JP4814878B2 - 電子メッセージ受信者へのアクセスを制御するためのシステム及び方法 - Google Patents

Description

本願は２００４年５月２５日に出願された米国特許出願No.60/574,239「Systems and Methods for Controlling Access to an Electronic Message Recipient through the use of a Plurality of Proxy Identities」の優先権を主張する。

本願はコンピューターネットワークに関し、詳細に述べると、送信者及び受信者の識別子を使用して参加者の間でメッセージが交換される、（「電子メール」、「インスタントメッセージ」等の）電子通信の形式に対するアクセス制御を制御するためのシステム及び方法に関する。

電子メールの最大の長所は、電子メールメッセージの内容及び伝達を定義する標準的なプロトコルの全世界的な使用である。しかしながら、これらの標準プロトコルは送信者の身元情報を確証しないので、電子メール上のアクセス制御を困難な課題にしている。最近、電子メール上のアクセス制御の不十分さは商業的または他の望まれないメッセージ（スパム）の量を劇的に増大させている。

ここ十年間の間に、電子メールの受信ボックスへのアクセスを制御するためのソフトウェアシステムを作製するための試みが何百となされている。

本願が出願された時点において、既存の対スパム技術は、スパムが媒体を使用不可能にするだろうと予測される程度に、電子メールのスパム問題を解決することに失敗していると考えられている。

最も一般的な手法は「スパムフィルタリング」と呼ばれている手法である。スパムフィルターはメッセージの内容、送信者の身元情報、または他の特徴の評価に基づいて、メッセージが望まれているものかどうかを決定することを試みる。

これらのフィルターは１つまたは複数の共通した欠点を有する。フィルターは度々、スパムメッセージの識別に失敗し、それらの伝達を許可したり、あるいは、正当なメッセージをスパムとして識別（「偽陽性」）したりする。多くのスパムを誤って識別することだけでも重大な問題であるが、正当なメッセージを阻止してしまうことは多くのユーザーにとって、特に、阻止されたメッセージが重要である可能性がある仕事上の使用において許容しがたいことである。

フィルターがスパムを識別するために依存している特性（例えば、送信者の身元情報、題目、メッセージの内容）は送信者の制御下に置かれているので、フィルターは容易に迂回されてしまう。

ルールに基づくフィルターはユーザー及び管理者による継続的なルールのメンテナンスを必要とする。フィルターは、全てのメッセージを全てのルールに対して処理することを必要するので計算的な面から見て不経済であり、メッセージの伝達の待ち時間の増加につながる。

電子通信上のアクセスを制限するための第２の手法は認可された情報源以外の全てのアクセスを拒絶することであり、「ホワイトリスティング（white listing）」と呼ばれる。これはシステムが招待した（または、許可した）メッセージだけが到達することを許可する。

メッセージがホワイトリストで保護された電子メールアドレスに送信された場合、送信者の身元情報がホワイトリストに掲載されている場合のみメッセージが伝達される。ホワイトリスト上に存在しない送信者からのメッセージは拒絶されるか、疑わしいスパムとして検疫されるか、または、通常、攻撃される。各々の拒絶動作は正当な通信に対して固有の悪化状態及び混乱状態をもたらす。

多くのスパムの送信者は受信メッセージを受信したがらないので、メッセージベースの攻撃は多くの場合、正当なメッセージの送信者のみに到達するので、ホワイトリスティングは上手く作用しない。

基礎をなしている電子メールのプロトコルに対する変更は救済とならない。（ＲＦＣ電子メール標準を規定及びサポートする機関である）ＩＥＴＦは１９９９年にＥＳＭＴＰと呼ばれる標準電子メール通信に対する認証用の拡張を規定している。しかしながら、ＥＳＭＴＰが４年以上存在するにもかかわらず、送信者によるＥＳＭＴＰの使用の要求は世界的な非認証標準（ＳＭＴＰ）で送られる大部分のメッセージを拒絶することとなるので、ほとんどの電子メールのホストまたは管理者はＥＳＭＴＰの要求をしていない。すなわち、全ての人がＥＳＭＴＰ標準に移行するまでだれもＥＳＭＴＰに移行しないので、結果的に、ＳＭＴＰの連続的かつ永続的な依存が続いている。

電子メールに（ペイパー式の（すなわち、メールの数に依存して料金を払う）電子メール及び保税式の電子メール等の）金銭上の制御システムを与えようとする、または、（メッセージのヘッダーの商標化された財産等の）法的な知的財産から引き出そうとする商業上の画策は多くのユーザーには許容できない程度の煩雑な設定及びサポートを必要とする。

本発明に達するための重要な考え方は、単一の集合として混合されたときに所望されるメッセージを所望されないメッセージから分離することは不可能でないにしても非常に困難であるということを認めることである。このような分離を試みる多様な試みは正当なメッセージを阻止せずにスパムに対する完全な保護を与えることができないでいる。

この問題の解決は、同一の集合に所望されるメッセージと所望されないメッセージが混合されることを防止する、ユーザーまたは企業によって一方的に採用することができるシステム及び方法に存在する。

本発明の１つの側面に従うと、電子通信ネットワークに接続したユーザーへのアクセスを選択的に許可または拒絶するためのシステムは電子通信ネットワークを介して送信者から入ってくるメッセージを受信する受信機を含む。入力メッセージは送信者に関連付けられた識別子及び受信者に関連付けられた識別子を含む。システムはまた、受信者に関連付けられた識別子がユーザーによって事前に生成されたものであるか、そして受信者に関連付けられた識別子が複数のプロキシ識別子の中に存在しないかを決定するプロセッサーを含む。プロセッサーはさらに、入力メッセージに関連付けられた少なくとも３つのセキュリティー状態の１つを決定する。第１セキュリティー状態は入力メッセージのユーザーへの伝達の許可を示すものである。第２セキュリティー状態は入力メッセージのユーザーへの伝達の拒絶を示すものである。第３のセキュリティー状態は入力メッセージのユーザーへの伝達の条件付の許可を示すものである。これら３つのセキュリティー状態の各々は入力メッセージに含まれる送信者識別子及び受信者識別子に関連付けられる。

１つの実施例において、プロセッサーは複数のプロキシ識別子に受信者に関連付けられた識別子を加えるように構成されてもよい。受信者識別子がユーザーによって生成されたかの決定は、受信者識別子の一部が複数のプロキシ識別子に含まれているかを決定するために受信者識別子の一部を分離することを含んでもよい。第１セキュリティー状態が入力メッセージに関連付けられた場合、プロセッサーは入力メッセージから受信者識別子を除去してもよい。

本発明のもう１つの側面に従うと、電子通信ネットワークに接続したユーザーへのアクセスを選択的に許可または拒絶するためのシステムは電子通信ネットワークを介して送信者から入ってくるメッセージを受信する受信機を含む。入力メッセージは送信者に関連付けられた識別子及び受信者に関連付けられた識別子を含む。プロセッサーはさらに、入力メッセージに関連付けられた少なくとも３つのセキュリティー状態の１つを決定するように構成されている。第１セキュリティー状態は入力メッセージのユーザーへの伝達の許可を示すものである。第２セキュリティー状態は入力メッセージのユーザーへの伝達の拒絶を示すものである。第３のセキュリティー状態は入力メッセージのユーザーへの伝達の条件付の許可を示すものである。これら少なくとも３つのセキュリティー状態の各々は入力メッセージに含まれる送信者識別子及び受信者識別子に関連付けられる。伝達が許可された場合、プロセッサーはさらに、入力メッセージにフッターを加えるように構成されている。フッターはユーザーのためのインターフェースとして作用するように構成されている。

１つの実施例において、フッターは入力メッセージに含まれる情報を含んでもよい。フッターは入力メッセージに関連付けられたセキュリティー状態を表す情報を含んでもよい。プロセッサーはフッターによって表される情報を更新するためにフッターを調節するように構成されてもよい。プロセッサーはまた、ユーザーが調節を開始したときに、フッターによって表される情報を更新するためにフッターを調節するように構成されてもよい。プロセッサーは決定されたセキュリティー状態に基づいて入力メッセージの伝達を遅延させてもよい。

本発明のもう１つの側面に従うと、電子通信ネットワークに接続したユーザーへのアクセスを選択的に許可または拒絶するためのシステムは電子通信ネットワークを介して送信者から入ってくるメッセージを受信する受信機を含む。入力メッセージは送信者に関連付けられた識別子及び受信者に関連付けられた識別子を含む。プロセッサーはさらに、入力メッセージに関連付けられた少なくとも３つのセキュリティー状態の１つを決定するように構成されている。第１セキュリティー状態は入力メッセージのユーザーへの伝達の許可を示すものである。第２セキュリティー状態は入力メッセージのユーザーへの伝達の拒絶を示すものである。第３のセキュリティー状態は入力メッセージのユーザーへの伝達の条件付の許可を示すものである。これら少なくとも３つのセキュリティー状態の各々は入力メッセージに含まれる送信者識別子及び受信者識別子に関連付けられる。プロセッサーはまた、入力メッセージがセキュリティー状態に対して免除されているかを決定し、セキュリティー状態に基づいて入力メッセージを伝達するように構成されている。

