JP5110082B2 - 通信制御システム、通信制御方法および通信端末 - Google Patents

Description

この発明は、通信端末とサーバとの間のネットワークを介する通信を制御する通信制御システム、通信制御方法および通信端末に関するものである。

近年、通信端末が複数の無線通信手段を持ち、必要に応じて接続ネットワークを切り替えて使うことが増えてきている。例えば、セルラ網に接続する手段と無線ＬＡＮに接続する手段を持ち、屋外ではセルラ網に接続し、室内では無線ＬＡＮに接続するというような通信端末が実用化されている。

このような場合、通信端末はさまざまなネットワークを切り替え、あるいは同時に使用することになる。接続するネットワークにはさまざまなものがあり、またそれぞれのネットワークの運用ポリシは大きく異なる。例えば、セルラ網事業者のＩＰネットワークや、企業網イントラネットは、認証や暗号化手段が導入されており、非常にセキュアなネットワークであるといえる。対して、無料の無線ＬＡＮスポットの場合には、認証や暗号化手段がなく、セキュアでないネットワークも存在する。

以下、本明細書では、上記セルラ網事業者のＩＰネットワークや企業網イントラネットなどのネットワークを高セキュアネットワークといい、ＷｅｂサーバやＤＮＳが詐称されている可能性があるネットワーク、あるいは暗号化されていないために通信内容が解析されてしまう可能性があるネットワークを低セキュアネットワークという。

最近の通信端末は、ネットワークを介してサーバから通信アプリケーションをダウンロードし、このアプリケーションを使用してさまざまなサービスを受けることができる。たとえば、携帯電話におけるＪａｖａ（登録商標）アプリケーションなどである。このような通信端末が、高セキュアネットワークと低セキュアネットワークを切り替えたり同時に使う場合には、セキュリティ上の脅威が発生する。

例えば、低セキュアネットワーク上に悪意のあるアプリケーションが存在したとする。
通信端末がこのようなアプリケーションをダウンロードし、このアプリケーションを高セキュアネットワークに接続しているときに実行したとする。すると、この悪意のあるアプリケーションが高セキュアネットワークを攻撃し、情報を盗み取ったり、ネットワーク内で破壊行為を行うことが考えられる。

以下、Ｊａｖａアプレットアプリケーションの場合を考える。Ｊａｖａアプレットアプリケーションの場合、通常このアプリケーションはダウンロードを行ったサイトとしか通信できないようになっている。例えば、「http://www.example.com」からダウンロードしたアプリケーションは「www.example.com」としか通信できないように「Java VM 」により制限がかかっている。

上記の場合、高セキュアネットワークにおけるＤＮＳは信頼できるため、アプリケーションは意図したサーバ（www.example.com）と通信ができる。しかしながら、低セキュアネットワークの場合には、アプリケーションやＷｅｂサーバのみならず、ＤＮＳまでもが信頼できない。悪意のあるネットワーク管理者が悪意のあるＤＮＳサーバを立て、詐称されたサーバからアプリケーションをダウンロードさせるように仕向けることは可能である。

例えば、「http://www.some-secure-server.com」という詐称されたＷｅｂサーバから通信端末がアプリケーションをダウンロードしたとする。このアプリケーションは「www.some-secure-server.com」との通信が許可される。もし高セキュアネットワーク上にこれと同一のＤＮＳ名を持つサーバが存在した場合、悪意を持つアプリケーションはこのサーバと通信できてしまい、サーバを攻撃できてしまう。すなわち、低セキュアネットワーク上のアプリケーションが高セキュアネットワーク上のサーバを攻撃できてしまう。これは大きな問題である。

また逆に、高セキュアネットワーク上の「http://www.some-secure-server.com」から正当なアプリケーションをダウンロードしたとしよう。この通信端末が先の悪意のあるネットワークに接続した場合、このアプリケーションは詐称されたサーバと接続してしまうので、通信内容が解析されてしまう恐れがある。すなわち、高セキュアネットワーク上のアプリケーションの通信内容が、低セキュアネットワーク上に誘導されて通信解析される恐れがある。これは、特に高セキュアネットワーク環境に閉じたアプリケーションでは大きな問題となりうる。

これを解決する手段として、例えば特許文献１に、アプリケーションに対応付けられた通信網と、接続中の通信網とを比較し、これが異なっているときにアプリケーションの機能を制限する方法が提示されている。

このように、アプリケーションと使用する通信網とを対応づければ、低セキュアネットワーク上のアプリケーションが高セキュアネットワークにアクセスすることができず、逆に高セキュアネットワーク上のアプリケーションが低セキュアネットワークにアクセスすることができなくなる。これにより、上記のセキュリティの問題は解決できる。

しかしながら、高セキュア／低セキュアネットワークのどちらを使っても問題のないアプリケーションもある。具体的には、高セキュア／低セキュアネットワークいずれを経由してもアクセス可能なサーバ上に置かれた通信アプリケーションである。このようなアプリケーションは、高セキュアネットワークを経由してアクセスできるので少なくともＤＮＳは信用できる。また、低セキュアネットワークを経由してアクセスできるので高セキュアネットワーク環境に閉じたアプリケーションでもない。このため、このようなアプリケーションは本来上記制限は不要である。しかし、上記の解決方法では、このようなアプリケーションに両方のネットワークを使用させることはできなくなってしまう。

