(57)【要約】【課題】例えば、ジャバアプリケーションのようなソフトウェアによるネットワークアクセスに関し、よりセキュリティを向上させることのできるアクセス管理方法を提供する。【解決手段】サーバ４０からジャバアプリケーションＡＰをダウンロードする際に、サーバ４０のホスト名とともに、ジャバアプリケーションＡＰをダウンロードする際にサーバ４０が用いたスキーム及び送信ポート番号を記憶しておく。そして、ジャバアプリケーションＡＰがネットワーク上のリソースにへアクセスする場合に、アクセスしようとしているリソースのホスト名、スキーム及び宛先ポート番号を、記憶しているホスト名、スキーム及び送信ポート番号とを比較して、これらが全て一致する場合にのみ、そのネットワークアクセスを許容する。【選択図】図６
2006155661.tif 000002
【特許請求の範囲】
【請求項１】
クライアント端末がネットワークを介してサーバにアクセスする際に行うアクセス管理方法であって、
前記サーバに対してソフトウェアのダウンロードを要求するステップと、
前記要求に基づき前記サーバから、前記サーバのホスト名、前記サーバが用いる送信ポート番号、前記サーバが用いるスキームおよびダウンロードされるソフトウェアを識別するアプリケーション識別情報を取得し、これらを一組にして前記アプリケーション識別情報に対応付けてアクセス管理テーブルに書き込む管理テーブル作成ステップと、
前記ソフトウェアを記憶手段に記憶させるソフトウェア記憶ステップと、
前記記憶手段に記憶された前記ソフトウェアがネットワーク上のリソースへアクセスする場合、当該ソフトウェアのアプリケーション識別情報に対応付けられて前記アクセス管理テーブルに記憶されているホスト名、スキーム、ポート番号と、前記アクセスの対象となるリソースのホスト名、スキーム、宛先ポート番号とを各々比較するステップと、
前記比較の結果、全てが一致した場合には前記アクセスを許容する一方、いずれか一つでも一致しない場合には前記アクセスを許容しないステップと
を備えることを特徴とするアクセス管理方法。
【請求項２】
請求項１記載のアクセス管理方法において、
前記ソフトウェアは、Jａｖａ（登録商標）プログラミング言語で記述され、前記クラ
イアントに予めインストールされているソフトウェアと共同して実行されるジャバアプリケーションであることを特徴とするアクセス管理方法。
【請求項３】
クライアント端末がネットワークを介してサーバにアクセスする際に行うアクセス管理方法をコンピュータに実行させるプログラムであって、
前記サーバに対してソフトウェアのダウンロードを要求する処理と、
前記要求に基づき前記サーバから、前記サーバのホスト名、前記サーバが用いる送信ポート番号、前記サーバが用いるスキームおよびダウンロードされるソフトウェアを識別するアプリケーション識別情報を取得し、これらを一組にして前記アプリケーション識別情報に対応付けてアクセス管理テーブルに書き込む管理テーブル作成処理と、
前記ソフトウェアを記憶手段に記憶させるソフトウェア記憶処理と、
前記記憶手段に記憶された前記ソフトウェアがネットワーク上のリソースへアクセスする場合、当該ソフトウェアのアプリケーション識別情報に対応付けられて前記アクセス管理テーブルに記憶されているホスト名、スキーム、ポート番号と、前記アクセスの対象となるリソースのホスト名、スキーム、宛先ポート番号とを各々比較する処理と、
前記比較の結果、全てが一致した場合には前記アクセスを許容する一方、いずれか一つでも一致しない場合には前記アクセスを許容しない処理と
をコンピュータに実行させるプログラム。
【請求項４】
クライアント端末がネットワークを介してサーバにアクセスする際に行うアクセス管理方法をコンピュータに実行させるプログラムを記憶したコンピュータ読み取り可能な記録媒体であって、
前記サーバに対してソフトウェアのダウンロードを要求する処理と、
前記要求に基づき前記サーバから、前記サーバのホスト名、前記サーバが用いる送信ポート番号、前記サーバが用いるスキームおよびダウンロードされるソフトウェアを識別するアプリケーション識別情報を取得し、これらを一組にして前記アプリケーション識別情報に対応付けてアクセス管理テーブルに書き込む管理テーブル作成処理と、
