JP2012529795A

JP2012529795A - ３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法

Info

Publication number: JP2012529795A
Application number: JP2012514320A
Authority: JP
Inventors: ▲ユエ▼雷肖; ▲ジュン▼ 曹; 振海黄; 莉 ▲ゲ▼
Original assignee: 西安西▲電▼捷通▲無▼▲線▼▲網▼▲絡▼通信股▲ふん▼有限公司
Priority date: 2009-06-08
Filing date: 2009-12-09
Publication date: 2012-11-22
Anticipated expiration: 2029-12-09
Also published as: EP2442516A4; KR101434614B1; CN101572704A; US8719897B2; EP2442516B1; EP2442516A1; WO2010142115A1; JP5581382B2; KR20120017079A; CN101572704B; US20120079561A1

Abstract

本発明は、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法に関する。当該方法は、1)３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるユーザ認証プロトコルデータとプラットフォーム認証プロトコルデータに対するカプセル化を実現するステップを含み、当該ステップは、１.１）ユーザ認証プロトコルデータをＴＡＥＰパケットのＤａｔａフィールドにカプセル化し、アクセス請求者とアクセスコントローラとの間、アクセスコントローラとポリシーマネージャとの間でこれらのＴＡＥＰパケットを交換することにより、アクセス請求者とアクセスコントローラとの間の双方向ユーザ認証を実現し、アクセス請求者とアクセスコントローラとの間のセキュリティチャネルを構築するステップと、１.２）プラットフォーム認証プロトコルデータをＴＡＥＰパケットのＤａｔａフィールドにカプセル化した後に、アクセス請求者とアクセスコントローラとの間のプラットフォーム認証プロトコルデータに対してプラットフォーム認証プロトコルデータのＴＡＥＰパケットを別のＴＡＥＰパケットのＤａｔａフィールドとして当該別のＴＡＥＰパケットにネストしてカプセル化することを含む。

Description

本出願は、２００９年６月８日に中国特許庁に提出した、出願番号が200910022911.3、発明名称が「３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法」である中国特許出願の優先権を主張し、その全ての内容が本出願に援用されている。

本発明は、ネットワークセキュリティ技術分野に属し、具体的には、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法に関する。

802.lxプロトコルは、標準的な無線ＬＡＮプロトコルである802.11プロトコルから生まれ、主に無線ＬＡＮのユーザのアクセス認証問題を解決することを目的とするものである。現在、一般的な有線ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ、以下に、ＬＡＮと略称する）のアクセスに応用されている（マイクロソフトのＷｉｎｄｏｗｓ（登録商標）ＸＰ及びシスコ（Ｃｉｓｃｏ）、華為３com等のメーカの設備が既に802.lxプロトコルをサポットしている）。802.lxは、認証プロトコルであって、ユーザに対して認証を行う方法及びポリシーである。802.lxはポートによる認証ポリシー（ここで、ポートは実際の物理的なポートであってもよく、仮想ＬＡＮ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ、以下に、ＶＬＡＮと略称する）のような論理ポートであっても良く、無線ＬＡＮにとって一つのチャネルである）である。

802.lxの認証の最終目的は、一つのポートが使用可能であるか否かを特定することにある。一つのポートについては、認証が成功した場合にこのポートをオープンしてすべてのメッセージの通過を許可し、認証が成功しない場合に当該ポートをクローズ状態に保持し、802.lxの認証メッセージ拡張可能な身分認証プロトコル（ＥｘｔｅｎｓｉｂｌｅＡuｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ、以下にＥＡＰと略称する）のみを通過させる。802.lx認証システム構造には、クライアント端末、認証器及び認証サーバの三つのキャラクタが含まれる。そのうち、認証メッセージＥＡＰは、認証器を経由してクライアント端末、または認証サーバに伝送されるものである。即ち、802.lx認証システム構造はポイントツーポイントの認証のみに適する。