１つの実施例において、セキュリティーの免除は送信者に関連付けられた識別子に基づいたものであってもよい。セキュリティーの免除は受信者識別子に関連付けられたドメインに基づいたものであってもよい。セキュリティーの免除は同様なドメインを含む受信者識別子及び送信者識別子に基づいたものであってもよい。セキュリティーの免除は、入力メッセージが免除または非免除受信者に送信されたメッセージへの返信メッセージであることに基づいたものであってもよい。セキュリティー免除は特定の時間間隔に対して有効なものであってもよい。プロセッサーはさらに、入力メッセージの伝達を表すデータを格納するように構成されてもよい。

本発明のもう１つの側面に従うと、電子通信ネットワークに接続したユーザーへのアクセスを選択的に許可または拒絶するためのシステムは電子通信ネットワークを介して送信者から入ってくるメッセージを受信するように構成された受信機を含む。入力メッセージは送信者に関連付けられた識別子及び受信者に関連付けられた識別子を含む。プロセッサーはさらに、入力メッセージに関連付けられた少なくとも３つのセキュリティー状態の１つを決定するように構成されている。第１セキュリティー状態は入力メッセージのユーザーへの伝達の許可を示すものである。第２セキュリティー状態は入力メッセージのユーザーへの伝達の拒絶を示すものである。第３のセキュリティー状態は入力メッセージのユーザーへの伝達の条件付の許可を示すものである。これら少なくとも３つのセキュリティー状態の各々は入力メッセージに含まれる送信者識別子及び受信者識別子に関連付けられる。セキュリティー状態の決定は、送信者に関連付けられた識別子及び受信者に関連付けられた識別子を含む以前のメッセージがいつ受信されたかの決定を含む。

１つの実施例において、プロセッサーはまた、入力メッセージと以前のメッセージの受信の間の期間が予め定義された時間より短い場合に、入力メッセージを伝達するように構成されてもよい。

本発明のもう１つの側面に従うと、電子通信ネットワークに接続したユーザーへのアクセスを選択的に許可または拒絶するためのシステムは電子通信ネットワークを介して送信者から入ってくるメッセージを受信する受信機を含む。入力メッセージは送信者に関連付けられた識別子及び受信者に関連付けられた識別子を含む。プロセッサーはさらに、入力メッセージに関連付けられた少なくとも３つのセキュリティー状態の１つを決定するように構成されている。第１セキュリティー状態は入力メッセージのユーザーへの伝達の許可を示すものである。第２セキュリティー状態は入力メッセージのユーザーへの伝達の拒絶を示すものである。第３のセキュリティー状態は入力メッセージのユーザーへの伝達の条件付の許可を示すものである。これら少なくとも３つのセキュリティー状態の各々は入力メッセージに含まれる送信者識別子及び受信者識別子に関連付けられる。プロセッサーはまた、入力メッセージに関連付けられたセキュリティー状態が段階的に増大したかを決定する。

１つの実施例において、セキュリティー状態が段階的に増大させられ、入力メッセージが第１セキュリティー状態に関連付けられる場合、プロセッサーは第１セキュリティー状態の代わりに第２セキュリティー状態を入力メッセージに関連付けてもよい。セキュリティー状態が段階的に増大させられ、入力メッセージが第１セキュリティー状態に関連付けられる場合、プロセッサーは第１セキュリティー状態の代わりに第２セキュリティー状態を入力メッセージに関連付けてもよい。セキュリティー状態の段階的な増大は予め定義された期間の間に行われてもよい。セキュリティー状態が段階的に増大されたかの決定は予め定義された条件の検出を含んでもよい。セキュリティー状態が段階的に増大されたかの決定はシステム管理者からの命令の受信を含んでもよい。

本発明の付加的な長所及び特徴は以下の詳細な説明から当業者にとって明白になるだろう。以下の詳細な説明において、本発明の実施例は本発明を実施するために最良な方法の実例として図示及び説明されている。例えば、システムの説明とともに、原理体系及びコンピューター製品の実施が説明されている。後で説明するように、本発明は他の異なった実施例を含むことが可能であり、それらの詳細は本発明の意図から外れることなく多様な側面において変更が可能である。したがって、以下の説明及び図面は例としてのものであり、本発明を制限するためのものではない。

本発明（「本製品」）は（「電子メール」、「インスタントメッセージ」等の）電子通信の形式に対するアクセス制御を制御するためのシステム及び方法を提供し、そこにおいて、メッセージは保護される元の識別子（「オリジネーター（originator）」）の代わりとして利用される複数のプロキシ識別子（「プロキシ」）の確立及び管理を介して、送信者及び受信者の識別子を使用して参加者の間で誘導（または、宛先制御）される。各プロキシはアクセス権を規定する別個のセキュリティー状態を有し、アクセス権はオリジネーターとの通信（「接触」）のためにそれに依存するメッセージコミュニティの一部に対応する。

通常、少なくとも３つ、多くの実施例においては４つ以上のセキュリティー状態が存在し、セキュリティー状態はプロキシ識別子（例えば、電子メールアドレス）のメッセージの伝達中のディスティネーション識別子へのアクセスの制限、プロキシ識別子の生成、及びプロキシ識別子のメッセージ内のソース識別子への参照の代用としての使用の様式を制御する。

システムは互いに集合的に相互作用し、別個のセキュリティー状態及び対応する挙動の結果となる複数の（すなわち、４つ以上の）セキュリティー設定をサポートしてもよい。この実施例におけるセキュリティー状態の多様性は、例えば、アクセスが許可されるか許可されないかである２値的な状態より正確な挙動をシステムに与える。この実施例及び他の実施例において、ユーザーの特定のコミュニティには、メッセージが同一のディスティネーション識別子に送信された場合であっても他のユーザーには許可されないアクセスが許可される。アクセス制御に対し、メッセージは多様な変化とともに拒絶、攻撃、検疫、または受容されることができる。

プロキシ電子メールアドレスはメッセージがシステムを介して処理されるときに本製品によって自動的に生成及び割り当てられる、企業または個人ユーザーによって明確に生成及び割り当てられる、または、ソース電子メールアドレス及び初期のセキュリティー状態を予め決定する名前付け協定（naming convention）に従った暗黙的に生成される等を含む、多様な様式で規定されてもよい。

プロキシ電子メールアドレスへの参照はセキュリティー状態に依存して対応するソースアドレスに変換されてもよいし、変換されなくてもよい。例えば、本製品によって自動的に生成されたプロキシ識別子への参照はメッセージを通してソース識別子によって交換されてもよい。明確に生成された、または名前付け協定を介して規定された（従って、ユーザーに既知である）プロキシアドレスはソース識別子によって交換されなくてもよい。

本製品は３つのシステム：リフレクション（Reflexion）メールサーバー（ＲＭＳ）；管理用ウェブサイト（ＡＷＳ）；データベースサーバーを備える。

これら３つのシステムは単一のサーバーに存在してもよいし、複数のサーバー上に多様な構成で存在してもよい。

通常、オリジネーター（originator）からの及びオリジネーターへのほとんどの外部のメッセージは本製品を通過する。オリジネーター（または、保護されている元の識別子）から外部の受信者（「接触」）へのメッセージは以下の説明において「アウトバウンドメッセージ」と呼ばれる。また、外部の送信者（「接触」）からオリジネーターへのメッセージは「インバウンドメッセージ」と呼ばれる。

リフレクションメールサーバー（「ＲＭＳ」）は、セキュリティーモジュールが処理するまでインバウンドトラフィックメッセージが存在する１つのキュー（「処理前キュー」）、及び処理されたメッセージ及び戻りメッセージが最終的な伝達まで配置される第２のキュー（「伝達キュー」）の２つの格納キューを利用する。

ＳＭＴＰ伝達の伝達封筒（または、トランスポートエンベロープ）に明記された送信者及び受信者の電子メールアドレスはセキュリティーモジュールにとって重要部分である。セキュリティーモジュールは後で説明される、相互作用するセキュリティー状態に基づいてメッセージが目的の受信者に伝達されるべきかを決定する。正当な理由がある場合、多様なエラーメッセージ及び警告を送信者に送り返すことができる。