前記ソフトウェアを記憶手段に記憶させるソフトウェア記憶処理と、
前記記憶手段に記憶された前記ソフトウェアがネットワーク上のリソースへアクセスする場合、当該ソフトウェアのアプリケーション識別情報に対応付けられて前記アクセス管理テーブルに記憶されているホスト名、スキーム、ポート番号と、前記アクセスの対象となるリソースのホスト名、スキーム、宛先ポート番号とを各々比較する処理と、
前記比較の結果、全てが一致した場合には前記アクセスを許容する一方、いずれか一つでも一致しない場合には前記アクセスを許容しない処理と
をコンピュータに実行させるプログラムを記憶したコンピュータ読み取り可能な記録媒体。
【請求項５】
クライアント端末がネットワークを介して行うサーバへのアクセスを管理するアクセス管理装置であって、
前記サーバに対してソフトウェアのダウンロードを要求する手段と、
前記要求に基づき前記サーバから、前記サーバのホスト名、前記サーバが用いる送信ポート番号、前記サーバが用いるスキームおよびダウンロードされるソフトウェアを識別するアプリケーション識別情報を取得し、これらを一組にして前記アプリケーション識別情報に対応付けてアクセス管理テーブルに書き込む管理テーブル作成手段と、
前記ソフトウェアを記憶手段に記憶させるソフトウェア記憶ステップと、
前記記憶手段に記憶された前記ソフトウェアがネットワーク上のリソースへアクセスする場合、当該ソフトウェアのアプリケーション識別情報に対応付けられて前記アクセス管理テーブルに記憶されているホスト名、スキーム、ポート番号と、前記アクセスの対象となるリソースのホスト名、スキーム、宛先ポート番号とを各々比較する手段と、
前記比較の結果、全てが一致した場合には前記アクセスを許容する一方、いずれか一つでも一致しない場合には前記アクセスを許容しない手段と
を備えることを特徴とするアクセス管理方法。
【請求項６】
移動通信網を介してサーバとデータ通信を行う移動通信端末であって、
前記サーバに対してソフトウェアのダウンロードを要求する手段と、
前記要求に基づき前記サーバから、前記サーバのホスト名、前記サーバが用いる送信ポート番号、前記サーバが用いるスキームおよびダウンロードされるソフトウェアを識別するアプリケーション識別情報を取得し、これらを一組にして前記アプリケーション識別情報に対応付けてアクセス管理テーブルに書き込む管理テーブル作成手段と、
前記ソフトウェアを記憶手段に記憶させるソフトウェア記憶手段と、
前記記憶手段に記憶された前記ソフトウェアがネットワーク上のリソースへアクセスする場合、当該ソフトウェアのアプリケーション識別情報に対応付けられて前記アクセス管理テーブルに記憶されているホスト名、スキーム、ポート番号と、前記アクセスの対象となるリソースのホスト名、スキーム、宛先ポート番号とを各々比較する手段と、
前記比較の結果、全てが一致した場合には前記アクセスを許容する一方、いずれか一つでも一致しない場合には前記アクセスを許容しない手段と  を備えることを特徴とする移動通信端末。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上のリソースからダウンロードしたソフトウェアが実行される際に、当該ソフトウェアによるネットワークへのアクセスを管理するための方法および装置に関する。
【背景技術】
【０００２】
ネットワークに接続されたクライアント端末は、ネットワーク上のサーバにアクセスし、各種コンテンツやアプリケーションをダウンロードすることができる。
例えば、Ｊａｖａ（登録商標）プログラミング言語で記述された「ジャバアプレット」と呼ばれるソフトウェアは、サーバのようなソースコンピュータからクライアント端末にダウンロードされ、そのクライアント端末に実装されたブラウザ上で実行されるように構成されたソフトウェアである。
【０００３】
このジャバアプレットは、クライアント端末側のＣＰＵやメモリの負担を軽減するべく低容量化された小さなアプリケーションで、処理を実行する際にはネットワーク上のサーバにアクセスし、このサーバと連携しながら処理を実行するようになっている。
