(57)【特許請求の範囲】
【請求項１】
第１のノードと、前記第１のノードに結合された第２のノードとを含む通信ネットワークのためのユーザ認証システムであって、前記システムは、前記第１のノード（１２）へのアクセスを有する個人からバイオメトリックサンプルを受け取り、前記バイオメトリックサンプルに基づいて前記個人の識別を確認し、前記個人の識別が確認されたとき、前記個人と関連するユーザ識別情報をリリースするように構成され、前記ユーザ認証システムは、バイオメトリックシステム（１０）を有し、前記バイオメトリックシステム（１０）は、個人からバイオメトリックサンプルを受け取るための前記第２のノードに配置された入力（３０）と、前記バイオメトリックサンプルに基づいて前記個人の識別を確認する前記入力（３０）に結合された第１のエンジン（３４）と、前記第１のエンジン（３４）に結合された第２のエンジン（３８）とを含み、前記第２のエンジン（３８）は、前記個人の識別が前記第１のエンジン（３４）によって確認された場合にユーザ識別情報をリリースし、前記第１のエンジン（３４）と前記第２のエンジン（３８）はデフォルトの仮想ローカルエリアネットワーク（ＶＬＡＮ）を介して接続された別個のサーバ内にあり、前記バイオメトリックシステム（１０）は、バイオメトリックサンプルを前記別個のサーバに送信するように構成され、前記ユーザ認証システムは、個人が使用するのを認証された１つ又はそれ以上の仮想ローカルエリアネットワークを決定するためにユーザ識別情報を使用するように構成された、ユーザ認証システム。
【請求項２】
ユーザ識別情報に基づいて、１つまたは複数の仮想ローカルエリアネットワーク（ＶＬＡＮ）（１６、１８、２０）に第１のノード（１２）がアクセスすることを第３のノード（１４）が許可することをさらに特徴とする請求項１に記載のユーザ認証システム。
【請求項３】
アクセスが規定されたアクセス期間外に求められた場合、１つまたは複数のＶＬＡＮ（１６、１８、２０）に第１のノードがアクセスするのを第３のノードが拒否することをさらに特徴とする請求項２に記載のユーザ認証システム。
【請求項４】
バイオメトリックサンプルが、個人の生理学的特性である請求項１に記載のユーザ認証システム。
【請求項５】
ユーザ識別情報が、ユーザの名前とパスワードを含む請求項１に記載のユーザ認証システム。
【請求項６】
前記第１のノードが、１つまたは複数の仮想ローカルエリアネットワーク（ＶＬＡＮ）（１６、１８、２０）にアクセスするため、個人によってアクセス可能なホスト（１２）を含み、第３のノードが、前記バイオメトリックシステム(１０)によって生成された前記ユーザ識別情報を受け取りかつ前記ユーザ識別情報に従って前記ホスト(１２)が１つまたは複数のＶＬＡＮ（１６、１８、２０）にアクセスすることを許可するスイッチングノード（１４）とを含む、請求項１に記載のユーザ認証システム。
【請求項７】
スイッチングノード（１４）に結合された認証サーバ（２２）であって、記憶されたユーザデータとユーザ識別情報を比較し、マッチしたときに許可されたＶＬＡＮのリストを検索する認証サーバ（２２）をさらに含む請求項６に記載のユーザ認証システム。
【請求項８】
アクセスが、規定のアクセス期間外に求められた場合、１つまたは複数のＶＬＡＮにホスト（１２）がアクセスすることが拒否される請求項６に記載のユーザ認証システム。
【請求項９】
第１のエンジン（３４）が、記憶されたバイオメトリックデータとバイオメトリックサンプルを比較し、前記比較に基づいて結果を戻す請求項１に記載のユーザ認証システム。
【請求項１０】
結果を表示するための出力（４６）をさらに含む請求項９に記載のユーザ認証システム。
【請求項１１】
通信システムのためのユーザ認証方法であって、
第１のノードにアクセスを有する個人からバイオメトリックサンプルを受け取るステップを有し、前記バイオメトリックサンプルはバイオメトリックシステムにより受け取られ、前記バイオメトリックシステム（１０）は、前記個人からバイオメトリックサンプルを受け取る入力(３０)と、前記バイオメトリックサンプルに基づいて前記個人の識別を確認する前記入力（３０）に結合された第１のエンジン（３４）と、前記第１のエンジン（３４）に結合された第２のエンジン（３８）とを含み、前記第２のエンジン（３８）は、前記個人の識別が、前記第１のエンジン（３４）によって確認された場合にユーザ識別情報をリリースし、前記個人の識別は前記第１のエンジン（３４）により前記バイオメトリックサンプルに基づいて確認され、前記個人の識別が確認された場合に、前記第２のエンジン（３８）によりユーザ識別情報がリリースされ、前記方法は更に、バイオメトリックサンプルを、デフォルトの仮想ローカルエリアネットワーク（ＶＬＡＮ）を介して接続された、前記第１のエンジン（３４）と前記第２のエンジン（３８）を有する、別個のサーバに送信するステップを有し、生成されたユーザ識別情報の送信と個人が使用することを認証される１つ又はそれ以上の仮想ローカルエリアネットワークを決定するために前記ユーザ識別情報を使用することを含む認証プロトコル交換を行うステップとを有する、通信システムのためのユーザ認証方法。
【請求項１２】
ユーザ識別情報に基づいて、第１のノードが１つまたは複数の仮想ローカルエリアネットワーク（ＶＬＡＮ）にアクセスするのを許可するステップをさらに含む請求項１１に記載のユーザ認証方法。
【請求項１３】
アクセスが規定されたアクセス期間外に求められた場合、第１のノードが１つまたは複数のＶＬＡＮにアクセスするのを拒否するステップをさらに含む請求項１２に記載のユーザ認証方法。
【請求項１４】
バイオメトリックサンプルが、個人の生理学的特性である請求項１１に記載のユーザ認証方法。
【請求項１５】
ユーザ識別情報が、ユーザの名前とパスワードを含む請求項１１に記載のユーザ認証方法。
【請求項１６】
記憶されたバイオメトリックデータと前記バイオメトリックサンプルが比較され、記憶されたユーザデータと前記生成されたユーザ識別情報が比較され、前記記憶されたユーザデータに前記ユーザ識別情報がマッチしたのに応答して、許可された仮想ローカルエリアネットワーク（ＶＬＡＮ）のリストが検索され、
前記許可されたＶＬＡＮに前記第１のノードがアクセスするのが許可される、請求項１１に記載のユーザ認証方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、一般に、通信ネットワークのためのユーザ認証スキームに関し、より詳細には、ユーザに関連する物理特性に基づいて仮想ローカルエリアネットワークのユーザを認証することに関する。
【０００２】
【従来の技術】
関連出願の相互参照