送信されたメッセージは通常、ユーザーの本製品への主要なインターフェースとして作用する多形ブラウザーインターフェース（polymorphic browser interface）である、リフレクションウイザード（Reflexion Wizard）へのリンクとともに、ＲＭＳによってメッセージの最下部に取り付けられるフッターを有する。

リフレクションメールサーバーはまた、本発明の中心的なセキュリティー機構であるプロキシ識別子の配列の生成及び使用を管理する。

プロキシアドレス
各接触には１つまたは複数のプロキシアドレスが割り当てられ、それらの各々はＲＦＣに準拠した電子メールアドレス（すなわち、最も一般的な電子メールプロトコルの名前付け協定に準拠したアドレス（電子メールプロトコルの詳細はhttp://www.ietf.org/rfx.htmlを参照））である。本出願において「プロキシ識別子」は「プロキシアドレス」と同義である。

各接触にはＲＭＳを通過するメッセージの送信者または受信者として、第１参照にそれ自体のプロキシアドレスが割り当てられる。本製品は各セキュリティーコードにプロパティーとして格納されている企業及びユーザーの選択、及びデフォルトに基づいてインフラストラクチャーへのアクセスを制御する。

以下はオリジネーターから外部接触へのメッセージである。
１．アウトバウンドメッセージはホスト企業の既存の電子メールインフラストラクチャーを介して処理され、本発明を実施している本製品に到達する。
２．本製品は接触による使用のために登録されている、固有のプロキシアドレスを自動的に割り当て、記録する。プロキシアドレスが接触に予め割り当てられている場合、それが再利用される。
３．アウトバウンドメッセージのヘッダー及び本文内のオリジネーターのアドレスへの全ての参照は対応するプロキシアドレスに変更される。例えば、オリジネーターのアドレスからのメッセージ「From:ssmith@company.com」が外部の接触に送信されるとする。メッセージが本製品を通過するとき、オリジネーターのアドレスssmith@company.comへの全ての参照は、この例において「From:ssmith.123@company.com」である受信者に対応するプロキシアドレスに変更される。メッセージが接触の受信箱に到達したとき、メッセージはアドレスssmith@company.comではなく、アドレスssmith.123@company.com（「123」に注意）から発信されたような様相を示す。
この例において、プロキシアドレスはオリジネーターの身元情報に個人化されたままである。すなわち、ローカルな部分「ssmith」を有し、ドメインは「company.com」のままである。他の実施例においては、プロキシアドレスはオリジネーターアドレスから判読可能な由来を含まなくでもよい。例えば、as123@company.com等のアドレスはプロキシアドレスtossmith@company.com等として割り当てることができる。もう１つの例において、as123@321.com等のアドレスはssmith@company.com等として割り当てることができる。通常、各プロキシアドレスは、各プロキシアドレスが他のプロキシアドレスから区別されるように、他のプロキシアドレスに対して固有である。
４．オリジネーターのアドレスの参照がプロキシアドレスに代えられた後、メッセージは他の影響を受けていない電子メールメッセージと同様に伝達される。

以下はプロキシアドレスを介して外部の接触からオリジネーターに送り返されたメッセージである。
１．アウトバウンドメッセージは外部の接触によってプロキシアドレスに送られ、それは最終的にＲＭＳに到達する。
２．ＲＭＳのセキュリティーモジュールは関連するアドレスのセキュリティー状態に基づいて、（制限ではないが）以下のものを含むメッセージに対する伝達の処置を決定する。
ａ．メッセージ伝達の拒絶、メッセージは送信者に何の依頼もしない。処理の終了。
ｂ．メッセージ伝達の拒絶、メッセージが送信者に新規のプロキシを提供。処理の終了。
ｃ．メッセージ伝達の認可、メッセージは「疑わしい」として示される。３へ進む。
ｄ．メッセージ伝達を何の問題もなく認可。３へ進む。
３．伝達が認可されたメッセージに対して、インバウンドメッセージのヘッダー及び本文のプロキシアドレスへの全ての参照が対応するオリジネーターのアドレスに変更される。例を続けるために、プロキシアドレスへのメッセージは「To:ssmith.123@company.com」であるとする。メッセージが接触の受信箱に到達したとき、メッセージは外部の接触からオリジネーターのアドレスssmith@company.comに送信されたような様相を示す。

この様式において、インバウンドメッセージのプロキシアドレスは最終的な伝達で露見しておらず、アクセス制御プロトコルの機構をユーザーに対して透明にする。

ユーザーは他のものに影響を与えずにセキュリティーコードの使用を不能または制限することができる。

セキュリティー設定は電子メールアドレス自体に存在し、それゆえ、送信者が、自分が誰であると名乗るかに関わらず、または、メッセージに何を載せたかに関わらず、アドレス自体は一度不能にされると作用しなくなるので、アクセス制御を回避することは困難である。

管理用ウェブサイト
管理用ウェブサイト（「ＡＷＳ」）はプロキシの配列、セキュリティー設定、及びトラフィックの履歴に完全な制御及び完全に露呈しているインターフェースを与える。

ＡＷＳは３層構造で構築されている。
１．Ｊａｖａ（登録商標）サーバーページ及びサーブレット（Servlet）
２．データベースサーバー
３．アプリケーションサーバー

サーバーページはアプリケーションインターフェース、更新、及びデータベースサーバーからの要求データを定義し、アプリケーションサーバーによってユーザーのブラウザーで利用される結果のページ及びフォームを構築する。

サーバーページ及びサーブレットによって定義されたインターフェース内には、複数のアプリケーション特定のオブジェクトが存在する。

ユーザー
ＡＷＳ全体へのアクセスはユーザーの資格証明書（credential）の正当な認証を必要とする。好まれる実施例において、ＡＷＳはユーザーＩＤ及び対応するパスワードを使用した、正当なログインを必要とする。

認証及び資格証明書要求はＡＷＳ内の全てのページで施行される。

ＡＷＳでは、各々異なったアクセス権限を有する３つのレベルのユーザーがサポートされる。
１．スーパー管理者−完全なアクセス権を有し、サーバーの初期設定及び制御法にアクセスすることができるユーザーの唯一の種類。全体的なトラフィックの履歴の詳細及び要約へのアクセス。
２．ドメイングループ管理者（ＤＧＡ）−ドメイングループ自体、ドメイングループのユーザー、及びＤＧＡが割り当てられたドメイングループのトラフィックの履歴への完全なアクセス。
３．ユーザー−ユーザー自体のオプション、プロキシアドレス、及び個人的な履歴へのアクセス。

サーバー
サーバーオブジェクトは本製品の全体の設置に特定のプロパティー及び方法を含む。サーバーオブジェクトは「スーパー管理者」権限を有するユーザーに対してのみ利用可能である。

プロパティーの大部分は本製品の一般的なメールサーバーとしての挙動に関するものである。

これらはキューの寿命、管理ウェブサイトのＩＰアドレス、データベースのバックアップスケジュール等に対する設定を含む。

ドメイングループ
各リフレクションの架設（または、設置）はいかなる数の組織（または、企業）もサポートすることができる。組織は本製品のドメイングループとして管理される。ドメイングループは管理下にいかなる数のドメインを持つことができ、これらのドメインのアドレスを有するいかなる数のユーザーを持つことができ、また、いかなる数のドメイングループ管理者（ＤＧＡ）がドメイングループを管理してもよい。

接触
本発明のリフレクションシステムはユーザーからメッセージを受信した、またはユーザーにメッセージを送信した全ての外部の接触を目録に載せる。接触はセキュリティー設定を有するプロキシアドレス及び、それに登録されている接触のセキュリティープロフィールの両方である。

免除
リフレクション（Reflexion）はセキュリティー施行を受けるべきでない送信者のアドレスを識別するために利用されるデータベースの入力をサポートする。リフレクションの個人または企業ユーザーによって設定することができる４つの明白な免除が存在する。以下に電子メールに対する免除を説明するが、本発明の技術は全ての形式の電子通信に適用することができる。
１．単一のリフレクションユーザーに対する単一の送信者識別子（電子メールアドレス）の免除。
２．単一のリフレクションユーザーに対するホスト及びドメイン全体（「company.com」）の免除。
３．企業の全てのユーザーに対する単一の送信者識別子（電子メールアドレス）の免除。
４．企業の全てのユーザーに対するホスト及びドメイン全体（「company.com」）の免除。

遠隔のパーティー（すなわち、保護された企業に対してローカルでないアドレスを有する送信者）によって送信または受信された各メッセージに対し、送信者のアドレスの上記の４つの免除分類のいずれかへの一致は「免除」として処理されるパーティー（または、グループ）の結果となる。

