JP2018207472A - ネットワークシステム - Google Patents

Abstract

【課題】デバイスや当該デバイスを使用するユーザに応じたサービスを提供するにあたって、特別なアプリケーションなどが不要となり、かつ、追加の認証手続も不要であるため、サービス提供に係るレスポンス時間などを短縮できる構成を提供する。【解決手段】ネットワークシステムは、少なくとも１つのサーバ装置と、少なくとも１つのサーバ装置のいずれかにアクセス可能な少なくとも１つの端末装置とを含む。端末装置は、少なくとも１つのサーバ装置のいずれかとの間で、ネットワークアドレスを認証した上で、データ通信するように構成されている。サーバ装置は、端末装置からの要求を受けると、当該要求元の端末装置が有している認証されたネットワークアドレスに応じたサービスを提供する。【選択図】図１

Description

本発明は、ネットワークアドレス自体の認証という新たなコンセプトを用いたネットワークシステムに関する。

近年の情報通信技術（Information and Communication Technology：ＩＣＴ）の進歩は目覚ましく、インターネットなどのネットワークに接続されるデバイスは、従来のパーソナルコンピュータやスマートフォンといった情報処理装置に限らず、様々なモノ（things）に広がっている。このような技術トレンドは、「ＩｏＴ（Internet of Things；モノのインターネット）」と称され、様々な技術およびサービスが提案および実用化されつつある。将来的には、地球上の数十億人と数百億または数兆のデバイスとが同時につながる世界が想定されている。このようなネットワーク化された世界を実現するためには、よりシンプル、より安全、より自由につながることができるソリューションを提供する必要がある。

通常、ネットワーク上では、各デバイスに静的または動的に割り当てられたネットワークアドレスを用いて、デバイス間のデータ通信が実現される。このようなネットワークアドレスとしては、典型的には、ＩＰ（Internet Protocol）アドレスが用いられる。

一般的に、ＩＰアドレスは、グローバルアドレスのように、インターネット上で一意に定められるものと、プライベートアドレスのように、プライベートネットワーク上において重複なく割り当てられるものとがある。また、ＤＨＣＰ（Dynamic Host Configuration Protocol）などを用いて、ＩＰアドレスを動的に割り当てるような仕組みも存在する。

このように、ＩＰアドレスの設定は、データ通信のために、同一ネットワーク上において重複なく割り当てられることのみが考慮される。つまり、ＩＰアドレスは、対象のネットワークに応じて、任意に設定されるネットワークアドレスである。

例えば、特開２０１７−０５９８６８号公報（特許文献１）は、ＩＰアドレスの設定工数を低減させる構成を開示する。

特開２０１７−０５９８６８号公報

上述したように、これまでのネットワークアドレスは、通信先を特定するための識別情報ではあったものの、そのアドレス自体には何の信頼性も付与されていなかった。そのため、ＩＰアドレスを用いてデバイス間でデータ通信するものの、認証処理などについては、より上位の層（例えば、アプリケーション層など）で実現されていた。

そのため、各種の認証処理を必要とするサービスを提供するためには、当該サービスの基盤になる認証処理を実現するためのアプリケーションなどを事前に、あるいは、その都度提供しなければならず、普及の妨げになっていた。

本発明は、上述のような課題に対する解決策を提供する。

本発明のある局面に従うネットワークシステムは、少なくとも１つのサーバ装置と、少なくとも１つのサーバ装置のいずれかにアクセス可能な少なくとも１つの端末装置とを含む。端末装置は、少なくとも１つのサーバ装置のいずれかとの間で、ネットワークアドレスを認証した上で、データ通信するように構成されている。サーバ装置は、端末装置からの要求を受けると、当該要求元の端末装置が有している認証されたネットワークアドレスに応じたサービスを提供する。

好ましくは、サーバ装置は、アプリケーション層での認証処理を行なうことなく、端末装置との間のネットワーク層での遣り取りにおいて利用されるネットワークアドレスのみを用いて、要求元の端末装置を特定する。

好ましくは、端末装置は、データリンク層を担当する第１の通信プログラムと、トランスポート層およびネットワーク層を担当する第２の通信プログラムと、第１の通信プログラムと第２の通信プログラムとの間に接続されるアドレス認証プログラムとを含む。アドレス認証プログラムは、第２の通信プログラムが要求するデータ伝送に用いられるネットワークアドレスを通信先のデバイスとの間で認証する。

好ましくは、端末装置は、通信機能を提供する通信機能モジュールと、認証されたネットワークアドレスがハードコードされた半導体装置とを含む。半導体装置は、通信機能モジュールを利用して通信先のデバイスとの間でネットワークアドレスを認証する。

本発明のある形態によれば、デバイスや当該デバイスを使用するユーザに応じたサービスを提供するにあたって、特別なアプリケーションなどが不要となり、かつ、追加の認証手続も不要であるため、サービス提供に係るレスポンス時間などを短縮できる。

