(57)【要約】【課題】ネットワークシステムにおいて，１回の認証で，ＨＴＴＰアクセスを開始可能とする。【解決手段】クライアントおよびＬＡＮ間の通信を中継するアクセスポイントと，前記アクセスポイントを介して前記クライアントのアクセス認証を行う認証サーバとを有し，前記認証サーバは，前記アクセスポイントを介して前記ＬＡＮと通信しようとするクライアントにおけるセキュリティプログラムの適用状態を判定し、判定結果を前記クライアントに通知する判定部と，前記判定結果と、前記クライアントの要求とに応じ、前記適用状態の更新に必要なデータを前記クライアントへ提供するデータ提供部とを具備する。【選択図】図１
2007257507.tif 000002
【特許請求の範囲】
【請求項１】
クライアントおよびＬＡＮ間の通信を中継するアクセスポイントと，
前記アクセスポイントを介して前記クライアントのアクセス認証を行う認証サーバとを有し，
前記認証サーバは
前記アクセスポイントを介して前記ＬＡＮと通信しようとするクライアントにおけるセキュリティプログラムの適用状態を判定し、判定結果を前記クライアントに通知する判定部と，
前記判定結果と、前記クライアントの要求とに応じ、前記適用状態の更新に必要なデータを前記クライアントへ提供するデータ提供部とを具備する
ことを特徴とするネットワークシステム。
【請求項２】
請求項１において，
前記適用状態の判定に先だって，ＥＡＰ(Extensible Authentication Protocol)-ＴＬＳ(Transfer Layer Security）に基づく前記クライアントのアクセス認証を行うことを特徴とするネットワークシステム。
【請求項３】
請求項１において，
前記認証サーバは，前記クライアントから受信したセキュリティプログラムのパッチ状態と，最新のパッチリストと比較して，アップデートの必要な更新データの所在を，ＴＬＳ暗号化を用いて前記クライアントに通知することを特徴とするネットワークシステム。
【請求項４】
請求項３において，
前記クライアントから完了のメッセージ通知を受けた時，前記認証サーバが，前記クライアントにネットワークアクセス許可のパケットを送信することを特徴とするネットワークシステム。
【請求項５】
ＬＡＮ内に配置され，クライアントのネットワーク接続の際に認証を行う認証サーバであって，
ＬＡＮアクセスポイントを介して前記ＬＡＮに接続されるＬＡＮ機能を持つクライアントのセキュリティプログラムのパッチ適用状態を判定し，
プロキシサーバとして，アップデートに必要なデータをアップデートサイトからダウンロードして，前記クライアントのセキュリティプログラムのアップデートを行う
ことを特徴とする認証サーバ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はクライアントＰＣのネットワークアクセス認証とクライアントＰＣのソフトウェアアップデートに関し，特に認証とソフトウェアアップデートを統合することによる処理の効率化に関するものである。
【背景技術】
【０００２】
近年，コンピュータ(以下ＰＣと表示)に感染するコンピュータウィルス(以下ウィルス)，ワーム等の悪意あるプログラムによる被害が増加している。
【０００３】
ＰＣがウィルス，ワーム等に感染すると，使用者の意図しない動作や，クラッシュなどが起きる。また，ＰＣがスパイウェアに感染している場合，ＰＣ所有者が入力するパスワード等を流出させられることも起きる。この他に，感染するとスパム（spam）を送信するゾンビＰＣになる可能性もある。
【０００４】
ＰＣがウィルス等に感染すると，その利用者は，データの損失，業務の停滞などの被害を受ける。ＰＣがスパイウェアに感染した場合，オンラインバンキングなどのシステムへのパスワードが盗まれ，金銭上の被害を受けることもある。近年登場した，企業秘密を盗むことを目的とするスパイウェアに感染した場合，企業秘密を競合企業に知られ，競争力を失う危険性もある。
