(57)【要約】【課題】  アクセス制御がなされたネットワーク（ＬＡＮ）が、インターネット等を介して複数接続された場合であっても、ネットワーク相互のアクセス制御を可能としたネットワークシステムを提供する。【解決手段】  このシステムは、従来のＷｅｂアプリケーションシステム上に新たにセキュリティポリシー決定ブロック２１と、アクセス制御マネージャ２３と、アクセス情報データベース２４と、ポリシー制御ブロック２０と、モバイルエージェント２５と、アクセス制御ポリシー設計評価ブロック２２と、名前／属性／アドレス解決ブロック２６の機能ブロックを追加する事によって実現する。尚、認証ブロック２７は従来技術におけるＳＡＭＬブロック５７と同等の認証機能を有する。【選択図】  図２
2005092891.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークシステムにおける秘匿情報の漏洩及び改竄を防止するために、カバートチャネルを検出して評価するアクセス制御エージェントシステムであって、
前記ネットワークシステムはデータベースへのアクセス制御を司るアプリケーションサーバを備え、複数の前記ネットワークシステムがインターネットにより接続され、各ネットワークシステム間で情報の授受を行う場合、前記アプリケーションサーバは、各ネットワークシステムに備えられたアプリケーションサーバと協働して前記カバートチャネルを検出し、前記秘匿情報が漏洩及び改竄されないように制御することを特徴とするアクセス制御エージェントシステム。
【請求項２】
前記アクセス制御エージェントシステムは、アクセス権限に関するセキュリティポリシーを記述、蓄積、及びシステムの動作を決定するセキュリティポリシー決定ブロックと、
該セキュリティポリシー決定ブロックからの指令により、前記カバートチャネルの分析、及びアクセス権限の調停を実行するアクセス制御マネージャと、
ユーザ名、ユーザの属性、ファイル名、ファイルの属性、パミッションなどを蓄積するアクセス情報データベースと、
前記セキュリティポリシー決定ブロックの指令により前記アクセス制御マネージャが分析した結果、ユーザ名、ユーザのアイデンティティー、アクセス要求、及びデータに対してフィルタをかけ、許可されていないアクセス、及び不正なアクセスをデータベースからブロックするポリシー制御ブロックと、
前記アクセス制御マネージャの指令により、アクセス権限の調停に必要な情報を、他のアクセス制御エージェントシステムのマネージャ機能と交信するモバイルエージェントと、
システム設計の際、ユーザが形式的使用記述に従ってアクセス制御ポリシーを記述するアクセス制御ポリシー設計評価ブロックと、
アクセスしたいユーザの名前や属性をインターネットから探す名前／属性／アドレス解決ブロックと、
アクセスしたユーザ名と属性を認証する認証ブロックと、を備えたことを特徴とする請求項１に記載のアクセス制御エージェントシステム。
【請求項３】
前記セキュリティポリシー決定ブロックは、前記アクセス制御マネージャを制御して、分散した個々のネットワークシステムや、それに接続されるデータベースから情報漏洩が発生しないように前記モバイルエージェントを管理することを特徴とする請求項１又は２に記載のアクセス制御エージェントシステム。
【請求項４】
前記セキュリティポリシー決定ブロックは、前記データベースにユーザが要求するデータがある場合は、前記データベースに記憶されている当該データを当該ユーザのアクセス権限により許可し、前記データベースにユーザが要求するデータがない場合は、他のアクセス制御エージェントシステムへ前記ユーザのアクセス要求を照会することを特徴とする請求項１乃至３の何れか一項に記載のアクセス制御エージェントシステム。
【請求項５】
アクセス権限に関してセキュリティポリシーをＸＭＬベースで形式的に仕様化することにより、前記セキュリティポリシーが前記アプリケーションサーバにあるアクセス制御ポイントに反映されることを特徴とする請求項１乃至４の何れか一項に記載のアクセス制御エージェントシステム。
【請求項６】
クライアントと前記アプリケーションサーバ間は前記モバイルエージェントを使用しないクライアントサーバシステムとして動作し、前記アプリケーションサーバのモバイルエージェントが前記アプリケーションサーバ間のアクセス権限調停情報の伝達役として機能することを特徴とする請求項１又は２に記載のアクセス制御エージェントシステム。
【請求項７】
前記アプリケーションサーバのモバイルエージェントとクライアントのモバイルエージェント同士がアクセス権限要求と制御情報のやり取りを行い、前記アプリケーションサーバのモバイルエージェントがアプリケーションサーバ間のアクセス権限調停情報の伝達役として機能することを特徴とする請求項１又は２に記載のアクセス制御エージェントシステム。
【請求項８】
前記ネットワークシステムがＷｅｂアプリケーションシステムであることを特徴とする請求項１乃至７のいずれか一項に記載のアクセス制御エージェントシステム。
【請求項９】
前記ネットワークシステムがピアツゥピア通信システムであることを特徴とする請求項１乃至７のいずれか一項に記載のアクセス制御エージェントシステム。
【請求項１０】
ネットワークシステムにおける秘匿情報の漏洩及び改竄を防止する方法であって、
前記ネットワークシステムはデータベースへのアクセス制御を司るアプリケーションサーバを備え、複数の前記ネットワークシステムがインターネットにより接続され、各ネットワークシステム間で情報の授受を行う場合、前記アプリケーションサーバは、各ネットワークシステムに備えられたアクセス制御エージェントシステムと協働して前記カバートチャネルを検出し、前記秘匿情報が漏洩及び改竄されないように制御することを特徴とする秘匿情報の漏洩及び改竄防止方法。
【請求項１１】
前記アクセス制御エージェントシステムは、アクセス権限に関するセキュリティポリシーを記述、蓄積、及びシステムの動作を決定するセキュリティポリシー決定ステップと、
