(57)【要約】【課題】本発明は、ドメインネームシステムの個人情報へのアクセスの制限に関する。【解決手段】本発明は、第１のドメインの個人情報へのアクセスを制限するドメインネームシステムの下位システムであって、第１のドメインの第１のデバイスからの通信を受信する交換装置からなり、該通信は第２のドメインのデバイスに向けられた第１のドメインの個人情報に対する第１の要求を含み、該交換装置が個人情報に対する第１の要求を第１のドメインの第２のデバイスに向けなおすことを特徴とする。【選択図】図１
2006262532.tif 000002
【特許請求の範囲】
【請求項１】
情報をフィルタリングするドメインネームシステムの下位システムであって、該下位システムが、
第２ドメインの第２デバイスに向けられた第１ドメインの第１デバイスからの情報を受信するフィルタリング装置からなり、該フィルタリング装置が、情報から第２ドメインの個人情報を除去し、フィルタリングされた情報を第２ドメインの第２デバイスに転送することによって、フィルタリングされた情報を生成することを特徴とするシステム。
【請求項２】
請求項１に記載のシステムにおいて、第２ドメインの個人情報が第２ドメインのデバイスのドメインネームとＩＰアドレスの少なくとも１つを含むことを特徴とするシステム。
【請求項３】
請求項１に記載のシステムにおいて、情報が第２ドメインの第２デバイスによる照会要求に応答して第１ドメインの第１デバイスによって送信され、該情報が第２ドメインの第２デバイスによって要求されていない追加情報を含み、フィルタリング装置が第２ドメインの第２デバイスによって要求されていない追加情報から第２ドメインの個人情報を除去することを特徴とするシステム。
【請求項４】
請求項１に記載のシステムにおいて、フィルタリング装置がローカル機密保護管理ポリシーに基づいて情報を修正することによってフィルタリングされた情報を生成することを特徴とするシステム。
【請求項５】
請求項４に記載のシステムにおいて、ローカル機密保護管理ポリシーが、デバイスのポインタを伴う第１のドメインの第１のデバイスから受信された情報から第１のドメインのデバイスへポインタを置換するか、第１ドメインの第１デバイスから受信したメール交換記録を修正かの、少なくともいずれか１つであることを特徴とするシステム。
【請求項６】
情報をフィルタリングするドメインネームシステムの下位システムを操作する方法であって、該方法が、
第２ドメインの第２デバイスに向けられた第１ドメインの第１デバイスから情報を受信する段階と、
第１デバイスから受信された情報から第２ドメインの個人情報を除去することによってフィルタリングされた情報を生成する段階と、
フィルタリングされた情報を第２ドメインの第２デバイスに転送する段階からなることを特徴とする方法。
【請求項７】
請求項６に記載の方法において、第２デバイスの個人情報は、第２ドメインのデバイスのドメインネームとＩＰアドレスの少なくとも１つを含むことを特徴とする方法。
【請求項８】
請求項６に記載の方法において、情報が、第２ドメインの第２デバイスによる照会要求に反応して第１ドメインの第１デバイスによって送信され、該情報が、第２ドメインの第２デバイスによって要求されない追加情報を含み、フィルタリングされた情報を生成する段階が、
第２ドメインの第２デバイスによって要求されない追加情報から第２ドメインの個人情報を除去する段階からなることを特徴とする方法。
【請求項９】
請求項６に記載の方法においてさらに、ローカル機密保護管理ポリシーに基づいて、情報を修正する段階からなることを特徴とする方法。
【請求項１０】
請求項１に記載の方法において、ローカル機密保護管理ポリシーは、デバイスのポインタを伴う第１のドメインの第１のデバイスから受信された情報から第１のドメインのデバイスへポインタを置換するか、第１ドメインの第１デバイスから受信したメール交換記録を修正かの、少なくともいずれか１つであることを特徴とする方法。
【請求項１１】
ドメインネームシステムで使用する装置であって、該装置は、
第２ドメインの第２デバイスに向けられた第１ドメインの第１デバイスからの情報を受信するフィルタリング装置からなり、該フィルタリング装置は、情報から第２ドメインの個人情報を除去し、そしてフィルタリングされた情報を第２ドメインの第２デバイスに転送することによってフィルタリングされた情報を生成することを特徴とする装置。
【請求項１２】
請求項１１に記載の装置において、第２ドメインの個人情報が、第２ドメインのデバイスのドメインネームとＩＰアドレスの少なくとも１つを含むことを特徴とする装置。
【請求項１３】
請求項１１に記載の装置において、情報は、第２ドメインの第２デバイスによる照会要求に応答して第１ドメインの第１デバイスによって送信され、該情報が第２ドメインの第２デバイスによって要求されない追加情報を含み、該フィルタリング装置が第２ドメインの第２デバイスによって要求されない追加情報から第２ドメインの個人情報を除去することを特徴とする装置。
【請求項１４】
請求項１１に記載の装置において、フィルタリング装置がローカル機密保護管理ポリシーに基づいて情報を修正することによってフィルタリングされた情報を生成する装置。
【請求項１５】
