JP2002149494A - アクセス制御方法およびアクセス制御装置および記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 アクセス対象であるオブジェクトおよびアク
セス主体であるサブジェクトを詳細に分類し、その分類
に基づいて特有の制限を強制的に加える。単一の特権利
用者を排除し、プログラムの乗っ取りによる被害を最小
限にとどめ、もしくは、プログラムの乗っ取りを排除
し、セキュリティを高める。 【解決手段】 アクセス主体であるサブジェクトはサブ
ジェクトの権限をあらわすケーパビリティリストを保持
し、アクセス対象であるオブジェクトはオブジェクトの
アクセスを許可するために必要なケーパビリティの条件
を表すアクセス制御リストを保持し、ケーパビリティリ
スト中のケーパビリティの少なくとも１つが、アクセス
制御リスト中のアクセス許可に必要なケーパビリティの
条件の少なくとも１つを満たすとき、オブジェクトヘの
アクセスが許可され、オブジェクトヘのアクセスが許可
された場合に、オブジェクトごとに定義されたケーパビ
リティ強制の指定に基づき、サブジェクトが持つケーパ
ビリティを強制的に変更する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、コンピュータシス
テムに関し、特にコンピュータシステムにおいてアクセ
ス制御によってコンピュータシステム中の資源を保護
し、コンピュータシステム中の資源へのアクセスを正確
に制御する方法に関する。

【０００２】

【従来の技術】コンピュータ技術および通信技術の進展
に伴い、ますます多くのコンピュータがネットワークを
介して接続されるようになり、組織やコミュニティに閉
じていたコンピュータネットワークが、全地球的なネッ
トワークへと変化してきている。しかしながら、セキュ
リティ面での考慮がなされていない中での普及となって
おり、コンピュータシステム中の情報の無許可アクセス
や無許可の書き換え、コンピュータシステム上で提供さ
れるサービスの妨害など、セキュリティ上の問題が多発
している。

【０００３】今日、コンピュータネットワーク上の大半
のコンピュータは、ＵＮＩＸ（登録商標）、その互換オ
ペレーティングシステム、もしくは、ＵＮＩＸから多大
な影響を受けたオペレーティングシステムで運用されて
いる。前記のセキュリティ上の問題が多発している原因
はこれらのオペレーティングシステムがアクセス制御の
観点からは大きな問題を抱えていることにある。

【０００４】

【発明が解決しようとする課題】問題の第１は、単一の
特権利用者（スーパユーザ）権限によってシステムを保
護している点にある。スーパユーザ権限があれば、オペ
レーティングシステムで提供されるすべての資源が制御
可能となり、読み取りや書き込みの禁止が設定された資
源でも、物理的に不可能でない限り、その設定を解除
し、読み取りや書き込みが可能である。このため、シス
テム上に多数存在するスーパユーザ権限で動作するプロ
グラムが乗っ取られると、システムに関する全ての権限
を奪取されてしまう。

【０００５】問題の第２は、認証がシステムへのログイ
ン時に利用者についてのみ行われる点にある。プログラ
ムを格納したファイルや実行中のプログラムを認証する
機構がないため、何らかの手段でプログラムが置き換え
られても発覚が遅れる危険性がある。

【０００６】問題の第３は、システムに登録されていな
い利用者に対するアクセス制御が行えない点にある。こ
のため、情報提供サービスプログラムなどでは、情報に
対するアクセス制御を行うためのコードがアプリケーシ
ョンプログラムに組み込まれている。

【０００７】しかし、このようなアプリケーションプロ
グラムが独自に行うアクセス制御についてはオペレーテ
ィングシステムが提供する保護機構を利用できないた
め、プログラム上の不具合による不正な情報アクセスの
危険性は高まってしまう。また、アプリケーションごと
にアクセス制御が提供されるため、アプリケーションご
とにその設定方法が異なり、システム全体を統一して管
理運用を行うことが困難となっている。

【０００８】問題の第４は、全てのプログラムが可能な
限りの最大の権限で動作する点にある。このため。本来
は特定のファイルのみをアクセスするように設計された
プログラムでも、想定外のファイルをアクセスすること
が常に可能な状態にあり、情報の不正な漏洩や書き換え
がいつでも発生し得る。また、不正なプログラムがシス
テムにインストールされた場合には、そのプログラムを
実行した利用者の最大の権限でそのプログラムが動作す
るため、前記と同様の状況が発生し得る。中間コードを
インタプリタプログラム上で実行させる場合や、単にデ
ータをデータ処理プログラムで処理する場合でも、イン
タプリタプログラムやデータ処理プログラム自体に不具
合があり得るため、これらのプログラムが本来アクセス
する資源以外へのアクセスを制限しなければ、同様の問
題が発生する。

【０００９】アクセス制御に関する公知の技術として
は、Mamoru Maekawa,Arthur E.01dehoeft,Rodney R.0ld
ehoeft著,1987年 The Benjamin/Cummings Publishing C
ompany,Inc.刊,“Operating System Advanced Concept
s”(前川守監訳、1990年丸善株式会社刊,「オペレーティ
ングシステムの先進的概念」)、第8章コンピュータセキュ
リティに関する箇所,および,Dorothy E.R.Denning著,19
82年 Addison-Wesley Publishing Company,Inc.刊“Cry
ptography and Data Security”(上園忠弘他訳、1988年
株式会社培風館刊,「暗号とデータセキュリティ」)、第４
章アクセス制御に関する箇所にまとめられている。

【００１０】これらの文献では、コンピュータシステム
によって提供される対象物へ、誰がアクセスしようとし
ているか、に基づいてアクセスを制御する方法として、
アクセス行列モデルが示されている。

【００１１】前記アクセス行列モデルは、アクセス制御
の対象となる物（オブジェクト）の集合０、オブジェク
トヘアクセスする主体となる能動的な物（サブジェク
ト）の集合Ｓ、そして、サブジェクトからなる「行」と
オブジェクトからなる「列」の組合せでできるアクセス
行列Ａから構成される。アクセス行列Ａの要素Ａ［ｓ，
ｏ］はサブジェクトｓのオブジェクトｏに対するアクセ
ス権を表す。アクセス権とはオブジェクトに対して許可
されているアクセス種別のことである。

【００１２】コンピュータシステムにおいては、通例、
オブジェクトにはファイル、メモリ領域、プロセスが含
まれ、サブジェクトにはユーザ、プロセス、ドメインが
含まれ、アクセス種別には読み取り、書き込み、実行が
含まれる。ドメインとはプロセスが実行される保護環境
のことである。このモデルでは、サブジェクトｓからオ
ブジェクトｏへのアクセスが要求されたとき、アクセス
権Ａ［ｓ，ｏ］を検索し、アクセス種別に対するアクセ
ス権の設定によって、当該アクセスが常に許可される
か、あるいは常に許可されないかである。このアクセス
行列モデルは、サブジェクト、オブジェクト、および、
アクセス行列の全てが信頼できる場合に正しく働く。

【００１３】前記アクセス行列は、一般には疎な行列で
あり、行列をそのまま実現するのは現実的ではない。前
記文献には、実現方法として、三つ組表、ケーパビリテ
ィリスト、アクセスリスト、錠／鍵システムが示されて
いる。

【００１４】三つ組表は、Ａの空でない要素を（ｓ，
ｏ，Ａ［ｓ，ｏ］）の形の表で管理する。

【００１５】ケーパビリティリストは、サブジェクトｓ
がアクセスできるオブジェクトとそのアクセス権を
（０，Ａ［ｓ，ｏ］）の形でサブジェクトごとに管理す
る。（ｏ，Ａ［ｓ，ｏ］）の値はケーパビリティと呼ば
れ、別のサブジェクトにケーパビリティの複製を譲渡す
ることで、アクセス権を譲渡することが可能となってい
る。

【００１６】アクセスリストは、オブジェクトｏをアク
セスできるサブジェクトとそのアクセス権を（ｓ，Ａ
［ｓ，ｏ］）の形でオブジェクトごとに管理する。

【００１７】ＵＮＩＸをはじめとする多くのオペレーテ
ィングシステムでは、退化させたアクセスリストによる
アクセス制御を採用している。ＵＮＩＸにおける個々の
ファイルは３つの要素からなるアクセスリストを持って
いる。第１はファイル所有者のアクセス権、第２は所有
者のグループのすべてのユーザに対するアクセス権、第
３はその他のすべてのユーザに対するアクセス権を記述
している。アクセス権には読み取り（ｒ）、書き込み
（ｗ）、実行（ｘ）が含まれる。

