JPH11143834A - ログイン操作のロックアウト方法 - Google Patents

Abstract

(57)【要約】 【課題】 不正ログイン回数の値などの重要データの改
ざんに強く、不正ユーザの不正ログイン操作を強固にロ
ックアウトすること。 【解決手段】 コンピュータを使用しようとするユーザ
自身が保有するフロッピーディスクなどの記録媒体を読
み書き装置にセットした状態でユーザＩＤ、パスワード
の入力を行なうようにし、記録媒体のログイン失敗時刻
データまたは第１の固有データ格納領域の重要データの
改ざん等の不正を行った不正ログイン操作に対しては、
ロックアウト処理を含む「準ロックアウト状態」に遷移
させ、この準ロックアウト状態において、一見通常のロ
グイン処理を行っているように見えるが、実は不正を行
えば行うほど不正ログイン操作を締め出す時間を長くす
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、コンピュータを使
用しようとするユーザによって入力されたユーザ固有の
識別情報およびパスワードの認証処理を実行し、不正な
パスワードの所定回数の入力に対し当該コンピュータが
備えるデータやアプリケーションプログラム等の資源を
利用することを許可しないようにするログイン操作のロ
ックアウト方法に関するものである。

【０００２】

【従来の技術】従来において、コンピュータが保有する
データやアプリケーションプログラムなどの資源を不正
なユーザが不正使用できないように、ユーザ固有の識別
情報（以下、ユーザＩＤ）およびパスワードを入力さ
せ、これらがコンピュータ内に予め登録されている正規
のユーザのユーザＩＤおよびパスワードと一致するかの
認証処理を実行し、登録されていなければ不正ユーザに
よるログイン操作であると判定し、ログインを許可せ
ず、さらにその不正ログイン操作が所定回数行なわれた
場合は、当該コンピュータをロックアウト状態に遷移さ
せ、コンピュータに対する全てのユーザのログイン操作
を所定時間禁止するようにしたものがある。

【０００３】このようなシステムにおいては、通常、ユ
ーザＩＤにはユーザの名前など比較的解りやすいものが
選ばれ、パスワードにはユーザ１人１人が自分にしか解
らないものが選ばれる。

【０００４】このような認証処理を行なって不正使用を
防止するように構成したコンピュータ（あるいはコンピ
ュータシステム）に対し、不正ユーザがコンピュータに
不正侵入する際にとる攻撃方法として、まずユーザＩＤ
を手に入れ、そのユーザＩＤに対してパスワードを１つ
ずつ試していくという「総当たり攻撃」というものがあ
る。パスワードの候補は非常に多く存在するが、「総当
たり攻撃」を行なうための処理は専用のプログラムを作
成することにより自動化できるので、不正ユーザは１秒
間に何千、何万個もの非常に多くのパスワードを試す事
ができる。このようにして多くのパスワードの試行によ
る不正ログイン操作を許すことにより、いつかはパスワ
ードは解かれてしまう。

【０００５】そこで、不正ログイン操作の試行回数の上
限を規定し、それを超えた場合はログイン操作を一定期
間禁止する（ロックアウト）方法を採っている。普通、
ログイン禁止期間（ロックアウト時間）はシステム管理
者が該当コンピュータのセキュリティ方針に沿って定め
るが、比較的長い時間であり、システム管理者がロック
アウト状態を解除しなければ二度とログインできない場
合もある。これにより、侵入者は多くのパスワードを試
す事ができなくなり、不正ユーザによるコンピュータの
不正使用を防止し、コンピュータ内のデータ等の安全性
を保つことができる。

【０００６】

【発明が解決しようとする課題】ところが、上記の従来
のロックアウト方法にあっては、ロックアウトを行うた
めに現在までの不正ログイン回数をコンピュータ内のど
こかに保持しておく必要があるため、不正ユーザが現在
までの不正ログイン回数の格納場所を何等かの方法で探
し出し、そこの不正ログイン回数の値をロックアウト状
態になる前に削除あるいは書き替える処理を行なえば、
何回でもパスワードを解読する操作を試みることがで
き、いつかは正当なパスワードを探し出し、このパスワ
ードによって不正ログインが可能になるという問題を含
んでいる。

【０００７】本発明の目的は、不正ログイン回数の値な
どの重要データの改ざんに強く、不正ログイン操作の回
数が増えるに従ってその不正ログイン操作を締め出す時
間を長くし、不正ユーザの不正ログイン操作を強固にロ
ックアウトすることができるログイン操作のロックアウ
ト方法を提供することにある。

