JP2005128622A - 状態証明書を利用したセキュリティレベル管理システム - Google Patents

Abstract

【課題】 コンピュータに大きな負担をかけることなく、ウイルス定義ファイルやＯＳのパッチレベルの確認を行うセキュリティレベル管理システムを提供する。
【解決手段】 コンピュータ１０１のセキュリティ情報をもとに状態証明センタ１０２はコンピュータ１０１の状態証明書を作成してコンピュータ１０１へ送信し、コンピュータ１０１は状態証明書を記憶領域へ格納する。状態送信センタ１０３は、ネットワークに接続するためのセキュリティを満たすウイルス定義ファイルの情報やＯＳのパッチ情報を含む安全状態情報を作成し、状態検証器１０４へ送信する。状態検証器１０４はコンピュータ１０１の状態証明書と、安全状態情報とを比較し、問題がある場合には、”ＮＧ”をコンピュータ１０１へ出力し、コンピュータ１０１はネットワークから切断する。
【選択図】 図１

Description

本発明は、コンピュータへの不正進入やコンピュータウイルスの感染拡大を防止するためのセキュリティレベル管理システムに関するものである。

従来の技術では、必ずしもすべてのコンピュータが最新のパッチレベルとウイルス定義ファイルを保てるわけではない。現実にはＯＳやアプリケーションを正規のライセンスを持たずに使用しているケースがあり、これらのＯＳやアプリケーションのユーザは、正規のライセンスを使用していない事実が発覚することを恐れ、最新の状態にアップデートしないからである。また、コンピュータのユーザは、ＯＳやウイルス定義ファイルのアップデートを怠るケースも多い。これらを原因として、インターネットでのウイルス被害も実際に発生している。ネットワークセキュリティの観点では、問題のあるすべてのコンピュータは即時にネットワークから切り離される必要があるが、現実の技術ではこれは実現されていない。

また、ログイン時にセキュリティレベルをチェックするシステムでは、ログインごとにプログラムがコンピュータのファイルを読み込み、状態をチェックする。この方式ではログインごとにクライアントでのファイルアクセスや演算が発生し、ログインに時間がかかる問題がある。

更に、現在のコンピュータウイルスやＯＳなどの脆弱性のチェックシステムでは、個々のコンピュータが、ある時点においてどのパッチレベルにあったかを確認することができないため、感染や進入経路の特定や、運営上の責任分解を行うことが困難である。あるセンターですべてのレベルをチェックする仕組みがあればよいが、これも正規のライセンスを保持しないユーザをカバーすることは困難な問題点あった。
なお、従来のセキュリティ管理技術として、特許文献１および特許文献２に記載されるものが知られている。
特開２０００−２９７９９号公報 特開２００２−３６６５２５号公報

本発明は上記の事情を考慮してなされたもので、その目的は、コンピュータウイルスの被害拡大と、ＯＳの脆弱性に起因する不正アクセスとを防止するため、コンピュータやネットワークに大きな負担をかけることなくウイルス定義ファイルやＯＳのパッチレベルの確認を行うセキュリティレベル管理システムを提供することにある。

この発明は前述の課題を解決するためになされたもので、請求項１の発明は、ネットワークに接続されたコンピュータと、前記コンピュータのセキュリティ状態を証明する状態証明書を発行する状態証明センタと、前記コンピュータに対して、セキュリティレベル情報（セキュリティホールに対応するためのプログラムの更新状況や、ウイルス対策ソフトのバージョン情報等により、コンピュータのセキュリティ耐性性能を表す情報）を含む安全状態情報を出力する状態送信センタと、前記コンピュータのセキュリティ状態を判定する状態検証器とからなるセキュリティレベル管理システムにおいて、前記コンピュータは、前記コンピュータのセキュリティレベル情報を含むセキュリティ情報を記憶領域に格納するセキュリティファイル管理部と、前記セキュリティ情報と、乱数とを前記状態証明センタへ送信し、前記状態証明書の作成を要求する状態証明書要求生成部と、データを他のコンピュータや機器に送信するデータ送信部と、セキュリティレベルの検証要求を前記状態検証器へ出力する検証要求データ生成部と、状態証明センタから状態証明書を入力し、記憶領域へ格納する状態証明書管理部と、他のコンピュータや機器からのデータの入力を行うデータ受信部と、状態検証器からコンピュータのセキュリティレベルの検証結果を入力し、コンピュータのネットワークからの切断、復帰を行う切断復帰実行部とを具備し、前記状態証明センタは、前記コンピュータから証明要求を受信する証明要求受信部と、前記状態証明書を作成する状態証明書生成部と、前記状態証明書を前記コンピュータへ送信する状態証明書送信部とを具備し、前記状態送信センタは、セキュリティホールに対応するためのプログラムの更新状況や、ウイルス対策ソフトのバージョン情報等を記憶領域に格納する安全状態リスト管理部と、安全状態情報を作成する安全状態情報生成部と、前記安全状態情報を前記状態検証器へ送信する安全状態情報送信部とを具備し、前記状態検証器は、前記状態送信センタから安全状態情報を受信する安全状態情報受信部と、前記コンピュータから前記状態証明書を受信する第２のデータ受信部と、前記コンピュータへデータを送信するデータ送信部と、前記安全状態情報を前記安全状態情報受信部を経由して前記状態送信センタから入力する安全状態情報検証部と、前記状態証明書を、第２のデータ受信部を経由して前記コンピュータから入力する検証要求データ検証部と、前記状態証明書と、前記安全状態情報とを比較して前記コンピュータのセキュリティレベルの判定を行い、判定結果を前記データ送信部を経由して前記コンピュータへ出力する状態証明書検証部とを具備することを特徴とするものである。

