(57)【要約】  利用者端末やクライアント、及びサーバに対して問題が発生しても問題がないようにし、不特定の相手からの攻撃を根本的に防ぐことが可能な通信システムを提供する。調停サーバ１はサーバ３４（サーバＡ）に成り代わって外部からの攻撃を受け、ノード代表ＩＤ宛ての通信をリダイレクトして着信し、その通信に対して最初の認証を行い、信頼できる利用者端末やクライアント４２（クライアントＢ）であれば、その装置に対して仲介サーバ２を特定する仲介サーバＩＤ情報を提供する。仲介サーバ２は調停サーバ１を通過した利用者端末やクライアント４２（クライアントＢ）に対する２番目の認証を行い、利用者端末やクライアント４２（クライアントＢ）が信頼できることを確認すると、サーバ３４（サーバＡ）にＩＤを問い合わせ、サーバ３４（サーバＡ）から取得した追跡可能ＩＤ情報を利用者端末やクライアント４２（クライアントＢ）に提供する。
2008123015.tif 000002
【特許請求の範囲】
【請求項１】
利用者端末からサーバへのアクセス発生時にそのアクセスを前記サーバに成り代わって最初に受けかつ当該利用者端末の第１の認証を行う調停サーバと、
前記調停サーバによる第１の認証で信頼できる端末と確認された利用者端末に対して第２の認証を行う仲介サーバとを有し、
前記仲介サーバによる第２の認証で信頼できる端末と確認された利用者端末からの前記サーバへのアクセスを通過させることを特徴とする通信システム。
【請求項２】
前記調停サーバは、前記第１の認証で信頼できる端末と確認された利用者端末に対して前記仲介サーバの識別情報を提供し、
前記仲介サーバは、前記第２の認証で信頼できる端末と確認された利用者端末に対して前記サーバの識別情報の取得を仲介することを特徴とする請求項１記載の通信システム。
【請求項３】
前記仲介サーバは、前記利用者端末及び前記サーバに対する第２の認証を、少なくとも前記利用者端末及び前記サーバ各々との間の安全が確認された通信路の認証にて行うことを特徴とする請求項１または２記載の通信システム。
【請求項４】
前記安全が確認された通信路は、少なくとも前記利用者端末及び前記サーバ各々との間の加入者線の認証及びＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）の認証にて確認されることを特徴とする請求項３記載の通信システム。
【請求項５】
前記仲介サーバは、前記第２の認証にて信頼できる端末と確認した利用者端末の要求を受け、前記サーバに識別情報を問い合わせて当該サーバから取得した識別情報を当該利用者端末に提供することを特徴とする請求項１から４のうちのいずれか１項に記載の通信システム。
【請求項６】
前記サーバの識別情報は、少なくとも固定のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス及び動的なＩＰアドレスのいずれかであることを特徴とする請求項１から５のうちのいずれか１項に記載の通信システム。
【請求項７】
前記利用者端末と前記調停サーバとの間に配設されかつ前記利用者端末から前記サーバへのアクセス発生時に、前記調停サーバ及び前記仲介サーバを介して前記サーバの識別情報を取得する取得手段を含むことを特徴とする請求項１から６のうちのいずれか１項に記載の通信システム。
【請求項８】
前記取得手段は、前記調停サーバの識別情報を基に、前記仲介サーバの識別情報、前記サーバの識別情報を順次取得することを特徴とする請求項７記載の通信システム。
【請求項９】
前記調停サーバは、前記第１の認証で信頼できる端末と確認された利用者端末に対して、前記仲介サーバを介して取得した前記サーバの識別情報を提供することを特徴とする請求項１、３乃至６のうちのいずれか１項に記載の通信システム。
【請求項１０】
利用者端末からサーバへのアクセス発生時にそのアクセスを前記サーバに成り代わって最初に受けかつ当該利用者端末の第１の認証を行う調停サーバと、
前記調停サーバによる第１の認証で信頼できる端末と確認された利用者端末に対して第２の認証を行う仲介サーバとを有し、
前記仲介サーバによる第２の認証で信頼できる端末と確認された利用者端末からの前記サーバへのアクセスを通過させることを特徴とする信頼通信機構。
【請求項１１】
前記調停サーバが、前記第１の認証で信頼できる端末と確認された利用者端末に対して前記仲介サーバの識別情報を提供し、
前記仲介サーバが、前記第２の認証で信頼できる端末と確認された利用者端末に対して前記サーバの識別情報の取得を仲介することを特徴とする請求項１０記載の信頼通信機構。
【請求項１２】
前記仲介サーバが、前記利用者端末及び前記サーバに対する第２の認証を、少なくとも前記利用者端末及び前記サーバ各々との間の安全が確認された通信路の認証にて行うことを特徴とする請求項１０または１１記載の信頼通信機構。
【請求項１３】
前記安全が確認された通信路は、少なくとも前記利用者端末及び前記サーバ各々との間の加入者線の認証及びＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）の認証にて確認されることを特徴とする請求項１２記載の信頼通信機構。
【請求項１４】
前記仲介サーバが、前記第２の認証にて信頼できる端末と確認した利用者端末の要求を受け、前記サーバに識別情報を問い合わせて当該サーバから取得した識別情報を当該利用者端末に提供することを特徴とする請求項１０から１２のうちのいずれか１項に記載の信頼通信機構。
【請求項１５】
前記サーバの識別情報が、少なくとも固定のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス及び動的なＩＰアドレスのいずれかであることを特徴とする請求項１０から１４のうちのいずれか１項に記載の信頼通信機構。
【請求項１６】
前記利用者端末と前記調停サーバとの間に配設されかつ前記利用者端末から前記サーバへのアクセス発生時に、前記調停サーバ及び前記仲介サーバを介して前記サーバの識別情報を取得する取得手段を含むことを特徴とする請求項１０から１５のうちのいずれか１項に記載の信頼通信機構。
【請求項１７】
前記取得手段が、前記調停サーバの識別情報を基に、前記仲介サーバの識別情報、前記サーバの識別情報を順次取得することを特徴とする請求項１６記載の信頼通信機構。
【請求項１８】
前記調停サーバが、前記第１の認証で信頼できる端末と確認された利用者端末に対して、前記仲介サーバを介して取得した前記サーバの識別情報を提供することを特徴とする請求項１０、１２乃至１５のうちのいずれか１項に記載の信頼通信機構。
【請求項１９】
調停サーバにて、利用者端末からサーバへのアクセス発生時にそのアクセスを前記サーバに成り代わって最初に受け、当該利用者端末の第１の認証を行い、
仲介サーバにて前記調停サーバによる第１の認証で信頼できる端末と確認された利用者端末に対して第２の認証を行い、
前記仲介サーバによる第２の認証で信頼できる端末と確認された利用者端末からの前記サーバへのアクセスを通過させることを特徴とする通信方法。
【請求項２０】
前記調停サーバが、前記第１の認証で信頼できる端末と確認された利用者端末に対して前記仲介サーバの識別情報を提供し、
前記仲介サーバが、前記第２の認証で信頼できる端末と確認された利用者端末に対して前記サーバの識別情報の取得を仲介することを特徴とする請求項１９記載の通信方法。
