JP2007329542A

JP2007329542A - ゲートウェイサーバ、セキュリティ保証システム、その方法およびプログラム

Info

Publication number: JP2007329542A
Application number: JP2006157145A
Authority: JP
Inventors: Takahiko Enami; 孝彦江波
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2006-06-06
Filing date: 2006-06-06
Publication date: 2007-12-20

Abstract

【課題】加入者情報と在圏基地局を認証キーに加えることで、特定端末かつ特定の場所からのアクセスを認めるシステムを構成すること。
【解決手段】端末１から特定ネットワーク３へアクセスする際に、ゲートウェイサーバ８は、端末１の加入者情報及び在圏基地局情報を認証のキーとして識別サーバ７を介して認証を行い、特定端末から、かつ特定の場所においてのみ、アクセスを許可する。
【選択図】図２

Description

本発明は、携帯端末から特定ネットワークへアクセスする際に、所定の情報を認証のキーとすることで、アクセスを許可する技術に関する。

従来、ネットワークへの不正アクセスによりデータ破壊や情報漏洩を招くことを考えると、重要なネットワークではセキュリティに十分留意する必要がある。携帯端末により不正アクセスが行われる要因として、既に重要なネットワークへアクセスすることができる端末の不正入手が考えられる。

携帯端末の紛失時や盗難時などであってもその端末からの不正アクセスを防ぐことが必要であった。

また、社内ＬＡＮなど機密性の高いネットワークへアクセスする際に、従来はパスワードや加入者情報による認証を行っているが、パスワードに関しては盗用や暗号解析される恐れがあり、また加入者情報も端末紛失時などに、その端末が悪用されて該当ネットワークへの不正アクセスを許す可能性も考えられる。

ここで、移動端末のネットワークへのリモートアクセスにより、通信処理部は、移動端末から送信される発ＩＤを受け取り、発ＩＤ処理部に渡し、発ＩＤ処理部では、この発ＩＤを用いて移動端末の過去のアクセス履歴の取得要求を認証情報保存部に行い、過去のアクセス履歴が与えられると、発ＩＤ処理部では、過去のアクセス履歴と移動端末から与えられる移動端末の現在位置情報及びアクセス時刻等から、移動端末の移動速度ｖを求め、発ＩＤ処理部では、移動速度ｖが移動速度上限値を超えていなければ正当なアクセスとして、リモートアクセス処理部において上記アクセスが許可され、移動速度ｖが移動速度上限値を超えていれば今回のアクセスは不正アクセスであると判断して、リモートアクセス処理部において上記アクセスが禁止されることで、移動端末から有線ネットワークへのアクセスにおいて、不正アクセスを防止することができる技術が提案されている（例えば、特許文献１参照）。
特開２０００−４００６４号公報

しかしながら、上述した従来例においては次のような問題点があった。

上記の特許文献１では位置情報について移動速度の算出などを利用しているが、この移動速度が上限値を超えない限りは不正アクセスも可能であるという問題点があった。

本発明は、以上説明した問題点を解決するためになされたものである。その目的は、加入者情報と在圏基地局を認証キーに加えることで、特定端末かつ特定の場所からのアクセスを認めるシステムを構成するところにある。

上記課題を解決するために、本発明は、携帯端末が特定ネットワークへアクセスする際に、携帯端末の加入者情報及び在圏基地局情報を認証のキーとすることで、特定端末から、かつ特定の場所においてのみ、アクセスを許可するゲートウェイサーバを提供する。

また、本発明は、携帯端末から特定ネットワークへアクセスする際に、携帯端末の加入者情報及び在圏基地局情報を認証のキーとすることで、特定端末から、かつ特定の場所においてのみ、アクセスを許可するセキュリティ保証システムを提供する。

また、本発明は、携帯端末から特定ネットワークへアクセスする際に、携帯端末の加入者情報及び在圏基地局情報を認証のキーとすることで、特定端末から、かつ特定の場所においてのみ、アクセスを許可するセキュリティ保証方法を提供する。

