JP4722682B2 - 動的アクセス制御装置 - Google Patents

Description

本発明は、インターネットなどのネットワーク上のサーバやストレージを個人ごとに管理する個人サイトを用いたネットワークシステムにおいて、個人サイトのアクセス制御を行う動的アクセス制御装置に関する。

インターネットなどの普及により、個人がサーバをネットワーク上に構築し、情報（ウェブコンテンツ）を公開する機会が増えている。例えば、ウェブログは、ウェブコンテンツを個人が容易に公開できるツールであり、このような個人ごとに割り当てられたサーバやストレージは、総称して個人サイトと呼ばれ、個人サイトを用いて情報を公開する利用者は、公開者と呼ばれ、他人の個人サイトを閲覧する利用者は、閲覧者と呼ばれる。

個人サイトの情報公開範囲に対する要請は、主に、「広範囲に公開したい場合」と、「限定的に公開したい場合」とに分けられる。ここで、「広範囲に公開したい場合」とは、公開者が閲覧者を指定せずに情報を公開する場合であり、この場合、「できるかぎり広範囲に情報を伝播させる」ことが必要である。この要件を実現するために、検索エンジンやピア・ツゥー・ピア（Ｐ２Ｐ）型ノード探索のような情報配信技術が多く提案されている。

一方、「限定的に公開したい場合」とは、公開者が閲覧者を指定し、アクセス者が指定した閲覧者かどうかを認証し、情報を公開する場合であり、この場合、「公開者が指定していない閲覧者が不正に情報を閲覧しないこと」が必要となる。この要件を実現するために、個人認証技術が多く提案されている。

個人認証の手法は、「認証情報の一致（一致検証手法）」と、「認証情報の比較（差分検証手法）」とに分けることができる。ここで、一致検証手法とは、閲覧者の認証情報が公開者の認証情報に一致することを検証することを意味し、具体的には、ＩＤ／パスワードや証明書、チケットなどを認証情報として用いた手法が提案されている。一方、差分検証手法とは、閲覧者の認証情報と公開者の認証情報を比較し、大小の条件を満たすことを検証することを意味し、具作的には、属性（有効期限、年齢など）や評判値、ポイントなどの「評価値」を含む認証情報を用いた手法が提案されている。

差分検証手法は、「閲覧者が公開された情報に評価値を与える方法」と、「公開者が公開する情報に閾値を与える方法」とに分けることができる。「閲覧者が評価値を与える方法」は、評判システムとも呼ばれ、閲覧者が閲覧した情報や公開者に評価値を与え、新たな閲覧者がその評価値を参照し、その情報を信頼できるかどうか判断する。この判断は、各閲覧者個々がもつ閾値にゆだねられる。

一方、「公開者が公開された情報に評価値を与える方法」とは、公開者が公開する情報に閾値を与え、閲覧者がポイントや属性（年齢や経験値）などの評価値を保持し、閲覧する情報ごとに定められた閾値以上の評価値を持っていれば、認証情報に対応する情報について閲覧可能と判定する。また、必要に応じて評価値を減算する。

ネットワークシステムにおいてアクセス制御を行うために、複数のノードから構成されるネットワークに新たにノードを追加する際、ネットワーク内の一つの隣接ノードと認証を行い、その新たなノードが正当なノードであることを既存に接続されたノードに対して保証する装置が提案されている（例えば、特許文献１）。

また、オニオンルーティングを用いた匿名通信方式が提案されている（例えば、特許文献２）。オニオンルーティングでは、二つのノード間を中継するノードが全て結託しない限り匿名性が保障されるがデータ長を観測することで二つのノード間の距離がわかる。

また、Ｐ２Ｐ型ネットワーク内での計算機資源の提供度合いに準じた貢献度（ポイント）を活用し、ポイントを提供することによって、あるノードが他のノードの計算機を利用できるための仕組みが提案されている（例えば、特許文献３）。この場合、資源提供者と資源利用者が１対１で認証し、計算機資源の提供と利用を行っている。

