JP2013522786A - 方法を実行するデバイスを介してアクセス可能なデータまたはサービスに対するアクセスのセキュリティを保護する方法、およびそれに対応するデバイス - Google Patents

Abstract

本発明は、方法を実行するデバイスを介して、デバイスおよびアプリケーションを利用可能なデータまたはサービスに対するアクセスのセキュリティを保護することを可能にする。ネットワークデバイスを介してアクセスされたデータまたは１つ以上のサービスおよびサービスに対するアクセスのセキュリティを保護するために、本発明は、特に、データまたは１つ以上のサービスおよび方法を実行するデバイスに対する認証されていないアクセスを回避する方法を提案する。

Description

本発明は一般に、ディジタルデータ通信に関し、特に、データおよびサービスに対するアクセス、ネットワークで接続されたデバイスに対するアクセスのセキュリティを保護する方法および装置に関する。

ローカルネットワークはほとんどの場合、ゲートウエイと呼ばれる中央装置を囲むように構築されている。そしてゲートウエイは、ローカルネットワークまたはローカルエリアネットワーク（ＬＡＮ：Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）と外部ネットワークまたは広域通信網（ＷＡＮ：Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）におけるデバイスとの間の通信のための必須の通信経路である。現在の技術開発では、特にホームネットワーク環境におけるゲートウエイは、ますます増え続ける集中化した役割を果たすことが示されている。ホームネットワークにおけるゲートウエイの広範囲に及ぶ配置、およびネットワーク接続されたデバイスの数により、ゲートウエイはハッカーの関心の的となっている。ホームネットワークは通常、ユニバーサル・シリアル・バス（ＵＳＢ：Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、イーサネット（（登録商標）Ｅｔｈｅｒｎｅｔ）またはＷｉＦｉ接続：パーソナルコンピュータ（ＰＣｓ：Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒｓ）、無線電話、インターネットテレビ（ＩＰＴＶ：Ｉｎｔｅｒｎｅｔ Ｔｅｌｅｖｉｓｉｏｎ）セットトップボックス（ＩＰＴＶ ＳＴＢｓ）、ディジタル・リビング・ネットワーク アライアンス（ＤＬＮＡ：Ｄｉｇｉｔａｌ Ｌｉｖｉｎｇ Ｎｅｔｗｏｒｋ Ａｌｌｉａｎｃｅ）テレビ、大容量記憶装置を介して、ゲートウエイに相互接続された１つまたは複数の以下のデバイスを備えている。攻撃からホームネットワークデバイスを保護するためには、ゲートウエイのセキュリティ対策はほとんどの場合、ＰＣ上の個々のアンチウイルスおよび／またはファイアウォール機能の存在に集約される。ホームネットワークのセキュリティは更に、ゲートウエイのＮＡＴ（ネットワークアドレス変換）機能から利益を得て、ホームネットワーク内のデバイスにネットワークアドレスを配信することを可能にする機能であり、当該アドレスは、ホームネットワーク外には知られていない。ＮＡＴ機能の利用により、ローカルネットワークにおけるデバイスの個々のアドレスは、外部ネットワーク上のデバイスに対して非表示になる。これは、ゲートウエイ自体、およびアンチウイルスおよび／またはファイアウォール・ソフトウエアを備えていない他の接続されたデバイスには、限定された保護しか与えられないことを意味している。特に、ホームネットワーク管理目的のゲートウエイに対するアクセスは、ゲートウエイにおけるウエブブラウザ・アプリケーション上で動作するＷｅｂベースのアプリケーションを介して行われ、ウエブサーバがセキュリティ欠陥に対して脆弱であることは周知である。そしてウエブブラウザにおける脆弱性により、ハッカーは、ホームネットワークで接続されたセキュリティ保護されたデバイスにアクセス可能となり、ホームネットワークと外部ネットワークのデバイス間のすべての通信に対するアクセスさえハッカーに提供する場合がある。なぜなら、ホームネットワークと外部ネットワークの間のすべての通信、そして逆の場合の通信も、ゲートウエイを通過するからである。

ＷＰＡ（Ｗｉ−Ｆｉ Ｐｒｏｔｅｃｔｅｄ Ａｃｃｅｓｓ）など無線アクセスのためのセキュリティ・キーを変更またはエンターするなど、自分のゲートウエイを構築したいユーザ、あるいはＮＡＴポートマッピングを構築したいユーザ、ゲートウエイに接続されたデバイス間でローカルファイルシェアリングを構築したいユーザは通常、ゲートウエイのウエブアプリケーションにログインする必要がある。かかるウエブアプリケーションは、アプリケーション層に属するインターネット・プロトコル・スイート（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｕｉｔｅ）のプロトコルの一つであるＨＴＴＰＳプロトコルのＨＴＴＰ等を介してアクセス可能である（インターネットプロトコルは、リンク層、インターネット層、トランスポート層、アプリケーション層からなり、リンク層プロトコルの具体例は、ＡＲＰ，ＤＳＬ；インターネット層プロトコルの具体例は、ＩＰ，ＩＧＭＰ；トランスポート層プロトコルの具体例は、ＴＣＰ，ＵＤＰ；アプリケーション層プロトコルの具体例は、上述のようなＨＴＴＰ／ＨＴＴＰであるが、ＤＨＣＰ，ＲＴＰ，ＳＯＡＰ，ＳＳＨも含む）。首尾よく認証されると、ユーザらは、セッション識別子すなわちセッションＩＤにより識別されるセッションを割り当てられる。そしてセッション識別子を使用するすべてのリクエストは、「安全」とみなされ、ゲートウエイ上のウエブサーバにより処理され、それによってアクセス権はユーザに関連付けられた権利に制限される。よって悪意のあるハッカーは、たとえばゲートウエイとゲートウエイに接続されたデバイスの間の通信をスパイすることにより、あるいはウエブブラウザにより記憶された情報にアクセスすることによりかかるセッションＩＤを入手し、いずれかの記憶されたセッションＩＤを抽出した上で、デバイス、データおよび／またはサービスにアクセスするための取得されたセッションＩＤを使用しようと試みるであろう。この手法は、セッション盗用として知られる。

