(57)【要約】本発明は安全なネットワーク通信を提供するための装置と方法とに関するものである。ネットワーク上の各ノードまたはコンピュータは、すべてのネットワーク通信を処理するコプロセッサとの間で安全なインテリジェントネットワーク・インタフェースを有する。インテリジェントネットワーク・インタフェースはネットワーク・インタフェース・カード（NIC）または各マシンとネットワーク間に設けた別のボックスに組み込むことができる。インテリジェントネットワーク・インタフェースは、ネットワーク上の集中管理コンソール（CMC）によって管理されるキーとアルゴリズムに基づいて、ネットワークから出ていくパケットを暗号化し、入ってくるパケットを解読する。インテリジェントネットワーク・インタフェースはまた動的に配信されるコードを用いて、CMCにより、認証機能、プロトコル変換、単一サインオン機能、多層ファイヤウォール機能、識別名に基づくファイヤウォール機能、集中ユーザ管理機能、マシン診断、プロキシ機能、フォールト・トレランス機能、集中パッチング機能、ウェッブ・フィルタリング機能、ウィルス・スキャニング機能、監査機能およびゲートウェイ侵入検出機能を果たすように構成することができる。
2005503047.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークと該ネットワーク上の各装置との間にインテリジェントネットワーク・インタフェースを供給するステップと、
該インテリジェントネットワーク・インタフェースを使ってネットワーク上のクリティカルなデータ伝送を暗号化しかつ解読するステップと、
ネットワーク上のクリティカルなデータ伝送を暗号化しかつ解読するために、該インテリジェントネットワーク・インタフェースにより使用されるキーとアルゴリズムとを、中央管理コンソールを使って集中的に管理するステップと
を含む、安全なネットワーク通信を提供する方法。
【請求項２】
請求項１記載の方法において、更に、各インテリジェントネットワーク・インタフェースは前記CMCにより供給されるサーブレットに基づいてプロトコル変換を行うステップを含む、安全なネットワーク通信を提供する方法。
【請求項３】
請求項３記載の方法において、前記プロトコル変換はISO 7層プロトコルスタックの一層の中にある任意の２個のプロトコルから選択される、安全なネットワーク通信を提供する方法。
【請求項４】
請求項２記載の方法において、更に、前記CMCが識別名に基づいてプロキシサーブレットをインテリジェントネットワーク・インタフェースに動的に配信するステップを含む、安全なネットワーク通信を提供する方法。
【請求項５】
請求項２記載の方法において、更に、識別名に基づいてサーブレットをインテリジェントネットワーク・インタフェースに動的に配信するステップを含み、該サーブレットは単一サインオンサーブレット、識別名ファイヤウォール・サーブレット、監査サーブレット、方針施行サーブレット、およびウェッブフィルタリング・サーブレットを含むグループから選ばれる、安全なネットワーク通信を提供する方法。
【請求項６】
請求項２記載の方法において、更に、前記CMCが装置に基づいてサーブレットをインテリジェントネットワーク・インタフェースに動的に配信するステップを含み、該サーブレットはフォールト・トレランス自動転送サーブレット、ゲートウェイ進入検出サーブレット、多層ファイヤウォール・サーブレット、マシーン診断サーブレット、ウィルススキャニング・サーブレット、およびセキュリティ・パッチング・サーブレットを含むグループから選ばれる、安全なネットワーク通信を提供する方法。
【請求項７】
請求項１記載の方法において、更に、
第１のクライアントに付随する第１のインテリジェントネットワーク・インタフェースは、第１のクライアントが第２のクライアントに送りたいと思っている接続に関する識別情報を用いて、中央管理コンソール（CMC）に要求を送り、該情報はプロトコル、識別名、サービス、およびヘッダ情報を含むステップと、
該CMCはネットワーク方針に照らして前記接続をレビューし、前記接続を拒否するかまたは許可するかを決定し、許可する場合には更に暗号化アルゴリズム、必要な認証、接続のためのキー、接続が別の装置に向け直されるべきか否か、および接続は変換されるべきか否かを決定するステップと、
該CMCは暗号化と認証アルゴリズム、キー、および必要な変換サーブレットを含む接続の決定を、該第１のインテリジェントネットワーク・インタフェースに送るステップと、
該第１のインテリジェントネットワーク・インタフェースは暗号化された接続情報を送ることにより、第２のクライアントに付随する第２のインテリジェントネットワーク・インタフェースとの接続を開始するステップと、
該第２のインテリジェントネットワーク・インタフェースは、該第１のインテリジェントネットワーク・インタフェースから受信した該暗号化された接続情報を用いて該CMCに問い合わせ、該情報は該第１と第２のインテリジェントインタフェー間の該接続を唯一に識別する該接続用セキュリティ・パラメータ・インデックス（SPI）を含むステップと、
を含む、安全なネットワーク通信を提供する方法。
【請求項８】
請求項２記載の方法において、前記認証はユーザ名／パスワード、バイオメトリック入力、スマートカード、トークン、およびこれらの組み合わせを含むグループから選択される、安全なネットワーク通信を提供する方法。
【請求項９】
請求項１記載の方法において、更に、前記ネットワーク上に複数個のCMCを階層構造で供給するステップを含む、安全なネットワーク通信を提供する方法。
【請求項１０】
ネットワークと該ネットワーク上の各装置との間にインテリジェントネットワーク・インタフェースを供給するステップと、
該ネットワーク上に中央管理コンソール（CMC）を供給するステップと、
ユーザがユーザのホスト装置に付随する第１のインテリジェントネットワーク・インタフェースに識別名と認証とを供給するステップと、
該第１のインテリジェントネットワーク・インタフェースは、該ユーザが第二の装置からサービスを受けるステップを要求したときなどに、CMCを使ってユーザの認識を検証するステップであって、該ステップは、
第１のインテリジェントネットワーク・インタフェースは識別名に基づいて前記第２の装置との通信を要求するステップと、
該第２の装置に付随する第２のインテリジェントネットワーク・インタフェースは、識別名に基づいて第２の装置の許可とユーザ認証とを求めてCMCに問い合わせるステップと、
CMCは識別名に基づいてユーザの認証情報を第２のインテリジェントネットワーク・インタフェースに供給して、該インテリジェントネットワーク・インタフェースはユーザが第２の装置にログインするのを可能にするステップとを含むステップと、
を含む、ネットワーク上のホスト装置のユーザに識別名単一サインオンを供給する方法。
【請求項１１】
ネットワークと、
該ネットワークに接続された複数個のホスト装置と、
各ホスト装置と該ネットワークとの間に設置されたインテリジェントネットワーク・インタフェースと、
各インテリジェントネットワーク・インタフェースに設けられた、該ネットワークを介してクリティカルデータ伝送の暗号化と解読を行うための手段と、
ネットワークを介してクリティカルデータ伝送の暗号化と解読を行うために、各インテリジェントネットワーク・インタフェースにより使われるキーとアルゴリズムとを供給する少なくとも一個の中央管理コンソールと、
を含む、安全なネットワーク通信を提供するシステム。
【請求項１２】
請求項１１記載のシステムにおいて、各インテリジェントネットワーク・インタフェースは更に、
CPUと、
メモリと、
ネットワーク用のI/Oインタフェースと、
ホスト装置用の第２のI/Oインタフェースと
を含む、安全なネットワーク通信を提供するシステム。
【請求項１３】
請求項１２記載のシステムにおいて、各インテリジェントネットワーク・インタフェースはPCIカード、PCMCIAカード、高速I/O広帯域カード、およびスタンドアローン装置を含むグループから選択された態様で組み込まれている、
安全なネットワーク通信を提供するシステム。
【請求項１４】
