WO2004102886A1 - 情報処理装置、およびアクセス制御処理方法、並びにコンピュータ・プログラム - Google Patents

情報処理装置、およびアクセス制御処理方法、並びにコンピュータ・プログラム Download PDF

Info

Publication number
WO2004102886A1
WO2004102886A1 PCT/JP2004/004919 JP2004004919W WO2004102886A1 WO 2004102886 A1 WO2004102886 A1 WO 2004102886A1 JP 2004004919 W JP2004004919 W JP 2004004919W WO 2004102886 A1 WO2004102886 A1 WO 2004102886A1
Authority
WO
WIPO (PCT)
Prior art keywords
mac address
access control
client
access
registration
Prior art date
Application number
PCT/JP2004/004919
Other languages
English (en)
French (fr)
Inventor
Tatsuya Igarashi
Norifumi Kikkawa
Yoichi Kobori
Takehiko Morita
Yasuaki Honda
Koichi Tanaka
Original Assignee
Sony Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sony Corporation filed Critical Sony Corporation
Priority to DE602004024944T priority Critical patent/DE602004024944D1/de
Priority to EP04725816A priority patent/EP1517480B1/en
Priority to US10/521,624 priority patent/US7610380B2/en
Publication of WO2004102886A1 publication Critical patent/WO2004102886A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/35—Network arrangements, protocols or services for addressing or naming involving non-standard use of addresses for implementing network functionalities, e.g. coding subscription information within the address or functional addressing, i.e. assigning an address to a function
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2803—Home automation networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/103—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying security measure for protecting copy right
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/30—Definitions, standards or architectural aspects of layered protocol stacks
    • H04L69/32—Architecture of open systems interconnection [OSI] 7-layer type protocol stacks, e.g. the interfaces between the data link level and the physical level
    • H04L69/322—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions
    • H04L69/324—Intralayer communication protocols among peer entities or protocol data unit [PDU] definitions in the data link layer [OSI layer 2], e.g. HDLC

