(57)【要約】  通信ネットワークに接続されたデバイスとファイアウォールなどのネットワーク・セキュリティ実施ノードとの間で通信を行うための方法、システム、デバイス、およびノードの例が開示される。例示的な方法は、通信ネットワークを通じてネットワーク・セキュリティ実施ノードと接続されるデバイスを用いて、少なくとも１つのサポートされる有効な機能を含む情報をネットワーク・セキュリティ実施ノードから要求するステップと、その要求の受信に応答して、ネットワーク・セキュリティ実施ノードでサポートされる少なくとも１つの有効な機能を示す情報を送信するステップとを含む。その方法は、少なくとも１つのネットワーク・セキュリティ実施ノードの機能が有効化または無効化されるように、デバイスによって要求するステップをさらに含んでもよい。【選択図】図４
2008533556.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワークを通じてネットワーク・セキュリティ実施ノードと接続可能なデバイスを用いて、少なくとも１つのサポートされる有効な機能からなる情報を前記ネットワーク・セキュリティ実施ノードから要求するステップと、
前記要求の受信に応答して、ネットワーク・セキュリティ実施ノードの少なくとも１つのサポートされる有効な機能を示す情報を送信するステップとを含む方法。
【請求項２】
送信するステップは、前記デバイスが前記機能を有効化／無効化することを許可されているか否かを前記デバイスに通知する機能とフラグとを関連付けることを含む、請求項１に記載の方法。
【請求項３】
送信するステップは、前記機能のデフォルト状態を前記デバイスに通知する機能とフラグとを関連付けることを含む、請求項１に記載の方法。
【請求項４】
少なくとも１つのネットワーク・セキュリティ実施ノード機能が有効または無効のいずれかとなるよう、前記デバイスによって要求するステップをさらに含む、請求項１に記載の方法。
【請求項５】
少なくとも１つのファイアウォール機能を有効化または無効化する前記要求が通ったか否かを前記デバイスに通知するステップをさらに含む、請求項４に記載の方法。
【請求項６】
送信するステップは、前記ネットワーク・セキュリティ実施ノードによって行われる、請求項１に記載の方法。
【請求項７】
送信するステップは、前記ネットワーク・セキュリティ実施ノードのマネージャによって行われる、請求項１に記載の方法。
【請求項８】
前記方法は、前記ノードによってネットワーク・セキュリティ実施ノードの発見手順を開始する初期動作をさらに含み、前記情報の要求は、発見されたネットワーク・セキュリティ実施ノードに対する前記要求となる請求項１に記載の方法。
【請求項９】
前記情報を受信するとそれに応答して、前記デバイスによって用いられる少なくとも１つの通信プロトコルを選択するステップをさらに含む、請求項１に記載の方法。
【請求項１０】
少なくとも１つのネットワーク・セキュリティ実施ノード機能が無効化されるように、前記デバイスによって要求するステップと、
前記ネットワーク・セキュリティ実施ノードを通じて通信を行うステップと、
前記通信の終了時に、前記少なくとも１つのネットワーク・セキュリティ実施ノード機能が再度有効化されるように要求するステップと、
をさらに含む、請求項１に記載の方法。
【請求項１１】
ワイヤレス・ネットワーク・インターフェースと、ネットワーク・セキュリティ実施ノードと通信するように動作可能であるデータ・プロセッサとを含む装置であって、前記通信は、少なくとも１つのサポートされる有効な機能を決定することを求める要求を前記ネットワーク・セキュリティ実施ノードに送信することを含む、装置。
【請求項１２】
前記通信は、少なくとも１つのネットワーク・セキュリティ実施ノード機能を有効または無効のいずれかとすることを求める要求を送信することをさらに含む、請求項１１に記載の装置。
【請求項１３】
前記通信は、ネットワーク・セキュリティ実施ノードの発見手順を行うことをさらに含み、前記データ・プロセッサは、発見されたネットワーク・セキュリティ実施ノードと前記通信を開始する、請求項１１に記載の装置。
【請求項１４】
前記データ・プロセッサは、前記要求に応答して受信された情報にしたがって、少なくとも１つの通信プロトコルを選択するように動作可能である、請求項１１に記載の装置。
【請求項１５】
前記通信は、少なくとも１つのネットワーク・セキュリティ実施手段の機能が無効となることを求める要求をさらに含み、前記データ・プロセッサは、その後で、前記ネットワーク・セキュリティ実施ノードを通じて通信を行うように動作可能である、請求項１１に記載の装置。
【請求項１６】
前記通信は、前記通信の終了時に、前記少なくとも１つのネットワーク・セキュリティ実施ノード機能が再度有効となることを求める要求をさらに含む、請求項１１に記載の装置。
【請求項１７】
コンピュータ可読媒体上で具現化されたコンピュータ・プログラムであって、前記コンピュータ・プログラムの実行が、ワイヤレス・デバイスのデータ・プロセッサに、ネットワーク・セキュリティ実施ノードと通信するよう命令し、少なくとも１つのサポートされる有効な機能を決定することを求める要求を、前記ネットワーク・セキュリティ実施ノードに送信する動作を含む、コンピュータ・プログラム。
【請求項１８】
前記コンピュータ・プログラムの実行は、少なくとも１つのネットワーク・セキュリティ実施ノード機能を、有効化または無効化のいずれか１つを行うことを求める要求を送信する動作をさらに含む、請求項１７に記載のコンピュータ・プログラム。
【請求項１９】
前記コンピュータ・プログラムの実行は、ネットワーク・セキュリティ実施ノードの発見手順を行う動作と、発見されたネットワーク・セキュリティ実施ノードとの前記通信を開始する動作とをさらに含む、請求項１７に記載のコンピュータ・プログラム。
【請求項２０】
前記コンピュータ・プログラムの実行は、前記要求に応答して受信された情報にしたがって、通信プロトコルを選択する動作をさらに含む、請求項１７に記載のコンピュータ・プログラム。
【請求項２１】
前記コンピュータ・プログラムの実行は、少なくとも１つのネットワーク・セキュリティ実施ノード機能が無効となるよう要求する動作をさらに含み、前記データ・プロセッサは、その後で、前記ネットワーク・セキュリティ実施ノードを通じて通信を行うように動作可能である、請求項１７に記載のコンピュータ・プログラム。
【請求項２２】
前記コンピュータ・プログラムの実行は、前記通信の終了時に、前記少なくとも１つのネットワーク・セキュリティ実施ノード機能が再度有効化されることを要求する動作をさらに含む、請求項２１に記載のコンピュータ・プログラム。
【請求項２３】
ネットワーク・インターフェースと、前記ネットワーク・インターフェースを通じてデバイスと通信するように動作可能であるデータ・プロセッサとを含む装置であって、前記データ・プロセッサは、前記装置のネットワーク・セキュリティ実施能力に関する情報を求める、前記デバイスからの第１の要求に応答して、ネットワーク・セキュリティ実施の少なくとも１つのサポートされる有効な機能を示す情報を前記デバイスに送信する装置。
【請求項２４】
