(57)【要約】【課題】利用者認証により利用者の正当性を保証しつつ、利用者認証の手間を削減する。【解決手段】ネットワーク通信の際に、ＩＣカードＩＤを保持したＩＣカード４３を用いる。ここで、ＩＣカードＩＤは、利用者認証情報、利用者ＩＰｖ６アドレス及びＳＡからなるものとする。このため、ＩＣカードＩＤを送信することにより、利用者認証情報の送信と、ログイン処理のための利用者ＩＰｖ６アドレスの送信とを同時に行うことができる。従って、利用者認証により利用者の正当性を保証しつつ、利用者認証の手間を削減することができる。【選択図】　図２
2004102879.tif 000002
【特許請求の範囲】
【請求項１】
リモートサイトからホームサイトに通信する際に、利用者認証機構とネットワークアクセス付与機能とを連携させて通信するための利用者認証ネットワーク通信システムであって、
前記ホームサイトの利用者アドレス及び利用者認証情報が読出可能に予め記憶され、携帯されて移動可能な携帯装置と、
前記リモートサイトに配置され、前記通信を開始するとき、前記携帯装置内の利用者認証情報及び利用者アドレスと自己の通信機器アドレスとを含む認証要求を生成し、この認証要求を送信する通信機器と、
前記リモートサイトに配置され、前記通信機器から認証要求を受けると、この認証要求内の利用者アドレスに基づいて、前記ホームサイトのアドレスを導出し、このアドレスを宛先に前記認証要求を送信するリモート側ゲートウェイ装置と、
前記リモート側ゲートウェイ装置から認証要求を受けると、この認証要求を自サイト内に送信するホーム側ゲートウェイ装置と、
前記ホーム側ゲートウェイ装置から認証要求を受けると、予め保持した利用者認証情報に基づいて前記認証要求の認証処理を実行し、この認証結果が正当なとき、この認証要求から得られる利用者アドレスと前記リモートサイトとの対応付けを前記ホーム側ゲートウェイ装置に登録し、且つ前記利用者アドレスと前記機器アドレスとの対応付けを前記リモート側ゲートウェイ装置に登録する認証サーバと、
を備えたことを特徴とする利用者認証ネットワーク通信システム。
【請求項２】
請求項１に記載の利用者認証ネットワーク通信システムにおいて、
前記登録される利用者アドレスは、ネットワーク部及びホスト部からなる１２８ビットのＩＰｖ６アドレスであることを特徴とする利用者認証ネットワーク通信システム。
【請求項３】
請求項１に記載の利用者認証ネットワーク通信システムにおいて、
前記登録される利用者アドレスは、ネットワーク部及びホスト部からなる１２８ビットのＩＰｖ６アドレスのうち、６４ビットのホスト部であり、
前記ネットワーク部は、前記ホームサイトのネットワークプレフィックスであることを特徴とする利用者認証ネットワーク通信システム。
【請求項４】
請求項１乃至請求項３のいずれか１項に記載の利用者認証ネットワーク通信システムにおいて、
前記リモートサイトからホームサイトに送信されたパケットに関し、当該パケットの送信元アドレスに示された前記利用者アドレス毎に課金処理を行なう課金装置、
を備えたことを特徴とする利用者認証ネットワーク通信システム。
【請求項５】
リモートサイトからホームサイトに通信する際に、前記ホームサイトの利用者アドレス及び利用者認証情報が読出可能に予め記憶された携帯装置を用い、利用者認証機構とネットワークアクセス付与機能とを連携させて通信するための利用者認証ネットワーク通信システムに関し、前記通信を開始する通信機器に用いられるプログラムであって、
前記通信機器のコンピュータを、
前記リモートサイトから通信を開始するとき、前記携帯装置から読み出した利用者認証情報及び利用者アドレスを一時的にメモリに記憶する手段、
前記メモリ内の利用者認証情報及び利用者アドレスと自己の通信機器アドレスとを含む認証要求を生成する手段、
前記生成した認証要求を送信する手段、
として機能させるためのプログラム。
【請求項６】
リモートサイトからホームサイトに通信する際に、利用者認証機構とネットワークアクセス付与機能とを連携させて通信するための利用者認証ネットワーク通信システムに関し、前記連携のための認証サーバに用いられるプログラムであって、
前記認証サーバのコンピュータを、
利用者認証情報、利用者アドレス及び通信機器アドレスを含む認証要求を前記リモートサイトから受けると、この認証要求を一時的にメモリに記憶させる手段、
前記メモリ内の認証要求に対し、予め保持した利用者認証情報に基づいて認証処理を実行する手段、
前記認証結果が正当なとき、この認証要求から得られる利用者アドレスと前記リモートサイトとの対応付けを前記ホームサイトに配置されたホーム側ゲートウェイ装置に登録する手段、
前記認証結果が正当なとき、この認証要求から得られる利用者アドレスと前記機器アドレスとの対応付けを前記リモートサイトに配置されたリモート側ゲートウェイ装置に登録する手段、
として機能させるためのプログラム。
【請求項７】
リモートサイトからホームサイトに通信する際に、前記ホームサイトの利用者アドレス及び利用者認証情報が読出可能に予め記憶された携帯装置を用い、利用者認証機構とネットワークアクセス付与機能とを連携させて通信するための利用者認証ネットワーク通信システムに関し、前記リモートサイトに配置されたリモート側ゲートウェイ装置に用いられるプログラムであって、
前記リモート側ゲートウェイ装置のコンピュータを、
利用者認証情報、利用者アドレス及び通信機器アドレスを含む認証要求を前記リモートサイト内の通信機器から受けると、この利用者アドレスと通信機器アドレスとの組を一時的にメモリに記憶させる手段
前記認証要求をホームサイトに送信する手段、
前記認証結果が正当のときにホームサイトから送信される登録要求に基づいて、前記一時的に記憶した内容をメモリに登録する手段、
前記登録した内容に基づいて、前記ホームサイトから受けるパケットの宛先アドレスを書換える手段、
として機能させるためのプログラム。
【請求項８】
リモートサイトからホームサイトに通信する際に、利用者認証機構とネットワークアクセス付与機能とを連携させて通信するための利用者認証ネットワーク通信方法であって、
前記ホームサイトの利用者アドレス及び利用者認証情報が読出可能に予め記憶され、携帯されて移動可能な携帯装置を準備する工程と、
前記携帯装置に接続された通信機器が前記通信を開始するとき、この通信機器が前記携帯装置内の利用者認証情報及び利用者アドレスと自己の通信機器アドレスとを含む認証要求を生成し、得られた認証要求を送信する工程と、
