JP2005515550A - 信任証の管理およびネットワーク照会 - Google Patents

Abstract

本発明は、ネットワーク・デバイスの１つまたは複数の信任証を判定するシステムおよび方法を対象とする。このシステムおよび方法では、複数のネットワーク・デバイスの中から第１ネットワーク・デバイスを選択し、信任証リポジトリ（１０８）にアクセスし、第１ネットワーク・デバイスに連絡し、信任証の第１組の有効性をテストする。信任証リポジトリ（１０８）に、第１ネットワーク・デバイスに対応する信任証の第１組が含まれる。ユーザが、無効な信任証を提供するか信任証を提供しない場合に、候補信任証キュー（１１２）を使用して、信任証の第１組が有効でない時に、信任証の有効な第２組を推測することができる。

Description

本発明は、全般的には、データ・ネットワークでの認証に関し、詳細には、データ・ネットワーク内の計算コンポーネントの信任証の判定に関する。

計算ネットワークでは、性能のレベル（たとえば、ＢＥＲ、同期の消失など）、機器、モジュール、サブアセンブリ、カード障害、回路故障、トラフィックのレベル、およびネットワーク使用量を確認するために、データ収集用の１つまたは複数の自動化されたネットワーク管理システム（ＮＭＳ）デバイスを有することが一般的である。ＮＭＳデバイスによって、通常は、ルータ、イーサネット（登録商標）・スイッチ、および保管された情報の他のホストなどのネットワーク・コンポーネントが質問される。諒解されるように、ネットワーク・デバイスまたはネットワーク・コンポーネントは、物理的な対応物を有する場合とそうでない場合がある計算コンポーネントであり、たとえば、このコンポーネントは、インターフェースなどの仮想計算コンポーネントとすることができる。プロプラエタリ・ネットワーク管理システムの例に、Ｈｅｗｌｅｔｔ−Ｐａｃｋａｒｄ社のＯＰＥＮＶＩＥＷ（商標）、ＩＢＭ社のＮＥＴＶＩＥＷ（商標）、およびＤｉｇｉｔａｌ Ｅｑｕｉｐｍｅｎｔ Ｃｏｒｐｏｒａｔｉｏｎ社のＥＭＡ（商標）が含まれる。そのようなネットワーク管理システムが、分散処理ネットワーク内で企業ネットワークを監視し、制御するためにホストと通信できるようにするために、Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ ＰｒｏｔｏｃｏｌまたはＳＮＭＰおよびＣｏｍｍｏｎ Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ ＰｒｏｔｏｃｏｌまたはＣＭＩＰなどのネットワーク管理通信プロトコルが開発された。

質問中に、ＮＭＳデバイスは、ルータなどのネットワーク・デバイスに存在する認証システムと相互作用する。認証システムは、ネットワーク・セキュリティの本質的な部分である。通常、ユーザは、１つまたは複数の信任証を入力することによってのみ、あるネットワーク・デバイスの情報にアクセスすることができる。本明細書で使用される「信任証」は、供給される計算コンポーネント内の情報にアクセスするために計算コンポーネントに供給しなければならない情報の組（たとえば、文字または文字のストリング）である。ＳＮＭＰのバージョン１の信任証の例に、コミュニティ・ストリング（ｃｏｍｍｕｎｉｔｙ ｓｔｒｉｎｇ）が含まれ、ＳＮＭＰのバージョン３の信任証の例に、Ｕｓｅｒ−Ｂａｓｅｄ／Ｓｅｃｕｒｉｔｙ Ｍｏｄｅｌまたは、ＵＳＭモード、ユーザ名、認証方法、認証パスワード、プライバシ方法、およびプライバシ・パスワードが含まれ、ＴＥＬＮＥＴの信任証の例に、ユーザ・ログイン、パスワード、ルータ・タイプ、およびプロンプトが含まれる。諒解されるように、たとえば読取専用アクセス・レベルおよびスーパバイザ・レベルなど、異なるレベルの情報アクセスに、異なる信任証を要求することができる。

新しいＮＭＳシステム・デバイスがネットワークに接続される時に、ＮＭＳデバイスは、ネットワーク・デバイスに質問できるようになるのに使用されるさまざまな形の認証を学習しなければならない。学習処理には、通常は、ネットワークでツールを使用する前に、ユーザが手作業で信任証をセットすることが含まれる。これは、低速の作業であるだけではなく、使用中の認証の動的変更を簡単に可能にすることもできない。たとえば、一部のネットワーク・セキュリティ方式では、高いレベルのネットワーク・セキュリティを維持するために、信任証を周期的に変更する必要がある。
米国特許出願、表題「Ｔｏｐｏｌｏｇｙ Ｄｉｓｃｏｖｅｒｙ ｂｙ Ｐａｒｔｉｔｉｏｎｉｎｇ Ｍｕｌｔｉｐｌｅ Ｄｉｓｃｏｖｅｒｙ Ｔｅｃｈｎｉｑｕｅｓ」 米国特許出願、表題「Ｕｓｉｎｇ Ｌｉｎｋ Ｓｔａｔｅ Ｉｎｆｏｒｍａｔｉｏｎ ｔｏ Ｄｉｓｃｏｖｅｒ ＩＰ Ｎｅｔｗｏｒｋ Ｔｏｐｏｌｏｇｙ」

