アウトバンド認証を伴うネットワークシステム
【課題】 高度なセキュリティ性および優れた操作性を有するネットワークシステムを提供することを目的とする。
【解決手段】 情報を提供する情報提供サーバ１２と、第１のネットワーク１３とを有する情報提供システム１０、利用者端末５０を利用する利用者５１の、情報提供サーバ１２へのアクセス権限の認証を行う認証サーバ２２と、第２のネットワーク２３とを有する認証システム２０、および認証システム２０での認証結果を情報提供システム１０に通知する通信路３０を有し、認証システム２０は、利用者５１が正当なアクセス権限を有する者である場合に、利用者端末５０を特定する端末情報を情報提供システム１０に通知するものであり、情報提供システム１０は、利用者端末５０が、認証システム２０から通知を受けた端末情報に合致する利用者端末である場合に情報提供サーバ１２の利用を許可する。
【解決手段】 情報を提供する情報提供サーバ１２と、第１のネットワーク１３とを有する情報提供システム１０、利用者端末５０を利用する利用者５１の、情報提供サーバ１２へのアクセス権限の認証を行う認証サーバ２２と、第２のネットワーク２３とを有する認証システム２０、および認証システム２０での認証結果を情報提供システム１０に通知する通信路３０を有し、認証システム２０は、利用者５１が正当なアクセス権限を有する者である場合に、利用者端末５０を特定する端末情報を情報提供システム１０に通知するものであり、情報提供システム１０は、利用者端末５０が、認証システム２０から通知を受けた端末情報に合致する利用者端末である場合に情報提供サーバ１２の利用を許可する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アウトバンド認証（ネットワーク外認証）を伴うネットワークシステムに関する。
【背景技術】
【０００２】
近年、パーソナルコンピュータの急速な普及と共に、コンピュータやパケット通信装置の高機能化、高性能化が進んでいる。企業内ではビジネスを円滑に進めるためのツールとしてネットワークの重要性が高まりつつあり、ネットワーク上で重要なデータのやり取りが行われるようになっている。そのため、外部からの不正アクセスやウイルスなどの攻撃に対してファイアウォール等のセキュリティ装置を用いて企業内のデータを守るためのセキュリティ対策が考えられている。それらのセキュリティ対策として、近年、特に注目されているものの一つに、ネットワーク認証技術がある。
【０００３】
このネットワーク認証は、ネットワークを利用しようとする利用者がそのネットワークの正当な利用者として許可された者であるか否かを認証し、許可されていない利用者にはネットワークを使わせないようにすることによって不正な利用者を排除する技術である。
【０００４】
このようなネットワーク認証技術として、例えば、公衆回線網に接続された端末からルータを介して接続された他のネットワークにアクセスする際に利用者の認証を行う利用者認証装置において、認証済み利用者認証情報を前記ルータに記憶させておき、該認証済み利用者認証情報を用いて利用者の認証を行うようにした利用者認証装置が開示されている（例えば、特許文献１参照）。
【特許文献１】特開平１１−３５５２６６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、上記特許文献１に開示された認証処理はインバンド認証、すなわちネットワークの内部で認証を行うシステムであるため、本来は認証後にしか利用できないはずのネットワークを利用して認証を行わなければならない。従って、認証に関する通信に限り認証前でもネットワークを利用できるようにしなければならない。例えば、イーサネット（登録商標）上でネットワーク認証を実現するＩＥＥＥ（電気電子学会：Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ）８０２．１ｘの場合には、Ｌ２−ＳＷ（レイヤ２スイッチ）に接続されたクライアントは、Ｌ２−ＳＷまでの通信路のみ利用可能であり、Ｌ２−ＳＷがクライアントから受けた認証用のパケットを自ら認証サーバに対して送信することにより認証が行われるようになっている。
【０００６】
このように、インバンドで認証を行う場合には、実際に認証を行うサーバとクライアントとの対応だけでなく、途中の通信路上の全てのネットワーク機器、または一部のネットワーク機器がその認証方式をサポートしている必要がある。従って、新たな認証方式が登場した時には、それまで利用してきたネットワーク機器は、そのままでは利用できなくなる恐れがある。例えば、検疫システムのように、認証処理の他に別の処理が入り、全体の手順が複雑になるような場合には、ネットワーク機器を新たな認証方式に対応したものに入れ替えなければならない。
【０００７】
また、従来方式では、認証の前後でアクセス制限が変更されるが、利用者があるサーバを利用しようとした時にたまたまそのサーバが使えない状態となった場合は、何が原因でサーバにアクセスできなくなったのかがわかりくいという問題がある。すなわち、認証が失敗であったのか、認証は正しかったがアクセス制限が変更されなかったのか、サーバヘのアクセス経路がダウンしているのか、あるいは、該当するサーバ自体がダウンしているのか等々、多くの原因が考えられるが真の原因を突き止めることはきわめて難しいという問題がある。このような問題は、本来利用が規制されているネットワークを使ってインバンドで認証を行っているために生じる問題である。
【０００８】
本発明は、上記事情に鑑み、高度なセキュリティ性および優れた操作性を有するアウトバンド認証を伴うネットワークシステムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成する、アウトバンド認証を伴う本発明の第１のネットワークシステムは、
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、
上記利用者端末が接続される、上記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、上記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システム、および
上記認証システムでの認証結果を上記情報提供システムに通知する通信路を有し、
上記認証システムが、上記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、上記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、上記利用者端末を特定する端末情報を、上記通信路を経由して、上記情報提供システムに通知するものであり、
上記情報提供システムは、上記第１の接続口に接続された利用者端末が、上記認証システムから上記通信路を経由して通知を受けた端末情報に合致する利用者端末である場合に、該利用者端末による上記情報提供サーバの利用を許可するものであることを特徴とする。
【００１０】
本発明の第１のネットワークシステムによれば、情報提供システム側の第１のネットワークと、認証システム側の第２のネットワークとを互いに独立したネットワークとしたので、第２のネットワークの方で認証処理を行うことにより、簡単な操作で第１のネットワークを利用することができる。従って、双方のシステムの負荷が軽減され軽快な動作を行わせることができる。また、第２のネットワークにおける認証方法をより強固な認証方式に変更するだけで、第１のネットワークに何らの変更を加えることなく、ネットワークシステム全体のセキュリティ性をレベルアップすることができる。
【００１１】
ここで、上記認証システムが、上記第２の接続口に接続され上記認証サーバにより正当なアクセス権限を有する利用者である旨の認証を受けた利用者端末から該利用者端末を特定する端末情報を取得して登録するとともに該端末情報を上記通信路を経由して上記情報提供システムに通知し、さらに該通知からの経過時間を測定して所定時間経過後に、該利用者端末による上記情報提供サーバの利用の禁止を指示する禁止指示情報を上記通信路を経由して上記情報提供システムに通知するとともに該利用者端末の端末情報の記録を抹消する情報登録用サーバを備え、
上記情報提供システムが、上記認証システムからの端末情報の通知を受けて該端末情報により特定される利用者端末による上記情報提供サーバの利用を許可し、上記認証システムからの禁止指示情報の通知を受けて該禁止指示情報により特定される利用者端末による上記情報提供サーバの利用を禁止するアクセス装置を備えたものであってもよい。
【００１２】
本発明の第１のネットワークシステムを上記のように構成した場合は、より信頼性の高いネットワークシステムを構築することができる。
【００１３】
また、上記端末情報が、上記第２の接続口に接続された利用者端末のＭＡＣアドレスに基づく情報であってもよい。ここで、ＭＡＣアドレスとは、ＩＥＥＥが管理・割当てをしている各メーカごとに固有な番号と、メーカが独自に各通信機器に割り当てる番号の組み合わせによって表される、各通信機器のイーサネット（登録商標）カード固有の識別情報である。
【００１４】
本発明の第１のネットワークシステムを上記のように構成した場合は、さらに信頼性の高いネットワークシステムを構築することができる。
【００１５】
また、上記端末情報が、上記第２の接続口に接続された利用者端末のＩＰアドレスに基づく情報であってもよい。ここで、ＩＰアドレスとは、インターネットやイントラネットなどのＩＰネットワークに接続されたコンピュータや通信機器ごとに割り振られた識別番号をいう。
【００１６】
本発明の第１のネットワークシステムを上記のように構成した場合は、さらに信頼性の高いネットワークシステムを構築することができる。
【００１７】
また、上記目的を達成する、アウトバンド認証を伴う本発明の第２のネットワークシステムは、
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
上記利用者端末が接続される、上記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、上記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
上記認証システムが、上記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、上記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、上記利用者端末に暗号化用の鍵情報を渡すものであり、
上記情報提供システムは、上記第１の接続口に接続された利用者端末から送信されてきた、上記鍵情報により正規に暗号化された情報を受け入れて該利用者端末に上記情報提供サーバを利用させるものであることを特徴とする。
【００１８】
本発明の第２のネットワークシステムによれば、情報提供システム側の第１のネットワークと、認証システム側の第２のネットワークとを互いに独立したネットワークとしたので、第２のネットワークの方で認証処理を行うことにより、簡単な操作で第１のネットワークを利用することができる。従って、双方のシステムの負荷が軽減され軽快な動作を行わせることができる。また、第２のネットワークにおける認証方法をより強固な認証方式に変更するだけで、第１のネットワークに何らの変更を加えることなく、ネットワークシステム全体のセキュリティ性をレベルアップさせることができる。
【００１９】
また、この第２のネットワークシステムでは、本発明の第１のネットワークシステムにおいては必要であった通信路３０（図３参照）は不要であり、第１のネットワークと第２のネットワークとの独立性はさらに強められている。
【００２０】
ここで、上記認証システムが、暗号化用の鍵情報を保持し、正当なアクセス権限を有する利用者である旨の認証を行う認証サーバからの要請を受けて該鍵情報を該認証サーバに渡す情報通知用サーバを備え、
上記認証サーバが、上記情報通知用サーバから上記鍵情報を受け取って、該鍵情報を伴う、上記情報提供システムの利用許可情報を、上記第２の接続口に接続され正当なアクセス権限を有する利用者である旨の認証を与えた利用者端末に通知するものであってもよい。
【００２１】
本発明の第２のネットワークシステムを上記のように構成した場合は、より信頼性の高いネットワークシステムを構築することができる。
【００２２】
また、上記情報提供システムは、上記第１の接続口に接続された利用者端末から送信されてきた上記情報提供サーバをアクセスするための情報が上記鍵情報により正規に暗号化された暗号化情報である場合に該暗号化情報を復号化して上記情報提供サーバに伝えるとともに、不正な情報である場合には該情報を破棄するアクセス装置を備えたものであってもよい。
【００２３】
本発明の第２のネットワークシステムを上記のように構成した場合は、さらに信頼性の高いネットワークシステムを構築することができる。
【００２４】
また、上記目的を達成する、アウトバンド認証を伴う本発明の第３のネットワークシステムは、
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
上記利用者端末が接続される、上記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、上記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
上記認証システムが、上記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、上記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、上記利用者端末に該利用者の種別に応じたアクセス権限の種別情報を渡すものであり、
上記情報提供システムは、上記第１の接続口に接続された利用者端末から上記種別情報を受け取り、該利用者端末に該種別情報に応じたアクセスを許可するものであることを特徴とする。
【００２５】
本発明の第３のネットワークシステムによれば、情報提供システム側の第１のネットワークと、認証システム側の第２のネットワークとを互いに独立したネットワークとしたので、第２のネットワークの方で認証処理を行うことにより、簡単な操作で第１のネットワークを利用することができる。従って、双方のシステムの負荷が軽減され軽快な動作を行わせることができる。また、第２のネットワークにおける認証方法をより強固な認証方式に変更するだけで、第１のネットワークに何らの変更を加えることなく、ネットワークシステム全体のセキュリティ性をレベルアップさせることができる。
【００２６】
また、この第３のネットワークシステムでは、本発明の第１のネットワークシステムにおいて必要であった通信路は不要であり、第１のネットワークと第２のネットワークとの独立性をさらに強めることができる。
【００２７】
ここで、上記情報提供システムは、上記第１の接続口に接続された、上記種別情報を伴う情報を受け取り、該情報を、該情報に付随した種別情報に応じて通過させ、あるいは破棄するアクセス装置を備えたものであってもよい。
【００２８】
本発明の第３のネットワークシステムを上記のように構成した場合は、より信頼性の高いネットワークシステムを構築することができる。
【発明の効果】
【００２９】
以上説明したように、本発明によれば、第２のネットワークで認証処理を行うことにより簡単な操作で第１のネットワークを利用することができるようになるので、高度のセキュリティ性および優れた操作性を有するネットワークシステムを実現することができる。
【発明を実施するための最良の形態】
【００３０】
以下、図を参照して本発明の実施の形態を説明する。
【００３１】
図１は、本発明の各実施形態のネットワークシステムが形成されるコンピュータシステムの概略構成図である。
【００３２】
ここには、利用者端末５００が接続される第１の接続口２０５と、情報提供サーバとして動作するコンピュータ１００およびアクセス装置として動作するコンピュータ２００をＬＡＮケーブル９００を介して接続する第１のネットワーク４０１と、利用者端末５００が接続される第２の接続口６０５と、認証サーバとして動作するコンピュータ６００および情報登録用サーバ又は情報通知用サーバとして動作するコンピュータ７００をＬＡＮケーブル９００を介して接続する第２のネットワーク４０２と、利用者端末として動作するコンピュータ５００とが示されている。
【００３３】
なお、このシステムでは、第１の接続口２０５および第２の接続口６０５という物理的に異なる２つの接続口を備えているが、接続口は必ずしも２個備える必要はなく、システム全体に対して１個の接続口を備えた構成であってもよい。
【００３４】
また、図１には情報提供サーバとして動作するコンピュータとして１台のコンピュータ１００のみが示されているが、情報提供サーバとして動作するコンピュータは１台に限られるものではなく複数台であってもよい。
【００３５】
第１の接続口２０５、第２の接続口６０５にはＬＡＮコネクタが用いられ、これらの接続口に利用者端末５００のＬＡＮケーブル先端のモジュラープラグ５０５が挿入されるようになっている。
【００３６】
本実施形態では、これら２つのネットワーク４０１，４０２が、複数のコンピュータシステムが設置された１つの企業内のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）として構築された例について説明しているが、インターネットやＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）として構築された、複数の企業に跨る処理を行なうネットワークシステムであってもよい。
【００３７】