本実施の形態に従うネットワークシステムの全体構成の一例を示す模式図である。 本実施の形態に従う端末装置の装置構成の一例を示す模式図である。 本実施の形態に従う端末装置の装置構成の一例を示す模式図である。 本実施の形態に従う端末装置の装置構成の別の一例を示す模式図である。 本実施の形態に従うネットワークシステムにおけるデバイス間の遣り取りを説明するための模式図である。 本実施の形態に従うネットワークシステムにおけるサーバ提供に係る処理手順の一例を示すシーケンス図である。 本実施の形態に従うネットワークシステムを利用したサービス提供のアプリケーション例を説明するための図である。 本実施の形態に従うネットワークシステムを利用したサービス提供の別のアプリケーション例を説明するための図である。 本実施の形態に従うネットワークシステムを利用したネットワークアドレスのフィルタリング例を説明するための図である。

本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中の同一または相当部分については、同一符号を付してその説明は繰返さない。

＜Ａ．概要＞
本実施の形態によれば、認証されたネットワークアドレスを用いたサービスおよびそのサービスを提供するための基盤が提供される。すなわち、従来のネットワークにおいては、ネットワークアドレス自体を認証するという技術思想は存在しておらず、主として、ネットワークアドレスは通信接続を確立するためにのみ用いられるものであった。その上で、認証するためのアプリケーションを用いて、認証手続を行なうことが通常であった。これに対して、本実施の形態においては、ネットワークアドレス自体が認証されているため、通信接続の確立自体が認証手続を兼ねることになり、アプリケーションを用いた追加の認証手続などは不要となる。

そのため、デバイスや当該デバイスを使用するユーザに応じたサービスを提供するにあたって、特別なアプリケーションなどが不要となり、かつ、追加の認証手続も不要であるため、サービス提供に係るレスポンス時間などを短縮できる。

本明細書において、「ネットワークアドレス」とは、何らかのネットワーク上においてデバイスをユニークに特定するための識別情報を意味し、一般的には、文字、数字、記号などの組合せにより構成される文字列からなる。ネットワークアドレスの典型例として、ＩＰ（Internet Protocol）アドレスが想定されるが、ＭＡＣ（Media Access Control address）といったより下位層のアドレスであってもよいし、ＤＮＳ（Domain Name System）によって管理されるホスト名やＵＲＬ（Uniform Resource Locator）といったより上位層のアドレスであってもよい。また、ネットワークとしても、グローバルネットワークおよびプライベートネットワークといった相違にかかわらず、また、用いられるプロトコルも任意に選択できる。ネットワークアドレスとしては、採用されるプロトコルに固有のものを採用してもよい。

典型例としてＩＰアドレスが採用される場合には、バージョンによって、規定されるビット数が異なっている。現在制定されているＩＰｖ４（Internet Protocol Version 4）においては、３２ビットのアドレス区間が規定されており、現在制定されているＩＰｖ６（Internet Protocol Version ６）においては、１２８ビットのアドレス区間が規定されている。本実施の形態においては、ネットワークアドレスとして、ＩＰｖ６に従うＩＰアドレスを主として説明する。

本明細書において、「認証されたネットワークアドレス」とは、通信先あるいは第三者に対して、各デバイスに割り当てられているネットワークアドレスの真正性（authenticity）が保証されている状態を意味する。すなわち、後述するような仕組みを採用することで、各デバイスがデータ通信に利用するネットワークアドレスが偽装されていなことを保証できる状態を意味する。

本明細書において、「デバイス」とは、ネットワークを介してデータ通信が可能な任意のモノを包含する。典型的には、デバイスは、通信装置単体として構成されることもあるし、何らかのモノの一部として、あるいは、何らかのモノに組み込まれて構成されることもある。

＜Ｂ．ネットワークシステムの全体構成＞
まず、本実施の形態に従うネットワークシステム１の全体構成について説明する。

図１は、本実施の形態に従うネットワークシステム１の全体構成の一例を示す模式図である。図１を参照して、インターネットなどのネットワーク２には、デバイスの一例である端末装置１００−１，１００−２，１００−３，・・・（以下、「端末装置１００」と総称することもある。）と、デバイスの別の一例であるサーバ装置２００−１，２００−２，２００−３，・・・（以下、「サーバ装置２００」と総称することもある。）とが接続されているとする。

端末装置１００−１は、例えば、スマートフォンや携帯電話などを想定しており、移動体通信事業者が配置する基地局６などを介してネットワーク２に接続される。また、端末装置１００−２は、例えば、タブレットなどを想定しており、端末装置１００−３は、例えば、ラップトップ型のパーソナルコンピュータなどを想定している。端末装置１００−２および１００−３は、例えば、アクセスポイント４を介してネットワーク２に接続される。

サーバ装置２００−１，２００−２，２００−３，・・・の各々は、任意のサービスを提供するデバイスである。サーバ装置２００の各々は、いずれかの端末装置１００からのアクセスを受けて、要求されたサービスを提供する。

このように、ネットワークシステム１は、少なくとも１つのサーバ装置２００（第２のデバイス）と、少なくとも１つのサーバ装置２００のいずれかにアクセス可能な少なくとも１つの端末装置１００（第１のデバイス）とを含む。

本実施の形態に従うネットワークシステム１において、サーバ装置２００は、アクセス元の端末装置１００についての認証されたネットワークアドレスを取得できる。同様に、端末装置１００は、アクセス先のサーバ装置２００についての認証されたネットワークアドレスを取得できる。

端末装置１００とサーバ装置２００との間では、互いにネットワークアドレスを認証する処理が実行され、そのネットワークアドレスの認証が成功したことをもって、データ通信を開始する。すなわち、端末装置１００は、少なくとも１つのサーバ装置のいずれかとの間で、ネットワークアドレスを認証した上で、データ通信するように構成されている。このようなデータ通信を行なうための構成を採用することで、端末装置１００およびサーバ装置２００は、互いに通信先の認証されたネットワークアドレスを取得できる。

