(57)【要約】【課題】ファイアウォールのパケットフィルタリングの信頼性を著しく高め、オペレーションに関してシンプルでコストがかからず、かつ不正侵入のリスクを低減でき、さらにアドミニストレータの役割を単純にしたセキュリティシステムを提供する。【解決手段】ファイアウォール１０を介してコネクションを確立するアプリケーションＡＰＰと通信を行う手段１１と、アプリケーションＡＰＰにより供給される委任パラメータを識別する手段１２と、アプリケーションＡＰＰから発せられたリクエストに基づきコネクションを確立するコマンドを生成する手段１３が設けられていて、委任パラメータが参照パラメータと一致すればアプルケーションＡＰＰはコネクション確立可能とみなされる。さらに参照パラメータの自動生成手段２１および参照パラメータを許可ユーザリストへ自動的に配布するコマンド手段２２も設けられている。【選択図】図２
2005202970.tif 000002
【特許請求の範囲】
【請求項１】
ファイアウォール（１０）のためのセキュリティシステム（１）において、
前記ファイアウォール（１０）を介してコネクションを形成するために設けられたアプリケーション（ＡＰＰ）と通信を行う手段（１１）と、
該アプリケーション（ＡＰＰ）により供給される少なくとも１つの委任パラメータを識別する手段（１２）が設けられており、該識別手段（１２）は前記アプリケーション（ＡＰＰ）を、前記委任パラメータが記憶スペース（３０）に格納されている少なくとも１つの参照パラメータ（ＰＡＲＡ０）と一致しているならば、前記ファイアウォール（１０）を介してコネクションを確立可能であるものとして認め、
前記ファイアウォール（１０）を介してコネクションを確立するためのコマンド手段（１３）が設けられており、該コマンド（ＣＭＤ）は前記アプリケーション（ＡＰＰ）から発せられたリクエストに基づくものであって、
参照パラメータ（ＰＡＲＡ０）を生成する手段（２０）も設けられており、該生成手段（２０）は、前記記憶スペース（３０）に格納すべき参照パラメータ（ＰＡＲＡ０）を自動的に生成する手段（２１）を有していることを特徴とするセキュリティシステム。
【請求項２】
ファイアウォール（１０）のためのセキュリティシステム（１）において、
前記ファイアウォール（１０）を介してコネクションを形成するために設けられたアプリケーション（ＡＰＰ）と通信を行う手段（１１）と、
該アプリケーション（ＡＰＰ）により供給される少なくとも１つの委任パラメータを識別する手段（１２）が設けられており、該識別手段（１２）は前記アプリケーション（ＡＰＰ）を、前記委任パラメータが記憶スペース（３０）に格納されている少なくとも１つの参照パラメータ（ＰＡＲＡ０）と一致しているならば、前記ファイアウォール（１０）を介してコネクションを確立可能であるものとして認め、
前記ファイアウォール（１０）を介してコネクションを確立するためのコマンド手段（１３）が設けられており、該コマンド（ＣＭＤ）は前記アプリケーション（ＡＰＰ）から発せられたリクエストに基づくものであって、
参照パラメータ（ＰＡＲＡ０）を生成する手段（２０）も設けられており、該生成手段（２０）は、記憶スペース（３０）に参照パラメータ（ＰＡＲＡ０）が新たに記録されたときには、許可されたユーザのリストに対し該参照パラメータ（ＰＡＲＡ０）を自動的に配布するコマンド手段（２２）を有していることを特徴とするセキュリティシステム。
【請求項３】
請求項１にも対応することを特徴とする請求項２記載のセキュリティシステム。
【請求項４】
請求項２または３記載のファイアウォール（１０）のためのセキュリティシステム（１）において、
自動的に配布する前記コマンド手段（２２）は新たに許可されるユーザに対し、該ユーザが許可されたユーザのリストに登録されるときに参照パラメータ（ＰＡＲＡ０）も伝送可能であることを特徴とするセキュリティシステム。
【請求項５】
請求項１から４のいずれか１項記載のセキュリティシステム（１）において、
前記生成手段（２０）を周期的にアクティブ状態にする手段（２６）が設けられていることを特徴とするセキュリティシステム。
【請求項６】
請求項１から５のいずれか１項記載のセキュリティシステム（１）において、
コネクションフィルタリング手段（１４）が設けられており、該手段は、まえもって規定された選択判定基準に依存して、前記コマンド手段（１３）によりコネクションを確立するためのコマンドをフィルタリングすることを特徴とするセキュリティシステム。
【請求項７】
請求項６記載のセキュリティシステム（１）において、
前記コネクションフィルタリング手段（１４）により、少なくとも１つの出所アドレス、少なくとも１つの宛先アドレス、少なくとも１つの出所ポートおよび少なくとも１つの
宛先ポートの中から選択された少なくとも１つの選択情報のアイテムに基づき、前記コネクションのうち少なくとも１つのコネクションが実行されることを特徴とするセキュリティシステム。
【請求項８】
請求項６または７記載のセキュリティシステム（１）において、
前記コネクションフィルタリング手段（１４）により、まえもって規定された有効期間中のみ、前記委任パラメータのためのコマンド手段（１３）によるコネクション確立のためのコマンドに権限が付与されることを特徴とするセキュリティシステム。