さらに、複数のノード同士が自律的に認証を行い、一時的なＰ２Ｐ型ネットワークを作る仕組みが提案されている。この場合、「近隣範囲用管理者」と呼ばれる参加ノードの管理者を一つたててネットワークが構成され、近隣範囲管理者からの距離が近隣範囲者までのホップ数を用いて計算され、近隣管理者から遠くに存在するノードを排除することが可能である。
特開２００５−１１７６５６号公報 特開２００５−１５９９１２号公報 特開２００５−２０３８６号公報

ところで、ネットワークは、ノード間を接続する通信路から構成される。従来の認証システムが想定しているネットワークシステムは、異なるＰＣや携帯電話などの機器を接続する通信ネットワークであり、認証は、公開者（公開する記事）と閲覧者の間で直接認証を行う方式であった。このネットワークシステムでは、公開者の「ある程度広い範囲に情報を公開したいが、全員に対する情報公開は制限したい」という公開範囲の制限に関する要件について、アクセスを許可する閲覧者全員に対して認証情報を配布するという手法によってアクセス制御が行なわれていた。すなわち、ある程度広い範囲という曖昧な公開範囲に対して閲覧者数を明確化し、さらに、その数分、認証情報を配布しなければならない。この数値が大きい場合（例えば１万）であっても１桁まで数をそろえ（即ち、１０００１人は無理）１万人に配布する配布コストが発生していた。

本発明の目的は、曖昧にユーザ数を制限するアクセス制御を行う場合、認証情報の配布コストがユーザ数に比例して増加する課題を解決する動的アクセス制御装置を提供することである。

本発明による動的アクセス制御装置は、
複数のノードと、これら複数のノードを互いに接続する通信路とを具え、前記ノード間で認証を行う動的アクセス制御装置であって、各ノードが、
認証回数に対応づけられた評価情報を保持する評価情報保持手段と、
前記評価情報を一定の規則に従って更新する評価更新手段と、
制御可能な閾値を表す閾値情報を保持し、前記閾値情報及び前記評価更新手段によって更新された前記評価情報を用いて、アクセスの可否に関する認可判定結果を表す認可判定情報を一定の規則に従って生成する認可判定手段と、
前記認可判定情報を含む認証応答情報の改ざん検出を行う認証手段と、
認証トランザクションの一意性を保証するセッション情報を生成し、生成したセッション情報と前記評価更新手段によって更新された前記評価情報とを保持するセッション管理手段と、
前記ノードの一意性を特定するとともに通信アドレスを表すアドレス情報を保持し、前記動的アクセス制御装置の外部と情報の送受信を行う外部通信手段とを有することを特徴とする。

本発明によれば、閾値を表す閾値情報及び更新された評価情報を用いて、認可判定結果を表す認可判定情報を一定の規則に従って生成するので、ユーザが情報を公開する際に、閾値情報と評価情報との関係から、どこまでのユーザを対象とするかを考慮し、公開範囲を制御することができる。すなわち、閾値を下げることによって、広い範囲でユーザに情報を公開することができ、閾値を上げることによって、狭い範囲でユーザに情報を公開することができるようになる。その結果、曖昧にユーザ数を制限するアクセス制御を行う場合、認証情報の配布コストがユーザ数に比例して増加する課題を解決する。

世の中に存在するネットワークは、機器間が結ばれたネットワークだけではなく、論文の引用やウェプページのリンク等、ドキュメント間のリンクのネットワークや、文書の共著や携帯電話のメールアドレスリストなどのような知り合いのネットワークが挙げられる。このようなネットワークは、総称してソーシャルネットワークシステムと呼ばれる。このソーシャルネットワークシステムでは、あるネットワーク上のノード（人間や文書など）から、参照する（参照される）他のノードまでの距離を測定することが可能である。そして、一般に、この距離と距離内に含まれるノードの数の関係は、距離に比例して距離内に含まれるノードは増加する。

本発明によれば、各ユーザが個人サイトを自らのエージェントとしてネットワーク上に存在させる。個人サイトは、他の個人サイトと何らかの社会的関係によってリンクが形成される。そして、相互認証を行った場合、認証は成功する。そのような個人サイトのリンクをたどる際は、リンクをたどる度に認証が発生する。そして、認証に成功した場合、そこで用いられた認証情報に含まれる評価値が更新される（認証回数のカウント）。

