(57)【要約】【課題】ネットワーク機器の認証において、異なる認証方式を備えたネットワーク機器に対しても認証可能とする。【解決手段】ネットワーク機器１、２、３のネットワークへのアクセス時の認証ならびに通信相手の認証において、マルチ認証機能スイッチ１０の認証方式判定手段１２と代理認証手段１６等を利用する。認証方式判定手段１２は、認証方式判定情報保持手段１３の情報を利用して認証方式の適切性判定を行うとともに、認証情報表現変換手段１４を利用して認証情報表現を変換することにより、統一的なマルチ認証機能を実現する。代理認証手段１６は、認証履歴保持手段１５の認証履歴情報を利用して通信相手を代理認証するとともに代理認証拡張手段１７内のディジタル署名判定や証明書情報取得に関する機能を利用して代理認証を実現する。【選択図】図３
2007267315.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークへのアクセスのためのネットワーク機器の認証に際して、前記ネットワーク機器からの認証要求に応じて認証サーバと連携しながら前記ネットワーク機器を認証するためのスイッチにおいて、
前記ネットワーク機器からの認証情報を含む認証要求について、認証対象が認証要求元の前記ネットワーク機器か否かを判別する認証対象判定手段と、
予め定められた基準認証方式及び許容される認証方式を示す認証方式情報を保持し、及び、前記ネットワーク機器の識別子と認証方式とを含む認証状態を保持するための認証方式判定情報保持手段と、
上記認証方式判定情報保持手段を参照し、該認証要求により要求される認証方式が基準認証方式か否かを判定し、及び、基準認証方式と異なる認証方式に対して、許容される認証方式かを判定し、認証情報変換要求を出力する認証方式判定手段と、
前記認証方式判定手段からの認証情報変換要求に従い、入力された認証情報を基準認証方式の認証情報に変換し、前記認証サーバに出力する認証情報表現変換手段と
を備えたマルチ認証機能スイッチ装置。
【請求項２】
前記認証情報表現変換手段は、さらに
前記認証サーバから、基準認証方式の認証結果を受信し、
該認証結果を、前記ネットワーク機器から要求された認証方式に変換して、前記ネットワーク機器に出力する請求項１に記載のマルチ認証機能スイッチ装置。
【請求項３】
前記ネットワーク機器の認証処理の履歴情報を保持する認証履歴保持手段と、
前記ネットワーク機器の通信相手の認証のための認証要求に対して、前記認証履歴保持手段内の履歴情報を利用して、通信相手を認証する代理認証手段と
をさらに備えた請求項１のマルチ認証機能スイッチ装置。
【請求項４】
前記認証履歴保持手段は、前記通信相手の再認証の履歴情報をさらに保持し、
前記代理認証手段は、前記認証履歴保持手段内の再認証の履歴情報を利用して、再度、通信相手を認証する請求項３に記載のマルチ認証機能スイッチ装置。
【請求項５】
前記認証対象判定手段は、認証要求に含まれる認証対象情報に従い、認証要求元の前記ネットワーク機器の認証要求か、又は、通信相手の認証のための認証要求かを判定する請求項３又は４に記載のマルチ認証機能スイッチ装置。
【請求項６】
公開鍵を含む又は公開鍵と証明書廃棄リストとを含む証明書関連情報を利用して、ディジタル署名の適切性を判定するディジタル署名判定手段
をさらに備え、
前記ディジタル署名判定手段が、前記代理認証手段からの認証情報に含まれるディジタル署名の適切性を判定する請求項３乃至５のいずれかに記載のマルチ認証機能スイッチ装置。
【請求項７】
公開鍵を含む又は公開鍵と証明書廃棄リストとを含む証明書関連情報を利用してディジタル署名の適切性を判定するディジタル署名判定手段と、
前記証明書関連情報をネットワークを介して取得する証明書関連情報取得手段とをさらに備え、
前記ディジタル署名判定手段は、前記証明書関連情報取得手段が取得した証明書関連情報を利用して、認証情報に含まれるディジタル署名の適切性を判定する請求項３乃至５のいずれかに記載のマルチ認証機能スイッチ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マルチ認証機能スイッチ装置に係り、特に、ネットワーク（ＮＷ）を介して接続するネットワーク機器において、異なる認証方式を有するＮＷ機器のＮＷアクセス要求に対して、認証情報変換機能を利用して認証可能にするマルチ認証機能、及び／又は、ＮＷ機器間の認証を代理する代理認証機能を有するマルチ認証機能スイッチ装置に関する。
【背景技術】
【０００２】
近年ネットワークやインターネットの普及に伴い、多くの領域で種々のネットワーク機器利用が進んでいる。それにともない、サービスを提供しているイントラネットワークなどのネットワークに対して、不適切な通信や不正な通信機器の利用やそれに伴うＮＷの不正利用やサービス妨害、情報破壊などの課題が増加している。このＮＷの安全性の課題に対処するため、ＮＷ機器を接続する際に不正ネットワーク機器のアクセスを禁止するための仕組みとして、ネットワーク機器認証手段が開発され利用されている。その中で、ＮＷ機器が直接的に接続もしくは間接的に接続するスイッチを認証の中心とする方式、すなわち、ＲＡＤＩＵＳに代表される認証サーバと連携しつつ、スイッチがＮＷ機器を認証する方式が安全な方式として注目され利用されてきている。
