(57)【要約】      （修正有）【課題】プライベートネットワークへのアクセスと認証を自動化し、また、認証サーバにＷＥＢ機能およびＶＰＮルータ機能を必要とすることなく仮想ネットワークを構築可能とする。【解決手段】接続部が接続した状態で、クライアント端末を介して、認証サーバに識別子を自動送信する識別子送信部とを備える、クライアント端末から着脱可能な小型端末と、小型端末の識別子に基づいて認証を行う認証部と、選択された通信プロトコル及び暗号化方式に応じて、クライアント端末に対して、通信を暗号化するためのソフトウェアを配布する配布部と、配布されたソフトウェアから自動送信された、対象装置へのアクセス要求情報を受信する受信部と、受信したアクセス要求情報に応じてクライアント端末と対象装置とのアクセスを代理応答するリダイレクト部とを備える認証サーバとを備える。【選択図】図２
2014082638.tif 000002
【特許請求の範囲】
【請求項１】
公衆回線を通じてプライベートなネットワークにアクセスするクライアント端末と、前記クライアント端末の認証を行う認証サーバと、前記プライベートなネットワーク上に配置された対象装置とを含む仮想ネットワーク構築システムにおいて、
前記クライアント端末に接続する接続部と、
前記接続部が接続した状態で、前記クライアント端末を介して、前記認証サーバに識別子を自動送信する識別子送信部とを備える、前記クライアント端末から着脱可能な小型端末と、
前記小型端末の識別子に基づいて認証を行う認証部と、
前記認証部にて認証した際に、前記クライアント端末と前記認証サーバとが通信する通信プロトコル及び暗号化方式を選択する通信方法選択部と、
前記選択された通信プロトコル及び暗号化方式に応じて、前記クライアント端末に対して、通信を暗号化するためのソフトウェアを配布する配布部と、
前記選択された通信プロトコル及び暗号化方式に基づいて、前記クライアント端末との通信を暗号化する暗号化部と、
前記配布されたソフトウェアから自動送信された、前記対象装置へのアクセス要求情報を受信する受信部と、
前記受信したアクセス要求情報に応じて前記クライアント端末と前記対象装置とのアクセスを、代理応答するリダイレクト部とを備える認証サーバとを有する仮想ネットワーク構築システム。
【請求項２】
前記暗号化部は、
前記識別子に応じて、ＲＣ４、３ＤＥＳ又はＡＥＳのいずれかの暗号化方式で、通信を暗号化することを特徴とする請求項１記載の仮想ネットワーク構築システム。
【請求項３】
前記小型端末は、前記クライアント端末から送信されるデータを記録するための
メモリを有さないことを特徴とする請求項１または２記載の仮想ネットワーク構築システム。
【請求項４】
前記ソフトウェアは、
前記クライアント端末に、
前記選択された通信プロトコルに応じて、前記クライアント端末のネットワーク設定を自動で変更するネットワーク設定機能を有することを特徴とする請求項１から３いずれか１項記載の仮想ネットワーク構築システム。
【請求項５】
前記ソフトウェアは、
前記クライアント端末に、
前記接続部と前記クライアント端末との接続が切断されたことを判定し、
前記接続要求情報及び前記ソフトウェアを自動消去する消去部を提供することを特徴とする請求項１から４いずれか１項記載の仮想ネットワーク構築システム。
【請求項６】
前記ソフトウェアは、
前記クライアント端末にアクセス用画面を表示させるための画面表示機能を有することを特徴とする請求項１から５いずれか１項記載の仮想ネットワーク構築システム。
【請求項７】
前記画面送信機能は、
前記認証サーバの位置を示す識別情報を秘匿することを特徴とする請求項６記載の仮想ネットワーク構築システム。
【請求項８】
前記ソフトウェアは、
前記接続部と前記クライアント端末との接続が切断されたことを判定し、
前記アクセス用画面を表示しない機能を有することを特徴とする請求項６または７記載の仮想ネットワーク構築システム。
【請求項９】
公衆回線を通じてプライベートなネットワークにアクセスするクライアント端末と、前記クライアント端末の認証を行う認証サーバと、前記プライベートなネットワーク上に配置された対象装置とを含む仮想ネットワーク構築方法において、
前記クライアント端末から着脱可能な小型端末が、
前記クライアント端末に接続するステップと、
前記接続部が接続した状態で、前記クライアント端末を介して、前記認証サーバに識別子を自動送信するステップと、
前記認証サーバが、
前記小型端末の識別子に基づいて認証を行うステップと、
前記認証部にて認証した際に、前記クライアント端末と前記認証サーバとが通信する通信プロトコル及び暗号化方式を選択するステップと、
前記選択された通信プロトコル及び暗号化方式に応じて、前記クライアント端末に対して、通信を暗号化するためのソフトウェアを配布するステップと、
前記選択された通信プロトコル及び暗号化方式に基づいて、前記クライアント端末との通信を暗号化するステップと、
前記配布されたソフトウェアから自動送信された、前記対象装置への接続要求情報を受信するステップと、
前記受信した接続要求情報に応じて前記クライアント端末と前記対象装置との接続を、代理応答するステップとを実現する仮想ネットワーク構築方法。
【請求項１０】
公衆回線を通じてプライベートなネットワークにアクセスするクライアント端末と、前記クライアント端末の認証を行う認証サーバと、前記プライベートなネットワーク上に配置された対象装置とを含む仮想ネットワーク構築システムの小型端末において、
前記クライアント端末に接続する接続部と、
前記認証サーバに認証を行わせるための識別子を記録する識別子記録部と、
前記接続部が接続した状態で、前記クライアント端末を介して、前記認証サーバに識別子を自動送信する識別子送信部とを有するものであって、
前記識別子に基づいて、前記クライアント端末が前記対象装置にアクセスするために、前記クライアント端末を前記認証サーバに認証させる、前記クライアント端末から着脱可能な小型端末。
【請求項１１】
公衆回線を通じてプライベートなネットワークにアクセスするクライアント端末と、前記クライアント端末の認証を行う認証サーバと、前記プライベートなネットワーク上に配置された対象装置とを含む仮想ネットワーク構築システムの認証サーバにおいて、
前記クライアント端末に接続された小型端末に記録された識別子を受け付ける受付部と、
前記識別子に基づいて認証を行う認証部と、
前記認証部にて認証した際に、前記クライアント端末と前記認証サーバとが通信する通信プロトコル及び暗号化方式を選択する通信方法選択部と、
前記選択された通信プロトコル及び暗号化方式に応じて、前記クライアント端末に対して、通信を暗号化するためのソフトウェアを配布する配布部と、
前記選択された通信プロトコル及び暗号化方式に基づいて、前記クライアント端末との通信を暗号化する暗号化部と、
前記配布されたソフトウェアから自動送信された、前記対象装置へのアクセス要求情報を受信する受信部と、
前記受信したアクセス要求情報に応じて前記クライアント端末と前記対象装置とのアクセスを、代理応答するリダイレクト部とを備える認証サーバ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、仮想ネットワーク構築システム、仮想ネットワーク構築方法、小型端末並びに認証サーバに関するものである。
