JP4917233B2 - 動的ネットワークにおけるセキュリティリンク管理 - Google Patents

Description

【０００１】
(技術分野)
本発明は、一般には、動的ネットワーキング環境およびコンピューティング環境でビデオ/音声およびデータリンクを容易にすることに関し、より詳細には、そのような環境で、暗号化機能およびセキュリティ機能を有するリンクをセットアップし、管理することに関する。
【０００２】
(発明の背景)
ネットワークベースの電子商取引の驚異的な成長により、リモートリンクおよびネットワークのホスティング、実施、および管理を含む新しいアプリケーションが多数登場している。これらのアプリケーションにより、ビジネスの取引中、またはその情報の追跡中に、セキュアリンクを使用してユーザが互いに対話することが可能となる。
【０００３】
コンピューティング資源へのセキュアアクセスを得るためのセキュアリンクまたは接続は一般に、認証、許可、およびアカウンティング(「AAA」)という３つの事柄のうちの１つまたは複数が関係する。したがってセキュア（secure）という用語は、パーティ（party）を認証し、かつ/または通信を暗号化して、意図しない受信者または第３者によって盗聴されることを防止する能力を含む。セキュアネットワークは、セキュアリンクを介する通信によって形成される。しかし、利用可能であり、かつ本発明の範囲内にあることが意図される様々なレベルの認証および暗号化が存在することを理解されたい。コンテキストは、通信がセキュアであるかどうかを判定するときに、使用すべき閾値を指令するが、認証のないプレーンテキスト通信はインセキュア（insecure）通信である。
【０００４】
商業上のコンテキストでは、ユーザを認証し、次いで認証されたユーザに対してリソースへのアクセスを許可すること、ならびにこのようなリソースの使用に対して課金することが重要である。モバイルコンピューティング、具体的には無線リンクによって可能となった「ローミングユーザ」により、AAAタスクは著しく困難となる。この状況では、無線リンクおよび分散オペレーションに対処するのにセキュリティプロトコルが必要である。パーソナルエリアネットワーク(PAN)、ローカルエリアネットワーク(LAN)、またはワイドエリアネットワーク(WAN)へのネットワークアクセスでは、著しい待ち時間に直面する可能性がある。しかし、モバイルコンピューティングユニットとの対話が本質的に一時的な性質を有することにより、ユーザに受け入れられるコンピューティング体験を提供するには、接続の待ち時間を短くすることが必要となる。具体的には、アクセスポイントがイントラネット内に存在するのか、それとも外部に位置する動的に確立されたリンク上に存在するのかに関わらず、ユーザはセキュアリンクに対して接続を迅速に確立できるべきである。経験のないユーザまたは新人の従業員は、少なくとも限定された特権を得て、セキュアネットワークを使用できるべきである。上記で略述したような多くの問題が、先進のネットワークアクセス制御方式および暗号化/認証方式、あるいは柔軟なコンファレンス（conference）トポロジを利用するセキュアリンクを実装する上で残っている。これらの問題は、無線ネットワーキングをサポートするネットワークサーバシステムの領域で新たな難問を呈示する。
【０００５】
(発明の概要)
本明細書で説明する本発明は、これらの問題に対処し、かつ広範なネットワークリンクを介したセキュア接続の確立中に、クライアント装置とサーバ装置との間の動的セキュアリンクを確立するためのコンピュータネットワークを作成することを容易にする。具体的には、クライアント側プロトコルは、情報を交換してセキュア接続を確立することが可能となるように説明される。さらに、本発明を組み込む方法およびシステムは、無線接続されたコンピューティング環境で鍵交換プロトコルを確立する。この鍵交換は、拡張可能認証プロトコル(EAP)およびトランスポートレベルセキュリティ(TLS)の慎重な選択によって実施される。
【０００６】
セキュア鍵の交換、認証、および許可を用いてセキュアデータ/音声/ビデオ接続をセットアップし、管理する方法を本明細書で説明する。この方法は、EAP内にTLSを実装することを含む。本発明の実施形態により、マシンのユーザが満足なユーザ識別情報を提供しない場合、マシンが限定された特権でセキュア接続を確立することが可能となる。この方法により、セキュリティ能力および感受性が異なるマシンおよびネットワークリンクを備えるネットワークの柔軟な管理が可能となる。さらに、ユーザがユーザ識別認証情報を提示することに失敗することにより、マシンログオンプロセスが開始され、それによって典型的なログオンプロセスに関連する要件が緩和され、適切なら基本アクセスレベルが提供される。
【０００７】
本発明の実施形態により、認証に続いて、単にセキュアネットワークへのアクセスが限定されただけのインセキュアリンクを介して、ユーザをセキュアネットワークに接続することが可能となる。インセキュアリンクを介してログオンしたユーザは、その同じユーザがセキュアリンクを介してログオンしたときに受けるものよりも限定された一組の特権が与えられる。
【０００８】
本発明の実施形態では、マシンは、ユーザがログオンすることなくセキュアリンクを確立する。したがって、基幹業務のサーバは、やはりユーザがログオンする必要なしにネットワーク上にとどまることができる。ユーザログオンは、マシンのセキュリティアクセスを中断しない。
【０００９】
本発明の追加の特徴および利点は、添付の図を参照しながら行われる、以下の例示的実施形態の詳細な説明から明らかとなろう。
【００１０】
(発明の詳細な説明)
