JP6337642B2 - パーソナルデバイスからネットワークに安全にアクセスする方法、パーソナルデバイス、ネットワークサーバ、およびアクセスポイント - Google Patents

Description

本発明はネットワークセキュリティに関し、より詳細には、無線接続のためのアクセスポイントを使用するネットワークのセキュリティに関する。ここにおいて、アクセスポイントとは、ユーザのデバイスまたは端末のようなデバイスに無線のリンクと、ネットワークへの有線（または潜在的には無線）のリンクを提供でき、そのネットワークへのデバイスのアクセスを可能にするネットワークプロバイダのことである。アクセスポイントまたは無線アクセスポイント（Wireless Access Point、ＷＡＰ）はＷｉ−Ｆｉ（Wireless Fidelity）、ＩＥＥＥ８０２．１１、または関連する標準規格を使用できる。アクセスポイントは通常は、（有線ネットワークを介して）スタンドアロンのデバイスとしてルータに接続されるが、ルータ自体に統合された構成要素としてもよい。

デバイスは任意のラップトップ、ＰＣ、携帯電話、携帯端末デバイスのような無線接続を可能にするデバイスの任意の形式であってよい。通常は、デバイスは個人が所有し個人に特有のものである。

一実施形態は、オフィスにおいてＢＹＯＤ（Ｂｒｉｎｇ Ｙｏｕｒ Ｏｗｎ Ｄｅｖｉｃｅ（パーソナルデバイスのオフィスへの持ち込み））方針を実現するときの企業（会社／店または事業所）のネットワークに対する潜在的なセキュリティリスクに特に関連している。ＢＹＯＤ方針は、従業員が自身で選択した如何なるパーソナルデバイスをもオフィス内または他の作業環境内に持ち込むことを可能にし、従業員がそのパーソナルデバイスをオフィスの作業に使用することを可能にする。これは従業員の生産性を改善でき、企業にとってのＩＴ関連のコストを下げることができる一方で、職務上のデータの安全な取扱いに関連する一連の問題をもたらす可能性もある。

ＢＹＯＤは、企業の世界に広まりつつある新しいトレンドである。このトレンドは、現在市場で入手可能な高性能デバイス（異なるオペレーティングシステム上で作動するデバイス）の非常に大きな数により拍車が掛けられている。従業員はそのような高性能デバイスを自身の個人使用のために所有し、同じデバイスが自分たちのオフィスの作業のいくらかまたはすべてに使用できることを要求する。これは、従業員が持ち運ばなければならないデバイスの数を削減し、従業員が慣れ親しんだデバイスとオペレーティングシステム（ＯＳ）で作業することも可能にする。

企業のＩＴサービスが、従業員により好まれているすべてのタイプのデバイスを購入し、従業員のＯＳをサポートし、３Ｇ／ＬＴＥまたは異なるオペレータを通して他の無線接続をサポートすることができないのは明白である。この選択をした場合の相当な複雑性に対して、ＢＹＯＤは遥かに単純で魅力的なものである。従業員は自身のデバイスを管理する主要な責任を持ち、企業は、例えば、職務上の通信に対するコストを支払う。従業員が自身の役職を退く又は変更したとしても、デバイスと（電話）番号は従業員により依然として保持される。ＢＹＯＤは従業員の生産性を向上することが示され、また作業条件に対する従業員の満足度も増大することを支援することも示された。

そのような利点が、ＢＹＯＤを多数の企業が積極的に受け入れるトレンドにした。しかしＢＹＯＤに関連するセキュリティリスクは、多数の企業（特に、高度機密データを取り扱う企業）に非常に慎重なアプローチを取ることを強要する。これらの企業は、ＢＹＯＤの利点を相殺するほどの、従来のＩＴセキュリティ機構を改善するための巨大なコストを考えてしまうかもしれない。

ＢＹＯＤセキュリティについての重要な問題の１つは、デバイスの紛失、盗難、改竄の場合に、どのようにして企業のデータセキュリティを確実にするかということである。その性質上、ＢＹＯＤデバイスは、仕事から離れた社会的イベント、集まりにおいて広く使用され、デバイスの紛失／盗難は普通に起こり得る。重要な問題は、ＢＹＯＤの作業環境を、社会生活およびレジャー環境からどのように分離するかである。通常は、デバイスがサーバ／ネットワークにアクセス（例えば、ＶＰＮを通して）するためのＩＴセキュリティは、２点セキュリティチェックを含む。サーバはデバイスの認証をチェックし、またパスワードを通して、ユーザの認証もチェックする。紛失、盗難、改竄されたデバイスに関しての問題は、パスワードを知ることができれば（これは不可能なことではない）、侵入者は、従業員の認証情報を使用して簡単にネットワークへのアクセスを得ることができる。

３点セキュリティチェックはこの状況を改善できる。上記のユーザパスワードとデバイスの２点チェックに加えて、ネットワークは、ＢＹＯＤデバイスにバイオメトリックチェック（指紋、虹彩認識、または他の物理的ＩＤのようなもの）をアクセスが認められる前に行うように要求できる。これは有効なセキュリティ対策であるが、今日の高性能デバイスでは、これらのバイオメトリックチェックを含むものはない（または非常に少ない）。将来、そのような高性能デバイスが市場に出回るようになっても、これらのデバイスは標準の高性能デバイスよりも相当に高価であり、このため、従業員がＢＹＯＤの選択をすることは、非常に少なくなるであろう。

そのため、デバイスまたはネットワークの複雑性またはコストに重大な影響を与えないで、パーソナルデバイスによるネットワークアクセスのセキュリティを増大する方法を提供することは望ましい。