【０００５】
これらの危険性を抑えるため，ネットワークに接続するＰＣは常にウィルス等の攻撃への対策をしていなければならない。ウィルス等への対策をするには，ＯＳベンダーが提供するパッチを適用し，アンチウィルスソフトウェアのウィルス定義ファイル等のダウンロードとインストールをしなければならない。
【０００６】
しかし，多数のＰＣがネットワークに接続する企業などでは，全てのＰＣのソフトウェアがアップデートされた状態にするのは，難しい。ユーザの都合のためにＰＣがある期間起動されず，アップデートがされないケースや，対象となるＰＣがモバイルＰＣであるために，ネットワーク管理者がアップデートを促したときに，ＰＣがその場にないなど，様々な理由からアップデートができないことが起きうる。
【０００７】
ネットワークに接続するＰＣによるウィルス感染を防ぐため，ＰＣにウィルス対策専用のネットワークに接続させる技術がある。これを実現する様々な方式を総称して検疫技術と呼ぶ。
【０００８】
検疫技術は４方式に分類できる。ＤＨＣＰ（Dynamic Host Configuration Protocol）によるもの，認証スイッチによるもの，クライアントファイアウォールによるもの，ゲートウェイによるものである（非特許文献１参照）。
【０００９】
第１のＤＨＣＰによる検疫方式では，ＰＣはＤＨＣＰサーバから検疫用のＩＰアドレスを払い出される。ＰＣが検疫環境でソフトウェアのアップデートを完了し，検疫を管理するサーバに通知を行った後に再びＤＨＣＰでアドレスを取得すると，ＰＣは通常の社内ＬＡＮにアクセスできるアドレスを払い出される。
【００１０】
この方式では，ＰＣがＤＨＣＰではなく，スタティックＩＰアドレスを利用しているときにはＡＲＰ（Address Resolution Protocol）を利用してＰＣによるネットワークの利用を妨害する必要がある。このためには，サブネットごとにスタティックＩＰアドレスを使用するＰＣを検出し，ＡＲＰを利用してＰＣの通信を妨害する機器が必要になる。
【００１１】
第２の検疫機能を備えるＬＡＮスイッチによる検疫方式では，ＬＡＮスイッチに接続しようとするＰＣが，ネットワークが要求する水準のセキュリティを満たしているかを確認し，アップデートが必要であれば，スイッチ内の他のＰＣとは隔離し，アップデートだけが可能な状態にする。この方式では，検疫に対応した無線ＬＡＮスイッチや，（有線）ＬＡＮスイッチの導入が必要になる。
【００１２】
第３のクライアントファイアウォールによる検疫方式では，ＰＣ上のソフトウェアがＰＣのファイアウォールソフトを設定し，ＰＣがアップデートを完了したときに，社内ＬＡＮにアクセスできるように設定を変更する。この方式では，ＰＣにファイアウォールソフトがインストールされていることが必要になるため，ファイアウォールがインストールされていないＰＣからのアクセスを遮断する機能の導入が必要になる。
【００１３】
さらに，第４のゲートウェイによる検疫方式では，ＰＣから社内のサーバへの経路上にゲートウェイを設置し，アップデートが必要なＰＣがゲートウェイに接続してきたときにはサーバへのアクセス遮断し，アップデートだけを行わせる。この方式では，ＰＣが同じサブネット上の他のＰＣなどにアクセスすることを防げない。
【００１４】
従来は，ＰＣから他のＰＣへのアクセスをできなくするため非標準的な機器の導入が必要な上に，検疫を必要とするＰＣに対し，２度認証を行っていた。すなわち，認証サーバが，ウィルス等への対策が不十分なＰＣを検疫する必要ありと判断したときと，ＰＣのアップデートが完了し，社内ＬＡＮにアクセスを開始するとき認証が行われるものである。
【００１５】
さらに，認証方式には様々な方式があるが，市販されるアクセス制御機能付のＬＡＮスイッチなどで一般的な方式は，ＥＡＰ(Extensible Authentication Protocol)を使用する802.1Xによる認証方式である。
