JP2005025739A - セキュリティプロトコルの自動ネゴシエーションのためのシステムおよび方法 - Google Patents

Abstract

【課題】 セキュリティプロトコルの自動ネゴシエーションのためのシステムおよび方法を提供すること。
【解決手段】 外部エージェントまたは内部エージェントのどちらかは、一組のサポートされたプロトコルを含む要求を受信側マシンに送信して、ドメインの境界を横断する安全なセッションを確立するための試みを開始することができる。次いでネゴシエーションエンジンは、セッションの両端にあるエージェント、ノード、またはマシンの両方の使用可能なプロトコルを比較し、互換性のあるプロトコルが見つかった場合はそのプロトコルを選択することができる。内部エージェントと外部エージェントは同様に、キー、証明書、または他の機構を使用して相互に確認することができる。
【選択図】 図１

Description

本発明は、ネットワーク接続されたコンピューティングの分野に関し、より詳細には、セキュリティ使用可能ドメインと１つまたは複数の外部ノードとの間のセキュリティプロトコルの自動ネゴシエーションに関する。

ネットワーク接続技術の発達により、ネットワーク管理者およびその他の者が彼らのネットワークおよび他のインストールに対するより優秀かつより高度なセキュリティ制御を維持することが可能になった。Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）ＮＴ、２０００および関連製品により、例えば管理者は、Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）（ＡＤ）構成を使用したセキュリティ使用可能（ｓｅｃｕｒｉｔｙ−ｅｎａｂｌｅｄ）ネットワークドメインを配置することが可能になる。公知のＫｅｂｅｒｏｓネットワーク規格も同様に、ネットワーク内のノードがキー／認証プラットフォームを使用して相互に認証することを可能にする。これらの動作技術により、ネットワーク管理者は、例えばネットワークサーバから個々のワークステーションまたは他のクライアントに均一にインストールするためにルール、アプリケーション、パッチ、ドライブ、および他の資源を安全にプッシュすることができる場合がある。セキュリティ使用可能ドメイン内のすべてのマシンは、これらおよび他のタイプのデータの伝送を透過的に識別し、認証することができる場合がある。

しかし、セキュリティ使用可能ドメイン外にノードがある場合、ルール、アプリケーション、または他の資源をワークステーションとやり取りする機能はより困難になる。例えば、企業は、ローカルエリアネットワーク（ＬＡＮ）上に配置されたコンピュータの集合を有する場合があるが、Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）または他のセキュリティ使用可能ドメインの一部ではない遠隔位置にあるコンピュータとも対話する。安全なドメインの境界を越えた通信は、一部には当該ドメイン内のマシンと当該ドメイン外のマシンとの間に接続を確立することが相互にサポートされたセキュリティプロトコルに関して合意することを要求するので、より複雑化する。

システム管理者および他の者は、したがって、セッションが行われる前に内部マシンと外部マシンの間の互換性のあるプロトコルを特定することにより、セキュリティ使用可能ドメインに外部エージェントまたはノードが入るための構成を試みなければならない。例えば、外部ノードは、トランスポート層セキュリティ（ＴＬＳ）プロトコル、Ｋｅｒｂｅｒｏｓベースのプロトコル、セキュアソケットレイヤ（ＳＳＬ）または他のプロトコルを介してセキュリティ使用可能ドメイン内の管理サーバと通信するよう構成することができる。このマシンは、そのプロトコル、すなわちそのデフォルトプロトコルで、プロトコルの障害を指摘し、そのプロトコルを切り替えるよう要求し、または外部ノードまたはエージェントに対して他の応答を行う。したがって、セキュリティ、トランスポート、または他のプロトコルの手動設定または調整が要求される場合があるが、これは時間が掛かりエラーが頻発する可能性のあるプロセスである。問題は他にもある。

当技術分野のこれらおよび他の問題を克服する本発明は、ある点で、管理者の介入を必要とせずに自動で外部エージェントまたはノードとの安全な通信を確立し身元を確認することのできるセキュリティプロトコルの自動ネゴシエーションのためのシステムおよび方法に関する。本発明によれば、ある点で、セキュリティ使用可能ドメイン内のネットワークマネージャもしくは他のエージェントまたはノードは、外部エージェントまたはノードとの安全な接続を確立するための試みを開始することができる。この要求は、マネージャが使用するために使用可能な一組のセキュリティプロトコルを示すデータフィールドを含んでいる。外部エージェントは、その要求を受信することができ、内部エージェントまたはマネージャに使用可能なプロトコルを外部エージェントがサポートする一組のプロトコルと比較することができる。使用可能なプロトコルの間の一致が見つかった場合、通信はその選択されたプロトコルに基づいて進めることができる。実施形態では、外部エージェントと内部エージェントのそれぞれはキー、証明書、または他の認証機構を介して相互に確認することができる。