上記第１のネットワーク４０１および第２のネットワーク４０２は、互いに独立したネットワークとして構成されており、利用者端末５００を、先ず第２のネットワーク４０２に接続して認証処理を行い、認証処理が完了した後、第２のネットワーク４０２との接続を絶ってから、第１のネットワーク４０１に接続することによって第１のネットワーク４０１内の情報提供サーバからの情報提供を受けるように構成されている。
【００３８】
なお、図１には、第２のネットワーク４０２から第１のネットワーク４０１に認証結果を通知するための通信路３０が示されているが、後述するように複数のネットワークシステムのうち第１の実施形態のネットワークシステムのみが通信路３０を備えており、第２および第３の実施形態のネットワークシステムには通信路は備えられていない。
【００３９】
上記の各コンピュータ１００，２００，６００，７００としては、一般にパーソナルコンピュータやワークステーションと呼ばれるコンピュータシステム、またはブレードサーバなどを用いることができる。また、図１に示すシステムでは、コンピュータ５００には、いわゆるノート型パーソナルコンピュータが用いられている。
【００４０】
上記の各コンピュータ１００，２００，５００，６００，７００は、ＣＰＵ（中央処理装置）、ＲＡＭ（ランダムアクセスメモリ）、ハードディスク、通信用ボード等が内蔵された本体部１０１，２０１，５０１，６０１，７０１からの指示により表示画面１０２ａ，２０２ａ，５０２ａ，６０２ａ，７０２ａ上に画像や文字列を表示するディスプレイ１０２，２０２，５０２，６０２，７０２、各コンピュータ１００，２００，５００，６００，７００に利用者の指示を入力するためのキーボード１０３，２０３，５０３，６０３，７０３、表示画面１０２ａ，２０２ａ，５０２ａ，６０２ａ，７０２ａ上の任意の位置を指定することにより、その指定時にその位置に表示されていたアイコン等に応じた指示を入力するマウス１０４，２０４，６０４，７０４、およびトラックパッド５０４を備えている。
【００４１】
本体部１０１，２０１，５０１，６０１，７０１は、さらに外観上、ＭＯ（光磁気ディスク）、ＣＤ／ＤＶＤが装填されるＭＯ装填口１０１ａ，２０１ａ，５０１ａ，６０１ａ，７０１ａ、ＣＤ／ＤＶＤ装填口１０１ｂ，２０１ｂ，５０１ｂ，６０１ｂ，７０１ｂを有しており、それらの内部には、それらの装填口１０１ａ，２０１ａ，５０１ａ，６０１ａ，７０１ａ，１０１ｂ，２０１ｂ，５０１ｂ，６０１ｂ，７０１ｂから装填されたＭＯやＣＤ又はＤＶＤをドライブしてアクセスするＭＯドライブやＣＤ／ＤＶＤドライブが内蔵されている。
【００４２】
図２は、図１に外観を示したコンピュータのハードウェア構成図である。
【００４３】
ここでは代表的にコンピュータ１００を取り上げて説明するが、コンピュータ２００，５００，６００，７００も基本的に同様の構成を有する。
【００４４】
図２のハードウェア構成図には、ＣＰＵ１０５、ＲＡＭ１０６、ハードディスクコントローラ１１３、ＭＯドライブ１１４、ＣＤ／ＤＶＤドライブ１１５、マウスコントローラ１１６、キーボードコントローラ１１７、ディスプレイコントローラ１１８、および通信用ボード１１９が示されており、それらはバス１１０で相互に接続されている。
【００４５】
ＭＯドライブ１１４、ＣＤ／ＤＶＤドライブ１１５は、図１を参照して説明したように、それぞれＭＯ装填口１０１ａおよびＣＤ／ＤＶＤ装填口１０１ｂから装填されたＭＯ６０１、ＣＤ／ＤＶＤ６０２をアクセスするものである。
【００４６】
通信用ボード１１９はネットワーク４０１，４０２（図１参照）に接続される。
【００４７】
また、図２には、ハードディスクコントローラ１１３によりアクセスされるハードディスク６００、マウスコントローラ１１６により制御されるマウス１０４、キーボードコントローラ１１７により制御されるキーボード１０３、およびディスプレイコントローラ１１８により制御されるディスプレイ１０２も示されている。
【００４８】
図３は、本発明の第１の実施形態のネットワークシステムの概略構成図である。
【００４９】
図３に示すように、このネットワークシステム１は、情報提供システム１０、認証システム２０、および通信路３０を有する。
【００５０】
情報提供システム１０は、利用者５１により操作される利用者端末５０が接続される第１の接続口１１と、利用者端末５０に情報を提供する情報提供サーバ１２と、利用者端末５０による情報提供サーバ１２の利用を許可し、又は利用を禁止するアクセス装置１４と、上記アクセス装置１４と上記情報提供サーバ１２とを接続する第１のネットワーク１３とを有する。
【００５１】
なお、図３には、１台の情報提供サーバ１２のみが示されているが、情報提供サーバは１台に限られるものではなく複数台であってもよい。
【００５２】
認証システム２０は、利用者端末５０が接続される、第１の接続口１１とは物理的に異なる第２の接続口２１と、利用者端末５０を利用する利用者５１の、情報提供サーバ１２へのアクセス権限の認証を行う認証サーバ２２と、端末情報を取得して登録するとともに該端末情報を通信路３０を経由して情報提供システム１０に通知する情報登録用サーバ２４と、上記情報提供サーバ１２と上記情報登録用サーバ２４とを接続する第２のネットワーク２３とを有する。
【００５３】
本実施形態では、認証サーバ２２として、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバ、すなわち、クライアントサーバモデルのダイヤルアップ接続利用者認証システムを用いているが、本発明の認証サーバは、このＲＡＤＩＵＳサーバに限定されるものではなく、このネットワークシステムの情報提供サーバへのアクセス権限の認証を行うことのできる認証サーバであればどのような方式の認証サーバを用いてもよい。
【００５４】
通信路３０は、認証システム２０での認証結果を情報提供システム１０に通知するものである。
【００５５】
本実施形態では、認証システム２０は、第２の接続口２１に接続された利用者端末５０を操作する利用者５１の認証を行い、利用者５１が、情報提供サーバ１２への正当なアクセス権限を有する利用者である場合に、第２の接続口２１に接続され上記認証サーバ２０により正当なアクセス権限を有する利用者である旨の認証を受けた利用者端末５０から該利用者端末を特定する端末情報を取得して登録するとともに、該端末情報を通信路３０を経由して情報提供システム１０に通知する情報登録用サーバ２４を備えている。
【００５６】
さらに、本実施形態の情報登録用サーバ２４は、該通知からの経過時間を測定して、所定時間経過後に、該利用者端末５０による情報提供サーバ１２の利用の禁止を指示する禁止指示情報を通信路３０を経由して情報提供システム１０に通知するとともに、該利用者端末５０の端末情報の記録を抹消する一方、上記情報提供システム１０は、第１の接続口１１に接続された利用者端末５０が、認証システム２０から通信路３０を経由して通知を受けた端末情報に合致する利用者端末である場合に、利用者端末５０による情報提供サーバ１２の利用を許可し、認証システム２０からの禁止指示情報の通知を受けて該禁止指示情報により特定される利用者端末による情報提供サーバ１２の利用を禁止するアクセス装置１４を備えている。
【００５７】
次に、本実施形態のネットワークシステム１の動作について説明する。
【００５８】
ここでは、このネットワークシステム１を備えた企業を訪れた来訪者（利用者）が、このネットワークシステム１に備えられた情報提供サーバ１２を一時的に利用しようとする場合について説明する。
【００５９】
図４は、第１の実施形態における通信シーケンスを示す図である。
【００６０】
利用者５１（図３参照）がこのネットワークシステム１を備えた企業を訪れ、受付の担当者に情報提供システム１０の利用を申し出るとともに、図１および図４に示すように、利用者端末５０のＬＡＮケーブル５２を認証システム２０の第２の接続口２１であるコンピュータ３００のＬＡＮコネクタ２０５に接続して認証処理を行う（図４：ステップＳ１１）。
【００６１】
この認証処理は、本実施形態では認証サーバ２２によるＲＡＤＩＵＳ認証手順を用いて利用者本人の認証を行うようになっているが、これ以外にどのような方法で利用者の本人認証を行ってもよく、例えば、訪問者の名前や会社名等の情報に基づき受付担当者により本人であることを確認するようにしてもよい。
【００６２】
本実施形態では、認証サーバ２２による認証処理が完了した後に、利用者端末５０を特定する端末情報として、利用者端末５０のＭＡＣアドレスが認証サーバ２２により読み出され（図４：ステップＳ１２）、情報登録用サーバ２４に登録される。情報登録用サーバ２４は、登録された端末情報に基づき利用者５１の訪問場所（例えば、会議室や応接室など）に存在するアクセス装置１４に対してアクセス制限の解除を行うよう、通信路３０を経由して情報提供システム１０に通知するとともに、利用者端末５０にも通知する。
【００６３】
アクセス装置１４は基本的にアクセス拒否状態となっており、上記アクセス制限の解除の通知を情報登録用サーバ２４から受けたときだけアクセス制限解除対象の利用者端末からのアクセスを許可するようになっている。
【００６４】
なお、本実施形態では、利用者の訪問時間に合わせて利用許可時間情報を情報登録用サーバ２４に保有しておき、その利用許可時間情報に基づきアクセス制限の解除／再制限を行うようになっている。
【００６５】
利用者５１は、認証システム２０による認証処理が終わった後、第２のネットワーク２３の第２の接続口２１と利用者端末とのＬＡＮ接続を外してから訪問場所（会議室／応接室）に移動し、第１のネットワーク１３の接続口１１と利用者端末とのＬＡＮ接続を行い、第１のネットワーク１３の利用を開始する。
【００６６】
前述の通り、アクセス装置１４では、情報登録用サーバ２２から受け取った端末情報と、利用者端末５０から受け取った端末情報との対応付けを行い、対応が付いた場合に、利用者端末５０の利用を可能とする。以上のように構成されているため、利用者５１は利用者端末５０による第１のネットワーク１３の利用に際して訪問場所での特別な設定や操作を行うことなしに、情報提供システム１０を利用することができる（図４：ステップＳ１３）。
【００６７】
情報登録用サーバ２２は、図４に示すように、利用許可時間ｔ（図４参照）が経過した後は、再びアクセス制限をかけるようにアクセス装置１４に指示を出す（図４：ステップＳ１４）。アクセス制限指示が出された後は、利用者５１は第１のネットワーク１３を利用することができない。第１のネットワーク１３を続けて利用したいときには、利用者端末５０を第２のネットワーク２３に再び接続し、認証システム２０による再認証・再登録の手続きを行う必要がある（図４：ステップＳ１５、ステップＳ１６）。
【００６８】
以上のように、このネットワークシステム１においては、第１のネットワーク１３側の情報提供システム１０内での認証処理は行われず、第２のネットワーク２３側の認証システム２０が認証処理を行う。そして、認証システム２０で認証された利用者が第１のネットワーク１３内の情報提供サーバ１２を利用することができる。
【００６９】
以上の説明では、端末情報として利用者端末５０のＭＡＣアドレスを用いた場合の例を示しているが、ＭＡＣアドレスの代わりに、利用者端末５０のＩＰアドレス（インターネットやイントラネットなどのＩＰネットワークに接続されたコンピュータや通信機器に割り振られた固有の識別情報）に基づく情報を端末情報として用いてもよい。これ意外にも、認証対象となる利用者端末を特定できる情報、あるいは利用者端末固有の情報であれば、端末情報として適宜利用可能である。
【００７０】
また、利用者端末５０の利用時間を延長したい場合に、再認証の場合に限り、第１のネットワーク１３上で再認証を行えるように構成してもよい。ただし、この場合は、認証サーバおよび情報登録用サーバが、第１のネットワーク１３上にも存在しなければならず、また本来の認証用ネットワークである第２のネットワーク２３との間で、データの同期がとれるようにしておく必要がある。
【００７１】
以上のようにして、この第１の実施形態のネットワークシステム１では、第１のネットワーク１３側では認証処理は行われず、第２のネットワーク２３側で認証された利用者のみが第１のネットワーク１３内の情報提供サーバ１２を利用することができる。
【００７２】
次に、本発明の第２の実施形態について説明する。
【００７３】
図５は、本発明の第２の実施形態のネットワークシステムの概略構成図である。
【００７４】
なお、この第２の実施形態のネットワークシステム２は、アウトバンド認証を伴う本発明の第２のネットワークシステムに相当する。
【００７５】
図５に示すように、本実施形態のネットワークシステム２は、情報提供システム６０および認証システム７０を有している。
【００７６】
情報提供システム６０は、利用者５１により操作される利用者端末５０が接続される第１の接続口６１と、利用者端末５０に情報を提供する情報提供サーバ６２と、第１の接続口６１と情報提供サーバ６２とを接続する第１のネットワーク６３とを有する。
【００７７】
認証システム７０は、利用者端末５０が接続される、第１の接続口６１とは物理的に異なる第２の接続口７１と、利用者端末５０を利用する利用者５１の、情報提供サーバ６２へのアクセス権限の認証を行う認証サーバ７２と、第２の接続口７１と認証サーバ７２とを接続する第２のネットワーク７３とを有している。
【００７８】
この認証システム７０は、第２の接続口７１に接続された利用者端末５０を操作する利用者５１の認証を行い、利用者５１が、上記情報提供サーバ６２への正当なアクセス権限を有する利用者である場合に、利用者端末５０に暗号化用の鍵情報を渡すものである。また、情報提供システム６０は、第１の接続口６１に接続された利用者端末５０から送信されてきた情報提供サーバ６２をアクセスするための情報が上記鍵情報により正規に暗号化された暗号化情報である場合に、該暗号化情報を復号化して情報提供サーバ６２に伝えることにより利用者端末５０に情報提供サーバ６２を利用させるようにするとともに、不正な情報である場合には該情報を破棄するアクセス装置６４を備えている。
【００７９】
さらに、本実施形態では、上記認証システム７０は、暗号化用の鍵情報を保持し、正当なアクセス権限を有する利用者である旨の認証を行う認証サーバ７２からの要請を受けて該鍵情報を該認証サーバ７２に渡す情報通知用サーバ７５を備えている。認証サーバ７２は、情報通知用サーバ７５から上記鍵情報を受け取って、該鍵情報を伴う情報提供システム６０の利用許可情報を、第２の接続口７１に接続され正当なアクセス権限を有する利用者である旨の認証を与えた利用者端末５０に通知するようになっている。
【００８０】
次に、本実施形態のネットワークシステム２の動作について説明する。
【００８１】
ここでは、このネットワークシステム２を備えた企業を訪れた来訪者（利用者）がこのネットワークシステム２に備えられた情報提供サーバ６２を一時的に利用しようとする場合の例について説明する。
【００８２】
図６は、第２の実施形態における通信シーケンスを示す図である。
【００８３】
利用者５１（図５参照）がこのネットワークシステム２を備えた企業を訪れ、受付の担当者に情報提供システム６０の利用を申し出るとともに、図１および図６に示すように、利用者端末５０のＬＡＮケーブル５２を第２のネットワーク７３の第２の接続口７１であるコンピュータ３００のＬＡＮコネクタ２０５に接続して認証処理を行う（図６：ステップＳ２１）。
【００８４】
この認証処理は、本実施形態では認証サーバ７２によるＲＡＤＩＵＳ認証手順を用いて利用者本人の認証を行うようになっているが、これ以外にどのような方法で利用者の本人認証を行ってもよく、例えば、訪問者の名前や会社名等の情報に基づき受付担当者により本人であることを確認するようにしてもよい。
【００８５】
本実施形態では、認証サーバ７２による認証処理が完了した後に、情報通知用サーバ７５は利用者端末５０に暗号化用の鍵情報を渡す（図６：ステップＳ２２）。情報通知用サーバ７５は、実施形態１における情報登録用サーバ２４とは異なり第２のネットワーク６３内のアクセス装置６４等の制御は行わない。また、通知される暗号化用鍵情報を、利用許可時間ｔ（図６参照）内でのみ有効な情報とし、その情報に基づきアクセス制限の解除／再制限を行うように構成されている。
【００８６】
利用者５１は、認証システム７０による認証処理が終わり認証サーバ７２から暗号化用鍵情報を受け取った後、第２のネットワーク７３の第２の接続口７１とのＬＡＮ接続を外してから訪問場所（会議室又は応接室など）に移動し、第１のネットワーク６３の第１の接続口６１とのＬＡＮ接続を行い、第１のネットワーク６３の利用を開始する（図６：ステップＳ２３）。
【００８７】
こうして、利用者５１はこの訪問場所では特別な設定・操作をすることなしに第１のネットワーク６３内の情報提供システム６０の利用が可能となる。ただし、利用者は情報通知用サーバ７５から渡された暗号化用鍵情報を利用することができるように、事前に利用者端末５０の設定操作を行っておく必要がある。この設定操作とは、具体的には次に示すように、利用者端末５０の鍵情報保持部５０ｇに暗号化用鍵情報を保存することをいう。実際にどのような設定操作が必要であるかはネットワーク側のアクセス制御機能によって異なるが、本実施形態では、宛先ＭＡＣアドレスを暗号化用鍵情報に変換する方法を利用した場合について説明する。
【００８８】
なお、本実施形態で暗号化の対象となる情報は、例えばＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）における各パケットのイーサネット（登録商標）ヘッダに記述される宛先ＭＡＣアドレスなどである。
【００８９】
図７は、第２の実施形態における利用者端末の機能ブロック図であり、図８は、第２の実施形態におけるアクセス装置の機能ブロック図である。
