ネットワークユーザ認証システムにおいて、ネットワークユーザは、ネットワークユーザが位置しているビルディングに関連付けられている専用物理通信回線のための一意の識別子、又は、ビルディングに物理的に付随させられているセキュアコンポーネント若しくは通信回線に関連付けられているデジタル証明書を使用して認証目的のため識別される。認証サーバは、最初に、認証目的のため、ネットワークサービス加入者に関連付けられるべき専用通信回線の識別情報を検証するか、又は、専用通信回線に関連付けられるべき一意のデジタル証明書を発行する。デジタル証明書は、ビルディング入口、又は、複数のビルディングのセキュアコンポーネントに接続され、各ビルディングの一意のデジタル証明書を記憶するエッジサイトモジュールに記憶されていてもよい。

【発明の詳細な説明】
【関連出願】
【０００１】
本願は同時係属中の２００５年７月２０日に出願された米国仮特許出願第６０／７０１，２３９号及び２００６年６月１日に出願された米国仮特許出願第６０／８０３，６７９号の利益を主張するものであり、両出願は参照によって全体が本明細書に組み込まれている。
【技術分野】
【０００２】
本発明は、ネットワークユーザを認証する、又は、ネットワーク装置の間に信頼できる通信路を確立するシステム及び方法に関係する。
【背景技術】
【０００３】
インターネットトラフィックの増大と共に、ネットワークユーザを認証するためのより優れた手段に対する需要が大幅に増加している。ウェブは、極めて価値があり、かつ、不可欠なツールであることを示している。しかし、不正行為及び悪用の可能性は日々増加している。
【０００４】
過去に、Ｖｅｒｉｓｉｇｎ社、Ｔｈａｗｔ社、及び、その他のセキュリティ会社は、ネットワークユーザを認証する手段を提供することにより魅力的なビジネスモデルを構築している。公開鍵インフラストラクチャ（ＰＫＩ）を使用するデジタル証明書の発行及び取消によって、ネットワークユーザは、ある種のトランザクションが安全に取り扱われていることを確信できる。「Ｖｅｒｉｓｉｇｎ」モデルに関連する問題は、サーバ側は典型的に自分自身が本物であることを証明するために必要なステップを行うが、しかし、顧客及びその他のネットワーククライアントは同様に自分自身が認証されるのに役立つ解決策を獲得することに殆ど関心を示さないことである。大半は、ネットワーククライアントは、自分がどのような利益を獲得できるかが明らかではないので、自分自身の認証手段のために費用を払うことを嫌がる。その上、認証メカニズムが複数のプラットフォーム（ＰＣ、ラップトップ、モバイル装置など）を横断してどのように機能できるかが明らかでない。
【０００５】
公衆ネットワーク上の実質上全てのクライアントはどのような形であっても認証されていないので、不正行為及び損害の可能性は重大であり、悪化している。
【０００６】
過去数年に亘って、ネットワーククライアントの識別を助けるために多数の構想が提起されている。これらの提唱の中には、
・セキュアドングル
・スマートカード技術
・チップ内のセキュアな一意的に識別可能な素子
が含まれている。
【０００７】
これらの構想は、上記（及びその他の）ハードウェアコンポーネントが容易に紛失、盗難、又は、交換される可能性があるので、最初からすべて欠点がある。これらの解決策は最低レベルの認証を提供するが、その有効性は、顧客がハードウェアコンポーネントを安全な状態に保つことができないために制限されている。
【０００８】
したがって、今日のネットワーク化された世界では、ホスト（サーバ側）システムの適切な認証は行われているが、クライアント側の認証は殆ど、又は、全く行われていない。各クライアントを確実に認証する実行可能な方法が存在するならば、新しい、かつ、利益をもたらす可能性のあるビジネス機会が現れ、終端間の信頼のネットワークが現実になるであろう。
【０００９】
したがって、必要とされているのは、上述された従来のシステムにおいて見出された重大な問題を解決するシステム及び方法である。
【発明の開示】
【発明が解決しようとする課題】
【００１０】
本明細書に記載されている実施形態は、ネットワーククライアントユーザを認証し、２者以上の当事者間に信頼できる通信路を確立する認証システム及び方法を提供する。
【課題を解決するための手段】
【００１１】
本発明の一態様によれば、ビルディングに関連付けられているセキュアコンポーネント又は物理ネットワーク接続がビルディング内の１台以上のネットワーク装置を認証するため使用され、その結果、セキュアネットワーク通信がビルディング所有者又は占有者と直接的に関連付けられているネットワークユーザ認証システムが提供される。ビルディング内の少なくとも１台のユーザ装置はセキュアコンポーネントにリンクされ、セキュリティサーバはセキュアコンポーネント又はセキュア接続にリンクされている。セキュリティサーバは、セキュアコンポーネントの物理接続識別情報（ＩＤ）を決定し、公衆ネットワークを介してサービスを要求しているビルディング内の特定のクライアント又はユーザ装置を追跡するため物理接続ＩＤをクライアントＩＤに関連付けるように構成されている。
【００１２】
セキュリティサーバは、商業ウェブサイト若しくはネットワーク、又は、複数の家庭及びビジネスにサービスを提供する電話サービスプロバイダ若しくは電話会社（Ｔｅｌｃｏ）のようなサービスプロバイダサイトの一部でもよく、近傍のビルディングにリンクされている電話会社エッジサイト、ケーブルテレビジョンエッジサイト、又は、公益事業会社エッジサイトのようなネットワークエッジサイトの一部でもよく、近傍のビルディングにリンクされている無線ネットワーク基地局でもよく、或いは、ネットワークを介してセキュアコンポーネントに接続されている別個のセキュリティサーバでもよい。セキュリティサーバは、独立型であるか、又は、リモートウェブサイト若しくはローカルエッジサイトに組み込まれているかとは無関係に、マーチャント若しくはネットワークユーザとビジネスを行うことを希望する他のネットワークユーザを認証するために、様々なマーチャント及びネットワークユーザによって使用されてもよい。本システムは、ユーザ装置を固定したビルディング、又は、ビルディングに恒久的に関連付けられている物理接続ＩＤと関連付け、２者の当事者間の通信路が信頼できることを検証する、すなわち、信頼できる通信路を確立する。２者の当事者は、たとえば、ネットワークマーチャント若しくはサービスプロバイダとネットワークユーザでもよく、２人のネットワークユーザでもよい。
【００１３】
セキュアコンポーネントは、ケーブルモデムに基づく物理接続、デジタル加入者線（ＤＳＬ）又はＤＳＬ派生品、無線入力ポート、光入力又は回線などを含むビルディングとの確立された通信回線であればよく、或いは、請求書作成目的のためビルディング電気使用量を追跡するために公益事業会社によって使用され、ネットワークを介して公益事業会社サーバと通信するための内蔵式通信装置が備わっているメーターボックスなどでもよい。一実施形態では、セキュアコンポーネントは、ネットワークアクセスポイント又はエッジサイトから、データモデム、ケーブルモデム、非同期転送モード（ＡＴＭ）モデム、光ファイバモデム、ＤＳＬモデム、若しくは、その他のインホーム側のモデム装置のような加入者の物理ネットワークアクセス装置までのラストマイル接続でもよい。認証の鍵は、ホーム又はその他の物理的位置へサービスを提供するラストマイル接続を確立し、この接続をセキュリティ目的のためホーム内又は物理的位置にいるユーザと関連付けることである。接続は、物理的な銅線ペア接続からホームまでのどのようなものでもよく、ケーブルモデム終端システム（ＣＭＴＳ）上のデータオーバーケーブルサービスインターフェース仕様（ＤＯＣＳＩＳ）でもよく、ホームとネットワークとの間の無線ラストマイル接続上の媒体アクセス制御（ＭＡＣ）若しくは論理リンク制御（ＬＬＣ）若しくは無線リンクアドレスでもよく、動的ホスト構成プロトコル（ＤＨＣＰ）サービス及びリレーエージェントによって報告されるようなデジタル加入者線アクセスマルチプレクサ（ＤＳＬＡＭ）回路ＩＤ若しくは接続ポートでもよく、無線顧客を無線ネットワークへ接続する基地局でもよい。クライアントＩＤは、加入者に対する恒久的な固定値を有する任意の値でもよく、１回の接続のためだけの一時的な値でもよい。クライアントＩＤは、ＩＰアドレスに基づいていてもよく、ＩＰアドレス及びポート番号に基づいていてもよく、加入者ＩＤに基づいていてもよく、加入者ＩＤから導出された乱数に基づいていてもよく、ネットワークアドレス変換（ＮＡＴ）アドレスのようなネットワークエッジサイトによって供給された識別子でもよく、クライアント装置を通信回線ＩＤと関連付けるために使用されるその他のデータ値に基づいていてもよい。
【００１４】
セキュリティサーバは接続又は通信回線ＩＤを確立するためネットワーク機器を使用してもよい。一実施例では、Ｔｅｌｃｏエッジサイトのようなサービスエッジサイトが識別されるように、トレースルートマッピングがネットワークトポロジーを決定するために追跡され得る。エッジサイトが識別されると、セキュリティサーバは、Ｔｅｌｃｏエッジサイトをユーザ装置が位置しているビルディングに接続する通信回線の識別情報を要求する問い合わせを、要求側ユーザ又はクライアントのインターネットプロトコル（ＩＰ）アドレスと共にエッジサイトに送信する。
【００１５】
１個のネットワークエレメントが認証システムを使用して識別される状況の一例は、セットトップボックス（ＳＴＢ）が（ＤＳＬ及びダイヤルアップのため使用されるような）銅線ペアを介したＴｅｌｃｏへの物理接続によって認証されるときである。ＳＴＢが映画の購入の要求のような電子商取引トランザクションに関与しているならば、映画サービスプロバイダ又はＴｅｌｃｏは、物理接続ＩＤをユーザ又はクライアントＩＤと比較することにより、要求側ＳＴＢがビルディングに接続されている正しい物理的銅線ペアからであるかどうかを検証するために、この認証システムを使用可能である。
【００１６】
別の実施形態では、付加的なセキュリティレイヤが署名又はセキュリティコードをシステムに付加することによって設けられていてもよい。一実施形態では、セキュアコントロールユニットは、セキュアコンポーネントと関連付けられ、一意のデジタル証明書が記憶されているデータ記憶モジュールを有し、プロセッサはプライベートネットワークを介してセキュリティサーバと通信するため構成されている。セキュリティサーバは、最初に、ビルディング位置を検証し、ビルディング位置に関連付けられた一意のデジタル証明書をセキュアコントロールユニットへ発行する。セキュアコントロールユニットは、ビルディング位置にあるセキュアコンポーネントの内部に搭載されていてもよく、又は、さもなければ、セキュアコンポーネントに接続され、或いは、複数のビルディングのセキュアコンポーネントに接続されているエッジサイトモジュール内にあってもよい。この場合では、エッジサイトモジュールは各ビルディングの一意のデジタル証明書を記憶する。
【００１７】
セキュアコンポーネントは、ビルディングと電気通信会社エッジサイトとの間に恒久的に接続されている既存のブロードバンド電気通信回線のようなユーザネットワークゲートウェイ又は接続ポートでもよく、或いは、ビルディングへの専用無線リンクと関連付けられている無線ネットワークゲートウェイでもよい。一意のデジタル証明書は、その後、特定のビルディングへの回線だけと関連付けられる。デジタル証明書は物理的なビルディング（又は、ビルディングと物理的に固定されたゲートウェイ若しくはビルディングと一体化されたゲートウェイ）と直接的に関連付けられているので、デジタル証明書は、ビルディングの居住者、所有者又は労働者を確実に認証するために使用され得る。デジタル証明書は、回線のビルディング端又はプロバイダエッジサイトの何れかにあるセキュアコントロールユニット内で、ビルディングへの専用ブロードバンドアクセス回線に取り付けられていてもよい。一実施形態では、各プロバイダエッジサイトは、プロバイダエッジサイトが接続を提供し、認証サービスに加入している全部のビルディングのためのデジタル証明書を保持するデータ記憶モジュールを有するコントロールユニットを収容している。各デジタル証明書は、したがって、証明書が関連付けられている特定のビルディングへの通信路だけと関連付けられている。ビルディングは、典型的に移動せず、セキュアコンポーネントは、ビルディングへの接続を破壊すること無しに取り外すことが困難であるか、又は、不可能であるようにビルディングに取り付けられているので、デジタル証明書は、そのデジタル証明書によってネットワークを介して通信しているクライアントの識別情報の信頼できる指示を提供することができる。
【００１８】
別の一実施形態では、セキュアコンポーネントは、ビルディングの内部又は外部に何らかの方法で物理的に取り付けられているセキュアボックス又は筐体を備え、このビルディングに固有のデジタル証明書を保持するセキュアコントロールユニットを収容している。一実施例では、セキュアコントロールユニットは、特定の公益事業のための計器を含んでもよく、計器読み取りと認証の両方の目的のため公益事業サーバと通信することができる。この場合にプライベートネットワーク又は仮想プライベートネットワーク（ＶＰＮ）は、公益事業会社ネットワークであり、認証サービスは、公益事業サーバ、又は、公益事業サーバにリンクされている別個の認証サーバの何れかによって実行される。
【００１９】
セキュアゲートウェイモジュールはビルディング内の複数のユーザ装置への接続のためビルディングに設けられることがある。一実施形態では、セキュアコントロールユニットはゲートウェイモジュールを備える。別の実施形態では、セキュアコントロールユニットはゲートウェイモジュールに接続されている。ゲートウェイモジュールは、ルータ又は機能強化されたルータモジュールでもよい。
【００２０】
システムは、ゲートウェイモジュールに関連付けられている少なくとも１台のハードウェアセキュリティ装置と、ビルディング内の各ユーザ装置に関連付けられているハードウェアセキュリティ装置とをさらに含む。セキュリティ装置は、ユニバーサルシリアルバス（ＵＳＢ）ドングル、スマートカード、トラスティッドプラットフォームモジュール（ＴＳＭ）、無線装置のための加入者情報モジュール（ＳＩＭ）チップなどである。発明の典型的な実施形態では、特定のビルディングに専用のデジタル証明書は、ネットワークが巧く動作するようにビルディングに接続されているゲートウェイモジュールのハードウェアセキュリティ装置に記憶されている対応する鍵と照合される。ゲートウェイモジュール内のハードウェアセキュリティ装置は、次には、認証の成功と、ネットワーク通信の続行のため、各ユーザ装置内のセキュリティ装置と暗号同期させられる。これは、２つのレベルの認証、特に、証明機関又は認証サーバ対ビルディング、及び、ビルディング対ビルディング内のユーザ装置という認証を提供する。
【００２１】
本発明の別の態様によれば、加入者識別情報（ＩＤ）を加入者候補が位置しているビルディング内の物理接続又はセキュアコンポーネントのＩＤと関連付けることにより、加入者をネットワークサービスに登録するステップと、加入者ＩＤ及び物理接続ＩＤのレコードを記憶するステップと、加入者から受信されたその後のサービス要求毎に接続中の加入者の物理接続ＩＤを決定するステップと、検証目的のため物理接続ＩＤを事前に確立されている加入者ＩＤと比較するステップと、検証が成功である場合に限りサービスを提供するステップと、を備える認証方法が提供される。
【００２２】
一実施形態では、認証サーバのあるビルディングの地理的位置は、セキュアコンポーネント又は物理接続の位置に基づいて検証され、一意のデジタル証明書が検証されたビルディング位置に関連付けられ、一意のデジタル証明書がセキュアコンポーネント又は物理接続に関連付けられているセキュアコントロールユニットへ送信され、一意のデジタル証明書がセキュアコントロールユニットのデータ記憶モジュールに記憶される。別の実施形態では、ネットワークと通信するためユーザによって使用される事前に作成されたビルディングへの物理接続のための接続ＩＤはセキュリティサーバによって決定され、物理接続ＩＤはユーザの加入者ＩＤに関連付けられている。
【００２３】
一般に、最新の暗号化では、エンティティがセキュア通信目的のため完全に安全であり、かつ、信頼できると認められる前に望まれる３つの認証レベルが存在する。これらのレベルは、
１．本人の所有物
２．本人の知識
３．本人の生体的特徴
である。
【００２４】
項目１は、スマートカード、ＵＳＢドングル、セキュアチップ又はチップ内のセキュア素子、及び、その他のハードウェアベースの暗号方式解決手段のようなセキュアな埋め込み鍵を有するある種のタイプのセキュアハードウェア装置をクライアント装置に提供することによって達成される。項目２はユーザ固有のユーザ名及びパスワードを持つことによって達成される。項目３は達成することがより困難である。生体識別装置には網膜スキャナ及び指紋アナライザが含まれるが、このような装置は典型的に設置に費用がかかり、簡単に運営できない。本明細書に記載されている実施形態は、ビルディング若しくはホームのような物理構造物、又は、生体測定装置のような物理構造物に接続されているセキュアコンポーネントを使用して「本人の生体的特徴」識別を提供する。実質的に全ての物理構造物、特に、ブロードバンドアクセス機器を備えている物理構造物には所有者があり、限られた人数の個人だけが構造物内に居住又は労働している。ビルディングへの物理接続又はネットワーク通信回線の一意のＩＤに基づいてサービス加入者を識別することにより、本発明における加入者は、移動し得ない唯一の物理後続物と直接的に関連付けられる。方法及びシステムは、物理構造物の所有者、居住者又は労働者の身元情報を提供するために使用される。
【００２５】
本発明のその他の特徴及び利点は、以下の詳細な説明及び添付図面を検討した後に当業者により容易に理解できるであろう。
【００２６】
本発明の詳細は、構造及び動作の両方に関して、類似した参照番号が同様の部品を参照している添付図面の検討によってある程度集められる。
【発明を実施するための最良の形態】
【００２７】
本明細書に開示されているようなある種の実施形態は、固定した物理的なビルディング住所又は位置に基づくユーザの認証を提供する。たとえば、本明細書に開示されているような１つの方法は、一意のデジタル証明書をホームユニット若しくはビルディングユニット、又は、ホーム若しくはビルディングへの物理接続に関連付けることが可能である。
【００２８】
本明細書を読むと、どのようにして発明を種々の代替的な実施形態及び代替的なアプリケーションで実施するかが当業者に理解されるであろう。しかし、本発明の種々の実施形態が本明細書に記載されているとしても、これらの実施形態は、限定ではなく、単なる一例として提示されていることが理解される。種々の代替的な実施形態についてのこの詳細な説明は、請求項に記載されている本発明の範囲又は広がりを限定するように解釈されるべきでない。
【００２９】
以下の説明は、用語Ｔｅｌｃｏ（電話会社）があらゆるサービスプロバイダの総称として使用され、電話会社、ケーブルテレビジョンサービスプロバイダ、ケーブルテレビジョン（ｔｖ）運営者、インターネットサービスプロバイダ、衛星テレビジョンプロバイダ、ファイバネットワーク接続会社、無線サービスプロバイダ、携帯電話サービスプロバイダなどのような任意のタイプの通信又はネットワークサービスプロバイダを識別するために使用される。
【００３０】
図１は種々のネットワークコンポーネントを伴う通信ネットワークシステムのブロック図である。発明の典型的な実施形態による認証システムは、詳細に後述されるように、ネットワークシステムに組み込まれ、物理構造物又はビルディング４０内のセットトップボックス（ＳＴＢ）３７０のようなユーザ装置がマーチャントアプリケーション／ネットワーク３８８に繋がるときに使用される。ＳＴＢ３７０は、電話機、インターネットサービスデジタルネットワーク（ＩＳＤＮ）又はケーブルテレビジョン回線のような通信チャネルに接続されている電子装置であり、従来のテレビジョン画面上に出力を生じる。セットトップボックスは、デジタルテレビジョン放送を受信し復号化し、ＰＣではなくユーザのテレビジョンを介してインターネットとインターフェイスを取るために広く使用されている。セットトップボックスは、入力テレビジョン信号を受信しスクランブル解除する最も簡単なカテゴリーから、テレビ会議、ホームネットワーキング、インターネットプロトコル（ＩＰ）電話、ビデオオンデマンド（ＶｏＤ）、及び、高速インターネットテレビジョンサービスのような多種多様な先進サービスを動かすことができるマルチメディアデスクトップコンピュータとしても機能し得るようなより複雑なカテゴリーまでの複数のカテゴリーに分類される。しかし、図１におけるインホームネットワークは多数の他のタイプのユーザ電子通信装置に接続されてもよく、図１と共に使用されているようなセットトップボックス（ＳＴＢ）という用語は、ＳＴＢ、パーソナルコンピュータ（ＰＣ）、個人情報端末（ＰＤＡ）、ネットワーク型ＭＰ３／ビデオプレーヤ（ＭＰ３はＭＰＥＧ−１オーディオレイヤ３装置であり、ＭＰＥＧは動画像エキスパートグループの略語である）、携帯電話機などを含むユーザ電子通信装置をカバーすることが意図されていることが理解されるべきである。
【００３１】
ＳＴＢ３７０は、図示された実施形態では、テレビジョン３７２に接続されていることが示され、インホーム又はビルディングネットワーク３８５を介して顧客宅内機器３８０に繋がる。顧客宅内機器（ＣＰＥ）３８０は、インホームネットワーク機器を、データを受信及び送信するため用いられる外界への接続又は通信回線３０５に接続するため使用されるルータ、モデム、スイッチ、ゲートウェイ、又は、他のネットワーク処理機器のような任意の形式の顧客宅内機器を表している。接続３０５は、外部ネットワークエッジ機器、エッジサイト、又は、アクセスポイント３０３への有線、無線、ケーブル、又は、光の何れの形式の相互接続でもよく、ポイントツーポイント型、スター型、リング型、又は、その他のネットワークトポロジーに基づいている。本実施形態では、認証システムは、図１から４に関連して詳細に後述されているように、インハウス又は家庭ネットワーク３８５における装置のユーザを認証するために物理接続３０５の識別子を使用する。
【００３２】
ＳＴＢ３７０のようなクライアント装置は、ＣＰＥモデム３８０へ直接的に接続されてもよく、或いは、代替的に、ネットワークアドレス変換（ＮＡＴ）／ファイアウォールを採用するローカルアクセスポイントルータサブネットから離れてサービスされてもよい。ＮＡＴは、ローカルエリアネットワーク（ＬＡＮ）がインターネットトラフィックのための１組のＩＰアドレスと、外部トラフィックのための第２のアドレスの組を使用することを可能にさせるインターネット標準である。
【００３３】
ネットワークエッジ機器又はサイト３０３はネットワーク３１５を介してマーチャントアプリケーション及びネットワーク３８８に接続されている。マーチャントアプリケーション及びネットワーク３８８は、標準的な独立型電子商取引又はネットワークベースの企業サービスでもよく、或いは、電話会社（Ｔｅｌｃｏ）若しくはその他の第三者によって提供される公益事業サービスでもよい。ネットワーク３１５は、プライベートネットワーク若しくは企業ネットワークでもよく、又は、インターネットのような公衆ネットワークでもよく、エッジサイト３０３とネットワーク上のマーチャントアプリケーション３８８との間の通信は１つ以上のネットワーク３１５を経由してもよい。ネットワークエッジ機器３０３は、加入者にサービスを提供するために使用される物理ネットワークレイヤのため適切であり、ケーブルモデム、デジタル加入者線（ＤＳＬ）及びＤＳＬ派生物、無線、及び、光技術に基づく物理接続を含むが、これらに限定されない。ＤＳＬ技術は、データを銅線に詰め込むために高機能変調スキームを使用する。ＤＳＬ技術は、交換局間ではなく、電話交換局から家庭又はオフィスまでの接続のためだけに使用されるので、ラストマイル技術と呼ばれることもある。図１において、ネットワークエッジ機器は、通信回線３０５がＣＰＥ機器３８０に繋がるエッジ位置の実例である。ネットワークシステムは、（ネットワークエッジ機器３０３とネットワーク３０５との間に示されていない）ネットワーク運用センターを含むこともある。ネットワークデータセンター処理機能は、他の場所に分散させられてもよく、その他のサーバを使用してもよい。
【００３４】
セキュリティサーバ３１０はネットワーク３１５を介してネットワークエッジ機器に接続されている。図１におけるセキュリティサーバ３１０は別個のサイトであるが、セキュリティサーバはネットワークエッジ機器又はエッジサイト３０３の一部でもよく、ネットワーク運用センターの一部でもよく、マーチャントアプリケーションサイト３８８の一部でもよい。図１は、ネットワーク３１５経由によるクライアントＣＰＥ機器３８０との通信のため、ＤＨＣＰデータベース３３０に接続されている動的ホスト設定プロトコル（ＤＨＣＰ）サーバ３２０をさらに示している。ＤＨＣＰサーバ３２０は、ネットワークへのアクセスのため割り当てられているインターネットプロトコル（ＩＰ）アドレスをＣＰＥ機器、又は、その他のコンピュータ機器に供給するため使用される標準的なインターネットプロトコルベースのサーバでもよい。ＤＨＣＰは、動的ＩＰアドレスをネットワーク上の装置に割り当てるための既知のプロトコルである。代替的に、ＤＨＣＰサーバ３２０は、ネットワークへの接続のためアドレス情報又はアクセス情報をコンピュータ又はその他のクライアント装置（ＳＴＢ、ＰＤＡ、ＰＣ、携帯電話機など）に割り当てるため使用されるその他の機器を備えることがある。ＤＨＣＰサーバ３２０は、Ｔｅｌｃｏエッジサイトのようなホストネットワークエッジ機器３０３を介してネットワーク３１５に接続しているコンピュータ又はその他のクライアント装置のアドレス情報を含むデータベースとして実施されることもある。
【００３５】
一実施形態による認証（すなわち、信頼できる通信路の開始）のためのプロセスが以下に記載されている。プロセスは、ＳＴＢ３７０によって表されているクライアント装置の電源がオンになり、Ｔｅｌｃｏサーバ又はマーチャントアプリケーション３８８への接続を試みるときに開始する。ＳＴＢ３７０は、典型的に、ＣＰＥ３８０装置の一部として示されているルータ、スイッチ、又は、ゲートウェイ機器からＩＰアドレスを要求する。ＳＴＢ３７０のＩＰアドレスは、ネットワークエッジ機器３０３又はＤＨＣＰサーバ３２０には分からないローカルインターネットプロトコル（ＩＰ）アドレスである。図２は、認証された、又は、信頼できるサービスのクライアントを、マーチャントアプリケーション３８８のようなサービスプロバイダに最初に登録する発明の実施形態による方法を示している。この方法は、ビルディング内のクライアント装置がネットワークを介して任意のタイプのサービスを取得するためにサービスプロバイダと連絡を取るときに使用される。このようなサービスの一例は、セットトップボックスのようなユーザ装置が映像復号化のためのアプリケーション鍵を取得するためにセキュアな映画又は映像配信サービスと連絡を取るときである。
【００３６】
ＳＴＢ３７０のようなクライアント装置は、最初に電源がオンになり、ＣＰＥ３８０からＩＰアドレスを取得する（ステップ３４０）。クライアント装置は次にサービスプロバイダに接続し、サービスを要求する（ステップ３４２）。ＳＴＢは、ＳＴＢのＩＰアドレスではなく、ＣＰＥ３８０機器のＩＰアドレスを使用してネットワークエッジ機器３０３に接続する。ＳＴＢのＩＰアドレスはインホーム又はインハウスネットワーク３８５の内部で局所的であり、マーチャント又はサービスプロバイダに提示されるクライアント（ＳＴＢ）ＩＰアドレスは、ＣＰＥ３８０のインホームネットワークルータ、スイッチ、又は、ゲートウェイによってＳＴＢに割り当てられたＩＰアドレスと異なることがある。ＳＴＢに関して提示されたＩＰアドレスは、ＣＰＥ３８０機器のためネットワークエッジ機器３０３によって供給されたＩＰアドレスである。
【００３７】
ＳＴＢがマーチャントからのサービスを登録するためにマーチャントアプリケーション及びネットワーク３８８に連絡を取るとき、登録プロセスは、クライアント又はＣＰＥ３８０のＩＰアドレスを使用し、適切なネットワーク機器から、ネットワークエッジ機器３０３と、ＣＰＥ３８０を介してネットワークエッジ機器に接続されているＳＴＢ３７０との間の物理接続３０５の識別情報を決定することが可能である（ステップ３４４）。物理接続３０５の識別情報を決定する技術は詳細に後述されている。登録プロセスは、図１に示されているように独立型セキュリティサーバ３１０を使用し、又は、マーチャントアプリケーション又はサイト３８８の一部でもよい。クライアント登録情報は、ネットワークエッジ機器３０３とＣＰＥ３８０との間の接続３０５のための物理接続ＩＤと呼ばれる識別子を含む。
【００３８】
物理接続ＩＤはネットワークエッジ機器３０３とＣＰＥ３８０との間の物理接続３０５を一意に識別する識別子である。物理接続３０５の識別情報を取得するために使用される様々な技術が存在する。物理接続ＩＤのＤＳＬ実施例は、ＤＳＬサービスを、Ｔｅｌｃｏ中央又は地方事務所を加入者に接続する銅線ペア電話回線に接続するため使用されるＤＳＬデジタル加入者線アクセスマルチプライヤ（ＤＳＬＡＭ）機器の物理ポートＩＤである。ＤＳＬＡＭは、多数の顧客のＤＳＬ接続を単一の高速非同期転送モード（ＡＴＭ）回線に連結する。物理接続ＩＤは、光ファイバ接続、ケーブルＴＶベースのインターネットサービスのためのケーブルモデムシステムの場合に取得され、仮想接続ＩＤは無線機器の場合に取得される。たとえば、ファイバ・ツー・ザ・ホーム（ＦＴＴＨ）ネットワークでは、接続ＩＤは加入者を光ネットワークに繋ぐため使用される光ネットワークユニット（ＯＮＵ）の識別子でもよい。ＯＮファイバ・ツー・ザ・ホーム又はその他の）サービス加入者を加入者への物理ファイバ接続又はＯＮＵ接続と関連付けるために使用される。物理接続３０５の識別子は、物理接続３０５を決定するためにトレースルート又はその他のネットワークマッピングユーティリティを使用して取得されることも想定される。標準的なトレースルートユーティリティは物理接続３０５を識別しないが、コンピュータノードへの単一ルートと共に物理接続３０５を提供可能であるトレースルートのようなユーティリティが作成可能であることが想定される。
【００３９】
多くのネットワークシステムにおいて、ネットワークエッジ機器３０３は、クライアント装置（ＳＴＢ、ＰＣ、ＰＤＡなど）がＤＨＣＰプロトコルを使用してネットワークＩＰアドレスを要求するときに、ＤＨＣＰ要求をＤＨＣＰサーバへ転送する。ＤＨＣＰリレーエージェントとしての機能を果たすことに加えて、ネットワークエッジ機器３０３は、ネットワークエッジ機器３０３を介してＤＨＣＰ要求を転送するときに、物理接続識別子（たとえば、ＤＨＣＰオプション８２）をさらに付加する。ネットワークエッジ機器３０３が物理接続識別子を付加するとき、ＤＨＣＰサーバは、ＤＨＣＰ処理に関する情報を持ち、典型的にＩＰアドレス、ＣＰＥメディアアクセス制御（ＭＡＣ）アドレス、リース状態、リース期間及びその他の情報を含むＤＨＣＰサーバリースファイルに、物理回線識別子を記憶することが可能である。ＤＳＬベースのネットワークのための今日のＤＨＣＰ処理は、ＤＳＬＡＭポート番号を用いてホームに接続されている物理的ワイヤを指示するポート識別子を追加するＤＳＬ ＤＳＬＡＭを含む。ＤＳＬＡＭポート番号は一意であり、銅線がＤＳＬＡＭポートに繋がるとき、ホームとＴｅｌｃｏネットワークとの間の物理銅配線は一意に識別される。多くのシステムにおいて、ＤＨＣＰリースファイル情報は、ネットワークエッジ機器３０３によってＤＨＣＰ要求（たとえば、ＤＨＣＰオプション８２）に付加された物理接続識別子をさらに含む。
【００４０】
ネットワークエッジ機器３０３とＣＰＥ３８０機器との間の物理接続３０５の物理接続識別子が利用可能でない状況では、ソフトウェアは、識別子を物理接続３０５と関連付けるために使用されるデータを取得するため、ネットワークエッジ機器３０３を探索することによりこの情報にアクセスするように記述され得る。この探索の一例は、ＤＳＬＡＭ装置によって提供されている方法を使用して、ＤＳＬ ＤＳＬＡＭ装置から回路ＩＤを読み取ることである。ネットワークエッジ機器３０３の探索は、どのようなネットワークタイプ（無線、ケーブル、ファイバ、ＤＳＬ、イーサネットなど）であっても適用可能であり、探索は機器から物理接続３０５を取得する１つ以上の方法に基づいてもよい。物理接続３０５の識別子を取得する典型的な方法は、データベースファイルの読み取り、テルネット（Ｔｅｌｎｅｔ）セッションの実行、ネットワーク又はネットワークエッジ機器３８０上の外から見えるインターフェイスへのアクセス、情報を取得するためのウェブサービスへのアクセス、ファイル転送プロトコル（ＦＴＰ）若しくはハイパーテキスト転送プロトコル（ＨＴＴＰ）インターフェイスによる情報へのアクセス、又は、その他の方法を含む。
【００４１】
物理接続ＩＤが決定された後、本実施形態における認証プロセスは、物理接続３０５をサービス加入者に関連付け（ステップ３４５）、加入者及び関連付けられた物理接続識別情報に関する情報を記憶する（ステップ３４６）。これは、サービスプロバイダが物理接続３０５を含む情報を使用してユーザを認証することを可能にさせ、このようにして、ユーザを識別された物理接続がリンクされている物理構造物又はビルディングにリンクする。情報が一旦記憶されると、クライアントはサービスのため登録され、その後にマーチャント３８８からサービスを受けることが可能である。登録後、物理接続３０５は、図３に示されているように、サービスの後続の要求毎にユーザを認証するため使用される。
【００４２】
サービスプロバイダが、ネットワークエッジ機器３０３又はＴｅｌｃｏネットワーク機器又はＤＨＣＰサーバ３２０又はセキュリティサーバ３１０又はその他の場所によって設けられている外から見えるインターフェイスを使用して、Ｔｅｌｃｏ又はサービスプロバイダから物理接続３０５の識別子を取得することを可能にさせるウェブサービスが提供され得ることもまた本出願によって想定されている。
【００４３】
物理接続３０５の情報は、クライアントを認証するときに今日のシステムで使用されることがあるが、この使用はネットワークサービスプロバイダが加入者のＣＰＥ３８０を認証するときに限定され、この情報は、電子商取引システム、インターネットシステム、ウェブサービス、電子メールシステムなどのユーザを認証するために、サービスのためのアプリケーションレイヤ、又は、電子商取引レイヤのような、物理接続レイヤを越えた加入者の認証の際に使用されない。
【００４４】
図３は、サービスにアクセスするために試みられた不正な攻撃を検出するために、登録後に加入者又はクライアントを識別するのに使用される認証プロセスを示している。ハッカーと呼ばれる不法侵入行為者がサービスを侵害又は盗用しようする多数の方法がある。たとえば、ハッカーは、複製加入者情報を伴うＳＴＢ又はＰＣのようなクローン化されたクライアント装置を使用し、権限のある加入者になりすますことを試みる。図３に示されている認証プロセスは、クライアントが、サービスに登録するため使用した物理接続３０５と同じ物理接続３０５からサービスにアクセスしていること、ならびに、サービス上で同時に使える状態である同じ資格をもつ複数のクライアントが存在しないことを検証可能である。
【００４５】
図３に示されているように、登録済みクライアント（又は、クローン装置などを使用して登録済みクライアントになりすまそうとする権限のないユーザ）からのトランザクション要求はステップ３５０で受信される。接続中の加入者のホームゲートウェイＩＰアドレス（ＳＴＢ３７０のＩＰアドレスではなくホームゲートウェイ又はＣＰＥ３８０のＩＰアドレス）が次に読み取られる（ステップ３５２）。加入者のゲートウェイＩＰアドレスは、加入者の物理通信回線又は物理接続ＩＤを取得するために使用される（ステップ３５４）。このＩＤは、ゲートウェイＩＰアドレスに対する物理通信回線識別子を格納しているネットワークデータエントリから取得される。これは多種多様な方法で取得可能であり、たとえば、ＤＨＣＰリースファイルがこのマッピングを取得するために読み取られる。ネットワーク機器がＤＳＬＡＭからＤＳＬ ＤＳＬＡＭポートＩＤを読み取ることによりこの情報について問い合わせされることもある。その他の方法がネットワークに依存して使用され得る。加入者ゲートウェイＩＰアドレスは、多くのシステムが一時的なリースを用いてＤＨＣＰ ＩＰアドレス管理を適用する方法のため、一時的な関連性である。したがって、加入者は、ＩＰアドレスではなく、物理通信回線に接続されているときに識別される。物理通信回線識別子は加入者毎に一意であり、一例は、ＤＳＬＡＭ＿ＩＰ＿ＡＤＤＲＥＳＳがネットワーク内の多数のＤＳＬＡＭのうちの１つのＩＰアドレスであり、ポート番号フィールドが銅配線を加入者の場所に接続するＤＳＬＡＭ上の物理ポートであるＤＳＬＡＭ＿ＩＰ＿ＡＤＤＲＥＳＳポート番号である。
【００４６】
接続中クライアントは、その後に、加入者の現在のＤＳＬＡＭ＿ＩＰ＿ＡＤＤＲＥＳＳポート番号又は物理接続ＩＤを、ユーザが最初にサービスに登録したときに取得された物理接続ＩＤと比較することにより認証される（ステップ３５６）。ソフトウェアは、加入者の物理接続を監視し、ネットワークと加入者との間の様々な物理接続上で同時にアクティブ状態である複数の加入者をチェックする。加入者の顧客宅内機器はホームゲートウェイ又はファイアウォールに隠れている可能性があり、加入者のクライアントＩＰアドレスは、ホーム又は宅内で局所的なＩＰアドレスであり、認証システムから見えない。この方法は、加入者を、クライアントＩＰアドレスではなく、ビルディングへの物理接続３０５に関連付け、認証のより優れた基礎を提供する。ソフトウェアは、加入者の新しい物理接続ＩＤ又は現在の物理接続ＩＤと登録済み物理接続ＩＤとが合致しているかどうかを決定する（ステップ３５８）。合致しているならば、接続は信頼でき、トランザクションは継続可能である（ステップ３６２）。物理接続ＩＤが登録情報と合致しないならば、変更が通知され（ステップ３６０）、トランザクションは、変更が有効な理由のためであるか、又は、ネットワーク上のクローンであると疑われるかどうかに応じて、続行するか、又は、続行しない。
【００４７】
ステップ３６０において、処理ソフトウェアは、加入者によって使用されている機器が、サービスに登録したときとは異なるＤＳＬＡＭポート上に現在存在していることを報告可能である。加入者装置の物理接続は、技術者が加入者をＤＳＬＡＭ上の異なるポートへ移動させること、又は、技術者が現場でＳＴＢを移動し、加入者の情報を更新しないこと、又は、加入者がＳＴＢを移動させたときをはじめとして、多種多様の有効な理由のため変更されているかもしれない。これらの条件はネットワーク上に存在しているクローンを構成しないが、プロセスはこれらのタイプのイベントを通知可能である。
【００４８】
ＭＡＣアドレスによって一意に識別される正規のＳＴＢは、あらゆる所与の時点において、単一のＤＳＬＡＭ物理ポートアドレス上にのみ存在し得る。一実施形態では、認証システム及び方法は、図１から４に関連してより詳細に後述されるように、リレーエージェント情報拡張オプションを用いて設定されたＤＨＣＰサービスを使用して、２つ以上の物理回線に接続されているＳＴＢのＤＨＣＰリース記録を探索することにより、クローン化されたＳＴＢを検出する。図４は、図１のシステムにおいて使用される、図２及び３に示されているようなリアルタイム登録認証、及び、潜在的なクローンの存在のスイープレポートのための、論理プロセス及びデータ記憶装置を示している。認証プロセスを実行する認証サーバは、別個のセキュリティサーバ又は認証サーバ３１０に存在するか、又は、ネットワークエッジサイト３０３に接続されているか、若しくは、他の実施形態ではマーチャントアプリケーションサイト３８８に接続されているネットワーク運用センターに設けられていることがある。
【００４９】
図４に示されているように、ＤＨＣＰサーバ及びリレーエージェント３６３はＤＨＣＰリースファイル記憶モジュール３６４に接続されている。ＤＨＣＰテーブルビルダー３６５はＤＨＣＰリースファイル記憶モジュール３６４及びＤＨＣＰディレクトリ３６６に接続されている。テーブルビルダー３６５によって作成されたテーブルはＤＨＣＰリーステーブルモジュール３６７に記憶されている。全てのＳＴＢ関連データ、すなわち、顧客登録情報及び関連した物理接続ＩＤは、特有の回路情報と共に、回路管理（ＣＭ）レジストリ３６８に記憶されている。鍵要求又はサービス要求がＳＴＢから受信されたとき（３６９）、システムは、ＤＨＣＰリーステーブルに記憶されている情報を回路管理（ＣＭ）レジストリ３６８に記憶されている情報と比較することにより、要求の発信元であるリースされた回路が登録済み回路であるかどうかを決定する（３７４）。回路が合致しない場合、認証例外が生成され、スイープレポート（３７６）における後処理のため認証例外モジュール３７５に記憶される。合致がステップ３７４で見られないとき、ＳＴＢは、サービスを拒否されるか、又は、後の審査のためサイレント通知される。回路識別情報の変化に有効な理由が存在するならば、ＣＭレジストリは、この特有のクライアントの登録済み回路がリース済み回路に対応することを指示するように更新されるであろう。
【００５０】
図１から４に示されているような認証システムの一実施例が今度は詳述されている。ユーザ又はクライアントを認証するために、ＭＡＣアドレス及びＤＳＬポート番号（オプション８２）が所与のＩＰアドレスに対しＤＨＣＰサーバ又はリレーサーバから取得される。図４に示されている実施形態では、ＤＨＣＰ状態はＤＨＣＰリースファイルからアクセスされる。代替的な実施形態では、等価的な状態情報がトータルマネージ（ＴＭ）を使用して取得される。Ｍｙｖｏ／ＳｉｅｍｅｎｓからのＭｉｄｄｌｅｗａｖｅは、クライアントの資格及びその他の情報を取得する。代替的に、ＤＨＣＰ状態ログが認証サーバへ出力され、又は、認証サーバからのＤＨＣＰ要求トラフィックが探り出される。
【００５１】
ＤＨＣＰアクティビティは、／ｅｔｃ／ｄｃｈｐｄ．ｌｅａｓｅｓ又はＤＨＣＰリースファイル３６５に保持され、ネットワークエッジＤＨＣＰリレーエージェント３６３から取得された以下のオプショナルフィールドを含む。
【表１】