請求項１２記載のシステムにおいて、各インテリジェントネットワーク・インタフェースはPCI NICカード、PCMCIA NICカード、高速I/O広帯域NICカード、およびイーサネットの第２のI/Oインタフェースを有するスタンドアローン装置を含むグループから選択された態様で組み込まれている、
安全なネットワーク通信を提供するシステム。
【請求項１５】
請求項１２記載のシステムにおいて、各インテリジェントネットワーク・インタフェースは更にシリアルライン認証ポートを含む、安全なネットワーク通信を提供するシステム。
【請求項１６】
請求項１５記載のシステムにおいて、前記シリアルライン認証ポートはUSBポートである、安全なネットワーク通信を提供するシステム。
【請求項１７】
請求項１２記載のシステムにおいて、前記インテリジェントネットワーク・インタフェースは更にパラレルポート認証ポートを含む、安全なネットワーク通信を提供するシステム。
【請求項１８】
請求項１２記載のシステムにおいて、前記メモリはOSを記憶するためのフラッシュメモリと、アプリケーション用のダイナミックメモリとを含む、安全なネットワーク通信を提供するシステム。
【請求項１９】
請求項１２記載のシステムにおいて、前記メモリはOSとアプリケーションを記憶するためのハードドライブと、該OSとアプリケーションを動かすためのランダムアクセスメモリとを含む、安全なネットワーク通信を提供するシステム。
【請求項２０】
請求項１２記載のシステムにおいて、前記インテリジェントネットワーク・インタフェースは前記ホスト装置とは異なるOSを有する、安全なネットワーク通信を提供するシステム。
【請求項２１】
請求項１２記載のシステムにおいて、更に、前記インテリジェントネットワーク・インタフェースにおいてフィールド・プログラマブル・ゲートアレイ（FPGA）に実装された暗号化促進器を含む、安全なネットワーク通信を提供するシステム。
【請求項２２】
請求項１１記載のシステムにおいて、更に、
前記インテリジェントネットワーク・インタフェースに配布するために、前記CMCに記憶されている動的に配信することが可能な一組のコードフラグメントと、
認証、プロトコル変換、単一サインオン、多層ファイヤウォーリング、識別名に基づくファイヤウォーリング、集中ユーザ管理、マシン診断、プロキシィング、フォールト・トレランス、集中パッチング、ウェッブフィルタリング、監査、およびゲートウェイ侵入検出を含むグループから選択された機能を供給するために、前記インテリジェントネットワーク・インタフェースに実装された、前記コードフラグメントを使うための手段と
を含む、安全なネットワーク通信を提供するシステム。
【請求項２３】
ネットワークと、
該ネットワークに接続された複数個のホスト装置と、
各ホスト装置と該ネットワークとの間に設置されたインテリジェントネットワーク・インタフェースと、
該インテリジェントネットワーク・インタフェースにセキュリティ・エージェント・サーブレットを動的に配信するための少なくとも１個の中央管理コンソールと、
各インテリジェントネットワーク・インタフェースに実装され、該セキュリティ・エージェント・サーブレットを動かすための手段と
を含む、安全なネットワーク通信を提供するシステム。
【請求項２４】
請求項２３記載のシステムにおいて、各インテリジェントネットワーク・インタフェースは更に、
CPUと、
メモリと、
ネットワーク用のI/Oインタフェースと、
ホスト装置用の第２のI/Oインタフェースと
を含む、安全なネットワーク通信を提供するシステム。
【請求項２５】
請求項２４記載のシステムにおいて、各インテリジェントネットワーク・インタフェースはPCIカード、PCMCIAカード、高速I/O広帯域カード、およびスタンドアローン装置を含むグループから選択された態様で組み込まれている、
安全なネットワーク通信を提供するシステム。
【請求項２６】
請求項２４記載のシステムにおいて、各インテリジェントネットワーク・インタフェースはPCI NICカード、PCMCIA NICカード、高速I/O広帯域NICカード、およびイーサネットの第２のI/Oインタフェースを有するスタンドアローン装置を含むグループから選択された態様で組み込まれている、
安全なネットワーク通信を提供するシステム。
【請求項２７】
請求項２４記載のシステムにおいて、各インテリジェントネットワーク・インタフェースは更にシリアルライン認証ポートを含む、
安全なネットワーク通信を提供するシステム。
【請求項２８】
請求項２７記載のシステムにおいて、前記シリアルライン認証ポートはUSBポートである、安全なネットワーク通信を提供するシステム。
【請求項２９】
請求項２４記載のシステムにおいて、前記インテリジェントネットワーク・インタフェースは更にパラレルポート認証ポートを含む、安全なネットワーク通信を提供するシステム。
【請求項３０】
請求項２４記載のシステムにおいて、前記メモリはOSを記憶するためのフラッシュメモリと、アプリケーションを記憶するためのダイナミックメモリとを含む、安全なネットワーク通信を提供するシステム。
【請求項３１】
請求項２４記載のシステムにおいて、前記メモリはOSとアプリケーションを記憶するためのハードドライブと、該OSとアプリケーションを動かすためのランダムアクセスメモリとを含む、安全なネットワーク通信を提供するシステム。
【請求項３２】
請求項２４記載のシステムにおいて、前記インテリジェントネットワーク・インタフェースは前記ホスト装置とは異なるOSを有する、安全なネットワーク通信を提供するシステム。
【請求項３３】
請求項２３記載のシステムにおいて、前記動的に配信されるセキュリティ・エージェント・サーブレットは、暗号化、認証、プロトコル変換、単一サインオン、多層ファイヤウォーリング、識別名に基づくファイヤウォーリング、集中ユーザ管理、マシン診断、プロキシィング、フォールト・トレランス、集中パッチング、ウェッブフィルタリング、ウィルススキャニング、監査、およびゲートウェイ侵入検出を含むグループから選択された機能を供給するための手段を含む、安全なネットワーク通信を提供するシステム。
【請求項３４】
請求項３３記載のシステムにおいて、更に、前記インテリジェントネットワーク・インタフェースにおいてフィールド・プログラマブル・ゲートアレイ（FPGA）に実装された暗号化促進器を含む、安全なネットワーク通信を提供するシステム。
【請求項３５】
ネットワークと該ネットワーク上の各装置との間にインテリジェントネットワーク・インタフェースを供給するステップと、
該ネットワーク上に中央管理コンソール（CMC）を供給するステップと、
ユーザがユーザのホスト装置に付随する第１のインテリジェントネットワーク・インタフェースに識別名と認証とを供給するステップと、
第１のインテリジェントネットワーク・インタフェースが、CMCを使ってユーザの認証を検証するステップと、
CMCは識別名に基づいて該インテリジェントネットワーク・インタフェースにファイヤウォール・サーブレットを動的に配信するステップと、
を含む、ネットワーク上のホスト装置のユーザの識別名に基づいてファイヤウォーリングする方法。
【請求項３６】
ネットワークと該ネットワーク上の各装置との間にインテリジェントネットワーク・インタフェースを供給するステップと、
該ネットワーク上に中央管理コンソール（CMC）を供給するステップと、
第１のホストが故障したとき、該ネットワークと該第１のホスト間に設けられた第１のインテリジェントネットワーク・インタフェースは、該第１または第２のホストから何らの干渉を受けることなく、パケットを該ネットワーク上の第２のホストに向けて再送するというように、該ホストにフォールト・トレランス・サーブレットを動的に配信するステップと、