【非特許文献１】ＲＦＣ４１２０、「Ｔｈｅ  Ｋｅｒｂｅｒｏｓ  Ｎｅｔｗｏｒｋ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｓｅｒｖｉｃｅ  （Ｖ５）」、ケルベロスシステム、２００５年７月
【非特許文献２】ＲＦＣ３６４７、「Ｉｎｔｅｒｎｅｔ  Ｘ．５０９  Ｐｕｂｌｉｃ  Ｋｅｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ  Ｃｅｒｔｉｆｉｃａｔｅ  Ｐｏｌｉｃｙ  ａｎｄ  Ｃｅｒｔｉｆｉｃａｔｉｏｎ  Ｐｒａｃｔｉｃｅｓ  Ｆｒａｍｅｗｏｒｋ」、ＰＫＩシステム、２００３年１１月
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ＮＷに接続するＮＷ機器は、その機能や製造時期によって異なる認証方式にのみ対応可能なものがある。また、認証のための機能追加ソフトのインストールが必要となる場合もある。このため、ＮＷ接続時の認証に際しては、接続対象の全ＮＷ機器の認証方式と対応をとる必要が生じている。また、スイッチを介して認証する方式が知られている。
【０００４】
例えば、ＩＥＥＥ８０２．１ｘ認証方式に対応したスイッチがある。また、例えば、ＩＥＥＥ８０２．１ｘとともにＷＥＢ認証（ｈｔｔｐ／ｈｔｔｐｓ）方式にも対応したスイッチがある。これらのスイッチでは、ＮＷ機器の認証機能に応じて複数の認証方式に対応しているものもある。しかしながら、これらの例では各ＮＷ機器の認証方式は事前に確定しておく必要があった。従って、対象ＮＷのポリシー変更や各ＮＷ機器の機能変更に伴って認証方式を変更する場合には、機器ごとに個別に対処・設定変更する必要があった。また、複数の認証機能を有していた場合の方式選択についても、機器個別に設定するか固定的に一方式が選択される制約が存在した。
【０００５】
ＮＷ機器間の認証に関しては、一般的に、各ＮＷ機器が通信相手機器の認証情報を相互に保持して利用する方式が知られている。しかし、この方式では、保持すべき情報数が組み合わせ的に増加すること、全ネットワーク機器に全ての認証方式への対応が求められることになり、少数の固定機器間の相互認証を除いては、実現が困難である。他方、第３者による認証に基づく方式として、各機器に認証権限を付与する非特許文献１のケルベロスシステムやＣＡ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ  Ａｕｔｈｏｒｉｔｙ、認証局）発行の証明書を利用する非特許文献２のＰＫＩ（Ｐｕｂｌｉｃ  Ｋｅｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ、公開鍵暗号基盤）システムなどの仕組みが知られている。
【０００６】
これらの仕組みを利用すれば機器間認証は可能である。しかし、前提として、スイッチとは別個にケルベロスサーバやＣＡなどのサーバを構築し管理する必要があるほか、各ＮＷ機器が対応する認証情報を取得して利用する機能を有することが必要であった。
【０００７】
本発明は、以上の点に鑑み、ネットワーク機器の認証において、異なる認証方式を備えたネットワーク機器に対しても認証可能な認証機能スイッチ装置を提供することを目的とする。更に、本発明は、ネットワーク機器間の通信において、通信相手が不正なネットワーク装置でないと判定することを目的のひとつとする。即ち、本発明は、通信相手のネットワーク装置が認証可能であると判定する代理認証可能な装置を提供することを目的のひとつとする。また、本発明は、ネットワーク機器のネットワークアクセスや通信に際してのセキュリティ機能の向上とともに、システムの簡素化や運用の効率化を実現することを目的のひとつとする。
【０００８】
本発明は、ＮＷアクセス時の認証に関しては、スイッチがＮＷ機器に依存した複数の認証方式に対応するとともに、各ネットワークのポリシーに応じて適切な認証方式を選択することを目的のひとつとする。これによりＮＷ機器の個別設定の運用工数が減少するとともに、ポリシー中心に統合的な管理ができることになり、例外処理や個別処理によるセキュリティホール発生を回避可能となってセキュリティ向上に貢献することを目的のひとつとする。
【０００９】
また、本発明は、代理認証機能によって、全通信相手の認証情報を所有していなくても、また、ＰＫＩのような認証の仕組みを有していなくても、通信相手のネットワーク機器の認証が可能となり、通信の安全性を高めることを目的のひとつとする。また、本発明は、事後認証情報の利用やディジタル署名・証明書の利用により、より一層、安全性や信頼性を高めることを目的のひとつとする。
【課題を解決するための手段】
【００１０】
上記目的を達成するために、本発明のマルチ認証機能スイッチ装置および方法は、
