WO2013021814A1 - ネットワークシステム、移動通信端末及びプログラム - Google Patents

ネットワークシステム、移動通信端末及びプログラム Download PDF

Info

Publication number
WO2013021814A1
WO2013021814A1 PCT/JP2012/068756 JP2012068756W WO2013021814A1 WO 2013021814 A1 WO2013021814 A1 WO 2013021814A1 JP 2012068756 W JP2012068756 W JP 2012068756W WO 2013021814 A1 WO2013021814 A1 WO 2013021814A1
Authority
WO
WIPO (PCT)
Prior art keywords
mobile communication
network
communication terminal
terminal
authentication server
Prior art date
Application number
PCT/JP2012/068756
Other languages
English (en)
French (fr)
Inventor
智揮 矢田
Original Assignee
株式会社日立ソリューションズ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立ソリューションズ filed Critical 株式会社日立ソリューションズ
Priority to EP12821570.4A priority Critical patent/EP2744251A4/en
Priority to US14/238,100 priority patent/US20140201808A1/en
Publication of WO2013021814A1 publication Critical patent/WO2013021814A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/02—Services making use of location information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/52—Network services specially adapted for the location of the user terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/02—Access restriction performed under specific conditions
    • H04W48/04—Access restriction performed under specific conditions based on user or terminal location or mobility data, e.g. moving direction, speed
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent

