特許ウォッチ

公開番号2025161246
公報種別公開特許公報(A)
公開日2025-10-24
出願番号2024064271
出願日2024-04-11
発明の名称成りすまし防止システムおよびプログラム
出願人株式会社大和総研
代理人個人
主分類G06F 21/33 20130101AFI20251017BHJP(計算;計数)
要約【課題】社員によるAPI実行時の成りすましを防止することができる成りすまし防止システムを提供する。
【解決手段】成りすまし防止システム10では、オープンIDプロバイダシステム20で、社員IDを部分的に含んで構成されるユーザ名を含むIDトークンを発行し、クライアント端末60で、クライアントID、IDトークン等を含むAPIリクエストを作成してAPI基盤システム30に送信し、API基盤システム30で、IDトークンに含まれるユーザ名から社員IDを切り取ってこれをAPIリクエストに設定し、成りすましチェック手段(41D、42B)により、API利用対象者情報記憶手段54を用いて、APIリクエスト内のクライアントIDと社員IDとが対応しているか否かを判断する。
【選択図】図1
特許請求の範囲【請求項１】
社員によるＡＰＩ（Application Programming Interface：アプリケーション・プログラミング・インターフェース）の利用時の他の社員への成りすましを防止する処理を実行するコンピュータにより構成された成りすまし防止システムであって、
ＩＤトークンを発行するオープンＩＤプロバイダシステム内で、各社員を識別する社員ＩＤと、この社員ＩＤを部分的に含んで構成されるオープンＩＤプロバイダ用のユーザ名とを関連付けて記憶するユーザ情報記憶手段と、
社員によるＡＰＩの利用の受付および管理を行うＡＰＩ基盤システム内で、前記社員ＩＤと、各社員に払い出された社員毎のクライアントＩＤおよびクライアントシークレットとを関連付けて記憶するＡＰＩ利用対象者情報記憶手段と、
前記社員ＩＤを用いて社員がログインしたクライアント端末から、認可コード発行リクエストを、ネットワークを介して前記オープンＩＤプロバイダシステムに送信する認可コード発行リクエスト送信手段と、
前記認可コード発行リクエストを受信した前記オープンＩＤプロバイダシステム内で、前記クライアント端末から、前記ログインに用いられた前記社員ＩＤを、ネットワークを介して受信し、認可コードを発行してこの認可コードを前記社員ＩＤと関連付けて認可コード発行情報記憶手段に記憶させるとともに、発行した前記認可コードを、ネットワークを介して前記クライアント端末に送信する認可コード発行手段と、
前記クライアント端末で、前記認可コード発行手段により前記オープンＩＤプロバイダシステムからネットワークを介して送信されてくる認可コードを受信する認可コード受信手段と、
この認可コード受信手段により受信した前記認可コードを含むトークン発行リクエストを、前記クライアント端末からネットワークを介して前記オープンＩＤプロバイダシステムに送信するトークン発行リクエスト送信手段と、
前記トークン発行リクエストを受信した前記オープンＩＤプロバイダシステム内で、前記トークン発行リクエストに含まれる前記認可コードを用いて前記認可コード発行情報記憶手段から前記社員ＩＤを取得し、取得した前記社員ＩＤを用いて前記ユーザ情報記憶手段から前記ユーザ名を取得し、取得した前記ユーザ名を含むＩＤトークンを発行し、発行した前記ＩＤトークンを、ネットワークを介して前記クライアント端末に送信するトークン発行手段と、
前記クライアント端末で、前記トークン発行手段により前記オープンＩＤプロバイダシステムからネットワークを介して送信されてくる前記ＩＤトークンを受信するトークン受信手段と、
前記クライアント端末に搭載されたクライアントアプリケーションで入力を受け付けて前記クライアント端末に記憶されているか、または前記クライアントアプリケーションのプログラム内に記述されているクライアントＩＤおよびクライアントシークレット、並びに、前記トークン受信手段により受信した前記ＩＤトークンを含むＡＰＩリクエストを作成し、前記クライアント端末から、作成した前記ＡＰＩリクエストを、ネットワークを介して前記ＡＰＩ基盤システムに送信するＡＰＩ呼出手段と、
前記ＡＰＩ基盤システム内で、受信した前記ＡＰＩリクエストに設定された前記ＩＤトークンに含まれる前記ユーザ名から前記社員ＩＤを切り取り、切り取った前記社員ＩＤを、前記ＡＰＩリクエストに設定する社員ＩＤ設定手段と、
前記ＡＰＩ基盤システム内で、前記ＡＰＩリクエストに設定された前記クライアントＩＤと関連付けられて前記ＡＰＩ利用対象者情報記憶手段に記憶されている前記社員ＩＤと、前記ＡＰＩリクエストに設定された前記社員ＩＤとが一致しているか否かを判断し、一致していない場合に、他の社員への成りすましが行われていると判断する成りすましチェック手段と
を備えたことを特徴とする成りすまし防止システム。
