JP2008539482A - クライアントをネットワークに接続する方法、システム、及びプログラム製品 - Google Patents

クライアントをネットワークに接続する方法、システム、及びプログラム製品 Download PDF

Info

Publication number
JP2008539482A
JP2008539482A JP2008508185A JP2008508185A JP2008539482A JP 2008539482 A JP2008539482 A JP 2008539482A JP 2008508185 A JP2008508185 A JP 2008508185A JP 2008508185 A JP2008508185 A JP 2008508185A JP 2008539482 A JP2008539482 A JP 2008539482A
Authority
JP
Japan
Prior art keywords
software
client
specific
credentials
list
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2008508185A
Other languages
English (en)
Other versions
JP2008539482A5 (ja
Inventor
デントン、ガイ、シモン
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of JP2008539482A publication Critical patent/JP2008539482A/ja
Publication of JP2008539482A5 publication Critical patent/JP2008539482A5/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Information Transfer Between Computers (AREA)
  • Stored Programmes (AREA)
  • Computer And Data Communications (AREA)

Abstract

本発明では、接続が許可される前にユーザ・クレデンシャル及びソフトウェア・クレデンシャルの両方が認証される。この点で、１つ以上のユーザ・クレデンシャルがクライアントで（例えば、ユーザから）受け取られる。その後、通常はクライアント上で動作するソフトウェア・エージェントは、所要ソフトウェア・モジュールのリストにおいて特定されている１つ以上のソフトウェア・モジュールがクライアントにインストールされているか否かを判定する。クライアントにインストールされている各ソフトウェア・モジュールについて、そのエージェントはソフトウェア・クレデンシャルを生成する。ユーザ・クレデンシャルとソフトウェア・クレデンシャルとはサーバに送られ、これは、ユーザ・クレデンシャルが有効であって所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されるならば接続を許可する。

