JPH11252067A - セキュリティオペレーション制御方法およびその記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】セキュリティ条件の異なる通信を、１つのセキ
ュリティサーバで安全かつ容易に実現し、共通鍵暗号方
式では共通鍵を保持せずに鍵管理を容易にする。 【解決手段】セキュリティサーバ１２は、クライアント
１１とターゲット１６との通信制御を行う通信制御手段
１５と、クライアント本人であることを証明する認証手
段１３と、クライアント１１から通信ターゲット名を受
信して、クライアント１１に通信に必要なセキュリティ
手段の情報を送信するセキュリティ情報手段１７と、ク
ライアント１１とターゲット１６が通信可能か否かを確
認するアクセス制御手段１４とを備える。その他に、通
信を暗号化する暗号化手段と、暗号化に必要な鍵を管理
する鍵管理手段と、セキュリティ情報を管理する情報管
理手段と、管理手段の情報を消去する制御情報消去手段
とを設けることも可能である。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報処理システム
におけるセキュリティサーバの実現方法に関し、特にセ
キュリティサーバを介したターゲットオペレーション制
御方法、およびそのプログラムを記録した記録媒体に関
する。

【０００２】

【従来の技術】一般に、通信し合うプロセス間におい
て、要求を出す側をクライアントと呼び、要求を処理す
る側をターゲットと呼んでいる。また、クライアントと
ターゲットの間の安全な通信を司るサーバを、セキュリ
ティサーバと呼んでいる。セキュリティサーバは、クラ
イアントが本人であることを証明する認証機能やクライ
アントから要求された処理がターゲットで実行可能か否
かを判断するアクセス制御機能等を具備している。セキ
ュリティメカニズムとして、ネットワーク上で情報の改
ざんや盗聴を発生させないようにするには、一般に通信
メッセージを暗号化する方法や、メッセージ全体を暗号
変換して生成する認証子（Ｍｅｓｓａｇｅ Ａｕｔｈｅ
ｎｔｉｃａｔｉｏｎＣｏｄｅ：ＭＡＣ）等を用いてい
る。また、クライアントのなりすましを防止するために
は、パスワードの提示や信頼できる第三者に正しいユー
ザであることの証明書（チケット）を発行してもらい、
それによりユーザの正当性を確認する方法等がある。

【０００３】ところで、セキュリティを実装する上で望
まれることは、高い安全性を保証することと、クライア
ントやターゲットの多様なセキュリティの要求に柔軟に
対応できる機能を備えることである。すなわち、通信の
目的や用途により、セキュリティ手段を使い分けること
が要求される。例えば、高い安全性を要求するシステム
では、認証や暗号化のような技術を組み合わせて使用
し、また性能を低下させず、かつある程度の安全性も要
求するシステムでは、パスワード認証のような処理時間
が比較的短いセキュリティ手段を単体で用いる。従来よ
り、セキュリティサーバの構成と類似するものとして、
ファイアウォールがある。このファイアウォールとは、
企業内通信網等のプラベートネットワークとインタネッ
ト等の広域通信網を接続する場合に両者の境界に設けら
れる通信制御機能の１つである。ファイアウォールを構
築する技術には、経路制御やフィルタリングや、ＩＰア
ドレスの識別により特定のパケットだけを通過させる方
法、代理応答サーバを用いる方法、あるいは極めて複雑
な認証機構を利用した方法等がある。例えば、ファイア
ウォールで実現しているセキュリティ技術としては、認
証や暗号等がある。認証手段としては、Ｓｅｃｕｒｅや
Ｓ／Ｋｅｙ、ＵＮＩＸパスワードを用いるＦｏｒｖａｌ
Ｃｒｅａｔｉｖｅ社のＣｈｅｃｋＰｏｉｎｔＦｉｒｅ
ｗａｌｌ〔１〕等がある。また、暗号処理としては、通
信する相手同志で乱数を交換して鍵を作るＤｉｆｆｉｅ
−Ｈｅｌｌｍａｎ鍵配送を用いた共通鍵暗号方式やＲＳ
Ａ（Ｒｉｖｅｓｔ−Ｓｈａｉｒ−Ａｄｌｅｍａｎ）の公
開鍵暗号方式を用いている。また、ＭＤＳを用いた電子
署名等を実装するＨＵＣＯＭ７ＤＦＫＢｏｒｄｅｒＧｕ
ａｒｄ〔２〕等がある。

