JP2009239919A - トランスコーディング・プロキシでの複数の起点サーバへの動的接続 - Google Patents

トランスコーディング・プロキシでの複数の起点サーバへの動的接続 Download PDF

Info

Publication number
JP2009239919A
JP2009239919A JP2009113926A JP2009113926A JP2009239919A JP 2009239919 A JP2009239919 A JP 2009239919A JP 2009113926 A JP2009113926 A JP 2009113926A JP 2009113926 A JP2009113926 A JP 2009113926A JP 2009239919 A JP2009239919 A JP 2009239919A
Authority
JP
Japan
Prior art keywords
proxy
client
computer
session
secure
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2009113926A
Other languages
English (en)
Other versions
JP4959750B2 (ja
Inventor
Thomas Alexander Bellwood
ベルウッド、トーマス、アレクサンダー
Christian Lita
リタ、クリスチャン
Matthew Francis Rutkowski
ルツコスキー、マシュー、フランシス
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of JP2009239919A publication Critical patent/JP2009239919A/ja
Application granted granted Critical
Publication of JP4959750B2 publication Critical patent/JP4959750B2/ja
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0464—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload using hop-by-hop encryption, i.e. wherein an intermediate entity decrypts the information and re-encrypts it before forwarding it
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/102—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying security measure for e-commerce

Abstract

【課題】
プロキシがクライアントとサーバとの間のセキュア通信に参加できるようにする。
【解決手段】
前記クライアントに、前記プロキシへ第１セキュア接続を要求させるステップと、前記プロキシから受信する証明書の有効性を認証した時に、前記クライアントに、前記プロキシへ第２セキュア接続を要求させるステップであって、前記第２セキュア接続が、前記サーバへのコンジットとして働くように前記プロキシに要求し、前記クライアントおよび前記サーバに、前記コンジットを介して各々のセッション・マスタ・シークレットをネゴシエーションさせるステップと、前記ネゴシエーションの完了時に、前記クライアントに、前記第１セキ ュア接続を使用して前記プロキシに前記シークレットを配送させるステップと、前記プロキシに、前記セキュア通信への参加に有用な所与の暗号情報を生成するために前記シークレットを使用させるステップとを実行させる。
【選択図】 図４