前記認証要求を受けたリモート側ゲートウェイ装置が当該認証要求内の利用者アドレスに基づいて、前記ホームサイトのアドレスを導出し、このアドレスに前記認証要求を送信する工程と、
この認証要求をリモート側ゲートウェイ装置から受けたホーム側ゲートウェイ装置が当該認証要求を自サイト内に送信する工程と、
この認証要求をホーム側ゲートウェイ装置から受けた認証サーバが予め保持した利用者認証情報に基づいて前記認証要求の認証処理を実行する工程と、
この認証結果が正当性を示すとき、前記認証サーバが前記認証要求から得られる利用者アドレスと前記リモートサイトとの対応付けを前記ホーム側ゲートウェイ装置に登録する工程と、
前記認証結果が正当性を示すとき、前記認証サーバが前記利用者アドレスと前記機器アドレスとの対応付けを前記リモート側ゲートウェイ装置に登録する工程と、
を備えたことを特徴とする利用者認証ネットワーク通信方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、互いに異なるネットワーク間の通信に用いられる利用者認証ネットワーク通信システム、プログラム及び方法に係り、特に、利用者認証の手間を削減し得る利用者認証ネットワーク通信システム、プログラム及び方法に関する。
【０００２】
【従来の技術】
近年、ネットワーク技術の普及に伴い、図１４に示すように、自己の機器１１が接続されたネットワーク１２と、他者の機器２１が接続されたネットワーク２２とが互いにルータ１３、インターネット３０及びルータ２３を介して接続される場合がある。ここで、ネットワーク１２に接続されてこのネットワーク１２のネットワークアドレスを持つ機器のグループをホームサイト１０と呼ぶ。また、ネットワーク２２に接続されてこのネットワーク２２のネットワークアドレスを持つ機器のグループをリモートサイト２０と呼ぶ。なお、ホームサイト１０とリモートサイト２０とは、通常、地理的に離れている。
【０００３】
ホームサイト１０の機器１１は、予め割当てられたネットワークアドレスを用いて自サイト１０上の他の機器にアクセス可能となっている。
【０００４】
一方、ネットワーク１２の利用者Ｕは、利用者認証情報１４ｃを認証サーバ１４に予め登録しておき、ネットワーク１２の利用時に必要により利用者ＩＤ１４ａとパスワード１４ｂとを認証サーバ１４に問合せて、自身を認証する。
【０００５】
また、図１４の破線矢印に示すように、ホームサイト１０の利用者Ｕがリモートサイト２０に行き、リモートサイト２０のネットワーク２２上の機器２３にログオンする場合、リモートサイト２０のネットワークアドレスを用いるため、ホームサイト１０の環境とは異なる手順を用いる必要がある。
【０００６】
この場合、ホームサイト１０の機器１１をリモートサイト２０に持ち込んでモバイルＩＰ技術を用いることにより、ホームサイト１０と同じ環境によるログオンが可能となる。詳しくは、モバイルＩＰ技術により、ホームサイト１０上のホームアドレスと、リモートサイト２０上のケアオブ（気付）アドレスとを関連付け（バインディング）して機器１１が保持する。しかる後、このバインディングの内容を各ネットワーク１２，２２のエージェント（図示せず）に登録することにより、持ち込んだ機器１１によるログオンを可能としている。
【０００７】
また、ネットワーク越しに認証を行なう場合、所定のプロトコル仕様に沿って行われる（例えば、非特許文献１参照）。
【０００８】
【非特許文献１】
「リモート・オーセンチケーション・ダイアル・イン・ユーザ・サービス（Ｒｅｍｏｔｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｄｉａｌ　Ｉｎ　Ｕｓｅｒ　Ｓｅｒｖｉｃｅ）」、［ｏｎｌｉｎｅ］、ＲＦＣ２８６５、［平成１４年９月１１日検索］、インターネット＜ＵＲＬ：
ｈｔｔｐ：／／ｗｗｗ．ｉｅｆｔ．ｏｒｇ／ｒｆｃ／ｒｆｃ２８６５．ｔｘｔ？ｎｕｍｂｅｒ＝２８６５
【０００９】
【発明が解決しようとする課題】
しかしながら、以上のような通信システムでは、ネットワーク１２の利用時に必要により利用者認証をすることから、本発明者の考察によれば、利用者認証をしない場合には利用者の正当性が保証されない問題があり、利用者認証をする場合にはログオン処理とは別に利用者認証の手間がかかってしまう。
【００１０】
また、機器１１をリモートサイト２０で使用する場合、機器１１がホームサイト１０とリモートサイト２０との各々のネットワークアドレスを保持することになる。このため、認証されてない利用者でも、ホームサイト１０とリモートサイト２０にアクセス可能となるので、ホームサイト１０及びリモートサイト２０の各々に対し、セキュリティ性を低下させてしまう。また、リモートサイト２０からホームサイト１０に通信する際に、リモートサイト２０のセキュリティポリシに従うので、ホームサイト１０のセキュリティレベルを維持できない場合がある。
【００１１】
本発明は上記実情を考慮してなされたもので、利用者認証により利用者の正当性を保証しつつ、利用者認証の手間を削減し得る利用者認証ネットワーク通信システム、プログラム及び方法を提供することを目的とする。
【００１２】
また、本発明の他の目的は、認証されてない利用者のアクセスを阻止し、セキュリティ性の低下を防止し得る利用者認証ネットワーク通信システム、プログラム及び方法を提供することにある。
【００１３】
さらに、本発明の他の目的は、リモートサイトからホームサイトに通信する際に、ホームサイトのセキュリティレベルを維持し得る利用者認証ネットワーク通信システム、プログラム及び方法を提供することにある。
【００１４】
【課題を解決するための手段】
第１の発明は、リモートサイトからホームサイトに通信する際に、利用者認証機構とネットワークアクセス付与機能とを連携させて通信するための利用者認証ネットワーク通信システムであって、前記ホームサイトの利用者アドレス及び利用者認証情報が読出可能に予め記憶され、携帯されて移動可能な携帯装置と、前記リモートサイトに配置され、前記通信を開始するとき、前記携帯装置内の利用者認証情報及び利用者アドレスと自己の通信機器アドレスとを含む認証要求を生成し、この認証要求を送信する通信機器と、前記リモートサイトに配置され、前記通信機器から認証要求を受けると、この認証要求内の利用者アドレスに基づいて、前記ホームサイトのアドレスを導出し、このアドレスを宛先に前記認証要求を送信するリモート側ゲートウェイ装置と、前記リモート側ゲートウェイ装置から認証要求を受けると、この認証要求を自サイト内に送信するホーム側ゲートウェイ装置と、前記ホーム側ゲートウェイ装置から認証要求を受けると、予め保持した利用者認証情報に基づいて前記認証要求の認証処理を実行し、この認証結果が正当なとき、この認証要求から得られる利用者アドレスと前記リモートサイトとの対応付けを前記ホーム側ゲートウェイ装置に登録し、且つ前記利用者アドレスと前記機器アドレスとの対応付けを前記リモート側ゲートウェイ装置に登録する認証サーバと、を備えた利用者認証ネットワーク通信システムである。