【０００８】

【課題を解決するための手段】上記目的を達成するため
に、本発明は、ログイン操作の失敗回数カウンタ格納領
域と最新のログイン失敗時刻データ格納領域とを有する
ユーザ別の記録媒体を用意すると共に、ログイン対象の
コンピュータには、前記記録媒体に対しデータの読み書
き動作を行なう読み書き装置と、ユーザにより入力され
たパスワードを無視する準ロックアウト状態への突入後
の準ロックアウト状態持続時間を定める第１の値の格納
領域と前回ログアウト時刻等の非固定データおよびユー
ザ名等の固定データの格納領域を含むユーザ別の第１の
固有データ格納領域と、前記最新のログイン失敗時刻デ
ータ格納領域に格納されたログイン失敗時刻データと同
一のデータを格納する第１の格納領域と前記非固定デー
タおよび固定データの格納領域に格納されるデータと同
一のデータを格納する第２の格納領域を含むユーザ別の
第２の固有データ格納領域と、を設け、コンピュータを
使用しようとするユーザ自身が保有する前記記録媒体を
前記読み書き装置に読み書き可能状態にセットした後の
当該ユーザによるユーザ識別情報の入力に対し、ログイ
ン対象のコンピュータにおいて、（ａ１）入力されたユ
ーザ識別情報によって当該ユーザに対応する前記第１お
よび第２の固有データ格納領域に格納されたデータを読
出すと共に、前記記録媒体に格納されたデータを読出
し、記録媒体から読出したログイン失敗時刻データと第
２の固有データ格納領域から読出したログイン失敗時刻
データとの照合、前記第１および第２の固有データ格納
領域からそれぞれ読出した非固定データ、固定データの
照合を行ない、（ａ２）照合対象のデータが不一致の場
合は、前記第１の値を更新して準ロックアウト状態に遷
移し、ユーザ識別情報に続いて入力されるパスワードの
正当性を判定し、正当なパスワードであっても前記第１
の値で定まる時間経過後までその正当なパスワードを無
視し、前記記録媒体中の最新のログイン失敗時刻データ
格納領域に現在時刻データを書き込んだ後、不正パスワ
ードである旨のメッセージを出力し、前記第１の値で定
まる時間が経過したならば前記第１の値を通常状態を示
す値に復帰させ、不正なパスワードであれば前記記録媒
体中の失敗回数カウンタ格納領域のログイン失敗回数カ
ウント値を更新した後、そのログイン失敗回数カウント
値が規定回数に達していればロックアウト状態に遷移
し、前記記録媒体中の最新のログイン失敗時刻データ格
納領域に現在時刻データを書き込んだ後、ログイン操作
を所定時間禁止する、処理をユーザ識別情報の入力に続
くパスワードの入力毎に実行し、前記記録媒体中のデー
タまたは第２の固有データ格納領域中のデータの改ざん
による不正ログイン操作を禁止することを特徴とする。

【０００９】要約すると、本発明は、コンピュータを使
用しようとするユーザ自身が保有するフロッピーディス
クやＩＣカードなどの記録媒体を前記読み書き装置に読
み書き可能状態にセットした状態でユーザＩＤ、パスワ
ードの入力を行なうようにし、正当なパスワード入力を
行ったユーザに対してはログインを許可し、規定回数以
上の不正パスワード入力を行った場合は従来と同様にロ
ックアウト状態とするが、記録媒体のログイン失敗時刻
データまたは第１の固有データ格納領域の重要データの
改ざん等の不正を行った不正ログイン操作に対しては、
ロックアウト処理を含む「準ロックアウト状態」に遷移
させ、この準ロックアウト状態において、一見通常のロ
グイン処理を行っているように見えるが、実は不正を行
えば行うほど不正ログイン操作を締め出す時間を長くす
るようにしたものである。

【００１０】ここで、準ロックアウト状態とは、ログイ
ン失敗時刻データなどの重要データの改ざん等の不正を
行ったことが判明した時に遷移する状態であり、この準
ロックアウト状態では、ユーザによるパスワードの入力
を許し、かつそのパスワードの判定も行なうが、入力さ
れたパスワードが正当なものと一致する場合であって
も、それを排除するものである。入力されたパスワード
が正当なものと一致する場合であっても、これを無視す
るとは、排除することと同義である。

【００１１】ログイン失敗時刻データなどの重要データ
の改ざん等の不正が行なわれたかどうかは、当該ユーザ
に対応する前記第１および第２の固有データ格納領域に
格納されたデータを読出すと共に、前記記録媒体に格納
されたデータを読出し、記録媒体から読出したログイン
失敗時刻データと第２の固有データ格納領域から読出し
たログイン失敗時刻データとの照合、前記第１および第
２の固有データ格納領域からそれぞれ読出した非固定デ
ータ、固定データの照合を行なうことによって判定す
る。この場合、第１の固有データ領域のデータは、第２
の固有データ領域とは異なる領域に格納されており、好
ましくは暗号化して格納されている。

