JP2004062417A

JP2004062417A - 認証サーバ装置、サーバ装置、およびゲートウェイ装置

Info

Publication number: JP2004062417A
Application number: JP2002218328A
Authority: JP
Inventors: Junpei Watase; 渡瀬　順平; Takafumi Hamano; 濱野　貴文; Shinichi Kuribayashi; 栗林　伸一
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2002-07-26
Filing date: 2002-07-26
Publication date: 2004-02-26

Abstract

【課題】利用者や利用者のロケーションに応じた適応的なパケットフィルタリングおよびアクセス制御を可能とする。
【解決手段】認証サーバ３は、端末２から受信したユーザＩＤとパスワードの組、もしくはＩＰＳｅｃの証明書を用いて利用者認証を行い、正規の利用者と判定できた場合は、利用者認証用のユーザＩＤもしくはＩＰＳｅｃの証明書を用いて利用者を特定し、認証要求の送信元ＩＰアドレスもしくはその他のパケット内の情報により、利用者の認証要求時のロケーションを特定し、該利用者およびロケーションに対応するアクセス制御ポリシーをポリシーデータベース３５から取り出すとともに、認証証明書を生成し、該認証証明書とアクセス制御ポリシーのマッピング情報を生成し、認証証明書とアクセス制御ポリシーのマッピング情報、およびアクセス制御ポリシーをサーバ４に通知し、認証証明書を端末２へ通知する。
【選択図】　　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、通信回線を介してコンピュータ間の通信を行うコンピュータ通信システムにおいて、セキュリティを確保し、安全な通信を可能とする不正アクセス防止方法に関する。
【０００２】
【従来の技術】
ＩＰネットワークに接続されるサーバに対して、アクセス権を持たない利用者からの不正アクセスを防止する手段として、パケットフィルタリングと認証が利用されている。従来のパケットフィルタリングは、パケットの宛先ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）アドレス、送信元ＩＰアドレス、宛先ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ）／ＵＤＰ（Ｕｓｅｒ　Ｄａｔａｇｒａｍ　Ｐｒｏｔｏｃｏｌ）ポート番号、送信元ＴＣＰ／ＵＤＰポート番号、プロトコル番号、ＴＣＰフラグ等に基づいてパケット、あるいはサービス利用、情報取得要求をフィルタリングすることにより、要求サービスや情報にアクセス権のない利用者から、サービスや情報への不正なアクセスを防止することが可能である。また、従来の認証は、ユーザＩＤとパスワードにより利用者個人を特定することにより、アクセス権をもたない利用者のサービス利用や情報取得を防止することが可能である。
【０００３】
【発明が解決しようとする課題】
しかしながら、従来のパケットフィルタリングは、利用者や利用者のロケーションによって、適応的にアクセス制御を行うことが不可能である。また、従来の認証は、利用者のロケーションに応じて、アクセス制御を行うことが不可能である。
【０００４】
本発明の目的は、利用者や利用者のロケーションに応じた適応的なパケットフィルタリングおよびアクセス制御を可能とし、無線ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）や携帯電話網を用いた企業ネットワークの利用時における不正アクセスを防止する機能を強化することにある。
【０００５】
【課題を解決するための手段】