【００９０】
図７に示すように、この利用者端末５０は、受信Ｉ／Ｆ（インターフェース）部５０ａ、宛先ＭＡＣアドレス復号化部５０ｂ、ＦＣＳ（Ｆｒａｍｅ Ｃｈｅｃｋ Ｓｅｑｕｅｎｃｅ）チェック部５０ｃ、送信Ｉ／Ｆ部５０ｄ、宛先ＭＡＣアドレス暗号化部５０ｅ、ＦＣＳ計算部５０ｆ、上位機能処理部５０ｈなどを有している。ここで、ＦＣＳ（Ｆｒａｍｅ Ｃｈｅｃｋ Ｓｅｑｕｅｎｃｅの略）とは、イーサネット（登録商標）フレームのヘッダ部とデータ部に誤りがないか否かを検出するための値であり、イーサネット（登録商標）フレームの末尾に付加される。
【００９１】
図８に示すように、このアクセス装置６４は、受信Ｉ／Ｆ（インターフェース）部６４ａ、ポート状態確認部６４ｂ、宛先ＭＡＣアドレス復号化部６４ｃ、ＦＣＳチェック部６４ｄ、送信Ｉ／Ｆ部６４ｅ、ポート状態確認部６４ｆ、宛先ＭＡＣアドレス暗号化部６４ｇ、ＦＣＳ計算部６４ｈ、鍵情報保持部６４ｉ、ブリッジ機能および上位機能処理部６４ｊなどを有している。
【００９２】
次に、第２の実施形態における認証処理の流れについて説明する。
【００９３】
図９は、第２の実施形態における認証処理の流れを示すフローチャートであり、図１０は、第２の実施形態における認証処理の過程におけるイーサネット（登録商標）フレームの推移を示す図である。
【００９４】
図１０（ａ）に示すように、イーサネット（登録商標）フレーム４０は、宛先ＭＡＣアドレス４０ａ、発信元ＭＡＣアドレス４０ｂ、タイプ４０ｃ、データ４０ｄから構成されている。
【００９５】
利用者端末５０がアクセス装置６４から宛先ＭＡＣアドレスを受け取った後、図９：ステップＳ３１において、利用者端末５０のＦＣＳ計算部５０ｆ（図７参照）は、宛先ＭＡＣアドレス４０ａを元にＦＣＳを計算する。計算で得られたＦＣＳは、図１０（ｂ）に示すように、イーサネット（登録商標）フレーム４０の末尾に付加されイーサネット（登録商標）フレーム４１が生成される。
【００９６】
次に、宛先ＭＡＣアドレス暗号化部５０ｅにより、前述の暗号化用鍵情報を利用して宛先ＭＡＣアドレス４０ａの暗号化が行われ（図９：ステップＳ３２）、図１０（ｃ）に示すように、暗号化された宛先ＭＡＣアドレス４２ａを含むイーサネット（登録商標）フレーム４２が生成される。
【００９７】
次に、ＰＨＹ層（ＯＳＩ階層モデルの第１層（物理層））の処理（図９：ステップＳ３３）が行われ、暗号化された宛先ＭＡＣアドレス４２ａを含むイーサネット（登録商標）フレーム４２が暗号化用鍵情報として送信Ｉ／Ｆ部５０ｄから送信される（図９：ステップＳ３４）。なお、この暗号化用鍵情報は鍵情報保持部５０ｇに保持される。
【００９８】
こうして利用者端末５０から送信されたイーサネット（登録商標）フレーム４２は、アクセス装置６４の受信Ｉ／Ｆ部６４ａ（図８参照）から入力され（図９：ステップＳ３５）、ポート状態確認部６４ｂで、この受信ポートが、宛先ＭＡＣアドレス変換を実施する対象ポートとなっているか否かを確認し、対象ポートに該当する場合は、宛先ＭＡＣアドレス復号化部６４ｃにおいて、暗号化されている宛先ＭＡＣアドレス４２ａを復号化して暗号化前の宛先ＭＡＣアドレス４３ａを含むイーサネット（登録商標）フレーム４３が生成される（図９：ステップＳ３６）。次に、ＦＣＳチェック部６４ｄで、ＦＣＳの再計算が行われ、誤りがない場合、すなわち暗号化前の宛先ＭＡＣアドレス４３ａが、暗号化後の宛先ＭＡＣアドレス４２ａ（図１０（ｃ）参照）と同一であることが確認された後（図９：ステップＳ３７）、ＭＡＣ層の処理（図９：ステップＳ３８）を経て、フレーム中継等の操作が行われる。
【００９９】
ここで、正規の暗号化用鍵情報を持たない利用者端末５０がアクセス装置６４に正規ではない暗号化用鍵情報を送信してきた場合は、宛先ＭＡＣアドレスは別の宛先ＭＡＣアドレスに変換されてしまうため、正しい宛先である情報提供サーバ６２（図５参照）に送信することができない。また、ＦＣＳの計算も正しく行われないため、エラーフレームとして破棄される。
【０１００】
また、正規の暗号化用鍵情報を持たない利用者端末５０が、たまたま、暗号化後の宛先ＭＡＣアドレスを含む暗号化用鍵情報をアクセス装置６４に送信してきた場合も、イーサネット（登録商標）フレームのＦＣＳが正しく計算されないため、エラーフレームとして破棄される（図６：ステップＳ２４）
次に、本発明の第３の実施形態について説明する。
【０１０１】
前述のように第２の実施形態では、宛先ＭＡＣアドレスを鍵情報に変換して認証を行う方式を採用しているが、さらに他の認証方式として、例えばイーサネット（登録商標）フレームのＩＰヘッダオプションやＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）−ｔａｇに特定の情報を付加する方法や、ＸＭＬによる特定の情報をパケットに付加して通信を行う方法などにより、特定の情報が付加されたフレームやパケットのみのアクセスを許可する認証方式を採用することもできる。
【０１０２】
以下には、第３の実施形態として、イーサネット（登録商標）フレームのＩＰヘッダオプションに特定の情報を付加する認証方式について説明する。
【０１０３】
図１１は、本発明の第３の実施形態のネットワークシステムの概略構成図である。
【０１０４】
なお、この第３の実施形態のネットワークシステム３は、アウトバンド認証を伴う本発明の第３のネットワークシステムに相当する。
【０１０５】
図１１に示すように、この第３の実施形態のネットワークシステム３は、利用５１者により操作される利用者端末５０が接続される第１の接続口８１と、利用者端末５０に情報を提供する情報提供サーバ８２＿１，８２＿２，８２＿３と、第１の接続口８１と情報提供サーバ８２＿１，８２＿２，８２＿３とを接続する第１のサブネットワーク８３＿１，８３＿２，８３＿３とを有する情報提供システム８０、および上記利用者端末５０が接続される、第１の接続口８１とは物理的に異なる第２の接続口８６と、利用者端末５０を利用する利用者５１の、情報提供サーバ８２＿１，８２＿２，８２＿３へのアクセス権限の認証を行う認証サーバ８７と、第２の接続口８６と認証サーバ８７とを接続する第２のネットワーク８８とを有する認証システム８５を有している。
【０１０６】
認証システム８５は、第２の接続口８６に接続された利用者端末５０を操作する利用者５１の認証を行い、該利用者５１が、情報提供サーバ８２への正当なアクセス権限を有する利用者である場合に、利用者端末５１に利用者５１の種別に応じたアクセス権限の種別情報を渡すものであり、情報提供システム８０は、第１の接続口８１に接続された、上記種別情報を伴う情報を受け取り、該情報を、該情報に付随した種別情報に応じて通過させ、あるいは破棄するアクセス装置８４＿１，８４＿２，８４＿３を備えており、これらのアクセス装置８４＿１，８４＿２，８４＿３により、利用者端末５０のアクセスを制御するように構成されている。
【０１０７】
上記のように、このネットワークシステム３は、３つのアクセス装置と３つのサブネットワークと３つの情報提供サーバとにより階層的に構成されているが、これは、上記のように３つのアクセス装置８４＿１，８４＿２，８４＿３が種別情報を伴う情報を受け取り、該情報を、該情報に付随した種別情報に応じて通過させ、あるいは破棄するためである。例えば、第１のアクセス装置８４＿１は、種別情報が第１ランクの利用者（例えば一般来訪者）に対しては、第１段階の機密性を要する情報提供サーバ８２＿１へのアクセスを許可し、第２のアクセス装置８４＿２は、種別情報が第２ランクの利用者（例えばその企業の従業員）に対しては、第１段階の機密性を要する情報提供サーバ８２＿２へのアクセスを許可するなどというように、利用者の種別に応じて利用者端末５０のアクセス権限を制御することができる。
【０１０８】
なお、図１１には、上記のように３階層のネットワークとして構成した例を示したが、階層数は３階層に限られるものではなく、何階層であってもよい。
【０１０９】
図１２は、第３の実施形態におけるアクセス装置の機能ブロック図である。
【０１１０】
図１２には上記アクセス装置８４＿１，８４＿２，８４＿３のうちの一つのアクセス装置８４のみを示しているが、３つのアクセス装置８４＿１，８４＿２，８４＿３ともに同様の構成となっている。
【０１１１】
このアクセス装置８４は、伝送路制御部８４ａ、タグ確認部８４ｂ、タグ処理部８４ｃ、ポリシー記録部８４ｄ、ポリシー入力部８４ｅ、パケット処理部８４ｆ、および伝送路制御部８４ｇなどを有している。
【０１１２】
図１３は、第３の実施形態において種別情報として用いられるイーサネット（登録商標）フレームのＩＰヘッダおよびＩＰヘッダオプションを示す図である。
【０１１３】
図１３に示すように、このイーサネット（登録商標）フレームのＩＰヘッダ９１には、可変長のＩＰヘッダオプション９２が設けられており、このＩＰヘッダオプション９２には利用者の属性を表す利用者属性９３が記録されるようになっている。
【０１１４】
この利用者属性９３は、認証システム８５における利用者５１の本人認証時に認証サーバ８７によって付与される情報であり、例えば、利用者が一般来訪者である場合には利用者属性９３として“１”が付与され、利用者がその企業の従業員である場合には利用者属性９３として“２”が付与されるようになっている。この利用者属性９３は、後述するようにアクセス装置８４によるパケット処理（図１４参照）の際に参照され、パケットを通過させるか破棄するかの判定に用いられる。
【０１１５】
なお、この利用者属性９３は、本発明にいう種別情報の一例に相当するものである。
【０１１６】
次に、第３の実施形態における認証処理および認証後の処理について説明する。
【０１１７】
図１４は、第３の実施形態における通信シーケンスを示す図である。
【０１１８】
利用者５１（図１１参照）がこのネットワークシステム３を備えた企業を訪れ、受付の担当者に情報提供システム８０の利用を申し出るとともに、図１および図１１に示すように、利用者端末５０のＬＡＮケーブル５２を認証システム８５の第２の接続口８６であるコンピュータ３００のＬＡＮコネクタ２０５に接続することにより認証サーバ８７による認証処理が開始される（図１４：ステップＳ４１）。
【０１１９】
この認証処理は、本実施形態ではＲＡＤＩＵＳ認証手順を用いて利用者本人の認証を行うようになっているが、この方法に限られるものではなく、どのような方法で利用者の本人認証を行ってもよい。例えば、訪問者の名前や会社名等の情報に基づき受付担当者により本人であることを確認するようにしてもよい。
【０１２０】
本実施形態では、この情報提供システム８０を利用する利用者の属性に関する情報を記録した利用者データベースが備えられており、認証システム８５は、この利用者データベースを用いて、第２の接続口８６に接続された利用者端末５０を操作する利用者５１の認証を行うようになっている。この認証処理の結果、該利用者５１が、情報提供サーバ８２への正当なアクセス権限を有する利用者である場合には、認証システム８５に備えられた情報通知用サーバ８９は、利用者端末５０に該利用者の種別に応じたアクセス権限の種別情報を上記利用者データベースに基づいて設定し、それを利用者端末５０に通知する（図１４：ステップＳ４２）。
【０１２１】
通知される情報は、図１３に示すＩＰヘッダオプション９２のうちの利用者属性９３である。この種別情報は、利用許可時間ｔ（図１４参照）内でのみ有効な情報として通知される。
【０１２２】
利用者５１は、認証システム８５による認証処理が終わり、情報通知用サーバ８９から種別情報としての利用者属性９３を利用者端末５０に受け取った後、第２の接続口８６とのＬＡＮ接続を外してから訪問場所（会議室又は応接室など）に移動し、第１の接続口８１とのＬＡＮ接続を行い、第１のアクセス装置８４＿１（図１１参照）へ利用者属性９３（図１３参照）を送信する（図１４：ステップＳ４３）。以下の説明では、説明が煩雑になるのをさけるため、第１のアクセス装置８４＿１を単にアクセス装置８４という。
【０１２３】
アクセス装置８４は、利用者端末５０から送られてきたパケットの中からＩＰヘッダオプション９２のタグ情報である利用者属性９３（図１３参照）をタグ確認部８４ｂ（図１２参照）で確認し、利用者属性９３が付与されていないパケットは廃棄し、利用者属性９３が付与されているパケットは、タグ処理部８４ｃに送る。タグ処理部８４ｃは、パケットがこの先に転送してもよいパケットか否かの識別を行う。ポリシー記録部８４ｄには、その識別を行うためのポリシーテーブルが記録されている。
【０１２４】
図１５は、第３の実施形態における種別情報として用いられるポリシーテーブルを示す図である。
【０１２５】
図１５に示されるように、このポリシーテーブル９０には、アプリケーション識別子９０ａ、利用者属性９０ｂ、振る舞い９０ｃが保持されており、例えば、アプリケーション識別子９０ａ： “１（ウエブアクセス［ｈｔｔｐ］）”のアプリケションについては、利用者属性９０ｂ≧１の利用者のアクセスを通過させること（レコード９０＿１）、アプリケーション識別子９０ａ： “ｎｏｔ１（ウエブアクセス以外）”のアプリケションについては、利用者属性９０ｂ≧２の利用者のアクセスを通過させること（レコード９０＿２）、また、アプリケーション識別子９０ａおよび利用者属性９０ｂが 上記条件を満たさないものについては、そのパケットは破棄されることが定められている（レコード９０＿３）。
【０１２６】
タグ処理部８４ｃは、利用者端末５０から送られてきた利用者属性９３を、上記のポリシーテーブル９０に保持されている利用者属性９０ｂと照合することによりアクセス装置８４としてどのように処理すべきかを、振る舞い９０ｃを参照して決定し、パケット処理部８４ｄはその決定に基づき、送られてきたパケットを通過させ、または破棄処理する（図１４：Ｓ４４）。利用者端末５０から送られてきたパケットがパケット処理部８４ｄを通過した後は、利用者端末５０は第１のネットワーク８３の利用を開始することができる。
【０１２７】
例えば、認証システム８５（図１１参照）で、利用者の種別が“一般来訪者”である利用者に対して利用者属性“１”が利用者端末５０に渡された場合について説明すると、利用者端末５０から送られてきた利用者属性“１”が、上記ポリシーテーブル９０と照合され、レコード９０＿１の利用者属性９０ｂに合致するので、ウエブアクセス［ｈｔｔｐ］のアプリケションを提供する第１の情報提供サーバ８２＿１へのアクセスを通過させる。しかし、この利用者の利用者属性“１”はレコード９０＿２の利用者属性９０ｂには合致せず、レコード９０＿３の条件に従い、第２、第３の情報提供サーバ８２＿２，８２＿３へのアクセスは拒絶される。
【０１２８】
以上のように、ＩＰヘッダオプションに利用者の種別に応じた種別情報を付加することにより、第１のネットワーク上の各サブネットワークの利用を利用者の種別に応じて制御することができる。
【０１２９】
この第３の実施形態においても、利用者５１は、第２のネットワーク８８内で認証を得た後は、訪問場所では特別な設定・操作をすることなく第１のネットワーク８３内の情報提供サーバ８２を利用することができる。
【０１３０】
上記の３つの実施形態に示したように、情報提供システムを含む第１のネットワークと、認証システムを含む第２のネットワークとを分離したことにより、第１のネットワーク内では特別な設定・操作を行うことなく情報提供システムを利用することができる。その結果、第１のネットワークおよび第２のネットワーク双方を簡略なネットワークシステムとすることができるので、第１のネットワーク上で行われる処理を軽快なものとすることができる。また、新たな認証方式が出現した場合には、第２のネットワークにおける認証方式を新たな認証方式に変更するだけで、第１のネットワークには何らの変更を加えることなく、ネットワークシステム全体のセキュリティ性をレベルアップすることが可能である。また、従来のインバンド認証で問題となっている機器の違いによるトラブルを生じることがなくなり、機器に依存しない一元的な認証システムを実現することができる。
【０１３１】
以下に、本発明の各種態様を付記する。
【０１３２】
（付記１）
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システム、および
前記認証システムでの認証結果を前記情報提供システムに通知する通信路を有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末を特定する端末情報を、前記通信路を経由して、前記情報提供システムに通知するものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末が、前記認証システムから前記通信路を経由して通知を受けた端末情報に合致する利用者端末である場合に、該利用者端末による前記情報提供サーバの利用を許可するものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【０１３３】
（付記２）
前記認証システムが、前記第２の接続口に接続され前記認証サーバにより正当なアクセス権限を有する利用者である旨の認証を受けた利用者端末から該利用者端末を特定する端末情報を取得して登録するとともに該端末情報を前記通信路を経由して前記情報提供システムに通知し、さらに該通知からの経過時間を測定して所定時間経過後に、該利用者端末による前記情報提供サーバの利用の禁止を指示する禁止指示情報を前記通信路を経由して前記情報提供システムに通知するとともに該利用者端末の端末情報の記録を抹消する情報登録用サーバを備え、