Description

一般的に、本発明は、クライアントをネットワークに接続する方法、システム及びプログラム製品に関する。特に、本発明は、ネットワークへの完全な接続を提供する前にクライアントのユーザとそれにロードされているソフトウェアとの両方を認証する方法、システム及びプログラム製品に関する。
コンピュータ・ネットワークは社会の必須の部分となっており、改良されたセキュリティーの必要性もそうである。現在、殆どのネットワークは、ユーザ、又はユーザが操作しているクライアントがそれとの接続を確立することを許す前にユーザ・ベースの認証を行う。ユーザ・ベースの認証の最も代表的な形は、ユーザ識別子とパスワードとに基づく。このタイプの認証は、仕事場でネットワーク接続性を確立するために利用されるだけではなくて、多くのウェブサイト及びオンライン・サービスのための標準にもなっている。
遺憾ながら、ユーザが自分で言っているとおりの人であることを保証することはネットワーク・コンピューティングにおける唯一の問題ではない。特に、コンピュータ・ウィルス、スパイソフト、アドウェア（ａｄｗａｒｅ）などの持続的進化は、個々のコンピュータ・ユーザとネットワーク・オペレータとの両方にとって大きな問題となった。例えば、多くの場合に、ユーザが、コンピュータ・ネットワークとの接続が確立された後に、それと気づかずにウィルスをコンピュータ・ネットワークに転送する可能性がある。この点で、多くのネットワーク管理者は、接続が確立される前にアンチウィルス・ソフトウェアのような一定のプログラムがクライアント装置にインストールされていることを要求する方針を実施してきた。
遺憾ながら、これらの方針を管理することは、慣例上、個々のユーザに任されてきた。すなわち、これらの方針は、通例、確実に満たされるようにユーザに任された一組の指針として実施されている。この様な実施では、ネットワークへの接続が確立される前にそれらの指針が満たされるという保証は無い。従って、ウィルス等の伝播はただ増え続けることになる。より多くの労働者がモバイル／リモートになって自分たちの仕事場所のコンピュータの代わりにラップトップ及びその他の“携帯用”計算装置を利用するとき、特にそうである。すなわち、ネットワークのオペレータが直ぐにアクセスできる仕事場ベースの計算装置よりモバイル計算装置のコンプライアンスを保証することの方がかなり難しい可能性がある。
上記にかんがみて、クライアントをネットワークに接続する方法、システム及びプログラム製品が必要である。特に、ユーザと、ネットワークへの接続を確立しようとしているクライアント上の所要のソフトウェアとの両方を認証することのできるシステムが必要である。
一般的に、本発明は、クライアントをネットワークに接続する方法、システム及びプログラム製品を提供する。特に、本発明では、接続が許可される前にユーザ・クレデンシャル及びソフトウェア・クレデンシャルの両方が認証される。この点で、１つ以上のユーザ・クレデンシャルがクライアントで（例えば、ユーザから）受け取られる。その後、通常はクライアント上で動作するソフトウェア・エージェントは、所要ソフトウェア・モジュールのリストにおいて特定されている１つ以上のソフトウェア・モジュールがクライアントにインストールされているか否かを判定する。クライアントにインストールされている各ソフトウェア・モジュールについて、そのエージェントはソフトウェア・クレデンシャルを生成する。ユーザ・クレデンシャルとソフトウェア・クレデンシャルとはサーバに送られ、これは、ユーザ・クレデンシャルが有効であって所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されるならば接続を許可する。
本発明の第１の側面はクライアントをネットワークに接続する方法を提供し、この方法は、クライアントにおいて１つ以上のユーザ・クレデンシャルを受け取るステップと、所要ソフトウェア・モジュールのリストにおいて特定されている１つ以上のソフトウェア・モジュールがクライアントにインストールされているか否かをソフトウェア・エージェントで判定するステップと、クライアントにインストールされていると判定された１つ以上のソフトウェア・モジュールの各々についてソフトウェア・クレデンシャルを生成するステップと、その１つ以上のユーザ・クレデンシャルと１つ以上のソフトウェア・クレデンシャルとをサーバに送るステップと、もしその１つ以上のユーザ・クレデンシャルが有効であって、所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されるならばクライアントをネットワークに接続するステップと、を含む。
本発明の第２の側面はクライアントをネットワークに接続するためのシステムを提供し、このシステムは、クライアントにおいて１つ以上のユーザ・クレデンシャルを受け取るためのシステムと、所要ソフトウェア・モジュールのリストにおいて特定されている１つ以上のソフトウェア・モジュールがクライアントにインストールされているか否かを判定するためのシステムと、クライアントにインストールされていると判定された１つ以上のソフトウェア・モジュールの各々についてソフトウェア・クレデンシャルを生成するためのシステムと、その１つ以上のユーザ・クレデンシャルと１つ以上のソフトウェア・クレデンシャルとをサーバに送るためのシステムと、を含んでおり、もしその１つ以上のユーザ・クレデンシャルが有効であって、所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されるならばクライアントはネットワークに接続される。
本発明の第３の側面はクライアントをネットワークに接続するためにコンピュータ可読媒体に格納されたプログラム製品を提供し、このコンピュータ可読媒体は、クライアントにおいて１つ以上のユーザ・クレデンシャルを受け取るステップと、所要ソフトウェア・モジュールのリストにおいて特定されている１つ以上のソフトウェア・モジュールがクライアントにインストールされているか否かを判定するステップと、クライアントにインストールされていると判定された１つ以上のソフトウェア・モジュールの各々についてソフトウェア・クレデンシャルを生成するステップと、その１つ以上のユーザ・クレデンシャルと１つ以上のソフトウェア・クレデンシャルとをサーバに送るステップと、を実行するためのプログラム・コードを含み、もしその１つ以上のユーザ・クレデンシャルが有効であって、所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されるならばクライアントはネットワークに接続される。
本発明の第４の側面は、クライアントをネットワークに接続するためのアプリケーションを展開する方法を提供し、この方法は、ユーザ・クレデンシャルと、クライアントにロードされていると判定された１つ以上のソフトウェア・モジュールの各々についてのセキュリティ・クレデンシャルとを受け取り、その有効性を判定するためにそのユーザ・クレデンシャルと１つ以上のセキュリティ・クレデンシャルとを認証し、もしそのユーザ・クレデンシャルが有効であって、且つ、所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されているならばネットワークへの接続を許可するように動作することのできるコンピュータ・インフラストラクチャを設けることを含む。
