JP2006324994A - ネットワークアクセス制御システム - Google Patents

Abstract

【課題】 ＤＨＣＰサーバによるネットワークアドレス付与やＶＬＡＮ機能付認証スイッチの導入を必要とすることなく、既存のネットワーク設備及び運用体系のままで導入が可能なネットワークアクセス制御システムを提供する。
【解決手段】 対策済みＰＣに対してのみネットワーク内で共通の共有秘密鍵を付与し、さらに、ネットワーク内で共通の一時秘密鍵を上記共有秘密鍵を有するＰＣに対してのみ配布し、サーバ端末は、上記一時秘密鍵による認証に成功したＰＣに対してのみアクセス許可を与えるネットワークアクセス制御システム。
【選択図】 図１

Description

本発明は、会社や団体などの組織に属するコンピュータや通信機器などで構成され管理されているコンピュータネットワーク（イントラネット等）において、コンピュータウィルスの感染拡大防止等を目的として構成されるネットワークアクセス制御システムに関するものである。

コンピュータウィルスの感染拡大等を防止するためには、コンピュータウィルス対策やＯＳアップデートなどが適切に施されているＰＣ（以下、「対策済みのＰＣ」という）のみがイントラネットに接続できるように管理しなければならない。そのため、対策済みのＰＣを識別する検査・認証機能と特定のＰＣだけをイントラネットに接続するアクセス制御機能が必要となる。ここで、ＰＣが対策済みであるとは、ウィルス対策ソフトを導入しているのみならず、そのパターンファイルが最新のものにアップデートされていることや、ＯＳアップデートによりＯＳのバグ等に対処していることをも意味するものとする。

特許文献１には、ＤＨＣＰを利用したクライアントの安全性検診システムが記載されている。ＤＨＣＰ（Direct Host Configuration Protocol）とは、ネットワークに接続したいＰＣがＤＨＣＰサーバからネットワークアドレスを取得する手順を規定したプロトコルである。ＤＨＣＰを利用する場合、予めＤＨＣＰサーバを設置しておくことが必要となる。特許文献１のシステムでは、ＰＣがネットワークに接続する時にＤＨＣＰサーバに対してネットワークアドレスの取得要求を行い、ＤＨＣＰサーバは、取得要求に含まれるＭＡＣアドレスがＭＡＣアドレスリストに登録されている場合には、上記ＰＣにネットワークに接続できる正規のネットワークアドレスを付与し、登録されていない場合には、検査・認証用サーバにだけ接続できるネットワークアドレスを付与する。後者のネットワークアドレスを付与されたＰＣは、まず、検査・認証用サーバと通信を行い、コンピュータウィルス対策チェックを行う。チェック結果に問題がない場合、検査・認証用サーバは、そのＰＣがコンピュータウィルス対策済みであることをＤＨＣＰサーバに通知する。チェックを通過したＰＣは、再びＤＨＣＰサーバに対してネットワークアドレスの取得要求を行い、ＤＨＣＰサーバから正規のネットワークアドレスを取得する。こうして、ネットワークにはコンピュータウィルス対策済みのＰＣのみが接続されるように管理される。

また、非特許文献１には、認証スイッチを利用して上記同様のシステムを構成する技術が記載されている。認証スイッチとは、ハブのように複数のＰＣに接続される集線装置であり、ＶＬＡＮ機能を備えたものである。ＶＬＡＮ機能とは、認証スイッチの接続ポート毎に仮想的なネットワークグループを設定し、同じネットワークグループに属する接続ポートに繋がったＰＣ同士の通信を可能にする仕組みである。ＶＬＡＮ機能は、複数の認証スイッチ間で設定した場合であっても有効である。非特許文献１の技術では、ＰＣがネットワークに接続する時に、ＶＬＡＮ機能により当該ＰＣの接続ポートを検査・認証用サーバの属するのと同じネットワークグループに設定する。ＰＣは、検査・認証用サーバによるコンピュータウィルス対策チェックを受け、チェック結果に問題がない場合、検査・認証用サーバは、そのＰＣがコンピュータウィルス対策済みであること認証スイッチに通知する。認証スイッチは、上記ＰＣの接続ポートを他のＰＣと通信可能なネットワークグループに変更する。こうして、ネットワーク内では対策済みのＰＣ同士のみが通信可能となるように管理される。

特開２００４−２８９３６０号公報（第１２〜１４頁、第１〜７図）。 「N+I NETWORK Guide」２００４年９月号、P.36-41、ソフトバンクパブリッシング

しかしながら、上記の従来技術には、以下のような問題がある。

特許文献１に記載のＤＨＣＰを利用するシステムは、ＰＣに対するネットワークアドレスの割当を必ずＤＨＣＰで行うよう運用されているネットワークのみが適用対象となる。また、ＰＣに手動でネットワークアドレスを割り当てた場合、ＤＨＣＰサーバからネットワークアドレスの割り当てを受ける必要がなくなるため、そのようなＰＣは、検査・認証サーバによるチェックをパスしなくともネットワークに接続できてしまうという問題がある。

また、非特許文献１に記載の認証スイッチを利用する技術を実現するためには、ＶＬＡＮ機能を持つ認証スイッチという特殊なハードウェアを導入している必要がある。ところが、ＶＬＡＮ機能を持つ認証スイッチは、現在では一般的に普及していないため、現在利用しているハブ、スイッチ等を全て入れ替えて導入するとなれば、多大な費用がかかることになってしまうという問題がある。

本発明は、このような実情に鑑みてなされたものであり、ＤＨＣＰサーバによるネットワークアドレス付与やＶＬＡＮ機能付認証スイッチの導入を必要とすることなく、既存のネットワーク設備及び運用体系のままで導入が可能なネットワークアクセス制御システムを提供しようとするものである。

