JP2011082983A - ネットワークリソースを保護するための装置及び方法 - Google Patents

Abstract

【課題】ネットワーク資源を不正アクセスから保護し、新しい顧客装置へのアクセスを可能とする装置及び方法の提供。
【解決手段】グローバルサーバが、グローバル及び組織ルート証明書によって構成され、ＡＰ(アクセスポイント）へグローバルサーバ／顧客証明書を発行し、次に、ＣＤＥ（顧客装置イネーブラ）へグローバル顧客証明書を発行し、組織へ複数のＡＰ及び／又はＣＤＥが選択され、グローバルサーバのＡＰ及びＣＤＥの識別を記憶し引き渡し、ＡＰが展開され、組織証明書によってＡＰを構成し、新しい顧客装置を「提供」するためにＣＤＥをダウンロード又は結合し、グローバルＰＫＩを使ってＡＰとＣＤＥが相互自己認証し、ＡＰへ新しい顧客への証明要求を発行し、ＡＰは組織ＰＫＩ内の顧客へ顧客証明書を発行し、ＡＰは組織の顧客ホワイトリストへ新しい顧客を追加し、ＡＰの組織中間ＣＡ証明書とＣＤＥのグローバル顧客証明書をロールオーバーする。
【選択図】図２

Description

本発明は、コンピュータシステム及びデータセキュリティ（安全性）の分野に係り、より詳細には、不正アクセスからネットワークリソースを保護すると共に、新しい顧客装置のネットワークリソースへのアクセスを可能とする装置及び方法を提供する。

ネットワーク上のコンピュータシステムを効率的に操作および設定するためには、高度な知識が必要とされる。大規模な組織は、通常、多数のＩＴスタッフを維持することにより、新しい機器の設定、既存の機器の維持、ユーザの機器使用サポート、安全ポリシーの適用、およびネットワークセキュリティーの監視、などを行っている。しかし、特に小規模な組織は、同様の機能を果たすために十分な数の正規ＩＴスタッフを賄うことができず、組織内におけるＩＴ業務に携わる者は、多数の問題に対応することができない可能性がある。

特に、組織内におけるネットワークリソースを不正アクセスから保護する重要な仕事は、十分に効果的に果たされていない場合がある。問題の複雑性のため、ネットワークが違反行為にさらされて初めてシステムの有効性の欠落が組織に明かされる場合もある。電子的に格納されるデータ量は大量な域に達しており、日々増える傾向にあるため、ネットワークにおける安全性の維持は重要な課題である。

本発明のいくつかの実施の形態において、特に、組織内の新しい顧客装置の自動設定に関連して、組織のネットワークリソースを保護するための装置及び方法が提供されている。不正アクセスからリソースを保護する一方、全ての認証された担当者（ユーザ）のアクセスを完全に支援することは、リソースの使用を求める全てのエンティティ（集合体）を証明書に基づいて認証することを可能にする二つの協働するＰＫＩ（公開鍵基盤）スキームの使用に基づいている。

第１のグローバル（大域的）なＰＫＩスキームは、大域的に利用可能な認証サーバ（例えば、インターネットを介して、利用可能なサーバ）に根ざしている。ネットワーク装置、クライアント（顧客）を認証し、組織のネットワークへのアクセスを承認するために使用される認証手段、及び、新しい顧客装置を設定するために使用される顧客装置イネーブラ（ＣＤＥ）に対しては、グローバルＰＫＩ内で証明書が発行される。このスキームは、動作上の理由から望ましいか否かによって、ネットワーク装置、顧客装置、及び認証手段が、どの組織によって使用されるかを知る前に設定されることを可能とするために行われる。

特定の組織に結合されたネットワーク装置、認証手段、及びＣＤＥの識別子（例えば、シリアル番号、顧客証明書など）は、ネットワークへのアクセスを許可されたユーザや装置に限定することを補助するために、記録され組織の認証手段の間で共有される。認証手段は、独立型ネットワークコンポーネントであってよいし、又は、アクセスポイント（例えば、無線アクセスポイント）、スイッチ、又は他の通信装置と共同配置されてもよい。

第２の組織別ＰＫＩスキームもまた、利用可能性が高い認証サーバ又は他のリソースに根差している。個別のルートＣＡ（認証）は、組織別に管理される。組織の認証手段には、組織のサブルート（中間）ＣＡ証明書が発行され、このＣＡ証明書によって、組織のＰＫＩ内で、新しい顧客装置へ顧客証明書を発行させる、これによって、ルートＣＡが一時的に使用不可能な場合、又はオフラインの場合でも、認証手段は、新しい証明書を発行することができる。

特定の組織に対して新しい顧客装置を設定するために、その組織と結合したＣＤＥは、グローバルＰＫＩのもとで発行された証明書を用いて、組織の認証手段の一つと相互認証を行う。認証の成功後、ＣＤＥは、組織のＰＫＩ内で、顧客装置への新しい組織の顧客証明書をリクエストし、認証手段は、顧客証明書を発行する。

顧客装置が設定された後、顧客装置は、組織証明書を使用して、認証手段に対して自己認証し、組織のネットワークへアクセスする。いくつかの実施の形態において、顧客の証明書（又はその指紋）は、組織の認証手段間で共有されるホワイトリストに追加される。このホワイトリストは、到達可能になった時、グローバル管理サーバと共有するか、又は、局所的（ローカル）手段を介して、共有することができる。

組織の認証手段及びＣＤＥの識別子（例えば、証明書、証明指紋、他の識別子）も、ホワイトリストとして、広めることができる。このホワイトリストは、使用可能となった場合、グローバル管理サーバを介して、又は、他のローカル手段を介して、広めることができる。損失、盗難、又は紛失に遭ったコンポーネント又は装置は、ホワイトリストから外されるか、及び／又は、使用されように、ブラックリストに入れられる。