免除送信者はリフレクションセキュリティーを受けず、免除を受けることにより、免除送信者からの全てのメッセージが伝達される。免除受信者へのメッセージはリフレクションアドレスの使用を禁止する。リフレクションの明白な免除の主な使用は、特に、リフレクションユーザーが既に存在するスパム問題とともにアプリケーションの使用を開始したときに、既に元のアドレスに依存しているリモートパーティーがリフレクションユーザーに到達するために使用される彼らの挙動または電子メールアドレスを変えなけばならないことから隔離することである。

リフレクションユーザーが既存のスパム問題を停止する処理は以下のように実施される。
１．通常、セキュリティー状態を「パブリック」から「保護」に上げることにより、元の電子メールアドレスのセキュリティーを増大させる。
２．既知の電子メールアドレス及び正当な接触のドメインが免除され、これらの接触が変わらずに元のアドレスを使用しつづけることを可能にする。
３．全てのメッセージがユーザーに到達することを保証するためにセキュリティー施行が「フラグモード」に設定される。
４．ユーザーは免除リストに無い正当な接触（すなわち、それらのメッセージは「フラグ付」で到達する）を免除リストに加える。
５．リフレクションユーザーが、全ての正当な接触が免除リストに存在すると信じており、フラグ付メッセージが望まれない場合、彼らはセキュリティー施行を「施行モード」に変更することを選択してもよく、その後は、アドレス並びにホスト及びドメインを免除リストに加える必要がほとんど無いだろう。

システムはまた、ユーザーが接触を除外から外すことを可能にする。１つのオプションとして、各ユーザーまたは企業はリフレクションに対し、除外接触に彼らが該ユーザーに対する彼らの電子メールアドレスを除外接触からのメッセージの到達によって引き起こされる、固有のプロキシアドレスに変えることを示す丁寧な要求を送信するように命令することができる。メッセージが推奨されたプロキシアドレスに到達した場合、その接触に対する除外状態は解除される。

リフレクションによってサポートされる暗黙的な接触が存在する。リフレクションユーザーによって、少なくとも１つの接触が除外であり、１つの接触が除外でない２つまたはそれ以上の外部の接触に送信された全てのメッセージにおいて、非除外接触はアプリケーションによって彼らのアドレスに対して記録された暗黙的セキュリティー単体除外を有する。この暗黙的除外は、非除外ユーザーが入力メッセージに対するセキュリティーを迂回することを可能にする。（しかしながら、それは彼らへの出力メッセージに対する固有のプロキシアドレスの使用を禁止しないだろう。）図６を参照すると、アプリケーションにおいて暗黙的セキュリティー単体除外がなぜそしてどのようにサポートされるかに対する例が示されている。

履歴
本製品は組織（または、企業）に送信された、または組織から送信された各メッセージに対する記述的な情報を記録する。個々のメッセージの履歴項目は履歴要約レポートの全体に統合され、設定可能な時間の長さの間オンライン上に残された後、削減される。

図１を参照すると、本発明のリフレクションメールサーバー（「ＲＭＳ」）はセキュリティーモジュールが処理するまでインバウンドトラフィックメッセージが存在する１つのキュー（「処理前キュー」）１０２、及び処理されたメッセージ及び戻りメッセージが最終的な伝達まで配置される第２のキュー（「伝達キュー」）１０６の２つの電子メールキューを利用する。

（組織（または、企業）１００のメールサーバーまたは外部の接触１１４のメールサーバーからの）インバウンドメッセージはインバウンドキュー１０２で受信され、格納される。外部ソース１１４からのインバウンドメッセージは本製品のセキュリティーを受ける。

セキュリティーの施行はＳＭＴＰプロトコル１１２を使用して、インバウンドメッセージの受信中に行われる。伝達封筒（または、トランスポートエンベロープ）の送信者及び受信者のアドレスが受信されるとすぐに、ＳＭＴＰプロトコルハンドラーはリフレクションセキュリティーモジュール１１０に、このメッセージ１１６に対するセキュリティー処置を取得するように要求する。入力されるメッセージの残りの部分の引き続きの処理はリフレクションセキュリティーモジュール１０８から戻されるセキュリティー応答１１８に基づいて行われる。

メッセージを伝達できる場合、それは処理前キュー１０２に置かれる。メッセージが伝達できない場合、延期または拒絶１２０が送信サーバー１１４に送り返される。

延期を受けるメッセージは（通常、３０〜６０分の）特定の時間だけ延期される。これは送信サーバー１１４が「正しく挙動している」ことのテストである。スパム（すなわち、商業上または他の理由により一方的に送られて来る電子メール）を送信する多くのサーバーは延期されたメッセージを処理しないので、延期されたメッセージはそのようなソース（または、発信源）から再送信されないだろう。

通常のキュースケジュールを使用することにより、各インバウンドメッセージは本製品のメッセージ変換モジュール１０４によって処理され、それは、１．メッセージをそのままの状態で、または、２．以下に説明されるように、メッセージを何らかのレベルの付加、変更、または他の変換とともに、伝達キュー１０６に置く。

伝達キュー１０６はインバウンドメッセージを組織（または、企業）の内部電子メールインフラストラクチャー１００、または外部のディスティネーション１１４に伝達するだろう。伝達キューは（ドメイン名サービス（ＤＮＳ）等の）伝達場所を決定するための標準的なディスティネーションルックアップ機構（destination lookup mechanism）を使用するか、または、既知の内部ドメインへのメールを内部電子メールインフラストラクチャー１００に送信し、他のメールをインターネット１１４に送信するルーティング表（routing table）を使用することができる。

図２を参照すると、入力メッセージの準備が示されている。本製品がメールを処理するとき、それはデータベースを新規のアドレス、容量統計値（volume statistic）、及び履歴追跡とともに更新する。図２は好まれる実施例における、インバウンドメッセージの受信中になされる、データベースの準備の詳細を示している。

インバウンドメッセージの準備は特定のメッセージにセキュリティー処置（security disposition）が戻される前に実施される。

通常、入力されるメッセージで試験される最初の内容は、受信者のアドレスがリフレクション（Reflexion）によって保護されているドメインに存在するかどうかである２００。

リフレクションに到達したメッセージがリフレクションによって保護されているドメインのアドレスに送信（「インバウンド」）されるか、またはそのようなアドレスから送信（「アウトバウンド」）されなければならないことに注意しなければならない。ローカルメールはローカルに伝達されなければならず、従って、リフレクションは同一のドメインのアドレスからの、または同一のドメインのアドレスへの電子メールを監視しない。

各々のドメインが単一のリフレクションの架設（または、設置）で管理されている１つの組織（または、企業）から他の組織へメールが送信される可能性がある。この場合、メッセージは最初に第１の組織からのアウトバウンドメッセージとして第１の処理がなされ、そして、第２の組織へのインバウンドメッセージとして処理される。

送信者のアドレスがリフレクションのこの設置によって出くわさない場合（または、見つからない場合）２０２、それはデータベースの「本来アドレス（true address）」表に追加される２０４。

次に、本製品は、受信者のアドレスが発行されたプロキシアドレスであるかどうかを調べるためにデータベースを検索する２０６。

エイリアス（または、別名）が存在しない場合、アドレスは「実行中名前付け（Name-on-the-Fly）」（ＮＯＴＦ）として知られている名前付け協定（naming convention）を介して生成された可能性があり２１０、その場合、プロキシアドレスは名前付け協定から引き出される情報に基づいて生成され、保護されたユーザーに対して登録される２１２。ＮＯＴＦが未知のプロキシアドレスに対して許可されていない場合、メッセージは拒絶される２０８。（ＮＯＴＦに対するさらなる情報については図１３を参照。）
この時点で、プロキシアドレスはデータベースに存在する。本製品は履歴システムのためにメッセージの結果の追跡を開始する２２０。

プロキシが代用として利用されているユーザーを見つけるために、好まれる実施例において、最初にユーザーの元のアドレス２１８に、そしてそこからユーザー記録２１６に進む必要がある。他の実施例においては、これは多様な他の手法を使用して達成することもできる。しかしながら、進行するためにはユーザーの身元情報（または、アイデンティティー）を手元に保持しておく必要がある。

プロキシアドレスが特定のユーザーに登録されていない場合２１４、それを現在の送信者に対して登録する２２２。この条件は２つの可能な条件によって発生し得る。第１に、プロキシアドレスはＮＯＴＦを使用して作製され、従って、どのユーザーにも所持されていない。第２に、プロキシアドレスは使用される前に明示的に生成され、最初の使用までどのユーザーにも所持されない。この場合、それはＮＯＴＦのプロキシと同様に、最初のユーザーに登録される２２２。