Definitions

  • the present invention relates to a communication control technique for a mobile communication terminal.
  • the present invention relates to a network system including a mobile communication terminal and an authentication server, a mobile communication terminal, and a communication control program thereof.
  • mobile communication terminals represented by smartphones and tablet terminals
  • the use of mobile communication terminals for business has begun to be considered.
  • employees working in field work are using mobile communication terminals to connect to the company's intra-network from outside the company, and to store materials necessary for work in the mobile communication terminals and use forms for sending and receiving e-mails.
  • mobile communication terminals can be used for business, it is considered that business that was originally only possible in-house can be performed outside the field work, etc., and work efficiency can be improved. .
  • VPN Virtual Private Network
  • IPsec IP Security
  • a mobile communication terminal In order to prevent a situation where business information is leaked from a mobile communication terminal, it is necessary to ensure that communication data transmitted from the mobile communication terminal is surely routed through the in-house intra-network via the VPN. For example, when a mobile communication terminal accesses a Web page on the Internet, if the communication is made via an in-house intra network, the act of uploading business information to the Web page by a firewall installed in the company is prohibited. Information leakage can be prevented. In other words, a mobile communication terminal used for business is required to have a mechanism that can communicate only with a specific device such as a VPN device installed in the company.
  • the present inventor proposes that the following functions are installed in the mobile communication terminal and the authentication server in the network system including the mobile communication terminal and the authentication server.
  • the mobile communication terminal includes (1) a functional unit that detects a change in physical location information of the terminal and / or location information on the network, and (2) upon detection of the change, (3) receiving a communication control policy corresponding to the position information of the terminal and / or the position information on the network from the authentication server; It is equipped with a function unit that is applied to the terminal.
  • the authentication server also includes (1) a function unit that receives position information and / or network position information from the mobile communication terminal, and (2) corresponds to the received position information and / or position information on the network.
  • a function unit that retrieves the communication control policy from the management table and (3) a function unit that transmits the retrieved communication control policy to the corresponding mobile communication terminal are mounted.
  • communication from the mobile communication terminal is controlled based on the communication control policy determined by the authentication server for the physical location or the location information on the network.
  • the communication control policy by fixing external communication via the authentication server, it is possible to prevent leakage of business information from the mobile communication terminal.
  • FIG. 1 shows a conceptual configuration example of a network system according to the embodiment.
  • the system includes a mobile communication terminal 101, a network 102, an authentication server 103, and a DNS server 104.
  • a mobile communication terminal 101, an authentication server 103, and a DNS server 104 are connected to each other via a network 102.
  • the network 102 is not shown in detail, but any physical network and any connection form may be included as long as information can be transmitted.
  • the network 102 may be configured by either one or both of a wired network and a wireless network.
  • FIG. 1 only one mobile communication terminal 101, authentication server 103, and DNS server 104 are shown for simplification of explanation, but any number may be used as long as it is one or more. .
  • FIG. 2 shows a functional block configuration of the mobile communication terminal 101.
  • the mobile communication terminal 101 includes a terminal location information change detection unit 202, a packet filtering unit 203, a policy acquisition unit 204, a VPN connection unit 205, a network connection unit 206, and a storage unit 207.
  • Each unit other than the storage unit 207 may be configured as hardware or may be realized as a function on software.
  • the mobile communication terminal 101 is assumed to be a smartphone or a tablet terminal, for example. However, it is not limited to these terminals, and includes notebook computer terminals and portable dedicated terminals. Although not shown, the mobile communication terminal 101 is equipped with a general device as necessary in the mobile communication terminal. For example, a CPU, a memory, an input instruction device (touch panel), a GPS (Global Positioning System) receiving device, a wireless communication device compliant with Wi-Fi (trademark), and the like are mounted.
  • the network connection unit 206 is a device that connects the mobile communication terminal 101 and the network 102, and corresponds to, for example, a wireless LAN (Local Area Network) device or a 3G (third generation mobile communication system) wireless device.
  • a wireless LAN Local Area Network
  • 3G third generation mobile communication system
  • the terminal position information change detection unit 202 is a device or program that executes processing for detecting a change in the position of the mobile communication terminal 101.
  • this “position” means a network position or a physical position of the mobile communication terminal 101, or a combination thereof.
  • the position on the network by the IP address assigned to the network connection unit 206, the physical position on the earth of the mobile communication terminal 101 detected by the GPS device included in the mobile communication terminal 101, and the mobile communication terminal 101 connected This corresponds to a network and physical location based on information such as SSID (Service Set ID) and MAC address of a wireless LAN access point, or a combination of these locations.
  • SSID Service Set ID
  • the terminal location information change detection unit 202 refers to the terminal location change threshold information 208 stored in the storage unit 207 and detects a change in the location of the terminal itself. That is, the terminal position information change detection unit 202 compares each of the position on the network based on the IP address and the physical position based on the GPS with the terminal position change threshold information 208, and any of the positions becomes the terminal position change threshold information 208. When the described conditions are no longer met, it is detected that the position has changed.
  • the terminal position change threshold information 208 will be described later.
  • the packet filtering unit 203 is a device or program that realizes communication control such as permitting or denying only communication with a device having a specific IP address based on the policy information 211 stored in the storage unit 207.
  • the policy acquisition unit 204 is a device or program that executes processing for acquiring the policy information 211 from the policy transmission / reception unit 302 (FIG. 3) of the authentication server 103.
  • the VPN connection unit 205 is a device or program that connects to the VPN connection unit 305 (FIG. 3) of the authentication server 103 and executes processing necessary for VPN communication.
  • the storage unit 207 is used for storing information necessary for realizing communication control according to the present embodiment. For example, terminal position change threshold information 208, terminal identification information 209, authentication server address information 210, and policy information 211 are stored.
  • the storage unit 207 may store arbitrary information (not shown).
  • the terminal position change threshold information 208 is information used by the terminal position information change detection unit 202 to determine whether or not a change has occurred in the position of the mobile communication terminal 101 (own terminal).
  • the terminal position change threshold information 208 includes, for example, (1) a latitude / longitude range including a company building, (2) an IP address range assigned to the network connection unit 206 of the mobile communication terminal 101 in the in-house network, (3 ) Both are memorized.
  • the terminal position change threshold information 208 stores a latitude / longitude range including a building of an organization to which a user such as a company belongs
  • a GPS observation value provided in the mobile communication terminal 101 is stored.
  • the terminal position information change detection unit 202 detects the movement of the mobile communication terminal 101 (own terminal) from the inside to the outside.
  • the terminal identification information 209 is information that uniquely identifies the mobile communication terminal 101. For example, the terminal unique number of the mobile communication terminal 101, a combination of a user name and a password, the MAC address of the network connection unit 206 of the mobile communication terminal 101, these It corresponds to a combination of information.
  • the authentication server address information 210 is given by the IP address or domain name of the authentication server 103.
  • FIG. 3 shows the configuration of the authentication server 103.
  • the authentication server 103 includes a policy transmission / reception unit 302, a policy search unit 303, a policy setting unit 304, a VPN connection unit 305, a network connection unit 306, and a storage unit 307.
  • the policy transmission / reception unit 302 is a device or program that is connected from the policy acquisition unit 204 of the mobile communication terminal 101 and transmits the policy information 211 to the policy acquisition unit 204.
  • the policy search unit 303 Based on the terminal identification information 209 of the mobile communication terminal 101 and the terminal location information detected by the terminal location information change detection unit 202, the policy search unit 303 corresponds to the policy information corresponding to the policy database 308 in which a plurality of policy information 211 is stored.
  • 211 is a device or program that executes a process of searching for 211.
  • the policy setting unit 304 When the policy setting unit 304 receives an instruction to add / modify / delete policy information 211 from the administrator of the authentication server 103 through the user interface, the policy setting unit 304 executes processing to add / modify / delete policy information 211 in the policy database 308.
  • Device or program When the policy setting unit 304 receives an instruction to add / modify / delete policy information 211 from the administrator of the authentication server 103 through the user interface, the policy setting unit 304 executes processing to add / modify / delete policy information 211 in the policy database 308.
  • Device or program Device or program.
  • the VPN connection unit 305 is a device or program that is connected from the VPN connection unit 205 of the mobile communication terminal 101 and executes processing necessary for VPN communication.
  • the network connection unit 306 is a device connected to the mobile communication terminal 101 or the like, and corresponds to, for example, a NIC (Network Interface Card).
  • NIC Network Interface Card
  • the storage unit 307 includes a policy database 308 that stores policy information 211. Although not shown, the storage unit 307 may store arbitrary information other than the policy database 308.
  • the VPN connection unit 305 is provided in the authentication server 103, but the configuration is not necessarily limited to this.
  • the VPN connection unit 305 may be provided in a server different from the authentication server 103 and divided into the authentication server 103 and the VPN server.
  • FIG. 4 shows a configuration example of the policy database 308.
