(57)【要約】認証を必要とするウェブ・サーバに関連付けられた資源へのアクセスを自動的かつ透過的に供給する方法およびシステム。サーバは、ウェブ・サーバからの認証要求を阻止しかつそれに応答する、ウェブ・ブラウザに対して供給される。方法およびシステムは、単一の最初の認証手続によりユーザを複数のネットワーク資源にアクセスさせる。【選択図】図２
2004536359.tif 000002
【特許請求の範囲】
【請求項１】
ウェブ・サーバによって保護されたネットワーク資源へのブラウザ・アクセスを供給する方法であって、
ウェブ・サーバによって保護された資源へのブラウザによるアクセスを要求する段階と、
前記ウェブ・サーバから前記ブラウザと同じデバイスに配置されたサーバの前記ブラウザへの認証データに対する要求を阻止する段階と、
前記デバイスが前記要求された認証データを有するか否かを決定する段階と、  前記デバイスが前記要求された認証データを有するならば前記サーバから前記ウェブ・サーバに前記認証データを供給する段階と
を具備する方法。
【請求項２】
前記サーバは、ハイパーテキスト・トランスファー・プロトコルにより応答をフォーマットすることによって前記認証データを供給する、請求項１に記載の方法。
【請求項３】
前記認証データは、前記ブラウザのユーザの役割を含む、請求項１に記載の方法。
【請求項４】
前記認証データは、ユーザ識別情報を更に含む、請求項３に記載の方法。
【請求項５】
前記認証データに対する要求は、ハイパーテキスト・トランスファー・プロトコル認証ヘッダーを含む、請求項１に記載の方法。
【請求項６】
前記認証データを供給する段階は、ハイパーテキスト・トランスファー・プロトコル認証ヘッダーを供給する段階を含む、請求項５に記載の方法。
【請求項７】
アクセス要求に応答して前記サーバによって発行されたアクセス拒否を検出する段階と、
前記サーバに補足認証ヘッダーを供給する段階と、
前記補足認証ヘッダーを検出する段階と、
前記認証データを抽出することによって前記補足認証ヘッダーに応答し、かつ前記認証ヘッダーの前記サーバに前記認証データを送る段階と、
を更に具備する、請求項１に記載の方法。
【請求項８】
第２のウェブ・サーバによって保護された資源への前記ブラウザによるアクセスを要求する段階と、
前記第２のウェブ・サーバから前記サーバの前記ブラウザへの認証データに対する要求を阻止する段階と、
前記デバイスが前記第２のウェブ・サーバに対する前記認証データを有するか否かを決定する段階と、
前記デバイスが前記要求された認証データを有するならば前記サーバから前記第２のウェブ・サーバに前記認証データを供給する段階と
を更に具備する、請求項１に記載の方法。
【請求項９】
前記デバイスが前記認証データを含まないならば前記ブラウザから前記認証データを要求する段階と、
ウェブ・ブラウザ・インタフェースを通してユーザから前記認証データを受け取る段階と、
前記ウェブ・ブラウザから前記サーバに前記認証データを供給する段階と、
前記サーバから前記ウェブ・サーバに前記認証データを供給する段階と
を更に具備する、請求項１に記載の方法。
【請求項１０】
前記認証データに対する要求は、アクセスに対する要求へのチャレンジを含みかつ前記チャレンジに応答して前記認証データを供給する段階は、暗号化した形式で前記チャレンジを戻す段階を含み、前記暗号化した形式は、共有の秘密を示す、請求項１に記載の方法。
【請求項１１】
前記ウェブ・ブラウザは、非ＮＴＬＭブラウザでありかつ前記ウェブ・サーバは、ＮＴＬＭサーバである、請求項１０に記載の方法。
【請求項１２】
ウェブ・サーバを通して資源へのアクセスを供給するシステムであって、
前記ウェブ・サーバを介して資源へのアクセスに対するユーザ要求を受け取るように構成されるウェブ・ブラウザ；および
前記ウェブ・サーバに前記ユーザ要求を渡し、前記ウェブ・サーバから前記ウェブ・ブラウザへの認証データに対する要求を自動的に阻止し、認証を検索し、かつ前記検索した認証データを前記ウェブ・サーバに供給するように構成されたサーバ
を備えている、システム。
【請求項１３】
前記認証データを記憶するメモリを更に備えている、請求項１２に記載のシステム。
【請求項１４】
前記サーバは、前記ウェブ・サーバに対するフィルタからの補足認証ヘッダーに応答して認証データを供給するように更に構成される、請求項１２に記載のシステム。
【請求項１５】