【００１２】

【発明の実施の形態】以下、本発明の実施形態を図面に
より詳細に説明する。

【００１３】図１は、本発明のロックアウト方法を適用
したコンピュータシステムの実施形態を示すブロック図
であり、コンピュータ１０１と、このコンピュータ１０
１に付属する媒体読み書き装置１０２とから構成され、
コンピュータ１０１にログインし、コンピュータ１０１
が備えるデータやアプリケーションプログラム等の資源
を使用する際には、ユーザ１０６に固有のデータが格納
されたフロッピーディスク１０３（またはＩＣカード１
０４）を媒体読み書き装置１０２に読み書き可能状態に
セットし、コンピュータ１０１のキーボード等の入力装
置１０５からユーザＩＤとパスワードとを入力するよう
に構成されている。

【００１４】ユーザ１０６が携帯するフロッピーディス
ク１０３には、ログイン操作の失敗回数カウント値ＣＦ
や最新のログイン失敗時刻データｆｔなどを格納する領
域１０３１が設けられている。また、ログイン対象のコ
ンピュータ１０１には、ユーザにより入力されたパスワ
ードを無視する準ロックアウト状態への突入後の準ロッ
クアウト状態持続時間を定める第１の値ＣＲ等を格納す
る第１の固有データ格納領域１０１１が設けられると共
に、フロッピーディスク１０３の領域１０３１に格納さ
れたログイン失敗時刻データｆｔ等と同一のデータを格
納する第１の格納領域１０１２と、前回ログアウト時刻
等の非固定データＲＶＤおよびユーザ名等の固定データ
ＲＳＤを格納する第２の格納領域１０１３を含むユーザ
別の第２の固有データ格納領域１０１４が設けられてい
る。

【００１５】この第１および第２の固有データ格納領域
１０１１，１０１４は、コンピュータ１０１のオペレー
ティングシステム（ＯＳ）がWindows95やWindows NTで
あれば、レジストリファイル中に設けることができる。
この実施形態における第２の固有データ格納領域１０１
４のデータは所定の暗号化アルゴリズムによって暗号化
されており、外部のユーザが解読できないように保護さ
れている。

【００１６】図２は、この実施形態におけるログイン動
作の概要を示す図であり、コンピュータを使用しようと
するユーザ自身が保有するフロッピーディスク１０３を
媒体読み書き装置１０２に読み書き可能状態にセットし
た状態で、ユーザＩＤ、パスワードを入力し（ステップ
２０１）、その入力したパスワードが正当なパスワード
であれば（ステップ２０２）、ログインを許可し（ステ
ップ２０３）、規定回数以上の不正パスワードの入力を
行った場合は（ステップ２０４）、従来と同様にロック
アウト状態とする（ステップ２０５）。ここまでは、従
来方法と同じである。

【００１７】本発明では、記録媒体であるフロッピーデ
ィスク１０３に格納されたログイン失敗回数カウント値
ＣＦやログイン失敗時刻データｆｔまたはコンピュータ
１０１内の第１の固有データ格納領域１０１１のデータ
ＲＶＤ等の改ざん等の不正を行った不正ログイン操作に
対しては、この不正ログイン操作を検知し（ステップ２
０６）、ロックアウト処理を含む「準ロックアウト状
態」に遷移させ（ステップ２０７）、この準ロックアウ
ト状態において、一見通常のログイン処理を行っている
ように見えるが、実は不正を行えば行うほど不正ログイ
ン操作を締め出す時間を長くするように処理する。

【００１８】準ロックアウト状態とは、前述したよう
に、ログイン失敗時刻データｆｔなどの重要データの改
ざん等の不正を行ったことが判明した時に遷移する状態
であり、この準ロックアウト状態では、ユーザによるパ
スワードの入力を許し、かつそのパスワードの判定も行
なう。しかし、入力されたパスワードが正当なものと一
致する場合であっても、それを排除するものであり、
（１）ログイン失敗時刻データｆｔなどの重要データの
改ざん等の不正が検出される都度、（２）準ロックアウ
ト状態において不正なパスワードが規定回数入力される
都度、第１の固有データ格納領域１０１１の第１の値Ｃ
Ｒが「＋１」され、準ロックアウト状態から通常状態に
復帰するまでの時間が長くなるようになっている。

【００１９】通常状態と準ロックアウト状態の動作の違
いを図３で説明する。図３において、横矢印３００は時
間軸である。今、ロックアウトが起こるまでのパスワー
ド入力規定回数を３回とし、ユーザが、、、、
、のタイミングでパスワードを入力するとする。通
常状態では、〜のパスワード入力のうち、正しいパ
スワードが入力されればその時点でログインを許可す
る。〜の入力が全て誤ったものであればロックアウ
トを行い、さらに〜の入力もすべて誤りであれば再
びロックアウトを行う。