【００５２】
リモートＩＤは大域的に一意であると仮定されているが、回路ＩＤはＤＳＬＡＭに対してのみ一意であり、認証サーバの一意性を保証するためにサブネットアドレスを用いて修正され得る。ＳＴＢがクローン化されているが、偶然に２つの異なるサブネット上で同じ回路を占領するような悪化した事例を考える。このクローンを検出するために、サブネットと回路の両方が一意性をテストされる。ＤＨＣＰプロトコルリレーエージェントは、リレーエージェントのＩＰアドレスであるｇｉａｄｄｒフィールド内で参照される。リースファイル内の回路ＩＤオプションは、ｇｉａｄｄｒと回路の連結である。「ｇｉａｄｄｒ」フィールドは、ＤＨＣＰサーバと（ＤＳＬＡＭ、ゲートウェイなどのような）回路との間のリレーエージェントのためのゲートウェイＩＰアドレス、すなわち、ＩＰアドレスを参照するために使用される用語である。リースファイルは、フラット形の情報交換用米国標準コード（ＡＳＣＩＩ）テキストファイルとして維持されてもよく、コンテンツ及びレイアウトが変化してもよい。リースファイルプラグインは本来のファイルアクセスを抽象化するために使用される。
【００５３】
大規模設備の場合、全リースファイルが同じフォーマットを有するかどうかを決定することが残されている。概念的には、異種システムは、様々なＤＨＣＰサーバと、リースファイルフォーマットと、その結果として、様々なリースファイルプラグインを有する可能性がある。今日のＤＨＣＰサーバからのＤＨＣＰリース情報は、発行されたＩＰリース及び回路オプションを明らかにする以下の実施例に類似しているように見える。
ｌｅａｓｅ １７２．２２．２２．２５４ ｛
ｓｔａｒｔｓ １ ２００６／０２／０６ １５：４６：２７；
ｅｎｄｓ １ ２００６／０２／０６ １６：４６：２７；
ｔｓｔｐ １ ２００６／０２／０６ １６：４６：２７；
ｂｉｎｄｉｎｇ ｓｔａｔｅ ｆｒｅｅ；
ｈａｒｄｗａｒｅ ｅｔｈｅｒｎｅｔ ００：０３：ｅ６：００：３ｃ：８４；
ｏｐｔｉｏｎ ａｇｅｎｔ．ｃｉｒｃｕｉｔ−ｉｄ “１０．１６０．２２０．２３２：１−３−２６−０−ａｄｓｌ−０−３６”；
｝
【００５４】
本実施例では、ｇｉａｄｄｒフィールドは１０．１６０．２２０．２３２である。直接的に接続されたＳＴＢの場合、ＤＨＣＰリースファイルエントリは、ＳＴＢのＩＰアドレス及びＭＡＣを有する。アクセスポイント（ＡＰ）の事例では、ＤＨＣＰリースファイルは、（複数の）ＳＴＢの何れかではなく、ＡＰのＩＰアドレス及びＭＡＣを有する。本明細書では、「アクセスポイント」という用語は、有線ＬＡＮのユーザのための通信ハブとしての機能を果たすハードウェア装置又はコンピュータソフトウェアを指し示している。しかし、回路情報は、ＣＰＥドメインの全機器、すなわち、ＡＰ及び（複数の）ＳＴＢの両方に共通である。
【００５５】
回路ＩＤの登録時決定を容易化するために、ＤＨＣＰリーステーブル３６７が作成される。リーステーブルは、アドレスをＩＰリースと関連付けられた接続３０５のための回路ＩＤと関連付けるために、全リースフラットファイル情報及びＩＰアドレス上の鍵をインポートする。このリーステーブルは、登録中にフラットファイル処理より改良された性能レベルを提供する。一実施例では、テーブルは以下の事項を含む。
【表２】