認証対象が認証要求元のユーザ（ネットワーク機器）か否かを判別する認証対象判定手段と、認証方式が後述するＩＥＥＥ８０２．１ｘ準拠などの基準認証方式による方式か否かを判定するとともに基準認証方式と異なる認証方式に対して、許容される方式か否かを判定する認証方式判定手段と、上記認証方式判定手段からの可否判定要求に回答するための認証方式情報を保持するとともにＮＷ機器のＩＤや認証方式等の認証状態を格納可能な認証方式判定情報保持手段と、上記認証方式判定手段からの認証情報変換要求に従い入力認証情報をＲＡＤＩＵＳ上のＥＡＰパケットなどの基準認証方式に変換する認証情報表現変換手段を有している。
したがって、本発明によれば、複数の異なる認証方式をもつＮＷ機器のネットワークアクセス時の認証に関して、統一的かつ選択的な認証が実現可能となる。
【００１１】
また、前記マルチ認証機能スイッチ装置および方法は、ネットワークワーク機器認証処理の履歴を保持する認証履歴保持手段と、ネットワーク機器の通信相手の認証を目的とした代理認証要求に対して認証履歴保持手段内の履歴情報を利用して認証する代理認証手段を有している。
【００１２】
したがって、ネットワーク装置が通信相手のネットワーク装置の認証を当該スイッチに対して要求し、代理認証結果を入手可能となる。これによりネットワーク機器自身が通信相手機器の認証情報を持たない場合でも通信相手機器の適切性を確認できる。
【００１３】
また、前記マルチ認証機能スイッチ装置および方法は、上述の代理認証に加えて前記認証履歴保持手段内の再認証の情報を利用して代理認証する代理認証手段を有している。
したがって、前記認証情報より新規かつ信頼性の高い情報に基づいて、通信相手機器を認証可能となる。
【００１４】
また、前記マルチ認証機能スイッチ装置および方法は、証明書に含まれる公開鍵やＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ  Ｒｅｖｏｃａｔｉｏｎ  Ｌｉｓｔ、証明書廃棄リスト）などの証明書関連情報を利用してディジタル署名の適切性を判定するディジタル署名判定手段と、前記ディジタル署名判定手段を利用して前記代理認証手段からのディジタル署名に対する認証情報としての適切性を判定可能な前記代理認証判定手段を有している。
【００１５】
したがって、通信相手の機器が認証情報としてディジタル署名と証明書を送信してきた場合に、受信機器側にディジタル署名の適切さ判定機能を持たない場合であっても、スイッチを検証の代理とすることで、ディジタル署名を利用した通信相手の認証が可能となる。
【００１６】
また、前記マルチ認証機能スイッチ装置および方法は、証明書に含まれる公開鍵やＣＲＬ（証明書廃棄リスト）などの証明書関連情報を利用してディジタル署名の適切性を判定するディジタル署名判定手段と、前記証明書関連情報を前記ネットワーク手段を介してＣＡなどのネットワーク装置から取得可能な証明書関連情報取得手段と、前記証明書関連情報取得手段が取得した証明書関連情報を利用してディジタル署名の適切性を判定可能な前記証明書判定手段を有している。
したがって、最新のより信頼性の高い証明書関連情報を利用することが可能になり、より確実に通信相手機器の適切性確認ができる。
【００１７】
また、本発明の解決手段によると、
ネットワークへのアクセスのためのネットワーク機器の認証に際して、前記ネットワーク機器からの認証要求に応じて認証サーバと連携しながら前記ネットワーク機器を認証するためのスイッチにおいて、
前記ネットワーク機器からの認証情報を含む認証要求について、認証対象が認証要求元の前記ネットワーク機器か否かを判別する認証対象判定手段と、
予め定められた基準認証方式及び許容される認証方式を示す認証方式情報を保持し、及び、前記ネットワーク機器の識別子と認証方式とを含む認証状態を保持するための認証方式判定情報保持手段と、
上記認証方式判定情報保持手段を参照し、該認証要求により要求される認証方式が基準認証方式か否かを判定し、及び、基準認証方式と異なる認証方式に対して、許容される認証方式かを判定し、認証情報変換要求を出力する認証方式判定手段と、
前記認証方式判定手段からの認証情報変換要求に従い、入力された認証情報を基準認証方式の認証情報に変換し、前記認証サーバに出力する認証情報表現変換手段と
を備えたマルチ認証機能スイッチ装置が提供される。
【発明の効果】
【００１８】
本発明によると、ネットワーク機器の認証において、異なる認証方式を備えたネットワーク機器に対しても認証可能な認証機能スイッチ装置を提供することができる。更に、本発明によると、ネットワーク機器間の通信において、通信相手が不正なネットワーク装置でないと判定することができる。即ち、本発明によると、通信相手のネットワーク装置が認証可能であると判定する代理認証可能な装置を提供することができる。本発明によると、ネットワーク機器のネットワークアクセスや通信に際してのセキュリティ機能の向上とともに、システムの簡素化や運用の効率化も実現できる。
【００１９】
本発明によると、ＮＷアクセス時の認証に関しては、スイッチがＮＷ機器に依存した複数の認証方式に対応するとともに、各ネットワークのポリシーに応じて適切な認証方式を選択することが可能となる。これによりＮＷ機器の個別設定の運用工数が減少するとともに、ポリシー中心に統合的な管理ができることになり、例外処理や個別処理によるセキュリティホール発生を回避可能となってセキュリティ向上に貢献できる。