本発明によれば、加入者情報と在圏基地局を認証キーに加えることで、特定端末かつ特定の場所からのアクセスを認めるシステムを構成することができる。

以下、本発明の実施の形態について図面を参照して詳細に説明する。図１は本発明のイメージを示す図である。加入者情報の例として加入者番号を用いる。端末１１、１２、１３はインターネット接続が可能な携帯電話であり、加入者番号もそれぞれ１１、１２、１３であることを意味する。特定ネットワーク３へのアクセスを行うにあたり、アクセスの許容条件が以下の通りだったとする。
１．加入者番号が１１、１３であること。
２．基地局２の在圏範囲となるエリア４に含まれる携帯端末からのアクセスであること。
この場合、アクセスが許可されるのは端末１１となり、該当端末のみ移動体通信網５、インターネット網６を経由して特定ネットワーク３へのアクセスが可能となる。

図２が本実施の形態におけるセキュリティ保証システムの全体の構成となる。端末１はインターネット接続が可能な携帯電話の端末を意味する。

識別サーバ７は携帯電話の加入者情報、在圏基地局情報及び該当加入者が加入しているサービス情報を蓄積しておく。蓄積はあらかじめ登録しておくことか、端末１が移動体通信網５へアクセスしてきた際にその情報を取得することで実現する。

特定ネットワーク３は端末１の加入者がアクセスするネットワークである。

移動体通信網５とインターネット網６との間にゲートウェイサーバ８を設置する。

端末１から特定ネットワーク３へアクセスがあった場合、ゲートウェイサーバ８が識別サーバ７からアクセス元の端末の情報を受け取り、その情報がアクセス可否の条件を満たしているかを判定する。特定ネットワーク３へのアクセスを行うことができる加入者情報の条件はゲートウェイサーバ８が持つ。

次に、本実施の形態の動作を図面を参照して詳細に説明する。

図２にて示される、エンドユーザが端末１からコンテンツサービスを受けるため、移動体通信網５やインターネット網６を経由して特定ネットワーク３にアクセスするケースにおいて、詳細なフローを図３に示す。以下にそのフローを記す。

まず、端末１から移動体通信網５へアクセスした際に、該当端末の加入者情報、位置情報を識別サーバ７に登録する。

次に、ゲートウェイサーバ８にてアクセス元が正しいかを判定するためにアクセス元の加入者情報、位置情報を識別サーバ７へ問い合わせる。

識別サーバ７にて、アクセス元の端末が特定ネットワーク３へのアクセスが許容されているか認証を行い、認証結果をゲートウェイサーバ８へ通知する。

認証判定の結果アクセスを許容するのであれば、端末１と特定ネットワーク３の通信を確立し、認証判定の結果アクセスを許容しないのであれば、ゲートウェイサーバ８からアクセスできないことを端末１へ通知する。

上記の本実施の形態によれば、加入者情報と在圏基地局による位置情報を元に認証を行う、あるいは従来のパスワードなどによるアクセス認証と組み合わせることにより、特定端末から、かつ特定の場所からのみ、社内ＬＡＮなど機密性の高いネットワークへのアクセスのみを許可することが可能となり、ネットワークのセキュリティ性を高め、不正アクセスを防ぐことが可能となる。具体的には以下に記載するような効果を奏する。特定ネットワークへアクセス可能な端末を紛失した場合、特定ネットワークを利用することが可能なエリアにその端末が持ち込まれない限りは、アクセスされることがないため、紛失あるいは盗難にあった端末での不正アクセスを防ぐことが可能となる。

特定ネットワークを利用することが可能なエリアに端末が持ち込まれた場合でも、ネットワークへのアクセスを許可されていない端末であれば、アクセスができないため、持ち込まれた端末からの情報漏洩などを防ぐことが可能となる。

図４に動作イメージを示し、以下に内容の説明を行う。なお、ここでは加入者情報の例として加入者番号を取り上げるが、加入者情報を加入者番号に限定するものでは無く、特定端末のシリアル番号やその他加入者を特定できる固有の情報も加入者情報として利用し得る。

