(57)【要約】ネットワーク上、またはオブジェクトサーバ（１２）に記憶されたオブジェクト（１６）を保護するためのシステムが提供される。オブジェクトサーバ（１２）はコンピュータソフトウェア（１４）を実行し、コンピュータソフトウェア（１４）は、どのオブジェクト（１６）が保護されるべきかを指定し、さらにこのオブジェクト（１６）についてのセキュリティポリシーを指定する。オブジェクトサーバ（１２）は、保護されたオブジェクト（１６）が要求されると、暗号化されたデータを含む強化された要求を作成し、この強化された要求をセキュリティサーバ（１８）にリダイレクトし、セキュリティサーバ（１８）は要求を認証し、要求されたオブジェクトを検索し、１回だけの暗号鍵を用いてこのオブジェクトを暗号化し、暗号化されたオブジェクトを、移動コード、セキュリティポリシー、およびポリシーを実現するためのオブジェクト制御と組合せる。要求側（１０）はこのパッケージを受信し、セキュリティポリシーおよびオブジェクト制御を要求側のコンピュータ上でインスタンス化する。移動コードは、オブジェクト制御の正しいインスタンス化を確実にするための試験を実行する。要求されたオブジェクト（１６）は、セキュリティポリシーおよびオブジェクト制御のもとで表示される。
2004509399.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワークにおいてオブジェクトを保護するためのシステムであって、前記システムは、
ａ）　ソフトウェアプログラムを実行するオブジェクトサーバを備え、前記ソフトウェアプログラムは、
ｉ）　オブジェクトサーバ上の１組のオブジェクトのうちどのオブジェクトを保護すべきかを指定し、さらに
ｉｉ）　保護されたオブジェクトについてのセキュリティポリシーを指定し、前記オブジェクトサーバはネットワークに接続され、前記システムはさらに、
ｂ）　保護されたオブジェクトをオブジェクトサーバから要求する要求側装置を備え、前記装置はネットワークに接続され、前記システムはさらに、
ｃ）　保護されているとしてソフトウェアプログラムにより指定されたオブジェクトに対して保護サービスを提供する別のソフトウェアプログラムを実行するセキュリティサーバを備え、前記セキュリティサーバはネットワークに接続され、前記ソフトウェアは以下の保護サービスを提供し、前記保護サービスは、
ｉ）　要求されている保護されたオブジェクトに対するリダイレクトされた強化された要求を要求側装置から受信するための手段を含み、前記強化された要求は、要求されている保護されたオブジェクトに対する要求側装置の元の要求に対応し、かつオブジェクトサーバにより作成され、前記保護サービスはさらに、
ｉｉ）　要求されている保護されたオブジェクトが記憶されているオブジェクトサーバまたはキャッシュから、前記要求されている保護されたオブジェクトを入手するための手段と、
ｉｉｉ）　前記要求されている保護されたオブジェクトを暗号化するための手段と、
ｉｖ）　要求されている保護されたオブジェクトを、移動コード、セキュリティポリシーおよびオブジェクト制御と組合せるための手段と、
ｖ）　結果としてのファイルを要求側装置に送信するための手段とを含み、前記要求側装置は、要求したオブジェクトを要求側コンピュータで表示するためには移動コードを実行しなければならず、要求側コンピュータのユーザは、移動コードの実行時に要求側コンピュータに設けられるオブジェクト制御およびセキュリティポリシーのもとでオブジェクトを使用および閲覧しなければならず、前記保護サービスはさらに、
ｖｉ）オブジェクト制御の正しいインスタンス化を検証するための手段と、
ｖｉｉ）　オブジェクト制御の正しいインスタンス化の検証と、復号鍵に対する要求の満足できる認証との後に、要求側コンピュータへ前記復号鍵を提供するための手段とを含む、システム。
【請求項２】
強化された要求の暗号化されたデータは、認証、元の要求の時間、直列化した情報、１回限りの情報、セキュリティポリシー、および要求されている保護されたオブジェクトの記述を含む、請求項１に記載のシステム。