請求項２に記載の発明は、請求項１に記載のセキュリティレベル管理システムであって、前記状態証明センタは前記状態証明書に電子署名を付与するために公開鍵と秘密鍵とを備え、前記コンピュータと、前記状態検証器とは前記公開鍵を予め保有し、前記状態証明書生成部は前記セキュリティ情報に前記秘密鍵をもとに、電子署名を付与し、前記データ受信部は、前記セキュリティ情報を前記公開鍵をもとに復号し、前記電子署名が前記状態証明センタの電子署名であることをチェックすることを特徴とするものである。

請求項３に記載の発明は、請求項１に記載のセキュリティレベル管理システムであって、前記状態証明センタと、前期状態検証器とは前記状態証明書に付与する秘密情報を備え、前記状態証明書生成部は前記セキュリティ情報に前記秘密情報を加えて状態証明書を作成し、前記状態証明書検証部は、前記状態証明書中の前記秘密情報と、前記状態検証器が備える前記秘密情報とが同一であることをチェックすることを特徴とするものである。

請求項４に記載の発明は、請求項１〜請求項３に記載のセキュリティレベル管理システムであって、前記コンピュータの前記セキュリティ情報が前記コンピュータの識別情報を備え、前記状態証明書が前記コンピュータの識別情報を備え、前記検証要求データ検証部が、前記セキュリティ情報の前記コンピュータの識別情報と、前記状態証明書の前記コンピュータの識別情報とを比較し、一致する場合には"ＯＫ"を、一致しない場合には"ＮＧ"を、前記データ送信部を経由して前記コンピュータへ出力することを特徴とするものである。

請求項５に記載の発明は、請求項１〜請求項４に記載のセキュリティレベル管理システムであって、前記状態送信センタは前記安全状態情報に第２の電子署名を付与するために第２の公開鍵と第２の秘密鍵とを備え、前記状態検証器は前記第２の公開鍵を予め保有し、前記状態証明書生成部は前記安全状態情報に前記第２の秘密鍵をもとに電子署名を付与し、前記安全状態情報検証部は、前記安全状態情報を前記第２の公開鍵をもとに復号し、前記第２の電子署名が前記状態送信センタのものであることをチェックすることを特徴とするものである。

請求項６に記載の発明は、請求項１〜請求項５に記載のセキュリティレベル管理システムであって、前記安全状態情報生成部は、前記安全状態情報にネットワークに接続するためのセキュリティレベルを満たすセキュリティホールに対応するためのプログラムの更新状況や、ウイルス対策ソフトのバージョン情報等との組み合わせの情報を含み、前記状態証明書検証部は、前記状態証明書の情報が前記セキュリティホールに対応するためのプログラムの更新情報や、ウイルス対策ソフトのバージョン情報等との組み合わせの情報に該当することをチェックすることを特徴とするものである。

請求項７に記載の発明は、請求項１〜請求項６に記載のセキュリティレベル管理システムであって、前記状態証明センタは、時刻を出力する時計部を加えて具備し、前記状態証明書生成部は前記時計部から時刻を入力して前記状態証明書に付加することを特徴とするものである。

請求項１の発明によれば、セキュリティレベル管理システムが、状態証明センタと、状態送信センタと、状態検証器とを備え、これによってコンピュータは、状態証明書と、安全状態情報とを比較するだけでセキュリティレベルのチェックを完了できる。このため、従来のように、ユーザがログインした際に、コンピュータは格納するデータを全てスキャンするなどの処理は必要がなくなり、ログイン処理を高速に実行できる効果が得られる。
また、状態検証器がセキュリティレベルをチェックするため、ネットワーク上の全てのコンピュータに関してセキュリティレベルのチェックができる効果がある。

また、請求項２の発明によれば、状態証明センタが状態証明書に電子署名を付与することにより、状態証明書を偽造して使用することができなくなるため、セキュリティレベルの低いコンピュータをネットワークから排除できる効果が得られる。

