情報漏洩防止プログラムのアンインストール実行可否制御方法および情報漏洩防止システム
【課題】管理者が把握できない情報漏洩防止プログラムのアンインストールを行えないようにする。
【解決手段】クライアントコンピュータ２００は、クライアントコンピュータ２００に固有の情報を用い、チャレンジとレスポンスを生成し、生成したチャレンジをサーバコンピュータ３００に通知すると共に生成したレスポンスを記憶し、前記サーバコンピュータ３００が通知されたチャレンジに基づき前記クライアントコンピュータ２００の前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータ２００に通知し、前記クライアントコンピュータ２００がレスポンスと前記記憶したレスポンスと比較し、レスポンスが一致した場合にのみ、前記情報漏洩防止プログラムのアンインストールを実行する。
【解決手段】クライアントコンピュータ２００は、クライアントコンピュータ２００に固有の情報を用い、チャレンジとレスポンスを生成し、生成したチャレンジをサーバコンピュータ３００に通知すると共に生成したレスポンスを記憶し、前記サーバコンピュータ３００が通知されたチャレンジに基づき前記クライアントコンピュータ２００の前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータ２００に通知し、前記クライアントコンピュータ２００がレスポンスと前記記憶したレスポンスと比較し、レスポンスが一致した場合にのみ、前記情報漏洩防止プログラムのアンインストールを実行する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報漏洩防止プログラムをインストールした情報漏洩防止システムに係り、情報漏洩防止プログラムのアンインストール実行可否制御方法およびシステムに関するものである。
【背景技術】
【０００２】
データの持ち出しを禁止する情報漏洩防止プログラムをインストールした情報漏洩防止システムにあっては、情報漏洩防止プログラムをアンインストールすることによってデータの持ち出し禁止機能を解除し、データの持ち出しが可能になってしまう。
そこで、従来の情報漏洩防止システムでは、情報漏洩防止プログラムのアンインストール実行時に実行者の権限をパスワードによって認証し、認証に成功した実行者のみにアンインストールを許可し、どの情報処理端末が情報漏洩防止プログラムをアンインストールしたかを管理するようにしている。
【０００３】
しかし、実行者の権限をチェックする場合、実行者毎に異なる権限を管理する必要がある。またアンインストール時に使用するパスワードを、インストール媒体毎で異なる値に設定すると、管理者はそれらの異なるパスワード全ての管理を行う必要があるため、運用面での負荷が高くなる。そのため運用面での負荷を低減するために、実行者の権限を一律で禁止または許可にした、インストール媒体毎で共通のパスワードを設定したりする場合があり、この場合セキュリティを保つことができなくなる。
【０００４】
本発明に類似する情報漏洩防止システムとして、例えば下記の特許文献１に開示されたものがある。この特許文献１に開示されたものは、インストールおよびアンインストールを行う際に、セキュリティ権限をチェックすることで、インストールおよびアンインストールの制御を行うというものである。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０００−３３９１４２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
実行者毎にセキュリティ権限を設定することは、実行者の数に比例して、管理コストも増大する。そのため、運用面での負荷が高く、権限の管理コストを抑えるため、実行者の権限を一律で禁止または、許可にする場合がある。
セキュリティ権限を一律で禁止にした場合は、アンインストールが必要な時にアンインストールが不可となり、運用上の柔軟な対応が取れない。逆に一律で許可にした場合、容易にアンインストールが可能となり、セキュリティが保てない。
また管理者がインストール媒体毎で利用者共通のパスワードを設定する場合、ある利用者がアンインストールを実行する際に、取得したパスワード情報を異なる利用者に漏洩すると、その異なる利用者が使用する情報漏洩防止プログラムをアンインストールすることが可能となってしまう。また、管理者は、その異なる利用者が情報漏洩防止プログラムをアンインストールしたことを把握できず、情報漏洩の防止および検知が行えなくなってしまう。
【０００７】
本発明の目的は、管理者の運用負荷を高くせずに、情報漏洩プログラムのアンインストール実行可否の制御を行い、管理者が把握できない情報漏洩プログラムのアンインストールが行えないようにするための方法及びシステムを提供することにある。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明の情報漏洩防止プログラムのアンインストール実行可否制御方法は、クライアントコンピュータにインストールした情報漏洩防止機能を備えたクライアント用プログラムのアンインストールの実行可否を管理者が管理するサーバコンピュータとの協同によって制御する方法であって、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストールの実行に先立ち、当該クライアント用プログラムがインストールされているクライアントコンピュータに固有の情報を用い、予め定めたアルゴリズムによってチャレンジとレスポンスを生成し、生成したチャレンジを前記サーバコンピュータに通知すると共に生成したレスポンスを記憶するステップと、
前記サーバコンピュータが、通知されたチャレンジに基づき前記クライアントコンピュータの前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータに通知するステップと、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較するステップと、