を含むネットワーク上のホストに対するノンホスト統合フォールト・トレランスを供給する方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は安全なネットワーク通信を提供するための装置と方法とに関するものである。ネットワーク上の各ノードまたはコンピュータは、すべてのネットワーク通信を処理するコプロセッサとの間で安全なインテリジェントネットワーク・インタフェースを有する。インテリジェントネットワーク・インタフェースはネットワーク・インタフェース・カード（NIC）または各マシンとネットワーク間に設けた別のボックスに組み込むことができる。インテリジェントネットワーク・インタフェースは、ネットワーク上の集中管理コンソール（CMC）によって管理されるキーとアルゴリズムに基づいて、ネットワークから出ていくパケットを暗号化し、入ってくるパケットを解読する。インテリジェントネットワーク・インタフェースはまた動的に配信されるコードを用いて、CMCにより、認証機能、プロトコル変換、単一サインオン機能、多層ファイヤウォール機能、識別名に基づくファイヤウォール機能、集中ユーザ管理機能、マシン診断、プロキシ機能、フォールト・トレランス機能、集中パッチング機能、ウェッブ・フィルタリング機能、ウィルス・スキャニング機能、監査機能およびゲートウェイ侵入検出機能を果たすように構成することができる。
【背景技術】
【０００２】
ネットワーク上のデータを詮索好きな従業員や悪意のあるハッカーから保護することを追求した結果、何百万ドルというスマートカード産業が生み出された。１回パスワードを入力することによりアカウントを詮索好きな内部者にログインされるのから保護しても、ユーザがアクセスするすべてのデータを保護するとは限らない。データは暗号化されていないから、見たいと思う者は誰もが自由にアクセスすることができる。この問題に向けた多くの商業的な解決方法が利用可能であるが（ケルベロス（Kerberos）、セキュアシェル（Secure Shell=SSH）、およびDCE）、これらはどれも広く供給されてなくて、使用しにくく、またはユーザ／アプリケーションにとってトランスペアレントでない。
【０００３】
コンピュータとネットワークは安全性を意図してなくて、むしろ容易にアクセスして情報を配信する手段として設計されている。我々が今日使っているアプリケーションとプラットフォームの多くが開発された後、セキュリティが実装されるようになったが、安全性のソリューションはネットワークの構造基盤にとって常に付加物であった。安全性を管理するのにこの付加的なまたは単一層のやり方ではいつも、扱いにくく、限定的でかつ大いに非効率的な製品が産まれた。システムアドミニストレータと共同管理が、現在のセキュリティソリューションの迅速修復方法を受け入れるようになった。実際に、これらの対策が攻撃すなわち侵入を少しでも減らすという最大の期待をすれば、この方法は多様なセキュリティ・ソルーションを具体化するためのものである。システムは攻撃に対して脆弱なので、侵入検出システム（IDS）を組み込む。ネットワークが外部からの侵入に対して脆弱であるから、ファイヤウォールを適所に配置する。これらの安全対策はある程度の保護を与えるが、いったん悪者がこの単一のアクセスポイントを通過すると、ネットワークとそのコンテンツに事実上無制限にアクセスすることが可能であった。更に、すべての侵入者のうち70%が社内の人であり、既にネットワークにアクセスしている人であると推定されている。すなわち、権利のないアクセスができたことはしばしば侵入者にとってささやかな手柄なのである。
【０００４】
フリードマン（Friedman）らに付与された米国特許第6,151,679号は、自己構成的であって自分自身をそのクライアントのIPアドレスにロックするというネットワーク・セキュリティ装置を開示している。このセキュリティ装置はパケットをネットワークに送る前に、クライアントのMACアドレスを自分自身のMACアドレスに変換する。システムは主にスプーフィングを防止するように設計されていて、集中管理システムの機能を欠くので、セキュリティをIPアドレスまたはMACアドレスに結びつけない。
【特許文献１】
米国特許第6,151,679号
【０００５】
ミニア（Minear）らに付与された米国特許5,983,350号には、ファイヤウォールを通るメッセージの流れを規制するシステムと方法とが開示されている。このシステムはオープン・ネットワーク上で暗号化した通信を可能にするために、ファイヤウォール内に記憶されたセキュリティに関するデータベースを信頼する。それ自体でこのシステムはユーティリティを制限したので、本質的にファイヤウォール向きである。
【特許文献２】
米国特許第5,983,350号
【０００６】
ハマモト(Hamamoto)らに付与された米国特許第6,038,233号には、IPv4ネットワークのような第１のネットワークとIPv6ネットワークのような第２のネットワークとを接続するための変換器が開示されている。同様に、ブー（Vu）らに付与された米国特許第5,623,601号には、ネットワーク間の通信とデータ交換のための安全なゲートウェイを提供する装置と方法とが開示されている。これらのシステムは共にネットワーク・インタフェース・プロキシとして機能を制限している。
【特許文献３】
米国特許第6,038,233号
【特許文献４】
米国特許第5,623,601号
【０００７】
グリーン（Green）らに付与された米国特許第6,003,084号には、種々のエンティティを接続するための安全なネットワーク・プロキシが開示されている。プロキシはファイヤウォール・プログラムの一部であり、探索認証手続きにしたがって２個のアプリケーション・エンティティ間の情報の交換を制御する。
【特許文献５】
米国特許第6,003,084号
【０００８】
テンプリン(Templin)らに付与された米国特許第5,781,5504号には、トランスペアレントで安全なゲートウェイが開示されている。構成データベースに記憶されている規則に従って、ゲートウェイはパケットを傍受して、信頼されていないコンピュータを持ったプロキシとして振る舞う。
【特許文献６】
米国特許第5,781,550号
【発明の開示】
【発明が解決しようとする課題】
【０００９】
必要なのはネットワークの内外からの安全性に関する脅威を処理することができて、それがユーザにとって容易に構成できて、かつクライアントマシンの計算用資源を使わない単一のシステムである。
【００１０】
本発明の目的は、安全でインテリジェントネットワーク・インタフェースを使って、ネットワークの内部で伝送されるすべてのクリティカルデータとネットワークから他のシステムに送られるデータとを暗号化することである。
【００１１】
本発明の他の目的は、内部の攻撃とスニフィング（sniffing）を除去することである。
【００１２】
本発明の更に他の目的は、開放線路を伝送されるデータはすべて暗号化されているので、VPN用の高価なリース線路を使う必要性を除去することである。
【００１３】
本発明の更に他の目的は、ワークステーションレベルの安全性を提供しながら、すべてのパスワード、ネットワークアクセス、およびユーザの権利を単一の集中システムで管理することを可能にすることである。
【００１４】
本発明の更に他の目的は、個別のファイヤウォール、侵入検出システム（IDS）、およびPKIの必要性を除去することである。
【００１５】
本発明の更に他の目的は、単一サインオン、集中パスワード管理、集中セキュリティ管理、ネットワーク・監査、侵入検出（および防止）、ウェッブの監査とフィルタリング、ネットワーク・アービトレーション（調停）、ウィルスキャニング、セキュリティ脆弱性スキャニング、フォールト・トレランス、マシン診断、暗号化、認証、ファイヤウォーリング、キー管理、方針施行、および監査を可能にすることである。
【００１６】
本発明の更に他の目的は、汎用の変換手段を供給して、どんなプラットフォームでも同じネットワーク上で継ぎ目なしに通信することを可能にすることである（Unix、Windows、Macなど）。
（発明の簡単な要約）
【課題を解決するための手段】
【００１７】