【請求項２１】
前記仲介サーバが、前記利用者端末及び前記サーバに対する第２の認証を、少なくとも前記利用者端末及び前記サーバ各々との間の安全が確認された通信路の認証にて行うことを特徴とする請求項１９または２０記載の通信方法。
【請求項２２】
前記安全が確認された通信路は、少なくとも前記利用者端末及び前記サーバ各々との間の加入者線の認証及びＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）の認証にて確認されることを特徴とする請求項２１記載の通信方法。
【請求項２３】
前記仲介サーバが、前記第２の認証にて信頼できる端末と確認した利用者端末の要求を受け、前記サーバに識別情報を問い合わせて当該サーバから取得した識別情報を当該利用者端末に提供することを特徴とする請求項１９から２２のうちのいずれか１項に記載の通信方法。
【請求項２４】
前記サーバの識別情報が、少なくとも固定のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス及び動的なＩＰアドレスのいずれかであることを特徴とする請求項１９から２３のうちのいずれか１項に記載の通信方法。
【請求項２５】
前記利用者端末と前記調停サーバとの間に配設されかつ前記利用者端末から前記サーバへのアクセス発生時に、前記調停サーバ及び前記仲介サーバを介して前記サーバの識別情報を取得する取得手段を設けたことを特徴とする請求項１９から２４のうちのいずれか１項に記載の通信方法。
【請求項２６】
前記取得手段が、前記調停サーバの識別情報を基に、前記仲介サーバの識別情報、前記サーバの識別情報を順次取得することを特徴とする請求項２５記載の通信方法。
【請求項２７】
前記調停サーバが、前記第１の認証で信頼できる端末と確認された利用者端末に対して、前記仲介サーバを介して取得した前記サーバの識別情報を提供することを特徴とする請求項１９、２１乃至２４のうちのいずれか１項に記載の通信方法。
【請求項２８】
前記サーバの識別情報は、通信相手毎に割り当てられかつ宛先アドレスだけで発信元を特定可能とする追跡可能ＩＤ（Ｔｒａｃｅａｂｌｅ  Ｐｒｉｖａｔｅ  ＩＤ）であることを特徴とする請求項５から９のうちのいずれか１項に記載の通信システム。
【請求項２９】
前記サーバの識別情報は、通信相手毎に割り当てられかつ宛先アドレスだけで発信元を特定可能とする追跡可能ＩＤ（Ｔｒａｃｅａｂｌｅ  Ｐｒｉｖａｔｅ  ＩＤ）であることを特徴とする請求項１４から１８のうちのいずれか１項に記載の信頼通信機構。
【請求項３０】
前記サーバの識別情報は、通信相手毎に割り当てられかつ宛先アドレスだけで発信元を特定可能とする追跡可能ＩＤ（Ｔｒａｃｅａｂｌｅ  Ｐｒｉｖａｔｅ  ＩＤ）であることを特徴とする請求項２３から２７のうちのいずれか１項に記載の通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システム、信頼通信機構及びそれらに用いる通信方法に関し、特に、信頼性のあるクライアント及びサーバからなる通信システムにおいて攻撃（Attack）や不正アクセス等から防御するための通信方法に関する。
【背景技術】
【０００２】
近年、インターネット通信においては、コンピュータウィルスやスパム（SPAM）メール、スパイウェア、フィッシング詐欺、ワンクリック（あるいは、ツークリック）詐欺が問題となっている。また、そのインターネット通信において、コンテンツ等の情報を発信するサーバ側に対しては、ＤｏＳ（Denial of Service）や不特定の相手からの攻撃（不正アクセス）が脅威となっている。さらに、公衆電話網やＩＰ（Internet Protocol）電話網においても、従来からのいたずら電話や無言電話のほかに、スパムやフィッシング詐欺、振り込め詐欺等の電話が発生している。【０００３】
このため、電話や電話帳で求める機能としては、受信の場合、信頼できる相手からの電話にしか応答しない機能、つまりいたずら電話や振り込め詐欺の電話の受信を拒否する機能が求められている。上記の問題を回避するために、受信／発信の場合の機能としては、発信者の確実な身元証明として発信者番号通知（Number Display）の機能がある。また、受信の場合の方法としては、面識のない相手からの電話をまず取次担当者で受け、取次担当者に取次いでもらうという方法がある。さらに、発信／受信の場合の方法としては、電話番号を公衆電話帳に載せず、しかも電話番号を信頼できる相手にしか教えないという方法もある。【０００４】
発信の通信先指定としては、自分の電話帳または信頼できる電話帳サービスの情報を使って指定したり、発信の場合に無効になった番号を案内したり、発信の際に自分に代って、秘書に電話をつないでもらってから相手と話をするという方法も考えられる。但し、発信の場合には、発信者の身元ははっきりしているが、どこから電話しているか分からなくしたい状態（Location Privacy）を実現できないという問題もある。【０００５】
一方、インターネットにおいても、サイトのセキュリティを守るための対処方法としては、ＮＡＴ（Network Address Translation）を使う方法、ＤＭＺ（DeMilitarized Zone）やファイアウォール（Firewall）等の、サイトの水際（border）での対処方法もある。この種の対処方法は、例えば、特許文献１（特開２００４−２４８１８５号公報）、特許文献２（特開２００４−２４８１９８号公報）及び特許文献３（特開２００６−０５００８１号公報）に開示されている。【０００６】
この場合、攻撃が発生した際に、サイトには、普通の利用者が閲覧できない等、どうしても影響が出てしまう。また、攻撃が発生した場合の復旧・対処については、攻撃に根本的に対処しないと、復旧することができない。サイトのサーバ（Server）へのアクセスおよび待機方法については、全ての相手に同じ、１つの固定アドレスを用いて常時待機しているため、攻撃を受ける可能性が高いという弱点がある。
【特許文献１】特開２００４−２４８１８５号公報
【特許文献２】特開２００４−２４８１９８号公報
【特許文献３】特開２００６−０５００８１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上述した従来の通信システムでは、着信（グローバルアクセス）の際に、上述したような攻撃や不正アクセス等の問題からサイトや端末を根本的に守ることができないという課題がある。また、上記の問題が発生した場合には、通常の通信にも影響を与えてしまうという課題がある。【０００８】
上記に鑑みて本発明の目的は、利用者端末、クライアントあるいはサーバに対する不特定の相手からの攻撃を防ぐことができる通信システム、信頼通信機構及びそれらに用いる通信方法を提供することにある。
【課題を解決するための手段】
【０００９】
本発明による通信システムは、利用者端末からサーバへのアクセス発生時にそのアクセスを前記サーバに成り代わって最初に受けかつ当該利用者端末の第１の認証を行う調停サーバと、前記調停サーバによる第１の認証で信頼できる端末と確認された利用者端末に対して第２の認証を行う仲介サーバとを備え、前記仲介サーバによる第２の認証で信頼できる端末と確認された利用者端末からの前記サーバへのアクセスを通過させている。【００１０】
