JP7709663B2

JP7709663B2 - 認証要件設定装置、認証要件設定方法、及びプログラム

Info

Publication number: JP7709663B2
Application number: JP2024526169A
Authority: JP
Inventors: 明夫向山; 哲之森田; 彰永井
Original assignee: Nippon Telegraph and Telephone Corp; NTT Inc USA
Current assignee: NTT Inc; NTT Inc USA
Priority date: 2022-06-09
Filing date: 2022-06-09
Publication date: 2025-07-17
Anticipated expiration: 2042-06-09
Also published as: WO2023238343A1; JPWO2023238343A1

Description

本開示は、複数の認証方式を組み合わせて、ユーザの認証における負担を低減する技術に関する。

金融機関をはじめとした多くのネットワークサービスで、多要素認証が使われている。複数の要素（知識情報、所持情報、生体情報）を組合わせて認証する多要素認証を導入することで、サービスのセキュリティを向上させることができる（非特許文献１参照）。

Multi-factor authentication, Wikipedia (https://en.wikipedia.org/wiki/Multi-factor_authentication)

しかし、従来の技術では、単一要素の認証に比べて、複数の要素を入力する手間が掛かるため、ユーザの負担が大きくなるという問題があった。

本発明は、上記の点に鑑みてなされたものであって、多要素認証を必要とする場合であっても、認証における安全性を担保しつつ、認証に必要とされるユーザの負担を軽減することを目的とする。

上記課題を解決するため、請求項１に係る発明は、複数の認証方式を組み合わせた場合の認証要件を設定する認証要件設定装置であって、認証方式の選択を受け付ける選択受付部と、受け付けられた前記認証方式のエントロピーを算出するエントロピー算出部と、閾値と、算出された前記エントロピーとの差分に基づいて、所定の安全性を満たす認証要件を設定する認証要件設定部と、設定された前記認証要件を出力する出力部と、を有する認証要件設定装置である。

以上説明したように本発明によれば、多要素認証を必要とする場合であっても、認証における安全性を担保しつつ、認証に必要なユーザの負担を軽減することができるという効果を奏する。

本実施形態に係る通信システムの全体構成図である。本実施形態に係る認証要件設定装置の電気的なハードウェア構成図である。認証要件設定装置の機能構成図である。認証要件設定装置が実行する処理又は動作を示すフローチャートである。

以下、図面に基づいて本発明の実施形態を説明する。

〔実施形態のシステム構成〕
まず、図１を用いて、本実施形態の通信システムの全体構成略について説明する。図１は、本実施形態に係る通信システムの全体構成図である。

図１に示されているように、本実施形態の通信システム１は、認証要件設定装置３、及び通信端末５によって構築されている。

認証要件設定装置３は、単数又は複数のコンピュータによって構成されている。認証要件設定装置３が複数のコンピュータによって構成されている場合には、「認証要件設定装置」と示しても良いし、「認証要件設定システム」と示しても良い。

認証要件設定装置３は、多要素認証に必要な複数の認証方式（知識情報、所持情報、又は生体情報による認証方式）のうちの少なくとも２つの認証方式を組み合わせた場合の認証要件を設定する。知識情報は、例えば、パスワード、PIN(Personal Identification Number)コード、秘密の質問(ペットの名前等)等である。所持情報は、例えば、携帯電話、ハードウェアトークン、ＩＣ(Integrated Circuit)カード等である。生体情報は、指認証、虹彩認証、音声認証等である。認証方式の組合せ方は、例えば、同じ生体情報に分類される指認証及び虹彩認証であっても良い。また、設定される認証要件は、国等が推奨する所定の安全性を確保するためのパスワードの桁数等である。

通信端末５は、図１では、一例としてノート型パソコンが示されている。図１では、ユーザが、通信端末５を操作する。ユーザは、多要素認証に必要な複数の要素を入力する者である。

また、認証要件設定装置３と通信端末５は、インターネット等の通信ネットワーク１００を介して通信することができる。通信ネットワーク１００の接続形態は、無線又は有線のいずれでも良い。