図面を参照すると、本発明が適切なコンピューティング環境で実装されているものとして示されている。同様の参照数字は同様の要素を指している。必須ではないが、本発明を、コンピューティング環境で実行されるプログラムモジュールなどのコンピュータ実行可能命令の一般的状況で説明する。一般に、プログラムモジュールは、特定のタスクを実行し、または特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。さらに、ハンドヘルドデバイス、マルチプロセッサシステム、マイクロプロセッサベースの、またはプログラマブルな消費者向け電子機器、ネットワークPC、ミニコンピュータ、メインフレームコンピュータなどを含む他のコンピュータシステム構成を用いて本発明を実施できることを当業者は理解されよう。本発明は、通信ネットワークを介してリンクされるリモートプロセッサによってタスクが実行される分散コンピューティング環境でも実施することができる。分散コンピューティング環境では、プログラムモジュールは、ローカルメモリ記憶装置とリモートメモリ記憶装置の両方に配置することができる。
【００１１】
図１に、本発明を実装することができる適切なコンピューティングシステム環境１００の例を示す。このコンピューティングシステム環境１００は、適切なコンピューティング環境の一例であって、本発明の使用法または機能の範囲に関して何らかの制限を提案するものではない。例示的動作環境１００中に示されている構成要素のいずれか１つまたはその組合せに関する、何らかの依存性または要件を有するものとして、コンピューティング環境１００を解釈すべきでもない。
【００１２】
本発明は、他の多数の汎用コンピューティングシステム環境または特殊目的コンピューティングシステム環境で動作可能である。本発明と共に使用するのに適する周知のコンピューティングシステム、環境、および構成の例には、限定はしないが、パーソナルコンピュータ、サーバコンピュータ、ハンドヘルドデバイスまたはラップトップデバイス、マルチプロセッサシステム、マイクロプロッセッサベースのシステム、セットトップボックス、プログラマブル消費者向け電子機器、ネットワークPC、ミニコンピュータ、メインフレームコンピュータ、ならびに上記のシステムまたは装置のいずれかを含む分散コンピューティング環境が含まれる。
【００１３】
本発明は、コンピュータによって実行されるプログラムモジュールなどのコンピュータ実行可能命令の一般的な状況で説明することができる。一般に、プログラムモジュールは、特定のタスクを実行し、または特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含む。本発明は、通信ネットワークを介してリンクされるリモートプロセッサによってタスクが実行される分散コンピューティング環境でも実施することができる。分散コンピューティング環境では、プログラムモジュールは、メモリ記憶装置を含む、ローカルコンピュータ記憶媒体とリモートコンピュータ記憶媒体の両方に位置することができる。
【００１４】
図１を参照すると、本発明を実装するための例示的システムは、コンピュータ１１０の形態の汎用コンピューティング装置を含む。コンピュータ１１０の構成要素は、限定はしないが、プロセッサ１２０と、システムメモリ１３０と、システムメモリを含む様々なシステム構成要素をプロセッサ１２０に結合するシステムバス１２１とを含むことができる。システムバス１２１は、様々なバスアーキテクチャのうちのいずれかを使用する、メモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含むいくつかのタイプのバス構造のうちのいずれでもよい。例えば、限定はしないが、このようなアーキテクチャには、インダストリスタンダードアーキテクチャ(ISA)バス、マイクロチャネルアーキテクチャ(MCA)バス、エンハンスドISA(EISA)バス、ビデオエレクトロニクス規格協会(VESA)ローカルバス、およびメザニンバスとしても周知であるペリフェラルコンポーネントインターコネクト(PCI)バスが含まれる。
【００１５】
コンピュータ１１０は一般に、様々なコンピュータ可読媒体を含む。コンピュータ可読媒体は、コンピュータ１１０でアクセスすることができ、かつ揮発性媒体と不揮発性媒体、リムーバル媒体とノンリムーバル媒体のどちらも含む、入手可能などんな媒体でもよい。例えば、限定はしないが、コンピュータ可読媒体は、コンピュータ記憶媒体および通信媒体を含むことができる。コンピュータ記憶媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータなどの情報を記憶するための何らかの方法または技術で実装される、揮発性媒体と不揮発性媒体、リムーバル媒体とノンリムーバル媒体のどちらも含む。コンピュータ記憶媒体には、限定はしないが、ランダムアクセスメモリ(RAM)、読取り専用メモリ(ROM)、EEPROM、フラッシュメモリ、または他のメモリ技術、CD-ROM、デジタルバーサタイルディスク(DVD)、または他の光記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、または他の磁気記憶装置、あるいは、所望の情報を記憶するのに使用することができ、コンピュータ１１０でアクセスすることができる他のどんな媒体も含まれる。通信媒体は一般に、コンピュータ可読命令、データ構造、プログラムモジュール、または他のデータを、搬送波または他の移送機構などの被変調データ信号で実施し、その通信媒体には任意の情報送達媒体が含まれる。「被変調データ信号」という用語は、その特性集合のうちの１つまたは複数を有する信号、または情報を符号化するように変化する信号を意味する。例えば、限定はしないが、通信媒体には、有線ネットワーク、ならびに音響媒体、RF媒体、赤外線媒体、および光媒体などの無線媒体が含まれる。上記のいずれかの組合せも、コンピュータ可読媒体の範囲内に含まれるべきである。
【００１６】