【０００４】
ところが、インターネットのようなオープンネットワークは一般に安全性が低く、そのため、このようなオープンネットワークを介して配布されるジャバアプレットは必ずしも信頼できるものではない。
そこで、不正なジャバアプレットによるネットワークアクセスを排除する必要があり、現在、次のようなアクセス制限の仕組みが提案されている。
【０００５】
即ち、クライアント端末は、ジャバアプレットのダウンロード元のサーバに対してのみアクセスを可能とするものである。具体的には、クライアント端末が、ジャバアプレットのダウンロード元のサーバのホスト名を、ジャバアプレットの識別情報とともに記憶しておき、このジャバアプレットがネットワークへのアクセスを行う場合には、これと対応付けて記憶しておいたホスト名以外のサーバへのアクセスを禁止するようにしている。このアクセス制限手法は、一般に「サンドボックス」と呼ばれている。
【０００６】
ところで、Ｊａｖａ（登録商標）プログラミング言語で記述されたソフトウェアには、上記ジャバアプレットのほかに、「ジャバアプリケーション」と呼ばれるものがある。このジャバアプリケーションは、サーバからクライアント端末にダウンロードされてもよいし、予めクライアント端末に実装されていてもよいが、その実行時には、クライアント端末内のブラウザ以外のソフトウェアと共同して作動するものである。また、このジャバアプリケーションによるネットワークへのアクセスは、上述したサンドボックスの対象とはなっておらず、ネットワーク上のいずれのサーバとも通信可能となっている。
【０００７】
ただし、今後は、Ｊａｖａ（登録商標）に適合したネットワーク資源の構築がよりいっそう進むことが予想され、そのような状況下では、ジャバアプリケーションによるネットワークアクセスに対しても何らかの制限を設ける必要が生じてくると考えられる。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、上述したサンドボックスをジャバアプリケーションに採用しただけでは、不正なジャバアプリケーションによるネットワークアクセスを完全に排除できるとは言い難い。なぜなら、アクセス先をダウンロード元のサーバに限定しても、通常、１個のサーバの処理内容は多岐に渡り、必ずしもユーザが意図している処理をクライアント端末がサーバに実行させるとはいえないからである。
このような背景の下、本発明は、例えばジャバアプリケーションのようなソフトウェアによるネットワークアクセスに関して、よりセキュリティを向上させることを目的とする。
【課題を解決するための手段】
【０００９】
上述した問題を解決するため、クライアント端末がネットワークを介してサーバにアクセスする際に行うアクセス管理方法であって、前記サーバに対してソフトウェアのダウンロードを要求するステップと、前記要求に基づき前記サーバから、前記サーバのホスト名、前記サーバが用いる送信ポート番号、前記サーバが用いるスキームおよびダウンロードされるソフトウェアを識別するアプリケーション識別情報を取得し、これらを一組にして前記アプリケーション識別情報に対応付けてアクセス管理テーブルに書き込む管理テーブル作成ステップと、前記ソフトウェアを記憶手段に記憶させるソフトウェア記憶ステップと、前記記憶手段に記憶された前記ソフトウェアがネットワーク上のリソースへアクセスする場合、当該ソフトウェアのアプリケーション識別情報に対応付けられて前記アクセス管理テーブルに記憶されているホスト名、スキーム、ポート番号と、前記アクセスの対象となるリソースのホスト名、スキーム、宛先ポート番号とを各々比較するステップと、前記比較の結果、全てが一致した場合には前記アクセスを許容する一方、いずれか一つでも一致しない場合には前記アクセスを許容しないステップとを備えることを特徴とするアクセス管理方法を提供する。
【００１０】
また、前記ソフトウェアは、Jａｖａ（登録商標）プログラミング言語で記述され、前