前記情報提供システムが、前記認証システムからの端末情報の通知を受けて該端末情報により特定される利用者端末による前記情報提供サーバの利用を許可し、前記認証システムからの禁止指示情報の通知を受けて該禁止指示情報により特定される利用者端末による前記情報提供サーバの利用を禁止するアクセス装置を備えたことを特徴とする付記１記載のアウトバンド認証を伴うネットワークシステム。
【０１３４】
（付記３）
前記端末情報が、前記第２の接続口に接続された利用者端末のＭＡＣアドレスに基づく情報であることを特徴とする付記１記載のアウトバンド認証を伴うネットワークシステム。
【０１３５】
（付記４）
前記端末情報が、前記第２の接続口に接続された利用者端末のＩＰアドレスに基づく情報であることを特徴とする付記１記載のアウトバンド認証を伴うネットワークシステム。
【０１３６】
（付記５）
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末に暗号化用の鍵情報を渡すものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末から送信されてきた、前記鍵情報により正規に暗号化された情報を受け入れて該利用者端末に前記情報提供サーバを利用させるものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【０１３７】
（付記６）
前記認証システムが、暗号化用の鍵情報を保持し、正当なアクセス権限を有する利用者である旨の認証を行う認証サーバからの要請を受けて該鍵情報を該認証サーバに渡す情報通知用サーバを備え、
前記認証サーバが、前記情報通知用サーバから前記鍵情報を受け取って、該鍵情報を伴う、前記情報提供システムの利用許可情報を、前記第２の接続口に接続され正当なアクセス権限を有する利用者である旨の認証を与えた利用者端末に通知するものであることを特徴とする付記５記載のアウトバンド認証を伴うネットワークシステム。
【０１３８】
（付記７）
前記情報提供システムは、前記第１の接続口に接続された利用者端末から送信されてきた前記情報提供サーバをアクセスするための情報が前記鍵情報により正規に暗号化された暗号化情報である場合に該暗号化情報を復号化して前記情報提供サーバに伝えるとともに、不正な情報である場合には該情報を破棄するアクセス装置を備えたことを特徴とする付記５記載のアウトバンド認証を伴うネットワークシステム。
【０１３９】
（付記８）
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末に該利用者の種別に応じたアクセス権限の種別情報を渡すものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末から前記種別情報を受け取り、該利用者端末に該種別情報に応じたアクセスを許可するものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【０１４０】
（付記９）
前記情報提供システムは、前記第１の接続口に接続された、前記種別情報を伴う情報を受け取り、該情報を、該情報に付随した種別情報に応じて通過させ、あるいは破棄するアクセス装置を備えたことを特徴とする付記８記載のアウトバンド認証を伴うネットワークシステム。
【０１４１】
（付記１０）
第一の情報処理装置において、第二の情報処理装置による第三の情報処理装置へのアクセスの認証を行う認証方法であって、
前記第二の情報処理装置から、前記第一の情報処理装置に、前記第三の情報処理装置へのアクセス要求を創出するステップと、
前記第一の情報処理装置において、前記第二の情報処理装置によるアクセス認証を行うステップと、
前記アクセス認証結果に応じて、前記第二の情報処理装置から前記第一の情報処理装置に向けて、第一の情報を送出するステップと、
前記第二の情報処理装置から前記第三の情報処理装置に対して、前記第一の情報を送出するステップと、
前記第二の情報処理装置から、前記第三の情報処理装置に対して第二の情報を送出するステップと、
前記第三の情報処理装置において、前記第一の情報と前記第二の情報との対応関係を判別するステップと、
前記対応関係の判別結果に基づいて、前記第二の情報処理装置による前記第三の情報処理装置の利用を許容するステップとを備えたことを特徴とする認証方法。
【０１４２】
（付記１１）
第一の情報処理装置において、第二の情報処理装置による第三の情報処理装置へのアクセスの認証を行う認証方法であって、
前記第二の情報処理装置から、前記第一の情報処理装置に、前記第三の情報処理装置へのアクセス要求を創出するステップと、
前記第一の情報処理装置において、前記第二の情報処理装置によるアクセス認証を行うステップと、
前記アクセス認証結果に応じて、前記第一の情報処理装置から前記第二の情報処理装置に向けて、第一の情報を送出するステップと、
前記第二の情報処理装置から、前記第三の情報処理装置に対して前記第一の情報が付加された情報を送出するステップと、
前記第三の情報処理装置において、前記第一の情報を判別するステップと、
前記判別結果に基づいて、前記第二の情報処理装置による前記第三の情報処理装置の利用を許容するステップとを備えたことを特徴とする認証方法。
【０１４３】
（付記１２）
前記第一の情報は暗号鍵であり、
前記第二の情報処理装置は、前記暗号鍵を用いて暗号化された情報を前記第三の情報処理装置に送出することを特徴とする付記１１記載の認証方法。
【０１４４】
（付記１３）
第二の情報処理装置から第三の情報処理装置へのアクセスの認証を行う情報処理装置における認証方法であって、
前記第二の情報処理装置から、前記第三の情報処理装置に対するアクセス要求を受けるステップと、
前記アクセス要求に応じて、前記第二の情報処理装置のアクセス認証を行うステップと、
前記アクセス認証を受けた第二の情報処理装置から、当該第二の情報処理装置に関する情報を受けるステップと、
前記第二の情報処理装置から受けた情報を、前記情報処理装置から前記第三の情報処理装置に通知するステップとを備えたことを特徴とする認証方法。
【０１４５】
（付記１４）
第二の情報処理装置から第三の情報処理装置へのアクセスの認証を行う情報処理装置における認証方法であって、
前記第二の情報処理装置から、前記第三の情報処理装置に対するアクセス要求を受けるステップと、
前記アクセス要求に応じて、前記第二の情報処理装置のアクセス認証を行うステップと、
前記アクセス認証を受けた第二の情報処理装置に対し、認証状況を示す情報を送付するステップとを備えたことを特徴とする認証方法。
【０１４６】
（付記１５）
前記認証状況を示す情報は、暗号鍵であることを特徴とする付記１４記載の認証方法。
【０１４７】
（付記１６）
第二の情報処理装置から第三の情報処理装置へのアクセスの認証を行う情報処理装置であって、
前記第三の情報処理装置へのアクセス要求を、前記第二の情報処理装置から受ける手段と、
前記アクセス要求の受信に伴い、前記第二の情報処理装置による前記第三の情報処理装置へのアクセス認証を行う手段と、
アクセス可と認証された第二の情報処理装置から、前記第二の情報処理装置に関する情報を受ける手段と、
前記第二の情報処理装置から受信した情報を、前記第三の情報処理装置に通知する手段とを備えたことを特徴とする情報処理装置。
【０１４８】
（付記１７）
第二の情報処理装置から第三の情報処理装置へのアクセスの認証を行う情報処理装置であって、
前記第三の情報処理装置へのアクセス要求を、前記第二の情報処理装置から受ける手段と、
前記アクセス要求の受信に伴い、前記第二の情報処理装置による前記第三の情報処理装置へのアクセス認証を行う手段と、
アクセス可と認証された第二の情報処理装置に対し、認証状況を示す情報を通知する手段とを備えたことを特徴とする情報処理装置。
【０１４９】
（付記１８）
前記情報を通知する手段は、暗号鍵を前記第二の情報処理装置に通知するように構成されたことを特徴とする付記１７記載の情報処理装置。
【０１５０】
（付記１９）
第二の情報処理装置からのアクセスを受け付ける情報処理装置におけるアクセス処理方法において、
第三の情報処理装置から、前記第二の情報処理装置に関わる第一の情報を受けるステップと、
前記第二の情報処理装置から、前記第二の情報処理装置に関わる第二の情報を受けるステップと、
前記第一の情報と前記第二の情報との対応関係を判別するステップと、
前記対応関係の判別結果に応じて、前記第二の情報処理装置からのアクセスを受け付けるステップとを備えたことを特徴とするアクセス処理方法。
【０１５１】
（付記２０）
情報処理装置における認証方法において、
前記情報処理装置を第一の情報処理装置に接続するステップと、
前記第一の情報処理装置に対し、第二の情報処理装置に対するアクセス要求を送出するステップと、
前記アクセス要求に応じた前記第一の情報処理におけるアクセス認証に対応して、前記第一の情報処理装置に対して前記情報処理装置に関する情報を送出するステップと、
前記第二の情報処理装置に接続するステップと、
前記第二の情報処理装置に対して、前記情報処理装置に関する情報を送出するステップと、
前記第二の情報処理装置へ送出した前記情報に対応した、前記第二の情報処理装置による前記第二の情報処理装置の利用許可に応じて、前記第二の情報処理装置にアクセスするステップとを備えたことを特徴とする認証方法。
【０１５２】
（付記２１）
情報処理装置における認証方法において、
前記情報処理装置を第一の情報処理装置に接続するステップと、
前記第一の情報処理装置に対し、第二の情報処理装置に対するアクセス要求を送出するステップと、
前記アクセス要求に応じた前記第一の情報処理におけるアクセス認証に対応して、前記第一の情報処理装置から第一の情報を受け取るステップと、
前記第二の情報処理装置に接続するステップと、
前記第二の情報処理装置に対して、前記第一の情報を送出するステップとを備えたことを特徴とする認証方法。
【０１５３】
（付記２２）
前記認証方法において、
前記第一の情報は暗号鍵であり、
前記第一の情報を送出するステップでは、前記暗号鍵により暗号化された情報を前記第二の情報処理装置に送出することを特徴とする付記２１記載の認証方法。
【０１５４】
（付記２３）
前記認証方法において、
前記暗号化された情報は、前記第二の情報処理装置固有の情報を前記暗号鍵により暗号化した情報であることを特徴とする付記２２記載の認証方法。
【図面の簡単な説明】
【０１５５】
【図１】本発明の各実施形態のネットワークシステムが形成されるコンピュータシステムの概略構成図である。。
【図２】図１に外観を示したコンピュータのハードウェア構成図である。
【図３】本発明の第１の実施形態のネットワークシステムの概略構成図である。
【図４】第１の実施形態における通信シーケンスを示す図である。
【図５】本発明の第２の実施形態のネットワークシステムの概略構成図である。
【図６】第２の実施形態における通信シーケンスを示す図である。
【図７】第２の実施形態における利用者端末の機能ブロック図である。
【図８】第２の実施形態におけるアクセス装置の機能ブロック図である。
【図９】第２の実施形態における認証処理の流れを示すフローチャートである。
【図１０】第２の実施形態における認証処理の過程におけるイーサネット（登録商標）フレームの推移を示す図である。
【図１１】本発明の第３の実施形態のネットワークシステムの概略構成図である。
【図１２】第３の実施形態におけるアクセス装置の機能ブロック図である。
【図１３】第３の実施形態において種別情報として用いられるイーサネット（登録商標）フレームのＩＰヘッダおよびＩＰヘッダオプションを示す図である。
【図１４】第３の実施形態における通信シーケンスを示す図である。
【図１５】第３の実施形態における種別情報として用いられるポリシーテーブルを示す図である。
【符号の説明】
【０１５６】
１，２，３ ネットワークシステム
１０ 情報提供システム
１１ 第１の接続口
１２ 情報提供サーバ
１３ 第１のネットワーク
１４ アクセス装置
２０ 認証システム
２１ 第２の接続口
２２ 認証サーバ
２３ 第２のネットワーク
３０ 通信路
４０ イーサネット（登録商標）フレーム
４０ａ 宛先ＭＡＣアドレス
４０ｂ 発信元ＭＡＣアドレス
４０ｃ タイプ
４０ｄ データ
４１，４２，４３ イーサネット（登録商標）フレーム
４２ａ，４３ａ 宛先ＭＡＣアドレス
５０ 利用者端末
５０ａ 受信Ｉ／Ｆ部
５０ｂ 宛先ＭＡＣアドレス復号化部
５０ｃ ＦＣＳチェック部
５０ｄ 送信Ｉ／Ｆ部
５０ｅ 宛先ＭＡＣアドレス暗号化部
５０ｆ ＦＣＳ計算部
５０ｇ 鍵情報保持部
５０ｈ 上位機能処理部
５１ 利用者
５２ ＬＡＮケーブル
６０ 情報提供システム
６１ 第１の接続口
６２ 情報提供サーバ
６３ 第１のネットワーク
６４ アクセス装置
６４ａ 受信Ｉ／Ｆ部
６４ｂ ポート状態確認部
６４ｃ 宛先ＭＡＣアドレス復号化部
６４ｄ ＦＣＳチェック部
６４ｅ 送信Ｉ／Ｆ部
６４ｆ ポート状態確認部
６４ｇ 宛先ＭＡＣアドレス暗号化部
６４ｈ ＦＣＳ計算部
６４ｉ 鍵情報保持部
６４ｊ ブリッジ機能および上位機能処理部
７０ 認証システム
７１ 第２の接続口
７２ 認証サーバ
７３ 第２のネットワーク
７５ 情報通知用サーバ
８０ 情報提供システム
８１ 第１の接続口
８２，８２＿１，８２＿２，８２＿３ 情報提供サーバ
８３ 第１のネットワーク
８３＿１，８３＿２，８３＿３ サブネットワーク
８４，８４＿１，８４＿２，８４＿３ アクセス装置
８４ａ 伝送路制御部
８４ｂ タグ確認部
８４ｃ タグ処理部
８４ｄ ポリシー記録部
８４ｅ ポリシー入力部
８４ｆ パケット処理部
８４ｇ 伝送路制御部
８５ 認証システム
８６ 第２の接続口
８７ 認証サーバ
８８ 第２のネットワーク
８９ 情報通知用サーバ
９０ ポリシーテーブル
９０ａ アプリケーション識別子
９０ｂ 利用者属性
９０ｃ 振る舞い
９１ ＩＰヘッダ
９２ ＩＰヘッダオプション
９３ 利用者属性
１００，２００，５００，６００，７００ コンピュータ
１０１，２０１，５０１，６０１，７０１ 本体部
１０１ａ，２０１ａ，５０１ａ，６０１ａ，７０１ａ ＭＯ装填口
１０１ｂ，２０１ｂ，５０１ｂ，６０１ｂ，７０１ｂ ＣＤ／ＤＶＤ装填口
１０２，２０２，５０２，６０２，７０２ ディスプレイ
１０２ａ，２０２ａ，５０２ａ，６０２ａ，７０２ａ 表示画面
１０３，２０３，５０３，６０３，７０３ キーボード
１０４，２０４，６０４，７０４ マウス
１０５ ＣＰＵ
１０６ ＲＡＭ
１１３ ハードディスクコントローラ
１１４ ＭＯドライブ
１１５ ＣＤ／ＤＶＤドライブ
１１６ マウスコントローラ
１１７ キーボードコントローラ
１１８ ディスプレイコントローラ
１１９ 通信用ボード
２０５，６０５ ＬＡＮコネクタ
４０１，４０２ ネットワーク
５００ 利用者端末
５０４ トラックパッド
５０５ モジュラープラグ
６０１ ＭＯ
６０２ ＣＤ／ＤＶＤ
９００ ＬＡＮケーブル
【技術分野】
【０００１】
本発明は、アウトバンド認証（ネットワーク外認証）を伴うネットワークシステムに関する。
【背景技術】
【０００２】
近年、パーソナルコンピュータの急速な普及と共に、コンピュータやパケット通信装置の高機能化、高性能化が進んでいる。企業内ではビジネスを円滑に進めるためのツールとしてネットワークの重要性が高まりつつあり、ネットワーク上で重要なデータのやり取りが行われるようになっている。そのため、外部からの不正アクセスやウイルスなどの攻撃に対してファイアウォール等のセキュリティ装置を用いて企業内のデータを守るためのセキュリティ対策が考えられている。それらのセキュリティ対策として、近年、特に注目されているものの一つに、ネットワーク認証技術がある。
【０００３】
このネットワーク認証は、ネットワークを利用しようとする利用者がそのネットワークの正当な利用者として許可された者であるか否かを認証し、許可されていない利用者にはネットワークを使わせないようにすることによって不正な利用者を排除する技術である。
【０００４】
このようなネットワーク認証技術として、例えば、公衆回線網に接続された端末からルータを介して接続された他のネットワークにアクセスする際に利用者の認証を行う利用者認証装置において、認証済み利用者認証情報を前記ルータに記憶させておき、該認証済み利用者認証情報を用いて利用者の認証を行うようにした利用者認証装置が開示されている（例えば、特許文献１参照）。
【特許文献１】特開平１１−３５５２６６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、上記特許文献１に開示された認証処理はインバンド認証、すなわちネットワークの内部で認証を行うシステムであるため、本来は認証後にしか利用できないはずのネットワークを利用して認証を行わなければならない。従って、認証に関する通信に限り認証前でもネットワークを利用できるようにしなければならない。例えば、イーサネット（登録商標）上でネットワーク認証を実現するＩＥＥＥ（電気電子学会：Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ）８０２．１ｘの場合には、Ｌ２−ＳＷ（レイヤ２スイッチ）に接続されたクライアントは、Ｌ２−ＳＷまでの通信路のみ利用可能であり、Ｌ２−ＳＷがクライアントから受けた認証用のパケットを自ら認証サーバに対して送信することにより認証が行われるようになっている。
【０００６】
このように、インバンドで認証を行う場合には、実際に認証を行うサーバとクライアントとの対応だけでなく、途中の通信路上の全てのネットワーク機器、または一部のネットワーク機器がその認証方式をサポートしている必要がある。従って、新たな認証方式が登場した時には、それまで利用してきたネットワーク機器は、そのままでは利用できなくなる恐れがある。例えば、検疫システムのように、認証処理の他に別の処理が入り、全体の手順が複雑になるような場合には、ネットワーク機器を新たな認証方式に対応したものに入れ替えなければならない。