【請求項３】
オブジェクトサーバおよびセキュリティサーバは、強化された要求を暗号化および復号するための暗号鍵を共有する、請求項１に記載のシステム。
【請求項４】
強化された要求は、元の要求の暗号化された認証を含むオブジェクトである、請求項１に記載のシステム。
【請求項５】
強化された要求は、元の要求の暗号化された時間を含むオブジェクトである、請求項１に記載のシステム。
【請求項６】
強化された要求は、元の要求の暗号化された直列化した情報を含むオブジェクトである、請求項１に記載のシステム。
【請求項７】
強化された要求は、元の要求の暗号化された１回限りの情報を含むオブジェクトである、請求項１に記載のシステム。
【請求項８】
強化された要求は、元の要求の暗号化されたセキュリティポリシーを含むオブジェクトである、請求項１に記載のシステム。
【請求項９】
強固な暗号化のための手段をさらに含む、請求項１に記載のシステム。
【請求項１０】
頑硬な暗号化のための手段をさらに含む、請求項１に記載のシステム。
【発明の詳細な説明】
【０００１】
【技術分野】
この発明は、ネットワークにわたって配布されるコード、文書および画像などのオブジェクトを保護することに関し、特定的には、ハイパーテキスト・トランスファ・プロトコルに従って行なわれるやり取りを保護することに関する。
【０００２】
【発明の背景】
現在インターネットは、業務の過程で情報を探したり、協力者、将来の業務提携先および顧客の間でコード、文書および画像などをやり取りするために広く用いられている。インターネット上で行なわれる業務の増加に伴い、インターネット上で記憶または通信される情報を「ハッカー」から保護することへの関心も増加している。ハッカーとは、情報に対する無認可のアクセスを獲得し、これを用いて彼ら自身の利益を追求したり、この情報またはそれが記憶されているシステムに損害を与えたりする恐れのある者である。インターネット上で行なわれる膨大な業務の量、およびそれに対応するこの業務の価値を鑑みると、記憶されやり取りされるオブジェクト（これにはコード、文書および画像など、デジタル形式で表現されるものすべてが含まれる）、およびこれらオブジェクトに含まれる知的財産権が安全（ｓｅｃｕｒｅ）であることが至上命題である。すなわち、オブジェクトはこれに対する権利を有さない個人または企業にとってアクセス不可能であり、許可がない限り印刷不可能であり、権利が所有者によって授与される場合を除き編集不可能でなければならない。
【０００３】
オブジェクトおよびオブジェクトのやり取りの保護はいくつかの構成要素を有し得る。その１つである認証とは、情報を要求または送信する者の身元を検証するプロセスである。これは一般にパスワードを用いて達成される。この手法の欠点は、パスワードは紛失、漏洩または盗難の恐れがあることである。
【０００４】
より厳しい認証プロセスでは、認証局により認可されるデジタル証明書が用いられる。デジタル証明書は、所有者の名前と、通し番号と、使用期限と、発行局のデジタル署名（すなわち、公開鍵暗号（下記を参照されたい）を用いて、送信側およびメッセージデータを識別および認証する、メッセージに付加されたデータ）とを含む。証明書はさらに証明書所有者の公開鍵を含む。認証手続きで広く用いられている公開鍵暗号法では、個人は公開鍵および秘密鍵を有し、これらは認証局によって、ＲＳＡなどのアルゴリズムを用い同時に作成される。公開鍵は、証明書を含む１つ以上のディレクトリ内で公開される。秘密鍵は秘密のままである。メッセージは、ディレクトリ内で送信側が獲得する受信側の公開鍵を用いて暗号化され、受信側の秘密鍵を用いて復号される。メッセージを認証するには、送信側は自分の秘密鍵を用いてメッセージを暗号化できる。受信側は、送信側の公開鍵で署名を復号することによって、送信側の身元を検証できる。
【０００５】