  • the policy database 308 stores a plurality of policy information 211 including terminal identification information 401, a network location range 402, a physical location range 403, and a filtering policy 404.
  • FIG. 4 shows three pieces of policy information 405 to 407 as an example.
  • the policy information 405 is for the mobile communication terminal 101 whose terminal identification information 401 is “11111”, and the IP address assigned to the network connection unit 206 is the network location range 402 “192.168.0.0/24”. If the physical position by GPS of the mobile communication terminal 101 is included in the physical position range 403 “latitude / longitude range including the building”, “Allow all” of the filtering policy 404 is applied. In other words, all communication from the mobile communication terminal 101 whose terminal identification information 401 is “11111” is permitted.
  • the policy information 405 is applicable, for example, there is a case where the mobile communication terminal 101 is used in-house and the mobile communication terminal 101 is connected to an in-house Wi-Fi access point. In such a situation, since communication from the mobile communication terminal 101 to the Internet is performed via an in-house network, the communication can be routed through a filtering device related to web, mail, etc. installed in the in-house network.
  • the policy information 406 is for the mobile communication terminal 101 whose terminal identification information 401 is “11111”, and the IP address assigned to the network connection unit 206 is the network location range 402 “10.0.0.0/8”. And the physical position by GPS of the mobile communication terminal 101 is included in the physical position range 403 “latitude / longitude range including the building”. , That is, communication from the mobile communication terminal 101 whose terminal identification information 401 is “11111” is permitted only with the authentication server.
  • the mobile communication terminal 101 is used in-house, but a case where the policy information 406 is directly connected to the Internet by 3G wireless communication can be cited.
  • communication from the mobile communication terminal 101 to the Internet does not go through the in-house network. That is, it is not possible to perform filtering related to the web, mail, and the like.
  • This state corresponds to the fact that the mobile communication terminal 101 is physically located within the company but is located outside the network. Therefore, in such a situation, a filtering policy 404 is applied in which communication from the mobile communication terminal 101 is permitted only to the authentication server 103 and the communication path is forcibly set via the in-house network.
  • the policy information 407 corresponds to the mobile communication terminal 101 whose terminal identification information 401 is “22222”, regardless of the network position by the IP address assigned to the network connection unit 206 and the physical position by GPS. This indicates that communication from the mobile communication terminal 101 is permitted only with the authentication server.
  • the situation where the policy information 407 is applicable corresponds to a case where communication from the mobile communication terminal 101 is surely made to go through the authentication server for the purpose of maximizing the security strength.
  • the DNS server 104 may be any device capable of associating a domain name with an IP address, for example, and corresponds to a device having a program called “BIND”, for example.
  • FIG. 5 shows a procedure for creating the policy database 308 by the administrator of the authentication server 103.
  • the administrator of the authentication server 103 creates policy information of the mobile communication terminal 101 (the number is arbitrary) connected to the authentication server 103 (S501). Examples of policy information correspond to 405 to 407 in FIG. 4 described above.
  • the administrator of the authentication server 103 inputs the policy information created in step S501 to the policy setting unit 304 and instructs addition to the policy database 308 (S502).
  • the policy setting unit 304 adds the policy information received in step S502 to the policy database 308 (S503).
  • FIG. 5 shows the procedure for newly adding policy information, but the same procedure can be used for deleting / modifying policy information in the policy database 308.
  • FIG. 6 illustrates a procedure from when the mobile communication terminal 101 is turned on to when the system is activated until the policy is applied.
  • the terminal location information change detection unit 202 After the mobile communication terminal 101 is powered on, the terminal location information change detection unit 202 first acquires an IP address and DNS server address from the network connection unit 206 of the mobile communication terminal 101 (S601). Here, if the network connection unit 206 is not functioning and acquisition of the IP address and DNS server address fails, step S601 is repeated after an arbitrary time interval.
  • the packet filtering unit 203 performs control so that the communication of the mobile communication terminal 101 can communicate only with the DNS server 104 represented by the DNS server address (S602).
  • a communication control method for example, “iptables” in Linux (registered trademark) corresponds.
  • the VPN connection unit 205 of the mobile communication terminal 101 inquires the DNS server 104 to acquire the IP address corresponding to the domain name of the authentication server 103 described in the authentication server address information 212, and An IP address is acquired (S603). If the authentication server address information 210 describes the IP address instead of the domain name of the authentication server 103, the process of step S603 is omitted.
  • the packet filtering unit 203 of the mobile communication terminal 101 performs control so that the mobile communication terminal 101 can communicate only with the authentication server 103 based on the IP address of the authentication server 103 acquired in step S603 (S604).
  • the policy acquisition unit 204 of the mobile communication terminal 101 transmits the terminal identification information 209, the IP address of the mobile communication terminal 101 and the observed GPS value to the authentication server 103, and requests acquisition of the policy information 211 (S605).
  • the processing procedure (FIG. 7) when the authentication server 103 requests the policy information 211 will be described later.
  • the policy acquisition unit 204 of the mobile communication terminal 101 receives the policy information 211 from the policy transmission / reception unit 302 of the authentication server 103 (S606).
  • the policy acquisition unit 204 of the mobile communication terminal 101 inputs the policy information 211 to the packet filtering unit 203 and instructs the application of the policy (S607).
  • the packet filtering 203 of the mobile communication terminal 101 controls communication based on the filtering policy 404 of the received policy information 211 (S608).
  • FIG. 7 shows a processing procedure when the authentication server 103 is requested to transmit the policy information 211 from the mobile communication terminal 101.
  • the policy transmission / reception unit 302 of the authentication server 103 receives the terminal identification information 209, the IP address of the mobile communication terminal 101, and the GPS observation value from the mobile communication terminal 101 (S701).
  • the policy transmission / reception unit 302 of the authentication server 103 instructs the policy search unit 303 to search for the policy information 211 corresponding to the terminal identification information 209, the IP address of the mobile communication terminal 101, and the GPS observation value (S702). ).
  • the policy search unit 303 of the authentication server 103 matches the terminal identification information 209 from the policy database 308, the IP address of the mobile communication terminal 101 is included in the network location range 402, and the mobile communication terminal 101
  • the policy information 211 in which the observed GPS value is included in the physical position range 403 is searched (S703).
  • the policy search unit 303 of the authentication server 103 inputs the searched policy information 211 to the policy transmission / reception unit 302 (S704).
  • the policy transmission / reception unit 302 of the authentication server 103 transmits the policy information 211 to the policy acquisition unit 204 of the mobile communication terminal 101 (S705).
  • the policy information 211 corresponding to the position is applied to the mobile communication terminal 101.
  • communication from the mobile communication terminal 101 is guaranteed to satisfy the conditions described in the filtering policy 404.
  • the filtering policy 404 is “Allow only authentication server”
  • the mobile communication terminal 101 cannot directly communicate with various servers on the Internet.
  • the VPN connection unit 205 of the mobile communication terminal 101 and the VPN connection unit 305 of the authentication server 103 need to make a VPN connection and pass through the authentication server 103.
  • communication from the mobile communication terminal 101 can be appropriately filtered.
  • FIG. 8 shows a procedure for reapplying the policy when the network position or physical position of the mobile communication terminal 101 changes.
  • the terminal position information change detection unit 202 of the mobile communication terminal 101 detects a position change based on the terminal position change threshold information 208 (S801).
  • step S801 is repeated after an arbitrary time interval.
  • step S801 If a change is detected in step S801, steps S605 to S608 in FIG. 6 are performed.
  • Fig. 8 The situation assumed by the procedure in Fig. 8 is shown below. It is assumed that the mobile communication terminal 101 is connected to an in-house Wi-Fi access point and the filtering policy 404 is “Allow all”. Further, since communication from the mobile communication terminal 101 passes through the in-house network, it is assumed that communication filtering is performed by a web or mail filtering device installed in the in-house network.
  • the procedure shown in FIG. 8 is prepared. For example, when switching from Wi-Fi to 3G, the mobile communication terminal 101 reacquires the filtering policy 404 and controls communication from “Allow all” to “Allow only authentication server”. Introduce a mechanism for automatic reconfiguration.
  • communication from the mobile communication terminal 101 is based on the policy information 211 determined by the authentication server 103 with respect to its physical location or IP address. Can be controlled.
  • the policy information 211 communication outside the company can be fixed via the authentication server 103 in the company.
  • the authentication server 103 is used as in the case of outside the company. Communication can be forced. Thereby, the situation where business information leaks from the mobile communication terminal 101 can be effectively prevented.
  • the present invention is not limited to the above-described embodiments, and includes various modifications.
  • the above-described embodiments have been described in detail for easy understanding of the present invention, and are not necessarily limited to those having all the configurations described.
  • each of the above-described configurations, functions, processing units, processing means, and the like may be partly or entirely realized as, for example, an integrated circuit or other hardware.
  • Each of the above-described configurations, functions, and the like may be realized by the processor interpreting and executing a program that realizes each function. That is, it may be realized as software.
  • Information such as programs, tables, and files for realizing each function can be stored in a memory, a hard disk, a storage device such as an SSD (Solid State Drive), or a storage medium such as an IC card, an SD card, or a DVD.
  • control lines and information lines indicate what is considered necessary for explanation, and do not represent all control lines and information lines necessary for the product. In practice, it can be considered that almost all components are connected to each other.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Telephone Function (AREA)
  • Telephonic Communication Services (AREA)

