JP2007534085A - 個人情報を開示することのない信頼性のないゲートウェイの認証 - Google Patents

Abstract

システムおよび方法は、サーバに取扱いに慎重を要するユーザ情報を提供せずに、サーバの使用についてのユーザ承認を提供する。ユーザインターフェイスと遠隔承認サーバとの間には、安全な承認リンクが確立される。承認リンクは、ローカルサーバを通過する一方で、ローカルサーバからは読取不可となっている。ユーザ承認データは、承認リンクを介して、ユーザインターフェイスから承認サーバに送信される。承認サーバはそこで、承認リンクを介して、リダイレクトされた確認メッセージをユーザインターフェイスに返す。リダイレクトされた確認メッセージに含まれるデータに基づいて、ユーザインターフェイスとローカルサーバとの間にローカルリンクが確立される。ユーザインターフェイス、ローカルサーバおよび承認サーバの間のすべての通信は、ユーザインターフェイスウェブブラウザを用いて行なわれる。よって、ローカルサーバによって制御されたサービスの利用についての承認を行なう上で、ユーザインターフェイスに、そのようなリンクを確立し、かつ、そのような通信を行なうための専用のソフトウェアをロードする必要はない。

Description

システムの分野
このシステムは、一般に、ローカルエリアネットワーク（ＬＡＮ）への接続についてのユーザ承認に関する。より具体的には、このシステムは、ユーザの秘密情報をＬＡＮサーバに提供せずに、ＬＡＮサーバによって制御されたサービスへのユーザアクセスを承認するためのシステムおよび方法に関する。

背景
ローカルエリアおよび広域ネットワーク（ＬＡＮおよびＷＡＮ）は、高度技術による、遍在する情報へのアクセスおよびコミュニケーションが可能な、今日の世界において普及している。たとえば、航空機、巡航船、列車、バスおよびその他の移動手段などのモバイルプラットフォームでは、乗客がモバイルプラットフォームにオンボードされたＬＡＮに接続できるようになっている場合が多い。モバイルプラットフォームのＬＡＮは、典型的には、インターネットおよび／または遠隔の地上ベースのＬＡＮまたはＷＡＮへの無線接続など、数多くの好ましいサービスを乗客に提供している。一般的に、乗客がそのようなサービスを利用するには、乗客は、乗客の氏名、クレジットカード情報、生年月日、住所および電話番号などの取扱いに慎重を要する秘密情報を提示することを求められる。そして、この秘密情報は、通常、ＬＡＮのメモリに保存され、かつ、オンボードＬＡＮを介して利用できるサービスを使用する承認をその乗客に与えるために、または以前に承認されていた場合は、その乗客の承認を認証するために使用される。

しかしながら、オンボードサーバは、安全でない場合が多い。すなわち、オンボードサーバは、使用されていないときは、承認されていないおよび望ましくない物理的および／または電子的なアクセスから保護されていない。たとえば、サーバおよび記憶装置などのモバイルプラットフォームのＬＡＮ装置は、しばしば、モバイルプラットフォームから外され、安全性の低い施設のメンテナンスラックに置かれて保管される。よって、ＬＡＮメモリに保存された乗客の秘密情報は、承認されていないおよび望ましくないアクセス、すなわち、ハッキングに対して無防備な可能性がある。さらに、そのようなＬＡＮは、ＬＡＮの使用中にハッキングされやすい場合が多い。したがって、ユーザの秘密情報は、単に一時的に提供されただけであって、ＬＡＮに保存されない場合でも、攻撃を受けやすい可能性がある。

さらに、多くの既知のＬＡＮシステムでは、ユーザは、承認／認証および所望のＬＡＮ制御サービスに対するアクセスを得るために、ユーザの機器、たとえば、ラップトップコンピュータに専用のソフトウェアをロードする必要がある。よって、ユーザは、ＬＡＮに接続し、専用のソフトウェアプログラムをダウンロードし、それから承認／認証プロセスを完了しなければならない。これは、ユーザおよびＬＡＮプロバイダにとってわずらわしいことであって、望ましくない。

したがって、ユーザの個人情報を、ＬＡＮ上のいかなる装置にも開示しない承認／認証プロセスを実現することが極めて望ましい。さらに、専用の承認ソフトウェアを、ユーザの機器にロードする必要がないプロセスを提供することが極めて望ましい。

概要
１つの実現化例において、サーバに取扱いに慎重を要するユーザ情報を提供せずにサーバを使用することを承認するための方法が提供される。当該方法は、ユーザインターフェイスと遠隔承認サーバとの間に安全な承認リンクを確立することを含む。承認リンクは、ローカルサーバを通過する一方で、ローカルサーバからは読取不可となっている。当該方法はさらに、承認リンクを介して、ユーザインターフェイスから承認サーバにユーザ承認データを送信することを含む。承認サーバはそこで、承認リンクを介して、ユーザインターフェイスに対し、リダイレクトされた確認メッセージを返す。当該方法はさらに、リダイレクトされた確認メッセージに含まれるデータに基づいて、ユーザインターフェイスとローカルサーバとの間にローカルリンクを確立することを含む。承認リンクおよびローカルリンクは、ユーザインターフェイスのウェブブラウザを用いて確立される。さらに、ユーザインターフェイス、ローカルサーバおよび承認サーバの間の通信はすべて、ユーザインターフェイスウェブブラウザを用いて行なわれる。よって、ローカルサーバによって制御されたサービスの使用を承認するのに、そのようなリンクを確立し、かつ、そのような通信を行なうための専用のソフトウェアをユーザインターフェイスにロードする必要はない。

