(57)【特許請求の範囲】
【請求項１】
コンピュータネットワークインフラストラクチャ内の安全保護されたコンピュータシステム間の通信方法であって、一群の処理コンピュータシステムのうちの種々の処理コンピュータシステム間でデータパケットが伝送され、このような伝送が少なくとも１つのブローカコンピュータシステムを用いて実行され、前記データパケットが少なくとも１つの中継システムを介してルーティングされ、前記少なくとも１つの中継システムが前記データパケットの伝送経路上の前記ブローカコンピュータシステムの上流又は下流に接続されており、
前記一群の処理コンピュータシステムのうちの全ての処理コンピュータシステムが、少なくとも一時的に、この方法のために使用される所定のネットワークポートを、外部からの接続確立が許可されないように、閉じられた状態に保ち、したがって、これらのネットワークポートを用いた、対応するそれぞれの処理コンピュータシステムへのネットワークを介したアクセスが防止され、
前記中継システムが、この方法のために使用される所定のネットワークポートを、少なくとも前記ブローカコンピュータシステムからは前記中継システムへの接続確立が許可されないように、少なくとも前記ブローカコンピュータシステムに向かって閉じられた状態に保ち、前記ブローカコンピュータシステムには前記中継システムが上流又は下流で接続されており、したがって、これらのネットワークポートを用いた、前記中継システムへのネットワークを介した対応するアクセスが防止され、
前記ブローカコンピュータシステムにデータパケットを記憶するため、又は前記ブローカコンピュータシステムから前記データパケットを取り出すために、処理コンピュータシステム又は前記中継システムが、前記ブローカコンピュータシステムへの接続を確立し、
前記中継システム又は処理コンピュータシステムへの前記データパケットの前記伝送が、
−  前記中継システム又は前記処理コンピュータシステムに所定のデータシーケンスを送信するステップであり、前記中継システム又は前記処理コンピュータシステムの前記所定のネットワークポートが閉じられており、前記データシーケンスが、前記中継システム又は前記処理コンピュータシステムの１つ又は多数のネットワークポートを、所定の順序でアドレッシングする、ステップと、
−  送信された前記データシーケンスを、前記中継システム内又は前記処理コンピュータシステム内で予め定義されたシーケンスとの整合について確認するステップ、並びに、
−  送信された前記データシーケンスの前記確認が肯定的である場合に、前記中継システム又は前記処理コンピュータシステムによる前記データパケットの前記伝送をトリガするステップであり、前記中継システム自体又は前記処理コンピュータシステム自体が、前記ブローカコンピュータシステムへの接続を確立し、前記データパケットを取り出す、ステップと,
を含む、方法。
【請求項２】
前記中継システムが、前記データパケットの前記伝送経路上の処理コンピュータシステムの上流又は下流に直接に接続されており、前記中継システムが、この処理コンピュータシステムに向かって開いた少なくとも１つのネットワークポートを有し、そのため、前記中継システムにデータパケットを記憶するため、又は前記中継システムから前記データパケットを取り出すために、この処理コンピュータシステムが、前記中継システムへの接続を確立することができる、請求項１に記載の方法。
【請求項３】
前記データパケットがそれを介してルーティングされる前記中継システムが、前記データパケットの前記伝送経路上の２つのブローカコンピュータシステム間に接続されており、前記中継システムが、前記中継システムが間に接続された前記ブローカコンピュータシステムのうちの少なくとも一方のブローカコンピュータシステムに向かってこの方法のために使用される所定のネットワークポートを閉じられた状態に保つ、請求項１に記載の方法。
【請求項４】
前記一群の処理コンピュータシステムのうちの全部及び／又は前記中継システムは、全てのネットワークポートを恒久的に又は一時的に閉じられた状態に保つ、請求項１から３のいずれか一項に記載の方法。
【請求項５】
前記データパケットが、
−  前記中継システムの上流の前記伝送経路上では、少なくとも１つの第１の伝送プロトコルを用いて伝送され、
−  前記中継システムの下流の前記伝送経路上では、前記少なくとも１つの第１の伝送プロトコルとは異なる少なくとも１つの第２の伝送プロトコルを用いて伝送される、
請求項１から４のいずれか一項に記載の方法。
【請求項６】
前記データパケットが、２つの処理コンピュータシステム間の対応するそれぞれの伝送経路上で、方向に依存して異なる伝送プロトコルを介して伝送される、請求項１から５のいずれか一項に記載の方法。
【請求項７】
前記データパケットが、
−  前記中継システムの上流の前記伝送経路では、少なくとも１つの第１ネットワークを用いて伝送され、
−  前記中継システムの下流の前記伝送経路上では、少なくとも１つの第２ネットワークを用いて伝送され、前記第２ネットワークは、前記少なくとも１つの第１ネットワークと異なる、
請求項１から６のいずれか一項に記載の方法。
【請求項８】
前記データパケットが、前記データパケットの伝送経路の中で互いに直接接続された複数の中継システムを介してルーティングされ、各々の場合に２つの中継システムの間で、該中継システムのうちの一方は他方の中継システムに向かって開かれた少なくとも１つのネットワークポートを有し、該中継システムへのアクセスは、前記データパケットを転送するための該開かれたネットワークポートを用いて実施される、請求項１から７のいずれか一項に記載の方法。
【請求項９】
前記一群の処理コンピュータシステムは、
−  １つのキーコンピュータシステム、
−  １つのアクセスコンピュータシステム、及び
−  １つのターゲットコンピュータシステム
を有し、前記方法が、さらなるステップ、すなわち
−  前記キーコンピュータシステム内において、前記ターゲットコンピュータシステムへの安全保護されたアクセスのためのセキュリティファイルを生成するステップ、
−  前記少なくとも１つのブローカコンピュータシステム及び前記少なくとも１つの中継システムを用いて、前記セキュリティファイルを、定義された通信経路に沿って、前記キーコンピュータシステムから前記アクセスコンピュータシステムに伝送するステップ、
−  前記アクセスコンピュータシステムによって、前もって要求された認証情報を、前記セキュリティファイルを使用して確認するステップ、並びに
−  前記アクセスコンピュータシステムによる前記認証情報の前記確認に成功した場合に、前記アクセスコンピュータシステムを用いてアクセスするために、前記ターゲットコンピュータシステムの選択的ネットワークポートのロックを解除するステップ
を含む、請求項１から８のいずれか一項に記載の方法。
【請求項１０】
前記一群の処理コンピュータシステムはさらに、少なくとも１つの許可コンピュータシステムを有し、前記方法が、さらなるステップ、すなわち
−  前記セキュリティファイルを前記許可コンピュータシステムに伝送するステップ、
−  前記許可コンピュータシステム内において、所定のアクセス情報によって前記セキュリティファイルを補足し、及び／又は前記セキュリティファイルに署名をするステップ、並びに
−  前記通信経路上で、前記セキュリティファイルを、前記アクセスコンピュータシステムに向かってさらに伝送するステップ
を含む、請求項９に記載の方法。
【請求項１１】
コンピュータネットワークインフラストラクチャであって、
−  一群の処理コンピュータシステムと、
−  少なくとも１つのブローカコンピュータシステムと、
−  少なくとも１つの中継システムと
を備え、
所定の伝送経路に沿って、多数の処理コンピュータシステム間で、前記ブローカコンピュータシステム及び前記中継システムを用いてデータパケットが伝送可能であるように構成されており、
前記中継システムが、前記データパケットの前記伝送経路上の前記ブローカコンピュータシステムの上流又は下流に接続されており、
全ての処理コンピュータシステムが、それぞれアクセス制御ユニットを備え、前記アクセス制御ユニットが、所定のネットワークポートを、外部からの接続確立が許可されないように、少なくとも一時的に閉じられた状態に保つように構成されており、したがって、これらのネットワークポートを用いた、それぞれの処理コンピュータシステムへのネットワークを介したアクセスが防止され、
前記中継システムがアクセス制御ユニットを備え、前記アクセス制御ユニットが、少なくとも前記ブローカコンピュータシステムからは前記中継システムへの接続確立が許可されないように、前記所定のネットワークポートを、少なくとも、前記中継システムが上流又は下流に接続された前記ブローカコンピュータシステムに向かって、閉じられた状態に保つように構成されており、したがって、これらのネットワークポートを用いた、前記中継システムへのネットワークを介した対応するアクセスが防止され、
前記ブローカコンピュータシステムにデータパケットを記憶するため、又は前記ブローカコンピュータシステムから前記データパケットを取り出すために、前記処理コンピュータシステム及び前記中継システムが、前記ブローカコンピュータシステムへの接続を確立するように構成され、
前記コンピュータネットワークインフラストラクチャは、
−  前記中継システム又は前記処理コンピュータシステムに所定のデータシーケンスを送信し、前記中継システム又は前記処理コンピュータシステムの前記所定のネットワークポートが閉じられており、前記データシーケンスが、前記中継システム又は前記処理コンピュータシステムの１つ又は多数のネットワークポートを、所定の順序でアドレッシングし、
−  送信された前記データシーケンスを、前記中継システム内又は前記処理コンピュータシステム内で予め定義されたシーケンスとの整合について確認し、並びに、
−  送信された前記データシーケンスの前記確認が肯定的である場合に、前記中継システム又は前記処理コンピュータシステムによる前記データパケットの前記伝送をトリガし、前記中継システム自体又は前記処理コンピュータシステム自体が、前記ブローカコンピュータシステムへの接続を確立し、前記データパケットを取り出す、
ことにより、データパケットが前記中継システム又は処理コンピュータシステムへ伝送可能にするよう構成される、  コンピュータネットワークインフラストラクチャ。
【請求項１２】
前記中継システムが、前記データパケットの伝送経路上で処理コンピュータシステムのすぐ上流又は下流に接続されており、この処理コンピュータシステムに向かって開いた少なくとも１つのネットワークポートを前記中継システムが有するように、前記中継システムの前記アクセス制御ユニットが構成されており、そのため、前記中継システムにデータパケットを記憶するため、又は前記中継システムから前記データパケットを取り出すために、この処理コンピュータシステムが、前記中継システムへの接続を確立することができる、請求項１１に記載のコンピュータネットワークインフラストラクチャ。
【請求項１３】
少なくとも２つのブローカコンピュータシステムを備え、前記中継システムが、前記データパケットの前記伝送経路上の前記ブローカコンピュータシステム間に接続されており、前記中継システムの前記アクセス制御ユニットが、少なくとも、前記中継システムが間に接続された前記ブローカコンピュータシステムのうちの一方のブローカコンピュータシステムに向かって前記所定のネットワークポートを閉じられた状態に保つように構成されている、請求項１１に記載のコンピュータネットワークインフラストラクチャ。
【請求項１４】
前記処理コンピュータシステムのそれぞれの前記アクセス制御ユニット及び／又は前記中継システムの前記アクセス制御ユニットは、全てのネットワークポートを恒久的に又は一時的に閉じられた状態に保つよう構成される、請求項１１乃至１３のいずれか一項に記載のコンピュータネットワークインフラストラクチャ。
【請求項１５】
前記コンピュータネットワークインフラストラクチャが、前記伝送経路上において、前記中継システムの上流と、前記中継システムの下流とで、異なる伝送プロトコルによってデータパケットが伝送可能であるように構成された、請求項１１から１４のいずれか一項に記載のコンピュータネットワークインフラストラクチャ。
【請求項１６】
前記データパケットの伝送経路の中で互いに直接接続された複数の中継システムを有し、前記中継システムの前記アクセス制御ユニットは、それぞれ２つの中継システムの間で、一方の中継システムが他方の中継システムに向かって開かれた少なくとも１つのネットワークポートを有し、したがって、該中継システムへのアクセスはデータパケットの伝送のための該開かれたネットワークポートを用いて可能である、請求項１１から１５のいずれか一項に記載のコンピュータネットワークインフラストラクチャ。
【請求項１７】
前記一群の処理コンピュータシステムが、少なくとも
−  １つのキーコンピュータシステム、
−  １つのアクセスコンピュータシステム、及び
−  １つのターゲットコンピュータシステム
を含み、
前記ターゲットコンピュータシステムへの安全保護されたアクセスのためのセキュリティファイルを生成し、前記少なくとも１つのブローカコンピュータシステム及び前記少なくとも１つの中継システムを用いて、前記セキュリティファイルを、所定の通信経路に沿って、前記アクセスコンピュータシステムに伝送するように、前記キーコンピュータシステムが構成されており、
前記アクセスコンピュータシステム上への認証情報の入力を促し、この認証情報を、前記セキュリティファイルを使用して確認するように、前記アクセスコンピュータシステムが構成されており、
前記アクセスコンピュータシステムを用いた前記認証情報の確認に従って、前記アクセスコンピュータシステムを用いて前記ターゲットコンピュータシステムにアクセスするために、選択的ネットワークポートのロックを解除するように、前記ターゲットコンピュータシステムが構成されている、
請求項１１から１６のいずれか一項に記載のコンピュータネットワークインフラストラクチャ。
【請求項１８】
前記一群の処理コンピュータシステムが、少なくとも１つの許可コンピュータシステムをさらに備え、前記少なくとも１つの許可コンピュータシステムが、前記許可コンピュータシステムへの前記セキュリティファイルの伝送の後に、所定のアクセス情報によって前記セキュリティファイルを補足し、及び／又は前記セキュリティファイルに署名をし、並びに、前記通信経路上で、前記セキュリティファイルをさらに伝送するように構成されている、請求項１７に記載のコンピュータネットワークインフラストラクチャ。
