JP2009508398A - ネットワークルータ・セキュリティ方法 - Google Patents

Abstract

ローカルネットワークが、セキュリティスイッチを有するルータまたはハブを用いて安全にされる。最初のネットワークの構成の間または直後に、ルータまたはハブは、接続されているネットワーク装置のＭＡＣアドレスを記録する。最初の構成が完成した後、セキュリティスイッチは活性化される。セキュリティスイッチが活性化された後、ルータまたはハブは、接続されているネットワーク装置のＭＡＣアドレスによって決定された通りに、追加の装置の接続を許可しない。セキュリティスイッチは、追加の装置の接続を許すように不活性化され得る。

Description

関連する出願へのクロスリファレンス
この出願は２００５年９月９日に申請されて、米国仮出願シリアルＮｏ．６０／７１５，８４９号への３６Ｕ．Ｓ．Ｃ．§１１９（ｅ）に従う優先権を主張する。その出願は、参照によって、その全体において、特に本願明細書に組み入れられる。

１． 本発明の技術分野
本発明は、ルータ、スイッチまたはハブのようなネットワーク資源へのアクセスを安全にする方法に関する。

２． 関連技術の説明
スイッチ、ルータおよびハブのような様々なネットワーク資源が、ローカルエリアネットワークおよび広域ネットワーク上のトラフィックフローを管理するために用いられている。認可されていない装置が、このタイプのネットワークトラフィック取り扱い資源に接続することを許されるときに、ネットワークの機密保護は妥協され得る。反対に、認可された装置のみが接続することを許可されるならば、セキュリティは改善されるかも知れない。無線ルータおよびハブの蔓延で、そのような資源はますます、ネットワークオペレータの知識なしに確立されている認可されていない接続を受けやすい。

様々な方法が、ネットワークトラフィック取り扱い資源を安全にするために用いられ得る。１つの選択肢は、ネットワークにアクセスすることを許可される「ＭＡＣ」イーサネットアドレスを制限することである。しかしながら、ネットワーク装置上でこのセキュリティ方法をセットアップすることは、複雑な位置づけおよびタイプ打ちを要求し、数字の連なりが容易に入れ換わる。無線および有線ネットワークのための他のセキュリティ方法は、また、エンドユーザがセットアップするのが難しいかもしれない。セキュリティ装置の構成は、洗練されたネットワークユーザにとって難問を持ちかけないかも知れない。一方、それは、家庭または小企業のネットワークのオペレータのような多くのあまり洗練されていないユーザの技術レベルを越えているかも知れない。それゆえ、多くのローカルネットワークが、特に無線接続を介して、認可されていないエントリを受けやすい。

それゆえ、スイッチ、ルータまたはハブのようなネットワーク資源を安全にするシステムおよび方法であって、先行技術の制限を克服するものを提供することは、望ましい。

本発明は、スイッチ、ルータまたはハブのようなネットワーク資源を安全にするシステムおよび方法であって、洗練されていないユーザが構成するのに便利でありながら、上記資源への認可されていない接続を防ぐものを提供する。本発明は、或る新しいネットワークが、無線ネットワークでさえ、ハッカーによって「発見される」前に、典型的に幾らかの期間をとるという事実を利用する。その結果、正当な装置だけが上記資源にアクセスしていそうである時間の窓がある。同時に、アクセスする装置の数を数えて報告することによって、上記ルーティング装置は、そのルータの所有者に対して、あまりにも多くの装置がシステムにアクセスしているかどうか（それゆえ、その中にハッカーが居そうかどうか）を、彼が決定することを可能にするデータを提示する。

この発明はスイッチ、ルータ、ハブその他のルーティング装置が、単一のマウスクリックまたは単一のボタン押しのような、わずかな単一の行為によって安全にされることを可能にする。上記単一の行為は、ルーティング装置に配置されたアクチュエータを用いて、または、遠隔に配置されたコンピュータの、マウス、キーボード、マイクロホンその他の入力装置のような遠隔のアクチュエータを用いて、実行され得る。