本出願は、２００１年３月８日出願の仮出願第６０／２７４１１３号の便益を主張し、該仮出願の内容は、参照により、本明細書に組み込まれる。さらに、本出願は、米国特許第６０７０２４３号に開示された主題に関連する主題、および２００１年４月１８日出願の米国特許第０９／８３８０７６号に開示された主題に関連する主題を含み、両方の該特許の内容は、参照により、本明細書に組み込まれる。
【０００３】
仮想ローカルエリアネットワーク（ＶＬＡＮ）は、物理的場所ではなくポリシーに基づいてサービスを区別するブリッジされたＬＡＮ内の論理サブネットワークである。従来、ＶＬＡＮメンバシップは、端末システムに対して、そのようなシステムのユーザの識別を参照することなく割り当てられる。例えば、ＶＬＡＮメンバシップは、従来、トラフィックを、また推論により、そのトラフィックが、そこから発信されたシステムを１つまたは複数のＶＬＡＮに分類する一組の構成された規則とネットワークトラフィックを比較することによって割り当てられる。
【０００４】
より最近の技術では、トラフィックを送信したユーザの識別が、割当てプロセスにおいて考慮される。この最新技術の下では、端末システムのユーザには、そのユーザが認証された際に個人設定された一組のＶＬＡＮに対するアクセスが与えられる。通常、端末局のユーザは、自らの名前およびパスワードを伝送することにより、その端末局が、そこに物理的に接続されたスイッチングノードとの認証セッションを開始する。端末局には、パーソナルコンピュータ、ワークステーション、またはそれに類するものが含まれうる。スイッチングノードには、スイッチ、ルータ、またはそれに類するものが含まれうる。
【０００５】
ノードが、ユーザの名前およびパスワードを１つまたは複数の認証サーバ内でマッチが見つかるまで探索し、ユーザは、１つまたは複数の許可されたＶＬＡＮにアクセスすることを許可される。マッチが見つからなかった場合、またはログイン試行時にユーザが許可されない場合、ユーザには認証の失敗が通知され、さらなる認証の試行を除いては、アクセスが拒否される。
【０００６】
前述した認証スキームの抱える１つの問題は、このスキームは単に主張された識別を認証または確認するが、ユーザの特性に基づいてそのユーザを識別しようとしないことにある。したがって、有効なユーザの名前とパスワードにアクセスを有する任意の人は、その人が自称するところの本人でなくても、１つまたは複数のＶＬＡＮにアクセスを得ることができる。自らのパスワードを秘密に保持するように予防策をとることが可能であるが、ユーザは、意図せずにそれを開示する可能性があり、または他人が容易に推測できるパスワードを選択する可能性がある。
【０００７】
【発明が解決しようとする課題】
したがって、現行技術において、個人と確実に関連付けることのできる特性に従ったユーザの識別も行う、ＶＬＡＮのためのユーザ認証スキームの必要性が存在する。ユーザ認証スキームは、既存のスイッチングノードに適合して機能すべきであり、そのようなノードの改変または再構成を必要とすべきではない。
【０００８】
【課題を解決するための手段】
一実施形態によれば、本発明は、第１のノード、および第１のノードに結合された第２のノードを含む通信ネットワークのためのユーザ認証システムを対象とする。第２のノードは、個人からバイオメトリックサンプルを受け取り、そのバイオメトリックサンプルに基づいて個人の識別を確認し、個人の識別が確認された後、その個人に関連するユーザ識別情報をリリースする。ユーザ識別情報は、第３のノードとの認証プロトコル交換を行う際に使用するため、第１のノードに伝送される。
【０００９】
別の実施形態によれば、本発明は、１つまたは複数のＶＬＡＮにアクセスするため、個人によってアクセス可能なホストと、個人からバイオメトリックサンプルを受け取るバイオメトリックシステムと、スイッチングノードとを含む通信ネットワークのためのユーザ認証システムを対象とする。バイオメトリックシステムは、バイオメトリックサンプルに基づいて個人の識別を確認し、その個人の識別が確認された場合、ユーザ識別情報をリリースする。スイッチングノードは、バイオメトリックシステムによって生成されたユーザ識別情報を受信し、そのユーザ識別情報に従って１つまたは複数のＶＬＡＮに対するホストアクセスを許可する。
【００１０】
さらなる実施形態では、本発明は、個人からバイオメトリックサンプルを受け取るための入力と、そのバイオメトリックサンプルに基づいて個人の識別を確認するため入力に結合された第１のエンジンと、個人の識別が第１のエンジンによって確認された場合、ユーザ識別情報をリリースするため第１のエンジンに結合された第２のエンジンとを含む、通信ネットワークのためのユーザ認証システムを対象とする。ユーザ識別情報は、個人が、それに対して許可される１つまたは複数の仮想ローカルエリアネットワークを決定するために使用される。
【００１１】
別の実施形態では、本発明は、通信システムのためのユーザ認証方法を対象とする。この方法は、第１のノードにアクセスを有する個人からバイオメトリックサンプルを受け取るステップと、記憶されたバイオメトリックデータとそのバイオメトリックサンプルを比較するステップと、記憶されたバイオメトリックデータとのそのバイオメトリックサンプルがマッチしたのに応答してユーザ識別情報をリリースするステップと、記憶されたユーザデータに対してその生成されたユーザ識別情報を比較するステップと、記憶されたユーザデータとそのユーザ識別情報がマッチしたのに応答して許可される仮想ローカルエリアネットワーク（ＶＬＡＮ）のリストを検索するステップと、その許可されたＶＬＡＮに対する第１のノードのアクセスを許可するステップとを含む。
【００１２】
さらなる実施形態では、本発明は、通信システムのためのユーザ認証方法を対象とする。この方法は、第１のノードにアクセスを有する個人からバイオメトリックサンプルを受け取るステップと、そのバイオメトリックサンプルに基づいてその個人の識別を確認するステップと、その個人の識別が確認された場合、その個人のために選択された１つまたは複数の仮想ローカルエリアネットワーク（ＶＬＡＮ）に対する第１のノードのアクセスを許可するステップとを含む。
【００１３】
したがって、本発明は、ネットワークリソースにアクセスするユーザが、実際に、主張する識別を有する人々であることを確実にするのを助ける。ユーザの識別が確認された後にだけ情報をリリースするノード内にユーザ識別情報を記憶することにより、情報の許可のない使用が防止される。
【００１４】
本発明の以上およびその他の特徴、態様、および利点は、以下の詳細な説明、頭記の特許請求の範囲、および添付の図面に関連して考慮したとき、より十分に理解されることになる。
【００１５】
【発明の実施の形態】