【背景技術】
【０００２】
近年、組織などのセキュアなプライベートネットワークに外部からアクセスするシステムとして、専用線に代えてＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ；仮想プライベートネットワーク）のような仮想ネットワークを構築するシステムが多く用いられている。ＶＰＮは、通信データをカプセル化して、公衆回線の一般ユーザから見えないようにして通信する、トンネリングという技術を用いて実現されている。
【０００３】
ＶＰＮシステムとして従来多く利用されているものとして、ＩＰＳｅｃ−ＶＰＮ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ−ＶＰＮ）やＳＳＬ−ＶＰＮ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔ  Ｌａｙｅｒ−ＶＰＮ）が挙げられる。ＩＰＳｅｃ−ＶＰＮは、ＩＰパケットをＩＰＳｅｃプロトコルによって暗号化し、ネットワーク層でのアクセス制御を行っているものである。一方で、ＳＳＬ−ＶＰＮは、ＳＳＬを利用して暗号化し、アプリケーション層でのアクセス制御を行っているものである。
【０００４】
しかし、従来のＩＰＳｅｃ−ＶＰＮシステムでは、クライアント側に専用アプリのインストールが必要で管理者の負担が大きかった。また、セキュアなプライベートネットワークに穴をあけてしまうことになり、セキュリティ上のリスクがあった。
【０００５】
一方でＳＳＬ−ＶＰＮの場合、ＩＤとパスワードによって認証を行うだけで、アクセスできてしまい、セキュリティ強度が低く、また、使用できるアプリケーションがＷＥＢに限定される、という課題があった。
【０００６】
特許文献１には、ＩＰＳｅｃ−ＶＰＮとＳＳＬ−ＶＰＮでのアクセス制御を組み合わせることで、プライベートネットワークへのアクセスがＳＳＬ／ＴＬＳからセキュアに提供されるシステムについて開示されている。これは、コンピュータシステム上に格納されたルーティングテーブルに変更を実施するルーティング要素と、該コンピュータシステムから外部送信パケットを受信する受信機と、該受信機と通信して、該外部送信パケットに関する情報をＶＰＮクライアントアプリケーションへ送信する送信機と、該受信機と該送信機と通信するパケット書換機であって、該外部送信パケットのアドレス情報を書き換えるパケット書換機とを備えることで実現している。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００７−２０２１７８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、特許文献１に開示されているシステムでは、認証を行うサーバのＵＲＬを公開しているため、悪意のある第三者から不正アクセスやサーバーテロなどの攻撃を受けるおそれがあった。また、認証をＩＤ及びパスワードで行っているため、パスワードクラッキングや盗聴等によって、パスワードが盗まれてしまうと、誰でも簡単にアクセスできるという問題があった。
【０００９】
そこで、本発明は、上記事情に鑑み、プライベートネットワークへのアクセスと認証を自動化し、また、認証サーバにＷＥＢ機能およびＶＰＮルータ機能を必要とすることなく仮想ネットワークを構築可能な、仮想ネットワーク構築システム、仮想ネットワーク構築方法、仮想ネットワーク構築プログラム並びに小型端末を提供することを目的とするものである。
【課題を解決するための手段】
【００１０】
本発明に係る仮想ネットワーク構築システムは、公衆回線を通じてプライベートなネットワークにアクセスするクライアント端末と、クライアント端末の認証を行う認証サーバと、プライベートなネットワーク上に配置された対象装置とを含む仮想ネットワーク構築システムにおいて、クライアント端末に接続する接続部と、接続部が接続した状態で、クライアント端末を介して、認証サーバに識別子を自動送信する識別子送信部とを備える、クライアント端末から着脱可能な小型端末と、小型端末の識別子に基づいて認証を行う認証部と、認証部にて認証した際に、クライアント端末と認証サーバとが通信する通信プロトコル及び暗号化方式を選択する通信方法選択部と、選択された通信プロトコル及び暗号化方式に応じて、クライアント端末に対して、通信を暗号化するためのソフトウェアを配布する配布部と、選択された通信プロトコル及び暗号化方式に基づいて、クライアント端末との通信を暗号化する暗号化部と、配布されたソフトウェアから自動送信された、対象装置へのアクセス要求情報を受信する受信部と、受信したアクセス要求情報に応じてクライアント端末と対象装置とのアクセスを代理応答するリダイレクト部とを備える認証サーバとを備える。
【００１１】
「プライベートなネットワーク」は、企業等の組織内のネットワークをいう。イントラネットのような公衆回線からファイヤーウォールで隔離された閉ざされたネットワークであってもよい。
【００１２】
「対象装置」は、プライベートなネットワーク上に配置された装置をいう。メールサーバやＷＥＢサーバ等、企業等の組織内でサービスを提供する装置を指してもよい。
【００１３】
「小型端末」は、仮想ネットワーク構築システムに用いられる小型な端末をいう。クライアント端末と接続可能であり、携帯可能なサイズのものを指してもよい。
【００１４】
「接続部」は、クライアント端末と接続する箇所をいう。接続インタフェースとして、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｉｒｉａｌ  Ｂｕｓ）やＩＥＥＥ１３９４等のシリアルバスを用いて接続するものとしてもよい。
【００１５】
「識別子送信部」は、認証サーバに識別子を送信するものをいう。接続部がクライアント端末と接続した際に、自動で識別子を送信するものとしてもよい。
【００１６】
「識別子」は、小型端末に固有の情報を記したものをいう。具体的には、小型端末のＩＤや認証用のデータ等のことをいう。
【００１７】
また、小型端末は、クライアント端末から送信されるデータを記録するためのメモリを有さないものとしてもよい。例えば、接続部及び識別子送信部を、ＣＭＯＳ回路上に直接書き込んで制御することで、メモリ機能を有さないものとしてもよい。
【００１８】
「認証部」は、アクセスしてきた端末に対して、認証を行うものをいう。アクセス元の小型端末の識別子をデータベース上に記録された識別子と比較し、一致した場合に、アクセスを許可するものとしてもよい。
【００１９】
「配布部」は、クライアント端末にソフトウェアを配布するものをいう。通信を暗号化するためのソフトウェアを配布するものとしてもよい。配布部は、小型端末の識別子に応じて配布するソフトウェアの種類を選択するものとしてもよい。
【００２０】
「通信方法選択部」は、クライアント端末と認証サーバとの通信方法を選択するものをいう。小型端末の識別子に基づいて、通信プロトコル及び暗号化方式を選択するものとしてもよい。例えば、ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｈｅａｄｅｒ）、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｅｄ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）やＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）などを通信プロトコルとして選択してもよい。
