(57)【要約】権限を付与されたサーバ装置が，認可ポータルを介してクライアント装置とサーバ装置との間のインターネット通信を開始できる方法とシステムを開示する。サーバ装置が特定のクライアント装置とのインターネット通信の開始を望む場合，サーバ装置はインターネットメッセージを認可ポータルに送信する。認可ポータルは，例えばＳＭＳのようなインターネット以外の通信プロトコルを介してクライアント装置にメッセージを中継する。クライアント装置は，メッセージを受けて，サーバ装置とのインターネット通信を確立する。これにより，ＮＡＴ，ファイアウォール，又は，同様にサーバ装置の通信開始を妨げている他のものにも関わらず，サーバ装置はインターネット通信を介しすることができる。
2005535269.tif 000002
【特許請求の範囲】
【請求項１】
クライアント装置とサーバ装置との間のインターネット通信を開始する方法であって：
前記クライアント装置と前記サーバ装置は，ファイアウォール又はＮＡＴによって互いに隔てられており；
前記サーバ装置は，前記クライアント装置に前記インターネット以外の通信プロトコルを介して，前記ファイアウォール又はＮＡＴルータを回避して伝送されるメッセージを生成し；
前記クライアント装置は，前記メッセージを受けて，前記サーバ装置に対するインターネット又は同様の接続を，前記ファイアウォール又は前記ＮＡＴルータを介して開始することを特徴とする通信開始方法。
【請求項２】
前記サーバ装置は，まず，前記インターネット又は同様の通信網を介して認可ポータルに前記メッセージを伝送し，前記認可ポータルは前記インターネット以外の通信プロトコルを介して前記クライアント装置に前記メッセージを中継することを特徴とする，請求項１に記載の通信開始方法。
【請求項３】
前記認可ポータルは，クライアント識別子，認可ポータル識別子及び繰り返さない値からなる群から選択された少なくとも１つのデータを付加して前記メッセージを前記クライアント装置に中継することを特徴とする，請求項１又は２に記載の通信開始方法。
【請求項４】
前記認可ポータルは，前記メッセージに電子署名を付加して前記クライアント装置に中継することを特徴とする，請求項１〜３のいずれか１項に記載の通信開始方法。
【請求項５】
前記インターネット以外の通信プロトコルは，ＧＳＭ  ＳＭＳ，ＥＲＭＥＳ，ＲＤＳ，ＬＷ無線，他のＲＦ信号，及びＶＰＮ上で通信されるＵＤＰからなる群から選択されることを特徴とする，請求項１〜４のいずれか１項に記載の通信開始方法。
【請求項６】
サーバ装置から伝送されるメッセージを受信した後に前記サーバ装置とインターネット接続を確立するクライアント装置であって：
前記メッセージをインターネット以外の通信プロトコルを介して受信し；
ファイアウォール又はＮＡＴルータによって前記サーバ装置と隔てられており；
前記サーバ装置に対するインターネット又は同様の接続を，前記ファイアウォール又は前記ＮＡＴルータを介して開始することを特徴とするクライアント装置。
【請求項７】
認可ポータルから前記インターネット以外の通信プロトコルを介してメッセージを受信する受信手段を備え；
前記メッセージは，まず，インターネット又は同様の通信網を介して前記サーバ装置から前記認可ポータルに送信されることを特徴とする，請求項６に記載のクライアント装置。
【請求項８】
前記メッセージの受信後に前記サーバ装置とインターネット接続を確立するためのモデムを備えることを特徴とする，請求項６又は７に記載のクライアント装置。
【請求項９】
インターネット以外の通信プロトコルを介してクライアント装置に伝送されるメッセージを生成するサーバ装置であって：
ファイアウォール又はＮＡＴルータによって前記クライアント装置と隔てられており；
前記クライアント装置により，前記メッセージ受信後に，インターネット又は同様の接続が，前記ファイアウォール又は前記ＮＡＴルータを介して開始されることを特徴とする，サーバ装置。
【請求項１０】
インターネット又は同様の通信網を介して認可ポータルにメッセージを送信し；
前記メッセージは，前記認可ポータルにより，前記インターネット以外の通信プロトコルを介して前記クライアント装置に中継されることを特徴とする，請求項９に記載のサーバ装置。
【請求項１１】
少なくともクライアント装置及びサーバ装置を備えるシステムにおいて：
前記クライアント装置と前記サーバ装置は，ファイアウォール又はＮＡＴによって互いに隔てられており；
前記サーバ装置は，前記クライアント装置に前記インターネット以外の通信プロトコルを介して，前記ファイアウォール又はＮＡＴルータを回避して伝送されるメッセージを生成し；
前記クライアント装置は，前記メッセージを受けて，前記サーバ装置に対するインターネット又は同様の接続を，前記ファイアウォール又は前記ＮＡＴルータを介して開始することを特徴とするシステム。
【請求項１２】
前記サーバ装置により前記インターネット又は同様の通信網を介して送信されるメッセージを受信し，前記インターネット以外の通信プロトコルを介して前記クライアント装置に前記メッセージを中継する認可ポータルをさらに備えることを特徴とする，請求項１１に記載のシステム。
【請求項１３】
前記認可ポータルは，前記クライアント装置に前記メッセージを中継する際に，クライアント識別子，認可ポータル識別子，及び繰り返さない値からなる群から選択される少なくとも１つのデータを前記メッセージに付加することを特徴とする，請求項１２に記載のシステム。
【請求項１４】
前記認可ポータルは，前記クライアント装置に前記メッセージを中継する際に，前記メッセージに電子署名を付加することを特徴とする，請求項１２又は１３に記載のシステム。
【請求項１５】
前記インターネット以外の通信プロトコルは，ＧＳＭ  ＳＭＳ，ＥＲＭＥＳ，ＲＤＳ，ＬＷ無線，他のＲＦ信号，及びＶＰＮ上で通信されるＵＤＰからなる群から選択されることを特徴とする，請求項１２〜１４のいずれか１項に記載のシステム。
【請求項１６】
所定のサーバ装置からの信号を受けてインターネット以外の通信プロトコルを介して所定のクライアント装置へメッセージを転送し；
前記クライアント装置および前記サーバ装置はファイアウォール又はＮＡＴによって互いに隔てられており；
前記クライアント装置は，前記メッセージを受けて，前記サーバ装置に対するインターネット又は同様の接続を，前記ファイアウォール又は前記ＮＡＴルータを介して開始することを特徴とする，認可ポータル。
【請求項１７】