前記サーバは、サーバが前記認証データを検索することができない場合には前記ウェブ・ブラウザから前記認証データを要求するように更に構成され、かつ前記ウェブ・ブラウザは、ユーザから認証データを要求し、かつ前記サーバにユーザ入力認証データを供給するように構成される、請求項１２に記載のシステム。
【請求項１６】
前記サーバは、ハイパーテキスト・トランスファー・プロトコルにより応答をフォーマット化することによって前記認証データを供給するように更に構成される、請求項１２に記載のシステム。
【請求項１７】
前記認証データは、前記ブラウザのユーザの役目を含む、請求項１２に記載のシステム。
【請求項１８】
前記認証データは、ユーザ識別情報を含む、請求項１２に記載のシステム。
【請求項１９】
前記認証データに対する要求は、ハイパーテキスト・トランスファー・プロトコル認証ヘッダーを含む、請求項１２に記載のシステム。
【請求項２０】
前記サーバは、ハイパーテキスト・トランスファー・プロトコル認証ヘッダーで前記認証データを供給するように更に構成される、請求項１９に記載のシステム。
【請求項２１】
前記サーバは、補足認証ヘッダーを検出しかつ前記認証データを抽出しかつ認証ヘッダーで前記サーバに前記認証データを送ることによって前記補足認証ヘッダーに応答するように更に構成される、請求項１２に記載のシステム。
【請求項２２】
前記認証データに対する要求は、アクセスに対する要求へのチャレンジを含みかつ前記サーバは、暗号化された形式で前記チャレンジを戻すことによって当該チャレンジに応答して前記認証データを供給するように構成され、前記暗号化された形式は、共通の秘密を示す、請求項１２に記載のシステム。
【請求項２３】
前記ウェブ・ブラウザは、非ＮＴＬＭブラウザでありかつ前記ウェブ・サーバは、ＮＴＬＭサーバである、請求項１２に記載のシステム。
【請求項２４】
ウェブ・サーバによって保護されたネットワーク資源へのアクセスをブラウザに供給するシステムであって、
ウェブ・サーバによって保護された資源へのブラウザによるアクセスを要求する手段；
ブラウザと同じ装置に配置されたサーバにおける前記ブラウザへの前記ウェブ・サーバからの認証データに対する要求を阻止する手段；
前記装置が前記要求された認証データを有するかどうかを決定する手段；および
前記装置が前記要求された認証データを有するならば前記サーバから前記ウェブ・サーバに前記認証データを供給する手段
を備えている、システム。
【請求項２５】
前記サーバは、ハイパーテキスト・トランスファー・プロトコルにより応答をフォーマット化することによって前記認証データを供給する、請求項２４に記載のシステム。
【請求項２６】
前記認証データは、前記ブラウザのユーザの役目を含む、請求項２４に記載のシステム。
【請求項２７】
前記認証データは、ユーザ識別情報を更に含む、請求項２６に記載のシステム。
【請求項２８】
前記認証データに対する要求は、ハイパーテキスト・トランスファー・プロトコル認証ヘッダーを含む、請求項２４に記載のシステム。
【請求項２９】
前記認証データを供給する手段は、ハイパーテキスト・トランスファー・プロトコル認証ヘッダーを供給する手段を含む、請求項２８に記載のシステム。
【請求項３０】
アクセス要求に応答して前記サーバによって発行されたアクセス拒否を検出する手段；
前記サーバに補足認証ヘッダーを供給する手段；
前記補足認証ヘッダーを検出する手段；および
前記認証データを抽出し、かつ前記認証ヘッダーで前記サーバに前記認証データを送ることによって前記補足認証ヘッダーに応答する手段
を更に備えている、請求項２４に記載のシステム。
【請求項３１】
第２のウェブ・サーバによって保護された資源への前記ブラウザによるアクセスを要求する手段；
前記サーバにおける前記ブラウザへの前記第２のウェブ・サーバからの認証データに対する要求を阻止する手段；
前記装置が前記第２のウェブ・サーバに対する前記認証データを有するかどうかを決定する手段；および
前記装置が前記要求された認証データを有するならば前記サーバから前記第２のウェブ・サーバへ前記認証データを供給する手段
を更に備えている、請求項２４に記載のシステム。
【請求項３２】
前記装置が前記認証データを含まないならば前記ブラウザから前記認証データを要求する手段；
ウェブ・ブラウザ・インタフェースを通してユーザから前記認証データを受け取る手段；
前記ウェブ・ブラウザから前記サーバへ前記認証データを供給する手段；および
前記サーバから前記ウェブ・サーバへ前記認証データを供給する手段
を更に備えている、請求項２４に記載のシステム。
【請求項３３】