該セキュリティポリシー決定ステップからの指令により、前記カバートチャネルの分析、及びアクセス権限の調停を実行するアクセス制御ステップと、
ユーザ名、ユーザの属性、ファイル名、ファイルの属性、パミッションなどを蓄積するアクセス情報データベースと、
前記セキュリティポリシー決定ブロックの指令により前記アクセス制御マネージャが分析した結果、ユーザ名、ユーザのアイデンティティー、アクセス要求、及びデータに対してフィルタをかけ、許可されていないアクセス、及び不正なアクセスをデータベースからブロックするポリシー制御ステップと、
前記アクセス制御ステップにより、アクセス権限の調停に必要な情報を、他のアクセス制御エージェントシステムのマネージャ機能と交信するモバイルエージェントステップと、
システム設計の際、ユーザが形式的使用記述に従ってアクセス制御ポリシーを記述するアクセス制御ポリシー設計評価ブロックと、
アクセスしたいユーザの名前や属性をインターネットから探す名前／属性／アドレス解決ステップと、アクセスしたユーザ名と属性を認証するステップと、を備えたことを特徴とする請求項１０に記載の秘匿情報の漏洩及び改竄防止方法。
【請求項１２】
前記セキュリティポリシー決定ステップは、前記アクセス制御ステップを制御して、分散した個々のネットワークシステムや、それに接続されるデータベースから情報漏洩が発生しないように前記モバイルエージェントステップを管理することを特徴とする請求項１０又は１１に記載の秘匿情報の漏洩及び改竄防止方法。
【請求項１３】
前記セキュリティポリシー決定ステップは、前記データベースにユーザが要求するデータがある場合は、前記データベースに記憶されている当該データを当該ユーザのアクセス権限により許可し、前記データベースにユーザが要求するデータがない場合は、他のアクセス制御エージェントシステムへ前記ユーザのアクセス要求を照会することを特徴とする請求項１０乃至１２の何れか一項に記載の秘匿情報の漏洩及び改竄防止方法。
【請求項１４】
アクセス権限に関してセキュリティポリシーをＸＭＬベースで形式的に仕様化することにより、前記セキュリティポリシーが前記アプリケーションサーバにあるアクセス制御ポイントに反映されることを特徴とする請求項１０乃至１３の何れか一項に記載の秘匿情報の漏洩及び改竄防止方法。
【請求項１５】
クライアントと前記アプリケーションサーバ間は前記モバイルエージェントステップを使用しないクライアントサーバシステムとして動作し、前記アプリケーションサーバのモバイルエージェントステップが前記アプリケーションサーバ間のアクセス権限調停情報の伝達役として機能することを特徴とする請求項１０又は１１に記載の秘匿情報の漏洩及び改竄防止方法。
【請求項１６】
前記アプリケーションサーバのモバイルエージェントステップとクライアントのモバイルエージェントステップ同士がアクセス権限要求と制御情報のやり取りを行い、前記アプリケーションサーバのモバイルエージェントステップがアプリケーションサーバ間のアクセス権限調停情報の伝達役として機能することを特徴とする請求項１０又は１１に記載の秘匿情報の漏洩及び改竄防止方法。
【請求項１７】
請求項１０乃至１６の何れか一項に記載の秘匿情報の漏洩及び改竄防止方法をコンピュータが制御可能にプログラミングしたことを特徴とするネットワークシステムプログラム。
【請求項１８】
請求項１７に記載のネットワークシステムプログラムをコンピュータが読み取り可能な形式で記録したことを特徴とする記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークシステムに組み込まれるアクセス制御エージェントシステムに関し、さらに詳しくは、インターネットを使用したネットワークシステムにおける情報漏洩及び改竄を防止し、カバートチャネルの検出、評価を行うことにより個人情報を保護するアクセス制御エージェントシステムに関するものである。
【背景技術】
【０００２】
現在、インターネットを介した商取引や銀行決済、或いは電子図書館の進展など様々なサービスが普及している。また近年、企業が互いに連盟することにより、複数のサービスに対してユーザはシングルサインオンでポータルサーバにアクセスできるサービスの提供が盛んに行われつつある。これらのサービスを実現するシステムは、一般にＷｅｂアプリケーションシステムと呼ばれている。しかし、この様なインターネットを介したコンピュータシステムへの不正なアクセス、或いはサービス提供側の内部による不正アクセスにより、個人情報が漏洩したり、或いは改竄される事件が大きな社会問題となっている。
この問題を防止するために、サービス提供者サイドでは、「ファイアウォールをインターネットの境界に設置してＩＰパケットをフィルタリングする」、「ユーザ認証、サーバ認証を行って互いに身元を確認する」、「データを暗号化してインターネット内部の盗聴を防止する」と言う技術を導入する。そして、更にシステムの最深部にあるデータベースへのアクセス制御によってユーザのアクセスを限定する事により最低限のガードを行っているが、ネットワークシステムではカバートチャネルによる情報漏洩の問題があり、これに対してはこれらの技術対策では不十分である。従来、Ｗｅｂアプリケーションシステムの実現形態は図６に示すように、機能モデル的には、プレゼンテーション層（View）５０、ビジネスロジック層（Control）５１、データ層（Model）５２に分けられ、ＭＶＣモデルと呼ばれている。そして各層の機能として、プレゼンテーション層５０は、Ｗｅｂブラウザにより、システム側とやり取りした結果を表示する。ビジネスロジック層５１は、プレゼンテーション層５０から入力されるクライアント情報とデータ層側のデータベースを連携する。またデータ層５２は、ユーザのデータを確実に、一貫性を保ちながらデータベースに保存する。また図６には各層とクライアント５３、Ｗｅｂサーバ５４、アプリケーションサーバ５５、データベース５６との対応関係を示す。ここでは、プレゼンテーション層５０としてクライアント５３とＷｅｂサーバ５４を、ビジネスロジック層５１とデータ層５２にはアプリケーションサーバ５５を、データ層５２にはデータベース５６を対応させている。