Definitions

  • the present invention relates to an information processing apparatus, an access control processing method, and a computer program. More specifically, the present invention relates to an information processing apparatus for executing access control processing based on access authority determination in communication between devices connected to a network, an access control processing method, and a computer program.
  • BACKGROUND ART With the spread of data communication networks in recent years, so-called home networks, which allow home appliances, computers, and other peripheral devices to be connected to each other in a network and enable communication between the devices, are becoming widespread. .
  • a home network provides convenience and comfort to users, such as sharing data processing functions of each device by communicating between network-connected devices and transmitting and receiving content between devices. Yes, it is expected to spread more and more in the future.
  • UPnP registered trademark
  • UPnP is known as a protocol suitable for such a home network configuration.
  • UP n P can easily build a network without complicated operations, and can receive the services provided by each connected device on devices connected to the network without difficult operations and settings. Is what you do.
  • UPnP also has the advantage that devices can be easily added without depending on the OS (operating system) on the device.
  • UPnP exchanges definition files compliant with XML (extensible Markup Language) between connected devices, and performs mutual recognition between devices.
  • XML extensible Markup Language
  • Addressing processing for acquiring its own device ID such as an IP address.
  • a device validation process that searches for devices on the network, receives responses from each device, and obtains information such as device types and functions contained in the responses.
  • Service request processing for requesting services from each device based on the information obtained in the discovery processing.
  • the device newly connected to the network acquires the device ID by the above-mentioned addressing process, acquires the information of other devices connected to the network by the discovery process, and acquires other devices based on the acquired information. Service can be requested.
  • this type of network it is also necessary to consider measures against unauthorized access.
  • Devices in the home network such as servers, often store content that requires copyright management such as private content and paid content. The content stored in a server in such a home network can be accessed from other devices connected to the network.
  • content can be acquired by a device that has performed the UPnP connection that is the simple device connection configuration described above. If the content is movie data or music data, it is possible to watch a movie or listen to music by connecting ⁇ or a player as a network connection device. Access by the connected device of the user who has the right to use the content is allowed However, in the network configuration as described above, it is easy for a user who does not have the right to use the content or the like to enter the network. For example, in the case of a network configured with a wireless LAN, a server inside the house may illegally enter the network by using communication equipment from the outside or from a neighboring house to exploit the contents. Can also occur.
  • Such a configuration that allows unauthorized access may cause secret leakage, and is also an important issue from the viewpoint of content copyright management.
  • the server holds a list of clients that are permitted to access, and when a client requests an access to the server, the server executes the matching process with the list to execute the unauthorized access.
  • a configuration that eliminates access has been proposed. For example, MAC address filtering that sets a MAC (Media Access Control) address, which is a physical address unique to a network connection device, as an access-permitted device list is known.
  • MAC Media Access Control
  • MAC address filtering refers to registering a MAC address that permits access in advance on a router or gateway that separates an internal network (subnet) such as a home network from an external network, and then MAC addresses of received packets. And the registered MAC address, and denies access from devices with unregistered MAC addresses.
  • This type of technology is disclosed in, for example, Japanese Patent Application Laid-Open No. H10-271154 (Patent Document 1).
  • Patent Document 1 in order to register a MAC address for restricting access, a user or an administrator checks a MAC address of a device connected to a network, and an operator inputs the checked MAC address. It is necessary to create a list by using this method.
  • the present invention has been made in view of the above-described problem, and has been made based on a plurality of modes in an access control in an information processing apparatus which receives an access request from various devices via a network.
  • An information processing apparatus, an access control processing method, and a computer capable of reducing access to a user by enabling access control processing in an aspect and preventing unrestricted access from an unspecified number of clients. ⁇ Aim to provide the program.
  • An information processing device that executes an access control process
  • a storage unit storing an address table
  • the access control mode set for the information processing device is the automatic registration access control mode or the registered device access control mode, different access control processing is performed for access requests from clients.
  • an access control unit for the access control mode set for the information processing device is the automatic registration access control mode or the registered device access control mode.
  • the access control unit controls the access control unit
  • the access control mode set in the information processing apparatus is the automatic registration access control mode
  • the MAC address of the access requesting client is registered up to the prescribed registration limit number: N in the MAC address table, and Performs access control processing that permits client access under the condition of registration processing.
  • the access control mode set for the information processing device is the registered device access control mode
  • the MAC address of the access requesting client is used. Has an arrangement for executing an access control process for allowing client access on condition that the MAC address is registered in the MAC address table as a manually registered MAC address. is there.
  • the access control unit identifies an access request type of the client when an access control mode set in the information processing apparatus is an automatic registration access control mode, Only when the identified access request type is a request type for which a predetermined access control should be executed, the MAC address of the client is registered up to the prescribed registration limit number of the MAC address tape register: N
  • the present invention is characterized in that a process for permitting client access is executed on condition of the registration process.
  • the request type for which the access control is to be performed is HTTP (Hyper Text Transfer Protocol) —content request processing based on the GET method, or SOAP (Simple Object Access Protocol).
  • the information processing apparatus sets the client MAC address to the MAC address on condition that a manual registration process according to a predetermined MAC address registration process sequence is performed. It is characterized by having a registration processing unit that executes the process of registering as a client MAC address that has been manually registered in the address table. Further, in one embodiment of the information processing apparatus of the present invention, the information processing apparatus includes a predetermined MAC address registered as a client MAC address automatically registered in the MAC address table.
  • the setting change processing is performed in which the MAC address entry of the automatic registration client in the MAC address table is set as the manually registered client MAC address entry. It is characterized by having a registration processing unit that performs the registration. Further, a second aspect of the present invention is:
  • the set access control mode is the automatic registration access control mode
  • the MAC address of the access requesting client is registered up to the specified registration limit number: N in the MAC address table, and the client's address is registered on condition of the registration processing. Perform access control processing to allow access,
  • the MAC address of the access requesting client S must be registered as a manually registered MAC address in the MAC address table.
  • an access control processing method characterized by having: Further, in one embodiment of the access control processing method of the present invention, when the access control mode set in the information processing device is an automatic registration access control mode, the access control step includes: Only when the identified access request type is a request type for which predetermined access control is to be executed, the MAC address of the client is registered up to the prescribed registration limit number: N of the MAC address table. Then, a process for permitting client access is executed on condition of the registration process.
  • the request type for which the access control is to be performed is a content request process based on an HTTP (Hyper Text Transfer Protocol) -GET method, or a SOAP ( It is characterized by including at least one of control request processing based on Simple Object Access Protocol).
  • the access control processing method further includes a step of performing a manual registration process in accordance with a predefined MAC address registration process sequence. It is characterized by having a registration process step of executing a process of registering a client MAC address as a manually registered client MAC address in the MAC address table.
  • the access control processing method further includes a step of controlling the MAC address registered as the client MAC address automatically registered in the MAC address table.
  • the MAC address table automatic registration It is characterized by having a registration processing step of executing a setting change process in which a client MAC address entry is set as a manually registered client MAC address entry.
  • a computer program that executes access control processing in an information processing device.
  • a mode determining step of determining whether the access control mode set in the information processing apparatus is an automatic registration access control mode and a registered device access control mode;
  • the setting access control mode is the automatic registration access control mode
  • the MAC address of the access requesting client is registered up to the prescribed registration limit number of the MAC address tape notation: N, and the client is registered on condition of the registration processing. Perform access control processing to allow access,
  • the set access control mode is the registered device access control mode
  • the MAC address of the access requesting client The client's MAC address must be registered as a manually registered MAC address in the MAC address table.
  • a computer program characterized by having: In the configuration of the present invention, a MAC address table in which a client MAC address for which manual registration has been performed and a client MAC address for which automatic registration processing has been performed is set so as to be identifiable, and the access control mode is automatically registered.
  • the access control mode When in the access control mode, the MAC address of the access requesting client is registered up to the prescribed registration limit number: N in the MAC address table, and the access control processing for permitting the client access on condition of the registration processing.
  • the access control mode is the registered device access control mode, the MAC address of the access requesting client is Since access control processing that permits client access is performed on the condition that the MAC address is registered as a manually registered MAC address, the manual registration processing by the user is not performed.
  • unrestricted access can be prevented, for example, it is possible to prevent the acquisition of server-stored content from unspecified large number of clients, etc.
  • the mode by setting the mode to the registered device access control mode, It is also possible to execute control.
  • the access request type of the client is identified, and the identified access request type is a request type to execute a predetermined access control, for example, HTTP (Hyper Text Transfer Protocol) —Only for content request processing based on the GET method or control request processing based on the SOAP (Simple Object Access Protocol), the client's MAC address can be registered in the MAC address table.
  • HTTP Hyper Text Transfer Protocol
  • the computer program of the present invention is, for example, a storage medium or a communication medium provided in a computer-readable format to a general-purpose computer system capable of executing various program code, for example, a storage medium such as a CDFD and an MO. It is a computer program that can be provided via a medium or a communication medium such as a network. By providing such a program in a computer-readable format, processing corresponding to the program is realized on a computer system.
  • FIG. 1 is a diagram showing an example of a network configuration to which the present invention can be applied.
  • FIG. 2 is a diagram illustrating a configuration example of a network connection device.
  • FIG. 3 is a diagram for explaining a MAC address table and an access control process of the information processing apparatus of the present invention.
  • FIG. 4 is a flowchart illustrating an access control process performed by the information processing apparatus of the present invention.
  • FIG. 5 is a diagram showing a packet configuration transmitted by the client.
  • FIG. 6 is a flowchart illustrating an access control process performed by the information processing apparatus of the present invention.
  • FIG. 7 is a functional block diagram showing an access control processing configuration of the information processing apparatus of the present invention.
  • FIG. 8 is a diagram illustrating a configuration example of a user interface displayed on a display of an information processing apparatus that executes an access control process.
  • FIG. 9 is a diagram showing an example of the data of the HTTP header—GET header included in the access request from the client.
  • FIG. 10 is a sequence diagram showing an example of a manual registration process sequence of the MAC address.
  • FIG. 11 is a block diagram illustrating a functional configuration of the server.
  • FIG. 12 is a block diagram showing a functional configuration of the client.
  • BEST MODE FOR CARRYING OUT THE INVENTION details of an information processing apparatus, an access control processing method, and a computer program of the present invention will be described with reference to the drawings. [System outline and MAC address table]
  • FIG. Figure 1 shows a server 101 that executes processing in response to processing requests from various client devices and a client device that performs processing requests to server 101? ⁇ 1 2 1, 1 2 2, 1 24,? 08, shows a configuration in which mobile communication terminals 123 and 125 such as mobile phones are connected via a network 100, for example, a home network configuration.
  • the processing executed by the server 101 in response to a request from the client includes, for example, provision of content stored in a storage device such as a hard disk held by the server 101, or execution of an application program executable by the server. It is a data processing service by execution.
  • a storage device such as a hard disk held by the server 101
  • an application program executable by the server It is a data processing service by execution.
  • the server 101 PCs 121, 122, 124 as other client devices, and mobile communication terminals such as PDAs and mobile phones 12 3, 12 5
  • the device that provides a service for a request from a client is shown as a server, and any client device provides its own data processing service to another client. Can provide a function as a server. Therefore, the client device connected to the network shown in FIG. 1 can also be a server.
  • the network 100 is a network such as a wired or wireless network, and each connection device has a MAC (Media Access Control) address.
  • Each network connection device transmits / receives a packet having a destination MAC address and a source MAC address in header information, for example, an Ethernet (registered trademark) frame via the network 100.
  • MAC Media Access Control
  • the client executes a data processing request to the server 101 by transmitting a frame in which the processing request information is stored in the data portion of the Ethernet frame to the server 101.
  • the server 101 performs an access authority determination process, which will be described later, executes data processing on condition that the authority is determined, and, if necessary, provides a result as a data processing result.
  • Data is stored in the data section of the Ethernet frame, and each Send to client.
  • the network connection device is configured by, for example, a device that supports Universal Plug and Play (UPnP: Universal Plug and Play). Therefore, it is easy to add and delete connected devices to the network. Devices that newly connect to the network
  • a device validation process that searches for devices on the network, receives responses from each device, and obtains information such as device types and functions included in the responses.
  • the CPU (Central Processing Unit) 301 executes various processes according to programs stored in ROM (Read Only Memory) 302 or HDD 304, etc., and executes data processing means or communication control. Functions as processing means.
  • the RAM 303 stores programs and data to be executed by the CPU 301 as appropriate.
  • the CPU 301, the ROM 302, the RAM 303, and the HDD 304 are interconnected via a bus 305.
  • the bus 305 is connected to an input / output interface 306.
  • the input / output interface 306 includes, for example, an input constituted by a keyboard, switch, button, mouse or the like operated by a user.
  • Unit 307, Output unit composed of LCD, CRT, speaker, etc. that presents various information to the user 308 is connected.
  • a communication unit 309 functioning as a data transmission / reception means, and a removable recording medium 311 such as a magnetic disk, an optical disk, a magneto-optical disk, or a semiconductor memory can be mounted, and the removable recording medium 311 A drive 310 that executes a process of reading or writing data from the drive is connected.
  • the configuration shown in Fig. 2 is an example of a server and a personal computer (PC) as an example of the network connection device shown in Fig. 1, but the network connection device is not limited to a PC. It is possible to configure with a portable communication terminal such as, various other electronic devices, and an information processing device. Therefore, it is possible to have a hardware configuration specific to each device, and execute processing according to the hardware.
  • the information processing device as a network connection device that performs access control stores a MAC address table in which the MAC address of the network connection device having the access right is registered as a device list of the network connection device having the access right. And executes access control processing based on the MAC address table.
  • An information processing device that performs access control based on a MAC address table has two access control modes. That is,
  • the information processing device that performs access control based on the MAC address table receives an access request from an external device (client), the source MAC Address (client MAC address) and the MAC address stored in the information processing device. Judge whether it matches the registered MAC address registered in the dress table, and if it matches, permit access. If they do not match, the MAC address obtained from the access request packet is automatically registered in the MAC address staple, and access is permitted on condition that the registration processing has been executed.
  • the information processing device that performs access control based on the MAC address table receives an access request from an external device (client)
  • the information processing device transmits the access request packet to the source device.
  • the MAC address (client MAC address) is acquired, and among the registered MAC addresses registered in the MAC address table stored in the information processing device, manual registration processing according to the predefined MAC address registration processing sequence is performed. It is determined whether it matches the manually registered MAC address, and if it matches the manually registered MAC address, access is permitted. If they do not match, the mode in which access is not permitted is executed.
  • the above two modes can be appropriately switched, and the access control in the above-described mode is performed in each setting mode.
  • the information processing device 410 serving as a network connection device for performing access control receives access requests from various information processing devices 4 21 to 4 23 connected via the network, and includes the access requests.
  • the MAC address staple (MAC list) 411 stored in the storage unit of the information processing device 410 has a table configuration that allows the storage of entries up to the maximum number of registrations: N.
  • MAC address data that has been manually registered in accordance with the above-described automatic registration access control mode or a predetermined sequence.
  • MAC address table (MAC list) 411 data as to whether or not the registered MAC address is manually registered data is set as data associated with each MAC address. That is, manual registration identification data indicating whether the MAC address is a MAC address registered by a manual registration process according to a preset registration sequence or an address automatically registered in the automatic registration access control mode described above. Is set in the MAC address table 411 corresponding to each registered MAC address. In FIG. 3, the entry set in the manual registration column with a black triangle is the MAC address registered by manual registration processing according to a preset registration sequence.
  • the MAC address table is stored in a storage unit (non-volatile memory) in an information processing device (server) as a network connection device that performs access control.
  • the MAC address staple has a configuration in which registration data of each client is stored in slot units, and one registered client information is stored in each slot.
  • the registration information includes, as shown in the figure, the MAC address of the client and information on whether or not manual registration is performed, and a client name (not shown), which can be arbitrarily set by the user. Information such as date and time may be stored.
  • step S101 the information processing device as a network connection device that performs access control receives an access request from another network connection device.
  • the information processing device as a network connection device that performs access control is described as a server, and the information processing device that executes an access request is described as a client.
  • Figure 5 shows an example of the configuration of an access request packet (Ethernet frame) sent from the client. The packet is divided into a header section, a data section, and a trailer section.
  • the header section contains a synchronization signal, a packet start code, a destination MAC address, a source MAC address, a packet length, and a type.
  • the data section includes data generated according to, for example, a TCP / IP communication protocol, and stores, for example, an IP packet including a transmission source and a transmission destination IP address.
  • the server performs different processing depending on whether its own access control mode is (1) the automatic registration access control mode or (2) the registered device access control mode.
  • the server identifies its own mode in step S102, and (1) executes the processing in step S103 and subsequent steps when in the automatic registration access control mode.