前記認証データに対する要求は、アクセスに対する要求へのチャレンジを含み、かつ前記チャレンジに応答して前記認証データを供給する手段は、暗号化された形式で前記チャレンジを戻す手段を含み、前記暗号化された形式は、共通な秘密を示す、請求項２４に記載のシステム。
【請求項３４】
前記ウェブ・ブラウザは、非ＮＴＬＭブラウザでありかつ前記ウェブ・サーバは、ＮＴＬＭサーバである、請求項３３に記載のシステム。
【請求項３５】
ウェブ・サーバによって保護された資源へのブラウザによるアクセスを要求する情報；
ブラウザと同じ装置に配置されたサーバにおける前記ブラウザへの前記ウェブ・サーバからの認証データに対する要求を阻止する情報；
前記要求された認証データが利用可能であるかどうかを決定する情報；および  前記要求された認証データが利用可能であるならば前記サーバから前記ウェブ・サーバへ前記認証データを供給する情報
を備えている、情報記憶媒体。
【請求項３６】
前記認証データを供給する前記情報は、ハイパーテキスト・トランスファー・プロトコルにより応答をフォーマット化する情報を更に備えている請求項３５に記載の情報記憶媒体。
【請求項３７】
前記認証データは、前記ブラウザのユーザの役目を含む、請求項３５に記載の情報記憶媒体。
【請求項３８】
前記認証データは、ユーザ識別情報を更に含む、請求項３７に記載の情報記憶媒体。
【請求項３９】
前記認証データに対する要求は、ハイパーテキスト・トランスファー・プロトコル認証ヘッダーを含む、請求項３５に記載の情報記憶媒体。
【請求項４０】
前記認証データを供給する前記情報は、ハイパーテキスト・トランスファー・プロトコル認証ヘッダーを供給する情報を更に備えている、請求項３９に記載の情報記憶媒体。
【請求項４１】
アクセル要求に応答して前記サーバによって発行されたアクセス拒否を検出する情報；
前記サーバに補足認証ヘッダーを供給する情報；
前記補足認証ヘッダーを検出する情報；および
前記認証データを抽出することによって前記補足認証ヘッダーに応答し、かつ認証ヘッダーで前記サーバに前記認証データ送る情報
を更に備えている、請求項３５に記載の情報記憶媒体。
【請求項４２】
第２のウェブ・サーバによって保護された資源への前記ブラウザによるアクセスを要求する情報；
前記サーバにおける前記ブラウザへの前記第２のウェブ・サーバからの認証データに対する要求を阻止する情報；
前記装置が前記第２のウェブ・サーバに対する前記認証データを有するかどうかを決定する情報；および
前記装置が前記要求された認証データを有するならば前記サーバから前記第２のウェブ・サーバへ前記認証データを供給する情報
を更に備えている、請求項３５に記載の情報記憶媒体。
【請求項４３】
前記装置が前記認証データを含まないならば前記ブラウザから前記認証データを要求する情報；
ウェブ・ブラウザ・インタフェースを通してユーザから前記認証データを受け取る情報；
前記ウェブ・ブラウザから前記サーバへ前記認証データを供給する情報；および
前記サーバから前記ウェブ・サーバへ前記認証データを供給する情報
を更に備えている、請求項３５に情報記憶媒体。
【請求項４４】
前記認証データに対する要求は、アクセスに対する要求へのチャレンジを含み、かつ前記チャレンジに応答して前記認証データを供給する情報は、暗号化された形式で前記チャレンジを戻す情報を含み、前記暗号化された形式は、共通な秘密を示す、請求項３５に記載の情報記憶媒体。
【請求項４５】
前記ウェブ・ブラウザは、非ＮＴＬＭブラウザでありかつ前記ウェブ・サーバは、ＮＴＬＭサーバである、請求項４４に記載の情報記憶媒体。
【発明の詳細な説明】
【０００１】
１．（技術分野）
本発明は、一般にネットワーク・コンピュータ・システムに関する。特に、本発明は、一つ以上のウェブ・サーバへのユーザ認証およびアクセスに関する。
【０００２】
２．（背景技術）
一般的なウェブ・ベース・サーバ・アプリケーションでは、情報へのアクセスは、例えば、ユーザｉｄおよび／またはパスワードによってユーザが認証されることを必要とするアプリケーションにより、ウェブ・サーバを介して達成される。ユーザがウェブ・サーバによって制御される情報へのアクセスを要求するときには、ウェブ・サーバは、ユーザによって経験された先のログイン／認証手続とは無関係なログイン／認証手続を一般に有する。資源にアクセスするためには、ウェブ・サーバに対してユーザを認証するために適切な認証データが提示されなければならない。これは、新しいウェブ・サーバに固有な追加のログイン／認証情報をユーザが入力することを要求することによって、または汎用ログインおよびパスワードをハードコード化することによって慣例的に達成される。