【００１８】錠／鍵システムは、オブジェクトｏにおい
て錠Ｌ［ｉ］とオブジェクトｏに対するアクセス権ｒ
［ｉ］のリスト（Ｌ［１］、ｒ［１］），（Ｌ［２］，
ｒ［２］），…を管理し、サブジェクトｓがオブジェク
トｏに対するアクセス権ｒ［ｉ］をもつ場合、すなわち
Ａ［ｓ，ｏ］＝ｒ［ｉ］のときに、錠Ｌ［ｉ］に対する
鍵Ｋ［ｉ］をｓに与える。サブジェクトは鍵を（ｏ，
Ｋ）の形で管理する。

【００１９】いずれの方法も、当該アクセスが常に許可
されるか、あるいは常に許可されないかであり、サブジ
ェクト、オブジェクト、および、アクセス制御のための
データ（三つ組表、ケーパビリティリスト、アクセスリ
スト、錠リスト／鍵リスト）が信頼できる場合に正しく
働く。

【００２０】アクセス制御に関する別の公知の概念とし
ては、Discretionary Access Control(DAC),Mandatory
Access Control(MAC),Role-based Access Control(RBA
C)がある。

【００２１】ＤＡＣは、サブジェクトもしくはサブジェ
クトが属するグループごとにオブジェクトへのアクセス
を制御するもので、システム上の各利用者が自身の所有
するオブジェクトに対するアクセス制御の設定を行うこ
とができる。これは前記アクセス制御リストによって実
現される。

【００２２】ＭＡＣは、システム上の全てのアクセスを
強制的に制御するもので、全てのサブジェクトと全ての
オブジェクトには階層的な機密分類（例えば、無分類、
秘密、極秘、機密等）と非階層的なカテゴリ（例えば、
営業、研究開発、人事、経営等）の組合せによってあら
わされる感度ラベル（ＭＡＣラベルと呼ばれる）が付与
され、サブジェクトとオブジェクトのＭＡＣラベルに基
づいてアクセス制御を行う。サブジェクトのＭＡＣラベ
ルの機密分類がオブジェクトのＭＡＣラベルの機密分類
と等しいかそれ以上、かつ、サブジェクトのＭＡＣラベ
ルのカテゴリがオブジェクトのＭＡＣラベルのカテゴリ
の全てを含むとき、サブジェクトはオブジェクトを読み
出すことができる（リードダウン）。

【００２３】また、サブジェクトのＭＡＣラベルの機密
分類がオブジェクトのＭＡＣラベルの機密分類と等しい
かそれ以下、かつ、サブジェクトのＭＡＣラベルのカテ
ゴリの全てがオブジェクトのＭＡＣラベルのカテゴリに
含まれるとき、サブジェクトはオブジェクトに書き込む
ことができる（ライトアップ）。一般に、ＭＡＣは単体
で用いられることはなく、ＤＡＣと併用される。

【００２４】ＲＢＡＣは、複雑なアクセス制御ポリシを
より簡単に記述するためのもので、サブジェクトごとに
役割（ｒｏｌｅ）を割り当て、役割ごとにアクセス権を
割り当てることで、アクセス制御を行う。サブジェクト
はサブジェクトに割り当てられた役割の持つアクセス権
を持つ、役割は包含関係を持たせることも可能である。
アクセス制御そのものは、前記アクセス制御リストによ
って実現される。

【００２５】前記のアクセス制御に関する問題の第１
は、スーパユーザ権限を廃し、システム管理に関する権
限を複数の権限に分散するといった実装上の工夫で、あ
る程度の効果は期待できる。しかし、一般に、少数の管
理者によって管理されているコンピュータシステムがほ
とんどであり、単に複数の権限に分散しても、その効果
には限界がある。例えば、信頼のできる回線を経由して
システムにログインしているか否か、システム管理者が
正しいログイン手続きでシステムにログインしているか
否か、不正に置き換えられたプログラムからシステムを
制御しようとしていないかどうか、などの実行コンテキ
ストを活用しなければ、システム管理者の権限を順次奪
取し、最終的にシステムに関する全ての権限を奪取され
る危険性がある。実行コンテキストの活用は公知の技術
には含まれない。

【００２６】前記のアクセス制御に関する問題の第２に
ついては、定期的にファイルシステムやメモリ領域を走
査し、別に安全に保管されたチェックサム等によって検
査する手法が公知の技術として用いられている。しか
し、検査プログラムの置き換え、走査間隔にかからない
置き換え、ログファイルや一時的ファイルの格納領域の
存在など、プログラムやファイルの置き換えが発覚しな
いこともあり得る。

【００２７】前記のアクセス制御に関する問題の第３
は、公知の技術である前記アクセス行列モデルやＭＡＣ
では解決できない。なぜなら、アクセス行列モデルで
は、サブジェクト、オブジェクト、および、アクセス行
列の全てが信頼できる場合にのみ正しく働き、システム
管理者以外がサブジェクトの集合Ｓに自由にサブジェク
トを登録したり、アクセス種別を自由に追加することは
許されないからである。ＭＡＣについても同様である。

【００２８】前記のアクセス制御に関する問題の第４に
ついて、退化させた形ではないアクセスリストやケーパ
ビリティリストによって解決するためには、サブジェク
トやオブジェクトを詳細に分類し、それによってアクセ
スリストの設定や、ケーパビリティリストの設定および
ケーパビリティの譲渡の制御を行う必要がある。例え
ば、利用者ｕがプログラムｐを動作させる場合には、Ａ
［ｕ，ｏ］とＡ［ｐ，ｏ］を管理するだけではなく、Ａ
［ｕ∧ｐ，ｏ］をも管理する必要がある。このため、ア
クセスを許す全ての組合せについてアクセス制御の設定
を行うためには、膨大な記述が必要となり、現実的では
ない。

【００２９】また、サブジェクトやアクセス種別をシス
テム管理者以外が自由に追加することは許されないた
め、任意のサブジェクトに対して、権限を制限すること
が難しくなっている。ＭＡＣを併用したとしても、不正
なプログラムがシステムにインストールされることを防
止することはできず、想定外のファイルがアクセスされ
得ることにかわりはない。このため、アプリケーション
やデータが信頼できない局面を積極的には取り扱うこと
ができない。

【００３０】特開平９−３１９６５９号公報に開示され
ている技術では、ＭＡＣ領域を重複しない領域に分割す
ることで、前記問題の第４をＭＡＣを利用して解決する
ものである。しかし、前記問題の第１、第３を解決する
ものではない。

【００３１】米国特許５、８６４、６８３は、システム
内に完全に分離された保護ドメインを置き、その保護ド
メイン内にあるサブジェクトからアクセス可能なオブジ
ェクトの集合を定義することで、前記問題の第１と第４
を解決するものである。しかし、前記問題の第２、第３
を解決するものではない。

【００３２】本発明は、このような背景に行なわれたも
のであって、コンピュータシステムにおけるアクセス制
御おいて、アクセス対象であるオブジェクトおよびアク
セス主体であるサブジェクトを詳細に分類し、その分類
に基づいて特有の制限を強制的に加えることを可能とす
るアクセス制御方法およびアクセス制御装置を提供する
ことを目的とする。本発明は、単一の特権利用者を排除
し、プログラムの乗っ取りによる被害を最小限にとど
め、もしくは、プログラムの乗っ取りを排除し、システ
ム全体で統一したアクセス制御を提供することでコンピ
ュータシステムのセキュリティを高めることができるア
クセス制御方法およびアクセス制御装置を提供すること
を目的とする。

【００３３】

【課題を解決するための手段】本発明の方法は、アクセ
ス主体であるサブジェクトはサブジェクトの権限をあら
わすケーパビリティリストを保持し、アクセス対象であ
るオブジェクトはオブジェクトのアクセスを許可するた
めに必要なケーパビリティの条件をあらわすアクセス制
御リストを保持し、ケーパビリティリスト中のケーパビ
リティの少なくとも１つが、アクセス制御リスト中のア
クセス許可に必要なケーパビリティの条件の少なくとも
１つを満たすとき、オブジェクトヘのアクセスが許可さ
れ、オブジェクトヘのアクセスが許可された場合に、オ
ブジェクトごとに定義されたケーパビリティ強制の指定
に基づいて、サブジェクトが持つケーパビリティを強制
的に変更することで、サブジェクトからアクセス可能な
権限の範囲を制限することを含む。

