(57)【要約】【課題】不正なＷｅｂサイトがより容易に検知できるようにする。【解決手段】端末１２１よりサーバ１２２に送信されたClient Helloに対してサーバ１２２から端末１２１に送信されたServer Certificateに含まれる証明書情報と、上記Client Helloに組み合わせて記憶部１０７に記憶されている証明書情報とを比較部１０４で比較し、比較の結果により判断部１０５がサーバ１２２の正・不正を判断する。【選択図】  図１
2019139617.tif 000002
【特許請求の範囲】
【請求項１】
httpsによる通信で端末よりネットワークを介してサーバに送信されたClient Helloを検出するように構成された検出部と、
前記検出部が検出したClient Helloに対して前記サーバから前記端末に対して送信されたServer Certificateに含まれる証明書情報を取得するように構成された取得部と、
前記検出部が検出したClient Helloを記憶部において検索するように構成された検索部と、
前記検出部が検出したClient Helloが、前記検索部により前記記憶部から検索された場合に、検索されたClient Helloに組み合わせて前記記憶部に記憶されている証明書情報と、前記取得部が取得した証明書情報とを比較するように構成された比較部と、
前記比較部の比較により両者が一致しない場合に前記サーバは不正と判断するように構成された判断部と、
前記検出部が検出したClient Helloを前記検索部が前記記憶部より検索できない場合、前記取得部が取得した証明書情報を前記検出部が検出したClient Helloと組み合わせて前記記憶部に記憶するように構成された記憶制御部と
を備えることを特徴とする不正検出装置。
【請求項２】
請求項１記載の不正検出装置において、
更新指示の入力により、前記検出部が検出したClient Helloに組み合わせて前記記憶部に記憶されている証明書情報を、前記取得部が取得した証明書情報で更新するように構成された更新部を更に備えることを特徴とする不正検出装置。
【請求項３】
httpsによる通信で端末よりネットワークを介してサーバに送信されたClient Helloを検出する第１ステップと、
前記第１ステップで検出したClient Helloに対して前記サーバから前記端末に対して送信されたServer Certificateに含まれる証明書情報を取得する第２ステップと、
前記第１ステップで検出したClient Helloを記憶部において検索する第３ステップと、
前記第１ステップで検出したClient Helloが、前記第３ステップにおいて前記記憶部から検索された場合に、検索されたClient Helloに組み合わせて前記記憶部に記憶されている証明書情報と、前記第２ステップで取得した証明書情報とを比較する第４ステップと、
前記第４ステップの比較により両者が一致しない場合に前記サーバは不正と判断する第５ステップと、
前記第１ステップで検出したClient Helloを前記第３ステップが前記記憶部より検索できない場合、前記第２ステップで取得した証明書情報を前記第１ステップで検出したClient Helloと組み合わせて前記記憶部に記憶する第６ステップと
を備えることを特徴とする不正検出方法。
【請求項４】
請求項３記載の不正検出方法において、
更新指示の入力により、前記第１ステップで検出したClient Helloに組み合わせて前記記憶部に記憶されている証明書情報を、前記第２ステップで取得した証明書情報で更新する第７ステップを更に備えることを特徴とする不正検出方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット上のＷｅｂサイトが登録されたサーバの不正を検知する不正検出装置および方法に関する。
【背景技術】
【０００２】
実存するＷｅｂサイトを装うＷｅｂページによる不正アクセスの被害が社会的に問題となっている。例えば、フィッシングサイトに接続したことにより、端末装置が不正アクセスをされ、またウィルスに感染させられ、クレジットカード情報など経済的価値がある情報が奪われるなどの問題が発生している。
【０００３】
