JP2001331446A - セキュアエージェント実現方法とセキュアエージェントシステムとセキュアエージェント管理装置 - Google Patents

Abstract

(57)【要約】 【課題】本発明は、ユーザとプロバイダ双方の処理内容
の秘匿性を同時に保証するセキュリティ技術の提供を目
的とする。 【解決手段】本発明では、信頼できる第三者機関から生
成されたただ一種類のセキュアエージェントが、耐タン
パデバイス上に構築されたエージェント実行環境（セキ
ュアエージェント鍵を格納する）で、ユーザやプロバイ
ダの処理を代行する。このセキュアエージェントは、セ
キュアエージェント間の通信により、非セキュアなエー
ジェントに処理内容や個人情報を知られることなく処理
を実行できる。この構成に従って、処理内容や個人情報
の盗聴・改ざんに対する攻撃が困難なものとなり、セキ
ュアエージェントのなりすまし攻撃やセキュアエージェ
ントのトレース攻撃も不可能であるので、高いセキュリ
ティを実現できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報通信システム
におけるセキュリティの実現技術に関わり、ユーザとプ
ロバイダ双方の処理内容の秘匿性を同時に保証するセキ
ュリティ技術を実現するセキュアエージェント実現方法
及びセキュアエージェントシステムと、それらで用いら
れるセキュアエージェント管理装置とに関する。

【０００２】

【従来の技術】近年、ネットワークのオープン化に伴
い、ネットワークを利用したプロバイダが提供するサー
ビスは多様化してきている。それに対し、個々のサービ
スに対するユーザ要求は個別化してきている。

【０００３】このような粒度の細かなサービスをエンド
−エンドで利用・提供するために、ユーザやプロバイダ
はエージェントを用いて対応する研究が現在行われてい
る。エージェントとは、サービスを提供するサービスプ
ロバイダ（以下プロバイダと略す）や、サービスを利用
するユーザの処理を代行する自律性を持ったソフトウェ
アである。エージェントを用いて処理を実行するシステ
ムをエージェントシステムと呼ぶ。

【０００４】エージェントには、ユーザの操作をエージ
ェントが支援・代行するインタフェースエージェント、
ユーザによる遠隔の計算機（以下ノードと呼ぶ）の操作
を代行するネットワークエージェント、複数のエージェ
ントが対等な立場で動作し、全体として知的な振る舞い
をするマルチエージェントがある［箱守聰，横山和俊，
田辺雅則，入宮貞一，”エージェントシステムの研究と
その代表例”，Journal of Technology Transfer,Vol.1
9,NO.7-8 1996 〕。

【０００５】ネットワークエージェントには、エージェ
ントがネットワークを介して異なるノードに移動する移
動エージェントがある。移動エージェントは、自律的に
ノードを選択し、移動するエージェントである。移動後
は、移動先のノードのＣＰＵやメモリなどの資源を使用
し、エージェント間通信を行うなどして処理を継続実行
する。

【０００６】移動エージェントは、非同期実行によるネ
ットワークの切断が可能である。移動エージェントを用
いた場合、ネットワーク上を移動エージェントが移動す
る間だけノード間が接続されていればよく、ノード間の
通信を非同期で行うことができる。また、エージェント
を移動させるということは、プログラムを他のノードに
送信することなので、システムを動的に結合できる。

【０００７】これにより、プログラムの動的な入れ替え
をエージェントの入れ替えで実現できる。このように、
移動エージェントシステムは、多様なサービスを提供す
るプロバイダと個別化したユーザ要求とを動的に結合す
るのに有効なシステムの一つである。現在は、優れた移
動性を持つＡglets[美馬義亮、" 移動するプログラムモ
バイルエージェント",電子情報通信学会誌,Vol.82,No.
4,pp.360-366,1999] や、自らプランを生成しそれにし
たがって動作するＰlangent[本位田真一,"第５回動き始
めたモバイルエージェント”，情報処理，Vol.39,No.8,
pp.812-815,1998]の研究が行われている。

【０００８】しかし、システムとして実現するには、移
動先のノードのエージェント実行環境や資源を考慮した
エージェントプログラムを作ることが困難であるなど、
幾つか解決しなければならない課題がある。

【０００９】これらの課題の中でも最も重要な項目は、
セキュリティを確保することである。セキュリティと
は、ソフトウェアが正常に動作する場合、故意または偶
然にプログラムや実行状態が盗聴や破壊されることな
く、システムが正常に動作することをいう。移動エージ
ェントは、自律的に移動先のノードを決定し移動する。
このため、移動先のノードの安全性を知ることは非常に
重要なことである。

【００１０】また、移動エージェントを受け入れるノー
ドにとっても、自システムを破壊するようなエージェン
トは受け入れられない。現在は、アクセス権を規定する
アクセス制御リストや、ＲＳＡ(Rivest-Shamir-Adlema
n) などの暗号技術、バイオメトリックスやデジタル証
明書を利用した認証技術などの要素技術を組み合わせ
て、要所要所に適用することでセキュリティを実現して
いる。

【００１１】しかし、移動エージェントシステムで安全
性を保証するには、要素技術の組み合わせだけでは不十
分であるばかりでなく、複雑な認証プロトコルのような
セキュリティ確保のために利用した要素技術が、移動エ
ージェントシステムの利便性を低下させる原因になる。

【００１２】本発明の対象とするシステムは、インター
ネットなどのネットワークを使って、商品の売買や情報
検索などのサービスを提供する移動エージェントシステ
ムである。

【００１３】図７に、本発明の扱う移動エージェントシ
ステムの構成を図示する。サービスを利用する複数のユ
ーザは、個々のユーザノードに属する。サービスを提供
する複数のプロバイダは、個々のプロバイダノードに属
する。これらのユーザノードとプロバイダノードは分散
配置されていて、個々のノードはネットワークで接続さ
れている。ユーザとプロバイダは、それぞれ移動性の性
質を持つユーザエージェント（ＵＡ）とプロバイダエー
ジェント（ＰＡ）にサービスの利用や情報提供を代行さ
せる。

【００１４】エージェントの移動は、Ｊava などを利用
して、プログラムコード（以下プログラムと呼ぶ）とそ
の実行状態をネットワークを通じて転送することで実現
する。移動先では、移動前の処理を継続して行える。

【００１５】図８に、このエージェントの移動処理の模
式図を図示する。

【００１６】この模式図では、あるユーザがＵＡを用い
て、プロバイダが提供するサービスを利用する場合を想
定している。転送方法は、先ず、ＵＡのプログラムと実
行状態をネットワークで移動可能なデータ形式に変換す
る。その後、ビット列を作成し、圧縮して転送する。受
け取ったプロバイダノードでは、エージェントを直列化
したビット列として受け取る。ビット列を非圧縮状態に
戻し、さらにプログラムと実行状態に分解し、実行状態
からＵＡを実行可能な状態に戻す。ＵＡは、プロバイダ
ノードのエージェント実行環境で動作する。

