ネットワークユーザセッションのためのグラニュラ認証
【課題】ネットワークリソースへのアクセスを、モバイルユーザセッションに関連する認証方法および装置の信頼性に密接に対応させる方法で、モバイルユーザセッションにアクセスを与える。
【解決手段】モバイルユーザセッションに関連する認証方法の特性を総合して、認証バンドルを生成する。特性には、パスワード、バイオメトリックデータ、または認証方法の実行に使用する装置に関連するデータを含められる。様々な方法で特性を総合し、ネットワークリソースへのアクセスの非二元式スライディングスケールを生成できる。認証バンドルにアクセスし、ネットワークリソースへの妥当なアクセスをモバイルユーザセッションに許可できる。アクセス許可の動作には、フィルタまたはリバースプロキシに渡される認証トークンの生成動作を含められる。モバイルユーザセッションに関連する認証方法が変わると、ネットワークリソースへのアクセスを動的に修正できる。
【解決手段】モバイルユーザセッションに関連する認証方法の特性を総合して、認証バンドルを生成する。特性には、パスワード、バイオメトリックデータ、または認証方法の実行に使用する装置に関連するデータを含められる。様々な方法で特性を総合し、ネットワークリソースへのアクセスの非二元式スライディングスケールを生成できる。認証バンドルにアクセスし、ネットワークリソースへの妥当なアクセスをモバイルユーザセッションに許可できる。アクセス許可の動作には、フィルタまたはリバースプロキシに渡される認証トークンの生成動作を含められる。モバイルユーザセッションに関連する認証方法が変わると、ネットワークリソースへのアクセスを動的に修正できる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワークのセキュリティに関する。より詳細には、本発明は、アクセスを、ユーザセッションに関連する認証方法および装置の信頼性に対応させることが可能な、ネットワークリソースへのアクセスを許可し、動的に修正するシステム、方法、およびコンピュータプログラムプロダクトに関する。
【背景技術】
【０００２】
今日、ネットワーク管理者にとって、ネットワークリソースへの妥当なアクセスをモバイルユーザに与えることは、不可能ではないにしてもきわめて難しい。ネットワークリソースへのアクセスを許可する従来の方法の大半は二元式である。すなわち、ユーザが「ログオン」されてネットワークリソースにアクセスできるか、または、ユーザが「ログオフ」されてネットワークにアクセスできないかのどちらかである。異なる装置および異なる認証方法を使用すれば信頼性のレベルも異なってくるのにもかかわらず、この二元式アプローチが採り入れられている。
【０００３】
例えば、公衆電話からデュアルトーンマルチフリーケンシ(dual tone multi-frequency)(「DTMF」)の個人識別番号(「PIN」)を入力することにより、ユーザは、企業のイントラネットに直接、結合されたコンピュータでパスワードを入力したのと同じネットワークリソースへのアクセスが許可されることが可能である。企業のイントラネットに直接、結合されたコンピュータからパスワードを入力する方が、公衆電話からDTMF PINを入力するよりも安全であるとみなすことができる。しかし、どちらの認証方法でも、ネットワークリソースへの同じアクセスが得られる。二元式アプローチは、モバイル環境で使用される広範にわたる様々な装置およびそれに対応する認証方式のために、モバイルユーザセッションに関してはしばしば問題がある。
【０００４】
場合によっては、ネットワーク管理者は、モバイルユーザに妥当なアクセスを与えようとして、セカンダリドメイン、セカンダリユーザアカウント、およびその他の様々な手段を実装することもある。例えば、ユーザは、ローカルユーザアカウントおよびモバイルユーザアカウントを持つことができる。ローカルユーザアカウントは、トラステッドコンピューティング装置(trusted computing device)上でのみ動作するように構成することができる。これによって、ユーザには、ユーザのロケーションに応じて異なるアクセスを割り当てることが可能になる。したがって、ローカルユーザアカウントに対しては、モバイルユーザアカウントに対してよりも、ネットワークリソースへのより多くのアクセスを与えることができる。しかし、任意の従来のアクセス方法であれば、ネットワークリソースへの同じアクセスをモバイルユーザアカウントに許可するので、これは依然として二元式アプローチである。例えば、公衆電話から発呼して、DTMF PINを使ってログオンするモバイルユーザと、安全なモバイル電話から発呼して、複雑なチャレンジレスポンスパスワード(challenge response password)を伝えるモバイルユーザは、ともに、ネットワークリソースへの同じアクセスを受け取ることができる。別のことばで言えば、モバイルユーザアカウントにネットワークリソースへのアクセスを許可する場合に、認証方法または装置の信頼性は一切考慮されていない。さらに、この方法では、モバイルユーザアカウントの確立および維持にさらなる労力が必要とされる。
【０００５】
別のアプローチは、特定のモバイルアクセス方法を信頼できるものとして指定することである。例えば、安全な発信者回線ID、または声紋が鑑定されているユーザからのモバイルアクセスを許可するように、ネットワークを構成することができる。しかし、このアプローチも、結果的にはネットワークリソースへの二元式アクセスになり、モバイルユーザセッションに関連する方法または装置の信頼性を考慮していない。例えば、公衆電話あるいは安全なモバイル電話からの、声紋鑑定を受けているモバイルユーザは、同じアクセスを受け取ることができるが、任意の非トラステッドアクセス方法(non-trusted access method)を介してアクセスを要求してきたモバイルユーザは、ネットワークリソースへのアクセスが完全に拒絶される。このアプローチは、環境上の要因によってもしばしば無効になる。例えば、ユーザが、自分のローカルコーリングエリア(local calling area)の外へローミングしても、モバイル電話のセキュリティを検証してもらうことができなかったり、あるいは、ユーザが風邪をひいて声紋を使用することができなかったりということがある。このような場合、アクセスを要求している方法および装置の信頼性は依然として比較的高いかもしれないのだが、ネットワークリソースへのアクセスは拒絶される。
【発明の概要】
【０００６】
ユーザセッションに関連する装置の信頼性を考慮することは、あるアクセス方法が安全であるとして予め定められている場合には特に重要である。モバイルユーザは、ネットワークリソースへのアクセスの要求の間に、ユーザIDおよびパスワードを提示することができる。場合によっては、DTMFトーンによってこれらの証明書への入力が容易になることもある。従来の認証方法では、これらの証明書が公衆電話から入力されても、安全なモバイル電話から入力されても、ネットワークリソースに対して同じアクセスが許可される可能性がある。安全なモバイル電話は公衆電話よりも信頼性が高いとみなすことができるので、これは、妥当なアクセスを許可しない可能性がある。
【発明が解決しようとする課題】
【０００７】
したがって、アクセスを、ユーザセッションに関連する認証方法および装置の信頼性に対応させるような方法で、ネットワークリソースへのアクセスを許可または動的に修正するシステム、方法、およびコンピュータプログラムプロダクトが望まれている。
【課題を解決するための手段】
【０００８】
本発明の原理は、ユーザセッションのネットワークリソースへのアクセスの許可および動的な修正ができるようにするものであり、アクセスを、ユーザセッションに関連する認証方法および装置の信頼性に対応させることが可能になる。認証方法に関連する特性は、ネットワークリソースへのアクセスを表す情報を含むことができる認証バンドルを作成するために総合される。セキュリティモジュールは、認証バンドルを受け取ることができ、また、ユーザセッションには、その認証バンドルに基づいて、表しているネットワークリソースへのアクセスを許可することができる。
【０００９】
ユーザセッションは、１つ以上の認証方法を使って、ネットワークへの認証を試みることができる。認証の試みがなされると、認証方法を表す特性を検出することができる。このような特性には、例えば、電話、コンピュータ、モバイル電話、パーソナルデジタルアシスタント(携帯情報端末)、またはハンドヘルドコンピュータなど、その認証への試みに関連する装置のタイプを含めることができる。認証方法に関連する特性には、パスワードやバイオメトリック認証など、認証のタイプも含めることができる。また、このような特性には、認証のタイプがどのように入力されたか、例えば電話のキーパッドのキー、従来のキーボードのキー、口頭によるフレーズ、または指紋を使って、などを含めることもできる。装置が既知の装置であるかどうか、装置が安全なデイバスであるかどうかなど、その他の特性も検出することができる。
【００１０】
次いで、ネットワークリソースへの妥当な程度のアクセスを表す認証バンドルの生成を容易にするために、これらの特性を総合することができる。総合することには、ユーザセッションに関連する認証方法の異なる特性の考慮を含むことができる。異なる特性の組合せによって、ネットワークリソースへのアクセスを異なるものにしたり、同じものにしたりすることができる。例えば、公衆電話からDTMF PINが入力された場合は、声紋認証の場合よりもネットワークリソースへのアクセスを少なくすることができる。しかし、安全なモバイル電話からDTMF PINが入力された場合には、おそらく声紋認証の場合と同じネットワークリソースへのアクセスを与えるようにすることができる。異なる認証方法に対して許可するネットワークリソースへのアクセスの程度は、予め定義することができる。例えば、ある企業の情報技術部門が、異なる認証方法に対して、異なるレベルのアクセスを割り当てることにより、認証方法を管理しようと考えることも可能である。
【００１１】
モジュールは、ネットワークリソースへの妥当な程度のアクセスをユーザセッションに許可することを容易にする認証バンドルにアクセスすることができる。許可されるアクセスの程度は、認証バンドルに含まれるそれを表している情報によって決まる。1例では、モジュールは、ネットワークリソースへのアクセスの程度を識別する認証トークンを生成することによってアクセスを許可する。したがって、どのようなユーザも、どのように、また何の装置から認証を受けたかに応じて、様々に異なるアクセス許可を受けることができる。したがって、例えば、あるユーザが、セキュリティの低い装置から、セキュリティの低い認証方法によって認証を受けると、一般に、そのユーザがよりセキュリティの高い認証方法を使ってよりセキュリティの高い装置から認証を要求した場合よりも、許可されるネットワークリソースへのアクセスは少なくなる。
【００１２】
モジュールは、また、確立されたユーザセッションが、そのユーザセッション中に、いずれかの認証方法を追加して実装し、かつ/またはより安全な装置に移行したかどうかを考慮することもできる。したがって、モジュールは、状況によっては、ユーザセッションに追加のアクセスを動的に許可することができる。逆に、ユーザセッション中に、何かの理由により前に成功している認証方法が失敗するようなことがあれば、すなわちおそらくユーザがよりセキュリティの低い装置に移行した場合には、モジュールは、ユーザセッションの既存のアクセスを動的に取り消すことができる。アクセスの許可および取消を、ユーザセッションに関連するリバースプロキシ(reverse proxy)またはフィルタによって容易に行うことができる。アクセスが許可または取り消された場合には、ユーザセッションに関連するユーザにその旨を通知することができる。
【００１３】
認証方法の特性を考慮することにより、ネットワークリソースへの妥当なアクセスを、非二元式の方法でユーザセッションに許可することができる。すなわち、そこからネットワークリソースへのアクセスを与えることができるスライディングスケールがある。任意の所与の時点において利用可能な認証方法および装置を表している特性に基づき、ネットワークリソースへのアクセスは変わることが可能である。したがって、ユーザセッションに関連する認証方法および装置の信頼性に一層密接に対応したアクセスを、ユーザセッションに許可することができる。
【発明の効果】
【００１４】
本発明により、アクセスを、ユーザセッションに関連する認証方法および装置の信頼性に対応させることが可能な、ネットワークリソースへのアクセスを許可し、動的に修正するシステム、方法、およびコンピュータプログラムプロダクトが提供される。
【図面の簡単な説明】
【００１５】
【図１】本発明に適した動作環境を提供する例示のモバイルコンピューティング装置を示す図である。
【図２】本発明に適した動作環境を提供する例示のネットワーク環境を示す図である。
【図３】ネットワークリソースへのアクセスを許可する方法の例を示す流れ図である。
【発明を実施するための形態】
【００１６】
本発明のさらなる特徴および利点を以下の説明に記載する。それらの一部は、その説明から明らかになるであろうし、あるいは、本発明の実施により知ることができるであろう。本発明の特徴および利点は、頭記の請求項に詳細に指摘する機器および組合せによって実現すること、および得ることができる。本発明の上記その他の特徴は、以下の説明および頭記請求項からより完全に明らかになるであろう。あるいは、以下に記載する発明の実施形態により知ることができるであろう。
【００１７】
本発明の上記およびその他の利点および特徴が得られる方法を説明するために、上記に簡単に説明した本発明のさらに詳細な説明を、添付の図面に示したその具体的な実施形態を参照しながら記載する。これらの図面が、本発明の典型的な実施形態を示したものにすぎず、したがってその範囲を限定するものとみなされるべきものではないと解釈した上で、本発明を、添付の図面を使用して、さらなる特殊性および詳細について記載および説明する。
【００１８】
本発明は、アクセスを、ユーザセッションに関連する認証方法および装置の信頼性に対応させることが可能な、ネットワークリソースへのアクセスを許可し、かつ動的に修正するシステム、方法、およびコンピュータプログラムプロダクトに関する。装置は、１つ以上の認証方法が使用されているユーザセッションに関与することができる。認証方法および装置の特性にアクセスして、ネットワークリソースへのアクセスを表す情報を含む認証バンドルを作成することができる。ユーザセッションに関連する認証方法が変わると、ユーザセッションのネットワークリソースへのアクセスもそれに従って修正することができる。
【００１９】
オペレーション中は、ユーザセッションに関連する認証方法および装置の特性にアクセスすることができる。アクセスした特性を総合して認証バンドルを生成することができる。認証バンドルは、認証方法および装置の特性から生成されるので、ネットワークリソースへの妥当な程度のアクセスを表すデータを含むことができる。この表しているデータは、認証方法および装置の信頼性を基にすることができる。アクセス許可モジュールは、認証バンドルにアクセスして、ユーザセッションが、認証バンドルに表されているネットワークリソースへの妥当な程度のアクセスを許可されるようにする。
【００２０】