図１は、本発明の一実施形態による、プロトコルネゴシエーションプラットフォームおよび方法が動作することのできるアーキテクチャを示す図である。図から分かるように、この実施形態では、一組のクライアント、サーバ、エージェントまたは他のノード、もしくはマシンは、セキュリティ使用可能ドメイン１０２で動作することができる。セキュリティ使用可能ドメインは、実施形態では、例えばＭｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）、Ｋｅｒｂｅｒｏｓまたは他の証明書ベースまたはキーベースのドメイン、もしくは他の閉じた、すなわち安全な分散型ディレクトリまたは他の環境であるか、またはこれらを含むことができる。セキュリティ使用可能ドメイン内には、実施形態ではサーバまたは他のノードであるかまたはこれらを含むことのできる内部マネージャ１０４と、一組の内部エージェント１０６（Ｎを任意の数としてＡ１、Ａ２．．．ＡＮで示す）を説明のために示している。

実施形態では、当該一組の内部エージェント１０６は、追加サーバ、ワークステーションまたは他のクライアント、もしくはセキュリティ使用可能ドメイン１０２内で動作し、内部マネージャ１０４と通信する他の内部エージェントまたはノードから構成されるか、もしくはこれらを含むことができる。実施形態では、内部マネージャ１０４は、記憶に関する動作ガイドライン（例えば、ＲＡＩＤポリシー、フェイルオーバー基準、メモリ制限）、帯域幅使用率もしくは他のルールまたはデータなど、ネットワークルールまたは他のデータを当該一組の内部エージェント１０６に送信または「プッシュ」するようなネットワーク管理機能をスケジュール設定し、または実行することができる。これらまたは他のタイプのデータを伝達する際、当該内部マネージャ１０４および当該一組の内部エージェント１０６は、ルールおよび他のデータのネットワークおよび分散の保全性を保証するためにセキュリティ使用可能ドメインのセキュリティ資源を利用することができる。

図に示すように、実施形態では、セキュリティ使用可能ドメイン１０２は、例えば実施形態ではＸ．５０９または他の規格またはフォーマットに従って構成された証明書であるか、またはこれを含むことのできる証明書１０８のような証明書を使用して認証サービスを提供することができる。実施形態では、キーまたは他の機構も同様に使用することができる。図に示すように、証明書１０８を内部マネージャ１０４に対する認証データと関連付け、これを提供することができる。当該一組の内部エージェント１０６のどの１つでも、検証のために証明書１０８を認証局（ｃｅｒｔｉｆｉｃａｔｅ ａｕｔｈｏｒｉｔｙ）１１０に伝達することにより、内部マネージャ１０４から受け取ったルール、命令、または他のデータを認証することができる。認証局１１０自体を、セキュリティ使用可能ドメイン１０２内に配置してもよく、または図のようにセキュリティ使用可能ドメイン１０２外に配置してもよい。

実施形態では、認証局１１０は、証明書１０８または他の認証機構を読み取り、復号し、結果を当該一組の内部エージェント１０６または他のノードに戻すよう構成されたサーバまたは他のノードであるか、またはこれを含むことができる。当該一組の内部エージェント１０６のノードのそれぞれは、同様にそれらに証明書、キー、またはセキュリティ使用可能ドメイン１０２に適合する他の認証データを関連付けることができる。当該一組の内部エージェント１０６のノードは、同様に証明書または他の機構を使用して通信し、相互に互いを認証することができる。