【００１７】ユーザがサービスを利用できるか否かは、
プロバイダが保持しているアクセス制御リストによりプ
ロバイダが判断する。また、サービスを利用する際に必
要な認証方法や暗号技術は、ユーザとプロバイダ間で利
用の際に調整する。

【００１８】後述するように、本発明では、システム利
用者の誰もが信頼できるセキュアマネージャを用意し
て、このセキュアマネージャが、セキュリティ機能実現
のために使用するセキュリティ制御情報の提供の手助け
を行う。このセキュアマネージャから提供された機能や
情報には、バグや誤情報はないものとする。また、セキ
ュアマネージャは、安全に管理されており、外部からの
侵入は不可能とする。エージェントの移動の際のネット
ワーク上の盗聴回避は、移動先のノードでしか復号でき
ない暗号技術を使用することで実現する。

【００１９】移動エージェントシステムでは、移動先の
ノードのメモリ上に、エージェントのプログラムと実行
状態をダウンロードして実行する。

【００２０】このため、移動エージェントを送信するユ
ーザは、（１）送信したプログラムや実行状態に対する
プロバイダの盗聴や改竄（改ざん）に関する懸念があ
る。

【００２１】盗聴により、ユーザが実行したい処理内容
や、クレジットカード番号のような金銭的に価値のある
情報の悪用につながる。例えば、電子商取引において、
クラッカーがプログラムや実行状態を書き換えることに
よって、ユーザの意図した商品とは異なる商品を購入し
たり、代金を不正に引き落とされたりする。さらに、プ
ロバイダ間で行う個人情報の取り引きにより、ユーザの
意図しないサービスに使用されたりするということが考
えられる。

【００２２】一方、移動エージェントを受け入れるプロ
バイダとしては、（２）不正アクセスの増加や、（３）
ウィルスに感染したプログラムや実行状態、およびバグ
を含んでいるプログラムや意図的にシステムを破壊させ
たり停止させたりする悪意のあるプログラムをダウンロ
ードすることによるシステムの停止や破壊に対する懸念
がある。

【００２３】不正アクセスは、移動先のノードで処理実
行中に知り得たプロバイダの個人情報を利用したプロバ
イダのサービスを利用できるユーザヘのなりすまし、ア
クセス制御リストの書き換えなどによって起こる。

【００２４】ウィルスは、電子メールなどを通じて全世
界に配布される。一旦、ウィルスを含んだ情報を読み込
むと、時刻やファイルオープンなどなんらかの契機でウ
ィルスプログラムが起動し、システムを破壊したリ、フ
ァイルを消去したりする。

【００２５】発見済みのウィルスに関しては、対応する
ワクチンソフトを使用して対処する。新種のウィルスに
対しては、ＰＡ（情報処理振興事業協会）［http://ww
w.jpa.go.jp/SECURITY]や、ＪＣＳＡ（日本コンピュー
タセキュリティ協会）[http://www.jcsa.or.jp] などか
ら通知された最新のウィルス情報およびその対策にした
がう以外、有効な対処方法は現状ない。発見が困難なバ
グや悪意のあるプログラムは、エージェントをノードに
ダウンロードする前に検出することが現状困難である。

【００２６】これらのことを考慮し、本明細書では、上
記（１）、（２）の懸念事項について、既存のシステム
における対応策とその問題点を示し、（３）は検討の対
象外とする。

【００２７】〔Ａ〕プログラムや実行状態の盗聴や改竄
に対する対策と問題点 対策１：通信前の公開情報のネゴシエーション Ｐ３Ｐ（Platform for Privacy Preferences)[http://w
ww.w3.org/TR/1998/WD-P3P-19981109]で行っているよう
な、あらかじめ公開してもよい個人情報をユーザとプロ
バイダ間でネゴシエーションした上で通信を開始すると
いう方式がある。

【００２８】この方式は、ＵＡが１つのＰＡのノードに
移動するといったようなシングルホップの移動を実現す
る場合は問題ない。しかし、２つ以上のプロバイダを移
動するようなマルチホップの移動の場合、通信の度にネ
ゴシエーションを行わなければならない。これを一連の
ＵＡの処理としてみた場合、ホップ数に比例して、処理
の繁雑さが増加することになる。

【００２９】以下、説明の便宜上、この問題点を「問題
点１」と称することにする。

【００３０】すなわち、マルチホップの移動の場合、Ｕ
Ａは滞在しているプロバイダノードから次の移動先であ
るプロバイダとネゴシエーションを行う。この際、滞在
先のプロバイダには提供できないが、次に移動するプロ
バイダには公開してもよいといったような情報がある場
合、ＵＡは一旦、ユーザノードに戻って、次の移動先の
プロバイダと同様のネゴシエーションを行わなければな
らないことから、ホップ数に比例して、処理の繁雑さが
増加することになるのである。

【００３１】また、この方式によると、ユーザがプロバ
イダ毎に公開する情報を制限しても、プロバイダ同士が
ユーザが意図しないところで協力しあうと、個々のプロ
バイダはより多くのユーザの個人情報を入手することが
でき、結果として個人情報を保護したことにはならな
い。

【００３２】以下、説明の便宜上、この問題点を「問題
点２」と称することにする。

【００３３】また、この方式によると、ＵＡがサービス
を受けている際に、顧客会員等の特定の資格者に対する
時間限定のサービスといったような利用条件が動的に変
化するサービスを受けられない場合がある。

【００３４】以下、説明の便宜上、この問題点を「問題
点３」と称することにする。

【００３５】すなわち、資格を得るためには、ＵＡは一
旦ユーザノードに戻り、オフラインで身元の証明や銀行
口座の確認等の処理を行わなければならない場合があ
る。その後、改めてＰＡと通信を行うことになるのだ
が、その時には時間限定サービスは既に終了していたと
いう場合がこれにあたる。

【００３６】通信に使用するセキュリティ機能の碓認も
必要である、例えば、通信したいプロバイダが公開鍵暗
号を用いた通信が必要とする。このとき、ユーザはパス
ワード認証程度のセキュリティ機能しか用いていないと
する。この場合、暗号処理に必要な公開鍵の登緑や暗号
処理のためのソフトウェアなどを入手しなければならな
くなってしまう。

【００３７】通信相手のセキュリティ機能の確認方怯と
しては、一方が他方に対してセキュリティ実現技術に関
する情報を提示し、どちらかのノード上でセキュリティ
条件が合うか否かを確認する方式がある。この方式は、
一方が他方のセキュリティ機能を知ることになるため、
セキュリティの弱点をついた不正アタックの機会を増や
すことになる。

