JP2006127376A - 不正アクセスへの対処を備えたｈｔｔｐサーバ - Google Patents

Abstract

【課題】 ユーザ毎に異なるアクセス規制を行うことが出来、さまざまな種類のアクセス規制が行うことが出来る。しかし、アクセスが容易なワンタイムパスワードによる制限で実現する。またプロキシサーバを用意することなく,ＨＴＴＰサーバ単独でアクセス規制を行う。
【解決手段】 ＨＴＴＰサーバとＨＴＴＰクライアントがネットワークに接続されており、ユーザはＨＴＴＰクライアントを介してＨＴＴＰサーバの資源にアクセスするＨＴＴＰクライアント・サーバシステムにおいて、規制された資源のアクセス許可・不許可の情報を、ユーザ毎にユーザ情報として持つ。ユーザ情報には、アクセス可能な資源、アクセス時間、アクセス回数などの規制情報を保持させることができる。セッションが張られている限りパスワードは再度入力する必要はなく、パスワードを判別する特別なプログラムを資源毎に用意する必要はない。規制された資源アクセス用に新たにセッションを設定する。
【選択図】 図１

Description

ＨＴＴＰクライアント・サーバシステムに関する。

従来は次の２つの方法により、ユーザの資源アクセスの規制を行っていた。

（１）ファイル、ディレクトリのアクセス制限による規制
ＨＴＴＰサーバがアクセス可能なファイル、ディレクトリが、予め決められていることにより、ユーザのＨＴＴＰを介してのアクセスが規制される。

（２）認証による規制
ＨＴＴＰは基本認証、ダイジェスト認証をサポートしており、ユーザにパスワードを送信させることにより、ユーザを識別し、資源アクセスの許可、不許可を行っていた。

（３）Ｐｒｏｘｙサーバによる規制
Ｐｒｏｘｙサーバを用意することにより、特定の資源へのアクセスを制限する。

ＨＴＴＰサーバへアクセスするユーザを制限する。

又、別の従来例としては、安価、かつ容易にＵＲＬアクセス規制を行えるようにする課題に対して、アクセス禁止ＵＲＬリストをＨＵＢのフラッシュメモリに記憶し、このリストに基づいてＨＵＢのＭＰＵによりＵＲＬアクセス規制処理を行うアクセス規制装置（例えば特許文献１参照）をあげることが出来る。
特開２００２−２４１１０号公報

上記従来例では以下に記述する問題があった。
（１）ファイル、ディレクトリのアクセス制限による規制は、ユーザ毎に異なるアクセス規制が出来ない。また、アクセス回数制限などは対応できないなど、規制の種類に多様性が無い。
（２）認証による規制は、資源にアクセスするたびにパスワードを入れなければならない。または、パスワードを入力せずにアクセスの続行を行うシステムとするために、資源毎にアクセス規制用のＣＧＩなどのプログラムを個別に用意する必要があった。
（３）Ｐｒｏｘｙサーバによる規制は、ＨＴＴＰサーバとは別にＰｒｏｘｙサーバを用意する必要があり、ネットワークの構成に影響が出る。

前記課題を解決するために、次の手段を講じる。
（１）ＨＴＴＰサーバには、各ユーザのユーザ情報を保持している。
（２）アクセスしてきたユーザに対してユーザ名とパスワードの入力を促す。
（３）ＨＴＴＰサーバは、受信したユーザ名によりユーザ情報を検索し取得する。
（４）ＨＴＴＰサーバは、資源アクセス用のセッションを新たにユーザとの間に張り、ユーザは前記セッションにて規制された資源のアクセスを行う。
（５）前記セッションでは、検索・取得したユーザ情報を保持している。
（６）ＨＴＴＰサーバは、ユーザ情報に保持されているアクセス可能な資源、アクセス時間、アクセス回数などの規制情報に従って、ユーザのアクセスを規制する。
（７）ユーザの規制資源に対するアクセスログを、ユーザ情報へ保持する。
（８）ユーザがユーザ名とパスワードのどちらかまたは両方を間違えた場合、パスワードＮＧログをとる。
（９）パスワードＮＧログが予め決められた閾値を超えた場合、管理者に電子メールまたはＦＡＸなどの通信手段により、閾値を超えた旨を通知する。

前記手段により、次のような作用を得る。
（１）ユーザ毎に異なるアクセス規制を行うことが出来る。
（２）ユーザ情報には、アクセス可能な資源、アクセス時間、アクセス回数などの規制情報を保持させることが出来るため、さまざまな種類のアクセス規制が行うことが出来る。
（３）セッションで検索したユーザ情報を保持するため、セッションが張られている限りパスワードは再度入力する必要は無い。そのための特別なプログラムを資源ごとに用意する必要は無い。
（４）Ｐｒｏｘｙサーバを用意することなく、ＨＴＴＰサーバ単独でアクセス規制を行うことが出来る。