第１態様の実施形態によれば、１つ以上の認可されたアクセスポイントを介してネットワークにアクセスすることのみが可能なパーソナルデバイスを使用して、ネットワークに安全にアクセスする方法が提供され、方法は、アクセスポイントを介してネットワークとパーソナルデバイスと間の接続を確立することと、ネットワークにおいてアクセスポイントが、ネットワークを使用するための認可されたアクセスポイントのホワイトリスト上にあるかをチェックすることと、アクセスポイントがホワイトリスト上にあれば、パーソナルデバイスがアクセスポイントを介してネットワークに安全にアクセスすることを可能にすることと、アクセスポイントがホワイトリスト上になければ、パーソナルデバイスがネットワークに安全にアクセスすることを可能にしないことと、を含む。

実施形態の背後にある原理は、ネットワークへのアクセスが、ユーザとユーザのパーソナルデバイスが利用できるアクセスポイントを制限することにより制限されるということである。

この実施形態は、安全に守られている企業のサーバ／ネットワークにアクセスポイント（Access Point、ＡＰ）の認証を設けることに基づいている。サーバ／ネットワークは、これらの認証されたアクセスポイント経由でのデバイスのみに接続を可能にする。これらの認証されたアクセスポイントは、オフィスネットワークにあってもよく、または従業員の家庭環境にあってもよい。出張の多い従業員には、企業は認証された携帯アクセスポイントも（ＷｉＦｉルータまたはＭｉＦｉさえも）また提供することができる。基本的な考えは、このＡＰの認証により、企業は、ＢＹＯＤデバイスがオフィスのネットワークにアクセスできる場所を制限できるということである。これは、社会的な相互交流の状況において大部分が起こる、デバイスの紛失または盗難があっても、ネットワークへの侵入のリスクを大幅に削減する。考慮されるＡＰのサービスエリアは、好ましくは、このソリューションを実現可能にするように小さく且つ制御可能であるとよい。このため、ＡＰは、フェムトセルのレベル、またはＷｉＦｉ ＡＰ、またはＭｉＦｉであってよい（ＭｉＦｉは「Ｍｙ Ｗｉ−Ｆｉ」の略。ＭｉＦｉデバイスは、携帯電話の通信事業者に接続でき、１０個までのデバイスに対してインターネットアクセスを提供できる）。他の代替は、ＳｏｆｔＡＰ（Software-Enabled APの略で、デバイス自体に組み込むことが可能）である。もちろん、ポータブルなＡＰは、位置に依存するセキュリティの利点は失うが、パーソナルデバイスの所有者の使用の柔軟性を増す。

技術的状況から、実施形態は、サーバ／ネットワークにおいてホワイトリストに登録された認証されたＡＰを使用することを含む。ＢＹＯＤデバイスがネットワークへのアクセスを要求するたびに、デバイスは、デバイスが接続するＡＰがこのホワイトリストにあるかを検証されるべきである。通常のアクセス方法（ＶＰＮを含む）は、ネットワーク（サーバ）とデバイスと間のハンドシェイクプロトコルを含むことができ、このプロトコルでは、デバイスの認証情報がチェックされ、ユーザはアクセスを得るためにパスワードを入力しなければならないこともよくある。実施形態が提案するものは、このハンドシェイクプロトコルに加えて、強化された保護を提供するためにＡＰを認証するプロトコルである。このため、方法は、安全なネットワークアクセスが認められる前に、ＡＰホワイトリストのチェック以外にも、少なくともパーソナルデバイスのチェックとユーザのチェックを含むセキュリティチェックのような追加的なチェックを更に含むことができる。

ホワイトリストは、任意の適切な方法で格納でき、例えば、車上、オンライン、セキュアチップ上、または他のセキュアメモリ内に格納できる。ホワイトリストは任意の適切な形状を取ることができ、好ましくは、各認可されたアクセスポイントに対するアクセスポイントの識別を含む。更に、登録事項の幾つか、またはそのすべてに対してＩＰアドレスのような情報を含むことができる。１つの好適な実施形態において、ホワイトリストは、認可されたアクセスポイントの幾つか、またはそのすべてに対して、認可の具体的な時間および／または日付を含み、ネットワークへの安全なアクセスは、ホワイトリストのチェックが、それらの認可されたアクセスポイントに対する認可の具体的な時間および／または日付の間に行われた場合のみ認められる。例えば、オフィス内のＡＰに対しては、オフィス時間以外はアクセスを遮断できる。失敗したハンドシェイクまたは間違ったユーザパスワードのようなこれらのおよび他の状況においては、アクセスポイントは認証され得るが、安全なアクセスは許可されない。効果の面では、ＡＰの認証はあってもよいが、認可は必ずしも常に行われるとは限らない。

アクセスポイントの識別自体は、任意の適切な形状を有することができる。例えば、識別はアクセスポイントのハードウェアを直接識別できる。このため、幾つかの実施形態において、アクセスポイントの識別は、アクセスポイントのハードウェアＩＤ、好ましくは、アクセスポイントのマイクロプロセッサのアクセスポイントのハードウェアＩＤを含む。

代替的または追加的に、アクセスポイントの識別は、構成ＩＤ、好ましくは、秘密鍵により暗号化され、公開鍵により抽出される暗号化フィールドを含むことができる。

ホワイトリストに対してアクセスポイントのＩＤをチェックする適切な方法は、パーソナルデバイスまたはネットワークの何れかがアクセスポイントのＩＤを要求することを含むことができる。

１つの好適な実施形態において、アクセスポイントがホワイトリスト上にあるかをチェックすることは、パーソナルデバイスがアクセスポイントからアクセスポイントの識別を要求することと、アクセスポイントがパーソナルデバイスに識別を提供することと、パーソナルデバイスがアクセスポイントの識別を、ホワイトリストとの比較のためにネットワークに送信することと、を含む。ホワイトリストとの比較が成功し、更なるセキュリティチェックが要求されない場合は（例えば、デバイスとユーザのチェックが既に行われている場合）は、最大限のＶＰＮセッションのような安全なネットワークアクセスを認めることができる。代替的に、オフィス内のＡＰに対するタイミングチェックまたは追加のセキュリティクロスチェックのような更なるセキュリティチェックがあってもよい。

