(57)【要約】【課題】ＤｏＳ攻撃による通信不能状態を避け、通信の安定性を向上させる。【解決手段】利用者端末ＰＣ２側のオープンネットワークとしてのインターネット３と、サービス提供用サーバ４２１〜４２４側の閉じたネットワーク４０との間に複数のゲートウェイ１０１〜１０ｎ，３０１〜３０ｍを直並列に設けている。これにより、利用者側のゲートウェイ１０ｉ（１≦ｉ≦ｎ）が認証技術により不正なアクセスを排除してサービス提供者側のゲートウェイ３０１〜３０ｍを保護するので、サービス提供者側のゲートウェイ３０ｋ（１≦ｋ≦ｍ）をＤｏＳ攻撃から保護できる。また、利用者側の１台のゲートウェイ１０ｉがＤｏＳ攻撃を受けて通信不能状態になっても、利用者側の他のゲートウェイ１０ｊにより中継処理を引継ぐので、通信システム自体は通信不能状態に至らない。【選択図】    図１
2004151886.tif 000002
【特許請求の範囲】
【請求項１】
利用者端末が接続される第１ネットワークと、サービス提供用装置が接続される第２ネットワークとの間に介在するセキュア通信システムであって、
前記利用者端末に関して機器認証及び利用者認証を実行する機能を有し、前記第１ネットワークを流通するパケットのうち、前記両認証もしくは一方の認証による正当性が認められないパケットの通過を阻止する複数の第１中継装置と、
前記各第１中継装置を個別に通過したパケットを前記第２ネットワークに通過させる第２中継装置と、
を備えたことを特徴とするセキュア通信システム。
【請求項２】
利用者端末が接続される第１ネットワークと、サービス提供用装置が接続される第２ネットワークとの間に介在するセキュア通信システムであって、
サービス提供用装置のセキュリティポリシを管理し、このセキュリティポリシが更新されると、更新後のセキュリティポリシを前記第２中継装置を介して前記各第１中継装置に配信するポリシ管理装置、
を備えたことを特徴とするセキュア通信システム。
【請求項３】
請求項１又は請求項２に記載のセキュア通信システムにおいて、
前記各第１中継装置は、
前記利用者端末の機器認証を実行する機器認証手段と、
前記利用者端末を通してこの利用者端末に接続された利用者認証装置に認証要求を送信し、この利用者認証装置による利用者認証結果を受信する利用者認証手段と、
前記各認証手段による全ての認証結果が正当を示すとき、当該利用者端末から受けるパケットを前記中間ネットワークに通過させるパケット通過手段と、
を備えたことを特徴とするセキュア通信システム。
【請求項４】
利用者端末が接続される第１ネットワークに接続された複数の第１中継装置と、サービス提供用装置が接続される第２ネットワークに接続された第２中継装置とを用いるセキュア通信方法であって、
いずれかの第１中継装置が利用者端末に関して機器認証及び利用者認証を実行する工程と、
前記各第１中継装置が、前記第１ネットワークを流通するパケットのうち、前記機器認証及び利用者認証による正当性が認められないパケットの通過を阻止する工程と、
前記第２中継装置が第１中継装置を通過したパケットを前記第２ネットワークに通過させる工程と、
を備えたことを特徴とするセキュア通信方法。
【請求項５】
請求項４に記載のセキュア通信方法において、
前記機器認証及び利用者認証を実行する工程は、
前記利用者認証を行なう前提として機器認証の正当性を確認するように、機器認証セッションの有効性を確認する工程、
を備えたことを特徴とするセキュア通信方法。
【請求項６】
請求項４又は請求項５に記載のセキュア通信方法において、
前記各第１中継装置は、
機器認証及び利用者認証、又はそのいずれか一つの認証結果を前記各第２中継装置に通知する工程と、
この認証結果の通知の後、前記第２中継装置との間で、セキュリティ合意情報との合意交渉をし、セキュア通信路を確立する工程と、
前記合意交渉後のセキュリティ合意情報に前記認証結果との関連付け情報を付加させる工程と、
前記認証結果が付加されたセキュリティ合意情報を用いて前記セキュア通信路によりセキュア通信を行なう工程と、
を備えたことを特徴とするセキュア通信方法。
【請求項７】
利用者端末が接続される第１ネットワークに接続された複数の第１中継装置と、サービス提供用装置が接続される第２ネットワークへ前記各第１中継装置を個別に通過したパケットを通過させる第２中継装置との間に介在するセキュア通信システムに関し、前記第１中継装置に用いられるプログラムであって、
前記各第１中継装置のコンピュータを、
前記利用者端末に関して機器認証及び利用者認証を実行する手段、
前記第１ネットワークを流通するパケットのうち、前記両認証による正当性が認められないパケットの通過を阻止する手段、
として機能させるためのプログラム。
【請求項８】
請求項７に記載のプログラムにおいて、
前記各第１中継装置のコンピュータを、
前記利用者端末を通してこの利用者端末に接続された利用者認証装置に通信し、この利用者認証装置によるデジタル署名に基づいて当該利用者認証装置の機器認証を実行する手段、
として機能させるためのプログラム。
【請求項９】
請求項７又は請求項８に記載のプログラムにおいて、
前記各第１中継装置のコンピュータを、
前記利用者端末の機器認証を実行する手段、
前記利用者端末を通してこの利用者端末に接続された利用者認証装置に認証要求を送信し、この利用者認証装置による利用者認証結果を受信する手段、
前記各認証手段による全ての認証結果が正当を示すとき、当該利用者端末から受けるサービス要求パケットを前記中間ネットワークに通過させる手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、クライアント・サーバ間に用いられるセキュア通信システム、方法及びプログラムに係り、特に、ＤｏＳ攻撃による通信不能状態を回避し得るセキュア通信システム、方法及びプログラムに関する。
【０００２】
【従来の技術】
一般に、クライアント・サーバシステムとしては、サービス享受者に操作されたクライアント装置がネットワークを介してサービス提供者のサーバ装置にアクセスし、サーバ装置からサービスに関する情報を受信する方式が知られている。
【０００３】
また、係るシステムに関連するセキュリティ技術としては、クライアント装置とサーバ装置との間にファイアウォールを設け、このファイアウォールにより、ネットワーク上を流れるパケットをフィルタリングする手法が知られている。
【０００４】
しかしながら、この種のファイアウォールでは、悪意ある者が成りすました不正パケットをサービス提供者のサーバ装置に通過させる可能性があるので、サーバ装置が大量の不正パケットによるＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  Ａｔｔａｃｋ：サービス不能）攻撃を受ける可能性がある。
【０００５】
一方、このようなサーバ装置へのＤｏＳ攻撃を阻止するセキュリティ技術として、複数の中継装置間で認証精度及びセキュリティポリシ等を交換し合う旨の、本発明者らによる特許出願がある（例えば、特許文献１参照）。
【０００６】
【特許文献１】
特願２００２−１９０２９号
【０００７】
【発明が解決しようとする課題】
しかしながら、特願２００２−１９０２９号の技術では、通常は何の問題もないが、本発明者の検討によれば、サーバ装置へのＤｏＳ攻撃を阻止できるものの、中継装置自体がＤｏＳ攻撃を受ける可能性が生じてしまう。また、仮に中継装置がＤｏＳ攻撃により通信不能状態になった場合、結果的にサーバ装置も通信不能状態になってしまう。
【０００８】
本発明は上記実情を考慮してなされたもので、ＤｏＳ攻撃による通信不能状態を回避でき、通信の安定性を向上し得るセキュア通信システム、方法及びプログラムを提供することを目的とする。
【０００９】
【課題を解決するための手段】