Abstract

　移動通信端末に保存された情報がネットワーク経由で漏洩することを防止する。このため、認証サーバと共にネットワークシステムを構成する移動通信端末に、自端末の物理的な位置情報及び／又はネットワーク上の位置情報の変化を検知する機能部と、前記変化の検出時、認証サーバに対し、自端末の位置情報及び／又はネットワーク上の位置情報を送信する機能部と、自端末の位置情報及び／又はネットワーク上の位置情報に対応した通信制御ポリシを認証サーバから受信し、自端末に適用する機能部とを搭載する。

Description

ネットワークシステム、移動通信端末及びプログラム
　本発明は、移動通信端末の通信制御技術に関する。例えば移動通信端末と認証サーバとで構成されるネットワークシステム、移動通信端末及びその通信制御プログラムに関する。
　近年、スマートフォンやタブレット端末に代表される移動通信端末の普及に伴い、移動通信端末の業務への利用が検討され始めている。例えばフィールドワークを行う社員が、移動通信端末を用い、社外から社内のイントラネットワークに接続し、業務に必要な資料を移動通信端末に保存する利用形態やメールを送受信する利用形態が検討されている。移動通信端末を業務に利用できれば、本来は社内でしか行うことができなかった業務を、フィールドワークの合間等に社外で行うことが可能となり、業務効率を向上させることができると考えられている。
　移動通信端末を、社外から社内のイントラネットワークに接続する技術としては、ＶＰＮ（Virtual Private Network）技術が一般的である。例えば非特許文献１に示すＩＰｓｅｃ（IP Security）と呼ばれる通信プロトコルが用いられている。
馬場達也著、「マスタリングIPsec 第２版」、オライリー・ジャパン、2006年8月23日
　しかし、従来のＶＰＮ技術は、社員が、移動通信端末を用いて社内イントラネットワークから業務情報をＶＰＮ経由で保存した後に、ＶＰＮを利用することなく、インターネット等の社外ネットワークに直接接続するような使い方を防ぐことができない。このため、業務情報が、インターネット経由で漏洩するリスクがある。このリスクのため、現在、移動通信端末の業務活用が妨げられている。
　業務情報が移動通信端末から漏洩する事態を防止するためには、移動通信端末から送信される通信データを、ＶＰＮ経由で社内イントラネットワークに確実に経由させることを保証する必要がある。例えば、移動通信端末がインターネット上のＷｅｂページ等にアクセスする場合、その通信を社内イントラネットワーク経由にすれば、社内に設置したファイアウォール等によりＷｅｂページに業務情報をアップロードする等の行為を禁止することができ、情報漏洩を防止することができる。つまり、業務に使用する移動通信端末については、社内に設置したＶＰＮ装置等の特定の装置としか通信できないようにできる仕組みが求められる。
　前述した通信制御技術の実現のため、本発明者は、移動通信端末と認証サーバを含むネットワークシステムにおいて、以下に示す機能を移動通信端末と認証サーバにそれぞれ搭載することを提案する。
　まず、移動通信端末には、（１）自端末の物理的な位置情報及び／又はネットワーク上の位置情報の変化を検知する機能部と、（２）前記変化の検出時、認証サーバに対し、自端末の位置情報及び／又はネットワーク上の位置情報を送信する機能部と、（３）自端末の位置情報及び／又はネットワーク上の位置情報に対応した通信制御ポリシを認証サーバから受信し、自端末に適用する機能部とを搭載する。
　また、認証サーバには、（１）移動通信端末からその位置情報及び／又はネットワーク上の位置情報を受信する機能部と、（２）受信した位置情報及び／又はネットワーク上の位置情報に対応した通信制御ポリシを管理テーブルから検索する機能部と、（３）検索された通信制御ポリシを対応する移動通信端末に送信する機能部とを搭載する。
　本発明によれば、移動通信端末からの通信は、その物理的な位置又はネットワーク上の位置情報に対して認証サーバが定めた通信制御ポリシに基づいて制御される。例えば通信制御ポリシにおいて、社外での通信を認証サーバ経由に固定することにより、移動通信端末からの業務情報の漏洩を防止することができる。上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。
実施の形態に係るネットワークシステムの概念図。 実施の形態に係る移動通信端末の機能構成図。 実施の形態に係る認証サーバの機能構成図。 実施の形態に係るポリシデータベースの概念構成図。 実施の形態に係るポリシデータベースの作成手順を示すフローチャート。 実施の形態に係る移動通信端末の電源投入時の処理手順を示すフローチャート。 実施の形態に係る認証サーバにおいて実行されるポリシ情報の選択手順を示すフローチャート。 実施の形態に係る移動通信端末におけるポリシ情報の再適用手順を示すフローチャート。
　以下、図面に基づいて、本発明の実施の形態を説明する。なお、本発明の実施の態様は、後述する形態例に限定されるものではなく、その技術思想の範囲において、種々の変形が可能である。また、実施の形態を説明するための全図において、同一の機能を有する部材には同一または関連する符号を付し、その繰り返しの説明は省略する。
　［システム構成］
　図１に、実施の形態に係るネットワークシステムの概念構成例を示す。同システムは、移動通信端末１０１と、ネットワーク１０２と、認証サーバ１０３と、ＤＮＳサーバ１０４とにより構成される。図に示すように、移動通信端末１０１、認証サーバ１０３及びＤＮＳサーバ１０４は、ネットワーク１０２を介して相互に接続されている。
　本実施例では、ネットワーク１０２を詳細には図示しないが、情報の伝達が可能であれば、任意の物理ネットワーク、任意の接続形態を含んで良い。また、ネットワーク１０２は、有線ネットワークと無線ネットワークのどちらか一方又は両方で構成されていても良い。
　なお、図１では、説明を簡単にするために、移動通信端末１０１、認証サーバ１０３、ＤＮＳサーバ１０４をそれぞれ１つだけ記載しているが、いずれも１つ以上であれば任意の個数でよい。
　以下では、図１に示したネットワークシステムを構成する個々の要素について説明する。
　［移動通信端末１０１の構成］
　図２に、移動通信端末１０１の機能ブロック構成を示す。移動通信端末１０１は、端末位置情報変化検知部２０２、パケットフィルタリング部２０３、ポリシ取得部２０４、ＶＰＮ接続部２０５、ネットワーク接続部２０６、記憶部２０７から構成されている。記憶部２０７以外の各部は、ハードウェアとして構成されても良いし、ソフトウェア上の機能として実現しても良い。
　本実施例の場合、移動通信端末１０１は、例えばスマートフォンやタブレット端末を想定する。もっとも、これらの端末に限るものではなく、ノート型のコンピュータ端末や携帯型の専用端末も含むものとする。なお、移動通信端末１０１には、不図示ではあるが、移動通信端末に一般的な装置が必要に応じて搭載されている。例えばＣＰＵ、メモリ、入力指示装置（タッチパネル）、ＧＰＳ（Global Positioning System）受信装置、Ｗｉ－Ｆｉ（商標）に準拠した無線通信装置などが搭載されている。
　ネットワーク接続部２０６は、移動通信端末１０１とネットワーク１０２とを接続する装置であり、例えば無線ＬＡＮ（Local Area Network）装置や３Ｇ（第３世代移動通信システム）無線装置が相当する。
　端末位置情報変化検知部２０２は、移動通信端末１０１の位置変化を検知するための処理を実行するデバイス又はプログラムである。本明細書において、この「位置」は、移動通信端末１０１のネットワーク的な位置や物理的な位置、又はこれらの組み合わせを意味するものとする。例えばネットワーク接続部２０６に割り当てられたＩＰアドレスによるネットワーク上の位置、移動通信端末１０１が備えるＧＰＳ装置により検出された移動通信端末１０１の地球上の物理的な位置、移動通信端末１０１が接続している無線ＬＡＮのアクセスポイントのＳＳＩＤ（Service Set ID）、ＭＡＣアドレス等の情報に基づいたネットワーク及び物理的な位置、又はこれらの位置の組み合わせ等が相当する。
　なお、以下の説明では、説明を簡単にするために、移動通信端末１０１のネットワーク接続部２０６に割り当てられたＩＰアドレスによるネットワーク上の位置と、ＧＰＳによる物理的な位置を用いて説明する。
　端末位置情報変化検知部２０２は、記憶部２０７に格納される端末位置変化閾値情報２０８を参照し、自端末の位置の変化を検知する。すなわち、端末位置情報変化検知部２０２は、ＩＰアドレスによるネットワーク上の位置とＧＰＳによる物理的な位置のそれぞれを端末位置変化閾値情報２０８と比較し、いずれかの位置が端末位置変化閾値情報２０８に記載されている条件を満たさなくなった場合に、位置が変化したと検知する。端末位置変化閾値情報２０８については後述する。
　パケットフィルタリング部２０３は、記憶部２０７に格納されるポリシ情報２１１に基づいて、特定のＩＰアドレスを有する装置との通信のみを許可若しくは拒否する等の通信制御を実現するデバイス又はプログラムである。