一実施形態において、パーソナルデバイスがアクセスポイントの識別をネットワークに送るステップは随意である。デバイスは、ネットワークがアクセスポイントをアドレス指定することを可能にするアクセスポイント参照情報を送ることができ、参照情報はアクセスポイントの識別を含んでも含まなくてもよい。アクセスポイントの識別が提供される（ホワイトリストとの初期の比較が可能となる）されないに拘わらず、ネットワークは、アクセスポイントに直接アクセスポイントの認証を要求し、このアクセスポイントの認証は、ネットワークアクセスが認められる前に、ホワイトリストのチェックのためにネットワークへ送信される。このようにして、情報はパーソナルデバイスとは独立して提供される（そして随意にパーソナルデバイスから供給されたＩＤを確証するために使用される）。これは、デバイスのセキュリティが危険に晒されているときは有用であり得る。

一旦安全なネットワークアクセスが認められた後でも、厳格なセキュリティ体制を適用し続けることは有益である可能性がある。これを行うための１つの方法は、デバイスがネットワークへのアクセスを停止しているときは如何なるデータも消去することである。そのようなデータは、例えばアプリケーションレベルで、時間情報または任意の他の適切な方法で識別できる。このため、１つの利点のある展開によれば、パーソナルデバイスが一旦ネットワークにアクセスポイントを介して安全にアクセスしていて、もはやパーソナルデバイスがネットワークに安全にこれ以上アクセスしない場合は、ネットワークからダウンロードされたデータは、パーソナルデバイスのメモリから消去される。

別のセキュリティ強化機能は、移動体通信システムにおけるハンドオーバーに関する。好ましくは、パーソナルデバイスがアクセスポイントと移動体通信システムを介してネットワークにアクセスしている間は、パーソナルデバイスは、現在のセルの外側へのハンドオーバーが阻止される。一実施形態において、アクセスポイントは、如何なる新しいアクセスポイントについてのアクセスポイントの認証を、ホワイトリストに対する比較のためにネットワークに供給する。

任意の適切なアクセスポイントを使用できる。例えば、アクセスポイントは、携帯ルータ、移動体通信システムへのポータブルなインターネット接続、またはフェムトセル用の携帯基地局のような携帯アクセスポイントであってよい。

従って、パーソナルデバイスとアクセスポイントと間の接続経路は無線であってよく、一方、アクセスポイントとネットワークと間の接続経路は有線、または場合によっては無線であってよい。例えば、ＡＰはホストネットワークに無線で接続してエクステンダ（機能拡張機器）として作動できる。

ホワイトリストを設定するために、ＡＰを登録する工程を含めることができる。このため、方法は、少なくとも１つのアクセスポイントがネットワークに登録され、認可されたアクセスポイントのリストに追加される初期設定段階を含むことができる。この工程は、会社のオフィスで、またはデバイスを使用して行われる「アクセス会社リソース（Access Corporate Resources）」動作としての既存のＶＰＮセッションのような既存の安全なアクセス機構のもとで行うことができる。

一例において、デバイスはアクセスポイントのＩＤを要求でき、受け取った後、そのアクセスポイントのＩＤを、ホワイトリストにおける登録のためにネットワークに提供できる。

安全なネットワークアクセスの種々の方法が当業者には知られており、実施形態に適用可能である。１つの方法は、ウェブメールにアクセスするためにしばしば使用されるような、シンプルなＨＴＴＰＳ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｅ（ハイパーテキスト転送プロトコルセキュア））ブラウザ接続である。別の方法は、完全なＶｉｒｔｕａｌ Ｃｌｉｅｎｔ Ｓｏｌｕｔｉｏｎ（仮想クライアントソリューション）である。おそらくもっとも普通の方法は、ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ（仮想プライベートネットワーク））アクセスであろう。これらのプロトコルの詳細は実施形態の範囲外である。これらのおよび他のプロトコルにおいて、基礎となるソフトウェアは、ここで詳述したアクセスポイントの認証と認可を含むように拡長可能である。

幾つかの実施形態によれば、ネットワークとパーソナルデバイスと間の接続はＶＰＮ接続であり、パーソナルデバイスは、アクセスポイントがホワイトリスト上にあれば（および何れの更なるセキュリティチェックも満足されれば）、最大限のＶＰＮ接続またはセッションを使用してネットワークにアクセスする。

パーソナルデバイスの態様の実施形態によれば、１つ以上の認可されたアクセスポイントを介してのみネットワークにアクセスするように配置されているパーソナルデバイスが提供され、パーソナルデバイスはコントローラと、送信機と、受信機と、を含み、コントローラは、アクセスポイントを介してネットワークに接続し、アクセスポイントとネットワークと通信して、アクセスポイントが、ネットワークを使用するための認可されたアクセスポイントのホワイトリスト上にあるかをチェックするように送信機と受信機を制御し、アクセスポイントがホワイトリスト上にあれば、パーソナルデバイスはアクセスポイントを介してネットワークへのアクセスが可能とされ、アクセスポイントがホワイトリスト上になければ、パーソナルデバイスはネットワークへのアクセスが可能とされない。

従って、パーソナルデバイスは認可されたアクセスポイントの１つを使用しない限りネットワークにアクセスできない。好ましくは、パーソナルデバイスは、上述のＢＹＯＤである。

ネットワークサーバの態様の実施形態によれば、パーソナルデバイスからのネットワークへの安全なアクセスを、認可されたアクセスポイントを介してのみ可能にするように配置されているネットワークサーバが提供され、ネットワークサーバはプロセッサと、メモリと、ネットワークの外の外部リンクと、を含み、メモリは、ネットワークを使用するための認可されたアクセスポイントのホワイトリストを格納するように配置されており、プロセッサは、外部リンクと、パーソナルデバイス用のアクセスポイントを介してパーソナルデバイスへの外部接続を確立するように配置されており、プロセッサは、アクセスポイントがホワイトリスト上にあるかをチェックし、アクセスポイントがホワイトリスト上にあれば、パーソナルデバイスがアクセスポイントを介してネットワークにアクセスすることを可能にし、アクセスポイントがホワイトリスト上になければ、パーソナルデバイスがネットワークにアクセスすることを可能にしないように配置されている。