【０００７】
また、従来方式では、認証の前後でアクセス制限が変更されるが、利用者があるサーバを利用しようとした時にたまたまそのサーバが使えない状態となった場合は、何が原因でサーバにアクセスできなくなったのかがわかりくいという問題がある。すなわち、認証が失敗であったのか、認証は正しかったがアクセス制限が変更されなかったのか、サーバヘのアクセス経路がダウンしているのか、あるいは、該当するサーバ自体がダウンしているのか等々、多くの原因が考えられるが真の原因を突き止めることはきわめて難しいという問題がある。このような問題は、本来利用が規制されているネットワークを使ってインバンドで認証を行っているために生じる問題である。
【０００８】
本発明は、上記事情に鑑み、高度なセキュリティ性および優れた操作性を有するアウトバンド認証を伴うネットワークシステムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成する、アウトバンド認証を伴う本発明の第１のネットワークシステムは、
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、
上記利用者端末が接続される、上記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、上記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システム、および
上記認証システムでの認証結果を上記情報提供システムに通知する通信路を有し、
上記認証システムが、上記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、上記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、上記利用者端末を特定する端末情報を、上記通信路を経由して、上記情報提供システムに通知するものであり、
上記情報提供システムは、上記第１の接続口に接続された利用者端末が、上記認証システムから上記通信路を経由して通知を受けた端末情報に合致する利用者端末である場合に、該利用者端末による上記情報提供サーバの利用を許可するものであることを特徴とする。
【００１０】
本発明の第１のネットワークシステムによれば、情報提供システム側の第１のネットワークと、認証システム側の第２のネットワークとを互いに独立したネットワークとしたので、第２のネットワークの方で認証処理を行うことにより、簡単な操作で第１のネットワークを利用することができる。従って、双方のシステムの負荷が軽減され軽快な動作を行わせることができる。また、第２のネットワークにおける認証方法をより強固な認証方式に変更するだけで、第１のネットワークに何らの変更を加えることなく、ネットワークシステム全体のセキュリティ性をレベルアップすることができる。
【００１１】
ここで、上記認証システムが、上記第２の接続口に接続され上記認証サーバにより正当なアクセス権限を有する利用者である旨の認証を受けた利用者端末から該利用者端末を特定する端末情報を取得して登録するとともに該端末情報を上記通信路を経由して上記情報提供システムに通知し、さらに該通知からの経過時間を測定して所定時間経過後に、該利用者端末による上記情報提供サーバの利用の禁止を指示する禁止指示情報を上記通信路を経由して上記情報提供システムに通知するとともに該利用者端末の端末情報の記録を抹消する情報登録用サーバを備え、
上記情報提供システムが、上記認証システムからの端末情報の通知を受けて該端末情報により特定される利用者端末による上記情報提供サーバの利用を許可し、上記認証システムからの禁止指示情報の通知を受けて該禁止指示情報により特定される利用者端末による上記情報提供サーバの利用を禁止するアクセス装置を備えたものであってもよい。
【００１２】
本発明の第１のネットワークシステムを上記のように構成した場合は、より信頼性の高いネットワークシステムを構築することができる。
【００１３】
また、上記端末情報が、上記第２の接続口に接続された利用者端末のＭＡＣアドレスに基づく情報であってもよい。ここで、ＭＡＣアドレスとは、ＩＥＥＥが管理・割当てをしている各メーカごとに固有な番号と、メーカが独自に各通信機器に割り当てる番号の組み合わせによって表される、各通信機器のイーサネット（登録商標）カード固有の識別情報である。
【００１４】
本発明の第１のネットワークシステムを上記のように構成した場合は、さらに信頼性の高いネットワークシステムを構築することができる。
【００１５】
また、上記端末情報が、上記第２の接続口に接続された利用者端末のＩＰアドレスに基づく情報であってもよい。ここで、ＩＰアドレスとは、インターネットやイントラネットなどのＩＰネットワークに接続されたコンピュータや通信機器ごとに割り振られた識別番号をいう。
【００１６】
本発明の第１のネットワークシステムを上記のように構成した場合は、さらに信頼性の高いネットワークシステムを構築することができる。
【００１７】
また、上記目的を達成する、アウトバンド認証を伴う本発明の第２のネットワークシステムは、
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
上記利用者端末が接続される、上記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、上記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
上記認証システムが、上記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、上記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、上記利用者端末に暗号化用の鍵情報を渡すものであり、
上記情報提供システムは、上記第１の接続口に接続された利用者端末から送信されてきた、上記鍵情報により正規に暗号化された情報を受け入れて該利用者端末に上記情報提供サーバを利用させるものであることを特徴とする。
【００１８】
本発明の第２のネットワークシステムによれば、情報提供システム側の第１のネットワークと、認証システム側の第２のネットワークとを互いに独立したネットワークとしたので、第２のネットワークの方で認証処理を行うことにより、簡単な操作で第１のネットワークを利用することができる。従って、双方のシステムの負荷が軽減され軽快な動作を行わせることができる。また、第２のネットワークにおける認証方法をより強固な認証方式に変更するだけで、第１のネットワークに何らの変更を加えることなく、ネットワークシステム全体のセキュリティ性をレベルアップさせることができる。
【００１９】
また、この第２のネットワークシステムでは、本発明の第１のネットワークシステムにおいては必要であった通信路３０（図３参照）は不要であり、第１のネットワークと第２のネットワークとの独立性はさらに強められている。
【００２０】
ここで、上記認証システムが、暗号化用の鍵情報を保持し、正当なアクセス権限を有する利用者である旨の認証を行う認証サーバからの要請を受けて該鍵情報を該認証サーバに渡す情報通知用サーバを備え、
上記認証サーバが、上記情報通知用サーバから上記鍵情報を受け取って、該鍵情報を伴う、上記情報提供システムの利用許可情報を、上記第２の接続口に接続され正当なアクセス権限を有する利用者である旨の認証を与えた利用者端末に通知するものであってもよい。
【００２１】
本発明の第２のネットワークシステムを上記のように構成した場合は、より信頼性の高いネットワークシステムを構築することができる。
【００２２】
また、上記情報提供システムは、上記第１の接続口に接続された利用者端末から送信されてきた上記情報提供サーバをアクセスするための情報が上記鍵情報により正規に暗号化された暗号化情報である場合に該暗号化情報を復号化して上記情報提供サーバに伝えるとともに、不正な情報である場合には該情報を破棄するアクセス装置を備えたものであってもよい。
【００２３】
本発明の第２のネットワークシステムを上記のように構成した場合は、さらに信頼性の高いネットワークシステムを構築することができる。
【００２４】
また、上記目的を達成する、アウトバンド認証を伴う本発明の第３のネットワークシステムは、
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
上記利用者端末が接続される、上記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、上記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
上記認証システムが、上記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、上記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、上記利用者端末に該利用者の種別に応じたアクセス権限の種別情報を渡すものであり、
上記情報提供システムは、上記第１の接続口に接続された利用者端末から上記種別情報を受け取り、該利用者端末に該種別情報に応じたアクセスを許可するものであることを特徴とする。
【００２５】
本発明の第３のネットワークシステムによれば、情報提供システム側の第１のネットワークと、認証システム側の第２のネットワークとを互いに独立したネットワークとしたので、第２のネットワークの方で認証処理を行うことにより、簡単な操作で第１のネットワークを利用することができる。従って、双方のシステムの負荷が軽減され軽快な動作を行わせることができる。また、第２のネットワークにおける認証方法をより強固な認証方式に変更するだけで、第１のネットワークに何らの変更を加えることなく、ネットワークシステム全体のセキュリティ性をレベルアップさせることができる。
【００２６】
また、この第３のネットワークシステムでは、本発明の第１のネットワークシステムにおいて必要であった通信路は不要であり、第１のネットワークと第２のネットワークとの独立性をさらに強めることができる。
【００２７】
ここで、上記情報提供システムは、上記第１の接続口に接続された、上記種別情報を伴う情報を受け取り、該情報を、該情報に付随した種別情報に応じて通過させ、あるいは破棄するアクセス装置を備えたものであってもよい。
【００２８】
本発明の第３のネットワークシステムを上記のように構成した場合は、より信頼性の高いネットワークシステムを構築することができる。
【発明の効果】
【００２９】
以上説明したように、本発明によれば、第２のネットワークで認証処理を行うことにより簡単な操作で第１のネットワークを利用することができるようになるので、高度のセキュリティ性および優れた操作性を有するネットワークシステムを実現することができる。
【発明を実施するための最良の形態】
【００３０】
以下、図を参照して本発明の実施の形態を説明する。
【００３１】
図１は、本発明の各実施形態のネットワークシステムが形成されるコンピュータシステムの概略構成図である。
【００３２】
ここには、利用者端末５００が接続される第１の接続口２０５と、情報提供サーバとして動作するコンピュータ１００およびアクセス装置として動作するコンピュータ２００をＬＡＮケーブル９００を介して接続する第１のネットワーク４０１と、利用者端末５００が接続される第２の接続口６０５と、認証サーバとして動作するコンピュータ６００および情報登録用サーバ又は情報通知用サーバとして動作するコンピュータ７００をＬＡＮケーブル９００を介して接続する第２のネットワーク４０２と、利用者端末として動作するコンピュータ５００とが示されている。
【００３３】
なお、このシステムでは、第１の接続口２０５および第２の接続口６０５という物理的に異なる２つの接続口を備えているが、接続口は必ずしも２個備える必要はなく、システム全体に対して１個の接続口を備えた構成であってもよい。
【００３４】
また、図１には情報提供サーバとして動作するコンピュータとして１台のコンピュータ１００のみが示されているが、情報提供サーバとして動作するコンピュータは１台に限られるものではなく複数台であってもよい。
【００３５】
第１の接続口２０５、第２の接続口６０５にはＬＡＮコネクタが用いられ、これらの接続口に利用者端末５００のＬＡＮケーブル先端のモジュラープラグ５０５が挿入されるようになっている。
【００３６】
本実施形態では、これら２つのネットワーク４０１，４０２が、複数のコンピュータシステムが設置された１つの企業内のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）として構築された例について説明しているが、インターネットやＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）として構築された、複数の企業に跨る処理を行なうネットワークシステムであってもよい。
【００３７】
上記第１のネットワーク４０１および第２のネットワーク４０２は、互いに独立したネットワークとして構成されており、利用者端末５００を、先ず第２のネットワーク４０２に接続して認証処理を行い、認証処理が完了した後、第２のネットワーク４０２との接続を絶ってから、第１のネットワーク４０１に接続することによって第１のネットワーク４０１内の情報提供サーバからの情報提供を受けるように構成されている。
【００３８】
なお、図１には、第２のネットワーク４０２から第１のネットワーク４０１に認証結果を通知するための通信路３０が示されているが、後述するように複数のネットワークシステムのうち第１の実施形態のネットワークシステムのみが通信路３０を備えており、第２および第３の実施形態のネットワークシステムには通信路は備えられていない。
【００３９】
上記の各コンピュータ１００，２００，６００，７００としては、一般にパーソナルコンピュータやワークステーションと呼ばれるコンピュータシステム、またはブレードサーバなどを用いることができる。また、図１に示すシステムでは、コンピュータ５００には、いわゆるノート型パーソナルコンピュータが用いられている。
【００４０】
上記の各コンピュータ１００，２００，５００，６００，７００は、ＣＰＵ（中央処理装置）、ＲＡＭ（ランダムアクセスメモリ）、ハードディスク、通信用ボード等が内蔵された本体部１０１，２０１，５０１，６０１，７０１からの指示により表示画面１０２ａ，２０２ａ，５０２ａ，６０２ａ，７０２ａ上に画像や文字列を表示するディスプレイ１０２，２０２，５０２，６０２，７０２、各コンピュータ１００，２００，５００，６００，７００に利用者の指示を入力するためのキーボード１０３，２０３，５０３，６０３，７０３、表示画面１０２ａ，２０２ａ，５０２ａ，６０２ａ，７０２ａ上の任意の位置を指定することにより、その指定時にその位置に表示されていたアイコン等に応じた指示を入力するマウス１０４，２０４，６０４，７０４、およびトラックパッド５０４を備えている。
【００４１】
本体部１０１，２０１，５０１，６０１，７０１は、さらに外観上、ＭＯ（光磁気ディスク）、ＣＤ／ＤＶＤが装填されるＭＯ装填口１０１ａ，２０１ａ，５０１ａ，６０１ａ，７０１ａ、ＣＤ／ＤＶＤ装填口１０１ｂ，２０１ｂ，５０１ｂ，６０１ｂ，７０１ｂを有しており、それらの内部には、それらの装填口１０１ａ，２０１ａ，５０１ａ，６０１ａ，７０１ａ，１０１ｂ，２０１ｂ，５０１ｂ，６０１ｂ，７０１ｂから装填されたＭＯやＣＤ又はＤＶＤをドライブしてアクセスするＭＯドライブやＣＤ／ＤＶＤドライブが内蔵されている。
【００４２】
図２は、図１に外観を示したコンピュータのハードウェア構成図である。
【００４３】
ここでは代表的にコンピュータ１００を取り上げて説明するが、コンピュータ２００，５００，６００，７００も基本的に同様の構成を有する。
【００４４】
図２のハードウェア構成図には、ＣＰＵ１０５、ＲＡＭ１０６、ハードディスクコントローラ１１３、ＭＯドライブ１１４、ＣＤ／ＤＶＤドライブ１１５、マウスコントローラ１１６、キーボードコントローラ１１７、ディスプレイコントローラ１１８、および通信用ボード１１９が示されており、それらはバス１１０で相互に接続されている。
【００４５】
ＭＯドライブ１１４、ＣＤ／ＤＶＤドライブ１１５は、図１を参照して説明したように、それぞれＭＯ装填口１０１ａおよびＣＤ／ＤＶＤ装填口１０１ｂから装填されたＭＯ６０１、ＣＤ／ＤＶＤ６０２をアクセスするものである。
【００４６】
通信用ボード１１９はネットワーク４０１，４０２（図１参照）に接続される。
【００４７】
また、図２には、ハードディスクコントローラ１１３によりアクセスされるハードディスク６００、マウスコントローラ１１６により制御されるマウス１０４、キーボードコントローラ１１７により制御されるキーボード１０３、およびディスプレイコントローラ１１８により制御されるディスプレイ１０２も示されている。
【００４８】
図３は、本発明の第１の実施形態のネットワークシステムの概略構成図である。
【００４９】
図３に示すように、このネットワークシステム１は、情報提供システム１０、認証システム２０、および通信路３０を有する。
【００５０】
情報提供システム１０は、利用者５１により操作される利用者端末５０が接続される第１の接続口１１と、利用者端末５０に情報を提供する情報提供サーバ１２と、利用者端末５０による情報提供サーバ１２の利用を許可し、又は利用を禁止するアクセス装置１４と、上記アクセス装置１４と上記情報提供サーバ１２とを接続する第１のネットワーク１３とを有する。
【００５１】
なお、図３には、１台の情報提供サーバ１２のみが示されているが、情報提供サーバは１台に限られるものではなく複数台であってもよい。