【００５６】
バッチプロセスは、ＤＨＣＰリースファイル３６４を解析し、データをＤＨＣＰリーステーブル３６７へインポートするために実行される。ビルダーはバックグラウンドプロセスとして動くことがある。リーステーブルビルダーは、登録サーバを含む高優先順位のシステムタスクに取って代わられる。テーブルビルダーはＤＨＣＰリースファイルの場所を見つけるためにＤＨＣＰディレクトリを使用可能である。ディレクトリは、リースファイルが処理されている全ＤＨＣＰサーバのマスターリストを備える。ディレクトリは、手動で集められ、オペレータＵＩによって管理され、最終的にＤＨＣＰ発見によって自動的に生成されることがある。
【００５７】
認証システムはＳＴＢを直接的に登録してもよいし、又は、ＳＴＢのアクセスポイント（ＡＰ）を登録してもよい。直接的に接続されたＳＴＢ３７０の場合、ＳＴＢは、ステップ３６９において自分のＩＰアドレス及びＭＡＣ又はＳＴＢ ＩＤと共に鍵要求を発行する。登録又は認証サーバ（セキュリティサーバ３１０又はマーチャントアプリケーションサイトに設けられたサーバの何れか）は、登録時のリースＩＰアドレスを使用して、ＳＴＢ ＭＡＣを回路に関連付けることが可能である。
【００５８】
ＡＰ登録の場合、ＳＴＢが登録するとき、ＳＴＢは、自分のＳＴＢ ＩＤ（ＭＡＣ）を収容している鍵要求３６９を発行する。要求ＩＰは、鍵要求がＳＴＢ ＭＡＣとアクセスポイントＩＰアドレスとを収容するように、アクセスポイント又はＣＰＥ３８０によってＮＡＴ変換される。認証又は登録サーバは、登録時のリースＩＰアドレスを使用してＳＴＢ ＭＡＣを回路に関連付ける。
【００５９】
複数のＳＴＢ又はユーザ装置の場合、登録プロセスは、この事例では複数のＳＴＢによって発行された一意のＭＡＣを使用して、同様に取り扱われる。各事例において、登録サーバは、一意のＭＡＣと、回路ＩＤを取り出すために使用されるアクセスポイント、すなわち、ＡＰ ＩＰと共に鍵要求を受信する。
【００６０】
ＩＰは常にＣＰＥ回路に帰着するので、プロセスは直接的なＳＴＢとＡＰ登録の両方に類似している。登録は回路ベースの認証を実行する際に重要な役割を果たす。ＳＴＢ ＭＡＣは初期の鍵要求時だけに分かっているので、認証を推進するのは登録イベントである。回路ベースの認証は、クローン化されたＳＴＢを検出するためにビジネスロジックを利用する。このようなＳＴＢは何れもが鍵をアクティブに拒否されるか、又は、後の審査のためサイレントに記録される。
【００６１】
回路認証の拒否又は疑義の結果は、スイープリポート３７６における後の処理のため認証例外テーブル３７５に挿入される。権限のない要求は拒否されてもよく、その後に、例外テーブル３７５に記録されてもよい。その他のタイプの例外もまたこのテーブルに記憶される可能性がある。一実施形態では、認証例外テーブル３７５に記憶されている記録には以下の事項が含まれている。
【表３】

【００６２】
同じＣＰＥ内のクローン化されたＳＴＢは同じ回路を共有しているので容易に検出できない。ＳＴＢがパワーサイクルされ、部屋と部屋の間を移動させられる正当な使用の事例もまたこの条件を引き起こす。この制限を拡張するため、共通ＡＰを共有する複合住居は複数のＳＴＢを扱うこともできる。対抗手段として、同一回路上の単位時間当たりの登録件数の実際的な上限又はその他の防衛策が登録サーバによって採用されている。
【００６３】
顧客データベース又はレジストリ３６８は、オープンデータベースコネクティビティ（ＯＤＢＣ）ドライバを用いてアクセスされてもよい。設備は登録検証フィールドを挿入するために顧客データベースを修正可能である。データフィールドは、ユニバーサル変換フォーマット（ＵＴＦ）−８又はＵＮＩＣＯＤＥである（ＵＮＩＣＯＤＥは文字を整数として表現するＡＳＣＩＩに類似した規格である）。以下のフィールドが認証目的のためＣＭレジストリ３６８に含まれることがある。
【表４】

【００６４】
これらのフィールドを使用して、ネットワーク運営者は、回線、現場、サブネットなどによるトレンドへの特別の調査リポートを構築することが可能である。
【００６５】
ＤＨＣＰ ＩＰリースは、リースファイルがリーステーブルビルダーによって取得された時点と、リースファイルが登録サーバによって利用された時点との間に満了することがある。登録又は認証サーバは、ＤＨＣＰリース満了及び日時をその他の関連フィールドと共に認証例外テーブル３７５へ書き込むことにより、境界事例フィルタリングをスイープリポート規則に延ばすことが可能である。スイープリポートロジックは、これらの境界事例を考慮するためにこれらのフィールドをテスト可能である。許可された鍵は満了時期と共にリースされる。
【００６６】
認証システムは、コンテンツ・オーソリティ・サービス（ＣＡＳ）との一般的な互換性に合わせて設計され、リモートプロシージャコール（ＲＰＣ）変換にＳＯＡＰ／拡張マークアップ言語（ＸＭＬ）を提供するために、シンプル・オブジェクト・アクセス・プロトコル（ＳＯＡＰ）エージェントと一体化されていてもよい。認証システムは攻撃の脅威から隔離された非武装ゾーン（ＤＭＺ）内で動くこともある。ＤＭＺは、企業プライベートローカルエリアネットワーク（ＬＡＮ）のような信頼できる内部ネットワークと、公衆インターネットのような信頼できない外部ネットワークとの間に置かれているコンピュータ又は小型サブネットワークである。一般に、ＤＨＣＰサーバとリレーエージェントは信頼できる関係を有し、一方、ＤＨＣＰクライアント（ＳＴＢを含むＣＰＥ機器）は信頼できないと考えられる。一実施形態では、認証システムはライセンス鍵による許可されていない使用から保護されている。アドミニストレーションレベル機能はシフトスーパーバイザログインに制限されている。
【００６７】
認証システムのためのユーザインターフェイスは、Ｊａｖａ又は類似したインターネットプログラミング言語で実施されてもよく、以下の機能を含んでもよい。
【表５】