認可されたアクセスポイントを介してのパーソナルデバイスのアクセスを可能にするのみの結果としてネットワークのセキュリティは増大する。

アクセスポイントの形態の実施形態によれば、パーソナルデバイスがネットワークに安全にアクセスすることを可能にするように配置されている認可されたアクセスポイントが提供され、アクセスポイントは、アクセスポイントの識別と、プロセッサと、ネットワークとパーソナルデバイスへの接続のためのアクセス手段と、含み、プロセッサは、ネットワークとパーソナルデバイスと間の接続を、アクセス手段を介して確立するように配置されており、プロセッサは要求されると、アクセスポイントがネットワークを使用するための認可されたアクセスポイントのホワイトリスト上にあるかをネットワークでチェックするために、アクセスポイントの識別を送信するように配置されており、アクセスポイントは、アクセスポイントがホワイトリスト上にあればパーソナルデバイスとネットワークと間の安全な接続を可能にするように配置されており、一方、アクセスポイントがホワイトリスト上になければ、アクセスポイントは、ネットワークへの安全なアクセスを提供できない。

これらの個々のネットワーク構成要素（デバイス、ＡＰ、およびサーバ）のそれぞれに対して別の方法の態様もまた提供され、方法のステップは装置の態様に対する記述と同様に、ネットワーク構成要素により行われる。

ＶＰＮの態様の実施形態によれば、パーソナルデバイスと、アクセスポイントと、プライベートネットワークサーバと、を含むＶｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ（仮想プライベートネットワーク） ＶＰＮが提供され、パーソナルデバイスとネットワークサーバは、アクセスポイントを介して最大限のＶＰＮセッションの下で通信するように配置されており、ネットワークサーバは、ネットワークを使用するための認可されたアクセスポイントのホワイトリストを含み、アクセスポイントはホワイトリスト上にある。

ＶＰＮの態様の別の実施形態によれば、前述したパーソナルデバイスと、前述したアクセスポイントと、前述したネットワークサーバと、をリンクするＶＰＮが提供される。

コンピュータプログラムの態様によれば、パーソナルデバイス、アクセスポイントおよび／またはネットワークサーバのプロセッサ（またはコントローラ）上で実行されると、前述した方法の何れかにおいて定義された方法を実行するコンピュータプログラムを提供できる。更なるコンピュータプログラムの態様は、パーソナルデバイスまたはアクセスポイントまたはネットワークサーバのプロセッサ（またはコントローラ）上で実行されると、パーソナルデバイスまたはアクセスポイントまたはネットワークサーバを、基地局の態様の何れかで定義されるように機能をさせるコンピュータプログラムを提供できる。

異なる態様の何れの特徴および副次的特徴を自由に組み合わせることができる。例えば、デバイス、アクセスポイント、ネットワークサーバ、またはＶＰＮの好適な実施形態を、方法の態様の１つ以上の好適な特徴に対応する機能性を組み込むように構成できる。

実施形態は、コンピュータハードウェア、ファームウェア、ソフトウェア、またはそれらの組み合わせにおいて実現可能である。実施形態はコンピュータプログラムとして、またはコンピュータプログラム製品として、つまり、ある情報キャリア、例えば、機械読取り可能記憶デバイス、または１つ以上のハードウェアモジュールによる実行のため、その動作を制御するために伝達された信号において、具体的に具現化されたコンピュータプログラムとして実現可能である。

コンピュータプログラムは、１つのコンピュータプログラム部分または２つ以上のコンピュータプログラムの形状であることが可能で、機械語プログラム化された、または機械言語に翻訳処理された言語を含むプログラミング言語の如何なる形状でも記述することが可能で、スタンドアロンプログラムとしてまたはモジュール、コンポーネント、サブルーチン、またはデータ処理環境においての使用に適切な他のユニットを含む如何なる形状においても展開可能である。コンピュータプログラムは、１つのサイトにおいて１つのモジュールまたは複数のモジュール上で実行されるように展開可能であり、または複数のサイトを跨いで配布し、通信ネットワークにより相互接続することも可能である。

実施形態の方法のステップは、１つ以上のプログラム可能プロセッサがコンピュータプログラムを実行して、実施形態の機能を、入力データを処理して、出力を生成することにより実行することで行うことができる。各プロセッサは、１つ以上のコアを有することができる。

コンピュータプログラムの実行のために適切なプロセッサ／コントローラには、例として、汎用マイクロプロセッサおよび特殊用途マイクロプロセッサの双方と、デジタルまたは生物学的コンピュータ（バイオコンピュータ）の如何なる種類の如何なる１つ以上のプロセッサが含まれる。一般的に、プロセッサは読取り専用メモリまたはランダムアクセスメモリまたはその両者から指令とデータを受け取る。

実施形態は、特別な実施形態の観点から記述されている。他の実施形態は、特許請求の範囲内である。例えば、実施形態のステップは、異なる順序で行うことができ、それによっても所望の結果を達成できる。

好適な実施形態に係る装置は、ある機能を実行するように構成、または操作可能に、またはある機能を実行するように配置されているとして記述されている。この構成または配置は、ハードウェアまたはミドルウェアまたは任意の他の適切なシステムの使用に基づくことができる。好適な実施形態においては、構成または配置はソフトウェアによる。

実施形態はここで、図面に示されているように、具体的な、しかし非制限的な実施形態を参照して記述される。

パーソナルデバイスと、アクセスポイントと、ネットワークと間のリンクを示す模式図である。 発明の一般的な実施形態を例示するフローチャートである。 ホワイトリスト登録事項の設定フェーズを示す信号伝達図である。 会社のネットワークへの成功した接続を示す信号伝達図である。 会社のネットワークへの代替の成功した接続を示す信号伝達図である。 会社のネットワークへの失敗した接続を示す信号伝達図である。 パーソナルデバイスの模式図である。 アクセスポイントの模式図である。 ネットワークサーバの模式図である。