本発明はネットワーク上のすべてのコンピュータに搭載するのに十分小さくかつ安価な、安全なインテリジェントネットワーク・インタフェースに関するものである。ネットワーク上のすべてのトラヒックは、ユーザの安全なインテリジェントネットワーク・インタフェースと集中管理コンソール(CMC)のみに知られているキーを用いて暗号化される。キーの最適な大きさはユーザのネットワークに依存するが、典型的に128ビットである。安全なインテリジェントネットワーク・インタフェースは接続毎、ホスト毎、ネットワーク毎などにキーのサイズを変えることができ、これらのレベル毎に使うアーキテクチャを変えることもできる。このようにして、ネットワーク全体を新しい暗号アルゴリズムにアップグレードする必要があるとき、もはやカードを取り替える必要はない。
【００１８】
もしもユーザが直接ネットワークに入ろうとしたならば、（安全なインテリジェントネットワーク・インタフェースを通過することによって）、暗号化されたトラヒックしか見えないであろう。安全なインテリジェントネットワーク・インタフェースはインタフェースの後ろにあるホスト行きでない（またはホストから発信されてない）トラヒックをすべて自動的に取り除く。有効なトラヒックはすべてトランスペアレントに解読されて、ホストのNICまたはCPUに供給される。このことによりパケットの有効性が守られるので、もはやだましの可能性はない。それはホストにとって完全にトランスペアレントであるから、イーサネット（登録商標）を話す１５年来のレガシであっても本発明を使うことができる。
（発明の詳細な説明）
【００１９】
本発明の安全なインテリジェントネットワーク・インタフェースは安全なネットワーク通信を提供する。安全なインテリジェントネットワーク・インタフェースはネットワーク上の各ノードまたはコンピュータですべてのネットワーク通信を処理する。安全でインテリジェントネットワーク・インタフェースはネットワーク・インタフェース・カード（たとえばPCI NIC、PCMCIA NIカード、802.11a/b/gカード、ブルートースカード、ホームRFカード、ホームPNAカード、専有NIカードなどに）に、または各NICとネットワーク間に設けた別のボックスに実装することができる。安全なインテリジェントネットワーク・インタフェースは、ネットワーク上のCMC（すなわち中央サーバ）によって管理されるキーに基づいて、ネットワークから出ていくパケットを暗号化し、入ってくるパケットを解読する。
【実施例１】
【００２０】
第１の実施例では、安全なインテリジェントネットワーク・インタフェースはピアツーピア法を用いて暗号化することができる。インターネット・キー交換(IKE)プロトコルを実行することにより、IPSec標準と一緒に使われるプロトコル標準によってキー管理がなされる。IPSecはIPパケットのロバスト認証と暗号化を行うIPセキュリティ機能である。IPSecはIKEがなくとも構成することができるが、IKEは付加機能、柔軟性、およびIPSec標準の構成しやすさを提供することにより、IPSecを強化する。IKEはハイブリッド・プロトコルであって、インターネット・セキュリティ協会とキー管理プロトコル（ISAKMP）のフレームワークの中にオークレイ・キー交換とスキーム・キー交換とを組み込んだものである。
【００２１】
暗号化は第２の方法により行うこともできる。そのことについて以下クライアント認証として説明を進める（このプロセスはサーバ認証用に転換することができる）。クライアントがサーバとの接続を開始するには、クライアントの安全でインテリジェントネットワーク・インタフェースは接続に関する照合情報を使って、クライアントがサーバに送信することを欲しているという要求を集中管理コンソール（CMC）に送る。この情報はとりわけプロトコル、識別名、サービスおよびヘッダ情報を含む。CMCはネットワーク方針に照らして接続を審査し、以下の情報のタイプを決定する。
a.  接続の拒否または許諾
b.  アルゴリズムの暗号化
c.  認証の要求
d.  接続のためのキー
e.  接続を別のマシンに向けるべきか否か
f.  接続を変換する必要があるか否か（この場合、適当なサーブレットが供給されるであろうーこれはプロトコル変換、SSO、とフォールト・トレランス要求とを含むであろう）。
【００２２】
CMCはそれから暗号化と認証アルゴリズム（これらは異なるものでよい）、キー、およびクライアント・インタフェースに要求される何らかの翻訳サーブレットを含むこの決定を送る。すると、サーバのインテリジェントネットワーク・インタフェースとの接続が始まる。サーバはクライアント・インタフェースから今受信したばかりの暗号化されている接続情報を用いてCMCに問い合わせる。これは接続のためのSPI（セキュリティ・パラメータ・インデックス、標準IPSec用語）を含むであろう。これはクライアントとサーバ間の接続を唯一に照合するものである。CMCはサーバのインタフェースに関してこのステップを繰り返す。このようにしてクライアントとサーバにはそれぞれの安全なインテリジェントネットワーク・インタフェースを介してトランスペアレントの暗号化が提供される。
【００２３】
安全でインテリジェントネットワーク・インタフェースは、プロトコル変換、単一サインオン機能、識別名に基づくファイヤウォール機能、プロキシ機能、フォールト・トレランス機能、およびゲートウェイ侵入検出機能などを果たすようにアプリケーションとスクリプトをもって構成することもできる。
【００２４】
安全なインテリジェントネットワーク・インタフェースは容易に単一サインオンシステムを実行することができる。なぜならば、インタフェースが既にデータをフィルタリングして解読しているからであり、したがって、その上送信者を認証させることはつまらないことである。もしも送信者が有効であれば、その背後にあるレガシシステムを使って自動的に話し合い、パスワードを与える必要なくユーザを直接ログオンさせる。
【００２５】
安全なインテリジェントネットワーク・インタフェースを使うと、ネットワークを介したセキュリティの管理と展開の仕方が変わるから、いくつかの付加的セキュリティとネットワーク機能をそのアーキテクチャの中で展開することが可能になる。
【００２６】
本発明のクライアントバージョンの典型的なハードウェアの機能は、ギガビットのイーサネット（登録商標）と同様にネットワークの速度が10/100のイーサネット（登録商標）用の手段を含むであろう。インタフェースはそのスループットを実現できる処理速度と、要求される解読と暗号化に十分な速度も持つべきである。たとえば、アメリカ合衆国テキサス州（7800 Shoal Creek Blvd., Suite 222W, Austin,TX 78757）のアルケミ・セミコンダクタ社（Alchemy Semiconductor, Inc.）製のAlchemy Au1500TMプロセッサが適している。
【００２７】
メモリはOS（たとえばOpenBSD またはLinux TM）用の小容量（すなわち8-16MB）の更新可能なフラッシュメモリと、アプリケーションとスクリプトとを実行するための32-64MBのダイナミックRAMとを含むことができる。たとえばシリアルポート、USBポートまたはパラレルポートを介して、直接クライアントマシンに接続するか、それとも安全なインテリジェントネットワーク・インタフェースにUSBポートまたはパラレルポートのようなポートとして設けるかという物理的な識別要求のための入力が含まれる。
【００２８】
任意選択的なハードウェアの機能として、安全なインテリジェントネットワーク・インタフェースにiButtonTMインタフェースを組み込むことができて、PCIカード、PCMCIAカードおよびイーサネット（登録商標）ボックスなど（限定するものではない）各種のものを組み込んで使うことができる。更に、AMDTM社製のTyperTransportTMやIntelTM（インテル）社製のArapahoe(3GIO)のような高速I/O広帯域バスシステムも使うことができる。
【００２９】
本発明のサーバの実施例は典型的にもっと大きいスループットを扱うことを必要とするであろうから、FPGA（フィールド・プログラマブル・ゲートアレイ）上に暗号化促進器を含むことができる。ギガビットの実施例はクライアント・バージョンとサーバ・バージョンとで異なるもので実現することもできる。本発明のリレー実施例はメインフレームとイーサネット（登録商標）を含む他のプレPCIレガシ装置とを接続するために使うことができる。リレー実施例は顧客のスタンド・アロン・ボックスかまたは一対のイーサネット（登録商標）ポートを有するCOTS（在庫があってすぐ手に入る）パーソナル・コンピュータでよい。