【０００３】
これらの解決策の両方は、不十分である。各アクセス要求に対して追加の情報をユーザが入力することを要求することは、複数のログインおよびパスワードを覚えることをユーザに負担させかつパスワードがネットワークにわたり未暗号化で伝送された場合には潜在的な機密保護リスクでありうる。スクリプトに汎用または静的ログインおよびパスワードを用いることは、潜在的な機密保護欠陥でありかつユーザの識別に基づく異なるレベルのアクセスを容易に提供しない。
【０００４】
これらの問題に取り組む一つの試みは、ニュー・テクノロジーＬＡＮマネージャ（ＮＴＬＭ）自動化認証システムに見出される。ＮＴＬＭシステムでは、類似したコンポーネント（ウェブ・ブラウザおよびサーバ）は、（パスワードを用いて）一度ユーザがマイクロソフト・ネットワークまたはマイクロソフト・ウィンドウズ ＮＴドメインに対して最初に認証されたならばユーザの識別を互いに保証する。この保証は、ユーザに対して透過的に発生する。しかしながら、このシステムは、ＮＴドメインに存在しないかまたは最初のドメインと信用関係がないウェブ・サーバに対して認証を実行しない。それゆえに、ＮＴＬＭ認証システムは、限定的ユティリティである。
【０００５】
また、その他の従来のシステムも、認証データに対してユーザに入力を促すことなく個別のネットワーク資源へのアクセスを提供する。これらのシステムが個別のネットワーク資源をアクセスするためのユーザ要求を受け取るときには、システム・ログオンおよびサーバ認証データは、更なるユーザ・インタラクションなしに個別のネットワーク資源に自律的に供給される。しかしながら、これらのシステムは、ワールドワイド・ウェブ（ＷＷＷ）・ハイパーテキスト・トランスファー・プロトコル（ＨＴＴＰ）環境に係わらないし、かつユーザの役割に基づき認証情報に一般に係わらない。これらのシステムは、ローカル・コンピュータ・システムの主記憶装置にパスワード・キャッシュを維持する。パスワード・キャッシュは、特定のユーザによってアクセスされる各サーバに対するサーバ・ネーム、ユーザ・ネームおよびパスワードを含む。アクセス要求が提示されたときには、ネットワーク・ソフトウェアは、アクセスされるサーバにそれを渡す前にサーバ認証情報に対するパスワード・キャッシュ構造をサーチする。
【０００６】
その他の従来のシステムは、ユーザのコンピュータ・ネットワークの内部のファイアウォールの実施を通して特定の端末装置に関連付けられたレーティング・カテゴリーおよび／またはＩＤに基づきインターネット情報のユーザのアクセスを制限する。ファイアウォールは、ユーザが一定の種類のインターネット情報をアクセスすることを阻止する（例えば、子供が猥褻な物をアクセスすることを阻止する、従業者が仕事に関連しない物をアクセスすることを阻止する、等）。これらのシステムは、（公共資源である考えられる）遠隔資源をアクセスするための内部認証に係わり、認証情報が遠隔サーバによって要求されるシステムに係わらない。
【０００７】
図１は、クライアント１４に連通するウェブ・サーバ１２を含んでいる従来の構成のネットワーク・システム１０を示すブロック図である。クライアント１４は、ウェブ・サーバ１２を通して資源をアクセスするためのユーザ・インタフェース（図示省略）を供給するウェブ・ブラウザ１６を実行する。ウェブ・サーバ１２は、その資源へのアクセスを許容するためにユーザ認証データを必要とする。ウェブ・ブラウザ１６とウェブ・サーバ１２は、通信リンク１８を介してＨＴＴＰフォーマットの通信信号を交換する。
【０００８】
この技術分野で知られているように、サーバは、データ・キャッシングに用いられ（それが再び必要な場合にそれが最初にフェッチされるときにデータを保持する）、かつ“ファイアウォール”にて入力してくるトラフィックのために認証サーバとして用いられている（即ち、従来のサーバは、ユーザ認証を受け入れるかまたは拒否する）。サーバの一例は、同じコンピュータのブラウザに存在し、かつウェブ・ページから広告を取り除くことができる広告フィルタである。
【０００９】
（発明の開示）
本発明の例示的システムおよび方法は、ネットワーク・サーバのような、その他のアプリケーションに依存しないし、かつブラウザとして使うよう意図されるウェブ・サーバからの認証要求を自動的に阻止する、サーバを提供する。サーバは、ユーザに透過的に、ユーザの識別およびパスワードのような、認証データを供給することによって、認証要求に直接応答する。サーバは、認証データを要求するためにウェブ・ブラウザとインタラクトすることができるが、ブラウザおよび／またはサーバを組み入れているシステムに認証データを配置するのが好ましい。
