(57)【要約】      （修正有）【課題】電子メールやインスタントメッセージ等において、特定のオリジネーターのアイデンティティーに制御されたアクセスを与えるための手段としてオリジネーターのアイデンティティーに複数のプロキシアイデンティティーを生成するための方法を提供する。【解決手段】少なくとも３つのセキュリティー状態が存在し、実施例において４つ以上のセキュリティー状態が存在する。セキュリティー状態は、プロキシ識別子がメッセージの伝達中にディスティネーション識別子へのアクセスに制限的であり、生成され、メッセージのソース識別子への参照のために代用される方法を制御する。システムは集合的に、互いに相互作用し、結果として別個のセキュリティー状態及び対応する挙動のマトリクスの結果となる複数のセキュリティー設定をサポートする。アクセス制御に対して、メッセージは多様な変化とともに拒絶、挑戦、検疫、または容認されることができる。【選択図】図１
2014075833.tif 000002
【特許請求の範囲】
【請求項１】
電子通信ネットワークに接続された受信者ユーザーに対する、該電子通信ネットワークに接続された他のユーザーによる通信アクセスを選択的に許可または拒絶するための方法であって、前記受信者ユーザーが関連した受信者識別子を有し、
Ａ．前記受信者ユーザーに関連した複数の別個のプロキシ識別子を生成するステップであって、前記プロキシ識別子の各々が少なくとも３つの関連するセキュリティー状態を有し、
前記状態の第１の状態が前記電気通信ネットワークに接続した相手が誰でも前記受信者ユーザーに通信アクセスすることを許可することを示し、
前記状態の第２の状態が前記電気通信ネットワークに接続した相手が誰でも前記受信者ユーザーに通信アクセスすることを拒絶することを示し、さらに、
前記状態の第３の状態が、前記プロキシ識別子に関連した予め決められた基準が満たされた場合に、前記電子通信ネットワークに接続した相手のうちの少なくとも１つの相手であって、全ての相手より少ない相手が前記受信者ユーザーに通信アクセスすることを許可すること、及び前記基準が満たされていない場合に前記受信者ユーザーに対する通信アクセスを拒絶することを条件付で示す該ステップと、
Ｂ．前記電子通信ネットワークに接続された送信者ユーザーに関連付けられた送信者識別子と、前記複数のプロキシ識別子の１つである前記受信者識別子とを含む該送信者ユーザーからのインバウンドメッセージへの応答で、受信者ユーザーが変更可能なセキュリティー設定に従い、かつ前記送信者識別子及び受信者識別子を用いて、該インバウンドメッセージに関連したセキュリティー状態を決定するために該インバウンドメッセージを処理するステップと、
Ｃ．前記決定に従い、
i.前記セキュリティー状態が前記第１の状態に該当する場合、前記インバウンドメッセージの前記受信者ユーザーへの通信アクセスを許可し、かつ、
ii.前記セキュリティー状態が前記第２の状態に該当する場合、前記インバウンドメッセージの前記受信者ユーザーへの通信アクセスを拒絶し、かつ、
iii．前記セキュリティー状態が前記第３の状態に該当し、かつ前記複数のプロキシ識別子の前記１つの前記セキュリティー状態に少なくとも部分的に関連した１つまたは複数の前記予め決められた基準を満たす場合、前記インバウンドメッセージの前記受信者ユーザーへの通信アクセスを許可し、その他の場合に、前記インバウンドメッセージの前記受信者ユーザーへの通信アクセスを拒絶することにより、
前記インバウンドメッセージの前記受信者ユーザーへの通信アクセスを制御するステップとを含み、
前記送信者識別子が電子メールアドレスであり、前記受信者識別子が電子メールアドレスである方法。        
【請求項２】
電子通信ネットワークに接続された受信者ユーザーに対する、該電子通信ネットワークに接続された他のユーザーによる通信アクセスを選択的に許可または拒絶するためのシステムであって、前記受信者ユーザーが関連した受信者識別子を有し、
Ａ．前記受信者ユーザーに関連した複数の別個のプロキシ識別子を生成する生成器であって、前記プロキシ識別子の各々が少なくとも３つの関連するセキュリティー状態を有し、
前記状態の第１の状態が前記電子通信ネットワークに接続した相手が誰でも前記受信者ユーザーに通信アクセスすることを許可することを示し、
前記状態の第２の状態が前記電子通信ネットワークに接続した相手が誰でも前記受信者ユーザーに通信アクセスすることを拒絶することを示し、さらに、
前記状態の第３の状態が、前記プロキシ識別子に関連した予め決められた基準が満たされた場合に、前記電子通信ネットワークに接続した相手のうちの少なくとも１つの相手であって、全ての相手より少ない相手が前記受信者ユーザーに通信アクセスすることを許可すること、及び基準が満たされていない場合に前記受信者ユーザーに対する通信アクセスを拒絶することを条件付で示す生成器と、
Ｂ．前記電子通信ネットワークに接続された送信者ユーザーに関連付けられた送信者識別子と、前記複数のプロキシ識別子の１つである前記受信者識別子とを含む該送信者ユーザーからのインバウンドメッセージへの応答で、受信者ユーザーが変更可能なセキュリティー設定に従い、かつ前記送信者識別子及び受信者識別子を用いて、該インバウンドメッセージに関連したセキュリティー状態を決定するために該インバウンドメッセージを処理するためのプロセッサーと、
Ｃ．i.前記セキュリティー状態が前記第１の状態に該当する場合、前記インバウンドメッセージの前記受信者ユーザーへの通信アクセスを許可し、かつ、
ii.前記セキュリティー状態が前記第２の状態に該当する場合、前記インバウンドメッセージの前記受信者ユーザーへの通信アクセスを拒絶し、かつ、
iii．前記セキュリティー状態が前記第３の状態に該当し、かつ前記複数のプロキシ識別子の前記１つの前記セキュリティー状態に少なくとも部分的に関連した１つまたは複数の前記予め決められた基準を満たす場合、前記インバウンドメッセージの前記受信者ユーザーへの通信アクセスを許可し、その他の場合に、前記インバウンドメッセージの前記受信者ユーザーへの通信アクセスを拒絶することにより、
前記インバウンドメッセージの前記受信者ユーザへの通信アクセスを制御するためのゲートとを備え、
