている。例えば、共通リスク判定テーブル５１には、不正行為者である可能性が極めて高いＩＰアドレスを記載した高リスクＩＰアドレスリストと、業務サーバ１Ａ、１Ｂから受け取ったユーザのＩＰアドレスと高リスクＩＰアドレスリスト内のＩＰアドレスとが一致した場合はリスクレベルが極めて高いと判定する条件式とが共通リスク判定条件として登録されている。

図８は、図７に示される認証システムのうち、認証サーバ２Ａ、２Ｂ、及び共通認証サーバ５の構成を示している。また、図８では、認証サーバ２Ａ、２Ｂにおけるリスクレベル算出処理及びリスク判定テーブル更新処理の流れ（データの流れ）を矢印で示している。

認証サーバ２Ａ、２Ｂの、リスク判定部２１Ａ、２１Ｂ、認証種別応答部２２Ａ、２２Ｂ、リスク判定テーブル（個別リスク判定テーブル）２３Ａ、２３Ｂ、認証処理部２４Ａ、２４Ｂ、リスク判定更新部２５Ａ、２５Ｂ、認証結果応答部２６Ａ、２６Ｂ、認証テーブル２７Ａ、２７Ｂ、認証履歴テーブル２８Ａ、２８Ｂ、及びリスク判定更新条件テーブル２９Ａ、２９Ｂは、それぞれ、図１に示す認証サーバ２のリスク判定部２１、認証種別応答部２２、リスク判定テーブル２３、認証処理部２４、リスク判定更新部２５、認証結果応答部２６、認証テーブル２７、認証履歴テーブル２８、及びリスク判定更新条件テーブル２９に対応している。

図９に、リスク判定更新条件テーブル２９Ａ、２９Ｂの登録内容の一例を示す。例えば、同一ＩＰアドレスから所定時間内にＸ１（Ｘ１は２以上の整数）以上のユーザＩＤについての認証要求があり、全て認証失敗であった場合、リスク判定更新部２５Ａ、２５Ｂは、このＩＰアドレスが不正行為者のものである可能性が高いと判定し、このＩＰアドレスをリスク判定テーブル２３Ａ、２３ＢのＩＰアドレスリストに即時追加し、リスク判定条件を更新する。

また、例えば、同一ＩＰアドレスから所定時間内にＸ２（Ｘ２はＸ１より大きい整数）以上のユーザＩＤについての認証要求があり、全て認証失敗であった場合、リスク判定更新部２５Ａ、２５Ｂは、このＩＰアドレスを共通リスク判定テーブル５１の高リスクＩＰアドレスリストに即時追加し、共通リスク判定条件を更新する。

なお、リスク判定更新条件テーブル２９Ａとリスク判定更新条件テーブル２９Ｂとで、自サーバのリスク判定条件（個別リスク判定条件）を更新するための更新条件の閾値Ｘ１は異なるものであってもよい。これは、業務サーバによって、求めるセキュリティレベルが異なるためである。高いセキュリティレベルを求める場合は、閾値Ｘ１の値が小さく設定される。

また、リスク判定更新条件テーブル２９Ａとリスク判定更新条件テーブル２９Ｂとで、共通リスク判定テーブル５１の共通リスク判定条件を更新するための更新条件は同じであることが好ましい。共通リスク判定テーブル５１は複数の認証サーバが共同利用するものであり、各認証サーバが独自の基準（更新条件）で共通リスク判定条件を更新するよりも、互いに同じ基準（更新条件）で更新する方が好ましいためである。

図８に示すように、認証サーバ２Ａのリスク判定部２１Ａは、業務サーバ１Ａから認証種別の問い合わせがあると、リスク判定テーブル２３Ａ及び共通リスク判定テーブル５１を参照してユーザからのアクセスのリスクレベルを算出し、リスクレベルに応じた認証処理の種別を特定する。例えば、リスク判定部２１Ａは、共通リスク判定テーブル５１に登録されている高リスクＩＰアドレスリストに、今回のユーザからのアクセスのアクセス元ＩＰアドレスが含まれているか否か検出し、含まれている場合はリスクレベルを最高レベルに高める。

リスク判定更新部２５Ａは、認証履歴テーブル２８Ａに登録されている認証要求及び認証結果をもとにリスク判定更新条件テーブル２８Ａを参照し、リスク判定テーブル２３Ａ又は共通リスク判定テーブル５１を更新するか否か判定する。リスク判定更新部２５Ａは、リスク判定テーブル２３Ａを更新するための条件が満たされている場合、リスク判定テーブル２３Ａの更新処理を即時行う。また、リスク判定更新部２５Ａは、共通リスク判定テーブル５１を更新するための条件が満たされている場合、共通リスク判定テーブル５１の更新処理を即時行う。