ネットワーク管理担当者は、通常、ＮＭＳデバイスでの信任証構成を簡単にするために、ネットワーク・セキュリティを危険にさらす。たとえば、一部のネットワーク管理システムは、ネットワーク内のすべてのコンポーネントで信任証にデフォルト信任証（一般に、パブリック・レベル・アクセス信任証）をセットすることに頼る。いくつかの応用例で、ネットワーク・コンポーネントに対するさまざまなアクセス・レベルが、共通のデフォルト信任証を使用することによって危険にさらされる。この実践では、認証のタイプが、デフォルト信任証のタイプに不必要に制限され、ネットワーク管理システムが使用できる機器のタイプが制限される可能性があり、ネットワーク・セキュリティも危険にさらされる。他のネットワーク管理システムは、ネットワーク管理システムが質問を実行する前に限られた数のパスワードを入力することを許容するが、使用中に認証の動的変更を可能にすることができない。

上記および他の必要は、本発明のさまざまな実施形態および構成によって対処される。本発明の信任証ディスカバリ（ｄｉｓｃｏｖｅｒｙ）エージェントによって、信任証リポジトリ（ｒｅｐｏｓｉｔｏｒｙ）および／または候補信任証キューを維持することによってネットワーク・デバイスの信任証が判定され、信任証リポジトリは、通常はネットワークで使用された信任証のヒストリカル・レコードであり、候補信任証キューは、通常は当のネットワーク・デバイスによって信任証が現在使用されている確度に基づいて順序付けられた信任証のリスティングである。１アーキテクチャで、エージェント、リポジトリ、およびキューによって、ネットワーク管理担当者が経時的に信任証を再利用し、任意の所与の時に、同一の信任証が異なるネットワーク・デバイスに再利用されるとみなされる。

一実施形態で、信任証ディスカバリ・エージェントは、
（ａ）複数のネットワーク・デバイスの中から第１ネットワーク・デバイスを選択するステップと、
（ｂ）信任証リポジトリにアクセスするステップであって、前記信任証リポジトリは、前記第１ネットワーク・デバイスに対応する信任証の第１組を含む、アクセスするステップと、
（ｃ）前記第１ネットワーク・デバイスに連絡するステップと、
（ｄ）信任証の前記第１組の有効性をテストするステップと
を実行することによって、ネットワーク・デバイスの１つまたは複数の信任証を判定する。

信任証リポジトリによって、学習された（たとえば、ユーザから、成功裡の推測によってなど）信任証が保持される。リポジトリは、実行の間で信任証を保存するのに使用され、エージェント動作中にリポジトリからの除去およびこれへの追加が可能である。実行の間に、リポジトリを用いて、信任証を保管することができ、したがって、任認証を、エージェントの後続の実行で使用することができる。

信任証リポジトリに、第１ネットワーク・デバイスに関連する複数の変数を含めることができる。この変数には、対応する信任証状態、対応するプロトコル識別子、対応する（ＩＰ）アドレス、信任証の前記第１組の少なくとも１つの信任証の使用の事例の総数、信任証の前記第１組の少なくとも１つの信任証に関連する対応する候補信任証頻度カウンタ、信任証の前記第１組の少なくとも１つの信任証の使用の新しさ、および信任証の前記第１組の少なくとも１つの信任証の管理局所性を含めることができる。プロトコル識別子は、ネットワーク・デバイスと通信するのに使用される、信任証および／または認証システムを定義するかこれに関連するプロトコルを示す。

エージェントが、リポジトリを使用して有効な信任証を判定できない場合には、エージェントは、テストすべき追加の信任証を求めるプロンプトをユーザに出すことができる。この形で、ユーザが、エージェントの動作に入力を供給することができる。ユーザは、通常、エージェントが異なるタイプのネットワーク・デバイスに連絡する時に、信任証のプロンプトを出される。ユーザは、要求された信任証に書き込み、エージェントは、入力された信任証を使用してネットワーク・デバイスに連絡することによって、入力された信任証が正しいことを検証する。信任証が有効である場合には、その信任証はリポジトリにコピーされる。

もう１つの実施形態では、エージェントが、前に使用された信任証が無効であるか不成功に検証される時に、
（ａ）候補信任証キューから１つまたは複数の信任証を選択するステップと、
（ｂ）ネットワーク・デバイスに連絡するステップと、
（ｃ）前記信任証の有効性をテストするステップと、
（ｄ）前記信任証が有効であるか否かに基づいて前記テストされた信任証に優先順位値またはランキングを割り当てるステップと
を実行することによって、ネットワーク・デバイスの少なくとも１つの信任証を判定する。

優先順位値は、ネットワーク・デバイスによって使用されている信任証を推測する必要がある時に、対応する信任証をテストする順序を決定するのに使用される。一構成で、優先順位値は、候補信任証キューの信任証のリスティングを順序付けるのに使用される。もう１つの構成では、優先順位値が、候補信任証頻度カウンタ、ユーザ・カウンタの新しさ、および信任証の対応する組に論理的に関連する管理局所性（ａｄｍｉｎｉｓｔｒａｔｉｖｅ ｌｏｃａｌｉｔｙ）の１つまたは複数に基づいて決定される。

一構成で、エージェントは、信任証についてユーザにプロンプトを出す前に、信任証の推測を試みる。この推測に、標準デフォルト、ネットワーク内の他所で使用されたか試行された信任証、またはユーザによって前もって供給された信任証を含めることができる。