前記送信者識別子が電子メールアドレスであり、前記受信者識別子が電子メールアドレスであるシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は概略的にコンピューターネットワークに関し、詳細に述べると、送信者及び受信者の識別子を使用して参加者の間でメッセージが交換される、（「電子メール」、「インスタントメッセージ」等の）電子通信の形式に対するアクセス制御を制御するためのシステム及び方法に関する。
【背景技術】
【０００２】
電子メールの最大の長所は、電子メールメッセージの内容及び伝達を定義する標準的なプロトコルの全世界的な使用である。しかしながら、これらの標準プロトコルは送信者のアイデンティティー（または、身元）を認証しないので、電子メール上のアクセス制御を困難な課題にしている。最近、電子メール上のアクセス制御の不十分さは商業的または他の望まれないメッセージ（スパム（spam）（すなわち、商業上または他の理由により一方的に送られて来る電子メール））の量を劇的に増大させている。
【０００３】
ここ十年間の間に、電子メールの受信箱へのアクセスを制御するためのソフトウェアシステムを作製するための試みが何百となされている。
【０００４】
本願が出願された時点において、既存の対スパム技術は、将来、スパムが媒体を使用不可能にするだろうと予測されてしまう程度に、電子メールのスパム問題を解決することに失敗していると考えられている。
【０００５】
最も一般的な手法は「スパムフィルタリング」と呼ばれている手法である。スパムフィルターはメッセージの内容、送信者のアイデンティティー（または、身元情報）、または他の特徴の評価に基づいて、メッセージが望まれているものかどうかを決定することを試みる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】米国特許第５９３０４７９号明細書
【特許文献２】米国特許第６５９１２９１号明細書
【発明の概要】
【発明が解決しようとする課題】
【０００７】
これらのフィルター技術は１つまたは複数の共通した欠点を有する。フィルターは度々、スパムメッセージの識別に失敗し、それらの伝達を許可したり、あるいは、正当なメッセージをスパムとして識別（「偽陽性」）したりする。多くのスパムを誤って識別することだけでも重大な問題であるが、正当なメッセージを阻止してしまうことは多くのユーザーにとって、特に、阻止されたメッセージが重要である可能性がある仕事上の使用において許容し難いことである。
【０００８】
フィルターがスパムを識別するために依存している特性（例えば、送信者のアイデンティティー、題目、メッセージの内容）は送信者の制御下に置かれているので、フィルターは容易に迂回されてしまう。
【０００９】
ルールに基づくフィルターはユーザー及び管理者による継続的なルールのメンテナンスを必要とする。フィルターは、全てのメッセージを全てのルールに対して処理することを必要するので計算量的な面から見て不経済であり、メッセージの伝達の待ち時間の増加につながる。
【００１０】
電子通信上のアクセスを制限するための第２の手法は認可された情報源以外の全てのアクセスを拒絶することであり、「ホワイトリスティング（white listing）」と呼ばれる。これはシステムが招待したメッセージだけが到達することを許可する。
【００１１】
メッセージがホワイトリストで保護されている電子メールアドレスに送信された場合、送信者のアイデンティティーがホワイトリストに掲載されている場合のみメッセージが伝達される。ホワイトリスト上に存在しない送信者からのメッセージは拒絶されるか、疑わしいスパムとして検疫されるか、または、一般的に、挑戦される（または、課題を提示される）。各々の拒絶動作は正当な通信に対して固有の悪化状態及び混乱状態をもたらす。
【００１２】
多くのスパムの送信者は受信メッセージを受信したがらないので、メッセージベースの挑戦（または、課題の提示）は多くの場合、正当なメッセージの送信者のみに到達するので、ホワイトリスティングは上手く作用する。
【００１３】
基礎をなしている電子メールのプロトコルに対する変更は救済とならない。（ＲＦＣ電子メール標準を規定及びサポートする機関である）ＩＥＴＦは１９９９年にＥＳＭＴＰと呼ばれる標準電子メール通信に対する認証用の拡張を規定している。しかしながら、ＥＳＭＴＰが４年以上存在するにもかかわらず、送信者によるＥＳＭＴＰの使用の要求は世界的な非認証標準（ＳＭＴＰ）で送られる大部分のメッセージを拒絶することとなるので、ほとんどの電子メールのホストまたは管理者はＥＳＭＴＰの要求をしていない。すなわち、全ての人がＥＳＭＴＰ標準に移行するまで誰もＥＳＭＴＰに移行しないので、結果的に、ＳＭＴＰの連続的かつ永続的な依存が続いている。
【００１４】
電子メールに（ペイパー式の（すなわち、メールの数に依存して料金を払う）電子メール及び保税式の電子メール等の）金銭上の制御システムを与えようとする、または、（メッセージのヘッダーの商標化された財産等の）法的な知的財産から引き出そうとする商業上の画策は多くのユーザーには許容できない程度の煩雑な設定及びサポートを必要とする。
【課題を解決するための手段】
【００１５】
本発明に達するための重要な考え方は、単一の集合として混合されたときに、所望されるメッセージを所望されないメッセージから分離することは、不可能でないにしても非常に困難であるということを認めることである。このような分離を試みる多様な試みは正当なメッセージを阻止せずにスパムに対する完全な保護を与えることができないでいる。
【００１６】
この問題の解決は、同一の集合に所望されるメッセージと所望されないメッセージが混合されることを防止する、ユーザーまたは企業によって一方的に採用することができるシステム及び方法に存在する。
【００１７】