システムメモリ１３０は、ROM １３１およびRAM １３２などの揮発性メモリおよび不揮発性メモリの形態のコンピュータ記憶媒体を含む。スタートアップ中などにコンピュータ１１０内の要素間で情報を転送する助けになる基本ルーチンを含む基本入出力システム(BIOS)１３３が、一般にROM １３１内に記憶される。RAM １３２は一般に、プロセッサ１２０に即座にアクセス可能であるか、またはプロセッサ１２０が現在操作しているデータおよびプログラムモジュールを含む。例えば、限定はしないが、図１に、オペレーティングシステム１３４、アプリケーションプログラム１３５、他のプログラムモジュール１３６、およびプログラムデータ１３７を示す。しばしば、オペレーティングシステム１３４は、１つまたは複数のアプリケーションプログラミングインタフェース(API)(図示せず)によって、アプリケーションプログラム１３５に対してサービスを提供する。オペレーティングシステム１３４はこれらのサービスを組み込んでいるので、アプリケーションプログラム１３５の開発者は、サービスを使用するためにコードを再開発する必要がない。Microsoftの「WINDOWS(登録商標)」などのオペレーティングシステムによって提供されるAPIの例は、当技術分野で周知である。
【００１７】
コンピュータ１１０はまた、他のリムーバル/ノンリムーバル記憶媒体、揮発性/不揮発性コンピュータ記憶媒体も含むことができる。単なる一例であるが、図１に、ノンリムーバル不揮発性磁気媒体を読み書きするハードディスクインタフェース１４０、リムーバル不揮発性磁気ディスク１５２を読み書きする磁気ディスクドライブ１５１、およびCD-ROMなどのリムーバル不揮発性光ディスク１５６を読み書きする光ディスクドライブ１５５を示す。磁気ディスクドライブ１５１は内蔵でも外付けでもよい。例示的動作環境で使用することのできる他のリムーバル/ノンリムーバルな揮発性/不揮発性コンピュータ記憶媒体には、限定はしないが、磁気テープカセット、フラッシュメモリカード、DVD、デジタルビデオテープ、固体RAM、および固体ROMが含まれる。ハードディスクドライブ１４１は内蔵でも外付けでもよく、一般に、インタフェース１４０などのノンリムーバルメモリインタフェースを介してシステムバス１２１に接続され、磁気ディスクドライブ１５１および光ディスクドライブ１５５は一般に、インタフェース１５０などのリムーバルメモリインタフェースによってシステムバス１２１に接続される。
【００１８】
上記で解説し、図１に図示するドライブとその関連するコンピュータ記憶媒体は、コンピュータ１１０に対してコンピュータ可読命令データ構造、プログラムモジュール、および他のデータの記憶を実現する。例えば図１では、ハードディスクドライブ１４１がオペレーティングシステム１４４、アプリケーションプログラム１４５、他のプログラムモジュール１４６、およびプログラムデータ１４７を記憶しているものとして図示されている。これらの構成要素は、オペレーティングシステム１３４、アプリケーションプログラム１３５、他のプログラムモジュール１３６、およびプログラムデータ１３７と同じにすることも、異なるものにすることもできる。オペレーティングシステム１４４、アプリケーションプログラム１４５、他のプログラムモジュール１４６、およびプログラムデータ１４７は、これらが異なるコピーであることを示すために異なる数字を付けている。ユーザは、一般にキーボード１６２およびマウスと総称されるポインティングデバイス１６１、トラックボール、またはタッチパッドなどの入力装置を介して、コマンドおよび情報をコンピュータ１１０に入力することができる。他の入力装置(図示せず)には、マイクロフォン、ジョイスティック、ゲームパッド、衛星放送受信アンテナ、およびスキャナを含めることができる。これらの入力装置や他の入力装置はしばしば、システムバスに結合されるユーザ入力インタフェース１６０を介してプロセッサ１２０に接続されるが、パラレルポート、ゲームポート、またはユニバーサルシリアルバス(USB)などの他のインタフェースおよびバス構造によって接続することもできる。モニタ１９１または他のタイプのディスプレイ装置も、ビデオインタフェース１９０などのインタフェースを介してシステムバス１２１に接続される。モニタに加えて、コンピュータは、スピーカ１９７およびプリンタ１９６などの他の周辺出力装置も含むことができ、その周辺出力装置は、出力周辺インタフェース１９５を介して接続することができる。
【００１９】
コンピュータ１１０は、リモートコンピュータ１８０などの１つまたは複数のリモートコンピュータへの論理リンクを使用して、ネットワーク環境で動作することができる。リモートコンピュータ１８０は、パーソナルコンピュータ、サーバ、ルータ、ネットワークPC、ピアデバイス、または他の共通ネットワークノードでよく、一般にコンピュータ１１０に関して上記で述べた要素のうちの多くまたはすべてを含むが、図１にはメモリ記憶装置１８１だけを示してある。図１に示す論理接続は、ローカルエリアネットワーク(LAN)１７１およびワイドエリアネットワーク(WAN)１７３を含むが、他のネットワークも含めることができる。このようなネットワーキング環境は、オフィス、企業全体のコンピュータネットワーク、イントラネット、およびインターネットで一般的なものである。
【００２０】
LANネットワーキング環境で使用する際、パーソナルコンピュータ１１０は、ネットワークインタフェースまたはネットワークアダプタ１７０を介してLAN１７１に接続される。WANネットワーキング環境で使用する際、コンピュータ１１０は一般に、インターネットなどのWAN１７３を介して通信を確立するためのモデム１７２または他の手段を含む。モデム１７２は内蔵でも外付けでもよく、ユーザ入力インタフェース１６０、または他の適切な機構を介してシステムバス１２１に接続される。ネットワーク環境では、コンピュータ１００に関して示したプログラムモジュールまたはその一部は、リモートメモリ記憶装置内に格納することができる。例えば、限定はしないが、図１に、リモートアプリケーションプログラム１８５をメモリ装置１８１上に常駐するものとしてを示す。メモリ装置１８１は、リモートコンピュータ１８０に対して内蔵でも外付けでもよい。ここで示すネットワークリンクは例示的なものであって、コンピュータ間の通信リンクを確立する他の手段も使用できることを理解されたい。