　ポリシ取得部２０４は、認証サーバ１０３のポリシ送受信部３０２（図３）からポリシ情報２１１を取得する処理を実行するデバイス又はプログラムである。
　ＶＰＮ接続部２０５は、認証サーバ１０３のＶＰＮ接続部３０５（図３）に接続し、ＶＰＮ通信に必要な処理を実行するデバイス又はプログラムである。
　［移動通信端末１０１の記憶部２０７の構成］
　記憶部２０７は、本実施例に係る通信制御の実現に必要とされる情報の記憶に使用される。例えば端末位置変化閾値情報２０８、端末識別情報２０９、認証サーバアドレス情報２１０、ポリシ情報２１１が記憶される。なお、記憶部２０７には、不図示の任意の情報が格納されていてもよい。
　端末位置変化閾値情報２０８は、端末位置情報変化検知部２０２が移動通信端末１０１（自端末）の位置に変化が発生したか否かを判断するために使用する情報である。端末位置変化閾値情報２０８には、例えば(1) 企業の建屋が含まれる緯度・経度の範囲、(2) 社内ネットワークにおいて移動通信端末１０１のネットワーク接続部２０６に割り当てられるＩＰアドレスの範囲、(3)その両方などが記憶される。
　例えば端末位置変化閾値情報２０８に、企業等ユーザが所属する組織の建屋が含まれる緯度・経度の範囲が記憶されている場合、移動通信端末１０１が備えるＧＰＳの観測値が記憶されている所定の緯度・経度の範囲を外れたとき、端末位置情報変化検知部２０２は、移動通信端末１０１（自端末）の社内から社外への移動を検知する。
　端末識別情報２０９は、移動通信端末１０１を一意に特定する情報であり、例えば移動通信端末１０１の端末固有番号、ユーザ名とパスワードの組、移動通信端末１０１のネットワーク接続部２０６のＭＡＣアドレス、これら情報の組み合わせ等が相当する。
　認証サーバアドレス情報２１０は、認証サーバ１０３のＩＰアドレス又はドメイン名で与えられる。
　ポリシ情報２１１の詳細は後述するが、移動通信端末１０１の通信制御に適用される条件が相当する。
　［認証サーバ１０３の構成］
　図３に、認証サーバ１０３の構成を示す。認証サーバ１０３は、ポリシ送受信部３０２、ポリシ検索部３０３、ポリシ設定部３０４、ＶＰＮ接続部３０５、ネットワーク接続部３０６、記憶部３０７から構成される。
　ポリシ送受信部３０２は、移動通信端末１０１のポリシ取得部２０４から接続され、ポリシ取得部２０４にポリシ情報２１１を送信するデバイス又はプログラムである。
　ポリシ検索部３０３は、移動通信端末１０１の端末識別情報２０９と端末位置情報変化検知部２０２が検知した端末位置情報とに基づいて、ポリシ情報２１１が複数格納されるポリシデータベース３０８から対応するポリシ情報２１１を検索する処理を実行するデバイス又はプログラムである。
　ポリシ設定部３０４は、ユーザインタフェースを通じ、認証サーバ１０３の管理者からポリシ情報２１１の追加・修正・削除といった指示を受け取ると、ポリシデータベース３０８内にポリシ情報２１１を追加・修正・削除する処理を実行するデバイス又はプログラムである。
　ＶＰＮ接続部３０５は、移動通信端末１０１のＶＰＮ接続部２０５から接続され、ＶＰＮ通信に必要な処理を実行するデバイス又はプログラムである。
　ネットワーク接続部３０６は、移動通信端末１０１等と接続する装置であり、例えばＮＩＣ（ネットワーク・インタフェース・カード）が相当する。
　［認証サーバ１０３の記憶部３０７の構成］
　記憶部３０７は、ポリシ情報２１１を格納するポリシデータベース３０８から構成される。なお、記憶部３０７には図示していないが、ポリシデータベース３０８以外の任意の情報が格納されていてもよい。
　図３においては、認証サーバ１０３内にＶＰＮ接続部３０５を設けているが、必ずしもこの構成に限らない。例えばＶＰＮ接続部３０５を認証サーバ１０３とは別のサーバ内に設け、認証サーバ１０３とＶＰＮサーバの二つに分けてもよい。
　［ポリシデータベース３０８の構成］
　図４に、ポリシデータベース３０８の構成例を示す。ポリシデータベース３０８は、端末識別情報４０１と、ネットワーク的位置範囲４０２と、物理的位置範囲４０３と、フィルタリングポリシ４０４とで構成されるポリシ情報２１１を複数格納している。図４では、例として３つのポリシ情報４０５～４０７を示している。
　ポリシ情報４０５は、端末識別情報４０１が「１１１１１」の移動通信端末１０１に対するものであり、ネットワーク接続部２０６に割り当てられたＩＰアドレスがネットワーク的位置範囲４０２「１９２．１６８．０．０／２４」に含まれ、かつ、移動通信端末１０１のＧＰＳによる物理的な位置が物理的位置範囲４０３「建屋が含まれる緯度・経度の範囲」に含まれる場合に、フィルタリングポリシ４０４の「全て許可」を適用すること、すなわち端末識別情報４０１が「１１１１１」の移動通信端末１０１からの通信を全て許可することを示している。
　ポリシ情報４０５が当てはまる状況としては、例えば社内において、移動通信端末１０１が利用されており、移動通信端末１０１が社内のＷｉ－Ｆｉアクセスポイントに接続している場合が挙げられる。このような状況では、移動通信端末１０１からインターネットへの通信は、社内ネットワーク経由で行われるため、通信を社内ネットワークに設置されたウェブやメール等に関するフィルタリング装置を経由させることができる。
　ポリシ情報４０６は、端末識別情報４０１が「１１１１１」の移動通信端末１０１に対するものであり、ネットワーク接続部２０６に割り当てられたＩＰアドレスがネットワーク的位置範囲４０２「１０．０．０．０／８」に含まれ、かつ、移動通信端末１０１のＧＰＳによる物理的な位置が物理的位置範囲４０３「建屋が含まれる緯度・経度の範囲」に含まれる場合に、フィルタリングポリシ４０４の「認証サーバのみ許可」を適用すること、すなわち端末識別情報４０１が「１１１１１」の移動通信端末１０１からの通信は認証サーバとの間でのみ許可することを示している。
　ポリシ情報４０６が当てはまる状況としては、例えば社内で移動通信端末１０１を利用しているが、３Ｇ無線通信によりインターネットに直接接続する場合が挙げられる。この場合、移動通信端末１０１からインターネットへの通信は、社内ネットワークを経由しない。すなわち、ウェブやメール等に関するフィルタリングを行うことができない。この状態は、移動通信端末１０１は、物理的には社内に位置するものの、ネットワーク的には社外に位置することに相当する。従って、このような状況では、移動通信端末１０１からの通信を認証サーバ１０３との間でのみに許可し、通信経路を強制的に社内ネットワーク経由に設定するフィルタリングポリシ４０４を適用する。
　ポリシ情報４０７は、端末識別情報４０１が「２２２２２」の移動通信端末１０１に対応するものであり、ネットワーク接続部２０６に割り当てられたＩＰアドレスによるネットワーク的な位置及びＧＰＳによる物理的な位置に関わらず、その移動通信端末１０１からの通信は認証サーバとの間でのみ許可することを示している。
　ポリシ情報４０７が当てはまる状況としては、セキュリティ強度を最大限高めることを目的として、移動通信端末１０１からの通信を確実に認証サーバ経由にさせたい場合が相当する。
　なお、どのポリシ情報にも該当しない場合の扱いは規定しないが、例えば認証サーバ１０３の間でのみ通信を許可とするという動作をさせても良い。
　［ＤＮＳサーバ１０４の構成］
　ＤＮＳサーバ１０４は、ドメイン名とＩＰアドレスの対応付け等が可能な装置であれば何でもよく、例えば「ＢＩＮＤ」と呼ばれるプログラムを備えた装置が相当する。
　［通信制御手順］
　次に、前述したネットワークシステムにおいて、移動通信端末１０１の通信を制御するための処理手順を説明する。まず、移動通信端末１０１の通信を制御するための事前設定として、認証サーバ１０３の管理者が、ポリシデータベース３０８を作成する手順について説明する。続いて、移動通信端末１０１が認証サーバ１０３からポリシ情報２１１を取得し、その通信を制御する手順について説明する。最後に、移動通信端末１０１が移動し、位置の変化が検知された場合に、ポリシ情報２１１を再度取得し、通信制御をやり直す手順について説明する。
　［ポリシデータベースの作成手順］
　図５に、認証サーバ１０３の管理者がポリシデータベース３０８を作成する手順を示す。
　認証サーバ１０３の管理者が、認証サーバ１０３と接続する移動通信端末１０１（数は任意）のポリシ情報を作成する（Ｓ５０１）。ポリシ情報の例としては、前述した図４の４０５～４０７が相当する。
　次に、認証サーバ１０３の管理者が、ステップＳ５０１で作成したポリシ情報を、ポリシ設定部３０４に入力し、ポリシデータベース３０８への追加を指示する（Ｓ５０２）。
　最後に、ポリシ設定部３０４は、ステップＳ５０２で受取ったポリシ情報を、ポリシデータベース３０８に追加する（Ｓ５０３）。
　図５は、ポリシ情報の新規に追加する場合の手順を示しているが、ポリシデータベース３０８内のポリシ情報を削除・修正する場合も同様の手順により行うことができる。
