專利名稱：訪問控制系統(tǒng)、認證服務器系統(tǒng)及訪問控制程序的制作方法
技術領域：
本發(fā)明涉及訪問控制系統(tǒng)、認證服務器系統(tǒng)及訪問控制程序，特別是適用于通過采用了 ID和口令的認證處理來進行從用戶終端向信息通信服務提供用的網(wǎng)絡訪問的訪問控制的系統(tǒng)。
背景技術：
以往，在網(wǎng)上銀行這樣的信息通信服務中，為了僅針對正當用戶許可用于服務利用的訪問，進行用于確認欲接受服務的實體是否是正當本人的認證。為此一般大多數(shù)情況下進行采用了 ID和口令等、用于確認本人身份的信息的認證。但是，盜用他人的ID和口令，假裝本人來利用信息通信服務的被稱為“電子欺騙”的不當行為正在橫行。當受到了電子 欺騙時，被電子欺騙的本人會遭受到收到針對沒有記憶的服務利用的核款、或者被盜取只有本人知道的機密信息或個人信息等的損失。對此，提供了一種通過采用僅使用于一次認證中的一次性的一次性口令來處理電子欺騙問題的方法(例如，參照專利文獻I)。如果為一次性口令，則由于不會重復使用，且在正當?shù)谋救耸褂弥笞優(yōu)闊o效，所以即使萬一被第三者盜用，也能保持高的安全性。但是，即使采用了一次性口令，也無法防止以所謂的網(wǎng)絡釣魚的方式不當獲得一次性口令的來自惡意第三者的電子欺騙。網(wǎng)絡釣魚是指，將用戶誘導至假冒網(wǎng)站，將在此輸入的ID和口令中繼至正規(guī)網(wǎng)站的方法。進行網(wǎng)絡釣魚的第三者，使正當用戶將現(xiàn)階段有效的一次性口令在假冒網(wǎng)站輸入，并將其使用于正規(guī)網(wǎng)站。因此，在正規(guī)網(wǎng)站中僅進行一次認證，即使使用一次性口令也有可能被電子欺騙。另一方面，還提出了一種除了 ID和口令之外，還采用本人使用的用戶終端所固有的IP地址進行認證來防止電子欺騙的方法(例如，參照專利文獻2)。在該專利文獻2記載的發(fā)明中，具備在與認證服務器之間進行網(wǎng)絡連接的認證的供應商的網(wǎng)關裝置；和在與認證服務器之間進行服務利用的認證的Web服務器。并且，在最初的網(wǎng)絡連接的認證時網(wǎng)關裝置從數(shù)據(jù)包中提取用戶終端的IP地址并將其存儲于認證服務器中，在之后的服務利用的認證時Web服務器從數(shù)據(jù)包中提取IP地址，通過判定與認證服務器中所存儲的IP地址的一致性來確認本人身份。專利文獻I :日本特許第3595109號公報專利文獻2 :日本特開2006-113624號公報

發(fā)明內容
但是，在專利文獻2所記載的發(fā)明中，需要在與提供信息通信服務的Web服務器不同的供應商的網(wǎng)關裝置中，設置用于從數(shù)據(jù)包中提取IP地址并將其存儲于認證服務器中的構造。即、僅由信息通信服務的提供者無法組成訪問控制的系統(tǒng)，因而存在著需要得到供應商的協(xié)作而在網(wǎng)關裝置中也設置特別構造的問題。另外，在專利文獻2所記載的發(fā)明中，也存在無法防止以網(wǎng)絡釣魚的方式不當?shù)孬@得ID、口令和IP地址的來自惡意第三者的電子欺騙的問題。即、通過將用戶誘導至假冒網(wǎng)站來提取IP地址，并且盜用在該假冒網(wǎng)站中輸入的ID和口令，由此即使是采用了 IP地址的認證，也可以冒充本人而獲得服務利用的許可。本發(fā)明是為了解決這種問題而完成的，其目的在于不需要獲得供應商的系統(tǒng)構成的協(xié)作也能夠可靠地防止基于電子欺騙的不當訪問。為了解決上述的課題，在本發(fā)明中，通過信息通信服務提供者的認證服務器系統(tǒng)和信息通信服務利用者的用戶終端構成訪問控制系統(tǒng)，并通過這兩者之間的通信進行以下的認證處理。即、以數(shù)據(jù)包的形式從用戶終端向認證服務器系統(tǒng)發(fā)送認證信息，此時提取數(shù)據(jù)包發(fā)送源終端的地址信息。然后，認證服務器系統(tǒng)基于認證信息進行預認證，并在預認證成功的情況下，將數(shù)據(jù)包發(fā)送源終端的地址信息與認證信息對應起來存儲于地址表。然后，用戶終端再次向認證服務器系統(tǒng)發(fā)送認證信息。認證服務器系統(tǒng)判定再次提取出的數(shù)據(jù)包發(fā)送源終端的地址信息和存儲于地址表的地址信息是否一致，在判定出一致的情況下，基于再次發(fā)送的認證信息進行正式認證。