本発明の実施形態は、以下にさらに詳細に論ずるように、様々なコンピュータハードウェアを含む専用または汎用コンピューティング装置を含むことができる。本発明の範囲内の実施形態は、コンピュータ実行可能命令またはデータ構造を記憶して運ぶ、または有するコンピュータ可読媒体も含む。このようなコンピュータ可読媒体は、汎用または専用コンピュータがアクセスすることができる任意の利用可能媒体でよい。例として、限定するものではないが、このようなコンピュータ可読媒体は、RAM、ROM、EPROM、CD-ROM、または他の光ディスク記憶装置、磁気ディスク記憶装置、または他の磁気記憶装置などの物理記憶媒体、あるいは、所望のプログラムコード手段を、コンピュータ実行可能命令またはデータ構造という形で運ぶ、または記憶するために使用することができ、汎用または専用コンピュータによってアクセスすることができる任意の他の媒体を備えることができる。
【００２１】
情報がネットワークまたは別の通信接続(有線、無線、または有線と無線の組合せのいずれかによる)を介してコンピュータに転送または提供されると、コンピュータは、当然、その接続をコンピュータ可読媒体として見る。したがって、このような接続は、コンピュータ可読媒体と呼ぶのが適切である。上記の組合せも、コンピュータ可読媒体の範囲に含まれるものとする。コンピュータ実行命令は、例えば、汎用コンピュータ、専用コンピュータ、または専用処理装置に特定の機能または機能グループを実行させる命令およびデータを含む。
【００２２】
本発明の実施形態は、図２に示す論理通信リンク130などの、1台または複数の他のコンピューティング装置への論理通信リンクを使った、ネットワーク化された環境でも動作することができる。コンピューティング装置は、パーソナルコンピュータ、モバイル電話、パーソナルデジタルアシスタント(「PDA」)、サーバ、ルータ、ネットワークPC、ピア装置、または他の一般のネットワークノードでよい。これらのコンピューティング装置は、通常、処理装置、システムメモリ、処理装置を含め、様々なシステムコンポーネントをシステムメモリに結合するシステムバス、および上述の物理記憶媒体のどれでも含むことができる。システムバスは、様々なバスアーキテクチャの任意のものを使った、メモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含むいくつかのタイプのバス構造のどれでもよい。システムメモリは、読取り専用記憶装置(ROM)およびランダムアクセス記憶装置(RAM)を備えることができる。スタートアップ中などに、コンピューティング装置内のエレメント間の情報の転送を支援する基本ルーチンを含む基本入出力システム(BIOS)を、ROM中に格納することができる。
【００２３】
図２に示す論理通信リンクは、1例としてここに示すが限定するものではない、ローカルエリアネットワーク(「LAN」)および/または広域ネットワーク(「WAN」)の部分を含んでもよい。このようなネットワーキング環境は、イントラネットやインターネットなど、オフィス規模または企業規模のコンピュータネットワークにはよく見られる。LANネットワーキング環境で使用する場合、コンピューティング装置をネットワークインタフェースまたはアダプタを介してローカルネットワークに接続することができる。
【００２４】
WANネットワーキング環境で使用する場合、コンピューティング装置は、モデム、無線リンク、または、インターネットなどの他の広域ネットワークを介して通信を確立する手段を含むことができる。モデムは、内部でも外部でもよく、シリアルポートインタフェースを介してシステムバスに接続することができる。ネットワーク化された環境では、プログラムモジュールまたはその部分は、リモートメモリ記憶装置に格納することができる。図２に示すネットワーク接続は例示的なものであり、LANまたはWANを介して通信を確立する他の手段も使用できることが理解されよう。
【００２５】
当業者は、本発明が、パーソナルコンピュータ、ハンドヘルド装置、マルチプロセッサシステム、マイクロセッサベースまたはプログラマブルな消費者用電子機器、ネットワークPC、ミニコンピュータ、メインフレームコンピュータ、モバイル電話、PDA、ページャ、および同様のものを含む、多くのタイプのコンピュータシステム構成を備えるネットワークコンピューティング環境において実施できることを理解されよう。本発明はまた、通信ネットワークを介してリンクされる(有線、無線、または有線と無線の組合せのいずれかによって)ローカルおよびリモートコンピューティング装置がともにタスクを実行する、分散コンピューティング環境でも実施することができる。分散コンピューティング環境では、ローカルおよびリモートメモリ記憶装置の両方にプログラムモジュールを配置することができる。
【００２６】
図１および以下の記載は、本発明を実施することができる適切なコンピューティング環境の簡単かつ一般的な説明を提供することを意図したものである。必ずしもそうする必要はないが、本発明を、プログラムモジュールなど、コンピューティング装置によって実行されるコンピュータ実行可能命令の一般的な状況で説明する。一般に、プログラムモジュールは、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造、および同様のものを含み、これらは特定のタスクを実行するか、または特定の抽象データ型を実装する。コンピュータ実行可能命令、関連するデータ構造、およびプログラムモジュールは、本明細書で開示する方法のステップを実行するためのプログラムコード手段の例を表すものである。このような実行可能命令または関連するデータ構造の特定のシーケンスは、このようなステップで説明されている機能を実施するための対応する動作の例を表す。
【００２７】
図１を参照すると、本発明の原理に適した動作環境が、電話装置100という形の汎用コンピューティング装置を含む。電話装置100は、ユーザが、入力ユーザインタフェース103を介して情報を入力し、出力ユーザインタフェース102を介して提示された情報を検討することを可能にするユーザインタフェース101を含む。例えば、出力ユーザインタフェース102は、ユーザに音声情報を与えるスピーカ104、およびユーザに視覚情報を与えるディスプレイ105を含む。電話装置100は、それが無線機能を有する場合は、アンテナ109も備えることができる。
【００２８】
入力ユーザインタフェース103は、音声情報を電子的形態にするためのマイクロフォン106を含むことができる。さらに、入力ユーザインタフェース103は、ユーザがそれを介して情報を入力することができる、12個のボタンで表されるダイヤルコントロール107を備える。入力ユーザインタフェース103は、ユーザが、ディスプレイ105に一覧表示された様々な入力およびオプションを通してナビゲートする際の助けとなる、ナビゲーションコントロールボタン108も含むことができる。
【００２９】
ユーザインタフェース101はモバイル電話の外観を持っているが、ユーザインタフェース101の見えないフィーチャは、複雑かつフレキシブルな汎用の処理機能を可能にすることができる。例えば、電話装置100は、互いに接続され、またバス110を介してユーザインタフェース101に接続されているプロセッサ111およびメモリ112も含む。メモリ112は、一般に、広範にわたる様々な揮発性および/または不揮発性メモリを表し、前述のタイプのメモリを含むことができる。しかし、電話装置100で使用しているメモリの特定のタイプは、本発明にとっては重要ではない。
【００３０】
図１には電話装置を示してあるが、本発明の実施形態は、パーソナルコンピュータでも実施することができる。パーソナルコンピュータは、電話装置100に関して述べたコンポーネントのどれでも含むことができる。パーソナルコンピュータは、また、キーボードおよび/またはマウスという形の入力ユーザインタフェース、およびディスプレイ装置という形の出力ユーザインタフェースに関連させることができる。パーソナルコンピュータは、無線技術、有線技術、またはそれらの組合せを介して、関連するネットワークシステムに結合することができる。
【００３１】
１つ以上のプログラムモジュールを含むプログラムコード手段を、メモリ112に格納することができる。１つ以上のプログラムモジュールは、オペレーティングシステム113、１つ以上のアプリケーションプログラム114、その他のプログラムモジュール115、およびプログラムデータ116を含むことができる。
【００３２】
図１は、本発明に適した動作環境を表しているが、本発明の原理は、本発明の原理を実施することが可能な任意の装置で、必要であれば適切な変更を施して、使用することができる。図１に示す環境は例示的なものにすぎず、本発明の原理を実施することができる広範にわたる様々な環境のほんの一部分さえも表すものではない。
【００３３】
この説明および頭記の請求項において、「ユーザセッション」とは、2装置間のデータ交換を伴うこともある、2装置間の連続した通信関係として定義される。これには、接続を維持するためにリソースが継続的に割り振られる、2装置間の永続的接続、または接続を維持するためにリソースが継続的に割り振られないコネクションレス関係(connectionless relationship)を含めることができる。コネクションレス関係の例として、メッセージが間をおいてモバイル装置に送られるショートメッセージサービス(「SMS」)環境を挙げることができる。
【００３４】
この説明および頭記の請求項において、「モバイルユーザセッション」とは、それに含まれる2装置のうち少なくとも1つが、既知のネットワークの境界の外側にある装置であるユーザセッションとして定義される。例えば、公衆セルラ電話ネットワークを介して企業イントラネットへのアクセスを試みるモバイル電話。モバイルユーザセッションに関連する装置のタイプは、電話装置100、PDA、ページャ、ハンドヘルド装置、ラップトップコンピュータ、またはその他の通常、モバイルコンピューティング環境に関連する装置など、モバイルコンピューティング装置でよい。しかし、モバイルユーザセッションには、ユーザセッションの起点が論理的または物理的に既知のネットワークの境界の外側である場合には、標準パーソナルコンピュータ、電話、またはその他の装置など、非モバイル装置から開始されたセッションも含めることができる。例えば、公衆交換電話網(「PSTN」)を介して、企業イントラネットに含まれる電子メールへのアクセスを試みる公衆電話。一方、ユーザセッションが既知の境界の内部を起点とする場合には、モバイル電話、または同様の装置をモバイルユーザセッションに関連させることはできない。例えば、無線ネットワークアダプタを介して企業イントラネットに直接リンクされたPDA。
【００３５】
電話装置100は、図２に示すように、ネットワーク化された環境で動作することができる。図２には、電話装置100、PDA101、公衆電話102を含むコンピューティング装置を示す。また、これらのコンピューティング装置と、ネットワーク化された環境に含まれるその他の機能コンポーネントの間の回線も示す。これらの回線は、論理通信パスを示す。論理通信パス130などの論理通信パスは、様々なネットワークタイプ、プロトコル、通信方法、またはそれらの組合せを含むことができる。例えば、論理通信パスは、LANまたはWANの部分を含んでもよい。
【００３６】
この説明では、図２に示すコンピューティング装置を参照する。しかし、本発明は、図示したコンピューティング装置に限定されるものではない。当業者には、この説明を読めば、前述のものを含め、広範にわたる様々なコンピュータシステム構成を使って、本発明の原理を実施できることが明らかであろう。
【００３７】
論理通信パスは、図示したコンピューティング装置および機能コンポーネントにアクセスできるように、データの部分を整えたりフォーマットしたりするその他のプログラムモジュール(図示せず)を含むこともできる。論理通信パスに関連する物理通信媒体は、例えば、コンピューティング装置または機能コンポーネントが仮想私設ネットワーク(Virtual Private Network)(「VPN」)に含まれる場合、オペレーション中に変わることもあり得る。これらの実施形態では、実際には物理的存在ではないバーチャル接続を使用することにより、データパケットを転送することができる。データパケットは、順に正しい宛先に送達されるが、様々なマシンを介して、これらのデータパケットをその時限りで経路指定することができる。すなわち、この接続に専用の物理回線があるわけではない。
【００３８】
論理通信パスは、電話装置100が音声通信用に使用するセルラまたはデジタルネットワークの部分を含んでもよい。論理通信パスはまた、公衆電話102が音声通信用に使用する電話ネットワークの部分を含むこともできる。公衆電話102が使用する電話ネットワークは、PSTNの部分、および統合サービスデジタル網(「ISDN」)およびファイバ分散データインタフェース(「FDDI」)など、デジタル技術に基づくより最新の電話ネットワークの部分を含んでもよい。
【００３９】
論理通信パスは、インターネット、または、一般に、図２に示すコンピューティング装置および機能コンポーネントがアクセス可能なその他のプロプラエタリネットワーク(proprietary networks)の部分を含むこともできる。論理通信パスは、前述のネットワークのどの組合せでも含むこともできる。
【００４０】
電話装置100は、論理通信パス130を介して公衆ネットワーク140と通信することができる。論理通信パス130は、無線通信リンクでもよい。公衆ネットワーク140は、電話装置が音声通信のために使用するセルラまたはデジタルネットワーク、インターネット、公衆交換電話網(Public Service Telephone Networks)、前述のようなモデム電話ネットワーク、一般に、図２のコンピューティング装置がアクセスすることができるその他のプロプラエタリネットワーク、またはそれらのどの組合せでも含むことができる。
【００４１】
公衆ネットワーク140は、論理通信パス133を介してコンピューティング装置145に接続することができる。本発明のオペレーションをわかりやすくするために、コンピューティング装置145を公衆ネットワーク140とは別個のものとして図示してある。しかし、本発明は、この実施形態に限定されるものではない。当業者には、この説明を読めば、本発明の原理を実施する場合、コンピューティング装置145も、他のネットワーク同様、公衆ネットワーク140に含めることができることが明らかであろう。
【００４２】
図２には、論理セキュリティ境界150も示してある。論理セキュリティ境界150は、公衆ネットワーク140とコンピューティング装置145の間の境界を論理的に表すものである。このような境界は、PSTNと、セルラまたはデジタルキャリアネットワークの間に存在することもある。論理セキュリティ境界150が単なる論理境界であることを理解されたい。例えば、VPNを含む実施形態では、公衆ネットワーク140内にあるものを含めて、図２のコンピューティング装置、機能コンポーネント、または論理通信リンクのどれを介しても通信を行うことができる。
【００４３】
論理セキュリティ境界150の物理表現には、コンピューティング装置145への無許可のアクセスを防ぐように設計された装置またはシステムを含めることができる。この物理表現には、ファイアウォール、パケットフィルタ、アプリケーションゲートウェイ、回路レベルのゲートウェイ、プロキシサーバ、私設ネットワークを保護するために使用するその他のメカニズム、またはそれらのどの組合せでも含めることもできる。論理セキュリティ境界150の物理表現は、ハードウェア、ソフトウェア、またはその組合せで実装することができる。
【００４４】
コンピューティング装置145は、論理通信パス134を介してネットワークリソース120に接続することができる。上述の場合と同様に、本発明の実施形態は、コンピューティング装置145がネットワークリソース120に含まれる場合にも可能である。ネットワークリソース120の部分が公衆ネットワーク140に含まれることもあり得る。
