(57)【要約】      （修正有）【課題】流出したＩＤとＰａｓｓｗｏｒｄのリストが用いられた不正アクセスであっても、適切に不正アクセスであることを検知する。【解決手段】認証サーバ１０は、外部に流出したＩＤとパスワードの組を記憶する汚染パスワードリスト記憶部１３ｂを有する。そして、認証サーバ１０は、認証要求を受け付けた場合に、該認証要求からＩＤとパスワードの組を抽出する。そして、認証サーバ１０は、汚染パスワードリスト記憶部１３ｂに記憶されたＩＤとパスワードの組のうち、抽出されたＩＤとパスワードの組と一致する組があるか否かを判定し、一致する組があると判定された場合には、ユーザ端末３０Ａ〜ＣのＷＷＷサーバ２０Ａ〜Ｃに対するアクセスを中断するように制御する。【選択図】図１
2015103090.tif 000002
【特許請求の範囲】
【請求項１】
端末がサーバに送信する認証要求に対して認証処理を行う認証装置を有する認証システムにおいて、
前記認証装置が、
外部に流出した識別子と認証情報との組を記憶する記憶部と、
前記認証要求を受け付けた場合に、該認証要求から識別子と認証情報との組を抽出する抽出部と、
前記記憶部に記憶された識別子と認証情報との組のうち、前記抽出部によって抽出された識別子と認証情報との組と一致する組があるか否かを判定する判定部と、
前記判定部によって一致する組があると判定された場合には、前記端末の前記サーバに対するアクセスを中断するように制御するアクセス制御部と、
を備えることを特徴とする認証システム。
【請求項２】
前記認証システムは、前記外部に流出した識別子と認証情報との組が規定されたリストを作成する生成装置をさらに有し、
前記生成装置が、
外部に流出した可能性のある情報を収集する収集部と、
前記収集部によって収集された情報から所定のフォーマットを用いて、識別子と認証情報との組を取得する取得部と、
前記取得された識別子と認証情報との組を前記認証装置に配信する配信部と、
を備え、
前記認証装置が、
前記配信部によって配信された識別子と認証情報との組を前記記憶部に格納する格納部をさらに備えることを特徴とする請求項１に記載の認証システム。
【請求項３】
前記認証装置は、前記判定部によって一致する組があると判定された場合には、不正アクセスがあった旨の警告を通知する通知部をさらに備えることを特徴とする請求項１または２に記載の認証システム。
【請求項４】
前記判定部、前記記憶部に記憶された識別子と認証情報との組のうち、前記抽出部によって抽出された識別子と認証情報との組と一致する組が無い場合には、識別子および認証情報のいずれかが一致するか否かを判定し、
前記通知部は、前記判定部によって識別子および認証情報のいずれかが一致すると判定された場合には、不正アクセスである可能性がある旨の警告を通知することを特徴とする請求項３に記載の認証システム。
【請求項５】
前記取得部は、前記収集部によって収集された情報から所定のフォーマットを用いて、識別子と認証情報との組とともに、該識別子および認証情報が利用されている地理情報を取得し、
前記配信部は、前記取得された識別子と認証情報との組を、前記地理情報に対応する場所で利用される認証装置に配信することを特徴とする請求項１〜４のいずれか一つに記載の認証システム。
【請求項６】
外部に流出した識別子と認証情報との組を記憶する記憶部と、
前記認証要求を受け付けた場合に、該認証要求から識別子と認証情報との組を抽出する抽出部と、
前記記憶部に記憶された識別子と認証情報との組のうち、前記抽出部によって抽出された識別子と認証情報との組と一致する組があるか否かを判定する判定部と、
前記判定部によって一致する組があると判定された場合には、前記端末の前記サーバに対するアクセスを中断するように制御するアクセス制御部と、
を備えることを特徴とする認証装置。
【請求項７】
認証装置で実行される認証方法であって、
前記認証装置は、外部に流出した識別子と認証情報との組を記憶する記憶部を備え、
前記認証要求を受け付けた場合に、該認証要求から識別子と認証情報との組を抽出する抽出工程と、
前記記憶部に記憶された識別子と認証情報との組のうち、前記抽出工程によって抽出された識別子と認証情報との組と一致する組があるか否かを判定する判定工程と、
前記判定工程によって一致する組があると判定された場合には、前記端末の前記サーバに対するアクセスを中断するように制御するアクセス制御工程と、
を含んだことを特徴とする認証方法。
【請求項８】
端末から認証要求を受け付けた場合に、該認証要求から識別子と認証情報との組を抽出する抽出ステップと、
外部に流出した識別子と認証情報との組を記憶する記憶部に記憶された識別子と認証情報との組のうち、前記抽出ステップによって抽出された識別子と認証情報との組と一致する組があるか否かを判定する判定ステップと、
前記判定ステップによって一致する組があると判定された場合には、前記端末の前記サーバに対するアクセスを中断するように制御するアクセス制御ステップと、
をコンピュータに実行させることを特徴とする認証プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証システム、認証装置、認証方法及び認証プログラムに関する。
【背景技術】
【０００２】
従来の不正アクセスでは、ＩＤとＰａｓｓｗｏｒｄの組み合わせを、総当たりで試みる「ブルートフォース攻撃」が主流であった。このブルートフォース攻撃においては、ＩＤとＰａｓｓｗｏｒｄの組み合わせを総当たりで試みるので、認証が成功する確率が低く、同一アクセス元からの認証エラーが多発する。