一方、認証に失敗した場合、社会的関係が存在しないリンクであるため、そのリンクをたどることは不可能である。各個人サイトは、その認証情報に含まれる評価値と閾値の比較により認定判定を行う。これにより、ある個人サイトを閲覧した際に、そこまでに閲覧した個人サイトの数に対応づけられた評価値を求めることが可能である。したがって、公開者は、たどりつくまでに閲覧した個人サイトの数と閾値を比較検証し、アクセス制御を行うことができるようになる。

例えば、認証回数に比例して単調減少する場合、認証回数の減少幅は、閲覧した個人サイトの数に等しく、個人サイトを閲覧するほど評価値は減少し、公開者が閾値を下げる場合、多くの閲覧者が閲覧でき、閾値を上げる場合、少ない閲覧者が閲覧できる。したがって、公開者は閾値を制御することによって、公開者の個人サイトを中心とした距離内に含まれる閲覧者の数を制御可能となる。

特許文献１は、本発明と同様にノード間の認証を行うが、ノード間の距離という概念を導入し認証を行っていない点で本発明と異なる。特許文献２は、その距離を隠すことによって匿名性を保証するための装置であり、本発明が行う距離を明示的に提示し認証に活用する方法とは異なる。

本発明は、資源提供者と資源利用者との間の距離を算出し、その距離に応じた計算機資源の提供と利用を可能にし、この距離の概念が導入されている点で特許文献３と異なる。また、本発明では、近隣範囲管理者は存在せず、各ノードが自律的に距離の管理を行うことできる点で、「近隣範囲用管理者」と呼ばれる参加ノードの管理者を一つたててネットワークが構成される場合とは異なる。

好適には、前記認可判定結果を、前記評価情報を引数とする評価関数と前記閾値とを比較することによって取得し、前記評価情報が、ユーザの貢献度又は支払い金額に対応する。

本発明による動的アクセス制御装置の実施の形態を、図面を参照して詳細に説明する。
図１は、本発明による動的アクセス制御装置の実施の形態を示す図である。例えばＰ２Ｐで用いられる動的アクセス制御装置１は、複数のノードとしての第１ノード１０及び第２ノード２０と、第１ノード１０と第２ノード２０との間を接続する通信路３０とを具える。動的アクセス制御装置１は、ノード間で認証を行い、この認証回数に応じた情報のアクセス制御を行う。図1の動的アクセス制御装置１は、説明を簡単にするために通信路３０に接続された二つのノード（第１ノード１０及び第２ノード２０）のみを示す。

動的アクセス制御装置１は、認証回数に対応づけられた数値である「評価情報」と、認証トランザクションの一意性を保証する「セッション情報」と、認可判定を行う判断基準となる数値である「閾値情報」と、ノードを一意に指定する情報である「ノードアドレス情報」が用いられる。

また、認証に際して、評価情報とセッション情報を含み、評価情報の改ざんの検知が可能な情報である「認証開始情報」と、新たなセッション情報を含む「認証結果情報」と、ノードアドレス情報と認証セッション情報から構成される「認証要求情報」と、ノードアドレス情報と認証セッション情報から構成される認証要求情報の応答である「認証応答情報」とが用いられる。本明細書中、認証によって新たに生成したセッション情報と、認証後の評価情報を含む情報とを「認証セッション情報」と呼び、認証結果を含む情報を「認可結果情報」と呼ぶ。

第１ノード１０及び第２ノード２０はそれぞれ、評価情報保持部１１，２１と、セッション管理部１２，２２と、認証部１３，２３と、認可判定部１４，２４と、評価更新部１５，２５と、外部通信部１６，２６とを有する。評価情報保持部１１，２１は、対応するノードに割り当てられた評価情報を保持する。セッション管理部１２，２２は、セッション情報を生成し、生成したセッション情報と認証した評価情報を含む認証セッション情報を保持する。認証部１３，２３は、認証応答情報に含まれる認証セッション情報の改ざん検出を行う。認可更新部１４，２４は、認証した認証セッション情報に含まれる評価情報を更新する。認可判定部１５，２５は、閾値情報と評価関数を保持し、評価情報と閾値情報と評価関数を用いて認可結果情報を生成する。外部通信部１６，２６は、ノードアドレス情報を保持し、通信先のノードのノードアドレス情報と、自ノードのノードアドレス情報を用いて通信を行う。また、外部通信部１６，２６は、動的アクセス制御装置１の外部から認証開始情報を受信し、認可結果情報を含む認証結果情報を出力する。