記クライアントに予めインストールされているソフトウェアと共同して実行されるジャバアプリケーションであることを特徴としてもよい。
【００１１】
また、本発明は、クライアント端末がネットワークを介してサーバにアクセスする際に行うアクセス管理方法をコンピュータに実行させるプログラムであって、前記サーバに対してソフトウェアのダウンロードを要求する処理と、前記要求に基づき前記サーバから、前記サーバのホスト名、前記サーバが用いる送信ポート番号、前記サーバが用いるスキームおよびダウンロードされるソフトウェアを識別するアプリケーション識別情報を取得し、これらを一組にして前記アプリケーション識別情報に対応付けてアクセス管理テーブルに書き込む管理テーブル作成処理と、前記ソフトウェアを記憶手段に記憶させるソフトウェア記憶処理と、前記記憶手段に記憶された前記ソフトウェアがネットワーク上のリソースへアクセスする場合、当該ソフトウェアのアプリケーション識別情報に対応付けられて前記アクセス管理テーブルに記憶されているホスト名、スキーム、ポート番号と、前記アクセスの対象となるリソースのホスト名、スキーム、宛先ポート番号とを各々比較する処理と、前記比較の結果、全てが一致した場合には前記アクセスを許容する一方、いずれか一つでも一致しない場合には前記アクセスを許容しない処理とをコンピュータに実行させるプログラムを提供する。
【００１２】
また、本発明は、クライアント端末がネットワークを介してサーバにアクセスする際に行うアクセス管理方法をコンピュータに実行させるプログラムを記憶したコンピュータ読み取り可能な記録媒体であって、前記サーバに対してソフトウェアのダウンロードを要求する処理と、前記要求に基づき前記サーバから、前記サーバのホスト名、前記サーバが用いる送信ポート番号、前記サーバが用いるスキームおよびダウンロードされるソフトウェアを識別するアプリケーション識別情報を取得し、これらを一組にして前記アプリケーション識別情報に対応付けてアクセス管理テーブルに書き込む管理テーブル作成処理と、前記ソフトウェアを記憶手段に記憶させるソフトウェア記憶処理と、前記記憶手段に記憶された前記ソフトウェアがネットワーク上のリソースへアクセスする場合、当該ソフトウェアのアプリケーション識別情報に対応付けられて前記アクセス管理テーブルに記憶されているホスト名、スキーム、ポート番号と、前記アクセスの対象となるリソースのホスト名、スキーム、宛先ポート番号とを各々比較する処理と、前記比較の結果、全てが一致した場合には前記アクセスを許容する一方、いずれか一つでも一致しない場合には前記アクセスを許容しない処理とをコンピュータに実行させるプログラムを記憶したコンピュータ読み取り可能な記録媒体を提供する。
【００１３】
また、本発明は、クライアント端末がネットワークを介して行うサーバへのアクセスを管理するアクセス管理装置であって、前記サーバに対してソフトウェアのダウンロードを要求する手段と、前記要求に基づき前記サーバから、前記サーバのホスト名、前記サーバが用いる送信ポート番号、前記サーバが用いるスキームおよびダウンロードされるソフトウェアを識別するアプリケーション識別情報を取得し、これらを一組にして前記アプリケーション識別情報に対応付けてアクセス管理テーブルに書き込む管理テーブル作成手段と、前記ソフトウェアを記憶手段に記憶させるソフトウェア記憶ステップと、前記記憶手段に記憶された前記ソフトウェアがネットワーク上のリソースへアクセスする場合、当該ソフトウェアのアプリケーション識別情報に対応付けられて前記アクセス管理テーブルに記憶されているホスト名、スキーム、ポート番号と、前記アクセスの対象となるリソースのホスト名、スキーム、宛先ポート番号とを各々比較する手段と、前記比較の結果、全てが一致した場合には前記アクセスを許容する一方、いずれか一つでも一致しない場合には前記アクセスを許容しない手段とを備えることを特徴とするアクセス管理方法を提供する。
【００１４】
