(57)【要約】  大きな負荷をかけることなく、情報システムのセキュリティを確保することができる通信制御装置等が開示される。通信制御装置１０１は、通信を経由する中継装置２０３を表す識別情報を情報処理装置２０２が要求するのに応じて、情報処理装置２０２に、中継装置２０３とは異なる第２情報処理装置を表す識別情報を送信する第１送信部１０２と、情報処理装置２０２が識別情報に基づき送信するソフトウェアに関するソフトウェア情報が、許可されているソフトウェア情報である場合に、情報処理装置２０２に、中継装置２０３を表す識別情報を送信する第２送信部１０３とを有する。
2016047105.tif 000002
【特許請求の範囲】
【請求項１】
通信を経由する中継装置を表す識別情報を第１情報処理装置が要求するのに応じて、前記第１情報処理装置に、前記中継装置とは異なる第２情報処理装置を表す前記識別情報を送信する第１送信手段と、
前記第１情報処理装置が前記識別情報に基づき送信するソフトウェアに関するソフトウェア情報が、許可されているソフトウェア情報である場合に、前記第１情報処理装置に、前記中継装置を表す前記識別情報を送信する第２送信手段と
を備える通信制御装置。
【請求項２】
前記ソフトウェア情報が、自装置において許可されているか否かを判定する判定手段
をさらに備え、
前記第２送信手段は、前記ソフトウェア情報が許可されていると前記判定手段が判定する場合に、前記中継装置を表す前記識別情報を送信する
請求項１に記載の通信制御装置。
【請求項３】
前記判定手段は、自装置において許可されているソフトウェア情報が格納された許可情報に、前記ソフトウェア情報が含まれているか否かに応じて判定する
請求項２に記載の通信制御装置。
【請求項４】
前記開始信号に含まれているＵＲＬから、前記第１情報処理装置が通信する対象である対象装置を識別する名称を読み取るインターフェース手段を
さらに備え、
前記証明情報手段は、前記名称に基づき、前記証明情報を作成する
請求項３に記載の通信制御装置。
【請求項５】
請求項１乃至請求項４のいずれかに記載の通信制御装置と、
前記第１情報処理装置と
を備え、
前記第１情報処理装置は、前記通信制御装置が送信する前記識別情報に基づき、通信を実行する
情報システム。
【請求項６】
前記通信制御装置は、
前記第１情報処理装置が自装置に通信を開始する開始信号を送信するのに応じて、自装置が信頼できる情報処理装置であることを表す証明情報を作成し、作成した前記証明情報を前記第１情報処理装置に送信する証明情報手段
をさらに備え、
前記第１情報処理装置は、自装置にあらかじめ格納された証明情報と、受信した前記証明情報とが一致することを確認する
請求項５に記載の情報システム。
【請求項７】
通信を経由する中継装置を表す識別情報を第１情報処理装置が要求するのに応じて、前記第１情報処理装置に、前記中継装置とは異なる第２情報処理装置を表す前記識別情報を送信し、前記第１情報処理装置が前記識別情報に基づき送信するソフトウェアに関するソフトウェア情報が、許可されているソフトウェア情報である場合に、前記第１情報処理装置に、前記中継装置を表す前記識別情報を送信する通信制御方法。
【請求項８】
通信を経由する中継装置を表す識別情報を第１情報処理装置が要求するのに応じて、前記第１情報処理装置に、前記中継装置とは異なる第２情報処理装置を表す前記識別情報を送信する第１送信機能と、
前記第１情報処理装置が前記識別情報に基づき送信するソフトウェアに関するソフトウェア情報が、許可されているソフトウェア情報である場合に、前記第１情報処理装置に、前記中継装置を表す前記識別情報を送信する第２送信機能と
をコンピュータに実現させる通信制御プログラムが格納された記録媒体。
【請求項９】
前記ソフトウェア情報が、自装置において許可されているか否かを判定する判定機能
をさらにコンピュータに実現させ、
前記第２送信機能において、前記ソフトウェア情報が許可されていると前記判定機能において判定する場合に、前記中継装置を表す前記識別情報を送信する
請求項８に記載の通信制御プログラムが格納された記録媒体。
【請求項１０】
前記判定機能において、自装置において許可されているソフトウェア情報が格納された許可情報に、前記ソフトウェア情報が含まれているか否かに応じて判定する
請求項９に記載の通信制御プログラムが格納された記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークにおける通信を制御する通信制御装置等に関する。
【背景技術】
【０００２】
パーソナルコンピュータ（ＰＣ）は、通信ネットワークを経由して、アクセス先である目的サイトにアクセスしようとする場合に、該目的サイトと異なるサイト（たとえば、特定のウェブ（Ｗｅｂ）サイト、偽サイト）に誘導される場合がある。【０００３】
たとえば、ＡＲＰ（Ａｄｄｒｅｓｓ＿Ｒｅｓｏｌｕｔｉｏｎ＿Ｐｒｏｔｏｃｏｌ）におけるスプーフィング（ｓｐｏｏｆｉｎｇ）は、ＩＰ（Ｉｎｔｅｒｎｅｔ＿Ｐｒｏｔｏｃｏｌ）アドレスを詐称して、別のＩＰアドレスに成りすますことを表す。スプーフィングにおいて、偽サイトに誘導するルータ（偽ルータ）は、ＰＣが目的サイトにアクセスする際に経由するルータ（本来のルータ）に割り当てられているＩＰアドレスに成りすます。これにより、ＰＣは、偽ルータを経由することにより、偽サイトに誘導される。この結果、ＰＣは、偽サイト以外にアクセスすることができなくなる。【０００４】
