認証サーバ、認証システム、認証方法及び認証プログラム
【課題】ネットワーク上において提供される機能を適切なユーザに提供することができる認証サーバ、認証システム、認証方法及び認証プログラムを提供する。
【解決手段】本発明の認証サーバは、記憶部（１１）と、情報端末からの接続要求に応じて、情報端末のユーザ認証を行う認証部（１６）と、認証部のユーザ認証の後に、情報端末に対して、情報端末側から送信された、又は、記憶部に格納された情報により示される情報端末が要求する付加機能を提供可能なネットワークへの接続を許可する応答部（１７）と、を備える。
【解決手段】本発明の認証サーバは、記憶部（１１）と、情報端末からの接続要求に応じて、情報端末のユーザ認証を行う認証部（１６）と、認証部のユーザ認証の後に、情報端末に対して、情報端末側から送信された、又は、記憶部に格納された情報により示される情報端末が要求する付加機能を提供可能なネットワークへの接続を許可する応答部（１７）と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う認証サーバ、認証システム、認証方法及び認証プログラムの技術に関する。
【背景技術】
【０００２】
近年、ＩＳＰ（Internet Service Provider）は、インターネットへの接続サービスに
様々な機能を付加したサービスを提供している。例えば、この付加される機能を実現する技術の一つとして、ＤＰＩ（Deep Packet Inspection）と呼ばれる技術が存在する。ＤＰＩとは、インターネットでやりとりされるデータ（パケット）を収集して、解析する技術である。このＤＰＩにより、インターネットでやりとりされるデータの傾向を調べることができ、例えば、傾向に合う広告データをユーザに提供することができる。
【０００３】
図９は、従来のＤＰＩが用いられるネットワークの構成例を示す。図９に示されるとおり、従来のＤＰＩが用いられるネットワーク構成は、例えば、ユーザ端末２、ブロードバンドルータ３、ＢＡＳ（Broadband Access Server）４、認証サーバ１０、ＩＳＰ網５、
ＩＳＰ網終端装置５１、インターネット６、ＤＰＩ装置７０及びＤＰＩサーバ８０を含む。
【０００４】
従来のＤＰＩが用いられるネットワークの構成では、ＤＰＩ機能を望むユーザａ及びＤＰＩ機能を望まないユーザｂのユーザ端末２とインターネット６との間でやりとりされるデータは一度ＤＰＩ装置７０を通過する。ＤＰＩ装置７０は、ユーザがＤＰＩ機能を望む、望まないに関わらず、全てのデータのコピーをＤＰＩサーバ８０に送信する。そして、ＤＰＩサーバ８０は、これらのデータを収集及び解析を行い、例えば、データの傾向に合う広告データを、ＤＰＩ機能を望むユーザａのユーザ端末２に提供していた。
【０００５】
このような技術に関して、例えば、特許文献１及び特許文献２に挙げられる技術が存在する。
【０００６】
特許文献１では、ある広告ページ（Ｗｅｂページ）を経由したクライアントにクッキーを仕込み、クッキーが仕込まれたクライアントからのパケットを閲覧し、クライアントの閲覧しているＷｅｂページの傾向を調べる技術が開示されている。
【０００７】
特許文献２では、課金されたコンテンツへアクセスにおいて、認証が済んだ端末したアクセスできないようにするために、全てのパケットを閲覧し、認証が済んでいるかどうかを調べる技術が開示されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特表２０１０−５１４０６１号公報
【特許文献２】特開２０１０−０５０７７５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
上記のようにインターネットへの接続サービスに様々な機能を付加したサービスを提供する従来の技術では、ユーザが望む（許可する）、望まない（許可しない）に関わらず、全て一度データ解析のためにデータが収集されていた。このため、ネットワークに接続されるユーザ端末の数に応じて、大規模で処理が高速な装置（例えば、ＤＰＩ装置及びＤＰ
Ｉサーバ）が必要であった。また、全てのデータを一度収集してしまうため、データ収集を許可しないユーザの要望に対応することができなかった。
【００１０】
本発明は、このような点を考慮してなされたものであり、ネットワーク上において提供される機能を適切なユーザに提供することができる認証サーバ、認証システム、認証方法及び認証プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明は、上述した課題を解決するために、以下の構成を採用する。
【００１２】
すなわち、ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う本発明の認証サーバは、記憶部と、情報端末からの接続要求に応じて、情報端末のユーザ認証を行う認証部と、認証部のユーザ認証の後に、情報端末に対して、情報端末側から送信された、又は、記憶部に格納された情報により示される情報端末が要求する付加機能を提供可能なネットワークへの接続を許可する応答部と、を備える。
【００１３】
上記構成によれば、付加機能を要求する情報端末は、当該付加機能を提供可能なネットワークへ接続が許可される。このため、ネットワーク上において提供される付加機能を適切なユーザに提供することができる。また、従来とは異なり、全てのユーザに対して機能を提供する必要はなくなり、適切なユーザに対して付加機能を提供することができるネットワークを用意すればよいため、小規模で安価な装置により、機能の提供を実施することができる。
【００１４】
また、上記情報端末側から送信された情報は、上記情報端末が要求する付加機能を示す文字列を含むドメイン名であってもよい。
【００１５】
上記構成によれば、情報端末が要求する付加機能は、ドメイン名によって指定される。このため、情報端末の要求する付加機能を切り替えはドメイン名の切り替えによって達成することができる。
【００１６】
また、本発明の認証システムは、本発明の認証サーバと、前記情報端末からの前記付加機能の切り替えの申込により、上記情報端末側から送信される、又は、上記記憶部に格納される情報が示す付加機能を切り替える申込サーバと、を備える。
【００１７】
上記構成によれば、情報端末の申込により、情報端末が要求する付加機能が切り替えられる。このため、ユーザは、任意に所望の付加機能を切り替えることができる。また、情報端末が要求する付加機能はユーザの任意により切り替えられるため、付加機能を提供する側は、提供する付加機能をユーザに告知することができる。
【００１８】
なお、本発明の別態様としては、以上の何れかの構成を実現する方法であってもよいし、システムであってもよいし、プログラムであってもよいし、このようなプログラムを記録したコンピュータが読み取り可能な記憶媒体であってもよい。
【発明の効果】
【００１９】
本発明によれば、ネットワーク上において提供される機能を適切なユーザに提供することができる認証サーバ、認証システム、認証方法及び認証プログラムを提供することができる。
【図面の簡単な説明】
【００２０】
【図１】実施の形態に係るネットワーク構成を例示する図。
【図２】実施の形態に係る付加機能を選択する画面を例示する図。
【図３】実施の形態に係る認証サーバの構成を例示する図。
【図４】実施の形態に係る付加機能網を例示する図。
【図５】実施の形態に係る付加機能網の構成例を例示する図。
【図６】実施の形態に係るネットワーク（インターネット）への接続時における処理手順の一例を示したシーケンスチャート。
【図７】ＢＡＳと認証サーバとの間のユーザ認証に関するパケットが含む属性例及び属性値例。
【図８】付加機能網終端装置と認証サーバとの間の接続要求に関するパケットが含む属性例及び属性値例。
【図９】従来のネットワーク構成を例示する図。
【発明を実施するための形態】
【００２１】
以下、本発明の一側面に係る認証サーバ及び認証システムを、実施の形態（以下、「本実施形態」とも表記する）として説明する。ただし、以下に挙げる実施形態は例示であり、本発明は以下の実施形態の構成に限定されない。
【００２２】
なお、以下に挙げる実施形態において、例えば、図７及び図８においてパケット構成例の属性名や属性値を自然言語（日本語等）等で例示しているが、より具体的には、コンピュータが認識可能な疑似言語、コマンド、パラメタ、マシン語等で指定される。
【００２３】
§１ ネットワーク構成例
まず、本実施形態に係るネットワークの構成例について説明する。図１は、本実施形態に係るネットワークの構成例を示す。図１に示されるとおり、本実施形態に係るネットワークは、認証サーバ１、ユーザ端末２、ブロードバンドルータ３、ＢＡＳ４、ＩＳＰ網５及びＩＳＰ網終端装置５１、インターネット６及び申込サーバ６０、並びに付加機能網７及び付加機能網終端装置７１を含んだ構成となっている。
【００２４】
認証サーバ１は、ネットワークを介してＢＡＳ４、ＩＳＰ網終端装置５１（ＩＳＰ網５）及び付加機能網終端装置７１（付加機能網７）と通信可能となっている。ユーザ端末２は、ネットワークを介してブロードバンドルータ３と通信可能となっている。ブロードバンドルータ３は、ネットワークを介してユーザ端末２及びＢＡＳ４と通信可能となっている。ＢＡＳ４は、ネットワークを介して認証サーバ１、ブロードバンドルータ３、ＩＳＰ網終端装置５１（ＩＳＰ網５）及び付加機能網終端装置７１（付加機能網７）と通信可能となっている。
【００２５】
ユーザ端末２は、ブロードバンドルータ３、ＢＡＳ４並びにＩＳＰ網５及びＩＳＰ網終端装置５１又は付加機能網７及び付加機能網終端装置７１を介して、インターネット６に接続することができる。
【００２６】
ＩＳＰ網５は、従来のＩＳＰ網であり、ユーザ端末２に対して、付加機能を提供せず、インターネット６への接続を提供するネットワークである。他方、付加機能網７は、ユーザ端末２に対して、付加機能を提供するとともに、インターネット６への接続を提供するネットワークである。
【００２７】
§２ 装置構成例
次に、本実施形態に係るネットワークの各ノードについて説明する。
【００２８】
§２−１ ユーザ端末２
ユーザ端末２は、例えば、ＰＣ（Personal Computer）として周知のハードウェア構成
及び機能構成を有している。例えば、ユーザ端末２は、そのハードウェア構成として、それぞれバスを介して接続された、各種データ及びプログラムを格納するための記憶部、記憶部に格納されたプログラムを実行する制御部、ネットワークと通信を行うための通信部、マウスやキーボード等に対するユーザの操作を入力するための入力部等を有している。ユーザ端末２は、このようなハードウェア構成により、ネットワークを介してインターネット６へ接続するための一般的な通信機能、提供されたデータに基づく画面を表示及び操作することができる一般的なユーザインタフェース機能等を実現する。
【００２９】
本実施形態では、ユーザ端末２は、ＩＳＰ網５又は付加機能網７を介してインターネット６上に存在するサーバ（Ｗｅｂサーバやメールサーバ等）へアクセスする。この時、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間で通信経路が確立されていない場合、認証サーバ１によりユーザ端末２のユーザ認証が行われる。後述するとおり、ユーザ認証が成立すると、認証サーバ１は、ユーザ端末２側（本実施形態ではブロードバンドルータ３）から送信される情報であって、ユーザ端末２が要求する付加機能を示す情報に基づいて、接続許可を行う対象のネットワークを決定する。これにより、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間で通信経路が確立され、ユーザ端末２は、インターネット６上に存在するサーバにアクセスすることができるようになる。
【００３０】
また、本実施形態では、インターネット６上に存在する申込サーバ６０にユーザ端末２がアクセスすることにより取得されるＷｅｂページが操作されることにより、ユーザ端末２が要求する付加機能が切り替えられる。図２は、当該Ｗｅｂページの表示画面例を示す。
【００３１】
