(57)【要約】【課題】セキュリティ強度を高めることが可能なアクセス制限機能を有する機器を提供することを目的とする。【解決手段】端末３と暗号通信を行うアクセス制限機能を有する機器１であって、端末３との間でネゴシエーションを行うネゴシエーション手段１２と、端末３を操作するユーザを認証する認証手段１３と、ユーザ毎に、要求するセキュリティポリシーと利用可能な機器１の機能とを定義するユーザ権限管理手段４とを有し、ネゴシエーション手段１２はユーザ権限管理手段４を用いて、ネゴシエーションの内容が端末３を操作するユーザのセキュリティポリシーを満たしているか検証し、セキュリティポリシーを満たしていなければ端末３からのネゴシエーションを拒否することにより上記課題を解決する。【選択図】図２
2009253692.tif 000002
【特許請求の範囲】
【請求項１】
端末と暗号通信を行う機器であって、
前記端末との間でネゴシエーションを行うネゴシエーション手段と、
前記端末を操作するユーザを認証する認証手段と、
前記ユーザ毎に、要求するセキュリティポリシーと利用可能な前記機器の機能とを定義するユーザ権限管理手段とを有し、
前記ネゴシエーション手段は前記ユーザ権限管理手段を用いて、前記ネゴシエーションの内容が前記端末を操作するユーザのセキュリティポリシーを満たしているか検証し、前記セキュリティポリシーを満たしていなければ前記端末からのネゴシエーションを拒否することを特徴とするアクセス制限機能を有する機器。
【請求項２】
前記ネゴシエーション手段は前記セキュリティポリシーを満たしていれば、前記ユーザ権限管理手段に定義されている前記端末を操作するユーザの利用可能な前記機器の機能を前記端末に通知することを特徴とする請求項１記載のアクセス制限機能を有する機器。
【請求項３】
前記ネゴシエーションはＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）におけるＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）であることを特徴とする請求項１又は２記載のアクセス制限機能を有する機器。
【請求項４】
前記ネゴシエーション手段は前記端末との間で行うネゴシエーションを、ＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）の手順に従って行うことを特徴とする請求項１乃至３何れか一項記載のアクセス制限機能を有する機器。
【請求項５】
前記ユーザ権限管理手段は利用可能な前記機器の機能を前記機器のポート番号で定義することを特徴とする請求項１乃至４何れか一項記載のアクセス制限機能を有する機器。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制限機能を有する機器に係り、特に端末と暗号通信を行うアクセス制限機能を有する機器に関する。
【背景技術】
【０００２】
ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）環境で用いられるセキュリティ技術として、ＩＰｓｅｃと呼ばれるプロトコルがある。ＩＰｓｅｃは、レイヤー（Ｌａｙｅｒ３）で実現するセキュアな通信プロトコルである。ＩＰｓｅｃは、基本的に２点間の通信をセキュアにするもので、暗号機能及び認証機能をサポートしている。ＩＰｓｅｃでは、暗号通信を始める前に、端末と機器との間でネゴシエーションすることで暗号化方式や暗号鍵などの情報を交換及び共有し、セキュリティアソシエーション（ＳＡ）と呼ばれるセキュアな通信路を確立する。
【０００３】
ＩＰｓｅｃにおけるＳＡでは、ＩＫＥという手順によって、暗号化方式の決定や暗号鍵の交換、相互の認証（相手相互認証）が行われる。特許文献１及び２には、ＩＰｓｅｃによる暗号通信について記載されている。
【０００４】
現時点で最新バージョンのインターネット鍵交換プロトコル（ＩＫＥ）は、バージョン２のＩＫＥｖ２である。ＩＫＥｖ２では、標準機能としてユーザ認証機能が新たに規定されている。
【０００５】