上述した状況に対し、サーバのSSL証明書などを使用して、フィッシングサイトを防ごうとする試みがある。また、特許文献１のように、SSL証明書に頼らず企業ドメイン情報登録センターや補足的な機関に申告された企業とそのドメインの対をリストに登録して、リストに登録されていないドメインへのアクセスを禁止する技術も知られている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−２８５８４４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、サーバ証明書の正当性に基づくフィッシング対策を逆手に取り、審査が緩い一部の認証局により発行された、正規のサーバ証明書を持つフィッシングサイトが出現するようになっている。このようなフィッシングサイトでは、証明書を用いた対策では不正を検知することができない。
【０００６】
また、特許文献１の技術では、リストに登録する作業が必要となり、運用面で手間がかかるという問題がある。また、特許文献１の技術では、ＤＮＳスプーフィングによるドメイン名改ざんには対応できないという問題がある。これらのように、従来の技術では、フィッシングサイトなどの不正なＷｅｂサイトを検知することが容易ではないという問題があった。
【０００７】
本発明は、以上のような問題点を解消するためになされたものであり、不正なＷｅｂサイトがより容易に検知できるようにすることを目的とする。
【課題を解決するための手段】
【０００８】
本発明に係る不正検出装置は、httpsによる通信で端末よりネットワークを介してサーバに送信されたClient Helloを検出するように構成された検出部と、検出部が検出したClient Helloに対してサーバから端末に対して送信されたServer Certificateに含まれる証明書情報を取得するように構成された取得部と、検出部が検出したClient Helloを記憶部において検索するように構成された検索部と、検出部が検出したClient Helloが、検索部により記憶部から検索された場合に、検索されたClient Helloに組み合わせて記憶部に記憶されている証明書情報と、取得部が取得した証明書情報とを比較するように構成された比較部と、比較部の比較により両者が一致しない場合にサーバは不正と判断するように構成された判断部と、検出部が検出したClient Helloを検索部が記憶部より検索できない場合、取得部が取得した証明書情報を検出部が検出したClient Helloと組み合わせて記憶部に記憶するように構成された記憶制御部とを備える。
【０００９】
上記不正検出装置において、更新指示の入力により、検出部が検出したClient Helloに組み合わせて記憶部に記憶されている証明書情報を、取得部が取得した証明書情報で更新するように構成された更新部を備えるようにしてもよい。
【００１０】
本発明に係る不正検出方法は、httpsによる通信で端末よりネットワークを介してサーバに送信されたClient Helloを検出する第１ステップと、第１ステップで検出したClient Helloに対してサーバから端末に対して送信されたServer Certificateに含まれる証明書情報を取得する第２ステップと、第１ステップで検出したClient Helloを記憶部において検索する第３ステップと、第１ステップで検出したClient Helloが、第３ステップにおいて記憶部から検索された場合に、検索されたClient Helloに組み合わせて記憶部に記憶されている証明書情報と、第２ステップで取得した証明書情報とを比較する第４ステップと、第４ステップの比較により両者が一致しない場合にサーバは不正と判断する第５ステップと、第１ステップで検出したClient Helloを第３ステップが記憶部より検索できない場合、第２ステップで取得した証明書情報を第１ステップで検出したClient Helloと組み合わせて記憶部に記憶する第６ステップとを備える。
【００１１】
上記不正検出方法において、更新指示の入力により、第１ステップで検出したClient Helloに組み合わせて記憶部に記憶されている証明書情報を、第２ステップで取得した証明書情報で更新する第７ステップを備えるようにしてもよい。
【発明の効果】
【００１２】