請求項１４に記載の装置において、ローカル機密保護管理ポリシーが、デバイスのポインタを伴う第１のドメインの第１のデバイスから受信された情報から第１のドメインのデバイスへポインタを置換するか、第１ドメインの第１デバイスから受信したメール交換記録を修正かの、少なくともいずれか１つであることを特徴とする装置。
【請求項１６】
情報をフィルタリングするドメインネームシステムの装置を操作する方法であって、該方法は、
第２ドメインの第２デバイスに向けられた、第１ドメインの第１デバイスからの情報を受信する段階と、
第１デバイスから受信された情報から第２ドメインの個人情報を除去することによってフィルタリングされた情報を生成する段階と、
フィルタリングされた情報を第２ドメインの第２デバイスに転送する段階からなることを特徴とする方法。
【請求項１７】
請求項１６に記載の方法において、第２ドメインの個人情報が第２ドメインのデバイスのドメインネームとＩＰアドレスの少なくとも１つを含むことを特徴とする方法。
【請求項１８】
請求項１６に記載の方法において、情報は第２ドメインの第２デバイスによる照会要求に応答して、第１ドメインの第１デバイスによって送信され、該情報が第２ドメインの第２デバイスによって要求されない追加情報を含み、フィルタリングされた情報を生成する段階が、
第２ドメインの第２デバイスによって要求されない追加情報から第２ドメインの個人情報を除去する段階からなることを特徴とする方法。
【請求項１９】
請求項１６に記載の方法においてさらに、ローカル機密保護管理ポリシーに基づいて情報を修正する段階からなることを特徴とする方法。
【請求項２０】
請求項１９に記載の方法において、ローカル機密保護管理ポリシーが、デバイスのポインタを伴う第１のドメインの第１のデバイスから受信された情報から第１のドメインのデバイスへポインタを置換するか、第１ドメインの第１デバイスから受信したメール交換記録を修正かの、少なくともいずれか１つであることを特徴とする装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ドメインネームシステムの個人情報へのアクセスの制限に関する。
【背景技術】
【０００２】
分散システムの多くは、ドメインネームとして知られる階層的な命名手法によって分散システムの名前を割り当てる。ドメインネームを使った分散システムはドメインネームシステム（ＤＮＳ）と呼ばれる。ドメインネームは点で区切られたドメインネームの連続である。例えば、research.att.comはドメインネームである。ｃｏｍは最上レベル・ドメインの最上レベル・ドメインネームであり、ａｔｔは第２レベル・ドメインの第２レベル・ドメインネームであり、ｒｅｓｅａｒｃｈは第３レベル・ドメインの第３レベル・ドメインネームである。あるドメイン中のデバイスは、ドメインネームを後に付けたデバイス名によって分類される。従って、research.att.comドメイン中の「server」と名付けられるデバイスは、server.research.att.com という名前を有する。デバイス名もまたドメインネームと呼ばれる。
【０００３】
ドメインネームは論理的かつ階層的な方法で分散システムを区分するが、メッセージはＩＰアドレスを使ってデバイスを識別することでＤＮＳのデバイス間を転送される。ＩＰアドレスは、191.192.193.2 のように、点で区切られた４つの８ビットの値によって表現される３２ビットの数字である。ＩＰアドレスには、デバイス・ネットワーク接続のネットワークＩＤおよびデバイスＩＤのような情報が含まれる。ＩＰアドレスはアドレス許可権限によって割り当てられる。アドレスは権限のあるアドレス・サーバにブロックで割り当てられる。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ＩＰアドレスはやはり階層的方法でお互いに関連するが、ドメインネーム階層とＩＰアドレス階層は直接お互いに関連しない。ドメインネームサーバにはアドレスサーバであるものもあるが、ドメインネームサーバとアドレスサーバが同じデバイスである必要はない。従って、あるサーバがドメインネームをデバイスの対応するＩＰアドレスに解決する権限を有しても、同じドメインネームサーバがＩＰアドレスを同じデバイスの対応するドメインネームに解決できないことがあり得る。従って、ＩＰアドレスのドメインネームへの解決には、異なったサーバが必要とされる以外は、ドメインネームのＩＰアドレスへの解決と同様の処理が続く。
【０００５】
ＩＰアドレスは数値で、ドメインネームとは異なってＤＮＳの論理的・階層的構成とは無関係に割り当てられるので、一般にデータ転送のような機能のための命令の際にはドメインネームが使われる。従って、データ転送命令はそのドメインネームによって受信装置を識別する。しかし、ドメインネームは、データ転送が行われる前に、対応するＩＰアドレスに変換しなければならない。
【０００６】
ドメインネームは、ドメインネームサーバと呼ばれる権限あるデバイスによって管理される。ドメインネームサーバはドメインネームを対応するＩＰアドレスに変換し、その逆の変換も行う。第１のデバイスが、ドメインネームだけがわかっている第２のデバイスにメッセージを転送したいと望む時、第１のデバイスはドメインネームサーバに照会して、第２のデバイスの既知のドメインネームに対応するＩＰアドレスを入手しなければならない。