図１は、本発明の一実施形態によるバイオメトリック認証されるデータ通信ネットワークを示す概略図である。ネットワークは、例えば、ユニバーサルシリアルバス（ＵＳＢ）などの通信リンクを介してホスト１２に結合されたバイオメトリックシステム１０を含む。スイッチングノード１４は、ホスト１２およびネットワークサーバ２２に結合される。スイッチングノード１４は、公衆インターネット、私設イントラネット、および／または当技術分野で知られるその他の同様の接続を介してホスト１２およびネットワークサーバ２２と通信する。
【００１６】
バイオメトリックシステム１０は、好ましくは、個人からバイオメトリックサンプルを受け取り、そのサンプルに基づいてその個人の識別を確認するための回路および／または論理を含む。バイオメトリックサンプルは、好ましくは、個人の識別を確認するために使用される個人の生理学的特性または行動特性である。そのようなバイオメトリックサンプルには、指紋、音声パターン、虹彩パターンおよび／または網膜パターン、手の形状、署名確認、キーストローク分析、および／または個人に変更不可能に結び付いておりかつ本物らしく移転することのできないその他の特性が含まれることが可能である。
【００１７】
ホスト１２は、好ましくは、例えば、パーソナルコンピュータ、ワークステーション、サーバ、またはそれに類するものなどの端末デバイスであり、バイオメトリックシステム１０およびスイッチングノード１４に対するインターフェースを備えている。スイッチングノード１４は、好ましくは、例えば、ホストによって発信されるパケット化された通信を許可されたＶＬＡＮ１６、１８、２０に転送するためのハブ、ブリッジ、またはルータなどのゲートウェイデバイスである。ネットワークサーバ２２は、１つまたは複数のＶＬＡＮ１６、１８、２０に対してホスト１２のユーザを認証するためのＲＡＤＩＵＳサーバ、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ  Ｄｉｒｅｃｔｏｒｙ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ）サーバおよび／またはＣＯＰＳ（Ｃｏｍｍｏｎ  Ｏｐｅｎ  Ｐｏｌｉｃｙ  Ｓｅｒｖｉｃｅ）サーバである。本発明の別の実施形態では、通信ネットワークは、米国特許出願第０９８３８０７６号にさらに詳細に記載されるとおり、それぞれが特定のＶＬＡＮ１６、１８、２０と関連する複数のネットワークサーバを含むことが可能である。
【００１８】
ホスト１２、スイッチングノード１４、ネットワークサーバ２２、およびＶＬＡＮ１６、１８、２０は、ケーブルまたはその他の伝送媒体を介して相互接続することが可能であり、イーサネット（登録商標）、インターネットプロトコル、および／または非同期転送モード（ＡＴＭ）などの様々なデータ通信プロトコルをサポートすることが可能である。
【００１９】
一般的に、例えば、特定のＶＬＡＮなどの特定のネットワークリソースにアクセスすることを所望するユーザは、自らのバイオメトリックサンプルをバイオメトリックシステム１０に提示する。本発明の一実施形態によれば、バイオメトリックシステム１０は、ユーザの識別を確認するため、受け取ったバイオメトリックサンプルをホスト１２に伝送する。本発明の別の実施形態では、確認プロセスは、バイオメトリックデバイス自体によって行われる。本発明のさらなる実施形態では、確認プロセスは、デフォルトのＶＬＡＮを介して接続された別個のサーバ（図示せず）内で行われる。
【００２０】
ユーザの識別が確認された場合、バイオメトリックシステム１０は、ネットワークにアクセスするのに必要な、例えば、ユーザの氏名、パスワード、ＰＩＮ、トークン、および／またはそれに類するものなどの、ユーザに関する識別情報をリリースする。ユーザ識別情報は、好ましくは、ホスト１２に伝送され、ホスト１２の方は、１つまたは複数のＶＬＡＮ１６、１８、２０へとユーザを認証するためスイッチングノード１４との認証プロトコル交換の際に、その情報を使用する。
【００２１】
図２は、本発明の一実施形態によるバイオメトリックシステム１０を示すブロック図である。もちろん、図２は、システムを作成するために必要とされる可能性がある追加の要素および／または構成要素によって本発明の発明の態様を不明瞭にすることなくバイオメトリックシステム１０を示すブロック図であることを理解されたい。図２に図示していないこれら追加の要素および／または構成要素は、当分野の技術者にはよく知られている。
【００２２】
バイオメトリックシステム１０は、好ましくは、入力３０と、マッチングエンジン３４と、識別情報生成器３８と、バイオメトリックデータベース３６と、識別情報データベース４０と、出力４６とを含む。入力３０は、ユーザからのバイオメトリックサンプルを受け取るために使用される、スキャナ、カメラ、電話機、マイクロホン、キーボード、キーパッド、または別のデバイスであることが可能である。
【００２３】
マッチングエンジン３４および識別情報生成器３８は、それぞれ、ユーザの識別を確認するため、およびユーザが確認された場合に識別情報をリリースするためのモジュール、すなわちソフトウェア、ハードウェア、および／またはファームウェア、例えば特定用途向け集積回路（ＡＳＩＣ）などである。マッチングエンジン３４は、入力３０によって提供されるバイオメトリックサンプルを受け取り、入力されたバイオメトリックサンプルのマッチを求めてバイオメトリックデータベース３６を探索する。
【００２４】
バイオメトリックデータベース３６は、好ましくは、バイオメトリックシステム１０に登録された各ユーザごとにバイオメトリックテンプレートを含む。好ましくは、バイオメトリックテンプレートは、ユーザのバイオメトリックデータの数学的表現である。代替の実施形態では、バイオメトリックデータベース３６は、例えば、ユーザが、常時自らのバイオメトリックデータの所有権を保持するのを可能にするスマートカードなどの可搬トークンで置き換えることができる。
【００２５】
マッチングエンジン３４は、バイオメトリックデータベース３６内のバイオメトリックテンプレートに対して入力されたバイオメトリックサンプルを比較し、結果４２を識別情報生成器に対して生成して、ユーザの識別が確認されたかどうかを示す。結果のすべてまたはいくつかの部分は、好ましくは、モニタ、ＬＣＤディスプレイ、または別の表示装置の形態をとる出力４６によってさらに表示される。本発明の一実施形態では、結果のすべてまたはいくつかの部分は、そこで表示するためにホスト１２に伝送される。
【００２６】
識別情報生成器は、ユーザの識別が確認された場合、識別情報データベース４０からユーザの識別情報を検索する。識別情報データベース４０は、好ましくは、システムの登録されたユーザに関するユーザ識別情報の中央ストーレッジを提供する。識別情報データベース４０は、好ましくは、例えば、ユーザの名前、パスワード、ＰＩＮ、トークン、および／またはそれに類するものをバイオメトリックデータベース３６内の各バイオメトリックテンプレートに関連付ける。入力されたバイオメトリックサンプルにバイオメトリックテンプレートがマッチすると、適切なユーザ識別情報が検索される。検索されたユーザ識別情報は、出力データ４４としてホスト１２に伝送される。