前記サーバ装置から前記インターネット又は同様の通信網を介して前記信号を受信し，前記クライアント装置に前記インターネット以外の通信プロトコルを介して前記メッセージを伝送することを特徴とする，請求項１６に記載の認可ポータル。
【請求項１８】
前記クライアント装置に前記メッセージを伝送する際に，クライアント識別子，認可ポータル識別子，及び繰り返さない値からなる群から選択される少なくとも１つのデータを前記メッセージに付加することを特徴とする，請求項１６又は１７に記載の認可ポータル。
【請求項１９】
前記クライアント装置に前記メッセージを伝送する際に，前記メッセージに電子署名を付加することを特徴とする，請求項１６〜１８のいずれか１項に記載の認可ポータル。
【請求項２０】
前記インターネット以外の通信プロトコルは，ＧＳＭ  ＳＭＳ，ＥＲＭＥＳ，ＲＤＳ，ＬＷ無線，他のＲＦ信号，及びＶＰＮ上で通信されるＵＤＰからなる群から選択されることを特徴とする，請求項１２〜１９のいずれか１項に記載の認可ポータル。
【請求項２１】
前記インターネット以外の通信プロトコルを用いて，クライアント識別子とメッセージ伝送アドレスとをマッピングしているデータベースにアクセスすることを特徴とする，請求項１２〜２０のいずれか１項に記載の認可ポータル。
【請求項２２】
実質的には添付の図３及び図４に基づいて下記に説明される，クライアント装置とサーバ装置との間でのインターネット通信開始方法。
【請求項２３】
実質的には添付の図３及び図４に基づいて下記に説明される，クライアント装置。
【請求項２４】
実質的には添付の図３及び図４に基づいて下記に説明される，サーバ装置。
【請求項２５】
少なくともクライアント装置及びサーバ装置を備え，実質的には添付の図３及び図４に基づいて下記に説明される，システム。
【請求項２６】
実質的には添付の図３及び図４に基づいて下記に説明される，認可ポータル。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は，例えば，ＧＳＭ  ＳＭＳ（Ｇｌｏｂａｌ  Ｓｙｓｔｅｍ  ｆｏｒ  Ｍｏｂｉｌｅ  ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｓｈｏｒｔ  Ｍｅｓｓａｇｅ  Ｓｅｒｖｉｃｅ），ＥＲＭＥＳ（Ｅｕｒｏｐｅａｎ  Ｒａｄｉｏ  Ｍｅｓｓａｇｅ  Ｓｙｓｔｅｍ）及びＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）上で送信されるＵＤＰを含む（しかし限定されるのではない）非同期（ａｓｙｎｃｈｒｏｎｏｕｓ）のメッセージ通信システムを用いて，インターネットに接続されたサーバ装置にクライアント装置とのインターネット通信を開始させることができる方法及びソフトウェアに関し，特に，クライアント装置が望まないネットワークトラフィックに影響されることなく，また，クライアント装置が常時インターネット接続されている必要がないように，サーバ装置にインターネット通信を開始させる方法及びソフトウェアに関する。
【背景技術】
【０００２】
本明細書において，用語「ホスト」「クライアント」「サーバ」を，インターネットを用いて通信を行うシステムを示すために使用する。インターネットは，一般的に，プロトコルであるＴＣＰ／ＩＰを使用するデータ通信ネットワークの集まりであると定義される。インターネットは，ＷＷＷ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ）や，電子メール（ｅ−ｍａｉｌ），ファイル転送プロトコル（ＦＴＰ）のようなアプリケーションにより使用される通信基盤（インフラ）である。ホストは，インターネットを用いて通信できるあらゆるシステムを称する。ホストの非制限的な例としては，コンピュータ，自動車のシステム，電化製品，計測機，マイクロコントローラ又はマイクロプロセッサを含む組み込みシステムを挙げることができる。サーバは，インターネット上の通信によりアクセスされるサービスを提供するホストである。ほとんどのサーバは，後述するようにインターネットに常時接続されている。クライアントは，インターネット上の通信によりサーバのサービスにアクセスするホストである。各ホストは，いくつかのサービスにおいてクライアントになりえ，他のサービスにおいてサーバになり得る。つまり，ホストは，同時にクライアントとサーバになることができる。
【０００３】
ホストは，２つの方法によりインターネットに接続され得る。１つ目は，ダイヤルアップ接続である。この場合ホストは，モデムのようなデバイスを備える。そのデバイスは，インターネットプロバイダ（以後，ＩＳＰと称する。）が保有する同様のデバイスとの物理的なネットワーク接続（デジタル信号を運搬する手段）を生成する。ＩＳＰは，ルータと称される特別な種類のホストに接続する他のモデムを保有している。ルータは，常時インターネットの基幹ネットワーク（ＩＳＰＳの間までＩＰパケットを運ぶ永続的に接続された通信ネットワーク）に接続している。ホストとルータは，物理的なネットワーク接続を介してＴＣＰ／ＩＰを実行する。ルータは，残りのインターネットへ，または残りのインターネットから，ホストのＩＰパケットを転送する。
【０００４】
２つ目は，常時接続である。この場合，ホストはＩＳＰのルータと常に物理的にネットワーク接続されている。ＴＣＰ／ＩＰプロトコルは，この物理的なネットワークを介して実行される。
【０００５】
ダイヤルアップ接続は，次の３つの要因から使用されている。第１に，現在，ホストとＩＳＰとの間の物理的なネットワーク接続の大部分が電話会社により提供されている回線切り替え型インフラを利用している。この回線切り替え型インフラは，有線（電話回線），光ファイバケーブル，無線などであるが，元来は音声電話技術のために，また，接続された２つのデバイスのために設計されており，接続されている間中，その接続にリソースが割り当てられなければならない。
【０００６】
その結果，電話会社はたいてい，データ量ではなく，音声電話に対する場合と同様に接続時間に応じて課金する。そのため，コスト的な理由から，クライアントはインターネット上のサーバと通信を行いたい時にだけＩＳＰとの間の物理的なネットワーク接続を維持する場合が多い。
【０００７】
ダイヤルアップ接続を行う第２の理由も，第１の理由と同様にコストに関連している。多数のホストが存在する場合でも，インターネットを介した一回の通信に含まれるホストの数は非常に少数である。このため，ＩＳＰは，電話回線やモデムの数が同じでも，一時的な接続であるダイヤルアップ接続を使用すれば，ホストが常にＩＳＰルータに接続されている場合に比べてより多くのホストをサポートできる。そのため，ダイヤルアップ接続によれば，ＩＳＰはサービスにかかるコストを減らすことができる。