【０００４】

【発明が解決しようとする課題】前述のように、ファイ
アウォールの製品は、システム管理者が予めセキュリテ
ィ条件を登録しておき、それに従って通信を行う方法を
採用している。しかしながら、分散処理環境におけるセ
キュリティの要求条件は、クライアントやターゲットに
より異なるため、使用するセキュリティ手段を動的に変
更できるようにする機能が必要となる。また、暗号機能
を用いる場合、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵配送方
法を用いているが、ファイアウォールはセッション鍵を
管理している。しかしながら、通信するクライアントや
ターゲットの数が増加すると、鍵の数は膨大になるとい
う問題がある。また、ファイアウォールでは、ＩＰの始
点／終点アドレスやＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ
Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）／ＵＤＰ（Ｕｓ
ｅｒＤａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）の始点／終
点ポートやＴＣＰのフラグ等をパラメータとしてフィル
タリングを行っている。これは、主として保護したい社
内ネットワークへのアクセスを制限するためである。一
般には、メールとニュースに制限を加える。つまり、社
内ネットワークのような保護したい情報を保存している
箇所には、外部からアクセスできるアプリケーションを
規定し、それ以外は通過させない方法でセキュリティを
高める方法を採用している。しかしながら、分散処理環
境でネットワークサービスを行う場合、セキュリティの
ために使用できるアプリケーションやオペレーションを
制限することはサービス性を低下させることになるとい
う問題がある。そこで、本発明の目的は、このような従
来の課題を解決し、分散処理環境のセキュリティの要求
条件の異なる通信に対し、処理手順を簡単かつ柔軟に対
応でき、共通鍵暗号方式を用いた場合でも共通鍵を保持
せずにすみ、鍵管理を容易にできるセキュリティオペレ
ーション制御方法およびその記録媒体を提供することに
ある。

【０００５】

【課題を解決するための手段】上記目的を達成するた
め、本発明のセキュリティオペレーション制御方法で
は、クライアントとターゲットがセキュリティサーバを
介して通信する場合に、通信制御を行う手段を通信開始
毎に設置し、通信終了時に消滅させることを特徴として
いる。これにより、通信毎にセキュリティ管理情報を制
御するので、セキュリティ条件の異なる通信が１つのセ
キュリティサーバで安全かつ容易に実現できる。また、
共通鍵暗号方式を使用した場合には、共通鍵を保持する
必要がないため、鍵の管理が容易になる。

【０００６】

【発明の実施の形態】以下、本発明の実施例を、図面に
より詳細に説明する。図１は、本発明の第１の実施例を
示すセキュリティサーバの構成図である。クライアント
１１とターゲット１６とが通信する際に、その途中に図
１に示すようなセキュリティサーバ１２が設置される。
セキュリティサーバ１２は、認証手段１３と、アクセス
制御手段１４と、通信制御手段１５と、セキュリティ情
報手段１７とを具備している。クライアント１１がター
ゲット１６と通信するために、セキュリティサーバ１２
に要求を出すと、セキュリティ情報手段１７はターゲッ
トとの通信に必要なセキュリティ情報を通信制御手段１
５を介してクライアント１１に提供する。この場合、認
証は、パスワード認証を使用する。