Description

本発明は、全般的にはネットワーク・セキュリティ・プロトコルに関し、具体的には、クライアントと１つまたは複数の起点サーバの間のセキュア・セッションのプライバシを仲介物（たとえばトランスコーディング・プロキシ）に拡張する方法に関する。
Netscape社のSecure Sockets Layerプロトコル（ＳＳＬ）およびInternet EngineeringTask Force（ＩＥＴＦ）Transport LayerSecurityプロトコル（ＴＬＳ）などのネットワーク・セキュリティ・プロトコルが、通信アプリケーション間のプライバシおよびデータ保全性を提供する。たとえば、これらのプロトコルは、インターネットを介する電子商取引トランザクションの保護に一般に使用されている。
最近、コンピュータ産業が、通常は従来のコンピュータとみなされるはずのもの以外の装置にコンピュータ処理機能および通信機能を追加しようとしてきた。そのような装置は、非常にさまざまであり、たとえば、携帯情報端末（ＰＤＡ）、ビジネス・オーガナイザ（たとえばＩＢＭ（登録商標）WorkPad（登録商標）および３Ｃｏｍ（登録商標）PalmPilot（登録商標））、スマートホン、セル電話、他のハンドヘルド・デバイス、および類似物が含まれる。便宜上、これらの装置を、１つの種類として、「パーベイシブ・コンピューティング」クライアントと称する場合がある。というのは、これらが、コンピュータ・ネットワークのサーバに接続され、その位置に関わりなくコンピューティングの目的に使用されるように設計されるからである。
しかし、パーベイシブ・コンピューティング・クライアントは、通常は、ＨＴＭＬウィンドウズ（登録商標）ベース・クライアントのすべての機能セットをサポートしない。その結果、トランスコーディング・サービスが、通常は、バーベイシブ・クライアントでレンダリングされる情報を、あるソース・マークアップ言語（たとえばＨＴＭＬ）から別の言語（たとえばＨＤＭＬまたはハンドヘルド・デバイス・マークアップ言語）に変換する必要がある。しかし、セキュア・ネットワーク接続を介するトランスコーディング・サービスの提供は、問題がある。具体的に言うと、ＳＳＬおよびＴＬＳなどの従来のセキュリティ・プロトコルが、まさにクライアントとサーバの間の通信に第三者が介入することを防止するために設計されているので、セキュリティとトランスコーディング・サービスの間に根本的な衝突がある。
セキュア・セッションで第三者の介入を制限することは、他のアプリケーションでも問題がある。たとえば、クライアントがファイヤウォールの背後に配置される場合に、外部ネットワークのサーバへのＳＳＬ／ＴＬＳ通信を、簡単に監査または他の形で監視することができない。したがって、データ・レコードまたは他の機密情報が、おそらくは管理許可なしでクライアントから送信される可能性がある。もう１つの例として、セキュア接続を介してサーバと通信するクライアントは、そうでなければネットワーク・リソースの需要を減らし、装置間の通信を機能強化するのに役立つはずの、第三者のキャッシング機構または事前取出し機構を利用することができない。
プロキシがネットワーク・プロトコルのセキュリティを減殺せずに所与の機能（たとえばトランスコーディング、監査、監視、キャッシング、事前取出し、クライアントの代わりの暗号化／暗号化解除など）を実行できるようにするために、クライアントがプロキシに十分なセキュリティ情報を委任できるようにする機構を提供することが望ましい。さらに、そのようなプロキシが、クライアントの代わりに要求をサービスする処理中に、別の起点サーバからのデータを保護できるようにすることも望ましい。
起点サーバと通信するのにネットワーク・セキュリティ・プロトコル（たとえばＳＳＬまたはＴＬＳ）を使用しているクライアントが、セッションのセキュリティ属性を変更せずに、プロキシがセッションに参加することを可能にする。本発明によれば、クライアントが、起点サーバとネゴシエーションされたセッション・マスタ・シークレットをとり、そのシークレットをプロキシにセキュアに配送できるようにするプロトコルが提供される。プロキシは、そのマスタ・シークレットを使用して、クライアントとサーバの間で渡されるデータの暗号化／暗号化解除を行う。プロキシが、所与のクライアント要求をサービスしている間に第２の起点サーバからの追加のセキュア・データを必要とする場合には、プロキシは、クライアントに、もう１つのセッション・マスタ・シークレット（第２の起点サーバとネゴシエーションされた）を得るためにそのプロトコルを繰り返すように求め、このシークレットが、その後、第２の起点サーバからデータを得る際に使用するためにプロキシに配送される。
本発明によれば、所与の第三者の仲介物またはプロキシが、クライアントと１つまたは複数の起点サーバとの間のセキュア・セッションに参加できるようになる。第三者が、所与の起点サーバの明示された知識なしで参加することが好ましい。その結果、この方法は、起点サーバに対する変更も、セッション・シークレットをネゴシエーションする際に使用されるハンドシェーク・プロトコルに対する変更も必要としない。
本発明によれば、ネットワーク・セキュリティ・プロトコルに従って通信が受け渡される間にセキュリティ・サービスおよび他のサービス（たとえば、トランスコーディング、キャッシング、監視、クライアントの代わりの暗号化／暗号化解除、および類似物）が共存できるようになる。
具体的に言うと、本発明によれば、パーベイシブ・コンピューティング・クライアントがセキュア・リンクを介して１つまたは複数の起点サーバと通信する間に、プロキシがトランスコーディング・サービスを提供できるようになる。
本発明によれば、プロキシが、ネットワーク・セキュリティ・プロトコルを使用して１つまたは複数のサーバと通信するクライアントの代わりに、キャッシングまたは他の管理サービスを実行できるようにもなる。
本発明によれば、プロキシが、ネットワーク・サーバ・プロトコルを使用して１つまたは複数の起点サーバと通信するクライアントの代わりに、暗号化／暗号化解除を実行できるようになる。
好ましい実施形態では、プロキシが、クライアントと第１サーバの間のセキュア通信に参加する。この方法は、クライアントとプロキシの間で第１セキュア・セッションを確立することによって開始される。第１セキュア・セッションを検証した後に、この方法は、クライアントとプロキシの間の第２セキュア・セッションを確立することによって継続される。第２セキュア・セッションでは、クライアントが、第１サーバへのコンジットとして働くようにプロキシに要求する。その後、クライアントと第１サーバが、第１セッション・マスタ・シークレットをネゴシエーションする。第１セキュア・セッションを使用して、この第１セッション・マスタ・シークレットが、クライアントによってプロキシに提供されて、プロキシが、クライアントと第１サーバの間のセキュア通信に参加できるようになる。第１セッション・マスタ・シークレットを受信した後に、プロキシは、クライアントの代わりに、サーバの知識または参加なしで、所与のサービス（たとえばトランスコーディング、監視、暗号化／暗号化解除、キャッシング、および類似物）を提供できるようになるための暗号情報を生成する。第１セキュア・セッションは、そのような通信中に、クライアントとプロキシの間で維持される。
本発明の特徴によれば、プロキシが、所与のクライアント要求を処理するために第２サーバからのデータを必要とする場合に、上で述べたプロトコルが繰り返される。具体的に言うと、プロキシが、やはりプロキシを介してトンネリングすることによって第２サーバとの別の接続を確立する要求をクライアントに発行する。上で述べたように、このプロトコルによって、クライアントが、第２サーバとの第２セッション・マスタ・シークレットを確立できるようになり、そのシークレットが、前に説明した形でプロキシと共用される。プロキシは、この第２シークレットを使用して第２サーバからセキュア・データを得ることによって、そのサービス動作（たとえばトランスコーディング）を継続する。
したがって、基本的なトンネリング・プロトコルが、クライアントと所与の起点サーバの間で確立された後に、クライアントがこのプロトコルを必要に応じて繰り返して、プロキシが、所与の起点サーバに対する所与のクライアント要求をサービスしながら、「ｎ」個までの追加の起点サーバからセキュア・データを得ることができる。
これから、本発明を、図面を参照して、例としてのみ説明する。
ネットワーク・セキュリティ・プロトコルを使用する既知のクライアント／サーバ・ネットワーキング環境の簡略化された図である。 第三者の仲介物またはプロキシがセキュア・セッションに参加する、クライアント／サーバ・ネットワーキング環境の簡略化された図である。 基本トンネリング方法の詳細な流れ図の前半である。 基本トンネリング方法の詳細な流れ図の後半である。 クライアントがまずプロキシにセキュリティを委任した後に、プロキシが、プロキシを介して「ｎ」個の追加の起点サーバへトンネリングすることによって、１つまたは複数の追加のセキュア接続を確立することをクライアントに要求する、本発明の簡略化されたブロック図である。 本発明を実施することができる、パーベイシブ・コンピューティング・クライアント／サーバ・アーキテクチャのブロック図である。
図１に、従来技術の通常のクライアント／サーバ・ネットワーク・アーキテクチャを示す。この図では、クライアント１０が、ネットワーク１４を介してサーバ１２と通信し、このネットワーク１４は、インターネット、イントラネット、広域ネットワーク、ローカル・エリア・ネットワーク、または類似物とすることができる。クライアント１０およびサーバ１２は、Netscape社のSecure Socket Layer（ＳＳＬ）プロトコルまたはＩＥＴＦのTransport LayerSecurity（ＴＬＳ）プロトコルなどのネットワーク・セキュリティ・プロトコルを使用して通信する。一般化すると、クライアントは、サーバへのＴＬＳ接続またはＳＳＬ接続を開始するアプリケーション実体である。サーバは、応答を送り返すことによって要求にサービスするための接続を受け入れるアプリケーション実体またはプログラムである。所与のどのプログラムでも、クライアントとサーバの両方になることができる。サーバとクライアントの間の主な動作の差は、サーバが、一般に認証され、クライアントが、任意選択としてのみ認証されることである。所与のリソースが存在するか作成されるサーバを、本明細書では、時々、起点サーバと称する。