【００４５】
図２には、論理セキュリティ境界160も示してある。論理セキュリティ境界160は、コンピューティング装置145とネットワークリソース120の間の境界の論理表現である。このような境界は、セルラまたはデジタルキャリアネットワークと企業ネットワークの間に存在することもある。論理セキュリティ境界160が単なる論理境界であることを理解されたい。例えば、VPNを含む実施形態では、公衆ネットワーク140およびネットワークリソース120中のものを含めて、図２のコンピューティング装置、機能コンポーネント、または論理通信リンクのどれを介しても、本質的に安全な通信を行うことができる。論理セキュリティ境界160の物理表現は、論理セキュリティ境界150に関して説明した物理表現のどれでも含むことができる。
【００４６】
図３には、ネットワークリソースへのアクセスを許可する方法を示す流れ図を示す。図３の方法を、図２に含まれるコンピューティング装置および機能コンポーネントを参照して説明する。
【００４７】
図３には、動作を実行する、セキュリティモジュール210およびアクセス許可モジュール220を示す。セキュリティモジュール210とアクセス許可モジュール220は、論理境界205によって分離されている。セキュリティモジュール210は、図２に示すセキュリティモジュール146と同様であってよい。アクセス許可モジュール220は、ネットワークリソース120に含めてもよい。一実施形態では、セキュリティモジュール210をデジタルまたはセルラキャリアネットワークの一部として含めることができ、アクセス許可モジュール220を企業ネットワークの一部として含めることができる。この実施形態では、論理境界205は論理境界160と同様であることがあり得る。しかし、本発明は、図示したコンピューティング装置および機能コンポーネントの配置に限定されるものではない。当業者には、この説明を読めば、上述のものを含めて、広範にわたる様々な異なるコンピューティング装置および機能コンポーネントの配置を使って、本発明の原理を実施できることが明らかであろう。
【００４８】
図３の方法は、モバイルユーザセッションに関連する１つ以上の認証方法の特性にアクセスする動作(動作201)を含むことができる。一実施形態では、動作201は、デジタルキャリアネットワークに含まれるセキュリティモジュール210によって実行することができる。別の実施形態では、コンピューティング装置145は、電話装置101が使用する認証方法の特性にアクセスすることができる。これらの特性を、ネットワークリソース120へのアクセスを要求してきたモバイルユーザセッションに関連させることができる。認証方法の特性には、認証方法のタイプ、および認証方法に関連する装置のタイプを含めることができる。
【００４９】
動作201においてアクセスすることができる認証方法の特性には、様々なタイプのパスワード、様々なタイプのバイオメトリックデータ、装置の識別番号、発信者回線識別データ、時間のような環境データを含めることができる。
【００５０】
パスワードは一連の文字を含み、この一連の文字は、受け取られると、ユーザセッションがネットワークリソースにアクセスすることを可能にする。パスワードは、シンプルまたはコンプレックスで、様々なやり方で入力することができる。シンプルパスワードは、どのようにパスワードを構築できるかを定義するどのルールセットによっても制約することができない。一方、コンプレックスパスワードは、このようなルールに関連させることができる。例えば、コンプレックスパスワードは、少なくともある文字数の長さであることが要求されるか、大文字と小文字の両方が含まれることが要求されるか、または英語文字、アラビア数字、非英数字など、異なる種類の文字を含むことが要求される。パスワードがアラビア数字など数字だけを含む場合、このパスワードを個人識別番号(「PIN」)と呼ぶことができる。
【００５１】
パスワードは、コンピューティング装置に関連するキーボードから入力することができ、この場合、キーボード上で１つ以上のキーを押すことによりパスワードが生成される。次いで、伝送キーを押すと、パスワードのすべての部分が同時に送られる。
【００５２】
パスワードは、ダイヤルコントロール107または公衆電話102に含まれるキーパッドなど、電話装置に関連するキーパッドから入力することもできる。デュアルトーンマルチフリーケンシ(「DTMF」)技術を使用することにより、キーパッドからのパスワードの入力を容易にすることができる。DTMFは、タッチトーンキーパッド上の各キーに専用の周波数またはトーンを割り当て、それによってマイクロプロセッサはキーを容易に識別することができる。DTMFを使ってパスワードを入力した場合、データは、キーが押される度に伝送される。DTMFトーンによって数字を入力することをDTMF PINを入力するということもある。
【００５３】
パスワードまたはPINには口頭によるフレーズを含めることもできる。例えば、モバイルユーザセッションによってネットワークリソース120へのアクセスを試みる場合、ユーザは、マクロフォン106に向かってフレーズを話す。このようなフレーズは、検証を受けるためにコンピューティング装置145に伝送される。口頭によるフレーズは、セキュリティモジュール146などのモジュールから発行されたチャレンジに応答して入力することができる。
【００５４】
フレーズが口頭によるものであることの認識に加え、認証方法によっては、声質または高さなど、そのことばの物理特性にアクセスすることができるものもある。コンピュータが、このような物理特性を分析して、その口頭によるフレーズが既存の「声紋」と同じ物理特性を有するかどうかを判定することができる場合もある。声紋鑑定法は、1種のバイオメトリック認証技術である。バイオメトリック認証技術は、自動的に検査することができる測定可能な物理データに依存する技術であることが多い。バイオメトリック認証技術に関連するデータを、バイオメトリックデータと呼ぶことができる。その他のバイオメトリック認証技術の例として、指紋のコンピュータ分析および網膜スキャンが挙げられる。これらがバイオメトリック認証技術の例にすぎないことを理解されたい。当業者には、この説明を読めば、本発明の原理が、実質的に、測定可能な物理データを使って認証を容易にするどのような技術を使っても実施できることが明らかであろう。
【００５５】
動作201の実行においては、未知、既知、または安全な装置の特性にアクセスすることができる。未知の装置は、以前にネットワークリソースにアクセスするために使用されたことがない装置である可能性がある。例えば、PDA101がネットワークリソース120へのアクセスを試みたことがなければ、セキュリティモジュール146は、PDA101が未知の装置であると判定する。コンピューティング装置145には、既知の装置のリストまたはデータベースを含めることができる。公衆電話102がネットワークリソース120へのアクセスを試み、それがリストに含まれていない場合には、公衆電話102を未知の装置として指定することができる。逆に、公衆電話102がリストに含まれていた場合には、既知の装置として指定することができる。
【００５６】
既知の装置を含むリストまたはデータベースは、様々なフォーマットで構成することができる。例えば、リストには、コンピューティング装置に関連するコンピュータネットワークアドレスを含めることができる。または、安全なモバイル電話にバーンイン(burned in)したものなど、物理装置識別子を含めることができる。リストには、電話番号も含めることができ、この場合、ネットワークリソースへのアクセスを試みている装置を、発信者識別データによって識別することができる。これらは、装置の識別を容易にすることができるリストの例にすぎないことを理解されたい。当業者には、この説明を読めば、本発明の原理が、実質的に、装置の識別を容易にするために使用するデータを含むどのようなリストを使っても実施できることが明らかであろう。
【００５７】
装置は、あるレベルの信頼性に関連するならば、安全であるとして指定することができる。装置の信頼性は、装置のロケーションに基づいて判定することができる。例えば、企業のオフィス内にある電話は安全とみなすことができる。それに対して、公衆電話102は、たとえそれが既知の装置であったとしても、そのロケーションが公共の場所にあるため、安全であるとみなすことはできない。
【００５８】
装置は、そのロケーションに加え、その特性に基づいて、安全であるとみなすことができる。例えば、コンピューティング装置によっては、コンポーネントにハードコード化された識別番号を有するものもある。これらの識別番号は、ユーザセッションに関連することもあるし、または、そのコンピューティング装置が使用している認証方法の特性であることもある。識別番号はハードコード化されているので、このような番号を含むコンピューティング装置に関連するあるレベルの信頼性があると考えられる。この信頼性レベルは、このようなコンピューティング装置を安全な装置であるとみなすのに十分なものであるといえる。
【００５９】
安全な装置を判定するときに考慮できるその他の特性には、オペレーティングシステムのバージョン、ファームウェアのバージョン、装置のタイプ、または現在、利用可能なシステムリソースが含まれる。これらが、装置の信頼性の判定を容易にすることができる特性の例にすぎないことを理解されたい。当業者には、この説明を読めば、装置が安全な装置であることの判定は、実質的に、装置に関連するどのような物理特性を考慮することによっても行えることが明らかであろう。
【００６０】
アクセスされる特性には、特定の構成の装置タイプを含めることもできる。例えば、コンピューティング装置145は、認証を試みている装置が、電話、コンピュータ、モバイル電話などであることを検出することができる場合もある。装置タイプの組合せが生じることもある。例えば、装置が、安全なPDA、既知の公衆電話、または未知のモバイル電話として指定されることもある。
【００６１】
認証方法のその他の特性にもアクセスすることができる。例えば、モバイル電話がローミング構成にあるかどうかなどの環境情報。時間、曜日、またはユーザセッションに関連するユーザが最後にネットワークリソースにアクセスしたときなどの時間的情報にもアクセスすることができる。例えば、ユーザが、最近、厳格な認証プロセスを通過した既知の装置からネットワークリソースへのアクセスを試みる場合、追加のリソースへのアクセスへの許可が要求する追加認証は、あったとしてもわずかである。しかし、未知の装置の場合は、同じリソースへのアクセスが許可されるためにはかなりの追加認証が必要になる可能性がある。
【００６２】
装置が複数の通信チャネルを有する場合は、認証に関連する通信チャネルにアクセスすることができる。例えば、モバイル電話またはPDAが、帯域外通信チャネルを介してPINを伝送する場合。
【００６３】
この方法は、アクセスした特性を総合することにより、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成する動作(動作202)を含むこともできる。特性を総合する動作は、アクセスした特性を結合して新しくより複雑な認証バンドルを形成する動作と呼ぶこともできる。認証バンドルには、要求しているユーザセッションに与えることができるアクセスの程度を表すデータを含めることができる。例えば、アクセスした、パスワード、および/またはバイオメトリックデータ、およびまたは装置の特性を総合することにより、認証バンドルを生成することができる。特性を様々に変えて総合することにより、異なる認証バンドルを生成することができる。
【００６４】
一実施形態では、セキュリティモジュール146は、アクセスした特性を蓄積して、認証バンドルの生成を容易にすることができる。これができるのは、セキュリティモジュール146が、電話装置100に関連するユーザセッションの認証バンドルを生成しているときである。アクセスされた特性は、セキュリティモジュール146に同時に到着しないことがある。例えば、セキュリティモジュール146は、電話装置100に関連する声紋の特性にアクセスする前に、電話装置100に関連する装置タイプの特性にアクセスすることもある。
【００６５】
他の特性、例えば、ユーザセッションが利用可能なメモリ、ディスクスペース、帯域幅などのユーザセッションに関連する利用可能なリソースの量は、認証バンドルを生成するときに総合することができる。構成によっては、ユーザセッションに関連する装置がネットワークリソースへのアクセスに十分に適していない場合もある。装置のメモリやディスクリソースが十分ではないこともある。装置が、高信頼性通信を妨げるローミング構成のこともある。あるいは、データの伝送速度が所定のしきい値よりも低いこともある。これらが総合することができる特性の例にすぎないことを理解されたい。当業者には、この説明を読めば、本発明の原理が、実質的に、装置に関連するどのような物理特性を使っても実施できることが明らかであろう。
【００６６】
アクセスした特性を様々な組合せで総合することにより、装置の信頼性および認証方法に基づきネットワークリソースへのアクセスを割り当てるスライディングスケールを作成することができる。例えば、安全なモバイル電話からDTMF PINを使って認証を受けるユーザセッションに対しては、公衆電話102からDTMF PINを使ったユーザセッションの認証の場合よりも多くのネットワークリソース120へのアクセスが与えられる。
【００６７】
図３の方法は、１つ以上の認証方法の特性を総合することによって生成された認証バンドルにアクセスする動作(動作203)を含むことができる。図３に示すように、これには、含まれている動作の実行を、セキュリティモジュール210からアクセス許可モジュール220に移すことも含まれる。これは、デジタルまたはセルラキャリアが、認証バンドルを企業ネットワークに渡す実施形態を例示したものである。この実施形態では、論理境界205は、セキュリティモジュール210とアクセス許可モジュール220の間で渡されたデータに対し、セキュリティオペレーションを実行することができる。
【００６８】
これは、どのように認証バンドルにアクセスすることができるかの例にすぎない。セキュリティモジュール210およびアクセス許可モジュール220は、コンピューティング装置145など、同じネットワークまたは装置に含めることができる。当業者には、この説明を読めば、本発明の原理が、モジュールが実質的にどのロケーションからでも認証バンドルにアクセスする場合には実施できることが明らかであろう。
【００６９】
図３の方法は、アクセスの程度が特性に応じて異なるようにすることが可能な、ネットワークリソースへのアクセスを許可する動作(動作204)を含むことができる。アクセス許可モジュール220は、セキュリティモジュール146に含めてもよく、認証バンドル中に表されるネットワークリソースへのユーザセッションのアクセスを許可することができる。一実施形態では、認証バンドルを受け取ることによって、ネットワークリソースへのアクセスのレベルに関連する認証トークンを生成することができる。認証トークンは、ユーザセッションが使用している認証方法を表すデータを含むことができる。
【００７０】
一実施形態では、ユーザに関連する最大レベルアクセスよりも少ないアクセスを、ユーザセッションに許可することができる。例えば、企業イントラネットの安全な部分に含まれる接続から認証を受けたユーザを、ネットワークリソースへのアクセスのあるレベルに関連させることができる。しかし、このユーザがモバイル電話から認証を受けた場合に、ネットワークリソースへの同レベルのアクセスは与えられない。これは、モバイル電話を使ったことによる信頼性の低下、または、そのモバイル電話に関連する安全な認証方法の欠如による。例えば、このモバイル電話はおそらく安全なのだが、声紋鑑定がサポートされていないという場合が挙げられる。