【００１０】
本発明の例示的システムおよび方法による認証スキームは、単一の認証手続でユーザを非常に多くの保護資源にアクセスさせ、システム使用のユーザの容易性を大いに改良する。更に、サーバがユーザのために認証を実行するので、ユーザは、ブラウザによって支持されていない認証方法を用いて保護資源にアクセスすることが認証されうる。
【００１１】
本発明のこれらおよびその他の特徴および利点は、例示的実施形態の以下の詳細な説明に記述されるかまたはそれから明らかである。
【００１２】
（発明を実施するための最良の形態）
図２は、本発明によるクライアント２４の例示的実施形態に連通するウェブ・サーバ２２を含んでいるネットワーク２０を示しているブロック図である。クライアント２４は、ウェブ・ブラウザ２６およびサーバ２８を実行する。ウェブ・ブラウザ２６は、通信リンク３０を通じてサーバ２８を介してウェブ・サーバ２２に連通する。
【００１３】
サーバ２８は、ウェブ・ブラウザ２６のような、ホスト・デバイスに認証サービスを供給するプログラムまたはその他の（クライアント）プログラムである。サーバ２８は、実行され、要求が到着するのを待機することができるか、またはサーバ２８は、（ウェブ・ブラウザのような）より高いレベルのプログラムまたはデバイスによって呼出すことができる。好適には、サーバ２８は、クライアント２４に存在するユーザの証明書に容易にアクセスできるように、ウェブ・ブラウザ２６と同じデバイスに配置される。サーバ２８は、個別のブラウザおよび／またはユーザに対して個別のサーバとして実施されるのが好ましい。
【００１４】
図２の例示的実施形態では、サーバ２８は、前記ブラウザまたはオペレーティング・システム資源から、または例えばクライアント２４のように、いずれかに記憶された、ユーザ認証データを受け取り、かつウェブ・サーバ２２にこのデータを自動的または（ユーザおよび／またはブラウザに対して）透過的に供給する。認証データは、サーバ２８によってアクセス可能であるいずれかの場所に記憶することができるということが理解される。サーバ２８は、ウェブ・サーバ２２と通信するときにクライアント装置２４をによって経験される全ての認証要求を阻止する。各要求に対して、サーバ２８は、それが認証要求に応答するように構成されるかどうかを決定する；即ち、サーバ２８が認証を要求しているウェブ・サーバ２２に直接的に応答するために十分な認証データを有するか（例えば、それ自体の資源内に記憶される）または取得することができる（例えば、ウェブ・ブラウザ２６またはクライアント２４のその他の資源から）かを決定する。サーバ２８がそれが要求に応答するように構成されると決定したならば、それは、ウェブ・ブラウザ２６に対して自動的かつ透過的にウェブ・サーバ２２と（例えば、認証に対する最初のＨＴＴＰ要求を保存しかつ保存した要求にユーザの証明書を有する認証ヘッダーを導入することによって）ハイパーテキスト・トランスファー・プロトコル（ＨＴＴＰ）認証交換を実行する。サーバ２８が要求に応答するように構成されないならば、要求は、ウェブ・ブラウザ２６に渡され（パスされ）、それはウェブ・サーバ２２によって制御される資源へのアクセスのためにユーザを認証するためにデータを入力するようにユーザに命令することができる。第２の遠隔装置またはシステム（図示省略）に関連付けられうる、第２の遠隔サーバ（図示省略）にユーザがアクセスすることを望むならば、サーバ２８は、第２の遠隔サーバから生じるあらゆる認証要求を阻止することができるように構成され、かつ第１の認証要求に応答するために上述したように実質的に動作する。サーバ２８は、正しいデータを供給するために、それがどのウェブ・サーバと対話しているのかを決定することができるということが理解される。それゆえに、本開示による例示的認証方法およびシステムは、ユーザに単一のサイン−オン手続で複数のサーバに対して自動的かつ透過的に認証させる。
【００１５】
図２に示す第１の例示的実施形態は、クライアント２４に一所に配置されたウェブ・ブラウザ２６およびサーバ２８を示しているが、クライアント２４のコンポーネントは、ローカル・エリア・ネットワーク、広域ネットワーク、イントラネットおよび／またはインターネット等のような、分散形ネットワークの遠隔部分に配置することができるということが理解されるであろう。それゆえに、クライアント２４のコンポーネントは、一つの装置に組合せられうるかまたは分散形ネットワークの特定のノードに一所に配置されうるということが理解されるであろう。以下の説明から理解されるように、かつ計算効率の理由により、クライアント２４のコンポーネントは、システムの操作に影響を及ぼすことなく分散形ネットワーク内のあらゆる場所に配列することができる。