【０００３】
このため、ブルートフォース攻撃に対する対策として、時間当たりの認証要求回数が通常の利用に比べて高くなっているか否か、または、認証失敗の形跡が多数残っているか否か等を監視することで、不正アクセスを検出していた。
【０００４】
ところが、近年では、流出したＩＤとＰａｓｓｗｏｒｄのリストを元に、同じＩＤとＰａｓｓｗｏｒｄを他サービスでも使い回していることを期待して、不正アクセスを試みる「パスワードリスト攻撃」が流行している。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】徳丸浩著、「体系的に学ぶ安全なＷｅｂアプリケーションの作り方脆弱性が生まれる原理と対策の実践」、ソフトバンククリエイティブ株式会社、２０１１年３月３日、ＩＳＢＮ−１０：４７９７３６１１９０
【発明の概要】
【発明が解決しようとする課題】
【０００６】
このようなパスワードリスト攻撃では、ブルートフォート攻撃に比べて、一アカウントあたりの認証エラーは少なく、従来の技術では、適切に不正アクセスを検知することができないという課題があった。
【０００７】
つまり、ＩＤとＰａｓｓｗｏｒｄのリストが用いられ、ＩＤとＰａｓｓｗｏｒｄのペアが決まっているため、認証が成功するか否かに関わらず、例えば、一つのアカウントに対する認証要求が１、２回しか行われない。このため、アカウントあたりの認証失敗回数が通常の利用と見分けがつかないほど少なく、通常の利用との区別がつかず、適切に不正アクセスを検知することができなかった。
【０００８】
そこで、この発明は、流出したＩＤとＰａｓｓｗｏｒｄのリストが用いられた不正アクセスであっても、適切に不正アクセスを検知することを目的とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決し、目的を達成するため、開示の認証システムは、端末がサーバに送信する認証要求に対して認証処理を行う認証装置を有する認証システムにおいて、前記認証装置が、外部に流出した識別子と認証情報との組を記憶する記憶部と、前記認証要求を受け付けた場合に、該認証要求から識別子と認証情報との組を抽出する抽出部と、前記記憶部に記憶された識別子と認証情報との組のうち、前記抽出部によって抽出された識別子と認証情報との組と一致する組があるか否かを判定する判定部と、前記判定部によって一致する組があると判定された場合には、前記端末の前記サーバに対するアクセスを中断するように制御するアクセス制御部と、を備えることを特徴とする。
【００１０】
また、開示の認証装置は、外部に流出した識別子と認証情報との組を記憶する記憶部と、前記認証要求を受け付けた場合に、該認証要求から識別子と認証情報との組を抽出する抽出部と、前記記憶部に記憶された識別子と認証情報との組のうち、前記抽出部によって抽出された識別子と認証情報との組と一致する組があるか否かを判定する判定部と、前記判定部によって一致する組があると判定された場合には、前記端末の前記サーバに対するアクセスを中断するように制御するアクセス制御部と、を備えることを特徴とする。
【００１１】
また、開示の認証方法は、認証装置で実行される認証方法であって、前記認証装置は、外部に流出した識別子と認証情報との組を記憶する記憶部を備え、前記認証要求を受け付けた場合に、該認証要求から識別子と認証情報との組を抽出する抽出工程と、前記記憶部に記憶された識別子と認証情報との組のうち、前記抽出工程によって抽出された識別子と認証情報との組と一致する組があるか否かを判定する判定工程と、前記判定工程によって一致する組があると判定された場合には、前記端末の前記サーバに対するアクセスを中断するように制御するアクセス制御工程と、を含んだことを特徴とする。
【００１２】
また、開示の認証プログラムは、端末から認証要求を受け付けた場合に、該認証要求から識別子と認証情報との組を抽出する抽出ステップと、外部に流出した識別子と認証情報との組を記憶する記憶部に記憶された識別子と認証情報との組のうち、前記抽出ステップによって抽出された識別子と認証情報との組と一致する組があるか否かを判定する判定ステップと、前記判定ステップによって一致する組があると判定された場合には、前記端末の前記サーバに対するアクセスを中断するように制御するアクセス制御ステップと、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１３】
本願に開示する認証システム、認証装置、認証方法及び認証プログラムは、流出したＩＤとＰａｓｓｗｏｒｄのリストが用いられた不正アクセスであっても、適切に不正アクセスを検知することが可能である。
【図面の簡単な説明】
【００１４】
【図１】図１は、第一の実施形態に係る認証システムの構成の一例を示す図である。
【図２】図２は、第一の実施形態に係る認証サーバの構成を示すブロック図である。
【図３】図３は、第一の実施形態に係るパスワードリスト記憶部に記憶される情報の一例を示す図である。
【図４】図４は、第一の実施形態に係る汚染パスワードリスト記憶部に記憶される情報の一例を示す図である。
【図５】図５は、第一の実施形態に係る認証サーバによる認証処理の概要を示す図である。
【図６】図６は、第一の実施形態に係る認証サーバにおける認証処理の流れを説明するためのフローチャートである。
【図７】図７は、第一の実施形態に係る認証サーバにおける突合処理の流れを説明するためのフローチャートである。