次に、リフレクションセキュリティーモジュール及びアドレス変換モジュールに情報を与えるために送信者の免除状態（exemption）がチェックされる２２４。免除対象（または、例外対象）となっている送信者はアクセス制御を受けず、免除対象となっている接触から、または免除対象となっている接触への全てのメールは保護されたユーザーの元の内部アドレスの下で操作される。

図３を参照すると、セキュリティー施行が示されている。インバウンドメッセージの準備が完了した後、本発明のリフレクションシステムはそのメッセージに対するセキュリティー処置（security disposition）を決定する。

リフレクションのユーザーには強制モードとフラグモードの２つの動的なセキュリティーモードが利用可能である。

図３は強制モードを利用するユーザーに送信されたメッセージに対する、好まれる実施例のセキュリティーモデルに従った論理を詳細に示している。

定義上、受信者のアドレスが元の内部アドレスから区別不可能である場合であっても、本発明のリフレクションによって保護されるドメインへの全てのインバウンドメールはプロキシ識別子である。元の内部アドレスの各々はセキュリティーが元のアドレス自体に置かれるようにするために、同一のアドレスのプロキシアドレスを有する。

受信者のアドレスのセキュリティー状態は最初に尋問される。

パブリックプロキシへのメッセージ
受信者のプロキシアドレスが「パブリック」のセキュリティー状態を有する場合３００、本製品は送信者の例外状態をチェックする３０２。送信者が免除（または、例外）である場合、セキュリティーは迂回され、メッセージは次のメッセージ変換ステージに送られ、伝達される３３８。

送信者に登録されたプロキシアドレスがこのメッセージに対する受信者のアドレスとして使用されているプロキシアドレスと同一でない場合（このケースは図面に明確に示されていないが、可能性がある）、本製品は伝達を許可する前に送信者のプロキシのセキュリティーセットを試験するだろう。

送信者に割り当てられたプロキシがパブリックであるか３１２、または保護されている場合３２０、メッセージはセキュリティーを介して許可される３３８。送信者に登録されたプロキシが保護されている場合、送信者には今後彼ら自身のプロキシアドレスを使用するようにリマインダーメッセージが送信される３２２。

送信者のプロキシが「非共有」である場合３２８、メッセージは伝達することが許可されない。その代わりに、送信者には、（このメッセージの受信者として使用されるプロキシとは対照的に）送信者に登録されたプロキシアドレスを使用してメッセージを再送信する要求が送り返される。

それゆえ、メッセージがパブリックプロキシアドレスに送信された場合であっても、送信者のプロキシアドレスのセキュリティー状態はメッセージの伝達を変更または禁止することができる。

保護されたプロキシへのメッセージ
受信者のプロキシアドレスが「保護される」のセキュリティー状態を有する場合３０４、送信者がこのプロキシアドレスにメールを送信することを許可されているかを調べるためのチェックがなされる。

現在、送信者が保護されたプロキシを使用することができる３つの方法が存在する。第１に、送信者が免除対象である場合３１４、セキュリティーが迂回され、メッセージは次のメッセージ変換ステージに送られ、伝達される３３８。第２に、送信者がプロキシアドレスに登録されているパーティー（または、グループ）である場合３２４、伝達は認証され、完了する３３８。最後に、送信者がプロキシアドレスに登録されている接触と同一のドメインの送信者であり、ドメインがＡＯＬ、Ｙａｈｏｏ、Ｈｏｔｍａｉｌ等の大規模なＩＳＰでなく、ドメインレベルの共有を許可するセキュリティーのプロパティーがプロキシに対してイネーブル状態である場合３３２、メッセージは伝達のために認証される３３８。

保護されているプロキシを使用することが認証されていない送信者には、送信者による使用が許可されているプロキシアドレスにメッセージを再送信するように要求が送信される３１６。このメッセージは本質的に、「プロキシアドレスｘは送信者のプロキシアドレスｙに変更されました。あなたのメッセージをｙに再送信して下さい」と記載する。

保護されたアドレスは有効なリターンアドレスを有さないスパムに対する保護を与え、かつ、正当な接触に対してメッセージの伝達を可能にする再送信機構を与えるために使用される。

非共有プロキシへのメッセージ
受信者のプロキシアドレスが「非共有」のセキュリティー状態を有する場合３０６、送信者がこのプロキシアドレスにメールを送信することを許可されているかを調べるためのチェックがなされる。

現在、送信者が保護されたプロキシを使用することができる３つの方法が存在する。第１に、送信者が免除対象である場合３１４、セキュリティーが迂回され、メッセージは次のメッセージ変換ステージに送られ、伝達される３３８。第２に、送信者がプロキシアドレスに登録されているパーティーである場合３２４、伝達は認証され、完了する３３８。最後に、送信者がプロキシアドレスに登録されている接触と同一のドメインの送信者であり、ドメインがＡＯＬ、Ｙａｈｏｏ、Ｈｏｔｍａｉｌ等の大規模なＩＳＰでなく、ドメインレベルの共有を許可するセキュリティーのプロパティーがプロキシに対してイネーブル状態である場合３３２、メッセージは伝達のために認証される３３８。

保護されたプロキシを使用することが認証されていない送信者には、メッセージの再送信に対する依頼を与えない、伝達メッセージの拒絶が送信される３１６。保護されたアドレスの認証されていない使用と非共有アドレスの認証されていない使用との間の差は、保護されたプロキシの拒絶が正当なメッセージの再送信のための手段を与えるのに対し、非共有の拒絶がそれを与えないことである。

非共有プロキシの場合、正当に電子メールを送信するための要件は、単に受信者のアドレスを知ることではなく、受信者及び、プロキシに登録されている対応する送信者のアドレスを知ることである。非共有のプロキシはセキュリティーを重視している組織（または、企業）に、「ディレクトリーハーベスト攻撃（directory harvest attack）」として知られる攻撃に対して非常に有効でかつ軽快な保護を与える。ディレクトリーハーベスト攻撃は目的とするドメインに膨大な数の異なったアドレスにメッセージを送信することによって有効な電子メールアドレスを収集するために使用される技術である。この攻撃において、「該当するユーザー無し」という結果にならないアドレスは有効であると仮定される。

非共有プロキシにより、ディレクトリーハーベスト攻撃は、送信者が各試みにて送信者の正確なアドレスをかつぐ（または、だましとる）方法を知らない限り、失敗に終わるだろう。

無効化されたプロキシへのメッセージ
受信者のプロキシアドレスが「無効」のセキュリティー状態を有する場合３０８、送信者が免除対象であるかを調べるためのチェックがなされる。すなわち、ユーザーが強制セキュリティーモードを利用している場合、免除対象となっていることが無効化されたプロキシへメッセージが伝達されるための唯一の方法である。

図４を参照すると、フラグセキュリティーが示されている。図４は特に、フラグモード（Flag Mode）を利用するユーザーに送信されたメッセージに対する、好まれる実施例のセキュリティーモデルに従った論理を詳細に示している。

フラグモードは、全てのインバウンドメッセージがユーザーの受信箱に伝達されることを保証する。

図４の論理は図３とともに記述されたものとほとんど同一であり、唯一の本質的な差異は、フラグモードにおいては、送信者が受信者のプロキシにメッセージを送信することが認証されていないと決定されたときに、強制モードのように拒絶または再送信のためのメッセージを送信するのではなく、送信者がこのメッセージを選択されたプロキシアドレスに送信することを認証されていないことを示すためのプレフィックス（または、接頭語）で題目行（または、件名の行）に目印（または、フラグ）を付けることである４２２／４２６。

題目へのマーク付けがホストの組織内のみで可視可能であり、目印を付けられたメッセージの組織外への返信において、リフレクションシステムが目印を除去することに注意することは重要である。

フラグモードは以下の３つの重要な本製品の要求のために作用する。
１．新規のユーザーに本発明のリフレクションシステムの使用に対してスムーズな移行のための動作モードを与え、外部の接触がリフレクションシステムによって悪化しないことを保証する（「移行」）。既存のスパム問題は新規のユーザーの移行期間中に解決される。
２．正当であるが予期できないメッセージの阻止を許容できないユーザーに対し、全てのメールがユーザーの受信箱に伝達されることを保証する。フラグモードは、大量な名刺が交換され、予期されないメッセージの価値及び頻度が高い、販売、マーケット開発、または重役等の人員に対して理想的である。

電子メールの挙動を変更しないまたはできないユーザーは本製品を永続的にフラグモードで動作させるだろう。これらのユーザー（または、管理者）はプロキシアドレスの使用を一切禁止することができ、スパムに対する軽減を受けながら、ユーザーが通常どおりに、彼らの唯一のアドレスを使用し続けることを可能にする。