本発明の第５の側面は、クライアントをネットワークに接続するための伝播する信号として具体化されるコンピュータ・ソフトウェアを提供し、このコンピュータ・ソフトウェアは、コンピュータ・システムに、ユーザ・クレデンシャルと、クライアントにロードされていると判定された１つ以上のソフトウェア・モジュールの各々についてのセキュリティ・クレデンシャルとを受け取り、そのユーザ・クレデンシャルと１つ以上のセキュリティ・クレデンシャルとを認証してその有効性を判定し、もしそのユーザ・クレデンシャルが有効であって、且つ、所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されているならばネットワークへの接続を許可する機能を実行させる命令を含み、所要ソフトウェア・モジュールのリスト中のソフトウェア・モジュールのいずれかがクライアントにロードされていなければ接続は許可されない。
従って、本発明は、クライアントをネットワークに接続する方法、システム及びプログラム製品を提供する。
本発明のこれらの、及びその他の特徴は、本発明の種々の側面についての以下の詳細な説明を添付図面と関連させて検討することから容易に理解されるであろう。
図面は必ずしも一定縮尺ではない。図面は、単なる略図であって、本発明の具体的なパラメータを描くように意図されてはいない。図面は、本発明の代表的実施態様だけを描くように意図されているので、本発明の範囲を限定するものと見なされるべきではない。図面において、同様の番号は同様の要素を表す。
上記のように、本発明は、クライアントをネットワークに接続する方法、システム及びプログラム製品を提供する。具体的には、本発明では、接続が許可される前にユーザ・クレデンシャルとソフトウェア・クレデンシャルとの両方が認証される。この点で、１つ以上のユーザ・クレデンシャルがクライアントにおいて（例えば、ユーザから）受け取られる。その後、通常はクライアント上で動作するソフトウェア・エージェントが、所要ソフトウェア・モジュールのリストにおいて特定されている１つ以上のソフトウェア・モジュールがクライアントにインストールされているか否かを判定する。クライアントにインストールされている各ソフトウェア・モジュールについて、このエージェントはソフトウェア・クレデンシャルを生成する。ユーザ・クレデンシャルとソフトウェア・クレデンシャルとはサーバに送られ、これは、もしユーザ・クレデンシャルが有効であって、且つ所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されるならば、接続を許可する。
ここで図１を参照すると、クライアント１２をネットワーク１４に接続するためのシステム１０が示されている。描かれているように、ネットワーク１４はサーバ１６を含む。しかし、簡潔を目的として図１に示されていない他のコンポーネント（例えば、ハードウェア、ソフトウェアなど）をネットワーク１４がおそらく含むであろうことが理解されるべきである。更に、ネットワーク１４は種々のタイプの通信リンクの任意の組み合わせを含み得る。例えば、ネットワーク１４は、有線送信方法又は無線送信方法或いはその両方の任意の組み合わせを利用することのできるアドレス指定可能な接続を含むことができる。更に、ネットワーク１４は、インターネット、ワイド・エリア・ネットワーク（ＷＡＮ）、ローカル・エリア・ネットワーク（ＬＡＮ）、仮想私設ネットワーク（ＶＰＮ）などを含む１つ以上の任意のタイプのネットワークを含むことができる。インターネットを介して通信が行われる場合には、接続性は在来のＴＣＰ／ＩＰソケット・ベースのプロトコルにより提供され得、クライアント１２は、インターネットとの接続性を確立するためにインターネット・サービス・プロバイダを利用することができる。更に、クライアント１２及びサーバ１６が夫々の機能を実行できる任意のタイプのコンピュータ装置であり得るということが理解されるべきである。その例は、特に、ハンドヘルド装置、ラップトップ・コンピュータ、デスクトップ・コンピュータ、ワークステーションなどを含む。
いずれにしても、クライアント１２は処理ユニット２０、メモリ２２、バス２４、及び入出力（Ｉ／Ｏ）インターフェース２６を含んで示されている。更に、クライアント１２は、外部Ｉ／Ｏ装置／リソース２８及び記憶システム３０と通信して示されている。一般的に、処理ユニット２０は、メモリ２２又は記憶システム３０に或いはその両方に格納されているクライアント・セキュリティ・システム４０のようなコンピュータ・プログラム・コードを実行する。コンピュータ・プログラム・コードを実行している間に、プロセッサ２０は、メモリ２２、記憶システム３０、Ｉ／Ｏインターフェース２６のうちの少なくとも１つからデータを読み出し、又はそれにデータを書き込み、或いはその読み書きの両方を実行することができる。バス２４は、クライアント１２内のコンポーネント間に通信リンクを提供する。外部装置２８は、ユーザがクライアント１２と対話処理することを可能にする任意の装置（例えば、キーボード、ポインティング・デバイス、ディスプレイなど）、又はクライアント１２がサーバ１６のような１つ以上の他の計算装置と通信することを可能にする任意の装置（例えば、ネットワーク・カード、モデムなど）、或いはその両方を含み得る。
クライアント１２とサーバ１６との通信は、１つ以上のネットワークを介して行われ得る。クライアント１２は、ハードウェアの多数の組み合わせを含み得る種々の可能なコンピュータ・インフラストラクチャを代表しているに過ぎない。例えば、処理ユニット２０は、単一の処理ユニットを含んで良く、或いは、例えばクライアント及びサーバなどの１つ以上の場所に存する１つ以上の処理ユニットに分散されてもよい。同様に、メモリ２２又は記憶システム３０或いはその両方は、１つ以上の物理的場所に存在する種々のタイプのデータ記憶装置又は伝送媒体或いはその両方の任意の組み合わせを含み得る。更に、Ｉ／Ｏインターフェース２６は、１つ以上の外部装置２８と情報を交換するための任意のシステムを含み得る。更に、図１に示されていない１つ以上の追加コンポーネント（例えば、システム・ソフトウェア、数値演算コプロセッサなど）がクライアント１２に含まれ得ることが分かる。更に、もしクライアント１２がハンドヘルド装置等を含むのであれば、１つ以上の外部装置２８（例えば、ディスプレイ）又は記憶システム３０或いはその両方が、図示されているように外部にではなくて、クライアント１２の内部に包含され得ることが分かる。
記憶システム３０は、本発明の下で情報（例えば、環境の詳細な情報、変数など）のための記憶を提供することのできる任意のタイプのシステム（例えば、データベース）であり得る。従って、記憶システム３０は、磁気ディスク・ドライブ又は光ディスク・ドライブのような１つ以上の記憶装置を含むことができる。他の実施態様では、記憶システム３０は、例えばローカル・エリア・ネットワーク（ＬＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）又はストレージ・エリア・ネットワーク（ＳＡＮ）（図示されていない）に分散されたデータを含む。図示されてはいないが、キャッシュ・メモリ、通信システム、システム・ソフトウェアなどのような付加的なコンポーネントがクライアント１２に組み込まれ得る。簡潔を目的として図示はされていないが、サーバ１６がクライアント１２と同様のコンピュータ化されたコンポーネントを含むことも理解されるべきである。