【００２７】
入力３０、マッチングエンジン３４、バイオメトリックデータベース３６、識別情報生成器３８、識別情報データベース４０、および出力４６は、単一のバイオメトリックシステム１０内に常駐しているように図示しているが、これらの構成要素のどの１つまたはどの組み合わせも、通信ネットワーク内の他の１つまたは複数のデバイス内で動作するのが可能であることが、当分野の技術者には認められよう。例えば、マッチングエンジン３４および／または識別情報生成器３８は、ホスト１２内に常駐すること、またはデフォルトのＶＬＡＮに結合された別個のバックエンドサーバ内に常駐することが可能である。
【００２８】
図３は、本発明の一実施形態によるホスト１２を示す概略のブロック図である。ホスト１２は、好ましくは、ユーザインターフェース５０、バイオメトリッククライアント５４、および認証クライアント５２を含む。ユーザインターフェース５０は、好ましくは、例えば、キーボード、キーパッド、表示スクリーン、マウス、ジョイスティック、トラックボール、および／またはそれに類するものなどの入力および出力を含む。
【００２９】
バイオメトリッククライアント５４は、好ましくは、バイオメトリックシステム１０と通信するために使用されるソフトウェアモジュールアプリケーションである。好ましくは、バイオメトリッククライアント５４は、ユーザによるホスト１２のブートアップ時に自動的に起動される。バイオメトリッククライアントは、バイオメトリックシステム１０を検出して、そのシステムが、ユーザの識別の確認にとりかかるようにさせる。あるいは、バイオメトリッククライアントは、ユーザの直接操作があったときにのみ、起動される。
【００３０】
認証クライアント５２は、好ましくは、ユーザの識別が確認された場合にスイッチングノード１４との認証プロセスにとりかかるために使用されるソフトウェアモジュールアプリケーションである。ソフトウェアモジュールは、ホスト１２上にインストールされたソフトウェアアプリケーションの形態をとることが可能であるが、Ｔｅｌｎｅｔ、ＸＣＡＰ（Ｘｙｌａｎ  Ｃｌｉｎｅｔ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）またはＷｅｂベースアプリケーションなどの標準ソフトウェアアプリケーションの形態をとることも可能である。認証クライアント５２は、好ましくは、スイッチングノード１４のアドレスを有するように構成される。アドレスは、ＩＰアドレスであること、または予約された媒体アクセス制御（ＭＡＣ）アドレスであることが可能である。
【００３１】
図４は、本発明の一実施形態によるスイッチングノード１４を示すブロック図である。スイッチングノード１４は、好ましくは、スイッチングリンク６６を介して相互接続された管理プロセッサモジュール６０、バックボーンモジュール６２、および認証モジュール６４を含む。バックボーンモジュール６２および認証モジュール６４は、好ましくは、例えば、ＡＳＩＣなどのファームウェアを使用して実装される。管理プロセッサモジュール６０は、好ましくは、スイッチングノード１４のプロセッサ上で実行されるソフトウェアモジュールとして実装される。
【００３２】
管理プロセッサモジュール６０は、好ましくは、ホスト１２からユーザ識別情報を受け取り、特定のＶＬＡＮに対してユーザを認証するための認証エージェント６０ａを含む。バックボーンモジュール６２は、好ましくは、バックボーンネットワークを介してパケットを受信し、転送する。認証モジュール６４は、好ましくは、ホスト１２とスイッチングリンク６６を相互接続するＬＡＮインターフェースを含む。また、認証モジュール６４は、好ましくは、パケットを解釈し、変更し、フィルタにかけ、転送するための論理を含む。また、認証モジュール６４は、必要なＬＡＮ媒体変換を行うように動作することもでき、これにより、スイッチングノード１４が、異種のＬＡＮ媒体を使用して動作するホストをサポートできるようにする。
【００３３】
図５は、本発明の一実施形態によるネットワークサーバ２２を示す概略のブロック図である。ネットワークサーバ２２は、好ましくは、ユーザインターフェース７０、ソフトウェア実装された認証サーバ７２、およびユーザレコード７４を含む。ユーザインターフェース７０は、好ましくは、例えば、キーボード、キーパッド、表示スクリーン、マウス、ジョイスティック、および／またはそれに類するものなどの入力および出力を含む。
【００３４】
ユーザレコード７４は、好ましくは、ユーザ識別情報および許可されたネットワークリソースのリストを含むユーザ特定エントリを含む。また、ユーザ特定エントリは、特定のユーザに関する時間制限および／またはその他の制限も含む。
【００３５】
認証サーバ７２は、ユーザを認証するために認証エージェント６０ａと通信する。認証サーバは、好ましくは、スイッチングノード１４のアドレス、およびそのノード上の認証エージェント６０ａに関する認証キーを有するようにさらに構成される。アドレスは、好ましくは、ＩＰアドレスである。
【００３６】
認証サーバ７２およびユーザレコード７４は、ネットワークサーバ２２上で動作するように図示しているが、認証サーバ７２および／またはユーザレコード７４は、ネットワークサーバ２２によってアクセス可能なネットワーク内の別のデバイス上で動作することも可能である。さらに、ネットワークサーバ２２は、単一の認証サーバ７２を含むように図示しているが、本発明に従って動作するネットワークは、１つまたは複数の認証サーバを含むことが可能である。
【００３７】
図６は、本発明の一実施形態によるスイッチングノード１４上に実装された認証エージェント１００を示す機能図である。認証エージェント１００は、好ましくは、管理プロセッサモジュール６０によって実装される認証エージェント６０ａと同様のソフトウェアモジュールである。認証エージェント１００は、好ましくは、スイッチングノード１４のアドレスおよび認証サーバ７２のアドレスを有するように構成される。構成されるアドレスは、好ましくは、ＩＰアドレスである。また、認証エージェントは、サーバに関する認証キーを有するように構成することも可能である。
【００３８】
認証エージェント１００は、好ましくは、認証サーバ７２とのセキュアな接続を確立するための接続確立モジュール１１０を含む。これに関して、接続確立モジュール１１０は、サーバの既知のアドレスを使用して認証サーバ７２に対する接続を要求し、そのような要求に対するサーバからの応答を確認する。また、接続確立モジュール１１０は、認証エージェント１００とサーバ７２が互いを認証できるようにするのに十分な情報を認証サーバ７２に送信し、またそこから受信する。好ましくは、相互認証は、認証エージェント１００上およびサーバ７２上に構成された認証キーの交換を介して達せられる。
