JPWO2002042920A1 - ネットワークへのアクセスを管理する方法および装置 - Google Patents
ネットワークへのアクセスを管理する方法および装置 Download PDFInfo
- Publication number
- JPWO2002042920A1 JPWO2002042920A1 JP2002545376A JP2002545376A JPWO2002042920A1 JP WO2002042920 A1 JPWO2002042920 A1 JP WO2002042920A1 JP 2002545376 A JP2002545376 A JP 2002545376A JP 2002545376 A JP2002545376 A JP 2002545376A JP WO2002042920 A1 JPWO2002042920 A1 JP WO2002042920A1
- Authority
- JP
- Japan
- Prior art keywords
- resource
- access
- network
- software
- port number
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/101—Access control lists [ACL]
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
- G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Databases & Information Systems (AREA)
- Health & Medical Sciences (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Computing Systems (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Information Transfer Between Computers (AREA)
- Stored Programmes (AREA)
- Computer And Data Communications (AREA)
Abstract
サーバ４０からジャバアプリケーションＡＰをダウンロードする際に、サーバ４０のホスト名とともに、ジャバアプリケーションＡＰをダウンロードする際にサーバ４０が用いたスキーム及び送信ポート番号を記憶しておく。そして、ジャバアプリケーションＡＰがネットワーク上のリソースにへアクセスする場合に、アクセスしようとしてしているリソースのホスト名、スキーム及び宛先ポート番号を、記憶しているホスト名、スキーム及び送信ポート番号と比較して、これらが全て一致する場合にのみ、そのネットワークアクセスを許容する。
Description
技術分野
本発明は、ネットワーク上のリソースからダウンロードしたソフトウェアが実行される際に、当該ソフトウェアによるネットワークへのアクセスを管理するための方法および装置に関する。
背景技術
ネットワークに接続されたクライアント端末は、ネットワーク上のサーバにアクセスし、各種コンテンツやアプリケーションをダウンロードすることができる。
例えば、Ｊａｖａ（登録商標）プログラミング言語で記述された「ジャバアプレット」と呼ばれるソフトウェアは、サーバのようなソースコンピュータからクライアント端末にダウンロードされ、そのクライアント端末に実装されたブラウザ上で実行されるように構成されたソフトウェアである。
このジャバアプレットは、クライアント端末側のＣＰＵやメモリの負担を軽減するべく低容量化された小さなアプリケーションで、処理を実行する際にはネットワーク上のサーバにアクセスし、このサーバと連携しながら処理を実行するようになっている。
ところが、インターネットのようなオープンネットワークは一般に安全性が低く、そのため、このようなオープンネットワークを介して配布されるジャバアプレットは必ずしも信頼できるものではない。
そこで、不正なジャバアプレットによるネットワークアクセスを排除する必要があり、現在、次のようなアクセス制限の仕組みが提案されている。
即ち、クライアント端末は、ジャバアプレットのダウンロード元のサーバに対してのみアクセスを可能とするものである。具体的には、クライアント端末が、ジャバアプレットのダウンロード元のサーバのホスト名を、ジャバアプレットの識別情報とともに記憶しておき、このジャバアプレットがネットワークへのアクセスを行う場合には、これと対応付けて記憶しておいたホスト名以外のサーバへのアクセスを禁止するようにしている。このアクセス制限手法は、一般に「サンドボックス」と呼ばれている。
ところで、Ｊａｖａ（登録商標）プログラミング言語で記述されたソフトウェアには、上記ジャバアプレットのほかに、「ジャバアプリケーション」と呼ばれるものがある。このジャバアプリケーションは、サーバからクライアント端末にダウンロードされてもよいし、予めクライアント端末に実装されていてもよいが、その実行時には、クライアント端末内のブラウザ以外のソフトウェアと共同して作動するものである。また、このジャバアプリケーションによるネットワークへのアクセスは、上述したサンドボックスの対象とはなっておらず、ネットワーク上のいずれのサーバとも通信可能となっている。
ただし、今後は、Ｊａｖａ（登録商標）に適合したネットワーク資源の構築がよりいっそう進むことが予想され、そのような状況下では、ジャバアプリケーションによるネットワークアクセスに対しても何らかの制限を設ける必要が生じてくると考えられる。
しかしながら、上述したサンドボックスをジャバアプリケーションに採用しただけでは、不正なジャバアプリケーションによるネットワークアクセスを完全に排除できるとは言い難い。なぜなら、アクセス先をダウンロード元のサーバに限定しても、通常、１個のサーバの処理内容は多岐に渡り、必ずしもユーザが意図している処理をクライアント端末がサーバに実行させるとはいえないからである。
このような背景の下、本発明は、例えばジャバアプリケーションのようなソフトウェアによるネットワークアクセスに関して、よりセキュリティを向上させることを目的とする。
発明の開示
上記課題を解決するため、本発明は、ソフトウェアによるネットワークへのアクセスを管理するアクセス管理方法であって、クライアントがネットワーク上のリソースからソフトウェアをダウンロードする際に、前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶するステップと、ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と、当該アクセスに用いるスキーム及び宛先ポート番号とを、前記記憶しているホスト名、スキーム及び送信ポート番号と比較するステップと、前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しないステップとを備えることを特徴とするアクセス管理方法を提供する。この場合、前記ソフトウェアは、Ｊａｖａ（登録商標）プログラミング言語で記述され、前記クライアントに予めインストールされているソフトウェアと共同して実行されるジャバアプリケーションでもよい。
さらに、本発明は、上記アクセス管理方法の各ステップにおいて実行される処理をコンピュータに実行させるプログラムおよびアクセスを管理するアクセス管理方法をコンピュータに実行させるプログラムを記憶したコンピュータ読み取り可能な記録媒体を提供する。
さらに、本発明は、ソフトウェアによるネットワークへのアクセスを管理するアクセス管理装置であって、クライアントがネットワーク上のリソースからソフトウェアをダウンロードする際に、前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶する記憶手段と、ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と当該アクセスに用いるスキーム及び宛先ポート番号を、前記記憶しているホスト名、スキーム及び送信ポート番号と比較する比較手段と、前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しない制御手段とを備えることを特徴とするアクセス管理装置を提供する。
さらに、本発明は、移動通信網に収容され、該網を介してデータ通信を行う移動通信端末であって、所定のリソースから前記移動通信網を介してソフトウェアをダウンロードするダウンロード手段と、前記ソフトウェアをダウンロードする際に前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶する記憶手段と、ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と当該アクセスに用いるスキーム及び宛先ポート番号を、前記記憶しているホスト名、スキーム及び送信ポート番号と比較する比較手段と、前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しない制御手段とを備えることを特徴とする移動通信端末を提供する。