その後のリスク判定部２１Ａによるリスクレベルの算出には、更新されたリスク判定テーブル２３Ａ及び共通リスク判定テーブル５１が用いられる。

認証サーバ２Ｂにおいても、認証サーバ２Ａと同様の処理が行われる。

リスク判定テーブル２３Ａ、２３Ｂのリスク判定条件は、それぞれ自サーバのリスク判定更新部２５Ａ、２５Ｂにより更新される。一方、共通リスク判定テーブル５１の共通リスク判定条件は、リスク判定更新部２５Ａ及び２５Ｂにより更新される。認証サーバ２Ａのリスク判定部２１Ａは、リスクレベルの算出時に、認証サーバ２Ｂのリスク判定更新部２５Ｂにより更新された共通リスク判定条件を参照することができる。また、認証サーバ２Ｂのリスク判定部２１Ｂは、リスクレベルの算出時に、認証サーバ２Ａのリスク判定更新部２５Ａにより更新された共通リスク判定条件を参照することができる。

このように、認証サーバ２Ａ及び２Ｂから参照・更新が可能な共通リスク判定テーブル５１を設けることで、業務サーバ１Ａ、１Ｂのいずれか一方に不正行為者からの処理要求があった場合に、この不正行為者のＩＰアドレス等の情報を共通リスク判定テーブル５１に追加し、認証サーバ２Ａ及び２Ｂで共有することができる。共通リスク判定テーブル５１の共通リスク判定条件は複数の認証サーバにより更新されるため、最新の不正行為者の情報が反映されており、ユーザ認証におけるセキュリティレベルをさらに向上させることができる。

また、認証サーバ２Ａ及び２Ｂは、それぞれリスク判定テーブル２３Ａ、２３Ｂを備えているため、これを参照することで、個別の条件のリスクベース認証を行うことができる。

図７、図８に示す認証システムをインターネットバンキングに適用した場合、業務サーバ１Ａ、１Ｂは、それぞれ、Ａ銀行の業務サーバ、Ｂ銀行の業務サーバとみなすことができる。Ａ銀行業務サーバ１Ａから認証サーバ２Ａに対し不審な認証要求があった場合、認証サーバ２Ａは、Ａ銀行業務サーバ１ＡにアクセスしたユーザのＩＰアドレスを共通リスク判定テーブル５１に追加し共通リスク判定条件をリアルタイムに更新する。同じＩＰアドレスのユーザがＢ銀行業務サーバ１Ｂにアクセスしてきた場合、認証サーバ２Ｂは認証サーバ１Ａにより更新された共通リスク判定条件を参照し、このユーザのログイン処理に対し認証強度の高い認証種別を特定できるため、セキュリティレベルを向上させることができる。このように、ある銀行で不審な認証要求があった場合、その情報（ユーザのＩＰアドレス）を即時に他銀行での認証のリスクレベル算出に用いることができる。なお一般に、同一人物であっても、ユーザＩＤは銀行によって異なるため、Ａ銀行の高リスクユーザＩＤを共通リスク判定テーブル５１に登録してもＢ銀行にとっては無意味であるが、ユーザが特定の端末から複数の銀行業務サーバにアクセスする場合、銀行によらずＩＰアドレスは共通のため、高リスクＩＰアドレスを共通リスク判定テーブル５１に登録する効果は大きい。

また、認証サーバ２Ａ及び２Ｂは、それぞれリスク判定テーブル２３Ａ、２３Ｂを備えているため、Ａ銀行、Ｂ銀行がそれぞれ独自にリスク判定条件を設定することができる。このように、各銀行が独自に設定するリスク判定条件と、複数の銀行が共有・更新する共通リスク判定条件とを両立して運用することが可能となる。

上記第２変形例において、認証サーバ２Ａ及び２Ｂの少なくともいずれか一方を、上述した第２リスク判定部２００が追加された構成としてもよい。また、認証サーバ２Ａ及び２Ｂの少なくともいずれか一方において、リスク判定更新部２５Ａ、２５Ｂが、リスク判定テーブル２３Ａ、２３Ｂのリスク判定条件の更新を行わず、共通リスク判定テーブル５１の共通リスク判定条件の更新のみ行うようにしてもよい。

