JP2002123435A

JP2002123435A - 情報提供装置および方法

Info

Publication number: JP2002123435A
Application number: JP2000316200A
Authority: JP
Inventors: Yoshinobu Ikeda; 圭伸池田
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2000-10-17
Filing date: 2000-10-17
Publication date: 2002-04-26
Also published as: US7290130B2; US20020066044A1

Abstract

(57)【要約】【課題】インタネットに接続されていて不特定多数の
利用者に情報を発信するコンピュータシステムにおい
て、内外からの不正な侵入や改ざんからシステム全体を
防護する簡便な方法がなかった。【解決手段】インタネットから見える装置は情報発信
機器の複製のみとし、複製を複数設置することにより互
いに比較させ改ざんを検出する。複製は電子署名の検査
を実施し、不正であった場合は改ざんが発生したと見な
し情報発信機器３から本来あるべき情報を再複製するこ
ともできる。情報発信機器はファイアウォール２により
保護されているので、情報登録は容易に行うことができ
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、インタネットに接
続された情報処理システムに対し、システム内外からの
不正な改ざんからシステムに登録されている情報を防護
する方法および防護を施した装置に関する。

【０００２】

【従来の技術】近年インタネットの普及により、多くの
相互接続されたコンピュータ機器が様々な用途で利用さ
れている。このようなコンピュータ機器に対し不正なア
クセスからシステムを防護する手段として、次のような
方式が実用化されている。図１は最も代表的な防護例で
ある。ファイアウォール（防火壁）と呼ばれるシステム
をインタネットと情報処理システムの途中に接続し、こ
こで不正なアクセスの振るい落としをすることによって
インタネット側に対して提供するサービスを制限してい
る。また、図２のようにサービスを提供するコンピュー
タ機器をファイアウォールの外側に置き、コンピュータ
機器側で何らかの防護策を取る場合もある。

【０００３】特開平１１−２６６２７９号公報の記載で
は、図２に示すシステムのようにファイアウォールの外
部にメールサーバを設置することで、ファイアウォール
外部のユーザがファイアウォールを介さずにメールの送
受信を行うことを可能とし、ファイアウォール内のネッ
トワークのセキュリティを高めている。

【０００４】

【発明が解決しようとする課題】従来の防護システム
は、ファイアウォールと呼ばれるシステムに頼った形と
なり、外からの攻撃に対する強さはファイアウォールの
強さに依存してしまう問題があった。また、ファイアウ
ォールは一般に高価な導入コストと管理コストを必要と
する。

【０００５】また、インタネットに対して様々なサービ
スを提供するにあたって、それに応じた情報処理システ
ムに対する様々な機能追加が必要になるが、これらの機
能追加によりファイアウォールの内部構造は複雑化して
しまい、性能の劣化や新たなセキュリティホールを産み
出す要因になってしまう。

【０００６】更に、サービス提供機器をファイアーウォ
ールの外側に置いた場合、攻撃に対する防御の必要性か
らサービスを提供する機器に対してファイアウォールの
内側から容易に入ることができない。

【０００７】また、一般的なファイアウォールでは外部
からの攻撃には耐えられるが、内部からの不正な改ざん
に対しては配慮がなされておらず、効力を持たない。

【０００８】従来のシステムでは情報処理システムの情
報に不正な改ざんがあった場合に対して発見が容易でな
く、不正な侵入への常時監視に対し高い費用が発生す
る。

【０００９】従来のプロクシサーバは、外部インタネッ
トへの代理接続（ＷＷＷ閲覧ソフトを実行しているユー
ザのコンピュータの代理としてユーザの要求するＷＷＷ
サーバに接続を試み、そして、接続が成功した場合、そ
のＷＷＷサーバから取得できたデータをユーザに送信す
ること）や一次保存（ＷＷＷサーバから取得できたデー
タをユーザに送信するとともに、同一データの要求に備
えて自らの記憶領域に一時的に保存すること）を目的と
するものであり、外部向けサービス提供機器を保護する
用途として内部インタネットへの接続を代行するもので
はない。また、従来のミラーサーバは、ミラー対象サー
バの内容を複写し、システム及びネットワーク的な負荷
分散を目的とし、防護システムに対する特別な配慮はな
い。これらのように、従来のミラーサーバやプロクシサ
ーバの場合、セキュリティに於ける配慮は従来の防護シ
ステムと何ら変わらず、本質的に解決されない。

【００１０】本発明の目的は、インタネットに対してサ
ービスを提供する機器に対し、不正な改ざんに強く監視
が容易なシステムを提供し、システムの運用コストを低
減することである。