【００５２】
認証システム２０は、利用者端末５０が接続される、第１の接続口１１とは物理的に異なる第２の接続口２１と、利用者端末５０を利用する利用者５１の、情報提供サーバ１２へのアクセス権限の認証を行う認証サーバ２２と、端末情報を取得して登録するとともに該端末情報を通信路３０を経由して情報提供システム１０に通知する情報登録用サーバ２４と、上記情報提供サーバ１２と上記情報登録用サーバ２４とを接続する第２のネットワーク２３とを有する。
【００５３】
本実施形態では、認証サーバ２２として、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバ、すなわち、クライアントサーバモデルのダイヤルアップ接続利用者認証システムを用いているが、本発明の認証サーバは、このＲＡＤＩＵＳサーバに限定されるものではなく、このネットワークシステムの情報提供サーバへのアクセス権限の認証を行うことのできる認証サーバであればどのような方式の認証サーバを用いてもよい。
【００５４】
通信路３０は、認証システム２０での認証結果を情報提供システム１０に通知するものである。
【００５５】
本実施形態では、認証システム２０は、第２の接続口２１に接続された利用者端末５０を操作する利用者５１の認証を行い、利用者５１が、情報提供サーバ１２への正当なアクセス権限を有する利用者である場合に、第２の接続口２１に接続され上記認証サーバ２０により正当なアクセス権限を有する利用者である旨の認証を受けた利用者端末５０から該利用者端末を特定する端末情報を取得して登録するとともに、該端末情報を通信路３０を経由して情報提供システム１０に通知する情報登録用サーバ２４を備えている。
【００５６】
さらに、本実施形態の情報登録用サーバ２４は、該通知からの経過時間を測定して、所定時間経過後に、該利用者端末５０による情報提供サーバ１２の利用の禁止を指示する禁止指示情報を通信路３０を経由して情報提供システム１０に通知するとともに、該利用者端末５０の端末情報の記録を抹消する一方、上記情報提供システム１０は、第１の接続口１１に接続された利用者端末５０が、認証システム２０から通信路３０を経由して通知を受けた端末情報に合致する利用者端末である場合に、利用者端末５０による情報提供サーバ１２の利用を許可し、認証システム２０からの禁止指示情報の通知を受けて該禁止指示情報により特定される利用者端末による情報提供サーバ１２の利用を禁止するアクセス装置１４を備えている。
【００５７】
次に、本実施形態のネットワークシステム１の動作について説明する。
【００５８】
ここでは、このネットワークシステム１を備えた企業を訪れた来訪者（利用者）が、このネットワークシステム１に備えられた情報提供サーバ１２を一時的に利用しようとする場合について説明する。
【００５９】
図４は、第１の実施形態における通信シーケンスを示す図である。
【００６０】
利用者５１（図３参照）がこのネットワークシステム１を備えた企業を訪れ、受付の担当者に情報提供システム１０の利用を申し出るとともに、図１および図４に示すように、利用者端末５０のＬＡＮケーブル５２を認証システム２０の第２の接続口２１であるコンピュータ３００のＬＡＮコネクタ２０５に接続して認証処理を行う（図４：ステップＳ１１）。
【００６１】
この認証処理は、本実施形態では認証サーバ２２によるＲＡＤＩＵＳ認証手順を用いて利用者本人の認証を行うようになっているが、これ以外にどのような方法で利用者の本人認証を行ってもよく、例えば、訪問者の名前や会社名等の情報に基づき受付担当者により本人であることを確認するようにしてもよい。
【００６２】
本実施形態では、認証サーバ２２による認証処理が完了した後に、利用者端末５０を特定する端末情報として、利用者端末５０のＭＡＣアドレスが認証サーバ２２により読み出され（図４：ステップＳ１２）、情報登録用サーバ２４に登録される。情報登録用サーバ２４は、登録された端末情報に基づき利用者５１の訪問場所（例えば、会議室や応接室など）に存在するアクセス装置１４に対してアクセス制限の解除を行うよう、通信路３０を経由して情報提供システム１０に通知するとともに、利用者端末５０にも通知する。
【００６３】
アクセス装置１４は基本的にアクセス拒否状態となっており、上記アクセス制限の解除の通知を情報登録用サーバ２４から受けたときだけアクセス制限解除対象の利用者端末からのアクセスを許可するようになっている。
【００６４】
なお、本実施形態では、利用者の訪問時間に合わせて利用許可時間情報を情報登録用サーバ２４に保有しておき、その利用許可時間情報に基づきアクセス制限の解除／再制限を行うようになっている。
【００６５】
利用者５１は、認証システム２０による認証処理が終わった後、第２のネットワーク２３の第２の接続口２１と利用者端末とのＬＡＮ接続を外してから訪問場所（会議室／応接室）に移動し、第１のネットワーク１３の接続口１１と利用者端末とのＬＡＮ接続を行い、第１のネットワーク１３の利用を開始する。
【００６６】
前述の通り、アクセス装置１４では、情報登録用サーバ２２から受け取った端末情報と、利用者端末５０から受け取った端末情報との対応付けを行い、対応が付いた場合に、利用者端末５０の利用を可能とする。以上のように構成されているため、利用者５１は利用者端末５０による第１のネットワーク１３の利用に際して訪問場所での特別な設定や操作を行うことなしに、情報提供システム１０を利用することができる（図４：ステップＳ１３）。
【００６７】
情報登録用サーバ２２は、図４に示すように、利用許可時間ｔ（図４参照）が経過した後は、再びアクセス制限をかけるようにアクセス装置１４に指示を出す（図４：ステップＳ１４）。アクセス制限指示が出された後は、利用者５１は第１のネットワーク１３を利用することができない。第１のネットワーク１３を続けて利用したいときには、利用者端末５０を第２のネットワーク２３に再び接続し、認証システム２０による再認証・再登録の手続きを行う必要がある（図４：ステップＳ１５、ステップＳ１６）。
【００６８】
以上のように、このネットワークシステム１においては、第１のネットワーク１３側の情報提供システム１０内での認証処理は行われず、第２のネットワーク２３側の認証システム２０が認証処理を行う。そして、認証システム２０で認証された利用者が第１のネットワーク１３内の情報提供サーバ１２を利用することができる。
【００６９】
以上の説明では、端末情報として利用者端末５０のＭＡＣアドレスを用いた場合の例を示しているが、ＭＡＣアドレスの代わりに、利用者端末５０のＩＰアドレス（インターネットやイントラネットなどのＩＰネットワークに接続されたコンピュータや通信機器に割り振られた固有の識別情報）に基づく情報を端末情報として用いてもよい。これ意外にも、認証対象となる利用者端末を特定できる情報、あるいは利用者端末固有の情報であれば、端末情報として適宜利用可能である。
【００７０】
また、利用者端末５０の利用時間を延長したい場合に、再認証の場合に限り、第１のネットワーク１３上で再認証を行えるように構成してもよい。ただし、この場合は、認証サーバおよび情報登録用サーバが、第１のネットワーク１３上にも存在しなければならず、また本来の認証用ネットワークである第２のネットワーク２３との間で、データの同期がとれるようにしておく必要がある。
【００７１】
以上のようにして、この第１の実施形態のネットワークシステム１では、第１のネットワーク１３側では認証処理は行われず、第２のネットワーク２３側で認証された利用者のみが第１のネットワーク１３内の情報提供サーバ１２を利用することができる。
【００７２】
次に、本発明の第２の実施形態について説明する。
【００７３】
図５は、本発明の第２の実施形態のネットワークシステムの概略構成図である。
【００７４】
なお、この第２の実施形態のネットワークシステム２は、アウトバンド認証を伴う本発明の第２のネットワークシステムに相当する。
【００７５】
図５に示すように、本実施形態のネットワークシステム２は、情報提供システム６０および認証システム７０を有している。
【００７６】
情報提供システム６０は、利用者５１により操作される利用者端末５０が接続される第１の接続口６１と、利用者端末５０に情報を提供する情報提供サーバ６２と、第１の接続口６１と情報提供サーバ６２とを接続する第１のネットワーク６３とを有する。
【００７７】
認証システム７０は、利用者端末５０が接続される、第１の接続口６１とは物理的に異なる第２の接続口７１と、利用者端末５０を利用する利用者５１の、情報提供サーバ６２へのアクセス権限の認証を行う認証サーバ７２と、第２の接続口７１と認証サーバ７２とを接続する第２のネットワーク７３とを有している。
【００７８】
この認証システム７０は、第２の接続口７１に接続された利用者端末５０を操作する利用者５１の認証を行い、利用者５１が、上記情報提供サーバ６２への正当なアクセス権限を有する利用者である場合に、利用者端末５０に暗号化用の鍵情報を渡すものである。また、情報提供システム６０は、第１の接続口６１に接続された利用者端末５０から送信されてきた情報提供サーバ６２をアクセスするための情報が上記鍵情報により正規に暗号化された暗号化情報である場合に、該暗号化情報を復号化して情報提供サーバ６２に伝えることにより利用者端末５０に情報提供サーバ６２を利用させるようにするとともに、不正な情報である場合には該情報を破棄するアクセス装置６４を備えている。
【００７９】
さらに、本実施形態では、上記認証システム７０は、暗号化用の鍵情報を保持し、正当なアクセス権限を有する利用者である旨の認証を行う認証サーバ７２からの要請を受けて該鍵情報を該認証サーバ７２に渡す情報通知用サーバ７５を備えている。認証サーバ７２は、情報通知用サーバ７５から上記鍵情報を受け取って、該鍵情報を伴う情報提供システム６０の利用許可情報を、第２の接続口７１に接続され正当なアクセス権限を有する利用者である旨の認証を与えた利用者端末５０に通知するようになっている。
【００８０】
次に、本実施形態のネットワークシステム２の動作について説明する。
【００８１】
ここでは、このネットワークシステム２を備えた企業を訪れた来訪者（利用者）がこのネットワークシステム２に備えられた情報提供サーバ６２を一時的に利用しようとする場合の例について説明する。
【００８２】
図６は、第２の実施形態における通信シーケンスを示す図である。
【００８３】
利用者５１（図５参照）がこのネットワークシステム２を備えた企業を訪れ、受付の担当者に情報提供システム６０の利用を申し出るとともに、図１および図６に示すように、利用者端末５０のＬＡＮケーブル５２を第２のネットワーク７３の第２の接続口７１であるコンピュータ３００のＬＡＮコネクタ２０５に接続して認証処理を行う（図６：ステップＳ２１）。
【００８４】
この認証処理は、本実施形態では認証サーバ７２によるＲＡＤＩＵＳ認証手順を用いて利用者本人の認証を行うようになっているが、これ以外にどのような方法で利用者の本人認証を行ってもよく、例えば、訪問者の名前や会社名等の情報に基づき受付担当者により本人であることを確認するようにしてもよい。
【００８５】
本実施形態では、認証サーバ７２による認証処理が完了した後に、情報通知用サーバ７５は利用者端末５０に暗号化用の鍵情報を渡す（図６：ステップＳ２２）。情報通知用サーバ７５は、実施形態１における情報登録用サーバ２４とは異なり第２のネットワーク６３内のアクセス装置６４等の制御は行わない。また、通知される暗号化用鍵情報を、利用許可時間ｔ（図６参照）内でのみ有効な情報とし、その情報に基づきアクセス制限の解除／再制限を行うように構成されている。
【００８６】
利用者５１は、認証システム７０による認証処理が終わり認証サーバ７２から暗号化用鍵情報を受け取った後、第２のネットワーク７３の第２の接続口７１とのＬＡＮ接続を外してから訪問場所（会議室又は応接室など）に移動し、第１のネットワーク６３の第１の接続口６１とのＬＡＮ接続を行い、第１のネットワーク６３の利用を開始する（図６：ステップＳ２３）。
【００８７】
こうして、利用者５１はこの訪問場所では特別な設定・操作をすることなしに第１のネットワーク６３内の情報提供システム６０の利用が可能となる。ただし、利用者は情報通知用サーバ７５から渡された暗号化用鍵情報を利用することができるように、事前に利用者端末５０の設定操作を行っておく必要がある。この設定操作とは、具体的には次に示すように、利用者端末５０の鍵情報保持部５０ｇに暗号化用鍵情報を保存することをいう。実際にどのような設定操作が必要であるかはネットワーク側のアクセス制御機能によって異なるが、本実施形態では、宛先ＭＡＣアドレスを暗号化用鍵情報に変換する方法を利用した場合について説明する。
【００８８】
なお、本実施形態で暗号化の対象となる情報は、例えばＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）における各パケットのイーサネット（登録商標）ヘッダに記述される宛先ＭＡＣアドレスなどである。
【００８９】
図７は、第２の実施形態における利用者端末の機能ブロック図であり、図８は、第２の実施形態におけるアクセス装置の機能ブロック図である。
【００９０】
図７に示すように、この利用者端末５０は、受信Ｉ／Ｆ（インターフェース）部５０ａ、宛先ＭＡＣアドレス復号化部５０ｂ、ＦＣＳ（Ｆｒａｍｅ Ｃｈｅｃｋ Ｓｅｑｕｅｎｃｅ）チェック部５０ｃ、送信Ｉ／Ｆ部５０ｄ、宛先ＭＡＣアドレス暗号化部５０ｅ、ＦＣＳ計算部５０ｆ、上位機能処理部５０ｈなどを有している。ここで、ＦＣＳ（Ｆｒａｍｅ Ｃｈｅｃｋ Ｓｅｑｕｅｎｃｅの略）とは、イーサネット（登録商標）フレームのヘッダ部とデータ部に誤りがないか否かを検出するための値であり、イーサネット（登録商標）フレームの末尾に付加される。
【００９１】
図８に示すように、このアクセス装置６４は、受信Ｉ／Ｆ（インターフェース）部６４ａ、ポート状態確認部６４ｂ、宛先ＭＡＣアドレス復号化部６４ｃ、ＦＣＳチェック部６４ｄ、送信Ｉ／Ｆ部６４ｅ、ポート状態確認部６４ｆ、宛先ＭＡＣアドレス暗号化部６４ｇ、ＦＣＳ計算部６４ｈ、鍵情報保持部６４ｉ、ブリッジ機能および上位機能処理部６４ｊなどを有している。
【００９２】
次に、第２の実施形態における認証処理の流れについて説明する。
【００９３】
図９は、第２の実施形態における認証処理の流れを示すフローチャートであり、図１０は、第２の実施形態における認証処理の過程におけるイーサネット（登録商標）フレームの推移を示す図である。
【００９４】
図１０（ａ）に示すように、イーサネット（登録商標）フレーム４０は、宛先ＭＡＣアドレス４０ａ、発信元ＭＡＣアドレス４０ｂ、タイプ４０ｃ、データ４０ｄから構成されている。
【００９５】
利用者端末５０がアクセス装置６４から宛先ＭＡＣアドレスを受け取った後、図９：ステップＳ３１において、利用者端末５０のＦＣＳ計算部５０ｆ（図７参照）は、宛先ＭＡＣアドレス４０ａを元にＦＣＳを計算する。計算で得られたＦＣＳは、図１０（ｂ）に示すように、イーサネット（登録商標）フレーム４０の末尾に付加されイーサネット（登録商標）フレーム４１が生成される。
【００９６】
次に、宛先ＭＡＣアドレス暗号化部５０ｅにより、前述の暗号化用鍵情報を利用して宛先ＭＡＣアドレス４０ａの暗号化が行われ（図９：ステップＳ３２）、図１０（ｃ）に示すように、暗号化された宛先ＭＡＣアドレス４２ａを含むイーサネット（登録商標）フレーム４２が生成される。
【００９７】
次に、ＰＨＹ層（ＯＳＩ階層モデルの第１層（物理層））の処理（図９：ステップＳ３３）が行われ、暗号化された宛先ＭＡＣアドレス４２ａを含むイーサネット（登録商標）フレーム４２が暗号化用鍵情報として送信Ｉ／Ｆ部５０ｄから送信される（図９：ステップＳ３４）。なお、この暗号化用鍵情報は鍵情報保持部５０ｇに保持される。
【００９８】
こうして利用者端末５０から送信されたイーサネット（登録商標）フレーム４２は、アクセス装置６４の受信Ｉ／Ｆ部６４ａ（図８参照）から入力され（図９：ステップＳ３５）、ポート状態確認部６４ｂで、この受信ポートが、宛先ＭＡＣアドレス変換を実施する対象ポートとなっているか否かを確認し、対象ポートに該当する場合は、宛先ＭＡＣアドレス復号化部６４ｃにおいて、暗号化されている宛先ＭＡＣアドレス４２ａを復号化して暗号化前の宛先ＭＡＣアドレス４３ａを含むイーサネット（登録商標）フレーム４３が生成される（図９：ステップＳ３６）。次に、ＦＣＳチェック部６４ｄで、ＦＣＳの再計算が行われ、誤りがない場合、すなわち暗号化前の宛先ＭＡＣアドレス４３ａが、暗号化後の宛先ＭＡＣアドレス４２ａ（図１０（ｃ）参照）と同一であることが確認された後（図９：ステップＳ３７）、ＭＡＣ層の処理（図９：ステップＳ３８）を経て、フレーム中継等の操作が行われる。
【００９９】
ここで、正規の暗号化用鍵情報を持たない利用者端末５０がアクセス装置６４に正規ではない暗号化用鍵情報を送信してきた場合は、宛先ＭＡＣアドレスは別の宛先ＭＡＣアドレスに変換されてしまうため、正しい宛先である情報提供サーバ６２（図５参照）に送信することができない。また、ＦＣＳの計算も正しく行われないため、エラーフレームとして破棄される。
【０１００】
また、正規の暗号化用鍵情報を持たない利用者端末５０が、たまたま、暗号化後の宛先ＭＡＣアドレスを含む暗号化用鍵情報をアクセス装置６４に送信してきた場合も、イーサネット（登録商標）フレームのＦＣＳが正しく計算されないため、エラーフレームとして破棄される（図６：ステップＳ２４）
次に、本発明の第３の実施形態について説明する。
【０１０１】
前述のように第２の実施形態では、宛先ＭＡＣアドレスを鍵情報に変換して認証を行う方式を採用しているが、さらに他の認証方式として、例えばイーサネット（登録商標）フレームのＩＰヘッダオプションやＶＬＡＮ（Ｖｉｒｔｕａｌ ＬＡＮ）−ｔａｇに特定の情報を付加する方法や、ＸＭＬによる特定の情報をパケットに付加して通信を行う方法などにより、特定の情報が付加されたフレームやパケットのみのアクセスを許可する認証方式を採用することもできる。