別の好ましい形態では、通信システムが提供される。当該通信システムは、ユーザインターフェイスをローカルエリアネットワーク（ＬＡＮ）に接続するための接続ポートを含む。ＬＡＮは、プロセッサと、ローカルサーバ（ＬＳ）ソフトウェアが格納された記憶装置とを有するローカルサーバを含む。システムはさらに、ローカルサーバから離れた位置にあり、かつ、インターネットを介してローカルサーバと通信可能な承認サーバを含む。ローカルプロセッサは、ユーザインターフェイスが接続ポートに接続されると、ＬＳソフトウェアを実行して、ログイン通知をローカルサーバからユーザインターフェイスに送信する。ユーザインターフェイスは、一般的に、適切な通信ケーブルまたは無線接続を用いて、接続ポートに接続される。ログイン通知は、ユーザがローカルサーバによって制御されたサービスへのアクセスを要求するのに用いられる。ユーザの要求に応じて、ローカルプロセッサは、ＬＳソフトウェアを実行して、ユーザインターフェイスと承認サーバとの間に安全な承認リンクを確立する。承認リンクは、ユーザインターフェイスのウェブブラウザを用いて確立され、ユーザインターフェイスに専用のソフトウェアをロードする必要はない。承認リンクは、ローカルサーバを通過するが、ローカルサーバからは読取不可となっている。ローカルプロセッサはさらに、ＬＳソフトウェアを実行して、承認サーバによって送信された承認データを含むリダイレクトされた確認メッセージを検証する。リダイレクトされた確認メッセージは、承認サーバの公開鍵を用いて検証される。さらに、ローカルプロセッサは、ＬＳソフトウェアを実行して、ユーザインターフェイスとローカルサーバとの間にローカルリンクを確立する。ローカルリンクもまた、ユーザインターフェイスウェブブラウザを用いて確立され、ユーザインターフェイスに専用のソフトウェアをロードする必要はない。

このシステムの特徴、機能および利点は、このシステムの各種の実施例において個別に実現されてもよいし、またはさらに別の実施例において組合せられてもよい。

このシステムは、詳細な説明および添付の図面から、より一層理解されるであろう。
同じ参照番号は、それぞれの図面を通して同じ部分を示す。

詳細な説明
以下の好ましい実施例の説明は、単に例証的な性質のものであり、決して、システム、システムの用途または使用法を制限することを意図するものではない。さらに、好ましい実施例によって与えられる利点は、以下に説明するように、例証的な性質のものであり、
すべての好ましい実施例が、同じ利点または同じ程度の利点を提供するものではない。

図１は、通信システム１０の簡略化されたブロック図である。システム１０は、たとえばローカルエリアネットワーク（ＬＡＮ）などのローカルネットワーク１２と、遠隔ネットワーク１４とを含み、該遠隔ネットワークは、ＬＡＮであってもよいし、またはその代わりに、広域ネットワーク（ＷＡＮ）であってもよい。１つの好ましい形態では、ローカルネットワーク１２は、航空機、巡航船、列車、バスまたはその他の移動手段などのモバイルプラットフォームに搭載されており、遠隔ネットワーク１４は、地上ベースのネットワークである。ローカルネットワーク１２は、ローカルサーバ１６を含み、該ローカルサーバは、ローカルサーバ１６のすべての機能を実行するのに適したローカルプロセッサ１８と、少なくとも１つのローカル電子記憶装置２０とを含む。電子記憶装置２０は、好ましくは、ソフトウェアパッケージまたはプログラム、アルゴリズム、情報およびデータなどを保存するためのハードドライブまたはその他任意の電子データ記憶装置などのコンピュータ可読媒体を含む。代替の実施例では、電子記憶装置２０は、ローカルサーバ１６から独立しており、かつ、ローカルサーバ１６に電気的に接続される。さらに、ローカルネットワーク１２は、ローカルサーバ１６に通信可能に接続される、たとえば、配線接続されるか、または無線接続される複数の接続ポート２２を含む。

各接続ポート２２は、ユーザインターフェイス２４に通信可能に接続するようにされており、たとえば、配線接続されるか、または無線接続される。ポート２２に接続することで、ユーザは、ローカルサーバ１６へのアクセスリンクを確立することができる。たとえば、ユーザインターフェイス２４は、航空機に持込まれた乗客のラップトップコンピュータであってもよい。乗客は、ラップトップコンピュータを、接続ポート２２の１つに接続して、ローカルサーバ１６とのリンクを確立する。それから乗客は、そのリンクを用いて、ローカルサーバ１６によって制御された１つまたは複数のサービスにアクセスし、それを利用することができる。たとえば、乗客は、ローカルサーバ１６を介してインターネットにアクセスできる。