【図８】図８は、第二の実施形態に係るシステムの構成の一例を示す図である。
【図９】図９は、第二の実施形態に係る生成サーバの構成を示すブロック図である。
【図１０】図１０は、第二の実施形態に係る認証サーバの構成を示すブロック図である。
【図１１】図１１は、第二の実施形態に係る生成サーバにおけるリスト生成処理の流れを説明するためのフローチャートである。
【図１２】図１２は、認証プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１５】
以下に図面を参照して、この発明に係る認証システム、認証装置、認証方法及び認証プログラムの実施形態を詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。
【００１６】
［第一の実施形態］
以下の実施形態では、第一の実施形態に係る認証システムの構成、認証サーバの構成及び認証サーバにおける処理の流れを順に説明し、最後に第一の実施形態による効果を説明する。
【００１７】
［システムの構成］
まず、第一の実施形態に係る認証システム１００の構成の一例を説明する。図１は、第一の実施形態に係る認証システムの構成の一例を示す図である。図１に示すように、認証システム１００は、認証サーバ１０、複数のＷＷＷ（World  Wide  Web）サーバ２０Ａ〜２０Ｃ、複数のユーザ端末３０Ａ〜３０Ｃを有する。
【００１８】
なお、図１に例示したＷＷＷサーバ２０Ａ〜２０Ｃ及び複数のユーザ端末３０Ａ〜３０Ｃについて、特に区別することなく説明する場合には、「ＷＷＷサーバ２０」、「ユーザ端末３０」とそれぞれ記載する場合がある。また、図１に例示した各装置の設置数は、あくまで一例であり、これに限定されるものではなく、例えば、認証システム１００において、認証サーバ１０が複数台設置されていてもよい。
【００１９】
ＷＷＷサーバ２０Ａ〜２０Ｃは、ユーザ端末３０の利用者に対して各種サービスを提供するサーバ装置である。ＷＷＷサーバ２０Ａ〜２０Ｃは、ユーザ端末３０から認証要求を受け付けると、該認証要求を認証サーバ１０に転送し、認証サーバ１０に対して認証処理を依頼する。そして、ＷＷＷサーバ２０Ａ〜２０Ｃは、認証に成功した場合に、ユーザ端末３０の利用者に対して各種サービスを提供する。
【００２０】
ユーザ端末３０Ａ〜３０Ｃは、ＩＤとパスワード（Ｐａｓｓｗｏｒｄ）を含む認証要求をＷＷＷサーバ２０に対して送信することで、ユーザ端末３０Ａ〜３０Ｃを利用する利用者の認証を要求する。そして、ユーザ端末３０Ａ〜３０Ｃは、認証に成功した場合に、ＷＷＷサーバ２０Ａ〜２０Ｃから各種サービスを受け付ける。
【００２１】
認証サーバ１０は、利用者を認証するためのＩＤとパスワードとの組を記憶するパスワードリスト記憶部１３ａと、外部に流出したＩＤとパスワードとの組を記憶する汚染パスワードリスト記憶部１３ｂとを有する。
【００２２】
このような構成のもと、認証サーバ１０は、ＷＷＷサーバ２０を介してユーザ端末３０から認証要求を受け付けた場合に、該認証要求からＩＤとパスワードとの組を抽出する。そして、認証サーバ１０は、汚染パスワードリスト記憶部１３ｂに記憶されたＩＤとパスワードとの組のうち、抽出されたＩＤとパスワードとの組と一致する組があるか否かを判定する。
【００２３】
その後、認証サーバ１０は、汚染パスワードリスト記憶部１３ｂに記憶されたＩＤとパスワードとの組のうち、認証要求から抽出されたＩＤとパスワードの組と一致する組があると判定された場合には、ユーザ端末３０のＷＷＷサーバ２０に対するアクセスを中断するように制御する。
【００２４】
このように、第一の実施形態に係る認証サーバ１０では、ＩＤ／パスワードリストを用いた不正アクセス、いわゆるパスワードリスト攻撃を受けた場合であっても、流出したＩＤとパスワードの組を用いてアクセスが行われた際には、アクセスを中断するように制御するので、適切に不正アクセスを検知して、不正アクセスを防御することが可能である。
【００２５】
［認証サーバの構成］
次に、図２を用いて、図１に示した認証サーバ１０の構成を説明する。図２は、第一の実施形態に係る認証サーバの構成を示すブロック図である。図２に示すように、認証サーバ１０は、通信処理部１１、制御部１２および記憶部１３を有する。
【００２６】
通信処理部１１は、接続されるＷＷＷサーバ２０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、認証要求をＷＷＷサーバ２０から受信し、また、認証結果をＷＷＷサーバ２０に対して送信する。
【００２７】
記憶部１３は、図２に示すように、パスワードリスト記憶部１３ａおよび汚染パスワードリスト記憶部１３ｂを有する。記憶部１３は、例えば、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
【００２８】
パスワードリスト記憶部１３ａは、正当なアクセスであることを認証するためのＩＤとパスワードの組を記憶する。例えば、図３に示すように、パスワードリスト記憶部１３ａは、利用者を一意に識別する識別子である「ＩＤ」と、利用者により設定された認証処理のための認証情報である「パスワード」とを対応付けて記憶する。
【００２９】
図３の例を挙げて具体的に説明すると、パスワードリスト記憶部１３ａは、例えば、ＩＤ「ａａａ」とパスワード「４０Ａ１２Ｃ」とを対応付けて記憶する。これは、認証要求に含まれるＩＤが「ａａａ」であって、且つ、パスワード「４０Ａ１２Ｃ」である場合には、認証が成功することを意味する。また、図３に例示するように、パスワードリスト記憶部１３ａは、例えば、ＩＤ「ｂｂｂ」とパスワード「１５７Ｄ３８５」とを対応付けて記憶し、ＩＤ「ｃｃｃ」とパスワード「ＳＲＨ１８７Ｓ」とを対応付けて記憶する。