【００１６】
ＥＡＰを使った認証では，認証サーバはＰＣとの間でＥＡＰパケットを送受信し，ＰＣがネットワークに接続する権限を持つことを確認したうえで，ＥＡＰ Successメッセージを送信する。ＰＣは，このメッセージを受けると，ネットワークアクセスが許可されたことを知り，ＤＨＣＰなどでＩＰアドレスを取得するか，あらかじめＰＣに設定されているＩＰアドレスを用いてWebサーバなどのネットワーク上のリソースにアクセスを開始する。
【００１７】
ＥＡＰに基づく認証方式のなかで，セキュリティ強度の面で優れたプロトコルがＥＡＰ-ＴＬＳである。これは，ＥＡＰのパケットがＴＬＳ（Transfer Layer Security）のパケットをカプセル化して認証を行うものである。ＴＬＳプロトコルは，暗号化通信を実現するプロトコルで，ＳＳＬ(Secure Layer Socket)とほぼ同じプロトコルである。
【００１８】
ＴＬＳプロトコルはサーバとクライアントとの間で相互認証を行い，鍵交換を行って暗号化通信を実現する。ＥＡＰ-ＴＬＳでは，ＴＬＳの相互認証の部分だけを利用する。認証サーバは，ＴＬＳの相互認証が完了したときＥＡＰ Successメッセージを送信し，ＰＣのネットワークへの接続を認める。
【００１９】
また，従来技術として，ＰＣがサーバから認証を受けて第１のネットワークにアクセスする際に，許可を受けていなければ，第１のネットワークにアクセスするために必要なファイルを第２のネットワークにアクセスする許可が受けられるシステムが開示されている（特許文献１）。このように，特許文献１に記載の発明は，ＰＣがネットワークにアクセスするように準備する際に自動化のレベルを高める方法である。
【非特許文献１】「なぜ検疫ネットワークが普及しないのか」鈴木成明 http://www.atmarkit.co.jp/fsecurity/special/69quarantine/quarantine01.html
【特許文献１】特開２００４−２１３６３２号公報
【発明の開示】
【発明が解決しようとする課題】
【００２０】
上記のように，従来方法ではＰＣを検疫するとき，検疫を始めるときと通常のネットワークに接続するとき，合計２回の認証を行っていた。したがって，本発明の目的は，常に検疫を１回の認証で完了させ，従来よりも短時間でＨＴＴＰ(Hypertext  Transfer Protocol)アクセスを開始することができるネットワークシステムを提供することにある。
【課題を解決するための手段】
【００２１】
上記の目的を達成する本発明の第１の側面は，クライアントおよびＬＡＮ間の通信を中継するアクセスポイントと，前記アクセスポイントを介して前記クライアントのアクセス認証を行う認証サーバとを有するネットワークシステムであって，前記認証サーバは，前記アクセスポイントを介して前記ＬＡＮと通信しようとするクライアントにおけるセキュリティプログラムの適用状態を判定し、判定結果を前記クライアントに通知する判定部と，前記判定結果と、前記クライアントの要求とに応じ、前記適用状態の更新に必要なデータを前記クライアントへ提供するデータ提供部とを具備することを特徴とする。
【００２２】
上記第１の側面において，前記適用状態の判定に先だって，ＥＡＰ(Extensible Authentication Protocol)-ＴＬＳ(Transfer Layer Security）に基づく前記クライアントのアクセス認証を行うことを特徴とする。
【００２３】
上記第１の側面において，前記認証サーバは，前記クライアントから受信したセキュリティプログラムのパッチ状態と，最新のパッチリストと比較して，アップデートの必要な更新データの所在を，ＴＬＳ暗号化を用いて前記クライアントに通知することを特徴とする。
【００２４】
また，上記において，前記クライアントから完了のメッセージ通知を受けた時，前記認証サーバが，前記クライアントにネットワークアクセス許可のパケットを送信することを特徴とする。