通常、各ユーザインターフェイス２４は、ディスプレイ２６と、音声受聴装置２８と、データ入力装置３０とを含む。ディスプレイ２６は、情報、データおよびその他の図形表現を閲覧するために使用される。音声受聴装置２８は、ヘッドセットおよびジャックまたはスピーカなどの音声を生成するのに適した任意の装置であってよい。データ入力装置３０によって、乗客は、情報、データおよび／または問合せをローカルサーバ１６に入力することができる。たとえば、データ入力装置３０は、キーボード、マウスまたはディスプレイ２６に含まれるタッチスクリーンであってもよい。通信システム１０は、ユーザが、ローカルサーバ１６にユーザの取扱いに慎重を要する秘密情報を開示することなく、ローカルサーバ１６によって制御されたサービスを利用することを承認するように適合させたものである。

遠隔ネットワーク１４は、遠隔サーバ３４を含み、該遠隔サーバは、ここでは承認サーバ３４とも呼ばれる。承認サーバ３４は、承認サーバ３４のすべての機能を実行するのに適した遠隔プロセッサ３８を含む。承認サーバ３４はまた、少なくとも１つの遠隔電子記憶装置４２を含む。電子記憶装置４２は、好ましくは、ソフトウェアパッケージまたはプログラム、アルゴリズム、情報およびデータなどを保存するためのハードドライブまたはその他任意の電子データ記憶装置などのコンピュータ可読媒体を含む。代替の実施例では、電子記憶装置２０は、ローカルサーバ１６から独立しており、かつ、ローカルサーバ１６に電気的に接続される。

ローカルサーバ１６および承認サーバ３４は、たとえば、固定電話、地球無線リンクまたは衛星通信リンクなどの任意の適切な通信手段を用いて互いに通信する。好ましい形態
では、ローカルサーバ１６と承認サーバ３４との間の通信は、２００１年１１月２０日に出願され、ボーイング社（Boeing Co.）に譲渡された、「モバイルプラットフォームに双方向データサービスおよび生放送のテレビ番組を提供するための方法および装置（Method
and Apparatus for Providing Bi-Directional Data Services and Live Television Programming to Mobile Platforms）」と題される米国特許出願第０９／９８９，７４２号に記載されているような衛星通信システムおよび方法を用いて実現される。

ローカルサーバ１６は、システム１０のユーザが利用することを希望し得る数多くのサービスを提供および制御する。たとえば、ユーザは、ローカルサーバ１６を介してインターネットへのアクセスを希望する場合がある。または、ユーザは、記憶モジュール２０に記憶され、かつ、ローカルサーバ１６によって制御された、情報、ゲームおよび／または、映画などのその他の形態の娯楽にアクセスすることを希望する場合がある。そのようなローカルサーバ１６によって制御されたサービスにアクセスするには、ユーザは、ラップトップコンピュータなどのユーザインターフェイス２４を、接続ポート２２の１つを介してローカルネットワーク１２に接続する。それからユーザは、ログイン情報を入力し、所望のサービスへのアクセスを要求する。承認サーバ３４はそこで、ユーザに承認情報を要求する。システムは、ユーザによって提供された承認情報を用いて、要求されたサービスへのアクセスを承認するか、ユーザが、要求されたサービスへのアクセスを以前に承認されていたことを認証するか、または要求されたサービスへのアクセスを拒否する。ユーザに要求される承認情報には、ユーザが極秘にすることを望む、取扱いに慎重を要する個人情報が含まれる。たとえば、要求される秘密情報には、ユーザの氏名、パスワード、クレジットカード情報、生年月日、住所および電話番号などが含まれる場合がある。

ユーザの秘密情報を、極秘扱いにして安全に保つために、システム１０は、遠隔ネットワーク１４でユーザのサービス要求を承認または拒否する。より具体的には、システム１０は、ローカルサーバ１６がユーザの秘密情報の読取りおよび保存をすることなく、承認の判定を行なう。さらに、システム１０は、ユーザインターフェイス２４に含まれるウェブブラウザ（図示せず）を用いてユーザ承認の判定を行なうので、システム１０に限定される、専用の承認ソフトウェアをユーザインターフェイス２４にロードする必要はない。すなわち、システム１０は、ユーザインターフェイス２４を接続ポート２２に接続する前に、ユーザインターフェイス２４にロードされている任意の一般的なウェブブラウザを用いて、ユーザ承認の判定を行なう。

ここで用いる専用ソフトウェアは、ユーザインターフェイス２４のウェブブラウザ以外の任意のソフトウェアである。より具体的には、ここで説明しているように、システム１０を動作させるために、そのような専用ソフトウェア、特に、システム１０で使用するように限定的に設計されたソフトウェアをユーザインターフェイス２４にロードまたはダウンロードする必要はない。ここで説明しているように、システム１０を使用するには、ユーザは単に、今日のコンピュータベースの機器の大半に予めロードされている、概して標準的なソフトウェアである、一般的なウェブブラウザを準備するだけでよい。

