JP5160911B2 - 本人認証装置、本人認証方法および本人認証プログラム - Google Patents

Description

この発明は、回線接続された端末を操作してアクセスしてきた利用者について本人であるか否かの確率を推定する本人認証装置、本人認証方法および本人認証プログラムに関する。

従来より、例えば、回線接続された端末を操作する利用者がＷｅｂブラウザを介して会員制のホームページにログインしてサービスを受ける際に、利用者からＩＤおよびパスワードを受け付けて認証する個人認証システムが長らく運用されてきたが、パスワードは第三者による詐取が容易であるため、不正行為者によるなりすましリスクが高かった。そのような背景から、従来型のＩＤおよびパスワードによる認証方式に加え、複数の有効な認証方式を組み合わせたマルチファクタ認証が提案されている。

現在、サービス提供者が利用者を認証する方式としては、暗証番号やパスワードといった本人が知っている知識を用いる方式と、生体情報や行動的特徴といった本人自身に備わっている特徴を用いる方式と、ＩＣカードやハードウェアトークン（秘密情報が格納されたトークン）といった本人が所有する持ち物を用いる方式とが知られており、これらの３方式を組み合わせて認証することが望ましいとされている。

しかしながら、生体情報などを用いる方式では、本人性を確認する手段としては強力であるものの、他人誤認や本人排除を防ぐために複雑な処理および専用装置が必要となり、この専用装置が非常に高価である場合もあるので、サービス提供者が導入することは容易ではない。また、利用者（エンドユーザ）においても専用装置をセットアップする手間などが発生するので、導入は容易でない。同様に、ハードウェアトークンなどを用いる方式では、トークンを読み取る装置などを予め利用者に配布する必要があり、初期導入コストが高くなる傾向がある。

このようなことから、新たな装置の導入や配布が不要な認証方式として、既存のデバイス（利用者が操作する端末）から取得可能な複数の属性情報を用いてデバイスを判定する方式が提案されており、さらには、デバイスの属性情報だけでなく、接続元のネットワーク情報やアクセス時間帯などのアクセス情報を取得し、ユーザの断片的な行動パターンを分析してモデル化することで本人かどうかを判定するリスクベース認証方式も知られるに至っている。

このリスクベース認証方式は、ログイン時のアクセスログなどからユーザの行動パターンを分析し、それに基づいて各トランザクションのリスク値を算出し、サービス提供者のポリシーに基づいたリスクレベルに応じて認証方式や認証強度を制御できることが特徴である。また、リスクベース認証ソリューションとしては、日本ベリサイン社のオンライン詐欺検知システムなどが知られており、リスクレベルの算出に用いる個々のファクタ（例えば、ＩＰアドレス、ブラウザ情報、デバイス情報など）に対して、ポリシーやルールを定義し、閾値を設定した上でリスク値を算出する（例えば、非特許文献１および２参照）。

"ベリサイン アイデンティティプロテクション オンライン詐欺検出サービス"、［online］、［平成１９年１２月６日検索］、インターネット＜http://www.verisign.co.jp/vip/resources/pdf/ds_fds2006.pdf＞ ＲＳＡセキュリティ株式会社著、「RSA Adaptive Authentication for Web」、（日本語訳）、２００６年１１月版、p.1-8

しかしながら、上記した従来の技術のうち、デバイスの属性情報のみを判定要素として本人認証を行う方式では、デバイスの盗難紛失リスクがあるので、第三者によるなりすましを完全に防止することはできないという課題がある。

つまり、正規ユーザが所有する端末およびＩＤを用いて、正規ユーザ以外の人物が認証を依頼してきたような場合や、正規ユーザが利用するネットワークや回線を介して、かつ、正規ユーザが所有する端末およびＩＤを用いて、正規ユーザ以外の人物が認証を依頼してきたような場合（正規ユーザ以外の人物が悪意を持っているか否かは関係なく、例えば、家族で端末を共有し、ＩＤを使い回しているような場合）、利用するネットワークが頻繁に変動する正規ユーザについて、その正規ユーザが所有する端末およびＩＤを用いて、正規ユーザ以外の人物が認証を依頼してきたような場合には、第三者によるなりすましを完全に防止することはできない。

また、上記した従来の技術のうち、複数の判定要素を用いて本人認証を行う方式（マルチファクタ認証方式）では、個々の判定要素間の依存関係を考慮することや、正規ユーザである確率がどの程度であるかを判定することができないという課題がある。