例えば、サーバ装置２００は、端末装置１００からの要求を受けると、当該要求元の端末装置１００の認証されたネットワークアドレスに応じたサービスを提供する。すなわち、サーバ装置２００は、取得した認証されたネットワークアドレスに応じたサービスを要求元の端末装置１００へ提供することができる。ネットワークアドレスに応じたサービスの一例については、後述する。また、端末装置１００についても、サーバ装置２００の認証されたネットワークアドレスを取得できるので、通信先のサーバ装置２００に応じた固有の指令を送信することもできる。

このように、本実施の形態に従うネットワークシステム１においては、端末装置１００の各々についての認証されたネットワークアドレスを取得できるので、認証処理を実現するためのアプリケーションなどを必要とすることなく、端末装置１００の各々に固有のサービスを提供できる。また、端末装置１００とサーバ装置２００といった、デバイス間でデータ通信を行なうことが、認証されたネットワークアドレスの取得を意味するので、端末装置１００に固有のサービスを提供するのに要する時間などもごく短いものとなり、アプリケーションを利用して認証処理を行なう構成に比較して、サービス提供に要する待ち時間などを短縮できる。

＜Ｃ．ネットワークアドレスの認証を実現するためのデバイスの装置構成＞
次に、本実施の形態に従うネットワークシステム１に用いられる、ネットワークアドレスの認証を実現するためのデバイスの装置構成例について説明する。ネットワークアドレスの認証を実現するためには、例えば、ハードウェア実装およびソフトウェア実装が想定される。以下、それぞれの実装形態の一例について説明する。

（ｃ１：ハードウェア実装）
図２は、本実施の形態に従う端末装置１００Ａの装置構成の一例を示す模式図である。図２を参照して、端末装置１００Ａは、プロセッサ１０２と、主メモリ１０４と、ディスプレイ１０６と、入力部１０８と、通信モジュール１１０と、二次記憶装置１３０とを含む。

プロセッサ１０２は、端末装置１００Ａにおける各種処理を実行する処理主体である。プロセッサ１０２は、二次記憶装置１３０に格納されているプログラムや各種命令などを主メモリ１０４に展開して実行する。

主メモリ１０４は、ＤＲＡＭ（Dynamic Random Access Memory）やＳＲＡＭ（Static Random Access Memory）などの揮発性記憶装置である。二次記憶装置１３０は、フラッシュメモリやハードディスクなどの不揮発性記憶装置である。二次記憶装置１３０には、ＯＳ（Operating System）１３２および１または複数の任意のアプリケーション１３４が格納される。

ディスプレイ１０６は、プロセッサ１０２での処理結果などを外部へ提示するためのコンポーネントであり、例えば、ＬＣＤ（Liquid Crystal Display）や有機ＥＬ（Electro-Luminescence）ディスプレイなどからなる。

入力部１０８は、ユーザからの操作を受付けるためのコンポーネントであり、例えば、キーボード、タッチパネル、マウスなどの任意の入力装置からなる。

通信モジュール１１０は、認証されたネットワークアドレスを提供するための主要なコンポーネントであり、アドレス認証チップ１１２と、ＷｉＦｉモジュール１１４と、ＬＴＥモジュール１１８とを含む。

アドレス認証チップ１１２は、認証されたネットワークアドレスおよび認証に必要な情報がハードコードされた半導体装置であり、ＷｉＦｉモジュール１１４および／またはＬＴＥモジュール１１８を利用して他のデバイスとデータ通信する際に、ネットワークアドレスを認証する。

より具体的には、アドレス認証チップ１１２は、ＷｉＦｉモジュール１１４またはＬＴＥモジュール１１８を用いたデータ通信において、予め付与された認証されたネットワークアドレスを他のデバイスとの間で互いに認証する処理を実行する。このように、アドレス認証チップ１１２は、通信機能モジュール（ＷｉＦｉモジュール１１４および／またはＬＴＥモジュール１１８）を利用して通信先のデバイスとの間でネットワークアドレスを認証する。アドレス認証チップ１１２については、耐タンパ性を有する回路構成を採用することが好ましい。

ＷｉＦｉモジュール１１４および／またはＬＴＥモジュール１１８は、ＯＳＩ（Open Systems Interconnection）参照モデルの物理層およびデータリンク層の機能を提供する。ＷｉＦｉモジュール１１４は、アンテナ１１６と接続されて、無線ＬＡＮ（Local Area Network）やＷｉＭＡＸなどの無線アクセス方式に従う無線通信機能を提供する。ＬＴＥモジュール１１８は、アンテナ１２０と接続されて、ＬＴＥ（Long Term Evolution）、Ｗ−ＣＤＭＡ（Wideband Code Division Multiple Access）、ＣＤＭＡ２０００などの無線アクセス方式に従う無線通信機能を提供する。

なお、説明の便宜上、ＷｉＦｉモジュール１１４および／またはＬＴＥモジュール１１８を含む通信モジュール１１０を例示するが、必ずしも両モジュールを含む必要はなく、いずれか一方のモジュールだけを搭載するものであってもよいし、他の通信機能を提供する１または複数のモジュールを搭載するような構成であってもよい。この場合、通信機能としては、無線通信機能に限らず、有線通信機能であってもよい。

