ログイン認証システム

【課題】ユーザがサーバ認証を見落とす恐れがなく、またクライアント認証用のクッキーが漏洩する恐れがないログイン認証システムを提供すること。
【解決手段】 WebブラウザのWebページアクセス時に、WebページのURLがログインページURLを含むならばツールバーボタン押下要求ページを表示する手段と、前記ボタン押下時に、WebサーバにツールバーＩＤを送信する手段と、Webサーバが前記ツールバーＩＤと一時的クッキーの組を記憶し、Webブラウザに前記一時的クッキーを送信する手段と、Webブラウザが前記一時的クッキーを記憶し、ログインページのログインボタン押下時に、Webサーバに前ユーザＩＤと記一時的クッキーを送信する手段と、WebサーバーがユーザーＩＤと組になる一時的クッキーを記憶しているならばログイン認証成功と判断する手段とを備えることを特徴とする。

【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットサービスのセキュリティを強化するログイン認証システムに関する。
【背景技術】
【０００２】
ネットバンキングやネットオークション等のインターネットサービスでは、サービス利用者を識別するために、ユーザＩＤとパスワードによるユーザ認証が実施されている。
しかし、ユーザＩＤとパスワードがフィッシング詐欺で盗まれて悪用される事件が多発しており、ログイン認証のセキュリティ強化が必要になっている。
ログイン認証のセキュリティ強化方法には、ユーザ認証に加えて、サーバ認証やクライアント認証を実施する方法がある。
【０００３】
サーバ認証では、Webブラウザが、接続しようとしているWebサーバの正当性を確認する。下記の特許文献１に記載の技術では、Webブラウザが、Webサーバの正当性をURLとIPアドレスとファイルで確認し、確認結果をランプの色で表示することで、ユーザに目視確認させるようにしている。
【０００４】
一方、クライアント認証では、Webサーバが、接続しようとしているWebブラウザの正当性を確認する。下記の特許文献２に記載の技術では、Webサーバが、Webブラウザにクッキーを記憶させて、Webブラウザの正当性を接続時に自動送信されるクッキーで確認するようにしている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−２６９０９６号公報
【特許文献２】特許３００３９９７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１に記載の技術では、サーバ認証をユーザの目視確認に任せているため、ユーザが見落とす危険性がある。
また、特許文献２に記載の技術では、クライアント認証をWebブラウザのクッキーに任せているため、クッキーがクロスサイトスクリプティング等で漏洩する危険性がある。
特に、Webブラウザ終了時に消える一時的クッキーではなく、Webブラウザ終了後も残る永続的クッキーを用いる場合、Webブラウザ再起動後もクライアント認証が可能であるが、クッキーが漏洩する危険性は高まる。
【０００７】
本発明の目的は、ユーザがサーバ認証を見落とす恐れがなく、またクライアント認証用のクッキーが漏洩する恐れがないログイン認証システムを提供することにある。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明に係るログイン認証システムは、WebサーバがユーザＩＤとツールバーＩＤの組を記憶し、Webブラウザがツールバーのボタンを表示し、前記ツールバーが前記ツールバーＩＤを記憶して構成されるログイン認証システムであって、
前記WebブラウザのWebページアクセス時に、前記WebページのURLがログインページURLを含むならばツールバーボタン押下要求ページを表示する手段と、
前記ツールバーの前記ボタン押下時に、前記Webサーバに前記ツールバーＩＤを送信する手段と、
前記Webサーバが前記ツールバーＩＤと一時的クッキーの組を記憶し、前記Webブラウザに前記一時的クッキーを送信する手段と、
前記Webブラウザが前記一時的クッキーを記憶し、ログインページのログインボタン押下時に、前記Webサーバに前記ユーザＩＤと前記一時的クッキーを送信する手段と、
前記Webサーバが前記ユーザＩＤと組になる前記一時的クッキーを記憶しているならばログイン認証成功と判断する手段とを備えることを特徴とする。
【０００９】
さらに、本発明のログイン認証システムは、WebサーバがユーザＩＤとツールバーＩＤの組を記憶し、Webブラウザがツールバーのボタンを表示し、前記ツールバーが前記ツールバーＩＤを記憶して構成されるログイン認証システムであって、