本発明によれば、ネットワーク上のリソースからソフトウェアをダウンロードする際に、リソースのホスト名とともに、ソフトウェアをダウンロードする際にリソースが用いたスキーム及び送信ポート番号を記憶しておき、ソフトウェアがネットワーク上のリソースへアクセスする場合に、アクセス対象となるリソースのホスト名、スキーム及び宛先ポート番号を、記憶しているホスト名、スキーム及び送信ポート番号と比較し、これが一致する場合にのみアクセスを許容するので、アクセス先がより限定される結果となり、これによりセキュリティが向上することになる。
発明を実施するための最良の態様
以下、図面を参照しながら、本発明の実施形態を説明する。この実施形態では、クライアント端末として、無線によりデータ通信を行う携帯電話機を例に挙げて説明する。ただし、本発明は、かかる実施形態に限定されず、その技術思想の範囲内で種々の変化が可能である。
Ａ：構成
まず、実施形態の構成について説明する。
（１）システム全体の構成
図１は、本発明の実施形態にかかるシステム全体の構成を示すブロック図である。同図に示すように、このシステムは、携帯電話機１０、移動パケット通信網２０、インターネット３０及びサーバ４０から構成されている。
携帯電話機１０は、ユーザによって所持され、図示せぬ移動電話網の通話サービスを受けるほか、移動パケット通信網２０の基地局２１との間で無線通信を行って該網２０のデータ通信サービスを受ける。
この携帯電話機１０は、インターネット３０上の各種ページをブラウジングするためのブラウザのほか、Ｊａｖａ（登録商標）をサポートするジャババーチャルマシンを搭載しており、これにより、サーバ４０からダウンロードした各種ジャバアプリケーションを実行することが可能となっている。
移動パケット通信網２０は、基地局２１や、図示せぬ交換局及びこれらを結ぶ通信線によって構成される。基地局２１は、移動パケット通信網２０の通信サービスエリア内に所定の間隔で多数設置され、各々の無線セルに在圏する携帯電話機１０と無線通信を行う。
この移動パケット通信網２０は、図示せぬゲートウェイを介してインターネット３０に接続されており、これらのネットワーク間では双方向のデータ中継が可能である。
サーバ４０は、各種データやソフトウェアを保持しており、これらをインターネット３０及び移動パケット通信網２０を介して携帯電話機１０に提供する。
例えば、サーバ４０は、携帯電話機１０のブラウザを用いて参照可能なＨＴＭＬ（Ｈｙｐｅｒｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）形式のデータや、Ｊａｖａ（登録商標）プログラミング言語で記述されたジャバアプリケーションを保持している。このジャバアプリケーションは、例えば、株売買等のオンライントレーディングや、ユーザのアドレス帳或いはＰＩＭ（Ｐｅｒｓｏｎａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｍａｎａｇｅｒ）等の管理を行うためのソフトウェアであり、サーバ４０から携帯電話機１０にダウンロードされた後、携帯電話機１０上でサーバ４０と連携しながら実行されるようになっている。
（２）携帯電話機１０のハードウェア構成
次に、図２に示すブロック図を参照しながら、携帯電話機１０のハードウェア構成について説明する。
同図に示すように、携帯電話機１０は、送受信部１１、制御部１２、ユーザインタフェース部１３及びこれらを相互に接続するバス１４から構成される。
送受信部１１は、図示せぬアンテナや通信制御回路からなり、移動パケット通信網２０の基地局２１と無線通信を行う。
ユーザインタフェース部１３は、各種情報を表示する液晶ディスプレイ、ユーザが各種入力操作を行うためのキーパッド、ユーザが通話を行うためのマイク及びスピーカからなる。
制御部１２は、この携帯電話機１０の各部を制御するものであり、ＣＰＵ１２１、ＲＯＭ１２２及びＳＲＡＭ１２３から構成される。
ＲＯＭ１２２には種々の制御プログラム等が格納されており、ＣＰＵ１２１は、この制御プログラムを読み出して各種制御処理を実行する。ＲＯＭ１２２内の制御プログラムには、携帯電話機１０が備えるオペレーティングシステムの他、ブラウザや、後述する各種ソフトウェアが含まれる。
ＳＲＡＭ１２３は、ＣＰＵ１２１のワークエリアとして用いられるほか、サーバ４０から提供されるページをキャッシュしたり、サーバ４０からダウンロードしたジャバアプリケーションを記憶する。
（３）携帯電話機１０のソフトウェア構成
次に、携帯電話機１０のＲＯＭ１２２に記憶されたソフトウェアの構成について説明する。
図３は、携帯電話機１０のソフトウェア構成を示す模式図である。同図に示すように、携帯電話機１０のソフトウェアは、最下層から最上層の順に、オペレーティングシステムＯＳ、ジャバアプリケーションマネージャＪＡＭ、ジャババーチャルマシンＫＶＭ、ジャバアプリケーションＡＰによって構成される。
オペレーティングシステムＯＳは、周知の携帯電話機が実装するソフトウェアであり、携帯電話機１０の基本的な処理をサポートする。
ジャバアプリケーションマネージャＪＡＭは、主としてジャババーチャルマシンＫＶＭの制御やセキュリティチェックを行うためのソフトウェアであり、例えば、ジャバアプリケーションＡＰが特定のリソースへのアクセスを行う際に、そのアクセスを許可するかどうかを判断する。ジャバアプリケーションマネージャＪＡＭは、この判断を行うために、後述するアクセス管理テーブルを備えている。
ジャババーチャルマシンＫＶＭは、ジャバアプリケーションマネージャＪＡＭによる制御の下、ジャバアプリケーションを実行する。このジャババーチャルマシンＫＶＭ及びジャバアプリケーションマネージャＪＡＭは、オペレーティングシステムＯＳに予め組み込まれており、これらは全てＲＯＭ１２２内に記憶されている。
ジャバアプリケーションＡＰは、上述したようにＪａｖａ（登録商標）プログラミング言語によって記述されたソフトウェアであり、サーバ４０から携帯電話機１０にダウンロードされ、ＳＲＡＭ１２３内に書き込まれて保存される。
（４）アクセス管理テーブルの構成
図４は、ジャバアプリケーションマネージャＪＡＭが備えるアクセス管理テーブルの記憶内容の一例を示すフォーマット図である。なお、このアクセス管理テーブルは、上述したＳＲＡＭ１２３上に設けられている。
同図に示すように、このアクセス管理テーブル上には、ジャバアプリケーションＡＰのアプリケーション識別番号に対応付けて、そのジャバアプリケーションのダウンロード元となるサーバ４０のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）が記憶されている。このＵＲＬには、サーバ４０のホスト名だけではなく、スキーム及びポート番号が含まれている。ここで、スキームとは、携帯電話機１０がサーバ４０と通信する際に用いたプロトコルを意味し、例えば、ｈｔｔｐ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、ｆｔｐ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）等がある。また、ポート番号とは、サーバ４０がジャバアプリケーションＡＰを携帯電話機１０に送信する際に用いた送信ポート番号を意味している。このポート番号には、ＲＦＣ１７００によってアプリケーション毎に予め定められているウェルノウンポート番号と、その都度動的に定められるポート番号とがある。
図４において、例えば、アプリケーション識別番号「ａｐ０００１」に対応してＵＲＬ「ｈｔｔｐ：／／ｗｗｗ．ａｂｃ．ｃｏ．ｊｐ：８０」が記憶されている。これは、アプリケーション識別番号「ａｐ０００１」が示すジャバアプリケーションＡＰが、ホスト名「ｗｗｗ．ａｂｃ．ｃｏ．ｊｐ」のサーバ４０から、ポート番号「８０」及びスキーム「ｈｔｔｐ」を利用してダウンロードされたことを意味している。
ジャバアプリケーションマネージャＪＡＭは、上述したように、ジャバアプリケーションＡＰが特定のリソースへのアクセスを行う際に、そのアクセスを許可するかどうかをこのアクセス管理テーブルを参照して判断する。
具体的には、ジャバアプリケーションマネージャＪＡＭは、ジャバアプリケーションＡＰがインターネット３０上のリソースにアクセスするような場合、そのジャバアプリケーションＡＰのアプリケーション識別情報に対応付けられてアクセス管理テーブルに記憶されているＵＲＬに対してのみ、アクセスを許容するようになっている。
Ｂ：動作
次に、上記構成からなる実施形態の動作について説明する。
