JP2007520797A - 継承セキュリティ属性を使用したセキュアネットワーク上のプロキシ要求を管理するためのシステム及び方法 - Google Patents

Abstract

継承セキュリティ属性を使用してセキュアネットワーク上でプロキシ要求を管理することを目的とする方法、装置、およびシステムである。プロキシ要求がセキュアトンネルのセキュア属性を継承するように、ＨＴＴＰプロキシトラフィックのようなプロキシトラフィックは、セキュアトンネルを通じて通り抜けられる。セキュア属性は、プロキシがサーバにアクセスすることを可能とするために使用され、それによって、それを通じて通り抜けされたプロキシコネクションへのセキュアトンネルのセキュリティプロパティを拡張することが考えられる。セキュアトンネルサービスは、プロキシ要求をクライアントから受信し、セキュリティ属性を含むようにプロキシ要求を修正する。一実施形態において、セキュリティ属性は、プロキシサービスがもう一つのセキュリティ属性を決定するために使用できることを可能とする識別子である。プロキシサービスは、セキュリティ属性を使用することを可能とされ、前記セキュリティ属性は、クライアントがサーバへアクセスすることを認証するかを決定する。
【選択図】図１

Description

本発明は、コンピュータセキュリティーに関し、特に、継承認証および認証属性を利用して、セキュアネットワーク上でプロキシ要求を管理するためのシステムおよび方法に関する。

プロキシサービスは一般的にはサーバ内において備えられ、このサーバは、ウェブブラウザのようなクライアントアプリケーションと、コンテンツサーバのようなもう一つのサーバとの間に位置することが考えられる。プロキシサービスは、その他のサーバに代わってクライアントアプリケーションとの通信を管理するように構成されることが考えられる。プロキシサービスはクライアントアプリケーションに対してはサーバとして、その他のサーバに対してはクライアントとして動作しうる。プロキシサービスはイントラネット内のサーバへのアクセスにおいてクライアントアプリケーションを支援するために、しばしば使用される。

時にはアプリケーションプロキシと呼ばれるプロキシサービスは、一般に、汎用およびアプリケーション・アウェアの二つの形式がある。ＳＯＣＫｅｔＳ（ＳＯＣＫＳ）プロキシ）のような汎用プロキシを用いると、インターネット上のサーバと通信を行なうことを希望するインターネット上のクライアントアプリケーションは、しばしば、プロキシへのコネクションを開き、実際のサーバの位置を示さすために、プロキシ固有プロトコルを通じて処理を行なわなければならない。汎用プロキシは、クライアントアプリケーションに代わってコネクションを開き、そこで通常のアプリケーションプロトコルが開始する。汎用プロキシは一般的には、そこから先は基本的に単純な中継機構として動作する。

アプリケーション・アウェアプロキシサービスは、それらがサポートしているアプリケーションプロトコルを認識することが可能とされるプロキシサーバを備える。アプリケーション・アウェアプロキシサービスはＦＴＰ、Ｔｅｌｎｅｔ、ＨＴＴＰおよび同様のものを含む。

典型的には、アプリケーション・アウェアプロキシサービスは、クライアントアプリケーションを認証し、クライアントアプリケーションがサーバへアクセスすることが認証されることを保証し、サーバへのアクセスを許可することで、サーバ上の所望のアプリケーションへのアクセスを制御するために動作する。ＨＴＴＰプロキシサービスのような多くのアプリケーション・アウェアプロキシサービスにおいては、基礎となるＴＣＰコネクションであって、その上でプロキシサービスがアクセスのための要求を受信するＴＣＰコネクションのプロパティに基づいて、アクセス制御決定がなされる。

多くの状況においては、しかしながら、セキュリティはクライアントアプリケーションとサーバとの間の通信を保護することもまた望まれる。通信の保護は、しばしば、セキュアトンネルを用いることで可能とされる。セキュアトンネルは、ＨＴＴＰＳ／ＳＳＬ、ＴＬＳ、および同様なものを含む様々な機構を採用することで実行されることが考えられる。このセキュアトンネルは、中間媒体として振舞う分離したアプリケーションを使用して、クライアントとプロキシアプリケーションとの間のトラフィックを転送することで作り出されることが考えられる。

残念なことに、セキュアトンネルの使用は、プロキシサービスによって採用される基礎となるＴＣＰコネクションのプロパティへのアクセスを妨げるかもしれない。これは、サーバへの通信とサーバへのクライアントのプロキシアクセスを安全に保護することを困難としうる。加えて、このプロキシサービスは、たとえあったとしても、セキュアトンネルのセキュリティプロパティについての知識をほとんど有していない。これは、例えば、クライアントおよびプロキシサービスによって採用されたアプリケーションプロトコルにおけるセキュリティプロパティを表現することができないことによる。これは、さらに、通信とサーバへのプロキシアクセスの両方のための保護の仕組みを複雑にする。したがって、業界においては、セキュアネットワーク上のプロキシ要求を管理するための改良された方法およびシステムへの需要が存在している。このように、本発明は、本発明がなされたこれらの考慮すべき事項およびその他の事項に関連する。

本発明の制限的でなく包括的でもない実施形態が以下の図面を参照することで記述される。これらの図面においては、指定のない限り様々な図面を通じて、同様の参照番号は同様の部分を参照する。
本発明のより深い理解のために、添付図面に関連して読まれる以下に記載の本発明の詳細な説明への参照がなされる。

本発明は、添付された図面を参考にしながら十分に説明される。添付図面は、本明細書の一部を形成し、図解の手段によって、本発明が実施されると想定される特定の好適な実施形態を示す。しかし、本発明は多くの異なる形態で具体化することが考えられ、ここで説明される実施形態に制限されると解釈されるべきではなく、むしろ、この開示が徹底的かつ完全となり、当業者に本発明の範囲を完全に伝えるために、これらの実施形態は提供されるものである。とりわけ、本発明は方法または装置として具体化されることが考えられる。したがって、本発明は、完全なハードウェアの実施形態、完全なソフトウェアの実施形態、またはソフトウェアとハードウェアとを組み合わせた態様の実施形態の形式をとることが考えられる。以下の詳細な説明は、したがって、制限的な意味で解釈されるべきでない。