このように、通信モジュール１１０は、通信機能を提供する通信機能モジュール（ＷｉＦｉモジュール１１４および／またはＬＴＥモジュール１１８）と、認証されたネットワークアドレスがハードコードされた半導体装置（アドレス認証チップ１１２）とを含む。

以上のようなハードウェア実装を採用することで、端末装置１００Ａにおいて、認証されたネットワークアドレスの提供および取得を実現できる。

（ｃ２：ソフトウェア実装）
図３は、本実施の形態に従う端末装置１００Ｂの装置構成の一例を示す模式図である。図３（Ａ）を参照して、端末装置１００Ｂは、プロセッサ１０２と、主メモリ１０４と、ディスプレイ１０６と、入力部１０８と、二次記憶装置１３０と、ＷｉＦｉモジュール１４４と、ＬＴＥモジュール１４８とを含む。

プロセッサ１０２は、端末装置１００Ｂにおける各種処理を実行する処理主体である。プロセッサ１０２は、二次記憶装置１３０に格納されているプログラムや各種命令などを主メモリ１０４に展開して実行する。二次記憶装置１３０には、ＯＳ１３２および１または複数の任意のアプリケーション１３４に加えて、アドレス認証プログラム１３６および認証管理情報１３８が格納されている。

ＷｉＦｉモジュール１４４および／またはＬＴＥモジュール１４８は、ＯＳＩ参照モデルの物理層およびデータリンク層の機能を提供する。ＷｉＦｉモジュール１４４は、アンテナ１４６と接続されて、無線ＬＡＮやＷｉＭＡＸなどの無線アクセス方式に従う無線通信機能を提供する。ＬＴＥモジュール１４８は、アンテナ１５０と接続されて、ＬＴＥ、Ｗ−ＣＤＭＡ、ＣＤＭＡ２０００などの無線アクセス方式に従う無線通信機能を提供する。

なお、説明の便宜上、ＷｉＦｉモジュール１４４および／またはＬＴＥモジュール１４８を含む構成を例示するが、必ずしも両モジュールを含む必要はなく、いずれか一方のモジュールだけを搭載するものであってもよいし、他の通信機能を提供する１または複数のモジュールを搭載するような構成であってもよい。この場合、通信機能としては、無線通信機能に限らず、有線通信機能であってもよい。

端末装置１００Ｂにおいては、アドレス認証プログラム１３６が実行されることで、認証されたネットワークアドレスの提供を実現する。以下、認証されたネットワークアドレスを提供するためのソフトウェア構成について例示する。

図３（Ｂ）には、端末装置１００Ｂにおけるデータ通信に係る処理を説明するための模式図を示す。図３（Ｂ）に示すように、物理層の機能を提供するＷｉＦｉモジュール１１４および／またはＬＴＥモジュール１１８は、データリンクドライバ１３２２（ＯＳ１３２の一部の機能）によって、現実の信号（データ）の遣り取りを実現する。

Ｗｅｂブラウザなどのアプリケーション１３４は、データ通信のために、ＴＣＰ／ＩＰソケット１３２４を利用する。ＴＣＰ／ＩＰソケット１３２４は、ＯＳ１３２の一部の機能として提供されてもよい。なお、図３（Ｂ）には、一例として、ＴＣＰ／ＩＰソケット１３２４を例示するが、例えば、ＵＤＰ／ＩＰソケットを採用してもよい。

通常、ＴＣＰ／ＩＰソケット１３２４は、データリンクドライバ１３２２と内部的にデータを遣り取りすることで、他のデバイスへのデータ送信および他のデバイスからのデータ受信を実現する。

これに対して、本実施の形態に従う端末装置１００Ｂにおいては、ＴＣＰ／ＩＰソケット１３２４とデータリンクドライバ１３２２との間に、アドレス認証プログラム１３６が配置されている。アドレス認証プログラム１３６は、特定のセッションにおいて、通信先のデバイスとの間で各デバイスに割り当てられているネットワークアドレスを互いに認証し、認証が成功した場合に限って、当該特定のセッションを用いて、データを送受信する。このような仕組みを採用することで、アプリケーション１３４から見た場合に、アドレス認証プログラム１３６の存在を意識することなく、透過性を維持できる。すなわち、アプリケーション１３４は、必要なデータを含むパケットを送信すればよく、また、いずれかのデバイスから受信したパケットのヘッダに含まれるネットワークアドレスをそのまま信頼して用いることができる。

アドレス認証プログラム１３６は、予めセキュアな態様で用意された認証管理情報１３８に格納される情報に基づいて、他のデバイスとの間で、互いにネットワークアドレスを認証する。認証管理情報１３８は、各デバイスに割り当てられたネットワークアドレスに加えて、当該ネットワークアドレスが正当なものである（すなわち、認証されたものである）ことを確実にするためのコードを含む。アドレス認証プログラム１３６は、認証管理情報１３８に規定されたネットワークアドレスとともに、認証管理情報１３８に含まれる付加情報を通信先へ送信することで、互いにネットワークアドレスを認証する。

