(57)【要約】【課題】  ネットワークにおいて不正なアクセスを制限する為のアクセス制御装置及びアクセス制御システムを提供する。【解決手段】  アクセス制御装置２は、サーバ１へのパケット通信のアクセスを制御するアクセス制御手段２１、通信許可されたクライアント端末３の情報を管理するアクセス制御規則管理手段２２、廃棄されたパケットの情報を管理するパケット情報管理手段２３、パケット通信の認証を行う認証手段２４及び認証情報を管理する認証情報管理手段２５、通信許可されたクライアント端末３の情報を記憶するアクセス制御規則記憶手段２６、廃棄されたパケットの情報を記憶するパケット情報記憶手段２７及びパケットの認証情報を記憶する認証情報記憶手段２８等を備えている。【選択図】      図２
2005203890.tif 000002
【特許請求の範囲】
【請求項１】
外部ネットワーク側より送信されるパケットの通信を制御するアクセス制御装置であって、
共通情報及び認証に用いるポート番号の範囲を含む認証情報を記憶する認証情報記憶手段と、
既に通信許可されたＩＰアドレスを含む通信中情報を記憶するアクセス制御規則記憶手段と、
前記通信許可されたＩＰアドレス以外の未許可のＩＰアドレスより送信されたパケットを廃棄するアクセス制御手段と、
廃棄されたパケットを記憶するパケット情報記憶手段と、
前記未許可のＩＰアドレスを有する複数の前記廃棄されたパケットより得られる共通情報、認証に用いるポート番号の範囲を含む認証情報と前記認証情報記憶手段内の前記認証情報を比較し、これらの認証情報が一致する場合に前記アクセス制御手段に前記未許可のＩＰアドレスより送信されたパケットの通信を許可させる認証手段
とを備えることを特徴とするアクセス制御装置。
【請求項２】
外部ネットワーク側の少なくとも１つ以上のクライアント端末と、該クライアント端末からサーバへ送信されるパケットの通信を制御するアクセス制御装置より成るアクセス制御システムであって、
前記アクセス制御装置と予め共有するように設定されている共通情報及び認証に用いるポート番号の範囲を含む端末側認証情報を記憶する端末側認証情報記憶手段、前記端末側認証情報を基に前記アクセス制御装置に対して通信許可を依頼する為の複数のパケットを生成するアクセス情報生成手段を備えるクライアント端末と、
クライアント端末より送信される前記端末側認証情報を含む認証情報を記憶する認証情報記憶手段、既に通信許可されたＩＰアドレスを含む通信中情報を記憶するアクセス制御規則記憶手段、前記通信許可されたＩＰアドレス以外の未許可のＩＰアドレスより送信されたパケットを廃棄するアクセス制御手段、廃棄されたパケットを記憶するパケット情報記憶手段、前記未許可のＩＰアドレスを有する複数の前記廃棄されたパケットより得られる前記端末側認証情報と前記認証情報記憶手段内の前記認証情報を比較し、前記端末側認証情報及び前記認証情報が一致する場合に前記アクセス制御手段に前記未許可のＩＰアドレスより送信されたパケットの通信を許可させる認証手段とを備えるアクセス制御装置
とを備えることを特徴とするアクセス制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおいて不正なアクセスを制限する為のアクセス制御装置及びアクセス制御システムに関する。
【背景技術】
【０００２】
ネットワークにおいて不正なアクセスを防止するものとして、ファイアーウォールと呼ばれるネットワーク通信制御装置が知られている。ファイアーウォールで用いられる通信制御方法には、パケットフィルタリングと呼ばれる方法がある。
【０００３】
このパケットフィルタリングでは、ルータ等のネットワーク機器間の信号の入出力や、コンピュータのネットワークインターフェースにおいて一定の認証条件を定め、パケット情報とこの認証条件を比較することにより、パケット通信を許可したり、許可せずに通信を遮断したりすることによりアクセス制限を行う。
【０００４】
アクセス制限に使用する認証条件としては、ＵＤＰ、ＩＰ、ＩＣＭＰ等のプロトコル、送信先ＩＰアドレス、送信先ポート番号、送信元ＩＰアドレス、送信元ポート番号及びフラグ等を用いる。
【０００５】
しかしパケットフィルタリングでは、例えばＴＥＬＮＥＴ通信を許可する場合、送受信する、つまり行き帰りのＴＥＬＮＥＴデータ(パケット)を常に監視し、アクセス制御を行う。しかし、このように絶えず固定された条件でパケットを通過させていると、開いているポート及び許可しているＩＰアドレス等を盗聴、ポートスキャン等され易く、ファイアーウォールを破られる恐れがある。
【０００６】