また、本発明は移動通信網を介してサーバとデータ通信を行う移動通信端末であって、前記サーバに対してソフトウェアのダウンロードを要求する手段と、前記要求に基づき前記サーバから、前記サーバのホスト名、前記サーバが用いる送信ポート番号、前記サーバが用いるスキームおよびダウンロードされるソフトウェアを識別するアプリケーション識別情報を取得し、これらを一組にして前記アプリケーション識別情報に対応付けてアクセス管理テーブルに書き込む管理テーブル作成手段と、前記ソフトウェアを記憶手段に記憶させるソフトウェア記憶手段と、前記記憶手段に記憶された前記ソフトウェアがネットワーク上のリソースへアクセスする場合、当該ソフトウェアのアプリケーション識別情報に対応付けられて前記アクセス管理テーブルに記憶されているホスト名、スキーム、ポート番号と、前記アクセスの対象となるリソースのホスト名、スキーム、宛先ポート番号とを各々比較する手段と、前記比較の結果、全てが一致した場合には前記アクセスを許容する一方、いずれか一つでも一致しない場合には前記アクセスを許容しない手段とを備えることを特徴とする移動通信端末を提供する。
【発明の効果】
【００１５】
本発明によれば、ネットワーク上のリソースからソフトウェアをダウンロードする際に、リソースのホスト名とともに、ソフトウェアをダウンロードする際にリソースが用いたスキーム及び送信ポート番号を記憶しておき、ソフトウェアがネットワーク上のリソースへアクセスする場合に、アクセス対象となるリソースのホスト名、スキーム及び宛先ポート番号を、記憶しているホスト名、スキーム及び送信ポート番号と比較し、これが一致する場合にのみアクセスを許容するので、アクセス先がより限定される結果となり、これによりセキュリティが向上することになる。
【発明を実施するための最良の形態】
【００１６】
以下、図面を参照しながら、本発明の実施形態を説明する。この実施形態では、クライアント端末として、無線によりデータ通信を行う携帯電話機を例に挙げて説明する。ただし、本発明は、かかる実施形態に限定されず、その技術思想の範囲内で種々の変化が可能である。
【００１７】
Ａ：構成
まず、実施形態の構成について説明する。
（１）システム全体の構成
図１は、本発明の実施形態にかかるシステム全体の構成を示すブロック図である。同図に示すように、このシステムは、携帯電話機１０、移動パケット通信網２０、インターネット３０及びサーバ４０から構成されている。
【００１８】
携帯電話機１０は、ユーザによって所持され、図示せぬ移動電話網の通話サービスを受けるほか、移動パケット通信網２０の基地局２１との間で無線通信を行って該網２０のデータ通信サービスを受ける。
この携帯電話機１０は、インターネット３０上の各種ページをブラウジングするためのブラウザのほか、Ｊａｖａ（登録商標）をサポートするジャババーチャルマシンを搭載しており、これにより、サーバ４０からダウンロードした各種ジャバアプリケーションを実行することが可能となっている。
【００１９】
移動パケット通信網２０は、基地局２１や、図示せぬ交換局及びこれらを結ぶ通信線によって構成される。基地局２１は、移動パケット通信網２０の通信サービスエリア内に所定の間隔で多数設置され、各々の無線セルに在圏する携帯電話機１０と無線通信を行う。
【００２０】
この移動パケット通信網２０は、図示せぬゲートウェイを介してインターネット３０に接続されており、これらのネットワーク間では双方向のデータ中継が可能である。
【００２１】
サーバ４０は、各種データやソフトウェアを保持しており、これらをインターネット３０及び移動パケット通信網２０を介して携帯電話機１０に提供する。
【００２２】
例えば、サーバ４０は、携帯電話機１０のブラウザを用いて参照可能なＨＴＭＬ（Hypertext Markup Language）形式のデータや、Ｊａｖａ（登録商標）プログラミング言語で
記述されたジャバアプリケーションを保持している。このジャバアプリケーションは、例えば、株売買等のオンライントレーディングや、ユーザのアドレス帳或いはＰＩＭ（Personal Information Manager）等の管理を行うためのソフトウェアであり、サーバ４０から携帯電話機１０にダウンロードされた後、携帯電話機１０上でサーバ４０と連携しながら実行されるようになっている。
【００２３】