【００３８】また、セキュリティ機能は、ユーザ、提供
するサービス内容、ノード毎に決めているセキュリティ
管理のポリシによって決まる。最近では、ユーザのニー
ズやサービスの多様化により、プロバイダノードで管理
するセキュリティ制御情報も多様化している。

【００３９】移動エージェントシステムでは、移動先の
ノードを自律的に決定するため、ノードのセキュリティ
機能の把握やセキュリティのネゴシエーションを動的に
行わなければならない。このためには、ＵＡは、ユーザ
のセキュリティ制御情報を持ち回らなければならなくな
り、上述した問題点２と同様の問題が発生する。

【００４０】対策２：Smartcard を使用 ＵＡの実行環境として、Ｊava カードのようなSmartcar
d を使用する方法が提案されている[S.Foocken, "Prote
cting Mobile Web-Commerce Agents with Smartcards"
Proceedings of the First International Symposium o
n Agent systems and Applications and Third interna
tional symposium on Mobile Agents(ASA/MA'99),pp.90
-102, October 3-6,Palm Springs.CA,1999] 。

【００４１】これは、通信したいＵＡを暗号化してSmar
tcard 上にダウンロードする。その後、ＵＡを復号化
し、カードで保持するアクセス制御機能を使用したＰＡ
との通信による処理を実行する。

【００４２】この方式は、悪意のあるプロバイダがユー
ザの個人情報を攻撃する場合の対策としては有効であ
る。しかし、実行した処理内容やサービスを受ける際に
ユーザが提示した個人情報がユーザの意図していないプ
ロバイダに知られることになり、上述した問題点２と同
様の事が起こる。

【００４３】〔Ｂ〕プロバイダノードの不正アクセスに
対する対策と問題点 ＊対策：証明書を用いた厳重な身元確認 エージェントをダウンロードする前に、ＵＡの身元確認
のための認証やアクセス制御などを行い、セキュリティ
上問題ないことを十分確認した上でダウンロードすると
いう方式がある。

【００４４】不特定多数のユーザやプロバイダを認証す
るためには、中立的な信用のある認証局から発行された
証明書を用いる[http://www0.oracle.co.jp/fweb/repor
t/1961013.html] 。これは、認証局の検証鍵を誰もが知
っていて、送信したメッセージとユーザの署名、署名の
正当性を示す認証局が発行した証明書を保持して通信を
行う。受け取ったプロバイダは、証明書の有効性を認証
局の検証鍵で検証し、さらに、証明書の有効期限を認証
局に確認する。

【００４５】したがって、マルチホップする移動エージ
ェントの場合、移動する度に証明書の有効期限を認証局
に確認しにいくプロトコルが必要となるため、ホップ数
に比例して認証プロトコルが繁雑になる。

【００４６】以下、説明の便宜上、この問題点を「問題
点４」と称することにする。

【００４７】〔Ｃ〕上記懸念事項（１）、（２）を同時
に解決する対策と問題点 ＊対策：安全なノードに移動・処理実行 通信したいエージェント同士が各々安全なノードに移動
し、そこで処理を実行する方式がある[U.G.Wilhelm,S.S
taamann,and L.Buttyn, "Introducing trustedthird pa
rties to the mobilc agent paradigm"Secure Internet
Programming:Security Issues for Mobile and Distri
buted Objects,volume 1603 of Lecture Notes in Comp
uter Science,pages 471-491,1999] 。

【００４８】これは、物理的に安全なノードに、処理を
実行したいユーザとプロバイダのエージェントがそれぞ
れ移動して処理を実行し、終了したら各々のノードに戻
るという方式である。安全なノードの構築は、不正アク
セスを検出・防止できる特別なハードウェアを用いる。
ユーザやプロバイダが安全なノードに移動する際は、Cr
ypo(Cryptographically Protected objects)protocolを
用いて、認証やメッセージ交換を行う。

【００４９】この方式は、ユーザやプロバイダ間で行っ
た処理が外部に漏洩することはないが、お互いの個人情
報や処理内容を外部にもらさないという啓蒙活動を徹底
していなければ、個々のプライバシ情報が外部に漏洩す
ることになり、上述した問題点２と同様の問題が発生す
る。

【００５０】さらに安全なノードで処理を実行するため
には、ユーザは処理に必要なプライバシ情報を保持し、
プロバイダはサービスプログラムとそれに必要な情報を
保持して移動しなければならない。したがって、ネット
オークションにおける人気の品物のような特定のサービ
スを利用するユーザの数が突発的に増加した場合、安全
なノードでの処理負荷の増大、さらには個々のエージェ
ントを安全なノードに移動するためのネットワークが負
荷が増大する。

【００５１】以下、説明の便宜上、この問題点を「問題
点５」と称することにする。

【００５２】

【発明が解決しようとする課題】以上説明したように、
従来技術に従っていると、上述したように問題点１〜５
が存在する。

【００５３】すなわち、従来技術に従っていると、通信
の度にネゴシエーションを行わなければならず処理の繁
雑さが増加するという問題点（問題点１）や、プロバイ
ダ同士がユーザの意図しないところで協力しあうことで
個人情報を保護できない可能性があるという問題点（問
題点２）や、時間限定のサービスのような利用条件が動
的に変化するサービスを受けられないことが起こるとい
う問題点（問題点３）や、認証局を利用すると、移動す
る度に証明書の有効期限を認証局に確認しにいくプロト
コルが必要となるため認証プロトコルが繁雑になるとい
う問題点（問題点４）や、安全なノードを利用するよう
にすると、その安全なノードでの処理負荷の増大やネッ
トワークの負荷が増大するという問題点（問題点５）が
存在する。

【００５４】本発明はこのような従来技術の持つ問題点
を解決する新たなセキュアエージェント実現方法及びセ
キュアエージェントシステムの提供と、それらで用いら
れる新たなセキュアエージェント管理装置の提供とを目
的とする。

【００５５】

【課題を解決するための手段】この目的を達成するため
に、本発明では、信頼できる第三者機関から生成された
ただ一種類のセキュアエージェントが、耐タンパデバイ
ス上に構築されたエージェント実行環境でユーザやプロ
バイダの処理を代行する構成を採る。

【００５６】本発明では、セキュリティに関わる処理
は、ユーザエージェント（ＵＡ）や、ＰＡ（プロバイダ
エージェント）が行わずに、信頼できる特定のエージェ
ントに処理を代行させる。本発明では、このエージェン
トをセキュアエージェント（ＳＡ）と呼ぶ。

【００５７】セキュアエージェントは、不正アクセスを
検出・防止できる特別なハードウェア上に構築したエー
ジェント実行環境上で動作する。セキュアエージェント
とその実行環境の生成管理は、セキュアノードに構築さ
れるセキュアエージェント管理装置が行う。

【００５８】セキュアエージェントと実行環境は、いわ
ばセキュリティ処理専用のコンピュータとも言うべきも
のであり、既存のノードへは別のコンピュータを組み込
むような形で接続する。