図１に示した実施形態では、外部エージェント１１４は、同様に通信ネットワーク１１２を介して内部マネージャ１０４と通信するよう構成されている。外部エージェント１１４もまた、サーバ、ワークステーション、もしくは他のノードまたは資源であるか、またはこれを含むことができる。外部エージェント１１４は同様に、認証のために外部エージェント１１４を特定する証明書１１６をそれ自体に関連付けることができる。実施形態では外部エージェント１１４がそれを介して内部マネージャ１０４または他の内部ノードと通信することのできる通信ネットワーク１１２は、例えばインターネット、イントラネット、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、メトロポリタンエリアネットワーク（ＭＡＮ）、ストレージエリアネットワーク（ＳＡＮ）、フレームリレー接続、Ａｄｖａｎｃｅｄ Ｉｎｔｅｌｌｉｇｅｎｔ Ｎｅｔｗｏｒｋ（ＡＩＮ）接続、同期光伝送網（ＳＯＮＥＴ）接続、デジタルＴ１、Ｔ３、Ｅ１、またはＥ３回線、Ｄｉｇｉｔａｌ Ｄａｔａ Ｓｅｒｖｉｃｅ（ＤＤＳ）接続、ＡＴＭ（非同期転送モード）接続、ＦＤＤＩ（ファイバー分散データインターフェース）、Ｃｏｐｐｅｒ Ｄｉｓｔｒｉｂｕｔｅｄ Ｄａｔａ Ｉｎｔｅｒｆａｃｅ（ＣＤＤＩ）、または他の有線、無線、または光接続のどれか１つまたは複数であるか、またはこれを含むことができるか、もしくはこれとインターフェースすることができる。外部エージェント１１４は、実施形態では、ワークステーション、サーバ、無線ネットワーク使用可能デバイス、またはネットワーク接続された通信用に構成された他のノード、エージェントまたはプラットフォームであるか、もしくはこれを含むことができる。

ドメイン横断通信（ｃｒｏｓｓ−ｄｏｍａｉｎ ｃｏｍｍｕｎｉｃａｔｉｏｎ）の従来の実施態様とは異なり、本発明の実施形態によれば、外部エージェント１１４は、自動的かつ透過的な方法で互換性のあるプロトコルを相互に選択して相互に互換性のあるプロトコルに基づいて安全な接続を確立するために、内部マネージャ１０４との連絡を開始することができる。例えば図２に示すように、外部エージェント１１４で実行中の外部アプリケーション１３０は、外部ネゴシエーションエンジン１２６を介して内部マネージャ１０４との連絡を開始することができる。外部アプリケーション１３０は、例えばデータバックアップスケジューラ、ファイアーウォール、ウイルス保護または他のアプリケーションのようなシステムユーティリティ、プロダクティビティ、または他のアプリケーションであるか、またはこれを含むことができる。外部アプリケーション１３０は、様々なタスクを実行するために、例えばユーザプロファイル、更新、または他のデータを要求し、したがって内部マネージャ１０４とのそのような通信を開始することができる。

外部ネゴシエーションエンジン１２６は、セキュリティ使用可能ドメイン１０２で内部マネージャ１０４と相互に互換性のある通信リンクを確立するために外部アプリケーション１３０が要求した通信を処理し管理することができる。図に示すように、実施形態では、外部ネゴシエーションエンジン１２６は、公知のＳｉｍｐｌｅ ａｎｄ Ｐｒｏｔｅｃｔｅｄ ＧＳＳ−ＡＰＩネゴシエーション（ＳＰＮＥＧＯ）プロトコルの実施態様として示されているネゴシエーションモジュール１１８を開始し管理することができる。他のプロトコルを使用することもできる。実施形態では、ネゴシエーションモジュール１１８は、例えばアプリケーションプログラミングインターフェース（ＡＰＩ）または他の機構を介して外部エージェント１１４のオペレーティングシステムによりアクセスし、開始し、または生成することができる。

外部ネゴシエーションエンジン１２６は同様に、外部エージェント１１４がプロトコルネゴシエーションプロセスを実行するために利用することのできるメッセージベースの、または他のチャネルを示す外部トランスポート指定子１２０を含むか、または生成することができる。例えば、実施形態では、外部アプリケーション１３０もしくは他のソフトウェアまたはモジュールが、例えば動的リンクライブラリ（ｄｌｌ）または標準の暗号化または他の符号化方式をサポートする他の資源にアクセスすることを可能にして、外部トランスポート指定子１２０はＳｅｃｕｒｉｔｙ Ｓｕｐｐｏｒｔ Ｐｒｏｖｉｄｅｒ Ｉｎｔｅｒｆａｃｅ（ＳＳＰＩ）プロトコルをＭｉｃｒｏｓｏｆｔ．ＮＥＴアーキテクチャの一部として指定することができる。他のプロトコルを外部トランスポート指定子１２０内に使用または指定することができる。外部ネゴシエーションエンジン１２６はしたがって、そのデータまたは他のデータを示すデータグラムを、図２に示すように内部マネージャ１０４に関連付けられた内部ネゴシエーションエンジン１２８に伝達することができる。