前記データ・プロセッサは、前記デバイスからの第２の要求にさらに応答して、少なくとも１つのネットワーク・セキュリティ実施機能を選択的に有効または無効とする、請求項２３に記載の装置。
【請求項２５】
コンピュータ可読媒体上で具現化されたコンピュータ・プログラムであって、前記コンピュータ・プログラムの実行が、ネットワーク・セキュリティ実施ノードのデータ・プロセッサに、ネットワーク・インターフェースを通じて前記ネットワーク・セキュリティ実施ノードに接続されたデバイスと通信するよう命令し、前記ネットワーク・セキュリティ実施ノードの能力に関する情報を求める第１の要求を前記デバイスから受信する動作と、ネットワーク・セキュリティ実施ノードの少なくとも１つのサポートされる有効な機能を示す情報を前記デバイスに送信する動作とを含む、コンピュータ・プログラム。
【請求項２６】
前記ネットワーク・セキュリティ実施ノードによって処理されるデバイス通信を行うために、前記デバイスからの第２の要求の受信に応答して行われる、少なくとも１つのネットワーク・セキュリティ実施ノード機能を選択的に有効または無効とする動作をさらに含む、請求項２５に記載のコンピュータ・プログラム。
【請求項２７】
ワイヤレス・ネットワークにインターフェースする手段と、ネットワーク・セキュリティ実施ノードと通信する手段とを含む装置であって、前記通信手段は、少なくとも１つのサポートされる有効な機能を決定する要求を、前記ネットワーク・セキュリティ実施ノードに送信するように動作可能である装置。
【請求項２８】
前記通信手段は、少なくとも１つのネットワーク・セキュリティ実施ノード機能を有効または無効のいずれかとすることを求める要求を送信するように動作可能である、請求項２７に記載の装置。
【請求項２９】
前記通信手段は、ネットワーク・セキュリティ実施ノードの発見手順を行い、発見されたネットワーク・セキュリティ実施ノードとの通信を開始するよう、さらに動作可能である、請求項２７に記載の装置。
【請求項３０】
前記要求に応答して受信された情報にしたがって、少なくとも１つの通信プロトコルを選択する手段をさらに含む、請求項２７に記載の装置。
【請求項３１】
ネットワークにインターフェースする手段と、前記ネットワーク・インターフェース手段を介してデバイスと通信する手段とを含む装置であって、前記装置のネットワーク・セキュリティ実施能力に関する情報を求める、前記デバイスからの第１の要求に応答して、ネットワーク・セキュリティ実施の少なくとも１つのサポートされる有効な機能を示す情報を前記デバイスに送信する装置。
【請求項３２】
前記通信手段は、前記デバイスからの第２の要求にさらに応答して、少なくとも１つのネットワーク・セキュリティ実施機能を選択的に有効または無効とする、請求項３１に記載の装置。
【請求項３３】
ワイヤレス・ネットワーク・インターフェースと、少なくとも１つのサポートされる有効な機能を示す情報を求める要求を前記ワイヤレス・ネットワーク・インターフェースを介してネットワーク・セキュリティ実施ノードに送信するように動作可能であるデータ・プロセッサであって、前記データ・プロセッサは、前記ネットワーク・セキュリティ実施ノードからの前記情報を受信すると、その受信に応答して通信プロトコルを選択するようさらに動作可能であるデータ・プロセッサとを含む装置。
【請求項３４】
前記データ・プロセッサは、少なくとも１つのネットワーク・セキュリティ実施ノード機能を有効または無効のいずれかとすることを求める要求を前記ネットワーク・セキュリティ実施ノードに送信するようさらに動作可能である、請求項３３に記載の装置。
【請求項３５】
前記データ・プロセッサは、ネットワーク・セキュリティ実施ノードの発見手順を開始し、少なくとも１つのサポートされる有効な機能を示す情報を求める前記要求を、発見されたネットワーク・セキュリティ実施ノードに送信するようさらに動作可能である、請求項３３に記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明に係る種々の実施形態は、全般的に、通信ネットワークのセキュリティ手順に関し、特に、インターネット・プロトコル（ＩＰ：Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワークのセキュリティに関する。
【背景】
【０００２】
インターネットにおける脅威が増加する中、ファイアウォールがエンドユーザおよびネットワーク・リソースを保護する上で重大な役割を果たしている。３ＧＰＰ２規格は、ｃｄｍａ２０００ネットワークにおいてこれらのネットワーク・エンティティの採用および利用を指定することによって、これらのネットワーク・エンティティの重要性を認めている（３ＧＰＰ２ネットワーク・ファイアウォール構成および制御−ステージ１要件、２００４年１１月参照）。ＩＥＴＦは、ＭＩＤＣＯＭ（ｈｔｔｐ：／／ｉｅｔｆ．ｏｒｇ／ｈｔｍｌ．ｃｈａｒｔｅｒｓ／ｍｉｄｃｏｍ−ｃｈａｒｔｅｒ．ｈｔｍｌ）およびＮＡＴ  ＦＷ  ＮＳＬＰ（ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｉｎｔｅｒｎｅｔ−ｄｒａｆｔｓ／ｄｒａｆｔ−ｉｅｔｆ−ｎｓｉｓ−ｎｓｌｐ−ｎａｔｆｗ−０４．ｔｘｔ）など、ファイアウォールの構成を可能にする数種のプロトコルを定義することによって、これらのネットワーク・エンティティの価値およびＩＰネットワークにこれらが存在する必要性も認めている。
【０００３】
サービス妨害（ＤｏＳ：Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃の発生を防ぐために、数種のセキュリティ機能が開発され、現在のファイアウォールに実装されてきた。これらの機能は、標的マシンをある程度は保護するが、新しいアプリケーションおよびシナリオの場合には、問題をいくつか生じさせることもある。これらの問題の存在によって、データ・パケットのドロップまたはデータ通信の中断が生じうる。
【０００４】
１）フラグメント・サニティ・チェック、２）ＳＹＮリレー、３）ＴＣＰシーケンス・ベリファイアなど、いくつかの機能が、現在多数のファイアウォールに実装済みである。
【０００５】
フラグメント・サニティ・チェック
「チェック・ポイントＮＧ  ＶＰＮ−１／Ｆｉｒｅ  Ｗａｌｌ−１」、ジム・ノーブら、シングレス出版株式会社、２００３年（Check Point NG VPN-1 / Fire Wall-1, Jim Nobe et al., Syngress Publishing Inc., 2003）で説明されているように、攻撃が細切れに断片化されている場合、攻撃を検出できないファイアウォールおよびＩＤＳシステムも存在する。これは、各パケットがデバイスを通る際に個別に検査され、攻撃者のデータの断片が攻撃と認識されないためである。この問題を避けるために、ファイアウォールは、送信先に情報を伝える以前に、全断片を集めて、再構築したパケットを検査する。
【０００６】
ＴＣＰシーケンス・ベリファイア