つまり、マルチファクタ認証方式においては、複数の判定要素の論理積を取って最終的にＯＫまたはＮＧの判定を下すか、または、個々の判定要素ごとにポリシーを定め、定量化が可能な判定要素については閾値を設けるなどして総合的な判定を行う処理が必要になる。しかし、前者の判定処理では、正規ユーザである確率がどの程度であるかなど、リスクレベルを把握することは困難であり、サービス内容に応じて本人確認を強化するといった細やかな制御ができない。一方、後者の判定処理では、リスクレベルを表現することはできるが、個々の判定要素間の依存関係を考慮した精度の高い判定はできない。

さらに、上記した従来の技術のうち、リスクベース認証ソリューションでは、サービス内容に適合した本人認証を容易に実現することや、精度の高い本人認証を行うことができないという課題がある。

つまり、リスクベース認証ソリューションでは、リスク値を算出するためのルールについて、サービスプロバイダなどの事業主体が柔軟に設定できるというメリットがある反面、そのサービス内容にチューニングされた設定やノウハウがなければ最適化の作業は容易でなく、サービス内容に適合した本人認証を必ずしも容易に実現することはできない。また、リスクベース認証ソリューションでは、判定のためのファクタ（例えば、ＩＰアドレス、ブラウザ情報、デバイス情報など）は断片的に得られるものであり、個人の特徴を表すような連続的な情報を取得しているわけではないので、例えば、毎回異なる回線や端末からアクセスすることが多い高リスクの正規ユーザについて、本人でないと判定するおそれがあり、精度の高い本人認証はできない。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、判定要素間の依存関係を加味した定量的な確率値として判定すること、サービスに適合した本人認証を容易かつ精度良く実現することが可能な本人認証装置、本人認証方法および本人認証プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、本発明は、回線接続された端末を操作してアクセスしてきた利用者について本人であるか否かの確率を推定する本人認証装置であって、前記回線接続された端末から、当該端末を操作する利用者の行動特性情報を取得する行動特性情報取得手段と、前記行動特性情報取得手段によって取得された行動特性情報と、現にアクセスしてきた利用者の確率モデルとを用いて、利用者が本人である確率を示す確率値を算出する確率値算出手段と、を備えたことを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得手段は、行動特性情報として、各利用者が操作している端末に対する利用者の操作に係る慣習的な特徴を示す慣習情報を取得することを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得手段は、行動特性情報として、各利用者が操作している端末の属性を示す端末情報を取得することを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得手段は、行動特性情報として、各利用者が操作している端末が接続されている回線の属性を示す回線情報を取得することを特徴とする。

また、本発明は、上記の発明において、行動特性情報取得手段によって取得された行動特性情報を利用者ごとに記憶する行動特性情報記憶手段と、前記行動特性情報記憶手段によって記憶された行動特性情報から、各利用者の確率モデルを生成する確率モデル生成手段と、をさらに備えたことを特徴とする。

また、本発明は、上記の発明において、前記確率値算出手段によって算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを認証する認証手段をさらに備えたことを特徴とする。

また、本発明は、上記の発明において、前記認証手段は、前記確率値算出手段によって算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを認証した結果、現にアクセスしてきた利用者が本人でないと認証した場合には、他の認証方法を用いて、再度認証を行うことを特徴とする。

また、本発明は、回線接続された端末を操作してアクセスしてきた利用者について本人であるか否かの確率を推定する本人認証方法であって、前記回線接続された端末から、当該端末を操作する利用者の行動特性情報を取得する行動特性情報取得工程と、前記行動特性情報取得工程によって取得された行動特性情報と、現にアクセスしてきた利用者の確率モデルとを用いて、利用者が本人である確率を示す確率値を算出する確率値算出工程と、を含んだことを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得工程は、行動特性情報として、各利用者が操作している端末に対する利用者の操作に係る慣習的な特徴を示す慣習情報を取得することを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得工程は、行動特性情報として、各利用者が操作している端末の属性を示す端末情報を取得することを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得工程は、行動特性情報として、各利用者が操作している端末が接続されている回線の属性を示す回線情報を取得することを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得工程によって取得された行動特性情報を利用者ごとに所定の記憶部に記憶する行動特性情報記憶工程と、前記行動特性情報記憶工程によって記憶された行動特性情報から、各利用者の確率モデルを生成する確率モデル生成工程と、をさらに含んだことを特徴とする。

また、本発明は、上記の発明において、前記確率値算出工程によって算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを認証する認証工程をさらに含んだことを特徴とする。

また、本発明は、上記の発明において、前記認証工程は、前記確率値算出工程によって算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを認証した結果、現にアクセスしてきた利用者が本人でないと認証した場合には、他の認証方法を用いて、再度認証を行うことを特徴とする。