ユーザ端末２上において、図２に示されるＷｅｂページが操作される。ユーザは、ユーザ端末２を操作し、付加機能の選択画面（２０）から、所望の付加機能を選択する（２１）。そして、選択した付加機能が設定操作される（２２）ことにより、ユーザ端末２からブロードバンドルータ３に対して、ユーザ端末２が要求する付加機能を示す情報の切り替えが要求される。ブロードバンドルータ３は、当該要求に応じて、ユーザ端末２が要求する付加機能を示す情報の切り替えを行う。
【００３２】
なお、本実施形態の別方法として、申込サーバ６０に代えて、ユーザ端末２上で実行されるプログラムにより、上記付加機能の切り替えが実現されてもよい。
【００３３】
§２−２ ブロードバンドルータ３
ブロードバンドルータ３は、周知のブロードバンドルータとして一般的なハードウェア構成及び機能構成を有している。例えば、ブロードバンドルータ３は、各種データ及びプログラムを格納するための記憶部と、記憶部に格納されたプログラムを実行する制御部、及び、制御部により制御されて他の通信装置と通信するための複数の物理インタフェースを備えている。ブロードバンドルータ３は、このようなハードウェア構成により、ブロードバンドルータ３とＩＳＰ網５または付加機能網７との間で通信経路を確立する一般的なルーティング機能等を実現する。
【００３４】
本実施形態では、ブロードバンドルータ３は、ユーザ端末２からのインターネット６上へのサーバに対するアクセス要求に応じて、ＩＳＰ網５又は付加機能網７との間に通信経路を確立するために、ＢＡＳ４に対して接続要求を行う。接続要求に際して、ブロードバンドルータ３からＢＡＳ４へ、ユーザ認証に用いる情報（例えば、ユーザのＩＤ及びパスワード）と共に、ユーザ端末２が要求する付加機能を示す情報が送信される。詳細については後述する。
【００３５】
この接続要求に応じて、認証サーバ１によりユーザ端末２のユーザ認証が行われる。そ
して、ユーザ認証の結果に応じて、本実施形態では、ブロードバンドルータ３は、ＢＡＳ４から送信される接続許可の情報に基づいて、ＩＳＰ網５又は付加機能網７との間に通信経路を確立する。この通信経路の確立のため、ブロードバンドルータ３は、ＢＡＳ４と通信経路確立のための通信を行う。
【００３６】
また、本実施形態では、ブロードバンドルータ３は、ユーザ端末２からの要求に応じて、ユーザ端末２が要求する付加機能を示す情報を切り替える。ユーザ端末２が要求する付加機能を示す情報の具体例については、後述する。
【００３７】
§２−３ ＢＡＳ４
ＢＡＳ４は、周知のアクセスサーバとして一般的なハードウェア構成及び機能構成を有している。例えば、ＢＡＳ４は、各種データ及びプログラムを格納するための記憶部と、記憶部に格納されたプログラムを実行する制御部、及び、制御部により制御されて他の通信装置と通信するための複数の物理インタフェースを備えている。ＢＡＳ４は、このようなハードウェア構成により、一般的な認証クライアントの機能等を実現する。
【００３８】
本実施形態では、ＢＡＳ４は、ブロードバンドルータ３からのＩＳＰ５又は付加機能網７への接続要求に応じて、認証サーバ１にユーザ認証の問合せを行う。
【００３９】
また、本実施形態では、認証サーバ１から返信される接続許可（例えば、接続許可の情報を含むパケットデータの通知）に応じて、ＢＡＳ４は、ＩＳＰ網終端装置５１又は付加機能網終端装置７１に対して接続要求を行う。当該接続要求は、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間で通信経路を確立するためのものである。この接続要求に応じて、ＩＳＰ網終端装置５１又は付加機能網終端装置７１から接続許可の応答が返される。ＢＡＳ４は、当該接続許可の応答に応じて、ブロードバンドルータ３にＩＳＰ網５又は付加機能網７への接続許可を返信する。
【００４０】
§２−４ 認証サーバ１
図３は、本実施形態における認証サーバ１の構成例を示す。
【００４１】
認証サーバ１は、図３に示されるように、そのハードウェア構成として、バス１３で接続される、記憶部１１、制御部１２、通信部１４等の既存のハードウェアを有している。記憶部１１は、例えばハードディスクであり、制御部１２で実行される処理で利用される各種データ及びプログラムを記憶する。制御部１２は、ＣＰＵ（Central Processing Unit）等の１又は複数のプロセッサであり、このプロセッサの処理に利用される周辺回路（
ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、インタフェース回路等）を有する。通信部１４は、ネットワークを介して、ＢＡＳ４、ＩＳＰ網終端装置５１及び付加機能網終端装置７１等とＩＰ（Internet Protocol）パケット等の送受信を行う。
なお、認証サーバ１は、ＰＣ等のような汎用コンピュータで構成されてもよいし、ネットワーク接続ストレージのような専用コンピュータで構築されてもよい。
【００４２】
図３に示されるとおり、認証サーバ１は、ユーザ認証を行う情報を格納するためのユーザ認証情報データベース１５を記憶部１１に有している。
【００４３】
ユーザ認証情報データベース１５には、後述する認証部１６がユーザ認証を行うための情報が格納されている。ユーザ認証を行うための情報は、上述のブロードバンドルータ３からＢＡＳ４に送信されるユーザ認証に用いる情報に対応した情報であり、例えば、ユーザのＩＤとパスワードとを一組にした情報である。
【００４４】
また、図３に示されるとおり、認証サーバ１は、ユーザ認証情報データベース１５の情
報を用いてユーザ認証を行う認証部１６、及び認証部１６のユーザ認証の結果に応じた応答（ネットワークへの接続許可）を行う応答部１７を制御部１１に有している。
【００４５】
認証部１６は、ＢＡＳ４からのユーザ認証の問合せに応じて、当該問合せの対象であるユーザ端末２のユーザ認証を行う。認証部１６は、このユーザ認証を、ユーザ認証情報データベース１５に格納された情報と、ＢＡＳ４からのユーザ認証の問合せに含まれる上述のブロードバンドルータ３からＢＡＳ４に送信されるユーザ認証に用いる情報とを用いることにより実施する。
【００４６】
例えば、ユーザ認証情報データベース１５にはユーザのＩＤとパスワードとを一組にした情報が格納されており、上述のブロードバンドルータ３からＢＡＳ４に送信されるユーザ認証に用いる情報がユーザのＩＤとパスワードであるとする。この場合、認証部１６は、ＢＡＳ４からのユーザ認証の問合せに含まれたユーザのＩＤ及びパスワードが、ユーザ認証情報データベース１５に格納されているユーザのＩＤ及びパスワードと一致するか否かを判定することにより、ユーザ認証を実施する。
【００４７】
例えば、認証部１６は、ＢＡＳ４の問合せに含まれたＩＤ及びパスワードとユーザ認証情報データベース１５に格納されているＩＤ及びパスワードが一致した場合、ユーザ認証は成立すると判定する。他方、認証部１６は、ＢＡＳ４の問合せに含まれたＩＤ及びパスワードとユーザ認証情報データベース１５に格納されているＩＤ及びパスワードが一致しない場合、ユーザ認証は成立しないと判定する。
【００４８】
本実施形態では、応答部１７は、ユーザ認証は成立すると認証部１６が判定した場合、ネットワークへの接続許可をＢＡＳ４に対して行う。この接続許可の対象となるネットワークは、本実施形態では、ＩＳＰ網５または付加機能網７である。認証部１６がこれらのネットワークに対する接続許可をＢＡＳ４に対して行うことで、ブロードバンドルータ３とこれらのネットワークとの間に通信経路が形成される。
【００４９】
この接続許可において、応答部１７は、ＢＡＳ４からのユーザ認証の問合せに含まれるブロードバンドルータ３から送信されたユーザ端末２が要求する付加機能を示す情報に基づいて、ＢＡＳ４に対して行う接続許可の接続先を決定する。本実施形態では、ユーザ端末２が要求する付加機能を示す情報はドメイン名である。
【００５０】
例えば、ドメイン名が「ccc.com」である場合、応答部１７は、ユーザ端末２が要求す
る付加機能はなしと判定し、ＩＳＰ網５への接続許可をＢＡＳ４に対して行う。
【００５１】
また、例えば、ドメイン名が「dpi.ccc.com」である場合、応答部１７は、ユーザ端末
２が要求する付加機能は後述するＤＰＩ機能であると判定し、ＤＰＩ機能を提供する付加機能網７（後述するＤＰＩ専用ネットワーク７ａ）への接続許可をＢＡＳ４に対して行う。
【００５２】
また、例えば、ドメイン名が「tctrl.ccc.com」である場合、応答部１７は、ユーザ端
末２が要求する付加機能は後述する帯域規制機能であると判定し、帯域規制機能を提供する付加機能網７（後述する帯域規制専用ネットワーク７ｂ）への接続許可をＢＡＳ４に対して行う。
【００５３】
また、例えば、ドメイン名が「sec.ccc.com」である場合、応答部１７は、ユーザ端末
２が要求する付加機能は後述するセキュリティ強化機能であると判定し、セキュリティ強化機能を提供する付加機能網７（後述するセキュリティ強化ネットワーク７ｃ）への接続許可をＢＡＳ４に対して行う。
【００５４】
また、例えば、ドメイン名が「prem.ccc.com」である場合、応答部１７は、ユーザ端末２が要求する付加機能は後述するプレミアム機能であると判定し、プレミアム機能を提供する付加機能網７（後述するプレミアムネットワーク７ｄ）への接続許可をＢＡＳ４に対して行う。
【００５５】
なお、本実施形態の別形態として、ユーザ端末２が要求する付加機能を示す情報はユーザのＩＤであってもよい。この場合、例えば、ユーザ認証情報データベース１５には、ユーザ認証に用いる一組のＩＤとパスワードに対応付けられた接続先の情報（例えば、ＩＳＰ網５又は上記各サービスを提供する付加機能網７の終端装置のＩＰアドレス）が格納されている。そして、ユーザ認証は成立すると認証部１６が判定した場合、応答部１７は、当該ユーザ認証に用いられた一組のＩＤとパスワードに対応付けられた接続先の情報をユーザ認証情報データベース１５より取得する。また、応答部１７は、取得した接続先の情報を用いて、ＢＡＳ４に対して接続許可を行う。
【００５６】
また、本実施形態の別形態として、ユーザ端末２が要求する付加機能を示す情報は、例えば、予め認証サーバ１の記憶部１１に格納されていてもよい。この場合、例えば、ユーザ認証情報データベース１５には、ユーザ認証に用いる一組のＩＤとパスワードに対応付けられた接続先の情報（例えば、ＩＳＰ網５又は上記各サービスを提供する付加機能網７の終端装置のＩＰアドレス）が格納されている。そして、ユーザ認証は成立すると認証部１６が判定した場合、応答部１７は、当該ユーザ認証に用いられた一組のＩＤとパスワードに対応付けられた接続先の情報をユーザ認証情報データベース１５より取得する。また、応答部１７は、取得した接続先の情報を用いて、ＢＡＳ４に対して接続許可を行う。
【００５７】
なお、本実施形態では、応答部１７が、ＩＳＰ網５又は付加機能網７への接続許可をＢＡＳ４に対して行った場合、ＩＳＰ網終端装置５１又は付加機能網終端装置７１より当該接続許可の接続確認が行われる。この時、応答部１７は自己が行ったＢＡＳ４に対する接続許可に対応する接続許可の通知をＩＳＰ網終端装置５１又は付加機能網終端装置７１に対して行う。ＩＳＰ網終端装置５１又は付加機能網終端装置７１は、この接続許可の通知により、ブロードバンドルータ３と自身との間で通信経路を確立することに対する接続許可を認証サーバ１（応答部１７）が行ったことを認識する。
【００５８】
他方、ユーザ認証は成立しないと認証部１６が判定した場合、応答部１７は、任意の情報をＢＡＳ４に対して返信する。例えば、応答部１７は、従来のインターネットへの接続方法と同様に、各ネットワークへの接続拒否をＢＡＳ４に対して行う。
【００５９】
§２−５ 付加機能網７
＜付加機能網７＞
付加機能網７は、本実施形態では、ユーザ端末２に対して、付加機能を提供するとともに、インターネット６への接続を提供するネットワークである。付加機能網７について、図４及び図５を用いて説明する。
【００６０】
図４は、本実施形態における付加機能網７を例示している。付加機能網７は、図４に示されるとおり、ユーザが許可する又は所望する付加機能に応じて独立したネットワークを構成している。本実施形態では、付加機能が実現されたネットワークとして、ＤＰＩ機能が実現されたＤＰＩ専用ネットワーク７ａ、帯域規制が実現された帯域規制専用ネットワーク７ｂ、セキュリティ強化機能が実現されたセキュリティ強化ネットワーク７ｃ、及び、通信帯域の確保等の通信品質の高いサービスを提供する機能が実現されたプレミアムネットワーク７ｄが例示されている。そして各ネットワークは、その終端装置（ＤＰＩ専用ネットワーク終端装置７１ａ、帯域規制専用ネットワーク終端装置７１ｂ、セキュリティ