前記WebブラウザのWebページアクセス時に、前記WebページのURLがログインページURLを含むかつツールバーフックオフフラグを含まないならばツールバーボタン押下要求ページを表示する手段と、
前記ツールバーの前記ボタン押下時に、前記Webサーバに前記ツールバーＩＤを送信する手段と、
前記Webサーバが前記ツールバーＩＤと一時的ツールバーＩＤの組を記憶し、前記ツールバーに前記一時的ツールバーＩＤを送信する手段と、
前記ツールバーが前記Webブラウザに前記一時的ツールバーＩＤを含むURLを送信する手段と、
前記Webブラウザが前記Webサーバに前記一時的ツールバーＩＤを含むURLを送信する手段と、
前記Webサーバが前記一時的ツールバーＩＤと一時的クッキーの組を記憶し、前記Webブラウザに前記一時的クッキーおよび前記ログインページURLと前記ツールバーフックオフフラグを含むURLを送信する手段と、
前記Webブラウザが前記一時的クッキーを記憶し、前記Webサーバに前記ログインページURLと前記ツールバーフックオフフラグを含むURLを送信する手段と、
前記Webサーバが前記Webブラウザにログインページを送信する手段と、
前記Webブラウザが前記ログインページを表示し、前記ログインページのログインボタン押下時に、前記Webサーバに前記ユーザＩＤと前記一時的クッキーを送信する手段と、
前記Webサーバが前記ユーザＩＤと組になる前記一時的クッキーを記憶しているならばログイン認証成功と判断する手段とを備えることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、Webブラウザのツールバーで、サーバ認証とクライアント認証のセキュリティ強化を図ることができる。
また、サーバ認証については、ユーザにツールバーのボタンを押させることで、強制力のあるフィッシング対策を実現することができる。そして、フィッシングサイトにアクセスしても、ツールバーのボタンを押すと正規サイトに接続することで、フィッシングサイトを回避することができる。
クライアント認証については、ツールバーにツールバーＩＤを記憶させることで、ログイン認証毎にクッキーを変更する。そして、ツールバーが正規サイトにだけツールバーＩＤを送信することで、ツールバーＩＤがクロスサイトスクリプティング等で漏洩することがなくなる。
【図面の簡単な説明】
【００１１】
【図１】本発明のログイン認証システムの実施形態を示すシステム構成図である。
【図２】ツールバー認証テーブルの一例を示す図である。
【図３】ログイン認証テーブルの一例を示す図である。
【図４】ツールバーのインストール時の処理の一例を示す図である。
【図５】WebブラウザのWebページアクセス時の処理の一例を示す図である。
【図６】ツールバーのボタン押下時の処理の一例を示す図である。
【図７】ログイン認証時の処理の一例を示す図である。
【発明を実施するための形態】
【００１２】
以下、本発明を図示する実施形態に基づいて詳細に説明する。
図１は、本発明のログイン認証システムの実施の形態を示すシステム構成図である。
本実施形態のログイン認証システムは、Webサーバ１とクライアント端末２が、インターネット３を介して接続して構成される。
Webサーバ１は、演算・主記憶装置４と補助記憶装置５とネットワーク通信装置６を搭載して構成される。
Webサーバ１の演算・主記憶装置４上でツールバー認証手段７とログイン認証手段８を実行する。
また、Webサーバ１の補助記憶装置５上で、ツールバー認証テーブル９とログイン認証テーブル１０を記憶する。例えば、ツールバー認証手段７とログイン認証手段８はサーバーサイドスクリプトとして実装される。
【００１３】
一方、クライアント端末２は、演算・主記憶装置４と補助記憶装置５とネットワーク通信装置６と画面表示装置１１とユーザ入力装置１２を搭載して構成される。
クライアント端末２の演算・主記憶装置４上で、Webブラウザ１３とツールバー１４を実行する。
【００１４】
ツールバー認証テーブル９の一例について、図２を参照しながら説明する。
ツールバー認証テーブル９のカラムは、ツールバーＩＤと一時的ツールバーＩＤと一時的クッキーで構成されている。
ツールバーＩＤと一時的ツールバーＩＤは、ユニーク制約のあるカラムである。
【００１５】
ログイン認証テーブル１０の一例について、図３を参照しながら説明する。
ログイン認証テーブル１０のカラムは、ユーザＩＤとパスワードとツールバーＩＤで構成されている。
ユーザＩＤは、ユニーク制約のあるカラムである。