本発明者は、鋭意研究の結果、対策済みＰＣに対してのみネットワーク内で共通の共有秘密鍵を付与し、さらに、ネットワーク内で共通の一時秘密鍵を上記共有秘密鍵を有するＰＣに対してのみ配布し、サーバ端末は、上記一時秘密鍵による認証に成功したＰＣに対してのみアクセス許可を与えるネットワークアクセス制御システムを構築することにより、上記課題が解決されることに想到した。

すなわち、本発明は、ネットワーク内に接続された端末をネットワーク内で共通の認証情報を用いて認証する手段と、前記認証が成功した端末に対して一時的な認証情報を付与する手段とを有する管理マネージャと、前記管理マネージャから付与された一時的な認証情報を用いて、ネットワーク内の他の端末にアクセスする手段を有する１以上の端末と、前記一時的な認証情報を保持しており、前記アクセスを受けると、当該アクセス元端末に対して前記一時的な認証情報に基づいて認証を行い、当該アクセス元のアクセス可否を決定する手段を有する１以上の被アクセス端末とを含むネットワークアクセス制御システムを提供するものである。

本発明のネットワークアクセス制御システムにおいて、前記被アクセス端末は、前記アクセスを受けると、当該アクセスを拒否した後、当該アクセス元端末に対して前記一時的な認証情報に基づいた認証を行うための情報を送信し、それに対する受信情報に基づき当該アクセス元端末のアクセス可否を決定することを特徴とする。

本発明のネットワークアクセス制御システムにおいて、前記１以上の被アクセス端末は、前記アクセスを受ける際に、当該アクセス元端末のネットワークアドレスを記憶しておき、当該アクセス元端末に対してアクセス可否を決定した後は、当該ネットワークアドレスに基づいて当該アクセス元端末からのアクセスを制御することを特徴とする。

本発明のネットワークアクセス制御システムにおいて、前記１以上の端末及び前記１以上の被アクセス端末は、起動時に前記管理マネージャにアクセスし、前記共通の認証情報を用いて認証を受けて、前記一時的な認証情報の付与を受けることを特徴とする。また、前記１以上の端末及び前記１以上の被アクセス端末は、動作停止時に前記管理マネージャにアクセスし、自端末の動作停止を通知することを特徴とする。さらに、前記１以上の端末は、動作停止時に前記１以上の被アクセス端末にアクセスし、自端末の動作停止を通知することを特徴とする。

本発明のネットワークアクセス制御システムにおいて、前記ネットワーク内で共通の認証情報及び一時的な認証情報は、通信データを暗号化及び復号するための鍵であることを特徴とする。

本発明のネットワークアクセス制御システムにおいて、前記ネットワーク内で共通の認証情報は、前記１以上の端末及び前記１以上の被アクセス端末に対してセキュリティ対策を講じる必要が生じた時点で変更され、当該セキュリティ対策が施された端末にのみ変更後の共通の認証情報が前期管理マネージャまたは他の認証情報配布サーバによって付与されることを特徴とする。ここで、前記セキュリティ対策とは、セキュリティ対策プログラムの導入、ウィルスパターンファイルの更新、ＯＳプログラムのアップデート、セキュリティプログラムのバージョンアップ、ＵＳＢトークンのような認証デバイスの挿入などであり、前記セキュリティ対策を講じる必要が生じた時点とは、これらのいずれかの事象が前記１以上の端末及び前記１以上の被アクセス端末に対して発生した時点である。

以上、説明したように、本発明によれば、ＤＨＣＰサーバによるネットワークアドレス付与やＶＬＡＮ機能付認証スイッチの導入を必要とすることなく、既存のネットワーク設備及び運用体系のままで、対策済みＰＣのみにネットワークアクセスを許可することが可能なネットワークアクセス制御システムを実現することができる。

以下、添付図面を参照しながら、本発明のネットワークアクセス制御システムを実施するための最良の形態を詳細に説明する。図１〜図１８は、本発明の実施の形態を例示する図であり、これらの図において、同一の符号を付した部分は同一物を表わし、基本的な構成及び動作は同様であるものとする。

図１は、本発明のネットワークアクセス制御システムの全体構成を概略的に示す図である。図１において、本システムは、デスクトップＰＣやノートＰＣなどで構成される管理マネージャ１０１、クライアント端末１０２、及びサーバ端末１０３を含んでいる。管理マネージャ１０１、クライアント端末１０２、及びサーバ端末１０３は、それぞれ、他の端末との通信を行うためのネットワークインタフェースや通信アプリケーションを有しており、イントラネット、ＬＡＮ、ＷＡＮ等のネットワーク１０４に接続されている。本システムの利用時には、ネットワーク１０４に、１台の管理マネージャ１０１、１台以上のクライアント端末１０２、及び１台以上のサーバ端末１０３が接続されているものとする。このようなネットワーク構成において、管理マネージャ１０１が、各クライアント端末１０２から各サーバ端末１０３へのアクセス許否を一元管理するようになっている。

図２は、図１に示す管理マネージャ１０１の内部構成を示す機能ブロック図である。図２において、管理マネージャ１０１は、プログラムの実行を行うＣＰＵ２０１と、プログラムやデータをロードするメモリ２０２と、他の端末と通信を行うための通信部２０３と、命令やデータの入力を行う入力部２０４と、システムの状態などを出力する出力部２０５と、各種のプログラムやデータを保持する記憶部２１１とを有している。記憶部２１１には、起動情報登録受付プログラム２０６、起動情報削除受付プログラム２０７、起動情報登録テーブル２０８、共有秘密鍵２０９、一時秘密鍵２１０が記憶されている。

通信部２０３は、ＴＣＰ／ＩＰなどのプロトコルにより他の端末との間でのデータ通信を行う機能を持つ。入力部２０４は、キーボード、マウス、ペン入力、音声入力、ボタン、ジョグダイヤル、十字キーなどのなどの入力手段からのデータ入力を受け付ける。出力部２０５は、ディスプレイ、音声などの出力手段によりデータ出力を行う。