端末１０１〜１０３、１１１〜１１３はインターネット接続が可能な携帯電話機であり、加入者番号もそれぞれ１０１〜１０３、１１１〜１１３であることを意味する。

特定ネットワーク３１〜３３へのアクセスを行うにあたり条件がそれぞれ以下であったとする。

１．特定ネットワーク３１のアクセス条件は加入者番号が１０１であり、エリア４０１に属すること。

２．特定ネットワーク３２のアクセス条件は加入者番号が１１１か１１２であり、エリア４０２に属すること。

３．特定ネットワーク３３のアクセス条件は加入者番号が１１１であり、エリア４０２に属すること。

上記の条件では特定ネットワーク３１へアクセス可能なのは端末１０１のみとなる。また、同じエリア４０２に属する端末において特定ネットワーク３２へは端末１１１と１１２がアクセスすることが可能だが、特定ネットワーク３３に関しては端末１１１のみアクセス可能となる。また、後者の例では、端末１１１と１１２とで、ネットワークへのアクセス範囲を分けることが可能となる。

なお、より機密性を高めるため、位置情報を正確にするためＧＰＳ情報ではなく在圏基地局情報を用いることが望ましい。

また、在圏基地局情報に加入者情報を加えることで、ユーザ側では何ら意識することなくユーザごとに応じたネットワークアクセスレベルを分けることができる。

なお、上述する各実施の形態は、本発明の好適な実施の形態であり、本発明の要旨を逸脱しない範囲内において種々変更実施が可能である。例えば、識別サーバおよび７ゲートウェイサーバ８の機能を実現するためのプログラムを各装置に読込ませて実行することにより各装置の機能を実現する処理を行ってもよい。さらに、そのプログラムは、コンピュータ読み取り可能な記録媒体であるＣＤ−ＲＯＭまたは光磁気ディスクなどを介して、または伝送媒体であるインターネット、電話回線などを介して伝送波により他のコンピュータシステムに伝送されてもよい。

上述する各実施の形態は、端末１、識別サーバおよび７ゲートウェイサーバ８が１つのコンピュータシステムとして実現されている構成について説明したが、各装置が別個に接続されている構成や機能毎に複数の装置などが追加された構成にも適用可能であることはもちろんである。

本発明のイメージ図である。本発明の実施の形態におけるセキュリティ保証システムの構成を示す図である。本発明の実施の形態における処理動作示す図である。本発明の実施の形態における動作イメージを示す図である。

符号の説明

１端末
３特定ネットワーク
５移動体通信網
６インターネット網
７識別サーバ
８ゲートウェイサーバ

Claims

携帯端末が特定ネットワークへアクセスする際に、携帯端末の加入者情報及び在圏基地局情報を認証のキーとすることで、特定端末から、かつ特定の場所においてのみ、アクセスを許可することを特徴とするゲートウェイサーバ。
前記在圏基地局情報は特定ネットワークを利用することが可能なエリアに前記携帯端末が存在するか否かを判定するために用いられることを特徴とする請求項１記載のゲートウェイサーバ。
携帯端末から特定ネットワークへアクセスする際に、携帯端末の加入者情報及び在圏基地局情報を認証のキーとすることで、特定端末から、かつ特定の場所においてのみ、アクセスを許可することを特徴とするセキュリティ保証システム。
前記在圏基地局情報は特定ネットワークを利用することが可能なエリアに前記携帯端末が存在するか否かを判定するために用いられることを特徴とする請求項３記載のセキュリティ保証システム。
携帯端末から特定ネットワークへアクセスする際に、携帯端末の加入者情報及び在圏基地局情報を認証のキーとすることで、特定端末から、かつ特定の場所においてのみ、アクセスを許可することを特徴とするセキュリティ保証方法。
前記在圏基地局情報は特定ネットワークを利用することが可能なエリアに前記携帯端末が存在するか否かを判定するために用いられることを特徴とする請求項５記載のセキュリティ保証方法。
コンピュータに請求項１または２記載の機能を実現させることを特徴とするプログラム。