(57)【要約】 【課題】  多様な信頼レベルに基づくアクセス制御をクライアント側主体で行うことができるアクセス制御システム等を提供する。【解決手段】  耐タンパデバイス１が接続されたクライアント端末３が、アクセス要求をポリシー管理サーバ５に送信する。アクセス管理サーバ５は、アクセス要求に応じたセキュリティポリシーを決定し、クライアント端末３に送信して、耐タンパデバイス１に格納させる。耐タンパデバイス１は、セキュリティポリシーに基づいて、各認証項目について認証を行い、認証結果のデータを耐タンパデバイス１の記憶領域に格納する。耐タンパデバイス１は、全ての認証結果に対応する制御動作を判断し、判断結果をクライアント端末３に供給する。クライアント端末３は、供給された判断結果が示すアクセス制御を行うとともに、必要に応じて、制御に関する判断結果を認証サーバ７に送信する。【選択図】  図１
2006107182.tif 000002
【特許請求の範囲】
【請求項１】
耐タンパデバイスが接続されたクライアント端末によるサーバへのアクセスを制御するアクセス制御システムであって、
アクセス要求に対応するセキュリティポリシーを耐タンパデバイスに格納する手段と、
前記耐タンパデバイスに格納されたセキュリティポリシーに基づいて認証処理を行う認証手段と、
前記認証処理における認証結果のデータを耐タンパデバイスに格納する手段と、
前記耐タンパデバイスに格納された認証結果に基づいて、当該認証結果が示す前記クライアントの信頼レベルに応じたアクセス制御を行う制御手段と、
を備えることを特徴とするアクセス制御システム。
【請求項２】
前記制御手段は、複数の認証項目の認証結果と、アクセス制御方法と、が関連付けられたテーブルから、前記認証処理における認証結果に対応するアクセス制御内容方法を特定し、特定したアクセス制御方法に従ってアクセス制御を行う、
ことを特徴とする請求項１に記載のアクセス制御システム。
【請求項３】
前記制御手段は、複数の認証項目の認証結果に基づいて、接続許可と、制約付きの接続許可と、接続拒否と、接続拒否及び不正検知と、のいずれかのアクセス制御を行う、
ことを特徴とする請求項１又は２に記載のアクセス制御システム。
【請求項４】
コンピュータを、
クライアント端末が発するアクセス要求に対応するセキュリティポリシーを取得する手段、
前記取得したセキュリティポリシーに基づく認証処理を行う認証手段、
前記認証手段による認証結果が示す前記クライアント端末の信頼レベルに応じたアクセス制御を行う制御手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、耐タンパデバイスを用いてクライアントのアクセス制御を行うアクセス制御システムに関する。
【背景技術】
【０００２】
従来、ネットワークシステムにおいて不正なアクセスを防止するため、サーバがクライアントについて認証を行い、認証に成功した場合にアクセスを許可するアクセス制御が行われていた。このようなアクセス制御システムでは、ネットワーク接続の際に、例えば、ユーザの真正性やクライアントのＯＳやウィルス定義ファイルのパッチ適用状況などについて認証を行い、これらの認証結果に基づいて、サーバ側でアクセス許可／不許可の判断を行うことが一般的であった。
【０００３】
また、近年、ＩＣカードに代表される耐タンパデバイスの普及が進んでおり、例えば、ＩＣカードを用いてネットワーク接続の認証を行うシステムもある（特許文献１参照）。
【特許文献１】特開２０００−３２２３８３号公報（第４頁、第２図）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記のような従来のアクセス制御方式では、サーバ認証やアクセス制御は全てサーバが一元管理していた。このため、認証対象機器や認証対象のデータが増加すると、トラフィック量が増大して負荷が大きくなり、処理速度が遅くなるという問題があった。また、認証処理で用いられる個人情報などがサーバに渡ることにより情報漏洩の可能性もあった。このため、安全性を保持しつつ、クライアント側主体でアクセス認証が可能な仕組みの実現が望まれていた。
【０００５】