【００３０】
汚染パスワードリスト記憶部１３ｂは、外部に流出したＩＤとパスワードの組を記憶する。また、図４に示すように、汚染パスワードリスト記憶部１３ｂは、外部に流出した利用者の識別子である「ＩＤ」と、外部に流出した「パスワード」とを対応付けて記憶する。
【００３１】
図４の例を挙げて具体的に説明すると、汚染パスワードリスト記憶部１３ｂは、例えば、ＩＤ「ｄｄｄ」とパスワード「ＳＳＥＢＨ１５４」とを対応付けて記憶する。これは、認証要求に含まれるＩＤが「ｄｄｄ」であって、且つ、パスワード「ＳＳＥＢＨ１５４」である場合には、外部に流出したＩＤとパスワードが用いられた認証要求であるため、認証が失敗することを意味する。
【００３２】
また、図４に例示するように、汚染パスワードリスト記憶部１３ｂは、例えば、ＩＤ「ｅｅｅ」とパスワード「２５６７８４ＤＥ５」とを対応付けて記憶し、ＩＤ「ｄｄｄ」とパスワード「ＮＷＧＤ５１Ｅ」とを対応付けて記憶する。ここで、同一のＩＤ「ｄｄｄ」について、異なるパスワード「ＳＳＥＢＨ１５４」および「ＮＷＧＤ５１Ｅ」が記憶されているが、これは、同一ＩＤに別パスワードが設定されている場合があるためである。なお、汚染パスワードリスト記憶部１３ｂは、流出したＩＤとパスワードの全ての組み合わせについて記憶しているものとする。
【００３３】
図２に戻って、制御部１２は、抽出部１２ａ、判定部１２ｂ、アクセス制御部１２ｃおよび通知部１２ｄを有する。ここで、制御部１２は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路やＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）などの集積回路である。
【００３４】
抽出部１２ａは、認証要求を受け付けた場合に、該認証要求からＩＤとパスワードの組を抽出する。具体的には、抽出部１２ａは、ＷＷＷサーバ２０を介してユーザ端末３０から認証要求を受け付けた場合には、該認証要求に含まれるＩＤとパスワードの組を抽出し、判定部１２ｂに通知する。例えば、抽出部１２ａは、抽出する処理の例として、ＨＴＴＰ（HyperText  Transfer  Protocol）トラフィックの中から特定のフォームフィールドを抽出することで、認証要求からＩＤとパスワードの組を抽出する。
【００３５】
判定部１２ｂは、汚染パスワードリスト記憶部１３ｂに記憶されたＩＤとパスワードの組のうち、抽出部１２ａによって抽出されたＩＤとパスワードの組と一致する組があるか否かを判定する。
【００３６】
例えば、判定部１２ｂは、抽出部１２ａからＩＤとパスワードの組を受信すると、汚染パスワードリスト記憶部１３ｂに記憶されたＩＤとパスワードの組を一つずつ読み出し、抽出部１２ａから受信したＩＤとパスワードの組と順次照合していき、ＩＤとパスワードの両方が一致する組があるか否かを判定する。そして判定部１２ｂは、判定結果をアクセス制御部１２ｃおよび通知部１２ｄに対して通知する。
【００３７】
また、判定部１２ｂは、汚染パスワードリスト記憶部１３ｂに記憶されたＩＤとパスワードの組のうち、抽出部１２ａによって抽出されたＩＤとパスワードの組と一致する組が無い場合には、ＩＤとパスワードのいずれかが一致するか否かを判定する。このように、判定部１２ｂは、ＩＤとパスワードの両方が一致する組が無いが、ＩＤとパスワードのうちいずれかが一致するものがある場合にも、その旨の判定結果をアクセス制御部１２ｃおよび通知部１２ｄに対して通知する。
【００３８】
アクセス制御部１２ｃは、判定部１２ｂによって一致する組があると判定された場合には、ユーザ端末３０のＷＷＷサーバ２０に対するアクセスを中断するように制御する。例えば、アクセス制御部１２ｃは、判定部１２ｂから判定結果を受信し、該判定結果が、ＩＤとパスワードの両方が一致するものである場合には、認証が失敗したものとして、ＷＷＷサーバ２０に対してユーザ端末３０のアクセスを拒否する旨の指示を送信する。
【００３９】
また、アクセス制御部１２ｃは、判定部１２ｂによって一致する組があると判定されなかった場合には、通常処理を継続して行う。アクセス制御部１２ｃは、通常処理として、認証要求に含まれるＩＤとパスワードの組が、パスワードリスト記憶部１３ａに記憶されるＩＤとパスワードの組と一致するか否かを判定し、一致する場合には、認証が成功したものとして、ＷＷＷサーバ２０に対してユーザ端末３０のアクセスを許可する旨の指示を送信する。
【００４０】
なお、判定部１２ｂによってＩＤおよびパスワードのいずれかが一致すると判定された場合には、アクセスの中断は行わずに、後述する通知部１２ｄにより、不正アクセスである可能性がある旨の警告を通知する。
【００４１】
通知部１２ｄは、判定部１２ｂによって汚染パスワードリスト記憶部１３ｂに記憶されたＩＤとパスワードの組のうち、抽出部１２ａによって抽出されたＩＤとパスワードの組と一致する組があると判定された場合には、不正アクセスがあった旨の警告をＷＷＷサーバ２０に通知する。例えば、通知部１２ｄは、警告として、「流出したＩＤとパスワードを用いた不正アクセスです」等のメッセージ情報をＷＷＷサーバ２０に通知し、管理者に不正アクセスを報知する。
【００４２】