第１の発明は、利用者端末が接続される第１ネットワークと、サービス提供用装置が接続される第２ネットワークとの間に介在するセキュア通信システムであって、前記利用者端末に関して機器認証及び利用者認証を実行する機能を有し、前記第１ネットワークを流通するパケットのうち、前記両認証による正当性が認められないパケットの通過を阻止する複数の第１中継装置と、前記各第１中継装置を個別に通過したパケットを前記第２ネットワークに通過させる第２中継装置と、を備えたセキュア通信システムである。
【００１０】
これにより、第１中継装置が、第１ネットワークを流通するパケットのうち、機器認証及び利用者認証による正当性が認められないパケットの通過を阻止するので、成りすましによるＤｏＳ攻撃から第２中継装置を保護することができる。また、１台の第１中継装置がＤｏＳ攻撃を受けてダウンしても、他の第１中継装置が中継処理を引継ぐことができる。
従って、第１の発明は、ＤｏＳ攻撃による通信不能状態を回避でき、通信の安定性を向上させることができる。
【００１１】
なお、第１の発明は、各装置の集合体を「システム」と表現したが、これに限らず、各装置毎に又は各装置の集合体を「装置」、「システム」、「方法」、「コンピュータ読取り可能な記録媒体」又は「プログラム」として表現してもよいことは言うまでもない。
【００１２】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照して説明する。なお、以下の各実施形態は、何れも利用者側のオープンなネットワークと、サービス提供者側の閉じたネットワークとの間に複数の中継装置（ＧＷ）を直並列に設けた構成を含んでいる。
これにより、利用者側の中継装置が認証技術により不正なアクセスを排除してサービス提供者側の中継装置を保護するので、サービス提供者側の中継装置がＤｏＳ攻撃を受けることがない。また、利用者側の１台の中継装置がＤｏＳ攻撃を受けた場合でも、利用者側の他の中継装置により中継処理を引継ぐことが可能である。
このように各実施形態は、何れもＤｏＳ攻撃による通信不能状態を回避でき、通信の安定性を向上できる内容となっている。以下、詳細に説明する。
【００１３】
（第１の実施形態）
図１は本発明の第１の実施形態に係るセキュア通信システム及びその周辺ネットワークの構成を示す模式図である。図示するように、認証装置１を有する利用者端末２がインターネット３に接続されている。インターネット３は、ｎ台の第１ゲートウェイ（第１ＧＷ）１０１〜１０ｎに接続されている。各第１ゲートウェイ１０１〜１０ｎは、中間ネットワーク２０を介して認証サーバ２１及びｍ台の第２ゲートウェイ（第２ＧＷ）３０１〜３０ｎに接続されている。各第２ゲートウェイ３０１〜３０ｎは、サービス提供者側ネットワーク４０を介してポリシーサーバ４１、４台のサービス提供用サーバ４２１〜４２４及び管理者端末４３に接続されている。
【００１４】
ここで、認証装置１は、利用者端末２からの認証要求に従って利用者認証を行なう装置であり、認証結果を利用者端末２及び第１ゲートウェイ１０ｉに送出する機能を有しており、ソフトウェア又はハードウェアにより構成されている。
【００１５】
例えば、ソフトウェアとしては、利用者コード及びパスワードの入力等が適用可能となっている。また、ハードウェアとしては、利用者カードの読取装置、指紋読取り機、声紋判別機又は網膜判別装置等の任意の機器が適用可能であり、また、これらの機器を組合せて実現しても良い。但し、利用者による操作の内容を認証する場合、成りすましの可能性があるので、利用者の生体情報（例、指紋、声紋、虹彩など）を認証するバイオメトリクスの手法を用いる方が望ましい。
【００１６】
また、認証装置１としては、利用者端末２の処理を介さずに、自装置内で認証処理が完結する機器がより望ましい。なお、ここでは一例として、認証装置１は、図２に示すように、指紋読取装置１ｂ及びスマートカードリーダ１ａから構成されている。
【００１７】
スマートカードリーダ１ａは、利用者の操作により、利用者の指紋情報を含むスマートカードが挿入されると、スマートカードから指紋情報を読み出して指紋読取装置１ｂに送出する機能をもっている。なお、スマートカードは予め信頼ある機関より提供されたものである。
【００１８】
指紋読取装置１ｂは、利用者の指が置かれると、この指の指紋を読取る機能と、読取った指紋を示す指紋データと、スマートカードリーダ１ａから受けた指紋情報とを照合して利用者認証を行ない、認証結果を利用者端末２及び第１ゲートウェイ１０ｉに送信する機能とをもっている。
【００１９】
利用者端末２は、サービス提供用サーバ４２１〜４２４と通信可能なソフトウェア（例、ＷＷＷブラウザ）がインストールされたコンピュータであり、第１ゲートウェイ１０ｉから受けた認証要求を自己の認証装置１が実行可能か否か判定する機能と、実行可能な場合にこの認証要求を認証装置１に送出する機能とを有し、予め機器ＩＤが認証サーバ２１に登録されている。なお、利用者端末２は、パーソナルコンピュータ（以下、ＰＣという）に限らず、携帯電話として実現してもよく、コンピュータ機能をもつ装置であれば、任意の装置により実現可能となっている。
【００２０】
各第１ゲートウェイ１０１〜１０ｎは互いに同一構成なので、ここではｉ台目目（但し、１≦ｉ≦ｎ）の第１ゲートウェイ１０１〜１０ｎを代表例にして説明する。
【００２１】
第１ゲートウェイ１０ｉは、インターネット３から受けた出所不明のパケットを中間ネットワーク２０に通過させないものであり、（Ｆ１０−１）機器認証機能、（Ｆ１０−２）利用者認証機能、（Ｆ１０−３）利用者端末２からの接続要求、利用者端末２及び利用者の認証情報、といった情報を第２ゲートウェイ３０ｋに転送する機能、（Ｆ１０−４）ポリシーサーバ４１から送信されるセキュリティポリシを受信する機能を有し、専用装置やＰＣ，ワークステーション等、ハード的もしくはソフト的に処理を行えるものであれば、任意の装置で実現可能となっている。また、第１ゲートウェイ１０ｉをソフトウェアで実装する場合、リバースプロキシ等を搭載して諸ＧＷ機能をＰＣ上に実装してもよい。
【００２２】
さて第１ゲートウェイ１０ｉは、具体的には図３に示すように、ネットワーク入出力装置１１、情報処理装置１２、記憶装置１３を備えている。
【００２３】
ネットワーク入出力装置１１は、インターネット３と中間ネットワーク２０との間に介在し、各ネットワーク３，２０と第１ゲートウェイ１０ｉ内部との間の情報の受け渡しをするインターフェイス機器である。なお、ネットワーク入出力装置１１は、通常のインターフェイスであるので、以下の説明中では特には述べない。
【００２４】
情報処理装置１２は、ネットワーク入出力装置１１と記憶装置１３との間に介在し、認証サーバサービス装置１２ａ、セッション情報管理装置１２ｂ、セキュリティポリシ管理装置１２ｃ、ルーティング処理装置１２ｄ及びＩＰｓｅｃ制御装置１２ｅを備えている。なお、各記憶装置１２ａ〜１２ｅとしては、例えば磁気ディスク、フラッシュメモリ又はＤＲＡＭなどが適宜用いられる。
【００２５】
認証サーバサービス装置１２ａは、利用者端末２から機器認証要求を受けたとき、利用者端末２の機器認証を行ない、認証結果が成功のとき、機器認証結果を機器認証情報記憶装置１３ｂに記憶させる機能と、利用者端末２からサービス要求を受けたとき、利用者認証を行ない、認証結果が成功のとき、セッションＩＤを有効してセッション情報を端末・ＧＷ間セッション情報記憶装置１３ｄに書込むと共に、利用者認証情報を利用者認証情報記憶装置１３ｃに記憶させる機能とをもっている。
【００２６】