【００３０】
各ノード（クライアント、サーバ、メインフレームなど）は以下の機能を有するべきである。完全なIPフィルタリング、完全なピアツーピア・セキュリティ、他のイーサネット（登録商標）プロトコル（例えばネットバイオス）に対する任意選択的な通過、ネットワークとマシン側の両方からの動的ホスト構成プロトコル（DHCP）に対する支援、完全なファイヤウォーリング、マシン（マックアドレス）またはユーザ識別子のいずれかに基づいてサーバからダウンロードされる規則、「すべてを拒否する」に設定されるデフォルト規則、接続識別情報に基づいたフィルタリング（今のファイヤウォール能力に適合している）、暗号化と認証オプション（もしも認証されていれば許可するというタイプ、もしも暗号化されていれば許可するというタイプ、もしも両方であれば許可するというタイプ）に基づいたフィルタリング、両端点に基づいたフィルタリング、匿名のパケットを外す能力、トランスペアレントプロキシ、あるマシンに対するネットワークアドレス変換（NAT）、バーチャル・プライベート・ネットワーク（VPN）トンネリングと完全な暗号化、インターネット・プロトコル・セキュリティ（IPSec）、支援ログイン・クライアントと物理的ログイン（強力なユーザ認証）・メカニズム（もしも選ばれたらiButton用のサポートに組み込まれる）、トラヒックのトランスペアレント認証と暗号化（CMCが供給するキーに基づく）。
【００３１】
システムはCMCにより提供されるアプリケーションまたはサーブレットを使って任意の装置に対してトランスペアレントの単一サインオンを与えることにより、ユーザ／パスワードについて自動的に話し合うことができるようにすべきである。本発明の利点は、サーバのソフトウェアまたはエンドユーザのソフトウェアに何らの変更も要求しないことである。ユーザ／パスワードは集中管理システムに記憶されていて、クライアントが必要なときに安全に割り当てられることができる（それによって単一制御点が与えられる）。低層の干渉はプロトコルに基づいて話し合いするのに十分なだけモジュール化されている。
【００３２】
本発明のサーバソフトウェアは方針管理を行う。トラヒックの方針はユーザ毎またはホスト毎方式に基づいて決定することができ、必要なとき方式で個々のノードに配信される。サーバソフトウェアは方針管理をより容易にするためにユーザとホストを分類することができる。もしもiButtonが使われていれば、ホストとユーザのエントリがiButtonインタフェースを経由して加わることができる。
【００３３】
サーバの方針管理は以下のことを可能にする。両端点を特定すること、プロトコルとサービスのタイプの仕様を許可すること、および暗号化と認証のタイプの仕様を要求すること。（すなわち、両方を強い、弱い、どちらでもないと明記することを要求するかもしれない。）
【００３４】
本発明におけるユーザ管理に関して、大部分のアクセスはIPアドレスではなくユーザ方式で行われる（このことは予想されかつ楽観される行動である）。ユーザはCMCによって全ネットワーク方式で特権を与えられたり拒否されたりする。すべてのパスワードとユーザは単一点で維持することができる。ユーザの特権はCMCで取り消すことができる。
【００３５】
クリティカルノード（サーバの前にあって方針がホストに基づいて作られるノード）はいつクライアントマシンが故障したかを識別することができ、すべてのトラヒックをCMCにより動かされている別のマシンに転送することをトランスペアレントに可能にすることができる。このフェーズの間、転送は個々の接続に対してトランスペアレントではない。
【００３６】
本発明はまた監視と監査にも使うことができる。たとえば、ネットワーク上のすべてのトラヒックはログすることができる。すべての認証、時間およびサービス情報を個別に記憶することができる。すべてのエラーとセキュリティ問題（すなわち匿名の接続、間違ったキー、および疑わしい行動）をセキュリティログすることができる。監視ツールが記録を暗号化しないままで監査することができるように、キーを回復することができる。
【００３７】
本発明はまたネットワーク上でフェーズが一致した展開が可能なように構成することができる。したがって最初の展開は複数のコンパートメントが作れるようにする。
【００３８】
本発明を使って各種の新しい技術を実施することもできる。安全なインテリジェントネットワーク・インタフェースがネットワーク上で通信マシン間に存在するので、ネットワーク用の汎用変換器を実現することができる。安全なインテリジェントネットワーク・インタフェースは２台のマシン間で送信されるすべてのパケットを通すので、本発明はパケットのヘッダとパケットの中身の両方に対する究極の制御権を有する。
【００３９】
パケットのヘッダは通信中の２台のマシンに関する情報から、暗号化とその通信チャネルの認証に関する情報まで及ぶ。この情報はすべてISO 7層プロトコルスタックを用いて組み立てた階層パケット構造に含まれる。この情報はデータリンク層に関する情報からネットワーク上で動くアプリケーションに関する情報まで及ぶ。
【００４０】
安全と監査の目的のために各層を見て監視することができる。しかしそれらは、本発明のアーキテクチャを使ってネットワーク上の通信を促進するために、稼働中に変更することもできる。パケットヘッダの層では、ISO 7層プロトコルスタックの中の一層において、次のタイプのプロトコル変換が可能である。
IPからIPSecへ−暗号化と認証を加える、
IPからIP6へ−パケットヘッダフォーマットを変える、
アドレス変換−マシン通信のためにネットワークアドレスを変える
ポート変換−マシンが通信していると思っているポートを変更する。たとえば、特定の接続のためのプロキシまたはフィルタとして振る舞うためのものであろう。
【００４１】
このタイプの汎用変換はアプリケーションプロトコルを介して行うこともできて、本発明が下位互換性またはプロトコル相互作用をトランスペアレントに供給することが可能になる。有用なアプリケーションレベルの変換の例をいくつかを挙げる。
【００４２】
SMBからNFSまたはHFSへ、２種類の完全に異なるファイル転送プロトコルの相互運用が可能になる。これによりWindowsTMとUNIXまたはMac OSシステムが自分たち本来のプロトコルを使いながら、ファイルを共有することが可能になる。
【００４３】
Lotus Notes R4からR5へ、たとえばロータスがノートサーバをアップグレードしたとき、古いクライアントはもはや新しいサーバにアクセスすることができなかった。このため現存するコンピュータネットワークとアプリケーションをアップグレードすることが要求された。大きなネットワークではこのことは数千台のマシンを更新する必要があることを意味する。本発明は継ぎ目なしで異なるバージョン間で変換することができ、クライアントが更新をインストールすることなく新しいサーバとの通信が可能となる。これはマイクロソフトのネット機能をマイクロソフトでないOSのマシンに供給するのにも使うことができよう。
【００４４】
本発明は「単一サインオン」を提供するのに識別名を使うこともできる。本発明は汎用変換器の技術があるため、ネットワーク上のすべてのユーザの認証に関して全制御権を有する。安全なインテリジェントネットワーク・インタフェースとCMCは、保護されているマシンにアクセスするユーザのソフトウェア検証とまたはハードウェア検証を行うことができる（すなわち、ユーザ名／パスワード、指紋読みとり器、スマートカード、iButton装置など）。それからこの検証は別のネットワーク制御にアクセスするのに使われる。したがって、ユーザは使用中のマシンの安全でインテリジェントネットワーク・インタフェースにログインすることだけが必要であって、その他のすべての認証要求は、その要求にトランスペアレントに応答させるために、CMCと通信していた安全なインテリジェントネットワーク・インタフェースにより遮断される。
【００４５】