ルーティング装置のためのセキュリティを構成するために、ユーザは、まず、上記ルーティング装置に接続するための認可されるであろう装置を、イーサネット接続のような適当な有線または無線の接続を用いて、接続する。上記ルータは、安全な接続を介して、上記ルータが自身に取り付けられていると検出する装置の数を示すディスプレイ出力を、任意に提供する。この接続は、本技術分野で知られているように、パスワードまたは暗号化を用いることによって安全にされてもよい。ＭＡＣアドレス、接続されている時間の長さなどの、これらの装置に関する追加情報が、任意に表示される。ユーザは、装置の正しい数その他のデータが正確であることを確認し、上記ルータまたはリモートコンピュータ上の「システムを安全にする」アクチュエータを活性化する。その後、上記ルーティング装置は、システムにその後取り付けられる全装置のＭＡＣアドレスを、排他的に認可された装置として記録する。

次に、上記ルーティング装置は、認可された装置であると識別されていない如何なる新規デバイスとの通信をも拒否する。認可された装置は、取り外され、再び取り付けられてもよく、ＭＡＣアドレスが同じままである限り、途切れなく機能するだろう。同時に、上記ネットワークにアクセスしようとするハッカー、例えば、無線ネットワークカードを駆動して安全でないネットワークを見つけようとしている誰かは、彼のコンピュータが認可されていないＭＡＣアドレスを伝送しているであろうから、上記装置にアクセスすることができないであろう。

一時的に新規デバイスへのアクセスを提供するのを容易にするために、上記ルータは、新しいＭＡＣアドレスを阻止することを止める「非安全」ボタンまたは機能を備えてもよい。そのような機能の活性化へのアクセスは、もし存在するならば、適切に安全にされるべきである。上記認可されたネットワーク装置の再構成を容易にするために、上記ルータは、手動で又は再度「安全」ボタンを押すことによって、新規デバイスの追加に適合していてもよい。

また、上記装置は、この装置のアクセスリストから一時的にまたは永久にＭＡＣアドレスを削除する能力を持つことができる。それにより、管理者は一時的に様々なＭＡＣアドレスを不能にすることができる。このことは、例えば、認可された設備を、それが依然としてアクセスを有しているかどうかを見るべくテストするために、または認可されたネットワーク装置によって最早使用されていないＭＡＣアドレスを識別し不能にするために、有用であるかも知れない。

ネットワークアドレスを安全にする上記システムおよび方法についてのより十分な理解は、それの追加の利点およびその目的の理解とともに、好ましい実施形態の次の詳細な説明の考察によって、当業者へ与えられるだろう。言及は図面添付シートに対してなされ、まず簡潔に記述される。

本発明は、ネットワークルーティング装置を安全にするための新規なシステムおよび方法を提供し、それは先行技術の制限を克服する。

図１は、様々なネットワーク装置１０４、１０６，１０８および１１０に接続するためのポートを有するスイッチ、ハブまたはルータのようなルーティング装置１０２を備えたシステム１００を示している。ルーティング装置１０２は、さらにインターネットのような広域ネットワーク１１２に接続されてもよい。ルーティング装置１０２は、ここではボタンとして図示されている機械的なアクチュエータ１１４のような安全機構を含んでいてもよい（ただし、それは如何なる適した形態で提供されてもよい。）。所望ならば、第２の機械的なアクチュエータ１１５が設けられてもよい。上記機械的なアクチュエータは、本技術分野で知られたプロセッサ、不揮発性メモリ１１７およびその他の回路素子１１９を介して、本発明によるセキュリティ方法を実施するためのソフトウェアと動作可能に関連していてもよい。それに代えて、またはそれに加えて、ルーティング装置１０２は、コンピュータ１０６のような接続された装置から命令を受けるために適合されたセキュリティソフトウェアを備えてもよい。通信リンク１１６，１１８，１２０および１２２は、例えばイーサネット接続（それは接続された各装置の識別子の使用をする）のような、本技術分野で知られた如何なる適した有線または無線の接続を備えてもよい。

上記セキュリティアクチュエータ、例えばボタン１１４、またはコンピュータ１０６は、安全な場所１２４に配置されるべきである。例えば、上記アクチュエータが家庭ネットワーク用の上記ルーティング装置に配置されたボタン１１４を備えるならば、上記ルーティング装置は、その家庭の個人領域１２４内に保有されてもよい。遠隔の管理コンピュータ１０６その他の装置がセキュリティ方法を活性化するために用いられるならば、それは、システムの構成中に、同様に安全領域内に置かれるべきである。小企業と家庭ネットワークにとって、ルーティング装置１０２または如何なる管理コンピュータ１０６を家庭またはオフィスの内部に配置することも、大部分のユーザのための適切なセキュリティを提供すべきである。もし管理コンピュータその他の遠隔の装置がルーティング装置１０２の安全機構を活性化するために用いられるならば、ルータ１０２のセキュリティ機能へのアクセスを安全にするパスワードその他の方法が用いられてもよい。

