JP2014182513A - 広域通信網を利用したデータ送受信方法及びデータ送受信システム - Google Patents

Abstract

【課題】使用する端末装置がウィルスソフトなどで正当な権限を有しない第三者が不正アクセス行為を実行しようとしたとき、そのデータ送信を阻止する。
【解決手段】広域通信網（インターネット）に接続された操作端末から受信端末に送信データを伝送する際に、操作端末と対をなす確認端末を設けて広域通信網と操作端末を接続するプロキシ(サーバ又はブロードバンドルータ)との間で送受信確認の通信を実行する。若しくは、受信端末を接続するプロキシと確認端末との間で送受信確認の通信を実行する。そしてその結果、許諾されたときのみ送信データをあて先アドレスに送信して受信端末にデータを送信する。このとき確認端末で送受信確認する際に送信データを確認端末の公開鍵で暗号化し、確認端末で復号化して真偽判別する。
【選択図】図１

Description

本発明はインターネットなどの広域通信網における情報伝達方法に係わり、データ送受信の安全性を担保するセキュリティ機構の改善に関する。

一般にインターネットなどの広域通信網を利用して各種情報を伝達する方法は広く利用されている。電子メール、電子掲示板、ブログ、ウェブ取引、官公庁への書類提出（電子申告、申請書類提出等）、ソーシャルネットワークなどはその代表的な利用方法として知られている。

その方法は、利用端末（パーソナルコンピュータ、携帯電話など電子端末）を通信回線でプロバイダ（ＩｎｔｅｒｎｅｔＳｅｒｖｉｃｅＰｒｏｖｉｄｏｒ；インターネット接続業者）に接続し、プロバイダを介してインターネットに接続することによって利用端末からインターネット上のリソースをアップロードおよびダウンロードすることが出来るようにネットワーク構成されている。

このようなインターネットでは管理不能に近い膨大な数の利用端末が接続されているため悪意を持った第三者からの不正アクセスを防止する必要が生じてくる。この不正アクセス行為としては例えばウィルスソフトウェアを侵入させ、ターゲット端末を、「データ破壊」「悪意メール」「遠隔操作」「通信内容の傍受」などの被害をもたらすことが知られている。例えばオンラインゲームの不正操作（他人のアイテムの不正取得等）、インターネットバンキングの不正送金、インターネットショッピングの不正購入、情報の不正入手（個人情報の不正入手）、ホームページの改ざん・消去、インターネット・オークションの不正操作（他人になりすましての出品等）、不正ファイルの蔵置（不正なプログラムやフィッシング用ホームページデータの蔵置）等である。

従来インターネットなどに接続された情報端末の不正アクセスを防止する方法として、ウィルスセキュリティソフトウェアが知られている。多くの方法は、電子端末のアップロード履歴とダウンロード履歴を検査してウィルスを発見し、これを除去する方法である。このようなウィルスセキュリティは、新たなウィルスの発見とその対策の繰り返しであり、際限がないことも既に知られている。

例えば特許文献１には、利用端末に、ネットにおけるリソースの利用状況を収集するエージェントと、コンピュータウィルスに対するワクチンを投入するウィルス検知手段とを実装し、さらにネットワーク内における利用端末の接続状況及びトラフィックを監視する監視装置とを配置し、ネットワーク内における各利用端末のリソースの構成及び利用状況、トラフィックをネットワーク外に配置した集中監視装置で監視するネットワーク集中監視方法が提案されている。

また特許文献２にはネットワーク内におとりとなるサーバを配置し、外部からの不正侵入をおとりサーバで応答通信した結果に基づいてウィルス対策するシステムが提案されている。

また、本特許文献３にはインターネット取引の決済段階で、決済情報を送信して購入者の確認指示を求めるステップと、購入者本人の携帯電話に携帯電話回線を通じてメールを送信して連絡するステップと、あらかじめ購入者が取引を行なっている金融機関の携帯電話金融サービスがサイバーモールに対して対価の支払い処理を行なうステップを実行するシステムが提案されている。この文献と同様に特許文献４にもインターネットモールにおける商品売買の決済を携帯情報端末で本人確認するシステムが提案されている。

特開２００２−１４９４３５号公報 特開平０４−３１８７３９号公報 特開２００１−２６６０２４号公報 特開２００３−０８５４６８号公報

上述のようにインターネットなどの広域通信網にネットワーク接続された利用端末ではネットワーク中のリソースを安全に活用するためには、悪意の第三者による不正アクセスを回避しなければ、「データ破壊」「悪意メールの流布」「遠隔操作」「通信内容の傍受」「データ改ざん」などの被害を被ることはすでに知られている。