レスポンスが一致した場合に、前記クライアント用プログラムのインストールを実行するステップとを備えることを特徴とする。
また、前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可するステップとを備えることを特徴とする。
また、前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする。
【０００９】
また、情報漏洩防止機能を備えたクライアント用プログラムをインストールしたクライアントコンピュータと、管理者が管理するサーバコンピュータとによって構成された情報漏洩システムであって、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストールの実行に先立ち、当該クライアント用プログラムがインストールされているクライアントコンピュータに固有の情報を用い、予め定めたアルゴリズムによってチャレンジとレスポンスを生成し、生成したチャレンジを前記サーバコンピュータに通知すると共に生成したレスポンスを記憶する手段と、
前記サーバコンピュータが、通知されたチャレンジに基づき前記クライアントコンピュータの前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータに通知する手段と、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する手段と、
レスポンスが一致した場合に、前記クライアント用プログラムのインストールを実行する手段とを備えることを特徴とする。
また、前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可する手段を備えることを特徴とする。
また、前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする。
【発明の効果】
【００１０】
本発明の方式によれば、次のような効果がある。
（１）利用者は、管理者の許可なくアンインストールを行えないため、管理者の検知し得ない情報漏洩プログラムのアンインストールは実行不可能となる。
（２）管理者は、インストール媒体ごとのパスワードの管理および実行者の権限の管理を行う必要がなく、運用負荷がかからずに、アンインストールの実行可否を制御することができる。
（３）組織内でアンインストールに使用するワンタイムパスワード（レスポンス）の衝突が発生しにくい。
（４）異なる組織間で、異なるシークレットを定めていれば、アンインストールに使用するワンタイムパスワードの衝突が発生しない。
【図面の簡単な説明】
【００１１】
【図１】図１は、本発明の実施の形態例を示すシステム構成図である。
【図２】図２は、クライアント２００の機能ブロック図である。
【図３】図３は、サーバ３００の機能ブロック図である。
【図４】図４は、クライアント２００上での処理フローである。
【発明を実施するための形態】
【００１２】
以下、本発明を適用した情報漏洩防止プログラムのアンインストールの実行可否の制御方法について図示する実施の形態に基づいて説明する。
図１は本発明に係る情報漏洩プログラムのアンインストールの実行可否の制御方法の概要を示したシステム構成図である。
利用者１０１は、本発明を適用した情報漏洩防止システムのクライアント用プログラムをインストールしたＰＣ（パーソナルコンピュータ）であるクライアント２００を利用している。
管理者１０２は、本発明を適用した情報漏洩防止システムのサーバ用プログラムをインストールしたＰＣであるサーバ３００を利用している。サーバ３００では、情報漏洩防止システムのクライアントインストール媒体５００を作成する。クライアントインストール媒体５００の作成時に、組織ごとに異なる値（シークレット）６００を設定する。サーバ３００で作成したインストール媒体５００を使用して、クライアント２００に情報漏洩防止システムのクライアント用プログラムをインストールすると、クライアント２００では、サーバ３００で設定したシークレット６００を保持する。
【００１３】
利用者１０１は、クライアント２００から情報漏洩防止システムのクライアント用プログラムのアンインストールの実行を開始する。すると、クライアント２００にインストールされた情報漏洩防止システムのクライアント用プログラムは、アンインストールの要求を受け付けたタイミングで、クライアント２００の現在時刻情報などシードとしてチャレンジ７００を生成する。また、このチャレンジ７００とシークレット６００を元にレスポンス８００を生成し、クライアント２００上に、予め定めた一定時間の間保持する。
【００１４】
情報漏洩防止システムのクライアント２００は、生成したチャレンジ７００をクライアント２００の画面に表示し、利用者１０１に確認させ、管理者１０２にアンインストールの許可申請と一緒にチャレンジ７００を届け出る。この届け出は文書または電話、携帯メールなどによって行う。要は、クライアント２００とサーバ３００間の通信経路とは別の経路、方法によって届け出を行う。
【００１５】
管理者１０２は、利用者１０１が情報漏洩防止システムのクライアント用プログラムをアンインストールすることを申請した場合、サーバ３００にインストールされた情報漏洩防止システムのサーバ用プログラムのレスポンス生成ツールを実行する。
サーバ３００のレスポンス生成ツールは、管理者１０２にチャレンジ７００の入力を促す。このチャレンジ７００は利用者１０１から受け取ったものである。
【００１６】
管理者１０２は、サーバ３００で実行しているサーバ用プログラムのレスポンス生成ツールに、利用者１０１から届けられたチャレンジ７００を入力する。