（２）携帯電話機１０のハードウェア構成  次に、図２に示すブロック図を参照しながら、携帯電話機１０のハードウェア構成について説明する。
同図に示すように、携帯電話機１０は、送受信部１１、制御部１２、ユーザインタフェース部１３及びこれらを相互に接続するバス１４から構成される。
【００２４】
送受信部１１は、図示せぬアンテナや通信制御回路からなり、移動パケット通信網２０の基地局２１と無線通信を行う。
ユーザインタフェース部１３は、各種情報を表示する液晶ディスプレイ、ユーザが各種入力操作を行うためのキーパッド、ユーザが通話を行うためのマイク及びスピーカからなる。
【００２５】
制御部１２は、この携帯電話機１０の各部を制御するものであり、ＣＰＵ１２１、ＲＯＭ１２２及びＳＲＡＭ１２３から構成される。
ＲＯＭ１２２には種々の制御プログラム等が格納されており、ＣＰＵ１２１は、この制御プログラムを読み出して各種制御処理を実行する。ＲＯＭ１２２内の制御プログラムには、携帯電話機１０が備えるオペレーティングシステムの他、ブラウザや、後述する各種ソフトウェアが含まれる。
【００２６】
ＳＲＡＭ１２３は、ＣＰＵ１２１のワークエリアとして用いられるほか、サーバ４０から提供されるページをキャッシュしたり、サーバ４０からダウンロードしたジャバアプリケーションを記憶する。
【００２７】
（３）携帯電話機１０のソフトウェア構成
次に、携帯電話機１０のＲＯＭ１２２に記憶されたソフトウェアの構成について説明する。
図３は、携帯電話機１０のソフトウェア構成を示す模式図である。同図に示すように、携帯電話機１０のソフトウェアは、最下層から最上層の順に、オペレーティングシステムＯＳ、ジャバアプリケーションマネージャＪＡＭ、ジャババーチャルマシンＫＶＭ、ジャバアプリケーションＡＰによって構成される。
【００２８】
オペレーティングシステムＯＳは、周知の携帯電話機が実装するソフトウェアであり、携帯電話機１０の基本的な処理をサポートする。
【００２９】
ジャバアプリケーションマネージャＪＡＭは、主としてジャババーチャルマシンＫＶＭの制御やセキュリティチェックを行うためのソフトウェアであり、例えば、ジャバアプリケーションＡＰが特定のリソースへのアクセスを行う際に、そのアクセスを許可するかどうかを判断する。ジャバアプリケーションマネージャＪＡＭは、この判断を行うために、後述するアクセス管理テーブルを備えている。
【００３０】
ジャババーチャルマシンＫＶＭは、ジャバアプリケーションマネージャＪＡＭによる制御の下、ジャバアプリケーションを実行する。このジャババーチャルマシンＫＶＭ及びジャバアプリケーションマネージャＪＡＭは、オペレーティングシステムＯＳに予め組み込まれており、これらは全てＲＯＭ１２２内に記憶されている。
【００３１】
ジャバアプリケーションＡＰは、上述したようにＪａｖａ（登録商標）プログラミング言語によって記述されたソフトウェアであり、サーバ４０から携帯電話機１０にダウンロードされ、ＳＲＡＭ１２３内に書き込まれて保存される。
【００３２】
（４）アクセス管理テーブルの構成
図４は、ジャバアプリケーションマネージャＪＡＭが備えるアクセス管理テーブルの記憶内容の一例を示すフォーマット図である。なお、このアクセス管理テーブルは、上述したＳＲＡＭ１２３上に設けられている。
【００３３】
同図に示すように、このアクセス管理テーブル上には、ジャバアプリケーションＡＰのアプリケーション識別番号に対応付けて、そのジャバアプリケーションのダウンロード元となるサーバ４０のＵＲＬ（Uniform Resource Locator）が記憶されている。このＵＲＬには、サーバ４０のホスト名だけではなく、スキーム及びポート番号が含まれている。ここで、スキームとは、携帯電話機１０がサーバ４０と通信する際に用いたプロトコルを意味し、例えば、http（Hypertext Transfer Protocol）、ftp（File Transfer Protocol）等がある。また、ポート番号とは、サーバ４０がジャバアプリケーションＡＰを携帯電話機１０に送信する際に用いた送信ポート番号を意味している。このポート番号には、ＲＦＣ１７００によってアプリケーション毎に予め定められているウェルノウンポート番号と、その都度動的に定められるポート番号とがある。