【０００３】
図７は従来のビジネスロジック層の機能ブロックを中心にした説明図である。同じ構成要素には同じ参照番号を付して説明する。Ｗｅｂアプリケーションシステムにおいては、データベース５６へのアクセス制御はビジネスロジック層５１で実施される。ビジネスロジック層５１の中に示すアクセス制御ブロック５１ｂがその機能を果たす。図７のＳＡＭＬブロック５７では、ＳＡＭＬ（Security Assertion Markup Language）と言うＰＫＩ（Public Key Infrastructure）の枠組みを使うことを想定している。即ち、ＳＡＭＬブロック５７でユーザ認証とサーバ認証を行う。各認証においては、アイデンティティと言う主体及び客体の属性（主体で言えば、住所、氏名、年齢、性別と言う個人情報の４要素や、職業、年収、学歴、既婚未婚等の情報がある）に基づいた認証が実施される。一般にはLiberty Alliance Project仕様（Ｗ３ＣやＯＡＳＩＳ仕様が使われている）が知られている。このＷｅｂアプリケーションシステムでは、制御はＸＭＬベースで実施され、また、データベースもＲＤＢ（Relational Data Base）やネイティブＸＭＬデータベースを対象としている。ＸＭＬの導入の目的は、その汎用性と柔軟性がシームレスでグローバルなインフラとして活用する事にある。そしてＸＭＬによる文書データは、例えば普通に書いたレポートにヘッダとボディを示すタグを付けるだけのものと簡単化してもさほど誤りではない。
また情報の改竄を防止する従来技術として、特開２００２−１４９４９６公報には、Ｗｅｂコンテンツの提供者がネットワークを介してＷｅｂコンテンツを利用者に提供する際に、提供者のサーバ内において、Ｗｅｂコンテンツに含まれるデータについての予め登録した特性情報と公開提供中のデータの特性情報とを比較して改竄を検知し、改竄が検知されたときに、オリジナルのＷｅｂコンテンツ又は予め準備した代用のＷｅｂコンテンツを利用者に提供する技術について開示されている。
また特開２００２−１７５０１０公報には、暗号化ウェブファイルを格納する公開ウェブサーバコンピュータ、公開ウェブサーバコンピュータとファイアウォール等を介して接続された原本ウェブサーバコンピュータ、公開ウェブサーバがユーザからアクセス要求を受けたときに暗号化されたウェブファイルの改竄チェックを行い、改竄されていないと判断した場合に暗号化されたウェブファイルを復号化してユーザに送信する手段、改竄を検出したとき原本ウェブサーバの記憶装置に格納されている対応するウェブファイルを暗号化処理して公開ウェブサーバの改竄されたウェブファイルを更新・復旧処理する手段、を含むホームページ改竄防止システムについて開示されている。
【特許文献１】特開平１１−８８４３７号公報
【特許文献２】特開２０００−１１５２４６公報
【特許文献３】特開２０００−１５１７１５公報
【特許文献４】特開２００２−１４９４９６公報
【特許文献５】特開２００２−１７５０１０公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら上記の方法はファイルに対するカバートチャネルを分析、制御するものではない。特に、ＸＭＬのデータ構造を持つ情報は、機密情報や個人情報がＸＭＬ文書のボディの中に埋もれ人づてに渡ってしまい、個人情報が漏洩すると言った事故が起こりやすい。一般にこの様な現象をカバートチャネル（Covert Channel）と言う。このカバートチャネルはＸＭＬ文書データベースだけに生じる現象ではない。
図８を参照してカバートチャネルの概念について説明する。図８（ａ）は図８（ｂ）のアクセス行列に基づいて複数のユーザ間を情報ファイルが伝送していく様子を示した図である。図８（ｂ）はユーザなどのアクセス主体（Subject）がアクセスされるファイルなどの客体（Object）に対して持っているアクセス権（リード権、ライト権）を行と列に配置したアクセス行列の一例を示す図である。この図８（ｂ）において、アクセスを起こすアクセス主体は、列方向にＳ１、Ｓ２、Ｓ３、Ｓ４が配置され、ユーザ名やプログラム名などがこれに当たる。また、アクセスされる客体は、行方向にＯ１、Ｏ２、Ｏ３が配置され、ディレクトリ名やファイル名などの情報がこれに当たる。そして、枠内の対応位置にはそれぞれアクセス権が設定されていて、Ｒはリード権、Ｗはライト権、¬Ｒはリード権の否定で、後述するカバートチャネルを意味している。この例では、主体Ｓ１は客体Ｏ１、Ｏ２、Ｏ３をリードする権利があり、更にＯ２をライトする権利がある。主体Ｓ２は客体Ｏ１、Ｏ２、Ｏ３をリードする権利があり、更にＯ３をライトする権利がある。主体Ｓ３は客体Ｏ１、Ｏ２をリードする権利がなく、客体Ｏ３のみをリードする権利がある。また主体Ｓ４は客体Ｏ１、Ｏ２、Ｏ３をリードする権利のみがある。
【０００５】
このアクセス権に基づいて動作例を説明すると、ユーザＳ１が秘密情報４０が記載されたファイルＯ１をファイルサーバ４１からリードする。次にユーザＳ１がファイルＯ１をファイルＯ２にコピーペーストすると、この時点でファイルＯ２には秘密情報４０が記載された内容がライトされる。そのファイルＯ２をユーザＳ２がリードして、ファイルＯ３にコピーペーストする。この時点でファイルＯ３には秘密情報４０が記載された内容がライトされる。次にユーザＳ３はファイルＯ３をリードする権利があるので、ファイルＯ３をリードする。ここまでは図８（ｂ）のアクセス行列に従った動作であるが、本来ファイルＯ１をリードする権利がないユーザＳ３が実質的にファイルＯ１の秘密情報４０を読み取ったことと等価となり、秘密情報がこの時点で漏洩したことになる。一般にこの様な現象をカバートチャネル（Covert Channel）と言う。