以下では、（１）ジャバアプリケーションのダウンロード処理、（２）ジャバアプリケーションの実行処理とに分けて動作説明を行う。
（１）ジャバアプリケーションのダウンロード処理
図５は、携帯電話機１０によるジャバアプリケーションＡＰのダウンロード処理を示すフローチャートである。
同図において、携帯電話機１０は、サーバ４０に対して所望のジャバアプリケーションのダウンロードを要求する（ステップＳ１）。具体的には、携帯電話機１０はまず、サーバ４０が用意しているＨＴＭＬ形式のメニューページを自身の液晶ディスプレイに表示し、ユーザはそのメニューの中から所望のジャバアプリケーション名を選択する。これにより、そのジャバアプリケーションＡＰを要求するリクエストが携帯電話機１０からサーバ４０に送信されてダウンロード要求がなされる。
このダウンロード要求に対してサーバ４０が応答することにより、携帯電話機１０によるジャバアプリケーションのダウンロード処理が開始される（ステップＳ２）。より具体的には、ジャバアプリケーションＡＰのアプリケーション識別情報及びサーバ４０のＵＲＬが携帯電話機１０に通知された後、ジャバアプリケーションＡＰそのもののデータがＪＡＲファイル形式でダウンロードされる。
携帯電話機１０は、サーバ４０から通知されたアプリケーション識別情報及びＵＲＬを、上述したアクセス管理テーブルに書込むとともに（ステップＳ３）、ジャバアプリケーションＡＰのデータをＳＲＡＭ１２３の所定の記憶エリアに書き込んでいく（ステップＳ４）。すべてのデータがＳＲＡＭ１２３に書き込まれたことが確認されると、同図に示す処理は終了する。
（２）ジャバアプリケーションの実行処理
図６は、携帯電話機１０のジャババーチャルマシンＫＶＭによるジャバアプリケーションＡＰの実行処理を示すフローチャートである。
ユーザの操作により所望のジャバアプリケーションの起動が指示されると、これに応じて図３に示すジャババーチャルマシンＫＶＭ上でジャバアプリケーションＡＰが起動され、「クラス」と呼ばれる処理実行単位毎に処理が実行されていく。
このクラス単位で図６に示すフローが開始される。同図において、まず、実行されるクラスがネットワーク上のリソースへのアクセスを要する処理であるか否かが判断される（ステップＳ１１）。
ここで、クラスがネットワークアクセスを要するものではない場合（ステップＳ１１；Ｎｏ）、ジャババーチャルマシンＫＶＭは、そのクラスに対応する処理を実行して（ステップＳ１２）、同図に示す処理は終了する。
一方、クラスがネットワークアクセスを要するものである場合（ステップＳ１１；Ｙｅｓ）、ジャババーチャルマシンＫＶＭは、そのアクセス対象となるリソースのホスト名とそのアクセスに用いるスキーム及び宛先ポート番号を、実行されているジャバアプリケーションＡＰのアプリケーション識別情報に対応付けられてアクセス管理テーブル上に記憶されているホスト名、スキーム及びポート番号（送信ポート番号）と比較する（ステップＳ１３）。具体的には、双方のホスト名どうし、スキームどうし、そして宛先ポート番号とポート番号（送信ポート番号）とがそれぞれ比較される。
この結果、比較項目が全て一致した場合には（ステップＳ１４；Ｙｅｓ）、ジャババーチャルマシンＫＶＭは、このネットワークアクセスを許容し、ジャバアプリケーションによるアクセス処理が開始される（ステップＳ１５）。
一方、少なくともいずれか１つの比較項目が不一致となった場合（ステップＳ１４；Ｎｏ）、ジャババーチャルマシンＫＶＭは、このネットワークアクセスを許容できない旨のメッセージを液晶ディスプレイに表示し（ステップＳ１６）、同図に示す処理は終了する。
このように、サーバ４０から携帯電話機１０にジャバアプリケーションＡＰをダウンロードする際に、サーバ４０のホスト名とともに、ジャバアプリケーションＡＰをダウンロードする際にサーバ４０が用いたスキーム及び送信ポート番号を記憶しておき、このジャバアプリケーションＡＰがネットワーク上のリソースへアクセスする場合に、そのアクセス対象となるリソースのホスト名、スキーム及び宛先ポート番号を、記憶しているホスト名、スキーム及び送信ポート番号と比較して、これらが全て一致する場合にのみアクセスを許容する。
即ち、アクセス先をより厳格に限定することにより、セキュリティを確保するのである。
Ｃ：変形例
既述のとおり、本発明は上述した実施形態に限定されず、以下のような種々の変形が可能である。
（１）携帯電話機１０の形態
前述の実施形態では、クライアント端末として携帯電話機を用いるものであったが、これに限定されず、他の移動通信端末であってもよい。例えば、無線機能を内蔵したＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ）であってもよい。
また、移動通信端末に限らず、インターネット３０に有線接続されるパーソナルコンピュータのような固定端末であってもよい。
（２）サーバ４０の形態
前述の実施形態では、サーバ４０はインターネット３０上に設置されているが、必ずしもそのような形態に限らない。例えば、サーバ４０は、移動パケット通信網２０内に設けられていてもよい。
（３）プログラミング言語の形態
前述の実施形態ではＪａｖａ（登録商標）を用いていたが、これに限らず、他のプログラミング言語であってもよいことはもちろんである。
（４）本発明の実施の形態には、上記実施形態において開示したアクセス管理方法を実行させるプログラムを電気通信回線を介して配布する形態や、そのようなプログラムをコンピュータ読み取り可能な記録媒体に記録して頒布するという形態が含まれる。
【図面の簡単な説明】
図１は、本発明の実施形態に係るシステムの全体構成を示すブロック図である。
図２は、同実施形態における携帯電話機のハードウェア構成を示すブロック図である。
図３は、同実施形態における携帯電話機のソフトウェア構成を示す模式図である。
図４は、同実施形態における携帯電話機が備えるアクセス管理テーブルに登録されている内容の一例を示す図である。
図５は、同実施形態における携帯電話機がジャバアプリケーションをダウンロードする際の処理動作を示すフローチャートである。
図６は、同実施形態における携帯電話機のジャババーチャルマシンが、ダウンロードしたジャバアプリケーションを実行する際の処理動作を示すフローチャートである。
本発明は、ネットワーク上のリソースからダウンロードしたソフトウェアが実行される際に、当該ソフトウェアによるネットワークへのアクセスを管理するための方法および装置に関する。
背景技術
ネットワークに接続されたクライアント端末は、ネットワーク上のサーバにアクセスし、各種コンテンツやアプリケーションをダウンロードすることができる。
例えば、Ｊａｖａ（登録商標）プログラミング言語で記述された「ジャバアプレット」と呼ばれるソフトウェアは、サーバのようなソースコンピュータからクライアント端末にダウンロードされ、そのクライアント端末に実装されたブラウザ上で実行されるように構成されたソフトウェアである。
このジャバアプレットは、クライアント端末側のＣＰＵやメモリの負担を軽減するべく低容量化された小さなアプリケーションで、処理を実行する際にはネットワーク上のサーバにアクセスし、このサーバと連携しながら処理を実行するようになっている。
ところが、インターネットのようなオープンネットワークは一般に安全性が低く、そのため、このようなオープンネットワークを介して配布されるジャバアプレットは必ずしも信頼できるものではない。
そこで、不正なジャバアプレットによるネットワークアクセスを排除する必要があり、現在、次のようなアクセス制限の仕組みが提案されている。
即ち、クライアント端末は、ジャバアプレットのダウンロード元のサーバに対してのみアクセスを可能とするものである。具体的には、クライアント端末が、ジャバアプレットのダウンロード元のサーバのホスト名を、ジャバアプレットの識別情報とともに記憶しておき、このジャバアプレットがネットワークへのアクセスを行う場合には、これと対応付けて記憶しておいたホスト名以外のサーバへのアクセスを禁止するようにしている。このアクセス制限手法は、一般に「サンドボックス」と呼ばれている。
ところで、Ｊａｖａ（登録商標）プログラミング言語で記述されたソフトウェアには、上記ジャバアプレットのほかに、「ジャバアプリケーション」と呼ばれるものがある。このジャバアプリケーションは、サーバからクライアント端末にダウンロードされてもよいし、予めクライアント端末に実装されていてもよいが、その実行時には、クライアント端末内のブラウザ以外のソフトウェアと共同して作動するものである。また、このジャバアプリケーションによるネットワークへのアクセスは、上述したサンドボックスの対象とはなっておらず、ネットワーク上のいずれのサーバとも通信可能となっている。
ただし、今後は、Ｊａｖａ（登録商標）に適合したネットワーク資源の構築がよりいっそう進むことが予想され、そのような状況下では、ジャバアプリケーションによるネットワークアクセスに対しても何らかの制限を設ける必要が生じてくると考えられる。