【００６８】
認証システムのインストールは、回路ベースの認証を実施する更新済み登録権限サーバを、関連付けられたソフトウェアと共に含む。データベーススキーム及び新しいテーブルはインストールの一部として更新／作成される。Ｗｉｎｄｏｗｓオペレーティングシステムでは、Ｉｎｓｔａｌｌｓｈｉｅｌｄ ＥＸＥは新しいＷｉｎｄｏｗｓサービスを作成する。Ｓｏｌａｒｉｓ／Ｌｉｎｕｘシステムでは、解決策は、テープアーカイブ（ＴＡＲ）、レッドハットパッケージマネージャ（ＲＰＭ）などとしてインストール可能でなければならない。認証サービスが別個に使用許諾されたオプションであるならば、認証サービスのインストール及びアンインストールを管理するために一意のＬＩＣＥＮＳＥ＿ＫＥＹを用いて追加されてもよい。アンインストールは、ＣＭデータベースを認証前状態へ復元するためある事例で許可され、認証サービスに関連したテーブル及びフィールドを削除する。
【００６９】
提案された解決策は、リアルタイム登録への影響を最小化するか、又は、減らし、ＤＨＣＰリーステーブルビルダー及びスイープ報告へのオフライン処理を延ばす。スイープリポート実行時は、認証例外レコードの数の関数であり、インタラクティブに（臨機応変に）、又は、できる限り毎日の報告サイクルに基づいて行われる。ＤＨＣＰリーステーブル３６７は、サービスを受けているインタラクティブネットワーク全体のため発行された全てのＣＰＥ ＩＰリースを含むことがある。最悪の状況の大規模設備は、１００万台のＣＰＥがサービスを受けることがある。各ＣＰＥがリースされたＩＰを有すると仮定すると、リーステーブルは１００万レコードのオーダーである。認証システムの主なサービスに影響を与えるか、又は、運営上の影響は、登録又は認証段階にある。ＤＨＣＰリーステーブルがオフラインである場合には、ＩＰアドレス参照は失敗するか、又は、認証例外更新が失敗し、システムは回復し、現在の機能に戻る必要がある。認証システムは別々に使用許諾されることがあるので、認証を認識していないビジネスロジック及び認証を認識しているビジネスロジックの両方に下位互換性があってもよい。
【００７０】
ＤＨＣＰリーステーブルビルダー３６５は、１以上の記憶モジュール３６４内の本物のリースファイルをそのままの状態に残したままでＤＨＣＰリースファイルのコピーを処理可能である。構築プロセスはサービスに影響を与えない。リーステーブル３６７は繰り返しサイクルでスクラッチから再構築されるので、自己回復作用がある。
【００７１】
認証例外テーブルを使用するスイープ報告は、オフラインでもよく、サービスに影響を与えない。例外テーブル又は報告の誤りは予定されたデータベース保守によって回復可能である。認証例外テーブルの定期的な予定された保守は旧い記録を無効にすることができる。
【００７２】
ＤＨＣＰリースファイルは、処理のため中央ネットワークファイルシステム（ＮＦＳ）のエクスポートされたディレクトリに集めることができる。全ＤＨＣＰサーバのリースファイルの全体集合は、クローン化されたＳＴＢをチェックするため走査されてもよい。ＤＨＣＰリースファイルは、ＤＨＣＰサーバによって定期的に中央収集ポイントへ押し出されてもよいし、又は、様々な手段（ＦＴＰ、ネットワークファイルシステム（ＮＦＳ）など）を用いてテーブルビルダーによって引き寄せられてもよい。
【００７３】
ＤＨＣＰは、（ＭＩＢ（管理情報ブロック）を含む）統計的リポート及びログにおける現在のリースのエージェント回路ＩＤ値を報告する。回路ＩＤは特定のリレーエージェントだけに局所的であるため、回路ＩＤはリレーエージェントを識別するｇｉａｄｄｒ値を用いて資格が与えられてもよい。回路情報が現時点でリースファイルに書き込まれていない場合には、ＤＨＣＰサーバ及び／又はリレーエージェントは機能強化されなければならない可能性がある。リモートＩＤはＤＳＬモデムＩＤであるかもしれない。
【００７４】
上述のシステムにおいて、コンピュータデータ構造又はデータベースレコードに実施されるときにビルディングと関連付けられている物理ネットワーク接続ＩＤの識別情報はビルディング内の１台以上のネットワーク装置を認証するために使用されるので、セキュアネットワーク通信がビルディング所有者又は占有者と直接的に関連付けられている。これは、加入者がサービスに申し込む時点に加入者をビルディングへの物理接続ＩＤと関連付け、その後に、加入者による後続のサービス要求が同じ物理接続ＩＤから来ることをチェックすることによって行われる。ビルディングは移動し得ないので、これはユーザの認証に依存する基礎を与える。
【００７５】
図５は、認証のため物理コンポーネント又はビルディングへの接続に同様に依存するが、しかし、接続を識別するために、別のセキュリティレイヤをシステムに追加するデジタル証明書を使用する発明の別の実施形態による認証システムを示している。認証システムは、既存の物理的にセキュアな双方向ネットワーク、たとえば、特定の家又はビルディングへの専用回線を有する電話会社のような公益事業ネットワーク上に「ピギーバック」される。しかし、別個の独立型認証システムが代替的な実施形態では設けられていてもよい。図５において、認証システムは、電話会社の既存のデジタル加入者線（ＤＳＬ）サービスにピギーバックされるか、又は、付加される。本システムは、代替的には、ケーブルサービスプロバイダ、電力会社、ＦＴＴＨなどのような、ビルディングへのブロードバンド配線接続を提供する他のサービスと共に使用されてもよい。
【００７６】
図５のシステムは、認証サービスを実行するために信頼され得る認定された認証センター２０にリンクされている公益事業者サーバ又はデータセンター１０によって管理されている。本実施形態では、認証センター又はサーバは、Ｖｅｒｉｓｉｇｎ、Ｔｈａｗｔ又はＢａｌｔｉｍｏｒｅのようなよく知られている証明機関でもよい。その他のエンティティもまた信頼できることが同様に証明され得る限り参加可能である。代替的な実施形態では、公益事業者データセンター１０及び認証センター２０は、単一エンティティとして組み合わされてもよく、ユーティリティサーバが信頼できる認証サービスを実行する。しかし、公益事業者は、認証機能を実行するため有効であることが一般には知られていないので、図示されている実施形態のシステムは別個の認証サービスを使用する。
【００７７】
公益事業者サーバ又はデータセンター１０は様々な公益事業会社エッジサイト又はサービスボックス３０に接続され、エッジサイト又はサービスボックス３０が次にはサービスに加入している各家又はビルディング４０内のゲートウェイモジュール３６に専用物理通信回線３５によって接続されている。本事例では、通信回線３５は、１つずつが特定のビルディングに接続されている本質的にセキュアなコンポーネントである。ホームゲートウェイモジュール３６は次には有線又は無線通信リンク３８によって、セットトップボックス若しくはテレビジョン４５、パーソナルコンピュータ若しくはラップトップコンピュータ５０、及び、様々なタイプのキャリアベースの無線装置５５のようなビルディング内の様々なユーザ装置にリンクされている。各通信リンク３８は唯一のビルディング又は物理的位置に接続されている。
【００７８】
キャリアベース無線装置という用語は、無線ネットワークに繋がるクライアント装置又はその他の装置を表している。無線ネットワークは、米国電気電子学会（ＩＥＥＥ）８０２．１１、又は、携帯電話会社若しくはその他の無線通信事業者若しくは無線通信機器のようなサービスプロバイダによって提供されるサービスといった、だれもが接続可能なオープンネットワークでもよい。キャリアベースの無線装置の実施例は、携帯電話機、無線モデム、無線ＰＤＡ、及び、その他の無線装置である。音声及び映像再生アプリケーションと、ウェブブラウザアプリケーションとは、キャリアベースの無線装置上で動く典型的なアプリケーションの例である。キャリアベースの無線装置上で動くその他のアプリケーションがさらに想定され、本明細書に記載されている認証方法による恩恵を受けるかもしれない。
【００７９】
本実施形態におけるゲートウェイモジュール３６は、前述の実施形態における顧客宅内機器（ＣＰＥ）３８０と等価であり、Ｔｅｌｃｏ信号を終端処理するか、又は、ネットワークに接続するどんな装置でもよい。ホームゲートウェイモジュールの実施例には、ＤＳＬモデム、ケーブルモデム、ファイバモデム、無線モデム、Ｔ１装置のような専用電話接続、及び、通信回線をネットワークに接続するその他の装置が含まれている。ホームゲートウェイモジュール３６は、複数の通信、モデム型機能を含む可能性があり、ＮＡＴと、ホーム内ＤＨＣＰサーバと、ファイアウォールと、ＶＰＮ、無線アクセスポイントなどのようなその他のネットワーク機能を含むことがある。ホームゲートウェイ、或いは、ＣＰＥという用語は、上記の項目の総称であり、上述のネットワーク機能に加えて、ＤＳＬモデム識別子、データ・オーバー・ケーブル・サービス・インターフェイス仕様（ＤＯＣＳＩＳ）識別子、ベーシック・ライン・プライバシー・インターフェイス（ＢＰＩ＋）、又は、その他の識別子のような一意の識別子を含む可能性がある。
【００８０】
図示された実施形態では、ビルディング内のユーザ装置は、公益事業者サーバを介してコンテンツプロバイダにリンクされ、インターネット６５又はプライベートネットワーク（図示せず）を介して他のユーザ６０にリンクされている。しかし、公益事業者サーバ経由での外界への接続は不可欠でなく、図５の認証システムは、代替的に、ユーザビルディングを認証するためだけに使用されることがある。ビルディング又は物理構造物４０は、データを送受信するため種々のその他のサイトへのその他のブロードバンド有線及び無線接続を有する。
【００８１】
公益事業者エッジサイトモジュール３０は、ホーム及びビルディングをネットワークバックボーンに接続する役目を担う別々のコミュニティ内での物理構造物である。図５の典型的な実施形態では、各エッジサイトモジュール３０は、近傍にある各ビルディングに接続されているセキュアコンポーネント又は回線３５と関連付けられているセキュアコントロールユニットを備える。エッジサイトモジュール３０は、エッジサイトモジュール自体が住居侵入及びシステムにハッカー行為をされることによって危険に晒され得ないことを確実にするために、十分な物理的セキュリティ手段及びメカニズムを有する。エッジサイトモジュールがＤＳＬエッジサイトであるとき、エッジサイトモジュールは、以下で詳述されるように、エッジサイトモジュールが関連付けられた専用回線３５を介して接続されている各ビルディングとの間で通信を方向付けるデジタル加入者線アクセスマルチプレクサ（ＤＳＬＡＭ）を収容し、認証システムの一部を形成する制御モジュールを収容することがある。
【００８２】
エッジサイトモジュール３０は以下に記載されているように２レベルのセキュリティを有する。
１．エッジサイト自体が物理的に保護され、アクセスは、出入りをデータセンター１０と、できる限り認証サーバにも知らせなければならない許可された人だけに、制限されている。
２．ＤＳＬＡＭサーバ（及び、ＤＳＬＡＭをサポートするため使用されるサーバ）は同様に物理的に保護されている。ＤＳＬＡＭは、固有の独立したセキュリティ手段と、エッジサイトの物理構造物の中に人を入れないために使用されるセキュリティ手段及び装置とは別個の装置とを有してもよい。
【００８３】
図１から４の実施形態では、ユーザ証明又はユーザ認証は、登録済みユーザと、ホーム又はビルディングをネットワークエッジサイトに接続する物理回線との間に関連性を確立することに依拠している。関連性は、登録時と、登録済み加入者が後でサービスを使用する時の両方の時点で、加入者物理ネットワーク接続ＩＤを決定することによって作成される。図５の実施形態では、ＤＨＣＰリーステーブルのような様々なソースを使用してビルディングへの一意の通信回線３５の接続ＩＤ又は回路ＩＤを識別するのではなく、付加的なセキュリティ資格情報がビルディング又はビルディングへの物理接続と関連付けられている。セキュリティ資格情報はデジタル証明書でもよい。一実施形態では、各エッジサイトモジュール３０は、エッジサイトモジュール７０を物理構造物４０にリンクする１つ以上の通信回線３５を介して、エッジサイトモジュールによるサービスを受けるコミュニティ内の別個の物理構造物４０の１つずつに発行される個別のデジタル証明書７０を格納している。デジタル証明書はデータ記憶領域に記憶されている。エッジサイトモジュールは、認証目的のため使用される暗号ルーチンを格納している長期メモリをさらに有することができる。必要な認証ステップを実行するようにプログラムされている付加的なプロセッサがエッジサイトモジュールに追加されてもよく、又は、これらの機能は、適当であれば、既存のエッジサイトプロセッサによって実行されてもよい。
【００８４】
本実施形態の認証システムは、不変ソフトウェアオブジェクトであるデジタル証明書７０の発行及び取消を行うために、公開鍵インフラストラクチャ（ＰＫＩ）を使用する。これらのデジタル証明書は２個の一意の鍵を運ぶ封筒である。これらの２個は互いに異なる。一方の鍵は他方の鍵の暗号対である。一方の鍵がデータのパケットを暗号化するために使用されるならば、パケットを正しく復号化できる世界で唯一のもう一方の鍵はデジタル証明書内に保持されているもう一方の鍵である。一方の鍵は典型的に公開鍵と呼ばれ、もう一方の鍵は典型的に秘密鍵と呼ばれる。秘密鍵は不変オブジェクトに常に安全に添付されている。公開鍵はユーザ及びネットワークパートナー候補との間で共有される。
【００８５】
本事例では不変オブジェクトであるデジタル証明書７０が証明機関又は認証サーバ２０によって特定のビルディング（又は、セキュアコンポーネント、すなわち、ビルディングに取り付けられている回線３５）に対し一旦発行されると、以下のステップがビルディング内のネットワークユーザを認証するために使用されてもよい。
−ユーザは、秘密鍵を使用してデータパケットを暗号化し、暗号化されたデータパケット及び暗号化されていない（平文）データパケットを別のネットワークユーザへ送信し、
−受信者は、両方のデータパケットを受信し、事前に暗号化されたデータパケットを復号化するために証明機関２０からのユーザビルディングと関連付けられた対の相手方である公開鍵を使用し、
−受信者は、復号化されたデータパケットを平文データパケットと照合する演算を実行し、
−照合演算が成功であるならば、リモートネットワークユーザは認証されている。
【００８６】
本実施形態では、認証手続きで使用されたデジタル証明書を、動かせない特定のビルディング、又は、特定のビルディングに取り付けられた、検証可能なセキュアコンポーネントに結び付けることにより、非常に高いレベルのセキュリティが提供される。これは、証明書が、たとえば、コンピュータのようなハードウェア装置に取り付けるため証明機関によってユーザへ送られたユニバーサルシリアルバス（ＵＳＢ）ドングルなどを介して、移動可能な物理コンポーネントに結び付けられていた、このようなデジタル証明書のこれまでの用法とは異なる。デジタル証明書の物理接続３５又は３０５（図１）との関連性は、物理接続識別子が登録済みユーザの認証のため位置付けられ記憶されている第１の実施形態に関して上述されている技術の代わりに、又は、加えて使用されてもよい。
【００８７】
特定のビルディングに専用であるエッジサイトデジタル証明書は、建物内、たとえば、ホームゲートウェイモジュール３６内に安全に記憶されている対応する鍵と照合される。ホームゲートウェイモジュール３６のような装置が別の物理位置へ動かされ得ないことを保証し、さらにユーザを正しく認証する保護メカニズムが設けられている。既知の暗号化システムは、不変オブジェクトを天文学的に小さい誤り率と関連させる規格及びシステムを作成可能である。換言すると、コンポーネント部品（本事例では、エッジサイトモジュール、回線３５、及び、ホームゲートウェイモジュール）が不変である限り、数学はコンポーネント部品間の関連が実質的に完全であることを保証するために使用され得る。
【００８８】
各デジタル証明書７０は固定物理構造物（又は、まさにその固定物理構造物への別個の接続）と関連付けられているので、本システムは、物理構造物又は、装置の実際のユーザの真正性を識別若しくは保証しない、単なるユーザ装置の認証ではなく、物理的構造物若しくはビルディングの所有者、居住者又は労働者である実際のユーザの信頼できる認証を可能にさせる。各デジタル証明書は、唯一の通信回線、したがって、１つの物理サイトに固有の専用秘密鍵を有する。
【００８９】
エッジサイトモジュール３０と物理構造物４０との間の物理接続回線３５は、ツイストペア（銅）線、ＤＳＬ回線、ファイバ回線、専用及び別個の無線接続、又は、類似した専用機能を実行するその他の専用ポート若しくは接続若しくは専用回線のような物理配線接続でもよい。認証サーバ２０は、コミュニティ全体の物理構造物を認証する目的のため、コミュニティ内の種々のエッジサイトモジュール内でデジタル証明書の発行及び取消を行う。デジタル証明書は、２個の一意の鍵を運ぶＸ．５０９デジタル証明書でもよい。Ｘ．５０９はＩＴＵ−Ｔ（国際電気通信連合−電気通信標準化部門）によって公開されたデジタル証明書の仕様である。
【００９０】
他のホーム及びオフィスビルディングは、それぞれの固有の別個のデジタル証明書が割り当てられる。したがって、コミュニティ全体はこの認証のシステム及び方法にアクセスできる。
【００９１】
通信回線３５がＤＳＬ回線である場合、ＤＳＬ回線は典型的に、ビルディング内のユーザ装置との間でＤＳＬ通信を行うホームゲートウェイモジュール３６に接続され得る。代替的に、ゲートウェイモジュール３６は、ホーム内のユーザ装置に接続されている簡単なルータでもよく、又は、エンドユーザのためのデータのフローを管理する機能強化されたルータでもよい。別の実施形態では、ビルディング内の１台以上のユーザ装置は、通信回線３５に、したがって、デジタル証明書に直接的に接続されていてもよい。
【００９２】
デジタル証明書７０が特定のビルディングのためセットアップされると、デジタル証明書はビルディング内のユーザ装置を認証するためにも使用される。デジタル証明書は本実施形態ではビルディング自体に安全に取り付けられていないが、デジタル証明書は、プロバイダエッジサイトモジュール３０におけるＤＳＬＡＭサーバ又はその他のサーバ内で、その特定のビルディングのための専用アクセス回線に安全に取り付けられている。これが必要なことの全てであり、なぜならば、ＤＳＬＡＭは物理的に安全なエッジサイト内に保持されているからであり、また、サービスは専用アクセス回線によってそのビルディングに提供されていること、及び、ビルディング内のユーザによって収められたサービスの支払の履歴が存在することという両方の理由で、ＤＳＬＡＭは正しいビルディングに専用であることが確認されているからである。既存ネットワークに「ピギーバック」する本システムは、固有のネットワーク、及び、認証サービスに加入している各ビルディングへの双方向ネットワーク接続性を伴う物理的に安全なボックスの取り付けを必要とする認証システムより非常に費用がかからない。
【００９３】
図５の実施形態は、１つずつが、移動、盗難、クローン化などされるかもしれない、移動可能な、又は、相対的に移動可能なユーザ装置ではなく、地上の固定物理位置と関連付けられているＸ．５０９デジタル証明書７０（又は類似した認証証明書）を発行する目的のため公開鍵インフラストラクチャ（ＰＫＩ）又は同等物を使用する仮想プライベートネットワークを提供する。これは、電子商取引、電子メール、及び、その他の電子トランザクションのための安全な双方向認証を可能にさせる。図１から５のシステムは、クライアント認証システムの基盤として、既存のハードウェア、ソフトウェア、及び、電話、電力会社、ケーブルテレビジョン会社などのような公共事業会社のプライベートネットワークを利用する。必要とされている認証システムの全てのハードウェア及びソフトウェアは、必要に応じてネットワーク内の各場所で既存のハードウェア及びソフトウェアに付加される。これは初期セットアップ費用をかなり削減可能である。しかし、システムは、代替的に、固有のプライベートネットワーク、認証サーバ及びデータベースを有するスタンドアロン型の独立した認証システムとしてセットアップされ、ネットワークサービスプロバイダは登録及び加入者認証目的のためシステムを使用してもよい。これは、新しいビルディング開発の事例において特に実現可能だろう。
【００９４】
図５は、証明機関が、ユーザ電子装置が置かれているホーム又はその他の物理構造物４０を認証する１レベルの認証システム及び方法を示している。ユーザ装置は、図６に示されているように２レベルの認証システムにおいて、ビルディングに取り付けられたセキュアコンポーネントに対して認証されることもある。本システムにおいて、証明機関２０は、デジタル証明書が関連付けられるビルディングの物理位置（又は、たとえば、ビルディングに接続されている回線３５、ビルディング内の接続ポート、回線３５に取り付けられているホームゲートウェイモジュール３５などのようなビルディングに取り付けられているセキュアコンポーネントの位置）を認証するデジタル証明書７０を供給する。これは第１レベルの認証である。第２レベルの認証では、ホームゲートウェイモジュール３６が今度はビルディング内の各ユーザ装置を認証する。図６は、類似したシステムが図１から４の実施形態で利用されていてもよいが、図５の実施形態の２レベルの認証システムを、図５に示されているような適当な付加的なハードウェア及びソフトウェアと共に示している。
【００９５】
図５の実施形態では、ホームゲートウェイモジュール３６は、データ記憶モジュールに記憶されている特定のビルディングと関連付けられたエッジサイトデジタル証明書７０に対応する鍵を有していてもよい。図５に示されているように、（電話会社若しくはＴｅｌｃｏのような）公益事業会社、又は、信頼できる証明機関は、代替的に、デジタル証明書７０の対の相手方のデジタル証明書を格納しているハードウェアセキュリティ素子をビルディングユーザに供給することがある。ハードウェアセキュリティ素子は、ＵＳＢドングル９５、又は、セキュリティチップ、信頼できるプラットフォームモジュール（ＴＰＭ）、スマートカードなどのようなその他のハードウェアセキュリティ素子でもよい。ＴＰＭはハードウェアベースのセキュリティをコンピュータ装置に提供するため使用される。典型的に、ＴＰＭは、チップに内蔵された暗号ハードウェア又は別個のハードウェアモジュールを含む。図４の実施形態では、セキュアＵＳＢドングル９５はホームゲートウェイモジュール３６に組み込まれている。
【００９６】
図５の実施形態では、ネットワーク通信を正常に動作させるため、暗号「署名」機能の実行が、認証機能が肯定的な結果を生じるように、ホームゲートウェイモジュール３６と電話会社エッジサイトデジタル証明書７０との間で成功し得る。これは、割り当てられたホームゲートウェイモジュール（又は、その他のタイプのルータ装置）が異なる物理位置で動作しないことを保証できる。暗号署名機能は、適当な暗号化ソフトウェア、たとえば、マサチューセッツ州ベッドフォードのＲＳＡ Ｓｅｃｕｒｉｔｙ社によって供給されるソフトウェアを使用して実行されてもよい。この会社は、ネットワークアクティビティの実行が成功し得る前に、対の相手方であるデジタル証明書が適切に照合されることを保証する方法、技術及びアルゴリズムを有する。ＲＳＡスタイルの認証手続きが、本明細書に記載されている各実施形態で使用されていてもよい。一実施形態では、デジタル証明書認証手続きは、許可された機器がある物理位置から別の物理位置へ動かされていないことを検証するために使用される。
【００９７】
ドングル９５の代わりに、システムは、図５に破線で示されているように、ホームゲートウェイモジュール内のＴＰＭ９６を利用してもよい。スマートカード、セキュアチップテクノロジーなどのような適当なハードウェアセキュリティ素子が、ホームゲートウェイモジュールをデジタル証明書７０と安全に関連付けるために、ドングル９５又はＴＰＭ９６の代わりに使用されることがある。
【００９８】
類似したハードウェア又はソフトウェアセキュリティ装置がビルディングと関連付けられた各ユーザ装置に設けられている。たとえば、セットトップボックス４５は、証明書７０に対する相手方となるデジタル証明書７０を収容するスマートカード９８のようなハードウェアベースのセキュリティ素子を有してもよい。スマートカード９８は、代替的に、ドングル、セキュアチップなどによって置き換えられてもよい。パーソナルコンピュータ５０は、デジタル証明書７０に対する相手方を同様に収容している、図５に示されているドングル１００、又は、スマートカード、ＴＰＭ、セキュアチップなどのようなハードウェアベースのセキュリティ素子を有してもよい。
【００９９】
無線装置５５をサポートするために、ホームゲートウェイモジュール３６は、ビルディング所有者及び／又はビルディング占有者に属している全ての無線装置５５とのセキュア通信を可能にする固有の加入者識別モジュール又はＳＩＭ１１０を有してもよい。ＳＩＭカート又はチップは、顧客口座情報又は信用情報を記憶するセキュアメモリを収容している。各無線装置は、次に、セキュアソケットレイヤ（ＳＳＬ）又は類似したテクノロジーを使用して、セキュアトンネル又はリンク１１４を介して、ホームゲートウェイモジュールだけのＳＩＭカードと通信するように構成されているＳＩＭカード１１２を有することができる。キャリアベースの無線装置内でオプションとして使用される加入者識別モジュールは、装置のサービス識別情報と、オプションとしてサービス請求信用度又はその他の課金情報を記憶する。典型的に、ＳＩＭは加入者を識別するため使用されるセキュア暗号化プロセッサである。セキュアトンネル１１４は、仮想プライベートネットワーク（ＶＰＮ）、ＩＰＳｅｃ、又は、ＳＳＬトンネル若しくはその他の認証された、暗号化された通信リンク、又は、本発明によって説明されているようなプライベート内部通信リンクに基づいている可能性がある。セキュアトンネルは、有線通信路と無線通信路との間に接続されている２つのネットワークエンドポイントの間の仮想トンネルでもよい。
【０１００】
システムの初期セットアップ時、又は、新しいユーザ装置が追加されるときいつでも、各ユーザ装置は、ユーザ装置のセキュリティ素子９８、１００、１１２を、ドングル９５又はＴＭＰ９６、及び、ＳＩＭカード１１０と関連付けられている同じデジタル証明書７０と暗号的に関連付けるため、ホームゲートウェイモジュール３６によって認証される。同様の手段が、各ユーザ装置を、ホームユニット８０に記憶されているデジタル証明書７０と関連付けるために図５の実施形態で使用されてもよい。これは、ビルディングホームユニット又はユーザ装置へのゲートウェイの第２レベルの認証を提供する。
【０１０１】
図５及び６の実施形態では、ビルディング内の機器は、ＤＳＬＡＭエッジサイト３０でビルディングに割り当てられたデジタル証明書を介することによってのみ通信する。したがって、以下の通信路が確立される。
ＤＳＬＡＭエッジサイト１→ＤＳＬＡＭデジタル証明書１→ビルディング１
ＤＳＬＡＭエッジサイト２→ＤＳＬＡＭデジタル証明書２→ビルディング２
ＤＳＬＡＭエッジサイト３→ＤＳＬＡＭデジタル証明書３→ビルディング３
【０１０２】
一実施形態では、ビルディング２はＤＳＬＡＭデジタル証明書１又は３と通信不可能であり、ビルディング３はＤＳＬＡＭデジタル証明書１又は２（又は、デジタル証明書３以外のデジタル証明書）と通信不可能である。したがって、各ビルディング又は物理構造物は自分の固有のデジタル証明書を用いない限り通信できない。
【０１０３】
一実施形態では、図５に示されているように、Ｔｅｌｃｏ又は公益事業者データセンター１０は関連付けられたデジタル証明書７１をさらに有する。デジタル証明書７１は、データセンターが接続されている各エッジサイト３０に対して一意でもよく、又は、単一若しくは複数のＴｅｌｃｏデータセンターと関連付けられることがある。図５に示されている経路のような、各経路内のセキュリティ素子の全ては、認証機能が肯定的な結果を生じ、かつ、正常なネットワーク通信が行われるように、暗号的にアライメントされ同期させられる可能性がある。換言すると、ホストデジタル証明書７１、エッジサイトデジタル証明書７０、ホームゲートウェイドングル９５又はＴＰＭ９６、及び、ＳＴＢスマートカードは、提供されるべき有料テレビジョンサービス又は映画のため暗号同期させられ得る。同様に、ホスト又はサービス運営者デジタル証明書７１、エッジサイトデジタル証明書７０、ホームゲートウェイドングル９５又はＴＰＭ９６、及び、ＰＣドングル１００は、ＰＣとイネーブルにされるべきその他のネットワークサーバ又はユーザ６０との間のセキュア公衆ネットワーク通信のため暗号的にアライメントされ同期させられる。最終的に、ホスト又はサービス運営者デジタル証明書７１、エッジサイトデジタル証明書７０、ホームゲートウェイＳＩＭチップ１１０、及び、無線装置ＳＩＭチップ１１２は、行われるべき無線通信のため暗号的にアライメント同期させられ得る。ハードウェアセキュリティ素子が、改竄されるか、又は、ユーザ装置から取り外され、その後に、別の場所へ持ち込まれるならば、セキュリティ素子は適切なホームゲートウェイセキュリティ素子に接続できなくなるので、暗号アライメントは実行できない。全ネットワークトラフィックは、その他のネットワーク手続きが実行可能である前に、ホームゲートウェイモジュールにおけるデジタル証明書とセキュリティドングル９５又はＴＰＭ９６との間でＲＳＡスタイルの認証手続きが成功することに依存している。
【０１０４】
図７は、図５及び６のシステムを使用する認証方法を説明するフローチャートである。最初のステップ２００において、ユーザ候補又はクライアント候補は、サービスを使用したいという自分の意図を（公益事業会社によって提供されてもよく、又は、独立型認証サービスプロバイダ２０であってもよい）認証サービスに通知する。認証サーバ２０は、次に、電話会社若しくはその他のサービスプロバイダネットワークのような関連付けられたプライベートネットワーク、又は、代替的な実施形態では、専用認証ネットワークを使用して、ユーザ候補が位置しているビルディングに接続しようとする（ステップ２０２）。電話会社ネットワークが認証システムの一部として使用される場合、認証サービス２０は、電話会社運営センター又はデータセンター１０、ユーザ候補が位置しているビルディング４０と関連付けられている電話会社エッジサイト３０、及び、そのエッジサイトをそのビルディングのホームゲートウェイモジュール３６に接続する専用回線３５を介してビルディングに接続しようとする。接続が成功したならば、ビルディングの物理位置が、その住所及び／又は位置センサに関して電話会社によって保存されている記録があるならばこの記録を使用して、検証される（２０４）。一意のデジタル証明書７０は、その後に、既知のＰＫＩ技術を使用して作成され（２０５）、このデジタル証明書７０がリモート認証サービス２０のデータベースに保存されている認証記録内でビルディングと関連付けられる。ステップ２０６において、一意のデジタル証明書７０はエッジサイト３０に供給され、エッジサイト３０の恒久的なメモリ又はビルディングゲートウェイモジュール３６に保存される。これは、図４のシステムにおいて説明されているような第１レベルの認証である。
【０１０５】
第２レベルの認証が次に実行される。一意のデジタル証明書と関連付けられ、証明書の鍵を格納しているハードウェアベースのセキュリティ装置は、ビルディング住所でサービスユーザに提供され、ビルディングゲートウェイモジュール内にユーザによって取り付けられる（ステップ２０８）。このセキュリティ装置は、そのビルディング住所への専用回線又はリンク３５に物理的に接続されているゲートウェイモジュール３６に取り付けられている場合に限り検証されるので、誰かがセキュリティ装置を盗み、他の場所に移そうとしても無駄である。セキュリティ装置はビルディング位置にある各ユーザ装置に取り付けるために提供されることもあり、これらの装置のセキュリティ鍵は、ステップ２１０において、ゲートウェイモジュール３６のセキュリティ装置９５、９６又は１１０と暗号的に関連付けられている。同様に、これらのセキュリティ装置もまた装置がゲートウェイモジュール３６内で適切な装置に局所的に接続されている場合に限り検証されるので、これらのセキュリティ装置は他の状況では使用され得ない。すなわち、デジタル証明書７０を使用する全セキュアネットワーク通信は、識別可能な占有者及び／又は所有者を有する唯一の物理構造物と確実に関連付けられる。信頼の連鎖は、したがって、ネットワークから構造物４０まで存在し、かつ、構造物４０からユーザ装置及び関連したユーザまで存在する。
【０１０６】
高度の粒度が本システムを用いて容易に実現される。ビルディングが多数のテナントを有する場合、各テナントは、地主又はビルディング所有者が「親」ブランチであるツリー構造に基づいて発行された自分固有のデジタル証明書を所有することが可能である。認証モデルはこの場合には：ネットワーク→構造体→地主→テナントである可能性がある。このツリー構造は殆ど無限に拡張され得る。たとえば、人々は自分が関わりを持つ物理アドレスを所有せず、かつ、仮想プライベートネットワークを介して認証サーバに接続する事例では、有料で既存の物理アドレスとの関連付けを許可することが可能である。このようなサービスは、たとえば、Ｖｅｒｉｓｉｇｎのような会社によって現在使用されているようなインタビュープロセスの成功後に、ビルディング外部の加入者を検証するために追加的な対策をとることがある。
【０１０７】
図８は、認証サービスに加入しているユーザが、たとえば、安全な金融取引若しくは購入、安全な電子メール通信などのような商業目的のためのネットワークサーバ６０を有するネットワークパートナー候補とのセキュア通信を実行することを希望するときに実行される認証ステップを説明するフローチャートである。システムは、たとえば、認証システムをオン又はオフに切り替えるために各ネットワークアプリケーションにおける優先設定を調整することによりセキュアネットワークの内部又は外部で動作するオプションをユーザに提供する。認証が必要とされないとき、たとえば、ユーザが単にインターネットにアクセスして色々な情報を閲覧しているならば、ユーザは認証サービスを起動しないことを選ぶことがある。セキュリティ又は認証サービスが起動されているとき、ユーザは、デジタル証明書の公開鍵をネットワークパートナー候補に送信することができる（ステップ２５０）。公開鍵は、プライベートネットワーク、プライベートネットワーク公益事業者サーバ１０、公衆ネットワーク、又は、インターネット６０の何れかを介して選択されたネットワークパートナー６０へ送信され、或いは、（たとえば、図９の代替的な実施形態に示されているように）ビルディング４０から公衆ネットワーク６５への別の接続を介して直接的に送信され得る。ビルディングから出てインターネット及びその他の公衆又はプライベートネットワークへの同様の直接的な有線接続及び無線接続は図１の実施形態において設けられている。
【０１０８】
一実施形態では、認証サービスユーザは、認証サービスにアクセスするためにユーザ名及びパスワードの入力を要求される。これは認証システムに付加的なセキュリティのレベルを与える。本実施形態で提供されるセキュリティの３レベルは、（ｉ）本人の知識（すなわち、ユーザ名及びパスワード）、（ｉｉ）本人の所有物（すなわち、ＵＳＢドングルなどのような１個又は複数のハードウェアセキュリティ素子）、及び、（ｉｉｉ）本人の身元（ビルディング又は物理構造物に取り付けられたデジタル証明書がソースの確実な身元証明を行う）である。図１から４の実施形態では、第３レベルのセキュリティ（本人の身元）は、既存のＩＰアドレスポート番号のようなビルディングへの物理接続を特定することによって提供されている。
【０１０９】
公開鍵を受信した後、ネットワークパートナー候補は次に鍵の正当性を判定するために認証サーバ１０へ問い合わせを行う（ステップ２５２）。認証サーバは、鍵がビルディングの実際の住所又は位置と関連付けられている有効なデジタル証明書７０と適合するかどうかを検証可能であり（ステップ２５４）、たとえば、許可された機器をエッジサイトモジュール及び回線３５を経由するプライベートネットワークを用いて、許可された機器がある物理位置から別の物理位置へ移されていないことを検証するためのステップも行うことがある。検証が成功であるならば、正常なネットワーク通信が許可される（２５６）。検証が不成功であるならば、通信は許可されない（２５５）。
【０１１０】
図９は別のレベルのセキュリティを提供するための図４及び５のシステムの変更を示している。この付加的なセキュリティレベルは図１から４のシステムにおいて提供されることもある。図９の実施形態では、ユーザ装置４５、５０は、ホームゲートウェイモジュールを介して、ビルディング４０とエッジサイト３０との間の専用回線３５に接続され、（図１に示されているように）ホストネットワークにリンクされている別のネットワークにアクセスするためこの回線を使用する。ビルディング４０は他の固定回線ブロードバンド接続２８０を保有し、ユーザ装置は、この接続を介して、コンテンツファイルを取得、送信し、さもなければ、通信することもある。この場合には、固定回線ブロードバンド接続２８０を介して受信される高価値コンテンツはセキュリティのため暗号化されるべきであろう。高価値コンテンツは通常は平文でＳＴＢ又はＰＣ（すなわち、図９のセキュアプライベートネットワークの外側）へ伝達されない。固定回線ブロードバンド接続２８０は、インターネットを含まないケーブルネットワークのような実際のインターネットサービスを提供しないかもしれないシステムのため示されている。しかし、多くのアプリケーションでは、固定回線ブロードバンド接続２８０は通信回線３５だけによって提供されている。
【０１１１】
無線装置５５は、高速無線リンク又はソース２９０を介してコミュニケーションを送受信する。これは、ＩＥＥＥ ８０２．１１、又は、携帯電話会社のようなプロバイダによって提供されるサービス、又は、ネットワーク若しくは通信ポートへの無線接続を提供するその他の無線通信キャリア若しくは無線通信機器のような無線ネットワーク又はサービスを表している。無線装置が、加入者を認証するための固有の方法を保有している携帯電話機サービスプロバイダのような他のキャリアからの無線サービスに加入する場合、本発明の方法は、ネットワーク全体により多くの認証及びセキュリティを提供する。しかし、別個の無線キャリアは本発明のシステム及び方法によって要求されていない。
【０１１２】
図９の変更された実施形態では、セッションベースの透かしソフトウェアモジュール３００が、ビルディング内の１台ずつのセットトップボックス、コンピュータ、及び、無線装置のような各ユーザ機器４５、５０、５５に組み込まれている。
【０１１３】
セッションベースの透かしソフトウェアは、ストリーミングされているか、又は、物理構造物４０へダウンロードされているコンテンツファイルに行われる不法侵入行為、不正利得取得行為、海賊行為を明確に識別するために使用されている。ソフトウェアは別個かつ一意の透かしペイロードをユーザによってダウンロードされるコンテンツに設定する。透かしのペイロードは、コンテンツにアクセスし再生するため使用されたクライアント再生装置（ＳＴＢ、ＰＣ、ＰＤＡ、携帯電話機など）を識別するために使用され得るクライアント固有識別子（又は取引ＩＤなど）である。透かしペイロードは、コンテンツがどこへ配信されたかについてのさらなる証拠を提供するために、一意のデジタル証明書からのユーザの秘密鍵を用いて暗号的に署名されてもよい。これは、ユーザがコンテンツを他者へ無許可で配信するならば、このユーザが特定されることを可能にさせる。
【０１１４】