図７、図８は業務サーバ及び認証サーバがそれぞれ２つ設けられる例を示しているが、３つ以上設け、３つ以上の認証サーバが共通リスク判定テーブル５１を共同利用するようにしてもよい。

複数の業務サーバの各々を、パーソナルコンピュータ、携帯電話、スマートフォン等の各取引チャネルに対応する業務サーバとみなすことができる。ある取引チャネルで不審な認証要求があった場合、その情報（ユーザのＩＰアドレス等）を即時に他の取引チャネルでの認証のリスクレベル算出に用いることができ、セキュリティレベルを向上させることができる。

上述した実施形態で説明した認証サーバ２の少なくとも一部は、ハードウェアで構成してもよいし、ソフトウェアで構成してもよい。ソフトウェアで構成する場合には、認証サーバ２の少なくとも一部の機能を実現するプログラムをフレキシブルディスクやＣＤ−ＲＯＭ等の記録媒体に収納し、コンピュータに読み込ませて実行させてもよい。記録媒体は、磁気ディスクや光ディスク等の着脱可能なものに限定されず、ハードディスク装置やメモリなどの固定型の記録媒体でもよい。

また、認証サーバ２の少なくとも一部の機能を実現するプログラムを、インターネット等の通信回線（無線通信も含む）を介して頒布してもよい。さらに、同プログラムを暗号化したり、変調をかけたり、圧縮した状態で、インターネット等の有線回線や無線回線を介して、あるいは記録媒体に収納して頒布してもよい。

なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形してもよい。また、上記実施形態に開示されている複数の構成要素を適宜組み合わせたり、実施形態に示される全構成要素から幾つかの構成要素を削除したりしてもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

１ 業務サーバ
２ 認証サーバ
３ ユーザ端末
４ ネットワーク
１１ 業務処理部
１２ 認証種別問合せ部
１３ 認証要求部
２１ リスク判定部
２２ 認証種別応答部
２３ リスク判定テーブル
２４ 認証処理部
２５ リスク判定更新部
２６ 認証結果応答部
２７ 認証テーブル
２８ 認証履歴テーブル
２９ リスク判定更新条件テーブル

Claims (1)

1. 第１業務装置からユーザの第１アクセス情報とともに認証種別の問合せを受け付け、ユーザから前記第１業務装置へのアクセスの第１リスクレベルを判定し、該第１リスクレベルに基づいてユーザに対する認証種別を特定して前記第１業務装置に応答し、前記第１業務装置から該認証種別に応じたユーザ入力パスワードとともに認証要求を受け付け、該ユーザ入力パスワードに基づいてユーザの認証処理を行い、認証結果を前記第１業務装置に応答する第１認証装置と、
   第２業務装置からユーザの第２アクセス情報とともに認証種別の問合せを受け付け、ユーザから前記第２業務装置へのアクセスの第２リスクレベルを判定し、該第２リスクレベルに基づいてユーザに対する認証種別を特定して前記第２業務装置に応答し、前記第２業務装置から該認証種別に応じたユーザ入力パスワードとともに認証要求を受け付け、該ユーザ入力パスワードに基づいてユーザの認証処理を行い、認証結果を前記第２業務装置に応答する第２認証装置と、
   ユーザから前記第１業務装置又は前記第２業務装置へのアクセスのリスクレベルを算出するための共通リスク判定条件を記憶した共通リスク判定テーブルと、
   を備え、
   前記第１認証装置は、前記共通リスク判定条件を更新するための第１更新条件を記憶した第１更新条件テーブルを有し、前記第１アクセス情報及び前記共通リスク判定条件に基づいて前記第１リスクレベルを判定し、前記第１業務装置からの認証要求が前記第１更新条件を満たす場合に、前記共通リスク判定条件を更新し、
   前記第２認証装置は、前記共通リスク判定条件を更新するための第２更新条件を記憶した第２更新条件テーブルを有し、前記第２アクセス情報及び前記共通リスク判定条件に基づいて前記第２リスクレベルを判定し、前記第２業務装置からの認証要求が前記第２更新条件を満たす場合に、前記共通リスク判定条件を更新し、
   さらに前記第１認証装置は、
   ユーザから前記第１業務装置へのアクセスのリスクレベルを算出するための個別リスク判定条件を記憶した個別リスク判定テーブルを備え、
   前記第１更新条件テーブルは、前記個別リスク判定条件を更新するための第３更新条件を記憶しており、
   前記第１業務装置からの認証要求が前記第３更新条件を満たす場合に、前記個別リスク判定条件を更新することを特徴とする認証システム。

Images