JP2010086177A

JP2010086177A - アクセス制御システム及び方法

Info

Publication number: JP2010086177A
Application number: JP2008252863A
Authority: JP
Inventors: Hitomi Nagami; 瞳永見
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2008-09-30
Filing date: 2008-09-30
Publication date: 2010-04-15

Abstract

【課題】シンクライアントとして利用されるコンピュータ側の情報に基づいて、セキュリティ管理されたネットワークへのアクセスを制御できるシステムを提供する。
【解決手段】ＬＡＮ５へのアクセスが許可されているコンピュータ３のＭＡＣアドレスが記述されたＭＡＣアドレスリスト２５とシンクライアント用ＯＳ２３をＵＳＢメモリ２に記憶しておき、ＵＳＢメモリ２が接続されることで、シンクライアント用ＯＳ２３が起動し、シンクライアントとして機能するコンピュータ３は、ＵＳＢメモリ２に記憶されたＭＡＣアドレスリスト２５を参照し、該コンピュータ３のＭＡＣアドレスに基づいてＬＡＮ５へのアクセスを制御する。
【選択図】図２

Description

本発明は、シンクライアントシステムにおいて、セキュリティ管理されたネットワークへのシンクライアントのアクセスを制御するための技術に関する。

ネットワーク技術の発展に伴い、企業などにおいては、企業情報の流出や盗難などを防ぐために、クライアントに最小限の機能を持たせ、セキュリティ管理されたネットワークに設置されたサーバ側に、情報資源（アプリケーションやデータファイル）を集中させるシンクライアント（Thin Client)システムが普及しつつある。

既存のコンピュータをシンクライアントとして利用するとき、Ｗｉｎｄｏｗｓ（登録商標）に代表される汎用的なオペレーティングシステム（OS: Operating system)ではなく、シンクライアントシステム専用のＯＳ（以下、「シンクライアント用ＯＳ」と記す。）をコンピュータで起動させる。

既存のコンピュータに予めシンクライアントＯＳをインストールさせておくこともできるが、シンクライアントＯＳは最小限の機能（例えば、ブラウザ機能とネットワーク通信機能）しか持たないため、シンクライアントＯＳのサイズも小さく、ＵＳＢメモリなどのトークンにシンクライアントＯＳを格納し、該トークンに格納されたシンクライアントＯＳを既存のコンピュータで起動させることが考えられている。

ＵＳＢメモリなどのトークンにシンクライアントＯＳを格納することで、企業に設置されている既存のコンピュータのみならず、従業員の自宅に設置されたコンピュータや、持出可能なノート型コンピュータをシンクライアントとして利用することができる。

セキュリティ管理されたネットワーク外から該ネットワークへアクセスするとき、シンクライアントとして利用しているユーザを認証するのが一般的である。

シンクライアントとして利用するコンピュータを操作するユーザを認証する手法は様々で、例えば、認証サーバにユーザＩＤとパスワードを記憶させ、シンクライアントとして利用するコンピュータからセキュリティ管理されたネットワークへのアクセスがあったとき、該ネットワークに設置された認証サーバがユーザＩＤとパスワードを認証する一般的な手法を用いることもできるし、また、特許文献１などで開示されているような指紋認証付きのＵＳＢメモリにシンクライアントＯＳを格納し、該ＵＳＢメモリをユーザが利用するときに、該ＵＳＢメモリ側でユーザの指紋を認証するようにすることもできる。

また、ユーザ認証のみならず、コンピュータウィルスの脅威に対するセキュリティ強度を高めるために、特許文献２では、シンクライアントＯＳに加え、シンクライアントがアクセス可能なアクセス先（例えば、ＵＲＬ）のリストをＵＳＢメモリのようなトークンに記憶させ、該リストに記述されたアクセス先以外へのアクセスをシンクライアント側で禁止する発明も開示されている。

特表２００８−５３６２０５号公報特開２００８−１６５５４１号公報

しかしながら、上述した従来技術では、シンクライアントを操作するユーザや、シンクライアントのアクセス先を限定することができるが、セキュリティ管理されたネットワークへアクセスできるコンピュータを限定することはできない問題がある。

例えば、従業員の自宅のコンピュータをシンクライアントとして利用するとき、ファイル共有ソフトのインストールなどを禁止しておけば、シンクライアントとして利用するコンピュータの環境に制限を設けることができるかも知れないが、インターネットカフェのような不特定多数の人が利用するコンピュータなどにおいては、シンクライアントとして利用するコンピュータの環境に制限を設けることは困難である。

そこで、本発明は、シンクライアントシステムにおいて、シンクライアントとして利用されるコンピュータ側の情報に基づいて、セキュリティ管理されたネットワークへのアクセスを制御できるシステム及び方法を提供することを目的とする。