【０１０２】
以下には、第３の実施形態として、イーサネット（登録商標）フレームのＩＰヘッダオプションに特定の情報を付加する認証方式について説明する。
【０１０３】
図１１は、本発明の第３の実施形態のネットワークシステムの概略構成図である。
【０１０４】
なお、この第３の実施形態のネットワークシステム３は、アウトバンド認証を伴う本発明の第３のネットワークシステムに相当する。
【０１０５】
図１１に示すように、この第３の実施形態のネットワークシステム３は、利用５１者により操作される利用者端末５０が接続される第１の接続口８１と、利用者端末５０に情報を提供する情報提供サーバ８２＿１，８２＿２，８２＿３と、第１の接続口８１と情報提供サーバ８２＿１，８２＿２，８２＿３とを接続する第１のサブネットワーク８３＿１，８３＿２，８３＿３とを有する情報提供システム８０、および上記利用者端末５０が接続される、第１の接続口８１とは物理的に異なる第２の接続口８６と、利用者端末５０を利用する利用者５１の、情報提供サーバ８２＿１，８２＿２，８２＿３へのアクセス権限の認証を行う認証サーバ８７と、第２の接続口８６と認証サーバ８７とを接続する第２のネットワーク８８とを有する認証システム８５を有している。
【０１０６】
認証システム８５は、第２の接続口８６に接続された利用者端末５０を操作する利用者５１の認証を行い、該利用者５１が、情報提供サーバ８２への正当なアクセス権限を有する利用者である場合に、利用者端末５１に利用者５１の種別に応じたアクセス権限の種別情報を渡すものであり、情報提供システム８０は、第１の接続口８１に接続された、上記種別情報を伴う情報を受け取り、該情報を、該情報に付随した種別情報に応じて通過させ、あるいは破棄するアクセス装置８４＿１，８４＿２，８４＿３を備えており、これらのアクセス装置８４＿１，８４＿２，８４＿３により、利用者端末５０のアクセスを制御するように構成されている。
【０１０７】
上記のように、このネットワークシステム３は、３つのアクセス装置と３つのサブネットワークと３つの情報提供サーバとにより階層的に構成されているが、これは、上記のように３つのアクセス装置８４＿１，８４＿２，８４＿３が種別情報を伴う情報を受け取り、該情報を、該情報に付随した種別情報に応じて通過させ、あるいは破棄するためである。例えば、第１のアクセス装置８４＿１は、種別情報が第１ランクの利用者（例えば一般来訪者）に対しては、第１段階の機密性を要する情報提供サーバ８２＿１へのアクセスを許可し、第２のアクセス装置８４＿２は、種別情報が第２ランクの利用者（例えばその企業の従業員）に対しては、第１段階の機密性を要する情報提供サーバ８２＿２へのアクセスを許可するなどというように、利用者の種別に応じて利用者端末５０のアクセス権限を制御することができる。
【０１０８】
なお、図１１には、上記のように３階層のネットワークとして構成した例を示したが、階層数は３階層に限られるものではなく、何階層であってもよい。
【０１０９】
図１２は、第３の実施形態におけるアクセス装置の機能ブロック図である。
【０１１０】
図１２には上記アクセス装置８４＿１，８４＿２，８４＿３のうちの一つのアクセス装置８４のみを示しているが、３つのアクセス装置８４＿１，８４＿２，８４＿３ともに同様の構成となっている。
【０１１１】
このアクセス装置８４は、伝送路制御部８４ａ、タグ確認部８４ｂ、タグ処理部８４ｃ、ポリシー記録部８４ｄ、ポリシー入力部８４ｅ、パケット処理部８４ｆ、および伝送路制御部８４ｇなどを有している。
【０１１２】
図１３は、第３の実施形態において種別情報として用いられるイーサネット（登録商標）フレームのＩＰヘッダおよびＩＰヘッダオプションを示す図である。
【０１１３】
図１３に示すように、このイーサネット（登録商標）フレームのＩＰヘッダ９１には、可変長のＩＰヘッダオプション９２が設けられており、このＩＰヘッダオプション９２には利用者の属性を表す利用者属性９３が記録されるようになっている。
【０１１４】
この利用者属性９３は、認証システム８５における利用者５１の本人認証時に認証サーバ８７によって付与される情報であり、例えば、利用者が一般来訪者である場合には利用者属性９３として“１”が付与され、利用者がその企業の従業員である場合には利用者属性９３として“２”が付与されるようになっている。この利用者属性９３は、後述するようにアクセス装置８４によるパケット処理（図１４参照）の際に参照され、パケットを通過させるか破棄するかの判定に用いられる。
【０１１５】
なお、この利用者属性９３は、本発明にいう種別情報の一例に相当するものである。
【０１１６】
次に、第３の実施形態における認証処理および認証後の処理について説明する。
【０１１７】
図１４は、第３の実施形態における通信シーケンスを示す図である。
【０１１８】
利用者５１（図１１参照）がこのネットワークシステム３を備えた企業を訪れ、受付の担当者に情報提供システム８０の利用を申し出るとともに、図１および図１１に示すように、利用者端末５０のＬＡＮケーブル５２を認証システム８５の第２の接続口８６であるコンピュータ３００のＬＡＮコネクタ２０５に接続することにより認証サーバ８７による認証処理が開始される（図１４：ステップＳ４１）。
【０１１９】
この認証処理は、本実施形態ではＲＡＤＩＵＳ認証手順を用いて利用者本人の認証を行うようになっているが、この方法に限られるものではなく、どのような方法で利用者の本人認証を行ってもよい。例えば、訪問者の名前や会社名等の情報に基づき受付担当者により本人であることを確認するようにしてもよい。
【０１２０】
本実施形態では、この情報提供システム８０を利用する利用者の属性に関する情報を記録した利用者データベースが備えられており、認証システム８５は、この利用者データベースを用いて、第２の接続口８６に接続された利用者端末５０を操作する利用者５１の認証を行うようになっている。この認証処理の結果、該利用者５１が、情報提供サーバ８２への正当なアクセス権限を有する利用者である場合には、認証システム８５に備えられた情報通知用サーバ８９は、利用者端末５０に該利用者の種別に応じたアクセス権限の種別情報を上記利用者データベースに基づいて設定し、それを利用者端末５０に通知する（図１４：ステップＳ４２）。
【０１２１】
通知される情報は、図１３に示すＩＰヘッダオプション９２のうちの利用者属性９３である。この種別情報は、利用許可時間ｔ（図１４参照）内でのみ有効な情報として通知される。
【０１２２】
利用者５１は、認証システム８５による認証処理が終わり、情報通知用サーバ８９から種別情報としての利用者属性９３を利用者端末５０に受け取った後、第２の接続口８６とのＬＡＮ接続を外してから訪問場所（会議室又は応接室など）に移動し、第１の接続口８１とのＬＡＮ接続を行い、第１のアクセス装置８４＿１（図１１参照）へ利用者属性９３（図１３参照）を送信する（図１４：ステップＳ４３）。以下の説明では、説明が煩雑になるのをさけるため、第１のアクセス装置８４＿１を単にアクセス装置８４という。
【０１２３】
アクセス装置８４は、利用者端末５０から送られてきたパケットの中からＩＰヘッダオプション９２のタグ情報である利用者属性９３（図１３参照）をタグ確認部８４ｂ（図１２参照）で確認し、利用者属性９３が付与されていないパケットは廃棄し、利用者属性９３が付与されているパケットは、タグ処理部８４ｃに送る。タグ処理部８４ｃは、パケットがこの先に転送してもよいパケットか否かの識別を行う。ポリシー記録部８４ｄには、その識別を行うためのポリシーテーブルが記録されている。
【０１２４】
図１５は、第３の実施形態における種別情報として用いられるポリシーテーブルを示す図である。
【０１２５】
図１５に示されるように、このポリシーテーブル９０には、アプリケーション識別子９０ａ、利用者属性９０ｂ、振る舞い９０ｃが保持されており、例えば、アプリケーション識別子９０ａ： “１（ウエブアクセス［ｈｔｔｐ］）”のアプリケションについては、利用者属性９０ｂ≧１の利用者のアクセスを通過させること（レコード９０＿１）、アプリケーション識別子９０ａ： “ｎｏｔ１（ウエブアクセス以外）”のアプリケションについては、利用者属性９０ｂ≧２の利用者のアクセスを通過させること（レコード９０＿２）、また、アプリケーション識別子９０ａおよび利用者属性９０ｂが 上記条件を満たさないものについては、そのパケットは破棄されることが定められている（レコード９０＿３）。
【０１２６】
タグ処理部８４ｃは、利用者端末５０から送られてきた利用者属性９３を、上記のポリシーテーブル９０に保持されている利用者属性９０ｂと照合することによりアクセス装置８４としてどのように処理すべきかを、振る舞い９０ｃを参照して決定し、パケット処理部８４ｄはその決定に基づき、送られてきたパケットを通過させ、または破棄処理する（図１４：Ｓ４４）。利用者端末５０から送られてきたパケットがパケット処理部８４ｄを通過した後は、利用者端末５０は第１のネットワーク８３の利用を開始することができる。
【０１２７】
例えば、認証システム８５（図１１参照）で、利用者の種別が“一般来訪者”である利用者に対して利用者属性“１”が利用者端末５０に渡された場合について説明すると、利用者端末５０から送られてきた利用者属性“１”が、上記ポリシーテーブル９０と照合され、レコード９０＿１の利用者属性９０ｂに合致するので、ウエブアクセス［ｈｔｔｐ］のアプリケションを提供する第１の情報提供サーバ８２＿１へのアクセスを通過させる。しかし、この利用者の利用者属性“１”はレコード９０＿２の利用者属性９０ｂには合致せず、レコード９０＿３の条件に従い、第２、第３の情報提供サーバ８２＿２，８２＿３へのアクセスは拒絶される。
【０１２８】
以上のように、ＩＰヘッダオプションに利用者の種別に応じた種別情報を付加することにより、第１のネットワーク上の各サブネットワークの利用を利用者の種別に応じて制御することができる。
【０１２９】
この第３の実施形態においても、利用者５１は、第２のネットワーク８８内で認証を得た後は、訪問場所では特別な設定・操作をすることなく第１のネットワーク８３内の情報提供サーバ８２を利用することができる。
【０１３０】
上記の３つの実施形態に示したように、情報提供システムを含む第１のネットワークと、認証システムを含む第２のネットワークとを分離したことにより、第１のネットワーク内では特別な設定・操作を行うことなく情報提供システムを利用することができる。その結果、第１のネットワークおよび第２のネットワーク双方を簡略なネットワークシステムとすることができるので、第１のネットワーク上で行われる処理を軽快なものとすることができる。また、新たな認証方式が出現した場合には、第２のネットワークにおける認証方式を新たな認証方式に変更するだけで、第１のネットワークには何らの変更を加えることなく、ネットワークシステム全体のセキュリティ性をレベルアップすることが可能である。また、従来のインバンド認証で問題となっている機器の違いによるトラブルを生じることがなくなり、機器に依存しない一元的な認証システムを実現することができる。
【０１３１】
以下に、本発明の各種態様を付記する。
【０１３２】
（付記１）
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システム、および
前記認証システムでの認証結果を前記情報提供システムに通知する通信路を有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末を特定する端末情報を、前記通信路を経由して、前記情報提供システムに通知するものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末が、前記認証システムから前記通信路を経由して通知を受けた端末情報に合致する利用者端末である場合に、該利用者端末による前記情報提供サーバの利用を許可するものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【０１３３】
（付記２）
前記認証システムが、前記第２の接続口に接続され前記認証サーバにより正当なアクセス権限を有する利用者である旨の認証を受けた利用者端末から該利用者端末を特定する端末情報を取得して登録するとともに該端末情報を前記通信路を経由して前記情報提供システムに通知し、さらに該通知からの経過時間を測定して所定時間経過後に、該利用者端末による前記情報提供サーバの利用の禁止を指示する禁止指示情報を前記通信路を経由して前記情報提供システムに通知するとともに該利用者端末の端末情報の記録を抹消する情報登録用サーバを備え、
前記情報提供システムが、前記認証システムからの端末情報の通知を受けて該端末情報により特定される利用者端末による前記情報提供サーバの利用を許可し、前記認証システムからの禁止指示情報の通知を受けて該禁止指示情報により特定される利用者端末による前記情報提供サーバの利用を禁止するアクセス装置を備えたことを特徴とする付記１記載のアウトバンド認証を伴うネットワークシステム。
【０１３４】
（付記３）
前記端末情報が、前記第２の接続口に接続された利用者端末のＭＡＣアドレスに基づく情報であることを特徴とする付記１記載のアウトバンド認証を伴うネットワークシステム。
【０１３５】
（付記４）
前記端末情報が、前記第２の接続口に接続された利用者端末のＩＰアドレスに基づく情報であることを特徴とする付記１記載のアウトバンド認証を伴うネットワークシステム。
【０１３６】
（付記５）
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末に暗号化用の鍵情報を渡すものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末から送信されてきた、前記鍵情報により正規に暗号化された情報を受け入れて該利用者端末に前記情報提供サーバを利用させるものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【０１３７】
（付記６）
前記認証システムが、暗号化用の鍵情報を保持し、正当なアクセス権限を有する利用者である旨の認証を行う認証サーバからの要請を受けて該鍵情報を該認証サーバに渡す情報通知用サーバを備え、
前記認証サーバが、前記情報通知用サーバから前記鍵情報を受け取って、該鍵情報を伴う、前記情報提供システムの利用許可情報を、前記第２の接続口に接続され正当なアクセス権限を有する利用者である旨の認証を与えた利用者端末に通知するものであることを特徴とする付記５記載のアウトバンド認証を伴うネットワークシステム。
【０１３８】
（付記７）
前記情報提供システムは、前記第１の接続口に接続された利用者端末から送信されてきた前記情報提供サーバをアクセスするための情報が前記鍵情報により正規に暗号化された暗号化情報である場合に該暗号化情報を復号化して前記情報提供サーバに伝えるとともに、不正な情報である場合には該情報を破棄するアクセス装置を備えたことを特徴とする付記５記載のアウトバンド認証を伴うネットワークシステム。
【０１３９】
（付記８）
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末に該利用者の種別に応じたアクセス権限の種別情報を渡すものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末から前記種別情報を受け取り、該利用者端末に該種別情報に応じたアクセスを許可するものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【０１４０】
（付記９）
前記情報提供システムは、前記第１の接続口に接続された、前記種別情報を伴う情報を受け取り、該情報を、該情報に付随した種別情報に応じて通過させ、あるいは破棄するアクセス装置を備えたことを特徴とする付記８記載のアウトバンド認証を伴うネットワークシステム。
【０１４１】
（付記１０）
第一の情報処理装置において、第二の情報処理装置による第三の情報処理装置へのアクセスの認証を行う認証方法であって、
前記第二の情報処理装置から、前記第一の情報処理装置に、前記第三の情報処理装置へのアクセス要求を創出するステップと、
前記第一の情報処理装置において、前記第二の情報処理装置によるアクセス認証を行うステップと、
前記アクセス認証結果に応じて、前記第二の情報処理装置から前記第一の情報処理装置に向けて、第一の情報を送出するステップと、
前記第二の情報処理装置から前記第三の情報処理装置に対して、前記第一の情報を送出するステップと、
前記第二の情報処理装置から、前記第三の情報処理装置に対して第二の情報を送出するステップと、
前記第三の情報処理装置において、前記第一の情報と前記第二の情報との対応関係を判別するステップと、
前記対応関係の判別結果に基づいて、前記第二の情報処理装置による前記第三の情報処理装置の利用を許容するステップとを備えたことを特徴とする認証方法。
【０１４２】
（付記１１）
第一の情報処理装置において、第二の情報処理装置による第三の情報処理装置へのアクセスの認証を行う認証方法であって、
前記第二の情報処理装置から、前記第一の情報処理装置に、前記第三の情報処理装置へのアクセス要求を創出するステップと、
前記第一の情報処理装置において、前記第二の情報処理装置によるアクセス認証を行うステップと、
前記アクセス認証結果に応じて、前記第一の情報処理装置から前記第二の情報処理装置に向けて、第一の情報を送出するステップと、
前記第二の情報処理装置から、前記第三の情報処理装置に対して前記第一の情報が付加された情報を送出するステップと、