様々な機構がセッション盗用を阻止するために導入されている。たとえばセッションＩＤが無作為に生成され、これらを予測できないものとしており、ウエブブラウザは、セッションＩＤを取得したウエブサイトとは異なる他のウエブサイトの関連で動作するコードから、セッションＩＤが記憶されるクッキーに対するアクセスを許否し、セッションＩＤは、アイドルタイムアウト後に削除される。それにもかかわらず、有効なセッションＩＤが盗用される可能性は、依然として常に存在する。かかる場合、セッションＩＤの有効性を限定する追加の保護機構を備えることは有用であろう。

よく知られた保護機構は、セッションを最初のリクエストの発生元のＩＰアドレスに固定することである。実際のところ、これは、プロキシサーバ・ファーム、ロードバランス、またはネットワークアドレス変換（ＮＡＴ：Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）を介してウエブサーバにアクセスするユーザ等にセッションの損失を生じさせる。かかるユーザのために、ユーザのＩＰアドレスが複数のリクエストの間で適法に変化してもよい。

このように、ゲートウエイまたはゲートウエイに接続された１つまたは複数のデバイスを管理することを目的とする悪意のある攻撃からネットワークデバイスのセキュリティを保護するより改善された方法であって、従来技術の欠点を有しない方法が必要となる。

本発明は、従来技術のいくつかの不都合を軽減することを目的とする。

より詳細には、本発明は、ゲートウエイデバイス等、方法を実行するデバイスを介して、デバイスおよびアプリケーションがアクセス可能なデータまたは１つ以上のサービス（以下「データ／サービス」または「データ／（複数の）サービス」という）に対するアクセスのセキュリティを保護することを可能にする。

データおよび／または１つまたは複数のサービスに対するアクセスのセキュリティを保護するために、本発明は、方法を実行するネットワークデバイスを介してアクセスされたデータおよびサービスに対するアクセスのセキュリティを保護する方法を提案し、当該方法は、データまたは少なくとも一つのサービスにアクセスするためのリクエストを受信するステップを含み、当該リクエストは、リクエストのソースを識別するソース識別子を備え、当該方法は更に、リクエストが最初のリクエストか、あるいは後続のリクエストかを決定するステップを含み、当該決定は、リクエストが後続のリクエストである場合、データまたはサービスにアクセスするためのセッションを識別するセッション識別子のリクエストにより行う存在の検証を含み、当該方法は更に、リクエストが最初のリクエストである場合、ソース識別子についてのソース識別子群を決定するステップを含み、ソース識別子群が決定可能な場合、決定された識別子群に属するソース識別子を有するソースから、データまたは少なくとも一つのサービスに引き続きアクセスするのに使用されるセッション識別子を生成するステップと、最初のリクエストを処理するステップと、最初のリクエストのソースに、生成されたセッション識別子を送信するステップと、リクエストが後続のリクエストである場合、ソース識別子についてのソース識別子群を決定するステップと、ソース識別子群が決定可能な場合、決定されたソース識別子群に属するソース識別子を有するソースから、後続のリクエストに含まれるセッション識別子と、データまたは少なくとも一つのサービスにアクセスするのに使用されるセッション識別子を比較するステップと、ソース識別子が一致する場合、後続のリクエストを処理するステップとを含む。

本発明の変形実施形態によると、リクエストのソースを識別する情報は、リクエストの送信のソースを識別する。

本発明の変形実施形態によると、リクエストのソースを識別する情報は、リクエストの受信のソースを識別する。

本発明の変形実施形態によると、リクエストのソースを識別する情報は、物理的なコネクタの番号を指定する。

本発明の変形実施形態によると、リクエストのソースを識別する情報は、ネットワークインターフェースの番号を指定する。

本発明の変形実施形態によると、リクエストのソースを識別する情報は、ネットワークインターフェース・アドレスを指定する。

本発明の変形実施形態によると、リクエストのソースを識別する情報は、ソフトウエアアプリケーションの識別子を指定する。

本発明の変形実施形態によると、当該方法は、インターネット・プロトコル・スイートのアプリケーション層でアクティブとなる。

本発明の変形実施形態によると、当該方法はウエブアプリケーションで実行される。

本発明は更に、デバイスを介してアクセスされたデータおよびサービスに対するアクセスのセキュリティを保護するネットワークデバイスを備え、前記デバイスは、データまたは少なくとも一つのサービスにアクセスするためのリクエストを受信するネットワークインターフェースを備え、前記リクエストは、リクエストのソースを識別するソース識別子、およびデータまたはサービスにアクセスためのセッションを識別するオプションのセッション識別子を備え、前記デバイスは更に、前記リクエストが最初のリクエストか、あるいは後続のリクエストかを決定する手段を備え、前記決定は、リクエストが後続のリクエストである場合、データまたはサービスにアクセスするためのセッションを識別するセッション識別子のリクエストにより行う存在の検証を含み、前記デバイスは更に、リクエストが最初のリクエストである場合、ソース識別子についてソース識別子群を決定する手段を備え、ソース識別子群が決定可能な場合、決定された識別子群に属するソース識別子を有するソースから、データまたは少なくとも一つのサービスにアクセスするのに使用されるセッション識別子を生成する手段と、最初のリクエストを処理する手段と、最初のリクエストのソースに、生成されたセッション識別子を送信するネットワークインターフェースを備え、前記デバイスは更に、リクエストが後続のリクエストである場合、ソース識別子についてのソース識別子群を決定する手段と、ソース識別子群が決定可能な場合、決定されたソース識別子群に属するソース識別子を有するソースから、セッション識別子と、データまたは少なくとも一つのサービスにアクセスするのに使用されるセッション識別子を比較する手段と、ソース識別子が一致する場合、後続のリクエストを処理する手段とを備える。