【００２１】
「暗号化部」は、アクセス元である端末と認証サーバとの通信を暗号化するものをいう。暗号化部は、識別子に応じて、ＲＣ４、３ＤＥＳ又はＡＥＳのいずれかの暗号化方式で通信を暗号化するものとしてもよい。
【００２２】
「受信部」は、対象装置へのアクセス要求情報を受信するものをいう。
【００２３】
「アクセス要求情報」は、認証サーバに対して、どの装置にアクセスしたいか、クライアント端末が要求するものをいう。アクセスしたい対象装置を特定できる、ＩＰアドレス等の情報を含むものとしてもよい。
【００２４】
「リダイレクト部」は、クライアント端末と対象装置との接続を代理するものをいう。プロキシサーバとしての機能のことを指してもよい。具体的には、公衆回線から対象装置にアクセスする端末がある際に、すべてリダイレクト部にアクセスさせ、キャッシュにない情報だけを対象装置から取得する（公衆回線から受け取ったリクエストを対象装置に中継する）。
【００２５】
「ソフトウェア」は、認証サーバからクライアント端末に配布され、認証サーバとクライアント端末との通信を暗号化するものをいう。配布部からクライアント端末に配布されたソフトウェアは、クライアント端末上で、一時ファイルとして保存されてもよいし、インストールして展開されるものとしてもよい。
【００２６】
また、ソフトウェアは、クライアント端末に、選択された通信プロトコルに応じて、クライアント端末のネットワーク設定を自動で変更するネットワーク設定機能を有するものとしてもよい。
【００２７】
「ネットワーク設定機能」は、ネットワークの設定を書き換えるものをいう。例えば、クライアント端末のＩＰアドレス、ネットワークアドレス、ルーティングテーブル等の設定を変更するものをいってもよい。
【００２８】
また、ソフトウェアは、クライアント端末に、接続部とクライアント端末との接続が切断されたことを判定し、アクセス要求情報及びソフトウェアを自動消去する消去機能を有するものとしてもよい。
【００２９】
「消去機能」は、小型端末に記録された情報を消去するものをいう。アクセス要求情報やソフトウェアを消去するものとしてもよい。
【００３０】
また、ソフトウェアは、クライアント端末にアクセス用画面を表示させるための画面表示機能を有するものとしてもよい。
【００３１】
「アクセス用画面」は、クライアント端末が対象装置にアクセスする際に、クライアント端末上に表示される画面をいう。また、ソフトウェアは、接続部とクライアント端末との接続が切断されたことを判定し、アクセス用画面を表示しない機能を有してもよい。具体的には、アクセス用画面は、小型端末がクライアント端末と接続中に表示され、接続が切断されると表示されなくなるものとしてもよい。
【００３２】
「画面表示機能」は、クライアント端末にアクセス用画面を表示させるものをいう。また、画面表示機能は、認証サーバの位置を示す識別情報を秘匿するものとしてもよい。例えば、アクセス用画面に認証サーバや対象装置のＵＲＬを表示しないようにしてもよい。
【００３３】
「クライアント端末」は、認証サーバとの通信回路を有する端末をいう。例えば、ノートＰＣ、携帯電話等の携帯端末等が挙げられる。
【００３４】
また、本発明に係る、仮想ネットワーク構築方法は、公衆回線を通じてプライベートなネットワークにアクセスするクライアント端末と、クライアント端末の認証を行う認証サーバと、プライベートなネットワーク上に配置された対象装置とを含む仮想ネットワーク構築方法において、クライアント端末から着脱可能な小型端末が、クライアント端末に接続するステップと、接続部が接続した状態で、クライアント端末を介して、認証サーバに識別子を自動送信するステップと、認証サーバが、小型端末の識別子に基づいて認証を行うステップと、認証部にて認証した際に、クライアント端末と認証サーバとが通信する通信プロトコル及び暗号化方式を選択するステップと、選択された通信プロトコル及び暗号化方式に応じて、クライアント端末に対して、通信を暗号化するためのソフトウェアを配布するステップと、選択された通信プロトコル及び暗号化方式に基づいて、クライアント端末との通信を暗号化するステップと、配布されたソフトウェアから自動送信された、対象装置へのアクセス要求情報を受信するステップと、受信したアクセス要求情報に応じてクライアント端末と対象装置とのアクセスを、代理応答するステップとを実現する。
【００３５】
また、本発明に係る仮想ネットワーク構築システムの小型端末は、公衆回線を通じてプライベートなネットワークにアクセスするクライアント端末と、クライアント端末の認証を行う認証サーバと、プライベートなネットワーク上に配置された対象装置とを含む仮想ネットワーク構築システムの小型端末において、クライアント端末に接続する接続部と、認証サーバに認証を行わせるための識別子を記録する識別子記録部と、接続部が接続した状態で、クライアント端末を介して、認証サーバに識別子を自動送信する識別子送信部とを有するものであって、識別子に基づいて、クライアント端末が対象装置にアクセスするために、クライアント端末を認証サーバに認証させクライアント端末から着脱可能なものである。
【００３６】
また、本発明に係る、仮想ネットワーク構築システムの認証サーバは、公衆回線を通じてプライベートなネットワークにアクセスするクライアント端末と、クライアント端末の認証を行う認証サーバと、プライベートなネットワーク上に配置された対象装置とを含む仮想ネットワーク構築システムの認証サーバにおいて、クライアント端末に接続された小型端末に記録された識別子を受け付ける受付部と、識別子に基づいて認証を行う認証部と、認証部にて認証した際に、クライアント端末と認証サーバとが通信する通信プロトコル及び暗号化方式を選択する通信方法選択部と、選択された通信プロトコル及び暗号化方式に応じて、クライアント端末に対して、通信を暗号化するためのソフトウェアを配布する配布部と、選択された通信プロトコル及び暗号化方式に基づいて、クライアント端末との通信を暗号化する暗号化部と、配布されたソフトウェアから自動送信された、対象装置へのアクセス要求情報を受信する受信部と、受信したアクセス要求情報に応じてクライアント端末と対象装置とのアクセスを、代理応答するリダイレクト部とを備える。
【発明の効果】
【００３７】
本発明に係る仮想ネットワーク構築システム、仮想ネットワーク構築方法は、クライアント端末から着脱可能な小型端末が、クライアント端末に接続するステップと、接続部が接続した状態で、クライアント端末を介して、認証サーバに識別子を自動送信するステップと、認証サーバが、小型端末の識別子に基づいて認証を行うステップと、認証部にて認証した際に、クライアント端末と認証サーバとが通信する通信プロトコル及び暗号化方式を選択するステップと、選択された通信プロトコル及び暗号化方式に応じて、クライアント端末に対して、通信を暗号化するためのソフトウェアを配布するステップと、選択された通信プロトコル及び暗号化方式に基づいて、クライアント端末との通信を暗号化するステップと、配布されたソフトウェアから自動送信された、対象装置へのアクセス要求情報を受信するステップと、受信したアクセス要求情報に応じてクライアント端末と対象装置とのアクセスを、代理応答するステップとを実現する際には、認証サーバとの接続を小型端末が自動で行うことができ、企業等の組織内のプライベートなネットワークへアクセス可能な端末を限定することが可能となり、また認証サーバにＷＥＢ機能およびＶＰＮルータ機能を搭載する必要がなくなり、悪意のある第三者から攻撃を受ける可能性を低減することが可能となる。