なお、データ通信を行なう通信先のデバイスに限らず、外部の認証サーバ装置などとの間でネットワークアドレスを認証するようにしてもよい。

このように、端末装置１００Ｂは、データリンク層を担当する通信プログラム（データリンクドライバ１３２２）と、トランスポート層およびネットワーク層を担当する通信プログラム（ＴＣＰ／ＩＰソケット１３２４）と、データリンクドライバ１３２２とＴＣＰ／ＩＰソケット１３２４との間に接続されるアドレス認証プログラム１３６とを含む。

なお、図３には、ＴＣＰ／ＩＰソケット１３２４とデータリンクドライバ１３２２との間の層間にアドレス認証プログラム１３６を論理的に配置した構成を示したが、これに限らず、アドレス認証プログラム１３６が通信先とネットワークアドレスを互いに認証できる構成であれば、どのような実装形態であってもよい。

例えば、ＴＣＰ／ＩＰソケット１３２４とアドレス認証プログラム１３６とが論理的に並列的に配置されており、アドレス認証プログラム１３６が通信先のデバイスとの間で認証したネットワークアドレスでなければ、ＴＣＰ／ＩＰソケット１３２４がパケットの送受信を開始しないようにしてもよい。この場合、アドレス認証プログラム１３６がネットワークアドレスを認証すると、その後は、ＴＣＰ／ＩＰソケット１３２４とデータリンクドライバ１３２２との間でデータの遣り取りが続行され、アドレス認証プログラム１３６は内部的なデータ転送には関与しなくてもよい。

端末装置１００Ｂのコンポーネントのうち、対応するコンポーネントは端末装置１００Ａと同様であるので、詳細な説明は繰返さない。

以上のようなソフトウェア実装を採用することで、端末装置１００Ｂに対して、認証されたネットワークアドレスを付与することができる。

（ｃ３：ソフトウェア実装の別形態）
図３（Ｂ）に示すデータ通信に係る機能構成に限定されることなく別の実装形態を採用してもよい。図４は、本実施の形態に従う端末装置の装置構成の別の一例を示す模式図である。

図４（Ａ）に示す実装例において、一般的なレイヤ構造、すなわち、物理層およびデータリンク層（ＷｉＦｉモジュール１４４および／またはＬＴＥモジュール１４８）の上層には、データリンクドライバ１３２２およびＴＣＰ／ＩＰソケット１３２４が順に配置される。任意のアプリケーション１３４は、データ通信のために、ＴＣＰ／ＩＰソケット１３２４を利用する。

図４（Ａ）に示す実装例においては、ＴＣＰ／ＩＰソケット１３２４が通信先のノードとの間でデータを遣り取りの開始時または実行中に、アドレス認証プログラム１３６に対して、通信先の認証などを依頼する。アドレス認証プログラム１３６は、上述したような認証処理を実施することで、通信先が信頼できるノードであるか、あるいは、通信先と遣り取りされるデータに改ざんなどがないかを認証し、その結果を、ＴＣＰ／ＩＰソケット１３２４へ応答する。ＴＣＰ／ＩＰソケット１３２４は、認証結果などをアプリケーション１３４へ送信する。アドレス認証プログラム１３６の基本的な処理は、上述の図３（Ｂ）に示すアドレス認証プログラム１３６と同様である。

図４（Ａ）に示すような実装形態においては、ＴＣＰ／ＩＰソケット１３２４がアドレス認証プログラム１３６に依頼して必要な認証処理を実行するので、アプリケーション１３４から見ると、通常の通信と同じインターフェイスで、認証されたネットワークアドレスを有する通信先とセキュアな通信ができる。

図４（Ｂ）に示す実装例においては、一般的なレイヤ構造、すなわち、物理層およびデータリンク層（ＷｉＦｉモジュール１４４および／またはＬＴＥモジュール１４８）の上層には、データリンクドライバ１３２２およびＴＣＰ／ＩＰソケット１３２４が順に配置される。任意のアプリケーション１３４は、データ通信のために、ＴＣＰ／ＩＰソケット１３２４を利用するとともに、アドレス認証プログラム１３６との間でも必要な認証に係る遣り取りを実施する。

図４（Ｂ）に示す実装例においては、アプリケーション１３４が通信先のノードとの間でデータを遣り取りの開始時または実行中に、アドレス認証プログラム１３６に対して、通信先の認証などを依頼する。アドレス認証プログラム１３６は、ＴＣＰ／ＩＰソケット１３２４との間でデータを遣り取りするとともに、上述したような認証処理を実施することで、通信先が信頼できるノードであるか、あるいは、通信先と遣り取りされるデータに改ざんなどがないかを認証する。そして、アドレス認証プログラム１３６は、認証結果を、アプリケーション１３４へ応答する。アドレス認証プログラム１３６の基本的な処理は、上述の図３（Ｂ）に示すアドレス認証プログラム１３６と同様である。

図４（Ｂ）に示すような実装形態を採用することで、データリンクドライバ１３２２およびＴＣＰ／ＩＰソケット１３２４などの通信レイヤの構造を変えることなく、認証されたネットワークアドレスを有する通信先とセキュアな通信ができる。

（ｃ４：デバイス間の遣り取り）
次に、端末装置１００とサーバ装置２００との間などの、デバイス間の遣り取りの一例について説明する。

図５は、本実施の形態に従うネットワークシステム１におけるデバイス間の遣り取りを説明するための模式図である。図５には、デバイス１とデバイス２との間でデータを遣り取りする場合の処理例を示す。