代替的な実施形態では、セッションベースの透かしソフトウェアは、ホスト又は電話会社データセンター又はサーバ１０に位置しているコンテンツサーバ内に設置されることがある。各ストリーム又はダウンロードは、別個の物理構造物及び別個の装置４５、５０又は５５に専用であるので、ホストデータセンター１０で挿入された一意の透かしペイロードは、物理構造物４０内でのデジタル海賊行為の抑止力として十分であろう。この代替案は、ダウンロードが、ビルディングへの別の接続へ直接的に向けられるのではなく、ホストデータセンターを介してビルディングへ向けられていることを要求する。顧客の秘密鍵を使用する透かしペイロード内の暗号署名は、ユーザ又は顧客がコンテンツ配信を要求し、コンテンツの保護の全責任を負っているというさらなる証拠を提供するために実施され得る。これは、コンテンツが人気のある公開共有サイトへアップロードされないようにする有用な抑止力である。
【０１１５】
全ての透かしがセッションベースで行われることが推奨されている。これは、個別のコンテンツストリーム又はダウンロード毎に一意にマークが付けられることを意味している。上述の第１の代替的な透かし方法では、クライアント又はユーザ装置はそれ自体が一意の透かしをその装置に達するストリーム又はダウンロード毎に挿入可能である。第２の代替案では、コンテンツサーバシステムは、一意の透かしを特定の装置（及びそれ以外の装置はない）を対象とするストリーム又はダウンロード毎に挿入可能である。
【０１１６】
その上、透かし内のペイロードはシステムが利用可能である鍵を使用して暗号的に認証される。一実施形態では、デジタル署名が透かしペイロードに追加され、すなわち、透かしペイロードはクライアントによって使用される秘密鍵を用いて暗号的に「署名」されている。ハッシング及びセッション鍵の使用のようなその他の方法も同様に使用され得る。透かしペイロードを認証するこの余分なステップは、自分の家又はビルディング内からのコンテンツの漏洩の責任を負った人の真正性及び過失性をさらに証明可能である。本願において使用されたときのデジタル署名という用語は、送信当事者又は受信当事者によって使用されるか、又は、受信当事者、証明機関、又は、その他の当事者によって認証され得る一意の暗号署名又は識別子を作成するために伝送路において使用され得るあらゆる技術を含む。メッセージハッシュ又はメッセージダイジェスト上でＰＫＩ暗号化を使用するメッセージダイジェスト５（ＭＤ５）、ＵＳセキュアハッシュアルゴリズム（ＳＨＡ１）、及び、暗号技術に基づくその他のデジタル署名テクノロジーを含む利用可能な多数のデジタル署名の形式が存在する。どのようなタイプのデジタル署名でもデジタル署名のため利用され得るし、現在安全なデジタル署名技術又は将来のデジタル署名技術はどのような形式でも利用され得る。
【０１１７】
最もセキュアな環境であっても、コンテンツがネットワークから抜け出し、コンテンツ所有者の同意無しに公然と利用可能になる可能性が常に存在する。これは起こりそうもないが、海賊行為及び不法侵入行為がある場合に起こるかもしれないことを予想することが重要である。したがって、許可されていないコンテンツ漏洩の責任を負う人を確実に特定するように、コンテンツファイル内に目に見えないマークを設定するためセッションベースの透かしのような電子迷彩技術及び手続きを使用する方が有利である。
【０１１８】
図９のシステムの１つの可能なアプリケーションは、加入者が早期公開又は高精細度（ＨＤ）映画などをダウンロードすることを許可する際に存在する。主要な映画撮影スタジオなどは、デジタル海賊行為の実質的な危険性のために、自分の高価値デジタルコンテンツがインターネットを介して顧客に入手可能にすることを渋っていた。家電製品企業もまた、家電製品の価格を増加させる可能性があるので、価値のあるコンテンツを盗むことをより困難にさせるハードウェア及びソフトウェアテクノロジーを採用することを渋っていた。このことは、実質的にパーソナルコンピュータがＨＤコンテンツのため承認されていないことを意味する。このことの主要な理由は、ＨＤ映画がパーソナルコンピュータからインターネットへ容易にアップロードされ、ネットワーク接続を装備している世界のあらゆる人に提供される可能性があるからである。インターネット上には高度のレベルの匿名性が存在するので、デジタル海賊行為者は罰せられることなくこれらのアップロード操作を実行可能である。セッションベースの透かしソフトウェアが付加されている図９の認証システムは、これらの問題を解決し、かつ、コンテンツが無許可でさらに配信される危険性を殆ど、或いは、全く伴うことなく、許可されたユーザ装置上で見るため価値のあるデジタルコンテンツがインターネット経由で購入され得るようにするための実行可能な方法だろう。本発明のネットワークアーキテクチャは、ネットワークユーザが価値のある製品を消費することを望むときにネットワークユーザを確実に認証する。このネットワークユーザが公に利用可能なネットワーク上にコンテンツファイルを書き込むことを決定する（又は、別の類似した不法行為を始める）ならば、このネットワークユーザは、コンテンツファイルに付加された透かしに基づいて特定され得るので、逮捕される危険がある。これは、ＨＤ映画のような価値あるデジタルコンテンツのデジタル海賊行為又は無許可の配信行為に対する重大な抑止力であると共に、人々がこのようなコンテンツの合法的な販売を利用し、料金を支払うための動機である。
【０１１９】
図１０及び１１は、電力会社ネットワークが上述の実施形態における電話会社又はその他のサービスプロバイダネットワークの代わりに認証システムのための基礎として使用される、認証システム及び方法の代替的な実施形態を示している。クライアント電力消費量を記録する従来の方法は、安全な電気メーターボックスを各家庭又は各ビルディングに取り付け、請求書作成目的のため定期的な間隔でメーターを読み取ることである。しかし、世界中の電力会社は、自社の作業者がメーターを読み取るために各ビルディングを定期的に訪問しなければならない必要性を取り除くためネットワークテクノロジーを使用することを計画する。同じシステムは企業ネットワークを介して定期的なメーターの読みを伝送する計量システムを使用する水道会社又はガス会社と連携するであろう。
【０１２０】
図１０のシステムは、電力会社のような公益事業会社が、各構造物４０に所定の時間間隔でその電気メーターの状態について問合せを行うことを目的とするリーダー／トランスミッタ装置の確立されたネットワークを所有することを仮定している。この場合には、セキュアコンポーネント又はホームユニット８０は、ローカル認証コントロールユニットのコンポーネント又は回路を収容するメーターボックス又は筐体を備える。ホームユニット８０はビルディング又は物理構造物４０の内部又は外部の何れかに安全に取り付けられている。コントロールユニットは、図９により詳しく示され、認証システムのローカル動作並びに公益事業会社のための計量動作を制御するように構成されている。コントロールユニットは仮想プライベートネットワーク（ＶＰＮ）８５を介してホスト又は公益事業者ネットワークサーバ８４と通信する。近くにあるその他の認証コントロールユニットもまた、ネットワーク８５を介してホストネットワークサーバと通信可能である。ホストネットワークサーバ８４は、同様に、認証を実行する信頼できる証明機関又は認証サーバ２０と通信可能であり、また、この機能は代替的な実施形態ではホストサーバ８４自体によって実行されることがある。
【０１２１】
図１１に示されているように、ボックス８０内のセキュアコントロールユニットは、デジタル証明書７０を保持するために十分な長期メモリ又はデータ記憶モジュール８６と、暗号化ルーチンなどを保持する付加的な長期メモリ又はデータ記憶モジュール８８と、データ記憶モジュール８６及び８８にリンクされている中央プロセッサ９０とを備える。両方のデータ記憶機能は、代替的な実施形態では単一のモジュールに収容されていてもよい。メーター読み取りモジュール８７は中央プロセッサ９０にもリンクされている。コントロールユニットは、専用無線又は固定有線リンクを介してネットワーク８５のアクセスポイントと通信するホスト通信モジュール９２と、無線又は固定有線リンクを使用してビルディング内の顧客装置と接続する接続又はローカルユーザ通信モジュール又はルータ９４とをさらに備える。
【０１２２】
ホーム又はビルディングユニットは、設置時にホストネットワークサーバ８４によって特定の一意の物理位置又は住所と関連付けられるが、さらなるセキュリティが、全地球測位システム（ＧＰＳ）センサモジュール又はその他のタイプの位置センサのような位置センサモジュール９５をコントロールユニットに組み込むことによって提供されてもよい。位置センサは、ボックス８０の地理位置を検証するために使用されることがある。ボックスがビルディングから分離されるか、又は、取り外されるならば、地理座標はデジタル証明書と関連付けられているビルディング位置と合致しなくなり、システムの改竄を即時に示す。これは、コントロールユニットが、データ記憶モジュール８６に保存されている確定されたデジタル証明書７０を使用する不正行為のため、その固定したビルディング位置から移され、別の位置へ持ち込まれることは起こり得ないことを保証可能である。この場合には、位置センサ９５からの入力は、セキュア通信又はアクティビティがクライアント又はユーザによって要求されるたびにデジタル証明書７０を認証するために、チェックされ、ボックス８０が取り付けられていると考えられるビルディングの位置と比較される。図１０及び１１の実施形態では、デジタル証明書の対の相手方の鍵はデータ記憶モジュール８８に記憶されていることがある。
【０１２３】
適当なソフトウェアが認証システムのユーザ又はクライアントエンドを動作させるためデータ記憶モジュール８６、８８及び／又はプロセッサモジュール９０に設けられている。ホーム又はビルディングコントロールユニットの物理構造物又はエンクロージャは、容易に動かされることがなく、かつ、識別され得る人又は会社による所有権を明示する識別コード等を付けることができるように設計されている。たとえば、何者かによるボックス８０への侵入又はボックス８０の移動の検出時にデジタル証明書が取り消されるように、その他のセキュリティ手段が採用されることもある。
【０１２４】
上述の実施形態の場合と同様に、ホスト又は公益事業者ネットワークサーバ８４は、認証サービスに加入している全ての物理構造物４０からデータを収集し、デジタル証明書７０を検証された構造物へ供給する信頼できる証明機関又はサービス運営者データベース／認証サーバ２０にリンクされ、この情報がインターネット６５（又はその他の公衆ネットワーク）を介する高速かつ効率的な問い合わせのため容易に入手できるようにする。図１０に示されているように、物理構造物４０内のユーザ装置は、信頼できる証明機関又は認証サーバ２０のように、有線又は無線接続によってインターネット又はその他の公衆ネットワーク６５とリンクされている。上述の実施形態と同様に、信頼できる証明機関サーバ及びデータベースは、公益事業会社自体によって、固有のネットワークサーバ及びデータベース８４の一部として提供されるか、又は、図５に示されているように完全に別個のエンティティでもよい。
【０１２５】
図１０におけるホーム若しくはビルディングユニット、又は、セキュアコンポーネント８０は、ボックス８０内のコントロールユニットに内蔵されていることがあるルータなどによって、ビルディング４０内の種々のユーザ装置に接続されている。このような接続は、（限定されることはないが）イーサネット上のインターネットプロトコル（ＩＰ）でもよい。ソフトウェア及び通信モジュールは、構造物４０と、電力会社のようなホストサーバ８４との間で、構造物と、構造物内の装置４５、５０及び５５、並びに、その他の電子装置のような構造物内の顧客又はユーザ装置との間で、セキュア両方向通信をサポートするように設計されている。図１０の実施形態では、ドングル９５のような付加的なセキュリティ素子が、図９の実施形態と同様に、ホームユニット８０の中と、ホームユニットに接続されているユーザ装置の中とに組み込まれてもよい。
【０１２６】
定期的に、各ビルディングコントロールユニットは、メーターデータを、デジタル証明書７０の状態を確認する情報と共に、ホストサーバ又は運用センター８４へ報告する。デジタル証明書状態情報は、１箇所以上の中間データ収集ポイント又はネットワーク中継局を介して、（ホストサーバと別個であるならば）認証サーバ２０へ伝達される。状態情報を受信し次第、認証サーバは、証明書が真正であり、改竄されていないことを検証するため用いられるデータベースを更新可能であるので、状態情報は、ビルディング４０内の居住者又は労働者のためのネットワークトランザクションを検証するために使用され得る。定期的なデジタル証明書状態更新は、エッジサイトサーバからホストサーバへ送信され、その後に、認証サーバへ送信される。
【０１２７】
電力会社によって展開されているネットワークは、定期的に運用センターだけに報告することがあるので、瞬時ネットワーク要求がデジタル証明書に基づいてセキュアネットワークアクティビティを認証するために行われ得るように、デジタル証明書を認証することによって獲得された情報を使用可能である大規模セキュア大容量サーバが配備されることが重要である。
【０１２８】
認証ネットワークがセットアップされると、認証ネットワークは、有料テレビジョンサービスを使用するセットトップボックス４５の認証、電子メール能力を有するユーザ装置に対するスパム電子メールの不存在の検証、インターネット電子商取引トランザクションの認証、身元盗用の削減、及び、その他のタイプのネットワークベースの不正行為の削減のため使用され得る。
【０１２９】
これまでに、チップレベルでネットワークユーザを認証するために数々の有意義な取り組みが発表された。これらの取り組みは、主として個人プライバシーの保護に関する口やかましい懸念のために実施されなかった。これは、認証装置が人の意思に反してその人に押し付けられ、クライアント装置内に隠されているという事実に起因していた。これに反して、本発明の認証システム及び方法は、クライアント又はユーザによって特に要求されない限り導入されることがなく、クライアントによって自由自在にオン又はオフが簡単に切り替えられる。当然ながら、システムが起動されていないとき、クライアントは、インターネット又はその他の公衆ネットワークを介するセキュアトランザクションのためこのレベルの認証を要求する他のネットワークサービス又はユーザと取引できない。
【０１３０】
さらに、クライアントは、認証を受けるために、図５から１１の実施形態ではクライアントのビルディングに割り当てられたデジタル証明書と関連付けられているかもしれない公開鍵、或いは、図１から４の実施形態では接続回線識別子を、ネットワークパートナー候補へ送信可能であることだけを必要とする。住所、電話番号、又は、ビルディングに関するその他の特有の情報のような個人情報は要求されない。ネットワークパートナー候補から認証サーバへの問い合わせは、信頼のための適切な根拠が存在するならば、肯定の応答を返し、信頼の根拠が存在しないならば、否定の応答を返す。
【０１３１】
認証システムを使用する人が不法行為を行っているならば、適切な機関は、認証サービス本部に記憶されているデータから、ビルディングの実際の住所に関する情報、並びに、ビルディング所有者／ユーザ情報を取得する能力を有し、適切な措置を講じることが可能である。これは、ウェブ上で行われている不法行為を見つけ出し、検証するために現在の技術水準の司法手段を使用することと違いがない。
【０１３２】
本システムを用いると、ホーム又はビルディングは、リモート認証サービス又はデータセンターを用いてそれ自体が本物であることを証明するだけでよい。ホーム内のユーザ装置は、単一のビルディングゲートウェイ、セキュアゲートウェイモジュール、ルータ、モデム、又は、スイッチ（図１から９）のような顧客宅内機器、又は、図１０及び１１の場合のような複合型のメーター及びセキュリティコントロールユニット８０に対して本物であることが証明される。今日の公益事業会社が居住環境内の個々の賃貸人に、又は、オフィス又はビジネス環境内の個々のユーザにサービスを提供するときに同時に、本発明の認証サービスは均一レベルの粒度を提供可能である。ビルディングの所有者は構造物全体の責任を負う必要はないが、個々の賃貸人が各賃貸人に割り当てられたデジタル証明書によってそれぞれのエリアの責任を負うように要求することができる。これは、階層構造を作成し、個々のデジタル証明書及び鍵を各ユーザ又は賃貸人に発行することによって容易に実現され得る。
【０１３３】
図１２は、マーチャントウェブファーム又はサービスプロバイダにリンクされているシステムを表す図９の認証システムのより詳細な説明図であり、図１３は登録済み加入者が図１２に示された経路を介してマーチャントからのサービスを注文するときの認証手続きを示すフローチャートである。本実施形態は、ビルディング４０への固有の有線又は無線接続３５を識別するために実際のデジタル証明書７０を使用するが、セキュリティ証明書は、その代わりに、図１から４に関連して上述されたような方法で、すなわち、コンピュータデータ構造又はデータベースレコードに組み込まれているような物理接続ＩＤを識別し、この物理接続ＩＤを、接続ＩＤを用いて通信する加入者を認証するための「証明書」として使用することにより、確立されてもよい。
【０１３４】
ホーム又はビルディングのデジタル証明書７０は、使用されるとき、単一のデジタル証明書でもよく、又は、物理構造体４０と電話会社又はホストエッジサイト３０との間に分散されてもよく、図６と関連して説明されているように、独立型でもよく、又は、証明書のチェーンを提供するために物理構造体内のネットワーク素子と組み合わされてもよい。デジタル証明書が物理構造物４０とエッジサイト３０との間に分散されているとき、結合が構造物４０とエッジサイト３０との間の物理接続に基づいて、又は、エッジサイト３０と物理構造物４０との間に確立された暗号的に安全な接続を用いて行われ得る。以下の説明の目的のため、「デジタル証明書」という用語は、図１から４と関連して上述されているように、Ｘ．５０９証明書のような実際の組み込まれたデジタル証明書でもよく、又は、ホーム又はビルディングをネットワークエッジサイトに接続する通信回線、若しくは、このような回線を介して通信を受信するポートとの間に定められた関連性でもよい。
【０１３５】
エッジサイト３０と、ビルディングゲートウェイ、ルータ、モデム又はスイッチ３６との間の通信回線３５は、これまでの実施形態と関連して説明されているように有線でも無線でもよい。無線通信が使用されるとき、通信回線３５は、無線接続と、シリアル番号、ＳＩＭカード、スマートカード、クライアント装置内のセキュアメモリ、ネットワークＭＡＣアドレス、又は、サービスプロバイダなどのための無線装置（携帯電話機、無線モデム、又は、その他の無線装置）を規定するために使用されるその他の識別子のようなある種のクライアント装置固有情報との組み合わせを使用して確立され得る。
【０１３６】
図１２は、物理構造物と関連付けられているユーザ装置からマーチャント又はサービスプロバイダまでの通信路を示している。ホストデータ又は運用センター１０とエッジサイト３０は、インターネットのような如何なるタイプの物理ネットワーク又は無線ネットワークでもよいネットワーク４００にリンクされている。マーチャントネットワーク４７０のエッジサイト４５０を含むエッジサイト３０に類似している様々なネットワークエッジサイト４１０は、通常の方法でネットワーク４００にリンクされている。マーチャントネットワーク４７０はマーチャント又はビジネスロケーションのためのコンピュータネットワークである。実施例には、ｗｗｗ．ｅｂａｙ．ｃｏｍの処理を提供するコンピュータ装置の分散型集合として記述可能であるＥＢＡＹ（登録商標）コンピュータネットワークが含まれる。別の実施例は、電磁商取引ビジネスサイト又は教育サイトのための分散コンピュータ処理であろう。マーチャント電子商取引ウェブファーム又はデータセンター４８３は、マーチャントルータ又はネットワークスイッチ４８０を介して、マーチャントネットワーク４７０にリンクされている。マーチャント電子商取引ウェブファームは、電子商取引サイトのような、マーチャントのビジネス又はサービスプロセスを実行するコンピュータのクラスタである。ネットワーク４７０にリンクされているだろう１つの特有のタイプの電子商取引ウェブファームは、映像配信サービスを、ホームゲートウェイモジュール３６を介して、ＳＴＢ、スマートカード、ＰＣ、キャリアベース無線装置などのような加入者装置に提供するコンピュータのクラスタであるビデオオンデマンドサーバファーム４９０である。ビデオオンデマンド（ＶＯＤ）サーバファーム４９０は、その他の形式のコンテンツ及びメディアを配信可能であり、ビデオコンテンツに限定されない。ビデオオンデマンドサーバファームは、あらゆるタイプの電子商取引インターネットサイト、教育インターネットサイト、スポーツインターネットサイト、顧客登録インターネットサイト、又は、その他のインターネットサイトを表している。
【０１３７】
本実施形態では、ユーザ又は加入者とサービスプロバイダとの間の認証された、又は、信頼できる通信路は主要なネットワークコンポーネントに埋め込まれたセキュリティ認定書でもよい。認定書は、装置に物理的に接続されている識別子若しくは証明書でもよく、又は、Ｔｅｌｃｏのような第三者によって提供される関連付けられた認定書でもよい。認定書は、図５から１１の実施形態の場合のようなｘ．５０９デジタル証明書でもよく、図１から４と関連して上述されているような、Ｔｅｌｃｏエッジサイト３０から物理構造物４０への１つの特有の物理接続を識別するセキュリティ認定書でもよい。主要なネットワークコンポーネントの認定書は、ある特定のネットワークエンドポイント（クライアント又はサーバ）、又は、２つのエンドポイント間のメッセージが、既知のネットワークに由来するか、又は、図１から１１と関連して上述されている技術の何れかを使用して物理ネットワーク接続（通信回線３０５又は３５）に基づいて認証されている既知のネットワークロケーションであることを認証するために使用される。信頼できる通信路内の検証済み認定書は、物理構造物４０への単一の通信回線３５の正当性を認める程度でもよく、又は、たとえば、ＰＣ５０からマーチャントネットワーク４７０までの通信路内の複数のエンドポイントの正当性を認める程度でもよい。認定書は、物理構造物４０のセキュリティ認定書を検証するためにＴｅｌｃｏ又はその他のホストデータセンター１０にアクセスすることによって検証可能であり、或いは、検証は、独立した第三者電子商取引認証サイト４２０によって、又は、ビルディングセキュリティ認定書を検証する信頼できる証明機関又は認証サーバ２０によって実行されることがある。
【０１３８】
クライアント装置（ＳＴＢ４５）及びマーチャントネットワーク４７０のようなネットワークポイントを物理的に接続する経路内のネットワークエッジサイト（たとえば、図１２における要素４５０及び３０）の正当性確認といった、信頼できる経路の付加的な要素が認証プロセスに追加されてもよい。信頼できる経路通信は、インターネットサービスプロバイダ（ＩＳＰ）、ネットワークアクセスポイント、ファイババックボーン、高速グローバルインターネット通信回路、大洋横断通信、衛星及びマイクロ波通信回路又は経路などをはじめとして、通信ネットワーク内の多数の主要な要素を含むことがある。
【０１３９】
一実施形態では、２回の通信路認証が２台のネットワーク装置の間に信頼できる経路を確立するために実行されてもよい。本書中で使用されている「信頼できる経路」という用語は、トランザクションに関与している一方又は両方のネットワーク装置が、物理銅線ペアに接続されているような既知の位置にあることを意味する。物理構造物４０の場合には、既知の位置は通信回線３０５又は３５である。マーチャントネットワーク１７０の場合には、既知の位置はネットワークエッジサイト４５０をマーチャントネットワークに接続する物理回線４５５であり、たとえば、Ｔ１回線のような専用電話接続でもよい。装置に関連付けられている物理接続のセキュリティ認定書は加入者チェックの一部として使用され、加入者は、加入者の関連付けられたデジタル証明書又は物物理構造物４０の理接続ＩＤが予想される関連性と一致するならば、本物であると判断される。物理構造物４０のデジタル証明書に対する物理構造物４０の予想される関連性は、加入者がサービスに登録するとき、又は、加入者名及び／又は住所が登録若しくは電子商取引トランザクション中に使用されるときに確立され得る。エッジサイト３０及び４５０のようなエッジ（周辺）装置は、Ｔｅｌｃｏへのクライアントの既知のオンランプ接続、及び、ネットワークエッジサイト４５０からマーチャントネットワーク４７０へのオフランプ接続に備えて、認証を受けることが可能である。加入者物理通信回線３５真正の認証と、Ｔｅｌｃｏエッジ３０への接続及びマーチャント接続（マーチャントネットワーク４７０へのネットワークエッジサイト４５０）に加えて、クライアントは、ＰＣ５０に取り付けられたドングル（１００）、又は、ホームゲートウェイ３６内のＳＴＢ４５若しくはＴＰＭ９６に取り付けられたスマートカード９８、又は、ホームゲートウェイ３６に接続されたセキュリティドングル９５、又は、その他の付加的なセキュリティ認定書を使用してさらに認証され得る。
【０１４０】
エッジ装置３０、４５０を越えたネットワーク装置の付加的な認証もまた認証ネットワークの認証強度を高めるために設けられることがある。実施例は、（ホスト又はＴｅｌｃｏエッジサイトがＴｅｌｃｏデータセンターを介して通信するときの）Ｔｅｌｃｏ又はホストデータセンター１０の認証と、（ネットワーク４００として示されている）その他のネットワーク伝送及び通信機器の認証とを含む。
【０１４１】
無線装置５５は、無線ソース２９０を介して無線装置内のＳＩＭカード１１２を認証することにより、又は、無線ソース２９０への伝送路を認証することにより、信頼できる通信路を提供するために認証されることがある。無線装置５５とマーチャントネットワーク４７０との間に信頼できる経路通信を確立するために、無線ソース２９０は、もし存在するならば、ＳＩＭカード１１２を使用して、又は、無線ソース若しくはサービスプロバイダ２９０によって使用されるその他の認証方法を用いて無線装置１８を認証することがある。キャリアベース無線装置５５がマーチャントネットワーク４７０を認証しているとき、無線装置はマーチャントネットワーク４７０のデジタル証明書を使用することがあり、クライアントがマーチャントネットワーク４７０を認証しているときに、オプションとして、マーチャントネットワーク４６０へのネットワークエッジサイト４５０接続の認証を含む可能性がある。
【０１４２】
図１２は、無線キャリア又はサービスプロバイダのための簡略化されたブロック図形式の要素又はモジュール２９０を示しているが、無線ソース２９０の内部の詳細は、キャリアベース及び非キャリアベースの通信ネットワークで典型的に使用される全てのネットワーク及び通信機器を含む可能性がある。信頼できる経路通信は、無線ソース又はキャリアネットワーク２９０内の単一のノード、又は、複数のノードによって実行される認証を含むことがある。さらに、キャリアベース無線装置５５は、無線装置５５によって単独に、又は、無線ソース２９０によって、又は、両者と第三者認証エージェント（別個のエージェント、証明機関（ＣＡ）、又は、それ以外）との組み合わせによって認証され得る。
【０１４３】
信頼できる経路通信は、ＳＩＭカードが無線装置５５に存在しないときには、無線装置５５によって実現されることもある。無線ソース２９０は、無線装置５５を認証するために無線サービスプロバイダによって通常使用されている標準的な加入者認証を実行可能であり、無線ソース又はサービスプロバイダ２９０はキャリアベース無線装置５５の状態又は識別情報をチェックするために使用され得る外界へのインターフェイスを提供可能である。無線ソース２９０は、無線装置５５が認証済みであることを示唆するメッセージを追加可能であり、無線装置５５が盗難されたこと、又は、危うくされていることを報告されているかどうかに関する情報を提供可能である。無線装置５が無線ソース２９０によって認証されたならば、無線ソース２９０は無線装置認証結果を第三者証明機関、認証サーバ２０、マーチャント電子商取引ウェブファーム４８３、又は、その他のサービスプロバイダへ提供可能であり、或いは、等価的なクライアント認証を実行し、又は、クライアント認証に関する詳細を提供する。
【０１４４】
ＳＩＭカード又は等価的なセキュリティ素子を含まない無線装置５５の場合には、無線ソース２９０は、ＳＩＭカードの欠如を認証サーバ、ＣＡ機関、及び、無線装置５５の認証に関わるその他のエージェント又はコンピュータに知らせることがある。無線装置セキュリティ素子（ＳＩＭ、その他のセキュリティ素子、又は、何もない）についての通知は、信頼できるＣＡ、認証サーバ、又は、等価的なエージェントによるクライアント認証の強度を示すために使用可能であり、この情報は、マーチャントネットワーク４７０が無線装置５５を認証しているときに、マーチャントネットワーク４７０へ提供される。
【０１４５】
一実施形態では、クライアント装置（ＳＴＢ、ＰＣ、又は、無線装置）は、マーチャントの典型的な電子商取引認定書を使用することに加えて、回線３５と同様に物理回線４５５を認証することによりマーチャントネットワーク４７０への接続を認証するためにセットアップされる。情報は、信頼できるＣＡ、認証サーバ又はサービス、クライアント装置がクライアント装置とマーチャントネットワークとの間のネットワーク経路が正しい物理回線（本実施例では、回線４５５）の上に確立されていることを検証できるようにさせるエージェント又はマーチャントネットワークサービスプロバイダ（図示せず）から、クライアントによって取得され得る。このような信頼は、信頼できるＣＡ又は認証サーバ２０、マーチャントネットワーク４７０にサービスを提供するホストネットワーク１０、又は、物理回線４５５を認証するか、クライアント装置によって検証可能である認定書を物理回線４５５に与える第三者エージェント又は認証サービス４２０によって確立されている。
【０１４６】
以下の説明では、「ホームベース認証済み装置」という用語は、ネットワークエッジ装置からホーム、アパートメント、若しくは、ビジネスへの物理接続を介して、装置を認証するために使用される物理接続への関連性と関連がある住宅用又はビルディングネットワーク内のパーソナルコンピュータ（たとえば、ＰＣ５０）、その他のコンピュータ、個人情報端末すなわちＰＤＡ（図示せず）、セットトップボックス（たとえば、ＳＴＢ４５）、デジタルビデオレコーダ（ＤＶＲ）（図示せず）、又は、その他の消費者タイプ製品（テレビジョン、ラジオ、ビデオプレーヤ、プロジェクタ）を記述している。この場合には、「ホーム」という用語は、人々が居住又は労働している物理構造物又はビルディングを意味している。
【０１４７】
ホームベース認証済み装置は、ホームゲートウェイモジュール３６、並びに、セキュリティドングル９５、ＳＩＭカード１１０、及び／又は、ＴＰＭ９６付きのホームゲートウェイモジュールのようなホームネットワークインフラストラクチャ品目を含むこともある。本願において使用されているようなホームゲートウェイ又はホームゲートウェイモジュールという用語は、ネットワークルータ、ネットワークスイッチ、ＤＳＬモデム、ケーブルモデム、ファイバ・ツー・ザ・ホーム（ＦＴＴＨ）ネットワーク機器、ダイアルアップモデム、ファイバ・ツー・ザ・カーブ（ＦＴＴＣ）／ＦＴＴＣ機器、衛星受信機、その他のモデム又はネットワーク通信機器のようなどのようなホームネットワーキング装置にも適用される。物理的関連性は、装置への物理接続によるか、又は、無線サービスプロバイダによって提供される無線認証の関連性による。
【０１４８】
高価値トランザクション上の機能強化されたセキュリティの場合、ユーザは、信頼できる又は認証済みの通信経路を介して接続しているクライアント装置のキーパッド又はキーボードを用いて、パスワード、ＰＩＮ又はセキュリティコードのような付加的な情報を提供するように要求されることがある。
【０１４９】
一実施形態では、認証システムは、認証済みトランザクションが要求され、かつ、認証済みトランザクションの伝送路もまた認証済みであることをネットワーク装置が自動的に検出できるように構成されている。これは、既存のプロトコルに適当な拡張を加えること、新しいプロトコルを開発し指定すること、別個のメッセージトランザクションを実行すること、問い合わせをされる可能性があるネットワークポイントにセキュアインターフェイスを設けること、クライアントからサーバへ流れるメッセージに付加されたセキュリティ情報が付加されている付加的なメッセージカプセル化を追加すること、及び、通信回線３５から物理構造４０内のＳＴＢ４５のようなクライアント装置への物理接続をチェックする認証装置（マーチャントネットワーク４７０）との間のネットワーク経路を決定することによって実現され得る。
【０１５０】
一実施形態では、物理接続認証は２つのエンドポイント間の初期通信確立中に実行される。２つのエンドポイントは、たとえば、ＳＴＢ４５とマーチャント電子商取引ウェブファーム４８３でもよく、或いは、どのようなユーザ装置とネットワークサービスプロバイダとでもよい。物理接続の認証後、２つのエンドポイントは、その後に、エンドポイント間で対称暗号化を使用可能である。これは、セッション鍵ペアが２つのエンドポイント間で生成される前に、セキュアな認証済み通信路が検証されることを意味する。初期セットアップ中に認証だけを実行することは、２つのエンドポイントがオープンインターネット内にあるときであっても、セッション鍵が２つのエンドポイント間で交換される前に、信頼できる既知の通信路を提供する。本発明の別の実施形態は、２つのエンドポイント間のメッセージ通信のためセッション鍵を使用することがなく、むしろ、２つのエンドポイントが各ネットワークエンドポイントの認証済み秘密鍵／公開鍵ペアを使用するＰＫＩベースの非対称暗号化を使用可能である。
【０１５１】
別の選択可能な方法は、信頼できる経路認証セッションが要求され、ネットワークルータと、スイッチと、ＤＳＬＡＭと、ブロードバンド・ループ・キャリアＢＬＣと、無線セルサイトと、無線ルータと、無線スイッチと、ＤＯＣＳＩＳネットワーク機器と、ネットワークアクセス機器と、その他のエッジ及びネットワークインフラストラクチャ機器のようなネットワーク機器によって自動的に取り扱われることを示すために、トリガー又は識別子が追加されることである。トリガーは、クライアント、又は、サーバ、又は、クライアント及びサーバ、又は、付加的なネットワーク機器が、新しいプロトコル、又は、２つのネットワークエンドポイントの間で送信されているメッセージの自動カプセル化の何れかを使用して、ネットワーク経路認証情報をトランザクションに付加すべきであることを示す。信頼できる経路認証セッションの要求の自動検出は、ＳＴＢ４５、ホームゲートウェイ３６、ＰＣ５０、キャリアベース無線装置５５、ＶＯＤサーバファーム４９０、又は、顧客サイト若しくは商業サイトにある類似したタイプのコンピュータ若しくは装置のような何れかのタイプのネットワーク装置の要求に基づいて行われる可能性がある。自動検出は、既存のネットワーク、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）、非同期転送モード（ＡＴＭ）、ダイアルアップモデム、ＤＳＬ、ＤＯＣＳＩＳ、衛星通信プロトコルの拡張に基づいているか、又は、新しい認証固有通信プロトコルを定義することによる。認証プロトコルの自動検出は、ＴＣＰ／ＩＰ又はセキュアソケットレイヤ（ＳＳＬ）のような既存のプロトコルに基づいているとき、信頼できる経路認証が要求されていることを指示するエンハンスメッセージを利用可能である。
【０１５２】
上述されているように、認証のためのＸ．５０９ベースのデジタル証明書の使用は選択可能である。認証の重要な要素は、ネットワーク装置を検証する際に物理エンドポイント接続を使用可能であるリモートサーバへその後に供給される物理的なエンドポイント認証情報を提供する、１台以上のコンピュータ装置（ＳＴＢ４５、ＰＣ５０、ホームゲートウェイ３６など）を収容する物理構造物４０への物理通信回線３０５又は３５の関連付けである。物理構造物４０及び物理構造物４０内の装置への通信回線３５の関連付けは、Ｘ．５０９証明書の使用とは無関係に確立可能であり、（非Ｘ．５０９ベースの証明書を使用して、又は、簡単な関連性データ構造を使用して）Ｘ．５０９規格を使用しなくても確立可能である。通信回線３５又はその他のセキュアコンポーネントと物理構造物４０内のコンピュータ装置の関連付けは、スマートカード、セキュアメモリ、暗号化コプロセッサなどが存在しない場合に、加入者の認証を非常に改善する。
【０１５３】
一実施形態では、認証システムは、ホーム又は加入者と関連付けられているセキュリティ素子が無くても、クライアントをホーム／加入者への物理接続に関連付けることにより信頼できる経路通信を提供する。このことは、物理接続情報がクライアント装置セキュリティ素子を取り除くために使用可能であること、又は、クライアント装置セキュリティの認証を改善するためにこのような素子と共に使用されてもよいことを意味する。
【０１５４】
図１２及び１３を参照し、ホームゲートウェイモジュール３６、通信回線３５及びＴｅｌｃｏエッジサイト３０と共にＳＴＢ４５を使用すると、認証又は信頼できる経路は、ＳＴＢ４５及びホームゲートウェイ３６内のセキュリティ素子に依存することなく、以下の通り確立されることがある。ＳＴＢ４５は、有線又は無線通信技術を使用してホームゲートウェイモジュール３６に繋がり、マーチャントネットワーク４７０に接続されているマーチャント電子商取引ウェブファーム４８３と呼ばれる場所にあるアプリケーションサーバとの接続を開始する。ＳＴＢ４５がホームゲートウェイモジュール３６に繋がるとき、ホームゲートウェイモジュール３６は、ＮＡＴ（ネットワークアドレス変換）によって提供されるようなＩＰアドレス変換を実行するので、ＳＴＢ４５のＩＰアドレスはホームゲートウェイモジュール３６によってＴｅｌｃｏネットワークに供給されたＩＰアドレスと異なる。ＳＴＢ４５は、マーチャントウェブファーム４８３に繋がり、ＳＴＢシリアル番号、ＭＡＣアドレス、パスワードの有無にかかわらないユーザＩＤのような１個以上の安全でないＩＤを供給する。認証を要求するサービスのための接続メッセージを受信し次第、マーチャントウェブファーム４８３は、Ｔｅｌｃｏエッジサイト３０を物理構造物４０、ホームゲートウェイモジュール３６、及び、ＳＴＢ又はユーザ装置４５を接続する物理通信回線３５を識別可能である。マーチャントウェブファームは、後で詳述されているように、トレースルートマッピング又はその他の接続識別方法（ＩＰアドレスルックアップなど）を用いて、Ｔｅｌｃｏエッジサイト３０を加入者ＳＴＢ４５のためのホームゲートウェイモジュール３６に接続する通信回線３５を識別可能である。
【０１５５】
Ｔｅｌｃｏ又はホストエッジサイト３０は、物理構造物４０の正体を明かすことなく、ＩＰアドレス又はＮＡＴ変換アドレスを通信回線３５の恒久的な識別子にマッピングすることができるマッピングルックアップ機能を提供可能である。このような識別は、物理構造物４０のため恒久的であり続けるが、しかし、Ｔｅｌｃｏデータセンター１０又はＴｅｌｃｏエッジサイト３０上で動いているＤＨＣＰ又は同等物に起因して、実際のＩＰアドレスの観点では一時的である、通信回線３５のためのＴｅｌｃｏデータセンターＮＡＴ後にアドレス変換されたＩＰアドレスを使用可能である。この恒久的な関連付けは、加入者がマーチャントによって提供されるサービスをマーチャントウェブファーム４８３に登録するときに、マーチャントウェブファーム４８３が物理回線３５を加入者に関連付けることを可能にする。１つの可能な関連性モデルが以下の表１に記載されている。
表１−加入者関連性モデル
【表６】