【００３４】
図４において、例えば、アプリケーション識別番号「ap0001」に対応してＵＲＬ「http://www.abc.co.jp:80」が記憶されている。これは、アプリケーション識別番号「ap0001
」が示すジャバアプリケーションＡＰが、ホスト名「www.abc.co.jp」のサーバ４０から
、ポート番号「80」及びスキーム「http」を利用してダウンロードされたことを意味している。
ジャバアプリケーションマネージャＪＡＭは、上述したように、ジャバアプリケーションＡＰが特定のリソースへのアクセスを行う際に、そのアクセスを許可するかどうかをこのアクセス管理テーブルを参照して判断する。
【００３５】
具体的には、ジャバアプリケーションマネージャＪＡＭは、ジャバアプリケーションＡＰがインターネット３０上のリソースにアクセスするような場合、そのジャバアプリケーションＡＰのアプリケーション識別情報に対応付けられてアクセス管理テーブルに記憶されているＵＲＬに対してのみ、アクセスを許容するようになっている。
【００３６】
Ｂ：動作
次に、上記構成からなる実施形態の動作について説明する。
以下では、（１）ジャバアプリケーションのダウンロード処理、（２）ジャバアプリケーションの実行処理とに分けて動作説明を行う。
【００３７】
（１）ジャバアプリケーションのダウンロード処理
図５は、携帯電話機１０によるジャバアプリケーションＡＰのダウンロード処理を示すフローチャートである。
同図において、携帯電話機１０は、サーバ４０に対して所望のジャバアプリケーションのダウンロードを要求する（ステップＳ１）。具体的には、携帯電話機１０はまず、サーバ４０が用意しているＨＴＭＬ形式のメニューページを自身の液晶ディスプレイに表示し、ユーザはそのメニューの中から所望のジャバアプリケーション名を選択する。これにより、そのジャバアプリケーションＡＰを要求するリクエストが携帯電話機１０からサーバ４０に送信されてダウンロード要求がなされる。
【００３８】
このダウンロード要求に対してサーバ４０が応答することにより、携帯電話機１０によるジャバアプリケーションのダウンロード処理が開始される（ステップＳ２）。より具体的には、ジャバアプリケーションＡＰのアプリケーション識別情報及びサーバ４０のＵＲＬが携帯電話機１０に通知された後、ジャバアプリケーションＡＰそのもののデータがＪＡＲファイル形式でダウンロードされる。
【００３９】
携帯電話機１０は、サーバ４０から通知されたアプリケーション識別情報及びＵＲＬを、上述したアクセス管理テーブルに書込むとともに（ステップＳ３）、ジャバアプリケーションＡＰのデータをＳＲＡＭ１２３の所定の記憶エリアに書き込んでいく（ステップＳ４）。すべてのデータがＳＲＡＭ１２３に書き込まれたことが確認されると、同図に示す処理は終了する。
【００４０】
（２）ジャバアプリケーションの実行処理
図６は、携帯電話機１０のジャババーチャルマシンＫＶＭによるジャバアプリケーションＡＰの実行処理を示すフローチャートである。
ユーザの操作により所望のジャバアプリケーションの起動が指示されると、これに応じて図３に示すジャババーチャルマシンＫＶＭ上でジャバアプリケーションＡＰが起動され、「クラス」と呼ばれる処理実行単位毎に処理が実行されていく。
【００４１】
このクラス単位で図６に示すフローが開始される。同図において、まず、実行されるクラスがネットワーク上のリソースへのアクセスを要する処理であるか否かが判断される（ステップＳ１１）。
ここで、クラスがネットワークアクセスを要するものではない場合（ステップＳ１１；Ｎｏ）、ジャババーチャルマシンＫＶＭは、そのクラスに対応する処理を実行して（ステップＳ１２）、同図に示す処理は終了する。
【００４２】