いくつかの実施形態においては、グローバルルートＣＡへの接続が使用可能になった場合に、新しい顧客が設定された後、現在設定中の認証手段の中間ＣＡ証明書（組織ＰＫＩ内にある）及び現在設定中のＣＤＥの顧客証明書（グローバルＰＫＩ内にある）は、交換されるか、使用後に更新される。例えば、カウンタ又は他の識別データフィールドを新しい証明書において変更することができる。これらの証明書を定期的に更新することによって、認証手段又はＣＤＥが、損失、盗難、又はセキュリティ侵害に遭った場合でも、すぐに修正措置を取ることができる（即ち、該当する証明書がホワイトリストから外され、ブラックリストに加えられる）。使用後、可能であれば、いつでも、ＣＤＥ顧客証明書及び認証手段の中間ＣＡ証明書をロールオーバーすることによって、各証明書の下で発行されている顧客証明書の数が削減され、これらを無効化したりブラックリストに入れたりすることによる影響が緩和される。更に、ＣＤＥのコピーの検出がより迅速に行われる。

本発明のいくつかの実施の形態が実行される処理環境を示すブロック図である。 本発明のいくつかの実施の形態による、新しい顧客装置を設定する一方、不正アクセスからネットワークリソースを保護するための方法を示す流れ図である。 本発明のいくつかの実施の形態による、組織のネットワークリソースへのアクセスを保護するためのハードウェア装置を示すブロック図である。 本発明のいくつかの実施の形態による、認証サーバを示すブロック図である。

本発明のいくつかの実施の形態において、組織側の実質的な専門知識や労力を必要とせずに、組織のネットワークリソースを不正アクセスから保護するための装置及び方法が提供されている。これらの実施例において、ネットワーク内での動作設定が行われた時、個々の装置（例えば、新しい顧客装置）は、セキュリティスキームに参加する。

多数のＰＫＩ（公開鍵基盤）が、ネットワーク装置を認証し、ネットワークの動作を許可するために使用されるが、組織は、ＰＫＩの管理及び動作に専用に用いるためのサーバを維持する必要はない。代わりに、サーバが使用不可能になった場合でも、継続して機能することができるクラウドベースの認証サーバが、インフラストラクチュアを管理する。ＰＫＩの指示に従って、証明書が発行され、コンポーネントは、組織のネットワークにアクセスする前に、証明書に基づく認証スキームに認められる必要がある。

より具体的には、グローバルＰＫＩスキームは、組織の新しい顧客処理装置を設定するために動作する顧客装置イネーブラ（ＣＤＥ）、及び、組織のネットワークへアクセス可能となる前にＣＤＥと顧客装置を相互認証する組織の認証手段（例えば、無線アクセスポイント、スイッチ）へ、証明書を分配する。このように、ＣＤＥと認証手段の間の認証は、グローバルＰＫＩ証明書を用いて実行され、新しい顧客を認証する目的のために実行される。これによって、ＣＤＥは、動作上の望ましいかどうかの判断によって、ＣＤＥが使用される組織を知る前に、設定されることが可能となる。グローバル管理サーバにおいては、任意のＣＤＥの所有権を追跡すべくテーブル（表）が維持される。

組織別のＰＫＩスキームは、組織の認証手段へ、中間ＣＡ（認証局）証明書とサーバ証明書を配布し、組織の顧客へ顧客証明書を配布することができる。このように、組織のネットワークを定期的に使用するには、組織の証明書による相互認証が要求される。（ネットワーク装置には、さまざまな用途の組織証明書が発行される。例えば、顧客証明書を発行させる中間ＣＡ証明書、及び、ネットワークを顧客と相互認証させるためのサーバ証明など。）

図１は、本発明のいくつかの実施の形態が実行される処理環境を示すブロック図である。

これらの実施の形態において、グローバルサーバ１１０は、一つ以上の組織のためのＰＫＩを管理し、ネットワーク１４０を介してアクセス可能であり、インターネット、組織的イントラネット及び／又は他の一般及び／又は個人のネットワークを含むことができる。以下に記載されているように、組織のネットワーク及びネットワークリソースは、（例えば、ネットワーク１４０の機能停止のため、）グローバルサーバが利用できない場合でも、保護することができ、認証されたユーザは、完全アクセスが可能である。

グローバルサーバ１１０は、認証サーバと見なすことができる。というのは、一つ以上のＰＫＩのルートとしての働きをするからである。他の実施の形態において、サーバ１１０の機能（例えば、認証、ＰＫＩ管理、装置登録）は、複数のエンティティ間で分割することができる。

グローバルサーバ１１０には、ネットワーク１４０によって、組織のアクセスポイント（ＡＰ）及び／又は他の通信装置及びネットワーク装置が結合されている。例えば、 無線アクセスポイント（ＷＡＰ）１３０ａ−１３０ｍは、個々の組織（即ち、組織Ａ）に代わって、ネットワークアクセスとリソース間の通信を提供するために動作する。組織のリソースも、ラップトップ型及びノート型パソコン、パーソナル携帯端末（ＰＤＡ）、ネットブック、デスクトップコンピュータ、ワークステーションなどの任意の数及び任意の種類の顧客装置１３２を含む。

アクセスポイント（ＡＰ）１３０は、認証手段と見なすことができる。というのは、ＡＰ１３０は、相互認証スキームに参加して、ネットワークリソースへのアクセスを認証されたエンティティに限定するからである。

アクセスポイント１３０は、ネットワークリソースへのアクセスを提供し保護するために、組織が使用できる認証手段の例示的な形態にすぎない。ネットワークリソースへのアクセスを保護するために認証手段として作動することができる他の種類の装置の例としては、スイッチ、ルータ、ＶＰＮ（仮想プライベートネットワーク）ゲートウェイなどがあげられる。