在本發(fā)明的另一方式中，通過一次性口令構成從用戶終端向認證服務器系統(tǒng)發(fā)送的認證信息。在本發(fā)明的又一方式中，在由用戶終端生成了一次性口令時，自動地指定預先決定的發(fā)送目標地址，為了預認證發(fā)送包括一次性口令的認證信息。根據(jù)采用了上述構成的本發(fā)明，因為供應商的網(wǎng)關裝置不參與向信息通信服務的訪問控制用的一連串認證處理，所以無需獲得供應商的協(xié)作并在網(wǎng)關裝置中設置特別的構造。因此，僅由信息通信服務提供者就能組成訪問控制用的系統(tǒng)。另外，根據(jù)本發(fā)明，從用戶終端向認證服務器系統(tǒng)發(fā)送認證信息而進行兩次認證(預認證和正式認證)，在第2次的正式認證時也進行數(shù)據(jù)包發(fā)送源終端的地址信息的一致判定。因此，即使在正當用戶欲進行正式認證時第三者通過釣魚行為不當?shù)孬@得認證信息，并且為了進行正式認證而從第三者的終端向認證服務器系統(tǒng)發(fā)送了認證信息，由于第三者的終端的地址信息未注冊于認證服務器系統(tǒng)，所以認證不會成功。由此，能夠可靠地防止采用了釣魚行為的來自惡意第三者的電子欺騙。另外，在作為從用戶終端向認證服務器系統(tǒng)發(fā)送的認證信息而采用了一次性口令的情況下，假設第三者獲知預認證的構造，欲利用通過上述的釣魚行為竊取到的認證信息先接受預認證，認證也不會成功。即、由于在通過釣魚行為被竊取認證信息之前，正當用戶已經(jīng)進行了采用一次性口令的預認證，因此第三者的預認證成為第二次的認證而認證失敗。因此，由于第三者的終端的地址信息未注冊于認證服務器系統(tǒng)，所以即使之后欲接受正式認證也會失敗。由此，能夠進一步可靠地防止采用了釣魚行為的來自惡意第三者的電子欺騙。進而，在預認證時從用戶終端向認證服務器系統(tǒng)自動地進行地址指定，并發(fā)送基于一次性口令的認證信息的情況下，在預認證時用戶不會被誘導至假冒網(wǎng)站。因此，有可能通過通信路上的監(jiān)聽而竊取認證信息，但是即使通過監(jiān)聽而竊取了認證信息，正當用戶發(fā)送的認證信息也會原封不動地發(fā)送至認證服務器系統(tǒng)，并接受基于一次性口令的第I次的預認證。由此，即使之后第三者將相同的認證信息發(fā)送至認證服務器系統(tǒng)，因為此認證成為基于一次性口令的第2次認證而認證失敗，第三者的終端的地址信息不會被注冊。由此，也能夠可靠地防止采用了通信路上的竊聽的基于電子欺騙的不當訪問。


圖I是表示本實施方式涉及的訪問控制系統(tǒng)的整體構成例的框圖。圖2是表示本實施方式涉及的訪問控制系統(tǒng)的功能構成例的框圖。圖3是表示本實施方式的IP地址表的構成例的圖。圖4是表示本實施方式涉及的訪問控制系統(tǒng)的預認證時的動作例的流程圖。圖5是表示本實施方式涉及的訪問控制系統(tǒng)的正式認證時的動作例的流程圖。
具體實施例方式以下，根據(jù)

本發(fā)明的一實施方式。圖I是表示本實施方式涉及的訪問控制系統(tǒng)的整體構成例的框圖。圖2是表示本實施方式涉及的訪問控制系統(tǒng)的功能構成例的框圖。如圖I所示，本實施方式的訪問控制系統(tǒng)100是經(jīng)由因特網(wǎng)等的通信網(wǎng)絡連接信息通信服務提供者的認證服務器系統(tǒng)I和信息通信服務利用者的用戶終端2而構成。認證服務器系統(tǒng)I具備服務提供服務器11，其進行信息通信服務的提供；認證服務器12，其進行用于確認向服務提供服務器11訪問的訪問者是否為正當用戶的認證；和中間服務器13，其配置于該認證服務器12與用戶終端2之間。用戶終端2是接受例如網(wǎng)上銀行這樣的信息通信服務的用戶的終端，其由個人計算機等構成。用戶終端2通過因特網(wǎng)等的外部網(wǎng)絡3分別與服務提供服務器11和中間服務器13連接,在與它們之間進行基于SSL (Secure Socket Layer、安全套接層)的加密通 目。服務提供服務器11、認證服務器12及中間服務器13是信息通信服務提供者(銀行等)的設備，分別通過信息通信服務提供者的內部網(wǎng)絡4進行連接。在本實施方式中，月艮務提供服務器11是指為了提供信息通信服務所需的多個服務器組，實際上包括Web服務器、應用服務器、數(shù)據(jù)庫服務器等。另外，雖然未圖示，但是通常認證服務器12通過防火墻(限制內部網(wǎng)絡4與外部網(wǎng)絡3之間的通信，維持與內部網(wǎng)絡4連接的計算機安全的構造)來防御外部網(wǎng)路3，用戶終端2無法與認證服務器12直接通信。因此，在本實施方式中，用戶終端2構成為經(jīng)由服務提供服務器11或者經(jīng)由中間服務器13與認證服務器12進行通信。在因特網(wǎng)等的網(wǎng)絡通信中，在多個計算機中共有一條線路，將數(shù)據(jù)劃分成數(shù)據(jù)包來進行通信。將此通信稱為數(shù)據(jù)包通信。在各數(shù)據(jù)包中附加有表示發(fā)送源和發(fā)送目標的地址信息，不會在與共有線路的其他計算機之間引起數(shù)據(jù)的獲取錯誤。在因特網(wǎng)中通用的通信協(xié)議中，作為表示網(wǎng)絡上位置的信息的IP地址被作為表示發(fā)送源和發(fā)送目標的地址信息而使用。在本實施方式中，除了驗證包括識別信息通信服務利用者的ID(以下稱為用戶ID)和口令的認證信息之外，還通過驗證數(shù)據(jù)包發(fā)送源(用戶終端2)的IP地址來檢測“電子欺騙”。另外，在本實施方式中，作為口令而采用一次性口令。