認証では、ユーザがリソースに関して特権（閲覧および変更など）を有しているかどうかが判断される。たとえばシステム管理者は、どのユーザがシステムに対するアクセスを有しているのか、および各ユーザがこのシステム内でどのような特権（すなわち或るファイルに対するアクセスや記憶空間の量など）を有しているのかを判断できる。認可は通常認証の後に行なわれる。換言すると、ユーザがオブジェクトに対するアクセスを要求すると、システムはまずユーザの身元を検証および認証し、次に、このユーザがそのオブジェクトに対するアクセス権を有しているかどうか、およびこのユーザがどのようにオブジェクトを使用できるのかを判断する。
【０００６】
暗号化もまたオブジェクトの保護に用いられ得る。暗号化とは、メッセージの平文を暗号文に変換することである。暗号化されたオブジェクトを表示するためには、受信側もまた正しい復号鍵を入手しなければならない（たとえば上記の公開鍵基盤および公開鍵暗号法の議論を参照されたい）。オブジェクトを暗号化するのに用いられる暗号を「破る」ことはしばしば可能ではあるが、一般に暗号化が複雑であるほど、復号鍵なしに暗号を破ることは困難となる。「強固な（ｓｔｒｏｎｇ）」暗号システムは広範囲の考えられ得る鍵を有し、こうして考えられ得るすべての鍵を試して暗号を破ることはほとんど不可能となっている。強固な暗号システムはさらに、コードを破る方法であって以前から知られていたものに対しても免疫があり、あらゆる標準的な統計学的試験にとって、あたかもランダムであるかのように現われる。
【０００７】
コンピュータシステム全体を保護するためには、その他の種類の、コンピュータのところでの安全保護を採用することもある。たとえば多くの会社ではファイアウォールを設置して、無認可のユーザが会社のデータまたはプログラムにアクセスすることを防ごうとしている。しかしファイアウォールは危険に晒されることがあり、またコンピュータシステムが攻撃から無事でいられることを保証してくれるものではない。ファイアウォールでの別の問題として、ファイアウォールの背後にいる敵対的なユーザによる脅威からは、システムまたはシステムのリソースが保護されない。
【０００８】
メッセージの伝送もまた安全にされ得る。サーバとクライアントとの間の暗号化による通信を提供するためには、トランスポート・レイヤー・セキュリティ（ＴＬＳ）およびセキュア・ソケット・レイヤー（ＳＳＬ）プロトコルが一般に用いられる。これらプロトコルは両方とも、ほとんどのウェブブラウザおよびサーバに組込まれている。
【０００９】
上述の安全保護手段は、別個で用いられることも、またはより一般的には或る組合せで用いられることもある。これら一般的な手段に加え、先行技術では安全保護についてその他の手法がある。
【００１０】
米国特許第６，０４１，４４１号「コンピュータ情報に対するユーザアクセス権を規定および検証するために方法（Ｍｅｔｈｏｄ ｆｏｒ Ｄｅｆｉｎｉｎｇ ａｎｄ Ｖｅｒｉｆｙｉｎｇ Ｕｓｅｒ Ａｃｃｅｓｓ Ｒｉｇｈｔｓ ｔｏ Ｃｏｍｐｕｔｅｒ Ｉｎｆｏｒｍａｔｉｏｎ）」では、電子的に伝送される情報に対するアクセス権を認証および認可するための方法が開示されている。ユーザが情報を要求すると、プロバイダはこの情報をデジタル情報または指示で包み隠し、情報の残りがアクセス可能となるには、この指示に対する回答に成功しなければならない。これら指示に対する「回答（ａｎｓｗｅｒ）」は、有効に要求されたデータと関連付けられたデジタル式トークンの形態を取り、情報へのアクセスが認可されているかどうかを示す。トークンが存在して、ユーザの情報へのアクセスが可能であることを示す場合にのみ、情報は「包みから出され（ｕｎｗｒａｐ）」、アクセス可能となる。この特許は主に、オンラインで購入されてユーザへ電子的に送信されたソフトウェアプログラムについての認可された使用を確実にすることに関する。
【００１１】