図1は、従来の技術における３要素ピア認証によるアクセス制御方法の認証システム構造の模式的なブロック図である。３者の認証プロトコルのカプセル化及びネットワークデータの伝送制御を実現するために、３要素ピア認証によるアクセス制御方法（中国無線ＬＡＮ規格に使用されているアクセス制御方法）が提案された。ここで、ネットワークデータの伝送制御とは、認証プロトコルデータ及び応用サービスデータに対する伝送制御を意味している。その認証システム構造は、図１に示されたように、ＰＡＥ（ＰｏｒｔＡｕｔｈｅｎｔｉｃａｔｉｏｎＥｎｔｉｔｙ）がポート認証実体をさし、請求者ＰＡＥ、認証アクセスコントローラＰＡＥ及び認証サーバが３要素認証拡張可能なプロトコル（Ｔｒｉ−ｅｌｅｍｅｎｔＡｕｔｈｅｎｔｉｃａｔｉｏｎＥｘｔｅｎｓｉｂｌｅＰｒｏｔｏｃｏｌ、以下にＴＡＥＰと略称する）パケットを伝送し、請求者ＰＡＥと認証アクセスコントローラＰＡＥが更に受制御ポートの制御を行う。ここで、ＴＡＥＰパケットのフォーマットとＥＡＰパケットのフォーマットが類似しているが、ＴＡＥＰの階層モデルがＥＡＰと異なる。

ＴＡＥＰパケットのフォーマットは以下の通りである。

ここで、コード（Ｃｏｄｅ）は、フィールド長さが１つの8ビットグループであり、ＴＡＥＰパケットのタイプを示す。
1 請求（Ｒｅｑｕｅｓｔ）
2 応答（Ｒｅｓｐｏｎｓｅ）
3 成功（Ｓｕｃｃｅｓｓ）
4 失敗（Ｆａｉｌｕｒｅ）
識別子（Ｉｄｅｎｔｉｆｉｅｒ）は、フィールド長さが１つの8ビットグループであり、ＲｅｑｕｅｓｔとＲｅｓｐｏｎｓｅパケットにあわせるために用いられる。
長さ（Ｌｅｎｇｔｈ）は、フィールド長さが２つの8ビットグループであり、全体のＴＡＥＰパケットの8ビットグループの数を示し、即ち、Ｃｏｄｅ、Ｉｄｅｎｔｉｆｉｅｒ、Ｌｅｎｇｔｈ及びデータ（Ｄａｔａ）を含むすべてのフィールドの長さの合計を示す。
Ｄａｔａは、フィールド長さが可変であり、パケットが０個または複数の8ビットグループを含み、そのフォーマットがＣｏｄｅフィールドの値によって決められる。

ＴＡＥＰ再利用モデルは以下の通りである。

ＴＡＥＰメッセージ交換のステップは以下の通りである。
a) 認証アクセスコントローラは、Ｒｅｑｕｅｓｔパケットを請求者に送信して認証開始を要求する。Ｒｅｑｕｅｓｔは１つの要求の種類を示すタイプフィールドがある。そのタイプはＩｄｅｎｔｉｔｙであり、身分を示す。
b) 請求者はＲｅｓｐｏｎｓｅパケットを認証アクセスコントローラに送信して有効なＲｅｑｕｅｓｔに応答する。Ｒｅｓｐｏｎｓｅパケットに１つのＲｅｑｕｅｓｔパケット中のタイプフィールドに対応するタイプフィールドが含まれ、メッセージにピア体の身分が含まれる。
c) 認証アクセスコントローラはＲｅｑｕｅｓｔパケットを認証サーバに送信する。Ｒｅｑｕｅｓｔは１つの要求の種類を示すタイプフィールドを含む。そのタイプは第三者（ＴｈｉｒｄＰａｒｔｙ、以下にＴＰと略称する）認証(Ａｕｔｈｅｎｔｉｃａｔｉｏｎ)であり、認証サーバに認証方法タイプを請求するために用いられる。
d) 認証サーバはＲｅｓｐｏｎｓｅパケットを認証アクセスコントローラに送信する。Ｒｅｓｐｏｎｓｅパケットに１つのＲｅｑｕｅｓｔパケット中のタイプフィールドに対応するタイプフィールドが含まれる。
e) 認証アクセスコントローラは、認証サーバによりフィードバックされた認証方法タイプに基づいて、認証方法を選択して認証プロセスを開始する。Ｒｅｑｕｅｓｔパケットが請求者に送信され、請求者がＲｅｓｐｏｎｓｅパケットを認証アクセスコントローラに応答し、ＲｅｑｕｅｓｔとＲｅｓｐｏｎｓｅのシーケンスが必要に応じてやり取りをし続ける。認証アクセスコントローラは認証サーバにＲｅｑｕｅｓｔパケットを送信し、認証サーバは認証アクセスコントローラにＲｅｓｐｏｎｓｅパケットを応答する。このＲｅｑｕｅｓｔとＲｅｓｐｏｎｓｅのシーケンスは必要の長さを継続する。認証アクセスコントローラはＲｅｑｕｅｓｔパケットを再送することを負う。
f) 認証アクセスコントローラが請求者を認証できなくなるまで、セッションが続ける。認証アクセスコントローラはＦａｉｌｕｒｅパケットを請求者に送信し、または、認証アクセスコントローラは成功した認証が完成したと判断し、この場合に認証アクセスコントローラがＲｅｑｕｅｓｔパケットの送信を停止して情報やり取りを終了し、またはＳｕｃｃｅｓｓパケットを請求者に送信する。

