(57)【特許請求の範囲】
【請求項１】
第１のネットワークと、この第１のネットワークよりもセキュリティ性の低い第２のネットワークと、これら第１および第２のネットワークに接続可能な通信端末とを備え、
前記通信端末は、
前記第１および第２のネットワークの何れか一方のネットワークから取得したデータの照合情報と他方のネットワークから取得したデータとを照合する照合手段と、
この照合手段の照合結果からリソースへのアクセスの信頼度を示す情報のデータベースとして信頼度情報ＤＢを構築する信頼度情報ＤＢ構築手段とを備え、
前記信頼度情報ＤＢ構築手段は、
前記第１および第２のネットワークの何れか一方のネットワークを介して取得したデータをリソースとし、このリソースへのアクセスの信頼度を示す情報を第１のテーブルに書き込む手段と、
前記第２のネットワークをリソースとし、このリソースへのアクセスの信頼度を示す情報を第２のテーブルに書き込む手段と
を備えることを特徴とするアクセス制御システム。
【請求項２】
請求項１に記載されたアクセス制御システムにおいて、
前記通信端末は、
前記信頼度情報ＤＢ内の前記第１のテーブルに書き込まれている情報を参照することにより、前記第１および第２のネットワークの何れか一方のネットワークを介してダウンロードされているデータをリソースとして、このリソースへのアクセスの可否を判断するデータアクセス可否判断手段
を備えることを特徴とするアクセス制御システム。
【請求項３】
請求項１に記載されたアクセス制御システムにおいて、
前記通信端末は、
前記信頼度情報ＤＢ内の前記第２のテーブルに書き込まれている情報を参照することにより、少なくとも前記第２のネットワークをリソースとして、このリソースへのアクセスの可否を判断するネットワークアクセス可否判断手段
を備えることを特徴とするアクセス制御システム。
【請求項４】
請求項１に記載されたアクセス制御システムにおいて、
前記通信端末は、
前記信頼度情報ＤＢ内の前記第１のテーブルに書き込まれている情報を参照することにより、前記第１および第２のネットワークの何れか一方のネットワークを介してダウンロードされているデータをリソースとして、このリソースへのアクセスの可否を判断するデータアクセス可否判断手段と、
前記信頼度情報ＤＢ内の前記第２のテーブルに書き込まれている情報を参照することにより、少なくとも前記第２のネットワークをリソースとして、このリソースへのアクセスの可否を判断するネットワークアクセス可否判断手段と
を備えることを特徴とするアクセス制御システム。
【請求項５】
第１のネットワークおよびこの第１のネットワークよりもセキュリティ性の低い第２のネットワークの何れか一方のネットワークからデータの照合情報を取得するステップと、
前記第１および第２のネットワークの他方のネットワークからデータを取得するステップと、
前記一方のネットワークから取得したデータの照合情報と前記他方のネットワークから取得したデータとを照合するステップと、
前記照合の結果からリソースへのアクセスの信頼度を示す情報のデータベースとして信頼度情報ＤＢを構築するステップとを備え、
前記信頼度情報ＤＢを構築するステップは、
前記第１および第２のネットワークの何れか一方のネットワークを介して取得したデータをリソースとし、このリソースへのアクセスの信頼度を示す情報を第１のテーブルに書き込むステップと、
前記第２のネットワークをリソースとし、このリソースへのアクセスの信頼度を示す情報を第２のテーブルに書き込むステップと
を備えることを特徴とするアクセス制御方法。
【請求項６】
請求項５に記載されたアクセス制御方法において、
前記信頼度情報ＤＢ内の前記第１のテーブルに書き込まれている情報を参照することにより、前記第１および第２のネットワークの何れか一方のネットワークを介してダウンロードされているデータをリソースとして、このリソースへのアクセスの可否を判断するステップ
を備えることを特徴とするアクセス制御方法。
【請求項７】
請求項５に記載されたアクセス制御方法において、
前記信頼度情報ＤＢ内の前記第２のテーブルに書き込まれている情報を参照することにより、少なくとも前記第２のネットワークをリソースとして、このリソースへのアクセスの可否を判断するステップ
を備えることを特徴とするアクセス制御方法。
【請求項８】
請求項５に記載されたアクセス制御方法において、
前記信頼度情報ＤＢ内の前記第１のテーブルに書き込まれている情報を参照することにより、前記第１および第２のネットワークの何れか一方のネットワークを介してダウンロードされているデータをリソースとして、このリソースへのアクセスの可否を判断するステップと、
前記信頼度情報ＤＢ内の前記第２のテーブルに書き込まれている情報を参照することにより、少なくとも前記第２のネットワークをリソースとして、このリソースへのアクセスの可否を判断するステップと
を備えることを特徴とするアクセス制御方法。
【請求項９】
第１のネットワークおよびこの第１のネットワークよりもセキュリティ性の低い第２のネットワークの何れか一方のネットワークからデータの照合情報を取得する照合情報取得手段と、
前記第１および第２のネットワークの他方のネットワークからデータを取得するデータ取得手段と、
前記一方のネットワークから取得したデータの照合情報と前記他方のネットワークから取得したデータとを照合する照合手段と、
前記照合の結果からリソースへのアクセスの信頼度を示す情報のデータベースとして信頼度情報ＤＢを構築する信頼度情報ＤＢ構築手段とを備え、
前記信頼度情報ＤＢ構築手段は、
前記第１および第２のネットワークの何れか一方のネットワークを介して取得したデータをリソースとし、このリソースへのアクセスの信頼度を示す情報を第１のテーブルに書き込む手段と、
前記第２のネットワークをリソースとし、このリソースへのアクセスの信頼度を示す情報を第２のテーブルに書き込む手段と
を備えることを特徴とする通信端末。
【請求項１０】
請求項９に記載された通信端末において、
前記信頼度情報ＤＢ内の前記第１のテーブルに書き込まれている情報を参照することにより、前記第１および第２のネットワークの何れか一方のネットワークを介してダウンロードされているデータをリソースとして、このリソースへのアクセスの可否を判断するデータアクセス可否判断手段
を備えることを特徴とする通信端末。
【請求項１１】
請求項９に記載された通信端末において、
前記信頼度情報ＤＢ内の前記第２のテーブルに書き込まれている情報を参照することにより、少なくとも前記第２のネットワークをリソースとして、このリソースへのアクセスの可否を判断するネットワークアクセス可否判断手段
を備えることを特徴とする通信端末。
【請求項１２】
請求項９に記載された通信端末において、
前記信頼度情報ＤＢ内の前記第１のテーブルに書き込まれている情報を参照することにより、前記第１および第２のネットワークの何れか一方のネットワークを介してダウンロードされているデータをリソースとして、このリソースへのアクセスの可否を判断するデータアクセス可否判断手段と、
前記信頼度情報ＤＢ内の前記第２のテーブルに書き込まれている情報を参照することにより、少なくとも前記第２のネットワークをリソースとして、このリソースへのアクセスの可否を判断するネットワークアクセス可否判断手段と
を備えることを特徴とする通信端末。
【請求項１３】
請求項１に記載されたアクセス制御システムにおいて、
前記通信端末の照合手段は、
前記第１および第２のネットワークの何れか一方のネットワークから取得したデータのハッシュ値と他方のネットワークから取得したデータのハッシュ値とを照合する
ことを特徴とするアクセス制御システム。
【請求項１４】
請求項５に記載されたアクセス制御方法において、
前記一方のネットワークから取得したデータの照合情報と前記他方のネットワークから取得したデータとを照合するステップは、
前記一方のネットワークから取得したデータのハッシュ値と前記他方のネットワークから取得したデータのハッシュ値とを照合する
ことを特徴とするアクセス制御方法。
【請求項１５】
請求項９に記載された通信端末において、
前記照合手段は、
前記第１および第２のネットワークの何れか一方のネットワークから取得したデータのハッシュ値と他方のネットワークから取得したデータのハッシュ値とを照合する
ことを特徴とする通信端末。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、アプリケーションやコンテンツなどのデータやネットワークへのアクセスを制御するアクセス制御システム、アクセス制御方法および通信端末に関するものである。