また、従来のアクセス制御方式では、行った全ての認証が成功すれば接続を許可し、ひとつでも認証に失敗した場合には接続を拒否するという単純な制御しかできなかった。しかし、ネットワーク接続には、例えば厳秘資料へのアクセスから単純なＷｅｂアクセスまで、多様なアクセス形態があり、それに対して必要とされるセキュリティレベルも多様になってきている。このため、厳秘資料へのアクセスのように高いセキュリティレベルが必要とされるアクセスに対しては厳しい認証を行い、また、単純なＷｅｂアクセスなどのように低いセキュリティレベルで十分なアクセスに対しては簡易な認証を行うといった、柔軟なアクセス制御の実現が望まれている。
【０００６】
本発明は、上記実状に鑑みてなされたものであり、クライアント側主体でアクセス制御を行うことが可能なアクセス制御システム等を提供することを目的とする。
また、本発明は、多様な信頼レベルに基づくアクセス制御を安全に行うことができるアクセス制御システム等を提供することを目的とする。
また、本発明は、多様な信頼レベルに基づくアクセス制御を効率的に行うことができるアクセス制御システム等を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、この発明の第１の観点に係るアクセス制御システムは、
耐タンパデバイスが接続されたクライアント端末によるサーバへのアクセスを制御するアクセス制御システムであって、
アクセス要求に対応するセキュリティポリシーを耐タンパデバイスに格納する手段と、
前記耐タンパデバイスに格納されたセキュリティポリシーに基づいて認証処理を行う認証手段と、
前記認証処理における認証結果のデータを耐タンパデバイスに格納する手段と、
前記耐タンパデバイスに格納された認証結果に基づいて、当該認証結果が示す前記クライアントの信頼レベルに応じたアクセス制御を行う制御手段と、
を備えることを特徴とする。
【０００８】
前記制御手段は、複数の認証項目の認証結果と、アクセス制御方法と、が関連付けられたテーブルから、前記認証処理における認証結果に対応するアクセス制御内容方法を特定し、特定したアクセス制御方法に従ってアクセス制御を行ってもよい。
【０００９】
前記制御手段は、複数の認証項目の認証結果に基づいて、接続許可と、制約付きの接続許可と、接続拒否と、接続拒否及び不正検知と、のいずれかのアクセス制御を行ってもよい。
【００１０】
また、この発明の第２の観点に係るプログラムは、
コンピュータを、
クライアント端末が発するアクセス要求に対応するセキュリティポリシーを取得する手段、
前記取得したセキュリティポリシーに基づく認証処理を行う認証手段、
前記認証手段による認証結果が示す前記クライアント端末の信頼レベルに応じたアクセス制御を行う制御手段、
として機能させる。
【発明の効果】
【００１１】
本発明によれば、多様な信頼レベルに基づくアクセス制御を安全に行うことができる。また、クライアント側主体でアクセス制御を行うことにより、サーバへのトラフィックを軽減するとともに、制御時間の短縮を可能とする。また、個人情報などをサーバに送る必要がなくなるため、情報漏洩の可能性も小さくなる。また、クライアント側主体で認証を行うため、クライアント側に既に存在するセキュア情報と連携し易い。また、サーバが故障した場合でも、ネットワーク接続などのサービスを利用することができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施の形態に係るアクセス制御システムについて図面を参照して説明する。
図１はこの発明の実施形態に係るアクセス制御システムの構成の一例を示す。図示されるように、このアクセス制御システムは、耐タンパデバイス１と、クライアント端末３と、ポリシー管理サーバ５と、認証サーバ７と、を備える。耐タンパデバイス１はクライアント端末３に接続されている。また、クライアント端末３は、ネットワーク１０を介して、ポリシー管理サーバ５、認証サーバ７に接続可能に構成されている。ネットワーク１０は、有線ＬＡＮ、無線ＬＡＮ、インターネット、ＶＰＮ（Virtual Private Network）など種々のネットワークを含む。
【００１３】
耐タンパデバイス１とクライアント端末３の物理的構成の一例を図２に示す。