従来、端末と、端末に機能を提供する機器とが、ネットワーク経由で接続されるシステムではＩＰｓｅｃによるセキュアな通信路を利用するものがあった。このようなシステムにおいては、各端末に機能を提供してよいか否かを、ＩＫＥｖ２の相手相互認証（事前共有鍵認証または証明書認証）及びユーザ認証の正否によって判断していた。
【特許文献１】特開２００５−３４１０８４号公報
【特許文献２】特開２００７−１３５０８３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
従来のシステムでは、ＩＫＥｖ２の相手相互認証及びユーザ認証の正否によって各端末に機器の機能を提供してよいか否かを判断していた為、相手相互認証及びユーザ認証を正しく終了した端末が、機器の提供する全ての機能を利用可能である。
【０００７】
したがって、各端末を操作するユーザが一般ユーザである場合は管理コマンドを利用されてしまう可能性があり、セキュリティ強度が低下するという問題があった。また、各端末を操作するユーザが管理者ユーザである場合は、不用意に機器の機能の一つである印刷機能を実行することにより重要なデータが漏洩してしまう可能性があり、セキュリティ強度が低下するという問題があった。
【０００８】
さらに、従来のシステムは各端末を操作するユーザの属性（一般ユーザ，管理者ユーザなど）によってＩＰｓｅｃのセキュリティポリシーを定義できない為、管理者ユーザの操作する端末と機器との通信路の暗号強度を上げるといった使い方ができず、ＩＰパケットの盗聴に対する脆弱性により、セキュリティ強度が低下するという問題があった。
【０００９】
本発明は、上記の点に鑑みなされたもので、セキュリティ強度を高めることが可能なアクセス制限機能を有する機器を提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記課題を解決するため、本発明は、端末と暗号通信を行うアクセス制限機能を有する機器であって、前記端末との間でネゴシエーションを行うネゴシエーション手段と、前記端末を操作するユーザを認証する認証手段と、前記ユーザ毎に、要求するセキュリティポリシーと利用可能な前記機器の機能とを定義するユーザ権限管理手段とを有し、前記ネゴシエーション手段は前記ユーザ権限管理手段を用いて、前記ネゴシエーションの内容が前記端末を操作するユーザのセキュリティポリシーを満たしているか検証し、前記セキュリティポリシーを満たしていなければ前記端末からのネゴシエーションを拒否することを特徴とする。
【００１１】
なお、本発明の構成要素、表現または構成要素の任意の組合せを、方法、装置、システム、コンピュータプログラム、記録媒体、データ構造などに適用したものも本発明の態様として有効である。
【発明の効果】
【００１２】
本発明によれば、セキュリティ強度を高めることが可能なアクセス制限機能を有する機器を提供可能である。
【発明を実施するための最良の形態】
【００１３】
次に、本発明を実施するための最良の形態を、以下の実施例に基づき図面を参照しつつ説明していく。なお、本実施例ではアクセス制限機能を有する機器の一例として複合機を例に説明するが、他の機器であってもよい。
【００１４】
図１は、本実施例のシステムを表した構成図である。図１に示したシステムは、画像処理装置の一例としての複合機（ＭＦＰ）１，ユーザ認証サーバ２，ローカル端末３ａ，リモート端末３ｂ，ユーザ権限管理ＤＢ４，ローカルネットワーク５及び広域ネットワーク６を有する構成である。
【００１５】
複合機１はローカルネットワーク５を介してユーザ認証サーバ２とローカル端末３ａとに接続されている。また、複合機１は広域ネットワーク６を介してリモート端末３ｂと接続されている。さらに、複合機１はユーザ権限管理ＤＢ４と接続されている。複合機１はユーザ権限管理ＤＢ４を自機の内部に有する構成としてもよい。
【００１６】
ローカル端末３ａは、ローカルネットワーク５内にある端末を指している。リモート端末３ｂは、広域ネットワーク６内にある端末を指している。本実施例では、端末がローカルネットワーク５内にあっても広域ネットワーク６内にあってもよいため、ローカル端末３ａ及びリモート端末３ｂの何れでもよい場合に単に端末３と総称する。端末３は、後述するＩＫＥｖ２の手順によってＩＰｓｅｃトンネル等のセキュアな通信路で複合機１と接続されたあと、複合機１の提供する機能を利用する。