クライアント（顧客）装置イネーブラ（ＣＤＥ）１２０は、設定論理１２２を実行することによって、組織内で動作するための新しい顧客装置の設定を補助するように構成される。本発明のいくつかの実施の形態において、ＣＤＥ１２０は、ＵＳＢ（ユニバーサルシリアルバス）装置、コンパクトディスク、又は他の取外し可能な格納（記憶）媒体を含む。他の実施の形態において、ＣＤＥ１２０は、ネットワークダウンロード、電子メール、インスタント・メッセージ、又は他の手段を介して、装置に配信できる論理の集合を含む。

新しい装置が構成される時、ＣＤＥは、装置に結合されるか又はインストールされる。次に、設定論理は、組織のネットワーク内で動作するための装置を構成することを実行し、一つ以上のディジタル証明書をインストールすることを含むことができる。

本発明のいくつかの実施の形態において、顧客装置イネーブラは、複数の顧客装置を設定するために、複数回、使用することができる。顧客装置イネーブラは、それが使用される度に、組織の認証手段のうちの１つによってそれ自体を相互認証する必要がある。認証手段は、ＣＤＥによって提供されるディジタル証明書を認証するだけでなく、ＣＤＥ識別（例えば、証明書のシリアル番号）を、組織（例えば、ホワイトリスト）内で使用するために承認されたＣＤＥのリストと、照合する。この認証及び確認は、ＣＤＥの証明書の指紋を、（グローバル管理サーバ又は他の局所的手段によって全ての組織の認証手段に予め送られている）許容可能な指紋リストと単に照合するだけでも、実行することができる。

いくつかの顧客装置イネーブラは、最大使用回数を限定することができる（例えば、１、５、１０）。この種のＣＤＥが顧客を設定するために使用される場合、カウンタは、（例えば、グローバルサーバ１１０上の）中央データベース及び／又は組織のＡＰ１３０間で共有されるリストにおいて、増分することができる。承認回数分を使用された後のＣＤＥは、それ以降に有効なＣＤＥとして受け入れられないように、データベース及び／又は許容可能リストから取り除かれる。

本発明のいくつかの実施の形態において、組織のネットワーク内のアクセスポイントは、２つの動作モードを支持することができる。１つのモードは、許可され、認証された装置にネットワークリソースの完全使用を提供する。このモードは、組織のＰＫＩ内で発行された顧客ディジタル証明書によって、設定され、構成された顧客装置によって使用可能である。

第２のモードは、いくつかのネットワークリソースの限定使用を可能にする。この第２モードの動作において、「ゲスト」の顧客（例えば未だに設定されていない新しい顧客装置）は、電子メール、ネットワークダウンロード、又は他の伝送方法を介して、ソフトウェアベースのＣＤＥを受信するために充分なアクセスを得ることが可能である。顧客装置を設定するために、ＣＤＥがダウンロードされ、実行された後、装置は、完全なネットワークアクセスのために、第１のモードの動作において、動作することが可能である。

ネットワーク及びネットワークリソースを保護するために、グローバルサーバ１１０は、データベース１１２及び様々なＰＫＩ証明書を含む。データベース１１２は、組織のネットワークに参加することを許可された機器又は装置の識別子を記憶する。アクセスポイント及び顧客装置イネーブラなどの新しいネットワークリソースが組織のネットワークで使用することが許可されると、それらの識別が組織に関連付けられて、データベースに記憶される。

グローバルサーバによって記憶されたＰＫＩ証明書には、グローバルＣＡ（認証局）ルート証明書１５０が含まれ、グローバルサーバによって扱う各組織には、その組織に特有のＣＡルート証明書１７０がある。例えば、組織Ａ〜Ｎに対しては、グローバルサーバは、組織ＣＡルート証明書１７０ａ〜１７０ｎを記憶する。

このように、複数のＰＫＩは、グローバルサーバに固定される。ＣＡルート証明書１５０に根差したグローバルＰＫＩは、グローバルセキュリティスキームを実施するためのディジタル証明書のフレームワーク全体を提供する。グローバルセキュリティスキームは、認証されていない装置がネットワークリソースを使用することを防止すると共に、ＣＤＥ及び認証手段が組織内に新しい顧客装置を設定することを可能にする。これは、「グローバル」ＰＫＩと呼ばれる。

各組織に対して一つの更なるＰＫＩは、それぞれのＣＡルート証明書に根差しており、対応する組織内で使用するためのディジタル証明書のフレームワークを構築するために使用される。組織別の証明書は、組織のネットワークへの定期的なアクセスを判定するための事後設定に使用される。これらのＰＫＩは、「組織」ＰＫＩと呼ぶことができる。

グローバルサーバが維持するルート証明書ごとに、グローバルサーバも対応する個人鍵を所有している。これによって、サーバに、装置及び機器のための新しい証明書を発生させることができる。グローバルサーバにおけるグローバルＰＫＩ及び組織ＰＫＩを管理することによって、個々の組織がそれらのＰＫＩを管理することに努力又はリソースを注ぐ必要がないことが分かる。

組織の認証手段（例えば、組織Ａの無線アクセスポイント１３０ｍ）も、様々なディジタル証明書を記憶する。これらの証明書は、ＣＤＥが新しい顧客装置を設定しようと試みる時、顧客装置イネーブラにそれ自体を認証させるために、グローバルルート証明書１５０によって署名されたサーバ証明書１５４を含むことができる。ＡＰ１３０ｍは、それ自体をグローバルサーバ１１０に認証させるために、やはり、グローバルルート証明書１５０によって署名されたグローバル顧客証明書１５６を更に含む。

組織ＡのＰＫＩに関しては、ＡＰ１３０ｍは、（対応する公開鍵を組み込む）組織のルート証明書１７０ａのコピーを含む。これらは、ＡＰによって、顧客を認証させることができる。顧客のためのホワイトリストが使用中の場合、ＡＰは、許容できる顧客証明書のリスト又は許容できる顧客証明書の指紋のリストのいずれかを含むことができる。接続が利用可能になった時毎にこのリストはグローバル管理サーバによって更新される。