如圖2所示，用戶終端2具備預認證控制部21、正式認證控制部22及一次性口令生成部23。一次性口令生成部23在根據(jù)用戶的指示被起動時，自動地生成一次性口令并供給至預認證控制部21。在此，也可以通過公知的方法生成一次性口令。作為一例，利用對應于用戶ID而預先決定的種類信息和在每次生成一次性口令時變動的變動信息,按照規(guī)定的規(guī)則生成一次性口令。另外，用戶ID和種類信息是在用戶對認證服務器12設定賬戶時預先注冊的。預 認證控制部21保持有中間服務器13的IP地址(認證服務器系統(tǒng)I的預先決定的發(fā)送目標地址)，利用該IP地址確立與中間服務器13的通信并發(fā)送用戶的認證信息(用戶ID及通過一次性口令生成部23生成的一次性口令)。具體而言，預認證控制部21在產(chǎn)生了認證請求時，通過數(shù)據(jù)包通信向中間服務器13的IP地址發(fā)送用戶固有的認證信息。這里的認證請求在通過一次性口令生成部23生成了一次性口令之后不久作為預認證控制部21的功能而自動產(chǎn)生。正式認證控制部22包括Web瀏覽器的功能，其保持有服務提供服務器11的IP地址(認證服務器系統(tǒng)I的預先決定的發(fā)送目標地址)。正式認證控制部22在產(chǎn)生了認證請求時，通過數(shù)據(jù)包通信向服務提供服務器11的IP地址發(fā)送與預認證控制部21向中間服務器13的IP地址發(fā)送的信息相同的認證信息。這里的認證請求在響應于預認證控制部21發(fā)送認證信息的情況而從認證服務器12發(fā)送來認證成功的通知之后(在后述的預認證成功后)，在用戶自身啟動Web瀏覽器而向服務提供服務器11訪問之時產(chǎn)生。中間服務器13具備認證請求部131和數(shù)據(jù)包解析部132。認證請求部131在通過數(shù)據(jù)包通信從用戶終端2的預認證控制部21接收了認證信息之時，將該認證信息發(fā)送至認證服務器12而進行認證請求。數(shù)據(jù)包解析部132解析認證請求部131接收到的通信數(shù)據(jù)包，并提取認證信息和用戶終端2的IP地址(相當于數(shù)據(jù)包發(fā)送源終端的地址信息)。上述的認證請求部131將IP地址(以下稱為第I發(fā)送源IP地址)與認證信息一起向認證服務器12發(fā)送。認證服務器12具備預認證處理部121、存儲處理部122、IP地址表123 (相當于本發(fā)明的地址表)、預認證結果通知部124、地址判定部125、正式認證處理部126、正式認證結果通知部127及認證數(shù)據(jù)庫128。預認證處理部121經(jīng)由中間服務器13接收從用戶終端2的預認證控制部21發(fā)送來的認證信息，并基于該接收到的認證信息進行預認證。例如，預認證處理部121利用接收到的認證信息中包含的對應于用戶ID而預先決定的種類信息和在每次生成一次性口令時變動的變動信息，按照規(guī)定的規(guī)則生成一次性口令。這里使用的變動信息按照與一次性口令生成部23生成一次性口令時所使用的信息相同的方式取得同步。然后，預認證處理部121檢查自身生成的一次性口令和從中間服務器13接收到的認證信息中包含的一次性口令是否相同。若口令相同則認證成功，若不相同則認證失敗。在本實施方式中采用的口令是一次性口令。因此，在預認證成功一次之后，在經(jīng)由中間服務器13以相同的認證信息(用戶ID及一次性口令)送來了認證請求時，預認證處理部121中的預認證失敗。另外，如后所述，在之后進行正式認證時也使用一次性口令。因此，在預認證成功時，預認證處理部121將該一次性口令預先注冊于認證數(shù)據(jù)庫128。預認證處理部121針對從中間服務器13接收到的一次性口令，通過觀看在認證數(shù)據(jù)庫128中是否注冊有相同的一次性口令來判定是否已經(jīng)進行了預認證，在已經(jīng)進行了預認證的情況下將本次(第2次以后)的預認證設為失敗。存儲處理部122在利用預認證處理部121進行的預認證成功的情況下，將由認證請求部131發(fā)送的第I發(fā)送源IP地址(即、通過數(shù)據(jù)包解析部132由從預認證控制部21發(fā)送的數(shù)據(jù)包所提取的第I發(fā)送源IP地址)與由該數(shù)據(jù)包所提取的認證信息對應起來存儲于IP地址表123。圖3是表示IP地址表123的構成例的圖。如圖3所示，IP地址表123構成為將作為認證信息的用戶ID及一次性口令與IP地址對應起來進行存儲。在用戶ID及一次性口令的項目中，存儲有通過數(shù)據(jù)包解析部132由從預認證控制部21發(fā)送的數(shù)據(jù)包所提取的認證信息。另外，在IP地址的項目中，存儲有通過數(shù)據(jù)包解析部132由相同的數(shù)據(jù)包所提取的第I發(fā)送源IP地址。