「からなる」、「備える」、「含む」、「有する」および「特徴とする」という用語は、制約がないことまたは従来の構成を包括することを意味し、追加的な記載されていない要素または方法のステップを除くものではない。例えば、ＡおよびＢの要素からなる組合せは、Ａ、ＢおよびＣの要素の組合せとも読む。

「ある」および「その」という用語の意味は複数への言及も含む。「において」の意味は、「において」および「の上で」を含む。さらに、述べられるか、本願明細書の開示に矛盾しない限り、単数形での言及は複数形への言及を含む。

「または」という用語は、包括的な「または」演算子であり、文脈が明確に別の方法で指示しない限り「及び／または」を含む。
「一実施形態において」という表現は、そうであるかもしれないが、ここで使用されるように同じ実施形態について言及している必要はない。
「に基づいて」という用語は、文脈が明確に別の方法で指示しない限り、排他的ではなく、記述されない追加的な要素に基づくために提供される。
「パケット」という用語は、ＩＰ（インターネットプロトコル）パケットを含む。「フロー」という用語は、ネットワークを通じたパケットの流れを含む。「コネクション」という用語は、典型的には共通のソースおよび宛て先を共有する単一のフローまたは複数のフローについて言及する。

簡潔に言うと、本発明は、継承セキュリティ属性を使用したセキュアネットワーク上でプロキシ要求を管理するためのシステム、装置、および方法を対象とする。プロキシ要求がセキュアトンネルのセキュア属性を継承するように、ＨＴＴＰプロキシトラフィックのようなプロキシトラフィックは、セキュリティトンネルを通じて通り抜ける。セキュア属性が採用されることで、サーバへのプロキシアクセスを可能とされ、それによって、それを通じて通り抜けられるプロキシコネクションへのセキュアトンネルのセキュアプロパティが拡張されることが考えられる。セキュアトンネルサービスはプロキシ要求をクライアントから受信し、プロキシ要求を修正することで、少なくともひとつのセキュリティ属性を含む。それから、この少なくとも一つのセキュリティ属性はプロキシサービスによって採用され、サーバへのアクセスを与えることが考えられる。一実施形態においては、セキュアトンネルは、ＨＴＴＰＳ確立されたトンネルである。セキュリティ属性は、クライアントに関連付けられたＩＰアドレスと、セキュアトンネルに関連付けられたセキュリティプロパティと、公開鍵証明書と、コンテンツサーバへのクライアントアクセスを可能とするように構成されたアクセス制御データと、クライアントに関連付けられたセキュリティ証明書と、セッション識別子と、同様のものとを含むことが考えられる。一実施形態において、このセキュリティ属性は、追加的なセキュリティ属性を決定するためにプロキシサービスが採用する識別子である。クライアントが継承セキュリティ属性に基づいて認証された場合に、要求されたサーバへのコネクションが確立されうる。

具体的な動作環境
図１は、システムが動作する環境の一実施形態を図解する。しかし、これらすべての要素が本発明を実施するために要求されるわけではない。様々なアレンジおよびタイプの要素が本発明の精神または範囲から逸脱することなく構成されるであろう。

当該図面において示されるように、セキュアプロキシシステム１００はクライアント１０２、広域ネットワーク（ＷＡＮ）／ローカル・エリア・ネットワーク（ＬＡＮ）１０４、アクセスサーバ１０６、およびコンテンツサーバ１０８を含む。ＷＡＮ／ＬＡＮ１０４は、クライアント１０２およびアクセスサーバ１０６と通信を行なう。アクセスサーバ１０６は、コンテンツサーバ１０８と通信を行なう。

クライアント１０６は、アクセスサーバ１０６のようなもう一方のネットワーク装置からの、ＷＡＮ／ＬＡＮ１０４のようなネットワーク上のパケットを送信し受信する機能を有する任意のネットワーク装置である。そういった装置のセットは、典型的には、パーソナルコンピュータ、マルチプロセッサシステム、マイクロプロセッサベースのまたはプログラム可能な家庭用家電製品、ネットワークＰＣおよび同様のもののような有線通信媒体を使用して接続する装置を含むことが考えられる。そういった装置のセットは、典型的には、携帯電話、高度自動機能電話、ポケットベル、トランシーバ、無線周波数（ＲＦ）装置、赤外線（ＩＲ）装置、ＣＢｓ、一つ以上の前記装置を組み合わせた集積装置および同様のもののような無線通信媒体を使用して接続する装置もまた含むことが考えられる。もう一つの方法として、クライアント１０２は、ＰＤＡ、ポケットＰＣ、装着可能なコンピュータおよび任意のその他の装置のような有線または無線通信媒体を使用する接続機能を有する任意の装置とすることが考えられる。クライアント１０２の一つの実施形態が、図４とともにより詳細に以下に記述される。

ＷＡＮ／ＬＡＮ１０４は、一つの電子装置からもう一方への情報を通信するためのコンピュータ読取可能な媒体の任意の形式を使用することが可能である。加えて、ＷＡＮ／ＬＡＮ１０４はローカル・エリア・ネットワーク（ＬＡＮ）、広域ネットワーク（ＷＡＮ）、ユニバーサル・シリアル・バス（ＵＳＢ）ポートを通じたような直接接続、その他のコンピュータ読取可能な媒体のその他の形式、およびそれらの任意の組合せに加えてインターネットを含むことができる。異なる構造およびプロトコルに基づいてそれらを包含するＬＡＮの相互接続されたセットにおいて、ルータはＬＡＮ間のリンクとして動作し、一方からもう一方へメッセージが送信されることを可能とする。また、ネットワーク間の通信リンクがアナログ電話線、Ｔ１、Ｔ２、Ｔ３およびＴ４を含む完全なまたは一部の専用デジタル線、総合デジタル通信網（ＩＳＤＮ）、デジタル加入者線（ＤＳＬ）、衛星リンクを含む無線リンク、またはその他の通信リンクを利用することが考えられる一方で、ＬＡＮは、典型的には、ツイストペア線または同軸ケーブルを含む。さらに、遠隔コンピュータおよびその他の関連する電子装置が、遠隔的にＬＡＮまたはＷＡＮにモデムおよび一時的な電話リンクを経由して接続され得る。