以上説明したように、本発明によれば、サーバから端末に送信されたServer Certificateに含まれる証明書情報と、Client Helloに組み合わせて記憶されている証明書情報との比較により、サーバの正・不正を判断するようにしたので、不正なＷｅｂサイトがより容易に検知できるという優れた効果が得られる。
【図面の簡単な説明】
【００１３】
【図１】図１は、本発明の実施の形態１における不正検出装置１００の構成を示す構成図である。
【図２】図２は、本発明の実施の形態１における不正検出方法を説明するためのフローチャートである。
【図３】図３は、本発明の実施の形態２における不正検出装置１００ａの構成を示す構成図である。
【図４】図４は、本発明の実施の形態１における不正検出方法を説明するためのフローチャートである。
【図５】図５は、本発明における不正検出装置のハードウエア構成を示す構成図である。
【発明を実施するための形態】
【００１４】
以下、本発明の実施の形態おける不正検出装置について説明する。
【００１５】
［実施の形態１］
はじめに、本発明の実施の形態１における不正検出装置１００について、図１を参照して説明する。
【００１６】
不正検出装置１００は、ネットワーク１２０に接続している。ネットワーク１２０は、インターネットである。また、ネットワーク１２０には、端末１２１およびサーバ１２２が接続している。サーバ１２２には、例えば、端末１２１がアクセス可能なＷｅｂサイトが登録されている。不正検出装置１００は、サーバ１２２が不正か否かを検出する。
【００１７】
不正検出装置１００は、検出部１０１、取得部１０２、検索部１０３、比較部１０４、判断部１０５、記憶制御部１０６、記憶部１０７を備える。
【００１８】
検出部１０１は、公知のhttps（Hypertext Transfer Protocol Secure）による通信で、端末１２１よりネットワーク１２０を介してサーバ１２２に送信されたClient Helloを検出する。Client Helloは、SSL/TLSハンドシェイクで用いられるメッセージである。
【００１９】
取得部１０２は、検出部１０１が検出したClient Helloに対してサーバ１２２から端末１２１に対して送信されたServer Certificateに含まれる証明書情報を取得する。Server Certificateは、SSL/TLSハンドシェイクで用いられるメッセージである。
【００２０】
検索部１０３は、検出部１０１が検出したClient Helloを記憶部１０７において検索する。記憶部１０７には、正規な証明書情報とClient Helloとが組み合わされた複数のデータが記憶されている。比較部１０４は、検出部１０１が検出したClient Helloが、検索部１０３により記憶部１０７から検索された場合に、検索されたClient Helloに組み合わせて記憶部１０７に記憶されている証明書情報と、取得部１０２が取得した証明書情報とを比較する。判断部１０５は、比較部１０４の比較により両者が一致しない場合にサーバ１２２は不正と判断する。
【００２１】
記憶制御部１０６は、検出部１０１が検出したClient Helloを検索部１０３が記憶部１０７より検索できない場合、取得部１０２が取得した証明書情報を検出部１０１が検出したClient Helloと組み合わせて記憶部１０７に記憶する。
【００２２】
次に、実施の形態１における不正検出装置１００の動作例（不正検出方法）について、図２を参照して説明する。
【００２３】
まず、第１ステップＳ１０１で、検出部１０１が、httpsによる通信で端末１２１よりネットワーク１２０を介してサーバ１２２に送信されたClient Helloを検出すると（第１ステップＳ１０１のｙｅｓ）、第２ステップＳ１０２で、検出したClient Helloに対してサーバ１２２から端末１２１に対して送信されたServer Certificateに含まれる証明書情報を、取得部１０２が取得する。
【００２４】
次に、第３ステップＳ１０３で、検索部１０３が、検出部１０１によって検出されたClient Helloを記憶部１０７において検索する。この検索で、検出部１０１によって検出されたClient Helloが、記憶部１０７から検索されると（ステップＳ１３１のｙｅｓ）、第４ステップＳ１０４で、比較部１０４が、検索されたClient Helloに組み合わせて記憶部１０７に記憶されている証明書情報と、取得部１０２が取得した証明書情報とを比較する。