【請求項１９】
請求項１から１０の少なくとも一項に記載の方法を実行するように構成された、請求項１１から１８のいずれか一項に記載のコンピュータネットワークインフラストラクチャ。
【請求項２０】
少なくとも１つのコンピュータシステム上で実行されるように構成されたコンピュータプログラムであって、実行されたときに、請求項１から１０のいずれか一項に記載の方法を実行するコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータネットワークインフラストラクチャ内の安全保護されたコンピュータシステム間の通信方法、対応するコンピュータネットワークインフラストラクチャ、及び該方法を実行するためのコンピュータプログラム製品に関する。
【背景技術】
【０００２】
分散型コンピュータネットワーク及びいわゆるコンピュータネットワークインフラストラクチャはそれぞれ、データ接続を介して互いに通信することができる多数のコンピュータシステムを表す。そこでは、許可されていない者がアクセス可能性を有するべきではない機密内容が、部分的に交換される。特に、サーバ・クライアント・トポロジを含むコンピュータネットワークインフラストラクチャでは、機密データ、例えば顧客データ又は利用者データが、クライアントとサーバの間で交換され、そこでは、前記データへの第三者アクセスが抑制されなければならない。
【０００３】
データ保護を高める従来のセキュリティ戦略は、管理者などの第三者に対する規定（守られるべきプロセス）又は規制（ルール又は禁止事項）を含み、それによって、機密データへの制限されたアクセス又は制御されたアクセスだけが許可される。
【０００４】
他方、コンピュータシステムへの物理的及び／又は論理的アクセスを防ぎ、許可された人だけにアクセスを制限する技術的対策が、コンピュータシステムに又はコンピュータシステム内に提供される。
【０００５】
しかしながら、データ保護を向上させるこのようなアプローチは、データセキュリティを促進するが、それらは普通、機密データへのアクセスを防ぐ強制的な対策を構成しないという欠点も伴う。
【０００６】
さらに、一般的なコンピュータネットワークインフラストラクチャは、互いの間のデータ交換又はデータ通信のために、アクセス可能性、例えばネットワークを介したアクセス可能性、又はコンピュータシステム内のサービスによるアドレッシング能力の可能性を伴って機能し、このアクセス可能性及びアドレッシング可能性は、コンピュータネットワークインフラストラクチャを、外部攻撃に対して脆弱にする。サービスがアドレッシング可能であるためには、コンピュータシステムの１つ又は多数のネットワークポート上に実行中のプログラムが必要とされる。この実行中のプログラムは、ネットワークを介した外部攻撃に対する潜在的なセキュリティギャップを構成する。
【０００７】
ここで、ある種の状況下では、コンピュータシステムにアクセスした攻撃者（クラッカ）が、おそらくはコンピュータネットワークインフラストラクチャ内のさらなるコンピュータシステムを介して攻撃を広げ、他のコンピュータシステム上で攻撃を続けることができる危険性がある。他方、個々のコンピュータシステム間の情報の通信及び処理のため、コンピュータネットワークインフラストラクチャ内には通信構造が必要とされる。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
本発明の目的は、コンピュータネットワークインフラストラクチャ内のコンピュータシステムへの攻撃に対する保護を、技術的対策によって向上させること、コンピュータネットワークインフラストラクチャ内の分散型コンピュータシステムへの攻撃の影響又は広がりを最小限に維持すること、及び、それにもかかわらず、コンピュータネットワークインフラストラクチャ内でのデータの満足のいく安全な転送を、特に個々のコンピュータシステムのイベント制御において保証する通信構造を提案することにある。
【課題を解決するための手段】
【０００９】
第１の態様では、この目的が、請求項１に基づく、コンピュータネットワークインフラストラクチャ内の安全保護されたコンピュータシステム間の通信方法によって達成される。
【００１０】
この方法では、一群の処理コンピュータシステムからの複数の処理コンピュータシステム間でデータパケットが伝送され、このような伝送が、少なくとも１つのブローカコンピュータシステムを用いて実行される。データパケットは、少なくとも１つの中継システムを介してルーティングされ、この少なくとも１つの中継システムは、データパケットの伝送経路上のブローカコンピュータシステムの上流又は下流に接続される。
【００１１】
有利には、この一群の処理コンピュータシステムからの全ての処理コンピュータシステムが、少なくとも一時的に、この方法のために使用される所定のネットワークポートを、外部からの接続確立が許可されないように閉じられた状態に保ち、したがって、これらのネットワークポートを用いた、対応するそれぞれの処理コンピュータシステムへのネットワークを介したアクセスが防止される。有利には、中継システムが、この方法のために使用される所定のネットワークポートを、少なくともブローカコンピュータシステムからは中継システムへの接続確立が許可されないように、少なくともブローカコンピュータシステムに向かって、閉じられた状態に保ち、ブローカコンピュータシステムには中継システムが上流又は下流で接続されており、したがって、これらのネットワークポートを用いた、中継システムへのネットワークを介した対応するアクセスが防止される。それにもかかわらず、ブローカコンピュータシステムにデータパケットを記憶するため、又はブローカコンピュータシステムからデータパケットを取り出すために、処理コンピュータシステム又は中継システムが、ブローカコンピュータシステムへの接続を確立することができる。
【００１２】
このような通信方法では、処理コンピュータシステムが、データパケットの相互伝送及び処理を担う。データパケットの処理は、対応するそれぞれの処理コンピュータシステム内で局所的に実施される。データパケットは、コンピュータネットワークインフラストラクチャ内の送信側処理コンピュータシステムから受信側処理コンピュータシステムに、少なくとも１つのブローカコンピュータシステム並びに少なくとも１つの中継システムを介してルーティングされる。中継システムは、データパケットの伝送経路上のブローカコンピュータシステムの上流又は下流に接続される。
【００１３】
ブローカコンピュータシステムは、データパケットのブローカの役目を果たし、コンピュータネットワークインフラストラクチャ内の伝送経路に沿ってデータを転送するためにブローカコンピュータシステム上にデータパケットを記憶することができ、さらなる移送のためにブローカコンピュータシステムからデータパケットを取り出すことができる。
【００１４】
中継システムも（ブローカコンピュータシステムとちょうど同じように）、コンピュータネットワークインフラストラクチャ内でのデータパケットの転送を実行する。用語「中継システム」は、この方法の文脈における中継サーバ、おそらくは変更されたルータなどとして設計することができる転送システムであると理解すべきである。本明細書に記載された方法の一コンステレーションでは、中継システムの主な機能が、有利には、中継システムがブローカコンピュータシステムから受け取ったデータパケット、又は中継システムがブローカコンピュータシステムから取り出したデータパケットを、前記ブローカコンピュータシステムの下流に接続されたその中継システムが、コンピュータネットワークインフラストラクチャ内の別のコンピュータシステムに直接に伝送することである。本明細書に記載された方法の代替のコンステレーション又は追加のコンステレーションでは、中継システムの主な機能が、有利には、中継システムが別のコンピュータシステムから受け取ったデータパケット、又は中継システムが別のコンピュータシステムから取り出したデータパケットを、前記コンピュータシステムの下流に接続されたその中継システムが、その中継システムの下流に接続された、コンピュータネットワークインフラストラクチャ内のブローカコンピュータシステムに直接に伝送することである。
【００１５】
本明細書に記載された方法では、前記一群の処理コンピュータシステムからの全てのコンピュータシステムが、閉じられたネットワークポート有するカプセル化されたシステムとして機能する。少なくともある種の動作条件下では（有利には、本明細書に記載された方法を実行している間は恒久的に）、これらのコンピュータシステムへのネットワークを介したアクセスが不可能であるか、又はかなり複雑である。
【００１６】
用語「所定のネットワークポート」は、セキュリティに関連した全てのネットワークポートが、又はセキュリティに関連した選択されたネットワークポートだけ、例えばこの方法のために使用されるネットワークポートだけが、それぞれの処理コンピュータシステム内で恒久的に又は一時的に閉じられていることを意味する。
【００１７】
このことは、アドレッシング可能性又は接続確立のために対応するそれぞれのネットワークポートを外側からリスニングし、したがって（例えばバッファオーバフロー又はいわゆるサービス不能攻撃による）潜在的なセキュリティギャップを提示するプログラム又はサービスを、処理コンピュータシステム上で構成し、開始し、又は要求する必要がないという点で有利である。したがって、この文脈において、用語「閉じられたネットワークポート」は、それらのポートが「リスニングポート」ではないことを意味し、すなわち、外部からの接続確立が許可されないことを意味する。第三者（クラッカ）は、外部からネットワークを介して、各処理コンピュータシステムに自身を証明したり、例えばＵＮＩＸ（登録商標）ベースのシステムにおけるセキュアシェル（ｓｅｃｕｒｅ  ｓｈｅｌｌ：ＳＳＨ）デーモンによって、ログインしたり、または、処理コンピュータシステム上で特殊な動作を実行したりすることができない。
【００１８】
それにもかかわらず、対応するユーザグループに対して（例えばセキュリティ担当職員に対して）は、対応するそれぞれの処理コンピュータシステムへの局所アクセスを構成することができる。しかしながら、その他の第三者に対しては、対応する処理コンピュータシステムへの局所アクセスが防止される。
【００１９】
まさに同様に、中継システムも、少なくともブローカコンピュータシステムに向かって閉じられた、説明されたタイプの閉じられたネットワークポートを有するカプセル化されたシステムとして機能する。中継システムは、この方法に関して、前記ブローカコンピュータシステムの上流又は下流に接続されている。その結果、（少なくとも上流又は下流に接続されたブローカコンピュータシステムからの）ネットワークを介した中継システムへのアクセスは、少なくてもある種の動作条件下では（有利には、さらに、本明細書に記載された方法を実行している間は恒久的に）不可能である。中継システム内のセキュリティに関連した全てのネットワークポートを、又はセキュリティに関連した選択されたネットワークポートだけを、恒久的に又は一時的に閉じることもできる。
【００２０】
したがって、記載された方法の処理コンピュータシステム及び中継システムのそれぞれのこのカプセル化によって、ネットワークを介した攻撃は複雑になる。これは、決定的な攻撃オプション、すなわち対応するそれぞれのシステムのリスニングネットワークポート上の実行中サービス又は実行中プログラムが防止されるためである。
【００２１】
加えて、中継システムのカプセル化は、伝送経路上での、中継システムの上流に接続されたコンピュータシステムから中継システムの下流に接続されたコンピュータシステムへの攻撃の広がりを複雑にする。中継システムは、ある種のセキュリティハードル又は遮断物であり、中継システム及び／又は対応するそれぞれの伝送経路上の下流に接続されたコンピュータシステムへの（無許可の）アクセスは、中継システムの閉じられたネットワークポート上にアドレッシング可能なプログラム又はサービスがないことによって、かなりより複雑になる。記載された方法では、中継システムが、一種の「ルータ」の働きをする。しかしながら、この「ルータ」は、従来のルータ又はルーティングシステムとは対照的に、閉じられたネットワークポート上でのネットワークを介した外部からの接続確立を許可しない。したがって、中継システムは、無許可の侵入からの効果的な保護を提供する。この背景により、中継システムを、「アンチルータ」と呼ぶことができる。
【００２２】
このように、記載された方法では、特に、対応するそれぞれの処理コンピュータシステム上で局所的に処理されるセキュリティに関連したデータが、処理コンピュータシステムに対する攻撃から保護される。加えて、中継システムが、コンピュータネットワークインフラストラクチャ内に分散したコンピュータシステムへ攻撃が広がることを防ぎ又は遮断する。
【００２３】
しかしながら、コンピュータネットワークインフラストラクチャ内でのデータパケットの通信及び転送のため、処理コンピュータシステム及び中継システムとは対照的に、この方法は、前記少なくとも１つのブローカコンピュータシステムへの外部アクセスを許可する。ブローカコンピュータシステムは、アドレッシング可能な少なくとも１つの開いた（リスニング）ネットワークポートを有する「開いた」システムとして、ネットワークを介してアクセス可能である。このことは、ブローカコンピュータシステム上でプログラムが実行中であり、及び／又はアプリケーションが準備されており、そのため、記載された方法に従って（「確立された」接続を介して）ブローカコンピュータシステムにデータパケットを記憶するため、又はブローカコンピュータシステムからデータパケットを取り出すために、処理コンピュータシステム又は前記少なくとも１つの中継システムがそれぞれ、ブローカコンピュータシステムにアクセスすることができ、ブローカコンピュータシステムへの接続を確立することができることを意味する。セキュリティに関して、このような「開いた」ブローカコンピュータシステムは、特に安全保護された伝統的なコンピュータシステムとまさに同様に評価される。
【００２４】
したがって、前記少なくとも１つのブローカコンピュータシステムは、処理コンピュータシステムとそれ自体はカプセル化されている中継システムとの間の通信のための（安全保護されているがアドレッシングが可能な）ブローカの役目を果たす。