【００７１】
一実施形態では、ファイアウォールまたは前述のその他のセキュリティメカニズムなど、論理セキュリティ境界150または論理セキュリティ境界160に関連するモジュールが、ネットワークリソースへのアクセスの許可を容易にすることができる。フィルタまたはリバースプロキシを使って、ユーザに関連する最大レベルアクセスよりも少ないアクセスをユーザセッションに許可することができる。これらの実施形態では、認証バンドルまたは認証トークンをフィルタまたはリバースプロキシに渡すことによって、この低減したアクセスのユーザセッションへの許可を容易にすることができる。
【００７２】
一実施形態では、ネットワークリソースへのアクセスを動的に修正することができる。ユーザセッション中、ユーザセッションに対して、認証方法が利用可能または利用不能になる場合がある。これは、環境上の要因、装置の構成、またはユーザの物理的状態による可能性がある。例えば、最初にDTMF PINによって認証を受けたモバイル電話が、その後、ユーザセッションが慎重を要する企業データへのアクセスを試みると、複雑な音声によるユーザ確認のための応答(complex voice challenge)が促されることがある。逆に、最初に声紋を使って認証を受けたユーザセッションは、セッション中に音声接続の状態が劣化した場合、ネットワークリソースへのアクセスを拒否されることがある。このような場合には、特定の時点で存在していた、アクセスした特性から、新しい認証バンドルを総合することができる。
【００７３】
認証方法および装置の信頼性に基づいてネットワークリソースへのアクセスを許可することにより、アクセスのスライディングスケールを利用することができる。ユーザセッションが、異なる認証方法を使って異なるロケーションからログインすると、許可されるネットワークリソースへのアクセスが異なる。その結果、シングルユーザアカウントを使用することによって、任意のロケーションの1ユーザの、ネットワークリソースへの妥当なアクセスが容易になるようにすることができる。さらに、アクセスを動的に調整できるので、ユーザが、常に、ネットワークリソースへの妥当なレベルのアクセスを持つという可能性が増大する。
【００７４】
本発明は、その趣旨または基本的な特性から逸脱することなく、他の特定の形態で実施することができる。上述の実施形態は、すべての点において例示的なものにすぎず、限定的なものではないとみなされるべきである。したがって、本発明の範囲は、上述の説明ではなく、頭記の請求項によって示されるものとする。請求項と同等の意味および範囲において生じるあらゆる変更は、請求項の範囲内に包含されるものとする。
【符号の説明】
【００７５】
100 電話装置
101 ユーザインタフェース
102 出力ユーザインタフェース
103 入力ユーザインタフェース
104 スピーカ
105 ディスプレイ
106 マイクロフォン
107 ダイヤルコントロール
108 ナビゲーションコントロールボタン
109 アンテナ
110 バス
111 プロセッサ
112 メモリ
113 オペレーティングシステム
114 アプリケーションプログラム
115 プログラムモジュール
116 プログラムデータ
120 ネットワークリソース
130 論理通信リンク
133 論理通信パス
134 論理通信パス
140 公衆ネットワーク
141 パーソナルデジタルアシスタント
142 公衆電話
143 パーソナルコンピュータ
144 ラップトップ
145 コンピューティング装置
146 セキュリティモジュール
150 論理セキュリティ境界
160 論理セキュリティ境界
205 論理境界
210 セキュリティモジュール
220 アクセス許可モジュール
【技術分野】
【０００１】
本発明はネットワークのセキュリティに関する。より詳細には、本発明は、アクセスを、ユーザセッションに関連する認証方法および装置の信頼性に対応させることが可能な、ネットワークリソースへのアクセスを許可し、動的に修正するシステム、方法、およびコンピュータプログラムプロダクトに関する。
【背景技術】
【０００２】
今日、ネットワーク管理者にとって、ネットワークリソースへの妥当なアクセスをモバイルユーザに与えることは、不可能ではないにしてもきわめて難しい。ネットワークリソースへのアクセスを許可する従来の方法の大半は二元式である。すなわち、ユーザが「ログオン」されてネットワークリソースにアクセスできるか、または、ユーザが「ログオフ」されてネットワークにアクセスできないかのどちらかである。異なる装置および異なる認証方法を使用すれば信頼性のレベルも異なってくるのにもかかわらず、この二元式アプローチが採り入れられている。
【０００３】
例えば、公衆電話からデュアルトーンマルチフリーケンシ(dual tone multi-frequency)(「DTMF」)の個人識別番号(「PIN」)を入力することにより、ユーザは、企業のイントラネットに直接、結合されたコンピュータでパスワードを入力したのと同じネットワークリソースへのアクセスが許可されることが可能である。企業のイントラネットに直接、結合されたコンピュータからパスワードを入力する方が、公衆電話からDTMF PINを入力するよりも安全であるとみなすことができる。しかし、どちらの認証方法でも、ネットワークリソースへの同じアクセスが得られる。二元式アプローチは、モバイル環境で使用される広範にわたる様々な装置およびそれに対応する認証方式のために、モバイルユーザセッションに関してはしばしば問題がある。
【０００４】
場合によっては、ネットワーク管理者は、モバイルユーザに妥当なアクセスを与えようとして、セカンダリドメイン、セカンダリユーザアカウント、およびその他の様々な手段を実装することもある。例えば、ユーザは、ローカルユーザアカウントおよびモバイルユーザアカウントを持つことができる。ローカルユーザアカウントは、トラステッドコンピューティング装置(trusted computing device)上でのみ動作するように構成することができる。これによって、ユーザには、ユーザのロケーションに応じて異なるアクセスを割り当てることが可能になる。したがって、ローカルユーザアカウントに対しては、モバイルユーザアカウントに対してよりも、ネットワークリソースへのより多くのアクセスを与えることができる。しかし、任意の従来のアクセス方法であれば、ネットワークリソースへの同じアクセスをモバイルユーザアカウントに許可するので、これは依然として二元式アプローチである。例えば、公衆電話から発呼して、DTMF PINを使ってログオンするモバイルユーザと、安全なモバイル電話から発呼して、複雑なチャレンジレスポンスパスワード(challenge response password)を伝えるモバイルユーザは、ともに、ネットワークリソースへの同じアクセスを受け取ることができる。別のことばで言えば、モバイルユーザアカウントにネットワークリソースへのアクセスを許可する場合に、認証方法または装置の信頼性は一切考慮されていない。さらに、この方法では、モバイルユーザアカウントの確立および維持にさらなる労力が必要とされる。
【０００５】
別のアプローチは、特定のモバイルアクセス方法を信頼できるものとして指定することである。例えば、安全な発信者回線ID、または声紋が鑑定されているユーザからのモバイルアクセスを許可するように、ネットワークを構成することができる。しかし、このアプローチも、結果的にはネットワークリソースへの二元式アクセスになり、モバイルユーザセッションに関連する方法または装置の信頼性を考慮していない。例えば、公衆電話あるいは安全なモバイル電話からの、声紋鑑定を受けているモバイルユーザは、同じアクセスを受け取ることができるが、任意の非トラステッドアクセス方法(non-trusted access method)を介してアクセスを要求してきたモバイルユーザは、ネットワークリソースへのアクセスが完全に拒絶される。このアプローチは、環境上の要因によってもしばしば無効になる。例えば、ユーザが、自分のローカルコーリングエリア(local calling area)の外へローミングしても、モバイル電話のセキュリティを検証してもらうことができなかったり、あるいは、ユーザが風邪をひいて声紋を使用することができなかったりということがある。このような場合、アクセスを要求している方法および装置の信頼性は依然として比較的高いかもしれないのだが、ネットワークリソースへのアクセスは拒絶される。
【発明の概要】
【０００６】
ユーザセッションに関連する装置の信頼性を考慮することは、あるアクセス方法が安全であるとして予め定められている場合には特に重要である。モバイルユーザは、ネットワークリソースへのアクセスの要求の間に、ユーザIDおよびパスワードを提示することができる。場合によっては、DTMFトーンによってこれらの証明書への入力が容易になることもある。従来の認証方法では、これらの証明書が公衆電話から入力されても、安全なモバイル電話から入力されても、ネットワークリソースに対して同じアクセスが許可される可能性がある。安全なモバイル電話は公衆電話よりも信頼性が高いとみなすことができるので、これは、妥当なアクセスを許可しない可能性がある。
【発明が解決しようとする課題】
【０００７】
したがって、アクセスを、ユーザセッションに関連する認証方法および装置の信頼性に対応させるような方法で、ネットワークリソースへのアクセスを許可または動的に修正するシステム、方法、およびコンピュータプログラムプロダクトが望まれている。
【課題を解決するための手段】
【０００８】
本発明の原理は、ユーザセッションのネットワークリソースへのアクセスの許可および動的な修正ができるようにするものであり、アクセスを、ユーザセッションに関連する認証方法および装置の信頼性に対応させることが可能になる。認証方法に関連する特性は、ネットワークリソースへのアクセスを表す情報を含むことができる認証バンドルを作成するために総合される。セキュリティモジュールは、認証バンドルを受け取ることができ、また、ユーザセッションには、その認証バンドルに基づいて、表しているネットワークリソースへのアクセスを許可することができる。
【０００９】
ユーザセッションは、１つ以上の認証方法を使って、ネットワークへの認証を試みることができる。認証の試みがなされると、認証方法を表す特性を検出することができる。このような特性には、例えば、電話、コンピュータ、モバイル電話、パーソナルデジタルアシスタント(携帯情報端末)、またはハンドヘルドコンピュータなど、その認証への試みに関連する装置のタイプを含めることができる。認証方法に関連する特性には、パスワードやバイオメトリック認証など、認証のタイプも含めることができる。また、このような特性には、認証のタイプがどのように入力されたか、例えば電話のキーパッドのキー、従来のキーボードのキー、口頭によるフレーズ、または指紋を使って、などを含めることもできる。装置が既知の装置であるかどうか、装置が安全なデイバスであるかどうかなど、その他の特性も検出することができる。
【００１０】
次いで、ネットワークリソースへの妥当な程度のアクセスを表す認証バンドルの生成を容易にするために、これらの特性を総合することができる。総合することには、ユーザセッションに関連する認証方法の異なる特性の考慮を含むことができる。異なる特性の組合せによって、ネットワークリソースへのアクセスを異なるものにしたり、同じものにしたりすることができる。例えば、公衆電話からDTMF PINが入力された場合は、声紋認証の場合よりもネットワークリソースへのアクセスを少なくすることができる。しかし、安全なモバイル電話からDTMF PINが入力された場合には、おそらく声紋認証の場合と同じネットワークリソースへのアクセスを与えるようにすることができる。異なる認証方法に対して許可するネットワークリソースへのアクセスの程度は、予め定義することができる。例えば、ある企業の情報技術部門が、異なる認証方法に対して、異なるレベルのアクセスを割り当てることにより、認証方法を管理しようと考えることも可能である。
【００１１】
モジュールは、ネットワークリソースへの妥当な程度のアクセスをユーザセッションに許可することを容易にする認証バンドルにアクセスすることができる。許可されるアクセスの程度は、認証バンドルに含まれるそれを表している情報によって決まる。1例では、モジュールは、ネットワークリソースへのアクセスの程度を識別する認証トークンを生成することによってアクセスを許可する。したがって、どのようなユーザも、どのように、また何の装置から認証を受けたかに応じて、様々に異なるアクセス許可を受けることができる。したがって、例えば、あるユーザが、セキュリティの低い装置から、セキュリティの低い認証方法によって認証を受けると、一般に、そのユーザがよりセキュリティの高い認証方法を使ってよりセキュリティの高い装置から認証を要求した場合よりも、許可されるネットワークリソースへのアクセスは少なくなる。
【００１２】
モジュールは、また、確立されたユーザセッションが、そのユーザセッション中に、いずれかの認証方法を追加して実装し、かつ/またはより安全な装置に移行したかどうかを考慮することもできる。したがって、モジュールは、状況によっては、ユーザセッションに追加のアクセスを動的に許可することができる。逆に、ユーザセッション中に、何かの理由により前に成功している認証方法が失敗するようなことがあれば、すなわちおそらくユーザがよりセキュリティの低い装置に移行した場合には、モジュールは、ユーザセッションの既存のアクセスを動的に取り消すことができる。アクセスの許可および取消を、ユーザセッションに関連するリバースプロキシ(reverse proxy)またはフィルタによって容易に行うことができる。アクセスが許可または取り消された場合には、ユーザセッションに関連するユーザにその旨を通知することができる。
【００１３】
認証方法の特性を考慮することにより、ネットワークリソースへの妥当なアクセスを、非二元式の方法でユーザセッションに許可することができる。すなわち、そこからネットワークリソースへのアクセスを与えることができるスライディングスケールがある。任意の所与の時点において利用可能な認証方法および装置を表している特性に基づき、ネットワークリソースへのアクセスは変わることが可能である。したがって、ユーザセッションに関連する認証方法および装置の信頼性に一層密接に対応したアクセスを、ユーザセッションに許可することができる。
【発明の効果】
【００１４】
本発明により、アクセスを、ユーザセッションに関連する認証方法および装置の信頼性に対応させることが可能な、ネットワークリソースへのアクセスを許可し、動的に修正するシステム、方法、およびコンピュータプログラムプロダクトが提供される。
【図面の簡単な説明】
【００１５】
【図１】本発明に適した動作環境を提供する例示のモバイルコンピューティング装置を示す図である。
【図２】本発明に適した動作環境を提供する例示のネットワーク環境を示す図である。
【図３】ネットワークリソースへのアクセスを許可する方法の例を示す流れ図である。
【発明を実施するための形態】
【００１６】
本発明のさらなる特徴および利点を以下の説明に記載する。それらの一部は、その説明から明らかになるであろうし、あるいは、本発明の実施により知ることができるであろう。本発明の特徴および利点は、頭記の請求項に詳細に指摘する機器および組合せによって実現すること、および得ることができる。本発明の上記その他の特徴は、以下の説明および頭記請求項からより完全に明らかになるであろう。あるいは、以下に記載する発明の実施形態により知ることができるであろう。