【背景技術】
【０００２】
近年、通信端末が複数の無線通信手段を持ち、必要に応じて接続ネットワークを切り替えて使うことが増えてきている。例えば、セルラ網に接続する手段と無線ＬＡＮに接続する手段を持ち、屋外ではセルラ網に接続し、室内では無線ＬＡＮに接続するというような通信端末が実用化されている。【０００３】
このような場合、通信端末はさまざまなネットワークを切り替え、あるいは同時に使用することになる。接続するネットワークにはさまざまなものがあり、またそれぞれのネットワークの運用ポリシは大きく異なる。例えば、セルラ網事業者のＩＰネットワークや、企業網イントラネットは、認証や暗号化手段が導入されており、非常にセキュアなネットワーク（セキュリティ性の高いネットワーク）であるといえる。対して、無料の無線ＬＡＮスポットの場合には、認証や暗号化手段がなく、セキュアでないネットワーク（セキュリティ性の低いネットワーク）も存在する。【０００４】
以下、本明細書では、上記セルラ網事業者のＩＰネットワークや企業網イントラネットなどのネットワークを高セキュアネットワークといい、ＷｅｂサーバやＤＮＳが詐称されている可能性があるネットワーク、あるいは暗号化されていないために通信内容が解析されてしまう可能性があるネットワークを低セキュアネットワークという。【０００５】
最近の通信端末は、ネットワークを介してサーバからアプリケーションやコンテンツなどのデータをダウンロードし、このダウンロードしたデータを使用してさまざまなサービスを受けることができる。たとえば、アプリケーションとして、携帯電話におけるＪａｖａ（登録商標）アプリケーションなどがある。このような通信端末が、高セキュアネットワークと低セキュアネットワークを切り替えたり同時に使う場合には、セキュリティ上の脅威が発生する。【０００６】
例えば、低セキュアネットワーク上に悪意のあるアプリケーションが存在したとする。通信端末がこのようなアプリケーションをダウンロードし、このアプリケーションを高セキュアネットワークに接続しているときに実行したとする。すると、この悪意のあるアプリケーションが高セキュアネットワークを攻撃し、情報を盗み取ったり、ネットワーク内で破壊行為を行うことが考えられる。【０００７】
以下、Ｊａｖａアプレットアプリケーションの場合を考える。Ｊａｖａアプレットアプリケーションの場合、通常このアプリケーションはダウンロードを行ったサイトとしか通信できないようになっている。例えば、「http://www.example.com」からダウンロードしたアプリケーションは「www.example.com」としか通信できないように「Java VM 」により制限がかかっている。【０００８】
上記の場合、高セキュアネットワークにおけるＤＮＳは信頼できるため、アプリケーションは意図したサーバ（www.example.com）と通信ができる。しかしながら、低セキュアネットワークの場合には、アプリケーションやＷｅｂサーバのみならず、ＤＮＳまでもが信頼できない。悪意のあるネットワーク管理者が悪意のあるＤＮＳサーバを立て、詐称されたサーバからアプリケーションをダウンロードさせるように仕向けることは可能である。【０００９】
例えば、「http://www.some-secure-server.com」という詐称されたＷｅｂサーバから通信端末がアプリケーションをダウンロードしたとする。このアプリケーションは「www.some-secure-server.com」との通信が許可される。もし高セキュアネットワーク上にこれと同一のＤＮＳ名を持つサーバが存在した場合、悪意を持つアプリケーションはこのサーバと通信できてしまい、サーバを攻撃できてしまう。すなわち、低セキュアネットワーク上のアプリケーションが高セキュアネットワーク上のサーバを攻撃できてしまう。これは大きな問題である。【００１０】
また逆に、高セキュアネットワーク上の「http://www.some-secure-server.com」から正当なアプリケーションやコンテンツをダウンロードしたとしよう。この通信端末が先の悪意のあるネットワークに接続した場合、このアプリケーションやコンテンツは詐称されたサーバと接続してしまうので、通信内容が解析されてしまう恐れがある。すなわち、高セキュアネットワーク上のアプリケーションやコンテンツの通信内容が、低セキュアネットワーク上に誘導されて通信解析される恐れがある。これは、特に高セキュアネットワーク環境に閉じたアプリケーションでは大きな問題となりうる。【００１１】
このようなセキュリティ上の脅威への対策として、ＨＴＴＰＳ （Hypertext Transfer Protocol Security）サーバなどの設置が考えられるが、証明書を取得したり、サーバ設定などを必要とし、費用が嵩む。このため、コンテンツプロバイダのように、アプリケーションやコンテンツ収入が得られる場合はよいが、フリーウェアや個人が作った公開情報で、ＨＴＴＰＳを利用するのは費用の面から難しい。【００１２】
そこで、例えば文献１（特開２００４−３２０３６９号公報）に、アプリケーションに対応付けられた通信網と、接続中の通信網とを比較し、これが異なっているときにアプリケーションの機能を制限する方法が提示されている。【００１３】
このように、アプリケーションと使用する通信網とを対応づければ、低セキュアネットワーク上のアプリケーションが高セキュアネットワークにアクセスすることができず、逆に高セキュアネットワーク上のアプリケーションが低セキュアネットワークにアクセスすることができなくなる。これにより、上記のセキュリティの問題は解決できる。【００１４】
しかしながら、高セキュア／低セキュアネットワークのどちらを使っても問題のないアプリケーションもある。具体的には、高セキュア／低セキュアネットワークいずれを経由してもアクセス可能なサーバ上に置かれた通信アプリケーションである。このようなアプリケーションは、高セキュアネットワークを経由してアクセスできるので少なくともＤＮＳは信用できる。また、低セキュアネットワークを経由してアクセスできるので高セキュアネットワーク環境に閉じたアプリケーションでもない。このため、このようなアプリケーションは本来上記制限は不要である。【００１５】
しかし、上記の解決方法では、このようなアプリケーションに両方のネットワークを使用させることができなくなってしまう。また、このような問題は、上述した文献１において、アプリケーションをコンテンツなどの他のデータに置き換えた場合にも同様にして発生する。
【発明の開示】
【発明が解決しようとする課題】
【００１６】
以上から、セキュリティを保ちつつ、複数のネットワークでのアプリケーションやコンテンツなどのデータの使用を可能とするためには、サーバを認証するための仕組みが必要となる。すなわち、データの出自確認を行い、サーバが詐称されていないことを証明できれば、すなわちネットワークが偽装されていないことを証明できれば、複数のネットワークの使用を許可しても問題ない。しかし、従来は、ネットワークが偽装されているか否かを認証するための仕組みが存在しなかった。【００１７】
本発明は、このような課題を解決するためになされたもので、その目的とするところは、ネットワークが偽装されているか否かを認証することが可能なアクセス制御システム、アクセス制御方法および通信端末を提供することにある。
また、セキュリティを保ちつつ、複数のネットワークでのデータの使用を可能とするアクセス制御システム、アクセス制御方法および通信端末を提供することにある。
【課題を解決するための手段】
【００１８】
このような目的を達成するために本発明は、第１のネットワークと、この第１のネットワークよりもセキュリティ性の低い第２のネットワークと、これら第１および第２のネットワークに接続可能な通信端末とを備えたアクセス制御システムにおける通信端末に、第１および第２のネットワークの何れか一方のネットワークから取得したデータの照合情報と他方のネットワークから取得したデータとを照合する照合手段と、この照合手段の照合結果からリソースへのアクセスの信頼度を示す情報のデータベースとして信頼度情報ＤＢを構築する信頼度情報ＤＢ構築手段とを設け、信頼度情報ＤＢ構築手段は、第１および第２のネットワークの何れか一方のネットワークを介して取得したデータをリソースとし、このリソースへのアクセスの信頼度を示す情報を第１のテーブルに書き込む手段と、第２のネットワークをリソースとし、このリソースへのアクセスの信頼度を示す情報を第２のテーブルに書き込む手段とを備えていることを特徴とする。
【００１９】