セッション情報管理装置１２ｂは、認証サーバサービス装置１２ａから受けた前回のセッションＩＤに基づいて、前回のセッションの有効性を検討する機能と、利用者認証の直前に、予め端末・ＧＷ間のセッションＩＤを生成して利用者端末２及び認証サーバサービス装置１２ａに送信する機能と、認証サーバサービス装置１２ａからセッションＩＤを受けると、利用者端末２及び第２ゲートウェイ３０ｋとのセッション情報を端末・ＧＷ間セッション情報記憶装置１３ｄに記憶させる機能とをもっている。
【００２７】
セキュリティポリシ管理装置１２ｃは、第２ゲートウェイ３０ｋから配信されるセキュリティポリシをセキュリティポリシ情報記憶装置１３ａに記憶させる機能と、利用者端末２からのサービス要求に応じてセキュリティポリシ情報記憶装置１３ａから読み出したセキュリティポリシを加工し認証方法をまとめる機能と、この認証方法を含む認証要求を利用者端末２に送信する機能とをもっている。
【００２８】
ここで、セキュリティポリシは、ＸＭＬや独自定義の言語，テーブル等により記述され管理されており、例えばＸＭＬの場合には、図４及び図５に示すように、サービス（例、戸籍抄本取り寄せ）に応じた認証方法（例、指紋照合、スマートカード）等が記述されている。なお、セキュリティポリシは、サービス毎の認証方法に加え、共通の認証方法を記述してもよい。
【００２９】
ルーティング処理装置１２ｄは、認証サーバサービス装置１２ａに起動され、認証サーバサービス装置１２ａから受けた利用者のサービス要求に基づいてＧＷ経路情報記憶装置１３ｅを検索し、得られた第２ゲートウェイ３０ｋを認証サーバサービス装置１２ａに指示する機能をもっている。
【００３０】
ＩＰｓｅｃ制御装置１２ｅは、ルーティング処理装置１２ｄによる検索結果に従い、第１ゲートウェイ１０ｉと第２ゲートウェイ３０ｋとの間をＩＰｓｅｃによるトンネル（ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ：  仮想閉域網）による論理ネットワーク）で接続する機能をもっている。
【００３１】
記憶装置１３は、情報処理装置１２から読出／書込可能に用いられ、セキュリティポリシ情報記憶装置１３ａ、機器認証情報記憶装置１３ｂ、利用者認証情報記憶装置１３ｃ、端末・ＧＷ間セッション情報記憶装置１３ｄ、ＧＷ経路情報記憶装置１３ｅ及びＧＷ間セッション情報記憶装置１３ｆを備えている。
【００３２】
セキュリティポリシ情報記憶装置１３ａは、セキュリティポリシ管理装置１２ｃから読出／書込可能に制御され、第２ゲートウェイ３０ｋから配信されるセキュリティポリシが記憶されるものである。
【００３３】
機器認証情報記憶装置１３ｂは、認証サーバサービス装置１２ａから読出／書込可能に制御され、利用者端末２に関する機器認証情報が記憶されるものである。
【００３４】
利用者認証情報記憶装置１３ｃは、認証サーバサービス装置１２ａから読出／書込可能に制御され、利用者認証における認証方法及び利用者ＩＤ等の利用者認証情報が記憶されるものである。
【００３５】
端末・ＧＷ間セッション情報記憶装置１３ｄは、セッション情報管理装置１２ｂから読出／書込可能に制御され、利用者端末２と第１ゲートウェイ１０ｉの間に構築されたセッションの情報及び利用者認証との関係が記憶されるものである。
【００３６】
ＧＷ経路情報記憶装置１３ｅは、利用者のサービス要求毎に、適切なサービス提供用サーバ４２ｓ（図１の場合、１≦ｓ≦４）へ接続するために経由するべき第２ゲートウェイ３０ｋの情報が記憶されるものであり、ルーティング処理装置１２ｄから検索可能となっている。
【００３７】
ＧＷ間セッション情報記憶装置１３ｆは、セッション情報管理装置１２ｂから読出／書込可能に制御され、第１及び第２ゲートウェイ１０ｉ，３０ｋ間（両ＧＷ間）セッション情報と端末・ＧＷ間セッション情報との関係が記憶されるものである。
【００３８】
中間ネットワーク２０は、第１ゲートウェイ１０ｉと第２ゲートウェイ３０ｋとの間に設けられ、出所不明のパケットの流通を許さないセキュアなネットワークである。
【００３９】
中間ネットワーク２０は、専用線のネットワーク、又はインターネット上のＶＰＮ等のように、物理的又は論理的にインターネット３及びサービス提供者側ネットワーク４０から分離したネットワークであればよい。なお、ここでは、前述した通り、インターネット上に構築したＶＰＮを用いている。
【００４０】
認証サーバ２１は、予め利用者情報や機器情報等が記録されたものであり、利用者端末２の機器認証及び利用者認証の際に、認証情報の照会を第１ゲートウェイ１０ｉから受けると、該当する利用者情報や機器情報等又はその有無を第１ゲートウェイ１０ｉに提供する機能をもっている。ここで、認証サーバ２１は、例えばデータベースソフトを内蔵したＰＣや専用のデータベース装置等により実現可能となっている。また、認証サーバ２１は、別の手法により利用者認証及び機器認証が可能な場合、省略してもよい。
【００４１】
各第２ゲートウェイ３０１〜３０ｍは互いに同一構成なので、ここではｋ台目目（但し、１≦ｋ≦ｍ、且つｍ＜ｎ）の第２ゲートウェイ３０１〜３０ｍを代表例にして説明する。
【００４２】
第２ゲートウェイ３０ｋは、中間ネットワーク２０とサービス提供者側ネットワーク４０とを接続するものであり、第１ゲートウェイ１０ｉから利用者端末２及び利用者の認証情報、及び接続要求等といった情報を受け取り、サービス提供者側ネットワーク４０を介してサービス提供用サーバ４２１〜４２４へ転送する機能を有し、例えばリバースプロキシを搭載したＰＣやセキュリティルータでもよく、専用機，汎用機によらずに任意の機器で実現可能となっている。
【００４３】
また、第２ゲートウェイ３０ｋは、セキュリティポリシ情報記憶装置３３ａ内のセキュリティポリシを第１ゲートウェイ１０ｉに能動的又は受動的に送信する機能をもっている。
【００４４】
ここで、セキュリティポリシを能動的に送信する場合は、例えばポリシーサーバ４１の起動又はセキュリティポリシの変更に伴い、第２ゲートウェイ３０ｋがポリシーサーバ４１からセキュリティポリシを受けた時である。
一方、セキュリティポリシを受動的に送信する場合は、第１ゲートウェイ１０ｉの起動に伴い、第１ゲートウェイ１０ｉからセキュリティポリシ配信要求を受けた場合等である。
【００４５】
さて第２ゲートウェイ３０ｋは、具体的には図６に示すように、ネットワーク入出力装置３１、情報処理装置３２及び記憶装置３３とを備えている。
【００４６】
ネットワーク入出力装置３１は、中間ネットワーク２０とサービス提供者側ネットワーク４０との間に介在し、各ネットワーク２０，４０と、第２ゲートウェイ３０ｋ内部との間の情報の受け渡しをするインターフェイス機器である。このネットワーク入出力装置３１も前述同様に、以下の説明中では特には述べない。
【００４７】
情報処理装置３２は、ネットワーク入出力装置３１と記憶装置３３との間に介在し、利用者認証情報管理装置３２ａ、セッション情報管理装置３２ｂ、セキュリティポリシ管理装置３２ｃ及びＩＰｓｅｃ制御装置３２ｄを備えている。
【００４８】
利用者認証情報管理装置３２ａは、利用者認証情報管理装置３２ａにより読出／書込可能に制御され、両ＧＷ間セッションＩＤに関連付けて利用者認証情報を利用者認証情報記憶装置３３ｂに記憶させる機能をもっている。
【００４９】
セッション情報管理装置３２ｂは、第１ゲートウェイ１０ｉから受けたセッション確立要求に基づいて、第１及び第２ゲートウェイ１０ｉ，３０ｋ間にセッションを構築する機能と、第１及び第２ゲートウェイ１０ｉ，３０ｋ間におけるセッション情報（両ＧＷ間セッション情報）と、第２ゲートウェイ３０ｋ−サービス提供用サーバ４２１〜４２４間におけるセッション情報（サーバ・ＧＷ間セッション情報）との関係をサーバ・ＧＷ間セッション情報記憶装置３３ｄに記憶させる機能をもっている。
【００５０】