【００３８】
また、本発明に係る小型端末は、クライアント端末に接続する接続部と、認証サーバに認証を行わせるための識別子を記録する識別子記録部と、接続部が接続した状態で、クライアント端末を介して、認証サーバに識別子を自動送信する識別子送信部とを有するものであって、識別子に基づいて、クライアント端末が対象装置にアクセスするために、クライアント端末を認証サーバに認証させる、クライアント端末から着脱可能なものである際においては、小型端末をクライアント端末に接続することで、利用者は自動的にプライベートネットワーク上の対象装置にアクセスすることが可能となる。
【００３９】
また、本発明に係る認証サーバは、クライアント端末に接続された小型端末に記録された識別子を受け付ける受付部と、識別子に基づいて認証を行う認証部と、認証部にて認証した際に、クライアント端末と認証サーバとが通信する通信プロトコル及び暗号化方式を選択する通信方法選択部と、選択された通信プロトコル及び暗号化方式に応じて、クライアント端末に対して、通信を暗号化するためのソフトウェアを配布する配布部と、選択された通信プロトコル及び暗号化方式に基づいて、クライアント端末との通信を暗号化する暗号化部と、配布されたソフトウェアから自動送信された、対象装置へのアクセス要求情報を受信する受信部と、受信したアクセス要求情報に応じてクライアント端末と対象装置とのアクセスを、代理応答するリダイレクト部とを備える際においては、認証サーバにＷＥＢ機能を搭載する必要がなくなり、悪意のある第三者から攻撃を受ける可能性を低減することが可能となる。
【００４０】
また、本発明に係る暗号化部が、識別子に応じて、ＲＣ４、３ＤＥＳ又はＡＥＳのいずれかの暗号化方式で通信を暗号化する際においては、組織内のネットワークのセキュリティレベルに応じて適切な暗号化方式を選択することが可能となる。
【００４１】
また、本発明に係る小型端末が、クライアント端末から送信されるデータを記録するためのメモリを有さないものである際においては、小型端末上の情報をコピーされることを防げ、また、小型端末に情報を記憶させて盗みだされることを防ぐことが可能となる。
【００４２】
また、本発明に係るソフトウェアが、選択された通信プロトコルに応じて、クライアント端末のネットワーク設定を自動で変更するネットワーク設定機能を有する際においては、利用者が企業内のネットワークにアクセスする際に、ルータ等の専用のネットワーク機器が不要になり、また、複雑なネットワーク設定を省略することが可能となる。
【００４３】
また、本発明に係るソフトウェアが、接続部とクライアント端末との接続が切断されたことを判定し、アクセス要求情報及びソフトウェアを消去する消去機能を有する際においては、クライアント端末上から、接続に関する情報を消去することが可能となり、履歴を悪用されることを防ぐことが可能となる。
【００４４】
また、本発明に係るソフトウェアが、クライアント端末にアクセス用画面を表示させるための画面表示機能を有する際においては、クライアント端末に搭載されているブラウザから認証サーバにアクセスすることを防ぐことが可能となり、キャッシュやアクセス履歴等の情報をソフトウェアで管理することが可能となる。
【００４５】
また、本発明に係る画面表示機能が、認証サーバの位置を示す識別情報を秘匿する際においては、悪意のある第三者から認証サーバの位置を秘匿することでセキュリティを高めることが可能となる。
【００４６】
また、本発明に係るソフトウェアが、接続部とクライアント端末との接続が切断されたことを判定し、アクセス用画面を表示しない機能を有する際においては、小型端末をクライアント端末から切断することでアクセス用画面を表示しないようにすることが可能となる。
【図面の簡単な説明】
【００４７】
【図１】本発明の第１の実施形態に係る仮想ネットワーク構築システムの処理の概略図
【図２】本発明の第１の実施形態に係る仮想ネットワーク構築システムのブロック図
【図３】本発明の第１の実施形態に係る小型端末の処理を表すフローチャート
【図４】本発明の第１の実施形態に係る認証サーバの処理を表すフローチャート
【図５】本発明の第１の実施形態に係るクライアント端末のアクセス時の処理を表すフローチャート
【図６】本発明の第１の実施形態に係るクライアント端末の切断時の処理を表すフローチャート
【図７】本発明の第２の実施形態に係る仮想ネットワーク構築システムのブロック図
【図８】本発明の第２の実施形態に係るクライアント端末のアクセス時の処理を表すフローチャート
【図９】本発明の第２の実施形態に係るクライアント端末の切断時の処理を表すフローチャート
【発明を実施するための形態】
【００４８】
［第１の実施形態］
以下、本発明の第１の実施の形態を図１乃至図６を用いて説明する。
【００４９】
本実施形態において、仮想ネットワーク構築システムは、認証サーバ１００と、クライアント端末２５０と、小型端末２００と、対象装置３００とを備えている。
【００５０】
第１の実施形態において、仮想ネットワーク構築システムは、クライアント端末２５０に接続する接続部２０２と、接続部２０２が接続した状態で、クライアント端末２５０を介して、認証サーバ１００に識別子を自動送信する識別子送信部２０３とを備える、クライアント端末２５０から着脱可能な小型端末２００と、小型端末２００の識別子に基づいて認証を行う認証部１０２と、認証部１０２にて認証した際に、クライアント端末２５０と認証サーバ１００とが通信する通信プロトコル及び暗号化方式を選択する通信方法選択部１１２と、選択された通信プロトコル及び暗号化方式に応じて、クライアント端末２５０に対して、通信を暗号化するためのソフトウェアを配布する配布部１１１と、選択された通信プロトコル及び暗号化方式に基づいて、クライアント端末２５０との通信を暗号化する暗号化部１１３と、配布されたソフトウェアから自動送信される、対象装置３００へのアクセス要求情報を受信する受信部１１４と、受信したアクセス要求情報に応じてクライアント端末２５０と対象装置３００とのアクセスを、代理応答するリダイレクト部１１５とを備える認証サーバ１００とを備える。
【００５１】
仮想ネットワーク構築システムは、コンピュータまたはサーバを備え、各種入力に基づきＣＰＵがＲＯＭに記録されたプログラムを実行することで、各種機能部として動作する。該プログラムは、ＣＤ−ＲＯＭ等の記憶媒体に記憶され、もしくはインターネット等のネットワークを介して配布され、コンピュータにインストールされるものであってもよい。
【００５２】
図１を用いて本実施形態に係る仮想ネットワーク構築システムの処理の概略について説明する。
【００５３】
まず、小型端末２００は、クライアント端末２５０と接続すると（ＳＴＥＰ１）、認証サーバ１００に識別子を送信する（ＳＴＥＰ２）。
【００５４】