本発明（「本製品」）は、保護された元の識別子（「オリジネーター（originator）」）の代理として作用する複数のプロキシ識別子（「プロキシ」）の確立及び管理を介して、（「電子メール」、「インスタントメッセージ」等の）送信者及び受信者の識別子を使用して参加者の間でメッセージが交換される電子通信の形式のアクセスを制御するためのシステム及び方法であって、前記プロキシの各々がオリジネーターとの通信（「接触」）のために依存しているメッセージの共同体の一部に対応するアクセスの権利を規定する別個のセキュリティー状態を持つシステム及び方法を提供する。
【００１８】
本発明の全ての実施例において、少なくとも３つのセキュリティー状態が存在し、多くの実施例において４つ以上のセキュリティー状態が存在する。セキュリティー状態は、（電子メールアドレス等の）プロキシ識別子がメッセージの伝達中にディスティネーション識別子へのアクセスに制限的であり、生成され、メッセージのソース識別子への参照のために代用される方法を制御する。
【００１９】
本発明の１つの実施例において、システムは集合的に、互いに相互作用し、結果として別個のセキュリティー状態及び対応する挙動のマトリクスの結果となる複数の（すなわち、４つ以上の）セキュリティー設定をサポートする。この実施例におけるセキュリティー状態の多様性は、例えばアクセスが許可か不許可である二者択一的なシステムに比べ、より正確であるシステムの挙動を与える。この実施例及び他の実施例において、ユーザーの特定の共同体は、メッセージが同一のディスティネーション識別子に送信された場合であっても、他のユーザーが許可されないアクセスを許可されることができる。アクセス制御に対して、メッセージは多様な変化とともに拒絶、挑戦、検疫、または容認されることができる。
【００２０】
本発明の１つの実施例において、プロキシ電子メールアドレスはメッセージがシステムを介して処理されるときに本製品によって自動的に生成及び割り当てられる、企業または個人ユーザーによって明確に生成及び割り当てられる、または、ソース電子メールアドレス及び初期のセキュリティー状態を予め決定する名前付け協定（naming convention）に従った暗黙的に生成される等を含む、多様な様式で規定されてもよい。
【００２１】
本発明の１つの実施例において、プロキシ電子メールアドレスへの参照はセキュリティー状態に依存して、対応するソースアドレスに変換されてもよいし、変換されなくてもよい。例えば、本製品によって自動的に生成されたプロキシ識別子への参照はメッセージを通して、ソース識別子によって交換されてもよい。明確に生成された、または名前付け協定を介して規定された（従って、ユーザーに既知である）プロキシアドレスはソース識別子によって交換されなくてもよい。
【発明の効果】
【００２２】
本発明の主要な効果は、所望されないメッセージが本発明のリフレクション（Reflection）システムによって保護されている識別子に伝達されることを優れた正確さで防止できることである。
【００２３】
本発明のリフレクションシステムは電子メールをフィルタリングしないので、リフレクションがインバウンドトラフィック（すなわち、外部の送信者からのトラフィック）のＳＭＴＰ受信中にメッセージを拒絶するときに、物理的なバンド幅（及び、それに関連する費用）が節約される。
【００２４】
また、本発明のリフレクションは「偽陽性」の欠点を有さない。セキュリティーモデルは首尾一貫したもので、常に、ユーザーまたはホストの組織の制御下に置かれる。
【００２５】
本発明のリフレクションはまた、格納するスパムの数が少なくてすむので、電子メールのためにかかる費用を節約することができる。
【００２６】
リフレクションは電子通信で頻繁に起きているが、発見することが難しい問題を除去することができる。例えば、電子メールにおいて、リフレクションはパーティー間の電子メールアドレスの共有を検出し、また、誰かが企業のインフラストラクチャーを介して送信することなく、企業の電子メールアドレスを使用してメールを作成している（それによって、配置されているセキュリティー及び制御を迂回している）ことを検出することができる。
【図面の簡単な説明】
【００２７】
【図１】本発明の好まれる実施例のアーキテクチャーの高レベルのブロック図である。
【図２】好まれる実施例において、セキュリティーモジュールの実施の前に、データベースが電子メールのトラフィックによってどのように利用されるか、及び、他の事前のステップを図示するフローチャートである。
【図３】本製品が強制モードで動作したときの、好まれる実施例のセキュリティーモジュールの論理及び挙動を図示するフローチャートである。
【図４】本製品がフラグモードで動作したときの、好まれる実施例のセキュリティーモジュールの論理及び挙動を図示するフローチャートである。
【図５】メッセージの内容（すなわち、だれが、どのプロキシを使用して、だれにメッセージを送信したか）、及び多様なセキュリティー設定に依存した、多様なアドレス変換を記述する公式の表である。
【図６】ログインページ。
【図７】接触者リスト。
【図８】接触者の詳細のページ。
【図９】リフレクションユーザーオプションページ。
【図１０】管理者がグローバルな免除を追加するページ。
【図１１】管理者が新規ユーザーを作成するページ。
【発明を実施するための形態】
【００２８】
本製品は３つのシステムを備える。
１．リフレクション（Reflection）メールサーバー（ＲＭＳ）
２．管理用ウェブサイト（ＡＷＳ）
３．データベースサーバー
これら３つのシステムは単一のサーバーに存在してもよいし、複数のサーバー上に多様な構成で存在してもよい。
【００２９】
リフレクション（Reflection）メールサーバーについて
本発明は、オリジネーター（originator）からの及びオリジネーターへの全ての外部のメッセージが本製品を通過することを要件とする。オリジネーター（または、保護されている元の識別子）から外部の受信者（「接触者」）へのメッセージは以下の説明において「アウトバウンドメッセージ」と呼ぶ。また、外部の送信者（「接触者」）からオリジネーターへのメッセージを「インバウンドメッセージ」と呼ぶ。
【００３０】
リフレクションメールサーバー（「ＲＭＳ」）は、セキュリティーモジュールが処理するまでインバウンドトラフィックメッセージが存在する１つのキュー（「処理前キュー」）、及び処理されたメッセージ及び戻りメッセージが最終的な伝達まで配置される第２のキュー（「伝達キュー」）の２つの格納キューを利用する。