この発明によれば、通信端末において、第１のネットワーク（高セキュアネットワーク）および第２のネットワーク（低セキュアネットワーク）の何れか一方のネットワークから取得したデータの照合情報と他方のネットワークから取得したデータとが照合される。そして、このデータの照合情報とデータとの照合結果から、リソースへのアクセスの信頼度を示す情報のデータベースとして信頼度情報ＤＢが構築される。この場合、第１および第２のネットワークの何れか一方のネットワークを介して取得したデータをリソースとし、このリソースへのアクセスの信頼度を示す情報が第１のテーブルに書き込まれる。また、第２のネットワークをリソースとし、このリソースへのアクセスの信頼度を示す情報が第２のテーブルに書き込まれる。なお、本発明において、「データ」とは、アプリケーションやコンテンツなど、ネットワークを介して通信端末が取得するデータの総称をいう。
【発明の効果】
【００２０】
本発明によれば、通信端末において、第１のネットワーク（高セキュアネットワーク）および第２のネットワーク（低セキュアネットワーク）の何れか一方のネットワークから取得したデータの照合情報と他方のネットワークから取得したデータとを照合し、その照合結果からリソースへのアクセスの信頼度を示す情報のデータベースとして信頼度情報ＤＢ（第１のテーブル、第２のテーブル）を構築するようにしたので、ネットワークが偽装されているか否かを認証することが可能となるとともに、第１のテーブルに書き込まれている情報を参照することによりダウンロードされているデータへのアクセスの可否を判断したり、第２のテーブルに書き込まれている情報を参照することによりセキュリティ性の低いネットワークへのアクセスの可否を判断するようにして、セキュリティを保ちつつ、複数のネットワークでのデータの使用が可能となる。
【図面の簡単な説明】
【００２１】
【図１】図１は、本発明に係るアクセス制御システムの一実施例（実施例１）の構成を示す図である。
【図２】図２は、実施例１の第１方式を説明する図である。
【図３】図３は、実施例１の第１方式において照合結果が「一致」であった場合の信頼度情報ＤＢへの信頼度情報の書き込み例を示す図である。
【図４】図４は、実施例１の第１方式において照合結果が「不一致」であった場合の信頼度情報ＤＢへの信頼度情報の書き込み例を示す図である。
【図５】図５は、実施例１の第２方式を説明する図である。
【図６】図６は、実施例１の第２方式において照合結果が「一致」であった場合の信頼度情報ＤＢへの信頼度情報の書き込み例を示す図である。
【図７】図７は、実施例１の第２方式において照合結果が「不一致」であった場合の信頼度情報ＤＢへの信頼度情報の書き込み例を示す図である。
【図８】図８は、低セキュアネットワークが複数存在する場合のアクセス制御システムを例示する図である。
【図９Ａ】図９Ａは、図８に示したアクセス制御システムにおいて信頼度情報ＤＢに信頼度情報のデータベースが構築されて行く様子を示す図である。
【図９Ｂ】図９Ｂは、図８に示したアクセス制御システムにおいて信頼度情報ＤＢに信頼度情報のデータベースが構築されて行く様子を示す図である。
【図９Ｃ】図９Ｃは、図８に示したアクセス制御システムにおいて信頼度情報ＤＢに信頼度情報のデータベースが構築されて行く様子を示す図である。
【図１０】図１０は、本発明に係るアクセス制御システムの他の実施例（実施例２）の構成を示す図である。
【図１１】図１１は、実施例２のアクセス制御システムにおける通信端末内での処理動作を示すフローチャートである。
【図１２】図１２は、実施例２のアクセス制御システムにおいて高セキュアネットワーク使用して最初にデータを取得した場合の信頼度情報ＤＢへの信頼度情報の書き込み例を示す図である。
【図１３】図１３は、実施例２のアクセス制御システムにおいて照合結果が「一致」であった場合の信頼度情報ＤＢへの信頼度情報の書き込み例を示す図である。
【図１４】図１４は、実施例２のアクセス制御システムにおいて照合結果が「不一致」であった場合の信頼度情報ＤＢへの信頼度情報の書き込み例を示す図である。
【図１５】図１５は、本発明に係るアクセス制御システムの他の実施例（実施例３）の構成を示す図である。
【図１６】図１６は、実施例３のアクセス制御システムにおける通信端末内での処理動作を示すフローチャートである。
【図１７】図１７は、実施例３のアクセス制御システムにおける属性ファイルを例示する図である。
【図１８】図１８は、実施例３のアクセス制御システムにおける照合処理の具体例を示す図である。
【図１９】図１９は、実施例３のアクセス制御システムにおいて照合結果が「一致」であった場合の信頼度情報ＤＢへの信頼度情報の書き込み例を示す図である。
【発明を実施するための最良の形態】
【００２２】
以下、本発明を図面に基づいて詳細に説明する。
〔実施例１〕
図１はこの発明に係るアクセス制御システムの一実施例（実施例１）の構成を示す図である。同図において、１は通信端末であり、２はダウンロードサーバである。【００２３】
通信端末１は通信制御部１１と照合部１２と信頼度情報ＤＢ１３と信頼度情報ＤＢ構築部１４と記憶部１５を有し、ダウンロードサーバ（以下、単にサーバという）２はアプリケーションやコンテンツなどのデータ２１とこのデータ２１の照合情報（例えば、ハッシュ値）２２を有する。【００２４】
サーバ２は、高セキュアネットワーク３および低セキュアネットワーク４に接続されており、通信端末１は、通信制御部１１を介し、高セキュアネットワーク３および低セキュアネットワーク４の少なくともいずれか一方を使用してサーバ２へアクセス可能となっている。【００２５】
ネットワークにはさまざまなものがあるが、大別すると高セキュアネットワーク３と高セキュアネットワーク３よりもセキュリティ性の低い低セキュアネットワーク４の２種類がある。高セキュアネットワーク３はセキュリティがある程度担保されたネットワークで、例えばセルラ網事業者のＩＰネットワークや、企業内ＬＡＮなどである。これらのネットワークでは、ネットワーク内部に存在するサーバ、例えばＤＮＳサーバやＰｒｏｘｙサーバなどは信頼できるものと考えて良い。【００２６】
これに対し、低セキュアネットワーク４は、無料の無線ＬＡＮスポットなどがある。このようなネットワークでは、ネットワーク内のサーバは信頼性が低いものと考えられる。例えば、悪意のある者が故意にＤＮＳ名を詐称したＤＮＳサーバを設置した無料無線ＬＡＮスポットを設置することは容易に可能である。【００２７】
この実施例１のシステムにおいて、通信端末１の通信制御部１１は、は、サーバ２から、高セキュアネットワーク３および低キュアネットワーク４の何れか一方のネットワークを通じて照合情報２２を取得し、他方のネットワークを通じてデータ２１を取得する。通信端末１の照合部１２は、取得した照合情報２２とデータ２１とを照合する。【００２８】
以下、高セキュアネットワーク３を通じて照合情報２２を取得し、低セキュアネットワーク４を通じてデータ２１を取得する方式を実施例１の第１方式、高セキュアネットワーク３を通じてデータ２１を取得し、低セキュアネットワーク４を通じて照合情報２２を取得する方式を実施例１の第２方式とし、それぞれの方式について説明する。【００２９】
〔実施例１の第１方式〕
実施例１の第１方式において、通信端末１の通信制御部１１は、高セキュアネットワーク３を通じて照合情報２２を取得し、低セキュアネットワーク４を通じてデータ２１を取得する（図２参照）。通信制御部１１は、この照合情報２２とデータ２１の取得を同時に行う。すなわち、最初に照合情報２２を取得するものとした場合、この照合情報２２を照合情報取得部１１−１を介して取得した後、すぐにデータ２１をデータ取得部１１−２を介して取得する。【００３０】
通信端末１において、照合部１２は、高セキュアネットワーク３を通じて取得された照合情報（この例では、ハッシュ値とする）２２と低セキュアネットワーク４を通じて取得されたデータ２１とを照合する。この場合、低セキュアネットワーク４を通じて取得されたデータ２１からハッシュ値を生成し、このハッシュ値と高セキュアネットワーク３を通じて取得された照合情報（ハッシュ値）２２とを比較する。【００３１】
照合部１２は、照合結果が「一致」であった場合、低セキュアネットワーク４から取得したデータ２１を信頼できるものと判断する。「不一致」であった場合、低セキュアネットワーク４から取得したデータ２１は信頼できないと判断する。【００３２】