【００２５】
本明細書に記載された方法の文脈では、有利には、データパケットが、対応するそれぞれの処理コンピュータシステム内で所定のプロセスを実行するための情報を含むことができる。このようなプロセスは例えば、
−  伝送されたデータを記憶し及び／若しくは処理すること、
−  プログラムを再開すること、
−  バックアップデータを回復すること、又は
−  処理コンピュータシステムへの物理アクセス若しくはＳＳＨアクセスに対する命令
を含むことができる。
【００２６】
本明細書に記載された方法を用いた処理コンピュータシステムへの安全保護されたアクセスについては、特定の一態様において後により詳細に説明される。
【００２７】
言うまでもなく、上述のプロセス、動作及び命令の対応する組合せが可能である。コンピュータネットワークインフラストラクチャ内の処理コンピュータシステム間の伝送経路に沿って、データパケットをある種の情報によって補足することができ、
そのため、ターゲットコンピュータシステムのイベント制御又は処理コンピュータシステム間での情報の伝送、並びにコンピュータシステムを制御するためのプロセス中における情報の柔軟な追加が可能にされる。
【００２８】
記載された方法では、データパケットが、別の処理コンピュータシステムへの処理コンピュータシステムの純粋なコマンドとは基本的に異なる。コマンドは、そのコマンドの評価のために、受信側処理コンピュータシステムの側に、連続的に実行中で、外部に開いた、したがって攻撃を受けやすいプログラム、又は対応するサービスを必要とするためである。しかしながら、上で説明されたとおり、本発明の方法では、対応する処理コンピュータシステムの開いた（リスニング）ネットワークポートへのネットワークを介したアクセスを欠くため、そのようなプログラム又は対応するサービスを省くことができる。本明細書に記載されたコンピュータネットワークインフラストラクチャの中継システムに関しても同じことが言える。
【００２９】
処理コンピュータシステム又は中継システムへのデータパケットの伝送のため、ブローカコンピュータシステム内の選択されたデータパケットを要求し、そのデータパケットを、ブローカコンピュータシステムから処理コンピュータシステム又は中継システムに自動化された方式で伝送するプロセスをトリガすることができる。有利には、このブローカコンピュータシステムから処理コンピュータシステム又は中継システムへのデータパケットの自動化された伝送は、第三者が外部からの影響可能性を一切有さず、したがって１つの処理コンピュータシステム又は中継システムがデータパケットを介して操作される危険性が排除されるよう設計される。例えばデータパケットを暗号化することができる。データパケットの部分又はデータパケット全体にも（異なる）暗号化を多数回、適用することもできる。対応するそれぞれの受信側コンピュータシステムでデータパケットの妥当性を検査することができ、対応するプロセスを実行することができる。データパケットの妥当性は、データパケットに付けられた署名によって検査することができる。
【００３０】
考えられる１つのコンステレーションでは、中継システムが、データパケットの伝送経路上の処理コンピュータシステムのすぐ上流又は下流に接続されている（すなわち、さらなるブローカコンピュータシステムが間に接続されていない）。この場合、中継システムは、この処理コンピュータシステムに向かって開いた少なくとも１つのネットワークポートを有し、そのため、中継システムにデータパケットを記憶するため、又は中継システムからデータパケットを取り出すために、この処理コンピュータシステムが、中継システムへの接続を確立することができる。これが必要なのは、（閉じられたネットワークポートを有する）それ自体はカプセル化された処理コンピュータシステムと中継システムとの間の通信をともかくも可能にするためである。しかしながら、中継システムは、上で説明されたとおり、決定的なネットワークポートを、データパケットの伝送経路上の他のブローカコンピュータシステムに向かって閉じられた状態に保つ。したがって、このコンステレーションでは、中継システムが、それぞれ、開いたシステムと閉じられたシステムの混合システム、すなわち「ハイブリッド」システムである。
【００３１】
有利には、別のコンステレーションに基づく記載されたタイプの方法では、データパケットがそれを介してルーティングされる中継システムが、データパケットの伝送経路上の２つのブローカコンピュータシステム間に接続されており、中継システムが、この方法のために使用される所定のネットワークポートを、中継システムがその間接続されたブローカコンピュータシステムのうちの一方（又は両方）のブローカコンピュータシステムに向かって、上で記載された意味で閉じられた状態に保つ。したがって、このような通信方法では、少なくとも２つのブローカコンピュータシステムが提供され、１つのブローカコンピュータシステムが、データパケットの伝送経路上の中継システムの前に配置され、１つのブローカコンピュータシステムが中継システムの後ろに配置される。ネットワークポートが、その上流及び下流に接続された全てのブローカコンピュータシステムに向かって閉じられている場合、中継システムは、ルーティング機能は提供するが、ネットワークを介した外部からのいかなる接続確立も許可しない。したがって、この中継システムは、（関与する全てのブローカコンピュータシステムに基づく）全ての伝送方向の無許可の侵入からの効果的な保護である。
【００３２】
一般に、コンピュータネットワークインフラストラクチャ内では、コンピュータシステム間でのデータパケットの伝送が伝送プロトコルを使用して実施される。１つ又は多数の方向に閉じられたネットワークポートと、アドレッシング可能な（「リスティング」）ネットワークポートを有するブローカコンピュータシステムとを備える、本明細書に記載された中継システム又は処理コンピュータシステムのトポロジでは、データパケットがコンピュータシステムに送信されるのか（例えばアドレッシング可能な処理コンピュータシステム又は中継システムからアドレッシング可能なブローカコンピュータシステムへの伝送の場合）、又はデータパケットがコンピュータシステムから取り出されるのか（例えばアドレッシング可能なブローカコンピュータシステムから処理コンピュータシステム又は中継システムへの伝送の場合）によって、伝送プロトコルの使用が異なる効果を生む。このことは、データパケットを「取り出す」シナリオとデータパケットを「送信する」異なるシナリオとが、伝送プロトコルでは異なって提示されることを意味する。したがって、伝送プロトコルへの攻撃は、異なるシナリオに対する異なるセキュリティ態様の操作を必要とし、異なるセキュリティ態様の操作を必要とすることは、セキュリティを高める。
【００３３】
セキュリティをさらに高めるためには、データパケットが、
−  中継システムの前の伝送経路上では、少なくとも１つの第１の伝送プロトコルを用いて伝送され、
−  中継システムの後の伝送経路上では、この少なくとも１つの第１の伝送プロトコルとは異なる少なくとも１つの第２の伝送プロトコルを用いて伝送される
ことが好ましい。
【００３４】
これは、単一の伝送プロトコルにおけるセキュリティ上の問題によってセキュリティ機構に障害が発生することを防ぐ別のセキュリティ機構を達成する。攻撃が成功するためには、前記少なくとも１つのブローカコンピュータシステム及び前記少なくとも１つの中継システムを用いた処理コンピュータシステム間の伝送経路に関して、多数の異なる伝送プロトコルを攻撃しなければならず、又は、多数の異なる伝送プロトコルが攻撃可能でなければならない。このような攻撃は、単一の伝送プロトコルを攻撃するよりも、それぞれ、かなり成功しにくく、消耗も大きい。このことは、単一の伝送プロトコルだけを使用するよりも高いセキュリティを保証する。
【００３５】
したがって、記載された方法に基づく中継システムは、ネットワークを介した外部からの接続確立を否定することによるセキュリティハードル（中継システムよりも先への攻撃の遮断）を提示するだけでなく、中継システムの上流の伝送経路上の所定の伝送プロトコルに対する攻撃を、中継システムの下流の別の伝送経路上のプロトコルを別の異なる伝送プロトコルに変更することにより撃退する。記載されたタイプの方法では、任意選択で、多数の中継システムの対応する使用により、（伝送方向ごとに）３つ以上の異なるプロトコルを使用することができる。
【００３６】
上述の対策の代わりに又は上述の対策に加えて、この方法では、パケットデータが、２つの処理コンピュータシステム間の対応するそれぞれの伝送経路上で、異なる伝送プロトコルを横切る方向に依存した方式で伝送されることが考えられる。このことは、対応するそれぞれの処理コンピュータシステムに関して、中継システムの上流の第１の伝送プロトコルから、中継システムの下流の第２の伝送プロトコルへのプロトコルの変更が実施されるだけでなく、中継システムを横切る異なる伝送方向に対して異なる伝送プロトコルが使用されることも意味する。
【００３７】
したがって、中継システムでは、４つの異なる伝送プロトコルを使用すること、すなわち、中継システムの上流と下流で、中継システムを横切る伝送方向ごとに、それぞれ、１つの伝送プロトコルを使用することができる。例えば、１つの処理コンピュータシステムに関して、中継システムの上流の送信プロトコルＳ１及び中継システムの下流の送信プロトコルＳ２、並びに中継システムの上流の受信プロトコルＥ１及び中継の下流の受信プロトコルＥ２が識別される。
【００３８】
その代わりに又はそれに加えて、（外部からの接続確立が可能な）ブローカコンピュータシステムにデータパケットが直接に伝送されるのか、又は、ブローカコンピュータシステムへの接続が確立された後に、（外部からの接続確立が不可能な）処理コンピュータシステム若しくは前記少なくとも１つの中継システムによって、データパケットが、間接的にのみ取り出されるのかによって、伝送プロトコルを識別することも考えられる。
【００３９】
有利には、記載されたタイプの方法では、データパケットが、
−  前記中継システム／中継システムの上流の伝送経路上では、少なくとも１つの第１のネットワークによって伝送され、
−  前記中継システム／中継システムの下流の伝送経路上では、前記少なくとも１つの第１のネットワークとは異なる少なくとも１つの第２のネットワークによって伝送される。
【００４０】
それぞれ、その代わりに又はそれに加えて、通信のためにリンクされた処理コンピュータシステムとブローカコンピュータシステムとの間及び対応するそれぞれのブローカコンピュータシステムと通信経路上の下流の中継システムとの間にそれぞれ、異なるネットワークが配される。このようにして、コンピュータネットワークインフラストラクチャを、異なるセキュリティゾーンに分割することができる。それらのセキュリティゾーンは、別のセキュリティゾーンからの（内部又は外部）攻撃者の侵入を防ぐために遮断されている。このことも、コンピュータネットワークインフラストラクチャ内のセキュリティを高め、さらに、個々のコンピュータシステムへの攻撃が成功する確率若しくはインフラストラクチャ内のさらなるシステムに攻撃が広がる確率を低下させ、又は、このような攻撃を大幅に複雑にする。
【００４１】
有利には、記載されたタイプの方法では、中継システム又は処理コンピュータシステムへのデータパケットの伝送が、
−  中継システム又は処理コンピュータシステムに所定のデータシーケンスを送信するステップであり、中継システム又は処理コンピュータシステムの所定のネットワークポートが閉じられており、データシーケンスが、中継システム又は処理コンピュータシステムの１つ又は多数のネットワークポートを、所定の順序でアドレッシングする、ステップと、
−  送信されたデータシーケンスを、中継システム内又は処理コンピュータシステム内で、予め定義されたシーケンスを用いて確認するステップ並びに、
−  送信されたデータシーケンスの確認が肯定的である場合に、中継システム又は処理コンピュータシステムによるデータパケットの伝送を生起させるステップであり、中継システム自体又は処理コンピュータシステム自体が、ブローカコンピュータシステムへの接続を確立し、データパケットを取り出す、ステップと
を含む。
【００４２】
本明細書に示されたこれらの追加の方法ステップは一般に、対応するそれぞれのネットワークポートを閉じられた状態に保つ全てのコンピュータシステムに向かって実行することができ、そのため、コンピュータネットワークインフラストラクチャ内での通信、特にデータパケットの伝送が依然として可能である。
【００４３】
これらの対策は、処理コンピュータシステム又は前記少なくとも１つの中継システムのネットワークポート（この方法に関連したネットワークポート）は基本的に、上で説明された文脈において、閉じられており、外部から処理コンピュータシステム又は中継システムへの接続確立を遮断し、又は操作アクセスをかなり複雑にするという利点を提供する。処理コンピュータシステム又は中継システムによるデータパケットの伝送を生起させるプロセスを、（例えばＵＮＩＸベースの「Ｓｅｃｕｒｅ  Ｃｏｐｙ，ｓｃｐ」コマンドを使用して、）対応するそれぞれのデータパケットを処理コンピュータシステム又は中継システムに伝送する自動化されたプロセスとすることができる。このプロセスによれば、処理コンピュータシステム又は中継システムが、ブローカコンピュータシステムへの接続を確立し、データパケットを取り出す。このプロセスは、処理コンピュータシステム又は中継システムに所定のデータシーケンスが送られた後に、このデータシーケンスが予め定義されたシーケンスと整合した場合に、処理コンピュータシステム又は中継システムによって、開始することができる。このシーケンスを送信するコンピュータシステムのＩＰアドレスは、処理コンピュータシステム若しくは中継システム内において静的に予め定義しておくことができ、又は、処理コンピュータシステム若しくは中継システムのカーネルに知られている可能なシーケンス送信コンピュータシステムのＩＰアドレスの中から動的に取り出すことができる。
【００４４】