識別子は、小型端末２００に固有の情報を記したものをいう。具体的には、小型端末２００のＩＤや認証用のデータ等のことをいう。
【００５５】
送信された識別子に応じて、認証サーバ１００が認証を行う（ＳＴＥＰ３）。認証サーバ１００は、小型端末２００から自動送信される識別子を認証に用いるため、アクセス用のＷＥＢ機能を有する必要がなく、よりセキュリティ強度を上げることが可能となる。
【００５６】
認証サーバ１００は、認証に成功すると、識別子に応じて、ソフトウェアをクライアント端末２５０に配布する（ＳＴＥＰ４）。
【００５７】
ソフトウェアは、認証サーバ１００からクライアント端末２５０に配布され、認証サーバ１００とクライアント端末２５０との通信を暗号化する。配布部１１１からクライアント端末２５０に配布されたソフトウェアは、本実施形態では、一時ファイルとしてクライアント端末２５０に保存されるが、インストールして展開されるものとしてもよい。
【００５８】
ソフトウェアは暗号化等の機能を有している。認証サーバ１００は複数の暗号化方式のうち、識別子に応じた暗号化方式を選択し、適切なソフトウェアを配布する。本実施形態において、クライアント端末２５０と認証サーバ１００は、３ＤＥＳにて暗号化を行い、ＩＰＳｅｃ−ＶＰＮ方式にて通信を行う。本実施形態では、ソフトウェアを一次と二次に分けて配布を行う。どちらもクライアント端末２５０から認証サーバ１００への通信を暗号化するものである。一次ソフトウェアは、小型端末２００が送信した識別子を認証サーバ１００が認証した後に配布され、アクセス要求情報を送信する。二次ソフトウェアは、一次ソフトウェアが送信したアクセス要求情報をもとに、認証サーバ１００が認証した後に配布され、そのアクセス用画面を表示する。
【００５９】
クライアント端末２５０は、配布された一次ソフトウェアを一時ファイルとして保存する（ＳＴＥＰ５）。
【００６０】
一次ソフトウェアは、クライアント端末２５０のネットワーク設定を必要があれば適切に変更する（ＳＴＥＰ６）。本実施形態では、クライアント端末２５０が認証サーバ１００にＩＰＳｅｃ−ＶＰＮでアクセスするため、設定を変更する必要がある。この場合、対象装置３００が配置されているイントラネットと同一のネットワークに属するように、クライアント端末２５０のＩＰアドレス、ネットワークアドレス、デフォルトゲートウェイ等の設定を書き換え、ルーティングテーブルにイントラネットのルータの所在地を追加する。このように、クライアント端末２５０のネットワーク設定の変更をソフトウェアが自動で行うため、複雑なネットワーク設定処理や、専用のルータ等の設備が不要となる。
【００６１】
クライアント端末２５０のネットワーク設定が適切な状態になると、一次ソフトウェアは、認証サーバ１００との通信を暗号化する（ＳＴＥＰ７）。本実施形態では３ＤＥＳによって暗号化を行う。暗号化された通信で、一次ソフトウェアは認証サーバ１００に対して、アクセス要求情報を送信する（ＳＴＥＰ８）。
【００６２】
アクセス要求情報は、認証サーバ１００に対して、どの装置にアクセスしたいか要求するものをいう。具体的には、アクセスしたい対象装置３００を特定できるようにＩＰアドレス等の情報を含んでいる。本実施形態では、メールサーバ３０２及び業務サーバ３０３のＩＰアドレスを含んでいる。
【００６３】
認証サーバ１００は、一次ソフトウェアが有効なものであるかを、一次ソフトウェアのＩＤ及び配布履歴等から認証し（ＳＴＥＰ９）、認証に成功したクライアント端末２５０に対して、二次ソフトウェアを配布する（ＳＴＥＰ９）。そして、リダイレクト部１１５が、代理応答を行う（ＳＴＥＰ１１）。具体的には、アクセス要求情報のうち、認証サーバ１００のキャッシュにある情報については、キャッシュ上の情報を応答し、キャッシュにない情報についてはメールサーバ３０２あるいは業務サーバ３０３から取得し、クライアント端末２５０に中継する（ＳＴＥＰ１０）。
【００６４】
二次ソフトウェアは、クライアント端末２５０にアクセス用画面を表示し、認証サーバ１００から取得した情報を表示する（ＳＴＥＰ１２）。これにより、利用者は公衆回線８００から、企業内のメールサーバ３０２上のメールを取得でき、また業務サーバ３０３上に保管されたファイル等を閲覧可能となる。
【００６５】
アクセス用画面は、認証サーバ１００の中継を介して、クライアント端末２５０が対象装置３００にアクセスする際に、クライアント端末２５０上に表示される画面をいう。本実施形態においては、アクセス用画面上で、利用者は、メールサーバ３０２のメールや、業務サーバ３０３のファイルの閲覧を行う。具体的には、タブ構造をもつブラウザのような画面で、表示対象をタブによって切り替えて、メールやファイルの閲覧を行う。
【００６６】
二次ソフトウェアは、接続部２０２とクライアント端末２５０との接続が切断されたことを判定し、アクセス用画面を表示しないよう指示をだしてもよい。
【００６７】
アクセス用画面は、認証サーバ１００の中継を介して、クライアント端末２５０が対象装置３００にアクセスする際に、クライアント端末２５０上に表示される画面をいう。
【００６８】
ソフトウェアは、接続部２０２とクライアント端末２５０との接続が切断されたことを判定し、アクセス用画面を表示しないよう指示をだしてもよい。
【００６９】
本実施形態では、アクセス用画面は、小型端末２００がクライアント端末２５０と接続中に表示され、接続が切断されると表示されなくなる。
【００７０】
小型端末２００とクライアント端末２５０との接続が切断される（ＳＴＥＰ１３）と、二次ソフトウェアがアクセス用画面、アクセス履歴、及びソフトウェアを消去する（ＳＴＥＰ１４）。また、ネットワーク設定を通信前の状況に回復する（ＳＴＥＰ１５）。
【００７１】
図２は、本実施形態に係る仮想ネットワーク構築システムのブロック図である。本実施形態では、クライアント端末２５０は、プライベートなネットワーク上の対象装置３００に、公衆回線８００を介してアクセスを行う。
【００７２】
プライベートなネットワークは、企業等の組織内のネットワークをいう。本実施形態では、公衆回線８００からファイヤーウォール８５０で隔離された、企業のイントラネットを指す。
【００７３】
対象装置３００は、プライベートなネットワーク上に配置された装置をいう。本実施形態においては、対象装置３００は、メールサーバ３０２、ＷＥＢサーバ３０１、業務サーバ３０３である。対象装置３００は、ファイヤーウォール８５０の内側に設置されている。
【００７４】
クライアント端末２５０は、小型端末２００が挿入されると、公衆回線８００から対象装置３００にアクセス可能となる。この際、認証サーバ１００による認証を通過する必要がある。認証サーバ１００は、ＤＭＺ上に設置されている。一方でクライアント端末２５０及び小型端末２００は、公衆回線８００上に設置されている。
【００７５】
小型端末２００は、仮想ネットワーク構築システムに用いられる小型な端末をいう。クライアント端末２５０と接続可能であり、携帯可能なサイズである。小型端末２００は、識別子記憶部２０１と、接続部２０２と、識別子送信部２０３とを備えている。
【００７６】
識別子記憶部２０１は、識別子が書き込まれた回路上の領域をいう。
【００７７】