図５を参照して、デバイス１およびデバイス２は、いずれも、ネットワーク認証機能（図２に示すアドレス認証チップ１１２、または、図３に示すアドレス認証プログラム１３６に相当）を有している。それぞれのデバイスのネットワーク認証機能は、互いに、ネットワークアドレスについての認証処理を実行する。この認証処理は、基本的には、ネットワーク層で実行される。認証処理が完了すると、それぞれのデバイスのネットワーク認証機能は、各デバイスで実行されるアプリケーション（アプリケーション層）がデータを遣り取りする際のネットワークアドレスとして利用される。

アプリケーションに対して、認証されたネットワークアドレスを通知するようにしてもよいし、パケット生成およびパケット受信などを担当するＴＣＰ／ＩＰソケットなどに対して、認証されたネットワークアドレスを通知するようにしてもよい。

図５に示すような構成を採用することで、アプリケーション側で特別な認証処理などを必要とせずに、互いに認証されたネットワークアドレスを利用することができる。

＜Ｄ．処理手順例＞
次に、本実施の形態に従うネットワークシステム１における処理手順の一例について説明する。

図６は、本実施の形態に従うネットワークシステム１におけるサーバ提供に係る処理手順の一例を示すシーケンス図である。図６には、端末装置１００からサーバ装置２００へのアクセスに応答して、サーバ装置２００が要求されたサービスを提供する典型例の処理手順を示す。

具体的には、図６を参照して、まず、ユーザがアプリケーション１３４上で何らかの操作をすると（ステップＳ２）、アプリケーション１３４からサーバ装置２００へのアクセス要求が、ネットワーク認証機能（図２に示すアドレス認証チップ１１２、または、図３に示すアドレス認証プログラム１３６）へ転送される（ステップＳ４）。端末装置１００のネットワーク認証機能は、サーバ装置２００のネットワーク認証機能（図２に示すアドレス認証チップ１１２、または、図３に示すアドレス認証プログラム１３６に相当する機能）との間で、互いのネットワークアドレスについて認証処理を実行する（ステップＳ６）。認証処理が完了すると、端末装置１００は、認証されたネットワークアドレスを用いて、要求されたアクセス要求をサーバ装置２００へ転送する（ステップＳ８）。

サーバ装置２００において、端末装置１００から送信されたアクセス要求は、ネットワーク認証機能によって受信された上で、必要な処理を施された上で、アプリケーションへ転送される（ステップＳ１０）。サーバ装置２００のアプリケーションは、端末装置１００から受信したアクセス要求のデータ通信に用いられたネットワークアドレスを特定し（ステップＳ１２）、特定したネットワークアドレスに応じて、決定すべきサービスを決定する（ステップＳ１４）。

そして、サーバ装置２００のアプリケーションは、決定したサービスに応じたデータを端末装置１００へ送信する（ステップＳ１６）。このデータは、サーバ装置２００のネットワーク認証機能によって受信された上で、必要な処理を施された上で、端末装置１００へ送信される（ステップＳ１８）。

端末装置１００において、サーバ装置２００から送信されたデータは、ネットワーク認証機能によって受信された上で、必要な処理を施された上で、アプリケーション１３４へ転送される（ステップＳ２０）。そして、アプリケーション１３４からユーザに対して、受信されたデータに応じた内容が提示される（ステップＳ２２）。

本実施の形態に従うネットワークシステム１において、サーバ装置２００は、端末装置１００からアクセスを受けると、当該アクセスに含まれるネットワークアドレスは認証されたものであるので、追加の認証処理を行なうことなく、端末装置１００に固有のサービスを提供できる。すなわち、サーバ装置２００は、アプリケーション層での認証処理を行なうことなく、端末装置１００との間のネットワーク層での遣り取りにおいて利用されるネットワークアドレスのみを用いて、要求元の端末装置１００を特定する。

＜Ｅ．アプリケーション例＞
次に、図６に示すネットワークシステム１において提供されるサービスの一例について説明する。

（ｅ１：アプリケーション例その１）
まず、サーバ装置２００としてＷｅｂサーバを想定し、アクセス元の端末装置１００のネットワークアドレスに応じて固有のＷｅｂページを提供するような構成を一例として説明する。

図７は、本実施の形態に従うネットワークシステム１を利用したサービス提供のアプリケーション例を説明するための図である。図７（Ａ）には、サーバ装置２００が保持するネットワーク管理テーブル２１０の一例を示す。ネットワーク管理テーブル２１０には、過去にアクセスしたことのある、あるいは、アクセスの予定のある端末装置１００のネットワークアドレス（ＩＰアドレス）２１２に関連付けて、初期画面を示す初期画面情報２１４と、好みを示すプリファレンス情報２１６とが規定されている。ネットワーク管理テーブル２１０の内容は、ユーザが手動で更新し、あるいは、ユーザの操作に応じてサーバ装置２００によって更新してもよい。

サーバ装置２００は、端末装置１００からのアクセスを受けると、当該端末装置１００に付与されているネットワークアドレスをキーにして、ネットワーク管理テーブル２１０を参照し、対応する初期画面情報２１４およびプリファレンス情報２１６を決定する。そして、サーバ装置２００は、決定した初期画面情報２１４およびプリファレンス情報２１６に基づいて、アクセス元の端末装置１００へ提供するＷｅｂページの内容を決定する。