ツールバーＩＤは、ツールバー認証テーブル９のツールバーＩＤを参照するカラムである。
【００１６】
ツールバー１４のインストール時の処理の一例について、図４を参照しながら説明する。
まず、ステップ４０１においてツールバー１４がツールバー認証手段７に対しツールバーＩＤ生成要求のHTTPSリクエストを送信する。
ただし、HTTPSリクエストは、HTTPS接続時にWebサーバ１のSSLサーバ証明書についてセキュリティ警告が出ていない時のみ送信される。
続いてステップ４０２で、ツールバー認証手段７が、ツールバー認証テーブル９のユニーク制約を満たすようにツールバーＩＤを生成し、ツールバー認証テーブル９に生成したツールバーＩＤを含むレコードを挿入して、ツールバー１４に生成したツールバーＩＤを送信する。
続くステップ４０３で、ツールバー１４が、補助記憶装置５に受信したツールバーＩＤを記憶し、Webブラウザ１３にツールバー１４のボタン１５を表示する。
【００１７】
Webブラウザ１３のWebページアクセス時の処理の一例について、図５を参照しながら説明する。ただし、Webブラウザ１３のWebページ表示完了時の処理をツールバー１４がフックしておくものとする。
まず、ステップ５０１で、Webブラウザ１３が、ツールバー１４に表示完了したWebページのURLを送信する。
続いてステップ５０２で、ツールバー１４が、受信したURLがログインページURLに前方一致し、かつ受信したURLのクエリストリングにツールバーフックオフフラグが付いていないならば、受信したURLのクエリストリングを記憶し、Webブラウザ１３にツールバーボタン押下要求ページを送信する。
【００１８】
例えば、受信したURLが文字列"https://x.jp/login?param=xxx"であり、ログインページURLが文字列"https://x.jp/login"であり、ツールバーフックオフフラグが文字列"toolbarHook=off"ならば、受信したURLのクエリストリングとして文字列"param=xxx"を記憶する。
続くステップ５０３で、Webブラウザ１３が、受信したツールバーボタン押下要求ページを表示する。
【００１９】
ツールバー１４のボタン１５押下時の処理の一例について、図６を参照しながら説明する。
まず、ステップ６０１で、ツールバー１４が、ツールバー認証手段７に一時的ツールバーＩＤ生成要求のHTTPSリクエストを、ツールバーＩＤを付加して送信する。
続くステップ６０２で、ツールバー認証手段７が、ツールバー認証テーブル９のユニーク制約を満たすように一時的ツールバーＩＤを生成し、ツールバー認証テーブル９から受信したツールバーＩＤを含むレコードを選択し、選択したレコードに生成した一時的ツールバーＩＤを記憶し、ツールバー１４に生成した一時的ツールバーＩＤを送信する。
【００２０】
次に、ステップ６０３で、ツールバー１４が、ツールバー認証URLとステップ５０２で記憶したクエリストリングと受信した一時的ツールバーＩＤを文字列連結したURLを生成し、Webブラウザ１３に生成したURLを送信する。
例えば、ツールバー認証URLが文字列"https://x.jp/toolbarAuth"であり、ステップ５０２で記憶したクエリストリングが文字列"param=xxx"であり、受信した一時的ツールバーＩＤが文字列"5569ba347f720901"ならば、文字列連結したURLとして、文字列"https://x.jp/toolbarAuth?param=xxx&tmpToolbarID=5569ba347f720901"を生成する。
次に、ステップ６０４で、Webブラウザ１３が、ツールバー認証手段７に受信したURLのHTTPSリクエストを送信する。
【００２１】
次に、ステップ６０５で、ツールバー認証手段７が、ランダムに一時的クッキーを生成し、ツールバー認証テーブル９から受信した一時的ツールバーＩＤを含むレコードを選択し、選択したレコードに生成した一時的クッキーを記憶し、ログインページURLと受信したクエリストリングとツールバーフックオフフラグを文字列連結したリダイレクトURLを生成し、Webブラウザ１３に生成した一時的クッキーとリダイレクトURLを送信する。
例えば、ログインページURLが文字列"https://x.jp/login"であり、受信したクエリストリングが文字列"param=xxx"であり、ツールバーフックオフフラグが文字列"toolbarHook=off"ならば、文字列連結したリダイレクトURLとして、文字列"https://x.jp/login?param=xxx&toolbarHook=off"を生成する。