【００５９】（１）セキュアエージェントの概要 セキュアエージェントは、知性と移動性の性質を持つ。
セキュリティを必要とする処理を実行する際に、セキュ
アエージェント管理装置が生成したセキュアエージェン
トを用いることにより、もともと信頼性のなかった複数
のユーザやプロバイダ間に短時間で信頼関係を築くこと
が実現できる。

【００６０】セキュアエージェントのプログラムと検証
鍵（後述するセキュアエージェント鍵）は、セキュアエ
ージェント管理装置だけが提供する。生成されたセキュ
アエージェントは、使用者が異なるだけで、エージェン
トプログラムや検証鍵は全て同一である。

【００６１】セキュアエージェントは、ユーザエージェ
ントやプロバイダエージェント毎に存在し、処理を代行
する。つまり、ユーザ・プロバイダ間の通信はそれぞれ
のセキュアエージェント間で行う。したがって、ユーザ
のセキュアエージェントは、プロバイダエージェントと
直接通信を行うことはない。

【００６２】セキュアエージェントは、処理実行中に知
り得た通信相手の個人情報を外部に漏らさない。ユーザ
がプロバイダからサービスを受ける際に、プロバイダの
セキュアエージェントがユーザの個人情報を知ることが
あっても、プロバイダエージェントがユーザの個人情報
を知ることはない。

【００６３】セキュアエージェントは、セキュアエージ
ェント生成者から申請があった場合、セキュアエージェ
ントが処理実行中に外部からなんらかの攻撃を受けた場
合、セキュアエージェント管理装置からの消滅命令が送
信された場合に消滅する。

【００６４】セキュアエージェントの機能概要は以下の
通りである。

【００６５】（ａ）個人情報格納および管理 ユーザやプロバイダの管理ミスによる個人情報漏洩を防
止するために、セキュアエージェントは、個人情報を実
行環境に格納したり、情報の更新などの管理を行う。

【００６６】（ｂ）セキュアエージェントの認証 セキュアエージェントは１種類しかないため、共通の認
証情報を用いる。認証情報は、システムのセキュリティ
レベルや使用している認証情報の攻撃に対する強度に応
じて、セキュアエージェント管理装置が適当なタイミン
グで更新する。更新方法は、セキュアエージェントや実
行環境を再発行したり、盗聴を物理的に検出できる量子
暗号〔山崎浩一，”量子暗号の原理と実験例”，信学技
報(OCS98-32,PS98-24),Vol.98,No.187,pp.31-36,1998〕
を用いることで行う。

【００６７】（ｃ）セキュリティネゴシエーション セキュアエージェントは、ユーザとプロバイダ間のセキ
ュリティの静的な確認・動的なネゴシエーションを行
う。静的な確認とは、アクセス制御リストにしたがっ
て、ユーザがサービスを受けることができるのか否かの
確認をすることである。動的なネゴシエーションとは、
新たなアクセス権の確保といったようなセキュリティ制
御情報を必要に応じて変更することである。これを実現
するためには、セキュアエージェントは、ユーザの一部
の個人情報を常時保持しておく必要がある。

【００６８】（ｄ）処理代行 ユーザのセキュアエージェントは、ユーザエージェント
から、プロバイダから受けたいサービスシナリオを記述
したアプリケーションプログラムと、処理に必要となる
実行状態を受け取り、プロバイダノードに移動して実行
する。プロバイダノードでは、プロバイダのセキュアエ
ージェントと通信を行う。セキュアエージェント間で通
信を行うことで、ユーザエージェントやプロバイダエー
ジェントにお互いの個人情報や処理内容を知られること
はない。

【００６９】（ｅ）メモリアクセス制御機能 実行環境へのプロバイダエージェントのアクセスを禁
止、セキュアエージェントを介したプロバイダエージェ
ントの実行環境へのアクセスの許可をアクセス制御リス
トにしたがって判定する。これは、ユーザの個人情報や
処理内容をプロバイダに隠蔽するためである。

【００７０】（２）実行環境 セキュアエージェントが管理する個人情報やプロバイダ
ノードで実行する処理内容を外部から隠蔽するために
は、ユーザやプロバイダおよびそれらの非セキュアなエ
ージェントが直接アクセスできない実行環境が必要とな
る。

【００７１】そこで、実行環境を構築するハードウェア
として、耐タンパデバイスを使用する。耐タンパデバイ
スについては、現在、”MISTYKEYPER "(TM)[http://ww
w.melco.co.jp/service/nwsecur/certman4.htm]や、Sma
rtcard のプロセッサ[O.Kommerling,M.Kuhn."Design Pr
inciples for Tamper-Resistant Smartcard Processor
s"Proceedings of the USENIX Workshop on Smartcard
Technology(Smartcard'99),pp.9-20,1999]において研究
開発されている。

【００７２】耐タンパ性とは、正規な入出力手段以外を
用いてモジュールの機能を変更したり秘密データを盗ん
だりしようとする攻撃に耐えられるという性質を持つこ
とである。攻撃に耐えるという性質には、”攻撃が試み
られたことが分かる”、"(アクセス制御機能など能動的
な対策が施されていて）攻撃がされにくい”、”攻撃を
検出して（データ消滅など）能動的に攻撃に対処する”
という３つの意味がある。

【００７３】耐タンパ性は、セキュアエージェントの処
理を実行するＣＰＵや個人情報や実行中の処理を格納す
るメモリが持つ。ハードウェアとしては、メモリアクセ
ス制御用のＬＳＩを用いたり、メモリに対する不正アク
セス信号検出装置とメモリクリア装置やＣＰＵリセット
装置とを組み合わせることで実現される。

【００７４】

【発明の実施の形態】以下、実施の形態に従って本発明
を詳細に説明する。

【００７５】図１に、本発明の一実施形態例を図示す
る。

【００７６】図中、１はユーザが属するユーザノード、
２はプロバイダが属するプロバイダノード、３はセキュ
アマネージャ３０が属する耐タンパ性のあるセキュアマ
ネージャ実行環境であるセキュアノードである。

【００７７】１０はサービスを利用するユーザの処理を
代行するユーザエージェント、１１は耐タンパ性のない
非セキュアなユーザエージェント１０の実行環境（ＵＡ
実行環境）、１２はユーザの要求により生成されたユー
ザのセキュリティ確保のための処理を代行するセキュア
エージェント、１３は耐タンパ性のあるセキュアなセキ
ュアエージェント１２の実行環境、４０は実行環境１３
に格納されるセキュアエージェントの認証および暗号処
理のためにセキュアエージェント間で共通に使用するセ
キュアエージェント鍵である。