また、本発明は、回線接続された端末を操作してアクセスしてきた利用者について本人であるか否かの確率を推定する本人認証方法をコンピュータに実行させる本人認証プログラムであって、前記回線接続された端末から、当該端末を操作する利用者の行動特性情報を取得する行動特性情報取得手順と、前記行動特性情報取得手順によって取得された行動特性情報と、現にアクセスしてきた利用者の確率モデルとを用いて、利用者が本人である確率を示す確率値を算出する確率値算出手順と、をコンピュータに実行させることを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得手順は、行動特性情報として、各利用者が操作している端末に対する利用者の操作に係る慣習的な特徴を示す慣習情報を取得することを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得手順は、行動特性情報として、各利用者が操作している端末の属性を示す端末情報を取得することを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得手順は、行動特性情報として、各利用者が操作している端末が接続されている回線の属性を示す回線情報を取得することを特徴とする。

また、本発明は、上記の発明において、前記行動特性情報取得手順によって取得された行動特性情報を利用者ごとに所定の記憶部に記憶する行動特性情報記憶手順と、前記行動特性情報記憶手順によって記憶された行動特性情報から、各利用者の確率モデルを生成する確率モデル生成手順と、をさらにコンピュータに実行させることを特徴とする。

また、本発明は、上記の発明において、前記確率値算出手順によって算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを認証する認証手順をさらにコンピュータに実行させることを特徴とする。

本発明は、上記の発明において、前記認証手順は、前記確率値算出手順によって算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを認証した結果、現にアクセスしてきた利用者が本人でないと認証した場合には、他の認証方法を用いて、再度認証を行うことを特徴とする。

本発明によれば、回線接続された端末を操作してアクセスしてきた利用者について本人であるか否かの確率を推定し、回線接続された端末から、端末を操作する利用者の行動特性情報を取得し、取得された行動特性情報と、現にアクセスしてきた利用者の確率モデルとを用いて、利用者が本人である確率を示す確率値を算出するので、定量的な確率値として判定すること、サービスに適合した本人認証を容易かつ精度良く実現することが可能な本人認証装置、本人認証方法および本人認証プログラムを提供することが可能である。

本発明によれば、行動特性情報として、各利用者が操作している端末に対する利用者の操作に係る慣習的な特徴を示す慣習情報を取得するので、利用者の行動的特徴を表す慣習情報から、端末情報を詐取、模倣または再現された場合のなりすましリスクを低減することができる。

本発明によれば、行動特性情報として、各利用者が操作している端末の属性を示す端末情報を取得するので、利用者端末の情報から、前回アクセス時の端末と同じ端末を用いているか否かの判定ができる。

本発明によれば、行動特性情報として、各利用者が操作している端末が接続されている回線の属性を示す回線情報を取得するので、利用者端末に接続された回線情報から、端末情報を詐取、模倣または再現された場合のなりすましリスクを低減することができる。

本発明によれば、取得された行動特性情報を利用者ごとに記憶し、記憶された行動特性情報から、各利用者の確率モデルを生成するので、過去のアクセス情報から個人の行動に最適化された本人判定用のモデルデータを動的に作成することが可能である。

本発明によれば、算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを認証するので、他人が行った不正なアクセスを検知し、端末情報を詐取、模倣または再現された場合のなりすましリスクを低減することができる。

本発明によれば、算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを認証した結果、現にアクセスしてきた利用者が本人でないと認証した場合には、他の認証方法を用いて、再度認証を行うので、本人が行った正当なアクセスが、算出された確率値に基づいて不正なアクセスであると判定された場合でも、再度認証の機会を与えることが可能である。

以下に添付図面を参照して、この発明に係る本人認証装置、本人認証方法および本人認証プログラムの実施例を詳細に説明する。

［１：本人認証装置の構成］
実施例に係る本人認証装置の構成を説明する。図１は、実施例に係る本人認証装置の構成を示すブロック図である。本人認証装置１０は、回線接続された利用者端末４０を操作してアクセスしてきた利用者について本人認証を行う装置であり、同図に示すように、行動特性情報抽出部３０と、制御部３１ａ、事前判定処理部３１ｂ、確率モデル生成部３１ｃおよび確率推論部３１ｄからなる認証処理部３１と、ルール定義部２１およびユーザ情報部２２からなる記憶部２０とを備える。

なお、利用者端末４０は、例えば、パーソナルコンピュータや、家庭用ゲーム機、インターネットＴＶ、情報家電、ＰＤＡ、あるいは携帯電話やＰＨＳの如き移動体通信端末であり、少なくともネットワークに接続するための通信部と、利用者から各種の操作入力（例えば、ログインＩＤやログインパスワードなど）を受け付ける入力部とを備える。