ここで、データを信頼できるとは、詐称されていないサーバ２から取得したデータ２１、すなわち偽装されていない低セキュアネットワーク４から取得したデータ２１であるということである。データを信頼できないとは、詐称されているサーバ２’から取得したデータ２１’、すなわち偽装された低セキュアネットワーク４から取得したデータ２１’であるということである。【００３３】
また、照合部１２は、照合結果が「一致」であった場合、低セキュアネットワーク４から取得したデータ２１を記憶部１５に保存する。照合結果が「不一致」であった場合、低セキュアネットワーク４から取得したデータ２１’は信頼性がないので、記憶部１５には保存せずに破棄する。【００３４】
〔照合結果が「一致」であった場合〕
照合部１２での照合結果は信頼度情報ＤＢ構築部１４へ送られる。信頼度情報ＤＢ構築部１４は、照合部１２での照合結果が「一致」であった場合、低セキュアネットワーク４から取得したデータ２１をリソースとし、このリソースへのアクセスの信頼度を示す情報として、そのデータの識別子（データ識別子）とそのデータの照合情報の取得に使用したネットワークの識別子（ＮＷ識別子）とそのデータの取得に使用したネットワークの識別子（ＮＷ識別子）との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ１に書き込む。この例では、データ２１のデータ識別子＃ＤＡ、高セキュアネットワーク３のＮＷ識別子ＨＮＷ、低セキュアネットワーク４のＮＷ識別子ＬＮＷを対として、信頼度情報ＤＢ１３内のテーブルＴＢ１（図３参照）に書き込む。【００３５】
また、信頼度情報ＤＢ構築部１４は、照合部１２での照合結果が「一致」であった場合、低セキュアネットワーク４をリソースとし、このリソースへのアクセスの信頼度を示す情報として、低セキュアネットワーク４の識別子と接続可否の情報との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ２に書き込む。この例では、低セキュアネットワーク４のＮＷ識別子ＬＮＷと接続可を示す情報（「○」）を対として、テーブルＴＢ２に書き込む（図３参照）。【００３６】
〔データへのアクセス〕
データアクセス部１６は、上記の信頼度情報ＤＢ１３内のテーブルＴＢ１（図３）を参照することにより、高セキュアネットワーク３との接続時および低セキュアネットワーク４との接続時に、低セキュアネットワーク４を介してダウンロードされている記憶部１５内のデータ２１へのアクセスを許可する。この判断はデータアクセス可否判断部１６−１で行う。【００３７】
〔ネットワークへのアクセス〕
通信制御部１１は、上記の信頼度情報ＤＢ１３内のテーブルＴＢ２（図３）を参照することにより、低セキュアネットワーク４へのアクセスを許可する。この判断はネットワークアクセス可否判断部１１−３で行う。なお、高セキュアネットワーク３については、信頼性が高いものとして、信頼度情報ＤＢ１３内の情報を参照することなく、常にそのネットワークへのアクセスを許可する。【００３８】
このようにして、この実施例１の第１方式において、通信端末１は、照合部１２での照合結果が「一致」とされた場合、すなわち低セキュアネットワーク４が偽装されていないことが認証された場合、高セキュアネットワーク３および低セキュアネットワーク４の何れのネットワークへもアクセスすることが可能となる。また、何れのネットワークとの接続時にも記憶部１５内のデータ２１にアクセスすることが可能となり、セキュリティを保ちつつ、高セキュアネットワーク３および低セキュアネットワーク４の両方のネットワークでのデータ２１の使用が可能となる。【００３９】
〔照合結果が「不一致」であった場合〕
照合部１２での照合結果は信頼度情報ＤＢ構築部１４へ送られる。信頼度情報ＤＢ構築部１４は、照合部１２での照合結果が「不一致」であった場合、低セキュアネットワーク４から取得したデータ２１’の識別子（データ識別子）と使用可能なネットワークが存在しないことを示す情報との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ１に書き込む。この例では、データ２１’のデータ識別子＃ＤＡと使用可能なネットワークが存在しないことを示す情報（「−」）とを対応づけて、信頼度情報ＤＢ１３内のテーブルＴＢ１に書き込む（図４参照）。【００４０】
また、信頼度情報ＤＢ構築部１４は、照合部１２での照合結果が「不一致」であった場合、低セキュアネットワーク４をリソースとし、このリソースへのアクセスの信頼度を示す情報として、低セキュアネットワーク４の識別子と接続可否の情報との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ２に書き込む。この例では、低セキュアネットワーク４のＮＷ識別子ＬＮＷと接続不可を示す情報（「×」）を対として、テーブルＴＢ２に書き込む（図４参照）。【００４１】
〔ネットワークへのアクセス〕
通信制御部１１は、上記の信頼度情報ＤＢ１３内のテーブルＴＢ２（図４）を参照することにより、低セキュアネットワーク４へのアクセスを禁止する。この判断はネットワークアクセス可否判断部１１−３で行う。なお、高セキュアネットワーク３については、信頼性が高いものとして、信頼度情報ＤＢ１３内の情報を参照することなく、常にそのネットワークへのアクセスを許可する。【００４２】
このようにして、この実施例１の第１方式では、通信端末１の照合部１２での照合結果が「不一致」とされた場合、すなわち低セキュアネットワーク４が偽装されていることが認証された場合、偽装された低セキュアネットワーク４へのアクセスが禁止される。これにより、高セキュアネットワーク４へのアクセスのみが許可され、セキュリティ性が確保される。【００４３】
なお、上述においては、照合部１２での照合結果が「不一致」であった場合、低セキュアネットワーク４から取得したデータ２１’を破棄するようにしたが、低セキュアネットワーク４から取得したデータ２１’を記憶部１５に保存するようにしてもよい。この場合、データ２１’は信頼性はないが、通信端末１の記憶部１５に保存しておくことで、そのデータ２１’を後で調べたりすることが可能である。なお、データ２１’を記憶部１５に保存するようにした場合、信頼度情報ＤＢ１３内のテーブルＴＢ１（図４）を参照することにより、そのデータ２１’の高セキュアネットワーク３や低セキュアネットワーク４での使用を禁止するようにする。この判断はデータアクセス可否判断部１６−１で行う。【００４４】
〔実施例１の第２方式〕
実施例１の第２方式において、通信端末１の通信制御部１１は、高セキュアネットワーク３を通じてデータ２１を取得し、低セキュアネットワーク４を通じて照合情報２２を取得する（図５参照）。通信制御部１１は、この照合情報２２とデータ２１の取得を同時に行う。すなわち、最初にデータ２１を取得するものとした場合、このデータ２１をデータ取得部１１−２を介して取得した後、すぐに照合情報２２を照合情報取得部１１−１を介して取得する。【００４５】
通信端末１において、照合部１２は、低セキュアネットワーク４を通じて取得された照合情報（この例では、ハッシュ値とする）２２と高セキュアネットワーク３を通じて取得されたデータ２１とを照合する。この場合、高セキュアネットワーク３を通じて取得されたデータ２１からハッシュ値を生成し、このハッシュ値と低セキュアネットワーク４を通じて取得された照合情報２２（ハッシュ値）とを比較する。【００４６】
照合部１２は、照合結果が「一致」であった場合、低セキュアネットワーク４から取得した照合情報２２を信頼できるものと判断する。「不一致」であった場合、低セキュアネットワーク４から取得した照合情報２２は信頼できないと判断する。【００４７】
ここで、照合情報を信頼できるとは、詐称されていないサーバ２から取得した照合情報２２、すなわち偽装されていない低セキュアネットワーク４から取得した照合情報２２であるということである。照合情報を信頼できないとは、詐称されているサーバ２’から取得した照合情報２２’、すなわち偽装された低セキュアネットワーク４から取得した照合情報２２’であるということである。【００４８】
この場合、照合部１２は、照合結果の「一致」／「不一致」に拘わらず、高セキュアネットワーク３から取得したデータ２１を記憶部１５に保存する。すなわち、高セキュアネットワーク３は信頼性が高いので、照合部１２での照合結果が「不一致」であった場合にも、高セキュアネットワーク３から取得したデータ２１を記憶部１５に保存するようにする。【００４９】
〔照合結果が「一致」であった場合〕