ＡＰ１３０ｍは、組織ＣＡルート証明書１７０ａによって署名され、この証明書より下位である、組織Ａ（証明書１７２ａ）のための中間ＣＡ証明書も含む。これは、ＡＰが、グローバルサーバを使わずに、組織ＰＫＩ内に顧客ディジタル証明書を発行することを可能にする（そして、サーバがオフラインである時でも、新しい顧客を使用可能にすることができる）。最後に、ＡＰもルート証明書１７０ａによって署名されたサーバ証明書１７４を有し、顧客装置に対してＡＰが自身を認証することができる。

図１において示された本発明の実施の形態において、ＣＤＥが新しい顧客装置を設定するため動作する時にアクセスポイントにそれ自体を認証させるために、顧客装置イネーブラ（ＣＤＥ）１２０は、（グローバルルート証明書１５０によって署名された）グローバル顧客証明書１５８を所有する。組織ＰＫＩに関しては、ＣＤＥ１２０は、ルート証明書１７０ａと対応する公開鍵のコピーを有し、それによって、組織アクセスポイント１３０を認証することができる。

アクセスポイント１３０ｍ及び／又はＣＤＥ１２０も、グローバルＣＡルート証明書１５０のコピーを記憶する。

図１において表わされる本発明の実施の形態において、個々の顧客１３２は、組織のＰＫＩ内で発行される証明書だけを所有する。特に、顧客は、組織ＡのルートＣＡ証明書１７０ａのコピーを有し、これによって、組織のネットワークに接続する時に、ＡＰを認証することができる。顧客も中間ＣＡ証明書１７２ａによって（及び、拡張により、ルート証明書１７０ａによって）署名された顧客証明書１７６ａと、発行する認証手段の中間ＣＡ証明書１７２ａと、を所有する。これらの証明書が装置によってそれ自体をＡＰに認証させる。

装置が顧客装置イネーブラによって設定される時、組織の顧客装置１３２の証明書の構成が、組み立てられる。設定の前に、顧客装置は、組織証明書を持っていない場合があり、（おそらく、限られた「ゲスト」モードを除いて）組織ネットワークにアクセスすることが不可能な場合もある。

しかしながら、本発明の他の実施の形態において、顧客装置は、グローバルＣＡルート証明書１５０によって署名されたグローバル顧客証明書を既に備えた組織によって受信することができる。この証明書は、認証手段を有する初期認証を可能とするために使用することができ、その後、顧客上にすでにインストールされるか、又は、認証手段又は他のネットワーク場所からダウンロードされるソフトウェアを使用して、設定することができる。

このように、本明細書中で記載されている本発明の実施の形態において、グローバルＰＫＩは、新しい顧客装置の安全な設定を可能とするために、顧客装置イネーブラと組織の認証手段（例えば、アクセスポイント）の間の信頼できる通信を可能とするために使用される。また、グローバルＰＫＩは、認証手段とグローバルサーバによって、それら自体を互いに対して、相互認証させる。

組織のＰＫＩは、組織のネットワークリソースの使用を認証するために使用される。このように、ＣＤＥが新しい顧客装置を設定することが許可された後、顧客は、アクセスポイントにそれ自体を認証させるために、組織ＰＫＩ内で発行された証明書を使用するように構成される。

本発明のいくつかの実施の形態において、組織の認証手段は、どのエンティティが組織のネットワークにアクセスできるか又はアクセスできないかを判断することを補助するために、一つ以上のホワイトリスト１９０及び／又はブラックリストを共有する。

例えば、新しい顧客が設定され、ネットワークに受け入れられた後、その顧客証明書及び／又は他の識別子が顧客ホワイトリストに追加される。ホワイトリストが全ての認証手段に配布されると、それらは、直接、（即ち、その証明書チェーンによってそれを認証せずに、）顧客を認証することができる。

例えば、顧客ホワイトリストは、承認された顧客の証明書の指紋（例えば、ハッシュ）を含むことができ、顧客が認証のためのその証明書を提出する時、認証手段は、単に提出された証明書から比較指紋を生成し、顧客の識別及び認証を検証するために、その指紋をホワイトリストの一つと比較することができる。

新しい顧客の設定と更新されたホワイトリストの配布との間の期間において、認証手段は、通常のやり方で、その証明書チェーンを介して、顧客を認証することができる。顧客が無効であるとみなされた場合、その証明書は、ホワイトリストから単純に除去することができ、及び／又は、それがネットワークにアクセスすることを防止するために、ブラックリストに追加することができる。

組織の認証手段の中で共有することができる他のホワイトリストは、認証手段の組織の中間ＣＡ証明書（又はその指紋）のリストである。顧客の証明書が顧客ホワイトリストに追加される前に、個々の認証手段が新しい顧客装置に発行された組織の顧客証明書を認証することを助ける。

共有することができる更に他のホワイトリストは、有効な顧客装置イネーブラのグローバル顧客証明書（又はその指紋）を含む。所定数の顧客を設定した後、ＣＤＥが無効になり、損失され、又は、盗難に遭った場合、そのＣＤＥは、ＣＤＥホワイトリストから取り除くことができ、認証手段がそのＣＤＥを承認し、そのＣＤＥによって、他の装置を設定させることを防止する。

本発明のいくつかの実施の形態において、別々のＣＤＥ管理サーバ（又はＣＭＳ）は、組織のＣＤＥを登録するために実施することができる。ＣＭＳは、組織のネットワーク内、又は、ネットワークの外部（例えば、図１のグローバルサーバ１１０によって）に配置することができる。組織に結合される各ＣＤＥは、ＣＭＳにおいて登録することが必要となり、及び／又は、ＣＭＳは、例えば、ＣＤＥ論理をダウンロードするか又は電子メールを送信することによって、又は、ソフトウェアをＵＳＢドライブ、コンパクトディスク、又は他の携帯用格納装置に記憶することによって、新しいＣＤＥを生成するか又は発行するように構成することができる。