小型端末２００は、接続部２０２において、クライアント端末２５０と接続する。接続インタフェースとして、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｉｒｉａｌ  Ｂｕｓ）やＩＥＥＥ１３９４等のシリアルバスを用いて接続するものとしてもよい。本実施形態では小型端末２００はクライアント端末２５０とＵＳＢ接続をする。
【００７８】
識別子送信部２０３は、認証サーバ１００に識別子を送信するものをいう。接続部２０２がクライアント端末２５０と接続した際に、自動で識別子を送信する。
【００７９】
また、小型端末２００はメモリ機能を有さないものとしてもよい。例えば、識別子記憶部２０１、接続部２０２及び識別子送信部２０３を、ＣＭＯＳ回路上に直接書き込んで制御することで、メモリ機能を有さないものとしてもよい。この場合、悪意のある利用者に小型端末２００の識別子を盗まれることや、クライアント端末２５０上の情報を小型端末２００にコピーされることを防ぐことが可能となる。
【００８０】
また、図２に示すように、認証サーバ１００は、データベース１０１と、認証部１０２と、受付部１１０と、配布部１１１と、通信方法選択部１１２と、暗号化部１１３と、受信部１１４と、リダイレクト部１１５とを備えている。
【００８１】
データベース１０１には、小型端末２００の識別子に関する情報が保存されている。小型端末２００が、識別子を送信してきた際に、認証サーバ１００は、データベース１０１に保存されている情報と照合し、認証を行う。
【００８２】
受付部１１０は、小型端末２００から送信される識別子を受け付けるものをいう。
【００８３】
認証部１０２は、アクセスしてきた端末に対して、認証を行う。本実施形態では、アクセス元の小型端末２００の識別子をデータベース１０１上に記録された識別子と比較し、一致した場合に、アクセスを許可する。
【００８４】
配布部１１１は、アクセス元である端末にソフトウェアを配布する。通信を暗号化するためのソフトウェア（一次及び二次）を配布するものとしてもよい。本実施形態では、配布部１１１は、小型端末２００の識別子に応じて配布するソフトウェアの種類を選択する。
【００８５】
通信方法選択部１１２は、アクセス元である端末と認証サーバ１００との通信方法を選択する。通信方法選択部１１２は、小型端末２００の識別子に基づいて、通信プロトコル及び暗号化方式を選択する。例えば、ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｈｅａｄｅｒ）、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｅｄ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）やＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）などを通信プロトコルとして選択することが可能である。
【００８６】
暗号化部１１３は、アクセス元である端末と認証サーバ１００との通信を暗号化する。暗号化部１１３は、識別子に応じて、ＲＣ４、３ＤＥＳ又はＡＥＳのいずれかの暗号化方式で通信を暗号化するものとしてもよい。
【００８７】
受信部１１４は、対象装置３００へのアクセス要求情報を受信する。
【００８８】
リダイレクト部１１５は、クライアント端末２５０と対象装置３００との接続を代理する。プロキシサーバとしての機能のことを指してもよい。具体的には、公衆回線８００から対象装置３００にアクセスする端末がある際に、すべてリダイレクト部１１５にアクセスさせ、キャッシュにない情報だけを対象装置３００から取得する（公衆回線８００から受け取ったリクエストを対象装置３００に中継する）。
【００８９】
クライアント端末２５０は、一次及び二次ソフトウェアを配布されることで、図２に示すように、暗号化通信部２５１を提供される。更に、一次及び二次ソフトウェアは、本実施形態のように画面表示機能と消去機能とネットワーク設定機能を有してもよい。本実施形態では、そのため、クライアント端末２５０は、一次及び二次ソフトウェアを配布された場合、図２のように、画面表示部２５２と、消去部２５３と、ネットワーク設定部２５４が一次及び二次ソフトウェアから提供される。
【００９０】
暗号化通信部２５１は、クライアント端末２５０から認証サーバ１００への通信を暗号化する。本実施形態では３ＤＥＳ方式による暗号化を行い、ＩＰＳｅｃ−ＶＰＮで通信する。
【００９１】
画面表示部２５２は、クライアント端末２５０にアクセス用画面を表示させる。また、画面表示部２５２は、認証サーバ１００の位置を示す識別情報を秘匿するものとしてもよい。例えば、アクセス用画面に認証サーバ１００や対象装置３００のＵＲＬを表示しないようにしてもよい。これにより、利用者から認証サーバ１００のＵＲＬを秘匿することが可能になり、悪意のある第三者が認証サーバ１００のＵＲＬをもとに攻撃を行うことを防ぐことができる。
【００９２】
ネットワーク設定部２５４は、クライアント端末２５０のネットワークの設定を書き換える。本実施形態では、ＩＰＳｅｃ−ＶＰＮが通信方法として選択されているため、クライアント端末２５０のＩＰアドレス、ネットワークアドレス、ルーティングテーブル等の設定を変更する必要がある。
【００９３】
消去部２５３は、小型端末２００に記録された情報を消去する。本実施形態では、アクセス要求情報及びアクセスの履歴、キャッシュ、Ｃｏｏｋｉｅをクライアント端末２５０上から消去する。
【００９４】
図３を用いて小型端末２００の処理フローについて詳細に説明する。図３は小型端末２００の処理を表すフローチャートである。
【００９５】
まず、対象装置３００にアクセスしてサービスの提供を受けたい利用者は、クライアント端末２５０に小型端末２００を接続する（ＳＴＥＰ１１１）。このとき、利用者は対象装置３００のセキュリティレベルに応じて、挿入する小型端末２００を選択する。本実施例では、ＩＰＳｅｃ−ＶＰＮで接続する場合を例にとって説明する。
【００９６】
ＩＰＳｅｃ−ＶＰＮで、企業のイントラネットに接続するには、ＩＰＳｅｃ−ＶＰＮに対応した小型端末２００を利用する。小型端末２００はクライアント端末２５０に接続したことを認識すると、内部のプログラムを自動的に実行させ、識別子を認証サーバ１００に自動で送信する（ＳＴＥＰ１１２）。
【００９７】
次に、認証サーバ１００の処理フローについて、図４を用いて説明する。クライアント端末２５０を介して、小型端末２００から識別子が送信されると、該識別子によって、小型端末２００を認証サーバ１００が認証する（ＳＴＥＰ２１１）。認証が成功すると、認証サーバ１００は、識別子に応じて通信プロトコル及び暗号化方式を決定する（ＳＴＥＰ２１２）。決定された通信プロトコル及び暗号化方式を実現するために必要なソフトウェアを、認証サーバ１００は、クライアント端末２５０に配布する（ＳＥＰ２１３）。クライアント端末２５０から、暗号化された通信でアクセス要求情報を受信する（ＳＴＥＰ２１４）と、認証サーバ１００は、代理応答を行う（ＳＴＥＰ２１５）。
【００９８】
次に、ソフトウェアを保存したクライアント端末２５０の処理フローを、図５及び図６を用いて説明する。
【００９９】
