特許ウォッチ

公開番号2025161266
公報種別公開特許公報(A)
公開日2025-10-24
出願番号2024064308
出願日2024-04-11
発明の名称トークン検証システムおよびプログラム
出願人株式会社大和総研
代理人個人
主分類G06F 21/62 20130101AFI20251017BHJP(計算;計数)
要約【課題】セキュリティを十分に確保することができ、かつ、安価に構築することができるトークン検証システムを提供する。
【解決手段】トークン検証システム10では、社外アクセスのリクエストを受け付けるリクエスト連携システム20をパブリッククラウド環境に設け、このリクエスト連携システム20のリクエストパラメータチェック手段24から、社外アクセスのリクエスト内の検証対象のアクセストークンやリフレッシュトークンを設定したイントロスペクションAPIリクエストを、API基盤システム30のトークン検証手段44に送信し、トークン検証手段44からのイントロスペクションAPI応答として、アクセストークンやリフレッシュトークンの正当性の検証結果を受け取る。
【選択図】図1
特許請求の範囲【請求項１】
インターネット経由の社外アクセスのリクエストに含まれるアクセストークンおよびリフレッシュトークンを検証する処理を実行するコンピュータにより構成されたトークン検証システムであって、
インターナルクラウド環境下に置かれてアクセストークンおよびリフレッシュトークンの発行、並びにＡＰＩ（Application Programming Interface：アプリケーション・プログラミング・インターフェース）の利用の受付を行うＡＰＩ基盤システムと、
パブリッククラウド環境下に置かれて前記社外アクセスのリクエストを、前記ＡＰＩ基盤システムに連携するリクエスト連携システムとを備え、
前記ＡＰＩ基盤システムは、
アクセストークンおよびリフレッシュトークンを発行するトークン発行手段と、
業務処理の実行を要求する業務ＡＰＩリクエストに設定された前記アクセストークン、および、前記アクセストークンの再発行を要求するアクセストークン再発行リクエストに設定された前記リフレッシュトークンの正当性を検証するトークン検証手段とを備え、
前記リクエスト連携システムは、
インターネット経由の前記社外アクセスのリクエストを受け付けるリクエスト受付サービス手段と、
このリクエスト受付サービス手段により受け付けた前記社外アクセスのリクエストが前記業務ＡＰＩリクエストである場合には、前記業務ＡＰＩリクエストに設定された前記アクセストークンを、イントロスペクションＡＰＩリクエストに設定して前記トークン検証手段に送信するとともに、前記トークン検証手段からの前記アクセストークンの検証結果を含むイントロスペクションＡＰＩ応答を受信し、前記社外アクセスのリクエストが前記アクセストークン再発行リクエストである場合には、前記アクセストークン再発行リクエストに設定された前記リフレッシュトークンを、イントロスペクションＡＰＩリクエストに設定して前記トークン検証手段に送信するとともに、前記トークン検証手段からの前記リフレッシュトークンの検証結果を含むイントロスペクションＡＰＩ応答を受信するリクエストパラメータチェック手段と、
前記リクエスト受付サービス手段により受け付けた前記社外アクセスのリクエストを、前記ＡＰＩ基盤システムに送信する処理を実行し、この際、前記リクエストパラメータチェック手段により取得した前記検証結果が正当なトークンでない旨の情報であった場合には、前記社外アクセスのリクエストを前記ＡＰＩ基盤システムに送信しないＡＰＩゲートウェイとを備えた
ことを特徴とするトークン検証システム。
続きを表示（約 1,400 文字）【請求項２】
前記リクエスト連携システムは、
インターネット経由の前記社外アクセスのリクエストの送信元のクライアントアプリケーションに対して払い出されたクライアントＩＤおよびクライアントシークレットを記憶するクライアントＩＤ・クライアントシークレット記憶手段を備え、
前記リクエストパラメータチェック手段は、
前記社外アクセスのリクエストが前記業務ＡＰＩリクエストである場合、および前記アクセストークン再発行リクエストである場合には、前記社外アクセスのリクエストに設定されている前記クライアントＩＤおよび前記クライアントシークレットの組合せが、前記クライアントＩＤ・クライアントシークレット記憶手段に記憶されている前記クライアントＩＤおよび前記クライアントシークレットの組合せと一致するか否かにより、前記クライアントアプリケーションを認証する処理も実行する構成とされている
ことを特徴とする請求項１に記載のトークン検証システム。
【請求項３】
前記リクエスト連携システムは、
前記社外アクセスのリクエストが前記アクセストークン再発行リクエストの場合には、前記アクセストークン再発行リクエストのボディに設定されている前記リフレッシュトークンを、前記アクセストークン再発行リクエストのヘッダにコピーして設定するパラメータコピー手段を備え、
前記リクエストパラメータチェック手段は、
前記社外アクセスのリクエストが前記アクセストークン再発行リクエストである場合には、前記アクセストークン再発行リクエストのヘッダにコピーして設定された前記リフレッシュトークンを、前記イントロスペクションＡＰＩリクエストに設定して前記トークン検証手段に送信するとともに、前記トークン検証手段からの前記リフレッシュトークンの検証結果を含む前記イントロスペクションＡＰＩ応答を受信する構成とされている
ことを特徴とする請求項２に記載のトークン検証システム。
【請求項４】
前記ＡＰＩ基盤システムは、
前記トークン発行手段により前記アクセストークンおよび前記リフレッシュトークンを発行した際に、前記アクセストークンおよび前記リフレッシュトークンのそれぞれについての有効期限および失効フラグを、アクセストークンＩＤ若しくはアクセストークン自体およびリフレッシュトークンＩＤ若しくはリフレッシュトークン自体と関連付けて記憶するトークン情報記憶手段を備え、
前記トークン検証手段は、
前記イントロスペクションＡＰＩリクエストに設定された前記アクセストークンについてのアクセストークンＩＤ若しくはアクセストークン自体と関連付けて前記トークン情報記憶手段に記憶されている前記有効期限および前記失効フラグを用いて、前記アクセストークンの正当性を検証するか、または、前記イントロスペクションＡＰＩリクエストに設定された前記リフレッシュトークンについてのリフレッシュトークンＩＤ若しくはリフレッシュトークン自体と関連付けて前記トークン情報記憶手段に記憶されている前記有効期限および前記失効フラグを用いて、前記リフレッシュトークンの正当性を検証する構成とされている
ことを特徴とする請求項１に記載のトークン検証システム。
【請求項５】
請求項１～４のいずれかに記載のトークン検証システムとして、コンピュータを機能させるためのプログラム。