本発明の認証サーバ装置は、ＩＰネットワークに接続された端末の利用者が、遠隔に設置されたサーバ装置が提供するサービスを利用する、あるいは該サーバ装置に格納された情報を取得するのに先立って、利用者の認証を行い、認証された利用者の端末に認証証明書を送付する認証サーバ装置において、認証要求パケットの送信元ＩＰアドレスから利用者のロケーションを特定し、ユーザＩＤとパスワードから利用者個人を特定する手段と、ロケーション識別子と利用者識別子が埋め込まれた認証証明書を作成する手段と、認証証明書を利用者端末に送信する手段を有する。
【０００６】
本発明のサーバ装置は、ＩＰネットワークに接続された端末の利用者が、遠隔に設置されたサーバ装置が提供するサービスを利用する、あるいは該サーバ装置に格納された情報を取得するのに先立って、認証サーバが利用者の認証を行って、認証要求パケットの送信元ＩＰアドレスから利用者のロケーションを特定し、ユーザＩＤとパスワードから利用者個人を特定し、ロケーション識別子と利用者識別子を埋め込んで送信した認証証明書を端末が受取り、利用者が前記サーバ装置で提供されるサービスまたは情報を利用、または取得することを要求する際に、認証証明書を付加したサービス利用または情報取得要求パケットを受信する手段と、該パケットに付加されたロケーション識別子と利用者識別子の両方または一方を参照し、要求受付の可否を判定する手段と、該要求を送信した利用者が、当該要求を送信したロケーションで、要求サービスを利用あるいは要求情報を取得するアクセス権を有する場合、要求サービスまたは要求情報の利用または取得を許可し、該要求を送信した利用者が、当該要求を送信したロケーションで、要求サービスを利用あるいは要求情報を取得するアクセス権を有さない場合、要求サービスまたは要求情報の利用または取得を拒否する手段を有する。
【０００７】
本発明のゲートウェイ装置は、ＩＰネットワークに接続された端末の利用者が、遠隔に設置されたサーバ装置が提供するサービスを利用する、あるいは該サーバ装置に格納された情報を取得するのに先立って、認証サーバ装置が前記利用者の認証を行い、認証要求パケットの送信元ＩＰアドレスから利用者のロケーションを特定し、ユーザＩＤとパスワードから利用者個人を特定し、ロケーション識別子と利用者識別子を埋め込んで送信した認証証明書を端末が受取り、利用者がサーバ装置で提供されるサービスまたは情報を利用、または取得することを要求する際に、認証証明書を付加したサービス利用または情報取得要求パケットを受信する手段と、該パケットに付加されたロケーション識別子と利用者識別子の両方または一方を参照し、要求受付の可否を判定する手段と、該要求を送信した利用者が、当該要求を送信したロケーションで、要求サービスを利用あるいは要求情報を取得するアクセス権を有する場合、要求サービスまたは要求情報の利用または取得を許可し、該要求を送信した利用者が、該要求を送信したロケーションで、要求サービスを利用あるいは要求情報を取得するアクセス権を有さない場合、要求サービスまたは要求情報の利用または取得を拒否する手段を有する。
【０００８】
認証サーバにおける認証時に、認証要求パケットの送信元ＩＰアドレスから利用者のロケーションを特定し、ユーザＩＤとパスワードから利用者個人を特定し、ロケーション識別子と利用者識別子を認証証明書に埋め込んで利用者端末に送信することにより、利用者や利用者のロケーションに応じた適応的なパケットフィルタリング、およびアクセス制御が可能となる。
【０００９】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して説明する。
【００１０】
図１を参照すると、本発明の一実施形態の認証システムはＩＰネットワーク１と端末２と認証サーバ３とサーバ４，５とゲートウェイ６で構成されている。
【００１１】
ＩＰネットワーク１は、インターネットプロトコル群（ＴＣＰ／ＩＰプロトコルスイート）により遠隔に設置されたサーバ４，５、端末２間で通信を行うための通信網であり、インターネットのような不特定多数の利用者が接続されるネットワークとＩＰ−ＶＰＮ（Ｖｉｒｔｕａｌ　Ｐｒｉｖａｔｅ　Ｎｅｔｗｏｒｋ）や広域イーサネット網、構内ネットワークのような特定の組織に属する利用者のみが接続されるネットワークを含む。
【００１２】