本発明の多くの利益は、本発明の特定かつ非制限的実施形態の記述のより明らかになるであろう。当該実施形態は、以下の図面を参照して記載される。

図１は、ネットワークで相互接続されたデバイスにより記述された、本発明の特定の実施形態を示している。 図２は、本発明の特定の実施形態にかかる、図１のゲートウエイ１３１を示している。 図３は、本発明の特定の実施形態にかかる、データ／サービスに対するリクエストの受信により、イベントの順序を示すシーケンス図を示している。 図４は、例えば図１のゲートウエイにより実行された本発明の方法の特定の実施形態を実行するアルゴリズムを示している。

図１は、種々のネットワークを相互接続するゲートウエイデバイスにおける発明の特定の実施形態を示している。

ユーザ建物１３０は、ゲートウエイ１３１、およびゲートウエイ１３１をマルチメディアの記憶装置１４１、ＤＬＮＡテレビ１３９、インターネットテレビ（ＩＰＴＶ）セットトップボックス１４３、ポータブルパソコン１４２および電話機１３３を相互接続するローカルエリアネットワーク１３６を備えている。デバイス１３３、１３９、１４１、１４３は、各無線接続１３５、１４０、１３７、１４６を介してローカルネットワーク１３６に接続されており、他方でポータブルパソコン１４２は、１３２および１３８を介して無線接続によりゲートウエイに接続されている。

ゲートウエイ１３１は更に、接続１２１を介して外部ネットワーク１２０に接続されている。外部ネットワーク１２０には、２つのローカルネットワーク１０６、１１６が接続されている。３つのデバイス１００、１０１、１０２がローカルネットワーク１０６に接続されており、他方で２つのデバイス１１０、１１１がローカルネットワーク１１６に接続されている。これらすべてのデバイス１００〜１０２、１１０〜１１１、１３１、１３３、１３９、１４１〜１４３は、データまたはサービスに対するアクセスのリクエストのソースとなり得る。

図２は、本発明の特定の実施形態にかかる、図１のゲートウエイ１３１を示している。

ゲートウエイ１３１は、以下の構成要素から成る。
―中央演算処理装置２００すなわちＣＰＵ
―ＤＳＬ（Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）ディジタル加入者線インターフェース２０６
―タイプ・イーサネット（Ｅｔｈｅｒｎｅｔ）の４つのネットワークインターフェース２０１〜２０２、２０４〜２０５
―無線ＬＡＮタイプの第５のネットワークインターフェース２０３
―ソース識別子群／ソースＩＤレポジトリ２０５０、セッションＩＤ／ソース識別子群レポジトリ２０５１および汎用メモリ領域２０５２を備えたメモリ２０５、
―オプションのタイミングユニット２０７

ＣＰＵ２００、ネットワークインターフェース２０１〜２０５、メモリ２０５、ＤＳＬインターフェース２０６、タイミングユニット２０７は、ディジタルデータ通信バス２１０を介して相互接続されている。デバイス１３１は、以下の入力／出力を備えており、入力／出力１３７は、ネットワークインターフェース２０１に接続されており、入力／出力１４０は、ネットワークインターフェース２０２に接続されており、アンテナ１３２は、ネットワークインターフェース２０３に接続されており、入力／出力１３５は、ネットワークインターフェース２０４に接続されており、入力／出力１５０は、ネットワークインターフェース２０５に接続されており、入力／出力１２１は、ＤＳＬインターフェース２０６に接続されている。

内部メモリ２０５、記憶領域２０５０は、ソース識別子群―ソースＩＤの関係を記憶し、かつ検索する機能を実行し、記憶領域２０５１は、セッションＩＤ―ソース識別子群の関係を記憶し、かつ検索する機能を実行する。この情報は例えば、事前に記述された表１および２等の表形式で記憶される。変形実施形態によると、この情報はデータベースに記憶される。

オプションのタイミングユニット２０７は、タイムアウトの遅延をセッションＩＤに追加する機能を果たし、セッションＩＤのセキュリティを更に高めるために、種々の方法で使用することができる。たとえば、生成されたセッションＩＤが特定の時間使用されていない場合、例えば、特定時間中にデータ／サービスに対して何らリクエストがなかった場合は、セッションＩＤは自動的に無効となる。そして無効とされたセッションＩＤを利用したいずれの新たなリクエストも許否される。例えば、セッションＩＤは、当該セッションＩＤが使用されているか否かに関わらず、特定のタイムアウトによる遅延の後、自動的に無効となる。

中央演算処理装置２００は、本発明のステップを実行するアルゴリズムを処理することができる。アルゴリズムは、汎用メモリ領域２０５２に記憶される。汎用メモリ領域２０５２は更に、アルゴリズムの実行に必要な変数を記憶する機能を実行する。

処理装置２００は、決定し、かつ１つ以上のリクエストに使用される第１の識別子（セッション識別子）のメモリ２０５に記憶することができる。処理装置２００は更に、データにアクセスし、あるいはサービスにアクセスするためのリクエストを処理することができる。処理装置２００は更に、セッション識別子についてのソース識別子群のメモリ２０５に記憶された情報から決定することができる。前回の決定が、セッション識別子についての少なくとも一つのソース識別子群が存在することを示す場合、およびリクエストにおいて与えられたソース識別子が、セッション識別子についての少なくとも一つのソース識別子に含まれていると判断された場合は、処理装置２００は、更にデータまたはサービスにアクセスするためのリクエストを処理することができる。

セッションＩＤは、乱数生成器に基づく等、既知の方法により生成することができる。

図３は、本発明の特定の実施形態にかかる、データ／サービスに対するリクエストの受信後のイベントのシーケンスを記述するシーケンス図を示している。

当該図は、本発明の態様の一部を記述しており、特に、本発明の特定の実施形態にかかる、ローカルネットワークにおけるデバイスと、本発明を実行するゲートウエイと、外部ネットワークにおけるデバイスの間の単純なシナリオによる交換のプロトコルを図示している。