特開２００４−３２０３６９号公報

以上から、セキュリティを保ちつつ、複数のネットワークからアクセス可能なサーバ上に置かれた通信アプリケーションに対して複数のネットワークを使用させるためには、サーバを認証するための仕組みが必要となる。すなわち、アプリケーションの出自確認を行い、サーバが詐称されていないことを証明できれば、複数のネットワークの使用を許可しても問題ない。しかし、従来は、複数ネットワークからアクセス可能なサーバを認証するための仕組みが存在しなかった。

本発明は、このような課題を解決するためになされたもので、その目的とするところは、ダウンロード元のサーバが正しいことを確認することが可能な通信制御システム、通信制御方法および通信端末を提供することにある。
また、アプリケーションに対して複数のネットワークの使用を許可することが可能な通信制御システム、通信制御方法および通信端末を提供することにある。

このような目的を達成するために、本発明は、第１のネットワークと、第２のネットワークと、この第１および第２のネットワークを介してサーバに接続される通信端末とを備えた通信制御システムにおける通信端末に、第１のネットワークから取得した通信アプリケーションの照合情報と第２のネットワークから取得した通信アプリケーションとを照合する照合手段と、この照合手段により照合が一致した場合、通信アプリケーションに対して、第１のネットワークと第２のネットワークの少なくとも何れか一方の通信を許可する通信制御手段とを設けたものである。
この発明によれば、通信端末において、第１のネットワーク（例えば、高セキュアネットワーク）から取得した通信アプリケーションの照合情報と第２のネットワーク（例えば、低セキュアネットワーク）から取得した通信アプリケーションとが照合され、照合が一致した場合、通信アプリケーションに対して、第１のネットワークと第２のネットワークの少なくとも何れか一方の通信が許可される。

例えば、第１の例として、本発明では、第１のネットワークから取得した通信アプリケーションのハッシュ値と第２のネットワークから取得した通信アプリケーションのハッシュ値とを比較し、両者が一致していた場合に、その通信アプリケーションを信頼できるものと判断する。ここで、アプリケーションを信頼できるとは、詐称されていない(信頼できる)サーバからダウンロードしたアプリケーションということである。上記の際、通信アプリケーションとその通信アプリケーションの取得に使用したネットワークとを対応づけて記憶するようにすると、信頼できると判断された通信アプリケーションについては、第１のネットワークと第２のネットワークの２つが対応づけて記憶されることになり、この記憶内容から第１のネットワークと第２のネットワークの両方での使用を許可することが可能となる。
これにより、信頼できると判断された通信アプリケーションについてのみ、第１のネットワークと第２のネットワークの両方での使用を許可し、改ざんされた通信アプリケーションがユーザの意図とは異なるネットワーク上で動作することを防止することが可能となる。また、複数のネットワークを使用して、通信アプリケーションを動作させることが可能となる。

例えば、第２の例として、本発明では、第１のネットワークから取得した通信アプリケーションの属性情報に含まれるハッシュ値と第２のネットワークから取得した通信アプリケーションから生成されるハッシュ値とを照合し、両者が一致していた場合に、その通信アプリケーションを信頼できるものと判断する。ここで、アプリケーションを信頼できるとは、詐称されていない(信頼できる)サーバからダウンロードしたアプリケーションということである。上記の際、通信アプリケーションとその通信アプリケーションの属性情報の取得に使用したネットワークとその通信アプリケーションの取得に使用したネットワークとを対応づけて記憶するようにすると、信頼できると判断された通信アプリケーションについては、第１のネットワークと第２のネットワークの２つが対応づけて記憶されることになり、この記憶内容から第１のネットワークと第２のネットワークの両方での使用を許可することが可能となる。
これにより、信頼できると判断された通信アプリケーションについてのみ、第１のネットワークと第２のネットワークの両方での使用を許可し、改ざんされた通信アプリケーションがユーザの意図とは異なるネットワーク上で動作することを防止することが可能となる。また、複数のネットワークを使用して、通信アプリケーションを動作させることが可能となる。

本発明によれば、通信端末において、第１のネットワークから取得した通信アプリケーションの照合情報と第２のネットワークから取得した通信アプリケーションとを照合するようにしたので、ダウンロード元のサーバが正しいことを確認することが可能となる。また、アプリケーションに対して複数のネットワークの使用を許可することが可能となる。

図１は、本発明に係る通信制御システムの一実施例（実施例１）の構成を示 す図である。 図２は、本発明に係る通信制御システムの他の実施例（実施例２）の構成を 示す図である。 図３は、実施例２の通信制御システムにおける通信端末内での処理動作を示 すフローチャートである。 図４は、本発明に係る通信制御システムの他の実施例（実施例３）の構成を 示す図である。 図５は、実施例３の通信制御システムにおける通信端末内での処理動作を示 すフローチャートである。 図６は、実施例３の通信制御システムにおける属性ファイルを例示する図で ある。 図７は、実施例３の通信制御システムにおける照合処理の具体例を示す図で ある。 図８は、実施例３の通信制御システムにおけるアプリケーション識別子およ びネットワーク識別子の格納処理の具体例を示す図である。