エージェント、信任証リポジトリ、候補信任証キューは、複数の長所を有することができる。第１に、エージェントによって、リポジトリおよび候補を経時的に動的かつ自動的に維持することができる。普通のツールを用いて、そのツールが使用される前に限られた数の信任証が入力されるようにすることができるが、そのようなツールは、ツールの使用中にさらなる信任証を動的に追加することができない。対照的に、本発明のエージェントによって、信任証ディスカバリ・エージェントの実行中および／または各実行の後に、リポジトリおよびキューが更新される。第２に、エージェントを、普通の技法よりかなり短い時間で信任証を使用し、判定するのに便利にすることができる。第３に、エージェントによって、ユーザにプロンプトを出す前の信任証の学習付き推測を行うことによって、ユーザ対話の量を減らすことができる。いくつかの構成で、エージェントによって、検出されるすべての新しいネットワーク・デバイスに対して信任証が投機的にテストされて、ユーザ対話の必要が減る。第４に、エージェントによって、エージェント実行の前に信任証の長いリストをユーザが手作業で入力する必要を、事前に除去することができる。第５に、エージェントによって、ユーザにプロンプトを出し、既知の信任証を後の使用のためにリポジトリに保管することによって、未知の信任証を扱う際に、ネットワーク管理システムを柔軟にすることができる。上記および他の長所は、本明細書に記載の本発明の開示から明白になる。

上述の実施形態および構成は、完全でも網羅的でもない。諒解されるように、本発明の他の実施形態では、上または下で詳細に示される特徴の１つまたは複数を、単独でまたは組み合わせて使用することができる。

図１に、本発明の第１実施形態による計算アーキテクチャ１００を示す。アーキテクチャ１００に、選択されたネットワーク・デバイスまたはコンポーネントの１つまたは複数の有効な信任証を判定するように構成された信任証ディスカバリ・エージェント１０４、信任証をＩＰアドレスにマッピングし、他の情報を含む信任証リポジトリ１０８、信任証ディスカバリ・エージェント１０４によって推測された信任証の優先順位の順序で信任証をリストする候補信任証キュー１１２、および、信任証判定がユーザの要求で実行されなかったＩＰアドレスをリストするスキップ・リスト１１６が含まれる。

信任証リポジトリ１０８は、通常は暗号化されるが、エージェント１０４の実行時にロードされて、ネットワーク・コンポーネントのＩＰアドレスに関する信任証の初期移植を提供する。リポジトリには、ＩＰアドレスごとの、１つまたは複数の信任証、信任証状態、プロトコル識別子、および信任証のプロトコル・アクセス・レベルを含む複数のフィールド、ならびに／または信任証ごとの、プロトコル識別子、対応するＩＰアドレス、リストされたＩＰアドレスによる信任証の使用の事例の総数、信任証の使用の優先順位、ネットワーク（または信任証リポジトリ）での信任証の使用の頻度を反映する候補信任証頻度カウンタ、ネットワークでの（有効な）信任証の使用の新しさ（またはエージェント１０４によって判定される使用の新しさ）、信任証の管理局所性、および候補信任証キュー１１２で信任証に優先順位値を割り当てるのに使用することができる他の情報を含む複数のフィールドを含めることができる。エージェント１０４の動作中に、信任証リポジトリ１０８は、各ＩＰアドレスが検討された後および／またはＩＰアドレスのすべてが検討された後などに、エージェント１０４によって更新される。諒解されるように、ネットワーク・コンポーネントに関連するプロトコルに応じて、ＩＰアドレス以外の一意のネットワーク・コンポーネント識別子を使用することができる。

候補信任証キュー１１２によって、信任証のリスティングが与えられ、この信任証のそれぞれが、対応する優先順位およびプロトコル識別子を有する。推測する時に、エージェント１０４によって、各信任証の対応する優先順位値の順番で、信任証がテストされる。ＳＮＭＰのバージョン１の一実施形態で、キュー１１２に、当初に、コミュニティ・ストリング「ｐｕｂｌｉｃ」を含む信任証が移植される。個々のディスカバリ・タスク中に、信任証リポジトリによって成功裡に検証された各信任証も、キュー１１２に追加されるが、これらは、「ｐｕｂｌｉｃ」信任証より低い優先順位を有する。諒解されるように、優先順位は、ネットワーク（または信任証リポジトリ）での信任証の使用の頻度を反映する候補信任証頻度カウンタ、ネットワークでの（有効な）信任証の使用の新しさ（またはエージェント１０４によって判定される使用の新しさ）、および／または検討中のＩＰアドレスに関する信任証の管理局所性（たとえば、検討中のネットワーク・コンポーネントが、対応する信任証を有する別のネットワーク・コンポーネントに関連するかこれに接続される場合に、対応する信任証が、まずテスト信任証として使用される）を含む要因のいずれか１つまたはこれらの組合せに基づいて割り当てることができる。

スキップ・リスト１１６は、単に、エージェント１０４がそれに関して信任証判定を実行しないネットワーク・コンポーネントＩＰアドレスのリストである。
信任証ディスカバリ・エージェント１０４の動作を、図２Ａおよび２Ｂに示す。図２Ａを参照すると、エージェント１０４が、ステップ２００で作成される。