本実施の形態の動作を、図２を用いて説明する。第１ノード１０は、評価情報Ｘ１とセッション情報Ｒ１を含む認証セッション情報を保持している。この評価情報Ｘ１は、第１ノード１０が他のノードと認証済みの場合は、評価情報保持部１１に格納された評価情報となる。一方、他のノードと認証済みの場合は、その認証で用いた評価情報となる。

第２ノード２０は、閾値情報Ｙを保持している。第１ノード１０は、ノードアドレス情報Ａを保持し、第２ノード２０は、ノードアドレス情報Ｂを保持している。本実施の形態の動作フローを説明するに際し、認証開始情報をｍ１とし、認証要求情報をｍ２とし、認証応答情報をｍ３とし、認証結果情報をｍ４とする。
（１）第２ノード２０が、外部通信部２６を用いて、認証を行うノードのノードアドレス情報Ａとセッション情報Ｒ１から構成される認証開始情報ｍ１を受信する。
（２）第２ノード２０が、認証開始情報ｍ１を用いて認証要求情報ｍ２を生成する。
（３）第２ノード２０が、認証開始情報ｍ１に含まれるノードアドレス情報のノード（第１ノード１０）に対して、外部通信部２６を用いて認証要求情報ｍ２を送信する。
（４）第１ノード１０が、認証要求情報ｍ２に含まれるセッション情報に対応した認証セッション情報がセッション情報管理部１２に格納されているか検証する。
認証セッション情報がセッション情報管理部１２に格納されている場合、その認証セッション情報を含む認証応答情報ｍ３を生成する。
（５）第１ノード１０が、外部通信部１６を用いて第２ノード２０に認証応答情報ｍ３を送信し、第２ノード２０が、外部通信部２６を用いて認証応答情報ｍ３を受信する。
（６）第２ノード２０が、認証部２３を用いて、認証応答情報ｍ３に含まれる認証セッション情報が改ざんされていないことを検証する。
（７）第２ノード２０が、評価更新部１５を用いて、認証応答情報ｍ３に含まれる認証セッション情報の評価情報Ｘ１を、一定の規則に従って更新し、更新した評価情報Ｘ２を生成する。
（８）第２ノード２０が、認可判定部２４を用いて、評価情報Ｘ２を評価関数の引数として計算し、その計算結果と閾値情報Ｙを比較検証し、認可結果情報を生成する。
（９）第２ノード２０が、図示しない認証セッション格納部を用いて、セッション情報Ｒ２を生成し、セッション情報Ｒ２と評価情報Ｘ２を含む認証セッション情報を格納する。
（１０）第２ノード２０は、外部通信部２６を用いて、セッション情報Ｒ２と認可結果情報を含む認証結果情報ｍ４を送信する。

本発明は、Ｐ２Ｐ型ネットワークの各ノード間で認証が行なわれ、ユーザが各ノードヘのアクセスをノードをたどりながら転々と行う際に、たどったノードの数を用いてアクセス制御を行いたい装置内で用いられる。例えば、コンピュータ同士を直接接続しコンピュータ同士で通信を行うＰ２Ｐ型ネットワークや、ウェブログなどの個人サーバ間で通信を行うサーバ間通信で用いられる。本方式の各ノードが管理する情報は、第三者によって改ざんされないように耐タンパ性をもたせることも可能である。

本発明を用いる各ユーザは自分のノードを保持する。そして、ユーザに対する評価情報が割り当てられ、ユーザ自身のノードに保持される。ここで、評価情報の例として、ユーザのネットワークに対する貢献度や評判値、ポイントなどの電子的な報酬値などが挙げられる。