【００２１】
以下の説明では、別段の指示がない場合、１つまたは複数のコンピュータによって実行される動作と、オペレーションの象徴的表現とを参照しながら本発明を説明する。したがって、このような動作およびオペレーションは、時にはコンピュータで実行される動作およびオペレーションと呼ばれ、構造化形式のデータを表す電気信号のコンピュータのプロセッサによる操作を含む。この操作は、データを変換し、またはデータをコンピュータのメモリシステム内の位置に維持し、当業者が理解している方式でコンピュータのオペレーションを再構成し、あるいは変更する。データが維持されているデータ構造は、データのフォーマットによって定義される特定の特性を有するメモリの物理位置である。しかし、上述の状況で本発明を説明するものの、当業者は理解するであろうが、以下で説明する様々な動作およびオペレーションをハードウェアでも実装できることを制限することを意味するわけではない。
【００２２】
認証/暗号化方式において、ネットワークアクセスまたはネットワーク接続を確立する上で克服すべき第１の障害は、リンクを使用して１つまたは複数のパーティを認証することである。これは通常、信用される（trusted）情報源によって発行された証明によって実施される。セキュアコンファレンスの状況では、セキュアコンファレンスに参加しようとしているパーティは、その主張した識別を証明しなければならない。ある実施形態では、パーティの識別を証明するのにコンファレンスノードが必要となることがある。証明書は、証明を提示するパーティについての情報を含み、かつセキュリティ指標を含み、それによって、情報を提示するパーティによる変更を含むどんな変更も検出することができる。
【００２３】
基本的手順は、非対称鍵暗号化方式を考慮することによって理解することができる。この方式では、暗号化/暗号解読手順で２つの鍵を使用する。便宜上、これらを公開鍵および秘密鍵と呼ぶ。秘密鍵はセキュアに保持される。例えば、コンピュータのメモリ内またはスマートカード上の安全な位置に格納される。公開鍵は自由に配布される。公開鍵および秘密鍵は数学的に関係付けられているが、一方から容易には計算されない。具体的には、公開鍵を知っていても、妥当な期間に秘密鍵を計算することはできない。さらに、鍵の一方で暗号化されたメッセージは、他方の鍵でしか暗号解読することができない。
【００２４】
自身の識別を認証する必要のあるユーザは、トラステッドな（trusted）な
認証局(CA)に自身の識別についての証明を発行するように要求する。この要求は、CAの公開鍵で符号化することが好ましい。この目的を達成するには、例えば、まずユーザの秘密鍵で、主張する識別を符号化し、次いでCAの公開鍵を使用して、潜在的に新しいユーザの公開鍵のコピーと共にメッセージを暗号化することを含む多くの方式がある。これにより、CAは、メッセージをそれ自体の秘密鍵で暗号解読した後、さらに暗号解読するために使用する公開鍵を得ることが保証される。さらに、メッセージの暗号解読の成功により、メッセージがユーザから発信されたことがCAに保証される。ユーザの公開鍵によって暗号解読が可能となるためには、ユーザの秘密鍵によって符号化しなければならなかったからである。したがって、CA、具体的にはユーザの秘密鍵の発行者は、データベースをチェックして、主張された識別を検証することができる。
【００２５】
次に、CAはCA自体の秘密鍵を使用して、秘密鍵に対応する公開鍵を含むユーザの識別についての情報を暗号化し、認証する証明書を形成し、場合によってはデジタル署名を用いて形成する。ユーザの識別を認証しようとしているパーティは、証明書をCAの公開鍵を用いて暗号解読する。したがって、都合よく、証明書はユーザの公開鍵でユーザの識別を認証しようとしているパーティにも供給される。
【００２６】
ユーザはCAによって証明された情報を読むことができるが、ユーザはCAの秘密鍵を知らないので、ユーザは、検出されずに情報を変更することはできない。さらに、CAは、メッセージが一部分だけ受信された場合であってもメッセージ全体が本物であるという確信を受信側がさらに得ることができるように、メッセージの暗号化一方向ハッシュを添付することができる。同じハッシング結果を保持しながらメッセージを変更することは非常に難しいので、一方向ハッシング機能がしばしば選ばれ、添付メッセージの認証性をさらに証明することが約束される。言い換えれば、暗号化メッセージは、復号化鍵が公開鍵であるので多くの人々が読むことができるが、状態が変更されたことにフラグを付けることなく暗号化メッセージを変更することはできない。加えて、このような証明書および関連する鍵を認証することは有限の存続時間を備えることができ、したがって、変更およびリバースエンジニアリングが難しくなる。
【００２７】
セキュアなクライアントサーバ通信を可能にするための鍵の交換、認証および許可要求のこれ以上の詳細は、添付の文書の「IEEE ８０２.１１ Security White Paper」、「IEEE ８０２.１X Supported Scenarios」、および「Bluetooth Security Architecture Version １.０」と題する付録に記載されている。これら全体を本願に組み込む。
【００２８】