上記のｃ）、ｄ）ステップは選択可能なものである。幾つかの場合に、認証方法が特定されたものであり、またはそのほかの形態で認証方法及び身分を特定するときに、ｃ）、ｄ）ステップを選択的に行うことができる。

情報化の発展につれて、ウィルス、ワームなどの悪意ソフトの問題が異常に深刻になる。現在、三万五千種を越えた悪意ソフトが存在しており、毎年、四千万を超えたコンピュータが感染される。ティーシージー（ＴｒｕｓｔｅｄＣｏｍｐｕｔｉｎｇＧｒｏｕｐ、以下にＴＣＧと略称する）は、この問題に対して、わざわざ、信頼可能なコンピューティングテクノロジによるネットワークアクセス規範――信頼可能ネットワークアクセス「ＴｒｕｓｔｅｄＮｅｔｗｏｒｋＣｏｎｎｅｃｔ、以下にＴＮＣと略称する」を作成し、ＴＣＧ−ＴＮＣと略称する。それには開放的な端末完全的なアーキテクチャー及びセキュリティ相互操作を確保する仕様が含まれる。図２のように、従来の技術におけるＴＣＧ−ＴＮＣアーキテクチャーの模式図が示される。ＴＣＧ−ＴＮＣアーキテクチャーにおけるポリシー実行ポイントがネットワーク辺縁に位置し、かつアクセスの請求者がポリシー実行ポイントに対してプラットフォーム認証を行わないため、当該アーキテクチャーにはポリシー実行ポイントが信頼できないという問題が存在する。この問題を解決するために、３要素ピア認証（Ｔｒｉ−ｅｌｅｍｅｎｔＰｅｅｒＡｕｔｈｅｎｔｉｃａｔｉｏｎ，以下にＴｅＰＡと略称する）によるＴＮＣアーキテクチャーが提案された。

図３のように、従来の技術におけるＴｅＰＡによるＴＮＣアーキテクチャーの模式図が示された。ＴｅＰＡによるＴＮＣアーキテクチャーにおいて、ネットワークアクセス制御層は、従来のネットワークアクセス技術構造であり、３要素ピア認証プロトコル（三者の認証プロトコルである）を実行して双方向ユーザ認証を実現し、上記の３要素ピア認証によるアクセス制御方法を採用してユーザ認証プロトコルのカプセル化及びネットワークデータの伝送制御を完成することができる。ところが、ネットワークアクセス制御層に加え、図３に示す、ＴｅＰＡによるＴＮＣアーキテクチャーは、さらに完全性測定層及び信頼可能プラットフォーム評価層を含む。これらはプラットフォーム認証プロトコルを実行してプラットフォームコンポーネント情報の認識、認証及び評価を実現し、そのプラットフォーム認証プロトコルデータがネットワークアクセス制御層で伝送する必要もあり、且つプラットフォーム認証結果によって生成されたアクセス結果が許可、禁止または隔離（従来のネットワークアクセス技術のアクセス結果は許可又は禁止である）である。したがって、前記の３要素ピア認証によるアクセス制御方法がＴｅＰＡによるＴＮＣアーキテクチャーに完全に適用することができない。従って、ＴｅＰＡによるＴＮＣアーキテクチャーに適するアクセス制御方法を構築する必要がある。