  • step S103 the MAC address of the access request source is obtained from the received packet from the client, and the matching process is performed with the MAC address registered in the MAC address table (see Fig. 3) stored in the storage unit of the server. Then, determine whether or not it has been registered. If you have already registered (Step S103: Yes), Proceeding to step S106, access is permitted, and processing according to the client's request is performed. If it is not registered (step S103: No), the process proceeds to step S104 to check whether the number of MAC addresses already registered in the MAC address table has reached the registration limit number set in the server: N That is, it is determined whether or not the registered MAC address ⁇ the maximum number of registrations: N.
  • step S104 If the number of registered MAC addresses is less than the maximum number of registrations: N (step S104: Yes), the source MAC address set in the header of the packet received from the client is registered in the MAC address table. Then, in step S106, access is permitted, and processing according to the client's request is executed. If the number of registered MAC addresses ⁇ the maximum number of registrations is not N (step S104: No), that is, if the MAC address with the maximum number of registrations: N is already registered in the MAC address table, no more automatic registration is performed. Since it cannot be executed, the access request from the client is rejected in step S107 without executing the MAC address registration process.
  • step S102 determines whether the own mode is (2) the registered device access control mode. If it is determined in step S102 that the own mode is (2) the registered device access control mode, the process proceeds to step S111, and the access request source is determined from the packet received from the client.
  • the MAC address is acquired, and among the MAC addresses registered in the MAC address table (see Fig. 3) stored in the storage unit of the server, manual registration processing according to a predetermined MAC address registration processing sequence is performed. It is determined whether or not it matches the manual registration MAC address. That is, in FIG. 3, only the entry for which the item “ ⁇ ” is set in the manual registration column is the MAC address entry to be compared.
  • step SI11: Yes if the MAC address matches the manually registered MAC address entry (step SI11: Yes), proceed to step S106, permit access, and respond to client request Perform the processing that was performed.
  • step S111: No if the source MAC address does not match the manually registered MAC address entry (step S111: No), the process proceeds to step S112 to deny access.
  • the device is in the registered device access control mode, access is rejected even if it matches the MAC address automatically registered in the source MAC address table in the MAC address table.
  • the server determines a request mode from a client and determines an access request of a specific category.
  • Access control is performed only when the access request is, that is, the check with the MAC address table and the automatic registration process are performed. It is also possible to adopt a configuration that responds to a request from a client without executing collation with the address table and automatic registration processing.
  • the access request of a specific category is, for example, a request to acquire the content held by the server or a control request to the server.
  • a request to acquire the content held by the server is executed based on an HTT P (Hyper Text Transfer Protocol) GET method that specifies a content URL (Uniform Resource Locators) as a content identifier.
  • Control requests to the server use the Simple Object Access Protocol (SOAP) protocol.
  • SOAP Simple Object Access Protocol
  • server as a network connection device that performs access control S
  • the request from the client is based on the HTTP that specifies the content URL (Uniform Resource Locators).
  • URL Uniform Resource Locators
  • the MAC address table is compared with the MAC address table as access control processing. Executes the automatic registration process and permits access requests on condition that it is already registered in the MAC address table.
  • the flow chart of FIG. 6 shows a sequence in which the server determines the type of request from the client, checks with the MAC address table as access control processing, determines whether or not to execute automatic registration processing, and executes the processing. This will be described with reference to FIG.
  • the process flow in FIG. 6 is a process when the information processing device (server) as a network connection device for performing access control is in the automatic registration access control mode.
  • step S201 the information processing device as a network connection device that performs access control receives an access request from another network connection device.
  • step S202 it is determined whether the access request from the client is a content acquisition request based on the HTTP-GET method or a control request based on the SOAP. If the access request from the client is a content acquisition request based on the HTT GE—GET method or a control request based on the S OAP (step S202: Yes), in step S203, Then, the MAC address of the access request source is acquired from the received packet, and is checked against the MAC address registered in the MAC address table (see Fig. 3) stored in the server storage unit. Determine whether or not.
  • step S203: Yes the flow advances to step S206 to permit access and execute processing according to the client's request. If not registered (step S203: No), the process proceeds to step S204 to determine whether the number of MAC addresses already registered in the MAC address table has reached the registration limit number set in the server: N That is, it is determined whether or not the number of registered MAC addresses is N. If the maximum number of registered MAC addresses is N (step S204: Yes), the source MAC address set in the header of the received packet from the client in step S205 Is registered in the MAC address table, and then, in step S206, access is permitted, and processing according to the request of the client is executed.
  • step S204 If the number of registered MAC addresses ⁇ the maximum number of registrations is not N (step S204: No), that is, if MAC addresses with the maximum number of registrations: N have already been registered in the MAC address table, further automatic Since registration cannot be performed, the access request from the client is rejected in step S207 without performing the MAC address registration process.
  • step S202 if it is determined in step S202 that the access request from the client is not a content acquisition request based on the HTTP-GET method or a control request based on the SOAP, it is checked against the MAC address table. , The process proceeds to step S206 without executing the automatic registration process, permits access, and executes a process according to a client request.
  • FIG. 7 shows a functional block diagram illustrating the access control process of the network connection device (server) that performs access control.
  • the server transmits and receives packets via the packet transmission / reception unit 501 and the packet transmission / reception unit 501 and transmits / receives the packets via the packet transmission / reception unit 501 via the network.
  • the packet generation and analysis unit 502 that generates the MAC address table determines whether or not registration in the MAC address table is possible based on the packet received from the client, and performs registration processing of the MAC address when the registration is determined to be possible.
  • the execution unit 503, the storage unit 504 storing the MAC address staples, and whether or not the data processing request client is registered in the MAC address table based on various data processing request packets to the server.
  • the access control processing execution unit 505 which judges and executes the access permission / non-permission judgment processing, the access in the access control processing execution unit 505
  • the data processing unit 507 that executes the data processing required by the client on condition that the server is in the automatic registration access control mode, and (2) whether the server is in the registered device access control mode.
  • a mode information storage unit 506 that stores the mode information.
  • the registration processing execution unit 503 and the access control processing execution unit 505 are the mode setting information set in the mode information storage unit 506, that is, (1) the automatic registration access control mode, and (2) the registered device. Different processing is executed depending on which of the two access control modes is in.
  • the registration processing execution unit 503 allows the automatic registration based on the number of registration entries in the MAC address table stored in the storage unit 504. A judgment is made as to whether or not registration is to be performed, and registration processing is executed on condition that the number is within the limit.
  • the registration process execution section 503 allows registration during the manual registration process.
  • a rejection determination process is also performed. That is, a process for determining whether or not a process according to a predetermined manual registration process sequence is being performed, and the like are performed. A detailed example of the manual registration process will be described later.
  • Figure 8 shows an example of the MAC address table displayed on the display and the user interface for executing the mode setting process in the network connection device (server) that executes access control.
  • a MAC address table 651 including a client device name, a MAC address, and data indicating whether or not manual registration is performed is displayed.
  • the current setting mode information display section 652 Delete the entry registered in the mode switching section 6 5 4 and the user input section 6 5 3 that has the registration confirmation button 6 5 5 when registering the MA address in the manual registration process, and also the MAC address table 6 5 1
  • a user interface (UI) with a delete button 6 5 6 is displayed.
  • All HTTP—GET methods and SOAPs which are access requests from clients, have an HTTP extension header (X-AV-C1ient—Info) indicating sender information as shown in Figure 9.
  • a display process is performed on the display 650 based on this information. That is, for example, as shown in FIG.
  • An HTTP extension header (X—AV—Client—Info) consisting of is sent from the client.
  • the user displays the UI shown in Figure 8 on the server display and Switching of the MAC address, confirmation of the MAC address registered in the MAC address table can be executed, and, if necessary, processing of deleting the MAC address registered in the MAC address table.
  • the example shown in FIG. 10 is an example of a manual MAC address registration process, and it is not always necessary to perform manual registration according to this example. However, only the MAC address of the client that has been registered manually in advance is set as the manually registered MAC address in the MAC address table (MAC list) shown in Fig. 3.
  • the sequence shown in FIG. 10 is a MAC registration processing sequence based on device authentication using a password. First, in step S301, the user presses a registration button provided on the client (controller) side.
  • step S302 the client device broadcasts a MAC address registration request via the network in accordance with the user signal A (USA) generated when the registration button is pressed.
  • the broadcast of the MAC address registration request is continuously performed, for example, every three seconds for several minutes.
  • the server device
  • step S303 the confirmation button provided on the server side is pressed.
  • step S304 the server receives a MAC address registration request for a specified time, for example, 10 seconds, in accordance with a user signal B (USB) generated when the confirmation button is pressed.
  • USB user signal B
  • the server If the server receives a MAC address registration request from the same source (MAC address) within 10 seconds, the server copies the MAC address to the MAC address table (MA address). C list) (see Fig. 3), and then generate a device signal A (DSA) that displays a message “The device was found. Would you like to register it?” ) And wait for a predetermined time (for example, 1 minute) in that state.
  • the server refers to the MAC address table and determines that the request is a MAC address registration request from a client that has already been manually registered, the server transmits a notification indicating that the MAC registration has been completed to the client and transmits the MAC address registration request to the client. End the process. That is, the server does not perform double registration of the same MAC address.
  • the server is registered in the MAC address table. Performs the process of changing the existing MAC address data entry from the automatic registration entry to the manual registration entry.
  • the server executes a process of setting an identifier indicating that manual registration has been performed in the manual registration field corresponding to the entry of the MAC address data for which the MAC address table has been automatically registered. Will do.
  • the server waits for a predetermined period of time (for example, one minute) while generating a device signal A (DSA) displaying a message "Discovered device.
  • a predetermined period of time for example, one minute
  • step S306 the user presses the confirmation button (registration confirmation button 6555 in FIG. 8) provided on the server side. Then, the server transmits a MAC registration confirmation request to the client in step S307 according to the user signal C (USC) generated when the confirmation button is pressed. A password request flag is added to the MAC registration confirmation request.
  • step S 308 the client transmits “MAC registration confirmation request” to the user based on the password request flag included in the received MAC registration confirmation request. Enter the password for the device "XXXX”. "A device signal B (DSB) is displayed, and the system waits for the password input for a predetermined time (for example, 5 minutes).
  • the client stops transmitting the MAC address registration request, and returns a MAC registration confirmation response to the server in step S309.
  • the server Upon receiving the MAC registration confirmation response, the server generates a password (one-time password) in step S310 and informs the user that the password for the client (controller) "YYYY” is """. Generates a device signal C (DSC) that displays the following message, and waits for the specified time (for example, 5 minutes) with the password presented.
  • DSC device signal C
  • the server Upon receiving the password from the client, the server executes a process of collating the received password with the password generated in step S310 and presented to the user on the server side. If the received password from the client matches the generated password, in step S313, the server sets the MAC address of the client in the MAC address staple (MAC list) (see Fig. 3) as the formal entry. At the same time, set identification data (flag, etc.) that indicates manual registration. Or change the automatic registration entry to a manual registration entry.
  • MAC list MAC address staple
  • step S314 the server sends a device signal D (DSD) displaying a message such as "The client (controller)" YYYY "has been registered.” Occurs, and in step S315, a password response with verification OK added is returned to the client.
  • DSD device signal
  • step S316 the client determines that the MAC address has been authenticated and registered, and informs the user of “device”.
  • a device signal E (DSE) that displays the message "X XXX" is generated, and the manual registration process with MAC address device authentication is completed.
  • the server If the password sent from the client is invalid, that is, the received password from the client does not match the generated password of the server, the server returns a password response with a verification NG added to the client, and the client returns a password response.
  • the server waits for the password to be input again from the server, and if the password verification NG is repeated three times during the waiting period, the server stops the retry of the password input and the “controller“ YYYY ”cannot be registered to the user. Is displayed, and the processing ends without executing the MAC address registration of the client. Only the MAC address of the client that has performed the MAC address manual registration process described above is registered as a manually registered MAC address in the MAC address table. If the server is in "registered device access control mode", only those manually registered clients will be allowed access. [Functional configuration of server and client]
  • the hardware configuration of the server / client device is as described above with reference to FIG. 2, and the various processes described above are controlled according to the programs stored in the respective storage units of the server / client.
  • the CPU as a part runs.
  • the processing executed by the CPU is, for example, on the server side, inputting a request from the client, analyzing the input information, registering the MAC address table (MAC list) based on the analysis result, that is, registering in the access control information, This includes generating and analyzing packets to be transmitted and received, outputting various messages in the registration process, and analyzing user input information.
  • the processing on the client side is the generation and transmission of various request packets to the server, the analysis of packets received from the server, the output of various messages in the registration process, and the analysis of user input information. Is executed in accordance with a processing program stored in advance under the control of the CPU as a control unit of the server and the client device.
  • FIG. 11 is a block diagram illustrating the main functional configuration of the server
  • FIG. 12 is a block diagram illustrating the main functional configuration of the client.
  • the packet transmitting / receiving unit 701 receives a packet to the client and a packet from the client.
  • the packet generation / analysis section 702 performs transmission packet generation processing and reception packet analysis processing. This includes setting the bucket address, recognizing the address, storing the data in the data storage section of the packet, and acquiring data from the data storage section.
  • the data input unit 703 is a keyboard, a user interface, and the like for executing data input by a user.
  • the data output unit 704 is an output unit such as a display for displaying message data and the like.
  • the access control processing execution unit 705 performs the (1) access control processing in the automatic registration access control mode, and the (2) the access control processing in the registered device access control mode described with reference to FIGS. I do.
  • the registration processing unit 706 performs (1) a MAC address registration process executed in response to an access in the automatic registration access control mode, and a manual registration process described above with reference to FIG. That is, the registration processing unit 706 determines that a process according to a predefined MAC address registration process sequence has been performed, such as the manual registration process described with reference to FIG.
  • the data processing unit 707 executes a process corresponding to a request from a client permitted to access, for example, a content acquisition process.
  • the storage unit 708 includes various types of programs such as an access control processing program 711 executed by the access control processing execution unit 705 and a MAC address registration processing program 712 executed by the registration processing unit 706.
  • the data processing program is stored, and further, the MAC address table 711 described with reference to FIG. 3 and the mode information 714 set in the server are stored. Note that the server also provides the content It stores metadata etc. corresponding to the contents.
  • the packet transmission / reception unit 8001 receives a packet for the server and a packet from the server.
  • the packet generation / analysis unit 802 performs transmission packet generation processing and reception packet analysis processing. No., packet address setting, address recognition, data storage in the packet data storage unit, and data acquisition processing from the data storage unit.
  • the data input unit 803 is a keyboard, a user interface, and the like for executing data input by a user.
  • the data output unit 804 is an output unit such as a display for displaying message data and the like.
  • the access request processing execution unit 805 executes various access request processing for the server, such as a content acquisition request and a control request.
  • the address registration processing execution unit 806 executes the manual registration processing of the MAC address described with reference to FIG.
  • the data processing unit executes various data processes such as a process of reproducing content obtained from the server.
  • the storage unit 808 stores an address registration processing program 811 executed by the address registration processing execution unit 806, other processing programs, and a client MAC address 812 and the like.
  • the server and the client functionally have respective functions shown in FIGS. 11 and 12, and execute the above-described processes. However, the block diagrams shown in FIGS.
  • FIGS. 11 and 12 are block diagrams illustrating functions, and it is not essential that the server client has hardware corresponding to the blocks shown in FIGS. 11 and 12. Specifically, various processing programs are executed under the control of the CPU in the configuration of the PC or the like shown in FIG. 2, and the processing described with reference to each block shown in FIGS. 11 and 12 is performed. Alternatively, each processing described in the above detailed description of the invention is executed.
  • the present invention has been described in detail with reference to the specific embodiments. However, it is obvious that those skilled in the art can modify or substitute the embodiment without departing from the spirit of the present invention. That is, the present invention has been disclosed by way of example, and should not be construed as limiting. In order to determine the gist of the present invention, the claims should be considered.
  • a program recording the processing sequence can be installed and executed in a memory in a computer built in dedicated hardware, or a general-purpose computer capable of executing various processing. It is possible to install and run the program at
  • the program can be recorded in a hard disk or a ROM (Read Only Memory) as a recording medium in advance.
  • the program is a removable recording medium such as a flexible disk, a compact disk read only memory (CD-ROM), a magnetic disk (MO), a digital versatile disk (DVD), a magnetic disk, and a semiconductor memory. Can be stored (recorded) temporarily or permanently.
  • Such a removable recording medium can be provided as so-called package software.
  • the program can be installed on the computer from the removable recording medium as described above, or transmitted wirelessly from a download site to the computer, or wired to the computer via a network such as a LAN (Local Area Network) or the Internet.
  • the computer can receive the transferred program and install it on a recording medium such as a built-in hard disk.
  • a system is a logical set configuration of a plurality of devices, and is not limited to a device in which each component is in the same housing.
  • the MAC address in which the manually registered client MAC address and the automatically registered client MAC address are registered in an identifiable manner If the access control mode is the automatic registration access control mode, the MAC address of the access requesting client is registered up to the prescribed registration limit: N in the MAC address table, and the registration process is performed on condition. Executes access control processing that permits client access. If the access control mode is the registered device access control mode, it is registered as a manually registered MAC address in the MAC address table of the MAC address of the access requesting client.
  • the access request type of the client is identified, and the identified access request type is a request type to execute a predetermined access control, for example, HTTP (Hyper Text Transfer Protocol) — Content request processing based on the GET method, or S Only when the control request processing is based on the OAP (Simple Object Access Protocol), the MAC address of the client is registered up to the specified registration limit: N in the MAC address table, and access is performed on condition of the registration processing. Since the configuration for permitting is performed, unnecessary access control is prevented in the device discovery processing, information acquisition processing, and the like in UPnP and the like.
  • HTTP Hyper Text Transfer Protocol
  • OAP Simple Object Access Protocol