照合部１２での照合結果は信頼度情報ＤＢ構築部１４へ送られる。信頼度情報ＤＢ構築部１４は、照合部１２での照合結果が「一致」であった場合、高セキュアネットワーク３から取得したデータ２１をリソースとし、このリソースへのアクセスの信頼度を示す情報として、そのデータの識別子（データ識別子）とそのデータの照合情報の取得に使用したネットワークの識別子（ＮＷ識別子）とそのデータの取得に使用したネットワークの識別子（ＮＷ識別子）との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ１に書き込む。この例では、データ２１のデータ識別子＃ＤＡ、高セキュアネットワーク３のＮＷ識別子ＨＮＷ、低セキュアネットワーク４のＮＷ識別子ＬＮＷを対として、信頼度情報ＤＢ１３内のテーブルＴＢ１（図６参照）に書き込む。【００５０】
また、信頼度情報ＤＢ構築部１４は、照合部１２での照合結果が「一致」であった場合、低セキュアネットワーク４をリソースとし、このリソースへのアクセスの信頼度を示す情報として、低セキュアネットワーク４の識別子と接続可否の情報との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ２に書き込む。この例では、低セキュアネットワーク４のＮＷ識別子ＬＮＷと接続可を示す情報（「○」）を対として、テーブルＴＢ２に書き込む（図６参照）。【００５１】
〔データへのアクセス〕
データアクセス部１６は、上記の信頼度情報ＤＢ１３内のテーブルＴＢ１（図６）を参照することにより、高セキュアネットワーク３との接続時および低セキュアネットワーク４との接続時に、高セキュアネットワーク３を介してダウンロードされている記憶部１５内のデータ２１へのアクセスを許可する。この判断はデータアクセス可否判断部１６−１で行う。【００５２】
〔ネットワークへのアクセス〕
通信制御部１１は、上記の信頼度情報ＤＢ１３内のテーブルＴＢ２（図６）を参照することにより、低セキュアネットワーク４へのアクセスを許可する。この判断はネットワークアクセス可否判断部１１−３で行う。なお、この場合、高セキュアネットワーク３については、信頼性が高いものとして、信頼度情報ＤＢ１３内の情報を参照することなく、常にそのネットワークへのアクセスを許可する。【００５３】
このようにして、この実施例１の第２方式において、通信端末１は、照合部１２での照合結果が「一致」とされた場合、すなわち低セキュアネットワーク４が偽装されていないことが認証された場合、高セキュアネットワーク３および低セキュアネットワーク４の何れのネットワークへもアクセスすることが可能となる。また、何れのネットワークとの接続時にも記憶部１５内のデータ２１にアクセスすることが可能となり、セキュリティを保ちつつ、高セキュアネットワーク３および低セキュアネットワーク４の両方のネットワークでのデータ２１の使用が可能となる。【００５４】
〔照合結果が「不一致」であった場合〕
照合部１２での照合結果は信頼度情報ＤＢ構築部１４へ送られる。信頼度情報ＤＢ構築部１４は、照合部１２での照合結果が「不一致」であった場合、高セキュアネットワーク３から取得したデータ２１をリソースとし、このリソースへのアクセスの信頼度を示す情報として、そのデータの識別子（データ識別子）とそのデータの取得に使用したネットワークの識別子（ＮＷ識別子）との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ１に書き込む。この例では、データ２１のデータ識別子＃ＤＡとデータ２１の取得に使用した高セキュアネットワーク３のＮＷ識別子ＨＮＷとを対応づけて、信頼度情報ＤＢ１３内のテーブルＴＢ１に書き込む（図７参照）。【００５５】
また、信頼度情報ＤＢ構築部１４は、照合部１２での照合結果が「不一致」であった場合、低セキュアネットワーク４をリソースとし、このリソースへのアクセスの信頼度を示す情報として、低セキュアネットワーク４の識別子と接続可否の情報との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ２に書き込む。この例では、低セキュアネットワーク４のＮＷ識別子ＬＮＷと接続不可を示す情報（「×」）を対として、テーブルＴＢ２に書き込む（図７参照）。【００５６】
〔データへのアクセス〕
データアクセス部１６は、上記の信頼度情報ＤＢ１３内のテーブルＴＢ１（図７）を参照することにより、高セキュアネットワーク３との接続時にのみ、高セキュアネットワーク３を介してダウンロードされている記憶部１５内のデータ２１へのアクセスを許可する。この判断はデータアクセス可否判断部１６−１で行う。【００５７】
〔ネットワークへのアクセス〕
通信制御部１１は、上記の信頼度情報ＤＢ１３内のテーブルＴＢ２（図７）を参照することにより、低セキュアネットワーク４へのアクセスを禁止する。この判断はネットワークアクセス可否判断部１１−３で行う。なお、この場合、高セキュアネットワーク３については、信頼性が高いものとして、信頼度情報ＤＢ１３内の情報を参照することなく、常にそのネットワークへのアクセスを許可する。【００５８】
このようにして、この実施例１の第２方式では、照合部１２での照合結果が「不一致」とされた場合、すなわち低セキュアネットワーク４が偽装されていることが認証された場合、偽装された低セキュアネットワーク４へのアクセスが禁止される。これにより、高セキュアネットワーク３へのアクセスのみが許可され、セキュリティ性が確保される。また、高セキュアネットワーク３との接続時にのみ記憶部１５内のデータ２１へのアクセスが許可され、高セキュアネットワーク３でのみデータ２１の使用が可能となる。【００５９】
なお、上述した実施例１の第１方式や第２方式では、信頼度情報ＤＢ１３内の情報を参照することなく、高セキュアネットワーク３へのアクセスを常に許可するものとしたが、低セキュアネットワーク４と同様にして、高セキュアネットワーク３についてもそのＮＷ識別子ＨＮＷと接続可を示す情報（「○」）を対としてテーブルＴＢ２に書き込むようにし、このテーブルＴＢ２を参照することにより、高セキュアネットワーク３へのアクセスの可否を判断するようにしてもよい。【００６０】
また、上述した実施例１の第２方式では、高セキュアネットワーク３を通じてのデータ２１の取得と低セキュアネットワーク４を通じての照合情報２２の取得を同時に行うようにしたが、高セキュアネットワーク３を通じて取得したデータ２１を記憶部１５に保存した後、通信端末１が低セキュアネットワーク４の通信圏内に入るなどした時点で、低セキュアネットワーク４を通じて照合情報２２を取得し、この取得した照合情報２２と記憶部１５に保存されているデータ２１とを照合するようにしてもよい。【００６１】
また、上述した実施例１の第１方式や第２方式では、低セキュアネットワーク４の数を１つとした例で説明したが、実際には低セキュアネットワーク４は複数存在する。図８に、一例として、低セキュアネットワーク４−１，４−２，４−３の３つが存在する場合を示す。【００６２】
この図８に示したアクセス制御システムにおいて、例えば実施例１の第１方式を採用するものとした場合、通信端末１の信頼度情報ＤＢ１３には、次のようにして信頼度情報のデータベースが構築されて行く。【００６３】
なお、図８において、低セキュアネットワーク４−１のＮＷ識別子はＬＮＷ１、低セキュアネットワーク４−２のＮＷ識別子はＬＮＷ２、低セキュアネットワーク４−３のＮＷ識別子はＬＮＷ３とする。また、サーバ２は、アプリケーションやコンテンツなどのデータ２１−１，２１−２，２１−３を有し、このデータ２１−１，２１−２，２１−３のハッシュ値として照合情報２２−１，２２−２，２２−３を有するものとする。また、データ２１−１のデータ識別子は＃ＤＡ、データ２１−２のデータ識別子は＃ＤＢ、データ２１−３のデータ識別子は＃ＤＣとする。【００６４】
この場合、通信端末１は、高セキュアネットワーク３を通じて照合情報２２−１を取得し、低セキュアネットワーク４−１を通じてデータ２１−１を取得し、この取得した照合情報２２−１とデータ２１−１とを照合する。【００６５】
ここで、その照合結果が「一致」であった場合、低セキュアネットワーク４−１から取得したデータ２１−１を信頼できるものと判断し、データ２１−１のデータ識別子＃ＤＡに対応づけて、高セキュアネットワーク３のＮＷ識別子ＨＮＷ、低セキュアネットワーク４−１のＮＷ識別子ＬＮＷ１を信頼度情報ＤＢ１３内のテーブルＴＢ１に書き込む（図９Ａ参照）。また、低セキュアネットワーク４−１のＮＷ識別子ＬＮＷ１と接続可であることを示す情報（「○」）を対として、テーブルＴＢ２に書き込む（図９Ａ参照）。【００６６】