強化ネットワーク終端装置７１ｃ、プレミアムネットワーク終端装置７１ｄ）を介してＢＡＳ４に接続されている。
【００６１】
図５は、本実施形態における付加機能網７の構成例を示す。上記各付加機能が実現された付加機能網７はそれぞれ、付加機能を実現するための付加機能装置７２及び付加機能サーバ８１を有する。
【００６２】
付加機能装置７２及び付加機能サーバ８１はそれぞれ、そのハードウェア構成として、それぞれバスを介して接続された、各種データ及びプログラムを格納するための記憶部、記憶部に格納されたプログラムを実行する制御部、ネットワークと通信を行うための通信部等を有している。付加機能装置７２及び付加機能サーバ８１はそれぞれ、このようなハードウェア構成により、上記各付加機能等を実現する。
【００６３】
例えば、ＤＰＩ専用ネットワーク７ａは、ユーザ端末２がインターネット６に接続する際に、ＤＰＩ機能を実現する。ＤＰＩ機能は、上述のとおりである。例えば、図５に示される付加機能装置７２は上述のＤＰＩ装置であり、付加機能サーバ８１は上述のＤＰＩサーバである。これにより、ＤＰＩ専用ネットワーク７ａは、ユーザ端末２がインターネット６に接続する際に、ＤＰＩ機能を実現する。そして、例えば、ＤＰＩサーバは、当該ＤＰＩ機能によりユーザの嗜好に合う広告情報を取得し、当該機能を許可しているユーザ端末２に対して、広告情報の送信を行う。
【００６４】
また、例えば、帯域規制専用ネットワーク７ｂは、ユーザ端末２がインターネット６に接続する際に、帯域規制機能を実現する。帯域規制機能は、ユーザ端末２がインターネット６上のサーバにアクセスする際の通信帯域量を規制する機能である。例えば、図５に示される付加機能装置７２は通信量を計測するための装置であり、付加機能サーバ８１は計測された通信量に基づいて帯域規制を実現するためのサーバである。これにより、帯域規制専用ネットワーク７ｂは、ユーザ端末２がインターネット６に接続する際に、帯域規制機能を実現する。そして、例えば、帯域規制を実現するためのサーバは、当該帯域規制機能を許可しているユーザのユーザ端末２が帯域規制を超える通信を実行している場合、当該ユーザ端末２に対して、ネットワーク利用量の警告情報を送信する。
【００６５】
また、例えば、セキュリティ強化ネットワーク７ｃは、ユーザ端末２がインターネット６に接続する際に、セキュリティ強化機能を実現する。セキュリティ強化機能は、例えば、ネットワーク上に流通するパケットを解析することによりウイルスチェックや既存のフィルタリングを行う機能である。例えば、図５に示される付加機能装置７２は、セキュリティ強化ネットワーク７ｃ上を通過するパケットを収集するための装置である。また、例えば、図５に示される付加機能サーバ８１は、収集されたパケットを解析し、ウイルスチェックや既存のフィルタリング等を実行し、セキュリティ強化を行うためのサーバである。これにより、セキュリティ強化ネットワーク７ｃは、ユーザ端末２がインターネット６に接続する際に、セキュリティ強化機能を実現する。そして、例えば、セキュリティ強化を行うためのサーバは、ウイルスチェック等の実行結果（例えば、abuseやattackの警告
）を、セキュリティ強化を所望するユーザのユーザ端末２に対して送信する。
【００６６】
また、例えば、プレミアムネットワーク７ｄは、ユーザ端末２がインターネット６に接続する際に、通信帯域の確保等の通信品質の高いサービスを提供する機能を実現する。例えば、図５に示される付加機能装置７２は、ＱｏＳ（Quality of Service）を確認するための装置である。また、例えば、図５に示される付加機能サーバ８１は、ＱｏＳを実現するためのサーバである。これにより、プレミアムネットワーク７ｄは、ユーザ端末２がインターネット６に接続する際に、通信帯域の確保等の通信品質の高いサービスを提供する機能を実現する。
【００６７】
なお、このような付加機能を提供するＩＳＰは、これらのネットワークを利用するユーザ毎に課金システムを変更してもよい。この場合、例えば、課金システムを実施する不図示の課金サーバがＢＡＳ４に接続されている。そして、上述のユーザ端末２の申込により、ユーザ端末２が要求する付加機能が切り替えられたときに、この課金サーバの情報も切り替えられる。課金サーバは、当該切り替えられた情報を元に、各ユーザの課金を行う。課金サーバは、例えば、帯域規制機能を許可するユーザには安い課金を行い、セキュリティ強化機能を許可するユーザには高い課金を行う。
【００６８】
＜付加機能網終端装置７１＞
付加機能網終端装置７１（ＤＰＩ専用ネットワーク終端装置７１ａ、帯域規制専用ネットワーク終端装置７１ｂ、セキュリティ強化ネットワーク終端装置７１ｃ、プレミアムネットワーク終端装置７１ｄ）は、各付加機能ネットワークの終端装置として、周知のハードウェア構成及び機能構成を有している。例えば、付加機能網終端装置７１は、各種データ及びプログラムを格納するための記憶部と、記憶部に格納されたプログラムを実行する制御部、及び、制御部により制御されて他の通信装置と通信するための複数の物理インタフェースを備えている。付加機能網終端装置７１は、このようなハードウェア構成により、付加機能網７のインタフェースとしての機能等を実現する。
【００６９】
本実施形態では、上述のとおり、付加機能網終端装置７１は、認証サーバ１から返信される接続許可に応じて、ＢＡＳ４からブロードバンドルータ３と各付加機能網７との間で通信経路を確立することに対する接続要求がなされる。これに応じて、付加機能網終端装置７１は、認証サーバ１が行った接続許可の確認のための通信（接続確認）を認証サーバ１に対して行う。
【００７０】
また、本実施形態では、上述のとおり、付加機能網終端装置７１は、上記接続確認に応じて認証サーバ１から接続許可の通知を受け取る。これに応じて、付加機能網終端装置７１は、上記ＢＡＳ４の接続要求に対する接続許可をＢＡＳ４に対して行う。
【００７１】
また、本実施形態では、上記接続許可の後、ブロードバンドルータ３と各付加機能網７との間で通信経路が確立される。この時、ＢＡＳ４から付加機能網終端装置７１に対して上記通信経路確立の要求がなされ、付加機能網終端装置７１が当該要求に応答することで、上記通信経路の確立が実現される。
【００７２】
§２−６ その他
図１に示されるとおり、本実施形態におけるネットワークの構成例には、ＩＳＰ網５、ＩＳＰ網終端装置５１、インターネット６及び申込サーバ６０が存在する。
【００７３】
ＩＳＰ網５は、本実施形態では、従来のＩＳＰ網であり、ユーザ端末２に対して、付加機能を提供せず、インターネット６への接続を提供するネットワークである。
【００７４】
ＩＳＰ網終端装置５１は、ネットワークの終端装置として、周知のハードウェア構成及び機能構成を有している。例えば、ＩＳＰ網終端装置５１は、各種データ及びプログラムを格納するための記憶部と、記憶部に格納されたプログラムを実行する制御部、及び、制御部により制御されて他の通信装置と通信するための複数の物理インタフェースを備えている。ＩＳＰ網終端装置５１は、このようなハードウェア構成により、ＩＳＰ網５のインタフェースとしての機能等を実現する。
【００７５】
本実施形態では、上述のとおり、認証サーバ１におけるユーザ認証が成立した場合、ブロードバンドルータ３とＩＳＰ網５との間で通信経路が確立される。この時の動作は、付
加機能網終端装置７１と同様であるため、省略する。
【００７６】
インターネット６は、ユーザ端末２から見てＩＳＰ網５から先に存在するネットワーク（インターネット）である。
【００７７】
申込サーバ６０は、周知のサーバとして一般的なハードウェア構成及び機能構成を有している。例えば、申込サーバ６０は、それぞれバスを介して接続された、各種データ及びプログラムを格納するための記憶部、記憶部に格納されたプログラムを実行する制御部、及び、ネットワークと通信を行うための通信部等を有している。申込サーバ６０は、このようなハードウェア構成により、上述のＷｅｂページを提供する機能を実現する。
【００７８】
なお、通信経路の確立に際して行われるブロードバンドルータ３に対するＩＰアドレスの割り当て等、通信プロトコルについてはＩＰ等の既存のプロトコルが用いられる。また、認証サーバにおいて行われるユーザ認証についても既存のプロトコル（例えば、ＲＡＤＩＵＳプロトコル）が用いられる。
【００７９】
§３ 動作例
次に、本実施形態におけるユーザ端末２のインターネット６への接続方法について、図６〜８を用いてその処理手順を説明する。なお、本実施形態では、認証サーバ１においてユーザ認証が成立しない場合の処理手順は従来のインターネットへの接続方法の処理手順と同様であるため、説明は省略する。
【００８０】
図６は、本実施形態に係るインターネット６への接続時（ユーザ認証成立）における処理手順の一例を示す。図７は、当該処理手順においてＢＡＳ４と認証サーバ１との間で行われるユーザ認証の問合せ及び接続許可のパケット構成例である。
【００８１】
図８は、当該処理手順においてＩＳＰ網５又は付加機能網７（ＩＳＰ網終端装置５１又は付加機能終端装置７１）と認証サーバ１との間で行われる接続確認及び接続許可のパケット構成例である。なお、図７及び図８のパケット構成例は、ＲＡＤＩＵＳプロトコルに準拠しているため、属性個々の説明は省略する。
【００８２】
なお、図７及び図８のパケット構成例は、それぞれ属性名フィールド、タイプフィールド、属性値フィールドを有する。属性名フィールドは、ＲＡＤＩＵＳプロトコルに準拠した属性名を格納している。タイプフィールドは、属性名フィールドに格納された属性に対応するＩＤを格納している。属性値フィールドは、属性名フィールドに格納された属性の属性値を格納している。
【００８３】
まず、図６に示されるとおり、ブロードバンドルータ３は、自身とＩＳＰ網５又は付加機能網７との間で通信経路が確立されていない場合、ユーザ端末２からのインターネット６へのアクセス要求に応じて、ＢＡＳ４に対してＩＳＰ網５又は付加機能網７への接続要求を行う（Ｓ１０１）。なお、当該接続要求には、ユーザ認証に用いられるＩＤ及びパスワードと、ユーザ端末２が要求する付加機能を示す情報としてのドメイン名が含まれている。
【００８４】
ブロードバンドルータ３からの接続要求に応じて、ＢＡＳ４は、認証サーバ１にユーザ端末２のユーザ認証の問合せを行う（Ｓ１０２）。
【００８５】
図７（ａ）は、この問合せを構成するパケットの構成例を示す。「User-Name」に格納
される属性値は、ユーザのＩＤとドメイン名を組み合わせたものであり、例えば、「ＩＤ＠ドメイン名」という文字列が格納される。具体的な例として、図１に示されるとおり、
ＤＰＩ機能を望むユーザａの場合、当該属性値は「a@dpi.ccc.com」である。また、付加
機能を望まないユーザｂの場合、当該属性値は「b@ccc.com」である。
【００８６】
「User-Password」「CHAP-Password」に格納される属性値は、上記接続要求に含まれるパスワードであり、認証サーバ１のユーザ認証に用いられる。なお、「User-Password」
及び「CHAP-Password」はＢＡＳ４と認証サーバ１との間で用いられる認証プロトコル（
ＰＡＰ（Password Authentication Protocol）、又はＣＨＡＰ（Challenge Handshake Authentication Protocol））により、どちらか一方が選択される。また、他の属性に格納
された属性値は、ＢＡＳ４と認証サーバ１との通信に用いられる。
【００８７】
図６に戻り、ＢＡＳ４からのユーザ認証の問合せに応じて、認証サーバ１はユーザ端末２のユーザ認証を行う。ユーザ認証は、認証部１６によって行われる。例えば、認証部１６は、ＢＡＳ４からのユーザ認証の問合せに含まれるＩＤ及びパスワードと、ユーザ認証情報データベース１５に格納されている一組のＩＤ及びパスワードとが一致するか否か判定する。そして、ＢＡＳ４からのユーザ認証の問合せに含まれるＩＤ及びパスワードと、ユーザ認証情報データベース１５に格納されている一組のＩＤ及びパスワードとが一致していると、当該ユーザ認証は成立すると認証部１６は判定する（Ｓ１０３）。
【００８８】