端末２は、ＩＰネットワーク１に接続され、遠隔に設置されたサーバ４，５や端末２と通信する機能と通信を利用するアプリケーションが組み込まれたパーソナルコンピュータ、ＰＤＡ（Ｐｅｒｓｏｎａｌ　Ｄｉｇｉｔａｌ　Ａｓｓｉｓｔａｎｔｓ）、携帯電話、ワークステーションなどである。
【００１３】
認証サーバ３は、ＩＰネットワーク１に接続され、利用者が、あるサーバ４で提供されるサービスや情報を利用または取得するのに先立って、利用者の認証を行い、認証証明書を利用者の使用する端末２へ提供する装置である。
【００１４】
サーバ４は、ＩＰネットワーク１に接続され、遠隔に設置された端末２に対しサービスや情報を提供する装置であり、端末２から送信されたサービスや情報に対する要求パケットに含まれる認証証明書を分析し、利用者、および利用者のロケーションを特定し、要求されたサービスや情報に対するアクセス権が該ロケーションに存在する該利用にあるかどうかを判定し、アクセス権があれば、サービスまたは情報を提供し、アクセス権がなければ、サービスまたは情報を提供することを拒否するサーバ装置である。
【００１５】
サーバ５は、ＩＰネットワーク１に接続され、遠隔に設置された端末２に対しサービスや情報を提供する装置である。
【００１６】
ゲートウェイ６は、ＩＰネットワーク１に接続され、利用者端末２から見てサーバ４，５の前段に設置され、端末２から送信されるサービスまたは情報に対する要求を含むパケット、およびサーバから送信されるパケットをヘッダ情報、ペイロード情報に基づいてフィルタリングする装置であり、端末から送信される認証証明書付のサービス、または情報要求パケットの認証証明書内に埋め込まれた利用者識別子、ロケーション識別子に基づき当該要求の廃棄または転送を行う機能を有する。
【００１７】
端末２は、アプリケーション２１とプラグイン２２とＩＰＳｅｃ処理部２３を含む。
【００１８】
アプリケーション２１は、ＩＰネットワーク１を使用して、遠隔に設置されたサーバ５が提供するサービスや情報を利用するアプリケーションソフトウェアである。プラグイン２２は、認証サーバ３と通信し、端末２の入力装置から入力されたユーザＩＤとパスワードを用いて、認証処理を実行し、認証サーバ３により認証された場合に、認証サーバ３から送付された認証証明書を受信し、格納し、アプリケーション２１がサーバ４またはサーバ５に対し、サービスまたは情報の利用を要求する際に、要求パケットに当該認証証明書を付加し、サーバ４またはサーバ５に送信する機能部である。ＩＰＳｅｃ処理部２３は、認証サーバ３と通信する際に秘匿通信経路である暗号トンネルを設定する機能部である。
【００１９】
認証サーバ３はＩＰＳｅｃ処理部３１と認証部３２と利用者特定部３３とロケーション特定部３４とポリシーデータベース３５とポリシー検索部３６と認証証明書生成部３７と設定情報生成部３８を含む。
【００２０】
ＩＰＳｅｃ処理部３１は、端末２と通信する秘匿通信経路である暗号トンネルを設定する機能部である。認証部３２は、端末２から送信された認証要求を受け付け、端末２から送信されたユーザＩＤとパスワードの組、もしくはＩＰＳｅｃの証明書を用いて利用者認証を行う機能部である。利用者特定部３３は、端末２から送信された認証要求におけるユーザＩＤ、もしくはＩＰＳｅｃの証明書を用いて利用者の特定を行う機能部である。ロケーション特定部３４は、端末２から送信された認証要求の送信元ＩＰアドレスやその他のロケーション情報に基づき、該利用者の認証時におけるロケーションを特定する機能部である。ポリシーデータベース３５は、利用者毎、かつロケーション毎のサービス、あるいは情報へのアクセス権情報であるアクセス制御ポリシーを格納する。アクセス制御ポリシーは、利用者毎、かつロケーション毎にアクセスを許可する、あるいは拒否するホストのＩＰアドレス、ネットワークのネットワークアドレス、ＵＲＬ（Ｕｎｉｆｏｒｍ　Ｒｅｓｏｕｒｃｅ　Ｌｏｃａｔｏｒ）、ディレクトリ、プロトコル、アプリケーション（ＴＣＰ／ＵＤＰのポート番号）を規定した情報の集合である。