〔ハードウェア構成〕
＜認証要件設定装置のハードウェア構成＞
次に、図２を用いて、認証要件設定装置３の電気的なハードウェア構成を説明する。図２は、認証要件設定装置の電気的なハードウェア構成図である。

認証要件設定装置３は、コンピュータとして、図２に示されているように、ＣＰＵ(Central Processing Unit)３０１、ＲＯＭ(Read Only Memory)３０２、ＲＡＭ(Random Access Memory)３０３、ＳＳＤ(Solid State Drive)３０４、外部機器接続Ｉ／Ｆ(Interface)３０５、ネットワークＩ／Ｆ３０６、メディアＩ／Ｆ３０９、及びバスライン３１０を備えている。

これらのうち、ＣＰＵ３０１は、認証要件設定装置３全体の動作を制御する。ＲＯＭ３０２は、ＩＰＬ(Initial Program Loader)等のＣＰＵ３０１の駆動に用いられるプログラムを記憶する。ＲＡＭ３０３は、ＣＰＵ３０１のワークエリアとして使用される。

ＳＳＤ３０４は、ＣＰＵ３０１の制御に従って各種データの読み出し又は書き込みを行う。なお、ＳＳＤ３０４の代わりに、ＨＤＤ(Hard Disk Drive)を用いても良い。

外部機器接続Ｉ／Ｆ３０５は、各種の外部機器を接続するためのインターフェースである。この場合の外部機器は、ディスプレイ、スピーカ、キーボード、マウス、ＵＳＢ(Universal Serial Bus)メモリ、及びプリンタ等である。

ネットワークＩ／Ｆ３０６は、通信ネットワーク１００を介してデータ通信をするためのインターフェースである。

メディアＩ／Ｆ３０９は、フラッシュメモリ等の記録メディア３０９ｍに対するデータの読み出し又は書き込み（記憶）を制御する。記録メディア３０９ｍには、ＤＶＤ(Digital Versatile Disc)やＢｌｕ-ｒａｙＤｉｓｃ（登録商標）等も含まれる。

バスライン３１０は、図２に示されているＣＰＵ３０１等の各構成要素を電気的に接続するためのアドレスバスやデータバス等である。

なお、通信端末５は、認証要件設定装置と同様のハードウェア構成であるため、その説明を省略する。

〔認証要件設定装置の機能構成〕
続いて、図３を用いて、本実施形態に係る認証要件設定装置３の機能構成について説明する。図３は、認証要件設定装置の機能構成図である。

図３に示すように、認証要件設定装置３は、選択受付部３１、エントロピー算出部３３、認証要件設定部３５、及び出力部３９を有する。これら各部は、プログラムに基づき図２のＣＰＵ３０１による命令によって実現される機能である。

選択受付部３１は、通信端末５から送られた又は認証要件設定装置３に対して直接入力された、単数又は複数の認証方式の選択を受け付ける。

エントロピー算出部３３は、選択受付部３１によって受け付けられた認証方式のエントロピーを算出する。この場合のエントロピーは、認証に係るビット数を示す。これに関しては、後ほど詳細に説明する。選択受付部３１によって複数の認証方式の選択が受け付けられた場合には、エントロピー算出部３３は、複数の認証方式の合計のエントロピーを算出する。

認証要件設定部３５は、閾値と、エントロピー算出部３３によって算出されたエントロピーとの差分に基づいて、所定の安全性を満たす認証要件を設定する。具体的には、認証要件設定部３５は、エントロピー算出部３３によって算出されたエントロピーが閾値未満の場合には、差分に相当する認証要件を設定する。また、認証要件設定部は、エントロピー算出部３３によって算出されたエントロピーが閾値以上の場合には、予め定められた所定の認証要件を設定する（例えば、必要なパスワードの桁数を4桁と設定する）。