【００１１】

【課題を解決するための手段】上記目的を達成するため
本発明では、ファイアウォールの内側にあるサービス提
供システムのレプリカ（複製）をファイアーウォールの
外側に複数置き、利用者はこれらレプリカからのみサー
ビスの提供を受けるようにする。サービス提供者はファ
イアーウォールの内側にある本来のサービス提供システ
ムに対し、情報を登録する。このシステムはファイアウ
ォールの内側であるので、セキュリティホールをあまり
気にせずに様々な手段で情報を登録することができる。

【００１２】複数のレプリカは本来のサービス提供シス
テムの情報を常に複写しておくようにする。レプリカは
定期的にレプリカ同士が保持する情報の内容を互いに比
較することにより、不正な改ざんが発生したかどうかの
チェックを行う。ここでレプリカの保持する情報の間に
差異がある場合はファイアウォールの内側にある本来の
サービス提供システムから本来あるべきデータがレプリ
カに対し複写され、レプリカによって不正な改ざんがあ
ったかどうかを検査し、元の情報に修正し、管理者に通
報することができる。

【００１３】レプリカに複写される情報には電子署名を
付加することができる。この機能を使用する場合、レプ
リカは利用者に情報を発信するにあたって電子署名が有
効であるかどうかを検査し、有効である場合は発信し、
無効である場合は管理者に連絡する（レプリカがＷＷＷ
サーバに無効であることを連絡の後、ＷＷＷサーバが管
理者にメールやＳＮＭＰメッセージ等で連絡する）。こ
れにより、必要な電子署名を付加する権限のない者が情
報の公開や改変行為を行うことをできなくすることがで
きる。

【００１４】複数のレプリカは互いにサービスを行なう
サーバとして入れ替わることにより、インタネット側か
らは同一の機器に見せる。このことにより、内部的に不
正な接続のあった装置とそうでない装置を分け、それら
を互いに比較しあうことができる。また、サービスを提
供するレプリカの負荷を分散し、速度の低下を防ぐこと
ができる。

【００１５】

【発明の実施の形態】図３は本発明を、ＷＷＷサービス
を提供するシステムの実施の形態としてブロック図で示
したものである。図３において、インタネット１から見
えるレプリカ８は４台、ＷＷＷサーバ３は１台しか示さ
れていないが、実際にはこれ以上の台数が接続されてい
たり、１台の機械を論理的に複数台に見立てている場合
も考えられる。また、このレプリカ８は多段に接続する
こともできる。さらに、このレプリカ８はインタネット
上の他の場所にあっても良く、レプリカ８の配置次第で
はネットワークの負荷分散をすることができる。

【００１６】登録情報作成者は登録情報作成システム４
からＷＷＷサーバ３に情報を登録する。ＷＷＷサーバ３
はファイアウォール２で防護されている為、この時用い
られる手段は、一般に用いられるネットワーク転送手順
の何れでも良い。これは、例えばＷＷＷサーバ３をファ
イルサーバに見立て、ＷＷＷサーバ３とＰＣなどで構成
される登録情報作成システム４間でファイル共有を行う
ことで実現できる。