本発明による信頼通信機構は、利用者端末からサーバへのアクセス発生時にそのアクセスを前記サーバに成り代わって最初に受けかつ当該利用者端末の第１の認証を行う調停サーバと、前記調停サーバによる第１の認証で信頼できる端末と確認された利用者端末に対して第２の認証を行う仲介サーバとを有し、前記仲介サーバによる第２の認証で信頼できる端末と確認された利用者端末からの前記サーバへのアクセスを通過させている。【００１１】
本発明による通信方法は、調停サーバにて、利用者端末からサーバへのアクセス発生時にそのアクセスを前記サーバに成り代わって最初に受け、当該利用者端末の第１の認証を行い、仲介サーバにて前記調停サーバによる第１の認証で信頼できる端末と確認された利用者端末に対して第２の認証を行い、前記仲介サーバによる第２の認証で信頼できる端末と確認された利用者端末からの前記サーバへのアクセスを通過させている。【００１２】
すなわち、本発明の通信システムは、利用者端末やクライアントからのアクセスに対する調停サーバ（Ｍｏｄｅｒａｔｏｒ）による認証と、その認証で信頼できることが確認された利用者端末やクライアントに対する仲介サーバ（Ｂｒｏｋｅｒ）による認証とを行うことによって、サーバに対する攻撃から防御することを可能としている。この場合、本発明の通信システムでは、仲介サーバが利用者端末やクライアントに対する認証のみでなく、サーバに対する認証をも行っているので、信頼できる利用者端末やクライアントから、信頼できるサーバへのアクセスを実現可能としている。【００１３】
調停サーバは、サーバに成り代わって外部からの攻撃を最初に受けるべく配置された装置であり、サーバにアクセスするために用いられるノード代表ＩＤ（ＩＰアドレス等の識別情報）宛ての通信を着信するとリダイレクト（redirect）し、その通信に対して最初の認証（例えば、ソースアドレスの認証等）を行い、アクセス要求を発した端末が信頼できる利用者端末やクライアントであることを確認した場合に、その装置に対して仲介サーバを特定する仲介サーバＩＤ情報を提供する。この場合、調停サーバは、仲介サーバに対して、ノード代表ＩＤに対してアクセスがあったことを通知する。【００１４】
仲介サーバは、調停サーバによる認証を通過した利用者端末やクライアントの２番目の認証（例えば、特定サイトからの着信かどうかの認証等）を行う。この場合、仲介サーバは、利用者端末やクライアントに対する認証、サーバに対する認証、その他のセキュリティチェック等を、利用者端末やクライアント、及びサーバとの間の物理線や加入者線の認証によって行う。【００１５】
仲介サーバは、利用者端末やクライアントからの要求を受け、サーバにＩＤ情報を問い合わせ、サーバから取得した追跡可能ＩＤ（Traceable Private ID）情報を利用者端末やクライアントに提供する。サーバ側のセキュリティゲートウェイは、サーバへのアクセスを追跡可能ＩＤによって検証する。追跡可能ＩＤは、固定のＩＰアドレスでも、動的なＩＰアドレスでもよく、サーバに対してアクセスしてきた利用者端末やクライアントに対応付けることで、宛先アドレスだけで発信元を特定することが可能となる。【００１６】
このように、本発明の通信システムでは、ノード代表ＩＤ宛ての通信を調停サーバにて着信してリダイレクトまたはブロックするとともに、仲介サーバにて信頼関係を仲介し、信頼できる相手のみに追跡可能ＩＤ情報を提供することで、利用者端末、クライアントあるいはサーバに対して問題が発生してから対処するのではなく、不特定の相手からの攻撃を根本的に防ぐことが可能となる。【００１７】
また、本発明の通信システムでは、サーバに対するＤｏＳ（Denial of Service）攻撃が発生しても、調停サーバを他のノード代表ＩＤを持つ調停サーバに切替えることで、その問題を根本的に解決することが可能となる。【００１８】
上述したように、本発明の信頼通信機構は、
（ａ）受信：仲介サーバで信頼関係を仲介し、
（ｂ）受信／発信  追跡可能ＩＤを利用し（宛先アドレスだけで発信元が特定可能）、
（ｃ）受信：ノード代表ＩＤ宛ての通信を調停サーバで着信、リダイレクトまたはブロックし、
（ｄ）発信／受信：仲介サーバで情報を集める信頼できるコミュニティの形成を行い、
（ｅ）発信：仲介サーバを介する信頼通信機構を用い、信頼できる相手のみ追跡可能ＩＤ情報を提供し、
（ｆ）発信：無効になった追跡可能ＩＤの通知を行い、
（ｇ）発信：自サイトのセキュリティゲートウェイで追跡可能ＩＤの代理Ｒｅｓｏｌｖｉｎｇと接続し、
（ｈ）発信：ノード代表ＩＤによって自分の場所を保護、追跡可能ＩＤで相手を特定する、
という特徴を持つ。
【発明の効果】
【００１９】
本発明は、上記のような構成と動作により、利用者端末、クライアントあるいはサーバに対する不特定の相手からの攻撃を根本的に防ぐことができるという効果が得られる。
【図面の簡単な説明】
【００２０】
【図１】図１は、本発明の第１の実施形態による通信システムの構成を示すブロック図である。
【図２】図２は、本発明の第１の実施形態による通信システムの動作を示すシーケンスチャートである。
【図３】図３は、本発明の第１の実施形態による通信システムの動作を示すシーケンスチャートである。
【図４】図４は、本発明の第１の実施形態による信頼通信機構の適用モデルを示す図である。
【図５】図５は、本発明の第１の実施形態による信頼通信機構の適用モデルを示す図である。
【図６】図６は、本発明の第１の実施形態による信頼通信機構の適用モデルを示す図である。
【図７】図７は、本発明の第１の実施形態による通信システムでの攻撃防止方法を示すシーケンスチャートである。
【図８】図８は、本発明の第１の実施形態による通信システムでの攻撃防止方法を示すシーケンスチャートである。
【図９】図９は、本発明の第１の実施形態による通信システムの動作を示すシーケンスチャートである。
【図１０】図１０は、本発明の第２の実施形態による通信システムの構成を示すブロック図である。
【図１１】図１１は、本発明の第２の実施形態による通信システムの動作を示すシーケンスチャートである。
【図１２】図１２は、本発明の第２の実施形態による通信システムの動作を示すシーケンスチャートである。
【図１３】図１３は、本発明の第３の実施形態による通信システムの動作を示すシーケンスチャートである。
【図１４】図１４は、本発明の第３の実施形態による通信システムの動作を示すシーケンスチャートである。
【発明を実施するための最良の形態】
【００２１】
次に、本発明の実施例について図面を参照して説明する。【００２２】
（第１の実施形態）
図１は本発明の第１の実施形態による通信システムの構成を示すブロック図である。図１において、本発明の第１の実施形態による通信システムは、調停サーバ（Moderator）１と仲介サーバ（Broker）２とセキュリティゲートウェイ３１，４１（セキュリティゲートウェイＡ，Ｂ：Security GateWays A, B）とからなる信頼通信機構を含む。通信システムは、さらに、セキュリティゲートウェイ３１，４１（セキュリティゲートウェイＡ，Ｂ）と同じサイト１００，２００内のサーバ３４（サーバＡ）と、クライアント４２（クライアントＢ）と、ＤＮＳ（Domain Name System）サーバ５とを含んでいる。【００２３】