サーバ３００で実行しているサーバ用プログラムのレスポンス生成ツールは、管理者１０２が入力したチャレンジ７００を受け付けた後、クライアント２００に設定したシークレット６００を使用して、クライアント２００におけるレスポンス生成処理と同様のアルゴリズムでレスポンス９００を生成する。そして、生成したレスポンス９００をサーバ３００の画面上に表示し、管理者１０２に通知する。
【００１７】
管理者１０２は、サーバ３００に表示されたレスポンス９００を確認し、利用者１０１にアンインストール許可の知らせと共にレスポンス９００を文書または電話、携帯メール等により通知する。
利用者１０１は、管理者１０２より受け取ったレスポンス９００を、クライアント２００に入力する。
【００１８】
クライアント２００は、入力されたレスポンス９００と、クライアント２００上に保持しているレスポンス８００とを照合し、合致していれば、情報漏洩防止システムのクライアント用プログラムをアンインストールする。
レスポンスを保持する一定時間を越えて、管理者１０２より受け取ったレスポンス９００を入力した場合は、照合を失敗とする。そして、この場合は、アンインストールを実行しない。
【００１９】
アンインストールに成功したレスポンス９００を、利用者１０１が、利用者１０３（シークレット１０００が定められ、異なる組織に属している）に情報を漏洩した場合でも、クライアント４００には異なるシークレット１０００を保持しているため、照合に失敗しアンインストールを行えない。
アンインストールを行うためのパスワードをサーバ３００で管理する必要がなく、組織ごとにシークレットを定めることで、異なる組織間で、パスワードの衝突も発生しにくい。
【００２０】
図２はクライアント２００の機能ブロック図を示している。
Ｉ／Ｏ部２１０は、ユーザ１０１からアンインストール実行の命令要求、ユーザ１０１へのチャレンジ７００の出力およびユーザ１０１からのレスポンス８００の入力を行う。チャレンジ生成部２２１は、Ｉ／Ｏ部２１０でアンインストール実行の命令要求を受け付けた際にチャレンジ７００の生成処理を行う。時間記録部２２４はチャレンジ生成部２２１が処理を始めた時刻を記録する。レスポンス生成部２２３は、チャレンジ生成部２２１が生成したチャレンジ７００と、シークレット記録部２２２に記録されているシークレット６００の２つの値を用いてレスポンス８００を生成し、レスポンス記録部２２５に記録する。
【００２１】
チャレンジ生成部２２１はＩ／Ｏ部２１０に、生成したチャレンジ７００を出力する。また、レスポンス認証部２２６は、Ｉ／Ｏ部２１０がユーザ１０１からのレスポンス９００の入力を受け付けた際に、入力されたレスポンス９００と、レスポンス記録部２２５に記録されているレスポンス８００とを比較することで認証処理を行う。入力されたレスポンス９００と記録されているレスポンス８００とが一致した場合に、時間記録部２２４に記録されている時刻と現在の時刻を使用して、経過時間を求め、一定の時間内であれば、アンインストール処理を行う。
【００２２】
図３はサーバ３００の機能ブロック図である。
Ｉ／Ｏ部３１０は、管理者１０２からのチャレンジ７００の入力および管理者１０２へのレスポンス９００の出力を行う。シークレット記録部３２２には、シークレット６００が記録されている。レスポンス生成部３２１は、Ｉ／Ｏ部３１０でチャレンジ７００の入力を受け付けた際に、管理者１０２から入力されたチャレンジ７００と、シークレット記録部３２２に記録されているシークレット６００とを使用し、クライアント２００と同等の処理によって、レスポンス９００の生成処理を行う。レスポン生成部３２１で生成されたレスポンス９００は、Ｉ／Ｏ部３１０に出力される。
【００２３】
図４は、クライアント２００上での処理を示すフローチャートである。
クライアント２００では、アンインストール実行要求を契機に処理を開始する。
まず、現在時の時刻情報などをシードとして、チャレンジ７００を生成する（ステップＳ０１）。チャレンジ７００を生成した時刻を処理の開始時刻として記録する（ステップＳ０２）。ステップＳ０１で生成したチャレンジ７００と、クライアント２００上に保持しているシークレット６００とを使用してレスポンス８００を生成する（ステップＳ０３）。ステップＳ０３で生成したレスポンス８００を、クライアント２００上に記録して保持しておく（ステップＳ０４）。画面上に、ステップＳ０１で生成したチャレンジ７００を表示する（ステップＳ０５）。チャレンジ７００の表示後、利用者１０１からのレスポンス９００の入力を待つ（ステップＳ０６）。その間に、利用者はステップＳ０５で表示されたチャレンジ７００を管理者に通知し、サーバ３００で生成されるレスポンス９００を教えてもらい、そのレスポンス９００をクライアント２００に入力する。
【００２４】
クライアント２００はレスポンス９００が入力されるまで、一定時間入力を待ち続ける（ステップＳ０７）。クライアント２００は入力されたレスポンス９００が、クライアント２００上に保持しているレスポンス８００と合致しているかを照合する（ステップＳ０８）。照合の結果、入力されたレスポンス９００が一致しなかった場合は、アンインストールを行わず、処理を終了する（ステップＳ０９）。入力されたレスポンス９００が一致した場合は、処理開始時刻からの経過時間を取得する（ステップＳ１０）。ステップＳ１０で取得した経過時間が、一定の時間以上であった場合は、アンインストールを行わず、処理を終了する（ステップＳ１１）。ステップＳ１０で取得した経過時間が、一定の時間内であれば、アンインストールを実行し、処理を終了する（ステップＳ１２）。
【００２５】
