多段認証シーケンスの処理方法および装置

专利摘要:
コンピュータ資源にアクセスすべく認証シーケンスを自動化する方法であって、複数のウェブページに関連付けられた複数のクエリを含む当該認証シーケンスに関連付けられたフォーム情報を処理するステップと、クエリに対応するフォーム情報を用いて、当該認証シーケンスの一部分に対し、当該部分が当該クエリを含む複数のウェブページの当該部分の標識を認識したならば、応答を送信するステップとを含む方法。
公开号:JP2011509453A
申请号:JP2010539622
申请日:2008-12-09
公开日:2011-03-24
发明作者:ショーン・クーレー；ブルース・マッコーケンデール
申请人:シマンテック コーポレーションＳｙｍａｎｔｅｃ Ｃｏｒｐｏｒａｔｉｏｎ；
IPC主号:G06F21-20

专利说明:

[0001] 本発明の実施形態は一般に、ネットワークコンピューティングに関し、より具体的には、複数のウェブページにわたり分散された複数のクエリを含む多段認証シーケンスを処理する方法および装置に関する。]
背景技術

[0002] 多くのトランザクションが、パスワード、署名、社会保障番号（ＳＳＮ）、運転免許番号、網膜走査、バイオ走査等の識別ツールの支援を受けて実行されている。そのようなトランザクションには、銀行取引（例：ＡＴＭを介した引き出し、送金、預金）、販売（例：クレジットまたはデビットカードを用いた商品やサービスの購入）等の金融取引、またはソーシャルネットワーキングサイトやブログ加入等の個人向けのものが含まれる。上述のトランザクションは通常、ログイン名とパスワードを必要とするが、他の識別情報を必要としてもよい。]
発明が解決しようとする課題

[0003] 昨今の金融取引および個人情報保護の普及に伴い、より安全なユーザーログイン機構を提供すべく新たなソリューションが開発されてきた。そのようなソリューションにより、通常はユーザー名およびパスワードフィールドしか含まない典型的な単一認証ステップが、複数のウェブページにまたがる多段認証シーケンスに変化した。典型的な多段認証シーケンスでは、第１ページでユーザー名を尋ね、第２ページで検証画像および／または語句および誰何の質問（例：「出身地はどちらですか？」）を表示し、第３ページでパスワードを要求することができる。このため、単一認証ステップに自動回答すべく設計されたソフトウェアでは多段認証シーケンスに自動回答することは不可能である。]
[0004] 従って、多段認証シーケンスに自動的に回答する方法および装置に対するニーズが存在する。]
課題を解決するための手段

[0005] 本発明の実施形態は一般に、コンピュータ資源にアクセスするための多段認証シーケンスを処理する方法および装置に関する。一実施形態において、複数のウェブページに関連付けられた複数のクエリを含む認証シーケンスに関連付けられたフォーム情報を処理するステップと、当該認証シーケンスの一部分に対し、クエリに対応するフォーム情報を用いて、当該部分が当該クエリを含む複数のウェブページの部分の標識を認識したならば、応答を返すステップとを含む方法である。]
[0006] 本発明の上述の特徴をより詳細に理解できるよう、上で簡単に要約した本発明について実施形態を参照しながらより具体的に説明し、実施形態のいくつかを添付の図面に示す。しかし、添付の図面が本発明の典型的実施形態を例示するものに過ぎず、本発明は他の同等に効果的な実施形態でも実現可能であり、従って本発明の範囲を限定するものと考えてはならない点に留意されたい。]
図面の簡単な説明

[0007] 本発明の各種の実施形態によるシステムのブロック図である。
本発明の各種の実施形態による、多段認証シーケンスへの回答を自動化する方法のフロー図である。
本発明の各種の実施形態による、多段認証シーケンスに関連付けられたフォーム情報を記録する方法のフロー図である。