しかしながら、上述したサンドボックスをジャバアプリケーションに採用しただけでは、不正なジャバアプリケーションによるネットワークアクセスを完全に排除できるとは言い難い。なぜなら、アクセス先をダウンロード元のサーバに限定しても、通常、１個のサーバの処理内容は多岐に渡り、必ずしもユーザが意図している処理をクライアント端末がサーバに実行させるとはいえないからである。
このような背景の下、本発明は、例えばジャバアプリケーションのようなソフトウェアによるネットワークアクセスに関して、よりセキュリティを向上させることを目的とする。
発明の開示
上記課題を解決するため、本発明は、ソフトウェアによるネットワークへのアクセスを管理するアクセス管理方法であって、クライアントがネットワーク上のリソースからソフトウェアをダウンロードする際に、前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶するステップと、ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と、当該アクセスに用いるスキーム及び宛先ポート番号とを、前記記憶しているホスト名、スキーム及び送信ポート番号と比較するステップと、前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しないステップとを備えることを特徴とするアクセス管理方法を提供する。この場合、前記ソフトウェアは、Ｊａｖａ（登録商標）プログラミング言語で記述され、前記クライアントに予めインストールされているソフトウェアと共同して実行されるジャバアプリケーションでもよい。
さらに、本発明は、上記アクセス管理方法の各ステップにおいて実行される処理をコンピュータに実行させるプログラムおよびアクセスを管理するアクセス管理方法をコンピュータに実行させるプログラムを記憶したコンピュータ読み取り可能な記録媒体を提供する。
さらに、本発明は、ソフトウェアによるネットワークへのアクセスを管理するアクセス管理装置であって、クライアントがネットワーク上のリソースからソフトウェアをダウンロードする際に、前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶する記憶手段と、ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と当該アクセスに用いるスキーム及び宛先ポート番号を、前記記憶しているホスト名、スキーム及び送信ポート番号と比較する比較手段と、前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しない制御手段とを備えることを特徴とするアクセス管理装置を提供する。
さらに、本発明は、移動通信網に収容され、該網を介してデータ通信を行う移動通信端末であって、所定のリソースから前記移動通信網を介してソフトウェアをダウンロードするダウンロード手段と、前記ソフトウェアをダウンロードする際に前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶する記憶手段と、ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と当該アクセスに用いるスキーム及び宛先ポート番号を、前記記憶しているホスト名、スキーム及び送信ポート番号と比較する比較手段と、前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しない制御手段とを備えることを特徴とする移動通信端末を提供する。
本発明によれば、ネットワーク上のリソースからソフトウェアをダウンロードする際に、リソースのホスト名とともに、ソフトウェアをダウンロードする際にリソースが用いたスキーム及び送信ポート番号を記憶しておき、ソフトウェアがネットワーク上のリソースへアクセスする場合に、アクセス対象となるリソースのホスト名、スキーム及び宛先ポート番号を、記憶しているホスト名、スキーム及び送信ポート番号と比較し、これが一致する場合にのみアクセスを許容するので、アクセス先がより限定される結果となり、これによりセキュリティが向上することになる。
発明を実施するための最良の態様
以下、図面を参照しながら、本発明の実施形態を説明する。この実施形態では、クライアント端末として、無線によりデータ通信を行う携帯電話機を例に挙げて説明する。ただし、本発明は、かかる実施形態に限定されず、その技術思想の範囲内で種々の変化が可能である。
Ａ：構成
まず、実施形態の構成について説明する。
（１）システム全体の構成
図１は、本発明の実施形態にかかるシステム全体の構成を示すブロック図である。同図に示すように、このシステムは、携帯電話機１０、移動パケット通信網２０、インターネット３０及びサーバ４０から構成されている。
携帯電話機１０は、ユーザによって所持され、図示せぬ移動電話網の通話サービスを受けるほか、移動パケット通信網２０の基地局２１との間で無線通信を行って該網２０のデータ通信サービスを受ける。
この携帯電話機１０は、インターネット３０上の各種ページをブラウジングするためのブラウザのほか、Ｊａｖａ（登録商標）をサポートするジャババーチャルマシンを搭載しており、これにより、サーバ４０からダウンロードした各種ジャバアプリケーションを実行することが可能となっている。
移動パケット通信網２０は、基地局２１や、図示せぬ交換局及びこれらを結ぶ通信線によって構成される。基地局２１は、移動パケット通信網２０の通信サービスエリア内に所定の間隔で多数設置され、各々の無線セルに在圏する携帯電話機１０と無線通信を行う。
この移動パケット通信網２０は、図示せぬゲートウェイを介してインターネット３０に接続されており、これらのネットワーク間では双方向のデータ中継が可能である。
サーバ４０は、各種データやソフトウェアを保持しており、これらをインターネット３０及び移動パケット通信網２０を介して携帯電話機１０に提供する。
例えば、サーバ４０は、携帯電話機１０のブラウザを用いて参照可能なＨＴＭＬ（Ｈｙｐｅｒｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）形式のデータや、Ｊａｖａ（登録商標）プログラミング言語で記述されたジャバアプリケーションを保持している。このジャバアプリケーションは、例えば、株売買等のオンライントレーディングや、ユーザのアドレス帳或いはＰＩＭ（Ｐｅｒｓｏｎａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｍａｎａｇｅｒ）等の管理を行うためのソフトウェアであり、サーバ４０から携帯電話機１０にダウンロードされた後、携帯電話機１０上でサーバ４０と連携しながら実行されるようになっている。
（２）携帯電話機１０のハードウェア構成
次に、図２に示すブロック図を参照しながら、携帯電話機１０のハードウェア構成について説明する。
同図に示すように、携帯電話機１０は、送受信部１１、制御部１２、ユーザインタフェース部１３及びこれらを相互に接続するバス１４から構成される。
送受信部１１は、図示せぬアンテナや通信制御回路からなり、移動パケット通信網２０の基地局２１と無線通信を行う。
ユーザインタフェース部１３は、各種情報を表示する液晶ディスプレイ、ユーザが各種入力操作を行うためのキーパッド、ユーザが通話を行うためのマイク及びスピーカからなる。
制御部１２は、この携帯電話機１０の各部を制御するものであり、ＣＰＵ１２１、ＲＯＭ１２２及びＳＲＡＭ１２３から構成される。
ＲＯＭ１２２には種々の制御プログラム等が格納されており、ＣＰＵ１２１は、この制御プログラムを読み出して各種制御処理を実行する。ＲＯＭ１２２内の制御プログラムには、携帯電話機１０が備えるオペレーティングシステムの他、ブラウザや、後述する各種ソフトウェアが含まれる。
ＳＲＡＭ１２３は、ＣＰＵ１２１のワークエリアとして用いられるほか、サーバ４０から提供されるページをキャッシュしたり、サーバ４０からダウンロードしたジャバアプリケーションを記憶する。
（３）携帯電話機１０のソフトウェア構成
次に、携帯電話機１０のＲＯＭ１２２に記憶されたソフトウェアの構成について説明する。
図３は、携帯電話機１０のソフトウェア構成を示す模式図である。同図に示すように、携帯電話機１０のソフトウェアは、最下層から最上層の順に、オペレーティングシステムＯＳ、ジャバアプリケーションマネージャＪＡＭ、ジャババーチャルマシンＫＶＭ、ジャバアプリケーションＡＰによって構成される。
オペレーティングシステムＯＳは、周知の携帯電話機が実装するソフトウェアであり、携帯電話機１０の基本的な処理をサポートする。