また、通知部１２ｄは、判定部１２ｂによってＩＤおよびパスワードのいずれかが一致すると判定された場合には、不正アクセスである可能性がある旨の警告を通知する。例えば、通知部１２ｄは、警告として、「流出したＩＤとパスワードを用いた不正アクセスの可能性があります」等のメッセージ情報をＷＷＷサーバ２０に通知し、管理者に不正アクセスの可能性があることを報知する。
【００４３】
このように、第一の実施形態に係る認証サーバ１０では、外部に流出したＩＤおよびパスワードのリストを事前に記憶しておき、外部に流出したＩＤおよびパスワードを用いた認証要求である場合には、アクセスを中断する。このため、ブルートフォース攻撃のような特徴を持たず、通常のアクセスと区別がつき難い、いわゆるパスワードリスト攻撃を受けた場合であっても、適切に不正アクセスを検知するとともに、不正アクセスを防ぐことが可能である。
【００４４】
ここで、図５を用いて、第一の実施形態に係る認証サーバ１０における認証処理の概要について説明する。図５は、第一の実施形態に係る認証サーバによる認証処理の概要を示す図である。図５に例示するように、認証サーバ１０は、外部に流出したＩＤおよびパスワードのリストである汚染パスワードリストを保持している。
【００４５】
また、攻撃者αが、実際に使われているＩＤおよびパスワードのリストを入手し、乗っ取った複数のＺｏｍｂｉｅサーバ（ＩＰ１〜ＩＰ４）から構成されるｂｏｔｎｅｔを利用してログインを試行しているものとする。これは、攻撃者αが攻撃を検知されないように、乗っ取った複数のＺｏｍｂｉｅサーバを使い、認証元ＩＰアドレスを分散し、また、十分な間隔をあけて試行し、１アカウントの試行回数を少なくしているためである。このような場合には、試行回数は１、２回が大半であり、また、同一ＩＰアドレスからのアクセスが十分な間隔があけて行われるため、従来の技術では、不正アクセスを適切に検出できなかった。
【００４６】
第一の実施形態に係る認証サーバ１０では、外部に流出したＩＤおよびパスワードのリストである汚染パスワードリストを保持しており、汚染パスワードリストに記憶されたＩＤおよびパスワードを用いた認証要求があった場合には、試行回数や試行間隔に関係なく、認証失敗として、アクセスを中断する。例えば、認証サーバ１０は、ＩＰアドレスが「ＩＰ１」であるＺｏｍｂｉｅサーバからＩＤが「ＩＤ１」であり、パスワードが「ＰＷＤ１」である認証要求を受け付けた場合に、汚染パスワードに「ＩＤ１」と「ＰＷＤ１」の組が記憶されているので、認証要求を不正アクセスとして検知する。
【００４７】
このため、例えば、パスワードリスト攻撃として、「一つのアカウントに対する認証要求が１〜２回しか行われず、通常の利用において生じた認証失敗と見分けがつかないような攻撃」、「時間あたりの認証要求回数を増やさず、長時間にわたって散発的に認証を試行し、通常の利用と見分けがつきづらいような攻撃」、または、「複数のＩＰアドレスを使いソースＩＰアドレスを分散することで、多数の認証要求および認証失敗の痕跡が分散し、通常利用と見分けづらいような攻撃」であっても、パスワードリスト攻撃による不正アクセスを適切に検知し、不正アクセスを防止することが可能である。
【００４８】
［認証サーバによる処理］
次に、図６および図７を用いて、第一の実施形態に係る認証サーバ１０による処理を説明する。図６は、第一の実施形態に係る認証サーバにおける認証処理の流れを説明するためのフローチャートである。図７は、第一の実施形態に係る認証サーバにおける突合処理の流れを説明するためのフローチャートである。
【００４９】
まず、図６を用いて、認証サーバ１０による認証処理の流れを説明する。図６に示すように、認証サーバ１０の抽出部１２ａは、認証要求を受け付けたか否かを判定する（ステップＳ１０１）。なお、ステップＳ１０１において、認証要求だけでなく、ＩＤ生成やパスワード変更要求を受け付けたか否かを判定してもよい。
【００５０】
そして、抽出部１２ａは、認証要求を受け付けたと判定すると（ステップＳ１０１肯定）、アクセス内容からＩＤとパスワードの組を抽出する（ステップＳ１０２）。例えば、抽出部１２ａは、ＨＴＴＰトラフィックの中から特定のフォームフィールドを抽出することで、認証要求からＩＤとパスワードの組を抽出する。
【００５１】
続いて、判定部１２ｂは、抽出部１２ａによって抽出されたＩＤとパスワードの組と一致するものが汚染パスワードリスト記憶部１３ｂに記憶されているか否かを判定する（ステップＳ１０３）。
【００５２】
例えば、判定部１２ｂは、汚染パスワードリスト記憶部１３ｂに記憶されたＩＤとパスワードの組を一つずつ読み出し、抽出部１２ａが抽出したＩＤとパスワードの組と順次照合していき、ＩＤとパスワードの両方が一致する組があるか否かを判定する。
【００５３】
そして、判定部１２ｂにより抽出部１２ａによって抽出されたＩＤとパスワードの組と一致するものが汚染パスワードリスト記憶部１３ｂに記憶されていると判定された場合には（ステップＳ１０３肯定）、アクセス制御部１２ｃは、認証要求を拒否する（ステップＳ１０４）。例えば、アクセス制御部１２ｃは、認証が失敗したものとして、ＷＷＷサーバ２０に対してユーザ端末３０のアクセスを拒否する旨の指示を送信する。
【００５４】
そして、通知部１２ｄは、不正アクセスがあった旨の警告をＷＷＷサーバ２０に通知する（ステップＳ１０５）。例えば、通知部１２ｄは、警告として、「流出したＩＤとパスワードを用いた不正アクセスです」等のメッセージ情報をＷＷＷサーバ２０に通知し、管理者に不正アクセスを報知する。
【００５５】