調停サーバ１は、サーバ３４（サーバＡ）に成り代わって、信頼できないクライアント６（クライアントＸ）からの攻撃（Attack）を最初に受ける装置であり、ソースアドレスチェック部１１及び仲介サーバＩＤ保持部１２とを備えている。【００２４】
調停サーバ１は、ノード代表ＩＤであるＮＩＤ＿ＦＱＤＮ（Fully-Qualified Domain Name：絶対ドメイン名）を基にＤＮＳサーバ５で検索されて得た、すなわちリゾルブ（resolve）されたアドレス情報（ＮＩＤ＿ＩＰ）宛ての通信を着信すると、その通信をリダイレクト（redirect）し、その通信に対してソースアドレスチェック部１１にて最初の認証を行う。調停サーバ１は、アクセス要求を発した端末がその認証で信頼できる利用者端末であることが確認できると、その利用者端末に対して仲介サーバＩＤ保持部１２の仲介サーバＩＤ情報を提供するとともに、仲介サーバ２にノード代表ＩＤへのアクセスがあったことを通知する。【００２５】
例えば、ソースアドレスチェック部１１は、アドレス情報（ＮＩＤ＿ＩＰ）宛ての通信のソースアドレスをチェックし、ソースアドレスが予め設定された所定のアドレス範囲以外の場合にその通信を接続拒否し、ソースアドレスが所定のアドレス範囲内の場合に仲介サーバＩＤ保持部１２の仲介サーバＩＤ情報を提供する。最初の認証としては、上記のソースアドレスチェック以外の確認方法も適用可能である。【００２６】
ここで、ノード代表ＩＤは、サーバ３４（サーバＡ）にアクセスするために用いられるＩＤであり、公開情報で恒久的な情報（ＮＩＤ＿ＦＱＤＮ）であり、ＤＮＳサーバ５によってアドレス情報（ＮＩＤ＿ＩＰ）（すなわち、調停サーバ１が代ることにより変わるアドレス）に対応付けられて管理されている。仲介サーバＩＤは、追跡可能ＩＤを取得する位置を示すＩＤである。この追跡可能ＩＤは、通信相手毎に割り当てられるＩＤ（すなわち、固定アドレスまたは動的アドレス）であり、安全な経路経由で仲介サーバ２から入手可能である。【００２７】
仲介サーバ２は、調停サーバ１で認証されたクライアント４２（クライアントＢ）や信頼できないクライアント６（クライアントＸ）の２番目の認証を行う装置であり、セキュリティチェック部２１及び追跡可能ＩＤ仲介部２２を備えている。セキュリティチェック部２１による２番目の身元確認は、例えば、サーバ３４（サーバＡ）及びクライアント４２（クライアントＢ）の認証やセキュリティチェックとして、サーバ３４（サーバＡ）及びクライアント４２（クライアントＢ）の加入者線が信頼できる経路（安全が確認された通信路）かどうか、あるいはサーバ３４（サーバＡ）及びクライアント４２（クライアントＢ）が信頼できるサイト１００，２００に所属しているかどうかを認証することで行うことができる。この加入者線が信頼できる経路かどうかは、サーバ３４（サーバＡ）及びクライアント４２（クライアントＢ）からの加入者線を収容する交換局等に基づいて確認可能である。【００２８】
仲介サーバ２は、追跡可能ＩＤ仲介部２２にてクライアント４２（クライアントＢ）の要求を受け、追跡可能ＩＤをサーバ３４（サーバＡ）に問い合わせ、サーバ３４（サーバＡ）から取得した追跡可能ＩＤ情報をクライアント４２（クライアントＢ）に提供する。尚、仲介サーバ２は、上記の信頼できないクライアント６（クライアントＸ）に対するセキュリティチェックをしたときは、クライアント６が信頼できるサイト１００，２００に所属していないと判断し、クライアント６からのアクセスを拒否する。【００２９】
セキュリティゲートウェイ３１（セキュリティゲートウェイＡ）は、仲介サーバ２との間に形成された信頼できる経路を通したサーバ３４（サーバＡ）へのアクセスを追跡可能ＩＤによって検証する装置であり、セキュリティゲートウェイ３２及び追跡可能ＩＤ管理サーバ３３を備えている。尚、セキュリティゲートウェイ３１，４１（セキュリティゲートウェイＡ，Ｂ）は、仲介サーバ２との間に信頼できる経路、例えばＩＰｓｅｃ（IP security protocol）でのトンネルによるＶＰＮ（Virtual Private Network）や専用線等のように、それ以外の経路は塞いであるものとする。【００３０】
図２及び図３は本発明の第１の実施形態による通信システムの動作を示すシーケンスチャートである。これら図１〜図３を参照して本発明の第１の実施形態による通信システムの動作について説明する。尚、本実施形態では、動作を開始する前に、事前に、調停サーバ１にアドレス情報（ＮＩＤ＿ＩＰ）が設定され、ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）とアドレス情報（ＮＩＤ＿ＩＰ）との対がＤＮＳサーバ５に登録されているものとする。【００３１】
クライアント４２（クライアントＢ）は、通信を開始し（図２のステップａ１）、アドレス情報（ＮＩＤ＿ＩＰ）を検索するためにＤＮＳサーバ５に"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を出力する（図２のステップａ２，ａ３）。ＤＮＳサーバ５は、"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を基にアドレス解決を行い（図２のステップａ４）、そのアドレス解決の結果であるアドレス情報（ＮＩＤ＿ＩＰ）をクライアント４２（クライアントＢ）に送る（図２のステップａ５）。クライアント４２（クライアントＢ）は、ＤＮＳサーバ５から得たアドレス情報（ＮＩＤ＿ＩＰ）を基に、セキュリティゲートウェイ４１（セキュリティゲートウェイＢ）を介して調停サーバ１に接続要求を送信する（図２のステップａ６，ａ７）。【００３２】
調停サーバ１は、クライアント４２（クライアントＢ）からの接続要求に対してソースアドレスチェックを行い（図２のステップａ８）、チェックＯＫであれば、仲介サーバＩＤ保持部１２の仲介サーバＩＤをクライアント４２（クライアントＢ）に通知する（図２のステップａ９，ａ１０）。この時、調停サーバ１は、仲介サーバ２に対してクライアント４２（クライアントＢ）からアクセスがあったことを通知する（図２のステップａ１１）。【００３３】
クライアント４２（クライアントＢ）は、調停サーバ１からの仲介サーバＩＤをセキュリティゲートウェイ４１（セキュリティゲートウェイＢ）を介して受取り、その仲介サーバＩＤが入力されると（図２のステップａ１２）、セキュリティゲートウェイ４１（セキュリティゲートウェイＢ）を介して仲介サーバ２に接続要求を送る（図２のステップａ１３）。【００３４】
仲介サーバ２は、クライアント４２（クライアントＢ）から接続要求を受取ると、サーバ３４（サーバＡ）及びクライアント４２（クライアントＢ）各々が信頼できる経路で接続されているか、あるいは信頼できるサイト１００，２００に所属しているかどうかのセキュリティチェックを行う（図３のステップａ１４）。仲介サーバ２は、サーバ３４（サーバＡ）及びクライアント４２（クライアントＢ）各々が信頼できる経路で接続されていれば、あるいは信頼できるサイト１００，２００に所属していれば、セキュアなクライアント４２（クライアントＢ）から接続要求があることを、セキュリティゲートウェイ３２に通知する（図３のステップａ１５，ａ１６）。【００３５】
