画像形成装置
【課題】 従来の方式では、ネットワークポートの開閉制御がＮＡＴで行われており、ポート番号が自動的に変更するような通信端末が存在している場合や、ＮＡＴが存在しない環境では、ネットワークセキュリティを向上する事が出来ない。
【解決手段】 ＳＩＰセッション確立時に、通信相手が対象のサービスを利用可能かどうか判断する。サービス利用可能な場合のみ、対象のポートをオープンする。ポートオープン時にも、ＳＩＰセッション確立機器以外からのデータ受信を行わない。また、サービスが利用するポート番号を毎回変更することで利用するポート番号を隠蔽する。
【解決手段】 ＳＩＰセッション確立時に、通信相手が対象のサービスを利用可能かどうか判断する。サービス利用可能な場合のみ、対象のポートをオープンする。ポートオープン時にも、ＳＩＰセッション確立機器以外からのデータ受信を行わない。また、サービスが利用するポート番号を毎回変更することで利用するポート番号を隠蔽する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、SIPを利用したネットワークセキュリティ向上技術に関する。
【背景技術】
【０００２】
近年、イントラネットやインターネット上でサービスを提供する技術が幅広く普及している。その手法の一つとして、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）やＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）が利用されている。これらのプロトコルは、ポート番号という概念でサービスを管理し、そのポートをオープンすることで特定のサービスデータのみを送受信する仕組を持つ。しかし、ＴＣＰやＵＤＰの普及に伴って、オープンされたポートに対してデータを送信し受信機器側の機能を阻害する攻撃（ポートアタック）が報告されている。
【０００３】
一方、ネットワーク上の通信機器との間に仮想的なセッションを成立し、セッションが成立している間はサービスを保証するＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＲＦＣ３２６１）が普及している。ＳＩＰでは、セッションを確立時に、利用したいサービス及び提供するサービスの情報を通信機器間でやり取りする事により、セッション内で利用するサービスを決定する。ＳＩＰセッション内のサービスとしてＴＣＰやＵＤＰが利用される場合、サービスが利用するためにオープンされるポート番号が、サービス情報として含まれることが一般的である。
【０００４】
前述したＴＣＰ及びＵＤＰのポートアタックを防ぐ方法として、このＳＩＰを利用する方式が考えられている。例えば、特許文献１に特記されているように、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）を利用し、ＮＡＴと通信端末間でＳＩＰセッションが確立している間のみポートをオープンしておくという手法がある。これにより、ポートのオープン時間を短くし、ポートアタックの可能性を低下、ネットワークセキュリティを向上することが出来る。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−７８８２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ＳＩＰを利用したネットワークセキュリティ向上の従来方式では、ＮＡＴを設置する必要があり、かつ、そのネットワーク内に存在する通信端末がサービスに利用するポート番号を固定してＮＡＴに設定しておく必要がある。これでは、ポート番号が自動的に変更するような通信端末が存在している場合や、ＮＡＴが存在しない環境では、ポートアタックを防ぐ事が出来ない。
【課題を解決するための手段】
【０００７】
ネットワーク上の通信機器との間でデータ送受信を行う手段（２０９）と、
ネットワーク上の通信機器を特定する手段（３０１）と、
ネットワーク上の通信機器からのＳＩＰセッション接続要求を受信する手段（７０１）と、
前記通信機器が、自装置内の、どのサービスを利用可能か判断する手段（３０５）と、
前記サービスの利用可否に応じてＳＩＰセッションの確立有無を変更する手段（７０２）と、
前記ＳＩＰセッション確立と同時に、対象のサービスで利用するネットワークポートをオープンする手段（３０３）と、
特定のネットワークポートをオープンしている間は、前記特定の通信機器以外から対象のネットワークポートへのデータ受信した際には、そのデータを破棄あるいは拒否する手段（３０４）と、
ＳＩＰセッション切断と同時に、特定のネットワークポートをクローズする手段（３０３）と、
を有する画像形成装置。
前記手段において、
ＳＩＰセッションの確立時に、対象のサービスで利用するネットワークポートを自動選出し利用する手段（３０５）と、
ＳＩＰセッション確立時に、前記自動選出されたポートをオープンする手段（３０３）と、