【００１５】
このように、通信を開始するとき、利用者認証情報及び利用者アドレスと自己の通信機器アドレスとを含む認証要求を送信するので、ログイン操作と利用者認証操作とを同時に実行することができる。このため、利用者認証により利用者の正当性を保証しつつ、利用者認証の手間を削減することができる。
【００１６】
また、利用者認証を行なうので、認証されてない利用者のアクセスを阻止し、セキュリティ性の低下を防止することができる。
【００１７】
さらに、ホームサイト側の認証サーバが、各アドレスの対応付けを各ゲートウェイ装置に登録するので、リモートサイトからホームサイトに通信する際に、ホームサイトのセキュリティレベルを維持することができる。
【００１８】
なお、第１の発明は、各装置の集まりからなるシステム全体を「システム」として表現したが、これに限らず、各装置の集まり又は各装置を「装置」、「プログラム」、「コンピュータ読取り可能な記憶媒体」又は「方法」として表現しても良いことは言うまでもない。
【００１９】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照して説明する。なお、以下の各実施形態においては、記憶媒体の例としてＩＣカード（スマートカード）を用い、ネットワークアドレスの例としてＩＰｖ６アドレスを用いる。但し、各実施形態は、これらの典型例に限定されず、他の記憶媒体及び／又はネットワークアドレスを用いても実現できることは言うまでもない。
【００２０】
（第１の実施形態）
図１は本発明の第１の実施形態に係る通信システムの構成例を示す模式図である。この通信システムは、ホームサイト４０、リモートサイト５０及び他サイト６０が互いにインターネット３０を介して接続されている。
【００２１】
ここで、ホームサイト４０では、認証サーバ４１及びメールサーバ４２がゲートウェイＧＷ−Ｈを介してインターネット３０に接続されている。
【００２２】
認証サーバ４１は、予め利用者ＵのＩＣカード４３内の後述するＩＣカードＩＤを認証し、このＩＣカードＩＤの情報を自己のメモリに登録する機能と、ゲートウェイＧＷ−Ｈから転送されたパケット内の利用者認証情報の正当性を確認する機能と、確認の後、パケット内の利用者ＩＰｖ６アドレスとリモートサイトのゲートウェイＧＷ−ＲのＩＰｖ６アドレスとの対応関係を自己のメモリに記憶する機能と、この対応関係を登録するための指示をゲートウェイＧＷ−Ｈに送信する機能と、登録完了を受けると、利用者ＩＰｖ６アドレスＩＰ−Ｕ宛に、登録完了メッセージを送信する機能とをもっている。
【００２３】
メールサーバ４２は、ホームサイト４０のネットワークに接続された通常のメールサーバである。
【００２４】
ＩＣカード４３は、図２に示すように、ホームサイト４０の認証サーバ４１により認証されたＩＣカードＩＤ４４を読出可能に保持するものである。ここで、ＩＣカードＩＤ４４は、利用者認証情報ｉ、利用者ＩＰｖ６アドレス１，ＳＡ１〜利用者ＩＰｖ６アドレスｎ，ＳＡｎからなるものである。なお、利用者ＩＰｖ６アドレスとＳＡとは互いに一対一の対応関係にある。また、利用者ＩＰｖ６アドレス及びＳＡの組は、１組以上がＩＣカード４３に保持されており、ＩＣカード４３を用いた通信開始時にいずれか１組が選択される。
【００２５】
ゲートウェイＧＷ−Ｈは、インターネット３０とホームサイト４０のネットワークとの間に配置され、通常のゲートウェイの転送機能に加え、認証サーバ４１の指示によりアクセスリストを自己のメモリに登録する機能をもっている。
【００２６】
リモートサイト５０では、２台のＰＣ（パーソナルコンピュータ）５１，５２及び認証サーバ５３がゲートウェイＧＷ−Ｒを介してインターネット３０に接続されている。また、ＰＣ５１に接続されたカードリーダ５１ａが、着脱自在に保持したＩＣカード４３からＩＣカードＩＤ４４を読出してＰＣ５１に入力可能となっている。
【００２７】
ゲートウェイＧＷ−Ｒは、インターネット３０とリモートサイト５０のネットワークとの間に配置され、通常のゲートウェイの転送機能に加え、認証サーバ４１の指示によりアクセスリストを自己のメモリに登録する機能をもっている。
【００２８】
ＰＣ５１は、通常のコンピュータにおける処理機能と、カードリーダ５１ａを介して読出されたＩＣカードのＩＣカードＩＤ４４に基づいて、任意のサイトに通信を行なう通信機能とをもっている。
【００２９】
なお、ＰＣ５１及びカードリーダ５１ａの組合せは、機器の一例であり、機器はこれに限定されない。例えば機器は、ＰＣ５１，カードリーダ５１ａ及びＩＣカード４３の機能を有する携帯電話としてもよく、または、ＰＣ５１及びカードリーダ５１ａの機能を有する携帯電話としてもよい。後者の場合、ＩＣカード４３の機能を有する利用者装置が携帯電話に取り付けられて使用可能となる。また、機器は、ＩＣカード４３及びカードリーダ５１ａの機能を有するネットワークカードとしてもよく、この場合、ＰＣ５１はネットワークカードを装着自在に保持することは言うまでもない。
【００３０】
ＰＣ５２は、ＰＣ５１と同様の機能を有するコンピュータである。なお、各ＰＣ５１，５２は、他のサイトの送信元アドレスをもつパケットに関し、ゲートウェイ経由以外のものを受け付けない（又はゲートウェイ経由のもののみを受け付ける）とするセキュリティポリシで動作する。
【００３１】
認証サーバ５３は、リモートサイトのネットワークに接続され、前述したホームサイト４０の認証サーバ４１と同様の機能をもつものである。
【００３２】
他サイト６０では、サーバ６１がゲートウェイＧＷ−Ａを介してインターネット３０に接続されている。
【００３３】
サーバ６１は、他サイト６０のネットワークに接続され、通常のサーバの通信機能を有するものである。
【００３４】
ゲートウェイＧＷ−Ａは、インターネット３０と他サイト６０のネットワークとの間に配置され、通常のゲートウェイの機能をもつものである。
【００３５】