【００１７】
本発明の上記およびその他の利点および特徴が得られる方法を説明するために、上記に簡単に説明した本発明のさらに詳細な説明を、添付の図面に示したその具体的な実施形態を参照しながら記載する。これらの図面が、本発明の典型的な実施形態を示したものにすぎず、したがってその範囲を限定するものとみなされるべきものではないと解釈した上で、本発明を、添付の図面を使用して、さらなる特殊性および詳細について記載および説明する。
【００１８】
本発明は、アクセスを、ユーザセッションに関連する認証方法および装置の信頼性に対応させることが可能な、ネットワークリソースへのアクセスを許可し、かつ動的に修正するシステム、方法、およびコンピュータプログラムプロダクトに関する。装置は、１つ以上の認証方法が使用されているユーザセッションに関与することができる。認証方法および装置の特性にアクセスして、ネットワークリソースへのアクセスを表す情報を含む認証バンドルを作成することができる。ユーザセッションに関連する認証方法が変わると、ユーザセッションのネットワークリソースへのアクセスもそれに従って修正することができる。
【００１９】
オペレーション中は、ユーザセッションに関連する認証方法および装置の特性にアクセスすることができる。アクセスした特性を総合して認証バンドルを生成することができる。認証バンドルは、認証方法および装置の特性から生成されるので、ネットワークリソースへの妥当な程度のアクセスを表すデータを含むことができる。この表しているデータは、認証方法および装置の信頼性を基にすることができる。アクセス許可モジュールは、認証バンドルにアクセスして、ユーザセッションが、認証バンドルに表されているネットワークリソースへの妥当な程度のアクセスを許可されるようにする。
【００２０】
本発明の実施形態は、以下にさらに詳細に論ずるように、様々なコンピュータハードウェアを含む専用または汎用コンピューティング装置を含むことができる。本発明の範囲内の実施形態は、コンピュータ実行可能命令またはデータ構造を記憶して運ぶ、または有するコンピュータ可読媒体も含む。このようなコンピュータ可読媒体は、汎用または専用コンピュータがアクセスすることができる任意の利用可能媒体でよい。例として、限定するものではないが、このようなコンピュータ可読媒体は、RAM、ROM、EPROM、CD-ROM、または他の光ディスク記憶装置、磁気ディスク記憶装置、または他の磁気記憶装置などの物理記憶媒体、あるいは、所望のプログラムコード手段を、コンピュータ実行可能命令またはデータ構造という形で運ぶ、または記憶するために使用することができ、汎用または専用コンピュータによってアクセスすることができる任意の他の媒体を備えることができる。
【００２１】
情報がネットワークまたは別の通信接続(有線、無線、または有線と無線の組合せのいずれかによる)を介してコンピュータに転送または提供されると、コンピュータは、当然、その接続をコンピュータ可読媒体として見る。したがって、このような接続は、コンピュータ可読媒体と呼ぶのが適切である。上記の組合せも、コンピュータ可読媒体の範囲に含まれるものとする。コンピュータ実行命令は、例えば、汎用コンピュータ、専用コンピュータ、または専用処理装置に特定の機能または機能グループを実行させる命令およびデータを含む。
【００２２】
本発明の実施形態は、図２に示す論理通信リンク130などの、1台または複数の他のコンピューティング装置への論理通信リンクを使った、ネットワーク化された環境でも動作することができる。コンピューティング装置は、パーソナルコンピュータ、モバイル電話、パーソナルデジタルアシスタント(「PDA」)、サーバ、ルータ、ネットワークPC、ピア装置、または他の一般のネットワークノードでよい。これらのコンピューティング装置は、通常、処理装置、システムメモリ、処理装置を含め、様々なシステムコンポーネントをシステムメモリに結合するシステムバス、および上述の物理記憶媒体のどれでも含むことができる。システムバスは、様々なバスアーキテクチャの任意のものを使った、メモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含むいくつかのタイプのバス構造のどれでもよい。システムメモリは、読取り専用記憶装置(ROM)およびランダムアクセス記憶装置(RAM)を備えることができる。スタートアップ中などに、コンピューティング装置内のエレメント間の情報の転送を支援する基本ルーチンを含む基本入出力システム(BIOS)を、ROM中に格納することができる。
【００２３】
図２に示す論理通信リンクは、1例としてここに示すが限定するものではない、ローカルエリアネットワーク(「LAN」)および/または広域ネットワーク(「WAN」)の部分を含んでもよい。このようなネットワーキング環境は、イントラネットやインターネットなど、オフィス規模または企業規模のコンピュータネットワークにはよく見られる。LANネットワーキング環境で使用する場合、コンピューティング装置をネットワークインタフェースまたはアダプタを介してローカルネットワークに接続することができる。
【００２４】
WANネットワーキング環境で使用する場合、コンピューティング装置は、モデム、無線リンク、または、インターネットなどの他の広域ネットワークを介して通信を確立する手段を含むことができる。モデムは、内部でも外部でもよく、シリアルポートインタフェースを介してシステムバスに接続することができる。ネットワーク化された環境では、プログラムモジュールまたはその部分は、リモートメモリ記憶装置に格納することができる。図２に示すネットワーク接続は例示的なものであり、LANまたはWANを介して通信を確立する他の手段も使用できることが理解されよう。
【００２５】
当業者は、本発明が、パーソナルコンピュータ、ハンドヘルド装置、マルチプロセッサシステム、マイクロセッサベースまたはプログラマブルな消費者用電子機器、ネットワークPC、ミニコンピュータ、メインフレームコンピュータ、モバイル電話、PDA、ページャ、および同様のものを含む、多くのタイプのコンピュータシステム構成を備えるネットワークコンピューティング環境において実施できることを理解されよう。本発明はまた、通信ネットワークを介してリンクされる(有線、無線、または有線と無線の組合せのいずれかによって)ローカルおよびリモートコンピューティング装置がともにタスクを実行する、分散コンピューティング環境でも実施することができる。分散コンピューティング環境では、ローカルおよびリモートメモリ記憶装置の両方にプログラムモジュールを配置することができる。
【００２６】
図１および以下の記載は、本発明を実施することができる適切なコンピューティング環境の簡単かつ一般的な説明を提供することを意図したものである。必ずしもそうする必要はないが、本発明を、プログラムモジュールなど、コンピューティング装置によって実行されるコンピュータ実行可能命令の一般的な状況で説明する。一般に、プログラムモジュールは、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造、および同様のものを含み、これらは特定のタスクを実行するか、または特定の抽象データ型を実装する。コンピュータ実行可能命令、関連するデータ構造、およびプログラムモジュールは、本明細書で開示する方法のステップを実行するためのプログラムコード手段の例を表すものである。このような実行可能命令または関連するデータ構造の特定のシーケンスは、このようなステップで説明されている機能を実施するための対応する動作の例を表す。
【００２７】
図１を参照すると、本発明の原理に適した動作環境が、電話装置100という形の汎用コンピューティング装置を含む。電話装置100は、ユーザが、入力ユーザインタフェース103を介して情報を入力し、出力ユーザインタフェース102を介して提示された情報を検討することを可能にするユーザインタフェース101を含む。例えば、出力ユーザインタフェース102は、ユーザに音声情報を与えるスピーカ104、およびユーザに視覚情報を与えるディスプレイ105を含む。電話装置100は、それが無線機能を有する場合は、アンテナ109も備えることができる。
【００２８】
入力ユーザインタフェース103は、音声情報を電子的形態にするためのマイクロフォン106を含むことができる。さらに、入力ユーザインタフェース103は、ユーザがそれを介して情報を入力することができる、12個のボタンで表されるダイヤルコントロール107を備える。入力ユーザインタフェース103は、ユーザが、ディスプレイ105に一覧表示された様々な入力およびオプションを通してナビゲートする際の助けとなる、ナビゲーションコントロールボタン108も含むことができる。
【００２９】
ユーザインタフェース101はモバイル電話の外観を持っているが、ユーザインタフェース101の見えないフィーチャは、複雑かつフレキシブルな汎用の処理機能を可能にすることができる。例えば、電話装置100は、互いに接続され、またバス110を介してユーザインタフェース101に接続されているプロセッサ111およびメモリ112も含む。メモリ112は、一般に、広範にわたる様々な揮発性および/または不揮発性メモリを表し、前述のタイプのメモリを含むことができる。しかし、電話装置100で使用しているメモリの特定のタイプは、本発明にとっては重要ではない。
【００３０】
図１には電話装置を示してあるが、本発明の実施形態は、パーソナルコンピュータでも実施することができる。パーソナルコンピュータは、電話装置100に関して述べたコンポーネントのどれでも含むことができる。パーソナルコンピュータは、また、キーボードおよび/またはマウスという形の入力ユーザインタフェース、およびディスプレイ装置という形の出力ユーザインタフェースに関連させることができる。パーソナルコンピュータは、無線技術、有線技術、またはそれらの組合せを介して、関連するネットワークシステムに結合することができる。
【００３１】
１つ以上のプログラムモジュールを含むプログラムコード手段を、メモリ112に格納することができる。１つ以上のプログラムモジュールは、オペレーティングシステム113、１つ以上のアプリケーションプログラム114、その他のプログラムモジュール115、およびプログラムデータ116を含むことができる。
【００３２】
図１は、本発明に適した動作環境を表しているが、本発明の原理は、本発明の原理を実施することが可能な任意の装置で、必要であれば適切な変更を施して、使用することができる。図１に示す環境は例示的なものにすぎず、本発明の原理を実施することができる広範にわたる様々な環境のほんの一部分さえも表すものではない。
【００３３】
この説明および頭記の請求項において、「ユーザセッション」とは、2装置間のデータ交換を伴うこともある、2装置間の連続した通信関係として定義される。これには、接続を維持するためにリソースが継続的に割り振られる、2装置間の永続的接続、または接続を維持するためにリソースが継続的に割り振られないコネクションレス関係(connectionless relationship)を含めることができる。コネクションレス関係の例として、メッセージが間をおいてモバイル装置に送られるショートメッセージサービス(「SMS」)環境を挙げることができる。
【００３４】
この説明および頭記の請求項において、「モバイルユーザセッション」とは、それに含まれる2装置のうち少なくとも1つが、既知のネットワークの境界の外側にある装置であるユーザセッションとして定義される。例えば、公衆セルラ電話ネットワークを介して企業イントラネットへのアクセスを試みるモバイル電話。モバイルユーザセッションに関連する装置のタイプは、電話装置100、PDA、ページャ、ハンドヘルド装置、ラップトップコンピュータ、またはその他の通常、モバイルコンピューティング環境に関連する装置など、モバイルコンピューティング装置でよい。しかし、モバイルユーザセッションには、ユーザセッションの起点が論理的または物理的に既知のネットワークの境界の外側である場合には、標準パーソナルコンピュータ、電話、またはその他の装置など、非モバイル装置から開始されたセッションも含めることができる。例えば、公衆交換電話網(「PSTN」)を介して、企業イントラネットに含まれる電子メールへのアクセスを試みる公衆電話。一方、ユーザセッションが既知の境界の内部を起点とする場合には、モバイル電話、または同様の装置をモバイルユーザセッションに関連させることはできない。例えば、無線ネットワークアダプタを介して企業イントラネットに直接リンクされたPDA。
【００３５】
電話装置100は、図２に示すように、ネットワーク化された環境で動作することができる。図２には、電話装置100、PDA101、公衆電話102を含むコンピューティング装置を示す。また、これらのコンピューティング装置と、ネットワーク化された環境に含まれるその他の機能コンポーネントの間の回線も示す。これらの回線は、論理通信パスを示す。論理通信パス130などの論理通信パスは、様々なネットワークタイプ、プロトコル、通信方法、またはそれらの組合せを含むことができる。例えば、論理通信パスは、LANまたはWANの部分を含んでもよい。
【００３６】
この説明では、図２に示すコンピューティング装置を参照する。しかし、本発明は、図示したコンピューティング装置に限定されるものではない。当業者には、この説明を読めば、前述のものを含め、広範にわたる様々なコンピュータシステム構成を使って、本発明の原理を実施できることが明らかであろう。
【００３７】
論理通信パスは、図示したコンピューティング装置および機能コンポーネントにアクセスできるように、データの部分を整えたりフォーマットしたりするその他のプログラムモジュール(図示せず)を含むこともできる。論理通信パスに関連する物理通信媒体は、例えば、コンピューティング装置または機能コンポーネントが仮想私設ネットワーク(Virtual Private Network)(「VPN」)に含まれる場合、オペレーション中に変わることもあり得る。これらの実施形態では、実際には物理的存在ではないバーチャル接続を使用することにより、データパケットを転送することができる。データパケットは、順に正しい宛先に送達されるが、様々なマシンを介して、これらのデータパケットをその時限りで経路指定することができる。すなわち、この接続に専用の物理回線があるわけではない。
【００３８】
論理通信パスは、電話装置100が音声通信用に使用するセルラまたはデジタルネットワークの部分を含んでもよい。論理通信パスはまた、公衆電話102が音声通信用に使用する電話ネットワークの部分を含むこともできる。公衆電話102が使用する電話ネットワークは、PSTNの部分、および統合サービスデジタル網(「ISDN」)およびファイバ分散データインタフェース(「FDDI」)など、デジタル技術に基づくより最新の電話ネットワークの部分を含んでもよい。
【００３９】
論理通信パスは、インターネット、または、一般に、図２に示すコンピューティング装置および機能コンポーネントがアクセス可能なその他のプロプラエタリネットワーク(proprietary networks)の部分を含むこともできる。論理通信パスは、前述のネットワークのどの組合せでも含むこともできる。
【００４０】
電話装置100は、論理通信パス130を介して公衆ネットワーク140と通信することができる。論理通信パス130は、無線通信リンクでもよい。公衆ネットワーク140は、電話装置が音声通信のために使用するセルラまたはデジタルネットワーク、インターネット、公衆交換電話網(Public Service Telephone Networks)、前述のようなモデム電話ネットワーク、一般に、図２のコンピューティング装置がアクセスすることができるその他のプロプラエタリネットワーク、またはそれらのどの組合せでも含むことができる。