ＳＩＰセッション確立時に送信するＳＩＰメッセージ内で、前記自動選出されたポートを通史する手段（３０１）と、
を有する画像形成装置。
【発明の効果】
【０００８】
本発明によると、サービスに利用するポート番号が動的に変更するような場合や、利用するＮＡＴが存在しない環境においても、ＳＩＰを利用したポート開閉制御が可能となる。さらに、ＳＩＰセッションを確立した通信機器以外から受信したデータを破棄あるいは拒否する事により、対象の通信機器以外からの攻撃を確実に防ぐ事が出来る。また、サービスが利用するネットワークポート番号を、ＳＩＰセッション毎に動的に変更することにより、オープンしているポートを隠蔽する事が出来る。
【図面の簡単な説明】
【０００９】
【図１】ネットワーク構成を示す図である。
【図２】本発明における画像形成装置のＨ／Ｗ構成を示す図である。
【図３】本発明における画像形成装置のＳ／Ｗ構成を示す図である。
【図４】ＳＩＰセッション確立時のシーケンスを示す図である。
【図５】ＳＩＰメッセージの例を示す図である。
【図６】本発明で利用する認証データベースを示す表である。
【図７】本発明におけるＳＩＰ制御部３０１のセッション確立フローを示す。
【図８】ＳＩＰセッション切断時のシーケンスを示す図である。
【図９】本発明におけるＳＩＰ制御部３０１のセッション切断フローを示す。
【発明を実施するための形態】
【００１０】
以下、本発明を実施するための最良の形態について図面を用いて説明する。
【００１１】
図１は本発明を適用した画像形成装置を使用したネットワークの構成を示す図である。
【００１２】
画像形成装置１０１とホストコンピュータ１０２、ホストコンピュータ１０３がネットワークＮＥＴを介して接続され、相互に通信可能となっている。画像形成装置１０１、ホストコンピュータ１０２、ホストコンピュータ１０３は、ＳＩＰ機能が有効になっており、それぞれ、ＳＩＰアドレスを保持している。本実施例では画像形成装置１０１のＳＩＰアドレスは、＜１０１＠ＩＮＴＥＲＮＡＬ＞とする。ホストコンピュータ１０２のＳＩＰアドレスは、＜１０２＠ＩＮＴＥＲＮＡＬ＞とする。ホストコンピュータ１０３のＳＩＰアドレスは、＜１０３＠ＧＵＥＳＴ＞とする。ホストコンピュータ１０２は、画像形成装置１０１のサービスの１つであるＲＡＷ（Ｒｅａｄ Ａｆｔｅｒ Ｗｒｉｔｅ）印刷機能を利用することが出来るユーザが利用する。一方、ホストコンピュータ１０３は、来客用の端末であり、印刷装置１０１のＲＡＷ印刷機能を利用することが出来ないユーザが利用する。
【００１３】
図２は、本発明の機能が搭載されている画像形成装置１０１のハードウェア構成を示すブロック図である。スキャナＩ／Ｆ制御部２０１は、スキャナ２１３を制御する装置である。ＣＰＵ２０２は、印刷装置のソフトウェアプログラムを実行し、装置全体の制御を行う。ＲＯＭ２０３は、リードオンリーメモリであり、装置のブートプログラムや固定パラメータ等が格納されている。ＲＡＭ２０４は、ランダムアクセスメモリであり、ＣＰＵ２０２が装置を制御する際に、一時的なデータの格納などに使用する。ＨＤＤ２０５は、ハードディスクドライブであり、印刷データの格納など、様々なデータの格納に使用する。プリンタＩ／Ｆ制御部２０６は、プリンタ２１２を制御する装置である。ＮＶＲＡＭ２０７は、不揮発性のメモリであり印刷装置の各種設定値を保存するためのものである。パネル制御部２０８は、オペレーションパネル２１４を制御し、各種情報の表示、使用者からの指示入力を行う。ネットワークＩ／Ｆ制御部２０９は、ＮＥＴとのデータの送受信を制御する。バス２１０は、スキャナＩ／Ｆ制御部２０１、ＣＰＵ２０２、ＲＯＭ２０３、ＲＡＭ２０４、ＨＤＤ２０５、プリンタＩ／Ｆ制御部２０６、ＮＶＲＡＭ２０７、パネル制御部２０８、ネットワークＩ／Ｆ制御部２０９が接続され、ＣＰＵ２０２からの制御信号や各装置間のデータ信号が送受信されるシステムバスである。
【００１４】
図３は、本発明の機能が搭載されている画像形成装置１０１のソフトウェア構成を示すブロック図である。
【００１５】
ＳＩＰ制御部３０１は、ネットワークＩＦ御部３０６を経由してＮＥＴ上に存在する通信機器との間で、ＳＩＰパケットの送受信を行う。印刷制御部３０２は、ＮＥＴ上に存在する通信機器からデータを受け取り、画像形成装置１０１で印刷を行うための制御を行う。ポート制御部３０３は、ＳＩＰ制御部３０１からポートの開閉指示を受け、ＴＣＰ及びＵＤＰのポート開閉を制御する。データフィルタ制御部３０５は、ＳＩＰ制御部３０１からの指示を受け、ポートと通信機器のＩＰアドレスから判断した結果に応じて、受信データの破棄あるいは拒否を行う。認証処理部３０５は、通信機器のＳＩＰアドレスやＩＰアドレスを元に、画像形成装置１０１で提供するサービスの利用可否を判断する。ネットワークＩＦ制御部３０６は、ＴＣＰ／ＩＰ、ＵＤＰ／ＩＰ機能を保持し、ＮＥＴ上の通信機器とのデータ送受信を制御する。
【００１６】