この為、近年は、行きのＴＥＬＮＥＴデータが発生した場合のみ、帰りのＴＥＬＮＥＴデータの通過を許可するといったステートフルパケットフィルタリングが用いられている。ステートフルパケットフィルタリングはパケットを通すかどうかを動的に判断し、常に同じフィルタリングの条件ではない為外部からの進入が困難となる。この他、アクセス制限のルールを通信の最中に動的に変化させることが出来るアクセス制御装置も公開されている（例えば、特許文献１参照）。
【特許文献１】特開２００３―１３２０２０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、外部から最初にアクセスされる接続を許可したい場合においては、行きのパケットより判断する方法は使えないため、静的な、つまり固定条件においてパケットフィルタリングを行う必要がある。
【０００８】
又、所定のＩＰアドレスからのアクセスのみ通信を許可することにより、任意のＩＰアドレスからの攻撃は回避可能となるが、動的ＩＰアドレスからの通信が出来ず、利便性が低下していた。更に、ＩＰアドレスを詐称するＩＰスプーフィング等の攻撃に対しては効力がなかった。このように従来の手法では外部からの攻撃を十分防ぐことができないという問題があった。
【０００９】
本発明は、ネットワークにおいて、ユーザの利便性を損なわずに不正なアクセスを制限することができるアクセス制御装置及びアクセス制御システムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記問題点を鑑みて、本発明の第１の特徴は、外部ネットワーク側より送信されるパケットの通信を制御するアクセス制御装置であって、共通情報、認証に用いるポート番号の範囲を含む認証情報を記憶する認証情報記憶手段（２８）と；  既に通信許可されたＩＰアドレスを含む通信中情報を記憶するアクセス制御規則記憶手段（２６）と；  通信許可されたＩＰアドレス以外の未許可のＩＰアドレスより送信されたパケットを廃棄するアクセス制御手段（２１）と；  廃棄されたパケットを記憶するパケット情報記憶手段（２７）と；  未許可のＩＰアドレスを有する複数の廃棄されたパケットより得られる共通情報、認証に用いるポート番号の範囲を含む認証情報と認証情報記憶手段（２８）内の認証情報を比較し、これらの認証情報が一致する場合にアクセス制御手段（２１）に未許可のＩＰアドレスより送信されたパケットの通信を許可させる認証手段（２４）とを備えるアクセス制御装置（２）であることを要旨とする。
【００１１】
「通信許可されたＩＰアドレス」とは、認証情報記憶手段に記録され且つ既に認証手段によって通信許可され、アクセス制御規則記憶手段に記録された、サーバと通信が可能なＩＰアドレスとする。
【００１２】
本発明の第２の特徴は、外部ネットワーク側の少なくとも１つ以上のクライアント端末（３）と、クライアント端末（３）からサーバへ送信されるパケットの通信を制御するアクセス制御装置（２）より成るアクセス制御システムであって、アクセス制御装置（２）と予め共有するように設定されている共通情報及び認証に用いるポート番号の範囲を含む端末側認証情報を記憶する端末側認証情報記憶手段（３３）、端末側認証情報を基にアクセス制御装置（２）に対して通信許可を依頼する為の複数のパケットを生成するアクセス情報生成手段（３２）を備えるクライアント端末（３）と；
クライアント端末（３）より送信される端末側認証情報を含む認証情報を記憶する認証情報記憶手段（２８）、既に通信許可されたＩＰアドレスを含む通信中情報を記憶するアクセス制御規則記憶手段（２６）、通信許可されたＩＰアドレス以外の未許可のＩＰアドレスより送信されたパケットを廃棄するアクセス制御手段（２１）、廃棄されたパケットを記憶するパケット情報記憶手段（２７）、未許可のＩＰアドレスを有する複数の廃棄されたパケットより得られる端末側認証情報と認証情報記憶手段（２８）内の認証情報を比較し、端末側認証情報及び認証情報が一致する場合にアクセス制御手段（２１）に未許可のＩＰアドレスより送信されたパケットの通信を許可させる認証手段（２４）とを備えるアクセス制御装置（２）とを備えるアクセス制御システムであることを要旨とする。
【発明の効果】
【００１３】
本発明のアクセス制御装置及びアクセス制御システムによると、ポートスキャンをされてもサーバの提供するサービスが明らかにならない。また、何も応答しない設定にした場合は、サーバの存在を隠蔽することが可能となる。
【００１４】
アクセス制御装置の認証手法が容易なものであったとしても、悪意の第３者がその情報を取得するためには、正規クライアントとサーバ間の通信を盗聴する必要がある。この為、認証情報取得は困難となり、セキュリティを高めることが出来る。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の実施の形態に係るアクセス制御装置及びアクセス制御システムについて説明する。尚、本発明の実施の形態において使用される機器、手法は一例であり、本発明はこれらに限定されるものでないことは勿論である。