預認證結果通知部124經(jīng)由中間服務器13向用戶終端2通知利用預認證處理部121進行的預認證的成功與否(認證成功或者認證失敗)。具體而言，預認證結果通知部 124向中間服務器13的認證請求部131通知利用預認證處理部121進行的預認證的成功與否。認證請求部131將從預認證結果通知部124接受到的通知轉送至用戶終端2的預認證控制部21。接受了該通知的預認證控制部21，例如將認證成功或者失敗的情況顯示于用戶終端2的顯示裝置(未圖示)的畫面上，并結束預認證處理。在首先說明了服務提供服務器11的構成之后再說明認證服務器12的余下構成(地址判定部125、正式認證處理部126及正式認證結果通知部127)。服務提供服務器11具備服務提供部111、認證請求部112及數(shù)據(jù)包解析部113。在正式認證被許可的情況下，服務提供部111向用戶終端2提供網(wǎng)上銀行等的信息通信服務。在提供服務之前的正式認證執(zhí)行時，當接收到從用戶終端2的正式認證控制部22發(fā)送來的數(shù)據(jù)包時，服務提供部111將該數(shù)據(jù)包轉送至認證請求部112。在認證請求部112從服務提供部111接收了數(shù)據(jù)包時，數(shù)據(jù)包解析部113解析認證請求部112接收到的數(shù)據(jù)包，并提取認證信息(與預認證時相同的信息)和用戶終端2的IP地址(相當于數(shù)據(jù)包發(fā)送源終端的地址信息。以下將其稱為第2發(fā)送源IP地址)。認證請求部112將通過數(shù)據(jù)包解析部113所提取的認證信息和第2發(fā)送源IP地址發(fā)送至認證服務器12而進行認證請求。認證服務器12的地址判定部125判定從認證請求部112發(fā)送來的第2發(fā)送源IP地址(即、通過數(shù)據(jù)包解析部113由從正式認證控制部22向服務提供服務器11發(fā)送的數(shù)據(jù)包所提取的第2發(fā)送源IP地址)和與從該數(shù)據(jù)包所提取的認證信息對應起來存儲于IP地址表123的地址信息(第I發(fā)送源IP地址)是否一致。在此，若地址信息不一致則認證失敗。在通過地址判定部125判定為地址信息一致的情況下，正式認證處理部126基于從正式認證控制部22向服務提供服務器11發(fā)送并轉送至正式認證處理部126的認證信息，進行正式認證。例如，正式認證處理部126將從服務提供服務器11接收到的認證信息中包含的用戶ID作為密鑰(key)而參照認證數(shù)據(jù)庫128，檢查認證數(shù)據(jù)庫128上的一次性口令和從服務提供服務器11接收到的認證信息中包含的一次性口令是否相同。若口令相同則認證成功，若不相同則認證失敗。如上所述，雖然在本實施方式中采用一次性口令，但是按照在預認證和正式認證中相同的一次性口令各有效一次的方式進行管理。即、在預認證中使用一次的認證信息在預認證中不能再次使用，但是在正式認證中仍然有效。一次性口令在預認證和正式認證的雙方結束時完全無效。為了使一次性口令完全無效，正式認證處理部126在正式認證成功之后從認證數(shù)據(jù)庫128中刪除一次性口令。正式認證結果通知部127經(jīng)由服務提供服務器11向用戶終端2通知利用地址判定部125及正式認證處理部126進行的正式認證的成功與否。具體而言，正式認證結果通知部127將利用地址判定部125進行的地址信息的一致判定的結果或者利用正式認證處理部126進行的認證的結果作為正式認證的成功與否，通知給服務提供服務器11的認證請求部112。認證請求部112經(jīng)由服務提供部111將從正式認證結果通知部127接受到的通知轉送至用戶終端2的正式認證控制部22。在被通知了正式認證失敗的情況下，正式認證控制部22例如將認證失敗的情況顯示于用戶終端2的顯示裝置(未圖示)的畫面上，并結束認證處理。另一方面，在向正式認證控制部22通知了正式認證成功的情況下，在其之后用戶終端2處于能夠通過服務提供 服務器11的服務提供部111接受信息通信服務的狀態(tài)。以上所說明的本實施方式涉及的認證服務器系統(tǒng)I的功能構成及用戶終端2的功能構成也可以通過硬件、DSP (digital signal processor、數(shù)字信號處理器)、軟件的任意一種來實現(xiàn)。例如，在通過軟件實現(xiàn)的情況下，本實施方式的認證服務器系統(tǒng)I及用戶終端2實際上具備計算機的CPU (中央處理器)或者MPU (微處理器)、RAM(隨機存取存儲器)、ROM(只讀存儲器)等而構成，并能夠通過RAM或ROM中存儲的程序進行動作而實現(xiàn)。因此，能夠通過將使計算機以發(fā)揮上述本實施方式的功能的方式動作的程序記錄于例如⑶-R0M(只讀光盤存儲器)這樣的記錄介質，并讀入認證服務器系統(tǒng)I或用戶終端2的計算機而實現(xiàn)。