ステップ２０４で、エージェント１０４によって、信任証リポジトリ１０８に１つまたは複数のＩＰアドレスを移植するかどうかを判定する。信任証リポジトリ１０８が空であるか存在しない場合には、エージェント１０４によって、リポジトリが初期化され、ステップ２０８に進む。信任証リポジトリが空でない場合には、ステップ２１２で、エージェントによってリポジトリがロードされる。当初は、信任証リポジトリ１０８のすべての信任証が、まだテストされておらず、成功裡に検証されていないと仮定する。エージェント１０４は、ステップ２０８に進む。

判断菱形２０８で、エージェントによって、ユーザがディスカバリ停止を要求したかどうかを判定する。ユーザがそれを要求した場合には、エージェント１０４は、ステップ２１６に進み、その要求を示すエラー・コード（ＳＴＯＰ＿ＣＲＥＤ）でリターンする。ユーザがそれを要求しなかった場合には、エージェントはステップ２２０に進む。

ステップ２２０で、エージェントによって、信任証判定の初期ＩＰアドレスが選択される。初期ＩＰアドレスは、通常は、ユーザによって供給される１つまたは複数のＩＰアドレスのネットワーク・アクセス・リストから選択される。このネットワーク・アクセス・リストは、ユーザが手動で生成するか、参照によって本明細書に組み込まれる、本願と同時に出願されたゴリング（Ｇｏｒｉｎｇｅ）他の米国特許出願、表題「Ｔｏｐｏｌｏｇｙ Ｄｉｓｃｏｖｅｒｙ ｂｙ Ｐａｒｔｉｔｉｏｎｉｎｇ Ｍｕｌｔｉｐｌｅ Ｄｉｓｃｏｖｅｒｙ Ｔｅｃｈｎｉｑｕｅｓ」および「Ｕｓｉｎｇ Ｌｉｎｋ Ｓｔａｔｅ Ｉｎｆｏｒｍａｔｉｏｎ ｔｏ Ｄｉｓｃｏｖｅｒ ＩＰ Ｎｅｔｗｏｒｋ Ｔｏｐｏｌｏｇｙ」に記載のものなどのネットワーク・トポロジ・ディスカバリ・アルゴリズムを使用して自動的に生成することができる。ネットワーク・アクセス・リストには、通常は、ネットワーク・コンポーネント識別子（たとえばＩＰアドレス）および各識別子の対応する信任証状態フィールドのリストが含まれる。
エージェントは、次に、ステップ２２４に進み、選択されたＩＰアドレスがスキップ・リスト１１６にあるかどうかを判定する。

選択されたＩＰアドレスがスキップ・リスト１１６にある場合には、エージェント１０４は、ステップ２２８で、ネットワーク・アクセス・リストのＩＰアドレスの信任証状態にＮＯ ＣＲＥＤＥＮＴＩＡＬ（信任証なし）をセットし、判断菱形２３２に進んで、別のＩＰアドレスがネットワーク・アクセス・リストにあるかどうかを判定する。ＮＯ ＣＲＥＤＥＮＴＩＡＬ状態は、対応するＩＰアドレスについて有効な信任証が入手されなかったことを意味する。信任証リポジトリ１０８の対応するＩＰアドレス・エントリ（存在する場合に）は、通常は、ＩＰアドレスがスキップされる場合にリポジトリから除去されない。次のＩＰアドレスが使用可能である場合には、エージェント１０４は、ステップ３２６で次のＩＰアドレスを取得し、ステップ２２４を繰り返す。次のＩＰアドレスが使用可能でない場合には、エージェント１０４は、更新された信任証リポジトリを保管し、ステップ２１６で動作を終了する。

ＩＰアドレスが、スキップ・リストにない場合には、エージェント１０４は、次に、判断菱形２４０で、信任証リポジトリ１０８に、選択されたＩＰアドレスと一致するＩＰアドレス・エントリがあるかどうかを判定する。言い換えると、エージェント１０４は、選択されたＩＰアドレスに対応する信任証が信任証リポジトリ１０８に含まれるかどうかを判定する。

対応する信任証が存在する時には、エージェントは、ステップ２４４で、既知の技法によって信任証の有効性をテストする。この技法は、もちろん、ＩＰアドレスに対応するネットワーク・コンポーネントによって使用されるプロトコルに依存する。

ステップ２４８で、信任証が有効である場合には、エージェント１０４は、ステップ２５２に進み、信任証を候補信任証キュー１１２に追加し、ステップ２５６に進み、ネットワーク・アクセス・リスト（および／または信任証リポジトリ）の対応するエントリに、ＦＯＵＮＤ ＣＲＥＤＥＮＴＩＡＬ（信任証が見つかった）の信任証状態を割り当てる。この状態は、信任証が検証されたことを意味する。信任証は、ＩＰアドレスに対応する適当なアウトパラメータ（ｏｕｔ−ｐａｒａｍｅｔｅｒ）に保管される。エージェント１０４は、候補信任証頻度カウンタを増分することができ、かつ／または他の形で候補信任証キュー１１２内の信任証の優先順位を調節することができる。その後、エージェント１０４は、上で説明したステップ２３２に戻る。

ステップ２４８で、信任証が無効である時には、エージェント１０４は、その信任証が成功裡に検証されなかった理由を判定しなければならない。不成功の検証は、無効な信任証またはその時にネットワーク・コンポーネントが連絡不能であることに起因する可能性がある。したがって、エージェント１０４は、ステップ２６０で、デバイスにｐｉｎｇをうち、判断菱形２６４で、選択された時間間隔のうちにそのコンポーネントから応答を受信するかどうかを判定する。ｐｉｎｇステップ２６０は、Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ ＰｒｏｔｏｃｏｌまたはＩＣＭＰのｅｃｈｏ要求を使用して行うことができる。