【００２５】
上記の目的を達成する本発明の第２の側面は，無線又は有線ＬＡＮ内に配置され，クライアントのネットワーク接続の際に認証を行う認証サーバであって，ＬＡＮアクセスポイントを介して前記ＬＡＮに接続されるＬＡＮ機能を持つクライアントのセキュリティプログラムのパッチ適用状態を判定し，プロキシサーバとして，アップデートに必要なデータをアップデートサイトからダウンロードして，前記クライアントのセキュリティプログラムのアップデートを行うことを特徴とする。
【発明の効果】
【００２６】
本発明の適用により，アクセス認証の手順中でＰＣ上のソフトウェアのアップデートを行わせることができる。従来の検疫で必要だった専用のＩＰサブネットが不要である。また，１回の認証でＬＡＮに接続できるという特徴が得られる。
【００２７】
具体的には，認証サーバは送信（POST）されたデータを基に，ＰＣのアップデートが必要かどうかを判断することができる。また，認証サーバでＰＣの検疫の要不要を判断してアップデートすべきもののリストをＰＣに送信するため，ネットワーク管理者がＰＣのアップデートを要求する基準を動的に調整することができる。
【００２８】
また，アップデートが不要と判明したときは，これにより認証完了となり，ネットワークを通常通り利用できるようになる。
【００２９】
ＩＰアドレス設定前のＰＣによるＨＴＴＰアクセスが可能になると同時に，プロキシサーバでアクセスできるサイトの制限をすることにより，アップデートをしていないＰＣによりインターネットやイントラネット上のWebサイトにアクセスする危険がなくなる。
【００３０】
また，本発明は，ＰＣはＩＰアドレスを取得してネットワークにアクセスを行う前にアップデートを行うため、ＴＣＰやＵＤＰのポートに脆弱性がある場合でも，そこへの攻撃を受けずに済む等の利点を有している。
【発明を実施するための最良の形態】
【００３１】
以下に，図面に従い本発明の実施の形態例を説明する。なお，実施の形態例は本発明の理解のためのものであり，本発明の技術的範囲がこれに限定されるものではない。
【００３２】
図１は，本発明の実施の形態例を示す図であり，ＬＡＮ(Local Area Network)として企業内ＬＡＮ１００を想定する。
【００３３】
企業内ＬＡＮ１００は，802.1X機能を持ち，企業内にRADIUS（Remote Authentication Dual In User Service）クライアント機能を持つ無線ＬＡＮアクセスポイント１０１，RADIUS認証サーバ１０３を有する。なお，以下実施例として，無線ＬＡＮにおける場合を説明するが，本発明は，無線ＬＡＮに限定されず，有線ＬＡＮにおいても適用可能であり，かかる場合は，無線アクセスポイントでなく，有線アクセスポイントが使用される。
【００３４】
この企業内ＬＡＮ１００に，アップデートのためのWebサイト１１０，その他のWebサイト１０２，及び無線ＬＡＮ機能を持つクライアント（ＰＣ：パーソナルコンピュータ）が接続される。
【００３５】
無線ＬＡＮアクセスポイント１０１は企業内ＬＡＮ１００につながっている。ＰＣは無線ＬＡＮアクセスポイント１０１に接続し，Webサイト１０２などを利用するクライアントである。
【００３６】
無線ＬＡＮアクセスポイント１０１は，802.1X機能を備え，接続しようとするＰＣが正当な利用者であることを確認してからその接続を許可する。
【００３７】
このとき，無線ＬＡＮアクセスポイント１０１は，認証パケットをRADIUSパケットにカプセル化し，RADIUS認証サーバ１０３に認証の代行を依頼する。アップデートのためのWebサイト１１０は，ＰＣのセキュリティパッチ（修正差分）などを提供する。その他のWebサイト１０２は，業務などに利用するサイトで，無線ＬＡＮに接続したＰＣに対してサービスを提供する。
【００３８】