【０００７】
ＩＰアドレス照会要求はかなり大きな分量になることがあり、ＤＮＳの効率を大きく低下させるので、ドメインネームサーバと関連するネットワークトラヒックの作業負荷を低減するために多くの手法が実行されてきた。しかし、これらの手法はＤＮＳの効率を改善したが、あるドメイン特定の個人の情報への無許可アクセスや、個人のマシンへのログインが可能になるなど、許可されない行為の機会を導入することにもなった。従って、ＤＮＳ内の個人情報へのアクセスを制限する必要がある。
【課題を解決するための手段】
【０００８】
侵入者はＤＮＳが使用するドメインネーム解決処理を利用することによってあるドメイン特定の個人の情報へのアクセスを得る。データ転送のような機能の命令は目的デバイスを指定するためにドメインネームを使用するので、ドメインネームは、データ転送が行われる前にＩＰアドレスに変換（解決（resolved、レゾルバ）しなければならない。侵入者はドメインネームをＩＰアドレスに解決するための処理を利用して個人情報へのアクセスを得るのである。詳細には、侵入者は不正なＩＰアドレスおよび／またはドメインネームを対象ドメインにパスし、正常なドメインネーム解決によって、目的デバイスの代わりに侵入者のデバイスのＩＰアドレスが作成されるようにする。
【０００９】
本発明は、ドメイン内のデバイスが、ドメイン外部のデバイスから個人情報を受け取る可能性をすべて除去することによって、侵入者がドメインの個人情報へのアクセスを得ることを防止する。詳細には、本発明は交換機能を行うＤＮＳプロキシデバイスを提供する。
【００１０】
交換機能はドメイン内のデバイスからドメインネームを解決するための照会要求を受信し、ドメイン内のデバイスのドメインネームまたはＩＰアドレスに対する要求をすべて、ドメインネームサーバのようなドメイン内の他のデバイスに向けなおす(redirect)。ドメインに個人的でない情報に対する要求はすべて、ドメイン外の目的デバイスに転送される。
【００１１】
詳細には、本発明は、第１のドメインの個人情報へのアクセスを制限するＤＮＳ内のシステムを提供する。システムには交換装置が含まれる。交換装置は第１のドメインからの情報の要求をすべて受信し、個人情報に対する要求を第１のドメイン中の個人情報の権限ある情報源に向けなおす。第２のドメイン中のデバイスに向けられた、個人的でない情報に対する要求はすべて第２のドメイン中のデバイスに送られる。
【発明を実施するための最良の形態】
【００１２】
図１は、ネットワーク１０とデバイス１０２、１０４および１０６を含む分散システム２０の物理的接続を示す。分散システム２０は、図２に示すようなドメインネームシステム（ＤＮＳ）３０として構成される。
【００１３】
ＤＮＳ３０は、ＤＮＳ３０中のドメインネームについて最高レベルの権限を保持するルート１００を有する。ルートは、それぞれ教育機関、会社機関、政府機関を表すｅｄｕ、ｃｏｍ、ｇｏｖといったドメインネームを割り当てる。これらの各ドメインはさらに、purdue.edu、att.com、nrl.govといった他のドメインに分割される。ルート１００は、ドメインネームに関する権限を、権限ドメインネームサーバと呼ばれる他のデバイスに委任する。例えば、ドメインatt.com はＡＴ＆Ｔ社が所有・管理している。ＡＴ＆Ｔ社はatt.com ドメイン内のドメインネームを割り当て・管理する権限を有する権限ドメインネームサーバとなるデバイスを指定する。従って、完全なＤＮＳ３０は複数のドメインに分割され、そこでは各ドメインの命名権限がそのドメインの権限ドメインネームサーバに帰属する。
【００１４】
権限ドメインネームサーバはその命名権限を、そのドメイン内のまた別のサーバに委任する。例えば、att.com ドメインは、att.com 下のドメインネームに関する権限を有する権限ドメインネームサーバとしてserver.att.comという名称のデバイスを有する。att.comは、reserch.att.comと呼ばれる下位ドメインを有し、server.att.comは、reserch.att.com 下位ドメインに関する命名権限をserver.research.att.com と名付けられたデバイスに委任する。下位ドメインもドメインと呼ばれる。従って、server.research.att.com は、デバイス１０２に対するws1.reserach.att.comおよびデバイス１０４に対するws2.reserach.att.comのようなreserach.att.comドメイン中のデバイス名に関する命名権限を有する。
【００１５】
server.buzbiz.com は、buzbiz.comドメインに関する権限ドメインネームサーバである。buzbiz.comドメインにはintru.buzbiz.comというドメインネームを有するデバイス１０６のようなデバイスが含まれる。
【００１６】