作為記錄上述程序的記錄介質，除了⑶-ROM以外，還能夠采用軟盤、硬盤、磁帶、光盤、光磁盤、DVD、非易失性存儲卡等。另外，也可以通過將上述程序經(jīng)由因特網(wǎng)等的網(wǎng)絡下載于計算機中而實現(xiàn)。例如，用戶終端2的程序也可以從認證服務器系統(tǒng)I下載。接著，說明如上構成的本實施方式涉及的訪問控制系統(tǒng)的動作。圖4是表示本實施方式涉及的訪問控制系統(tǒng)的預認證時的動作例的流程圖。圖5是表示本實施方式涉及的訪問控制系統(tǒng)的正式認證時的動作例的流程圖。首先，說明預認證時的動作。在圖4中，首先，用戶終端2的一次性口令生成部23在根據(jù)用戶的指示被起動時，自動地生成一次性口令(步驟SI)。然后，預認證控制部21向中間服務器13發(fā)送認證信息(用戶ID及通過一次性口令生成部23生成的一次性口令)(步驟S2)。當中間服務器13的認證請求部131從用戶終端2接收到認證信息的通信數(shù)據(jù)包時，數(shù)據(jù)包解析部132解析該通信數(shù)據(jù)包，并提取認證信息及第I發(fā)送源IP地址(步驟S3)。然后，認證請求部131向認證服務器12發(fā)送通過數(shù)據(jù)包解析部132所提取的認證信息和第I發(fā)送源IP地址而進行認證請求(步驟S4)。當從中間服務器13接收認證信息時，認證服務器12的預認證處理部121基于該接收到的認證信息進行預認證(步驟S5)。在此，若利用從中間服務器13接收到的認證信息中包含的一次性口令進行的認證為第一次認證、并且該一次性口令和通過預認證處理部121利用與一次性口令生成部23相同的信息以相同的方法所生成的一次性口令相同，則認證成功。另一方面，在利用一次性口令進行的認證為第2次以后的認證的情況下、或者如上所述比較的一次性口令不相同的情況下，認證失敗。預認證處理部121判定預認證是否成功(步驟S6)，在判定為認證成功的情況下，將一次性口令注冊于認證數(shù)據(jù)庫128，并且向存儲處理部122及預認證結果通知部124通知認證成功。另一方面，在判定為認證失敗的情況下，預認證處理部121向預認證結果通知部124通知認證失敗。存儲處理部122從預認證處理部121接受認證成功的通知后，將第I發(fā)送源IP地址與預認證中使用的認證信息對應起來存儲于IP地址表123 (步驟S7)。如上所述，之后預認證處理部121將利用來自中間服務器13的相同的認證信息進行的認證請求(預認證)的結果都設為失敗。另外，在預認證失敗的情況下，不進行通過存儲處理部122的步驟S7的處理。預認證結果通知部124從預認證處理部121接受認證成功或者認證失敗的通知，并將該認證結果發(fā)送至中間服務器13(步驟S8)。另外，中間服務器13向用戶終端2發(fā)送 從預認證結果通知部124收到的認證結果(步驟S9)。在這樣從認證服務器12經(jīng)由中間服務器13收到預認證結果的通知的用戶終端2中，預認證處理部121將預認證成功或者失敗的情況顯示于用戶終端2的顯示裝置(未圖示)的畫面上(步驟S10)，并結束預認證處理。接著，說明正式認證的動作。在圖5中，首先，用戶終端2的正式認證控制部22利用Web瀏覽器的功能訪問服務提供服務器11，并在用戶終端2的顯示裝置(未圖示)上顯示認證畫面。然后，當用戶終端2的用戶從認證畫面輸入認證信息(與預認證時相同的用戶ID及一次性口令)并按壓發(fā)送按鈕時，正式認證控制部22向服務提供服務器11發(fā)送該輸入的認證信息(步驟S21)。當服務提供服務器11的服務提供部111從用戶終端2接收到認證信息的通信數(shù)據(jù)包時，數(shù)據(jù)包解析部113解析該通信數(shù)據(jù)包，并提取認證信息及第2發(fā)送源IP地址(步驟S22)。然后，認證請求部112向認證服務器12發(fā)送通過數(shù)據(jù)包解析部113所提取的認證信息和第2發(fā)送源IP地址而進行認證請求(步驟S23)。當在認證服務器12中從服務提供服務器11接收到認證信息時，地址判定部125比較從服務提供服務器11發(fā)送來的第2發(fā)送源IP地址和與從服務提供服務器11發(fā)送來的認證信息對應起來存儲于IP地址表123的第I發(fā)送源IP地址(步驟S24)，判定兩者是否一致(步驟S25)。具體而言，地址判定部125將認證信息中包含的用戶ID作為密鑰，參照IP地址表123。然后，在IP地址表123中沒有與該用戶ID符合的記錄的情況下，視作未進行預認證，從而認證失敗。如果有與用戶ID符合的記錄，則地址判定部125比較在該記錄中存儲的第I發(fā)送源IP地址和從服務提供服務器11發(fā)送來的第2發(fā)送源IP地址，在兩者不一致的情況下認證失敗。在認證失敗的情況下，地址判定部125通知正式認證結果通知部127認證失敗。另一方面，在第I發(fā)送源IP地址和第2發(fā)送源IP地址一致的情況下，地址判定部125將該情況通知給正式認證處理部126。正式認證處理部126接受該通知，并基于從服務提供服務器11接收到的認證信息進行正式認證(步驟S26)。另外，在步驟S25的地址一致判定中判斷為認證失敗的情況下，不進行正式認證。