シーケンス図は、パソコン１４２の種々のネットワークインターフェースに対する２つの接続と、ゲートウエイ１３１と、ＬＡＮ２ １１６に存在するデバイス１１１を表す４つの垂直の時系列を介して記述される。

シーケンス図は、データ／サービス「ａ」に対するリクエスト３００のネットワークインターフェース「ＮＩ３」から、ゲートウエイ１３１に接続１３２／１３８を介してパソコン１４２により送信することにより開始する。「ＮＩ３」は、リクエスト３００が生じるソースを識別することを可能にする情報を示す。本発明の特定の実施形態によると、このソースＩＤは、リクエストの送信元であるソースのネットワークインターフェースのＩＰアドレスであり、すなわちこの場合、ゲートウエイ１３１のインターフェース３であり、よってソースＩＤは、リクエストの受信のソースを識別する。本発明の変形実施形態によると、ソースＩＤは、リクエストの送信元、あるいはリクエストの受信元であるネットワークインターフェースボード上の特定の物理的な接続を指定する。更に別の変形によると、ソースＩＤは、前記のいずれかの組み合わせ、例えばリクエスト送信元であるソースのネットワークインターフェースのＩＰアドレスと、リクエストが受信されるネットワークインターフェースのＩＰアドレスの組合せである。この変形は、リクエストと、リクエストを送信するのに使用されるネットワークリンクの間の密な連結により、データ／サービスに対するアクセスに更にセキュリティを追加する、という利点を有し、これは制限のあるアクセスが必要な場合に有用である。個々の変形は、より移動性が可能になるという状況で必要となり得るより緩い結合を可能にするという利点がある。

本発明の変形実施形態によると、このソースＩＤは、この場合のリクエストの発生元であるデバイスであるパソコン１４２で動作するアプリケーションのアプリケーション識別子である。一つの例として、当該アプリケーションは、トンネリングを介して会社のネットワークに安全なアクセスを提供するＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ、バーチャル プライベート ネットワーク）アプリケーションである。リクエスト３００を受信すると、ゲートウエイ１３１は、矢印３０１が記述するセッション識別子「ｚ」を生成する。かかるセッションＩＤは、一連の後続のリクエストのデータ／サービスに対する最初のリクエストの受信によってのみ生成される。本発明の特定の実施形態により、最初のリクエスト又は後続のリクエストが受信されたか否かの決定は、ソースＩＤについてセッションＩＤが既に生成されたか否かにかかわらず、ゲートウエイ１３１のメモリに記憶された情報をチェックすることにより行われる。ソースＩＤについていずれのセッションＩＤも存在しない場合、リクエストは最初のリクエストであり、存在する場合は、リクエストは後続のリクエストである。本発明の変形実施形態によると、最初のリクエストを受信したか、後続のリクエストを受信したかの決定は、リクエストにおけるセッションＩＤの存在に基づいて行われる。リクエストがセッションＩＤを含んでいない場合は、当該リクエストは最初のリクエストであり、含んでいる場合は、当該リクエストは後続のリクエストである。この変形は実行するのが簡易であるという利点があるが、上記の特定の実施形態と比較して、セッションＩＤの生成が容易となり、ハッカーがこれを利用して、生成されたＩＤの種別に関する情報を得て、有効なセッションＩＤがどのようなものかの判断が可能になってしまう、という欠点がある。記載された特定の実施形態により、ハッカーが新たなセッションＩＤを得ることがより困難になる。なぜなら、ハッカーは、自分が同一のソース（ＩＤ）からデータまたはサービスを要求して初めて、新規のセッションＩＤを得ることができるからである。記載された実施例では、矢印３０１は、受信したリクエストが最初のリクエストであることを示しており、これによりセッションＩＤが生成される。本発明の特定の実施形態によると、次にこのセッションＩＤは記憶され、矢印３０２で記述されるように、リクエスタに伝達される。本発明の変形実施形態によると、このセッションＩＤは、リクエスタに直接伝達されるというより、リクエストされたデータ／サービスに関する情報を含む、リクエスト３００に対する応答３０５に含まれる。リクエスタ（ここではパソコン１４２）は、セッションＩＤを記憶し、セッションＩＤが無効になるまで、後続のリクエストにこれを使用する。ゲートウエイ１３１は、メモリ領域２０５０に記憶された情報に基づいて、ソースＩＤについての１つ以上のソース識別子群を決定する。本発明の特定の実施形態によると、メモリ領域２０５０にあるソース識別子群／ソースＩＤ情報は、ネットワーク管理者等ユーザにより手動で入力される。本発明の変形実施形態によると、メモリ領域２０５０のソース識別群／ソースＩＤ情報は、例えば、ゲートウエイ１３１により知られているネットワークトポロジー情報に基づき、あるいはゲートウエイ１３１により知られているアプリケーションに関する情報に基づき、自動的に生成される。本発明の更に別の変形実施形態によると、メモリ領域２０５０にあるソース識別子群／ソースＩＤ情報は、一部は自動的に生成され、一部はユーザにより手動で入力される。後者の変形は特に興味深く、データの大部分を手動で入力する作業からユーザを解放し、一方で自動的に生成された情報をユーザが改変し、あるいは適合させることを可能にする。

新規のセッションＩＤが生成されると、ゲートウエイ１３１は、セッションＩＤ（ここでは「ｚ」）とソースＩＤ（ここでは「ＮＩ３」）について有効なソース識別子群（たとえばＬＡＮ３）とを関連付け、この情報（すなわち、生成されたセッションＩＤおよびそのソース識別子群との関連性）をメモリ領域２０５１に記憶する。