【００１６】
（第１の実施の形態）
（アクセス制御システム）
本発明の第１の実施の形態に係るアクセス制御装置２を備えるアクセス制御システム１００は、図１に示すように、サーバ１、アクセス制御装置２及びクライアント端末３を備えており、サーバ１とアクセス制御装置２はローカルエリアネットワーク４を介して接続され、アクセス制御装置２とクライアント端末３はインターネット５を介して接続されている。
【００１７】
アクセス制御装置２は、ファイアーウォールとしての認証機能を備え、認証結果により動的にフィルタリングルールを変更するものである。その特徴としては、アクセス制御装置２が認証せずに廃棄したパケットの情報を一時記憶し、一定処理の経過後、一時記憶されている所定の廃棄パケットの情報を基に再度認証を行う。これにより認証されたパケットは所定のポート番号を与えられサーバ１との通信が可能となる。廃棄したパケットの情報を使用することにより、ネットワークサービスの有無を隠蔽することが可能となり、悪意の第３者の盗聴、なりすまし等を防ぐ。
【００１８】
以下、アクセス制御装置２の構造について詳細に説明する。
【００１９】
（アクセス制御装置）
アクセス制御装置２は、図２に示すように、ＣＰＵ２０内部に、アクセス制御手段２１、アクセス制御規則管理手段２２、パケット情報管理手段２３、認証手段２４及び認証情報管理手段２５等を備え、ＣＰＵ２０が適宜これらのプログラムを演算処理することにより各機能は実行される。更に、アクセス制御装置２は、記憶装置として、アクセス制御規則記憶手段２６、パケット情報記憶手段２７及び認証情報記憶手段２８等を備えている。
【００２０】
アクセス制御規則記憶手段２６は、図４に示すように、パケットの通過を許可している通信中の若しくは通信後の送信元のＩＰアドレスと宛先ポート番号の組み合わせを記憶する。パケット情報記憶手段２７は、図５に示すように、受信して一旦廃棄されたパケットのＩＰアドレス及びポート番号を、認証処理が完了してパケットの通過を許可するまでの間一時的に格納する。
【００２１】
認証情報記憶手段２８は、図６に示すように、認証規則の組み合わせである認証情報を記憶する。認証情報は例えば、ＩＰアドレス、共通情報、認証に用いるポート番号の範囲等から構成される。「ＩＰアドレス」は、外部からアクセスしてきたクライアント端末３の送信元アドレスである。「共通情報」とは、アクセス制御装置２とクライアント端末３が予め保持する、共通の暗号としての働きを持つ情報である。「認証に用いるポート番号の範囲」とは、認証処理の際にランダムに使用されるポート番号の範囲を示している。例えば、ポート番号の範囲が「３０００〜３９９９」であったら認証処理には３０００番台のポート番号が使用可能であるということを示す。尚、上記の認証情報はクライアント端末３側と共有しているものとする。
【００２２】
アクセス制御手段２１は、サーバ１への通信許可を要求するクライアント端末３側からのパケットをアクセス制御規則記憶手段２６の情報に則って許可若しくは破棄し、サーバ１へのアクセスを制御する。アクセス制御規則管理手段２２は、アクセス制御規則記憶手段２６内の既に通信を許可されている端末のＩＰアドレス及び通信許可されているポート番号の管理を行う。
【００２３】
パケット情報管理手段２３は、クライアント端末３より受信したパケットの情報をパケット情報記憶手段２７内に格納し、更に格納されているパケット情報の管理を行う。具体的にはパケット情報記憶手段２７内の既に認証許可された受信パケットや、認証許可されなかった受信パケットの廃棄等を一定の規則に従って行う。
【００２４】
認証手段２４は、アクセス制御手段２１により廃棄された複数のパケットが有する端末側認証情報が、認証情報記憶手段２８内の認証情報と一致する場合、パケットの通信を許可する。認証情報管理手段２５は、認証情報記憶手段２８内のＩＰアドレス、共通情報及び認証に用いるポート番号の範囲等の情報の検索、更新等を行う。
【００２５】
この他図示しないが、アクセス制御手段２１、アクセス制御規則管理手段２２、パケット情報管理手段２３、認証手段２４及び認証情報管理手段２５等のプログラムを演算実行するための記憶領域、データの入出力を行う入出力装置等の、コンピュータとして機能するに必要な一般機能を備えているものとする。
【００２６】
（クライアント端末）