次に、以上のように構成された通信システムの動作を説明する。
（準備：利用者登録）
利用者Ｕはネットワークに接続するためにＩＣカード４３を得る必要がある。そのために、ＩＣカード４３を認証サーバ４１に接続し、ＩＣカードＩＤ４４の情報を登録し、認証サーバ４１とＩＣカード４３の間でこれを共有し、格納する。ＩＣカードＩＤ４４は認証情報、利用者が使用可能なＩＰｖ６アドレス、ＳＡからなり、ＩＰｖ６アドレスとＳＡは１対１の対応関係にある。また、ＩＰｖ６アドレスとＳＡは一つのＩＣカード４３について複数存在しても良い。
【００３６】
また、このＩＣカード４３を利用するためにリモートサイト５０においてネットワークに接続する機器はＩＣカード４３を読み取る機能を備えるか、ＩＣカード読取り用の装置を装備していなければならない。なお、ＩＣカードの読取機能又は読取装置が必要なことは、ＩＣカードを利用する全ての実施形態で同様である。
【００３７】
（リモートサイト５０での利用）
利用者Ｕは、認証サーバ４１において認証されたＩＣカード４３を持っており、リモートサイト５０においてネットワーク接続されたパソコンＰＣ５１を使用するために、ＩＣカード４３をカードリーダ５１ａに接続する。
【００３８】
カードリーダ５１ａは、ＩＣカード４３内の利用者認証情報ｉ、利用者ＩＰｖ６アドレスＩＰ−Ｕ、送信元アドレスＳＡを読み取る。ここで、利用者ＩＰｖ６アドレスと送信元アドレスＳＡとが複数記録されている場合、カードリーダ５１ａは、その内の任意のアドレスを選択できるとする。
【００３９】
ＰＣ５１は、選択された利用者ＩＰｖ６アドレスＩＰ−Ｕの正当性と利用者認証情報ｉを認証するため、認証サーバ４１に問合せを行なう。しかし、この問合せは、ＰＣ５１が直接認証サーバ４１に問合せるのでなく、リモートサイト５０のゲートウェイＧＷ−Ｒがホームサイト４０のゲートウェイＧＷ−Ｈに問合せを代行することにより、行われる。
【００４０】
まず図３に示すように、ＰＣ５１は、図４に示す如き、パケットＰｋｔ１をゲートウェイＧＷ−Ｒに送信する（ＳＴ１）。
【００４１】
ゲートウェイＧＷ−Ｒは、ヘッダＨＤ１のＰＣ５１のＩＰｖ６アドレスＩＰ−ＰＣと、ペイロードＰＹ１の利用者ＩＰｖ６アドレスＩＰ−Ｕとを対応付けして自己のメモリに一時的に保存する。
【００４２】
また、ゲートウェイＧＷ−Ｒは、利用者ＩＰｖ６アドレスＩＰ−Ｕのネットワーク部からホームサイト４０のゲートウェイＧＷ−Ｈのアドレスを導き出す。そして、ゲートウェイＧＷ−Ｒは、オリジナルの問合せパケットのペイロードＰＹ１だけをそのまま残し、図５に示す如き、パケットＰｋｔ２を生成してホームサイト４０のゲートウェイＧＷ−Ｈに送信する（ＳＴ２）。
【００４３】
ゲートウェイＧＷ−Ｈは、このパケットＰｋｔ２のペイロードＰＹ１の先頭に認証識別子ＩＤ−Ａが付加されていた場合、図６に示す如き、パケットＰｋｔ３を認証サーバ４１に転送する（ＳＴ３）。このパケットＰｋｔ３中、ヘッダＨＤ３の送信元アドレス（ＩＰ−Ｒ）は、認証サーバ４１が送信元のゲートウェイＧＷ−Ｒを識別できるように、ＳＴ２のヘッダＨＤ２と同じ内容（ＩＰ−Ｒ）になっている。
【００４４】
なお、ホームサイト４０のゲートウェイＧＷ−Ｈと認証サーバ４１とを互いに別の装置に設けた場合を説明したが、これに限らず、両者を同一装置に設けても構わない。
【００４５】
認証サーバ４１は、ステップＳＴ３で転送されたパケットＰｋｔ３から利用者の認証情報ｉを取出し、その正当性を確認する。
【００４６】
確認が完了すると、ペイロードＰＹ１に含まれる利用者ＩＰｖ６アドレスＩＰ−Ｕと、ヘッダＨＤ３に含まれるＧＷ−ＲのＩＰｖ６アドレスＩＰ−Ｒとを対応付けして自己のメモリに記憶し、利用者ＩＰｖ６アドレスＩＰ−Ｕがリモートサイト５０内にある旨を把握する。認証サーバ４１は、利用者ＩＰｖ６アドレスＩＰ−Ｕが利用者に一意に対応付けされることから、利用者の位置情報を取得可能である。
【００４７】
また、利用者ＩＰｖ６アドレスＩＰ−Ｕ宛てのパケットは最初にホームサイト４０に送信されてくるため、このパケットをリモートサイト５０に転送する必要がある。従って、認証サーバ４１は、利用者ＩＰｖ６アドレスＩＰ−Ｕとリモートサイト５０とを対応付けるように指示をゲートウェイＧＷ−Ｈに送信する（ＳＴ４）。
【００４８】
ゲートウェイＧＷ−Ｈは、ＳＴ４の対応付けを含むアクセスリスト（許可アドレスのリスト）をメモリ内のルーティング情報に記憶させる。
【００４９】
しかる後、ゲートウェイＧＷ−Ｈは、リモートサイト４０のゲートウェイＧＷ−Ｒが後述する利用者ＩＰｖ６アドレスＩＰ−Ｕ宛をペイロードＰＹに含むパケットを転送できるように、対応付けの登録指示を送信する（ＳＴ５）。
【００５０】
ゲートウェイＧＷ−Ｒは、登録指示を受けると、予めステップＳＴ１の後に一時的に記憶した対応付け情報をメモリ内のアクセスリストに登録し、登録完了を認証サーバ４１に送信する（ＳＴ６）。
【００５１】
認証サーバ４１は、登録完了を受けると、利用者ＩＰｖ６アドレスＩＰ−Ｕ宛に、登録完了メッセージを送信する（ＳＴ７）。
【００５２】
この登録完了メッセージは、経路途中の各ゲートウェイＧＷ−Ｈ，ＧＷ−Ｒに検知され、各ゲートウェイＧＷ−Ｈ，ＧＷ−Ｒにおける利用者ＩＰｖ６アドレスＩＰ−Ｕのトラフィックの通過を有効にする。
【００５３】
また、ＰＣ５１は、登録完了メッセージを受信すると、登録完了メッセージ内の認証サーバ４１のＩＰｖ６アドレスＩＰ−Ａを自己のメモリに保存する。但し、ＰＣ５１はこのＩＰｖ６アドレスＩＰ−ＡをＩＣカード４３には書込まない。
【００５４】
以後、リモートサイト５０とホームサイト４０との間では、ＩＣカード４３内のユニークな利用者ＩＰｖ６アドレスＩＰ−Ｕを用い、通信を実行することができるようになる。
【００５５】
（セキュリティ）
以上の通信全体のシーケンスにおいて、利用者認証情報ｉを暗号化しても良い。この場合、ＩＣカード４３が利用者認証情報ｉを暗号化し、暗号化利用者認証情報ｉ’を生成する。この暗号化利用者認証情報ｉ’は、認証サーバ４１により復号される。また、ＰＣ５１から認証サーバ４１までの通信経路上のノードは、暗号化利用者認証情報ｉ’を復号することはできない。
【００５６】
（通信：リモートサイト５０−ホームサイト４０間）
次に、リモートサイト５０内の機器（例、ＰＣ５１）からホームサイト４０の機器（例、メールサーバ４２）にアクセスする手順を説明する。
図７に示すように、ＰＣ５１は、カードリーダ５１ａによりＩＣカード４３を保持すると、利用者Ｕの操作により、図８に示す如き、パケットＰｋｔ４を送信する（ＳＴ１１）。