起動情報登録受付プログラム２０６は、クライアント端末１０２やサーバ端末１０３からの起動情報登録要求を受信して、起動情報登録テーブルに情報を追加するプログラムである。起動情報削除受付プログラム２０７は、クライアント端末１０２やサーバ端末１０３からの起動情報削除要求を受信して、起動情報登録テーブルから情報を削除するプログラムである。起動情報登録テーブル２０８は、起動しているクライアント端末１０２やサーバ端末１０３を管理するテーブルである。共有秘密鍵２０９は、管理マネージャ１０１、クライアント端末１０２及びサーバ端末１０３間で予め共有している秘密鍵であり、その他の端末には公開されていないものとする。一時秘密鍵２１０は、管理マネージャ１０１、クライアント端末１０２及びサーバ端末１０３間で一時的に共有される秘密鍵であり、その他の端末には公開されていないものとする。

図３は、図２に示す起動情報登録テーブル２０８のデータ構成例を示す図である。図３において、項番３０１は、管理テーブル内のレコードを一意に決定する識別子である。登録端末識別子３０２は、ネットワーク内で現在起動しているクライアント端末１０２やサーバ端末１０３のネットワークアドレスである。登録端末識別子３０２としては、ホスト名、コンピュータ名、端末固有アドレス（ＭＡＣアドレス等）などを利用してもよい。

図４は、図１に示すクライアント端末１０２の内部構成を示す機能ブロック図である。図４において、クライアント端末１０２は、プログラムの実行を行うＣＰＵ２０１と、プログラムやデータをロードするメモリ２０２と、他の端末と通信を行うための通信部２０３と、命令やデータの入力を行う入力部２０４と、システムの状態などを出力する出力部２０５と、各種のプログラムやデータを保持する記憶部４１１とを有している。記憶部４１１には、起動情報登録プログラム４０１、起動情報削除プログラム４０２、バックグランド認証受付プログラム４０３、アクセス情報削除要求プログラム４０４、クライアントアプリケーション４０５、アクセス端末テーブル４０６、共有秘密鍵４０９、一時秘密鍵４１０、端末識別子４０７、管理マネージャ端末識別子４０８が記憶されている。

通信部２０３、入力部２０４及び出力部２０５については、図２に示すものと同様に構成されている。起動情報登録プログラム４０１は、管理マネージャ１０１に自端末が起動していることを通知するプログラムである。起動情報削除プログラム４０２は、管理マネージャ１０１に自端末が停止することを通知するプログラムである。バックグランド認証受付プログラム４０３は、これから通信しようとする端末からの認証要求に応答するプログラムである。アクセス情報削除要求プログラム４０４は、現在通信している端末に自端末が停止することを通知するプログラムである。クライアントアプリケーション４０５は、サーバ端末のサーバアプリケーション６０４と通信を行うアプリケーションである。アクセス端末テーブル４０６は、現在自端末が接続しているクライアント端末１０２やサーバ端末１０３のアクセス情報を管理するテーブルである。共有秘密鍵４０９及び一時秘密鍵４１０は、上記の共有秘密鍵２０９及び一時秘密鍵２１０と同様である。端末識別子４０７は、ネットワーク１０４上で自端末を一意に識別できるネットワークアドレス（ＩＰアドレス、ホスト名、コンピュータ名、ＭＡＣアドレス等）である。管理マネージャ端末識別子４０８は、ネットワーク１０４上で管理マネージャ１０１を一意に識別できるネットワークアドレスである。

図５は、図４に示すアクセス端末テーブル４０６のデータ構成例を示す図である。図５において、項番５０１は、管理テーブル内のレコードを一意に決定する識別子である。登録端末識別子５０２は、現在接続しているクライアント端末１０２やサーバ端末１０３のネットワークアドレスである。登録端末識別子５０２としては、ホスト名、コンピュータ名、端末固有アドレス（ＭＡＣアドレス等）などを利用してもよい。時刻５０３は、管理テーブルの各レコードの情報が更新された直近の日時を表している。状況５０４は、各端末の現在の接続状況を表す。「許可」は接続できる状態、「禁止」は接続を拒否している状態、「認証中」はバックグランド認証を行っている状態を示している。

図６は、図１に示すサーバ端末１０３の内部構成を示す機能ブロック図である。図６において、サーバ端末１０３は、プログラムの実行を行うＣＰＵ２０１と、プログラムやデータをロードするメモリ２０２と、他の端末と通信を行うための通信部２０３と、命令やデータの入力を行う入力部２０４と、システムの状態などを出力する出力部２０５と、各種のプログラムやデータを保持する記憶部６１１とを有している。記憶部６１１には、起動情報登録プログラム４０１、起動情報削除プログラム４０２、アクセス制御プログラム６０１、バックグランド認証プログラム６０２、アクセス情報削除受付プログラム６０３、サーバアプリケーション６０４、アクセス端末テーブル６０６、共有秘密鍵６０９、一時秘密鍵６１０、端末識別子６０７、管理マネージャ端末識別子６０８が記憶されている。

通信部２０３、入力部２０４及び出力部２０５については、図２に示すものと同様に構成されている。また、起動情報登録プログラム４０１及び起動情報削除プログラム４０２についても、図２に示すものと同様に機能するものとする。アクセス制御プログラム６０１は、自端末で受信した通信パケットを認識し、バックグランド認証プログラム６０２を起動したり、当該通信パケットをサーバアプリケーション６０４に転送したりするプログラムである。バックグランド認証プログラム６０２は、受信した通信パケットの送信元端末に対して、端末認証を行うプログラムである。アクセス情報削除受付プログラム６０３は、現在通信している端末からの停止通知を受信するプログラムである。サーバアプリケーション６０４は、クライアント端末のクライアントアプリケーション４０５と通信を行うアプリケーションである。アクセス端末テーブル６０６は、現在自端末が接続しているクライアント端末１０２やサーバ端末１０３のアクセス情報を管理するテーブルであり、図５と同様に構成されているものとする。共有秘密鍵６０９及び一時秘密鍵６１０は、上記の共有秘密鍵２０９及び一時秘密鍵２１０と同様である。端末識別子６０７は、ネットワーク１０４上で自端末を一意に識別できるネットワークアドレス（ＩＰアドレス、ホスト名、コンピュータ名、ＭＡＣアドレス等）である。管理マネージャ端末識別子６０８は、ネットワーク１０４上で管理マネージャ１０１を一意に識別できるネットワークアドレスである。

