JP2007266681A - 通信ネットワークシステム、ミドルボックス及び通信ネットワークシステムの認証方法 - Google Patents

Abstract

【課題】通信端末の利用者がＩＤ・パスワードを入力するなど、コンピュータに慣れていないユーザへの負荷を低減する。
【解決手段】通信端末１０がネットワーク３０に接続され、通信端末１０はネットワーク３０を介して通信を行う通信ネットワークシステムにおいて、通信端末１０とネットワーク３０との間に、通信端末１０がネットワーク３０に接続する際に行うことを行うミドルボックス２０が設けられた。ミドルボックス２０がネットワーク３０接続の際の認証を行う。ミドルボックス２０は、通信端末１０とネットワーク３０とが接続したか否かを検知し、認証は、検知をトリガーとして行う。
【選択図】図１

Description

本発明は、通信ネットワークシステム、ミドルボックス及び通信ネットワークシステムの認証方法に関し、特に、通信の際に認証を行う通信ネットワークシステム、ミドルボックス及び通信ネットワークシステムの認証方法に関する。

ほとんどの家庭においてインターネットを利用する昨今、情報漏洩、デジタルディバイドなど多くの問題が出てきている。

情報漏洩においては、セキュリティ設定の煩雑さによることが多い。また、親と子供の間にあるデジタルディバイドのため、子供がインターネットにおいてどのようなことを行っているのかを理解していない家庭が多く存在する。

特許文献１には、複数のネットワーク機器とそれらを接続する複数のネットワークケーブルで構成されるネットワークにおいて、ネットワーク機器とそれに接続されるネットワークケーブルとの間に接続し、ネットワークを監視する範囲内の全てのネットワーク機器とネットワークケーブル間に、本ネットワーク監視装置を複数個配置するネットワーク監視装置が開示されている。

特許文献２には、ユーザ評価とポイント付与のできるサーバによってユーザからのフィルタリングデータを集める。フィルタリングデータを用いることによってインターネット上の不要な情報をフィルタリングする技術が開示されている。
特開２００３−２９８５８７号公報 特開２００４−１０２６６２号公報

従来の認証方法では、通信端末の利用者がＩＤ・パスワードを入力するなど、コンピュータに慣れていないユーザへの負荷が高かった。

また、家庭内で家族が同じＩＤ・パスワードを使う場合、子供向けのフィルタリングを行うなどの対策が難しかった。

また、ネットワーク家電を利用する際には、家電同士が簡単に通信を行える仕組みが必要であった。

そこで、本発明は、上記の課題を解決することを目的とする。

本発明は、上記課題を解決するための手段として、通信端末がネットワークに接続され、前記通信端末は前記ネットワークを介して通信を行う通信ネットワークシステムにおいて、前記通信端末と前記ネットワークとの間に、前記通信端末が前記ネットワークに接続する際に行うことを行うミドルボックスが設けられたことを特徴とする。

また、本発明は、前記ミドルボックスは、前記通信端末と接続し通信を行うための通信端末用インターフェースと、前記ネットワークに接続し通信を行うためのネットワーク通信インターフェースと、前記通信端末が前記通信端末用通信インターフェースに接続・切断されたことを電気的に検知するためのネットワーク接続状態監視機能と、前記ネットワーク上に存在するサービスをマルチキャストによって探し、前記ネットワーク上にあるサービス情報又は前記ミドルボックスからサービス情報を受けた後、データベースに登録し、当該登録された情報に基づき通信フィルタリングを行うとともに、当該情報を受け取った際に、当該情報の属性を調査し、サービス利用を許可するか許可しないかを含めた情報を加工し提供するサービス登録・フィルタ機能と、前記認証サーバへの認証要求及び前記認証サーバから受け取った乱数に対し、前記データベースに登録している秘密鍵を用いて暗号化することで署名を行うことのできる署名機能と、前記ネットワーク上のサービス情報及び前記通信端末のサービス情報及び秘密鍵を登録するためのデータベースと、を備えることを特徴とする。