以上のように、本実施形態においては、クライアント用プログラムをアンインストールする場合、クライアント用プログラムに備えられたチャレンジ生成ツールとレスポンス生成ツールとを用いて、時々刻々と変化する時刻情報あるいはＣＰＵの温度、メモリの使用量などの各クライアントに固有のシードによりチャレンジとレスポンスを生成し、生成したチャレンジをサーバの管理者に通知し、サーバ側でこのチャレンジとシークレットによりクライアントと同様にしてレスポンスを生成し、そのレスポンスをクライアント側に通知し、クライアント側で生成したレスポンスと一致する場合にのみクライアント用プログラムのアンインストールを許可し、実行するようにしたため、従来のようなクライアント別のパスワード認証によりアンインストールの実行権限を確認するといった面倒な管理を行う必要がなくなり、管理者の負荷が軽減するといった効果がある。
また、クライアントおよびサーバ側で同一アルゴリズムによって生成したレスポンスが一致するかどうかでセキュリティ権限を確認することによって、管理者はパスワードの組織毎の面倒な管理から解放され、セキュリティ権限の管理が楽になるといった効果がある。
また、クライアントおよびサーバ側で同一アルゴリズムによって生成したレスポンスを比較する場合に、クライアント側にサーバ側からのレスポンスが一定時間内に通知されなかった場合はアンインストールを実行しないようにしているため、辞書攻撃のような時間をかけて、不正にパスワード認証を成功させるような処理に対しても、容易にアンインストールが行えない
という効果がある。
【００２６】
なお、クライアント２００のアンインストール認証に失敗した場合、クライアント２００はアンインストールを実行せず、保持しているレスポンスを自動的に破棄する。
また、クライアント２００が発行するチャレンジは、組織内でパスワードの衝突（シノニム）が発生しにくいようにするため、シードはエントロピーが高いもの、すなわち情報としての変動幅が大きく、偏りが少ないものを使用する。
また、クライアント用プログラムはサーバ３００が作成するインストール媒体５００を使用してインストールされ、インストール媒体５００を作成する際に、組織ごとに定めるシークレット６００を指定することができる。このシークレット６００は、クライアント２００が発行するレスポンス８００の一意性に利用し、異なる組織間で、情報漏洩システムが使用するワンタイムパスワード（レスポンス）のシノニムを発生しないようにする目的で使用する。
また、上記実施形態では、情報漏洩防止機能を備えたクライアント用プログラムをアンインストールしたクライアントがどのコンピュータであったかを記録することについては説明していないが、サーバ側で記録するように構成されていることは言うまでもない。
【符号の説明】
【００２７】
１０１ 利用者
１０２ 管理者
１０３ 他の利用者
２００ クライアント
２２１ チャレンジ生成部
２２３ レスポンス生成部
２２２ シークレット記録部
２２６ レスポンス認証部
３００ サーバ
３２１ レスポンス生成部
３２２ シークレット記録部
５００ インストール媒体
６００ シークレット
７００ チャレンジ
８００ レスポンス
９００ レスポンス
【技術分野】
【０００１】
本発明は、情報漏洩防止プログラムをインストールした情報漏洩防止システムに係り、情報漏洩防止プログラムのアンインストール実行可否制御方法およびシステムに関するものである。
【背景技術】
【０００２】
データの持ち出しを禁止する情報漏洩防止プログラムをインストールした情報漏洩防止システムにあっては、情報漏洩防止プログラムをアンインストールすることによってデータの持ち出し禁止機能を解除し、データの持ち出しが可能になってしまう。
そこで、従来の情報漏洩防止システムでは、情報漏洩防止プログラムのアンインストール実行時に実行者の権限をパスワードによって認証し、認証に成功した実行者のみにアンインストールを許可し、どの情報処理端末が情報漏洩防止プログラムをアンインストールしたかを管理するようにしている。
【０００３】
しかし、実行者の権限をチェックする場合、実行者毎に異なる権限を管理する必要がある。またアンインストール時に使用するパスワードを、インストール媒体毎で異なる値に設定すると、管理者はそれらの異なるパスワード全ての管理を行う必要があるため、運用面での負荷が高くなる。そのため運用面での負荷を低減するために、実行者の権限を一律で禁止または許可にした、インストール媒体毎で共通のパスワードを設定したりする場合があり、この場合セキュリティを保つことができなくなる。
【０００４】
本発明に類似する情報漏洩防止システムとして、例えば下記の特許文献１に開示されたものがある。この特許文献１に開示されたものは、インストールおよびアンインストールを行う際に、セキュリティ権限をチェックすることで、インストールおよびアンインストールの制御を行うというものである。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０００−３３９１４２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
実行者毎にセキュリティ権限を設定することは、実行者の数に比例して、管理コストも増大する。そのため、運用面での負荷が高く、権限の管理コストを抑えるため、実行者の権限を一律で禁止または、許可にする場合がある。
セキュリティ権限を一律で禁止にした場合は、アンインストールが必要な時にアンインストールが不可となり、運用上の柔軟な対応が取れない。逆に一律で許可にした場合、容易にアンインストールが可能となり、セキュリティが保てない。
また管理者がインストール媒体毎で利用者共通のパスワードを設定する場合、ある利用者がアンインストールを実行する際に、取得したパスワード情報を異なる利用者に漏洩すると、その異なる利用者が使用する情報漏洩防止プログラムをアンインストールすることが可能となってしまう。また、管理者は、その異なる利用者が情報漏洩防止プログラムをアンインストールしたことを把握できず、情報漏洩の防止および検知が行えなくなってしまう。
【０００７】