本人認証装置１０の各部のうち、記憶部２０は、認証処理部３１による各種処理に必要なデータおよびプログラムを格納し、ルール定義部２１およびユーザ情報部２２からなるが、特に本発明に密接に関連するものとして、ユーザ情報部２２を備える。

ルール定義部２１は、後述する事前判定処理部３１ｂによる判定処理に用いるルールを記憶する。具体的に例を挙げれば、短時間の間に物理的に離れた場所からの同一ユーザＩＤによるアクセスや、人間的に不可能な短時間の間の連続アクセスなど、明らかに不正アクセスと判断される行為を判定するスクリプト記述を記憶する。

ユーザ情報部２２は、アクセスしてきた利用者の情報を記憶する。具体的には、ユーザ情報部２２は、図２に例示するように、アクセス履歴情報の他に、回線接続された利用者端末４０から、後述する認証処理部３１によって、利用者の特別な操作を伴わずに取得された当該利用者端末４０を操作する利用者の行動特性情報であって、各利用者が操作している利用者端末４０の属性を示す端末情報、該利用者端末４０が接続されている回線の属性を示す回線情報、該利用者端末４０に対する利用者の操作に係る慣習的な特徴を示す慣習情報をそれぞれアクセスログとして記憶する。

ユーザ情報部２２は、「アクセス履歴情報」としては、例えば、利用者端末４０において利用者が操作入力した情報である本人識別ＩＤもしくはログインＩＤ、ログインパスワードなどを記憶する。

また、ユーザ情報部２２は、「端末情報」としては、例えば、利用者端末４０において稼働しているＯＳやブラウザを特定するＯＳ情報、ブラウザ種別情報、ブラウザバージョン情報、ブラウザ設定情報（言語設定など）や、利用者端末４０に搭載されているＣＰＵを特定するＣＰＵ情報、利用者端末４０のスクリーンを特定するスクリーン解像度、利用者端末４０に設定されているシステム言語情報などを記憶する。

また、ユーザ情報部２２は、「回線情報」としては、例えば、アクセス元のＩＰアドレス情報、アクセス元の回線が契約している回線事業者もしくはプロバイダによって一意に付与されている回線識別情報、その回線事業者もしくはプロバイダを特定するプロバイダ情報（ＩＰアドレス情報から導き出される情報）、アクセス元の地理的情報（ＩＰアドレス情報から導き出せる情報）などを記憶する。

また、ユーザ情報部２２は、「慣習情報」としては、例えば、アクセス年月日、アクセス時間帯等を含む時間情報、ＩＤやパスワード入力時のキーボードの平均打鍵速度や隣接打鍵間速度、マウス操作の軌跡情報等を記憶する。

行動特性抽出部３０は、回線接続された端末から、当該端末を操作する利用者の行動特性情報をアクセスログとして取得する。具体的には、行動特性抽出部３０は、利用者端末からネットワークを介して行動特性情報を取得し、取得された行動特性情報をユーザ情報記憶部２２に記憶させる。なお、これらの行動特性情報は、ＨＴＴＰヘッダ、Ｗｅｂページに組み込まれたＪａｖａ（登録商標）Ｓｃｒｉｐｔ、Ｆｌａｓｈ、ＡｃｔｉｖｅＸ等から取得可能であるが、取得方法はこれらに限定されるものではない。

制御部３１ａは、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、主に、行動特性抽出部３０、事前判定処理部３１ｂ、確率モデル生成部３１ｃおよび確率推論部３１ｄとの間で、データの送受信を行う。

事前判定処理部３１ｂは、端末からのアクセスがあった場合に、当該アクセスが不正アクセスであるかを事前に判定する処理を実施するようにしてもよい。具体的には、事前判定処理部３１ｂは、端末からのアクセスがあった場合に、ルール定義部２１に記憶されたルールに基づいて、端末からのアクセスが不正なアクセスであるかを事前に判定し、アクセスが不正であると判定した場合には、ログイン処理を中止するようにしてもよい。一方、事前判定処理部３１ｂは、アクセスが不正なアクセスでないと判定した場合には、その旨を制御部３１ａに通知する。

ここで、不正なアクセスであると判定する具体的な例としては、短時間の間に物理的に離れた場所からの同一ユーザＩＤによるアクセスや、物理的に不可能な短時間の間の連続アクセスなど、明らかに不正アクセスと判断される行為を不正なアクセスとして判定する。