図２は、本発明のいくつかの実施の形態による、新しい顧客装置を設定すると共に、不正アクセスからネットワークリソースを保護する方法を示す流れ図である。

これらの実施の形態において、ＥＡＰ-ＴＬＳ（拡張認証プロトコル−トランスポート層セキュリティ）は、ネットワークエンティティ間の相互認証のために、証明書に基づいた安全なスキームを提供するために使用される。ＥＡＰ-ＴＬＳセキュリティスキームのＴＬＳ部分は、組織のネットワーク内での顧客のデータ接続を暗号化するために使用されないが、寧ろ、顧客及びネットワークを認証するために使用され、顧客のデータ接続を暗号化するために使用される他の暗号化鍵の安全な交換を可能とする。

ＥＡＰ-ＴＬＳは、上記の「組織」ＰＫＩを提供するか又はサポートする。即ち、「グローバル」ＰＫＩは、ＥＡＰ-ＴＬＳスキームの外部で維持される。図２に関連して、記載した方法は、単一の組織ＰＫＩを使用しているが、ＥＡＰ-ＴＬＳ仕様に対して提供されるように、二重ＰＫＩの使用が、本発明の範囲を逸脱することなく、適用可能であることを当業者は理解するであろう。

動作２００において、グローバル認証サーバは、グローバルＰＫＩのＣＡルート証明書によって構成される。本明細書に記載されているように、組織がそれらのネットワークを保護させることを選択した時、グローバルサーバには、個々の組織のＰＫＩのＣＡルート証明書が投入される。

有利なことには、認証サーバは、専ら、組織のネットワーク及びリソースを保護するために用いられるセキュリティのファシリテータ（まとめ役）又は他のエンティティ（集合体）によって、管理される。これは、組織を、それらのセキュリティに関する姿勢の一定した意識を維持し、ディジタル証明書の発行及び取り消しを管理し、ＣＤＥの構成する必要性から、解放することができる。

動作２０２において、認証サーバは、グローバルＰＫＩ内で選択された認証手段（例えば、無線アクセスポイント、スイッチ）へ適当なディジタル証明書を発行する。例えば、認証手段には、グローバルサーバに自己認証させるための顧客グローバル証明書、及び顧客装置を設定するために動作する顧客装置イネーブラなどの他の装置に対して自己認証させるためのサーバグローバル証明書が発行される。

図２に提供されている本発明の方法の動作を説明するために、認証手段の一例として、アクセスポイント（ＡＰ）が使用される。本発明の他の実施の形態は、他の種類の認証手段を使用することができる。

動作２０４において、認証サーバは、顧客装置イネーブラに適切なディジタル証明書を発行する。具体的には、これらの実施の形態において、ＣＤＥには、顧客グローバル証明書が発行され、これらの証明書によって、ＣＤＥは、展開されたアクセスポイントに対して自己認証することができる。いくつかの実施の形態において、アクセスポイント及び／又はＣＤＥにも、認証サーバのグローバルルート証明書と対応する公開鍵のコピーを投入することができる。

動作２０２〜２０４において、グローバルディジタル証明書を受信するアクセスポイント及び顧客装置イネーブラがまだ使用されておらず、まだ組織と関連付けされておらず、組織ディジタル証明書もまだ発行されていないことが分かる。しかしながら、手短にいえば、アクセスポイントと顧客装置イネーブラが適切なグローバル証明書を有しているので、必要に応じて（例えば、組織によって要求された時など）、展開することができ、グローバルＰＫＩ内部で自己認証することができ、次に、必要な組織証明書を受信することができる。

動作２０６において、一つ以上のＡＰ及びＣＤＥは、組織へ又は組織内で展開するために選択される。例えばグローバル認証サーバを操作するエンティティは、組織によって必要とされるまで、この装置を維持することができる。組織が装置を注文する時、組織ＰＫＩを介して発行される証明書を受信する前であっても、ＡＰとＣＤＥを直ちに送信することができる。

本発明のこれらの実施の形態において、ＣＤＥは、必要な設定論理及びデータを記憶するＵＳＢサム（親指型）ドライブなどのハードウェアとソフトウェアの両方を含むものである。しかしながら、本発明の他の実施の形態において、ＣＤＥは、容易にコピーし、電子メールで送信し、ダウンロードし、又は、ネットワークエンティティ間へ送信することができるソフトウェアを含む。

本発明のいくつかの実施の形態において、一つ以上のＣＤＥは、各アクセスポイントと共に出荷される。このように、本発明のこれらの実施の形態において、組織は、組織のネットワーク内で作動中の一つ以上の顧客装置を得るために必要とされる全ての装置を受領する。グローバル管理サーバは、引き渡されたＣＤＥとＡＰのマッピングを記憶する。そこで、ＡＰが特定の組織に登録される時、そのＡＰと共に出荷されたＣＤＥがその組織に自動登録される。

動作２０８において、選択されたＡＰとＣＤＥの識別がグローバルサーバに記憶され、組織に結合される。例えば、それらのシリアル番号、ＩＰ（インターネットプロトコル）アドレス、ＭＡＣ（媒体アクセスコントロール）アドレス、又は、他の識別用索引が記憶される。

その後、装置がサーバに接続される時（例えば、組織のネットワークに最初に接続された後）、グローバルサーバは、装置が適合組織に関連付けられ、接続され、及び装置が異なるアイテムに対して内密に切り替えられなかったことなどを検証することができる。