以下、本発明を図面に基づいて詳細に説明する。
〔実施例１〕
図１はこの発明に係る通信制御システムの一実施例（実施例１）の構成を示す図である。同図において、１は通信端末であり、２はダウンロードサーバである。通信端末１は照合手段１２を有し、ダウンロードサーバ２は通信アプリケーション１６と照合情報１７を有する。ダウンロードサーバ２は、高セキュアネットワーク４および低セキュアネットワーク５に接続されており、通信端末１は、高セキュアネットワーク４および低セキュアネットワーク５の少なくともいずれか一方を使用してダウンロードサーバ２へアクセス可能となっている。

ネットワークにはさまざまなものがあるが、大別すると信頼性の高い高セキュアネットワーク４と低セキュアネットワーク５の２種類がある。高セキュアネットワーク４はセキュリティがある程度担保されたネットワークで、例えばセルラ網事業者のＩＰネットワークや、企業内ＬＡＮなどである。これらのネットワークでは、ネットワーク内部に存在するサーバ、例えばＤＮＳサーバやＰｒｏｘｙサーバなどは信頼できるものと考えて良い。

これに対し、低セキュアネットワーク５は、無料の無線ＬＡＮスポットなどがある。このようなネットワークでは、ネットワーク内のサーバは信頼性が低いものと考えられる。
例えば、悪意のある者が故意にＤＮＳ名を詐称したＤＮＳサーバを設置した無料無線ＬＡＮスポットを設置することは容易に可能である。

この実施例１の通信制御システムにおいて、通信端末１は、ダウンロードサーバ２から、低セキュアネットワーク５を通じて通信アプリケーション１６をダウンロードし、高セキュアネットワーク４を通じて照合情報１７をダウンロードする。通信端末１の照合手段１２は、ダウンロードした通信アプリケーション１６と照合情報１７とを照合する。

通信端末１では、照合手段１２での照合により、低セキュアネットワーク５を経由した通信アプリケーション１６の出自確認ができ、低セキュアネットワーク５からアクセスしたダウンロードサーバ２が詐称されているか否かが分かる。また、低セキュアネットワーク５を経由してもダウンロードサーバ２が詐称されていないと判断できれば、通信アプリケーション１６に対して高セキュアネットワーク４の使用を許可できる。これにより通信アプリケーション１６は、高セキュアネットワーク４と低セキュアネットワーク５が使用可能となる。

なお、本実施例では、通信アプリケーション１６の照合情報１７は高セキュアネットワーク４を経由してダウンロードすることとしているがこれに限らない。低セキュアネットワーク５を通じて照合情報１７をダウンロードした場合においても、高セキュアネットワーク４を通じてダウンロードした通信アプリケーション１６と照合することにより、低セキュアネットワーク５からアクセスしたダウンロードサーバ２が詐称されているか否かが分かる。

〔実施例２〕
図２はこの発明に係る通信制御システムの他の実施例（実施例２）の構成を示す図である。この実施例２では、後述する実施例３の通信制御システムで使用する通信端末と区別するために、通信端末１を１Ａとする。通信端末１Ａは、通信制御部１１、照合手段１２、アプリ／ＮＷ識別子対応データベース１３、記憶手段１５、アプリケーション制御手段１４を持つ。

この実施例２の通信制御システムにおいて、通信端末１Ａの通信制御部１１は、ネットワークに接続して通信を行う制御部であり、通信手段１１１とダウンロード手段１１２を持つ。

通信手段１１１はネットワークに接続して通信を行う手段である。例えば、３Ｇ無線、Ethernet（登録商標）、無線ＬＡＮ（IEEE802.11）、Bluetooth（登録商標）などが挙げられる。また、通信手段１１１は、通信端末１Ａが接続しているネットワークを識別し、高セキュアネットワーク４なのか低セキュアネットワーク５なのか判断する手段も持つ。
例として、どの無線通信手段を使用しているか、３Ｇ無線であれば接続中のネットワーク名、無線ＬＡＮであれば接続しているアクセスポイントのＢＳＳＩＤおよびＥＳＳＩＤ、などを識別手段として使用できる。

ダウンロード手段１１２は通信アプリケーション（以下、単にアプリケーションという）１６をダウンロードする手段である。アプリケーション１６はダウンロードサーバ２で配布されており、ダウンロード手段１１２はこれを高セキュアネットワーク４、低セキュアネットワーク５いずれかを経由して通信端末１Ａにダウンロードする。

ダウンロード手段１１２は、ダウンロードしたアプリケーション１６をそのアプリケーション１６の識別子（アプリケーション識別子）と経由したネットワークの識別子（ＮＷ識別子）と共に照合手段１２に引き渡す。ここでアプリケーション識別子とは、アプリケーションを一意に識別するためのものである。例えばアプリケーションのダウンロードＵＲＬを用いて「http://www.example.com/application.jar」などを識別子とすることができる。

アプリ／ＮＷ識別子対応データベース１３は、アプリケーション識別子毎に、そのアプリケーションがどのネットワークを使用して動作してよいかという対応付けを記憶するデータベースである。