【００５７】
ゲートウェイＧＷ−Ｒは、送信元アドレス（利用者ＩＰｖ６アドレスＩＰ−Ｕ）がリモートサイト４０のアドレスではない旨を検査するが、この送信元アドレスが既にアクセスリストに登録されているため、パケットＰｋｔ４をフィルタリングせずにインターネット３０側に転送する。
【００５８】
このパケットＰｋｔ４は、インターネット３０上の経路を通り、ホームサイト４０のゲートウェイＧＷ−Ｈに到着する。
【００５９】
ゲートウェイＧＷ−Ｈは、ホームサイト４０内の送信元アドレスを有するパケットＰｋｔ４がインターネット３０側から到着したため、照合のためにアクセスリストを参照する。
【００６０】
ここで、アクセスリストには、利用者のＩＰｖ６アドレスＩＰ−Ｕがリモートサイト５０に登録されている旨が記録されている。よって、ゲートウェイＧＷ−Ｈは、このパケットＰｋｔ４を通過させてメールサーバ４２に転送する。
【００６１】
これにより、リモートサイト５０のＰＣ５２からホームサイト４０のメールサーバ４２への往路の通信が完了する。
【００６２】
続いて、復路の通信を述べる。
【００６３】
メールサーバ４２は、図９に示す如き、ペイロードＰＹ２を含む利用者ＩＰｖ６アドレスＩＰ−Ｕ宛のパケットＰｋｔ５を生成して送信する（ＳＴ１２）。
【００６４】
ゲートウェイＧＷ−Ｈは、受信したパケットＰｋｔ５をＧＷ−Ｒに転送するためにカプセル化し、図１０に示すように、元のパケットＰｋｔ５全体をペイロードＰＹ３とした新たなパケットＰｋｔ６を得る。その後、ゲートウェイＧＷ−Ｈは、この新たなパケットＰｋｔ６をインターネット３０側に送信する（ＳＴ１３）。
【００６５】
ゲートウェイＧＷ−Ｒは、インターネット３０からパケットＰｋｔ６を受信し、このパケットＰｋｔ６のペイロードＰＹ３から元のパケットＰｋｔ５を得ると、元のパケットＰｋｔ５の宛先の利用者ＩＰｖ６アドレスＩＰ−Ｕに基づいてアクセスリストを参照する。
【００６６】
これにより、ゲートウェイＧＷ−Ｒは、リモートサイト５０に利用者ＩＰｖ６アドレスＩＰ−Ｕが登録されている旨を確認すると、元のパケットＰｋｔ５をＰＣ５１に転送する（ＳＴ１４）。
【００６７】
以上の手順により、ＰＣ５１は、常に利用者ＩＰｖ６アドレスＩＰ−Ｕを使用して通信を実行できる。また、利用者Ｕは、実際に接続しているネットワークを意識しなくて良いので、ネットワークの透過性を実現できる。
【００６８】
（通信：リモートサイト５０−同一リモートサイト５０間）
次に、リモートサイト５０のＰＣ５１が同一リモートサイト５０内の他のＰＣ５２にアクセスする手順を述べる。
【００６９】
ＰＣ５１は、宛先アドレスをＰＣ５２のＩＰｖ６アドレス“ＩＰ−ＰＣ５２”とし、送信元アドレスをＩＣカード４３内の利用者ＩＰｖ６アドレス“ＩＰ−Ｕ”とした送信パケットを送信する。
【００７０】
この送信パケットは、ゲートウェイＧＷ−Ｒに送られる。ゲートウェイＧＷ−Ｒは、この送信パケットを宛先アドレスに基づいて、宛先ＰＣ５２に転送する。
【００７１】
宛先ＰＣ５２は、宛先アドレスをＩＣカード４３内の利用者ＩＰｖ６アドレス“ＩＰ−Ｕ”とし、送信元アドレスをＰＣ５２のＩＰｖ６アドレス“ＩＰ−ＰＣ５２”とした返信パケットを送信する。
【００７２】
返信パケットは、ゲートウェイＧＷ−Ｒに送信される。ゲートウェイＧＷ−Ｒは、アクセスリストを参照し、返信パケットの宛先の利用者ＩＰｖ６アドレスＩＰ−Ｕがリモートサイト５０内にあるので、返信パケットをＰＣ５２に転送する。
【００７３】
以上のように、同一リモートサイト５０内の通信は、ゲートウェイＧＷ−Ｒを介して実行できる。なお、ＰＣ５１とＰＣ５２が同一リンク上にある場合、データリンク層アドレスを解決できることがあるが、セキュリティ性を向上させる観点から、各ＰＣ５１，５２間を直接通信せずに、ゲートウェイＧＷ−Ｒを経由して通信させる仕様とする。
【００７４】
すなわち、各ＰＣ５１，５２は、他のサイトの送信元アドレスをもつパケットに関し、ゲートウェイ経由以外のものを受付けない（又はゲートウェイ経由のもののみを受け付ける）とするセキュリティポリシで動作する。
【００７５】
従って、リモートサイト５０の宛先ＰＣ５２からは、送信元ＰＣ５１が常に外部のネットワークからアクセスしているように見える。一方、送信元ＰＣ５１からは、宛先ＰＣ５２が常に外部のネットワークにあるように見える。
【００７６】
（通信：リモートサイト５０−他のリモートサイト６０間）
ＰＣ５１は、利用者Ｕの操作により、他のリモートサイト６０のサーバ６１を宛先アドレスとし、ＩＣカード４３の利用者ＩＰｖ６アドレスＩＰ−Ｕを送信元アドレスとした送信パケットを送信する。
【００７７】
ゲートウェイＧＷ−Ｒ３４は、受信した送信パケットをルーティング情報に基づいてゲートウェイＧＷ−Ａ宛に転送する。
【００７８】
ゲートウェイＧＷ−Ａは、受信した送信パケットをサーバ６１に転送する。これにより、送信手順が完了する。
【００７９】
他サイト６０のサーバ６１は、利用者ＩＰｖ６アドレスＩＰ−Ｕを宛先アドレスとし、自己のアドレスを送信元アドレスとした返信パケットを送信する。
【００８０】
返信パケットは、ゲートウェイＧＷ−Ａのルーティング情報により、ホームサイト４０のゲートウェイＧＷ−Ｈに向けて送信される。
【００８１】
ゲートウェイＧＷ−Ｈは、返信パケットを受信すると、アクセスリストを参照し、返信パケットの宛先の利用者ＩＰｖ６アドレスＩＰ−Ｕがリモートサイト５０内にあるので、返信パケットをペイロードとした転送パケットをゲートウェイＧＷ−Ｒに転送する。
【００８２】
ゲートウェイＧＷ−Ｒは、転送パケットのペイロードから返信パケットを取出し、この返信パケットを利用者ＩＰｖ６アドレスＩＰ−Ｕ宛と判断し、アクセスリストに基づいて、返信パケットをＰＣ５１宛に転送する。これにより、受信手順が完了する。
【００８３】
（脱退）
リモートサイト５０内のＩＣカード４３の利用を止めるとき、ＰＣ５１の操作により、ＰＣ５１が利用中止の旨を各ゲートウェイＧＷ−Ｒ，ＧＷ−Ｈ及び認証サーバ４１に通知する。
【００８４】
これにより、各ゲートウェイＧＷ−Ｒ，ＧＷ−Ｈ及び認証サーバ４１は、それぞれ自己のメモリ内に登録した該当する対応付けを消去する。
【００８５】