【００２２】
続くステップ６０６で、Webブラウザ１３が、受信した一時的クッキーを記憶し、ログイン認証手段８に受信したリダイレクトURLのHTTPSリクエストを送信する。
次に、ステップ６０７で、ログイン認証手段８が、Webブラウザ１３にログインページを送信する。
次に、ステップ６０８で、Webブラウザ１３が、受信したログインページを表示する。
【００２３】
ログイン認証時の処理の一例について図７を参照しながら説明する。ただし、ログイン認証時の処理は、ログインページにユーザＩＤとパスワードを入力し、ログインボタンを押下された時に実行される。
まず、ステップ７０１で、Webブラウザ１３が、ログイン認証手段８にログイン認証URLのHTTPSリクエストを、入力されたユーザＩＤとパスワードおよびステップ６０６で記憶した一時的クッキーを付加して送信する。
次に、ステップ７０２で、ログイン認証手段８が、ログイン認証テーブル１０から受信したユーザＩＤとパスワードを含むレコードを選択し、選択したレコードからツールバーＩＤを取得し、ツールバー認証テーブル９から取得したツールバーＩＤを含むレコードを選択し、選択したレコードに受信した一時的クッキーが含まれるならば、Webブラウザ１３にログイン認証成功ページを送信する。
次に、ステップ７０３で、Webブラウザ１３が、受信したログイン認証成功ページを表示する。
【符号の説明】
【００２４】
１ Webサーバ
２クライアント端末
３インターネット
４演算・主記憶装置
５補助記憶装置
６ネットワーク通信装置
７ツールバー認証手段
８ログイン認証手段
９ツールバー認証テーブル
１０ログイン認証テーブル
１１画面表示装置
１２ユーザ入力装置
１３ Webブラウザ
１４ツールバー
１５ボタン

【特許請求の範囲】
【請求項１】
WebサーバがユーザＩＤとツールバーＩＤの組を記憶し、Webブラウザがツールバーのボタンを表示し、前記ツールバーが前記ツールバーＩＤを記憶して構成されるログイン認証システムであって、
前記WebブラウザのWebページアクセス時に、前記WebページのURLがログインページURLを含むならばツールバーボタン押下要求ページを表示する手段と、
前記ツールバーの前記ボタン押下時に、前記Webサーバに前記ツールバーＩＤを送信する手段と、
前記Webサーバが前記ツールバーＩＤと一時的クッキーの組を記憶し、前記Webブラウザに前記一時的クッキーを送信する手段と、
前記Webブラウザが前記一時的クッキーを記憶し、ログインページのログインボタン押下時に、前記Webサーバに前記ユーザＩＤと前記一時的クッキーを送信する手段と、
前記Webサーバが前記ユーザＩＤと組になる前記一時的クッキーを記憶しているならばログイン認証成功と判断する手段とを備えることを特徴とするログイン認証システム。
【請求項２】
WebサーバがユーザＩＤとツールバーＩＤの組を記憶し、Webブラウザがツールバーのボタンを表示し、前記ツールバーが前記ツールバーＩＤを記憶して構成されるログイン認証システムであって、
前記WebブラウザのWebページアクセス時に、前記WebページのURLがログインページURLを含むかつツールバーフックオフフラグを含まないならばツールバーボタン押下要求ページを表示する手段と、
前記ツールバーの前記ボタン押下時に、前記Webサーバに前記ツールバーＩＤを送信する手段と、
前記Webサーバが前記ツールバーＩＤと一時的ツールバーＩＤの組を記憶し、前記ツールバーに前記一時的ツールバーＩＤを送信する手段と、
前記ツールバーが前記Webブラウザに前記一時的ツールバーＩＤを含むURLを送信する手段と、
前記Webブラウザが前記Webサーバに前記一時的ツールバーＩＤを含むURLを送信する手段と、
前記Webサーバが前記一時的ツールバーＩＤと一時的クッキーの組を記憶し、前記Webブラウザに前記一時的クッキーおよび前記ログインページURLと前記ツールバーフックオフフラグを含むURLを送信する手段と、
前記Webブラウザが前記一時的クッキーを記憶し、前記Webサーバに前記ログインページURLと前記ツールバーフックオフフラグを含むURLを送信する手段と、
前記Webサーバが前記Webブラウザにログインページを送信する手段と、
前記Webブラウザが前記ログインページを表示し、前記ログインページのログインボタン押下時に、前記Webサーバに前記ユーザＩＤと前記一時的クッキーを送信する手段と、
前記Webサーバが前記ユーザＩＤと組になる前記一時的クッキーを記憶しているならばログイン認証成功と判断する手段とを備えることを特徴とするログイン認証システム。

【図１】