図５はソフトウェアを保存したクライアント端末２５０が、対象装置３００にアクセスする際の処理フローを示したチャートである。クライアント端末２５０上に配布されたソフトウェアを保存する（ＳＴＥＰ３１１）と、ネットワーク設定部２５４がクライアント端末２５０のネットワーク設定に変更が必要か判定する（ＳＴＥＰ３１２）。本実施形態では、クライアント端末２５０のネットワークアドレス、ルーティングテーブル等の変更を行う必要があるため（ＳＴＥＰ３１２；ＹＥＳ）、設定変更を行う（ＳＴＥＰ３１３）。クライアント端末２５０のネットワーク設定が認証サーバ１００と通信可能な状態となると、通信を暗号化し（ＳＴＥＰ３１４）、アクセス要求情報を認証サーバ１００に送信する（ＳＴＥＰ３１５）。認証サーバ１００から要求した情報が暗号化されて返ってくると、クライアント端末２５０にアクセス用画面を表示させ、受け取った情報を表示する（ＳＴＥＰ３１６）。
【０１００】
図６は、クライアント端末２５０と小型端末２００との接続を解除した場合の処理フローを示すチャートである。利用者がクライアント端末２５０から小型端末２００を抜くと（ＳＴＥＰ４１１）、ソフトウェアは、接続が解除されたことを検知する。このとき、画面表示部２５２は、クライアント端末２５０に表示していたアクセス用画面を消去する（ＳＴＥＰ４１２）。これにより、利用者が明示的にアクセス用画面を閉じる必要なく、認証サーバ１００との通信を終了することが可能となる。消去部２５３がクライアント端末２５０上のアクセス履歴、キャッシュ情報、クッキー等の履歴を削除する（ＳＴＥＰ４１３）。これによって、利用者が小型端末２００を抜いた後に、履歴を用いて対象装置３００に不正アクセスすることを防ぐことが可能となる。ネットワーク設定部２５４が、クライアント端末２５０のネットワーク設定を変更していた場合には、設定を復元し（ＳＴＥＰ４１４）、クライアント端末２５０上に保存されていたソフトウェアが自動で削除される（ＳＴＥＰ４１５）。
【０１０１】
［第２の実施形態］
以下、本発明の第２の実施の形態を図７乃至図９を用いて説明する。
【０１０２】
本実施形態において、仮想ネットワーク構築システムは、認証サーバ１００と、クライアント端末２５０と、小型端末２００と、対象装置３００とを備えている。
【０１０３】
第２の実施形態において、仮想ネットワーク構築システムは、クライアント端末２５０に接続する接続部２０２と、接続部２０２が接続した状態で、クライアント端末２５０を介して、認証サーバ１００に識別子を自動送信する識別子送信部２０３とを備える、クライアント端末２５０から着脱可能な小型端末２００と、小型端末２００の識別子に基づいて認証を行う認証部１０２と、認証部１０２にて認証した際に、クライアント端末２５０と認証サーバ１００とが通信する通信プロトコル及び暗号化方式を選択する通信方法選択部１１２と、選択された通信プロトコル及び暗号化方式に応じて、クライアント端末２５０に対して、通信を暗号化するためのソフトウェアを配布する配布部１１１と、選択された通信プロトコル及び暗号化方式に基づいて、クライアント端末２５０との通信を暗号化する暗号化部１１３と、配布されたソフトウェアから自動送信される、対象装置３００へのアクセス要求情報を受信する受信部１１４と、受信したアクセス要求情報に応じてクライアント端末２５０と対象装置３００とのアクセスを、代理応答するリダイレクト部１１５とを備える認証サーバ１００とを備える。
【０１０４】
本実施形態では、利用者はＳＳＬ−ＶＰＮ方式でプライベートなネットワークにアクセスを行う。そのため、クライアント端末２５０のネットワーク設定を変更する必要はない。
【０１０５】
図７は、本実施形態に係る仮想ネットワーク構築システムのブロック図である。本実施形態では、クライアント端末２５０は、プライベートなネットワーク上の対象装置３００に、公衆回線８００を介してアクセスを行う。
【０１０６】
本実施形態において、小型端末２００は、識別子記憶部２０１と、接続部２０２と、識別子送信部２０３とを備えている。
【０１０７】
また、認証サーバ１００は、データベース１０１と、認証部１０２と、受付部１１０と、配布部１１１と、通信方法選択部１１２と、暗号化部１１３と、受信部１１４と、リダイレクト部１１５とを備えている。
【０１０８】
クライアント端末２５０は、ソフトウェアを配布されることで、図７に示すように、暗号化通信部２５１を提供される。本実施形態においてはＳＳＬによって通信を暗号化する。更に、ソフトウェアは、本実施形態のように画面表示機能と消去機能とを有している。本実施形態では、そのため、クライアント端末２５０は、ソフトウェアを配布された場合、図７のように、画面表示部２５２と、消去部２５３とがソフトウェアから提供される。
【０１０９】
暗号化通信部２５１は、クライアント端末２５０から認証サーバ１００への通信を暗号化する。本実施形態ではＳＳＬ方式を用いたＨＴＴＰＳ通信を行う。
【０１１０】
画面表示部２５２は、クライアント端末２５０にアクセス用画面を表示させる。また、画面表示部２５２は、認証サーバ１００の位置を示す識別情報を秘匿するものとしてもよい。例えば、アクセス用画面に認証サーバ１００や対象装置３００のＵＲＬを表示しないようにしてもよい。これにより、利用者から認証サーバ１００のＵＲＬを秘匿することが可能になり、悪意のある第三者が認証サーバ１００のＵＲＬをもとに攻撃を行うことを防ぐことができる。
【０１１１】
ネットワーク設定部２５４は、クライアント端末２５０のネットワークの設定を書き換える。本実施形態では、ＳＳＬ−ＶＰＮによる通信を行うため、クライアント端末２５０のネットワーク設定を変更する必要はない。しかし、ＩＰＳｅｃ−ＶＰＮ等の通信方法が選択された場合、クライアント端末２５０のＩＰアドレス、ネットワークアドレス、ルーティングテーブル等の設定を変更する必要がある。
【０１１２】
消去部２５３は、小型端末２００に記録された情報を消去する。本実施形態では、アクセス要求情報及びアクセスの履歴、キャッシュ、Ｃｏｏｋｉｅをクライアント端末２５０上から消去する。
【０１１３】
次に、ソフトウェアを保存したクライアント端末２５０の処理フローを、図８及び図９を用いて説明する。
【０１１４】
図８はソフトウェアを保存したクライアント端末２５０が、対象装置３００にアクセスする際の処理フローを示したチャートである。クライアント端末２５０上に配布されたソフトウェアを保存する（ＳＴＥＰ５１１）と、通信を暗号化し（ＳＴＥＰ５１２）、アクセス要求情報を認証サーバ１００に送信する（ＳＴＥＰ５１３）。認証サーバ１００から要求した情報が暗号化されて返ってくると、クライアント端末２５０にアクセス用画面を表示させ、受け取った情報を表示する（ＳＴＥＰ５１４）。
【０１１５】
図９は、クライアント端末２５０と小型端末２００との接続を解除した場合に処理フローを示すチャートである。利用者がクライアント端末２５０から小型端末２００を抜くと（ＳＴＥＰ６１１）、ソフトウェアは、接続が解除されたことを検知する。このとき、画面表示部２５２は、クライアント端末２５０に表示していたアクセス用画面を消去する（ＳＴＥＰ６１２）。これにより、利用者が明示的にアクセス用画面を閉じる必要なく、認証サーバ１００との通信を終了することが可能となる。消去部２５３がクライアント端末２５０上のアクセス履歴、キャッシュ情報、クッキー等の履歴を削除する（ＳＴＥＰ６１３）。これによって、利用者が小型端末２００を抜いた後に、履歴を用いて対象装置３００に不正アクセスすることを防ぐことが可能となる。その後、クライアント端末２５０上に保存されていたソフトウェアが自動で削除される（ＳＴＥＰ６１４）。