クライアント１２のメモリ２２の中にクライアント・セキュリティ・システム４０が示されており、これは、クライアント１２がネットワーク１４に接続するために必要とされるセキュリティが存在することを保証するためにユーザ１８と、クライアント１２にロードされているソフトウェア・モジュール４８との両方についてクレデンシャル／情報を集める。示されているように、クライアント・セキュリティ・システム４０は、クライアント分析システム４２、クレデンシャル・システム４４及び出力システム４６を含む。以下で更に記述されるように、クライアント・セキュリティ・システム４０は、通例、クライアント１２に提供されるソフトウェア・エージェント等である。しかし、必ずしもそうでなくてもよい。サーバ１６に（例えば、メモリに）認証システム５０がロードされて示されており、これは、ネットワーク１４との接続を確立するための必要条件をクライアント１２に伝達し、またその様な必要条件が満たされるか否かを判定するためにクライアント１２からクレデンシャル情報を受け取る。しかし、図１にクライアント・セキュリティ・システム４０と認証システム５０とが描かれていることは単に実例を示すことを意図しているということ、また、これにより提供される夫々の機能はサブシステムの別の構成によって実現され得ることが分かる。
１つの例において、クライアント１２はラップトップ・コンピュータであり、これでユーザ１８は自分の仕事場コンピュータ・ネットワーク１４に（例えば、サーバ１６を介して）接続しようとしていると仮定する。代表的実施態様では、接続が確立され又は試みられる前にクライアント・セキュリティ・システム４０はクライアントにロードされる。一実施態様では、クライアント・セキュリティ・システム４０は、クライアント・インターフェース・システム５２を介してサーバ１６からクライアント１２に伝達される。しかし、必ずしもそうでなくてもよい。むしろ、クライアント・セキュリティ・システム４０は、サーバ１６との対話処理とは無関係に（例えば、ＣＤ−ＲＯＭのようなコンピュータ可読媒体から）クライアント１２にロードされ得る。いずれにせよ、上記のように、クライアント・セキュリティ・システム４０は、通例、クライアント１２をユーザ・レベル及びソフトウェア・レベルの両方で試験するように構成されたソフトウェア・エージェントを含む。ユーザ１８は、初めに、ユーザ識別子及びパスワードのような１つ以上のユーザ・クレデンシャルを提供する。これらのユーザ・クレデンシャルはクライアント・セキュリティ・システム４０により（例えば、クレデンシャル・システム４４により）受け取られる。
本発明では、クライアント分析システム４２は、所要ソフトウェア・モジュールのリスト６２において特定されている１つ以上のソフトウェア・モジュールがクライアント１２にロードされているか否か判定するためにクライアント１２を分析する。一般に、所要ソフトウェア・モジュールのリスト６２は、ネットワーク１４との接続を確立するために必要とされるソフトウェア・モジュールを含む。その様なソフトウェア・モジュールの例は、特に、特定のオペレーティング・システム、特定のオペレーティング・システム・レベル、特定のアンチウィルス・ソフトウェア、特定のアンチウィルス・ソフトウェア・レベル、特定のアプリケーション、特定のアプリケーション・レベル、特定のセキュリティ・パッチ、特定のセキュリティ・パッチ・レベル、特定のスパイウェア・ソフトウェア、特定のスパイウェア・ソフトウェア・レベル、特定のアドウェア・ソフトウェア及び特定のアドウェア・ソフトウェア・レベルを含む。所要ソフトウェア・モジュールのリスト６２が、通例、クライアント１２に（例えば、クライアント・セキュリティ・システム／エージェント４０に）直接提供されることが理解されるべきである。しかし、それは、代わりに、クライアント１２がアクセスを有する場所（例えば、記憶ユニット３０）に提供されてもよいことが理解されるべきである。
いずれにせよ、クライアント分析システム４２は、どんなソフトウェア・モジュール４８がそれにロードされているか判定するためにクライアント１２に照会をし、或いは、その判定をするためにクライアント１２を自動的に分析することができる。いずれにせよ、ソフトウェア・モジュール４８の判定はかなりの量の時間を消費し得るので、クライアント１２は（認証システム５０の）接続システム５８によりオプションでネットワーク１４との一時的接続を許され得る。この一時的接続は、クライアント１２の分析及び認証が完了しない場合には所定量の時間の後に終了することができる。代表的実施態様では、クライアント分析システム４２は、所要ソフトウェア・モジュールのリスト６２において特定されている、クライアント１２にロードされているソフトウェア・モジュール４８と、クライアント１２にロードされていないものとを特定する。例えば、所要ソフトウェア・モジュールのリスト６２が次のソフトウェア・モジュール、すなわちソフトウェア・パッチ“Ａ”、オペレーティング・システム“Ｘ”、レベル“２．０”及びアンチウィルス・ソフトウェア“Ｚ”、レベル“３．０”、を含むと仮定する。更に、これらのソフトウェア・モジュールのうちの、アンチウィルス・ソフトウェア“Ｚ”、“レベル“３．０”以外のものは、全て、クライアントにロードされていると判定されたと仮定する（例えば、ソフトウェア・モジュール４８として）。この場合、クライアント分析システム４２は、下記の２つのリスト：
Ｉ． ロードされているソフトウェア・モジュール
ソフトウェア・パッチ“Ａ”
オペレーティング・システム“Ｘ”、レベル“２．０”
ＩＩ． 欠けているソフトウェア・モジュール
アンチウィルス・ソフトウェア“Ｚ”、レベル“３．０”
に似ているメタ・データを出力することができる。しかし、もしクライアント１２が３つの所要ソフトウェア・モジュールの全てを実際に含んでいたならば（例えば、実際のプログラム又はその間違ったバージョン）、“欠けているソフトウェア・モジュール”のリストは単に“無し”（又は同様のこと）と述べるか、或いはそれは完全に無くされ得る。
とにかく、クライアント分析システム４２により特定された各ソフトウェア・モジュール４８について、クレデンシャル・システム４４は、メッセージ・ダイジェスト５（ＭＤ５）技術を用いてソフトウェア・クレデンシャルを生成する。公知のように、ＭＤ５は、１つの指紋が特定の個人に特有のものであるのと同じようにその特定のデータに特有であることを要求される１２８ビットのメッセージ・ダイジェストをデータ入力（これはどんな長さのメッセージであってもよい）から生成することを通してデータ完全性を確かめるために使用されるアルゴリズムである。代表的実施態様では、各ソフトウェア・モジュールについてのセキュリティ・クレデンシャルは、少なくともソフトウェア・プログラムとその対応するバージョンとを特定する。