【００１７】図１０を用いてレプリカ８、ファイアウォ
ール２、ＷＷＷサーバ３の間の通信について説明する。
レプリカ８はファイアウォール２を介してＷＷＷサーバ
３と通信を行うが、この際ファイアウォール２はＨＴＴ
Ｐ用のポートのみを外部ネットワークに対し開放してい
る。もし外部ネットワークからの通信が、ＨＴＴＰ以外
のポートに対するものであれば（１００１Ｎｏ）、フ
ァイアウォール２はこの通信を切断する。外部ネットワ
ークからの通信がＨＴＴＰ用のポートに対するものであ
るなら（１００１Ｙｅｓ）、ファイアウォールは次にこ
の通信の発信元を、パケットのヘッダ中の情報から識別
し、レプリカ８からの接続要求かを判断する（１００
２）。パケットの発信元が外部ネットワークに設置され
たレプリカ８であれば接続を許可するが、それ以外の機
器が発信元である場合は、通信を切断する。もしＨＴＴ
Ｐにより接続要求をしている機器がレプリカ８であるな
ら、ファイアウォール２はレプリカ８に対し接続を許可
し、接続許可の応答をファイアウォール２より受けたレ
プリカ８はコマンドの作成（１００３）及び送信を行
い、ＷＷＷサーバ３に対し処理を要求する。レプリカ８
からのコマンドをＷＷＷサーバ３に仲介するファイアウ
ォール２では、コマンドの文法チェックを行い（１００
４）、文法に誤りがある場合には通信を切断する。チェ
ックの結果文法が正しい場合は、ファイアウォール２は
ＷＷＷサーバ３に対しＨＴＴＰによる接続要求を行う。
ＷＷＷサーバ３は、接続要求の発信元を識別し（１００
５）、それが許可された機器であれば接続許可の応答を
返信するが、そうでなければ通信の切断を行う。接続許
可の応答を受けたファイアウォール２は、レプリカ８か
ら送信されたコマンドをＷＷＷサーバ３へ送信する。フ
ァイアウォール２からのコマンドを受けたＷＷＷサーバ
３は、コマンドにより要求された処理に応じてデータを
作成し（１００６）、このデータをファイアウォール２
に送信する。ファイアウォール２はこのデータをレプリ
カ８に送信し、さらにレプリカ８に対して新たなコマン
ドの受け付けを行う。引き続きレプリカ８がＷＷＷサー
バ３に処理を要求するなら（１００７Ｎｏ）、レプリ
カ８におけるコマンド作成以後の処理を繰り返すが、Ｗ
ＷＷサーバ３に対する要求が無いのであれば、レプリカ
８はファイアウォール２に対し通信を切断する要求を送
信し、ファイアウォール２からはＷＷＷサーバ３に対し
同様に通信を切断する要求を送信することでレプリカ
８、ファイアウォール２、ＷＷＷサーバ３の間の通信を
切断して一連の処理を終了する。

【００１８】上記のようにファイアウォールはレプリカ
からのＨＴＴＰを用いた接続要求のみを受け付けるた
め、市販の高価なファイアウォールシステムを用いなく
とも、ＨＴＴＰプロクシ（代理）サーバをフリーソフト
ウェアを用いて安価に構築し、ファイアウォールとして
利用することも可能である。

【００１９】勿論、顧客が既に導入しているファイアウ
ォールやＷＷＷサーバをそのまま利用することも可能で
あり、この場合顧客はレプリカ８を新規導入し、ＷＷＷ
サーバ上に追加の設定(レプリカの複写、更新の機能の
追加)を実施してＷＷＷサーバ３とする。レプリカ８は
これらの機構を通して、ＷＷＷサーバ３の複製となる。
このように一般的なＨＴＴＰ接続のみを用いてレプリカ
８はＷＷＷサーバ３の複製となるので、レプリカ８はＷ
ＷＷサーバ３の内容を書き換えることが出来ない。

【００２０】レプリカ８はインターネット１上のユーザ
端末に対し、所定のポートに対する接続及び通信のみを
許可する。このとき、この接続を待つ以外のポートは使
用せず、ユーザ端末が接続できないようにする。ネーム
サーバ９は登録されているエントリを随時変更し、同一
のレプリカにアクセスが集中しないようにする。例えば
図１１に示すように、ユーザ端末がｗｗｗ．ｊａｐａ
ｎ．ｃｏ．ｊｐのドメインネームを持つＷＷＷサーバへ
の接続要求を行うと、ネームサーバはこのＷＷＷサーバ
の複製であるレプリカに与えられたＩＰアドレス（１）
〜（４）のうちの1つを、ラウンドロビン方式で、もし
くはランダムに返信する。ユーザはこのネームサーバが
返信したＩＰアドレスに対し接続を行うため、図１１に
示す４つのレプリカの間でユーザからのアクセスが分散
されるために1つのレプリカに対しアクセスが集中する
ことを回避することができる。

【００２１】これは図５のようにスイッチ１０を用い、
レプリカ８への通信経路を切り替えることで実現するこ
ともできる。レプリカ８とファイアウォール２を、図４
や図５のようにインタネット１とは別のネットワークを
経由して接続し、ファイアウォール２をインタネット１
からネットワーク的に分離すれば、システムとしての防
護性能を更に上げることができる。以上のことからネー
ムサーバ９やスイッチ１０は負荷分散装置として機能す
る。

【００２２】また図６のように、レプリカ８及びスイッ
チ１０を1つの機器であるＷＷＷセキュリティ装置１１
として構築し、専用ケーブル等の一般的なネットワーク
以外の手段を用いＷＷＷサーバ３と直接接続すること
で、防護性能を保ったままファイアウォール２を省略す
ることもできる。ＷＷＷセキュリティ装置１１はインタ
ネット１からの接続要求をスイッチ１０で分散し、複数
のレプリカ８に分配する。このレプリカ８は論理的に複
数台とする構成でも良いし、スイッチ１０を使わず図３
や図１１で説明したようなネームサーバを用いて振り分
けても良い。