このようなインターネットからの不正な侵入やアクセスを防止するためファイアウォールと呼ばれるセキュリティ機構が用いられている。そのセキュリティ方法には２通りのものがあり、１つはＩＰ層において取り込みの可否をＩＰアドレスから判断するパケットフィルタリング方式である。他の１つはアプリケーション層で操作を利用者になり代って実行するアプリのケーションゲートウェイ（プロキシサーバ）方式である。これは通信を中継するプロキシ（代理）プログラムを使い、ローカルネットワーク（ＬＡＮ）とインターネット（ＷＡＮ）を切り離す方式となる。つまりプロキシサーバ上でアプリケーションレベルのフィルタリングを行い、データを中継することによって不正なコマンドを中継しないようにする。

またコンピュータウィルスや、トロイの木馬と呼ばれるバックドアを侵入したコンピュータに仕掛けるプログラム等（ソフトウェア蔵置）に対してはその防御や検出を行うセキュリティソフトについて、種々の研究開発がなされている。

しかし従来は不正アクセスの原因となるコンピュータウィルスを検出することと、検出されたウィルスを駆除することがその対策として試みられている。そしてコンピュータウィルスはアプリケーションソフトウェアのセキュリティホールを狙って続々と生まれてくるため、セキュリティソフトウェアが追いつかない現実に直面している。

そして、「データ改ざん」「遠隔操作」「犯罪予告」などのネット犯罪に限らず、個人のＩＤ（ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）、パスワード、カード番号、口座番号、暗証番号などが不用意に流出し、これを悪用するネット犯罪も増大する危険性が警鐘され、ネットバンキングの不正送金、インターネットショッピングの不正購入、ＩＤ情報の不正入手、インターネット・オークションの不正操作等の犯罪が増大している。

そこで本発明者は、利用端末がウィルスソフトウェアに汚染され、遠隔操作、データ通信傍受などの不正アクセス行為の被害にあう状態であったとしても不正行為を無効にして実行させないようにするとの着想に至った。

本発明は、広域通信網に接続した操作端末をウィルスソフトなどによって第三者が不正使用して悪意データを送信しようとしたとき、そのデータ送信を阻止することが可能なデータ送信方式及びこれを用いたデータ送信システムの提供をその課題としている。

上記課題を解決するため本発明は、広域通信網に少なくとも１つの代理接続機能を有する接続装置を介して操作端末から受信端末にデータを送信する際に、接続装置から操作端末と特定のペアー関係にある確認端末に送信データ（一部を含む）を暗号化して送信を許可するか否かの判別を求め、許可されたときに代理アクセス処理を実行することを特徴とし、これによって第三者から不正にアクセスされた悪意データの送信を阻止することができる。

本発明にかかわるデータの送受信方法は、宛先アドレスを含む送信データを送信側の操作端末から広域通信網に代理アクセスする接続装置に伝送するステップと、前記接続装置から送信データの少なくとも一部を前記確認端末に伝送するステップと、前記確認端末において前記接続装置から伝送されたデータに基づいて送信データを設定された宛先アドレスに送信することを許可するか否かを判別する諾否判別ステップと、前記諾否判別ステップの判別結果である諾否メッセージを前記確認端末に設けられた入力手段から入力するメッセージ入力ステップと、前記入力ステップで入力された諾否メッセージを前記確認端末から前記接続装置に送るステップと、前記接続装置において前記確認端末から送られた諾否メッセージで送信が許可されたとき送信データを宛先アドレスに送信するためのアクセス処理を実行するステップとから構成する。

本発明にかかわる広域通信網を利用したデータの送受信システムは、広域通信網の送信側に接続装置を介してネットワーク接続された互いに対をなす操作端末と確認端末と、広域通信網に代理アクセスする接続装置を介して操作端末から受信端末にデータ送信するデータの送受信システムであって前記広域通信網の受信側に接続装置を介してネットワーク接続された受信端末と、前記送信側又は受信側のいずれか一方の接続装置と前記確認端末との間のデータ送受信を制御する制御手段を備える。

そして前記制御手段は、操作端末から伝送された宛先アドレスを含む送信データを指定された宛先アドレスに送信することなく接続装置に設けられた記憶手段に記憶すると共に、送信データの少なくとも一部を前記確認端末に伝送し、確認端末に設けられた入力手段から入力された送信データを宛先アドレスに送信するか否かの諾否メッセージを接続装置に伝送し、次いで、確認端末から送られた諾否メッセージで送信が許可されたとき接続装置に記憶された送信データを宛先アドレスに送信するように構成する。このとき確認端末と操作端末とは、広域通信網に異なるインターフェイスで接続し、互いに独立してデータの送受信を実行するように構成する。また操作端末は、宛先アドレスを含む送信データを確認端末側の公開鍵で暗号化し、確認端末側ではそれを復号化し接続装置に送る場合もあり、このときは接続装置に記憶されたデータは復号化データにより書きかえられる。