以上、説明したとおり、本発明によれば、規制された資源のアクセス許可・不許可の情報を、ユーザ毎にユーザ情報として持つことにより、ユーザ毎に異なるアクセス規制を行うことが出来る。ユーザ情報には、アクセス可能な資源、アクセス時間、アクセス回数などの規制情報を保持させることが出来るため、さまざまな種類のアクセス規制が行うことが出来る。セッションが張られている限りパスワードは再度入力する必要は無く、ワンタイムパスワードを実現することが出来る。パスワードを判別する特別なプログラムを資源ごとに用意する必要は無く、さまざまな資源に対して規制をかけることが出来る。規制資源アクセス用のセッションを設定するため、Ｐｒｏｘｙサーバを用意することなく、ＨＴＴＰサーバ単独でアクセス規制を行うことが出来る。

本発明は以下に詳述するように、ＨＴＴＰサーバとＨＴＴＰクライアントがそれぞれネットワークに接続されており、ＨＴＴＰサーバが管理する資源にＨＴＴＰクライアントがアクセスするＨＴＴＰクライアント・サーバシステムである。

本実施例ではＨＴＴＰサーバが実装されるデバイスをコンピュータとして説明するが、本発明のデバイスはこれらに限って適用されるものではなく、コンピュータ周辺機器、プリンタ、コピー機、ＭＦＰ（ＭｕｌｔｉＦｕｎｃｔｉｏｎＰｒｉｎｔｅｒ）、家電製品、通信機器、測定機器、工業用工作機器、車両、船舶、航空等の運輸機器に搭載される電子機器、自動発券機等の各種販売用システム機器、銀行のＡＴＭやディーリングシステム等の金融用システム機器など、ＣＰＵを搭載しネットワークに接続される可能性のある電子機器に対して適用されるものである。

図１は、本実施例のＨＴＴＰクライアント・サーバシステムが動作可能な構成を示す図である。図１において、１１０はＨＴＴＰサーバコンピュータ（以下、サーバＰＣとする）、１１１、１１２、１１３、１１４はＨＴＴＰクライアントコンピュータ（以下、クライアントＰＣとする）、１２０は管理者のコンピュータ（以下、管理者ＰＣ）であり、それぞれＬＡＮ１００に接続されている。サーバＰＣ１０１には、ユーザ情報データベースが格納されている。ユーザは例えばクライアントＰＣ１１３を使用して、サーバＰＣ１１０に対して資源のアクセスを行うと、サーバＰＣ１１０はクライアントＰＣに対してユーザ名とパスワードの入力を促すページ、またはスクリプトを送信する。ユーザがユーザ名とパスワードを入力し、サーバＰＣ１１０へ送信すると、サーバＰＣ１１０はユーザ情報を検索し、パスワードのチェックを行う。パスワードがユーザ情報のものと合致すると、資源アクセス用のセッションを設定し、規制情報に従ってユーザのアクセスを規制する。規制資源に対するアクセスは、ユーザ情報にアクセスログとして残す。資源アクセス用セッションが不要になれば、前記セッションをクローズする。

サーバＰＣは、ユーザが入力したユーザ名とパスワードがユーザ情報と合致しない場合にそのログをとり、閾値に達した場合は管理者ＰＣ１２０に対して電子メールで通知する。

図２において、２００は、ＨＴＴＰサーバまたはＨＴＴＰクライアントまたは管理者が使用する電子メールアプリケーションが稼動するＰＣであり、図１における１１０、１１１、１１２、１１３、１１４、１２０と同等である。ＰＣ２００は、ＲＯＭ２０２もしくはハードディスク（ＨＤ）２１１に記憶された、あるいはフロッピー（登録商標）ディスクドライブ（ＦＤ）２１２より供給されるＨＴＴＰサーバプログラムまたはＨＴＴＰクライアントプログラムまたは電子メールプログラムを実行するＣＰＵ２０１を備え、システムバス２０４に接続される各機器を総括的に制御する。２０３はＲＡＭで、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。２０５はキーボードコントローラ（ＫＢＣ）で、キーボード（ＫＢ）２０９や不図示のポインティングデバイス等からの指示入力を制御する。２０６はＣＲＴコントローラ（ＣＲＴＣ）で、ＣＲＴディスプレイ（ＣＲＴ）２１０の表示を制御する。２０７はディスクコントローラ（ＤＫＣ）で、ブートプログラム、種々のアプリケーション、編集ファイル、ユーザファイルそしてＨＴＴＰサーバプログラム、ＨＴＴＰクライアントプログラム、電子メールプログラム等を記憶するハードディスク（ＨＤ）２１１およびフロッピー（登録商標）ディスクコントローラ（ＦＤ）２１２とのアクセスを制御する。２０８はネットワークインタフェースカード（ＮＩＣ）で、ＬＡＮ２２０を介して、ネットワークプリンタ、他のネットワーク機器あるいは他のＰＣと双方向にデータをやりとりする。なお、本実施例においては、ＬＡＮ２２０は図１におけるＬＡＮ１００と同じものである。