また更に、動作２０８において、組織のためのＣＤＥホワイトリストは、選択されたＣＤＥの顧客グローバル証明書、又はその指紋によって、初期化することができ、ＡＰホワイトリストは、ＡＰの証明書（又は証明用の指紋）によって、初期化することができる。これらのホワイトリスト（又は共にリストを組み立てるデータ）は、認証サーバにおいて管理することができる。また、動作２０８において、ＡＰ及びＣＤＥは、組織に引き渡されるか又は配布される。

動作２１０において、組織は、選択されたアクセスポイントを受信し、展開する。組織のネットワークとの接続時、新しく展開されたＡＰは、グローバルサーバと接触しようと試みる。接続時、２つのエンティティは、それらのグローバル証明書を使用して、互いを自己認証する。ＡＰは、グローバル認証サーバに接続している間、任意の関連するホワイトリスト（又はその更新）のコピーを受信することができる。

それから、グローバルサーバは、ＡＰへ、組織のネットワークリソースを具体的に保護するために用いる一組の組織証明書を発行する。恐らく、ＣＤＥが新しい顧客装置を設定するために動作する以外は、組織ＰＫＩ内部で発行された証明書を有する装置だけが、組織のネットワークを完全に使用することが可能である。

本発明のこれらの実施の形態において、ＡＰは、組織のＣＡ（認証局）ルート証明書（及び対応する公開鍵）のコピー、ＡＰの名前で発行される新しい中間ＣＡ証明書（それによって顧客装置へ組織顧客証明書を発行する）、及び、それによって、組織ネットワークにアクセスしようと試みる顧客装置に対して自己認証する組織サーバ証明書を受信する。

動作２１２において、ＣＤＥは、ネットワークアクセスのために設定されるか、又は、ソフトウェアのみのＣＤＥの場合、装置にロードされる（読み込まれる）顧客装置にプラグイン接続される。これらの実施の形態において、顧客装置は、主として、携帯用処理装置を含むが、更に、又は、代わりに、（例えば、デスクトップ、ワークステーションなどの）固定式コンピュータを含むことができる。ＣＤＥが接続される前に、顧客装置は、必要に応じて、物理的に構成される（例えば、無線ネットワークカード、一つ以上のＵＳＢポート、データ記憶装置など）。

顧客の設定の一部として、ＣＤＥは、それが組織ネットワーク内部で安全に機能することを可能とするために必要な任意の方法において、顧客装置を構成することができる。例えば、ＣＤＥは、ネットワークドライバをロードし、ネットワーク接続を構成し、セキュリティパラメータを構築し、ウィルス防止や他の保護ソフトウェアなどをインストールすることができる。設定プロセスは、新しい顧客装置がアクセスポイントと通信することができる時に完了すると考えられ、又は、設定は、顧客装置が組織ネットワーク内で完全に参加するように構成されるまで、更なる動作（例えば、動作２１４〜２１８又は２２０）を介して継続されると考えられる。

動作２１４において、顧客装置を介して、ＣＤＥは、組織のアクセスポイントのうちの１つと接続され、ＣＤＥ及びＡＰは、相互に自己認証する。本発明のこれらの実施の形態において、認証は、グローバルＰＫＩ（例えば、ＡＰのためのサーバ証明書及びＣＤＥのための顧客証明書）内で発行されるそれらのディジタル証明書を使用して、実行される。相互認証によって、ＣＤＥとＡＰは、暗号化されたＴＬＳ通信セッションを開くことができる。

動作２１６において、ＡＰに顧客のための組織顧客ディジタル証明書をリクエストするために、ＣＤＥは、ＴＬＳセッション内で、標準鍵管理プロトコルを実行する。

動作２１８において、ＡＰは、（その組織中間ＣＡ証明書を使用して）顧客のために顧客証明書を作成し、署名し、それを、組織ルート証明書と対応する公開鍵のコピーとともに、顧客へ送信する。従って、新しい顧客証明書は、ＡＰ（その組織中間ＣＡ証明書）と（組織ＣＡルート証明書として作動する）認証サーバを含む一連の署名を有する。

動作２２０において、ＡＰは、組織の顧客ホワイトリストに、顧客を追加する。いくつかの実施形態において、これは、グローバル認証サーバによって（例えば、グローバルＰＫＩを使用して）、安全な通信セッションを開くことによって、又は、顧客の新しい証明書（又はその指紋）をホワイトリストのデータベース又は中心コピーに追加することによって、実行される。ホワイトリストは、新しい顧客のいくつかの識別（例えば、連続番号、ネットワークアドレス）を含むこともできる。

更新されたホワイトリストは、次に、組織のＡＰ同士の間で配布される。このような更新は、ホワイトリストが変更される度に、又は、一定間隔で（例えば、１０分、１時間おきに）、配布することができる。

ＡＰがグローバル認証サーバと通信できない間でも、新しい顧客装置を設定し、有効な組織顧客ディジタル証明書を付与することができることに注目されたい。このように、組織の外でネットワークとの接続がない場合でも、新しい組織顧客装置を構成し、稼動させることができる。

しかしながら、新しい顧客証明書が全てのＡＰへ広まるまで、その証明書を発行したＡＰ以外のＡＰを介して、顧客が組織ネットワークに接続する場合、その証明書は、他のＡＰによって、完全に認証されなければならない。一旦、更新されたホワイトリストが配布されると、他のＡＰは、（認証プロセスの間に受信された）顧客の証明書の指紋を生成し、それをホワイトリストに記憶されている指紋と照合するだけでよい。

従って、動作２２０の後、新しい顧客装置は、組織アクセスポイントによって、安全な通信セッションを開き、その新しい組織顧客証明書を使用し、互いに認証し合い、組織のネットワークにアクセスすることが可能である。