インタートラスト・テクノロジーズ・コーポレーション（ＩｎｔｅｒＴｒｕｓｔ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｃｏｒｐｏｒａｔｉｏｎ）は、そのデジタル権利管理技術に関していくつかの特許を取得している。インタートラストのデジボックス（Ｄｉｇｉｂｏｘ）コンテナ技術は、コンテンツと、このコンテンツへのアクセスに関する規定とを含む情報を、デジボックスコンテナ、本質的にはソフトウェアコンテナ内で暗号化および記憶することを可能にする。情報が一旦デジボックスコンテナ内に記憶されると、この情報はインタートラストソフトウェアによってのみ閲覧され得る。暗号化されたデータとともに鍵が渡される。
【００１２】
インターネット上で入手可能なコード、文書、画像、およびソフトウェアプログラムを含むオブジェクト（基本的には、デジタル形式で表現され得るものすべて）を保護する発明であって、認可された要求側が、保護された情報にアクセスするためにそのコンピュータ上に特別のソフトウェアを実行させる必要がない発明が必要とされている。（たとえば学生の予算はしばしば限られており、仮に彼らが自分のコンピュータを持っていたとしても、学校が正規のユーザに対してインターネット経由で利用可能にしつつある講義ノートや日程などの情報を彼らがダウンロードできるようにする特別のソフトウェアを、彼らが購入すると期待することは妥当ではない。）デジタル権利管理システムで望まれているさらなる特徴は、保護「義務」のほとんどを第三者に渡して、安全保護を提供する処理負担からオブジェクトサーバを解放すること、および暗号化されたデータを有する暗号鍵を渡す代わりに、要求側と「セキュリティサーバ」との間で安全に渡される１回だけの暗号鍵を提供することを含む。さらに、オブジェクトが要求側へ送られた後でもオブジェクトに対する保護を提供するデジタル権利管理システムが望まれている。
【００１３】
【発明の概要】
この発明は、ネットワークにわたって配布されるオブジェクト（デジタル形式で表現されるものすべて、すなわちコード、文書、画像、ソフトウェアプログラムなど）を保護するための方法およびシステムを提供する。保護とは、或る受信側によるオブジェクトに対する或る動作（すなわち閲覧、印刷、編集、コピー）を制限することを意味する。
【００１４】
保護されたオブジェクトと保護されていないオブジェクトとの両方を含むオブジェクトサーバには、或るオブジェクトが保護されるべきかどうかを指定し、さらにもしそうであればセキュリティポリシー（オブジェクトが受けるべき保護の種類および程度）はどのようなものであるかを指定するソフトウェアが設けられる。セキュリティポリシーは、誰がこのオブジェクトを閲覧できるかについての制限、オブジェクトの存続期間、およびオブジェクトが閲覧され得る回数を含み、さらにオブジェクトに対して印刷や編集などが行なわれ得るかどうかなどのアクションに関するアクションポリシーを含み得る。オブジェクト制御は、セキュリティポリシーを実現するメカニズムである。
【００１５】
オブジェクトサーバがオブジェクトに対する要求を受取ると、ソフトウェアは、要求されたオブジェクトが保護されているかどうかを調べる。オブジェクトが保護されていなければ、サーバはオブジェクトを要求側に送る。オブジェクトが保護されていればソフトウェアは新たなオブジェクトを作成するが、この新たなオブジェクトは、認証と元の要求の時間とを含み、さらに直列化（ｓｅｒｉａｌｉｚａｔｉｏｎ）した情報、１回限り（ｎｏｎｃｅ）の情報、セキュリティポリシー、および要求されたオブジェクトの記述を含む。これらはすべて暗号化される。新たなオブジェクトは、要求側ブラウザを「セキュリティサーバ」へ指し示すリダイレクトコマンドとともに、要求側ブラウザへ返信の中で送り返される。
【００１６】