【００３９】
接続確立モジュール１１０は、セキュアな接続確立プロセス中に伝送される情報を暗号化し、かつ暗号化された情報を復号化することができる。認証エージェント１００とサーバ７２の間でＴＣＰ／ＩＰベースのフローが企図される。複数の認証サーバが存在する場合、認証エージェント１００は、好ましくは、各認証サーバのアドレスおよび認証キーを有するように構成される。特定のサーバとセキュアな接続を確立しようとする試みが失敗した場合、認証エージェント１００は、セキュアな接続が確立されるまで、別の認証サーバの既知のアドレスを使用して前述したプロセスを実施することができる。
【００４０】
また、認証エージェント１００は、好ましくは、識別（ＩＤ）要求モジュール１２０も含む。ＩＤ要求モジュール１２０は、ホスト１２内で動作する認証クライアント５２から識別情報を獲得する働きをする。さらに、ＩＤ要求モジュール１２０は、認証クライアント５２から受信した要求を確認して認証セッションを確立する働きをする。認証エージェント１００とクライアント５２の間で、例えば、ＴｅｌｎｅｔベースのフローまたはＸＣＡＰのフローなどのなんらかのソフトウェアアプリケーションを使用するＩＰベースのフロー、あるいはＭＡＣベースのフローが企図される。好ましくは、フローは、クライアント上に構成された認証エージェント１００の予約されたＭＡＣアドレスまたはＩＰアドレスを使用して認証クライアント５２によって開始される。
【００４１】
また、認証エージェント１００は、好ましくは、ユーザ識別情報を認証する要求を認証サーバ７２にリレーするＩＤリレーモジュール１３０も含む。ＩＤリレーモジュール１３０は、好ましくは、スイッチングノード１４の既知のアドレスと、認証のためにユーザによって使用されるホスト１２と関連する認証モジュール６４の識別子と、ログイン識別情報とを関連付ける。ＩＤリレーモジュール１３０は、好ましくは、認証のために認証サーバ７２に関連識別情報を伝送する。
【００４２】
前述した要素に加えて、認証エージェント１００は、識別情報に基づいて認証サーバ７２から受信したユーザステータス情報を転送するための確認リレーモジュール１４０を含む。ユーザステータス情報は、好ましくは、認証サーバ７２が識別情報をうまく認証できたかどうかに応じて、ログイン有効メッセージまたはログイン無効メッセージを含む。確認リレーモジュール１４０は、好ましくは、ユーザインターフェース５０上に表示するため、ユーザステータス情報をホスト１２に伝送する。認証エージェント１００とクライアント５２の間で、例えば、ＴｅｌｎｅｔベースのフローまたはＸＣＡＰのフローなどのソフトウェアアプリケーションを使用するＩＰベースのフロー、あるいはＭＡＣベースのフローが企図される。
【００４３】
認証エージェント１００は、好ましくは、ユーザが認証を受けるのに失敗した場合、認証セッションを終了するためのセッション終了モジュール１５０をさらに含む。セッション終了モジュール１５０は、好ましくは、ログイン失敗時に、認証セッション終了メッセージを認証クライアント５２に伝送する。さらに、セッション終了モジュール１５０は、認証クライアント５２との認証セッションを終了する。
【００４４】
また、認証エージェント１００は、ホスト１２の認証されたユーザに関して認証サーバ７２から受信した許可接続情報をスイッチングノード１４上に記憶しそこで使用するために転送するリソースリレーモジュール１６０も含む。許可接続情報は、有利には、認証サーバ７２により、ユーザステータス情報と同一のデータパケット内で認証エージェント１００に伝送されることが可能である。許可接続情報は、好ましくは、ユーザに対して許可されたネットワークリソースのリストを含む。許可されたネットワークリソースのリストは、好ましくは、１つまたは複数のＶＬＡＮ識別子のリストを含む。
【００４５】
また、許可接続情報は、好ましくは、週の曜日、時間帯、および許されるアクセスの長さなどの、ユーザがその間、許可されたネットワークリソースを使用するのがその許可される時間を定義する時間制限も含む。当技術分野における従来のその他の制限も、許可されたユーザに課すことができる。
【００４６】
許可接続情報は、好ましくは、認証エージェント１００により、対応する認証モジュール６４の識別子とともに、管理プロセッサモジュール６０に転送される。管理プロセッサモジュール６０は、好ましくは、認証されたユーザによって使用されるホスト１２の既知のアドレスに許可接続情報を関連付け、その対の情報をデバイスレコード内に記憶する。アドレスは、好ましくは、ＭＡＣアドレスである。
【００４７】
デバイスレコードは、好ましくは、ユーザから受信されたパケットおよびユーザに向けられたパケットに対するフィルタリングの決定および転送の決定を行うため、スイッチングノード１４上で使用される。ホスト１２が許可されない場合、このホストによって伝送されるパケットは、好ましくは、それらが認証エージェント１００にアドレス指定されているのではない限り、受信側認証モジュール６４によってドロップされる。ホスト１２が認証された場合、この認証されたホストによって別の認証されたホストに伝送されるパケットは、以下の規則に従って選択的に転送される。
【００４８】
１．宛先アドレスがスイッチングノード１４と関連する別のノードのアドレスである場合、送信元ホストと宛先ホストが共通のＶＬＡＮを共用することを確認するため、ノード上のデバイスレコードが利用される。ＶＬＡＮが共用されている場合、パケットは、宛先ホストに転送される。ＶＬＡＮが共用されていない場合、パケットはドロップされる。
【００４９】
２．宛先アドレスがスイッチングノード１４と関連する別のホストのアドレスではない場合、送信元ホストと関連するＶＬＡＮの識別子を検索するため、ノード上のデバイスレコードが利用される。ＶＬＡＮの識別子は、好ましくは、パケットに付加され、パケットはバックボーンモジュール６２によって伝送される。パケットが、宛先ホストと関連するスイッチングノード上に着信したとき、送信元ホストと宛先ホストが共通ＶＬＡＮを共用することを確認するため、スイッチングノード上のデバイスレコードが利用される。ＶＬＡＮが共用されている場合、パケットは宛先ホストに転送される。ＶＬＡＮが共用されていない場合、パケットはドロップされる。
【００５０】
ネットワーク内の認証されないホストにアドレス指定されたパケットは、ドロップされつづける。前述した規則は、当技術分野で知られる様々なプロトコルを使用して実施することができる。認証要件の対象とならないネットワーク内のあらゆるアドレス指定可能なコア、エッジ、または端末デバイス、局、およびホストは、前述した規則の下におけるパケットの送信および受信の目的では、認証されたシステムとして扱うことができるのが理解されよう。