図７（Ｂ）には、一例として、サーバ装置２００がオンラインバンキングのサービスを提供する場合のＷｅｂ画面例を示す。例えば、ＩＰアドレス１が付与されている端末装置１００のディスプレイに提示されるＷｅｂ画面例２２０Ａには、「振込手続」、「口座残高確認」、「振替手続」といった基本的な口座管理のボタンが配置されている。一方、ＩＰアドレス２が付与されている端末装置１００のディスプレイに提示されるＷｅｂ画面例２２０Ｂには、為替レートの時間的変化を示すチャートとともに、「外貨購入」、「外貨売却」といった外貨に関するボタンが配置されている。

このような初期画面は、例えば、ネットワーク管理テーブル２１０の初期画面情報２１４などを参照することで決定することができる。さらに、ネットワーク管理テーブル２１０のプリファレンス情報２１６などを参照することで、初期画面だけではなく、端末装置１００（すなわち、端末装置１００を操作するユーザ）毎に好みに応じたサービスを提供することができる。

以上のように、端末装置１００に付与されているネットワークアドレスに基づいて、サーバ装置２００へアクセスしたときに提供される初期画面および各種サービス内容をカスタムすることができる。

（ｅ２：アプリケーション例その２）
次に、サーバ装置２００としてホテルなどの利用管理サーバを想定し、端末装置１００を電子的な鍵（利用証）として用いるような構成を一例として説明する。

図８は、本実施の形態に従うネットワークシステム１を利用したサービス提供の別のアプリケーション例を説明するための図である。図８（Ａ）には、サーバ装置２００が保持する利用管理テーブル２３０の一例を示す。利用管理テーブル２３０には、予約サイトなどを通じて予約された内容（部屋番号２３４および利用可能時間２３６）が当該予約操作に用いられた端末装置１００に付与されているネットワークアドレス２３２に関連付けて格納されている。

すなわち、ユーザが自身の端末装置１００を操作して、予約サイトで宿泊予約をすると、サーバ装置２００は、その宿泊予約に用いられた端末装置１００に付与されているネットワークアドレスとともに、予約内容を利用管理テーブル２３０に追加する。

図８（Ｂ）に示すように、宿泊施設２４０の各部屋の前には、無線通信ユニット２４２が配置されている。宿泊予定のユーザが宿泊予約に用いた端末装置１００をもって、予約した部屋に近付くと、無線通信ユニット２４２は端末装置１００と無線通信を行なう。なお、端末装置１００と無線通信ユニット２４２との間の無線通信は、自動的に開始されるようにしてもよいし、ユーザが明示的に操作を行なった上で開始されるようにしてもよい。

そして、ユーザが保持する端末装置１００に付与されているネットワークアドレスが、利用管理テーブル２３０のネットワークアドレス２３２のいずれかのエントリと一致すると、対応する部屋番号２３４および利用可能時間２３６に基づいて、サーバ装置２００は、予約対象の部屋を解錠する。

図８には、典型例として、端末装置１００をホテルといった宿泊施設の各部屋の鍵として使用する構成について例示したが、これに限らず、任意の利用証として用いることができる。例えば、端末装置１００そのものを、アミューズメント施設などの各種施設や、コンサートなどの各種イベントの入場券として使用できる。さらに、端末装置１００そのものを、鉄道や航空機のチケットとして使用することもできる。

上述したように、本実施の形態に従うネットワークシステム１においては、端末装置１００に付与されたネットワークアドレスそのものが認証されているので、既存技術のように、チケットを表示させるためのアプリケーションなどは必要なく、端末装置１００そのものを利用証として使用するシステムの普及の障壁を低減できる。

以上のように、端末装置１００に付与されているネットワークアドレスに基づいて、端末装置１００を任意の利用証として容易に利用できる。

（ｅ３：アプリケーション例その３）
次に、ネットワークアドレス自体の認証処理をより多面的に実現する構成について説明する。図９は、本実施の形態に従うネットワークシステム１を利用したネットワークアドレスのフィルタリング例を説明するための図である。図９には、一例として、ＯＳＩ参照モデルの第３レイヤ（ネットワーク層）にアドレス認証プログラム１３６を配置し、第４レイヤ（トランスポート層）にＴＣＰ（または、ＵＤＰ）を配置した構成例を示す。

図９には、フィルタリングを実現するための構成として、認証管理情報１３８が配置される。認証管理情報１３８は、ブラックリスト１３８２および／またはホワイトリスト１３８４を含んでいてもよい。なお、ブラックリスト１３８２およびホワイトリスト１３８４の両方を用意しておく必要はなく、いずれか一方のみを用意するようにしてもよい。

ブラックリスト１３８２は、アクセスを遮断すべきネットワークアドレスを規定するリストであり、ホワイトリスト１３８４は、アクセスを許可すべきネットワークアドレスを規定するリストである。

図９（Ａ）には、アドレス認証プログラム１３６にフィルタリング機能が実装される例を示す。より具体的には、アドレス認証プログラム１３６は、通信先について認証したネットワークアドレスがブラックリスト１３８２に規定されているいずれかのエントリに合致した場合には、その認証したネットワークアドレスを有する通信先（ブラックリストノード）との通信を遮断または禁止する。すなわち、ブラックリストノードからのパケットはアドレス認証プログラム１３６において遮断され、アプリケーション１３４へは与えられない。

