(57)【特許請求の範囲】
【請求項１】
多数の端末によりネットワークを介して情報の通信を行うネットワークシステムであって、上記各端末とは分離した形態で上記各端末のアクセス経路を規定したアクセス行列を設定評価するため上記各端末とネットワークとの間に接続されたアクセス評価／制御部を具備すると共に、
上記アクセス評価／制御部は、アクセス権の変更時においてネットワークに接続された複数のアクセス評価／制御部が互いにアクセス行列を集め、カバートチャネルを検出し、アクセス権の変更が必要ならユーザにその旨を伝えて変更するものであることを特徴とするネットワークシステム。
【請求項２】
上記アクセス評価／制御部は、更に、修正したアクセス行列のカバートチャネルを検証し、決定したアクセス行列についてネットワークに接続された複数のアクセス評価／制御部全ての一致を確認することによりネットワークが安全に動作する保証を得ることを特徴とする請求項１に記載のネットワークシステム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、多数のパソコン等の端末がネットワークに接続されたネットワークシステムに関し、特に、上記端末とは分離した形態でアクセス行列を設定評価するアクセス評価／制御部を設けたことによりアクセス制御部の改ざんや情報リークの問題を解決することができるネットワークシステムに関する。
【０００２】
【従来の技術】
近年、インターネット等の広域のネットワークが整備され、これを利用したデータの伝送が一般的に行われるようになり、ＦＡＸ通信もインターネットを介して通信可能となるなど画像関係の通信も盛んに行われている。
【０００３】
【発明が解決しようとする課題】
しかしながら、上記ネットワークにおいては、２つ以上の独立かつ安全なシステムが接続されると、他のシステムの資産が伝播してくることがあり、システムは互いに必ずしも安全でなくなる場合がある。すなわち、情報フローの視点からのセキュリティ問題としては、以下に述べるカバートチャネルの問題がある。
上記カバートチャネルとは、間接的な情報フローが原因で、情報リーク、あるいは、情報改ざんが引き起こされる問題である。図４にディジタル署名におけるカバートチャネル問題の概念図を示す。図４において、Ａはメッセージに署名する主体であり、署名文は主体Ｃによってｖｅｒｉｆｙ（承認）される。このとき、ディジタル署名の安全性の条件から
（１）署名文が第３者によって偽造できない、
（２）署名文が受信者によって偽造できない、
が満たされる。
ここで、図４に示す様に、主体Ａは論文を書いており、主体Ｂと主体Ａは競合関係にあり、主体Ａは自分の知的所有権を主体Ｂに主張したい。主体Ｃは主体Ａが書いた論文を査読しており、主体ＣとＢは大変に懇意の仲であると仮定する。この場合、主体Ａ、Ｃ間は上述した様にディジタル署名の安全性（１）（２）が成立しているが、主体Ｃが主体Ａの論文から署名をはずし、論文の内容を切り取ってコピーし、別ファイルにしてＢに送り付ければＡの知的財産（論文）はＢに無断で送られたことになる。以上の様にカバートチャネルによるデータ改ざんの問題は、ディジタル署名をもってしても防止できない。
【０００４】
次に、他の例によってカバートチャネルの問題について説明する。
図５に示すアクセス行列は、客体を行に、主体を列に取り、行列要素をＲ、Ｗ（Ｒはリード、Ｗはライトを表す）とする行列である。ユーザＳｄがリードを禁止されている客体ＯｉとユーザＳｄがリード可能な他の客体Ｏｋがあるとき、客体Ｏｋへ向かう経路が存在すれば、この経路が客体の機密性が維持できなくなることを引き起こす間接的経路となる。
例えば、会社の社員Ｓｘが人事部に、Ｓｄが技術部門に属していて、ＯｉはＳｘの部門から他部門へ出さないデータファイルの集合体、例えば人事考査ファイル等であり、ＯｋはＳｋとＳｄのそれぞれの部門間の電子メールファイルの集合体であると仮定する。図５ではＳｄが人事部の客体Ｏｉをリード不可（−Ｒ）となっているが、もし社員ＳｘがＳｄと結託し、客体Ｏｉ中の任意のデータファイルをリードして電子メールの客体Ｏｋにライトしておけば、Ｓｄは電子メールの客体Ｏｋをリードすることによって人事部の客体Ｏｉ中の任意のデータファイルを間接的に入手可能となる。
つまり、アクセス行列中の記述でＯｉ行Ｓｄ列が−Ｒ、すなわち、Ｓｄが客体Ｏｉをリード不許可であるのに、アクセス制御メカニズムが客体Ｏｋの中から客体Ｏｉを判別しないので、Ｓｄが客体Ｏｉを間接的にリード可能となり矛盾が生じる。この様な情報フロー経路がカバートチャネルである。
【０００５】