ある時点での図３に記述されたシナリオは、ゲートウエイ１３１により生成されたセッションＩＤに対するハッカーによるアクセスを認めてしまう悪意のあるハッカーによるローカルネットワーク１３６に対する侵入３０３を図示している。次に、パソコン１４２は、最初のリクエスト３００に使用されたものと異なるネットワークインターフェース（「ＮＩ５」）において発行する。後続のリクエスト３０６は、リクエストされたデータ／サービス（ｂ）に関する情報、当該リクエストの発生源であるソース識別の情報（「ＮＩ５」）、後続のリクエストに対するゲートウエイ１３１から受信したセッションＩＤ（ここでは「ｚ」）から成る。後続のリクエスト３０６の受信により、ゲートウエイ１３１は、メモリ領域２０５０に記憶された情報（ソース識別子群／ソース識別子、表１参照）を介して、ソースＩＤが属するソース識別子群（ＬＡＮ３）を決定する（３０７）。本発明の特定の実施形態によると、ソースＩＤについていかなるソース識別子群も発見できなかった場合は（３１０）、ゲートウエイ１３１は、リクエストを発行したソースに対し、警告メッセージを送信する（３１１）。変形実施形態によると、ゲートウエイ１３１は、リクエスタのソースＩＤをブラックリストに加え、これは、データ／サービスに対するリクエストが受信される度にチェックされる。ソースＩＤがブラックリストにあると、リクエストは、それ以上処理されることなく許否できる。更に別の変形実施形態によると、セッションＩＤは信用が低下したとみなされ、無効にされ、これにより新規なセッションＩＤがリクエストされる必要がある。これらの実施形態の種々の組合せが可能であり、セッションのセキュリティを高める。しかし、ソース識別子群が発見された場合（３０７）、ゲートウエイ１３１は、メモリ領域２０５１に記憶された情報（セッション識別子／ソース識別子群、表２参照）を介して、リクエスト３０６により提供されたセッションＩＤ（ｚ）が、発見されたソース識別子群の一つ（ＬＡＮ３）について有効か否かを判断する。いずれの有効なソース識別子群も発見できなかった場合は、本発明の種々の実施形態により、上記したような同一のファンクショニング、すなわち警告メッセージ、ブラックリストまたはその双方が適用可能である。記述された実施例によると、認証がなされ、データ／サービス（ｂ）がリクエストしているデバイス１４２に提供され、これは矢印３０８により記述されている。しかし、ハッカーが、盗用されたセッションＩＤ（ｚ）を含んだデータ／サービス（ｃ）についてリクエストの送信（３０９）により、盗用されたセッションＩＤを使用しようとする場合、セッション識別子（ｚ）についてのソース識別子群の決定のステップ、そしてそれに続く、ソースＩＤ（ｎ）が、決定されたソース識別子群（ＬＡＮ３）にあるか否かの判断のステップは、ソースＩＤ（ｎ）は、セッションＩＤについてのいずれのソース識別子群（ｚ）にも存在しないことを示すことがあり（３１０）、これにより当該リクエストは拒否され、これによりセッションＩＤの悪用が回避される。

特定の実施形態によると、記憶領域２０５０および２０５１に記憶されている、少なくともある情報は暗号化されることにより、セッションＩＤはソース識別子群とどのように関連付けられているか、これらのソース識別子群について、いかなる有効なＩＰアドレスが存在するか、いかなる情報をハッカーは利用して、アドレススプーフィングによりデータ／サービスにアクセスすることができるか、に関する情報をハッカーは取得することを阻止することができる。

図面は、ローカルネットワークの外部から生じる侵入を記述している。もちろん、侵入は、ゲートウエイ１３１に対する無線または有線接続を介したローカルネットワークに対してハッカーがアクセスできる等、侵入はネットワークの内部から生じる場合もある。

アクセスがリクエストされているデータ／サービスが、ゲートウエイを介してアクセスされる。これは、ゲートウエイがデータ／サービスを直接提供する場合があること、あるいはゲートウエイは媒介装置に過ぎず、データ／サービスはゲートウエイを介して接続された他のソースにより提供されていることを意味している。

考察した図面により記述された本発明によると、許容される後続のリクエストは、必ずしも、最初のリクエストを発したソースと同一のソースから生じていない。本発明はこの点に関して高い柔軟性を認めているため、例えば、使用されているセッションＩＤについて決められた１つまたは複数のソース識別子群の一つにリクエストのソースＩＤが属する限り、リクエスト間のソースＩＤの変更が可能となる。

ゲートウエイは、ソース識別子群とソースＩＤの関係、セッションＩＤとソース識別子群の関係を記憶する。記憶された情報に従い、リクエストに含まれるセッションＩＤについて１つ以上のソース識別子群が存在すると判断されると、セッションＩＤが帰属していたソースＩＤのソース識別子群にソースＩＤが属するか否かが検証される。属していると判断されれば、リクエストされたデータ／サービスに対するアクセスが許可される。属していると判断されなければ、リクエストされたデータ／サービスに対するアクセスは許否される。ゲートウエイについては、これは、ソースＩＤをブラックリストに載せたり、セッションＩＤを無効にしたり、ネットワーク管理者に警告する等、追加のセキュリティ対策を講じる機会である。