出力部３９は、認証要件設定部３５によって設定された認証要件を示す設定結果の情報を、認証要件設定装置３から出力して通信端末５に送信する。

〔認証要件設定装置の処理又は動作〕
続いて、図４を用いて、認証要件設定装置３が実行する処理又は動作を説明する。図４は、認証要件設定装置が実行する処理又は動作を示すフローチャートである。

Ｓ１１：選択受付部３１は、通信端末５から送られた又は認証要件設定装置３に対して直接入力された、単数又は複数の認証方式の選択を受け付ける。複数の認証方式は、例えば、知識認証であるパスワード、所持情報であるＩＣカードを使う認証、及び生体情報である指認証等である。また、複数の認証方式は、同じ生体情報において異なる認証方式（例えば、指認証、虹彩認証）であってもよい。

Ｓ１２：エントロピー算出部３３は、選択受付部３１によって複数の認証方式の選択を受け付けたかを判断する。

Ｓ１３：複数の認証方式の選択を受け付けた場合には（Ｓ１２；ＹＥＳ）、エントロピー算出部３３は、選択された複数の認証方式の各エントロピーの合計を算出する。

ここで、認証の全体のエントロピーの算出方法を定義する。本実施形態では、利用する認証方式のエントロピーをビット数で表し、以下の（式１）を用いて、認証全体のエントロピーをビット数で算出する。

認証の全体のエントロピー＝各認証方式のエントロピー（ビット数）の和・・・（式１）
例えば、Ｓ１１で、選択受付部３１が２つの認証方式（指認証、虹彩認証）の選択を受け付けた場合、エントロピー算出部３３は、以下のように計算する。

（認証方式１）指認証：エントロピー「約24ビット」
他人許容率 0.00001% → エントロピー 1000万
指認証の他人許容率の例：参考文献１参照
＜参考文献１＞https://jpn.nec.com/biometrics/fingerprint/about.html
1000万＝ (10^3)^2 × 10 ≒ (2^10)^2 × 2^4 ＝ 2^20 × 2^4 ＝ 2^24
（認証方式２）虹彩認証：エントロピー「約20ビット」
他人許容率 120万分の1 → エントロピー 120万
虹彩認証の他人許容率の例：参考文献２参照
＜参考文献２＞ https://iris.pas-ta.io/about/
120万 ≒ (10^3)^2 ≒(2^10)^2 = 2^20
＜２つの認証方式のエントロピー（ビット数）の和＞
24ビット＋ 20ビット＝ 44ビット
Ｓ１４：複数の認証方式の選択を受け付けていない場合には（Ｓ１２；ＮＯ）、エントロピー算出部３３は、選択された認証方式のエントロピーを算出する。

Ｓ１５：認証要件設定部３５は、上記Ｓ１３又はＳ１４でエントロピー算出部３３によって算出されたエントロピーが閾値未満かを判断する。

例えば、所定の安全性（強度）を満たすための閾値は、予め72ビット（64の12乗をビット数で表したもの)として設定されている。知識認証の一例としてのパスワードが、64の12乗(文字64種類(a～z・A～Z・0～9・+-)、12文字)とすると、64の12乗 = 64^12 ＝ (2^6)^12 ＝ 2^72である。

＜閾値72ビットを満たすために必要な残りのビット数＞
72（閾値）－ 44（Ｓ１３の算出結果）＝ 28(ビット)
この場合、閾値72ビットより28ビット低いため、閾値未満である。

Ｓ１６：エントロピーが閾値未満の場合には（Ｓ１５；ＹＥＳ）、認証要件設定部３５は、閾値とエントロピーの差分に基づいて、最低限必要な認証要件を設定する。

例えば、上記の例の場合、ユーザのパスワードは28ビット以上であれば良い。

28ビット＝ 2^28 ＝ (2^6)^4 × 2^4
により、パスワード桁数（文字、記号の数）だと、4～5桁に相当する。

よって、認証要件設定部３５は、安全性を担保するための最低限必要な認証要件として、パスワードの桁数「５」と設定する。なお、ここでは、認証要件設定部３５は、認証要件としてパスワードの桁数を設定したが、他の知識情報であってもよいし、所持情報又は生体情報であってもよい。また、ここでは、認証要件設定部３５が、認証要件の認証方式（知識情報）を設定したが、Ｓ１１においてユーザが認証要件の認証方式を選択してもよい。