【００２５】
比較部１０４の比較により両者が一致しない場合（ステップＳ１４１のｎｏ）、第５ステップＳ１０５で、判断部１０５は、サーバ１２２は不正と判断する。不正と判断されると、不正検出装置１００は、端末１２１に対し、サーバ１２２が不正である旨の通知をする。なお、比較部１０４の比較により両者が一致した場合（ステップＳ１４１のｙｅｓ），判断部１０５は、サーバ１２２が不正ではないと判断する。
【００２６】
また、検索部１０３の検索で、検出部１０１によって検出されたClient Helloが、記憶部１０７から検索されない場合（ステップＳ１３１のｎｏ），第６ステップＳ１０６で、記憶制御部１０６が、取得部１０２が取得した証明書情報を、第１ステップＳ１０１で検出部１０１が検出したClient Helloと組み合わせ、記憶部１０７に記憶する。
【００２７】
以上に説明したように、実施の形態１では、端末１２１よりサーバ１２２に送信されたClient Helloに対してサーバ１２２から端末１２１に送信されたServer Certificateに含まれる証明書情報と、上記Client Helloに組み合わせて記憶部１０７に記憶されている証明書情報との比較により、サーバ１２２の正・不正を判断する。この結果、実施の形態１によれば、不正なＷｅｂサイト（サーバ１２２）がより容易に検知できるようになる。
【００２８】
［実施の形態２］
次に、本発明の実施の形態２における不正検出装置１００ａについて、図３を参照して説明する。
【００２９】
不正検出装置１００ａは、ネットワーク１２０に接続している。ネットワーク１２０は、インターネットである。また、ネットワーク１２０には、端末１２１およびサーバ１２２が接続している。サーバ１２２には、例えば、端末１２１がアクセス可能なＷｅｂサイトが登録されている。不正検出装置１００ａは、サーバ１２２が不正か否かを検出する。
【００３０】
また、不正検出装置１００ａは、検出部１０１、取得部１０２、検索部１０３、比較部１０４、判断部１０５、記憶制御部１０６、記憶部１０７を備える。
【００３１】
上述した構成は、前述した実施の形態１の不正検出装置１００と同様である。
【００３２】
実施の形態２における不正検出装置１００ａは、更に、更新部１０８を備える。なお、不正検出装置１００ａは、入力部１０９、表示部１１０を備える。
【００３３】
更新部１０８は、更新指示の入力により、検出部１０１が検出したClient Helloに組み合わせて記憶部１０７に記憶されている証明書情報を、取得部１０２が取得した証明書情報で更新する。例えば、入力部１０９より更新指示が入力されると、更新部１０８は、取得部１０２が取得した証明書情報で、記憶部１０７に記憶されている証明書情報を更新する。
【００３４】
次に、実施の形態２における不正検出装置１００ａの動作例（不正検出方法）について、図２を参照して説明する。
【００３５】
まず、第１ステップＳ１０１で、検出部１０１が、httpsによる通信で端末１２１よりネットワーク１２０を介してサーバ１２２に送信されたClient Helloを検出すると（第１ステップＳ１０１のｙｅｓ）、第２ステップＳ１０２で、検出したClient Helloに対してサーバ１２２から端末１２１に対して送信されたServer Certificateに含まれる証明書情報を、取得部１０２が取得する。
【００３６】
次に、第３ステップＳ１０３で、検索部１０３が、検出部１０１によって検出されたClient Helloを記憶部１０７において検索する。この検索で、検出部１０１によって検出されたClient Helloが、記憶部１０７から検索されると（ステップＳ１３１のｙｅｓ）、第４ステップＳ１０４で、比較部１０４が、検索されたClient Helloに組み合わせて記憶部１０７に記憶されている証明書情報と、取得部１０２が取得した証明書情報とを比較する。
【００３７】