正式認證處理部126判定正式認證是否成功(步驟S27)。然后，在判定為認證成功的情況下，通知正式認證結果通知部127認證成功，并且使一次性口令無效化(步驟S28)。一次性口令的無效化例如是通過從認證數(shù)據(jù)庫128中刪除一次性口令并且從IP地址表123中刪除在預認證中記錄的相應用戶 ID的記錄而進行的。另一方面，在判定為認證失敗的情況下，正式認證處理部126通知正式認證結果通知部127認證失敗。另外，在正式認證失敗的情況下，不進行步驟S28的處理。正式認證結果通知部127從地址判定部125接受認證失敗的通知，或者從正式認證處理部126接受認證成功或認證失敗的通知，并向服務提供服務器11發(fā)送該認證結果(步驟S 29)。另外，服務提供服務器11向用戶終端2發(fā)送從正式認證結果通知部127收到的認證結果(步驟S30)。在這樣從認證服務器12經(jīng)由服務提供服務器11接收到正式認證結果的通知的用戶終端2中，正式認證控制部22將正式認證成功或者失敗的情況顯示于用戶終端2的顯示裝置(未圖示)的畫面上(步驟S31)，并結束正式認證處理。在此，在正式認證成功的情況下，服務提供服務器11許可之后來自用戶終端2的訪問。如以上詳細的說明，在本實施方式中，通過信息通信服務提供者的認證服務器系統(tǒng)I和信息通信服務利用者的用戶終端2構成訪問控制系統(tǒng)，并通過這兩者之間的通信來進行認證處理。即、因為供應商的網(wǎng)關裝置不參與向信息通信服務的訪問控制用的一連串認證處理，所以無需獲得供應商的協(xié)作并在網(wǎng)關裝置中設置特別的構造。因此，僅由信息通信服務提供者就能夠組成訪問控制用的系統(tǒng)。另外，在本實施方式中，從用戶終端2向認證服務器12發(fā)送相同的認證信息而進行2次的認證(預認證及正式認證)，并在進行第2次的正式認證時也進行表示認證信息的發(fā)送源終端的IP地址的一致判定。由此，能夠可靠地防止采用了釣魚行為的來自惡意第三者的電子欺騙。S卩、在正當用戶欲進行正式認證時，惡意的第三者通過向假冒網(wǎng)站的誘導來竊取認證信息，并從第三者的終端向服務提供服務器11發(fā)送認證信息來嘗試正式認證。此時，當正當用戶未進行正式認證時，一次性口令在正式認證中仍然有效，因此若沒有IP地址的一致判定則第三者的認證會成功。這就是通常的網(wǎng)絡釣魚。但是，在本實施方式中，在正式認證時也進行IP地址的比較。這種情況下，因為第三者的終端的IP地址未注冊于IP地址表123，所以認證失敗。由此，能夠可靠地防止采用了釣魚行為的來自惡意第三者的電子欺騙。萬一第三者獲知中間服務器13的存在和預認證的構造，為了將第三者的終端的IP地址注冊于認證服務器12，將通過向假冒網(wǎng)站的誘導而竊取到的認證信息最初發(fā)送至中間服務器13。即使在這種情況下，因為正當用戶的預認證已經(jīng)進行，關于預認證而言一次性口令已經(jīng)變?yōu)闊o效，所以認證失敗，第三者的IP地址不會注冊于IP地址表123。但是，認證信息的竊取不僅限于向假冒網(wǎng)站誘導的釣魚行為，也存在通過在正當用戶進行預認證時從用戶終端2向中間服務器13訪問的通信路上的竊聽而進行的情況。即使第三者通過通信路上的竊聽而竊取了認證信息，正當用戶發(fā)送的認證信息也會原封不動地發(fā)送至認證服務器12，并接受第I次的預認證。在本實施方式中作為認證信息而采用了一次性口令，因此即使之后第三者向中間服務器13發(fā)送相同的認證信息，由于該認證成為第2次的預認證，所以認證失敗。由此，也能夠可靠地防止基于采用了通信路上的竊聽的電子欺騙的不當訪問。另外，若第三者先于正當用戶向中間服務器13發(fā)送認證信息，則第三者會接受預認證。但是，由于從用戶終端2向中間服務器13的連接是自動進行的，所以在預認證時用戶不會被誘導至假冒網(wǎng)站。由此，正當用戶發(fā)送的認證信息不可能以不到達中間服務器13的方式被竊取。有可能通過從用戶終端2向中間服務器13的通信路上監(jiān)聽發(fā)送內容而被竊取，但是如上所述，事實上在通信路上監(jiān)聽了認證信息的第三者不可能先于正當用戶向中間服務器13發(fā)送認證信息。由此，能夠構建可靠地拒絕基于電子欺騙的不當訪問的高安全性的網(wǎng)絡系統(tǒng)。另外，在上述實施方式中，將中間服務器13置于用戶終端2與認證服務器12之間，這是考慮到認證服務器12通過防火墻防御外部網(wǎng)絡3的緣故，因而對于本發(fā)明而言不是必要構成。在未采用中間服務器13的情況下，例如也可以將認證請求部131的功能設置于用戶終端2，將數(shù)據(jù)包解析部132的功能設置于認證服務器12。另外，在上述實施方式中，作為數(shù)據(jù)包發(fā)送源終端的地址信息而采用了 IP地址，但是本發(fā)明并不限定于此。