【００３４】本発明によれば、サブジェクトは、サブジ
ェクト自体が保持するケーパビリティを廃棄すること
と、ケーパビリティの権限を弱めることのみが可能であ
るため、サブジェクトはアクセスしようとしているオブ
ジェクトによって強制されたケーパビリティを利用せざ
るを得ない。サブジェクトの権限は、アクセスしたオブ
ジェクトによって制限を受けて動的に変化し、オブジェ
クトごとにアクセス可能な範囲を制限することができ
る。

【００３５】加えて、ケーパビリティとして、属性（属
性名と属性値との組）の可変長リストを用い、ケーパビ
リティ強制の指定として、アクセス権の削除の指定と、
属性の追加もしくは上書きの指定を用いる。これによっ
て、ケーパビリティ強制は属性リストの操作に置き換え
られ、属性リストを観察することで、サブジェクトの権
限の由来をトレースすることができる。

【００３６】さらに、ケーパビリティ強制時に、サブジ
ェクトに関する情報に基づいてサブジェクトを認証し、
その認証結果に基づいてケーパビリティ強制を行う。属
性名に対する認証サーバを置くことで、その属性名を強
制するときにサブジェクトの認証が行われるため、認証
をするかどうかの選択や認証アルゴリズムの選択がシス
テム管理のポリシによって自由に行うことができる。

【００３７】ケーパビリティ中の属性としては、何らか
の制限があるわけではなく、利用者、アプリケーション
種別、情報の起源（信頼のおけるサイト／信頼のおけな
いサイト／ローカルなど）、セキュリティレベルなどだ
けではなく、ＣＰＵ使用率、ネットワーク帯域使用率、
子プロセス数の最大数など、オペレーティングシステム
上で資源として扱えるものやアクセスを制限するための
判断に利用できるものは、ケーパビリティ中の属性とし
て利用できる。

【００３８】また、アクセス制御リスト中の要素として
は、アクセス許可に必要なケーパビリティだけではな
く、アクセス許可に必要なケーパビリティの属性の条件
も含まれ、オブジェクトをアクセスするためにはある属
性値がある値より大きい、などといった表現も利用でき
る。

【００３９】そして、ケーパビリティ強制の記述として
は、属性を追加するだけではなく、オブジェクトをアク
セスすると、ある属性値が１ずつ減じられる、といった
強制もできる。

【００４０】すなわち、本発明の第一の観点は、コンピ
ュータシステム用のアクセス制御方法であって、本発明
の特徴とするところは、前記コンピュータシステムおよ
び前記コンピュータシステム中のデータベースに存在す
るアクセス可能なあらゆるオブジェクトのひとつひとつ
に対するアクセス制御情報を記憶する第一のステップ
と、前記コンピュータシステムを使用中の特定のサブジ
ェクトから特定のオブジェクトへのアクセス許可を決定
する第二のステップと、この第二のステップによって決
定された前記アクセス許可の範囲内に限定し、前記サブ
ジェクトから前記オブジェクトへのアクセス要求を受理
する第三のステップと、前記サブジェクトが保持するケ
ーパビリティリストに対して前記オブジェクトヘの前記
アクセス要求におけるケーパビリティの強制を行う第四
のステップとを備えたところにある。

【００４１】前記アクセス許可を決定するための情報と
して、前記サブジェクトがアクセスしようとしているオ
ブジェクトおよびそのアクセス種別と、前記オブジェク
トのアクセス制御情報と、前記サブジェクトが保持する
ケーパビリティリストとを用い、前記アクセス制御情報
として、アクセス種別と、アクセス許可に必要なケーパ
ビリティの条件と、アクセスが許可されたときに強制さ
れるケーパビリティとの組をエントリとするアクセス制
御リストを含み、前記アクセス許可を決定するための情
報に、当該アクセス種別におけるアクセス許可に必要な
ケーパビリティの条件を満たす当該サブジェクトが保持
しているケーパビリティリスト中の有効なケーパビリテ
ィと当該オブジェクトのアクセス制御リスト中のエント
リとの組合せが少なくとも１つは存在する場合にのみ当
該オブジェクトのアクセスが許可されることが望まし
い。

【００４２】前記ケーパビリティリスト中の任意のケー
パビリティを前記サブジェクト自体が変更する場合に
は、ケーパビリティを廃棄するかあるいはケーパビリテ
ィを弱めることが限定的に認められることが望ましい。

【００４３】前記アクセスが許可されたときに強制され
るケーパビリティの指定として、強制される前のケーパ
ビリティリストを入力とし、強制された後のケーパビリ
ティリストを出力するケーパビリティ強制関数を含むこ
とが望ましい。

【００４４】前記ケーパビリティリスト中のケーパビリ
ティおよび前記アクセス許可に必要なケーパビリティ
を、属性名と属性値とを組とした可変長のリストとして
構成し、前記アクセス許可に必要なケーパビリティの条
件を、ケーパビリティに含まれる属性名および属性値の
条件の可変長のリストとして構成し、前記ケーパビリテ
ィ強制関数を、ケーパビリティに強制的に追加もしくは
上書きする属性名と属性値とを組とした可変長のリスト
として構成し、もしくは、ケーパビリティに強制的に施
される演算として定義し、前記ケーパビリティを弱める
ときには、ケーパビリティの権限を削除する、あるい
は、ケーパビリティに属性名と属性値との組を追加する
ことによって行なうことが望ましい。

【００４５】前記第四のステップに換えて、前記ケーパ
ビリティに強制的に追加もしくは上書きする属性名およ
び属性値に基づいて、前記サブジェクトが保持する情報
と、前記サブジェクトから指定された情報と、前記サブ
ジェクトごとに固有の前記コンピュータシステムが保持
する情報とから認証に必要な情報を収集する第五のステ
ップと、この第五のステップで収集された情報と、あら
かじめ設定されたサブジェクトの正当性を検証するため
の情報とから前記サブジェクトの正当性を検証する第六
のステップと、この第六のステップでの検証結果に基づ
いて、属性名および属性値を前記ケーパビリティリスト
中のケーパビリティに強制的に追加、もしくは、上書き
する第七のステップとを備えることもできる。

【００４６】本発明の第二の観点は、コンピュータシス
テム用のアクセス制御装置であって、本発明の特徴とす
るところは、前記コンピュータシステムおよび前記コン
ピュータシステム中のデータベースに存在するアクセス
可能なあらゆるオブジェクトのひとつひとつに対するア
クセス制御情報を記憶する手段と、前記コンピュータシ
ステムを使用中の特定のサブジェクトから特定のオブジ
ェクトへのアクセス許可を決定する手段と、このアクセ
ス許可を決定する手段によって決定された前記アクセス
許可の範囲内に限定し、前記サブジェクトから前記オブ
ジェクトへのアクセス要求を受理する手段と、前記サブ
ジェクトが保持するケーパビリティリストに対して前記
オブジェクトヘの前記アクセス要求におけるケーパビリ
ティの強制を行う手段とを備えるところにある。

【００４７】前記アクセス許可を決定するための情報と
して、前記サブジェクトがアクセスしようとしているオ
ブジェクトおよびそのアクセス種別と、前記オブジェク
トのアクセス制御情報と、前記サブジェクトが保持する
ケーパビリティリストとを用い、前記アクセス制御情報
として、アクセス種別と、アクセス許可に必要なケーパ
ビリティの条件と、アクセスが許可されたときに強制さ
れるケーパビリティとの組をエントリとするアクセス制
御リストを含み、前記アクセス許可を決定する手段は、
前記アクセス許可を決定するための情報に、当該アクセ
ス種別におけるアクセス許可に必要なケーパビリティの
条件を満たす当該サブジェクトが保持しているケーパビ
リティリスト中の有効なケーパビリティと当該オブジェ
クトのアクセス制御リスト中のエントリとの組合せが少
なくとも１つは存在する場合にのみ当該オブジェクトの
アクセスを許可する手段を含むことが望ましい。

【００４８】前記ケーパビリティリスト中の任意のケー
パビリティを前記サブジェクト自体が変更する手段が設
けられ、この変更する手段は、ケーパビリティを廃棄す
る手段と、ケーパビリティを弱める手段とを備えること
が望ましい。