［全般的な効果］　上述したように本実施形態によれば、通信を開始するとき、ＰＣ５１がＩＣカード４３内の利用者認証情報ｉ及び利用者ＩＰｖ６アドレスと自己の通信機器アドレスとを含む認証要求を送信するので、ログイン操作と利用者認証操作とを同時に実行することができる。このため、利用者認証により利用者の正当性を保証しつつ、利用者認証の手間を削減することができる。
【００８６】
また、利用者認証を行なうので、認証されてない利用者のアクセスを阻止し、セキュリティ性の低下を防止することができる。
さらに、ホームサイト側の認証サーバ４１が、各アドレスの対応付けを各ゲートウェイ装置ＧＷ−Ｈ，ＧＷ−Ｒに登録するので、リモートサイト５０からホームサイト４０に通信する際に、ホームサイトのセキュリティレベルを維持することができる。
【００８７】
［統一的なアドレスに関する効果］　従来、リモートサイト２０からホームサイト（＝イントラネット）１０のリソースにアクセスする場合、使用するプロトコル毎・サービス毎に認証サーバ１４に認証を求める必要がある。
【００８８】
更に従来は、リモートサイト２０からホームサイト１０のサービスを利用する場合、ルータ１３を通してアクセスする必要があるので、リモートサイト２０内の同一サービスを利用する場合に比べ、一段階の余分な認証手順を踏む必要がある。また、ＩＰｖ６アドレスのアクセス制御が行われている場合があり、リモートサイト２０からは本質的にアクセスできない状況もある。
【００８９】
一方、本実施形態によれば、全サイト４０，５０，６０にて同一ＩＰｖ６アドレスを用いて通信可能であることから、リモートサイト５０からのアクセスにおいてＩＰアドレスによるアクセス制御を通過させることができる。
【００９０】
また、同時にＩＣカード４３によりホームサイト４０の認証サーバ４１との間で利用者認証を行うため、利用者Ｕがホームサイト４０にて利用し得るサービスがリモートサイトでも利用可能となる。
【００９１】
すなわち、本実施形態によれば、利用者ＵはＩＣカード４３を一枚持っていれば、ＩＣカード４３内の統一的なアドレスを利用し、あらゆるサイト５０，６０，…からホームサイト４０における権限でホームサイト４０にアクセスすることができる。また、登録の際に記憶した利用者ＩＰｖ６アドレスＩＰ−Ｕとリモートサイト５０との対応付けに基づき、各ゲートウェイＧＷ−Ｈ，ＧＷ−Ｒがリモートサイト５０からホームサイトへのパケットを適切にアドレス変換する構成のため、リモートサイトからホームサイトへのアクセスを透過的に行なうことができる。
【００９２】
［認証に関する効果］　従来は機器にアドレスが割当てられるため、機器認証と利用者認証を別個に行う必要があるので、実行のオーバヘッドが大きくなっている。
【００９３】
一方、本実施形態では、図４に示したように、機器認証のためのＩＰｖ６アドレスＩＰ−ＰＣ，ＩＰ−Ｕと、利用者認証のための利用者認証情報ｉとを同時に送信するので、実行のオーバーヘッドを半減させることができる。
【００９４】
［課金に関する効果］　従来は、リモートサイト２０からホームサイト１０にアクセスするにはホームサイト１０の協力を要するため、必要に応じてリモートサイト２０がホームサイト１０への利用者に課金するための機構に対する要望がある。しかし、従来は、両サイト２０，１０間を流れるトラフィックに対してしか課金できないため、ホームサイト１０の正当な利用者Ｕがアクセスした場合以外には課金することが不可能である。
【００９５】
一方、本実施形態によれば、利用者個人の利用者ＩＰｖ６アドレスＩＰ−Ｕを用いるので、利用者とそのホームサイトとを対応付けることができる。このため、ゲートウェイＧＷ−Ｒがホームサイト４０に転送するパケットに関し、パケット内の利用者ＩＰｖ６アドレス毎に課金するための機構を容易に実現することができる。
【００９６】
［変形例］　なお、本実施形態は、例えば次のような変形例としてもよい。すなわち、リモートサイト５０のリソースを利用者Ｕに利用させる場合、リソースの使用を許可する度合に応じて、ＰＣ５１のＩＰｖ６アドレス“ＩＰ−ＰＣ”又は利用者のＩＰｖ６アドレス“ＩＰ−Ｕ”を用いて通信するような変形例としてもよい。
【００９７】
この変形例においては、始めにＰＣ５１は、ＩＣカード４３内の利用者ＩＰｖ６アドレスＩＰ−Ｕをリモートサイト５０の認証サーバ５３に登録する。なお、利用者Ｕの認証は、前述したように認証サーバ４１により完了しているものとする。
【００９８】
認証サーバ５３は、利用者Ｕにリモートサイト５０内のリソースへのアクセスを許可する場合、図１１に示すように、利用者Ｕのアクセス許可権限の範囲をＰＣ５１に通知する。
【００９９】
ＰＣ５１は、リモートサイト５０内のリソースにアクセスする際に、この通知された権限に従って、使用する送信元アドレスを選択する。例えば、フルアクセスが許可された場合、ＰＣ５１のＩＰｖ６アドレスを送信元アドレスに使用する。また、ゲスト権限でアクセスが許可された場合、利用者ＵのＩＰｖ６アドレスＩＰ−Ｕを送信元アドレスに使用する。
【０１００】
以上のような変形例としても、本実施形態の効果に加え、ホームサイト５０の機器をリモートサイト５０で用いる場合に、リモートサイト５０のリソースへのアクセス権限をきめ細かく設定することができる。
【０１０１】
補足すると、この変形例は、ＩＰｖ６アドレスの性質を利用し、同一リンク内のアクセスについて、利用者の権限に応じて使用するＩＰｖ６アドレスを変化させたものである。これにより、ネットワーク層の機能の使用によって可能なアクセス制御が従来は端末単位でしか実行できないのに対し、本変形例では利用者（＝人間）単位で実行することができる。
【０１０２】
また、従来、上位レイヤを使用したアクセス制御は人間単位で適用できるが、サービスごとに認証プロセスが必要である。一方、本変形例は、サービスによらず一回の認証でアクセス制御を実行できることに優位性がある。
【０１０３】
［応用例］　上記実施形態又はその変形例では、ＩＣカード４３内の利用者ＩＰｖ６アドレスＩＰ−ＵをＰＣ５１のネットワークインタフェースに付与してネットワークとの通信を行うが、ＩＣカード４３自体をネットワークインタフェースとして使用可能な機器の場合は、これに限らず、この機器からＩＣカード４３のネットワークインタフェースを介してネットワークと通信することもできる。
【０１０４】
これにより、認証された機器のみがネットワークにアクセス可能となるため、不正機器によるリモートサイト５０へのアクセスが無くなり、リモートサイト５０のセキュリティ性を向上させることができる。
【０１０５】
（第２の実施形態）