ジャバアプリケーションマネージャＪＡＭは、主としてジャババーチャルマシンＫＶＭの制御やセキュリティチェックを行うためのソフトウェアであり、例えば、ジャバアプリケーションＡＰが特定のリソースへのアクセスを行う際に、そのアクセスを許可するかどうかを判断する。ジャバアプリケーションマネージャＪＡＭは、この判断を行うために、後述するアクセス管理テーブルを備えている。
ジャババーチャルマシンＫＶＭは、ジャバアプリケーションマネージャＪＡＭによる制御の下、ジャバアプリケーションを実行する。このジャババーチャルマシンＫＶＭ及びジャバアプリケーションマネージャＪＡＭは、オペレーティングシステムＯＳに予め組み込まれており、これらは全てＲＯＭ１２２内に記憶されている。
ジャバアプリケーションＡＰは、上述したようにＪａｖａ（登録商標）プログラミング言語によって記述されたソフトウェアであり、サーバ４０から携帯電話機１０にダウンロードされ、ＳＲＡＭ１２３内に書き込まれて保存される。
（４）アクセス管理テーブルの構成
図４は、ジャバアプリケーションマネージャＪＡＭが備えるアクセス管理テーブルの記憶内容の一例を示すフォーマット図である。なお、このアクセス管理テーブルは、上述したＳＲＡＭ１２３上に設けられている。
同図に示すように、このアクセス管理テーブル上には、ジャバアプリケーションＡＰのアプリケーション識別番号に対応付けて、そのジャバアプリケーションのダウンロード元となるサーバ４０のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）が記憶されている。このＵＲＬには、サーバ４０のホスト名だけではなく、スキーム及びポート番号が含まれている。ここで、スキームとは、携帯電話機１０がサーバ４０と通信する際に用いたプロトコルを意味し、例えば、ｈｔｔｐ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、ｆｔｐ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）等がある。また、ポート番号とは、サーバ４０がジャバアプリケーションＡＰを携帯電話機１０に送信する際に用いた送信ポート番号を意味している。このポート番号には、ＲＦＣ１７００によってアプリケーション毎に予め定められているウェルノウンポート番号と、その都度動的に定められるポート番号とがある。
図４において、例えば、アプリケーション識別番号「ａｐ０００１」に対応してＵＲＬ「ｈｔｔｐ：／／ｗｗｗ．ａｂｃ．ｃｏ．ｊｐ：８０」が記憶されている。これは、アプリケーション識別番号「ａｐ０００１」が示すジャバアプリケーションＡＰが、ホスト名「ｗｗｗ．ａｂｃ．ｃｏ．ｊｐ」のサーバ４０から、ポート番号「８０」及びスキーム「ｈｔｔｐ」を利用してダウンロードされたことを意味している。
ジャバアプリケーションマネージャＪＡＭは、上述したように、ジャバアプリケーションＡＰが特定のリソースへのアクセスを行う際に、そのアクセスを許可するかどうかをこのアクセス管理テーブルを参照して判断する。
具体的には、ジャバアプリケーションマネージャＪＡＭは、ジャバアプリケーションＡＰがインターネット３０上のリソースにアクセスするような場合、そのジャバアプリケーションＡＰのアプリケーション識別情報に対応付けられてアクセス管理テーブルに記憶されているＵＲＬに対してのみ、アクセスを許容するようになっている。
Ｂ：動作
次に、上記構成からなる実施形態の動作について説明する。
以下では、（１）ジャバアプリケーションのダウンロード処理、（２）ジャバアプリケーションの実行処理とに分けて動作説明を行う。
（１）ジャバアプリケーションのダウンロード処理
図５は、携帯電話機１０によるジャバアプリケーションＡＰのダウンロード処理を示すフローチャートである。
同図において、携帯電話機１０は、サーバ４０に対して所望のジャバアプリケーションのダウンロードを要求する（ステップＳ１）。具体的には、携帯電話機１０はまず、サーバ４０が用意しているＨＴＭＬ形式のメニューページを自身の液晶ディスプレイに表示し、ユーザはそのメニューの中から所望のジャバアプリケーション名を選択する。これにより、そのジャバアプリケーションＡＰを要求するリクエストが携帯電話機１０からサーバ４０に送信されてダウンロード要求がなされる。
このダウンロード要求に対してサーバ４０が応答することにより、携帯電話機１０によるジャバアプリケーションのダウンロード処理が開始される（ステップＳ２）。より具体的には、ジャバアプリケーションＡＰのアプリケーション識別情報及びサーバ４０のＵＲＬが携帯電話機１０に通知された後、ジャバアプリケーションＡＰそのもののデータがＪＡＲファイル形式でダウンロードされる。
携帯電話機１０は、サーバ４０から通知されたアプリケーション識別情報及びＵＲＬを、上述したアクセス管理テーブルに書込むとともに（ステップＳ３）、ジャバアプリケーションＡＰのデータをＳＲＡＭ１２３の所定の記憶エリアに書き込んでいく（ステップＳ４）。すべてのデータがＳＲＡＭ１２３に書き込まれたことが確認されると、同図に示す処理は終了する。
（２）ジャバアプリケーションの実行処理
図６は、携帯電話機１０のジャババーチャルマシンＫＶＭによるジャバアプリケーションＡＰの実行処理を示すフローチャートである。
ユーザの操作により所望のジャバアプリケーションの起動が指示されると、これに応じて図３に示すジャババーチャルマシンＫＶＭ上でジャバアプリケーションＡＰが起動され、「クラス」と呼ばれる処理実行単位毎に処理が実行されていく。
このクラス単位で図６に示すフローが開始される。同図において、まず、実行されるクラスがネットワーク上のリソースへのアクセスを要する処理であるか否かが判断される（ステップＳ１１）。
ここで、クラスがネットワークアクセスを要するものではない場合（ステップＳ１１；Ｎｏ）、ジャババーチャルマシンＫＶＭは、そのクラスに対応する処理を実行して（ステップＳ１２）、同図に示す処理は終了する。
一方、クラスがネットワークアクセスを要するものである場合（ステップＳ１１；Ｙｅｓ）、ジャババーチャルマシンＫＶＭは、そのアクセス対象となるリソースのホスト名とそのアクセスに用いるスキーム及び宛先ポート番号を、実行されているジャバアプリケーションＡＰのアプリケーション識別情報に対応付けられてアクセス管理テーブル上に記憶されているホスト名、スキーム及びポート番号（送信ポート番号）と比較する（ステップＳ１３）。具体的には、双方のホスト名どうし、スキームどうし、そして宛先ポート番号とポート番号（送信ポート番号）とがそれぞれ比較される。
この結果、比較項目が全て一致した場合には（ステップＳ１４；Ｙｅｓ）、ジャババーチャルマシンＫＶＭは、このネットワークアクセスを許容し、ジャバアプリケーションによるアクセス処理が開始される（ステップＳ１５）。
一方、少なくともいずれか１つの比較項目が不一致となった場合（ステップＳ１４；Ｎｏ）、ジャババーチャルマシンＫＶＭは、このネットワークアクセスを許容できない旨のメッセージを液晶ディスプレイに表示し（ステップＳ１６）、同図に示す処理は終了する。
このように、サーバ４０から携帯電話機１０にジャバアプリケーションＡＰをダウンロードする際に、サーバ４０のホスト名とともに、ジャバアプリケーションＡＰをダウンロードする際にサーバ４０が用いたスキーム及び送信ポート番号を記憶しておき、このジャバアプリケーションＡＰがネットワーク上のリソースへアクセスする場合に、そのアクセス対象となるリソースのホスト名、スキーム及び宛先ポート番号を、記憶しているホスト名、スキーム及び送信ポート番号と比較して、これらが全て一致する場合にのみアクセスを許容する。
即ち、アクセス先をより厳格に限定することにより、セキュリティを確保するのである。
Ｃ：変形例
既述のとおり、本発明は上述した実施形態に限定されず、以下のような種々の変形が可能である。
（１）携帯電話機１０の形態
前述の実施形態では、クライアント端末として携帯電話機を用いるものであったが、これに限定されず、他の移動通信端末であってもよい。例えば、無線機能を内蔵したＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ）であってもよい。
また、移動通信端末に限らず、インターネット３０に有線接続されるパーソナルコンピュータのような固定端末であってもよい。
（２）サーバ４０の形態
前述の実施形態では、サーバ４０はインターネット３０上に設置されているが、必ずしもそのような形態に限らない。例えば、サーバ４０は、移動パケット通信網２０内に設けられていてもよい。
（３）プログラミング言語の形態
前述の実施形態ではＪａｖａ（登録商標）を用いていたが、これに限らず、他のプログラミング言語であってもよいことはもちろんである。
（４）本発明の実施の形態には、上記実施形態において開示したアクセス管理方法を実行させるプログラムを電気通信回線を介して配布する形態や、そのようなプログラムをコンピュータ読み取り可能な記録媒体に記録して頒布するという形態が含まれる。