ソフトウェア・クレデンシャルが生成されると、出力システム４６はそれをユーザ・クレデンシャルと共にサーバ１６に送り、ここでそれらはクライアント・インターフェース・システム５２により受け取られる。代表的実施態様では、クライアント１２とサーバ１６とはディフィー・ヘルマンのキー協定プロトコル（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ ｋｅｙ ａｇｒｅｅｍｅｎｔ ｐｒｏｔｏｃｏｌ）（指数キー協定（ｅｘｐｏｎｅｎｔｉａｌ ｋｅｙ ａｇｒｅｅｍｅｎｔ）とも称される）を用いて通信することができ、それはクライアント１２とサーバ１６とが秘密通信に着手することを可能にする（例えば、それは、クライアント１２とサーバ１６とが、事前の機密事項無しで安全でない媒体を介して自分たちの秘密データ・チェックサムを交換することを可能にする）。受信すると、ユーザ・クレデンシャル・システム５４とソフトウェア・クレデンシャル・システム５６とは、その有効性を判定するためにユーザ・クレデンシャル及びソフトウェア・クレデンシャルを認証しようと試みる。ユーザ・クレデンシャルを認証することは、どの様な公知技術を用いても成し遂げられ得る。例えば、スイッチ・レベルの８０２．１ｘポート・ベースの認証が使用され得る。いずれにせよ、ユーザ・クレデンシャル（例えば、ユーザ識別子及びパスワード）は、ユーザ・クレデンシャル・システム５２によって、ディレクトリ６０に格納されているものと比較される。一致が確証されたならば、ユーザ・クレデンシャルは認証されたのであって、有効である。この点で、ディレクトリ６０はライトウェイト・ディレクトリ・アクセス・プロトコル（ＬＤＡＰ）ディレクトリ６０であり得、サーバ１６はＬＤＡＰサーバであり得る。
ソフトウェア・クレデンシャル・システム５６は、ソフトウェア・クレデンシャルにおいて特定されたソフトウェア・モジュール４８の詳細を所要ソフトウェア・モジュールのリスト６２において特定されている必要条件と比較する。上記のように、ソフトウェア・クレデンシャルは、通例、具体的なソフトウェア・プログラムとその対応するバージョンとを特定する。この情報は、リスト６２に含まれている必要条件と比較される。接続システム５８は、ユーザ・クレデンシャルが有効であって、且つ、リスト６２において特定されている各々の所要ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されている場合に限って、望まれている接続を確立する。ユーザ・クレデンシャルが有効でなければ、接続は許可されない。更に、クライアント１２が所要ソフトウェア・モジュール（例えば、実際のプログラム又は間違ったバージョン）を欠いていれば、接続は許可されない。
上記のように、クライアント１２は、本発明のプロセスの結果が出るまで一時的な接続を許可されているかもしれない。もしそのプロセスが成功ならば、接続は最早一時的ではなくなる。しかし、プロセスが不成功ならば、接続は終了させられる。更に、上記のように、試験プロセスが所定量の時間内に完了しなければ、一時的接続は終了させられて、このプロセスはクライアント１２が次にネットワーク１４との接続を得ようとするときに続行される。
ここで図２を参照すると、本発明による方法流れ図１００が示されている。第１ステップＳ１は、ソフトウェア・エージェントをクライアントに提供することである。第２ステップＳ２は、クライアントにおいて１つ以上のユーザ・クレデンシャルを受け取ることである。第３ステップは、所要ソフトウェア・モジュールのリストにおいて特定されている１つ以上のソフトウェア・モジュールがクライアントにインストールされているか否かをソフトウェア・エージェントで判定することである。もし否であれば、ステップＳ４でプロセスは終了する。しかし、１つ以上のその様なモジュールがクライアントにおいて見出されたならば、ステップＳ５で各々についてソフトウェア・クレデンシャルが生成される。その後、ステップＳ６で、ユーザ・クレデンシャルとソフトウェア・クレデンシャルとはサーバに送られる。ステップＳ７で、ユーザ・クレデンシャルが有効であるか否かが判定される。もし否であれば、プロセスは終了する。しかし、ユーザ・クレデンシャルが有効であれば、ステップＳ８で、所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されたか否かが判定される。否であれば、プロセスは終了させられる。しかし、リストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア接続が提供されているならば、ステップＳ９でクライアントはネットワークに接続される。
本発明の教示が加入ベース、広告ベース、無料のうちの少なくとも１つでビジネス方法として提供され得ることが理解されるべきである。例えば、クライアント・セキュリティ・システム４０（図１）、又はクライアント１２、サーバ１６（図１）の少なくとも一方のようなコンピュータ・インフラストラクチャ、或いはその両方は、本書に記載されている機能を顧客に提供するサービス・プロバイダによって、作られ、維持され、サポートされ、且つ展開され得、或いは作られ、維持され、サポートされ又は展開され得る。すなわち、サービス・プロバイダは、図示され且つ上で論じられたようにクライアントをネットワークに提供接続できる。この点で、本発明は、コンピュータ・インフラストラクチャを提供することと、本発明を実行するように動作できるアプリケーションをそのコンピュータ・インフラストラクチャに展開することとを含み得る。
本発明がハードウェア、ソフトウェア、伝播する信号、又はこれらの任意の組み合わせで実現され得ることが分かる。任意の種類のコンピュータ／サーバ・システム、又は本書に記載された方法を実行するようになされている他の装置が適している。ハードウェアとソフトウェアとの代表的な組み合わせは、ロードされて実行されたときに本書に記載された夫々の方法を成し遂げるコンピュータ・プログラムを有する汎用コンピュータ・システムであり得る。或いは、本発明の機能タスクのうちの１つ以上を成し遂げるための専用ハードウェアを含む特定用途コンピュータを利用することができる。
本発明は、コンピュータ可読媒体に格納されるコンピュータ・プログラム製品に埋め込まれ、且つ、或いはその代わりに、２つ以上のシステム間で伝達される伝播する信号として具体化されても良く、それは、本書に記載されている方法の実行を可能にする全ての特徴を含み、また、それは、コンピュータ・システムにロードされ／計算インフラストラクチャに展開されたとき、これらの方法を成し遂げることができる。コンピュータ・プログラム製品、アプリケーション、ソフトウェア・プログラム、プログラム、及びソフトウェアは、この文脈においては同義であって、情報処理能力を有するシステムに特定の機能を直ちに、又は（ａ）他の言語、コード又は記法への変換及び（ｂ）別の材料形での再生産のいずれか又は両方の後に、実行させるように意図された命令のセットの、任意の言語、コード又は記法での任意の表現を意味する。
本発明の種々の側面についての以上の記述は、説明及び記述を目的として提示されている。網羅的であることや、或いは開示された形そのものに発明を限定することは意図されておらず、明らかに多くの改変形及び変化形が可能である。その様な、当業者にとって明白であり得る改変形及び変化形は、付随する請求項により定義される発明の範囲内に含まれるように意図されている。
本発明に従ってクライアントをネットワークに接続するためのシステムを示す。 本発明の方法流れ図を示す。