以上のように構成された本発明のネットワークアクセス制御システムにおける各端末の動作について説明する。図７Ａ及び図７Ｂは、図１に示す管理マネージャ１０１、クライアント端末１０２、及びサーバ端末１０３の動作の流れを示すシーケンス図である。

図７Ａにおいて、まず、クライアント端末１０２が起動すると、起動情報登録プログラム４０１により管理マネージャ１０１に起動情報登録要求を送信する（ステップ７０１）。管理マネージャ１０１は、起動情報登録受付プログラム２０６によりこの起動情報登録要求を受信し、要求データの正当性を確認し、所定の処理（後述）をして、クライアント端末１０２に起動情報登録応答を返送する（ステップ７０２）。クライアント端末１０２は、起動情報登録プログラム４０１により起動情報登録応答を受信し、応答データの正当性を確認した後、起動情報登録応答に含まれる一時秘密鍵を取得する（ステップ７０３）。同様に、サーバ端末１０３も、起動後に、起動情報登録プログラム４０１により管理マネージャ１０１に起動情報登録要求を送信し（ステップ７０４）、管理マネージャ１０１からの起動情報登録応答の返送を受け（ステップ７０５）、起動情報登録応答に含まれる一時秘密鍵を取得する（ステップ７０６）。尚、ステップ７０１〜７０３と、ステップ７０４〜７０６とは順序が前後してもよい。

次に、クライアント端末１０２がクライアントアプリケーション４０５によりサーバ端末１０３のサーバアプリケーション６０４に対してアクセスを行うと（ステップ７０７）、サーバ端末１０３は、アクセス制御プログラム６０１により受信した通信パケットをサーバアプリケーション６０４に転送することなく、破棄するとともに、バックグランド認証プログラム６０２を起動する（ステップ７０８）。さらに、サーバ端末１０３は、バックグランド認証プログラム６０２により、上記で受信した通信パケットの送信元アドレスに対して（すなわちクライアント端末１０２に対して）アクセス情報登録要求を送信する（ステップ７０９）。クライアント端末１０２は、バックグランド認証受付プログラム４０３によりアクセス情報登録要求を受信し、サーバ端末１０３にアクセス情報登録応答を返送する（ステップ７１０）。サーバ端末１０３は、バックグランド認証プログラム６０２によりこのアクセス情報登録応答を受信し、所定の処理（後述）をして、以後クライアント端末１０２から受信した通信パケットをサーバアプリケーション６０４に転送できるように設定する（ステップ７１１）。

その後、クライアント端末１０２は、クライアントアプリケーション４０５により再度サーバ端末１０３のサーバアプリケーション６０４に対してアクセスを行う（ステップ７１２）。これは、前回の拒否されたアクセスを一定時間経過後にリトライするものであり、前回と同じ内容の通信パケットが送信される。サーバ端末１０３は、アクセス制御プログラム６０１により受信した上記通信パケットをサーバアプリケーション６０４に転送するので（ステップ７１３）、以後、クライアントアプリケーション４０５とサーバアプリケーション６０４との間でデータ通信が行われることになる。

一方、クライアント端末１０２が動作停止（シャットダウン）する時には、起動情報削除プログラム４０２により管理マネージャ１０１に起動情報削除要求を送信する（ステップ７１４）。管理マネージャ１０１は、起動情報削除受付プログラム２０７によりこの起動情報削除要求を受信し、所定の処理（後述）をして、クライアント端末１０２に起動情報削除応答を返送する（ステップ７１５）。クライアント端末１０２は、起動情報削除プログラム４０２によりこの起動情報削除応答を受信し、管理マネージャ１０１から起動情報が削除されたことを確認する（ステップ７１６）。また、クライアント端末１０２は、アクセス情報削除要求プログラム４０４によりサーバ端末１０３にアクセス情報削除要求を送信する（ステップ７１７）。サーバ端末１０３は、アクセス情報削除受付プログラム６０３によりこのアクセス情報削除要求を受信し、所定の処理（後述）をして、アクセス情報削除応答を返送する（ステップ７１８）。クライアント端末１０２は、アクセス情報削除要求プログラム４０４によりこのアクセス情報削除応答を受信し、サーバ端末１０３からアクセス情報が削除されたことを確認する（ステップ７１９）。尚、ステップ７１４〜７１６と、ステップ７１７〜７１９とは順序が前後してもよい。

以上の処理の後、クライアント端末１０２は動作を停止する（ステップ７２０）。

図８は、図４に示すクライアント端末１０２の起動情報登録プログラム４０１の動作手順を示すフローチャートである。図８において、起動情報登録プログラム４０１は、まず、現在の時刻を取得し（ステップ８０１）、起動情報登録要求を作成する（ステップ８０２）。起動情報登録プログラム４０１が作成する起動情報登録要求のデータフォーマットを図９に示す。起動情報登録要求は、メッセージの種類を示す要求コード９０１、送信元アドレス９０２、受信先アドレス９０３、メッセージの作成時刻９０４、暗号ハッシュ値９０５を含んでいる。ステップ８０２で生成される起動情報登録要求は、要求コード９０１が「１：起動情報登録要求」であり、送信元アドレス９０２がクライアント端末１０２の端末識別子４０７であり、受信先アドレス９０３が管理マネージャ１０１の端末識別子４０８であり、時刻９０４にはステップ８０１で取得した時刻が設定される。尚、以下で各端末から送信される各種要求も図９に示すデータフォーマットで生成され、要求コード９０１によってその要求の種類が特定されるようになっている。図示するように、要求コードには、１（起動情報登録要求）、２（起動情報登録応答）、３（起動情報削除要求）、４（起動情報削除応答）、１１（アクセス情報登録要求）、１２（アクセス情報登録応答）、１３（アクセス情報削除要求）、１４（アクセス情報削除応答）、９９（エラー）の９種類がある。