【００２０】
また、本発明によると、代理認証機能によって、全通信相手の認証情報を所有していなくても、また、ＰＫＩのような認証の仕組みを有していなくても、通信相手のネットワーク機器の認証が可能となり、通信の安全性が高まる。また、本発明によると、事後認証情報の利用やディジタル署名・証明書の利用により、より一層、安全性や信頼性を高めることが可能となる。
【発明を実施するための最良の形態】
【００２１】
本実施の形態について、図面を参照して詳細に説明する。
（ハード構成）
図１は、本実施の形態に関するマルチ認証機能スイッチを有するネットワークシステムの全体構成を示す図である。
ネットワークシステムは、例えば、ＮＷ機器１、２、３と、認証サーバ４と、検疫サーバ５と、マルチ認証機能スイッチ１０とを備える。また、Ｌ２スイッチ６等の中継装置をさらに備えてもよい。
【００２２】
マルチ認証機能スイッチ１０は、スイッチに直接接続するネットワーク機器１やＬ２スイッチ６を介して接続するネットワーク機器２やネットワーク機器３からのネットワークアクセスを目的とした認証要求に対して、認証サーバ４や検疫サーバ５と連携しながら認証や接続処理をする。なお、検疫サーバ５は省略してもよい。
【００２３】
図２は、図１のマルチ認証機能スイッチ１０のハードウェア概略構成を示した図である。マルチ認証機能スイッチ１０は、外部ネットワークからの入出力に対応するＩ／Ｏ装置７、各種判定処理用の情報を保持・格納するメモリ装置８、認証方式の判定や変換、代理認証処理などを行うＣＰＵ装置９を有する。
【００２４】
図３は、図１のマルチ認証機能スイッチ１０の構成を示すブロック図である。マルチ認証機能スイッチ１０は、ネットワーク機器１、２、３からマルチ認証機能スイッチ１０への認証要求に対して、認証要求を解釈するとともに、認証サーバ４等と連携してＮＷ機器１、２、３の認証結果を要求元のＮＷ機器１、２、３に返す。
【００２５】
マルチ認証機能スイッチ１０は、認証対象判定手段１１と、認証方式判定手段１２と、認証方式判定情報保持手段１３と、認証情報表現変換手段１４と、認証履歴保持手段１５と、代理認証手段１６と、代理認証拡張手段１７とを有する。なお、これらの各手段での処理は、図２のＣＰＵ９で実行されることができる。また、各手段の情報は、メモリ８に記憶されることができる。
【００２６】
ＮＷ機器からの認証要求に対して認証対象判定手段１１において、その要求が認証元のＮＷ機器に関するものかそれとも通信相手機器に対する代理認証であるかを判定する。要求元の認証と判定した場合は、認証方式判定手段１２がその認証方式は基準認証方式であるか否かを判定する。この基準認証方式は認証方式判定情報保持手段１３が保有しているが、一例としてＩＥＥＥ８０２．１ｘとする。基準認証方式と異なる場合は、認証方式判定手段１２は、上述の認証方式判定情報保持手段１３を利用してその認証方式が許容されるか否かを確認する。許容される場合は、認証情報表現変換手段１４を介して表現を変換し、その変換結果を認証サーバ４に問い合わせる。
【００２７】
認証サーバ４からの認証結果に対しては、認証方式判定情報保持手段１３の情報や認証情報表現変換手段１４を利用して表現を逆変換し、その結果を要求元のネットワーク機器１、２、３に返す。なお、認証方式判定情報保持手段１３の情報に基づき、認証要求が満足されない場合は、スイッチ１０から再認証を要求することができる。この要求元ＮＷ機器のマルチ認証については、以下に図４〜図１４のフローに沿って詳細を説明する。
【００２８】
一方、認証対象判定手段１１の判定結果が、通信相手機器に対する代理認証要求と判定した場合は、代理認証手段１６により通信相手先の認証をスイッチ１０が代理して行う。その前提として、スイッチ１０による認証処理の履歴を認証履歴保持手段１５に保持しておく。認証履歴は、処理後特定時間のみ有効とし、それ以前については廃棄することができる。また、認証履歴の保持形態については、ログテキストの形態でもよいが、機器ＩＤ（ＭＡＣアドレス、ＩＰアドレス）に基づいてソートやマージなどの処理をして構造化することにより認証の効率化や高速化が実現できる。代理認証手段１６は認証履歴保持手段１５が保有する履歴情報を利用するが、要求時前履歴とともに時後の再認証要求履歴情報もあわせて利用可能とする。例えば、ＩＥＥＥ８０２．１ｘ認証方式のように一定時間間隔でＮＷ機器の接続を確認する再認証機能を有している。更に、代理認証拡張手段１７により、ディジタル署名つきデータに対して、新規証明書の取得と利用可能性もあわせて、代理認証を行うこともできる。この代理認証の仕組みについては、後述する図１５〜図２０のフローチャートや構成図に沿って詳細に説明する。
【００２９】
（データ構成例）
図９は、認証方式判定情報保持手段１３が保有し、また、認証処理時に格納する情報の形式を示すブロック図である。