図４は、ＳＩＰ制御部３０１が担うＳＩＰ確立処理の例を示したシーケンス図である。例として、（ａ）は、本実施例におけるホストコンピュータ１０２が、画像形成装置１０１に対してＳＩＰセッションの確立を希望する場合のシーケンス図を示す。ホストコンピュータ１０２は、画像形成装置１０１に対して、ＩＮＶＩＴＥメッセージを送信する（４０１）。ＩＮＶＩＴＥメッセージには、ＳＩＰセッションを確立したい通信相手のＳＩＰアドレスが含まれている。また、ＩＮＶＩＴＥメッセージには、ＳＩＰセッションで利用したいサービス情報が含まれている。画像形成装置１０１は、自装置宛のＩＮＶＩＴＥメッセージを受信すると、ＩＮＶＩＴＥメッセージに含まれているサービス情報を精査し、提供可能なサービスであれば、２００ ＯＫメッセージを送信する（４０２）。ホストコンピュータ１０２は、２００ ＯＫメッセージを受信すると、２００ ＯＫメッセージを受信したことを示すＡＣＫメッセージを送信する（４０３）。これによって、ホストコンピュータ１０２と画像形成装置１０１間に、ＩＮＶＩＴＥメッセージに含まれたサービス情報を実現するためのＳＩＰセッションが確立したこととなる。（ｂ）は、ホストコンピュータ１０２から受信したＩＮＶＩＴＥメッセージに含まれるサービスが画像形成装置１０１で提供できない場合のシーケンス例である。
【００１７】
画像形成装置１０１は、ホストコンピュータ１０２から送信されたＩＮＶＩＴＥメッセージ（４０４）に対して、４８８ Ｎｏｔ Ａｃｃｅｐｔａｂｌｅ Ｈｅｒｅ メッセージを送信することによって、サービスが提供できない旨を通知する。（ｃ）は、ＳＩＰセッション確立処理を実施する前に、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）による認証を行う場合のシーケンスを示す。ＴＬＳは、ＲＦＣ４３４６等に規定されたプロトコルで、通信機器の認証や通信路の暗号化を可能にする。さらに、デジタル証明書を利用する事によって通信機器の認証、さらには通信機器を利用しているユーザの認証を実現することが出来る。ＳＩＰセッション確立前に、このプロトコル処理内でサービス可否を判断することが可能とするためのシーケンスが本例である。ホストコンピュータ１０２からＩＮＶＩＴＥメッセージ（４０６）を受信した際に、画像形成装置１０１は、４０１ Ｕｎａｕｔｈｅｎｔｉｃａｔｅｄメッセージ（４０７）を送信し、ＴＬＳ処理を促している。
【００１８】
図５（ａ）は、ＳＩＰで利用するＩＮＶＩＴＥメッセージの例である。ＩＮＶＩＴＥメッセージ内のTo: から始まる行には、宛先ＳＩＰアドレスが含まれる（５０１）。本例では、画像形成装置１０１のＳＩＰアドレスである、１０１＠ＩＮＴＥＲＮＡＬと記載している。ＩＮＶＩＴＥメッセージ内のc=から始まる行（５０２）は、ＩＮＶＩＴＥメッセージ送信元のＩＰレイア情報が含まれている。本例におけるＩＰ４ １９２．１６８．１．１０２は、ホストコンピュータ１０１が保持するＩＰｖ４アドレスが１９２．１６８．１．１０２であることを示す。
【００１９】
サービス情報は、ｍ＝から始まる行に、ＩＮＶＩＴＥメッセージ送信元で提供するサービスのトランスポートプロトコル及び、ポート番号を記載することによって通知している（５０３）。本例では、９１００ ＴＣＰ という記載があることより、ＴＣＰのポート番号９１００を利用したサービスを提供する旨を示し、かつ、通信相手にも同等のサービスを期待するという意味を持っている。
【００２０】
図５（ｂ）は、ＳＩＰのＩＮＶＩＴＥメッセージに対する２００ ＯＫメッセージの例である。２００ ＯＫメッセージでは、ＩＮＶＩＴＥメッセージを受信した端末のサービス情報を記載している（５０４）。サービス情報はＩＮＶＩＴＥメッセージと同様、ｍ＝から始まる行に記載され、本例では、９１００ ＴＣＰ という記載があることより、ＴＣＰのポート番号９１００を利用したサービスを提供する旨を示す。
【００２１】
図６は、認証処理部３０５が利用する認証データベースである。認証処理部３０５は、ＳＩＰ制御部３０１から認証要求を受けた際に、このデータベースを参照し、サービス要求元が、そのサービスの利用可否を判断し、結果をＳＩＰ制御部３０１に返す。データベース内の送信元６０１は、ＳＩＰアドレスもしくはＩＰアドレスが格納され、それぞれに対して、サービス種別６０２の利用可否が判断できる仕組みになっている。本実施例では、このデータベースに、＊＠ＩＮＴＥＲＮＡＬのＳＩＰアドレスは、ＲＡＷ印刷を許容する旨が記載されているものとする。なお、＊は＠ＩＮＴＥＲＮＡＬというドメインを持つ全てのＳＩＰアドレスが該当することを示す。そのため、ホストコンピュータ１０２は、ＲＡＷ印刷が許容されていることになる。また、＊＠ＧＵＥＳＴのＳＩＰアドレスは、ＲＡＷ印刷が拒否されているものとする。同様に、＊は＠ＧＵＥＳＴというドメインを持つ全てのＳＩＰアドレスが該当することを示す。つまり、ホストコンピュータ１０３はＲＡＷ印刷が拒否されていることになる。データベースの送信元としては、ＩＰアドレスを利用しても良い。
【００２２】