【００７８】２０はサービスを提供するプロバイダの処
理を代行するプロバイダエージェント、２１は耐タンパ
性のない非セキュアなプロバイダエージェント２０の実
行環境（ＰＡ実行環境）、２２はプロバイダの要求によ
り生成されたプロバイダのセキュリティ確保のための処
理を代行するセキュアエージェント、２３は耐タンパ性
のあるセキュアなセキュアエージェント２２の実行環
境、４０は実行環境２３に格納されるセキュアエージェ
ントの認証および暗号処理のためにセキュアエージェン
ト間で共通に使用するセキュアエージェント鍵である。

【００７９】ここで、ユーザノード１の実行環境１３に
格納されるセキュアエージェント鍵４０と、プロバイダ
ノード２の実行環境２３に格納されるセキュアエージェ
ント鍵４０とは同一の鍵である。

【００８０】３０はセキュアエージェントやその実行環
境の生成に関わる制御を行うセキュアマネージャ、３１
はユーザエージェント１０やプロバイダエージェント２
０が本人であることを確認する認証手段、３２はセキュ
アエージェントを生成するセキュアエージェント生成手
段、３３はセキュアエージェント鍵４０を生成するセキ
ュアエージェント鍵生成手段、３４はセキュアエージェ
ントが処理を行う耐タンパ性のある実行環境を生成する
実行環境生成手段である。

【００８１】耐タンパ性のあるハードウェアは、例え
ば、図２に示すように、不正なアクセスを種々のセンサ
で検出して検出論理回路で判断を行い、不正アクセスな
らば消去回路を用いてメモリ内のデータを無効化すると
いう方法で実現する。

【００８２】この耐タンパ性の実行環境については、そ
の一部または全てをソフトウェアを使って構築すること
も可能である。

【００８３】図３及び図４に、セキュアエージェントを
使用するための初期設定の動作フローの一実施形態例を
示す。ここで、図３の動作フローはユーザ側の動作フロ
ーであり、図４の動作フローはプロバイダ側の動作フロ
ーである。

【００８４】ユーザ側のセキュアエージェント１２を使
用するための初期設定を行う場合には、図３の動作フロ
ーに示すように、非セキュアなＵＡ実行環境１１上で動
作するユーザエージェント１０は、第１の処理ステップ
で示すように、セキュアノード３のセキュアマネージャ
３０に対して、セキュアエージェント生成要求を送信す
る。

【００８５】このセキュアエージェント生成要求を受け
取ると、セキュアマネージャ３０は、第２の処理ステッ
プで示すように、認証手段３１を使って、ユーザエージ
ェント１０がユーザ本人から送信されたエージェントで
あるのか否かをチェックするとともに、ユーザの過去の
履歴などから、ユーザが過去に何度か不正アクセスをし
たことがあるかなどユーザが本システムを使用するにあ
たり脅威にならないか否かをチェックする。

【００８６】セキュアマネージャ３０は、第３の処理ス
テップで示すように、ユーザ本人からのセキュアエージ
ェントの生成要求であり、かつ、そのユーザが本システ
ムを使用するにあたり脅威にならないことを確認する
と、第４の処理ステップで示すように、セキュアエー
ジェント生成手段３２を使って、ユーザ用のセキュアエ
ージェント１２を生成し、セキュアエージェント鍵生
成手段３３を使って、ユーザ用のセキュアエージェント
鍵４０を生成し、実行環境生成手段３４を使って、そ
のセキュアエージェント１２の耐タンパ性のある実行環
境１３を生成するとともに、その生成した実行環境１３
のメモリ上に、その生成したセキュアエージェント１２
及びセキュアエージェント鍵４０を格納する。そして、
それをユーザノード１に配付することでユーザノード１
に実装させる。

【００８７】ここで、耐タンパ性のある実行環境１３が
既にユーザノード１に実装されている場合には、生成し
たセキュアエージェント１２をネットワークを介してそ
の実行環境１３にダウンロードしたり、生成したセキュ
アエージェント鍵４０をネットワークを介してその実行
環境１３にダウンロードしたり、新たに生成した実行環
境１３のソフトウェア部分をネットワークを介してその
実行環境１３にダウンロードすることも可能である。

【００８８】このセキュアエージェント１２の配付を受
け取ると、ユーザエージェント１０は、第５の処理ステ
ップで示すように、ユーザの個人情報を、配付されたセ
キュアエージェント１２を介して配付された実行環境１
３のメモリに格納する。

【００８９】このようにして、ユーザ側のセキュアエー
ジェント１２を使用するための初期設定が実行される。

【００９０】一方、プロバイダ側のセキュアエージェン
ト２２を使用するための初期設定を行う場合には、図４
の動作フローに示すように、非セキュアなＰＡ実行環境
２１上で動作するプロバイダエージェント２０は、第６
の処理ステップで示すように、セキュアノード３のセキ
ュアマネージャ３０に対して、セキュアエージェント生
成要求を送信する。

【００９１】このセキュアエージェント生成要求を受け
取ると、セキュアマネージャ３０は、第７の処理ステッ
プで示すように、認証手段３１を使って、プロバイダエ
ージェント２０がプロバイダ本人から送信されたエージ
ェントであるのか否かをチェックするとともに、プロバ
イダの過去の履歴などから、プロバイダが過去に何度か
不正アクセスをしたことがあるかなどプロバイダが本シ
ステムを使用するにあたり脅威にならないか否かをチェ
ックする。

【００９２】セキュアマネージャ３０は、第８の処理ス
テップで示すように、プロバイダ本人からのセキュアエ
ージェントの生成要求であり、かつ、そのプロバイダが
本システムを使用するにあたり脅威にならないことを確
認すると、第９の処理ステップで示すように、セキュ
アエージェント生成手段３２を使って、プロバイダ用の
セキュアエージェント２２を生成し、セキュアエージ
ェント鍵生成手段３３を使って、プロバイダ用のセキュ
アエージェント鍵４０を生成し、実行環境生成手段３
４を使って、そのセキュアエージェント２２の耐タンパ
性のある実行環境２３を生成するとともに、その生成し
た実行環境２３のメモリ上に、その生成したセキュアエ
ージェント２２及びセキュアエージェント鍵４０を格納
する。そして、それをプロバイダノード２に配付するこ
とでプロバイダノード２に実装させる。

【００９３】ここで、耐タンパ性のある実行環境２３が
既にプロバイダノード２に実装されている場合には、生
成したセキュアエージェント２２をネットワークを介し
てその実行環境２３にダウンロードしたり、生成したセ
キュアエージェント鍵４０をネットワークを介してその
実行環境２３にダウンロードしたり、新たに生成した実
行環境２３のソフトウェア部分をネットワークを介して
その実行環境２３にダウンロードすることも可能であ
る。

【００９４】このセキュアエージェント２２の配付を受
け取ると、プロバイダエージェント２０は、第１０の処
理ステップで示すように、顧客情報のような機密情報
（アクセス制御リストなど）を、配付されたセキュアエ
ージェント２２を介して配付された実行環境２３のメモ
リに格納する。