【０００７】図２は、図１における第１実施例の動作フ
ローチャートである。先ず、クライアント１１は、セキ
ュリティサーバ１２のセキュリティ情報手段１７に対し
て通信ターゲット名を提示し、通信に必要なセキュリテ
ィ手段の情報を入手する（ステップ１０１）。ここで
は、入手した情報から、ターゲット１６との通信に必要
なセキュリティがパスワード認証の場合について述べ
る。クライアント１１は、自分のＩＤ（識別子）、パス
ワード、ターゲットオペレーションを通信制御手段１５
に送信する（ステップ１０２）。通信制御手段１５は、
認証手段１３にクライアント１１のＩＤとパスワードを
送出して、クライアント１１がクライアント本人である
ことを確認させ、認証手段１３からその結果を通信制御
手段１５に報告する（ステップ１０３）。クライアント
本人である場合には（ステップ１０４）、通信制御手段
１５はクライアント１１とターゲット１６が通信可能で
あるか否かをアクセス制御手段１４で確認する（ステッ
プ１０５）。一方、クライアント本人でない場合には、
ターゲット１６との通信を拒否する（ステップ１０
６）。また、クライアント本人であっても、何等かの理
由でオペレーションが可能でない場合もあるので、可能
であるかを確認する（ステップ１０７）。オペレーショ
ン可能な場合、通信制御手段１５はクライアント１１か
ら送信されたターゲットオペレーションのみをターゲッ
ト１６に送信する（ステップ１０８）。アクセス不可能
な場合には、ターゲット１６との通信を拒否する（ステ
ップ１０６）。

【０００８】本実施例では、認証手段としてパスワード
認証を用いたが、ＩＤ認証、チャレンジアンドレスポン
ス方式を用いた認証、暗号による認証でもよい。これに
より、クライアント１１は、セキュリティサーバを介し
た通信を行いたい場合には、セキュリティ条件をターゲ
ットオペレーションに付加して送信すればよく、またセ
キュリティを必要としない場合には、オペレーションに
セキュリティ条件を付与しないで直接ターゲット１６に
送信すればよい。ターゲット１６側も、セキュリティサ
ーバ１２を介した通信と、介さない通信とで、同一のオ
ペレーションインタフェースを使用することが可能とな
る。

【０００９】図３は、本発明の第２の実施例を示すセキ
ュリティサーバの構成図ならびに情報管理手段の内容を
示す詳細図である。本実施例では、図１の第１の実施例
におけるセキュリティサーバ１２の通信制御手段１５
に、通信に必要なセキュリティ情報を管理する情報管理
手段２３を追加して、通信が終了する度毎に情報を消去
することにより、通信中の安全を保証する。図３（ｂ）
に示すように、情報管理手段２３には、クライアント１
１からセキュリティ情報手段１７が受信したものを含
め、通信に必要なセキュリティ情報を取得して、クライ
アント１１とターゲット２６が通信するための条件を格
納しておく。ここには、オペレーション要求順に、シー
ケンス番号、クライアント名、ターゲット名、通信に必
要なセキュリティ条件（認証方法、アクセス権、タイマ
値）を格納する。セキュリティサーバ１２には、その
他、タイマ２２と制御情報消去手段２１が追加されてい
る。タイマ２２は、クライアント１１とターゲット１６
または２６の間のコネクションを行っている期間を計数
するものであり、制御情報消去手段２１は通信終了通知
が送信されるか、あるいはタイマ２２でタイムアップさ
れる時点で、情報管理手段２３に格納され、その通信に
対応する情報を消去するものである。

【００１０】図４は、図３の第２の実施例の動作フロー
チャートである。なお、ステップ番号で図１と同じもの
は同じ番号を用い、異なる動作のみに第１実施例とは異
なるステップ番号を付与した。クライアント１１は、セ
キュリティサーバ１２のセキュリティ情報手段１７に通
信ターゲット名を提示し、サーバ１２側から通信に必要
なセキュリティ手段の情報を入手する。このとき、通信
制御手段１５にクライアント１１とターゲット２６が通
信するための条件を予め定められた通信条件に従って情
報管理手段２３に保存しておく（ステップ２０１）。こ
こでは、入手した情報からターゲット２６との通信に必
要なセキュリティが、パスワード認証の場合について述
べる。クライアント１１は、自分のＩＤとパスワードと
ターゲットオペレーションをセキュリティサーバ１２の
通信制御手段１５に送信する（ステップ１０２）。クラ
イアント本人である場合には、通信制御手段１５はクラ
イアント１１がターゲット２６に対して、オペレーショ
ン可能か否かをアクセス制御手段１４で確認する（ステ
ップ１０４，１０５）。クライアント本人でない場合に
は、クライアント１１に対してターゲット２６との通信
の拒否通知を送信する（ステップ１０６）。