上記一連の情報フローをＯｉ、Ｏｋ、Ｓｘ、Ｓｄを節点とするグラフで表せば、図６の様に示される。この様なグラフ表現によって、カバートチャネルが求められる。すなわち、図６では情報フローはＯｉ→Ｓｘ→Ｏｋ→Ｓｄとなっており、一方向である。それにも拘わらず間接的な情報リークとなってしまうのはユーザＳｄが客体Ｏｉをリード不許可との条件があるためである。カバートチャネルの求めかたに関しては、参考文献（Ｔｅｔｓｕｙａ  ＭＯＲＩＺＵＭＩ，Ｈｉｒｏｓｈｉ  ＮＡＧＡＳＥ，Ｔｏｙｏｆｕｍｉ  ＴＡＫＥＮＡＫＡ，Ｋｏｕｉｃｈｉ  ＹＡＭＡＳＨＩＴＡ：”Ａｎ  Ｅｖａｌｕａｔｉｏｎ  ｏｆ  Ｓｅｃｕｒｉｔｙ  Ｒｅｑｕｉｒｅｍｅｎｔｓ  Ｂａｓｅｄ  ｏｎ  ｔｈｅ  Ｃａｐａｂｉｌｉｔｙ  Ｍｏｄｅｌ”，ＩＥＣＥ  Ｔｒａｎｓ．，Ｖｏｌ．Ｅ．７４，Ｎｏ．８，ＡＵＧ．，１９９１）に記載されている。
図７に、従来のアクセス制御メカニズムを示す。図７において、端末Ａは、アクセス制御部１、ＣＰＵ３、他の機能部（ｏｔｈｅｒ）５を有し、アクセス制御部１にはアクセス行列、および、アクセス行列に基づいたカバートチャネル検出機能、アクセス行列変更支援機能、情報フロー制御機能が組み込まれている。そして、アクセス制御部１は、端末機能に包含された形態でインプリメントされている。
図７のＣＰＵ３は端末制御、アクセス制御部１の制御、ｏｔｈｅｒと示したその他の機能部（画面制御等）５を制御する。カバートチャネルの評価としては、一つの端末のみでは不可能であり、複数のユーザがアクセス行列の要求を出し、例えばセンターがこれを収集して、全ユーザのアクセス行列を作成し、しかる後にカバートチャネル検出を行い、上記検出したカバートチャネルに基づいて上記アクセス行列を修正し、カバートチャネルによる情報リークを防止する様にしていた。
【０００６】
さて、上記アクセス制御部１は、一般的にソフトウェアにて構成されているので、図８に示す様に、端末Ａのアクセス制御部１をコピーし、他の端末Ｘにペーストすれば、いくらでもダミーが作成可能であるし、あるいは、アクセス制御部１に書かれているアクセス行列を変更することが可能である。従って、従来装置では「カバートチャネルを検出し、防止するメカニズム」を簡単に破壊することができるという問題があった。すなわち、上記図５に示すアクセス行列の例の場合、例えば、社員Ｓｄが客体Ｏｋをリード不可にしてカバートチャネルを防止しても、社員Ｓｘの端末のアクセス制御部をコピーして社員Ｓｄの端末にペーストすれば上記社員Ｓｄは上記客体Ｏｉをリード可能となるし、上記社員Ｓｄが自分の端末のアクセス行列を変更して上記客体Ｏｉをリード可能とすれば上記社員Ｓｄは上記客体Ｏｉをリードすることができるわけである。
また、ネットワークに接続された複数の端末各々のアクセス制御部が改ざんされず安全に動作しているかどうかの保証がないということは大きな問題であった。これは、インターネット等、ネットワークがグローバル化すればするほどますます深刻な問題になって来る。
本発明は、上述のごとき従来の欠点を除去すべくためされたものであり、端末とは分離した形態でアクセス行列を設定評価するアクセス評価／制御部を設けたことによりアクセス制御部の改ざんによる情報リークの問題を解決することができるネットワークシステムを提供することを目的とする。
【０００７】
【課題を解決するための手段】
上記目的を達成するため、本発明は、多数の端末によりネットワークを介して情報の通信を行うネットワークシステムであって、上記各端末とは分離した形態で上記各端末のアクセス経路を規定したアクセス行列を設定評価するため上記各端末とネットワークとの間に接続されたアクセス評価／制御部を具備すると共に、上記アクセス評価／制御部は、アクセス権の変更時においてネットワークに接続された複数のアクセス評価／制御部が互いにアクセス行列を集め、カバートチャネルを検出し、アクセス権の変更が必要ならユーザにその旨を伝えて変更するものであることを特徴とする。
本発明の他の特徴は、上記アクセス評価／制御部は、更に、修正したアクセス行列のカバートチャネルを検証し、決定したアクセス行列についてネットワークに接続された複数のアクセス評価／制御部全ての一致を確認することによりネットワークが安全に動作する保証を得ることを特徴とする。
【０００８】
【発明の実施の形態】
以下、本発明を図示した実施形態に基づいて説明する。図１は、本発明によるネットワークシステムの一実施形態の概略構成図である。
図１に示す様に、このネットワークシステムは、ネットワーク７に接続された多数のアクセス評価／制御部９と、上記各アクセス評価／制御部９に接続された端末１１とを有している。