続きを表示（約 600 文字）【請求項２】
前記社員ＩＤ設定手段は、
前記クライアント端末から受信した前記ＡＰＩリクエストに前記ＩＤトークンが設定されていない場合には、認証エラーが発生した旨の情報を、ネットワークを介して前記クライアント端末に送信する処理も実行する構成とされている
ことを特徴とする請求項１に記載の成りすまし防止システム。
【請求項３】
前記ＡＰＩ基盤システムは、
キーＩＤおよびアルゴリズムを記憶するパラメータ記憶手段と、
前記オープンＩＤプロバイダシステムの公開鍵を記憶する公開鍵記憶手段と、
前記パラメータ記憶手段に記憶された前記キーＩＤおよび前記アルゴリズムと、前記ＡＰＩリクエストのヘッダに含まれる前記ＩＤトークン内の前記キーＩＤおよび前記アルゴリズムとが一致しているか否かを検証するとともに、前記ＡＰＩリクエストのヘッダに含まれる前記ＩＤトークン内の署名と、前記公開鍵記憶手段に記憶された前記公開鍵とを用いて、前記ＩＤトークンが前記オープンＩＤプロバイダシステムにより発行されたものであるか否かを検証するトークン検証手段と
を備えたことを特徴とする請求項２に記載の成りすまし防止システム。
【請求項４】
請求項１～３のいずれかに記載の成りすまし防止システムとして、コンピュータを機能させるためのプログラム。

発明の詳細な説明【技術分野】
【０００１】
本発明は、社員によるＡＰＩ（Application Programming Interface：アプリケーション・プログラミング・インターフェース）の利用時の他の社員への成りすましを防止する処理を実行するコンピュータにより構成された成りすまし防止システムおよびプログラムに係り、例えば、各社員がクライアントアプリケーションを搭載したクライアント端末から業務ＡＰＩを利用してバックエンドシステムの各種のデータにアクセスし、業務処理を行う場合等に利用できる。
続きを表示（約 3,600 文字）【背景技術】
【０００２】
従来、社員がＡＰＩを実行する際には、各社員は、クライアントアプリケーションを搭載したクライアント端末（例えば、会社から配布されている２ｉｎ１端末等）に、社員ＩＤおよびパスワードを用いてログインし、クライアントＩＤおよびクライアントシークレットという２つの認証情報を用いて、ゲートウェイサーバを有するＡＰＩ基盤システムを経由してバックエンドシステムの各種のデータにアクセスし、必要な業務処理を行っている。
【０００３】
上記のクライアントＩＤおよびクライアントシークレットは、社員によるＡＰＩの実行を可能にするために、ＡＰＩ利用対象者である社員１人１人に、ＡＰＩ基盤システムから払い出され、ＡＰＩ基盤システムに記憶されている。そして、各人に払い出されたクライアントＩＤおよびクライアントシークレットは、各人の管理となっている。従って、各社員は、自分に払い出されたクライアントＩＤおよびクライアントシークレットをリクエストパラメータ（ヘッダ）に設定してＡＰＩのリクエストを行っている。
【０００４】
なお、本発明では、後述するように、クライアントＩＤおよびクライアントシークレット以外の情報として、オープンＩＤプロバイダが発行するＩＤトークンを利用してＡＰＩ実行時のクライアントＩＤが実行者本人のものであることのチェックを行うが、ＡＰＩおよびＩＤトークンを利用した処理としては、秘匿性の高い電子投票を実現することができる「電子投票管理方法」（特許文献１参照）や、リライングパーティサーバ上でホスティングされているリソースにモバイル装置からアクセスするための方法を提供する「ネイティブモバイルアプリケーション起点のオープンＩＤコネクト（ＯＩＤＣ）フロー及びセキュリティアサーションマークアップ言語（ＳＡＭＬ）フローのためのシームレスなシングルサインオン（ＳＳＯ）のための方法及びシステム」（特許文献２参照）が知られている。
【０００５】
また、ＩＤトークンの記載はないが、ＡＰＩ実行時の社員の成りすましの防止に関連する技術としては、第１サーバ、第３サーバと、第２サーバとが動的共通情報に基づく実行証明情報を生成し、照合することができ、成りすましを防止できる「ネットワーク通信方法及びネットワーク通信システム」（特許文献３参照）、データ放送の受信に利用される受信装置が、不正なデータ放送を受信したとしてもその不正を無効にする技術を提供する「送信装置およびそのプログラム、ならびに、受信装置およびＡＰＩ実行プログラム」（特許文献４参照）、代行処理が行われる際に、代行者が起票した起票伝票の自己承認を抑制することができる代行オペレーションにおける「権限不正使用防止システム」（特許文献５参照）、それぞれ独立して管理されているユーザ情報を統合的に提供することができる「情報提供装置、情報提供方法、情報提供プログラム及び記録媒体、並びにユーザ認証装置、ユーザ認証方法、ユーザ認証プログラム及び記録媒体」（特許文献６参照）が知られている。
【先行技術文献】
【特許文献】
【０００６】