そのようなものとして、インターネットそれ自体は、莫大な数のそういった相互接続ネットワーク、コンピュータおよびルータから形成されうることが理解されるであろう。一般的に、インターネットという用語は、もう一方と通信するために適したプロトコルである通信制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）を使用するネットワークゲートウェイ、ルータおよびコンピュータの世界的規模の収集物として言及される。インターネットの中心においては、主要なノード又はホストコンピュータ間で高速データ通信線のバックボーンが存在し、データおよびメッセージをルーティングする極めて多数の商用の、政府の、教育の、およびその他のコンピュータシステムを含む。本発明の実施形態は、本発明の精神または範囲から逸脱することなくインターネット上で実施することができる。

上述の通信リンクにおいて情報を送信するために使用される媒体は、コンピュータ読取可能な媒体の一つのタイプ、すなわち、通信媒体を説明する。一般的に、コンピュータ読取可能な媒体は、コンピュータ記憶媒体、通信媒体、またはそれらの任意の組合せを含むことが考えられる。

搬送波、またはその他の搬送機構のような変調されたデータ信号において、一般的に通信媒体は、コンピュータ読取可能な命令、データ構造、プログラムモジュールまたはその他のデータを具体化する。「変調されたデータ信号」という用語は、その信号における情報を符号化するためのそういった方法において設定または変更された一つ以上のその特徴を有する信号を含む。例として、通信媒体は、ツイストペア線、同軸ケーブル、光ファイバー、導波管、並びにその他の有線媒体、および音響、ＲＦ、赤外線並びにその他の無線媒体といった無線媒体を含む。

アクセスサーバ１０６がクライアント１０２とコンテンツサーバ１０８との間のパケットフローを管理する機能を有する任意のコンピュータ装置を含むことが考えられる。パケットフローにおける各パケットは、情報の一部を搬送するかもしれない。ハンドシェイクすなわちコネクションを確立する、またはデータ受信を確認するために、パケットが送信されることが考えられる。このパケットは、要求、応答、および同様のもののような情報を含むことが考えられる。例えば、パケットは、アクセスサーバ１０８への要求を含むことが考えられる。このパケットはまた、アクセスサーバ１０８およびクライアント１０２との間のセキュア通信を確立するための要求を含むかもしれない。そういったものとして、クライアント１０２とアクセスサーバ１０８との間で通信されたパケットは、これらには限定されないが、セキュア・ソケット・レイヤー（ＳＳＬ）、レイヤー２・トンネリング・プロトコル（Ｌ２ＴＰ）、トランスポート・レイヤー・セキュリティ（ＴＬＳ）、トンネリングＴＬＳ（ＴＴＬＳ）、ＩＰＳｅｃ、セキュアＨＴＴＰ（ＨＴＴＰＳ）、拡張認証プロトコル（ＥＡＰ）および同様のものを含む任意の様々なセキュリティ技術を採用することで、暗号化されることが考えられる。

一般的に、クライアント１０２およびアクセスサーバ１０６の間で受信されたパケットは、ＴＣＰ／ＩＰにしたがってフォーマットされるであろうが、それらは、また、ユーザ・データグラム・プロトコル（ＵＤＰ）、インターネット制御通知プロトコル（ＩＣＭＰ）、ＮＥＴｂｅｕｉ、ＩＰＸ／ＳＰＸ、トークンリング、および同様のもののようなもう一つのトランスポートプロトコルを用いて、フォーマットされるかもしない。

一つの実施形態において、アクセスサーバ１０６は、認証されたアクセスからコンテンツサーバ１０８をシールドするように構成される。そういったものとして、アクセスサーバ１０６は、様々なパケットフィルター、プロキシアプリケーション、およびアプリケーションをふるいにかけることを含むことで、パケットが認証されるか否かを決定しうる。そういったものとして、アクセスサーバ１０６は、ゲートウェイ、ファイアーウォール、リバースプロキシサーバ、プロキシサーバ、セキュアブリッジ、および同様のものとして動作するように構成されるかもしれない。一つの実施形態においては、アクセスサーバ１０６は、ＨＴＴＰ／ＳＳＬ−ＶＰＮゲートウェイとして動作しうる。アクセスサーバ１０６の一実施形態が、図３とともに、以下に詳細に説明される。

アクセスサーバ１０６が、図１における単一の装置として図解されているが、本発明はこれに制限されるものではない。クライアント１０２およびコンテンツサーバ１０８との間のアクセスと通信を管理するアクセスサーバ１０６の要素は、本発明の範囲から逸脱することなく複数のネットワーク装置にわたって構成されることが考えられる。例えば、一つの実施形態において、クライアント１０２とコンテンツサーバ１０８との間の通信のためにセキュアトンネルを管理する要素が一つのネットワーク装置において配置され得る。一方で、コンテンツサーバ１０８へのアクセス制御を管理するためのプロキシサービスは、もう一方のネットワーク装置に配置されうる。

コンテンツサーバ１０８は、クライアント１０２のようなクライアントへコンテンツを提供するように構成された任意のコンピュータ装置を含むことが考えられる。コンテンツサーバ１０８がウェブサイト、ファイルシステム、ファイル転送プロトコル（ＦＴＰ）サーバ、ネットワークの電子情報を転送するプロトコル（ＮＮＴＰ）サーバ、データベースサーバ、アプリケーションサーバ、および同様のものとして動作するように構成されることが考えられる。コンテンツサーバ１０８として動作することが考えられる装置は、これらに制限されないが、パーソナルコンピュータ、デスクトップコンピュータ、マルチプロセッサシステム、マイクロプロセッサベースのまたはプログラム可能な家庭用電化製品、ネットワークＰＣ、サーバおよび同様のものを含む。

図２は、セキュアネットワーク上のプロキシ要求の管理用の、セキュアプロキシシステム１００内で動作可能な機能要素の一実施形態のブロック図を示したものである。すべての要素が本発明を実施するために要求されるわけではなく、様々なアレンジおよびタイプの要素が、本発明の精神または範囲から逸脱することなく構成されることが考えられる。

当該図面に示されるように、機能要素２００はクライアントサービス２０２、セキュアトンネル２０４、アクセスサービス２０６、およびコンテンツサービス２０８を含む。クライアントサービス２０６は、アクセス制御サービス２１４およびプロキシサービス２１６を含む。