各ユーザが本発明を利用する際に、自分のノードに対して自分が所有者であることを証明することが必要となる場合がある。その方法としてＩＤとパスワードを用いる方法がある。このＩＤとパスワードを用いる場合、評価情報にユーザのパスワードのハッシュ値を添付させる。そして、ユーザは認証開始情報にパスワードを含め、第１ノード１０がパスワードと評価値に添付されたパスワードと一致すればよい。また、他の方法として、最初にユーザが自分のノードに対して本人認証し、本人認証をしたノードがセッション情報を生成し、セッション情報と評価情報を認証応答が保持し、そのセッション情報をユーザが本人認証の応答として受信する情報がある。この方法によって、ユーザは、セッション情報を含む認証開始情報を第２ノード２０に送信し、認証を行うことができる。

セッション管理部１２，２２は、メモリやハードディスクなど一時的に情報を保持することが可能なメディアである。また、誰の要求に対して生成したセッションかを管理し、複数のセッションを管理するために、ノードＩＤを認証セッション情報に含め管理する方法も考えられる。また、どのような種類の認証かを管理するために、認証種別（グループ種別など）を認証セッション情報に含めて管理することも可能である。外部通信部１６，２６は、ＵＲＬやＩＰアドレス、電話番号など一意の通信アドレスを用いて通信することが可能である。

認証部１３，２３は、予め鍵をノード間で共有する共通鍵暗号方式を用いることができる。例えば、第２ノード２０が、乱数を生成し、乱数を認証要求情報に含めて第１ノード１０に送信し、第１ノード１０が、乱数を含む認証応答情報を共通鍵で暗号化し、第２ノード２０に送信し、第２ノード２０が、暗号化された認証応答情報を復号し、乱数が一致しているか確認する。共通号方式としては、ＤＥＳ／ＴＤＥＳやCamellia,ＡＥＳなどを用いることができる。

また、認証部１３，２３は、公開鍵暗号方式を用いることもできる。例えば、第２ノード２０が、乱数を生成し、乱数を認証要求情報に含めて第１ノード１０に送信し、第１ノード１０で公開鍵暗号を用いて、乱数を含む認証応答情報の電子署名を生成し、第２ノード２０に送信し、第２ノード２０が電子署名を署名検証する。また、認証部１３，２３は、第２ノード２０が認証要求情報に対して電子署名を添付することによって、第１ノード１０が認証応答情報を生成する前に署名検証を行う相互認証をすることができる。

評価更新部１５，２５は、認証した際に評価値を一定の規則に従って更新する。例えば、評価値を認証が行われる度に一つ減少させる規則が考えられる。また、認可後に公開する内容によっては、一つ以上減少させてもよい。認証部１３，２３は、閾値Ｔと評価情報Ｘを引数とする評価関数Ｇを保持し、Ｇ（Ｘ）の出力Ｙと閾値Ｔを比較し、認可判定する。判定は、例えばＹ＞Ｔの場合、真とする方法が考えられる。
この評価関数Ｇの例を次に示す。

（例１）単調減少関数
Ｙ＝Ｇ（Ｘ）＝−ａ×Ｘ＋ｂ（＞０）と定義する。例えば、（ａ，ｂ）＝（３，７）とするとき、（Ｘ，Ｙ）＝｛(０，７)，（１，４），（２，１）｝である。ここで、Ｔ＝５とすれば、これは、評価情報が０の場合、Ｔ＜Ｙであるため情報を参照できるが、２の場合、Ｔ＞Ｙであるため情報を参照することはできない。

（例２）フィルタ関数の応用（バタワース低域フィルタ）
Ｙ＝Ｇ（Ｘ）＝１０／｛１＋（Ｘ／Ｘｏ）２Ｎ｝（＞０）と定義する。この関数を図３に示す。例えば、（Ｘｏ，Ｎ）＝（３，５）とするとき、（Ｘ，Ｙ）＝{（０，１０），（１，１０），（２，９．８），（３，５），（４，０．５）}である。ここで、Ｔ＝５とすれば、これは、評価情報が１の場合、Ｔ＜Ｙであるため情報を参照できるが、４の場合、Ｔ＞Ｙであるため情報を参照することはできない。