【請求項９】
請求項１から８のいずれか１項記載のセキュリティシステム（１）において、
前記委任パラメータを認証する手段（１５）が設けられていることを特徴とするセキュリティシステム。
【請求項１０】
請求項１から９のいずれか１項記載のセキュリティシステム（１）において、
前記委任パラメータを復号する手段（１６）が設けられていることを特徴とするセキュリティシステム。
【請求項１１】
請求項１から１０のいずれか１項記載のセキュリティシステムを有することを特徴とするファイアウォール（１０）。
【請求項１２】
ファイアウォール（１０）のためのセキュリティ方法において、
ファイアウォール（１０）を介してコネクションを形成するために設けられたアプリケーション（ＡＰＰ）と通信するステップと、
該アプリケーション（ＡＰＰ）により供給された少なくとも１つの委任パラメータを自動的に識別し、該委任パラメータが記憶スペース（３０）内に格納されている少なくとも１つの参照パラメータ（ＰＡＲＡ０）と一致したときに、前記ファイアウォール（１０）を介してコネクションを確立できるものとして前記アプリケーション（ＡＰＰ）を自動的に認識するステップと、
前記アプリケーション（ＡＰＰ）から発せられたリクエストに基づき、前記ファイアウォール（１０）を介してコネクションを自動的に確立するためのコマンドを生成するステップが設けられていて、
さらに前記アプリケーション（ＡＰＰ）の少なくとも１人のユーザへ、前記委任パラメータとして供給される前記参照パラメータ（ＰＡＲＡ０）を事前に送信するステップが設けられており、
有利には請求項１から１０のいずれか１項記載のセキュリティシステムにより使用されることを特徴とする方法。
【請求項１３】
コンピュータプログラム製品において、
コンピュータ上でプログラムが実行されたとき、請求項１２記載のセキュリティ方法の各ステップを実行するためのプログラムコード命令が設けられていることを特徴とするコンピュータプログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ファイアウォールのためのセキュリティシステムおよびセキュリティ方法ならびにこれに対応したコンピュータプログラム製品に関する。
【背景技術】
【０００２】
インターネットにおけるサービスの急速な発展が成功した理由のいくつかは、あらゆる種類のデータの相互接続および相互交換が著しく容易になったことによる。しかし何らかの望ましくないデータ流がネットワークを介して伝送される可能性があり、そのようなデータ流によって有害な作用（著しいトラフィックの輻輳）が引き起こされたり、あるいは不正なプログラム（ウイルス、ワーム等）が運ばれることさえある。
【０００３】
これらの問題点を改善するために現在利用されている解決手段は、保護を必要とするネットワーク（プライベートネットワーク）の入口に、プライベートネットワークとインターネットとの間の安全なアクセスのためにファイアウォールを装備したゲートウェイいわゆるポータルを設置することである。ファイアウォールは、到来するデータ流と送出されるデータ流をフィルタリングするために用いられる。したがってポータルを通過するいかなるパケットであっても、許可されたコネクションのリストを参照した検証を受けることになる。
【０００４】
この場合、ゲートウェイにおいて３つの判定形式を採用することができる：
−パケットが許可されたものとしてリストにすでに掲載されているデータ流に属していれば、そのパケットは通常どおりゲートウェイを通過する。
−パケットが許可されていないものとしてすでにリストに掲載されているデータ流に属しているならば、そのパケットはゲートウェイを通過しない。
−パケットがまだリストに掲載されていないデータ流に属しているならば、そのパケットは一時的にブロックされ、アドミニストレータが呼び出されて（対話型インタフェース）、講ずべき措置が選択される（許可または不許可）。
【０００５】
実際、インターネットトラフィックが恒常的に増加するにつれて、ピア・ツー・ピア・アプリケーションの成功、新しいコネクションをダイナミックに生成するマルチメディアアプリケーションの出現、ならびにセキュアゲートウェイのアドミニストレータに対する負担が常に増え続けている。したがって一般的にいって、保護の恩恵を受けるプライベートネットワークがただ１つのマシンにより構成されていようと複数のマシンにより構成されていようと、状況が不十分であることが判明している。
【０００６】
たとえばこのネットワークを縮小してただ１つのマシンにより構成した場合、そしてそのマシンがセキュアゲートウェイの役割を果たす場合、アプリケーションソフトウェアプログラム（またはアプリケーション）のエンドユーザがアドミニストレータでもある。したがってこのようなアドミニストレータとマシンとの対話は、つまらない管理作業によって絶えず中断されてしまう。
【０００７】