安全なインテリジェントネットワーク・インタフェースはネットワークと保護されるマシンとの間の線路上に設けられるので、認証を実行するのに、マシンのオペレーティングシステムまたはサービスのいずれにおいても変更は全く要求されない。図１Ａ−Ｂに示すように、もしも接続のタイプが許されていれば、すべての認証情報はユーザに代わって自動的に通信ストリームの中に挿入される。
【００４６】
この実施例ではステップ１３０で、ユーザはコンピュータ１１０に付属している安全なインテリジェントネットワーク・インタフェース１１２を認証する。それからステップ１３２で、インタフェース１１２はネットワーク１１４を介してCMC１２０を使って認証を検証する。ユーザがサーバ１１８のサービスにアクセスすることができるように、ステップ１３４で、コンピュータ１１０はサーバ１１８との通信を要求する。それからステップ１３６で、コンピュータ１１０のインタフェース１１２はユーザ名を付けて要求を送る。
【００４７】
サーバ１１８の安全なインテリジェントネットワーク・インタフェース１１６はネットワーク１１４を介して要求を受信し、ステップ１３８で、ユーザがサーバ１１８にアクセスすることができるようにCMS１２０に許可と認証を問い合わせる。CMS１２０はこの情報をインタフェース１１６に送り、それからステップ１４０で、インタフェース１１６はそれをユーザがサーバ１１８にログインするために使う。
【００４８】
各安全なインテリジェントネットワーク・インタフェースは、ユーザを特定のサービスとオペレーテングシステムの組合わせに対して認証する手続きを述べた「サーブレット」を動的に要求して更新することができる。このことによってまた、安全なインテリジェントネットワーク・インタフェースは、ネットワークが単一サインオン問題に対する汎用の解決法を持つことを可能にするプロトコルまたはサービスに適応することが確実にできるようになる。
【００４９】
更に、すべての認証情報はCMCに記憶されていて、CMCは個々の安全なインテリジェントネットワーク・インタフェースから問い合わせを受けるので、本発明のインタフェースは、アドミニストレータがパスワード、ユーザ名および任意の物理的な識別方法を含む（限定するものではない）すべてのユーザアクセスとユーザ認証情報を制御する単一の点であることを可能にしている。
【００５０】
本発明はまた識別名に基づくファイヤウォールの使用も可能である。現在のファイヤウォール技術は２個のネットワーク間のトラヒックがIPヘッダに基づいてブロックされることを可能にしている。不幸なことに、この情報はマシンのIPアドレス、サービスプロトコル番号、およびプロトコルのタイプ（icmp、tcpおよびudp）に関するデータだけを含んでいる。それはそのサービスのユーザに関する情報またはそのサービスポートが実際に今どのように使われているかという情報を含んでいない。次の表はインターネットプロトコルの実行における共通層を挙げたものである。
【００５１】
【表１】
2005503047.tif 000003
【００５２】
図２に示すように、サーバ２１６にアクセスするのにインターネット２１４を使うとき、ワークステーション２１０を保護するのに共通のファイヤウォール２１２が用いられる。しかしながらこれらのファイヤウォール２１２は第２層と第３層だけに集中して、あるものは第４層で動く少数のプロトコルを扱うプロキシ機能を有する。図３に示すように、本発明は、識別名（または認証された全世界でただ一つのユーザ名）に基づくフィルタリングを含み、ファイヤウォール機能をプロトコルスタックの全部の層に供給するために、ユーザワークステーション３１０とインターネット３１４とサーバ３１８との間に安全なインテリジェントネットワーク・インタフェース312を配置する。
【００５３】
本発明はWANを介してまたはローカルな環境においてピアツーピア・ネットワーク上でこれらの機能を提供することができる。
【００５４】
本発明においてプロキシは動的に配信可能なサーブレット／プロキシを含むことができる。安全なインテリジェントネットワーク・インタフェース上の各プロキシはCMCによりいつでも変更することができるという点で動的である。このことによって、安全なインテリジェントネットワーク・インタフェースが新しいタイプの攻撃、新しいタイプのプロトコル、またはリアルタイムな方針変更に対して、システムの管理者の部分に全く物理的な接触をせずに反応することが可能になる。多くの現在のプロキシは非常に堅固にファイヤウォールに組み込まれているので、プロキシを変更することはファイヤウォール全体を更新する必要があることを意味する。
【００５５】
本発明において複数のプロキシが同じIPアドレスを使うことができる。要求が出力されることを容認し、新しい要求を開始し、許可されたデータを通すことによって、現在のプロキシが働く。図２に示すようにプロキシサーバが要求を開始しているので、このプロセスは要求しているコンピュータのIPアドレスを本来的に変更する。図３に示すように、本発明は非常に堅固にIPストリームに統合されているので、望むならば、要求を代理すると共に、要求しているコンピュータのIPアドレスとオリジナルが通るのを依然として可能にすることができる。このことにより両端にトランスペアレントのプロキシングを供給することができる。
【００５６】
本発明はフォールト・トレランスも提供することができる。インターネット・ウェッブ・サーバとルータは今日ビジネスに欠くことができない一部となっており、それなりに会社はそれらが毎日毎時向上することを要求している。不幸にも、コンピュータは定期的な点検を必要とし、ハードウェアまたはソフトウェアのエラーを周期的に起こし、ときどき故障を引き起こす。フォールト・トレランスはコンピュータが実行していた機能を別個のバックアップシステムに移行することを可能にする。マシンが故障したとき、２台のマシン間のソフトウェア統合またはハードウェア接続によって処理を第２のマシンに移行するというシステムが現在多数存在する。
【００５７】
しかしながら本発明はホストのいない統合フォールト・トレランスを提供することができる。フォールト・トレランスはクリティカルマシンにソフトウェアまたはハードウェアを何らインストールする必要なく、マシン間で実行される。図９に示すように、安全なインテリジェントネットワーク・インタフェース９１２はネットワーク接続からサーバ９１０を監視して、それが今まで通り作動しているか否かを確認することにより、いつバックアップ９２０に移行することが必要かを見分けることができる。それから、本発明はサーバ９１０に出入りするすべてのデータを制御するので、どちらのサーバにも何らの変更をする必要なく、インタフェース９１６を介して二次サーバ９２０にトラヒックを再配信することができる。サーバに関して示したが、本発明のインタフェースを含むマシンなら何でも、それがワークステーションであれ、メインフレームであれ、等々、実行することができる。
【００５８】
更に、安全なインテリジェントネットワーク・インタフェースは現在の接続状態を保持することができるので、二次マシンに新しい接続を移行することができるだけでなく、本発明は現在の接続を再確立して、さもなければ失われたであろう正しい接続を再獲得するのに必要なすべての状態を入力することができる。
【００５９】
従来技術の侵入検出システム（IDS）はネットワーク上を伝送中のトラヒックを監視するのにスニフィング（ネットワークの無差別監視）を用いている。不幸なことに、これは起こりうる攻撃に対する反応のタイプに制限がある。これはまた監視することができるネットワークの位置とタイプにも制限がある。本発明はネットワーク上の位置に基づいてゲートウェイアプローチをとることができる。
【００６０】
本発明のゲートウェイIDSによれば、安全でインテリジェントネットワーク・インタフェースがネットワーク上を伝送中のトラヒックを監視するのみでなく、攻撃であると認識されたトラヒックを停止し、フィルタリングし、再ルーティングすることを可能にする。本発明にはトラヒックを「失う」という問題がない。なぜならば、すべてのトラヒックが安全なインテリジェントネットワーク・インタフェースを通らなければならないので、ネットワークが忙しすぎるからである。