セキュリティポリシ管理装置３２ｃは、ポリシーサーバ４１との間で機器認証及び署名検証をする機能を有し、ポリシーサーバ４１から配信されるセキュリティポリシをセキュリティポリシ情報記憶装置３３ａに管理する機能をもっている。
【００５１】
ＩＰｓｅｃ制御装置３２ｄは、第１及び第２ゲートウェイ１０ｉ，３０ｋ間をセキュリティ通信により接続する機能をもっている。
【００５２】
記憶装置３３は、情報処理装置３２から読出／書込可能に用いられ、セキュリティポリシ情報記憶装置３３ａ、利用者認証情報記憶装置３３ｂ、ＧＷ間セッション情報記憶装置３３ｃ及びサーバ・ＧＷ間セッション情報記憶装置３３ｄを備えている。なお、各記憶装置３３ａ〜３３ｄとしては、例えば磁気ディスク、フラッシュメモリ又はＤＲＡＭなどが適宜用いられる。
【００５３】
セキュリティポリシ情報記憶装置３３ａは、セキュリティポリシ管理装置３２ｂから読出／書込可能に制御され、ポリシーサーバ４１より配信されるセキュリティポリシが記憶されるものである。
【００５４】
利用者認証情報記憶装置３３ｂは、利用者認証情報管理装置３２ａから読出／書込可能に制御され、第１ゲートウェイ１０ｉから受けた利用者認証情報が記憶されるものである。
【００５５】
ＧＷ間セッション情報記憶装置３３ｃは、セッション情報管理装置３２ｃから読出／書込可能に制御され、第１ゲートウェイ１０ｉと第２ゲートウェイ３０ｋとの間におけるセッション情報及び利用者認証情報との関係が記憶されるものである。
【００５６】
サーバ・ＧＷ間セッション情報記憶装置３３ｄは、セッション情報管理装置３２ｃから読出／書込可能に制御され、サービス提供用サーバ４２ｓ（図１の場合、１≦ｓ≦４）及び第２ゲートウェイ３０ｋとの間に張られるセッション情報及びＧＷ間セッション情報との関係が記憶されるものである。
【００５７】
サービス提供者側ネットワーク４０は、行政や企業等のサービスを行うＷｅｂサーバ等が接続された閉じたネットワークであり、サービス提供を行う事業者等が有するＬＡＮやＷＡＮ等の論理的もしくは物理的にインターネットから分離されたコンピュータネットワーク網である。
【００５８】
ポリシーサーバ４１は、管理者端末４３から入力されたセキュリティポリシを統一管理し、セキュリティポリシを第２ゲートウェイ３０ｋを介して第１ゲートウェイ１０ｉに能動的又は受動的に配信するものである。セキュリティポリシを能動的に送信する場合は、例えばポリシーサーバ４１が起動された時やセキュリティポリシが変更された時である。セキュリティポリシを受動的に送信する場合は、第２ゲートウェイ３０ｋの起動に伴い、第２ゲートウェイ３０ｋからポリシー取得要求を受けた時等である。
【００５９】
ここで、ポリシーサーバ４１は、中間ネットワーク２０上にある必要は無く、インターネットから見えない位置、すなわちサービス提供者側ネットワーク上にあっても良い。ポリシーサーバ４１としてはＰＣや専用端末を使用しても良い。
【００６０】
サービス提供用サーバ４２１〜４２４は、利用者端末２からの要求に応じてＷＷＷ等のサービスを提供するものである。サービスとしては、例えばＷＷＷやネットショッピング、ファイル共有、電子メールサービス、データベースサービス等の任意のものが使用可能となっている。サービス提供用サーバ４２１〜４２４は、サーバに限らず、サービスを提供可能なものであれば任意の機器が適用可能であり、例えばＰＣ等としてもよい。
【００６１】
管理者端末４３は、サービス提供者側ネットワーク４０に接続された通常のコンピュータ端末であり、管理者の操作により、セキュリティポリシをポリシーサーバ４１に入力する機能と、サービス提供用ソフトウェアをサービス提供用サーバ４２１〜４２４にインストールする機能とをもっている。なお、管理者端末４３は、説明の便宜上、１台の場合を例に挙げて説明するが、これに限らず、各サービス提供用サーバ４２１〜４２４毎に１台ずつ設ける場合のように、任意の複数台を設けてもよい。
【００６２】
次に、以上のように構成されたセキュア通信システム及びその周辺ネットワークの動作を図７乃至図１１のシーケンス図又は模式図を用いて説明する。具体的には図７に示すように、ポリシー配信フェーズ（ＳＴ１０）、機器認証フェーズ（ＳＴ２０）、利用者認証フェーズ（ＳＴ３０）、ＧＷ−ＧＷ交信フェーズ（ＳＴ４０）、サーバ側サービス処理フェーズ（ＳＴ５０）及び応答処理フェーズ（ＳＴ６０）の順に述べる。
【００６３】
（ポリシー配信フェーズ：ＳＴ１０）
始めに、管理者端末４３は、図８及び図９に示すように、管理者の操作により、セキュリティポリシをポリシーサーバ４１に入力する（ＳＴ１１）。
【００６４】
ポリシーサーバ４１は、このセキュリティポリシを格納し、格納日時等の管理用データを生成してこのセキュリティポリシに付与し、その後、このセキュリティポリシに署名処理を施してデジタル署名ＳＩＧ４１［ポリシ］を生成する。ここで、署名ＳＩＧの添字（ここでは４１）は、署名者（ここではポリシーサーバ４１）の参照符号を示しており、この表記法は以下の説明でも同様である。
【００６５】
次に、ポリシーサーバ４１は、第２ゲートウェイ３０ｋを機器認証する（ＳＴ１２〜ＳＴ１５）。機器認証としては、相互に乱数に施させたデジタル署名を検証するチャレンジ・アンド・レスポンス方式を用いた例を述べる。
【００６６】
すなわち、ポリシーサーバ４１は、乱数Ｒ１を生成し、この乱数Ｒ１を含むアクセス要求を第２ゲートウェイ３０ｋに送信する（ＳＴ１２）。
【００６７】
第２ゲートウェイ３０ｋは、この乱数Ｒ１に署名処理を施す一方、乱数Ｒ２を生成し、得られたデジタル署名ＳＩＧ３０ｋ［Ｒ１］及び乱数Ｒ２をポリシーサーバ４１に返信する（ＳＴ１３）。
【００６８】
ポリシーサーバ４１は、このデジタル署名ＳＩＧ３０ｋ［Ｒ１］を検証し、検証結果が正当のとき、乱数Ｒ２に署名処理を施し、得られたデジタル署名ＳＩＧ４１［Ｒ２］を第２ゲートウェイ３０ｋに送信する（ＳＴ１４）。
【００６９】
第２ゲートウェイ３０ｋは、このデジタル署名ＳＩＧ４１［Ｒ２］を検証し、検証結果が正当のとき、乱数Ｒ１，Ｒ２を互いに加算して暗号鍵（Ｒ１＋Ｒ２）を生成し、「正当（ＯＫ）」を示す機器認証結果をポリシーサーバ４１に返信する（ＳＴ１５）。なお、機器認証結果を送信した後に暗号鍵を生成しても構わない。
【００７０】
ポリシーサーバ４１は、この機器認証結果を受けると、乱数Ｒ１，Ｒ２を互いに加算して暗号鍵（Ｒ１＋Ｒ２）を生成し、この暗号鍵に基づいてセキュリティポリシを暗号化し、得られた暗号化ポリシーデータ及び前述したデジタル署名ＳＩＧ４１［ポリシ］を第２ゲートウェイ３０ｋに送信する（ＳＴ１６）。
【００７１】
第２ゲートウェイ３０ｋは、セキュリティポリシ管理装置３２ｃがこの暗号化セキュリティポリシを復号すると共に、デジタル署名ＳＩＧ４１［ポリシ］を検証し、検証結果が正当のとき、「正当（ＯＫ）」を示す署名検証結果をポリシーサーバ４１に返信する（ＳＴ１７）。
【００７２】
しかる後、第２ゲートウェイ３０ｋは、セキュリティポリシ管理装置３２ｃが当該復号後のセキュリティポリシをセキュリティポリシ情報記憶装置３３ａ内に格納する。
【００７３】
次に、第２ゲートウェイ３０ｋは、セキュリティポリシ情報記憶装置３３ａ内のセキュリティポリシを前述したステップＳＴ１７と同様にして第１ゲートウェイ１０ｉに送信する。
【００７４】
すなわち、第１ゲートウェイ１０ｉでは、ステップＳＴ１２〜ＳＴ１５と同様の機器認証及びステップＳＴ１６，ＳＴ１７と同様の署名検証の後、復号後のセキュリティポリシをセキュリティポリシ管理装置１２ｃがセキュリティポリシ情報記憶装置１３ａ内に格納する。
これにより、ポリシー配信フェーズが完了する。
【００７５】
（機器認証フェーズ：ＳＴ２０）
利用者は、サービス提供用サーバ４２１からサービスを受けたい場合、操作により、利用者端末２を起動させる。
【００７６】