【００２０】これに対し、準ロックアウト状態では正し
いパスワードが入力されてもログインを許可しない。つ
まり、通常状態では、〜のいずれでのタイミングで
も正しいパスワードが入力されればその時点でログイン
できるのに対し、準ロックアウト状態ではログインは絶
対に許可されることがなく、どんなパスワードであって
も３回入力を受けたらロックアウトを行うという動作を
繰り返す。従って、通常状態と比べてユーザに対する見
かけ上の動作は変わらないが、正しいパスワード入力を
受けてもログインを許可しない点が異なる。そして、ロ
グイン失敗時刻データｆｔなどの重要データが変更また
は削除されるなどの改ざんを検知した時や、準ロックア
ウト状態中にロックアウトが起こる度に、第１の固有デ
ータ格納領域１０１１の第１の値ＣＲを「＋１」し、準
ロックアウト状態を長期化させる。

【００２１】図４は、フロッピーディスク１０３に格納
されるデータ（以下、データＦ-Ｄと総称する）４００
のデータ構造を示す図であり、ＣＦ４０１はログイン失
敗回数カウント値、ｆｔ４０２は最新のログイン失敗時
刻、ｆ−otherwise４０３はその他のデータである。こ
こで言う時刻とは年月日時分秒を含むものである。ま
た、その他のデータ４０３とは、例えば、ユーザの役職
やログインが許可される時間帯など、ユーザの情報やロ
グインの制御に関する情報である。

【００２２】ＣＦ４０１は、ユーザがログインに失敗す
るたびに値を「１」増やす。従ってロックアウトが始ま
るまでのパスワード試行規定回数をＬＴとすれば、ＣＦ
４０１は「０」から「ＬＴ」までの値をとる。「ＬＴ」
はシステム管理者がシステムセキュリティ方針に沿って
適宜に定めるものである。

【００２３】Ｆ-Ｄ４００の全てのデータは、システム
の他の部分にも同一内容が記録される。記録する場所
は、フロッピーディスク１０３内でも構わないが、フロ
ッピーディスク１０３とは異なるファイルやレジストリ
が好ましい。この実施形態では、コンピュータ１０１の
第２の格納領域１０１２にも同一内容が記録される。

【００２４】データＦ-Ｄ４００を初期化するとは、Ｃ
Ｆ４０１を０に、ｆｔ４０２を現時刻にして、その他の
データ４０３をシステムで定めたそれぞれの初期値にリ
セットする事である。

【００２５】図５は、第１の固有データ格納領域１０１
１に格納されるデータ（以下、データＲ-Ｄと総称す
る）５００のデータ構造を示す図であり、このデータＲ
-Ｄ５００のＣＲ５０１以外のデータ５０２、５０３
は、具体的には前回ログアウトした時刻や最後にレジス
トリを更新した時刻等の不特定データや、ユーザ名、マ
シン名やアプリケーション名等の特定データである。不
特定データをＲＶＤ５０２、特定データをＲＳＤ５０３
と呼ぶことにすると、これらのデータとＣＲを所定の順
番（例えば図５のようにＣＲ、ＲＶＤ、ＲＳＤの順番）
に並べ、暗号化してレジストリ上に保持しておく。シス
テムはＣＲ５０１の値により通常状態か準ロックアウト
状態かが決まる。ＣＲ５０１の値が「０」であればシス
テムは通常状態であり、正数であれば準ロックアウト状
態である。

【００２６】図６は、ＲＶＤ５０２の詳細構造を示す図
であり、「前回ログアウトした時刻」をｏｔ６０１、
「最後にレジストリを更新した時刻」をｌｔ６０２、そ
の他のデータｒｖ−ｏｔｈｅｒｗｉｓｅを６０３と表わ
している。ＲＶＤ５０２を初期化するとは、ｏｔ６０
１，ｌｔ６０２を現時刻に、ｒｖ−ｏｔｈｅｒｗｉｓｅ
６０３をシステムで定めたそれぞれの初期値にリセット
する事である。システムはユーザがログアウトした時に
ｏｔ６０１を現時刻に更新する。

【００２７】図７は、ＲＳＤ５０３の詳細構造を示す図
であり、「ユーザ名」をｙｎ７０１、「マシン名」をｍ
ｎ７０２、「アプリケーション名」をａｐｎ７０３、そ
の他のデータをｒｓ−ｏｔｈｅｒｗｉｓｅ７０４と表わ
している。ＲＳＤ５０３を初期化するとは、各々のデー
タをシステムで定めたそれぞれの初期値にリセットする
事である。

【００２８】Ｒ-Ｄ５００のＣＲ５０１以外の全てのデ
ータは、システムの他の部分にも記録してある。記録し
てある場所は同じレジストリ上でも構わないが、別ファ
イル上や別レジストリ上が望ましい。この実施形態で
は、第２の固有データ格納領域１０１４に記録してい
る。