　［移動通信端末１０１の電源投入時の処理手順］
　図６に、移動通信端末１０１の電源が投入されてシステムが起動された後、ポリシが適用されるまでの手順を説明する。
　移動通信端末１０１の電源投入後、まず端末位置情報変化検知部２０２が、移動通信端末１０１のネットワーク接続部２０６からＩＰアドレス及びＤＮＳサーバアドレスを取得する（Ｓ６０１）。ここで、ネットワーク接続部２０６が機能しておらず、ＩＰアドレス及びＤＮＳサーバアドレスの取得に失敗した場合には、任意の時間間隔を経てからステップＳ６０１を繰り返す。
　ステップＳ６０１でＩＰアドレス及びＤＮＳサーバアドレスの取得に成功した場合、パケットフィルタリング部２０３が、移動通信端末１０１の通信がＤＮＳサーバアドレスで表わされるＤＮＳサーバ１０４としか通信できないように制御する（Ｓ６０２）。通信制御の方法としては、例えばＬｉｎｕｘ（登録商標）における「ｉｐｔａｂｌｅｓ」が相当する。
　次に、移動通信端末１０１のＶＰＮ接続部２０５が、認証サーバアドレス情報２１２に記載されている認証サーバ１０３のドメイン名に対応するＩＰアドレスを取得するため、ＤＮＳサーバ１０４に問合せ、認証サーバ１０３のＩＰアドレスを取得する（Ｓ６０３）。なお、認証サーバアドレス情報２１０に認証サーバ１０３のドメイン名ではなくＩＰアドレスが記載されていた場合は、ステップＳ６０３の処理は省略する。
　次に、移動通信端末１０１のパケットフィルタリング部２０３が、ステップＳ６０３で取得した認証サーバ１０３のＩＰアドレスに基づき、移動通信端末１０１が認証サーバ１０３とのみ通信できるように制御する（Ｓ６０４）。
　移動通信端末１０１のポリシ取得部２０４が、認証サーバ１０３に対し、端末識別情報２０９と移動通信端末１０１のＩＰアドレス及びＧＰＳの観測値を送信し、ポリシ情報２１１の取得要求をする（Ｓ６０５）。なお、認証サーバ１０３がポリシ情報２１１を要求された場合の処理手順（図７）は後述する。
　この後、移動通信端末１０１のポリシ取得部２０４が、認証サーバ１０３のポリシ送受信部３０２からポリシ情報２１１を受信する（Ｓ６０６）。
　次に、移動通信端末１０１のポリシ取得部２０４が、ポリシ情報２１１をパケットフィルタリング部２０３に入力してポリシの適用を指示する（Ｓ６０７）。
　移動通信端末１０１のパケットフィルタリング２０３は、受け取ったポリシ情報２１１のフィルタリングポリシ４０４に基づき、通信を制御する（Ｓ６０８）。
　［ポリシ選択手順］
　図７に、認証サーバ１０３が、移動通信端末１０１からポリシ情報２１１の送信を要求された場合の処理手順を示す。
　まず、認証サーバ１０３のポリシ送受信部３０２が、移動通信端末１０１から端末識別情報２０９と、移動通信端末１０１のＩＰアドレスと、ＧＰＳの観測値とを受信する（Ｓ７０１）。
　認証サーバ１０３のポリシ送受信部３０２が、ポリシ検索部３０３に対し、端末識別情報２０９と、移動通信端末１０１のＩＰアドレスと、ＧＰＳの観測値とに該当するポリシ情報２１１の検索を指示する（Ｓ７０２）。
　次に、認証サーバ１０３のポリシ検索部３０３が、ポリシデータベース３０８から端末識別情報２０９が一致し、さらに、移動通信端末１０１のＩＰアドレスがネットワーク的位置範囲４０２に含まれ、さらに、移動通信端末１０１のＧＰＳの観測値が物理的位置範囲４０３に含まれるポリシ情報２１１を検索する（Ｓ７０３）。
　認証サーバ１０３のポリシ検索部３０３が、検索されたポリシ情報２１１をポリシ送受信部３０２に入力する（Ｓ７０４）。
　認証サーバ１０３のポリシ送受信部３０２が、ポリシ情報２１１を移動通信端末１０１のポリシ取得部２０４に送信する（Ｓ７０５）。
　以上により、移動通信端末１０１には、その位置に応じたポリシ情報２１１が適用される。この結果、移動通信端末１０１からの通信は、フィルタリングポリシ４０４に記載された条件を満たすことが保証される。
　例えばフィルタリングポリシ４０４が「認証サーバのみ許可」となっていた場合、移動通信端末１０１は、直接インターネット上の各種サーバ等と通信することはできなくなる。これらのサーバ等に接続するには、移動通信端末１０１のＶＰＮ接続部２０５と認証サーバ１０３のＶＰＮ接続部３０５とがＶＰＮ接続し、認証サーバ１０３を経由する必要がある。ここで、認証サーバ１０３からサーバ等の間にファイアウォール等を置くことで、移動通信端末１０１からの通信を適宜フィルタリングすることが可能となる。
　［移動通信端末１０１の位置変化時のポリシ再適用手順］
　図８に、移動通信端末１０１のネットワーク的位置や物理的位置が変化した場合に、ポリシを再適用する場合の手順を示す。
　移動通信端末１０１の端末位置情報変化検知部２０２が、端末位置変化閾値情報２０８に基づいて位置変化を検知する（Ｓ８０１）。
　ステップＳ８０１で変化が検知されなかった場合は、任意の時間間隔を経てからステップＳ８０１を繰り返す。
　ステップＳ８０１で変化が検知された場合は、図６のステップＳ６０５～Ｓ６０８の手順を行う。
　図８の手順が想定する状況を以下に示す。移動通信端末１０１が社内のＷｉ－Ｆｉアクセスポイントに接続し、フィルタリングポリシ４０４が「全て許可」だったと仮定する。さらに、移動通信端末１０１からの通信は、社内ネットワークを経由するため、社内ネットワークに設置されたウェブやメールのフィルタリング装置による通信のフィルタリングが行われているものとする。
　この条件のもと、移動通信端末１０１の利用者がＷｉ－Ｆｉの利用をやめ、３Ｇ通信を行おうとしたとする。フィルタリングポリシ４０４が「全て許可」のままだと、３Ｇ通信により、インターネット上のサーバとの直接通信が実現されてしまう。これでは、通信をフィルタリングできず、業務情報の漏洩を防止することができない。
　従って、このように移動通信端末１０１のネットワーク的位置が変化した場合には、適切なフィルタリングポリシ４０４を適用できるようにする必要がある。そこで、図８の手順を用意し、例えばＷｉ－Ｆｉから３Ｇに切り替わった場合に、移動通信端末１０１がフィルタリングポリシ４０４を再取得し、通信を「全て許可」から「認証サーバのみ許可」に制御し自動再設定する仕組みを導入する。
　［効果］
　以上説明したように、本実施例に係るネットワークシステムの場合には、移動通信端末１０１からの通信は、その物理的な位置又はＩＰアドレスに対して認証サーバ１０３が定めたポリシ情報２１１に基づいて制御させることができる。例えばポリシ情報２１１において、社外での通信を、社内の認証サーバ１０３経由に固定することができる。また、物理的な位置としては社内からの通信であったとしても、社内ネットワークを経由しない外部ネットワークへのネットワーク的位置の変更を伴う場合には、社外の場合と同様に、認証サーバ１０３経由での通信を強制することができる。これにより、移動通信端末１０１から業務情報が漏洩する事態を効果的に防止することができる。
　［他の形態例］
　本発明は上述した形態例に限定されるものでなく、様々な変形例が含まれる。例えば、上述した形態例は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある形態例の一部を他の形態例の構成に置き換えることが可能であり、また、ある形態例の構成に他の形態例の構成を加えることも可能である。また、各形態例の構成の一部について、他の構成を追加、削除又は置換することも可能である。
　また、上述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路その他のハードウェアとして実現しても良い。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することにより実現しても良い。すなわち、ソフトウェアとして実現しても良い。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリやハードディスク、SSD（Solid State Drive）等の記憶装置、ICカード、SDカード、DVD等の記憶媒体に格納することができる。
　また、制御線や情報線は、説明上必要と考えられるものを示すものであり、製品上必要な全ての制御線や情報線を表すものでない。実際にはほとんど全ての構成が相互に接続されていると考えて良い。
１０１…移動通信端末
１０２…ネットワーク
１０３…認証サーバ
１０４…ＤＮＳサーバ
２０２…端末位置情報変化検知部
２０３…パケットフィルタリング部
２０４…ポリシ取得部
２０５…ＶＰＮ接続部
２０６…ネットワーク接続部
２０７…記憶部
２０８…端末位置変化閾値情報
２０９…端末識別情報
２１０…認証サーバアドレス情報
２１１…ポリシ情報
３０２…ポリシ送受信部
３０３…ポリシ検索部
３０４…ポリシ設定部
３０５…ＶＰＮ接続部
３０６…ネットワーク接続部
３０７…記憶部
３０８…ポリシデータベース
４０１…端末識別情報 
４０２…ネットワーク的位置範囲
４０３…物理的位置範囲
４０４…フィルタリングポリシ 
４０５…ポリシ情報の一例
４０６…ポリシ情報の一例
４０７…ポリシ情報の一例