Claims (15)

  1. クライアントをネットワークに接続する方法であって、この方法は、
    前記クライアントにおいて１つ以上のユーザ・クレデンシャルを受け取るステップと、
    所要ソフトウェア・モジュールのリストにおいて特定されている１つ以上のソフトウェア・モジュールが前記クライアントにインストールされているか否かをソフトウェア・エージェントで判定するステップと、
    前記クライアントにインストールされていると判定された前記１つ以上のソフトウェア・モジュールの各々についてソフトウェア・クレデンシャルを生成するステップと、
    前記１つ以上のユーザ・クレデンシャルと前記１つ以上のソフトウェア・クレデンシャルとをサーバに送るステップと、
    もし前記１つ以上のユーザ・クレデンシャルが有効であって、前記所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されるならば前記クライアントを前記ネットワークに接続するステップと、を含むことを特徴とする方法。
  2. 前記ソフトウェア・エージェントを前記クライアントに提供するステップを更に含むことを特徴とする請求項１に記載の方法。
  3. 前記所要ソフトウェア・モジュールのリスト中の、前記クライアントに存在しないソフトウェア・モジュールを前記ソフトウェア・エージェントで特定するステップを更に含むことを特徴とする請求項１又は請求項２に記載の方法。
  4. 前記所要ソフトウェア・モジュールのリストは、特定のオペレーティング・システム、特定のオペレーティング・システム・レベル、特定のアンチウィルス・ソフトウェア、特定のアンチウィルス・ソフトウェア・レベル、特定のアプリケーション、特定のアプリケーション・レベル、特定のセキュリティ・パッチ、特定のセキュリティ・パッチ・レベル、特定のスパイウェア・ソフトウェア、特定のスパイウェア・ソフトウェア・レベル、特定のアドウェア・ソフトウェア及び特定のアドウェア・ソフトウェア・レベルから成るグループから選択された少なくとも１つの所要ソフトウェア・モジュールを含むことを特徴とする、上記請求項のいずれかに記載の方法。
  5. 前記所要ソフトウェア・モジュールのリストは前記サーバに格納されて、前記エージェントによりアクセスされ得ることを特徴とする、上記請求項のいずれかに記載の方法。
  6. 前記接続ステップの前に、その有効性を判定するために前記１つ以上のユーザ・クレデンシャル及び前記１つ以上のソフトウェア・クレデンシャルを前記サーバにおいて認証するステップを更に含むことを特徴とする、上記請求項のいずれかに記載の方法。
  7. クライアントをネットワークに接続するためのシステムであって、このシステムは、
    前記クライアントにおいて１つ以上のユーザ・クレデンシャルを受け取るためのシステムと、
    所要ソフトウェア・モジュールのリストにおいて特定されている１つ以上のソフトウェア・モジュールが前記クライアントにインストールされているか否かを判定するためのシステムと、
    前記クライアントにインストールされていると判定された前記１つ以上のソフトウェア・モジュールの各々についてソフトウェア・クレデンシャルを生成するためのシステムと、
    前記１つ以上のユーザ・クレデンシャルと前記１つ以上のソフトウェア・クレデンシャルとをサーバに送るためのシステムと、を含んでおり、もし前記１つ以上のユーザ・クレデンシャルが有効であって、前記所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されるならば前記クライアントは前記ネットワークに接続されることを特徴とするシステム。
  8. 前記システムはソフトウェア・エージェントを含むことを特徴とする請求項７に記載のシステム。
  9. 前記ソフトウェア・エージェントは前記クライアントにロードされることを特徴とする請求項７又は請求項８に記載のシステム。
  10. 前記所要ソフトウェア・モジュールのリスト中の、前記クライアントに存在しないソフトウェア・モジュールを特定するためのシステムを更に含むことを特徴とする請求項７から９までのうちのいずれかに記載のシステム。
  11. 前記所要ソフトウェア・モジュールのリストは、特定のオペレーティング・システム、特定のオペレーティング・システム・レベル、特定のアンチウィルス・ソフトウェア、特定のアンチウィルス・ソフトウェア・レベル、特定のアプリケーション、特定のアプリケーション・レベル、特定のセキュリティ・パッチ、特定のセキュリティ・パッチ・レベル、特定のスパイウェア・ソフトウェア、特定のスパイウェア・ソフトウェア・レベル、特定のアドウェア・ソフトウェア及び特定のアドウェア・ソフトウェア・レベルから成るグループから選択された少なくとも１つの所要ソフトウェア・モジュールを含むことを特徴とする請求項７から１０までのうちのいずれかに記載のシステム。
  12. 前記所要ソフトウェア・モジュールのリストは前記サーバに格納されて、前記クライアントによりアクセスされ得ることを特徴とする請求項７から１１までのうちのいずれかに記載のシステム。
  13. 前記１つ以上のユーザ・クレデンシャルを認証するためのシステムと、
    前記１つ以上のソフトウェア・クレデンシャルを認証するためのシステムと、
    を更に含むことを特徴とする請求項７から１２までのうちのいずれかに記載のシステム。
  14. クライアントをネットワークに接続するためのアプリケーションを展開する方法であって、この方法は、
    ユーザ・クレデンシャルと、前記クライアントにロードされていると判定された１つ以上のソフトウェア・モジュールの各々についてのセキュリティ・クレデンシャルとを受け取るステップと、
    その有効性を判定するために前記ユーザ・クレデンシャルと前記１つ以上のセキュリティ・クレデンシャルとを認証するステップと、
    前記ユーザ・クレデンシャルが有効であって、且つ、所要ソフトウェア・モジュールのリストにおいて特定されている各ソフトウェア・モジュールについて有効なソフトウェア・クレデンシャルが提供されているならば、前記ネットワークへの接続を許可するように動作することのできるコンピュータ・インフラストラクチャを設けるステップと、を含むことを特徴とする方法。
  15. コンピュータ上で動作したときに請求項１から６までのうちのいずれかの全てのステップを実行するようになされているプログラム・コード手段を含むコンピュータ・プログラム。
JP2008508185A 2005-04-28 2006-03-30 クライアントをネットワークに接続する方法、システム、及びプログラム製品 Pending JP2008539482A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/119,436 US20060248578A1 (en) 2005-04-28 2005-04-28 Method, system, and program product for connecting a client to a network
PCT/EP2006/061172 WO2006114361A1 (en) 2005-04-28 2006-03-30 Method, system, and program product for connecting a client to a network