【００６１】
好ましい一実施例では、本発明の安全なインテリジェントネットワーク・インタフェースはホストとネットワーク間のネットワーク機能をアービトレーションする汎用コンピュータである。この発明は図６Ａに示すようにネットワーク・インタフェース・カード（NIC）上か、あるいは、図６Ｂに示すようにネットワークとホストの間にあるスタンドアロン装置上かいずれかに搭載することができる。この装置の主な目的はネットワークにセキュリティを提供するためであるが、本発明はプロトコル変換、トラヒック優先待ち行列化、およびフォールト・トレランスのような機能と共に、多くの非セキュリティ機能を提供することもできる。
【００６２】
図６Ａに示したNICの実施例では、PCIカード６１２は標準ネットワークアダプタ６５８を含むが、更にそれ自身のプロセッサ６５０、フラッシュメモリ６５２、DRAM６５４、直列認証入力６５６、およびハードウェアの暗号化を扱う任意選択的なFPGA６６０を含む。図６Ｂに示したスタンドアロン型、またはリレーの実施例では、２個のNIC６２４（すなわちホスト向け）と６２６（すなわちネットワーク向け）とを有する標準的なPC６２２を使うことができる。このようにして、ホストマシンがPCIカードまたは本発明の他のネットワーク・インタフェース・バージョンを収納することができないとき、本発明の機能を提供するのにPC６２２のCPUとメモリとを利用することができる。
【００６３】
現在のネットワーク・インタフェース装置は能力が極めて限定されている。その主目的はホストとネットワーク間で単にデータを逐語的に伝達することである。ごく最近、ウェッブサーバを加速する、またはパケットに「サービスのタイプ」の認定子を付すために、単純なSSL解読を行うことができるネットワーク・インタフェースが利用可能になっている。
【００６４】
本発明はネットワーク・インタフェースに汎用のネットワークのアービトレーション機能を与えることによって、従来技術より顕著に進歩している。このアービトレーションはピアツーピア暗号化と認証、ファイヤウォーリング、単一サインオンおよび中央で更新されるセキュリティパッチを提供することができる。
【００６５】
本発明はホストとネットワーク間ですべてのデータをアービトレーションするので、その機能を完全にトランスペアレントにホストに提供することができる。ホストは暗号化されていないデータを安全なインテリジェントネットワーク・インタフェースに送り、安全なインテリジェントネットワーク・インタフェースは自動的にセキュリティの処理を行い、任意選択的にそのデータを暗号化して認証する。安全なデータが受信されると、本発明は自動的にセキュリティの処理を行い、そのデータを解読して認証する。もしもデータが安全でかつ認証ずみと見なされれば、安全なインテリジェントネットワーク・インタフェースは解読したデータをホストに送る。したがってホストはセキュリティの恩恵を受けるために、サービスまたはアプリケーションに何らの変更も要求しない。
【００６６】
本発明はホストとネットワークの間ですべてのデータのアービトレーションを行うので、セキュリティの脆弱性から保護するための汎用的な機構を提供する。新しい脆弱性が発見されたら、現在の技術ではシステム管理者に彼のコンピュータシステムの各々にパッチを適用することを要求する。このことは何十種類ものパッチを用いて、何千ものシステムに更新を要求するかもしれない（パッチされるプラットフォーム次第である）。本発明は集中管理システム（CMC）を介してすべてのプラットフォームに瞬時に単一のパッチを適用することによって、現在の技術を顕著に改善する。パッチが必要とすることは、特定の攻撃が起こるのをいかにして阻止するかを安全なインテリジェントネットワーク・インタフェースに指示するだけである。それから、基礎をなすシステムの脆弱性にかかわらず、すべてのプラットフォームにおいて攻撃が阻止される。
【００６７】
図４に本発明の内部アーキテクチャを示す。それは「セキュリティ・エージェント・アーキテクチャ」として高い層に記述することができる。本発明４００はホスト４０２とネットワーク４０４の間に設置されていて、汎用変換器４１０を含む。図８Ｂに示すように構成したとき、本発明は各ホストに侵入検出、セキュリティ脆弱性スキャニング、暗号化、認証、ファイヤウォール、単一サインオン、キー管理、方針施行、監査のような機能を含む一組のセキュリティ・エージェントを与える。これらのエージェントは図５と図７に示すように、一組の階層型の「管理サービス」を介して集中管理される。
【００６８】
図５において、システム５００は共同ネットワーク５１３に付随する安全なインテリジェントネットワーク・インタフェース５１２を有する複数台のユーザコンピュータ５１０を含む。メインフレーム５１１のような共同ネットワーク上にあるすべての他のマシンもまたインタフェースを有し、それはメインフレーム５１１の場合にはリレーインタフェース５１２であろう。これらのうちのひとつは集中管理コンソール（CMC）５２０であり、これはインタフェース５１２をすべて管理するのに使われる。もしも共同ネットワーク５１３がインターネットのような遠隔のネットワーク５１４に接続されていれば、遠隔のユーザコンピュータ５１１は、遠隔のユーザコンピュータ５１１と遠隔のネットワーク５１４間に接続されている安全なインテリジェントネットワーク・インタフェース５１２を介して共同ネットワーク５１３に安全にアクセスすることができる。図５は１個のCMC５２０しか示してないが、モジュラー化またはコンパートメント化された展開を可能にするために、図７に示したように多くのCMC７１０を階層構造に展開することができる。
【００６９】
現在の技術は図８Ａに示すように、集中サーバ８２４、８３２などにセキュリティの機能を与えている。このアーキテクチャの欠点はセキュリティの機能がサーバの位置にだけ提供されることである。たとえば、ファイヤウォール８３２はインターネット８１４とイントラネット８３４の間に設けられ、ネットワークの外部の侵入者から入ってくるある攻撃だけを阻止する。すべてのセキュリティ・ブリーチのうち70%が内部のものによるから、このような構成におけるファイヤウォール８３２はネットワーク８３２を保護することにほとんど効果がない。
【００７０】
本発明は図８Ｂに示すように、ネットワーク上のすべてのノード８１０、８３０に対してインタフェース８１２に関するこれらの機能を与える。セキュリティ機能を汎用にすることに加えて、本発明はその機能を中央で管理することを可能にする。ネットワークのアドミニストレータは方針を具体的に述べ、エージェントを更新し、脆弱性の手当てを、使用状況をたどり、かつユーザをすべて集中管理サーバから管理することができる。
【００７１】
本発明は多層エージェント・アーキテクチャを介して多様なセキュリティ機能を１個の装置にまとめて実装しているので、エージェント同士が相互に作用して極端に強力なセキュリティ機能を提供することができる。たとえば、攻撃を検出すると、進入検出エージェントは1)監査エージェントに指示して、攻撃に関するすべてのデータを記録させる、2)ファイヤウォール・エージェントに通知して、攻撃者から入ってくる更なる通信を阻止させる、3)脆弱性スキャニング・エージェントを駆動して、攻撃が成功するかもしれない他のホストを捜させる。本発明のセキュリティ・エージェント・アーキテクチャにより可能となる独立したエージェントの共同作業は、個々のセキュリティ機能が決して通信することがない現在の技術よりはるかにすぐれている。
【００７２】
好ましい実施例では、CMCはここでサーブレットと呼んでいる１組のコードフラグメントを含む。これらは完全なプログラムではなくて、先に存在しているプロキシの行動を修正するプラグイン・モジュールである。単一サインオン（SOS）を実行するために、たとえば、サインオンを試行している下層のプロトコルといかにして話し合うかを知る必要がある。サーブレットはその「言語」の知識を持っている。
【００７３】
SSO接続が起きるたびに、プロキシはいかにしてその言語で話し、何を言うべきかの両方を知らなければならない。CMCはサーブレットがサインオンを交渉するのに使うスクリプトを提供する。