既に存在するスパム問題の停止
既に存在するスパム問題を抱えている、本製品を使用し始めた新規のユーザーは以下の方法により、既存のアドレスにスパムが送信されることを止めることができる。
１．セキュリティーの施行の全体をフラグモードに初期設定する。
２．免除方法の多様な実施例のどれかを使用して全ての既知の接触を免除対象にする。接触の免除は元の内部アドレスに既に依存している正当な接触が影響を受けずにそれの使用を続けることを可能にする。
３．元の内部アドレスと同じアドレスを有するプロキシ上のセキュリティーを増強する。これは、接触が免除リストに存在しない限り、そのプロキシに送信されたメールに目印（または、フラグ）を付けることを生じさせる。これは、スパムの阻止に対して非常に効果的であるが、特に仕事上等の、広範囲の適用に対して制限があるという欠点を有する一般的な技術である「ホワイトリスティング（white listing）」の非攻撃的な形式である。

本発明のリフレクションはこのホワイトリストを既に存在するスパム問題に対してのみ利用する。新規のユーザーがスパム問題を抱えていない場合、ホワイトリストは必要でない。

図５を参照すると、アドレス変換が示されている。インバウンドメッセージが伝達に対して正確に通過した後、プロキシアドレスへの大部分の参照は対応する元の内部アドレスに変換される。好まれる実施例において、プロキシアドレス、特に実行中名前付け（Name-on-the-Fly）プロキシアドレスの変換を禁止するいくつかのセキュリティー状態が存在する。（ＮＯＴＦに対するさらなる情報については図１３を参照）

ＮＯＴＦプロキシ（実行中名前付け（Name-on-the-Fly）プロキシ）はユーザーによって定義され、ユーザーの名前空間（name space）に存在する。しばしば、ＮＯＴＦプロキシアドレスはログインシーケンスまたはＮＯＴＦプロキシアドレスによって調節される他の処理で使用される。（既存の電子メールインフラストラクチャー内のメッセージの伝達を確実にするために変換されなければならない、メッセージのヘッダーとは対照的に）電子メールメッセージの本文内のＮＯＴＦの変換を禁止することによって、ＮＯＴＦプロキシの使用を明記する確認メッセージが正確になるだろう。（すなわち、変換は情報を不正確にする。）

アドレス変換を考慮するとき、個々のリフレクションシステムの架設（または、設置）によって保護されるドメインのプロキシアドレスだけが変換の候補であることを理解しなければならない。保護されてないドメインのアドレスは変換されない。

リフレクションはデータベース内に「本来の」アドレスのカタログを保持する。保護されているドメインの外部アドレス及び元の内部アドレスは両方とも、本来アドレスカタログに格納される５００。プロキシアドレスはプロキシアドレス自体（例えば、proxy.123@company.com）をキーとして検索することによって、または、元の内部アドレスの代用の使用に対する外部の接触に割り当てられたプロキシを検索することによって見つけ出される５０２。

送信者及び受信者の本来のアドレスを考えると、対応するプロキシはアウトバウンドメッセージから検索されることができ、元の内部アドレスへの全ての参照に対してメッセージ内で代用される。プロキシアドレスを考えると、対応する元の内部アドレスはインバウンドメッセージから検索されることができ、プロキシアドレスへの全ての参照に対してメッセージ内で代用される。

本製品がインバウンド及びアウトバウンドの両方のメッセージに対して、（存在するかどうかわからないが、必要に応じて生成される）同僚のプロキシアドレスも変換する場合、アドレス変換はより複雑になる。

免除接触へのまたは免除接触からの電子メールは禁止されたアドレス変換の結果となるので、免除状態は付加的なレベルの複雑さを招く。

付加的に、いくつかの外部接触はサードパーティープロキシに依存し、それゆえ、これらの接触へのメッセージは予期されるプロキシの使用の連続性を維持すべきである（すなわち、ユーザーからその接触への全てのメッセージにおいて同一の接触には同一のプロキシが与えられる）。

図５を理解するために、文法に対する理解を深めることは非常に役に立つ。

５０４は「何らかのアドレス「ａ」を受け取り、それに対する正確な変換を戻す変換方法」として読まれる。

５０６は「外部の接触が見ることを予期するプロキシアドレス（それは必ずしも接触に割り当てられたプロキシアドレスと同一ではない）を戻す方法」として読まれる。

図１３を参照すると、実行中名前付け（Name-on-the-Fly）が示されている。詳細に述べると、実行中名前付け（ＮＯＴＦ）は使用可能装置やソフトウェアアプリケーションを使用せずに、新規で固有の電子メールアドレスの生成を可能にする名前付け技術である。ＮＯＴＦを使用することにより、リフレクションユーザーは単に予め決められた名前付け方式に従うことによりプロキシアドレスを生成することができる。

通常、名前付け方式は、アプリケーション内でまだ生成されていないことが判明しているリフレクションによって保護されているドメインのアドレスにメッセージが送信されたときに、未知のアドレスのいくつかの特徴が唯一のリフレクションユーザーに決定されてもよいことを含む。アドレスが唯一のリフレクションユーザーに決定されず、かつユーザーがＮＯＴＦアドレスが生成されることを許可した場合、リフレクションはそのときまでに未知だったプロキシアドレスを生成し、それをアプリケーションの管理下に置き、それをユーザーのプロキシアドレスとして割り当て、セキュリティーの処置に応じてメッセージを伝達または拒絶する。

例えば、アドレスjsmith.hello@company.comに送信されたメッセージ７００はリフレクション７０２による既知のプロキシアドレスの表内に存在しない。メッセージが存在しないユーザー７０８へ送信されたものとして処理される前に、（この例において）リフレクションはローカル部分「jsmith」７０６を分離し、プロキシアドレスjsmith@company.com７１２を所有するユーザーを検索する。それが見つかった場合、ユーザー７１２がＮＯＴＦプロキシアドレスの作成を許可しているかが調べられる７１４。（これは多様な方法によって達成可能であり、以下の例に好まれる方法を説明する。）許可されている場合、新規のプロキシアドレスjsmith.hello@company.com７２０を生成し、メッセージが既存のプロキシ７２２に送信されたものとして処理を続け、そうでない場合、メッセージを存在しないユーザーへ送信されたものとして処理する７１６。

プロキシアドレスへの参照がユーザーの元のアドレスへ変換されるリフレクションのアドレス変換はタイトルで、ＮＯＴＦアドレス参照に対してメッセージのＳＭＴＰヘッダー及び本文に抑制される。リフレクションは以下の２つの理由によりＮＯＴＦアドレスを抑制する。第１に、ＮＯＴＦアドレスはユーザーによって定義される可能性が最も高く、それゆえ、ＮＯＴＦアドレスへ送信されるメッセージ内で既知であり、メッセージ内で予期される。第２に、ＮＯＴＦアドレスの開示はログイン及びパスワード処理に対して使用されてもよいので、これらの処理が電子メール（例えば、「パスワードを忘れた」等のメッセージ）を介してユーザーに報告される場合に、正確なアドレスを保存することが重要である。

図１４及び１５を参照すると、メッセージへのフッターの追加及びメッセージからのフッターの除去が示されている。詳細に述べると、各入力メッセージの底部にはライブ制御（live control）（「フッター」）を含むフッターが添付され、それはリフレクションのセキュリティーモデルとの相互作用及び制御に対する主要なユーザーインターフェースとして作用する。

インバウンドメッセージ１４００の場合、メッセージに対する情報はリフレクションがメッセージ１４０２を処理するときに収集される。この情報は伝送封筒アドレス、日付、タイトル、寸法、添付物、及びセキュリティーパスの決定（許可、不許可、フラグ等）を含む。

これらの情報の全てはフッター１４０４の生成で使用可能であり、必要に応じて使用される。この実施のために多様な提示が利用可能である。１つの実施例において、フッターはユーザーの最も関連する動作の利益のために存在し、それらのために利用されてもよい。例えば、メッセージがフラグ付けされている場合、ユーザーに対して最も関連する動作はメッセージがフラグ付けされることを停止させ、それにより、動作が他の可能性に対して優先権を持つことである。他の実施例においては、例えば、標準的なフッター構造に準じた、またはユーザーに最大限の選択及び利便性を与える多様な範囲のオプションが提示されてもよい。

フッターがどのように構成されるかにかかわらず、フッターに含まれるライブ制御によってサポートされる動作はそれが添付されているメッセージとの脈絡を考慮する。

リフレクションはフッターを構築し、伝達の前にそれをメッセージ１４０６に添付する。フッターは文書のいたるところに添付することができ、また、それはブラウザーや他のアプリケーション等の外部のビューアーに対する文書内のリンクであってもよい。