図２に、一組の動的リンク、一組の静的リンク、および複数の装置を有する例示的コンピューティング環境２００を示す。コンピューティング環境２００は、ルータ２１０に接続されたイントラネット２０５を含み、ルータ２１０はインターネット２１５に接続される。少なくとも１つのモバイルコンピューティングユニット２２０は、動的リンク２２５を介してインターネット２１５に接続する。あるいは、モバイルコンピューティングユニット２１５は、リンク２３０を使用してイントラネット２０５に接続することができる。リンク２３０の存在は動的リンク２２５を除外しない。モバイルコンピューティングユニット２２０はコンピュータである必要はなく、移動体通信可能な装置などの任意のモバイルコンピューティングデバイス、またはオンラインコンテンツへのアクセスを有する音声/ビデオコンテンツ供給デバイスなどでもよい。コンピューティング環境２００内の複数の装置には、ワークステーション２３５、サーバ２４０、およびサーバ２４０によって制御されるプリンタ２４５が含まれる。静的リンクは、イントラネット２０５を定義するリンケージを指し、動的リンクは、それぞれモバイルコンピューティングユニット２２０との間のリンク２２５またはリンク２３０、ならびにインターネット２１５またはイントラネット２０５など、障害の可能性の高いリンケージを指す。
【００２９】
静的リンクのセキュリティは、セキュアな動的リンクを提供することよりも容易である。動的リンクの一時的な性質、待ち時間が長いこと、ならびにそのようなリンクに対する帯域幅制限のために、動的リンクに対するセキュリティの方が実装が難しい。さらに、コンピューティングユニット２２０などのポータブルコンピューティング装置が移動可能であるので、無許可のネットワークアクセスに対して保護する必要がある。
【００３０】
推移的信用（transitive trust）関係によって関係付けられたトラステッドユーザおよびトラステッドマシンに対するセキュアリンクを拡張する方策により、すべてのセキュア関係を中央管理する必要なしに、セキュアコンピューティング環境が達成される。明示的信用関係により、セキュリティ違反を追跡することが可能となる。さらに、明示的信用関係により、セキュア接続を確立する際の待ち時間を短時間に保つと同時に、管理可能な認証手順が容易になる。
【００３１】
トラステッドユーザおよびトラステッドマシン（マシンは、ソフトウェア又はハードウェアに実装されていてもよい）へのアクセスを制限することは、トラステッドユーザがネットワークにアクセスするのにどんなマシンも使用することが可能となるのと同時に、認証されたユーザがネットワークにアクセスすることなく、トラステッドマシンだけがネットワークにアクセスすることが可能となるので有利である。受け入れられる認証を有さないユーザおよびマシンが無許可のアクセスを獲得することが、この方策により防止される。一方、マシンベースの認証を許可することにより、有効な認証を有するユーザに対して、有効なアクセスの認証基準レベルを有するマシンが可能となる。有効な認証を有さないユーザは、有効な認証を有さないマシンに対する、限定的に許可されたアクセスを得る。このようなアクセスにより、非認証ユーザは基本アクセスレベルが許可される。このようなユーザは、セキュアネットワークに対して何らかのアクセスが必要な訪問者、新しい従業員、以前の従業員などである可能性がある。トラステッドユーザは、ネットワークに接続されたトラステッドマシンまたはノントラステッドマシンのいずれかを介してネットワークリソースにアクセスすることができる。
【００３２】
新しいユーザ、あるいはパスワードを間違えたか、適切にログオンすることができなかったユーザに対して限定された形のアクセスを提供することにより、そのユーザのコンピューティング体験がスムーズとなり、かつ恐怖心が抑えられる。同様に、新しいユーザおよび従業員がシステム管理者と直接対話することを可能にする十分なアクセスを可能にすることにより、中央制御を保持しながら、ユーザを追加および削除するプロセスが分散される。新しい従業員が物理的に中央位置に行って、制限されたコンピューティングリソースにアクセスするための許可を受ける必要がないという意味で分散が存在する。未認証ユーザに対して課されたアクセス制限は、ネットワークリソースセキュリティを損なうことを回避するように調整される。この目的で、ユーザがログオンする環境に関連する相対的なセキュリティリスクをより良好に反映するために、同じユーザが異なる権限を有する。例えば、リモートサイトからコンピューティングリソースにアクセスするユーザは、建物収容のイントラネット２０５内のマシンを使用するユーザや、トラステッドマシンを使用するユーザよりも限定された特権を有する可能性がある。したがって、開示された方法およびシステムにより、モバイルコンピューティングユニットの識別および/またはアクセスが要求される状況に応じて、モバイルコンピューティングユニットを有するユーザが様々なアクセスレベル、すなわち権限のレベルでコンピューティング環境にアクセスすることが可能となる。
【００３３】
図３に、無線リンクをサポートするのに適したコンピューティング環境３００を示す。モバイルコンピューティングユニット３０５は、アクセスポイント３１５を有するリンク３１０を介してコンピューティング環境３００と関連付けることができる。アクセスポイント３１５は、モバイルコンピューティングユニット３０５に対してオーセンティケータ(authenticator)として働き、コンピューティング環境３００内のコンピューティングリソースへのアクセスを与える。アクセスポイント３１５は、アサート済み識別を転送し、モバイルコンピューティングユニット３０５から受け取ったアサート済み識別をリモート認証ダイアルインユーザサービス(「radius」)サーバ３２５に対して認証するために証明する。radiusサーバ３２５は、識別および識別の証明に対する要求をアクセスポイント３１５に転送する。この要求は、radiusサーバ３２５と未認証モバイルコンピューティングユニット３０５との間のどんな直接通信も防止するために、モバイルコンピューティングユニット３０５にさらに転送される。
【００３４】