クライアント１０およびサーバ１２は、セキュア・セッションに参加する。ＳＳＬセッションまたはＴＬＳセッションは、ハンドシェーク・プロトコルによって作成される、クライアントとサーバの間の関連である。セッションによって、複数の接続にまたがって共用することができる暗号セキュリティ・パラメータの組が定義される。これらは、接続ごとの新しいセキュリティ・パラメータの高価なネゴシエーションを防ぐのに使用される。ＳＳＬまたはＴＬＳでは、セッション識別子が、特定のセッションを識別する、サーバによって生成される値である。ＳＳＬセッションまたはＴＬＳセッションを確立するために、クライアントとサーバが、ハンドシェークを実行するが、このハンドシェークは、実体の間のトランザクションのパラメータを確立する初期ネゴシエーションである。セッションが作成された後に、クライアントとサーバの間の通信が、接続を介して行われ、この接続は、適当なタイプのサービスを提供するトランスポート（ＯＳＩ階層化モデル定義での）である。ＳＳＬおよびＴＬＳの場合、そのような接続は、対等関係である。接続は、一時的であり、すべての接続が、１つのセッションに関連する。通常、接続を介する通信は、公開鍵暗号を使用して保護され、公開鍵暗号は、２つの鍵の暗号を使用する暗号技法の種類である。公開鍵を用いて暗号化されたメッセージは、関連する秘密鍵を用いなければ暗号化解除できない。逆に、秘密鍵を用いて署名されたメッセージを、公開鍵を用いて検証することができる。
セッションが確立された後に、クライアントは、証明書を有し、この証明書は、起点サーバに対してクライアントを認証するために、起点サーバによって発行されたものである。クライアントは、起点サーバを有効として認証できるようにするために、起点サーバに証明書を提示することも要求する。認証とは、ある実体が別の実体の識別を判定する能力である。通常、Ｘ．５０９プロトコル（別名ＩＳＯ認証フレームワーク）の一部として、証明書は、信頼される認証局によって割り当てられ、当事者の識別（または他の属性）とその公開鍵の間の強い束縛を提供する。
上で説明した機能性は、従来技術で既知である。この機能性は、たとえば、ＩＥＴＦＴＬＳ Version1.0およびＳＳＬ Version 2.0/3.0に準拠するプロトコルで実施される。これらのプロトコルは、非常に類似しているが、レコード・プロトコルおよびハンドシェーク・プロトコルという２つの層からなる。後で説明するように、本発明は、セッションのプライバシを第三者の仲介物またはプロキシに拡張するためにこれらのタイプのセキュリティ・プロトコルを拡張する方法を利用する。本発明は、後で説明するように、セキュア・セッションの上位に階層化される、クライアントとプロキシの間のハンドシェーク・プロトコルと共に実施されることが好ましい。この拡張では、レコード・プロトコル層でのセキュア接続の基本特性が変更されない。この技法を、ＴＬＳおよびＳＳＬに関して説明するが、これは、本発明の制限ではない。
図２を参照すると、基本的な方法によって、１つまたは複数の起点サーバ１２’ａ〜ｎと通信するのにセキュリティ・プロトコルとしてＳＳＬまたはＴＬＳを使用しているクライアント１０’が、セッションのセキュリティ属性を変更せずに、プロキシ１５がセッションに参加することを可能にすることができるようになる。上で注記したように、この方法は、暗号強度または、クライアント１０’および所与の起点サーバ１２’が互いを認証するのに使用されるステップからの独立である。本発明は、プロトコルを拡張しながら、上位レベル・プロトコルをその上に階層化することができるという点で、ＴＬＳ／ＳＳＬと同一の長所を有する。そのような上位レベル・プロトコルには、たとえば、通常はトランスポート（たとえばＴＣＰ／ＩＰ）層の真上の層であるアプリケーション・プロトコル
（たとえばＨＴＴＰ、ＴＥＬＮＥＴ、ＦＴＰ、およびＳＭＴＰ）が含まれる。
図３および図４は、本発明に有用なセキュリティ委任プロトコルの動作を示す流れ図である。このプロトコルによれば、クライアント１０’は、所与の起点サーバとの接続の確立を望むたびに、２つの別個のセッションをセット・アップする。第１セキュア・セッションは、クライアント１０’とプロキシ１５の間でセット・アップされ、このセッションは、クライアントとプロキシの間でシークレット情報を渡すためのパイプまたはコンジットとして使用される。第１セキュア・セッションは、この流れ図の最初の２列によって表される。さらに、クライアント１０は、この流れ図の最後の３列によって表される、プロキシとの第２セキュア・セッションもセット・アップするが、このセッションでは、プロキシ１５が、起点サーバ１２’へのトンネリングに使用される。トンネルとは、２つの接続の間のブラインド・リレーとして働く仲介プログラムである。活動状態になった後に、トンネルは、所与の通信（たとえば、ＨＴＴＰ要求またはＨＴＴＰ応答）の当事者とは見なされないが、トンネルが、その通信によって開始された可能性がある。
この例示的な例では、クライアントが、起点サーバ（時々第１サーバと称する）にアクセスして、所与のコンテンツを取り出すことを望むが、プロキシを使用して、これらのコンテンツを正しく表示することを望むと仮定する。要求のサービスで、１つまたは複数の追加の起点サーバから所与のオブジェクトを取り出すことが必要になる場合もある。上で注記したように、ＳＳＬ／ＴＬＳプロトコルに従って、クライアントは、起点サーバに対してそのクライアントを認証するために起点サーバによって発行された証明書を有し、クライアントは、起点サーバを有効として認証できるようにするために、起点サーバに証明書を提示することも要求する。後で説明するように、クライアントは、クライアントがセッション・マスタ・シークレットを（プロキシに）明かす前に、プロキシが証明書をクライアントに認証させることも要求する。
このルーチンは、ステップ２０で、クライアントがプロキシとのセキュア・セッションを要求することによって開始される。これは、上で識別された第１セキュア・セッションである。流れ図からわかるように、クライアントは、そのセキュリティ属性を委任しようとしているので、プロキシに証明書を要求しなければならない。これは、クライアントが、起点サーバのネゴシエーションされたシークレットを、内部セッション識別子と共に（プロキシに）送信する主セッションである。通常、この識別子は、ＳＳＬ／ＴＬＳセッション識別子と同一ではない。これについては、後のステップで詳細に説明する。
ステップ２２で、クライアントは、プロキシから受信した証明書の有効性を認証し、その結果、プロキシとのセキュア・セッションを有することに満足する。このルーチンは、ステップ２４で継続されて、クライアントが、プロキシへの第２接続をオープンする。これは、上で説明した第２セキュア・セッションである。前に注記したように、クライアントは、所与の起点サーバへのトンネリングを要求する（たとえば、要求に関してＨＴＴＰＣＯＮＮＥＣＴメソッドを使用する）。プロキシを介するトンネル要求の一部として、クライアントは、内部セッション識別子を生成しなければならないことをプロキシに通知するヘッダをＨＴＴＰ要求に追加する。このヘッダは、クライアントが、将来にプロキシにマスタ・シークレットを転送する意図を有することを暗示する。
ステップ２６で、プロキシが、一意の内部セッション識別子を生成し、この情報をクライアントに返す。内部セッション識別子の値が、セキュアＨＴＴＰ応答に付加される。これは、クライアントが、セッション・マスタ・シークレットをプロキシに転送する時に使用する値である。ステップ２８で、プロキシが、起点サーバとの接続を確立し、クライアントと起点サーバの間でデータが流れることを可能にする。この時点で、プロキシは、トンネルのように振る舞う。プロキシは、後で説明するように、クライアントがセッション・マスタ・シークレットを転送するまでは、「アクティブ・プロキシ」にならない。ステップ３０で、クライアントが、起点サーバとのハンドシェークを実行して、セッション・マスタ・シークレットをネゴシエーションする。
このルーチンは、ステップ３２で継続される。この時点で、クライアントが、内部セッション識別子をセッション・マスタ・シークレットと共に（プロキシに）送信する。この情報は、図示のように主セッションで送信される。ステップ３４で、プロキシが、内部セッション識別子およびセッション・マスタ・シークレットを受信する。プロキシは、この情報を使用して、起点サーバ応答を暗号化解除するのに使用される必要な暗号情報を作り、サービスされるコンテンツを修正し、データを暗号化し、その後に、クライアントにデータを送信する。その後、プロキシは、起点サーバとの現在の接続に関して「アクティブ・プロキシ」に切り替わる。
ステップ３６で、クライアントが、起点サーバ上のリソースに関するセキュアＨＴＴＰ要求を送信する。任意選択として、ステップ３８で、プロキシが、要求を暗号化解除し、必要に応じて修正し、新しい要求を暗号化し、それを起点サーバに送信することができる。ステップ４０で、起点サーバが、要求を満足し、応答データをプロキシに送り返す。起点サーバが、プロキシの能動的な参加を意識すらしないことが好ましいことに留意されたい。ステップ４２で、プロキシが、コンテンツを受信し、暗号化解除し、データを修正して、クライアントのトランスコーディングの必要を満足する。任意選択として、ステップ４４で、プロキシが、追加データを得るか性能を高めるために起点サーバとの追加の接続を確立することができる（起点サーバがセッション再開始をサポートする場合に）。複数の接続が確立される場合に、暗号化ブロック・チェーン（ＣＢＣ）を使用して、暗号を調整する。プロキシが、このセッションの一部として追加接続を確立しない場合には、プロキシは、主セッションでセッション識別子と共に通知を送信することによって、暗号仕様変更についてクライアントに通知しなければならない。この処理は、ステップ４６に示されており、クライアントが将来にこの起点サーバとのセッションを再開できるようにするのに必要である。
本発明によれば、プロキシは、最初の起点サーバへの所与のクライアント要求の処理中に、他の起点サーバへの追加のセキュア・セッションを要求することができる。したがって、たとえば、プロキシが、たとえば現在の要求をトランスコーディングするために、他の起点サーバへの追加のセキュア・セッションを必要とする場合に、プロキシは、クライアントが必要な追加の起点サーバのそれぞれとの新しいセッションを確立することを要求する通知をクライアントに送信する。これは、全般的にステップ４８に示されている。最後に、プロキシが、最後にトランスコーディングされたコンテンツを暗号化し、クライアントに送信する。これがステップ５０である。
図５は、プロキシが他の起点サーバへの１つまたは複数の追加のセキュア・セッションを開始する方法を詳細に示す図である。この例では、クライアント１０”が、前に説明した形で、トランスコーディング・プロキシ１５”および第１起点サーバ１２”と協力する。図からわかるように、セッション１は、クライアントがプロキシと確立する最初のセッションを表し、セッション２では、クライアントが第１起点サーバとのセキュア・セッションを確立する。この図に示されたステップ（１）〜（１２）は、図３および図４の流れ図で上で説明したステップに対応する。例示的トランスコーディング動作中に、プロキシ１５”が、第２起点サーバ１７”からのセキュア・データが必要であると判定した場合には、プロキシは、サーバ１７”との第２接続を、具体的にはやはりこのプロキシを介してトンネリングすることによって、確立するようにクライアント１０”に求める。これによって、クライアントが、第２サーバ１７”とのマスタ・シークレットを確立できるようになる。後者のマスタ・シークレットを、クライアントがプロキシを介して第１起点サーバへトンネリングすることの結果として生成されたセッション・マスタ・シークレットと区別するために、時々、第２マスタ・シークレットと称する。具体的に言うと、図５のステップ（１３）に、プロキシ１５”がクライアント１０”への要求を行うことが示されている。その後、ステップ（３）〜（７）を、前に説明した形で第２起点サーバ１７”について繰り返す。