本発明は広域通信網を介して送信側操作端末から受信端末に送信データを伝送する際に、広域通信網と端末装置を接続する接続装置との間で送信データの真偽判別通信を行い、その結果に応じてデータ伝送するかデータ廃棄するようにしたものであるから以下の効果を奏する。

送信側操作端末が第三者によって遠隔操作されたとき、例えばプロキシなどの接続装置は確認端末から送信許可メッセージを受信することができないのでデータ廃棄され悪意メール、個人データ流出（スパイウェアによるデータ流出）などが広域通信網に送信される恐れがない。従って操作端末がコンピュータウィルスに原因してリモートコントロールされても、或いはモバイルコンピュータが不正使用されても「悪意メール」「バンキング不正送金」「インターネットショッピングの不正購入」などの不正行為を防止することができる。

また、操作端末に対してウェブブラウザの割込みなどのなりすましアクセスがなされても、例えばＩＤコードなどの個人情報を含む送信データを伝送する際に、確認端末で宛先アドレスの確認、伝送データの確認によって個人情報の傍受、或いは改ざんを防止することができる。

さらに、本発明は、宛先アドレスを含む送信データを確認端末に設定した公開鍵で暗号化することによって、プロキシなどの接続装置自体がウィルス攻撃などでセキュリティ破壊されても判読可能な情報として送信データが広域通信網に送られることがない。

本発明にかかわる広域通信網を利用した送信データの送受信方法及び送受信システムの概念を示す説明図。 本発明の送受信方法及びシステムの一実施形態（第１実施形態）を示す説明図。 図２の第１実施形態におけるデータの送受信方法を示す説明図。 本発明の送受信方法及びシステムの図２と異なる実施形態（第２実施形態）を示す説明図。 図４の第２実施形態におけるデータの送受信方法を示す説明図。

以下図示の好適な実施の形態に基づいて本発明を詳述する。図１は本発明の概念を示す概念説明図であり、図２は本発明に係わるデータの送受信方法を確認端末と広域通信網の送信側に配置されたプロキシ機能を有する接続装置（以下「プロキシ」という）との間で通信する実施形態（第１実施形態）を、図４は本発明に係わるデータの送受信方法を確認端末と受信側に配置されたプロキシとの間で通信する実施形態（第２実施形態）をそれぞれ示す。

本発明は、図１に示すように広域通信網０１（以下インターネットという）に接続された複数の情報端末（送信側端末０２、受信側端末０３）の間でデータを送受信するシステム及び、そのデータ送受信方法に関する。インターネット０１には接続装置２１（プロキシサーバ、ブロードバンドルータなど）を介してパーソナルコンピュータその他の送信側端末０２が接続されている。このインターネット０１には接続装置２１を介して受信側の受信端末０３が接続されている。そして利用者（ユーザ）は、自らの端末装置０２（操作端末）でインターネット０１内のリソースにアクセスし、データのダウンロードとアップロードを実行することによって情報を伝達し、或いは電子メールなどのデータを宛先アドレスに伝送するように
ネットワーク構成されている。

この場合、操作端末は複数の端末装置０２（ａ，ｂ，ｃ・・・）がネットワーク接続され、ＬＡＮ（ローカルエリアネットワーク）を構成しているときには代理アクセス機能を有する接続装置２１を経由してインターネット０１に接続されている。また、操作端末が少数、或いは単数のコンピュータの場合にはブロードバンドルータで接続されていることが多い。更に操作端末が無線端末（携帯電話、スマートフォン、モバイル通信端末）の場合にはプロバイダ（ＩＳＰ；インターネットサービスプロバイダ）のプロキシサーバ（メールサーバなど）を介してインターネット０１に接続されている。

本発明は、送信データＤａを送信する側（送信側）に「互いに対をなす操作端末０２と確認端末０４」を共通の接続装置２１（後述の第１実施形態）を介してインターネット０１に接続する。この操作端末０２としては、コンピュータ、携帯端末、モバイル端末などの情報端末で構成し、確認端末は、同様の情報端末か、若しくは操作端末から分離された独立したソフトウェアとしてプロキシサーバに組み込んで構成される。

上述したように操作端末０２と確認端末０４は互いに独立した２系統のシステムとして機能するようにインターネット０１に接続されている。そして接続装置２１（以下「プロキシ」という）と確認端末とは、（１）内部ＬＡＮ接続か、（２）専用回線接続か、（３）プロキシと確認端末とを一体化した機器（例えばサーバ装置）として論理的に独立したソフトウェアで構成するか、いずれかの接続方法を採用する。