このような方法は、「ポートノッキング」という用語で知られている。上述のステップは、いわゆるノックデーモン、すなわちポートノッキングを可能にするプログラムによって実行することができる。このノックデーモンは、処理コンピュータシステム又は中継システムのネットワークポートをリスニングし、処理コンピュータシステム又は中継システムに送信されたデータシーケンスを確認し、必要ならば、送信されたデータシーケンスが予め定義されたシーケンスと整合した場合に、ブローカコンピュータシステムから処理コンピュータシステムへの対応するそれぞれのデータパケットの制御された伝送を（例えばスクリプト／プログラムを開始させることによって）生起させる。したがって、上述のプロセスは、ブローカコンピュータシステム上の対応するサービスをネットワークを介してアドレッシングする処理コンピュータシステム又は中継システムによって起動されて、ブローカコンピュータシステムから処理コンピュータシステム又は中継システムにデータパケットを伝送／複写することを可能にする。その際、処理コンピュータシステム又は中継システムは、アドレッシング可能なプログラムをそのために有する開いたネットワークポートを提供する必要はない。
【００４５】
説明されたポートノッキングの代わりに又はポートノッキングに加えて、交換されるべき１つ又は多数のデータパケットが存在するかどうかに関して、処理コンピュータシステム又は中継システムが、ブローカコンピュータシステムを、一定の間隔でポーリングすることも考えられる。交換されるべき１つ又は多数のデータパケットが存在する場合には、ブローカコンピュータシステムから処理コンピュータシステム又は中継システムへのデータパケットの対応する伝送を、上で説明したとおりに開始することができる。例えばブローカコンピュータシステムによってポートノッキングが実行されない時間がある時間を超えた場合に、処理コンピュータシステム又は中継システムがポーリングを実行することも考えられる。このようにすればポートノッキングの問題を検出することができ、コンピュータネットワークインフラストラクチャの適切な機能が維持される。
【００４６】
以下では、記載された方法を用いた、別の処理コンピュータシステムを通した処理コンピュータシステムへの安全なアクセスが説明される。このアクセスは、上述の対策及び方法ステップを（少なくとも部分的に）使用する。
【００４７】
そのために、好ましくは、前記一群の処理コンピュータシステムの中で、少なくとも
−  １つのキーコンピュータシステム、
−  １つのアクセスコンピュータシステム、及び
−  １つのターゲットコンピュータシステム
の間で識別がなされる。最初に、キーコンピュータシステム内において、ターゲットコンピュータシステムへの安全保護されたアクセスのためのセキュリティファイルが生成される。続いて、このセキュリティファイルが、定義された通信経路に沿って、キーコンピュータシステムからアクセスコンピュータシステムに伝送される。有利には、このセキュリティファイルの伝送が、前記少なくとも１つのブローカコンピュータシステムを用いて実施され、この少なくとも１つのブローカコンピュータシステムは、キーコンピュータシステム及びアクセスコンピュータシステムとは対照的に、開かれたネットワークポートを備え、接続確立のためにネットワークを介してアドレッシング可能である。したがって、このセキュリティファイルは、キーコンピュータシステムからブローカコンピュータシステムに直接に伝送することができ、（上述したように例えばブローカコンピュータシステムによって開始されるポートノッキングプロセスを用いて）ブローカコンピュータシステムからアクセスコンピュータシステムに、自動化された方式で取り出すことができる。
【００４８】
キーコンピュータシステム、ブローカコンピュータシステム及びアクセスコンピュータシステムの間の通信経路上に、上述の機能に基づく中継システムをさらに組み込むことが考えられる。このことは、さまざまなセキュリティゾーンを区別することができるという利点を提供し、この利点は、個々のコンピュータシステムへの攻撃に対するセキュリティ、又はコンピュータネットワークインフラストラクチャ内で攻撃が広がることに対するセキュリティを高める。
【００４９】
しかしながら、中継システムを間に接続することなしに、キーコンピュータシステムからアクセスコンピュータシステムにセキュリティファイルを伝送することも可能である。その場合、キーコンピュータシステムからアクセスコンピュータシステムへのセキュリティファイルの伝送には、キーコンピュータシステム、少なくとも１つのブローカコンピュータシステム並びにアクセスコンピュータシステムだけが関与する。
【００５０】
アクセスコンピュータシステムにセキュリティファイルが伝送されると、このシステムは、前もって要求された認証情報を、このセキュリティファイルを用いて確認する。認証情報は、所定のユーザ、例えばターゲットコンピュータシステムにアクセスするためにアクセスコンピュータシステム上で認証することができ、又はそうすることが許された所定のユーザの識別データとすることができる。
【００５１】
このような識別データは、個人の生体計測データ（指紋、手静脈スキャン、網膜スキャン、音声認識など）、及び／或いは（例えば別個のセキュリティエンティティによって割り当てられた）一時的なパスワード若しくは人に関係したパスワード又は（例えばチップカード、ＩＤカード、スマートホン、ＲＦＩＤタグなどを用いた）別のキーとすることができる。
【００５２】
この認証情報は、アクセスコンピュータシステム上での認証のために（例えばそのために構成された端末によって）要求され、続いて、セキュリティファイルに記憶された情報と比較される。例えば、セキュリティファイルは、アクセスすることが許された所定のユーザに対するキーコンピュータシステムによって割り当てられセットされた対応する認証情報を含む。要求された認証情報がセキュリティファイル内の情報と整合した場合、ユーザは、アクセスコンピュータシステム上での認証に成功することができる。
【００５３】
アクセスコンピュータシステムを、物理アクセスに対して特殊な方式で安全保護することができ、例えば、アクセスコンピュータシステムを、特に保護されたエリア内に配置することができる。例えば、アクセスコンピュータシステムを、高セキュリティラックの中に構成し、別個のアクセス許可がある場合にのみ物理的にアクセスできるようにすることができる。可能な場合にアクセスコンピュータシステムおける操作オプションを防止するため、アクセスコンピュータシステムへの論理アクセスは、制限された権利（例えばいわゆる制限付きシェル）を介した場合にのみ実施されることが好ましい。さらに、アクセスコンピュータシステムのところに、一般的なセキュリティ対策（例えばデータシステム暗号化）が提供されるべきである。
【００５４】
上述の対策に従って、アクセスコンピュータシステム上でアクセスすることが許可された全ての人の認証に成功した後（ｎ個の目の原則の強制）、追加のセキュリティ対策として、アクセスコンピュータシステムを用いたアクセスのために、ターゲットコンピュータシステムのロックが解除される。ターゲットコンピュータシステムのロックの解除は、ターゲットコンピュータシステム上のこの方法のために意図された選択的ネットワークポートを開くことを含むことが好ましい。ロックの解除は、おそらくは所定のソースポートによって補足された、アクセスコンピュータシステムのＩＰアドレスだけに制限することができる。
【００５５】
アクセスコンピュータシステムによる認証情報の確認に成功した場合には、さらなるステップで、ターゲットコンピュータシステムのロックが実際に解除され、そのため、アクセスコンピュータシステムを用いてターゲットコンピュータシステムにアクセスすることができる。
【００５６】
このように、上記のタイプの通信方法を組み込み、使用することによって、別のコンピュータシステム（アクセスコンピュータシステム）による処理コンピュータシステム（ターゲットコンピュータシステム）への安全なアクセスが可能になる。
【００５７】
好ましくは、ターゲットコンピュータシステムにアクセスするためのこの特に記載された方法によれば、前記一群の処理コンピュータシステムの中で、少なくとも１つの許可コンピュータシステムに関する識別がさらになされる。ここでは、少なくとも１つのブローカコンピュータシステムによって、キーコンピュータシステムから許可コンピュータシステムにセキュリティファイルが伝送される。許可コンピュータシステムでは、所定のアクセス情報によってセキュリティファイルを補足し、及び／又は秘密キーによって署名をすることができる。続いて、通信経路上で、セキュリティファイルが、アクセスコンピュータシステムに向かってさらに伝送される。
【００５８】
所定のアクセス情報によるセキュリティファイルの補足は、例えば、許可された人の記憶されたリストの中からある種の人を選択すること、又は選択された人の識別データを記憶することを含むことができる。このように許可コンピュータシステム内で秘密キーによってセキュリティファイルに局所的に署名をすることは、セキュリティファイル及びおそらくはその中に含まれる情報を確かめる機能を担う。
【００５９】
リンクされた署名又はカスケードされた署名をそのように実行するために、コンピュータネットワークインフラストラクチャ内の多数の許可コンピュータシステムにセキュリティファイルを伝送することが考えられる。このことは、多数のセキュリティオーソリティがこのプロセスに必然的に関与し、セキュリティファイルの操作の危険性をかなり低減させることができるという利点を提供する。したがって、セキュリティファイルを操作してターゲットコンピュータシステムへのアクセスを操作するためのコンピュータネットワークインフラストラクチャへの攻撃は、全ての許可コンピュータシステムをそれぞれ支配することを必要とし、したがって積み上げられた署名の偽造を必要とするであろう。
【００６０】
アクセスコンピュータシステムによるターゲットコンピュータシステムへのアクセスは、１つ又は多数の許可コンピュータシステムを用いて非常に安全に制御することができる。
【００６１】
さらなる態様では、上記の目的が、少なくとも
−  一群の処理コンピュータシステムと、
−  少なくとも１つのブローカコンピュータシステムと、
−  少なくとも１つの中継システムと
を備えるコンピュータネットワークインフラストラクチャによって達成される。
【００６２】
このコンピュータネットワークインフラストラクチャは、所定の伝送経路に沿って、多数の処理コンピュータシステム間で、前記少なくとも１つのブローカコンピュータシステム及び前記少なくとも１つの中継システムを用いてデータパケットが伝送可能であるように構成されている。中継システムは、データパケットの伝送経路上の前記少なくとも１つのブローカコンピュータシステムの下流又は上流に接続されている。さらに、全ての処理コンピュータシステムが、それぞれ、アクセス制御ユニットを備え、このアクセス制御ユニットは、この方法のために使用される所定のネットワークポートを、外部からの接続確立が許可されないように、閉じられた状態に保つように構成されており、したがって、これらのネットワークポートを用いた、対応するそれぞれの処理コンピュータシステムへのネットワークを介したアクセスが防止されるように実施される。前記少なくとも１つの中継システムもアクセス制御ユニットを備え、このアクセス制御ユニットは、この方法のために使用される所定のネットワークポートを、少なくともブローカコンピュータシステムからは中継システムへの接続確立が許可されないように、少なくともブローカコンピュータシステムに向かって閉じられた状態に保つように構成されており、中継システムは、ブローカコンピュータシステムの上流又は下流に接続されており、したがって、これらのネットワークポートを用いた、中継システムへのネットワークを介したアクセスが防止されるように実施される。ブローカコンピュータシステムにデータパケットを記憶するため、又はブローカコンピュータシステムからデータパケットを取り出すために、処理コンピュータシステム及び中継システムは、ブローカコンピュータシステムへの接続を確立するように構成されている。
【００６３】
このようなコンピュータネットワークインフラストラクチャは、処理コンピュータシステム間の通信、特にパケットデータの交換を可能にするが、上で説明されたとおり、全ての処理コンピュータシステムは、ネットワークポートを、外に向かって閉じられた状態に保ち、そのため、外部からの接続を確立するための開かれたネットワークポート上の実行中プログラム又は実行中サービスは必要とされず、構成もされない。この実行中プログラム又は実行中サービスは、ネットワークを介して攻撃する攻撃者のための潜在的なセキュリティギャップを可能にするであろう。
【００６４】
むしろ、処理コンピュータシステムは全て、閉じられたネットワークポートを通して外部からアドレッシングし又はアクセスすることができず、外部からの接続確立を許可しない。しかしながら、処理コンピュータシステムは、前記少なくとも１つのブローカコンピュータシステムにはアクセスすることができ、この少なくとも１つのブローカコンピュータシステムは、開いたシステムとして、上で説明された意味で、実行中プログラム又は実行中サービスを介して、そのために開かれた少なくとも１つのネットワークポートによって外部からアドレッシングすることが可能である。このように、処理コンピュータシステムからブローカコンピュータシステム上にデータパケットを記憶することができ、又はブローカコンピュータシステムからデータパケットを取り出すことができる。
【００６５】
加えて、中継システムは、上で説明された意味で、コンピュータネットワークインフラストラクチャ内のデータパケットの一種の「ルータ」として機能する。しかしながら、中継システムも、所定のネットワークポートを、ブローカコンピュータシステムに向かって閉じられた状態に保つ。中継システムは、ブローカコンピュータシステムの下流に接続される。その結果、中継システムは、ネットワークを介して、少なくとも１つのブローカコンピュータシステムからアドレッシングすることができない。これは、中継システム上の開かれたネットワークポート上に、実行中プログラム又は実行中サービスが構成されていないためである。したがって中継システムは「アンチルータ」である。しかしながら、中継システムは、ブローカコンピュータシステムからデータパケットを取り出し、それらのデータパケットを、中継システムの下流に接続されたコンピュータシステム（例えばターゲット処理コンピュータシステム）に転送するために、ブローカコンピュータシステムにアクセスし、接続を確立することができる。
【００６６】