保護サービスを提供するためのソフトウェアが設けられたセキュリティサーバは、リダイレクトされた要求を受信および認証すると、この要求されたオブジェクトをそれ自身のキャッシュから、またはオブジェクトを含むサーバから安全な伝送経由で入手する。次にセキュリティサーバは、（強固で頑硬（ｎｏｎ−ｍａｌｌｅａｂｌｅ）な暗号化を用いて）要求されたオブジェクトを暗号化し、これを移動コード（すなわちソフトウェアであって、遠隔システムから送信され、ネットワーク経由で転送され、受信側による明示的なインストールまたは実行なしにローカルシステム上でダウンロードおよび実行されるもの）、セキュリティポリシー、およびオブジェクト制御と組合せる。結果としてのパッケージは、リダイレクトされた要求への返信として要求側のコンピュータに送り返される。
【００１７】
次に要求側のコンピュータは、要求したオブジェクトを表示するために移動コードを実行しようとする。移動コードは、オブジェクト制御の正しいインストールを確実にするための試験を実行する。これら制御が正しくインスタンス化されると、要求側は復号鍵を要求でき、これは要求の満足できる認証後に安全な伝送を介して要求側へ送られる。復号鍵は１回だけの鍵であり、問題となっている特定のオブジェクトを復号するためにのみ用いられ得る。移動コードの実行が成功し、復号鍵が入手されると、要求されたオブジェクトは、セキュリティポリシーおよびオブジェクト制御の制約のもとで表示される。
【００１８】
要求されたオブジェクトを保護および配信することに関連したアクティビティのほとんどは、セキュリティサーバを用いて実行される。したがってオブジェクトサーバは、安全保護の問題に処理リソースを消費しておらず、情報への要求に対処することに専念する。加えて、セキュリティサーバについてのすべてのセットアップ時間および維持管理にはこのサーバのシステム管理者が対処し、この結果オブジェクトサーバの所有者にとってはさらに負担が軽くなる。
【００１９】
このシステムおよび方法は、要求と、要求されたオブジェクトの提供とに関わるコンピュータすべてに共通のソフトウェアをインストールする必要がないという点で、他のオブジェクト保護方法およびシステムと異なる。加えて、オブジェクトを暗号化／復号するのに用いる鍵は１回だけの鍵であり、暗号化されたオブジェクトとともに渡されない。
【００２０】
【発明の実施のベストモード】
図１を参照すると、要求側装置１０（この実施例でこの装置はコンピュータであるが、この装置は、クライアント／サーバ関係でのクライアントとして動作できるものすべてを含む）と、オブジェクト１６およびオブジェクトが保護されるべきかどうかを指定する保護ソフトウェア１４を含むオブジェクトサーバ１２と、保護サービスを提供するためのソフトウェア９４を含むセキュリティサーバ１８とのすべてが、この実施例ではインターネット２０であるネットワークに接続される。オブジェクト１６は、コード、文書、画像およびソフトウェアプログラムなど、デジタル形式で表現され得るものすべてを含む。敵対側２２、すなわち保護されたオブジェクトに対し無認可のアクセスを得るのに用いられ得るコンピュータまたは記録装置などの装置または人もまた存在し得る。ここでは単一の要求側装置１０、オブジェクトサーバ１２およびセキュリティサーバ１８について論じるが、この方法およびシステムは、複数の要求側装置１０、オブジェクトサーバ１２およびセキュリティサーバ１８を勘案することが企図されている。
【００２１】
この実施例では、オブジェクトサーバ１２およびセキュリティサーバ１８は、ハイパーテキスト・トランスファ・プロトコル（ｈｔｔｐ）サーバである。要求側装置１０は、ワールド・ワイド・ウェブブラウザ２４として動作するソフトウェアプログラムを実行し得る。要求側装置１０からのオブジェクト１６に対する要求は、ブラウザ２４によってｈｔｔｐ要求を介してオブジェクトサーバ１２へ中継される。同様に、要求に対する返信もまたｈｔｔｐプロトコルに従う。
【００２２】