上述した課題を解決する第１の発明は、シンクライントとして利用されるコンピュータのアクセス先を制御するアクセス制御システムであって、セキュリティ管理されたネットワークへのアクセスが許可されているコンピュータの識別情報のリストとシンクライアント用オペレーティングシステムをハードウェアトークンに記憶しておき、前記ハードウェアトークンが接続され前記シンクライアント用オペレーティングシステムが起動することで、シンクライアントとして機能するコンピュータが、前記ハードウェアトークンに記憶された前記リストを参照し、該コンピュータの識別情報に基づいて前記ネットワークへのアクセスを制御することを特徴とするアクセス制御システムである。

更に、第２の発明は、シンクライントのアクセス先を管理するアクセス制御方法であって、セキュリティ管理されたネットワークへのアクセスが許可されているコンピュータの識別情報のリストとシンクライアント用オペレーティングシステムをハードウェアトークンに記憶しておき、前記ハードウェアトークンがコンピュータに接続され、前記シンクライアント用オペレーティングシステムが該コンピュータ上で起動するステップa、該コンピュータが、前記ハードウェアトークンに記憶された前記リストを参照し、該コンピュータの識別情報に基づいて前記ネットワークへのアクセスを制御するステップｂが実行されることを特徴とするアクセス制御方法である。

上述した本発明によれば、セキュリティ管理されたネットワークへのアクセスが許可されているコンピュータの識別情報のリストをハードウェアトークンに記憶し、該リストに識別情報が含まれてないコンピュータから該ネットワークへのアクセスを禁止するようにすれば、セキュリティ管理されたネットワークへアクセスできるコンピュータを限定することができる。

ここから、本発明の好適な実施形態について、図を参照しながら詳細に説明する。図１は、本実施形態のアクセス制御システム１を説明する図である。

図１で図示したアクセス制御システム１は、本発明に係わるハードウェアトークンとして機能するＵＳＢメモリ２(USB Memory)と、ユーザやネットワークカフェなどに設置され、インターネット６に接続されているコンピュータ３と、ＤＭＺ４（DMZ: DeMilitarized Zone）内に設置されるファイヤーオール機器４０及びＶＰＮ機器４１（VPN: Virtual Private Network）と、ＬＡＮ５(LAN: Local Area Network)内に設置されるＲＡＤＩＵＳサーバ５１（Radius: Remote Authentication Dial In User Service）と、ＬＡＮ５内に設置されたルータ５０（Router）と、ルータ５０に接続されたアプリケーションサーバ５２(Applicaiton Server)とから構成されている。

図２は、図１で図示したアクセス制御システム１を構成するＵＳＢメモリ２を説明する図である。本発明に係わるハードウェアトークンとして機能するＵＳＢメモリ２には、コンピュータ３とＵＳＢ接続するためのＵＳＢコネクタを有し、ＵＳＢ通信を実現するＵＳＢインターフェース回路２０と、ＵＳＢメモリ２がコンピュータ３に接続されたとき、ＵＳＢメモリ２を外部記憶デバイスとして振る舞うように制御するコントローラ２１と、データやコンピュータプログラムが記憶されるフラッシュメモリ２２を備えている。

ＵＳＢメモリ２のフラッシュメモリ２２には、ＵＳＢメモリ２が接続されたコンピュータ３を動作させるコンピュータプログラムとして、ＵＳＢメモリ２が接続されたコンピュータ３のＲＡＭに展開されるシンクライアント用オペレーティングシステム（OS: Operating System）２３が記憶されている。

更に、ＵＳＢメモリ２に記憶されたシンクライアント用ＯＳ２３には、ＵＳＢメモリ２が接続されたコンピュータ３の固有情報（ここでは、ＭＡＣアドレス）を利用して、該コンピュータ３のアクセスを制御するアクセス制御モジュール２４が含まれ、アクセス制御モジュール２４が利用するデータとして、ＵＳＢメモリ２のフラッシュメモリ２２には、ＬＡＮ５内のリソース（ここでは、アプリケーションサーバ５２）へのアクセスが許可されているコンピュータ３のＭＡＣアドレスが記述されたＭＡＣアドレスリスト２５が記憶されている。

ここから、図２を用いて説明したＵＳＢメモリ２を利用して、ＵＳＢメモリ２が接続されることでシンクライアントとして機能するコンピュータ３のアクセスを制御する内容について詳細に説明する。

図３は、コンピュータ３のＬＡＮ５へのアクセスを制御する手順を示したフロー図である。ＵＳＢメモリ２がコンピュータ３に接続されると、例えば、特許文献３で開示されている発明などが用いられて、ＵＳＢメモリ２に記憶されたシンクライアント用ＯＳ２３がコンピュータ３上で起動する（図３のＳ１）。
特許第３７６６４２９号公報