【００２９】Ｒ-Ｄ５００を初期化するとは、ＣＲ５０
１を「０」にしてＲＶＤ５０２,ＲＳＤ５０３を初期化
する事である。

【００３０】ＣＲ５０１以外のデータＦ-Ｄ,Ｒ-Ｄ上の
データの値を更新あるいは初期化する時には、他の場所
に保持してある値も同時に変更する。

【００３１】ＣＦ４０１,ＣＲ５０１の２つの異なる値
はそれぞれ、ＣＦ４０１がユーザのログイン失敗回数を
表すもの、別の言い方をすればロックアウトを起こすタ
イミングを決めるものであり、ＣＲ５０１が準ロックア
ウト状態を持続する時間を決めるものである。ＣＲ５０
１が「０」であればシステムは通常状態であるが、ＣＲ
５０１が正数であればシステムは準ロックアウト状態と
なり、それが大きい正数であるほど準ロックアウト状態
は長く続く。

【００３２】図８は、データＦ-Ｄ４００へのアクセス
方法を示すフローチャートである。データＦ-Ｄ４００
へアクセスする場合、まず、Ｆ-Ｄ４００の各値が正し
いかどうかを、第２の固有データ格納領域１０１４に格
納している同じ内容のデータを参照して確かめる（ステ
ップ８００）。もし正しければフロッピーディスク１０
３のデータにアクセスする（ステップ８０３）。正しく
なければ、Ｆ-Ｄ４００を初期化の後（ステップ８０
１）、ＣＲ５０１の値を「１」増やし（ステップ８０
２）、データＦ-Ｄ４００にアクセスする（ステップ８
０３）。

【００３３】図９は、Ｒ-Ｄ５００へのアクセス方法を
示すフローチャートであり、まず、レジストリ上にはＲ
-Ｄ５００を暗号化して保存しているので復号化する
（ステップ９００）。そしてＲＶＤ５０２、ＲＳＤ５０
３の値が正しいかどうかを、他の場所（第２の固有で他
格納領域１０１４内の第２の格納領域１０１３）に保持
している同じ内容のデータを参照して確かめる（ステッ
プ９０１）。もし１つでも異なるものがあれば、ＲＶＤ
５０２、ＲＳＤ５０３を初期化の後（ステップ９０
２）、ＣＲ５０１の値を「１」増やす（ステップ９０
３）。そして、必要なレジストリ上のデータにアクセス
する（ステップ９０４）。今回のアクセスでＣＲ５０１
を更新した場合はｌｔ６０２を現時刻に更新する（ステ
ップ９０５）。そして暗号化して保存する（ステップ９
０６）。

【００３４】次に、ログイン処理について説明する。最
初に全体の流れを図１０のフローチャートで説明する。
まず、コンピュータ１０１ログイン画面を出力する（ス
テップ１０００）。ログイン画面は図１１のようなもの
である。ユーザは、このログイン画面１１００を見なが
らユーザＩＤを入力する（ステップ１００１）。コンピ
ュータ１０１は、ユーザＩＤが入力されたならば、その
入力されたユーザＩＤを参照して該当するユーザのＦ-
Ｄ４００やＲ-Ｄ５００をチェックする（ステップ１０
０２）。改ざん等の問題が無ければ、ステップ１００３
に進み、もし一部でもデータが異なっていたり、削除さ
れていた場合には何らかの改ざんが行われているものと
判定し、ステップ１００４に進む。なお、ステップ１０
０３の詳細は図１２で、ステップ１００４の詳細は図１
３で説明する。

【００３５】ステップ１００３あるいはステップ１００
４が終了したならば、コンピュータ１０１は現在のシス
テムの状態を判断する（ステップ１００５）。正常状態
であれば、ユーザのパスワードが入力された後（ステッ
プ１００６）、通常パスワード処理（ステップ１００
８）を行い、準ロックアウト状態であれば、ユーザのパ
スワードが入力された後（ステップ１００７）、準ロッ
クアウト状態下のパスワード処理（ステップ１００９）
を行う。

【００３６】図１２は、ステップ１００３の詳細を示す
フローチャートであり、まず、Ｆ-Ｄ４００のｆｔ４０
２（最後にログインに失敗した時刻）と現在時刻（シス
テムで保持しているもので、ここではｃｔと表す）の差
の絶対値を計算し、｜ｆｔ−ｃｔ｜≧ｒｓｔ（ｒｓｔは
管理者がシステムのセキュリティ方針に沿って適宜に定
める）であれば（すなわち、最新にログインに失敗した
時刻から十分大きな時間が経過していれば）、ＣＦ４０
０を「０」にリセットし（１２０１）、さらにＣＲ５０
１が正であれば値を「１」減らす（ステップ１２０
３）。ＣＲ５０１が「１」の場合はステップ１２０３の
処理により、準ロックアウト状態から通常状態に戻る。

【００３７】ｒｓｔはシステムが準ロックアウト状態か
ら通常状態に戻るまでの時間を制御するパラメタであ
る。準ロックアウト状態は、該当ユーザが最後にログイ
ンを失敗してから（ＣＲ×ｒｓｔ）の間続く。