本発明の目的は、管理者の運用負荷を高くせずに、情報漏洩プログラムのアンインストール実行可否の制御を行い、管理者が把握できない情報漏洩プログラムのアンインストールが行えないようにするための方法及びシステムを提供することにある。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本発明の情報漏洩防止プログラムのアンインストール実行可否制御方法は、クライアントコンピュータにインストールした情報漏洩防止機能を備えたクライアント用プログラムのアンインストールの実行可否を管理者が管理するサーバコンピュータとの協同によって制御する方法であって、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストールの実行に先立ち、当該クライアント用プログラムがインストールされているクライアントコンピュータに固有の情報を用い、予め定めたアルゴリズムによってチャレンジとレスポンスを生成し、生成したチャレンジを前記サーバコンピュータに通知すると共に生成したレスポンスを記憶するステップと、
前記サーバコンピュータが、通知されたチャレンジに基づき前記クライアントコンピュータの前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータに通知するステップと、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較するステップと、
レスポンスが一致した場合に、前記クライアント用プログラムのインストールを実行するステップとを備えることを特徴とする。
また、前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可するステップとを備えることを特徴とする。
また、前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする。
【０００９】
また、情報漏洩防止機能を備えたクライアント用プログラムをインストールしたクライアントコンピュータと、管理者が管理するサーバコンピュータとによって構成された情報漏洩システムであって、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストールの実行に先立ち、当該クライアント用プログラムがインストールされているクライアントコンピュータに固有の情報を用い、予め定めたアルゴリズムによってチャレンジとレスポンスを生成し、生成したチャレンジを前記サーバコンピュータに通知すると共に生成したレスポンスを記憶する手段と、
前記サーバコンピュータが、通知されたチャレンジに基づき前記クライアントコンピュータの前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータに通知する手段と、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する手段と、
レスポンスが一致した場合に、前記クライアント用プログラムのインストールを実行する手段とを備えることを特徴とする。
また、前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可する手段を備えることを特徴とする。
また、前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする。
【発明の効果】
【００１０】
本発明の方式によれば、次のような効果がある。
（１）利用者は、管理者の許可なくアンインストールを行えないため、管理者の検知し得ない情報漏洩プログラムのアンインストールは実行不可能となる。
（２）管理者は、インストール媒体ごとのパスワードの管理および実行者の権限の管理を行う必要がなく、運用負荷がかからずに、アンインストールの実行可否を制御することができる。
（３）組織内でアンインストールに使用するワンタイムパスワード（レスポンス）の衝突が発生しにくい。
（４）異なる組織間で、異なるシークレットを定めていれば、アンインストールに使用するワンタイムパスワードの衝突が発生しない。
【図面の簡単な説明】
【００１１】
【図１】図１は、本発明の実施の形態例を示すシステム構成図である。
【図２】図２は、クライアント２００の機能ブロック図である。
【図３】図３は、サーバ３００の機能ブロック図である。
【図４】図４は、クライアント２００上での処理フローである。
【発明を実施するための形態】
【００１２】
以下、本発明を適用した情報漏洩防止プログラムのアンインストールの実行可否の制御方法について図示する実施の形態に基づいて説明する。
図１は本発明に係る情報漏洩プログラムのアンインストールの実行可否の制御方法の概要を示したシステム構成図である。
利用者１０１は、本発明を適用した情報漏洩防止システムのクライアント用プログラムをインストールしたＰＣ（パーソナルコンピュータ）であるクライアント２００を利用している。
管理者１０２は、本発明を適用した情報漏洩防止システムのサーバ用プログラムをインストールしたＰＣであるサーバ３００を利用している。サーバ３００では、情報漏洩防止システムのクライアントインストール媒体５００を作成する。クライアントインストール媒体５００の作成時に、組織ごとに異なる値（シークレット）６００を設定する。サーバ３００で作成したインストール媒体５００を使用して、クライアント２００に情報漏洩防止システムのクライアント用プログラムをインストールすると、クライアント２００では、サーバ３００で設定したシークレット６００を保持する。
【００１３】
利用者１０１は、クライアント２００から情報漏洩防止システムのクライアント用プログラムのアンインストールの実行を開始する。すると、クライアント２００にインストールされた情報漏洩防止システムのクライアント用プログラムは、アンインストールの要求を受け付けたタイミングで、クライアント２００の現在時刻情報などシードとしてチャレンジ７００を生成する。また、このチャレンジ７００とシークレット６００を元にレスポンス８００を生成し、クライアント２００上に、予め定めた一定時間の間保持する。