どの場合でも、応答が受信されない場合に、エージェント１０４は、ステップ２６８で、ネットワーク・アクセス・リスト（および／または信任証リポジトリ）の対応するエントリにＵＮＣＯＮＴＡＣＴＡＢＬＥ（連絡不能）の信任証状態を割り当て、上のステップ２３２に戻る。諒解されるように、ＵＮＣＯＮＴＡＣＴＡＢＬＥの信任証状態は、ネットワーク・コンポーネントがｐｉｎｇに応答しないことを意味する。信任証リポジトリの対応するＩＰアドレス・エントリは、信任証状態がＵＮＣＯＮＴＡＣＴＡＢＬＥの時に除去されない。

応答が受信される場合に、エージェント１０４は、ステップ２７２で、ＩＰアドレスに対応するエントリを信任証リポジトリ１０８から除去し、信任証リポジトリ１０８の信任証に対応するエントリを更新し、信任証が候補信任証キューでリストされている時には候補信任証キュー１１２を調整する。注記したように、キュー１１２の信任証の優先順位は、信任証の使用を含む任意の数の要因に基づくものとすることができる。信任証が、もはやネットワーク・コンポーネントによって使用されなくなった時に、優先順位が、不使用を反映するために下に調整されることを必要とすることがしばしばである。通常、候補信任証頻度カウンタが、減分される。

エージェントは、次にステップ２７６に進み、キュー１１２にリストされた信任証からの信任証の推測を試みる。推測する時に、エージェント１０４は、キュー１１２のすべての信任証を、優先順位の順番で試行する。ステップ２８０、２８４、および２８８に示されているように、各信任証が、順番に取り出され、検証の試みが行われる。

信任証が、ステップ２７６、２８０、２８４、および２８８で成功裡に検証される場合に、その信任証が、ステップ２９２で、ＩＰアドレスに対応する適当なアウトパラメータに保管され、ステップ２５６で、ネットワーク・アクセス・リスト（および／または信任証リポジトリ）の対応するエントリにＦＯＵＮＤ ＣＲＥＤＥＮＴＩＡＬの信任証状態が割り当てられる。エージェント１０４は、候補信任証頻度カウンタを増分することができ、かつ／または他の形で候補信任証キュー１１２内の信任証の優先順位を調節することができる。その後、エージェント１０４は、上で説明したステップ２３２に戻る。

信任証が、ステップ２７６、２８０、２８４、および２８８で不成功に検証される場合に、エージェント１０４は、ステップ２９６で、ＩＰアドレスに関するさらなる指示についてユーザにプロンプトを出すか否かに関してユーザのプリファレンスを検査する。このプリファレンスは、フラグ状態を使用して示される。リモート・ネットワーク・コンポーネントへのアクセスに使用できる信任証が見つからないか、見つかった信任証のどれもが使えない場合には、ユーザに、信任証の新しい組を求めるプロンプトを出すことができる。ユーザは、上で注記したようにｐｉｎｇをうつことによってリモート・ネットワーク・コンポーネントの存在が前に確認され、ユーザにプロンプトを出さないフラグがセットされていない（またはプロンプトを出すフラグがセットされている）場合に限って、プロンプトを出される。

判断菱形３００で、エージェント１０４は、ユーザにプロンプトを出すかどうかを判定する。プロンプト・フラグがセットされている（すなわち、ユーザがプロンプトを望まない）時には、エージェント１０４は、ステップ３０４で、信任証を見つけられなかったＩＰアドレスを、ユーザがスキップ・コマンドで応答したかのようにマークする。言い換えると、ＩＰアドレスが、スキップ・リスト１１６に追加される。ネットワーク・アクセス・リスト（および／または信任証リポジトリ）の対応するエントリに、ステップ３０８で、ＮＯ ＣＲＥＤＥＮＴＩＡＬの信任証状態が割り当てられる。エージェント１０４は、次に、上で説明したステップ２３２に戻る。

プロンプト・フラグがセットされていない（すなわち、ユーザがプロンプトを求める）場合には、エージェント１０４は、ステップ３１２で、ユーザにプロンプトを出す。ユーザは、５つの異なる形で応答することができる。第１に、ユーザは、判断菱形３１６によって示されるように、信任証を入力することによって応答することができる。信任証が入力される時に、エージェント１０４は、ステップ３２０で信任証の有効性をテストする。ステップ３２４で、信任証が有効である時には、エージェントは、上で説明したステップ２９２に進む。ステップ３２４で、信任証が無効である時には、エージェントは、ステップ３１２に戻り、もう一度ユーザにプロンプトを出す。第２に、ユーザは、ＩＰアドレスをスキップするようにエージェント１０４に指示することによって応答することができる。これは、ステップ３２８に示されている。エージェント１０４は、この応答を受け取る時に、前に説明したステップ３０４に進む。第３に、ユーザは、エージェント１０４に停止するように指示することによって応答することができる。これは、ステップ３３２に示されている。その場合には、エージェント１０４は、ステップ３３６でプロンプト・フラグに停止をセットし、ステップ３４０でアドレスをスキップ・リスト１１６に追加し、更新された信任証テーブルを保存し、ステップ３４４で動作を終了する。第４に、ユーザは、エージェント１０４にプロンプトなしを指示することによって応答することができる。これは、ステップ３４８に示されている。その場合には、エージェント１０４は、ステップ３５２でプロンプト・フラグにプロンプトなしをセットし、上で説明したステップ３０４に進む。最後に、ユーザは、理解不能または認識不能な応答を供給することができる。その場合には、エージェント１０４は、ステップ３１２に進み、もう一度ユーザにプロンプトを出す。