暗号ハッシュ値９０５は、受信先端末においてこのメッセージが正しい送信元端末から届いていることを確認するための情報である。ここでは、ステップ８０２で作成した起動情報登録要求の要求コード９０１、送信元アドレス９０２、受信先アドレス９０３、時刻９０４からなるデータ列にクライアント端末１０２が保持する共有秘密鍵４０９を追加した値を入力として、ＭＤ５やＳＨＡ１などのハッシュ関数を計算し、出力値を当該起動情報登録要求の暗号ハッシュ値９０５に設定する（ステップ８０３）。

起動情報登録プログラム４０１は、このようにして生成された起動情報登録要求を管理マネージャ１０１の起動情報登録受付プログラム２０６に送信する（ステップ８０４）。起動情報登録プログラム４０１は、管理マネージャ１０１の起動情報登録受付プログラム２０６から、起動情報登録応答を受信する（ステップ８０５）。ここで、起動情報登録応答には一時秘密鍵１００１が付加されているため図９とは異なるデータフォーマットとなっている。起動情報登録応答のデータフォーマットを図１０に示す。一時秘密鍵１００１は、管理マネージャ１０１、クライアント端末１０２及びサーバ端末１０３間で一時的に共有する秘密鍵であり、管理マネージャ１０１の起動情報登録受付プログラム２０６により生成される。

起動情報登録プログラム４０１は、起動情報登録応答の要求コード９０１、送信元アドレス９０２、受信先アドレス９０３、時刻９０４、一時秘密鍵１００１からなるデータ列に共有秘密鍵４０９を追加した値を入力として、ＭＤ５やＳＨＡ１などのハッシュ関数を計算した出力値を、ステップ８０５で受信した起動情報登録応答の暗号ハッシュ値９０５と比較する（ステップ８０６）。両値が一致すれば、応答データは正当であると判断して、共有秘密鍵４０９により応答データを復号し、一時秘密鍵１００１を取得する（ステップ８０７）。両値が一致しなければ、エラーとして処理を終了する。以下、要求データ及び応答データの正当性の確認は同様にして行われるものとする。

図１１は、図２に示す管理マネージャ１０１の起動情報登録受付プログラム２０６の動作手順を示すフローチャートである。図１１において、起動情報登録受付プログラム２０６は、クライアント端末１０２から起動情報登録要求を受信すると（ステップ１１０１）、起動情報登録要求の正当性を確認する（ステップ１１０２）。

ステップ１１０１で受信した起動情報登録要求が正常である場合、起動情報登録受付プログラム２０６は、送信元アドレス９０２の項を参照し、当該クライアント端末１０２のネットワークアドレスが起動情報登録テーブル２０８に既に登録されているかどうかを調べる（ステップ１１０３）。未だ登録されていなければ、送信元アドレス９０２を起動情報登録テーブル２０８に追加登録した後（ステップ１１０４）、一時秘密鍵２１０を共有秘密鍵２０９で暗号化し（ステップ１１０５）、現在の時刻を取得し（ステップ１１０６）、これらのデータを用いて図１０に示す起動情報登録応答を生成する（ステップ１１０７）。ここで生成される起動情報登録応答は、要求コード９０１が「２：起動情報登録応答」であり、送信元アドレス９０２が管理マネージャ１０１の端末識別子であり、受信先アドレス９０３が受信した起動情報登録要求の送信元アドレス９０２であり、時刻９０４にステップ１１０６で取得した時刻を設定したものである。一時秘密鍵１００１は、ステップ１１０５で暗号化した一時秘密鍵である。また、上記同様の方法で、生成された起動情報登録応答に暗号ハッシュ値９０５を設定する（ステップ１１０８）。起動情報登録受付プログラム２０６は、こうして生成された起動情報登録応答をクライアント端末１０２に送信する（ステップ１１０９）。

一方、ステップ１１０１で受信した起動情報登録要求が正常でなかった場合、あるいはステップ１１０３においてクライアント端末１０２のネットワークアドレスが起動情報登録テーブル２０８に登録済みであった場合には、現在の時刻を取得し（ステップ１１１０）、図９のデータフォーマットに従ったエラー応答を生成し（ステップ１１１１）、暗号ハッシュ値９０５を設定して（ステップ１１１２）、クライアント端末１０２に送信する（ステップ１１１３）。

図１２は、図６に示すサーバ端末１０３のアクセス制御プログラム６０１及びバックグランド認証プログラム６０２の動作手順を示すフローチャートである。図１２において、サーバ端末１０３がクライアント端末１０２からのアクセスを受けると、アクセス制御プログラム６０１により通信パケットに含まれるクライアント端末１０２の識別子を取得する（ステップ１２０１）。サーバ端末１０３は、取得した接続元端末識別子がアクセス端末テーブル６０６に既に登録されているかどうかを調べ（ステップ１２０２）、既に登録済みである場合には、アクセス制御プログラム６０１はそのまま終了し、通信パケットはサーバアプリケーション６０４に渡される。

アクセス元のクライアント端末１０２の端末識別子がアクセス端末テーブル６０６に登録されていない場合には、サーバ端末１０３は、バックグランド認証プログラム６０２により、その端末識別子をアクセス端末テーブル６０６に追加登録し、（ステップ１２０３）、現在の時刻を取得して合わせて登録する（ステップ１２０４）。また、クライアント端末１０２に対するアクセス情報登録要求を生成し（ステップ１２０５）、一時秘密鍵６１０を用いて計算した暗号ハッシュ値９０５を付加し（ステップ１２０６）、クライアント端末１０２に送信する（ステップ１２０７）。ここで生成されるアクセス情報登録要求は、要求コード９０１が「１１：アクセス情報登録応答」であり、送信元アドレス９０２が端末識別子６０７であり、受信先アドレス９０３が上記で取得した接続元端末識別子であり、時刻９０４にはステップ１２０４で取得した時刻が設定されている。