ここで、本発明を用いた実施の形態の説明で用いられる記法を説明する。本実施の形態では、公開鍵暗号方式における秘密鍵Ｓｋと公開鍵Ｐｋの鍵ペアを（Ｓｋ，Ｐｋ）と記述する。公開鍵Ｐｋに対応する秘密鍵Ｓｋを用いたメッセージＭに対する電子署名Ｓｉｇを生成する関数をＳｏｇ＝Ｓ＿Ｐｋ（Ｍ）と記述する。この電子署名ＳとメッセージＭの対応関係を検証する関数を、Boolean＝Ｖ＿Ｐｋ（Ｍ，Ｓｉｇ）と記述する。メッセージＭにおける一方向ハッシュ関数をＨ（Ｍ）と記述する。また、利用者に公開する記事情報ＭのＩＤを＆Ｍと記述する。

図４は、本発明による動的アクセス制御装置の他の実施の形態を示す図である。本実施の形態の動的アクセス制御装置１００は、二つのノード（第１ノード１１０と第２ノード１２０）が、通信路１３０を通じて、ウェブログなどの情報管理部１１１，１２１を用いて記事を管理する。第１ノード１１０及び第２ノード１２０はそれぞれ、情報管理部１１１，１２１と、セッション管理部１１２，１２２と、認証部１１３，１２３と、認可判定部１１４，１２４と、評価更新部１１５，１２５と、外部通信部１１６，１２６とを有する。通信路１３０を通じて第１ノード１１０及び第２ノード１２０と通信する端末装置１４０は、外部通信部１４１と情報参照部１４２を有する。本実施の形態では、ユーザは、端末装置１４０を用いて、これら二つの第１ノード１１０及び第２ノード１２０を有する動的アクセス制御装置１００にアクセスし、各ノード１１０，１２０が管理する記事を閲覧する。

図４に示すノードの各部が保持する情報を図５に示す。第１ノード１１０は、通信アドレスＡを外部通信部１１６に保持し、第２ノード１２０は、通信アドレスＢを外部通信部１２６保持している。第１ノード１１０の図示しない評価情報保持部は、評価情報Ｘａを保持し、第２ノード１２０の図示しない評価情報保持部は、評価情報Ｘｂを保持する。第１ノード１１０の情報管理部１１１は、記事情報Ｍａを保持し、第２ノード１２０の情報管理部１２１は、記事情報Ｍｂを保持している。第１ノード１１０の認証部１１３は、鍵ペア（ＳｋＡ，ＳｋＢ）を保持し、第２ノード１２０の認証部１２３は、鍵ペア（ＳｋＢ，ＰｋＢ）を保持している。第１ノード１１０の認可判定部１１４及び第２ノード１２０の認可判定部１２４は、同じ評価関数Ｇを保持している。本実施の形態では、評価関数ＧをＹ＝Ｇ（Ｘ）＝−３×Ｘ＋４と定義する。

本実施の形態では、先ず、ユーザが端末装置１４０を用いて、第１ノード１１０と予め本人認証を行う。この結果の状態を図６に示す。本人認証の結果、第１ノード１１０は、セッション管理部１１２を用いてセッション情報Ｒ１を生成し、セッション管理部１１２に（Ｒ１，Ｘａ）を格納する。また、本人認証の結果としてユーザはＲ１を得る。この結果、ユーザは、Ｒ１を用いて第１ノード１１０に対してアクセスできる状態となる。