ユーザ認証は成立すると認証部１６が判定すると、応答部１７は、上記ドメイン名に基づいて、ＩＳＰ網５又は付加機能網７への接続許可を行う（Ｓ１０４）。例えば、上記ユーザａの場合、応答部１７は、付加機能網７（ＤＰＩ専用ネットワーク７ａ）への接続許可を行う。また、例えば、上記ユーザｂの場合、応答部１７は、ＩＳＰ網５への接続許可を行う。
【００８９】
図７（ｂ）は、この接続許可を構成するパケットの構成例を示す。「Service-Type」及び「Framed-Protocol」の属性値は、上記のとおり、ＢＡＳ４と認証サーバ１との通信に
用いられる。また、「Framed-IP-Address」及び「Framed-IP-Netmask」の属性値は、ブロードバンドルータ３に割り当てられるＩＰアドレス及びそのサブネットマスクである。
【００９０】
また、「Ascend-Primary-Home-Agent」の属性値は、後述するＳ１０５において、ＢＡ
Ｓ４がＩＳＰ網終端装置５１（ＩＳＰ網５）又は付加機能終端装置７１（付加機能網７）にアクセスするために用いられる。例えば、上記ユーザａの場合、当該属性値は、付加機能終端装置７１（ＤＰＩ専用ネットワーク終端装置７１ａ）のＩＰアドレスである。また、例えば、上記ユーザｂの場合、当該属性値は、ＩＳＰ網終端装置５１のＩＰアドレスである。
【００９１】
図６に戻り、認証サーバ１からのＩＳＰ網５又は付加機能網７への接続許可に応じて、ＢＡＳ４は、当該接続許可に基づいた接続要求を、各ネットワークの終端装置であるＩＳＰ網終端装置５１又は付加機能網終端装置７１に対して行う（Ｓ１０５）。当該接続要求に際して、ＢＡＳ４は、上述のとおり、「Ascend-Primary-Home-Agent」の属性値を用い
てＩＳＰ網終端装置５１又は付加機能網終端装置７１にアクセスし、接続要求を行う。例えば、上記ユーザａの場合、ＢＡＳ４は、付加機能網終端装置７１（ＤＰＩ専用ネットワーク終端装置７１ａ）にアクセスし、接続要求を行う。また、例えば、上記ユーザｂの場合、ＢＡＳ４は、ＩＳＰ網終端装置５１にアクセスし、接続要求を行う。
【００９２】
ＢＡＳ４からの接続要求に応じて、ＩＳＰ網終端装置５１又は付加機能網終端装置７１は、認証サーバ１が行った当該接続要求に係る接続許可（Ｓ１０４）に対する接続確認を認証サーバ１に対して行う（Ｓ１０６）。
【００９３】
図８（ａ）は、この接続確認を構成するパケットの構成例を示す。「User-Name」から
「NAS-Port-Id」までの属性値は、認証サーバ１が行った接続許可の特定に用いられる。
また、「Tunnel-Type」、「Tunnel-Medium-Type」及び「Tunnel-Server-Endpoint」の属
性値は、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間で確立する通信経路（トンネル）の種別を、認証サーバ１に確認するために用いられる。後述するＳ１１０及びＳ１１１においては、これらの属性値に基づいて通信経路が確立される。
【００９４】
図６に戻り、ＩＳＰ網終端装置５１又は付加機能網終端装置７１からの接続確認に応じて、認証サーバ１（応答部１７）は、Ｓ１０４で行った接続許可に対応する接続許可をＩＳＰ網終端装置５１又は付加機能網終端装置７１に対して行う（Ｓ１０７）。
【００９５】
図８（ｂ）は、この接続許可を構成するパケットの構成例を示す。「Framed-IP-Address」及び「Framed-IP-Netmask」の属性値は、上述のとおり、ブロードバンドルータ３に割り当てられるＩＰアドレス及びそのサブネットマスクである。付加機能網終端装置７１は、付加機能網７と通信経路を確立するブロードバンドルータ３を特定するためにこれらの値を用いる。
【００９６】
図６に戻り、認証サーバ１からの上記接続許可に応じて、ＩＳＰ網終端装置５１又は付加機能網終端装置７１は、ＢＡＳ４からの接続要求に対する接続許可をＢＡＳ４に対して行う（Ｓ１０８）。
【００９７】
ＩＳＰ網終端装置５１又は付加機能網終端装置７１からの接続許可に応じて、ＢＡＳ４は、ブロードバンドルータ３に対して、ＩＳＰ網５又は付加機能網７への接続許可を返信する（Ｓ１０９）。当該接続許可には、上記ブロードバンドルータ３に割り当てられるＩＰアドレス及びそのサブネットマスクが含まれる。
【００９８】
ＢＡＳ４からのＩＳＰ網５又は付加機能網７への接続許可に応じて、ブロードバンドルータ３からＢＡＳ４に対して、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間の通信経路の確立のための通信が行われる（Ｓ１１０）。またこれに応じて、ＢＡＳ４からＩＳＰ網終端装置５１又は付加機能網終端装置７１に対して、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間の通信経路の確立のための通信が行われる（Ｓ１１１）。なお、この際に確立される通信経路の種別は、上記において説明したように、「Tunnel-Type」、「Tunnel-Medium-Type」及び「Tunnel-Server-Endpoint」の属性値に
基づいている。
【００９９】
以上までの処理により、ＢＡＳ４とＩＳＰ網５又は付加機能網７との間において通信経路が確立される。これにより、例えば、上記ユーザａの場合、ユーザ端末２は、付加機能網７（ＤＰＩ専用ネットワーク７ａ）を経由して、インターネット６上に存在するサーバにアクセスすることができるようになる。また、例えば、上記ユーザｂの場合、ユーザ端末２は、ＩＳＰ網５を経由して、インターネット６上に存在するサーバにアクセスすることができるようになる。
【０１００】
なお、ＢＡＳ４の上記動作を実現するプログラム等の設定において、ＩＳＰ網５への接続がデフォルトとして設定されている場合がある。この場合、ＢＡＳ４は、認証サーバ１より接続許可を受けた後（Ｓ１０４）、Ｓ１０５〜Ｓ１０８の処理を省略して、ブロードバンドルータ３へＩＳＰ網５への接続許可を行う（Ｓ１０９）。更にこの場合、Ｓ１０５〜Ｓ１０８の処理が省略されるため、ＩＳＰ網終端装置５１と認証サーバ１とはネットワークを介して直接通信可能となっている図１の状態である必要はない。
【０１０１】
§４ 実施の形態に係る作用及び効果
以上によれば、本実施形態に係る認証サーバ及び認証システムでは、ユーザ端末２が要
求する付加機能を示す情報に基づいて、認証サーバ１は、ユーザ端末２がインターネット６に接続する際に経由するネットワーク（ＩＳＰ網５又は付加機能網７）を決定する。このため、認証サーバ１により当該ネットワークに対する接続許可が行われることで、ユーザ端末２は、自身が要求する付加機能を提供することができるネットワークを経由して、インターネット６に接続できるようになる。したがって、本実施形態では、ネットワーク上において提供される付加機能を適切なユーザに提供することができる。また、従来とは異なり、全てのユーザに対して機能を提供する必要はなくなり、適切なユーザに対して付加機能を提供することができるネットワークを用意すればよいため、小規模で安価な装置により、機能の提供を実施することができる。
【０１０２】
また、本実施形態では、認証サーバ１は、ドメイン名により接続先のネットワークを決定する。これによって、ユーザは、ユーザが許可する又は所望する付加機能の切り替えを、ドメイン名を切り替えることによって達成することができる。
【０１０３】
また、本実施形態では、ユーザ端末２は、Ｗｅｂページの操作により付加機能を切り替える。このため、ユーザは、任意に所望の付加機能を切り替えることができる。また、ユーザ端末２が要求する付加機能はユーザの任意により切り替えられるため、付加機能を提供する側（例えば、ＩＳＰ）は、提供する付加機能をユーザに告知することができる。
【０１０４】
§５ 補足
以上、本発明の実施の形態を詳細に説明してきたが、前述までの説明はあらゆる点において本発明の例示に過ぎず、その範囲を限定しようとするものではない。本発明の範囲を逸脱することなく種々の改良や変形を行うことができることは言うまでもない。本発明は、特許請求の範囲によってのみその範囲が解釈される。また、当業者は、上記本実施形態の記載から、特許請求の範囲の記載および技術常識に基づいて等価な範囲を実施することができる。また、本明細書において使用される用語は、特に言及しない限り、当該分野で通常用いられる意味で用いられる。したがって、他に定義されない限り、本明細書中で使用される全ての専門用語および技術用語は、本発明の属する分野の当業者によって一般的に理解される意味と同じ意味を有する。両者が矛盾する場合、本明細書において使用される用語は、本明細書（定義を含めて）に記載された意味において理解される。
【０１０５】
なお、以上までの説明において、本発明に係る認証サーバ及び認証システムの一実施形態について説明したが、本発明に係る認証方法及び認証プログラムの一実施形態についても同様に説明することができる。つまり、上記認証サーバの各処理を各ステップとする手順が本発明に係る認証方法の一実施形態であり、上記認証サーバの各処理を実行させるために用いられるプログラムが本発明に係る認証プログラムの一実施形態である。
【符号の説明】
【０１０６】
１ 認証サーバ
１１ 記憶部
１２ 制御部
１３ バス
１４ 通信部
１５ ユーザ認証情報データベース
１６ 認証部
１７ 応答部
２ ユーザ端末
３ ブロードバンドルータ
４ ＢＡＳ
５ ＩＳＰ網
５１ ＩＳＰ網終端装置
６ インターネット
７ 付加機能網
７ａ ＤＰＩ専用ネットワーク
７ｂ 帯域規制専用ネットワーク
７ｃ セキュリティ強化ネットワーク
７ｄ プレミアムネットワーク
７１ 付加機能網終端装置
７１ａ ＤＰＩ専用ネットワーク終端装置
７１ｂ 帯域規制専用ネットワーク終端装置
７１ｃ セキュリティ強化ネットワーク終端装置
７１ｄ プレミアムネットワーク終端装置
７２ 付加機能装置
８１ 付加機能サーバ
【技術分野】
【０００１】
本発明は、ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う認証サーバ、認証システム、認証方法及び認証プログラムの技術に関する。
【背景技術】
【０００２】
近年、ＩＳＰ（Internet Service Provider）は、インターネットへの接続サービスに
様々な機能を付加したサービスを提供している。例えば、この付加される機能を実現する技術の一つとして、ＤＰＩ（Deep Packet Inspection）と呼ばれる技術が存在する。ＤＰＩとは、インターネットでやりとりされるデータ（パケット）を収集して、解析する技術である。このＤＰＩにより、インターネットでやりとりされるデータの傾向を調べることができ、例えば、傾向に合う広告データをユーザに提供することができる。
【０００３】
図９は、従来のＤＰＩが用いられるネットワークの構成例を示す。図９に示されるとおり、従来のＤＰＩが用いられるネットワーク構成は、例えば、ユーザ端末２、ブロードバンドルータ３、ＢＡＳ（Broadband Access Server）４、認証サーバ１０、ＩＳＰ網５、
ＩＳＰ網終端装置５１、インターネット６、ＤＰＩ装置７０及びＤＰＩサーバ８０を含む。
【０００４】
従来のＤＰＩが用いられるネットワークの構成では、ＤＰＩ機能を望むユーザａ及びＤＰＩ機能を望まないユーザｂのユーザ端末２とインターネット６との間でやりとりされるデータは一度ＤＰＩ装置７０を通過する。ＤＰＩ装置７０は、ユーザがＤＰＩ機能を望む、望まないに関わらず、全てのデータのコピーをＤＰＩサーバ８０に送信する。そして、ＤＰＩサーバ８０は、これらのデータを収集及び解析を行い、例えば、データの傾向に合う広告データを、ＤＰＩ機能を望むユーザａのユーザ端末２に提供していた。
【０００５】
このような技術に関して、例えば、特許文献１及び特許文献２に挙げられる技術が存在する。
【０００６】
特許文献１では、ある広告ページ（Ｗｅｂページ）を経由したクライアントにクッキーを仕込み、クッキーが仕込まれたクライアントからのパケットを閲覧し、クライアントの閲覧しているＷｅｂページの傾向を調べる技術が開示されている。
【０００７】
特許文献２では、課金されたコンテンツへアクセスにおいて、認証が済んだ端末したアクセスできないようにするために、全てのパケットを閲覧し、認証が済んでいるかどうかを調べる技術が開示されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特表２０１０−５１４０６１号公報