内部ネゴシエーションエンジン１２８は同様に、ネゴシエーションモジュール１２２と内部トランスポート指定子１２４を含むか、またはこれとインターフェースすることができる。内部ネゴシエーションエンジン１２８は、内部マネージャ１０４によって実行され、またはアクセスされる内部アプリケーション１３２と通信することができる。内部アプリケーション１３２は、例えば、システム管理、プロダクティビティ、または他のアプリケーションであるか、またはこれを含むことができる。内部マネージャ１０４との通信の確立を求める要求を受信した際、内部ネゴシエーションエンジン１２８は、内部トランスポート指定子１２４による外部エージェント１１４とのメッセージベースの、または他のチャネルを、例えばＳＳＰＩプロトコルを使用してチャネル通信を確認して、確立することができる。

外部エージェント１１４と内部マネージャ１０４との間に確立された予備チャネルにより、外部ネゴシエーションエンジン１２６と外部ネゴシエーションエンジン１２８はプロトコルネゴシエーションと低減（ｒｅｄｕｃｔｉｏｎ）を開始することができる。実施形態では、外部エージェント１１４は、図３に示すような外部プロトコルテーブル１３４を内部マネージャ１０４に送信することができる。外部プロトコルテーブル１３４は、どのプロトコルを使用して外部エージェント１１４を構成できるかを指定することができる。内部マネージャ１０４が受信した際、外部プロトコルテーブル１３４を、内部マネージャ１０４が使用するために使用可能な一組のセキュリティプロトコルを示す内部プロトコルテーブル１３６と比較することができる。外部プロトコルテーブル１３４と内部プロトコルテーブル１３６のどちらか一方は、例えばトランスポート層セキュリティ（ＴＬＳ）、セキュアソケットレイヤ（ＳＳＬ）、Ｋｅｒｂｅｒｏｓ、セキュアＩＰ（ＩＰＳｅｃ）、または他の使用可能なプロトコルまたは規格を示すフィールドを含むことができる。内部マネージャ１０４に関連付けられた内部ネゴシエーションエンジン１２８は、図３に示すように外部エージェント１１４と内部マネージャ１０４によって相互にサポートされた１つまたは複数のプロトコルを示すことができる。

内部ネゴシエーションエンジン１２８は、実施形態では、同様に、類似のプロトコル比較のために内部プロトコルテーブル１３６を外部エージェント１１４に関連付けられた外部ネゴシエーションエンジン１２６に伝達することができる。この結果、ネゴシエーションエンジン１２６およびネゴシエーションエンジン１２８は、セキュリティ使用可能ドメインを横断して安全な通信を確立するために相互に使用可能なプロトコルの選択をネゴシエートすることができる。例えば、外部エージェント１１４と内部マネージャ１０４との両方に対して共通プロトコルが１つしか使用可能でない場合、外部エージェント１１４と内部マネージャ１０４は、ＴＬＳまたは他のプロトコルなどのプロトコルを使用してセッションをセットアップすることに同意することができる。外部ネゴシエーションエンジン１２６と内部ネゴシエーションエンジン１２８とが共通のプロトコルを見つけられないということで一致した場合、ドメイン横断通信を確立するための試みを終了することができる。反対に、外部ネゴシエーションエンジン１２６と内部ネゴシエーションエンジン１２８とが共通した複数のプロトコルを特定した場合、転送速度、キーのビット深度または他のセキュリティ機構のようなネットワーク基準、もしくは他の要因に基づいて１つのプロトコルを選択することができる。

相互に互換性のあるプロトコルが整備されている場合、外部エージェント１１４と内部マネージャ１０４の間に安全なセッションを確立することができる。実施形態では、追加されたセキュリティのために、外部エージェント１１４と内部マネージャ１０４のそれぞれが同様に、相手ノードの識別、特権レベル、または他のセキュリティ詳細を検証するために認証ステップを実行することができる。図１に示すように、これは証明書または他のセキュリティ機構を使用して実行することができる。外部エージェント１１４は、証明書１０８を認証局１１０に伝達することによって内部マネージャ１０４を認証することができる。内部マネージャ１０４は、反対に、証明書１１６を認証局１１０に伝達することによって外部エージェント１１４を認証することができる。他のセキュリティ機構を使用することもできる。