また、ステップＳ１０３において、判定部１２ｂにより抽出部１２ａによって抽出されたＩＤとパスワードの組と一致するものが汚染パスワードリスト記憶部１３ｂに記憶されていないと判定された場合には（ステップＳ１０３否定）、アクセス制御部１２ｃは、通常処理を継続して行う（ステップＳ１０６）。
【００５６】
つまり、アクセス制御部１２ｃは、通常処理として、認証要求に含まれるＩＤとパスワードの組が、パスワードリスト記憶部１３ａに記憶されるＩＤとパスワードの組と一致するか否かを判定し、一致する場合には、認証が成功したものとして、ＷＷＷサーバ２０に対してユーザ端末３０のアクセスを許可する旨の指示を送信する。
【００５７】
次に、図７を用いて、認証サーバ１０による突合処理の流れを説明する。図７に示すように、認証サーバ１０の判定部１２ｂは、サービス利用開始時、または、汚染パスワードリスト記憶部１３ｂに記憶された汚染パスワードリストの更新要求を受け付けると（ステップＳ２０１肯定）、パスワードリスト記憶部１３ｂに記憶されたパスワードリストと、汚染パスワードリストとの突合処理を行う（ステップＳ２０２）。
【００５８】
そして、判定部１２ｂは、パスワードリストと汚染パスワードリストとで一致するＩＤとパスワードの組があるか判定する（ステップＳ２０３）。例えば、判定部１２ｂは、パスワードリストと汚染パスワードリストとから、ＩＤとパスワードの組を一つずつ取得し、順次一致するか否かを判定する。
【００５９】
この結果、判定部１２ｂがパスワードリストと汚染パスワードリストとで一致するＩＤとパスワードの組があると判定した場合には（ステップＳ２０３肯定）、通知部１２ｄは、一致したＩＤとパスワードの組をＷＷＷサーバ２０に通知する（ステップＳ２０４）。例えば、通知部１２ｄは、外部に流出したＩＤとパスワードの組が、パスワードリストに記憶されている危険性がある旨の警告とともに、一致したＩＤとパスワードの組をＷＷＷサーバ２０に通知する。
【００６０】
また、判定部１２ｂがパスワードリストと汚染パスワードリストとで一致するＩＤとパスワードの組がないと判定した場合には（ステップＳ２０３否定）、通常処理を継続し（ステップＳ２０５）、サービス利用を開始または汚染パスワードリストの更新要求を受け付ける。
【００６１】
[第一の実施形態の効果]
上述してきたように、第一の実施形態に係る認証システム１００では、認証サーバ１０は、外部に流出したＩＤとパスワードの組を記憶する汚染パスワードリスト記憶部１３ｂを有する。そして、認証サーバ１０は、認証要求を受け付けた場合に、該認証要求からＩＤとパスワードの組を抽出する。そして、認証サーバ１０は、汚染パスワードリスト記憶部１３ｂに記憶されたＩＤとパスワードの組のうち、抽出されたＩＤとパスワードの組と一致する組があるか否かを判定し、一致する組があると判定された場合には、ユーザ端末３０のＷＷＷサーバ２０に対するアクセスを中断するように制御する。
【００６２】
これにより、第一の実施形態に係る認証システム１００の認証サーバ１０では、流出したＩＤとＰａｓｓｗｏｒｄのリストが用いられた不正アクセスであっても、適切に不正アクセスを検知することが可能である。つまり、第一の実施形態に係る認証サーバ１０では、外部に流出したＩＤおよびパスワードのリストである汚染パスワードリストを保持しており、汚染パスワードリストに記憶されたＩＤおよびパスワードを用いた認証要求があった場合には、試行回数や試行間隔に関係なく、認証失敗として、アクセスを中断する。
【００６３】
このため、第一の実施形態に係る認証システム１００の認証サーバ１０では、例えば、パスワードリスト攻撃として、「一つのアカウントに対する認証要求が１〜２回しか行われず、通常の利用において生じた認証失敗と見分けがつかないような攻撃」、「時間あたりの認証要求回数を増やさず、長時間にわたって散発的に認証を試行し、通常の利用と見分けがつきづらいような攻撃」、または、「複数のＩＰアドレスを使いソースＩＰアドレスを分散することで、多数の認証要求および認証失敗の痕跡が分散し、通常利用と見分けづらいような攻撃」であっても、パスワードリスト攻撃による不正アクセスを適切に検知し、不正アクセスを防止することが可能である。
【００６４】
［第二の実施形態］
上記した第一の実施形態では、認証システムにおける認証サーバが予め汚染パスワードリストを記憶している場合を例として説明したが、これに限定されるものではなく、他のシステムにおける他のサーバが外部に流出したＩＤとパスワードを収集して、パスワードリストを生成し、認証サーバに配信するようにしてもよい。
【００６５】
以下では、第二の実施の形態として、認証システム１００とは異なる他の通信システム２００の生成サーバ４０が外部に流出したＩＤとパスワードを収集して、パスワードリストを生成し、認証サーバに配信する場合について説明する。なお、第一の実施の形態と同様の構成および処理については説明を省略する。
【００６６】
まず、図８を用いて、第二の実施の形態に係るシステム構成について説明する。図８は、第二の実施形態に係るシステムの構成の一例を示す図である。図８に示すように、認証システム１００と、認証システム１００とは別に存在する通信システム２００とがネットワーク５０を介して接続される。通信システム２００内には、生成サーバ４０が設置されている。
【００６７】
この生成サーバ４０は、生成した汚染パスワードリストを記憶する汚染パスワードリスト記憶部４３ａを有する。また、生成サーバ４０は、ユーザ端末５０Ａ〜５０Ｃ等が接続されているインターネット６０上から外部に漏洩した可能性のある情報を収集し、収集した情報からＩＤとパスワードの組を取得し、汚染パスワードリスト記憶部４３ａに格納する。そして、生成サーバ４０は、汚染パスワードリスト記憶部４３ａに記憶する汚染パスワードリストを認証サーバ１０Ａに配信する。