また、プライベートネットワークが複数のマシンによって構成されている場合、アドミニストレータは適正な判定を即座に下すのが難しく、殊にアドミニストレータが（一般には構内ネットワークの）エキスパートでなければこのことは困難である。たとえば、アプリケーションにより実際に採用されているポートの値を把握するのは簡単でないことが多い。エンタープライズネットワークの場合、あらゆるピア・ツー・ピア・コネクションの除外、ある種のカテゴリのデータストリームのブロックたとえばＵＤＰ（User Datagram Protocol）によるデータストリームのブロックによって、セキュアゲートウェイをごく簡単に制限することが頻繁に行われている。この場合、パフォーマンスおよび通信アプリケーションタイプがそれ相応に切り詰められてしまう。
【０００８】
ヨーロッパ特許出願EP-A2-0 910 197により開示されている改善されたファイアウォールは、利用可能な複数のルールから選択された１つのアクセスルールを適用することによって、複数のセキュリティストラテジおよび／または複数のユーザをサポートすることができる。（ファイアウォールアドミニストレータによって）あらかじめロードされたルールとダイナミックなルールを組み合わせて使用することにより、このファイアウォールのプロセスをいっそう簡単にすることができる。たとえば特定の出所と宛先ポート番号を含むことのできるこの種のダイナミックなルールは、トラストアプリケーション、プロキシサーバまたはリモートファイアウォールアドミニストレータなど、権限の付与された関与体によっていかなるときでもロードされるようである。これらのダイナミックなルールはただ１つのセッションのために用いることができ、時間に関して使用が制約されており、あるいは所定の条件が満たされたときのみ活用することができる。
【０００９】
この種のソリューションによればファイアウォールにおけるフィルタリングルールの整合に関して非常に大きいフレキシビリティが提供され、セキュアゲートウェイアドミニストレータの介入を大幅に低減することができる。特に、所定のコネクション権限付与タスクを、所定の判定基準（一般には受信メッセージの出所および／またはアプリケーションタイプの照合によって確認される）を満たすアプリケーション、プロキシサーバまたはリモートアドミニストレータに委任することができるようになる。
【００１０】
しかしながら、このような技術によれば不当な侵入に関してシステムヴァルネラビリティが引き起こされ、殊に侵入や不法なアプリケーションによるセキュリティルールの変更が可能になってしまい、このような不法なアプリケーションは選択された判定基準に従い許可されたものであるのに、このようなことが起こってしまう。
【００１１】
セキュアゲートウェアに実装されたアンチウイルスシステムも知られており、これは識別されたウイルスを含むアプリケーションをすべて停止させる役割を担っている。
【００１２】
とはいえこの種の技術は有用であるしそれ自体必要不可欠でさえあるが、寄生的で有害な既知のプログラムあるいは特定の除外基準を満たすプログラムの識別に基づく非常に制約されたフィルタリングを行わせるためにしか使用できない。他方、これらの技術は、害を及ぼしそうなアプリケーションが選択された判定基準に基づいて識別できるウイルスを含んでいない場合、そのようなアプリケーションに対しては無力である。さらにこれに加えてこれらの技術によっても、先天的に許容できるアプリケーションの場合のコネクションの許可または不許可の問題は解決されない。
【００１３】
ファイアウォールのセキュリティ状況を改善するための魅力的なソリューションは、チェックの多重化により適用可能な選択ルールを強化することであろう。ルールのこのような強化は、コネクション権限付与に適用できるだけでなく、先行文献EP-A2-0 910 197に開示されている技術に基づくトラストアプリケーション、プロキシサーバまたはリモートファイアウォールアドミニストレータの許可判定基準にも適用できる。たとえばリモートアドミニストレータへの任務の委任のためには、その出所アドレスの照合だけでなく、宛先ポートならびにアプリケーションの特性の照合も必要となる。
【００１４】
このようなソリューションはシステムの信頼性を高めるために利用できるけれども、使用に際してのフレキシビリティが損なわれてしまう。しかもこのためには、テストすべきデータの収集ならびに照合アルゴリズムの実行のために、ファイアウォールにおけるオペレーションに関していっそう複雑かつコストのかかるプロセスが必要になってしまう。
【００１５】
さらにこれまで提案されてきたのは、コネクションの許可および阻止の可能性をもつユーザに関して、ファイアウォールに対するアクセスのセキュリティを高めることである。この種の技術は、アクセスを要求するユーザのアイデンティティをチェックする目的で、ユーザの認証および特にファイアウォールシステムに対するパスワードの伝送に基づいている。
【００１６】
たとえばアメリカ合衆国特許US-2003/0233582にはネットワークファイアウォールのための方法が開示されており、このファイアウォールは認証メカニズムを介してダイナミックにコンフィギュレーション可能である。この場合、まえもってロードされたアクセスルールに加えてダイナミックなルールを用いることができ、それらのルールはファイアウォールコントローラにより加えられたり削除されたりする。この目的でクライアントはファイアウォールとのセッションを開き、ひとたび認証されればファイアウォールにアクセスすることができる。