認証処理部３０５は、このデータベースを用いた認証処理の他に、ＳＩＰセッション確立前にＳＩＰセッション確立要求元との間で、ＴＬＳを利用した認証を行う機能も保持する。認証処理部３０５は、このプロトコルを利用する事により、データベース６０１を利用した認証処理と同等の機能を提供することが出来る。
【００２３】
図７は、ＳＩＰ処理部３０１のＳＩＰセッション確立処理フローを示す。ＳＩＰ処理部３０１は、ネットワークＩＦ制御部３０６を経由して、ＳＩＰのＩＮＶＩＴＥメッセージを受信する（７０１）。ＳＩＰ処理部３０１は、ＩＮＶＩＴＥメッセージから送信元ＳＩＰアドレスおよび、送信元のＩＰアドレス、利用するサービス情報を、認証処理部３０５に通知し、サービス利用可否の判断を行う（７０２）。ＳＩＰ制御部３０１は、認証処理部３０５からＴＬＳを要求する結果を受けた場合は、図４（ｃ）のシーケンスに従い、通信相手にＴＬＳ要求を行い（７０３）、再度ＩＮＶＩＴＥメッセージを待つ。ＳＩＰ制御部３０１は、認証処理部３０５から、サービス利用不可の結果を受けた場合は、図４（ｂ）のシーケンスに従って、処理を終了する。ＳＩＰ制御部３０１は、認証処理部３０５から、サービス利用可の結果を受けた場合、ポート制御部３０３に対象のポートをオープンするように要求を行う（７０４）。これにより、画像形成装置の特定サービスに対するネットワークポートが初めてオープンされることになり、それ以前にポートアタックされる可能性を防ぐことが出来る。さらに、認証処理部３０５は、ＳＩＰ制御部３０１からサービス利用可否の判断要求を受けた場合に、サービス利用可能な場合は、対象のサービスが利用可能なポート番号を、自動的に選出し、ＳＩＰ制御部３０１に通知しても良い。この場合、ＳＩＰ制御部３０１は、認証処理部３０５から通知されたポート番号をポート制御部３０３に通知しポートオープンを要求する。これによって、サービスが利用されるポート番号を隠蔽する事が出来、ポートアタックをより強固に防ぐ事が出来る。
【００２４】
ＳＩＰ制御部３０１は、データフィルタ制御部３０４に対して、通信相手のＩＰアドレスと利用するポート番号を通知する（７０５）。データフィルタ制御部３０４は、７０５の通知を受けると、ＩＰレイアでのネットワーク監視を開始し、対象のＩＰアドレスからの対象ポートへのデータ以外は、破棄、もしくは拒否する。拒否としては、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｒｏｌ）のＰｏｒｔ Ｕｎｒｅａｃｈａｂｌｅメッセージを送信する手法を用いても良い。これによって、認証された通信相手に対して、ネットワークポートがオープンされていることを知られることを防ぐ事が出来る。ＳＩＰ制御部３０１は、その後、図４（ａ）のシーケンスに従って、ＳＩＰセッション確立処理を実施する。
【００２５】
図８は、ＳＩＰ制御部３０１が担うＳＩＰ切断処理の例を示したシーケンス図である。本実施例におけるホストコンピュータ１０２が、画像形成装置１０１に対してＳＩＰセッションの切断を希望する場合のシーケンス図を示す。ホストコンピュータ１０２からＢＹＥメッセージを受信すると、ＳＩＰ制御部３０１は、ＢＹＥメッセージを受信すると（８０１）、切断を受け入れた旨を示す２００ ＯＫメッセージを送信する（８０２）。
【００２６】
図９は、ＳＩＰ処理部３０１のＳＩＰセッション切断処理フローを示す。ＳＩＰ処理部３０１は、ネットワークＩＦ制御部３０６を経由して、ＳＩＰのＢＹＥメッセージを受信する（９０１）。ＳＩＰ処理部３０１は、ポート制御部３０３に対象のポートをクローズするように要求を行う（９０２）。その後、ＳＩＰ制御部３０１は、データフィルタ制御部３０４に対して、データフィルタの解除を要求し（９０３）、図８のシーケンスにしたがって、ＳＩＰセッション切断処理を行う（９０４）。
【符号の説明】
【００２７】
１０１ 画像形成装置
１０２ ホストコンピュータ
１０３ ホストコンピュータ
【技術分野】
【０００１】
本発明は、SIPを利用したネットワークセキュリティ向上技術に関する。
【背景技術】
【０００２】
近年、イントラネットやインターネット上でサービスを提供する技術が幅広く普及している。その手法の一つとして、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）やＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）が利用されている。これらのプロトコルは、ポート番号という概念でサービスを管理し、そのポートをオープンすることで特定のサービスデータのみを送受信する仕組を持つ。しかし、ＴＣＰやＵＤＰの普及に伴って、オープンされたポートに対してデータを送信し受信機器側の機能を阻害する攻撃（ポートアタック）が報告されている。
【０００３】