装置１０４，１０６、１０８、１１０は、ルーティング装置１０２に接続するために適したネットワークアダプタまたは回路類を有する如何なる装置を備えてもよい。本技術分野で知られているように、イーサネット装置インターフェースは、各々、製造中に不揮発性メモリに書き込まれる固有のメディアアクセス制御（Media Access Control；「ＭＡＣ」）アドレスを有する。ＭＡＣアドレスは、ネットワークにおける各ノードを、メディアアクセス制御層（それは最低のネットワーク層である）で一意的に識別する。現代のイーサネットでは、ＭＡＣアドレスは、１６進数で通常表示される６バイトからなり、例えば００−ＯＡ−ＣＣ−３２−ＦＯ−ＦＤである。他のネットワークプロトコルが低いネットワーク層にある同様の識別子を用いてもよく、それにより、本発明の使用に適し、または適合され得るかも知れない。

安全な作動のためのルーティング装置１０２を構成するために、ユーザは、まず、ネットワークへのアクセスを与えられるべき装置の全てを接続する。本発明の実施形態では、このことは、ルータ１０２の近くで無線通信対応の全ての装置を起動すること等によって、無線接続を介して行われてもよい。それに代えて、またはそれに加えて、ケーブルが、ネットワーク装置とルーティング装置１０２のネットワークポートとの間に接続されてもよい。ルーティング装置１０２を最初に設置するとき行われる初期化ルーチンの間に、または再初期化ルーチンが始められた後、ルーティング装置１０２は、装置へ接続するように構成されて、その接続されている装置のＭＡＣアドレス自動的に決定してもよい。さらなる詳細は以下に提供される。

ルーティング装置１０２は、適当なソフトウェアまたはファームウェアを用いること等によって、ネットワーク１００へのアクセスを安全にするための図２に示されるような方法２００を行うように構成されてもよい。ステップ２０２〜２１０は、いずれの動作順に行われてもよい。ステップ２０２で、上記ルーティング装置は、ボタン押しを介した、または遠隔に接続されている装置から等のセキュリティ活性化信号を受け取る。ステップ２０４で、上記ルーティング装置は、全ての接続されている装置のＭＡＣアドレスを識別し記録する。これらのアドレスは、上記ルータの不揮発性メモリの中に保持され、続いて接続されるいずれかの装置のＭＡＣアドレスと比較される。ステップ２０６で、続いて接続される装置であって一致するＭＡＣアドレスを欠いているものへ接続が拒否される。しかしながら、認可されたＭＡＣアドレスを持つと識別された装置は、所望のたびに切り離され且つ再接続され得る。

追加のネットワーク装置を加えるか、または古い装置を除去するために、ステップ２０８で示されるように、上記ルータは、再初期化信号またはセキュリティ非活性化信号を与えられてもよい。どちらかまたは両方の信号は、ボタン１１４を介して、または装置１０４〜１１０のうちのいずれかで作動している管理用端末を通して、与えられてもよい。例えば、再び安全ボタンを押すことは、再初期化プロセスに帰着してもよい。再初期化の間に、ルータ１０２は以前に格納されたＭＡＣアドレスを全て除去し、ステップ２１０で現在接続されている装置のＭＡＣアドレスを集める。さらなる例として、ボタン１１４を押して保持すること、上記ボタンをダブルクリックすること、または第２のボタンを押すことは、ルーティング装置１０２のためのセキュリティを一時的に非活性化して、ステップ２１０で新しい接続がなされることを許可してもよい。ユーザの選択で、これらの新しい接続のためのＭＡＣアドレスは、上記ルータの認可された装置のリストに加えられても、加えられなくてもよい。また、ルータ１０２は、新しいＭＡＣアドレスを手動で除去し、一時的に非活性化または再活性化し、かつユーザ・インターフェースを介して安全な管理コンピュータ１０６に加えるように構成されてもよい。

最初のセキュリティ信号および再初期化信号またはセキュリティ非活性化信号を、適切な場所に与えられた２値のオン／オフ信号として提供できることは、明らかであるに違いない。例えば、上記信号は、機械的なスイッチまたはアクチュエータの状態を「オン」または「オフ」に設定することによって提供されても良い。上記ルータは、１個以上の入力スイッチの状態を、周期的な間隔で、例えば毎秒１回、チェックするように構成されてもよい。同様に、上記セキュリティ信号は、上記ルーティング装置に接続された認可された管理コンピュータから安全な遠隔接続を介して２値信号として提供されてもよい。