次にクライアント端末３は、サーバ１のサービスを利用するユーザ側等に配置されるパーソナルコンピュータ等を指し、通常のパーソナルコンピュータとしての機能の他、図３に示すアクセス手段３１、アクセス情報生成手段３２、端末側認証情報記憶手段３３、時計手段３５及び乱数発生手段３４等を備える。
【００２７】
端末側認証情報記憶手段３３は、上述したアクセス制御装置２の認証情報記憶手段２８と同様のデータを格納する。アクセス情報生成手段３２は、端末側認証情報記憶手段３３内の認証情報を基に認証アクセス用のパケットを生成する。アクセス手段３１は、認証アクセス用のパケットを含む様々なパケットをアクセス制御装置２対して送信する。時計手段３５は日付及び時刻を計測する。乱数発生手段３４は、内部プログラムにて乱数を生成する。
【００２８】
（アクセス制御システムの動作）
認証の為には、第１にクライアント端末３からコネクション開始要求パケット（以下、「ＳＹＮパケット」と記載）を作成してアクセス制御装置２に対して送信すること、第２にアクセス制御装置２が受信したＳＹＮパケットを検証して認証開始を決定すること、第３にアクセス制御装置２が認証処理を行い認証の可否を判断することが必要になる。
【００２９】
先ず、第１としてクライアント端末３からＳＹＮパケットを作成してアクセス制御装置２に対して送信する手法について、図７のフローチャートを用いて以下に説明する。尚、クライアント端末３がＨＴＴＰ（ポート通信）のアクセスにてＳＹＮパケットを送信する際、アクセス制御装置２の全てのポートは閉じられているものとする。
【００３０】
（ａ）ステップＳ１０１では、クライアント端末３のアクセス情報生成手段３２が、図６の認証情報内の共通情報「４８９」を取得し、更に図３の時計手段３５より今日の日付として、例えば９日であった場合「９」を取得する。
【００３１】
（ｂ）ステップＳ１０２では、アクセス情報生成手段３２が、アクセスに使用するポート番号を作成する。まず今日の日付「９」を３つの数字に分解して３桁の数字を生成する。例えば「９」を「１」「０」「８」に分解して「１０８」を生成する。ステップＳ１０３では、乱数発生手段３４が、乱数を用いて９桁の数字を生成する。例えば乱数「９２４８９１７６０」とする。
【００３２】
（ｃ）ステップＳ１０４では、アクセス情報生成手段３２が、乱数「９２４８９１７６０」を共通情報の数字「４８９」で割り、余りを求める。尚、余りは「９４」となる。ステップＳ１０５では、この余り「９４」が「１０８」になるように乱数を変更する。つまり、１０８−９４＝１４で、余りは１４不足するので、乱数に「１４」を加算し、「９２４８９１７７４」を得る。
【００３３】
（ｄ）ステップＳ１０６では、アクセス情報生成手段３２が、この「９２４８９１７７４」を３桁ずつに区切り、「９２４」「８９１」「７７４」とする。
【００３４】
（ｅ）ステップＳ１０７においては、アクセス情報生成手段３２が、これら３桁の数字の頭に、図５の認証に用いるポート番号の情報「３」を付加して「３９２４」「３８９１」「３７７４」と４桁の数字にする。
【００３５】
最後にアクセス手段３１は、３９２４番、３８９１番及び３７７４番のポート番号に対してＳＹＮパケットを送信する。
【００３６】
尚ポート番号の情報の「３」とは３０００番台のポート番号の意味である。ポート番号は一般に０から６５５３５の範囲で使用が可能とされるが、例外としてWELL KNOWN PORTやREGISTERED PORTと呼ばれる種類のものもあるので、実際に認証に使用できるポートの一覧を予め図６の端末側認証情報記憶手段３３内にテーブルの形で格納させ、そのテーブルを参照して４桁目の数字を求めると好適である。
【００３７】
次に、第２としてアクセス制御装置２が受信したＳＹＮパケットを検証して認証開始を決定する手法について図８のフローチャートを用いて説明する。尚、クライアント端末３のＩＰアドレスは図５のパケット情報記憶手段２７に記載のように「１３６．１９８．１００．１００」であり、使用を希望するポート番号は「８０」であるものとする。
【００３８】
（ａ）ステップＳ２０１では、アクセス制御装置２のアクセス制御手段２１は、インターネット５を介して、クライアント端末３から使用を希望するポート番号「８０」に対するＳＹＮパケットを初めて受信する。ステップＳ２０２で、アクセス制御手段２１はこのＳＹＮパケットのアクセスを拒否する。パケット情報管理手段２３は、拒否されたＳＹＮパケットが保持するクライアント端末３のＩＰアドレス「１３６．１９８．１００．１００」とポート番号「８０」を図５のパケット情報記憶手段２７に記憶させる。
【００３９】