また、請求項３の発明によれば、状態証明書に秘密情報付与することにより、状態証明書の改ざんと、他のコンピュータが状態証明書を使用する成りすましを防止できるため、セキュリティレベルの低いコンピュータをネットワークから排除できる効果が得られる。

また、請求項４の発明によれば、状態証明書にコンピュータの識別情報を設定し、コンピュータが識別情報の確認を行うことにより、状態証明書をコピーして使用することができなくなるため、セキュリティレベルの低いコンピュータをネットワークから排除できる効果が得られる。

また、請求項５の発明によれば、安全状態情報に電子署名を付与することにより、第３者による安全状態情報の配布ができなくなり、これにより、ＯＳのパッチ情報やウイルス定義ファイルの情報が正しくコンピュータに送信されるため、コンピュータのセキュリティレベルの低下を抑止できる効果が得られる。

また、請求項６の発明によれば、安全状態情報にネットワークに接続するためのセキュリティレベルを満たすＯＳのパッチ情報と、ウイルス定義ファイル情報との組み合わせの情報を含めることにより、コンピュータはコンピュータのＯＳのパッチ情報と、ウイルス定義ファイル情報との組み合わせが十分なセキュリティレベルにあることを確実に確認できるため、セキュリティレベルの低いコンピュータをネットワークから排除できる効果が得られる。

また、請求項７の発明によれば、状態証明書に時刻を加えたことにより、ユーザは個々のコンピュータがある時点において、どのセキュリティレベルにあったかを判定することができる効果がある。

以下、図面を参照し、この発明の実施の形態を説明する。
図１はこの発明の実施の形態におけるセキュリティレベル管理システムの構成図である。状態送信センタ１０３は、ネットワークに接続するコンピュータが満たす必要があるＯＳのパッチ情報と、ウイルス定義ファイルの情報とを記憶領域に格納し、これらより構成される安全状態情報を作成し、インターネットを介してコンピュータ１０１の状態検証器１０４に送信する。この状態送信センタ１０３はデータに電子署名を付与して送信するため、所定の秘密鍵ＳＫｖｓと、所定の公開鍵ＰＫｖｓとを記憶領域に格納し、公開鍵ＰＫｖｓを予め状態検証器１０４に提供しているものとする。

状態検証器１０４は、状態送信センタ１０３からの情報を受信してコンピュータ１０１のセキュリティレベルの確認を行う。コンピュータ１０１は状態証明センタ１０２に対してコンピュータ１０１のＯＳのパッチ情報と、ウイルス定義ファイルの情報と、コンピュータ１０１の識別情報とをインターネットを介して送信し、状態証明センタ１０２から状態証明書を受信して記憶領域に格納する。また、状態検証器１０４によるセキュリティレベルの判定結果をチェックし、セキュリティレベルが低い場合にはコンピュータ１０１をネットワークから切り離す。

状態証明センタ１０２はコンピュータ１０１からデータを受信し、コンピュータ１０１のＯＳのパッチレベルと、ウイルス定義ファイルのバージョンと、コンピュータ１０１の識別情報と、時刻とを記載した状態証明書を作成し、コンピュータ１０１へ送信する。
また、状態証明センタ１０２はデータを暗号化して受信するため、所定の秘密鍵ＳＫｃｃと、所定の公開鍵ＰＫｃｃとを記憶領域に格納し、公開鍵ＰＫｃｃを予めコンピュータ１０１に提供しているものとする。また、公開鍵ＰＫｃｃと、秘密鍵ＳＫｃｃとを、状態証明書に電子署名を付与して配布する際にも使用するものとする。
また、符号１０１ａはコンピュータであり、ルータ１０５は、コンピュータ１０１ａがデータの送受信を行う際にルーティング処理を行う。状態検証器１０４ａは状態検証器１０４と同じ機能を持つ。

図２はコンピュータ１０１の内部構成を表すブロック図である。
セキュリティファイル管理部２０３は、コンピュータ１０１のＯＳのパッチ情報と、ウイルス定義ファイルのバージョンと、コンピュータ１０１の識別情報とで構成されるセキュリティ情報を記憶領域に格納する。ここで、コンピュータ１０１の識別情報は、例えば、コンピュータ１０１のハードウェアの固有情報によって生成されるものである。乱数生成部２０２は、乱数を生成して出力する。

状態証明書要求生成部２０１は乱数生成部２０２から乱数を入力し、セキュリティファイル管理部からセキュリティ情報を入力し、セキュリティ情報を乱数を元にハッシュ処理し、乱数を状態証明センタ１０２から予め提供されている所定の公開鍵ＰＫｃｃを元に暗号化し、データ送信部２０４を経由して状態証明センタ１０２へ状態証明書の作成要求と、ハッシュ処理されたセキュリティ情報と、暗号化された乱数とを送信する。