図２は、システム１０によって実行される一連の動作を示すシーケンス図１００であり、ローカルサーバ１６によって制御されたサービスへのアクセスについてのユーザの要求を承認するかどうかが判定される。一旦、ユーザが接続ポート２２を介してローカルネットワーク１２に接続すると、ローカルサーバ１６は、１０４で示すように、ログイン通知、たとえば、最初のウェブページを、ユーザインターフェイスディスプレイ２６にホストされるべきログインウェブページへのリンクを含むユーザインターフェイス２４に送信する。代替案として、ローカルサーバ１６は、１０４で、ユーザインターフェイス２４に、ログインウェブページを送信する。ユーザは、ログインウェブページを介して、ローカルサーバ１６によって制御される１つまたは複数のサービスへのアクセスを要求する。ユー
ザインターフェイス２４のウェブブラウザを用いて、ユーザインターフェイスと遠隔承認サーバ３４との間に安全な承認リンク１０８が確立される。より具体的には、ユーザインターフェイス２４と遠隔承認サーバ３４との間に、暗号化されたセッションが開かれる。安全な承認リンク１０８は、ユーザインターフェイス２４に与えられた承認サーバ３４の許可証を用いて設けられる。好ましい実施例では、承認リンク１０８は、ハイパーテキスト転送プロトコルセキュアソケット（https）トンネルである。

ローカルサーバ１６は、記憶装置２０に格納されるソフトウェアを含み、該ソフトウェアは、承認リンク１０８が、ローカルサーバ１６によって読取られることなく、ローカルサーバ１６を明示的に通過させる。すなわち、承認リンク１０８は、ローカルサーバ１６を通過するが、ローカルサーバ１６からは読取不可となっている。特に、ローカルサーバ１６は、承認リンク１０８を介して送信されたデータを認識し、かつ、記録することができるが、ローカルサーバは、そのデータを再構成することはできない。ローカルサーバ１６のソフトウェアはまた、単に承認されたユーザアクセスがローカルネットワーク１２を超える許可を与えるだけのアクセス制御機構を実現する。さらに、好ましい実現化例では、承認リンク１０８は、ローカルサーバ１６の通過が許可されるが、ローカルサーバ１６のソフトウェアは、選択されたインターネットリンクへのアクセスを阻止する一方で、選択された他のインターネットリンクへのアクセスを承認する。たとえば、ローカルサーバ１６のソフトウェアは、カスタマサービスに関するリンク、フリーチャットルームおよび特定のモバイルプラットフォームの情報に関するリンクへのアクセスを許可する一方で、その他のすべてのインターネットリンクへのアクセスを阻止する。別の好ましい形態においては、ローカルサーバ１６のソフトウェアは、承認リンク１０８にローカルサーバ１６の通過を許可する一方で、その他のすべてのインターネットへのアクセスを阻止する。ユーザインターネットＩＰアドレスなどの、ローカルサーバ１６が承認サーバ３４に伝える必要のあるあらゆるデータまたは情報を、１０４で送信される最初のウェブページの一部として伝えるようにしてもよい。好ましい一実施例では、ローカルサーバ１６は、この追加データを暗号化された形態で送信する。

一旦、安全な承認リンク１０８が確立されると、承認サーバ３４は、ユーザに対して、個人的かつ秘密のユーザ承認データを要求する。ユーザはそこで、１１２で示すように、ユーザインターフェイス入力装置３０を用いて承認データを入力する。好ましい一実施例では、承認データは、ユーザの氏名、クレジットカード情報、生年月日、住所および電話番号などを含む。代替の実施例では、ローカルサーバ１６によって制御された特定のサービスの使用について、ユーザに予め承認を与えていてもよい。その場合、ユーザの承認データに含まれるのは、ユーザの認証に使用されるユーザ名およびパスワードだけでもよい。承認サーバ３４は、ユーザ承認データを用いて、ユーザが要求したサービスにアクセスするのを承認するか、または拒否するかを判定する。一旦、承認サーバ３４がユーザを承認するかどうかを判定すると、承認サーバ３４は、リダイレクトされた確認メッセージを作成し、該メッセージは、１１６で示すように、安全な承認リンク１０８を介して、ユーザインターフェイス２２に送信される。よって、リダイレクトされた確認メッセージは、ローカルサーバ１６を通して、ユーザインターフェイス２４に伝えられる。しかしながら、ローカルサーバ１６は、リダイレクトされた確認メッセージがユーザインターフェイス２４への経路で通過するとき、リダイレクトされた確認メッセージを読取ることはできない。それは、その確認メッセージが、暗号化されたセッション１０８の中にあるからである。好ましい形態では、承認サーバ３４は、承認リンク１０８を介して、ユーザインターフェイス２４に送信されるハイパーテキスト転送プロトコル（http）のリダイレクトされた確認メッセージを作成する。代替案として、承認サーバ３４は、承認リンク１０８を介して、ユーザインターフェイス２４に送信されるハイパーテキスト転送プロトコルセキュアソケット（https）のリダイレクトされた確認メッセージを作成してもよい。