本発明の各種の実施形態による、コンピュータ資源にアクセスするための多段認証シーケンスを自動化する方法のフロー図である。]
実施例

[0008] 以下、いくつかの実施形態および例示的な図面を用いて実施例により本発明を説明するが、当業者には本発明が添付の図面の実施形態に限定されないことが理解されよう。図面およびそれらの詳細説明は、開示された特定の形式に本発明を限定するものではなく、添付の特許請求の範囲により規定される本発明の概念および範囲に含まれる全ての変更、均等物、および代替物も本発明が包含することを理解されたい。本明細書で用いる見出しは、単に編集目的のためであって、明細書または特許請求の範囲を限定するために用いることを意図していない。本出願の全体を通じて、「できる」という用語は、強制的な意味（すなわち、〜する必要があるの意味）ではなく、許容的な意味（すなわち、潜在的可能性の意味）に用いる。同様に、「含む」および「含んでいる」は、含んでいるが限定されないことを意味する。更に、「１つの」という用語は、別途言及しない限り「少なくとも１つ」を意味する。]
[0009] 図１は、本発明の各種の実施形態によるシステム１００のブロック図である。システム１００は、ネットワーク１０６により互いに接続されたクライアントコンピュータ１０２およびサーバ１０４を含んでいる。] 図１
[0010] ネットワーク１０６は、ハブ、スイッチ、ルータ等、各種の公知ネットワーク要素により実現された導線、ケーブル、光ファイバー、および／または無線接続によりコンピュータシステムを接続する通信システムを含んでいる。ネットワーク１０６は各種の公知プロトコルを用いてネットワーク資源間で情報通信を行なうことができる。例えば、ネットワーク１０６は、イーサネット、ＷｉＦｉ、ＷｉＭａｘ、汎用パケット無線サービス（ＧＰＲＳ）等、各種の通信基盤を用いるインターネットまたはイントラネットの一部分であってよい。]
[0011] サーバ１０４は、クライアント１０２にサービス（例：ウェブ、データ、処理）を提供すべく構成されている。サーバ１０４は、ＣＰＵ１１４、支援回路１１６、およびメモリ１１８を含んでいる。ＣＰＵ１１４は、１つ以上の任意の市販のマイクロプロセッサもまたはマイクロコントローラであってよい。支援回路１１６はＣＰＵ１１４の動作の支援に用いられる。支援回路１１６は、例えば、キャッシュ、入出力回路、通信回路、クロック回路、電力供給、システムバス、ＰＣＩバス等を含んでいる。]
[0012] メモリ１１８は、ランダムアクセスメモリ、読出し専用メモリ、着脱可能ストレージ、光ストレージ等を含んでいてよい。各種のソフトウェアモジュールおよび情報がメモリ１１８内に常駐している。本発明の少なくとも１つの実施形態において、認証モジュール１２８がメモリ１１８に保存される。１つ以上の実施形態において、認証モジュール１２８は、一般に複数のウェブサイトにわたり複数のクエリを含む多段認証シーケンスを実行する。認証モジュールは、検証画像、誰何の質問、ログイン／パスワード情報並びにクライアント１０２に複数のウェブページを提示するために必要な他の任意の情報またはモジュール（例：ＨＴＭＬ、ＸＭＬ、ＰＨＰ等のマークアップまたはスクリプト言語で書かれた文書）の任意の組合せを含んでいてよい。]
[0013] クライアントコンピュータ１０２は、ＣＰＵ１０８、各種の支援回路１１０、およびメモリ１１２を含んでいる。ＣＰＵ１０８は、１つ以上の任意の市販のマイクロプロセッサまたはマイクロコントローラであってよい。各種の支援回路１１０を用いてＣＰＵ１０８の動作を支援する。支援回路１１０は、例えば、キャッシュ、入出力回路、通信回路、クロック回路、電力供給、システムバス、ＰＣＩバス等を含んでいる。当業者には、図１に示すハードウェアがコンピュータシステム毎に異なっていてよいことが理解されよう。例えば、光ディスクドライブ、グラフィックカード、データ記憶装置、他の各種の入力装置等、他の周辺装置もまた、図に示すハードウェアに加えてまたは代替的に用いてもよい。] 図１