すなわち、このネットワークシステムの最大の特徴は、端末とは分離した形態でアクセス行列を設定評価するアクセス評価／制御部を設けたことによりアクセス制御部の改ざんによる情報リークの問題を解決することができることである。図２に示す様に、上記各アクセス評価／制御部９は、アクセス制御部１３と、個人識別部１５と、ＣＰＵ１７とを有しており、上記アクセス評価／制御部９と端末１１（Ａ）との間では、ネットワークへの送受信信号と、アクセス行列の変更要求、アクセス行列表示信号がやり取りされる。上記個人識別部は、パワーオン時、および定期的な周期で個人識別する様になっており、個人情報の経年変化を学習し、個人識別率を高めている。ここでの、個人識別機能は、従来より使用されている声紋、指紋等が適用可能である。
また、上記アクセス制御部１３にはアクセス行列、および、アクセス行列に基づいたカバートチャネル検出機能、アクセス行列変更支援機能、情報フロー制御機能が組み込まれている。
なお、上記ＣＰＵ部１７は上記アクセス制御部１３および個人識別部１５を制御する様に構成されている。
また、ユーザ登録は個人情報を以てアクセス評価／制御部９が行い、ネットワーク７に接続されている全アクセス評価／制御部９がネットワーク７を介して共有する様になっている。
また、アクセス評価／制御部９の内部への侵入は、ハードウェア的に困難である構造となっている。この構造としては、一般的に用いられている密閉構造、あるいは、プログラムの暗号化等の従来手法が適用可能である。
【０００９】
次に、上記ネットワークシステムにおける上記アクセス評価／制御部９によるアクセス行列の評価方法について図３の動作フローチャートを参照して説明する。
このアクセス行列の評価によりネットワークにおける安全な動作の保証が得られるものである。
まず、図３のステップ１０１において、アクセス権の変更時において、上記ネットワーク７に接続された複数のアクセス評価／制御部９が互いにアクセス行列を集め、上記各アクセス評価／制御部９により、カバートチャネルが検出される（ステップ１０３）。次に、ステップ１０４において、アクセス権の変更が必要か否かが判定される。次に、ステップ１０５において、上記各アクセス評価／制御部９により、アクセス権の変更が必要な場合にユーザにその旨が伝えられ、アクセス権が変更され、ステップ１０７において、上記各アクセス評価／制御部９により、修正されたアクセス行列のカバートチャネルが検証される。
次に、ステップ１０９において、上記各アクセス評価／制御部３により、アクセス行列が決定され、上記ネットワーク７に接続された複数のアクセス評価／制御部９の全ての一致が確認される。この確認方法は、多数決などの従来手法が使われる。
次に、ステップ１１１において、ユーザからさらなるアクセス権の変更が提示されているか否かが判定され、アクセス権の変更がユーザから提示されない場合は、ステップ１１３において、上記アクセス行列に基づいて、情報フローが制限される。
また、上記ステップ１１１においてアクセス権の変更がユーザから提示された場合は、上記ステップ１０１へ戻る。
以上の様にアクセス評価／制御部９はネットワーク７を介して互いに共通に評価されたアクセス行列を持ち、かつ、アクセス評価／制御部９がユーザ側の端末１１とはアクセス評価／制御機能の視点において分離されているため、アクセス制御部が改ざんされることがなく、安全に動作する保証が得られる。
【００１０】
【発明の効果】
本発明は、以上に説明されたごとく構成するものであるから、アクセス評価／制御部のダミーによる不正な情報リークが防止され、かつ、ネットワークが安全に動作する保証が得られる。
【図面の簡単な説明】
【図１】本発明によるネットワークシステムの一実施形態の概略構成図である。
【図２】図１に示したアクセス評価／制御部の内部構成を示す図である。
【図３】図１に示したネットワークシステムにおけるアクセス行列の評価方法のフローチャートである。
【図４】ネットワークにおけるカバートチャネル問題の概念図である。
【図５】ネットワークにおけるカバートチャネル問題を示すためのアクセス行列および客体の一例を示す図である。
【図６】図５に示したアクセス行列において客体の機密性が維持できなくなる情報フローを示す図である。
【図７】従来の端末におけるアクセス制御メカニズムを示す概念図である。
【図８】従来の端末におけるアクセス制御メカニズムの欠点を示す説明図である。
【符号の説明】
１、１３…アクセス制御部、              ３、１７…ＣＰＵ、
５…その他の機能部、                    ７…ネットワーク、
９…アクセス評価／制御部、              １１…端末、
１５…個人識別部、
【図１】
0003806915.tif 000002
【図２】
0003806915.tif 000003
【図３】
0003806915.tif 000004
【図４】
0003806915.tif 000005
【図５】
0003806915.tif 000006
【図６】
0003806915.tif 000007
【図７】
0003806915.tif 000008
【図８】
0003806915.tif 000009