例如，也可以米用MAC (Media Access Control、介質訪問控制)地址。另外，在上述實施方式中，在進行了預認證之后，從用戶終端2向服務提供服務器11訪問并顯示認證畫面，用戶輸入認證信息，但是本發(fā)明并不限定于此。例如，也可以在預認證控制部21從認證服務器12經(jīng)由中間服務器13接收了預認證成功的通知時，正式認證控制部22自動地指定服務提供服務器11的IP地址，并自動地發(fā)送與預認證時相同的認證信息。這樣進行的話，也能夠消除在正式認證時誘導至假冒網(wǎng)站的風險。另外，在上述實施方式中，認證服務器系統(tǒng)I按照針對預認證及正式認證的各個認證使相同的一次性口令各一次有效的方式，使預認證處理部121及正式認證處理部126動作，但是本發(fā)明并不限定于此。例如，也可以在預認證和正式認證中分別使用各自的一次性口令。這種情況下，一次性口令生成部23在預認證時和正式認證時的兩次認證時生成不同的一次性口令。另外，正式認證處理部126也自己生成一次性口令，并進行與預認證處理部121同樣的認證。因此，預認證處理部121無需在預認證成功時將一次性口令注冊于認證數(shù)據(jù)庫128。另外，在上述實施方式中，示出了一次性口令的生成方法和利用該一次性口令進行的認證方法的一例，但是本發(fā)明并不限定于此。即、可以應用除此之外的公知方法。例如，也可以應用專利文獻I記載的方法。另外，在上述實施方式中，說明了將用戶ID作為認證信息的一部分而使用的例子，但是本發(fā)明并不限定于此。例如，也可以采用識別用戶終端2的設備ID?；蛘?，也可以采用安裝于用戶終端2而使用的USB存儲器等的設備ID。在使用USB存儲器的情況下，也可以使該USB存儲器具備預認證控制部21、正式認證控制部22及一次性口令生成部23的功能。這樣的話，不需要對用戶終端2預先安裝軟件。除此之外，上述實施方式只是示出了實施本發(fā)明時的具體化的一例，但是并非由 此限定性解釋本發(fā)明的技術范圍。即、本發(fā)明在不脫離其主旨或者其主要特征的范圍內可以以各種方式進行實施。(工業(yè)上的可利用性)
本發(fā)明可以利用于通過采用了 ID和口令的認證處理來進行從 用戶終端向信息通信服務提供用的網(wǎng)絡訪問的訪問控制的系統(tǒng)。
權利要求
1.一種訪問控制系統(tǒng)，其經(jīng)由通信網(wǎng)絡將信息通信服務提供者的認證服務器系統(tǒng)和信息通信服務利用者的用戶終端連接，其特征在于， 所述用戶終端具備 預認證控制部，其為了進行預認證而以數(shù)據(jù)包的形式向所述認證服務器系統(tǒng)的預先決定的發(fā)送目標地址發(fā)送認證信息；和 正式認證控制部，其在響應于所述預認證控制部發(fā)送所述認證信息的情況而從所述認證服務器系統(tǒng)通知了預認證成功之后，為了進行正式認證而以數(shù)據(jù)包的形式向所述認證服務器系統(tǒng)的預先決定的發(fā)送目標地址發(fā)送所述認證信息， 所述認證服務器系統(tǒng)具備 預認證處理部，其基于從所述預認證控制部發(fā)送的所述認證信息進行所述預認證；存儲處理部，其在利用所述預認證處理部進行的所述預認證成功的情況下，將由從所述預認證控制部發(fā)送的數(shù)據(jù)包所提取的數(shù)據(jù)包發(fā)送源終端的地址信息與從該數(shù)據(jù)包所提取的所述認證信息對應起來存儲于地址表； 地址判定部，其判定由從所述正式認證控制部發(fā)送的數(shù)據(jù)包所提取的數(shù)據(jù)包發(fā)送源終端的地址信息和與從該數(shù)據(jù)包所提取的所述認證信息對應起來存儲于所述地址表的地址息是否一致；和 正式認證處理部，其在通過所述地址判定部判定出地址信息一致的情況下，基于從所述正式認證控制部發(fā)送的所述認證信息進行所述正式認證。
2.根據(jù)權利要求I所述的訪問控制系統(tǒng)，其特征在于， 所述認證服務器系統(tǒng)具備 服務提供服務器，其進行所述信息通信服務的提供； 認證服務器，其進行用于確認向所述服務提供服務器訪問的訪問者是否為正當用戶的認證；和 中間服務器，其配置于所述用戶終端與所述認證服務器之間， 所述預認證處理部、所述存儲處理部、所述地址判定部及所述正式認證處理部設置在所述認證服務器中， 所述預認證控制部以數(shù)據(jù)包的形式向所述中間服務器發(fā)送所述認證信息， 所述正式認證控制部以數(shù)據(jù)包的形式向所述服務提供服務器發(fā)送所述認證信息，所述中間服務器將從所述預認證控制部發(fā)送來的所述認證信息轉送給所述認證服務器而進行認證請求， 所述服務提供服務器將從所述正式認證控制部發(fā)送來的所述認證信息轉送給所述認證服務器而進行認證請求。
3.根據(jù)權利要求I所述的訪問控制系統(tǒng)，其特征在于， 所述認證信息包括一次性口令。