認証処理部３１は、行動特性情報抽出部３０から抽出された行動特性情報に基づいて、事前判定処理部３１ｂにおいて不正アクセスか否かを判定した結果を制御部３１ａが受け取り、不正アクセスでない場合は、確率推論部３１ｄにおいて、既に確率モデル生成部３１ｃにおいて生成された確率モデルに基づいて、現にアクセスしてきた利用者が本人であるかを示す本人推定値を算出する。さらに、算出された本人推定値を制御部３１ａが受け取り、算出された本人推定値が閾値以上であるか判定する。その結果、制御部３１ａが算出された推定値が閾値以上であると判定した場合には、正規利用者と判定し、利用者がサービスを受けるためのシステムにログインすることが出来るように制御し、確率モデル生成部３１ｃが確率モデルとしての条件付確率表を更新する。

確率モデル生成部３１ｃは、行動特性情報抽出部３０から抽出された行動特性情報が蓄積されているユーザ情報部２２のアクセス情報に基づいて、個人の行動に最適化された本人判定用のモデルデータを動的に作成し、また確率モデルを更新する機能を持つ。

また、制御部３１ａが算出された推定値が閾値以上でないと判定した場合には、再度本人確認を行うための追加認証を実施する。その結果、制御部３１ａが正当性を確認できた場合には、利用者がサービスを受けるためのシステムにログインすることが出来るように制御し、確率モデルを更新する。一方、追加認証の結果、正当性を確認できなかった場合には、ログイン処理を中止する。なお、追加認証の例としては、携帯電話や電子メールなどの他の通信経路により再度本人確認を行う方法があるが、追加認証の方式および閾値の基準をサービス事業者のポリシーに応じて柔軟に変更することができる。

確率推論部３１ｄでは、確率推論手法を用いて本人であるか否かの確率を推定する。確率推論手法の代表的な手法としては、多変量解析手法であるクラスタ分析や判別分析、また共分散構造分析、決定木、ニューラルネットワーク、ベイジアンネットワークなどが知られており、いずれかの方法で実施可能である。以下では、ベイジアンネットワークを用いた実施例を示すが、これに限定されるものではない。

ここで、確率推論部３１ｄの確率モデルとしての条件付確率表の生成処理について図３および図４を用いて説明する。図３に示すように、確率推論部３１ｄでは、認証要素の依存関係を定義した確率ネットワークモデルとしてのベイジアンネットワークモデルが定義されている。このベイジアンネットワークモデルは、各認証要素を表わすノードと、認証要素間の依存関係を規定するリンクによって表現することができる。

このようなベイジアンネットワークモデルを用いて、確率推論部３１ｄは、既に蓄積されている過去の行動特性情報（アクセスデータ）をユーザ情報部２２から読み出し、ベイジアンネットワークモデルに則って、図４に例示するような条件付確率表を作成する。例えば、図４の例では、回線識別ＩＤ＝Ｎ１、ＯＳ情報＝Ｓ１でアクセスされた場合には、正規ユーザである確率が「０．９５」（９５パーセント）であり、回線識別ＩＤ＝Ｎ１、ＯＳ情報＝Ｓ２でアクセスされた場合には、正規ユーザである確率が「０．８５」（８５パーセント）となる。

つまり、図３および図４の例を用いて本人推定値計算処理を説明すると、確率推論部３１ｄは、ベイジアンネットワークを構成する各ノードに対して、ユーザＸの行動特性情報Ｙ（回線識別ＩＤ＝Ｎ１、ＯＳ情報＝Ｓ１）が入力されたときの確率変動を計算し、本人判定を行うノードＸの事後確率値「０．９５」を返す。この値は本人らしさを表す本人推定値となる。

ここで、図５を用いて、本人確率値の算出例を詳細に説明する。なお、図５では簡略に記されているが、「ａ１」が本人を示し、「ａ２」が他人を示し、「ｂ」および「ｃ」は、所定の行動特性情報を示すこととする。

図５の上段に示すように、確率推論部３１ｄは、ユーザ情報部２２が保持するアクセスログとしての行動特性情報を確率ネットワークモデルに対して入力することで、各認証要素の観測値の出現頻度から確率を計算する。確率推論部３１ｄは、その計算された確率を条件付確率表として保持する。このとき、各データの依存関係に基づいて条件付確率表が更新され、条件付確率が更新される。また、アクセスログ全体に対する「ａ１」の割合と「ａ２」の割合とをターゲット生起確率として算出する。

そして、確率推論部３１ｄは、図５の下段に示すように、利用者からアクセスがあった場合に、本人確率値を算出する。つまり、図５の例では、確率推論部３１ｄは、入力値として行動特性情報「ｂ１」、「ｃ２」が与えられた場合には、条件付確率表に対応するａ１の条件付確率「０．０４８」と、ａ２の条件付確率「０．０９６」とを読み出す。そして、これらの値から本人である確率が３３．３パーセント（＝０．０４８／（０．０４８＋０．０９６））となる。