セキュアトンネルクライアント２１２は、プロキシクライアント２１０およびセキュアトンネル２０４と通信を行なう。アクセス制御サービス２１４は、セキュアトンネル２０４およびプロキシサービス２１６と通信を行なう。プロキシサービス２１６は、コンテンツサービス２０８と、さらに通信を行なう。

クライアントサービス２０２は、例えば、図１のクライアント１０２内に備えられることが考えられる一方で、アクセスサービス２０６は、図１のアクセスサーバ１０６内に備えられることが考えられる。

プロキシコネクションのための要求を可能とし、もう一方のアプリケーションとのプロキシコネクションを維持するように構成される任意のサービスまたはサービスのセットを、プロキシクライアント２１０は、実質的に含むことが考えられる。一実施形態において、その他のアプリケーションが、図１のアクセスサーバ１０６のようなもう一方の装置上に備えられる。プロキシクライアント２１０は、これらに限定されないが、ウェブブラウザ、ＨＴＴＰプロキシクライアント、ポートフォワーディングアプリケーション、ポートフォワーディングアプレット、プロキシクライアントを可能としたＪａｖａ（登録商標）、および同様のものを含む、プロキシコネクションを要求し維持するための様々な機構のうち任意のものを使用することが考えられる。

セキュアトンネルクライアント２１２は、図１のクライアント１０２のようなクライアントが、アクセス制御サービス２１４とセキュアトンネルを確立することを可能とするように構成された任意のサービスを実質的に含む。セキュアトンネルクライアント２１２は例えば、セキュアトンネルの確立を可能とするウェブブラウザ内の要素を含むことが考えられる。セキュアトンネルクライアント２１２は、ＳＳＬ要素、ＴＬＳ要素、暗号化／暗号解読要素、拡張認証プロトコル（ＥＡＰ）要素、ＩＰＳｅｃ要素、セキュアハイパーテキスト転送プロトコル（ＨＴＴＰＳ）要素、８０２．１１セキュリティ要素、ＳＳＨ要素、および同様のもののような要素を、さらに含むことが考えられる。

セキュアトンネルクライアント２１２は、さらに、セキュアトンネルを生成し維持するために採用されたセキュリティ属性を記憶するように構成された記憶装置、データベース、テキストファイル、および同様のものをさらに含むことが考えられる。そういったセキュリティ属性は、これらに限定されるものではないが、Ｘ．５０９証明書、および同様の公開／秘密鍵証明書、暗号鍵、および同様のものを含む証明書を含むことが考えられる。セキュリティ属性は、パーティ間でセキュアトランザクションへ、追加され、共有され、および同様のようにされることもまた考えられる。

セキュアトンネル２０４は、図１のクライアント１０２およびアクセスサーバ１０６のようなクライアントとサーバとの間のネットワーク上のセキュアな通信を可能とする任意の機構を実質的に含んでいる。セキュアトンネル２０４は、一つのプロトコルフォーマットのパケットを、もう一つのプロトコルフォーマット内で転送することを可能とする。セキュアトンネル２０４は、カプセル化、暗号化および同様のものを採用することで、通信が安全であることを保障しうる。セキュアトンネル２０４は、これらに制限されるものではないが、ＳＳＬ、ＴＬＳ、ＥＡＰ、ＩＰＳｅｃ、ＨＴＴＰＳ、ワイヤレス・イクイバレント・プライバシー（ＷＥＰ）、ワイファイ・プロテクテッド・プライバシー（ＷＰＡ）、ワイヤレス・リンク・レイヤー・セキュリティ（ｗＬＬＳ）、および同様のものを含む通信を保護する様々な機構を使用することが考えられる。

図１のアクセスサーバ１０６のようなサーバが、クライアントとのセキュアトンネル２０４を確立し、維持することを可能とする任意のサービスまたはサービスのセットをアクセス制御サービス２１４は実質的に含む。サーバの役割において動作するように構成されたセキュアトンネルクライアント２１２と同様の要素を、アクセス制御サービス２１４は実質的に含む。そのようなものとして、アクセス制御サービス２１４は、ＳＳＬ要素、ＴＬＳ要素、暗号化／暗号解読要素、ＥＰＡ要素、ＩＰＳｅｃ要素、ＨＴＴＰＳ要素、８０２．１１セキュリティ要素、ＳＳＨ要素および同様のものを含むことが考えられる。

アクセス制御サービス２１４は、アクセス制御許可（例えば、権限）を含むセキュアトンネルを生成し維持するために採用可能なセキュア属性を記憶するように構成される記憶装置、データベース、テキストファイル、および同様のものを更に含むことが考えられる。そういったセキュリティ属性は、これらに限定されるものではないが、アクセスサービス２０６に関連付けられたＸ．５０９証明書、および同様の公開／秘密鍵証明書、ランダムに生成されるデータ、暗号鍵、および同様のものを含む証明書を含むことが考えられる。

アクセス制御サービス２１４は、さらに、セキュアトンネル上で、プロキシ要求を受信するように構成される。アクセス制御サービス２１４は、プロキシ要求とともにセキュリティ属性を含むことで、プロキシ要求を修正することが考えられる。アクセス制御サービス２１４は、プロキシ要求とヘッダを組み合わせることが考えられる。ここでこのヘッダは、セキュリティ属性を含む。アクセス制御サービス２１４は、ヘッダを暗号化するために、ヘッダ、プロキシ要求、および同様のものを選択しうる。

セキュリティ属性を含むためにプロキシ要求を修正することで、本発明は要求されることなく、アクセス制御のオプションのすべての種類が、クライアントへ配信されるコンテンツを修正することを可能とする。プロキシクライアントに利用可能なコンテンツのダイバシティが存在するため、このダイバシティは、本質的に不完全なおよび潜在的に不満足なソリューションとしてのコンテンツを修正する。

セキュリティ属性は、セキュリティトンネル２０４のプロパティに関連付けられることが考えられる。セキュリティ属性は、図１のクライアント１０２のようなクライアントのセキュリティプロパティにもまた関連付けられるかもしれない。そういったセキュリティプロパティは、アクセス制御データ、ＩＰアドレス、デジタル証明書および同様のものを含むことが考えられる。セキュリティ属性は、プロキシサービス２１６がクライアントに関連付けられた追加的なセキュリティ属性を決定することを可能とするクライアントに関連付けられた識別子をさらに含むことが考えられる。