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

モード設定による異なるアクセス制御を可能とした装置および方法を実現する。マニュアル登録ＭＡＣアドレスと、自動登録ＭＡＣアドレスとを識別可能な態様で登録したＭＡＣアドレステーブルを設定し、アクセス制御モードが、自動登録アクセス制御モードである場合は、アクセス要求クライアントＭＡＣアドレスを、ＭＡＣアドレステーブルの規定登録限度数：Ｎに至るまで登録し、登録を条件としてアクセスを許容し、アクセス制御モードが、登録デバイスアクセス制御モードである場合は、クライアントＭＡＣアドレスが、ＭＡＣアドレステーブルに、マニュアル登録ＭＡＣアドレスとして設定されていることを条件としてアクセスを許容する。

Description

明 細 書 情報処理装置、 およびアクセス制御処理方法、 並びにコンピュータ 'プログ ラム 技術分野 本発明は、 情報処理装置、 およびアクセス制御処理方法、 並びにコンビユー タ ·プログラムに関する。 さらに、 詳細には、 ネットワーク接続された機器間 の通信においてアクセス権限判定に基づくアクセス制御処理を実行する情報 処理装置、 およびアクセス制御処理方法、 並びにコンピュータ ·プログラムに 関する。 背景技術 昨今のデータ通信ネットワークの普及に伴い、家庭内においても家電機器や コンピュータ、その他の周辺機器をネッ トワーク接続し、各機器間での通信を 可能とした、いわゆるホームネッ トワークが浸透しつつある。 ホームネットヮ ークは、ネッ トワーク接続機器間で通信を行なうことにより各機器のデータ処 理機能を共有したり、機器間でコンテンツの送受信を行なう等、ユーザに利便 性'快適性を提供するものであり、今後、ますます普及することが予測される。 このようなホームネッ トワークの構成に適するプロ トコルと して U P n P (登録商標） が知られている。 U P n Pは、 複雑な操作を伴うことなく容易に ネットワークを構築することが可能であり、困難な操作や設定を伴うことなく ネッ トワーク接続された機器において各接続機器の提供サービスを受領可能 とするものである。 また、 U P n Pはデバイス上の O S (オペレーティングシ ステム） にも依存せず、 容易に機器の追加ができるという利点を持つ。 U P n Pは、 接続機器間で、 X M L ( extens ible Markup Language) に準拠 した定義ファイルを交換し、機器間において相互認識を行なう。 U P n Pの処 理の概要は、 以下の通りである。
( 1 ) I Pァドレス等の自己のデバイス I Dを取得するァドレッシング処理。 ( 2 ) ネットワーク上の各デバイスの検索を行ない、 各デバイスから応答を 受信し、応答に含まれるデバイス種別、機能等の情報を取得するデイス力バリ 処理。
( 3 ) ディスカパリ処理で取得した情報に基づいて、 各デパイスにサービス を要求するサービス要求処理。 上記処理手順を行なうことで、ネットワーク接続された機器を適用したサー ビスの提供および受領が可能となる。ネッ トワークに新たに接続される機器は、 上記のァドレッシング処理によりデバイス I Dを取得し、ディスカバリ処理に よりネットワーク接続された他のデバイスの情報を取得して、取得情報に基づ いて他の機器にサービスの要求が可能となる。 し力 し、 一方、 この種のネッ トワークでは、 不正アクセスに対する対策を考 盧することも必要となる。 ホームネットワーク内の機器、例えばサーバ等には 私的なコンテンツや有料コンテンツ等の著作権管理を要求されるコンテンッ が格納されることも多い。 このようなホームネットワーク内のサーバに格納されたコンテンッは、ネッ トワーク接続された他の機器からアクセス可能となる。例えば、上述の簡易な 機器接続構成である U P n P接続を実行した機器によってコンテンツを取得 することが可能となる。 コンテンツが映画データや音楽データの場合、ネット ワーク接続機器として τ ν、 あるいはプレーヤ等を接続すれば、映画を視聴し たり、 音楽を聴いたりすることが可能となる。 コンテンッの利用権を有するユーザの接続した機器によるアクセスは許容 されてもよいが、上述のようなネットワーク構成においては、 コンテンツ等の 利用権を持たないユーザがネットワークに入り込むことも容易である。例えば 無線 LANによって構成されたネッ トワークの場合には家の中にあるサーバ に対して、戸外、 あるいは隣家等から通信機器を利用して不正にネットワーク に参入し、 コンテンツの搾取を行なうような事態も発生し得る。 このような不 正なアクセスを許容する構成は、 秘密漏洩を生じさせることにもなり、 また、 コンテンッ著作権の管理の観点からも重要な問題となる。 上述のような不正アクセスを排除するため、例えばサーバにアクセスを許容 するクライアントのリストを保持させ、クライアントからサーバに対するァク セス要求の際に、サーバでリス トとの照合処理を実行して不正アクセスを排除 する構成が提案されている。 例えば、ネットワーク接続機器に固有の物理ァドレスである MAC (Me d i a A c c e s s C o n t r o l ) ア ドレスを、 アクセス許容機器リス ト として設定する MACァドレスフィルタリングが知られている。 MACァドレ スフィルタリングとは、 ホームネットワーク等の内部ネットワーク （サブネッ ト） と外部ネットワークとを隔離するルータあるいはゲートウエイに、予めァ クセスを許容する MACァドレスを登録しておき、受信したパケットの MAC 了ドレスと登録された MACァ ドレスとを照合し、登録されていない MACァ ドレスを有する機器からのアクセスを拒否するものである。 なお、 この種の技 術については、 例えば特開平 1 0— 2 7 1 1 5 4号公報 （特許文献 1 ) に開示 されている。 しかし、一般にアクセス制限をするための MACァドレスの登録処理を行な うためには、ユーザあるいは管理者がネットワークに接銃される機器の MAC ァドレスを調べて、調べた MACァドレスをオペレータが入力してリストを作 成するという処理が必要となる。 ホームネットワークにおいては、新たな機器の追加処理が行われることは頻 繁に発生することであり、 このような機器追加処理の際に、 ユーザが逐次、 機 器の M A Cァドレスを調べて登録処理をしなければならないとすると、ネット ワーク構築の容易性を阻害することになる。 一方、 一般家庭においても、 P Cのみならず、 家電機器も含んだネットヮー ク構成が構築され、どのような機器からでもネットワークにアクセス可能ない わゆるュビキタス環境が構築されつつあり、また、無線 L A N等の普及により、 通信可能な機器が外部から無線 L A Nに侵入することも容易となっている。こ のようなネットワーク環境において、ネットワーク接続機器に対する不正ァク セスもより発生しやすくなっており、 不正なアクセスによる秘密情報の搾取、 コンテンッの不正読み取り等が実行される可能性はますます高くなっている。 このような状況において、一般ユーザに負祖を強いることなく、適切なァクセ ス制御構成を容易に実現することが求められている。 発明の開示 本発明は、上述の問題点に鑑みてなされたものであり、様々な機器からのァ クセス要求をネッ トワークを介して受領する情報処理装置におけるアクセス 制御において、複数のモードに基づく異なる態様でのアクセス制御処理を可能 とすることで、ユーザ負担の軽減を図るとともに、不特定多数クライアントか らの無制限なアクセスについても防止可能とした情報処理装置、およびァクセ ス制御処理方法、並びにコンピュータ ·プログラムを提供することを目的とす る。 本発明の第 1の側面は、
アクセス制御処理を実行する情報処理装置であり、
マニュアル登録のなされたクライアント M A Cァドレスと、自動登録処理の なされたクライアント M A Cァドレスとを識別可能な態様で登録した M A C ァ ドレステーブルを記憶した記憶部と、
情報処理装置に設定されたアクセス制御モードが、自動登録アクセス制御モ 一ドである力、登録デバイスアクセス制御モードであるかに応じて、 クライア ントからのアクセス要求に対して異なるアクセス制御処理を実行するァクセ ス制御部とを有し、
前記アクセス制御部は、
情報処理装置に設定されたアクセス制御モードが、自動登録アクセス制御モ 一ドである場合は、 アクセス要求クライアントの M A Cァドレスを、前記 M A Cァドレステーブルの規定登録限度数： Nに至るまで登録し、該登録処理を条 件としてクライアントのアクセスを許容するアクセス制御処理を実行し、 情報処理装置に設定されたアクセス制御モードが、登録デバィスアクセス制 御モードである場合は、 アクセス要求クライアントの M A Cァドレスが、前記 M A Cァドレステーブルに、マ二ユアノレ登録された M A Cァドレスとして登録 されていることを条件としてクライアントのアクセスを許容するアクセス制 御処理を実行する構成を有することを特徴とする情報処理装置にある。 さらに、本発明の情報処理装置の一実施態様において、前記アクセス制御部 は、情報処理装置に設定されたアクセス制御モードが、 自動登録アクセス制御 モードである場合、 クライアントのアクセス要求種別を識別し、該識別された アクセス要求種別が予め定めたアクセス制御を実行すべき要求種別である場 合にのみ、 クライアントの M A Cア ドレスを、前記 M A Cァ ドレステープノレの 規定登録限度数： Nに至るまで登録し、該登録処理を条件としてクライアント のアクセスを許容する処理を実行する構成であることを特徴とする。 さらに、本発明の情報処理装置の一実施態様において、前記アクセス制御を 実行すべき要求種別は、 H T T P (Hyper Text Transfer Protocol)— G E Tメ ソッドに基づくコンテンツ要求処理、 または S O A P (Simple Object Access Protocol)に基づく制御要求処理の少なく ともいずれかを含むことを特徴とす る。 さらに、本発明の情報処理装置の一実施態様において、前記情報処理装置は、 予め規定された MACァドレス登録処理シーケンスに従ったマニュアル登録 処理が実行されたことを条件として、クライアント MACァドレスを前記 M A Cァ ドレステーブルにマニュアル登録のなされたクライアント MACァ ドレ スとして登録する処理を実行する登録処理部を有することを特徴とする。 さらに、本発明の情報処理装置の一実施態様において、前記情報処理装置は、 前記 MACァドレステーブルに自動登録のなされたクライアント MACアド レスと して登録された MACァ ドレスについて、予め規定された MACァ ドレ ス登録処理シーケンスに従ったマニュアル登録処理が実行されたことを条件 と して、前記 MACァドレステーブルの自動登録クライアント MACア ドレス エントリをマニュ アル登録クライアント MACアドレスエントリとする設定 変更処理を実行する登録処理部を有することを特徴とする。 さらに、 本発明の第 2の側面は、
情報処理装置におけるアクセス制御処理方法であり、
クライアントからのァクセス要求を受信するアクセス要求受信ステップと、 情報処理装置に設定されたアクセス制御モードが、自動登録アクセス制御モ 一ドである力 登録デバイスアクセス制御モードであるかを判定するモード判 定ステップと、
設定アクセス制御モードが、 自動登録アクセス制御モードである場合は、 ァ クセス要求クライアントの MACァドレスを、 MACァドレステーブルの規定 登録限度数： Nに至るまで登録し、該登録処理を条件としてクライアントのァ クセスを許容するアクセス制御処理を実行し、
設定アクセス制御モードが、登録デバイスアクセス制御モードである場合は、 アクセス要求クライアントの MACァドレス力 S、前記 MACァドレステーブル に、マニュアル登録された MACァドレスと して登録されていることを条件と してクライアントのアクセスを許容するアクセス制御処理を実行するァクセ ス制御ステップと、
を有することを特徴とするアクセス制御処理方法にある。 さらに、本発明のアクセス制御処理方法の一実施態様において、前記ァクセ ス制御ステップは、情報処理装置に設定されたアクセス制御モードが、 自動登 録アクセス制御モードである場合、クライアントのアクセス要求種別を識別し、 該識別されたアクセス要求種別が予め定めたアクセス制御を実行すべき要求 種別である場合にのみ、 クライアントの MACァドレスを、前記 MACァドレ ステーブルの規定登録限度数： Nに至るまで登録し、該登録処理を条件として クライアントのアクセスを許容する処理を実行することを特徴とする。 さらに、.本発明のアクセス制御処理方法の一実施態様において、前記ァクセ ス制御を実行すべき要求種別は、 HT T P (Hyper Text Transfer Protocol) 一 GETメソッドなどに基づくコンテンツ要求処理、 または S OAP (Simple Object Access Protocol) に基づく制御要求処理の少なく ともいずれかを含む ことを特徴とする。 さらに、本発明のアクセス制御処理方法の一実施態様において、前記ァクセ ス制御処理方法は、 さらに、予め規定された MACァドレス登録処理シーケン スに従ったマニュアル登録処理が実行されたことを条件として、クライアント MACァドレスを前記 MACァドレステーブルにマニュアル登録のなされた クライアント MACアドレスとして登録する処理を実行する登録処理ステツ プを有することを特徴とする。 さらに、本発明のアクセス制御処理方法の一実施態様において、前記ァクセ ス制御処理方法は、 さらに、前記 MACァ ドレステーブルに自動登録のなされ たクライアント MACア ドレスと して登録された MACァ ドレスについて、予 め規定された MA Cァドレス登録処理シーケンスに従ったマニュアル登録処 理が実行されたことを条件として、前記 MACァドレステーブルの自動登録ク ライアント MACア ドレスエントリ をマニュアル登録クライアント MACァ ドレスエント リ とする設定変更処理を実行する登録処理ステップを有するこ とを特徴とする。 さらに、 本発明の第 3の側面は、
情報処理装置におけるアクセス制御処理を実行するコンピュータ ·プロダラ ムであり、
情報処理装置に設定されたアクセス制御モードが、自動登録アクセス制御モ 一ドである力 、登録デバイスアクセス制御モードであるかを判定するモード判 定ステップと、
設定アクセス制御モードが、 自動登録アクセス制御モードである場合は、 ァ クセス要求クライアントの MACアドレスを、 MACァドレステープノレの規定 登録限度数： Nに至るまで登録し、該登録処理を条件としてクライアントのァ クセスを許容するアクセス制御処理を実行し、
設定アクセス制御モードが、登録デバイスアクセス制御モードである場合は、 アクセス要求クライアントの MACァドレス力 前記 MA Cァドレステープル に、マニュアル登録された MA Cァドレスとして登録されていることを条件と してクライアントのアクセスを許容するアクセス制御処理を実行するァクセ ス制御ステップと、
を有することを特徴とするコンピュータ · プログラムにある。 本発明の構成においては、マニュアル登録のなされたクライアント MACァ ドレスと、自動登録処理のなされたクライアント MACァドレスとを識別可能 な態様で登録した MACァドレステーブルを設定し、 アクセス制御モードが、 自動登録アクセス制御モードである場合は、アクセス要求クライアントの MA Cァ ドレスを、 MACァ ドレステーブルの規定登録限度数： Nに至るまで登録 し、該登録処理を条件としてクライアントのアクセスを許容するアクセス制御 処理を実行し、アクセス制御モードが、登録デバイスアクセス制御モードであ る場合は、 アクセス要求クライアントの MACァ ドレスが、 MACァ ドレステ 一プルに、マニュアル登録された M A Cァドレスとして登録されていることを 条件としてクライアントのアクセスを許容するアクセス制御処理を実行する 構成としたので、ュ一ザによるマ-ユアル登録処理を実行しない場合において も、 無制限なアクセスが防止され、例えば不特定多数クライアントからのサー バ格納コンテンツの取得等を防止することが可能となり、 さらに、 モードを、 登録デバイスアクセス制御モードに設定することにより、厳格なアクセス制御 を実行することも可能となる。 さらに、 本発明の構成によれば、 自動登録アクセス制御モードにおいて、 ク ライアントのアクセス要求種別を識別し、識別されたアクセス要求種別が予め 定めたァクセス制御を実行すべき要求種別、 例えば H T T P (Hyper Text Transfer Protocol)— G E Tメソッドに基づくコンテンッ要求処理、 または S O A P (Simple Object Access Protocol) に基づく制御要求処理である場合 にのみ、 クライアントの M A Cア ドレスを、 M A Cァドレステーブルの規定登 録限度数： Nに至るまで登録し、該登録処理を条件としたアクセス許容を実行 する構成としたので、 U P n P等における機器発見処理、情報取得処理等にお いて不必要なアクセス制御を行うことが防止される。 なお、 本発明のコンピュータ 'プログラムは、 例えば、 様々なプログラム' コードを実行可能な汎用コンピュータ 'システムに対して、 コンピュータ可読 な形式で提供する記憶媒体、 通信媒体、 例えば、 C D F D、 M Oなどの記憶 媒体、 あるいは、ネットワークなどの通信媒体によって提供可能なコンビユー タ .プログラムである。 このようなプログラムをコンピュータ可読な形式で提 供することにより、 コンピュータ ·システム上でプログラムに応じた処理が実 現される。 本発明のさらに他の目的、特徴や利点は、後述する本発明の実施例や添付す る図面に基づく、 より詳細な説明によって明らかになるであろう。 なお、 本明 細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装 置が同一筐体内にあるものには限らない。 図面の簡単な説明 図 1は、 本発明の適用可能なネットワーク構成例を示す図である。
図 2は、 ネットワーク接続機器の構成例について説明する図である。
図 3は、本発明の情報処理装置の有する M A Cァ ドレステーブルおよびァク セス制御処理について説明する図である。
図 4は、本発明の情報処理装置の実行するアクセス制御処理について説明す るフロー図である。
図 5は、 クライアントが送信するパケッ ト構成を示す図である。
図 6は、本発明の情報処理装置の実行するアクセス制御処理について説明す るフロー図である。
図 7は、本発明の情報処理装置のアクセス制御処理構成を示す機能プロック 図である。
図 8は、アクセス制御処理を実行する情報処理装置のディスプレイに表示さ れるユーザィンタフェース構成例を示す図である。
図 9は、クライアントからのアクセス要求に含まれる H T T P— G E Tへッ ダのデータ例を示す図である。
図 1 0は、 M A Cァドレスのマニュアル登録処理シーケンスの例を示すシー ケンス図である。
図 1 1は、 サーバの機能構成を示すブロック図である。
図 1 2は、 クライアントの機能構成を示すプロック図である。 発明を実施するための最良の形態 以下、 図面を参照しながら、 本発明の情報処理装置、 およびアクセス制御処 理方法、 並びにコンピュータ ·プログラムの詳細について説明する。 [システム概要および MACァドレステ一プル]