図１は、実施形態における構成要素を例示している。パーソナルデバイスまたはＢＹＯＤ１０はアクセスポイントまたはＡＰ２０に無線でリンクされ、ＡＰ２０はＢＹＯＤとネットワーク（のネットワークサーバ３０のみが示されている）と間の接続を提供する。実施形態において、ＢＹＯＤのネットワークへの接続を可能にするためには、アクセスポイントはネットワークホワイトリスト（ネットワーク上の何れの場所にも格納できるが、ネットワークサーバが利用可能である）上になければならない。

図２は、実施形態の全体的なフローチャートである。ステップＳ１０においてＡＰを介してネットワークとパーソナルデバイスと間で接続が確立される。この接続は、ＶＰＮセッションのようなネットワークのコンテンツへの安全なリンクではまだないが、ネットワークがステップＳ２０で、ＡＰが認可されたＡＰのリスト上にあるかをチェックすることを可能にする。チェックの結果が（ＹＥＳ）であれば、ステップＳ３０で、このＡＰを介してアクセス手順を継続できる。アクセスをこの段階で直接認めることもできる。代替として、ステップ４０において更なるセキュリティチェックがあってもよい（これらのチェックは、手順のこの段階で使用されない場合は、前もって実行されていてもよい）。すべての更なるチェックもまた成功すると、ステップＳ５０において安全なネットワークアクセスが開始する。

アクセスポイントがホワイトリスト上になければ（ＮＯ）、このＡＰを介してのネットワークアクセスは許可されず、そのため、アクセスはステップＳ６０で拒絶される。

図３〜６は、より詳細な実施形態を示しており、ＢＹＯＤクライアントから会社のサーバへの安全なアクセスがＶＰＮを介して認められる。これらの実施形態は、ＢＹＯＤクライアントと会社のサーバと間のＶＰＮ接続を確立する工程において、既知のセキュリティ機構の他に追加ステップを含む。これらの工程はまた、初期設定段階を必要とする。図３〜６のシーケンス図はこれら２つの工程の概要を示している。図３は、設定フェーズを示している。図４は、成功したアクセス接続を示している。図５は、成功する接続を交渉して取り決める代替の機構を示している。図６は、失敗したアクセス接続を示している。

ところで、これらの図すべてにおいて、会社のサービスへのアクセスは常にＡＰを介するものである。ＡＰがシーケンス図において現れるときは、例えば、要求に応えるためにプロトコルにおけるエージェント（仲介機構）として機能している。これ以外のときは、ＡＰはネットワークの構成要素としてユーザには見えない形で機能し、この役割はシーケンス図には例示されていない。これらの図における、より濃い垂直の区画は、単純なデータ交換ではなく、要求された処理に対するＵＭＬ（Unified Modeling Language）表記法である。

図３において、ＢＹＯＤクライアントはＡＰ ＩＤを要求し、ＡＰ ＩＤがＢＹＯＤクライアントに返される。そしてＢＹＯＤクライアントはこのＡＰ ＩＤを会社のＩＴサービスへ送り、会社のＩＴサービスはこのＡＰ ＩＤを会社のサーバにより保持されているホワイトリストに登録する。図３の設定工程は、会社のオフィス（この場合、更なるセキュリティは要求されなくてもよい）において行うことができ、またはＢＹＯＤが会社のリソースにアクセスし、そのため、ホワイトリスト上に既に登録されているＡＰを介するＶＰＮセッションのもとで行うことができる。

会社のＩＴサービスはサーバから分離して示されており、重要な役割の分離がここにはあり、これは必要ないが、通常は分離したハードウェアである。会社のＩＴサービスとの相互作用の間に何らかの使用された入力がある可能性があり、例えば、ＩＴ管理部は、会社の方針の何らかの形状を介する特別なＡＰを承認しなければならないこともあり得る。ＡＰ ＩＤを提供するＢＹＯＤからの最終メッセージは、ＡＰのネットワーク機能を介して、会社のＩＰサービス（ここでは何らかの承認がされなければならない）へ送られ、そして、後での使用のために利用可能な会社のサーバに送られる。

図４において、ＢＹＯＤはＡＰを介して会社のネットワークにアクセスを試みる。最初はＶＰＮ接続を確立して、ＶＰＮ管理セッションを確立する。ＶＰＮ接続とＶＰＮセッション管理プロトコルは非常に複雑で、当業者であれば知っているであろう多数の異なる実現されたプロトコル（規格に基づいた実現されたプロトコルを含む）がある。これ以上の詳細は実施形態の範囲外である。これらの実施形態の目的のために、重要なポイントは、接続とセッションの分離であり、それにより、ＡＰ ＩＤは、ウェブアクセス、ｅメール、会社のアプリケーション、バックアップのような、遠隔作業のために必要なすべての会社のリソースを含むことができるネットワークのリソースへのアクセスの前に認証される（そして、最大限のセッションが認可される）。

図４によれば、ＢＹＯＤクライアントはまず会社のサーバとのＶＰＮ接続を確立する（ＡＰを介するが、上記したようにこれは例示されていない）。会社のサーバはＶＰＮ管理セッションを可能にする。ＢＹＯＤクライアントはＡＰ ＩＤを要求し、ＡＰ ＩＤはＡＰにより送られ、そしてＢＹＯＤクライアントはＩＤを使用するＡＰの認証を要求する。ＩＤはホワイトリストに対して有効性が確認され、認可に必要な他のすべてのステップが行われる（または、既に行われている）。会社のサーバは最大限のＶＰＮセッションを作成し、それによりＢＹＯＤクライアントは会社のリソースへのアクセスが可能とされる。