本発明の実施のためには，802.1X機能を備えた無線ＬＡＮアクセスポイント１０１，Webサーバ１０２，１１０等は既存のものをそのまま利用することができる。変更を必要とするのはＰＣとRADIUS認証サーバ１０３である。
【００３９】
ＰＣは，ＰＣ自身のパッチ適用状態，ウィルス定義ファイルバージョンなどの状態を収集する機能を持つ。また，ＰＣは，ＥＡＰ-ＴＬＳの認証で作られたＴＬＳセッションを利用してＨＴＴＰリクエストを送信する機能を持つ。
【００４０】
RADIUS認証サーバ１０３は，後に説明する処理機能を実現する機能部として判定部１０３ａと，データ提供部１０３ｂを有し，更に，ＴＬＳセッションを使ってＰＣから送られてくるＨＴＴＰリクエストを中継するＨＴＴＰプロキシサーバの機能を持つ。ＨＴＴＰプロキシサーバとして利用されるときは，ＰＣのアップデート（パッチファイルのダウンロード等）以外の目的に使うのは不適であるので，ＨＴＴＰプロキシサーバは，ＨＴＴＰのアクセス先によってフィルタを適用するアクセス制御機能を併せ持つ。
【００４１】
上記判定部１０３ａは，ＰＣから送られたＰＣのパッチ適用状況と，最新のパッチリストとを比較する機能を持つ。
【００４２】
図２Ａ，図２Ｂは，図１のシステムに対する本発明の適用例における動作シーケンスであり，図３，図４は，それぞれ，ＰＣ，及び認証サーバ１０３の動作フローである。図３，図４において，図２Ａ，図２Ｂと対応する工程処理には，同じ工程番号を付してある。
【００４３】
これらの図に従い，本発明における認証動作を以下に説明する。
【００４４】
図２Ａにおいて，先ずＥＡＰ(Extensible Authentication Protocol)-ＴＬＳ(Transfer Layer Security）を使ったアクセス認証を行う（処理工程Ｐ１）。
【００４５】
ＥＡＰ-ＴＬＳの認証処理は，既知の認証シーケンス（http://www.soi.wide.ad.jp/class/20030038/slides/44/index_35.html 
accessed March 2006参照）であり，図２Ｂに示すような処理手順により行われる。
【００４６】
無線ＬＡＮアクセスポイント１０１からＰＣにＩＤを要求し，ＰＣから送られるＩＤをそのまま認証サーバ１０３に通知する（処理工程Ｐ１−１）。
【００４７】
認証サーバ１０３は，ＴＬＳ開始通知を送り，これに対するＰＣからの応答を受け（処理工程Ｐ１−２），サーバ証明書と，クライアント証明書の交換を行う（処理工程Ｐ１−３）。さらに，認証サーバ１０３からＰＣに暗号スペックの通知を行う（処理工程Ｐ１−４）。これにより，ＴＬＳの認証が完了する。
【００４８】
ここで，従来のＥＡＰ-ＴＬＳでは，ＴＬＳの認証が完了するとＥＡＰの層でも認証完了としてメッセージを返し，ＰＣのアクセスを許可する。
【００４９】
これに対し，本発明では，図２Ａに戻り説明すると，ＥＡＰは接続を許可するメッセージ（ＥＡＰ Success）を送らず，ＥＡＰ Responseを送信する（処理工程Ｐ２）。
【００５０】
ＴＬＳの層では，ＴＬＳ Application Protocolパケットを送受信する。ＴＬＳの上でＨＴＴＰの通信を行う。これにより，ＰＣと認証サーバ１０３との間で暗号化したデータ通信を行うことができる。
【００５１】
このＴＬＳの接続の上で，ＰＣはＨＴＴＰクライアントとなり（ＨＴＴＰ over ＴＬＳ），認証サーバ１０３をＨＴＴＰプロキシとして扱う。
【００５２】
ＰＣは，図５Ａに示す様なＨＴＴＰ POST（送信）メッセージでＰＣのセキュリティプログラムのパッチ（差分）適用状態，ウィルス定義ファイルバージョン（日付）などを記述したファイルを，無線ＬＡＮアクセスポイント１０１に送り（処理工程Ｐ２），無線ＬＡＮアクセスポイント１０１は，これを認証サーバ１０３に送付する（処理工程Ｐ２，Ｐ３）。図５Ａにおいて，ＨＴＴＰ POST（送信）メッセージは，ヘッダ部Ｉと本体データ部IIにより構成される。
【００５３】