【００９５】このようにして、プロバイダ側のセキュア
エージェント２２を使用するための初期設定が実行され
る。

【００９６】次に、図５及び図６に示す動作フローに従
って、セキュアエージェントの動作について説明する。

【００９７】ユーザノード１にセキュアマネージャ３０
から配付された実行環境１３が実装され、プロバイダノ
ード２にセキュアマネージャ３０から配付された実行環
境２３が実装されると、図５及び図６に示す動作フロー
に従って、ユーザはプロバイダからサービスの提供を受
けることになる。

【００９８】すなわち、ユーザエージェント１０は、第
１の処理ステップで示すように、プロバイダから受けた
いサービス内容を記述したプログラムと実行状態、およ
び必要な個人情報を指し示すテンプレートをセキュアエ
ージェント１２に渡す。

【００９９】これを受けて、セキュアエージェント１２
は、第２の処理ステップで示すように、渡されたテンプ
レートを基に実行環境１３のメモリから個人情報を読み
出す。

【０１００】続いて、セキュアエージェント１２は、第
３の処理ステップで示すように、渡されたプログラムと
実行状態（読み出した個人情報を含む）を、プロバイダ
ノード２のセキュアエージェント２２しか読み取れない
ようにするためにセキュアエージェント鍵４０を使って
暗号化する。

【０１０１】続いて、セキュアエージェント１２は、第
４の処理ステップに示すように、その暗号文をプロバイ
ダノード２のセキュアエージェント２２に送信する。す
なわち、図８に示したような形でプロバイダノード２に
移動するのである。

【０１０２】これを受けて、プロバイダノード２のセキ
ュアエージェント２２は、第５の処理ステップに示すよ
うに、受け取った暗号文をセキュアエージェント鍵４０
を使って復号化する。

【０１０３】続いて、セキュアエージェント２２は、第
６の処理ステップに示すように、受け取った暗号文の復
号化に成功することを確認すると、第７の処理ステップ
に示すように、実行環境２３に格納されるアクセス制御
リストを参照することで、ユーザがサービスを利用でき
るのか否かを確認する。

【０１０４】続いて、セキュアエージェント２２は、第
８の処理ステップに示すように、ユーザがサービスを利
用できることを確認すると、第９の処理ステップ（図６
の動作フロー）に示すように、移動してきたユーザ側の
セキュアエージェント１２とプロバイダエージェント２
０との間の通信の仲介を行いながら、移動してきたユー
ザ側のセキュアエージェント１２にサービスを提供す
る。

【０１０５】続いて、セキュアエージェント２２は、プ
ロバイダエージェント２０からサービスの実行結果を得
ると、第１０の処理ステップに示すように、その実行結
果をユーザノード１のセキュアエージェント１２しか読
み取れないようにするためにセキュアエージェント鍵４
０を使って暗号化する。

【０１０６】続いて、セキュアエージェント２２は、第
１１の処理ステップに示すように、その暗号文をユーザ
ノード１のセキュアエージェント１２に送信する。これ
により、プロバイダ側に移動してきたユーザ側のセキュ
アエージェント１２はユーザノード１に戻ることにな
る。

【０１０７】これを受けて、ユーザノード１に戻ったセ
キュアエージェント１２は、第１２の処理ステップに示
すように、受け取った暗号文をセキュアエージェント鍵
４０を使って復号化する。

【０１０８】続いて、セキュアエージェント１２は、第
１３の処理ステップに示すように、復号化した実行結果
をユーザに通知する。

【０１０９】このようにして、本発明によれば、ユーザ
とプロバイダ双方の処理内容の秘匿性を同時に保証する
セキュリティ技術を実現できるようになる。

【０１１０】ここで、ユーザエージェント１０とプロバ
イダエージェント２０との通信において、公開鍵暗号と
組み合わせることで、通信途中のセキュアエージェント
鍵４０の盗聴を防止することができる。

【０１１１】この図５及び図６に示す動作フローから分
かるように、ユーザノード１のセキュアエージェント１
２は、ユーザエージェント１０から処理代行の依頼を受
け取る手段と、その処理依頼の内容をセキュアエージェ
ント鍵４０を用いて暗号化する手段と、その暗号文をプ
ロバイダノード２に送信する手段と、プロバイダノード
２から返送されてくる処理結果の暗号文をセキュアエー
ジェント鍵４０を用いて復号化する手段と、その復号化
した処理結果をユーザエージェント１０に渡す手段とを
備える。

【０１１２】一方、プロバイダノード２のセキュアエー
ジェント２２は、ユーザノード１から送られてくる暗号
文を受信する手段と、その暗号文をセキュアエージェン
ト鍵４０を用いて復号化することでユーザの処理要求を
復元する手段と、ユーザの処理要求を処理するプロバイ
ダエージェント２０と連携する手段と、ユーザの処理要
求に対する実行結果をセキュアエージェント鍵４０を用
いて暗号化する手段と、その暗号文をユーザノード１に
返送する手段とを備える。

【０１１３】次に、このように構成される本発明のセキ
ュリティ技術に対する攻撃についての耐久性について述
べる。

【０１１４】（１）処理内容や個人情報に対する攻撃 本発明では、信頼できるセキュアエージェントがセキュ
アエージェント専用の実行環境で処理を実行するため、
セキュアエージェント以外の非セキュアな通信相手が処
理内容を知ることはない。

【０１１５】また、ユーザノード１のセキュアエージェ
ント１０は、セキュアノード３で生成された安全なエー
ジェントであるため、このセキュアエージェント１０が
プロバイダノード２を攻撃することはない。プロバイダ
のメモリアクセスは、プロバイダのセキュアエージェン
ト２２との通信を介して行うため、このセキュアエージ
ェント２２が不正アクセスに対するフィルタ的な役割を
果たす。

【０１１６】このように、本発明では、通信中の処理内
容や個人情報が通信相手に知られることはないが、通信
相手への複数のオペレーションの組み合わせによって、
間接的に通信相手がこれらを知る可能性がある。例え
ば、利用者の年齢を知るためには、利用者が生まれた年
に発生した出来事が何かといったようなオペレーション
を発行すればよい。よって、セキュアエージェントの利
用者は、実行する処理のプログラミングをする際、十分
注意を払う必要がある。

【０１１７】（２）ＳＡのなりすまし攻撃 本発明では、セキュアエージェントは基本的に１種類し
か存在しない。さらに、セキュアエージェント間の認証
には、同一の認証データを使っている。このため、セキ
ュアエージェントへのなりすまし攻撃が懸念される。

【０１１８】しかし、セキュアエージェントのプログラ
ムと認証データは、セキュアノード３で生成され、直ち
に、実行環境上のメモリに格納し、各ユーザに安全に配
付するため、セキュアエージェントと認証データが外部
に漏洩することはない。