本発明者は、カバートチャネルを解決するためネットワーク（ＬＡＮ）にＡＣサーバ４２を設けるという手法を特開平１１−８８４３７号公報、特開２０００−１１５２４６公報、及び特開２０００−１５１７１５公報に開示した。即ち、ＡＣサーバ４２は図８（ｂ）のアクセス行列を管理し、カバートチャネルの解析を行い、秘密情報の漏洩が起きないようにアクセス制限するものである（図７のビジネスブロック層５１に対応する）。またＬＡＮのような閉じられたネットワーク空間であれば、ＡＣサーバ４２が管理するアクセス行列のデータベースは僅かであるが、ＬＡＮをインターネットなど広域のネットワークに接続した場合、ＡＣサーバ４２が膨大なアクセス行列を管理し、カバートチャネルを解決することになるが、これは事実上不可能である。
またＷｅｂアプリケーションシステムの標準となるＸＡＣＭＬ（ＯＡＳＩＳドラフト）には、２００４年にＡＮＳＩスタンダードとして承認されたセキュリティモデルＲＢＡＣ（Role Based Access Control）（ANSI INCITS 359-2004(approved 19 Feb 04））が導入されているが、カバートチャネル分析、評価を対象にしていない。
また、ＳＡＭＬはSingle Sing Onするための「Subject」をアサートする（論理的に活性化する）メカニズムであり、authenticationを連携して行う枠組を示すに留まっている。
また特許文献４に開示されている従来技術は、改竄を検知して正しいＷｅｂコンテンツを利用者に提供する技術であり、改竄を事前に防止することはできない。
また特許文献５に開示されている従来技術は、改竄を検知した場合、原本ウェブサーバの記憶装置に格納されている対応するウェブファイルを暗号化処理して公開ウェブサーバの改竄されたウェブファイルを更新・復旧処理するものであり、特許文献１と同様に改竄を事前に防止することはできない。
本発明は、かかる課題に鑑み、アクセス制御がなされたネットワーク（ＬＡＮ）が、インターネット等を介して複数接続された場合であっても、ネットワーク相互のアクセス制御を可能としたネットワークシステムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明はかかる課題を解決するために、請求項１は、ネットワークシステムにおける秘匿情報の漏洩及び改竄を防止するために、カバートチャネルを検出して評価するアクセス制御エージェントシステムであって、前記ネットワークシステムはデータベースへのアクセス制御を司るアプリケーションサーバを備え、複数の前記ネットワークシステムがインターネットにより接続され、各ネットワークシステム間で情報の授受を行う場合、前記アプリケーションサーバは、各ネットワークシステムに備えられたアプリケーションサーバと協働して前記カバートチャネルを検出し、前記秘匿情報が漏洩及び改竄されないように制御することを特徴とする。
カバートチャネルを検出して秘匿情報の漏洩及び改竄を防止するネットワークシステムにおいては、閉じられたネットワーク内では、そこに備えられたアプリケーションサーバに組み込まれるアクセス制御エージェントシステムによりカバートチャネルを検出して秘匿情報の漏洩及び改竄を防止することは可能である。しかし、インターネットにより複数のネットワークシステムが相互に接続されると、外部からアクセスされた場合に秘匿情報の漏洩及び改竄を防止することが困難となってくる。そこで本発明では、各ネットワークシステムが備えるアプリケーションサーバに組み込まれるアクセス制御エージェントシステム同士がアクセス制御に関わる情報の授受を行いながら協働してカバートチャネルを検出し、秘匿情報の漏洩及び改竄を防止するものである。
【０００７】
請求項２は、前記アクセス制御エージェントシステムは、アクセス権限に関するセキュリティポリシーを記述、蓄積、及びシステムの動作を決定するセキュリティポリシー決定ブロックと、該セキュリティポリシー決定ブロックからの指令により、前記カバートチャネルの分析、及びアクセス権限の調停を実行するアクセス制御マネージャと、ユーザ名、ユーザの属性、ファイル名、ファイルの属性、パミッションなどを蓄積するアクセス情報データベースと、前記セキュリティポリシー決定ブロックの指令により前記アクセス制御マネージャが分析した結果、ユーザ名、ユーザのアイデンティティ、アクセス要求、及びデータに対してフィルタをかけ、許可されていないアクセス、及び不正なアクセスをデータベースからブロックするポリシー制御ブロックと、前記アクセス制御マネージャの指令により、アクセス権限の調停に必要な情報を、他のアクセス制御エージェントシステムのマネージャ機能と交信するモバイルエージェントと、システム設計の際、ユーザが形式的使用記述に従ってアクセス制御ポリシーを記述するアクセス制御ポリシー設計評価ブロックと、アクセスしたいユーザの名前や属性をインターネットから探す名前／属性／アドレス解決ブロックと、アクセスしたユーザ名と属性を認証する認証ブロックと、を備えたことを特徴とする。
各ネットワークシステムが備えるアプリケーションサーバに組み込まれるアクセス制御エージェントシステム同士が情報の授受を行いながら協働してカバートチャネルを検出し、秘匿情報の漏洩及び改竄を防止するには、従来のアプリケーションサーバの構成に加えて、セキュリティポリシー決定ブロック、アクセス制御マネージャ、認証許可データベース、ポリシー推進ブロック、モバイルエージェント、アクセス制御ポリシー設計評価ブロック、名前／属性／アドレス解決ブロックと認証ブロックから構成されるアクセス制御エージェントシステムを更に備える必要がある。ここで最も特徴的な点は、モバイルエージェントがアクセス制御マネージャの指示に基づいてプレゼンテーション層に対してアクセス権限を収集し、その情報に基づいてアプリケーションサーバに組み込まれるアクセス制御エージェントシステムがカバートチャネルを検出する点、及びそのメカニズムを各ネットワークシステムが実行することにより全システムが向上していくところにある。
【０００８】