図３は、ＨＴＴＰサーバＰＣとクライアントＰＣのモデル図である。３１０はＨＴＴＰサーバＰＣであり、図１における１１０と同等である。３２０はＨＴＴＰクライアントＰＣであり、図２における１１１、１１２、１１３、１１４、１１５と同等である。サーバＰＣ３１０とクライアントＰＣ３２０はＬＡＮ３３０を介して接続されている。３１１はユーザ情報データベースであり、ユーザ毎のユーザ名、パスワード、規制情報、規制資源アクセスログなどの情報を保持している。３１２は全ユーザにアクセス可能な資源である。３１３は規制された資源であり、ユーザ情報の規制情報に従ってアクセス可能となる資源である。３１４はＨＴＴＰサーバ機能を実現するものである。３１５は通常資源３１２に対してのみアクセス可能なセッションの管理機能を表す。３１６は通常資源３１２と規制資源３１３に対してアクセス可能なセッションの管理機能を表し、規制資源３１３に対してはユーザ情報の規制情報に従ったアクセスを行う。３１７は、ＨＴＴＰサーバＰＣ３１０をＬＡＮ３３０に接続する機能を実現するものである。３２１はＨＴＴＰクライアントＰＣ３２０において、ＨＴＴＰクライアント３２３を使用するアプリケーションであり、ＷＷＷクライアント、ＩＰＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｉｎｔｉｎｇ Ｐｒｏｔｏｃｏｌ）、動画表示アプリケーション等を表す。３２２は、ＨＴＴＰサーバから受信したスクリプトを実行する機能を実現するものである。３２３はＨＴＴＰクライアント機能を実現するものである。３２４はＨＴＴＰサーバＰＣ３１０上の通常資源３１２に対してのみアクセス可能なセッションの管理機能を表す。３２５はＨＴＴＰサーバＰＣ３１０上の通常資源３１２と規制資源３１３に対してアクセス可能なセッションの管理機能を表し、規制資源３１３に対してはユーザ情報３１１の規制情報に従ったアクセスを行う。３２０は、ＨＴＴＰクライアントＰＣ３２０をＬＡＮ３３０に接続する機能を実現するものである。なお、本実施例においては、ＬＡＮ３３０は図１におけるＬＡＮ１００と同じものである。

図４は、ＨＴＴＰサーバＰＣとＨＴＴＰクライアントＰＣとの間のシーケンス図である。４１１はＨＴＴＰサーバＰＣを表し、図３の３１０と同等である。４１０はＨＴＴＰクライアントＰＣを表し、図３の３２０と同等である。４２０は、クライアントＰＣ４１２のサーバＰＣ４１１への規制資源要求メッセージを表す。サーバＰＣ４１１は、４２０が規制資源に対するメッセージの場合、ユーザに対してユーザ名とパスワードの入力を促すスクリプトである４２１をクライアントＰＣ４１２へ送信する。その後、クライアントＰＣはスクリプト４２１に従ってユーザに対してユーザ名とパスワードの入力を促す。ユーザはユーザ名とパスワードを入力すると、クライアントＰＣ４１２は、サーバＰＣ４１１へユーザ名とパスワードを４２２として送信する。４２２を受信したサーバＰＣ４１１は、規制資源にアクセスするセッションを設定するためのスクリプト４２３を、クライアントＰＣ４１２へ送信する。クライアントＰＣ４１２は、スクリプト４２３に従って規制資源をアクセスするためのセッションの設定処理４３０を行う。処理４３０が終了後、規制資源をアクセスするセッションを使用して、規制資源アクセス処理４４０を行う。規制資源アクセス処理４４０が終了した後、規制資源アクセス用のセッションの終了処理４５０を行い、セッションをクローズする。