プロキシ１５”は、一方ではクライアントと、他方では各々の起点サーバとの間の通信を保護する必要に応じて、別々のマスタ・シークレットを維持する能力を有する。したがって、クライアントとプロキシは、元のクライアント要求のコンテキスト内で、起点サーバ・セッションごとに１つの、別々のマスタ・シークレットを維持する。これによって、プロキシが、クライアントの代わりに、複数の起点サーバに関してデータにアクセスし、データを使用することが可能になる。所望されるならば、クライアントが、同一のセキュア・セッションを介して（たとえば図１に示されたセッション１）または異なるセキュア・セッションを使用することによって、プロキシにセッション・マスタ・シークレットを配送することができる。
おわかりのように、クライアント、所与の起点サーバ、およびプロキシのすべてが、マスタ・セッション・シークレットを共用する。具体的に言うと、クライアントおよび所与の起点サーバが、マスタ・セッション・シークレットについて合意した後に、そのシークレットが、前にクライアントとプロキシの間で作成されたセキュア・セッションを介してプロキシに供給される。別の形で言えば、クライアントが、主（すなわち第１の）セッション（クライアントとプロキシの間の）を確立した後に、このマスタ・セッション鍵を（プロキシに）渡す。しかし、起点サーバは、プロキシが作業を行っているか他の形でセキュア接続に参加していることを意識する必要がない（通常は意識しない）。
おわかりのように、このセキュリティ委任をサポートするのに必要な変更は、最小限であり、クライアントおよびプロキシだけに影響し、所与のクライアント要求を処理するのに必要になる可能性がある所与の起点サーバには影響しない。また、この方法は、クライアントがその秘密鍵または起点サーバに対してクライアントを認証するのに使用される方法に関係する情報を明かすことを必要としない。さらに、クライアントは、起点サーバとの追加の接続を確立する能力を有するので、暗号仕様を変更するかセッションを打ち切ることができ、したがって、クライアントの代わりに起点サーバへの他の接続を確立するプロキシの能力が制限される。
必要な変更を要約すると、クライアントは、１つまたは複数の各々の起点サーバとネゴシエーションされた１つまたは複数のセッション・マスタ・シークレットを持つ能力と、それらをプロキシに保護された形で配送する能力とを有する必要がある。プロキシは、クライアントのセッションへの参加を開始できるようにするために、クライアントのマスタ・シークレットから必要な暗号化情報を作ることができる必要がある。上の方法は、セッション・シークレットのネゴシエーションに使用されるハンドシェーク・プロトコルに対する変更を全く必要としない。総合的なネットワーク・トラフィックに対する追加の負荷は、最小限である。というのは、クライアントがプロキシからのサービスを必要とする間に、クライアントとプロキシの間に１つの追加セッションがあるだけだからである。起点サーバに必要な変更はない。
クライアントとプロキシの間の主セッションは、到着するレコードごとにセッション識別子があるので、非同期と見なすことができる。クライアントからプロキシへの書込は、肯定応答が不要なので、クライアントへのプロキシの書込と独立に発生することができる。もちろん、基礎となるトランスポート層で、信頼性のある配送方法が実施されることが仮定される。新しい接続（追加の起点サーバへの）を確立する、クライアントに対するプロキシ要求では、null*セッション識別子を使用することが好ましい。というのは、後に、クライアントがトンネリングを要求する時に、プロキシによってセッション識別子が割り当てられるからである。性能上の理由から、プロキシは、クライアントが所与の起点サーバと同期していないので、クライアントが完全な認証ハンドシェークを実行することを強制されるという条件で、暗号仕様変更についてクライアントに通知する必要はない。これは、起点サーバとの初期セッション確立中のクライアントに対するより大きいペイロードを暗示するが、プロキシが新しい接続を確立するか、所与の起点サーバまたは他の起点サーバへの追加の要求を送信する場合のチャッターが減る。
プロキシに関する多数の応用例がある。以下は、複数の代表的な例である。
プロキシのそのような使用の１つが、クライアントが暗号化／暗号化解除を実行するのに要求される、必要な計算能力の削減である。たとえば、クライアントがファイヤウォールの背後に配置される場合に、プロキシを使用して、クライアントが、認証ステップを１回だけ実行し、プロキシとの間で実際にデータを平文で送受信し、したがって、暗号化ペイロードをプロキシに移動することができる。代替案では、プロキシを使用して、実際のデータ・レコードを起点サーバと交換できるようになる前に、クライアントがセッション・シークレットを渡すことができるようにする（またはそれを要求する）ことによって、ファイヤウォール構成に監査機能を提供する。この場合、プロキシは、クライアントがそれ自体または起点サーバに関するプライベート／特権情報を配送することを要求する必要がない。もう１つの例では、プロキシを使用して、クライアントと起点サーバの間のセッションのセキュリティ特性を変更せずに、キャッシング・プロキシがセッションに参加できるようにすることによって、クライアント性能を改善することができる。その代わりに、プロキシを使用して、プロキシがクライアントの秘密鍵の明示的な知識を有することなく、クライアントの代わりに（後にセッションを再開始することによって）コンテンツを事前に取り出すことができる。この場合、プロキシは、たとえば、オフピーク時間中に、クライアントの購読の定期的更新を得ることができる。これらの例は、単に例示的であって、本発明の範囲を制限するものと解釈されてはならない。
したがって、上で注記したように、本発明のもう１つの応用例は、第三者が、パーベイシブ・コンピューティング・クライアント装置を用いるセキュア・セッションに参加できるようにすることである。代表的な装置には、ｘ８６ベース、PowerPC（登録商標）ベース、またはＲＩＳＣベースであり、WindRiver VXWorks（商標）、QSSL QNXNeutrino（商標）、またはMicrosoft Windows（登録商標） CEなどのリアルタイム・オペレーティング・システムを含み、ウェブ・ブラウザを含むことができる、パーベイシブ・クライアントが含まれる。この応用例を、下で詳細に示す。
図６を参照すると、代表的なパーベイシブ・コンピューティング装置には、複数のコンポーネント、たとえばクライアント・アプリケーション・フレームワーク１４２、仮想計算機１４４、言語エンジン１４６、および業界供給のランタイム・オペレーティング・システム（ＲＴＯＳ）１４８を含む、クライアント・スタック１４０が含まれる。クライアント・アプリケーション・フレームワーク１４２には、通常は、ブラウザ１５０、ユーザ・インターフェース１５２、パーベイシブ・コンピューティング・クライアント・アプリケーション・クラス・ライブラリ１５４、標準Java（登録商標）クラス・ライブラリ１５６、および通信スタック１５８が含まれる。パーベイシブ・コンピューティング・クライアントは、接続サービス１６２を介してサーバ・プラットホーム１６０に接続される。
この下位レベルでは、接続サービス６２に、圧縮機能および暗号化機能を提供するゲートウェイ１６４が含まれる。ゲートウェイによって、本発明の方法に従って拡張されたネットワーク・セキュリティ・プロトコルが実施される。接続サービス１６２の上位レベルは、トランスコーディング、フィルタリング、優先順位付け、および装置管理へのリンクなどの１つまたは複数の異なる機能を提供するプロキシ１６６である。
サーバ・プラットホーム１６０すなわち所与の起点サーバは、複数の異なるタイプとすることができる。プラットホーム１６０は、ウェブ／アプリケーション・サーバ１７０（同期式要求−応答型サーバ）またはデータ同期化サーバ１７２および１７４（非同期式キュー通信型サーバ）とすることができる。そのようなサーバ・タイプのそれぞれの基本機能が図示されている。代替案では、プラットホーム１６０を、ＬＤＡＰディレクトリ／リポジトリ、認識および通知、ネットワーク管理、装置寿命サイクル管理、ユーザおよび装置登録、または請求などの追加サービスを提供する付加価値サーバとすることができる。
このセキュリティ委任プロトコルは、従来技術に対する多数の長所を提供する。上で述べたように、このプロトコル拡張は、レコード・プロトコル層でのセキュア接続の基本特性を変更しない。さらに、プロキシへの接続は、プライベートであり、対称暗号（たとえば、ＤＥＳ、ＲＣ４など）を、データ暗号化に使用することができる。この対称暗号化の鍵は、接続ごとに一意に生成され、別のプロトコル（ＴＬＳまたはＳＳＬのハンドシェーク・プロトコルなど）によってネゴシエーションされたシークレットに基づくことが好ましい。さらに、プロキシへの接続は、信頼性がある。メッセージ・トランスポートには、通常は、キー付きＭＡＣを使用するメッセージ保全性検査が含まれる。セキュア・ハッシュ関数（たとえばＳＨＡ、ＭＤ５など）を、ＭＡＣ計算に使用することが好ましい。
このハンドシェーク・プロトコルは、複数の基本特性を有する接続セキュリティを提供する。ピアの識別は、非対称暗号すなわち公開鍵暗号（たとえばＲＳＡ、ＤＳＳなど）を使用して認証することができる。この認証は、任意選択にすることができるが、一般に、ピアの少なくとも１つについて要求される。さらに、共用されるシークレットのネゴシエーションは、セキュアである。ネゴシエーションされるシークレットは、盗聴者には入手不能であり、すべての認証される接続について、接続の中に自身を置くことができる攻撃者であってもシークレットを得ることができない。さらに、プロキシとのネゴシエーションは、信頼性がある。攻撃者は、通信の当事者に検出されずに、ネゴシエーションされる通信を変更することができない。
上でさらに述べたように、このセキュリティ・プロトコルを用いると、プロキシが、セッションの属性を変更せずに、クライアントと起点サーバの組との間のセキュア・セッションに参加できるようになる。この方法は、暗号強度または使用される認証技法から独立でもある。
本発明は、プロセッサ内で実行可能なソフトウェア内で、すなわち、コンピュータのランダム・アクセス・メモリに常駐するコード・モジュール内の命令の組（プログラム・コード）として、実施することができる。コンピュータによって要求されるまで、命令の組を、別のコンピュータ・メモリ、たとえば、ハード・ディスクまたは取外し可能メモリに保管するか、インターネットまたは他のコンピュータ・ネットワークを介してダウンロードすることができる。
さらに、説明したさまざまな方法は、ソフトウェアによって選択的に活動化または再構成される汎用コンピュータで便利に実施されるが、当業者は、そのような方法を、必要な方法ステップを実行するように構成された、ハードウェア、ファームウェア、またはより特殊化された装置で実行できることを諒解するであろう。