また、本発明は、通信端末がネットワークに接続され、前記通信端末は前記ネットワークを介して通信を行う通信ネットワークシステムに設けられるミドルボックスにおいて、前記通信端末と前記ネットワークとの間に設けられ、前記通信端末が前記ネットワークに接続する際に行うことを行うことを特徴とする。

また、本発明は、前記通信端末と接続し通信を行うための通信端末用インターフェースと、前記ネットワークに接続し通信を行うためのネットワーク通信インターフェースと、前記通信端末が前記通信端末用通信インターフェースに接続・切断されたことを電気的に検知するためのネットワーク接続状態監視機能と、前記ネットワーク上に存在するサービスをマルチキャストによって探し、前記ネットワーク上にあるサービス情報又は前記ミドルボックスからサービス情報を受けた後、データベースに登録し、当該登録された情報に基づき通信フィルタリングを行うとともに、当該情報を受け取った際に、当該情報の属性を調査し、サービス利用を許可するか許可しないかを含めた情報を加工し提供するサービス登録・フィルタ機能と、前記認証サーバへの認証要求及び前記認証サーバから受け取った乱数に対し、前記データベースに登録している秘密鍵を用いて暗号化することで署名を行うことのできる署名機能と、前記ネットワーク上のサービス情報及び前記通信端末のサービス情報及び秘密鍵を登録するためのデータベースと、を備えることを特徴とする。

また、本発明は、通信端末がネットワークに接続され、前記通信端末は前記ネットワークを介して通信を行う通信ネットワークシステムの認証方法において、前記通信端末と前記ネットワークとの間に設けられるミドルボックスで、前記通信端末が前記ネットワークに接続する際に行うことを行うことを特徴とする。

本発明によれば、通信端末側からわずらわしい操作を行うことなく認証が行えるようになる。

また、異なる通信端末を用いる場合においても、通信端末自体の設定を変えることなくミドルボックスを介することで認証が行えるようになる。

また、ミドルボックスを複数用意することにより、同じ端末においても異なる認証が行えるようになり、異なるフィルタリングを行えるようになる。

また、自ら情報を発信しない情報家電などの受動型端末においても、電気的な信号を監視することで自動認証他の機能を開始させることができるようになる。

以下、添付図面を参照して本発明を実施するための最良の実施の形態を説明する。

［構成の説明］
図１は、本発明の一実施形態としての通信ネットワークシステムの構成を示すブロック図であり、図２は通信端末の構成を示すブロック図であり、図３は認証サーバの構成を示すブロック図である。

図１に示すように、ミドルボックス１０と、通信端末２０と、認証サーバ３０と、各端末、ミドルボックス、認証サーバを相互に接続するインターネット又はイントラネットなどの通信ネットワーク４０とから構成される。

ミドルボックス２０及び５０は、通信端末２０と接続し通信を行うための通信端末用インターフェース１０１と、ネットワーク３０に接続し通信を行うためのネットワーク通信インターフェース１０２と、通信端末２０が端末用通信インターフェース１０１に接続・切断されたことを電気的に検知するためのネットワーク接続状態監視機能１０３と、ネットワーク３０上に存在するサービスをマルチキャストによって探し、ネットワーク３０上にあるサービス又はミドルボックス２０からサービス情報を受けた後データベース４０２に登録し、その情報に基づき通信フィルタリングを行う、また同様の情報を受け取った際に、その情報の属性を調査し、サービス利用を許可するか許可しないかを含めた情報を加工し提供することのできるサービス登録・フィルタ機能１０４と、認証サーバ４０への認証要求及び認証サーバ４０から受け取った乱数に対し、データベース４０２に登録している秘密鍵を用いて暗号化することで署名を行うことのできる署名機能１０５と、ネットワーク３０上のサービス情報及び通信端末１０のサービス情報及び秘密鍵を登録するためのデータベース１０６と、を有するＰＣやサーバなどの情報処理装置である。