耐タンパデバイス１は、例えば、ＩＣカード、ＴＰＭ（Trusted Platform Module）、ＵＩＭ（User Identity Module）等を含み、ＣＰＵ（Central Processing Unit）１１と、メモリ１２と、入出力Ｉ／Ｆ（インタフェース）１３と、を備える。
ＣＰＵ１１は、メモリ１２に記憶される動作プログラムを実行することにより後述する処理を行う。
メモリ１２は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）を含み、ＣＰＵ１１が実行するための動作プログラム及び処理に必要な各種データ、ポリシー認証用鍵等を記憶する。なお、ポリシー認証用鍵は、例えば、ポリシー管理サーバ５の秘密鍵と対となる公開鍵である。
入出力Ｉ／Ｆ１３は、クライアント端末３とのデータ通信を制御する。
【００１４】
クライアント端末３は、例えば、パーソナルコンピュータ、ＰＤＡ（Personal Digital Assistant）、携帯電話機等を含み、制御部３１と、主記憶部３２と、入力部３３と、表示部３４と、通信Ｉ／Ｆ３５と、外部記憶部３６と、耐タンパデバイス接続用Ｉ／Ｆ３７と、を備える。
制御部３１は、ＣＰＵ等より構成され、外部記憶部３６に記憶される動作プログラムを読込み、後述する処理を実行する。
主記憶部３２は、ＲＡＭ等からなり、制御部３１の作業領域等として用いられる。
入力部３３は、キーボード、マウス等の入力装置を備え、入力された情報を制御部３１へ供給する。
表示部３４は、ＣＲＴ、液晶ディスプレイ等からなり、制御部３１の指示に従った画像を表示する。
通信Ｉ／Ｆ３５は、ＬＡＮ等のネットワーク１０を介して、ポリシー管理サーバ５、認証サーバ７等の他のコンピュータと通信を行うためのものである。
外部記憶部３６は、ハードディスク装置等からなり、制御部１１により実行されるプログラム及び各種データを記憶する。
耐タンパデバイス接続用Ｉ／Ｆ３７は、耐タンパデバイス１と接続するためのインタフェースであり、ＩＣカードリーダ、ＴＰＭやＵＩＭのチップを読み取る読取装置などを含む。
【００１５】
ポリシー管理サーバ５の物理的構成の一例を図３に示す。図示されるように、ポリシー管理サーバ５は、例えば、制御部５１と、主記憶部５２と、通信制御部５３と、外部記憶部５４と、を備える。
制御部５１は、ＣＰＵ等より構成され、外部記憶部５４に記憶される動作プログラムを読込み、セキュリティポリシーを生成するポリシー生成処理を実行する。セキュリティポリシーは、どのような判断基準を用いて認証を行い、その認証結果からどのように制御するか等を規定したデータであって、例えば、認証主体（認証を行う場所）、認証項目内容、認証結果に応じた制御動作等の情報が、所定のポリシー記述言語により表現される。
主記憶部５２は、ＲＡＭ等からなり、制御部５１の作業領域として用いられる。
通信制御部５３は、ＬＡＮ等のネットワーク１０を介して、クライアント端末３等の他のコンピュータと通信を行うためのものである。
外部記憶部５４は、ハードディスク装置等からなり、制御部５１により実行されるプログラム及び各種データを記憶する。
【００１６】
認証サーバ７の物理的構成の一例を図４に示す。図示されるように、認証サーバ７は、例えば、制御部７１と、主記憶部７２と、通信制御部７３と、外部記憶部７４と、を備える。
制御部７１は、ＣＰＵ等より構成され、外部記憶部７４に記憶される動作プログラムを読込み、後述する認証処理等を実行する。
主記憶部７２は、ＲＡＭ等からなり、制御部７１の作業領域として用いられる。
通信制御部７３は、ＬＡＮ等のネットワーク１０を介して、クライアント端末３等の他のコンピュータと通信を行うためのものである。
外部記憶部７４は、ハードディスク装置等からなり、制御部７１により実行されるプログラム及び各種データを記憶する。
【００１７】
本実施形態に係るアクセス制御システムの機能構成図の一例を図５に示す。
耐タンパデバイス１は、ポリシー認証部２０、ポリシー解釈部２１、認証部２２、認証結果保持部２３、制御決定部２４、を備える。これらは、ＣＰＵ１１がメモリ１２に記憶されたプログラムを実行することにより実現される。