図３は、ドメインpurdue.edu２０２、att.com２０４、buzbiz.com２０６、nrl.gov２０８およびルート２１０に分割されたＤＮＳ３０を示す。ルート・ドメイン１０１は、ドメインｅｄｕ、ｃｏｍおよびｇｏｖを含むことが示される。ドメインｅｄｕ、ｃｏｍおよびｇｏｖは、ルート・ドメインネームサーバ１００によって他の権限ドメインネームサーバに委任されるが、この場合、単一のドメインネームサーバであるルート１００は、ドメインｅｄｕ、ｃｏｍおよびｇｏｖに関する権限を維持している。
【００１７】
前に論じたように、データはＩＰアドレスを使ってＤＮＳ３０中のデバイス１０２、１０４および１０６の間で転送される。図４は、デバイス１０２、１０４および１０６のＩＰアドレスを示す。データをデバイス１０６からデバイス１０２に転送するためには、デバイス１０６は目的ＩＰアドレスとして192.193.194.1を指定しなければならない。
【００１８】
ＤＮＳ３０中の各デバイスは少なくとも１つのＩＰアドレスを有する。図５に示されるように、ドメイン２０４にはデバイス１０２、１０４、１０８および１１０が含まれる。上記の各デバイスはドメインネームとＩＰアドレスを有する。server.research.att.comは192.203.194.3というＩＰアドレスを有するデバイス１１０のドメインネームであり、server.research.att.comはresearch.att.com ドメイン２１０に関する権限ドメインネームサーバである。research.att.comドメイン２１０にはそれぞれＩＰアドレス192.193.194.1と192.193.194.2を有するデバイス１０２と１０４が含まれる。
【００１９】
ＤＮＳ３０中の各デバイスはドメインネームとＩＰアドレスを有するので、例えば、以下の表１と表２のような、２つの変換表が構成される。ドメインネームの表１は、各ドメインネームについて対応するＩＰアドレスを有し、ＩＰアドレスの表２は、各ＩＰアドレスについて対応するドメインネームを有する。表１がドメインネームによって整列され、表２がＩＰアドレスによって整列されれば、表１はドメインネームに対するＩＰアドレスを速やかに判定するのに使用され、表２はＩＰアドレスに対するドメインネームを速やかに判定するのに使用される。各ドメインネームサーバは、命名権限を有するすべてのデバイスに関する表１と表２に対応する表を含んでいる。権限ドメインネームサーバにはこの情報が含まれるので、他のデバイスは、権限ドメインネームサーバがその権限下にあるドメインネームのＩＰアドレスとＩＰアドレスのドメインネームをそれぞれ提供するように、アドレス獲得及びドメインネーム獲得要求を送信する。
【００２０】
【表１】
2006262532.tif 000003
【表２】
2006262532.tif 000004
【００２１】
第１のデバイスは、ドメインネームで知られている第２のデバイスにデータを送信するという指示を受信すると、第２のデバイスのＩＰアドレスについて第２のデバイスの権限ドメインネームサーバに照会要求を送信する。権限ドメインネームサーバは要求された情報を返送するか、または命名権限が委任されているならば、権限ドメインネームサーバは、情報を有する別の権限ドメインネームサーバのドメインネームを返送する。ＩＰアドレスの獲得後、第１のデバイスはＩＰアドレスをデータを含むメッセージに組み込んで、メッセージを第２のデバイスに送信する。
【００２２】
すべてのドメインネームサーバが命名権限を有するわけではない。ファイル・サーバに局所的であるデバイスが他のローカル・デバイスに容易にアクセスできるように、ファイル・サーバがドメインネームとＩＰアドレスを保留していることがある。こうしたファイル・サーバもまたドメインネームサーバまたは、ドメインネームをＩＰアドレスに解決し、またその逆の解決を行うためのレゾルバと呼ばれる。
【００２３】
ドメインネームサーバ（権限のあるものとないもの）がそのドメインネームサーバの知らないＩＰアドレスを送る場合、そのＩＰアドレスは将来同じドメインネームを解決するためのリソース記録として、ドメインネームサーバのキャッシュ・メモリに保存される。従って、権限ドメインネームサーバもまた、ＩＰアドレスと対応するドメインネームを蓄積して、ドメインネームからＩＰアドレス、またその逆の有効な解決を促進する。従って、権限ドメインネームサーバは、ドメインネームを解決するためのレゾルバとも呼ばれる。
【００２４】
ＤＮＳ３０の効率を改善しようとさらに努力して、ドメインネームサーバは、追加情報を照会要求の回答に添付することによって、他の関連デバイスのＩＰアドレスやドメインネームのような「追加情報」を伝えることが多い。レゾルバは将来アドレスを解決するために、追加情報を受信してキャッシュ・メモリに保存する。
【００２５】
図６は、ドメイン２０４にはさらにレゾルバ１１２と１１４が含まれていることを示す。デバイス１０２と１０４は、それぞれ通信線３０２と３０８を経由して照会要求をレゾルバ１１２と１１４に送信し、ドメインネームをＩＰアドレスに解決する。レゾルバ１１２と１１４は、それぞれデバイス１０２と１０４に物理的に近接して位置している。例えば、レゾルバ１１２と１１４は、同じＬＡＮ上にあるか、または１つの建物内でデバイス１０２と１０４にそれぞれ近接して接続されている。従って、デバイス１０２と１０４が必要とするアドレスの解決は、ローカルＬＡＮ以外のネットワーク・トラヒックを一切使わずに行われる。