【００１６】
更に、図示していないが、クライアント２４は、また、キーボード、マウス、音声−テキスト変換装置、等、コンピュータ・モニター、ＰＤＡのディスプレイまたは一人以上のユーザに情報を表示することができるように構成されるその他の装置のような表示装置、のような一つ以上の入力装置、関連制御装置および／またはＩ／Ｏインタフェースおよび記憶コンポーネントを含むこともできるということが理解される。
【００１７】
図２に示すように、クライアント２４は、プログラムされた汎用コンピュータを用いて実施することができる。しかしながら、クライアント２４は、また、専用コンピュータ、プログラムされたマイクロコンピュータまたはマイクロコントローラおよび必要な周辺集積回路素子、ＡＳＩＣまたはその他の集積回路、離散素子回路のようなハードワイヤード電子または論理回路、ＰＬＤ、ＰＬＡ、ＦＰＧＡまたはＰＡＬのようなプログラムマブル論理装置、等を用いて実施することもできる。一般に、図３のフローチャートを実施することができるように構成された有限状態機械は、クライアント２４を実施するために用いることができる。図には明白に示されていないが、クライアントは、静的または動的ＲＡＭを用いて実施されるのが好ましいメモリを含む。しかしながら、メモリは、また、フロッピー・ディスクおよびディスク・ドライブ、書込み可能な光ディスクおよびディスク・ドライブ、ハードドライブ、フラッシュメモリ、等を用いて実施することもできる。更に、メモリは、単一のメモリの異なる部分または物理的に異なるメモリのいずれかでありうるということが理解されるべきである。
【００１８】
更に、リンク１８、３０および５０は、有線（ワイヤード）または無線（ワイヤレス）ネットワーク・リンクでありうるということが理解されるべきである。これらのネットワークは、ローカル・エリア・ネットワーク、広域ネットワーク、イントラネット、インターネットまたは、ＨＴＴＰまたはその他のインターネットまたは分散形処理プロトコルを用いるネットワークである限りその他の分散形処理および記憶ネットワークでありうる。
【００１９】
図３は、本発明によるサーバを用いてウェブ・サーバによって制御された資源へのアクセスを供給するための例示的制御ルーチンを示す。制御ルーチンは、別のより高いレベルの制御ルーチン内で動作することができる。それゆえに、図３の制御ルーチンが終る間に、制御は、その制御ルーチンが終了した後に別のより高いレベルの制御ルーチンに戻すことができるということが理解される。
【００２０】
最初に、ウェブ・ブラウザがホスト装置にロードされておりかつウェブ・ブラウザがログインされておりかつサーバによるユーザ識別を確立するために最初に認証されているということを仮定する。制御ルーチンは、ステップＳ１００で開始しステップＳ１０２に続く。ステップＳ１０２では、制御ルーチンは、ウェブ・ブラウザからアクセス要求を受け取りステップＳ１０４に続く。ステップＳ１０４では、制御ルーチンは、ウェブ・サーバにアクセス要求を送りステップＳ１０６に続く。ステップＳ１０６では、制御ルーチンは、ウェブ・サーバからの応答を受け取りステップＳ１０８に続く。
【００２１】
ステップＳ１０８では、制御ルーチンは、応答が認証を要求するかどうかを決定する。ステップＳ１０８で、応答が認証を必要としないということを制御ルーチンが決定するならば、制御ルーチンは、ステップＳ１１８にジャンプし、そこで制御は、図３の制御ルーチンを呼出した制御ルーチンに戻る。しかしながら、ステップＳ１０８で、応答が認証を必要とするということを制御ルーチンが決定したならば、制御ルーチンは、ステップＳ１１０に続く。ステップＳ１０８で受け取った認証に対する要求は、例えば、ＨＴＴＰプロトコルの一つ以上のＷＷＷ−認証ヘッダーの形式でありうるし、それは、受け入れることができる認証の種類をサーバに特定させる。
【００２２】