図４に、リモートサイトからイントラネット４０５へのアクセスを試みるモバイルコンピューティングユニット４００を示す。モバイルコンピューティングユニット４００は、リモートアクセスポイント４１０に関連付けられる。リモートアクセスポイント４１０はオーセンティケータとして動作し、プロキシradiusサーバ４１５を使用してモバイルコンピューティングユニット４００を認証する。認証の成功に続いて、アクセスポイント４１０は、ネットワークに向けられたパケットをVLANスイッチ４２０に転送する。VLANスイッチ４２０は、登録および記録サーバ４３０を調べ、モバイルコンピューティングユニット４００がイントラネット４０５に接続されたVLAN４２５にリモートでアクセスすることを許可されているかどうかを判定する。正式に登録されたモバイルコンピューティングユニット４００である場合、VLAN４２５、またはイントラネット４０５を介して接続されたサーバ４３５に向けられた通信は適切に転送される。認証に失敗した場合、パケットは、VLAN４２５またはサーバ４３５にさらに伝播しないようにブロックされる。
【００３５】
本発明によれば、ユーザおよびマシンそれぞれに対して、２つの可能なログオン状態が存在する。すなわち、有効な認証を有するユーザ、有効な認証を有さないユーザ、有効な認証を有するマシン、および有効な認証を有さないマシンである。マシン状態およびユーザログオン状態により、４つの可能なログオン状態が生成される。本発明は、別の可能なログオン状態に勝って、可能なログオン状態のうち１つに対するプリファレンスを示す実施形態を含む。
【００３６】
本発明の実施形態では、認証された識別をユーザが提供することができない場合、ユーザによって使用されるマシンが識別を供給することができ、マシンベースのログイン手順が、限定されたアクセスを提供することが可能となる。図５に、トラステッドマシンがそのマシン識別を使用してログインできるようにする、可能な一組のステップを示す。この図は、ステップに関する変更を制限するものと解釈すべきではない。この目的で、トラステッドユーザは最初に、トラステッドマシンのステータスを確立する。図５のステップ５００は、トラステッドユーザが、そのユーザの使用するマシンに対するマシン識別を要求することを示す。ネットワークサーバ、例えばドメインコントローラは、ステップ５０５の間にユーザがトラステッドであるかどうかを判定し、ステップ５１０で、そのような要求を行うことを許可されているかどうかを判定する。ユーザが要求を行うことを許可されている場合、ネットワークサーバは固有マシン識別を提供する(ステップ５１５)。そうでない場合、ステップ５２０でネットワークサーバは要求を拒否する。ステップ５２５で、ネットワークサーバは、マシンの識別を証明するために証明書を提供するようにCAに要求し、ステップ５３０の間にマシンに証明書を転送する。ステップ５３５では、有利には、マシン識別子および証明書は、後続で使用するためにマシン上に格納される。
【００３７】
図６に示す本発明の実施形態では、マシン認証およびユーザ認証は、受け入れられる認証を使用するか、またはデフォルトユーザIDを使用して実施され、マシン認証またはユーザ認証でシステム管理者が介入することが可能となる。ステップ６００は、ネットワークにアクセスする要求を含む。マシン認証が利用可能である場合、制御はステップ６０５からステップ６１０に進み、マシン認証を通過する。この実施形態では、ユーザも同じマシン上で認証することができないが、これを本発明の範囲に対する制限と解釈すべきではない。ステップ６１０は、ユーザが同じ時間にログオンする必要なしにネットワーク上のサーバをスタートするのに特に有用である。特権のある位置にあるこのようなマシンには、ユーザインタフェースを提供することさえしないものもある。マシンが認証に失敗した場合、制御はステップ６１５に移る。一方、マシンが認証を有さない場合、制御はステップ６０５からステップ６２０に移る。ステップ６２０は、マシンがデフォルトユーザ識別子を使用して、マシン認証を開始することを含む。マシン認証は、ステップ６２５で成功するか、またはステップ６３０で失敗する。ステップ６２０、６２５、および６３０からの制御は、ステップ６３５に進む。ステップ６３５は、命令がユーザログインを開始することを含む。ユーザ認証が利用可能である場合、ユーザは制御をステップ６４５に移し、ユーザ認証が成功し、手順が終了したことを表示する。一方、ユーザ認証が受け入れられない場合、ユーザ認証はステップ６５０で失敗し、それに続いて手順は終了する。ユーザ認証がステップ６４０で利用可能でない場合、ユーザは、デフォルトユーザ識別子をうまく使用することによって制御をステップ６５５に移す。デフォルトユーザ識別子を使用して認証することに失敗すると、制御はステップ６６０に進み、認証手順は終了する。
【００３８】
拡張可能認証プロトコル(「EAP」)互換環境での例示的実施形態は、EAPスタートメッセージを含む。もちろん、他の環境では、他のスタートメッセージを使用することができ、例えば、初期トランザクションを実施するのに、メッセージのトータル数を削減するためのビューを使用することができる。
【００３９】
トラステッドマシンに対する認証手順の実施形態を図７に示す。ステップ７００の間、ユーザはスタートメッセージを発行して、コンピューティング環境にアクセスしたいことを表明する。無線アクセスポイントは、無線リンクを確立するためのスタートメッセージを受信する。無線アクセスポイントは、下にある無線ネットワーク、または未認証接続からの別の無線モバイルコンピューティング装置のどちらにもデータトラフィックを転送しないように構成される。オーセンティケータとして動作するアクセスポイントは、適切なリンクを確立する前に、要求側を認証するための限定された対話を提供する。この目的で、ステップ７０５では、例えばスタートメッセージ中にこのような識別が欠けている場合、アクセスポイントが要求側の識別を要求して認証手順を開始する。この要求に応答して、ステップ７１０では、要求側が利用可能なら、認証可能な識別を提供する。この判定は、タイムアウト期間からなる。あるいは、要求側は、要求された識別を提供することができないことを明示的に表示する。