【表７】

【表８】

【０１５６】
上記実施形態の認証システム及び方法は信頼できる経路通信と呼ばれることがある。一実施形態では、認証又は信頼できる経路通信方法と、信頼できる経路認証が要求されていることを示すために使用される標準的なメッセージは、物理レイヤ、データリンクレイヤ、ネットワークレイヤ、トランスポートレイヤ、セッションレイヤ、又は、プレゼンテーションレイヤのような、開放型システム間相互接続（ＯＳＩ）の７層ネットワークの何れのレイヤでも追加され得る。自動的な信頼できる経路認証を提供するためにコンポーネント及びソフトウェアが機能強化されたネットワーク機器は、ＯＳＩ７層ネットワークモデルの適切なレイヤにおける認証要求を自動的に検出可能である。その他のネットワークレイヤモデルが使用されるとき、信頼できる経路認証はネットワークモデルの何れのレイヤでも、又は、複数のレイヤに追加され得る。ＳＳＬのような既存のプロトコルの自動認証インジケータに追加されるトリガーは、認証されていないネットワークパケットを、認証データヘッダを含む新しいパケットヘッダ内にカプセル化することにより、又は、（認証されていないネットワークパケットをカプセル化しない）付加的なパケットを機能強化された認証データ（アウトオブバンドメッセージ）と共に送信することにより、付加的な認証データが追加されるべきことをネットワーク機器に指示可能である。信頼できる経路ネットワーク機器は、以下で詳述されているように、信頼できる経路通信セッションが要求されていることを検出することができ、適切な信頼できる経路セキュリティ又は認証方法を自動的に適用することが可能である。
【０１５７】
認証済み又は信頼できる経路通信セッションを確立する可能な方法は多数あるが、適用された方法への手掛かりは、信頼できる経路ネットワークの機能強化された機器が、通信ネットワーク機器が検証された真正ネットワーク経路として識別されるという結果を生じるある種の処理を実行することである。ある特定のネットワークレイヤにおけるコンピュータネットワークソフトウェア又はハードウェア設計の当業者は、認証方法及びシステムを確立するために後述されている技術を適用可能である。ＯＳＩの７層ネットワークモデルの種々のレイヤで適用可能な一般的な技術は以下の表２に概説されている。信頼できる経路通信又は認証済み経路通信を確立するために必要とされるハードウェア及びソフトウェアは、単一のモデルレイヤに完全に付加されるか、又は、２層以上のモデルレイヤに分散させられることがある。２つ以上のモデル例が以下の表に記載されているとき、当業者は単一レイヤだけで特定の機能を実施可能であるということ、たとえば、信頼できる経路通信をアプリケーションレイヤ（レイヤ７）のハイパーテキストトランスファープロトコル（ＨＴＴＰ）機能に追加することがさらに考えられる。
表２−信頼できる経路通信を確立するためにＯＳＩ７層ネットワークモデルの異なるレイヤに適用される可能な認証技術
【表９】