一方、ネットワーク上の通信機器との間に仮想的なセッションを成立し、セッションが成立している間はサービスを保証するＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＲＦＣ３２６１）が普及している。ＳＩＰでは、セッションを確立時に、利用したいサービス及び提供するサービスの情報を通信機器間でやり取りする事により、セッション内で利用するサービスを決定する。ＳＩＰセッション内のサービスとしてＴＣＰやＵＤＰが利用される場合、サービスが利用するためにオープンされるポート番号が、サービス情報として含まれることが一般的である。
【０００４】
前述したＴＣＰ及びＵＤＰのポートアタックを防ぐ方法として、このＳＩＰを利用する方式が考えられている。例えば、特許文献１に特記されているように、ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）を利用し、ＮＡＴと通信端末間でＳＩＰセッションが確立している間のみポートをオープンしておくという手法がある。これにより、ポートのオープン時間を短くし、ポートアタックの可能性を低下、ネットワークセキュリティを向上することが出来る。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−７８８２３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ＳＩＰを利用したネットワークセキュリティ向上の従来方式では、ＮＡＴを設置する必要があり、かつ、そのネットワーク内に存在する通信端末がサービスに利用するポート番号を固定してＮＡＴに設定しておく必要がある。これでは、ポート番号が自動的に変更するような通信端末が存在している場合や、ＮＡＴが存在しない環境では、ポートアタックを防ぐ事が出来ない。
【課題を解決するための手段】
【０００７】
ネットワーク上の通信機器との間でデータ送受信を行う手段（２０９）と、
ネットワーク上の通信機器を特定する手段（３０１）と、
ネットワーク上の通信機器からのＳＩＰセッション接続要求を受信する手段（７０１）と、
前記通信機器が、自装置内の、どのサービスを利用可能か判断する手段（３０５）と、
前記サービスの利用可否に応じてＳＩＰセッションの確立有無を変更する手段（７０２）と、
前記ＳＩＰセッション確立と同時に、対象のサービスで利用するネットワークポートをオープンする手段（３０３）と、
特定のネットワークポートをオープンしている間は、前記特定の通信機器以外から対象のネットワークポートへのデータ受信した際には、そのデータを破棄あるいは拒否する手段（３０４）と、
ＳＩＰセッション切断と同時に、特定のネットワークポートをクローズする手段（３０３）と、
を有する画像形成装置。
前記手段において、
ＳＩＰセッションの確立時に、対象のサービスで利用するネットワークポートを自動選出し利用する手段（３０５）と、
ＳＩＰセッション確立時に、前記自動選出されたポートをオープンする手段（３０３）と、
ＳＩＰセッション確立時に送信するＳＩＰメッセージ内で、前記自動選出されたポートを通史する手段（３０１）と、
を有する画像形成装置。
【発明の効果】
【０００８】
本発明によると、サービスに利用するポート番号が動的に変更するような場合や、利用するＮＡＴが存在しない環境においても、ＳＩＰを利用したポート開閉制御が可能となる。さらに、ＳＩＰセッションを確立した通信機器以外から受信したデータを破棄あるいは拒否する事により、対象の通信機器以外からの攻撃を確実に防ぐ事が出来る。また、サービスが利用するネットワークポート番号を、ＳＩＰセッション毎に動的に変更することにより、オープンしているポートを隠蔽する事が出来る。
【図面の簡単な説明】
【０００９】
【図１】ネットワーク構成を示す図である。
【図２】本発明における画像形成装置のＨ／Ｗ構成を示す図である。
【図３】本発明における画像形成装置のＳ／Ｗ構成を示す図である。
【図４】ＳＩＰセッション確立時のシーケンスを示す図である。
【図５】ＳＩＰメッセージの例を示す図である。
【図６】本発明で利用する認証データベースを示す表である。
【図７】本発明におけるＳＩＰ制御部３０１のセッション確立フローを示す。
【図８】ＳＩＰセッション切断時のシーケンスを示す図である。
【図９】本発明におけるＳＩＰ制御部３０１のセッション切断フローを示す。
【発明を実施するための形態】
【００１０】
以下、本発明を実施するための最良の形態について図面を用いて説明する。
【００１１】
図１は本発明を適用した画像形成装置を使用したネットワークの構成を示す図である。
【００１２】
画像形成装置１０１とホストコンピュータ１０２、ホストコンピュータ１０３がネットワークＮＥＴを介して接続され、相互に通信可能となっている。画像形成装置１０１、ホストコンピュータ１０２、ホストコンピュータ１０３は、ＳＩＰ機能が有効になっており、それぞれ、ＳＩＰアドレスを保持している。本実施例では画像形成装置１０１のＳＩＰアドレスは、＜１０１＠ＩＮＴＥＲＮＡＬ＞とする。ホストコンピュータ１０２のＳＩＰアドレスは、＜１０２＠ＩＮＴＥＲＮＡＬ＞とする。ホストコンピュータ１０３のＳＩＰアドレスは、＜１０３＠ＧＵＥＳＴ＞とする。ホストコンピュータ１０２は、画像形成装置１０１のサービスの１つであるＲＡＷ（Ｒｅａｄ Ａｆｔｅｒ Ｗｒｉｔｅ）印刷機能を利用することが出来るユーザが利用する。一方、ホストコンピュータ１０３は、来客用の端末であり、印刷装置１０１のＲＡＷ印刷機能を利用することが出来ないユーザが利用する。