【００４０】
要求された識別が利用可能である場合、ステップ７１５で標準認証手順を実行する。標準手順では、アクセスポイントがアサートされた識別をradiusサーバに転送する。radiusサーバは、アクセスポイントにチャレンジ（challenge）を送信し、アクセスポイントは、それをモバイルコンピューティングユニットに転送する。モバイルコンピューティングユニットおよびradiusサーバは、ネットワークリソースのセキュリティを保証するため、互いに直接通信することはできない。しかし、有効識別が提供されない場合、ステップ７２０でトラステッドマシンはマシン識別を提供する。アクセスポイントは、トラステッドマシン識別をradiusサーバに転送し、radiusサーバは、アクセスポイントが転送すべきチャレンジをモバイルコンピューティングユニットに提供する。
【００４１】
ステップ７２５の間、アクセスポイントは、radiusサーバによって提供されたチャレンジに従ってアサートされた識別の証明を要求することによって、アサートされた識別をチャレンジする。ステップ７３０では、モバイルコンピューティングユニットは、アサートされたマシン識別を証明するために、アクセスポイントに証明をサブミットする。ステップ７３５では、アクセスポイントは、証明が有効である場合、アサートされ、認証されたマシン識別を用いて、対応する限定されたアクセスを提供する。
【００４２】
図８に、デフォルトユーザ識別を使用して、システム管理者によって介入を起動するための方法を示す。この方法は、新しいユーザに中央機構に物理的にアクセスすることを要求せずに、新しいユーザを認証し、記録するのに有用である。ステップ８００の間のコンピューティング環境へのアクセスを要求するためのスタートメッセージに続き、ステップ８０５の間に識別の表明に対する要求を行う。ユーザは、ステップ８１０でデフォルトユーザ識別を提供する。デフォルトユーザ識別はブランク文字列でよい。デフォルトユーザ識別子の受信に応答して、ステップ８１５で、システムはユーザへのすべてのアクセスを否定せず、その代わりコンピューティング環境および許可のレベルへのユーザアクセスを許可するかどうかを決定するシステム管理者を呼び出す。システム管理者がユーザの識別を検証した場合、すなわちユーザを認証した場合、ステップ８２０で、ドメインコントローラは、ユーザがログオンすることを許可する。次いでステップ８２５の間に、ドメインコントローラは、ユーザの識別を証明するための証明書を得る。ステップ８２５では、コンピューティングリソースへの後続のアクセスは、システム管理者を呼び出す必要なしに、ユーザの識別を証明するための証明書を使用する。
【００４３】
図９に、識別が未知である１つまたは複数のマシンの使用またはイントラネットの外側の物理位置を要求しているものと定義することができる、リモートかつ非セキュアなサイトのユーザに対して、限定されたアクセスを提供するための例示的方法を示す。このようなシナリオでは、セキュアなサイトまたはマシンから操作した場合に特定のユーザが有するかもしれない特権のすべては反映しない、限定されたアクセスを提供することが有利である。ステップ９００では、アクセスに対する要求が、プロキシサーバを介してリモートアクセスポイントに対して行われ、それに続いてステップ９０５では識別の表明に対する慣例の要求が行われる。ステップ９１０中にユーザ識別またはマシン識別である識別を提供すると、ステップ９１５の間に、アサートされた識別を証明するためのチャレンジが行われる。ステップ９２０は、トラステッド認証局から証明を供給することによってアサートされた識別を提供する要求側を含む。radiusプロキシサーバは、関連するトランザクションを転送し、ステップ９２５で、セキュリティを規制する責任を負うradiusサーバは、ユニバーサルリソースロケータ(「URL」)、実際にはポートアドレスをユーザに提供し、コンピューティング環境にアクセスすることが可能となる。このURLは一般に、ユーザがネットワーク中のアクセスポイントを介して受けるものより低い程度のユーザによるネットワークリソースに対するアクセスを提供する。
【００４４】
図１０に、セキュアコンピューティングリソースにリモートアクセスするための、本発明の別の実施形態でのステップを要約する。ステップ１０００は、リモートユーザによる、セキュアコンピューティング環境内のリソースにアクセスする要求を含む。この要求は、別のネットワーク内アクセスポイントで、またはインターネットを介して行うことができる。RADIUSサーバは、要求を処理し、ステップ１００５で、要求側が遠距離のサイトで認証することを可能にするためにURLを提供する。この接続は、ステップ１０１０で示すようにセキュア接続である可能性が高く、SSLまたは要求側を認証するための他の同様の技術を使用することがある。加えて、認証するのに使用するウェブページは、課金目的で情報を要求し、受諾することもある。このような情報には、クレジットカード番号、時間、および要求されたリソースの性質などが含まれる。ステップ１０１５では、要求されたサービスが利用可能であるかどうかを判定する。サービスが利用可能である場合、要求通りに認証が実施され、次いでステップ１０２０で、要求されたリソースへのアクセス許可が提供され、それに続いて手順が終了する。一方要求されたリソースが利用可能でない場合、制御はステップ１０１５からステップ１０３０に移り、リソースまたはアクセスが利用可能でないことが要求側に通知され、それに続いてステップ１０２５で終了する。
【００４５】
上記で説明した方法により、様々なユーザおよびリンクに対する相対的なセキュリティリスクを反映する様々な許可のレベルと組み合わせてマシンベースおよびユーザベースの認証をどちらも可能にすることによって、動的リンクを有するネットワーク中の、その一部がモバイルコンピューティングユニットを有する、複数のユーザの自動管理が可能となる。
【００４６】