検証要求データ生成部２０６は、データ送信部２０４を経由してセキュリティレベルの検証要求を状態検証器１０４へ出力する。状態証明書管理部２０９は状態証明センタ１０２からデータ受信部２０７を経由して受信される状態証明書を入力し、記憶領域へ格納する。乱数管理部２０５は、乱数生成部２０２で生成された乱数を記憶領域へ格納する。

切断復帰実行部２０８はデータ受信部２０７を経由して状態検証器１０４からコンピュータ１０１のセキュリティレベルの検証結果を入力し、検証結果が“ＮＧ”の場合には、コンピュータ１０１のネットワークからの切断処理を行う。データ受信部２０７はデータの受信処理を行い、データ送信部２０４はデータの送信処理を行う。

図３は状態証明センタ１０２の内部構成を表すブロック図である。
証明要求受信部３０１は、コンピュータ１０１からデータを受信する。証明要求復号部３０２は、証明要求受信部３０１を経由して、ハッシュ処理されたセキュリティ情報と、暗号化された乱数とをコンピュータ１０１から受信し、秘密鍵ＳＫｃｃをもとにこれらを復号して状態証明書生成部３０３へ出力する。

状態証明書生成部３０３は証明要求復号部３０２からデータを受け取り、時計３０４から時刻を入力し、セキュリティ情報と、乱数と、時刻とを１つのデータにまとめて秘密鍵ＳＫｃｃをもとに電子署名を付与して状態証明書を作成し、状態証明書送信部３０５へ出力する。状態証明書送信部３０５は状態証明書をコンピュータ１０１へ送信する。

図４は状態送信センタ１０３の内部構成を表すブロック図である。
安全状態リスト管理部４０３は、ネットワークに接続するコンピュータが満たす必要のあるＯＳのパッチ情報と、ウイルス定義ファイルの情報とを記憶領域に格納している。安全状態情報生成部４０１は時計４０２から時刻を取得し、安全状態リスト管理部４０３からＯＳのパッチ情報と、ウイルス定義ファイルの情報とを取得し、ＯＳのパッチ情報と、ウイルス定義ファイルの情報とからネットワークに接続するためのセキュリティの基準を満たす構成のリストを生成し、時刻を付加して１つのデータにまとめ、秘密鍵ＳＫｖｓを元に電子署名を付与して安全状態情報を作成し、安全状態情報送信部４０４へ出力する。安全状態情報送信部４０４は安全状態情報をコンピュータ１０１へ送信する、

図５は状態検証器１０４の内部構成を表すブロック図である。
安全状態情報受信部５０１は、データを受信する。安全状態情報検証部５０２は、安全状態情報受信部５０１を経由して状態送信センタ１０３から安全状態情報を入力し、安全状態情報を公開鍵ＰＫｖｓをもとに復元し、安全状態情報に付加された電子署名が状態送信センタ１０３のものであることをチェックし、安全状態情報を検証要求データ検証部５０３へ出力する。
検証要求データ検証部５０３は安全状態情報検証部５０２から安全状態情報を入力し、コンピュータ１０１からセキュリティレベルの検証要求と、状態証明書とをデータ復号部５０７を経由して入力し、状態証明書と、安全状態情報とを状態証明書検証部５０８へ出力する。データ復号部５０７はデータ受信部５０６を経由してコンピュータ１０１から暗号化された状態証明書を入力し、これを公開鍵ＰＫｃｃをもとに復号して検証要求データ検証部５０３へ出力する。

状態証明書検証部５０８は検証要求データ検証部５０３からデータを受け取り、状態証明書と、安全状態情報とを比較してセキュリティレベルの判定を行い、“ＯＫ”または“ＮＧ”を、データ送信部２０４を経由してコンピュータ１０１へ出力する。
乱数生成部５０４は、乱数を生成して出力する。データ受信部５０６はデータを受信し、データ送信部５０５は、データを出力する。
なお、状態検証器１０４はデータを暗号化して受信するため、所定の秘密鍵ＳＫｓと、所定の公開鍵ＰＫｓとを記憶領域に格納し、公開鍵ＰＫｓを予めコンピュータ１０１に提供しているものとする。

次に、図を参照して本実施形態における状態証明書要求処理と状態検証処理の動作について、説明する。
＜状態証明書の取得処理＞
図６は状態証明書の取得処理の流れを示している。Ｓ６０１において、状態証明書要求生成部２０１は乱数生成部２０２に乱数生成を要求し、乱数Ａを入力する。
次に、Ｓ６０２において、状態証明書要求生成部２０１はセキュリティファイル管理部２０３へ、セキュリティ情報の出力を要求する。セキュリティファイル管理部２０３は、コンピュータ１０１のセキュリティ情報を状態証明書要求生成部２０１へ出力する。状態証明書要求生成部２０１は、セキュリティファイル管理部２０３からデータを入力し、セキュリティ情報を、乱数Ａを元にハッシュ処理し、乱数Ａを状態証明センタ１０２から予め提供された公開鍵ＰＫｃｃを元に暗号化し、状態証明書の作成要求と、ハッシュ処理されたセキュリティ情報と、暗号化された乱数Ａとをデータ送信部２０４を経由して状態証明センタ１０２へ送信する。