Claims (13)

  1. プロキシ（１５）コンピュータがクライアント（１０’）コンピュータとサーバ（１２ａ’）コンピュータとの間のセキュア通信に参加できるようにするコンピュータ・プログラムであって、
    （ａ）１から「ｎ」台のサーバの組のそれぞれについて、
    （１）前記クライアント・コンピュータに、前記プロキシへのネットワーク・セキュリティ・プロトコルに準拠した第１セキュア接続を要求させるステップ（２０、２２）と、
    （２）前記プロキシ・コンピュータから受信する証明書の有効性を認証した時に、前記クライアント・コンピュータに、前記プロキシへ・コンピュータのネットワーク・セキュリティ・プロトコルに準拠した第２セキュア接続を要求させるステップ（２４、２６）であって、前記第２セキュア接続が、前記サーバ・コンピュータへのコンジットとして働くように前記プロキシ・コンピュータに要求する、ステップと、
    （３）前記クライアント・コンピュータおよび前記サーバ・コンピュータに、前記コンジットを介して各々のセッション・マスタ・シークレットをネゴシエーションさせるステップ（３０）と、
    （４）前記ネゴシエーションの完了時に、前記クライアント・コンピュータに、前記第１セキ ュア接続を使用して前記プロキシ・コンピュータに前記各々のセッション・マスタ・シークレットを配送させるステップ（３２）と （ｂ）前記プロキシに、前記セキュア通信への参加に有用な所与の暗号情報を生成するために前記各々のセッション・マスタ・シークレットを使用させるステップと
    を実行させるためのコンピュータ・プログラム。
  2. さらに、前記プロキシ（１５）コンピュータに、前記クライアントの代わりに所与のサービスを実行させるステップを含み、前記所与のサービスが、トランスコーディング、キャッシング、暗号化、暗号化解除、監視、フィルタリング、および事前取出しを含むサービスの組から選択される、請求項１に記載のコンピュータ・プログラム。
  3. プロキシ（１５）コンピュータがクライアント（１０’）コンピュータと第１起点サーバ（１２ａ’） コンピュータとの間のネットワーク・セキュリティ・プロトコルに準拠したセッションに参加できるようにするコンピュータ・プログラムであって、
    前記プロキシ・コンピュータを介して、第１セッション鍵を作るために、前記クライアント・コンピュータと前記第１起点サーバ・コンピュータとの間でセキュリティ・ハンドシェーク手順を行うステップ （２０、２２、２４、２６、３０）と、
    前記プロキシ・コンピュータが前記セッション中に前記クライアント・コンピュータと前記第１起点サーバ・コンピュータとの間の通信に参加できるようにするために、前記クライアント・コンピュータに前記第１セッション鍵を前記プロキシ・コンピュータに送信させるステップと、
    前記セッションが進行する際に、第２セッション鍵を作るために前記クライアント・コンピュータと第２起点サーバ・コンピュータとの間でセキュリティ・ハンドシェーク手順を行うステップと、
    前記プロキシ・コンピュータが前記クライアント・コンピュータによる前記第１起点サーバ・コンピュータへの要求をサービスする際に使用するために前記第２起点サーバ・コンピュータからデータを得られるようにするために、前記クライアント・コンピュータに前記第２セッション鍵を前記プロキシ・コンピュータに送信させるステップと
    を実行させるためのコンピュータ・プログラム。
  4. 各セッション鍵が、異なるセキュア接続を介して前記クライアント（１０’）コンピュータから前記プロキシ（１５）コンピュータに送信される、請求項３に記載のコンピュータ・プログラム。
  5. 各セッション鍵が、同一のセキュア接続を介して前記クライアント（１０’）コンピュータから前記プロキシ（１５）コンピュータに送信される、請求項３に記載のコンピュータ・プログラム。
  6. プロキシ（１５）が、前記クライアント（１０’）および各サーバ（１２ａ’、１２ｂ’）がセキュア接続を介して通信できるようにする暗号システムであって、
    （ｉ）前記プロキシへのネットワーク・セキュリティ・プロトコルに準拠した第１セキュア接続を要求するように前記クライアントを制御し、（ｉｉ）前記プロキシからの証明書の有効性の検証に応答して、前記プロキシへのネットワーク・セキュリティ・プロトコルに準拠した第２セキュア接続であって、前記プロキシに所与のサーバへのコンジットとして働くように要求する第２セキュア接続を要求するように前記クライ アントを制御し、（ｉｉｉ）セッション・マスタ・シークレットを得るために、前記コンジットを介して前記所与のサーバとネゴシエーションするように前記クライアントを制御し、（ｉｖ）前記ネゴシエーションの成功裡の完了時に、前記第１セキュア接続を使用して前記プロキシに前記セッション・マスタ・シークレットを配送するように前記クライアントを制御し、（ｖ）前記所与のサーバとの間の通信に参加することができるアクティブ動作状態に前記プロキシを切り替え、
    （ｉ）所与の暗号情報を生成するために前記セッション・マスタ・シークレットを使用するように前記プロキシを制御し、（ｉｉ）前記クライアントがもう１つのサーバとの別のセキュア接続を選択的に確立することを要求するように前記プロキシを制御し、（ｉｉｉ）第２セッション・マスタ・シークレットを得るために、前記コンジットを介して前記もう１つのサーバとネゴシエーションするように前記クライアントを制御し、（ｉｖ）前記ネゴシエーションの成功裡の完了時に、前記第１セキュア接続を使用して前記プロキシに前記前記第２セッション・マスタ・シークレットを配送するように前記クライアントを制御し、（ｖ）前記所与のサーバとの間の通信に参加することができるアクティブ動作状態に前記プロキシを切り替える
    暗号システム。
  7. 前記プロキシ（１５）が、前記クライアント（１０’）の代わりにトランスコーディング・サービスを提供する手段を含む、請求項６に記載の暗号システム。
  8. 前記プロキシ（１５）が、前記クライアント（１０’）の代わりに暗号化／暗号化解除サービスを提供する手段を含む、請求項７に記載の暗号システム。
  9. 前記プロキシ（１５）が、前記クライアント（１０’）の代わりにキャッシング・サービスを提供する手段を含む、請求項６に記載の暗号システム。
  10. 前記プロキシ（１５）が、前記クライアント（１０’）の代わりに監視サービスを提供する手段を含む、請求項６に記載の暗号システム。
  11. プロキシ（１５）がセキュア通信に参加できるようにするためにクライアント（１０’）内で動作させるためのコンピュータ・システムであって、
    ネットワーク・セキュリティ・プロトコルに準拠した第１セキュア・セッションを確立するために、前記クライアントから前記プロキシへ要求を送信する手段と、
    前記クライアントと前記プロキシとの間のネットワーク・セキュリティ・プロトコルに準拠した第２セキュア・セッションであって、前記プロキシが起点サーバへのコンジットとして働くように要求する第２セキュア・セッションを確立するために、前記クライアントから前記プロキシへ要求を送信する手段と、
    前記プロキシが前記セキュア通信に参加できるようにするために、前記第１セキュア・セッションを使用して前記クライアントから前記プロキシにセッション ・マスタ・シークレットを送信する手段と、
    新しいセッション・マスタ・シークレットを得るように前記クライアントを制御するために、前記セキュア通信中に前記プロキシからの所与の要求のクライアントでの受信に応答する手段と、
    前記クライアントから前記プロキシに前記新しいセッション・マスタ・シークレットを送信する手段と
    を含むコンピュータ・システム。
  12. コンピュータをプロキシ（１５）がセキュア通信に参加できるようにするために前記プロキシ内で使用できるように動作させるためのコンピュータ・システムであって、
    前記クライアントと前記プロキシとの間でネットワーク・セキュリティ・プロトコルに準拠した第１セキュア・セッションを確立するために、前記クライアントからの要求を前記プロキシで受信する手段と、
    前記クライアントと前記プロキシとの間のネットワーク・セキュリティ・プロトコルに準拠した第２セキュア・セッションを確立するために、前記クライアントからの要求を前記プロキシで受信する手段であって、前記第２セキュア・セッションが、前記プロキシが起点サーバへのコンジットとして働くことを要求する、手段と、
    前記第１セキュア・セッションを使用して前記クライアントから送信されるセッション・マスタ・シークレットを、前記プロキシで受信する手段と、
    前記プロキシから前記クライアントへ所与の要求を送信するための前記セキュア通信中の所与のオカレンスに応答する手段と、
    前記クライアントから送信された新しいセッション・マスタ・シークレットを前記プロキシで受信する手段と
    コンピュータ・システム。
  13. さらに、所与の暗号情報を生成するために前記セッション・マスタ・シークレットおよび前記新しいセッション・シークレットを使用する手段を含む、請求項１２に記載のコンピュータ・システム。
JP2009113926A 1999-06-30 2009-05-08 トランスコーディング・プロキシでの複数の起点サーバへの動的接続 Expired - Lifetime JP4959750B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US09/343,454 1999-06-30
US09/343,454 US6584567B1 (en) 1999-06-30 1999-06-30 Dynamic connection to multiple origin servers in a transcoding proxy

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2001508136A Division JP4405124B2 (ja) 1999-06-30 2000-06-28 トランスコーディング・プロキシでの複数の起点サーバへの動的接続

Publications (2)

Publication Number Publication Date
JP2009239919A true JP2009239919A (ja) 2009-10-15
JP4959750B2 JP4959750B2 (ja) 2012-06-27

Family

ID=23346192

Family Applications (2)

Application Number Title Priority Date Filing Date
JP2001508136A Expired - Fee Related JP4405124B2 (ja) 1999-06-30 2000-06-28 トランスコーディング・プロキシでの複数の起点サーバへの動的接続
JP2009113926A Expired - Lifetime JP4959750B2 (ja) 1999-06-30 2009-05-08 トランスコーディング・プロキシでの複数の起点サーバへの動的接続

Family Applications Before (1)

Application Number Title Priority Date Filing Date
JP2001508136A Expired - Fee Related JP4405124B2 (ja) 1999-06-30 2000-06-28 トランスコーディング・プロキシでの複数の起点サーバへの動的接続

Country Status (16)