利用者端末２は、起動されると、図１０に示すように、インターネット３を介して任意の第１ゲートウェイ１０ｉに機器認証要求を送信する（ＳＴ２１）。
【００７７】
第１ゲートウェイ１０ｉでは、認証サーバサービス装置１２ａがこの機器認証要求に基づいて、機器認証セッションＩＤを利用者端末２に送信し（ＳＴ２２）、機器認証セッションを利用者端末２との間で構築する。
【００７８】
この機器認証セッションでは、前述同様のチャレンジ・アンド・レスポンス方式により、利用者端末２と第１ゲートウェイ１０ｉとの間で相互認証処理が行われる（ＳＴ２３）。
【００７９】
相互認証が成功すると、第１ゲートウェイ１０ｉの認証サーバサービス装置１２ａは、例えばＩＰアドレス、認証時間及び機器番号等の機器認証情報を機器認証情報記憶装置１３ｂに格納し、機器認証セッションを継続する。
【００８０】
（利用者認証フェーズ）
利用者端末２は、利用者の操作により、サービス要求のために専用ソフトウェアを起動させ、受けたいサービスを示すサービス要求、利用者により入力されたサービス情報、及び前回サービス利用時に使用した第１ゲートウェイ１０ｉとのセッションＩＤを第１ゲートウェイ１０ｉに送信する（ＳＴ３１）。
【００８１】
第１ゲートウェイ１０ｉは、これら情報を受けると、認証サーバサービス装置１２ａが次のように各情報を処理する。
【００８２】
すなわち、認証サーバサービス装置１２ａは、まず機器認証フェーズが実行済か否かを確認するために機器認証情報記憶装置１３ｂ内の機器認証情報を参照し、機器認証セッションが有効であるかを確認する。また、認証サーバサービス装置１２ａは、受信した前回のセッションＩＤをセッション情報管理装置１２ｂに転送する。
【００８３】
セッション情報管理装置１２ｂは、このセッションＩＤに基づいて、端末・ＧＷ間セッション情報記憶装置１３ｄ内のセッション情報を参照し、前回のセッションの有効性を検討する。この結果、前回のセッションが無効（＝終了済）であることを確認する。
【００８４】
次に、第１ゲートウェイ１０ｉは、セキュリティポリシ管理装置１２ｃにより、要求サービスを確認する。
【００８５】
すなわち、セキュリティポリシ管理装置１２ｃは、このサービス要求に基づいて、必要なセキュリティポリシをセキュリティポリシ情報記憶装置１３ｃの記憶内容から切り出し、認証方法（サービス要求とセキュリティポリシとの組）としてまとめる。なお、サービス要求は認証サーバサービス装置１２ａに一次保存される。
【００８６】
セキュリティポリシ管理装置１２ｃは、まとめた認証方法を含む認証要求を利用者端末２に送信する。このとき同時に、セッション情報管理装置１２ｂは、予め認証処理が成功した場合に利用者端末２と第１ゲートウェイ１０ｉの間で通信に用いるセッションＩＤを生成し、当該セッションＩＤを利用者端末２及び認証サーバサービス装置１２ａに送信する（ＳＴ３２）。
【００８７】
ここで、認証サーバサービス装置１２ａは、このセッションＩＤを端末・ＧＷ間セッション情報記憶装置１３ｄに書込みせずに保持する。
【００８８】
一方、利用者端末２は、認証方法を含む認証要求、及びセッションＩＤを受けると、認証要求内の認証方法が自己の認証装置１により実行可能か否かを確認する。
【００８９】
ここで、認証が不可能な場合には、利用者端末２は、サービスを利用できない旨を画面表示して利用者に伝え、認証の失敗を認証サーバサービス装置１２ａに送信する。一方、認証が可能な場合には、利用者端末２は、認証開始を画面表示すると共に、認証要求を認証装置１に送出し（ＳＴ３３）、利用者認証を認証装置１に実行させる。
【００９０】
認証装置１においては、利用者の操作により、利用者の指紋情報を含むスマートカードがスマートカードリーダ１ａに挿入されると、このスマートカードリーダ１ａがスマートカードから読み出した指紋情報を指紋読取装置１ｂに送出する。
【００９１】
指紋読取装置１ｂは、スマートカードリーダ１ａから指紋情報を受取る一方、利用者の指が置かれると、この指の指紋を読取る。続いて、指紋読取装置１ｂは、読取った指紋を示す指紋データと、スマートカードリーダ１ａから受けた指紋情報とを照合し、両者の一致（ＯＫ）／不一致（ＮＧ）に対応する認証結果を利用者端末２及び認証サーバサービス装置１２ａに送信する（ＳＴ３４）。
【００９２】
利用者認証が成功（両者の一致）した場合、認証サーバサービス装置１２ａは、予め保持したセッションＩＤを有効化し、セッション情報を端末・ＧＷ間セッション情報記憶装置１３ｄに書込むと共に、利用者認証方法と利用者ＩＤ等の利用者認証情報を利用者認証情報記憶装置１３ｃに記録する。
【００９３】
一方、利用者認証が失敗した場合、利用者端末２は認証失敗の旨を画面表示して利用者に伝える。一方、認証サーバサービス装置１２ａは予め保持したセッションＩＤを破棄する。
【００９４】
（ゲートウェイ間通信フェーズ：ＳＴ４０）
前述した利用者認証が成功した場合、認証サーバサービス装置１２ａは、一次保存していたサービス要求を有効化し、ルーティング処理装置１２ｄを起動する。
【００９５】
ルーティング処理装置１２ｄは、起動されると、サービス要求に対応するサービス提供用サーバ４２１〜４２４にアクセスするための最適な第２ゲートウェイ３０ｋをＧＷ経路情報記憶装置１３ｅから検索する。
【００９６】
認証サーバサービス装置１２ａは、第２ゲートウェイ３０ｋが検索されると、この第２ゲートウェイ３０ｋへの送信の前に、両ＧＷ間の中間ネットワーク２０にＩＰｓｅｃによるトンネル（ＶＰＮによる論理ネットワーク）が構築されているかを確認する。トンネルが構築されていない場合には、ＩＫＥによる鍵交換が行われ、ＩＰｓｅｃによりトンネルが構築される。
【００９７】
トンネル確立の確認後、認証サーバサービス装置１２ａは、このトンネルを用い、図１１に示すように、中間ネットワーク２０上にセッション確立要求、サービス要求及び利用者認証情報を送信する（ＳＴ４１）。
【００９８】
第２ゲートウェイ３０ｋは、これらの情報を受信し、セッション情報管理装置３２ｂにより、第１ゲートウェイ１０ｉと第２ゲートウェイ３０ｋの間にセッションを構築し、この両ＧＷ間セッションＩＤを第１ゲートウェイ１０ｉに送信すると共に（ＳＴ４２）、利用者認証情報管理装置３２ａにより、この両ＧＷ間セッションＩＤに関連付けて利用者認証情報を利用者認証情報記憶装置３３ｂに記録する。
【００９９】
第１ゲートウェイ１０ｉは、両ＧＷ間セッションＩＤを受けると、セッション情報管理装置１２ｂが、両ＧＷ間セッションＩＤと、端末・ＧＷ間のセッション情報とを互いに関連付けてＧＷ間セッション情報記憶装置１３ｆ内に保管する。
【０１００】
第２ゲートウェイ３０ｋは、セッション情報管理装置３２ｂにより、サーバ・ＧＷ間セッション情報と両ＧＷ間セッション情報との関係をサーバ・ＧＷ間セッション情報記憶装置３３ｄに記録する。
【０１０１】
（サーバ側サービス処理フェーズ：ＳＴ５０）
第２ゲートウェイ３０ｋは、サービス要求、及びサービス提供用サーバ４２１とのセッションＩＤをサービス提供用サーバ４２１に送信する。
【０１０２】
次に、サービス提供用サーバ４２１は、サービス要求を解析する。サービス提供用サーバ４２１は、サービス提供前に利用者認証を求める場合、利用者情報及び利用者認証情報の送信要求を第２ゲートウェイ３０ｋに送信する（ＳＴ５２）。
【０１０３】
第２ゲートウェイ３０ｋは、この送信要求に基づいて、セッション情報管理装置３２ｂにより、現在のセッションＩＤからサーバ・ＧＷ間セッション情報記憶装置３３ｄ及び利用者認証情報記憶装置３３ｂを連結して利用者認証情報を読出し、得られた利用者認証情報をサービス提供用サーバ４２１に送信する（ＳＴ５３）。
【０１０４】
サービス提供用サーバ４２１は、受信した利用者認証情報に基づいて利用者認証を実行し、認証結果が正当のとき、サービス要求に対応するサービス処理を行なう。