判断菱形２４０に戻って、対応する信任証が、信任証リポジトリにない時には、エージェント１０４は、ステップ３５６で、上で説明したようにデバイスにｐｉｎｇをうって、ネットワーク・コンポーネントが連絡可能であるかどうかを判定する。エージェント１０４は、判断菱形３６０で、応答がタイムリーに受信されたか否かを判定する。タイムリーな応答を受信した時には、エージェント１０４は、上で説明したステップ２７６に進む。タイムリーな応答を受信しない時には、エージェント１０４は、上で説明したステップ２６８に進む。

本発明の複数の変形形態および修正形態を使用することができる。本発明のいくつかの特徴を、他の特徴を提供せずに提供することが可能である。たとえば、一代替実施形態で、上で説明したアーキテクチャによって、ＳＮＭＰのバージョン３などのＳＮＭＰの他のバージョン、および／またはＴＥＬＮＥＴおよびＣＭＩＰなどのＳＮＭＰ以外のプロトコルがサポートされる。この実施形態では、信任証オブジェクトが、１つまたは複数の異なるプロトコルをサポートする形で定義される。たとえば、このアーキテクチャによって、複数のプロトコルを同時にサポートすることができる。プロトコル識別子を信任証リポジトリで使用して、ネットワーク・コンポーネントに対応するプロトコルが識別され、信任証オブジェクトは、対応するプロトコルに応じて複数の代替定義に一致する。この実施形態では、候補信任証キュー１１２内の信任証は、ネットワーク・コンポーネントが信任証に対応するプロトコルを使用した時に（対応するプロトコル識別子によって示される）、検討中のＩＰアドレスに対応するネットワーク・コンポーネントの信任証推測ルーチンでのみ使用される。もう１つの代替実施形態では、ＩＰアドレス以外の一意のネットワーク・コンポーネント識別子が、信任証リポジトリで使用される。たとえば、識別子を、ＯＳＰＦプロトコルによって定義されるコンポーネントｉｄとすることができ、かつ／または信任証を、推測の候補として使用されるためにユーザによって事前に構成されるものとすることができる。もう１つの代替実施形態では、成功裡に検証されないリポジトリ内の信任証が、リポジトリから除去されるのではなく、この事実を示す適当なフラグによってマークされる。この信任証は、その後にもネットワークによって使用することができ、あるいは、信任証リポジトリにリストされないネットワーク・コンポーネントによって現在使用されている場合がある。これらの信任証は、候補信任証キュー１１２に含まれる資格がある。諒解されるように、一部のネットワーク・セキュリティ方式では、信任証の回転使用または周期的再利用が行われる。もう１つの代替実施形態では、候補信任証キューに、ネットワーク自体以外のソースからの信任証を含めることができる。たとえば、このキューに、産業界で一般的にまたは広く使用されている信任証、デバイスが供給業者または製造業者から最初に獲得される時に使用されるデフォルト信任証、および／またはユーザによって前もって供給される信任証を含めることができる。

本発明には、さまざまな実施形態で、さまざまな実施形態、副組合せ、およびサブセットを含む、実質的に本明細書で示し、説明したコンポーネント、方法、処理、システム、および／または装置が含まれる。当業者は、本開示を理解した後に、本発明を作り、使用する方法を理解するであろう。本発明には、さまざまな実施形態で、たとえば性能改善、簡単さの達成、および／または実施のコスト削減など、前の装置または処理で使用された可能性がある品目の不在を含む、本明細書またはそのさまざまな実施形態に図示されず、かつ／または含まれない品目の不在の下での装置および処理の提供が含まれる。
一代替実施形態で、信任証ディスカバリ・エージェントが、全体的にまたは部分的に、特定用途向け集積回路または他のタイプの論理回路で実施される。

本発明の前述の説明は、例示および説明のために提示されたものである。前述は、本明細書で開示された形態に本発明を制限することを意図されたものではない。本発明の説明に、１つまたは複数の実施形態およびある変形形態および修正形態が含まれるが、たとえば本開示を理解した後に当業者の技量および知識の範囲に含まれるものなど、他の変形形態および修正形態が、本発明の範囲に含まれる。代替の、交換可能な、および／または同等の構造、機能、範囲、またはステップが、本明細書で開示されたか否かにかかわらず、すべての特許可能な主題を公にささげる意図なしに、請求されるそのような代替の、交換可能な、および／または同等の構造、機能、範囲、またはステップを含めて、許可される範囲までの代替実施形態を含む権利を得ることが意図されている。

本発明の第１実施形態による計算アーキテクチャを示すブロック図である。 信任証ディスカバリ・エージェントのフロー概略を示す図である。 信任証ディスカバリ・エージェントのフロー概略を示す図である。

Claims (33)