認証方式判定情報保持手段１３は、認証方式保持手段１３０と、認証状態格納手段１３１とを有する。認証方式保持手段１３０は、接続対象となるＮＷ機器の認証ＩＤを縦軸とし、各認証ＩＤに対応して基準認証方式、ならびに、許容される認証方式を横軸に記載する。各ユーザの認証ＩＤ毎に可能な認証方式を定義可能となる。基準認証方式は前述したように一例としてＩＥＥＥ８０２．１ｘとする。許容される認証方式としては、ＩＥＥＥ８０２．１ｘの他に、例えば、ｈｔｔｐ／ｈｔｔｐｓベースのＷＥＢ認証方式やＭＡＣアドレスのみを確認する方式などがある。これらの方式のうち、各ユーザで許容される認証方式を優先度とあわせて記載する。
【００３０】
例では、認証ＩＤ−１に対して、基準認証方式はＩＥＥＥ８０２．１ｘであり、許容される認証方式はＩＥＥＥ８０２．１ｘ  とＷＥＢ認証方式であり、優先度はＩＥＥＥ８０２．１ｘ  が１番でＷＥＢ認証方式が次の順である。また、ＭＡＣアドレスのみでは許容されないとなる。これを利用すれば、たとえば認証ＩＤ−１に対して、ＭＡＣアドレスのみで認証要求があった時は、そのままのアクセスは拒否するとともに、ＩＥＥＥ８０２．１ｘ、ＷＥＢ認証の順に認証を試みて接続可能性を確認できる。また、優先度により複数の認証方式が可能な場合にはより適切な方式を選択することが可能となる。なお、特定のＮＷ機器などを対象とした例外に対しては、追加条件として記載する。
認証処理時に、ネットワーク機器を縦軸とし、機器ＩＤ、認証方式、アクセスポートを横軸とした認証状態格納手段１３１を作成する。
【００３１】
例では、ネットワーク機器１に対してＭＡＣアドレスがＭＡＣアドレス１、認証方式として８０２．１ｘ（ＭＤ５）、  アクセスポートがポート１と記載される。これにより機器からの認証要求時の方式が８０２．１ｘと分かり、認証サーバ４から応答に際しては認証表現の逆変換が不要なことが判明する。また、認証方式を格納することで、再認証に異なる方式を要求することを回避することもできる。
【００３２】
また、ネットワーク機器２の例では、ＭＡＣアドレスがＭＡＣアドレス２、認証方式としてＷＥＢ認証、  アクセスポートがポート２と記載される。これにより機器からの認証要求時の方式がＷＥＢ認証と分かり、認証方式保持手段１３０から基準認証方式ＩＥＥＥ８０２．１ｘとは異なることが判明する。従って、これらの情報を利用して、後述するステップＡ４の表現変換ではＷＥＢ認証からＩＥＥＥ８０２．１ｘへの変換を、また、後述するステップＡ８の表現逆変換ではＩＥＥＥ８０２．１ｘ  からＷＥＢ認証への逆変換を実施する。また、ＷＥＢ認証で対応しているので、ＩＥＥＥ８０２．１ｘの再認証処理は不必要なことも判定できる。
【００３３】
（全体フローチャート）
図７は、本方式の中で、要求元のＮＷ機器認証処理を中心とする基本的なフローチャートである。なお、各ステップの処理については、後に、より詳細に説明する。
認証対象判定手段１１は、受信された認証要求プロトコルは何かを判定する（ステップＡ０）。認証対象判定手段１１において認証対象がＮＷ機器自身か否か（代理認証要求か）を判定（ステップＡ１）する。判定に利用する情報は図１６の説明にて後述する。ＮＷ機器自身でない場合は代理認証処理（ステップＡ１０）をする。代理認証処理については、後に図１５〜図２０を参照して詳述する。
【００３４】
ＮＷ機器自身の認証と判定したときは、認証方式判定手段１２が、認証方式が基準認証方式か否かを判定（ステップＡ２）する。このときに、例えば、図９の情報を利用する。基準認証方式は前述したように、一例としてＩＥＥＥ８０２．１ｘとする。基準認証方式の場合はそのまま認証サーバへの問い合わせ処理（ステップＡ５）へ進む。基準認証方式でない場合は、図９で説明する情報を利用して許容される認証方式か否かを判定（ステップＡ３）する。許容されない場合は、同図９の優先度情報を利用して、他の認証方式による認証要求（ステップＡ１１）をする。または、ＮＷ機器１、２、３に認証失敗を通知する。許容されるときは、認証情報表現変換手段１４は、認証基準方式の認証情報表現に変換（ステップＡ４）し、認証サーバへの問い合わせを行う（ステップＡ５）。
【００３５】
図８は、図７の認証サーバへの問い合わせ（ステップＡ５）に対する認証サーバ４からの応答を受信した機器（ステップＡ６）への対応処理のフローチャートである。応答に対して、認証方式判定情報保持手段１３は、認証要求が基準認証方式であったか否かを判定（ステップＡ８）する。その際には、例えば、図９の情報を利用する。基準方式であった場合は、そのまま要求元のＮＷ機器１、２、３へ応答を返す（ステップＡ９）。基準認証方式でなかったときは、同じく図９の情報を利用して、認証情報の表現を要求時の形式に逆変換し（ステップＡ８）てから、要求元のＮＷ機器１、２、３へ認証応答として返す（ステップＡ９）。なお、上述の図７、図８の処理（認証処理）の履歴を認証履歴保持手段１５に適宜記憶することができる。
【００３６】
（要求元の認証処理）
図４は、図３のＮＷ機器１、２、３からマルチ認証機能スイッチ１０へのパケットが
どの認証方式かを判定するアルゴリズム例である。これは、図７のステップＡ０に相当する。例えば、認証対象判定手段１１は、認証要求パケットを抽出し、８０２．１ｘ認証プロトコルか、ＷＥＢ認証プロトコルであるｈｔｔｐか、あるいはどれでもないデフォールトとしてのＭＡＣ認証かを、プロトコル形式に従って判定する。