特定の実施形態によると、かかる機構の実装は、ゲートウエイデバイスに記憶された表を使用している。かかる実装の例は以下に提示されている。

表１ ソース識別子群とソースＩＤとの関係

表２ セッションＩＤとソース識別子群との関係

上記表１は、ネットワークインターフェース識別子またはその使用に従い、ソース識別子群がどのように種々のソースＩＤに関連付けられているかを示している。各ソース識別子については、１つ以上の有効なソースＩＤが決められている。例えば、ＬＡＮ１の一部であるデバイスは、ＩＰアドレス１９１．２１１．１００．１−１０の範囲のソースＩＤを有する。ＬＡＮ２にあるデバイスは、ＩＰアドレス１９１．２１１．１００．１１〜１９１．２１１．１００．２０に対応するソースＩＤを有する。広域通信網（ＷＡＮ：Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）にあるデバイスは、例えば、ソースＩＤが、ＩＰアドレス２１１．２０３．１９６．１００〜２５５の範囲にあると決められているインターネット上のデバイスである。ローカルは、ゲートウエイそれ自体を表している。トンネルは、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｏｗｏｒｋ）インターフェースを表す。これは、ＶＰＮトンネリング・アプリケーションの識別子であると決められたソースＩＤである。これは、ネットワーク・インターフェース・アドレスというより、アプリケーションの識別子であるソースＩＤの例である。非武装地帯、ＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅを意味する）は、ネットワークの保護された部分に配置されたデバイスのソースＩＤを表している。ゲストは、一時的にネットワークに接続されたデバイスを表している。この表にある情報がどのように入力されるか（自動的に、あるいは手動により、あるいはこれらの組合せによる）は既に説明されている。

上記表２は、セッションＩＤは、ソース識別子群といかに関連付けられているかを示している。各セッションＩＤについては、セッションＩＤが関連付けられたソース識別子群が記憶される。

特定の実施形態によると、最初のリクエストおよび後続のリクエストで使用されるソースＩＤは、これらのリクエストの受信のソースを特定する。このように、例えば、（ローカルネットワークの外部から生じる）ＷＡＮ、（ホームゲートウエイから生じる）ローカルなどの受信のソースにより、ソース識別子群を画定することが可能である。変形実施形態によると、最初のリクエストおよび後続のリクエストで使用されるソースＩＤは、これらのリクエストの送信のソースを特定する。例えば、インターネットサービスプロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）により使用されるＩＰアドレスの送信のサブネットに該当するＩＰアドレスである。更に別の変形実施形態によると、ソースＩＤは、例えば、リクエストを送信するためのＩＳＰにより使用されるＩＰアドレスのサブネットに該当するＩＰドレス（すなわち送信のソース）およびＩＰインターフェースの名称（すなわち受信のソース）、これに加え、リクエストが受信されるポート番号（すなわち受信のソース）等、送信のソースおよび受信のソースの双方を特定する。これは非常に効果的である。なぜなら、この変形により、セッションＩＤは、例えば、ＷＡＮ側からＩＳＰにより生じたリクエストに限定され、ゲートウエイ、ポート４４３（セキュリティが保護されたＨＴＴＰを意味するＨＴＴＰＳ）上の「インターネット」という名称のインターフェースに送信されるからである。

本発明の変形実施形態によると、ソースＩＤは、物理的なコネクタ、例えば、コネクタ１、コネクタ８の番号を特定する。これにより、セッションと物理的なコネクタが関連付けられ、盗用されたセッションＩＤによりリクエストされたデータ／サービスに対するアクセスのセキュリティを保護するが、実施形態の変形によると、当該リクエストは、異なる物理的なコネクタ番号から送信され、あるいは受信され、あるいは送受信されるリクエストである。

本発明の更に別の変形実施形態によると、ソースＩＤは、ネットワーク・インターフェース・アドレスを特定する。ネットワークインターフェースが複数のネットワークインターフェース・アドレスを有する可能性があるため、ソースＩＤとネットワークインターフェース・アドレスを結びつけることにより、セッションＩＤと特定のサブネットとの連結が可能になる。この変形実施形態は、既述した実施形態よりも厳密性が低い。

本発明の更に別の実施形態によると、ソースＩＤは、ネットワークインターフェースの番号を指定する、この変形は、記述した実施形態より厳密性の低いデータ／サービスに対するアクセスのセキュリティを保護する方法を提案する、という利点があり、例えば、セッションＩＤを複数の論理的な接続を有するネットワークインターフェースに結びつけることに適している。

本発明の更に実施形態によると、ソースＩＤは、ソフトウエアアプリケーションの識別子を識別する。これにより、ソースＩＤとソフトウエアアプリケーションが関連付けられ、次に、種々のデバイスで動作することが認められるローミングアプリケーションについては、本発明の方法を実行するデバイスを介してアクセス可能なデータ／サービスに対するアクセスのセキュリティを保護することが可能になる。

変形実施形態によると、２つ以上の記述した変形が組み合わされ、これにより、データ／サービスに対するアクセスのセキュリティを保護する特に的確な方法が可能になる。例えば、ソースＩＤは、リクエストが受信されるネットワークインターフェース・アドレス（すなわち、リクエストの受信のソース）およびリクエストが受信されるコネクタ番号、送信先のポート番号、リクエストが受信されるコネクタ番号から画定される。この（論理）ネットワークインターフェースの下で有線接続と無線接続が橋渡しされると、これにより、セッションＩＤは、当該ネットワーク上のデバイスによってのみ有効となり、ＨＴＴＰＳが使用されていない限り、種々のコネクタ間を移動することができないことが保証される。これにより、暗号化キー（ＷＥＰ，ＷＰＡ）が無線接続で使用されているか否かに関わらず、セッションＩＤの機密性が最大限確保される。ＷＥＰ、すなわちＷｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙは、ＩＥＥＥ ８０２．１１無線ネットワークのセキュリティを保護するためのアルゴリズムである。Ｗｉ−Ｆｉ Ｐｒｏｔｅｃｔｅｄ Ａｃｃｅｓｓ（ＷＰＡおよびＷＰＡ２）は、無線コンピュータネットワークのセキュリティを保護するために、Ｗｉ−Ｆｉアライアンスが策定したセキュリティプロトコルに準拠していることを示す、Ｗｉ−Ｆｉアライアンスが開発した認証プログラムである。

図４は、例えば図１のゲートウエイ１３１により実行された本発明の方法の特定の実施形態を実行するアルゴリズムを示している。

アルゴリズムは、その実行に必要な変数の割り当ておよび初期化のステップ４００からスタートする。ステップ４０１では、図３のリクエスト３００等、データ／サービスに対するリクエストが受信される。リクエストが受信されると、テストステップ４０２が実行される。