ステップＳ１１０では、制御ルーチンは、認証情報のためにクライアントをサーチしステップＳ１１２に続く。認証情報は、サーバに直接関連付けられたデータベースまたはそれがサーバに利用可能である限りその他の場所に記憶することができる。ステップＳ１１２では、制御ルーチンは、認証情報が見出されたかどうかを決定する。ステップＳ１１２で、認証情報が見出されたということを制御ルーチンが決定するならば、制御ルーチンは、ステップＳ１１４に続く。しかしながら、ステップＳ１１２で、認証情報がクライアントで見出されなかったということを決定したならば、制御ルーチンは、ステップＳ１２０に続く。ステップＳ１２０で、制御ルーチンは、ウェブ・ブラウザから認証情報を要求しステップＳ１２２に続く。認証に対する要求がＨＴＴＰで認証ヘッダーとして供給されたならば、サーバは、認証方法に適する認証トークンがその後に続く返却認証ヘッダーをブラウザに供給する。ステップＳ１２２では、制御ルーチンは、ウェブ・ブラウザから認証情報を受け取りステップＳ１１４に続く。
【００２３】
ステップＳ１１４で、制御ルーチンは、ウェブ・サーバに認証情報を供給しステップＳ１１６に続く。ステップＳ１１６で、制御ルーチンは、アクセスがウェブ・サーバによって認可されたかどうかを決定する。ステップＳ１１６で、アクセスが認可されたということを制御ルーチンが決定したならば、制御ルーチンは、ステップＳ１１８に続く。ステップＳ１１８で、制御ルーチンは、図３の制御ルーチンを呼んだ制御ルーチンに制御を戻す。しかしながら、ステップＳ１１６で、アクセスが認可されなかったということを制御ルーチンが決定したならば、制御ルーチンは、ステップＳ１２４に続く。ステップＳ１２４では、制御ルーチンは、エラー・メッセージを生成しステップＳ１１８に続く。
【００２４】
本発明の原理は、多くの種類の認証スキームに容易に適応可能であるということが理解される。例えば、汎用認証スキーム（アクセス試み、認証情報に対する要求による拒絶、および認証情報による新しいアクセス試み）よりも、ある種の認証は、追加の段階を要求しうる。かかる認証プロトコルの一例は、遠隔ウェブ・サーバがアクセスに対する初期要求を拒否しかつ認証を要求し、そしてまた例えば、ネットワーク識別を含んでいる、アクセスに対する更なる供給を拒絶し、かつチャレンジを発行するような、（先に説明したＮＴＬＭ技法のような）チャレンジ−応答認証である。アクセスを要求しているパーティ（相手）は、要求しているいパーティがサーバと共有する秘密を知っているというある表示を供給することによって、ネットワーク上に（パスワードのような）真の認証トークンを送ることなく、チャレンジに応答する。例えば、これは、暗号化された形式のチャレンジを戻すサーバを含みうるし、暗号化の方法は、共有の秘密の要求しているパーティの知識を示す。換言すると、要求しているパーティは、パスワードを識別することなくそれがパスワードを知っているということを示すことによって応答する。本発明のこの例示的実施形態は、サーバがブラウザのために阻止しかつ応答することによって、この種の認証スキームにより実施することができる。本発明のこの形態は、例えば、非ＮＴＬＭブラウザのユーザに、ユーザに対して透過的にかつブラウザに対する変更なしで、ＮＴＬＭサーバに対してそれ自身を認証させる。
【００２５】
図４は、ユーザ識別およびユーザのウェブ・サーバ４２に対する役目のようなその他の証明書を転送するためにプロプラエタリー認証スキームを用いらせる本発明によるクライアント４４の別の例示的実施形態を有するネットワーク４０を示す。ウェブ・サーバ４２は、サーバ４８と連通するフィルタ５２またはその他の適切なプラグ−インを含む。かかるフィルタの一例は、マイクロソフトによって用いられるＩＳＡＰＩ“フィルタ”プラグ−インである。フィルタ５２がウェブ・サーバ４２によるアクセス拒絶を検出するときに、フィルタ５２は、ウェブ・サーバ４２によってクライアント４４に送り戻された一組のヘッダーにプロプラエタリ認証スキーム・ネームを特定するヘッダー加える。上述したように、サーバ４８は、ウェブ・ブラウザ４６のためにこれらのヘッダーを阻止し、かつプロプラエタリ認証スキームが所望の資源にアクセスするために必要であるかどうかを決定する。プロプラエタリ認証ヘッダーが存在するならば、サーバ４８は、その他の認証ヘッダーよりもこのヘッダーに応答する。プロプラエタリ認証ヘッダーに応答するために、サーバ４８は、（本発明の一例示的実施形態によれば、少なくともユーザの役目および識別を含む）ユーザのトークン／証明書を抽出し、ＨＴＴＰプロトコルで送信するためにトークンをリフォーマットし、かつ認可ヘッダーでウェブ・サーバ４２にリフォーマットされたトークンを送信する。次いで、フィルタ５２は、プロプラエタリ・サービスに対する認証として認可ヘッダーを受け入れ、かつサーバに知られた一組の識別からのローカル・ウェブ・サーバ識別をユーザに割り当てる。ローカル識別は、固有でありうるかまたは一人以上のその他のユーザによって共有される複製識別でありうる。
【００２６】