一方、アドレス認証プログラム１３６は、認証したネットワークアドレスがホワイトリスト１３８４に規定されているいずれかのエントリに合致した場合に限って、その認証したネットワークアドレスを有する通信先（ホワイトリストノード）との通信を通過させる。すなわち、ホワイトリストノードからのパケットはアドレス認証プログラム１３６からアプリケーション１３４へ与えられる。アプリケーション１３４は、アドレス認証プログラム１３６において認証されたネットワークアドレス自体と、受信したパケットとに基づいて、サービスを提供する。

図９（Ｂ）には、アプリケーション１３４にフィルタリング機能が実装される例を示す。より具体的には、アプリケーション１３４は、アドレス認証プログラム１３６からのパケットを受信すると、当該パケットの送信元のネットワークアドレス（アドレス認証プログラム１３６によって認証されている）がブラックリスト１３８２またはホワイトリスト１３８４のいずれかのエントリに合致するか否かを判断する。

受信したパケットの送信元のネットワークアドレスがブラックリスト１３８２に規定されているいずれかのエントリに合致した場合には、アプリケーション１３４は、そのパケットを遮断する。一方、受信したパケットの送信元のネットワークアドレスがホワイトリスト１３８４に規定されているいずれかのエントリに合致した場合には、アプリケーション１３４は、そのパケットを処理して、要求されたサービスを提供する。

以上のように、ネットワークアドレス自体の認証機能に加えて、ブラックリスト／ホワイトリストを用いたフィルタリグ機能を組み合わせることで、より実用性の高いネットワークシステムを実現できる。

＜Ｆ．その他の実施の形態＞
上述の実施の形態においては、デバイス間で認証されたネットワークアドレスを利用する構成例として、１つ以上の端末装置１００と１つ以上のサーバ装置２００とからなるネットワークシステムを例示したが、これに限られず、端末装置１００間あるいはサーバ装置２００間のデータ通信にも適用可能である。さらに、端末装置１００またはサーバ装置２００といった枠組みにとらわれることなく、任意のデバイス間のデータ通信に利用可能である。

＜Ｇ．利点＞
本実施の形態によれば、認証されたネットワークアドレスを用いたサービスおよびそのサービスを提供するための基盤が提供される。ネットワークアドレス自体が認証されているため、通信接続の確立自体が認証手続を兼ねることになり、アプリケーションを用いた追加の認証手続などは不要となる。これによって、ＩｏＴに適した多種多様なサービスを提供できる。

今回開示された実施の形態はすべての点で例示であって制限的なものでないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

１ ネットワークシステム、４ アクセスポイント、６ 基地局、１００，１００Ａ，１００Ｂ 端末装置、１０２ プロセッサ、１０４ 主メモリ、１０６ ディスプレイ、１０８ 入力部、１１０ 通信モジュール、１１２ アドレス認証チップ、１１４，１４４ ＷｉＦｉモジュール、１１６，１２０，１４６，１５０ アンテナ、１１８，１４８ ＬＴＥモジュール、１３０ 二次記憶装置、１３２ ＯＳ、１３４ アプリケーション、１３６ アドレス認証プログラム、１３８ 認証管理情報、２００ サーバ装置、２１０ ネットワーク管理テーブル、２１２ ネットワークアドレス（ＩＰアドレス）、２１４ 初期画面情報、２１６ プリファレンス情報、２２０Ａ，２２０Ｂ 画面例、２３０ 利用管理テーブル、２３２ ネットワークアドレス、２３４ 部屋番号、２３６ 利用可能時間、２４０ 宿泊施設、２４２ 無線通信ユニット、１３２２ データリンクドライバ、１３２４ ＴＣＰ／ＩＰソケット。

Claims (4)

1. 少なくとも１つのサーバ装置と、
   前記少なくとも１つのサーバ装置のいずれかにアクセス可能な少なくとも１つの端末装置とを備え、
   前記端末装置は、前記少なくとも１つのサーバ装置のいずれかとの間で、ネットワークアドレスを認証した上で、データ通信するように構成されており、
   前記サーバ装置は、前記端末装置からの要求を受けると、当該要求元の端末装置が有している認証されたネットワークアドレスに応じたサービスを提供する、ネットワークシステム。
2. 前記サーバ装置は、アプリケーション層での認証処理を行なうことなく、前記端末装置との間のネットワーク層での遣り取りにおいて利用されるネットワークアドレスのみを用いて、前記要求元の端末装置を特定する、請求項１に記載のネットワークシステム。
3. 前記端末装置は、データリンク層を担当する第１の通信プログラムと、トランスポート層およびネットワーク層を担当する第２の通信プログラムと、前記第１の通信プログラムと前記第２の通信プログラムとの間に接続されるアドレス認証プログラムとを含み、
   前記アドレス認証プログラムは、前記第２の通信プログラムが要求するデータ伝送に用いられるネットワークアドレスを通信先のデバイスとの間で認証する、請求項１または２に記載のネットワークシステム。
4. 前記端末装置は、通信機能を提供する通信機能モジュールと、前記認証されたネットワークアドレスがハードコードされた半導体装置とを含み、
   前記半導体装置は、前記通信機能モジュールを利用して通信先のデバイスとの間でネットワークアドレスを認証する、請求項１または２に記載のネットワークシステム。

Images