次に、高セキュアネットワーク３を通じて照合情報２２−２を取得し、低セキュアネットワーク４−２を通じてデータ２１−２を取得し、この取得した照合情報２２−２とデータ２１−２とを照合する。【００６７】
ここで、その照合結果が「不一致」であった場合、低セキュアネットワーク４−２から取得したデータ２１−２を信頼できないと判断し、データ２１−２のデータ識別子＃ＤＢに対応づけて、使用可能なネットワークが存在しないことを示す情報（「−」）を信頼度情報ＤＢ１３内のテーブルＴＢ１に書き込む（図９Ｂ参照）。また、低セキュアネットワーク４−２のＮＷ識別子ＬＮＷ２と接続不可であることを示す情報（「×」）を対として、テーブルＴＢ２に書き込む（図９Ｂ参照）。【００６８】
次に、高セキュアネットワーク３を通じて照合情報２２−３を取得し、低セキュアネットワーク４−２を通じてデータ２１−３を取得し、この取得した照合情報２２−３とデータ２１−３とを照合する。【００６９】
ここで、その照合結果が「不一致」であった場合、低セキュアネットワーク４−３から取得したデータ２１−３を信頼できないと判断し、データ２１−３のデータ識別子＃ＤＣに対応づけて、使用可能なネットワークが存在しないことを示す情報（「−」）を信頼度情報ＤＢ１３内のテーブルＴＢ１に書き込む（図９Ｃ参照）。また、低セキュアネットワーク４−３のＮＷ識別子ＬＮＷ３と接続不可であることを示す情報（「×」）を対として、テーブルＴＢ２に書き込む（図９Ｃ参照）。【００７０】
以上説明したように、このシステムによれば、高セキュアネットワーク上のサーバへの攻撃を防ぐことができる。これは、複数のネットワークからデータと照合情報をダウンロードし照合処理を行うことで、偽装サーバ上の悪意のあるデータではないことが分かるからである。【００７１】
その理由としては、１）複数のネットワークからサーバに到達できるため、サーバは同一のものでインターネット上に置かれているか、もしくは、２）サーバは偽装されているが、データが改ざんされていないため悪意のあるデータではないことが分かるからである。これにより、低セキュアネットワーク上の悪意のあるデータによって高セキュアネットワークが攻撃されることを防ぐことができる。【００７２】
また、このシステムによれば、ＤＮＳが詐称されたネットワークへのアクセスを防ぐことができる。これは、信頼度情報ＤＢ内の信頼度情報を利用することでネットワークへのアクセスの可否を判断するからである。【００７３】
また、このシステムによれば、サーバ設置コストが低減できる。これまでは、信頼のおけるサーバを設置する際、証明書取得などのコストがかかっていた。しかし、このシステムでは、サーバ側に照合情報を格納するだけでその他の準備が必要なく、セキュリティレベルを向上することが可能である。【００７４】
なお、実施例１の第１方式では、高セキュアネットワーク３を通じて照合情報２２を取得し、実施例１の第２方式では、低セキュアネットワーク４を通じて照合情報２２を取得するようにしたが、高セキュアネットワーク３および低セキュアネットワーク４のそれぞれからデータ２１を取得し、この高セキュアネットワーク３および低セキュアネットワーク４から取得した各データ２１からハッシュ値を生成し、この生成したハッシュ値を比較（ハッシュ比較）するようにしてもよい。また、この場合、必ずしもハッシュ比較としなくてもよく、取得したデータ２１のバイナリ値を比較するバイナリ比較としてもよい。このような方式を実施例１の第３方式と呼ぶ。【００７５】
〔実施例２：実施例１の第３方式を採用した例〕
図１０はこの発明に係るアクセス制御システムの他の実施例（実施例２）の構成を示す図である。この実施例２では、後述する実施例３のアクセス制御システムで使用する通信端末と区別するために、通信端末１を１Ａとする。【００７６】
通信端末１Ａは、通信制御部１１、照合部１２、信頼度情報ＤＢ１３、信頼度情報ＤＢ構築部１４、記憶部１５、データアクセス部１６を持つ。【００７７】
この実施例２のアクセス制御システムにおいて、通信端末１Ａの通信制御部１１は、ネットワークに接続して通信を行う制御部であり、ＮＷ識別部１１１と通信部１１２を持つ。【００７８】
ＮＷ識別部１１１は、接続されているネットワークを識別する手段である。図１０では、高セキュアネットワーク３に接続されているか低セキュアネットワーク４に接続されているかを判断する。例えば、３Ｇ無線であれば接続中のネットワーク名、無線ＬＡＮであれば接続しているアクセスポイントのＢＳＳＩＤおよびＥＳＳＩＤなどで接続されているネットワークを判断する。【００７９】
通信部１１２は、高セキュアネットワーク３、低セキュアネットワーク４のいずれかを経由してサーバ２からアプリケーションやコンテンツなどのデータを取得する手段である。例えば、３Ｇ無線、Ethernet（登録商標）、無線ＬＡＮ（IEEE802.11）、Bluetooth（登録商標）などが挙げられる。【００８０】
また、通信部１１２は、取得したデータをその識別子（データ識別子）とネットワークの識別子（ＮＷ識別子）と共に照合部１２に渡す機能を有している。データ識別子は、例えばＵＲＬなどがあり、「http://foo.bar.com/sample.exe」などで表せる。さらに、通信部１１２は、通信端末１がネットワークにアクセスする際、信頼度情報ＤＢ１３内の信頼度情報を参照することでアクセスの可否を判断する機能を有している。この通信部１１２が有する機能が本発明でいうネットワークアクセス可否判断手段に対応する。【００８１】
照合部１２は、通信部１１２から渡されたデータ、データ識別子、ＮＷ識別子を基にデータを照合する。具体的には、すでにダウンロードされているデータと一致するか否かを照合し、その照合結果に応じて、信頼度情報ＤＢ構築部１４を経由し、信頼度情報ＤＢ１３内の情報を更新する。【００８２】
記憶部１５は、取得したデータを格納する手段である。照合部１２は、サーバ２からデータ２１をダウンロードした際に通信端末１内にデータが存在しない場合は、初めてダウンロードしたデータとみなし、記憶部１５にそのデータを格納する。【００８３】
信頼度情報ＤＢ１３は、信頼度情報として、データ識別子とＮＷ識別子の対応づけ（テーブルＴＢ１）、およびＮＷ識別子と接続可否情報の対応づけ（テーブルＴＢ２）を格納するデータベースである。【００８４】
信頼度情報ＤＢ構築部１４は、照合部１２から渡されたデータ識別子、ＮＷ識別子、照合結果情報を基に、信頼度情報ＤＢ１３内のテーブルＴＢ１およびＴＢ２の内容を更新して行く手段である。【００８５】
データアクセス部１６は、通信端末１のユーザやアプリケーションからのデータアクセス要求があった際、現在接続されているネットワークのＮＷ識別子(ＮＷ識別部１１１から取得)と信頼度情報ＤＢ１３内の情報を参照することで、記憶部１５に格納されているデータへのアクセスの可否を判断する機能を有している。このデータアクセス部１６が有する機能が本発明でいうデータアクセス可否判断手段に対応する。【００８６】
〔データのダウンロード〕
次に、図１１に示すフローチャートを参照して、ユーザが通信端末１Ａを用いて、サーバ２からデータ２１をダウンロードする場合の動作を説明する。【００８７】
通信端末１Ａは、通信部１１２を使用して、サーバ２からデータ２１を取得する（ステップＳ１０１）。この際、通信部１１２は、ＮＷ識別部１１１からＮＷ識別子を取得する。すなわち、データ２１の取得に使用したネットワークのＮＷ識別子を取得する。そして、通信部１１２は、取得したデータ、そのデータの識別子、そのデータの取得に使用したネットワークのＮＷ識別子を照合部１２に引き渡す。【００８８】
照合部１２は、記憶部１５および信頼度情報ＤＢ１３を検索し、同一のデータ識別子を持つデータが既に存在するかどうかを調べる(Ｓ１０２)。最初にデータ２１を取得したときは、記憶部１５および信頼度情報ＤＢ１３にはそのデータ２１のデータ識別子に対応する情報はまだ格納されていない。【００８９】
この場合、ステップＳ１０３のＮＯに応じて、照合部１２はデータ２１を記憶部１５に保存する（ステップＳ１０４）。また、信頼度情報ＤＢ構築部１４を経由して、データ識別子とＮＷ識別子との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ１に書き込む（ステップＳ１０５）。また、ＮＷ識別子が低セキュアネットワークの識別子であった場合、信頼度情報ＤＢ構築部１４を経由して、そのＮＷ識別子と接続可否の情報との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ２に書き込む（ステップＳ１０６）。【００９０】