それゆえに、本発明の認証方法およびシステムは、非常に多くの利点を達成するということが上記説明から理解できる。例えば、ユーザは、各遠隔サーバ・アクセスに対して認証情報を供給しなくても複数の遠隔ウェブ・サーバにアクセスすることができる。更に、サーバがユーザのために認証を実行するので、ユーザは、ブラウザに知られていない種類の認証方法を用いて保護された資源にアクセスすることを認証されうるということが理解されるべきである。それゆえに、本発明は、プロトコル（例えば、マイクロソフトＮＴＬＭ、またはプロプラエタリ認証プロトコル）を用いて、このプロトコルを支持しないブラウザ（例えば、ネットスケープ・ナビゲータ）で、ユーザにウェブ・サーバに対して認証させる。この利点は、ブラウザに対する構造変更なしで達成することができる。非常に多数のその他の利点は、当業者にとって容易に明らかであろう。
【００２７】
上記の発明は、遠隔サーバからの認証要求を“阻止すること”の一つとしてサーバの動作を説明するが、この発明に用いられる用語“阻止”の画定は、遠隔サーバとブラウザとの間の通信をフィルタしかつ監視することのような、その他の方法を含むことを意図するということが理解されるべきである。この発明で用いられる用語“阻止”の画定に置かれるべき唯一の限定は、可能であればブラウザからのかかる情報をプロンプトすることなく認証データがサーバに利用可能であるならばブラウザにかかる要求を渡すことなく遠隔サーバからの認証データに対する要求にサーバが自動的に応答できるようにすることである。更に、用語は、遠隔サーバからの認証データに対する要求を受け取りかつ、サーバが認証データがそれ以外ならば利用可能ではないいうことを決定した後でブラウザに認証データに対する要求を渡しおよび／または生成する機能を含むことを意図する。
【００２８】
本発明は、上記で概説した特定の実施形態に関連して説明されたが、多くの代替、変更および変形が当業者に理解されるであろうということは、明らかである。従って、上記に示した本発明の好適な実施形態は、説明を意図するものであり限定することを意図するものではない。本発明の精神および適用範囲から逸脱することなく様々な変更を行うことができる。
【図面の簡単な説明】
本発明の例示的実施形態は、以下の図面を参照して、詳細に記述される：
【図１】
図１は、遠隔ウェブ・サーバと通信しているウェブ・ブラウザを含んでいる従来のネットワークのブロック図である。
【図２】
図２は、本発明の第１の例示的実施形態に連通するウェブ・サーバを含んでいるネットワークのブロック図である。
【図３】
図３は、本発明に従ってクライアントから遠隔ウェブ・サーバを介して資源にアクセスする例示的方法を略述するフローチャートである。
【図４】
図４は、ユーザ識別およびその他の証明書の両方を転送するために所有の認証スキームを使用させる本発明の第２の例示的実施形態に連通するウェブ・サーバを含んでいる別のネットワークのブロック図である。
【図１】
2004536359.tif 000003
【図２】
2004536359.tif 000004
【図３】
2004536359.tif 000005
【図４】
2004536359.tif 000006
【国際公開パンフレット】
2004536359.tif 000007
2004536359.tif 000008
2004536359.tif 000009
2004536359.tif 000010
2004536359.tif 000011
2004536359.tif 000012
2004536359.tif 000013
2004536359.tif 000014
2004536359.tif 000015
2004536359.tif 000016
2004536359.tif 000017
2004536359.tif 000018
2004536359.tif 000019
2004536359.tif 000020
2004536359.tif 000021
2004536359.tif 000022
2004536359.tif 000023
2004536359.tif 000024
2004536359.tif 000025
2004536359.tif 000026
2004536359.tif 000027
【国際公開パンフレット（コレクトバージョン）】
2004536359.tif 000028
【国際調査報告】
2004536359.tif 000029
2004536359.tif 000030
2004536359.tif 000031