【０１５８】
ネットワークプロトコル又はアプリケーションが本明細書に記載されているような認証システム及び方法をサポートするために変更され得る多数の異なる方法が存在する。図１３は、セキュア又は信頼できる通信経路を設けるために、ユーザ装置からマーチャント又はサービスプロバイダへの経路を認証する１つの方法を示している。ステップ５００において、注文が図１２におけるＰＣ５０のような物理構造物内のユーザ装置から１つ以上のネットワークを介してマーチャント、たとえば、ＶＯＤサーバファーム４９０、又は、何れかのタイプのネットワークサービスプロバイダへ送信される。１つの可能な実施例では、アプリケーションレイヤはＰＣ５０内のネットワークソフトウェアに接続し、信頼できる経路認証を要求する（ステップ５０２）。注意すべきことは、本実施例では、アプリケーションは、加入者の認証が映像を注文するために必要とされることを知っていることである。アプリケーションソフトウェアがこのステップを自動的に実行しないならば、マーチャントネットワーク４７０は認証クライアント要求コマンドを使用することによりクライアントを認証可能である。信頼できる経路認証の要求はアプリケーションレイヤに由来しなくてもよい。ＰＣ５０は、信頼できる経路認証が実行中であることを知っていることさえ必要ではなく、サーバ側（マーチャントネットワーク４７０）だけが信頼できる経路を検証するために情報を要求可能である。ネットワークソフトウェアは、信頼できる通信経路の認証の要求を受信し、希望のエンドポイントと信頼できる経路を確立するプロセスを開始する。この場合には、エンドポイントは、ＶＯＤサーバファーム４９０又はマーチャント電子商取引ウェブファーム４８３のような、ユーザが接続することを希望するリモートマシーンを識別する。
【０１５９】
Ｔｅｌｃｏ又はホストエッジサイト３０は、通信回線３５を介してホームゲートウェイモジュール３６を経由してＰＣ５０から「信頼できる経路確立接続」メッセージを受信する。一実施形態では、エッジサイト３０はノード固有認証を信頼できる経路確立接続メッセージを付加するように構成されていてもよい。ノード固有認証情報は、（デジタル証明書を用いるのではなく）ユーザを認証する際に用いられる通信回線ＩＤを生成するために、ビルディング４０への物理回線３５を識別可能である。代替的に、エッジサイト３０は、物理接続を検証するために使用され得るアプリケーションプログラムインターフェイス（ＡＰＩ）又はウェブサービスを提供可能である。
【０１６０】
Ｔｅｌｃｏ又はホストエッジサイト３０は、ＰＣ５０が通信をしているサーバ／ウェブサーバファームエンドポイントから信頼できる経路を認証するために要求を受信することも可能である。本代替案では、マーチャントネットワーク４７０はクライアントＩＤをエッジサイト３０又は同等物へ送信可能であるので、エッジサイトはマーチャントネットワーク４７０が認証することを希望する加入者を識別可能である。マーチャントウェブサイトは、信頼できる、又は、認証済みの経路が確立されることを可能にすることになるホスト又はＴｅｌｃｏから認証情報をさらに要求することができる。
【０１６１】
一実施形態では、マーチャントネットワークエッジサイト４５０は、Ｔｅｌｃｏエッジサイト３０から、ノード固有認証情報を含む信頼できる経路確立接続又はメッセージを受信する。ネットワークエッジサイト４５０はネットワークエッジサイトノード固有認証情報をメッセージに追加する。複数のノード固有認証はこのようにして信頼できる経路確立接続メッセージに適用され得る。
【０１６２】
マーチャントネットワーク４７０は、その後に、エッジサイトのノード固有情報と共に信頼できる経路確立接続メッセージを受信し、その後に、信頼できる証明機関若しくは認証サーバ２０、又は、第三者認証サービス４２０による信頼できる通信経路の検証を要求可能である（ステップ５０４）。マーチャントネットワーク又はウェブサイトは、ＳＴＢ４５又はＰＣ５０のようなユーザ装置がマーチャントネットワーク４７０に接続するときに、Ｔｅｌｃｏによって供給された信頼できる経路情報を認証するように信頼できるＣＡに要求する。信頼できる経路認証メッセージは、たとえば、暗号化されたタイムスタンプ、メッセージシーケンス番号、及び、オプションの乱数を用いてデジタル署名され、マーチャントネットワーク４７０がＴｅｌｃｏ又は信頼できるＣＡからのメッセージを一意に識別することを可能にさせる。
【０１６３】
証明機関（ＣＡ）又はその他の認証若しくはセキュリティサービスは、マーチャントネットワーク４７０から「信頼できるパス認証」要求を受信し（ステップ５０５）、経路が信頼できるかどうかを決定する（ステップ５０６）。ＣＡからのメッセージは、リプレイ攻撃を排除するためにメッセージシーケンス番号及びタイムスタンプと共にＣＡの秘密鍵を用いて暗号化又は署名される。証明機関、又は、別個の、若しくは、第三者認証サーバが、本ステップにおいて参照されるが、信頼できる経路の認証のため必要とされるソフトウェア及びハードウェアがその代わりにＴｅｌｃｏデータセンター１０に設けられることがあり、その場合にはＴｅｌｃｏデータセンターは経路が信頼できるかどうかを指示する応答をマーチャントネットワーク４７０へ供給可能である。経路が信頼できないならば、マーチャントはトランザクションを終了することを選択してもよい（ステップ５０７）。
【０１６４】
マーチャントネットワークがＣＡ又は類似した認証サーバからの信頼できる経路要求認証への肯定的な応答を受信するならば、メッセージはＣＡの公開鍵を使用して正当性が確認され、マーチャントネットワークは、経路認証要求がＣＡに対して最初に行われたときに、マーチャントネットワークによって付加されたタイムスタンプ、メッセージシーケンス番号、及び、乱数の正当性も確認可能である。マーチャントネットワーク４７０は、ＰＣ５０の公開鍵を使用して、ＰＣ５０との通信に使用するためのセッション鍵を暗号化することも可能である（ステップ５０８）。マーチャントは暗号化済みセッション鍵をＰＣ５０へ送信する（ステップ５１０）。ＰＣ５０、ホームゲートウェイドングル９５、ＴＰＭ９６又はＳＩＭ１１０の公開鍵は、ＰＣ５０へ送信するときにセッション鍵を暗号化するために使用され得る。選択可能な方法は、ＰＣ５０のドングル鍵１００を用いて暗号化した後に、Ｔｅｌｃｏエッジサイト３０への配信のためセッション鍵を暗号化し、その後に、暗号化済みセッション鍵をＴｅｌｃｏエッジサイト３０の公開鍵を用いてさらに暗号化することである。Ｔｅｌｃｏエッジサイト３０は、その後に、暗号化済みセッション鍵からなる暗号化済みペイロードを復号化可能である。図１４は本実施例の暗号化済みセッション鍵を示し、以下でより詳細に説明されている。
【０１６５】
ネットワークエッジサイト４５０は、ＰＣ５０へのルート上にある間に、マーチャントネットワーク４７０から暗号化済みセッション鍵を受信し、信頼できる経路接続シーケンスの確立の一部としてノード固有認証を暗号化済みセッション鍵応答に選択的に付加してもよい。付加されたノード固有認証を用いて暗号化済みセッション鍵はその後にネットワーク４００を介してＰＣ５０へ送信されることがある。選択可能なノード固有認証は、ＰＣ５０がマーチャントネットワーク４７０を検証することを可能にする。ネットワークエッジサイト４５０は暗号化済みセッション鍵を復号化できない。
【０１６６】
マーチャントネットワーク４７０からの暗号化済みセッション鍵応答（ステップ５１０）は、ＴｅｌｃｏＤＳＬエッジサイトで、又は、Ｔｅｌｃｏデータセンター１０とエッジサイト３０の組み合わせを介して受信される。オプションとして、Ｔｅｌｃｏデータセンター１０又はＴｅｌｃｏエッジサイト３０の何れかがマーチャント応答を認証可能である。暗号化済みセッション鍵はその後に通信回線３５及び（もし存在するならば）ホームゲートウェイ３６を介してＰＣ５０へ送信される。ＰＣ５０は暗号化済みセッション鍵を受信し、マーチャントウェブファーム又はＶＯＤサーバファーム４９０からの通信経路をオプションとして認証可能である。セキュア通信はその後にマーチャントネットワーク４７０とＰＣ５０との間で始まる（ステップ５１２）。
【０１６７】
上述されている信頼できる通信経路方法は、図１４に示されているように、複数の暗号レイヤが、データストリーム認証若しくは転送、又は、両方に適用されることを可能にさせる。たとえば、ＰＣ５０はマーチャントネットワーク４７０のためのメッセージを暗号化可能であり、Ｔｅｌｃｏエッジサイト３０はネットワークエッジサイト４５０のための付加的な暗号レイヤを追加可能である。いかなるネットワークインフラストラクチャ装置も、このようなネットワーク経路暗号化を付加可能である。ネットワーク信頼は、ＤＳＬ／ＤＳＬＡＭエッジ装置３０のようなネットワークエッジサイトに特有のネットワークエッジサイト４５０に固有の暗号化を追加させることによって達成され得る。たとえば、Ｔｅｌｃｏエッジサイト３０がＴｅｌｃｏデータセンター１０に接続され、Ｔｅｌｃｏデータセンター１０が大規模電話会社又はその他の大規模サービスプロバイダであると仮定する。マーチャントネットワーク４７０は、ＰＣ５０を使用する加入者のためのメッセージの階層型暗号化によって物理セキュリティを強化可能である。図１４に示されているように、Ｔｅｌｃｏデータセンター暗号化済みメッセージ５５０はＴｅｌｃｏエッジサイト３０のための暗号化済みメッセージ５５２を含むことがあり、次にはメッセージ５５２が加入者ＰＣ５０へ向けられた暗号化済みメッセージ５５４を含むことがある。代替的に、加入者ＰＣ５０のための暗号化済みメッセージをＴｅｌｃｏデータセンター１０への暗号化済みメッセージ内に収容することにより３層の代わりに２層の暗号レイヤが設けられることがある。２層又は３層の暗号レイヤは、応答がＴｅｌｃｏの加入者だけに役立つようにする。信頼できる又は認証済みのネットワーク経路に固有の暗号化を追加することによる物理セキュリティの強化は、ＰＣ５０、ホームゲートウェイ３６、Ｔｅｌｃｏエッジサイト３０、及び、Ｔｅｌｃｏデータセンター１０のような１、２又はそれ以上の物理ネットワーク接続を含むことが可能である。追加された暗号方式固有の信頼できるネットワーク経路のぞれぞれは、追加された暗号レイヤを自動的に取り除くために信頼できるネットワーク経路機器によって使用され得る識別子を含むことがある。
【０１６８】
信頼できる経路を使用可能な通信装置は、伝送路内の希望の認証済み（デジタル署名されるか、又は、その他の暗号化技術）ポイントを認証可能である。たとえば、マーチャントネットワーク４７０は、必要に応じて、ＰＣ５０、又は、使用されるならばＰＣ５０及びドングル１００と、Ｔｅｌｃｏエッジサイト３０と、Ｔｅｌｃｏデータセンター１０と、ネットワークエッジサイト４５０への物理回線を認証可能である。代替的に、ＰＣ５０単独のように、できる限りネットワークトランザクションの一方側だけが認証され得る。別の実施例では、マーチャントネットワーク４７０が、ドングル１００、ドングル９５又はＴＭＰ９６経由でホームゲートウェイ３６、デジタル証明書７０経由でＴｅｌｃｏエッジサイト３０、Ｔｅｌｃｏデジタル証明書７１経由でＴｅｌｃｏデータセンター１０、又は、ネットワークエッジサイト４５０内の証明書若しくはセキュア証明書（図示されず）経由でネットワークエッジサイト４５０を認証する。本認証システムの能力は、ＰＣ５０エンドポイントが認証可能であるか、又は、ＰＣ５０エンドポイント及び経路に沿った何れかの他の希望の要素が認証可能であるという程度である。さらに、物理構造物４０に達する物理通信回線３５は認証可能であるため、物理構造物４０のデジタル証明書７０が、ＰＣ５０に加えて、又は、ＰＣ５０に代えて使用され得る。これは、１箇所以上の認証ポイントを使用する物理構造物４０の認証を可能にさせる。
【０１６９】
図１４を参照すると、マーチャントネットワーク４７０から発生するメッセージは、ＰＣ５０だけによって復号化され得る、ＰＣ５０のための暗号化済みメッセージ５５４としてのみ発行されることがある。ネットワークポイント（たとえば、Ｔｅｌｃｏデータセンター１０）のための暗号化済みメッセージ５５０は、信頼できる経路に沿ったネットワーク要素のうちメッセージを復号化すべきネットワーク要素、たとえば、Ｔｅｌｃｏデータセンター１０、Ｔｅｌｃｏエッジサイト３０、ＰＣ５０、又は、ホームゲートウェイ３６を指示するメッセージ復号化宛先ポイントインジケータを含み得る。したがって、追加されたセキュリティはエンドポイント固有暗号化の上に階層化され、メッセージがネットワークの中を移動するときに信頼できる経路ネットワークがネットワーク装置によって復号化され得るメッセージを識別することを可能にさせる。
【０１７０】
図１４において、Ｔｅｌｃｏデータセンター１０は、メッセージ５５０がＴｅｌｃｏデータセンター１０によって復号化可能であることを特定可能である。第１の暗号化済みメッセージの復号化後に、２つの内側ボックスを構成する残りのメッセージ５５２はＴｅｌｃｏエッジサイト３０へ転送される。マーチャントネットワークの外部のネットワーク機器だけでなく、マーチャントネットワーク４７０が付加されたメッセージカプセル化データを復号化又は取り除くこともある。付加された暗号階層化は、図１２に示されているように、マーチャントネットワーク４７０のようなソースポイントによって実行されるか、又は、ネットワークエッジサイト４５０のようなネットワークエッジサイトによって付加され得る。基礎となるエンドポイントを対象としているメッセージ５５４に付加されたメッセージ暗号レイヤは、（Ｔｅｌｃｏデータセンター１０のような）ネットワーク要素の公開鍵を用いて暗号化されるエンベロープセッション鍵を格納するメッセージをカプセル化するエンベロープに基づくこともある。メッセージを復号化する必要があるネットワーク要素は、セッション鍵を明らかにするためにネットワーク要素の秘密鍵を使用してエンベロープセッション鍵を復号化可能である。セッション鍵は、図１４における基礎となるエンドポイントを対象としているメッセージ（ＰＣ５０とのための暗号化済みメッセージ５５４）のカプセル化であるセッション鍵暗号化されたエンベロープデータを復号化するためにその後に使用され得る。基礎となるエンドポイントを対象とするメッセージは、メッセージエンベロープ内のメッセージ復号化宛先ポイントによって特定されるように、信頼できる経路に沿ってネットワーク機器によって取り除かれた他の暗号レイヤのすべてと共に、エンドポイントへ送信されるメッセージである。
【０１７１】
信頼できる経路認証は、接続エンドポイント（たとえば、ＳＴＢ５０及びＶＯＤサーバ４９０）に基づくＰＫＩ鍵による非対称鍵ＰＫＩベース暗号化を使用する認証及びトランスポート暗号化を伴う完全にセキュアなＳＳＬ（セキュアソケットレイヤ）伝送路として機能し得る。エンドポイント認証（たとえば、ＳＴＢ５０及びＶＯＤサーバ４９０）は、非対称鍵ＰＫＩ方法を使用して実行され、暗号化済みメッセージ中のＶＯＤストリーム又はその他のトランスポートペイロードは、エンドポイント（たとえば、ＳＴＢ５０及びＶＯＤサーバ４９０）の間で確立されたセッション鍵を用いる対称鍵暗号化を利用可能である。対称鍵暗号化のための鍵は伝送路を認証した後に配信され得る。非対称鍵暗号化のための鍵は、各エンドポイントのためのＰＫＩ鍵を使用して、又は、認証後にエンドポイント５０と４９０との間に確立されたセッション鍵を使用して、エンドポイント（本事例では５０及び４９０）の間で交換され得る。代替的に、対称暗号鍵は、他のエンドポイントの公開鍵を使用してセッション鍵を暗号化することにより暗黙的な認証を使用可能である。エンドポイントの公開鍵は、システム内に収容されていることがある信頼できるＣＡ又はその他の証明機関（図示せず）によって取得され得る。上記実施例では、ＳＴＢ５０及びＶＯＤサーバ４９０はエンドポイントとして使用されているが、如何なるネットワーク要素でもエンドポイントとして使用され得る。信頼できる経路認証の実施例は、Ｔｅｌｃｏデータセンター１０がＴｅｌｃｏエッジサイト３０、デジタル証明書７０、ホームゲートウェイ３６及びＰＣ５０を認証することを可能にさせる。
【０１７２】
上述されているようなネットワークユーザ又はクライアント認証方法及びシステムは、モデム、ＦＴＴＣ、ＦＴＴＨ、若しくは、ファイバ・ツー・ザ・ネイバーフッド（ＦＴＴＮ）インターフェイスカード、ケーブルモデム、ＤＳＬモデム、ルータ、及び、ネットワークスイッチを含む何れかのネットワークインフラストラクチャ要素に付加され得る。方法及びシステムは、認証済みトランザクションを開始する自動手段を含み、ネットワークエッジ装置によるトランザクション経路署名、アプリケーションプロバイダによるトランザクション経路署名、クライアントアプリケーションによるトランザクション経路検証、及び、サーバプロバイダによるトランザクション経路検証を含むこともある。たとえば、オンラインマーチャントは以下の経路を検証可能である。
１．加入者から加入者にリンクされているエッジサイト上の物理回線識別署名によってインターネットサービスを提供する加入者のＩＳＰまで。
２．加入者のＩＳＰからオンラインマーチャントにサービスを提供するＩＳＰまで。
３．オンラインマーチャントＩＳＰから、オンラインマーチャントをオンラインマーチャントＩＳＰへ接続する回線又はネットワークエッジ装置を格納しているＩＳＰのネットワークエッジサイトでの認証を用いるオンラインマーチャント認証まで。
４．オンラインマーチャントのサイトでコンピュータを接続するオンラインマーチャントのビジネスゲート（又はコンピュータ）からオンラインマーチャントＩＳＰまで。
５．オンラインマーチャント内のネットワーク経路のオプションとしての付加的な認証。
【０１７３】
この方法は、認証及び登録のための伝送路に信頼できるＶＰＮを提供する。登録はホームゲートウェイを経由して行われる必要がなく、すなわち、ホームゲートウェイの証明書は、新しいユーザ、又は、ＴＶ、テレビ電話、コンピュータなどのようなクライアント装置の登録に含まれている。認証は、ＤＳＬ上で規定されたとき、又は、セキュア物理回線が登録／認証階層で使用されるときに、ホームゲートウェイで始まる。
【０１７４】
要求元クライアント（たとえば、図１２ではＳＴＢ４５）がリモートサーバ又は電子商取引サイトに接続しているときに認証を要求することによりセッションを開始しない状況では、リモートサーバ（マーチャントネットワーク４７０）はクライアント認証要求コマンドを作成することによりクライアント認証を開始できる。このコマンドは、クライアントの認証データを取得するために、クライアント（ＳＴＢ４５とＴｅｌｃｏエッジサイト３０、又は、Ｔｅｌｃｏデータセンター１０若しくは同等物）の間のネットワーク機器に問い合わせを行うことが可能である。
【０１７５】
一実施形態では、図１２の装置５５のような無線装置は、キャリアと、キャリアによる無線装置の認証とを経てリンクされている。これは、無線装置がキャリア又はホームゲートウェイによって認証され、映像配信サービスが無線装置は個人のプライベートネットワークの一部であることを検証可能である、デジタル権管理ＤＲＭ交換の優れたモデルを提供する。
【０１７６】
サブネットワーク認証は高帯域幅デジタルコンテンツ保護（ＨＤＣＰ）及びレガシーハードウェア上で動くその他のサブネットのため提供されている。新しいハードウェアは、セキュリティに弱点があるＨＤＣＰのようなレガシー装置より優れたセキュリティ及び登録による恩恵を受けるであろう。
【０１７７】
システムには多数の安全な認証済み伝送路が存在し、ありとあらゆる要素がサービス又は購入の認証チェーンで使用され得る。たとえば、
ＤＳＬエッジサイトからＤＳＬモデム又はホームゲートウェイまで
ホームゲートウェイからＳＴＢまで
ホームゲートウェイからＰＣまで
ＰＣからモニタまで
セキュリティ素子はＰＤＡ又はＰＣのキーボードへ直接接続するために使用可能であり、コマンドはリモートコンピュータからセキュリティ素子へ通信され、セキュリティ素子によって暗号化され、リモートコンピュータへ送信される応答を要求する。
【０１７８】
上述されているような認証方法及びシステムは、フィッシング要求の結果としての問題点を回避又は削減可能である。ユーザは、上述されているような認証方法を使用して、信頼できる認証済みソースから来る電子メール又はデータを検証可能である。たとえば、銀行員と通信するとき、ユーザは、メッセージの発信元が銀行員からであることをチェック可能である。システムは、リモートソースの資格が要求されている情報に適切であることを検証可能である。
【０１７９】
上述されているように、トレースルートマッピングはネットワークトポロジーを決定するため使用可能であるので、エッジサイト又はルータが検出され検証され得る。既知のトレースルートマップは、パケットカプセル化が下位ネットワークレイヤでどのように行われるかを決定するため、ルータのためだけでなく、レイヤ１、２、３．．．のネットワーク機器のためにも使用されてもよい。トレースルートマッピングがトレースルート応答中にインターフェイスのタイプを与えないとき、セキュリティヘッドエンドから加入者までのトレースルート間の関連性はネットワークサービスプロバイダによって確立され得る。一例は次の通りである。トレースルート加入者１２３４５６がＩＰアドレス２０５．１７１．１７．１３５に変換される。加入者を識別する際にヘッドエンドからのトレースルートは次のように見えるだろう。
１ ｐｏｓ２−０−１５５ｍ．ｃｒ２．ｔｅｌｃｏ．ｎｅｔ（２０５．１７１．１７．１３０）２ｍｓ
２ ２０５．１７１．１７．１３５ １ｍｓ
【０１８０】
上記の実施例では、ヘッドエンドからのトレースルートは、ホップ１ ｐｏｓ２−０−１５５ｍ．ｃｒ２．ｔｅｌｃｏ．ｎｅｔを経由する接続として加入者１２３４５６までの接続を識別し、関連性はネットワーク管理コンソール又は等価的なインターフェイスを介して決定可能であり、この接続／ＩＰアドレスがローカルオフィスから特定のアドレスのホームへの特定の物理銅配線ペアと関連付けられている。
【０１８１】
類似したトレースルート関連性マップは、加入者のＩＰアドレスを、ケーブルモデム伝送システム（ＣＭＴＳ）ＭＡＣアドレス、及び／又は、物理ＤＯＣＳＩＳ（又は類似の）ケーブルモデム識別情報及び加入者にマッピングすることができる。「トレースルート」という用語は、本書では、説明の目的のために使用されているが、物理レイヤ接続への加入者の関連性をサービスプロバイダエッジサイト又はネットワークアクセスポイントに提供するコマンド又はインターフェイスがトレースルートの代わりに用いられ得る。新しいコマンドが、ＯＳＩ７層プロトコルモデルの物理レイヤ、データリンクレイヤ、ネットワークレイヤ、トランスポートレイヤ、又は、より上位レイヤへの加入者の適切な関連付けを提供するために開発される可能性があると考えられる。
【０１８２】
ネットワーク分散サービスにおける複数台のネットワーク機器は物理接続などによって関連付けられるか、又は、認証されることが想定されるが、確立され得る最も重要な関連性は、加入者の物理ネットワークアクセス装置（たとえば、データモデム、ケーブルモデム、ＡＴＭモデム、光ファイバモデム、ＤＳＬモデム、又は、その他のインホームモデム装置）と、ホームとの接続を物理的に終端するネットワークエッジサイトとの間のいわゆる「ラストマイル」関連性である。このような関連性は、上述の表２に示されているような物理レイヤ、データリンクレイヤ、ネットワークレイヤ、トランスポートレイヤ、セッションレイヤ、プレゼンテーションレイヤ、又は、アプリケーションレイヤと呼ばれるＯＳＩ階層型ネットワークモデル中の７層のレイヤのうちの１層以上のレイヤを含む可能性がある。加入者関連性は、典型的に、物理レイヤ接続（ＤＳＬ、Ｓｏｎｅｔ、１００ＢａｓｅＴのような高速イーサネット、統合サービスデジタルネットワーク（ＩＳＤＮ）、トークンリング、ファイバ分散データインターフェイス（ＦＤＤＩ）、ワイドエリアネットワーク（ＷＡＮ）、ＡＴＭ、ハイブリッドファイバ／同軸ネットワーク、又は、その他の物理レイヤテクノロジー）のマッピングを用いて物理レイヤに確立され得る。付加的な物理レイヤ関連性が加入者のため確立され得るが、主要な関連性はサービスをホーム又はロケーションへ供給するラストマイル関連性である。１層以上のレイヤが加入者を物理接続と関連付けるために組み合わされることも想定され、たとえば、ネットワークエッジ装置上のメディアアクセス制御（ＭＡＣ）アドレスのようなデータリンクレイヤ（レイヤ２）パラメータを加入者、及び、加入者の住居への物理レイヤ接続と共に組み入れる。このような関連性は、利用可能であるならば、ネットワークエッジ機器への通信を介して確立され、或いは、サービスプロバイダ又は同等者によって運用されているデータベースを介して確立され得る。加入者関連性の分解能は、ホームへの物理銅配線ペア接続、又は、ケーブルモデム終端システム（ＣＭＴＳ）上のＤＯＣＳＩＳアドレス、又は、ＭＡＣ、又は、論理リンク制御レイヤ（ＬＬＣ）、又は、ホームとネットワークとの間の無線ラストマイル接続上の無線リンクアドレス、又は、無線顧客を無線ネットワークに接続する基地局と同様に精細である可能性がある。
【０１８３】
通信回線を用いて加入者又はクライアントを認証するために必要とされる認証又は物理接続ＩＤ情報は、クライアント（ＳＴＢ１２、ＰＣ１４、キャリアベース無線装置１８、ＰＤＡ又はその他のクライアント）を通信回線と関連付けるＴｅｌｃｏデータセンター１０（又は同等物）、又は、Ｔｅｌｃｏエッジサイト３０（又は同等物）、又は、信頼できるＣＡ２０（又は同等物）によって提供されることがある。認証のため最低限必要な情報はクライアントＩＤ及び通信回線ＩＤである。クライアントＩＤは、通信回線を介してネットワークに接続している特定のクライアント装置を追跡するために使用される値である。この値は、加入者に対する恒久的な固定値を有する任意の値でもよく、又は、単一の接続のための一時的な値でもよい。この値は、ＩＰアドレス、ＩＰアドレス及びポート番号、加入者ＩＤ、加入者ＩＤから導出された乱数、ＮＡＴ変換されたアドレスのようなＴｅｌｃｏエッジサイトによって供給される識別子、又は、クライアント装置を後述されている通信回線情報フィールドを用いて識別又は関連付けるために使用されるその他の類似したデータに基づいている可能性がある。通信回線識別子又はＩＤは、Ｔｅｌｃｏエッジサイトを物理構造物４０内のコンピュータ機器又はモデム又はゲートウェイに接続する通信回線の恒久的な識別子である。この値は、物理構造物４０と接続されているクライアント装置を検証する際に用いられるような恒久的な識別子を提供する。
【０１８４】
発明の典型的な実施形態では、付加的な検証又は認証情報が付加されたセキュリティのため取得されることがある。たとえば、署名、セキュリティコード、又は、その他の識別子が、クライアントＩＤデータフィールド及び通信回線ＩＤが未だ変更されていないことを検証するために使用され得る。このフィールドは、クライアントＩＤフィールド及び通信回線ＩＤフィールドの符号付きハッシュと同じ程度に簡単でもよい。代替的に、ハッシュ衝突を利用することによりハッシュを改竄する可能性が削減されるように、符号付き値が２個の異なるハッシュによって生成されることがある。符号付きの１つ以上のハッシュは、Ｔｅｌｃｏエッジサイト３０又はＴｅｌｃｏデータセンター１０又は信頼できるＣＡ２０又は同等物の秘密鍵を使用して暗号化されることがある。符号付きハッシュのペアがハッシュ衝突を利用することによる改竄を排除するために使用されるとき、２個のハッシュは、異なるハッシュ衝突を有する異なるタイプのハッシュである。たとえば、ハッシュのペアがハッシュ衝突を利用することによる署名改竄を排除するために使用されるとき、一方のハッシュはＭＤ５である可能性があり、もう一方のハッシュはＳＨＡ１のように異なる衝突特性を備える異なるハッシュである。単一のハッシュが２回使用されるならば、ハッシュの計算は正確なデータに基づいている可能性があり、２回目のハッシュは、ユーザがシステムに対して同じパスワードを選択するときに、同一の乱数化されたパスワード値がデータベースに記憶されることを排除するようにパスワードを乱数化するために加算されたＳＡＬＴ値に類似したＳＡＬＴ化されたハッシュを使用して計算され得る（ＳＡＬＴは暗号を変更するために使用されるランダムなデータの文字列である）。２個の同一のハッシュが使用されるとき、１回目には変更されることなく正確な値が使用され、２回目には、符号付きのデータの２回目のハッシュを計算するときに適用されるランダム化器又は白色化器が使用され得る。データがハッシュ衝突を利用するために改竄されているならば、利用された衝突が２つの計算されたハッシュのうちの一方だけに存在するので、ランダム化器又は白色化器はハッシュ衝突利用を失敗させる原因となり得る。なぜならば、１回目のハッシュは正確なデータであり、２回目のハッシュは第１のハッシュ関数によって使用されたデータをランダム化又は白色化するので、各ハッシュ計算はハッシュ関数への入力として異なるデータを使用しているからである。ランダム化器又は白色化器は、排他的論理和（ＸＯＲ）関数のような簡単な関数でもよく、又は、異なる入力データを２回目のハッシュ計算に供給するために使用される種から導出された乱数のようなもっと複雑な関数でもよい。
【０１８５】
本明細書に記載されている実施形態は、セキュリティ又は認証システムがハッカー行為を受けるか、さもなければ、危険に晒されるならば、更新可能性の態様を含む場合がある。ある種の事例では、更新可能性は、単に暗号化技術を次から次へと変更することによって実現され得る。たとえば、高度暗号化標準（ＡＥＳ）１２８暗号化スキームが利用され、ハッカー行為を受けているならば、マサチューセッツ州ベッドフォードのＲＳＡ Ｓｅｃｕｒｉｔｙ社によって開発されたようなＲＣ−４暗号化スキームといった別の標準への迅速な移行は、数日又は数週間に亘るコンテンツの保護に役立つであろう。この場合に、システム設計者は、後日に元の暗号化方法を再利用するために、元の暗号化方法を更新するための時間が得られる。
【０１８６】
ネットワークのサーバ側、クライアント側、及び、ピア・ツー・ピアユーザは互いの気持ちを理解することもあるが、全ユーザの１つの主要な関心事は、種々のリスクに対する自分自身の保護である。ネットワーク使用時の主なリスクは以下の通りである。
１．クライアントは、身元不明のエンティティからスパム電子メール及びウィルスを受け取る（クライアント側リスクの一例）。
２．ウェブベースの小売業者は、特に、長距離電話サービスのような即時消費顧客サービスに関して、盗まれたクレジットカード、盗用された個人情報などを使用する顧客からの高度の不正行為に晒される（サーバ側リスクの一例）。
３．ｅ−Ｂａｙのような電子商取引ネットワーク上のクライアントは、身元不明の買い手又は売り手との取引に入ることを不安に思う（ピア・ツー・ピアリスクの一例）。
【０１８７】
本発明の認証システムは、特定の物理構造物に基づくセキュア認証目的のため、クライアントと小売業者の両方によって使用されるならば、上記の関心事の一部又は全部を解決することができる。
【０１８８】
認証システムは、セキュア有料テレビジョンコンテンツをセットトップボックスへ配信し、公衆ネットワークを介してコンピュータ及びハンドヘルド装置のようなユーザ装置へ機密情報及び素材を送信するためにも使用可能である。このようなコンテンツが漏洩されるか、又は、権限のないユーザへさらに配信されるならば、漏洩のソースを特定することは比較的容易である。システムは、医療、金融、及び、非常時情報のようなその他の機密情報の認証のため使用可能である。早期公開ウィンドウコンテンツ配信、高精細コンテンツ配信、セキュアｅ−Ｂａｙ取引、セキュアバンキング取引、セキュアピア・ツー・ピア取引、セキュア電子メール通信などのような様々なタイプの高価値ネットワークサービスは、このような双方向認証（プロバイダ認証及びクライアント認証）を使用してより容易かつ安全に利用できるようになる。
【０１８９】
当業者は、本明細書に開示されている実施形態と関連して説明されている様々な例示的な論理ブロック、モジュール、回路、及び、アルゴリズムステップが電子ハードウェア、コンピュータソフトウェア、又は、両者の組み合わせとして屡々実施され得ることを理解するであろう。このようなハードウェアとソフトウェアの互換性を明瞭に説明するため、様々な例示的なコンポーネント、ブロック、モジュール、回路、及び、ステップが一般にそれらの機能に関して上述されている。このような機能がハードウェアとして実施されているか、又は、ソフトウェアとして実施されているかどうかは、特定のアプリケーション及びシステム全体に課された設計上の制約に依存している。当業者は特有のアプリケーション毎に様々な方法で上述の機能を実施することが可能であるが、このような実施決定は、発明の範囲からの逸脱を引き起こす原因として解釈されるべきでない。その上、モジュール、ブロック又はステップ内の機能のグループ分けは説明を簡単にするためのものである。特定の機能又はステップは、発明から逸脱することなくあるモジュール又はブロックから移すことが可能である。
【０１９０】
本明細書に開示されている実施形態に関連して記載された様々な例示的な論理ブロック及びモジュールは、本明細書に記載されている機能を実行するために設計された、汎用プロセッサ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）又はその他のプログラマブル論理装置、ディスクリートゲート又はトランジスタロジック、ディスクリートハードウェアコンポーネント、或いは、これらの組み合わせを用いて実施又は実行され得る。汎用プロセッサはマイクロプロセッサでも良いが、代替案では、プロセッサはいかなるプロセッサ、コントローラ、マイクロプロセッサ、又は、状態機械でもよい。プロセッサは、たとえば、ＤＳＰとマイクロプロセッサの組み合わせ、複数台のマイクロプロセッサの組み合わせ、ＤＳＰコアと共に１台以上のマイクロプロセッサの組み合わせ、又は、あらゆるその他のこのような構成のようなコンピューティング装置の組み合わせとして実施されてもよい。
【０１９１】
本明細書に開示されている実施形態と関連して記載された方法又はアルゴリズムのステップは、直接的にハードウェアに、プロセッサによって実行されるソフトウェアモジュールに、又は、両方の組み合わせの中に具現化され得る。ソフトウェアモジュールは、ＲＡＭメモリ、フラッシュメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭメモリ、レジスタ、ハードディスク、リムーバブルディスク、ＣＤ−ＲＯＭ、又は、何らかのその他の形式の記憶媒体に存在する。典型的な記憶媒体は、プロセッサが記憶媒体から情報を読み出し、記憶媒体に情報を書き込むことができるように、プロセッサに結合され得る。代替案では、記憶媒体はプロセッサに一体化され得る。プロセッサ及び記憶媒体はＡＳＩＣに存在することがある。
【０１９２】
様々な実施形態は、たとえば、特定用途向け集積回路（ＡＳＩＣ）又はフィールドプログラマブルゲートアレイ（ＦＰＧＡ）のようなコンポーネントを使用して、主としてハードウェアで実施することも可能である。本明細書に記載されている機能を実行する能力を備えたハードウェア状態機械の実施もまた関連技術における当業者に明らかであろう。様々な実施形態はハードウェアとソフトウェアの両方の組み合わせを使用して実施されることもある。
【０１９３】
開示されている実施形態の上記の説明は、当業者が発明を実施又は使用できるように記載されている。これらの実施形態への様々な変更は当業者に容易に明らかであり、本明細書に記載されている一般的な原理は発明の精神又は範囲を逸脱することなくその他の実施形態に適用され得る。したがって、ここで公開されている明細書及び図面は、発明の現時点での好ましい実施形態を表現し、したがって、本発明によって広義に考慮されている主題を表していることが理解されるべきである。さらに、本発明の範囲は当業者に明白になるその他の実施形態を完全に包括すること、及び、本発明の範囲はしたがって請求項に記載された事項以外によって限定されないことが理解されるべきである。
【図面の簡単な説明】
【０１９４】
【図１】発明の典型的な実施形態による認証システムと方法を使用するネットワークを説明するブロック図である。
【図２】発明の典型的な実施形態による認証サービスのためのクライアントをサービスプロバイダに最初に登録する方法を説明するフローチャートである。
【図３】図２に示されているような初期登録後に加入者又はクライアントを識別する方法を説明するフローチャートである。
【図４】発明の実施形態においてユーザのリアルタイム認証のため使用される論理プロセスのステップ及びデータ記憶モジュールを説明する論理図である。
【図５】発明の別の実施形態による認証システムを説明するブロック図である。
【図６】第２レベルの認証を提供するための図５のシステムの変更を説明するブロック図である。
【図７】図５及び６の認証システムの初期セットアップを説明するフローチャートである。
【図８】システムのクライアントであるネットワークパートナー候補を認証するための発明の実施形態における認証システムの使用を説明するフローチャートである。
【図９】コンテンツファイルの透かしを提供する変更された認証システムを説明するブロック図である。
【図１０】発明の別の実施形態による変更された認証システムを説明するブロック図である。
【図１１】図１０の実施形態のホームユニット又はビルディングユニットのブロック図である。
【図１２】図９に類似しているが、双方向認証を提供する変更された認証システムを説明するブロック図である。
【図１３】発明の実施形態による認証方法を説明するフローチャートである。
【図１４】マーチャントネットワークから発信され、認証済みゲートウェイ又に接続されているユーザ装置又はビルディングに取り付けられているセキュアコンポーネントが宛先とされたメッセージ内の暗号レイヤを説明するブロック図である。