中継システムは、コンピュータネットワークインフラストラクチャを有する少なくとも１つの伝送方向に存在する１つ又は多数のブローカコンピュータシステムに向かってカプセル化されているため、コンピュータネットワークインフラストラクチャ内の中継システムの下流に接続されたコンピュータシステムに攻撃が広がることを抑制する追加のセキュリティハードルが生み出される。したがって、コンピュータネットワークインフラストラクチャ内では、中継システムが、従来のルータとは対照的に、少なくとも中継システムの上流に接続されたブローカコンピュータシステムを介してはいかなる接続確立も許可しない、ある種のルータの働きをする（「アンチルータ」）。したがって、この伝送方向では、中継システムが、特に中継システムの下流のネットワーク経路上に、無許可の侵入からの効果的な保護を提供する。
【００６７】
適用可能な場合には、この中継システムを、（この方法の文脈で上で説明された）中継サーバ、変更されたルータなどとすることができる。有利には、このブローカコンピュータシステムの下流に接続された中継システムが、このブローカコンピュータシステムから中継システムが受け取ったデータパケットを、中継システムの下流に、ひいては接続された別の（ブローカ）コンピュータシステムに直接にルーティングする。中継システムのすぐ下流に接続された処理コンピュータシステムの場合には、その処理コンピュータシステムによって、上で説明されたとおりに中継システムからデータパケットを取り出すプロセスをトリガすることができる。
【００６８】
一実施形態では、中継システムが、データパケットの伝送経路上の処理コンピュータシステムのすぐ下流又は上流にじかに接続されており、この処理コンピュータシステムに向かって開いた少なくとも１つのネットワークポートを中継システムが有するような態様で、中継システムのアクセス制御ユニットが構成されており、そのため、中継システムにデータパケットを記憶するため、又は中継システムからデータパケットを取り出すために、この処理コンピュータシステムが、中継システムへの接続を確立することができる。
【００６９】
好ましくは、別の実施形態では、記載されたタイプのコンピュータネットワークインフラストラクチャが、少なくとも２つのブローカコンピュータシステムを備え、前記少なくとも１つの中継システムが、データパケットの伝送経路上のブローカコンピュータシステム間に接続されている。前記少なくとも１つの中継システムのアクセス制御ユニットは、この方法のために使用される所定のネットワークポートを、少なくとも、中継システムがその間に接続されたブローカコンピュータシステムのうちの一方のブローカコンピュータシステムに向かって閉じられた状態に保つように構成されている。
【００７０】
特に、中継システムのネットワークポートが、中継システムがその間に接続された両方のブローカコンピュータシステムに向かって閉じられていることには、中継システムが、（両方のブローカコンピュータシステムに基づく）両方向の無許可の侵入からの効果的な保護を提供するという利点がある。特に、コンピュータネットワークインフラストラクチャ内において攻撃が一方のブローカコンピュータシステムに広がることが、この中継システムによって防止される。
【００７１】
このコンピュータネットワークインフラストラクチャは、前記少なくとも１つの中継システムの上流の伝送経路上と前記少なくとも１つの中継システムの下流の伝送経路上とで、異なる伝送プロトコルを使用してデータパケットが伝送可能であるように設計されることが好ましい。この方法の文脈で上で説明されたとおり、伝送プロトコルの変更はさらなるセキュリティ対策であり、そのため、単一の伝送プロトコルへの攻撃が、コンピュータネットワークインフラストラクチャのセキュリティ機構の障害を生起させることはなく、その攻撃は成功しない。これは、中継システムの下流でプロトコルが異なるプロトコルに変更されるためである。３つ以上の中継システムが使用される場合には、３つ以上の伝送プロトコルを使用することができる。まさに同様に、方向によって伝送プロトコルを区別することもできる。
【００７２】
有利には、コンピュータネットワークインフラストラクチャが多数のネットワークを含み、前記中継システム／中継システムの上流の伝送経路上では、少なくとも１つの第１のネットワークによってコンピュータシステムが接続され、前記中継システム／中継システムの上流の伝送経路上では、前記少なくとも１つのネットワークとは異なる少なくとも１つの第２のネットワークによってコンピュータシステムが接続される。したがって、この中継システムは、異なるネットワーク間のカプセル化されたブローカを形成し、そのため、コンピュータネットワークインフラストラクチャ内で異なるセキュリティゾーンを区別することができる。このことも、コンピュータネットワークインフラストラクチャ内のセキュリティを高める。
【００７３】
有利には、上述のタイプのコンピュータネットワークインフラストラクチャが、上に記載されたタイプの方法を実行するように構成される。
【００７４】
上に記載された方法の有利な態様、特徴並びに対策は全て、このコンピュータネットワークインフラストラクチャの構造上の特徴に対応し、同様に適用される。反対に、本明細書で説明されるコンピュータネットワークインフラストラクチャの構造上の特徴も全て、上に記載されたタイプの方法にも適用することができる。
【００７５】
有利には、このコンピュータネットワークインフラストラクチャが、処理コンピュータシステムの別の処理コンピュータシステムへの安全保護されたアクセスを実行するように構成される。有利には、このコンピュータネットワークインフラストラクチャ内の前記一群の処理コンピュータシステムが、少なくとも
−  １つのキーコンピュータシステム、
−  １つのアクセスコンピュータシステム、及び
−  １つのターゲットコンピュータシステム
を含む。
【００７６】
キーコンピュータシステムは、ターゲットコンピュータシステムへの安全保護されたアクセスのためのセキュリティファイルを生成し、そのセキュリティファイルを、所定の通信経路に沿って、アクセスコンピュータシステムに伝送するように構成されている。このような伝送は、前記少なくとも１つのブローカコンピュータシステムを用いて実行することができる。ここで、セキュリティファイルは、（それ自体が閉じられたネットワークポートを備える）キーコンピュータシステムから、（接続確立のために開いたネットワークポート上に構成された実行中プログラム又は実行中サービスを有する）ブローカコンピュータシステムに伝送可能である。さらに、セキュリティファイルは、やはりそれ自体が閉じられたネットワークポートを有するアクセスコンピュータシステムのアクセスによって、アクセスコンピュータシステムを通してブローカコンピュータシステムに取出し可能である。
【００７７】
任意選択で、キーコンピュータシステムからアクセスコンピュータシステムへのセキュリティファイルの伝送を、記載されたタイプの少なくとも１つの中継システムを介してルーティングすることができる。このことは、コンピュータネットワークインフラストラクチャ内の異なるセキュリティゾーンをカプセル化する上述の利点を提供する。
【００７８】
しかしながら、セキュリティファイルの対応する伝送を、対応する中継システムなしで実行することも考えられる。その場合には、キーコンピュータシステム、少なくとも１つのブローカコンピュータシステム並びにアクセスコンピュータシステムだけが、セキュリティファイルの対応する伝送に関与することになる。
【００７９】
アクセスコンピュータシステムは、アクセスコンピュータシステム上への認証情報の入力を促し、この認証情報を、セキュリティファイルを用いて確認するように構成される。
【００８０】
有利には、アクセスコンピュータシステムが、ユーザの生体計測データ（例えば指紋、手静脈スキャン、音声認識、など）の入力のため、或いは、一時的なパスワード若しくは人に関係したパスワード、又は（例えばチップカード、ＩＤカード、スマートホン、ＲＦＩＤタグなどを用いた）その他のキーの入力のために準備されている。このような入力は、アクセスコンピュータシステムの端末上で構成することができ、この端末上で、アクセスコンピュータシステムは入力を予期し、対応する情報を要求する。
【００８１】
ターゲットコンピュータシステムは、アクセスコンピュータシステムによる認証情報の確認に従って、アクセスコンピュータシステムを用いてターゲットコンピュータシステムにアクセスするために、選択的ネットワークポートのロックを解除するように構成されている。このようなロックの解除は、例えばアクセスコンピュータシステムのＩＰアドレス及びおそらくは所定のネットワークポートだけに限定することができる。次いで、アクセスコンピュータシステムは、ロックが解除されたネットワークポートを用いて、ターゲットコンピュータシステムに選択的にアクセスすることができ、そのため、認証されたユーザグループは、アクセスコンピュータシステムを用いてターゲットコンピュータシステムにアクセスすることができる。一時的にのみロックの解除を許可することが考えられる。
【００８２】
有利には、前記一群の処理コンピュータシステムが、コンピュータネットワークインフラストラクチャ内に少なくとも１つの許可コンピュータシステムをさらに備える。この許可コンピュータシステムは、許可コンピュータシステムへのセキュリティファイルの伝送の後に、所定のアクセス情報によってセキュリティファイルを補足し、及び／又はセキュリティファイルに署名をし、並びに、通信経路上で、セキュリティファイルをさらに伝送するように構成される。
【００８３】
有利には、許可コンピュータシステムが、セキュリティファイルの伝送経路上のキーコンピュータシステムとアクセスコンピュータシステムの間に挿入される。このようにすると、許可コンピュータシステムは、セキュリティファイルの対応する処理（例えばさらなる情報を組み込むこと、又はセキュリティファイル、局所署名などを確かめること）を可能にする。セキュリティファイルは、例えば一時的なパスワード、又はアクセスコンピュータシステムにアクセスするための暗号化された形態の他の特徴を受け取ることができ、したがって１回の個々のアクセスを可能にすることができる。
【００８４】
さらなる態様では、上記の目的が、少なくとも１つのコンピュータシステム上で実行されるように構成されたコンピュータプログラム製品であって、実行されたときに、上に記載されたタイプの方法を実行するコンピュータプログラム製品によって達成される。このようすると、１つ又は多数のコンピュータシステム上でのこの方法の自動化された実施、有利には、記載されたコンピュータネットワークインフラストラクチャ内の１つ又は多数のコンピュータシステム上でこの方法の自動化された実施が可能になる。
【００８５】
さらに有利な実施形態は、従属請求項並びに図の以下の説明に開示されている。
【００８６】
本発明は、以下のいくつかの図面を用いてより詳細に説明される。
【図面の簡単な説明】
【００８７】
【図１】コンピュータネットワークインフラストラクチャの一部分の概略図である。
【図２Ａ】異なるセキュリティゾーンを有するコンピュータネットワークインフラストラクチャの概略図である。
【図２Ｂ】変更されたネットワーク経路を有する、図２Ａに基づくコンピュータネットワークインフラストラクチャの概略図である。
【図３】多数の伝送プロトコルを使用する、コンピュータネットワークインフラストラクチャの一部分の概略図である。
【図４】多数のセキュリティゾーンを有する、他の構成に基づくコンピュータネットワークインフラストラクチャの概略図である。
【図５】多数のセキュリティゾーンを有する、他の構成に基づくコンピュータネットワークインフラストラクチャの概略図である。
【図６】さまざまなセキュリティゾーンを有する、コンピュータシステムに安全にアクセスするためのコンピュータネットワークインフラストラクチャの概略図である。
【発明を実施するための形態】
【００８８】
図１は、多数のコンピュータシステム間の通信用及びそれらのコンピュータシステム間でのデータパケット伝送用のコンピュータネットワークインフラストラクチャの少なくとも一部分の概略図を示す。図１に基づくトポロジは、２つのブローカコンピュータシステム、すなわちタスクサーバ１及びタスクサーバ２を備える。これらの２つのコンピュータシステム間には、転送コンピュータシステム、すなわちいわゆる中継サーバ５が接続されている。タスクサーバ１と中継サーバ５の間のデータ接続は、第１のネットワークＮ１によって保証されている。中継サーバ５とタスクサーバ２の間のデータ接続は、第２のネットワークＮ２によって保証されている。
【００８９】
タスクサーバ１及びタスクサーバ２は開いたシステムである。このことは、タスクサーバ１及びタスクサーバ２がそれぞれ、さらなる目的のための開かれた少なくとも１つのネットワークポートを備えることを意味し、このネットワークポートには、ネットワークを介した外部からのアドレッシング可能性及び接続確立のための実行中のプログラム又は実行中のサービスが構築されている。
【００９０】
対照的に、中継サーバ５は、タスクサーバ１とタスクサーバ２の両方のタスクサーバに向かって閉じられたネットワークポートを有するカプセル化されたシステムである（中継サーバ５上のクロスハッチングされた入力／出力レベルを参照されたい）。このことは、中継サーバ５上では、開かれたネットワークポート上に使用可能な実行中プログラム又は実行中サービスがなく、そのため、ネットワークＮ１及びＮ２を介した双方向からのいかなる接続確立（タスクサーバ１からの接続確立及びタスクサーバ２からの接続確立）も中継サーバ５が許可しないことを意味する。したがって、中継サーバ５は、ネットワークＮ１とネットワークＮ２とを分離する。それにもかかわらず、この中継サーバは、タスクサーバ１とタスクサーバ２の間でデータパケットを伝送するための２つのネットワークＮ１及びＮ２間の一種のブローカ（「アンチルータ」）の役目を果たす。
【００９１】
図１は、この構造内でデータパケットを伝送するための多数の方法ステップＡ１からＡ１０を示し、以下では、それらの方法ステップがより詳細に説明される。
【００９２】