【００１７】
図２は本実施例のシステムが有する複合機の詳細を表した構成図である。なお、図２の構成図は複合機１が自機の内部にユーザ権限管理ＤＢ４を有する構成を表している。複合機１は、プロトコル処理部１０，ポリシー管理部２０，ロール管理部３０，ユーザ権限管理ＤＢ４を有する構成である。
【００１８】
プロトコル処理部１０はＩＫＥｖ２に従った処理の他、プロトコル全般の処理を行うものである。ポリシー管理部２０は、ＩＰｓｅｃのセキュリティポリシーを管理するものである。ロール管理部３０は、端末３を操作するユーザの権限を管理するものである。ポリシー管理部２０はユーザ権限管理ＤＢ４に定義されているセキュリティポリシー情報を管理する。また、ロール管理部３０はユーザ権限管理ＤＢ４に定義されているロール情報を管理する。
【００１９】
また、プロトコル処理部１０は、ＩＫＥ初期化処理部１１，ＳＡネゴシエーション処理部１２及びユーザ認証処理部１３を有する構成である。ポリシー管理部２０は、ＳＡネゴシエーション処理部１２からのセキュリティポリシーの問い合わせに応じて、ユーザ権限管理ＤＢ４から取得したセキュリティポリシー情報をＳＡネゴシエーション処理部１２に提供する。
【００２０】
ロール管理部３０はユーザ認証処理部１３からのロールの問い合わせに応じて、ユーザ権限管理ＤＢ４から取得したロール情報をユーザ認証処理部１３に提供する。ユーザ認証処理部１３は、端末３を操作するユーザのユーザ認証要求をユーザ認証サーバ２に対して行い、ユーザ認証サーバ２から端末３を操作するユーザのユーザ認証結果を取得する。
【００２１】
以下では、図２に示したシステムの処理手順について図３のシーケンス図を参照しつつ説明していく。図３のシーケンス図は、端末３を操作するユーザが、複合機１の提供する機能を利用するため、端末３に複合機１への接続指示を行うことで開始される。
【００２２】
図３は本実施例のシステムの処理手順を表したシーケンス図である。なお、図３に示したシーケンス図はＩＫＥｖ２の手順をベースにしている。ステップＳ１に進み、端末３は複合機１にＩＫＥ初期化要求を行う。ＩＫＥ初期化要求は、端末３に定義されたＩＫＥ初期化パラメータを複合機１に送信するものである。
【００２３】
端末３からのＩＫＥ初期化要求があると、複合機１のプロトコル処理部１０が有するＩＫＥ初期化処理部１１は複合機１のＩＫＥ初期化パラメータと、端末３に定義されたＩＫＥ初期化パラメータとを照合する。複合機１のＩＫＥ初期化パラメータと、端末３に定義されたＩＫＥ初期化パラメータとが合致すれば、ＩＫＥ初期化処理部１１はステップＳ２に進み、端末３へＩＫＥ初期化応答を返す。
【００２４】
ステップＳ３に進み、端末３は複合機１にＳＡネゴシエーション要求を行う。ＳＡネゴシエーション要求は、端末３に定義されたＩＰｓｅｃのＳＡパラメータを複合機１に送信してＳＡネゴシエーションの開始を要求するものである。
【００２５】
端末３からのＳＡネゴシエーション要求があると、複合機１のプロトコル処理部１０が有するＳＡネゴシエーション処理部１２はステップＳ４に進み、端末３へユーザ認証情報要求を行う。ユーザ認証情報要求は、端末３を操作するユーザを認証する為のユーザ認証情報を端末３に要求するものである。
【００２６】
ステップＳ５に進み、端末３は複合機１にユーザ認証情報応答を返す。ユーザ認証情報応答は端末３を操作するユーザのユーザ認証情報を複合機１に送信するものである。端末３からのユーザ認証情報応答があると、複合機１のプロトコル処理部１０が有するユーザ認証処理部１３はステップＳ６に進み、ユーザ認証サーバ２へユーザ認証要求を行う。
【００２７】
ユーザ認証要求は、ユーザ認証情報をユーザ認証サーバ２に送信し、正当なユーザかどうかを検証してもらうものである。複合機１からのユーザ認証要求があると、ユーザ認証サーバ２はユーザ認証情報に基づき、正当なユーザかどうかを検証する。ステップＳ７に進み、ユーザ認証サーバ２は正当なユーザかどうかの検証結果に基づき、複合機１のプロトコル処理部１０が有するユーザ認証処理部１３へユーザ認証結果を返す。