【００１８】
ポリシー認証部２０は、ポリシー管理サーバ５が生成したセキュリティポリシーをクライアント３から受信し、メモリ１２に記憶されているポリシー認証用鍵を用いて、セキュリティポリシーに付与されている署名を検証する。
ポリシー解釈部２１は、署名の検証結果がＯＫを示す場合にセキュリティポリシーの解釈処理を行う。セキュリティポリシーの解釈処理では、セキュリティポリシーの記述を参照し、各認証項目について、認証を行うために必要な状態情報を当該耐タンパデバイス１のメモリ１２やクライアント端末３や認証サーバ７などから取得する。
【００１９】
認証部２２は、セキュリティポリシーに設定されている認証項目について、その認証に必要な情報（状態情報）をクライアント端末３や認証サーバ７などから受信し、状態情報を用いて各種認証を行う。
認証結果保持部２３は、認証部２２による認証結果をメモリ１２の所定領域（認証結果保持領域）に記憶する。認証結果保持領域に記憶される認証結果の一例を図６に示す。
【００２０】
制御決定部２４は、セキュリティポリシーに設定されている全認証項目について認証が終了した場合に、メモリ１２の認証結果保持領域に記憶されている認証結果と、メモリ１２に記憶されている制御判断テーブルと、に基づいて、最終的な制御動作を判断し、判断結果を示す制御情報をクライアント端末３に通知する。
【００２１】
制御判断テーブルには、例えば図７に示すように、各認証項目の判断結果の組み合わせと、クラアイントのアクセス制御方法と、のデータが関連付けられている。各認証項目の認証結果は、「成功（ＯＫ）」、「失敗（ＮＧ）」に加えて、例えば、「不明（ＵＮＫＮＯＷＮ）」等の結果値をとることもできる。よって、例えば、認証項目がｎ個であって、１つの認証における認証結果が最大３通りの場合、認証結果は最大３ｎパターンであるため、クライアント端末３の信頼レベルは最大３ｎ個に多段化することができる。そして、認証結果に対する制御の仕方についても、接続許可、制約付きの接続許可、接続拒否、接続拒否及び不正検知と、多段化することができる。このように多段化された各信頼レベルに、多段化された制御方法を対応付けることで、きめ細かいアクセス制御が可能となる。なお、各認証項目の認証結果は、「成功」、「失敗」、「不明」等に限定されず、例えば、アプリケーションのバージョンチェック等のように、閾値等を用いた認証においては、「新しい」、「古い」等のような認証結果もとりうる。
【００２２】
クライアント端末３は、ネットワーク接続部４１と耐タンパデバイス接続部４２を備える。これは、制御部３１が外部記憶部３６に記憶されるプログラムを実行することにより実現される。
【００２３】
ネットワーク接続部４１は、ポリシー管理サーバ５や認証サーバ７とのデータ送受信を行う。具体的には、例えば利用対象サービスを指定する入力等に応答して、指定されたサービスを示すアクセス要求をポリシー管理サーバ５に送信し、これに対するセキュリティポリシー及び署名のデータを受信する。また、耐タンパデバイス１からの要求に基づいて、認証に必要な状態情報を認証サーバ７などに要求して受信する。
【００２４】
耐タンパデバイス接続部４２は、耐タンパデバイス１とのデータ送受信を行う。具体的には、ポリシー管理サーバ５などから受信したセキュリティポリシー及び署名や、状態情報などを耐タンパデバイス１に送信する。また、認証結果に対応した制御情報を耐タンパデバイス１から受信し、受信した制御情報に基づく制御処理を行う。
【００２５】
ポリシー管理サーバ５は、ポリシー生成部６１を備える。このポリシー生成部６１は、制御部５１が外部記憶部５４に記憶されるプログラムを実行することにより実現される。
ポリシー生成部６１は、クライアント端末３からのアクセス要求に応答して、アクセス要求が示すサービスに対応するセキュリティポリシーを生成し、生成したセキュリティポリシーに、ポリシー管理サーバ５の秘密鍵を用いた署名を付与してクライアント端末３に送信する。セキュリティポリシーの生成処理では、各種サービス等と認証項目等が関連付けられた情報を参照して動的にセキュリティポリシーを生成してもよく、また、各種サービスにセキュリティポリシーを予め関連付けておき、そこから該当するものを選択するようにしてもよい。