第１のステップＡ１では、図１に示された構造の外側のエンティティからタスクサーバ１にデータパケットが伝送され、タスクサーバ１に記憶される。ステップＡ２では、タスクサーバ１内で、内部処理、例えばそのデータパケットの移送ルートを記憶する内部処理が実施される。ステップＡ３では、タスクサーバ１内で、図１に基づく構造内のさらなるコンピュータシステムへのルーティングが決定され、中継サーバ５に向かってのポートノッキングプロセスがネットワークＮ１を介して実行される。そのために、タスクサーバ１は、所定のデータシーケンスをネットワークＮ１を介して送信し、ネットワークＮ１は、中継システム５上の所定のネットワークポートをアドレッシングする。中継サーバ５内のノックデーモンが、受け取ったデータシーケンスを所定のシーケンスと比較し、それらのシーケンスが整合し又は一致した場合にはプロセスを開始させる又はトリガする。
【００９３】
このプロセスは、アドレッシング可能なタスクサーバ１上での中継サーバ５を通した接続確立、及びタスクサーバ１から中継サーバ５へのデータパケットの自動化された伝送を含む。このような伝送は、例えばＵｎｉｘベースのコマンド「Ｓｅｃｕｒｅ  Ｃｏｐｙ」、すなわちｓｃｐによって実施することができる。次いで、データパケットは、ステップＡ４で、この確立された接続（“ｅｓｔａｂｌｉｓｅｄ”）を用いて、タスクサーバ１から中継サーバ５に、ネットワークＮ１を介して伝送される。
【００９４】
ステップＡ５では、中継サーバ５内でのさらなる処理、例えば移送ルートを記憶する同様の処理が実施される。ステップＡ６では、中継サーバ５内で別のルーティングが決定され、ステップＡ７では、アドレッシング可能なタスクサーバ２へのネットワークＮ２を介したデータパケットのさらなる移送が実施される。タスクサーバ２では、ステップＡ８で、追加の処理、例えば移送ルートを記憶する同様の処理が実施され、並びにステップＡ９では、図１に示された構造の外側のコンピュータシステムへのさらなるルーティングを決定する。最後に、ステップＡ１０で、データパケットの対応するさらなる移送を実施することができる。
【００９５】
図１に基づく構造はしたがって、３つのブローカコンピュータシステム、すなわちタスクサーバ１、タスクサーバ２並びに中継サーバ５を示し、これらのブローカコンピュータシステムは、開かれたネットワークポートと閉じられたネットワークポートとを混合された形で有するトポロジとして構成されている。このように、中継サーバ５を介したデータパケットのルーティングが可能であり、中継サーバ５は同時に、ネットワークＮ１のタスクサーバ１のネットワークＮ２のタスクサーバ２に向かってのカプセル化、及びネットワークＮ２のタスクサーバ２のネットワークＮ１のタスクサーバ１に向かってのカプセル化を可能にする。したがって、相当な労力をもってしないと、ネットワークＮ１及び中継サーバ５を介したタスクサーバ１への攻撃を、ネットワークＮ２及びタスクサーバ２に広げることはできず、このような攻撃は、従来のインフラストラクチャに比べてかなり複雑になる。同じことが、タスクサーバ１の方向のタスクサーバ２についても言える。このように、中継サーバ５は、このコンピュータネットワークインフラストラクチャ内の安全保護された「ノード」を形成する。それにもかかわらず、記載された方法ステップによって、このインフラストラクチャ内でのデータパケットのさらなる移送が可能にされる。
【００９６】
図２Ａは、コンピュータネットワークインフラストラクチャの概略図を示す。このコンピュータネットワークインフラストラクチャは特に、図１に基づく構成要素を備える。特に、ネットワークＮ２を介してタスクサーバ１が中継サーバ５に接続されており、中継サーバ５は、ネットワークＮ３を介してタスクサーバ２に接続されている。加えて、２つの処理コンピュータシステム、すなわちいわゆる管理クライアント１０及びさらなるサーバ１１が構成されている。管理クライアント１０は、ネットワークＮ１を介してタスクサーバ１に接続されており、サーバ１１は、ネットワークＮ４を介してタスクサーバ２に接続されている。
【００９７】
管理クライアント１０及びタスクサーバ１はゾーン１内に構成されており、中継サーバ５、タスクサーバ２及びサーバ１１は、別個のゾーン２内に構成されている（物理的分離）。
【００９８】
これらの２つの処理コンピュータシステム、すなわち管理クライアント１０及びサーバ１１は、閉じられたネットワークポートを備え（クロスハッチングされた入力／出力レベルを参照されたい）、それらの閉じられたネットワークポート上では、ネットワークＮ１又はネットワークＮ４を介して対応するそれぞれのタスクサーバ１又は２から接続を確立するための実行中プログラムも又は実行中サービスも可能ではない。このように、管理クライアント１０及びサーバ１１は、（この文脈における中継サーバ５の振舞いと同様の）カプセル化されたシステムである。中継サーバ５は、図１の文脈で説明された方法と同じ方法で、図２に基づくタスクサーバ１及び２と協力する。
【００９９】
管理クライアント１０から出発して、データパケットを、ネットワークＮ１を介してタスクサーバ１上に記憶することができる。例えば、管理クライアント１０は、ステップＢ１で、プロセス（タスク）を局所的に初期設定することができ、そのプロセス（タスク）は、ステップＢ２においてサーバ１１上で実行されることになる。例えば、このプロセスを定義し、タスクファイルにセットすることができ、このタスクファイルは、タスクサーバ１、中継サーバ５及びタスクサーバ２からなるトポロジを介してサーバ１１に転送され、サーバ１１で解析され、このタスクファイルを用いて対応するプロセスがトリガされる。
【０１００】
このタスクファイルをゾーン１のタスクサーバ１からゾーン２内の中継サーバ５に伝送し、最終的にタスクサーバ２に伝送するために、図１に従って説明された方法が使用される。このタスクファイルをサーバ１１に伝送するため、タスクサーバ２は最後に、サーバ１１に向かってのポートノッキングプロセスをネットワークＮ４を介して実行する。その結果、このサーバは、タスクサーバ２からタスクファイルを取り出し、そのタスクファイルを、ステップＢ２の対応するプロセスで局所的に実行する。
【０１０１】
図２Ａは、中継サーバ５がさまざまなセキュリティゾーン（ゾーン１及びゾーン２）を分離することの利点を示す。例えば、ゾーン１内に、管理者が物理的／論理的にアクセスすることができるワークステーション（管理クライアント１０）を構成することができる。対照的に、ゾーン２内には例えば、その上で安全なデータが論理的に処理されるコンピューティングセンタ（サーバ１１）が構成される。このコンピューティングセンタを制御するため、ゾーン１の管理者はプロセスを開始することができ、このプロセスは、命令の形態でゾーン２内に、例えば中継サーバ５を用いて移送され、ゾーン２内でそのプロセスを局所的に処理することができる。
【０１０２】
例えば、セキュリティゾーンであるゾーン１及びゾーン２は、物理的に及び／又は論理的に分離されたセキュリティゾーンを形成することができる。個々のコンピュータシステムは互いに別々に、例えば対応する物理的アクセス保護を有する高セキュリティラックの中に構成することができる。これらの２つのセキュリティゾーンの論理的アクセス保護又は論理的カプセル化は、中継サーバ５に起因する。
【０１０３】
したがって、管理者も、又は管理クライアント１０を支配する内部及び外部攻撃者でさえも、ネットワークＮ１及びＮ２を用いてゾーン１から（タスクサーバ１を介して）ゾーン２内のサーバ１１にアクセスすることはできない。サーバ１１は、中継サーバ５によって遮断されている。一方、従業員も、又はゾーン２内のサーバ１１に侵入した内部／外部攻撃者（クラッカ）も、ネットワークＮ３及びＮ４を用いて（タスクサーバ２を介して）ゾーン１内の管理クライアント１０にアクセスすることはできない。それは、管理クライアント１０は中継サーバ５によって遮断されているためである。したがって、１つのセキュリティゾーンから別のセキュリティゾーンへ侵入する可能性は、中継サーバ５によってどちらの側からも大幅に複雑になる（又は成功しにくくなる）。
【０１０４】
図２Ｂは、より単純なネットワーク構造を有する、図２Ａの構成の変形を示す。図２Ｂでは、ゾーン１内の管理クライアント１０及びタスクサーバ１がともに、第１のネットワークＮ１を介してゾーン２の中継サーバ５に直接に接続されている。ゾーン２内では、サーバ１１並びにタスクサーバ２が、第２のネットワークＮ２を介して中継サーバ５に接続されている。したがって、図２Ｂに基づくトポロジは、図２Ａのトポロジとは対照的に、２つの異なるネットワークだけを備える。タスクサーバ１、中継サーバ５及びタスクサーバ２を介した管理クライアント１０からサーバ１１へのデータパケット又はタスクファイルの移送（ステップＢ１及びＢ２参照）は、図２Ａに従って上で説明された経過と類似の経過で実行することができる。唯一の違いは、ゾーン１内での移送が唯一のネットワークＮ１だけを介して実施され、ゾーン２内での移送が唯一のネットワークＮ２だけを介して実施されることである。
【０１０５】
図３は、タスクサーバ１と、中継サーバ６並びに処理コンピュータシステムとしてのサーバ１１とを備えるコンピュータネットワークインフラストラクチャの少なくとも一部分の概略図を示す。タスクサーバ１と中継サーバ６は第１のネットワークＮ１を介して接続されており、中継サーバ６とサーバ１１は第２のネットワークＮ２を介して接続されている。図２Ａ及び２Ｂの文脈で既に説明されたとおり、サーバ１１は、閉じられたネットワークポートを有するカプセル化されたシステムであり、そのため、接続確立のために、実行中プログラム又は実行中サービスを介して外部からサーバ１１をアドレッシングすることはできない。
【０１０６】
中継サーバ６は、図１から２Ｂの説明に基づく中継サーバ５とは異なり、図３に基づく中継サーバ６は、タスクサーバ１だけに向かって（すなわちネットワークＮ１だけに対して）閉じられたネットワークポートを備えている。このことが、中継サーバ６でのネットワークＮ１の方向のクロスハッチングされた通信レベルによって示されている。
【０１０７】
サーバ１１の方向、すなわちネットワークＮ２の方向には、中継サーバ６が、少なくとも１つの開いたネットワークポートを備え、そのため、中継サーバ６は、実行中サービスによってネットワークＮ２を介してサーバ１１からアドレッシング可能であり、サーバ１１からの接続確立が可能である。
【０１０８】
したがって、図３によれば、中継サーバ６は、それぞれ、開いたシステムと閉じられたシステムの混合システムであり、又は、それぞれタスクサーバ１とサーバ１１の間のハイブリッドブローカコンピュータシステムである。図３に基づく構造でこのような構成が必要とされるのは、サーバ１１と中継サーバ６とがネットワークＮ２を介して互いに通信することができるようにするためである。中継サーバ６の全てのネットワークポートが、（ネットワークＮ１に向かって閉じられている場合と同様に）ネットワークＮ２の方向に閉じられている場合には、中継サーバ６とサーバ１１の間でデータを交換することはできない。これは、対応するそれぞれのもう一方のコンピュータシステムへの接続確立がどちらの側からも不可能であるためである。
【０１０９】
図３の構成によれば、タスクサーバ１から中継サーバ６、さらに中継サーバ６からサーバ１１への第１の伝送方向Ｃ１のデータパケットの移送は、それぞれ、第１のタスクサーバ１が、中継サーバ６の閉じられたネットワークポート上に、ネットワークＮ１を用いてポートノッキングを実行し、それを受けて、中継サーバ６自体が、タスクサーバ１への接続を確立し、タスクサーバ１から中継サーバ自体へのデータパケットの取出しを開始するような態様で実施される。
【０１１０】
続いて、中継サーバ６とサーバ１１の間で同じことが実施される。すなわち、中継サーバ６が、ネットワークＮ２を用いて、サーバ１１の閉じられたネットワークポートのところでポートノッキングを実行する。その結果、サーバ１１自体は、ネットワークＮ２を介して中継サーバ６をアドレッシングすることができ、接続を確立し、データパケットを取り出す。
【０１１１】
サーバ１１から中継サーバ６、最終的にタスクサーバ１に至る逆の移送方向Ｃ２では、ポートノッキングを必要とすることなく、データパケットの直接転送が実施される。これは、それぞれ対応するそれぞれのコンピュータシステム（サーバ１１又は中継サーバ６）がアクセスすることができる到達可能なエンティティ（中継サーバ６及びタスクサーバ１）が存在するためである。
【０１１２】
有利には、図３の構成では、個々のコンピュータシステム間のデータパケットの転送に対してさまざまな伝送プロトコルが使用される。伝送方向Ｃ１のタスクサーバ１と中継サーバ６の間では、第１の伝送プロトコルＰ１が使用され、データパケットを取り出した後に、中継サーバ６が伝送プロトコルの変更を実行し、そのため、サーバ１１に向かってのデータパケットの別の伝送は、第２の伝送プロトコルＰ２を介して実施される。
【０１１３】
反対に、移送方向Ｃ２では、中継サーバ６からタスクサーバ１へのデータパケットの伝送が、第３の伝送プロトコルＰ３に従って実施され、サーバ１１からの中継サーバ６へのデータパケットの伝送が、第４の伝送プロトコルＰ４を介して実施される。
【０１１４】
このように、対応するそれぞれの伝送経路上での方向（Ｃ１及びＣ２）によって、それぞれ、中継サーバ６の上流と下流で異なる伝送プロトコル（Ｐ１からＰ４）が使用される。このようにすると、単一のプロトコルのセキュリティ上の問題が原因でコンピュータネットワークインフラストラクチャ内のセキュリティ機構に障害が生じることを防ぐことができる。それどころか、それぞれ、対応する経路（Ｃ１及びＣ２）ごとに、使用されている両方のプロトコル（Ｐ１とＰ２又はＰ３とＰ４）を攻撃しなければならないであろう。このことは、個々のプロトコルへの攻撃よりも、かなり成功しにくいか又は複雑であり、したがって、単一のプロトコルだけを使用するよりも高いセキュリティを提供する。
【０１１５】
図３に基づく構成とは対照的に、多数の中継サーバ６の使用、おそらくは図１から２Ｂに基づく中継サーバ５と混合された多数の中継サーバ６の使用が可能であり、そのため、コンピュータネットワークインフラストラクチャ内のセキュリティをよりいっそう高めるために、伝送プロトコルの変更と共に組合せのさまざまな選択肢が考えられる。
【０１１６】
考えられるそのような構成が図４に示されている。この図には、合計３つのセキュリティゾーンを有するコンピュータネットワークインフラストラクチャが示されている。（中央の）１つのゾーン０内に、３つの中継サーバ５、６及び７が配置されており、中央の中継サーバ５は、それぞれ、ネットワークＮ３に向かう方向とネットワークＮ４に向かう方向の両方向にカプセル化されており、閉じられたネットワークポートを備える。このように、中央ブローカコンピュータシステムとしての中継サーバ５は、両方の伝送方向に完全なカプセル化を形成する。