【００４９】前記アクセスが許可されたときに強制され
るケーパビリティの指定として、強制される前のケーパ
ビリティリストを入力とし、強制された後のケーパビリ
ティリストを出力するケーパビリティ強制関数を含むこ
とが望ましい。

【００５０】前記ケーパビリティリスト中のケーパビリ
ティおよび前記アクセス許可に必要なケーパビリティを
属性名と属性値とを組とした可変長のリストとして構成
し、前記アクセス許可に必要なケーパビリティの条件を
ケーパビリティに含まれる属性名と属性値の条件の可変
長のリストとして構成し、前記ケーパビリティ強制関数
を、ケーパビリティに強制的に追加もしくは上書きする
属性名と属性値とを組とした可変長のリストとして構成
し、もしくは、ケーパビリティに強制的に施される演算
として定義し、前記ケーパビリティを弱める手段は、ケ
ーパビリティの権限を削除する手段と、ケーパビリティ
に属性名と属性値との組を追加する手段とを含むことが
望ましい。

【００５１】あるいは、前記ケーパビリティの強制を行
なう手段に換えて、前記ケーパビリティに強制的に追加
もしくは上書きする属性名および属性値に基づいて、前
記サブジェクトが保持する情報と、前記サブジェクトか
ら指定された情報と、前記サブジェクトごとに固有の前
記コンピュータシステムが保持する情報とから認証に必
要な情報を収集する手段と、この収集する手段により収
集された情報とあらかじめ設定されたサブジェクトの正
当性を検証するための情報とから前記サブジェクトの正
当性を検証する手段とを備え、前記ケーパビリティを強
制する手段は、この正当性を検証する手段による検証結
果に基づいて属性名および属性値を前記ケーパビリティ
リスト中のケーパビリティに強制的に追加もしくは上書
きする手段を含む構成とすることもできる。

【００５２】本発明の第三の観点は、所定のハードウェ
アと、このハードウェアにインストールされた所定の基
本ソフトウェアとを備えたコンピュータ装置に、さらに
インストールすることによりそのコンピュータ装置に本
発明のアクセス制御方法を実行させるソフトウェアある
いはそのコンピュータ装置を本発明のアクセス制御装置
に相応する装置とするソフトウェアが記録された記録媒
体である。

【００５３】

【発明の実施の形態】本発明実施例のアクセス制御装置
の構成を図１、図３、図６を参照して説明する。図１は
本発明実施例のシステム全体のブロック構成図である。
図３は本発明実施例のアクセス制御部のブロック構成図
である。図６は本発明実施例の認証サーバを用いるアク
セス制御部のブロック構成図である。

【００５４】本発明は、図１に示すように、コンピュー
タシステム用のアクセス制御装置であって、本発明の特
徴とするところは、図３および図６に示すように、前記
コンピュータシステムおよび前記コンピュータシステム
中のデータベースに存在するアクセス可能なあらゆるオ
ブジェクトのひとつひとつに対するアクセス制御情報を
記憶するＡＣＬレポジトリ３４と、前記コンピュータシ
ステムを使用中の特定のサブジェクトから特定のオブジ
ェクトへのアクセス許可を決定するアクセス権限検査部
３６と、このアクセス権限検査部３６によって決定され
た前記アクセス許可の範囲内に限定し、前記サブジェク
トから前記オブジェクトへのアクセス要求を受理する要
求受理部５と、前記サブジェクトが保持するケーパビリ
ティリストに対して前記オブジェクトヘの前記アクセス
要求におけるケーパビリティの強制を行うケーパビリテ
ィ強制部３８とを備えたところにある。

【００５５】前記アクセス許可を決定するための情報と
して、前記サブジェクトがアクセスしようとしているオ
ブジェクトおよびそのアクセス種別と、前記オブジェク
トのアクセス制御情報と、前記サブジェクトが保持する
ケーパビリティリストとを用い、前記アクセス制御情報
として、アクセス種別と、アクセス許可に必要なケーパ
ビリティの条件と、アクセスが許可されたときに強制さ
れるケーパビリティとの組をエントリとするアクセス制
御リストを含み、アクセス権限検査部３６は、前記アク
セス許可を決定するための情報に、当該アクセス種別に
おけるアクセス許可に必要なケーパビリティの条件を満
たす当該サブジェクトが保持しているケーパビリティリ
スト中の有効なケーパビリティと当該オブジェクトのア
クセス制御リスト中のエントリとの組合せが少なくとも
１つは存在する場合にのみ当該オブジェクトのアクセス
を許可する。

【００５６】ケーパビリティリスト保持部４は、前記ケ
ーパビリティリスト中の任意のケーパビリティを前記サ
ブジェクト自体の要求により変更することができる。こ
の変更は、ケーパビリティを廃棄する、あるいは、ケー
パビリティを弱めることにより行なう。

【００５７】前記アクセスが許可されたときに強制され
るケーパビリティの指定として、強制される前のケーパ
ビリティリストを入力とし、強制された後のケーパビリ
ティリストを出力するケーパビリティ強制関数を含む。

【００５８】前記ケーパビリティリスト中のケーパビリ
ティおよび前記アクセス許可に必要なケーパビリティを
属性名と属性値とを組とした可変長のリストとして構成
し、前記アクセス許可に必要なケーパビリティの条件を
ケーパビリティに含まれる属性名および属性値の条件の
可変長のリストとして構成し、前記ケーパビリティ強制
関数を、ケーパビリティに強制的に追加もしくは上書き
する属性名と属性値とを組とした可変長のリストとして
構成し、もしくは、ケーパビリティに強制的に施される
演算として定義し、ケーパビリティ強制部３８がケーパ
ビリティを弱めるときには、ケーパビリティの権限を削
除する、あるいは、ケーパビリティに属性名と属性値と
の組を追加することにより行なう。

【００５９】また、図６では、図３に示すケーパビリテ
ィ強制部３８に換えて、前記ケーパビリティに強制的に
追加もしくは上書きする属性名および属性値に基づい
て、前記サブジェクトが保持する情報と、前記サブジェ
クトから指定された情報と、前記サブジェクトごとに固
有の前記コンピュータシステムが保持する情報とから認
証に必要な情報を収集する認証情報収集部４２と、この
認証情報収集部４２により収集された情報とあらかじめ
設定されたサブジェクトの正当性を検証するための情報
とから前記サブジェクトの正当性を検証する認証サーバ
２とを備え、ケーパビリティ強制部４０は、この認証サ
ーバ２による検証結果に基づいて属性名および属性値を
前記ケーパビリティリスト中のケーパビリティに強制的
に追加もしくは上書きする。

【００６０】本発明実施例のアクセス制御装置は、所定
のハードウェアと、このハードウェアにインストールさ
れた所定の基本ソフトウェアとを備えたコンピュータ装
置に、さらにインストールすることによりそのコンピュ
ータ装置を本発明のアクセス制御装置に相応する装置と
するソフトウェアが記録された記録媒体によりコンピュ
ータ装置に当該ソフトウェアをインストールすることに
より実現する。これにより、当該コンピュータ装置は、
本発明のアクセス制御方法を実行する。

【００６１】以下では、本発明実施例をさらに詳細に説
明する。

【００６２】図１は本発明の実施の形態を示したもので
ある。本形態では、本発明によるアクセス制御方法はオ
ペレーティングシステム１３内に実現されている。プロ
セス１から発行されるすべてのアクセス要求６は、アク
セス制御部３にて本発明によるアクセス制御がなされ、
ここで許可されたアクセス要求８のみがオペレーティン
グシステムの残りの部分で処理される。本形態によれ
ば、アクセス制御を実現する部分の独立性が強まり、本
発明によるアクセス制御方法を実現するためのオペレー
ティングシステムの改造を少なく済ませることができ
る。

【００６３】なお、本出願では基盤となるオペレーティ
ングシステムとしてＵＮＩＸおよびＵＮＩＸ互換のオペ
レーティングシステムでの実施の形態を示しているが、
本発明の適用可能な範囲はＵＮＩＸおよびＵＮＩＸ互換
のオペレーティングシステムに限られるものではない。
また、シングルプロセサシステム、マルチプロセサシス
テム、分散コンピューティングシステムなど、ハードウ
ェアアーキテクチャに依存するものでもない。