【００７４】
本発明はCMCのマスタ・リポジトリを定期的に検査するサーブレットのキャッシュを保有する。もしもプロトコルとのすぐれた交渉方法が利用可能であれば（またはもしも本発明により保護されているホストが改良されているのであれば）、新しいサーブレットが自動的にダウンロードされて使われる。
【００７５】
低層では、サーブレットは「エントリ（）」と名付けられた単一機能を含む。これはすべての入力の翻訳を実行する。たとえば、テルネットサービスの場合、エントリ（）はサーバが「ログイン」というメッセージを送るように見るであろう。エントリ（）はそれを認証されたクライアントのユーザ名に対するプロンプトとして認識し、そのメッセージをクライアントに送らないであろう。その代わりユーザ名を送るであろう。それからサーバは「パスワード」というメッセージを送るであろう。エントリ（）は再びこれを認証されたクライアントのパスワードに対するプロンプトとして認識し、そのメッセージをこれ以上通さない。その代わりにパスワードを送るであろう。もしもログインが成功したならば、エントリ（）はそのセッションの制御を手放すので、単なる通過となる。すなわちサーバから送られたデータはすべてクライアントに送られる、逆もまたしかりである。もしもログインが成功しなかったならば、エントリ（）はクライアントにユーザ名とパスワードを送るよう促し、それからそれらをCMCに送って記憶させる。ユーザがログインするかまたはあきらめるまでこの手続きを繰り返す。この技術を使って、ユーザはサーバ上で自分たちのパスワードを更新することができる。本発明がなければ各サーバ上でやっかいな同期プロセスを必要とする。
【００７６】
サーブレットはまた特定のユーザ名または認証されたクライアントにアクセスすることを拒否することもできる。たとえば、もしも「ボブ」が解雇されてしまったら、サーブレットはいかなるアクセスも許可すべきでないというスクリプトを通知されるであろう。たとえ彼は誰かほかの人のパスワードを言い当てたとしても、いかなる条件下でも「ボブ」はサーバにログインすることができない。
【００７７】
スクリプトは「変数＝値」という行の簡単な組としてフォーマットされる。たとえば以下のようにする。
X=4
Y=7
User=bob
Password=hellobob
【００７８】
以上特定の技術の詳細について本発明を説明したが、これらは限定的なものではない、すなわち、他のものも含むと理解されたい。たとえば、以下のものが含まれる。
【００７９】
プロセッサはAu1000以外のもの、たとえばStrongARM,SH-4,x86なども使うことができる。
【００８０】
10/100Mbのイーサネット（登録商標）について述べたが、本発明はギガビットイーサネット（登録商標）、FDDI、トークンリングなども使うことができよう。更に、携帯用に、電話とのインタフェース（すなわち、電話線に接続される）と、広帯域用にT3、T1などを備えることが望ましかろう。
【００８１】
暗号化をソフトウェアに替えてハードウェアで行うこともできる。
【００８２】
ダラスセミコンダクタ社製のiButton認証装置は認証の一形式にすぎなく、本発明はユーザネーム／パスワード、バイオメトリクス、スマートカード、または多くの他の手段を使うこともできる。
【００８３】
本発明はIPとIPv6の両方に同等に適用することができる。
【００８４】
本発明はPCIカードバージョン、ハイパートランスポートまたはアラパヘバージョン、およびスタンドアローンバージョンに加えて、PCMCIAフォームファクタ（ラップトップ用）を使うこともできる。
【００８５】
サーブレットはプログラム、オブジェクト、XML、または読みとることができるスクリプトの形をとることができる。
【００８６】
安全なインテリジェントネットワーク・インタフェースを具体化する本発明は、完全に拡張性がありかつエンドユーザに対してトランスペアレントであって、内外両方の脅威から自分たちのデータを守ることを心がけている会社が直面している最も切迫している要求と挑戦のうちいくつかに対して、視野が広く普及力があるソルーションを提供する。好ましい一実施例において本発明は安全性の理由でデフォルトとしてAES暗号化アルゴリズムを採用しているが、IPSecとRFCにより要求される比較的安全性の低いDES暗号化アルゴリズムをも支援するものである。
【図面の簡単な説明】
【００８７】
【図１Ａ】本発明の単一サインオンを示す。（実施例１）
【図１Ｂ】本発明の単一サインオンを示す。（実施例１）
【図２】従来技術のプロキシ管理を示す。
【図３】本発明のプロキシ管理を示す。（実施例１）
【図４】本発明の安全なインテリジェントネットワーク・インタフェースを実行するための内部アーキテクチャを示す。（実施例１）
【図５】本発明のネットワーク・アーキテクチャの一例を示す。（実施例１）
【図６Ａ】本発明の安全なインテリジェントネットワーク・インタフェースのPCIカードとスタンドアローン装置とを示す。（実施例１）
【図６Ｂ】本発明の安全なインテリジェントネットワーク・インタフェースのPCIカードとスタンドアローン装置とを示す。（実施例１）
【図７】本発明による安全なインテリジェントネットワーク・インタフェースの管理サーバの階層構造を示す。（実施例１）
【図８Ａ】従来技術のセキュリティ構成を示す。
【図８Ｂ】本発明のセキュリティ構成を示す。（実施例１）
【図１Ａ】
2005503047.tif 000004
【図１Ｂ】
2005503047.tif 000005
【図２】
2005503047.tif 000006
【図３】
2005503047.tif 000007
【図４】
2005503047.tif 000008
【図５】
2005503047.tif 000009
【図６Ａ】
2005503047.tif 000010
【図６Ｂ】
2005503047.tif 000011
【図７】
2005503047.tif 000012
【図８Ａ】
2005503047.tif 000013
【図８Ｂ】
2005503047.tif 000014
【図９】
2005503047.tif 000015
【国際公開パンフレット】
2005503047.tif 000016
2005503047.tif 000017
2005503047.tif 000018
2005503047.tif 000019
2005503047.tif 000020
2005503047.tif 000021
2005503047.tif 000022
2005503047.tif 000023
2005503047.tif 000024
2005503047.tif 000025
2005503047.tif 000026
2005503047.tif 000027
2005503047.tif 000028
2005503047.tif 000029
2005503047.tif 000030
2005503047.tif 000031
2005503047.tif 000032
2005503047.tif 000033
2005503047.tif 000034
2005503047.tif 000035
2005503047.tif 000036
2005503047.tif 000037
2005503047.tif 000038
2005503047.tif 000039
2005503047.tif 000040
2005503047.tif 000041
2005503047.tif 000042
2005503047.tif 000043
2005503047.tif 000044
2005503047.tif 000045
2005503047.tif 000046
2005503047.tif 000047
2005503047.tif 000048
2005503047.tif 000049
【国際公開パンフレット（コレクトバージョン）】
2005503047.tif 000050
【国際調査報告】
2005503047.tif 000051
2005503047.tif 000052