【０００８】
第３に，ＧＳＭのような，セル方式の無線通信システムにおいては，同じセル内のホストからの同時期の多数の接続をサポートするには通信システムの容量が不十分であるという状態があり得る。１つのセル内の多数のホストは，各ホストが無線通信システムを介して比較的短い間隔のダイヤルアップ接続を行う場合にのみサポートされる。
【０００９】
上述のように，クライアントがサーバと通信するためにダイヤルアップ接続を使用する場合には，クライアントとＩＳＰとの間に物理的なネットワーク接続が確立されていなければならない。クライアントが通信を開始する場合には，クライアントは物理的な接続を確立する必要がある。クライアントにより接続が開始されることは，ダイヤルアップ接続では一般的である。例えば，ＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）上でウェブブラウザが起動されると，ＰＣはＩＳＰとのダイヤルアップ接続を生成する。
【００１０】
しかし，サーバ側からクライアントとの通信を開始する場合は，状況が複雑になる。ＩＳＰがサーバからクライアントへのＩＰパケットを受信して，ＩＳＰとクライアントとの物理的なネットワーク接続をＩＳＰが確立することが，原理的には可能である。これは，課金の問題から一般的には行われない。クライアントが通信を開始してＩＳＰとの物理的なネットワーク接続を確立した場合には，クライアント側が接続のための費用を払うべきことは明白である。サーバ側がクライアントとの通信を望む場合には，誰が接続のための費用を払うのかを決めることは難しい。通信が，クライアントが欲するサービスに関係する場合には，ＩＳＰは接続費をクライアントから取るのが正しいといえる。しかし，サーバがクライアントが求めていない，不要な電子メール（いわゆる，ＳＰＡＭ）をクライアントに送信する場合には，クライアントは接続費を払うことを望まないであろう。サーバが通信を開始することができれば，多くのアプリケーションにとって非常に有効である。例えば，交通状況のモニタリングを行うサーバは，交通の混雑状況の通知を車内に配置されたクライアントに送信することを望む。
【００１１】
サーバにより開始されるインターネット通信に関連する問題がさらに２つある。それらの問題は，クライアントがインターネットに常時接続しているかダイヤルアップで接続しているのかには無関係に発生する。第１の問題は，ＮＡＴ（Ｎｅｒｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）に関連する。インターネットに接続しているホストは，ＩＰアドレスにより識別される。２つのホストが通信のためにインターネットに接続している場合には，各ホストはユニークなＩＰアドレスを持たなければならない。全インターネット上でユニークなＩＰアドレスはグローバルＩＰアドレスと称される。ＩＰアドレスは３２ビットの数字で表現される。ＩＰアドレス内のビットの使用は，ネットワークトポロジーと実世界の組織とが反映されて構造化されている。そのため，２３２の可能なIPアドレスの全てが使用されるわけではない。グローバルＩＰアドレスは不足しており，全てのホストに割り当てることができない。ＩＳＰは，この問題をＮＡＴを使用して解決している。
【００１２】
ホストがＩＳＰのルータとのダイヤルアップ接続を行う場合，ホストにはその接続の間，ＩＳＰによりプライベートＩＰアドレスを割り当てられる。このプライベートＩＰアドレスは，ＩＳＰのネットワーク内においてホストを一意に識別するが，全インターネットにおいてそのホストを一意に識別できる必要はない。（ある特定の範囲のＩＰアドレスはこの目的のために予約されている。）
ホストが自己が所属するＩＳＰのネットワークの外に存在するホストと通信する場合には，内部のホストのＩＰパケットをインターネット基幹ネットワークに送り出すルータがそのＩＰパケット内のプライベートなアドレスを自己のグローバルＩＰアドレスに置き換える。ルータはまた，内部のホストが外部のホストにＩＰパケットを送信したことを覚えておく。外部のホストが応答する際には，その外部のホストはＩＰパケットをＩＳＰのルータに送信する。外部のホストが受信するＩＰパケットには，送信元アドレスとしてルータのグローバルＩＰアドレスが含まれているからである。ＩＳＰのルータは，ＩＰパケットが内部のホストへの応答であることを理解し，その内部のホストにパケットを送り出す。
【００１３】
ＩＳＰの外部のホストは，ＩＰアドレスに基づいてＩＳＰの内部のネットワーク内のホストと直接通信をすることはできない。内部のネットワーク内のホストは，グローバルＩＰアドレスを持たないからである。ＩＳＰの外部のホストは，ＩＳＰのルータとのみ通信することができる。ＩＳＰの内部のホスト（たいていの場合，クライアント）が通信のための最初のパケットを送信する場合（例えば，ＴＣＰ接続のオープン）にのみＮＡＴは処理を行う。そうすれば，ルータはホストのプライベートＩＰアドレスとルータのグローバルＩＰアドレスとの間の変換をできるようになる（図１参照）。
【００１４】
サーバにより開始されるインターネット通信に関連する第２の問題は，ファイアウォールに関連する。ファイアウォールは，組織の内部のＴＣＰ／ＩＰネットワークに入れる，またはそのネットワークから出すことを許可するＩＰパケットを制限するデバイスである。一般的に，ファイアウォールは，通信の最初のＩＰパケットが組織の内部のネットワーク内のホストから送られている場合に，ネットワーク内のホストとネットワーク外のホストとの通信を許可するように設定される。この設定は，組織内部のホストに不要なＩＰパケットが送られることを防止するために使用される。
【００１５】
組織は，ホストが各々異なる物理的なネットワークに接続されている場合にも，仮想プライベートネットワーク（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ：以後，ＶＰＮと称する。）のような技術を使用してホストを相互に接続し，仮想的なＴＣＰ／ＩＰネットワークを形成する。つまり，仮想ネットワーク内には，同じ物理的なネットワークに接続されているホストもあれば，インターネット上のチャネルや他の手段を経由して仮想ネットワークに接続されているホストもある。同じ仮想ネットワーク内のホストは，制限されることなく互いにＩＰパケットを送信する。仮想ネットワーク外のホストは，求められていないＩＰパケットを仮想ネットワーク内に送信することはできない。一般に，ＶＰＮはＮＡＴ又はファイアウォールを介してインターネット基幹ネットワークと接続されているからである。本発明の具体例は，このような仮想ネットワーク内に配置されたクライアントと仮想ネットワーク外に配置されたサーバとの間の通信に適用される（図２参照）。