【０１０５】
（応答処理フェーズ）
サービス提供用サーバ４２１は、サービス処理の結果を含む応答情報をサーバ・ＧＷ２間セッションを通して第２ゲートウェイ３０ｋに送信する（ＳＴ６１）。
【０１０６】
第２ゲートウェイ３０ｋは、応答情報を受信すると、サーバ・ＧＷ間セッション情報記憶装置３３ｄ内のセッション情報の関係に基づいて、適当な両ＧＷ間セッションを通じて、端末・ＧＷ間セッション情報を保持する第１ゲートウェイ１０ｉを選択し、この第１ゲートウェイ１０ｉに応答情報を送信する（ＳＴ６２）。
【０１０７】
第１ゲートウェイ１０ｉは、応答情報を受信すると、セッション情報管理装置１２ｂがＧＷ間セッション情報記憶装置１３ｆ内のＧＷ１−２間セッションＩＤと、端末・ＧＷ１間セッション情報との関係から適切な利用者端末２と第１ゲートウェイ１０ｉ間のセッションを選択し、応答情報を利用者端末２に送信する（ＳＴ６３）。
【０１０８】
（攻撃に対する保護）
図１２に示すように、不審者がサービス提供用サーバ４２２へ攻撃を試みた場合を説明する。サービス提供用サーバ４２２にアクセスするには必ず中間ネットワーク２０を通過する必要があり、始めに、第１ゲートウェイ１０１にアクセスする必要があるとする。
【０１０９】
さて第１ゲートウェイ１０１を通過するには、機器認証をする必要がある。そこで、不審者の利用者端末（以下、不審者端末という）２ｈは、機器認証要求を第１ゲートウェイ１０１に送信する。
【０１１０】
第１ゲートウェイ１０１は、機器認証要求を受けると、不審者端末２ｈとの間で機器認証を行なうが、不審者端末２ｈの機器ＩＤが認証サーバ２１に未登録の場合、この時点で不審者端末を不正な端末とみなして排除することができる。
【０１１１】
仮に登録済の利用者端末２が不審者に操作された場合には、不審者の利用者認証が行われ、第１ゲートウェイ１０１と第２ゲートウェイ３０２に認証記録が残るため、攻撃した不審者を特定することができる。
【０１１２】
また、ソフトウェア的に利用者認証が行われた場合には、パスワードの盗難等により不正利用の可能性が残されるが、生体情報等のハードウェアを使用した認証手法を組合せることにより、利用者の成りすましを防ぐことができる。
【０１１３】
以上の手法により、中間ネットワーク２０には、利用者認証済の利用者が機器認証済の利用者端末２を介して接続されるため、サービス提供用サーバ４２１〜４２４へのＤｏＳ及びＤＤｏＳ攻撃はほぼ不可能となる。
【０１１４】
（攻撃に対する可用性）
不審者が第１ゲートウェイ１０１をＤｏＳ攻撃又はＤＤｏＳ攻撃する場合を例として述べる。第１ゲートウェイ１０１は、インターネット３に接続されているため、ＤｏＳ攻撃及びＤＤｏＳ攻撃を回避することは原理的に不可能である。
【０１１５】
しかしながら、第１ゲートウェイ１０１は、多数設けることが可能であり、各第１ゲートウェイ１０１，１０２，…を互いに別のサブネットワークへ設置可能であるため、セキュア通信システム全体としてはダウンし難くでき、可用性を向上させることができる。
【０１１６】
例えば、攻撃者が専用ソフトの解析等を行う等何らかの手法により第１ゲートウェイ１０１のＩＰアドレスの情報を入手し、ＤｏＳ攻撃をした場合に、攻撃対象の第１ゲートウェイ１０１が停止したとする。
【０１１７】
既存のシステムであれば、バックアップシステムを使用してこのトラブルに対処するが、バックアップシステムも同様のＩＰアドレスを使用するため、続けて攻撃対象とされる。
【０１１８】
しかしながら、本セキュア通信システムでは、各第１ゲートウェイ１０１，１０２，…のＩＰアドレスが異なるために他の第１ゲートウェイ１０２や１０５が続けて攻撃対象とされることは無く、正規の利用者は、応答が無くなった第１ゲートウェイ１０１から他の第１ゲートウェイ１０２に移動し、中間ネットワーク２０に接続すればよいので、サービス提供用サーバ４２２からサービスを滞りなく受けることができる。よって、中間ネットワーク２０により、高可用性を提供することができる。
【０１１９】
上述したように本実施形態によれば、第１ゲートウェイ１０ｉが、インターネット３を流通するパケットのうち、機器認証及び利用者認証による正当性が認められないパケットの通過を阻止するので、成りすましによるＤｏＳ攻撃から第２ゲートウェイ３０ｋを保護することができる。また、１台の第１ゲートウェイ１０ｉがＤｏＳ攻撃を受けてダウンしても、他の第１ゲートウェイ１０ｊ（ｊ≠ｉ）が中継処理を引継ぐことができる。このため、ＤｏＳ攻撃による通信不能状態を回避でき、通信の安定性を向上させることができる。
【０１２０】
また、利用者側のオープンなネットワーク、例えばインターネット３からの様々なパケットについて、サービス提供者側が用意したセキュリティポリシに基づく認証や暗号化を行ったパケットのみを流通させる中間ネットワーク２０を配置し、その中間ネットワーク２０を通過したパケットのみを受け付けることで、ＤｏＳ攻撃を防止し、サービス提供の可用性を向上させることができる。
【０１２１】
（第２の実施形態）
図１３は本発明の第２の実施形態に係るセキュア通信システム及びその周辺ネットワークの構成を示す模式図であり、図１と同一要素には同一符号を付し、ほぼ同一要素にはｘの添字を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。なお、これは以下の各実施形態でも同様である。
【０１２２】
すなわち、本実施形態は、第１の実施形態の具体例であり、行政側が住民基本台帳により各種情報を住民に提供する情報提供サービスに対し、前述したセキュア通信システムを介在させて、高可用性の実現を図るものである。なお、行政等の電子政府に限らず、企業間取引等のように任意のサービス提供システムに適用しても良いことは言うまでもない。
【０１２３】
ここで、利用者端末２１〜２８は、それぞれ家庭、職場、公共の施設などに配置されてインターネット３に接続されており、また、前述した図２の認証装置１と同様の認証装置１１〜１８を個別に有している。但し、スマートカードリーダ１ａは、前述したスマートカードに代えて、所定の個人ＩＤカードを読取る機器となっている。この個人ＩＤカードは、指紋情報及び住民基本番号等の情報がＩＣチップ又は磁気テープ等の記憶装置に記憶されたものである。
【０１２４】
認証装置１１〜１８は、図２に示したように、スマートカードリーダ１ａ及び指紋読取装置１ｂが一体型となっており、不正な利用者端末２による利用者の成りすましを防止する観点から、利用者端末２を介さずに指紋の読取りから認証までを実行可能であり、且つ通信機能と署名機能とを有するものである。
【０１２５】
また、本認証装置１は、機器認証のための機器ＩＤを有するものであり、この認証装置１を利用者端末２は信頼できるものであると判断される。
【０１２６】
中間ネットワーク２０は、前述同様に、ＩＰｓｅｃを用いてインターネット上に論理的に構築されたＶＰＮである。
【０１２７】
行政側ネットワーク４０ｘは、役所に配置された行政側サーバ４２１，４２２及びポリシーサーバ４１と、第２ゲートウェイ３０１〜３０３との間を結ぶ専用線ネットワークである。
【０１２８】
なお、行政側ネットワーク４０ｘは、両ゲートウェイ１０ｉ，３０ｋを介してインターネット３と直接接続されているが、非公開の第２ゲートウェイ３０ｋが第１ゲートウェイ１０ｉを通過したパケット以外のパケットを破棄するため、利用者端末２からは中間ネットワーク２０を介してのみ接続可能なものである。
【０１２９】
各ゲートウェイ１０ｉ，３０ｋは、ソフトウェア的に動作しているものとし、リバースプロキシタイプのものが用いられている。
【０１３０】
次に、以上のように構成されたセキュア通信システム及びその周辺ネットワークの動作を前述同様に、ポリシ配信フェーズ、機器認証フェーズ、利用者認証フェーズ、ＧＷ間交信フェーズ、サービス処理フェーズ、応答処理フェーズの順に述べる。