外部エージェント１１４と内部マネージャ１０４との間で交換されるデータのタイプまたはコンテンツは、実施形態では、これら２つのノード間の相互認証に基づくことができる。例えば、ネットワーク管理ルールまたはパラメータに対するアクセスを、所与のレベルのアクセス特権だけを示す内部または外部ノードに対して確保することができる。他の認証ルールまたは基準も使用することができる。操作セキュリティプロトコルを確立しており、認証処理が１つでも完了した後では、外部エージェント１１４と内部マネージャ１０４とは、データ、アプリケーション、ルール、または他の情報を交換することができる。トラフィックが完了した場合、外部ネゴシエーションエンジン１２６と内部ネゴシエーションエンジン１２８とは通信リンクを解放または終了することができる。

本発明の一実施形態によるネットワークネゴシエーション処理全体を図４に示す。ステップ４０２で、処理を開始することができる。ステップ４０４で、セキュリティ使用可能ドメイン１０２を横断して安全な接続を確立することを求める要求は、外部エージェント１１４、内部マネージャ１０４、もしくは他のクライアント、エージェント、またはノードのどれかで生成することができる。ステップ４０６で、安全な接続を確立することを求める、送信側ノードと互換性のある第１のプロトコルセットを組み込んだ要求を、内部マネージャ１０４、外部エージェント１１４、もしくは他のクライアント、エージェントまたはノードのどれかである受信側ノードに送信することができる。ステップ４０８で、この要求は受信側ノードによって受信することができる。ステップ４１０で、内部マネージャ１０４、外部エージェント１１４、もしくは他のクライアント、エージェントまたはノードのどれかである受信側ノードは、使用可能なプロトコル間で一致を見つけることができるか否かを判定するために第１のプロトコルセットを受信側ノードの第２のプロトコルセットと比較する。

第１のプロトコルセットと第２のプロトコルセットの間に一致が見つかった場合、処理はステップ４１２に進むことができ、そこで複数の一致するプロトコルが見つかったか否かに関して判定することができる。複数の一致するプロトコルセットが見つかった場合、処理はステップ４１４に進むことができ、そこで一致する複数のプロトコルの１つを、転送速度、キーのビット深度、または他のセキュリティ機構のようなプロトコル基準、もしくは他の要因に基づいて使用するために選択することができる。次いで処理はステップ４１６に進むことができ、そこで安全な接続またはセッションを、選択されたプロトコルに基づいて外部エージェント１１４と内部マネージャ１０４との間で開始することができる。同様に、ステップ４１２で一致するプロトコルが１つしか見つからなかった場合、処理はステップ４１６に進むことができ、そこで安全な接続またはセッションを開始することができる。例えば、実施形態では、指定されたポートをＴＣＰ／ＩＰまたは他の通信または他のプロトコルの下で開くことができる。

ステップ４１８で、利用される一致するプロトコルに従ってハンドシェーキングおよび他のステップを進めて、プロトコル特定交換を外部エージェント１１４と内部マネージャ１０４との間で開始することができる。ステップ４２０で、外部エージェント１１４と内部マネージャ１０４のどちらかまたは両方を、適宜、対応する（外部エージェント１１４の）証明書１１６または（内部マネージャの）証明書１０８を認証局１０８に送ることによって、対応する他のノードを認証することができる。実施形態では、証明書１１６または証明書１０８もしくは他のセキュリティデータは、Ｘ．５０９規格または他の規格またはフォーマットに準拠する証明オブジェクトであるか、またはこれを含むことができる。適切な認証が完了すると、処理はステップ４２２に進むことができ、そこで外部エージェント１１４と内部マネージャ１０４との間で安全な接続またはセッションを実行することができる。例えば、ネットワークまたは他のルールを、システム管理または他の目的のためにこれら２つのノード間で伝達することができる。

安全なセッションが完了すると、処理はステップ４２４に進み、そこで外部エージェント１１４と内部マネージャ１０４との間の安全な接続を終了するかまたは解放することができる。ステップ４２６では、処理を終了するか、反復するか、前の処理点に戻るか、または他の行動を取ることができる。同様に、ステップ４１０の判定で一致するプロトコルが特定されなかった場合、処理は、終了するか、反復するか、前の処理点に戻るか、または他の行動を取るためにステップ４２６に進むことができる。

本発明の上記の記述は説明を目的としたものであり、当業者には構成および実施態様に対する修正が想起されよう。例えば、本発明は全般に単一の外部エージェント１１４に関して説明したが、実施形態では、セキュリティ使用可能ドメイン１０２内の内部マネージャ１０４もしくは他のクライアントまたはノードと一致するプロトコルを自動的にネゴシエートするよう複数の外部エージェントまたはノードを構成することができる。同様に、認証機構を全般にＸ．５０９または他の規格を使用して単一の認証エンティティである認証局１１０がサポートしているように記載したが、実施形態では、複数の認証エンティティもしくは他の認証または認可プラットフォームを使用することもできる。他のハードウェア、ソフトウェア、または１つのものとして記載した他の資源を実施形態では分散させることができ、同様に実施形態では分散されたものとして記載された資源を結合することができる。