本発明によるセキュリティスイッチング信号が、信号ルータで用いられる先行技術の信号（一般に個人のユーザ名および安全なパスワードの使用を必要とする）から区別されることは、明らかであるに違いない。本発明は、ユーザ名またはパスワードの記憶を必要としない。上記セキュリティスイッチが、上記ルータへの物理的な近接によって、またはいかなる適当な先行技術の方法を用いる管理コンピュータも安全にすることによって、安全にされ得るからである。

ブロードバンドルータのような幾つかのネットワーク装置は、ネットワークインターフェィスカードのためのＭＡＣアドレスの複製を作ることができる。そのような能力は、ケーブルまたはＤＳＬのモデムに行っているワイドエリア・ネットワーク（ＷＡＮ）イーサネットインターフェイスを、以前に接続されているコンピュータ用のネットワークインターフェイスのように見せるかも知れない。不正な装置が認可された装置のＭＡＣアドレスを複製するのを防ぐために、接続されている装置のＭＡＣアドレスは安全なネットワークの外部で利用可能であってはならない。有利なように、本発明のセキュリティ構成方法は、ルーティング装置１０２のレベルを越えるＭＡＣアドレスを発見または共有することを不必要にしてもよい。

ネットワークを安全にするためのシステムおよび方法の好ましい実施形態についてこのように記述したので、当業者にとって、システム内の一定の利点が得られたことが明らかであるに違いない。また、本発明の範囲および精神内でそれの様々な修正、適合および代替の実施形態がなされ得ることが認識されるべきである。例えば、ネットワークへのイーサネット接続は説明された。しかし、上述の発明概念は、他のネットワーク・タイプ、例えばブルートゥース（Bluetooth）ネットワークに等しく適用可能であることは、明らかであるに違いない。本発明は添付の特許請求の範囲によって確定される。

本発明によるセキュリティシステムおよび方法を用いるローカルエリアネットワークの概要図である。 上記発明による方法の典型的なステップを示すフローチャートである。

Claims (22)