一方、クラスがネットワークアクセスを要するものである場合（ステップＳ１１；Ｙｅｓ）、ジャババーチャルマシンＫＶＭは、そのアクセス対象となるリソースのホスト名とそのアクセスに用いるスキーム及び宛先ポート番号を、実行されているジャバアプリケーションＡＰのアプリケーション識別情報に対応付けられてアクセス管理テーブル上に記憶されているホスト名、スキーム及びポート番号（送信ポート番号）と比較する（ステップＳ１３）。具体的には、双方のホスト名どうし、スキームどうし、そして宛先ポート番号とポート番号（送信ポート番号）とがそれぞれ比較される。
【００４３】
この結果、比較項目が全て一致した場合には（ステップＳ１４；Ｙｅｓ）、ジャババーチャルマシンＫＶＭは、このネットワークアクセスを許容し、ジャバアプリケーションによるアクセス処理が開始される（ステップＳ１５）。
【００４４】
一方、少なくともいずれか１つの比較項目が不一致となった場合（ステップＳ１４；Ｎｏ）、ジャババーチャルマシンＫＶＭは、このネットワークアクセスを許容できない旨のメッセージを液晶ディスプレイに表示し（ステップＳ１６）、同図に示す処理は終了する。
【００４５】
このように、サーバ４０から携帯電話機１０にジャバアプリケーションＡＰをダウンロードする際に、サーバ４０のホスト名とともに、ジャバアプリケーションＡＰをダウンロードする際にサーバ４０が用いたスキーム及び送信ポート番号を記憶しておき、このジャバアプリケーションＡＰがネットワーク上のリソースへアクセスする場合に、そのアクセス対象となるリソースのホスト名、スキーム及び宛先ポート番号を、記憶しているホスト名、スキーム及び送信ポート番号と比較して、これらが全て一致する場合にのみアクセスを許容する。
即ち、アクセス先をより厳格に限定することにより、セキュリティを確保するのである。
【００４６】
Ｃ：変形例
既述のとおり、本発明は上述した実施形態に限定されず、以下のような種々の変形が可能である。
【００４７】
（１）携帯電話機１０の形態
前述の実施形態では、クライアント端末として携帯電話機を用いるものであったが、これに限定されず、他の移動通信端末であってもよい。例えば、無線機能を内蔵したＰＤＡ（Personal Digital Assistants）であってもよい。
また、移動通信端末に限らず、インターネット３０に有線接続されるパーソナルコンピュータのような固定端末であってもよい。
【００４８】
（２）サーバ４０の形態
前述の実施形態では、サーバ４０はインターネット３０上に設置されているが、必ずしもそのような形態に限らない。例えば、サーバ４０は、移動パケット通信網２０内に設けられていてもよい。
【００４９】
（３）プログラミング言語の形態
前述の実施形態ではＪａｖａ（登録商標）を用いていたが、これに限らず、他のプログラミング言語であってもよいことはもちろんである。
【００５０】
（４）本発明の実施の形態には、上記実施形態において開示したアクセス管理方法を実行させるプログラムを電気通信回線を介して配布する形態や、そのようなプログラムをコンピュータ読み取り可能な記録媒体に記録して頒布するという形態が含まれる。
【図面の簡単な説明】
【００５１】
【図１】本発明の実施形態に係るシステムの全体構成を示すブロック図である。
【図２】同実施形態における携帯電話機のハードウェア構成を示すブロック図である。
【図３】同実施形態における携帯電話機のソフトウェア構成を示す模式図である。
【図４】同実施形態における携帯電話機が備えるアクセス管理テーブルに登録されている内容の一例を示す図である。
【図５】同実施形態における携帯電話機がジャバアプリケーションをダウンロードする際の処理動作を示すフローチャートである。
【図６】同実施形態における携帯電話機のジャババーチャルマシンが、ダウンロードしたジャバアプリケーションを実行する際の処理動作を示すフローチャートである。
【符号の説明】
【００５２】
１０  携帯電話
３０  インターネット
４０  サーバ
【図１】
2006155661.tif 000003
【図２】
2006155661.tif 000004
【図３】
2006155661.tif 000005
【図４】
2006155661.tif 000006
【図５】
2006155661.tif 000007
【図６】
2006155661.tif 000008