【０１３１】
（ポリシ配信フェーズ）
ポリシ配信フェーズは、前述同様に行われる。
すなわち、ポリシーサーバ４１は、前述同様に、第２ゲートウェイ３０１と機器認証及び署名検証を行ない、各認証結果が正当な時、セキュリティポリシを行政側ネットワーク４０ｘを介して第２ゲートウェイ３０１に配信する。
【０１３２】
また同様に、第２ゲートウェイ３０１は、このセキュリティポリシを自己の記憶装置（図示せず）に格納する。
しかる後、第２ゲートウェイ３０１は、第１ゲートウェイ１０１〜１０５と機器認証及び署名検証を行ない、各認証結果が正当な時、セキュリティポリシを中間ネットワーク２０を介して各第１ゲートウェイ１０１〜１０５に配信する。
【０１３３】
各第１ゲートウェイ１０１〜１０５は、ポリシーデータを自己の記憶装置（図示せず）に格納する。
【０１３４】
（機器認証フェーズ）
Ｂ町在住の利用者Ａが本籍地Ｃ村から戸籍謄本を取得する場合、始めに、利用者Ａが自宅の利用者端末２１を用いて行政側サーバ４２ｘ１から戸籍謄本取得サービスを受けることを試みる。
【０１３５】
利用者端末２１は、利用者の操作により、専用ソフトウェアを実行する。この専用ソフトウェアは、第１ゲートウェイ１０１〜１０５をのいずれかをランダムに選択し、例えば１台目の第１ゲートウェイ１０１に機器認証要求を送信する。
【０１３６】
第１ゲートウェイ１０１は、機器認証要求に基づいて、機器認証セッションを利用者端末２１との間に確立する。続いて、第１ゲートウェイ１０１と利用者端末２１との間では、機器認証セッションを通してチャレンジ・アンド・レスポンス方式により機器認証が実行される。機器認証は、例えば利用者端末２のＣＰＵのＩＤや、利用者端末２１からカードリーダを介して読出したスマートカードのＩＤ等を用いても構わない。ここでは、利用者端末２１のＣＰＵのＩＤを使用するものとし、このＣＰＵのＩＤが予め各第１ゲートウェイ１０１〜１０５に登録されているものとする。
【０１３７】
利用者端末２１の機器認証が成功した場合、第１ゲートウェイ１０１は、同様にして、認証装置１１を機器認証する。認証装置１１も機器ＩＤを有し、且つ通信機能と署名機能とを備えるので、利用者端末２１と同様に、機器ＩＤによる登録確認と、乱数へのデジタル署名によるチャレンジアンドレスポンスとが実行される。
【０１３８】
認証装置１１の機器認証が成功した場合、第１ゲートウェイ１０１は、自己の機器認証情報記憶装置内にＩＰアドレス等の機器認証情報を格納する。また、機器認証セッションを保持する。
【０１３９】
（利用者認証フェーズ）
利用者端末２１は、利用者Ａの操作により、情報提供サービスを受けるためにソフトウェアを立ち上げる。このソフトウェアは専用ソフトウェアでもＷｅｂアプリケーション等でも良い。
【０１４０】
いま、利用者端末２１は、利用者Ａの操作により、自己の本籍地Ｃ村から戸籍謄本を取得するように、その旨のサービス要求が入力される。
【０１４１】
利用者端末２１は、このサービス要求と前回のサービスで使用したセッションＩＤとを第１ゲートウェイ１０１に送る。
【０１４２】
第１ゲートウェイ１０１は、これらの情報を受けると、このサービス要求に関して機器認証が実行済か否かを確認する。
【０１４３】
第１ゲートウェイ１０１は、自己の記憶装置を参照し、利用者端末２１及び認証装置１１の機器認証が実行済である旨を確認する。
【０１４４】
第１ゲートウェイ１０１は、実行済み機器認証情報に従い、機器認証セッションが有効であるかを確認する。
【０１４５】
次に、第１ゲートウェイ１０１は、利用者認証が実行済か否かを確認する。ここで、利用者認証が未だ実行されてない場合、第１ゲートウェイ１０１は、サービス要求に基づいて、Ｃ村の戸籍謄本の取得に必要なセキュリティポリシを確認する。
【０１４６】
続いて、第１ゲートウェイ１０１は、確認結果を利用者認証方法としてまとめ、利用者認証方法とセッションＩＤとを利用者端末２１に送信すると共に、このセッションＩＤ及びサービス要求を格納する。
【０１４７】
利用者端末２１は、利用者認証方法に基づいて、利用者認証を行なう。例えば利用者認証方法がスマートカードとの指紋照合の場合、利用者端末２１は、スマートカードを差込む指示と、指紋読取装置１ｂに指を置く指示とを画面表示する。
【０１４８】
利用者Ａは、指示に従いスマートカードをスマートカードリーダ１ａへ差込み、指紋読取装置１ｂに指を置く。
指紋読取装置１ｂは、前述同様に、指から読取った指紋データと、スマートカード内の指紋情報とを比較し、両者が一致した場合には、利用者認証の成功の旨と、スマートカード内の住民基本番号とを第１ゲートウェイ１０１に送信する。
【０１４９】
第１ゲートウェイ１０１は、この情報を受けると、保持していたセッションＩＤを有効にし、利用者認証情報とセッションＩＤとの関係を自己の記憶装置に記録する。
【０１５０】
（ゲートウェイ間交信フェーズ）
第１ゲートウェイ１０１は、Ｃ村の情報提供サービスに関して経路情報を確認し、接続すべき第２ゲートウェイ３０１を決定する。例えばＣ村のサーバが行政側サーバ４２ｘ１のとき、第２ゲートウェイ３０１を経路として決定する。
【０１５１】
次に、第１ゲートウェイ１０１は、自己と第２ゲートウェイ３０１との間にＩＰｓｅｃによるトンネルが構築されているか否かを確認する。
【０１５２】
ＩＰｓｅｃによるトンネルが構築されてない場合、例えばＩＫＥ等の鍵交換プロトコルにより鍵交換を行う。鍵交換の完了により、ＩＰｓｅｃによるトンネルが構築されたことになる。このトンネルは、第１及び第２ゲートウェイ１０１，３０１間の全ての情報を秘匿通信するためのものである。
【０１５３】
次に、第１ゲートウェイ１０１は、第２ゲートウェイ３０１との間にてセッションを確立する。セッションの始めには住民基本番号及び認証方法等の認証情報を送信する。また、第１ゲートウェイ１０１は、第２ゲートウェイ３０１との間のセッション番号を、利用者端末２との間のセッション番号と関連付けて記録する。
【０１５４】
第２ゲートウェイ３０１は、受信した認証情報をセッション番号と関連付けて、メモリや磁気ディスク等の記憶装置に記録する。
【０１５５】
（サーバ側サービス処理フェーズ）
第２ゲートウェイ３０１は、行政側サーバ４２ｘ１との間にセッションを確立し、利用者Ａの利用者端末２からのサービス要求を行政側サーバ４２ｘ１に送信する。
【０１５６】
行政側サーバ４２ｘ１は、受信したサービス要求（＝戸籍謄本の取得要求）を処理するため、セッション番号を含む利用者Ａの確認要求を第２ゲートウェイ３０１に送信する。
【０１５７】
第２ゲートウェイ３０１は、受信したセッション番号を自装置に記録したセッション番号−認証情報の関係テーブルから利用者情報を解析し、行政側サーバ４２ｘ１へ利用者情報及び認証情報を送信する。
【０１５８】
行政側サーバ４２ｘ１は、この利用者情報に基づき、利用者に関する戸籍謄本を検索する。
【０１５９】
（応答処理フェーズ）
戸籍謄本データを見つけた場合、行政側サーバ４２ｘ１は、利用者Ａの利用者端末２に向けて戸籍謄本データを送信する。
【０１６０】
このとき、中間ネットワーク２０では先に使用したセッションを通してこの戸籍謄本データを伝送する。第１ゲートウェイ１０１は、行政側サーバ４２ｘ１から受けた戸籍謄本データを利用者端末２１に送信する。
【０１６１】
これにより、利用者Ａは、本籍地Ｃ村の戸籍謄本データを自宅にいながら取得することができる。
【０１６２】
（攻撃に対する保護）
前述した通り、利用者側に配置された第１ゲートウェイ１０１が、利用者端末２１の機器認証と、利用者本人の利用者認証とを行なうため、不審者による利用者への成りすましを阻止することができる。よって、行政側サーバ４２ｘ１，４２ｘ２へのＤｏＳ及びＤＤｏＳ攻撃をほぼ阻止することができる。