【００１７】
アメリカ合衆国特許US-6609154には、クライアントのローカルな認証によりネットワークに対するアクセスをコントロールする方法が開示されている。この方法のためのネットワーク装置は、クライントにより導入されたネットワークトラフィックのアイテムを捕捉して遮り、ネットワークリソースへ振り向けることができる。認証に成功すれば、このネットワーク装置はダイナミックにコンフィギュレーションしなおされ、リソースに到達するようネットワークトラフィックに権限が付与される。
【００１８】
この種の技術によって、マシンユーザのアイデンティティに関して不正を行うリスクが低減する。しかしながらこれらの技術によれば、許可されたユーザすべておよびそれらのユーザに各々割り当てられた認証パラメータを考慮するために使われるかなり複雑なローカルな管理を強いられることになる。このような複雑な管理は、たとえばＵｎｉｘオペレーティングシステムのように複数のユーザが同時に１つのマシンを利用するときにいっそう大変になることが判明している。しかも（たとえばあらかじめ規定された期間に対しパーミッションが付与されている場合）権限のダイナミックな変更が含まれていると、処理がさらに難しくなる。
【特許文献１】EP-A2-0 910 197
【特許文献２】US-2003/0233582
【特許文献３】US-6609154
【発明の開示】
【発明が解決しようとする課題】
【００１９】
本発明の課題は、ファイアウォールにおけるパケットフィルタリングの信頼性を著しく高めることができる一方、オペレーションに関して著しくシンプルでコストがかからずにプロセスを使用できるようにした、ファイアウォールのためのセキュリティシステムを提供することにある。これに加えて本発明の課題は、不正侵入のリスクを著しく低減することができ、さらにファイアウォールを装備したセキュアゲートウェイのアドミニストレータの役割をきわめて単純にすることができるようにしたセキュリティシステムを提供することにある。さらに本発明の課題は、上述の利点をもつセキュリティ方法およびコンピュータプログラムを提供することにある。これらのセキュリティ方法ならびにコンピュータプログラムはたとえば、構内ネットワークとインターネットなどのようなワイドな外部ネットワークとの間のコネクションに適用される。
【課題を解決するための手段】
【００２０】
本発明によれば上述の課題は、ファイアウォールを介してコネクションを形成するために設けられたアプリケーションと通信を行う手段と、該アプリケーションにより供給される少なくとも１つの委任パラメータを識別する手段が設けられており、該識別手段は前記アプリケーションを、前記委任パラメータが記憶スペースに格納されている少なくとも１つの参照パラメータと一致しているならば、前記ファイアウォールを介してコネクションを確立可能であるものとして認め、前記ファイアウォールを介してコネクションを確立するためのコマンド手段が設けられており、該コマンドは前記アプリケーションから発せられたリクエストに基づくものであって、参照パラメータを生成する手段も設けられており、該生成手段は、前記記憶スペースに格納すべき参照パラメータを自動的に生成する手段を有していることにより解決される。本発明によればさらに、委任パラメータとして供給すべき参照パラメータを上記アプリケーションの少なくとも１人のユーザへまえもって送信するステップも設けられている。
【発明を実施するための最良の形態】
【００２１】
このように本発明は従来技術のアンチウイルスプログラムとは異なり、１つまたは複数の委任パラメータの認識および１つまたは複数の参照パラメータとの比較が行われ、両者が一致したときにアプリケーションはコネクションを確立することができる。これとは対照的に、アンチウイルスプログラムによるシステムは、ウイルスキャリアとみなされたアプリケーションを退けて排除することによって進行する。この対照的な事例では、システムはそれらのアプリケーションを通過させてしまう。
【００２２】
文献EP-A2-0.910.197に開示されている技術とは異なり本発明の方法によれば、許可されたユーザに対しまえもって伝送される委任パラメータが使用される。たとえばこのパラメータはライセンス識別子として用いられ、これによればユーザが最初にこのライセンス識別子を呈示したならば、それらのユーザは自身のアプリケーションのためにファイアウォールにおけるコネクションを確立する権限を取得できるようになる。これとは異なり上述の従来技術によれば、受信したメッセージの出所または特性により委任パラメータが加えられ、これはたとえば出所アドレスあるいはアプリケーションに使用されるプロトコルのアイデンティティによって構成されている。したがってこのような委任パラメータは、アプリケーションによりファイアウォールに伝送されるデータ内に自動的かつ暗黙的に存在している。
【００２３】