セキュリティゲートウェイ３２では、クライアント４２（クライアントＢ）から接続要求があることが通知されると、その通知をサーバ３４（サーバＡ）に送る（図３のステップａ１７）。サーバ３４（サーバＡ）は、セキュリティゲートウェイ３２から要求の通知を受けると、追跡可能ＩＤ管理サーバ３３に追跡可能ＩＤの生成を指示する（図３のステップａ１８，ａ１９）。追跡可能ＩＤ管理サーバ３３はサーバ３４（サーバＡ）からＩＤ生成指示を受けると、追跡可能ＩＤを生成または読出し（図３のステップａ２０）、その追跡可能ＩＤをクライアント４２（クライアントＢ）に払出す（図３のステップａ２１，ａ２２）。この時、追跡可能ＩＤ管理サーバ３２はその追跡可能ＩＤをサーバ３４（サーバＡ）に対しても払出す（図３のステップａ２３）。【００３６】
クライアント４２（クライアントＢ）は仲介サーバ２及びセキュリティゲートウェイ３１，４１（セキュリティゲートウェイＡ，Ｂ）を通して追跡可能ＩＤ管理サーバ３３から追跡可能ＩＤを受取り、その追跡可能ＩＤを出力し（図３のステップａ２４，ａ２５）、サーバ３４（サーバＡ）に対して接続する（図３のステップａ２６，ａ２９）。【００３７】
この時、セキュリティゲートウェイ３１（セキュリティゲートウェイＡ）のセキュリティゲートウェイ３２は、仲介サーバ２との間に形成された信頼できる経路を通したサーバ３４（サーバＡ）へのアクセスを追跡可能ＩＤによって検証する（図３のステップａ２８）。この後、クライアント４２（クライアントＢ）は、Ｗｅｂページブラウジングを開始し（図３のステップａ２７）、サーバ３４（サーバＡ）にアクセスしてデータを取得して表示する（図３のステップａ３０，ａ３１）。尚、上記のステップａ１４〜ａ２３の処理は、クライアント４２（クライアントＢ）に見えないアドミン・ドメイン（Admin Domain）での処理である。【００３８】
図４〜図６は、本発明の第１の実施形態による信頼通信機構の適用モデルを示す図である。図４は、信頼通信機構の仲介サーバ２によって利用者ネットワークから内部のネットワークに安全に着信するセンタ着信型のモデルを示しており、例えば、サービスプロバイダと契約している利用者のみが、サービスプロバイダから着信可能となっている。このモデルでは、サーバ３４（サーバＡ）へのＤｏＳ（Denial of Service）攻撃等からの防御が可能になる。【００３９】
図５は、信頼通信機構の仲介サーバ２によって内部のネットワークから利用者ネットワークに安全に着信するエッジ着信型のモデルを示しており、例えば、権限のあるものだけが、利用者宅のネットワークにリモートアクセスすることが可能となっている。このモデルでは、利用者のリモートアクセスだけでなく、安全なプッシュ型サービスにも適用することができる。【００４０】
図６は、信頼通信機構の仲介サーバ２を介して利用者間のネットワークを安全につなぐグローバルアクセス型のモデルを示しており、例えば、コミュニティを構成した仲間（離れた場所に住む家族等）であれば、利用者間のネットワークを安全につなぐことができる。このモデルでは、不正アクセスを事前に防止し、コミュニティ内で安全な情報共有が可能となる。【００４１】
図７及び図８は、本発明の第１の実施形態による通信システムでの攻撃防止方法を示すシーケンスチャートである。これら図７及び図８を参照して、信頼できないクライアント６（クライアントＸ）（悪意の利用者端末）からのサーバ３４（サーバＡ）への攻撃を防止する方法について説明する。【００４２】
信頼できないクライアント６（クライアントＸ）が、漏洩したアドレス情報（ＮＩＤ＿ＩＰ）、あるいはノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）のアドレス解決で得たアドレス情報（ＮＩＤ＿ＩＰ）を基に、サーバ３４（サーバＡ）に対して不正アクセスやＤｏＳ攻撃等を実行した場合（図７のステップｂ１，ｂ２，ｂ３）、調停サーバ１は、クライアント６（クライアントＸ）からの接続要求に付加されたソースアドレスのチェックを行い（図７のステップｂ４）、ソースアドレスが予め設定された所定のアドレス範囲以外の場合にその通信を接続拒否する（図７のステップｂ５，ｂ６）。これによって、本実施形態では、調停サーバ１にてクライアント６（クライアントＸ）からの不正アクセスやＤｏＳ攻撃等から防御することができる。【００４３】
また、信頼できないクライアント６（クライアントＸ）が、漏洩したアドレス情報（ＮＩＤ＿ＩＰ）、あるいはノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）のアドレス解決で得たアドレス情報（ＮＩＤ＿ＩＰ）を基に、サーバ３４（サーバＡ）に対して不正アクセスやＤｏＳ攻撃等を実行した場合（図８のステップｃ１，ｃ２，ｃ３）、調停サーバ１は、クライアント６（クライアントＸ）からの接続要求に付加されたソースアドレスのチェックを行い（図８のステップｃ４）、ソースアドレスが予め設定された所定のアドレス範囲内の場合に仲介サーバＩＤ保持部１２の仲介サーバＩＤ情報をクライアント６（クライアントＸ）に提供する（図８のステップｃ５，ｃ６）。この時、調停サーバ１は、仲介サーバ２に対してクライアント６（クライアントＸ）からアクセスがあったことを通知する（図８のステップｃ７）。【００４４】
クライアント６（クライアントＸ）は、調停サーバ１からの仲介サーバＩＤを受取り、その仲介サーバＩＤが入力されると（図８のステップｃ８）、仲介サーバ２に接続要求を送る（図８のステップｃ９）。仲介サーバ２は、クライアント６（クライアントＸ）から接続要求を受取ると、サーバ３４（サーバＡ）及びクライアント６（クライアントＸ）各々が信頼できる経路で接続されているか、あるいは信頼できるサイト１００，２００に所属しているかどうかのセキュリティチェックを行う（図８のステップｃ１０）。【００４５】
仲介サーバ２は、クライアント６（クライアントＸ）が信頼できる経路で接続されていなければ、あるいは信頼できるサイト１００，２００に所属していなければ、クライアント６（クライアントＸ）からのアクセスを拒否する（図８のステップｃ１１，ｃ１２）。【００４６】
図９は、本発明の第１の実施形態による通信システムの動作を示すシーケンスチャートである。図９においては、ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）に対応するアドレス情報（ＮＩＤ＿ＩＰ）が存在しない場合のＤＮＳサーバ５のＤＮＳ処理を示している。【００４７】
クライアント４２（クライアントＢ）は通信を開始し（図９のステップｄ１）、アドレス情報（ＮＩＤ＿ＩＰ）を検索するためにＤＮＳサーバ５に"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を出力する（図９のステップｄ２，ｄ３）。ＤＮＳサーバ５は、"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を基にアドレス解決を行う（図９のステップｄ４）。ＤＮＳサーバ５は、そのアドレス解決の結果、ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）に対応するアドレス情報（ＮＩＤ＿ＩＰ）が存在しない場合（図９のステップｄ５）、そのＤＮＳ処理がタイムアウトとなると（図９のステップｄ６）、通常のＤＮＳ処理を実行して得たＩＰアドレスをクライアント４２（クライアントＢ）に送信する（図９のステップｄ７）。クライアント４２（クライアントＢ）は、ＤＮＳサーバ５から得たＩＰアドレスを出力する（図９のステップｄ８）。【００４８】