【特許文献２】特開２０１０−０５０７７５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
上記のようにインターネットへの接続サービスに様々な機能を付加したサービスを提供する従来の技術では、ユーザが望む（許可する）、望まない（許可しない）に関わらず、全て一度データ解析のためにデータが収集されていた。このため、ネットワークに接続されるユーザ端末の数に応じて、大規模で処理が高速な装置（例えば、ＤＰＩ装置及びＤＰ
Ｉサーバ）が必要であった。また、全てのデータを一度収集してしまうため、データ収集を許可しないユーザの要望に対応することができなかった。
【００１０】
本発明は、このような点を考慮してなされたものであり、ネットワーク上において提供される機能を適切なユーザに提供することができる認証サーバ、認証システム、認証方法及び認証プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明は、上述した課題を解決するために、以下の構成を採用する。
【００１２】
すなわち、ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う本発明の認証サーバは、記憶部と、情報端末からの接続要求に応じて、情報端末のユーザ認証を行う認証部と、認証部のユーザ認証の後に、情報端末に対して、情報端末側から送信された、又は、記憶部に格納された情報により示される情報端末が要求する付加機能を提供可能なネットワークへの接続を許可する応答部と、を備える。
【００１３】
上記構成によれば、付加機能を要求する情報端末は、当該付加機能を提供可能なネットワークへ接続が許可される。このため、ネットワーク上において提供される付加機能を適切なユーザに提供することができる。また、従来とは異なり、全てのユーザに対して機能を提供する必要はなくなり、適切なユーザに対して付加機能を提供することができるネットワークを用意すればよいため、小規模で安価な装置により、機能の提供を実施することができる。
【００１４】
また、上記情報端末側から送信された情報は、上記情報端末が要求する付加機能を示す文字列を含むドメイン名であってもよい。
【００１５】
上記構成によれば、情報端末が要求する付加機能は、ドメイン名によって指定される。このため、情報端末の要求する付加機能を切り替えはドメイン名の切り替えによって達成することができる。
【００１６】
また、本発明の認証システムは、本発明の認証サーバと、前記情報端末からの前記付加機能の切り替えの申込により、上記情報端末側から送信される、又は、上記記憶部に格納される情報が示す付加機能を切り替える申込サーバと、を備える。
【００１７】
上記構成によれば、情報端末の申込により、情報端末が要求する付加機能が切り替えられる。このため、ユーザは、任意に所望の付加機能を切り替えることができる。また、情報端末が要求する付加機能はユーザの任意により切り替えられるため、付加機能を提供する側は、提供する付加機能をユーザに告知することができる。
【００１８】
なお、本発明の別態様としては、以上の何れかの構成を実現する方法であってもよいし、システムであってもよいし、プログラムであってもよいし、このようなプログラムを記録したコンピュータが読み取り可能な記憶媒体であってもよい。
【発明の効果】
【００１９】
本発明によれば、ネットワーク上において提供される機能を適切なユーザに提供することができる認証サーバ、認証システム、認証方法及び認証プログラムを提供することができる。
【図面の簡単な説明】
【００２０】
【図１】実施の形態に係るネットワーク構成を例示する図。
【図２】実施の形態に係る付加機能を選択する画面を例示する図。
【図３】実施の形態に係る認証サーバの構成を例示する図。
【図４】実施の形態に係る付加機能網を例示する図。
【図５】実施の形態に係る付加機能網の構成例を例示する図。
【図６】実施の形態に係るネットワーク（インターネット）への接続時における処理手順の一例を示したシーケンスチャート。
【図７】ＢＡＳと認証サーバとの間のユーザ認証に関するパケットが含む属性例及び属性値例。
【図８】付加機能網終端装置と認証サーバとの間の接続要求に関するパケットが含む属性例及び属性値例。
【図９】従来のネットワーク構成を例示する図。
【発明を実施するための形態】
【００２１】
以下、本発明の一側面に係る認証サーバ及び認証システムを、実施の形態（以下、「本実施形態」とも表記する）として説明する。ただし、以下に挙げる実施形態は例示であり、本発明は以下の実施形態の構成に限定されない。
【００２２】
なお、以下に挙げる実施形態において、例えば、図７及び図８においてパケット構成例の属性名や属性値を自然言語（日本語等）等で例示しているが、より具体的には、コンピュータが認識可能な疑似言語、コマンド、パラメタ、マシン語等で指定される。
【００２３】
§１ ネットワーク構成例
まず、本実施形態に係るネットワークの構成例について説明する。図１は、本実施形態に係るネットワークの構成例を示す。図１に示されるとおり、本実施形態に係るネットワークは、認証サーバ１、ユーザ端末２、ブロードバンドルータ３、ＢＡＳ４、ＩＳＰ網５及びＩＳＰ網終端装置５１、インターネット６及び申込サーバ６０、並びに付加機能網７及び付加機能網終端装置７１を含んだ構成となっている。
【００２４】
認証サーバ１は、ネットワークを介してＢＡＳ４、ＩＳＰ網終端装置５１（ＩＳＰ網５）及び付加機能網終端装置７１（付加機能網７）と通信可能となっている。ユーザ端末２は、ネットワークを介してブロードバンドルータ３と通信可能となっている。ブロードバンドルータ３は、ネットワークを介してユーザ端末２及びＢＡＳ４と通信可能となっている。ＢＡＳ４は、ネットワークを介して認証サーバ１、ブロードバンドルータ３、ＩＳＰ網終端装置５１（ＩＳＰ網５）及び付加機能網終端装置７１（付加機能網７）と通信可能となっている。
【００２５】
ユーザ端末２は、ブロードバンドルータ３、ＢＡＳ４並びにＩＳＰ網５及びＩＳＰ網終端装置５１又は付加機能網７及び付加機能網終端装置７１を介して、インターネット６に接続することができる。
【００２６】
ＩＳＰ網５は、従来のＩＳＰ網であり、ユーザ端末２に対して、付加機能を提供せず、インターネット６への接続を提供するネットワークである。他方、付加機能網７は、ユーザ端末２に対して、付加機能を提供するとともに、インターネット６への接続を提供するネットワークである。
【００２７】
§２ 装置構成例
次に、本実施形態に係るネットワークの各ノードについて説明する。
【００２８】
§２−１ ユーザ端末２
ユーザ端末２は、例えば、ＰＣ（Personal Computer）として周知のハードウェア構成
及び機能構成を有している。例えば、ユーザ端末２は、そのハードウェア構成として、それぞれバスを介して接続された、各種データ及びプログラムを格納するための記憶部、記憶部に格納されたプログラムを実行する制御部、ネットワークと通信を行うための通信部、マウスやキーボード等に対するユーザの操作を入力するための入力部等を有している。ユーザ端末２は、このようなハードウェア構成により、ネットワークを介してインターネット６へ接続するための一般的な通信機能、提供されたデータに基づく画面を表示及び操作することができる一般的なユーザインタフェース機能等を実現する。
【００２９】
本実施形態では、ユーザ端末２は、ＩＳＰ網５又は付加機能網７を介してインターネット６上に存在するサーバ（Ｗｅｂサーバやメールサーバ等）へアクセスする。この時、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間で通信経路が確立されていない場合、認証サーバ１によりユーザ端末２のユーザ認証が行われる。後述するとおり、ユーザ認証が成立すると、認証サーバ１は、ユーザ端末２側（本実施形態ではブロードバンドルータ３）から送信される情報であって、ユーザ端末２が要求する付加機能を示す情報に基づいて、接続許可を行う対象のネットワークを決定する。これにより、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間で通信経路が確立され、ユーザ端末２は、インターネット６上に存在するサーバにアクセスすることができるようになる。
【００３０】
また、本実施形態では、インターネット６上に存在する申込サーバ６０にユーザ端末２がアクセスすることにより取得されるＷｅｂページが操作されることにより、ユーザ端末２が要求する付加機能が切り替えられる。図２は、当該Ｗｅｂページの表示画面例を示す。
【００３１】
ユーザ端末２上において、図２に示されるＷｅｂページが操作される。ユーザは、ユーザ端末２を操作し、付加機能の選択画面（２０）から、所望の付加機能を選択する（２１）。そして、選択した付加機能が設定操作される（２２）ことにより、ユーザ端末２からブロードバンドルータ３に対して、ユーザ端末２が要求する付加機能を示す情報の切り替えが要求される。ブロードバンドルータ３は、当該要求に応じて、ユーザ端末２が要求する付加機能を示す情報の切り替えを行う。
【００３２】
なお、本実施形態の別方法として、申込サーバ６０に代えて、ユーザ端末２上で実行されるプログラムにより、上記付加機能の切り替えが実現されてもよい。
【００３３】
§２−２ ブロードバンドルータ３
ブロードバンドルータ３は、周知のブロードバンドルータとして一般的なハードウェア構成及び機能構成を有している。例えば、ブロードバンドルータ３は、各種データ及びプログラムを格納するための記憶部と、記憶部に格納されたプログラムを実行する制御部、及び、制御部により制御されて他の通信装置と通信するための複数の物理インタフェースを備えている。ブロードバンドルータ３は、このようなハードウェア構成により、ブロードバンドルータ３とＩＳＰ網５または付加機能網７との間で通信経路を確立する一般的なルーティング機能等を実現する。
【００３４】
本実施形態では、ブロードバンドルータ３は、ユーザ端末２からのインターネット６上へのサーバに対するアクセス要求に応じて、ＩＳＰ網５又は付加機能網７との間に通信経路を確立するために、ＢＡＳ４に対して接続要求を行う。接続要求に際して、ブロードバンドルータ３からＢＡＳ４へ、ユーザ認証に用いる情報（例えば、ユーザのＩＤ及びパスワード）と共に、ユーザ端末２が要求する付加機能を示す情報が送信される。詳細については後述する。
【００３５】
この接続要求に応じて、認証サーバ１によりユーザ端末２のユーザ認証が行われる。そ
して、ユーザ認証の結果に応じて、本実施形態では、ブロードバンドルータ３は、ＢＡＳ４から送信される接続許可の情報に基づいて、ＩＳＰ網５又は付加機能網７との間に通信経路を確立する。この通信経路の確立のため、ブロードバンドルータ３は、ＢＡＳ４と通信経路確立のための通信を行う。
【００３６】
また、本実施形態では、ブロードバンドルータ３は、ユーザ端末２からの要求に応じて、ユーザ端末２が要求する付加機能を示す情報を切り替える。ユーザ端末２が要求する付加機能を示す情報の具体例については、後述する。
【００３７】
§２−３ ＢＡＳ４
ＢＡＳ４は、周知のアクセスサーバとして一般的なハードウェア構成及び機能構成を有している。例えば、ＢＡＳ４は、各種データ及びプログラムを格納するための記憶部と、記憶部に格納されたプログラムを実行する制御部、及び、制御部により制御されて他の通信装置と通信するための複数の物理インタフェースを備えている。ＢＡＳ４は、このようなハードウェア構成により、一般的な認証クライアントの機能等を実現する。
【００３８】
本実施形態では、ＢＡＳ４は、ブロードバンドルータ３からのＩＳＰ５又は付加機能網７への接続要求に応じて、認証サーバ１にユーザ認証の問合せを行う。
【００３９】
また、本実施形態では、認証サーバ１から返信される接続許可（例えば、接続許可の情報を含むパケットデータの通知）に応じて、ＢＡＳ４は、ＩＳＰ網終端装置５１又は付加機能網終端装置７１に対して接続要求を行う。当該接続要求は、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間で通信経路を確立するためのものである。この接続要求に応じて、ＩＳＰ網終端装置５１又は付加機能網終端装置７１から接続許可の応答が返される。ＢＡＳ４は、当該接続許可の応答に応じて、ブロードバンドルータ３にＩＳＰ網５又は付加機能網７への接続許可を返信する。