図５は等価な図を示しているが、接続のための認証と認可工程にわずかな違いがある。最初、ＢＹＯＤクライアントは会社のサーバとのＶＰＮ接続を確立して、これまでのようにＡＰ ＩＤを要求する。そしてＢＹＯＤは、サーバがアクセスポイントをアドレス指定するための（つまり、インターネット上で探すための）十分な情報を含むＡＰ参照情報を会社のサーバに提供する。参照情報は、ＡＰのＩＰアドレスと共にＩＤ情報を含むことができる。この段階でＩＤ情報が提供されると、ホワイトリストに対する最初の有効性の確認があり得るが、ＩＤがホワイトリスト上にあっても、最大限のネットワークアクセスは認められない。

そして、会社のサーバはＡＰに認証を要求する。このため、ＡＰは、ＡＰ自体の認証の認証情報をサーバに直接提供する。これは、ＩＤ情報の独立した提供、またはＢＹＯＤクライアントにより提供された情報の独立した確証を可能にし、ＢＹＯＤが何らかの安全でない状況のときには有用であり得る。ＡＰは認証を提供し、ＡＰの使用が認可され（おそらく、更なるセキュリティチェックの後で）、最大限のＶＰＮ接続が認められるのを可能にし、それによりＢＹＯＤクライアントは会社のリソースにアクセスできる。

図４と５の両図は、図３に例示された設定フェーズで使用できる。図５の接続工程は潜在的に、より安全または、よりダイナミックであると見ることもでき、その理由は、会社の更なる制御を可能にし、一方、図４の工程は、ＡＰが最初に会社からアクセス可能であることを要求しないからである。

図６は、図４と同じ接続工程を示しているが、ホワイトリストに対する有効性の確認が失敗した場合は、ＶＰＮ管理セッションの終了という結果になる。

実施形態は、上記の接続工程または、他の接続工程のいずれかにおける認証に対して、ＡＰ ＩＤの代替形状を使用できる。

〔チップレベルの識別子によるＡＰの認証〕
２つの変形例の最初において（一般的には好適な変形例）、アクセスポイントのＩＤはアクセスポイントのハードウェア、おそらくデバイスの中心部のマイクロプロセッサにより提供される。これは、ハードウェアの不変属性であるので、改竄され得ないのでこのＩＤの好ましいソースである。

〔暗号化データ証明書によるＡＰの認証〕
これら２つの変形例の二番目において、アクセスポイントのＩＤは、構成ＩＤに基づくアクセスポイントにより提供される。このＩＤは、この実施形態を利用する会社により保持されている秘密鍵で暗号化された暗号化フィールドであるべきである。公開鍵は、工程における有効性確認ステップにおいてＩＤを抽出するために使用される。

実施形態のソリューションを実施するための付随する特徴は、ＢＹＯＤデバイスがネットワークにアクセスした後に、ＢＹＯＤデバイス内のデータを消去するネットワーク（またはＡＰ）の機能である。これは、デバイスが認証されたＡＰのサービスエリアを去るとき、またはデバイスがシャットダウンされるときに起こる。それは、安全に保管されたデータ（会社の情報）が何もデバイスに保持されていないことを確実にする。

データセキュリティを維持するために使用される別の付随する特徴は、認証されたＡＰを通してデバイスが、例えば、３Ｇまたは４Ｇセルラーモードを使用してサーバに接続するときに、それ（デバイス）が（例えば、外部のマクロセルネットワークへ）ハンドオーバーされることが可能にされないということである。仮にこのハンドオーバーが可能であると、デバイスがサーバアクセスを継続でき且つ依然として広域においてローミングできるので、セキュリティ破断が発生する可能性がある。

１つの実施形態において、デバイスがハンドオーバー（ＡＰの変更）を試みるときはいつも、ソースＡＰは試みられた目的地ＡＰのＩＤをサーバに示すべきである。そして、サーバは、このＡＰが登録されているか否かをホワイトリスト上でチェックすべきである。ＡＰが登録されていれば、サーバはこのデバイスにアクセスの提供を継続すべきである（これは、デバイスがオフィス（または他の「安全ゾーン」）の内部を移動していて、別のオフィスＡＰのサービスエリア内に移動しつつあることを示唆している）。目的地ＡＰがホワイトリストになければ、サーバは接続を切断して、随意に、デバイスから機密データを消去する手段を取るべきである。

図７は、パーソナルデバイス１０における構成要素のブロック図であり、パーソナルデバイス１０はＢＹＯＤとして機能できる。コントローラ１００は、送信機２００と受信機３００（この両者は送受信機として一緒に提供できる）の動作を制御する。コントローラは送信機と受信機を制御して、実施形態を使用して、ネットワークのリモートアクセスのために必要な通信を行う。これには、デバイスのための操作機能性と、更なるセキュリティチェックなどのための追加機能性を含むことができる。

図８は、アクセス手段５００を制御するプロセッサ（またはコントローラ）４００を含むＡＰ２０のブロック図である。アクセス手段は、パーソナルデバイスへの接続のための、およびネットワークに対する有線接続のための送信機／受信機または送受信機であることが予想されるが、他の構成もまた可能で、同じアクセス手段を、ネットワークとパーソナルデバイスへの接続のために潜在的に使用できる。

図９は、ホワイトリストを保持するメモリ８００と、動作を制御するプロセッサ９００と、ＡＰを介してのパーソナルデバイスへの外部リンク７００（無線または有線または両者）を含むネットワークサーバ３０のブロック図である。他のネットワークの構成要素への内部リンクのような更なる構成要素は図示されていない。