次に、Ｓ６０３において、証明要求復号部３０２は、証明要求受信部３０１を経由して、証明要求受信部３０１からデータを受け取り、秘密鍵ＳＫｃｃに基づいて暗号化された乱数Ａを復号し、乱数Ａと、ハッシュ処理されたセキュリティ情報とを状態証明書生成部３０３へ出力する。
次に、Ｓ６０４において、状態証明書生成部３０３は証明要求復号部３０２からデータを入力し、時計３０４から時刻を入力、乱数Ａと、ハッシュ処理されたセキュリティ情報と、時刻とを１つのデータにまとめ、これに秘密鍵ＳＫｃｃを元に電子署名を付与して状態証明書を作成し、状態証明書送信部３０５を経由して状態証明書をコンピュータ１０１へ送信する。

次に、Ｓ６０５において、コンピュータ１０１のデータ受信部２０７は状態証明書生成部３０３から送信されたデータを受信し、公開鍵ＰＫｃｃを元に復号する。データ受信部２０７は復号したデータの中から乱数Ａを読み込み、乱数管理部２０５へ出力する。乱数管理部２０５はデータ受信部２０７から乱数Ａを入力し、これを記憶領域へ格納、データ受信部２０７へ格納完了の通知を出力する。データ受信部２０７は乱数管理部２０５から格納完了の通知を入力し、状態証明書を状態証明書管理部２０９へ出力する。状態証明書管理部２０９はデータ受信部２０７から状態証明書を入力し、記憶領域へ状態証明書を格納し、状態証明書の取得処理を修了する（Ｓ６０６）。

＜証明書の検証処理＞
図７は証明書の検証処理の流れを示している。Ｓ７０１では、状態送信センタ１０３の安全状態情報生成部４０１は時計４０２へ時刻の出力を要求して時刻を入力し、安全状態リスト管理部４０３へ安全状態情報の出力を要求してこれを入力し、安全状態情報と時刻とを１つのデータにまとめて秘密鍵ＳＫｖｓを元に電子署名を付与し、安全状態情報送信部４０４を経由して、状態検証器１０４へ送信する。
次に、Ｓ７０２では、安全状態情報検証部５０２は、安全状態情報受信部５０１を経由して、状態検証器１０４のから安全状態情報を受信し、安全状態情報を公開鍵ＰＫｖｓをもとに復号して電子署名を読み込み、状態送信センタ１０３の電子署名であることを確認する。

ここで、電子署名が状態送信センタ１０３のものでない場合には、安全状態情報が正当なものではないため、状態検証処理は続行せず、次回の状態送信センタ１０３からの安全状態情報到着時に状態検証を行う。電子署名が状態送信センタ１０３の電子署名である場合には、安全状態情報検証部５０２は検証要求データ検証部５０３へ復号した安全状態情報を出力する。ここでは、電子署名は状態送信センタ１０３のものであるので、検証要求データ検証部５０３へ復号した安全状態情報を出力する。

次に、Ｓ７０３では、検証要求データ検証部５０３は安全状態情報検証部５０２からデータを入力し、復号した安全状態情報を記憶領域へ格納し、乱数生成部５０４へ乱数２個の生成要求を出力し、乱数生成部５０４から乱数Ｂと、乱数Ｃとを入力する。
次に、検証要求データ検証部５０３は乱数Ｂと、乱数Ｃとを記憶領域に格納し、乱数Ｂと、乱数Ｃとをデータ送信部５０５を経由してコンピュータ１０１へ出力する。

次に、Ｓ７０４では、コンピュータ１０１のデータ受信部２０７は検証要求データ検証部５０３から出力されたデータを受け取り、状態証明書管理部２０９へ乱数Ｂと、乱数Ｃとを出力する。状態証明書管理部２０９はデータ受信部２０７から乱数Ｂと、乱数Ｃとを入力し、状態証明書と、乱数Ｂと、乱数Ｃとを検証要求データ生成部２０６へ出力する。検証要求データ生成部２０６は、セキュリティファイル管理部２０３へセキュリティ情報の出力を要求し、セキュリティ情報を入力する。
次に、検証要求データ生成部２０６は、乱数Ｂとセキュリティ情報とを公開鍵ＰＫｓをもとに暗号化して１個のデータとし、セキュリティデータ１を作成する。更に、検証要求データ生成部２０６は、乱数Ｃと状態証明書とを公開鍵ＰＫｓをもとに暗号化して１個のデータとし、セキュリティデータ２を作成する。
次に、検証要求データ生成部２０６は、セキュリティデータ１と、セキュリティデータ２とを、データ送信部２０４を経由して状態検証器１０４へ出力する。