【００３１】
ＳＭＴＰ伝達のトランスポートエンベロープ（または、伝送用封筒）に明記された送信者及び受信者の電子メールアドレスはセキュリティーモジュールにとって重要部分である。セキュリティーモジュールは後で説明される、相互作用するセキュリティー状態に基づいてメッセージが目的の受信者に伝達されるべきかを決定する。正当な理由がある場合、多様なエラーメッセージ及びウォーニングを送信者に送り返すことができる。
【００３２】
送信されたメッセージは通常、ユーザーの本製品への主要なインターフェースとして作用する多形ブラウザーインターフェース（polymorphic browser interface）である、リフレクションウイザード（Reflection Wizard）へのリンクとともに、ＲＭＳによってメッセージの最下部に取り付けられるフッターを有する。
【００３３】
リフレクションメールサーバーはまた、本発明の中心的なセキュリティー機構であるプロキシ識別子の配列の生成及び使用を管理する。
【００３４】
プロキシアドレス
各接触者には１つまたは複数のプロキシアドレスが割り当てられ、それらの各々はＰＦＣに準拠した電子メールアドレス（すなわち、最も一般的なBST99 1364948-1.065113.0011電子メールプロトコルの名前付け協定に準拠したアドレス（電子メールプロトコルの詳細はhttp://www.ietf.org/rfx.htmlを参照））である。本出願において「プロキシ識別子」は「プロキシアドレス」と同義である。
【００３５】
各接触者にはＲＭＳを通過するメッセージの送信者または受信者として、第１参照にそれ自体のプロキシアドレスが割り当てられる。本製品は各セキュリティーコードにプロパティーとして格納されている、企業及びユーザーの選択、及びデフォルトに基づいてインフラストラクチャーへのアクセスを制御する。
【００３６】
以下はオリジネーターから外部接触者へのメッセージである。
１．アウトバウンドメッセージはホスト組織の既存の電子メールインフラストラクチャーを介して処理され、本発明を実施している本製品に到達する。
２．本製品は接触者による使用のために登録されている、固有のプロキシアドレスを自動的に割り当て、記録する。プロキシアドレスが接触者に予め割り当てられている場合、それが再利用される。
３．アウトバウンドメッセージのヘッダー及び本文内のオリジネーターのアドレスへの全ての参照は対応するプロキシアドレスに変更される。例えば、オリジネーターのアドレスからのメッセージ「From:ssmith@companv.com」が外部の接触者に送信されるとする。メッセージが本製品を通過するとき、オリジネーターのアドレスssmith@company.comへの全ての参照は、この例において「From:ssmith.123@company.com」である、受信者に対応するプロキシアドレスに変更される。メッセージが接触者の受信箱に到達したとき、メッセージはアドレスssmith@company.comではなく、アドレスssmith.123@company.com（「123」に注意）から発信されたような様相を示す。この例において、プロキシアドレスはオリジネーターのアイデンティティーに個人化されたままである。すなわち、ローカルな部分「ssmith」を有し、ドメインは「company.com」のままである。他の実施例においては、プロキシアドレスはオリジネーターアドレスから判読可能な由来を含まなくでもよい。
４．オリジネーターのアドレスの参照がプロキシアドレスに代えられた後、メッセージは他の影響を受けていない電子メールメッセージと同様に伝達される。
【００３７】
以下はプロキシアドレスを介して外部の接触者からオリジネーターに送り返されたメッセージである。
１．アウトバウンドメッセージは外部の接触者によってプロキシアドレスに送られ、それは最終的にＲＭＳに到達する。
２．ＲＭＳのセキュリティーモジュールは関連するアドレスのセキュリティー状態に基づいて、（制限ではないが）以下のものを含むメッセージに対する伝達の処置を決定する。
ａ．メッセージ伝達の拒絶、メッセージは送信者に何の依頼もしない。処理の終了。
ｂ．メッセージ伝達の拒絶、メッセージが送信者に新規のプロキシを提供。処理の終了。
ｃ．メッセージ伝達の認可、メッセージは「疑わしい」として示される。３へ進む。
ｄ．メッセージ伝達を何の問題もなく認可。３へ進む。
３．伝達が認可されたメッセージに対して、インバウンドメッセージのヘッダー及び本文のプロキシアドレスへの全ての参照が対応するオリジネーターのアドレスに変更される。例を続けるために、プロキシアドレスへのメッセージは「To:ssmith.123@company.com」であるとする。メッセージが接触者の受信箱に到達したとき、メッセージは外部の接触者からオリジネーターのアドレスssmith@company.comに送信されたような様相を示す。
【００３８】
この様式において、インバウンドメッセージのプロキシアドレスは最終的な伝達で露見しておらず、アクセス制御プロトコルの機構をユーザーに対して透明にする。
【００３９】
ユーザーは他のものに影響を与えずにセキュリティーコードの使用を不能または制限することができる。
【００４０】
セキュリティー設定は電子メールアドレス自体に存在し、それゆえ、送信者が、自分が誰であると名乗るかに関わらず、または、メッセージに何を載せたかに関わらず、アドレス自体は一度不能にされると作用しなくなるので、アクセス制御を回避することは困難である。
【００４１】
管理用ウェブサイトについて
管理用ウェブサイト（「ＡＷＳ」）はプロキシの配列、セキュリティー設定、及びトラフィックの履歴に完全な制御及び完全に露呈しているインターフェースを与える。
【００４２】
ＡＷＳは３層構造で構築されている。
１．Ｊａｖａ（登録商標）サーバーページ及びサーブレット（Servlet）
２．データベースサーバー
３．アプリケーションサーバー
【００４３】
サーバーページはアプリケーションインターフェース、更新、及びデータベースサーバーからの要求データを定義し、アプリケーションサーバーによってユーザーのブラウザーで利用される結果のページ及びフォームを構築する。