【００６４】本形態においては、サブジェクト（アクセ
ス主体）はプロセス（オペレーティングシステム上で動
作中のプログラムで、オペレーティングシステムが提供
する資源を割り当てる単位）であり、オブジェクト（ア
クセス対象）はファイルやそれ以外のオペレーティング
システムが提供する資源である。ケーパビリティリスト
保持部４はシステム上の保護されたメモリ領域上に置か
れる。

【００６５】プロセス１は、自プロセスが保持するケー
パビリティリスト保持部４中のどのケーパビリティかを
指し示すことはできるが、ケーパビリティの内容を直接
アクセスしたり、変更したりすることはできない。プロ
セス１は、自プロセスが保持しているケーパビリティに
て、ケーパビリティの複製を他のプロセスに渡すこと
（ただし、ケーパビリティ中の権限で許されている場合
に限られる）と、ケーパビリティを削除することと、ケ
ーパビリティを弱めることが可能である。

【００６６】プロセスの複製が生成された場合、すなわ
ち、子プロセスが生成された場合、親プロセスのケーパ
ビリティリストがコピーされて子プロセスに引き継がれ
る。新たなプログラムが読み込まれ起動される場合に
は、ケーパビリティリスト中の個々のケーパビリティの
持つ権限に依存して、ケーパビリティが引き継がれるか
否かが決まる。

【００６７】（ケーパビリティ）図２はケーパビリティ
の実施例である。ケーパビリティ中の権限２２の例を以
下に示す。

【００６８】ｄ（ｄｕｐｌｉｃａｔｅ／ｍｏｄｉｆ
ｙ）：ケーパビリティの複製を他のプロセスに渡した
り、ケーパビリティの権限フィールドから任意の権限を
取り除いたり、新たなプログラムを起動したときにケー
パビリティを引き継ぐための権限。 ａ（ａｌｌｏｃａｔｅ）：資源割り当て権限。ケーパビ
リティ中にこの権限が設定されていない場合には、資源
の割り当てが必要な要求（ファイルの生成、ファイルサ
イズの追加書き込み、プロセスの生成など）は許可され
ない。 ｒ（ｒｅａｄ）：読み取り楕限。ファイルなどからデー
タを読み取る権限。 ｗ（ｗｒｉｔｅ）：書き込み権限。ファイルなどへデー
タを（上書きで）書き込む権限。 ｘ（ｅｘｅｃｕｔｅ）：実行権限。ファイルをプログラ
ムとして実行する権限、ディレクトリを検索する権限、
ソケット（通信の端点）を作成する権限。

【００６９】ケーパビリティ中のｃｉｄ２３のもっとも
簡単な例としては、ｕｉｄ（利用者識別子）、ｇｉｄ
（利用者グループの識別子）がある。ｃｉｄ中では、ｕ
ｉｄはそのまま、ｇｉｄはｃｉｄ＝−（ｇｉｄ＋１）と
して扱う。ケーパビリティはオペレーティングシステム
によって保護されているので、暗号化をする必要はな
い。より一般的な例としては、システム内で一意な数を
生成し、特定のオブジェクトへの権限（の集合）にその
数を割り当てる方法もある。

【００７０】本形態においては、ケーパビリティの表記
として、権限を表す文字列とｕｉｄもしくはｇｉｄの値
を［］で囲んだものを用いる。

【００７１】例えば、ケーパビリティリストとして ［ｄａｒｗｘ ｕｉｄ＝２０１〕〔ｄａｒｗｘ ｇｉｄ
＝３１］ を保持するプロセスは、ｕｉｄ＝２０１、ｇｉｄ＝３１
としての全ての権限を行使することができる。 ［−−ｒ−− ｕｉｄ＝９〕［−ａ−ｗ− ｕｉｄ＝２
０１］［−ａ−ｗ− ｇｉｄ＝３１］ を保持するプロセスは、ｕｉｄ＝９としては読み取り権
限のみを、ｕｉｄ＝２０１、ｇｉｄ＝３１としては資源
割り当て権限と書き込み権限のみを、行使することがで
きる。このプロセスは実行権限を保持しないため、新た
なプログラムを起動することはできない。 ［−ａｒ−ｘ ｕｉｄ＝９］［−ａｒ−ｘ ｇｉｄ＝
９〕 を保持するプロセスは、ｕｉｄ＝９、ｇｉｄ＝９として
は資源割り当て権限、読み取り権限、実行権限を行使す
ることができる。このプロセスはケーパビリティの複製
権限を保持しないため、このプロセス内で新たなプログ
ラムを起動したとしても、ケーパビリティリストが空の
プロセスとなる。このようなケーパビリティリストを持
ったプロセスを乗っ取ったとしても、何らかの有益な情
報を得るプログラムを起動することはできないであろ
う。すなわち、必要最小限の権限に設定することで、プ
ログラムが乗っ取られたとしても、被害を最小限に食い
止めることが可能となる。後述するケーパビリティ強制
はこのようなケーパビリティリストの設定を、強制的に
実施するものである、

【００７２】（アクセス制御の処理の流れ）以下では図
３に沿ってアクセス制御の流れを記述する。はじめにＡ
ＣＬレポジトリ３４の設定を行う。ＡＣＬレポジトリ３
４にはオブジェクトごとのアクセス制御リストが格納さ
れており、アクセス制御リストはオブジェクト識別子３
１によって検索することができる。アクセス制御リスト
はシステムが動作中に変更を行うことも許可される。こ
のため、アクセス制御リスト自体もオブジェクトとして
扱われる。

【００７３】オペレーティングシステム１３がプロセス
１からのアクセス要求６を受け付けると、アクセス対象
となるオブジェクトをオブジェクト識別子３１に変換
し、ＡＣＬレポジトリ３４を検索し、オブジェクトのア
クセス制御リスト３５を取り出す。引き続き、アクセス
制御リスト３５と、アクセス種別３２と、プロセスが保
持するケーパビリティリスト７との３つの情報から、オ
ブジェクトへのアクセスを許可すべきかどうかを決定す
る（３６）。

【００７４】オペレーティングシステムがオブジェクト
へのアクセスを許可する場合には、アクセス制御リスト
中のケーパピリティ強制関数のリスト３７を用いて、プ
ロセスが保持するケーパビリティリスト７から強制され
たケーパビリティリスト１０を求め（４０）、プロセス
のケーパビリティリストとする。

【００７５】（アクセス制御リストとケーパビリティ強
制）図４はアクセス制御リストのエントリの例である。
アクセス制御リストのエントリ中のアクセス権６２の例
を以下に示す。

【００７６】ｍ（ｍｏｄｉｆｙ）：アクセス制御リスト
を変更できる権限。 ａ（ａｌｌｏｃａｔｅ）：資源割り当て権限。アクセス
制御リストにこの権限がない場合には、資源の割り当て
が必要な要求（ディレクトリヘのファイルの登録、ファ
イルサイズの拡大、プロセスの生成など）は拒絶され
る。 ｒ（ｒｅａｄ）：読み取り権限。ファイルなどからデー
タを読み取る権限。 ｗ（ｗｒｉｔｅ）：書き込み権限。ファイルなどへデー
タを書き込む権限。 ｘ（ｅｘｅｃｕｔｅ）：実行権限。ファイルをプログラ
ムとして実行する権限、ディレクトリを検索する権限、
ソケット（通信の端点）を作成する権限。

【００７７】アクセス制御リストを変更できる権限を有
効とするためには、少なくともケーパビリティ中の権限
に全ての権限を含んでいなければならない。それ以外の
資源割り当て権限、読み取り権限、書き込み権限、実行
権限を有効とするためには、少なくともケーパビリティ
中の権限と対応するアクセス制御リストでのアクセス権
の両者が設定されていなければならない。また、新たに
ファイルなどのオブジェクトを生成した場合に設定され
るアクセス制御リストでのアクセス権は、対応するケー
パビリティ中の権限を超えることはできない。

【００７８】アクセス許可に必要なケーパビリティの条
件６３は、ケーパビリティ中の権限の条件やｃｉｄの条
件を論理式として記述する。多くの場合、アクセス種別
を表すアクセス権からケーパビリティ中の権限の条件は
一意に決定できるため、ケーパビリティ中の権限の条件
は省略できる。