【００２６】
認証サーバ７は、検証部８１を備える。これは、制御部７１が外部記憶部７４に記憶されるプログラムを実行することにより実現される。
検証部８２は、認証項目についてクライアント側から認証要求を受けた場合に、その認証項目について各種必要な認証処理を行い、認証結果をクライアント側に送信する。
【００２７】
次に、本実施形態で用いるセキュリティポリシーの内容の一例を図８を参照して説明する。
例えば図８に示すようなセキュリティポリシーでは、第１の認証項目「ポリシーの真正性」について、認証結果がＮＧ（失敗）の場合には、さらに不正検知の有無に応じて、通常の失敗の場合（不正検知無し）の制御動作として「接続拒否」が設定され、不正検知有りの場合の制御動作として「管理者へ通知」が設定されている。また、認証結果がＯＫ（成功）の場合には、次の認証（第２の認証項目）を続行するよう設定されている。
また、例えば、第２の認証項目「デバイスの真正性」では、認証結果がＮＧ（失敗）の場合、さらにデバイス改竄の有無に応じて、通常の失敗の場合の制御動作として「接続拒否」が設定され、改竄を検出した場合の制御動作として「接続拒否及びロック」が設定されている。また、認証結果がＯＫ（成功）とＵＮＫＮＯＷＮ（不明）の場合には、次の認証（第３の認証項目）を続行するよう設定されている。
このように、セキュリティポリシーには、アクセス要求に応じて設定された複数の認証項目について、認証結果に応じた制御動作等が必要に応じて設定されている。
【００２８】
本実施形態に係るアクセス制御システムによるアクセス制御処理の大まかな処理フローを図９に示す。
図示されるように、ポリシー管理サーバ５が、クライアント端末３からのアクセス要求に応答してセキュリティポリシーを生成してクライアント端末３に送信し、耐タンパデバイス１においてセキュリティポリシーを解釈する（セキュリティポリシー生成・解釈フェーズ：Ｓ１）。そして、セキュリティポリシーの記述に従って、耐タンパデバイス１において、各認証項目について、状態情報に基づく認証を行う処理（状態取得・認証フェーズ：Ｓ２）を、全ての認証が終了するまで又は途中で認証が失敗するまで繰り返し（ステップＳ３：ＮＯ）、全ての認証が終了した場合又は認証が途中で失敗した場合（ステップＳ３：ＹＥＳ）、認証結果に基づいて制御方法を決定する処理（制御フェーズ：Ｓ４）を行う。
【００２９】
次に上記の各フェーズにおけるシステム動作について説明する。
まず、セキュリティポリシー生成・解釈フェーズにおけるシステム動作を図１０を参照して説明する。
クライアント端末３の制御部３１は、利用したいサービス（例えば、極秘資料へのアクセス、Ｗｅｂブラウズ等）の指定入力を受け付けると（Ｌ１１）、これに応答して、指定されたサービス名を含むアクセス要求をポリシー管理サーバ５に送信する（Ｌ１２）。
ポリシー管理サーバ５の制御部５１は、クライアント端末３からのアクセス要求に応答して、アクセス要求が示すサービスに対応するセキュリティポリシーを生成する（Ｌ１３）。そして、制御部５１は、生成したセキュリティポリシーに、ポリシー管理サーバ５の秘密鍵を用いた署名を付与してクライアント端末３に送信する（Ｌ１４）。なお、セキュリティポリシーと署名はセッション鍵などで暗号化してもよい。
【００３０】
クライアント端末３は、受信したセキュリティポリシーと署名を耐タンパデバイス１に供給する。耐タンパデバイス１のＣＰＵ１１はセキュリティポリシーの署名の検証を行い（Ｌ１５）、署名が正しい場合には、セキュリティポリシーの解釈処理を行う（Ｌ１６）。なお、署名が正しくない場合には、耐タンパデバイス１がその旨の情報をクライアント端末３に送信し、これに応じて、クライアント端末３は、耐タンパデバイス１からのアクセスを中止する。
【００３１】
次に、状態取得・認証フェーズにおけるシステム動作を図１１を参照して説明する。
耐タンパデバイス１のＣＰＵ１１は、認証項目について、認証を行うために必要な状態情報を取得する（Ｌ２１）。例えば、認証項目が「機器の真正性」の場合、制御部３１は、所定の記憶領域（外部記憶部３６やＲＯＭ等）に格納されている機器情報（例えば予め設定されている機器ＩＤ等）を読み出したものを状態情報として取得する。また、必要に応じて、クラアイント端末３や認証サーバ７から状態情報を取得する。