驚くべきことに、ユーザの任意の振る舞いにより本発明の方法を有効にするモードは、ユーザが実際に特別なアクションをとる必要のない周知の技術とは対照的であり、この場合、ファイアウォールはアプリケーションのデータと固有に結び付けられたパラメータに従って分類する役割を担っている。
【００２４】
本発明の方法によれば、文献EP-A2-0.910.197に関連するファイアウォールの信頼性を格段に改善することができる一方、対応づけられたゲートウェイのアドミニストレータの負担を軽減することができる。特に、システムへの侵入や一定の判定基準を満たす不正なアプリケーションによってそのセキュリティルールが変更されるのを避けることができる。しかもこのような成果は、所要プロセスリソースの著しい負荷となるおそれのあるフィルタリングルールを増やす必要なく達成される。
【００２５】
権限の付与されたアプリケーションはコネクションの現在および以降の詳細特性に関する情報を把握しており、権限の付与されたコネクションのリストをセキュアゲートウェイにおいて迅速に更新することができる。このようなオペレーションはゲートウェイアドミニストレータに関して、ハイレベルのセキュリティでトランスペアレントに実行することができる。
【００２６】
有利な実施形態によればセキュリティ方法は以下の利点を有している：
−セキュリティゲートウェイを通過する許可をアプリケーションに委任することができる一方、この権限を精巧なフィルタと組み合わせることができる；
−ゲートウェイアドミニストレータの仕事が簡単になる；
−アプリケーションの仕様が考慮されるので、慣用のシステムと少なくとも同等のセキュリティレベルが達成される；
−不当な命令に対する信頼性が高められる。
【００２７】
本発明はさらに、本発明のセキュリティ方法を少なくとも部分的に実行するように構成された独特のセキュリティシステムにも関する。この種のセキュリティシステムをファイアウォールに組み込むことができ、あるいはスタンドアローンの外部装置のかたちをとらせることもできる。さらにこのシステムを複数の部分に分けることもでき、それら複数の部分のいくつかをファイアウォールに組み込み、他のものはそこには組み込まないようにしてもよい。
【００２８】
本発明によるセキュリティ方法に適合されたファイアウォールのためのセキュリティシステムには以下の手段が含まれている：
−ファイアウォールを介してコネクションを確立するために設けられたアプリケーションと通信を行う手段；
−このアプリケーションによる供給される少なくとも１つの委任パラメータを識別する手段、この識別手段は、委任パラメータが少なくとも１つの参照パラメータと一致したならば、上記のアプリケーションをファイアウォールを介してコネクションを確立できるものとみなすように構成されている；
−ファイアウォールを介してコネクションを確立するコマンド手段、このコマンドはアプリケーションから発せられるリクエストに基づくものである。
【００２９】
この場合、本発明によるセキュリティ方法は（ファイアウォールまたはスタンドアローンに組み込まれた）セキュリティシステムによって使用され、これによれば委任パラメータが参照パラメータと一致したときにコネクション確立権限を少なくとも部分的にこのアプリケーションに委任することができる。セキュリティシステムは、（アプリケーションに固有の属性やその出所に基づくのではなく）アプリケーションのユーザに対し参照パラメータをまえもって伝送することに基づき、委任パラメータに適用される。この場合、ユーザは、関与するアプリケーションがファイアウォールを介して伝送を実行しようと試みるたびに、このコードを生成する必要がある。
【００３０】
セキュリティシステムの１つの基本形態によれば、セキュリティシステムとは独立して参照パラメータが決定され、ユーザに伝送される。この目的でたとえば、ファイアウォールのオペレータは参照パラメータを秘密コードまたはパスワードの形態で選定し、許可されたユーザに対し安全なやり方でそれを伝送する。この伝送はたとえば郵便、Ｅメールまたは電話によって実行することができる。許可されたユーザをたとえば規則的に更新されるリストによって同定することができ、必要であればパーミッションを特定の申し込みの支払いに基づくようにすることができる。
【００３１】
セキュリティシステムの他の実施形態によれば、本発明に固有のモジュールがこのシステムに含まれている。
【００３２】
たとえばファイアウォールのためのセキュリティシステムの第１の実施形態によれば、参照パラメータを生成する手段も設けられており、この生成手段は記憶スペースに格納するための参照パラメータを自動的に生成する手段を有している。
【００３３】
参照パラメータの自動生成によってファイアウォールアドミニストレータの仕事を軽減することができ、アドミニストレータが選定するよりも高いセキュリティレベルで複雑なコードを生成することができる。しかも有利な実施形態によれば参照パラメータが規則的に変更され、たとえば毎月変更される。このような実施形態によれば委任チェックの信頼性が高まるけれども、たとえば参照パラメータが変更されるたびにネットワークアドミニストレータが新たなコードを選定して許可されたユーザすべてにそれを送信する手間がかかるおそれがある。しかも以前にすでに選ばれたコードに近いコードを選択してしまうことが多くなる可能性があり、それによってシステムのセキュリティレベルが損なわれてしまう。