上述したような「成りすまし」や、通信ネットワークにて送受信される情報を盗み読むことへの対策の１つとして、暗号技術がある。【０００５】
しかし、暗号化された情報を送受信する場合に、該情報を経由するゲートウェイにおいて付加価値の高いサービスを提供することが難しい。たとえば、特許文献１は、暗号化された情報を送受信する場合であっても、付加価値の高いサービスを提供する中継装置を開示する。該中継装置は、「Ｓｐｌｉｔ＿ＳＳＬ（Ｓｅｃｕｒｅ＿Ｓｏｃｋｅｔ＿Ｌａｙｅｒ）」という暗号技術を用いる。中継装置は、Ｓｐｌｉｔ＿ＳＳＬにより、送信されてきた暗号化された情報を、自装置において、復号化し、復号化した情報を用いてサービスを提供する。【０００６】
また、特許文献２は、スプーフィングを利用する技術の一例を開示する。特許文献２には、通信を誘導する場合に、サーバにおける負荷を低減する通信誘導装置が開示されている。該通信誘導装置は、ＡＲＰリクエストを送信する送信元に割り当てられたＩＰアドレスが誘導済みでなければ、偽のＡＲＰリプライを返答することにより、通信を誘導する。その後、該通信誘導装置は、偽のＡＲＰリプライにより誘導されてきたＤＮＳ（ｄｏｍａｉｎ＿ｎａｍｅ＿ｓｙｓｔｅｍ）要求に対し、誘導先サーバ装置のＩＰアドレスを示すＤＮＳ応答を返信することによって通信を誘導する。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００６−１６５６７８号公報
【特許文献２】特開２００９−１００２２６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
特許文献２に開示された通信誘導装置は、クライアント端末にプログラムをインストールする必要なく、該クライアント端末が実行する通信を誘導することができるものの、セキュリティを確保することはできない。【０００９】
そこで、本発明の主たる目的は、大きな負荷をかけることなく、情報システムのセキュリティを確保することができる通信制御装置等を提供することである。
【課題を解決するための手段】
【００１０】
前述の目的を達成するために、本発明の一態様において、通信制御装置は、
通信を経由する中継装置を表す識別情報を第１情報処理装置が要求するのに応じて、前記第１情報処理装置に、前記中継装置とは異なる第２情報処理装置を表す前記識別情報を送信する第１送信手段と、
前記第１情報処理装置が前記識別情報に基づき送信するソフトウェアに関するソフトウェア情報が、許可されているソフトウェア情報である場合に、前記第１情報処理装置に、前記中継装置を表す前記識別情報を送信する第２送信手段と
を備える。【００１１】
また、本発明の他の見地として、通信制御方法は、
通信を経由する中継装置を表す識別情報を第１情報処理装置が要求するのに応じて、前記第１情報処理装置に、前記中継装置とは異なる第２情報処理装置を表す前記識別情報を送信し、前記第１情報処理装置が前記識別情報に基づき送信するソフトウェアに関するソフトウェア情報が、許可されているソフトウェア情報である場合に、前記第１情報処理装置に、前記中継装置を表す前記識別情報を送信する。【００１２】
さらに、同目的は、係る通信制御プログラム、及び、そのプログラムを記録するコンピュータ読み取り可能な記録媒体によっても実現される。
【発明の効果】
【００１３】
本発明に係る通信制御装置等によれば、大きな負荷をかけることなく、情報システムのセキュリティを確保することができる。
【図面の簡単な説明】
【００１４】
【図１】本発明の第１の実施形態に係る通信制御装置が有する構成を示すブロック図である。
【図２】第１の実施形態に係る第１送信部における処理の流れを示すフローチャートである。
【図３】第１の実施形態に係る第２送信部における処理の流れを示すフローチャートである。
【図４】情報処理装置における処理の流れを示すフローチャートである。
【図５】ＨＴＴＰメッセージの一例を表す図である。
【図６】本発明の第２の実施形態に係る通信制御装置が有する構成を示すブロック図である。
【図７】第２の実施形態に係る通信制御装置における処理の流れを示すフローチャートである。
【図８】情報処理装置における処理の流れを示すフローチャートである。
【図９】本発明の各実施形態に係る通信制御装置を実現可能な計算処理装置のハードウェア構成を、概略的に示すブロック図である。
【発明を実施するための形態】
【００１５】
次に、本発明を実施する実施形態について図面を参照しながら詳細に説明する。
【００１６】
＜第１の実施形態＞
本発明の第１の実施形態に係る通信制御装置１０１が有する構成と、通信制御装置１０１が行う処理とについて、図１乃至図４を参照しながら詳細に説明する。図１は、本発明の第１の実施形態に係る通信制御装置１０１が有する構成を示すブロック図である。図２は、第１の実施形態に係る第１送信部１０２における処理の流れを示すフローチャートである。図３は、第１の実施形態に係る第２送信部１０３における処理の流れを示すフローチャートである。図４は、情報処理装置２０２における処理の流れを示すフローチャートである。