前記第三の情報処理装置において、前記第一の情報を判別するステップと、
前記判別結果に基づいて、前記第二の情報処理装置による前記第三の情報処理装置の利用を許容するステップとを備えたことを特徴とする認証方法。
【０１４３】
（付記１２）
前記第一の情報は暗号鍵であり、
前記第二の情報処理装置は、前記暗号鍵を用いて暗号化された情報を前記第三の情報処理装置に送出することを特徴とする付記１１記載の認証方法。
【０１４４】
（付記１３）
第二の情報処理装置から第三の情報処理装置へのアクセスの認証を行う情報処理装置における認証方法であって、
前記第二の情報処理装置から、前記第三の情報処理装置に対するアクセス要求を受けるステップと、
前記アクセス要求に応じて、前記第二の情報処理装置のアクセス認証を行うステップと、
前記アクセス認証を受けた第二の情報処理装置から、当該第二の情報処理装置に関する情報を受けるステップと、
前記第二の情報処理装置から受けた情報を、前記情報処理装置から前記第三の情報処理装置に通知するステップとを備えたことを特徴とする認証方法。
【０１４５】
（付記１４）
第二の情報処理装置から第三の情報処理装置へのアクセスの認証を行う情報処理装置における認証方法であって、
前記第二の情報処理装置から、前記第三の情報処理装置に対するアクセス要求を受けるステップと、
前記アクセス要求に応じて、前記第二の情報処理装置のアクセス認証を行うステップと、
前記アクセス認証を受けた第二の情報処理装置に対し、認証状況を示す情報を送付するステップとを備えたことを特徴とする認証方法。
【０１４６】
（付記１５）
前記認証状況を示す情報は、暗号鍵であることを特徴とする付記１４記載の認証方法。
【０１４７】
（付記１６）
第二の情報処理装置から第三の情報処理装置へのアクセスの認証を行う情報処理装置であって、
前記第三の情報処理装置へのアクセス要求を、前記第二の情報処理装置から受ける手段と、
前記アクセス要求の受信に伴い、前記第二の情報処理装置による前記第三の情報処理装置へのアクセス認証を行う手段と、
アクセス可と認証された第二の情報処理装置から、前記第二の情報処理装置に関する情報を受ける手段と、
前記第二の情報処理装置から受信した情報を、前記第三の情報処理装置に通知する手段とを備えたことを特徴とする情報処理装置。
【０１４８】
（付記１７）
第二の情報処理装置から第三の情報処理装置へのアクセスの認証を行う情報処理装置であって、
前記第三の情報処理装置へのアクセス要求を、前記第二の情報処理装置から受ける手段と、
前記アクセス要求の受信に伴い、前記第二の情報処理装置による前記第三の情報処理装置へのアクセス認証を行う手段と、
アクセス可と認証された第二の情報処理装置に対し、認証状況を示す情報を通知する手段とを備えたことを特徴とする情報処理装置。
【０１４９】
（付記１８）
前記情報を通知する手段は、暗号鍵を前記第二の情報処理装置に通知するように構成されたことを特徴とする付記１７記載の情報処理装置。
【０１５０】
（付記１９）
第二の情報処理装置からのアクセスを受け付ける情報処理装置におけるアクセス処理方法において、
第三の情報処理装置から、前記第二の情報処理装置に関わる第一の情報を受けるステップと、
前記第二の情報処理装置から、前記第二の情報処理装置に関わる第二の情報を受けるステップと、
前記第一の情報と前記第二の情報との対応関係を判別するステップと、
前記対応関係の判別結果に応じて、前記第二の情報処理装置からのアクセスを受け付けるステップとを備えたことを特徴とするアクセス処理方法。
【０１５１】
（付記２０）
情報処理装置における認証方法において、
前記情報処理装置を第一の情報処理装置に接続するステップと、
前記第一の情報処理装置に対し、第二の情報処理装置に対するアクセス要求を送出するステップと、
前記アクセス要求に応じた前記第一の情報処理におけるアクセス認証に対応して、前記第一の情報処理装置に対して前記情報処理装置に関する情報を送出するステップと、
前記第二の情報処理装置に接続するステップと、
前記第二の情報処理装置に対して、前記情報処理装置に関する情報を送出するステップと、
前記第二の情報処理装置へ送出した前記情報に対応した、前記第二の情報処理装置による前記第二の情報処理装置の利用許可に応じて、前記第二の情報処理装置にアクセスするステップとを備えたことを特徴とする認証方法。
【０１５２】
（付記２１）
情報処理装置における認証方法において、
前記情報処理装置を第一の情報処理装置に接続するステップと、
前記第一の情報処理装置に対し、第二の情報処理装置に対するアクセス要求を送出するステップと、
前記アクセス要求に応じた前記第一の情報処理におけるアクセス認証に対応して、前記第一の情報処理装置から第一の情報を受け取るステップと、
前記第二の情報処理装置に接続するステップと、
前記第二の情報処理装置に対して、前記第一の情報を送出するステップとを備えたことを特徴とする認証方法。
【０１５３】
（付記２２）
前記認証方法において、
前記第一の情報は暗号鍵であり、
前記第一の情報を送出するステップでは、前記暗号鍵により暗号化された情報を前記第二の情報処理装置に送出することを特徴とする付記２１記載の認証方法。
【０１５４】
（付記２３）
前記認証方法において、
前記暗号化された情報は、前記第二の情報処理装置固有の情報を前記暗号鍵により暗号化した情報であることを特徴とする付記２２記載の認証方法。
【図面の簡単な説明】
【０１５５】
【図１】本発明の各実施形態のネットワークシステムが形成されるコンピュータシステムの概略構成図である。。
【図２】図１に外観を示したコンピュータのハードウェア構成図である。
【図３】本発明の第１の実施形態のネットワークシステムの概略構成図である。
【図４】第１の実施形態における通信シーケンスを示す図である。
【図５】本発明の第２の実施形態のネットワークシステムの概略構成図である。
【図６】第２の実施形態における通信シーケンスを示す図である。
【図７】第２の実施形態における利用者端末の機能ブロック図である。
【図８】第２の実施形態におけるアクセス装置の機能ブロック図である。
【図９】第２の実施形態における認証処理の流れを示すフローチャートである。
【図１０】第２の実施形態における認証処理の過程におけるイーサネット（登録商標）フレームの推移を示す図である。
【図１１】本発明の第３の実施形態のネットワークシステムの概略構成図である。
【図１２】第３の実施形態におけるアクセス装置の機能ブロック図である。
【図１３】第３の実施形態において種別情報として用いられるイーサネット（登録商標）フレームのＩＰヘッダおよびＩＰヘッダオプションを示す図である。
【図１４】第３の実施形態における通信シーケンスを示す図である。
【図１５】第３の実施形態における種別情報として用いられるポリシーテーブルを示す図である。
【符号の説明】
【０１５６】
１，２，３ ネットワークシステム
１０ 情報提供システム
１１ 第１の接続口
１２ 情報提供サーバ
１３ 第１のネットワーク
１４ アクセス装置
２０ 認証システム
２１ 第２の接続口
２２ 認証サーバ
２３ 第２のネットワーク
３０ 通信路
４０ イーサネット（登録商標）フレーム
４０ａ 宛先ＭＡＣアドレス
４０ｂ 発信元ＭＡＣアドレス
４０ｃ タイプ
４０ｄ データ
４１，４２，４３ イーサネット（登録商標）フレーム
４２ａ，４３ａ 宛先ＭＡＣアドレス
５０ 利用者端末
５０ａ 受信Ｉ／Ｆ部
５０ｂ 宛先ＭＡＣアドレス復号化部
５０ｃ ＦＣＳチェック部
５０ｄ 送信Ｉ／Ｆ部
５０ｅ 宛先ＭＡＣアドレス暗号化部
５０ｆ ＦＣＳ計算部
５０ｇ 鍵情報保持部
５０ｈ 上位機能処理部
５１ 利用者
５２ ＬＡＮケーブル
６０ 情報提供システム
６１ 第１の接続口
６２ 情報提供サーバ
６３ 第１のネットワーク
６４ アクセス装置
６４ａ 受信Ｉ／Ｆ部
６４ｂ ポート状態確認部
６４ｃ 宛先ＭＡＣアドレス復号化部
６４ｄ ＦＣＳチェック部
６４ｅ 送信Ｉ／Ｆ部
６４ｆ ポート状態確認部
６４ｇ 宛先ＭＡＣアドレス暗号化部
６４ｈ ＦＣＳ計算部
６４ｉ 鍵情報保持部
６４ｊ ブリッジ機能および上位機能処理部
７０ 認証システム
７１ 第２の接続口
７２ 認証サーバ
７３ 第２のネットワーク
７５ 情報通知用サーバ
８０ 情報提供システム
８１ 第１の接続口
８２，８２＿１，８２＿２，８２＿３ 情報提供サーバ
８３ 第１のネットワーク
８３＿１，８３＿２，８３＿３ サブネットワーク
８４，８４＿１，８４＿２，８４＿３ アクセス装置
８４ａ 伝送路制御部
８４ｂ タグ確認部
８４ｃ タグ処理部
８４ｄ ポリシー記録部
８４ｅ ポリシー入力部
８４ｆ パケット処理部
８４ｇ 伝送路制御部
８５ 認証システム
８６ 第２の接続口
８７ 認証サーバ
８８ 第２のネットワーク
８９ 情報通知用サーバ
９０ ポリシーテーブル
９０ａ アプリケーション識別子
９０ｂ 利用者属性
９０ｃ 振る舞い
９１ ＩＰヘッダ
９２ ＩＰヘッダオプション
９３ 利用者属性
１００，２００，５００，６００，７００ コンピュータ
１０１，２０１，５０１，６０１，７０１ 本体部
１０１ａ，２０１ａ，５０１ａ，６０１ａ，７０１ａ ＭＯ装填口
１０１ｂ，２０１ｂ，５０１ｂ，６０１ｂ，７０１ｂ ＣＤ／ＤＶＤ装填口
１０２，２０２，５０２，６０２，７０２ ディスプレイ
１０２ａ，２０２ａ，５０２ａ，６０２ａ，７０２ａ 表示画面
１０３，２０３，５０３，６０３，７０３ キーボード
１０４，２０４，６０４，７０４ マウス
１０５ ＣＰＵ
１０６ ＲＡＭ
１１３ ハードディスクコントローラ
１１４ ＭＯドライブ
１１５ ＣＤ／ＤＶＤドライブ
１１６ マウスコントローラ
１１７ キーボードコントローラ
１１８ ディスプレイコントローラ
１１９ 通信用ボード
２０５，６０５ ＬＡＮコネクタ
４０１，４０２ ネットワーク
５００ 利用者端末
５０４ トラックパッド
５０５ モジュラープラグ
６０１ ＭＯ
６０２ ＣＤ／ＤＶＤ
９００ ＬＡＮケーブル
【特許請求の範囲】
【請求項１】
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システム、および
前記認証システムでの認証結果を前記情報提供システムに通知する通信路を有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末を特定する端末情報を、前記通信路を経由して、前記情報提供システムに通知するものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末が、前記認証システムから前記通信路を経由して通知を受けた端末情報に合致する利用者端末である場合に、該利用者端末による前記情報提供サーバの利用を許可するものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【請求項２】
前記認証システムが、前記第２の接続口に接続され前記認証サーバにより正当なアクセス権限を有する利用者である旨の認証を受けた利用者端末から該利用者端末を特定する端末情報を取得して登録するとともに該端末情報を前記通信路を経由して前記情報提供システムに通知し、さらに該通知からの経過時間を測定して所定時間経過後に、該利用者端末による前記情報提供サーバの利用の禁止を指示する禁止指示情報を前記通信路を経由して前記情報提供システムに通知するとともに該利用者端末の端末情報の記録を抹消する情報登録用サーバを備え、
前記情報提供システムが、前記認証システムからの端末情報の通知を受けて該端末情報により特定される利用者端末による前記情報提供サーバの利用を許可し、前記認証システムからの禁止指示情報の通知を受けて該禁止指示情報により特定される利用者端末による前記情報提供サーバの利用を禁止するアクセス装置を備えたことを特徴とする請求項１記載のアウトバンド認証を伴うネットワークシステム。
【請求項３】
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末に暗号化用の鍵情報を渡すものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末から送信されてきた、前記鍵情報により正規に暗号化された情報を受け入れて該利用者端末に前記情報提供サーバを利用させるものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【請求項４】
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末に該利用者の種別に応じたアクセス権限の種別情報を渡すものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末から前記種別情報を受け取り、該利用者端末に該種別情報に応じたアクセスを許可するものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【請求項５】
前記情報提供システムは、前記第１の接続口に接続された、前記種別情報を伴う情報を受け取り、該情報を、該情報に付随した種別情報に応じて通過させ、あるいは破棄するアクセス装置を備えたことを特徴とする請求項４記載のアウトバンド認証を伴うネットワークシステム。
【請求項１】
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システム、および
前記認証システムでの認証結果を前記情報提供システムに通知する通信路を有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末を特定する端末情報を、前記通信路を経由して、前記情報提供システムに通知するものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末が、前記認証システムから前記通信路を経由して通知を受けた端末情報に合致する利用者端末である場合に、該利用者端末による前記情報提供サーバの利用を許可するものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【請求項２】
前記認証システムが、前記第２の接続口に接続され前記認証サーバにより正当なアクセス権限を有する利用者である旨の認証を受けた利用者端末から該利用者端末を特定する端末情報を取得して登録するとともに該端末情報を前記通信路を経由して前記情報提供システムに通知し、さらに該通知からの経過時間を測定して所定時間経過後に、該利用者端末による前記情報提供サーバの利用の禁止を指示する禁止指示情報を前記通信路を経由して前記情報提供システムに通知するとともに該利用者端末の端末情報の記録を抹消する情報登録用サーバを備え、
前記情報提供システムが、前記認証システムからの端末情報の通知を受けて該端末情報により特定される利用者端末による前記情報提供サーバの利用を許可し、前記認証システムからの禁止指示情報の通知を受けて該禁止指示情報により特定される利用者端末による前記情報提供サーバの利用を禁止するアクセス装置を備えたことを特徴とする請求項１記載のアウトバンド認証を伴うネットワークシステム。
【請求項３】
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末に暗号化用の鍵情報を渡すものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末から送信されてきた、前記鍵情報により正規に暗号化された情報を受け入れて該利用者端末に前記情報提供サーバを利用させるものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【請求項４】
利用者により操作される利用者端末が接続される第１の接続口と、該利用者端末に情報を提供する情報提供サーバと、該第１の接続口と該情報提供サーバとを接続する第１のネットワークとを有する情報提供システム、および
前記利用者端末が接続される、前記第１の接続口とは物理的に異なる第２の接続口と、該利用者端末を利用する利用者の、前記情報提供サーバへのアクセス権限の認証を行う認証サーバと、該第２の接続口と該認証サーバとを接続する第２のネットワークとを有する認証システムを有し、
前記認証システムが、前記第２の接続口に接続された利用者端末を操作する利用者の認証を行い、該利用者が、前記情報提供サーバへの正当なアクセス権限を有する利用者である場合に、前記利用者端末に該利用者の種別に応じたアクセス権限の種別情報を渡すものであり、
前記情報提供システムは、前記第１の接続口に接続された利用者端末から前記種別情報を受け取り、該利用者端末に該種別情報に応じたアクセスを許可するものであることを特徴とするアウトバンド認証を伴うネットワークシステム。
【請求項５】
前記情報提供システムは、前記第１の接続口に接続された、前記種別情報を伴う情報を受け取り、該情報を、該情報に付随した種別情報に応じて通過させ、あるいは破棄するアクセス装置を備えたことを特徴とする請求項４記載のアウトバンド認証を伴うネットワークシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２００８−５２３７１（Ｐ２００８−５２３７１Ａ）
【公開日】平成２０年３月６日（２００８．３．６）
【国際特許分類】
【出願番号】特願２００６−２２５８０６（Ｐ２００６−２２５８０６）
【出願日】平成１８年８月２２日（２００６．８．２２）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２０年３月６日（２００８．３．６）
【国際特許分類】
【出願日】平成１８年８月２２日（２００６．８．２２）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]