シンクライアント用ＯＳ２３がコンピュータ３で起動すると、シンクライアント用ＯＳ２３のアクセス管理モジュール２４が起動し(図３のＳ２)、アクセス管理モジュール２４は起動すると、コンピュータ３のＭＡＣアドレスを取得する（図３のＳ３）。

アクセス管理モジュール２４はコンピュータ３のＭＡＣアドレスを取得すると、ＵＳＢメモリ２のフラッシュメモリ２２に記憶されたＭＡＣアドレスリスト２５を参照し、コンピュータ３のアクセス制御を開始し（図３のＳ４）、図３で図示した手順は終了する。

具体的には、アクセス制御モジュール２４は、コンピュータ３のＭＡＣアドレスがＵＳＢメモリ２のＭＡＣアドレスリスト２５に含まれているときのみ、コンピュータ３がＬＡＮ５内のリソース（ここでは、アプリケーションサーバ５２）へアクセスする動作を許可し、コンピュータ３のＭＡＣアドレスがＵＳＢメモリ２のＭＡＣアドレスリスト２５に含まれていなければ、コンピュータ３をシャットダウンさせるなどして、コンピュータ３がＬＡＮ５内のリソース（ここでは、アプリケーションサーバ５２）へアクセスする動作を禁止する。

このように、本発明によれば、ＬＡＮ５内のリソース（ここでは、アプリケーションサーバ５２）へのアクセスを許可するコンピュータ３のＭＡＣアドレスをＵＳＢメモリ２のＭＡＣアドレスリスト２５に記述しておけば、ＭＡＣアドレスリスト２５にＭＡＣアドレスが記述されていないコンピュータ３からＬＡＮ５内のリソースへのアクセスを禁止することができるようになる。

例えば、図１で図示したシンクライアントシステム１において、自宅に設置されたコンピュータ３のＭＡＣアドレスが「01-02-03-04-05-06」で、ノート型のコンピュータ３のＭＡＣアドレスが「11-12-13-14-15-16」で、ネットカフェに設置されたコンピュータ３のＭＡＣアドレスが「21-22-23-24-25-26」であり、ＵＳＢメモリ２に記憶されたＭＡＣアドレスリスト２５に「01-02-03-04-05-06」及び「11-12-13-14-15-16」が含まれている場合、ネットカフェのコンピュータ３のＭＡＣアドレスはＭＡＣアドレスリスト２５に含まれていないため、ネットカフェのコンピュータからＬＡＮ５内のリソースへのアクセスは許可されない（図１の（ウ））。

また、自宅及びノート型のコンピュータ３のＭＡＣアドレスはＭＡＣアドレスリスト２５に含まれているため、これらのコンピュータ３からＬＡＮ５内へのアクセスは許可され、コンピュータ３からＲＡＤＩＵＳサーバ５１に対しリモート認証を要求し、リモート認証に成功すると、ＶＰＮ機器４０などを利用して、コンピュータ３とＬＡＮ５間でＶＰＮが構築され、コンピュータ３はＬＡＮ５内のリソースへアクセスできるようになる（図１の（ア）及び（イ））。

本実施形態のアクセス制御システムを説明する図。ハードウェアトークンとして機能するＵＳＢメモリを説明する図。コンピュータのＬＡＮへのアクセスを管理する手順を示したフロー図。

符号の説明

１アクセス管理システム
２ＵＳＢメモリ
２２フラッシュメモリ
２３シンクライアント用ＯＳ
２４アクセス制御モジュール
２５ＭＡＣアドレスリスト
３コンピュータ
５ＬＡＮ
５２アプリケーションサーバ

Claims

シンクライントとして利用されるコンピュータのアクセス先を制御するアクセス制御システムであって、セキュリティ管理されたネットワークへのアクセスが許可されているコンピュータの識別情報のリストとシンクライアント用オペレーティングシステムをハードウェアトークンに記憶しておき、前記ハードウェアトークンが接続され前記シンクライアント用オペレーティングシステムが起動することで、シンクライアントとして機能するコンピュータが、前記ハードウェアトークンに記憶された前記リストを参照し、該コンピュータの識別情報に基づいて前記ネットワークへのアクセスを制御することを特徴とするアクセス制御システム。
シンクライントのアクセス先を管理するアクセス制御方法であって、セキュリティ管理されたネットワークへのアクセスが許可されているコンピュータの識別情報のリストとシンクライアント用オペレーティングシステムをハードウェアトークンに記憶しておき、前記ハードウェアトークンがコンピュータに接続され、前記シンクライアント用オペレーティングシステムが該コンピュータ上で起動するステップa、該コンピュータが、前記ハードウェアトークンに記憶された前記リストを参照し、該コンピュータの識別情報に基づいて前記ネットワークへのアクセスを制御するステップｂが実行されることを特徴とするアクセス制御方法。