〔代替ソリューションに対する実施形態の利点〕
このセキュリティ問題に対するための他のソリューションは、会社のネットワークへのアクセスを可能にする前のユーザのより厳しい認証がおそらく中心となるであろう。これには３点チェック、つまり、証明書によるデバイスの認証、パスワードによるユーザの認証、および指紋または虹彩チェックなどを使用する更なるバイオメトリックなユーザの認証を含むことができる。そのようなソリューションに対する実施形態の利点は次のようである。
・バイオメトリックな認証を提供するデバイスは高価である可能性がある。すべてのユーザがそのようなデバイスを必要とするので、企業のネットワークを運営する総コストは増大するであろう。実施形態は、そのような追加的コストを引き起こさない。
・この追加的セキュリティの特徴のため、ネットワークへのアクセスを得ることは、ユーザの手順を含むので時間がかかり面倒なこととなる可能性がある。実施形態はユーザには見えず、ネットワークアクセス工程の複雑さをそれほどには増大させない。
・２つの分離した構成要素において認証責任を有していることは、侵入者がアクセスを得るためにはこれら両者のエンティティを違法に攻略しなければならないので、セキュリティを高める。

要約すると、実施形態は、オフィスにおけるＢＹＯＤ（Bring Your Own Device）方針を実現する際の企業ネットワークに対する潜在的セキュリティリスクを調べて新しいソリューションを提供する。ＢＹＯＤ方針は、従業員が自身の選択による如何なるパーソナルデバイスでもオフィスに運び込み、それをオフィス作業に使用することを可能にする。これが従業員の生産性を改善し、企業に対するＩＴ関連コストを削減する一方で、職務上のデータの安全な取扱いに関連する一連の問題をもたらす可能性がある。実施形態のソリューションは、前記ＢＹＯＤデバイスがオフィスのネットワークに接続できるアクセスポイントの数を制限することによりこれらのリスクを削減する。これらの選択的アクセスポイントは、オフィス内や従業員の家に置くことも可能で、従業員が持ち運べる携帯アクセスポイントも含むことができる。幾つかの実施形態は、このソリューションにおいて、企業のネットワークがどのようにアクセスポイントを（慣例のデバイスの認証に加えて）認証できるかに関する方法を提供する。

実施形態は、紛失、盗難、または改竄されたＢＹＯＤデバイスが、安全に保護されているフィスネットワークへの認可されていないアクセスを得るために使用されるリスクを削減する。将来における企業のＩＴ部門に対する大きな課題の１つは、上記のような方法による認可されていないアクセスからどのようにしてネットワークのセキュリティを確実にするかということに関することであろう。この問題に対する現在のソリューションは、例えば、ネットワークがアクセスされる都度のユーザに対するバイオメトリックチェックを含む３点方式のセキュリティの提供であるが、これは非常に複雑でコストがかかる。実施形態のソリューションは実現が遥かに簡単で、ユーザエンドにおける追加的な複雑さをもたらさず、また、ＩＴサービスに対する追加的作業負荷ももたらさない。これがＢＹＯＤが何れの場所からもネットワークアクセスができるという柔軟性を削減する可能性もあるが、大部分の普通の作業場（オフィスや家庭のような場所）に対してアクセスを提供する。また、そのようなチェックが必要になった場合に、ＩＴ部門がすべてのデバイスのネットワークアクセス地点を追跡することを可能にする。

Claims (16)