【００３４】
したがってセキュリティシステム内に自動生成手段を設けることによってアドミニストレータの仕事を格段に低減することができる一方、変更ごとに使用される新たなコードをアドミニストレータに自動的に供給することができる。
【００３５】
ハードウェアに関していえば、自動生成手段をセキュリティシステムの他の手段とは別個に実装することができる。これを他の手段とともにファイアウォールとは別個の装置内で組み合わせることもできるし、あるいはそのままファイアウォールに組み込んでもよい。
【００３６】
ファイアウォールのためのセキュリティシステムに関する第２の実施形態によればこの生成手段には、記憶スペースに参照パラメータが新たに格納されるたびに、許可されたユーザのリストに対し参照パラメータを自動的に配布するコマンド手段が含まれている。
【００３７】
ネットワークアドミニストレータにより実行すべきオペレーションを低減するためにこの実施形態を利用することができ、これはたとえば参照パラメータの周期的な変更が行われる場合である。これがとりわけ有用となるのは許可ユーザリストが大きい場合であり、たとえば企業やビルディングのローカルエリアネットワークの事例などである。実際、このリストは複雑で変わりやすくなるおそれがあり、たとえば到来および送出あるいは種々の人々に与えられた権限に従い変化する。有利には（たとえば暗号化、認証および／または制御型通信ネットワークのような周知の手段による）安全な自動配布によって、退屈な手動オペレーションの回避、伝送コストの低減および／またはエラーリスクの低減を行うことができる。
【００３８】
ここで用語「生成」とは、ネットワークアドミニストレータにとって、アプリケーションユーザにとって、あるいは両者にとって有利となろうがなるまいが、「用意する」という表現の広い意味である。
【００３９】
改良された実施形態によれば自動的に配布するためのコマンド手段は、新たに許可されたユーザが許可ユーザリストに登録されているならばそのユーザに対し参照パラメータを伝送することもできる。
【００４０】
第１の実施形態と第２の実施形態を組み合わせるのが有利であり、この場合、参照パラメータは許可されたユーザすべてに対して自動的に伝送される。
【００４１】
さらに有利には本発明のセキュリティシステムによれば、自動的に生成および伝送を行う手段に加えて、参照パラメータを手動で導入する手段および／または許可されたユーザに対し別個の伝送を認可する手段を設けることができる。たとえば適用可能な参照パラメータを、自動配布のためのコマンド手段をアクティブ状態にする必要なく新しいユーザに伝送することができる。この場合、伝送の認証を、該当ユーザがすでに目下の参照パラメータを有しており、もはやそれをユーザに送信する必要がないことを配布用のコマンド手段に通知するために用いることができる。
【００４２】
有利には上述のように、セキュリティシステムは生成手段を周期的にアクティブにする手段を有している。このようにアクティブにすることをたとえば、新たな参照パラメータの自動生成（第１の実施形態）および／または許可されたユーザに対する参照パラメータの自動配布コマンド（第２の実施形態）に関係させることができる。
【００４３】
参照パラメータの自動化された周期的伝送は有利には新たなパラメータの自動生成をいっしょに利用することに基づくものであるが、たとえばファイアウォールアドミニストレータによって新たな参照パラメータをまえもって手動で記録することにも基づくものである。後者の事例において有利な実施形態によれば、パラメータが事前に変更されたか否かにかかわらず、要求されたインターバルで周期的な配布が実行される。
【００４４】
有利にはセキュリティシステムはコネクションフィルタリング手段を有しており、これはまえもって規定された選択判定基準に依存して、コマンド手段によりコネクションを確立するコマンドをフィルタリングするように構成されている。
【００４５】
ユーザによりアプリケーションに付加されたフィールドとコネクションに関連する他のパラメータの利用をこのように結合するのは、殊に価値のあることである。実際、このことをあるアプリケーションに対して与えられた権限を信頼性をもって認可するために利用できるが、その際、無制限にコネクションを確立するための権限をアプリケーションに付与することなく利用することができる。
【００４６】
したがってフィルタリングの第１の実施形態によればコネクションフィルタリング手段は、１つまたは複数のアドレスおよび／または出所ポートおよび／または宛先ポートに基づき複数のコネクションのうち少なくとも１つのコネクションを排除する目的で設けられている。
【００４７】
（有利には第１の実施形態と組み合わせられる）第２のフィルタリング手段の実施形態によれば、決められた有効期間のみ委任パラメータのためのコマンド手段によりコネクション確立コマンドを許可するために、コネクションフィルタリング手段が設けられている。