フィルタリング機能とは、ユーザ情報（属性）によって受けることができるサービスと受けられないサービスとを判別する機能である。

ここで、属性とは、個人情報（ＩＤなど）と関連付けられたものをいう。

例えば、サービス契約を行っているユーザには、サービス利用を許可し、行っていないユーザには利用を許可しないなどということである。

他には、家庭内でこのネットワークを構築した際に、親のＩＤでは利用できるが、子供のＩＤでは利用できないということも可能である。

例えば、家族で同じ機構を利用し、親と子供が利用できるサービスＡと、親のみが利用できるサービスＢと探し出し登録した場合、サービス情報と（親か子供かの）個人情報をマッチさせ、Ａ−親、Ａ−子供、Ｂ−親の場合はサービス利用を許可し、Ｂ−子供の場合はサービス利用を許可しないということがあげられる。

ネットワーク３０は、インターネット又はその他通信インフラである。

図２に示すように、通信端末１０及び６０は、パーソナルコンピュータやサーバ等の能動型、情報家電、ルータ、無線ＬＡＮアクセスポイントなどの受動型又はその他の情報処理装置である。

図３に示すように、認証サーバ４０は、認証のチャレンジに用いる乱数であるチャレンジデータを生成する機能であるチャレンジ生成機能４０１と、ミドルボックス１０に存在する秘密鍵と対となる公開鍵が登録されているデータベース４０２と、署名されたデータをデータベース４０２の公開鍵を用いて紐解き、認証サーバ４０の生成した乱数と一致することで認証を行うことのできる機能である認証処理機能４０３と、ネットワーク３０に接続し通信を行うためのネットワーク通信インターフェース４０４と、を有する通信サーバやその他の情報処理装置である。

チャレンジデータとは、認証に利用する使い捨ての乱数データのことである。サーバで生成されたチャレンジデータを受け取ったクライアントは、データへの署名を秘密鍵で行い、署名済みチャレンジデータをサーバに送り返す。

そして、サーバで所持しているクライアントの公開鍵を用いて署名済みデータの検証を行い、問題がなければ、サーバはクライアントを認証する。

本実施の形態で使用する公開鍵・秘密鍵の例示としては、Diffie-Hellman方式、ＲＳＡ方式、ＤＳＡ方式及び３ＤＥＳ方式がある。しかしながら、これらの方式だけにとどまらず、一般的に使用される公開鍵暗号方式で構わない。

図４−９は、認証要求情報、チャレンジデータ、署名情報、認証許可情報、サービス検索情報及びサービス利用許可情報の例を示す図である。

各々の情報は、図４−９に示すような情報である。

［動作の説明］
図１０は、本発明の一実施形態としての通信ネットワークシステムの動作を示すフローチャートである。

本実施形態において、通信端末１０を用いて、ミドルボックス２０内の端末用通信インターフェース１０１に接続し、自動的に認証を行ったのち通信端末１０がミドルボックス２０を介した通信を行い、さらにミドルボックス２０によるサービス検索・登録・フィルタリングが行われる場合の動作について説明する。