【０１６３】
（攻撃に対する可用性）
前述した通り、第１ゲートウェイ１０１がＤｏＳ攻撃又はＤＤｏＳ攻撃によりダウンしても、別のＩＰアドレスをもつ別の第１ゲートウェイ１０２が処理を引き継ぐので、セキュア通信システム全体としてはダウンすることがなく、高可用性を提供することができる。
【０１６４】
上述したように本実施形態によれば、行政サービスに適用した場合でも第１の実施形態の効果を得ることができる。また、利用者端末２１の機器認証に加え、認証装置１１を機器認証するので、より一層、セキュリティ性を向上させることができる。
【０１６５】
（第３の実施形態）
次に、本発明の第３の実施形態に係るセキュア通信システムについて説明する。  本実施形態は、第２の実施形態の変形例であり、第２の実施形態の終了後、利用者が連続して別の情報提供サービスを受ける場合を示している。但し、本実施形態は、第２の実施形態に限らず、第１の実施形態に適用してもよいことは言うまでもない。
【０１６６】
さて第２の実施形態におけるＣ町からの戸籍謄本の取得後、利用者Ａが連続して利用者端末２１を用い、自己の在住するＢ町（前述したＣ町とは異なる）の印鑑証明を取得する場合について説明する。
【０１６７】
利用者端末２１は、利用者Ａの操作により、このサービス要求及び前回使用していたセッションＩＤを第１ゲートウェイ１０１に送信する。
第１ゲートウェイ１０１は、これらの情報を受けると、前回のセッションＩＤに基づいて、前回使用したセッションを確認する。
確認の結果、前回のセッションがまだ有効であるため、このセッションを確立する際に使用した認証情報を確認する。
【０１６８】
次に、第１ゲートウェイ１０１は、このサービス要求に対するセキュリティポリシを調べ、今回のサービスに必要な認証方法を確認する。また、確認した認証方法と、前回のサービス利用時に行われた認証情報とを比較し、今回のサービスを受けるために足りない認証方法があれば、その認証方法を利用者端末２へ返信する。
【０１６９】
なお、ここでは、要求サービスが印鑑証明であり、図４及び図５に示すように、印鑑証明発行時の認証が個人ＩＤカード（スマートカード）のみであるため、前回の戸籍謄本取得の際にした認証で足りることが分かる。
【０１７０】
よって、第１ゲートウェイ１０１は、このサービス要求を第２ゲートウェイ３０１に送信するために経路を調べる。Ｂ町のサーバが行政側サーバ４２ｘ２であるとすると、適当なゲートウェイは第２ゲートウェイ３０２であることが分かる。以下、この経路情報に基づいて、第２の実施形態と同様に処理を行う。
【０１７１】
上述したように本実施形態によれば、第２の実施形態の効果に加え、同一利用者が同一端末から連続してサービスを受ける場合、今回のサービス要求に必要な認証が前回のサービス要求の際に実行済であれば、この実行済の機器認証及び／又は利用者認証を省略することができる。
【０１７２】
すなわち、各サービスを受けるためのセキュリティポリシが統一的に管理されているので、連続してサービスを受けたい場合に、重複した認証を省略することができる。
【０１７３】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１７４】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１７５】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【０１７６】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１７７】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１７８】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１７９】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１８０】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【０１８１】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【０１８２】
【発明の効果】
以上説明したように本発明によれば、ＤｏＳ攻撃による通信不能状態を回避でき、通信の安定性を向上できる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係るセキュア通信システム及びその周辺ネットワークの構成を示す模式図
【図２】同実施形態における認証装置の構成を示す模式図
【図３】同実施形態における第１ゲートウェイの構成を示す模式図
【図４】同実施形態におけるセキュリティポリシの一例の前半を示す模式図
【図５】図４に示すセキュリティポリシの後半を示す模式図
【図６】同実施形態における第２ゲートウェイの構成を示すブロック図
【図７】同実施形態における各フェーズ間の動作の順序を説明するためのシーケンス図
【図８】同実施形態におけるポリシー配信フェーズの動作を説明するための模式図
【図９】同実施形態におけるポリシー配信フェーズの動作を説明するためのシーケンス図
【図１０】同実施形態における機器認証フェーズ及び利用者認証フェーズの動作を説明するためのシーケンス図
【図１１】同実施形態におけるＧＷ・ＧＷ間交信フェーズ、サーバ側サービス処理フェーズ及び応答処理フェーズの動作を説明するためのシーケンス図
【図１２】同実施形態における不審者の利用者端末を接続した構成を示す模式図
【図１３】本発明の第２の実施形態に係るセキュア通信サービスを行政サービスの保護に適用した場合のネットワーク構成を示す模式図
【符号の説明】
１，１１〜１８…認証装置
１ａ…スマートカードリーダ
１ｂ…指紋読取装置
２，２１〜２８…利用者端末
３…インターネット
１０１〜１０ｎ…第１ゲートウェイ
１１，３１…ネットワーク入出力装置
１２，３２…情報処理装置
１２ａ…認証サーバサービス装置
１２ｂ，３２ｂ…セッション情報管理装置
１２ｃ，３２ｃ…セキュリティポリシ管理装置
１２ｄ…ルーティング処理装置
１２ｅ，３２ｄ…ＩＰｓｅｃ制御装置
１３，３３…記憶装置
１３ａ，３３ａ…セキュリティポリシ情報記憶装置
１３ｂ…機器認証情報記憶装置
１３ｃ，３３ｂ…利用者認証情報記憶装置
１３ｄ…端末・ＧＷ間セッション情報記憶装置
１３ｅ…ＧＷ経路情報記憶装置
１３ｆ，３３ｃ…ＧＷ間セッション情報記憶装置
２０…中間ネットワーク
３０１〜３０ｎ…第２ゲートウェイ
３２ａ…利用者認証情報管理装置
３３ｄ…サーバ・ＧＷ間セッション情報記憶装置
４０…サービス提供者側ネットワーク
４０ｘ…行政側ネットワーク
４１…ポリシーサーバ
４２１〜４２４…サービス提供用サーバ
４２ｘ１，４２ｘ２…行政側サーバ
４３…管理者端末
【図１】
2004151886.tif 000003
【図２】
2004151886.tif 000004
【図３】
2004151886.tif 000005
【図４】
2004151886.tif 000006
【図５】
2004151886.tif 000007
【図６】
2004151886.tif 000008
【図７】
2004151886.tif 000009
【図８】
2004151886.tif 000010
【図９】
2004151886.tif 000011
【図１０】
2004151886.tif 000012
【図１１】
2004151886.tif 000013
【図１２】
2004151886.tif 000014
【図１３】
2004151886.tif 000015