【００１１】次に、オペレーション可能な場合には、通
信制御手段１５はターゲットオペレーションをターゲッ
ト２６に送信する（ステップ１０７，１０８）。一方、
オペレーション不可能な場合には、クライアント１１に
対してターゲット２６との通信の拒否通知を送信する
（ステップ１０７，１０６）。クライアント１１からの
ターゲットオペレーションの処理後、ターゲット２６は
セキュリティサーバ１２の通信制御手段１５にその結果
を送信する（ステップ２０２）。その後、通信制御手段
１５は、ターゲット２６からのオペレーション結果をク
ライアント１１に送信する。このとき、通信制御手段２
５はタイマ２２をスタートさせる（ステップ２０３）。
タイマ２２で予め定められた時間が経過したとき、また
はクライアント１１からの通信終了通知を受信したとき
（ステップ２０４）、制御情報消去手段（クライアント
代理消去手段）２１では、通信制御手段１５の情報管理
手段２３のシーケンス番号１の情報を消去する（ステッ
プ２０５）。タイマ２２で予め定められた時間になるま
での間、またはクライアント１１からの通信終了通知が
送信されるまでの間は、クライアント１１とターゲット
２６の間にはコネクションが張り放しにされる。これに
より、通信毎に安全性の保証が行えるとともに、タイマ
２２を設けることによって、クライアント１１の誤動作
や障害によるコネクションの張り放しを回避することが
できる。

【００１２】図５は、本発明の第３の実施例を示すセキ
ュリティサーバの構成図および情報管理手段の詳細構成
図である。図５に示す第３の実施例では、第２の実施例
のセキュリティサーバ１２の通信制御手段１５に、さら
に暗号機能を追加し、安全な通信を実現するとともに、
通信に必要な鍵管理を容易にする。また、図５に示すよ
うに、セキュリティサーバ１２には、暗号処理手段３１
と暗号生成手段３２を追加した。ここでは、共通鍵暗号
方式を採用するものとする。暗号鍵生成手段３２では、
クライアント１１とセキュリティサーバ１２との間の共
通鍵を生成する。また、共通鍵と暗号文とを暗号処理手
段３１に入力して、暗号文を復号化する。暗号鍵生成手
段３２で生成された共通鍵は、情報管理手段２３に格納
して管理される。図３のセキュリティ条件に加えて、鍵
交換、クライアントとセキュリティサーバ間の共通鍵、
セキュリティサーバとターゲット間の共通鍵、ターゲッ
トの公開鍵が格納されている。

【００１３】図６および図７は、図５の第３の実施例に
おける動作フローチャートである。フロー中、第１の実
施例と同じステップは１００の位の記号、第２の実施例
と同じステップは２００の位の記号、第３の実施例のス
テップは３００の位の記号を用いている。クライアント
１１は、セキュリティサーバ１２のセキュリティ情報手
段１７に通信ターゲット名に登録されたターゲット３６
を提示し、通信に必要なセキュリティ手段の情報を入手
する。このとき、通信制御手段１５にクライアント１１
とターゲット３６が通信するための条件を予め定められ
た通信条件に従って情報管理手段２３に保存しておく
（ステップ２０１）。保存形式は、第２の実施例と同じ
とする。入手した情報より、ターゲット３６との通信に
はＦＥＡＬ（Ｆａｓｔｄａｔａ Ｅｎｃｉｐｈｅｒｍｅ
ｎｔ Ａｌｇｏｒｉｔｈｍ）共通鍵暗号〔３〕、鍵交換
プロトコルはＤｉｆｆｉｅ−Ｈｅｌｌｍａｎである場
合、クライアント１１は通信制御手段１５を介してクラ
イアント１１とセキュリティサーバ１２との間の共通鍵
を暗号鍵生成手段３１を用いて生成する（ステップ３０
１）。生成した共通鍵は、情報管理手段２３で管理す
る。クライアント１１は、自分のＩＤ、パスワード、タ
ーゲットオペレーションを共通鍵を用いて暗号化し、通
信制御手段１５に送信する（ステップ３０２）。通信制
御手段１５は、共通鍵と暗号文を暗号処理手段３１で復
号化する（ステップ３０３）。復号化が可能であれば、
通信制御手段１５は、ＩＤとパスワードを認証手段１３
に送出し、認証手段１３は認証結果を通信制御手段１５
に返却する（ステップ３０４，１０３）。一方、復号不
可能であれば、クライアント１１に対してターゲット３
６との通信の拒否通信を行う（ステップ３０４，１０
６）。