（ｂ）ステップＳ２０３において、アクセス制御手段２１は、続けてクライアント端末３からの３９２４番ポートへ対するＳＹＮパケットを受信する。ステップＳ２０４において、アクセス制御手段２１は、受信したＳＹＮパケットと同一ＩＰアドレスがパケット情報記憶手段２７内に存在するかパケット情報管理手段２３に検索させる。つまり、これらのＳＹＮパケットは同じクライアント端末３から続けてきたものかを判断する。同じＩＰアドレスであった場合のみ、ステップＳ２０５にてパケット情報管理手段２３は２回目のＳＹＮパケットのポート番号「３９２４」を図５のパケット情報記憶手段２７に記憶させる。
【００４０】
（ｃ）ステップＳ２０６において、アクセス制御手段２１は、続けてクライアント端末３からの３８９１番ポートへ対するＳＹＮパケットを受信する。ステップＳ２０７において、アクセス制御手段２１は、受信したＳＹＮパケットと同一ＩＰアドレスがパケット情報記憶手段２７内に存在するかパケット情報管理手段２３に検索させる。同じＩＰアドレスであった場合のみ、ステップＳ２０８にてパケット情報管理手段２３は３回目のＳＹＮパケットのポート番号「３８９１」を図５のパケット情報記憶手段２７に記憶させる。
【００４１】
（ｄ）ステップＳ２０９において、アクセス制御手段２１は、続けてクライアント端末３からの３７７４番ポートへ対するＳＹＮパケットを受信する。ステップＳ２１０において、アクセス制御手段２１は、受信したＳＹＮパケットと同一ＩＰアドレスがパケット情報記憶手段２７内に存在するかパケット情報管理手段２３に検索させる。同じＩＰアドレスであった場合のみ、ステップＳ２１１にてパケット情報管理手段２３は４回目のＳＹＮパケットのポート番号「３７７４」を図５のパケット情報記憶手段２７に記憶させる。
【００４２】
（ｅ）ステップＳ２１２において、アクセス制御手段２１は、クライアント端末３からポート「８０」に対するＳＹＮパケットを再度受信する。ステップＳ２１３では、アクセス制御手段２１は、受信したＳＹＮパケットと同一ＩＰアドレスがパケット情報記憶手段２７内に存在するかパケット情報管理手段２３に検索させる。同じＩＰアドレスが存在する場合、ステップＳ２１４にて、コネクションの通信が終了したものと判断し、認証処理を開始する。
【００４３】
最後に、第３として、アクセス制御装置２が認証処理を行い認証の可否を判断する手法について図９のフローチャートを用いて説明する。
【００４４】
尚、この際、パケット情報記憶手段２７には、図５のように「ＩＰアドレス  １３６．１９８．１００．１００」から発信された「ポート番号８０」「ポート番号３９２４」「ポート番号３８９１」「ポート番号３７７４」の情報が格納されている。
【００４５】
（ａ）まずステップＳ３０１において、アクセス制御装置２のパケット情報管理手段２３は、パケット情報記憶手段２７に記憶した「ＩＰアドレス  １３６．１９８．１００．１００」からの認証情報を取得する。認証手段２４は、この認証情報の下３桁「９２４」「８９１」「７７４」を取り出し、３つの３桁の数字をつなぎ合わせて「９２４８９１７７４」という数値を生成する。
【００４６】
（ｂ）ステップＳ３０２では、認証手段２４は、この数値を認証情報記憶手段２８内の共通情報「４８９」で割り、余り「１０８」を求める。更にステップＳ３０３にて、認証手段２４はこの余り１０８のすべての桁の数字を加え、「９」を得る。
【００４７】
（ｃ）ステップＳ３０４では、認証手段２４は、数字９が今日の日付か否か判断する。ステップＳ３０５において、正しければ認証を有効とし、アクセス制御手段２１は「ＩＰアドレス  １３６．１９８．１００．１００」に対して「ポート番号８０」を開く。アクセス制御規則管理手段２２は、このＩＰアドレスとポート番号の組み合わせをアクセス制御規則記憶手段２６に格納する。アクセス制御手段２１はアクセス制御規則記憶手段２６の情報を基にアクセス制御を行うため、今後「ＩＰアドレス  １３６．１９８．１００．１００」は「ポート番号８０」に対し通信が可能となる。尚、ステップＳ３０５において、数値が異なれば認証を無効とする。
【００４８】
上記のように、本発明の第１の実施の形態では、ファイアーウォールであるアクセス制御装置２で遮断している複数のパケットの情報を用いて認証を行っているので、たとえパケットを盗聴されてもその解析は困難であり、ひいては不正アクセスに強いファイアーウォール機能を提供することができる。
【００４９】
また、当該ＩＰアドレスに対していったん開いたポート番号を所定の時間、例えば３０分経過した後には閉じるように制御することにより、更にセキュリティ性能を高めることができる。
【００５０】
又、本発明の第１の実施の形態によれば、アクセス制御装置２とサーバ１は物理的に別の装置となっているが、アクセス制御装置２はサーバ１内に組み込まれてあっても構わない。
【００５１】