【０１１９】また、セキュアエージェントが移動する
際、バケット盗聴などによってセキュアエージェントの
プログラム等のビットパターンを読むことも考えられる
が、通信相手毎に異なる暗合鍵を使用することで解読は
困難になる。

【０１２０】よって、セキュアエージェントのなりすま
し攻撃は困難である。

【０１２１】（３）ＳＡのトレース攻撃 移動エージェントがどこのノードからどこに移動したか
を追跡し、その移動エージェントの行動形態を把握し、
処理内容を推測する攻撃をトレース攻撃という。

【０１２２】プロバイダやユーザの種類は様々である
が、処理を代行するセキュアエージェントはセキュアノ
ード３から生成される１種類しかない。このため、上記
の例のようにセキュアエージェントの出入りが激しいプ
ロバイダで、かつ、その移動エージェントが複数のノー
ドを移動する場合は、いずれのセキュアエージェントが
いずれのユーザやプロバイダの処理を代行しているのか
を特定するのは困難である。

【０１２３】一方、セキュアエージェントの出入りが少
ないノードや、セキュアエージェントが一箇所のノード
しか移動しない場合は、トレース攻撃が可能になる。こ
の場合は、複数のユーザやプロバイダのエージェントが
共同で使用できる実行環境をベースにしたプロキシを追
加し、個々のセキュアエージェントは、そのプロキシを
一旦経由してから、目的のノードに移動する対策が必要
になる。

【０１２４】このプロキシの設置単位は、単位時間内に
２つ以上のセキュアエージェントがプロキシに存在する
ようにしなければならない。セキュアエージェントは１
種類しかないため、同時に２つ以上のセキュアエージェ
ントがプロキシに存在し、かつホップ数が大きい場合、
トレース攻撃は困難になる。

【０１２５】上述した実施形態例では、ユーザエージェ
ント１０やプロバイダエージェント２０がノード上を移
動しないことで説明したが、ユーザエージェント１０や
プロバイダエージェント２０が自律的にノード上を移動
する移動エージェントの場合、それらのセキュアエージ
ェント１２やセキュアエージェント２２も移動性を保持
しなければならない。

【０１２６】この実施形態例に従う場合、セキュアエー
ジェント１２やセキュアエージェント２２の自律的な移
動性は、ユーザエージェント１０やプロバイダエージェ
ント２０から引き継ぐ。ユーザエージェント１０やプロ
バイダエージェント２０の自律性は、Plangentで行って
いるように、各ノードとエージェント自体が共に知識ベ
ースを持ち、その中に実行したい事柄に対する行動パタ
ーンを規定しておく。エージェントは、自身が持ち歩く
知識ベースと移動先のノードにある知識ベースから適切
な移動先を自ら決定する。

【０１２７】移動性は、この実施形態例においては、図
１で示したセキュアエージェント１２がプロバイダノー
ド２に移動し、セキュアエージェントの実行環境２３上
でセキュアエージェント２２と通信を行う。この際、プ
ロバイダエージェント２０が新たなサービスを始めたと
しても、セキュアエージェント１２はあらかじめ保持し
ていたユーザの個人情報を基に、利用権を確保するため
の処理を実行する。

【０１２８】この実施形態例に従う場合、移動性を持つ
ことと、上述した実施形態例で述べたようなセキュアエ
ージェントが個人情報を安全に配送できる性質を利用す
ることで、セキュアエージェント１２は、ユーザノード
１に戻ることなく新サービスの利用権を獲得できる。

【０１２９】

【発明の効果】（１）本発明によれば、耐タンパな実行
環境上でのセキュアエージェント間通信による安全な処
理を実現する。

【０１３０】セキュアエージェントは、セキュアエージ
ェントの生成要求者とセキュアエージェント間でしか直
接通信を行わない。よって、セキュアエージェントは生
成要求者の個人情報や通信相手の機密情報を知ることに
なる。しかし、セキュアエージェントは通信中に知り得
た通信相手の情報は外部に漏らさないため上述した問題
点１、問題点２は発生しない。

【０１３１】例えば、セキュアエージェントの生成要求
者がユーザの場合、ユーザのセキュアエージェントがプ
ロバイダのセキュアエージェントと通信することで、プ
ロバイダのセキュアエージェントがユーザのクレジット
カード番号などの個人情報を知り得たとしても、プロバ
イダには、「あるユーザがサービスを利用していくらの
利益を得た」というレベルの情報しか通知しない。逆
に、プロバイダがプロバイダのセキュアエージェントを
介してユーザの個人情報を問い合わせたとしても、プロ
バイダには教えない。このように、ユーザの個人情報が
プロバイダに知られることはない。

【０１３２】仮に、悪意のあるプロバイダがセキュアエ
ージェント間で実行している処理を実行環境のメモリダ
ンプなどで盗聴しようとしても、実行環境は耐タンパ性
があるため盗聴不可能である。

【０１３３】（２）本発明によれば、動的に実行可能な
セキュリティネゴシエーションを実現する。

【０１３４】セキュアエージェントは、個人情報を安全
に移送できるため、直接処理に必要ない個人情報も適量
ならば常時携帯できる。よって、移動先のプロバイダノ
ードで突発的に発生した新規サービスの利用権を新たに
得たい場合には、携帯している利用権獲得に必要な情報
をプロバイダ側のセキュアエージェントに提示すること
でその利用権を獲得できる。これによって、ユーザにと
ってのシステムの利便性が向上し、上述した問題点３へ
の対処が可能である。

【０１３５】（３）本発明によれば、単純な認証プロト
コルを実現する。

【０１３６】セキュアエージェントは、一種類しかいな
いため共通鍵を用いた認証で対応でき、証明書を使用し
た場合のような認証プロトコルが不要である。セキュア
エージェントの生成・消去は、セキュアマネージャがユ
ーザやプロバイダの指示により実行するため、証明書の
有効期限確認のようなプロトコルが不要である。これら
のことより、上述した問題点４は発生せず、ユーザの認
証処理に対する利便性が向上する。

【０１３７】（４）本発明によれば、ノードやネットワ
ークの負荷の軽減を実現する。

【０１３８】移動後は、セキュアエージェントはネット
ワークを介すことなく、同一ノード上でユーザやプロバ
イダの身元確認やアクセス制御が可能であるため、サー
ビス利用開始までの時間が短縮できる。

【０１３９】セキュアエージェントや実行環境は、基本
的に、各ノードに組み込まれるため、移送に関する負荷
は現状の非セキュアな移動エージェントシステムと方式
的には同等である。よって、移動するエージェント数が
増大しても、方式的には上述した問題点５は発生しな
い。