【００２６】
しかし、レゾルバ１１２と１１４が、権限ある情報源から得たのではないＩＰアドレスを受信することによってドメインネームを解決する時、ＩＰアドレスは権限のないものとして照会デバイスに提供される。ＤＮＳ３０は一般にそれを速やかに変更しないので、多くの場合照会デバイスはとにかくそのＩＰアドレスを使用しようと判断する。
【００２７】
ＤＮＳ３０は、例えば、機器が追加、移動または取り除かれると変更される。この動的な状況では、各リソース記録は、各リソース記録の寿命を示す寿命フィールド(time-to-live field)を含む。レゾルバ１１２と１１４は、リソース記録の寿命の値が終了すると、周期的にリソース記録を廃棄する。寿命の値は、ＩＰアドレスのようなリソース記録のコンテンツに対する権限を有するドメインネームサーバが設定する。
【００２８】
前に論じたように、att.com はＡＴ＆Ｔ社が所有・管理するドメインである。従って、ＡＴ＆Ｔ社が管理するすべてのデバイスはatt.com ドメインの中にある。ＡＴ＆Ｔ社は、お互いに物理的に離れたサイトにatt.com ドメイン中のデバイスを分配する。例えば、デバイス１０２とレゾルバ１１２は１つのサイトに置かれ、デバイス１０４とレゾルバ１１４は別のサイトに置かれる。通信経路３０２、３０４及び３０８はatt.com ドメイン内のデバイス間の相互通信を表すが、通信経路３０４は地理的に離れた２地点間にある。通信経路３１０および３１２は、att.com ドメイン内のレゾルバ１１２および１１４と他のドメインのデバイスの間の通信経路を表す。
【００２９】
att.com ドメイン内で交換される情報はＡＴ＆Ｔ社にとって貴重なものなので、att.com に個人的と思われる情報を無許可アクセスから保護することには重大な関心がある。ドメインの個人情報はそのドメインに関する何かを説明する情報である。個人情報を変更する権限はドメイン内にある。例えば、ＩＰアドレスとドメインネームはドメイン内の個人情報である。
【００３０】
図７に示すように、ファイアウォール４０２のようなデバイスがドメイン２０４を出入りするデータ転送を制御するためにインストールされる。通信経路３１０および３１２は、通信線３１６を通じてドメイン２０４外のデバイスに達する前に、ファイアウォール４０２を通過する。ファイアウォール４０２はドメイン２０４からの個人情報の無許可転送を防止し、ドメイン２０４に個人的である情報に対するドメイン２０４外のデバイスからの要求を拒否する。
【００３１】
しかし、従来のファイアウォールにはＤＮＳ３０のようなドメインネームシステムによって使われるドメインネーム解決方法を利用して間接的に得られる個人情報へのアクセスを防止できないものがある。詳細には、ドメインネームが対応するＩＰアドレスに解決される処理が、多数の方法の１つによって利用される。こうした方法のいくつかは以下の例で説明される。
【００３２】
以下の例について、侵入者は対象デバイスと、自分が扮するユーザ名と、対象デバイスが委任するデバイスを確認しているので、委任されたデバイスが対象デバイスにログインする際パスワードは必要ないものと仮定する。侵入者はメール・メッセージまたはニュース記事から対象デバイスを識別する。対象デバイスが識別されると、侵入者は、簡易ネットワーク管理プロトコル（Ｓimple Ｎetwork Ｍanagement Ｐrotocol：ＳＮＭＰ）のような標準サービスを使って、対象デバイスを調査し、対象デバイスに接続された他のデバイスを発見する。さらに、「finger（フィンガ）」のようなサービスは、個人ユーザまたは他のユーザのシステムへのログオンに関する個人情報を提供する。さらに、メール・ヘッダには、明らかにメールの送り主であるファイル・サーバの名前と、通常ワークステーションの名前である、メールを出した実際のデバイスの名前が示されていることが多い。一般に、ファイル・サーバとそのファイル・サーバが取り扱うワークステーションはパスワードを使わずに通信する。従って、侵入者は標準的に利用可能なサービスを使って必要な情報をすべて得ることができる。
【００３３】
侵入者が、buzbiz.comドメイン中のintru.buzbiz.comといった正当なドメインネームサーバを制御できると仮定すると、侵入者はintru.buzbiz.com内の任意のファイルを修正する能力を有する。侵入者がws1.reserach.att.comを対象として識別し、ws2.research.att.comをws1.research.att.comによって委任されたデバイスとして識別したならば、ＩＰアドレスを対応するドメインネームに変換するために使われる表２と同様の変換表を修正して、intru.buzbiz.comのＩＰアドレス（201.202.203.1） がドメインネームws2.research.att.comに対応するようにする。変換表の修正後、侵入者は、rlogin手続きを使用し、ws2.research.att.comのＩＰアドレスとして201.202.203.1を提供して、委任されたデバイスとしてws1.research.att.comへのログインを試みる。