請求項３は、前記セキュリティポリシー決定ブロックは、前記アクセス制御マネージャを制御して、分散した個々のネットワークシステムや、それに接続されるデータベースから情報漏洩が発生しないように前記モバイルエージェントを管理することを特徴とする。
セキュリティポリシー決定ブロックは、アプリケーションサーバの頭脳としての機能を果たす。即ち、セキュリティポリシー決定ブロックにはアクセス制御マネージャが配置され、モバイルエージェントはアクセス制御マネージャの指示により、分散した個々のネットワークシステムが専用のアプリケーションサーバの周りから情報漏洩が発生しないように管理される。
請求項４は、前記セキュリティポリシー決定ブロックは、前記データベースにユーザが要求するデータがある場合は、前記データベースに記憶されている当該データを当該ユーザのアクセス権限により許可し、前記データベースにユーザが要求するデータがない場合は、他のアクセス制御エージェントシステムへ前記ユーザのアクセス要求を照会することを特徴とする。
本発明のセキュリティポリシー決定ブロックは、データベースを検索してその中にユーザが要求するデータがある場合は、データベースに記憶されている当該データをユーザのアクセス権限により許可する。またデータベースにユーザが要求するデータがない場合は、他のアクセス制御エージェントシステムへそのユーザのアクセス要求を照会する。
【０００９】
請求項５は、アクセス権限に関してセキュリティポリシーをＸＭＬベースで形式的に仕様化することにより、前記セキュリティポリシーが前記アプリケーションサーバにあるアクセス制御ポイントに反映されることを特徴とする。
セキュリティポリシー決定ブロックの制御のもと、アクセス制御ポリシー設計評価ブロックにおいて、アクセス制御ポリシー設計機能を使って、アクセス行列の内容を設計する。それをセキュリティポリシーとして設計し、ＸＭＬベースで記述する。また評価機能では、記述されたアクセス行列などの仕様から、カバートチャネル分析を行う様、アクセス制御マネージャに分析指令を出す。アクセス制御マネージャが分析したカバートチャネルに基づいて、その結果を許可するか、許可しないか、アクセス制御ポリシー設計評価ブロックの評価機能が評価する。最終的に結果がでたところで、認証許可データベースに、どのような主体がどのようなアイデンティティ（属性）を持ち、それがどのような客体に対していかなるパミッションを持つか、と言う情報を蓄積する。
請求項６は、クライアントと前記アプリケーションサーバ間は前記モバイルエージェントを使用しないクライアントサーバシステムとして動作し、前記アプリケーションサーバのモバイルエージェントが前記アプリケーションサーバ間のアクセス権限調停情報の伝達役として機能することを特徴とする。
インターネットにおけるアクセス制御エージェントシステムの構成例の１つとして、クライアントとアプリケーションサーバ間はモバイルエージェントを使用しないクライアントサーバシステムとして動作させることにより、モバイルエージェントがアプリケーションサーバ間のアクセス権限調停情報の伝達役として機能するものである。
【００１０】
請求項７は、前記アプリケーションサーバのモバイルエージェントとクライアントのモバイルエージェント同士がアクセス権限要求と制御情報のやり取りを行い、前記アプリケーションサーバのモバイルエージェントがアプリケーションサーバ間のアクセス権限調停情報の伝達役として機能することを特徴とする。
インターネットにおけるアクセス制御エージェントシステムの他の構成例として、アプリケーションサーバのモバイルエージェントとクライアントのモバイルエージェント同士がアクセス権限要求と制御情報のやり取りを行うことにより、アプリケーションサーバのモバイルエージェントがアプリケーションサーバ間のアクセス権限調停情報の伝達役として機能するものである。
請求項８は、前記ネットワークシステムがＷｅｂアプリケーションシステムであることを特徴とする。
複数のサービスに対してユーザはシングルサインオンでポータルサーバにアクセスできるサービスの提供が盛んに行われつつある。これらのサービスを実現するシステムとしてＷｅｂアプリケーションシステムがある。
請求項９は、前記ネットワークシステムがピアツゥピア（Ｐ２Ｐ）通信システムであることを特徴とする。
原理はほとんど同じアクセス制御エージェントシステムのソフトモジュールをＰ２Ｐのメカニズムに組込む事も可能である。
請求項１０は、ネットワークシステムにおける秘匿情報の漏洩及び改竄を防止する方法であって、前記ネットワークシステムはデータベースへのアクセス制御を司るアプリケーションサーバを備え、複数の前記ネットワークシステムがインターネットにより接続され、各ネットワークシステム間で情報の授受を行う場合、前記アプリケーションサーバは、各ネットワークシステムに備えられたアクセス制御エージェントシステムと協働して前記カバートチャネルを検出し、前記秘匿情報が漏洩及び改竄されないように制御することを特徴とする。
本発明は請求項１と同様の作用効果を奏する。
【００１１】
請求項１１は、前記アクセス制御エージェントシステムは、アクセス権限に関するセキュリティポリシーを記述、蓄積、及びシステムの動作を決定するセキュリティポリシー決定ステップと、該セキュリティポリシー決定ステップからの指令により、前記カバートチャネルの分析、及びアクセス権限の調停を実行するアクセス制御ステップと、ユーザ名、ユーザの属性、ファイル名、ファイルの属性、パミッションなどを蓄積するアクセス情報データベースと、前記セキュリティポリシー決定ブロックの指令により前記アクセス制御マネージャが分析した結果、ユーザ名、ユーザのアイデンティティ、アクセス要求、及びデータに対してフィルタをかけ、許可されていないアクセス、及び不正なアクセスをデータベースからブロックするポリシー制御ステップと、前記アクセス制御ステップにより、アクセス権限の調停に必要な情報を、他のアクセス制御エージェントシステムのマネージャ機能と交信するモバイルエージェントステップと、システム設計の際、ユーザが形式的使用記述に従ってアクセス制御ポリシーを記述するアクセス制御ポリシー設計評価ブロックと、アクセスしたいユーザの名前や属性をインターネットから探す名前／属性／アドレス解決ステップと、アクセスしたユーザ名と属性を認証するステップと、を備えたことを特徴とする。