アクセス制御サービス２１４は、プロキシサービス２１６とのコネクションを確立し、プロキシサービス２１６へ向けられた修正されたプロキシ要求を転送するように構成される。一実施形態においては、アクセス制御サービス２１４とプロキシサービス２１６との間のコネクションはセキュアコネクションを含む。これらに限定されるものではないが、もう一つのセキュアトンネルを作成し、アクセス制御サービス２１４とプロキシサービス２１６との間の通信をカプセル化し、通信を暗号化し、およびそういったことを含む様々な機構のうちの任意のものを使用して、このセキュアコネクションは確立されることが考えられる。

アクセス制御サービス２１４は、さらに、プロキシサービス２１６のような既知のプロキシサービスのためのプロキシ要求を、その他の要求、セキュアトンネルクライアント２１２とアクセス制御サービス２１４との間の制御情報のようなその他の通信、および同様のものから区別するように構成されることが考えられる。

プロキシサービス２１６は、実質的に、コンテンツサービス２０８の代わりにクライアントアプリケーションとの通信を管理することを可能とされた任意のサービスを含むことが考えられる。プロキシサービス２１６は、さらに、アクセス制御サービス２１４からの修正されたプロキシ要求を受信するように構成される。

プロキシサービス２１６は、要求するクライアントアプリケーション、セキュアトンネル、アクセス制御許可、および同様のものに関連付けられた追加的なセキュリティ属性を取り出すために、セキュリティ属性を使用することが考えられる。追加的なセキュリティ属性は、記憶装置、データベース、テキストファイル、および同様のものの中に備えられることが考えられる。セキュリティ属性記憶装置（図示せず）は、プロキシサービス２１６、アクセス制御サービス２１４によって、プロキシサービス２１６およびアクセス制御サービス２１４の両方の連帯によって、およびその他のサービス（図示せず）によってさえ、維持されることが考えられる。

プロキシサービス２１６は、ヘッダ内においてセキュリティ属性を使用することで、プロキシ要求を認証するか否かを決定し、プロキシ要求を遂行し、エラーメッセージに応答し、またはそういったことを行なう。

プロキシサービス２１６は、さらに、セキュアトンネル上で「転送」に到達したコネクションを、非セキュアトンネル、ネットワークおよび同様のもの上で到達したもう一方のコネクションから区別するように構成されることが考えられる。

図３は、本発明を実行するために採用されることが考えられるアクセスサーバの一つの実施形態のブロック図を図解する。アクセス装置３００は示されているそれより多くの要素を含むかもしれない。しかしながら、示された要素は、本発明を実施するための例示的な実施形態を開示するために十分である。

アクセス装置３００は、処理装置３１２、ビデオディスプレイアダプタ３１４、および大容量メモリ、バス３２２を経由してその他のそれぞれと通信するすべてを含むことが考えられる。大容量メモリは、一般的に、ＲＡＭ３１６、ＲＯＭ３３２、および、ハードディスクドライブ３２８、テープドライブ、光ドライブ、および／またはフロッピー（登録商標）ディスクドライブのような一つ以上の永久大容量記憶装置を含むことが考えられる。アクセス装置３００の動作を制御するためのオペレーティングシステム３２０をこの大容量メモリが記憶する。任意汎用のオペレーティングシステムが、採用されうる。基本入出力システム（ＢＩＯＳ）３１８もまた、アクセス装置３００のローレベル動作を制御するために提供される。

図３において図解されるように、アクセス装置３００はインターネット、または、図１のＷＡＮ／ＬＡＮ１０４のようないくらかのその他の通信ネットワークと、ネットワークインターフェイスユニット３１０を経由して、通信することが可能である。このインターフェイスユニット３１０は、ＴＣＰ／ＩＰプロトコルを含む様々な通信プロトコルを使用するために構成される。ネットワークインターフェイスユニット３１０は、ときにトランシーバまたはトランシーバ装置として知られる。

上述した大容量メモリは、コンピュータ読取可能な媒体のタイプ、即ちコンピュータ記憶媒体を例示する。コンピュータ記憶媒体は、コンピュータ読取可能な命令、データ構造、プログラムモジュール、またはその他のデータのような情報の記憶のための任意の方法または技術において実行される揮発性な、不揮発性な、取り外し可能な、および取り外し不能な媒体を含むことが考えられる。コンピュータ記憶媒体の例は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ，フラッシュメモリ、またはその他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）、またはその他の光記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、またはその他の磁気記憶装置、または情報を記憶するために使用されうるその他の任意の媒体を含む。

一実施形態において、大容量メモリは、オペレーティングシステム３２０を実行するためのプログラムコードおよびデータを記憶する。大容量メモリは、アクセス装置３００の機能を実行するための追加的なプログラムコードおよびデータもまた記憶することが考えられる。一つかそれ以上のアプリケーション３５０および同様のものが、大容量メモリに読み込まれ、オペレーティングシステム３２０上で動作することが考えられる。アクセス制御２１４およびプロキシサービス２１６は、図２とともに記述されるように、オペレーティングシステム３２０上で動作することが考えられるその他のアプリケーションの例である。

アクセス装置３００は、マウス、キーボード、スキャナ、または図３に示されていないその他の入力のようなデバイス入出力インターフェイス３２４を含むことが考えられる。同様に、アクセス装置３００は、ＣＤ−ＲＯＭ／ＤＶＤ−ＲＯＭドライブ３２６、およびハードディスクドライブ３２８のような追加的な大容量記憶装置をさらに含むかもしれない。ハードディスクドライブ３２８は、とりわけ、アプリケーションプログラム、データベースおよび同様のものを記憶するために、アクセス装置３００によって利用される。

図４は、本発明を実行するために採用されることが考えられるクライアント装置の一実施形態のブロック図を図解する。クライアント装置４００は、示されているものより多くの要素を含むことが考えられる。しかし、示された要素は、本発明を実施するための例示的な実施形態を開示するために十分なものである。

当該図面において図解されるように、クライアント装置４００は、アクセスサーバ３００における要素と実質的に同様の多くの要素を含むことが考えられる。しかし、本発明はこれに制限されるものではなく、クライアント装置４００は、アクセスサーバ３００より多くのまたはより少ない要素を含むことが考えられる。