その後、クライアント端末１０２からアクセス情報登録応答を受信すると（ステップ１２０８）、サーバ端末１０３は、バックグランド認証プログラム６０２により、受信したアクセス情報登録応答の正当性を確認し（ステップ１２０９）、正常である場合には、アクセス端末テーブル６０６において、アクセス情報登録応答の送信元アドレス９０２に設定されている端末識別子のレコードを検索し、そのレコードの状況５０４フィールドを「許可」に設定する（ステップ１２１０）。受信したアクセス情報登録応答が正常でない場合には、アクセス情報登録応答の送信元アドレス９０２に設定されている端末識別子のレコードを検索し、そのレコードの状況５０４フィールドを「禁止」に設定する（ステップ１２１１）。

その後、サーバ端末１０３は、バックグランド認証プログラム６０２により、アクセス端末テーブル６０６の各レコードのうち、状況５０４フィールドが「禁止」になっているレコードであって、登録された時刻５０３から一定時間以上経過しているレコードを削除する（ステップ１２１２）。尚、この削除はバックグランド認証プログラム６０２により定期的に行われるべきものであり、別のタイミングで行うことにしてもよい。

図１３は、図４に示すクライアント端末１０２のバックグランド認証受付プログラム４０３の動作手順を示すフローチャートである。図１３において、クライアント端末１０２は、サーバ端末１０３のバックグランド認証プログラム６０２から、アクセス情報登録要求を受信すると（ステップ１３０１）、バックグランド認証受付プログラム４０３により、受信したアクセス情報登録要求の正当性を確認し（ステップ１３０２）、正常である場合には、アクセス情報の登録を行う（ステップ１３０３）。具体的には、受信したアクセス情報登録要求の送信元アドレス９０２に含まれているサーバ端末１０３の端末識別子をアクセス端末テーブル４０６に追加登録する。その後、現在の時刻を取得し（ステップ１３０４）、アクセス情報登録応答を作成し（ステップ１３０５）、一時秘密鍵４１０を用いて暗号ハッシュ値９０５を付加し（ステップ１３０６）、サーバ端末１０３に送信する（ステップ１３０７）。ここで、アクセス情報登録応答は、要求コード９０１が「１２：アクセス情報登録応答」であり、送信元アドレス９０２が端末識別子４０７であり、受信先アドレス９０３が受信したアクセス情報登録要求の送信元アドレス９０２であり、時刻９０４にはステップ１３０４で取得した時刻が設定される。

一方、ステップ１３０２において、受信したアクセス情報登録要求が正常でないと判断した場合には、現在の時刻を取得し（ステップ１３０８）、暗号ハッシュ値９０５を計算して（ステップ１３０９）、図９のデータフォーマットに従ったエラー応答を生成し（ステップ１３１０）、サーバ端末１０３に送信する（ステップ１３１１）。ここで、エラー応答は、要求コード９０１が「９９：エラー」であり、送信元アドレス９０２が端末識別子４０７であり、受信先アドレス９０３が受信したアクセス情報登録要求の送信元アドレス９０２であり、時刻９０４にはステップ１３０８で取得した時刻が設定される。

その後、クライアント端末１０２は、バックグランド認証受付プログラム４０３により、アクセス端末テーブル４０６の各レコードのうち、状況５０４フィールドが「禁止」になっているレコードであって、登録された時刻５０３から一定時間以上経過しているレコードを削除する（ステップ１３１２）。尚、この削除はバックグランド認証受付プログラム４０３又は他のプログラムにより定期的に行われるべきものであり、別のタイミングで行うことにしてもよい。

図１４は、図４に示すクライアント端末１０２の起動情報削除プログラム４０２の動作手順を示すフローチャートである。図１４において、動作を終了しようとするクライアント端末１０２は、起動情報削除プログラム４０２により、現在の時刻を取得し（ステップ１４０１）、起動情報削除要求を生成し（ステップ１４０２）、一時秘密鍵４１０を利用して計算した暗号ハッシュ値９０５を付加して（ステップ１４０３）、管理マネージャ１０１に送信する（ステップ１４０４）。ここで、起動情報削除要求は、要求コード９０１が「３：起動情報削除要求」であり、送信元アドレス９０２が端末識別子４０７であり、受信先アドレス９０３が管理マネージャ端末識別子４０８であり、時刻９０４にはステップ１４０１で取得した時刻が設定される。

管理マネージャ１０１から、起動情報削除応答を受信すると（ステップ１４０５）、クライアント端末１０２は、起動情報削除プログラム４０２により、起動情報削除応答の正当性を確認し処理を終了する（ステップ１４０６）。

図１５は、図２に示す管理マネージャ１０１の起動情報削除受付プログラム２０７の動作手順を示すフローチャートである。図１５において、管理マネージャ１０１は、クライアント端末１０２から起動情報削除要求を受信すると（ステップ１５０１）、起動情報削除受付プログラム２０７により、起動情報削除要求の正当性を確認し（ステップ１５０２）、正常である場合には、起動情報登録テーブル２０８から受信した起動情報削除要求の送信元アドレス９０２に対応するレコードを削除した後（ステップ１５０３）、現在の時刻を取得し（ステップ１５０４）、起動情報削除応答を作成し（ステップ１５０５）、一時秘密鍵２１０を利用して生成した暗号ハッシュ値９０５を付加し（ステップ１５０６）、クライアント端末１０２に送信する（ステップ１５０７）。ここで、起動情報削除応答は、要求コード９０１が「４：起動情報削除応答」であり、送信元アドレス９０２が管理マネージャ１０１の端末識別子であり、受信先アドレス９０３が受信したアクセス情報削除要求の送信元アドレス９０２であり、時刻９０４にはステップ１５０４で取得した時刻が設定される。