【００１４】クラアント本人である場合には（ステップ
１０４）、通信制御手段１５はクライアント１１がター
ゲット３６に対して、オペレーション可能か否かをアク
セス制御手段１４で確認する（ステップ１０５）。クラ
イアント本人でない場合（ステップ１０４）、クライア
ント１１に対してターゲット３６との通信の拒否通知を
行う（ステップ１０６）。オペレーション可能な場合
（ステップ１０７）、セキュリティサーバ１２とターゲ
ット３６との間の通信で用いる共通鍵を暗号鍵生成手段
３２で生成する（ステップ３０５）。生成した暗号鍵
は、情報管理手段２３で管理する。オペレーション不可
能な場合（ステップ１０７）、クライアント１１に対し
てターゲット３６との通信の拒否通知を行う（ステップ
１０６）。通信制御手段１５は、セキュリティサーバ１
２とターゲット３６との間の共通鍵で暗号処理手段３１
を経由して暗号化し、ターゲット３６にオペレーション
を送信する（ステップ３０６）。復号化可能であれば
（ステップ３０７）、ターゲット３６は通信制御手段１
５に結果を送信する。オペレーションは、セキュリティ
サーバ１２とターゲット３６との間の共通鍵で暗号化す
る（ステップ３０８）。また、復号化不可能であれば
（ステップ３０７）、クライアント１１に対してターゲ
ット３６との通信の拒否通知を行う（ステップ１０
６）。通信制御手段１５は、ターゲット３６からのオペ
レーションの結果をクライアント１１に送信する。この
とき、通信制御手段１５はタイマ２２をスタートする
（ステップ２０３）。タイマ２２で予め定めた時間経過
したとき、またはクライアント１１からの通信終了通知
をクライアント１１の代理人が受信したとき（ステップ
２０４）、制御情報消去手段（クライアント代理消去手
段）２１は通信制御手段１５のシーケンス番号１の情報
を消去する（ステップ２０５）。

【００１５】上記の場合、タイマ２２の値をゼロにする
と、共通鍵の使い捨てを実現できる。第３の実施例で
は、共通鍵暗号で行っているが、暗号鍵生成手段の代り
に公開管理手段を使用すれば、公開鍵暗号方式も実現で
きる。これにより、鍵管理が容易かつ安全に実現できる
ことになる。次に、図２に示す第１の実施例の動作フロ
ーの各ステップ、図４に示す第２の実施例の動作フロー
の各ステップ、および図６、図７に示す第３の実施例の
動作フローの各ステップをそれぞれプログラムに変換
し、変換したプログラムをＣＤＲＯＭ等の記録媒体に格
納すれば、各クライアント１１または各ターゲット１
６，２６，３６にこれら記録媒体を運搬し、それらのプ
ログラムを実行することにより、クライアントがセキュ
リティサーバを介してターゲットと通信する際に、通信
毎にセキュリティ管理情報を自動制御することができ
る。

【００１６】

【発明の効果】以上説明したように、本発明によれば、
クライアントがセキュリティサーバを介してターゲット
と通信す幣場合に、通信毎にセキュリティ管理情報を制
御することにより、セキュリティ条件の異なる通信が１
つのセキュリティサーバで安全かつ容易に実現すること
ができる。また、共通鍵暗号方式を用いた場合には、共
通鍵を保持する必要がなくなり、鍵管理が容易となる。