ポリシー検索部３６は、利用者特定部３３で特定された利用者情報とロケーション特定部３４で特定されたロケーション情報に基づきポリシーデータベース３５を検索し、当該利用者の当該ロケーションでのアクセス制御ポリシーを取り出す機能部である。認証証明書生成部３７は、利用者特定部３３で特定された利用者情報とロケーション特定部３４で特定されたロケーション情報に基づき、利用者識別子とロケーション識別子を含んだ認証証明書を作成し、端末２のプラグイン２２へ送信する機能部である。設定情報生成部３８は、認証証明書生成部３７で生成された認証証明書とポリシー検索部３６で取り出された認証証明書に対応するアクセス制御ポリシーのマッピング情報を生成し、サーバ４またはゲートウェイ６に当該マッピング情報を設定する機能部である。
【００２１】
サーバ４は要求受信部４１と利用者・ロケーション特定部４２とアクセス制御ポリシー４３とアクセス可否判定部４４とデータ４５とサービス４６を含む。
【００２２】
要求受信部４１は、端末２から送信されたサービス利用、情報取得に関する要求を受信する機能部である。利用者・ロケーション特定部４２は、要求受信部４１が受信したサービス利用、情報取得に関する要求に含まれる認証証明書に埋め込まれた利用者識別子およびロケーション識別子から利用者とロケーションを特定する機能部である。アクセス制御ポリシー４３は、認証サーバ３から設定された利用者毎、かつロケーション毎にアクセスを許可する、あるいは拒否するホストのＩＰアドレス、ネットワークのネットワークアドレス、ＵＲＬ、ディレクトリ、プロトコル、アプリケーション（ＴＣＰ／ＵＤＰのポート番号）を規定した情報の集合である。アクセス可否判定部４４は、利用者・ロケーション特定部４２で特定された利用者、ロケーションに基づき、アクセス制御ポリシー４３を参照し、端末２からのサービス提供、情報取得要求を許可するか拒否するか判定する機能部である。データ４５は、アクセスが許可された、もしくは拒否されていない端末に提供する情報を格納する。サービス４６は、アクセスが許可された、もしくは拒否されていない端末に提供するサービスである。情報送信部４７は、アクセスが許可された、もしくは拒否されていない端末にサービスまたは情報を送信する機能部である。
【００２３】
サーバ５は要求受信部５１とデータ５２とサービス５３と情報送信部５４を含む。
【００２４】
要求受信部５１は、端末２から送信されるサービス利用、情報取得に関する要求を受信する機能部である。データ５２は、アクセスが許可された、もしくは拒否されていない端末に提供する情報を格納する。サービス５３は、アクセスが許可された、もしくは拒否されていない端末に提供するサービスである。情報送信部５４は、アクセスが許可された、もしくは拒否されていない端末にサービスまたは情報を送信する機能部である。
【００２５】
ゲートウェイ６は利用者・ロケーション特定部６１とアクセス制御ポリシー６２とアクセス可否判定部６３と転送部６４を含む。
【００２６】
利用者・ロケーション特定部６１は、サーバ５の要求受信部５１が受信したサービス利用、情報取得に関する要求に含まれる認証証明書に埋め込まれた利用者識別子およびロケーション識別子から利用者とロケーションを特定する機能部である。アクセス制御ポリシー６２は、認証サーバ３から設定された利用者毎、かつロケーション毎にアクセスを許可する、あるいは拒否するホストのＩＰアドレス、ネットワークのネットワークアドレス、ＵＲＬ、ディレクトリ、プロトコル、アプリケーション（ＴＣＰ／ＵＤＰのポート番号）を規定した情報の集合である。アクセス可否判定部６３は、利用者・ロケーション特定部６１で特定された利用者、ロケーションに基づき、アクセス制御ポリシー６２を参照し、端末２からのサービス提供、情報取得要求を許可するか拒否するか判定する機能部である。転送部６４は、アクセスが許可された、もしくは拒否されていない端末からのサービス利用、情報取得に関する要求をサーバ５に転送する、あるいは、アクセが許可されていない、もしくは拒否されている端末からのサービス利用、情報取得に関する要求を廃棄する機能部である。
【００２７】
次に、本実施形態の動作（その１）を図２のフローチャートにより説明する。
【００２８】