リダイレクトされた確認メッセージには、１２０で示すように、ユーザインターフェイス２４に対し、リダイレクトされた確認メッセージを直ちにローカルサーバ１６に転送するよう指示するデータコマンドが含まれる。よって、１２０で、ユーザインターフェイス２４とローカルサーバ１６との間にローカルリンクが確立される。好ましい形態では、httpプロトコルのリダイレクトされた確認メッセージは、ローカルサーバの許可証を用いて、ダイアログウインドウがユーザインターフェイスのディスプレイ２６に表示されるのを阻止する。よって、リダイレクトされた確認メッセージは、ユーザからは見えない。リダイレクトされた確認メッセージには、さらに、ユーザが要求したサービスへのアクセスを承認されたかどうかを示すユニフォームリソースロケータ（ＵＲＬ）が含まれる。一旦、リダイレクトされた確認メッセージがローカルサーバ１６に転送されると、ローカルサーバ１６のソフトウェアは、ローカルサーバ１６にリダイレクトされた確認メッセージの読取りを許可する。ローカルサーバ１６はＵＲＬに含まれる情報を用いて、要求されたサービスに対するユーザアクセスを可能にするか、または阻止する。たとえば、ユーザが承認を得た場合、ＵＲＬには、セッション識別データ、許可されたサービスおよびサービスへのユーザアクセスが可能な時間などが含まれる。さらに、ＵＲＬには、ユーザインターフェイス２４のＩＰアドレスを含んでいてもよく、それによって、ローカルサーバ１６は、ＵＲＬのＩＰアドレスと、ローカルサーバ１６にとって既知のＩＰアドレスとを照合し、リダイレクトされた確認メッセージが信頼し得るかどうかを検証することができる。

代替案として、承認サーバ３４は、リダイレクトされた確認メッセージをJava（登録商標）スクリプトフォーマットで作成してもよい。この実施例では、リダイレクトされた確認メッセージはhttpプロトコルレベルでは成されず、あるページがユーザインターフェイスウェブブラウザにロードされる。このページがロードされると、ロードされたページ内に含まれる小さいスクリプトが実行されて、リダイレクトが行なわれる。この手法には、セキュリティ状態に関して何らかの懸念の対象になりそうなメッセージがあった場合に、乗客が現状を開示することなく確認できるという利点がある。

さらに、リダイレクトされた確認メッセージには、承認サーバ３４の秘密鍵を用いてデジタル署名がなされているので、ローカルサーバ１６は、承認サーバ３４の公開鍵を用いて、リダイレクトされた確認メッセージが信頼し得るかどうかを検証できる。代替案として、リダイレクトされた確認メッセージは、暗号化されており、かつ、確認メッセージがユーザインターフェイス２４によってローカルサーバ１６に転送された後、ローカルサーバ１６によって復号化される必要がある。リダイレクトされた確認メッセージのデジタル署名および／または暗号化によって、意図しないユーザ、すなわち、ハッカーが確認メッセージを捕捉し、その後に該メッセージを使用するのを防止できる。さらに、好ましい形態では、リダイレクトされた確認メッセージは、該確認メッセージに埋め込まれるタイムスタンプを有する。このタイムスタンプは、リダイレクトされた確認メッセージの有効期間を限定するので、リダイレクトされた確認メッセージに含まれる承認データがハッカーによって何らかの方法で捕捉されたとしても、それが使用できるのは、予め定められた期間、たとえば、１０マイクロ秒から１０分の間だけである。好ましくは、タイムスタンプは承認サーバ３４によって提供され、ローカルサーバ１６はそのタイムスタンプを受付けることを求められる。このため、タイムスタンプの調整が容易になる。

好ましい一形態では、１２０におけるローカルリンクは、安全性が保証されていないリンクであり、それによって、リダイレクトされた確認メッセージがユーザインターフェイスからローカルサーバ１４に転送される。すなわち、転送されるリダイレクトされた確認メッセージは暗号化されていない。しかしながら、リダイレクトされた確認メッセージには、いかなるユーザの秘密情報も含まれていない。よって、たとえリダイレクトされた確認メッセージが１２０で盗聴されたとしても、秘密情報は取得できない。代替案として、１２０におけるローカルリンクは、安全性が保証されたリンクであってもよく、それによ
って、リダイレクトされた確認メッセージは、暗号化された形態でローカルサーバ１６に転送される。たとえば、リダイレクトされた確認メッセージは、https接続を用いて、ユーザインターフェイス２４からローカルサーバ１６に転送されてもよい。