状態検証器１０４のデータ受信部５０６は検証要求データ生成部２０６からのデータを受け取り、データ復号部５０７へ出力する（Ｓ７０５）。データ復号部５０７はデータ受信部５０６からセキュリティデータ１と、セキュリティデータ２とを入力して秘密鍵ＳＫｓをもとに復号し、状態証明書を公開鍵ＰＫｃｃをもとに復号し、乱数Ｂと、乱数Ｃと、セキュリティ情報と、復号した状態証明書とを検証要求データ検証部５０３へ出力する（Ｓ７０５）。
次に、Ｓ７０６において、検証要求データ検証部５０３はデータ復号部５０７からデータを入力し、乱数Ｂと、乱数Ｃとが正しくもどってきたことを記憶領域に格納した乱数Ｂと、乱数Ｃとを読み込んで各々比較し、確認する。

ここで、乱数Ｂまたは乱数Ｃが一致しない場合には、検証要求データ検証部５０３はデータ送信部５０５を経由してコンピュータ１０１のデータ受信部２０７へ“ＮＧ”を出力する。データ受信部２０７は“ＮＧ”を切断復帰実行部２０８へ出力し、切断復帰実行部２０８はコンピュータ１０１をネットワークから切り離し、状態検証処理は終了する（Ｓ７０８）。
また、乱数Ｂおよび乱数Ｃが各々一致する場合には、検証要求データ検証部５０３は復号された状態証明書からコンピュータ１０１の識別情報を読み込み、セキュリティ情報中のコンピュータ１０１の識別情報と一致することを確認する。

ここで、コンピュータ１０１の識別情報が一致しない場合には、検証要求データ検証部５０３はデータ送信部５０５を経由してコンピュータ１０１のデータ受信部２０７へ“ＮＧ”を出力する。データ受信部２０７は“ＮＧ”を切断復帰実行部２０８へ出力し、切断復帰実行部２０８はコンピュータ１０１をネットワークから切り離し、状態検証処理は終了する（Ｓ７０８）。
また、コンピュータ１０１の識別情報が一致する場合には、検証要求データ検証部５０３は復号された状態証明書から電子署名を読み込み、電子署名が状態証明センタ１０２の署名と一致することを確認する。

ここで、電子署名が状態証明センタ１０２の署名と一致しない場合には、検証要求データ検証部５０３はデータ送信部５０５を経由してコンピュータ１０１のデータ受信部２０７へ“ＮＧ”を出力する。データ受信部２０７は“ＮＧ”を切断復帰実行部２０８へ出力し、切断復帰実行部２０８はコンピュータ１０１をネットワークから切り離し、状態検証処理は終了する（Ｓ７０８）。
また、この電子署名が状態証明センタ１０２の署名と一致する場合には、検証要求データ検証部５０３は復号された状態証明書と、復号した安全状態情報とを状態証明書検証部５０８へ出力する。

次に、Ｓ７０８において、状態証明書検証部５０８は検証要求データ検証部５０３からデータを受け取り、復号された状態証明書と、復号された安全状態情報とを比較して、コンピュータ１０１のＯＳのパッチとウイルス定義ファイルとが安全なレベルにあることをチェックする。

ここで、コンピュータ１０１のＯＳのパッチとウイルス定義ファイルとが安全なレベルにない場合、状態証明書検証部５０８はデータ送信部５０５を経由してコンピュータ１０１のデータ受信部２０７へ“ＮＧ”を出力する。データ受信部２０７は“ＮＧ”を切断復帰実行部２０８へ出力し、切断復帰実行部２０８はコンピュータ１０１をネットワークから切り離し、状態検証処理は終了する（Ｓ７０８）。

また、コンピュータ１０１のＯＳのパッチとウイルス定義ファイルとが安全なレベルである場合、状態証明書検証部５０８はデータ送信部５０５を経由してコンピュータ１０１のデータ受信部２０７へ“ＯＫ”を出力する。データ受信部２０７は“ＯＫ”を切断復帰実行部２０８へ出力し、切断復帰実行部２０８はコンピュータ１０１のセキュリティはネットワーク接続可能なレベルにあると判断し、状態証明書の検証処理は終了する（Ｓ７０８）。

なお、本実施の形態では状態送信センタ１０３からの安全状態情報の確認に関して電子署名を用いて行ったが、状態送信センタ１０３をＴＴＰ（Ｔｒｕｓｔｅｄ Ｔｈｉｒｄ Ｐａｒｔｙ）とすることを回避するための方法として、例えば、しきい値付き分散署名方式の適用がある。