ノーブらによっても説明されているように、ＴＣＰセッションの各パケットは、ＴＣＰヘッダ情報にシーケンス番号を含んでいる。シーケンス番号は、ホスト間の通信に信頼性をもたらすために用いられるメカニズムであるため、重要である。シーケンス番号は、受信側ホストが正しい順序でストリームを再構築し、受信時に個々のパケットを確認できるように、データのそれぞれの組み合わせを特定する。シーケンス番号が一定の時間間隔内で確認されないとき、送信元は、その確認されなかったパケットを再送信すべきであることが知らされる。ネットワーク上で再送信と確認応答とが行き違いになる場合、受信側ホストは、そのシーケンス番号をすでに確認しているので、複製されたパケットを廃棄すべきことがわかる。
【０００７】
ほぼ全てのファイアウォールは、ゲートウェイを通過する全トラフィックの流れを監視し、パケット内のシーケンス番号の記録を取るＴＣＰシーケンス・ベリファイアをサポートする。不正なシーケンス番号を有するパケットを受信したことをファイアウォールが認識すると、ＥＰ（Ｅｎｆｏｒｃｅｍｅｎｔ  Ｐｏｉｎｔ）（実施ポイント）はそのパケットが不正な状態であると判断し、そのパケットをドロップする。この機能は、非対称ルーティングを用いるファイアウォール・クラスタなどの特定の構成ではサポートされていないので、ネットワーク管理者がこの機能を無効にすることもある。
【０００８】
ＳＹＮリレー
ＳＹＮリレー法は、通信制御プロトコル（ＴＣＰ：Ｔｒａｎｓｐｏｒｔ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）のＳＹＮフラッド（ＴＣＰのＳＹＮフラッド型の悪意ある攻撃に関しては、ｈｔｔｐ：／／ｗｗｗ．ｃｅｒｔ．ｏｒｇ／ａｄｖｉｓｏｒｉｅｓ／ＣＡ−１９９６−２１．ｈｔｍｌを参照）の脅威を解決するために設計されたものである。
【０００９】
ファイアウォールの使用時、ファイアウォールは、サーバ（ファイアウォールに保護されている）に代わって、ＳＹＮ／ＡＣＫをクライアントに送信することによって、全ＳＹＮパケットに応答する。クライアントからＡＣＫが受信されると、ファイアウォールはサーバにその接続を渡す。この方法を使用すれば、サーバは、クライアントから対応するＡＣＫを受信しない限り、ファイアウォールが元のＳＹＮパケットを伝えることはないので、無効な接続の試みを受けなくなる。この方法により、標的サーバは堅固に保護されるが、通過する全接続要求に対してファイアウォールが応答することが要求されるため、この方法の使用に関しては顕著なオーバーヘッドも生じることとなる。ファイアウォールがＴＣＰ接続に関与する必要も生じてくる。ファイアウォールがＴＣＰ接続に関与する必要があるのは、クライアントからのＴＣＰ接続が実際にはファイアウォールにおいて終了しており、その結果ファイアウォールがサーバとの別のＴＣＰ接続を確立するからである。
【００１０】
図１に関しては、悪意あるノード１は、インターネットなどの外部ネットワーク２を介して、ファイアウォール３を通じてセルラ・ネットワーク４にトラフィックを送信することができる。悪意あるトラフィックは、セルラ・ネットワーク４から無線インターフェース５を通じて、被害を被るワイヤレス端末６に伝わる。ワイヤレス端末６が、セルラ・ネットワークの加入者と関連している場合、過大請求、被害者のバッテリ寿命の短縮、および無線インターフェースの帯域幅の不必要な消費に関する問題などの、種々の問題がセルラ・ネットワーク４に生じる。
【００１１】
上述のフラグメント・サニティ・チェックおよびＴＣＰシーケンス・ベリファイアは、隠れた攻撃または偽トラフィックの投入（フラッド）を悪意あるノードが試みることができないように設計されたものである。ＳＹＮリレー法は通常、能動的な攻撃が行われているとＥＰが検出したときに（攻撃試行の閾値が超えられたとき）、標的マシンをＴＣＰのＳＹＮフラッドから保護するために使用される。
【００１２】
一方、新しいアプリケーションおよびシナリオの場合には、通常はネットワーク管理者によってのみ有効化／無効化されるこれらの機能が、新しい問題を生じさせることもある。
【００１３】
例えば、ＩＥＴＦにおいて標準化されたマルチ・ホーミングを使用する場合、ノードはマルチインターフェースを有することができ、信頼性のために、同時に異なった経路（例えば、ワイヤレス・ローカル・エリア・ネットワーク（ＷＬＡＮ：ｗｉｒｅｌｅｓｓ  ｌｏｃａｌ  ａｒｅａ  ｎｅｔｗｏｒｋ）および一般パケット無線サービス（ＧＰＲＳ：ｇｅｎｅｒａｌ  ｐａｃｋｅｔ  ｒａｄｉｏ  ｓｅｒｖｉｃｅ））を通じてトラフィックを送信するようピアに要求することができる。それぞれのリンクの品質に応じて、一部のパケットがリンク１を通じて受信され、別のパケットがリンク２から受信されることもある。フラグメント・サニティ・チェックおよびＴＣＰシーケンス・ベリファイアは、有効である場合、パケットがエンド・ポイント１に届けられるのを妨ぐこともある。ＴＣＰシーケンス・ベリファイアは、「欠落」パケットの再送を送信ノードに要求することによって、さらに遅延を生じさせることもある。
【００１４】
図２は、２つの異なったファイアウォールであって、関連性のない場合もあるファイアウォール（例えば、ＷＬＡＮファイアウォールおよびＧＰＲＳ（セルラ）ファイアウォール）を通る、異なった経路上の同時ＴＣＰトラフィックの場合を示す。
【００１５】
上述したように、ＳＹＮリレー法において、ＴＣＰ接続は実際には、クライアント１からファイアウォール３への接続およびファイアウォール３からサーバ６への接続という、別のシーケンス番号を有する２つの異なった接続に分けられている。クライアント１およびサーバ６は、他のピアのシーケンス番号の情報を有しない。クライアント１およびサーバ６がＩＰｓｅｃを使用しようとすると、ＴＣＰシーケンス番号の値が原因でＩＰｓｅｃのチェックサムが、異なる場合もあるため、エンド・ポイント１におけるＩＰｓｅｃモジュールが、パケットをドロップすることもある。
【００１６】
ファイアウォールのセキュリティ機能は、データ通信のセキュリティを向上させるために設計されたものであるが、特定のシナリオで用いられた場合には、さらなる遅延またはパケットのドロップさえも生じさせることがある。さらに加えて、エンド・ポイント１（クライアントおよびサーバ）は、（１つまたは複数の）ファイアウォール３がどのようなセキュリティ機能を実装しているか認識していない場合が多々あるために、問題の原因に関する情報がわからないこともある。さらにエンド・ポイントは、ファイアウォール３によって用いられる（１つまたは複数の）セキュリティ機能を有効化／無効化できるのが現在のところネットワーク管理者のみであるために、ファイアウォールの動作を制御できない。
【００１７】
エンド・ポイント１および６が、様々なＤｏＳ攻撃からデバイスを保護するためにパーソナル・ファイアウォールを備え、さらに、信頼性を高めるためにマルチ・ホーミングを実装するか、またはセキュリティの改善のためにＩＰｓｅｃを実装したとしても、（１つまたは複数の）ネットワーク・ファイアウォール３の通常の動作によって、データ通信の実行は妨げられうる。
【００１８】
現在のところ、発明者の知るところによると、ネットワーク・ファイアウォール３によってどのような機能がサポート／実装されているかをエンド・ポイントが知るために現在用いられているメカニズムはなく、また、ＴＣＰシーケンス・ベリファイア、フラグメント・サニティ・チェック、および／またはＳＹＮリレー機能などのファイアウォール機能をエンド・ポイントが有効化／無効化するために現在用いられているメカニズムもない。