【００４１】
公衆ネットワーク140は、論理通信パス133を介してコンピューティング装置145に接続することができる。本発明のオペレーションをわかりやすくするために、コンピューティング装置145を公衆ネットワーク140とは別個のものとして図示してある。しかし、本発明は、この実施形態に限定されるものではない。当業者には、この説明を読めば、本発明の原理を実施する場合、コンピューティング装置145も、他のネットワーク同様、公衆ネットワーク140に含めることができることが明らかであろう。
【００４２】
図２には、論理セキュリティ境界150も示してある。論理セキュリティ境界150は、公衆ネットワーク140とコンピューティング装置145の間の境界を論理的に表すものである。このような境界は、PSTNと、セルラまたはデジタルキャリアネットワークの間に存在することもある。論理セキュリティ境界150が単なる論理境界であることを理解されたい。例えば、VPNを含む実施形態では、公衆ネットワーク140内にあるものを含めて、図２のコンピューティング装置、機能コンポーネント、または論理通信リンクのどれを介しても通信を行うことができる。
【００４３】
論理セキュリティ境界150の物理表現には、コンピューティング装置145への無許可のアクセスを防ぐように設計された装置またはシステムを含めることができる。この物理表現には、ファイアウォール、パケットフィルタ、アプリケーションゲートウェイ、回路レベルのゲートウェイ、プロキシサーバ、私設ネットワークを保護するために使用するその他のメカニズム、またはそれらのどの組合せでも含めることもできる。論理セキュリティ境界150の物理表現は、ハードウェア、ソフトウェア、またはその組合せで実装することができる。
【００４４】
コンピューティング装置145は、論理通信パス134を介してネットワークリソース120に接続することができる。上述の場合と同様に、本発明の実施形態は、コンピューティング装置145がネットワークリソース120に含まれる場合にも可能である。ネットワークリソース120の部分が公衆ネットワーク140に含まれることもあり得る。
【００４５】
図２には、論理セキュリティ境界160も示してある。論理セキュリティ境界160は、コンピューティング装置145とネットワークリソース120の間の境界の論理表現である。このような境界は、セルラまたはデジタルキャリアネットワークと企業ネットワークの間に存在することもある。論理セキュリティ境界160が単なる論理境界であることを理解されたい。例えば、VPNを含む実施形態では、公衆ネットワーク140およびネットワークリソース120中のものを含めて、図２のコンピューティング装置、機能コンポーネント、または論理通信リンクのどれを介しても、本質的に安全な通信を行うことができる。論理セキュリティ境界160の物理表現は、論理セキュリティ境界150に関して説明した物理表現のどれでも含むことができる。
【００４６】
図３には、ネットワークリソースへのアクセスを許可する方法を示す流れ図を示す。図３の方法を、図２に含まれるコンピューティング装置および機能コンポーネントを参照して説明する。
【００４７】
図３には、動作を実行する、セキュリティモジュール210およびアクセス許可モジュール220を示す。セキュリティモジュール210とアクセス許可モジュール220は、論理境界205によって分離されている。セキュリティモジュール210は、図２に示すセキュリティモジュール146と同様であってよい。アクセス許可モジュール220は、ネットワークリソース120に含めてもよい。一実施形態では、セキュリティモジュール210をデジタルまたはセルラキャリアネットワークの一部として含めることができ、アクセス許可モジュール220を企業ネットワークの一部として含めることができる。この実施形態では、論理境界205は論理境界160と同様であることがあり得る。しかし、本発明は、図示したコンピューティング装置および機能コンポーネントの配置に限定されるものではない。当業者には、この説明を読めば、上述のものを含めて、広範にわたる様々な異なるコンピューティング装置および機能コンポーネントの配置を使って、本発明の原理を実施できることが明らかであろう。
【００４８】
図３の方法は、モバイルユーザセッションに関連する１つ以上の認証方法の特性にアクセスする動作(動作201)を含むことができる。一実施形態では、動作201は、デジタルキャリアネットワークに含まれるセキュリティモジュール210によって実行することができる。別の実施形態では、コンピューティング装置145は、電話装置101が使用する認証方法の特性にアクセスすることができる。これらの特性を、ネットワークリソース120へのアクセスを要求してきたモバイルユーザセッションに関連させることができる。認証方法の特性には、認証方法のタイプ、および認証方法に関連する装置のタイプを含めることができる。
【００４９】
動作201においてアクセスすることができる認証方法の特性には、様々なタイプのパスワード、様々なタイプのバイオメトリックデータ、装置の識別番号、発信者回線識別データ、時間のような環境データを含めることができる。
【００５０】
パスワードは一連の文字を含み、この一連の文字は、受け取られると、ユーザセッションがネットワークリソースにアクセスすることを可能にする。パスワードは、シンプルまたはコンプレックスで、様々なやり方で入力することができる。シンプルパスワードは、どのようにパスワードを構築できるかを定義するどのルールセットによっても制約することができない。一方、コンプレックスパスワードは、このようなルールに関連させることができる。例えば、コンプレックスパスワードは、少なくともある文字数の長さであることが要求されるか、大文字と小文字の両方が含まれることが要求されるか、または英語文字、アラビア数字、非英数字など、異なる種類の文字を含むことが要求される。パスワードがアラビア数字など数字だけを含む場合、このパスワードを個人識別番号(「PIN」)と呼ぶことができる。
【００５１】
パスワードは、コンピューティング装置に関連するキーボードから入力することができ、この場合、キーボード上で１つ以上のキーを押すことによりパスワードが生成される。次いで、伝送キーを押すと、パスワードのすべての部分が同時に送られる。
【００５２】
パスワードは、ダイヤルコントロール107または公衆電話102に含まれるキーパッドなど、電話装置に関連するキーパッドから入力することもできる。デュアルトーンマルチフリーケンシ(「DTMF」)技術を使用することにより、キーパッドからのパスワードの入力を容易にすることができる。DTMFは、タッチトーンキーパッド上の各キーに専用の周波数またはトーンを割り当て、それによってマイクロプロセッサはキーを容易に識別することができる。DTMFを使ってパスワードを入力した場合、データは、キーが押される度に伝送される。DTMFトーンによって数字を入力することをDTMF PINを入力するということもある。
【００５３】
パスワードまたはPINには口頭によるフレーズを含めることもできる。例えば、モバイルユーザセッションによってネットワークリソース120へのアクセスを試みる場合、ユーザは、マクロフォン106に向かってフレーズを話す。このようなフレーズは、検証を受けるためにコンピューティング装置145に伝送される。口頭によるフレーズは、セキュリティモジュール146などのモジュールから発行されたチャレンジに応答して入力することができる。
【００５４】
フレーズが口頭によるものであることの認識に加え、認証方法によっては、声質または高さなど、そのことばの物理特性にアクセスすることができるものもある。コンピュータが、このような物理特性を分析して、その口頭によるフレーズが既存の「声紋」と同じ物理特性を有するかどうかを判定することができる場合もある。声紋鑑定法は、1種のバイオメトリック認証技術である。バイオメトリック認証技術は、自動的に検査することができる測定可能な物理データに依存する技術であることが多い。バイオメトリック認証技術に関連するデータを、バイオメトリックデータと呼ぶことができる。その他のバイオメトリック認証技術の例として、指紋のコンピュータ分析および網膜スキャンが挙げられる。これらがバイオメトリック認証技術の例にすぎないことを理解されたい。当業者には、この説明を読めば、本発明の原理が、実質的に、測定可能な物理データを使って認証を容易にするどのような技術を使っても実施できることが明らかであろう。
【００５５】
動作201の実行においては、未知、既知、または安全な装置の特性にアクセスすることができる。未知の装置は、以前にネットワークリソースにアクセスするために使用されたことがない装置である可能性がある。例えば、PDA101がネットワークリソース120へのアクセスを試みたことがなければ、セキュリティモジュール146は、PDA101が未知の装置であると判定する。コンピューティング装置145には、既知の装置のリストまたはデータベースを含めることができる。公衆電話102がネットワークリソース120へのアクセスを試み、それがリストに含まれていない場合には、公衆電話102を未知の装置として指定することができる。逆に、公衆電話102がリストに含まれていた場合には、既知の装置として指定することができる。
【００５６】
既知の装置を含むリストまたはデータベースは、様々なフォーマットで構成することができる。例えば、リストには、コンピューティング装置に関連するコンピュータネットワークアドレスを含めることができる。または、安全なモバイル電話にバーンイン(burned in)したものなど、物理装置識別子を含めることができる。リストには、電話番号も含めることができ、この場合、ネットワークリソースへのアクセスを試みている装置を、発信者識別データによって識別することができる。これらは、装置の識別を容易にすることができるリストの例にすぎないことを理解されたい。当業者には、この説明を読めば、本発明の原理が、実質的に、装置の識別を容易にするために使用するデータを含むどのようなリストを使っても実施できることが明らかであろう。
【００５７】
装置は、あるレベルの信頼性に関連するならば、安全であるとして指定することができる。装置の信頼性は、装置のロケーションに基づいて判定することができる。例えば、企業のオフィス内にある電話は安全とみなすことができる。それに対して、公衆電話102は、たとえそれが既知の装置であったとしても、そのロケーションが公共の場所にあるため、安全であるとみなすことはできない。
【００５８】
装置は、そのロケーションに加え、その特性に基づいて、安全であるとみなすことができる。例えば、コンピューティング装置によっては、コンポーネントにハードコード化された識別番号を有するものもある。これらの識別番号は、ユーザセッションに関連することもあるし、または、そのコンピューティング装置が使用している認証方法の特性であることもある。識別番号はハードコード化されているので、このような番号を含むコンピューティング装置に関連するあるレベルの信頼性があると考えられる。この信頼性レベルは、このようなコンピューティング装置を安全な装置であるとみなすのに十分なものであるといえる。
【００５９】
安全な装置を判定するときに考慮できるその他の特性には、オペレーティングシステムのバージョン、ファームウェアのバージョン、装置のタイプ、または現在、利用可能なシステムリソースが含まれる。これらが、装置の信頼性の判定を容易にすることができる特性の例にすぎないことを理解されたい。当業者には、この説明を読めば、装置が安全な装置であることの判定は、実質的に、装置に関連するどのような物理特性を考慮することによっても行えることが明らかであろう。
【００６０】
アクセスされる特性には、特定の構成の装置タイプを含めることもできる。例えば、コンピューティング装置145は、認証を試みている装置が、電話、コンピュータ、モバイル電話などであることを検出することができる場合もある。装置タイプの組合せが生じることもある。例えば、装置が、安全なPDA、既知の公衆電話、または未知のモバイル電話として指定されることもある。
【００６１】
認証方法のその他の特性にもアクセスすることができる。例えば、モバイル電話がローミング構成にあるかどうかなどの環境情報。時間、曜日、またはユーザセッションに関連するユーザが最後にネットワークリソースにアクセスしたときなどの時間的情報にもアクセスすることができる。例えば、ユーザが、最近、厳格な認証プロセスを通過した既知の装置からネットワークリソースへのアクセスを試みる場合、追加のリソースへのアクセスへの許可が要求する追加認証は、あったとしてもわずかである。しかし、未知の装置の場合は、同じリソースへのアクセスが許可されるためにはかなりの追加認証が必要になる可能性がある。
【００６２】
装置が複数の通信チャネルを有する場合は、認証に関連する通信チャネルにアクセスすることができる。例えば、モバイル電話またはPDAが、帯域外通信チャネルを介してPINを伝送する場合。
【００６３】
この方法は、アクセスした特性を総合することにより、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成する動作(動作202)を含むこともできる。特性を総合する動作は、アクセスした特性を結合して新しくより複雑な認証バンドルを形成する動作と呼ぶこともできる。認証バンドルには、要求しているユーザセッションに与えることができるアクセスの程度を表すデータを含めることができる。例えば、アクセスした、パスワード、および/またはバイオメトリックデータ、およびまたは装置の特性を総合することにより、認証バンドルを生成することができる。特性を様々に変えて総合することにより、異なる認証バンドルを生成することができる。
【００６４】
一実施形態では、セキュリティモジュール146は、アクセスした特性を蓄積して、認証バンドルの生成を容易にすることができる。これができるのは、セキュリティモジュール146が、電話装置100に関連するユーザセッションの認証バンドルを生成しているときである。アクセスされた特性は、セキュリティモジュール146に同時に到着しないことがある。例えば、セキュリティモジュール146は、電話装置100に関連する声紋の特性にアクセスする前に、電話装置100に関連する装置タイプの特性にアクセスすることもある。
【００６５】
他の特性、例えば、ユーザセッションが利用可能なメモリ、ディスクスペース、帯域幅などのユーザセッションに関連する利用可能なリソースの量は、認証バンドルを生成するときに総合することができる。構成によっては、ユーザセッションに関連する装置がネットワークリソースへのアクセスに十分に適していない場合もある。装置のメモリやディスクリソースが十分ではないこともある。装置が、高信頼性通信を妨げるローミング構成のこともある。あるいは、データの伝送速度が所定のしきい値よりも低いこともある。これらが総合することができる特性の例にすぎないことを理解されたい。当業者には、この説明を読めば、本発明の原理が、実質的に、装置に関連するどのような物理特性を使っても実施できることが明らかであろう。
【００６６】
アクセスした特性を様々な組合せで総合することにより、装置の信頼性および認証方法に基づきネットワークリソースへのアクセスを割り当てるスライディングスケールを作成することができる。例えば、安全なモバイル電話からDTMF PINを使って認証を受けるユーザセッションに対しては、公衆電話102からDTMF PINを使ったユーザセッションの認証の場合よりも多くのネットワークリソース120へのアクセスが与えられる。
【００６７】