なお、この例では、最初に、高セキュアネットワーク３を使用して、データ２１を取得するものとする。この場合、信頼度情報ＤＢ１３内のテーブルＴＢ１には、図１２に示すように、データ２１のデータ識別子＃ＤＡに対応づけて高セキュアネットワーク３のＮＷ識別子ＨＮＷが書き込まれる。【００９１】
最初にデータをダウンロードしたときに、これをネットワークと対応づけるということは、そのデータは「ダウンロードに使用した」ネットワークを使用して動作してよい、ということを表す。逆に言えば、ダウンロードに使用したネットワーク以外のネットワークに接続中にデータの動作を制限（通信拒否など）する、ということになる。【００９２】
次に、同じデータ（同じデータ識別子を持つもの）を２回目以降ダウンロードしようとした場合を説明する。この例では、低セキュアネットワーク４を使用して、同じデータ（同じデータ識別子を持つもの）を取得するものとする。この場合も、通信部１１２はデータ、データの識別子、ＮＷ識別子を照合部１２に引き渡す。【００９３】
照合部１２は、記憶部１５および信頼度情報ＤＢ１３を検索し、同一のデータ識別子を持つデータが既に存在するかどうかを調べる（ステップＳ１０２）。今回は２回目のダウンロードなので同一のデータ識別子を持つデータが見つかる。【００９４】
照合部１２は、ステップＳ１０３のＹＥＳに応じ、記憶部１５に保存されている同一のデータ識別子を持つデータ（前回ダウンロードしたデータ）と今回取得したデータが同一であるか否かを照合する（ステップＳ１０７）。これには例えば、そのデータのハッシュ値を比較するハッシュ比較、そのデータのバイナリ値を比較するバイナリ比較など、各種の照合方法が考えられる。【００９５】
これは、前回ダウンロードしたデータと今回取得したデータとを照合していることに他ならない。すなわち、高セキュアネットワーク３から取得したデータと低セキュアネットワーク４から取得したデータとを照合していることに他ならない。【００９６】
この照合において、完全に一致した場合は（ステップＳ１０８のＹＥＳ）、今回取得したデータは前回取得したデータと全く同一のものであることが保証できる。これはすなわち、前回取得したサーバと同一のサーバから同じデータを取得したといえる。【００９７】
この場合、照合部１２は、信頼度情報ＤＢ構築部１４を経由して、今回取得したデータ２１のデータ識別子＃ＤＡとそのデータ２１の取得に使用したネットワークのＮＷ識別子ＬＮＷとの対応づけを信頼度情報ＤＢのテーブルＴＢ１に追加する（ステップＳ１０５：図１３参照）。また、信頼度情報ＤＢ構築部１４を経由して、低セキュアワーク４のＮＷ識別子ＬＮＷと接続可を示す情報（「○」）との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ２に書き込む（ステップＳ１０６：図１３参照）。【００９８】
なお、取得したデータが一致しなかった場合は（ステップＳ１０８のＮＯ）、今回取得したデータ２１’を破棄する（ステップＳ１０９）。また、信頼度情報ＤＢ構築部１４を経由して、低セキュアネットワーク４のＮＷ識別子ＬＮＷと接続不可を示す情報（「×」）との対応づけを信頼度情報ＤＢ１３内のテーブルＴＢ２に書き込む（ステップＳ１０６：図１４）。【００９９】
〔ダウンロードされたデータへのアクセス〕
次に、通信端末１の記憶部１５内にダウンロードされたデータにアクセスする際の処理について説明する。今、通信端末１のユーザやアプリケーションから、記憶部１５内のデータ２１に対するアクセス要求があったとする。【０１００】
この際、データアクセス部１６は、要求先のデータ２１のデータ識別子＃ＤＡとＮＷ識別部１１１から取得したＮＷ識別子とを使用して信頼度情報ＤＢ１３を検索し、記憶部１５に保存されているデータ２１にアクセス可能か否かを判断する。【０１０１】
例えば、今、信頼度情報ＤＢ１３内のテーブルＴＢ１の内容が図１３に示すような状態であったとする。この場合、データアクセス部１６は、信頼度情報ＤＢ１３内のテーブルＴＢ１において、データ識別子＃ＤＡとＮＷ識別子ＨＮＷ／ＬＮＷとが対応づけられていることから、高セキュアネットワーク３との接続時および低セキュアネットワーク４との接続時に、記憶部１５内のデータ２１へのアクセスを許可する。【０１０２】
これに対し、信頼度情報ＤＢ１３内のテーブルＴＢ１の内容が例えば図１４に示すような状態であった場合、データアクセス部１６は、信頼度情報ＤＢ１３内のテーブルＴＢ１において、データ識別子＃ＤＡにはＮＷ識別子ＨＮＷしか対応づけられていないことから、高セキュアネットワーク３との接続時にしか、記憶部１５内のデータ２１へのアクセスを許可しない。【０１０３】
〔ネットワークへのアクセス〕
次に、通信端末１がネットワークに接続する際の処理について説明する。ネットワークへ接続する際、通信部１１２は、ＮＷ識別部１１１からＮＷ識別子を取得する。そして、その取得したＮＷ識別子を使用して信頼度情報ＤＢ１３を検索し、ネットワークへのアクセスの可否を判断する。【０１０４】
例えば、今、信頼度情報ＤＢ１３内のテーブルＴＢ２の内容が図１３に示すような状態であったとする。この場合、通信部１１２は、信頼度情報ＤＢ１３内のテーブルＴＢ２において、ＮＷ識別子ＬＮＷと接続可を示す情報（「○」」とが対応づけられていることから、低セキュアネットワーク４へのアクセスを許可する。【０１０５】
これに対し、信頼度情報ＤＢ１３内のテーブルＴＢ２の内容が例えば図１４に示すような状態であった場合、通信部１１２は、信頼度情報ＤＢ１３内のテーブルＴＢ２において、ＮＷ識別子ＬＮＷと接続不可を示す情報（「×」」とが対応づけられていることから、低セキュアネットワーク４へのアクセスを許可しない。【０１０６】
〔実施例３：実施例１の第１方式を採用した例〕
次に、実施例３について、図面を参照して詳細に説明する。実施例２では、データのダウンロード時に記憶部１５および信頼度情報ＤＢ１３を検索し、データ識別子が同じデータが存在する場合は図１１のステップＳ１０８において同一のデータか否かを判定していた。これに対し、実施例３では、データの一部を異なるネットワークからダウンロードし、照合することで同一データであることを判定する。【０１０７】
図１５は実施例３のアクセス制御システムの構成を示す図である。この実施例３では使用する通信端末１を１Ｂとする。この通信端末１Ｂには、通信制御部１１に属性解析部１１３が追加され、照合部１２に照合データ生成部１２１とデータ照合部１２２が追加されている。【０１０８】
通信部１１２は、高セキュアネットワーク３を経由してサーバ２からデータ２１の属性ファイル２３を取得する（図１６のステップＳ２０１）。属性解析部１１３は、取得した属性ファイル２３内に照合情報が含まれているか否かを判定する（ステップＳ２０２）。【０１０９】
この実施例３において、照合情報とは、データを特定するデータであり、ダウンロード元が発行する鍵であってもよいし、前述したようなデータのハッシュ値でもよい。また、ハッシュ値のように一方向関数によって導き出された不可逆な値でもよいが特に規定しない。ここではデータのハッシュ値とする。【０１１０】
ここで、照合情報が含まれていない場合（ステップＳ２０３のＮＯ）、高セキュアネットワーク３からデータ２１の本体を取得する（ステップＳ２０４）。照合情報が含まれている場合は（ステップＳ２０３のＹＥＳ）、属性ファイル２３内に記載されているＵＲＬよりデータ２１の本体を異なるネットワーク経由で取得する（ステップＳ２０５）。この例では、属性ファイル２３内に含まれている使用するネットワークの記載（後述）に応じ、低セキュアネットワーク４より取得する。【０１１１】
次に、データの照合処理へ遷移する。照合情報生成部１２１は、取得したデータ２１から照合情報を生成する（ステップＳ２０６）。ここでは、先述したように、データ２１のハッシュ値を計算する。【０１１２】
データ照合部１２２は、照合情報生成部１２１が生成したハッシュ値とステップＳ２０２で取得したハッシュ値とを比較する（ステップＳ２０７）。これは、高セキュアネットワーク３から取得したデータと低セキュアネットワーク４から取得したデータとを照合していることに他ならない。【０１１３】
ここで、ハッシュ値が一致しない場合は（ステップＳ２０８のＮＯ）、意図しないサーバからデータを取得したとみなし、取得したデータを破棄する（ステップＳ２０９）。その後の処理は図１１のステップＳ１０５からの処理と同じである。【０１１４】
ハッシュ値が一致する場合は（ステップＳ２０８のＹＥＳ）、同じサーバ２から取得したデータ２１であるとみなす。すなわち、低セキュアネットワーク４上の詐称されたサーバ２’から取得したデータ２１’ではないと判断する。その後の処理は図１１のステップＳ１０４からの処理と同じである。【０１１５】