上述のように、オブジェクトサーバ１２は保護ソフトウェア１４を実行するが、これはこの実施例ではｈｔｔｐサーバソフトウェアの拡張である。この保護ソフトウェア１４は、オブジェクト１６のうちどれが保護されておらず、どれが保護されているのかを指定するために、認可されたシステム管理者によって使用される。オブジェクト１６が保護されていると指定されていれば、保護ソフトウェア１４はさらに、管理者がオブジェクト１６についての保護の種類および程度（すなわちセキュリティポリシー）を特定できるようにする。セキュリティポリシーは、誰がオブジェクトを閲覧できるかについての制限、オブジェクトの存続期間（すなわち一時的制限）、およびオブジェクトが閲覧され得る回数（すなわち基数による制限）を含み、さらに、オブジェクトに対して印刷や編集などが行なわれ得るかどうかに関するアクションポリシーを含み得る。要求側がオブジェクトに対して行ない得るアクションは、要求側の身元に依存して異なり得る。オブジェクト制御は、セキュリティポリシーを実現するメカニズムである。
【００２３】
セキュリティサーバ１８はさらに、ｈｔｔｐサーバソフトウェアの拡張であるソフトウェア９４を実行する。このソフトウェア９４は、オブジェクトのための保護サービスを提供する。
【００２４】
図２で、要求側がオブジェクトを要求する（ステップ２６）。要求されたオブジェクトを記憶しているオブジェクトサーバが要求を受信する（ステップ２８）。オブジェクトサーバが独立の認証ポリシーを有していれば、オブジェクトサーバはこのポリシーを実行し、受信時に要求を認証する。保護ソフトウェアはｈｔｔｐ要求を調べ、この要求が、保護されたオブジェクトについてのものであるかどうかを判断する（ステップ３０）。要求されたオブジェクトが保護されていなければ、要求されたオブジェクトは要求側へ送信される（ステップ３２）。
【００２５】
しかしオブジェクトが保護されていれば（ステップ３０）、保護ソフトウェアは強化された（ｅｎｈａｎｃｅｄ）要求を作成し（ステップ３４）、これは要求への返信内に含められ、この後セキュリティサーバへリダイレクトされる（ステップ３６）。強化された要求は、暗号化されたデータを含むオブジェクトであり、この暗号化されたデータには、認証および元の要求の時間が含まれ、さらに直列化した情報（オブジェクトのうち認可された１バージョンのみが利用可能となることを確実にする）、１回限りの情報、セキュリティポリシー、および要求されたオブジェクトの記述が含まれる。（認証に関する情報は、オブジェクトサーバが独立の認証ポリシーを有するかどうかに依存する。認証ポリシーがあれば、強化された要求は認証の結果を含む。認証ポリシーがなければ、この情報もまた強化された要求内に含められる。）
暗号化はさまざまなサービスを提供する。暗号化はファイルの完全性を保護（すなわち無認可の変更を防止）し、要求の認証および認可を支援することができる。ここでの暗号化の使用により、要求側の機密もまた保護され得る。暗号化のその他の用途には、否認防止および変更の検出が含まれる。強固で頑硬な暗号化をサポートするプロトコルが用いられる。（プロトコルは使用される暗号化の種類を判断し、さらに、暗号化が行なわれる前に要求側とセキュリティサーバとの間のやり取りが必要であるかどうかについて判断する（たとえば、サーバで暗号化されたオブジェクトを受信側が復号できるように鍵をやり取りしなければならないことがあるだろう）。）
強化された要求は、要求をセキュリティサーバにリダイレクトするためのコマンドとともに要求側への返信内に含められる。このリダイレクションは、要求側にとって透過的であるべきである。
【００２６】
セキュリティサーバソフトウェアは、強化された要求を復号する（ステップ３８）。強化された要求を暗号化／復号するための共有鍵が、オブジェクトサーバおよびセキュリティサーバに存在する。この鍵は、ソフトウェアがオブジェクトサーバ上でインストールされると生成される。
【００２７】
次にセキュリティサーバソフトウェアは、強化された要求が適格な（ｗｅｌｌ−ｆｏｒｍｅｄ）要求についての要件を満たすかどうかを調べる（ステップ４０）。適格な要求についての要件が満たされなければ、セキュリティサーバは無効の要求を示すメッセージをオブジェクトサーバへ送り返す（ステップ４２）。（次にオブジェクトサーバは、無効の要求についてのメッセージを要求側へ送信し得る。オブジェクトサーバのシステム管理者が、これらメッセージを送るかどうか判断する。）