【００４０】
§２−４ 認証サーバ１
図３は、本実施形態における認証サーバ１の構成例を示す。
【００４１】
認証サーバ１は、図３に示されるように、そのハードウェア構成として、バス１３で接続される、記憶部１１、制御部１２、通信部１４等の既存のハードウェアを有している。記憶部１１は、例えばハードディスクであり、制御部１２で実行される処理で利用される各種データ及びプログラムを記憶する。制御部１２は、ＣＰＵ（Central Processing Unit）等の１又は複数のプロセッサであり、このプロセッサの処理に利用される周辺回路（
ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、インタフェース回路等）を有する。通信部１４は、ネットワークを介して、ＢＡＳ４、ＩＳＰ網終端装置５１及び付加機能網終端装置７１等とＩＰ（Internet Protocol）パケット等の送受信を行う。
なお、認証サーバ１は、ＰＣ等のような汎用コンピュータで構成されてもよいし、ネットワーク接続ストレージのような専用コンピュータで構築されてもよい。
【００４２】
図３に示されるとおり、認証サーバ１は、ユーザ認証を行う情報を格納するためのユーザ認証情報データベース１５を記憶部１１に有している。
【００４３】
ユーザ認証情報データベース１５には、後述する認証部１６がユーザ認証を行うための情報が格納されている。ユーザ認証を行うための情報は、上述のブロードバンドルータ３からＢＡＳ４に送信されるユーザ認証に用いる情報に対応した情報であり、例えば、ユーザのＩＤとパスワードとを一組にした情報である。
【００４４】
また、図３に示されるとおり、認証サーバ１は、ユーザ認証情報データベース１５の情
報を用いてユーザ認証を行う認証部１６、及び認証部１６のユーザ認証の結果に応じた応答（ネットワークへの接続許可）を行う応答部１７を制御部１１に有している。
【００４５】
認証部１６は、ＢＡＳ４からのユーザ認証の問合せに応じて、当該問合せの対象であるユーザ端末２のユーザ認証を行う。認証部１６は、このユーザ認証を、ユーザ認証情報データベース１５に格納された情報と、ＢＡＳ４からのユーザ認証の問合せに含まれる上述のブロードバンドルータ３からＢＡＳ４に送信されるユーザ認証に用いる情報とを用いることにより実施する。
【００４６】
例えば、ユーザ認証情報データベース１５にはユーザのＩＤとパスワードとを一組にした情報が格納されており、上述のブロードバンドルータ３からＢＡＳ４に送信されるユーザ認証に用いる情報がユーザのＩＤとパスワードであるとする。この場合、認証部１６は、ＢＡＳ４からのユーザ認証の問合せに含まれたユーザのＩＤ及びパスワードが、ユーザ認証情報データベース１５に格納されているユーザのＩＤ及びパスワードと一致するか否かを判定することにより、ユーザ認証を実施する。
【００４７】
例えば、認証部１６は、ＢＡＳ４の問合せに含まれたＩＤ及びパスワードとユーザ認証情報データベース１５に格納されているＩＤ及びパスワードが一致した場合、ユーザ認証は成立すると判定する。他方、認証部１６は、ＢＡＳ４の問合せに含まれたＩＤ及びパスワードとユーザ認証情報データベース１５に格納されているＩＤ及びパスワードが一致しない場合、ユーザ認証は成立しないと判定する。
【００４８】
本実施形態では、応答部１７は、ユーザ認証は成立すると認証部１６が判定した場合、ネットワークへの接続許可をＢＡＳ４に対して行う。この接続許可の対象となるネットワークは、本実施形態では、ＩＳＰ網５または付加機能網７である。認証部１６がこれらのネットワークに対する接続許可をＢＡＳ４に対して行うことで、ブロードバンドルータ３とこれらのネットワークとの間に通信経路が形成される。
【００４９】
この接続許可において、応答部１７は、ＢＡＳ４からのユーザ認証の問合せに含まれるブロードバンドルータ３から送信されたユーザ端末２が要求する付加機能を示す情報に基づいて、ＢＡＳ４に対して行う接続許可の接続先を決定する。本実施形態では、ユーザ端末２が要求する付加機能を示す情報はドメイン名である。
【００５０】
例えば、ドメイン名が「ccc.com」である場合、応答部１７は、ユーザ端末２が要求す
る付加機能はなしと判定し、ＩＳＰ網５への接続許可をＢＡＳ４に対して行う。
【００５１】
また、例えば、ドメイン名が「dpi.ccc.com」である場合、応答部１７は、ユーザ端末
２が要求する付加機能は後述するＤＰＩ機能であると判定し、ＤＰＩ機能を提供する付加機能網７（後述するＤＰＩ専用ネットワーク７ａ）への接続許可をＢＡＳ４に対して行う。
【００５２】
また、例えば、ドメイン名が「tctrl.ccc.com」である場合、応答部１７は、ユーザ端
末２が要求する付加機能は後述する帯域規制機能であると判定し、帯域規制機能を提供する付加機能網７（後述する帯域規制専用ネットワーク７ｂ）への接続許可をＢＡＳ４に対して行う。
【００５３】
また、例えば、ドメイン名が「sec.ccc.com」である場合、応答部１７は、ユーザ端末
２が要求する付加機能は後述するセキュリティ強化機能であると判定し、セキュリティ強化機能を提供する付加機能網７（後述するセキュリティ強化ネットワーク７ｃ）への接続許可をＢＡＳ４に対して行う。
【００５４】
また、例えば、ドメイン名が「prem.ccc.com」である場合、応答部１７は、ユーザ端末２が要求する付加機能は後述するプレミアム機能であると判定し、プレミアム機能を提供する付加機能網７（後述するプレミアムネットワーク７ｄ）への接続許可をＢＡＳ４に対して行う。
【００５５】
なお、本実施形態の別形態として、ユーザ端末２が要求する付加機能を示す情報はユーザのＩＤであってもよい。この場合、例えば、ユーザ認証情報データベース１５には、ユーザ認証に用いる一組のＩＤとパスワードに対応付けられた接続先の情報（例えば、ＩＳＰ網５又は上記各サービスを提供する付加機能網７の終端装置のＩＰアドレス）が格納されている。そして、ユーザ認証は成立すると認証部１６が判定した場合、応答部１７は、当該ユーザ認証に用いられた一組のＩＤとパスワードに対応付けられた接続先の情報をユーザ認証情報データベース１５より取得する。また、応答部１７は、取得した接続先の情報を用いて、ＢＡＳ４に対して接続許可を行う。
【００５６】
また、本実施形態の別形態として、ユーザ端末２が要求する付加機能を示す情報は、例えば、予め認証サーバ１の記憶部１１に格納されていてもよい。この場合、例えば、ユーザ認証情報データベース１５には、ユーザ認証に用いる一組のＩＤとパスワードに対応付けられた接続先の情報（例えば、ＩＳＰ網５又は上記各サービスを提供する付加機能網７の終端装置のＩＰアドレス）が格納されている。そして、ユーザ認証は成立すると認証部１６が判定した場合、応答部１７は、当該ユーザ認証に用いられた一組のＩＤとパスワードに対応付けられた接続先の情報をユーザ認証情報データベース１５より取得する。また、応答部１７は、取得した接続先の情報を用いて、ＢＡＳ４に対して接続許可を行う。
【００５７】
なお、本実施形態では、応答部１７が、ＩＳＰ網５又は付加機能網７への接続許可をＢＡＳ４に対して行った場合、ＩＳＰ網終端装置５１又は付加機能網終端装置７１より当該接続許可の接続確認が行われる。この時、応答部１７は自己が行ったＢＡＳ４に対する接続許可に対応する接続許可の通知をＩＳＰ網終端装置５１又は付加機能網終端装置７１に対して行う。ＩＳＰ網終端装置５１又は付加機能網終端装置７１は、この接続許可の通知により、ブロードバンドルータ３と自身との間で通信経路を確立することに対する接続許可を認証サーバ１（応答部１７）が行ったことを認識する。
【００５８】
他方、ユーザ認証は成立しないと認証部１６が判定した場合、応答部１７は、任意の情報をＢＡＳ４に対して返信する。例えば、応答部１７は、従来のインターネットへの接続方法と同様に、各ネットワークへの接続拒否をＢＡＳ４に対して行う。
【００５９】
§２−５ 付加機能網７
＜付加機能網７＞
付加機能網７は、本実施形態では、ユーザ端末２に対して、付加機能を提供するとともに、インターネット６への接続を提供するネットワークである。付加機能網７について、図４及び図５を用いて説明する。
【００６０】
図４は、本実施形態における付加機能網７を例示している。付加機能網７は、図４に示されるとおり、ユーザが許可する又は所望する付加機能に応じて独立したネットワークを構成している。本実施形態では、付加機能が実現されたネットワークとして、ＤＰＩ機能が実現されたＤＰＩ専用ネットワーク７ａ、帯域規制が実現された帯域規制専用ネットワーク７ｂ、セキュリティ強化機能が実現されたセキュリティ強化ネットワーク７ｃ、及び、通信帯域の確保等の通信品質の高いサービスを提供する機能が実現されたプレミアムネットワーク７ｄが例示されている。そして各ネットワークは、その終端装置（ＤＰＩ専用ネットワーク終端装置７１ａ、帯域規制専用ネットワーク終端装置７１ｂ、セキュリティ
強化ネットワーク終端装置７１ｃ、プレミアムネットワーク終端装置７１ｄ）を介してＢＡＳ４に接続されている。
【００６１】
図５は、本実施形態における付加機能網７の構成例を示す。上記各付加機能が実現された付加機能網７はそれぞれ、付加機能を実現するための付加機能装置７２及び付加機能サーバ８１を有する。
【００６２】
付加機能装置７２及び付加機能サーバ８１はそれぞれ、そのハードウェア構成として、それぞれバスを介して接続された、各種データ及びプログラムを格納するための記憶部、記憶部に格納されたプログラムを実行する制御部、ネットワークと通信を行うための通信部等を有している。付加機能装置７２及び付加機能サーバ８１はそれぞれ、このようなハードウェア構成により、上記各付加機能等を実現する。
【００６３】
例えば、ＤＰＩ専用ネットワーク７ａは、ユーザ端末２がインターネット６に接続する際に、ＤＰＩ機能を実現する。ＤＰＩ機能は、上述のとおりである。例えば、図５に示される付加機能装置７２は上述のＤＰＩ装置であり、付加機能サーバ８１は上述のＤＰＩサーバである。これにより、ＤＰＩ専用ネットワーク７ａは、ユーザ端末２がインターネット６に接続する際に、ＤＰＩ機能を実現する。そして、例えば、ＤＰＩサーバは、当該ＤＰＩ機能によりユーザの嗜好に合う広告情報を取得し、当該機能を許可しているユーザ端末２に対して、広告情報の送信を行う。
【００６４】
また、例えば、帯域規制専用ネットワーク７ｂは、ユーザ端末２がインターネット６に接続する際に、帯域規制機能を実現する。帯域規制機能は、ユーザ端末２がインターネット６上のサーバにアクセスする際の通信帯域量を規制する機能である。例えば、図５に示される付加機能装置７２は通信量を計測するための装置であり、付加機能サーバ８１は計測された通信量に基づいて帯域規制を実現するためのサーバである。これにより、帯域規制専用ネットワーク７ｂは、ユーザ端末２がインターネット６に接続する際に、帯域規制機能を実現する。そして、例えば、帯域規制を実現するためのサーバは、当該帯域規制機能を許可しているユーザのユーザ端末２が帯域規制を超える通信を実行している場合、当該ユーザ端末２に対して、ネットワーク利用量の警告情報を送信する。
【００６５】
また、例えば、セキュリティ強化ネットワーク７ｃは、ユーザ端末２がインターネット６に接続する際に、セキュリティ強化機能を実現する。セキュリティ強化機能は、例えば、ネットワーク上に流通するパケットを解析することによりウイルスチェックや既存のフィルタリングを行う機能である。例えば、図５に示される付加機能装置７２は、セキュリティ強化ネットワーク７ｃ上を通過するパケットを収集するための装置である。また、例えば、図５に示される付加機能サーバ８１は、収集されたパケットを解析し、ウイルスチェックや既存のフィルタリング等を実行し、セキュリティ強化を行うためのサーバである。これにより、セキュリティ強化ネットワーク７ｃは、ユーザ端末２がインターネット６に接続する際に、セキュリティ強化機能を実現する。そして、例えば、セキュリティ強化を行うためのサーバは、ウイルスチェック等の実行結果（例えば、abuseやattackの警告
）を、セキュリティ強化を所望するユーザのユーザ端末２に対して送信する。
【００６６】