【００４４】
サーバーページ及びサーブレットによって定義されたインターフェース内には、複数のアプリケーション特定のオブジェクトが存在する。
【００４５】
ユーザー
ＡＷＳ全体へのアクセスはユーザーの資格証明書（credential）の正当な認証を必要とする。好まれる実施例において、ＡＷＳはユーザーＩＤ及び対応するパスワードを使用した、正当なログインを必要とする。
【００４６】
認証及び資格証明書要求はＡＷＳ内の全てのページで施行される。
【００４７】
ＡＷＳでは、各々異なったアクセス権限を有する３つのレベルのユーザーがサポートされる。
１．スーパー管理者−完全なアクセス権を有し、サーバーの初期設定及び制御法にアクセスすることができるユーザーの唯一の種類。全体的なトラフィックの履歴の詳細及び要約へのアクセス。
２．ドメイングループ管理者（ＤＧＡ）−ドメイングループ自体、ドメイングループのユーザー、及びＤＧＡが割り当てられたドメイングループのトラフィックの履歴への完全なアクセス。
３．ユーザー−ユーザー自体のオプション、プロキシアドレス、及び個人的な履歴へのアクセス。
【００４８】
【表１】
2014075833.tif 000003
【００４９】
サーバー
サーバーオブジェクトは本製品の全体の設置に特定のプロパティー及び方法を含む。サーバーオブジェクトは「スーパー管理者」権限を有するユーザーに対してのみ利用可能である。
【００５０】
プロパティーの大部分は本製品の一般的なメールサーバーとしての挙動に関するものである。
【００５１】
これらはキューの寿命、管理ウェブサイトのＩＰアドレス、データベースのバックアップスケジュール等に対する設定を含む。
【００５２】
ドメイングループ
各リフレクションの架設（または、設置）はいかなる数の組織（または、企業）もサポートすることができる。組織は本製品のドメイングループとして管理される。ドメイングループは管理下にいかなる数のドメインを持つことができ、これらのドメインのアドレスを有するいかなる数のユーザーを持つことができ、また、いかなる数のドメイングループ管理者（ＤＧＡ）がドメイングループを管理してもよい。
【００５３】
接触者
本発明のリフレクションシステムはユーザーからメッセージを受信した、またはユーザーにメッセージを送信した全ての外部の接触者をカタログに載せる。接触者はセキュリティー設定を有するプロキシアドレス及び、それに登録されている接触者のセキュリティープロフィールの両方である。
【００５４】
【表２】
2014075833.tif 000004
【００５５】
免除（exemption）
システムは免除（または、例外）をサポートする。
【００５６】
履歴
本製品は組織（または、企業）に送信された、または組織から送信された各メッセージに対する記述的な情報を記録する。個々のメッセージの履歴項目は履歴要約レポートの全体に統合され、設定可能な時間の長さの間オンライン上に残された後、削減される。
【００５７】
図１−好まれる実施例のアーキテクチャー
本発明のリフレクションメールサーバー（「ＲＭＳ」）はセキュリティーモジュールが処理するまでインバウンドトラフィックメッセージが存在する１つのキュー（「処理前キュー」）１０２、及び処理されたメッセージ及び戻りメッセージが最終的な伝達まで配置される第２のキュー（「伝達キュー」）１０６の２つの電子メールキューを利用する。
【００５８】
（組織（または、企業）１００のメールサーバーまたは外部の接触者１１４のメールサーバーからの）インバウンドメッセージはインバウンドキュー１０２で受信され、格納される。外部ソース１１４からのインバウンドメッセージは本製品のセキュリティーを受ける。
【００５９】
セキュリティーの施行はＳＭＴＰプロトコル１１２を使用して、インバウンドメッセージの受信中に行われる。トランスポートエンベロープ（または、伝送用封筒）の送信者及び受信者のアドレスが受信されるとすぐに、ＳＭＴＰプロトコルハンドラーはリフレクションセキュリティーモジュール１１０に、このメッセージ１１６に対するセキュリティー処置を取得するように要求する。入力されるメッセージの残りの部分の引き続きの処理はリフレクションセキュリティーモジュール１０８から戻されるセキュリティー応答１１８に基づいて行われる。
【００６０】
メッセージを伝達できる場合、それは処理前キュー１０２に置かれる。メッセージが伝達できない場合、延期または拒絶１２０が送信サーバー１１４に送り返される。
【００６１】
延期を受けるメッセージは（通常、３０〜６０分の）特定の時間だけ延期される。これは送信サーバー１１４が「正しく挙動している」ことのテストである。スパム（すなわち、商業上または他の理由により一方的に送られて来る電子メール）を送信する多くのサーバーは延期されたメッセージを処理しないので、延期されたメッセージはそのようなソース（または、発信源）から再送信されないだろう。
【００６２】
通常のキュースケジュールを使用することにより、各インバウンドメッセージは本製品のメッセージ変換モジュール１０４によって処理され、それは、・メッセージをそのままの状態で、または、・以下に説明されるように、メッセージを何らかのレベルの付加、変更、または他の変換とともに、伝達キュー１０６に置く。
【００６３】
伝達キュー１０６はインバウンドメッセージを組織（または、企業）の内部電子メールインフラストラクチャー１００、または外部のディスティネーション１１４に伝達するだろう。伝達キューは（ドメイン名サービス（ＤＮＳ）等の）伝達場所を決定するための標準的なディスティネーションルックアップ機構（destination lookup mechanism）を使用するか、または、既知の内部ドメインへのメールを内部電子メールインフラストラクチャー１００に送信し、他のメールをインターネット１１４に送信するルーティング表（routing table）を使用することができる。
【００６４】
図２−インバウンドメッセージの準備