【００１９】
ＩＥＴＦは、「ミドル・ボックス通信（ｍｉｄｃｏｍ）、Ｍ．ショアら（"Ｍｉｄｄｌｅｂｏｘ  Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ  （ｍｉｄｃｏｍ）"，  Ｍ．  Ｓｈｏｒｅ  ｅｔ  ａｌ．）、ｈｔｔｐ：／／ｉｅｔｆ．ｏｒｇ／ｈｔｍｌ．ｃｈａｒｔｅｒｓ／ｍｉｄｃｏｍ−ｃｈａｒｔｅｒ．ｈｔｍｌ、および「ＮＡＴ／Ｆｉｒｅｗａｌｌ信号化層プロトコル（ＮＳＬＰ：ＮＡＴ／Ｆｉｒｅｗａｌｌ  ＮＳＩＳ  Ｓｉｇｎａｌｉｎｇ  Ｌａｙｅｒ  Ｐｒｏｔｏｃｏｌ）」、Ｍ．スティーマリングら（"ＮＡＴ／Ｆｉｒｅｗａｌｌ  ＮＳＩＳ  Ｓｉｇｎａｌｉｎｇ  Ｌａｙｅｒ  Ｐｒｏｔｏｃｏｌ  （ＮＳＬＰ）"，  Ｍ．  Ｓｔｉｅｍｅｒｌｉｎｇ  ｅｔ  ａｌ．）、ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｉｎｔｅｒｎｅｔ−ｄｒａｆｔｓ／ｄｒａｆｔ−ｉｅｔｆ−ｎｓｉｓ−ｎｓｌｐ−ｎａｔｆｗ−０４．ｔｘｔなどの、ファイアウォールを構成するプロトコルを現在指定しようとしているが、これらの提案されたプロトコルの能力は、基本的に、発信元アドレス、宛先ＩＰアドレス、プロトコル、およびポート番号に基づくルールの設定に限られている。これらのプロトコルを使用すれば、ピンホールを作ること、または望ましくないトラフィックをブロックするパケット・フィルタをインストールすることはできるが、これらのプロトコルが上記の諸問題を適切に解決することはない。
【種々の実施形態の概要】
【００２０】
本発明の実施形態の例にしたがえば、上述および他の諸問題は克服され、その他の長所も実現される。
【００２１】
本発明の一例は、通信ネットワークに接続されたデバイスとファイアウォールなどのネットワーク・セキュリティ実施ノードとの間で通信を行うための方法を提供する。この方法は、通信ネットワークを通じてネットワーク・セキュリティ実施ノードと接続されるデバイスを用いて、少なくとも１つのサポートされる有効な機能を含む情報をネットワーク・セキュリティ実施ノードから要求するステップと、その要求の受信に応答して、ネットワーク・セキュリティ実施ノードでサポートされる有効な少なくとも１つの機能を示す情報を送信するステップとを含む。
【００２２】
本発明の別の例は、ワイヤレス・ネットワーク・インターフェースと、ネットワーク・セキュリティ実施ノードと通信するためのデータ・プロセッサとを含む装置を提供する。なお、この通信は、少なくとも１つのサポートされる有効な機能を決定することを求める要求をネットワーク・セキュリティ実施ノードに送信することを含む。
【００２３】
本発明の別の例は、コンピュータ可読媒体上に具現化されたコンピュータ・プログラムを提供する。なお、このコンピュータ・プログラムを実行することにより、ワイヤレス・デバイスのデータ・プロセッサは、ネットワーク・セキュリティ実施ノードと通信するよう指示される。ここで、この通信は、少なくとも１つのサポートされる有効な機能を決定する要求をネットワーク・セキュリティ実施ノードに送信する動作を含む。
【００２４】
本発明の別の例は、ネットワーク・インターフェースと、そのネットワーク・インターフェースを通じてデバイスと通信するように操作可能なデータ・プロセッサとを含む装置を提供する。なお、このデータ・プロセッサは、ネットワーク・セキュリティ実施の少なくとも１つのサポートされる有効な機能を示す情報をデバイスに送信するための装置が有するネットワーク・セキュリティ実施能力に関する情報を求める、デバイスからの第１の要求に応答する。このデータ・プロセッサは、少なくとも１つのネットワーク・セキュリティ実施機能を選択的に有効化／無効化することを求める、デバイスからの第２の要求にさらに応答してもよい。
【００２５】
本発明の別の例は、コンピュータ可読媒体上に具現化されたコンピュータ・プログラムを提供する。なお、このコンピュータ・プログラムを実行することにより、ネットワーク・セキュリティ実施ノードのデータ・プロセッサが、少なくとも１つのサポートされる有効な機能を特定するように指示される。実行される動作は、前記ネットワーク・セキュリティ実施ノードの能力に関する情報を求める、デバイスからの第１の要求を受信することと、ネットワーク・セキュリティ実施ノードの少なくとも１つのサポートされる有効な機能を示す情報をデバイスに送信することとを含む。ネットワーク・セキュリティ実施ノードによって処理されるデバイス通信を行うために、少なくとも１つのネットワーク・セキュリティ実施ノードの機能を選択的に有効化または無効化することを求める、デバイスからの第２の要求の受信に応答して行われる動作が存在してもよい。
【００２６】
本発明のさらに別の例は、ワイヤレス・ネットワーク・インターフェースと、ワイヤレス・ネットワーク・インターフェースを介してネットワーク・セキュリティ実施ノードに、少なくとも１つのサポートされる有効な機能を示す情報を求める要求を送信するように動作可能なデータ・プロセッサであって、通信プロトコルを選択するための情報をネットワーク・セキュリティ実施ノードから受信することにさらに応答して動作可能なデータ・プロセッサとを含む装置を提供する。
【００２７】
本発明の好ましい実施形態の前述および他の諸態様は、添付の図面とともに読めば、下記の好ましい実施形態の詳細な記載において、さらに明らかになるであろう。
【好ましい実施形態の詳細な説明】
【００２８】
本発明ではいくつかの例を挙げて詳細に説明するが、そこでは、ファイアウォールなどのネットワーク・セキュリティ実施ノードをファイアウォール４０として示し（図４参照）、図１に関して上記で検討された従来のファイアウォール３と区別している。
【００２９】
さらに、本明細書においてデバイス、ノード、またはクライアントとも呼ばれるエンド・ポイントは、本発明の種々の例に係る、ファイアウォール４０の発見要求および／または機能変更要求の能力を有しない従来のエンド・ポイント１と区別するために、例えばエンド・ポイント４１と表わされる（図４参照）。
【００３０】
本発明の種々の例は、ファイアウォール４０の構成プロトコルに関し、さらに、将来のアプリケーションおよびシナリオをサポートするために、ファイアウォール４０の構成プロトコルによってサポートされるさらなる能力を提供する。
【００３１】