1. コンピュータネットワーク装置に接続するためのネットワークルーティング装置であって、
   複数の外部ネットワーク装置をネットワークに接続するために構成された回路を取り囲むハウジングと、
   上記回路に接続された不揮発性メモリと、
   上記回路に接続されたスイッチとを備え、上記回路は、上記スイッチが第１の状態にあるとき、外部ネットワーク装置への接続を許可し、上記回路に接続された外部ネットワーク装置のためのＭＡＣアドレスを受け取り、上記メモリに上記ＭＡＣアドレスを認可されたＭＡＣアドレスとして格納するとともに、上記スイッチが上記第１の状態と異なる第２の状態にあるとき、上記メモリに格納された認可されたＭＡＣアドレスを持たない新しい外部ネットワーク装置への接続を拒否するように構成されているネットワークルーティング装置。
2. 請求項１のネットワークルーティング装置において、上記スイッチは遠隔的に設定可能な記憶場所を備えることを特徴とするネットワークルーティング装置。
3. 請求項２のネットワークルーティング装置において、上記遠隔的に設定可能な記憶場所は、上記回路に接続された論理装置内にあることを特徴とするネットワークルーティング装置。
4. 請求項１のネットワークルーティング装置において、上記スイッチは電気的なスイッチを備えることを特徴とするネットワークルーティング装置。
5. 請求項４のネットワークルーティング装置において、上記電気的なスイッチは機械的なアクチュエータを備えることを特徴とするネットワークルーティング装置。
6. 請求項５のネットワークルーティング装置において、上記機械的なアクチュエータは、押しボタン、薄膜スイッチ、スライドおよびロータリアクチュエータからなる群から選択されていることを特徴とするネットワークルーティング装置。
7. 請求項１のネットワークルーティング装置において、上記ネットワークルーティング装置は、スイッチ、ルータおよびハブからなる群から選択された装置として作動するように構成されていることを特徴とするネットワークルーティング装置。
8. 請求項１のネットワークルーティング装置において、上記回路は、有線接続を介して上記複数の外部ネットワーク装置に接続するように構成されていることを特徴とするネットワークルーティング装置。
9. 請求項１のネットワークルーティング装置において、上記回路は、無線接続を介して上記複数の外部ネットワーク装置に接続するように構成されていることを特徴とするネットワークルーティング装置。
10. コンピュータネットワーク装置に接続するためのネットワークルーティング装置を安全にするためのシステムであって、
    上記システムは、
    複数の外部ネットワーク装置をネットワークに接続するために構成され、かつ不揮発性メモリを有するネットワークルーティング装置を備え、上記ルーティング装置は外部入力に依存して非安全モードと安全モードで作動するように構成され、
    上記ルーティング装置と通信しているコンピュータを備え、上記コンピュータは上記ルーティング装置へ上記外部入力を提供することにより、上記ルーティング装置が上記安全モードで作動するか又は非安全モードで作動するかを決定するように作動し、
    上記ルーティング装置は、上記非安全モードで作動するとき、外部ネットワーク装置への接続を許可し、上記回路に接続された外部ネットワーク装置のためのＭＡＣアドレスを受け取り、上記メモリに上記ＭＡＣアドレスを認可されたＭＡＣアドレスとして格納するとともに、上記安全モードで作動するとき、上記メモリに格納された認可されたＭＡＣアドレスを持たない新しい外部ネットワーク装置への接続を拒否するように構成されているシステム。
11. 請求項１０のシステムにおいて、上記コンピュータは、上記コンピュータへの単一のユーザ入力に応じて上記ルータへの上記外部入力を提供するように構成されていることを特徴とするシステム。
12. 請求項１１のシステムにおいて、上記単一のユーザ入力は、単一のキーストロークおよび単一のポインタ行為からなる群から選択されることを特徴とするシステム。
13. 請求項１１のシステムにおいて、上記単一のユーザ入力は単一のマウスクリックであることを特徴とするシステム。
14. 請求項１０のネットワークルーティング装置において、上記ネットワークルーティング装置は、スイッチ、ルータおよびハブからなる群から選択された装置として作動するように構成されていることを特徴とするシステム。
15. 複数の外部ネットワーク装置をネットワークに接続するために構成され、不揮発性メモリを有するネットワークルーティング装置であって、
    上記ルーティング装置は外部入力に依存して非安全モードおよび安全モードで作動するように構成され、
    上記ルーティング装置は、上記非安全モードで作動するとき、外部ネットワーク装置への接続を許可し、上記回路に接続された外部ネットワーク装置のためのＭＡＣアドレスを受け取り、上記メモリに上記ＭＡＣアドレスを認可されたＭＡＣアドレスとして格納するとともに、上記安全モードで作動するとき、上記メモリに格納された認可されたＭＡＣアドレスを持たない新しい外部ネットワーク装置への接続を拒否するように構成されているネットワークルーティング装置。
16. 請求項１５のルーティング装置において、さらに、上記ルーティング装置を実質的に取り囲むハウジングを備えることを特徴とするルーティング装置。
17. 請求項１６のルーティング装置において、さらに、上記ハウジングの外面に第１の機械的なアクチュエータを備え、上記第１のアクチュエータは、ユーザによって作動されたときに、上記ルーティング装置が上記安全モードで作動し始める時期を決定する外部入力を提供するように構成されていることを特徴とするルーティング装置。
18. 請求項１７のルーティング装置において、上記第１の機械的なアクチュエータは、押しボタン、薄膜スイッチ、スライドおよびロータリアクチュエータからなる群から選択されることを特徴とするルーティング装置。
19. 請求項１７のルーティング装置において、さらに、上記ハウジングの外面に第２の機械的なアクチュエータを備え、上記第２のアクチュエータは、ユーザによって作動されたときに、上記ルーティング装置が上記安全モードでの作動を停止する時期を決定する外部入力を提供するように構成されていることを特徴とするルーティング装置。
20. 請求項１９のルーティング装置において、上記第２の機械的なアクチュエータは、押しボタン、薄膜スイッチ、スライドおよびロータリアクチュエータからなる群から選択されることを特徴とするルーティング装置。
21. 請求項１５のルーティング装置において、上記ルーティング装置は、認可された管理者からルーティング装置への安全な遠隔接続を介した信号として、上記外部入力を受け取るように構成されていることを特徴とするルーティング装置。
22. 請求項１５のネットワークルーティング装置において、上記ルーティング装置は、スイッチ、ルータおよびハブからなる群から選択された装置として作動するように構成されていることを特徴とするネットワークルーティング装置。

Images