【００２８】
ステップＳ８に進み、ユーザ認証処理部１３はユーザ認証サーバ２によるユーザ認証結果を端末３へ返す。なお、ユーザ認証処理部１３はユーザ認証要求がユーザ認証サーバ２に拒否された場合、ユーザ認証結果にエラーコードをセットして端末３へ返す。
【００２９】
ユーザ認証が成功していれば、端末３はステップＳ９に進み、端末３に定義されたＩＫＥ認証データを複合機１のプロトコル処理部１０が有するＳＡネゴシエーション処理部１２へ送信する。端末３からＩＫＥ認証データを受信すると、ＳＡネゴシエーション処理部１２はポリシー管理部２０にＩＰｓｅｃのセキュリティポリシーを問い合わせる。
【００３０】
ポリシー管理部２０は、図４に示すようなユーザ権限管理ＤＢ４から端末３を操作するユーザのセキュリティポリシー情報を取得し、取得したセキュリティポリシー情報をＳＡネゴシエーション処理部１２へ提供する。
【００３１】
図４はユーザ権限管理ＤＢが管理するユーザ権限管理情報の一例の構成図である。図４のユーザ権限管理情報は、ユーザＩＤ，セキュリティ・パラメータ・インデックス（ＳＰＩ），入力／出力方向及び許可情報を含む構成である。
【００３２】
許可情報は、ＩＰｓｅｃのセキュリティポリシーに相当するＩＰｓｅｃポリシーと、端末３を操作するユーザのロールに相当する利用可能サービスとを含む構成である。利用可能サービスは、複合機１の提供する機能の内、端末３を操作するユーザが利用可能な機能を表すものである。つまり、利用可能サービスは端末３を操作するユーザの権限を表している。
【００３３】
例えば図４のＩＰｓｅｃポリシーは、セキュリティプロトコル，暗号アルゴリズム，認証アルゴリズム，カプセル化モード，ＰＦＳグループ等の情報を含む構成である。図４の利用可能サービスは、端末３を操作するユーザが利用可能な機能を、ポート番号で定義している。
【００３４】
許可情報に含まれるＩＰｓｅｃポリシーは、ポリシー管理部２０がユーザ権限管理ＤＢ４から取得するセキュリティポリシー情報に相当する。また、許可情報に含まれる利用可能サービスは、ロール管理部３０がユーザ権限管理ＤＢ４から取得するロール情報に相当する。
【００３５】
図４のユーザ権限管理ＤＢ４は、ユーザＩＤで識別されるユーザ毎にユーザ権限管理情報を定義できるので、例えば端末３を操作するユーザの属性によって異なるＩＰｓｅｃポリシー及び利用可能サービスを定義することにより、ユーザの属性に応じたＩＰｓｅｃポリシー及び利用可能サービスを定義できる。
【００３６】
図５は管理者ユーザのユーザ権限管理情報と端末の設定情報とを表した一例の構成図である。図５のユーザ権限管理情報５１はユーザＩＤ「ａｄｍｉｎ」の管理者ユーザがＩＰｓｅｃによる通信とＦＴＰ，ＳＳＨ，ＴＥＬＮＥＴ，ＨＴＴＰ，ＨＴＴＰＳとを利用できることを表している。
【００３７】
図５のユーザ権限管理情報５１と端末３の設定情報５２とによれば、複合機１とユーザＩＤ「ａｄｍｉｎ」の管理者ユーザが操作する端末３とは、ＩＰｓｅｃによる通信とＦＴＰ，ＳＳＨ，ＴＥＬＮＥＴ，ＨＴＴＰ，ＨＴＴＰＳとを利用できる。図５のユーザ権限管理情報５１の許可情報に含まれる利用可能サービスは管理プロトコルの一例である。
【００３８】
図５のユーザ権限管理情報５１の許可情報に含まれる利用可能サービスは管理プロトコルが定義されている一方、印刷プロトコル（Ｓｔａｎｄａｒｄ  ＴＣＰ／ＩＰ、ＬＰＲなど）が定義されていない。つまり、管理者ユーザは複合機１を管理できるが、複合機１の印刷機能を利用できない。
【００３９】
したがって、端末３を操作するユーザが管理者ユーザである場合は管理者ユーザの操作する端末３と複合機１との通信路の暗号強度を上げることができ、不用意に複合機１の印刷機能を実行することにより重要なデータが漏洩してしまう事態を避けることができ、セキュリティ強度を上げることができる。
【００４０】