【００１６】
新しいＴＣＰ／ＩＰプロトコルであるＩＰｖ６（ＲＦＣ２４６０，Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ，Ｖｅｒｓｉｏｎ  ６：Ｓ．Ｄｅｅｒｉｎｇ，Ｒ．Ｈｉｎｄｅｎ，１９９８年１２月）は，ＩＰアドレスの不足を緩和するものである。
【００１７】
ＧＰＲＳやＡＤＳＬのような他の新しいネットワーク技術により，クライアントは常時インターネットに接続していることができる。それにも関わらず，多くのＩＳＰや他の組織は，ＮＡＴ又はファイアウォールを使用したインターネット通信を維持している。それは，悪意のある外部のホストが組織の内部に求められていない不要なＩＰパケットを送ることを防止するためである。これは，ＧＰＲＳのような，ホストが受信するＩＰパケットに注意を払わなければならない技術では特に重要である。そのため，ＩＰｖ６や常時接続を可能にする新しい技術が提供されても，上述のサーバにより開始されるインターネット通信に関連する問題は解決されない。
【発明の開示】
【発明が解決しようとする課題】
【００１８】
現在，サーバがクライアントとの通信を開始できなければならないアプリケーションにおいて，クライアントは常時インターネットに接続していなければならず，また，クライアントはＮＡＴ配下にあってはならない。この場合，クライアントは，ＩＳＰとの間の専用の物理的なネットワーク接続と，ＩＳＰにおける専用の容量が必要となり，また，クライアントはグローバルＩＰアドレスを持たなければならないので，クライアントにとって高価になるであろう。上述のように，セル方式の無線通信システムでは，本当の常時接続は不可能だといえる。また，クライアントが求めていないＩＰパケットを受信することを防止するために，クライアントが常時インターネットに接続していない場合でもＮＡＴやファイアウォールは使用される。
【００１９】
例えば，ＧＢ２３５００１２，ＧＢ２３３４１７６，ＥＰ１１９１７７２，ＥＰ０７９４６４３およびＷＯ９８／０５１４５に記載されているように，ＶｏＩＰ（Ｖｏｉｃｅ−ｏｖｅｒ−Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）システムが提供されている。ＶｏＰＩシステムでは，第１デバイスが第２デバイスとのＶｏＩＰ接続を確立したい場合，第１デバイスはＰＳＴＮ（Ｐｕｂｌｉｃ  Ｓｗｉｔｃｈｅｄ  Ｔｅｌｅｐｈｏｎｅ  Ｎｅｔｗｏｒｋ）又は無線ネットワークを経由して第２デバイスを呼び出し，識別信号を伝送する。そうすると，第２デバイスはインターネットに接続し，第１デバイスが認識できる識別子を伝送することにより，第１デバイスとの通信を確立する。これらの技術は，通常はインターネットに接続されていないＶｏＩＰ電話にＩＳＰを通じてインターネットにダイヤルインさせるために，インターネットではない形態の信号伝送に頼っている。これらのＶｏＩＰシステムは，ＮＡＴルータやファイアウォールなどを介した通信に含まれる問題を全く考慮していない。確かに，ＶｏＩＰシステムは一般的にＨ３２３または同様のプロトコルを使用しており，それらのプロトコルは，ファイアウォールに少なくとも部分的に動作しないようにすること，オープンされた状態にすること，又は極めて複雑なプロキシとなることを要求している。
【課題を解決するための手段】
【００２０】
本発明の第１の観点によれば，クライアント装置とサーバ装置との間のインターネット通信を開始する方法が提供される。クライアント装置とサーバ装置は，ファイアウォール又はＮＡＴによって互いに隔てられており，サーバ装置は，クライアント装置にインターネット以外の通信プロトコルを介して，ファイアウォール又はＮＡＴルータを回避して伝送されるメッセージを生成する。クライアント装置は，メッセージを受けて，サーバ装置に対するインターネット又は同様の接続を，ファイアウォール又はＮＡＴルータを介して開始する。
【００２１】
本発明の第２の観点によれば，最初にサーバ装置により誘発されたメッセージの伝送を受けてサーバ装置とインターネット接続を確立するクライアント装置が提供される。メッセージは，インターネット以外の通信プロトコルを介してクライアント装置に受信される。クライアント装置とサーバ装置は，ファイアウォール又はＮＡＴルータによって互いに隔てられている。クライアント装置は，サーバ装置に対するインターネット又は同様の接続を，ファイアウォール又は前記ＮＡＴルータを介して開始する。
【００２２】
本発明の第３の観点によれば，インターネット以外の通信プロトコルを介してクライアント装置に伝送されるメッセージを生成するサーバ装置が提供される。サーバ装置とクライアント装置はファイアウォール又はＮＡＴルータによって互いに隔てられている。クライアント装置は，メッセージ受信後に，サーバ装置とのインターネット又は同様の接続を，ファイアウォール又はＮＡＴルータを介して開始する。
【００２３】
本発明の第４の観点によれば，少なくともクライアント装置及びサーバ装置を備えるシステムが提供される。クライアント装置とサーバ装置は，ファイアウォール又はＮＡＴによって互いに隔てられている。サーバ装置は，クライアント装置にインターネット以外の通信プロトコルを介して，ファイアウォール又はＮＡＴルータを回避して伝送されるメッセージを生成する。クライアント装置は，メッセージを受けて，サーバ装置に対するインターネット又は同様の接続を，ファイアウォール又はＮＡＴルータを介して開始する。
【００２４】
本発明の第５の観点によれば，認可ポータルが提供される。認可ポータルは，所定のサーバ装置からの信号を受けてインターネット以外の通信プロトコルを介して所定のクライアント装置へメッセージを転送する。その所定のクライアント装置とその所定のサーバ装置はファイアウォール又はＮＡＴによって互いに隔てられている。そしてクライアント装置は，メッセージを受けて，サーバ装置に対するインターネット又は同様の接続を，ファイアウォール又はＮＡＴルータを介して開始する。
【発明の効果】
【００２５】