【００２３】レプリカ８はインターネット１上に存在す
るユーザ端末からの接続要求を所定のポートで受ける
と、自らが保持しているＷＷＷサーバ３の情報の複製を
ユーザ端末に送信する。図９を用いて、レプリカ８が、
ユーザ端末が要求する情報を配信する処理を説明する。

【００２４】ユーザ端末はＧＥＴコマンドを用いて／ｈ
ｏｇｅ／ｉｎｄｅｘ．ｈｔｍｌというファイルをレプリ
カ８に要求するが、レプリカ８がこのファイルの複製を
保持している場合は（９０１有）、ＷＷＷサーバ３に
対しアクセスは行わない。レプリカ８が保持するファイ
ルに後述する電子署名が付加されている場合はその電子
署名のチェックを行い（９０３）、電子署名が適正なも
のであれば（９０３ＯＫ）ユーザに／ｈｏｇｅ／ｉｎｄ
ｅｘ．ｈｔｍｌファイルを送信し、電子署名に誤りがあ
れば（９０３ＮＧ）ＷＷＷサーバ３にエラーを通知し
またユーザに対しても該当するファイルが存在しない旨
をエラー通知する。この電子署名のチェックはオプショ
ンであり、電子署名を用いない場合はこの処理を行わず
にファイルをユーザ端末に送信する。レプリカ８が／ｈ
ｏｇｅ／ｉｎｄｅｘ．ｈｔｍｌファイルを保持していな
い場合は（９０１無）、図１０に示した処理を経てレ
プリカ８とＷＷＷサーバ３間で接続を確立した後、ＷＷ
Ｗサーバ３に対しコマンドを送信して／ｈｏｇｅ／ｉｎ
ｄｅｘ．ｈｔｍｌファイルの送信を要求する（新規複
写）。ＷＷＷサーバ３はファイルを保持している場合
（９０２有）はレプリカ８にそのファイルを送信し、
レプリカ８は送信されたファイルに電子署名が付加され
ていればそのチェックを行い、そしてファイルをユーザ
に送信する。ＷＷＷサーバ３がファイルを保持していな
い場合（９０２無）は、ＷＷＷサーバ３からレプリカ
８ならびにユーザ端末に対してエラーを通知する。

【００２５】基本的には上述のように、新規複写はユー
ザの要求があったページがレプリカ８上に存在しない場
合にＷＷＷサーバ３からその情報を取得することにより
行い、一方、ＷＷＷサーバ３が保持する最新の情報をレ
プリカ８が保持する同じ情報に反映する処理（更新）
は、レプリカ８とＷＷＷサーバ３とのコンペアチェック
の結果によって行うことができる。これは、以下の手順
で予め用意しておくこともできる。

【００２６】図９の更新の場合、レプリカ８はＷＷＷサ
ーバ３もしくはカスケード接続された上位のレプリカ８
に接続を行う（９０４）。そして該当の情報についてＣ
ＲＣのエラーチェックコードの計算を行なう（９０
５）。一方、ＷＷＷサーバ３では求められたファイルが
存在するかどうかを判定し（９０２）、なければ（９０
２無）、エラー情報をレプリカ８へ送る。レプリカ８で
はこれを受けて当該ファイルを削除する（９０７）。該
当するファイルがあれば（９０６有）、同様にその情
報についてＣＲＣのエラーチェックコードを計算し、作
成する（９０８）。これを更新日付と共にレプリカ８に
転送する。次に、レプリカで計算され求められたＣＲＣ
とＷＷＷサーバから転送されたＣＲＣとを比較し一致す
るかどうか調べる（９０９）。一致すれば、情報の更新
はなかったことを意味しレプリカ８の情報の更新はしな
い（９１０）。一致しなければ、レプリカ８はＷＷＷサ
ーバにファイルの転送を要求し、これを保存する（９１
１）。

【００２７】以上の処理はインタネット上のユーザとの
やり取りは遮断し、レプリカ８とＷＷＷサーバ３の間だ
けで実行される。

【００２８】即時更新のときは、レプリカ８はＧＥＴコ
マンドで更新情報の要求を出す（９１２）。ＷＷＷサー
バ３は情報の更新が生じるまでこの要求を保留してお
き、更新が発生した時点で更新情報を応答として返す。
これを用いることにより、ＷＷＷサーバ３の更新後即時
にレプリカ８を更新することができる。