【００３４】
rlogin要求の受信後、ws1.research.att.comはＩＰアドレス201.202.203.1 についてドメインネーム獲得要求を実行し、対応するドメインネームを獲得する。intru.buzbiz.comはＩＰアドレス201.202.203.1 の権限あるアドレス・サーバであり、201.202.203.1 をその対応するドメインネームに変換する表を有しているので、ドメインネーム獲得要求は結局intru.buzbiz.comに送られる。しかし、その表はＩＰアドレス201.202.203.1 に対するドメインネーム獲得要求に対してintru.buzbiz.comの代わりにws2.research.att.comを出力するように変更されているので、ws2.research.att.comという間違ったドメインネームが返送される。従って、ws1.research.att.comは、ログイン要求に対応するデバイスのドメインネームとしてws2.research.att.comを受信する。ws2.research.att.comは委任された機器なので、ws1.research.att.comはログイン要求を受け入れ、侵入者がws1.research.att.comにログインするのを許可する。従って、侵入者がws1.research.att.com 内から到達可能なすべての個人情報へのアクセスを得る。
【００３５】
個人情報への無許可アクセスを得るもう１つの方法はレゾルバ１１２のようなレゾルバのキャッシュ・メモリをだますことである。侵入者がws1.research.att.com を対象として識別したと仮定すると、侵入者は様々な方法でws1.research.att.comがintru.buzbiz.comに情報を照会するようにし向ける。ws1.research.att.com はレゾルバ１１２にアドレス獲得要求を送信して侵入者のデバイスintru.buzbiz.comのＩＰアドレスを獲得する。レゾルバ１１２はintru.buzbiz.comに関して何の情報も持っていないので、intru.buzbiz.comのドメインネームサーバに対してアドレス獲得要求を出力するが、それはこの場合intru.buzbiz.com自身である。intru.buzbiz.comは要求されたＩＰアドレスを返送するが、ws2.research.att.comのＩＰアドレスは正当なＩＰアドレス192.193.194.2 でなく、ＩＰアドレス201.202.203.1 に関連することを示す追加情報を添付する。侵入者は、自分の無許可アクセス完了直後にレゾルバ１１２が不正なリソース記録を消去するように、追加情報について非常に短い寿命を設定する。レゾルバはintru.buzbiz.comからの回答を受け入れ、前に論じたように、ws2.research.att.comに対する不正なＩＰアドレス201.202.203.1 と同様intru.buzbiz.comに対するＩＰアドレスを入力する。従って、レゾルバ１１２のキャッシュ・メモリはws2.research.att.comに対する不正なＩＰアドレスによってだまされる。
【００３６】
次いで、intru.buzbiz.comは、201.202.203.1 をＩＰアドレスとして使ってws1.research.att.comにログインする。ws1.research.att.comがドメインネーム獲得指示を実行すると、レゾルバ１１２は、そのだまされたキャッシュの情報に基づいてws2.research.att.comを返送する。するとws1.research.att.comは、ws2.research.att.comが委任されたデバイスなので、侵入者によるrlogin要求を承認する。その後、不正なＩＰアドレスのリソース記録の短い寿命が終了するので、レゾルバ１１２はリソース記録を破棄し、侵入の痕跡をすべて消去する。従って、侵入者は再びws1.research.att.com内からのすべての個人情報へのアクセスの獲得に成功する。
【００３７】
侵入者は上記で論じたように、rlogin手続きの使用を制限されない。例えば、不正なＩＰアドレスがレゾルバ１１２またはws1.research.att.comによって一度受け入れられると、侵入者は、ws1.research.att.comによってws2.research.att.comに送信される任意のメッセージを傍受するよう選択できる。レゾルバ１１２は、ws1.research.att.comに、ws2.research.att.comのＩＰアドレスの代わりにintru.buzbiz.comに対応するＩＰアドレスを返送するので、傍受が可能である。ws2.research.att.comに向けられたws1.research.att.comの出力を受信した後、侵入者はデータをws2.research.att.comに送って、ws1.research.att.comとws2.research.att.comの間の通信が修正されずに続くようにする。従って、侵入者はパスワードのような個人情報を傍受でき、検出される機会は少ない。
【００３８】