【図面の簡単な説明】
図１は、本発明の実施形態に係るシステムの全体構成を示すブロック図である。
図２は、同実施形態における携帯電話機のハードウェア構成を示すブロック図である。
図３は、同実施形態における携帯電話機のソフトウェア構成を示す模式図である。
図４は、同実施形態における携帯電話機が備えるアクセス管理テーブルに登録されている内容の一例を示す図である。
図５は、同実施形態における携帯電話機がジャバアプリケーションをダウンロードする際の処理動作を示すフローチャートである。
図６は、同実施形態における携帯電話機のジャババーチャルマシンが、ダウンロードしたジャバアプリケーションを実行する際の処理動作を示すフローチャートである。
Claims (6)
- ソフトウェアによるネットワークへのアクセスを管理するアクセス管理方法であって、
クライアントがネットワーク上のリソースからソフトウェアをダウンロードする際に、前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶するステップと、
ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と、当該アクセスに用いるスキーム及び宛先ポート番号とを、前記記憶しているホスト名、スキーム及び送信ポート番号と比較するステップと、
前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しないステップと
を備えることを特徴とするアクセス管理方法。 - 請求項１記載のアクセス管理方法において、
前記ソフトウェアは、Ｊａｖａ（登録商標）プログラミング言語で記述され、前記クライアントに予めインストールされているソフトウェアと共同して実行されるジャバアプリケーションであることを特徴とするアクセス管理方法。 - ソフトウェアによるネットワークへのアクセスを管理するアクセス管理方法をコンピュータに実行させるプログラムであって、
クライアントがネットワーク上のリソースからソフトウェアをダウンロードする際に、前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶する処理と、
ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と、当該アクセスに用いるスキーム及び宛先ポート番号とを、前記記憶しているホスト名、スキーム及び送信ポート番号と比較する処理と、
前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しない処理と
をコンピュータに実行させるプログラム。 - ソフトウェアによるネットワークへのアクセスを管理するアクセス管理方法をコンピュータに実行させるプログラムを記憶したコンピュータ読み取り可能な記録媒体であって、
クライアントがネットワーク上のリソースからソフトウェアをダウンロードする際に、前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶する処理と、
ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と、当該アクセスに用いるスキーム及び宛先ポート番号とを、前記記憶しているホスト名、スキーム及び送信ポート番号と比較する処理と、
前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しない処理と
をコンピュータに実行させるプログラムを記憶したコンピュータ読み取り可能な記録媒体。 - ソフトウェアによるネットワークへのアクセスを管理するアクセス管理装置であって、
クライアントがネットワーク上のリソースからソフトウェアをダウンロードする際に、前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶する記憶手段と、
ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と当該アクセスに用いるスキーム及び宛先ポート番号を、前記記憶しているホスト名、スキーム及び送信ポート番号と比較する比較手段と、
前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しない制御手段と
を備えることを特徴とするアクセス管理装置。 - 移動通信網に収容され、該網を介してデータ通信を行う移動通信端末であって、
所定のリソースから前記移動通信網を介してソフトウェアをダウンロードするダウンロード手段と、
前記ソフトウェアをダウンロードする際に前記リソースが用いたスキーム及び送信ポート番号を、前記リソースのホスト名とともに記憶する記憶手段と、
ダウンロードされた前記ソフトウェアが実行されることによりネットワーク上のリソースへアクセスする場合、そのアクセス対象となるリソースのホスト名と当該アクセスに用いるスキーム及び宛先ポート番号を、前記記憶しているホスト名、スキーム及び送信ポート番号と比較する比較手段と、
前記比較の結果、一致した場合には前記アクセスを許容する一方、一致しない場合には前記アクセスを許容しない制御手段と
を備えることを特徴とする移動通信端末。
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000356467 | 2000-11-22 | ||
| JP2000356467 | 2000-11-22 | ||
| PCT/JP2001/009779 WO2002042920A1 (fr) | 2000-11-22 | 2001-11-08 | Procede et dispositif de gestion d'acces a un reseau |
Related Child Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2006047340A Division JP4382049B2 (ja) | 2000-11-22 | 2006-02-23 | ネットワークへのアクセスを管理する方法および装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPWO2002042920A1 true JPWO2002042920A1 (ja) | 2004-04-02 |
Family
ID=18828713
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002545376A Pending JPWO2002042920A1 (ja) | 2000-11-22 | 2001-11-08 | ネットワークへのアクセスを管理する方法および装置 |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US7676575B2 (ja) |
| JP (1) | JPWO2002042920A1 (ja) |
| BR (1) | BR0107642A (ja) |
| CA (1) | CA2398443C (ja) |
| WO (1) | WO2002042920A1 (ja) |
Families Citing this family (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8166406B1 (en) * | 2001-12-04 | 2012-04-24 | Microsoft Corporation | Internet privacy user interface |
| US7016948B1 (en) * | 2001-12-21 | 2006-03-21 | Mcafee, Inc. | Method and apparatus for detailed protocol analysis of frames captured in an IEEE 802.11 (b) wireless LAN |
| JP4045805B2 (ja) * | 2002-01-11 | 2008-02-13 | 日本電気株式会社 | テレビ受信機およびテレビアプリケーション制御方法 |
| JP4051968B2 (ja) * | 2002-03-07 | 2008-02-27 | 日本電気株式会社 | デジタル放送受信機 |
| TWI231900B (en) | 2002-08-19 | 2005-05-01 | Ntt Docomo Inc | Communication terminal providing function against connection with specific website and method thereof and memory media memorizing the program |