[0014] メモリ１１２は、ランダムアクセスメモリ、読出し専用メモリ、着脱可能ストレージ、光ストレージ等を含んでいてよい。本発明の少なくとも１つの実施形態において、各種のソフトウェアモジュールおよび情報がメモリ１１２内に常駐している。メモリ１１２は、対話モジュール１２０、フォーム情報１２２、認識モジュール１２４、および再生モジュール１２６を含んでいる。対話モジュール１２０、認識モジュール１２４、および再生モジュール１２６は、本発明の少なくとも１つの実施形態による方法を実行すべくＣＰＵ１０８により実行される命令の組である。]
[0015] 対話モジュール１２０はスタンドアローンソフトウェアプログラムであっても、またはインターネットウェブブラウザ等のより大きなプログラムの一部分（例：プラグインアプリケーション）であってもよい。本発明の各種の実施形態によれば、対話モジュール１２０は、ウェブフォーム（例：多段認証シーケンスの複数のクエリ）とユーザーの対話を監視して、フォームフィールド（例：誰何の質問、ログイン、パスワード、ＳＳＮその他のクエリ）、入力（例：回答）等を記録する。対話モジュール１２０は次いで、そのような情報をフォーム情報１２２としてメモリ１１２内に保存する。]
[0016] 多段認証シーケンス１２８は、パスワードフィールドを含むウェブページを識別することにより認識される。パスワードフィールドが第１のウェブページで見つかり、且つ同一ページ上にユーザー名フィールドが無い場合、対話モジュールは、第１のウェブページに関連付けられた第２のウェブページ上で最近記入されたフォームデータを求めてフォーム情報１２２を探索する。最近記入されたフォームデータが存在する場合、多段認証シーケンスは認識されている。対話モジュール１２０は、第１のウェブページに関連付けられた同一または類似ＵＲＬ上で最近記入された先行フォームを集めて、フォーム情報１２２にフォームデータ（例：フォームフィールド、入力値および他のサイト情報）を保存する。対話モジュール１２０はまた、認識モジュール１２４が使用するために、複数のウェブページ（例：ホスティングＵＲＬ、目標ＵＲＬ、フォームフィールド名、複数のウェブページのレイアウト情報等）の各種の標識１２３をフォーム情報１２２内に保存する。]
[0017] １つ以上の実施形態において、フォーム情報１２２は、遭遇した最後の５〜１０個以下のウェブフォームを保存するだけでよい。しかし、フォーム情報１２２の記憶容量は、多段認証シーケンスに対する将来の変更に対応すべく柔軟でなければならない。フォーム情報１２２はまた、ユーザーが記憶したいと望む多段認証シーケンスに関連すると判定された対話を含んでいる。]
[0018] 更に、本発明の１つ以上の実施形態によれば、認識モジュール１２４を用いて、以前に記録された多段認証シーケンスの開始または継続の各種の標識１２７（すなわち、ホスティングＵＲＬ、目標ＵＲＬ、フォームフィールド名等）を識別する。各種の標識１２３は、正確な、および曖昧（不正確）なマッチインジケータ（例：ホスティング／目標ＵＲＬ、フォームフィールド名、または（ユーザーに見える）ページテキスト）により識別することができる。マッチが検知されたならば、再生モジュール１２６に通知される。一実施形態において、以前に記録された多段認証シーケンスの識別に用いる各種の標識１２７が再生モジュール１２６へ送信される。]
[0019] また、再生モジュール１２６は、認識モジュール１２４から通知に基づいて動作する。通知を受けたならば、再生モジュール１２６は、多段認証シーケンスの現在実行中のステップ用にフォーム情報１２２の適当な部分を取得（プル）して、当該部分をブラウザへ転送（プッシュ）（すなわち、ユーザーが最初にクリックしたものと同一の送信ボタンまたは類似のボタンをクリック）する。「プッシュ」動作は、複数のクエリのうち１つに正しく回答することにより多段認証シーケンスを次のステップへ進める。次のステップへ進んだならば、認識モジュール１２４は次のステップを認識して、再生モジュール１２６を呼び出し、次のステップで上述の動作を繰り返す。]