上記で説明した侵入者による個人情報への無許可アクセスが達成されるのは、ドメイン２０４内のデバイスがドメイン２０４外の信用できない情報源からドメイン２０４内の他のデバイスのＩＰアドレスを受信するからである。本発明は、以下で論じるように、２つの種類の通信が発生するのを防止することによって、ＩＰアドレスのような不正な個人情報がドメインに入ってくるのを防止する。
【００３９】
１）本発明は、ドメイン内のデバイスが、ドメイン外のデバイスからの個人情報を要求することを防止する。図８に示すように、交換装置５００はドメインネーム獲得またはアドレス獲得要求の照会５１０を受信する。交換装置５００は各要求の内容を探索し、ドメイン２０４内のデバイスのドメインネームまたはＩＰアドレスに対する要求はすべて転送要求５１４としてドメイン２０４内のドメインネームサーバに向けなおされる。ドメイン２０４外のデバイスのドメインネームまたはＩＰアドレスに対する要求は順方向要求５１２としてドメイン２０４外の適当なドメインネームサーバに送られる。
【００４０】
２）本発明は、個人情報がドメイン外部の信用できない情報源からドメイン内に入ってくるのを防止するフィルタ・デバイスを提供する。フィルタ・デバイスはドメイン外のデバイスが提供する個人情報をすべて排除する。
【００４１】
図９に示されるように、フィルタ・デバイス５０２はドメイン２０４外部のデバイスからメッセージ５２０を受信する。フィルタ・デバイス５０２は、ＩＰアドレスやドメインネームのようなドメイン２０４に個人的である情報について受信されたメッセージ５２０を調査し、個人情報をメッセージから削除する。その後フィルタリングされたメッセージ５２２は、ドメイン２０４中の目的デバイスに送られる。
【００４２】
図１０は、ドメイン２０４にＤＮＳプロキシ・デバイス４０４が含まれることを示す。ＤＮＳプロキシ４０４は、上記で説明した切り換え・フィルタリング機能を果たす。この実施形態では、ドメイン２０４内のデバイスは、すべての照会をＤＮＳプロキシ４０４に向けるように修正されている。ＤＮＳプロキシ４０４はドメイン２０４中のデバイスからのすべての照会要求を調査し、ドメイン２０４に個人的である情報に対する要求とそれ以外の情報に対する要求とを分離する。個人情報に対する要求は、server.att.comやserver.research.att.com のようなドメイン２０４内のドメインネームサーバに転送される。個人情報以外の情報に対する照会は、通信経路３２８を通じてファイアウォール４０２に送られ、次いでファイアウォールは、要求を通信経路３１６を通じて外部情報源に送る。
【００４３】
図１０に示される実施形態は、照会要求をドメイン２０４外の適当なドメインネームサーバの代わりにＤＮＳプロキシ４０４に転送するレゾルバ１１２と１１４およびデバイス１１６のようなデバイスのソフトウェアの修正を必要とする。デバイス１１６はドメインネームサーバではなく、通信経路３２２を通じて直接外部情報源と通信する能力を有する。この実施形態では通信経路３１８、３２０および３２２は、ＤＮＳプロキシ４０４に転送される。
【００４４】
通信経路３３０を通じて外部情報源から受信された情報はＤＮＳプロキシ４０４によってフィルタリングされる。ＤＮＳプロキシ４０４はドメイン２０４にはいるすべての情報を調査し、ドメイン２０４内のデバイスのＩＰアドレスのような、ドメイン２０４に個人的である情報をすべて排除する。外部情報源によって提供される情報に含まれる個人情報は、情報がドメイン２０４内の目的デバイスに送られる前に削除される。従って、照会要求に対する正当な回答に不正なＩＰアドレスを添付する試みはすべて排除される。
【００４５】
通信経路３３０を通じて外部情報源から受信した情報も、ローカルセキュリティ保護管理ポリシーのために削除または修正される。例えば、外部情報源から受信した情報にドメイン２０４外のドメインネームサーバのポインタが含まれるならば、そのポインタは情報がドメイン２０４内の目的デバイスに送られる前に削除されなければならない。さもないと、ドメイン２０４内のデバイスが、こうしたドメインネームサーバにＤＮＳプロキシ４０４の介入なしに直接接触しようとすることがある。逆に、ドメイン２０４内のドメインネームサーバのポインタが外部情報源から受信した情報に挿入されて、ドメイン２０４内の将来のドメインネームまたはアドレスの照会が直接、ＤＮＳプロキシ４０４の助けなしに解決されることがある。
【００４６】
また、外部情報源から受信した電子メール交換記録のような情報が、ログ記録を保存するために、外向き電子メールをドメイン２０４内のログ・デバイス（図示せず）に転送するように修正されることがある。ログ記録はドメイン２０４内の個人情報の保護を支援する追加情報を提供する。
【００４７】
図１１はＤＮＳプロキシ４０４がファイアウォール４０２に組み込まれることを示す。この実施形態では、ドメイン２０４内のデバイスのプログラムはどれも修正する必要はない。ドメイン２０４の個人情報の照会要求はすべて、通信経路３１０、３１２および３２２を通じて外部情報源に送られ続ける。しかし、ファイアウォール４０２内のＤＮＳプロキシは、ドメイン２０４の個人情報に対する照会要求をすべて、例えば、それぞれ通信経路３２４および３２６を通じてserver.att.comか、またはserver.research.att.com のどちらかに切り換える。通信経路３２２を通じて外部情報源から入力された情報は、フィルタリングされ、ドメイン２０４内の目的デバイスに送られる前に、すべての個人情報が削除される。