図１に従ってデータ送信方法を説明する。上述の操作端末０２で送信データＤａを作成する（Ｓt０１）。このデータ作成は、例えば第１の方法は電子メールなどの送信データＤａの場合には、メーリングソフト、ワープロソフト、画像ハンドリングソフトその他のアプリケーションソフトを用いて作成する。また、第２の方法は、インターネット上のリソースをダウンロードして、ブラウザ画面にデータ入力してアップロードするときのリソースのダウンロードとブラウザのデータ入力までの一連の操作で作成する。

上述の例示した方法で作成した送信データＤａは、送信前のデータ処理として「暗号化」を実行する（Ｓt０２）。この暗号化は後述する確認端末０４に設定した公開鍵で暗号化する。この暗号化が正常に処理されないとき、例えば遠隔操作で権限を有しない第三者が操作端末０２を操作して作成した送信データＤａは公開鍵が未知のときには非暗号化データとして次ステップに送られる。同様に操作端末０２を権限を有しない第三者が不正使用したときも同様に公開鍵が未知のときに非暗号化データとして次ステップに送られる。

次に操作端末０２は操作者のオペレーションによって送信データＤａをプロキシ２１に送信する。この操作は例えばアプリケーションソフトのキー入力で実行する（Ｓｔ０３）。以上の操作で、送信データＤａは、操作端末０２からプロキシ２１に送信される。後述する第１実施形態では操作端末０２からプロキシ２１にデータ送信され（図２参照）、第２実施形態では操作端末０２から受信プロキシ３１にデータ送信される（図４参照）。

操作端末０２は、送信データの作成をインターネット上のリソースをダウンロードして入力した送信データをアップロードする場合には、ダウンロード時のＵＲＬ(もしくはアップロード時のＩＰアドレス；宛先アドレス)を記憶する。この記憶は例えばキャッシュメモリに記憶し、前述のＳｔ０３で送信データの送信と同時にプロキシに伝送する。このＵＲＬ（ＩＰアドレス）の記憶とプロキシ送信は、セッション途中で悪意の第三者が傍受して「なりすまして（セッションハイジャック）」個人情報を取得或いは悪意送信するのを防止するためである。

プロキシ２１（送信側又は受信側若しくは中継局に配置されている；以下単に「プロキシ」と云う）には、操作端末０２から送られた送信データＤａを宛先アドレスに送信することなく、バッファメモリに記憶する。これと同時に操作端末０２から送られた宛先アドレス（ＵＲＬ、メールアドレスなどのＩＰアドレス）を記憶手段に記憶する。

次にプロキシは、操作端末０２から送られた送信データＤａの全部若しくはその一部を宛先アドレスと共に確認端末０４に送信する（Ｓｔ０４）。このデータ転送は、（１）確認端末０４がインターネット０１に操作端末０２とは異なるプロキシで接続されているときには確認端末０４のメールアドレスにデータを送信する。また（２）確認端末０４が操作端末０２と同一のプロキシに接続されているときには、その有線接続ライン（又は無線接続ライン）でデータ転送する（Ｓｔ０５）。

確認端末０４は前述のＳｔ０５で「送信データ」「宛先アドレス」を受信する。そこで確認端末０４者は、送信データを自己の管理する秘密鍵で復号化して表示（Ｓｔ０６）する。

このとき確認端末０４では、送信データが自己の秘密鍵で復号化できないデータ（暗号化されていない送信データか、異なる暗号化処理が施されている送信データ）は、判別不能なデータとして復号化され表示される（Ｓｔ０６）。

そこで確認端末０４の操作者は、「表示されたデータが自己が作成したデータであるか否か」と「自己が発信した宛先アドレスであるか否か」を確認する。確認した諾否メッセージ（許諾メッセージのみを含む）を入力する。この諾否入力は予め設定された入力キィの操作で行う（Ｓｔ０７）。確認端末０４は操作者によって送信許可されたときにはＳｔ０６で復号化した送信データと諾否メッセージをプロキシ２１に送信する（Ｓｔ０８）。

次にプロキシ２１は確認端末０４から許諾メッセージを受信すると復号化された送信データＤａを宛先アドレスに送信する（Ｓｔ０９）。受信端末０３はプロキシから送られた送信データＤａを受信する（Ｓｔ１０）。

以上のステップで操作端末０２で作成した送信データＤaを受信端末０３に送信する際に、次のいずれかが採用可能である。
（１）操作端末０２からプロキシ２１（又は３１）に送信データＤａのすべてを暗号化して送信する場合と、送信データの一部を暗号化して送信する場合のいずれかを設定する。
データすべてを暗号化する場合には、プロキシが不正アクセス(スパイウエアなど)され、送信データがインターネット中に流布される恐れ、或いは傍受される恐れがあるときに採用する。これによってインターネット中にデータが流布あるいは傍受されても暗号化されたデータは悪用されることがない。