【０１１６】
その他の構成、機能については第１の実施形態と同様である。
【０１１７】
仮想ネットワーク構築システム、仮想ネットワーク構築方法は、クライアント端末２５０から着脱可能な小型端末２００が、クライアント端末２５０に接続するステップと、接続部２０２が接続した状態で、クライアント端末２５０を介して、認証サーバ１００に識別子を自動送信するステップと、認証サーバ１００が、小型端末２００の識別子に基づいて認証を行うステップと、認証部１０２にて認証した際に、クライアント端末２５０と認証サーバ１００とが通信する通信プロトコル及び暗号化方式を選択するステップと、選択された通信プロトコル及び暗号化方式に応じて、クライアント端末２５０に対して、通信を暗号化するためのソフトウェアを配布するステップと、選択された通信プロトコル及び暗号化方式に基づいて、クライアント端末２５０との通信を暗号化するステップと、配布されたソフトウェアから自動送信された、対象装置３００へのアクセス要求情報を受信するステップと、受信したアクセス要求情報に応じてクライアント端末２５０と対象装置３００とのアクセスを、代理応答するステップとを実現する際には、認証サーバ１００との接続を小型端末２００が自動で行うことができ、企業等の組織内のプライベートなネットワークへアクセス可能な端末を限定することが可能となり、また認証サーバ１００にＷＥＢ機能およびＶＰＮルータ機能を搭載する必要がなくなり、悪意のある第三者から攻撃を受ける可能性を低減することが可能となる。
【０１１８】
また、小型端末２００が、クライアント端末２５０に接続する接続部２０２と、認証サーバ１００に認証を行わせるための識別子を記録する識別子記録部２０１と、接続部２０２が接続した状態で、クライアント端末２５０を介して、認証サーバ１００に識別子を自動送信する識別子送信部２０３とを有するものであって、識別子に基づいて、クライアント端末２５０が対象装置３００にアクセスするために、クライアント端末２５０を認証サーバ１００に認証させる、クライアント端末２５０から着脱可能なものである際においては、小型端末２００をクライアント端末２５０に接続することで、利用者は自動的にプライベートネットワーク上の対象装置３００にアクセスすることが可能となる。
【０１１９】
また、認証サーバ１００が、クライアント端末２５０に接続された小型端末２００に記録された識別子を受け付ける受付部１１０と、識別子に基づいて認証を行う認証部１０２と、認証部１０２にて認証した際に、クライアント端末２５０と認証サーバ１００とが通信する通信プロトコル及び暗号化方式を選択する通信方法選択部１１２と、選択された通信プロトコル及び暗号化方式に応じて、クライアント端末２５０に対して、通信を暗号化するためのソフトウェアを配布する配布部１１１と、選択された通信プロトコル及び暗号化方式に基づいて、クライアント端末との通信を暗号化する暗号化部１１３と、配布されたソフトウェアから自動送信された、対象装置３００へのアクセス要求情報を受信する受信部１１４と、受信したアクセス要求情報に応じてクライアント端末２５０と対象装置３００とのアクセスを、代理応答するリダイレクト部１１５とを備える際においては、認証サーバ１００にＷＥＢ機能を搭載する必要がなくなり、悪意のある第三者から攻撃を受ける可能性を低減することが可能となる。
【０１２０】
また、暗号化部１１３が、識別子に応じて、ＲＣ４、３ＤＥＳ又はＡＥＳのいずれかの暗号化方式で通信を暗号化する際においては、組織内のネットワークのセキュリティレベルに応じて適切な暗号化方式を選択することが可能となる。
【０１２１】
また、小型端末２００が、クライアント端末２５０から送信されるデータを記録するためのメモリを有さないものである際においては、小型端末２００上の情報をコピーされることを防げ、また、小型端末２００に情報を記憶させて盗みだされることを防ぐことが可能となる。
【０１２２】
また、ソフトウェアが、選択された通信プロトコルに応じて、クライアント端末２５０のネットワーク設定を自動で変更するネットワーク設定機能を有する際においては、利用者が企業内のネットワークにアクセスする際に、ルータ等の専用のネットワーク機器が不要になり、また、複雑なネットワーク設定を省略することが可能となる。
【０１２３】
また、ソフトウェアが、接続部２０２とクライアント端末２５０との接続が切断されたことを判定し、アクセス要求情報及びソフトウェアを消去する消去機能を有する際においては、クライアント端末２５０上から、接続に関する情報を消去することが可能となり、履歴を悪用されることを防ぐことが可能となる。
【０１２４】
また、ソフトウェアが、クライアント端末２５０にアクセス用画面を表示させるための画面表示機能を有する際においては、クライアント端末２５０に搭載されているブラウザから認証サーバ１００にアクセスすることを防ぐことが可能となり、キャッシュやアクセス履歴等の情報をソフトウェアで管理することが可能となる。
【０１２５】
また、画面表示機能が、認証サーバ１００の位置を示す識別情報を秘匿する際においては、悪意のある第三者から認証サーバ１００の位置を秘匿することでセキュリティを高めることが可能となる。
【０１２６】
また、ソフトウェアが、接続部２０２とクライアント端末２５０との接続が切断されたことを判定し、アクセス用画面を表示しない機能を有する際においては、小型端末２００をクライアント端末２５０から切断することでアクセス用画面を表示しないようにすることが可能となる。
【符号の説明】
【０１２７】
１００            認証サーバ
１０１            データベース
１０２            認証部
１１０            受付部
１１１            配布部
１１２            通信方法選択部
１１３            暗号化部
１１４            受信部
１１５            リダイレクト部
２００            小型端末
２０１            識別子記憶部
２０２            接続部
２０３            識別子送信部
２５０            クライアント端末
２５１            暗号化通信部
２５２            画面表示部
２５３            消去部
２５４            ネットワーク設定部
３００            対象装置
３０１            ＷＥＢサーバ
３０２            メールサーバ
３０３            業務サーバ
８００            公衆回線
８５０            ファイヤーウォール
【図１】
2014082638.tif 000003
【図２】
2014082638.tif 000004
【図３】
2014082638.tif 000005
【図４】
2014082638.tif 000006
【図５】
2014082638.tif 000007
【図６】
2014082638.tif 000008
【図７】
2014082638.tif 000009
【図８】
2014082638.tif 000010
【図９】
2014082638.tif 000011