本発明の種々の例は、エンド・ポイント４１がファイアウォール４０およびその能力を発見するための技術を提供する。なお、エンド・ポイント４１は、ネットワーク・エンティティ（ファイアウォール４０またはファイアウォール４０のマネージャ４０Ａ。マネージャ４０Ａは、ファイアウォール４０と同一サーバに配置されていてもよい）を発見することができ、エンド・ポイント４１は、さらにファイアウォール４０によってサポートされる機能に関する要求をそのネットワーク・エンティティに送信することができる。好ましくは、この技術によって、エンド・ポイント４１によって有効化または無効化できる、ファイアウォール４０によってサポートされる機能を、エンド・ポイント４１が少なくとも知ることができる。さらに、エンド・ポイント４１が、ファイアウォール４０によってサポートされる（１つまたは複数の）機能を変更できなくても、この技術によって、エンド・ポイント４１がこの機能を知ることができると好ましい。一例として、ファイアウォール４０がフラグメント・サニティ・チェックを実装する場合、エンド・ポイント４１にこの機能を無効にする権限がなくても、ファイアウォール４０がフラグメント・サニティ・チェックの検証情報に基づいてファイアウォール４０自身の挙動を変更できるため、エンド・ポイント４１には、フラグメント・サニティ・チェックの検証が行われているかを発見する機会が与えられている。
【００３２】
本発明では、ネットワーク・オペレータが（１つまたは複数の）ネットワーク・ファイアウォール４０での機能を変更する権限をエンド・ポイント４１に与え、エンド・ポイント４１がその機能を有効化／無効化できるように、（１つまたは複数の）ネットワーク・ファイアウォール４０で実装された機能をネゴシエートし、可能ならばそれを変更する技術をさらに提供する種々の例がある。
【００３３】
本発明の種々の例は、エンド・ポイント４１によって用いられ、エンド・ツー・エンド通信を行うために使われるメカニズムおよび／またはプロトコルを選択することもできる。
【００３４】
基礎となるプロトコルの詳細は、関連するネットワークの特性および適応規格の将来の展開に強く依存するが、以下の段落では、本発明の例（例えば、ファイアウォール４０の能力を発見する方法）を実装するための非限定的な技術が記載される。図３の論理フローチャートも参照する。
【００３５】
第１の手順（ブロック３Ａ）は、図４に示されるクライアント・ノード４１によって行われるような、任意のファイアウォール４０発見手順を伴う。非限定的なごく一部の例では、ドメイン・ネーム・サーバ（ＤＮＳ：Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｅｒｖｅｒ）を用いて、または動的ホスト構成プロトコル（ＤＨＣＰ：Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）を用いることによって、またはエニィキャスト・メッセージを送信することによって、ファイアウォール４０の発見を行うことができる。
【００３６】
例えば、ＤＨＣＰの従来の目的は、１つまたは複数のサーバ（ＤＨＣＰサーバ）から、特に、個々のコンピュータに関する正確な情報を各コンピュータが要求するまで当該情報を持つことは全くないサーバから、各コンピュータの構成をＩＰネットワーク上の各コンピュータが取り出せるようにすることである。この手順の全般的な目的は、大規模ＩＰネットワークの管理に必要な仕事を軽減することである。この方法によって分配される最も重要な情報は、ＩＰアドレスである。
【００３７】
引き続き図３を参照すると、エンド・ポイント４１は、ファイアウォール４０、例えば発見されたファイアウォール４０などから、サポートされる有効な機能を要求する（ブロック３Ｂ）。次に、（１つまたは複数の）ファイアウォール４０は、サポートされる有効な機能を列挙することによって、応答する（ブロック３Ｃ）。フラグメント・サニティ・チェック、ＴＣＰシーケンス・ベリファイア、ＳＹＮリレー（非限定的な例として）などの、一般的に用いられる機能には、標準値（例えば、それぞれ０１、０２、０３）を割り当ててもよく、ファイアウォール・ベンダは、ベンダ固有の機能に対して特定のベンダ値を要求してもよい。ファイアウォール４０によって示される各機能に関しては、エンド・ポイント４１がその各機能を有効化／無効化できるか否か、またはエンド・ポイント４１が変更できない機能をネットワーク・ファイアウォール４０が実装しているか否かを、フラグがエンド・ポイント４１に対して通知してもよい。また別のフラグが、機能のデフォルト状態、すなわちデフォルトによってその機能が有効であるか無効であるかを、エンド・ポイント４１に通知してもよい。次にエンド・ポイント４１は、許可されているなら、１つまたは複数の特定の機能を有効化または無効化するよう要求してもよい（ブロックＤ）。単一ビットまたはマルチビットのフラグ自体が用いられてもよいが、単純な文字列など、上記情報を伝える別の技術を用いてもよい。
【００３８】
機能を有効化または無効化する要求において、エンド・ポイント４１は、目標の機能の有効化または無効化を示すにあたり、フラグを設定するなどによって、どの機能を変更するかを示してもよい。エンド・ポイント４１は、１つの要求に対して、１つまたは複数の機能を設定できることが好ましい。次に、エンド・ポイント４１の要求が認められたかとどうかをエンド・ポイント４１に知らせることによって、ネットワーク・ファイアウォール４０が応答する（ブロック３Ｅ）ことが好ましい。
【００３９】
なお、ブロック３Ｂからブロック３Ｅに至る順序は異なっていてもよく、さらなる手順または開示された手順の変更を含んでもよい。ここで、これらの各手順は、実質的にアトミック・オペレーションであり、互いに独立している。
【００４０】
エンド・ポイント４１によるファイアウォール４０の構成が許可されないネットワークであっても、ファイアウォール４０で実装される有効な機能をエンド・ポイント４１が受信できることは有益でありうる。例えば、ファイアウォール４０がＳＹＮリレー機能を実装している場合、ＩＰｓｅｃは機能しないため、エンド・ポイント４１はＩＰｓｅｃの使用を避けることが好ましい。その代わり、エンド・ポイント４１は、ＳＹＮリレー機能とともに動作可能なトランスポート層セキュリティ（ＴＬＳ：Ｔｒａｎｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）または他の上位層のセキュリティ・メカニズムを用いるとよい。このようにすると、エンド・ポイント４１は、ファイアウォール４０から発見された情報に基づいて、確実に信頼性のあるエンド・ツー・エンド通信ができるプロトコルを選択するなどによって、その動作を変更することができる。
【００４１】
他のファイアウォール４０の機能は、本明細書で詳細には検討しないが、ＳＹＮリレー機能と同様の、セキュリティ／トランスポート／アプリケーション層の影響がありうる。ファイアウォール４０において特定の機能が有効または無効であることがわかれば、エンド・ポイント４１がエンド・ツー・エンド通信のために適切な（１つまたは複数の）プロトコルを選択する上での助けとなる。
【００４２】
本発明の例によれば、ファイアウォール４０を構成するためにファイアウォール４０で用いられるプロトコルは、以下のものに用いることもできる。
【００４３】
１．ファイアウォール４０がサポートする機能をフェッチする。および／または、
２．（エンド・ポイント４１によって）ファイアウォール４０でのこれらの機能を有効化／無効化する。
【００４４】