照合手段１２は、ダウンロード手段１１２から受け取ったアプリケーション１６、アプリケーション識別子、ＮＷ識別子を元に、アプリケーションの照合を行う。具体的には、すでにダウンロードされているアプリケーションと一致するかどうかを照合し、一致していた場合はアプリ／ＮＷ識別子対応データベース１３にＮＷ識別子を追加する。一致していなかった場合は、これを別のアプリケーションとみなしてアプリケーション識別子を新たに割り当て、アプリケーションを記憶手段１５に保存し、アプリ／ＮＷ識別子対応データベース１３に対応を追加する。

アプリケーション制御手段１４はアプリケーション１６の動作を制御するための手段である。アプリケーション制御手段１４は、アプリケーション１６の起動時にアプリ／ＮＷ識別子対応データベース１３を検索し、アプリケーション１６が使用を許可されたネットワークのＮＷ識別子を取得する。

通信手段１１１は、アプリケーション制御手段１４から指示を受け、アプリケーション１６が通信を行うネットワークの制限を行うことができる機能を持つ。例としてはファイヤウォールなどである。通信手段１１１は接続中のネットワークを識別できるので、アプリケーション制御手段１４はアプリケーションの機能制限を行うことができる。

また、アプリケーション制御手段１４は、動作許可されたネットワークのＮＷ識別子の一覧を通信手段１１１に通知することで、アプリケーション１６が通信を行うことができるネットワークを制限させる。

次に、図３に示すフローチャートを参照して、ユーザが通信端末１Ａを用いて、ダウンロードサーバ２からアプリケーション１６をダウンロードする場合の動作を説明する。

２を用いてダウンロードサーバ２からアプリケーション１６をダウンロードする（ステップＳ１０１）。そして、ダウンロードされたアプリケーション１６とアプリケーション識別子、ＮＷ識別子を照合手段１２に引き渡す。

照合手段１２は、記憶手段１５およびアプリ／ＮＷ識別子対応データベース１３を検索し、同一のアプリケーション識別子を持つアプリケーションが既に存在するかどうかを調べる（ステップＳ１０２）。最初にアプリケーションをダウンロードしたときは、記憶手段１５およびアプリ／ＮＷ識別子対応データベース１３にはアプリケーション識別子に対応する情報はまだ格納されていない。この場合、ステップＳ１０３のＮＯに応じて、照合手段１２はアプリケーション１６を記憶手段１５に保存する（ステップＳ１０４）。また、アプリケーション識別子とＮＷ識別子をアプリ／ＮＷ識別子対応データベース１３に新たに保存する（ステップＳ１０５）。

最初にアプリケーションをダウンロードしたときに、これをネットワークと対応づけるということは、アプリケーションは「ダウンロードに使用した」ネットワークを使用して動作してよい、ということを表す。逆に言えば、ダウンロードに使用したネットワーク以外のネットワークに接続中にアプリケーションの動作を制限（通信拒否など）する、ということになる。これにより、悪意のあるネットワーク（低セキュアネットワーク５）上からダウンロードしたアプリケーションが高セキュアネットワーク４上で通信することを防止することができる。また、高セキュアネットワーク４上でダウンロードしたアプリケーションが低セキュアネットワーク５上で通信することも防止できる。

この後、ユーザがアプリケーション１６を起動すると（ステップＳ１０９）、アプリケーション制御手段１４がアプリ／ＮＷ識別子対応データベース１３を検索し（ステップＳ１１０）、アプリケーション１６に対して動作を許可するネットワークのＮＷ識別子の一覧を得る。アプリケーション制御手段１４はこれを用いてアプリケーションの機能制限を行い、またそのＮＷ識別子の一覧を通信手段１１１に引き渡し、通信手段１１１は通信制限を開始する（ステップＳ１１１）。これにより、アプリケーション１６は許可されたネットワークに接続されているときに通信を含めた動作を行うことが可能となり、許可されていないネットワークでの動作は制限される。

次に、同じアプリケーション（同じアプリケーション識別子を持つもの）を２回目以降ダウンロードした場合を説明する。この場合も、ダウンロード手段１１２はアプリケーション、アプリケーションの識別子、ＮＷ識別子を照合手段１２に引き渡す。

照合手段１２は、記憶手段１５およびアプリ／ＮＷ識別子対応データベース１３を検索し、同一のアプリケーション識別子を持つアプリケーションが既に存在するかどうかを調べる（ステップＳ１０２）。今回は２回目のダウンロードなので同一のアプリケーション識別子を持つアプリケーションが見つかる。

照合手段１２は、ステップＳ１０３のＹＥＳに応じ、記憶手段１５に保存されている同一のアプリケーション識別子を持つアプリケーション（前回ダウンロードしたアプリケーション）と今回ダウンロードしたアプリケーションが同一であるか否かを照合する（ステップＳ１０６）。これには例えば、ファイルが一致するかどうかをバイト単位で比較したり、ハッシュ値を比較するなどの方法が考えられる。

これは、前回ダウンロードしたアプリケーションと今回ダウンロードしたアプリケーションとを照合していることに他ならない。すなわち、前回のダウンロードに使用したネットワークを高セキュアネットワーク４とし、今回のダウンロードに使用したネットワークを低セキュアネットワーク５とした場合、高セキュアネットワーク４から取得したアプリケーションと低セキュアネットワーク５から取得したアプリケーションとを照合していることに他ならない。