【００２９】レプリカ８はＷＷＷサーバ３の全てのコン
テンツに対する複製を保持するのが基本であるが、設定
により保持する複製の量や複製する場所を設定できる。
すなわち、サーバ上のコンテンツが複数のディレクトリ
やファイルから構成される場合、どこからどこまでのデ
ィレクトリやファイルを複製の対象とするかを指定でき
る。さらに、複製の対象とするファイルの数やサイズに
制限を設けるよう指定することができる。これによっ
て、例えば、ディレクトリ毎に複製するファイルの数や
全体サイズを制限したり、大きなファイルの複製制限等
の制御ができる。また、複製する対象を容量やアクセス
頻度等に応じて自動的に選択し、動的に変化させること
ができる。

【００３０】外部ネットワークに複数設置されたレプリ
カ８には、ネットワーク上のユーザによる不正な改ざん
行為に対する防衛手段が施されていないため、レプリカ
８同士や内部ネットワーク上のＷＷＷサーバ３との間で
定期的にコンペアチェックを行い不正な改ざんを発見
し、レプリカ８が保持し配信する情報の信憑性を保つ。

【００３１】図８を用い、１台目のレプリカ８（装置
Ａ）が保持する／ｆｏｏ／ｉｎｄｅｘ．ｈｔｍｌファイ
ルのコンペアチェックの処理を説明する。まず、装置Ａ
は２台目のレプリカ８（装置Ｂ）に対し、ＨＴＴＰプロ
トコルの“ＨＥＡＤ／ｆｏｏ／ｉｎｄｅｘ．ｈｔｍ
ｌ”コマンドにより、装置Ｂが保持する／ｆｏｏ／ｉｎ
ｄｅｘ．ｈｔｍｌファイルの属性情報の送信を要求しコ
ンペアチェックを開始する（８０１）。装置Ｂでは当該
ファイルがあるかを調べ（８０２）、有る場合には当該
ファイルのＣＲＣ計算を行なう（８０３）。そしてそれ
を更新日付と共に装置Ａに送る。一方、装置Ａでも当該
ファイルのＣＲＣ計算を行ない（８０４）、装置Ｂから
転送されたＣＲＣと一致するかどうか判定する（８０
５）。一致すれば、不正な改ざんがなかったとしてチェ
ック終了する（８０６）。

【００３２】また、装置ＡからＨＥＡＤコマンドを受け
た装置Ｂが要求されたファイルを保持していない場合
（８０２無）、装置ＢはＨＥＡＤコマンドの応答を装
置Ａに返す前にＷＷＷサーバ３にＧＥＴコマンドで接続
しファイルの送信要求を行う。ＷＷＷサーバ３に当該フ
ァイルがあれば（８０７有）、当該ファイルを取得し
て保存し（８０８）、同様にＣＲＣ計算を行なう（８０
９）。

【００３３】これは、装置ＡのＣＲＣと比較され一致す
ればチェック終了し（８０６）、一致しなければ改ざん
などにより装置Ａのファイルが正しくないとしてＷＷＷ
サーバ３から取得したファイルを装置Ａに保存する（８
１０）。

【００３４】ＷＷＷサーバ３が要求されたファイルを保
持していない場合そのファイルは、ＷＷＷサーバ３から
削除されたか、ネットワーク上の侵入者により装置Ａに
対し勝手に追加されたファイルだと解釈される。そこで
装置ＢはＨＥＡＤコマンドの応答として装置Ａに該当フ
ァイルの削除命令を返し、ＷＷＷサーバ３には新たな属
性を加えたＨＥＡＤコマンドで削除命令発行の旨を通知
する。装置Ａは削除命令を受けた後、実際にそのファイ
ルを削除し、削除完了の旨を新たな属性を加えたＨＥＡ
ＤコマンドでＷＷＷサーバ３に通知する。これは、削除
せず別の記憶領域に一時保管したり、ＰＯＳＴコマンド
でＷＷＷサーバ３の特定記憶領域に保管することもで
き、これにより不正アクセスであった場合に証拠を残す
ことができる。これらの応答は互いに暗号を用いること
もでき、ネットワーク的に遠隔なレプリカに対しても安
全に削除情報を送ることができる。以上のようにコンペ
アチェックは実施されるが、レプリカ８とＷＷＷサーバ
３との間が独自手順で実装されている場合、ＨＥＡＤ、
ＧＥＴ、ＰＯＳＴ各コマンドの仕様に縛られない、更に
自由度のある設計をすることができる。