Claims (7)

  1. 　移動通信端末と認証サーバを含むネットワークシステムであって、
    　前記移動通信端末は、
    　　自端末の物理的な位置情報及び／又はネットワーク上の位置情報の変化を検知する機能部と、
    　　前記位置情報の変化の検出時、認証サーバに対し、自端末の位置情報及び／又はネットワーク上の位置情報を送信する機能部と、
    　　自端末の位置情報及び／又はネットワーク上の位置情報に対応した通信制御ポリシを認証サーバから受信し、自端末に適用する機能部とを有し、
    　前記認証サーバは、
    　　移動通信端末からその位置情報及び／又はネットワーク上の位置情報を受信する機能部と、
    　　受信した位置情報及び／又はネットワーク上の位置情報に対応した通信制御ポリシを管理テーブルから検索する機能部と、
    　　検索された通信制御ポリシを対応する移動通信端末に送信する機能部とを有する
    　ことを特徴とするネットワークシステム。
  2. 　請求項１に記載のネットワークシステムにおいて、
    　前記移動通信端末は、前記ネットワーク上の位置情報の変化を、ＩＰアドレスの変化により検出する
    　ことを特徴とするネットワークシステム。
  3. 　請求項１に記載のネットワークシステムにおいて、
    　前記移動通信端末は、前記ネットワーク上の位置情報の変化を、無線アクセスポイントのＳＳＩＤの変化により検出する
    　ことを特徴とするネットワークシステム。
  4. 　請求項１に記載のネットワークシステムにおいて、
    　前記移動通信端末は、前記ネットワーク上の位置情報の変化を、無線アクセスポイントのＭＡＣアドレスの変化により検出する
    　ことを特徴とするネットワークシステム。
  5. 　請求項１に記載のネットワークシステムにおいて、
    　前記移動通信端末は、前記物理的な位置情報の変化を、前記移動通信端末が備えるＧＰＳの観測値が所定の緯度・経度の範囲を外れたことにより検出する
    　ことを特徴とするネットワークシステム。
  6. 　認証サーバと共にネットワークシステムを構成する移動通信端末であって、
    　自端末の物理的な位置情報及び／又はネットワーク上の位置情報の変化を検知する機能部と、
    　前記変化の検出時、認証サーバに対し、自端末の位置情報及び／又はネットワーク上の位置情報を送信する機能部と、
    　自端末の位置情報及び／又はネットワーク上の位置情報に対応した通信制御ポリシを認証サーバから受信し、自端末に適用する機能部と
    　を有することを特徴とする移動通信端末。
  7. 　認証サーバと共にネットワークシステムを構成する移動通信端末に搭載されるコンピュータに、
    　自端末の物理的な位置情報及び／又はネットワーク上の位置情報の変化を検知する機能と、
    　認証サーバに対し、変化を検出した自端末の位置情報及び／又はネットワーク上の位置情報を送信する機能と、
    　自端末の位置情報及び／又はネットワーク上の位置情報に対応した通信制御ポリシを認証サーバから受信し、自端末に適用する機能と
    　を実行させるためのプログラム。
PCT/JP2012/068756 2011-08-10 2012-07-25 ネットワークシステム、移動通信端末及びプログラム WO2013021814A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP12821570.4A EP2744251A4 (en) 2011-08-10 2012-07-25 NETWORK SYSTEM, MOBILE COMMUNICATION DEVICE AND PROGRAM
US14/238,100 US20140201808A1 (en) 2011-08-10 2012-07-25 Network system, mobile communication device and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011175295A JP5941632B2 (ja) 2011-08-10 2011-08-10 ネットワークシステム、移動通信端末及びプログラム
JP2011-175295 2011-08-10

Publications (1)

Publication Number Publication Date
WO2013021814A1 true WO2013021814A1 (ja) 2013-02-14

Family

ID=47668329

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/068756 WO2013021814A1 (ja) 2011-08-10 2012-07-25 ネットワークシステム、移動通信端末及びプログラム

Country Status (4)