【００５１】
認証エージェント１００は、また、ホスト１２を認証された状態から未認証の状態に戻すためのＩＤ終了モジュール１７０も含む。これは、好ましくは、認証されたユーザからのログオフコマンドの受信時、許可された通信可能期間の満了時、ネットワークからの認証されたホスト１２の物理的接続解除時、所定の長さの時間にわたって認証されたホスト１２がトラフィックを送信できなかったとき、および／または確立されたネットワーク通信可能性を非活動化する認証サーバ７２からの命令を受信したときに行われる。ＩＤ終了モジュール１７０は、好ましくは、その通信可能性が非活動化されるべきユーザに関するアドレス許可通信可能性情報エントリをデバイスレコードから除去する要求を管理プロセッサモジュール６０に転送する。そのような要求を受信したとき、管理プロセッサモジュール６０は、好ましくは、デバイスレコードから要求されたエントリを除去し、認証されたホスト１２は、好ましくは、未認証の状態に戻る。
【００５２】
接続確立モジュール１１０、ＩＤ要求モジュール１２０、ＩＤリレーモジュール１３０、確認リレーモジュール１４０、セッション終了モジュール１５０、リソースリレーモジュール１６０、およびＩＤ終了モジュール１７０は、好ましくは、ソフトウェアモジュールである。ただし、これらのモジュールをハードウェア、ファームウェア、および／またはソフトウェアの組み合わせとしても設計できることが、当分野の技術者には理解されよう。また、認証エージェント１００は、開示していないが当技術分野では通例となっているその他のモジュールも含む可能性があることも、当分野の技術者には理解されよう。
【００５３】
図７は、本発明の一実施形態による認証サーバ７２を示す機能図である。認証サーバ７２は、好ましくは、ネットワーク管理者が通信ネットワークの許可されたユーザに関するユーザ特定エントリを入力するのを可能にするリソース許可モジュール２１０を含む。リソース許可モジュール２１０は、好ましくは、ユーザ特定エントリを受け入れるように動作するユーザインターフェース７０にテキスト表示および／またはグラフィックス表示を供給する。リソース許可モジュール２１０は、好ましくは、各ユーザ特定エントリをユーザレコード７４内に関連ペアとして記憶する。各ユーザ特定エントリは、好ましくは、ＶＬＡＮ１６、１８、２０にアクセスするのを許可されたユーザのユーザ識別子と、例えば、パスワードなどのユーザ識別情報を含む。また、ユーザ特定エントリは、許可されたユーザに関する、例えば、時間制限などの制限情報も含むことが可能である。
【００５４】
さらに、リソース許可モジュール２１０は、ネットワーク管理者がデバイス特定エントリを入力することも可能にする。デバイス特定エントリは、好ましくは、認証エージェントを有するネットワーク内の各スイッチングノードごとに、そのスイッチングノード１４のアドレス、およびそのノード上で活動する認証エージェント１００に関する認証キーを含む。アドレスは、好ましくは、スイッチングノードに一意的に割り当てられたＩＰアドレスである。
【００５５】
また、認証サーバ７２は、好ましくは、接続確立モジュール２２０も含む。接続確立モジュール２２０は、エージェントからの要求の受信時に、認証エージェント１００とのセキュアな接続を確立する。接続確立モジュール２２０は、要求の受信を確認して、その要求に応答することにとりかかる。また、接続確立モジュール２２０は、認証エージェント１００と認証サーバ７２が互いを認証できるようにするのに十分な情報を送信し、受信する。好ましくは、認証は、認証キーの交換を介して確立される。接続確立モジュール２２０は、セキュアな接続確立プロセス中に伝送される情報を暗号化し、かつ暗号化された情報を復号化することができる。認証エージェント１００とサーバ２２の間で、ＴＣＰ／ＩＰベースのフローが企図される。
【００５６】
また、認証サーバ７２は、好ましくは、ＩＤ確認モジュール２３０も含む。ＩＤ確認モジュール２３０は、認証エージェント１００を介してユーザから受信されたユーザ識別情報に認証プロセスを受けさせる働きをする。エージェント１００からのユーザ識別情報を受信すると、ＩＤ確認モジュール２３０は、ユーザレコード７４内のユーザ特定エントリと関連する情報にその情報がそのマッチするかどうかを判定する。マッチが見つかり、かつユーザ特定エントリと関連する他の制限が存在する場合、ＩＤ確認モジュール２３０は、その制限情報から、１つまたは複数のＶＬＡＮにアクセスすることをユーザが許可されているかどうかを判定する。
【００５７】
制限にも関わらずユーザが許可されている場合、または制限が存在しない場合、ＩＤ確認モジュール２３０は、好ましくは、許可接続情報を生成する。これに関して、ＩＤ確認モジュール２３０は、ユーザレコード７４からマッチするユーザ識別情報と関連する許可されたネットワークリソースのリストを検索する。許可接続情報は、また、任意の時間制限を含むことが可能である。
【００５８】
さらに、ＩＤ確認モジュール２３０は、ユーザステータス情報を生成する。ユーザステータス情報は、好ましくは、ログイン有効メッセージまたはログイン無効メッセージである。ＩＤ確認モジュール２３０は、好ましくは、あらゆる時間制限情報とともに、ユーザステータス情報を認証エージェント１００に伝送する。
【００５９】
ＩＤ確認モジュール２３０は、ユーザレコード７４内でユーザ識別情報に対するマッチを見出さなかった場合、またはユーザに時間許可が与えられていない場合、ユーザステータス情報を、好ましくは、ログイン無効メッセージの形態で生成し、認証エージェント１００に伝送する。
【００６０】
また、認証サーバ７２は、好ましくは、ＩＤ記憶モジュール２４０も含む。ＩＤ記憶モジュール２４０は、好ましくは、記憶のため、およびネットワーク管理者による使用のためにユーザ追跡（ｔｒａｃｋｉｎｇ）情報を転送する働きをする。ユーザ追跡情報は、それが成功したものであるか、失敗したものであるかに関わらず、ユーザになろうとする人によって行われたすべてのログインの試行に関して保持される。ユーザ追跡情報は、各ログインの試行ごとに、以下の種類の情報のうち１つまたは複数から知られる情報を含むことができる。ユーザ識別情報、認証情報、ユーザステータス情報、制限情報、および／またはそれに類する情報。
【００６１】
また、ユーザ追跡情報は、ログインの試行が行われた時刻も含む。時刻は、認証サーバ７２上に保持し、そこから入手することができる。また、ユーザ追跡情報は、ログオフ、送信／受信されたパケットの数、ホスト１２のＭＡＣアドレス等も含むことが可能である。認証サーバ７２は、好ましくは、ユーザ追跡情報を関連付け、その情報をネットワークサーバ２２によりアクセス可能な、またはそこに常駐するネットワーク活動データベース（図示せず）内のエントリとして記憶する。ネットワーク活動データベースのエントリは、ユーザインターフェース７２を介してネットワーク管理者によってアクセス可能である。