なお、ネットワークから切断されたコンピュータをネットワークへ復帰させるために、ユーザはまず、ネットワークから切断されたままの状態のコンピュータに対して最新のＯＳのパッチや最新のウイルス定義ファイルを必要に応じてインストールする。次に、ユーザはインターネットに代表されるオープンなネットワークを使用せずに、専用線などを使って状態証明書の取得をコンピュータに実行させる。次に、ユーザはコンピュータに状態証明書の検証を実行させ、コンピュータをネットワークへ復帰させる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成はこれらの実施の形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、安全状態情報生成部４０１は、安全状態情報を作成する際に、安全状態リスト管理部４０３から入力したＯＳのパッチ情報と、ウイルス定義ファイルの情報とをもとにネットワークに接続するためのセキュリティの基準を満たす構成のリストを生成したが、逆にセキュリティの基準を満たさない構成のリストを作成してもよい。状態証明書検証部５０８は状態証明書との比較でセキュリティの基準を満たすことのチェックができる。
また、安全状態情報や状態証明書で照合する情報には、セキュリティホールに対応するためのプログラムの更新状況や、ウイルス対策ソフトのバージョン情報等、コンピュータのセキュリティ耐性性能を表す情報を含めてもよい。

また、本実施の形態では、状態証明センタ１０２は状態証明書に電子署名を付与したが、この電子署名を用いない方法として、状態証明センタ１０２と、状態検証器１０４とが同じ内容の秘密情報Ｓｅｃを記憶領域に格納して使用する方法がある。このＳｅｃは、例えば、コンピュータ１０１のハードウェア情報などから生成されるコンピュータ１０１の識別情報である。
まず、状態証明センタ１０２と、状態検証器１０４とは、記憶領域に予めＳｅｃを格納しているものとする。
次に、状態証明書生成部３０３は、コンピュータ１０１の状態証明書の作成時、Ｓｅｃを記憶領域から読み込み、状態証明書に含める。また、状態証明書生成部３０３は、秘密鍵ＳＫｃｃを元に電子署名を付与する処理は行わない。
次に、Ｓ７０５におけるデータ復号部５０７の公開鍵ＰＫｃｃをもとにした状態証明書の復号処理は行わない。
また、Ｓ７０８では、検証要求データ検証部５０３は状態証明書の電子署名と、状態証明センタ１０２の署名との比較は行わない。検証要求データ検証部５０３は状態証明書中の秘密情報と、状態検証器１０４の記憶領域中の秘密情報とを比較する。
このような変更は容易である。

本発明の実施の形態によるセキュリティレベル検証装置を使用したシステムの構成例を示す図である。 本発明の実施形態によるコンピュータの内部構成例を示すブロック図である。 本発明の実施形態による状態証明センタの内部構成例を示すブロック図である。 本発明の実施形態による状態送信センタの内部構成例を示すブロック図である。 本発明の実施形態による状態証明センタの内部構成例を示すブロック図である。 本発明の実施形態における状態証明書の取得処理を示すフローチャートである。 本発明の実施形態における状態証明書の検証処理を示すフローチャートである。

符号の説明

１０１、１０１ａ…コンピュータ
１０２…状態証明センタ
１０３…状態送信センタ
１０４、１０４ａ…状態検証器
１０５…ルータ
２０１…状態証明書要求生成部
２０２、５０４…乱数生成部
２０３…セキュリティファイル管理部
２０４、５０５…データ送信部
２０５…乱数管理部
２０６…検証要求データ生成部
２０７、５０６…データ受信部
２０８…切断復帰実行部
２０９…状態証明書管理部
３０１…証明要求受信部
３０２…証明要求復号部
３０３…状態証明書生成部
３０４、４０２…時計
３０５…状態証明書送信部
４０１…安全状態情報生成部
４０３…安全状態リスト管理部
４０４…安全状態情報送信部
５０１…安全状態情報受信部
５０２…安全状態情報検証部
５０３…検証要求データ検証部
５０７…データ復号部
５０８…状態証明書検証部

Claims (7)