なお、この本人認証装置１０は、既知のパーソナルコンピュータ、ワークステーションまたはＰＤＡなどの情報処理装置に、上記した行動特性抽出部３０、制御部３１ａ、事前判定処理部３１ｂ、確率モデル生成部３１ｃおよび確率推論部３１ｄの各機能を搭載することによって実現することもできる。

［２：本人認証装置による処理］
次に、図６を用いて、本人認証装置による処理を説明する。図６は、本人認証処理の流れを示すフローチャートである。同図に示すように、本人認証装置１０の行動特性抽出部３０は、端末からのアクセスがあった場合に、利用者端末からネットワークを介して行動特性情報を取得する（ステップＳ１０１）。

そして、事前判定処理部３１ｂは、ルール定義部２１に記憶されたルールに基づいて、端末からのアクセスが不正なアクセスであるかを事前に判定し（ステップＳ１０２）、アクセスが不正であると判定した場合には（ステップＳ１０２肯定）、ログイン処理を中止する（ステップＳ１０９）。一方、事前判定処理部３１ｂがアクセスが不正なアクセスでないと判定した場合には（ステップＳ１０２否定）、確率推論部３１ｄは、本人推定値を算出する（ステップＳ１０３）。そして、制御部３１ａが算出された推定値が閾値以上であるか判定する（ステップＳ１０４）。

その結果、制御部３１ａは、算出された推定値が閾値以上であると判定した場合には（ステップＳ１０４肯定）、正規利用者と判定し（ステップＳ１０５）、利用者がサービスを受けるためのシステムにログインすることが出来るように制御する。そして、確率モデル生成部３１ｃは、確率モデル（つまり、条件付確率表）を更新する（ステップＳ１０６）。

また、制御部３１ａは、算出された推定値が閾値以上でないと判定した場合には（ステップＳ１０４否定）、再度本人確認を行うための追加認証を実施する（ステップＳ１０７）。その結果、制御部３１ａは、正当性を確認できた場合には（ステップＳ１０８肯定）、利用者がサービスを受けるためのシステムにログインすることが出来るように制御し、確率モデルを更新する（ステップＳ１０６）。一方、制御部３１ａは、追加認証の結果、正当性を確認できなかった場合には（ステップＳ１０８否定）、ログイン処理を中止する（ステップＳ１０９）。

[３：実施例の効果]
上述してきたように、本人認証装置は、回線接続された端末を操作してアクセスしてきた利用者について本人であるか否かの確率を推定し、回線接続された端末から、端末を操作する利用者の行動特性情報を取得し、取得された行動特性情報と、現にアクセスしてきた利用者の確率モデルとを用いて、利用者が本人である確率を示す確率値を算出するので、定量的な確率値として判定すること、サービスに適合した本人認証を容易かつ精度良く実現することが可能な本人認証装置、本人認証方法および本人認証プログラムを提供することが可能である。

また、本人認証装置は、利用者端末の情報と利用者端末に接続された回線情報に加え、利用者の行動的特徴を表す慣習情報も取得することで、端末情報を詐取、模倣または再現された場合のなりすましリスクを低減することができる。

また、本人認証装置は、行動特性情報は特別なユーザアクションを伴わずに利用者端末から収集できる認証情報を用いるため、新たな装置の初期導入コストや配布コストを抑え、かつユーザへの過度な負担をかけずに高い操作性を提供できる。

また、本人認証装置は、取得された行動特性情報を利用者ごとに記憶し、記憶された行動特性情報から、各利用者の確率モデルを生成するので、過去のアクセス情報から個人の行動に最適化された本人判定用のモデルデータを動的に作成することが可能である。

また、本人認証装置は、認証の本人判定ロジックとして、ベイジアンネットワークなど確率推論技術を応用することにより、各ファクタの依存関係を確率的に表現することができ、個々のファクタに対して閾値やポリシーを設定することなく、動的なリスク値の算出が可能となる。

［４：他の実施例］
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では本発明に含まれる他の実施例を説明する。

（１）実サービスへの導入例
例えば、本発明では、実サービスへの導入例として、図７に示すように、サービス提供装置としての銀行が提供するインターネットバンキングなどの認証システムやクレジットカードを利用する決済システムでの不正利用検知への応用などが考えられる。

また、図７に示すように、本人認証装置がサービス提供装置と一対一の関係で接続されて、本人認証処理を行っても良いし、一対複数または複数対複数で接続されて、本人認証処理を行っても良い。この場合には、共通する利用者に関するユーザ情報を共有して、本人認証処理を行っても良い。

（２）システム構成等
また、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、本実施例で説明した本人認証方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係る本人認証装置、本人認証方法および本人認証プログラムは、回線接続された端末を操作してアクセスしてきた利用者について本人であるか否かの確率を推定するのに有用であり、特に、判定要素間の依存関係を加味した定量的な確率値として判定すること、サービスに適合した本人認証を容易かつ精度良く実現することに適する。