次に、本発明の第２の実施形態について前述した図１を参照しながら説明する。本実施形態は、第１の実施形態の変形例であり、ＩＣカード４３内のＩＣカードＩＤを別の形態としたものである。
【０１０６】
具体的には図１２に示すように、ＩＣカードＩＤ４４’は、（１）利用者認証情報ｉ、（２）認証サーバ４１のＩＰｖ６アドレス（以下、Ａと呼ぶ）、（３）利用者の６４ビットアドレス（以下、Ｂと呼ぶ）、（４）ネットワーク部をＡのネットワーク部としてホスト部をＢとしたＩＰｖ６アドレスから生成したＳＡ、から構成されている。
【０１０７】
ここで、ＩＰｖ６アドレスとＳＡは１対１の対応関係にある。また前述同様に、ＩＰｖ６アドレスとＳＡは一つのＩＣカードについて複数存在しても良い。
【０１０８】
これに伴い、認証サーバ４１は、前述した機能において、各ゲートウェイ装置ＧＷ−Ｈ，ＧＷ−Ｒ及びＰＣ５１に対応を指示するＩＣカードＩＤが図１２に示す形態のものとなる。すなわち、認証サーバ４１は、各ゲートウェイ装置ＧＷ−Ｈ，ＧＷ−Ｒには、ネットワーク部及びホスト部からなるアドレス情報のうち、ホスト部の利用者アドレスを指示し、ＰＣ５１にはネットワーク部のネットワークプレフィックスを指示するものとなる。
【０１０９】
次に、以上のように構成された利用者認証システムの動作を説明する。
（リモートサイト５０での利用）
利用者Ｕは、認証サーバ４１において認証されたＩＣカード４３を持っており、リモートサイト５０においてネットワーク接続されたパソコンＰＣ５１を使用するために、ＩＣカード４３をカードリーダ５１ａに接続する。
【０１１０】
カードリーダ５１ａは、ＩＣカード４３内の利用者認証情報ｉ、認証サーバ４１のＩＰｖ６アドレスＩＰ−Ａ、利用者アドレス、送信元アドレスＳＡを読み取る。ここで、利用者アドレスとＳＡとが複数記録されている場合、カードリーダ５１ａは、その内の任意のものを選択できるとする。
【０１１１】
図１３に示すように、ＩＣカード４３は、ＳＡを用いて利用者認証情報ｉを暗号化し、得られた暗号化認証情報ｉ’と、利用者アドレスとをペイロードに含むパケットを認証サーバ４１のＩＰｖ６アドレスＩＰ−Ａ宛にＰＣ５１から送信する（ＳＴ２１）。
【０１１２】
認証サーバ４１は、受信したパケットから暗号化認証情報ｉ’を復号し、得られた利用者認証情報ｉの正当性を確認する。確認が完了すると、認証サーバ４１２は、パケット内の利用者アドレスをゲートウェイＧＷ−Ｈのメモリ内のアクセスリストに追加する（ＳＴ２２）。
【０１１３】
また、認証サーバ４１は、ホームサイト４０のネットワークプレフィックスＣをＰＣ５１に送信する（ＳＴ２３）。
【０１１４】
ＰＣ５１は、受信したネットワークプレフィックスＣをメモリに記憶し、ネットワーク部をＣ、ホスト部を利用者アドレスとしたＩＰｖ６アドレスＤを、ホームサイト４０に対する通信に使用する。
【０１１５】
さらに、認証サーバ４１は、リモートサイト５０のゲートウェイＧＷ−Ｒのメモリ内のアクセスリストにも、リモートサイト５０側からのパケットの送信元アドレスがＤであるデータグラムを通過させるルールを追加する（ＳＴ２４）。
【０１１６】
以上により、利用者Ｕは、あらゆるサイトにおいて、ホームサイト４０で使用するＩＰｖ６アドレスＤの割当てを受けることができる。すなわち、利用者Ｕは、このＩＰｖ６アドレスＤを利用してホームサイト４０に通信する場合（ＳＴ２５）、認証サーバ４１によって認証された正当な利用者である旨が保証される。従って、利用者Ｕと、利用するＩＰｖ６アドレスＤとを対応付けることができる。
【０１１７】
（脱退）
カードリーダ５１ａからＩＣカード４３が取り外されるとき、ＩＣカード４３は、ＰＣ５１を介して利用中止データグラムを送信する（ＳＴ２６）。利用中止データグラムは、利用中止フラグと暗号化利用者認証情報ｉ’とをペイロードに含んでいる。
【０１１８】
認証サーバ４１は、受信した利用中止データグラムから利用中止フラグを取出すと、付属する暗号化利用者認証情報ｉ’を復号し、得られた利用者認証情報ｉを検証する。検証の結果、正当性が確認されると、認証サーバ４１は、ホームサイト４０のゲートウェイＧＷ−Ｈに登録済の前述したＩＰｖ６アドレスＤのアクセス許可を消去する（ＳＴ２７）。これにより、ホームサイト４０の外部からの利用者Ｕのアクセスが不可となる。
【０１１９】
また、認証サーバ４１は、アクセス許可を消去した旨を利用者ＵのＩＰｖ６アドレスＩＰ−Ｕ宛に通知しても良い。しかし、利用者Ｕの機器は、この通知を必ずしも受け取る必要は無く、システムデザインの必要に応じて受信すればよい。
【０１２０】
（セキュリティ）
本実施形態では利用者認証情報ｉを暗号化すると述べたが、これに限らず、必要に応じて暗号化を省略してもよい。
【０１２１】
（通信：ホームサイト４０−ホームサイト４０間）
利用者機器は、設定されたＩＰｖ６アドレスＤを利用して通信する。ホームサイト４０内の他のノードも利用者機器に対しては直接、利用者のＩＰｖ６アドレスＤに対して通信する。
【０１２２】
（通信：リモートサイト５０−ホームサイト４０間）
ホームサイト４０−ホームサイト４０間の通信と同様である。
リモートサイト５０のゲートウェイＧＷ−Ｒは、ホームサイト４０から受信したＩＰｖ６アドレスＤ宛のパケットを通過させる。
【０１２３】
また、ホームサイト４０のゲートウェイＧＷ−Ｈは、リモートサイト５０から受信したＩＰｖ６アドレスＤからのパケットを通過させ、リモートサイト５０に居る利用者Ｕへ向けたパケットをリモートサイト５０宛にルーティングする。
【０１２４】
なお、各ゲートウェイＧＷ−Ｈ，ＧＷ−Ｒで行われるフィルタリングは、いずれもネットワーク層で実施され、他のレイヤについては本発明は関知しない。
【０１２５】
（通信：リモートサイト５０−他のリモートサイト６０間）
この通信は前述同様に行われる。
すなわち、ＰＣ５１は、利用者Ｕの操作により、他のリモートサイト６０のサーバ６１を宛先アドレスとし、ＩＰｖ６アドレスＤを送信元アドレスとした送信パケットを送信する。
【０１２６】
ゲートウェイＧＷ−Ｒは、受信した送信パケットをルーティング情報に基づいてゲートウェイＧＷ−Ａ宛に転送する。
【０１２７】
ゲートウェイＧＷ−Ａは、受信した送信パケットをサーバ６１に転送する。これにより、送信手順が完了する。
【０１２８】
他サイト６０のサーバ６１は、ＩＰｖ６アドレスＤを宛先アドレスとし、自己のアドレスを送信元アドレスとした返信パケットを送信する。
【０１２９】
返信パケットは、ゲートウェイＧＷ−Ａのルーティング情報により、ホームサイト４０のゲートウェイＧＷ−Ｈに向けて送信される。