まず、 図 1を参照して、本発明の適用可能なネッ トワーク構成例について説 明する。 図 1は、様々なクライアント機器からの処理要求に応じて処理を実行 するサーバ 1 0 1 と、サーバ 1 0 1に対して処理要求を行なうクライアント機 器と しての？〇 1 2 1 , 1 2 2 , 1 24、 ？0八、 携帯電話等の携帯通信端末 1 2 3 , 1 2 5がネットワーク 1 0 0を介して接続された構成、例えばホーム ネッ トワーク構成を示している。 サーバ 1 0 1がクライアントからの要求に応じて実行する処理は、例えばサ ーバ 1 0 1の保有するハードディスク等の記憶手段に格納されたコンテンツ の提供、あるいはサーバの実行可能なアプリケーショ ンプログラムの実行によ るデータ処理サービス等である。 なお、 図 1においては、 サーバ 1 0 1と、 そ の他のクライアント機器としての P C 1 2 1 , 1 2 2, 1 2 4、 PDA, 携帯 電話等の携帯通信端末 1 2 3 , 1 2 5とを区別して示しているが、 クライアン トからの要求に対するサービスを提供する機器をサーバとして示しているも のであり、いずれのクライアント機器も、 自己のデータ処理サービスを他のク ライアントに提供する場合には、サーバとしての機能を提供可能となる。従つ て、図 1に示すネットワーク接続されたクライアント機器もサーバとなり得る。 ネットワーク 1 0 0は、 有線、 無線等いずれかのネッ トワークであり、 各接 続機器は、 MAC (Media Access Control)アドレスを有している。 各ネットヮ ーク接続機器は、宛先 MACァドレスおよび送信元 MACァドレスをヘッダ情 報に持つパケット、 例えばイーサネット （登録商標） フレームをネッ トワーク 1 0 0を介して送受信する。 すなわち、 クライアントは、 イーサネッ トフレー ムのデータ部に処理要求情報を格納したフレームをサーバ 1 0 1に送信する ことにより、サーバ 1 0 1に対するデータ処理要求を実行する。 サーバ 1 0 1 は、処理要求フレームの受信に応じて、後述するアクセス権限判定処理を行な い、権限ありの判定を条件としてデータ処理を実行し、必要に応じてデータ処 理結果としての結果データをイーサネッ トフレームのデータ部に格納し、各ク ライアントに送信する。 ネットワーク接続機器は、例えばユニバーサルプラグアンドプレイ （UP n P ： Universal Plug and Play) 対応機器によって構成される。 従って、 ネッ トワークに対する接続機器の追加、削除が容易な構成である。ネットワークに 新たに接続する機器は、
( 1 ) I Pァドレス等の自己のデバィス I Dを取得するァドレツシング処理。
( 2) ネットワーク上の各デバイスの検索を行ない、 各デバイスから応答を 受信し、応答に含まれるデバイス種別、機能等の情報を取得するデイス力バリ 処理。
( 3) ディスカバリ処理で取得した情報に基づいて、 各デバイスにサービス を要求するサービス要求処理。
上記処理手順を行なうことで、ネッ トワーク接続された機器を適用したサー ビスを受領することが可能となる。 図 1に示すサーバおよびクライアント機器を構成する P C等の情報処理装 置のハードウエア構成例について図 2を参照して説明する。
C PU (Central Processing Unit) 3 0 1は、 ROM (Read Only Memory) 3 0 2、または HDD 3 04等に記憶されているプログラムに従って、各種の処 理を実行し、 データ処理手段、 あるいは通信制御処理手段として機能する。 R AM 3 0 3には、 C PU 3 0 1が実行するプログラムやデータが適宜記憶され る。 C PU 3 0 1、 ROM3 0 2、 および RAM 3 0 3、 HD D 3 0 4は、 バ ス 3 0 5を介して相互に接続されている。 バス 3 0 5には、入出力インタフェース 3 0 6が接続されており、 この入出 力インタフェース 3 0 6には、 例えば、 ユーザにより操作されるキーボード、 スィッチ、 ボタン、 あるいはマウス等により構成される入力部 3 0 7、 ユーザ に各種の情報を提示する L CD、 CRT, スピーカ等により構成される出力部 3 0 8が接続される。さらに、データ送受信手段として機能する通信部 3 0 9、 さらに、 磁気ディスク、 光ディスク、 光磁気ディスク、 または半導体メモリな どのリムーバブル記録媒体 3 1 1を装着可能で、これらのリムーバブル記録媒 体 3 1 1からのデータ読み出しあるいは書き込み処理を実行するドライブ 3 1 0が接続される。 図 2に示す構成は、図 1に示すネットワーク接続機器の一例としてのサーバ、 パーソナルコンピュータ （P C) の例であるが、 ネットワーク接続機器は P C に限らず、図 1に示すように携帯電話、 P D A等の携帯通信端末、その他の様々 な電子機器、 情報処理装置によって構成することが可能である。 従って、 それ ぞれの機器固有のハードウエア構成を持つことが可能であり、そのハードゥエ ァに従つた処理を実行する。 本発明において、アクセス制御を行なうネットワーク接続機器としての情報 処理装置は、アクセス権限を有するネッ トワーク接続機器の機器リストとして アクセス権限を有するネッ トワーク接続機器の MACァドレスを登録した M ACァドレステーブルを格納し、 MACァドレステーブルに基づくアクセス制 御処理を実行する。 MACァドレステーブルに基づくアクセス制御を実行する情報処理装置は、 2つのアクセス制御モードを持つ。 すなわち、
( 1 ) 自動登録アクセス制御モード
(2) .登録デバイスアクセス制御モード
の 2つのモードである。
( 1 ) 自動登録アクセス制御モードは、 MACァドレステーブルに基づく了 クセス制御を実行する情報処理装置が、 外部機器 （クライアント） からのァク セス要求を受信した場合に、アクセス要求パケットから送信元 MACァドレス (クライアント MACァ ドレス） を取得し、情報処理装置に格納した MACァ ドレステーブルに登録された登録済み MACァドレスと一致するか否かを判 定し、 一致する場合には、 アクセスを許可する。 一致しない場合には、 ァクセ ス要求パケットから取得した MACァドレスを MACァドレステープルに自 動登録し、 登録処理が実行されたことを条件としてアクセスを許容する。 ただし、 MACァ ドレステープルに対する MACァ ドレス登録数には予め登 録限度数： N (例えば N= 5 , 1 0， 1 5 , 6 3など） が設定され、 MACァ ドレステーブルの登録 MACァドレス数が登録限度数： Nに達していない場合 に限り、 MACァドレスの自動登録処理が実行され、 自動登録処理の後、 ァク セスが許可される。
( 2) 登録デバイスアクセス制御モー ドは、 MACァ ドレステーブルに基づ くアクセス制御を実行する情報処理装置が、 外部機器 （クライアント） からの アクセス要求を受信した場合に、アクセス要求パケットから送信元 MACァド レス (クライアント MACア ドレス) を取得し、 情報処理装置に格納した MA Cァドレステーブルに登録された登録済み MACァドレス中、予め規定された MACァドレス登録処理シーケンスに従ったマニュアル登録処理がなされた マニュアル登録 MACァドレスと一致するか否かを判定し、マニュアル登録 M ACァドレスと一致する場合には、アクセスを許可する。一致しない場合には、 アクセスを許可しない処理を実行するモードである。 本発明の情報処理装置においては、上記 2つのモードを適宜切り替えること を可能とし、 各設定モードにおいて、 上記態様でのアクセス制御を行う。 本発明の情報処理装置がアクセス制御を行うために、記憶部に格納する M A Cァドレステーブル （MACリ ス ト） の構成例について、 図 3を参照して説明 する。アクセス制御を行なうネッ トワーク接続機器としての情報処理装置 4 1 0は、ネットワークを介して接続される様々な情報処理装置 4 2 1〜 4 2 3か らアクセス要求を受領し、そのアクセス要求に含まれる送信元 MACァ ドレス と、 MACァドレステーブル （MACリ ス ト） 4 1 1に格納された MACァド レスとの照合を行う。 情報処理装置 4 1 0が記憶部に格納している MACァドレステープル（M A Cリス ト） 4 1 1は、 図に示すように、 登録限度数： Nまでのェントリを格納 することを許容したテーブル構成を持ち、上述の自動登録アクセス制御モード または、予め定められたシーケンスに従ってマニュアル登録がなされた MAC ァドレスデータが格納されている。 さらに、 MACア ドレステーブル （MACリス ト） 4 1 1には、 登録 MAC ァドレスがマニュアル登録されたデータであるか否かのデータが各 MACァ ドレスに対応付けられたデータとして設定される。 すなわち、予め設定された登録シーケンスに従ったマニュアル登録処理によ つて登録された MACァドレスであるカ あるいは上述の自動登録アクセス制 御モードにおいて自動登録されたァドレスであるかを示すマニュアル登録識 別データが、 MACァドレステーブル 4 1 1に各登録 MACァドレスに対応し て設定される。図 3において、マニュアル登録欄に〇の設定されたェントリが 予め設定された登録シーケンスに従ったマニュアル登録処理によって登録さ れた MACア ドレスである。
MACァドレステーブルは、アクセス制御を行なうネットワーク接続機器と しての情報処理装置 （サーバ） 内の記憶部 （不揮発性メモリ） に格納される。 MACァドレステープルは、 スロット単位で、各クライアントの登録データを 格納する構成を有し、 1スロット毎に 1つの登録クライアント情報を格納する。 なお、 登録情報には、 図に示すようにクライアントの MACァドレスと、 マ二 ュアル登録か否かの情報の他、図には示していないが、ユーザが任意に設定可 能なクライアント名、 登録日時等の情報を格納してもよい。 [モードに応じたアクセス制御処理]
次に、アクセス制御を行なうネットワーク接続機器としての情報処理装置が 実行するアクセス制御処理シーケンスについて図 4のフローを参照して説明 する。 ステップ S 1 0 1において、アクセス制御を行なうネットワーク接続機器と しての情報処理装置は、他のネットワーク接続機器からのアクセス要求を受信 する。アクセス制御を行なうネットワーク接続機器としての情報処理装置をサ ーパ、 アクセス要求を実行する情報処理装置をクライアントとして説明する。 クライアントから送信されるアクセス要求パケッ ト （イーサネッ トフレー ム） の構成例を図 5に示す。 パケットは、 ヘッダ部、 データ部、 ト レーラ部に 区分され、ヘッダ部には、同期信号、パケット開始符号、宛先 M A Cァドレス、 送信元 M A Cア ドレス、 およびパケット長， タイプが含まれる。 データ部には、例えば T C P / I P通信プロ トコルに従って生成されたデー タが含まれ、例えば送信元、送信先 I Pァドレスを含む I Pパケットが格納さ れる。 サーバは自己のアクセス制御モードが （1 ) 自動登録アクセス制御モード、 ( 2 )登録デバイスアクセス制御モードのいずれにあるかによって異なる処理 を実行することになる。サーバはステップ S 1 0 2において自己のモードを識 別し、 （1 ) 自動登録アクセス制御モードにある場合は、 ステップ S 1 0 3以 下の処理を実行する。 ステップ S 1 0 3では、クライアントからの受信バケツトからアクセス要求 元の M A Cァドレスを取得し、サーバの記憶部に格納した M A Cァドレステー ブル （図 3参照） に登録された M A Cァドレスとの照合処理を実行し、 登録済 みか否かを判定する。 登録済みである場合 （ステップ S 1 0 3 ： Y e s ) は、 ステップ S 1 0 6に進み、 アクセスを許可し、 クライアントの要求に応じた処 理を実行する。 登録済みでない場合 （ステップ S 1 0 3 ： N o) は、 ステップ S 1 04に進 み、 MACァドレステーブルにすでに登録された MACァドレスがサーバに設 定した登録限度数： Nに達していないか、 すなわち、 登録 MACァドレス <登 録限度数： Nであるか否かを判定する。 登録 MACァドレス <登録限度数： Nである場合 （ステップ S 1 04 : Y e s ) は、 クライアントからの受信パケッ トのヘッダ部に設定されている送信元 MACァ ドレスを MACァ ドレステーブルに登録し、その後、 ステップ S 1 0 6においてアクセスを許可し、 クライアントの要求に応じた処理を実行する。 登録 MACァドレス <登録限度数： Nでない場合（ステップ S 1 04 :N o )、 すなわち、 MACァドレステーブルに既に登録限度数： Nの MACァドレスが 登録済みである場合は、 これ以上の自動登録を実行できないので、 MACァド レスの登録処理を実行することなく、 ステップ S 1 0 7において、 クライアン トからのアクセス要求を拒絶する。 —方、 ステップ S 1 0 2において、 自己のモードが、 （2) 登録デバイスァ クセス制御モードであると判定した場合は、 ステップ S 1 1 1に進み、 クライ アントからの受信パケットからアクセス要求元の MACァドレスを取得し、サ ーバの記憶部に格納した MACァドレステーブル（図 3参照） に登録された M ACァ ドレス中、予め規定された MACァ ドレス登録処理シーケンスに従った マニュアル登録処理がなされたマニュアル登録 MACァドレスと一致するか 否かを判定する。 すなわち、図 3において、マニュアル登録欄に〇の設定されたェントリのみ が照合処理対象の MACァドレスエント リとなる。 送信元 MACァドレス （ク ライアント MACア ドレス） 力 S、 マニュアル登録された MACァ ドレスェント リと一致する場合 （ステップ S I 1 1 ： Y e s ) には、 ステップ S 1 06に進 み、 アクセスを許可し、 クライアントの要求に応じた処理を実行する。 一方、送信元 MACァ ドレスが、 マニュアル登録された MACァドレスェン トリと一致しない場合 （ステップ S 1 1 1 ： N o) には、 ステップ S 1 1 2に 進み、 アクセスを拒絶する。 登録デバイスアクセス制御モードにある場合は、 送信元 MACァドレス力 MACァドレステーブルに自動登録された MACァドレスと一致する場合で あってもアクセスを拒絶することになる。 なお、 アクセス制御を行なうネットワーク接続機器としての情報処理装置 (サーバ） 力 S (1) 自動登録アクセス制御モードにある場合、 サーバは、 クラ イアントからの要求態様を判定し、特定のカテゴリのアクセス要求である場合 にのみ、 アクセス制御を実行、 すなわち、 MACァドレステーブルとの照合お よび自動登録処理を実行し、 特定のカテゴリのアクセス要求でない場合には、 アクセス制御を実行することなく、すなわち、 MACァドレステーブルとの照 合および自動登録処理を実行することなくクライアントからの要求に応じる 構成としてもよい。 特定のカテゴリのアクセス要求とは、例えば、サーバの保有するコンテンッ の取得要求や、サーバに対する制御要求である。例えば U P n P機器において、 サーバの保有するコンテンッの取得要求は、コンテンッの識別子としてのコン テンッ U R L (Uniform Resource Locators) を指定した HTT P (Hyper Text Transfer Protocol)GE Tメソッドに基づいて実行される。 また、 サーバに対 する制御要求は S OAP (Simple Object Access Protocol) プロ トコルが利用 される。 アクセス制御を行なうネッ トワーク接続機器としての情報処理装置 （サー バ） 力 S ( 1 ) 自動登録アクセス制御モードにある場合、 クライアントからの要 求が、 コンテンツ UR L (Uniform Resource Locators) を指定した HTTP (Hyper Text Transfer Protocol) GE Tメソッ ドである力 あるいは、 S OA P (Simple Object Access Protocol) プロ トコルに基づくサーバに対する制御 要求である場合にのみ、アクセス制御処理としての MACァドレステーブルと の照合および自動登録処理を実行し、 MACァドレステーブルに登録済みであ ることを条件としてアクセス要求を許容する。クライアントからのアクセスが HTT P— GETメソッドに基づくコンテンッ取得要求、あるいは S O A Pに 基づく制御要求以外、例えば、 UP n Pにおける機器発見処理としてのデイス 力バリ要求である場合などには、アクセス制御処理としての MACァドレステ 一ブルとの照合および自動登録処理を実行することなく、無条件にクライアン トの要求を受領し、 応答を実行する。 サーバにおいて、 クライアントからの要求種別を判別して、 アクセス制御処 理としての MACァドレステーブルとの照合および自動登録処理を実行する か否かを判定して処理を実行するシーケンスについて、図 6のフローチヤ一ト を参照して説明する。 図 6の処理フローは、アクセス制御を行なうネットワーク接続機器としての 情報処理装置（サーバ） が自動登録アクセス制御モードにある場合の処理であ る。 ステップ S 2 0 1において、アクセス制御を行なうネットワーク接続機器と しての情報処理装置は、他のネットワーク接続機器からのアクセス要求を受信 する。 ステップ S 2 0 2では、 クライアントからのアクセス要求が、 HTT P — GETメソッドに基づくコンテンツ取得要求、あるいは S OAPに基づく制 御要求であるか否かを判定する。 クライアントからのアクセス要求が、 HT T Ρ— GE Tメソッドに基づくコ ンテンッ取得要求、 あるいは S OAPに基づく制御要求である場合（ステップ S 2 0 2 ： Y e s ) には、 ステップ S 2 0 3において、 受信パケットからァク セス要求元の MACァドレスを取得し、サーバの記憶部に格納した MACァド レステーブル（図 3参照）に登録された MACァドレスとの照合処理を実行し、 登録済みか否かを判定する。登録済みである場合（ステップ S 2 0 3 ： Y e s ) は、 ステップ S 2 0 6に進み、 アクセスを許可し、 クライアントの要求に応じ た処理を実行する。 登録済みでない場合 （ステップ S 2 0 3 ： N o ) は、 ステップ S 2 04に進 み、 MACァドレステーブルにすでに登録された MACァドレスがサーバに設 定した登録限度数： Nに達していないか、 すなわち、 登録 MACァドレスく登 録限度数： Nであるか否かを判定する。 登録 MACァドレスく登録限度数： Nである場合 （ステップ S 20 4 : Y e s ) は、 ステップ S 2 0 5において、 クライアントからの受信パケッ トのへッ ダ部に設定されている送信元 MACァドレスを MACァドレステーブルに登 録し、 その後、 ステップ S 2 0 6においてアクセスを許可し、 クライアントの 要求に応じた処理を実行する。 登録 MACァ ドレス <登録限度数： Nでない場合（ステップ S 204 :N o )、 すなわち、 MACァ ドレステーブルに既に登録限度数： Nの MACァ ドレスが 登録済みである場合は、 これ以上の自動登録を実行できないので、 MACァド レスの登録処理を実行することなく、 ステップ S 2 0 7において、 クライアン トからのアクセス要求を拒絶する。 一方、 ステップ S 2 0 2において、 クライアントからのアクセス要求が、 H TT P— GETメソッドに基づくコンテンッ取得要求、あるいは S O APに基 づく制御要求でないと判定した場合には、 MACァドレステーブルとの照合、 自動登録処理を実行することなく、 ステップ S 2 0 6に進み、アクセスを許可 し、 クライアントの要求に応じた処理を実行する。 図 7に、 アクセス制御を実行するネッ トワーク接続機器 （サーバ） のァクセ ス制御処理を説明する機能ブロック図を示す。サーバは、ネットワークを介し たパケットの送受信を実行するパケット送受信部 5 0 1、パケッ ト送受信部 5 0 1を介して受信するパケットの解析およびノ ケット送受信部 5 0 1を介し て送信するパケッ トを生成するパケット生成、解析部 5 0 2、 クライアントか ら受信するパケッ トに基づいて M A Cァドレステーブルに対する登録可否を 判定し、登録可と判定した場合に M A Cァドレスの登録処理を実行する登録処 理実行部 5 0 3、 M A Cァドレステープルを格納した記憶部 5 0 4、 さらに、 サーバに対する様々なデータ処理要求パケットに基づいて、データ処理要求ク ライアントが M A Cァドレステーブルに登録されているか否か等を判断し、ァ クセス可否判定処理を実行するアクセス制御処理実行部 5 0 5、アクセス制御 処理実行部 5 0 5におけるアクセス可の判定を条件として、クライアントの要 求するデータ処理を実行するデータ処理部 5 0 7、 サーバが （ 1 ) 自動登録ァ クセス制御モードにある力 、 ( 2 ) 登録デバイスアクセス制御モードにあるか のモード情報を記憶したモード情報記憶部 5 0 6を有する。 登録処理実行部 5 0 3、 アクセス制御処理実行部 5 0 5は、モード情報記憶 部 5 0 6に設定されたモード設定情報、 すなわち、 （1 ) 自動登録アクセス制 御モード、 （ 2 ) 登録デバイスアクセス制御モードの 2つのモードのいずれの モードにあるかに応じて異なる処理を実行する。 例えば、 （1 ) 自動登録ァク セス制御モードにある場合は、登録処理実行部 5 0 3は、記憶部 5 0 4に記憶 された M A Cァドレステーブルの登録ェントリ数に基づいて、自動登録が許容 されるか否かの判定を実行し、限度数以内であることを条件とした登録処理を 実行する。 また、登録処理実行部 5 0 3は、マニュアル登録処理実行時における登録可 否判定処理も実行する。すなわち予め決められたマニュアル登録処理シーケン スに応じた処理が実行されているか否かを判定する処理などを実行する。なお、 マニュアル登録処理の詳細例については後述する。 図 8にアクセス制御を実行するネッ トワーク接続機器（サーバ） においてデ イスプレイに表示される MACァ ドレステーブルおよびモー ド設定処理を実 行するためのユーザィンタフェースの例を示す。 サーバのディスプレイ 6 5 0には、 クライアント機器名、 MACア ドレス、 マニュアル登録か否かを示すデータからなる MACァドレステーブル 6 5 1 が表示され、 さらに、 現在の設定モード情報表示部 6 5 2、 モード切り替え部 6 5 4とマニュアル登録処理において MA Cァドレスを登録する際の登録確 認ボタン 6 5 5を持つユーザ入力部 6 5 3、さらに MACァドレステープル 6 5 1に登録されたェントリを削除するための削除ボタン 6 5 6を持つユーザ インタフェース (U I ) が表示される。 クライアントからのアクセス要求である、すべての H T T P— GETメ ソッ ドおよび S O APには、図 9のような送信者の情報を示す HT T P拡張ヘッダ (X- A V - C 1 i e n t— I n f o) が付加されており、ディスプレイ 6 5 0には、 この情報に基づく表示処理がなされる。 すなわち、 例えば、 図 9に示 すように、