Publications (2)

Publication Number Publication Date
JP2008539482A true JP2008539482A (ja) 2008-11-13
JP2008539482A5 JP2008539482A5 (ja) 2010-04-22

Family

ID=36607495

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008508185A Pending JP2008539482A (ja) 2005-04-28 2006-03-30 クライアントをネットワークに接続する方法、システム、及びプログラム製品

Country Status (10)

Country Link
US (1) US20060248578A1 (ja)
EP (1) EP1875712A1 (ja)
JP (1) JP2008539482A (ja)
CN (1) CN101129043A (ja)
AU (1) AU2006239379A1 (ja)
BR (1) BRPI0610974B1 (ja)
CA (1) CA2604579A1 (ja)
MX (1) MX2007013310A (ja)
TW (1) TW200705207A (ja)
WO (1) WO2006114361A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018121327A (ja) * 2017-01-25 2018-08-02 建綱 楊 アクセス制御機能を有するモバイルデータ記憶デバイス

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2407904B1 (en) * 2010-07-13 2017-11-22 BlackBerry Limited Method for authenticating device capabilities to a verified third party
US8397274B2 (en) 2010-07-13 2013-03-12 Research In Motion Limited Method for authenticating device capabilities to a verified third party
GB2487533A (en) * 2011-01-21 2012-08-01 Lionel Wolovitz Access control with application specific rules and access requests including application identifiers
WO2013044387A1 (en) * 2011-09-30 2013-04-04 Sierra Wireless, Inc. Dynamic assignment of cell broadcast message identifiers
US9380430B2 (en) 2012-06-14 2016-06-28 Sierra Wireless, Inc. Method and system for wireless communication with machine-to-machine devices
US9445302B2 (en) 2012-06-14 2016-09-13 Sierra Wireless, Inc. Method and system for wireless communication with machine-to-machine devices
US8924443B2 (en) * 2012-10-05 2014-12-30 Gary Robin Maze Document management systems and methods

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030055994A1 (en) * 2001-07-06 2003-03-20 Zone Labs, Inc. System and methods providing anti-virus cooperative enforcement