リダイレクトされた確認メッセージは、ユーザインターフェイスウェブブラウザを用いてユーザインターフェイス２４からローカルサーバ１６に転送されるので、専用のソフトウェア、すなわち、システム１０に限定されるソフトウェアをユーザインターフェイス２４にロードする必要はない。より具体的には、システム１０は、ユーザインターフェイスにロードされる専用のソフトウェアを使用せずに、安全なユーザ承認／認証を提供する。よって、ユーザは、ローカルサーバ１６によって制御された所望のサービスにアクセスする承認を得る上で、システム１０に接続し、それから専用のソフトウェアをユーザインターフェイス２４にダウンロードする必要はない。さらに、システム１０は、ユーザ承認プロセスの間、ユーザインターフェイス２４でクッキーを使用せず、かつ、クッキーを保存しない。よって、システム１０の動作を妨害することなく、ユーザインターフェイスウェブブラウザ内で、クッキーを無効にすることができる。したがって、一旦、ユーザが要求したサービスへのアクセスの承認を得ると、すなわち、そのサービスがローカルサーバ１６によってオンにされると、ユーザは、そのサービスを中断せずにユーザインターフェイスウェブブラウザを閉じることができる。さらに、ユーザは、ユーザインターフェイス２４をオフにしてから再度オンにすることができるので、サービスは有効な状態のままである。

好ましい一実施例では、リダイレクトされた確認メッセージが、１２０でローカルサーバ１６に転送された後、ローカルサーバ１６は、１２４に示すように、安全性が保証されたリンクを介して承認サーバ３４と通信する。１２４におけるリンクによって、ローカルサーバ１６と承認サーバ３４との間に通信チャネルが設けられ、それによって、ローカルサーバ１６は、承認サーバ３４に対して、リダイレクトされた確認メッセージの受信が成功したことを通知する。または、１２４におけるリンクは、承認サーバ３４がローカルサーバ１６を識別するのに使用してもよい。すなわち、承認サーバ３４は、ローカルサーバ１６がモバイルプラットフォーム、たとえば、航空機に搭載されているかどうか、またはローカルサーバ１６が地上ベースのサーバであるかどうかを識別できる。

よって、システム１０は、ローカルネットワーク１２上のいかなる装置にもユーザの個人的な秘密情報を開示しないユーザ承認プロセスを提供する。さらに、システム１０は、ユーザインターフェイス２４に専用の承認ソフトウェアをダウンロードする必要のないユーザ承認を実現する。

各種の特定の実施例の観点からこのシステムを説明したが、当業者であれば、請求項の精神および範囲内で、このシステムの変形が実施可能であることを理解するであろう。

ローカルサーバによって制御されたサービスへのアクセスおよびその利用をユーザに承認するための通信システムの略ブロック図である。 図１に示すシステムによって実行される一連の動作を示すシーケンス図であり、図１に示すローカルサーバによって制御されたサービスへのアクセスについてのユーザの要求を承認するかどうかが判定される。

Claims (39)