【００１７】
図１を参照すると、第１の実施形態に係る通信制御装置１０１は、第１送信部１０２と、第２送信部１０３とを有する。
【００１８】
通信システム２０１は、通信制御装置１０１と、情報処理装置２０２（以降、「第１情報処理装置」とも表す）と、中継装置２０３と、通信ネットワーク２０４とを有する。通信制御装置１０１、情報処理装置２０２、及び、中継装置２０３は、通信ネットワーク２０４を経由して相互に通信することができる。中継装置２０３は、たとえば、通信プロトコルの異なる通信ネットワーク同士を通信接続する機能を有するゲートウェイである。
【００１９】
情報処理装置２０２は、中継装置２０３を経由することにより、対象装置２０５と通信することができる。
【００２０】
情報処理装置２０２は、中継装置２０３を経由することにより、通信しようとする情報処理装置を表す対象装置２０５と通信することができる。通信制御装置１０１、情報処理装置２０２、及び、中継装置２０３は、通信ネットワーク２０４を経由して、相互に通信することができる。
【００２１】
尚、以降の説明においては、説明の便宜上、通信制御装置１０１は、情報処理装置２０２が通信可能な通信ネットワーク２０４において、同一の通信ネットワークセグメントであるとする。したがって、通信制御装置１０１は、情報処理装置２０２が送信するブロードキャストパケットを検知することができるとする。また、通信制御装置１０１、情報処理装置２０２、中継装置２０３、及び、対象装置２０５等の情報処理装置には、該情報処理装置を一意に識別可能な識別情報が割り当てられているとする。
【００２２】
また、情報処理装置２０２は、通信制御装置１０１が通信に関して実行する制御を信任（信頼）するとする。たとえば、通信制御装置１０１が、通信に関する証明情報（証明書）を発行する場合に、情報処理装置２０２は、該証明情報が正当な（または、正規の）情報であると信頼するとする。すなわち、情報処理装置２０２は、該証明情報を信頼するルート証明情報として格納しているとする。
【００２３】
情報処理装置２０２においては、たとえば、ウェブ（Ｗｅｂ）ブラウザ等を利用することにより、通信ネットワーク２０４を経由して、特定の通信先（たとえば、対象装置２０５）を表すＵＲＬにＨＴＴＰＳを用いて通信する。
【００２４】
ここで、ＵＲＬは、ユニフォームリソースロケータ（Ｕｎｉｆｏｒｍ＿Ｒｅｓｏｕｒｃｅ＿Ｌｏｃａｔｏｒ）の略称を表す。また、ＨＴＴＰＳは、Ｈｙｐｅｒｔｅｘｔ＿Ｔｒａｎｓｆｅｒ＿Ｐｒｏｔｏｃｏｌ＿Ｓｅｃｕｒｅの略称を表す。
【００２５】
情報処理装置２０２の処理を表す図４を参照すると、通信制御装置１０１が通信を制御する対象である情報処理装置２０２は、通信先である情報処理装置（たとえば、対象装置２０５）と通信する場合に、対象装置２０５との通信を中継する中継装置２０３と通信する。情報処理装置２０２は、まず、中継装置２０３を表す識別情報を問い合わせるリクエストを通信ネットワーク２０４に接続する情報処理装置に送信する（ステップＳ１２１）。
【００２６】
識別情報は、たとえば、ＭＡＣアドレスである。また、リクエストは、たとえば、ＡＲＰパケット（ＡＲＰリクエスト）である。この場合に、情報処理装置２０２は、通信ネットワーク２０４に接続する情報処理装置に、中継装置２０３に割り当てられたＩＰ（インターネットプロトコル）アドレスを含むＡＲＰリクエストをブロードキャストする。すなわち、情報処理装置２０２は、中継装置２０３を表す識別情報を問い合わせるＡＲＰリクエストをブロードキャストする。
【００２７】
ここで、ＡＲＰは、Ａｄｄｒｅｓｓ＿Ｒｅｓｏｌｕｔｉｏｎ＿Ｐｒｏｔｏｃｏｌの略称を表す。また、ＭＡＣアドレスは、Ｍｅｄｉａ＿Ａｃｃｅｓｓ＿Ｃｏｎｔｒｏｌ＿ａｄｄｒｅｓｓの略称を表す。
【００２８】
通信制御装置１０１における第１送信部１０２は、情報処理装置２０２が送信するリクエストを受信する（図２のステップＳ１０１）。第１送信部１０２は、該リクエストに応じて、中継装置２０３とは異なる情報処理装置（以降、「第２情報処理装置」とも表す。たとえば、通信制御装置１０１）を表す識別情報（以降、「偽識別情報」と表す）を、情報処理装置２０２に送信する（図２のステップＳ１０２）。
【００２９】
説明の便宜上、中継装置２０３とは異なる情報処理装置は、通信制御装置１０１であるとする。尚、中継装置２０３とは異なる情報処理装置は、通信制御装置１０１と別体であってもよい。
【００３０】
ＡＲＰを例として説明すると、第１送信部１０２は、ＡＲＰリクエストに含まれているＩＰアドレスと、第２情報処理装置（たとえば、通信制御装置１０１）を表すＭＡＣアドレスとを関連付けすることにより、ＡＲＰリプライを作成する。第１送信部１０２は、作成したＡＲＰリプライ（以降、「偽ＡＲＰリプライ」と表す）を、情報処理装置２０２に送信する。すなわち、偽ＡＲＰリプライは、通信制御装置１０１が、中継装置２０３を表す識別情報を問い合わせるＡＲＰリクエストに呼応して、情報処理装置２０２に、第２情報処理装置を表す偽識別情報を送信するリプライである。