以上説明したように本発明によれば，クライアント装置が常時インターネットに接続されていない場合や，クライアント装置がＮＡＴ配下にある場合，クライアント装置が外部のホストが組織の内部に求められていない不要なＩＰパケットを送ることを防止するためファイアウォールを使用している組織の一部である場合であっても，サーバ装置はクライアント装置とのインターネット通信を開始できる。
【発明を実施するための最良の形態】
【００２６】
本発明の実施形態では，例えば，ＧＳＭ  ＳＭＳ（Ｇｌｏｂａｌ  Ｓｙｓｔｅｍ  ｆｏｒ  Ｍｏｂｉｌｅ  ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｓｈｏｒｔ  Ｍｅｓｓａｇｅ  Ｓｅｒｖｉｃｅ），ＥＲＭＥＳ（Ｅｕｒｏｐｅａｎ  Ｒａｄｉｏ  Ｍｅｓｓａｇｅ  Ｓｙｓｔｅｍ），ＲＤＳ（Ｒａｄｉｏ  Ｄａｔａ  Ｓｙｓｔｅｍ），ＬＷ（Ｌｏｎｇ  Ｗａｖｅ）Ｒａｄｉｏ又は他の変調されたＲＦ（Ｒａｄｉｏ  Ｆｒｅｑｕｅｎｃｙ），インターネット以外の通信プロトコルとして，ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）上で送信されるＴｒａｆｆｉｉｃｍａｓｔｅｒｔｌ３又はＵＤＰを含む（しかし限定されるのではない）非同期のメッセージ通信システムに本発明を適用する。
【００２７】
このメッセージ通信システムは，サーバ装置に，ダイヤルアップ接続を行うクライアント装置及び／又はＮＡＴ又はファイアウォールの配下にあるクライアント装置とのインターネット通信を，ＮＡＴ又はファイアウォール配下にない常時接続であるかのように，開始させることができる。重要な特徴は，サーバ装置とのインターネット又はそれと同様の接続（例えば，ＴＣＰ接続）を開始するのはクライアント装置であるということである。それにより，ファイアウォール又はＮＡＴルータを介した接続が生成される。もしサーバ装置がクライアント装置との通信の開始を試みたとしても，ファイアウォールやＮＡＴルータの存在により，それは成功しない。
【００２８】
クライアント装置が現在インターネットに接続されていない場合や，クライアント装置にそのクライアント装置が属する組織の外部のホストからＩＰパケットを送信できない場合に，クライアント装置に通知するために認可ポータルによりメッセージが伝送される。
【００２９】
認可ポータルは，例えば，コンピュータやネットワークルータのような，クライアント装置にインターネットへの接続を確立させる通知をすることができる装置である。認可ポータルは，例えば上記の非同期メッセージ通信システムを使用してクライアント装置にメッセージを送信することにより，いつでもクライアント装置に通知を行うことができる。例えば，ＧＳＭ  ＳＭＳが使用される。この場合，認可ポータルはＧＳＭモデム又はＳＭＳサービスセンターを使用してＳＭＳメッセージを送信する。クライアント装置は，ＧＳＭモデムを使用してＳＭＳメッセージを受信する。なお，ＧＳＭモデムは使用可能な方法の一例である。
【００３０】
クライアント装置に，非同期メッセージ通信システムを使用して送信されたメッセージは信用できる認可ポータルにより送信されたものであると判断する手段が設けられることが望ましい。
【００３１】
認可ポータルは，クライアント装置に信号を送る際に，例えばクライアント装置の識別子，認可ポータルの識別子，および繰り返さない値（例えば，日付，時間，日時，ハードウェアのカウンタ又はクロックが発生させた値，ランダムな数値，その時だけ有効な情報（ｎｏｎｃｅ）など）を含む非同期メッセージ通信システムのメッセージをクライアント装置に送信してもよい。認可ポータルはメッセージ本体にメッセージの電子署名を付加してもよい。クライアント装置は，メッセージを受信すると，そのメッセージに含まれるクライアント装置の識別子が自己の識別子であるか，そのメッセージに含まれる認可ポータルの識別子が自己が信用する認可ポータル識別子であるか，繰り返さない値が以前に知っている値ではないか，そのメッセージに付加されている電子署名が正しいかを確認する。いずれかの確認に失敗すると，メッセージは廃棄される。
【００３２】
クライアント装置は認可ポータルを信用しており，認可ポータルはサーバ装置を信用しているので，（クライアント）装置はその装置が信用するサーバ装置と接続するようにのみ指示されると言える。これは，本発明の実施形態における重要な特徴であり，ＶｏＩＰシステムに関連する従来の技術とは明らかに異なる。
【００３３】
電子署名は，署名されるデータに特別な数学的処理を施す第１パーティにより生成される。その処理の出力が電子署名となる。その処理は，データとその署名を調べることにより第２パーティがその署名が生成されてからデータが変更されておらず，第１パーティが署名を生成したことを確認できるようなものである。多数の異なる電子署名処理を適用することが可能であり，この発明は特定の処理に依存するものではない。２つの案を以下に例示する。
【００３４】
例１：何らかの手段により共有された秘密情報をもつ一方向関数。何らかの手段とは，例えば，安全なインターネット通信，手動による設定，又はプログラミングなどである。“共有の秘密情報”と称される，あるデータは，その値がクライアント装置と信用された認可ポータルのみに知られている。上記データはクライアント装置の内蔵又は外付けのメモリ装置および認可ポータルの内蔵又は外付けのメモリ装置に格納されている。認可ポータルは，メッセージ及び共有の秘密情報に一方向関数を適用し，電子署名を生成する。例えば，Ｆが一方向関数で，Ｓが共有の秘密情報で，Ｍがメッセージであるとすると，電子署名はＦ（Ｍ，Ｓ）となる。
【００３５】
メッセージを受信して，クライアント装置は，そのメッセージ及びクライアント装置がもつ共有の秘密情報に，同じ一方向関数を適用して電子署名を生成する。そして，クライアント装置が生成した電子署名と受信したメッセージに付加されている電子署名とが対応しない場合には，そのメッセージは破棄される。
【００３６】