要求が有効であれば、次にセキュリティサーバソフトウェアは要求を認証する（ステップ４４）。セキュリティサーバソフトウェアは、リダイレクトされた要求のヘッディングにある時間および認証を、強化された要求内に含まれるものと比較する。セキュリティサーバソフトウェアが要求を認証できない場合（たとえばこれら２つの要求の時間が異なり再現攻撃が示されている、またはリダイレクトされた要求における要求側の身元が、強化された要求にある要求側の身元と異なる）、認証が不十分であることを示すメッセージがオブジェクトサーバへ送り返される（ステップ４６）。要求が認証されれば、セキュリティサーバソフトウェアは要求を復号し、要求されたオブジェクトを、セキュリティサーバのキャッシュまたはオブジェクトサーバから入手する（ステップ４８）。（要求の際、保護ソフトウェアはオブジェクトをセキュリティサーバに渡す。）セキュリティサーバがオブジェクトサーバからオブジェクトを入手しなければならない場合、オブジェクトは安全な伝送経由で渡される。
【００２８】
一旦セキュリティサーバが要求されたオブジェクトを有すると、セキュリティサーバソフトウェアは強固な暗号化および頑硬な暗号化についてのプロトコルを用いてこのオブジェクトを暗号化し、移動コード（すなわちソフトウェアであって、遠隔システムから送信され、ネットワーク経由で転送され、受信側の明示的なインストールまたは実行なしにローカルシステム上でダウンロードおよび実行されるもの）と、強化された要求内に含まれる認証を伴うセキュリティポリシーと、オブジェクト制御とに、このオブジェクトを組合せる（ステップ５０）。要求されている保護されたオブジェクトの暗号化は、完全性、機密性、（適当であれば）認証、および認可を確実にすることにより、さらに否認防止（すなわちトランザクションの当事者はこのトランザクションでの関与を虚偽に否定できない）のための手段となり、変更を検出することによって、オブジェクト、その要求側およびプロバイダを保護する役割を担う。結果としてのパッケージは次に要求側へ送信される（ステップ５２、図２ｂのステップＢを参照されたい）。
【００２９】
図２ｂで、要求側は返信を受取り、移動コードを実行しようと試みる（ステップ５４）。移動コードが実行されると、要求されたオブジェクトについてのオブジェクト制御およびセキュリティポリシーは、要求側のコンピュータ上でインスタンス化される（ステップ５４）。移動コードは、オブジェクト制御が正しくインスタンス化されたかどうかを判断するための試験を実行する。もしそうであれば、要求側は復号鍵を必要とし（ステップ５６）、要求側はこれをセキュリティサーバから要求し得る（ステップ５８）。セキュリティサーバソフトウェアは要求を認証する（ステップ６０）。もしこれが要求を認証できなければ、その旨のメッセージがオブジェクトサーバへ送られる（ステップ６２）。しかしメッセージが認証されれば、セキュリティサーバソフトウェアは要求された鍵を安全な伝送によって要求側へ送り返し（ステップ６４）、要求されたオブジェクトが復号される（ステップ６６）。セキュリティサーバがオブジェクトを暗号化／復号するために用いる鍵は１回だけの鍵である。１回だけの鍵をランダムに生成するための「シード（ｓｅｅｄ）」がセキュリティサーバソフトウェアのインストールで決定される。
【００３０】
移動コードが一旦実行されると、要求側は、セキュリティポリシーまたはオブジェクト制御によりオブジェクトに対して課されている制約のもとでオブジェクトを閲覧し得る（ステップ６８）。
【図面の簡単な説明】
【図１】この発明に従うオブジェクト保護システムの構成要素を示すブロック図である。
【図２ａ】この発明に従いオブジェクトがどのように保護されるかを示すフローチャートである。
【図２ｂ】この発明に従いオブジェクトがどのように保護されるかを示すフローチャートである。
【図１】
2004509399.tif 000003
【図２ａ】