GET /tracks/track?id=254 HTTP/1.1 ¥r¥n
Host: 192.254.32.11:80 ¥r¥n
X - AV - Client—Info : av=2.0 ； cn ="Sony Corporation" ； mn=Linux-Sample-CP ； mv=2002-ll-22-2.0 ¥r¥n
からなる H T T P拡張へッダ（X— AV— C l i e n t— I n f o) がクラ イアントから送信される。 ユーザは、図 8に示すような U Iをサーバのディスプレイに表示し、モード の切り替えを実行し、 また、 MACァドレステーブルに登録された MACァド レスの確認を実行することができ、 さらに、必要に応じて MACァドレステー プルに登録された MACァドレスの削除処理を実行する。 [マニュアル登録処理]
次に、アクセス制御を実行する情報処理装置が実行する MACア ドレスのマ ニュアル登録処理の手順について、図 1 0のシーケンス図を参照して説明する。 なお、図 1 0に示す例は、マニュアルによる MACァドレス登録処理の一例で あり、必ずしもこの例に従ったマニュアル登録を行うことが必須ではない。 た だし、あらかじめ定められたマニュアル登録を行ったクライアントの MACァ ドレスのみが、 図 3に示す MACァドレステーブル （MACリ ス ト） にマニュ アル登録された MACァドレスとしてエントリが設定される。 図 1 0に示すシーケンスは、パスヮードを用いた機器認証に基づく MAC登 録処理シーケンスである。 まず、 ステップ S 3 0 1において、 ユーザがクライ アント （コント口—ラ） 側に設けられた登録ボタンを押下する。 すると、 クラ イアント装置は登録ボタンの押下に応じて発生するユーザシグナル A (U S A) に従い、 ステップ S 3 0 2において、 MACァドレス登録要求をネットヮ ークを介してプロードキャスト送信する。 MACァドレス登録要求のプロ一ド キャスト送信は、 例えば 3秒毎に数分間継続して実行される。 クライアント （コントローラ） 側に設けられた登録ボタンを押下した後、 ュ 一ザはサーバ（デバイス）側に移動する。そして、ステツプ S 3 0 3において、 サーバ側に設けられた確認ボタンを押下する。すると、 サーバは確認ボタンの 押下に応じて発生するユーザシグナル B (U S B) に従い、 ステップ S 3 0 4 において、 MACア ドレス登録要求を規定時間、 例えば 1 0秒間受信する。
1 0秒間に同一の送信元 （MACァドレス） から MACァドレス登録要求を 受信した場合、サーバはその MACァドレスを MACァ ドレステープル （MA Cリスト） （図 3参照） に仮記憶した後、 ユーザに対して 「機器を発見しまし た。登録しますか？」なるメッセージを表示するデバイスシグナル A (D S A) を発生 （S 3 0 5) し、 その状態で所定時間 （たとえば 1分間） 待機する。 なお、 サーバは、 MACァ ドレステープルを参照し、 既にマニュアル登録済 みのクライアントからの MACァドレス登録要求であると判定した場合、 M A C登録完了を意味する通知をクライアントに送信して MACァドレス登録処 理を終了する。すなわちサーバは同一の MACァドレスの二重登録は行わない。 ただし、マニュアル登録されていないが、 自動登録処理によって MACアド レステーブルに登録されている MACァ ドレスと一致する MACァ ドレスの マニュアル登録処理である場合は、サーバは、 MACァドレステーブルに登録 されている MACァ ドレスデータェン ト リを自動登録ェントリからマ二ユア ル登録ェントリへ変更する処理を行う。 この変更処理においては、 サーバは、 MACァドレステーブルの自動登録処 理のなされた MACァ ドレスデータのェントリに対応するマニュアル登録フ ィールドにマニュアル登録がなされたことを示す識別子を設定する処理を実 行することになる。 サーバが、 ステップ S 3 0 5において、 「機器を発見しました。 登録します か？」 なるメッセージを表示するデバイスシグナル A (D SA) を発生した状 態で所定時間（例えば 1分間）待機している間に、ステップ S 3 0 6において、 ユーザがサーバ側に設けられた確認ボタン （図 8の登録確認ポタン 6 5 5 ) を 押下する。すると、サーバは確認ボタンの押下に応じて発生するユーザシグナ ル C (U S C) に従い、 ステップ S 3 0 7において、 MAC登録確認要求をク ライアントに対して送信する。 MAC登録確認要求には、パスヮード要求フラ グが付加される。 クライアントはノ スヮ一ド要求フラグが付加された MAC登録確認要求を サーバから受信すると、 ステップ S 3 0 8において、受信した MAC登録確認 要求に含まれるパスヮード要求フラグに基づき、ユーザに対して「デバイス" X XXX" のパスワードを入力してください。」 なるメッセージを表示するデバ イスシグナル B (D S B) を発生し、 パスワードの入力を所定時間 （例えば 5 分間） 待機する。 さらに、 クライアントは、 MACァドレス登録要求の送信を停止し、 ステツ プ S 3 0 9において、 サーバへ MAC登録確認レスポンスを返信する。 サーバは、 この MAC登録確認レスポンスを受信すると、 ステップ S 3 1 0 において、パスワード（ワンタイムパスワード） を生成し、ユーザに対して「ク ライアント （コントローラ） "YYYY" のためのパスワードは" 〇〇〇〇" です。」 なるメッセージを表示するデバイスシグナル C (D S C) を発生し、 パスワードを提示した状態で規定時間 （例えば 5分間） 待機する。 一方、 クライアント側では、 パスヮードの入力待機中に、 ステップ S 3 1 1 で、 ユーザがパスヮードを入力すると、 ステップ S 3 1 2で、 クライアントか ら入力パスヮードがサーバに送信される。 サーバは、パスワードをクライアントから受信すると、 ステップ S 3 1 0で 生成しサーバ側でユーザに対して提示したパスヮードと、受信パスヮードとの 照合処理を実行する。クライアントからの受信パスヮードと生成パスヮードと がー致すると、 ステップ S 3 1 3において、 サーバは MACァドレステープル (MACリ ス ト） （図 3参照） にクライアントの MACア ドレスを正式ェント リ として設定するとともに、マニュアル登録であることを示す識別データ （フ ラグなど） を設定する。 または自動登録ェントリをマニュアル登録ェントリに 変更する。 サーバは MACァ ドレスの登録が済むと、 ステップ S 3 1 4において、ユー ザに対して 「クライアント （コントローラ） "YYYY" を登録しました。」 な るメッセージを表示するデバイスシグナル D (D S D) を発生し、 ステップ S 3 1 5において、クライアントに照合 O Kを付加したパスヮードレスポンスを 返信する。 クライアントは、サーバからパスヮー ド照合 OKに基づく MACァ ドレス登 録通知としてのパスヮードレスポンスを受信すると、ステップ S 3 1 6におい て、 MACァドレスが認証登録されたとして、 ユーザに対して 「デバイス "X XXX" に登録されました。」 なるメッセージを表示するデバイスシグナル E (D S E)を発生して MACァドレスの機器認証を伴うマニュアル登録処理を 終える。 なお、 クライアントから送られてきたパスヮードが不正、すなわちクライア ントからの受信パスヮードとサーバの生成パスヮードが不一致であると、サー バはクライアントに照合 NGを付加したパスヮードレスポンスを返信し、クラ イアントから再度パスヮード入力されるのを待機し、待機期間中にパスワード 照合 NGが 3回連続すると、サーバはパスヮード入力の再試行を中止させ、ュ 一ザに対して 「コントローラ "YYYY" を登録できません。」 なるメッセ一 ジを表示し、クライアン トの MACァドレス登録を実行することなく処理を終 了する。 上述した MACァドレスのマニュアル登録処理を実行したクライアントの MACァ ドレスのみが、 MACァ ドレステーブルにマニュアル登録 MACァ ド レスとして登録されることになる。 サーバが 「登録デバイスアクセス制御モード」 にある場合は、 これらのマ二 ュアル登録されたクライアントのみが、 アクセスを許容されることになる。 [サーバおよびクライアントの機能構成]
サーバおょぴクライアント装置のハードウエア構成については、先に図 2を 参照して説明した通りであり、上述した各種の処理は、サーバクライアントそ れぞれの記憶部に格納されたプログラムに従って制御部としての C P Uが実 行する。
C P Uによって実行される処理は、例えばサーバ側では、 クライアントから の要求を入力し、入力情報の解析、解析結果に基づく M A Cァドレステーブル (M A Cリス ト）、 すなわちアクセス制御情報へ登録する処理、 クライアント と送受信するパケット生成、 解析処理、 さらに、 登録処理における各種メッセ ージ出力、ユーザ入力情報の解析処理等である。 クライアント側の処理として は、 サーバに対する各種要求パケットの生成、 送信、 サーバから受信するパケ ット解析処理、 さらに、 登録処理における各種メッセージ出力、 ユーザ入力情 報の解析処理等である 基本的にこれらの処理は、サーバ、 クライアント装置の制御部としての C P Uの制御の下に予め格納された処理プログラムに従って実行される。制御部と しての C P Uが実行する処理および記憶部の格納データ等について、図 1 1お よび図 1 2を参照して説明する。 図 1 1は、サーバの主要機能構成を説明する プロック図であり、図 1 2は、 クライアントの主要機能構成を説明するプロッ ク図である。 まず、図 1 1のサーバの機能構成を示すプロック図を参照してサーバの機能 構成について説明する。パケット送受信部 7 0 1は、 クライアントに対するパ ケット、 クライアントからのパケットを受信する。 パケット生成、解析部 7 0 2は、 送信パケッ トの生成処理、 受信パケッ トの解析処理を行う。 バケツ トの アドレス設定、 ア ドレス認識、 パケットのデータ格鈉部に対するデータ格納、 データ格納部からのデータ取得処理などである。 データ入力部 7 0 3は、ユーザによるデータ入力を実行するためのキーボー ド、 ユーザィンタフェースなどである。 データ出力部 7 0 4は、 メッセージデ 一タ等を表示するディスプレイ等の出力部である。 アクセス制御処理実行部 7 0 5は、先に図 4、図 6を参照して説明した（ 1 ) 自動登録アクセス制御モードにおけるアクセス制御処理、 （2 ) 登録デバイス アクセス制御モードにおけるアクセス制御処理を実行する。 登録処理部 7 0 6は、 （ 1 ) 自動登録アクセス制御モードにおけるアクセス に対応して実行する MACァドレス登録処理と、先に図 1 0を参照して説明し たマニュアル登録処理を実行する。 すなわち、 登録処理部 7 0 6は、 例えば、 図 1 0を参照して説明したマニュアル登録処理のように、予め規定された MA Cァドレス登録処理シーケンスに従った処理が実行されたことを条件として、 クライアント MA Cア ドレスを MACァ ドレステーブルにマニュアル登録 M ACア ドレスとして登録する処理を実行する。 さらに、登録処理部 7 0 6は、予め規定された MACァドレス登録処理シー ケンスに従ったマニュアル登録処理が実行された MACァドレスが、自動登録 MACァドレスとしてテーブルに登録されている場合は、自動登録クライアン ト MA Cア ドレスエント リ をマニュアル登録クライアント MACア ドレスェ ントリとする設定変更処理を実行する。 データ処理部 7 0 7は、アクセスの許可されたクライアントからの要求、例 えばコンテンツ取得処理等に対応する処理を実行する。記憶部 7 0 8には、 ァ クセス制御処理実行部 7 0 5において実行するアクセス制御処理プログラム 7 1 1、登録処理部 7 0 6において実行する MACァ ドレス登録処理プロダラ ム 7 1 2等の各種データ処理プログラムが格納され、 さらに、図 3を参照して 説明した MACァ ドレステーブル 7 1 3、さらにサーバに設定されたモード情 報 7 1 4が格納される。 なお、 サーバはさらにクライアントに提供するコンテ ンッ、 コンテンツに対応するメタデータ等を格納している。 次に、 クライアント装置の機能構成について、 図 1 2を参照して説明する。 パケット送受信部 8 0 1は、サーバに対するパケット、サーバからのパケット を受信する。 パケッ ト生成、 解析部 8 0 2は、 送信パケッ トの生成処理、 受信 パケッ トの解析処理を行う。 ノ、ケッ トのア ドレス設定、 ア ドレス認識、 パケッ トのデータ格納部に対するデータ格納、データ格納部からのデータ取得処理な どである。 データ入力部 8 0 3は、ユーザによるデータ入力を実行するためのキーボー ド、 ユーザィンタフェースなどである。 データ出力部 8 0 4は、 メッセージデ 一タ等を表示するディスプレイ等の出力部である。 アクセス要求処理実行部 8 0 5は、 コンテンッ取得要求、制御要求等のサー バに対する各種のアクセス要求処理を実行する。ァ ドレス登録処理実行部 8 0 6は、図 1 0を参照して説明した M A Cァドレスのマニュアル登録処理を実行 する。 データ処理部は、サーバから取得したコンテンツの再生処理など、様々なデ ータ処理を実行する。記憶部 8 0 8には、 ァドレス登録処理実行部 8 0 6にお いて実行するァドレス登録処理プログラム 8 1 1他の処理プログラム、さらに クライアントの M A Cァドレス 8 1 2などが格納される。 サーバ、 およびクライアントは、機能的には図 1 1、 図 1 2に示す各機能を 有し、 上述した各処理を実行する。 ただし、 図 1 1、 図 1 2に示すプロック図 は、機能を説明するプロック図であり、 サーバクライアントが図 1 1、 図 1 2 に示すプロックに対応するハードウエアを有することは必須ではない。具体的 には、図 2に示す P C等の構成における C P Uの制御の下に各種の処理プログ ラムが実行され、 図 1 1、 図 1 2に示す各プロックを参照して説明した処理、 あるいは上述の発明の詳細な説明において説明した各処理が実行される。 以上、 特定の実施例を参照しながら、 本発明について詳解してきた。 しかし ながら、本発明の要旨を逸脱しない範囲で当業者が該実施例の修正や代用を成 し得ることは自明である。すなわち、例示という形態で本発明を開示してきた のであり、限定的に解釈されるべきではない。本発明の要旨を判断するために は、 特許請求の範囲の欄を参酌すべきである。 なお、 明細書中において説明した一連の処理はハードウエア、またはソフト ウェア、 あるいは両者の複合構成によって実行することが可能である。 ソフ ト ウェアによる処理を実行する場合は、処理シーケンスを記録したプログラムを、 専用のハードウエアに組み込まれたコンピュータ内のメモリにインス トール して実行させるか、 あるいは、各種処理が実行可能な汎用コンピュータにプロ グラムをインストールして実行させることが可能である。 例えば、プログラムは記録媒体としてのハードディスクや R O M (Read Only Memory)に予め記録しておくことができる。 あるいは、 プログラムはフレキシ ブルディスク、 C D - R O M (Compact Di sc Read Only Memory) , M O (Magneto opt ical)ディスク， D V D (Di gital Versat i le Di sc：)、 磁気ディスク、 半導体 メモリなどのリムーバブル記録媒体に、 一時的あるいは永続的に格納 （記録） しておくことができる。 このようなリムーバブル記録媒体は、 いわゆるパッケ ージソフトウェアとして提供することができる。 なお、 プログラムは、 上述したようなリムーバブル記録媒体からコンピュー タにインストールする他、 ダウンロードサイ トカ ら、 コンピュータに無線転送 したり、 L A N (Local Area Network)、 インターネットといったネットワーク を介して、 コンピュータに有線で転送し、 コンピュータでは、 そのようにして 転送されてくるプログラムを受信し、内蔵するハードディスク等の記録媒体に ィンストールすることができる。 なお、明細書に記載された各種の処理は、記載に従って時系列に実行される のみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあ るいは個別に実行されてもよい。 また、 本明細書においてシステムとは、 複数 の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限 らない。 産業上の利用可能性 以上、 説明したように、 本発明の構成においては、 マニュアル登録のなされ たクライアント M A Cァドレスと、自動登録処理のなされたクライアント M A Cアドレスとを識別可能な態様で登録した M A Cァドレステーブルを設定し、 アクセス制御モードが、 自動登録アクセス制御モードである場合は、 アクセス 要求クライアントの M A Cァドレスを、 M A Cァドレステーブルの規定登録限 度数： Nに至るまで登録し、該登録処理を条件としてクライアントのアクセス を許容するアクセス制御処理を実行し、 アクセス制御モードが、登録デバイス アクセス制御モードである場合は、アクセス要求クライアントの M A Cァドレ ス力 M A Cァドレステーブルに、 マニュアル登録された M A Cァドレスとし て登録されていることを条件としてクライアントのアクセスを許容するァク セス制御処理を実行する構成としたので、ユーザによるマニュアル登録処理を 実行しない場合においても、無制限なアクセスが防止され、例えば不特定多数 クライアントからのサーバ格納コンテンツの取得等を防止することが可能と なり、 さらに、 モードを、 登録デバイスアクセス制御モードに設定することに より、 厳格なアクセス制御を実行することも可能となる。 さらに、 本発明の構成によれば、 自動登録アクセス制御モードにおいて、 ク ライアントのアクセス要求種別を識別し、識別されたアクセス要求種別が予め 定めたアクセス制御を実行すべき要求種別、 例えば H T T P (Hyper Text Transfer Protocol)— G E Tメソッドに基づくコンテンツ要求処理、 または S O A P (Simple Object Access Protocol) に基づく制御要求処理である場合 にのみ、 クライアントの MACア ドレスを、 MACァドレステーブルの規定登 録限度数： Nに至るまで登録し、該登録処理を条件としたアクセス許容を実行 する構成としたので、 U P n P等における機器発見処理、情報取得処理等にお いて不必要なアクセス制御を行うことが防止される。