背景技術に記載の技術問題を解決するために、本発明は、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法を提供することを目的とする。

本発明の技術案は、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法である。当該方法は、

１）３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるユーザ認証プロトコルデータとプラットフォーム認証プロトコルデータに対するカプセル化を実現するステップを含む。当該ステップは、

1.1）ユーザ認証プロトコルデータをＴＡＥＰパケットのＤａｔａフィールドにカプセル化し、アクセス請求者とアクセスコントローラの間、アクセスコントローラとポリシーマネージャの間でこれらのＴＡＥＰパケットを交換することにより、アクセス請求者とアクセスコントローラの間の双方向ユーザ認証を実現し、アクセス請求者とアクセスコントローラの間のセキュリティチャネルを構築するステップと、

1.2）プラットフォーム認証プロトコルデータをＴＡＥＰパケットのＤａｔａフィールドにカプセル化した後に、アクセス請求者とアクセスコントローラの間のプラットフォーム認証プロトコルデータに対してプラットフォーム認証プロトコルデータのＴＡＥＰパケットを別のＴＡＥＰパケットのＤａｔａフィールドとして当該別のＴＡＥＰパケットにネストしてカプセル化し、アクセスコントローラとポリシーマネージャの間のプラットフォーム認証プロトコルデータに対してプラットフォーム認証プロトコルデータのＴＡＥＰパケットを直接に伝送し、前記のプラットフォーム認証プロトコルデータのＴＡＥＰパケットは、ステップ1.1）で構築されたセキュリティチャネルを利用してセキュリティ保護されるステップとを含む。

上記の方法はさらにステップ２）を含む。即ち、ポート制御メカニズムを採用し、濾過やトンネル伝送制御技術を採用し、或は、ポート制御メカニズム、濾過やトンネル伝送制御技術を統合的に採用することにより、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるネットワークデータの伝送制御を実現する。

上記ステップ2）において、ポート制御メカニズムを採用して３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるネットワークデータの伝送制御を実現する時に、従来のネットワークアクセス技術の３要素ピア認証によるアクセス制御方法の認証システム構造における受制御ポートに一つのポート状態、即ち隔離状態を追加することにより、新たな３要素ピア認証によるアクセス制御方法の認証システム構造を構成する必要があり、この新たな３要素ピア認証によるアクセス制御方法の認証システム構造における受制御ポートの授権状態、非授権状態及び隔離状態を利用して、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャの許可、禁止及び隔離機能をそれぞれ実現する。

上記ステップ２）において、ポート制御メカニズム、濾過やトンネル伝送制御技術を統合的に採用して３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるネットワークデータの伝送制御を実現する時に、従来のネットワークアクセス技術の３要素ピア認証によるアクセス制御方法の認証システム構造における受制御ポートの授権状態及び非授権状態を利用して、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーの許可、禁止機能をそれぞれ実現し、濾過やトンネル伝送制御技術を利用して３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーの隔離機能を実現する。

上記のネストしてカプセル化したＴＡＥＰパケットの構造は以下の通りである。

本発明により提供された３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法は、以下のメリットを備える。
１．ネスティグＴＡＥＰカプセル化方法を採用してユーザ認証プロトコルデータ及びプラットフォーム認証プロトコルデータのカプセル化伝送を実現することにより、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーのアクセス制御方法が従来のネットワークアクセス技術における３要素ピア認証によるアクセス制御方法に適合でき、適合性が向上された。
２．完全にポート制御に基づいて３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーの３種のアクセス結果を実現するときに、アクセス請求者システム及びアクセスコントローラシステムにおける受制御ポートに一つの隔離状態のみを追加することにより、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーのポート制御メカニズムが従来のネットワークアクセス技術における３要素ピア認証によるアクセス制御方法におけるポート制御メカニズムに適合でき、適合性が向上された。
３．改善した３要素ピア認証によるアクセス制御方法の認証システム構造は、隔離機能を実現したことにより、プラットフォーム保守サービスがネットワークによって集中にユーザに提供でき、応用性が向上された。

従来の技術における３要素ピア認証によるアクセス制御方法の認証システム構造の模式的なブロック図である。従来の技術における、ＴＣＧ−ＴＮＣアーキテクチャーの模式図である。従来の技術における、ＴｅＰＡによるＴＮＣアーキテクチャーの模式図である。本発明における３要素ピア認証によるアクセス制御方法の認証システム構造の模式図である。