Family Cites Families (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB8827967D0 (en) * 1988-11-30 1989-01-05 Ward I M Die-free drawing
US5258802A (en) * 1989-04-30 1993-11-02 Minolta Camera Kabushiki Kaisha Camera system which compensates for defocusing during operation
JP3187114B2 (ja) * 1992-01-30 2001-07-11 旭光学工業株式会社 パワーフォーカスリミッター
US5999711A (en) * 1994-07-18 1999-12-07 Microsoft Corporation Method and system for providing certificates holding authentication and authorization information for users/machines
US5987611A (en) * 1996-12-31 1999-11-16 Zone Labs, Inc. System and methodology for managing internet access on a per application basis for client computers connected to the internet
US6216112B1 (en) * 1998-05-27 2001-04-10 William H. Fuller Method for software distribution and compensation with replenishable advertisements
US6279001B1 (en) * 1998-05-29 2001-08-21 Webspective Software, Inc. Web service
US6418472B1 (en) * 1999-01-19 2002-07-09 Intel Corporation System and method for using internet based caller ID for controlling access to an object stored in a computer
US7225244B2 (en) * 2000-05-20 2007-05-29 Ciena Corporation Common command interface
US7210167B2 (en) * 2001-01-08 2007-04-24 Microsoft Corporation Credential management
GB2372413A (en) * 2001-02-20 2002-08-21 Hewlett Packard Co Digital credential exchange
US20030051164A1 (en) * 2001-05-18 2003-03-13 Patton Patricia Carol System and method for authentication of network users with preprocessing generating a verified personal profile for use on a publicly accessed global networked computer system and a system and method for producing the exchange of such secure identification
US20040107360A1 (en) * 2002-12-02 2004-06-03 Zone Labs, Inc. System and Methodology for Policy Enforcement
US7134140B2 (en) * 2001-09-27 2006-11-07 Mcafee, Inc. Token-based authentication for network connection
US7237258B1 (en) * 2002-02-08 2007-06-26 Mcafee, Inc. System, method and computer program product for a firewall summary interface
US20030177364A1 (en) * 2002-03-15 2003-09-18 Walsh Robert E. Method for authenticating users
US7340770B2 (en) * 2002-05-15 2008-03-04 Check Point Software Technologies, Inc. System and methodology for providing community-based security policies
US20040083296A1 (en) * 2002-10-25 2004-04-29 Metral Max E. Apparatus and method for controlling user access
US7210034B2 (en) * 2003-01-30 2007-04-24 Intel Corporation Distributed control of integrity measurement using a trusted fixed token
GB2405232B (en) * 2003-08-21 2007-01-03 Hewlett Packard Development Co A method of and apparatus for controlling access to data
US20050050184A1 (en) * 2003-08-29 2005-03-03 International Business Machines Corporation Method, system, and storage medium for providing life-cycle management of grid services
US7581111B2 (en) * 2004-02-17 2009-08-25 Hewlett-Packard Development Company, L.P. System, method and apparatus for transparently granting access to a selected device using an automatically generated credential
US7783800B2 (en) * 2004-04-15 2010-08-24 Clearpath Networks, Inc. Systems and methods for managing a network
US7721328B2 (en) * 2004-10-01 2010-05-18 Salesforce.Com Inc. Application identity design
US20060130144A1 (en) * 2004-12-14 2006-06-15 Delta Insights, Llc Protecting computing systems from unauthorized programs
US8024488B2 (en) * 2005-03-02 2011-09-20 Cisco Technology, Inc. Methods and apparatus to validate configuration of computerized devices
US7900253B2 (en) * 2005-03-08 2011-03-01 Xceedid Corporation Systems and methods for authorization credential emulation

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030055994A1 (en) * 2001-07-06 2003-03-20 Zone Labs, Inc. System and methods providing anti-virus cooperative enforcement

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018121327A (ja) * 2017-01-25 2018-08-02 建綱 楊 アクセス制御機能を有するモバイルデータ記憶デバイス
US10425821B2 (en) 2017-01-25 2019-09-24 Chien-Kang Yang Mobile data storage device with access control functionality

Also Published As

Publication number Publication date
CN101129043A (zh) 2008-02-20
BRPI0610974B1 (pt) 2019-09-17
EP1875712A1 (en) 2008-01-09
TW200705207A (en) 2007-02-01
US20060248578A1 (en) 2006-11-02
CA2604579A1 (en) 2006-11-02
BRPI0610974A2 (pt) 2010-08-03
WO2006114361A1 (en) 2006-11-02
MX2007013310A (es) 2007-12-13
AU2006239379A1 (en) 2006-11-02

Similar Documents

Publication Publication Date Title
KR100962876B1 (ko) 그리드 작업의 오프로딩 인증 방법, 그리드 작업의 오프로딩 인증 장치 및 컴퓨터 판독가능한 저장 매체
JP5802337B2 (ja) アウトオブバンドリモート認証
US8984593B2 (en) Securing asynchronous client server transactions
EP2196933B1 (en) Server-to-server integrity checking
US7836121B2 (en) Dynamic executable
CN101227468B (zh) 用于认证用户到网络的方法、设备和系统
US20070101401A1 (en) Method and apparatus for super secure network authentication
KR20040049272A (ko) 네트워크 위치의 하위 위치에 대한 사용자의 인증을 위한방법 및 시스템
KR20100029098A (ko) 비보안 네트워크들을 통한 장치 프로비저닝 및 도메인 조인 에뮬레이션
JP2017228264A (ja) 安全なオンライン認証のためのシステム及び方法
JP2008539482A (ja) クライアントをネットワークに接続する方法、システム、及びプログラム製品
US10812272B1 (en) Identifying computing processes on automation servers
JP3833652B2 (ja) ネットワークシステム、サーバ装置、および認証方法
US20040177249A1 (en) Method and apparatus for authorizing execution for applications in a data processing system
US11954234B2 (en) System and method for protecting browser data
JP7513584B2 (ja) 方法、コンピュータプログラム製品、およびシステム（共有認証クレデンシャルの管理）
Marchesini Shemp: Secure hardware enhanced myproxy
Cheng et al. Per-user network access control kernel module with secure multifactor authentication
KR20090106368A (ko) 네트워크 위치의 하위 위치에 대한 사용자의 인증을 위한 방법 및 시스템

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20081225

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20090123

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20100224

A871 Explanation of circumstances concerning accelerated examination

Free format text: JAPANESE INTERMEDIATE CODE: A871

Effective date: 20100224

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20100302

A975 Report on accelerated examination

Free format text: JAPANESE INTERMEDIATE CODE: A971005

Effective date: 20100317

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20100323

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20100610

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20100617

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20101005