Claims

請求の範囲
1. アクセス制御処理を実行する情報処理装置であり、
マニュアル登録のなされたクライアント MACァドレスと、自動登録処理の なされたクライアント MACァドレスとを識別可能な態様で登録した MAC ア ドレステーブルを記憶した記憶部と、
情報処理装置に設定されたアクセス制御モードが、自動登録アクセス制御モ 一ドである力 登録デバイスアクセス制御モードであるかに応じて、 クライア ントからのアクセス要求に対して異なるアクセス制御処理を実行するァクセ ス制御部とを有し、
前記アクセス制御部は、
情報処理装置に設定されたアクセス制御モードが、自動登録アクセス制御モ 一ドである場合は、 アクセス要求クライアントの MACァドレスを、前記 MA Cァドレステーブルの規定登録限度数： Nに至るまで登録し、該登録処理を条 件としてクライアントのアクセスを許容するアクセス制御処理を実行し、 情報処理装置に設定されたアクセス制御モードが、登録デバイスアクセス制 御モードである場合は、 アクセス要求クライアントの MACァドレスが、前記 MACァドレステーブルに、マニュアル登録された MACァドレスとして登録 されていることを条件としてクライアントのアクセスを許容するアクセス制 御処理を実行する構成を有することを特徴とする情報処理装置。
2. 前記アクセス制御部は、
情報処理装置に設定されたアクセス制御モードが、自動登録アクセス制御モ 一ドである場合、 クライアントのアクセス要求種別を識別し、該識別されたァ クセス要求種別が予め定めたアクセス制御を実行すべき要求種別である場合 にのみ、 クライアントの MACア ドレスを、前記 MACァドレステープノレの規 定登録限度数： Nに至るまで登録し、該登録処理を条件としてクライアントの アクセスを許容する処理を実行する構成であることを特徴とする請求項 1に 記載の情報処理装置。
3. 前記アクセス制御を実行すべき要求種別は、
HTT P (Hyper Text Transfer Protocol)— G E Tメソッドに基づくコンテ ンッ要求処理、 または S OAP (Simple Object Access Protocol) に基づく 制御要求処理の少なく ともいずれかを含むことを特徴とする請求項 2に記載 の情報処理装置。
4. 前記情報処理装置は、
予め規定された MACァドレス登録処理シーケンスに従ったマニュアル登 録処理が実行されたことを条件として、クライアント MACァドレスを前記 M ACァドレステーブルにマニュアル登録のなされたクライアント MACアド レスとして登録する処理を実行する登録処理部を有することを特徴とする請 求項 1に記載の情報処理装置。
5. 前記情報処理装置は、
前記 MACァドレステーブルに自動登録のなされたクライアント MACァ ドレスと して登録された MACァ ドレスについて、予め規定された MACァド レス登録処理シーケンスに従ったマニュアル登録処理が実行されたことを条 件として、前記 MACァドレステーブルの自動登録クライアント MACァドレ スエント リをマニュアル登録クライアント MACァ ドレスエントリ とする設 定変更処理を実行する登録処理部を有することを特徴とする請求項 1に記載 の情報処理装置。
6. 情報処理装置におけるアクセス制御処理方法であり、
クライアントからのアクセス要求を受信するアクセス要求受信ステップと、 情報処理装置に設定されたアクセス制御モードが、自動登録アクセス制御モ 一ドである力 登録デバイスアクセス制御モードであるかを判定するモード判 定ステップと、 設定アクセス制御モードが、 自動登録アクセス制御モードである場合は、 ァ クセス要求クライアントの MACァ ドレスを、 MACァドレステーブルの規定 登録限度数： Nに至るまで登録し、該登録処理を条件としてクライアントのァ クセスを許容するアクセス制御処理を実行し、
設定アクセス制御モードが、登録デバイスアクセス制御モードである場合は、 アクセス要求クライアントの MACァドレス力 S、前記 MACァドレステープル に、マニュアル登録された MACァドレスとして登録されていることを条件と してクライアントのアクセスを許容するアクセス制御処理を実行するァクセ ス制御ステップと、
を有することを特徴とするアクセス制御処理方法。
7. 前記アクセス制御ステップは、
情報処理装置に設定されたアクセス制御モードが、自動登録アクセス制御モ ―ドである場合、 クライアントのアクセス要求種別を識別し、該識別されたァ クセス要求種別が予め定めたアクセス制御を実行すべき要求種別である場合 にのみ、 クライアントの MACァ ドレスを、前記 MACァドレステーブルの規 定登録限度数： Nに至るまで登録し、該登録処理を条件としてクライアントの アクセスを許容する処理を実行することを特徴とする請求項 6に記載のァク セス制御処理方法。
8. 前記アクセス制御を実行すべき要求種別は、
HTT P (Hyper Text Transfer Protocol)— G E Tメ ソッ ドに基づく コンテ ンッ要求処理、 または S OAP (Simple Object Access Protocol) に基づく 制御要求処理の少なく ともいずれかを含むことを特徴とする請求項 7に記載 のアクセス制御処理方法。
9. 前記アクセス制御処理方法は、 さらに、
予め規定された MACァドレス登録処理シーケンスに従ったマニュアル登 録処理が実行されたことを条件として、クライアント MACァドレスを前記 M ACァドレステーブルにマニュアル登録のなされたクライアント MACァド レスとして登録する処理を実行する登録処理ステップを有することを特徴と する請求項 6に記載のアクセス制御処理方法。
1 0. 前記アクセス制御処理方法は、 さらに、
前記 MACァドレステーブルに自動登録のなされたクライアント MACァ ドレスと して登録された MACァ ドレスについて、予め規定された MACァ ド レス登録処理シーケンスに従ったマニュアル登録処理が実行されたことを条 件として、前記 MACァドレステーブルの自動登録クライアント MACァドレ スエント リをマニュアル登録クライアント MACア ドレスエン ト リ とする設 定変更処理を実行する登録処理ステップを有することを特徴とする請求項 6 に記載のアクセス制御処理方法。
1 1. 情報処理装置におけるアクセス制御処理を実行するコンピュータ ·プ ログラムであり、
情報処理装置に設定されたアクセス制御モードが、自動登録アクセス制御モ 一ドである力 登録デバイスアクセス制御モードであるかを判定するモード判 定ステップと、
設定アクセス制御モードが、 自動登録アクセス制御モード,である場合は、ァ クセス要求クライアントの MACァドレスを、 MACァドレステーブルの規定 登録限度数： Nに至るまで登録し、該登録処理を条件としてクライアン トのァ クセスを許容するアクセス制御処理を実行し、
設定アクセス制御モードが、登録デバイスアクセス制御モードである場合は、 アクセス要求クライアントの MACァドレス力 、前記 MACァドレステープル に、マニュアル登録された MACァドレスとして登録されていることを条件と してクライアントのアクセスを許容するアクセス制御処理を実行するァクセ ス制御ステップと、
を有することを特徴とするコンピュータ 'プログラム。
PCT/JP2004/004919 2003-05-16 2004-04-05 情報処理装置、およびアクセス制御処理方法、並びにコンピュータ・プログラム WO2004102886A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
DE602004024944T DE602004024944D1 (de) 2003-05-16 2004-04-05 Informationsverarbeitungsgerät, zugangssteuerungs-verarbeitungsverfahren und computerprogramm
EP04725816A EP1517480B1 (en) 2003-05-16 2004-04-05 Information processing device, access control processing method, and computer program
US10/521,624 US7610380B2 (en) 2003-05-16 2004-04-05 Information processing device, access control processing method, and computer program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2003138552A JP3800198B2 (ja) 2003-05-16 2003-05-16 情報処理装置、およびアクセス制御処理方法、並びにコンピュータ・プログラム
JP2003-138552 2003-05-16