本発明の、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法は、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるユーザ認証プロトコルデータとプラットフォーム認証プロトコルデータに対するカプセル化を実現し、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるネットワークデータの伝送制御を実現することを含む。

３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるユーザ認証プロトコルデータとプラットフォーム認証プロトコルデータに対するカプセル化は、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるユーザ認証プロトコルデータとプラットフォーム認証プロトコルデータをＴＡＥＰにネストしてカプセル化して実現される。具体的な方法は以下の通りである。

1.1）ユーザ認証プロトコルデータをＴＡＥＰパケットのＤａｔａフィールドにカプセル化し、アクセス請求者とアクセスコントローラの間、アクセスコントローラとポリシーマネージャの間でこれらのＴＡＥＰパケットを交換することにより、アクセス請求者とアクセスコントローラの間の双方向ユーザ認証を実現し、アクセス請求者とアクセスコントローラの間のセキュリティチャネルを構築する。

1.2）プラットフォーム認証プロトコルデータをＴＡＥＰパケットのＤａｔａフィールドにカプセル化した後に、アクセス請求者とアクセスコントローラの間のプラットフォーム認証プロトコルデータに対してプラットフォーム認証プロトコルデータのＴＡＥＰパケットを別のＴＡＥＰパケットのＤａｔａフィールドとして別のＴＡＥＰパケットにネストしてカプセル化し、アクセスコントローラとポリシーマネージャの間のプラットフォーム認証プロトコルデータに対して、ネストしてカプセル化することを行わずに、プラットフォーム認証プロトコルデータのＴＡＥＰパケットを直接に伝送する。前記のプラットフォーム認証プロトコルデータのＴＡＥＰパケットは、ステップ1.1）で構築されたセキュリティチャネルを利用してセキュリティ保護される。

ネストしてカプセル化したＴＡＥＰパケットの構造は以下の通りである。

３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるネットワークデータの伝送制御の実現とは、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるユーザ認証プロトコルデータ、プラットフォーム認証プロトコルデータ及び応用サービスデータに対する伝送制御を実現することを意味する。ポート制御メカニズムを採用して実現されても良く、濾過やトンネルなどのほかの伝送制御技術を採用して実現されても良く、以上の方法を統合的に採用して実現されても良い。３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーのアクセス結果（アクセス制御）は許可、禁止及び隔離であり、その隔離の目的は、主にプラットフォームを保守することにある。

図４は、本発明の３要素ピア認証によるアクセス制御方法の認証システム構造の模式図である。完全にポート制御を採用して実現すると、背景技術における３要素ピア認証によるアクセス制御方法の認証システム構造を、図４に示す認証システム構造に修正した場合のみ、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーの三つのアクセス結果を実現することができる。なお、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおける、アクセス請求者、アクセスコントローラ及びポリシーマネージャは、それぞれ図４における、請求者、認証アクセスコントローラ及び認証サーバのキャラクタに対応する。図４において、請求者ＰＡＥと認証アクセスコントローラＰＡＥとは、非受制御ポートでユーザ認証プロトコルデータ及びプラットフォーム認証プロトコルデータを伝送し（ＴＡＥＰパケットでカプセル化する）、応用サービスデータとプラットフォーム保守サービスデータとは、非受制御ポートで伝送することができない。請求者ＰＡＥと認証アクセスコントローラＰＡＥとは、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおける３種のアクセス結果に基づいて、受制御ポートに対してポート状態の設置を行う。許可の場合に、受制御ポートは、状態が授権状態であり、このときに応用サービスデータを伝送することができる。隔離の場合に、受制御ポートは、状態が隔離状態であり、このときにプラットフォーム保守サービスデータを伝送することができる。禁止の場合に、受制御ポートは、状態が非授権状態であり、このときに如何なるデータを伝送することもできない。