【００３７】
図５は、ＮＷ機器１、２、３からマルチ認証機能スイッチ１０へのパケットが８０２．１ｘ認証プロトコルに準拠していた場合の認証要求パケットのデータ例である。８０２．１ｘ認証パケット内のデータの一部にはＲＡＤＩＵＳ属性名と属性値とが記載されている。その中に属性名として認証対象が、また属性値として認証対象機器のアドレスが記されている。これは８０２．１ｘ認証プロトコル形式で、認証対象の機器のアドレスを指定した認証要求データ例である。認証対象は、例えば、要求元の認証か、または、通信相手機器の認証かを示す。なお、ＷＥＢ認証パケット、ＭＡＣ認証パケットのフォーマットについても、予め定められたプロトコル形式で記載されており、プロトコル形式に従いどのプロトコルかを判断できる。
【００３８】
図６は、図５のデータ例を含む認証要求パケットに対する認証対象に関する判定を示すフローチャートである。これは、図７のステップＡ０、Ａ１に相当する。認証対象判定手段１１は、パケットが８０２．１ｘプロトコルによる認証要求かを判定し（ステップＡＣ１）、ＷＥＢ認証要求などの異なるプロトコルであれば自身（送信元）の認証と判定する（ステップＡＣ３）。認証対象判定手段１１は、８０２．１ｘプロトコルであった場合、図５に示したデータ内容の属性名が存在し、その内容（属性値）が送信元と異なるアドレスか否かを判別する（ステップＡＣ２）。認証対象判定手段１１は、異なるアドレスが記載されていた場合に、そのアドレスの機器を認証対象とする（ステップＡＣ４）。それ以外の場合は、自身（送信元）の認証と判定する（ステップＡＣ３）。
【００３９】
図１０は、図５のフローチャートと図９のデータを利用し基準認証方式かいなかの判定するアルゴリズムである。これは、図７のステップＡ２に相当する。図９の認証方式保持手段１３０からパケットの認証ＩＤを探索し、認証要求パケットの認証プロトコルが１列目の基準認証方式と一致するか否かで判定する。たとえば、ＩＤ−１の場合は、認証要求が８０２．１ｘであれば基準認証方式であると判定する。
【００４０】
図１３は、図７のステップＡ４の認証情報表現変換を示すフローチャートである。認証情報表現変換手段１４は、認証要求から認証情報（例えば、ＷＥＢ認証では、ｈｔｍｌタグと値）を取り出す（ステップＡ４１）。また、認証情報表現変換手段１４は図９の認証基準方式に従って情報表現変換する（ステップＡ４２）。これにより認証サーバ４に対応した基準認証方式に対応した認証情報表現となる。
【００４１】
図１４は、図８のステップＡ８の認証情報表現逆変換を示すフローチャートである。認証情報表現変換手段１４は、認証サーバ４からの認証基準方式の応答から応答情報を取り出し（ステップＡ８１）、元の形式に表現を逆変換する（ステップＡ８２）。これによりＮＷ機器１、２、３が解釈できる応答表現となる
【００４２】
（処理例）
図１１は、図８のフローチャートと図９のデータを利用した例である。この例では、認証要求パケットの認証ＩＤがＩＤ−１で、認証要求がＷＥＢ認証である場合である。図７のステップＡ２「基準認証方式による認証要求か」について、図９の認証方式保持手段１３０を利用して判定する。認証方式保持手段１３０の１列目をみると基準認証方式が８０２．１ｘであるため、基準認証方式と異なることがわかる。さらに図７のステップＡ３「許容される認証方式か」に対して、図９認証方式保持手段１３０を利用して判定する。ＩＤ−１に対しては優先度２で許容される方式であると分かる。次に図７のステップＡ４「認証情報表現変換」にそって、このＷＥＢ認証情報を８０２、１ｘ（基準方式）に変換する。
【００４３】
図１２では、図７のステップＡ４、あるいは、図１１のステップＡ４’で示した表現変換の例である。ＷＥＢ認証のｈｔｍｌタグと値を、８０２．１ｘ内ＲＡＤＩＵＳの対応する属性名と値に変換する。例では、ユーザ名、パスワード、認証方式がそれぞれ対応する値に変換される。
【００４４】
（代理認証処理）
図１５は、認証履歴を利用した代理認証判定を示す第１のフローチャートである。これは図７のステップＡ１０に相当する。認証履歴保持手段１５には、上述の認証処理の履歴が記憶されていく。例えば、ＮＷ機器１、２、３のＩＤに対応して、ネットワークへの接続、認証結果、切断等の情報が記憶される。
【００４５】
代理認証手段１６は、認証履歴保持手段１５内の認証履歴を検索し、当該ネットワーク機器（認証対象となる通信相手）が存在してネットワークへのアクセスが未切断状態であることを確認する（ステップＡＡ１）。代理認証手段１６は、確認できた場合は、認証成功と判断し、結果と認証時刻とを要求元に返信する（ステップＡＡ２）。代理認証手段１６は、検索が失敗、もしくは、ネットワークアクセスが切断済みの時は、認証失敗と判断し、結果を要求元に返信する（ステップＡＡ３）。これによりスイッチへのアクセス認証情報を、機器の認証情報として利用可能となる。
【００４６】