【００３１】
図４を参照すると、情報処理装置２０２は、第１送信部１０２が送信する偽識別情報を受信し（ステップＳ１２２）、受信した偽識別情報に基づき、中継装置２０３を表す識別情報が、第２情報処理装置を表す識別情報であると記憶する。したがって、以降、情報処理装置２０２は、当該偽識別情報に従い、通信を実行する。
【００３２】
ＡＲＰを例として説明すると、情報処理装置２０２は、当該偽識別情報として、偽ＡＲＰリプライを受信する。次に、情報処理装置２０２は、受信した偽ＡＲＰリプライに基づき、中継装置２０３に割り当てられたＩＰアドレスと、第２情報処理装置を表す偽識別情報とが関連付けされたＡＲＰ情報を作成する。ＡＲＰ情報は、たとえば、記憶デバイス（不図示）においてＡＲＰテーブルという態様によって保持される。以降、情報処理装置２０２は、対象装置２０５と通信しようとする場合に、ＡＲＰ情報において、中継装置２０３に割り当てられたＩＰアドレスに関連付けされた識別情報（この場合、第２情報処理装置を表す識別情報）を特定する。情報処理装置２０２は、中継装置２０３と通信するのではなく、特定した識別情報が表す第２情報処理装置と通信する。たとえば、第２情報処理装置が通信制御装置１０１である場合に、情報処理装置２０２は、通信制御装置１０１と通信する。
【００３３】
次に、情報処理装置２０２、及び、通信制御装置１０１は、通信を制御するのに要するパラメタの値等を決める。すなわち、情報処理装置２０２、及び、通信制御装置１０１は、ハンドシェイクする（ステップＳ１２３）。たとえば、情報処理装置２０２、及び、通信制御装置１０１は、ＳＳＬ（Ｓｅｃｕｒｅ＿Ｓｏｃｋｅｔｓ＿Ｌａｙｅｒ）に従ってハンドシェイクする。
【００３４】
次に、情報処理装置２０２は、情報処理装置２０２において稼動しているソフトウェア（たとえば、オペレーティングシステム（ＯＳ））の種別、及び、該ソフトウェアのバージョン等のソフトウェア情報を、通信制御装置１０１における第２送信部１０３に送信する（ステップＳ１２４）。
【００３５】
たとえば、ソフトウェア情報は、図５に例示するような、ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ＿Ｔｒａｎｓｆｅｒ＿Ｐｒｏｔｏｃｏｌ）メッセージである。図５は、ＨＴＴＰメッセージの一例を表す図である。
【００３６】
以降、説明の便宜上、ソフトウェア情報は、ＯＳの種別と、該ＯＳのバージョンとを含むとする。
【００３７】
ＨＴＴＰメッセージは、たとえば、情報を取得することを要求するパラメタ（ＧＥＴ）、言語を表すパラメタ（Ａｃｃｅｐｔ−Ｌａｎｇｕａｇｅ）、及び、情報処理装置２０２に関する環境を表すパラメタ（Ｕｓｅｒ−Ａｇｅｎｔ）等を含む。図５に示す例において、「Ｕｓｅｒ−Ａｇｅｎｔ」の項目に、「ＯＳＸ」、「ｖｅｒ．７」が記載されている。これは、ＯＳの種別が「ＯＳＸ」であり、該ＯＳのバージョンが７であることを表す。
【００３８】
図３を参照すると、通信制御装置１０１における第２送信部１０３は、たとえば、情報処理装置２０２が送信したソフトウェア情報に含まれている、ＯＳの種別と、該ＯＳのバージョンとを読み取る（ステップＳ１１１）。
【００３９】
たとえば、図５に示す例において、第２送信部１０３は、ＨＴＴＰメッセージに含まれている「Ｕｓｅｒ−Ａｇｅｎｔ」の項目を参照することにより、ＯＳの種別がＯＳＸであり、ＯＳのバージョンが７であることを読み取る。
【００４０】
次に、通信制御装置１０１における第２送信部１０３は、読み取ったソフトウェア情報に基づき、情報処理装置２０２に、中継装置２０３を表す識別情報を送信する。たとえば、第２送信部１０３は、ソフトウェア情報が、通信システム２０１において使用することが許可されているソフトウェア情報である場合に（ステップＳ１１２にてＹＥＳ）、情報処理装置２０２に、中継装置２０３を表す識別情報を送信する（ステップＳ１１３）。
【００４１】
たとえば、第２送信部１０３は、通信システム２０１において通信が許可されているソフトウェア情報を格納している許可情報を参照し、該許可情報が、受信したソフトウェア情報を含むか否かを判定する。すなわち、この場合に、第２送信部１０３は、受信したソフトウェア情報から、ＯＳの種別と、ＯＳのバージョンとを読み取り、該許可情報が、該ＯＳの種別と、該ＯＳのバージョンとが関連付けされた情報を含むか否かを判定する。許可情報が受信したソフトウェア情報を含む場合に、第２送信部１０３は、情報処理装置２０２から受信したＡＲＰリクエストに含まれているＩＰアドレスと、中継装置２０３を表す識別情報とを関連付けすることにより、ＡＲＰリプライを作成する。次に、第２送信部１０３は、作成したＡＲＰリプライを情報処理装置２０２に送信する。
【００４２】
ソフトウェア情報が、通信システム２０１において使用することが許可されているソフトウェア情報である場合に、情報処理装置２０２は、中継装置２０３を表す識別情報を受信する。以降、情報処理装置２０２は、該識別情報に基づき通信する。
【００４３】