【００１３】
図２は、本発明の機能が搭載されている画像形成装置１０１のハードウェア構成を示すブロック図である。スキャナＩ／Ｆ制御部２０１は、スキャナ２１３を制御する装置である。ＣＰＵ２０２は、印刷装置のソフトウェアプログラムを実行し、装置全体の制御を行う。ＲＯＭ２０３は、リードオンリーメモリであり、装置のブートプログラムや固定パラメータ等が格納されている。ＲＡＭ２０４は、ランダムアクセスメモリであり、ＣＰＵ２０２が装置を制御する際に、一時的なデータの格納などに使用する。ＨＤＤ２０５は、ハードディスクドライブであり、印刷データの格納など、様々なデータの格納に使用する。プリンタＩ／Ｆ制御部２０６は、プリンタ２１２を制御する装置である。ＮＶＲＡＭ２０７は、不揮発性のメモリであり印刷装置の各種設定値を保存するためのものである。パネル制御部２０８は、オペレーションパネル２１４を制御し、各種情報の表示、使用者からの指示入力を行う。ネットワークＩ／Ｆ制御部２０９は、ＮＥＴとのデータの送受信を制御する。バス２１０は、スキャナＩ／Ｆ制御部２０１、ＣＰＵ２０２、ＲＯＭ２０３、ＲＡＭ２０４、ＨＤＤ２０５、プリンタＩ／Ｆ制御部２０６、ＮＶＲＡＭ２０７、パネル制御部２０８、ネットワークＩ／Ｆ制御部２０９が接続され、ＣＰＵ２０２からの制御信号や各装置間のデータ信号が送受信されるシステムバスである。
【００１４】
図３は、本発明の機能が搭載されている画像形成装置１０１のソフトウェア構成を示すブロック図である。
【００１５】
ＳＩＰ制御部３０１は、ネットワークＩＦ御部３０６を経由してＮＥＴ上に存在する通信機器との間で、ＳＩＰパケットの送受信を行う。印刷制御部３０２は、ＮＥＴ上に存在する通信機器からデータを受け取り、画像形成装置１０１で印刷を行うための制御を行う。ポート制御部３０３は、ＳＩＰ制御部３０１からポートの開閉指示を受け、ＴＣＰ及びＵＤＰのポート開閉を制御する。データフィルタ制御部３０５は、ＳＩＰ制御部３０１からの指示を受け、ポートと通信機器のＩＰアドレスから判断した結果に応じて、受信データの破棄あるいは拒否を行う。認証処理部３０５は、通信機器のＳＩＰアドレスやＩＰアドレスを元に、画像形成装置１０１で提供するサービスの利用可否を判断する。ネットワークＩＦ制御部３０６は、ＴＣＰ／ＩＰ、ＵＤＰ／ＩＰ機能を保持し、ＮＥＴ上の通信機器とのデータ送受信を制御する。
【００１６】
図４は、ＳＩＰ制御部３０１が担うＳＩＰ確立処理の例を示したシーケンス図である。例として、（ａ）は、本実施例におけるホストコンピュータ１０２が、画像形成装置１０１に対してＳＩＰセッションの確立を希望する場合のシーケンス図を示す。ホストコンピュータ１０２は、画像形成装置１０１に対して、ＩＮＶＩＴＥメッセージを送信する（４０１）。ＩＮＶＩＴＥメッセージには、ＳＩＰセッションを確立したい通信相手のＳＩＰアドレスが含まれている。また、ＩＮＶＩＴＥメッセージには、ＳＩＰセッションで利用したいサービス情報が含まれている。画像形成装置１０１は、自装置宛のＩＮＶＩＴＥメッセージを受信すると、ＩＮＶＩＴＥメッセージに含まれているサービス情報を精査し、提供可能なサービスであれば、２００ ＯＫメッセージを送信する（４０２）。ホストコンピュータ１０２は、２００ ＯＫメッセージを受信すると、２００ ＯＫメッセージを受信したことを示すＡＣＫメッセージを送信する（４０３）。これによって、ホストコンピュータ１０２と画像形成装置１０１間に、ＩＮＶＩＴＥメッセージに含まれたサービス情報を実現するためのＳＩＰセッションが確立したこととなる。（ｂ）は、ホストコンピュータ１０２から受信したＩＮＶＩＴＥメッセージに含まれるサービスが画像形成装置１０１で提供できない場合のシーケンス例である。
【００１７】
画像形成装置１０１は、ホストコンピュータ１０２から送信されたＩＮＶＩＴＥメッセージ（４０４）に対して、４８８ Ｎｏｔ Ａｃｃｅｐｔａｂｌｅ Ｈｅｒｅ メッセージを送信することによって、サービスが提供できない旨を通知する。（ｃ）は、ＳＩＰセッション確立処理を実施する前に、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）による認証を行う場合のシーケンスを示す。ＴＬＳは、ＲＦＣ４３４６等に規定されたプロトコルで、通信機器の認証や通信路の暗号化を可能にする。さらに、デジタル証明書を利用する事によって通信機器の認証、さらには通信機器を利用しているユーザの認証を実現することが出来る。ＳＩＰセッション確立前に、このプロトコル処理内でサービス可否を判断することが可能とするためのシーケンスが本例である。ホストコンピュータ１０２からＩＮＶＩＴＥメッセージ（４０６）を受信した際に、画像形成装置１０１は、４０１ Ｕｎａｕｔｈｅｎｔｉｃａｔｅｄメッセージ（４０７）を送信し、ＴＬＳ処理を促している。