利用者が、遠隔に設置されたサーバ４が提供するサービスあるいは情報を利用あるいは取得する場合、サーバ４へのアクセスに先立って、認証サーバ３に対して認証要求を行う（ステップ１０１）。認証には、ＩＰＳｅｃやＳＳＬ（ＳｅｃｕｒｅＳｏｃｋｅｔ　Ｌａｙｅｒ）を用いた秘匿通信経路を使用してもよいし、しなくてもよい。
【００２９】
認証要求を受信した認証サーバ３は、端末２から受信したユーザＩＤとパスワードの組、もしくはＩＰＳｅｃの証明書を用いて利用者認証を行い（ステップ１０２）、予め登録された正規の利用者と判定できない場合は、拒否通知を端末２へ返信する。予め登録された正規の利用者と判定できた場合は、端末２から受信した利用者認証用のユーザＩＤもしくはＩＰＳｅｃの証明書を用いて利用者を特定し、端末２から受信した認証要求の送信元ＩＰアドレスもしくはその他のパケット内の情報により、利用者の認証要求時のロケーションを特定する（ステップ１０３，１０４）。利用者とロケーションを特定した認証サーバ３は、当該利用者、およびロケーションに対応するアクセス制御ポリシーをポリシーデータベース３５から検索し（ステップ１０５）、取り出すとともに、端末２へ通知する認証証明書を生成し（ステップ１０６）、該認証証明書とアクセス制御ポリシーのマッピング情報を生成する（ステップ１０７）。認証サーバ３は、生成された認証証明書とアクセス制御ポリシーのマッピング情報、およびアクセス制御ポリシーをサーバ４に通知し（ステップ１０８）、また、生成された認証証明書を端末２へ通知する（ステップ１１０）。
【００３０】
認証証明書とアクセス制御ポリシーのマッピング情報、およびアクセス制御ポリシーを受信したサーバ４は、該情報を格納する（ステップ１０９）。
【００３１】
認証証明書を受信した端末２は、該認証証明書を格納する（ステップ１１１）。端末２のアプリケーション２１が、サーバ４が提供するサービスまたは情報を利用または取得する場合には、端末２のプラグイン２２が、要求パケットに認証証明書を付加して（ステップ１１３）、該要求パケットをサーバ４へ送信する（ステップ１１４）。
【００３２】
サーバ４は要求パケットを要求受信部４１で受信し（ステップ１１５）、該要求パケットに付加された認証証明書に埋め込まれた利用者識別子とロケーション識別子に基づき、利用者と該利用者のロケーションを特定し（ステップ１１６）、認証サーバ３から受信したアクセス制御ポリシーに基づき、要求の受付可否を判定し（ステップ１１７）、該アクセス制御ポリシーで受付が許可されていない、もしくは拒否されている要求については廃棄し、拒否通知を端末へ返信する。また、該アクセス制御ポリシーで受付が許可されている、もしくは拒否されていない要求に対しては、要求されたサービスの利用、または情報の取得を許可し、要求された情報もしくはサービス利用結果を端末２へ送信する（ステップ１１８）。
【００３３】
端末２は情報またはサービス利用結果を受信し、利用する（ステップ１１９）。
【００３４】
次に、本実施形態の動作（その２）を図３のフローチャートにより説明する。
【００３５】
利用者が、遠隔に設置されたサーバ５が提供するサービスあるいは情報を利用、あるいは取得する場合、サーバ５へのアクセスに先立って、認証サーバ３に対して、認証要求を行う（ステップ１０１）。認証には、ＩＰＳｅｃやＳＳＬを用いた秘匿通信経路を使用してもよいし、しなくてもよい。
【００３６】
認証要求を受信した認証サーバ３は、端末２から受信したユーザＩＤとパスワードの組、もしくはＩＰＳｅｃの証明書を用いて利用者認証を行い（ステップ１０２）、予め登録された正規の利用者と判定できない場合は、拒否通知を端末２へ返信する。予め登録された正規の利用者と判定できた場合は、端末２から受信した利用者認証用のユーザＩＤもしくはＩＰＳｅｃの証明書を用いて利用者を特定し（ステップ１０３）、端末２から受信した認証要求の送信元ＩＰアドレス、もしくはその他のパケット内の情報により、利用者の認証要求時のロケーションを特定する（ステップ１０４）。利用者とロケーションを特定した認証サーバ３は、該利用者およびロケーションに対応するアクセス制御ポリシーをポリシーデータベース３５から検索し（ステップ１０５）、取り出すとともに、端末２へ通知する認証証明書を生成し（ステップ１０６）、該認証証明書とアクセス制御ポリシーのマッピング情報を生成する（ステップ１０７）。認証サーバ３は、生成された認証証明書とアクセス制御ポリシーのマッピング情報およびアクセス制御ポリシーをゲートウェイ６に通知する（ステップ１０８）。また、生成された認証証明書を端末２へ通知する（ステップ１１０）。