このときに指定するＵＲＬは，前もってＰＣと認証サーバ１０３で合意したものとする。たとえば，http://quarantine-server/patch-status  等である。
【００５４】
RADIUS認証サーバ１０３は，判定部１０３ａによりＰＣから受け取ったファイルを読み込み（処理工程Ｐ４），サーバ側にあらかじめ用意する最新のパッチリストと比較する（処理工程Ｐ５）。ＰＣを社内ＬＡＮ１００に接続させて問題ないと判断した場合（処理工程Ｐ５，ＮＯ），認証サーバ１０３はＥＡＰ-Successを送り（処理工程Ｐ１１，Ｐ１２），ＰＣのネットワークへの接続（処理工程Ｐ１３）を許可する。
【００５５】
一方，処理工程Ｐ５において，重要なパッチが適用されていないとき（処理工程Ｐ５，ＹＥＳ）は，無線ＬＡＮアクセスポイント１０１を介してＰＣにアップデートを指示する（処理工程Ｐ６，Ｐ７）。
【００５６】
ＨＴＴＰ POST（送信）に対するレスポンスの図５Ｂに示すメッセージのボディＩＩにアップデートが必要であること，及び適用すべきパッチの一覧を出力する。これらは，ＴＬＳトンネル即ち，暗号化パケットとしてＰＣに返送される。
【００５７】
アップデートを指示されたＰＣは，ＨＴＴＰを使って必要なパッチをダウンロードし，パッチを適用する（処理工程Ｐ８）。  
【００５８】
このとき，認証サーバ１０３は，データ提供部１０３ｂによりＨＴＴＰプロキシとして，アップデートのためのWebサイト１１０にアクセスし，パッチをダウンロードする。さらに，ＰＣがアップデートを目的としたWebアクセス以外を行わないように，このプロキシ機能には，アップデート用Webサーバ以外へのアクセスを禁止するアクセス制御を行う。
【００５９】
ついで，ＰＣからパッチの適用を完了したというメッセージを，無線ＬＡＮアクセスポイント１０１を介して，認証サーバ１０３に送る（処理工程Ｐ９，Ｐ１０）。これに対して，認証サーバ１０３から無線ＬＡＮアクセスポイント１０１を介して，ＥＡＰ Successメッセージを送り，ＰＣのネットワーク接続を許可する（処理工程Ｐ１１，Ｐ１２）。
【００６０】
これにより，以降ＰＣは，Webサーバ１０２との通信が可能となる。
【００６１】
なお、上記説明では認証サーバ１０３がＨＴＴＰプロキシとして動作する例を示したが、ＨＴＴＰ以外のプロトコル（例えばＦＴＰ：File Transfer Protocol等）によりパッチをダウンロードするように適宜変更することも可能であることは明らかである。
【００６２】
（付記１）
クライアントおよびＬＡＮ間の通信を中継するアクセスポイントと，
前記アクセスポイントを介して前記クライアントのアクセス認証を行う認証サーバとを有し，
前記認証サーバは
前記アクセスポイントを介して前記ＬＡＮと通信しようとするクライアントにおけるセキュリティプログラムの適用状態を判定し、判定結果を前記クライアントに通知する判定部と，
前記判定結果と、前記クライアントの要求とに応じ、前記適用状態の更新に必要なデータを前記クライアントへ提供するデータ提供部と，を具備する
ことを特徴とするネットワークシステム。
【００６３】
（付記２）
付記１において，
前記適用状態の判定に先だって，ＥＡＰ(Extensible Authentication Protocol)-ＴＬＳ(Transfer Layer Security）に基づく前記クライアントのアクセス認証を行うことを特徴とするネットワークシステム。
【００６４】
（付記３）
付記１において，
前記認証サーバは，前記クライアントから受信したセキュリティプログラムのパッチ状態と，最新のパッチリストと比較して，アップデートの必要な更新データの所在を，ＴＬＳ暗号化を用いて前記クライアントに通知することを特徴とするネットワークシステム。
【００６５】
（付記４）
付記３において，
前記クライアントから完了のメッセージ通知を受けた時，前記認証サーバが，前記クライアントにネットワークアクセス許可のパケットを送信することを特徴とするネットワークシステム。