しかしながら、図４に図解されるように、クライアント装置４００は、処理装置４１２、ビデオディスプレイアダプタ４１４、大容量メモリ、およびバス４２２を経由してその他のそれぞれと通信を行なうすべてを含む。大容量メモリは、一般的には、ＲＡＭ４１６、ＲＯＭ４３２、およびハードディスクドライブ４２８、テープドライブ、および／または、フロッピー（登録商標）ディスクドライブのような一つまたはそれ以上の永久大容量記憶装置を含む。大容量メモリは、クライアント装置４００の動作を制御するためのオペレーティングシステム４２０を記憶する。実質的に、任意の汎用オペレーティングシステムが採用されうる。基本入出力システム（ＢＩＯＳ）もまた、クライアント装置４００のローレベル動作を制御するために提供される。

一実施形態において、大容量メモリは、オペレーティングシステム４２０を実行するためのプログラムおよびデータを記憶する。大容量記憶メモリは、クライアント装置４００の機能を実行するための追加的なプログラムコードおよびデータもまた記憶することが考えられる。図２とともに記述したプロキシクライアント２１０およびセキュアトンネルクライアント２１２を含む一つまたはそれ以上のアプリケーション４５０、およびそういったものが大容量記憶メモリに読み込まれ、オペレーティングシステム４２０上で動作することが考えられる。

クライアント装置４００は、ネットワークインターフェイスユニット４１０を経由して、インターネット、または、図１のＷＡＮ／ＬＡＮ１０４のようなその他の通信ネットワークと通信することもまた可能である。クライアント装置４００は、マウス、キーボード、スキャナ、または図４に示されていないその他の入力装置のような入出力インターフェイス４２４をもまた含む。同様に、クライアント装置４００は、ＣＤ−ＲＯＭ／ＤＶＤ−ＲＯＭドライブ４２６およびハードディスクドライブ４２８のような追加的な大容量記憶装置をさらに含むことが考えられる。ハードディスクドライブ４２８は、とりわけ、アプリケーションプログラム、データベースおよび同様のものを記憶するために、クライアント装置４００によって利用される。

セキュアネットワーク上のプロキシを管理するための例示的方法
図５は、本発明の一つの実施形態に従う、継承セキュリティ属性を使用してセキュアネットワーク上でプロキシ要求を管理するための処理を図解するフローチャートである。一実施形態において、処理５００は、図３のアクセスサーバ３００内で実行される。

処理５００は、開始ブロックのあと、ブロック５０２において開始し、クライアントとのセキュアトンネルが確立される。一実施形態において、クライアントは、帯域外のアクセスサービスと直接的にセッションを確立すること、および少なくとも一つのセキュリティ属性を認証するかもしれない。もう一つの実施形態において、セキュアトンネルが、クライアントおよびアクセスサービスとの間で確立される。アクセスサービスが、これらに制限されるわけではないが、ゲートウェイアプリケーション、フィルターアプリケーション、ＳＳＬサーバアプリケーション、および同様のものを含むかもしれない。本発明の一つの実施形態において、セキュアトンネルが、セキュアトンネルクライアントおよび同様のものを使用することで確立されることが考えられる。セキュアトンネルクライアントは、これらに制限されるものではないが、ＨＴＴＰＳ要求、ＳＳＬ機構、ＴＬＳ機構、ＴＴＬＳ機構、ＰＥＡＰ機構、ＩＰＳｅｃ機構、および同様のものを採用することを含むセキュアトンネルを確立するための様々な機構のうちの任意のものを採用することが考えられる。セキュアトンネルを確立することは、これらに制限されるものではないが、暗号鍵、証明書（ｃｒｅｄｅｎｔｉａｌ）、証明書（ｃｅｒｔｉｆｉｃａｔｅ）、暗号化設定、ランダムに生成されるデータ、ＩＰアドレス、および同様のものを含み、アクセスサービスに対してセキュリティ属性を送信するクライアントをもたらす。アクセスサービスは、クライアントを認証し、セキュアトンネルを確立するために、セキュリティ属性を使用することが考えられる。セキュアトンネルの確立に基づいて、処理はブロック５０４へ進む。

ブロック５０４で、プロキシ要求がセキュアトンネル上で受信される。一実施形態において、クライアントは、プロキシ要求をアクセスサービスへ送信する。クライアントは、プロキシ要求を送信するための様々な機構のうち任意のものを採用することが考えられる。例えば、クライアントは、ポートフォワーディングアプレット、または同様のプロキシクライアントによって、セキュアトンネルセッションのコンテキスト内でアクションを開始する。一実施形態において、プロキシクライアントはＨＴＴＰプロキシクライアントである。クライアントは、例えば、ウェブブラウザまたは同様のアプリケーションを選択し、構成することでポートフォワーディングアプレットおよび、プロキシクライアントのような同様のものを使用する。クライアントは、ウェブブラウザおよび同様のものを通じて、プロキシ要求を、ＵＲＬを用いて、ＮＡＴ割り当てアドレス、および同様のものとするかもしれない。ウェブブラウザは、それから、プロキシクライアントを、セキュアトンネル上で、アクセスサービスへ転送するために、プロキシクライアントを使用する。

処理はブロック５０６へ継続する。ブロック５０６では、プロキシサービスへのコネクションが開始される。このコネクションは、アクセスサーバによって、プロキシサービスへのコネクションを開くことで、開始されることが考えられる。一実施形態においては、プロキシサービスは、セキュアポートおよび同様のものへ接続することで、コネクションを確立することが考えられる。もう一つの実施形態においては、プロキシサービスが１２７．０．０．１およびそういったものであるループバックアドレスを用いて接続することで、コネクションを確立する。

処理５００はブロック５０８へ進む。ここでは、セキュアトンネル上でプロキシクライアントから受信されたプロキシ要求は、セキュリティ属性を含むために修正される。セキュリティ属性は、一実施形態においては、追加的なセキュリティ属性を調べるために、プロキシサーバによって使用されることが考えられる識別子を含む。追加的なセキュリティ属性は、プロキシサービスに代わってアクセスサービスによって維持されることが考えられる。追加的な属性は、これらに制限されるものではないが、パスワード情報、ＴＣＰ／ＩＰアドレス情報、暗号鍵、公開／秘密鍵証明書、クライアントアクセス権、および同様のものを含む、クライアント、セキュアトンネル、および同様のものについての先行して既知の情報に基づいてプロキシサービスによって維持されることもまた考えられる。