【０１３０】
ゲートウェイＧＷ−Ｈは、返信パケットを受信すると、アクセスリストを参照し、返信パケットの宛先のＩＰｖ６アドレスＤがリモートサイト５０内にあるので、返信パケットをペイロードとした転送パケットをゲートウェイＧＷ−Ｒに転送する。
【０１３１】
ゲートウェイＧＷ−Ｒは、転送パケットのペイロードから返信パケットを取出し、この返信パケットをＩＰｖ６アドレスＤ宛と判断し、アクセスリストに基づいて、返信パケットをＰＣ５１宛に転送する。これにより、受信手順が完了する。
【０１３２】
上述したように本実施形態によれば、第１の実施形態の作用効果に加え、各ゲートウェイ装置ＧＷ−Ｈ，ＧＷ−Ｒに記憶させる利用者アドレスのビット数を低減させることができる。
【０１３３】
例えば第１の実施形態では一つのアドレスの記憶に要するビット数が１２８ビット（＝利用者のＩＰｖ６アドレスＩＰ−Ｕ）であったが、本実施形態では６４ビット（＝利用者アドレスＢ）と半減させることができる。
【０１３４】
この理由は、第１の実施形態では全世界中のＩＰｖ６を使用するネットワーク中でユニークなアドレス（ネットワーク部及びホスト部の両方１２８ビット分）を割当てるのに対し、本実施形態ではホームサイト４０中でユニークなアドレス（＝ネットワーク部Ｃ及びホスト部Ｂのうち、ホスト部Ｂの６４ビット分のみ）を割当てることによる。
【０１３５】
但し、本実施形態では、他のリモートサイト６０が利用者Ｕを認証できなくなっている。しかしながら、一般に他のリモートサイト６０が利用者を認証する必要のあるトラフィックは少ないという事情がある（最近ではＨＴＴＰ（ＨｙｐｅｒｔｅｘｔＴｒａｎｓｆｅｒ　ｐｒｏｔｏｃｏｌ）が主流を占めることもその根拠の一つである）。
【０１３６】
従って、認証・保護する必要があるのは、利用者Ｕがホームサイト（＝イントラネット）４０にアクセスする場合だけで十分であるという設計も考えられる。本実施形態は、この設計に従って一般に必要な認証・保護機能に絞ることにより、第１の実施形態に比べ、アドレスの記憶に要するビット数を半減させることができる。
【０１３７】
なお、上記各実施形態に記載した手法は、各認証サーバ４１，５３、各ＰＣ５１，５２及び各ゲートウェイＧＷ−Ｈ，ＧＷ−Ｒ，ＧＷ−Ａのコンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１３８】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１３９】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【０１４０】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１４１】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１４２】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１４３】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１４４】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【０１４５】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【０１４６】
【発明の効果】
以上説明したように本発明によれば、利用者認証により利用者の正当性を保証しつつ、利用者認証の手間を削減できる。また、認証されてない利用者のアクセスを阻止し、セキュリティ性の低下を防止できる。さらに、リモートサイトからホームサイトに通信する際に、ホームサイトのセキュリティレベルを維持できる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係る通信システムの構成例を示す模式図
【図２】同実施形態におけるＩＣカードＩＤを説明するための模式図
【図３】同実施形態における登録動作を説明するためのシーケンス図
【図４】同実施形態におけるＰＣからゲートウェイＧＷ−Ｒまでの間に流れるパケットのフォーマットを示す模式図
【図５】同実施形態におけるリモートサイトからホームサイトまでの間を流れるパケットのフォーマットを示す模式図
【図６】同実施形態におけるゲートウェイＧＷ−Ｈから認証サーバまでの間を流れるパケットのフォーマットを示す模式図
【図７】同実施形態における通信動作を説明するための模式図
【図８】同実施形態におけるＰＣからホームサイトの認証サーバまでの間を流れるパケットのフォーマットを示す模式図
【図９】同実施形態における認証サーバからゲートウェイＧＷ−Ｈまでの間を流れるパケットのフォーマットを示す模式図
【図１０】同実施形態におけるゲートウェイＧＷ−ＨからゲートウェイＧＷ−Ｒまでの間を流れるパケットのフォーマットを示す模式図
【図１１】同実施形態における変形例を説明するための図
【図１２】本発明の第２の実施形態に係る利用者認証ネットワーク通信システムのＩＣカードＩＤを説明するための模式図
【図１３】同実施形態における動作を説明するためのシーケンス図
【図１４】従来のネットワーク通信システムを説明するための模式図
【符号の説明】
３０…インターネット
４０…ホームサイト
４１，５３…認証サーバ
４２…メールサーバ
４３…ＩＣカード
４４…ＩＣカードＩＤ
ＧＷ−Ｈ，ＧＷ−Ｒ，ＧＷ−Ａ…ゲートウェイ
５０…リモートサイト
５１，５２…ＰＣ
５１ａ…カードリーダ
６０…他サイト
６１…サーバ
【図１】
2004102879.tif 000003
【図２】
2004102879.tif 000004
【図３】
2004102879.tif 000005
【図４】
2004102879.tif 000006
【図５】
2004102879.tif 000007
【図６】
2004102879.tif 000008
【図７】
2004102879.tif 000009
【図８】
2004102879.tif 000010
【図９】
2004102879.tif 000011
【図１０】
2004102879.tif 000012
【図１１】
2004102879.tif 000013
【図１２】
2004102879.tif 000014
【図１３】
2004102879.tif 000015
【図１４】
2004102879.tif 000016