本明細書で説明した方法によって確立されるセキュアリンクは、暗号化を含む。暗号化は、少なくとも１つの鍵を交換し、通信をセキュアにするためのアクセスポイントおよびモバイルコンピューティングユニットによって追加の鍵を生成することによって、可能となる。これらの鍵は、対照または非対称にすることができる。このような暗号化は、セキュリティを向上させるために頻繁な鍵の変化を含む。さらに、セキュアリンクが中断され、次いで、始めに使用したアクセスポイントに接続される新しいアクセスポイントで再確立された場合、モバイルコンピューティングユニットは、単に始めに使用したアクセスポイントの識別を提示し、その識別をアサートする。新しいアクセスポイントは、モバイルコンピューティングユニットの以前の認証を確認し、モバイルコンピューティングユニットを再認証する必要なしにアクセスを可能にする。この方策と、タイムアウトとを組み合わせることにより、新しいモバイルユニットを認証する際にかかる時間による待ち時間を低減することによって、より良好なコンピューティング体験が可能となる。
【００４７】
本発明の原理を適用することのできる多くの可能な実施形態に鑑みて、本明細書で図に関連して説明した実施形態は、単なる例であって、発明の範囲を限定するものとみなすべきではないことを理解されたい。例えば、ソフトウェアで示した例示の実施形態の要素をハードウェアで実装することができ、逆も同様であること、あるいは例示の実施形態は、本発明の趣旨から逸脱することなく構成および詳細を変更できることを当業者は理解されよう。したがって、本明細書で説明した本発明は、特許請求の範囲内およびその均等物内にあるすべてのこのような実施形態を意図する。
【００４８】
本明細書で引用した特許、特許出願、および出版物を含む参考文献のすべては、参照によりその全体が組み込まれる。
【図面の簡単な説明】
添付の特許請求の範囲は本発明の特徴を詳細に記載しているが、本発明、ならびにその目的および利点は、添付の図面に関連する詳細な説明から最もよく理解することができよう。
【図１】 本発明を備えた例示的コンピュータシステムを一般的に示すブロック図である。
【図２】 本発明の実施形態が機能する一般的コンピューティング環境を示す図である。
【図３】 セキュアネットワーク中のアクセスポイントと、モバイルコンピューティングユニットとの間の無線リンクに適した別のコンピューティング環境を示す図である。
【図４】 トラステッドであるか、またはモバイルコンピューティングユニットからアクセスされているセキュアネットワークにとって少なくとも既知であるリモートプロキシradiusサーバを介する認証で、モバイルコンピューティングユニットによるリモートアクセスをサポートするコンピューティング環境を示す図である。
【図５】 トラステッドユーザが、マシンに対するマシン識別を得るステップを示す流れ図である。
【図６】 適切な認証を有さないマシンまたはユーザによる、システム管理者が介入するログオンを開始するために、デフォルトユーザ識別子を使用して、トラステッドマシンがログオンするステップを示す流れ図である。
【図７】 マシン識別を使用してセキュアネットワーク内のコンピューティングリソースへのアクセスを得るためのステップをまとめた流れ図である。
【図８】 デフォルトユーザ識別子を使用して、システム管理者を呼び出し、満足な認証情報を有さないユーザが、中央機構を物理的に訪ねずにネットワークにアクセスするためのステップをまとめた流れ図である。
【図９】 リモートモバイルコンピューティングユニットが、プロキシradiusサーバを介してセキュアネットワークへのアクセスを得るための、一組のステップをまとめた流れ図である。
【図１０】 セキュアネットワーク上のリソースへのアクセスを求めているリモートユーザを認証するための一組のステップをまとめた流れ図である。

Claims (6)

1. コンピュータが、アクセスポイントを介して、ネットワーク上のリソースへアクセスするための方法であって、前記アクセスポイントは、無線リンクにより前記コンピュータと接続可能に構成されるとともに、サーバと接続されており、
   前記コンピュータおよび前記アクセスポイントによって、前記コンピュータからの要求の後に、認証手続を行うステップと、
   前記認証手続で前記コンピュータの認証に失敗した場合、認証局によって、前記コンピュータのマシン識別子を前記アクセスポイントに送信するステップであって、前記アクセスポイントは、前記マシン識別子を前記サーバに転送するように構成されている、ステップと、
   前記アクセスポイントによって、前記サーバからのチャレンジを受信するステップであって、前記チャレンジは、前記マシン識別子の証明書を要求するためのデータである、ステップと、
   前記アクセスポイントによって、前記コンピュータの前記マシン識別子の証明を行うための証明書を取得するステップであって、前記証明書は前記マシン識別子を有し、前記証明書は認証局から取得する、ステップと、
   前記アクセスポイントが証明書を有効と判断した場合、前記アクセスポイントによって、前記リソースへの制限アクセスを前記コンピュータに付与するステップと
   を含むことを特徴とする方法。
2. 前記コンピュータによって、無線リンクを使用して前記リソースと通信するステップをさらに含むことを特徴とする請求項１に記載の方法。
3. 前記取得するステップは、前記コンピュータが、前記マシン識別子を証明するための証明書を有さないと判定したときに実行することを特徴とする請求項１に記載の方法。
4. 前記コンピュータによって、前記マシン識別子を格納するステップをさらに含むことを特徴とする請求項１に記載の方法。
5. 前記アクセスポイントによって、前記証明書を格納するステップをさらに含むことを特徴とする請求項１に記載の方法。
6. 前記アクセスポイントによって、前記マシン識別子を受信するステップをさらに含むことを特徴とする請求項１に記載の方法。

Images