プロキシ要求を修正するために使用されるセキュリティ属性は、これらに制限されるものではないが、さらに、セキュアトンネルに関連付けられたセキュリティプロパティ、公開鍵証明書、クライアントに関連付けられたセキュリティ証明書、セッション識別子、暗号化設定、ランダムに生成されたデータ、暗号化されたパスワード、および同様のものを含むことが考えられる。セキュリティ属性は、セキュアトンネルに関連付けられた任意のセキュリティ属性を実質的に含むこともまた考えられる。

セキュリティ属性は、パケットヘッダ、カプセル化ヘッダ、および同様のものを修正するために使用されることが考えられる。それから、このヘッダは、この修正されたプロキシ要求を生成するためにプロキシ要求と組み合わされることが考えられる。

処理はブロック５１０へ継続する。ここでは、この修正されたプロキシ要求がプロキシサービスへ転送される。プロキシサービスは、ヘッダ内のセキュリティ属性を含む修正されたプロキシ要求を使用することで、プロキシ要求を認証するか、または適切なエラーメッセージおよび同様のもので応答するかどうかを決定することが考えられる。任意のイベントにおいて、ブロック５１０が完了し次第、処理５００はその他のアクションを実行するための呼び出し処理へ戻る。一実施形態においては、その他のアクションは、これらに限定されるものではないが、要求を処理し、所望のコンテンツに応答するプロキシサービス、エラーメッセージを提供すること、および同様のものを含むことが考えられる。

上述のフローチャート説明図の各ブロックおよび上記フローチャート説明図のブロックの組合せが、コンピュータプログラム命令によって実行され得ることが理解されるであろう。処理装置上で実行され、一つのフローチャートブロックのまたは複数のフローチャートブロックによって特定されたアクションを実行するための手段を作成する命令のようなこれらのプログラム命令が、マシンを形成するための処理装置へ提供されることが考えられる。処理装置上で実行され、一つのフローチャートブロックおよび複数のフローチャートブロックによって特定されるアクションを実行するためのステップを提供するようなコンピュータプログラム命令が処理装置によって実行されることで、コンピュータによって実行される処理を形成するために処理装置によって実行されるべき連続する動作ステップが発生する。

本発明は、クライアント装置とサーバ間で通信されるパケットに関して記述されたが、本発明はそれに制限されるものではない。本発明から逸脱することなく、例えば、これらに制限されるものではないが、複数のクライアント、複数のサーバ、および任意のその他の装置を含む任意のリソースと実質的に通信を行なうことが考えられる。

したがって、フローチャート図のブロックは、特定のアクションを実行するための手段の組合せ、特定のアクションを実行するためのステップおよび特定のアクションを実行するためのプログラム命令手段の組合せをサポートする。フローチャート図の各ブロックおよびフローチャート図におけるブロックの組合せは、特定のアクションまたはステップを実行する特別な目的のハードウェアベースのシステム、または、特別な目的のハードウェアおよびコンピュータ命令の組合せによって実行され得る。

上記明細書、実施例、およびデータは、本発明の製造および構成の使用の完全な解説を提供する。本発明の多くの実施形態が本発明の精神と範囲から逸脱することなく作り出され得るため、本発明は添付された請求項に存在する。

図１は、本発明が動作する環境の一つの実施形態を図解する。 図２は、セキュアネットワーク上でのプロキシ要求の管理に際して使用するためのセキュアプロキシシステム１００において動作可能な機能要素の一実施形態のブロック図を図解する。 図３は、本発明を実行するために使用されうるアクセスサーバの一実施形態のブロック図を図解する。 図４は、本発明を実行するために使用されうるクライアント装置の一実施形態のブロック図を図解する。 図５は、本発明の一実施形態に従った、継承セキュリティ属性を使用したセキュアネットワーク上のプロキシ要求を管理するための処理を図解するフローチャートである。

Claims (28)