1. サーバに取扱いに慎重を要する情報を提供せずにサーバの使用を承認するための方法であって、前記方法は、
   ユーザインターフェイスウェブブラウザを用いて、ユーザインターフェイスと遠隔承認サーバとの間に安全な承認リンクを確立するステップを含み、該承認リンクは、ローカルサーバを通過し、かつ、ローカルサーバからは読取不可となっており、
   ユーザインターフェイスウェブブラウザを用いて、ユーザ承認データを、承認リンクを介して、ユーザインターフェイスから承認サーバに送信するステップと、
   リダイレクトされた確認メッセージを、承認リンクを介して、承認サーバからユーザインターフェイスに返すステップと、
   リダイレクトされた確認メッセージに含まれるデータに基づいて、ユーザインターフェイスとローカルサーバとの間にローカルリンクを確立するステップとをさらに含み、該ローカルリンクは、ユーザインターフェイスウェブブラウザを用いて確立される、方法。
2. 該方法は、一旦ローカルリンクが確立されると、ローカルサーバによって制御された、要求されたサービスへのユーザアクセスを提供するステップをさらに含む、請求項１に記載の方法。
3. 該方法は、安全な承認リンクを介して、データをローカルサーバから承認サーバに送信するステップをさらに含む、請求項１に記載の方法。
4. ユーザインターフェイスと承認サーバとの間に安全な承認リンクを確立するステップは、ログイン通知をローカルサーバからユーザインターフェイスに送信するステップを含み、ログイン通知は、ユーザがローカルサーバによって制御されたサービスへのアクセスを要求するのに用いられる、請求項１に記載の方法。
5. リダイレクトされた確認メッセージを返すステップは、承認サーバを用いて、ユーザ承認データを確認するステップを含む、請求項１に記載の方法。
6. ローカルリンクを確立するステップは、ユーザーインターフェイスウェブブラウザを用いて、リダイレクトされた確認メッセージをユーザインターフェイスからローカルサーバに転送するステップを含む、請求項１に記載の方法。
7. ローカルリンクを確立するステップは、承認サーバの公開鍵およびリダイレクトされたメッセージに添付されるデジタル署名を用いて、リダイレクトされたメッセージの有効性を検証するステップを含む、請求項６に記載の方法。
8. リダイレクトされた確認メッセージを転送するステップは、転送されるリダイレクトされた確認メッセージを暗号化するステップを含む、請求項６に記載の方法。
9. 安全な承認リンクを確立するステップは、ユーザインターフェイスに承認リンクを確立するための専用のソフトウェアなしで、承認リンクを確立するステップを含む、請求項１に記載の方法。
10. ログイン通知を送信するステップは、ログインページをローカルサーバからユーザインターフェイスに送信するステップを含む、請求項１に記載の方法。
11. ログイン通知を送信するステップは、ログインページへのリンクをローカルサーバからユーザインターフェイスに送信するステップを含む、請求項１に記載の方法。
12. 安全な承認リンクを確立するステップは、ユーザインターフェイスと承認サーバとの間にhttpsセッションを確立するステップを含む、請求項１に記載の方法。
13. 安全な承認リンクを確立するステップは、承認リンクを提供する一方で、複数の選択されたインターネットリンクへのアクセスを阻止するステップを含む、請求項１に記載の方法。
14. 安全な承認リンクを確立するステップは、ユーザインターフェイスに関する通信識別データをローカルサーバから承認サーバに送信するステップを含む、請求項１に記載の方法。
15. 通信識別データを送信するステップは、送信された通信識別データを暗号化するステップを含む、請求項１４に記載の方法。
16. 安全な承認リンクサーバを確立するステップは、ユーザのログイン情報をユーザインターフェイスから承認サーバに送信するステップを含む、請求項１に記載の方法。
17. リダイレクトされた確認メッセージを返すステップは、承認サーバを用いて、httpのリダイレクトされた確認メッセージを作成するステップを含む、請求項１に記載の方法。
18. リダイレクトされた確認メッセージを返すステップは、承認サーバを用いて、Java（登録商標）スクリプトのリダイレクトされた確認メッセージを作成するステップを含む、請求項１に記載の方法。
19. リダイレクトされた確認メッセージを返すステップは、承認および承認されたサービスに関するデータを承認サーバからローカルサーバに送信するステップを含む、請求項１に記載の方法。
20. ローカルリンクを確立するステップは、ローカルリンクを確立する一方で、ユーザーインターフェイスウェブブラウザ内でクッキーを無効にするステップを含む、請求項１に記載の方法。
21. リダイレクトされた確認メッセージを返すステップは、リダイレクトされた確認メッセージに、確認メッセージの有効期間を限定するように適合させたタイムスタンプを埋込むステップを含む、請求項１に記載の方法。
22. ローカルリンクを確立するステップは、ユーザインターフェイスとローカルサーバとの間に安全性が保証されたhttpsセッションを確立するステップを含む、請求項１に記載の方法。
23. 通信システムであって、
    ユーザインターフェイスの接続を提供するように適合させた接続ポートと、
    遠隔承認サーバと、
    ローカルプロセッサと、ローカルプロセッサによって実行可能なローカルサーバ（ＬＳ）ソフトウェアが格納されたローカル記憶装置とを含むローカルサーバとを含み、該ローカルプロセッサは、
    ＬＳソフトウェアを実行して、ユーザインターフェイスが通信可能に接続ポートに接続されると、ログイン通知をローカルサーバからユーザインターフェイスに送信するように構成され、該ログイン通知は、ユーザがローカルサーバによって制御されたサービスへの
    アクセスを要求するのに用いられ、該ローカルプロセッサはさらに、
    ＬＳソフトウェアを実行して、ユーザの要求に応じて、ユーザインターフェイスと承認サーバとの間に安全な承認リンクを確立するように構成され、該承認リンクは、承認リンクを確立するためにユーザインターフェイスに格納されるその他の専用ソフトウェアなしで、ユーザーインターフェイスウェブブラウザを用いて確立され、該承認リンクは、ローカルサーバを通過し、かつ、ローカルサーバからは読取不可となっており、該ローカルプロセッサはさらに、
    ＬＳソフトウェアを実行して、承認サーバによって送信されるリダイレクトされた確認メッセージを検証するように構成され、該リダイレクトされた確認メッセージは、承認データを含み、かつ、承認サーバの公開鍵を用いて検証され、該ローカルプロセッサはさらに、