図１６は、ＮＷ機器が通信相手の代理認証を要求するときの、認証要求情報Ｂ１のフォーマットである。情報は、通常の８０２．１ｘの認証要求情報Ｂ２に加え、代理認証要求と認証対象のＮＷ機器の識別子の情報とを拡張情報Ｂ３として有する。認証対象判定手段１１は、入力情報にこの拡張情報Ｂ３を検出することで、代理認証要求と判別する。
【００４７】
図１７は、過去の認証履歴情報に加えて一定待ち時間後の再認証履歴情報をあわせて利用する代理認証判定を示す第２のフローチャートである。これは、図７のステップＡ１０に相当し、上述の図１５に示す第１のフローチャートに代えて実行されることができる。ここでは、例えばＩＥＥＥ８０２．１ｘ認証方式のように一定時間間隔でＮＷ機器の接続を確認する再認証機能を有していることを前提としている。
【００４８】
代理認証手段１６は、認証履歴保持手段１５内の認証履歴を検索し、当該ネットワーク機器が存在してネットワークへのアクセスが未切断状態であることを確認（ステップＡＡ１）した後、一定待ち時間後の再認証結果の探索（ステップＡＡ４）とその判定（ステップＡＡ５）を行い、成功した場合はその値と時刻を返信する（ステップＡＡ８）。失敗したときは一定時間内の間ポーリング方式などで再認証検索を繰り返す（ステップＡＡ６）。アクセス切断を検出したとき（ステップＡＡ１：ＮＯ）、もしくは一定時間超過した時は（ステップＡＡ６：ＹＥＳ）、事後認証失敗を要求元に返す（ステップＡＡ７）。
【００４９】
これにより、認証要求時前も時後も認証成功の場合に、要求時刻の認証も成功したと解釈可能となる。これにより図１５の場合よりも、一層正確な認証情報をネットワーク機器認証に利用可能となる。例えば、システム設定や機密情報に関連するような重要な通信の認証に関しては、この仕組みが必要である。
【００５０】
図１８は、代理認証拡張手段１７の構成を示すブロック図である。代理認証拡張手段１７は、証明書関連情報取得手段１７１とディジタル署名判定手段１７２とを有する。代理認証に際して、認証履歴とともに、認証機器のディジタル署名情報や証明書情報を利用可能とする仕組みである。代理認証手段１６から代理認証拡張手段１７への要求に対して、ディジタル署名判定手段１７２で情報内のディジタル署名の適切性を判定し、正しい場合に認証する。更に、証明書関連情報取得手段１７１により外部から最新の証明書やＣＲＬを取得して利用することでディジタル署名判定手段１７２による署名の適切性の判定の正しさを向上する。
【００５１】
図１９は、証明書情報を利用した代理認証判定を示す第３のフローチャートである。これは、図７のステップＡ１０に相当し、上述の図１５、図１７に示す第１、第２のフローチャートに代えて実行されることができる。証明書関連情報取得手段１７１により、予め証明書等が取得され、記憶されている。
【００５２】
代理認証手段１６が、代理認証要求受信に従い、ディジタル署名判定手段１７２に署名の判定を行わせる。ディジタル署名判定手段１７２は、ディジタル署名が要求情報内にあり（ステップＡＢ１）、証明書もともにあることを確認し（ステップＡＢ２）、ディジタル署名と証明書内容の適切性を判定して（ステップＡＢ３）、成功（適切である）の場合はその結果を要求元に返信する（ステップＡＢ５）。なお、適切性の判定は、ディジタル署名・証明書の種類や方式、フォーマット等に応じた適宜の手法によることができる。ディジタル署名がない場合や証明書が要求情報内にない場合は、前述図１５（ステップＡＡ１０）もしくは図１７（ステップＡＡ１１）に従って処理する。ディジタル署名が不適切な場合は、認証失敗を要求元に返信する（ステップＡＢ４）。
【００５３】
これにより、ＰＫＩ未対応のネットワーク機器への通信であっても、スイッチ１０がディジタル署名の確認を代理で行うことができるため、ＰＫＩ対応済みネットワーク機器からの通信について認証が可能となる。管理サーバなどの高機能で高性能な機器はＰＫＩ対応なものも多く、ディジタル署名による認証情報送信が可能となる。受信側の機器の機能や性能の制約でこのディジタル署名が確認できない場合が生じるが、本スイッチ装置１０により認証が可能となり、通信内容を信頼して利用可能となる。
【００５４】
図２０は、署名判定のために外部から証明書関連情報を取得する仕組みを利用する証明書情報を利用した代理認証判定を示す第４のフローチャートである。これは、図７のステップＡ１０に相当し、上述の図１５に示す第１のフローチャート等に代えて実行されることができる。
【００５５】
代理認証手段１６が、代理認証要求受信に従い、証明書関連情報取得手段１７１が入手した最新の証明書やＣＲＬを利用して、ディジタル署名判定手段１７２に署名の判定を行わせる。ディジタル署名が要求情報内にあった場合（ステップＡＢ１）、証明書関連情報取得手段１７１がネットワークを介して外部（例えば、ＣＡなどのネットワーク装置）から最新の証明書関連情報を取得する（ステップＡＢ７）。例えば、該当証明書、ＣＲＬ、ＣＡの証明書を取得する。取得された証明書関連情報に基づいてディジタル署名判定手段１７２が要求情報内の署名の適切さを確認する（ステップＡＢ８）。ディジタル署名判定手段１７２は、署名の適切さと証明書内容の適切性を判定し（ステップＡＢ９）、適切と判断したときはその結果を要求元に返信する（ステップＡＢ１１）。ディジタル署名がない場合や証明書がない場合は、前述の図１５（ステップＡＡ１０）もしくは図１７（ステップＡＡ１１）に従って処理する。一方、ディジタル署名判定手段１７２は、署名が不適切な場合は、その結果を要求元に返信する（ステップＡＢ１０）。