発明の詳細な説明【技術分野】
【０００１】
本発明は、インターネット経由の社外アクセスのリクエストに含まれるアクセストークンおよびリフレッシュトークンを検証する処理を実行するコンピュータにより構成されたトークン検証システムおよびプログラムに係り、例えば、社外のエンドユーザが、ＡＰＩ（Application Programming Interface：アプリケーション・プログラミング・インターフェース）を利用してインターナルクラウド環境下に置かれた業務処理システムにアクセスし、業務処理を実行する場合等に利用できる。
続きを表示（約 1,600 文字）【背景技術】
【０００２】
従来から、証券・金融システムでは、フィンテック（FinTech）企業等からのインターネット経由での通信（以下、社外アクセスという。）を受け付け、フィンテック企業等と連携した金融サービスを実現するために、証券・金融システムが保有するリソース（顧客情報や、売買取引に関するデータ等）を提供している。
【０００３】
図７に示すように、フィンテック企業等と連携する従来のシステム９０では、インターネット９１に、社外コンシューマであるフィンテック企業等のエンドユーザが操作するクライアント端末９２が接続されている。また、インターネット９１には、ルータ９３、ＤＭＺファイアウォール９４を介して、ＤＭＺ（非武装地帯）に配置されたインターネット公開用のゲートウェイサーバ９５が接続されている。
【０００４】
さらに、インターネット公開用のゲートウェイサーバ９５には、内部ファイアウォール９６を介して、社内イントラネットや社内ＬＡＮ等の内部ネットワーク９７が接続されている。この内部ネットワーク９７には、社内コンシューマである社内の他のシステム（図７で社外アクセスの対象となっているシステム以外のシステム）のサーバ９８や、社内ユーザが操作する社内の端末９９と、社内用のゲートウェイサーバ１００と、社外アクセスの対象となる銀行・証券会社等の金融業務に係る業務処理システム１０１とが接続されている。
【０００５】
このシステム９０の場合、クライアン端末９２からのリクエストは、インターネット９１、ルータ９３、ＤＭＺファイアウォール９４、インターネット公開用のゲートウェイサーバ９５、内部ファイアウォール９６を経由して内部ネットワーク９７に入り、業務処理システム１０１に到達する。
【０００６】
一方、社内コンシューマである社内の他のシステムのサーバ９８や社内の端末９９からのリクエストは、内部ネットワーク９７を介して社内用のゲートウェイサーバ１００に至り、そこから内部ネットワーク９７を介して業務処理システム１０１に到達する。
【０００７】
従って、このような従来のシステム９０は、セキュリティの観点から、社外コンシューマからの通信を処理するためにＤＭＺ（非武装地帯）に配置したインターネット公開用のゲートウェイサーバ９５と、社内コンシューマからの通信を処理するための社内用のゲートウェイサーバ１００とを設けた構成となっていた。すなわち、従来は、ゲートウェイサーバを、インターネット９１を経由する社外アクセス用と、内部ネットワーク９７を経由するがインターネット９１は経由しない社内アクセス用とに分離した構成をとっていた。
【０００８】
そして、このようなＤＭＺ（非武装地帯）の構成を採用し、サイバー攻撃を受けた場合でも不正なリクエストの内部ネットワーク９７への侵入を防ぐことにより、インターナルクラウド内のシステム（内部ネットワーク９７に接続された業務処理システム１０１）の安全性を確保していた。
【０００９】
また、社外アクセスに対しては認可プロトコルにOAuth2.0を利用することにより、リクエストの正当性を担保していた。これは、例えば、ＩＢＭ社のＡＰＩコネクト（IBM APIConnect）等の標準機能を利用することにより実現することができる。
【００１０】
なお、本発明では、後述するように、イントロスペクションＡＰＩを利用するが、イントロスペクションを行い、かつ、アクセストークンやリフレッシュトークンに関する技術としては、モバイルアプリケーションのための効率的および直観的なデータ・バインディングを行う技術が知られている（特許文献１参照）。
【先行技術文献】
【特許文献】
（【００１１】以降は省略されています）

関連特許