一方向関数は，Ｘを入力するとＹを出力する数学的な関数である。一方向関数は，出力値であるＹから入力値であるＸを求めることができないという特徴をもつ。クライアント装置及び認可ポータルのみが知っている共有の秘密情報は，一方向関数の入力値に含まれるので，クライアント装置と認可ポータルのみが，推測以外の方法で電子署名を生成できる。一方向関数は，出力値が多様となり得るので，一方向関数により生成される電子署名を攻撃者に推測されることを防止するために使用される。一方向関数の入力値は，出力値から求めることができないので，攻撃者はメッセージと署名を入手できたとしても共有の秘密情報を推定することができない。一方向関数としては，例えば，ＭＤ５（Ｍｅｓｓａｇｅ  Ｄｉｇｅｓｔ  ５  ａｌｇｏｒｉｔｈｍ），ＳＨＡ−１（ＵＳ  Ｓｅｃｕｒｅ  Ｈａｓｈ  Ａｌｇｏｒｉｔｈｍ  １），ＨＭＡＣ−ＭＤ５（Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ  ｆｏｒ  Ｍｅｓｓａｇｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  ＭＤ５），ＨＭＡＣ−ＳＨＡ（Ｋｅｙｅｄ−Ｈａｓｈｉｎｇ  ｆｏｒ  Ｍｅｓｓａｇｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  ＳＨＡ−１）などを例示できる。
【００３７】
例２：公開鍵暗号方式。信用された認可ポータルのみが値を知っている，秘密鍵（プライベートキー）と称されるデータが認可ポータルの内蔵又は外付けのメモリ装置に格納されている。例えば，安全なインターネット通信，手動による設定，又はプログラミングなどの何らかの手段で，公開鍵（パブリックキー）と称される，上記秘密鍵と特別な関係のあるデータがクライアント装置の内蔵又は外付けのメモリ装置に格納されている。認可ポータルは，まずメッセージにデータ圧縮処理を施し，その後，秘密鍵を用いて，公開鍵暗号化アルゴリズムによって，圧縮されたメッセージを暗号化することにより電子署名を生成する。そのメッセージを受けて，クライアント装置は，公開鍵を用いて，対応する公開鍵復号化アルゴリズムにより，署名を復号する。そして，クライアント装置はメッセージのコピーに対して同じデータ圧縮処理を施し，圧縮処理の結果と復号した署名とが同じであるかを確認する。圧縮処理の結果と復号した署名とが同じでなければ，そのメッセージは破棄される。
【００３８】
公開鍵暗号方式では，暗号化アルゴリズム，復号化アルゴリズム，及び，公開鍵と秘密鍵と称される１対の鍵を使用する。秘密鍵により暗号化されたデータは対応する公開鍵でしか復号できない。同様に，公開鍵により暗号化されたデータは対応する秘密鍵でしか復号できない。そのため，認可ポータルが秘密鍵を秘密に（安全に）保持しており，クライアント装置が認可ポータルの公開鍵を知っていれば，公開鍵を用いてあるデータの復号に成功したクライアント装置は，そのデータが認可ポータルにより暗号化されたものであると確信できる。公開鍵暗号化方式のスキームには，例えばＲＳＡ（Ｒｉｖｅｓｔ−Ｓｈａｍｉｒ−Ａｄｌｅｍａｎ）が含まれる。
【００３９】
データ圧縮処理は，Ｘを入力されてＹを出力する数学的な処理である。データ圧縮処理は，出力値Ｙは入力値Ｘよりも少ないバイト数となることを特徴とする。また，Ｘにデータ圧縮処理を施さずに，ＸからＹを予測することは非常に困難である。データ圧縮処理としては，ＭＤ５やＳＨＡ−１などを例示できる。
【００４０】
本発明の実施形態によれば，クライアント装置は，そのクライアント装置が信用する認可ポータルにより非同期メッセージ通信システムのメッセージがクライアント装置に送信され，そのメッセージは送信されてから変更されていないことを保証される。また，繰り返さない値があることにより，クライアント装置は，以前に受信した古いメッセージを検出して破棄することができる。このようなメッセージは，認可ポータルにより間違えて再送されたものである場合もあり，攻撃者により故意に再送されたものである場合もある。繰り返さない値としては，例えば，日付，時間，日時，ハードウェアのカウンタ又はクロックが発生させた値，ランダムな数値，その時だけ有効な情報（ｎｏｎｃｅ）などを例示できる。
【００４１】
本発明の実施形態によれば，必要であればまずインターネットへのダイヤルアップ接続を確立し，特定のサーバ装置とのＴＣＰ／ＩＰ通信を確立すべきことをクライアント装置に知らせる手段が，信用された認可ポータルに提供される。ＴＣＰ／ＩＰ通信という用語は，ＴＣＰ／ＩＰプロトコルセットを使用するあらゆる通信メカニズムを表すために用いる。これは，例えば，ＴＣＰパケットとＵＤＰパケットとの交換を含む。認可ポータルは，クライアント装置に特定のサーバ装置とのＴＣＰ／ＩＰ通信を確立させるようにしてもよい。通知を送信するために使用される非同期メッセージは，明示的又は暗示的に特定のサーバ装置の識別子を含む。メッセージを受けて，クライアント装置はそのメッセージが信用された認可ポータルから送信されたものであるかを確認する。メッセージが信用された認可ポータルから送信されたものである場合は，クライアント装置は次のように応答する。
【００４２】
１．クライアント装置がまだインターネットに接続していない場合には，ＩＳＰとのダイヤルアップ接続を確立する。
【００４３】
２．クライアント装置は，メッセージにより明示的又は暗示的に識別されたサーバ装置とのＴＣＰ／ＩＰ通信を確立する。クライアント装置によりＴＣＰ／ＩＰ通信が確立されたので，最初のＩＰパケットはクライアント装置により送信される。ＴＣＰ／ＩＰ通信は，クライアント装置が属するＩＳＰがＮＡＴを使用しているか，クライアント装置が含まれる組織がファイアウォールを使用している場合に正常に動作する。（ＴＣＰ／ＩＰ通信は，例えばＴＣＰ接続のオープン，またはＵＤＰパケットの送信を含む手段により開始される。）本発明の実施形態によれば，認可ポータルがサーバ装置の身元を確認できるような方法で，信用された認可ポータルに要求を送信する手段が，信用されたサーバ装置に提供される。
【００４４】
これを実現するために，サーバ装置は，認可ポータルとの通信に，例えばＳＳＬ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔｓ  Ｌａｙｅｒ），ＴＬＳ（Ｔｒａｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）などのような安全なインターネット通信プロトコルを使用してもよい。このような安全なインターネットプロトコルは，サーバ装置に対して認可ポータルの身元を証明するために，例えば電子証明書を使用する。電子証明書の例としては，Ｘ．５０９による証明書などがある。
【００４５】
サーバ装置は，例えば自己の電子署名やパスワードを，認可ポータルに対して自己の身元を証明するために使用してもよい。一度，サーバ装置と認可ポータルが互いの身元を確認し合えば，認可ポータルは安全なインターネット通信プロトコルを介して送信されるサーバ装置からの要求を受け付ける。
【００４６】