この照合において、完全に一致した場合は（ステップＳ１０７のＹＥＳ）、今回ダウンロードしたアプリケーションは前回ダウンロードしたアプリケーションと全く同一のものであることが保証できる。これはすなわち、前回ダウンロードしたサーバと同一のサーバからダウンロードしたといえる。この場合、照合手段１２は今回ダウンロードしたアプリケーションのアプリケーション識別子と今回ダウンロードに使用したネットワークのＮＷ識別子だけをアプリ／ＮＷ識別子対応データベース１３に追加する（ステップＳ１０５）。これにより、アプリケーション１６は今回ダウンロードしたネットワークでも動作できるようになる。

この方法によると、アプリケーション１６を高セキュアネットワーク４と低セキュアネットワーク５の２箇所からそれぞれ１回ずつ計２回ダウンロードするようにすれば、このアプリケーションは高セキュアネットワーク４と低セキュアネットワーク５のどちらを使っても動作することが可能である。すなわち、高セキュアネットワーク４と低セキュアネットワーク５を同時に、あるいは切り替えて使用することが可能となる。

なお、ダウンロードしたアプリケーションが一致しなかった場合は（ステップＳ１０７のＮＯ）、これは別のアプリケーションとして扱う。この場合、前回ダウンロードしたアプリケーションとは異なるアプリケーション識別子を新たに振りなおす（ステップＳ１０８）。例として、前回ダウンロードしたアプリケーション識別子が「http://www.example.com/application.jar」ならば、今回ダウンロードしたものは「http://www.example.com/application.jar#2」などとする。そして、ダウンロードしたアプリケーションを記憶手段１５へ保存し（ステップＳ１０４）、新しいアプリケーション識別子とＮＷ識別子を対応づけてアプリ／ＮＷ識別子対応データベース１３に保存する（ステップＳ１０５）。このようにすることで、悪意を持って改ざんされたアプリケーションが別のネットワークで動作してしまうことを防止できる。

次に、この実施例２の効果について説明する。
第１の効果は、アプリケーションの通信において、このアプリケーションのダウンロードに使用したネットワークのみを自動的に指定して通信制限することができるという点である。これにより、低セキュアネットワーク上にある悪意のあるアプリケーションが別のネットワークを攻撃することを防止できる。また、高セキュアネットワーク上のアプリケーションが悪意の低セキュアネットワークを使って通信することを防止し、通信内容が悪意のある者に解析されることを防止できる。

第２の効果は、複数のネットワークからそれぞれアプリケーションをダウンロードすることにより、アプリケーションが複数のネットワークを使用して通信することを自動的に許可することができる。これは、複数のネットワークからダウンロードしたアプリケーションが完全に同一のものかどうか照合することで、アプリケーションが改ざんされていないことを確認でき、同時に正しいサーバからダウンロードしていることを確認できるためである。

第３の効果は、本方式はネットワーク装置やアプリケーションには一切変更なく実施できるという点である。これは、アプリケーションの照合を通信端末内でのみ実施し、さらに照合をアプリケーションのバイナリ一致で実施するためで、ネットワーク側装置やアプリケーションには変更を必要としない。

〔実施例３〕
次に、実施例３について、図面を参照して詳細に説明する。実施例２では、アプリケーションのダウンロード時に記憶手段１５およびアプリ／ＮＷ識別子対応データベース１３を検索し、アプリケーション識別子が同じアプリケーションが存在する場合は図３のステップＳ１０６において同一のアプリケーションか否かを判定していた。しかし、実施例３では、アプリケーションの一部を異なるネットワークからダウンロードし、照合することで同一アプリケーションであることを判定する。

図４は実施例３の通信制御システムの構成を示す図である。この実施例３では使用する通信端末１を１Ｂとする。この通信端末１Ｂには、通信制御部１１に属性解析手段１１３が追加され、照合手段１２に照合データ生成手段１２１とデータ照合手段１２２が追加されている。

ダウンロード手段１１２は、高セキュアネットワーク４を経由してダウンロードサーバ２からアプリケーション１６の属性ファイル１８をダウンロードする（図５のステップＳ２０１）。属性解析手段１１３は、ダウンロードした属性ファイル１８内に照合データが含まれているか否かを判定する（ステップＳ２０２）。

この実施例３において、照合データとは、アプリケーションを特定するデータであり、ダウンロード元が発行する鍵であってもよいし、前述したようなアプリケーションのハッシュ値でもよい。また、ハッシュ値のように一方向関数によって導き出された不可逆な値でもよいが特に規定しない。ここではアプリケーションのハッシュ値とする。

ここで、照合データが含まれていない場合（ステップＳ２０３のＮＯ）、高セキュアネットワーク４からアプリケーション１６の本体をダウンロードする（ステップＳ２０４）。照合データが含まれている場合は（ステップＳ２０３のＹＥＳ）、属性ファイル１８内に記載されているＵＲＬよりアプリケーション１６の本体を異なるネットワーク経由でダウンロードする（ステップＳ２０５）。この例では、属性ファイル１８内に含まれている使用するネットワークの記載（後述）に応じ、低セキュアネットワーク５よりダウンロードする。

次に、アプリケーションの照合処理へ遷移する。照合データ生成手段１２１は、ダウンロードしたアプリケーション１６を基に照合データを生成する（ステップＳ２０６）。ここでは、先述したように、アプリケーション１６のハッシュ値を計算する。