また、例えば、プレミアムネットワーク７ｄは、ユーザ端末２がインターネット６に接続する際に、通信帯域の確保等の通信品質の高いサービスを提供する機能を実現する。例えば、図５に示される付加機能装置７２は、ＱｏＳ（Quality of Service）を確認するための装置である。また、例えば、図５に示される付加機能サーバ８１は、ＱｏＳを実現するためのサーバである。これにより、プレミアムネットワーク７ｄは、ユーザ端末２がインターネット６に接続する際に、通信帯域の確保等の通信品質の高いサービスを提供する機能を実現する。
【００６７】
なお、このような付加機能を提供するＩＳＰは、これらのネットワークを利用するユーザ毎に課金システムを変更してもよい。この場合、例えば、課金システムを実施する不図示の課金サーバがＢＡＳ４に接続されている。そして、上述のユーザ端末２の申込により、ユーザ端末２が要求する付加機能が切り替えられたときに、この課金サーバの情報も切り替えられる。課金サーバは、当該切り替えられた情報を元に、各ユーザの課金を行う。課金サーバは、例えば、帯域規制機能を許可するユーザには安い課金を行い、セキュリティ強化機能を許可するユーザには高い課金を行う。
【００６８】
＜付加機能網終端装置７１＞
付加機能網終端装置７１（ＤＰＩ専用ネットワーク終端装置７１ａ、帯域規制専用ネットワーク終端装置７１ｂ、セキュリティ強化ネットワーク終端装置７１ｃ、プレミアムネットワーク終端装置７１ｄ）は、各付加機能ネットワークの終端装置として、周知のハードウェア構成及び機能構成を有している。例えば、付加機能網終端装置７１は、各種データ及びプログラムを格納するための記憶部と、記憶部に格納されたプログラムを実行する制御部、及び、制御部により制御されて他の通信装置と通信するための複数の物理インタフェースを備えている。付加機能網終端装置７１は、このようなハードウェア構成により、付加機能網７のインタフェースとしての機能等を実現する。
【００６９】
本実施形態では、上述のとおり、付加機能網終端装置７１は、認証サーバ１から返信される接続許可に応じて、ＢＡＳ４からブロードバンドルータ３と各付加機能網７との間で通信経路を確立することに対する接続要求がなされる。これに応じて、付加機能網終端装置７１は、認証サーバ１が行った接続許可の確認のための通信（接続確認）を認証サーバ１に対して行う。
【００７０】
また、本実施形態では、上述のとおり、付加機能網終端装置７１は、上記接続確認に応じて認証サーバ１から接続許可の通知を受け取る。これに応じて、付加機能網終端装置７１は、上記ＢＡＳ４の接続要求に対する接続許可をＢＡＳ４に対して行う。
【００７１】
また、本実施形態では、上記接続許可の後、ブロードバンドルータ３と各付加機能網７との間で通信経路が確立される。この時、ＢＡＳ４から付加機能網終端装置７１に対して上記通信経路確立の要求がなされ、付加機能網終端装置７１が当該要求に応答することで、上記通信経路の確立が実現される。
【００７２】
§２−６ その他
図１に示されるとおり、本実施形態におけるネットワークの構成例には、ＩＳＰ網５、ＩＳＰ網終端装置５１、インターネット６及び申込サーバ６０が存在する。
【００７３】
ＩＳＰ網５は、本実施形態では、従来のＩＳＰ網であり、ユーザ端末２に対して、付加機能を提供せず、インターネット６への接続を提供するネットワークである。
【００７４】
ＩＳＰ網終端装置５１は、ネットワークの終端装置として、周知のハードウェア構成及び機能構成を有している。例えば、ＩＳＰ網終端装置５１は、各種データ及びプログラムを格納するための記憶部と、記憶部に格納されたプログラムを実行する制御部、及び、制御部により制御されて他の通信装置と通信するための複数の物理インタフェースを備えている。ＩＳＰ網終端装置５１は、このようなハードウェア構成により、ＩＳＰ網５のインタフェースとしての機能等を実現する。
【００７５】
本実施形態では、上述のとおり、認証サーバ１におけるユーザ認証が成立した場合、ブロードバンドルータ３とＩＳＰ網５との間で通信経路が確立される。この時の動作は、付
加機能網終端装置７１と同様であるため、省略する。
【００７６】
インターネット６は、ユーザ端末２から見てＩＳＰ網５から先に存在するネットワーク（インターネット）である。
【００７７】
申込サーバ６０は、周知のサーバとして一般的なハードウェア構成及び機能構成を有している。例えば、申込サーバ６０は、それぞれバスを介して接続された、各種データ及びプログラムを格納するための記憶部、記憶部に格納されたプログラムを実行する制御部、及び、ネットワークと通信を行うための通信部等を有している。申込サーバ６０は、このようなハードウェア構成により、上述のＷｅｂページを提供する機能を実現する。
【００７８】
なお、通信経路の確立に際して行われるブロードバンドルータ３に対するＩＰアドレスの割り当て等、通信プロトコルについてはＩＰ等の既存のプロトコルが用いられる。また、認証サーバにおいて行われるユーザ認証についても既存のプロトコル（例えば、ＲＡＤＩＵＳプロトコル）が用いられる。
【００７９】
§３ 動作例
次に、本実施形態におけるユーザ端末２のインターネット６への接続方法について、図６〜８を用いてその処理手順を説明する。なお、本実施形態では、認証サーバ１においてユーザ認証が成立しない場合の処理手順は従来のインターネットへの接続方法の処理手順と同様であるため、説明は省略する。
【００８０】
図６は、本実施形態に係るインターネット６への接続時（ユーザ認証成立）における処理手順の一例を示す。図７は、当該処理手順においてＢＡＳ４と認証サーバ１との間で行われるユーザ認証の問合せ及び接続許可のパケット構成例である。
【００８１】
図８は、当該処理手順においてＩＳＰ網５又は付加機能網７（ＩＳＰ網終端装置５１又は付加機能終端装置７１）と認証サーバ１との間で行われる接続確認及び接続許可のパケット構成例である。なお、図７及び図８のパケット構成例は、ＲＡＤＩＵＳプロトコルに準拠しているため、属性個々の説明は省略する。
【００８２】
なお、図７及び図８のパケット構成例は、それぞれ属性名フィールド、タイプフィールド、属性値フィールドを有する。属性名フィールドは、ＲＡＤＩＵＳプロトコルに準拠した属性名を格納している。タイプフィールドは、属性名フィールドに格納された属性に対応するＩＤを格納している。属性値フィールドは、属性名フィールドに格納された属性の属性値を格納している。
【００８３】
まず、図６に示されるとおり、ブロードバンドルータ３は、自身とＩＳＰ網５又は付加機能網７との間で通信経路が確立されていない場合、ユーザ端末２からのインターネット６へのアクセス要求に応じて、ＢＡＳ４に対してＩＳＰ網５又は付加機能網７への接続要求を行う（Ｓ１０１）。なお、当該接続要求には、ユーザ認証に用いられるＩＤ及びパスワードと、ユーザ端末２が要求する付加機能を示す情報としてのドメイン名が含まれている。
【００８４】
ブロードバンドルータ３からの接続要求に応じて、ＢＡＳ４は、認証サーバ１にユーザ端末２のユーザ認証の問合せを行う（Ｓ１０２）。
【００８５】
図７（ａ）は、この問合せを構成するパケットの構成例を示す。「User-Name」に格納
される属性値は、ユーザのＩＤとドメイン名を組み合わせたものであり、例えば、「ＩＤ＠ドメイン名」という文字列が格納される。具体的な例として、図１に示されるとおり、
ＤＰＩ機能を望むユーザａの場合、当該属性値は「a@dpi.ccc.com」である。また、付加
機能を望まないユーザｂの場合、当該属性値は「b@ccc.com」である。
【００８６】
「User-Password」「CHAP-Password」に格納される属性値は、上記接続要求に含まれるパスワードであり、認証サーバ１のユーザ認証に用いられる。なお、「User-Password」
及び「CHAP-Password」はＢＡＳ４と認証サーバ１との間で用いられる認証プロトコル（
ＰＡＰ（Password Authentication Protocol）、又はＣＨＡＰ（Challenge Handshake Authentication Protocol））により、どちらか一方が選択される。また、他の属性に格納
された属性値は、ＢＡＳ４と認証サーバ１との通信に用いられる。
【００８７】
図６に戻り、ＢＡＳ４からのユーザ認証の問合せに応じて、認証サーバ１はユーザ端末２のユーザ認証を行う。ユーザ認証は、認証部１６によって行われる。例えば、認証部１６は、ＢＡＳ４からのユーザ認証の問合せに含まれるＩＤ及びパスワードと、ユーザ認証情報データベース１５に格納されている一組のＩＤ及びパスワードとが一致するか否か判定する。そして、ＢＡＳ４からのユーザ認証の問合せに含まれるＩＤ及びパスワードと、ユーザ認証情報データベース１５に格納されている一組のＩＤ及びパスワードとが一致していると、当該ユーザ認証は成立すると認証部１６は判定する（Ｓ１０３）。
【００８８】
ユーザ認証は成立すると認証部１６が判定すると、応答部１７は、上記ドメイン名に基づいて、ＩＳＰ網５又は付加機能網７への接続許可を行う（Ｓ１０４）。例えば、上記ユーザａの場合、応答部１７は、付加機能網７（ＤＰＩ専用ネットワーク７ａ）への接続許可を行う。また、例えば、上記ユーザｂの場合、応答部１７は、ＩＳＰ網５への接続許可を行う。
【００８９】
図７（ｂ）は、この接続許可を構成するパケットの構成例を示す。「Service-Type」及び「Framed-Protocol」の属性値は、上記のとおり、ＢＡＳ４と認証サーバ１との通信に
用いられる。また、「Framed-IP-Address」及び「Framed-IP-Netmask」の属性値は、ブロードバンドルータ３に割り当てられるＩＰアドレス及びそのサブネットマスクである。
【００９０】
また、「Ascend-Primary-Home-Agent」の属性値は、後述するＳ１０５において、ＢＡ
Ｓ４がＩＳＰ網終端装置５１（ＩＳＰ網５）又は付加機能終端装置７１（付加機能網７）にアクセスするために用いられる。例えば、上記ユーザａの場合、当該属性値は、付加機能終端装置７１（ＤＰＩ専用ネットワーク終端装置７１ａ）のＩＰアドレスである。また、例えば、上記ユーザｂの場合、当該属性値は、ＩＳＰ網終端装置５１のＩＰアドレスである。
【００９１】
図６に戻り、認証サーバ１からのＩＳＰ網５又は付加機能網７への接続許可に応じて、ＢＡＳ４は、当該接続許可に基づいた接続要求を、各ネットワークの終端装置であるＩＳＰ網終端装置５１又は付加機能網終端装置７１に対して行う（Ｓ１０５）。当該接続要求に際して、ＢＡＳ４は、上述のとおり、「Ascend-Primary-Home-Agent」の属性値を用い
てＩＳＰ網終端装置５１又は付加機能網終端装置７１にアクセスし、接続要求を行う。例えば、上記ユーザａの場合、ＢＡＳ４は、付加機能網終端装置７１（ＤＰＩ専用ネットワーク終端装置７１ａ）にアクセスし、接続要求を行う。また、例えば、上記ユーザｂの場合、ＢＡＳ４は、ＩＳＰ網終端装置５１にアクセスし、接続要求を行う。
【００９２】
ＢＡＳ４からの接続要求に応じて、ＩＳＰ網終端装置５１又は付加機能網終端装置７１は、認証サーバ１が行った当該接続要求に係る接続許可（Ｓ１０４）に対する接続確認を認証サーバ１に対して行う（Ｓ１０６）。
【００９３】
図８（ａ）は、この接続確認を構成するパケットの構成例を示す。「User-Name」から
「NAS-Port-Id」までの属性値は、認証サーバ１が行った接続許可の特定に用いられる。
また、「Tunnel-Type」、「Tunnel-Medium-Type」及び「Tunnel-Server-Endpoint」の属
性値は、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間で確立する通信経路（トンネル）の種別を、認証サーバ１に確認するために用いられる。後述するＳ１１０及びＳ１１１においては、これらの属性値に基づいて通信経路が確立される。
【００９４】
図６に戻り、ＩＳＰ網終端装置５１又は付加機能網終端装置７１からの接続確認に応じて、認証サーバ１（応答部１７）は、Ｓ１０４で行った接続許可に対応する接続許可をＩＳＰ網終端装置５１又は付加機能網終端装置７１に対して行う（Ｓ１０７）。
【００９５】
図８（ｂ）は、この接続許可を構成するパケットの構成例を示す。「Framed-IP-Address」及び「Framed-IP-Netmask」の属性値は、上述のとおり、ブロードバンドルータ３に割り当てられるＩＰアドレス及びそのサブネットマスクである。付加機能網終端装置７１は、付加機能網７と通信経路を確立するブロードバンドルータ３を特定するためにこれらの値を用いる。