本製品がメールを処理するとき、それはデータベースを新規のアドレス、容量統計値（volume statistic）、及び履歴追跡とともに更新する。図２は好まれる実施例における、インバウンドメッセージの受信中になされる、データベースの準備の詳細を示している。
【００６５】
インバウンドメッセージの準備は特定のメッセージにセキュリティー処置（security disposition）が戻される前に実施される。
【００６６】
入力されるメッセージで試験される最初の内容は、受信者のアドレスがリフレクション（Reflection）によって保護されているドメインに存在するかどうかである２００。
【００６７】
リフレクションに到達したメッセージがリフレクションによって保護されているドメインのアドレスに送信（「インバウンド」）されるか、またはそのようなアドレスから送信（「アウトバウンド」）されなければならないことに注意することは重要である。ローカルメールはローカルに伝達されなければならず、従って、リフレクションは同一のドメインのアドレスからの、または同一のドメインのアドレスへの電子メールを監視しない。
【００６８】
各々のドメインが単一のリフレクションの架設（または、設置）で管理されている１つの組織（または、企業）から他の組織へメールが送信される可能性がある。この場合、メッセージは最初に第１の組織からのアウトバウンドメッセージとして第１の処理がなされ、そして、第２の組織へのインバウンドメッセージとして処理される。
【００６９】
送信者のアドレスがリフレクションのこの設置によって出くわさない場合（または、見つからない場合）２０２、それはデータベースの「本来アドレス（true address）」表に追加される２０４。
【００７０】
次に、本製品は、受信者のアドレスが発行されたプロキシアドレスであるかどうかを調べるためにデータベースを検索する２０６。
【００７１】
エイリアス（または、別名）が存在しない場合、アドレスは「実行中名前付け（Name-on-the-Fly）」（ＮＯＴＦ）として知られている名前付け協定（naming convention）を介して生成された可能性があり２１０、その場合、プロキシアドレスは名前付け協定から引き出される情報に基づいて生成され、保護されたユーザーに対して登録される２１２。ＮＯＴＦが未知のプロキシアドレスに対して許可されていない場合、メッセージは拒絶される２０８。
【００７２】
この時点で、プロキシアドレスはデータベースに存在する。本製品は履歴システムのためにメッセージの結果の追跡を開始する２２０。
【００７３】
プロキシが代用として利用されているユーザーを見つけるために、好まれる実施例において、最初にユーザーの元のアドレス２１８に、そしてそこからユーザー記録２１６に進む必要がある。他の実施例においては、これは多様な他の手法を使用して達成することもできる。しかしながら、進行するためにはユーザーのアイデンティティー（または、身元情報）を手元に保持しておく必要がある。
【００７４】
プロキシアドレスが特定のユーザーに登録されていない場合２１４、それを現在の送信者に対して登録する２２２。この条件は２つの可能な条件によって発生し得る。第１に、プロキシアドレスはＮＯＴＦを使用して作製され、従って、どのユーザーにも所持されていない。第２に、プロキシアドレスは使用される前に明示的に生成され、最初の使用までどのユーザーにも所持されない。この場合、それはＮＯＴＦのプロキシと同様に、最初のユーザーに登録される２２２。
【００７５】
次に、リフレクションセキュリティーモジュール及びアドレス変換モジュールに情報を与えるために送信者の免除状態（exemption）がチェックされる２２４。免除対象（または、例外対象）となっている送信者はアクセス制御を受けず、免除対象となっている接触者から、または免除対象となっている接触者への全てのメールは保護されたユーザーの元の内部アドレスの下で操作される。
【００７６】
図３−強制的セキュリティー
インバウンドメッセージの準備が完了した後、本発明のリフレクションシステムはそのメッセージに対するセキュリティー処置（security disposition）を決定する。
【００７７】
リフレクションのユーザーには強制モードとフラグモードの２つの動的なセキュリティーモードが利用可能である。
【００７８】
図３は強制モードを利用するユーザーに送信されたメッセージに対する、好まれる実施例のセキュリティーモデルに従った論理を詳細に示している。
【００７９】
定義上、受信者のアドレスが元の内部アドレスから区別不可能である場合であっても、本発明のリフレクションによって保護されるドメインへの全てのインバウンドメールはプロキシ識別子である。元の内部アドレスの各々はセキュリティーが元のアドレス自体に置かれるようにするために、同一のアドレスのプロキシアドレスを有する。
【００８０】
受信者のアドレスのセキュリティー状態は最初に尋問される。
【００８１】
パブリックプロキシへのメッセージ
受信者のプロキシアドレスが「パブリック」のセキュリティー状態を有する場合３００、本製品は送信者の例外状態をチェックする３０２。送信者が免除（または、例外）である場合、セキュリティーは迂回され、メッセージは次のメッセージ変換ステージに送られ、伝達される３３８。
【００８２】
送信者に登録されたプロキシアドレスがこのメッセージに対する受信者のアドレスとして使用されているプロキシアドレスと同一でない場合（このケースは図面に明確に示されていないが、可能性がある）、本製品は伝達を許可する前に送信者のプロキシのセキュリティーセットを試験するだろう。
【００８３】
送信者に割り当てられたプロキシがパブリックであるか３１２、または保護されている場合３２０、メッセージはセキュリティーを介して許可される３３８。送信者に登録されたプロキシが保護されている場合、送信者には今後彼ら自身のプロキシアドレスを使用するようにリマインダーメッセージが送信される３２２。
【００８４】
送信者のプロキシが「非共有」である場合３２８、メッセージは伝達することが許可されない。その代わりに、送信者には、（このメッセージの受信者として使用されるプロキシとは対照的に）送信者に登録されたプロキシアドレスを使用してメッセージを再送信する要求が送り返される。
【００８５】