【００１４】
情報漏洩防止システムのクライアント２００は、生成したチャレンジ７００をクライアント２００の画面に表示し、利用者１０１に確認させ、管理者１０２にアンインストールの許可申請と一緒にチャレンジ７００を届け出る。この届け出は文書または電話、携帯メールなどによって行う。要は、クライアント２００とサーバ３００間の通信経路とは別の経路、方法によって届け出を行う。
【００１５】
管理者１０２は、利用者１０１が情報漏洩防止システムのクライアント用プログラムをアンインストールすることを申請した場合、サーバ３００にインストールされた情報漏洩防止システムのサーバ用プログラムのレスポンス生成ツールを実行する。
サーバ３００のレスポンス生成ツールは、管理者１０２にチャレンジ７００の入力を促す。このチャレンジ７００は利用者１０１から受け取ったものである。
【００１６】
管理者１０２は、サーバ３００で実行しているサーバ用プログラムのレスポンス生成ツールに、利用者１０１から届けられたチャレンジ７００を入力する。
サーバ３００で実行しているサーバ用プログラムのレスポンス生成ツールは、管理者１０２が入力したチャレンジ７００を受け付けた後、クライアント２００に設定したシークレット６００を使用して、クライアント２００におけるレスポンス生成処理と同様のアルゴリズムでレスポンス９００を生成する。そして、生成したレスポンス９００をサーバ３００の画面上に表示し、管理者１０２に通知する。
【００１７】
管理者１０２は、サーバ３００に表示されたレスポンス９００を確認し、利用者１０１にアンインストール許可の知らせと共にレスポンス９００を文書または電話、携帯メール等により通知する。
利用者１０１は、管理者１０２より受け取ったレスポンス９００を、クライアント２００に入力する。
【００１８】
クライアント２００は、入力されたレスポンス９００と、クライアント２００上に保持しているレスポンス８００とを照合し、合致していれば、情報漏洩防止システムのクライアント用プログラムをアンインストールする。
レスポンスを保持する一定時間を越えて、管理者１０２より受け取ったレスポンス９００を入力した場合は、照合を失敗とする。そして、この場合は、アンインストールを実行しない。
【００１９】
アンインストールに成功したレスポンス９００を、利用者１０１が、利用者１０３（シークレット１０００が定められ、異なる組織に属している）に情報を漏洩した場合でも、クライアント４００には異なるシークレット１０００を保持しているため、照合に失敗しアンインストールを行えない。
アンインストールを行うためのパスワードをサーバ３００で管理する必要がなく、組織ごとにシークレットを定めることで、異なる組織間で、パスワードの衝突も発生しにくい。
【００２０】
図２はクライアント２００の機能ブロック図を示している。
Ｉ／Ｏ部２１０は、ユーザ１０１からアンインストール実行の命令要求、ユーザ１０１へのチャレンジ７００の出力およびユーザ１０１からのレスポンス８００の入力を行う。チャレンジ生成部２２１は、Ｉ／Ｏ部２１０でアンインストール実行の命令要求を受け付けた際にチャレンジ７００の生成処理を行う。時間記録部２２４はチャレンジ生成部２２１が処理を始めた時刻を記録する。レスポンス生成部２２３は、チャレンジ生成部２２１が生成したチャレンジ７００と、シークレット記録部２２２に記録されているシークレット６００の２つの値を用いてレスポンス８００を生成し、レスポンス記録部２２５に記録する。
【００２１】
チャレンジ生成部２２１はＩ／Ｏ部２１０に、生成したチャレンジ７００を出力する。また、レスポンス認証部２２６は、Ｉ／Ｏ部２１０がユーザ１０１からのレスポンス９００の入力を受け付けた際に、入力されたレスポンス９００と、レスポンス記録部２２５に記録されているレスポンス８００とを比較することで認証処理を行う。入力されたレスポンス９００と記録されているレスポンス８００とが一致した場合に、時間記録部２２４に記録されている時刻と現在の時刻を使用して、経過時間を求め、一定の時間内であれば、アンインストール処理を行う。
【００２２】
図３はサーバ３００の機能ブロック図である。
Ｉ／Ｏ部３１０は、管理者１０２からのチャレンジ７００の入力および管理者１０２へのレスポンス９００の出力を行う。シークレット記録部３２２には、シークレット６００が記録されている。レスポンス生成部３２１は、Ｉ／Ｏ部３１０でチャレンジ７００の入力を受け付けた際に、管理者１０２から入力されたチャレンジ７００と、シークレット記録部３２２に記録されているシークレット６００とを使用し、クライアント２００と同等の処理によって、レスポンス９００の生成処理を行う。レスポン生成部３２１で生成されたレスポンス９００は、Ｉ／Ｏ部３１０に出力される。
【００２３】
図４は、クライアント２００上での処理を示すフローチャートである。
クライアント２００では、アンインストール実行要求を契機に処理を開始する。
まず、現在時の時刻情報などをシードとして、チャレンジ７００を生成する（ステップＳ０１）。チャレンジ７００を生成した時刻を処理の開始時刻として記録する（ステップＳ０２）。ステップＳ０１で生成したチャレンジ７００と、クライアント２００上に保持しているシークレット６００とを使用してレスポンス８００を生成する（ステップＳ０３）。ステップＳ０３で生成したレスポンス８００を、クライアント２００上に記録して保持しておく（ステップＳ０４）。画面上に、ステップＳ０１で生成したチャレンジ７００を表示する（ステップＳ０５）。チャレンジ７００の表示後、利用者１０１からのレスポンス９００の入力を待つ（ステップＳ０６）。その間に、利用者はステップＳ０５で表示されたチャレンジ７００を管理者に通知し、サーバ３００で生成されるレスポンス９００を教えてもらい、そのレスポンス９００をクライアント２００に入力する。