Country Link
US (1) US6584567B1 (ja)
EP (1) EP1197052B1 (ja)
JP (2) JP4405124B2 (ja)
KR (1) KR100431567B1 (ja)
CN (1) CN1148926C (ja)
AT (1) ATE321405T1 (ja)
AU (1) AU5554100A (ja)
CA (1) CA2377257C (ja)
CZ (1) CZ20014650A3 (ja)
DE (1) DE60026838T2 (ja)
HK (1) HK1045419B (ja)
HU (1) HUP0201706A2 (ja)
IL (2) IL147118A0 (ja)
PL (1) PL352195A1 (ja)
TW (1) TW480862B (ja)
WO (1) WO2001003398A2 (ja)

Families Citing this family (151)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8060926B1 (en) * 1999-03-16 2011-11-15 Novell, Inc. Techniques for securely managing and accelerating data delivery
US7904951B1 (en) 1999-03-16 2011-03-08 Novell, Inc. Techniques for securely accelerating external domains locally
US7249377B1 (en) * 1999-03-31 2007-07-24 International Business Machines Corporation Method for client delegation of security to a proxy
US6584567B1 (en) 1999-06-30 2003-06-24 International Business Machines Corporation Dynamic connection to multiple origin servers in a transcoding proxy
FR2804564B1 (fr) * 2000-01-27 2002-03-22 Bull Sa Relais de securite multiapplicatif
US6785705B1 (en) * 2000-02-08 2004-08-31 Lucent Technologies Inc. Method and apparatus for proxy chaining
US7493655B2 (en) * 2000-03-22 2009-02-17 Comscore Networks, Inc. Systems for and methods of placing user identification in the header of data packets usable in user demographic reporting and collecting usage data
US7930285B2 (en) 2000-03-22 2011-04-19 Comscore, Inc. Systems for and methods of user demographic reporting usable for identifying users and collecting usage data
CN1217509C (zh) * 2000-03-30 2005-08-31 三洋电机株式会社 内容数据存储装置
DE10025626A1 (de) * 2000-05-24 2001-11-29 Deutsche Telekom Ag Verschlüsseln von abzuspeichernden Daten in einem IV-System
DE10037500A1 (de) * 2000-08-01 2002-02-28 Deutsche Telekom Ag Verfahren zur Schlüsselvereinbarung für eine kryptographisch gesicherte Punkt-zu-Multipunktverbindung
US7137143B2 (en) * 2000-08-07 2006-11-14 Ingrian Systems Inc. Method and system for caching secure web content
US20040015725A1 (en) * 2000-08-07 2004-01-22 Dan Boneh Client-side inspection and processing of secure content
US7003481B2 (en) * 2000-08-25 2006-02-21 Flatrock Ii, Inc. Method and apparatus for providing network dependent application services
US7178169B1 (en) * 2000-09-01 2007-02-13 Zoran Corporation Method and apparatus for securing transfer of and access to digital content
US6965947B1 (en) * 2000-10-06 2005-11-15 International Business Machines Corporation Method and apparatus for automated transcoder selection
TW532040B (en) * 2000-10-20 2003-05-11 Koninkl Philips Electronics Nv Method and system for transferring a communication session
US7574486B1 (en) * 2000-11-06 2009-08-11 Telecommunication Systems, Inc. Web page content translator
US7150045B2 (en) * 2000-12-14 2006-12-12 Widevine Technologies, Inc. Method and apparatus for protection of electronic media
US7757278B2 (en) * 2001-01-04 2010-07-13 Safenet, Inc. Method and apparatus for transparent encryption
FR2819967B1 (fr) * 2001-01-24 2003-03-14 Bull Sa Procede et systeme de communication d'un certificat entre un module de securisation et un serveur
US8812666B2 (en) 2001-01-29 2014-08-19 Da Capital Fund Limited Liability Company Remote proxy server agent
US6871279B2 (en) * 2001-03-20 2005-03-22 Networks Associates Technology, Inc. Method and apparatus for securely and dynamically managing user roles in a distributed system
US6996841B2 (en) * 2001-04-19 2006-02-07 Microsoft Corporation Negotiating secure connections through a proxy server
US20020169984A1 (en) * 2001-05-09 2002-11-14 Kumar Gopikrishna T. Session management for wireless E-commerce
US7117267B2 (en) * 2001-06-28 2006-10-03 Sun Microsystems, Inc. System and method for providing tunnel connections between entities in a messaging system
US7149892B2 (en) 2001-07-06 2006-12-12 Juniper Networks, Inc. Secure sockets layer proxy architecture
US7228412B2 (en) * 2001-07-06 2007-06-05 Juniper Networks, Inc. Bufferless secure sockets layer architecture
US7908472B2 (en) * 2001-07-06 2011-03-15 Juniper Networks, Inc. Secure sockets layer cut through architecture
US7853781B2 (en) * 2001-07-06 2010-12-14 Juniper Networks, Inc. Load balancing secure sockets layer accelerator
ATE375686T1 (de) * 2001-07-12 2007-10-15 Research In Motion Ltd System und verfahren zum datenzugriff für ein mobiles telekommunikationsendgerät
US7240203B2 (en) * 2001-07-24 2007-07-03 Cavium Networks, Inc. Method and apparatus for establishing secure sessions
GB2378009B (en) * 2001-07-27 2005-08-31 Hewlett Packard Co Method of establishing a secure data connection
GB2378360A (en) * 2001-07-31 2003-02-05 Hewlett Packard Co Using SSL protocol to establish a secure connection between a client and a host, via a number of secure relays, the number being unknown to the client
US7363376B2 (en) * 2001-07-31 2008-04-22 Arraycomm Llc Method and apparatus for generating an identifier to facilitate delivery of enhanced data services in a mobile computing environment
US6892224B2 (en) * 2001-08-31 2005-05-10 Intel Corporation Network interface device capable of independent provision of web content
US7111162B1 (en) * 2001-09-10 2006-09-19 Cisco Technology, Inc. Load balancing approach for scaling secure sockets layer performance
US7370353B2 (en) * 2001-11-05 2008-05-06 Cisco Technology, Inc. System and method for managing dynamic network sessions
US7093121B2 (en) * 2002-01-10 2006-08-15 Mcafee, Inc. Transferring data via a secure network connection
US7376967B1 (en) 2002-01-14 2008-05-20 F5 Networks, Inc. Method and system for performing asynchronous cryptographic operations
US7305567B1 (en) 2002-03-01 2007-12-04 Cavium Networks, In. Decoupled architecture for data ciphering operations
US6978316B2 (en) * 2002-03-27 2005-12-20 International Business Machines Corporation Messaging system and method with transcoder filtering of baseline message representations
US7290280B2 (en) * 2002-04-08 2007-10-30 Sun Microsystems, Inc. Method and apparatus to facilitate virtual transport layer security on a virtual network
US20070107067A1 (en) * 2002-08-24 2007-05-10 Ingrian Networks, Inc. Secure feature activation
US7430755B1 (en) 2002-09-03 2008-09-30 Fs Networks, Inc. Method and system for providing persistence in a secure network access
US20040093419A1 (en) * 2002-10-23 2004-05-13 Weihl William E. Method and system for secure content delivery
WO2004070616A1 (ja) * 2003-02-03 2004-08-19 Mvp, Inc. 同期プログラム
US7506368B1 (en) 2003-02-13 2009-03-17 Cisco Technology, Inc. Methods and apparatus for network communications via a transparent security proxy
US7634805B2 (en) * 2003-03-05 2009-12-15 Microsoft Corporation Use of network address translation for implementation of stateful routing
US8473620B2 (en) * 2003-04-14 2013-06-25 Riverbed Technology, Inc. Interception of a cloud-based communication connection
US7506370B2 (en) * 2003-05-02 2009-03-17 Alcatel-Lucent Usa Inc. Mobile security architecture
CN1817013B (zh) * 2003-07-09 2012-07-18 株式会社日立制作所 终端和通信系统
US20060149962A1 (en) * 2003-07-11 2006-07-06 Ingrian Networks, Inc. Network attached encryption
US7395424B2 (en) * 2003-07-17 2008-07-01 International Business Machines Corporation Method and system for stepping up to certificate-based authentication without breaking an existing SSL session
JP5348148B2 (ja) * 2003-07-25 2013-11-20 株式会社リコー 通信装置、通信システム、通信方法及びプログラム
JP4712326B2 (ja) * 2003-07-25 2011-06-29 株式会社リコー 通信装置、通信システム、通信方法及びプログラム
JP4611680B2 (ja) * 2003-07-25 2011-01-12 株式会社リコー 通信装置、通信システム、通信方法及びプログラム
JP4611676B2 (ja) * 2003-07-25 2011-01-12 株式会社リコー 通信装置、通信システム、通信方法及びプログラム
US7694333B2 (en) * 2003-07-25 2010-04-06 Ricoh Company, Ltd. Communication apparatus, communication system, certificate transmission method, anomaly detection method and a program therefor
JP5418507B2 (ja) * 2003-09-12 2014-02-19 株式会社リコー 通信装置、通信システム、通信方法及びプログラム
JP4712325B2 (ja) * 2003-09-12 2011-06-29 株式会社リコー 通信装置、通信システム、通信方法及びプログラム
US8015399B2 (en) 2003-09-30 2011-09-06 Ricoh Company, Ltd. Communication apparatus, communication system, certificate transmission method and program
US20050086533A1 (en) * 2003-10-20 2005-04-21 Hsieh Vincent W. Method and apparatus for providing secure communication
US9614772B1 (en) 2003-10-20 2017-04-04 F5 Networks, Inc. System and method for directing network traffic in tunneling applications
US7584500B2 (en) * 2003-11-19 2009-09-01 Hughes Network Systems, Llc Pre-fetching secure content using proxy architecture
US7890751B1 (en) * 2003-12-03 2011-02-15 Comtech Ef Data Corp Method and system for increasing data access in a secure socket layer network environment
JP2005167870A (ja) * 2003-12-05 2005-06-23 Sony Corp データ処理方法およびデータ処理装置
US20050160161A1 (en) * 2003-12-29 2005-07-21 Nokia, Inc. System and method for managing a proxy request over a secure network using inherited security attributes
US20050160160A1 (en) * 2003-12-29 2005-07-21 Nokia, Inc. Method and system for unified session control of multiple management servers on network appliances
US7535905B2 (en) * 2004-03-31 2009-05-19 Microsoft Corporation Signing and validating session initiation protocol routing headers
US7539858B2 (en) * 2004-04-05 2009-05-26 Nippon Telegraph And Telephone Corporation Packet encryption substituting device, method thereof, and program recording medium
US8261070B2 (en) * 2004-04-23 2012-09-04 The Boeing Company Authentication of untrusted gateway without disclosure of private information
US7437754B2 (en) 2004-04-30 2008-10-14 Oracle International Corporation Web object access authorization protocol based on an HTTP validation model