本発明は請求項２と同様の作用効果を奏する。
請求項１２は、前記セキュリティポリシー決定ステップは、前記アクセス制御ステップを制御して、分散した個々のネットワークシステムや、それに接続されるデータベースから情報漏洩が発生しないように前記モバイルエージェントステップを管理することを特徴とする。
本発明は請求項３と同様の作用効果を奏する。
請求項１３は、前記セキュリティポリシー制御ステップは、前記データベースにユーザが要求するデータがある場合は、前記データベースに記憶されている当該データを当該ユーザのアクセス権限により許可し、前記データベースにユーザが要求するデータがない場合は、他のアクセス制御エージェントシステムへ前記ユーザのアクセス要求を照会することを特徴とする。
本発明は請求項４と同様の作用効果を奏する。
【００１２】
請求項１４は、アクセス権限に関してセキュリティポリシーをＸＭＬベースで形式的に仕様化することにより、前記セキュリティポリシーが前記アプリケーションサーバにあるアクセス制御ポイントに反映されることを特徴とする。
本発明は請求項５と同様の作用効果を奏する。
請求項１５は、クライアントと前記アプリケーションサーバ間は前記モバイルエージェントステップを使用しないクライアントサーバシステムとして動作し、前記アプリケーションサーバのモバイルエージェントステップが前記アプリケーションサーバ間のアクセス権限調停情報の伝達役として機能することを特徴とする。
本発明は請求項６と同様の作用効果を奏する。
請求項１６は、前記アプリケーションサーバのモバイルエージェントステップとクライアントのモバイルエージェントステップ同士がアクセス権限要求と制御情報のやり取りを行い、前記アプリケーションサーバのモバイルエージェントステップがアプリケーションサーバ間のアクセス権限調停情報の伝達役として機能することを特徴とする。
本発明は請求項７と同様の作用効果を奏する。
請求項１７は、請求項１０乃至１６の何れか一項に記載の秘匿情報の漏洩及び改竄防止方法をコンピュータが制御可能にプログラミングしたことを特徴とする。
請求項１８は、請求項１７に記載のネットワークシステムプログラムをコンピュータが読み取り可能な形式で記録したことを特徴とする。
【発明の効果】
【００１３】
請求項１、１０の発明によれば、各ネットワークシステムが備えるアプリケーションサーバに組み込まれるアクセス制御エージェントシステム同士が情報の授受を行いながら協働してカバートチャネルを検出し、秘匿情報の漏洩及び改竄を防止するので、ネットワークシステムが拡張しても確実にカバートチャネルを検出でき、秘匿情報の漏洩及び改竄を防止することができる。
また請求項２、１１では、モバイルエージェントがアクセス制御マネージャの指示に基づいてプレゼンテーション層に対してアクセス権限を収集し、その情報に基づいてアプリケーションサーバがカバートチャネルを検出するので、外部からのアクセス権限を的確に収集することが可能となり、カバートチャネルの検出を迅速に行うことができる。
また請求項３、１２では、セキュリティポリシー制御部にはアクセス制御マネージャが配置され、モバイルエージェントはアクセス制御マネージャの指示により、分散した個々のネットワークシステムが専用のアプリケーションサーバの周りから情報漏洩が発生しないように管理されるので、セキュリティポリシー制御部は、アクセス制御マネージャからの情報に基づいてカバートチャネルの監視を行えばよく、制御を簡略化することができる。
また請求項４、１３では、データベースを検索してその中にユーザが要求するデータがある場合は、データベースに記憶されている当該データをユーザのアクセス権限により許可する。またデータベースにユーザが要求するデータがない場合は、他のアクセスコントロールエージェントシステムへそのユーザのアクセス要求を照会するので、ユーザのアクセス要求に対して可能な限り対応が可能となると共に、カバートチャネルによる情報の漏洩と改竄を未然に防止することができる。
また請求項５、１４では、アクセス権限に関してセキュリティポリシーをＸＭＬベースで形式的に仕様化し、このセキュリティポリシーがアプリケーションサーバにあるアクセス制御ポイントに反映されるので、企業など組織体は、アクセス権限の設定に対し、まずセキュリティポリシーを策定し、それを技術的なツールに反映させる、と言う段取りを踏むが、本発明はこの段取りを最初からシステム内で実施可能で、かつその制御までも行うことができる。
【００１４】
また請求項６、１５では、クライアントとアプリケーションサーバ間はモバイルエージェントを使用しないクライアントサーバシステムとして動作させるので、モバイルエージェントがアプリケーションサーバ間のアクセス権限調停情報の伝達役として機能することができる。
また請求項７、１６では、アプリケーションサーバのモバイルエージェントとクライアントのモバイルエージェント同士がアクセス権限要求と制御情報のやり取りを行うので、アプリケーションサーバのモバイルエージェントがアプリケーションサーバ間のアクセス権限調停情報の伝達役として機能することができる。
また請求項８では、ネットワークシステムがＷｅｂアプリケーションシステムであるので、複数のサービスに対してユーザはシングルサインオンでポータルサーバにアクセスすることができる。
また請求項９では、ネットワークシステムがピアツゥピア通信システムであるので、他のネットワークシステムにも適用することができる。
また請求項１７では、本発明の秘匿情報の漏洩及び改竄防止方法をコンピュータが制御可能なＯＳに従ってプログラミングすることにより、そのＯＳを備えたコンピュータであれば同じ処理方法により制御することができる。