さらに、セキュリティ使用可能ドメイン１０２外部のノードまたはエージェントと当該ドメイン内部のノードまたはエージェントの一方または他方の例を、安全なプロトコルのネゴシエーションを開始するように度々記載したが、本発明に従い構成された、ドメイン外部または内部のいかなるノードまたはエージェントでもプロトコル処理を開始することができるということが理解されよう。同様に、内部および外部エージェントのどちらか一方または両方は他方のエージェントまたはノードの認証を開始することができる。したがって、本発明の範囲は添付の特許請求の範囲によってのみ限定されるものである。

本発明の一実施形態が動作することのできるネットワークアーキテクチャを示す図である。 本発明の一実施形態による内部ノードと外部ノードの間のネゴシエーションプロセスを示す図である。 本発明の一実施形態によるプロトコルテーブル間の比較を示す図である。 本発明の一実施形態によるプロトコルネゴシエーション処理全体を示す図である。

Claims (62)

1. セキュリティプロトコルを自動的にネゴシエートする方法において、
   セキュリティ使用可能ドメイン内部の内部ノードとセキュリティ使用可能ドメイン外部の外部ノードとの間に安全な接続を確立するためのセキュリティ認証要求を受信すること、
   前記内部ノードに関連付けられた第１のプロトコルセットと前記外部ノードに関連付けられた第２のプロトコルセットとを比較すること、および
   前記第１のプロトコルセットと前記第２のプロトコルセットとの間の一致するプロトコルが見つけられた場合に前記外部ノードと前記内部ノードとの間に安全な接続を確立すること
   を含むことを特徴とする方法。
2. 前記外部ノードは、少なくとも１つのコンピュータとネットワーク使用可能無線デバイスとを含むことを特徴とする請求項１に記載の方法。
3. 前記内部ノードは、少なくとも１つのクライアントコンピュータとサーバとを含むことを特徴とする請求項１に記載の方法。
4. 前記セキュリティ使用可能ドメインは、分散型ディレクトリドメインを含むことを特徴とする請求項１に記載の方法。
5. 前記セキュリティ使用可能ドメインは、証明書ベースのドメインを含むことを特徴とする請求項１に記載の方法。
6. 前記証明書ベースのドメインは、Ｋｅｒｂｅｒｏｓ使用可能ドメインを含むことを特徴とする請求項５に記載の方法。
7. 前記一致するプロトコルはＸ．５０９証明書を含むことを特徴とする請求項６に記載の方法。
8. 前記セキュリティ認証要求が前記外部ノードによって生成されることを特徴とする請求項１に記載の方法。
9. 前記セキュリティ認証要求を受信することが前記内部ノードによって実行されることを特徴とする請求項８に記載の方法。
10. 前記セキュリティ認証要求が前記内部ノードによって生成されることを特徴とする請求項１に記載の方法。
11. 前記セキュリティ認証要求を受信することが前記外部ノードによって実行されることを特徴とする請求項１０に記載の方法。
12. 前記外部ノードと前記内部ノードとの間のセッションが完了した場合に前記安全な接続を終了することをさらに含むことを特徴とする請求項１に記載の方法。
13. 前記第１のプロトコルセットと前記第２のプロトコルセットとの間に一致が見つからない場合に接続処理を終了することをさらに含むことを特徴とする請求項１に記載の方法。
14. 複数の一致するプロトコルが見つかった場合に前記安全な接続を確立する際に使用するためにプロトコルを選択することをさらに含むことを特徴とする請求項１に記載の方法。
15. 前記内部ノードと前記外部ノードとの少なくとも１つを認証することをさらに含むことを特徴とする請求項１に記載の方法。
16. 前記認証することは証明書を認証局に伝達することを含むことを特徴とする請求項１５に記載の方法。
17. セキュリティプロトコルを自動的にネゴシエートするシステムにおいて、
    セキュリティ使用可能ドメイン内部の、関連付けられた第１のプロトコルセットを有する内部ノードに対する第１のインターフェースと、
    前記セキュリティ使用可能ドメイン外部の、関連付けられた第２のプロトコルセットを有する外部ノードに対する第２のインターフェースと、