【００１８】
図５（ａ）は、ＳＩＰで利用するＩＮＶＩＴＥメッセージの例である。ＩＮＶＩＴＥメッセージ内のTo: から始まる行には、宛先ＳＩＰアドレスが含まれる（５０１）。本例では、画像形成装置１０１のＳＩＰアドレスである、１０１＠ＩＮＴＥＲＮＡＬと記載している。ＩＮＶＩＴＥメッセージ内のc=から始まる行（５０２）は、ＩＮＶＩＴＥメッセージ送信元のＩＰレイア情報が含まれている。本例におけるＩＰ４ １９２．１６８．１．１０２は、ホストコンピュータ１０１が保持するＩＰｖ４アドレスが１９２．１６８．１．１０２であることを示す。
【００１９】
サービス情報は、ｍ＝から始まる行に、ＩＮＶＩＴＥメッセージ送信元で提供するサービスのトランスポートプロトコル及び、ポート番号を記載することによって通知している（５０３）。本例では、９１００ ＴＣＰ という記載があることより、ＴＣＰのポート番号９１００を利用したサービスを提供する旨を示し、かつ、通信相手にも同等のサービスを期待するという意味を持っている。
【００２０】
図５（ｂ）は、ＳＩＰのＩＮＶＩＴＥメッセージに対する２００ ＯＫメッセージの例である。２００ ＯＫメッセージでは、ＩＮＶＩＴＥメッセージを受信した端末のサービス情報を記載している（５０４）。サービス情報はＩＮＶＩＴＥメッセージと同様、ｍ＝から始まる行に記載され、本例では、９１００ ＴＣＰ という記載があることより、ＴＣＰのポート番号９１００を利用したサービスを提供する旨を示す。
【００２１】
図６は、認証処理部３０５が利用する認証データベースである。認証処理部３０５は、ＳＩＰ制御部３０１から認証要求を受けた際に、このデータベースを参照し、サービス要求元が、そのサービスの利用可否を判断し、結果をＳＩＰ制御部３０１に返す。データベース内の送信元６０１は、ＳＩＰアドレスもしくはＩＰアドレスが格納され、それぞれに対して、サービス種別６０２の利用可否が判断できる仕組みになっている。本実施例では、このデータベースに、＊＠ＩＮＴＥＲＮＡＬのＳＩＰアドレスは、ＲＡＷ印刷を許容する旨が記載されているものとする。なお、＊は＠ＩＮＴＥＲＮＡＬというドメインを持つ全てのＳＩＰアドレスが該当することを示す。そのため、ホストコンピュータ１０２は、ＲＡＷ印刷が許容されていることになる。また、＊＠ＧＵＥＳＴのＳＩＰアドレスは、ＲＡＷ印刷が拒否されているものとする。同様に、＊は＠ＧＵＥＳＴというドメインを持つ全てのＳＩＰアドレスが該当することを示す。つまり、ホストコンピュータ１０３はＲＡＷ印刷が拒否されていることになる。データベースの送信元としては、ＩＰアドレスを利用しても良い。
【００２２】
認証処理部３０５は、このデータベースを用いた認証処理の他に、ＳＩＰセッション確立前にＳＩＰセッション確立要求元との間で、ＴＬＳを利用した認証を行う機能も保持する。認証処理部３０５は、このプロトコルを利用する事により、データベース６０１を利用した認証処理と同等の機能を提供することが出来る。
【００２３】
図７は、ＳＩＰ処理部３０１のＳＩＰセッション確立処理フローを示す。ＳＩＰ処理部３０１は、ネットワークＩＦ制御部３０６を経由して、ＳＩＰのＩＮＶＩＴＥメッセージを受信する（７０１）。ＳＩＰ処理部３０１は、ＩＮＶＩＴＥメッセージから送信元ＳＩＰアドレスおよび、送信元のＩＰアドレス、利用するサービス情報を、認証処理部３０５に通知し、サービス利用可否の判断を行う（７０２）。ＳＩＰ制御部３０１は、認証処理部３０５からＴＬＳを要求する結果を受けた場合は、図４（ｃ）のシーケンスに従い、通信相手にＴＬＳ要求を行い（７０３）、再度ＩＮＶＩＴＥメッセージを待つ。ＳＩＰ制御部３０１は、認証処理部３０５から、サービス利用不可の結果を受けた場合は、図４（ｂ）のシーケンスに従って、処理を終了する。ＳＩＰ制御部３０１は、認証処理部３０５から、サービス利用可の結果を受けた場合、ポート制御部３０３に対象のポートをオープンするように要求を行う（７０４）。これにより、画像形成装置の特定サービスに対するネットワークポートが初めてオープンされることになり、それ以前にポートアタックされる可能性を防ぐことが出来る。さらに、認証処理部３０５は、ＳＩＰ制御部３０１からサービス利用可否の判断要求を受けた場合に、サービス利用可能な場合は、対象のサービスが利用可能なポート番号を、自動的に選出し、ＳＩＰ制御部３０１に通知しても良い。この場合、ＳＩＰ制御部３０１は、認証処理部３０５から通知されたポート番号をポート制御部３０３に通知しポートオープンを要求する。これによって、サービスが利用されるポート番号を隠蔽する事が出来、ポートアタックをより強固に防ぐ事が出来る。
【００２４】