US7519835B2 (en) * 2004-05-20 2009-04-14 Safenet, Inc. Encrypted table indexes and searching encrypted tables
US20060049234A1 (en) * 2004-05-21 2006-03-09 Flak Richard A Friction stirring and its application to drill bits, oil field and mining tools, and components in other industrial applications
US8024476B2 (en) * 2004-05-21 2011-09-20 Microsoft Corporation Efficient message routing when using server pools
US8090837B2 (en) * 2004-05-27 2012-01-03 Hewlett-Packard Development Company, L.P. Communication in multiprocessor using proxy sockets
US8024483B1 (en) 2004-10-01 2011-09-20 F5 Networks, Inc. Selective compression for network connections
WO2006057280A1 (ja) 2004-11-29 2006-06-01 Ibm Japan, Ltd. 中継装置、中継方法、及びプログラム
JP4520840B2 (ja) * 2004-12-02 2010-08-11 株式会社日立製作所 暗号化通信の中継方法、ゲートウェイサーバ装置、暗号化通信のプログラムおよび暗号化通信のプログラム記憶媒体
US7565526B1 (en) * 2005-02-03 2009-07-21 Sun Microsystems, Inc. Three component secure tunnel
US9692725B2 (en) 2005-05-26 2017-06-27 Citrix Systems, Inc. Systems and methods for using an HTTP-aware client agent
US8943304B2 (en) 2006-08-03 2015-01-27 Citrix Systems, Inc. Systems and methods for using an HTTP-aware client agent
US9621666B2 (en) 2005-05-26 2017-04-11 Citrix Systems, Inc. Systems and methods for enhanced delta compression
US9407608B2 (en) 2005-05-26 2016-08-02 Citrix Systems, Inc. Systems and methods for enhanced client side policy
FI120072B (fi) * 2005-07-19 2009-06-15 Ssh Comm Security Corp Pakettidatan lähettäminen verkon yli tietoturvaprotokollaa käyttäen
US8418233B1 (en) 2005-07-29 2013-04-09 F5 Networks, Inc. Rule based extensible authentication
US8478986B2 (en) * 2005-08-10 2013-07-02 Riverbed Technology, Inc. Reducing latency of split-terminated secure communication protocol sessions
US8438628B2 (en) * 2005-08-10 2013-05-07 Riverbed Technology, Inc. Method and apparatus for split-terminating a secure network connection, with client authentication
US8613071B2 (en) * 2005-08-10 2013-12-17 Riverbed Technology, Inc. Split termination for secure communication protocols
US8533308B1 (en) 2005-08-12 2013-09-10 F5 Networks, Inc. Network traffic management through protocol-configurable transaction processing
US8621078B1 (en) 2005-08-15 2013-12-31 F5 Networks, Inc. Certificate selection for virtual host servers
WO2007038245A2 (en) 2005-09-23 2007-04-05 Widevine Technologies, Inc. Method for evolving detectors to detect malign behavior in an artificial immune system
US8065733B2 (en) * 2005-09-23 2011-11-22 Google, Inc. Method for evolving detectors to detect malign behavior in an artificial immune system
US20070079386A1 (en) * 2005-09-26 2007-04-05 Brian Metzger Transparent encryption using secure encryption device
US20070079140A1 (en) * 2005-09-26 2007-04-05 Brian Metzger Data migration
US7873065B1 (en) 2006-02-01 2011-01-18 F5 Networks, Inc. Selectively enabling network packet concatenation based on metrics
US8565088B1 (en) 2006-02-01 2013-10-22 F5 Networks, Inc. Selectively enabling packet concatenation based on a transaction boundary
US8386768B2 (en) * 2006-02-08 2013-02-26 Safenet, Inc. High performance data encryption server and method for transparently encrypting/decrypting data
US7958091B2 (en) 2006-02-16 2011-06-07 Ingrian Networks, Inc. Method for fast bulk loading data into a database while bypassing exit routines
US8375421B1 (en) 2006-03-02 2013-02-12 F5 Networks, Inc. Enabling a virtual meeting room through a firewall on a network
US8572219B1 (en) 2006-03-02 2013-10-29 F5 Networks, Inc. Selective tunneling based on a client configuration and request
US8171538B2 (en) * 2006-03-17 2012-05-01 Microsoft Corporation Authentication and authorization of extranet clients to a secure intranet business application in a perimeter network topology
US8782393B1 (en) 2006-03-23 2014-07-15 F5 Networks, Inc. Accessing SSL connection data by a third-party
US9270771B2 (en) * 2006-04-28 2016-02-23 Samsung Electronics Co., Ltd. System and method for performing a delegation operation
US8392977B2 (en) * 2006-08-03 2013-03-05 Citrix Systems, Inc. Systems and methods for using a client agent to manage HTTP authentication cookies
US8561155B2 (en) * 2006-08-03 2013-10-15 Citrix Systems, Inc. Systems and methods for using a client agent to manage HTTP authentication cookies
US8379865B2 (en) * 2006-10-27 2013-02-19 Safenet, Inc. Multikey support for multiple office system
US9055107B2 (en) 2006-12-01 2015-06-09 Microsoft Technology Licensing, Llc Authentication delegation based on re-verification of cryptographic evidence
US9106606B1 (en) 2007-02-05 2015-08-11 F5 Networks, Inc. Method, intermediate device and computer program code for maintaining persistency
US8843913B2 (en) 2007-06-05 2014-09-23 Intel Corporation Dynamic linking and loading of post-processing kernels
US8966053B2 (en) * 2007-07-12 2015-02-24 Viasat, Inc. Methods and systems for performing a prefetch abort operation for network acceleration
US7782794B2 (en) * 2007-07-12 2010-08-24 Viasat, Inc. Methods and systems for bandwidth measurement techniques
US20090016222A1 (en) * 2007-07-12 2009-01-15 Viasat, Inc. Methods and systems for implementing time-slice flow control
US8549099B2 (en) * 2007-07-12 2013-10-01 Viasat, Inc. Methods and systems for javascript parsing
US8171135B2 (en) 2007-07-12 2012-05-01 Viasat, Inc. Accumulator for prefetch abort
US8667151B2 (en) 2007-08-09 2014-03-04 Alcatel Lucent Bootstrapping method for setting up a security association
US8782772B2 (en) * 2007-09-28 2014-07-15 Microsoft Corporation Multi-session secure tunnel
US8245287B2 (en) 2007-10-01 2012-08-14 Viasat, Inc. Server message block (SMB) security signatures seamless session switch
US9654328B2 (en) 2007-10-15 2017-05-16 Viasat, Inc. Methods and systems for implementing a cache model in a prefetching system
US20090132715A1 (en) * 2007-11-19 2009-05-21 Utstarcom, Inc. System and method for conducting secure ip transaction sessions with persistence
US20090132804A1 (en) * 2007-11-21 2009-05-21 Prabir Paul Secured live software migration
EP2241081B1 (en) 2008-01-26 2018-05-02 Citrix Systems, Inc. Systems and methods for fine grain policy driven cookie proxying
US9832069B1 (en) 2008-05-30 2017-11-28 F5 Networks, Inc. Persistence based on server response in an IP multimedia subsystem (IMS)
WO2010008539A1 (en) * 2008-07-14 2010-01-21 Riverbed Technology, Inc. Methods and systems for secure communications using a local certification authority
US9130846B1 (en) 2008-08-27 2015-09-08 F5 Networks, Inc. Exposed control components for customizable load balancing and persistence
US20100180005A1 (en) * 2009-01-12 2010-07-15 Viasat, Inc. Cache cycling
US8707043B2 (en) * 2009-03-03 2014-04-22 Riverbed Technology, Inc. Split termination of secure communication sessions with mutual certificate-based authentication
US9015487B2 (en) * 2009-03-31 2015-04-21 Qualcomm Incorporated Apparatus and method for virtual pairing using an existing wireless connection key
US8331568B2 (en) * 2009-05-28 2012-12-11 Microsoft Corporation Efficient distribution of computation in key agreement
KR101027725B1 (ko) * 2009-12-29 2011-04-12 주식회사 피앤피시큐어 가용성 보장을 위한 프록시 기반의 보안시스템
US8700892B2 (en) * 2010-03-19 2014-04-15 F5 Networks, Inc. Proxy SSL authentication in split SSL for client-side proxy agent resources with content insertion
US9356916B2 (en) 2010-04-30 2016-05-31 T-Central, Inc. System and method to use a cloud-based platform supported by an API to authenticate remote users and to provide PKI- and PMI-based distributed locking of content and distributed unlocking of protected content
US20120284506A1 (en) * 2010-04-30 2012-11-08 T-Central, Inc. Methods and apparatus for preventing crimeware attacks
US9270663B2 (en) 2010-04-30 2016-02-23 T-Central, Inc. System and method to enable PKI- and PMI-based distributed locking of content and distributed unlocking of protected content and/or scoring of users and/or scoring of end-entity access means—added
JP5545141B2 (ja) * 2010-09-09 2014-07-09 富士ゼロックス株式会社 データ中継システム、中継装置、およびプログラム
EP3920465B1 (en) 2010-10-08 2023-12-06 Brian Lee Moffat Private data sharing system
CN103392320B (zh) 2010-12-29 2016-08-31 思杰系统有限公司 对加密项目进行多层标记以提供额外的安全和有效的加密项目确定的系统和方法
CN102857341A (zh) * 2011-06-28 2013-01-02 联芯科技有限公司 加密电话通信方法
US8788819B2 (en) * 2012-04-27 2014-07-22 Yahoo! Inc. System and method for a cloud-based electronic communication vault
US9203832B2 (en) 2013-03-12 2015-12-01 Cable Television Laboratories, Inc. DTCP certificate authentication over TLS protocol
US9137218B2 (en) * 2013-05-03 2015-09-15 Akamai Technologies, Inc. Splicing into an active TLS session without a certificate or private key
US11038922B2 (en) 2013-12-06 2021-06-15 Fastly, Inc. Secure traffic optimization in an edge network
KR101491694B1 (ko) * 2013-12-30 2015-02-11 주식회사 시큐아이 보안 프락시 및 그것의 애플리케이션 프로토콜 처리 방법
EP3201783B1 (en) * 2014-09-29 2020-11-11 Akamai Technologies, Inc. Https request enrichment
US10439908B2 (en) 2014-12-23 2019-10-08 Talari Networks Incorporated Methods and apparatus for providing adaptive private network centralized management system time correlated playback of network traffic
US10015208B2 (en) 2015-06-09 2018-07-03 Cisco Technology, Inc. Single proxies in secure communication using service function chaining
US10721622B2 (en) 2015-12-31 2020-07-21 Koninklijke Philips N.V. Wireless communication system with multiple security levels
CN106503585B (zh) * 2016-11-09 2019-01-29 济南浪潮高新科技投资发展有限公司 一种erp敏感数据安全隔离的方法
US11314532B2 (en) * 2018-10-11 2022-04-26 Citrix Systems, Inc. Systems and methods for traffic optimization via system on chip of intermediary device
CN110324397B (zh) * 2019-03-21 2021-09-21 国网山东省电力公司 基于动态连接的智能变电站站控层应用服务接口访问方法