2004509399.tif 000004
【図２ｂ】
2004509399.tif 000005
【国際公開パンフレット】
2004509399.tif 000006
2004509399.tif 000007
2004509399.tif 000008
2004509399.tif 000009
2004509399.tif 000010
2004509399.tif 000011
2004509399.tif 000012
2004509399.tif 000013
2004509399.tif 000014
2004509399.tif 000015
2004509399.tif 000016
2004509399.tif 000017
2004509399.tif 000018
2004509399.tif 000019
2004509399.tif 000020
2004509399.tif 000021
2004509399.tif 000022
2004509399.tif 000023
2004509399.tif 000024
【国際公開パンフレット（コレクトバージョン）】
2004509399.tif 000025
2004509399.tif 000026
【手続補正書】
【提出日】平成14年12月17日(2002.12.17)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】請求項１
【補正方法】変更
【補正の内容】
【請求項１】
通信ネットワークにおいてオブジェクトを保護するためのシステムであって、前記システムは、
ａ）　ソフトウェアプログラムを実行するオブジェクトサーバを備え、前記ソフトウェアプログラムは、
ｉ）　オブジェクトサーバ上の１組のオブジェクトのうちどのオブジェクトを保護すべきかを指定し、さらに
ｉｉ）　保護されたオブジェクトについてのセキュリティポリシーを指定し、前記オブジェクトサーバはネットワークに接続され、前記システムはさらに、
ｂ）　保護されたオブジェクトをオブジェクトサーバから要求する要求側装置を備え、前記装置はネットワークに接続され、前記システムはさらに、
ｃ）　保護されているとしてソフトウェアプログラムにより指定されたオブジェクトに対して保護サービスを提供する別のソフトウェアプログラムを実行するセキュリティサーバを備え、前記セキュリティサーバはネットワークに接続され、前記ソフトウェアは以下の保護サービスを提供し、前記保護サービスは、
ｉ）　要求されている保護されたオブジェクトに対するリダイレクトされた強化された要求を要求側装置から受信するための手段を含み、前記強化された要求は、要求されている保護されたオブジェクトに対する要求側装置の元の要求に対応し、かつオブジェクトサーバにより作成され、前記保護サービスはさらに、
ｉｉ）　要求されている保護されたオブジェクトが記憶されているオブジェクトサーバまたはキャッシュから、前記要求されている保護されたオブジェクトを入手するための手段と、
ｉｉｉ）　前記要求されている保護されたオブジェクトを暗号化するための手段と、
ｉｖ）　要求されている保護されたオブジェクトを、移動コード、セキュリティポリシーおよびオブジェクト制御と組合せるための手段と、
ｖ）　結果としてのファイルを要求側装置に送信するための手段とを含み、前記要求側装置は、要求したオブジェクトを要求側装置で表示するためには移動コードを実行しなければならず、要求側装置のユーザは、移動コードの実行時に要求側装置に設けられるオブジェクト制御およびセキュリティポリシーのもとでオブジェクトを使用および閲覧しなければならず、前記保護サービスはさらに、
ｖｉ）オブジェクト制御の正しいインスタンス化を検証するための手段と、
ｖｉｉ）　オブジェクト制御の正しいインスタンス化の検証と、復号鍵に対する要求の満足できる認証との後に、要求側装置へ前記復号鍵を提供するための手段とを含む、システム。
【国際調査報告】
2004509399.tif 000027