特開２０２２－１０７５５６号公報（段落［００１２］、［００２６］、［００２７］、［００３２］）
特開２０２０－１２６６０２号公報
再表２０１６－１５８９０８号公報（段落［００４５］、［００７８］）
特開２００９－１４７８０８号公報（要約）
特開２００８－２４３０２３号公報（段落［００２８］）
特開２００４－３０３２０２号公報（請求項１、段落［０１７０］）
【発明の概要】
【発明が解決しようとする課題】
【０００７】
前述したように、ＡＰＩ利用対象者である社員１人１人に払い出されたクライアントＩＤおよびクライアントシークレットは、各人の管理となっている。従って、クライアントＩＤおよびクライアントシークレットが漏洩した場合には、誰でも利用可能な状態となってしまう。
【０００８】
このため、悪意のある者が他人のクライアントＩＤおよびクライアントシークレットを入手した場合、他人のクライアントＩＤおよびクライアントシークレットを利用してＡＰＩを実行することで、バックエンドシステムに記憶されている顧客情報などを不正に入手することができ、また、更新系の業務処理を行うＡＰＩの場合は、データを不正に登録・更新・削除することができてしまうという問題があった。
【０００９】
本発明の目的は、社員によるＡＰＩ実行時の成りすましを防止することができる成りすまし防止システムおよびプログラムを提供するところにある。
【課題を解決するための手段】
【００１０】
本発明は、社員によるＡＰＩ（Application Programming Interface：アプリケーション・プログラミング・インターフェース）の利用時の他の社員への成りすましを防止する処理を実行するコンピュータにより構成された成りすまし防止システムであって、
ＩＤトークンを発行するオープンＩＤプロバイダシステム内で、各社員を識別する社員ＩＤと、この社員ＩＤを部分的に含んで構成されるオープンＩＤプロバイダ用のユーザ名とを関連付けて記憶するユーザ情報記憶手段と、
社員によるＡＰＩの利用の受付および管理を行うＡＰＩ基盤システム内で、社員ＩＤと、各社員に払い出された社員毎のクライアントＩＤおよびクライアントシークレットとを関連付けて記憶するＡＰＩ利用対象者情報記憶手段と、
社員ＩＤを用いて社員がログインしたクライアント端末から、認可コード発行リクエストを、ネットワークを介してオープンＩＤプロバイダシステムに送信する認可コード発行リクエスト送信手段と、
認可コード発行リクエストを受信したオープンＩＤプロバイダシステム内で、クライアント端末から、ログインに用いられた社員ＩＤを、ネットワークを介して受信し、認可コードを発行してこの認可コードを社員ＩＤと関連付けて認可コード発行情報記憶手段に記憶させるとともに、発行した認可コードを、ネットワークを介してクライアント端末に送信する認可コード発行手段と、
クライアント端末で、認可コード発行手段によりオープンＩＤプロバイダシステムからネットワークを介して送信されてくる認可コードを受信する認可コード受信手段と、
この認可コード受信手段により受信した認可コードを含むトークン発行リクエストを、クライアント端末からネットワークを介してオープンＩＤプロバイダシステムに送信するトークン発行リクエスト送信手段と、
トークン発行リクエストを受信したオープンＩＤプロバイダシステム内で、トークン発行リクエストに含まれる認可コードを用いて認可コード発行情報記憶手段から社員ＩＤを取得し、取得した社員ＩＤを用いてユーザ情報記憶手段からユーザ名を取得し、取得したユーザ名を含むＩＤトークンを発行し、発行したＩＤトークンを、ネットワークを介してクライアント端末に送信するトークン発行手段と、
クライアント端末で、トークン発行手段によりオープンＩＤプロバイダシステムからネットワークを介して送信されてくるＩＤトークンを受信するトークン受信手段と、
クライアント端末に搭載されたクライアントアプリケーションで入力を受け付けてクライアント端末に記憶されているか、またはクライアントアプリケーションのプログラム内に記述されているクライアントＩＤおよびクライアントシークレット、並びに、トークン受信手段により受信したＩＤトークンを含むＡＰＩリクエストを作成し、クライアント端末から、作成したＡＰＩリクエストを、ネットワークを介してＡＰＩ基盤システムに送信するＡＰＩ呼出手段と、
ＡＰＩ基盤システム内で、受信したＡＰＩリクエストに設定されたＩＤトークンに含まれるユーザ名から社員ＩＤを切り取り、切り取った社員ＩＤを、ＡＰＩリクエストに設定する社員ＩＤ設定手段と、
ＡＰＩ基盤システム内で、ＡＰＩリクエストに設定されたクライアントＩＤと関連付けられてＡＰＩ利用対象者情報記憶手段に記憶されている社員ＩＤと、ＡＰＩリクエストに設定された社員ＩＤとが一致しているか否かを判断し、一致していない場合に、他の社員への成りすましが行われていると判断する成りすましチェック手段と
を備えたことを特徴とするものである。
（【００１１】以降は省略されています）

関連特許