図５は、本発明のＨＴＴＰサーバの処理フローである。ＨＴＴＰサーバは処理５１０で、ＨＴＴＰクライアントの要求を通常資源アクセス用のセッションにて待つ。要求を受信した場合、処理５１１にて、要求が規制資源に対するものか、通常資源に対するものかの判定を行い、規制資源に対するものであれば処理５２０へ進み、通常資源に対するものであれば処理５３０へ進む。処理５３０では、通常資源に対して資源アクセス処理を行い、処理５１０へ戻り、再びＨＴＴＰクライアントからの要求を待つ。処理５２０へ進んだ場合は、ユーザに対してユーザ名とパスワードの入力を促すスクリプトをＨＴＴＰクライアントへ送信し、処理５２１にてユーザからのユーザ名とパスワードの受信待ちとなる。処理５２１にてユーザからの受信待ちがタイムアウトとなると、処理５５０へ進む。処理５２１にてユーザからユーザ名とパスワードを受信した場合、処理５４０へ進み、ユーザ名をＫｅｙとしてユーザ情報データベースからユーザ情報を検索し、取得する。次に処理５４１へ進み、ユーザ情報の保持しているパスワードと、処理５２１にて受信したパスワードが一致していれば、処理５４２へ進み、不一致であれば処理５５０へ進む。処理５２１または処理５４１から処理５５０へ進んだ場合、規制資源アクセスエラー処理を行い、処理５１０へ戻り、再びＨＴＴＰクライアントからの要求を待つ。処理５４２へ進んだ場合は、規制資源アクセス用のセッションをＨＴＴＰクライアントとＨＴＴＰサーバとの間に設定し、処理５４３にて規制資源アクセスセッションと通常セッションの両方でＨＴＴＰクライアントの要求を待つ。通常セッションでＨＴＴＰクライアントからの要求を受信した場合、処理５７０へ進み、要求が規制資源に対するものであるかを判断する。通常資源へのアクセスであれば、処理５７１へ進み、通常資源に対して、資源アクセス処理を行い、処理５６２へ進む。規制資源に対する要求であれば、処理５７２へ進み、規制資源アクセスエラー処理を行い、処理５６２へ進む。処理５４３にて規制資源アクセスセッションでＨＴＴＰクライアントからの要求を受信した場合、まず処理５６０で規制資源に対する要求であるか、通常資源に対する要求であるかを判定し、通常資源に対する要求であれば、処理５７１へ進む。規制資源に対する要求であれば、処理５６１へ進み、規制資源アクセス処理を行う。その後、処理５６２へ進む。処理５４３にて要求待ちのタイムアウトが発生した場合、処理５６２へ進む。処理５６２では、セッションを終了するべきであるかを判定し、セッションを終了するのであれば、処理５６３へ進む。セッションを終了しないのであれば処理５４３へ戻り、ＨＴＴＰクライアントからの要求を待つ。処理５６３では、規制資源アクセス用のセッションを終了し、処理５１０へ戻り、再び通常セッションにてＨＴＴＰクライアントの要求を待つ。

図６は、図５の処理５６１の詳細である。まず、要求された規制資源がアクセスの可・不可を、処理５４０にて検索したユーザ情報に従って判定する。アクセス可能であれば処理６１１へ進み、不可能であれば処理６２０へ進む。処理６１１では規制資源の資源アクセス処理を行い、処理６１２へ進む。処理６２０へ進んだ場合は、規制資源アクセスエラー処理を行い、処理６１２へ進む。処理６１２では規制資源アクセスのログをつけ、処理６３０へ進み、規制資源アクセス処理を終了する。

図７は、図５の処理５５０、５７２、図６の処理６２０の詳細である。まず、処理７１０では、発生したエラー、ユーザ情報に従って、管理者へ通知するべきであるか否かを判定する。通知するべきであれば、処理７１１へ進み、管理者に対して、発生したエラーとその詳細情報を記載した電子メールを発行し、処理７１２へ進む。通知する必要が無ければ処理７１０から処理７１２へ進む。処理７１２では、発生したエラーを規制資源アクセスログとして記録し、その後、処理７２０へ進み、規制資源アクセスエラー処理を終了する。

図８は、ユーザ情報の一例である。列８１０はユーザ名、列８１１はパスワード、列８１２はアクセス規制のある資源１、同様に列８１３、列８１４はアクセス規制が設定されている資源２、資源３である。行８２０はユーザ名がｕｓｅｒ１のユーザ情報を表し、パスワードはａａａａａ、資源１には残り５回の読み出しアクセスが可能で、資源２に対しては２００３年１０月１５日まで読み出し、書き込みが可能、資源３は読み出し可能、ということを表している。図８のユーザ情報はあくまでも例であり、セッション生存時間の上限など他のアクセス規制の情報があっても良い。