実施例に係る本人認証装置の構成を示すブロック図である。 ユーザ情報部に記憶される情報の例を示す図である。 確率ネットワークモデルであるペイジアンネットワークの例を示す図である。 確率モデルである条件付確率表の例を示す図である。 本人確率値の算出例を説明するための図である。 本人認証処理の流れを示すフローチャートである。 本人認証装置の適用例を説明するための図である。

符号の説明

１０ 本人認証装置
２０ 記憶部
２１ ルール定義部
２２ ユーザ情報部
３０ 行動特性情報抽出部
３１ 認証処理部
３１ａ 制御部
３１ｂ 事前判定処理部
３１ｃ 確率モデル作成部
３１ｄ 確率推論部
４０ 利用者端末

Claims (21)

1. 回線接続された端末を操作してアクセスしてきた利用者について本人であるか否かの確率を推定する本人認証装置であって、
   前記回線接続された端末から、当該端末を操作する利用者の第１の行動特性情報および第２の行動特性情報を取得する行動特性情報取得手段と、
   現にアクセスしてきた利用者について、前記行動特性情報取得手段によって取得された第１の行動特性情報及び第２の行動特性情報と、当該利用者が本人である場合に前記第１の行動特性情報が発生する条件付確率と当該利用者が本人である場合に前記第２の行動特性情報が発生する条件付確率とを組み合わせた確率モデルとを用いて、当該利用者が本人である確率を示す確率値を算出する確率値算出手段と、
   前記確率値算出手段によって算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを推定する推定手段と、
   前記推定手段によって現にアクセスしてきた利用者が本人であると推定された場合に、前記確率モデルを更新する確率モデル更新手段と、
   を備えたことを特徴とする本人認証装置。
2. 前記行動特性情報取得手段は、前記第１の行動特性情報および前記第２の行動特性情報の少なくとも一方として、各利用者が操作している端末に対する利用者の操作に係る慣習的な特徴を示す慣習情報を取得することを特徴とする請求項１に記載の本人認証装置。
3. 前記行動特性情報取得手段は、前記第１の行動特性情報および前記第２の行動特性情報の少なくとも一方として、各利用者が操作している端末の属性を示す端末情報を取得することを特徴とする請求項１または２に記載の本人認証装置。
4. 前記行動特性情報取得手段は、前記第１の行動特性情報および前記第２の行動特性情報の少なくとも一方として、各利用者が操作している端末が接続されている回線の属性を示す回線情報を取得することを特徴とする請求項１〜３のいずれか一つに記載の本人認証装置。
5. 前記行動特性情報取得手段によって取得された第１の行動特性情報および第２の行動特性情報を利用者ごとに記憶する行動特性情報記憶手段と、
   前記行動特性情報記憶手段によって記憶された第１の行動特性情報および第２の行動特性情報から、各利用者の確率モデルを生成する確率モデル生成手段と、
   をさらに備えたことを特徴とする請求項１〜４のいずれか一つに記載の本人認証装置。
6. 前記推定手段によって現にアクセスしてきた利用者が本人でないと推定された場合に、再度本人確認をするための追加認証を行う認証手段をさらに備えたことを特徴とする請求項１〜５のいずれか一つに記載の本人認証装置。
7. 前記確率モデル更新手段は、前記認証手段によって前記追加認証が行われた結果、現にアクセスしてきた利用者が本人であると認証された場合に、前記確率モデルを更新することを特徴とする請求項６に記載の本人認証装置。
8. 回線接続された端末を操作してアクセスしてきた利用者について本人であるか否かの確率を推定する本人認証方法であって、
   前記回線接続された端末から、当該端末を操作する利用者の第１の行動特性情報および第２の行動特性情報を取得する行動特性情報取得工程と、
   現にアクセスしてきた利用者について、前記行動特性情報取得工程によって取得された第１の行動特性情報及び第２の行動特性情報と、当該利用者が本人である場合に前記第１の行動特性情報が発生する条件付確率と当該利用者が本人である場合に前記第２の行動特性情報が発生する条件付確率とを組み合わせた確率モデルとを用いて、当該利用者が本人である確率を示す確率値を算出する確率値算出工程と、
   前記確率値算出工程によって算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを推定する推定工程と、
   前記推定工程によって現にアクセスしてきた利用者が本人であると推定された場合に、前記確率モデルを更新する確率モデル更新工程と、
   を含んだことを特徴とする本人認証方法。