[0020] オプションとして、多段認証シーケンスにおいて検証画像が利用される場合、再生モジュール１２６に通知する前に、ユーザーに提示する検証画像の妥当性を認識モジュール１２４が確認できる点に注意されたい。その結果、記録された検証画像と表示された検証画像の間に不一致があると認識モジュール１２４が判定したならば、ウェブページがフィッシング（ｐｈｉｓｈｉｎｇ）またはファーミング（ｐｈａｒｍｉｎｇ）されている可能性が高いため、多段認証シーケンスの処理が停止される。]
[0021] 同様に、以前に記録された多段認証シーケンスから誰何の質問が変化している（例：入力フィールド付近のユーザーに見えるテキストの変化により検知できる）場合、再生モジュール１２６は誰何の問題に対して自動回答しない。その代わりに、ユーザーは回答を記入し、「次へ」をクリックする。その時点で再生モジュール１２６がユーザーの回答をフォーム情報１２２に記録し、関連する標識があればフォーム情報１２２内の各種標識１２３に記録する。更に、ユーザーが手動で誰何の質問に回答したならば、認識モジュール１２４は多段認証シーケンスの次のステップを処理する。]
[0022] 図２は、多段認証シーケンスに自動的に回答する方法２００のフロー図である。方法２００はステップ２０２で開始され、ステップ２０４において、多段認証シーケンスを完了させるために使用できるフォーム情報を処理する。ステップ２０６において、以前に記録された多段階認証シーケンスの一部分が認識されたか否かを判定する。当該部分が認識されない、すなわち分岐「Ｎｏ」の場合、方法２００はステップ２１２へ進む。当該部分が認識される、すなわち分岐「Ｙｅｓ」の場合、方法２００はステップ２０８へ進んで当該部分に対応するフォーム情報を用いて応答を送信する。ステップ２１０において、多段認証シーケンスにまだステップが残っているか否かを判定する。まだステップがある場合、方法２００はステップ２０６に戻って多段認証シーケンスの次のステップの認識判定を繰り返す。残っているステップが無い場合、方法２００はステップ２１２へ進む。本方法はステップ２１２で終了する。] 図２
[0023] 図３は、本発明の少なくとも１つの実施形態による多段認証シーケンスに関連付けられたフォーム情報を記録する方法３００のフロー図である。方法３００はステップ３０２で開始され、ステップ３０４においてユーザーと複数のウェブフォームとの対話を監視する。ステップ３０６において、第１のウェブページを処理する（すなわち、ウェブページからのフィールド、入力等を記録する）。ステップ３０８において、第２のウェブページも同様に処理する。次いでステップ３１０において、第１および第２のウェブページが多段認証シーケンスの一部分を形成するか否かを判定する。上述のように、多段認証シーケンスは、パスワードフィールドを含むウェブページを識別することにより認識される。第１のウェブページ上でパスワードフィールドが見つかり、且つ同一ページ上にユーザー名フィールドが存在しない場合、フォーム情報を調べて、ユーザーが第１のウェブページに関連付けられたサイト上の他のウェブページ（例：第２のウェブページ）に最近フォームデータを書き込んだか否かを判定する。別の実施形態において、第１のウェブページがパスワードフィールドを含んでいて、第２のウェブページが第１のウェブページと同一のサイトに関連付けられていて、コンピュータ資源にアクセスすべく別のクエリを含んでいる場合、第１のウェブページおよび第２のウェブページは多段認証シーケンスの一部分を形成する可能性が極めて高い。] 図３