このように、本実施形態では、信頼通信機構によってグローバルアクセス環境の脅威を防止し、ネットワーク層のＩＤ管理（例えば、名前解決（Resolving）やＩＤの生成・払出・消滅）を行うとともに、調停サーバ１がサーバ３４（サーバＡ）に成り代わって悪意の利用者端末（すなわち、信頼できないクライアント６（クライアントＸ））からの不正アクセスやＤｏＳ攻撃等を受けることで、信頼できる相手装置（すなわち、サーバ３４（サーバＡ）とクライアント４２（クライアントＢ））のみとの通信を容易に実現することができる。【００４９】
これによって、本実施形態では、調停サーバ１がサーバ３４（サーバＡ）に成り代わってクライアント４２（クライアントＢ）や悪意の利用者端末（すなわち、信頼できないクライアント６（クライアントＸ））からの通信を着信するので、従来のように、それらの着信をサイト１００の水際で行うのではなく、サーバ３４（サーバＡ）にたどり着く前に受けるサイト１００への脅威やプライバシー漏洩等の課題の両方を解決することができる。【００５０】
この場合の脅威を防止する具体的サービスについては、キャリアにおけるサービスを信頼できる仲介サーバ２が担い、ｘＳＰ（x Service Provider）におけるサービスを調停サーバ１（成り代わり装置）が担い、エッジサイトにおけるサービスをセキュリティゲートウェイ３１，４１（セキュリティゲートウェイＡ，Ｂ）が担うことができる。【００５１】
本実施形態では、攻撃を従来のような自サイトのファイアウォール（Firewall）やＮＡＴ（Network Address Translation）で防御するのではなく、攻撃が自サイト１００にたどり着く前に調停サーバ１及び仲介サーバ２で受けているので、攻撃を受けても自サイト１００に直接的な影響はでない。【００５２】
このように、本実施形態では、ＩＰ（Internet Protocol）層でプライバシー情報を保護した上で、ＡＰ（アプリケーション）を変えることなく、信頼関係を構築する信頼通信アーキテクチャを実現することができる。この信頼通信アーキテクチャでは、外部からの攻撃（Attack）の防止方法として、外部からの攻撃が自サイト１００にたどり着く前に、調停サーバ１及び仲介サーバ２でその攻撃が防御されている。【００５３】
また、信頼通信アーキテクチャでは、攻撃が発生した際の自サイト１００への影響としては、攻撃が自サイト１００から離れた場所で生じているので、自サイト１００への影響はない。さらに、信頼通信アーキテクチャでは、攻撃が発生した場合の復旧・対処として、調停サーバ１を停止させれば（使用しなければ）、容易に復旧することができ、他の調停サーバでサービスを継続することができる。上記の調停サーバ１や他の調停サーバは、サーバ３４（サーバＡ）から離れた場所（例えば、異なる市や町、あるいは他の国）に設置することも可能である。【００５４】
さらにまた、信頼通信アーキテクチャでは、サーバ３４（サーバＡ）へのアクセス待機方法として、相手毎に異なる、固定アドレスまたは複数の動的アドレスを用いており、サーバ３４（サーバＡ）においてアクセスが予想される時（仲介サーバ２からアクセスがあることが通知された時）のみ待機している。この場合、自サイト１００またはサーバ３４（サーバＡ）のプライバシ情報（すなわち、"Location Privacy"を示す情報；自サイト１００またはサーバ３４がどこにあるかを示すサイト内情報）が不特定の外部の相手に漏れることはない。【００５５】
つまり、本実施形態では、仲介サーバ２によって、クライアント４２（クライアントＢ）や悪意の利用者端末（すなわち、信頼できないクライアント６（クライアントＸ））との間で認証を行うだけでなく、サーバ３４（サーバＡ）の認証をも行うことができる。また、本実施形態では、調停サーバ１によるサービスが、サーバ３４（サーバＡ）の本体を自宅等に置いたままで、ホスティング（Hosting）サービスを実現しているようなものである。【００５６】
（第２の実施形態）
図１０は、本発明の第２の実施形態による通信システムの構成を示すブロック図である。図１０において、本発明の第２の実施形態による通信システムは、セキュリティゲートウェイ４１（セキュリティゲートウェイＢ）及びクライアント４２（クライアントＢ）のサイト２０１内にＤＮＳサーバ（Wrapper）４３を配設し、ＤＮＳサーバ４３をサイト２０１外の分散ＤＢ（分散データベース）サーバ７に接続するようにした以外は、図１に示す本発明の第１の実施形態による通信システムと同様の構成を有している。図１０と図１において、同一構成要素には本発明の第１の実施形態と同様の符号を付してある。また、同一構成要素の動作は上述した本発明の第１の実施形態と同様である。【００５７】
ここで、分散ＤＢサーバ７にて管理されるＤＮＳのデータベース（図示せず）には、ＤＮＳ  ＡＰＩ（DNS Application Programming Interface）におけるプライベート（Private）かつ未公開なアドレス情報が登録されている。ＤＮＳサーバ（Wrapper）４３は、このアドレス情報を基にアクセス制御を行うプログラム群により実現される。【００５８】
上述した本発明の第１の実施形態では、ＨＴＴＰ（Hyper Text Transfer Protocol）フレームワーク（Framework）を用いており、Ｗｅｂブラウザアプリケーションを使った通信で有効である。これに対し、本実施形態では、ＤＮＳフレームワーク（DNS Framework）を用いており、ＩＰ（Internet Protocol）を使った通信でアプリケーション制限がない。【００５９】
ＤＮＳサーバ４３は、クライアント４２（クライアントＢ）の要求を受け、取得したこのクライアント用の追跡可能ＩＤ情報を提供する。この場合、ＤＮＳサーバ４３は、クライアント４２（クライアントＢ）から渡された"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を基に、アドレス情報（ＮＩＤ＿ＩＰ）を検索し（ノード代表ＩＤのアドレス解決）、検索したアドレス情報（ＮＩＤ＿ＩＰ）を宛先として調停サーバ１からクライアント用の仲介サーバＩＤ情報を取得する。ＤＮＳサーバ４３は、取得した仲介サーバＩＤ先の仲介サーバ２からクライアント用の追跡可能ＩＤ情報を取得する。ＤＮＳサーバ４３は、ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）に対応するアドレス情報（ＮＩＤ＿ＩＰ）が存在しない場合、通常のＤＮＳ処理を実行する。【００６０】
調停サーバ１は、ＤＮＳサーバ４３からのアドレス情報（ＮＩＤ＿ＩＰ）宛ての通信を着信し、ＤＮＳサーバ４３にクライアント用の仲介サーバＩＤ情報を提供する。仲介サーバ２は、ＤＮＳサーバ４３からの要求を受けると、その要求をセキュリティゲートウェイ３２を介してサーバ３４（サーバＡ）に通知し、このサーバ３４（サーバＡ）からの指示で追跡可能ＩＤ管理サーバ３３で生成されたクライアント用の追跡可能ＩＤ情報をＤＮＳサーバ４３に提供する。セキュリティゲートウェイ３２は、サーバ３４（サーバＡ）へのアクセスを追跡可能ＩＤによって検証し、追跡可能ＩＤ管理サーバ３３は、サーバ３４（サーバＡ）からの指示によって追跡可能ＩＤの生成または読出しを行い、仲介サーバ２に返信する。【００６１】