図１６は、図４に示すクライアント端末１０２のアクセス情報削除要求プログラム４０４の動作手順を示すフローチャートである。図１６において、動作を終了しようとするクライアント端末１０２は、アクセス情報削除要求プログラム４０４により、アクセス端末テーブル４０６の先頭レコードから登録端末識別子５０２の値を取得する（ステップ１６０１）。その後、現在の時刻を取得し（ステップ１６０３）、アクセス情報削除要求を生成し（ステップ１６０４）、一時秘密鍵４１０を利用して生成した暗号ハッシュ値９０５を付加し（ステップ１６０５）、取得した登録端末識別子５０２に該当する端末に送信する（ステップ１６０６）。アクセス情報削除要求は、要求コード９０１が「１３：アクセス情報削除要求」であり、送信元アドレス９０２が端末識別子４０７であり、受信先アドレス９０３が取得した登録端末識別子５０２の値であり、時刻９０４にはステップ１６０３で取得した時刻が設定される。

アクセス情報削除要求の送信先の端末からアクセス情報削除応答を受信すると（ステップ１６０７）、クライアント端末１０２は、アクセス情報削除要求プログラム４０４により、アクセス情報削除応答の正当性を確認した後（ステップ１６０８）、アクセス端末テーブル４０６から、ステップ１６０１で取得対象としたレコードを削除する（ステップ１６０９）。再び、クライアント端末１０２は、アクセス情報削除要求プログラム４０４によりステップ１６０１以降の処理を繰り返して実行し、アクセス端末テーブル４０６にレコードがなくなった時点で、処理を終了する。

図１７は、図６に示すサーバ端末１０３のアクセス情報削除受付プログラム６０３の動作手順を示すフローチャートである。図１７において、サーバ端末１０３は、クライアント端末１０２からアクセス情報削除要求を受信すると（ステップ１７０１）、アクセス情報削除受付プログラム６０３により、アクセス情報削除要求の正当性を確認し（ステップ１７０２）、アクセス端末テーブル６０６から受信したアクセス情報削除要求の送信元アドレス９０２に対応するレコードを削除する（ステップ１７０３）。その後、現在の時刻を取得し（ステップ１７０４）、アクセス情報削除応答を生成し（ステップ１７０５）、一時秘密鍵６１０を利用して生成した暗号ハッシュ値９０５を付加して（ステップ１７０６）、クライアント端末１０２に送信する（ステップ１７０７）。ここで、アクセス情報削除応答は、要求コード９０１が「１４：アクセス情報削除応答」であり、送信元アドレス９０２が端末識別子６０７であり、受信先アドレス９０３が受信したアクセス情報削除要求の送信元アドレス９０２であり、時刻９０４にはステップ１７０４で取得した時刻が設定される。

図１８は、図６に示すサーバ端末１０３のアクセス制御プログラム６０１の動作手順を示すフローチャートである。図１８において、サーバ端末１０３は、通信パケットを受信すると、アクセス制御プログラム６０１を起動して、受信した通信パケットを取得させる（ステップ１８０１）。ここで、通信パケットとは、ネットワーク上で通信処理を行う場合の処理単位であり、例えば、ＩＰデータグラムなどのことである。アクセス制御プログラム６０１は、取得した通信パケットに設定されている受信先アドレス９０３を参照し、それが自端末宛ての通信パケットであるかどうかを判定する（ステップ１８０２）。これは、ブロードキャストパケットなどの通信パケットを処理対象外とするためである。自端末宛ての通信パケットである場合には、取得した通信パケットから送信元端末識別子を取得し（ステップ１８０３）、アクセス端末テーブル４０６に当該端末識別子を含むレコードが存在するかどうかを調べる（ステップ１８０４）。アクセス端末テーブル４０６に当該端末識別子が存在する場合には、当該レコードの状況５０４フィールドを確認し（ステップ１８０５）、その値が「許可」であれば、取得した通信パケットをサーバアプリケーション６０４に転送して（ステップ１８０６）処理を終了し、他の値であればそのまま処理を終了する。

一方、ステップ１８０４において、アクセス端末テーブル４０６に当該端末識別子を含むレコードが存在しない場合、アクセス制御プログラム６０１は、バックグランド認証プログラム６０２を起動し、ステップ１８０３で取得した送信元識別子を渡す（ステップ１８０７）。

尚、本発明のネットワークアクセス制御システムは、コンピュータウィルス対策やＯＳアップデートなどが適切に施されている「対策済みのＰＣ」のみをネットワークにアクセス可能とするネットワーク管理を実現することを目的としている。この目的のためには、例えば、ウィルスパターンファイルの更新があったときや、ＯＳのバグ対策パッチが公開されたときに、ネットワーク管理者が本システムにおいて用いる共有秘密鍵を変更し、上記のような対策を完了したＰＣのみに新たな共有秘密鍵を配布するようにすればよい。この際、新たなウィルスパターンファイルやＯＳのバグ対策パッチなどを管理マネージャ１０１または他の配布サーバ（図示せず）から自動的に配布し、それらが適用された端末に対してのみ配布サーバ等が新たな共有秘密鍵を付与するようにすれば、本システムの管理を自動化することができる。

以上、本発明のネットワークアクセス制御システムについて、具体的な実施の形態を示して説明したが、本発明はこれらに限定されるものではない。当業者であれば、本発明の要旨を逸脱しない範囲内において、上記各実施形態又は他の実施形態にかかる発明の構成及び機能に様々な変更・改良を加えることが可能である。

本発明のネットワークアクセス制御システムは、演算手段、記憶手段、通信手段等を備えたコンピュータ装置を含んだネットワーク上で実現され得るものであり、当該コンピュータ装置間のアクセス制御という情報処理が上記の演算手段、記憶手段、通信手段等のハードウェア資源を用いて具体的に実現されるものであるから、産業上利用することができる発明である。