1. ネットワークに接続されたコンピュータと、前記コンピュータのセキュリティ状態を証明する状態証明書を発行する状態証明センタと、前記コンピュータに対して、セキュリティレベル情報（セキュリティホールに対応するためのプログラムの更新状況や、ウイルス対策ソフトのバージョン情報等により、コンピュータのセキュリティ耐性性能を表す情報）を含む安全状態情報を出力する状態送信センタと、前記コンピュータのセキュリティ状態を判定する状態検証器とからなるセキュリティレベル管理システムにおいて、
   前記コンピュータは、
   前記コンピュータのセキュリティレベル情報を含むセキュリティ情報を記憶領域に格納するセキュリティファイル管理部と、
   前記セキュリティ情報と、乱数とを前記状態証明センタへ送信し、前記状態証明書の作成を要求する状態証明書要求生成部と、
   データを他のコンピュータや機器に送信するデータ送信部と、
   セキュリティレベルの検証要求を前記状態検証器へ出力する検証要求データ生成部と、
   状態証明センタから状態証明書を入力し、記憶領域へ格納する状態証明書管理部と、
   他のコンピュータや機器からのデータの入力を行うデータ受信部と、
   状態検証器からコンピュータのセキュリティレベルの検証結果を入力し、コンピュータのネットワークからの切断、復帰を行う切断復帰実行部とを具備し、
   前記状態証明センタは、
   前記コンピュータから証明要求を受信する証明要求受信部と、
   前記状態証明書を作成する状態証明書生成部と、
   前記状態証明書を前記コンピュータへ送信する状態証明書送信部とを具備し、
   前記状態送信センタは、
   セキュリティホールに対応するためのプログラムの更新状況や、ウイルス対策ソフトのバージョン情報等を記憶領域に格納する安全状態リスト管理部と、
   安全状態情報を作成する安全状態情報生成部と、
   前記安全状態情報を前記状態検証器へ送信する安全状態情報送信部とを具備し、
   前記状態検証器は、
   前記状態送信センタから安全状態情報を受信する安全状態情報受信部と、
   前記コンピュータから前記状態証明書を受信する第２のデータ受信部と、
   前記コンピュータへデータを送信するデータ送信部と、
   前記安全状態情報を前記安全状態情報受信部を経由して前記状態送信センタから入力する安全状態情報検証部と、
   前記状態証明書を、第２のデータ受信部を経由して前記コンピュータから入力する検証要求データ検証部と、
   前記状態証明書と、前記安全状態情報とを比較して前記コンピュータのセキュリティレベルの判定を行い、判定結果を前記データ送信部を経由して前記コンピュータへ出力する状態証明書検証部とを具備する
   ことを特徴とするセキュリティレベル管理システム。
2. 前記状態証明センタは前記状態証明書に電子署名を付与するために公開鍵と秘密鍵とを備え、
   前記コンピュータと、前記状態検証器とは前記公開鍵を予め保有し、
   前記状態証明書生成部は前記セキュリティ情報に前記秘密鍵をもとに電子署名を付与し、
   前記データ受信部は、前記セキュリティ情報を前記公開鍵をもとに復号し、前記電子署名が前記状態証明センタの電子署名であることをチェックする
   ことを特徴とする請求項１に記載のセキュリティレベル管理システム。
3. 前記状態証明センタと、前期状態検証器とは前記状態証明書に付与する秘密情報を備え、
   前記状態証明書生成部は前記セキュリティ情報に前記秘密情報を加えて状態証明書を作成し、
   前記状態証明書検証部は、前記状態証明書中の前記秘密情報と、前記状態検証器が備える前記秘密情報とが同一であることをチェックする
   ことを特徴とする請求項１に記載のセキュリティレベル管理システム。
4. 前記コンピュータの前記セキュリティ情報が前記コンピュータの識別情報を備え、
   前記状態証明書が前記コンピュータの識別情報を備え、
   前記検証要求データ検証部が、前記セキュリティ情報の前記コンピュータの識別情報と、前記状態証明書の前記コンピュータの識別情報とを比較し、一致する場合には"ＯＫ"を、一致しない場合には"ＮＧ"を、前記データ送信部を経由して前記コンピュータへ出力する
   ことを特徴とする請求項１〜３に記載のセキュリティレベル管理システム。
5. 前記状態送信センタは前記安全状態情報に第２の電子署名を付与するために第２の公開鍵と第２の秘密鍵とを備え、
   前記状態検証器は前記第２の公開鍵を予め保有し、
   前記状態証明書生成部は前記安全状態情報に前記第２の秘密鍵をもとに電子署名を付与し、
   前記安全状態情報検証部は、前記安全状態情報を前記第２の公開鍵をもとに復号し、前記第２の電子署名が前記状態送信センタのものであることをチェックする
   ことを特徴とする請求項１〜請求項４に記載のセキュリティレベル管理システム。
6. 前記安全状態情報生成部は、前記安全状態情報にネットワークに接続するためのセキュリティレベルを満たすセキュリティホールに対応するためのプログラムの更新状況や、ウイルス対策ソフトのバージョン情報等との組み合わせの情報を含み、
   前記状態証明書検証部は、前記状態証明書の情報が前記セキュリティホールに対応するためのプログラムの更新情報や、ウイルス対策ソフトのバージョン情報等との組み合わせの情報に該当することをチェックする
   ことを特徴とする請求項１〜請求項５に記載のセキュリティレベル管理システム。
7. 前記状態証明センタは、
   時刻を出力する時計部を加えて具備し、
   前記状態証明書生成部は前記時計部から時刻を入力して前記状態証明書に付加する
   ことを特徴とする請求項１〜請求項６に記載のセキュリティレベル管理システム。

Images