【００４８】
したがってユーザにライセンスを与えてセキュアゲートウェイにおけるコネクションを許可することができるが、それは限られた期間だけである。このような安全措置を、ライセンス識別子を獲得しようとする不正な第３者により委任パラメータが悪用されてしまうリスクを低減するために用いることができる。他方、このフィルタリング手段の実施形態によって、周期的に更新可能な権限が許可され、必要であればたとえばプライベートネットワークのアドミニストレータにより定義された補正を伴って許可される。
【００４９】
これまでの実施形態と組み合わせると有利であるフィルタリング手段のさらに別の実施形態によれば、所定のアドレスおよび／または所定の出所ポートおよび／または所定の宛先ポートについてのみ、コネクション確立コマンドを許可して、所定のユーザだけに権限を与え、および／または所定のユーザを排除するよう、コネクションフィルタリング手段が構成されている。
【００５０】
有利には、ライセンス識別子の形態で委任パラメータを同定するために識別手段が設けられている。
【００５１】
これに加えて有利にはセキュリティシステムは、
−委任パラメータを認証する手段；
−および／または委任パラメータを復号する手段；
を有している。
【００５２】
システムの信頼性をいっそう高めるためにこれらの実施形態を用いることができる一方、これらによれば（真正の証明によって）ライセンスの偽造が防止され、アドミニストレータにより証明されたライセンスのみが有効になり、および／または委任パラメータを保護するための周知の暗号化技術を利用してこのことが行われる。
【００５３】
本発明はさらにファイアウォールにも関し、その特徴によれば本発明による形態のいずれか１つと適合したセキュリティシステムが設けられている。
【００５４】
本発明のセキュリティ方法は有利には、上述のような本発明による実施形態のいずれか１つと適合したセキュリティシステムによって実現される。
【００５５】
本発明は同様にコンピュータプログラム製品にも適用され、これにはコンピュータ上でそのプログラムが実行されると本発明によるセキュリティ方法のステップを実行するプログラムコード命令が含まれている。「コンピュータプログラム製品」とは、ディスクやカセットなどプログラムを含む記憶スペースだけでなく電気信号や光信号のような信号によっても構成可能なコンピュータプログラム媒体のことを意味する。
【００５６】
次に、図面を参照しながら実施例に基づき本発明について詳しく説明する。
【実施例】
【００５７】
図１および図２に示されているモジュールは、物理的に区別可能なユニットに対応してもしなくてもよい機能ユニットである。たとえばこれらのモジュールあるいはそれらのうちのいくつかをただ１つのコンポーネントとしてまとめることができるし、あるいは同一のソフトウェアプログラムの機能を成すようにしてもよい。他方、必要であればいくつかのモジュールを複数の別個の物理的なエンティティによって構成することができる。
【００５８】
構内ネットワークのようなローカルエリアネットワーク４すなわちＬＡＮと、インターネットのようなワイドエリアネットワーク５すなわちＷＡＮとの間に挿入接続されたセキュアゲートウェイ１０（図１）がファイアウォールとして用いられ、これはセキュリティシステム１およびネットワークアドレス変換モジュール２すなわちＮＡＴを有している。
【００５９】
ローカルエリアネットワーク４はたとえば端末装置Ａ１とＡ２のような装置ならびにワイドエリアネットワーク５を、たとえばサーバＢのような装置と相互接続する。
【００６０】
詳細にはセキュリティシステム１（図２）は以下のエンティティを有している：
−ローカルエリアネットワーク４またはワイドエリアネットワーク５を出所とするアプリケーションＡＰＰとの通信のためのセキュリティシステム１のモジュール１１；
−ゲートウェイ１０の記憶スペース３０に格納されている参照パラメータＰＡＲＡ０との比較により、アプリケーションＡＰＰにより供給される有効なライセンス識別子を識別するためのモジュール１２；コネクション認証委任を有効にするため、このライセンス識別子はまえもってユーザによりアプリケーションＡＰＰに対してそのまま添付されているかまたは、この目的でユーザにより供給されたデータに基づき設けられたメカニズムを介して添付されている；この参照パラメータＰＡＲＡ０はゲートウェイ１０のアドミニストレータが任意に変更できる；
−アプリケーションＡＰＰから発せられた要求に従い、ゲートウェイ１０を介してコネクションを確立するためのコマンドモジュール１３；したがってアプリケーションＡＰＰは、それが信用するに足るとみなされるとただちに、新たなコネクションの確立の権限を付与するまたは付与しないコマンドＣＭＤを発行するためアドミニストレータの代理をすることができる；