[0024] 上記の通りならば、多段認証シーケンスは認識されている。第１および第２のウェブページが多段認証シーケンスの一部分ではない、すなわち分岐「Ｎｏ」の場合、本方法はステップ３１８へ進む。ウェブページが多段認証シーケンスの一部分を形成する、すなわち分岐「Ｙｅｓ」の場合、ステップ３１２において第１および第２のウェブページに関連付けられたフォーム情報を記録する。ステップ３１４において、記録されたフォーム情報に多段認証シーケンスの標識（例：ホスティング／目標ＵＲＬ、フォームフィールド名、または（ユーザーに見える）ページテキスト）を関連付ける。ステップ３１６において、多段認証シーケンスの残りの部分に１つ以上のウェブページが含まれるか否かを判定する。１つ以上のウェブページが存在する場合、方法３００はステップ３１２に戻って次のウェブページのフォーム情報が記録され、当該フォーム情報に多段認証シーケンス内の次のウェブページの標識を関連付ける。多段認証シーケンスにこれ以上ウェブページが存在しない場合、方法３００はステップ３１８へ進む。ステップ３１８において方法３００が終了する。]
[0025] 図４は、本発明の各種の実施形態に従いコンピュータ資源にアクセスするための多段認証シーケンスを自動化する方法のフロー図である。本方法はステップ４０２で開始され、ステップ４０４へ進んで、多段認証シーケンスの一部分の標識を現在有効なウェブページのクエリと比較する。ステップ４０６において、現在有効なページを調べて、その上で提示されている標識が多段認証シーケンスの以前に記録された標識に一致するか否かを判定する。] 図４
[0026] 一致しない、すなわち分岐「Ｎｏ」の場合、方法４００はステップ４０８へ進む。オプションのステップ４０８において、多段認証シーケンスに不正な部分（例：正しくない検証画像を用いたフィッシングサイト）がある旨をユーザーに通知する。ステップ４１０において、クエリおよびユーザーが入力した応答をフォーム情報に記録する。ステップ４１２において、クエリおよび応答を多段認証シーケンス（の標識）に関連付ける。次いで、方法４００は後述するステップ４２０へ進む。]
[0027] 一致する、すなわち分岐「Ｙｅｓ」の場合、方法４００はステップ４１４へ進む。オプションのステップ４１４において、現在有効なウェブページの標識と多段認証シーケンスの当該部分とが一致する場合、上述のように、当該部分（例：検証画像）の妥当性が確認されている。ステップ４１６において、フォーム情報の対応する応答にアクセスする。ステップ４１８において、クエリへ対応する応答を送信する。ステップ４２０において、多段認証シーケンスにクエリがまだ存在するか否かを判定する。まだクエリが存在する場合、方法４００はステップ４０４に戻る。クエリが残っていない場合、方法４００はステップ４２２へ進む。本方法はステップ４２２で終了する。]
[0028] 上の説明は本発明の実施形態に関するものであるが、本発明の基本的範囲から逸脱することなく他のおよび追加的な実施形態を考案することができ、本発明の範囲は以下の特許請求の範囲により規定される。]

权利要求:

請求項1
コンピュータ資源にアクセスすべく認証シーケンスを自動化する方法であって、複数のウェブページに関連付けられた複数のクエリを含む前記認証シーケンスに関連付けられたフォーム情報を処理するステップと、クエリに対応するフォーム情報を用いて、前記認証シーケンスの一部分に対し、前記部分が前記クエリを含む複数のウェブページの前記部分の標識を認識したならば、応答を送信するステップとを含む方法。
請求項2
前記フォーム情報を処理するステップが、前記認証シーケンスを完了させるために用いられる前記フォーム情報を記録するステップを更に含む、請求項１に記載の方法。
請求項3
前記認証シーケンスが完了するまで、その各部分に対して前記送信ステップを繰り返すステップを更に含む、請求項１に記載の方法。