【００７９】アクセス制御リスト中のケーパビリティ強
制関数６４の例を以下に示す。

【００８０】ｆ（ｆｌｕｓｈ）：ケーパビリティリスト
を空にする。 ｉ（ｉｎｓｅｒｔ）：ケーパビリティリストに引数のケ
ーパビリティを追加する。 ｍ（ｍｏｄｉｆｙ）：引数のケーパビリティのｃｉｄと
同じｃｉｄを持つケーパビリティリスト中のケーパビリ
ティについて、権限の論理積をとる。 ，（ｃｏｎｃａｔｅｎａｔｅ）：関数を前から順に適用
する。

【００８１】本形態においては、アクセス制御リストの
表記として、アクセス権を表す文字列、ｕｉｄもしくは
ｇｉｄの値、：に引き続いてケーパビリティ強制関数を
記述したものを用いる。

【００８２】（アクセス制御リストの例） ｍａｒｗ− ｕｉｄ＝２０１ が指定されているオブジェクトは、ｕｉｄ＝＝２０１を
満たすケーパビリティを持つプロセスによってアクセス
可能であり、アクセス制御リストの変更、資源の割り当
て、読み取り、書き込みが可能である。

【００８３】ｍａｒｗｘ ｕｉｄ＝１０ が指定されているディレクトリは、ｕｉｄ＝１０を満た
すケーパビリティを持つプロセスによってアクセス可能
であり、アクセス制御リストの変更、ファイルの登録、
読み取り、ファイル名の変更やファイルの削除、ディレ
クトリの検索が可能である。 −ａｒ−ｘ ｕｉｄ＝２０１ が指定されているディレクトリは、ｕｉｄ＝２０１を満
たすケーパビリティを持つプロセスによってアクセス可
能であり、ファイルの登録、読み取り、ファイル名の変
更、ディレクトリの検索が可能である。 −−−ｘ ａｎｙ ：［−ａ−ｗ− ａｎｙ］，ｉ［−
−ｒ−− ｕｉｄ＝９］ が指定されているオブジェクトは、任意の実行権限を含
むケーパビリティを持つプロセスによって実行可能であ
り、このオブジェクトを実行すると、プロセスが持つ全
てのケーパビリティは、その権限と−ａ−ｗ−の論理積
がとられたものに修正され、ｕｉｄ＝９の読み取り権限
のケーパビリティがケーパビリティリストに追加され
る。プロセスの持つケーパビリティリストが ［ｄａｒｗｘ ｕｉｄ＝２０１］［ｄａｒｗｘ ｇｉｄ
＝３１］ であるならば、ケーパビリティ強制によって、 ［−−ｒ−− ｕｉｄ＝９〕［−ａ−ｗ− ｕｉｄ＝２
０１］［−ａ−ｗ− ｇｉｄ＝３１］ となる。

【００８４】（属性によるケーパビリティ）本発明で
は、ケーパビリティの表現として属性（属性名と属性値
との組）の可変長のリストを用いる方法も提案してい
る。これは、ｃｉｄのフィールド２３を属性リストに置
き換えることで実現できる。例を図５に示す。

【００８５】属性としてどのようなものを用いるかには
制限はなく、アクセスを制限するための判断に利用でき
るものは属性として利用できる。また、システムが提供
する属性だけではなく、利相者が自由に定義できる属性
を利用することも可能である。属性の例を以下に示す。 利用者識別子（ｕｉｄ）：システムの利用者ごとに割り
当てられた識別番号。 利用者グループ識別子（ｇｉｄ）：システムの利用者グ
ループごとに割り当てられた識別番号。 プログラム識別子（ｐｒｏｇｉｄ）：プログラムごとに
割り当てられた識別番号。 アプリケーション識別子（ａｐｐｌｉｄ）：アプリケー
ションの種類（アプリケーショングループ）ごとに割り
当てられた識別番号。 情報起源識別子（ｏｒｉｇｉｄ）：情報の起源ごとに割
り当てられた識別番号。信頼のおけるサイト／信頼のお
けないサイト／ローカルなどの区別を行う。表記上は情
報起源名（ｏｒｉｇ）としても扱う。 セキュリティレベル（ｓｌ）：機密分類を表し、一般
（ｕｎｃｌａｓｓｉｆｉｅｄ）、秘密（ｃｏｎｆｉｄｅ
ｎｔｉａｌ）、極秘（ｓｅｃｒｅｔ）、機密（ｔｏｐｓ
ｅｃｒｅｔ）などを考えることができる。 ＣＰＵ使用率（ｐｃｐｕ）：プロセスに対して予約され
たＣＰＶ使用率。 ネットワーク帯域使用率（ｐｎｗｂ）：プロセスに対し
て予約されたネットワーク帯域幅の使用率。 子プロセス数の最大数（ｎｐｒｏｃ）：プロセスが保持
できる子プロセスの最大値。 同時利用最大数（ｎｏｐｅｎ）：ファイルを同時に利用
できるプロセス数の最大値。 ファイル最大サイズ（ｆｓｉｚｅ）：生成可能なファイ
ルの最大値。

【００８６】属性によるケーパビリティの表記として
は、権限を表す文字列に引き続き、「属性名＝属性値の
リスト」を［］で囲んだものを用いる。

【００８７】（属性によるケーパビリティを用いた場合
のアクセス制御）ケーパビリティから１つ以上の権限を
削除したり、ケーパビリティへ１つ以上の属性を追加す
ることは、ケーパビリティを相対的に弱めるものと考え
る。そこで、「ケーパビリティＣ１がケーパビリティＣ
２より弱い」ということを「Ｃ１≠Ｃ２、かつ、Ｃ２に
含まれる全ての属性をＣ１が含み、かつ、Ｃ１に含まれ
る全ての権限をＣ２が含む」と定義する。例えば、ケー
パビリティ［ｒｉｇｈｔｓｘ，ｙ，ｚ］は［ｒｉｇｈｔ
ｓ ｘ，ｙ］を弱めたものであり、もし、あるオブジェ
クトが［ｒｉｇｈｔｓ ｘ，ｙ，ｚ］でアクセス可能で
あるなら、［ｒｉｇｈｔｓ ｘ，ｙ］でも同様にアクセ
ス可能とする。言い換えると、［ｒｉｇｈｔｓ ｘ，
ｙ，ｚ］でアクセス可能なオブジェクトの集合は、［ｒ
ｉｇｈｔｓｘ，ｙ］の部分集合となっている。しかし、
このようなアクセスを許可した場合に、ケーパビリティ
の強制の効果が消えてしまうため、［ｒｌｇｈｔｓ
ｘ，ｙ］でアクセスした場合には、自動的にｚが強制さ
れるものとする。これを「暗黙の強制」と呼ぶ。

【００８８】属性によるケーパビリティを用いた場合の
ケーパビリティ強制関数の例を以下に示す。 ｆ（ｆｌｕｓｈ）：ケーパビリティリストを空にする。 ｉ（ｉｎｓｅｒｔ）：ケーパビリティリストに引数のケ
ーパビリティを追加する。 ｍ（ｍｏｄｉｆｙ）：ケーパビリティリスト中の各々の
ケーパビリティについて、引数のケーパビリティの権限
との論理積をとり、引数のケーパビリティの属性を追加
する。すでに同じ属性名があるときはその属性名の属性
値が置き換えられる。 ，（ｃｏｎｃａｔｅｎａｔｅ）：関数を前から順に適用
する。

【００８９】アクセス許可に必要なケーパビリティの条
件としては、ケーパビリティ中の権限の条件や属性に関
する条件を論理式として記述する。多くの場合には、ア
クセス種別を表すアクセス権からケーパビリティ中の権
限の条件は一意に決定できるため、ケーパビリティ中の
権限の条件は省略できる。

【００９０】（属性の認証を伴うアクセス制御の処理の
流れ）本発明では、ケーパビリティの強制（３８）を行
う際に、サブジェクトに関する情報に基づいてサブジェ
クトを認証し、その認証結果に基づいてケーパビリティ
強制を行う方法も提案している。以下では図６に沿って
アクセス制御の流れを記述する。

【００９１】はじめにＡＣＬレポジトリ３４の設定を行
う。ＡＣＬレポジトリ３４にはオブジェクトごとのアク
セス制御リストが格納されており、アクセス制御リスト
はオブジェクト識別子３１によって検索することができ
る。アクセス制御リストはシステムが動作中に変更を行
うことも許可される。このため、アクセス制御リスト自
体もオブジェクトとして扱われる。