これが最初のリクエストであると決定されると（これがどのように決定できるかについては、図３の記述参照）、セッションＩＤが生成される場合は、アルゴリズムはステップ４０３に続く。本発明の種々の変形実施形態によると、どのようにセッションＩＤが生成され、記憶され、リクエスタに伝達されるかについては、図３の記述参照。そしてステップ４０４によると、ソース識別子群は、ゲートウエイのメモリ領域２０５０に記憶された情報に基づき、ソースＩＤについて決定される。次にステップ４０５では、生成されたセッションＩＤは、前のステップ４０４で決定されたソース識別子群に関連付けられ、セッションＩＤおよびそのソース識別子群に対する関係は、ゲートウエイ１３１のメモリ領域２０５１に記憶される。最後のステップでは、リクエストが処理され、すなわちリクエストされたデータ／サービスが転送され／提供され、アルゴリズムは、データ／サービスに対するリクエストを待つステップ４０１から繰り返される。かかるリクエストが受信され、これが最初のリクエストではないと決定されると、ステップ４０８が実行され、ここでは、少なくとも一つのソース識別子群が、リクエスタにより提供されたセッションＩＤを含んだゲートウエイ１３１のメモリ領域２０５０に存在するか否かが判断される。かかるソース識別子が存在しないと、リクエストは拒否され、アルゴリズムは、リクエストを待つステップ４０１から繰り返される。セッションＩＤについていずれのソース識別子群も存在しないということは、当該セッションＩＤが有効でない、例えば、これは存在しないセッションＩＤであること、あるいは、無効となったセッションＩＤであること、すなわちセッション識別子は、いずれのソース識別子群に関連付けられたセッションＩＤにも対応していない（すなわち、これと同一でない）ことを意味している。このようにステップ４０８は、これに基づきリクエストを許否することができ、ステップ４０８は、データ／サービスに対するアクセスのセキュリティを保護する際の付加的なセキュリティ対策を構成する。本発明の種々の変形実施形態が、リクエストの許否をどのように扱っているかについては、図３の記述参照。しかし、かかるソース識別子群が存在する場合は、ステップ４０９において、ゲートウエイ１３１のメモリ領域２０５１に存在する情報により検証することにより、リクエストのソースＩＤが、発見されたソース識別子群のソースＩＤと比較される。同一のソースＩＤが存在しない場合は、リクエストは拒否され、アルゴリズムは、他のリクエストの受信を待つステップ４０１から繰り返される。本発明の種々の変形実施形態がリクエストの許否をどのように扱うかについては、図３の記述を参照。しかし、かかる同一のソースＩＤが、セッションＩＤについて有効なソース識別子群のいずれかに存在する場合、すなわち、「有効」が、リクエストからのセッションＩＤが、上記で考察したソース識別子群のいずれかの少なくとも一つに関連付けられたセッションＩＤに対応している（すなわち、これと同一である）ことを意味している場合は、リクエストは許可され、ステップ４０６で更に処理される。

このように、有効なセッションＩＤを備えたいずれのリクエストの発生源も検証され、これによりリクエストのソース識別子群の一つではないソース識別子群から発生するリクエストであって、これによりセッションＩＤが生成されたリクエストは許否される。

本発明に適合するためには、上記した順序で図４に記載したステップを実行する必要はない。例えば、ステップ４０８は、結果を変更することなく、ステップ４０９より前に実行してもよい。同様に、ステップ４０３はステップ４０４の後に実行してもよい。

本発明の特定の実施形態によると、当該方法は、インターネット・プロトコル・スイートのＯＳＩ（開放型システム間相互接続）参照モデルアプリケーション層でアクティブになり、すなわちＯＳＩ参照モデルアプリケーション層に適用される。これは、当該方法は、ファイアウォール等のＯＳＩ参照モデルの下位層でアクティブになる保護に対して補完的である、という利点がある。当該方法は、既存の保護方法に付加的なセキュリティを追加する。

本発明の特定の実施形態によると、本発明はウエブアプリケーションで実行されるため、最も必要とされる場合、すなわちアクセスポータルが存在する場合に、集中的な手法で、データおよび／またはサービスに対するアクセスを直接的に保護するという利点が提供される。

図１に記載されたネットワークは、本発明を利用可能な例示的ネットワークにすぎない。他のネットワーク構成が可能であり、例えば１つ以上のローカルネットワークの各々を備えた２つ以上のユーザ建物を備えた本発明にも依然として対応可能である。図１のローカルネットワークの構造は、デバイスの数、使用されるデバイスの種別および／または使用されるアプリケーションによって異なって構成可能である。同様に、デバイス１３１の記載されたインターフェースは、ＤＳＬおよびイーサネット・インターフェース（Ｅｔｈｅｒｎｅｔ Ｉｎｔｅｒｆａｃｅ）であるが、本発明はＤＳＬやイーサネットの使用に限られない。本発明を実行するゲートウエイ１３１は、他のデバイスとは異なるデバイスとして図１に記述されているが、本発明の実行は、ゲートウエイまたはスタンドアロンデバイスに限られず、例えばパソコン１４２のネット-ワークにおけるいずれのデバイス上でも十分に実行可能である。本発明の他の変形実施形態によると、本発明は、ローカルネットワークと他のネットワークの間のすべての通信についてのアクセスポイントであるプロキシデバイス上で実行される。