【００３５】そしてレプリカ８は必要に応じて他のファ
イルに対し同様にコンペアチェックを行う。

【００３６】コンペアチェックはレプリカ８同士のみで
はなく、レプリカ８とＷＷＷサーバ３との間で行うこと
も出来る。ＷＷＷサーバ３ではファイルの更新が行われ
る可能性があるため、ＷＷＷサーバ３を相手にコンペア
チェックを行う場合は、レプリカ８が保持する情報が最
新の内容であるか、情報の更新チェックを同時に行うこ
とにもなる（図９における更新）。

【００３７】ＨＥＡＤコマンドには新たな属性を加え
（ファイルの日付やサイズ等を返す機能に加え検査用コ
ードも返すように機能拡張する）、ファイルの検査コー
ド（チェックサムやＣＲＣコード等）を得られるように
しておく。

【００３８】ＨＥＡＤコマンドで取得した他装置又はＷ
ＷＷサーバが持つ属性情報は、それを用いて比較を行う
ことが目的であるため、送受信するデータはハッシュ等
により非可逆的に暗号化されていても良い。

【００３９】ＷＷＷサーバ３に登録する情報は前述のよ
うに、登録時に署名生成手続きにより電子署名を行うこ
とができる。電子署名を使用する場合の流れを図１２に
示す。レプリカ８において、ＧＥＴコマンドによって要
求されたファイルを準備する（１２０１）。次に、電子
署名があるかどうかを調べ（１２０２）、ないときはこ
れはユーザには送信できないファイルと判断されるか
ら、ユーザにはエラー、ファイル無しとの応答がなされ
る。署名があった時、この署名を評価する（１２０
３）。そして対象ユーザ毎に配信可のものか、配信否の
ものかを判断する（１２０４）。送信可のユーザにはデ
ータ送信をし、送信否のユーザにはエラー、ファイル無
しとの応答がなされる。

【００４０】図示してないが配信情報中の電子署名が正
当な署名でない場合、レプリカ８はＷＷＷサーバ３が保
持する情報を再複製し、その署名を検査することもでき
る。このとき、再複製の情報も正当でない場合、利用者
にはエラーの旨を配信する。いずれの段階でも管理者に
対し不正署名の旨を通報することができる。

【００４１】また、電子署名の利用により、図７のよう
に配信情報をグループ分けし、配信先の制御を行うこと
ができる。図７においては例として、情報に対しＡ、
Ｂ、Ｃ、Ｄの４種の電子署名が付加され得る。ここで、
４種全ての電子署名が付加された情報１は、社内および
関連会社を含む社外にまで配信される情報として識別さ
れる。Ｂ、Ｃ、Ｄの３種の電子署名が付加された情報２
は、社内および関連会社内までを情報配信の範囲として
識別される。以下、情報３、情報４そして情報５と付加
する電子署名の種類に応じてその情報の配信範囲を設定
することが可能である。

【００４２】この処理を示したものが図１３である。デ
ータの配信要求（１３０１）を受けたレプリカ８もしく
はＷＥＢサーバ３は、まずユーザのＩＰアドレスが社内
もしくは社外どちらのものであるかを識別する（１３０
２）。ユーザのＩＰアドレスが社内のものであった場合
は、さらに同じ部署のものかを識別する（１３０３）。
もし同じ部署のものであれば（ユーザＣ）、電子署名の
チェックは行わずに情報の配信を行う（１３０４）。ユ
ーザのＩＰアドレスが他部署のものであった場合（ユー
ザＢ）は、ファイルを準備すると共に（１３０５）、配
信する情報に付加された電子署名が他部署に対する情報
配信を許可する種類のものであるかをチェックし（１３
０６）、許可するものであれば配信を行いそうでなけれ
ばユーザにエラー通知を行う。ユーザのＩＰアドレスが
社外のものであった場合（ユーザＡ）は、ファイルを準
備すると共に（１３０８）、配信する情報に付加された
電子署名が社外に対して配信することを許可する種類の
ものであるかをチェックし（１３０９）、そうであれば
配信しそれ以外のものであればユーザにエラーを通知
し、その情報の配信は行わない。

【００４３】以上のような電子署名の利用法は、従来社
内向けと社外向け等のようにＷＷＷサーバ３を用途別に
分けていた場合に有効で、電子署名の違いや有無によ
り、配信先を分別することができる。例えば、電子署名
が無い情報はレプリカ８には複写されないか、複写され
ても配信できないので、ＷＷＷサーバ３に直接アクセス
可能な場所からのみアクセス可能となる。これにより、
社外向け情報は電子署名付、社内向け情報は電子署名無
しと区別することにより、配信情報を社外／社内向けと
いうようにグループ分けができる。また、電子署名の評
価にあたって、署名内に記された情報により、特定の顧
客のみの配信等の制御をすることもできる。