【特許請求の範囲】
【請求項１】
ビルディングに物理的に接続されているセキュアコンポーネントと、
前記セキュアコンポーネントにリンクされている前記ビルディング内の少なくとも１台のユーザ装置と、
セキュリティサーバと、
前記セキュリティサーバを前記セキュアコンポーネントにリンクする少なくとも１つのネットワークと、
を備え、
前記セキュリティサーバが前記セキュアコンポーネントのための物理接続識別情報（ＩＤ）を決定し、前記物理接続ＩＤを、前記ユーザ装置を使用するネットワークサービス加入者と関連付けるように構成されている、
ネットワークユーザ認証システム。
【請求項２】
前記セキュアコンポーネントが前記ビルディングに接続されている専用回線である請求項１に記載のシステム。
【請求項３】
前記回線が前記ビルディングに接続されている一端を有するブロードバンド電気通信回線である請求項２に記載のシステム。
【請求項４】
前記回線がデジタル加入者線（ＤＳＬ）である請求項２に記載のシステム。
【請求項５】
前記回線がファイバ回線である請求項２に記載のシステム。
【請求項６】
前記回線が前記ビルディングへの専用無線リンクである請求項２に記載のシステム。
【請求項７】
前記セキュリティサーバが少なくとも１つのネットワークを介して前記セキュアコンポーネントにリンクされている独立型サーバである請求項１に記載のシステム。
【請求項８】
サービスプロバイダネットワークエッジサイトと、前記エッジサイトと前記ビルディングとの間に通信を提供する少なくとも１本の接続回線と、前記エッジサイトにリンクされているサービスプロバイダデータセンターと、をさらに備え、前記セキュアコンポーネントが前記エッジサイトから前記ビルディングまでの前記接続回線を構成している請求項１に記載のシステム。
【請求項９】
前記接続回線に接続され、前記接続回線と前記ビルディング内の各ユーザ装置との間にインターフェイスを提供するように構成されている前記ビルディング内のビルディングゲートウェイモジュールをさらに備える請求項８に記載のシステム。
【請求項１０】
前記ユーザ装置が少なくとも１台のパーソナルコンピュータを備える請求項９に記載のシステム。
【請求項１１】
前記ユーザ装置が少なくとも１台のセットトップボックスをさらに備える請求項１０に記載のシステム。
【請求項１２】
前記ユーザ装置が少なくとも１台の無線通信装置をさらに備える請求項１０に記載のシステム。
【請求項１３】
前記無線装置が携帯電話機、個人情報端末、及び、無線コンピュータからなる群より選択される請求項１２に記載のシステム。
【請求項１４】
前記エッジサイトサーバがローカルコミュニティ内の複数のビルディングとの専用通信を提供する専用接続回線を有し、前記エッジサイトサーバが、複数の一意のデジタル証明書を前記データ記憶モジュールに保存し、各デジタル証明書を、前記デジタル証明書と関連付けられている前記ビルディングに接続されているそれぞれの専用回線とリンクするように構成されているプロセッサモジュールを有する請求項９に記載のシステム。
【請求項１５】
各ビルディング内に、前記ゲートウェイモジュールにリンクされ、それぞれのビルディングを前記エッジサイトサーバに接続する前記専用回線と関連付けられている前記一意のデジタル証明書を使用する前記セキュアネットワーク通信のため構成されている複数台のユーザ装置をさらに備える請求項１４に記載のシステム。
【請求項１６】
前記ゲートウェイモジュールが前記一意のデジタル証明書と関連付けられている第１のハードウェアセキュリティ素子を有する請求項１４に記載のシステム。
【請求項１７】
前記ハードウェアセキュリティ素子がユニバーサルシリアルバス（ＵＳＢ）ドングル、スマートカード、ＳＩＭチップ、及び、信頼できるプラットフォームモジュール（ＴＰＭ）からなる群より選択される請求項１６に記載のシステム。
【請求項１８】
前記ユーザ装置が前記ゲートウェイモジュール内の前記第１のハードウェアセキュリティ素子と暗号的にアライメントされ同期させられている第２のハードウェアセキュリティ素子を有する請求項１６に記載のシステム。
【請求項１９】
前記ゲートウェイモジュールが前記一意のデジタル証明書と関連付けられている少なくとも１台のハードウェアセキュリティ素子を有し、各ユーザ装置が前記ゲートウェイモジュール内のハードウェアセキュリティ素子と暗号的にアライメントされ同期させられているハードウェアセキュリティ素子を有する請求項１４に記載のシステム。
【請求項２０】
少なくとも１台の前記ユーザ装置が第１の加入者識別モジュール（ＳＩＭ）チップを備えるセキュリティ素子を有する無線装置であり、前記ゲートウェイモジュールが認証済み無線通信目的のため前記第１のＳＩＭチップと通信するように構成されている第２のＳＩＭチップを有する請求項１９に記載のシステム。
【請求項２１】
前記ユーザ装置と関連付けられ、一意の透かしペイロードを公衆ネットワークを介して前記ユーザ装置によって受信された全コンテンツファイルに挿入するように構成されているセッションベース透かしモジュールをさらに備える請求項１に記載のシステム。
【請求項２２】
前記セッションベース透かしモジュールが一意のデジタル証明書と関連付けられているユーザ秘密鍵を用いて前記透かしペイロードに暗号的に署名するようにさらに構成されている請求項２１に記載のシステム。
【請求項２３】
ビルディング内のユーザ装置を認証するネットワークユーザ認証システムであって、
ビルディングに物理的に接続され、前記ユーザ装置と関連付けられているセキュアコンポーネントと、
認証サーバと、
前記認証サーバを前記セキュアコンポーネントにリンクする少なくとも１つのネットワークと、
を備え、
前記認証サーバが、前記ユーザ装置と関連付けられているクライアントＩＤを作成し、前記セキュアコンポーネントを識別し、一意のデジタル証明書を前記セキュアコンポーネントと関連付けるように構成されている信頼できる経路証明モジュールと、前記クライアントＩＤ及び関連付けられているデジタル証明書を保存するデータ記憶モジュールとを有し、
前記認証サーバが公衆ネットワークを介する前記ユーザ装置とその他のユーザ装置との間のセキュア通信のため前記クライアントＩＤ及び関連付けられているデジタル証明書を使用する検証モジュールをさらに備える
ネットワークユーザ認証システム。
【請求項２４】
前記セキュアコンポーネントが前記ビルディングに接続されている専用回線を備え、前記デジタル証明書が前記専用回線のネットワークベース識別情報を備える請求項２３に記載のシステム。
【請求項２５】
前記デジタル証明書がＸ．５０９ベースデジタル証明書を備える請求項２３に記載のシステム。
【請求項２６】
前記セキュアコンポーネントと関連付けられ、プロセッサモジュール及びデータ記憶モジュールを有するコントロールユニットをさらに備え、前記認証サーバが前記デジタル証明書を前記コントロールユニットへ送信するように構成されている証明書転送モジュールをさらに備え、前記プロセッサモジュールが前記デジタル証明書を前記データ記憶モジュールに保存し、公衆ネットワークを介する前記ユーザ装置と他のウェブサーバとの間のセキュア通信のため前記デジタル証明書を使用するように構成されている請求項２３に記載のシステム。
【請求項２７】
公衆ネットワークを介するセキュア通信のためネットワークユーザを認証する方法であって、
ビルディングに物理的に取り付けられているセキュアコンポーネント及び少なくとも１つのプライベートネットワークを介して認証サーバでビルディング内のユーザ装置からビルディング認証の要求を受信するステップと、
前記ユーザ装置のユーザの加入者識別情報（加入者ＩＤ）を決定するステップと、
前記セキュアコンポーネントの物理接続識別情報（物理接続ＩＤ）を検証するステップと、
前記加入者ＩＤ及び関連付けられている物理接続ＩＤの記録を保存するステップと、
接続中の加入者から受信されたサービスの要求毎に前記接続中の加入者によって使用されている前記セキュアコンポーネントの現在物理接続ＩＤを決定するステップと、
検証目的のため前記現在物理接続ＩＤを同じ加入者ＩＤに関して事前に保存されている物理接続ＩＤと比較するステップと、
前記検証が成功である場合に限り前記サービスを提供するステップと、
を備える方法。
【請求項２８】
ネットワークデータ構造内で利用可能な情報から前記物理接続識別情報を決定するステップをさらに備える請求項２７に記載の方法。
【請求項２９】
前記物理接続ＩＤを備える一意のデジタル証明書を前記物理接続と関連付けるステップと、前記一意のデジタル証明書を前記物理接続と関連付けられているデータ記憶エリアに保存するステップと、公衆ネットワークを介するネットワークパートナー候補とのネットワーク通信における検証目的のため前記一意のデジタル証明書を使用するステップと、をさらに備える請求項２７に記載の方法。
【請求項３０】
前記セキュアコンポーネント内の第１のハードウェアセキュリティ素子を前記一意のデジタル証明書と関連付けるステップと、前記ビルディング内の少なくとも１台のユーザ装置内のハードウェアセキュリティ素子を前記第１のハードウェアセキュリティ素子と暗号的にアライメントするステップと、をさらに備える請求項２９に記載の方法。
【請求項３１】
前記ビルディングと関連付けられている一意の透かしペイロードをネットワーク経由で前記ビルディング内のユーザ装置によって受信されたコンテンツファイルに挿入するステップをさらに備える請求項２７に記載の方法。
【請求項３２】
前記セキュアコンポーネントの地理座標を決定するため前記セキュアコンポーネントで位置センサを使用して前記ビルディングの地理位置を検証するステップをさらに備える請求項３１に記載の方法。
【請求項３３】
前記ビルディング内のユーザ装置が公衆ネットワークを介してネットワークパートナー候補とセキュア通信を開始するたびに、前記ビルディングの前記地理位置が検証される請求項３２に記載の方法。
【請求項３４】
ビルディングに物理的に接続され、前記ビルディング内の少なくとも１台のユーザ装置と関連付けられているセキュアコンポーネントと、
前記セキュアコンポーネントと関連付けられ、プロセッサモジュール及び前記プロセッサモジュールと関連付けられているデータ記憶モジュールを有するコントロールユニットと、
認証サーバと、
前記認証サーバを前記コントロールユニットにリンクする少なくとも１つのネットワークと、
を備え、
前記認証サーバが、一意のデジタル証明書を前記セキュアコンポーネントと関連付け、前記一意のデジタル証明書を前記セキュアコンポーネントと関連付けられている前記コントロールユニットへ送信するように構成され、
前記プロセッサモジュールが、前記一意のデジタル証明書を前記データ記憶モジュールに保存し、公衆ネットワークを介する前記ユーザ装置と他のウェブサーバとの間のセキュア通信のため前記デジタル証明書を使用するように構成されている
ネットワークユーザ認証システム。
【請求項３５】
前記認証サーバが公益事業会社サーバである請求項３４に記載のシステム。
【請求項３６】
前記コントロールユニットが、近傍にある複数のビルディングに認証サービスを提供するように構成され、各専用回線が前記ビルディングの１つずつに接続されている複数の専用回線を有するエッジサイトサーバを備え、前記プロセッサモジュールが、複数の一意のデジタル証明書を前記データ記憶モジュールに保存し、各デジタル証明書を前記デジタル証明書が関連付けられている前記ビルディングに接続されている１つずつの専用回線とリンクするように構成されている請求項３４に記載のシステム。
【請求項３７】
前記認証サーバが前記エッジサイトサーバにリンクされている公益事業会社サーバである請求項３６に記載のシステム。
【請求項３８】
公益事業会社ネットワークを介して前記エッジサイトサーバにリンクされている公益事業会社サーバをさらに備え、前記認証サーバが前記エッジサイトサーバとの通信のため前記公益事業会社サーバにリンクされている別個のサーバを備える請求項３６に記載のシステム。
【請求項３９】
前記専用回線に接続されている前記ビルディング内にあり、前記ユーザ装置にリンクされているゲートウェイモジュールをさらに備える請求項３４に記載のシステム。
【請求項４０】
前記ビルディング内に複数台の付加的なユーザ装置をさらに備え、前記プロセッサモジュールが前記ビルディング内の前記付加的なユーザ装置と通信するように構成されている請求項３９に記載のシステム。
【請求項４１】
前記セキュアコンポーネントが前記ビルディングの構造的コンポーネントに物理的に接続されているセキュアボックスであり、前記コントロールユニットが前記セキュアボックス内に収容され、前記プロセッサモジュールが前記ユーザ装置との通信のため構成されている請求項３４に記載のシステム。
【請求項４２】
前記コントロールユニットが地理位置座標を提供するため前記プロセッサモジュールに接続された位置センサをさらに備え、前記プロセッサモジュールが前記地理位置座標を前記認証サーバへ送信するように構成され、前記認証サーバが前記ビルディングの位置を検証するために前記地理位置座標を使用するように構成されている請求項４１に記載のシステム。
【請求項４３】
前記コントロールユニットが前記デジタル証明書と暗号的にアライメントされている第１のハードウェアセキュリティ素子を備える請求項３４に記載のシステム。
【請求項４４】
前記ユーザ装置が前記第１のハードウェアセキュリティ素子と暗号的にアライメントされている第２のハードウェアセキュリティ素子を有する請求項４３に記載のシステム。

【図１】

【図２】

【図３】

【図４】

【図５】

【図６】

【図７】

【図８】

【図９】

【図１０】

【図１１】

【図１２】

【図１３】

【図１４】

【公表番号】特表２００９−５１５２３２（Ｐ２００９−５１５２３２Ａ）
【公表日】平成２１年４月９日（２００９．４．９）
【国際特許分類】
【出願番号】特願２００８−５２３０１１（Ｐ２００８−５２３０１１）
【出願日】平成１８年７月２０日（２００６．７．２０）
【国際出願番号】ＰＣＴ／ＵＳ２００６／０２８５０５
【国際公開番号】ＷＯ２００７／０１２０８３
【国際公開日】平成１９年１月２５日（２００７．１．２５）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．イーサネット
２．ＥＴＨＥＲＮＥＴ
３．ＪＡＶＡ
４．ＷＩＮＤＯＷＳ
５．Ｌｉｎｕｘ
【出願人】（５０８０１９９３１）ベリマトリックス、インコーポレーテッド (5)
【氏名又は名称原語表記】ＶＥＲＩＭＡＴＲＩＸ，　ＩＮＣ．
【Ｆターム（参考）】