そして、ＣＰＵ１１は、取得した状態情報について、予め設定された判断基準に従って認証を行う（Ｌ２２）。例えば、「機器の真正性」の認証項目については、状態情報が示す機器情報が正当な機器に関する情報であるか（例えば、正当な機器の機器ＩＤと一致するか等）などをチェックする。
そして、ＣＰＵ１１は、認証結果のデータをメモリ１２の認証結果保持領域に格納する（Ｌ２３）。
【００３２】
次に、制御フェーズにおけるシステム動作を図１２を参照して説明する。
全ての認証が終了した場合、耐タンパデバイス１のＣＰＵ１１は、メモリ１２の認証結果保持領域に格納された全ての認証結果と、メモリ１２に記憶されている制御判断テーブルと、を読み出す（Ｌ３１）そして、耐タンパデバイス内の判断ロジックにより各認証項目の認証結果に対応する制御方法を決定する（Ｌ３２）。判断ロジックとは、例えば、アプリケーションのバージョンが古い場合は、特定のサービスを利用できないが接続許可にするなど、一定の判断に基づき制御情報を決定するプログラムを耐タンパデバイスに備えたものである。そして、決定した制御方法を示す制御情報をクライアント端末３に送信する（Ｌ３３）。
クライアント端末３は、耐タンパデバイス１からの制御情報を受信し、受信した制御情報に基づくアクセス制御処理（例えば、「接続拒否」の場合には接続を中止する等）を行い、その制御情報を認証サーバ７に送信する（Ｌ３４）。
認証サーバ７の制御部７１は、受信した制御情報を確認し、その制御情報の内容に基づいた制御処理を実行する（Ｌ３５）。例えば、最終的な判断結果が、接続ＯＫ（許可）の場合にはアクセス要求に応じたポートを開く。このとき、制約付き接続ＯＫ（例えば、”利用ポートを限定して接続ＯＫ”等）の場合には、制約内容に従った制限（例えば、利用ポートの制限等）を行う。
なお、途中の認証で失敗し、その認証結果に対する制御がセキュリティポリシーに設定されている場合には、その制御処理を行う。
【００３３】
以上説明したように、本発明によれば、クライアント端末に接続された耐タンパデバイスを用いてクライアント側主体で認証処理を行い、且つ、複数の認証結果を用いてクライアントの信頼レベルを多段化することにより、きめ細やかなアクセス制御を安全に効率よく行うことができる。特に、耐タンパデバイスを用いて各種認証機能や制御機能をクライアント側で実施させることにより、サーバへのトラフィックを軽減するとともに、制御時間を短縮することができる。また、インストールされているソフトウェアの情報、個人情報などをサーバへ送る必要がないため、情報漏洩の可能性も小さくなる。また、クライアント側主体でアクセス制御を行うため、クライアント側に既に存在するセキュア情報（例えば、ＳＳＬクライアント証明書、ＴＰＭ管理情報、入退室管理情報など）と連携しやすくなる。また、サーバが故障した場合でも、ネットワーク接続などのサービスの利用が可能となる（耐故障性がある）。
【００３４】
なお、本発明は種々の変形及び応用が可能である。
上記実施形態では、耐タンパデバイス１がセキュリティポリシーの解釈処理を行っているが、たとえば、クライアント端末３が行ってもよい。この場合、耐タンパデバイス１は、セキュリティポリシーに付与された署名の確認結果をクライアント端末３に送信し、この確認結果がＯＫを示す場合に解釈処理を実行するようにしてもよい。
【００３５】
また、上記実施形態では、耐タンパデバイス１がセキュリティポリシーに設定された各確認項目の認証を行っているが、たとえば認証項目の一部または全部をクライアント端末３や認証サーバ７が行い、認証結果を耐タンパデバイス１のメモリ１２に格納するようにしてもよい。例えば、各認証項目について認証主体を設定しておき、認証主体の装置へ認証に必要な各種情報（例えば、状態情報や判断基準など）を供給して認証を実行させ、その認証結果を耐タンパデバイス１のメモリ１２に格納させるようにしてもよい。
【００３６】