【００３８】図１３はステップ１００４の詳細を示すフ
ローチャートであり、まず、該当ユーザの改ざんを受け
たＦ-Ｄ４００やＲ-Ｄ５００のデータを初期化する等し
て修復する（ステップ１３００）。そしてＣＲ５０１の
値を「１」増やす（ステップ１３０１）。ステップ１３
０１により、ＣＲ５０１が「０」であった場合、システ
ムは通常状態から準ロックアウト状態に移る。

【００３９】次に、図１０のステップ１００５のシステ
ム状態の判断処理を図１４のフローチャートで説明す
る。

【００４０】図１４において、まず、ＣＲ５０１の値を
調べる（ステップ１４００）。ＣＲ５０１が「０」であ
れば、システムは通常状態であると判断する（ステップ
１４０１）。しかし、ＣＲ５０１が「０」でなければ準
ロックアウト状態にあるという事になるので、｜ｆｔ−
ｃｔ｜の値を調べ（ステップ１４０２）、準ロックアウ
ト状態がまだ続いているかどうかを調べる。｜ｆｔ−ｃ
ｔ｜≧（ＣＲ×ｒｓｔ）であれば準ロックアウト状態は
終了であるので、ＣＲ５０１を「０」にし（ステップ１
４０３）、ＣＦ４０１を「０」にして（ステップ１４０
４）、システムは通常状態であると判断する（ステップ
１４０５）。

【００４１】しかし、｜ｆｔ−ｃｔ｜＜（ＣＲ×ｒｓ
ｔ）であれば、準ロックアウト状態をまだ継続すべき状
態であると判断する。

【００４２】次に、ステップ１００８の「通常パスワー
ド処理」について図１５のフローチャートで説明する。
図１５において、まずＣＦ４０１の値を「１」増やす
（ステップ１５００）。そしてパスワード判定を行い
（ステップ１５０１）、ユーザにより入力されたパスワ
ードが正しければＣＦ４０１を「０」にして（ステップ
１５０２）、ユーザのログインを許可する（ステップ１
５０３）。しかし、パスワードが正しくなければ、ＣＦ
４０１の値を調べる（ステップ１５０４）。

【００４３】ＣＦ４０１がＬＴ（ログイン規定回数）以
上であれば、ＣＦ４０１を「０」にして（ステップ１５
０５）、ロックアウト状態に移行し、ロックアウトを行
う（ステップ１５０６）。ＣＦ４０１がＬＴ未満であれ
ば、パスワードリジェクト処理を行う（ステップ１５０
７）。

【００４４】ステップ１５０６の「ロックアウト」の処
理について図１６のフローチャートで説明する。図１６
において、まずフロッピーディスク１０３および第２の
固有データ他格納領域１０１４中のｆｔ４０２を現時刻
に更新し（ステップ１６００）、警告をＬＯＴの間表示
し続ける（ステップ１６０１）。この時のログイン画面
は図１７のようなものであり、例えば「あなたはロック
アウトされました」という警告メッセージが表示され
る。ＬＯＴは、ロックアウトが続く時間であり、システ
ム管理者がセキュリティ方針に沿って定めたものであ
る。ロックアウト中は全てのユーザの入力を受け付けな
い。

【００４５】ロックアウトが終了したらログイン画面１
７０１の警告メッセージを消去し（ステップ１６０
２）、ログイン画面を初期化してユーザの入力を受け付
けるようにする（ステップ１６０３）。ロックアウトが
終了した時点では、システムは図１０のステップ１００
０が終了した状態となり、システムはユーザからのユー
ザＩＤの入力を待つ状態となる。

【００４６】次に、図１５のステップ１５０７の「パス
ワードリジェクト作業」について図１８のフローチャー
トで説明する。図１８において、まず、フロッピーディ
スク１０３および第２の固有データ他格納領域１０１４
中のｆｔ４０２を現時刻に更新し（ステップ１８０
０）、パスワード不一致のコメントまたはメッセージを
出力する（ステップ１８０１）。この時のログイン画面
は図１９のようなものであり、この画面１９０１におい
て例えば「あなたが入力したパスワードは正しくありま
せん」というコメントが表示される。このパスワードリ
ジェクト作業が終了した時点では、システムは図１０の
ステップ１０００が終了した状態となり、システムはユ
ーザからのユーザＩＤの入力を待つ状態になる。

【００４７】次に、図１０のステップ１００９の「準ロ
ックアウト状態下でのパスワード処理」について図２０
のフローチャートで説明する。図２０において、まず、
ＣＦ４０１の値を「１」増やす（ステップ２０００）。
そしてパスワード判定を行い（ステップ２００１）、ユ
ーザの入力したパスワードが正しければ、ＣＲ５０１の
値を「１」に戻す（ステップ２００２）。そしてＣＦ４
０１の値を調べ、ＣＦ４０１がＬＴ（ロックアウト規定
回数）以上であればＣＦ４０１を「０」にして（ステッ
プ２００４）、ロックアウトを行う。ＣＦ４０１がＬＴ
未満であればパスワードリジェクト作業を行う（ステッ
プ２００６）。