−記憶スペース３０に格納されている選択判定基準ＣＲＩＴに従い、コマンドモジュール１３によるコネクション確立のコマンドをフィルタリングするために設けられたコネクションフィルタリングモジュール１４；たとえばこの判定基準ＣＲＩＴは許可されるライセンスの範囲を時間に関して、および所定のユーザおよび／または所定のアドレスおよび／または所定の外部ポートおよび／または所定の内部ポート（出所／宛先）に対し、明示的な権限付与により、または除外により制限するために用いられる；判定基準ＣＲＩＴはアドミニストレータによって変更できるが、アプリケーションユーザまたは許可されたユーザが遠隔操作により変更できるように構成してもよい；
−真正証明によるライセンス識別子の認証モジュール１５；
−ライセンス識別子を復号するためのモジュール１６。
【００６１】
セキュリティシステム１はさらに参照パラメータＰＡＲＡ０を生成するためのユニット２０も有しており、これには以下のものが含まれている：
−たとえば周知の乱数発生技術に従い参照パラメータＰＡＲＡ０を自動的に生成するためのモジュール２１；生成モジュール２１は簡単に破られるのを防ぐために十分に複雑な符号を生成する；
−セキュリティシステムアドミニストレータ１（先天的にしかし必然的ではないがセキュアゲートウェイ１０のアドミニストレータ）により参照パラメータＰＡＲＡ０を導入するためのモジュール２２；この導入モジュールによって、生成モジュール２１による自動的な解決手段を補う手動の解決手段が提供される；
−自動生成モジュール２１または導入モジュール２２から発せられたＰＡＲＡ０パラメータを記憶スペース３０に自動的に格納するためのモジュール２３；
−セキュア伝送モジュール２５を介して記憶スペース３０において利用可能である許可されたユーザのリストＬＩＳＴに対し参照パラメータＰＡＲＡ０を自動的に配布するためのコマンドモジュール２４；このコマンドモジュール２４は、生成モジュール２１または導入モジュール２２に基づき、参照パラメータＰＡＲＡ０の何らかの新たなエントリが存在するときにアクティブになるよう構成されている；このモジュールは、リストＬＩＳＴ内に新たに格納されたいずれのユーザに対してもパラメータＰＡＲＡ０を伝送することもできる。
【００６２】
これに加えて、セキュリティシステム１を周期的にアクティブ状態にするためのモジュール２６が設けられており、このモジュール２６の役割は参照パラメータＰＡＲＡ０を生成するためのユニットを周期的にアクティブ状態にすることであり、これは自動的にパラメータＰＡＲＡ０を更新して許可されたユーザにそれを伝送するために用いられる。
【００６３】
作動中、ゲートウェイ１０のアドミニストレータは最初に所定のユーザに対しライセンスを付与し、これはセキュア手段によりライセンス識別子（１つの符号）を伝送することによって行われる。
【００６４】
ついでアプリケーションＡＰＰとゲートウェイ１０との個々の通信のために、許可されたユーザはこのライセンス識別子をアプリケーションＡＰＰに添付する。ゲートウェイ１０のセキュリティシステム１がライセンスを有効なものと認識したならば、セキュリティシステム１はアプリケーションＡＰＰに対しコネクションのための権限を委任する（アドミニストレータの代理）。ただし制限条件を課すことができる。
【００６５】
周期的に（たとえば毎月）、ライセンス識別子が変更され、許可されたユーザはアプリケーションＡＰＰにより使用される新たな相応の符号を受け取る。
【００６６】
１つの変形実施形態の場合、セキュリティシステム１はローカルエリアネットワーク４から発せられたメッセージに対してのみ適用される。ワイドエリアネットワーク５から発せられるアプリケーションにより要求されるコネクションに関しては、それらのコネクションはたとえば、所定の判定基準に従い、あるいはゲートウェイ１０のアドミニストレータの明示的な権限付与によって、各々の状況に基づき決定される。したがってセキュリティシステム１によるパーミッションの付与の可能性は、ローカルエリアネットワーク４のユーザに制限される。
【００６７】
これとは対照的に別の変形実施形態によれば、セキュリティシステム１はワイドエリアネットワーク５から到来するメッセージに対してのみ適用される。この場合、ローカルエリアネットワーク４から発せられたアプリケーションのためにまえもって定められたルールが使用され、その目的はそれらのアプリケーションがコネクションの権限付与のためのパーミッションをもっているのか否かを確かめるためである。これにより、ローカルエリアネットワーク４のユーザが従わなければならない手順が簡単になる。とはいえ一般的にいえば、ゲートウェイ１０を通過するアプリケーションすべてに対してセキュリティシステム１を適用してもユーザに対しほとんど制約が加わらず、内部的にも外部的にも有用である可能性をもっている。
【図面の簡単な説明】
【００６８】
【図１】ローカルエリアネットワークとワイドエリアネットワークとの間に挿入接続されており本発明によるセキュリティシステムを装備したゲートウェイを示す図
【図２】図１によるセキュリティシステムを詳しく説明する基本ブロック図
【符号の説明】
【００６９】
１  セキュリティシステム
２  ネットワークアドレス変換モジュール
４  ローカルエリアネットワーク
５  ワイドエリアネットワーク
Ａ１，Ａ２  端末装置
Ｂ  サーバ
【図１】
2005202970.tif 000003
【図２】
2005202970.tif 000004