【００４４】レプリカ８は基本的にＷＷＷサーバ３が配
信する情報の複製作成機器であり、一度複製元の設定を
してしまえば大きな変更がない限りオペレータによる操
作の必要はない。複製元の設定とはどのＷＷＷサーバ３
をどれだけ複製するか、検査コードを使用するか、電子
署名や暗号を使用するか、即時更新するかどうかの複製
のポリシーなどを指す。

【００４５】ファイアウォール２は通過させた情報につ
いて発信元等の属性情報を累積するが、この累積された
属性情報はＷＷＷサーバ３で収集可能であるので、レプ
リカ８と同様に、オペレータによるファイアウォール２
への操作の必要はない。このように、レプリカ８とファ
イアウォール２は運用される時点では人手を介した操作
を必要としないので、このレプリカ８とファイアウォー
ル２を物理的に隔離した部屋に置き、物理的な鍵をかけ
ることができる。このことにより物理的な鍵を持たな
い、システム内部の者による不正なシステム侵入、情報
公開や改変行為を防ぐことができる。

【００４６】レプリカ８とＷＷＷサーバ３の間は一般的
なネットワーク手順で接続する必要は無いので、ＷＷＷ
サーバ３側に通信機構を増設し独自の通信手順で接続す
るようにすれば、インタネットプロトコルを使用しない
ので、ファイアウォール２の必要がなくなる。これはシ
ステム全体のコストダウンに寄与することができ、ファ
イアウォール２上のセキュリティ欠陥が原因でのシステ
ム不正侵入やシステムダウン等を防ぐことができる。こ
の独自手順での接続は、図６のように装置１１として実
装しなくとも、図４や図５の構成で実施することも可能
である。装置１１は、レプリカ８とＷＷＷサーバ３との
通信に独自手順を使用しない場合、ファイアウォール２
を内蔵してしまっても良い。また、装置１１はルータ
等、他のネットワーク装置の内蔵オプションとして実装
しても良いし、ＷＷＷサーバ３に装置１１を内蔵しても
良い。これらのように装置として本発明のシステムを実
装した場合、システム構築や管理か簡便になるという利
点がある。

【００４７】以上、本発明の実施の形態を説明したが、
レプリカ８を多段接続し、後段のレプリカ８は前段から
の接続のみ受け付けるようにすれば、さらに防護性能を
上げることができる。この場合、前段となるレプリカ８
はインタネット１上の他の場所にあっても良く、利用者
の多いネットワークに近い場所に設置すれば、全体のネ
ットワーク負荷を軽減することができる。

【００４８】

【発明の効果】インタネットを用いた情報発信システム
において、情報登録を容易にし、負荷を軽減し、不正な
情報の登録や改ざんの検知が容易となり、改ざんされた
場合でも元情報への訂正も容易にできる為、システムの
構成および管理の手間と費用を大幅に改善できる。

【図面の簡単な説明】

【図１】従来の技術を示すシステム構成図。

【図２】他の従来の技術を示す構成図。

【図３】本発明の実施の形態を示す概略システム構成
図。

【図４】図３に対し、ファイアウォールを隠して防護性
を良くしたシステム構成図。

【図５】図４に対し、スイッチを利用して更に防護性を
良くし負荷分散性能も良くしたシステム構成図。

【図６】図５のシステムを装置として実装した場合の例
を示す図。

【図７】電子署名の評価による配信制御を示す図。

【図８】コンペアチェックの構成例を示す図。

【図９】即時更新機能の構成例を示す図。

【図１０】ファイアウォールの構成例を示す図。

【図１１】ネームサーバの構成例を示す図。

【図１２】電子署名を用いた情報発信制御を示すフロー
チャート。

【図１３】複数の電子署名を用いた情報発信制御を示す
フローチャート。

【符号の説明】

１インタネット２ファイアウォール（防火壁）３ＷＷＷサーバ４登録情報作成システム５ルータで保護された登録情報作成システム８レプリカ９ネームサーバ１０負荷分散スイッチ１１ＷＷＷセキュリティ装置