なお、ファイアウォール４０は、１０個の機能をサポートしてもよいが、その１０個の機能のうちの一部分（例えば、５個のみ）を有効化することが好ましい。このことは、有効化されたファイアウォール４０の機能が多いほど、ファイアウォール４０の処理負荷が増大し且つパケット・ストリームの処理能力が低下する点を考えると、有益である。さらに、いくつかの機能が有効化されていると、（１つまたは複数の）種類の通信が阻止または妨害されることもある。このため、ノードは、一例であるが、ファイアウォール４０における特定の１つまたは複数の機能を無効化し、その特定の通信を開始することができる。その通信が終了すると、ノード４１がファイアウォール４０を再設定し、その特定の１つまたは複数の機能を再度有効化すればよい（図５参照）。
【００４５】
エンド・ポイント４１は、図５のブロック５Ａにおいて、ファイアウォール４０によってサポートされるこれらの機能を要求し、受信する。ブロック５Ｂにおいて、エンド・ポイント４１は、少なくとも１つの機能を選択的に無効化する（例えば、ＩＰｓｅｃを使用の場合、ＳＹＮリレー機能を無効化する）。ブロック５Ｃにおいて、エンド・ポイント４１は、ファイアウォール４０を通過することになっている特定の通信を開始および実行するものとする。ブロック５Ｄにおいて、通信の終了時に、エンド・ポイント４１は、ファイアウォール４０において無効化された（１つまたは複数の）機能を再度有効化すればよい（例えば、ＳＹＮリレー機能を再度有効化する）。
【００４６】
なお、ファイアウォール４０が構成不可能となることもある（少なくとも、エンド・ポイント・ノード４１によって）。この場合、ノード４１は別方法の通信を選択すればよい。例えば、上記で述べたように、エンド・ポイント・ノード４１は、特定のファイアウォール４０の機能とともに動作するか、または該当機能と互換性を有する無効化不能のセキュリティ・プロトコルなど、別のプロトコル設定を用いることを選んでもよいが、その場合、使用不可能な機能よりも脆弱になることもある（図６参照）。
【００４７】
図６のブロック６Ａにおいて、エンド・ポイント４１は、ファイアウォール４０にサポートされる機能を要求し、受信する。ブロック６Ｂにおいて、エンド・ポイント４１は、有効化されたファイアウォール４０の、特定の通信と互換性がない機能を記録する。ブロック６Ｃにおいて、エンド・ポイント４１は、通信を正常に行うために、有効化されたファイアウォール４０の機能と互換性を有するプロトコル設定を選択する。
【００４８】
本発明の例を用いれば、ミドル・ボックス（例えば、ファイアウォール４０）がデータ通信をどのように処理するのかについてさらなる情報が提供され、さらに、ミドル・ボックスがデータ通信をどのように処理すべきなのかをエンド・ポイント４１が設定する手段が提供される。
【００４９】
本発明に係る種々の例を用いれば、エンド・ポイント４１に、さらなる柔軟性、情報および制御が提供される。一方、同時に、ネットワーク・オペレータが依然として、所定のセルラ・ネットワークに実装するにあたって、どのファイアウォール４０および他のセキュリティ機能が好ましいかを決定すればよい。
【００５０】
さらにこの点に関して、ワイヤレス通信システム、特に、本発明の教示を実行するのに好適なＣＤＭＡ２０００  １ｘネットワークの簡単なブロック図を示す図４を参照するとよい。図４の図示は、本発明の教示を好適な技術的状況に置き換えて提供されたものである。一方、当然のことながら、図４に示された特定のネットワークのアーキテクチャおよびトポロジーは、図４に示されるのとは別のアーキテクチャおよびトポロジーを有するネットワークでも本発明の教示を実行できうるので、本発明の教示を限定する意味で解釈してはならない。さらに、本発明の例の全般的な概念は、ＴＤＭＡに基づくネットワークおよび他のモバイルＴＣＰ／ＩＰネットワークでも実施できるものであり、ＣＤＭＡネットワークのみの使用に限定されない。ＧＳＭおよび広帯域ＣＤＭＡ（ＷＣＤＭＡ）の両ネットワークでも、本発明の種々の例を生かすことができる。以下の記載を読む際に注意すべきは、この記載のいくつかの態様の中にはＣＤＭＡネットワークに特有のものもある一方、図４の説明が、本発明に係る教示の実装、使用および／または実施を限定する意味で読まれることを意図するものではない点である。
【００５１】
図４に示されるワイヤレス通信システムは、少なくとも１つの移動局（ＭＳ：ｍｏｂｉｌｅ  ｓｔａｔｉｏｎ）１０を含む。ＭＳ１０は、セルラ電話機、または任意の種類の移動端末（ＭＴ：ｍｏｂｉｌｅ  ｔｅｒｍｉｎａｌ）、または移動ノード（ＭＮ：ｍｏｂｉｌｅ  ｎｏｄｅ）、あるいはさらに一般的には、携帯型コンピュータ、携帯情報端末（ＰＤＡ：ｐｅｒｓｏｎａｌ  ｄａｔａ  ａｓｓｉｓｔａｎｔ）、インターネット家電、ゲーム機器、画像形成装置、およびこれらおよび／または他の機能を有するデバイスを含むがこれらに限定されないワイヤレス通信のインターフェースおよび能力を有するさらに一般的なデバイスであるか、または含めばよい。ＭＳ１０は、物理層および上位層の信号形式およびプロトコルと互換性を有し、無線インターフェースを含むワイヤレス・リンク１１を介してネットワーク１２と接続できるものとする。本発明のこの好ましい例においては、ワイヤレス・リンク１１は無線周波数リンクであるが、本発明に係る他の例では、ワイヤレス・リンク１１は光リンクであるか、またはこれを含んでもよく、ＭＳ１０のワイヤレス・ネットワーク・インターフェースは光リンクまたは無線周波数（ＲＦ：ｒａｄｉｏ  ｆｒｅｑｕｅｎｃｙ）リンクの１つまたは両方の種類のワイヤレス・リンク１１と互換性を有する。ＭＳ１０を具現化するデバイスは、ワイヤレス・デバイスとしてもよい。
【００５２】
ＭＳ１０は、クライアント・ノードに対するサーバとして機能しても機能しなくてもよい。なお、このクライアント・ノードは、上述のエンド・ポイント４１（別のワイヤレス・デバイスであってもよい）であるとしてもよい。
【００５３】
ネットワーク１２は従来の意味で、ＩＳ−４１マップ・インターフェースを介してビジタ・ロケーション・レジスタ（ＶＬＲ：ｖｉｓｉｔｏｒ  ｌｏｃａｔｉｏｎ  ｒｅｇｉｓｔｅｒ）１６に接続された移動交換センタ（ＭＳＣ：ｍｏｂｉｌｅ  ｓｗｉｔｃｈｉｎｇ  ｃｅｎｔｅｒ）１４を含む。ＶＬＲ１６は、次にＩＳ−４１マップ・インターフェースを通じてスイッチング・システム７（ＳＳ−７）ネットワーク１８に接続され、次に、ＭＳ１０のホーム・アクセス・プロバイダ・ネットワークと関連するホーム・ロケーション・レジスタ（ＨＬＲ：ｈｏｍｅ  ｌｏｃａｔｉｏｎ  ｒｅｇｉｓｔｅｒ）２０に接続されている。ＭＳＣ１４は、Ａ１インターフェース（回路交換（ＣＳ：ｃｉｒｃｕｉｔ  ｓｗｉｔｃｈｅｄ）およびパケット交換（ＰＳ：ｐａｃｋｅｔ  ｓｗｉｔｃｈｅｄ）トラフィック用）およびＡ５／Ａ２インターフェース（ＣＳサービスのみ）を通じて、第１の無線ネットワーク（ＲＮ：ｒａｄｉｏ  ｎｅｔｗｏｒｋ）２２Ａに接続されている。第１のＲＮ２２Ａは、基地送受信局（ＢＴＳ：ｂａｓｅ  ｔｒａｎｓｃｅｉｖｅｒ  ｓｔａｔｉｏｎ）と、Ａ８／Ａ９インターフェースを通じてパケット制御機能（ＰＣＦ：Ｐａｃｋｅｔ  Ｃｏｎｔｒｏｌ  Ｆｕｎｃｔｉｏｎ）に接続された基地局センタ（ＢＳＣ：ｂａｓｅ  ｓｔａｔｉｏｎ  ｃｅｎｔｅｒ）とを含む基地局（ＢＳ：ｂａｓｅ  ｓｔａｔｉｏｎ）２４Ａを含む。