一方、すべてのデータを暗号化するときには暗号化と復号化に時間を要するデメリットがある。そこで宛先アドレスを含む送信データＤａの一部を暗号化し、その他は暗号化することなく、平常データとして扱うことも可能である。例えば宛先アドレスのみを暗号化し、確認端末から許諾メッセージがあったときにのみ送信データを宛先アドレスに送信するように設定する。これによって不正アクセスによって作成された送信データ（不真正データ）は確認端末から許諾メッセージが得られないのでプロキシからインターネット上に流布、傍受されることがない(プロキシがセキュリティ崩壊されているときを除く)。

（２）プロキシは、送信データＤａを操作端末０２から受信した後に確認端末０４から許諾メッセージが得られないとき送信データＤａを廃棄する。この条件は次のいずれかに設定する。
（ａ）確認端末０４が応答しないとき(正当な権限を有するものが不在)には、正当な権限を有する者が送信データＤａを作成したとはみなさないで破棄する（メモリリセット）。
（ｂ）確認端末０４からあらかじめ設定した時間が経過しても諾否メッセージが送信されないときには正当な権限を有するものが作成したデータとはみなさないで破棄する。
（ｃ）確認端末０４から否認メッセージが送られたときにはデータを破棄する。

（３）宛先アドレス（送信データを最終的に送信するＩＰアドレス；以下同様）の取り扱いは、電子メールを送信する場合には操作端末０２で作成するメールアドレスを、ウェブサイトのＵＲＬアドレスは、確認端末０４で、使用者が簡単にその真偽を判別することが困難である。この場合には次の方法を採用する。

ＵＲＬアドレスの場合にはウェブサイトをダウンロードするときのＵＲＬ（データ入力のためにダウンロードしたウェブサイトのアドレス）を記憶装置に記憶する。或いは、操作端末０２のキャッシュメモリにＩＰアドレスを記憶する。そして送信データＤａを確認端末０４に送信するとき、このアドレスと送信するウェブウェブサイトのＵＲＬアドレスが一致しないときには警告を発するようにプロキシ又は確認端末のプログラムを構成する。このウェブサイトのＵＲＬはセッションハイジャックを防ぐ為であり、ウェブサイトのＵＲＬアドレスをウォッチして、アドレスが変化したとき警告を発するようにプログラミングすることも可能である。

また、電子メールを送信データとする場合には、宛先アドレスを操作端末０２と同時に確認端末０４にアドレス帳を作成し、プロキシから送られた宛先アドレスが確認端末０４のアドレス帳に登録されたアドレスと一致するか否かをチェックするプログラムを確認端末０４に備えることも可能である。

［確認端末と送信側プロキシ間で送信確認する実施形態（第１実施形態）］
図２は、本発明を送信側プロキシ２１と確認端末０４の間で諾否確認する形態を示す。操作端末０２がインターネット０１にプロキシ２１を介して接続されている。

操作端末０２と受信端末０３は、パーソナルコンピュータ、携帯端末、スマートフォンその他のインターネット０１に接続可能な情報端末機器で構成されている。この操作端末０２はプロキシ２１を介してインターネット０１（広域通信網）に接続されている。また受信端末０３も同様にインターネット０１に接続されている。

上記操作端末０２と受信端末０３とは、それぞれローカルネットワークエリア（ＬＡＮ）に属する複数の端末装置の１つとしてインターネットに接続されているか、ＬＡＮを構成することなく単独の端末装置として接続されている。

上記確認端末０４は、パーソナルコンピュータ、携帯端末、スマートフォンなどのコンピュータ機能を有する端末装置か、単にディスプレイと入力ボードを備えた情報端末機器で構成される。この確認端末０４は固有の機器で構成される必要はなく、例えばプロキシサーバに内蔵された端末装置として、或いはテレビなどに内蔵された端末装置としても構成される。このように本発明にあって確認端末０４は、プロキシ２１と接続可能で通信可能なあらゆる機器が採用可能であり、コンピュータ、携帯端末、スマートフォンなどが身近な装置として利用可能である。

また、上述のプロキシ２１はインターネット０１に接続されたプロキシサーバに限らずメールサーバ或いはブロードバンドルータであっても良く、単独または複数の操作端末をインターネットに代理接続する。

図２においてインターネット０１にプロキシ２１が接続され、このプロキシには操作端末０２であるパーソナルコンピュータが接続されている。プロキシ２１はモデム（不図示）から通信回線を介してインターネット０１に接続されている。