また、セキュリティポリシーをポリシー管理サーバ５から取得せずに、耐タンパデバイス１内で決定してもよい。例えば、各種サービス等と認証項目等が関連付けられた情報を参照して動的にセキュリティポリシーを生成してもよく、また、各種サービスにセキュリティポリシーを予め関連付けておき、そこから該当するものを選択するようにしてもよい。
また、ポリシー管理サーバ５と認証サーバ７を１台のサーバで実現してもよい。
【００３７】
なお、この発明のシステムは、専用のシステムによらず、通常のコンピュータシステムを用いて実現可能である。例えば、上述の動作を実行するためのプログラムをコンピュータ読み取り可能な記録媒体（ＦＤ、ＣＤ−ＲＯＭ、ＤＶＤ等）に格納して配布し、該プログラムをコンピュータにインストールすることにより、上述の処理を実行する耐タンパデバイス、クライアント端末、ポリシー管理サーバ、認証サーバ等を構成してもよい。また、インターネット等のネットワーク上のサーバ装置が有するディスク装置に格納しておき、例えばコンピュータにダウンロード等するようにしてもよい。
また、上述の機能を、ＯＳが分担又はＯＳとアプリケーションの共同により実現する場合等には、ＯＳ以外の部分のみを媒体に格納して配布してもよく、また、コンピュータにダウンロード等してもよい。
【図面の簡単な説明】
【００３８】
【図１】本発明の実施形態のアクセス制御システムの構成を示す図である。
【図２】耐タンパデバイスとクライアント端末の物理的構成を例示する図である。
【図３】ポリシー管理サーバの物理的構成を例示する図である。
【図４】認証サーバの物理的構成を例示する図である。
【図５】図１のアクセス制御システムの機能構成を例示する図である。
【図６】耐タンパデバイスの認証結果保持領域に記憶される認証結果を例示する図である。
【図７】制御判断テーブルの内容を説明するための図である。
【図８】セキュリティポリシーの内容を説明するための図である。
【図９】アクセス制御処理の処理フローを示す図である。
【図１０】セキュリティポリシー生成・解釈フェーズにおけるシステム動作を説明するための図である。
【図１１】状態取得・認証フェーズにおけるシステム動作を説明するための図である。
【図１２】制御フェーズにおけるシステム動作を説明するための図である。
【符号の説明】
【００３９】
１                耐タンパデバイス
３                クライアント端末
５                ポリシー管理サーバ
７                認証サーバ
１０              ネットワーク
１１              ＣＰＵ
１２              メモリ
１３              入出力Ｉ／Ｆ
２０              ポリシー認証部
２１              ポリシー解釈部
２２              認証部
２３              認証結果保持部
２４              制御決定部
３１、５１、７１  制御部
３２、５２、７２  主記憶部
３３              入力部
３４              表示部
３５              通信Ｉ／Ｆ
３６、５４、７４  外部記憶部
３７              耐タンパデバイス接続用Ｉ／Ｆ
４１              ネットワーク接続部
４２              耐タンパデバイス接続部
５３、７３        通信制御部
６１              ポリシー管理部
８１              検証部
【図１】
2006107182.tif 000003
【図２】
2006107182.tif 000004
【図３】
2006107182.tif 000005
【図４】
2006107182.tif 000006
【図５】
2006107182.tif 000007
【図６】
2006107182.tif 000008
【図７】
2006107182.tif 000009
【図８】
2006107182.tif 000010
【図９】
2006107182.tif 000011
【図１０】
2006107182.tif 000012
【図１１】
2006107182.tif 000013
【図１２】
2006107182.tif 000014