【００６８】
次に、図９を用いて、生成サーバ４０の構成について説明する。図９は、第二の実施形態に係る生成サーバの構成を示すブロック図である。図９に示すように、生成サーバ４０は、通信処理部４１、制御部４２および記憶部４３を有する。
【００６９】
通信処理部４１は、接続される認証サーバ１０Ａとの間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部４１は、汚染パスワードリスト記憶部４３ａに記憶される汚染パスワードリストを認証サーバ１０Ａに送信する。
【００７０】
記憶部４３は、図９に示すように、汚染パスワードリスト記憶部４３ａを有する。記憶部１３は、例えば、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。なお、汚染パスワードリスト記憶部４３ａに記憶される情報については、前述した汚染パスワードリスト記憶部１３ｂ（図４参照）の例と同様であるため説明を省略する。
【００７１】
制御部４２は、収集部４２ａ、分析部４２ｂ、解読部４２ｃおよび配信部４２ｄを有する。ここで、制御部４２は、ＣＰＵ（Central  Processing  Unit）やＭＰＵ（Micro  Processing  Unit）などの電子回路やＡＳＩＣ（Application  Specific  Integrated  Circuit）やＦＰＧＡ（Field  Programmable  Gate  Array）などの集積回路である。
【００７２】
収集部４２ａは、外部に流出した可能性のある情報を収集する。例えば、収集部４２ａは、ミニブログ等（例えば、Ｔｗｉｔｔｅｒ（登録商標））における発言がハッシュタグ等によりグループ化されているものをウオッチしており、発言がある度に、発言内にあるＵＲＬをチェックし、情報漏洩したであろうデータ（例えば、テキストデータ）を取得し、分析部４２ｂに通知する。
【００７３】
分析部４２ｂは、収集部４２ａによって収集された情報から所定のフォーマットを用いて、ＩＤとパスワードとの組を取得する。例えば、分析部４２ｂは、収集部４２ａからテキストデータを受信すると、該テキストデータが、テンプレートの形式にあうかどうかを確認する。
【００７４】
そして、分析部４２ｂは、あらかじめ用意されたフォーマットに対応するテンプレートが存在する場合は、得られたテキストデータの中から、ＩＤとパスワードを抽出し、汚染パスワードリスト記憶部４３ａに記憶する。このテンプレートは、あらかじめいくつかのフォーマットに対応したものとして用意されたものであって、それぞれＩＤやパスワードのフォーマットを予期したものとなっており、例えば、スペースの区切りやカンマの区切り等により、ＩＤとパスワードを特定することができるものである。
【００７５】
また、分析部４２ｂは、収集部４２ａによって収集された情報から所定のフォーマットを用いて、ＩＤとパスワードとの組とともに、ＩＤとパスワードが利用されている地理情報である国名を取得する。
【００７６】
解読部４２ｃは、分析部４２ｂによって取得されたパスワードが暗号化されている場合には、該パスワードを解読する。ここで、解読部４２ｃは、例えば、既存のＧＰＧＰＵ等の解析ツールを用いて解析を行う。
【００７７】
配信部４２ｄは、分析部４２ｂによって取得されたＩＤとパスワードとの組を認証サーバ１０Ａに配信する。具体的には、配信部４２ｄは、汚染パスワードリスト記憶部４３ａに記憶された汚染パスワードリストを読み出し、認証サーバ１０Ａに配信する。また、配信部４２ｄは、取得されたＩＤとパスワードとの組を、国名に対応する場所で利用される認証サーバ１０Ａに配信する。なお、国名が不明である場合には、全ての認証サーバ１０Ａに汚染パスワードリストを配信する。
【００７８】
次に、図１０を用いて、第二の実施形態に係る認証サーバ１０Ａの構成を説明する。図１０は、第二の実施形態に係る認証サーバの構成を示すブロック図である。図１０に示すように、第二の実施形態に係る認証サーバ１０Ａは、第一の実施形態に係る認証サーバ１０と比較して、格納部１２ｅを有する点が相違する。
【００７９】
格納部１２ｅは、生成サーバ４０の配信部４２ｄによって配信された識別子と認証情報との組を汚染パスワードリスト記憶部１３ｂに格納する。これにより、認証サーバ１０Ａは、常に最新の汚染パスワードリストを保持することなり、最新の汚染パスワードリストを用いて認証処理を行うため、より精度の高い認証処理を行うことが可能となる。
【００８０】
次に、図１１を用いて、第二の実施形態に係る生成サーバ４０におけるリスト生成処理の一例について説明する。図１１は、第二の実施形態に係る生成サーバにおけるリスト生成処理の流れを説明するためのフローチャートである。
【００８１】
図１１に示すように、生成サーバ４０の収集部４２ａは、ミニブログ等における特定のグループにおける発言にあるＵＲＬを巡回し、情報漏洩した可能性のある情報（例えば、テキストデータ）を取得する（ステップＳ３０１）。
【００８２】
そして、分析部４２ｂは、収集部４２ａからテキストデータを受信すると、該テキストデータが、テンプレートの形式にあうかどうかを判定する（ステップＳ３０２）。この結果、分析部４２ｂは、テンプレートの形式に合う場合には（ステップＳ３０２肯定）、テンプレートに従い、ＩＤおよびパスワードを抜き出す（ステップＳ３０３）。