それゆえ、メッセージがパブリックプロキシアドレスに送信された場合であっても、送信者のプロキシアドレスのセキュリティー状態はメッセージの伝達を変更または禁止することができる。
【００８６】
保護されたプロキシへのメッセージ
受信者のプロキシアドレスが「保護される」のセキュリティー状態を有する場合３０４、送信者がこのプロキシアドレスにメールを送信することを許可されているかを調べるためのチェックがなされる。
【００８７】
現在、送信者が保護されたプロキシを使用することができる３つの方法が存在する。第１に、送信者が免除対象である場合３１４、セキュリティーが迂回され、メッセージは次のメッセージ変換ステージに送られ、伝達される３３８。第２に、送信者がプロキシアドレスに登録されているパーティー（相手）（または、グループ）である場合３２４、伝達は認証され、完了する３３８。最後に、送信者がプロキシアドレスに登録されている接触者と同一のドメインの送信者であり、ドメインがＡＯＬ、Ｙａｈｏｏ、Ｈｏｔｍａｉｌ等の大規模なＩＳＰでなく、ドメインレベルの共有を許可するセキュリティーのプロパティーがプロキシに対してイネーブル状態である場合３３２、メッセージは伝達のために認証される３３８。
【００８８】
保護されているプロキシを使用することが認証されていない送信者には、送信者による使用が許可されているプロキシアドレスにメッセージを再送信するように要求が送信される３１６。このメッセージは本質的に、「プロキシアドレスｘは送信者のプロキシアドレスｙに変更されました。あなたのメッセージをｙに再送信して下さい」と記載する。
【００８９】
保護されたアドレスは有効なリターンアドレスを有さないスパムに対する保護を与え、かつ、正当な接触者に対してメッセージの伝達を可能にする再送信機構を与えるために使用される。
【００９０】
非共有プロキシへのメッセージ
受信者のプロキシアドレスが「非共有」のセキュリティー状態を有する場合３０６、送信者がこのプロキシアドレスにメールを送信することを許可されているかを調べるためのチェックがなされる。
【００９１】
現在、送信者が保護されたプロキシを使用することができる３つの方法が存在する。第１に、送信者が免除対象である場合３１４、セキュリティーが迂回され、メッセージは次のメッセージ変換ステージに送られ、伝達される３３８。第２に、送信者がプロキシアドレスに登録されているパーティーである場合３２４、伝達は認証され、完了する３３８。最後に、送信者がプロキシアドレスに登録されている接触者と同一のドメインの送信者であり、ドメインがＡＯＬ、Ｙａｈｏｏ、Ｈｏｔｍａｉｌ等の大規模なＩＳＰでなく、ドメインレベルの共有を許可するセキュリティーのプロパティーがプロキシに対してイネーブル状態である場合３３２、メッセージは伝達のために認証される３３８。
【００９２】
保護されたプロキシを使用することが認証されていない送信者には、メッセージの再送信に対する依頼を与えない、伝達メッセージの拒絶が送信される３１６。保護されたアドレスの認証されていない使用と非共有アドレスの認証されていない使用との間の差は、保護されたプロキシの拒絶が正当なメッセージの再送信のための手段を与えるのに対し、非共有の拒絶がそれを与えないことである。
【００９３】
非共有プロキシの場合、正当に電子メールを送信するための要件は、単に受信者のアドレスを知ることではなく、受信者及び、プロキシに登録されている対応する送信者のアドレスを知ることである。非共有のプロキシはセキュリティーを重視している組織（または、企業）に、「ディレクトリーハーベスト攻撃（directory harvest attack）」として知られる攻撃に対して非常に有効でかつ軽快な保護を与える。ディレクトリーハーベスト攻撃は目的とするドメインに膨大な数の異なったアドレスにメッセージを送信することによって有効な電子メールアドレスを収集するために使用される技術である。この攻撃において、「該当するユーザー無し」という結果にならないアドレスは有効であると仮定される。
【００９４】
非共有プロキシにより、ディレクトリーハーベスト攻撃は、送信者が各試みにて送信者の正確なアドレスをかつぐ（または、だましとる）方法を知らない限り、失敗に終わるだろう。
【００９５】
無効化されたプロキシへのメッセージ
受信者のプロキシアドレスが「無効」のセキュリティー状態を有する場合３０８、送信者が免除対象であるかを調べるためのチェックがなされる。すなわち、ユーザーが強制セキュリティーモードを利用している場合、免除対象となっていることが無効化されたプロキシへメッセージが伝達されるための唯一の方法である。
【００９６】
図４−フラグセキュリティー
図４はフラグモード（Flag Mode）を利用するユーザーに送信されたメッセージに対する、好まれる実施例のセキュリティーモデルに従った論理を詳細に示している。
【００９７】
フラグモードは、全てのインバウンドメッセージがユーザーの受信箱に伝達されることを保証する。
【００９８】
図４の論理は図３とともに記述されたものとほとんど同一であり、唯一の本質的な差異は、フラグモードにおいては、送信者が受信者のプロキシにメッセージを送信することが認証されていないと決定されたときに、強制モードのように拒絶または再送信のためのメッセージを送信するのではなく、送信者がこのメッセージを選択されたプロキシアドレスに送信することを認証されていないことを示すためのプレフィックス（または、接頭語）で題目行（または、件名の行）に目印（または、フラグ）を付けることである４２２／４２６。
【００９９】
題目へのマーク付けがホストの組織内のみで可視可能であり、目印を付けられたメッセージの組織外への返信において、リフレクションシステムが目印を除去することに注意することは重要である。
【０１００】
フラグモードは以下の３つの重要な本製品の要求のために作用する。
１．新規のユーザーに本発明のリフレクションシステムの使用に対してスムーズな移行のための動作モードを与え、外部の接触者がリフレクションシステムによって悪化しないことを保証する（「移行」）。既存のスパム問題は新規のユーザーの移行期間中に解決される。