ステップＳ１１２にてＹＥＳである場合の処理に関して、ＡＲＰを例として説明する。情報処理装置２０２は、該ＡＲＰリプライを受信し、受信したＡＲＰリプライから、ＩＰアドレスと、該ＩＰアドレスに関連付けされた識別情報（この場合、中継装置２０３を表す識別情報）とを読み取る。情報処理装置２０２は、該ＩＰアドレスと、受信した識別情報とが関連付けされたＡＲＰ情報を作成する。以降、情報処理装置２０２は、対象装置２０５と通信しようとする場合に、該ＡＲＰ情報から中継装置２０３を表すＩＰアドレスに関連付けされた識別情報（この例の場合、中継装置２０３を表す識別情報）を特定する。情報処理装置２０２は、特定した識別情報が表す情報処理装置（この例の場合、中継装置２０３）と通信する。
【００４４】
第２送信部１０３が図３のステップＳ１１３に示す処理を実行することによって、情報処理装置２０２は、中継装置２０３を経由することにより、対象装置２０５と通信することが可能になる。
【００４５】
これに対して、第２送信部１０３は、ソフトウェア情報が、通信システム２０１において許可されていないソフトウェア情報である場合に（図３のステップＳ１１２にてＮＯ）、上述した処理を実行しない。たとえば、第２送信部１０３は、許可情報が受信したソフトウェア情報を含まないと判定する場合に、上述した処理を実行しない。
【００４６】
図３のステップＳ１１２にてＮＯの場合に、情報処理装置２０２は、図４のステップＳ１２２において受信した偽識別情報に基づき、通信を実行する。たとえば、情報処理装置２０２は、該ＡＲＰ情報において、中継装置２０３を表すＩＰアドレスに関連付けされた識別情報（この例の場合、偽識別情報）を特定する。情報処理装置２０２は、特定した偽識別情報が表す情報処理装置（上述した例においては、通信制御装置１０１）と通信する。したがって、この場合に、情報処理装置２０２は、中継装置２０３を経由することにより情報処理装置（たとえば、対象装置２０５）と通信することができない。
【００４７】
尚、上述した説明において、ソフトウェア情報が許可されているか否かを第２送信部１０３が判定したが、判定部（不図示）が該判定を実行してもよい。この場合、第２送信部１０３は、判定部における判定結果に基づき、図３を参照しながら説明したような処理を実行する。
【００４８】
次に、第１の実施形態に係る通信制御装置１０１に関する効果について説明する。
【００４９】
第１の実施形態に係る通信制御装置１０１によれば、大きな負荷をかけることなく、情報システムのセキュリティを確保することができる。この主な理由は、情報処理装置２０２が送信するソフトウェア情報が、通信システム２０１において使用することが許可されていない場合に、情報処理装置２０２が実行する通信を、通信制御装置１０１が制限するからである。
【００５０】
上述した効果を奏する理由について、より具体的に説明する。情報処理装置２０２は、第１送信部１０２から受信した識別情報が表す情報処理装置と、通信を実行する。
【００５１】
たとえば、情報処理装置２０２は、中継装置２０３を表す識別情報を受信するのに応じて、受信した識別情報と、中継装置２０３に割り当てられたＩＰアドレスとが関連付けされたＡＲＰ情報を作成する。この場合に、情報処理装置２０２は、該ＡＲＰ情報において中継装置２０３に割り当てられたＩＰアドレスに関連付けされた識別情報が表す情報処理装置と通信する。すなわち、第１送信部１０２が送信する識別情報が、中継装置２０３を表す識別情報である場合に、情報処理装置２０２は、中継装置２０３を中継することにより実現される通信を実行することができる。
【００５２】
これに対して、第１送信部１０２が送信する識別情報が、通信制御装置１０１を表す識別情報である場合に、情報処理装置２０２は、中継装置２０３に割り当てられたＩＰアドレスと、通信制御装置１０１を表す識別情報とが関連付けされたＡＲＰ情報を作成する。この場合に、情報処理装置２０２は、作成したＡＲＰ情報に基づき、通信制御装置１０１と通信する。すなわち、情報処理装置２０２は、中継装置２０３を中継することにより実現される通信（たとえば、対象装置２０５との通信）を実行することができない。
【００５３】
すなわち、通信制御装置１０１は、情報処理装置２０２に大きな負荷をかけることがなく、さらに、情報処理装置２０２が送信するソフトウェア情報に基づき、情報処理装置２０２が実行する通信を制限する。
【００５４】
したがって、第１の実施形態に係る通信制御装置１０１によれば、大きな負荷をかけることなく、情報システムのセキュリティを確保することができる。
【００５５】
＜第２の実施形態＞
次に、上述した第１の実施形態を基本とする本発明の第２の実施形態について説明する。
【００５６】
以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。
【００５７】
図６乃至図８を参照しながら、第２の実施形態に係る通信制御装置３０１が有する構成と、通信制御装置３０１が実行する処理とについて説明する。図６は、本発明の第２の実施形態に係る通信制御装置３０１が有する構成を示すブロック図である。図７は、第２の実施形態に係る通信制御装置３０１における処理の流れを示すフローチャートである。図８は、情報処理装置４０２における処理の流れを示すフローチャートである。
【００５８】