ＰＣＦ２６Ａは、Ｒ−Ｐ（ＰＤＳＮ／ＰＣＦ）インターフェース２７（Ａ１０／Ａ１１インターフェースとも呼ばれる）を介して、第１のパケット・データ・サービング・ノード（ＰＤＳＮ：ｐａｃｋｅｔ  ｄａｔａ  ｓｅｒｖｉｎｇ  ｎｏｄｅ）２８Ａに接続され、次に（Ｐｉインターフェースを介して）ＩＰネットワーク３０に接続される。ＰＤＳＮ２８Ａは、Ｐｉと遠隔認証ダイヤルイン・サービス（ＲＡＤＩＵＳ：ｒｅｍｏｔｅ  ａｕｔｈｅｎｔｉｃａｔｉｏｎ  ｄｉａｌ−ｉｎ  ｓｅｒｖｉｃｅ）インターフェースとを介して、ビジットしたアクセス、承認および課金（ＡＡＡ：ａｃｃｅｓｓ，ａｕｔｈｏｒｉｚａｔｉｏｎ  ａｎｄ  ａｃｃｏｕｎｔｉｎｇ）ノード３２に接続した状態で示され、次にビジットしたＡＡＡはＲＡＤＩＵＳインターフェースを介してＩＰネットワーク３０に接続している。ホームＩＰネットワークのＡＡＡノード３４およびブローカＩＰネットワークのＡＡＡノード３６も、ＲＡＤＩＵＳインターフェースを介してＩＰネットワーク３０に接続した状態で示されている。ホームＩＰネットワーク／ホーム・アクセス・プロバイダ・ネットワーク／プライベート・ネットワークのホーム・エージェント３８は、モバイルＩＰｖ４インターフェースを介して、ＩＰネットワークに接続されている。ＲＦＣ３２２０によれば、ホーム・エージェント３８は、移動ノードがホームから離れているときに、移動ノードに伝送するためにデータグラムをトンネルし、移動ノードの現在位置情報を保持する、移動ノード（この記載上では、ＭＳ１０）のホーム・ネットワーク上のルータである。
【００５４】
図４に示されているように、第２のＲＮ２２Ｂは、Ａ３／Ａ７インターフェースを介して、第１のＲＮ２２Ａと接続されている。第２のＲＮ２２Ａは、ＢＳ２４ＢおよびＰＣＦ２６Ｂを含み、第２のＰＤＳＮ２８Ｂに接続されている。ＰＤＳＮ２８ＡおよびＰＤＳＮ２８Ｂは、Ｐ−Ｐインターフェース２９（ＩＳ８３５Ｃに定義された、ＰＤＳＮ対ＰＤＳＮインターフェース）を通じて、互いに接続されている。
【００５５】
本発明の例に係るファイアウォール４０の機能（例えば、図３参照）は、ＰＤＳＮ２８に組み込まれるか、または、対象となるＴＣＰパケットが存在するＰＣＦ２６など、ワイヤレス・リンク（無線インターフェース）１１の前に位置する他のネットワーク・ノードに組み込まれてもよい。他の種類のワイヤレス・システムでは、同等の機能を有するパケット処理ノードを用いることができる。すでに述べたように、ファイアウォール・マネージャ（ＦＭ：ｆｉｒｅｗａｌｌ  ｍａｎａｇｅｒ）４０Ａの機能も存在してもよい。
【００５６】
本発明の目的のために、ファイアウォール４０は、サーバ（例えば、ＭＳ１０）およびノード（エンド・ポイント）４１（別のＭＳであってもよい）の間に置かれた任意のネットワーク・システムまたはノードとしてもよく、さらに、図３に参照して記載された、ファイアウォール４０の発見要求への応答、要求された機能に対する選択的な有効化または無効化、および可能な場合にその成否の報告などの、本発明の例および変形を実装するために、ディスク、テープ、および／または半導体メモリ（Ｍ）などの、コンピュータ可読媒体内または上に記憶されたコンピュータ・プログラムの制御の下で動作する、少なくとも１つのデータ・プロセッサ（ＤＰ：ｄａｔａ  ｐｒｏｃｅｓｓｏｒ）を含むものとしてもよい。さらに、好適なネットワーク・インターフェース（ＮＩ：ｎｅｔｗｏｒｋ  ｉｎｔｅｒｆａｃｅ）が提供される。少なくとも１つのエンド・ポイント４１のノードは、同様の方法で構築されてもよく、さらに、図３、５、および６に示されているように、ファイアウォール４０の発見手順の開始、許可されているのであれば、ファイアウォール４０の１つまたは複数の機能の選択的有効化または無効化の要求、および場合によっては、エンド・ポイント４１によって無効化できない発見されたファイアウォール４０の機能とともに用いられる適切な通信プロトコル設定の選択などの、本発明の例を実装するために、ディスク、テープ、および／または半導体メモリ（Ｍ）などのコンピュータ可読媒体内または上に記憶されたコンピュータ・プログラムの制御の下で動作する、少なくとも１つのデータ・プロセッサ（ＤＰ）を含むものとしてもよい。エンド・ポイント４１のノードに対するネットワーク・インターフェース（ＮＩ）は、ワイヤ式インターフェースまたはワイヤレス・インターフェースであればよい。
【００５７】
上記の記載により、プロトコルが開示されたことは明らかであろう。本発明に係る例で、クライアントは、本発明のプロトコルを用いることによって、ファイアウォール４０に実装された機能を知り、さらにこれらの機能のうちいずれが有効化または無効化されているかを知ることができる。このプロトコルを用いることによって、クライアントは、ファイアウォール４０の機能を有効化または無効化することにより、ファイアウォール４０を設定することができるであろう。これらの能力は、ノードが適切なプロトコルを選択してエンド・ツー・エンドの通信を正常に実行できるように、ファイアウォール４０に実装された機能の予備知識を提供するなどの、多数の状況において有益である。
【００５８】
上記の記載は、典型的且つ非限定的な例として、発明者らによって検討された、本発明を実施する上で本発明者らが現時点で最善であると考える方法および装置について完全且つ詳細に記載するものである。しかし、上記の記載を考慮し、添付の図面および補正された請求項と併せて読めば、当業者には、種々の変更および適応化のあることが明らかになるであろう。単なる例として、同様または等価なメッセージ送信形式およびプロトコルの使用を当業者が試みてもよい。しかし、本発明の教示に係る、そのような変更および同様な変更は、依然として本発明の範囲に含まれる。さらに、本発明に係る例の特徴の中には、他の特徴を同じ様に用いなくても、効果的に使用できるものもある。このように、上記の記載は本発明の原理、教示、種々の非限定的な例、および態様を単に説明したものであり、本発明を限定するものではない。
【図面の簡単な説明】
【００５９】
【図１】外部ネットワーク、ファイアウォール、セルラ・ネットワーク、およびセルラ・ネットワークの無線インターフェースを介してワイヤレス端末に悪意あるトラフィックを送信する悪意あるノードの例と、本発明の好ましい実施形態によって解決される問題とを示す図である。
【図２】２つの異なったファイアウォールであって可能ならば関連しないファイアウォールを通る異なった経路上の同時ＴＣＰトラフィックの例を示す図である。
【図３】本発明の例に係る、論理フローチャートの例を示す図である。
【図４】本発明の教示を実装するにあたって１つの好適な環境であるＣＤＭＡネットワークの例を示す図である。
【図５】本発明のさらに別の例を示す論理フローチャートの例を示す図である。
【図６】本発明のさらに別の例を示す論理フローチャートの例を示す図である。
【図１】
2008533556.tif 000003
【図２】
2008533556.tif 000004
【図３】
2008533556.tif 000005
【図４】
2008533556.tif 000006
【図５】
2008533556.tif 000007
【図６】
2008533556.tif 000008
【手続補正書】