また請求項１８では、ネットワークシステムプログラムをコンピュータが読み取り可能な形式で記録媒体に記録することにより、この記録媒体を持ち運ぶことにより何処でもプログラムを稼動することができる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明を図に示した実施形態を用いて詳細に説明する。但し、この実施形態に記載される構成要素、種類、組み合わせ、形状、その相対配置などは特定的な記載がない限り、この発明の範囲をそれのみに限定する主旨ではなく単なる説明例に過ぎない。
図１は本発明のＷｅｂアプリケーションシステムの構成図である。このＷｅｂアプリケーションシステム１００は、ＨＴＭＬ文書や画像などの情報を蓄積しておき、Ｗｅｂブラウザなどのクライアントソフトウェアの要求に応じて、これらの情報を送信するＷｅｂサーバ１０と、例えばＬＡＮ（Local Area Network）１１上に接続された複数のユーザ端末Ｓ１〜Ｓ４と、データベースへのアクセス制御を司るアプリケーションサーバ（以下、ＡＣサーバと記す）１２と、クライアントのデータを格納するデータベース（以下、ＤＢと記す）１３と、を備えて構成される。尚、この例ではＡ社、Ｂ社、Ｃ社、Ｄ社に構築されたＷｅｂアプリケーションシステム１００がインターネット１４を介して互いに接続されているものとする。
本発明では、１つのＷｅｂアプリケーションシステム１００には、ＬＡＮ１１にデータベースへのアクセス制御を司るＡＣサーバ１２を備え、複数のＷｅｂアプリケーションシステムがインターネット１４により互いに接続され、各Ｗｅｂアプリケーションシステム間で情報の授受を行う場合、ＡＣサーバ１２は、各Ｗｅｂアプリケーションシステムに備えられたＡＣサーバと協働してカバートチャネルを検出し、秘匿情報が漏洩及び改竄されないように制御するものである。即ち、カバートチャネルを検出して秘匿情報の漏洩及び改竄を防止するＷｅｂアプリケーションシステムにおいては、閉じられたネットワーク内では、そこに備えられたＡＣサーバによりカバートチャネルを検出して秘匿情報の漏洩及び改竄を防止して、カバートチャネルを解決済みである。しかし、インターネットにより複数のＷｅｂアプリケーションシステムが相互に接続されると、外部からアクセスされた場合に秘匿情報の漏洩及び改竄を防止することが困難となってくる。そこで本発明では、各Ｗｅｂアプリケーションシステムが備えるＡＣサーバ同士が情報の授受を行いながら協働してカバートチャネルを検出し、秘匿情報の漏洩及び改竄を防止するものである。
【００１６】
図２は本発明のアクセス制御エージェントシステム（以下、ＡＣエージェントシステムと記す）の機能ブロック図である。同じ構成要素には同じ参照番号を付して説明する。このシステムは、従来の図７のＷｅｂアプリケーションシステム上に新たにPolicy Decision Block（以下、セキュリティポリシー決定ブロックと記す）２１と、Access Control Manager Block（以下、アクセス制御マネージャと記す）２３と、Identity and Permission Data Base（以下、アクセス情報データベースと記す）２４と、Policy Enforcement Block（以下、ポリシー制御ブロックと記す）２０と、Access Control Mobile Agent（以下、モバイルエージェントと記す）２５と、Access Control Policy Design and Evaluation Block（以下、アクセス制御ポリシー設計評価ブロックと記す）２２と、Identity Name Resolution Block（以下、名前／属性／アドレス解決ブロックと記す）２６の機能ブロックを追加する事によって実現する。尚、認証ブロック２７は従来技術におけるＳＡＭＬブロック５７と同等の認証機能を有する。
【００１７】
次に図２の各ブロックの機能について説明する。セキュリティポリシー決定ブロック２１は、アクセス権限に関するセキュリティポリシーを記述、蓄積、および、システムの動作を制御する中心的な頭脳の部分であり、データ層５２へアクセスするユーザの属性について、認証ブロック２７に指令を出し、認証プロセスを実行する。そして認証により第一関門を許可されたユーザは、次にデータベースの特定のテータにアクセスするパミッションを取得可能かどうか、カバートチャネルを分析するためにアクセス制御マネージャ２３にアクセス権限の収集と分析を指令する。当該データベースにユーザが要求するデータがある場合は、データベースの当該データを当該ユーザのアクセス権限で許可する。当該データベースにユーザが要求するデータがない場合は、他のＡＣエージェントシステムへそのユーザのアクセス要求を照会する。
アクセス制御マネージャ２３は、ＡＣエージェントシステムのマネージャ機能であり、セキュリティポリシー制御部２１からの指令により、カバートチャネルの分析、アクセス権限の調停を実行する。
アクセス情報データベース２４は、アクセス制御マネージャ２３がカバートチャネルの分析に用いるデータベースであり、ユーザ名、ユーザの属性（Identity）、データ（Object）、パミッションなどが蓄積される。
ポリシー制御ブロック２０は、セキュリティポリシー制御部２１の指令によりアクセス制御マネージャ２３が分析した結果、ユーザ名、ユーザのIdentity、アクセス要求、データ（Object）に対して、フィルタをかける。これによって許可されていないアクセス、不正なアクセスがデータベースからブロックされる。
モバイルエージェント２５は、アクセス制御マネージャ２３の指令により、アクセス権限の調停に必要な情報を、他のＡＣエージェントシステムのマネージャ機能と交信するためのモバイルエージェントである。
アクセス制御ポリシー設計評価ブロック２２は、システム設計の際、ユーザが形式的使用記述に従ってアクセス制御ポリシーを記述する。記述されたポリシーは、セキュリティポリシー制御部２１、アクセス制御マネージャ２３の機能によってカバートチャネルが分析、評価される。