1. ネットワーク・デバイスの１つまたは複数の信任証を判定する方法であって、
   複数のネットワーク・デバイスの中から第１ネットワーク・デバイスを選択することと、
   信任証リポジトリにアクセスすることであって、前記信任証リポジトリは、前記第１ネットワーク・デバイスに対応する信任証の第１組を含む、アクセスすることと、
   前記第１ネットワーク・デバイスに連絡することと、
   信任証の前記第１組の有効性をテストすることと
   を含む方法。
2. 前記信任証リポジトリが、さらに、前記第１ネットワーク・デバイスについて、複数の対応する信任証状態、対応するプロトコル識別子、対応するアドレス、信任証の前記第１組の少なくとも１つの信任証の使用の事例の総数、信任証の前記第１組の少なくとも１つの信任証に関連する対応する候補信任証頻度カウンタ、信任証の前記第１組の少なくとも１つの信任証の使用の新しさ、および信任証の前記第１組の少なくとも１つの信任証の管理局所性を含む、請求項１に記載の方法。
3. 信任証の前記第１組の少なくとも１つの信任証に信任証状態を割り当てること
   をさらに含む、請求項１に記載の方法。
4. 信任証の前記第１組の少なくとも１つの信任証が有効である時に、
   前記少なくとも１つの信任証を候補信任証キューに追加すること
   をさらに含む、請求項１に記載の方法。
5. 信任証の前記第１組の少なくとも１つの信任証が有効でない時に、
   前記第１ネットワーク・デバイスが連絡可能であるかどうかを判定するために、前記第１ネットワーク・デバイスにｐｉｎｇをうつこと
   をさらに含む、請求項１に記載の方法。
6. 信任証の前記第１組の少なくとも１つの信任証が有効でない時に、
   候補信任証キューから信任証の第２組を選択することと、
   信任証の前記第２組の有効性をテストすることと
   をさらに含む、請求項１に記載の方法。
7. 信任証の前記第２組の少なくとも１つの信任証が有効でない時に、
   信任証の第３組を求めるプロンプトをユーザに出すことと、
   信任証の前記第３組がユーザから受け取られる時に、信任証の前記第３組の有効性をテストすることと
   をさらに含む、請求項６に記載の方法。
8. 前記複数のネットワーク・デバイスが、第２ネットワーク・デバイスを含み、前記第１ネットワーク・デバイスおよび前記第２ネットワーク・デバイスのそれぞれが、前記ネットワーク・デバイスによって使用されるプロトコルを示す関連するプロトコル識別子を有し、第１プロトコル識別子および第２プロトコル識別子が、異なる、請求項１に記載の方法。
9. 前記第１ネットワーク・デバイスに関連するプロトコルを、信任証の前記第２組に関連するプロトコル識別子と比較すること
   をさらに含む、請求項６に記載の方法。
10. 前記第１ネットワークに関連する前記プロトコルが、前記プロトコル識別子に関連する前記プロトコルと異なる時に、前記テストするステップが、実行されない、請求項９に記載の方法。
11. ネットワークの信任証リポジトリであって、
    複数のネットワーク・デバイス識別子であって、複数のネットワーク・デバイスの少なくとも第１および第２のネットワーク・デバイスが、異なるプロトコルを使用する、複数のネットワーク・デバイス識別子
    を含み、前記複数のネットワーク・デバイスのそれぞれについて、前記信任証リポジトリが、さらに、前記第１および第２のネットワーク・デバイスについて、対応するプロトコル識別子と、
    前記複数のネットワーク・デバイスのそれぞれについて、前記対応するプロトコル識別子に関連するプロトコルについて構成された信任証の対応する組と
    を含む、信任証リポジトリ。
12. 前記複数のネットワーク・デバイス識別子のそれぞれについて、複数の対応する信任証状態、対応するアドレス、信任証の対応する組の少なくとも１つの信任証の使用の事例の総数、信任証の対応する前記組の少なくとも１つの信任証に関連する対応する候補信任証頻度カウンタ、信任証の第１組の少なくとも１つの信任証の使用の新しさ、および信任証の対応する前記組の少なくとも１つの信任証の管理局所性を含む、請求項１１に記載の信任証リポジトリ。
13. ネットワーク・デバイスの１つまたは複数の信任証を判定するシステムであって、
    複数のネットワーク・デバイスの中から第１ネットワーク・デバイスを選択する手段と、
    前記第１ネットワーク・デバイスに対応する信任証の第１組を含む信任証リポジトリと、
    前記信任証リポジトリにアクセスする手段と、
    前記第１ネットワーク・デバイスに連絡する手段と、
    信任証の前記第１組の有効性をテストする手段と
    を含むシステム。
14. 前記信任証リポジトリが、さらに、前記第１ネットワーク・デバイスについて、複数の対応する信任証状態、対応するプロトコル識別子、対応するアドレス、信任証の前記第１組の少なくとも１つの信任証の使用の事例の総数、信任証の前記第１組の少なくとも１つの信任証に関連する対応する候補信任証頻度カウンタ、信任証の前記第１組の少なくとも１つの信任証の使用の新しさ、および信任証の前記第１組の少なくとも１つの信任証の管理局所性を含む、請求項１３に記載のシステム。
15. 信任証の前記第１組の少なくとも１つの信任証に信任証状態を割り当てる手段
    をさらに含む、請求項１３に記載のシステム。
16. 信任証の前記第１組の少なくとも１つの信任証が有効である時に、
    前記少なくとも１つの信任証を候補信任証キューに追加する手段