比較部１０４の比較により両者が一致しない場合（ステップＳ１４１のｎｏ）、第５ステップＳ１０５で、判断部１０５は、サーバ１２２は不正と判断する。不正と判断されると、不正検出装置１００は、例えば、端末１２１に対し、サーバ１２２が不正である旨の通知をする。なお、比較部１０４の比較により両者が一致した場合（ステップＳ１４１のｙｅｓ），判断部１０５は、サーバ１２２が不正ではないと判断する。
【００３８】
また、検索部１０３の検索で、検出部１０１によって検出されたClient Helloが、記憶部１０７から検索されない場合（ステップＳ１３１のｎｏ），第６ステップＳ１０６で、記憶制御部１０６が、取得部１０２が取得した証明書情報を、第１ステップＳ１０１で検出部１０１が検出したClient Helloと組み合わせ、記憶部１０７に記憶する。
【００３９】
上述した各ステップは、前述した実施の形態１と同様である。実施の形態２における不正検出装置１００ａは、更新指示が入力されると（第７ステップＳ１０７のｙｅｓ）、ステップＳ１７１で、検出部１０１が検出したClient Helloに組み合わせて記憶部１０７に記憶されている証明書情報を、取得部１０２が取得した証明書情報で更新する。
【００４０】
ここで、証明書には有効期限がもうけられている場合がある。この場合、サーバ１２２が正規な場合、有効期限が切れる前に新たな証明書が発行され、この後は、新たな証明書が用いられる。このため、サーバ１２２が正規（不正ではない場合）であっても、検出部１０１が検出したClient Helloに組み合わせて記憶部１０７に記憶されている証明書情報と、取得部１０２が取得した証明書情報とが一致しないことになり、サーバ１２２は不正と判断される。
【００４１】
このような誤判断を防ぐため、不正との判断の通知内容を確認したユーザにより、対象となるサーバ１２２が防いでないことが確認されたことなどにより、更新指示が入力されると、上述したように、不正検出装置１００ａでは、証明書情報を更新する。
【００４２】
上述した不正判断の通知は、例えば、端末１２１に送信され、端末１２１のユーザに視認可能な状態とされる。この通知を確認した端末１２１のユーザが、更新の要求を不正検出装置１００ａに通知することで、この通知が表示部１１０に表示されるようにしてもよい。表示部１１０に、端末１２１のユーザからの更新要求が表示され、これを確認した不正検出装置１００ａの管理者による入力部１０９の操作で、更新部１０８に対する更新指示が入力されるようにしてもよい。
【００４３】
なお、上述した実施の形態における不正検出装置は、図５に示すように、ＣＰＵ（Central Processing Unit；中央演算処理装置）２０１と主記憶装置２０２と外部記憶装置２０３とネットワーク接続装置２０４となどを備えたコンピュータ機器であり、主記憶装置に展開されたプログラムによりＣＰＵ２０１が動作することで、上述した各機能が実現される。ネットワーク接続装置２０４は、ネットワーク２０５に接続する。また、各機能は、複数のコンピュータ機器に分散させるようにしてもよい。
【００４４】
以上に説明したように、本発明によれば、サーバから端末に送信されたServer Certificateに含まれる証明書情報と、Client Helloに組み合わせて記憶されている証明書情報との比較により、サーバの正・不正を判断するようにしたので、不正なＷｅｂサイトがより容易に検知できるようになる。また、本発明によれば、端末にエージェントソフトウエアなどを導入することなく、複数の端末における不正なサーバへのアクセス検知を監視することが可能となる。
【００４５】
なお、本発明は以上に説明した実施の形態に限定されるものではなく、本発明の技術的思想内で、当分野において通常の知識を有する者により、多くの変形および組み合わせが実施可能であることは明白である。
【符号の説明】
【００４６】
１００…不正検出装置、１０１…検出部、１０２…取得部、１０３…検索部、１０４…比較部、１０５…判断部、１０６…記憶制御部、１０７…記憶部、１２０…ネットワーク、１２１…端末、１２２…サーバ。
【図１】
2019139617.tif 000003
【図２】
2019139617.tif 000004
【図３】
2019139617.tif 000005
【図４】
2019139617.tif 000006
【図５】
2019139617.tif 000007