名前／属性／アドレス解決ブロック２６は、何処の誰がどのような情報を持っているかを探すブロックである。
【００１８】
図２に示すＡＣエージェントシステムのコンセプトは、（１）アクセス権限変動をシステム同士が効率良く通信し合い、次第に最適システムに移行可能なアクセス制御システムである。（２）上記だけでは完全なアクセス制御ではないが限界を提示することが可能で、且つ限界はアクセス制御ポリシーと具体的なアクセス権限を形式的仕様で記述、評価し、これを運用管理に反映させること（例えばＩＳＯ１５４０８とＩＳＭＳ）で補うことができる。これにより安全が保障されるシステムである。即ち、図２の各機能ブロックは上記システムコンセプトを実現するためのものである。
ここで最も特徴的な点は、モバイルエージェント２５がアクセス制御マネージャ２３の指示に基づいてプレゼンテーション層５０に対してアクセス権限を収集し、その情報に基づいてアプリケーションサーバがカバートチャネルを検出する点、及びそのメカニズムを各Ｗｅｂアプリケーションシステムが実行することにより全システムが向上してゆくところにある。
この様なシステムコンセプトを実現するために、Ｗｅｂアプリケーションシステムがアクセス権限を制御する「管轄領域」、「Communityのクラス」を新たに定義する。図３（ａ）はCommunityのクラスとそれに対応した制御方法を定義した図であり、図３（ｂ）は管轄領域を表す図である。そして以下のように定義する。Critical-Community３０はカバートチャネルが１００％存在しない様、厳格にAssertionを制御する。Federated Community３１はカバートチャネルの存在を検出、制御する。Community３２はアクセス権限を可能な限り収集、検出、制御する。Individual３３はアクセス権限を可能な限り収集、検出、制御する。
そして４つのセキュリティ要求を持つCommunityの中には必ずＷｅｂアプリケーションシステムがあり、図２に示す機能が働く。そのシステムの機能は、プライバシに関わる個人情報は、カバートチャネルを完全に除去する。また自分のCommunityの周りのカバートチャネルから除去して行く。また別のCommunityからのアクセス要求、および、それに関連するアクセス権限を提示してカバートチャネルを評価する。しかし、別のCommunityの中は全ては分からないので不完全であるが続行する。但し、運用管理と結び付けてカバーする。また形式的記述でアクセス権限を仕様化して設計、運用し、除去できない、或いはＸＭＬフィルタリングし切れない部分を運用でカバーする。
【００１９】
図４は本発明の第１の実施形態の構成例を示す図である。この実施形態では、Community４５がクライアント４０とアプリケーションサーバ４２間はモバイルエージェント４４を使用しないクライアントサーバシステムとして動作し、アプリケーションサーバ４２のモバイルエージェント４４がアプリケーションサーバ４２間のアクセス権限調停情報の伝達役として機能する場合である。
図５は本発明の第２の実施形態の構成例を示す図である。この実施形態では、Community４７がアプリケーションサーバ４２のモバイルエージェント４４とクライアント４０のモバイルエージェント４８同士がアクセス権限要求と制御情報のやり取りを行い、アプリケーションサーバ４２のモバイルエージェント４４がアプリケーションサーバ４２間のアクセス権限調停情報の伝達役として機能する場合である。
また第３の実施形態として、アプリケーションサーバとクライアントの関係は通常のクライアントサーバシステム、アプリケーションサーバ同士は専用のプロトコルを使用するという、エージェントを使わない形態もある。
尚、上記の実施形態例ではＷｅｂアプリケーションシステムを例として説明したが、本発明はこれに限定されるものではなく、例えばＰ２Ｐ通信システム等の他のネットワークシステムにも適用可能である。特にＰ２Ｐ通信システムは、上述したＷｅｂアプリケーションシステムと同じ通信規格に基づいて運用されるものであるから本発明をそのまま適用することができる。
【図面の簡単な説明】
【００２０】
【図１】本発明のＷｅｂアプリケーションシステムの構成図。
【図２】本発明のアクセスコントロールエージェントシステムの機能ブロック図。
【図３】（ａ）はCommunityのクラスとそれに対応した制御方法を定義した図、（ｂ）は管轄領域を表す図。
【図４】本発明の第１の実施形態の構成例を示す図。
【図５】本発明の第２の実施形態の構成例を示す図。
【図６】従来のＷｅｂアプリケーションシステムの実現形態を示す図。
【図７】従来のビジネスロジック層の機能ブロックを中心にした説明図。
【図８】（ａ）はアクセス行列に基づいて複数のユーザ間を情報ファイルが伝送していく様子を示した図、（ｂ）はアクセス主体がアクセスされる客体に対して持っているアクセス権を行と列に配置したアクセス行列の一例を示す図。
【符号の説明】
【００２１】
２０  ポリシー制御ブロック、２１  セキュリティポリシー決定ブロック、２２  アクセス制御ポリシー設計評価ブロック、２３  アクセス制御マネージャ、２４  アクセス情報データベース、２５  モバイルエージェント、２６  名前／属性／アドレス解決ブロック、２７  認証ブロック、５０  プレゼンテーション層、５１  ビジネスロジック層、５２  データ層
【図１】
2005092891.tif 000003
【図２】
2005092891.tif 000004
【図３】
2005092891.tif 000005
【図４】
2005092891.tif 000006
【図５】
2005092891.tif 000007
【図６】
2005092891.tif 000008
【図７】
2005092891.tif 000009
【図８】
2005092891.tif 000010