【００９２】オペレーティングシステム１３がプロセス
１からのアクセス要求６を受け付けると、アクセス対象
となるオブジェクトをオブジェクト識別子３１に変換
し、ＡＣＬレポジトリ３４を検索し、オブジェクトのア
クセス制御リスト３５を取り出す。引き続き、アクセス
制御リスト３５と、アクセス種別３２と、プロセスが保
持するケーパビリティリスト７との３つの情報から、オ
ブジェクトへのアクセスを許可できるかどうかを判断す
る（３６）。

【００９３】オブジェクトヘのアクセスが許可できると
判断した場合には、アクセス制御リスト中のケーパビリ
ティ強制関数のリスト３７をプロセスが保持するケーパ
ビリティリスト７に適用する（３８）。ケーパビリティ
強制関数には、以下の四つが含まれる。ｆ（ｆｌｕｓ
ｈ）ケーパビリティリストを空にする。ｉ（ｉｎｓｅｒ
ｔ）ケーパビリティリストに引数のケーパビリティを追
加する。ｍ（ｍｏｄｉｆｙ／ａｕｔｈｅｎｔｉｃａｔ
ｅ）認証が不要な属性の場合には、ケーパビリティリス
ト中の各々のケーパビリティについて、引数のケーパビ
リティの権限との論理積をとり、引数のケーパビリティ
の属性を追加する。認証が必要な属性の場合には、ケー
パビリティリスト中の各々のケーパビリティについて、
引数のケーパビリティの属性を扱う認証サーバ２を呼出
し、認証が成功すれば、ケーパビリティにその属性を追
加し、引数のケーパビリティの権限との論理積をとる。
もし、認証が失敗したときは、ケーパビリティ強制に失
敗したとする。，（ｃｏｎｃａｔｅｎａｔｅ）関数を前
から順に適用する。

【００９４】ケーパビリティ強制に失敗した場合には、
オブジェクトヘのアクセスを不許可とする。そうでない
場合には、強制されたケーパビリティリスト１０をプロ
セスのケーパビリティリストとし、オブジェクトへのア
クセスを許可する。

【００９５】認証サーバ２は属性名、属性値、その他の
認証に必要な情報１２を伴って呼び出される。そして、
認証サーバ自体が保持する認証用のデータと照合し、認
証を行い、結果１１を返す。

【００９６】（認証サーバ）認証すべき属性や強制の対
象となっているケーパビリティの持つ属性ごとに認証サ
ーバを置くこともできる。このようにする利点としては
以下の理由が含まれる。 （１）個々の認証サーバのプログラム規模を小さくする
ことで設計上およびコーディング上のバグが可能な限り
発生しないようにし、さらに、どれかひとつの認証サー
バが乗っ取られたとしても、被害を最小限にとどめるこ
とができる。 （２）ケーパビリティが持つ属性にあわせて、認証サー
バを用意することで、例えば、アプリケーションの種類
やセキュリティレベルにあわせて認証方法を選択するこ
とができる。

【００９７】認証サーバを実装する上では、オペレーテ
ィングシステムが持っている動作モードを利用し、メン
テナンス用モードまたはそれに相当する動作モードにお
いて認証サーバを立ち上げ、通常の動作モードにおいて
は、認証サーバの停止や立ち上げを許さないようにする
のが望ましい。また、認証サーバが利用する認証用のデ
ータも、メンテナンス用モードまたはそれに相当する動
作モードにおいてのみ任意の読み書きを許可し、通常の
動作モードにおいては、書き込み禁止、もしくは、上書
き禁止とするのが望ましい。

【００９８】前記のｕｉｄ、ｇｉｄ、ｐｒｏｇｉｄ、ａ
ｐｐｌｉｄ、ｏｒｉｇｉｄは、以下に示すように認証が
必要な属性として扱うことができる。 ｕｉｄ：ｕｉｄ認証サーバは、利用者名とパスワードな
どの利用者を特定できる情報を得て、利用者を認証する
ために認証サーバが保持しているデータと照合すること
で認証を行う。 ｇｉｄ：ｇｉｄ認証サーバは、ケーパビリティを入力と
し、そのケーパビリティ中のｕｉｄ属性を検証し、ｕｉ
ｄが属するグループに対するｇｉｄを返す。 ｐｒｏｇｉｄ：メモリ上に展開されたプログラムに対す
る電子的な署名を検証することで認証を行う。例えば、
プログラムコードのＭＤ５やＳＨＡ−１などのハッシュ
関数によるハッシュ値を認証サーバに送り、認証サーバ
では自身が保持するプログラム識別子とハッシュ値を照
合する。 ａｐｐｌｉｄ：ａｐｐｌｉｄ認証サーバは、ケーパビリ
ティを入力とし、そのケーパビリティ中のｐｒｏｇｉｄ
属性を検証し、ｐｒｏｇｉｄが属するアプリケーション
グループに対するａｐｐｌｉｄを返す。 ｏｒｉｇｉｄ：ｏｒｉｇｉｄ認証サーバは、プロセスが
アクセスしているファイル、デバイス、ソケットなどの
一覧を入力とし、どのような情報起源をアクセスしてい
るかを検証し、それに対するｏｒｉｇｉｄを返す。

【００９９】

【発明の効果】以上説明したように、本発明によれば、
コンピュータシステムにおけるアクセス制御おいて、ア
クセス対象であるオブジェクトおよびアクセス主体であ
るサブジェクトを詳細に分類し、その分類に基づいて特
有の制限を強制的に加えることを可能とする。これによ
り、単一の特権利用者を排除し、プログラムの乗っ取り
による被害を最小限にとどめ、もしくは、プログラムの
乗っ取りを排除し、システム全体で統一したアクセス制
御を提供することでコンピュータシステムのセキュリテ
ィを高めることができる。

【図面の簡単な説明】

【図１】本発明の実施形態によるシステム全体のブロッ
ク図。

【図２】本発明の実施形態によるケーパビリティを示す
図。

【図３】本発明の実施形態によるアクセス制御の処理の
流れを示すブロック図。

【図４】本発明の実施形態によるアクセス制御リストの
エントリを示す図。

【図５】本発明の実施形態による属性を含むケーパビリ
ティを示す図。

【図６】本発明の実施形態による属性の認証を伴うアク
セス制御の処理の流れを示すブロック図。

【符号の説明】

１ プロセス ２ 認証サーバ ３ アクセス制御部 ４ ケーパビリティリスト保持部 ５ 要求受理部 ６ アクセス要求 ７ オブジェクトのアクセス前のケーパビリティリスト ８ 許可されたアクセス要求 ９ アクセス許可フラグ １０ オブジェクトのアクセス検査後のケーパビリティ
リスト １１ 認証結果 １２ 認証に必要な情報のリスト １３ オペレーティングシステム ２２、５２ ケーパビリティ中の権限 ２３ ケーパビリティ識別子ｃｉｄ ３１ オブジェクト識別子 ３２ アクセス種別 ３４ ＡＣＬレポジトリ ３５ アクセス制御リスト ３６ アクセス権限検査部 ３７ ケーパビリティ強制関数のリスト ３８、４０ ケーパビリティ強制部 ４１ 属性名と属性値の組のリストとケーパビリティリ
スト ４２ 認証用情報収集部 ５１ ケーパビリティの全データ長 ５３ 属性値長１ ５４ 属性名１ ５５ 属性値１ ５６ 属性値長２ ５７ 属性名２ ５８ 属性値２ ６２ アクセス権 ６３ アクセス許可に必要なケーパビリティの条件 ６４ ケーパビリティ強制関数

Claims (14)