Ｓ１７：エントロピーが閾値未満でない場合（閾値以上の場合）には（Ｓ１５；ＮＯ）、認証要件設定部３５は、予め定められた所定の認証要件を設定する。

Ｓ１８：出力部３９は、認証要件設定部３５によって設定された認証要件を示す設定結果の情報を、認証要件設定装置３から出力して通信端末５に送信する。

以上により、認証要件設定装置の処理又は動作の説明が終了する。

〔実施形態の効果〕
以上説明したように本実施形態によれば、ユーザが入力するパスワードとともに生体認証など複数の認証方式を利用する際には、認証方式が持つエントロピー（複雑さ）の分だけパスワードの文字数等の認証要件を減らすことで、認証における安全性を担保しつつ、認証に必要とされるユーザの負担を低減することができるという効果を奏する。

〔補足〕
本発明は上述の実施形態に限定されるものではなく、以下に示すような構成又は処理（動作）であってもよい。
（１）認証要件設定装置３はコンピュータとプログラムによっても実現できるが、このプログラムを（非一時的な）記録媒体に記録することも、通信ネットワーク１００を介して提供することも可能である。
（２）上記実施形態では、通信端末５の一例としてノート型パソコンが示されているが、これに限るものではなく、例えば、デスクトップパソコン、タブレット端末、スマートフォン、スマートウォッチ、カーナビゲーション装置、冷蔵庫、電子レンジ等であってもよい。
（３）ＣＰＵ３０１、単一だけでなく、複数であってもよい。

１通信システム
３認証要件設定装置
５通信端末
３１選択受付部
３３エントロピー算出部
３５認証要件設定部
３９出力部

Claims

複数の認証方式を組み合わせた場合の認証要件を設定する認証要件設定装置であって、
認証方式の選択を受け付ける選択受付部と、
受け付けられた前記認証方式のエントロピーを算出するエントロピー算出部と、
閾値と、算出された前記エントロピーとの差分に基づいて、所定の安全性を満たす認証要件を設定する認証要件設定部と、
設定された前記認証要件を出力する出力部と、
を有する認証要件設定装置。
前記選択受付部によって複数の前記認証方式の選択が受け付けられた場合には、前記エントロピー算出部は、複数の前記認証方式の合計の前記エントロピーを算出し、
前記認証要件設定部は、前記閾値と、算出された合計の前記エントロピーとの差分に基づいて、前記認証要件を設定する、
請求項１に記載の認証要件設定装置。
前記認証要件設定部は、前記エントロピー算出部によって算出された前記エントロピーが前記閾値未満の場合には、前記差分に相当する前記認証要件を設定する、請求項１又は２に記載の認証要件設定装置。
前記認証要件設定部は、前記エントロピー算出部によって算出された前記エントロピーが前記閾値以上の場合には、予め定められた所定の認証要件を設定する、請求項１又は２に記載の認証要件設定装置。
前記エントロピーは、認証に係るビット数である、請求項１又は２に記載の認証要件設定装置。
前記認証要件設定部が設定する前記認証要件は、認証に必要なパスワードの桁数である、請求項１又は２に記載の認証要件設定装置。
複数の認証方式を組み合わせた場合の認証要件を設定する認証要件設定装置が実行する認証要件設定方法であって、
前記認証要件設定装置は、
認証方式の選択を受け付ける選択受付処理と、
受け付けられた前記認証方式のエントロピーを算出するエントロピー算出処理と、
閾値と、算出された前記エントロピーとの差分に基づいて、所定の安全性を満たす認証要件を設定する認証要件設定処理と、
設定された前記認証要件を出力する出力処理と、
を実行する認証要件設定方法。
コンピュータに、請求項７に記載の方法を実行させるプログラム。