【００３７】
認証証明書とアクセス制御ポリシーのマッピング情報、およびアクセス制御ポリシーを受信したゲートウェイ６は、該情報を格納する（ステップ１２０）。
【００３８】
認証証明書を受信した端末２は、該認証証明書を格納する（ステップ１１１）。端末２のアプリケーション２１が、サーバ５が提供するサービスまたは情報を利用または取得する場合には、端末２のプラグイン２２が、要求パケットに認証証明書を付加して（ステップ１１３）、該要求パケットをサーバ５宛に送信する（ステップ１１４）。
【００３９】
ゲートウェイ６は該要求パケットを受信し（ステップ１２１）、該要求パケットに付加された認証証明書に埋め込まれた利用者識別子とロケーション識別子に基づき、利用者と当該利用者のロケーションを特定し（ステップ１２２）、認証サーバ３から受信したアクセス制御ポリシーに基づき、要求の受付可否を判定し（ステップ１２３）、該アクセス制御ポリシーで受付が許可されていない、もしくは拒否されている要求については廃棄する。また、該アクセス制御ポリシーで受付が許可されている、もしくは拒否されていない要求に対しては、該要求パケットをサーバ５宛に転送する（ステップ１２４）。
【００４０】
また、場合によっては、ゲートウェイ６が、利用者の端末２から送信されたサーバ５宛のサービス利用要求パケットあるいは情報取得要求パケットのヘッダ、またはペイロードに含まれる情報を用いて、端末種別、およびアプリケーション種別を特定し、端末種別、およびアプリケーション種別に応じた転送先サーバ選択あるいはフィルタリングを行う。
【００４１】
サーバ５は該要求パケットを要求受信部５１で受信し（ステップ１２５）、要求された情報もしくはサービス利用結果を情報送信部５４から端末２へ送信する（ステップ１２６）。
【００４２】
端末２は情報もしくはサービス利用結果を受信し、利用する（ステップ１１９）。
【００４３】
なお、ステップ１１６と１２２では、利用者識別子とロケーション識別子のいずれか一方を用いてよい。
【００４４】
【発明の効果】
以上説明したように本発明によれば、利用者や利用者のロケーションに応じた適応的なパケットフィルタリング、およびアクセス制御を可能となり、無線ＬＡＮや携帯電話網を用いた企業ネットワークの利用時における不正アクセスを防止することが可能となる。
【図面の簡単な説明】
【図１】本発明の一実施の形態の認証システムのブロック図である。
【図２】図１の実施の形態の動作（その１）を示すフローチャートである。
【図３】図１の実施の形態の動作（その２）を示すフローチャートである。
【符号の説明】
１　　ＩＰネットワーク
２　　端末
３　　認証サーバ
４，５　　サーバ
６　　ゲートウェイ
２１　　アプリケーション
２２　　プラグイン
２３　　ＩＰＳｅｃ処理部
３１　　ＩＰＳｅｃ処理部
３２　　認証部
３３　　利用者特定部
３４　　ロケーション特定部
３５　　ポリシーデータベース
３６　　ポリシー検索部
３７　　認証証明書生成部
３８　　設定情報生成部
４１　　要求受信部
４２　　利用者・ロケーション特定部
４３　　アクセス制御ポリシー
４４　　アクセス可否判定部
４５　　データ
４６　　サービス
４７　　情報送信部
５１　　要求受信部
５２　　データ
５３　　サービス
５４　　情報送信部
６１　　利用者・ロケーション特定部
６２　　アクセス制御ポリシー
６３　　アクセス可否判定部
６４　　転送部
１０１〜１２６　　ステップ

Claims