| JP2006276939A (ja) * | 2005-03-28 | 2006-10-12 | Fujitsu Ltd | 仮想マシンのプログラム起動方法およびクライアントサーバシステム |
| US7865830B2 (en) * | 2005-07-12 | 2011-01-04 | Microsoft Corporation | Feed and email content |
| JP2007207067A (ja) * | 2006-02-03 | 2007-08-16 | Nippon Telegr & Teleph Corp <Ntt> | サーバクライアントシステムおよび該システムにおけるアクセス制御方法、ならびにそのためのプログラム |
| JP4500333B2 (ja) * | 2007-07-19 | 2010-07-14 | 株式会社リコー | 画像情報処理装置、インストール方法、プログラムおよび記録媒体 |
| US20090232134A1 (en) * | 2008-03-14 | 2009-09-17 | Thierry Lamouline | Indirect address connection service over an extended network |
| KR101882685B1 (ko) * | 2016-07-29 | 2018-08-24 | 주식회사 스패로우 | 클라우드 기반의 서비스 제공 방법 |
| JP7354730B2 (ja) * | 2019-09-27 | 2023-10-03 | ブラザー工業株式会社 | 情報処理装置、ソフトウェアのインストール方法、及びプログラム |
Family Cites Families (28)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6418324B1 (en) * | 1995-06-01 | 2002-07-09 | Padcom, Incorporated | Apparatus and method for transparent wireless communication between a remote device and host system |
| US20040264402A9 (en) * | 1995-06-01 | 2004-12-30 | Padcom. Inc. | Port routing functionality |
| US5657390A (en) * | 1995-08-25 | 1997-08-12 | Netscape Communications Corporation | Secure socket layer application program apparatus and method |
| US6523696B1 (en) * | 1996-10-15 | 2003-02-25 | Kabushiki Kaisha Toshiba | Communication control device for realizing uniform service providing environment |
| US5987611A (en) * | 1996-12-31 | 1999-11-16 | Zone Labs, Inc. | System and methodology for managing internet access on a per application basis for client computers connected to the internet |
| US5884078A (en) * | 1997-01-31 | 1999-03-16 | Sun Microsystems, Inc. | System, method and article of manufacture for creating an object oriented component having multiple bidirectional ports for use in association with a java application or applet |
| US6766454B1 (en) * | 1997-04-08 | 2004-07-20 | Visto Corporation | System and method for using an authentication applet to identify and authenticate a user in a computer network |
| US5987523A (en) * | 1997-06-04 | 1999-11-16 | International Business Machines Corporation | Applet redirection for controlled access to non-orginating hosts |
| US6182146B1 (en) * | 1997-06-27 | 2001-01-30 | Compuware Corporation | Automatic identification of application protocols through dynamic mapping of application-port associations |
| US5944783A (en) * | 1997-07-29 | 1999-08-31 | Lincom Corporation | Apparatus and method for data transfers through software agents using client-to-server and peer-to-peer transfers |
| US6006258A (en) * | 1997-09-12 | 1999-12-21 | Sun Microsystems, Inc. | Source address directed message delivery |
| US6628965B1 (en) * | 1997-10-22 | 2003-09-30 | Dynamic Mobile Data Systems, Inc. | Computer method and system for management and control of wireless devices |
| US6763395B1 (en) * | 1997-11-14 | 2004-07-13 | National Instruments Corporation | System and method for connecting to and viewing live data using a standard user agent |
| US6370569B1 (en) * | 1997-11-14 | 2002-04-09 | National Instruments Corporation | Data socket system and method for accessing data sources using URLs |
| US6360262B1 (en) * | 1997-11-24 | 2002-03-19 | International Business Machines Corporation | Mapping web server objects to TCP/IP ports |
| JP3995338B2 (ja) * | 1998-05-27 | 2007-10-24 | 富士通株式会社 | ネットワーク接続制御方法及びシステム |
| US6606663B1 (en) * | 1998-09-29 | 2003-08-12 | Openwave Systems Inc. | Method and apparatus for caching credentials in proxy servers for wireless user agents |
| US7237261B1 (en) * | 1999-09-07 | 2007-06-26 | Swisscom Ag | Method, system and gateway allowing secured end-to-end access to WAP services |
| US6857009B1 (en) * | 1999-10-22 | 2005-02-15 | Nomadix, Inc. | System and method for network access without reconfiguration |
| US6587866B1 (en) * | 2000-01-10 | 2003-07-01 | Sun Microsystems, Inc. | Method for distributing packets to server nodes using network client affinity and packet distribution table |