１つの実施例において、リフレクションはテキスト及びＨＴＭＬベースのフッターを構築し、ＨＴＭＬフッターの使用は企業またはユーザーのオプションであってもよい。リフレクションはインバウンドメッセージをそれらの元の形式から適当なＭＩＭＥ（多目的インターネットメール拡張）（http://www.ietf.org/rfc/rfc2045.txt?number=2045を参照）フォーマットに変換するので、選択されたオプションに応じてテキスト及びＨＴＭＬの両方の形式のフッターを閲覧することができる。

アウトバウンドメッセージ１５００の場合、リフレクションは最初に、全てのフッター１５０２の位置を識別し、それらをメッセージ１５０４から除去する。フッターの除去は必ずしも必要ではないが、好まれる実施例において、メッセージはそのように扱われる。

図１６を参照すると、メッセージの受信に関するセキュリティー施行が示されている。詳細に述べると、セキュリティーはできるだけ早い時間に実施される。電子メール通信の場合、セキュリティー施行は通常、ＳＭＴＰ（簡易メール転送プロトコル）（http://www.ietf.org/rfc/rfc0821.txt?number=821を参照）を使用して、メッセージの受信中に実施される。

メッセージ１６００のＳＭＴＰの開始時に、実際のメッセージ自体に先行して伝送封筒が伝達される。リフレクションは伝送封筒１６０２から送信者及び受信者の電子メールアドレスを収集し、メッセージ自体の受信の前にこのアドレスに対するセキュリティー処置を決定する。（システムのアーキテクチャーの詳細については図１を参照。）３つの可能なセキュリティー処置１６０６、すなわち、メッセージの伝達の許可、メッセージの伝達の防止（図３参照）、または疑わしいメッセージの処理が存在する。

メッセージ１６１４が拒絶された場合、送信者には状況に応じて、メッセージが伝達不可能であることを示す通知、またはメッセージが新規のリフレクションアドレスに再送信されるべきであることを示す通知が送信されてもよいし、または通知が全く送信されなくてもよい。

メッセージ１６１０が許可された場合、リフレクションはメッセージを伝達のために受諾し、ＳＭＴＰ対話を完了する。

メッセージのセキュリティー処置が「フラグ付」である場合、メッセージは所望されないメッセージであることが疑われる。疑われたメッセージは自動的なフラグ付け及び伝達を実施されない。その代わりに、リフレクションは疑われたメールを特定の期間だけ遅らせ、送信者のメールサーバー（すなわち、メール伝送代行者）の挙動を試験する。

新規の疑わしいメッセージが最初に受信されたとき、リフレクションは伝達の試みの回数、及び最初の試み１６２０からの伝達の全体的な時間を追跡する。疑わしいメッセージの伝達が試みられるたびに、リフレクションは試験の閾値を満たしているかまたは超えられたかをチェックする１６２２。閾値が満たされている場合、メッセージは受容、フラグ付け、及び伝達され１６２４、そうでない場合、送信者に後で送信を再度試みるように通知する。

この延期方式は疑わしい（すなわち、「フラグ付」）メッセージの送信者のメールサーバー（メール伝送代行者）が正当に挙動しているかを試験する。多くのスパム送信者は遅延されたメッセージを再度試みることをしないので、これはリフレクションの性能を増大させ、フラグ付けされたメッセージの伝達を削減する。

図１７を参照すると、冷接触アンチウイルス保護に関するセキュリティー施行が示されている。一般に、「冷接触」は潜在的な新規の電子メール式ウイルス（または、他の電子通信媒体式ウイルス）に対する単純かつ効果的な初期の警告システムである。複数のプロキシアドレスを発行するリフレクションの理論は冷接触を可能にする。ホスト企業によって設定された特定の時間１７０４に対して不活性なプロキシアドレスは評価の後に引き起こされる、例えば、「安全」代用物（または、安全化されたメッセージ）１７０６によって置き換えられるための、元のメッセージの可能な検閲等の、１つまたは複数の保護的挙動とともに「冷接触」と見なされる。

冷接触はウイルススキャンによって検出されないウイルスを含むメッセージが正当な接触のアドレスからリフレクションプロキシアドレスに送信されることに対する防御に役立つ。

図１８を参照すると、ウイルス及びボリュームベースの攻撃に対するロックダウン防御が示されている。一般に、「ロックダウン」は企業に対するボリュームベースの攻撃及び騙された送信者のアドレスとともに広がる電子メール式のウイルスに対するもう１つの単純かつ効果的な防御である。ロックダウンはリフレクションまたはシステム管理者によって認識された条件によって自動的に引き起こすことができる選択的な挙動とともに実施されるセキュリティーの企業全体としての一時的な増大である。

インバウンドメッセージ１８００が処理のために到達したとき、リフレクションは通常通りに受信者のプロキシアドレスのセキュリティー状態を検索する。そして、「パブリック」のセキュリティー状態を有するアドレスに対して、ロックダウンが有効であるかを調べる１８０４。ロックダウンが有効である場合、「パブリック」からのプロキシアドレスのセキュリティーをロックダウン構成に設定されたセキュリティー状態、「保護」または、「非共有」に一時的に増大させる１８０６。そして、一時的に増大したセキュリティー状態を使用し、メッセージの伝達を拒絶または許可する１８０８。

ロックダウンのいくつかのオプションは「パブリック」プロキシに対する施行するための一時的なセキュリティー状態、伝達不可能なメッセージの抑制または送信者へ送り返される応答メッセージの攻撃のオプション、及び冷接触及びウイルス添付またはスクリプトを含む可能性があるメッセージに対して図１７とともに説明されたのと同じ方法の検閲のオプションである。

ここまでいくつかの実施を説明してきた。しかしながら、本発明に対して他の多様な変更または改良も可能である。したがって、それらの他の実施も付随する請求の範囲で規定される本発明に含まれる。

電子通信システムのアーキテクチャーを表しているブロック図である。 セキュリティーモジュールの実施の前に、データベースが電子メールのトラフィックによってどのように利用されるか表すフローチャートである。 製品が施行モードで動作したときのセキュリティーモジュールの論理及び挙動を表すフローチャートである。 製品がフラグモードで動作したときのセキュリティーモジュールの論理及び挙動を表すフローチャートである。 メッセージの内容（すなわち、だれがどのプロキシを使用してだれにメッセージを送信したか）、及び多様なセキュリティー設定に依存した多様なアドレス変換を表す公式の表である。 暗黙的セキュリティー単体免除の動作を表すフローチャートである。 ログインページを含むグラフィックユーザーインターフェースである。 接触リストを含むグラフィックユーザーインターフェースである。 接触詳細ページを含むグラフィックユーザーインターフェースである。 リフレクションユーザーオプションページを含むグラフィックユーザーインターフェースである。 管理者によるグローバル免除追加ページを含むグラフィックユーザーインターフェースである。 管理者生成新規ユーザーページを含むグラフィックユーザーインターフェースである。 実行中の名前付けアドレス生成に対する動作を表すフローチャートである。 入力メッセージへのフッターの追加に対する動作を表すフローチャートである。 出力メッセージからのフッターの除去に対する動作を表すフローチャートである。 メッセージ受信中のセキュリティー施行に対する動作を表すフローチャートである。 冷接触アンチウイルス保護に関するセキュリティー施行を示している。 ウイルス及びボリュームベースの攻撃に対するロックダウン防御を示している。

符号の説明

１００ 組織の内部電子メールインフラストラクチャー
１０２ 処理前キュー
１０４ メッセージ変換モジュール
１０６ 伝達キュー
１０８ リフレクションセキュリティーモジュール
１１４ 送信サーバー

Claims (29)