ＳＩＰ制御部３０１は、データフィルタ制御部３０４に対して、通信相手のＩＰアドレスと利用するポート番号を通知する（７０５）。データフィルタ制御部３０４は、７０５の通知を受けると、ＩＰレイアでのネットワーク監視を開始し、対象のＩＰアドレスからの対象ポートへのデータ以外は、破棄、もしくは拒否する。拒否としては、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ Ｐｒｏｔｏｒｏｌ）のＰｏｒｔ Ｕｎｒｅａｃｈａｂｌｅメッセージを送信する手法を用いても良い。これによって、認証された通信相手に対して、ネットワークポートがオープンされていることを知られることを防ぐ事が出来る。ＳＩＰ制御部３０１は、その後、図４（ａ）のシーケンスに従って、ＳＩＰセッション確立処理を実施する。
【００２５】
図８は、ＳＩＰ制御部３０１が担うＳＩＰ切断処理の例を示したシーケンス図である。本実施例におけるホストコンピュータ１０２が、画像形成装置１０１に対してＳＩＰセッションの切断を希望する場合のシーケンス図を示す。ホストコンピュータ１０２からＢＹＥメッセージを受信すると、ＳＩＰ制御部３０１は、ＢＹＥメッセージを受信すると（８０１）、切断を受け入れた旨を示す２００ ＯＫメッセージを送信する（８０２）。
【００２６】
図９は、ＳＩＰ処理部３０１のＳＩＰセッション切断処理フローを示す。ＳＩＰ処理部３０１は、ネットワークＩＦ制御部３０６を経由して、ＳＩＰのＢＹＥメッセージを受信する（９０１）。ＳＩＰ処理部３０１は、ポート制御部３０３に対象のポートをクローズするように要求を行う（９０２）。その後、ＳＩＰ制御部３０１は、データフィルタ制御部３０４に対して、データフィルタの解除を要求し（９０３）、図８のシーケンスにしたがって、ＳＩＰセッション切断処理を行う（９０４）。
【符号の説明】
【００２７】
１０１ 画像形成装置
１０２ ホストコンピュータ
１０３ ホストコンピュータ
【特許請求の範囲】
【請求項１】
ネットワーク上の通信機器との間でデータ送受信を行う手段（２０９）と、
ネットワーク上の通信機器を特定する手段（３０１）と、
ネットワーク上の通信機器からのＳＩＰセッション接続要求を受信する手段（７０１）と、
前記通信機器が、自装置内の、どのサービスを利用可能か判断する手段（３０５）と、
前記サービスの利用可否に応じてＳＩＰセッションの確立有無を変更する手段（７０２）と、
前記ＳＩＰセッション確立と同時に、対象のサービスで利用するネットワークポートをオープンする手段（３０３）と、
特定のネットワークポートをオープンしている間は、前記特定の通信機器以外から対象のネットワークポートへのデータ受信した際には、そのデータを破棄あるいは拒否する手段（３０４）と、
ＳＩＰセッション切断と同時に、特定のネットワークポートをクローズする手段（３０３）と、
を有する画像形成装置。
【請求項２】
ＳＩＰセッションの確立時に、対象のサービスで利用するネットワークポートを自動選出し利用する手段（３０５）と、
ＳＩＰセッション確立時に、前記自動選出されたポートをオープンする手段（３０３）と、
ＳＩＰセッション確立時に送信するＳＩＰメッセージ内で、前記自動選出されたポートを通史する手段（３０１）と、
を有する請求項１に記載の画像形成装置。
【請求項１】
ネットワーク上の通信機器との間でデータ送受信を行う手段（２０９）と、
ネットワーク上の通信機器を特定する手段（３０１）と、
ネットワーク上の通信機器からのＳＩＰセッション接続要求を受信する手段（７０１）と、
前記通信機器が、自装置内の、どのサービスを利用可能か判断する手段（３０５）と、
前記サービスの利用可否に応じてＳＩＰセッションの確立有無を変更する手段（７０２）と、
前記ＳＩＰセッション確立と同時に、対象のサービスで利用するネットワークポートをオープンする手段（３０３）と、
特定のネットワークポートをオープンしている間は、前記特定の通信機器以外から対象のネットワークポートへのデータ受信した際には、そのデータを破棄あるいは拒否する手段（３０４）と、
ＳＩＰセッション切断と同時に、特定のネットワークポートをクローズする手段（３０３）と、
を有する画像形成装置。
【請求項２】
ＳＩＰセッションの確立時に、対象のサービスで利用するネットワークポートを自動選出し利用する手段（３０５）と、
ＳＩＰセッション確立時に、前記自動選出されたポートをオープンする手段（３０３）と、
ＳＩＰセッション確立時に送信するＳＩＰメッセージ内で、前記自動選出されたポートを通史する手段（３０１）と、
を有する請求項１に記載の画像形成装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１２−２４４２０３（Ｐ２０１２−２４４２０３Ａ）
【公開日】平成２４年１２月１０日（２０１２．１２．１０）
【国際特許分類】
【出願番号】特願２０１１−１０８９７９（Ｐ２０１１−１０８９７９）
【出願日】平成２３年５月１６日（２０１１．５．１６）
【出願人】（０００００１００７）キヤノン株式会社 (59,756)
【Ｆターム（参考）】
【公開日】平成２４年１２月１０日（２０１２．１２．１０）
【国際特許分類】
【出願日】平成２３年５月１６日（２０１１．５．１６）
【出願人】（０００００１００７）キヤノン株式会社 (59,756)
【Ｆターム（参考）】
[ Back to top ]