本発明の第１の実施の形態では共通情報として数字４８９と日付を用い、初めにアクセスしたいポート番号にアクセスを行い、認証情報の下３桁の数字を加えて余りを求める方法を示したがこれは一例にすぎず、サーバ１に対するアクセスを拒否された複数の廃棄パケットの情報を用いて認証を行うものであればよい。
【００５２】
次に第２の実施の形態においては、使用可能なポート番号を予め設定しておき、サーバ及びクライアント端末間の共通情報のみを用いて廃棄パケットの情報を基に認証を行う手法について説明する。
【００５３】
（第２の実施の形態）
（アクセス制御装置）
アクセス制御装置２ａは、図１０に示すように、ＣＰＵ４０内部に、アクセス制御手段４１、アクセス制御規則管理手段４２、パケット情報管理手段４３、認証手段４４及び認証情報管理手段４５等を備え、ＣＰＵ４０がこれらのプログラムを適宜演算処理することにより、これらの機能は実行される。更にアクセス制御装置２ａは、記憶装置として、アクセス制御規則記憶手段４６、パケット情報記憶手段４７及び認証情報記憶手段４８等を備えている。
【００５４】
認証情報記憶手段４８は、図１３に示すように、認証の規則となる情報の組み合わせである認証情報を記憶する。認証情報は例えば、ポート番号、ＩＰアドレス、共通情報、認証に用いるポート番号の範囲等から構成される。「ポート番号」とは、アクセス制御装置２ａとクライアント端末３ａ間において予め決定されている、使用を許可するポート番号である。「ＩＰアドレス」は、外部からアクセスしてきたクライアント端末３ａの送信元アドレスである。「共通情報」はアクセス制御装置２ａ及びクライアント端末３間で予め設定されている共通の数値情報である。「認証に用いるポート番号の範囲」とは、認証処理の際にランダムに使用されるポート番号の範囲を示す。尚、上記の認証情報はクライアント端末３ａ側と共有しているものとする。
【００５５】
パケット情報管理手段４３は、クライアント端末３ａより受信したパケットの情報をパケット情報記憶手段４７内に格納し、更に格納されているパケットの記憶領域の管理を行う。認証手段４４は、廃棄された複数のパケットが有する端末側認証情報が、認証情報記憶手段４８内の認証情報と一致する場合、パケットの通信を許可する。認証情報管理手段４５は、認証情報記憶手段４８内のＩＰアドレス、ポート番号、共通情報及び認証に用いるポート番号の範囲等の情報の検索、更新等を行う。その他の手段については第１の実施の形態と同様であるため説明を省略する。
【００５６】
（クライアント端末）
次にクライアント端末３ａは、図１１に示すアクセス手段５１、アクセス情報生成手段５２及び端末側認証情報記憶手段５３等を備える。
【００５７】
アクセス情報生成手段５２は、端末側認証情報記憶手段５３内のＩＰアドレス、ポート番号、共通情報及び認証に用いるポート番号を基に認証アクセス用のパケットを生成する。その他の手段は第１の実施の形態と同様であるため説明を省略する。
【００５８】
（アクセス制御システムの動作）
認証の為には、第１にクライアント端末３ａからＳＹＮパケットを作成してアクセス制御装置２ａに対して送信すること、第２にアクセス制御装置２ａが受信したＳＹＮパケットを検証して認証開始を決定すること、第３にアクセス制御装置２ａが認証処理を行い認証の可否を判断することが必要になる。
【００５９】
先ず、第１としてクライアント端末３ａからＳＹＮパケットを作成してアクセス制御装置２ａに対して送信する手法について、図１４のフローチャートを用いて以下に説明する。尚、クライアント端末３ａがＨＴＴＰ（ハイパーテキストトランスファプロトコル）のポート通信アクセスにてＳＹＮパケットを送信する際、アクセス制御装置２ａの全てのポートは閉じられているものとする。
【００６０】
（ａ）ステップＳ４０１では、クライアント端末３ａのアクセス情報生成手段５２が、図１３の認証情報内の共通情報「１２３４５６７８９１２３４５６７８９」を取得する。
【００６１】
（ｂ）ステップＳ４０２では、アクセス情報生成手段５２が、アクセスに使用するポート番号を作成する。まず共通情報「１２３４５６７８９１２３４５６７８９」３つの数字に分解して３桁の数字を生成する。例えば「１２３」「４５６」「７８９」「１２３」「４５６」「７８９」を生成する。
【００６２】
（ｃ）ステップＳ４０３においては、アクセス情報生成手段５２が、これら３桁の数字の頭に、図１３の認証に用いるポート番号の情報「３」を付加して「３１２３」「３４５６」「３７８９」「３１２３」「３４５６」「３７８９」と４桁の数字にする。
【００６３】
最後にアクセス手段５１は、３１２３番、３４５６番、３７８９番、３１２３番、３４５６番及び３７８９番のポート番号に対してＳＹＮパケットを６回送信する。
【００６４】