次に、実施例３の動作について、さらに具体的に説明する。この例では、携帯端末（通信端末）におけるＪａｖａアプリケーションのダウンロードを例として説明する。携帯端末は、高セキュアネットワークであるセルラネットワークと低セキュアネットワークである無線ＬＡＮネットワークに接続されているものとする。ダウンロードしたＪａｖａアプリケーションは、実行中にいずれかの前記ネットワークを使用して図１５のサーバ２と通信を行うことを想定している。【０１１６】
まず、Ｊａｖａアプリケーションのダウンロード処理について説明する。通常、Ｊａｖａアプリケーションのダウンロードは、ＡＤＦファイルまたはＪＡＤファイルと呼ばれる属性ファイルをダウンロードするところから始まる。携帯端末では、Ｊａｖａアプリケーションのサイズや作成元などの属性の検証を行い、必要であれば携帯端末のユーザにダウンロードしてよいかの確認を行う。ダウンロードすることが決定すると、携帯端末にＪａｖａアプリケーションの本体をダウンロードする。以下では、この流れに沿って説明する。【０１１７】
図１５において、通信端末１Ｂのユーザは、図示しない入力装置などからダウンロードしたいＪａｖａアプリケーションを選択する。この際、通信端末１Ｂの通信部１１２は、選択されたＪａｖａアプリケーションの属性ファイル２３をサーバ２より取得する。属性ファイル２３はセルラネットワーク３経由で取得する。【０１１８】
取得した属性ファイル２３は属性解析部１１３へと渡る。本実施例における属性ファイル２３を図１７に示す。属性ファイル２３には、データ名のほか、データ本体のＵＲＬ、および使用するネットワークの種類（この例では、セルラ／無線ＬＡＮ）が記載されている。さらに、データ本体のハッシュ値が照合情報２２として記載されている。ここでハッシュ値を生成するためのハッシュ関数は特に規定しないが、サーバ２と通信端末１Ｂにてあらかじめ決められているものでもよいし、セルラネットワーク３を管理する通信事業者が規定するものでもよい。また、属性ファイル２３内に記載されていてもよい。【０１１９】
属性解析部１１３は、属性ファイル２３の検証を行い、無線ＬＡＮネットワーク４を使用するか否かを判定する。本実施例では、図１７に示すように照合情報２２としてハッシュ値が記載され、かつ使用するネットワークとして無線ＬＡＮが記載されているので、無線ＬＡＮネットワーク４を使用するＪａｖａアプリケーションと判定する。取得した属性ファイル２３は、通信部１１２によって記憶部１５へと格納される。【０１２０】
次に、属性ファイル２３内のデータＵＲＬに基づき無線ＬＡＮネットワーク４経由でデータ２１の本体（アプリＡ）を取得する。照合情報生成部１２１は、取得したアプリＡのハッシュ値を計算し、データ照合部１２２は属性ファイル２３内のハッシュ値との照合を行う。この様子を図１８に示す。【０１２１】
データ照合部１２２は、属性ファイル２３内のハッシュ値と算出されたハッシュ値とが一致した場合、取得したアプリＡは改ざんされておらず、信頼ができるものと判断し、セルラネットワーク３および無線ＬＡＮネットワーク４の両方のネットワークでの使用を許可する。【０１２２】
すなわち、信頼度情報ＤＢ１３のテーブルＴＢ１に、アプリＡのデータ識別子＃Ａに対応づけて、セルラネットワーク３のＮＷ識別子ＣＥＬＮおよび無線ＬＡＮネットワーク４のＮＷ識別子ＷＬＡＮ１を書き込む。また、信頼度情報ＤＢ１３のテーブルＴＢ２に、無線ＬＡＮネットワーク４のＮＷ識別子ＷＬＡＮ１と接続可であることを示す情報（「○」）との対応づけを書き込む。この様子を図１９に示す。また、取得したアプリＡを記憶部１５に保存する。【０１２３】
次に、ダウンロードしたアプリＡの実行時の処理について説明する。データアクセス部１６は、アプリＡに対するアクセス要求を受け、アプリＡのデータ識別子＃ＡとＮＷ識別部１１１から取得したＮＷ識別子とを使用して信頼度情報ＤＢ１３を検索し、記憶部１５内のアプリＡにアクセス可能か否かを判断する。【０１２４】
この場合、データアクセス部１６は、信頼度情報ＤＢ１３内のテーブルＴＢ１において、データ識別子＃ＡとＮＷ識別子ＣＥＬＮ／ＷＬＡＮ１とが対応づけられていることから、セルラネットワーク３との接続時および無線ＬＡＮネットワーク４との接続時に、記憶部１５内のアプリＡへのアクセスを許可する。【０１２５】
また、通信部１１２は、ＮＷ識別部１１１からＮＷ識別子を取得し、この取得したＮＷ識別子を使用して信頼度情報ＤＢ１３を検索し、ネットワークへのアクセスの可否を判断する。この場合、信頼度情報ＤＢ１３内のテーブルＴＢ２において、ＮＷ識別子ＷＬＡＮ１と接続可を示す情報（「○」」とが対応づけられていることから、無線ＬＡＮネットワーク４へのアクセスを許可する。また、セルラネットワーク３については、そのネットワークへのアクセスを常に許可する。【０１２６】
これにより、通信端末１Ｂでは、セルラネットワーク３および無線ＬＡＮネットワーク４を同時に、あるいは切り替えて、記憶部１５内のアプリＡを使用することが可能となる。【０１２７】
なお、この実施例３は、実施例１の第１方式を採用した場合の例について説明したが、これと同様にして実施例１の第２方式を採用することができる。この場合、通信部１１２は、低セキュアネットワーク４を経由してサーバ２から属性ファイル２３を取得し、高セキュアネットワーク３を経由してサーバ２からデータ２１を取得する。【０１２８】
また、上述した実施例１〜３では、ダウンロードしたデータ２１はサーバ２のみと通信を行うこととしているがこれに限らない。すなわち、サーバ２が信頼できると判定された場合、同じサブネット内やドメイン内のサーバであれば信頼できると判断し通信を許可してもよい。この場合、データ２１は複数のサーバと通信ができる。【０１２９】
また、サーバ２とは別のサーバが信頼できると判定された場合、そのサーバとの通信を許可してもよい。この場合、データ２１は、サーバ２だけでなく複数のサーバと通信ができる。【０１３０】
また、上述した実施例１〜３では、照合処理が一致しなかった場合、そのＮＷ識別子を持つ低セキュアネットワークへのアクセスを禁止していたが、これに限らない。すなわち、任意の時間経過後に再び照合処理を行い、一致した場合はアクセスを許可する、などの復帰処理を行ってもよい。【０１３１】
また、上述した実施例１〜３では、データへのアクセスの可否の判断とネットワークへのアクセスの可否の判断を組み合わせて行うようにしたが、データへのアクセスの可否の判断を単独で行うようにしたり、ネットワークへのアクセスの可否の判断を単独で行うようにしたりしてもよい。【０１３２】
ネットワークへのアクセスの可否の判断を単独で行う場合、偽装された低セキュアネットワーク４から取得したデータ２１’は、高セキュアネットワークで使用されてしまうことが考えられるため、通信端末１内に保存せずに破棄する。
【産業上の利用可能性】
【０１３３】
本発明のアクセス制御システム、アクセス制御方法および通信端末は、 アプリケーションやコンテンツなどのデータやネットワークへのアクセスを制御するアクセス制御システム、アクセス制御方法および通信端末として、様々な分野で利用することが可能である。
【図１】
0005397380.tif 000002
【図２】
0005397380.tif 000003
【図３】
0005397380.tif 000004
【図４】
0005397380.tif 000005
【図５】
0005397380.tif 000006
【図６】
0005397380.tif 000007
【図７】
0005397380.tif 000008
【図８】
0005397380.tif 000009
【図９Ａ】
0005397380.tif 000010
【図９Ｂ】
0005397380.tif 000011
【図９Ｃ】
0005397380.tif 000012
【図１０】
0005397380.tif 000013
【図１１】
0005397380.tif 000014
【図１２】
0005397380.tif 000015
【図１３】
0005397380.tif 000016
【図１４】
0005397380.tif 000017
【図１５】
0005397380.tif 000018
【図１６】
0005397380.tif 000019
【図１７】
0005397380.tif 000020
【図１８】
0005397380.tif 000021
【図１９】
0005397380.tif 000022