本実施の形態の動作を、図７を用いて説明する。
（Ｓ１）端末装置１４０が、第１ノード１１０に準備要求情報（Ｒ１，Ｂ＆Ｍｂ）を送信する。
（Ｓ２）第１ノード１１０が、セッション管理部１１２を用いて（Ｘａ，Ｒ１，Ｂ）を保持する。
（Ｓ３）第１ノード１１０が、認証開始情報ｍ１＝（Ｘａ，Ｒ１，Ｂ＆Ｍｂ）を送信する。
（Ｓ４）端末装置１４０が、認証開始情報ｍ１を第２ノード１２０に送信する。
（Ｓ５）第２ノード１２０が、乱数Ｒ２を生成する。
（Ｓ６）第２ノード１２０が、署名Ｓ２＝Ｓ＿ＰｋＢ（Ｘａ，Ｒ１，Ｒ２，Ａ，Ｂ）を生成する。
（Ｓ７）第２ノード１２０が、セッション管理部１２２を用いて(Ｘａ，Ｒ１，Ｒ２，Ａ，Ｂ)を保持する。
（Ｓ８）第２ノード１２０が、第１ノード１１０に認証要求情報(Ｘａ，Ｒ１，Ｒ２，Ａ，Ｂ，Ｓ２，ＰｋＢ)を送信する。
（Ｓ９）第１ノード１１０が、セッション管理部１１２に格納された乱数Ｒ１とセッション情報のＲ１の一致検証をする。
（Ｓ１０）第１ノード１１０が、署名Ｓ２の署名検証をする。(Ｖ＿ＰｋＢ（（Ｘａ，Ｒ１，Ｒ２，Ａ，Ｂ），Ｓ２）)
（Ｓ１１）第１ノード１１０が、署名Ｓ１＝Ｓ＿ＰｋＡ（Ｘａ，Ｒ１，Ｒ２，Ａ，Ｂ）を生成する。
（Ｓ１２）第１ノード１１０が、第２ノード１２０に認証応答情報ｍ３＝(Ｘａ，Ｒ１，Ｒ２，Ａ，Ｂ，Ｓ１，ＰｋＡ)を送信する。
（Ｓ１３）第２ノード１２０が、署名Ｓ１の署名検証をする。(Ｂ＿ＰｋＡ（（Ｘ，Ｒ１，Ｒ２，Ａ，Ｂ），Ｓ１）)
（Ｓ１４）第２ノード１２０が、評価更新部１２５を用いてＸａ’＝Ｘａ−１とする。
（Ｓ１５）第２ノード１２０が、認可判定部１２４を用いてＧ（Ｘａ’）＝Ｙを計算する。
Ｙ＞Ｔｂの場合、次処理を行い、Ｙ≦Ｔｂの場合、終了する。
（Ｓ１６）第２ノード１２０が、セッション管理部１２２に（Ｘａ’，Ｒ２）を保持する。
（Ｒ１７）第２ノード１２０が、（Ｍｂ，Ｒ２）を端末装置１４０に送信する。

本実施の形態を実現するに際し、インターネット上の個人サイト（ウェブログ）に本発明のノードを組み込み、個人サイト間で認証を行う方法が考えられる。この方法は、最初に、各ユーザが個人サイトに本人認証を行い、その後、自分の個人サイトを基点として様々なサイトにアクセスする方式である。例えば、ユーザＵａ，Ｕｂ，Ｕｃ，Ｕｄが各自ウェブログを保持しているとする。各ユーザのウェブログは、本発明に含まれるノードＡ，Ｂ，Ｃ，Ｄをそれぞれ保持している。ノードＢのウェブログからノードＣのウェブログにリンクがはられ、ノードＣのウェブログからノードＤのウェブログにリンクがはられ、ユーザＵａが、ノードＢのウェブログ、ノードＣのウェブログ、ノードＤのウェブログと順番に閲覧する場合を考える。

初期値は、ノードＡが評価情報Ｘと乱数Ｒ１の組（Ｘ，Ｒ１）を保持し、乱数Ｒ１をユーザＵａが保持している。この頃合の処理の流れを次に示す。
（１）ユーザＵａが乱数Ｒ１を用いて認定を行い、ユーザＵｂのウェブログを閲覧する。この認証時にノードＢが（Ｘ−１，Ｒ２）を保持し、ユーザＵａが乱数Ｒ２を保持する。
（２）ユーザＵａは、ユーザＵｂのウェブログからリンクのはられたユーザＵｃのウェブログを閲覧する。この認証時に、ノードＣが（Ｘ−２，Ｒ３）を保持し、ユーザＵａが乱数Ｒ３を保持する。
（３）ユーザＵａは、ユーザＵｃのウェブログからリンクのはられたユーザＵｄのウェブログを閲覧する。この認証時に、ノードＤが（Ｘ−３，Ｒ４）を保持し、ユーザＵａが乱数Ｒ４を保持する。

この流れの中で、各ノードはアクセス対象となるウェブログの記事に与えられた閾値Ｔと、評価関数Ｙ＝Ｇ（Ｘ）の出力値を比較し、Ｔ＜Ｙの場合に記事を表示する。この評価情報ＸとＴの組合せの例を図８に示す。この例では、評価関数はＹ＝０．５×Ｘであり、評価情報の初期値は５であり、枠内には閾値が１，２，３の場合について網羅的に記述した。この結果、点線の部分はユーザが閲覧可能となる。