請求項4
前記標識の認識が、前記認証シーケンスの標識を前記複数のウェブページの現在のウェブページと比較するステップを更に含む、請求項１に記載の方法。
請求項5
前記複数のウェブページの現在のウェブページのうち、前記認証シーケンスのいずれかの部分に関連付けられた前記標識またはフォーム情報の少なくとも一方に一致しない部分を識別するステップを更に含む、請求項１に記載の方法。
請求項6
前記複数のウェブページの前記部分の標識が、前記複数のウェブページの前記部分に関連付けられたＵＲＬまたはレイアウト情報の少なくとも１つを含む、請求項１に記載の方法。
請求項7
前記フォーム情報を処理するステップが、前記複数のウェブページの第１のウェブページ上のパスワードフィールドを識別するステップを更に含む、請求項１に記載の方法。
請求項8
前記フォーム情報を処理するステップが、前記フォーム情報を前記複数のウェブページのいずれかのＵＲＬに関連付けるステップを更に含む、請求項１に記載の方法。
請求項9
前記フォーム情報を処理するステップが、前記フォーム情報を取得すべく前記複数のウェブフォームとの対話を監視するステップを更に含む、請求項１に記載の方法。
請求項10
前記応答を送信するステップが、前記認証シーケンスに関連付けられた前記複数のウェブページに関連付けられた標識またはフォーム情報の少なくとも１つを、現在のウェブページの一部分と比較して前記部分の妥当性を確認するステップを更に含む、請求項１に記載の方法。
請求項11
コンピュータ資源にアクセスすべく認証シーケンスを自動化する装置であって、複数のウェブページに関連付けられた複数のクエリを含む認証シーケンスに関連付けられたフォーム情報を処理する対話モジュールと、前記認証シーケンスの標識を識別する認識モジュールと、前記フォーム情報を用いて前記認証シーケンスの部分に対し自動的に回答する再生モジュールとを含む装置。
請求項12
前記認識モジュールが、前記認証シーケンスの標識を現在のウェブページの一部分と比較する、請求項１１に記載の装置。
請求項13
前記対話モジュールが、前記認証シーケンスを完了させるために用いられる前記フォーム情報を記録する、請求項１１に記載の装置。
請求項14
前記認識モジュールが、前記認証シーケンスのいずれかの部分に関連付けられた前記標識またはフォーム情報の少なくとも一方に一致しない前記複数のウェブページの現在のウェブページの一部分を識別する、請求項１１に記載の装置。
請求項15
前記認識モジュールが、前記認証シーケンスに関連付けられた複数のウェブページのいずれかの部分を確認する、請求項１１に記載の装置。
請求項16
コンピュータ資源にアクセスすべく認証シーケンスを自動化するシステムであって、複数のウェブページに関連付けられた複数のクエリを含む多段認証シーケンスを提示する認証モジュールと、前記多段認証シーケンスに関連付けられたフォーム情報を処理する対話モジュールとを含むサーバと、前記多段認証シーケンスの一部分を認識する認識モジュールと、前記フォーム情報の対応する部分を以って、前記多段認証シーケンスの前記部分に自動的に回答する再生モジュールとを含むクライアントとを含むシステム。
請求項17
前記認識モジュールが、前記認証シーケンスの標識を現在のウェブページの一部分と比較する、請求項１６に記載のシステム。
請求項18
前記対話モジュールが、前記認証シーケンスを完了させるために用いられる前記フォーム情報を記録する、請求項１６に記載のシステム。
請求項19
前記認識モジュールが、前記認証シーケンスに関連付けられた前記複数のウェブページに関連付けられた標識またはフォーム情報の少なくとも１つを現在のウェブページの一部分と比較して前記部分の妥当性を確認する、請求項１６に記載のシステム。
請求項20
前記対話モジュールが、前記フォーム情報を取得すべく複数のウェブフォームとの対話を監視する、請求項１６に記載のシステム。