    前記内部ノードと前記外部ノードとの間に安全な接続を確立するためのセキュリティ認証要求を受信し、前記内部ノードに関連付けられた前記第１のプロトコルセットと前記外部ノードに関連付けられた前記第２のプロトコルセットとを比較し、前記第１のプロトコルセットと前記第２のプロトコルセットとの間に一致するプロトコルが見つけられた場合に前記外部ノードと前記内部ノードとの間に安全な接続を確立するネゴシエーションエンジンと
    を含むことを特徴とするシステム。
18. 前記外部ノードは、少なくとも１つのコンピュータとネットワーク使用可能無線デバイスとを含むことを特徴とする請求項１７に記載のシステム。
19. 前記内部ノードは、少なくとも１つのクライアントコンピュータとサーバとを含むことを特徴とする請求項１７に記載のシステム。
20. 前記セキュリティ使用可能ドメインは、分散型ディレクトリドメインを含むことを特徴とする請求項１７に記載のシステム。
21. 前記セキュリティ使用可能ドメインは、証明書ベースのドメインを含むことを特徴とする請求項１７に記載のシステム。
22. 前記証明書ベースのドメインは、Ｋｅｒｂｅｒｏｓ使用可能ドメインを含むことを特徴とする請求項２１に記載のシステム。
23. 前記一致するプロトコルはＸ．５０９証明書を含むことを特徴とする請求項２２に記載のシステム。
24. 前記セキュリティ認証要求が前記外部ノードによって生成されることを特徴とする請求項１７に記載のシステム。
25. 前記セキュリティ認証要求が前記内部ノードによって受信されることを特徴とする請求項２４に記載のシステム。
26. 前記セキュリティ認証要求は前記内部ノードによって生成されることを特徴とする請求項１７に記載のシステム。
27. 前記セキュリティ認証要求が前記外部ノードによって受信されることを特徴とする請求項２６に記載のシステム。
28. 前記外部ノードと前記内部ノードとの間のセッションが完了した場合に前記ネゴシエーションエンジンが前記安全な接続を終了することを特徴とする請求項１７に記載のシステム。
29. 前記第１のプロトコルセットと前記第２のプロトコルセットとの間に一致が見つからない場合に前記ネゴシエーションエンジンが接続処理を終了することを特徴とする請求項１７に記載のシステム。
30. 複数の一致するプロトコルが見つかった場合に前記ネゴシエーションエンジンが前記安全な接続を確立する際に使用するためにプロトコルを選択することを特徴とする請求項１７に記載のシステム。
31. 前記内部ノードと前記外部ノードとの少なくとも１つが他方を認証することを特徴とする請求項１７に記載のシステム。
32. 前記認証することは証明書を認証局に伝達することを特徴とする請求項３１に記載のシステム。
33. セキュリティプロトコルを自動的にネゴシエートするシステムにおいて、
    セキュリティ使用可能ドメイン内部の、関連付けられた第１のプロトコルセットを有する内部ノードにインターフェースするための第１のインターフェース手段と、
    前記セキュリティ使用可能ドメイン外部の、関連付けられた第２のプロトコルセットを有する外部ノードにインターフェースするための第２のインターフェース手段と、
    前記内部ノードと前記外部ノードとの間に安全な接続を確立するためのセキュリティ認証要求を受信し、前記内部ノードに関連付けられた前記第１のプロトコルセットと前記外部ノードに関連付けられた前記第２のプロトコルセットとを比較し、前記第１のプロトコルセットと前記第２のプロトコルセットとの間に一致するプロトコルが見つけられた場合に前記外部ノードと前記内部ノードとの間に安全な接続を確立するためのネゴシエーション手段と
    を含むことを特徴とするシステム。
34. 前記外部ノードは、少なくとも１つのコンピュータとネットワーク使用可能無線デバイスとを含むことを特徴とする請求項３３に記載のシステム。
35. 前記内部ノードは、少なくとも１つのクライアントコンピュータとサーバとを含むことを特徴とする請求項３３に記載のシステム。
36. 前記セキュリティ使用可能ドメインは、分散型ディレクトリドメインを含むことを特徴とする請求項３３に記載のシステム。
37. 前記セキュリティ使用可能ドメインは、証明書ベースのドメインを含むことを特徴とする請求項３６に記載のシステム。
38. 前記証明書ベースのドメインは、Ｋｅｒｂｅｒｏｓ使用可能ドメインを含むことを特徴とする請求項３７に記載のシステム。
39. 前記一致するプロトコルはＸ．５０９証明書を含むことを特徴とする請求項３８に記載のシステム。