本発明のネットワークアクセス制御システムの全体構成を概略的に示す図である。 図１に示す管理マネージャの内部構成を示す機能ブロック図である。 図２に示す起動情報登録テーブルのデータ構成例を示す図である。 図１に示すクライアント端末の内部構成を示す機能ブロック図である。 図４に示すアクセス端末テーブルのデータ構成例を示す図である。 図１に示すサーバ端末の内部構成を示す機能ブロック図である。 図１に示す管理マネージャ、クライアント端末、及びサーバ端末の動作の流れを示すシーケンス図である。 図１に示す管理マネージャ、クライアント端末、及びサーバ端末の動作の流れを示すシーケンス図である。 図４に示すクライアント端末の起動情報登録プログラムの動作手順を示すフローチャートである。 クライアント端末の起動情報登録プログラムにより生成される起動情報登録要求のデータフォーマットを例示する図である。 管理マネージャの起動情報登録受付プログラムにより生成される起動情報登録応答のデータフォーマットを例示する図である。 図２に示す管理マネージャの起動情報登録受付プログラムの動作手順を示すフローチャートである。 図６に示すサーバ端末のアクセス制御プログラム及びバックグランド認証プログラムの動作手順を示すフローチャートである。 図４に示すクライアント端末のバックグランド認証受付プログラムの動作手順を示すフローチャートである。 図４に示すクライアント端末の起動情報削除プログラムの動作手順を示すフローチャートである。 図２に示す管理マネージャの起動情報削除受付プログラムの動作手順を示すフローチャートである。 図６に示すサーバ端末のアクセス制御プログラムの動作手順を示すフローチャートである。 図６に示すサーバ端末のアクセス情報削除受付プログラムの動作手順を示すフローチャートである。 図６に示すサーバ端末のアクセス制御プログラムの動作手順を示すフローチャートである。

符号の説明

１０１ 管理マネージャ
１０２ クライアント端末
１０３ サーバ端末
１０４ ネットワーク
２０２ メモリ
２０３ 通信部
２０４ 入力部
２０５ 出力部
２０６ 起動情報登録受付プログラム
２０７ 起動情報削除受付プログラム
２０８ 起動情報登録テーブル
２０９ 共有秘密鍵
２１０ 一時秘密鍵
２１１ 記憶部
４０１ 起動情報登録プログラム
４０２ 起動情報削除プログラム
４０３ バックグランド認証受付プログラム
４０４ アクセス情報削除要求プログラム
４０５ クライアントアプリケーション
４０６ アクセス端末テーブル
４０７ 端末識別子
４０８ 管理マネージャ端末識別子
４０９ 共有秘密鍵
４１０ 一時秘密鍵
４１１ 記憶部
６０１ アクセス制御プログラム
６０２ バックグランド認証プログラム
６０３ アクセス情報削除受付プログラム
６０４ サーバアプリケーション
６０６ アクセス端末テーブル
６０７ 端末識別子
６０８ 管理マネージャ端末識別子
６０９ 共有秘密鍵
６１０ 一時秘密鍵
６１１ 記憶部

Claims (9)

1. ネットワーク内に接続された端末をネットワーク内で共通の認証情報を用いて認証する手段と、前記認証が成功した端末に対して一時的な認証情報を付与する手段とを有する管理マネージャと、
   前記管理マネージャから付与された一時的な認証情報を用いて、ネットワーク内の他の端末にアクセスする手段を有する１以上の端末と、
   前記一時的な認証情報を保持しており、前記アクセスを受けると、当該アクセス元端末に対して前記一時的な認証情報に基づいて認証を行い、当該アクセス元のアクセス可否を決定する手段を有する１以上の被アクセス端末とを含むネットワークアクセス制御システム。
2. 前記被アクセス端末は、前記アクセスを受けると、当該アクセスを拒否した後、当該アクセス元端末に対して前記一時的な認証情報に基づいた認証を行うための情報を送信し、それに対する受信情報に基づき当該アクセス元端末のアクセス可否を決定することを特徴とする請求項１に記載のネットワークアクセス制御システム。
3. 前記１以上の被アクセス端末は、前記アクセスを受ける際に、当該アクセス元端末のネットワークアドレスを記憶しておき、当該アクセス元端末に対してアクセス可否を決定した後は、当該ネットワークアドレスに基づいて当該アクセス元端末からのアクセスを制御することを特徴とする請求項２に記載のネットワークアクセス制御システム。
4. 前記１以上の端末及び前記１以上の被アクセス端末は、起動時に前記管理マネージャにアクセスし、前記共通の認証情報を用いて認証を受けて、前記一時的な認証情報の付与を受けることを特徴とする請求項１から３のいずれか１項に記載のネットワークアクセス制御システム。
5. 前記１以上の端末及び前記１以上の被アクセス端末は、動作停止時に前記管理マネージャにアクセスし、自端末の動作停止を通知することを特徴とする請求項４に記載のネットワークアクセス制御システム。
6. 前記１以上の端末は、動作停止時に前記１以上の被アクセス端末にアクセスし、自端末の動作停止を通知することを特徴とする請求項４又は５に記載のネットワークアクセス制御システム。
7. 前記ネットワーク内で共通の認証情報及び一時的な認証情報は、通信データを暗号化及び復号するための鍵であることを特徴とする請求項１から６のいずれか１項に記載のネットワークアクセス制御システム。
8. 前記ネットワーク内で共通の認証情報は、前記１以上の端末及び前記１以上の被アクセス端末に対してセキュリティ対策を講じる必要が生じた時点で変更され、当該セキュリティ対策が施された端末にのみ変更後の共通の認証情報が前期管理マネージャまたは他の認証情報配布サーバによって付与されることを特徴とする請求項１から７のいずれか１項に記載のネットワークアクセス制御システム。
9. 前記セキュリティ対策を講じる必要が生じた時点とは、セキュリティ対策プログラムの導入、ウィルスパターンファイルの更新、ＯＳプログラムのアップデート、セキュリティプログラムのバージョンアップ、認証デバイスの挿入のうち少なくとも１つの事象が前記１以上の端末及び前記１以上の被アクセス端末に対して発生した時点であることを特徴とする請求項８に記載のネットワークアクセス制御システム。

Images