次に、第２としてアクセス制御装置２ａが受信したＳＹＮパケットを検証して認証開始を決定する手法について図１５のフローチャートを用いて説明する。尚、クライアント端末３ａのＩＰアドレスは図１３の認証情報記憶手段４８に記載のように「１１１．２２２．３３３．３」であり、許可されているポート番号は「８０」であり、認証に用いるポート番号の範囲は３０００番台であるものとする。
【００６５】
（ａ）ステップＳ５０１では、図１０のアクセス制御装置２ａのアクセス制御手段４１は、インターネット５を介して、クライアント端末３ａからポート「３１２３」に対する１回目のＳＹＮパケットを受信する。ステップＳ５０２で、アクセス制御手段４１はこのＳＹＮパケットのアクセスを拒否する。
【００６６】
（ｂ）ステップＳ５０３において、認証情報管理手段２５は、ＩＰアドレス「１１１．２２２．３３３．３」が、認証に用いるポート番号の範囲として３０００番台を許可されていることを取得し、認証手段４４は、１回目に受信したポート番号が３０００番台であるか判断する。３０００番台であった場合、ステップＳ５０４にてパケット情報管理手段４３は、拒否されたＳＹＮパケットが保持するクライアント端末３ａのＩＰアドレス「１１１．２２２．３３３．３」とポート番号「３１２３」を図１２のパケット情報記憶手段４７に記憶させる。
【００６７】
更に、ＩＰアドレス「１１１．２２２．３３３．３」から、２〜６回目のポート番号「３４５６」「３７８９」「３１２３」「３４５６」「３７８９」に対するＳＹＮパケットを受け取るがパケットを拒否し、ステップＳ５０１〜５０４の動作を繰り返し、これらのＩＰアドレス及びポート番号を図１２のパケット情報記憶手段４７に記憶させる。
【００６８】
尚、パケット情報記憶手段４７は、図１７に示すように、認証に必要なパケット数（第２の実施の形態では６つ）×同時に認証対象とするＩＰアドレスの数の領域を確保しておいても良い。３０００番台のパケットで認証を行う場合、３０００番台のポート番号宛のパケットを受信すると、送信元のＩＰアドレス毎に下３桁の値を順次記憶領域に格納していく。
【００６９】
更に、パケット情報管理手段４３は、認証に必要なパケット数の記憶領域を、図１８（ａ）（ｂ）（ｃ）に示すような一次元配列の先入れ先出し方式により管理するようにしても良い。図１８（ａ）では、一番目から順次ポート番号の３桁分を記録し、六番目まで記録したら認証手段４４による認証を行う。この後、新たに認証パケットを受信すると、図１８（ｂ）のように、１番目の記憶領域に新たに受信したポート番号の下３桁を記録し、その値が６番目の記憶領域の後ろに有るものとして認証手段４４が認証を行う。以下、図１８（ｃ）のように、新たな認証パケットを順次受信する度、同様の処理を繰り返す。
【００７０】
（ｃ）ステップＳ５０５において、アクセス制御手段４１は、ＩＰアドレス「１１１．２２２．３３３．３」からＳＹＮパケットを６回受信したことを確認する。すると認証手段４４は、認証処理を開始する。
【００７１】
最後に、第３として、アクセス制御装置２ａが認証処理を行い認証の可否を判断する手法について図１６のフローチャートを用いて説明する。尚、この際、パケット情報記憶手段４７には、図１２のように「ＩＰアドレス  １１１．２２２．３３３．３」から発信されたポート番号「３１２３」「３４５６」「３７８９」「３１２３」「３４５６」「３７８９」の情報が格納されている。
【００７２】
（ａ）まずステップＳ６０１において、アクセス制御装置２ａのパケット情報管理手段４３は、パケット情報記憶手段４７に記憶した「ＩＰアドレス  １１１．２２２．３３３．３」からの認証情報を取得する。認証手段４４は、この認証情報の下３桁「１２３」「４５６」「７８９」「１２３」「４５６」「７８９」を取り出し、６つの３桁の数字をつなぎ合わせて「１２３４５６７８９１２３４５６７８９」という数値を生成する。
【００７３】
（ｂ）ステップＳ６０２では、認証手段４４は、この数値を認証情報記憶手段４８内の共通情報「１２３４５６７８９１２３４５６７８９」と同一であるか判断する。同一の共通情報であれば認証を有効とし、ステップＳ６０３にてアクセス制御手段４１は「ＩＰアドレス  １１１．２２２．３３３．３」に対して図１３に規定されている「ポート番号８０」を開く。アクセス制御規則管理手段４２は、このＩＰアドレスとポート番号の組み合わせをアクセス制御規則記憶手段４６に格納する。アクセス制御手段２１はアクセス制御規則記憶手段２６の情報を基にアクセス制御を行うため、今後「ＩＰアドレス  １１１．２２２．３３３．３」は「ポート番号８０」に対し通信が可能となる。尚、ステップＳ６０２において、数値が異なればステップＳ６０４にて認証を無効とする。
【００７４】