２．正当であるが予期できないメッセージの阻止を許容できないユーザーに対し、全てのメールがユーザーの受信箱に伝達されることを保証する。フラグモードは、大量な名刺が交換され、予期されないメッセージの価値及び頻度が高い、販売、マーケット開発、または重役等の人員に対して理想的である。
３．電子メールの挙動を変更しない、またはできないユーザーは本製品を永続的にフラグモードで動作させるだろう。これらのユーザー（または、管理者）はプロキシアドレスの使用を一切禁止することができ、スパムに対する軽減を受けながら、ユーザーが通常どおりに、彼らの唯一のアドレスを使用し続けることを可能にする。
【０１０１】
既に存在するスパム問題をどのように止めるか
既に存在するスパム問題を抱えている、本製品を使用し始めた新規のユーザーは以下の方法により、既存のアドレスにスパムが送信されることを止めることができる。
１．セキュリティーの施行の全体をフラグモードに初期設定する。
２．免除方法の多様な実施例のどれかを使用して全ての既知の接触者を免除対象にする。接触者の免除は元の内部アドレスに既に依存している正当な接触者が影響を受けずにそれの使用を続けることを可能にする。
３．元の内部アドレスと同じアドレスを有するプロキシ上のセキュリティーを増強する。これは、接触者が免除リストに存在しない限り、そのプロキシに送信されたメールに目印（または、フラグ）を付けることを生じさせる。これは、スパムの阻止に対して非常に効果的であるが、特に仕事上等の、広範囲の適用に対して制限があるという欠点を有する一般的な技術である「ホワイトリスティング（white listing）」の非攻撃的な形式である。
【０１０２】
本発明のリフレクションはこのホワイトリストを既に存在するスパム問題に対してのみ利用する。新規のユーザーがスパム問題を抱えていない場合、ホワイトリストは必要でない。
【０１０３】
図５−アドレス変換
インバウンドメッセージが伝達に対して正確に通過した後、プロキシアドレスへの大部分の参照は対応する元の内部アドレスに変換される。好まれる実施例において、プロキシアドレス、特に実行中名前付け（Name-on-the-Fly）プロキシアドレスの変換を禁止するいくつかのセキュリティー状態が存在する。
【０１０４】
ＮＯＴＦプロキシ（実行中名前付け（Name-on-the-Fly）プロキシ）はユーザーによって定義され、ユーザーの名前空間（name space）に存在する。しばしば、ＮＯＴＦプロキシアドレスはログインシーケンスまたはＮＯＴＦプロキシアドレスによって調節される他の処理で使用される。（既存の電子メールインフラストラクチャー内のメッセージの伝達を確実にするために変換されなければならない、メッセージのヘッダーとは対照的に）電子メールメッセージの本文内のＮＯＴＦの変換を禁止することによって、ＮＯＴＦプロキシの使用を明記する確認メッセージが正確になるだろう。（すなわち、変換は情報を不正確にする。）
【０１０５】
アドレス変換を考慮するとき、個々のリフレクションシステムの架設（または、設置）によって保護されるドメインのプロキシアドレスだけが変換の候補であることを理解しなければならない。保護されてないドメインのアドレスは変換されない。
【０１０６】
リフレクションはデータベース内に「本来の」アドレスのカタログを保持する。保護されているドメインの外部アドレス及び元の内部アドレスは両方とも、本来アドレスカタログに格納される５００。プロキシアドレスはプロキシアドレス自体（例えば、proxy.123@company.com）をキーとして検索することによって、または、元の内部アドレスの代用の使用に対する外部の接触者に割り当てられたプロキシを検索することによって見つけ出される５０２。
【０１０７】
送信者及び受信者の本来のアドレスを考えると、対応するプロキシはアウトバウンドメッセージから検索されることができ、元の内部アドレスへの全ての参照に対してメッセージ内で代用される。プロキシアドレスを考えると、対応する元の内部アドレスはインバウンドメッセージから検索されることができ、プロキシアドレスへの全ての参照に対してメッセージ内で代用される。
【０１０８】
本製品がインバウンド及びアウトバウンドの両方のメッセージに対して、（存在するかどうかわからないが、必要に応じて生成される）同僚のプロキシアドレスも変換する場合、アドレス変換はより複雑になる。
【０１０９】
免除接触者へのまたは免除接触者からの電子メールは禁止されたアドレス変換の結果となるので、免除状態は付加的なレベルの複雑さを招く。
【０１１０】
付加的に、いくつかの外部接触者はサードパーティープロキシに依存し、それゆえ、これらの接触者へのメッセージは予期されるプロキシの使用の連続性を維持すべきである（すなわち、ユーザーからその接触者への全てのメッセージにおいて同一の接触者には同一のプロキシが与えられる）。
【０１１１】
図５を理解するために、文法に対する理解を深めることは非常に重要である。
【０１１２】
５０４は「何らかのアドレス「ａ」を受け取り、それに対する正確な変換を戻す変換方法」として読まれる。
【０１１３】
５０６は「外部の接触者が見ることを予期するプロキシアドレス（それは必ずしも接触者に割り当てられたプロキシアドレスと同一ではない）を戻す方法」として読まれる。
【符号の説明】
【０１１４】
１００  組織の内部電子メールインフラストラクチャー
１０２  処理前キュー
１０４  メッセージ変換モジュール
１０６  伝達キュー
１０８  リフレクションセキュリティーモジュール
１１４  送信サーバー
【図１】
2014075833.tif 000005
【図３】
2014075833.tif 000006
【図４】
2014075833.tif 000007
【図５】
2014075833.tif 000008
【図６】
2014075833.tif 000009
【図７】
2014075833.tif 000010
【図８】
2014075833.tif 000011
【図９】
2014075833.tif 000012
【図１０】
2014075833.tif 000013
【図１１】
2014075833.tif 000014
【図２】
2014075833.tif 000015