図３の方法は、１つ以上の認証方法の特性を総合することによって生成された認証バンドルにアクセスする動作(動作203)を含むことができる。図３に示すように、これには、含まれている動作の実行を、セキュリティモジュール210からアクセス許可モジュール220に移すことも含まれる。これは、デジタルまたはセルラキャリアが、認証バンドルを企業ネットワークに渡す実施形態を例示したものである。この実施形態では、論理境界205は、セキュリティモジュール210とアクセス許可モジュール220の間で渡されたデータに対し、セキュリティオペレーションを実行することができる。
【００６８】
これは、どのように認証バンドルにアクセスすることができるかの例にすぎない。セキュリティモジュール210およびアクセス許可モジュール220は、コンピューティング装置145など、同じネットワークまたは装置に含めることができる。当業者には、この説明を読めば、本発明の原理が、モジュールが実質的にどのロケーションからでも認証バンドルにアクセスする場合には実施できることが明らかであろう。
【００６９】
図３の方法は、アクセスの程度が特性に応じて異なるようにすることが可能な、ネットワークリソースへのアクセスを許可する動作(動作204)を含むことができる。アクセス許可モジュール220は、セキュリティモジュール146に含めてもよく、認証バンドル中に表されるネットワークリソースへのユーザセッションのアクセスを許可することができる。一実施形態では、認証バンドルを受け取ることによって、ネットワークリソースへのアクセスのレベルに関連する認証トークンを生成することができる。認証トークンは、ユーザセッションが使用している認証方法を表すデータを含むことができる。
【００７０】
一実施形態では、ユーザに関連する最大レベルアクセスよりも少ないアクセスを、ユーザセッションに許可することができる。例えば、企業イントラネットの安全な部分に含まれる接続から認証を受けたユーザを、ネットワークリソースへのアクセスのあるレベルに関連させることができる。しかし、このユーザがモバイル電話から認証を受けた場合に、ネットワークリソースへの同レベルのアクセスは与えられない。これは、モバイル電話を使ったことによる信頼性の低下、または、そのモバイル電話に関連する安全な認証方法の欠如による。例えば、このモバイル電話はおそらく安全なのだが、声紋鑑定がサポートされていないという場合が挙げられる。
【００７１】
一実施形態では、ファイアウォールまたは前述のその他のセキュリティメカニズムなど、論理セキュリティ境界150または論理セキュリティ境界160に関連するモジュールが、ネットワークリソースへのアクセスの許可を容易にすることができる。フィルタまたはリバースプロキシを使って、ユーザに関連する最大レベルアクセスよりも少ないアクセスをユーザセッションに許可することができる。これらの実施形態では、認証バンドルまたは認証トークンをフィルタまたはリバースプロキシに渡すことによって、この低減したアクセスのユーザセッションへの許可を容易にすることができる。
【００７２】
一実施形態では、ネットワークリソースへのアクセスを動的に修正することができる。ユーザセッション中、ユーザセッションに対して、認証方法が利用可能または利用不能になる場合がある。これは、環境上の要因、装置の構成、またはユーザの物理的状態による可能性がある。例えば、最初にDTMF PINによって認証を受けたモバイル電話が、その後、ユーザセッションが慎重を要する企業データへのアクセスを試みると、複雑な音声によるユーザ確認のための応答(complex voice challenge)が促されることがある。逆に、最初に声紋を使って認証を受けたユーザセッションは、セッション中に音声接続の状態が劣化した場合、ネットワークリソースへのアクセスを拒否されることがある。このような場合には、特定の時点で存在していた、アクセスした特性から、新しい認証バンドルを総合することができる。
【００７３】
認証方法および装置の信頼性に基づいてネットワークリソースへのアクセスを許可することにより、アクセスのスライディングスケールを利用することができる。ユーザセッションが、異なる認証方法を使って異なるロケーションからログインすると、許可されるネットワークリソースへのアクセスが異なる。その結果、シングルユーザアカウントを使用することによって、任意のロケーションの1ユーザの、ネットワークリソースへの妥当なアクセスが容易になるようにすることができる。さらに、アクセスを動的に調整できるので、ユーザが、常に、ネットワークリソースへの妥当なレベルのアクセスを持つという可能性が増大する。
【００７４】
本発明は、その趣旨または基本的な特性から逸脱することなく、他の特定の形態で実施することができる。上述の実施形態は、すべての点において例示的なものにすぎず、限定的なものではないとみなされるべきである。したがって、本発明の範囲は、上述の説明ではなく、頭記の請求項によって示されるものとする。請求項と同等の意味および範囲において生じるあらゆる変更は、請求項の範囲内に包含されるものとする。
【符号の説明】
【００７５】
100 電話装置
101 ユーザインタフェース
102 出力ユーザインタフェース
103 入力ユーザインタフェース
104 スピーカ
105 ディスプレイ
106 マイクロフォン
107 ダイヤルコントロール
108 ナビゲーションコントロールボタン
109 アンテナ
110 バス
111 プロセッサ
112 メモリ
113 オペレーティングシステム
114 アプリケーションプログラム
115 プログラムモジュール
116 プログラムデータ
120 ネットワークリソース
130 論理通信リンク
133 論理通信パス
134 論理通信パス
140 公衆ネットワーク
141 パーソナルデジタルアシスタント
142 公衆電話
143 パーソナルコンピュータ
144 ラップトップ
145 コンピューティング装置
146 セキュリティモジュール
150 論理セキュリティ境界
160 論理セキュリティ境界
205 論理境界
210 セキュリティモジュール
220 アクセス許可モジュール
【特許請求の範囲】
【請求項１】
ユーザセッションに関連する認証方法及び／又は装置の信頼性に基づいてネットワークリソースへのアクセスを許可するためのモジュールを含むコンピューティング装置において、前記ユーザセッションの起点が論理的または物理的に既知のネットワークの境界の外側であるモバイルユーザセッションにおける１つ以上の認証方法及び／又は１つ以上の装置の信頼性に関する特性に応じてネットワークリソースへのアクセスを許可する方法であって、
前記モバイルユーザセッションにおけるユーザ装置についての前記認証方法及び／又は装置の信頼性に関する特性を検出するステップと、
検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップと、
生成された前記認証バンドルを用いて、前記検出された特性によって識別される信頼性レベルに対応したアクセスレベルのアクセスを許可するステップと、
前記許可によって確立されたユーザセッション中に前記検出された特性が変化した場合に、前記認証バンドルを再度生成し、前記アクセスレベルを前記変化に応じて修正するステップと、
を備えることを特徴とする方法。
【請求項２】
請求項１に記載の方法であって、前記モバイルユーザセッションにおける１つ以上の認証方法及び／又は１つ以上の装置の信頼性に関する特性を検出するステップが、
前記モバイルユーザセッションを表す１つ以上の認証方法の特性を検出するステップを備えることを特徴とする方法。
【請求項３】
請求項１に記載の方法であって、前記モバイルユーザセッションにおける１つ以上の認証方法及び／又は１つ以上の装置の信頼性に関するするステップが、
１つ以上の認証方法に関連する装置の特性を検出するステップを備えることを特徴とする方法。
【請求項４】
請求項３に記載の方法であって、１つ以上の認証方法に関連する装置の特性を検出するステップが、
１つ以上の認証方法に関連する電話の特性を検出するステップを備えることを特徴とする方法。
【請求項５】
請求項３に記載の方法であって、１つ以上の認証方法に関連する装置の特性を検出するステップが、
１つ以上の認証方法に関連する未知の装置の特性を検出するステップを備えることを特徴とする方法。
【請求項６】
請求項３に記載の方法であって、１つ以上の認証方法に関連する装置を表す特性を検出するステップが、
１つ以上の認証方法に関連する既知の装置の特性を検出するステップを備えることを特徴とする方法。
【請求項７】
請求項６に記載の方法であって、１つ以上の認証方法に関連する既知の装置の特性を検出するステップが、
装置に関連する発信者回線識別データにアクセスするステップを備えることを特徴とする方法。
【請求項８】
請求項３に記載の方法であって、１つ以上の認証方法に関連する装置の特性を検出するステップが、
１つ以上の認証方法に関連する安全な装置の特性を検出するステップを備えることを特徴とする方法。
【請求項９】
請求項３に記載の方法であって、１つ以上の認証方法に関連する装置の特性を検出するステップが、
１つ以上の認証方法に関連するコンピューティング装置の特性を検出するステップを備えることを特徴とする方法。
【請求項１０】
請求項９に記載の方法であって、１つ以上の認証方法に関連するコンピューティング装置の特性を検出するステップが、
１つ以上の認証方法に関連するパーソナルコンピュータの特性を検出するステップを備えることを特徴とする方法。
【請求項１１】
請求項９に記載の方法であって、１つ以上の認証方法に関連するコンピューティング装置の特性を検出するステップが、
１つ以上の認証方法に関連するモバイルコンピューティング装置の特性を検出するステップを備えることを特徴とする方法。
【請求項１２】
請求項１１に記載の方法であって、１つ以上の認証方法に関連するモバイルコンピューティング装置の特性を検出するステップが、
１つ以上の認証方法に関連するモバイル電話の特性を検出するステップを備えることを特徴とする方法。
【請求項１３】
請求項１１に記載の方法であって、１つ以上の認証方法に関連するモバイルコンピューティング装置の特性を検出するステップが、
１つ以上の認証方法に関連するパーソナルデジタルアシスタントの特性を検出するステップを備えることを特徴とする方法。
【請求項１４】
請求項１１に記載の方法であって、１つ以上の認証方法に関連するモバイルコンピューティング装置の特性を検出するステップが、
１つ以上の認証方法に関連するハンドヘルドコンピュータの特性を検出するステップを備えることを特徴とする方法。
【請求項１５】
請求項１に記載の方法であって、前記モバイルユーザセッションにおける１つ以上の認証方法の及び／又は１つ以上の装置の信頼性に関する特性を検出するステップが、
１つ以上の認証方法に関連するパスワードの特性を検出するステップを備えることを特徴とする方法。
【請求項１６】
請求項１５に記載の方法であって、１つ以上の認証方法に関連するパスワードの特性を検出するステップが、
１つ以上の認証方法に関連する、デュアルトーンマルチフリーケンシトーンを含む個人識別番号の特性を検出するステップを備えることを特徴とする方法。
【請求項１７】
請求項１５に記載の方法であって、１つ以上の認証方法に関連するパスワードの特性を検出するステップが、
１つ以上の認証方法に関連する、口頭によるフレーズを含む個人識別番号の特性を検出するステップを備えることを特徴とする方法。
【請求項１８】
請求項１５に記載の方法であって、１つ以上の認証方法に関連するパスワードの特性を検出するステップが、
モバイルコンピューティング装置から帯域外により伝送されたパスワードの特性を検出するステップであって、当該パスワードが１つ以上の認証方法に関連するステップを備えることを特徴とする方法。
【請求項１９】
請求項１に記載の方法であって、前記モバイルユーザセッションにおける１つ以上の認証方法の及び／又は１つ以上の装置の信頼性に関する特性を検出するステップが、
１つ以上の認証方法に関連するバイオメトリックデータの特性を検出するステップを備えることを特徴とする方法。
【請求項２０】
請求項１９に記載の方法であって、１つ以上の認証方法に関連するバイオメトリックデータの特性を検出するステップが、
１つ以上の認証方法に関連する声紋の特性を検出するステップを備えることを特徴とする方法。
【請求項２１】
請求項１９に記載の方法であって、１つ以上の認証方法に関連するバイオメトリックデータの特性を検出するステップが、
１つ以上の認証方法に関連する指紋の特性を検出するステップを備えることを特徴とする方法。
【請求項２２】
請求項１９に記載の方法であって、１つ以上の認証方法に関連するバイオメトリックデータの特性を検出するステップが、
１つ以上の認証方法に関連する網膜スキャンの特性を検出するステップを備えることを特徴とする方法。
【請求項２３】
請求項１に記載の方法であって、前記検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップが、
ユーザ装置に関連するアクセスした特性と、パスワードに関連するアクセスした特性とを組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップを備えることを特徴とする方法。
【請求項２４】
請求項１に記載の方法であって、前記検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップが、
ユーザ装置に関連するアクセスした特性と、バイオメトリックデータに関連するアクセスした特性とを組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップを備えることを特徴とする方法。
【請求項２５】
請求項１に記載の方法であって、前記検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップが、
パスワードに関連するアクセスした特性と、バイオメトリックデータに関連するアクセスした特性とを組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップを備えることを特徴とする方法。
【請求項２６】
請求項１に記載の方法であって、前記検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップが、
ユーザ装置に関連するアクセスした特性と、パスワードに関連するアクセスした特性と、バイオメトリックデータに関連するアクセスした特性とを組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップを備えることを特徴とする方法。
【請求項２７】
請求項１に記載の方法であって、前記検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップが、
１つ以上の認証方法が実行された時間に関連する特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップを備えることを特徴とする方法。
【請求項２８】
ユーザセッションに関連する認証方法及び又は装置の信頼性に基づいてネットワークリソースへのアクセスを許可するためのモジュールを含むコンピューティング装置において、前記ユーザセッションの起点が論理的または物理的に既知のネットワークの境界の外側であるモバイルユーザセッションにおける１つ以上の認証方法及び／又は１つ以上の装置の信頼性に関する特性に応じてネットワークリソースへのアクセスを許可する方法であって、
当該方法が、
認証バンドルにアクセスするステップであって、前記認証バンドルが、前記モバイルユーザセッションにおけるユーザ装置についての前記認証方法及び／又は装置の信頼性に関する検出された特性を組み合わせることによって生成されたものであるステップと、