【００４８】
図１２は、交換機能を行うＤＮＳプロキシ・サーバ４０４の処理を示す。ステップＳ１０００では、ＤＮＳプロキシ４０４は、ドメイン２０４外のデバイスに向けられた照会要求を受信し、ステップＳ１００２に進む。ステップＳ１００２では、ＤＮＳプロキシ４０４は各照会要求を調査し、個人情報がドメイン２０４外のデバイスから請求されているかを判断する。その後ＤＮＳプロキシ４０４はステップＳ１００４に進む。ステップＳ１００４では、ＤＮＳプロキシ４０４は、個人情報が要求されているならばステップＳ１００６に進む。さもなければ、ＤＮＳプロキシ４０４はステップＳ１０１０に進む。
【００４９】
ステップＳ１００６では、ＤＮＳプロキシ４０４はドメイン２０４の個人情報に対する要求を、ドメイン２０４に個人的でない情報に対する要求から分離する。その後ＤＮＳプロキシ４０４はステップＳ１００８に進む。ステップＳ１００８では、ＤＮＳプロキシ４０４は、個人情報に対する要求をすべて、ドメイン２０４のドメインネームサーバのようなドメイン２０４内のデバイスに転送する。その後ＤＮＳプロキシはステップＳ１０１０に進む。
【００５０】
ステップ１０１０では、ＤＮＳプロキシ４０４はドメイン２０４に個人的でない情報に対する要求をすべてドメイン２０４外のデバイスに送る。その後ＤＮＳプロキシ４０４はステップＳ１０１２に進み処理を終了する。
【００５１】
図１３は、ドメイン２０４外のデバイスから受信した通信をフィルタリングするためのＤＮＳプロキシ４０４の処理を示す。ステップＳ２０００では、ＤＮＳプロキシ４０４は外部デバイスからの通信を受信してステップＳ２００２に進む。ステップＳ２００２では、ＤＮＳプロキシ４０４は個人情報に関する通信を調査してステップＳ２００４に進む。ステップＳ２００４では、ＤＮＳプロキシ４０４は、個人情報が外部デバイスからの通信中に発見されたならばステップＳ２００６に進み、さもなければＤＮＳプロキシ４０４はステップＳ２００８に進む。
【００５２】
ステップＳ２００６では、ＤＮＳプロキシ４０４は通信からすべての個人情報を除去することによって通信をフィルタリングし、ステップＳ２００８に進む。ステップＳ２００８では、ＤＮＳプロキシ４０４はフィルタリングされた情報をドメイン２０４内の目的デバイスに送り、ステップＳ２０１０に進んで処理を終了する。
【００５３】
本発明は特定の実施形態とともに説明されたが、多くの代替案、修正および別の形態が当業技術分野に熟練した者に明らかであることは明白である。従って、ここに示された本発明の好適実施形態は制限ではなく例示を目的としている。特許請求の範囲で示された本発明の精神と範囲から逸脱することなく、様々な変更が可能である。
【図面の簡単な説明】
【００５４】
【図１】図１は分散システムのブロック図である。
【図２】ドメインネームの階層を示す図である。
【図３】ドメインに分離された階層的ドメインネームの図である。
【図４】ＩＰアドレスを有するデバイスを伴う図３のドメインの図である。
【図５】対応するＩＰアドレスを伴うデバイスを有するドメインの図である。
【図６】お互いおよびドメイン外のデバイスと通信するデバイスを有する図５のドメインの図である。
【図７】ファイアウォールを有する図６に示されたドメインの図である。
【図８】交換装置の図である。
【図９】フィルタリング装置の図である。
【図１０】ＤＮＳプロキシ・デバイスを含むドメインの図である。
【図１１】ファイアウォールに組み込まれたＤＮＳプロキシ・デバイスを含むドメインの図である。
【図１２】交換装置の処理のフローチャートである。
【図１３】フィルタリング装置の処理のフローチャートである。
【図１】
2006262532.tif 000005
【図２】
2006262532.tif 000006
【図３】
2006262532.tif 000007
【図４】
2006262532.tif 000008
【図５】
2006262532.tif 000009
【図６】
2006262532.tif 000010
【図７】
2006262532.tif 000011
【図８】
2006262532.tif 000012
【図９】
2006262532.tif 000013
【図１０】
2006262532.tif 000014
【図１１】
2006262532.tif 000015
【図１２】
2006262532.tif 000016
【図１３】
2006262532.tif 000017
【手続補正書】
【提出日】平成18年6月20日(2006.6.20)
【手続補正２】
【補正対象書類名】特許請求の範囲
【補正対象項目名】請求項１０
【補正方法】変更
【補正の内容】
【請求項１０】
請求項９に記載の方法において、ローカル機密保護管理ポリシーは、デバイスのポインタを伴う第１のドメインの第１のデバイスから受信された情報から第１のドメインのデバイスへポインタを置換するか、第１ドメインの第１デバイスから受信したメール交換記録を修正かの、少なくともいずれか１つであることを特徴とする方法。