任意の動作２２２において、一つ以上のエンティティに対するディジタル証明書は、更新されるか又はロールオーバーされる。例えば、本発明のいくつかの実施の形態において、ＡＰが新しい組織の顧客ディジタル証明書に署名する度ごとに、ＡＰは、グローバル認証サーバと接触して、新しい及び／又は更新された組織の中間ＣＡ証明書を要求する。更新された及び／又は差し替えられた証明書は、証明書が、ＡＰへ発行された他の組織中間ＣＡ証明書と区別させることができる更新されたカウンタ、新しいタイムスタンプ、又はいくつかの他のデータ値を含むことができる。例えば、これは、一つ以上のホワイトリストを更新することに並行して又はその一部として、実行することができる。

本発明のこれらの実施の形態において、ＡＰの組織中間ＣＡ証明書を定期的に（例えば、全ての新しい顧客が設定された後）更新することは、ＡＰが、損失や盗難にあったり、行方不明になった場合、消失後にそのＡＰが発行するいかなる顧客証明書も容易に識別できるということである。このように、ＡＰを損失した場合、そのＡＰは、組織のＡＰホワイトリストから外され（及び／又は、ブラックリストに入れられ）、それ以降に、そのＡＰによって発行され、有効な組織ＡＰに提示された顧客証明書は、無効とされる。

同様に、ＣＤＥのグローバル顧客証明書は、顧客装置を設定するために使用される度に、更新され、ロールオーバーされ、又は差し替えることができる。前述したように、本発明のいくつかの実施の形態において、ＣＤＥは、限定された使用回数においてのみ、有効である。その限定された使用回数が過ぎると（使用回数は、グローバルサーバ及び／又は他の場所において追跡することができる）、ＣＤＥは、新しい証明書を受信することができなくなり、組織のＣＤＥのホワイトリストから、取り外すことができる（及び／又は、ブラックリストに入れられる）。

ＣＤＥのグローバル顧客証明書を定期的に更新するか又は差し替えることによって、損失又は盗難に遭った場合、ＣＤＥは、使用できなくなる。特に、あるＣＤＥが行方不明であると判断された場合、そのＣＤＥは、組織のＣＤＥホワイトリストから外され（及び／又は、ブラックリストに入れられ）、どの組織ＡＰもそのＣＤＥによって新しい顧客が設定されないようにする（つまり、ＣＤＥからのリクエストに応答して、新しい組織の顧客証明書を発行しない）。更に、ＣＤＥ証明書の更新によって、ＣＤＥのセキュリティが侵害された後に、設定されていた可能性のある顧客はいずれも、識別して、切り離すことができる。

（例えば、組織のインターネットへの接続が中断された時など）グローバル認証サーバに到達できない場合も時にはあるので、ＡＰ、ＣＤＥ及び／又は他の装置のためのディジタル証明書に対する更新は、サーバが使用可能になるまで、延期することができる。例えば、影響を受けた部品（例えば、ＡＰ、ＣＤＥ）でも、当分の間は、今まで通り、継続して、使用することができる。

また、本発明のいくつかの実施の形態において、ＡＰは、新しい顧客証明書（又はその指紋）を、（例えば、グローバルサーバに到達できない場合などに、）他の組織ＡＰに直接配布することができる。

本発明のいくつかの実施の形態において、顧客装置イネーブラの認証情報は、顧客装置を設定するために使用される前に、グローバル認証サーバによって認証される必要があり、また、その時点で、更新されるか又はロールオーバーされる。これらの実施の形態において、ＣＤＥは認証手段に最初にそれ自体を認証する。これらの実施の形態において、ＣＤＥは、まず、認証手段に対して自己認証する。ここでは、ＣＤＥによって提示される証明書から生成された指紋をホワイトリストの指紋と照合する。この工程で、ＣＤＥが合格すれば、その認証情報が認証サーバに渡される。

認証サーバは、このＣＤＥに対するＣＤＥ記録を検索し、ＣＤＥの認証情報を認証し、更新し、署名し、その組織のＣＤＥ記録を更新し、ＣＤＥへ戻すために、更新された証明書を認証手段へ戻す。認証サーバも全ての組織ＡＰへ更新された指紋を配布する。

図３は、本発明のいくつかの実施の形態による、組織のネットワークリソースへのアクセスを保護する装置を示すブロック線図である。

グローバル管理サーバ３００は、通信メカニズム３１０、グローバルＰＫＩルートメカニズム３１２、組織別ＰＫＩルートメカニズム３１４、認証メカニズム３１６、ＰＫＩ管理メカニズム３１８、任意の装置登録メカニズム３２０、及びホワイトリストメカニズム３２２を含む。本発明の他の実施の形態において、これらのメカニズムのいずれか又は全ては、結合するか又は再分割することができる。

通信メカニズム３１０は、組織の認証手段（例えば、アクセスポイント、スイッチ）と交信させるように用いられる。通信メカニズムは、サーバの構成及び／又は動作を容易にするために、認証サーバのオペレータによって操作することができるユーザ・インターフェースに関連付けることができる。通信は、ＴＬＳ又はＨＴＴＰＳなどの相互認証及び暗号化によって保護される。

グローバルＰＫＩルートメカニズム３１２は、顧客装置イネーブラ（ＣＤＥ）及び認証手段が、新しい顧客装置を設定する前に、相互に自己認証することができるグローバルＰＫＩのためのルートＣＡ（認証局）として行動するように用いられる。

組織別ＰＫＩルート組織３１４は、個々の組織のためのルートＣＡとして行動するように用いられる。各メカニズム３１４は、対応する組織のネットワーク内で動作する機器及び装置へ、組織ディジタル証明書を出すためのルートとしての働きをする。

認証メカニズム３１６は、認証サーバ３００との安全な通信セッションを開くことを試みる認証手段、ＣＤＥ、又は他の外部装置を認証するように用いられる。セッションの性質又は目的に応じて、認証手段又は他のエンティティによって出されるディジタル証明書は、グローバルＰＫＩルートメカニズム３１２又は組織別ＰＫＩルートメカニズム３１４を使用して、認証することができる。