4.根據(jù)權利要求3所述的訪問控制系統(tǒng)，其特征在于， 所述用戶終端還具備生成所述一次性口令的一次性口令生成部， 在通過所述一次性口令生成部生成了所述一次性口令時，所述預認證控制部自動地指定所述預先決定的發(fā)送目標地址，并以數(shù)據(jù)包的形式發(fā)送包括所述一次性口令的所述認證信息。
5.一種認證服務器系統(tǒng)，其是經(jīng)由通信網(wǎng)絡與信息通信服務利用者的用戶終端連接的信息通信服務提供者的認證服務器系統(tǒng)，其特征在于，所述認證服務器系統(tǒng)具備 預認證處理部，其基于由為了進行預認證從所述用戶終端發(fā)送的數(shù)據(jù)包所提取的認證信息進行預認證； 存儲處理部，其在利用所述預認證處理部進行的認證成功的情況下，將由為了進行所述預認證從所述用戶終端發(fā)送的數(shù)據(jù)包所提取的數(shù)據(jù)包發(fā)送源終端的地址信息與從該數(shù)據(jù)包所提取的所述認證信息對應起來存儲于地址表； 地址判定部，其判定由為了進行正式認證從所述用戶終端發(fā)送的數(shù)據(jù)包所提取的數(shù)據(jù)包發(fā)送源終端的地址信息和與從該數(shù)據(jù)包所提取的所述認證信息對應起來存儲于所述地址表的地址信息是否一致；和 正式認證處理部，其在通過所述地址判定部判定出地址信息一致的情況下，基于從為了所述正式認證發(fā)送的數(shù)據(jù)包所提取的所述認證信息進行正式認證。
6.根據(jù)權利要求5所述的認證服務器系統(tǒng)，其特征在于， 所述認證信息包括一次性口令。
7.一種訪問控制程序，其是在將信息通信服務提供者的認證服務器系統(tǒng)和信息通信服務利用者的用戶終端經(jīng)由通信網(wǎng)絡連接的訪問控制系統(tǒng)中進行動作的計算機可讀取的訪問控制程序，所述訪問控制程序用于使計算機作為下述模塊發(fā)揮功能 預認證控制模塊，其為了進行預認證而以數(shù)據(jù)包的形式從所述用戶終端向所述認證服務器系統(tǒng)的預先決定的發(fā)送目標地址發(fā)送認證信息； 正式認證控制模塊，其在響應于所述預認證控制模塊發(fā)送所述認證信息的情況而從所述認證服務器系統(tǒng)通知了預認證成功之后，為了進行正式認證而以數(shù)據(jù)包的形式從所述用戶終端向所述認證服務器系統(tǒng)的預先決定的發(fā)送目標地址發(fā)送所述認證信息； 預認證處理模塊，其基于通過所述預認證控制模塊發(fā)送的所述認證信息在所述認證服務器系統(tǒng)中進行所述預認證； 存儲處理模塊，其在利用所述預認證處理模塊進行的所述預認證成功的情況下，將由通過所述預認證控制模塊發(fā)送的數(shù)據(jù)包所提取的數(shù)據(jù)包發(fā)送源終端的地址信息與從該數(shù)據(jù)包所提取的所述認證信息對應起來存儲于所述認證服務器系統(tǒng)的地址表； 地址判定模塊，其在所述認證服務器系統(tǒng)中判定由通過所述正式認證控制模塊發(fā)送的數(shù)據(jù)包所提取的數(shù)據(jù)包發(fā)送源終端的地址信息和與從該數(shù)據(jù)包所提取的所述認證信息對應起來存儲于所述地址表的地址信息是否一致；和 正式認證處理模塊，其在通過所述地址判定模塊判定出地址信息一致的情況下，基于通過所述正式認證控制模塊發(fā)送的所述認證信息在所述認證服務器系統(tǒng)中進行所述正式認證。
8.根據(jù)權利要求7所述的訪問控制程序，其特征在于， 在所述用戶終端中還具備生成一次性口令的一次性口令生成模塊， 所述預認證控制模塊和所述正式認證控制模塊將通過所述一次性口令生成模塊生成的所述一次性口令作為所述認證信息而發(fā)送。
9.根據(jù)權利要求8所述的訪問控制程序，其特征在于， 在通過所述一次性口令生成模塊生成了所述一次性口令時，所述預認證控制模塊自動地指定所述 預先決定的發(fā)送目標地址，并以數(shù)據(jù)包的形式發(fā)送包括所述一次性口令的所述認證信息。
全文摘要
通過信息通信服務提供者的認證服務器系統(tǒng)(1)和信息通信服務利用者的用戶終端(2)構成訪問控制系統(tǒng)，通過這兩者之間的通信進行認證處理，由此供應商的網(wǎng)關裝置不參與向信息通信服務的訪問控制用的一連串認證處理，從而無需獲得供應商的協(xié)作并在網(wǎng)關裝置中設置特別的構造；另外，從用戶終端(2)向認證服務器(12)發(fā)送相同的認證信息而進行2次的認證(預認證和正式認證)，在第2次的正式認證時也進行表示認證信息的發(fā)送源終端的IP地址的一致判定，由此能夠可靠地防止采用了釣魚行為的來自惡意第三者的電子欺騙。
文檔編號G06F21/20GK102667799SQ201080051700
公開日2012年9月12日 申請日期2010年9月27日 優(yōu)先權日2009年9月28日
發(fā)明者信岡弘光, 八津川直伸 申請人:日本尤尼西斯株式會社