図３に従って上述の操作端末０２で作成した送信データを受信端末０３に送信する方法とシステムを説明する。ネットユーザは自己が正当な権限を有する操作端末０２を用いて送信データを作成する(Ｓｔ２１)。この送信データの作成は、前述した電子メール作成とウェブブラウザにデータ入力する方法が行われる。ブラウザへのデータ入力はウェブブラウザのダウンロード(Ｓｔ２２)を実行した後に行われる。なお操作端末０２でブラウザ入力するときにはダウンロードしたブラウザのＵＲＬをメモリに記録する（Ｓｔ２３）。

次に操作端末０２は作成した送信データ（宛先アドレスを含む）の全て若しくは一部を暗号化する(Ｓt２４)。この暗号化は前述したように確認端末０４の公開鍵で暗号化する。この暗号化処理の後に操作端末０２は宛先アドレスを含む送信データＤａをプロキシ２１に伝送する。

プロキシ２１では、操作端末０２から送られた宛先アドレスを含む送信データを記憶手段(バッファメモリ)に一時的に記憶する(Ｓt２５)。この記憶処理とともにプロキシ２１は送信データのすべて若しくは一部を確認端末に転送する(Ｓt２６)。この確認端末０４に伝送する送信データＤaは前述したように暗号化などの処理時間と「なりすまし傍受(セッションハイジャック行為)」などのセキュリティ機能の両面から最適の情報に設定する。 この場合、送信データＤａのすべてを暗号化し、すべてを確認端末０４に伝送する設定のときには上述の記憶手段に記憶するステップ(Ｓt２５)を省く。

確認端末０４は、プロキシ２１から送られた送信データＤａを自ら管理する秘密鍵で復号化する(Ｓt２７)。この復号化したデータを表示し(Ｓt２８)、送信データの真偽と宛先アドレスの真偽を判別する(Ｓt２９)。この判別で送信データが遠隔操作、或いは操作端末の不正使用によって権限を有しない者が作成したデータであり正常に暗号化されていないときには復号化によってデータは判別できない表示情報となり、容易に不正データを判別できる。

また、操作端末０２への不正アクセス、不正使用(無断使用)によって作成され、傍受した公開鍵で暗号化された送信データＤａは復号化されたデータを表示した状態で真偽判別する(Ｓt２９)。この判別は確認端末０２の操作者(オペレータ)が自ら若しくは権限ある第三者に委任して作成した真正データであるか、権限のない第三者が作成した不真正データであるかを表示された内容で判別する。次に確認端末０２のオペレータは真正データと判別したときには「許諾メッセージ」を作成し、不真正データを判別したときには「拒否メッセージ」を作成(Ｓt３０)する。このメッセージの入力は、操作端末０２にあらかじめ設定したキィ操作で行う。

プロキシ２１は確認端末０４から「許諾メッセージ」が送られたときにはバッファメモリに記憶してある送信データＤａを指定された宛先アドレスに送信する。このとき、送信データのすべてが暗号化されているときには、すべてのデータを確認端末０４で復号化して、その処理後の平常データを指定された宛先アドレスに送信する(Ｓｔ３１)。

また、送信データの一部(宛先アドレスのみの場合を含む)を暗号化して確認端末０４で復号化する場合には、バッファメモリに記憶した送信データと確認端末０４から諾否メッセージと同時に送られた復号化データを合成（データ編集）して一連の送信データとして宛先アドレスに送信する。そして受信側はインターネット０１から送られた送信データを指定された宛先アドレスの受信端末に伝送する(Ｓt３２)。

一方、プロキシ２１は確認端末０４から「拒否メッセージ」若しくはあらかじめ設定された時間確認端末０４からメッセージが送信されないときにはバッファメモリに記憶した送信データを廃棄（メモリリセット）する。

［確認端末と受信プロキシとの間で送信確認する実施形態（第２実施形態）］
図４は本発明を受信プロキシ３１と確認端末０４との間で諾否確認する実施形態を示す。同図において操作端末０２はインターネット０１に接続され、受信端末０３は受信プロキシ３１を介して接続されている。この操作端末０２と受信端末０３は複数の情報端末がローカルエリアネットワーク(ＬＡＮ)でネットワーク接続されている場合と、ネットワーク化されることなく独立したネットワーク系列でインターネットに接続されているかいずれかで接続されている。

図５に従って上述の受信プロキシ３１と確認端末０４との間で送信する方法とシステムを説明する。前述の第１実施形態と同一の構成については同一の符号を付してその説明を省略する。操作端末０２では前述と同様に送信データＤａを作成する（Ｓｔ３５）。このデータの少なくとも一部は確認端末０４の公開鍵で暗号化される（Ｓｔ３６）。