ＰＫＩ管理メカニズム３１８は、ＰＫＩルートメカニズム３１２及び／又はメカニズム３１４を管理するように用いられる。例えば、ＰＫＩ管理メカニズムは、対応するＰＫＩルートメカニズムの協力を得て、更新された又は代わりのディジタル証明書（例えば、認証手段の組織中間ＣＡ証明書、ＣＤＥのグローバル顧客証明書）の発行を容易にすることができる。

任意の装置登録メカニズム３２０は、グローバルＰＫＩ及び／又は組織別ＰＫＩ内で動作するために、一種類以上の装置又は機器を登録するように用いられる。例えば、装置登録メカニズム３２０は、組織内で使用するためにＣＤＥ及び／又は認証手段を登録するか、又は、このような登録は、他のエンティティによって実行することができる。例えば、認証サーバ３００にＣＤＥが登録された場合、サーバは、ソフトウェアベースのＣＤＥを認証手段及び／又は顧客装置へダウンロードするように構成することができる。

ホワイトリストメカニズム３２２は、組織のネットワーク内で動作するように認証された機器又は装置を識別するように用いられる。このように、所与の組織に対して、一つ以上のホワイトリストが、有効な認証手段、ＣＤＥ、及び／又は、顧客装置を識別するために、維持されることができる。これらのコンポーネントは、ディジタル証明書（又は指紋や他のアーティファクト（人工生成物））、シリアル番号、又は他の索引によって、識別することができる。ホワイトリストメカニズム３２２は、組織のネットワークリソース間で配布するために、一つ以上の個別のホワイトリストを含むことができ、又は、このようなホワイトリストが作成されるデータの集合（例えば、データベース、表）を含むことができる。

本発明のいくつかの実施の形態において、一つ以上のブラックリストメカニズムも、一つ以上の組織のネットワーク内で動作することを特に禁じられている認証手段、ＣＤＥ及び／又は他のエンティティを識別するために動作することができる。

図４は、本発明のいくつかの実施の形態による、認証サーバを示すブロック図である。

図４の認証サーバ４００は、プロセッサ４０２、メモリ４０４、及び一つ以上の光学的及び／又は磁気的格納（外部記憶装置）コンポーネントを含む外部記憶装置４０６を含むことができる。認証サーバ４００は、キーボード４１２、ポインティング装置４１４、及びディスプレイ４１６に（永久的又は一時的に）結合されることができる。

認証サーバの外部記憶装置４０６は、プロセッサ４０２によって実行するためにメモリ４０４へロードすることができる論理を記憶する。このような論理は、ＰＫＩ論理４２２、認証論理４２４、及びコンポーネント識別論理４２６を含む。

ＰＫＩ論理４２２は、証明書の発行、証明書の差替え、新しいＰＫＩの作成を含む一つ以上の公開鍵基盤を動作するためのプロセッサ実行可能命令を含む。

認証論理４２４は、認証サーバ４００に提供されるディジタル証明書を認証するためのプロセッサ実行可能命令を含む。

コンポーネント識別論理４２６は、これらのコンポーネントピアに対して、有効な組織コンポーネント（例えば、認証手段、顧客、顧客装置イネーブラ）を識別するためのプロセッサ実行可能命令を含む。このような情報は、例えば、ホワイトリスト及び／又はブラックリストの形態で広めることができる。

本発明の他の実施の形態において、認証サーバは、個々のコンポーネントを登録し、サーバの動作を管理し、認証サーバの他のインスタンスへサーバデータを複製するためなどの更なる論理を含むことができる。

１１０：グローバルサーバ
グローバルＣＡルート証明書１５０と個人鍵
組織Ａ ＣＡルート証明書１７０ａと個人鍵
組織Ｎ ＣＡルート証明書１７０ｎと個人鍵
１４０：ネットワーク
１３０ａ： 組織Ａ ＡＰ
１３０ｍ： 組織Ａ ＡＰ
証明書１５０によって署名されたサーバ証明書１５４
証明書１５０によって署名された顧客証明書１５６
組織Ａルート証明書１７０ａのコピー
組織Ａ中間ＣＡ証明書１７２ａと個人鍵
証明書１７０ａによって署名されたサーバ証明書１７４
１３２：組織Ａ 装置
１２０：顧客装置イネーブラ
証明書１５０によって署名された顧客証明書１５８
証明書１７０ａのコピー
１２２： 設定論理
組織Ａ中間ＣＡ証明書１７２ａ
証明書１７２ａによって署名された顧客証明書１７６ａ

Claims (4)

1. 組織のネットワークリソースを保護する方法であって、
   第１の暗号基盤のルート証明書を維持し、
   前記組織と関連している第２の暗号基盤のルート証明書を維持し、
   前記組織によって動作されるネットワーク内の各認証手段へ、前記第２の暗号基盤内の最初の中間ＣＡ証明書を発行し、
   所与の認証手段が新しい顧客処理装置へ前記第２の暗号基盤内の顧客証明書を発行した後、前記所与の認証手段へ代わりの中間ＣＡ証明書を発行する
   ことを含む、方法。
2. 前記組織ネットワーク内の顧客処理装置を設定するように構成された各顧客装置イネーブラへ、前記第１の暗号基盤内の最初の顧客証明書を発行することを更に含む、請求項１に記載の方法。
3. 所与の顧客装置イネーブラが顧客処理装置を設定するように動作した後、前記所与の顧客装置イネーブラへ、前記第１の暗号基盤内の代わりの顧客証明書を発行することを更に含む、請求項２に記載の方法。
4. 前記組織ネットワークにおいて動作するように認証された認証手段と顧客装置イネーブラの識別子を記録することを更に含む、請求項２に記載の方法。

Images