【００４８】ここで、準ロックアウト状態下ではログイ
ンを許可しないのにわざわざステップ２００１において
パスワード判定を行っているのは、準ロックアウト時間
があまり長くなり過ぎないようにするためである。例え
ば、不正ログインを行なおうとする攻撃者が不正ログイ
ンを何回も試みた場合、準ロックアウト状態はそれに比
例して長く続く。そのような場合、正規のユーザがログ
インをしようとしても準ロックアウト状態が長く続きす
ぎるため、事実上システムから締め出されてしまう。こ
の性質を利用して攻撃者は無意識に、あるいは意図的に
全てのシステムを使用不能（ログインを事実上不可能）
にする攻撃を行う事ができる。それに対処するため、準
ロックアウト状態下でも正しいパスワードを入力した場
合にはＣＲ５０１をステップ２００２で「１」に戻すこ
とにより、図１２ステップ１２０３において、ｒｓｔ時
間後には準ロックアウト状態が解除されるようにするの
である。但し、正規ユーザはその間は待機していなけれ
ばならない。

【００４９】ここで、正規のユーザのフロッピーディス
ク１０３のデータを不正ユーザが複写して不正ログイン
を試みることがあり得る。このような不正ログインを試
みた直後に正規のユーザがログイン操作を行なった場
合、パスワードが正しい場合であってもログイン失敗時
刻データ等が不一致となっているので、準ロックアウト
状態になる。正規のユーザは、正しいパスワードを入力
したにも拘らず準ロックアウト状態になったことによ
り、自分自身のフロッピーディスク１０３のデータが盗
まれているものと判断することができる。盗まれたこと
が判明した場合、システム管理者に届け出てフロッピー
ディスクやＩＣカードの変更手続きを行なえばよい。

【００５０】正しいパスワードを入力してシステムが通
常状態に戻るのを待つ時、ロックアウト（ステップ２０
０５）された場合とパスワードリジェクト（ステップ２
００６）された場合とでは、ユーザの受ける印象は異な
る。ステップ２００６が実行された場合は、ユーザはｒ
ｓｔの間待てばよい。ステップ２００５が実行された場
合もｒｓｔの間待てばよいのであるが、ｒｓｔ≦ＬＯＴ
の場合はロックアウトが終了した時点で（正確には図１
２のステップ１２０３の時点で）システムは通常状態に
戻る。しかし，ｒｓｔ＞ＬＯＴの場合は、ロックアウト
が終了してもさらに「ｒｓｔ−ＬＯＴ」の間待たなけれ
ばシステムは通常状態に戻らない。普通はｒｓｔ＝ＬＯ
Ｔとなるように設定する。

【００５１】入力されたパスワードが正しくない場合
は、まずＣＦ４０１の値を調べる（ステップ２００
７）。ＣＦ４０１がＬＴ以上であればＣＲ５０１の値を
「１」増やし（ステップ２００８）、ＣＦ４０１を
「０」にして（ステップ２００９）、ロックアウトを行
う（ステップ２０１０）。ＣＦ４０１がＬＴ未満であれ
ば、パスワードリジェクト作業を行う。

【００５２】

【発明の効果】以上の説明から明らかなように、本発明
によれば、ロックアウトに関するファイルの削除やクリ
ティカルデータの改ざん等の攻撃に強く、さらにユーザ
が不正を行えば行うほど、不正ユーザに気付かれる事無
くシステムから締め出す時間を長くし、不正ユーザの不
正ログイン操作を強固にロックアウトすることができ
る。

【図面の簡単な説明】

【図１】本発明のロックアウト方法を適用したコンピュ
ータシステムの実施形態を示すブロック図である。

【図２】ログイン動作の概要を示す説明図である。

【図３】通常状態と準ロックアウト状態の違いを説明す
る図である。

【図４】ユーザが携帯する記録媒体に格納されるデータ
の構造を示す図である。

【図５】第１の固有データ格納領域に格納されるデータ
の構造図である。

【図６】第１の固有データ格納領域内の非固定データの
構造図である。

【図７】第１の固有データ格納領域内の固定データの構
造図である。

【図８】記録媒体内のデータへのアクセス方法を示すフ
ローチャートである。

【図９】コンピュータ内のレジストリデータへのアクセ
ス方法を示すフローチャートである。

【図１０】ログイン処理の概要を示すフローチャートで
ある。

【図１１】ログイン画面の例を示す図である。

【図１２】図１０のステップ１００３の詳細を示すフロ
ーチャートである。

【図１３】図１０のステップ１００４の詳細を示すフロ
ーチャートである。

【図１４】図１０のステップ１００５の詳細を示すフロ
ーチャートである。

【図１５】図１０のステップ１００８の詳細を示すフロ
ーチャートである

【図１６】ロックアウトの処理の流れを示すフローチャ
ートである。

【図１７】ロックアウト状態におけるログイン画面の例
を示す図である。

【図１８】パスワードリジェクト作業の詳細を示すフロ
ーチャートである。

【図１９】パスワード不一致を示す画面の表示例を示す
図である。

【図２０】準ロックアウト状態におけるパスワード処理
を示すフローチャートである。

【符号の説明】

１０１…コンピュータ、１０２…媒体読み書き装置、１
０３…フロッピーディスク、１０４…ＩＣカード、１０
５…入力装置、１０６…ユーザ、１０１１…第１の固有
データ格納領域、１０１２…第１の格納領域、１０１３
…第２の格納領域、１０１４…第２の固有データ格納領
域。