9. 前記行動特性情報取得工程は、前記第１の行動特性情報および前記第２の行動特性情報の少なくとも一方として、各利用者が操作している端末に対する利用者の操作に係る慣習的な特徴を示す慣習情報を取得することを特徴とする請求項８に記載の本人認証方法。
10. 前記行動特性情報取得工程は、前記第１の行動特性情報および前記第２の行動特性情報の少なくとも一方として、各利用者が操作している端末の属性を示す端末情報を取得することを特徴とする請求項８または９に記載の本人認証方法。
11. 前記行動特性情報取得工程は、前記第１の行動特性情報および前記第２の行動特性情報の少なくとも一方として、各利用者が操作している端末が接続されている回線の属性を示す回線情報を取得することを特徴とする請求項８〜１０のいずれか一つに記載の本人認証方法。
12. 前記行動特性情報取得工程によって取得された第１の行動特性情報および第２の行動特性情報を利用者ごとに所定の記憶部に記憶する行動特性情報記憶工程と、
    前記行動特性情報記憶工程によって記憶された第１の行動特性情報および第２の行動特性情報から、各利用者の確率モデルを生成する確率モデル生成工程と、
    をさらに含んだことを特徴とする請求項８〜１１のいずれか一つに記載の本人認証方法。
13. 前記推定工程によって現にアクセスしてきた利用者が本人でないと推定された場合に、再度本人確認をするための追加認証を行う認証工程をさらに含んだことを特徴とする請求項８〜１２のいずれか一つに記載の本人認証方法。
14. 前記確率モデル更新工程は、前記認証工程によって他の認証方法を用いて再度認証が行われた結果、現にアクセスしてきた利用者が本人であると認証された場合に、前記確率モデルを更新することを特徴とする請求項１３に記載の本人認証方法。
15. 回線接続された端末を操作してアクセスしてきた利用者について本人であるか否かの確率を推定する本人認証方法をコンピュータに実行させる本人認証プログラムであって、
    前記回線接続された端末から、当該端末を操作する利用者の第１の行動特性情報および第２の行動特性情報を取得する行動特性情報取得手順と、
    現にアクセスしてきた利用者について、前記行動特性情報取得手順によって取得された第１の行動特性情報及び第２の行動特性情報と、当該利用者が本人である場合に前記第１の行動特性情報が発生する条件付確率と当該利用者が本人である場合に前記第２の行動特性情報が発生する条件付確率とを組み合わせた確率モデルとを用いて、当該利用者が本人である確率を示す確率値を算出する確率値算出手順と、
    前記確率値算出手順によって算出された確率値に基づいて、現にアクセスしてきた利用者が本人であるか否かを推定する推定手順と、
    前記推定手順によって現にアクセスしてきた利用者が本人であると推定された場合に、前記確率モデルを更新する確率モデル更新手順と、
    をコンピュータに実行させることを特徴とする本人認証プログラム。
16. 前記行動特性情報取得手順は、前記第１の行動特性情報および前記第２の行動特性情報の少なくとも一方として、各利用者が操作している端末に対する利用者の操作に係る慣習的な特徴を示す慣習情報を取得することを特徴とする請求項１５に記載の本人認証プログラム。
17. 前記行動特性情報取得手順は、前記第１の行動特性情報および前記第２の行動特性情報の少なくとも一方として、各利用者が操作している端末の属性を示す端末情報を取得することを特徴とする請求項１５または１６に記載の本人認証プログラム。
18. 前記行動特性情報取得手順は、前記第１の行動特性情報および前記第２の行動特性情報の少なくとも一方として、各利用者が操作している端末が接続されている回線の属性を示す回線情報を取得することを特徴とする請求項１５〜１７のいずれか一つに記載の本人認証プログラム。
19. 前記行動特性情報取得手順によって取得された第１の行動特性情報および第２の行動特性情報を利用者ごとに所定の記憶部に記憶する行動特性情報記憶手順と、
    前記行動特性情報記憶手順によって記憶された第１の行動特性情報および第２の行動特性情報から、各利用者の確率モデルを生成する確率モデル生成手順と、
    をさらにコンピュータに実行させることを特徴とする請求項１５〜１８のいずれか一つに記載の本人認証プログラム。
20. 前記推定手順によって現にアクセスしてきた利用者が本人でないと推定された場合に、再度本人確認をするための追加認証を行う認証手順をさらにコンピュータに実行させることを特徴とする請求項１５〜１９のいずれか一つに記載の本人認証プログラム。
21. 前記確率モデル更新手順は、前記認証手順によって他の認証方法を用いて再度認証が行われた結果、現にアクセスしてきた利用者が本人であると認証された場合に、前記確率モデルを更新することを特徴とする請求項２０に記載の本人認証プログラム。

Images