上記のように、本発明の第２の実施の形態では、アクセス制御装置２ａで廃棄された複数のパケットの情報を用いて認証を行っているので、たとえパケットを盗聴されてもその解析は困難であり、ひいては不正アクセスに強いファイアーウォール機能を提供することができる。更に、予め通信許可するポートを固定しておくため、共通情報のみを用いて認証処理を行うことができる。
【００７５】
又、本発明の第２の実施の形態によれば、アクセス制御装置２ａとサーバ１は物理的に別の装置となっているが、アクセス制御装置２ａはサーバ１内に組み込まれてあっても構わない。
【００７６】
尚、第１及び第２の実施の形態においては認証情報にＩＰアドレスを含み、ＩＰアドレス毎に異なる情報を記憶する例を示したが、認証情報にＩＰアドレスを含ませずとも、それに代わる一組の情報を記憶させても良い。この場合、全てのＩＰアドレスからのパケットに対し同一の認証規則を適用するので、動的なＩＰアドレスからのパケットに対しても認証を行うことが出来る。ここで情報とは、例えば、第１の実施の形態では「共通情報」及び「認証に用いるポート番号の範囲」、第２の実施の形態では「ポート番号」、「共通情報」及び「認証に用いるポート番号の範囲」を指す。
【図面の簡単な説明】
【００７７】
【図１】本発明の第１の実施の形態に係るアクセス制御システムの構成図である。
【図２】本発明の第１の実施の形態に係るアクセス制御装置の構成図である。
【図３】本発明の第１の実施の形態に係るクライアント端末の構成図である。
【図４】アクセス制御規則記憶手段のデータ構成図である。
【図５】パケット情報記憶手段のデータ構成図である。
【図６】認証情報記憶手段のデータ構成図である。
【図７】本発明の第１の実施の形態に係るクライアント端末の動作を示すフロー図である。
【図８】本発明の第１の実施の形態に係るアクセス制御装置の動作を示すフロー図である。
【図９】本発明の第１の実施の形態に係るアクセス制御装置の動作を示すフロー図である。
【図１０】本発明の第２の実施の形態に係るアクセス制御装置の構成図である。
【図１１】本発明の第２の実施の形態に係るクライアント端末の構成図である。
【図１２】パケット情報記憶手段のデータ構成図である。
【図１３】認証情報記憶手段のデータ構成図である。
【図１４】本発明の第２の実施の形態に係るクライアント端末の動作を示すフロー図である。
【図１５】本発明の第２の実施の形態に係るアクセス制御装置の動作を示すフロー図である。
【図１６】本発明の第２の実施の形態に係るアクセス制御装置の動作を示すフロー図である。
【図１７】パケット情報記憶手段のデータ構成図である。
【図１８】パケット情報記憶手段のデータ構成図である。
【符号の説明】
【００７８】
１…サーバ
２、２ａ…アクセス制御装置
３、３ａ…クライアント端末
４…ローカルエリアネットワーク
５…インターネット
２０…ＣＰＵ
２１…アクセス制御手段
２２…アクセス制御規則管理手段
２３…パケット情報管理手段
２４…認証手段
２５…認証情報管理手段
２６…アクセス制御規則記憶手段
２７…パケット情報記憶手段
２８…認証情報記憶手段
３１…アクセス手段
３２…アクセス情報生成手段
３３…端末側認証情報記憶手段
３４…乱数発生手段
３５…時計手段
４０…ＣＰＵ
４１…アクセス制御手段
４２…アクセス制御規則管理手段
４３…パケット情報管理手段
４４…認証手段
４５…認証情報管理手段
４６…アクセス制御規則記憶手段
４７…パケット情報記憶手段
４８…認証情報記憶手段
５１…アクセス手段
５２…アクセス情報生成手段
５３…端末側認証情報記憶手段
１００…アクセス制御システム
【図１】
2005203890.tif 000003
【図２】
2005203890.tif 000004
【図３】
2005203890.tif 000005
【図４】
2005203890.tif 000006
【図５】
2005203890.tif 000007
【図６】
2005203890.tif 000008
【図７】
2005203890.tif 000009
【図８】
2005203890.tif 000010
【図９】
2005203890.tif 000011
【図１０】
2005203890.tif 000012
【図１１】
2005203890.tif 000013
【図１２】
2005203890.tif 000014
【図１３】
2005203890.tif 000015
【図１４】
2005203890.tif 000016
【図１５】
2005203890.tif 000017
【図１６】
2005203890.tif 000018
【図１７】
2005203890.tif 000019
【図１８】
2005203890.tif 000020