図１０に示すように、通信端末１０を用いて端末用通信インターフェース１０１と接続を行う（ステップＡ１）。

ネットワーク接続状態監視機能１０３は、端末用通信インターフェース１０１に通信端末１０が接続されたことを電気的に検知する（ステップＡ２）。

ネットワーク接続状態監視機能１０３は、署名機能１０５に検知情報を送信する（ステップＡ３）。

ここで、検知情報とは、検知されたことを示す情報を意味し、技術的には、ＳＮＭＰを利用している。

署名機能１０５は、ネットワーク通信インターフェース１０２に認証要求情報を送信する（ステップＡ４）。

ネットワーク通信インターフェース１０２は、ネットワーク３０を介して認証サーバ４０へ認証要求情報を送信する（ステップＡ５）。

認証サーバ４０は、認証に用いるチャレンジデータを生成する（ステップＡ６）。

認証サーバ４０は、ネットワーク３０を介してネットワーク通信インターフェース１０２へチャレンジデータを送信する（ステップＡ７）。

ネットワーク通信インターフェース１０２は、署名機能１０５へチャレンジデータを送信する（ステップＡ８）。

署名機能１０５は、受け取ったチャレンジデータに対してデータベース１０６にある秘密鍵を用いて署名を行い、署名情報を生成する（ステップＡ９）。

署名機能１０５は、署名情報をネットワーク通信インターフェース１０２へ送信する（ステップＡ１０）。

ネットワーク通信インターフェース１０２は、ネットワーク３０を介して認証サーバ４０へ署名情報を送信する（ステップＡ１１）。

認証サーバ４０は、受け取った署名情報を検証し、認証確認を行う（ステップＡ１２）。

認証サーバ４０は、ネットワーク３０を介してネットワーク通信インターフェース１０２へ認証許可情報を送信する（ステップＡ１３）。

ネットワーク通信インターフェース１０２は、サービス登録・フィルタ機能１０４へ認証許可情報を送信する（ステップＡ１４）。

サービス登録・フィルタ機能１０４は、データベース１０６に認証許可情報を登録する（ステップＡ１５）。

サービス登録・フィルタ機能１０４は、ネットワーク通信インターフェース１０２へサービス検索情報をネットワーク３０上にマルチキャストで送信する（ステップＡ１６）。

ネットワーク通信インターフェース１０２は、サービス検索情報をネットワーク３０へ送信する（ステップＡ１７）。

ミドルボックス５０はネットワーク３０に流れているサービス検索情報をネットワーク通信インターフェースから受け取る（ステップＡ１８）。

ミドルボックス５０は、サービス登録・フィルタ機能において、サービス検索マルチキャストデータの情報から自身が管理しているサービスについてサービス利用許可情報を生成する（ステップＡ１９）。

ミドルボックス５０は、ネットワーク通信インターフェースからネットワーク３０を介してネットワーク通信インターフェース１０２へサービス利用許可情報を送信する（ステップＡ２０）。

ネットワーク通信インターフェース１０２は、サービス登録・フィルタ機能１０４へサービス利用許可情報を送信する（ステップＡ２１）。

サービス登録・フィルタ機能１０４は、サービス利用許可情報をデータベース１０６へ登録する（ステップＡ２２）。

以上の動作により、通信端末１０を用いて、ミドルボックス２０に登録された利用許可サービスを利用することができるようになる。

また、通信端末１０がパーソナルコンピュータなど能動的処理を行える場合、さらに通信可能状態であることを知らせる情報を通信端末１０に送信することで、通信端末１０から能動的な通信が開始できる。

さらに、通信端末１０が通信可能状態前からパケットを送信している場合、サービス登録・フィルタ機能３０においてパケットを一時保留し、通信可能状態になった際にパケット送信を再開させる。

また、ステップＡ４からＡ１２までの認証処理は、共通鍵暗号を用いた認証など一般的な認証処理に置き換えることも可能である。

本発明は、通信端末とネットワークとが接続された通信ネットワークシステムなどに利用可能である。

本発明の一実施形態としての通信ネットワークシステムの構成を示すブロック図である。 本発明の一実施形態としての通信端末の構成を示すブロック図である。 本発明の一実施形態としての認証サーバの構成を示すブロック図である。 認証情報の一例を示す図である。 チャレンジデータの一例を示す図である。 署名情報の一例を示す図である。 認証許可情報の一例を示す図である。 サービス検索情報の一例を示す図である。 サービス利用許可情報の一例を示す図である。 本発明の一実施形態としての通信ネットワークシステムの動作を示すフローチャートである。

符号の説明

１０ 通信端末
２０ ミドルボックス
３０ ネットワーク
４０ 認証サーバ
５０ ミドルボックス
６０ 通信端末
１０１ 端末用通信インターフェース
１０２ ネットワーク通信インターフェース
１０３ ネットワーク接続状態監視機能
１０４ サービス登録・フィルタ機能
１０５ 署名機能
１０６ データベース

Claims (11)