図２で記述されたゲートウエイ１３１以外のタイプの媒介装置も可能であり、一方で、複数の専用処理装置、複数のディジタルデータ通信バスを備えたデバイス等の本発明にも対応可能である。本発明の変形実施形態によると、デバイス１３１の物理的な接続は、１つ以上のネットワークインターフェースに再編成され、すなわち各接続について一つのインターフェースを有する代わりに、ネットワークインターフェースは複数の接続を有する。そして、特定のネットワークインターフェースは、特定のサブネットワークを画定するのに使用され、ソースＩＤは、特定のネットワークインターフェースに関連付けることができる。本発明は、パーソナルコンピュータ等の汎用デバイス上で動作するソフトウエア構成要素から十分に構築可能であり、本発明は、ハードウエアおよびソフトウエア構成要素の組合せを使用して実行可能である。特定の実施形態によると、本発明は全体としてハードウエア、例えば、専用部品（例えば、ＡＳＩＣ，ＦＰＧＡ，ＶＬＳＩ（各々、Ａｐｐｌｉａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ，Ｆｉｅｌｄ―Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ，Ｖｅｒｙ Ｌａａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ）、またはデバイスに集積された特有の電子部品、またはハードウエアとソフトウエアの組合せの形態で実行される。

Claims (10)

1. 方法を実行するネットワークデバイスを介してアクセスされたデータおよびサービスに対するアクセスのセキュリティを保護する方法であって、
   前記方法は、
   データまたは少なくとも一つのサービスにアクセスするためのリクエスト（３００，３０６，４０１）を受信するステップであって、前記リクエスト（３００，３０６，４０１）は、リクエストのソースを識別するソース識別子を備える、前記ステップと、
   前記リクエスト（３００，３０６，４０１）が最初のリクエスト（３００）か、あるいは後続のリクエスト（３０６）かを決定するステップ（４０２）であって、前記決定は、前記リクエストが後続のリクエストである場合、データまたはサービスにアクセスするためのセッションを識別するセッション識別子のリクエストにより行う存在の検証を含む、前記ステップと、を含み。
   前記方法は更に、前記リクエストが最初のリクエスト（３００）である場合、ソース識別子についてソース識別子群を決定するステップ（４０４）と、ソース識別子群が決定可能な場合、決定されたソース識別子群に属するソース識別子を有するソースから、データまたは少なくとも一つのサービスに引き続きアクセスするのに使用されるセッション識別子を生成するステップ（４０３）と、第１のリクエストを処理するステップ（３０５、４０６）と、第１のリクエストのソースに、生成されたセッション識別子を送信するステップ（３０２）と、を含み、
   前記方法は更に、前記リクエストが後続のリクエスト（３０６）である場合、ソース識別子についてのソース識別子群を決定するステップ（３０７、４０９）と、ソース識別子群が決定可能な場合、決定されたソース識別子群に属するソース識別子を有するソースから、後続のリクエストに含まれるセッション識別子と、データまたは少なくとも一つのサービスにアクセスするのに使用されるセッション識別子を比較するステップと、ソース識別子が一致する場合、後続のリクエストを処理するステップ（３０８、４０６）と、を含む、前記方法。
2. 前記リクエスト（３００、４０１）のソースを識別する情報は、リクエスト（３００、４０１）の送信のソースを識別する、請求項１に記載の方法。
3. 前記リクエスト（３００、４０１）のソースを識別する情報は、リクエスト（３００、４０１）の受信のソースを識別する、請求項１または２に記載の方法。
4. 前記リクエストのソースを識別する情報は、物理的なコネクタの番号を指定する、請求項２〜３のいずれかに記載の方法。
5. 前記リクエストのソースを識別する情報は、ネットワークインターフェースの番号を指定する、請求項２〜４のいずれかに記載の方法。
6. 前記リクエストのソースを識別する情報は、ネットワークインターフェース・アドレスを指定する、請求項２〜５のいずれかに記載の方法。
7. 前記リクエストのソースを識別する情報は、ソフトウエアアプリケーションの識別子を指定する、請求項２〜６のいずれかに記載の方法。
8. 前記方法は、インターネット・プロトコル・スイートのアプリケーション層でアクティブとなる、請求項１〜７のいずれかに記載の方法。
9. 前記方法は、ウエブアプリケーションで実行される、請求項８に記載の方法。
10. デバイスを介してアクセスされたデータおよびサービスに対するアクセスのセキュリティを保護するネットワークデバイスであって、
    前記ネットワークデバイスは、
    データまたは少なくとも一つのサービスにアクセスするためのリクエスト（３００，４０１）を受信するネットワークインターフェース（２０１〜２０６）であって、前記リクエストは、リクエストのソースを識別するソース識別子、およびデータまたはサービスにアクセスするためのセッションを識別するオプションのセッション識別子を備える、前記ネットワークインターフェースと、
    前記リクエスト（３００，３０６，４０１）が最初のリクエスト（３００）か、あるいは後続のリクエスト（３０６）かを決定する手段（２００，２０５）であって、前記決定は、前記リクエストが後続のリクエストである場合、データまたはサービスにアクセスするためのセッションを識別するセッション識別子のリクエストにより行う存在の検証を含む、前記手段と、を備え、
    前記デバイスは更に、前記リクエストが最初のリクエスト（３００）である場合、ソース識別子についてソース識別子群を決定する手段（２００、２０５）と、ソース識別子群が決定可能な場合、決定された識別子群に属するソース識別子を有するソースから、データまたは少なくとも一つのサービスにアクセスするのに使用されるセッション識別子を生成する手段（４０３）と、第１のリクエストを処理する手段（３０５、４０６）と、第１のリクエストのソースに、生成されたセッション識別子を送信する（３０２）ネットワークインターフェース（２０１〜２０６）と、を備え、
    前記デバイスは更に、前記リクエストが後続のリクエスト（３０６）である場合、ソース識別子についてのソース識別子群を決定する手段（２００、２０５）と、ソース識別子群が決定可能な場合、セッション識別子と、決定されたソース識別子群に属するソース識別子を有するソースから、データまたは少なくとも一つのサービスにアクセスするのに使用されるセッション識別子を比較する手段と、ソース識別子が一致する場合、後続のリクエストを処理する手段（３０８、４０６）と、を備える、前記ネットワークデバイス。
    

Images