【００８３】
そして、解読部４２ｃは、パスワードが暗号化されている場合には、該パスワードを解読し（ステップＳ３０４）、ＩＤおよびパスワードを汚染パスワードリストに蓄積する（ステップＳ３０５）。その後、利用先の国名なども考慮して、汚染パスワードリストを認証サーバ１０Ａに配信する（ステップＳ３０６）。例えば、配信部４２ｄは、取得されたＩＤとパスワードとの組を、国名に対応する場所で利用される認証サーバ１０Ａに配信する。なお、国名が不明である場合には、全ての配信サーバ１０Ａに汚染パスワードリストを配信する。なお、配信サーバ１０Ａの格納部１２ｅは、生成サーバ４０の配信部４２ｄによって配信された識別子と認証情報との組を汚染パスワードリスト記憶部１３ｂに格納する。
【００８４】
このように、第二の実施形態に係るシステムでは、認証サーバ１０Ａが、常に最新の汚染パスワードリストを保持することなり、最新の汚染パスワードリストを用いて認証処理を行うことができる結果、より精度の高い認証処理を行うことが可能となる。
【００８５】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、判定部１２ｂとアクセス制御部１２ｃとを統合してもよい。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００８６】
また、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００８７】
また、上記した抽出部１２ａ、判定部１２ｂ、アクセス制御部１２ｃおよび通知部１２ｄと同様の機能をＷＷＷサーバ２０が有していてもよいし、ＷＡＦ（Web  Application  Firewall）などの別装置が有してもよい。
【００８８】
［プログラム］
また、上記実施形態において説明した認証サーバが実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第一の実施形態に係る認証サーバ１０が実行する処理をコンピュータが実行可能な言語で記述した認証プログラムを作成することもできる。この場合、コンピュータが認証プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる認証プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録され認証プログラムをコンピュータに読み込ませて実行することにより上記第一の実施形態と同様の処理を実現してもよい。以下に、図２に示した認証サーバ１０と同様の機能を実現する認証プログラムを実行するコンピュータの一例を説明する。
【００８９】
図１２は、認証プログラムを実行するコンピュータ１０００を示す図である。図１２に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【００９０】
メモリ１０１０は、図１２に例示するように、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１２に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１２に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図１２に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１２に例示するように、例えばディスプレイ１１３０に接続される。
【００９１】
ここで、図１２に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の認証プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。
【００９２】
また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
【００９３】
なお、認証プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、認証プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００９４】
１０、１０Ａ  認証サーバ
１１、４１  通信処理部
１２、４２  制御部
１２ａ  抽出部
１２ｂ  判定部
１２ｃ  アクセス制御部
１２ｄ  通知部
１２ｅ  格納部
１３、４３  記憶部
１３ａ  パスワードリスト記憶部
１３ｂ、４３ａ  汚染パスワードリスト記憶部
２０Ａ〜２０Ｃ  ＷＷＷサーバ
３０Ａ〜３０Ｃ  ユーザ端末
１００  認証システム
【図１】
2015103090.tif 000003
【図２】
2015103090.tif 000004
【図３】
2015103090.tif 000005
【図４】
2015103090.tif 000006
【図５】
2015103090.tif 000007
【図６】
2015103090.tif 000008
【図７】
2015103090.tif 000009
【図８】
2015103090.tif 000010
【図９】
2015103090.tif 000011
【図１０】
2015103090.tif 000012
【図１１】
2015103090.tif 000013
【図１２】
2015103090.tif 000014