生成したハッシュ値とステップＳ２０２で取得したハッシュ値とを照合する（ステップＳ２０７）。これは、高セキュアネットワーク４から取得したアプリケーションと低セキュアネットワーク５から取得したアプリケーションとを照合していることに他ならない。

ここで、ハッシュ値が一致しない場合は（ステップＳ２０８のＮＯ）、意図しないサーバからダウンロードしたとみなし、ダウンロードを中断する（ステップＳ２０９）。

ハッシュ値が一致する場合は（ステップＳ２０８のＹＥＳ）、同じサーバからダウンロードしたアプリケーションであるとみなす。すなわち、低セキュアネットワーク５上の詐称されたサーバからダウンロードしたアプリケーションではないと判断する。その後の処理は図３のステップＳ１０４からの処理と同じである。

この実施例３では、ステップＳ２０７，Ｓ２０８において、照合データ生成手段１２１が生成した照合データとダウンロードした属性ファイル１８内に含まれていた照合データとの一致を比較していたがこれに限らない。すなわち、例えばステップＳ２０６によって生成した照合データをアプリ／ＮＷ識別子対応データベース１３へ格納しておき、アプリケーション通信時にアプリケーション制御手段１４が照合データの一致を確認することで通信を許可するという方法でもよい。

次に、この実施例３の効果について説明する。
この実施例３によると、複数ネットワークからアプリケーションの一部をダウンロードすることにより、アプリケーションが複数のネットワークを使用して通信することを自動的に許可することができる。これは、アプリケーションの属性ファイルをダウンロードしたネットワークと異なるネットワークよりアプリケーション本体をダウンロードし、属性ファイル内の照合データとアプリケーション本体から生成される照合データとを照合することで、アプリケーションが改ざんされていないことを確認でき、同時に正しいサーバからダウンロードしていることを確認できるためである。

次に、実施例３の動作について、さらに具体的に説明する。この例では、携帯端末（通信端末）におけるＪａｖａアプリケーションのダウンロードを例として説明する。携帯端末は、高セキュアネットワークであるセルラネットワークと低セキュアネットワークである無線ＬＡＮネットワークに接続されているものとする。ダウンロードしたＪａｖａアプリケーションは、実行中にいずれかの前記ネットワークを使用して図３のダウンロードサーバ２と通信を行うことを想定している。

まず、Ｊａｖａアプリケーションのダウンロード処理について説明する。通常、Ｊａｖａアプリケーションのダウンロードは、ＡＤＦファイルまたはＪＡＤファイルと呼ばれる属性ファイルをダウンロードするところから始まる。携帯端末では、Ｊａｖａアプリケーションのサイズや作成元などの属性の検証を行い、必要であれば携帯端末のユーザにダウンロードしてよいかの確認を行う。ダウンロードすることが決定すると、携帯端末にＪａｖａアプリケーションの本体をダウンロードする。以下では、この流れに沿って説明する。

図４において、通信端末１Ｂのユーザは、図示しない入力装置などからダウンロードしたいＪａｖａアプリケーションを選択する。この際、通信端末１Ｂのダウンロード手段１１２は、選択されたＪａｖａアプリケーションの属性ファイル１８をダウンロードサーバ２よりダウンロードする。前述のように、無線ＬＡＮネットワーク５は信頼できないため、属性ファイル１８はセルラネットワーク４経由でダウンロードを行う。

ダウンロードした属性ファイル１８は属性解析手段１１３へと渡る。本実施例における属性ファイル１８を図６に示す。属性ファイル１８には、アプリケーション名のほか、アプリケーション本体のＵＲＬ、および使用するネットワークの種類（この例では、セルラ／無線ＬＡＮ）が記載されている。さらに、アプリケーション本体のハッシュ値が記載されている。ここでハッシュ値を生成するためのハッシュ関数は特に規定しないが、ダウンロードサーバ２と通信端末１Ｂにてあらかじめ決められているものでもよいし、セルラネットワーク４を管理する通信事業者が規定するものでもよい。また、属性ファイル１８内に記載されていてもよい。

属性解析手段１１３は、属性ファイル１８の検証を行い、無線ＬＡＮネットワーク５を使用するか否かを判定する。本実施例では、図６に示すようにハッシュ値（照合データ）が記載され、かつ使用するネットワークとして無線ＬＡＮが記載されているので、無線ＬＡＮネットワーク５を使用するＪａｖａアプリケーションと判定する。ダウンロードした属性ファイル１８は、ダウンロード手段１１２によって記憶手段１５へと格納される。

次に、属性ファイル１８内のアプリケーションＵＲＬに基づき無線ＬＡＮネットワーク５経由でアプリケーション１６の本体（アプリＡ）をダウンロードする。照合データ生成手段１２１は、ダウンロードしたアプリＡのハッシュ値を計算し、データ照合手段１２２は属性ファイル１８内のハッシュ値との照合を行う。この様子を図７に示す。

データ照合手段１２２は、属性ファイル１８内のハッシュ値と算出されたハッシュ値とが一致した場合、ダウンロードしたアプリＡは改ざんされておらず、信頼ができるものと判断し、セルラネットワーク４および無線ＬＡＮネットワーク５の両方のネットワークに接続することを許可する。