【０１１７】
中継サーバ５とは対照的に、外側ブローカコンピュータシステムとしての他の両方の中継サーバ６、７はそれぞれ、ゾーン０からゾーン１の方向へのデータパケットの伝送及びゾーン０からゾーン２の方向へのデータパケットの伝送に対して、それぞれ、ゾーン１内のネットワークＮ１の方向（中継サーバ６参照）及びゾーン２内のネットワークＮ２の方向（中継サーバ７参照）にだけカプセル化されており、これらの方向には、閉じられたネットワークポートだけを有する（ゾーン０の対応するそれぞれの中継サーバ５、６及び７のクロスハッチングされた入力／出力レベルを参照されたい。
【０１１８】
しかし、中継サーバ６及び７は、それぞれ、中央の中継サーバ５の方向に開かれた１つのネットワークポートを備え、そのため、中継サーバ６及び７は、中継サーバ５との通信のために、少なくとも実行中サービスを介して、中継サーバ５からアドレッシング可能である。したがって、ゾーン０は、この中継サーバ５、６及び７の構成によってゾーン１とゾーン２（周辺通信ゾーン）の両方を互いに対してカプセル化する中央セキュリティゾーンを形成する。したがって、これらの２つのゾーン（ゾーン１及びゾーン２）のうちの一方のゾーン内の個々のコンピュータシステムへの攻撃を、ゾーン０の中継サーバによって遮断することができ、このような攻撃は、ゾーン０を超えてもう一方のゾーン（ゾーン１又はゾーン２）に広がることはできない。
【０１１９】
個々のコンピュータシステム内で、特に個々のネットワークＮ１、Ｎ２、Ｎ３及びＮ４内で、それぞれ異なる伝送プロトコルＰ１からＰ４が使用されることで、ゾーン０のこのようなセキュリティハードルを高くすることができる。適用可能な場合には、図４に基づく個々のコンピュータシステム間で方向に応じた伝送プロトコルの変更を実施することもできる。具体的には、図４には、ネットワークＮ１内での伝送プロトコルＰ１の使用、ネットワークＮ３内での伝送プロトコルＰ２の使用、ネットワークＮ４内での伝送プロトコルＰ３の使用、及びネットワークＮ２内での伝送プロトコルＰ４の使用が示されている。
【０１２０】
対応するそれぞれの周辺ゾーンでは、ゾーン１及びゾーン２が、それぞれ、処理コンピュータシステム、すなわちサーバ１０又はサーバ１１、並びにブローカコンピュータシステム、すなわちタスクサーバ１又はタスクサーバ２として構成される。例えば、ゾーン１のサーバ１０からゾーン２内のサーバ１１の方向へのデータパケットの伝送を開始することができる。そのために、データパケットは、伝送方向Ｄ１で、サーバ１０からゾーン１内のタスクサーバ１に直接に伝送される。これはネットワークＮ１を介して行われる。続いて、中継サーバ６に向かってのタスクサーバ１のポートノッキングの後に、ゾーン０の中継サーバ６は、タスクサーバ１からデータパケットを取り出し、伝送プロトコルをプロトコルＰ１からプロトコルＰ２に変更し、ゾーン０内の中継サーバ５に向けてポートノッキングを実行する。続いて、中継サーバ５が、ネットワークＮ３内で伝送プロトコルＰ２を使用して、中継サーバ６からデータパケットを取り出す。
【０１２１】
中継サーバ７は、中継サーバ５に対して直接にアドレッシング可能であるため、中継サーバ５は、データパケットを、さらに変更された伝送プロトコルＰ３に従って、ネットワークＮ４を介して中継サーバ７に伝送する。さらに、中継サーバ７は、プロトコルを伝送プロトコルＰ４にさらに変更した後に、データパケットを、ゾーン２の直接にアドレッシング可能なタスクサーバ２に、ネットワークＮ２を用いて伝送する。続いて、タスクサーバ２は、サーバ１１に向かってのポートノッキングをネットワークＮ２を介して実行し、サーバ１１は、最後のステップで、ネットワークＮ２を介してタスクサーバ２をアドレッシングし、データパケットを取り出す。
【０１２２】
したがって、図４は、ハイブリッドブローカコンピュータシステムの使用によるハイブリッドコンピュータネットワークインフラストラクチャを示し、このハイブリッドブローカコンピュータシステムは、アドレッシング可能なタスクサーバ１及び２、方向によって開いており閉じられている（アドレッシング可能でありアドレッシング可能でない）ブローカコンピュータシステム、すなわち中継サーバ６及び７、並びに完全にカプセル化された（アドレッシングが全くできない）ブローカコンピュータシステム、すなわち中継サーバ５を備える。それにもかかわらず、ゾーン１又はゾーン２内の処理コンピュータシステム、すなわちサーバ１０及びサーバ１１から出発して、別のゾーン、すなわちゾーン１又はゾーン２の別の処理コンピュータシステム、すなわちサーバ１０又は１１に向かう、データパケットの通信及び転送が可能である。
【０１２３】
有利には、これらの３つゾーン、すなわちゾーン０、１及び２が、互いに物理的に分離されており、対応するそれぞれのアクセスセキュリティシステムによってロックされている。有利には、ゾーン０が、それぞれゾーン１又はゾーン２の人物によってアクセス指定可能であってはならないエリアである。
【０１２４】
クラッキングの１つの可能な攻撃シナリオ（ＥＤＶレベルでのゾーン１又はゾーン２のコンピュータシステムへの侵入）は、マルチロックシステム並びに（それぞれデータパケットの直接伝送用及び取出し用の）異なる伝送プロトコルによってかなり複雑になる。物理レベル上では、ゾーン１内のネットワークＮ１への操作アクセスも、ゾーン２内のネットワークＮ２へのアクセスも、さらなる攻撃行為に対する利点を提供しない。（上記の伝送方向Ｄ１の文脈で説明されたとおり）サーバ１０からサーバ１１へのデータパケットの移送が可能である。逆方向の移送も類似の方式で実施される。
【０１２５】
図５は、多数のゾーンのカプセル化を、４つのゾーン、すなわちゾーン１からゾーン４に関して例示的に示す。ゾーン１内のサーバ１０からゾーン２内のサーバ１１への方法Ｅ１に基づくデータパケットの移送、ゾーン３内のサーバ１２からゾーン２内のサーバ１１への方法Ｅ２に基づく移送、並びにゾーン４内のサーバ１３からゾーン１内のサーバ１０への方法Ｅ３に基づく移送が例示されている。
【０１２６】
図５の中心に配置されたゾーン０内には、５つの中継サーバ５、６、７、８及び９が配置されており、中継サーバ５は中心を形成し、全てのネットワークポートを閉じられた状態に保ち、そのため、それぞれのネットワークＮ５、Ｎ６、Ｎ７及びＮ８を介した中継サーバ５への接続確立は不可能である。反対に、中継サーバ５は、対応するネットワークを介してゾーン０内の他の中継サーバ６、７、８及び９をアドレッシングすることができる。なぜなら、中継サーバ６、７、８及び９が、中継サーバ５の方向へ向けて、少なくともそれぞれ１つの、これらの目的のために開かれた、実行中のサービスを有するネットワークポートを接続確立のために開いた状態に保つからである。
。
【０１２７】
したがって、図５に基づく構造内の通信を、周辺ゾーンから内側のゾーン０内へ、又はゾーン０から外側の周辺ゾーン内へ「星形」に実施することができる。例えば、ゾーン１のサーバ１０からゾーン０内の中継サーバ６に、データパケットを、ネットワークＮ１を用いて、タスクサーバ１を介して移送することができ、それらのデータパケットは、中継サーバ５に向かっての中継サーバ６のポートノッキングの後に、ネットワークＮ５を介して、中継サーバ５によって取り出され、さらに相応に移送される。例えばサーバ１０からの移送方法Ｅ１によれば、中継サーバ５から中継サーバ９にネットワークＮ７を介してデータパケットが伝送され、中継サーバ９からゾーン２内のタスクサーバ２にデータパケットが移送される。次いで、そのデータパケットを、サーバ１１によって、ネットワークＮ２を介して、タスクサーバ２から取り出すことができる。データパケットの類似の移送が、図５に示された移送ルートＥ２に従ってゾーン３内のサーバ１２から、及び移送ルートＥ３に従ってゾーン４内のサーバ１３から、類似の方式で実施される。
【０１２８】
図５に例示的に示された４つのセキュリティゾーンの中心ブローカゾーン０への接続は星形に実施され、その中心は、カプセル化された中継サーバ５によって形成される。物理的攻撃及び論理的攻撃に対するセキュリティに関して図４の文脈で述べた説明は、図５に示された構成にもあてはまる。図５に基づく星形構成は、図４に基づく構成に比べて非常に少ないリソースを必要とし、それにもかかわらず、異なるゾーン１から４間のデータパケットの満足のいく移送を可能にする。例えば、非武装地帯（ｄｅｍｉｌｉｔａｒｉｚｅｄ  Ｚｏｎｅ：ＤＭＺ）内のサーバ、その他のサーバ、操作職員（オペレータ）のための領域、（例えばラックの）ハードウェア制御のための領域、ステージングなどを、コンピューティングセンタ内の異なるセキュリティゾーンの候補として考えることができる。
【０１２９】
中心を形成し、したがって個々のゾーン間の全ての伝送経路のコアを形成する完全にカプセル化された中継サーバ５によって、個々のゾーンのコンピュータシステムへの攻撃が他のセキュリティゾーンに広がることを防ぐセキュリティが保証される。以前の図に関して既に説明されたとおり、中継サーバ５は、伝送経路上の下流に位置するコンピュータシステムへの不所望な攻撃に対する必須の遮断物を形成する。このように、攻撃シナリオは、ゾーン０内の多数の中継サーバのカスケード式の相互作用によって、かなり複雑になるか、又はより成功しにくくなる。
【０１３０】
図６は、図１から５の文脈で説明されたようなハイブリッドブローカコンピュータシステムの構造を用いて接続されたさまざまなセキュリティゾーンを有するコンピュータネットワークインフラストラクチャの概略図を示す。
【０１３１】
以下では、図６に基づくコンピュータネットワークインフラストラクチャの処理コンピュータシステムへの安全保護されたアクセスのための方法が、以前の図に示された安全保護されたコンピュータシステム間のデータパケットの通信及び転送を使用して説明される。
【０１３２】
図６に基づくコンピュータネットワークインフラストラクチャは、合計７つのセキュリティゾーン、すなわちゾーン０からゾーン６を備え、それらのゾーンはそれぞれ、完全に閉じられたネットワークポートを有する１つ又は多数の処理コンピュータシステムを備える（外部からの接続確立の防止）。ゾーン０、１、２及び３はさらに、それぞれ、少なくとも１つのブローカコンピュータシステムを備え、この少なくとも１つのブローカコンピュータシステムは、１つのセキュリティゾーン内の処理コンピュータシステム間のデータパケットの交換のため又は他のセキュリティゾーン内のネットワークを介したデータパケットの移送のための外部アドレッシング可能性及び接続確立のために開かれた少なくとも１つのネットワークポートを有する。ゾーン４、５及び６は、それら自体のブローカコンピュータシステムを持たない。これらのゾーンについては、このタスクが、ゾーン０内のブローカコンピュータシステムによって担当される。言うまでもなく、このトポロジは単なる例である。他のコンステレーションも考えられる。
【０１３３】
図６では、閉じられたネットワークポートを有するコンピュータシステムが、クロスハッチングされた入力／出力レベルによって記号で表されている。少なくとも１つの開かれたネットワークポートを有するコンピュータシステムは、バーの形の入力／出力レベルによって記号で表されている。一時的に選択的に開かれるネットワークポート（後述）を有するコンピュータシステムは、ハッチングされた入力／出力レベルによって記号で表されている。
【０１３４】
中心にはゾーン０が配置されており、ゾーン０は、中継サーバ５並びにタスクサーバ４を備える。中継サーバ５は、図１から５に基づく中継サーバの文脈で既に説明されたような機能を備える。特に、中継サーバ５は、閉じられたネットワークポートによって完全にロックされているか又はカプセル化されており、そのため、ネットワークを介した外部から中継サーバ５への接続確立は不可能である。しかしながら、反対に、中継サーバ５自体は、実行中サービスを有する少なくとも１つのネットワークポートを開いた状態に保つさまざまなブローカコンピュータシステム（タスクサーバ）をアドレッシングし、そこへの接続確立を開始することができる。ゾーン０内において、中継サーバ５は、ネットワークＮ９を介してタスクサーバ４にアクセスすることができる。セキュリティをさらに向上させるために、図５のゾーン０に従って図６のゾーン０を実現することが考えられる。その場合、図６のゾーン４、５及び６はそれぞれ、少なくとも１つのブローカコンピュータシステムを備えなければならないであろう。
【０１３５】
図６に基づく構造内での通信は、周辺セキュリティゾーンから中心セキュリティゾーン（ゾーン０）に向かい、中心セキュリティゾーン（ゾーン０）から再び周辺セキュリティゾーンに向かう星形の通信である。
【０１３６】
以下では、個々の周辺セキュリティゾーンが説明される。
【０１３７】
ゾーン１：
ゾーン１には、記憶装置ＳＰが接続されたキーサーバ１０の形態の処理コンピュータシステムが設けられている。このキーサーバ１０は、全てのネットワークポートを閉じられた状態に保ち、外部からの接続確立のためのいかなる実行中サービス又は実行中プログラムも持たない。キーサーバ１０は、多数のセキュリティエンティティのうちの１つである。キーサーバ１０には、コンピュータネットワークインフラストラクチャ内の自動化されたルーティングのためのルーティング情報が記憶されている。任意選択で、キーサーバ１０は、人に関係したセキュリティデータ、識別データ又はその他のキー、パスワードなどを記憶する。さらに、キーサーバ１０は、任意選択で、コンピュータネットワークインフラストラクチャ内の安全保護されたコンピュータシステムにアクセスする自動化されたプロセスを生成する予め定義された「フォームデータ」を管理する。代替として、この述べられたデータは、ルーティング中に、別の処理コンピュータシステム内で、一時的な目的のために生成され、又はユーザによって入力される。必要ならば、全てのデータを、例えば準同型暗号化を使用して、暗号化された形態で伝送することができる。
【０１３８】
キーサーバ１０は、タスクサーバ１上にデータパケットを記憶するため、及びそれらのデータパケットをタスクサーバ１から取り出すために、タスクサーバ１と、ゾーン１内のネットワークＮ６を介して通信することができる。ゾーン１は、ネットワークＮ５を介してゾーン０に接続されている。
【０１３９】
ゾーン２：