図６は一般ユーザのユーザ権限管理情報と端末の設定情報とを表した一例の構成図である。図６のユーザ権限管理情報６１はユーザＩＤ「ｕｓｅｒ１」の一般ユーザがＩＰｓｅｃによる通信とＳｔａｎｄａｒｄ  ＴＣＰ／ＩＰ，ＬＰＲ，ＩＰＰとを利用できることを表している。
【００４１】
図６のユーザ権限管理情報６１と端末３の設定情報６２とによれば、複合機１とユーザＩＤ「ｕｓｅｒ１」の一般ユーザが操作する端末３とは、ＩＰｓｅｃによる通信とＳｔａｎｄａｒｄ  ＴＣＰ／ＩＰ，ＬＰＲ，ＩＰＰとを利用できる。図６のユーザ権限管理情報６１の許可情報に含まれる利用可能サービスは印刷プロトコルの一例である。
【００４２】
図６のユーザ権限管理情報６１の許可情報に含まれる利用可能サービスは印刷プロトコルが定義されている一方、管理プロトコル（ＳＳＨ，ＴＥＬＮＥＴなど）が定義されていない。つまり、一般ユーザは複合機１の印刷機能を利用できるが、複合機１を管理できない。
【００４３】
したがって、端末３を操作するユーザが一般ユーザである場合は複合機１の印刷機能を実行することができるが、複合機１の管理を行うことができず、一般ユーザに複合機１の管理を行われる事態を避けることができ、セキュリティ強度を上げることができる。
【００４４】
図３のステップＳ１０に戻り、複合機１のプロトコル処理部１０が有しているＳＡネゴシエーション処理部１２は端末３から受信したＩＫＥ認証データ等を用いて端末３の設定情報に含まれるＩＰｓｅｃのセキュリティポリシーとポリシー管理部２０から提供されたＩＰｓｅｃのセキュリティポリシーとが一致しているかを検証する。
【００４５】
一致していれば、ＳＡネゴシエーション処理部１２はステップＳ１０に進み、ＳＡネゴシエーション結果，ＩＫＥ認証データ，利用可能サービス情報を端末３へ通知する。一致していなければ、ＳＡネゴシエーション処理部１２はエラーコードをセットしたＳＡネゴシエーション結果を端末３へ返し、ステップＳ３の端末３からのＳＡネゴシエーション要求を拒否する。
【００４６】
以上、本実施例のシステムでは、ＩＫＥｖ２で標準化されたユーザ認証と複合機１が提供する機能の利用権限とを結びつけ、ＩＫＥｖ２の相手相互認証をコントロールし、複合機１が提供する機能の利用権限をユーザ単位で設定できるようにしている。
【００４７】
したがって、本実施例のシステムではユーザの属性によって複合機１が提供する機能を異ならせることができるので、ユーザの属性から見て相応しくない操作による情報漏洩を防ぐ仕組みと、ユーザの属性から見て相応しくないＩＰｓｅｃのセキュリティポリシーによる通信を拒否する仕組みとを設け、セキュリティ強度を高めている。
【００４８】
本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。
【図面の簡単な説明】
【００４９】
【図１】本実施例のシステムを表した構成図である。
【図２】本実施例のシステムが有する複合機の詳細を表した構成図である。
【図３】本実施例のシステムの処理手順を表したシーケンス図である。
【図４】ユーザ権限管理ＤＢが管理するユーザ権限管理情報の一例の構成図である。
【図５】管理者ユーザのユーザ権限管理情報と端末の設定情報とを表した一例の構成図である。
【図６】一般ユーザのユーザ権限管理情報と端末の設定情報とを表した一例の構成図である。
【符号の説明】
【００５０】
１    複合機（ＭＦＰ）
２    ユーザ認証サーバ
３    端末
３ａ    ローカル端末
３ｂ    リモート端末
４    ユーザ権限管理ＤＢ
５    ローカルネットワーク
６    広域ネットワーク
１０    プロトコル処理部
１１    ＩＫＥ初期化処理部
１２    ＳＡネゴシエーション処理部
１３    ユーザ認証処理部
２０    ポリシー管理部
３０    ロール管理部
【図１】
2009253692.tif 000003
【図２】
2009253692.tif 000004
【図３】
2009253692.tif 000005
【図４】
2009253692.tif 000006
【図５】
2009253692.tif 000007
【図６】
2009253692.tif 000008