ＩＰネットワークに接続された端末の利用者が、遠隔に設置されたサーバ装置が提供するサービスを利用する、あるいは該サーバ装置に格納された情報を取得するのに先立って、前記利用者の認証を行い、認証された利用者の端末に認証証明書を送付する認証サーバ装置において、認証要求パケットの送信元ＩＰアドレスから利用者のロケーションを特定し、ユーザＩＤとパスワードから利用者個人を特定する手段と、ロケーション識別子と利用者識別子が埋め込まれた認証証明書を作成する手段と、該認証証明書を前記利用者端末に送信する手段を有することを特徴とする認証サーバ装置。
利用者の端末に送付した認証証明書に埋め込んだロケーション識別子と利用者識別子に対して、いずれのサービスを利用、あるいは情報取得を許可し、あるいは拒否するかを定義したアクセス制御ポリシーを前記サーバ装置に設定する手段を有する、請求項１に記載の認証サーバ装置。
利用者の端末に送付した認証証明書に埋め込んだロケーション識別子と利用者識別子に対して、いずれのサービスを利用、あるいは情報取得を許可し、あるいは拒否するかを定義したアクセス制御ポリシーを、サービスまたは情報を提供するサーバの前段に設置されたゲートウェイ装置に設定する、請求項１に記載の認証サーバ装置。
利用者の認証にＩＰＳｅｃを利用し、ＩＰＳｅｃの認証情報を用いて利用者個人を特定する、請求項１から３のいずれか１項に記載の認証サーバ装置。
ＩＰネットワークに接続された端末の利用者が、遠隔に設置されたサーバ装置が提供するサービスを利用する、あるいは該サーバに格納された情報を取得するのに先立って、認証サーバ装置が前記利用者の認証を行って、認証要求パケットの送信元ＩＰアドレスから利用者のロケーションを特定し、ユーザＩＤとパスワードから利用者個人を特定し、ロケーション識別子と利用者識別子を埋め込んで送信した認証証明書を前記端末が受取り、前記利用者が前記サーバ装置で提供されるサービスまたは情報を利用、または取得することを要求する際に、前記認証証明書を付加したサービス利用または情報取得要求パケットを受信する手段と、
該パケットに付加されたロケーション識別子と利用者識別子の両方または一方を参照し、要求受付の可否を判定する手段と、
該要求を送信した利用者が、当該要求を送信したロケーションで、要求サービスを利用あるいは要求情報を取得するアクセス権を有する場合、要求サービスまたは要求情報の利用または取得を許可し、該要求を送信した利用者が、当該要求を送信したロケーションで、要求サービスを利用あるいは要求情報を取得するアクセス権を有さない場合、要求サービスまたは要求情報の利用または取得を拒否する手段を有するサーバ装置。
前記利用者の端末に送付された認証証明書に埋め込まれたロケーション識別子と利用者識別子に対して、いずれのサービス利用、あるいは情報取得を許可し、あるいは拒否するかを定義したアクセス制御ポリシーを前記認証サーバ装置から受信し、設定する手段を有する、請求項５に記載のサーバ装置。
ＩＰネットワークに接続された端末の利用者が、遠隔に設置されたサーバ装置が提供するサービスを利用する、あるいは該サーバ装置に格納された情報を取得するのに先立って、認証サーバ装置が前記利用者の認証を行い、認証要求パケットの送信元ＩＰアドレスから利用者のロケーションを特定し、ユーザＩＤとパスワードから利用者個人を特定し、ロケーション識別子と利用者識別子を埋め込んで送信した認証証明書を前記端末が受取り、前記利用者が前記サーバ装置で提供されるサービスまたは情報を利用、または取得することを要求する際に、前記認証証明書を付加したサービス利用または情報取得要求パケットを受信する手段と、
該パケットに付加されたロケーション識別子と利用者識別子の両方または一方を参照し、要求受付の可否を判定する手段と、
該要求を送信した利用者が、当該要求を送信したロケーションで、要求サービスを利用あるいは要求情報を取得するアクセス権を有する場合、要求サービスまたは要求情報の利用または取得を許可し、該要求を送信した利用者が、該要求を送信したロケーションで、要求サービスを利用あるいは要求情報を取得するアクセス権を有さない場合、要求サービスまたは要求情報の利用または取得を拒否する手段を有するゲートウェイ装置。