操作端末０２で送信ボタンが操作されると、確認端末０４の公開鍵で暗号化された送信データＤａを指定された宛先アドレスに向けてインターネット配信する。

受信プロキシ３１は送信データＤａを受信すると、指定されたアドレスの受信端末に伝送することなくバッファメモリに記憶する（Ｓｔ３７）。これと同時に送信データＤａの一部またはすべてを確認端末０４に転送する（Ｓｔ３８）。

このデータ転送のため、受信プロキシ３１には、操作端末０２と対をなす確認端末０４のＩＰアドレスと、確認端末０４のアドレスが登録され格納されている。そして送信データＤａを受信すると受信プロキシ３１は、確認端末０４に送信データのすべてもしくは一部を送信する。

確認端末０４は前述の実施形態と同様に、復号化（Ｓｔ３９）と、データを表示（Ｓｔ４０）と真偽判別（Ｓｔ４１）を実行する。そしてその結果諾否メッセージを入力し（Ｓｔ４２）、受信プロキシ３１に送信する。このとき復号化したデータも同時送信する（Ｓｔ４３）。

受信プロキシ３１は許諾メッセージが送られたときのみ送信データを指定された宛先アドレスの受信端末に送信する。このとき送信データＤａが操作端末０２でその全てが暗号化されているときには、確認端末０４で復号化した平常データを受信端末０３に送信し、データの一部が暗号化されているときには確認端末０４で復号化したデータと、バッファメモリに記憶されているデータを合成（編集）した平常データを受信端末０３に送信（Ｓｔ４４）する。

受信プロキシ３１は、拒否メッセージもしくは所定時間内に許諾メッセージが送られてこないときには、バッファメモリに、記憶した送信データを廃棄（メモリリセット）する。

上述のシステムにおける構成を整理すると、本発明は操作端末とプロキシと確認端末と受信端末で構成され、各装置は次の機能と構成を備えている。

「操作端末」
データ入力とウェブリソースを活用するための各種アプリケーションソフトをハンドリングする機能と、広域通信網に送信するデータを暗号化してプロキシに送信する機能を備える。また、ハードウェア構成として広域通信網からデータをダウンロード、アップロードおよびデータ送信するためのハードウェアを備える。また、ソフトウェア構成としてデータ入力及びデータダウンロード、アップロードするためのソフトウェアと、送信データの暗号化ソフトウェアを備える。

「プロキシ」
広域通信網との間で送信データを送受信するための代理アクセス機能と、確認端末に操作端末から送られた確認情報（送信データの一部またはすべて）を送信する機能と、確認端末から送られたデータの受信機能と、セッション毎のＵＲＬの記録機能を備える。また、ハードウェア構成として広域通信網との回線接続および代理アクセス処理のためのCPUを備える。また、ソフトウェア構成として広域通信網との間でデータを送受信するためのソフトウェアと、操作端末および確認端末からのデータを受信するためのソフトウェアを備える。

「確認端末」
プロキシから送られたデータの復号化と送信確認のための表示機能と、諾否メッセージの作成及び送信機能を備える。また、ハードウェア構成としてデータ確認用表示装置と、諾否メッセージ作成キー及びその送信操作キーを備える。また、ソフトウェア構成として復号化するためのソフトウェアと復号化データを（プロキシに）送信するためのソフトウェアを備える。

「受信端末」
プロキシから送られた送信データを処理するためのハードウェア構成とソフトウェア構成を備える。また本発明にあってこの受信端末は、既に広く使用されているコンピュータ端末などあらゆる装置機器の使用が可能である。

なお、本発明にあって操作端末０２と確認端末０４における送信データＤａの暗号化は公開鍵で暗号化し秘密鍵で復号化する非対称暗号方式を採用しているが、その方式はすでに知られているので特に説明しない。また、操作端末０２で作成した送信データＤａをプロキシ３１で一時的にメモリに格納（データバッファリング）する場合を説明したが、送信データＤａの全てを暗号化して確認端末０４に送信し、確認端末で復号化を同時に真偽判別してプロキシにデータ転送することも可能である。このとき操作端末０２と確認端末０４のペアリングはプロキシの管理者と確認端末の管理者が、また操作端末０２の秘密鍵は確認端末０４の管理者が秘匿情報として設定し管理する。

さらに本発明にあって送信データＤａの真偽判別を、送信側又は受信側に配置されたプロキシサーバと確認端末との間の通信で行う実施形態を説明したが、送信受信側に限らず中継プロキシサーバと確認端末との間で真偽判定を行うことも可能であり、この場合にはインターネット０１と確認端末０４とは中継サーバで接続する。

０１ インターネット（広域通信網）
０２ 送信側端末
０３ 受信側端末
０４ 確認端末
２１ 接続装置
３１ 接続装置（受信プロキシ）
Ｄａ 送信データ

Claims (10)