すなわち、アプリ／ＮＷ識別子対応データベース１３に、アプリＡのアプリケーション識別子に対応づけて、セルラネットワーク４のＮＷ識別子および無線ＬＡＮネットワーク５のＮＷ識別子を記憶させる。この様子を図８に示す。また、ダウンロードしたアプリＡを記憶手段１５に記憶させる。これにより、セルラネットワーク４および無線ＬＡＮネットワーク５を同時に、あるいは切り替えて使用することが可能となる。

次に、ダウンロードしたアプリＡの実行時の処理について説明する。アプリケーション制御手段１４はアプリＡからの通信要求を受け、アプリＡのアプリケーション識別子を基にアプリ／ＮＷ識別子対応データベース１３を検索し、対応するＮＷ識別子を取得する。
アプリケーション制御手段１４は取得したＮＷ識別子を通信手段１１１に引き渡し、通信手段１１１は通信先のネットワークを決定する。ここで、通信先のネットワークは現在使用可能なネットワークとＮＷ識別子から決定してもよい。

なお、本実施例では、ダウンロードした通信アプリケーション１６はダウンロードサーバ２のみと通信を行うこととしているがこれに限らない。すなわち、ダウンロードサーバ２が信頼できると判定された場合、同じサブネット内やドメイン内のサーバであれば信頼できると判断し通信を許可してもよい。この場合、通信アプリケーション１６は複数のサーバと通信ができる。

また、ダウンロードサーバ２とは別のサーバが信頼できると判定された場合、そのサーバとの通信を許可してもよい。この場合、通信アプリケーション１６は、ダウンロードサーバ２だけでなく複数のサーバと通信ができる。

本発明によれば、通信アプリケーションをダウンロードして実行する通信端末や、前記通信端末においてアプリケーションを安全に実行するための方法といった用途に適用できる。

Claims (26)