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10228437A (ja) * 1996-06-03 1998-08-25 Webtv Networks Inc 分散ネットワークにおける文書の代理処理とトランスコーディングの方法および装置

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3263878B2 (ja) * 1993-10-06 2002-03-11 日本電信電話株式会社 暗号通信システム
US5550906A (en) * 1994-08-05 1996-08-27 Lucent Technologies Inc. Telecommunications feature server
US5623601A (en) * 1994-11-18 1997-04-22 Milkway Networks Corporation Apparatus and method for providing a secure gateway for communication and data exchanges between networks
US5706434A (en) 1995-07-06 1998-01-06 Electric Classifieds, Inc. Integrated request-response system and method generating responses to request objects formatted according to various communication protocols
JPH09139735A (ja) * 1995-11-15 1997-05-27 Hitachi Software Eng Co Ltd 暗号化データ通信システム
US5781550A (en) * 1996-02-02 1998-07-14 Digital Equipment Corporation Transparent and secure network gateway
US6421733B1 (en) 1997-03-25 2002-07-16 Intel Corporation System for dynamically transcoding data transmitted between computers
JPH1168730A (ja) * 1997-08-15 1999-03-09 Nec Commun Syst Ltd 暗号ゲートウェイ装置
JP3877388B2 (ja) * 1997-09-16 2007-02-07 三菱電機株式会社 情報提供システム
US6263437B1 (en) * 1998-02-19 2001-07-17 Openware Systems Inc Method and apparatus for conducting crypto-ignition processes between thin client devices and server devices over data networks
US6317831B1 (en) * 1998-09-21 2001-11-13 Openwave Systems Inc. Method and apparatus for establishing a secure connection over a one-way data path
JP2000155717A (ja) * 1998-11-19 2000-06-06 Kenwood Corp データベース協同利用システム
US6584567B1 (en) 1999-06-30 2003-06-24 International Business Machines Corporation Dynamic connection to multiple origin servers in a transcoding proxy

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10228437A (ja) * 1996-06-03 1998-08-25 Webtv Networks Inc 分散ネットワークにおける文書の代理処理とトランスコーディングの方法および装置

Also Published As

Publication number Publication date
US6584567B1 (en) 2003-06-24
HUP0201706A2 (en) 2002-09-28
HK1045419A1 (en) 2002-11-22
IL147118A (en) 2007-06-03
PL352195A1 (en) 2003-08-11
EP1197052B1 (en) 2006-03-22
CA2377257A1 (en) 2001-01-11
JP4405124B2 (ja) 2010-01-27
AU5554100A (en) 2001-01-22
HK1045419B (zh) 2004-10-21
WO2001003398A3 (en) 2001-06-07
IL147118A0 (en) 2002-08-14
DE60026838T2 (de) 2006-09-07
CN1358386A (zh) 2002-07-10
KR100431567B1 (ko) 2004-05-17
DE60026838D1 (de) 2006-05-11
CA2377257C (en) 2008-05-13
TW480862B (en) 2002-03-21
ATE321405T1 (de) 2006-04-15
CN1148926C (zh) 2004-05-05
CZ20014650A3 (cs) 2002-05-15
WO2001003398A2 (en) 2001-01-11
EP1197052A2 (en) 2002-04-17
JP4959750B2 (ja) 2012-06-27
KR20020015056A (ko) 2002-02-27
JP2003503963A (ja) 2003-01-28

Similar Documents

Publication Publication Date Title
JP4959750B2 (ja) トランスコーディング・プロキシでの複数の起点サーバへの動的接続
US7249377B1 (en) Method for client delegation of security to a proxy
US11477037B2 (en) Providing forward secrecy in a terminating SSL/TLS connection proxy using ephemeral Diffie-Hellman key exchange
US6643701B1 (en) Method and apparatus for providing secure communication with a relay in a network
US11038854B2 (en) Terminating SSL connections without locally-accessible private keys
US8601566B2 (en) Mechanism supporting wired and wireless methods for client and server side authentication
JP5744172B2 (ja) 中間ストリーム再ネゴシエーションを介したプロキシｓｓｌハンドオフ
US20050182937A1 (en) Method and system for sending secure messages over an unsecured network
JP2009514046A (ja) グリッド・アクセス及びネットワーク・アクセスを提供するシングル・サインオン操作のための方法及びシステム
US20150052349A1 (en) Splicing into an active TLS session without a certificate or private key
WO2009018510A1 (en) Systems and methods for implementing a mutating internet protocol security
EP3216163B1 (en) Providing forward secrecy in a terminating ssl/tls connection proxy using ephemeral diffie-hellman key exchange
WO2007134082A2 (en) Security-preserving proxy tunnel
Badra et al. Key-exchange authentication using shared secrets
JP3714850B2 (ja) ゲートウェイ装置、接続サーバ装置、インターネット端末、ネットワークシステム
Badra et al. A lightweight identity authentication protocol for wireless networks
LIN et al. SECURE INTERNET ACCESSIBLE MATHEMATICAL COMPUTATION FRAMEWORK

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20111122

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20120216

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20120306

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20120321

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20150330

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Ref document number: 4959750

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

EXPY Cancellation because of completion of term