本発明の実施形態によれば，例えば手作業による設定を含むあらゆる手段により，クライアント装置の所有者（例えば，人間又はクライアント装置の活動を管理する権限をもつエンティティ）は，上述のように，特定のサーバ装置がクライアント装置に信号を送ることを許可されたことを，クライアント装置により信用された認可ポータルに知らせることができる。
【００４７】
認可ポータルからクライアント装置に送信される非同期メッセージには制御情報が含まれていることが望ましい。制御情報には，例えば，クライアント装置が応答をするべきメッセージの優先順位，サーバ装置がクライアント装置と通信を行いたい理由などが含まれる（図３参照）。制御情報には，代替的に又は追加的に，インターネット接続を確立させる単純な指示に加えて１又は複数の命令が含まれていてもよい。例えば，制御情報には，クライアント装置に，サーバ装置とのインターネット接続を確立して自動的にステータス報告やデータログなどの所定のデータを転送させる指示が含まれていてもよい。
【００４８】
本発明の実施形態は，次の特徴と利点とを含む。
１．クライアント装置が常時インターネットに接続されていない場合や，クライアント装置がＮＡＴ配下にある場合，クライアント装置が外部のホストが組織の内部に求められていない不要なＩＰパケットを送ることを防止するためファイアウォールを使用している組織の一部である場合であっても，サーバ装置はクライアント装置とのインターネット通信を開始できる。
【００４９】
２．クライアント装置により信用された認可ポータルのみが，電子的に署名された非同期メッセージ通信システムのメッセージを使用して，サーバ装置とのＴＣＰ／ＩＰ通信をクライアント装置に確立させるための通知をクライアント装置にすることができる。そして，クライアント装置の所有者により許可されたサーバ装置のみが，クライアント装置に信用された認可ポータルに対して，クライアント装置にサーバ装置との間のＴＣＰ／ＩＰセッションを確立するように通知をさせることができる。このようにして，クライアント装置の所有者が，どのサーバ装置に対して，クライアント装置にサーバ装置とのＴＣＰ／ＩＰ通信を確立させることを許可するかを制御することができる。
【００５０】
３．ＮＡＴ配下にあるクライアント装置，又は外部のホストが組織の内部に求められていない不要なＩＰパケットを送ることを防止するためファイアウォールを使用している組織の一部であるクライアント装置に本発明の実施形態が適用されると，クライアント装置の所有者により許可されたサーバ装置のみがクライアント装置とのインターネット通信を開始できる。ＮＡＴ又はファイアウォールの外部の他のホストは，クライアント装置にＩＰパケットを送ることができない。これによりクライアント装置は望まないＩＰパケットを受信しなくて済む。特に，クライアント装置側がＩＰパケットを受信するために費用を払わなければならない環境では，クライアント装置側はその所有者が承認したパケットに対してのみ費用を払えばよい。
【００５１】
４．ＮＡＴが介在してもサーバ装置がインターネット通信を開始することができるため，本発明の実施形態によれば，クライアント装置がグローバルＩＰアドレスを持っていなくても，サーバ装置はインターネット通信を開始できる。
【００５２】
５．上記４のように，クライアント装置がグローバルＩＰアドレスを持っていなくても，サーバ装置はインターネット通信を開始できるため，本発明の実施形態によれば，ＩＰｖ４のアドレス不足を解決するためにＩＰｖ６を採用しなくても，サーバ装置はインターネット通信を開始することができる。
【００５３】
本発明のさらなる理解のために，また，本発明がどのように効果をもたらすかを示すために，添付の図面を参照して説明する。図１は，ダイヤルアップのインターネット接続における従来のクライアント−サーバの構成を示す。図２は，ファイアウォールが実装された従来のクライアント−サーバの構成を示す。図３は，本発明の実施形態によるクライアント−サーバの構成を示す。図４は，本発明の実施形態に従って，エンドユーザ，組み込みデバイス，サーバ装置，及び認可ポータルの信頼関係を図示している。
【００５４】
図１は，２つのクライアント装置１，２（例えば，各クライアント装置は組み込みデバイスであってもよい）を含む従来の構成を示す。２つのクライアント装置１，２は，ダイヤルアップ接続４，４’によりＩＳＰ３と接続可能である。ＩＳＰ３はＮＡＴを使用している。つまり，クライアント装置１，２は，ＩＳＰ３のみが知っており，ＩＳＰ３のみにより使用される専用のプライベートＩＰアドレスをもつ。ＩＳＰ３は，グローバルＩＰアドレスをもち，ＩＳＰ３はそのグローバルＩＰアドレスによりグローバルなインターネット基幹ネットワーク５を介して他のサーバ装置６と直接通信を行うことができる。図示の例によれば，その通信は常時接続７，８を介して行われる。この場合，例えばクライアント装置２が遠隔地のサーバ装置６と通信をする必要がある場合には，クライアント装置２はまずＩＳＰ３とのダイヤルアップ接続を確立しなければならない。そして，クライアント装置２は，自己のプライベートＩＰアドレスとサーバ装置６のグローバルＩＰアドレスを含む少なくとも１パケットを伝送し，そのＩＰパケットはまずＩＳＰ３に送信される。ＩＳＰ３は，ＩＰパケットの送信元であるクライアント装置２のプライベートＩＰアドレスを覚えておき，ＩＰパケット内のプライベートＩＰアドレスをＮＡＴを用いて自己のグローバルＩＰアドレスに置き換えてからそのＩＰパケットをインターネット基幹ネットワーク５を介してサーバ装置６に送り出す。サーバ装置６からの応答は，ＩＳＰ３のグローバルＩＰアドレスを宛先とする応答ＩＰパケットにより，インターネット基幹ネットワーク５を介してクライアント装置２に送信される。ＩＳＰ３は，ＮＡＴを用いて，応答ＩＰパケットに含まれるデータから，そのＩＰパケットがクライアント装置２のためのものであると判断することができる。そして，ＩＳＰは，応答ＩＰパケット内のグローバルＩＰアドレスをクライアント装置２のプライベートＩＰアドレスに置き換えて，ダイヤルアップ接続４を介してクライアント装置に送る。この従来の構成によると，クライアント装置１，２のプライベートＩＰアドレスはサーバ装置６に知られていないため，サーバ装置６は特定のクライアント装置１，２との通信を開始することができない。
【００５５】