1. 通信端末がネットワークに接続され、前記通信端末は前記ネットワークを介して通信を行う通信ネットワークシステムにおいて、
   前記通信端末と前記ネットワークとの間に、前記通信端末が前記ネットワークに接続する際に行うことを行うミドルボックスが設けられたことを特徴とする通信ネットワークシステム。
2. 前記ミドルボックスがネットワーク接続の際の認証を行うことを特徴とする請求項１記載の通信ネットワークシステム。
3. 前記ミドルボックスは、前記通信端末と前記ネットワークとが接続したか否かを検知し、
   前記認証は、前記検知をトリガーとして行うことを特徴とする請求項２記載の通信ネットワークシステム。
4. 前記ミドルボックスは、前記通信端末と接続し通信を行うための通信端末用インターフェースと、
   前記ネットワークに接続し通信を行うためのネットワーク通信インターフェースと、
   前記通信端末が前記通信端末用通信インターフェースに接続・切断されたことを電気的に検知するためのネットワーク接続状態監視機能と、
   前記ネットワーク上に存在するサービスをマルチキャストによって探し、前記ネットワーク上にあるサービス情報又は前記ミドルボックスからサービス情報を受けた後、データベースに登録し、当該登録された情報に基づき通信フィルタリングを行うとともに、当該情報を受け取った際に、当該情報の属性を調査し、サービス利用を許可するか許可しないかを含めた情報を加工し提供するサービス登録・フィルタ機能と、
   前記認証サーバへの認証要求及び前記認証サーバから受け取った乱数に対し、前記データベースに登録している秘密鍵を用いて暗号化することで署名を行うことのできる署名機能と、
   前記ネットワーク上のサービス情報及び前記通信端末のサービス情報及び秘密鍵を登録するためのデータベースと、を備えることを特徴とする通信ネットワークシステム。
5. 通信端末がネットワークに接続され、前記通信端末は前記ネットワークを介して通信を行う通信ネットワークシステムに設けられるミドルボックスにおいて、
   前記通信端末と前記ネットワークとの間に設けられ、前記通信端末が前記ネットワークに接続する際に行うことを行うことを特徴とするミドルボックス。
6. ネットワーク接続の際の認証を行うことを特徴とする請求項５記載のミドルボックス。
7. 前記通信端末と前記ネットワークとが接続したか否かを検知し、
   前記認証は、前記検知をトリガーとして行うことを特徴とする請求項６記載のミドルボックス。
8. 前記通信端末と接続し通信を行うための通信端末用インターフェースと、
   前記ネットワークに接続し通信を行うためのネットワーク通信インターフェースと、
   前記通信端末が前記通信端末用通信インターフェースに接続・切断されたことを電気的に検知するためのネットワーク接続状態監視機能と、
   前記ネットワーク上に存在するサービスをマルチキャストによって探し、前記ネットワーク上にあるサービス情報又は前記ミドルボックスからサービス情報を受けた後、データベースに登録し、当該登録された情報に基づき通信フィルタリングを行うとともに、当該情報を受け取った際に、当該情報の属性を調査し、サービス利用を許可するか許可しないかを含めた情報を加工し提供するサービス登録・フィルタ機能と、
   前記認証サーバへの認証要求及び前記認証サーバから受け取った乱数に対し、前記データベースに登録している秘密鍵を用いて暗号化することで署名を行うことのできる署名機能と、
   前記ネットワーク上のサービス情報及び前記通信端末のサービス情報及び秘密鍵を登録するためのデータベースと、を備えることを特徴とするミドルボックス。
9. 通信端末がネットワークに接続され、前記通信端末は前記ネットワークを介して通信を行う通信ネットワークシステムの認証方法において、
   前記通信端末と前記ネットワークとの間に設けられるミドルボックスで、前記通信端末が前記ネットワークに接続する際に行うことを行うことを特徴とする通信ネットワークシステムの認証方法。
10. 前記ミドルボックスがネットワーク接続の際の認証を行うことを特徴とする請求項９記載の通信ネットワークシステムの認証方法。
11. 前記ミドルボックスは、前記通信端末と前記ネットワークとが接続したか否かを検知し、
    前記認証は、前記検知をトリガーとして行うことを特徴とする請求項１０記載の通信ネットワークシステムの認証方法。