    をさらに含む、請求項１３に記載のシステム。
17. 信任証の前記第１組の少なくとも１つの信任証が有効でない時に、
    前記第１ネットワーク・デバイスが連絡可能であるかどうかを判定するために、前記第１ネットワーク・デバイスにｐｉｎｇをうつ手段
    をさらに含む、請求項１３に記載のシステム。
18. 信任証の前記第１組の少なくとも１つの信任証が有効でない時に、
    候補信任証キューから信任証の第２組を選択する第２手段と、
    信任証の前記第２組の有効性をテストする第２手段と
    をさらに含む、請求項１３に記載のシステム。
19. 信任証の前記第２組の少なくとも１つの信任証が有効でない時に、
    信任証の第３組を求めるプロンプトをユーザに出す手段と、
    信任証の前記第３組がユーザから受け取られる時に、信任証の前記第３組の有効性をテストする第３手段と
    をさらに含む、請求項１８に記載のシステム。
20. ネットワーク・デバイスの１つまたは複数の信任証を判定するシステムであって、
    第１ネットワーク・デバイスに対応する信任証の第１組を含む信任証リポジトリと、
    複数のネットワーク・デバイスの中から前記第１ネットワーク・デバイスを選択し、前記信任証リポジトリにアクセスし、前記第１ネットワーク・デバイスに連絡し、信任証の前記第１組の有効性をテストするように構成された信任証ディスカバリ・エージェントと
    を含むシステム。
21. 前記信任証リポジトリが、さらに、前記第１ネットワーク・デバイスについて、対応する信任証状態、対応するプロトコル識別子、対応するアドレス、信任証の前記第１組の少なくとも１つの信任証の使用の事例の総数、信任証の前記第１組の少なくとも１つの信任証に関連する対応する候補信任証頻度カウンタ、信任証の前記第１組の少なくとも１つの信任証の使用の新しさ、および信任証の前記第１組の少なくとも１つの信任証の管理局所性を含む、請求項２０に記載のシステム。
22. 前記信任証ディスカバリ・エージェントが、さらに、信任証の前記第１組の少なくとも１つの信任証に信任証状態を割り当てるように構成される、請求項２０に記載のシステム。
23. 前記信任証ディスカバリ・エージェントが、さらに、信任証の前記第１組の少なくとも１つの信任証が有効である時に、前記少なくとも１つの信任証を候補信任証キューに追加するように構成される、請求項２０に記載のシステム。
24. 前記信任証ディスカバリ・エージェントが、さらに、信任証の前記第１組の少なくとも１つの信任証が有効でない時に、前記第１ネットワーク・デバイスが連絡可能であるかどうかを判定するために、前記第１ネットワーク・デバイスにｐｉｎｇをうつように構成される、請求項２０に記載のシステム。
25. 前記信任証ディスカバリ・エージェントが、さらに、信任証の前記第１組の少なくとも１つの信任証が有効でない時に、候補信任証キューから信任証の第２組を選択し、信任証の前記第２組の有効性をテストするように構成される、請求項２０に記載のシステム。
26. 前記信任証ディスカバリ・エージェントが、さらに、信任証の前記第２組の少なくとも１つの信任証が有効でない時に、信任証の第３組を求めるプロンプトをユーザに出し、信任証の前記第３組が前記ユーザから受け取られる時に、信任証の前記第３組の有効性をテストするように構成される、請求項２５に記載のシステム。
27. ネットワーク・デバイスの信任証を判定する候補信任証キューであって、
    信任証の複数の組であって、信任証の前記複数の組のそれぞれが、信任証の前記複数の組が前記ネットワーク・デバイスによって現在使用されている確率を示す対応するランキングを有する、信任証の複数の組
    を含む候補信任証キュー。
28. 前記ランキングが、候補信任証頻度カウンタ、使用カウンタの新しさ、信任証の対応する組に関する管理局所性、ユーザのプリファレンス、ユーザが構成する優先順位、および別のネットワーク・デバイスでの信任証の少なくとも１つの組の検証の順序に基づいて決定される、請求項２７に記載の候補信任証キュー。
29. ネットワーク・デバイスの少なくとも１つの信任証を判定する方法であって、
    少なくとも１つの信任証を選択することと、
    ネットワーク・デバイスに連絡することと、
    前記少なくとも１つの信任証の有効性をテストすることと、
    前記少なくとも１つの信任証が有効であるか否かに基づいて前記少なくとも１つの信任証にランキングを割り当てることと
    を含む方法。
30. 前記ランキングが、前記少なくとも１つの信任証が前記ネットワーク・デバイスに関連するネットワークで現在使用されている確率を反映する、請求項２９に記載の方法。
31. ネットワーク・デバイスの少なくとも１つの信任証を判定するシステムであって、
    少なくとも１つの信任証が有効であるか否かに基づいて、前記少なくとも１つの信任証にランクを割り当てるように構成された信任証ディスカバリ・エージェント
    を含むシステム。
32. 前記ランクが、前記少なくとも１つの信任証が前記ネットワーク・デバイスに関連するネットワークで現在使用されている確率を反映する、請求項３１に記載のシステム。
33. 前記信任証ディスカバリ・エージェントが、さらに、候補信任証キューから少なくとも１つの信任証を選択し、前記少なくとも１つの信任証の有効性をテストし、前記少なくとも１つの信任証が有効であるか否かに基づいて、前記少なくとも１つの信任証に前記ランクを割り当てるように構成される、請求項３１に記載のシステム。
    

Images