1. 電子通信ネットワークに接続したユーザーへの通信アクセスを選択的に許可または拒絶するための方法であって：
   電子通信ネットワーク上で送信者ユーザーから送信者ユーザーに関連付けられた送信者識別子及び受信者ユーザーに関連付けられた受信者識別子を含むインバウンドメッセージを受信すること；及び、
   前記インバウンドメッセージに関連付けらる少なくとも３つのセキュリティー状態の１つを決定することであって、第１セキュリティー状態がインバウンドメッセージの受信者ユーザーへの伝達の許可を示すものであり、第２セキュリティー状態がインバウンドメッセージの受信者ユーザーへの伝達の拒絶を示すものであり、第３セキュリティー状態がインバウンドメッセージの受信者ユーザーへの伝達の条件付許可を示すものであり、これら少なくとも３つのセキュリティー状態の各々がインバウンドメッセージに含まれる送信者識別子及び受信者識別子に関連付けられ、；及び
   伝達が許可された場合には、インバウンドメッセージにユーザーインターフェースを追加し、ユーザーインターフェースは、受信者ユーザーに関連付けられたセキュリティー状態を制御することを受信者ユーザーにとって可能にするために構築されることを含む方法。
2. 受信者ユーザーに関連付けられた識別子が受信者ユーザーによって事前に生成されたものであるか、そして受信者ユーザーに関連付けられた識別子が複数のプロキシ識別子の中に存在しないかを決定することを更に含む、請求項１に記載の方法。
3. 受信者ユーザーに関連付けられた識別子を前記複数のプロキシ識別子に加えることをさらに含む、請求項２に記載の方法。
4. 受信者識別子が受信者ユーザーによって生成されたかの前記決定が、受信者識別子の一部が複数のプロキシ識別子に含まれているかを決定するために受信者識別子の一部を分離することを含む、請求項２に記載の方法。
5. 前記インバウンドメッセージに第１のセキュリティー状態が関連付けられた場合に、前記インバウンドメッセージから受信者識別子を除去することをさらに含む、請求項２に記載の方法。
6. 前記ユーザーインターフェースが前記インバウンドメッセージに含まれる情報と、前記インバウンドメッセージに関連付けられたセキュリティー状態の情報と、のうちから選択された少なくとも１つの情報を含む、請求項１に記載の方法。
7. 前記ユーザーインターフェースが前記ユーザーインターフェースによって表される情報を更新するために調節可能である、請求項１に記載の方法。
8. 前記ユーザーインターフェースの内容が受信者ユーザーによって調節される、請求項１に記載の方法。
9. 決定されたセキュリティー状態に基づいて前記インバウンドメッセージの伝達が延期される、請求項１に記載の方法。
10. 前記インバウンドメッセージがセキュリティー状態から免除されているかを決定すること；及び、
    免除されている場合、前記インバウンドメッセージをセキュリティー免除に基づいて伝達することを含む、請求項１に記載の方法。
11. 前記セキュリティー免除が、送信者ユーザーに関連付けられた識別子と、受信者識別子に関連付けられたドメインと、同様なドメインを含む受信者識別子及び送信者識別子と、前記インバウンドメッセージが免除及び非免除受信者に送信された第２のメッセージへの返信メッセージであることと、のうちから選択される少なくとも１つに基づいている、請求項１０に記載の方法。
12. 前記セキュリティー状態の決定が送信者ユーザーに関連付けられた識別子及び受信者ユーザーに関連付けられた識別子を含む以前のメッセージがいつ受信されたかの決定を含むことを含む、請求項１に記載の方法。
13. 前記インバウンドメッセージと前記以前のメッセージの受信の間の期間が予め定義された時間より短い場合に、前記インバウンドメッセージを伝達することをさらに含む、請求項１２に記載の方法。
14. 前記インバウンドメッセージに関連するセキュリティー状態が段階的に増大されたかを決定することを更に含む、請求項１に記載の方法。
15. セキュリティー状態が段階的に増大され、インバウンドメッセージが第１セキュリティー状態に関連付けられている場合、インバウンドメッセージに第１セキュリティー状態の代わりに第２セキュリティー状態が関連付けられる、請求項１４に記載の方法。
16. 電子通信ネットワークに接続したユーザーへの通信アクセスを選択的に許可または拒絶するためのシステムであって：
    電子通信ネットワーク上で送信者ユーザーから、送信者ユーザーに関連付けられた送信者識別子及び受信者ユーザーに関連付けられた受信者識別子を含むインバウンドメッセージを受信するように構成された受信機；及び、
    前記インバウンドメッセージに関連付けられる少なくとも３つのセキュリティー状態の１つを決定するように構成されており、第１セキュリティー状態がインバウンドメッセージの受信者ユーザーへの伝達の許可を示すものであり、第２セキュリティー状態がインバウンドメッセージの受信者ユーザーへの伝達の拒絶を示すものであり、第３セキュリティー状態がインバウンドメッセージの受信者ユーザーへの伝達の条件付許可を示すものであり、これら少なくとも３つのセキュリティー状態の各々がインバウンドメッセージに含まれる送信者識別子及び受信者識別子に関連付けられ、伝達が許可された場合には、インバウンドメッセージにユーザーインターフェースを追加し、ユーザーインターフェースは、受信者ユーザーに関連付けられたセキュリティー状態を制御することを受信者ユーザーにとって可能にするために構築されるプロセッサーを備えるシステム。
17. 前記プロセッサーが、受信者ユーザーに関連付けられた識別子が受信者ユーザーによって事前に生成されたものであるか、そして受信者ユーザーに関連付けられた識別子が複数のプロキシ識別子の中に存在しないかを決定するように構成された、請求項１６に記載のシステム。
18. 前記ユーザーインターフェースが、前記インバウンドメッセージに含まれる情報と、前記インバウンドメッセージに関連付けられたセキュリティー状態の情報と、のうちから選択された少なくとも１つの情報を含む、請求項１６に記載のシステム。
19. 前記プロセッサーがさらに、決定されたセキュリティー状態に基づいて前記インバウンドメッセージの伝達を延期するように構成されている請求項１６に記載のシステム。
20. 前記インバウンドメッセージがセキュリティー状態から免除されているかを決定し、前記セキュリティー免除に基づいて前記インバウンドメッセージを伝達するように構成されているプロセッサーを備える、請求項１６に記載のシステム。
21. 前記セキュリティー免除が、送信者ユーザーに関連付けられた識別子と、受信者識別子に関連付けられたドメインと、同様なドメインを含む受信者識別子及び送信者識別子と、前記インバウンドメッセージが免除及び非免除受信者に送信された第２のメッセージへの返信メッセージであることと、のうちから選択される少なくとも１つに基づいている、請求項２０に記載のシステム。
22. 前記セキュリティー状態の決定が送信者ユーザーに関連付けられた識別子及び受信者ユーザーに関連付けられた識別子を含む以前のメッセージがいつ受信されたかの決定を含むプロセッサーを備える、請求項１６に記載のシステム。
23. 前記プロセッサーがさらに、前記インバウンドメッセージと前記以前のメッセージの受信の間の期間が予め定義された時間より短い場合に、前記インバウンドメッセージを伝達するように構成されている、請求項２２に記載のシステム。
24. 前記インバウンドメッセージに関連付けられたセキュリティー状態が段階的に増大したかを決定するように構成されているプロセッサーを備える、請求項１６に記載のシステム。
25. その中に格納された複数のインストラクションを有するコンピューターリード可能媒体上に存在するコンピュータープログラムであって、プロセッサーによって実行されたときに：
    電子通信ネットワーク上で送信者ユーザーから、送信者ユーザーに関連付けられた送信者識別子及び受信者ユーザーに関連付けられた受信者識別子を含むインバウンドメッセージを受信すること；及び、
    前記インバウンドメッセージに関連付けられる少なくとも３つのセキュリティー状態の１つを決定することであって、第１セキュリティー状態がインバウンドメッセージの受信者ユーザーへの伝達の許可を示すものであり、第２セキュリティー状態がインバウンドメッセージの受信者ユーザーへの伝達の拒絶を示すものであり、第３セキュリティー状態がインバウンドメッセージの受信者ユーザーへの伝達の条件付許可を示すものであり、これら少なくとも３つのセキュリティー状態の各々がインバウンドメッセージに含まれる送信者識別子及び受信者識別子に関連付けられ、；及び
    伝達が許可された場合には、インバウンドメッセージにユーザーインターフェースを追加し、ユーザーインターフェースは、受信者ユーザーに関連付けられたセキュリティー状態を制御することを受信者ユーザーにとって可能にするために構築されることを生ずるコンピュータープログラム。
26. 前記プロセッサーによって実行されたときに、受信者ユーザーに関連付けられた識別子が受信者ユーザーによって事前に生成されたものであるか、そして受信者ユーザーに関連付けられた識別子が複数のプロキシ識別子の中に存在しないかを決定することを生ずる請求項２５に記載のコンピュータプログラム。
27. 前記プロセッサーによって実行されたときに、前記インバウンドメッセージがセキュリティー状態から免除されているかを決定すること；及び、
    前記インバウンドメッセージをセキュリティー免除に基づいて伝達することを生ずる請求項２５に記載のコンピュータープログラム。
28. 前記プロセッサーによって実行されたときに、前記セキュリティー状態の決定が送信者ユーザーに関連付けられた識別子及び受信者ユーザーに関連付けられた識別子を含む以前のメッセージがいつ受信されたかの決定を含むことを生ずる請求項２５に記載のコンピュータープログラム。
29. 前記プロセッサーによって実行されたときに、前記インバウンドメッセージに関連するセキュリティー状態が段階的に増大されたかを決定することを生ずる請求項２５に記載のコンピュータープログラム。

Images