1. ネットワーク上の通信を管理するためのネットワーク装置であって、
   前記ネットワーク上の通信を送信し受信するように構成されたトランシーバと、
   前記トランシーバに接続された処理装置であって、
   プロキシ要求をクライアントからセキュアトンネルを通じて受信し、
   セキュリティ属性を含むように前記プロキシ要求を修正し、
   前記修正されたプロキシ要求をプロキシサービスへ転送する
   ことを含むアクションを実行するように構成された処理装置とを備えるネットワーク装置において、
   前記セキュリティ属性は、前記セキュアトンネルを通じたプロキシコネクションを有効とすることを特徴とするネットワーク装置。
2. 前記プロキシ要求を修正することが、さらに、前記プロキシ要求を伴うセキュリティヘッダを含むことを備える請求項１に記載のネットワーク装置。
3. 前記セキュリティ属性が、さらに、前記クライアントに関連付けられたＩＰアドレス、前記セキュアトンネルに関連付けられたセキュリティプロパティ、公開鍵証明書、前記クライアントに関連付けられたセキュリティ証明書、前記クライアントがコンテンツサーバへアクセスすることを可能とするように構成されたアクセス制御データ、セッション識別子、および前記セキュアトンネルに関連付けられた識別子のうち少なくとも一つを備える請求項１に記載のネットワーク装置。
4. 前記プロキシ要求は、ＨＴＴＰプロキシ要求である請求項１に記載のネットワーク装置。
5. 前記セキュアトンネルが、さらに、ＳＳＬトンネル、ＴＬＳトンネル、セキュアＨＴＴＰ（ＨＴＴＰＳ）、トンネリングＴＬＳ（ＴＴＬＳ）およびＥＡＰセキュアトンネルのうち少なくとも一つを備える請求項１に記載のネットワーク装置。
6. さらに、前記セキュアトンネルを有効にするためにＨＴＴＰＳ通信を受信することを備える請求項１に記載のネットワーク装置。
7. ネットワーク上の通信を管理するための装置であって、
   前記ネットワーク上の通信を送信し受信するように構成されたトランシーバと、
   前記トランシーバに接続された処理装置であって、
   前記装置とクライアントとの間にセキュアトンネルを確立し、
   プロキシ要求を前記クライアントから前記セキュアトンネルを通じて受信し、
   セキュリティ属性を含むように前記プロキシ要求を修正し、
   前記修正されたプロキシ要求をプロキシサービスへ転送する
   ことを含むアクションを実行するように構成された処理装置とを備える装置において、
   前記セキュリティ属性は前記セキュアトンネルを通じたプロキシコネクションを有効にすることを特徴とする装置。
8. 前記セキュアトンネルを確立することが、さらに、ＨＴＴＰＳ通信を受信することを備える請求項７に記載の装置。
9. 前記装置は、ファイアーウォール、ゲートウェイ、およびプロキシサーバのうち少なくとも一つとして動作可能である請求項７に記載の装置。
10. ネットワーク上の通信を管理する方法であって、
    プロキシ要求をクライアントからセキュアトンネルを通じて受信することと、
    セキュア属性を含むために前記プロキシ要求を修正することと、
    前記修正されたプロキシ要求をプロキシサービスへ転送することとを含む方法において、
    前記セキュリティ属性が、前記セキュアトンネルを通じたプロキシコネクションを有効とする方法。
11. 前記プロキシ要求を修正することが、さらに、前記プロキシ要求にセキュリティヘッダを関連付けることを含む請求項１０の方法。
12. 前記セキュリティ属性が、さらに、前記クライアントに関連付けられたＩＰアドレス、前記セキュアトンネルに関連付けられたセキュリティプロパティ、公開鍵証明書、前記クライアントがコンテンツサーバへアクセスすることを可能とするように構成されたアクセス制御データ、前記クライアントに関連付けられたセキュリティ証明書、セッション識別子、および識別子のうち少なくとも一つを含む請求項１０に記載の方法。
13. 前記プロキシ要求がＨＴＴＰプロキシ要求である請求項１０に記載の方法。
14. 前記セキュアトンネルが、さらに、ＳＳＬトンネル、ＴＬＳトンネル、セキュアＨＴＴＰ（ＨＴＴＰＳ）、トンネリングＴＬＳ（ＴＴＬＳ）、ＩＰＳｅｃトンネル、およびＥＡＰセキュアトンネルのうち少なくとも一つを含む請求項１０に記載の方法。
15. さらに、前記セキュアトンネルの確立を可能とするためにＨＴＴＰＳ通信を受信することをさらに含む請求項１０に記載の方法。
16. セキュアトンネルクライアントへのコネクションを開始し、
    前記プロキシ要求を前記セキュアトンネルクライアントへ送信することをさらに含む請求項１０に記載の方法において、
    前記セキュアトンネルクライアントが、前記セキュアトンネル上の前記プロキシ要求へ転送するように構成される方法。
17. 前記プロキシ要求が、アクセス制御サービスを使用し、前記プロキシ要求を修正することをさらに含む請求項１０に記載の方法。
18. ネットワーク上の通信を管理するためのシステムであって、
    セキュアトンネルを決定し、
    前記決定されたセキュアトンネルを通じてプロキシ要求を送信する
    ことを含むアクションを実行するように構成されたクライアントと、
    前記クライアントへ接続されたサーバであって、
    前記プロキシ要求を前記クライアントから前記セキュアトンネルを通じて受信し、
    セキュリティ属性を含むために前記プロキシ要求を修正し、
    前記修正されたプロキシ要求をプロキシサービスへ転送する
    ことを含むアクションを実行するように構成されたサーバとを備えるシステムにおいて、
    前記セキュリティ属性は、前記セキュアトンネルを通じたプロキシコネクションを有効とするシステム。
19. 前記クライアントが、さらに、
    プロキシ要求を生成するように構成されたプロキシクライアントと、
    前記プロキシクライアントへ接続されたセキュアトンネルクライアントであって、前記サーバとセキュアトンネルを確立するように構成されたセキュアトンネルクライアントとを備える請求項１８に記載のシステム。
20. 前記プロキシクライアントが、さらに、ポートフォワーディングィンククライアントアプリケーションを備える請求項１９に記載のシステム。
21. 前記プロキシ要求を修正することが、さらに、前記プロキシ要求をともなうセキュリティヘッダを含むことを備える請求項１８に記載のシステム。
22. 前記セキュリティ属性が、さらに、前記クライアントに関連付けられたＩＰアドレス、前記セキュアトンネルに関連付けられたセキュアプロパティ、公開鍵証明書、前記クライアントがコンテンツサーバへアクセスすることを可能とするように構成されたアクセス制御データ、前記クライアントに関連付けられたセキュリティ証明書、セッション識別子、および前記セキュアトンネルに関連付けられた識別子のうち少なくとも一つを備える請求項１８に記載のシステム。
23. 前記プロキシ要求は、ＨＴＴＰプロキシ要求である請求項１８に記載のシステム。
24. 前記セキュアトンネルが、さらに、前記ネットワーク上の通信を保護するための手段を備える請求項１８に記載のシステム。
25. 前記セキュアトンネルが、さらに、ＳＳＬトンネル、ＴＬＳトンネル、セキュアＨＴＴＰ（ＨＴＴＰＳ）、トンネリングＴＬＳ（ＴＴＬＳ）、ＩＰＳｅｃトンネル、およびＥＡＰセキュアトンネルのうち少なくとも一つを備える請求項１８に記載のシステム。
26. 前記セキュアトンネルを決定することが、さらに、前記セキュアトンネルを有効とするためにＨＴＴＰＳメッセージを生成することを含む請求項１８に記載のシステム。
27. ネットワーク上の通信を管理するための装置であって、
    前記ネットワーク上の通信を送信し受信するように構成されたトランシーバと、
    前記トランシーバに接続された処理装置であって、プロキシ要求をセキュアトンネルを通じてクライアントから受信するように構成された処理装置と、
    セキュリティ属性を含むために前記プロキシ要求を修正するための手段と、
    前記修正されたプロキシ要求を、プロキシサービスへ転送するための手段とを備える装置において、
    前記セキュリティ属性が、前記セキュアトンネルを通じたプロキシコネクションを有効とする装置。
28. 前記セキュアトンネルが、さらに、前記ネットワーク上の通信を保護するための手段を備える請求項２７に記載の装置。

Images