本実施形態においては、クライアント４２（クライアントＢ）がサーバ３４（サーバＡ）にアクセスするためにＤＮＳサーバ４３にアクセスすると、ＤＮＳサーバ４３はまずノード代表ＩＤのアドレス解決を行い、そのアドレス解決の結果を基に調停サーバ１にアクセスして仲介サーバＩＤを取得し、その取得した仲介サーバＩＤによって仲介サーバ２にアクセスして追跡可能ＩＤを取得し、その追跡可能ＩＤをクライアント４２（クライアントＢ）に通知する。これに対し、信頼できないクライアント６（クライアントＸ）の場合、上述した本発明の第１の実施形態と同様に、調停サーバ１または仲介サーバ２でのチェックでアクセス不可となる。【００６２】
図１１及び図１２は、本発明の第２の実施形態による通信システムの動作を示すシーケンスチャートである。これら図１０〜図１２を参照して本発明の第２の実施形態による通信システムの動作について説明する。尚、本実施形態では、動作を開始する前に、事前に、調停サーバ１にアドレス情報（ＭＩＤ＿ＩＰ）が設定され、ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）とアドレス情報（ＭＩＤ＿ＩＰ）との対が分散ＤＢサーバ７に登録されているものとする。【００６３】
クライアント４２（クライアントＢ）は、通信を開始し（図１１のステップｅ１）、アドレス情報（ＮＩＤ＿ＩＰ）を検索するためにＤＮＳサーバ４３に"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を出力する（図１１のステップｅ２，ｅ３）。ＤＮＳサーバ４３は、"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を基にアドレス解決を行い（図１１のステップｅ４）、分散ＤＢサーバ７に"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を送ってアドレス情報（ＭＩＤ＿ＩＰ）を取得する（図１１のステップｅ５，ｅ６）。ＤＮＳサーバ４３は、取得したアドレス情報（ＭＩＤ＿ＩＰ）を基に、調停サーバ１に接続要求を送信する（図１１のステップｅ７，ｅ８）。【００６４】
調停サーバ１は、ＤＮＳサーバ４３からの接続要求に対してクライアント４２（クライアントＢ）のソースアドレスチェックを行い（図１１のステップｅ９）、チェックＯＫであれば、仲介サーバＩＤ保持部１２の仲介サーバＩＤをＤＮＳサーバ４３に通知する（図１１のステップｅ１０，ｅ１１）。この時、調停サーバ１は、仲介サーバ２に対してクライアント４２（クライアントＢ）からアクセスがあったことを通知する（図１１のステップｅ１２）。【００６５】
ＤＮＳサーバ４３は、調停サーバ１からの仲介サーバＩＤを受取ると、その仲介サーバＩＤを基に仲介サーバ２に接続要求を送る（図１１のステップｅ１３）。仲介サーバ２はＤＮＳサーバ４３から接続要求を受取ると、サーバ３４（サーバＡ）及びクライアント４２（クライアントＢ）各々が信頼できる経路で接続されているか、あるいは信頼できるサイト１００，２００に所属しているかどうかのセキュリティチェックを行う（図１２のステップｅ１４）。【００６６】
仲介サーバ２は、サーバ３４（サーバＡ）及びクライアント４２（クライアントＢ）各々が信頼できる経路で接続されていれば、あるいは信頼できるサイト１００，２００に所属していれば、セキュアなクライアント４２（クライアントＢ）から接続要求があることを、セキュリティゲートウェイ３２に通知する（図１２のステップｅ１５，ｅ１６）。【００６７】
セキュリティゲートウェイ３２は、クライアント４２（クライアントＢ）から接続要求があることが通知されると、その通知をサーバ３４（サーバＡ）に送る（図１２のステップｅ１７）。サーバ３４（サーバＡ）は、セキュリティゲートウェイ３２から要求の通知を受けると、追跡可能ＩＤ管理サーバ３３に追跡可能ＩＤの生成を指示する（図１２のステップｅ１８，ｅ１９）。【００６８】
追跡可能ＩＤ管理サーバ３３は、サーバ３４（サーバＡ）からＩＤ生成指示を受けると、追跡可能ＩＤ（ＮＩＤ＿ＩＰ）を生成または読出し（図１２のステップｅ２０）、その追跡可能ＩＤ（ＮＩＤ＿ＩＰ）を仲介サーバ２を介してＤＮＳサーバ４３に払出す（図１２のステップｅ２１，ｅ２２，ｅ２４）。この時、追跡可能ＩＤ管理サーバ３２は、その追跡可能ＩＤ（ＮＩＤ＿ＩＰ）をサーバ３４（サーバＡ）に対しても払出す（図１２のステップｅ２３）。【００６９】
ＤＮＳサーバ４３は、仲介サーバ２を介して受取った追跡可能ＩＤ（ＮＩＤ＿ＩＰ）をクライアント４２（クライアントＢ）に送出する（図１２のステップｅ２５）。クライアント４２（クライアントＢ）は、ＤＮＳサーバ４３からセキュリティゲートウェイ４１（セキュリティゲートウェイＢ）を通して追跡可能ＩＤ（ＮＩＤ＿ＩＰ）を受取り、その追跡可能ＩＤ（ＮＩＤ＿ＩＰ）を出力し（図１２のステップｅ２６）、サーバ３４（サーバＡ）に対して接続する（図１２のステップｅ２７，ｅ３０）。【００７０】
この時、セキュリティゲートウェイ３１（セキュリティゲートウェイＡ）のセキュリティゲートウェイ３２は、仲介サーバ２との間に形成された信頼できる経路を通したサーバ３４（サーバＡ）へのアクセスを追跡可能ＩＤ（ＮＩＤ＿ＩＰ）によって検証する（図１２のステップｅ２９）。この後、クライアント４２（クライアントＢ）は、Ｗｅｂページブラウジングを開始し（図１２のステップｅ２８）、サーバ３４（サーバＡ）にアクセスしてデータを取得して表示する（図１２のステップｅ３１，ｅ３２）。尚、上記のステップｅ５〜ｅ２４の処理は、クライアント４２（クライアントＢ）に見えないアドミン・ドメイン（Admin Domain）での処理である。【００７１】
このように、本実施形態でも、クライアント４２（クライアントＢ）と同一サイト２０１内のＤＮＳサーバ４３がＤＮＳフレームワークを用いて追跡可能ＩＤ（ＮＩＤ＿ＩＰ）を取得し、その追跡可能ＩＤ（ＮＩＤ＿ＩＰ）をクライアント４２（クライアントＢ）に提供する以外は、上述した本発明の第１の実施形態と同様の効果が得られる。つまり、本実施形態では、信頼通信機構によってグローバルアクセス環境の脅威を防止し、ネットワーク層のＩＤ管理（例えば、名前解決（Resolving）やＩＤの生成・払出・消滅）を行うとともに、調停サーバ１がサーバ３４（サーバＡ）に成り代わって悪意の利用者端末（すなわち、信頼できないクライアント６（クライアントＸ））からの不正アクセスやＤｏＳ攻撃等を受けることで、信頼できる相手装置のみとの通信を容易に実現することができる。【００７２】
また、本実施形態では、クライアント４２（クライアントＢ）と同一サイト２０１内のＤＮＳサーバ４３によって検索される分散ＤＢサーバ７が管理するデータベースに蓄積される情報をプライベートすなわち非公開とすることで、ユーザの囲い込みにも貢献することができる。【００７３】
（第３の実施形態）
図１３及び図１４は、本発明の第３の実施形態による通信システムの動作を示すシーケンスチャートである。本発明の第３の実施形態による通信システムの構成は、上記の図１０に示す本発明の第２の実施形態による通信システムと同様である。これら図１０と図１３と図１４とを参照して本発明の第３の実施形態による通信システムの動作について説明する。尚、本実施形態では、動作を開始する前に、事前に、調停サーバ１にアドレス情報（ＭＩＤ＿ＩＰ）が設定され、ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）とアドレス情報（ＭＩＤ＿ＩＰ）との対が分散ＤＢサーバ７に登録されているものとする。【００７４】