【図面の簡単な説明】

【図１】本発明の一実施形態例である。

【図２】耐タンパ性を持つハードウェアの一実施形態例
である。

【図３】セキュアエージェントを使用するための初期設
定の動作フローの一実施形態例である。

【図４】セキュアエージェントを使用するための初期設
定の動作フローの一実施形態例である。

【図５】セキュアエージェントの動作フローの一実施形
態例である。

【図６】セキュアエージェントの動作フローの一実施形
態例である。

【図７】移動エージェントシステムの説明図である。

【図８】エージェントの移動処理の説明図である。

【符号の説明】

１ ユーザノード ２ プロバイダノード ３ セキュアノード １０ ユーザエージェント １１ ＵＡ実行環境 １２ セキュアエージェント １３ 実行環境 ２０ プロバイダエージェント ２１ ＰＡ実行環境 ２２ セキュアエージェント ２３ 実行環境 ３０ セキュアマネージャ ３１ 認証手段 ３２ セキュアエージェント生成手段 ３３ セキュアエージェント鍵生成手段 ３４ 実行環境生成手段 ４０ セキュアエージェント鍵

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B045 BB19 BB28 BB47 GG09 JJ33 JJ35 5B085 AA08 AE23 AE29 5J104 AA07 JA03 KA01 KA04 NA02 PA07

Claims (7)

【特許請求の範囲】
1. 【請求項１】 サービス利用要求を出すユーザが属する
   ユーザノードと、サービス利用要求を処理するプロバイ
   ダが属するプロバイダノードとを備えるコンピュータシ
   ステムで用いられるセキュアエージェント実現方法であ
   って、 セキュリティに関わる処理を代行するセキュアエージェ
   ントと、耐タンパ性のあるハードウェアまたはソフトウ
   ェアで作られている該セキュアエージェントの実行環境
   と、該セキュアエージェントの認証または暗号化のため
   のセキュアエージェント鍵とを有し、 上記セキュアエージェント及び上記セキュアエージェン
   ト鍵を上記実行環境に格納し、 上記セキュアエージェント及び上記実行環境は、上記ユ
   ーザノードと上記プロバイダノードとを接続し、 ユーザとプロバイダは、セキュリティを確保しながら実
   行したい処理がある場合に上記セキュアエージェントに
   処理の代行を依頼し、 依頼された上記ユーザノードのセキュアエージェント
   は、依頼された処理内容を上記セキュアエージェント鍵
   で暗号化して上記プロバイダノードに送信し、 暗号文を受け取った上記プロバイダノードのセキュアエ
   ージェントは、上記セキュアエージェント鍵で復号化
   し、 復号化できなければ処理を行わず、復号化できればユー
   ザが依頼した処理を実行し、上記プロバイダノードのセ
   キュアエージェントは、その実行結果を上記セキュアエ
   ージェント鍵で暗号化して上記ユーザノードのセキュア
   エージェントに返送し、 実行結果を受け取った上記ユーザノードのセキュアエー
   ジェントは、上記セキュアエージェント鍵で復号化し、
   復号化できれば処理結果をユーザに通知することを、 特徴とするセキュアエージェント実現方法。
2. 【請求項２】 請求項１記載のセキュアエージェント実
   現方法において、 上記セキュアエージェントは、上記ユーザノードまたは
   上記プロバイダノードにプログラムと実行状態とを移送
   することで、上記プロバイダノードまたは上記ユーザノ
   ードにおいて、相手側ノードから連続した処理を行える
   ようにしたことを、 特徴とするセキュアエージェント実現方法。
3. 【請求項３】 サービス利用要求を出すユーザが属する
   ユーザノードと、サービス利用要求を処理するプロバイ
   ダが属するプロバイダノードとを備えるコンピュータシ
   ステムで実現されるセキュアエージェントシステムであ
   って、 ユーザノードは、 セキュリティに関わる処理を代行するセキュアエージェ
   ントと、耐タンパ性のあるハードウェアまたはソフトウ
   ェアで作られている該セキュアエージェントの実行環境
   と、該セキュアエージェントの認証または暗号化のため
   に用意されて該実行環境に格納されるセキュアエージェ
   ント鍵とを持ち、 かつ、上記ユーザノードのセキュアエージェントが、ユ
   ーザから処理代行の依頼を受け取る手段と、該処理依頼
   の内容を上記セキュアエージェント鍵を用いて暗号化す
   る手段と、該暗号文をプロバイダノードに送信する手段
   とを備え、 一方、プロバイダノードは、 セキュリティに関わる処理を代行するセキュアエージェ
   ントと、耐タンパ性のあるハードウェアまたはソフトウ
   ェアで作られている該セキュアエージェントの実行環境
   と、該セキュアエージェントの認証または暗号化のため
   に用意されて該実行環境に格納される上記セキュアエー
   ジェント鍵とを持ち、 かつ、上記プロバイダノードのセキュアエージェント
   が、ユーザノードから送られてくる暗号文を受信する手
   段と、該暗号文を上記セキュアエージェント鍵を用いて
   復号化することでユーザの処理要求を復元する手段と、
   ユーザの処理要求に対する実行結果を上記セキュアエー
   ジェント鍵を用いて暗号化する手段と、該暗号文をユー
   ザノードに送信する手段とを備えることを、 特徴とするセキュアエージェントシステム。
4. 【請求項４】 請求項３記載のセキュアエージェントシ
   ステムにおいて、 セキュリティのサービスを提供するセキュアノードを備
   え、 上記セキュアノードは、ユーザまたはプロバイダから要
   求される場合に、上記セキュアエージェントを生成して
   生成要求発行元に送信する手段を備えることを、 特徴とするセキュアエージェントシステム。
5. 【請求項５】 請求項４記載のセキュアエージェントシ
   ステムにおいて、 上記セキュアノードは、ユーザまたはプロバイダから要
   求される場合に、上記セキュアエージェント鍵を生成し
   て生成要求発行元に送信する手段を備えることを、 特徴とするセキュアエージェントシステム。
6. 【請求項６】 請求項４記載のセキュアエージェントシ
   ステムにおいて、 上記セキュアノードは、ユーザまたはプロバイダから要
   求される場合に、上記実行環境を生成して生成要求発行
   元に送信する手段を備えることを、 特徴とするセキュアエージェントシステム。
7. 【請求項７】 セキュリティに関わる処理を代行するセ
   キュアエージェントの生成要求が発行される場合に、該
   生成要求発行元を認証することで、該生成要求を受け付
   けるのか否かを判断する手段と、 上記生成要求を受け付けることを判断する場合に、上記
   セキュアエージェントを生成する手段と、 上記セキュアエージェントの生成に合わせて、上記セキ
   ュアエージェントの認証および暗号処理のためのセキュ
   アエージェント鍵を生成する手段と、 上記セキュアエージェントと上記セキュアエージェント
   鍵とを、耐タンパ性のある実行環境に格納する手段とを
   備えることを、 特徴とするセキュアエージェント管理装置。