【００２４】
クライアント２００はレスポンス９００が入力されるまで、一定時間入力を待ち続ける（ステップＳ０７）。クライアント２００は入力されたレスポンス９００が、クライアント２００上に保持しているレスポンス８００と合致しているかを照合する（ステップＳ０８）。照合の結果、入力されたレスポンス９００が一致しなかった場合は、アンインストールを行わず、処理を終了する（ステップＳ０９）。入力されたレスポンス９００が一致した場合は、処理開始時刻からの経過時間を取得する（ステップＳ１０）。ステップＳ１０で取得した経過時間が、一定の時間以上であった場合は、アンインストールを行わず、処理を終了する（ステップＳ１１）。ステップＳ１０で取得した経過時間が、一定の時間内であれば、アンインストールを実行し、処理を終了する（ステップＳ１２）。
【００２５】
以上のように、本実施形態においては、クライアント用プログラムをアンインストールする場合、クライアント用プログラムに備えられたチャレンジ生成ツールとレスポンス生成ツールとを用いて、時々刻々と変化する時刻情報あるいはＣＰＵの温度、メモリの使用量などの各クライアントに固有のシードによりチャレンジとレスポンスを生成し、生成したチャレンジをサーバの管理者に通知し、サーバ側でこのチャレンジとシークレットによりクライアントと同様にしてレスポンスを生成し、そのレスポンスをクライアント側に通知し、クライアント側で生成したレスポンスと一致する場合にのみクライアント用プログラムのアンインストールを許可し、実行するようにしたため、従来のようなクライアント別のパスワード認証によりアンインストールの実行権限を確認するといった面倒な管理を行う必要がなくなり、管理者の負荷が軽減するといった効果がある。
また、クライアントおよびサーバ側で同一アルゴリズムによって生成したレスポンスが一致するかどうかでセキュリティ権限を確認することによって、管理者はパスワードの組織毎の面倒な管理から解放され、セキュリティ権限の管理が楽になるといった効果がある。
また、クライアントおよびサーバ側で同一アルゴリズムによって生成したレスポンスを比較する場合に、クライアント側にサーバ側からのレスポンスが一定時間内に通知されなかった場合はアンインストールを実行しないようにしているため、辞書攻撃のような時間をかけて、不正にパスワード認証を成功させるような処理に対しても、容易にアンインストールが行えない
という効果がある。
【００２６】
なお、クライアント２００のアンインストール認証に失敗した場合、クライアント２００はアンインストールを実行せず、保持しているレスポンスを自動的に破棄する。
また、クライアント２００が発行するチャレンジは、組織内でパスワードの衝突（シノニム）が発生しにくいようにするため、シードはエントロピーが高いもの、すなわち情報としての変動幅が大きく、偏りが少ないものを使用する。
また、クライアント用プログラムはサーバ３００が作成するインストール媒体５００を使用してインストールされ、インストール媒体５００を作成する際に、組織ごとに定めるシークレット６００を指定することができる。このシークレット６００は、クライアント２００が発行するレスポンス８００の一意性に利用し、異なる組織間で、情報漏洩システムが使用するワンタイムパスワード（レスポンス）のシノニムを発生しないようにする目的で使用する。
また、上記実施形態では、情報漏洩防止機能を備えたクライアント用プログラムをアンインストールしたクライアントがどのコンピュータであったかを記録することについては説明していないが、サーバ側で記録するように構成されていることは言うまでもない。
【符号の説明】
【００２７】
１０１ 利用者
１０２ 管理者
１０３ 他の利用者
２００ クライアント
２２１ チャレンジ生成部
２２３ レスポンス生成部
２２２ シークレット記録部
２２６ レスポンス認証部
３００ サーバ
３２１ レスポンス生成部
３２２ シークレット記録部
５００ インストール媒体
６００ シークレット
７００ チャレンジ
８００ レスポンス
９００ レスポンス
【特許請求の範囲】
【請求項１】
クライアントコンピュータにインストールした情報漏洩防止機能を備えたクライアント用プログラムのアンインストールの実行可否を管理者が管理するサーバコンピュータとの協同によって制御する方法であって、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストールの実行に先立ち、当該クライアント用プログラムがインストールされているクライアントコンピュータに固有の情報を用い、予め定めたアルゴリズムによってチャレンジとレスポンスを生成し、生成したチャレンジを前記サーバコンピュータに通知すると共に生成したレスポンスを記憶するステップと、
前記サーバコンピュータが、通知されたチャレンジに基づき前記クライアントコンピュータの前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータに通知するステップと、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較するステップと、
レスポンスが一致した場合に、前記クライアント用プログラムのインストールを実行するステップとを備えることを特徴とする情報漏洩防止プログラムのアンインストールの実行可否制御方法。
【請求項２】
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可するステップと、
を備えることを特徴とする請求項１に記載の情報漏洩防止プログラムのアンインストールの実行可否制御方法。
【請求項３】
前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする請求項１または２に記載の情報漏洩防止プログラムのアンインストールの実行可否制御方法。
【請求項４】