【提出日】平成19年9月25日(2007.9.25)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
通信ネットワークを通じてネットワーク・セキュリティ実施ノードに接続可能なデバイスを用いて、少なくとも１つのサポートされる有効な機能を含む情報を前記ネットワーク・セキュリティ実施ノードから要求することと、
前記要求に応答して情報を受信することであって、該受信した情報は、前記サポートされる有効な機能の少なくとも１つを含む方法。
【請求項２】
前記情報は、前記デバイスが有効化／無効化することを許可されている機能に関連せしめられるフラグを含む、請求項１に記載の方法。
【請求項３】
前記情報は、前記機能のデフォルト状態である機能に関連せしめられるフラグを含む、請求項１に記載の方法。
【請求項４】
少なくとも１つのネットワーク・セキュリティ実施ノード機能が有効または無効のいずれかとなるよう、前記デバイスによって要求することをさらに含む、請求項１に記載の方法。
【請求項５】
少なくとも１つの機能を有効化または無効化する前記要求が通ったか否かの情報を受信することさらに含む、請求項４に記載の方法。
【請求項６】
前記情報は、前記ネットワーク・セキュリティ実施ノードから受信される、請求項１に記載の方法。
【請求項７】
前記情報は、前記ネットワーク・セキュリティ実施ノードのマネージャから受信される、請求項１に記載の方法。
【請求項８】
前記方法は、前記ノードによってネットワーク・セキュリティ実施ノードの発見手順を開始する初期動作をさらに含み、前記情報を要求することは、発見されたネットワーク・セキュリティ実施ノードへ前記要求を行うことを含む、請求項１に記載の方法。
【請求項９】
前記受信した情報は、前記デバイスによって用いられる通信プロトコルをさらに含む、請求項１に記載の方法。
【請求項１０】
少なくとも１つのネットワーク・セキュリティ実施ノード機能が無効化されるように、前記デバイスによって要求するステップと、
前記ネットワーク・セキュリティ実施ノードを通じて通信を行うステップと、
前記通信の終了時に、前記少なくとも１つのネットワーク・セキュリティ実施ノード機能が再度有効化されるように要求するステップと、
をさらに含む、請求項１に記載の方法。
【請求項１１】
請求項１に記載の方法であって、媒体に格納されると共に該方法を遂行するためにプロセッサで実行されるコンピュータプログラムに一体化される、方法。
【請求項１２】
ワイヤレス・ネットワーク・インターフェースと、ネットワーク・セキュリティ実施ノードと通信するように動作可能であるデータ・プロセッサとを備える装置であって、該装置はさらに、前記プロセッサに組み合わされる送信機であって、少なくとも１つのサポートされる有効な機能を決定することを求める要求を前記ネットワーク・セキュリティ実施ノードに送信するように構成される送信機を備える、装置。
【請求項１３】
少なくとも１つのネットワーク・セキュリティ実施ノード機能を有効または無効のいずれかとすることを求める要求を送信するようにさらに構成された前記送信機を備える、請求項１２に記載の装置。
【請求項１４】
ネットワーク・セキュリティ実施ノードの発見手順を行うように構成された受信機をさらに備え、前記データ・プロセッサは、発見されたネットワーク・セキュリティ実施ノードと前記通信を開始するようにさらに構成される、請求項１２に記載の装置。
【請求項１５】
前記データ・プロセッサは、前記要求に応答して受信された情報にしたがって、少なくとも１つの通信プロトコルを選択するようにさらに構成される、請求項１２に記載の装置。
【請求項１６】
前記データ・プロセッサはさらに、少なくとも１つのネットワーク・セキュリティ実施手段の機能が無効となることを求める要求を送信し、その後、前記ネットワーク・セキュリティ実施ノードを通じて通信を行うように構成される、請求項１２に記載の装置。
【請求項１７】
前記データ・プロセッサは、前記通信の終了時に、前記少なくとも１つのネットワーク・セキュリティ実施ノード機能が再度有効となることを求める要求を送信するようにさらに構成される、請求項１６に記載の装置。
【請求項１８】
前記要求に応答して、ネットワーク・セキュリティ実施ノードでサポートされる有効な機能の少なくとも１つを記述する情報を受信するように構成された受信機をさらに備える、請求項１２に記載の装置。
【請求項１９】
前記要求に応答して、ネットワーク・セキュリティ実施ノードで有効化された又は無効化された機能を記述する情報を受信するように構成された受信機をさらに備える、請求項１２に記載の装置。
【請求項２０】
ネットワーク・セキュリティ実施ノードの機能に関する情報を求める第１の要求をデバイスから受信することと、
ネットワーク・セキュリティ実施ノードでサポートされる有効な機能の少なくとも１つを記述する情報を前記デバイスへ送信することと、
を含む、方法。
【請求項２１】
前記デバイスからの第２の要求を受信することに応答して、前記ネットワーク・セキュリティ実施ノードによって対応されるデバイス通信のための、少なくとも１つのネットワーク・セキュリティ実施機能を選択的に有効または無効とすることを含む、請求項２２記載の方法。
【請求項２２】
送信することは、フラグを、前記デバイスが前記機能を有効化又は無効化することを許可されているか否かを該デバイスに知らせる機能に関連づけることを含む、請求項２０に記載の方法。
【請求項２３】
送信することは、フラグを、前記機能のデフォルト状態を前記デバイスに知らせる機能に関連づけることを含む、請求項２０に記載の方法。
【請求項２４】
少なくとも一つのファイアウォール機能を有効化又は無効化するための前記要求が成功したかどうかを前記デバイスに知らせることを含む、請求項２１に記載の方法。
【請求項２５】
送信することは、前記ネットワーク・セキュリティ実施ノードによって行われる、請求項２０に記載の方法。
【請求項２６】
送信することは、前記ネットワーク・セキュリティ実施ノードのマネージャによって行われる、請求項２０に記載の方法。
【請求項２７】
前記デバイスによって使用される通信プロトコルを少なくとも一つ選択することを含む、請求項２０に記載の方法。
【請求項２８】
媒体に格納されると共に前記方法を遂行するためにプロセッサで実行されるコンピュータープログラムに一体化される請求項２０に記載の方法。
【請求項２９】
ネットワーク・インターフェースと、前記ネットワーク・インターフェースを通じてデバイスと通信するように動作可能であるデータ・プロセッサとを含む装置であって、前記データ・プロセッサは、前記装置のネットワーク・セキュリティ実施能力に関する情報を求める、前記デバイスからの第１の要求に応答して、ネットワーク・セキュリティ実施の少なくとも１つのサポートされる有効な機能を示す情報を前記デバイスに送信する装置。
【請求項３０】
前記データ・プロセッサは、前記デバイスからの第２の要求にさらに応答して、少なくとも１つのネットワーク・セキュリティ実施機能を選択的に有効または無効とする、請求項２９に記載の装置。
【国際調査報告】
2008533556.tif 000009
2008533556.tif 000010
2008533556.tif 000011
2008533556.tif 000012