図６を参照すると、第２の実施形態に係る通信制御装置３０１は、第１送信部１０２と、第２送信部１０３と、インターフェース部３０２と、証明情報部３０３と、鍵管理部３０４とを有する。
【００５９】
通信システム４０１は、通信制御装置３０１と、情報処理装置４０２と、中継装置２０３と、通信ネットワーク２０４とを有する。通信制御装置３０１、情報処理装置４０２、及び、中継装置２０３は、通信ネットワーク２０４を経由して相互に通信することができる。情報処理装置４０２は、中継装置２０３を経由することにより、対象装置２０５と通信することができる。
【００６０】
情報処理装置４０２は、中継装置２０３を経由して、通信しようとする情報処理装置を表す対象装置２０５と通信することができる。通信制御装置３０１、情報処理装置４０２、及び、中継装置２０３は、通信ネットワーク２０４を経由して、相互に通信することができる。
【００６１】
以下に説明する本実施形態においては、係る通信システム４０１の動作を実現すべく、図４におけるステップＳ１２３に示したハンドシェイクに係る処理を中心に説明する。また、情報処理装置４０２は、上述したように、ステップＳ１２２において受信する偽識別情報に従い通信を実行するとする。
【００６２】
情報処理装置４０２における処理を表す図８を参照すると、通信制御装置３０１が通信を制御する対象である情報処理装置４０２は、対象装置２０５内の通信すべき対象に通信することを要求する開始信号を、通信制御装置３０１に送信する（ステップＳ１４１）。
【００６３】
たとえば、開始信号は、ＣｌｉｅｎｔＨｅｌｌｏメッセージである。情報処理装置４０２は、通信に使うことができる暗号、及び、通信する先である対象装置２０５を表すＵＲＬを含むＣｌｉｅｎｔＨｅｌｌｏメッセージを作成する。次に、情報処理装置４０２は、作成したＣｌｉｅｎｔＨｅｌｌｏメッセージを、通信制御装置３０１に送信する。
【００６４】
次に、通信制御装置３０１におけるインターフェース部３０２は、該開始信号を受信し、対象装置２０５を表す名称を読み取り（図７のステップＳ１３１）、読み取った名称を証明情報部３０３に対して出力する。
【００６５】
たとえば、インターフェース部３０２は、ＣｌｉｅｎｔＨｅｌｌｏメッセージを受信し、受信したＣｌｉｅｎｔＨｅｌｌｏメッセージに含まれているＵＲＬから、対象装置２０５を表すＦＱＤＮを読み取る。ここで、ＦＱＤＮは、Ｆｕｌｌｙ＿Ｑｕａｌｉｆｉｅｄ＿Ｄｏｍａｉｎ＿Ｎａｍｅの略称を表す。たとえば、ＵＲＬが「ｈｔｔｐｓ：／／ａａ／ｂ／ｃｃ」であれば、インターフェース部３０２は、ＦＱＤＮとして、ａａを読み取る。次に、インターフェース部３０２は、読み取ったＦＱＤＮを証明情報部３０３に送信する。次に、インターフェース部３０２は、情報処理装置４０２に、ＣｌｉｅｎｔＨｅｌｌｏメッセージに呼応するＳｅｒｖｅｒＨｅｌｌｏを送信する。
【００６６】
証明情報部３０３は、インターフェース部３０２が出力した名称を入力する。次に、証明情報部３０３は、鍵管理部３０４に証明情報（証明書）を作成するのに要する秘密鍵を要求するリクエストを送信する（ステップＳ１３２）。
【００６７】
次に、鍵管理部３０４は、該リクエストを受信し、受信したリクエストに呼応して、秘密鍵を証明情報部３０３に送信する。
【００６８】
証明情報部３０３は、鍵管理部３０４が送信した秘密鍵を受信し（ステップＳ１３３）、受信した秘密鍵と、入力した名称とに基づき、通信制御装置３０１が信頼のおける（正当な、正規の）情報処理装置であることを表す証明情報（証明書）を作成する（ステップＳ１３４）。次に、証明情報部３０３は、送受信する情報を暗号化する公開鍵を、証明情報に追加する。証明情報部３０３は、作成した証明情報を、インターフェース部３０２に送信する（ステップＳ１３５）。
【００６９】
上述した例において、証明情報部３０３は、該ＦＱＤＮを受信する。次に、証明情報部３０３は、鍵管理部３０４に、証明情報を発行するのに要する秘密鍵を要求するリクエストを送信する。鍵管理部３０４は、該リクエストを受信するのに応じて、秘密鍵を証明情報部３０３に送信する。証明情報部３０３は、該秘密鍵を受信する。証明情報部３０３は、受信したＦＱＤＮと、受信した秘密鍵とを用いて、通信制御装置３０１に関する証明情報を作成し、作成した証明情報をインターフェース部３０２に送信する。この場合に、証明情報部３０３が作成した証明情報は、送受信する情報を暗号化する公開鍵を含む。
【００７０】
インターフェース部３０２は、該証明情報を受信し、受信した証明情報を情報処理装置４０２に送信する（ステップＳ１３５）。
【００７１】
たとえば、インターフェース部３０２は、Ｃｅｒｔｉｆｉｃａｔｅメッセージとして、情報を暗号化する公開鍵を含む証明情報を、情報処理装置４０２に送信する。
【００７２】
情報処理装置４０２は、該証明情報を受信し（図８のステップＳ１４２）、自装置が格納する証明情報のうち、受信した証明情報と一致する証明情報があることを確認する（ステップＳ１４３）。上述したように、情報処理装置４０２は、既に、証明情報部３０３が発行した証明情報を格納しているので、自装置が格納する証明情報は、受信した証明情報を含む。
【００７３】