情報漏洩防止機能を備えたクライアント用プログラムをインストールしたクライアントコンピュータと、管理者が管理するサーバコンピュータとによって構成された情報漏洩システムであって、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストールの実行に先立ち、当該クライアント用プログラムがインストールされているクライアントコンピュータに固有の情報を用い、予め定めたアルゴリズムによってチャレンジとレスポンスを生成し、生成したチャレンジを前記サーバコンピュータに通知すると共に生成したレスポンスを記憶する手段と、
前記サーバコンピュータが、通知されたチャレンジに基づき前記クライアントコンピュータの前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータに通知する手段と、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する手段と、
レスポンスが一致した場合に、前記クライアント用プログラムのインストールを実行する手段と、
を備えることを特徴とする情報漏洩防止システム。
【請求項５】
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可する手段を備えることを特徴とする請求項１に記載の情報漏洩防止システム。
【請求項６】
前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする請求項４または５に記載の情報漏洩防止。
【請求項１】
クライアントコンピュータにインストールした情報漏洩防止機能を備えたクライアント用プログラムのアンインストールの実行可否を管理者が管理するサーバコンピュータとの協同によって制御する方法であって、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストールの実行に先立ち、当該クライアント用プログラムがインストールされているクライアントコンピュータに固有の情報を用い、予め定めたアルゴリズムによってチャレンジとレスポンスを生成し、生成したチャレンジを前記サーバコンピュータに通知すると共に生成したレスポンスを記憶するステップと、
前記サーバコンピュータが、通知されたチャレンジに基づき前記クライアントコンピュータの前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータに通知するステップと、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較するステップと、
レスポンスが一致した場合に、前記クライアント用プログラムのインストールを実行するステップとを備えることを特徴とする情報漏洩防止プログラムのアンインストールの実行可否制御方法。
【請求項２】
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可するステップと、
を備えることを特徴とする請求項１に記載の情報漏洩防止プログラムのアンインストールの実行可否制御方法。
【請求項３】
前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする請求項１または２に記載の情報漏洩防止プログラムのアンインストールの実行可否制御方法。
【請求項４】
情報漏洩防止機能を備えたクライアント用プログラムをインストールしたクライアントコンピュータと、管理者が管理するサーバコンピュータとによって構成された情報漏洩システムであって、
前記クライアントコンピュータが、前記クライアント用プログラムのアンインストールの実行に先立ち、当該クライアント用プログラムがインストールされているクライアントコンピュータに固有の情報を用い、予め定めたアルゴリズムによってチャレンジとレスポンスを生成し、生成したチャレンジを前記サーバコンピュータに通知すると共に生成したレスポンスを記憶する手段と、
前記サーバコンピュータが、通知されたチャレンジに基づき前記クライアントコンピュータの前記アルゴリズムと同一アルゴリズムによってレスポンスを生成し、そのレスポンスを前記クライアントコンピュータに通知する手段と、
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する手段と、
レスポンスが一致した場合に、前記クライアント用プログラムのインストールを実行する手段と、
を備えることを特徴とする情報漏洩防止システム。
【請求項５】
前記クライアントコンピュータが、前記サーバコンピュータから受け取ったレスポンスと前記記憶したレスポンスと照合し、一致するか比較する場合、クライアントコンピュータにサーバコンピュータからのレスポンスが一定時間内に通知されなかった場合はアンインストールの実行を不許可する手段を備えることを特徴とする請求項１に記載の情報漏洩防止システム。
【請求項６】
前記クライアントコンピュータに固有の情報には、情報としての変動幅が大きく、偏りが少ない情報を用いることを特徴とする請求項４または５に記載の情報漏洩防止。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１２−７８９７９（Ｐ２０１２−７８９７９Ａ）
【公開日】平成２４年４月１９日（２０１２．４．１９）
【国際特許分類】
【出願番号】特願２０１０−２２２０１３（Ｐ２０１０−２２２０１３）
【出願日】平成２２年９月３０日（２０１０．９．３０）
【出願人】（０００２３３０５５）株式会社日立ソリューションズ (1,610)
【Ｆターム（参考）】
【公開日】平成２４年４月１９日（２０１２．４．１９）
【国際特許分類】
【出願日】平成２２年９月３０日（２０１０．９．３０）
【出願人】（０００２３３０５５）株式会社日立ソリューションズ (1,610)
【Ｆターム（参考）】
[ Back to top ]