ネットワークリソースへの複数のアクセスレベルのうちの１つを許可するステップであって、前記許可されるアクセスレベルが、前記認証バンドル中で組み合わされた前記検出された特性によって識別される信頼性レベルに対応するステップと、
前記許可によって確立されたユーザセッション中に前記検出された特性が変化した場合に、再度生成された認証バンドルによって、前記アクセスレベルを前記変化に応じて修正するステップと、
を備えることを特徴とする方法。
【請求項２９】
請求項２８に記載の方法であって、前記認証バンドルにアクセスするステップが、
前記モジュールが認証バンドルにアクセスするステップを備えることを特徴とする方法。
【請求項３０】
請求項２８に記載の方法であって、前記認証バンドルにアクセスするステップが、
認証バンドルにアクセスするステップ、それによって、モバイルユーザセッションが、当該認証バンドルによって表されるネットワークリソースへのアクセスを許可されるステップを備えることを特徴とする方法。
【請求項３１】
請求項２８に記載の方法であって、前記認証バンドルにアクセスするステップが、
認証バンドルにアクセスするステップであって、それによって、ネットワークリソースへのアクセスのレベルを識別する認証トークンが生成されるステップを備えることを特徴とする方法。
【請求項３２】
請求項３１に記載の方法であって、前記認証トークンは、前記モバイルユーザセッションにおける１つ以上の認証方法を表すデータを含むことを特徴とする方法。
【請求項３３】
コンピューティング装置に、請求項１に記載の方法を実行させるためのプログラム。
【請求項３４】
コンピュータティング装置に、請求項１に記載の方法を実行させるためのプログラムを格納した、コンピュータが読み取り可能な記録媒体。
【請求項３５】
請求項１に記載の方法であって、前記変化は、より安全でないユーザ装置への前記ユーザ装置の移行であることを特徴とする方法。
【請求項３６】
請求項１に記載の方法であって、前記変化は、認証方法の利用可能性の変化であることを特徴とする方法。
【請求項３７】
請求項１に記載の方法であって、前記変化は、前記ユーザ装置の構成の変化であることを特徴とする方法。
【請求項３８】
請求項１に記載の方法であって、前記変化は、ユーザの物理条件の変化であることを特徴とする方法。
【請求項３９】
請求項１に記載の方法であって、前記変化は、音声接続の劣化であることを特徴とする方法。
【請求項１】
ユーザセッションに関連する認証方法及び／又は装置の信頼性に基づいてネットワークリソースへのアクセスを許可するためのモジュールを含むコンピューティング装置において、前記ユーザセッションの起点が論理的または物理的に既知のネットワークの境界の外側であるモバイルユーザセッションにおける１つ以上の認証方法及び／又は１つ以上の装置の信頼性に関する特性に応じてネットワークリソースへのアクセスを許可する方法であって、
前記モバイルユーザセッションにおけるユーザ装置についての前記認証方法及び／又は装置の信頼性に関する特性を検出するステップと、
検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップと、
生成された前記認証バンドルを用いて、前記検出された特性によって識別される信頼性レベルに対応したアクセスレベルのアクセスを許可するステップと、
前記許可によって確立されたユーザセッション中に前記検出された特性が変化した場合に、前記認証バンドルを再度生成し、前記アクセスレベルを前記変化に応じて修正するステップと、
を備えることを特徴とする方法。
【請求項２】
請求項１に記載の方法であって、前記モバイルユーザセッションにおける１つ以上の認証方法及び／又は１つ以上の装置の信頼性に関する特性を検出するステップが、
前記モバイルユーザセッションを表す１つ以上の認証方法の特性を検出するステップを備えることを特徴とする方法。
【請求項３】
請求項１に記載の方法であって、前記モバイルユーザセッションにおける１つ以上の認証方法及び／又は１つ以上の装置の信頼性に関するするステップが、
１つ以上の認証方法に関連する装置の特性を検出するステップを備えることを特徴とする方法。
【請求項４】
請求項３に記載の方法であって、１つ以上の認証方法に関連する装置の特性を検出するステップが、
１つ以上の認証方法に関連する電話の特性を検出するステップを備えることを特徴とする方法。
【請求項５】
請求項３に記載の方法であって、１つ以上の認証方法に関連する装置の特性を検出するステップが、
１つ以上の認証方法に関連する未知の装置の特性を検出するステップを備えることを特徴とする方法。
【請求項６】
請求項３に記載の方法であって、１つ以上の認証方法に関連する装置を表す特性を検出するステップが、
１つ以上の認証方法に関連する既知の装置の特性を検出するステップを備えることを特徴とする方法。
【請求項７】
請求項６に記載の方法であって、１つ以上の認証方法に関連する既知の装置の特性を検出するステップが、
装置に関連する発信者回線識別データにアクセスするステップを備えることを特徴とする方法。
【請求項８】
請求項３に記載の方法であって、１つ以上の認証方法に関連する装置の特性を検出するステップが、
１つ以上の認証方法に関連する安全な装置の特性を検出するステップを備えることを特徴とする方法。
【請求項９】
請求項３に記載の方法であって、１つ以上の認証方法に関連する装置の特性を検出するステップが、
１つ以上の認証方法に関連するコンピューティング装置の特性を検出するステップを備えることを特徴とする方法。
【請求項１０】
請求項９に記載の方法であって、１つ以上の認証方法に関連するコンピューティング装置の特性を検出するステップが、
１つ以上の認証方法に関連するパーソナルコンピュータの特性を検出するステップを備えることを特徴とする方法。
【請求項１１】
請求項９に記載の方法であって、１つ以上の認証方法に関連するコンピューティング装置の特性を検出するステップが、
１つ以上の認証方法に関連するモバイルコンピューティング装置の特性を検出するステップを備えることを特徴とする方法。
【請求項１２】
請求項１１に記載の方法であって、１つ以上の認証方法に関連するモバイルコンピューティング装置の特性を検出するステップが、
１つ以上の認証方法に関連するモバイル電話の特性を検出するステップを備えることを特徴とする方法。
【請求項１３】
請求項１１に記載の方法であって、１つ以上の認証方法に関連するモバイルコンピューティング装置の特性を検出するステップが、
１つ以上の認証方法に関連するパーソナルデジタルアシスタントの特性を検出するステップを備えることを特徴とする方法。
【請求項１４】
請求項１１に記載の方法であって、１つ以上の認証方法に関連するモバイルコンピューティング装置の特性を検出するステップが、
１つ以上の認証方法に関連するハンドヘルドコンピュータの特性を検出するステップを備えることを特徴とする方法。
【請求項１５】
請求項１に記載の方法であって、前記モバイルユーザセッションにおける１つ以上の認証方法の及び／又は１つ以上の装置の信頼性に関する特性を検出するステップが、
１つ以上の認証方法に関連するパスワードの特性を検出するステップを備えることを特徴とする方法。
【請求項１６】
請求項１５に記載の方法であって、１つ以上の認証方法に関連するパスワードの特性を検出するステップが、
１つ以上の認証方法に関連する、デュアルトーンマルチフリーケンシトーンを含む個人識別番号の特性を検出するステップを備えることを特徴とする方法。
【請求項１７】
請求項１５に記載の方法であって、１つ以上の認証方法に関連するパスワードの特性を検出するステップが、
１つ以上の認証方法に関連する、口頭によるフレーズを含む個人識別番号の特性を検出するステップを備えることを特徴とする方法。
【請求項１８】
請求項１５に記載の方法であって、１つ以上の認証方法に関連するパスワードの特性を検出するステップが、
モバイルコンピューティング装置から帯域外により伝送されたパスワードの特性を検出するステップであって、当該パスワードが１つ以上の認証方法に関連するステップを備えることを特徴とする方法。
【請求項１９】
請求項１に記載の方法であって、前記モバイルユーザセッションにおける１つ以上の認証方法の及び／又は１つ以上の装置の信頼性に関する特性を検出するステップが、
１つ以上の認証方法に関連するバイオメトリックデータの特性を検出するステップを備えることを特徴とする方法。
【請求項２０】
請求項１９に記載の方法であって、１つ以上の認証方法に関連するバイオメトリックデータの特性を検出するステップが、
１つ以上の認証方法に関連する声紋の特性を検出するステップを備えることを特徴とする方法。
【請求項２１】
請求項１９に記載の方法であって、１つ以上の認証方法に関連するバイオメトリックデータの特性を検出するステップが、
１つ以上の認証方法に関連する指紋の特性を検出するステップを備えることを特徴とする方法。
【請求項２２】
請求項１９に記載の方法であって、１つ以上の認証方法に関連するバイオメトリックデータの特性を検出するステップが、
１つ以上の認証方法に関連する網膜スキャンの特性を検出するステップを備えることを特徴とする方法。
【請求項２３】
請求項１に記載の方法であって、前記検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップが、
ユーザ装置に関連するアクセスした特性と、パスワードに関連するアクセスした特性とを組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップを備えることを特徴とする方法。
【請求項２４】
請求項１に記載の方法であって、前記検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップが、
ユーザ装置に関連するアクセスした特性と、バイオメトリックデータに関連するアクセスした特性とを組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップを備えることを特徴とする方法。
【請求項２５】
請求項１に記載の方法であって、前記検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップが、
パスワードに関連するアクセスした特性と、バイオメトリックデータに関連するアクセスした特性とを組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップを備えることを特徴とする方法。
【請求項２６】
請求項１に記載の方法であって、前記検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップが、
ユーザ装置に関連するアクセスした特性と、パスワードに関連するアクセスした特性と、バイオメトリックデータに関連するアクセスした特性とを組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップを備えることを特徴とする方法。
【請求項２７】
請求項１に記載の方法であって、前記検出された前記特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップが、
１つ以上の認証方法が実行された時間に関連する特性を組み合わせることによって、ネットワークリソースへのアクセスの程度を表す認証バンドルを生成するステップを備えることを特徴とする方法。
【請求項２８】
ユーザセッションに関連する認証方法及び又は装置の信頼性に基づいてネットワークリソースへのアクセスを許可するためのモジュールを含むコンピューティング装置において、前記ユーザセッションの起点が論理的または物理的に既知のネットワークの境界の外側であるモバイルユーザセッションにおける１つ以上の認証方法及び／又は１つ以上の装置の信頼性に関する特性に応じてネットワークリソースへのアクセスを許可する方法であって、
当該方法が、
認証バンドルにアクセスするステップであって、前記認証バンドルが、前記モバイルユーザセッションにおけるユーザ装置についての前記認証方法及び／又は装置の信頼性に関する検出された特性を組み合わせることによって生成されたものであるステップと、
ネットワークリソースへの複数のアクセスレベルのうちの１つを許可するステップであって、前記許可されるアクセスレベルが、前記認証バンドル中で組み合わされた前記検出された特性によって識別される信頼性レベルに対応するステップと、
前記許可によって確立されたユーザセッション中に前記検出された特性が変化した場合に、再度生成された認証バンドルによって、前記アクセスレベルを前記変化に応じて修正するステップと、
を備えることを特徴とする方法。
【請求項２９】
請求項２８に記載の方法であって、前記認証バンドルにアクセスするステップが、
前記モジュールが認証バンドルにアクセスするステップを備えることを特徴とする方法。
【請求項３０】
請求項２８に記載の方法であって、前記認証バンドルにアクセスするステップが、
認証バンドルにアクセスするステップ、それによって、モバイルユーザセッションが、当該認証バンドルによって表されるネットワークリソースへのアクセスを許可されるステップを備えることを特徴とする方法。
【請求項３１】
請求項２８に記載の方法であって、前記認証バンドルにアクセスするステップが、
認証バンドルにアクセスするステップであって、それによって、ネットワークリソースへのアクセスのレベルを識別する認証トークンが生成されるステップを備えることを特徴とする方法。
【請求項３２】
請求項３１に記載の方法であって、前記認証トークンは、前記モバイルユーザセッションにおける１つ以上の認証方法を表すデータを含むことを特徴とする方法。
【請求項３３】
コンピューティング装置に、請求項１に記載の方法を実行させるためのプログラム。
【請求項３４】
コンピュータティング装置に、請求項１に記載の方法を実行させるためのプログラムを格納した、コンピュータが読み取り可能な記録媒体。
【請求項３５】
請求項１に記載の方法であって、前記変化は、より安全でないユーザ装置への前記ユーザ装置の移行であることを特徴とする方法。
【請求項３６】
請求項１に記載の方法であって、前記変化は、認証方法の利用可能性の変化であることを特徴とする方法。
【請求項３７】
請求項１に記載の方法であって、前記変化は、前記ユーザ装置の構成の変化であることを特徴とする方法。
【請求項３８】
請求項１に記載の方法であって、前記変化は、ユーザの物理条件の変化であることを特徴とする方法。
【請求項３９】
請求項１に記載の方法であって、前記変化は、音声接続の劣化であることを特徴とする方法。
【図１】
【図２】
【図３】
【図２】
【図３】
【公開番号】特開２０１０−９６１８（Ｐ２０１０−９６１８Ａ）
【公開日】平成２２年１月１４日（２０１０．１．１４）
【国際特許分類】
【出願番号】特願２００９−２３１３７１（Ｐ２００９−２３１３７１）
【出願日】平成２１年１０月５日（２００９．１０．５）
【分割の表示】特願２００２−２９４１８６（Ｐ２００２−２９４１８６）の分割
【原出願日】平成１４年１０月７日（２００２．１０．７）
【出願人】（５０００４６４３８）マイクロソフト コーポレーション (3,165)
【Ｆターム（参考）】
【公開日】平成２２年１月１４日（２０１０．１．１４）
【国際特許分類】
【出願日】平成２１年１０月５日（２００９．１０．５）
【分割の表示】特願２００２−２９４１８６（Ｐ２００２−２９４１８６）の分割
【原出願日】平成１４年１０月７日（２００２．１０．７）
【出願人】（５０００４６４３８）マイクロソフト コーポレーション (3,165)
【Ｆターム（参考）】
[ Back to top ]