1. １つ以上の認可されたアクセスポイントを介してネットワークにアクセスすることのみが可能なパーソナルデバイスを使用して前記ネットワークへアクセスする方法であって、
   前記ネットワークと前記パーソナルデバイスと間の接続を、アクセスポイントを介して確立することと、
   前記ネットワークにおいて、前記アクセスポイントが、前記ネットワークを使用するための認可されたアクセスポイントのホワイトリスト上にあるかをチェックすることと、
   前記アクセスポイントが前記ホワイトリスト上にあれば、前記パーソナルデバイスが前記アクセスポイントを介して前記ネットワークに安全にアクセスすることを可能にすることと、
   前記アクセスポイントが前記ホワイトリスト上になければ、前記パーソナルデバイスが前記ネットワークに安全にアクセスすることを可能にしないことと、を含み、
   前記ネットワークは、前記アクセスポイントにアクセスポイントの認証を要求し、該アクセスポイントの認証は、ネットワークアクセスが認められる前に前記ホワイトリストとの比較のため前記ネットワークに直接送信される、方法。
2. 前記ネットワークへの安全なアクセスが認められる前に、少なくともパーソナルデバイスのチェックとユーザのチェックとを含むセキュリティチェックを更に含む、請求項１に記載の方法。
3. 前記ホワイトリストは、認可されたアクセスポイントのそれぞれに対するアクセスポイントの識別を含み、幾つかのまたはすべての認可されたアクセスポイントの認可の具体的な時間および／または日付も含み、
   前記ネットワークへの安全なアクセスは、前記ホワイトリストのチェックが、それらの認可されたアクセスポイントの認可の前記具体的な時間および／または日付の間に行われた場合のみ認められる、請求項１または２に記載の方法。
4. 前記アクセスポイントの識別は、アクセスポイントのハードウェアＩＤ、アクセスポイントのマイクロプロセッサのアクセスポイントのハードウェアＩＤを含む、請求項３に記載の方法。
5. 前記アクセスポイントの識別は、構成ＩＤ、秘密鍵で暗号化され、公開鍵で抽出される暗号化フィールドを含む、請求項３または４に記載の方法。
6. 前記アクセスポイントが前記ホワイトリスト上にあるかをチェックすることは、
   前記パーソナルデバイスが前記アクセスポイントに前記アクセスポイントの識別を要求することと、
   前記アクセスポイントが、前記パーソナルデバイスに前記識別を提供することと、
   前記パーソナルデバイスが、前記ホワイトリストとの比較のために、前記ネットワークに前記アクセスポイントの識別を送信することと、を含む、請求項３〜５の何れか一項に記載の方法。
7. いったん前記パーソナルデバイスが前記ネットワークに前記アクセスポイントを介して安全にアクセスしていて、前記パーソナルデバイスがもはや前記ネットワークに安全にアクセスしなければ、前記ネットワークからダウンロードされた如何なるデータも、前記パーソナルデバイスのメモリから消去される、請求項１〜６の何れか一項に記載の方法。
8. 前記パーソナルデバイスが前記アクセスポイントと移動体通信システムを介して前記ネットワークにアクセスしている間、前記パーソナルデバイスは、現在のセルの外側へのハンドオーバーが阻止され、
   前記アクセスポイントは、前記ホワイトリストとの比較のために、前記ネットワークに如何なる新しいアクセスポイントの前記アクセスポイントの認証を供給する、請求項１〜７の何れか一項に記載の方法。
9. 前記アクセスポイントは、携帯ルータ、移動体通信システムへのポータブルなインターネット接続、またはフェムトセル用の携帯基地局のような携帯アクセスポイントである、請求項１〜８の何れか一項に記載の方法。
10. 前記パーソナルデバイスと前記アクセスポイントと間の接続経路は無線であり、前記アクセスポイントと前記ネットワークと間の前記接続経路は有線である、請求項１〜９の何れか一項に記載の方法。
11. 少なくとも１つのアクセスポイントが前記ネットワークに登録され、認可されたアクセスポイントの前記リストに追加される初期設定段階を含む、請求項１〜１０の何れか一項に記載の方法。
12. 前記ネットワークと前記パーソナルデバイスと間の前記接続はＶＰＮ接続であり、前記パーソナルデバイスは、前記アクセスポイントが前記ホワイトリスト上にあれば、最大限のＶＰＮ接続またはセッションを使用して前記ネットワークにアクセスする、請求項１〜１１の何れか一項に記載の方法。
13. １つ以上の認可されたアクセスポイントを介してのみネットワークにアクセスするように配置されているパーソナルデバイスであって、前記パーソナルデバイスはコントローラと、送信機と、受信機と、を含み、前記コントローラは前記送信機と受信機を、
    アクセスポイントを介して前記ネットワークに接続し、
    前記アクセスポイントと前記ネットワークと通信して、前記アクセスポイントが、前記ネットワークを使用するための認可されたアクセスポイントのホワイトリスト上にあるかをチェックするように制御し、
    前記アクセスポイントが前記ホワイトリスト上にあれば、前記パーソナルデバイスは、前記アクセスポイントを介して前記ネットワークにアクセスすることを可能とされ、
    前記アクセスポイントが前記ホワイトリスト上になければ、前記パーソナルデバイスは、前記ネットワークにアクセスすることを可能とされず、
    前記ネットワークは、前記アクセスポイントにアクセスポイントの認証を要求し、該アクセスポイントの認証は、ネットワークアクセスが認められる前に前記ホワイトリストとの比較のため前記ネットワークに直接送信される、パーソナルデバイス。
14. 認可されたアクセスポイントを介してのみパーソナルデバイスから前記ネットワークへの安全なアクセスを可能にするように配置されるネットワークサーバであって、
    前記ネットワークサーバはプロセッサと、メモリと、前記ネットワークの外の外部リンクと、を含み、
    前記メモリは、前記ネットワークを使用するための認可されたアクセスポイントのホワイトリストを格納するように配置されており、
    前記プロッサは、前記外部リンクと、前記パーソナルデバイス用のアクセスポイントを介して、前記パーソナルデバイスへの外部接続を確立するように配置されており、
    前記プロセッサは、前記アクセスポイントが前記ホワイトリスト上にあるかをチェックし、前記アクセスポイントが前記ホワイトリスト上にあれば、前記パーソナルデバイスが前記アクセスポイントを介して前記ネットワークにアクセスすることを可能にし、または、前記アクセスポイントが前記ホワイトリスト上になければ、前記パーソナルデバイスが前記ネットワークにアクセスすることを可能にしないように配置され、
    前記ネットワークは、前記アクセスポイントにアクセスポイントの認証を要求し、該アクセスポイントの認証は、ネットワークアクセスが認められる前に前記ホワイトリストとの比較のため前記ネットワークに直接送信される、ネットワークサーバ。
15. パーソナルデバイスがネットワークに安全にアクセスすることを可能にするように配置されている認可されたアクセスポイントであって、前記アクセスポイントは、前記アクセスポイントの識別と、プロセッサと、前記ネットワークと前記パーソナルデバイスへの接続のためのアクセス手段と、を含み、
    前記プロセッサは、前記アクセス手段を介して、前記ネットワークと前記パーソナルデバイスと間の接続を確立するように配置されており、
    前記プロセッサは、要求されたときに、前記アクセスポイントが、前記ネットワークを使用するための認可されたアクセスポイントのホワイトリスト上にあるかを前記ネットワークでチェックするために、前記アクセスポイントの前記識別を送信するように配置されており、
    前記アクセスポイントが前記ホワイトリスト上にあれば、前記アクセスポイントは、前記パーソナルデバイスと前記ネットワークと間の安全な接続を可能にするように配置されており、
    前記アクセスポイントが前記ホワイトリストになければ、前記アクセスポイントは、前記ネットワークへの安全なアクセスを提供できず、
    前記ネットワークは、前記アクセスポイントにアクセスポイントの認証を要求し、該アクセスポイントの認証は、ネットワークアクセスが認められる前に前記ホワイトリストとの比較のため前記ネットワークに直接送信される、認可されたアクセスポイント。
16. パーソナルデバイスと、アクセスポイントと、プライベートネットワークサーバと、を含む仮想プライベートネットワーク（ＶＰＮ）であって、
    前記パーソナルデバイスとネットワークサーバは、前記アクセスポイントを介して最大限のＶＰＮセッションで通信するように配置されており、
    前記ネットワークサーバは、前記ネットワークを使用するための認可されたアクセスポイントのホワイトリストを含み、前記アクセスポイントは前記ホワイトリスト上にあり、
    前記ネットワークは、前記アクセスポイントにアクセスポイントの認証を要求し、該アクセスポイントの認証は、ネットワークアクセスが認められる前に前記ホワイトリストとの比較のため前記ネットワークに直接送信される、仮想プライベートネットワーク。