図９は、記憶媒体の一例であるＣＤ−ＲＯＭのメモリマップを示す図である。９９９９はディレクトリ情報を記憶してある領域で、以降のインストールプログラムを記憶してある領域９９９８およびＨＴＴＰサーバのプログラムを記憶してある領域９９９７の位置を示している。９９９８は、ＨＴＴＰサーバのプログラムをインストールするためのプログラムを記憶してある領域である。９９９７は、ＨＴＴＰサーバのプログラムを記憶してある領域である。本発明のＨＴＴＰサーバのプログラムがパーソナルコンピュータ２００にインストールされる際には、まずインストールプログラムを記憶してある領域９９９８に記憶されているインストールプログラムがシステムにロードされ、ＣＰＵ２０１によって実行される。次に、ＣＰＵ２０１によって実行されるインストールプログラムが、ＨＴＴＰサーバのプログラムを記憶してある領域９９９７からＨＴＴＰサーバプログラムを読み出して、ハードディスク２１１に格納する。

なお、本発明は、複数の機器（例えばホストコンピュータ、インタフェース機器、リーダなど）から構成されるシステムあるいは統合装置に適用しても、ひとつの機器からなる装置に適用してもよい。

また、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記憶媒体に格納されたプログラムコードを読み出し実行することによっても、本発明の目的が達成されることは言うまでもない。

この場合、記憶媒体から読み出されたプログラムコード自体が本発明の新規な機能を実現することになり、そのプログラムコードを記憶した記憶媒体は本発明を構成することになる。

プログラムコードを供給するための記憶媒体としては、例えば、フロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ−ＲＯＭ，ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどを用いることができる。

また、コンピュータが読み出したプログラムコードを実行することによって、前述した実施形態の機能が実現される他、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳなどが実際の処理の一部または全部を行い、その処理によっても前述した実施形態の機能が実現され得る。

さらに、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によっても前述した実施形態の機能が実現され得る。

なお、本発明は、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体から、そのプログラムをパソコン通信など通信ラインを介して要求者にそのプログラムを配信する場合にも適用できることは言うまでもない。

本実施例のＨＴＴＰクライアント・サーバシステムの構成を示す図。 一般的なパーソナルコンピュータの内部構成を示した図。 ＨＴＴＰクライアント・サーバシステムのモデル図。 ＨＴＴＰクライアントとサーバ間のシーケンス図。 ＨＴＴＰサーバの動作を表すフローチャート。 ＨＴＴＰサーバの動作を表すフローチャート。 ＨＴＴＰサーバの動作を表すフローチャート。 ユーザ情報の一例を示す図。 本発明のＨＴＴＰサーバプログラムの記憶媒体におけるメモリマップを示す図。

Claims (7)

1. ＨＴＴＰサーバとＨＴＴＰクライアントがネットワークに接続されており、ユーザはＨＴＴＰクライアントを介してＨＴＴＰサーバの資源にアクセスするＨＴＴＰクライアント・サーバシステムにおいて、アクセス条件を１つ以上持ち、アクセス条件に合致したユーザのみがアクセス条件に設定された資源にアクセス可能とすることが出来る手段を持ったＨＴＴＰサーバ。
2. 前記システムにおいて、ユーザ毎にアクセス条件を保持しているユーザ情報を持っているＨＴＴＰサーバ。
3. 前記システムにおいて、アクセスしてきたユーザのユーザ情報を検索し、前記ユーザのアクセス条件を判別する手段を持ったＨＴＴＰサーバ。
4. 前記システムにおいて、アクセスの規制がされている資源へのアクセスが許可された場合、新たなセッションを張り、そのセッション上で前記規制資源のアクセスが可能となるＨＴＴＰサーバ。
5. 前記システムにおいて、前記規制資源用セッションが張られた後、そのセッションが終了するまでユーザのユーザ情報を保持し、ワンタイムパスワードによるアクセス規制の手段を持ったＨＴＴＰサーバ。
6. 前記システムにおいて、ユーザによってアクセス不可能な資源を要求された場合またはアクセスがＨＴＴＰサーバによって拒否された場合、管理者に電子メール、ＦＡＸ等の通信手段によって通知することが可能なＨＴＴＰサーバ。
7. 前記システムにおいて、ユーザ情報にさまざまなアクセス条件を加えることによって、さまざまな資源アクセスの規制が出来るＨＴＴＰサーバ。

Images