40. 前記セキュリティ認証要求が前記外部ノードによって生成されることを特徴とする請求項３３に記載のシステム。
41. 前記セキュリティ認証要求が前記内部ノードによって受信されることを特徴とする請求項４０に記載のシステム。
42. 前記セキュリティ認証要求が前記内部ノードによって生成されることを特徴とする請求項３３に記載のシステム。
43. 前記セキュリティ認証要求が前記外部ノードによって受信されることを特徴とする請求項４２に記載のシステム。
44. 前記外部ノードと前記内部ノードとの間のセッションが完了した場合に前記ネゴシエーション手段が前記安全な接続を終了することを特徴とする請求項３３に記載のシステム。
45. 前記第１のプロトコルセットと前記第２のプロトコルセットとの間に一致が見つからない場合に前記ネゴシエーション手段が接続処理を終了することを特徴とする請求項３３に記載のシステム。
46. 複数の一致するプロトコルが見つかった場合に前記ネゴシエーション手段が前記安全な接続を確立する際に使用するためにプロトコルを選択することを特徴とする請求項３３に記載のシステム。
47. 前記内部ノードと前記外部ノードとの少なくとも１つが他方を認証することを特徴とする請求項３３に記載のシステム。
48. 前記認証することが証明書を認証局に伝達することを特徴とする請求項４７に記載のシステム。
49. セキュリティプロトコルを自動的にネゴシエートする方法を実行するための可読のコンピュータ可読媒体において、前記方法が、
    セキュリティ使用可能ドメイン内部の内部ノードとセキュリティ使用可能ドメイン外部の外部ノードとの間に安全な接続を確立するためのセキュリティ認証要求を受信すること、
    前記内部ノードに関連付けられた第１のプロトコルセットと前記外部ノードに関連付けられた第２のプロトコルセットとを比較すること、および
    前記第１のプロトコルセットと前記第２のプロトコルセットとの間の一致するプロトコルが見つけられた場合に前記外部ノードと前記内部ノードとの間に安全な接続を確立すること
    を含むことを特徴とするコンピュータ可読媒体。
50. 前記外部ノードは、少なくとも1つのコンピュータとネットワーク使用可能無線デバイスとを含むことを特徴とする請求項４９に記載のコンピュータ可読媒体。
51. 前記内部ノードは、少なくとも１つのクライアントコンピュータとサーバとを含むことを特徴とする請求項４９に記載のコンピュータ可読媒体。
52. 前記セキュリティ使用可能ドメインは、分散型ディレクトリドメインを含むことを特徴とする請求項４９に記載のコンピュータ可読媒体。
53. 前記セキュリティ使用可能ドメインは、証明書ベースのドメインを含むことを特徴とする請求項４９に記載のコンピュータ可読媒体。
54. 前記証明書ベースのドメインは、Ｋｅｒｂｅｒｏｓ使用可能ドメインを含むことを特徴とする請求項５３に記載のコンピュータ可読媒体。
55. 前記一致するプロトコルはＸ．５０９証明書を含むことを特徴とする請求項５４に記載のコンピュータ可読媒体。
56. 前記セキュリティ認証要求が前記外部ノードによって生成されることを特徴とする請求項４９に記載のコンピュータ可読媒体。
57. 前記セキュリティ認証要求を受信することは前記内部ノードによって実行されることを特徴とする請求項５６に記載のコンピュータ可読媒体。
58. 前記セキュリティ認証要求が前記内部ノードによって生成されることを特徴とする請求項４９に記載のコンピュータ可読媒体。
59. 前記セキュリティ認証要求を受信することが前記外部ノードによって実行されることを特徴とする請求項５８に記載のコンピュータ可読媒体。
60. 前記方法は、前記外部ノードと前記内部ノードとの間のセッションが完了した場合に前記安全な接続を終了することをさらに含むことを特徴とする請求項４９に記載のコンピュータ可読媒体。
61. 前記方法は、前記第１のプロトコルセットと前記第２のプロトコルセットとの間に一致が見つからない場合に接続処理を終了することをさらに含むことを特徴とする請求項４９に記載のコンピュータ可読媒体。
62. 前記方法は、複数の一致するプロトコルが見つかった場合に前記安全な接続を確立する際に使用するためにプロトコルを選択することをさらに含むことを特徴とする請求項４９に記載のコンピュータ可読媒体。
    

Images