【００６２】
前述した要素に加え、認証サーバ７２は、好ましくは、ネットワーク監視モジュール２５０も含む。ネットワーク監視モジュール２５０は、好ましくは、ＩＤ記憶モジュール２４０によって作成されたユーザ追跡情報にネットワーク管理者がアクセスし、その情報を使用できるようにする働きをする。ネットワーク監視モジュール２５０は、ユーザ追跡情報を表示するように動作するユーザインターフェース７０にテキスト表示および／またはグラフィックス表示を供給する。また、ネットワーク監視モジュール２５０は、１つまたは複数のユーザ追跡情報エントリからの関連情報から成るユーザ追跡情報報告をネットワーク管理者が生成できるようにする。
【００６３】
リソース許可モジュール２１０、接続確立モジュール２２０、ＩＤ確認モジュール２３０、ＩＤ記憶モジュール２４０、およびネットワーク監視モジュール２５０は、好ましくは、ソフトウェアモジュールである。ただし、これらのモジュールをハードウェア、ファームウェア、および／またはソフトウェアの組み合わせとしても設計できることが、当分野の技術者には理解されよう。また、認証サーバ７２は、開示していないが、当技術分野では通例となっているその他のモジュールも含む可能性があることも、当分野の技術者には理解されよう。
【００６４】
図８は、本発明の一実施形態によるホスト１２内に常駐するバイオメトリッククライアント５４を示す機能図である。バイオメトリッククライアント５４は、好ましくは、バイオメトリック開始モジュール３１０、確認表示モジュール３２０、およびＩＤ伝送モジュール３３０を含む。これらのモジュールは、好ましくは、ソフトウェアモジュールである。ただし、これらのモジュールをハードウェア、ファームウェア、および／またはソフトウェアの組み合わせとしても設計できることが、当分野の技術者には理解されよう。また、バイオメトリッククライアント５４は、開示していないが、当技術分野では通例となっているその他のモジュールも含む可能性があることも、当分野の技術者には理解されよう。
【００６５】
バイオメトリック開始モジュール３１０は、好ましくは、ホスト１２のブートアップ時にバイオメトリックシステム１０とのバイオメトリック確認セッションを要求し、それを確立する。あるいは、バイオメトリック開始モジュール３１０は、ユーザの直接操作によって起動されることが可能である。バイオメトリック開始モジュール３１０は、好ましくは、ＵＳＢを介してバイオメトリック確認セッションを確立する要求をバイオメトリックシステム１０に伝送する。バイオメトリック開始モジュール３１０は、好ましくは、バイオメトリックシステム１０が応答し、ユーザの識別の確認にとりかかるまで定期的に要求を伝送する。
【００６６】
確認表示モジュール３２０は、好ましくは、バイオメトリック確認プロセスの結果のテキスト表示および／またはグラフィックス表示をユーザインターフェース５０に供給する。そのような結果は、ユーザの識別が確認されたかどうかを示すことができる。また、結果は、提供されたバイオメトリックサンプルと記憶されたバイオメトリックテンプレートの間におけるマッチのパーセンテージを示すスコアも含むことが可能である。
【００６７】
ＩＤ伝送モジュール３３０は、好ましくは、ユーザの識別が確認された場合、バイオメトリックシステム１０からユーザ識別情報を受信する。ＩＤ伝送モジュール３３０は、好ましくは、ユーザを１つまたは複数のＶＬＡＮ１６、１８、２０に認証するため、識別情報を認証クライアント５２に伝送する。
【００６８】
図９は、本発明の一実施形態によるホスト１２内に常駐する認証クライアント５２を示す機能図である。認証クライアント５２は、好ましくは、ＩＤ開始モジュール４１０、確認表示モジュール４２０、およびＩＤオフモジュール４３０を含む。これらのモジュールは、好ましくは、ソフトウェアモジュールである。ただし、これらのモジュールをハードウェア、ファームウェア、および／またはソフトウェアの組み合わせとしても設計できることが、当分野の技術者には理解されよう。また、認証クライアント５２は、開示していないが、当技術分野では通例となっているその他のモジュールも含む可能性があることも、当分野の技術者には理解されよう。
【００６９】
ＩＤ開始モジュール４１０は、バイオメトリッククライアント５４からユーザ識別情報を受信したときに、認証エージェント１００との認証セッションを要求し、それを確立する。ＩＤ開始モジュール４１０は、好ましくは、エージェントの既知のアドレスを使用して認証セッションを確立する要求を認証エージェント１００に伝送する。認証クライアント５４は、好ましくは、認証エージェント１００が応答するまで、定期的に要求を伝送する。ＭＡＣベースのフローが企図される。あるいは、例えば、ＴｅｌｎｅｔまたはＸＣＡＰなどのソフトアプリケーションを介するＩＰベースのフローを使用することができる。
【００７０】
確認表示モジュール４３０は、ログインの試行が成功したか、または失敗したかをホスト１２のユーザに伝える。確認表示モジュール４３０は、スイッチングノード１４内の認証エージェント１００から受信したユーザステータス情報、好ましくは、ログイン有効メッセージまたはログイン無効メッセージを表示するように動作するユーザインターフェース５０に、テキスト表示および／またはグラフィックス表示を供給する。
【００７１】
ＩＤオフモジュール４４０は、認証されたユーザがそれによってネットワークからログオフするログオフプロセスを開始する。ＩＤオフモジュール４４０は、好ましくは、ログオフコマンドを受け入れるように動作するユーザインターフェース５０にテキスト表示および／またはグラフィックス表示を供給する。ＩＤオフモジュール４４０は、好ましくは、確立されたネットワーク通信可能性の非活動化のためのログオフコマンドを認証エージェント１００に伝送する。
【００７２】
図１０は、本発明の一実施形態によるバイオメトリック認証されるＶＬＡＮに関するプロセスを示す流れ図である。プロセスが開始し、ステップ５００でスイッチングノード１４が開始される。開始時に、認証エージェント１００が、サーバの既知のアドレスを使用して認証サーバ７２とのセキュアな接続を確立しようと試みる。ＴＣＰセッションがうまく確立されると、エージェント１００およびサーバ７２が、認証キーを交換することによって互いを認証する。
【００７３】