ゾーン２は、２つの処理コンピュータシステムを備え、図６では、それらの処理コンピュータシステムが、セキュリティレスポンシブル１１及びセキュリティレスポンシブル１２として示されている。これらの２つのシステムはそれぞれ、全てのネットワークポートを閉じられた状態に保ち、（ゾーン１のキーサーバ１０と同様に）ネットワークを介して使用可能ではない。セキュリティレスポンシブル１１及び１２はさらなるセキュリティエンティティである。これらのセキュリティレスポンシブルは例えば、（キーサーバ１０からルーティングを用いて）所定のセキュリティファイル及び認証ファイルを取り出し、それらのファイルを局所的に処理し、それらのファイルを構造内でさらに分配することができる。しかしながら、セキュリティレスポンシブル１１及び１２はそれら自体が、セキュリティファイル及び認証ファイルを生成することができ、又はユーザによって入力することができ、それらのファイルをさらに、そのプロセス内でルーティングに沿って分配することができる。例えば、セキュリティレスポンシブル１１及び１２は、コンピュータネットワークインフラストラクチャ内の処理コンピュータシステムへの安全保護されたアクセスのためのセキュリティ基準を割り当てセットする役目を果たす。
【０１４０】
データパケットの通信及び転送のため、セキュリティレスポンシブル１１及び１２は、ネットワークＮ７を介してゾーン２内のタスクサーバ２に接続されており、タスクサーバ２自体は、少なくとも１つのネットワークポートを開いた状態に保ち、そのため、セキュリティレスポンシブル１１及び１２は、例えばデータパケットを取り出すために、タスクサーバ２にアクセスし、接続を確立することができる。ゾーン２は、ネットワークＮ４を介してゾーン０に接続されている。
【０１４１】
ゾーン３：
ゾーン３には、管理１３の形態の処理コンピュータシステムが構成されている。管理１３は、閉じられたネットワークポートを備え、データパケットを取出し伝送するために、ネットワークＮ８を介してタスクサーバ３に接続されている。管理１３もセキュリティエンティティであり、例えば、コンピュータネットワークインフラストラクチャ内の処理コンピュータシステムへの専用アクセスのために、人間の所定のユーザグループをセットすることができる。ゾーン３は、ネットワークＮ３を介してゾーン０に接続されている。
【０１４２】
ゾーン４：
図６によれば、ゾーン４は、処理コンピュータシステムにアクセスするための実際のアクセスゾーンであり、処理コンピュータシステム、すなわちいわゆる特殊アクセスクライアント１４を備える。このクライアントは、閉じられたネットワークポートを含み、コンピュータネットワークインフラストラクチャ内の別の処理コンピュータシステムにアクセスするためのアクセスコンピュータシステムである。特殊アクセスクライアント１４は、コンピュータ、例えば安全保護されたコンピュータ、すなわち特に保護されたエリアに置かれたコンピュータとすることができる。さらに、一般的なセキュリティ対策（ファイルシステム暗号化）を提供することもできる。さらに、さらなる物理的セキュリティ対策を用いて、特殊アクセスクライアント１４を、禁止された物理アクセスから追加的に保護してもよい。一例として、ゾーン４は、ネットワークＮ２を介してゾーン０に接続される。
【０１４３】
ゾーン５：
同時に、ネットワークＮ２は、ゾーン５への接続も提供する。図６では、ゾーン５が、２つのサーバ１５、１６を有する第１のサーバゾーンとして構成されている。
【０１４４】
ゾーン６：
ゾーン０とゾーン４の両方に、さらなる２つのサーバ１７、１８を例示的に備える別のサーバゾーン（ゾーン６）が、ネットワークＮ１を介して接続されている。
【０１４５】
ゾーン５及び６の対応するそれぞれのサーバ１５から１８は、所定のデータの局所処理のための処理コンピュータシステムを形成する。例えば、サーバ１５から１８を、データベースサーバとして構成することができる。一般に、示されたネットワーク内のサーバ１５から１８は、それぞれ、閉じられたネットワークポートを有し、外部からアドレッシングすることができず、接続確立を抑制する。しかしながら、それらのサーバのロックは、専用の方式で解除することができ、そのため、ゾーン４から、特殊アクセスクライアント１４を介して、選択的に開かれたサーバにアクセスすることができる。
【０１４６】
例として、選択的に開かれるこのようなサーバは、ゾーン５のサーバ１６及びゾーン６のサーバ１７である。所定のネットワークポートが選択的に開かれことは、これらのサーバ内の単純ハッチングされた入力／出力レベルによって記号で表されている。
【０１４７】
以下では、ゾーン４の特殊アクセスクライアント１４を用いてゾーン５及び６のサーバ１６及び１７にアクセスする安全保護された方法が、多数の方法ステップＦ１からＦ７を用いて説明される。
【０１４８】
ステップＦ１で、ゾーン５及び６の２つのサーバ１６及び１７への安全保護されたアクセスのためのタスクの開始が実施される。そのために、ゾーン２のセキュリティレスポンシブル１１が要求ファイルを送信する。この要求ファイルは、ネットワークＮ７、タスクサーバ２、ネットワークＮ４を介して伝送され、中継サーバ５をポートノッキングし、続いて中継サーバ５によって取り出され、並びに、ネットワークＮ５、タスクサーバ１及びネットワークＮ６を介して伝送され、（キーサーバ１０に対するタスクサーバ１のポートノッキング、及び続くキーサーバ１０によるタスクサーバ１からの要求ファイルの取出しの後に）キーサーバ１０に伝送される。
【０１４９】
ゾーン１内のキーサーバ１０では、ゾーン４内の特殊アクセスクライアント１４を用いてゾーン５及びゾーン６のサーバ１６及び１７にアクセスするための必要なステップがセットされた対応する「フォーム」が選択され、対応するセキュリティファイルが生成される。このファイルは、方法ステップＦ２で、通信経路を逆にたどって、キーサーバ１０から、ゾーン０を介して、ゾーン２内のセキュリティレスポンシブル１１に伝送される。ゾーン２内のセキュリティレスポンシブル１１によってこのフォームを（おそらくは自動化された形で）埋めることができ、このフォームを、必要な情報（例えば、ゾーン５及びゾーン６のサーバ１６及び１７にアクセスするために、誰が、何が、何時、何をしなければならないのか）によって補足することができる。
【０１５０】
続いて、セキュリティレスポンシブル１１は、ステップＦ３で、この埋められたフォームを、同じゾーン２内のセキュリティレスポンシブル１２に、ネットワークＮ７及びタスクサーバ２を介して伝送する。
【０１５１】
セキュリティレスポンシブル１２は次いで、伝送されたセキュリティファイルを、必要なさらなるセキュリティ情報によって補足し、既に入力されたセキュリティ情報に同意し、及び／又は秘密キーによってセキュリティファイルに署名をすることができる。
【０１５２】
さらなるステップＦ４では、補足され、処理され、及び／又は署名されたセキュリティファイルが、ゾーン２のセキュリティレスポンシブル１２から、ネットワークＮ７、タスクサーバ２、ネットワークＮ４、ゾーン０内の中継サーバ５、ネットワークＮ３、ゾーン３内のタスクサーバ３及びゾーン３内のネットワークＮ８を介して、管理１３に伝送される。この処理コンピュータシステムでは、セキュリティファイルがさらに処理される。この処理は例えば、セキュリティファイル内のセキュリティ情報のさらなる確認、さらなるアクセス情報（例えばユーザグループのうちの誰が専用アクセスをするのか）の組込みなどを含む。
【０１５３】
管理１３は、例えば、伝送されたセキュリティファイル及びその中にセットされたアクセス基準を用いて、特殊アクセスクライアント１４を用いたサーバ１６及び１７への特定のアクセスを得る２人の所定の管理者を選択することができる。代替として、セキュリティファイルの中に、許可された管理者の設定が既にセットされていてもよく、その設定が、管理１３によって再確認される。その場合、管理１３は、それ以上の権利を持たない。管理１３は、この情報をセキュリティファイルに記憶し、そのセキュリティファイルを、後続のステップＦ５で、ネットワークＮ８、タスクサーバ３、ネットワークＮ３、ゾーン０内の中継サーバ５、ネットワークＮ５、ゾーン１内のタスクサーバ１及びネットワークＮ６を用いて、キーサーバ１０に伝送する。例えば、許可される可能性がある人の生体計測データが、キーサーバ１０又は記憶装置ＳＰに記憶される。この生体計測データは、指紋、手静脈スキャン、網膜スキャン、音声パターンなど、すなわち自然人の個人的な生体計測識別データを含むことができる。
【０１５４】
しかしながら、コンピュータネットワークインフラストラクチャの別のコンピュータシステムが、このような生体計測データの記憶を担うことも考えられる。例えば、図６では、これが、可能なセキュリティエンティティとしてのキーサーバ１０である。
【０１５５】
キーサーバ１０では、ゾーン３内の管理１３によってアクセスのために選択されセットされた２人の管理者の生体計測データが、伝送されたセキュリティファイルを用いて選択される。この生体計測データは、ステップＦ６で、セキュリティファイルと共に、又はセキュリティファイルに埋め込まれて、ゾーン４内の特殊アクセスクライアント１４に、ネットワークＮ６、タスクサーバ１、ネットワークＮ５、ゾーン０内の中継サーバ５、ネットワークＮ９、タスクサーバ４並びにネットワークＮ２を用いて伝送される。
【０１５６】
特殊アクセスクライアント１４内では、認証情報の要求、及びセキュリティファイルに記憶される生体計測データを用いたこの要求された認証情報の確認が、さらなる対策として実施される。
【０１５７】
そのために、特殊アクセスクライアント１４は端末を提供し、その端末上で、生体計測データを読み取り、及び／又はパスワードの入力を促すことができる。サーバ１６及び１７にアクセスする２人の管理者に、本明細書に記載されたシステム／プロセスとは無関係の別個の媒体（例えば紙）を用いて前もって伝えられたパスワードを、さらなるセキュリティ基準とすることができる。このようにすると、この２人の管理者は、同様に認証を促すことができる（例えば高セキュリティラック内で）物理アクセス制御を終えた後に、特殊アクセスクライアント１４上で認証する必要がある。促された認証情報が、セキュリティファイルに含まれる情報と整合した場合、それらの管理者は、特殊アクセスクライアント１４において認証される。
【０１５８】
しかしながら、ゾーン５及び６内のサーバ１６及び１７にアクセスするためには、別のセキュリティハードルを跳び越えなければならない。サーバ１６及び１７は当初、閉じられたネットワークポートを有し、対応するそれぞれのゾーン５及び６内のサーバ１５及び１８と同じようには外部からアドレッシングすることができず、そのため、サーバ１６及び１７への接続を確立することは不可能である。したがって、サーバ１６及び１７にアクセスするためには選択的なロックの解除が必要とされる。
【０１５９】
ゾーン４内の特殊アクセスクライアント１４での管理者の認証に成功した後、ステップＦ７で、特殊アクセスクライアント１４からゾーン０内のタスクサーバ４に、ネットワークＮ２を介してアクセス命令が伝送される。このタスクサーバ４は、ネットワークＮ２を介したサーバ１６に向かってのポートノッキング、又はネットワークＮ１を介したサーバ１７に向かってのポートノッキングを実行し、その結果、サーバ１６及び１７は、そのアクセス命令を取り出し、それを局所的に実行することができる。これは例えば、セキュリティ情報の再確認を含むことができる。
【０１６０】
続いて（セキュリティ情報の肯定的な再確認を受けて）、ゾーン４の特殊アクセスクライアント１４を用いたアクセスのため、対応するそれぞれのサーバ１６及び１７の選択的ネットワークポートのロックが解除される。有利には、このようなアクセスが、おそらくはある種のソースポートと組み合わされた、特殊アクセスクライアント１４のＩＰアドレスだけに制限される。サーバ１６及び１７の選択的に開かれるネットワークポートは、ハッチングされた通信レベルによって記号で表されている。
【０１６１】
続いて、ゾーン４内の特殊アクセスクライアント１４上の管理者は、例えば保守作業の実行、アプリケーションの確認、データの回復などのために、ネットワークＮ２又はＮ１を介して、選択的に開かれたサーバ１６及び１７にアクセスすることができる。
【０１６２】
このアクセス方法はこれで終了である。
【０１６３】
時間に制限がある（例えばセキュリティファイル内に時間が予め設定されている）ことがあるアクセスが実行された後、対応するそれぞれのサーバ１６及び１７の選択的な開かれたネットワークポートは再び閉じられ、そのため、サーバ１６及び１７は、対応するそれぞれのゾーン５及び６内のサーバ１５及び１８とちょうど同じように再びカプセル化され、そのため、外部から接続を確立することはもはやできない。このことは、図６に基づくコンピュータネットワークインフラストラクチャの元の状態を復元する。
【０１６４】
このように、個々の処理コンピュータシステムへの安全保護されたアクセスのためのセキュリティファイルの通信及び転送は、中継サーバ５によって複数のセキュリティゾーンに分割されたハイブリッドブローカコンピュータシステムの構造によって可能になる。
【０１６５】
図１から６に基づくコンピュータネットワークインフラストラクチャ内のコンピュータシステムの示された構造、トポロジ及び配置は全て、単なる例示的であり、単純化された形で示されている。図１から６に基づく図解では、ファイアウォール及び同様のシステム（例えばいわゆる「侵入検知システム」すなわちＩＤＳ、又は「侵入防止システム」すなわちＩＰＳ）の可能なシナリオが省かれている。しかしながら、このようなシステムの使用には利点がある。
【０１６６】
参照符号のリスト
１〜４  タスクサーバ
５〜９  中継サーバ
１０〜１８  処理コンピュータシステム
Ａ１〜Ａ１０  方法ステップ
Ｂ１、Ｂ２  方法ステップ
Ｃ１、Ｃ２  方法ステップ
Ｄ１  方法ステップ
Ｅ１〜Ｅ３  方法ステップ
Ｆ１〜Ｆ７  方法ステップ
Ｎ１〜Ｎ９  ネットワーク
Ｐ１〜Ｐ４  伝送プロトコル
ＳＰ  記憶装置
ゾーン０〜ゾーン６  セキュリティゾーン
【図１】
0006456408.tif 000002
【図２Ａ】
0006456408.tif 000003
【図２Ｂ】
0006456408.tif 000004
【図３】
0006456408.tif 000005
【図４】
0006456408.tif 000006
【図５】
0006456408.tif 000007
【図６】
0006456408.tif 000008