Country Link
US (1) US20140201808A1 (ja)
EP (1) EP2744251A4 (ja)
JP (1) JP5941632B2 (ja)
WO (1) WO2013021814A1 (ja)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9913201B1 (en) 2015-01-29 2018-03-06 Symantec Corporation Systems and methods for detecting potentially illegitimate wireless access points
US10148688B1 (en) 2015-02-09 2018-12-04 Symantec Corporation Systems and methods for detecting illegitimate devices on wireless networks
US9730075B1 (en) 2015-02-09 2017-08-08 Symantec Corporation Systems and methods for detecting illegitimate devices on wireless networks
US9781604B1 (en) 2015-02-09 2017-10-03 Symantec Corporation Systems and methods for detecting illegitimate devices on wireless networks
US9882931B1 (en) 2015-02-18 2018-01-30 Symantec Corporation Systems and methods for detecting potentially illegitimate wireless access points
WO2016149624A1 (en) * 2015-03-18 2016-09-22 Pcms Holdings,Inc. Systems and methods for authorizing content and/or features based on detection of a radio device
US9781601B1 (en) * 2015-06-08 2017-10-03 Symantec Corporation Systems and methods for detecting potentially illegitimate wireless access points
US9918224B1 (en) 2015-11-24 2018-03-13 Symantec Corporation Systems and methods for preventing computing devices from sending wireless probe packets
US10142410B2 (en) * 2016-04-29 2018-11-27 Raytheon Company Multi-mode remote collaboration
JP6527838B2 (ja) * 2016-05-24 2019-06-05 ソフトバンク株式会社 プライベートネットワーク接続システム
US10348755B1 (en) 2016-06-30 2019-07-09 Symantec Corporation Systems and methods for detecting network security deficiencies on endpoint devices
US12001306B2 (en) * 2019-04-23 2024-06-04 Avanade Holdings Llc Cross-jurisdictional microservice-based cloud platform deployment
US11533312B2 (en) * 2019-07-10 2022-12-20 ColorTokens, Inc. Dynamically enforcing context sensitive network access control policies

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006303808A (ja) * 2005-04-19 2006-11-02 Sony Computer Entertainment Inc 無線ネットワークデバイス
JP2006304285A (ja) * 2005-03-31 2006-11-02 Newbury Networks Inc 無線クライアントのロケーションに基づいて無線ネットワーク・アクセス特権を制御する方法および装置
JP2008160803A (ja) * 2006-11-28 2008-07-10 Hitachi Ltd アクセス制御システム
JP2009124711A (ja) * 2008-12-08 2009-06-04 Panasonic Corp ローカルネットワーク相互接続における移動端末に対してネットワークに基づくトンネルを設定する方法
JP2009521845A (ja) * 2005-12-21 2009-06-04 ラウンドボックス，インク． セキュアなモジュール復号化ポリシーによる放送セッションキーの使用制限法
JP2010068427A (ja) * 2008-09-12 2010-03-25 Oki Electric Ind Co Ltd 情報制御システム、情報制御方法、および、移動中継装置
WO2010080966A1 (en) * 2009-01-09 2010-07-15 Interdigital Patent Holdings, Inc. Data flow mobility
JP2010239454A (ja) * 2009-03-31 2010-10-21 Ntt Docomo Inc 通信制御装置、通信システム、通信切替方法及びプログラム

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7526800B2 (en) * 2003-02-28 2009-04-28 Novell, Inc. Administration of protection of data accessible by a mobile device
JP2007520917A (ja) * 2003-11-12 2007-07-26 インターデイジタル テクノロジー コーポレーション 異なる種類のアクセス技術ネットワーク全体に対するアプリケーションサーバ自律アクセスのためのシステム
US20060183461A1 (en) * 2005-02-11 2006-08-17 Research In Motion Limited System and method of modifying policy settings in an electronic device
US20070185980A1 (en) * 2006-02-03 2007-08-09 International Business Machines Corporation Environmentally aware computing devices with automatic policy adjustment features
EP1895750B1 (en) * 2006-09-01 2010-06-16 Research In Motion Limited Method for disabling features on a mobile communication device based upon location, and device therefor
CN101953180A (zh) * 2007-12-31 2011-01-19 赛门铁克公司 用于政策与设置管理的方法与系统
KR101623603B1 (ko) * 2008-06-02 2016-05-23 이 아이 듀폰 디 네모아 앤드 캄파니 탁도가 낮은 봉지제 층을 가진 태양 전지 모듈
US20100018096A1 (en) * 2008-07-24 2010-01-28 Fein Nicole B Method of Stadium Advertising
US8387131B2 (en) * 2009-05-18 2013-02-26 Novell, Inc. Enforcing secure internet connections for a mobile endpoint computing device

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006304285A (ja) * 2005-03-31 2006-11-02 Newbury Networks Inc 無線クライアントのロケーションに基づいて無線ネットワーク・アクセス特権を制御する方法および装置
JP2006303808A (ja) * 2005-04-19 2006-11-02 Sony Computer Entertainment Inc 無線ネットワークデバイス
JP2009521845A (ja) * 2005-12-21 2009-06-04 ラウンドボックス，インク． セキュアなモジュール復号化ポリシーによる放送セッションキーの使用制限法
JP2008160803A (ja) * 2006-11-28 2008-07-10 Hitachi Ltd アクセス制御システム
JP2010068427A (ja) * 2008-09-12 2010-03-25 Oki Electric Ind Co Ltd 情報制御システム、情報制御方法、および、移動中継装置
JP2009124711A (ja) * 2008-12-08 2009-06-04 Panasonic Corp ローカルネットワーク相互接続における移動端末に対してネットワークに基づくトンネルを設定する方法
WO2010080966A1 (en) * 2009-01-09 2010-07-15 Interdigital Patent Holdings, Inc. Data flow mobility
JP2010239454A (ja) * 2009-03-31 2010-10-21 Ntt Docomo Inc 通信制御装置、通信システム、通信切替方法及びプログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
See also references of EP2744251A4
TATSUYA BABA: "Mastering IP Sec, 2nd edition", 23 August 2006, O'REILLY JAPAN, INC.

Also Published As

Publication number Publication date
US20140201808A1 (en) 2014-07-17
JP5941632B2 (ja) 2016-06-29
EP2744251A1 (en) 2014-06-18
EP2744251A4 (en) 2015-04-15
JP2013038716A (ja) 2013-02-21

Similar Documents

Publication Publication Date Title
JP5941632B2 (ja) ネットワークシステム、移動通信端末及びプログラム
US9820153B2 (en) Centralized access point provisioning system and methods of operation thereof
US11165869B2 (en) Method and apparatus for dynamic destination address control in a computer network
EP3806433B1 (en) Mac address replacement
US10200354B2 (en) Switching between networks
JP6582554B2 (ja) シンクライアントシステム、サーバ装置、ポリシー管理装置、制御方法及び制御プログラム
US9160751B2 (en) Mobile device management profile distribution
CN102427472A (zh) 远程控制移动通讯设备的装置与方法
JP2016167826A (ja) コンピュータユニットにアクセスする方法及び装置
KR102108000B1 (ko) 가상 사설망 접속 제어 시스템 및 방법
US20140122867A1 (en) Encryption and decryption of user data across tiered self-encrypting storage devices
JP2012074862A (ja) Ｖｐｎ接続システム
US10505892B2 (en) Method for transmitting at least one IP data packet, related system and computer program product
KR101473607B1 (ko) 가상 사설망 접근 제어장치 및 방법
US20160006643A1 (en) Communication system
JP6140029B2 (ja) 通信支援システム、通信支援方法、および、通信支援プログラム
CN107979657B (zh) 用于网络设备的dns地址处理方法及系统
KR101480263B1 (ko) 보안이 강화된 가상 사설망 서비스 시스템 및 방법
WO2015052085A1 (en) Systems and methods for command execution authorization
KR101125854B1 (ko) Ｎａｔ 이전의 사설 ｉｐ 주소 정보 획득 방법, 장치, 시스템 및 컴퓨터 판독 가능한 기록 매체
WO2017165043A1 (en) Mac address-bound wlan password
JP2014170444A (ja) ストレージシステム、ネットワークストレージシステム、スイッチ及びネットワーク接続制御方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12821570

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2012821570

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 14238100

Country of ref document: US