クライアント４２（クライアントＢ）は、通信を開始し（図１３のステップｆ１）、アドレス情報（ＮＩＤ＿ＩＰ）を検索するためにＤＮＳサーバ４３に"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を出力する（図１３のステップｆ２，ｆ３）。ＤＮＳサーバ４３は、"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を基にアドレス解決を行い（図１３のステップｆ４）、分散ＤＢサーバ７に"ノード代表ＩＤ（ＮＩＤ＿ＦＱＤＮ）"を送ってアドレス情報（ＭＩＤ＿ＩＰ）を取得する（図１３のステップｆ５，ｆ６）。ＤＮＳサーバ４３は、取得したアドレス情報（ＭＩＤ＿ＩＰ）を基に、調停サーバ１に接続要求を送信する（図１３のステップｆ７，ｆ８）。【００７５】
調停サーバ１は、ＤＮＳサーバ４３からの接続要求に対してクライアント４２（クライアントＢ）のソースアドレスチェックを行い（図１３のステップｆ９）、チェックＯＫであれば、仲介サーバＩＤ保持部１２の仲介サーバＩＤを基に、仲介サーバ２に接続要求を通知する（図１３のステップｆ１０）。仲介サーバ２は、調停サーバ１から接続要求通知を受取ると、サーバ３４（サーバＡ）及びクライアント４２（クライアントＢ）各々が信頼できる経路で接続されているか、あるいは信頼できるサイト１００，２００に所属しているかどうかのセキュリティチェックを行う（図１３のステップｆ１１）。【００７６】
仲介サーバ２は、サーバ３４（サーバＡ）及びクライアント４２（クライアントＢ）各々が信頼できる経路で接続されていれば、あるいは信頼できるサイト１００，２００に所属していれば、セキュアなクライアント４２（クライアントＢ）から接続要求があることを、セキュリティゲートウェイ３２に通知する（図１３のステップｆ１２，ｆ１３）。【００７７】
セキュリティゲートウェイ３２は、クライアント４２（クライアントＢ）から接続要求があることが通知されると、その通知をサーバ３４（サーバＡ）に送る（図１３のステップｆ１４）。サーバ３４（サーバＡ）は、セキュリティゲートウェイ３２から要求の通知を受けると、追跡可能ＩＤ管理サーバ３３に追跡可能ＩＤの生成を指示する（図１４のステップｆ１５，ｆ１６）。【００７８】
追跡可能ＩＤ管理サーバ３３は、サーバ３４（サーバＡ）からＩＤ生成指示を受けると、追跡可能ＩＤ（ＮＩＤ＿ＩＰ）を生成または読出し（図１４のステップｆ１７）、その追跡可能ＩＤ（ＮＩＤ＿ＩＰ）を仲介サーバ２を介して調停サーバ１に払出す（図１４のステップｆ１８，ｆ１９，ｆ２１）。この時、追跡可能ＩＤ管理サーバ３２はその追跡可能ＩＤ（ＮＩＤ＿ＩＰ）をサーバ３４（サーバＡ）に対しても払出す（図１４のステップｆ２０）。【００７９】
調停サーバ１は、仲介サーバ２を介して受取った追跡可能ＩＤ（ＮＩＤ＿ＩＰ）をＤＮＳサーバ４３を介してクライアント４２（クライアントＢ）に送出する（図１４のステップｆ２２，ｆ２３）。クライアント４２（クライアントＢ）は、ＤＮＳサーバ４３からセキュリティゲートウェイ４１（セキュリティゲートウェイＢ）を通して追跡可能ＩＤ（ＮＩＤ＿ＩＰ）を受取り、その追跡可能ＩＤ（ＮＩＤ＿ＩＰ）を出力し（図１４のステップｆ２４）、サーバ３４（サーバＡ）に対して接続する（図１４のステップｆ２５，ｆ２８）。【００８０】
この時、セキュリティゲートウェイ３１（セキュリティゲートウェイＡ）のセキュリティゲートウェイ３２は、仲介サーバ２との間に形成された信頼できる経路を通したサーバ３４（サーバＡ）へのアクセスを追跡可能ＩＤ（ＮＩＤ＿ＩＰ）によって検証する（図１４のステップｆ２７）。この後、クライアント４２（クライアントＢ）は、Ｗｅｂページブラウジングを開始し（図１４のステップｆ２６）、サーバ３４（サーバＡ）にアクセスしてデータを取得して表示する（図１４のステップｆ２９，ｆ３０）。尚、上記のステップｆ５〜ｆ２２の処理は、クライアント４２（クライアントＢ）に見えないアドミン・ドメイン（Admin Domain）での処理である。【００８１】
このように、本実施形態でも、クライアント４２（クライアントＢ）と同一サイト２０１内のＤＮＳサーバ４３がＤＮＳフレームワークを用いて、調停サーバ１を介して追跡可能ＩＤ（ＮＩＤ＿ＩＰ）を取得し、その追跡可能ＩＤ（ＮＩＤ＿ＩＰ）をクライアント４２（クライアントＢ）に提供する以外は、上述した本発明の第１の実施形態と同様の効果が得られる。【００８２】
つまり、本実施形態では、信頼通信機構によってグローバルアクセス環境の脅威が防止され、ネットワーク層のＩＤ管理（例えば、名前解決（Resolving）やＩＤの生成・払出・消滅）が行われるとともに、調停サーバ１がサーバ３４（サーバＡ）に成り代わって悪意の利用者端末（すなわち、信頼できないクライアント６（クライアントＸ））からの不正アクセスやＤｏＳ攻撃等を受けることで、信頼できる相手装置のみとの通信を容易に実現することができる。【００８３】
尚、上述した調停サーバ１及び仲介サーバ２はプログラムの実行でも実現することができるので、これら調停サーバ１の機能及び仲介サーバ２の機能を１台の装置内に実装することも可能である。これは、調停サーバ１が悪意の利用者端末からの攻撃を受けることで、他の調停サーバに置き換える場合には、プログラムの変更のみで実現することができる。【００８４】
本願発明は、ＮＧＮ（Next Generation Network）やＩＰｖ６（Internet Protocol version 6）ネットワークに適用可能である。【００８５】
以上、実施形態を参照しつつ本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。【００８６】
この出願は、２００７年３月８日に出願された日本出願特願２００７−０５８０１８号を基礎とする優先権を主張するものであり、その開示の全ては、本明細書の一部として援用（incorporation herein by reference）される。
【図１】
2008123015.tif 000003
【図２】
2008123015.tif 000004
【図３】
2008123015.tif 000005
【図４】
2008123015.tif 000006
【図５】
2008123015.tif 000007
【図６】
2008123015.tif 000008
【図７】
2008123015.tif 000009
【図８】
2008123015.tif 000010
【図９】
2008123015.tif 000011
【図１０】
2008123015.tif 000012
【図１１】
2008123015.tif 000013
【図１２】
2008123015.tif 000014
【図１３】
2008123015.tif 000015
【図１４】
2008123015.tif 000016
【国際調査報告】
2008123015.tif 000017
2008123015.tif 000018
2008123015.tif 000019