Claims

【特許請求の範囲】

【請求項１】Ｗｅｂサーバと、インタネットに接続され
前記Ｗｅｂサーバの配信する情報の複製を保持しユーザ
からの要求に応じて前記情報の配信を行なう複製Ｗｅｂ
サーバと、前記Ｗｅｂサーバと前記複製Ｗｅｂサーバの
間に設置されあらかじめ定められたプロトコルを用いた
もので且つ、前記複製Ｗｅｂサーバからの接続要求であ
るときのみ接続を許可するファイアウォールとを備えた
ことを特徴とする情報提供装置。
【請求項２】前記Ｗｅｂサーバは前記ファイアウォール
を通した接続要求が許可された接続相手からのものかど
うか判断し、そうでなければ通信を切断し、そうであれ
ば要求されたデータを前記ファイアウォールを通して接
続要求を出した前記複製Ｗｅｂサーバへ送信することを
特徴とする請求項１記載の情報提供装置。
【請求項３】Ｗｅｂサーバと、インタネットに接続され
前記Ｗｅｂサーバの配信する情報の複製を保持し、ユー
ザからの要求にしたがって保持する情報を提供する複数
の複製Ｗｅｂサーバと、前記Ｗｅｂサーバと前記複数の
複製Ｗｅｂサーバの間に設けられたファイアウォールと
を有し、前記複数の複製Ｗｅｂサーバは互いに保持する
情報が一致しているかどうかを判定することを特徴とす
る情報提供装置。
【請求項４】前記互いに保持する情報が一致しているか
どうかの判定はそれぞれの保持する情報の検査コードを
比較することにより行なわれることを特徴とする請求項
３記載の情報提供装置。
【請求項５】更に、複数の前記複製Ｗｅｂサーバへのユ
ーザ端末からの接続要求を前記複数の複製Ｗｅｂサーバ
に分散せしめる負荷分散装置を備えたことを特徴とする
請求項３記載の情報提供装置。
【請求項６】Ｗｅｂサーバと、インタネットに接続され
前記Ｗｅｂサーバの配信する情報の複製を保持し、ユー
ザからの要求にしたがって保持する情報を提供する複数
の複製Ｗｅｂサーバと、前記Ｗｅｂサーバと前記複数の
Ｗｅｂサーバとの間で通信を行なわせる専用接続線を備
えたことを特徴とする情報提供装置。
【請求項７】配信される情報を記憶する情報処理装置
と、インタネットに接続され配信される情報の複製を記
憶し、要求に従い情報の複製を配信する複数の情報配信
装置とを有する情報提供装置における方法であって、前
記情報処理装置が保持する情報の一部又は全てを前記情
報配信装置の一つ又は複数に転送するステップと、複数
の前記情報配信装置が保持する情報を互いに比較するス
テップとを有することを特徴とする情報提供方法。
【請求項８】配信される情報を記憶する情報処理装置
と、インタネットに接続され配信される情報の複製を記
憶する複数の複製Ｗｅｂサーバとを有する情報提供装置
における方法であって、ある複製Ｗｅｂサーバから他の
複製Ｗｅｂサーバの指定する情報の一致をチェックする
場合において、他の複製Ｗｅｂサーバにおいて指定され
た情報があるかどうかを調べ、あるときはその情報の検
査コードを前記あるＷｅｂサーバに転送し、前記あるＷ
ｅｂサーバにおいて、前記指定された情報に対応する自
サーバが記憶するファイルの情報の検査コードを求め、
これら２つの検査コードを比較し、一致するときはチェ
ックを終了し、一致しないときは前記情報処理装置から
対応する情報を入手して保存することを特徴とする情報
提供方法。
【請求項９】前記他のＷｅｂサーバにおいて指定された
情報がないとき前記情報処理装置から当該情報を入手し
保存すると共に検査コードを前記あるＷｅｂサーバに転
送することを特徴とする請求項８記載の情報提供方法。
【請求項１０】前記情報処理装置にも指定された情報が
ない場合に前記あるＷｅｂサーバの当該情報を削除する
ことを特徴とする請求項９記載の情報提供方法。
【請求項１１】配信される情報を記憶する情報処理装置
と、インタネットに接続され配信される情報の複製を記
憶し、要求に従い情報の複製を配信する複数の情報配信
装置とを有する情報提供装置における方法であって、前
記情報配信装置が配信する情報に付加された電子署名に
より、情報の正当性を評価することを特徴とする情報提
供方法。
【請求項１２】前記電子署名の有無、または電子署名の
数により、前記情報配信装置が配信する情報の配信先の
範囲を制御することを特徴とする請求項１１記載の情報
提供方法。