【００９６】
図６に戻り、認証サーバ１からの上記接続許可に応じて、ＩＳＰ網終端装置５１又は付加機能網終端装置７１は、ＢＡＳ４からの接続要求に対する接続許可をＢＡＳ４に対して行う（Ｓ１０８）。
【００９７】
ＩＳＰ網終端装置５１又は付加機能網終端装置７１からの接続許可に応じて、ＢＡＳ４は、ブロードバンドルータ３に対して、ＩＳＰ網５又は付加機能網７への接続許可を返信する（Ｓ１０９）。当該接続許可には、上記ブロードバンドルータ３に割り当てられるＩＰアドレス及びそのサブネットマスクが含まれる。
【００９８】
ＢＡＳ４からのＩＳＰ網５又は付加機能網７への接続許可に応じて、ブロードバンドルータ３からＢＡＳ４に対して、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間の通信経路の確立のための通信が行われる（Ｓ１１０）。またこれに応じて、ＢＡＳ４からＩＳＰ網終端装置５１又は付加機能網終端装置７１に対して、ブロードバンドルータ３とＩＳＰ網５又は付加機能網７との間の通信経路の確立のための通信が行われる（Ｓ１１１）。なお、この際に確立される通信経路の種別は、上記において説明したように、「Tunnel-Type」、「Tunnel-Medium-Type」及び「Tunnel-Server-Endpoint」の属性値に
基づいている。
【００９９】
以上までの処理により、ＢＡＳ４とＩＳＰ網５又は付加機能網７との間において通信経路が確立される。これにより、例えば、上記ユーザａの場合、ユーザ端末２は、付加機能網７（ＤＰＩ専用ネットワーク７ａ）を経由して、インターネット６上に存在するサーバにアクセスすることができるようになる。また、例えば、上記ユーザｂの場合、ユーザ端末２は、ＩＳＰ網５を経由して、インターネット６上に存在するサーバにアクセスすることができるようになる。
【０１００】
なお、ＢＡＳ４の上記動作を実現するプログラム等の設定において、ＩＳＰ網５への接続がデフォルトとして設定されている場合がある。この場合、ＢＡＳ４は、認証サーバ１より接続許可を受けた後（Ｓ１０４）、Ｓ１０５〜Ｓ１０８の処理を省略して、ブロードバンドルータ３へＩＳＰ網５への接続許可を行う（Ｓ１０９）。更にこの場合、Ｓ１０５〜Ｓ１０８の処理が省略されるため、ＩＳＰ網終端装置５１と認証サーバ１とはネットワークを介して直接通信可能となっている図１の状態である必要はない。
【０１０１】
§４ 実施の形態に係る作用及び効果
以上によれば、本実施形態に係る認証サーバ及び認証システムでは、ユーザ端末２が要
求する付加機能を示す情報に基づいて、認証サーバ１は、ユーザ端末２がインターネット６に接続する際に経由するネットワーク（ＩＳＰ網５又は付加機能網７）を決定する。このため、認証サーバ１により当該ネットワークに対する接続許可が行われることで、ユーザ端末２は、自身が要求する付加機能を提供することができるネットワークを経由して、インターネット６に接続できるようになる。したがって、本実施形態では、ネットワーク上において提供される付加機能を適切なユーザに提供することができる。また、従来とは異なり、全てのユーザに対して機能を提供する必要はなくなり、適切なユーザに対して付加機能を提供することができるネットワークを用意すればよいため、小規模で安価な装置により、機能の提供を実施することができる。
【０１０２】
また、本実施形態では、認証サーバ１は、ドメイン名により接続先のネットワークを決定する。これによって、ユーザは、ユーザが許可する又は所望する付加機能の切り替えを、ドメイン名を切り替えることによって達成することができる。
【０１０３】
また、本実施形態では、ユーザ端末２は、Ｗｅｂページの操作により付加機能を切り替える。このため、ユーザは、任意に所望の付加機能を切り替えることができる。また、ユーザ端末２が要求する付加機能はユーザの任意により切り替えられるため、付加機能を提供する側（例えば、ＩＳＰ）は、提供する付加機能をユーザに告知することができる。
【０１０４】
§５ 補足
以上、本発明の実施の形態を詳細に説明してきたが、前述までの説明はあらゆる点において本発明の例示に過ぎず、その範囲を限定しようとするものではない。本発明の範囲を逸脱することなく種々の改良や変形を行うことができることは言うまでもない。本発明は、特許請求の範囲によってのみその範囲が解釈される。また、当業者は、上記本実施形態の記載から、特許請求の範囲の記載および技術常識に基づいて等価な範囲を実施することができる。また、本明細書において使用される用語は、特に言及しない限り、当該分野で通常用いられる意味で用いられる。したがって、他に定義されない限り、本明細書中で使用される全ての専門用語および技術用語は、本発明の属する分野の当業者によって一般的に理解される意味と同じ意味を有する。両者が矛盾する場合、本明細書において使用される用語は、本明細書（定義を含めて）に記載された意味において理解される。
【０１０５】
なお、以上までの説明において、本発明に係る認証サーバ及び認証システムの一実施形態について説明したが、本発明に係る認証方法及び認証プログラムの一実施形態についても同様に説明することができる。つまり、上記認証サーバの各処理を各ステップとする手順が本発明に係る認証方法の一実施形態であり、上記認証サーバの各処理を実行させるために用いられるプログラムが本発明に係る認証プログラムの一実施形態である。
【符号の説明】
【０１０６】
１ 認証サーバ
１１ 記憶部
１２ 制御部
１３ バス
１４ 通信部
１５ ユーザ認証情報データベース
１６ 認証部
１７ 応答部
２ ユーザ端末
３ ブロードバンドルータ
４ ＢＡＳ
５ ＩＳＰ網
５１ ＩＳＰ網終端装置
６ インターネット
７ 付加機能網
７ａ ＤＰＩ専用ネットワーク
７ｂ 帯域規制専用ネットワーク
７ｃ セキュリティ強化ネットワーク
７ｄ プレミアムネットワーク
７１ 付加機能網終端装置
７１ａ ＤＰＩ専用ネットワーク終端装置
７１ｂ 帯域規制専用ネットワーク終端装置
７１ｃ セキュリティ強化ネットワーク終端装置
７１ｄ プレミアムネットワーク終端装置
７２ 付加機能装置
８１ 付加機能サーバ
【特許請求の範囲】
【請求項１】
ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う認証サーバにおいて、
記憶部と、
前記情報端末からの接続要求に応じて、前記情報端末のユーザ認証を行う認証部と、
前記認証部のユーザ認証の後に、前記情報端末に対して、前記情報端末側から送信された、又は、前記記憶部に格納された情報により示される前記情報端末が要求する付加機能を提供可能なネットワークへの接続を許可する応答部と、
を備えたことを特徴とする認証サーバ。
【請求項２】
前記情報端末側から送信された情報は、前記情報端末が要求する付加機能を示す文字列を含むドメイン名であることを特徴とする請求項１に記載の認証サーバ。
【請求項３】
ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う認証サーバと、申込サーバと、を備えた認証システムにおいて、
前記認証サーバは、
記憶部と、
前記情報端末からの接続要求に応じて、前記情報端末のユーザ認証を行う認証部と、
前記認証部のユーザ認証の後に、前記情報端末に対して、前記情報端末側から送信された、又は、前記記憶部に格納された情報により示される前記情報端末が要求する付加機能を提供可能なネットワークへの接続を許可する応答部と、
を備え、
前記申込サーバは、前記情報端末からの前記付加機能の切り替えの申込により、前記情報端末側から送信される、又は、前記記憶部に格納される情報が示す付加機能を切り替えることを特徴とする認証システム。
【請求項４】
ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う認証方法であって、
前記情報端末からの接続要求に応じて、前記情報端末のユーザ認証を行うステップと、
前記認証部のユーザ認証を行うステップの後に、前記情報端末に対して、前記情報端末側から送信された、又は、記憶部に格納された情報により示される前記情報端末が要求する付加機能を提供可能なネットワークへの接続を許可するステップと、
を含むことを特徴とする認証方法。
【請求項５】
ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う認証サーバに用いられる認証プログラムであって、
前記情報端末からの接続要求に応じて、前記情報端末のユーザ認証を行うステップと、
前記認証部のユーザ認証を行うステップの後に、前記情報端末に対して、前記情報端末側から送信された、又は、記憶部に格納された情報により示される前記情報端末が要求する付加機能を提供可能なネットワークへの接続を許可するステップと、
を前記認証サーバに実行させるための認証プログラム。
【請求項１】
ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う認証サーバにおいて、
記憶部と、
前記情報端末からの接続要求に応じて、前記情報端末のユーザ認証を行う認証部と、
前記認証部のユーザ認証の後に、前記情報端末に対して、前記情報端末側から送信された、又は、前記記憶部に格納された情報により示される前記情報端末が要求する付加機能を提供可能なネットワークへの接続を許可する応答部と、
を備えたことを特徴とする認証サーバ。
【請求項２】
前記情報端末側から送信された情報は、前記情報端末が要求する付加機能を示す文字列を含むドメイン名であることを特徴とする請求項１に記載の認証サーバ。
【請求項３】
ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う認証サーバと、申込サーバと、を備えた認証システムにおいて、
前記認証サーバは、
記憶部と、
前記情報端末からの接続要求に応じて、前記情報端末のユーザ認証を行う認証部と、
前記認証部のユーザ認証の後に、前記情報端末に対して、前記情報端末側から送信された、又は、前記記憶部に格納された情報により示される前記情報端末が要求する付加機能を提供可能なネットワークへの接続を許可する応答部と、
を備え、
前記申込サーバは、前記情報端末からの前記付加機能の切り替えの申込により、前記情報端末側から送信される、又は、前記記憶部に格納される情報が示す付加機能を切り替えることを特徴とする認証システム。
【請求項４】
ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う認証方法であって、
前記情報端末からの接続要求に応じて、前記情報端末のユーザ認証を行うステップと、
前記認証部のユーザ認証を行うステップの後に、前記情報端末に対して、前記情報端末側から送信された、又は、記憶部に格納された情報により示される前記情報端末が要求する付加機能を提供可能なネットワークへの接続を許可するステップと、
を含むことを特徴とする認証方法。
【請求項５】
ネットワークへの接続要求を行う情報端末に対してユーザ認証を行う認証サーバに用いられる認証プログラムであって、
前記情報端末からの接続要求に応じて、前記情報端末のユーザ認証を行うステップと、
前記認証部のユーザ認証を行うステップの後に、前記情報端末に対して、前記情報端末側から送信された、又は、記憶部に格納された情報により示される前記情報端末が要求する付加機能を提供可能なネットワークへの接続を許可するステップと、
を前記認証サーバに実行させるための認証プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２０１２−７３８９２（Ｐ２０１２−７３８９２Ａ）
【公開日】平成２４年４月１２日（２０１２．４．１２）
【国際特許分類】
【出願番号】特願２０１０−２１９２６１（Ｐ２０１０−２１９２６１）
【出願日】平成２２年９月２９日（２０１０．９．２９）
【出願人】（５９１１１７１９２）ニフティ株式会社 (144)
【Ｆターム（参考）】
【公開日】平成２４年４月１２日（２０１２．４．１２）
【国際特許分類】
【出願日】平成２２年９月２９日（２０１０．９．２９）
【出願人】（５９１１１７１９２）ニフティ株式会社 (144)
【Ｆターム（参考）】
[ Back to top ]