Claims (4)

【特許請求の範囲】
1. 【請求項１】 コンピュータを使用しようとするユーザ
   によって入力されたユーザ固有の識別情報およびパスワ
   ードの認証処理を実行し、不正なパスワードの所定回数
   の入力に対し当該コンピュータが備えるデータやアプリ
   ケーションプログラム等の資源を利用することを許可し
   ないようにするログイン操作のロックアウト方法におい
   て、 ログイン操作の失敗回数カウンタ格納領域と最新のログ
   イン失敗時刻データ格納領域とを有するユーザ別の記録
   媒体を用意すると共に、 ログイン対象のコンピュータには、 前記記録媒体に対しデータの読み書き動作を行なう読み
   書き装置と、 ユーザにより入力されたパスワードを無視する準ロック
   アウト状態への突入後の準ロックアウト状態持続時間を
   定める第１の値の格納領域と前回ログアウト時刻等の非
   固定データおよびユーザ名等の固定データの格納領域を
   含むユーザ別の第１の固有データ格納領域と、 前記最新のログイン失敗時刻データ格納領域に格納され
   たログイン失敗時刻データと同一のデータを格納する第
   １の格納領域と前記非固定データおよび固定データの格
   納領域に格納されるデータと同一のデータを格納する第
   ２の格納領域を含むユーザ別の第２の固有データ格納領
   域と、を設け、 コンピュータを使用しようとするユーザ自身が保有する
   前記記録媒体を前記読み書き装置に読み書き可能状態に
   セットした後の当該ユーザによるユーザ識別情報の入力
   に対し、ログイン対象のコンピュータにおいて、 （ａ１）入力されたユーザ識別情報によって当該ユーザ
   に対応する前記第１および第２の固有データ格納領域に
   格納されたデータを読出すと共に、前記記録媒体に格納
   されたデータを読出し、記録媒体から読出したログイン
   失敗時刻データと第２の固有データ格納領域から読出し
   たログイン失敗時刻データとの照合、前記第１および第
   ２の固有データ格納領域からそれぞれ読出した非固定デ
   ータ、固定データの照合を行ない、 （ａ２）照合対象のデータが不一致の場合は、前記第１
   の値を更新して準ロックアウト状態に遷移し、ユーザ識
   別情報に続いて入力されるパスワードの正当性を判定
   し、正当なパスワードであっても前記第１の値で定まる
   時間経過後までその正当なパスワードを無視し、前記記
   録媒体中の最新のログイン失敗時刻データ格納領域に現
   在時刻データを書き込んだ後、不正パスワードである旨
   のメッセージを出力し、前記第１の値で定まる時間が経
   過したならば前記第１の値を通常状態を示す値に復帰さ
   せ、 不正なパスワードであれば前記記録媒体中の失敗回数カ
   ウンタ格納領域のログイン失敗回数カウント値を更新し
   た後、そのログイン失敗回数カウント値が規定回数に達
   していればロックアウト状態に遷移し、前記記録媒体中
   の最新のログイン失敗時刻データ格納領域に現在時刻デ
   ータを書き込んだ後、ログイン操作を所定時間禁止す
   る、処理をユーザ識別情報の入力に続くパスワードの入
   力毎に実行し、前記記録媒体中のデータまたは第２の固
   有データ格納領域中のデータの改ざんによる不正ログイ
   ン操作を禁止することを特徴とするログイン操作のロッ
   クアウト方法。
2. 【請求項２】 準ロックアウト状態に遷移した状態で不
   正なパスワードが規定回数入力された場合は前記第１の
   値をさらに更新することを特徴とする請求項１記載のロ
   グイン操作のロックアウト方法。
3. 【請求項３】 前記第２の固有データ格納領域のデータ
   は暗号化されており、該格納領域をアクセスするたびに
   復号されるものであることを特徴とする請求項１または
   ２記載のログイン操作のロックアウト方法。
4. 【請求項４】 準ロックアウト状態に遷移した状態で正
   当なパスワードが入力された場合は、前記第１の値を準
   ロックアウト状態の最初の値に戻す処理を行なうことを
   特徴とする請求項１ないし３記載のいずれかのログイン
   操作のロックアウト方法。