    ＬＳソフトウェアを実行して、承認データに従い、ユーザインターフェイスとローカルサーバとの間にローカルリンクを確立するように構成され、該リンクは、ローカルリンクを確立するためにユーザインターフェイスに格納されるその他の専用ソフトウェアなしで、ユーザーインターフェイスウェブブラウザを用いて確立される、通信システム。
24. ローカルプロセッサはさらに、ＬＳソフトウェアを実行して、ユーザが、ローカルサーバによって制御された、承認されたサービスにアクセスできるように構成され、該承認されたサービスは、リダイレクトされた確認メッセージにおいて識別される、請求項２３に記載のシステム。
25. 承認サーバは、遠隔プロセッサと、遠隔プロセッサによって実行可能な承認サーバ（ＡＳ）ソフトウェアが格納された遠隔記憶装置とを含み、該遠隔プロセッサは、
    ＡＳソフトウェアを実行して、承認リンクを介してユーザインターフェイスから承認サーバに送信されたユーザ承認データを確認し、
    ＡＳソフトウェアを実行して、承認リンクを介して、リダイレクトされた確認メッセージをユーザインターフェイスに返すように構成され、該確認メッセージは、承認および承認されたサービスに関するデータを含み、該確認メッセージは、オンボードサーバと通信するためにユーザインターフェイスに格納されたその他の専用ソフトウェアなしで、ユーザーインターフェイスウェブブラウザを用いて、ユーザインターフェイスによってローカルサーバに転送される、請求項２３に記載のシステム。
26. ローカルプロセッサはさらに、ＬＳソフトウェアを実行して、ユーザインターフェイスと承認サーバとの間にhttpsセッションを含む安全な承認リンクを確立するように構成される、請求項２３に記載のシステム。
27. ローカルプロセッサはさらに、ＬＳソフトウェアを実行して、安全な承認リンクを確立する一方で、種々の選択されたインターネットリンクへのアクセスを阻止するように構成される、請求項２３に記載のシステム。
28. ローカルプロセッサはさらに、ＬＳソフトウェアを実行して、ローカルリンクを確立する一方で、ユーザーインターフェイスウェブブラウザ内でクッキーを無効にするように構成される、請求項２３に記載のシステム。
29. 遠隔プロセッサはさらに、ＡＳソフトウェアを実行して、確認メッセージの有効期間を限定するように適合させた、埋め込まれたタイムスタンプを含むリダイレクトされた確認メッセージを返すように構成される、請求項２３に記載のシステム。
30. ローカルリンクは、ユーザインターフェイスとローカルサーバとの間の、安全性が保証されたhttpsセッションを用いて確立される、請求項２３に記載のシステム。
31. 遠隔プロセッサはさらに、ＡＳソフトウェアを実行して、デジタル署名を含むリダイレクトされた確認メッセージを返すように構成される、請求項２３に記載のシステム。
32. ローカルプロセッサはさらに、ＬＳソフトウェアを実行して、デジタル署名および承認サーバの秘密鍵を用いて、リダイレクトされた確認メッセージの真正性を確認するように構成される、請求項３１に記載のシステム。
33. 航空機のオンボードサーバに秘密情報を開示せずに、オンボードサーバによって制御されたサービスの利用を承認するための方法であって、
    オンボードサーバからユーザインターフェイスにログイン通知を送信するステップを含み、該ログイン通知は、ユーザがオンボードサーバによって制御されたサービスへのアクセスを要求するのに用いられ、該方法はさらに、
    ユーザインターフェイスと地上ベースのサーバとの間に安全な承認リンクを確立するステップを含み、該承認リンクは、承認リンクを確立するためにユーザインターフェイスに格納されるその他の専用ソフトウェアなしで、ユーザーインターフェイスウェブブラウザを用いて確立され、該承認リンクは、オンボードサーバを通過し、かつ、オンボードサーバからは読取不可となっており、該方法はさらに、
    承認リンクを確立するためにユーザインターフェイスに格納されるその他の専用ソフトウェアなしで、ユーザーインターフェイスウェブブラウザを用いて、ユーザ承認データを、承認リンクを介して、ユーザインターフェイスから地上ベースのサーバに送信するステップと、
    地上ベースのサーバを用いて、ユーザ承認データを確認するステップと、
    承認および承認されたサービスに関するデータを含むリダイレクトされた確認メッセージを、承認リンクを介して、地上ベースのサーバからユーザインターフェイスに返すステップと、
    オンボードサーバと通信するためにユーザインターフェイスに格納されるその他の専用ソフトウェアなしで、ユーザーインターフェイスウェブブラウザを用いて、リダイレクトされた確認メッセージを、ユーザインターフェイスからオンボードサーバに転送するステップと、
    地上ベースのサーバの公開鍵を用いて、リダイレクトされた確認メッセージが有効であることを検証するステップと、
    オンボードサーバと通信するためにユーザインターフェイスに格納されるその他の専用ソフトウェアなしで、ユーザーインターフェイスウェブブラウザを用いて、ユーザインターフェイスとオンボードサーバとの間にローカルリンクを確立するステップとを含む、方法。
34. 安全な承認リンクを確立するステップは、地上ベースのサーバの許可証を用いて、ユーザインターフェイスと地上ベースのサーバとの間にhttpsセッションを確立するステップを含む、請求項３３に記載の方法。
35. 安全な承認リンクを確立するステップは、安全なリンクを提供する一方で、複数の選択されたインターネットリンクへのアクセスを阻止するステップを含む、請求項３３に記載の方法。
36. リダイレクトされた確認メッセージを返すステップは、地上ベースのサーバを用いて、httpのリダイレクトされた確認メッセージおよびJava（登録商標）スクリプトのリダイレクトされた確認メッセージの一方を作成するステップを含む、請求項３３に記載の方法。
37. ローカルリンクを確立するステップは、ローカルリンクを確立する一方で、ユーザーイ
    ンターフェイスウェブブラウザ内でクッキーを無効にするステップを含む、請求項３３に記載の方法。
38. リダイレクトされた確認メッセージを返すステップは、リダイレクトされた確認メッセージに、確認メッセージの有効期間を限定するように適合させたタイムスタンプを埋込むステップを含む、請求項３３に記載の方法。
39. ローカルリンクを確立するステップは、ユーザインターフェイスとローカルサーバとの間に安全性が保証されたhttpsセッションを確立するステップを含む、請求項３３に記載の方法。

Images