図２は，クライアント装置１０，１１，１２，１３を含む従来の構成を示す。クライアント装置１０，１１，１２，１３は，プライベートＴＣＰ／ＩＰネットワーク１４（例えば，会社や組織により運営されているＬＡＮやＷＡＮ）内で互いに接続されている。プライベートＴＣＰ／ＩＰネットワーク１４には，インターネット基幹ネットワーク５を介して外部との通信を行うファイアウォール装置１５が備えられる。図２に示すように，ファイアウォール装置１５はＩＳＰとしても構成されていてもよいし，図１に示したように独立したＩＳＰ３を介してインターネット基幹ネットワークに接続してもよい。図１と同様に常時接続８により接続されたサーバ装置６も備えられる。ファイアウォール装置１５は，最初のＩＰパケットがプライベートＴＣＰ／ＩＰネットワーク１４内のクライアント装置１０から送信された場合にのみ，クライアント装置１０とサーバ装置６との通信を許可する。それにより，プライベートＴＣＰ／ＩＰネットワーク内のクライアント装置１０に，求められていないＩＰパケットが外部から送信されることを防止する。
【００５６】
図３は，本発明の実施形態に基づく構成を示す。上述のように，ＮＡＴルータおよび／またはファイアウォール２１を経由して遠隔地のサーバ装置６とインターネット基幹ネットワーク５を介して通信するクライアント装置２０が示されている。クライアント装置２０はＮＡＴルータおよび／またはファイアウォール２１にダイヤルアップ又は常時接続２２をもち，ＮＡＴルータおよび／またはファイアウォール２１はインターネット基幹ネットワーク５にダイヤルアップまたは常時接続２３をもつ。サーバ装置６はインターネット基幹ネットワーク５に常時接続８をされている。さらに，インターネット基幹ネットワーク５に常時接続２５をされる認可ポータル２４が備えられる。遠隔地のサーバ装置６がクライアント装置２０との通信を望む場合，サーバ装置６は通信開始信号をインターネット基幹ネットワーク５を介して認可ポータル２４に送信する。通信開始信号には，サーバ装置６との通信を確立させるべきクライアント装置２０を特定する識別情報が含まれる。
【００５７】
クライアント装置２０はいくつかのユニークな識別子の形態をもち，認可ポータル２４は様々なクライアント装置２０の識別子をマッピングしているデータベースをもつ。そのデータベースにおいて，適当な非同期メッセージ通信プロトコル２６に必要とされるアドレスがマッピングされる。クライアント装置２０の識別子のタイプは，アプリケーションに最も適しているものであってもよい。例えば，クライアント装置２０が自動車に組み込まれるデバイスであり，非同期メッセージ通信プロトコル２６がＧＭＳ  ＳＭＳである場合，適切なクライアント識別子は各自動車の登録番号又は自動車識別番号（ＶＩＮ）となり得る。メッセージ通信のアドレスは，組み込まれたクライアント装置２０に関連し，自動車に備えられるＧＭＳモデムの電話番号であってもよい。
【００５８】
サーバ装置６は，“登録番号Ｘ１２３  ＡＢＣをもつ自動車に組み込まれたクライアント装置と通信したい”というメッセージをインターネット基幹ネットワーク５を介して認可ポータル２４に送信する。認可ポータル２４は，登録番号“Ｘ１２３  ＡＢＣ”をデータベースから探し，問い合わせ中の自動車に組み込まれているクライアント装置２０に関連するＧＭＳモデムの電話番号（例えば，“０７７７６  １２３  ４５６”）を取得する。そして，認可ポータル２４は，ＳＭＳメッセージを，非同期メッセージ通信プロトコル２６によって，クライアント装置２０に関連する番号“０７７７６  １２３  ４５６”をもつＧＳＭモデムに送信する。クライアント装置２０は，認可ポータル２４からメッセージを受信し，そのメッセージがクライアント装置２０により信用された所定のサーバ装置６から来たものであるか（また，選択的に，そのメッセージが同様にクライアント装置２０，および／または認可ポータル２４により信用された遠隔地のサーバ装置６から発信されたものであるか）を確認する。そして，クライアント装置２０は，例えばＮＡＴルータ／ファイアウォール２１，インターネット基幹ネットワーク５を介して遠隔地のサーバ装置６とのＴＣＰ／ＩＰ通信を確立するなどしてメッセージに対して応答する。重要なことは，この例において，サーバ装置６がクライアント装置２０のメッセージ通信アドレスまたはプライベートＩＰアドレスを知る必要が無く，ＮＡＴによってサーバ装置６がクライアント装置２０のプライベートＩＰアドレスを知ることを効果的に防止しているということである。
【００５９】
図４は，本発明の実施形態で必要とされる様々な信頼関係を示している。エンドユーザ３０がクライアント装置２０を所有し，クライアント装置２０を暗示的に信用している。同様にエンドユーザ３０は所定の遠隔地のサーバ装置６上で動作するアプリケーションを信用している。クライアント装置２０は所定の認可ポータル２４を信用しており，サーバ装置６も認可ポータル２４を信用している。
【００６０】
サーバ装置６がクライアント装置２０との通信を望む場合，サーバ装置６はまず（インターネット基幹ネットワーク５を介して）クライアント装置“起動要求”を認可ポータル２４に伝送することにより認可ポータル２４と相互に認証しなければならない。そうすると，認可ポータル２４はクライアント装置２０に非同期の通知メッセージを送信する。その通知メッセージには，暗号化されたデジタル署名などが含まれ，クライアント装置はそれにより認可ポータル２４および／またはサーバ装置６を認証することができる。そして，クライアント装置２０はインターネット基幹ネットワーク５を介してサーバ装置６と通信を確立できる。この発明の特徴は，この発明のあらゆる側面に適用可能であり，結合させて使用することができる。
【００６１】
この明細書の記載および請求項を通して，“備える”，“含む”等の語は，“含むが限定的ではない”ということを意味し，他の要素，整数，一方（ｍｏｉｅｔｉｅｓ），追加またはステップを除くものではない。
【図面の簡単な説明】
【００６２】
【図１】ダイヤルアップのインターネット接続における従来のクライアント−サーバの構成を示す。
【図２】ファイアウォールが実装された従来のクライアント−サーバの構成を示す。
【図３】本発明の実施形態によるクライアント−サーバの構成を示す。
【図４】本発明の実施形態に従って，エンドユーザ，組み込みデバイス，サーバ装置，及び認可ポータルの信頼関係を図示している。
【図１】
2005535269.tif 000003
【図２】
2005535269.tif 000004
【図３】
2005535269.tif 000005
【図４】
2005535269.tif 000006
【国際調査報告】
2005535269.tif 000007
2005535269.tif 000008
2005535269.tif 000009