ステップ５０２で、ユーザが、ホスト１２をブートアップし、好ましくは、バイオメトリッククライアント５４の活動化を引き起こす。バイオメトリッククライアント５４が、ホスト１２に結合されたバイオメトリックシステム１０を検出し、ステップ５０４でバイオメトリック確認プロセスを求める要求を伝送する。これに関して、ユーザは、自動的に、またはホスト１２またはバイオメトリックシステム１０によるプロンプトに応答して、バイオメトリックシステムにバイオメトリックサンプルを提供する。マッチングエンジン３４が、バイオメトリックデータベース３６内に記憶されたテンプレートとバイオメトリックサンプルを比較し、ユーザの識別が確認されたかどうかを示す結果を出力する。ステップ５０６で判定されるとおり、識別が確認された場合、識別情報生成器３８が、ステップ５１０で、マッチしたテンプレートと関連するユーザ識別情報をバイオメトリッククライアント５４に提供する。
【００７４】
ステップ５１２で、バイオメトリッククライアント５４が、ユーザ識別情報を認証クライアント５２に提供する。ステップ５１４で、ユーザ認証プロセスが、ユーザ識別情報に基づいて呼び出される。これに関して、認証クライアント５２は、スイッチングノード１４内に常駐する認証エージェント１００に認証要求を伝送する。要求は、好ましくは、バイオメトリッククライアント５４によって提供されるユーザ識別情報を含む。認証要求は、エージェント１００が応答するまで定期的にエージェントに伝送される。
【００７５】
認証エージェント１００は要求を受信し、スイッチングノード１４のアドレス、およびホスト１２と関連する認証モジュール６４の識別子とともに、ユーザ識別情報を認証サーバ７２に伝送する。認証サーバ７２は、ユーザ識別情報とマッチする情報を有するユーザ特定エントリを求めてユーザレコード７４を探索する。マッチするエントリが見つかった場合、認証サーバ７２は、何らかの時間制限がないかを調べる。ステップ５１６で判定されるとおり、ユーザに時間許可が与えられている場合、認証サーバ７２は、許可されたネットワークリソースのリストおよびあらゆる時間制限を検索し、ユーザステータス情報とともにその情報を認証クライアント５２に伝送する。ユーザステータス情報は、好ましくは、ログイン有効メッセージである。
【００７６】
マッチするエントリが見つからない場合、またはユーザに時間許可が与えられていない場合、ステップ５２０で、ユーザステータス情報が、好ましくは、ログイン無効メッセージの形態で認証クライアント５２に戻される。
【００７７】
ステップ５０６を再び参照すると、提供されたバイオメトリックサンプルに基づいてユーザの識別が確認されなかった場合、ステップ５０８で、最大数の確認の試行が行われたかどうかの判定が行われる。答えが「いいえ」である場合、バイオメトリッククライアント５２は、好ましくは、再び、新たに提供されたバイオメトリックサンプルに基づいて、バイオメトリック確認プロセスを呼び出す。
【００７８】
本発明をいくつかの特定の実施形態で説明してきたが、当分野の技術者は、何の困難もなく変形形態を考案することができよう。そのような変形形態は、いかなる意味でも、本発明の趣旨および範囲を逸脱するものではない。例えば、本発明を特定のバイオメトリック確認タスクまたはバイオメトリック認証タスクと関連する特定のソフトウェアモジュールについて説明しているが、当分野の技術者には、それらのタスクのどれでも、特定のモジュールに組み合せること、または別個のモジュールに委託することが可能であるのが理解されよう。したがって、本発明を具体的に説明したのとは異なる仕方で実施するのが可能であることを理解されたい。したがって、本発明の本実施形態は、あらゆる点で例示的なものであり、制限するものではなく、本発明の範囲は、以上の説明によってではなく、頭記の特許請求の範囲およびそれと等価なものによって示されるものと考えられたい。
【図面の簡単な説明】
【図１】本発明の一実施形態によるバイオメトリック認証されたデータ通信ネットワークを示す概略のブロック図である。
【図２】図１のバイオメトリック認証されたデータ通信ネットワーク内のバイオメトリックシステムを示すブロック図である。
【図３】図１のバイオメトリック認証されたデータ通信ネットワーク内のホストを示す概略のブロック図である。
【図４】図１のバイオメトリック認証されたデータ通信ネットワーク内のスイッチングノードを示すブロック図である。
【図５】図１のバイオメトリック認証されたデータ通信ネットワーク内のネットワークサーバを示す概略のブロック図である。
【図６】本発明の一実施形態による認証エージェントを示す機能図である。
【図７】本発明の一実施形態による認証サーバを示す機能図である。
【図８】本発明の一実施形態によるバイオメトリッククライアントを示す機能図である。
【図９】本発明の一実施形態による認証クライアントを示す機能図である。
【図１０】本発明の一実施形態によるバイオメトリック認証されるＶＬＡＮに関するプロセスを示す流れ図である。
【符号の説明】
１０  バイオメトリックシステム
１２  ホスト
１４  スイッチングノード
１６、１８、２０  仮想ローカルエリアネットワーク
２２  ネットワークサーバ
３０  入力
３４  マッチングエンジン
３６  バイオメトリックデータベース
４０  識別情報データベース
３８  識別情報生成器
４２  結果
４４  出力データ
４６  出力
５０  ユーザインターフェースモジュール
５２  認証クライアントモジュール
５４  バイオメトリッククライアントモジュール
６０  管理プロセッサモジュール
６０ａ、１００  認証エージェント
６２  バックボーンモジュール
６４  認証モジュール
６６  リンク
７０  ユーザインターフェース
７２  認証サーバ
７４  ユーザレコード
１１０  接続確立モジュール
１２０  ＩＤ要求モジュール
１３０  ＩＤリレーモジュール
１４０  確認リレーモジュール
１５０  セッション終了モジュール
１６０  リソースリレーモジュール
１７０  ＩＤ終了モジュール
２１０  リソース許可モジュール
２２０  接続確立モジュール
２３０  ＩＤ確認モジュール
２４０  ＩＤ記憶モジュール
２５０  ネットワーク監視モジュール
３１０  バイオメトリック開始モジュール
３２０  確認表示モジュール
３３０  ＩＤ伝送モジュール
４１０  ＩＤ開始モジュール
４２０  確認表示モジュール
４３０  ＩＤオフモジュール
【図１】
0004287615.tif 000002
【図２】
0004287615.tif 000003
【図３】
0004287615.tif 000004
【図４】
0004287615.tif 000005
【図５】
0004287615.tif 000006
【図６】
0004287615.tif 000007
【図７】
0004287615.tif 000008
【図８】
0004287615.tif 000009
【図９】
0004287615.tif 000010
【図１０】
0004287615.tif 000011