この結果、情報処理装置４０２は、通信制御装置３０１が信頼された情報処理装置でないという情報を表すエラーを出力しない。
【００７４】
すなわち、上述した処理により、情報処理装置４０２と、通信制御装置３０１とは、ＳＳＬハンドシェイクする。
【００７５】
以降、情報処理装置４０２は、公開鍵を用いて情報を暗号化し、暗号化した情報を用いて通信を実行する。
【００７６】
次に、第２の実施形態に係る通信制御装置３０１に関する効果について説明する。
【００７７】
本実施形態に係る通信制御装置３０１によれば、大きな負荷をかけることなく、情報システムのセキュリティを確保することができる。さらに、通信制御装置３０１によれば、情報処理装置４０２を利用するユーザに負担をかけることが少ない。この理由は、下記の理由１及び理由２である。
【００７８】
（理由１）第２の実施形態に係る通信制御装置３０１が有する構成は、第１の実施形態に係る通信制御装置１０１が有する構成を含むからである、
（理由２）上述したような処理を実行することにより、情報処理装置４０２が証明情報に関するエラーを出力することがないからである。
【００７９】
すなわち、本実施形態では、情報処理装置４０２は、あらかじめ、証明情報部３０３が作成する証明情報を、所定の証明情報として記憶している。情報処理装置４０２が自装置に通信を開始するのに応じて、証明情報部３０３が送信する証明情報は、所定の証明情報と一致する。したがって、情報処理装置４０２は、証明情報に関するエラーを出力しない。
【００８０】
（ハードウェア構成例）
上述した本発明の各実施形態における通信制御装置を、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、係る通信制御装置は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現してもよい。また、係る通信制御装置は、専用の装置として実現してもよい。
【００８１】
図９は、第１の実施形態及び第２の実施形態に係る通信制御装置を実現可能な計算処理装置のハードウェア構成を概略的に示す図である。計算処理装置２０は、中央処理演算装置（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ、以降「ＣＰＵ」と表す）２１、メモリ２２、ディスク２３、不揮発性記録媒体２４、及び、通信インターフェース（以降、「通信ＩＦ」と表す）２７を有する。計算処理装置２０は、さらに、入力装置２５、出力装置２６を有してもよい。計算処理装置２０は、通信ＩＦ２７を介して、他の計算処理装置、及び、通信装置と情報を送受信することができる。
【００８２】
不揮発性記録媒体２４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Ｃｏｍｐａｃｔ  Ｄｉｓｃ）、デジタルバーサタイルディスク（Ｄｉｇｉｔａｌ＿Ｖｅｒｓａｔｉｌｅ＿Ｄｉｓｃ）である。また、不揮発性記録媒体２４は、ユニバーサルシリアルバスメモリ（ＵＳＢメモリ）、ソリッドステートドライブ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）等であってもよい。不揮発性記録媒体２４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。不揮発性記録媒体２４は、上述した媒体に限定されない。また、不揮発性記録媒体２４の代わりに、通信ＩＦ２７及び通信ネットワークを介して、係るプログラムを持ち運びしてもよい。
【００８３】
すなわち、ＣＰＵ２１は、ディスク２３が記憶するソフトウェア・プログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際にメモリ２２にコピーし、演算処理を実行する。ＣＰＵ２１は、プログラム実行に必要なデータをメモリ２２から読み取る。表示が必要な場合には、ＣＰＵ２１は、出力装置２６に出力結果を表示する。外部からプログラムを入力する場合、ＣＰＵ２１は、入力装置２５からプログラムを読み取る。ＣＰＵ２１は、上述した図１、または、図６に示す各部が表す機能（処理）に対応するところのメモリ２２にある通信制御プログラム（図２、図３、図４、図７、または、図８）を解釈し実行する。ＣＰＵ２１は、上述した本発明の各実施形態において説明した処理を順次行う。
【００８４】
すなわち、このような場合、本発明は、係る通信制御プログラムによっても成し得ると捉えることができる。更に、係る通信制御プログラムが記録されたコンピュータ読み取り可能な不揮発性の記録媒体によっても、本発明は成し得ると捉えることができる。
【００８５】
以上、上述した実施形態を模範的な例として本発明を説明した。しかしながら、本発明は、上述した実施形態には限定されない。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。
【００８６】
この出願は、２０１４年９月２５日に出願された日本出願特願２０１４−１９５２８２を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【００８７】
１０１    通信制御装置