【００６６】
（付記５）
ＬＡＮ内に配置され，クライアントのネットワーク接続の際に認証を行う認証サーバであって，
ＬＡＮアクセスポイントを介して前記ＬＡＮに接続されるＬＡＮ機能を持つクライアントのセキュリティプログラムのパッチ適用状態を判定し，
プロキシサーバとして，アップデートに必要なデータをアップデートサイトからダウンロードして，前記クライアントのセキュリティプログラムのアップデートを行う
ことを特徴とする認証サーバ。
【００６７】
（付記６）
無線ＬＡＮ内に，
無線ＬＡＮアクセスポイントを有し，
無線ＬＡＮアクセスポイントが接続するＬＡＮに，認証サーバを有し，
前記認証サーバにより，前記アクセスポイントを介して前記ＬＡＮに接続される無線ＬＡＮ機能を持つクライアントのプログラムのパッチ適用状態を判定し，
前記認証サーバが，クライアントのプロキシとして，アップデートに必要なデータをアップデートサイトからダウンロードして，前記クライアントのセキュリティプログラムのアップデートを行う
ことを特徴とするネットワークシステム。
【００６８】
（付記７）
付記６において，
前記無線ＬＡＮ機能を持つクライアントのプログラム のパッチ適用状態の判定に先だって，ＥＡＰ(Extensible Authentication Protocol)-ＴＬＳ(Transfer Layer Security）に基づく前記クライアントのアクセス認証を行うことを特徴とするネットワークシステム。
【００６９】
（付記８）
付記６において，
前記認証サーバは，前記クライアントから受信したセキュリティプログラムのパッチ状態と，最新のパッチリストと比較して，アップデートの必要な更新データの所在を，ＴＬＳ暗号化を用いて前記クライアントに通知することを特徴とするネットワークシステム。
【００７０】
（付記９）
付記８において，
前記クライアントから完了のメッセージ通知を受けた時，前記認証サーバが，前記クライアントにネットワークアクセス許可のパケットを送信することを特徴とするネットワークシステム。
【００７１】
（付記１０）
無線ＬＡＮ内に配置され，クライアントのネットワーク接続の際に認証を行う認証サーバであって，
無線ＬＡＮアクセスポイントを介して前記無線ＬＡＮに接続される無線ＬＡＮ機能を持つクライアントのセキュリティプログラムのパッチ適用状態を判定し，
プロキシサーバとして，アップデートに必要なデータをアップデートサイトからダウンロードして，前記クライアントのセキュリティプログラムのアップデートを行う
ことを特徴とする認証サーバ。
【図面の簡単な説明】
【００７２】
【図１】本発明の実施の形態例を示す図であり，企業内ＬＡＮ１００を想定する図である。
【図２Ａ】図１のシステムに対する本発明の適用例における動作シーケンスである。
【図２Ｂ】図２Ａの動作シーケンスにおけるＥＡＰ-ＴＬＳの認証処理（処理工程Ｐ１）の詳細フローである。
【図３】図２Ａ，図２Ｂに対応するＰＣの動作フローである。
【図４】図２Ａ，図２Ｂに対応する認証サーバの動作フローである。
【図５Ａ】ＨＴＴＰ POST（送信）メッセージの例を示す図である。
【図５Ｂ】ＨＴＴＰ POST（送信）に対するレスポンスの例を示す図である。
【符号の説明】
【００７３】
１００  社内ＬＡＮ
１０１  無線アクセスポイント
１０２  Web サーバ
１０３  認証サーバ
１１０  Webサイト
ＰＣ  クライアントコンピュータ
【図１】
2007257507.tif 000003
【図２Ａ】
2007257507.tif 000004
【図２Ｂ】
2007257507.tif 000005
【図３】
2007257507.tif 000006
【図４】
2007257507.tif 000007
【図５Ａ】
2007257507.tif 000008
【図５Ｂ】
2007257507.tif 000009