| US6377808B1 (en) * | 2000-04-27 | 2002-04-23 | Motorola, Inc. | Method and apparatus for routing data in a communication system |
| US6970869B1 (en) * | 2000-05-09 | 2005-11-29 | Sun Microsystems, Inc. | Method and apparatus to discover services and negotiate capabilities |
| US6917976B1 (en) * | 2000-05-09 | 2005-07-12 | Sun Microsystems, Inc. | Message-based leasing of resources in a distributed computing environment |
| WO2001093038A2 (en) * | 2000-05-30 | 2001-12-06 | Compaq Computer Corporation | Scalable java servers for network server applications |
| US7188183B1 (en) * | 2000-08-04 | 2007-03-06 | Oracle International Corporation | Maintaining state information in mobile applications |
| AU2001284987A1 (en) * | 2000-08-16 | 2002-02-25 | Filestream, Inc. | End-to-end secure file transfer method and system |
| US7085817B1 (en) * | 2000-09-26 | 2006-08-01 | Juniper Networks, Inc. | Method and system for modifying requests for remote resources |
| US6907395B1 (en) * | 2000-10-24 | 2005-06-14 | Microsoft Corporation | System and method for designing a logical model of a distributed computer system and deploying physical resources according to the logical model |
-
2001
- 2001-11-08 CA CA002398443A patent/CA2398443C/en not_active Expired - Lifetime
- 2001-11-08 JP JP2002545376A patent/JPWO2002042920A1/ja active Pending
- 2001-11-08 US US10/257,843 patent/US7676575B2/en not_active Expired - Lifetime
- 2001-11-08 WO PCT/JP2001/009779 patent/WO2002042920A1/ja active Application Filing
- 2001-11-08 BR BR0107642-6A patent/BR0107642A/pt not_active IP Right Cessation
Also Published As
| Publication number | Publication date |
|---|---|
| BR0107642A (pt) | 2002-10-08 |
| WO2002042920A1 (fr) | 2002-05-30 |
| CA2398443C (en) | 2009-07-07 |
| US20030101264A1 (en) | 2003-05-29 |
| CA2398443A1 (en) | 2002-05-30 |
| US7676575B2 (en) | 2010-03-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4598354B2 (ja) | 通信システム、中継装置及び通信制御方法 | |
| US6292833B1 (en) | Method and apparatus for providing access control to local services of mobile devices | |
| JP4690615B2 (ja) | セルラー通信システムのサーバからコンテンツを取り出すための方法およびシステム | |
| JP4336051B2 (ja) | 無線通信端末、発呼制限方法及びプログラム | |
| EP1345378A2 (en) | A method and system for providing caching services | |
| US7953862B2 (en) | Methods for accessing a phone-based web server with a private IP address and related electronic devices and computer program products | |
| US7054618B1 (en) | Method of registering a communication device with a proxy server based service | |
| JPWO2002042920A1 (ja) | ネットワークへのアクセスを管理する方法および装置 | |
| JPH11306067A (ja) | プロキシーシステム | |
| EP1338971B1 (en) | Method and terminal for the secure acquisition of applications | |
| US20020107006A1 (en) | Mobile station and communication system | |
| US20050021792A1 (en) | Method for managing data sharing among application programs | |
| JP4382049B2 (ja) | ネットワークへのアクセスを管理する方法および装置 | |
| EP2003853B1 (en) | Method for managing functions of a mobile phone during a browsing session, remote gateway and remote phone managing unit | |
| JP2003333133A (ja) | 通信端末のアクセス制御方法、コンテンツの提供方法、通信システム、中継装置、通信端末、プログラムおよび記録媒体 | |
| JP5005950B2 (ja) | 移動体通信端末 | |
| JP4580164B2 (ja) | 電子機器およびプログラム | |
| KR20030032732A (ko) | 무선 인터넷 접속 페이지의 메뉴 다운로드 방법과 접속페이지 메뉴를 이용한 무선 인터넷 접속 방법 | |
| JP2005050020A (ja) | ウェブサーバ、ウェブ閲覧提供方法、ウェブ閲覧提供プログラム、ウェブ閲覧方法およびウェブ閲覧システム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050524 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050725 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20060124 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060223 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20060407 |
|
| A912 | Re-examination (zenchi) completed and case transferred to appeal board |
Free format text: JAPANESE INTERMEDIATE CODE: A912 Effective date: 20060915 |