前記認証証明書に埋め込まれたロケーション識別子と利用者識別子に対して、いずれのサービス利用あるいは情報取得を許可し、あるいは拒否するかを定義したアクセス制御ポリシーを前記認証サーバ装置から受信し、設定する手段を有する、請求項７に記載のゲートウェイ装置。
前記利用者の端末から送信された前記サーバ装置宛のサービス利用要求パケット、あるいは情報取得要求パケットのヘッダ、またはペイロードに含まれる情報を用いて、端末種別およびアプリケーション種別を特定し、端末種別およびアプリケーション種別に応じた方路選択、あるいはフィルタリングを行う手段を有する、請求項８に記載のゲートウェイ装置。
端末と通信する際に秘匿通信経路を設定するＩＰｓｅｃ処理部と、
前記端末から送信された認証要求を受付け、該端末から送信されたユーザＩＤとパスワードの組、またはＩＰｓｅｃの証明書を用いて利用者認証を行う認証部と、
前記端末から送信された認証要求におけるユーザＩＤまたはＩＰｓｅｃの証明書を用いて利用者の特定を行う利用者特定部と、
前記端末から送信された認証要求の送信元アドレス、その他のロケーション情報に基づき、該利用者の認証時におけるロケーションを特定するロケーション特定部と、
利用者毎、かつロケーション毎のサービス、あるいは情報へのアクセス権情報であるアクセス制御ポリシーを格納しているポリシーデータベースと、
前記利用者特定部で特定された利用者情報と前記ロケーション特定部で特定されたロケーション情報に基づき前記ポリシーデータベースを検索し、前記利用者の当該ロケーションでのアクセス制御ポリシーを取出すポリシー検索部と、
前記利用者特定部で特定された利用者情報と前記ロケーション特定部で特定されたロケーション情報に基づき、利用者識別子とロケーション識別子を含んだ認証証明書を作成し、前記端末へ送信する認証証明書生成部と、
前記認証証明書生成部で生成された認証証明書と前記ポリシー検索部で取り出された認証証明書に対応するアクセス制御ポリシーのマッピング情報を生成し、該情報をサーバ装置またはゲートウェイ装置に設定する設定情報生成部を有する認証サーバ装置。
端末から送信されたサービス利用、情報取得に関する要求を受信する要求受信部と、
前記サービス利用、情報取得に関する要求に含まれる認証証明書に埋め込まれた利用者識別子およびロケーション識別子から利用者とロケーションを特定する利用者・ロケーション特定部と、
認証サーバ装置から設定された利用者毎、ロケーション毎にアクセスを許可、または拒否するホストのＩＰアドレス、ネットワークのネットワークアドレスを規定した情報の集合であるアクセス制御ポリシーと、
前記利用者・ロケーション特定部で特定された利用者、ロケーションに基づき前記アクセス制御ポリシーを参照し、前記端末からのサービス提供、情報取得要求を許可するか拒否するかを判定するアクセス可否判定部と、
アクセスが許可された、または拒否されていない端末に提供する情報を格納するデータベースと、
アクセスが許可された、もしくは拒否されていない端末に提供するサービスを格納するデータベースと、
アクセスが許可された、または拒否されていない端末にサービスまたは情報を送信する情報送信部を有するサーバ装置。
端末から受信した、サービス利用、情報取得に関する要求に含まれる認証証明書に埋め込まれた利用者識別子およびロケーション識別子から利用者とロケーションを特定する利用者・ロケーション特定部と、
認証サーバ装置から設定された利用者毎、かつロケーション毎にアクセスを許可、あるいは拒否するホストのＩＰアドレス、ネットワークのネットワークアドレスを規定した情報の集合であるアクセス制御ポリシーと、
前記利用者・ロケーション特定部で特定された利用者、ロケーションに基づき前記アクセス制御ポリシーを参照し、端末からのサービス提供、情報取得要求を許可するか否かを判定するアクセス可否判定部と、
アクセスが許可された、または拒否されていない端末からのサービス利用、情報取得に関する要求をサーバ装置に転送する、あるいはアクセスが許可されていない、または拒否されている端末からのサービス利用、情報取得に関する要求を廃棄する転送部を有するゲートウェイ装置。