Publications (1)

Publication Number Publication Date
WO2004102886A1 true WO2004102886A1 (ja) 2004-11-25

Family

ID=33447296

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2004/004919 WO2004102886A1 (ja) 2003-05-16 2004-04-05 情報処理装置、およびアクセス制御処理方法、並びにコンピュータ・プログラム

Country Status (7)

Country Link
US (1) US7610380B2 (ja)
EP (1) EP1517480B1 (ja)
JP (1) JP3800198B2 (ja)
KR (1) KR101031168B1 (ja)
CN (1) CN100358308C (ja)
DE (1) DE602004024944D1 (ja)
WO (1) WO2004102886A1 (ja)

Families Citing this family (45)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6891566B2 (en) 2000-03-14 2005-05-10 Joseph Robert Marchese Digital video system using networked cameras
JP3935459B2 (ja) * 2003-08-28 2007-06-20 株式会社東芝 コンテンツ管理装置、コンテンツ管理システム及びコンテンツ管理プログラム
JP4507904B2 (ja) * 2005-02-15 2010-07-21 パナソニック株式会社 通信システム、情報処理装置、サーバ装置、及び情報処理方法
US7571441B2 (en) * 2005-03-22 2009-08-04 Microsoft Corporation Efficient retrieval of information from a network service using soap
JP4718216B2 (ja) * 2005-03-24 2011-07-06 富士通株式会社 プログラム、クライアント認証要求方法、サーバ認証要求処理方法、クライアント及びサーバ
US9438683B2 (en) * 2005-04-04 2016-09-06 Aol Inc. Router-host logging
JP4568155B2 (ja) 2005-04-15 2010-10-27 株式会社東芝 アクセス制御装置およびアクセス制御方法
US20060256814A1 (en) * 2005-05-13 2006-11-16 Lockheed Martin Corporation Ad hoc computer network
US20060256717A1 (en) * 2005-05-13 2006-11-16 Lockheed Martin Corporation Electronic packet control system
US20060256770A1 (en) * 2005-05-13 2006-11-16 Lockheed Martin Corporation Interface for configuring ad hoc network packet control
US7599289B2 (en) * 2005-05-13 2009-10-06 Lockheed Martin Corporation Electronic communication control
WO2006129288A1 (en) * 2005-06-03 2006-12-07 Koninklijke Philips Electronics N.V. Method and devices for individual removal of a device from a wireless network
JP4577118B2 (ja) * 2005-06-24 2010-11-10 ブラザー工業株式会社 サービス提供システム、クライアント、サーバおよびプログラム
JP4933156B2 (ja) * 2005-07-29 2012-05-16 株式会社リコー 画像撮影装置
JP2009508398A (ja) * 2005-09-09 2009-02-26 ホシコ・リミテッド・ライアビリティ・カンパニー ネットワークルータ・セキュリティ方法
US7877467B2 (en) * 2005-12-28 2011-01-25 Panasonic Electric Works Co., Ltd Network equipment system
US9166883B2 (en) * 2006-04-05 2015-10-20 Joseph Robert Marchese Network device detection, identification, and management
US8891524B2 (en) * 2006-06-30 2014-11-18 Hewlett-Packard Development Company, L.P. Method and apparatus of automatically providing registration information
US8250139B2 (en) * 2007-02-20 2012-08-21 Richrelevance, Inc. Demand-driven, collaborative systems and processes for collecting structured information
US8108708B2 (en) * 2007-05-03 2012-01-31 Microchip Technology Incorporated Power optimization when using external clock sources
KR100929773B1 (ko) * 2007-10-26 2009-12-03 에스케이 텔레콤주식회사 피제어 기기를 등록하는 방법, 시스템 및 기기 제어 서버
BRPI0822436B1 (pt) 2008-05-30 2019-05-21 Hewlett-Packard Development Company, L.P. Conjunto eletrônico para configurar um ponto de acesso sem-fio
JP4855499B2 (ja) 2008-09-22 2012-01-18 株式会社オプティム 電化製品の種別を決定する情報処理装置、方法、サーバ
KR101500338B1 (ko) * 2009-01-28 2015-03-19 삼성전자주식회사 와이맥스 시스템에서 펨토 기지국의 ｃｓｇ 관리 방법 및 이를 위한 시스템
JP5102239B2 (ja) * 2009-03-23 2012-12-19 株式会社沖データ 通信装置
JP5561275B2 (ja) * 2009-04-30 2014-07-30 日本電気株式会社 通信装置、接続方法及び接続プログラム
TWI455561B (zh) * 2010-08-04 2014-10-01 Hon Hai Prec Ind Co Ltd 網路接入設備及其接入網路的方法
US9736024B2 (en) * 2011-02-15 2017-08-15 International Business Machines Corporation Registering devices for network access
US8326260B1 (en) 2011-05-18 2012-12-04 Radius Networks, Inc. System and method for managing communications over a wireless network during an emergency
US8656202B2 (en) * 2011-05-20 2014-02-18 Sharp Laboratories Of America, Inc. Method and system for managing plug network based on appliance identification
CN102510371B (zh) * 2011-09-30 2017-12-22 中兴通讯股份有限公司 一种控制数字移动网络联盟内容的方法及装置
US8850496B2 (en) * 2011-10-31 2014-09-30 Verizon Patent And Licensing Inc. Dynamic provisioning of closed captioning to user devices
GB2505948C (en) * 2012-09-17 2020-10-21 Knorr Bremse Systems For Commercial Vehicles Ltd Trailer access point pairing
JP5987627B2 (ja) * 2012-10-22 2016-09-07 富士通株式会社 不正アクセス検出方法、ネットワーク監視装置及びプログラム
JP6184281B2 (ja) * 2013-09-30 2017-08-23 株式会社Pfu サーバ装置、登録方法、制御プログラム及び通信システム
CN105722067B (zh) * 2014-12-02 2019-08-13 阿里巴巴集团控股有限公司 移动终端上数据加/解密方法及装置
US10679141B2 (en) * 2015-09-29 2020-06-09 International Business Machines Corporation Using classification data as training set for auto-classification of admin rights
US10320948B2 (en) 2015-11-30 2019-06-11 Successfactors, Inc. Application footprint recorder and synchronizer
CN107205058B (zh) * 2016-03-16 2021-06-04 中兴通讯股份有限公司 一种媒体介入控制mac地址处理方法及装置
JP6662199B2 (ja) * 2016-05-27 2020-03-11 富士通株式会社 プログラム，機器の識別情報の抽出方法，及び通信装置
JP6531730B2 (ja) * 2016-07-21 2019-06-19 京セラドキュメントソリューションズ株式会社 通信機器及び通信プログラム
CN106375166B (zh) * 2016-09-30 2019-11-22 无锡小天鹅电器有限公司 家用电器的配网方法、装置、系统和智能路由器
JP6561965B2 (ja) * 2016-10-28 2019-08-21 京セラドキュメントソリューションズ株式会社 通信機器及び通信プログラム
MX2020002594A (es) * 2017-09-14 2020-07-13 Sony Corp Dispositivo de procesamiento de informacion, metodo de procesamiento de informacion, y programa.
GB201810533D0 (en) * 2018-06-27 2018-08-15 Nordic Semiconductor Asa Hardware protection of files in an intergrated-circuit device

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH03123137A (ja) * 1989-10-05 1991-05-24 Fujitsu Ltd Ｍａｃブリッジのルーティングテーブルにおけるマニュアル登録方式
JP2001320373A (ja) * 2000-05-09 2001-11-16 Ricoh Co Ltd 無線ｌａｎシステム
EP1170925A1 (en) 2000-07-06 2002-01-09 Samsung Electronics Co. Ltd. Mac address-based communication restricting method
JP2003124939A (ja) * 2001-10-17 2003-04-25 Ricoh Co Ltd 無線ｌａｎシステム

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10271154A (ja) 1997-03-21 1998-10-09 Nec Eng Ltd 不正アクセス防止方法およびシステム
US20020007411A1 (en) * 1998-08-10 2002-01-17 Shvat Shaked Automatic network user identification
US6832321B1 (en) * 1999-11-02 2004-12-14 America Online, Inc. Public network access server having a user-configurable firewall
US6931003B2 (en) * 2000-02-09 2005-08-16 Bookline Flolmstead Llc Packet prioritization protocol for a large-scale, high speed computer network
US7096257B2 (en) * 2000-06-15 2006-08-22 Forster Energy Llc Automatic assignment of addresses to nodes in a network
US7127524B1 (en) * 2000-12-29 2006-10-24 Vernier Networks, Inc. System and method for providing access to a network with selective network address translation
JP2002334114A (ja) * 2001-05-10 2002-11-22 Allied Tereshisu Kk テーブル管理方法及び装置
US20020188725A1 (en) * 2001-05-31 2002-12-12 Mani Babu V. User verification service in a multimedia-capable network
CN1402480B (zh) * 2001-08-07 2010-04-21 株式会社藤仓 介质访问控制桥路的地址管理方法和该桥路

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH03123137A (ja) * 1989-10-05 1991-05-24 Fujitsu Ltd Ｍａｃブリッジのルーティングテーブルにおけるマニュアル登録方式
JP2001320373A (ja) * 2000-05-09 2001-11-16 Ricoh Co Ltd 無線ｌａｎシステム
EP1170925A1 (en) 2000-07-06 2002-01-09 Samsung Electronics Co. Ltd. Mac address-based communication restricting method
JP2003124939A (ja) * 2001-10-17 2003-04-25 Ricoh Co Ltd 無線ｌａｎシステム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP1517480A4

Also Published As

Publication number Publication date
KR20060018808A (ko) 2006-03-02
US20060089987A1 (en) 2006-04-27
EP1517480A4 (en) 2008-12-10
CN1698319A (zh) 2005-11-16
US7610380B2 (en) 2009-10-27
JP2004343497A (ja) 2004-12-02
DE602004024944D1 (de) 2010-02-25
KR101031168B1 (ko) 2011-04-27
EP1517480B1 (en) 2010-01-06
EP1517480A1 (en) 2005-03-23
CN100358308C (zh) 2007-12-26
JP3800198B2 (ja) 2006-07-26

Similar Documents

Publication Publication Date Title
WO2004102886A1 (ja) 情報処理装置、およびアクセス制御処理方法、並びにコンピュータ・プログラム
EP1536593B1 (en) Apparatus authentication device, apparatus authentication method, information processing device, information processing method, and computer program
US8037538B2 (en) Access control processing method
KR101032057B1 (ko) 정보 처리 장치, 서버 클라이언트 시스템, 및 방법, 및컴퓨터·프로그램
US7870261B2 (en) Information processing device, an information processing method, and a computer program to securely connect clients on an external network to devices within an internal network
TW201132171A (en) Methods and apparatus for solicited activation for protected wireless networking
JP2007534046A (ja) サーバ装置、クライアント装置およびネットワークシステム
WO2013086836A1 (zh) 一种数字移动网络联盟权限控制方法及装置
JP4340241B2 (ja) 利用者認証プログラム、利用者認証方法、利用者認証装置および利用者認証システム
JP2005242543A (ja) 情報処理方法、および情報処理装置、並びにコンピュータ・プログラム
JP5319456B2 (ja) 通信システム、その制御方法、基地局装置及びプログラム
JP4642652B2 (ja) 無線制御端末、無線通信システムおよび無線通信方法
WO2012155604A1 (zh) 一种控制数字移动网络联盟内容的方法及装置
JP4506637B2 (ja) 情報処理装置、および情報処理方法、並びにコンピュータ・プログラム
JP2002007343A (ja) 情報処理装置および方法、並びに記録媒体

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): BW GH GM KE LS MW MZ SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

WWE Wipo information: entry into national phase

Ref document number: 2004725816

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2006089987

Country of ref document: US

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 1020057000752

Country of ref document: KR

Ref document number: 10521624

Country of ref document: US

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 20048005777

Country of ref document: CN

WWP Wipo information: published in national office

Ref document number: 2004725816

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 1020057000752

Country of ref document: KR

WWP Wipo information: published in national office

Ref document number: 10521624

Country of ref document: US