【特許請求の範囲】
1. 【請求項１】 コンピュータシステム用のアクセス制御
   方法であって、 前記コンピュータシステムおよび前記コンピュータシス
   テム中のデータベースに存在するアクセス可能なあらゆ
   るオブジェクトのひとつひとつに対するアクセス制御情
   報を記憶する第一のステップと、 前記コンピュータシステムを使用中の特定のサブジェク
   トから特定のオブジェクトへのアクセス許可を決定する
   第二のステップと、 この第二のステップによって決定された前記アクセス許
   可の範囲内に限定し、前記サブジェクトから前記オブジ
   ェクトへのアクセス要求を受理する第三のステップと、 前記サブジェクトが保持するケーパビリティリストに対
   して前記オブジェクトヘの前記アクセス要求におけるケ
   ーパビリティの強制を行う第四のステップとを備えるこ
   とを特徴とするアクセス制御方法。
2. 【請求項２】 前記アクセス許可を決定するための情報
   として、 前記サブジェクトがアクセスしようとしているオブジェ
   クトおよびそのアクセス種別と、 前記オブジェクトのアクセス制御情報と、 前記サブジェクトが保持するケーパビリティリストとを
   用い、 前記アクセス制御情報として、 アクセス種別と、 アクセス許可に必要なケーパビリティの条件と、 アクセスが許可されたときに強制されるケーパビリティ
   との組をエントリとするアクセス制御リストを含み、 前記アクセス許可を決定するための情報に、当該アクセ
   ス種別におけるアクセス許可に必要なケーパビリティの
   条件を満たす当該サブジェクトが保持しているケーパビ
   リティリスト中の有効なケーパビリティと当該オブジェ
   クトのアクセス制御リスト中のエントリとの組合せが少
   なくとも１つは存在する場合にのみ当該オブジェクトの
   アクセスが許可される請求項１記載のアクセス制御方
   法。
3. 【請求項３】 前記ケーパビリティリスト中の任意のケ
   ーパビリティを前記サブジェクト自体が変更する場合に
   は、 ケーパビリティを廃棄するかあるいはケーパビリティを
   弱めることが限定的に認められる請求項１または２記載
   のアクセス制御方法。
4. 【請求項４】 前記アクセスが許可されたときに強制さ
   れるケーパビリティの指定として、強制される前のケー
   パビリティリストを入力とし、強制された後のケーパビ
   リティリストを出力するケーパビリティ強制関数を含む
   請求項１または２記載のアクセス制御方法。
5. 【請求項５】 前記ケーパビリティリスト中のケーパビ
   リティおよび前記アクセス許可に必要なケーパビリティ
   を、属性名と属性値とを組とした可変長のリストとして
   構成し、 前記アクセス許可に必要なケーパビリティの条件を、ケ
   ーパビリティに含まれる属性名および属性値の条件の可
   変長のリストとして構成し、 前記ケーパビリティ強制関数を、ケーパビリティに強制
   的に追加もしくは上書きする属性名と属性値とを組とし
   た可変長のリストとして構成し、もしくは、ケーパビリ
   ティに強制的に施される演算として定義し、 前記ケーパビリティを弱めるときには、ケーパビリティ
   の権限を削除する、あるいは、ケーパビリティに属性名
   と属性値との組を追加することによって行なう請求項２
   ないし４のいずれかに記載のアクセス制御方法。
6. 【請求項６】 前記第四のステップに換えて、 前記ケーパビリティに強制的に追加もしくは上書きする
   属性名および属性値に基づいて、 前記サブジェクトが保持する情報と、 前記サブジェクトから指定された情報と、 前記サブジェクトごとに固有の前記コンピュータシステ
   ムが保持する情報とから認証に必要な情報を収集する第
   五のステップと、 この第五のステップで収集された情報と、あらかじめ設
   定されたサブジェクトの正当性を検証するための情報と
   から前記サブジェクトの正当性を検証する第六のステッ
   プと、 この第六のステップでの検証結果に基づいて、属性名と
   属性値を前記ケーパビリティリスト中のケーパビリティ
   に強制的に追加、もしくは、上書きする第七のステップ
   とを備える請求項１または５記載のアクセス制御方法。
7. 【請求項７】 コンピュータシステム用のアクセス制御
   装置であって、 前記コンピュータシステムおよび前記コンピュータシス
   テム中のデータベースに存在するアクセス可能なあらゆ
   るオブジェクトのひとつひとつに対するアクセス制御情
   報を記憶する手段と、 前記コンピュータシステムを使用中の特定のサブジェク
   トから特定のオブジェクトへのアクセス許可を決定する
   手段と、 このアクセス許可を決定する手段によって決定された前
   記アクセス許可の範囲内に限定し、前記サブジェクトか
   ら前記オブジェクトへのアクセス要求を受理する手段
   と、 前記サブジェクトが保持するケーパビリティリストに対
   して前記オブジェクトヘの前記アクセス要求におけるケ
   ーパビリティの強制を行う手段とを備えることを特徴と
   するアクセス制御装置。
8. 【請求項８】 前記アクセス許可を決定するための情報
   として、 前記サブジェクトがアクセスしようとしているオブジェ
   クトおよびそのアクセス種別と、 前記オブジェクトのアクセス制御情報と、 前記サブジェクトが保持するケーパビリティリストとを
   用い、 前記アクセス制御情報として、 アクセス種別と、 アクセス許可に必要なケーパビリティの条件と、 アクセスが許可されたときに強制されるケーパビリティ
   との組をエントリとするアクセス制御リストを含み、 前記アクセス許可を決定する手段は、前記アクセス許可
   を決定するための情報に、当該アクセス種別におけるア
   クセス許可に必要なケーパビリティの条件を満たす当該
   サブジェクトが保持しているケーパビリティリスト中の
   有効なケーパビリティと当該オブジェクトのアクセス制
   御リスト中のエントリとの組合せが少なくとも１つは存
   在する場合にのみ当該オブジェクトのアクセスを許可す
   る手段を含む請求項７記載のアクセス制御装置。
9. 【請求項９】 前記ケーパビリティリスト中の任意のケ
   ーパビリティを前記サブジェクト自体が変更する手段が
   設けられ、 この変更する手段は、 ケーパビリティを廃棄する手段と、 ケーパビリティを弱める手段とを備えた請求項７または
   ８記載のアクセス制御装置。
10. 【請求項１０】 前記アクセスが許可されたときに強制
    されるケーパビリティの指定として、強制される前のケ
    ーパビリティリストを入力とし、強制された後のケーパ
    ビリティリストを出力するケーパビリティ強制関数を含
    む請求項７ないし９のいずれかに記載のアクセス制御装
    置。
11. 【請求項１１】 前記ケーパビリティリスト中のケーパ
    ビリティおよび前記アクセス許可に必要なケーパビリテ
    ィを属性名と属性値とを組とした可変長のリストとして
    構成し、 前記アクセス許可に必要なケーパビリティの条件をケー
    パビリティに含まれる属性名および属性値の条件の可変
    長のリストとして構成し、 前記ケーパビリティ強制関数を、ケーパビリティに強制
    的に追加もしくは上書きする属性名と属性値とを組とし
    た可変長のリストとして構成し、もしくは、ケーパビリ
    ティに強制的に施される演算として定義し、 前記ケーパビリティを弱める手段は、 ケーパビリティの権限を削除する手段と、 ケーパビリティに属性名と属性値の組を追加する手段と
    を含む請求項８ないし１０のいずれかに記載のアクセス
    制御装置。
12. 【請求項１２】 前記ケーパビリティの強制を行なう手
    段に換えて、 前記ケーパビリティに強制的に追加もしくは上書きする
    属性名および属性値に基づいて、 前記サブジェクトが保持する情報と、 前記サブジェクトから指定された情報と、 前記サブジェクトごとに固有の前記コンピュータシステ
    ムが保持する情報とから認証に必要な情報を収集する手
    段と、 この収集する手段により収集された情報とあらかじめ設
    定されたサブジェクトの正当性を検証するための情報と
    から前記サブジェクトの正当性を検証する手段とを備
    え、 前記ケーパビリティを強制する手段は、この正当性を検
    証する手段による検証結果に基づいて属性名および属性
    値を前記ケーパビリティリスト中のケーパビリティに強
    制的に追加もしくは上書きする手段を含む請求項７また
    は１１記載のアクセス制御装置。
13. 【請求項１３】 所定のハードウェアと、このハードウ
    ェアにインストールされた所定の基本ソフトウェアとを
    備えたコンピュータ装置に、さらにインストールするこ
    とによりそのコンピュータ装置に請求項１ないし６のい
    ずれかに記載のアクセス制御方法を実行させるソフトウ
    ェアが記録された記録媒体。
14. 【請求項１４】 所定のハードウェアと、このハードウ
    ェアにインストールされた所定の基本ソフトウェアとを
    備えたコンピュータ装置に、さらにインストールするこ
    とによりそのコンピュータ装置を請求項７ないし１２の
    いずれかに記載のアクセス制御装置に相応する装置とす
    るソフトウェアが記録された記録媒体。