1. 広域通信網を介して操作端末から受信端末にデータを送信する際に、プロキシ機能を有する接続装置と確認端末との間で送信データの真偽を判別して送受信する方法であって、
   宛先アドレスを含む送信データを操作端末からプロキシ機能を有する接続装置に伝送するステップと、
   前記接続装置から送信データの少なくとも一部を前記確認端末に伝送するステップと、
   前記確認端末から伝送された送信データに基づいて送信データの真偽を判別する諾否判別ステップと、
   前記諾否判別ステップの判別結果である諾否メッセージを前記確認端末の入力手段から入力するメッセージ入力ステップと、
   前記入力ステップで入力された諾否メッセージを前記確認端末から前記接続装置に送るステップと、
   前記接続装置において前記確認端末から送られた諾否メッセージで送信が許可されたときのみ送信データを宛先アドレスに送信する送信ステップと、
   から構成されていることを特徴とする広域通信網を利用したデータの送受信方法。
2. 前記接続装置から前記確認端末に送信データを伝送するステップの実行時に前記接続装置は、前記確認端末に設定された公開鍵で暗号化した送信データを確認端末に転送し、
   前記確認端末から接続装置に諾否メッセージを送るステップの実行時に前記確認端末は、
   前記接続装置から転送されたデータを自己の秘密鍵で復号化したデータを接続装置に返送することを特徴とする請求項１に記載の広域通信網を利用したデータの送信方法。
3. 前記プロキシ機能を有する接続装置は、前記広域通信網の送信側に配置され、
   この接続装置に前記操作端末と確認端末とは独立して接続されていることを特徴とする請求項１又は２に記載の広域通信網を利用したデータの送信方法。
4. 前記プロキシ機能を有する接続装置は、前記広域通信網の受信側に配置され、
   この接続装置は広域通信網を経由して前記確認端末に送信データを送信することを特徴とする請求項１又は２に記載の広域通信網を利用したデータの送受信方法。
5. 前記広域通信網はインターネットであり、
   前記確認端末とデータの送受信を実行する接続装置は、前記インターネットと接続する送信側の接続装置に設定され、
   前記操作端末から送られたデータ入力時のＷＥＢブラウザのＵＲＬを記憶する記憶手段と、
   前記確認端末からの諾否メッセージで送信が許可されたＷＥＢブラウザのＵＲＬが一致するか否かを比較する比較手段と、
   前記比較手段でＵＲＬが不一致のとき接続装置からインターネットへのデータ送信を禁止するか、若しくは警告することを特徴とする請求項１又は２に記載の広域通信網を利用したデータの送受信方法。
6. 広域通信網を介して操作端末から受信端末にデータを送信する際に、プロキシ機能を有する接続装置と確認端末との間で送信データの真偽を確認して送受信を実行するシステムであって、
   前記広域通信網に接続された操作端末および確認端末と、
   前記広域通信網に接続された受信端末と、
   前記広域通信網に接続されたプロキシ機能を有する接続装置と、
   前記接続装置と前記確認端末との間のデータは送受信を制御する制御手段と、
   を備え、
   前記制御手段は、
   前記接続装置に操作端末から伝送された宛先アドレスを含む送信データの少なくとも一部を前記確認端末に伝送し、
   前記確認端末の入力手段で入力された送信データを宛先アドレスに送信するか否かの諾否メッセージを前記接続装置に伝送し、
   次いで、前記接続装置を諾否メッセージで送信許可されたとき送信データを宛先アドレスに送信する
   ことを特徴とする広域通信網を利用したデータの送受信システム。
7. 前記操作端末には、
   宛先アドレスを含む送信データを前記確認端末に設定された公開鍵で暗号化するソフトウェアと、
   前記確認端末には、
   前記接続装置から伝送された送信データを復号化して表示する表示手段と、
   前記送信データを宛先アドレスに送信することを許可するか否かの諾否メッセージを入力する入力手段と、
   が備えられていることを特徴とする請求項６に記載の広域通信網を利用したデータの送受信システム。
8. 前記接続装置は、
   前記確認端末から伝送された諾否メッセージで送信が許可されたとき前記確認端末で復号化された送信データを宛先アドレスに送信する
   ことを特徴とする請求項７に記載の広域通信網を利用したデータ送受信システム。
9. 接続装置は、プロキシサーバか若しくはブロードバンドルータで構成されていることを特徴とする請求項６から８のいずれか１項に記載の広域通信網を利用したデータの送受信システム。
10. 前記操作端末は、
    前記広域通信網に接続されたローカルエリアネットワークに接続され、
    前記確認端末は、前記操作端末の属するネットワークとは異なるローカルエリアネットワークに接続されるか、又は前記広域通信網に独立して接続されていることを特徴とする請求項６から９のいずれか１項に記載の広域通信網を利用したデータの送受信システム。
    

Images