【００５６】
これにより最新の証明書関連情報に基づいて、ディジタル署名による認証を代理で行うことができ、機器認証を実現する。特に機密度や影響力の大きい情報については、証明書が更新もしくは廃棄されていないことを確認し、また最新の証明書があればそれに基づいて認証処理をすることで、より一層、安全性・信頼性が高まる。
【産業上の利用可能性】
【００５７】
本発明は、例えば、ネットワーク機器、認証装置、スイッチ、通信システムに関する産業に利用可能である。
【図面の簡単な説明】
【００５８】
【図１】本実施の形態によるマルチ認証機能スイッチの全体構成を示す装置の構成図である。
【図２】図１のマルチ認証機能スイッチのハードウェア構成の概略図である。
【図３】図１のマルチ認証機能スイッチ装置の構成を示すブロック図である。
【図４】図３のＮＷ機器１、２、３からマルチ認証機能スイッチ１０へのパケットがどの認証方式かを判定するアルゴリズム例である。
【図５】図３のＮＷ機器１、２、３からマルチ認証機能スイッチ１０へのパケットが８０２．１ｘ認証プロトコルに準拠していた場合のデータ例である。
【図６】図５のデータ例を含む認証要求パケットに対する認証対象に関する判定を示すフローチャートである。
【図７】図３のマルチ認証機能スイッチによる認証対象判定と認証方式判定ならびに認証情報表現変換を示すフローチャートである。
【図８】図３のマルチ認証機能スイッチによる認証応答情報の表現逆変換を示すフローチャートである。
【図９】図３の認証方式判定情報保持手段１３の認証方式保持情報ならびに認証状態格納情報の構成図である。
【図１０】図８のフローチャートと図６のデータを利用し基準認証方式か否かの判定するアルゴリズムである。
【図１１】図８のフローチャートと図６のデータを利用した例である。
【図１２】図７のステップＡ４、あるいは、図１１のステップＡ４’で示した表現変換の例である。
【図１３】図３の認証情報表現変換手段１４による認証情報表現の変換を示すフローチャートである。
【図１４】図３の認証情報表現変換手段１４による認証情報表現の逆変換を示すフローチャートである。
【図１５】図３の代理認証手段による認証履歴保持手段の認証履歴を利用した代理認証判定を示すフローチャートである。
【図１６】図３の認証対象判定手段において、代理認証要求であると判定するためのパケット情報の構成図である。
【図１７】図３の代理認証手段による認証履歴保持手段の認証履歴利用に際して、再認証による認証履歴情報も併せて利用する代理認証判定を示すフローチャートである。
【図１８】図３代理認証拡張手段の構成を示すブロック図である。
【図１９】図１８のディジタル署名判定手段の証明書情報を利用する代理認証判定を示すフローチャートである。
【図２０】図１８のディジタル署名判定手段と証明書関連情報取得手段をあわせて利用する代理認証判定を示すフローチャートである。
【符号の説明】
【００５９】
１〜３  ＮＷ機器
４  認証サーバ
５  検疫サーバ
６  Ｌ２スイッチ
７  Ｉ／Ｏ装置
８  メモリ装置
９  ＣＰＵ装置
１０  マルチ認証機能スイッチ
１１  認証対象判定手段
１２  認証方式判定手段
１３  認証方式判定情報保持手段
１４  認証情報表現変換手段
１５  認証履歴保持手段
１６  代理認証手段
１７  代理認証拡張手段
１３０  認証方式保持手段
１３１  認証状態格納手段
１７１  証明書関連情報取得手段
１７２  ディジタル署名判定手段
Ｂ１  代理認証要求パケット
Ｂ２  ８０２．１ｘ標準情報
Ｂ３  代理認証要求用拡張情報
【図１】
2007267315.tif 000003
【図２】
2007267315.tif 000004
【図３】
2007267315.tif 000005
【図４】
2007267315.tif 000006
【図５】
2007267315.tif 000007
【図６】
2007267315.tif 000008
【図７】
2007267315.tif 000009
【図８】
2007267315.tif 000010
【図９】
2007267315.tif 000011
【図１０】
2007267315.tif 000012
【図１１】
2007267315.tif 000013
【図１２】
2007267315.tif 000014
【図１３】
2007267315.tif 000015
【図１４】
2007267315.tif 000016
【図１５】
2007267315.tif 000017
【図１６】
2007267315.tif 000018
【図１７】
2007267315.tif 000019
【図１８】
2007267315.tif 000020
【図１９】
2007267315.tif 000021
【図２０】
2007267315.tif 000022