1. 第１のネットワークと、
   第２のネットワークと、
   前記第１および第２のネットワークに接続されるサーバと、
   通信端末とを備え、
   前記通信端末は、
   前記第１のネットワークから取得した通信アプリケーションの照合情報と前記第２のネットワークから取得した通信アプリケーションとを照合する照合手段と、
   前記照合手段により照合が一致した場合、前記通信アプリケーションに対して、前記第１のネットワークと前記第２のネットワークの少なくとも何れか一方の通信を許可する通信制御手段と
   を備えることを特徴とする通信制御システム。
2. 請求項１に記載された通信制御システムにおいて、
   前記第１のネットワークから取得した通信アプリケーションの照合情報はその通信アプリケーションの本体である
   ことを特徴とする通信制御システム。
3. 請求項２に記載された通信制御システムにおいて、
   前記通信端末の照合手段は、
   前記第１のネットワークから取得した通信アプリケーションと前記第２のネットワークから取得した通信アプリケーションとを比較し、両者が一致していた場合にその通信アプリケーションを信頼できるものと判断する
   ことを特徴とする通信制御システム。
4. 請求項２に記載された通信制御システムにおいて、
   前記通信端末は、さらに、
   前記通信アプリケーションとその通信アプリケーションの取得に使用したネットワークとを対応づけて記憶する記憶手段
   を備えることを特徴とする通信制御システム。
5. 請求項１に記載された通信制御システムにおいて、
   前記第１のネットワークから取得した通信アプリケーションの照合情報はその通信アプリケーションの属性情報である
   ことを特徴とする通信制御システム。
6. 請求項５に記載された通信制御システムにおいて、
   前記通信端末の照合手段は、
   前記第１のネットワークから取得した通信アプリケーションの属性情報に含まれる照合データと前記第２のネットワークから取得した通信アプリケーションから生成される照合データとを照合し、両者が一致していた場合にその通信アプリケーションを信頼できるものと判断する
   ことを特徴とする通信制御システム。
7. 請求項５に記載された通信制御システムにおいて、
   前記通信端末は、さらに、
   前記通信アプリケーションとその通信アプリケーションの取得およびその通信アプリケーションの属性情報の取得に使用したネットワークとを対応づけて記憶する記憶手段
   を備えることを特徴とする通信制御システム。
8. 請求項５に記載された通信制御システムにおいて、
   前記通信端末は、さらに、
   前記第１のネットワークから取得した通信アプリケーションの属性情報を解析し、その属性情報に前記第２のネットワークを使用する旨の情報および照合データが含まれていた場合、前記第２のネットワークからの前記通信アプリケーションの取得を指示する属性解析手段
   を備えることを特徴とする通信制御システム。
9. メモリに格納されているプログラムに従うコンピュータの処理動作によってネットワークにおける通信を制御する通信制御方法において、
   前記コンピュータは、
   第１のネットワークから通信アプリケーションの照合情報を取得するステップと、
   第２のネットワークから通信アプリケーションを取得するステップと、
   前記第１のネットワークから取得した通信アプリケーションの照合情報と前記第２のネットワークから取得した通信アプリケーションとを照合するステップと、
   照合が一致した場合、前記通信アプリケーションに対して、前記第１のネットワークと前記第２のネットワークの少なくとも何れか一方の通信を許可する通信制御ステップと
   を備えることを特徴とする通信制御方法。
10. 請求項９に記載された通信制御方法において、
    前記第１のネットワークから取得した通信アプリケーションの照合情報はその通信アプリケーションの本体である
    ことを特徴とする通信制御方法。
11. 請求項１０に記載された通信制御方法において、
    前記照合するステップは、
    前記第１のネットワークから取得した通信アプリケーションと前記第２のネットワークから取得した通信アプリケーションとを比較し、両者が一致していた場合にその通信アプリケーションを信頼できるものと判断する
    ことを特徴とする通信制御方法。
12. 請求項１０に記載された通信制御方法において、さらに、
    前記コンピュータは、
    前記通信アプリケーションとその通信アプリケーションの取得に使用したネットワークとを対応づけて記憶するステップ
    を備えることを特徴とする通信制御方法。
13. 請求項９に記載された通信制御方法において、
    前記第１のネットワークから取得した通信アプリケーションの照合情報はその通信アプリケーションの属性情報である
    ことを特徴とする通信制御方法。
14. 請求項１３に記載された通信制御方法において、
    前記照合するステップは、
    前記第１のネットワークから取得した通信アプリケーションの属性情報に含まれる照合データと前記第２のネットワークから取得した通信アプリケーションから生成される照合データとを照合し、両者が一致していた場合にその通信アプリケーションを信頼できるものと判断する
    ことを特徴とする通信制御方法。
15. 請求項１３に記載された通信制御方法において、さらに、
    前記コンピュータは、
    前記通信アプリケーションとその通信アプリケーションの取得およびその通信アプリケーションの属性情報の取得に使用したネットワークとを対応づけて記憶するステップ
    を備えることを特徴とする通信制御方法。
16. 請求項１３に記載された通信制御方法において、さらに、
    前記コンピュータは、
    前記第１のネットワークから取得した通信アプリケーションの属性情報を解析し、その属性情報に前記第２のネットワークを使用する旨の情報および照合データが含まれていた場合、前記第２のネットワークからの前記通信アプリケーションの取得を指示するステップ
    を備えることを特徴とする通信制御方法。
17. 第１のネットワークから通信アプリケーションの照合情報を取得する手段と、
    第２のネットワークから通信アプリケーションを取得する手段と、
    前記第１のネットワークから取得した通信アプリケーションの照合情報と前記第２のネットワークから取得した通信アプリケーションとを照合する照合手段と
    前記照合手段により照合が一致した場合、前記通信アプリケーションに対して、前記第１のネットワークと前記第２のネットワークの少なくとも何れか一方の通信を許可する通信制御手段と
    を備えることを特徴とする通信端末。
18. 請求項１７に記載された通信端末において、
    前記第１のネットワークから取得した通信アプリケーションの照合情報はその通信アプリケーションの本体である
    ことを特徴とする通信端末。
19. 請求項１８に記載された通信端末において、
    前記照合手段は、
    前記第１のネットワークから取得した通信アプリケーションと前記第２のネットワークから取得した通信アプリケーションとを比較し、両者が一致していた場合にその通信アプリケーションを信頼できるものと判断する
    ことを特徴とする通信端末。
20. 請求項１８に記載された通信端末において、さらに、
    前記通信アプリケーションとその通信アプリケーションの取得に使用したネットワークとを対応づけて記憶する記憶手段
    を備えることを特徴とする通信端末。
21. 請求項１７に記載された通信端末において、
    前記第１のネットワークから取得した通信アプリケーションの照合情報はその通信アプリケーションの属性情報である
    ことを特徴とする通信端末。
22. 請求項２１に記載された通信端末において、
    前記照合手段は、
    前記第１のネットワークから取得した通信アプリケーションの属性情報に含まれる照合データと前記第２のネットワークから取得した通信アプリケーションから生成される照合データとを照合し、両者が一致していた場合にその通信アプリケーションを信頼できるものと判断する
    ことを特徴とする通信端末。
23. 請求項２１に記載された通信端末において、さらに、
    前記通信アプリケーションとその通信アプリケーションの取得およびその通信アプリケーションの属性情報の取得に使用したネットワークとを対応づけて記憶する記憶手段
    を備えることを特徴とする通信端末。
24. 請求項２１に記載された通信端末において、さらに、
    前記第１のネットワークから取得した通信アプリケーションの属性情報を解析し、その属性情報に前記第２のネットワークを使用する旨の情報および照合データが含まれていた場合、前記第２のネットワークからの前記通信アプリケーションの取得を指示する属性解析手段
    を備えることを特徴とする通信端末。
25. 請求項１に記載された通信制御システムにおいて、
    前記通信端末の照合手段は、
    前記第１のネットワークから取得した通信アプリケーションのハッシュ値と前記第２のネットワークから取得した通信アプリケーションのハッシュ値とを照合する
    ことを特徴とする通信制御システム。
26. 請求項５に記載された通信制御システムにおいて、
    前記通信端末の照合手段は、
    前記第１のネットワークから取得した通信アプリケーションの属性情報に含まれるハッシュ値と前記第２のネットワークから取得した通信アプリケーションから生成されるハッシュ値とを照合し、両者が一致していた場合にその通信アプリケーションを信頼できるものと判断する
    ことを特徴とする通信制御システム。

Images