【図面の簡単な説明】

【図１】本発明の第１の実施例を示すセキュリティサー
バの構成図である。

【図２】図１における動作フローチャートである。

【図３】本発明の第２の実施例を示すセキュリティサー
バの構成図である。

【図４】図３における動作フローチャートである。

【図５】本発明の第３の実施例を示すセキュリティサー
バの構成図である。

【図６】図５における動作フローチャートの一部であ
る。

【図７】図５における動作フローチャートの他の一部で
ある。

【符号の説明】 １１…クライアント、１２…セキュリティサーバ、１３
…認証手段、１４…アクセス制御手段、１５…通信制御
手段、１６…ターゲット、１７…セキュリティ情報手
段、２１…制御情報消去手段、２２…タイマ手段、２３
…情報管理手段、２６…ターゲット、３１…暗号処理手
段、３２…暗号生成手段、３６…ターゲット。

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 ＦＩ Ｈ０４Ｌ 9/00 ６７３Ａ

Claims (9)

【特許請求の範囲】
1. 【請求項１】 処理要求を出すクライアントと、該クラ
   イアントからの要求を処理するターゲットと、該クライ
   アントとターゲットの間の通信を保証するセキュリティ
   サーバとを有する情報処理システムにおいて、 上記セキュリティサーバは、該クライアントとターゲッ
   トの通信制御を行う通信制御手段と、該クライアントが
   本人であることを証明する認証手段とを有し、 該クライアントが該セキュリティサーバの通信制御手段
   に対して、上記ターゲットへのオペレーションと該クラ
   イアントがクライアント本人であることを証明する情報
   を送信すると、 該通信制御手段は、該クライアントがクライアント本人
   か否かを確認するために、上記認証手段に該クライアン
   トから送信されたクライアント本人を証明する情報を送
   出し、 証明する情報がクライアント本人ならば、該クライアン
   トから送信された上記ターゲットオペレーションを該タ
   ーゲットに送信し、 証明する情報がクライアント本人でないときは、該クラ
   イアントに対して該ターゲットとの通信を拒否すること
   を特徴とするセキュリティオペレーション制御方法。
2. 【請求項２】 前記セキュリティサーバに、ターゲット
   とアクセス可能か否かを確認するアクセス制御手段を配
   置し、該アクセス制御手段は、前記通信制御手段から該
   ターゲットとクライアントが通信可能か否かの確認依頼
   を受けたならば該確認依頼を処理し、処理結果を該通信
   制御手段に対して返送することを特徴とする請求項１に
   記載のセキュリティオペレーション制御方法。
3. 【請求項３】 前記セキュリティサーバは、クライアン
   トとセキュリティサーバとターゲットの間の通信を暗号
   化手段により暗号化し、また暗号化に必要な鍵を鍵管理
   手段により管理することを特徴とする請求項１または２
   に記載のセキュリティオペレーション制御方法。
4. 【請求項４】 前記セキュリティサーバは、通信に必要
   なセキュリティ情報を情報管理手段により管理すること
   を特徴とする請求項１，２または３に記載のセキュリテ
   ィオペレーション制御方法。
5. 【請求項５】 前記セキュリティサーバは、前記情報管
   理手段の管理情報を制御情報消去手段により消去するこ
   とを特徴とする請求項１〜４のうちのいずれかに記載の
   セキュリティオペレーション制御方法。
6. 【請求項６】 前記セキュリティサーバは、前記ターゲ
   ットとのオペレーションが終了したとき、前記制御情報
   消去手段で情報管理手段の内容を消去するとともに、暗
   号化に用いた鍵を鍵消去手段により消去することを特徴
   とする請求項１〜５のうちのいずれかに記載のセキュリ
   ティオペレーション制御方法。
7. 【請求項７】 前記セキュリティサーバは、タイマが動
   作する予め定めた時間以内は、情報管理手段の内容の消
   去を阻止することを特徴とする請求項１〜６のうちのい
   ずれかに記載のセキュリティオペレーション制御方法。
8. 【請求項８】 前記セキュリティサーバは、前記クライ
   アントが通信したいターゲットのセキュリティ情報をセ
   キュリティ情報手段が入手して、該手段からクライアン
   トに提供することを特徴とする請求項１〜７のうちのい
   ずれかに記載のセキュリティオペレーション制御方法。
9. 【請求項９】 請求項１〜８のセキュリティオペレーシ
   ョン制御方法の各動作をプログラムに変換し、変換され
   たプログラムを格納したことを特徴とするプログラム記
   録媒体。