ポート制御メカニズム及びその他の伝送制御技術を統合的に採用して実現すると、背景技術における、３要素ピア認証によるアクセス制御方法の認証システム構造を利用して、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーの許可及び禁止を実現することができる。なお、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおける、アクセス請求者、アクセスコントローラ及びポリシーマネージャは、それぞれ図１における、請求者、認証アクセスコントローラ及び認証サーバのキャラクタに対応する（請求者ＰＡＥと認証アクセスコントローラＰＡＥとは、非受制御ポートでユーザ認証プロトコルデータ及びプラットフォーム認証プロトコルデータを伝送する（ＴＡＥＰパケットでカプセル化する）、応用サービスデータは、非受制御ポートで伝送することができない。請求者ＰＡＥと認証アクセスコントローラＰＡＥとは、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーの許可及び禁止の結果に基づいて、受制御ポートに対してポート状態の設置を行う。許可の場合に、受制御ポートは、状態が授権状態であり、このときに応用サービスデータを伝送することができる。禁止の場合に、受制御ポートは、状態が非授権状態であり、このときに如何なるデータを伝送することもできない）。そのほかの伝送制御技術を採用して、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーの隔離を実現する。

ＰＡＥ・・・ポート認証実体

Claims

1 )３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるユーザ認証プロトコルデータとプラットフォーム認証プロトコルデータに対するカプセル化を実現するステップを含み、
当該ステップは、
１.１）ユーザ認証プロトコルデータをＴＡＥＰパケットのＤａｔａフィールドにカプセル化し、アクセス請求者とアクセスコントローラとの間、アクセスコントローラとポリシーマネージャとの間でこれらのＴＡＥＰパケットを交換することにより、アクセス請求者とアクセスコントローラとの間の双方向ユーザ認証を実現し、アクセス請求者とアクセスコントローラとの間のセキュリティチャネルを構築するステップと、
１.２）プラットフォーム認証プロトコルデータをＴＡＥＰパケットのＤａｔａフィールドにカプセル化した後に、アクセス請求者とアクセスコントローラとの間のプラットフォーム認証プロトコルデータに対してプラットフォーム認証プロトコルデータのＴＡＥＰパケットを別のＴＡＥＰパケットのＤａｔａフィールドとして当該別のＴＡＥＰパケットにネストしてカプセル化し、アクセスコントローラとポリシーマネージャとの間のプラットフォーム認証プロトコルデータに対してプラットフォーム認証プロトコルデータのＴＡＥＰパケットを直接に伝送し、前記のプラットフォーム認証プロトコルデータのＴＡＥＰパケットはステップ１.１）で構築されたセキュリティチャネルを利用してセキュリティ保護されるステップとを含むことを特徴とする、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャー(Tri-element Peer Authentication Credible Network connection structure)に適するアクセス制御方法。

２）ポート制御メカニズムを採用し、濾過やトンネル伝送制御技術を採用し、或は、ポート制御メカニズム、濾過やトンネル伝送制御技術を統合的に採用することにより、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるネットワークデータの伝送制御を実現するステップを更に含むことを特徴とする、請求項１に記載の３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法。

前記ステップ２）において、ポートメカニズムを採用して３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるネットワークデータの伝送制御を実現する時に、従来のネットワークアクセス技術の３要素ピア認証によるアクセス制御方法の認証システム構造における受制御ポートに一つのポート状態、即ち隔離状態を追加することにより、新たな３要素ピア認証によるアクセス制御方法の認証システム構造を構成する必要があり、この新たな３要素ピア認証によるアクセス制御方法の認証システム構造における受制御ポートの授権状態、非授権状態及び隔離状態を利用して、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーの許可、禁止及び隔離機能をそれぞれ実現することを特徴とする、請求項２に記載の３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法。

前記ステップ２）において、ポート制御メカニズム、濾過やトンネル伝送制御技術を統合的に採用して３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーにおけるネットワークデータの伝送制御を実現する時に、従来のネットワークアクセス技術の３要素ピア認証によるアクセス制御方法の認証システム構造における受制御ポートの授権状態及び非授権状態を利用して、３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーの許可及び禁止機能をそれぞれ実現し、濾過やトンネル伝送制御技術を利用して３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーの隔離機能を実現することを特徴とする、請求項２に記載の３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法。

前記のネストしてカプセル化したＴＡＥＰパケットの構造は以下の通りであることを特徴とする請求項1乃至４の何れかに記載の３要素ピア認証信頼可能ネットワークアクセスアーキテクチャーに適するアクセス制御方法。