１０２    第１送信部
１０３    第２送信部
２０１    通信システム
２０２    情報処理装置
２０３    中継装置
２０４    通信ネットワーク
２０５    対象装置
３０１    通信制御装置
３０２    インターフェース部
３０３    証明情報部
３０４    鍵管理部
４０１    通信システム
４０２    情報処理装置
２０    計算処理装置
２１    ＣＰＵ
２２    メモリ
２３    ディスク
２４    不揮発性記録媒体
２５    入力装置
２６    出力装置
２７    通信ＩＦ
【図１】
2016047105.tif 000003
【図２】
2016047105.tif 000004
【図３】
2016047105.tif 000005
【図４】
2016047105.tif 000006
【図５】
2016047105.tif 000007
【図６】
2016047105.tif 000008
【図７】
2016047105.tif 000009
【図８】
2016047105.tif 000010
【図９】
2016047105.tif 000011
【手続補正書】
【提出日】平成29年2月20日(2017.2.20)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
通信を経由する中継装置を表す識別情報を第１情報処理装置が要求するのに応じて、前記第１情報処理装置に、前記中継装置とは異なる第２情報処理装置を表す前記識別情報を送信する第１送信手段と、
前記第１情報処理装置が前記識別情報に基づき送信するソフトウェアに関するソフトウェア情報が、許可されているソフトウェア情報である場合に、前記第１情報処理装置に、前記中継装置を表す前記識別情報を送信する第２送信手段と
を備える通信制御装置。
【請求項２】
前記ソフトウェア情報が、自装置において許可されているか否かを判定する判定手段
をさらに備え、
前記第２送信手段は、前記ソフトウェア情報が許可されていると前記判定手段が判定する場合に、前記中継装置を表す前記識別情報を送信する
請求項１に記載の通信制御装置。
【請求項３】
前記判定手段は、自装置において許可されているソフトウェア情報が格納された許可情報に、前記ソフトウェア情報が含まれているか否かに応じて判定する
請求項２に記載の通信制御装置。
【請求項４】
前記開始信号に含まれているＵＲＬから、前記第１情報処理装置が通信する対象である対象装置を識別する名称を読み取るインターフェース手段を
さらに備え、
前記証明情報手段は、前記名称に基づき、前記証明情報を作成する
請求項３に記載の通信制御装置。
【請求項５】
請求項１乃至請求項４のいずれかに記載の通信制御装置と、
前記第１情報処理装置と
を備え、
前記第１情報処理装置は、前記通信制御装置が送信する前記識別情報に基づき、通信を実行する
情報システム。
【請求項６】
前記通信制御装置は、
前記第１情報処理装置が自装置に通信を開始する開始信号を送信するのに応じて、自装置が信頼できる情報処理装置であることを表す証明情報を作成し、作成した前記証明情報を前記第１情報処理装置に送信する証明情報手段
をさらに備え、
前記第１情報処理装置は、自装置にあらかじめ格納された証明情報と、受信した前記証明情報とが一致することを確認する
請求項５に記載の情報システム。
【請求項７】
計算処理装置によって、通信を経由する中継装置を表す識別情報を第１情報処理装置が要求するのに応じて、前記第１情報処理装置に、前記中継装置とは異なる第２情報処理装置を表す前記識別情報を送信し、前記第１情報処理装置が前記識別情報に基づき送信するソフトウェアに関するソフトウェア情報が、許可されているソフトウェア情報である場合に、前記第１情報処理装置に、前記中継装置を表す前記識別情報を送信する通信制御方法。
【請求項８】
通信を経由する中継装置を表す識別情報を第１情報処理装置が要求するのに応じて、前記第１情報処理装置に、前記中継装置とは異なる第２情報処理装置を表す前記識別情報を送信する第１送信機能と、
前記第１情報処理装置が前記識別情報に基づき送信するソフトウェアに関するソフトウェア情報が、許可されているソフトウェア情報である場合に、前記第１情報処理装置に、前記中継装置を表す前記識別情報を送信する第２送信機能と
をコンピュータに実現させる通信制御プログラム。
【請求項９】
前記ソフトウェア情報が、自装置において許可されているか否かを判定する判定機能
をさらにコンピュータに実現させ、
前記第２送信機能において、前記ソフトウェア情報が許可されていると前記判定機能において判定する場合に、前記中継装置を表す前記識別情報を送信する
請求項８に記載の通信制御プログラム。
【請求項１０】
前記判定機能において、自装置において許可されているソフトウェア情報が格納された許可情報に、前記ソフトウェア情報が含まれているか否かに応じて判定する
請求項９に記載の通信制御プログラム。
【国際調査報告】
2016047105.tif 000012
2016047105.tif 000013
2016047105.tif 000014
2016047105.tif 000015