本実施の形態によれば、ユーザが情報を公開する際に用いる評価関数と同値との関係から、どの評価値を持っているユーザまでを対象とするかを考慮し、公開範囲を制御することが可能となる。すなわち、閾値を下げることによって広い範囲でユーザに情報を公開することが可能となる。また、閾値を上げることによって狭い範囲で情報を公開することが可能となる。

本発明は、上記実施の形態に限定されるものではなく、幾多の変更及び変形が可能である。
例えば、上記実施の形態において、動的アクセス制御装置が二つのノードを有する場合について説明したが、動的アクセス制御装置が三つ以上の任意の個数のノードを有する場合についても、本発明を実施することができる。

認証要求情報と認証応答情報の送受信を行うノードのアドレス情報を保持し、各ノードがアドレス情報と一致検証することができ、この場合、認証要求情報と認証応答情報の送受信を行うノードのアドレス情報の上限数を管理し、又は、認証要求情報と認証応答情報の送受信を行うノードのアドレス情報の登録を行うことができる。

また、認証要求情報と認証応答情報の送受信を行うノードのアドレス情報の登録する際に、登録するノードが隣接可能なノード数の上限値を用いて登録するかどうかを判断することができ、共通鍵暗号や公開鍵暗号方式を用いて、認証応答情報の二重使用や改ざんを防止した認証を行うことや、通信路を暗号化することもできる。

さらに、本人認証を行い、本人認証の結果、正当である場合には新たなセッション情報を生成し、評価情報及び生成したセッション情報を保持し、認証開始情報を生成し、返却してもよく、各ノードが、ノードの内部構造に対する解析や破壊を困難とする特徴である耐タンパ性を有してもよい。

本発明による動的アクセス制御装置の実施の形態を示す図である。 図１の動的アクセス制御装置の動作を説明するための図である。 本発明で用いられる評価関数の一例を示す図である。 本発明による動的アクセス制御装置の他の実施の形態を示す図である。 図４に示すノードの各部が保持する情報を示す図である。 図４においてユーザが本人認証を行った結果を示す図である。 図４の動的アクセス制御装置の動作を説明するための図である。 本発明における評価情報の組合せの一例を示す図である。

符号の説明

１，１００ 動的アクセス制御装置
１０，１１０ 第１ノード
１１，２１，１１１，１２１ 評価情報保持部
１２，２２，１１２，１２２ セッション管理部
１３，２３，１１３，１２３ 認証部
１４，２４，１１４，１２４ 認可判定部
１５，２５，１１５，１２５ 評価更新部
１６，２６，１１６，１２６，１４１ 外部通信部
２０，１２０ 第２ノード
３０，１３０ 通信路
１４０ 端末装置
１４２ 情報参照部

Claims (3)

1. 複数のノードと、これら複数のノードを互いに接続する通信路とを具え、前記ノード間で認証を行う動的アクセス制御装置であって、各ノードが、
   認証回数に対応づけられた評価情報を保持する評価情報保持手段と、
   前記評価情報を一定の規則に従って更新する評価更新手段と、
   制御可能な閾値を表す閾値情報を保持し、前記閾値情報及び前記評価更新手段によって更新された前記評価情報を用いて、アクセスの可否に関する認可判定結果を表す認可判定情報を一定の規則に従って生成する認可判定手段と、
   前記認可判定情報を含む認証応答情報の改ざん検出を行う認証手段と、
   認証トランザクションの一意性を保証するセッション情報を生成し、生成したセッション情報と前記評価更新手段によって更新された前記評価情報とを保持するセッション管理手段と、
   前記ノードの一意性を特定するとともに通信アドレスを表すアドレス情報を保持し、前記動的アクセス制御装置の外部と情報の送受信を行う外部通信手段とを有することを特徴とする動的アクセス制御装置。
2. 前記認可判定結果を、前記評価情報を引数とする評価関数と前記閾値とを比較することによって取得したことを特徴とする請求項１記載の動的アクセス制御装置。
3. 前記評価情報が、認証回数に対応することを特徴とする請求項１又は２記載の動的アクセス制御装置。
   

Images