隔離ネットワーキング
【課題】移動中の例えばモバイル装置のような装置の認証及び隔離を行うとき又はネットワーク間の切換るときに使用されるシステム及び方法を提供する。
【解決手段】ａ）非認証ネットワーク、ｂ）隔離ネットワーク及びｃ）安全ネットワークを含む、クライアントを隔離するための隔離アーキテクチャを含む。
【解決手段】ａ）非認証ネットワーク、ｂ）隔離ネットワーク及びｃ）安全ネットワークを含む、クライアントを隔離するための隔離アーキテクチャを含む。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、隔離ネットワーキングに関し、及び、好適実施形態では、移動中の例えばモバイル装置のような装置の認証及び隔離を行うとき又はネットワーク間の切換るときに使用されるシステム及び方法に関する。
【背景技術】
【０００２】
ネットワーク及びインターネット（登録商標）プロトコル
最も有名なインターネットを含む、多くのタイプのコンピュータネットワークがある。インターネットはコンピュータネットワークの世界規模のネットワークである。今日、インターネットは何百万ものユーザに利用可能な公衆かつ自立的ネットワークである。インターネットはホストを接続するためにＴＣＰ／ＩＰ（すなわち、伝送制御プロトコル／インターネットプロトコル）と呼ばれる１組の通信プロトコルを用いる。インターネットはインターネットバックボーンとして知られる通信インフラを持つ。インターネットバックボーンへのアクセスは企業と個人へのアクセスを転売するインターネット・サービス・プロバイダ（ＩＳＰ）によって大部分は管理される。
【０００３】
ＩＰ（Internet Protocol）に関して、これはネットワーク上である機器（例えば、電話、ＰＤＡ［Personal Digital Assistant］、コンピュータ等）から別の機器へデータを送ることができるプロトコルである。今日では例えば、ＩＰｖ４、ＩＰｖ６などを含むＩＰの様々なバージョンがある。ネットワーク上の各ホスト機器はそれ自身の一意の名称である少なくとも１つのＩＰアドレスを持つ。
【０００４】
ＩＰは無接続のプロトコルである。通信中の端点同士の接続は連続的でない。ユーザがデータ又はメッセージを送信するか受信する際、データ又はメッセージはパケットとして知られる成分に分割される。すべてのパケットはデータから独立したユニットとして扱われる。
【０００５】
インターネット又は類似のネットワーク上のポイント間の伝送を標準化するためにＯＳＩ（Open System Interconnection）モデルが確立された。ＯＳＩモデルはネットワーク中の２ポイント間の通信プロセスを７つの積み重ねられたレイヤに分離し、各レイヤは独自の機能の組を追加している。送信終端における各レイヤを通る下向きの流れと受信終端における各レイヤを通る上向きの流れが存在するように各機器はメッセージを扱う。７つの機能レイヤを提供するプログラミング及び／又はハードウエアは通常は機器ＯＳ、アプリケーションソフトウエア、ＴＣＰ／ＩＰ及び／又は他のトランスポート及びネットワークプロトコルと他のソフトウエア及びハードウエアの組み合わせである。
【０００６】
通常は、上部４レイヤはユーザから又はユーザにメッセージを渡す際に使われ、下部３レイヤはメッセージが機器（例えば、ＩＰホスト機器）を通過する際に使われる。ＩＰホストはサーバ、ルータ又はワークステーションのような、ＩＰパケットを送信及び受信することができるネットワーク上の任意の装置である。他のホストに予定されているメッセージは上側のレイヤまで通されなく、他のホストへ転送される。ＯＳＩ及び他の相似モデルにおいて、ＩＰは第３レイヤ、ネットワークレイヤにある。ＯＳＩモデルのレイヤは以下に記載する。
【０００７】
レイヤ７（即ち、アプリケーションレイヤ）は、例えば、通信相手が認識され、サービス品質が認識され、ユーザ認証及びプライバシーが考量され、データシンタックスに関する制約が認識される、などのレイヤである。
【０００８】
レイヤ６（即ち、プレゼンテーションレイヤ）は、例えば、到来及び送信データを１つのプレゼンテーションフォーマットから他のフォーマットなどに変換するレイヤである。
【０００９】
レイヤ５（即ち、セッションレイヤ）は、アプリケーション間の構築、調整、会話の終了、交換及び対話などを行うレイヤである。
【００１０】
レイヤ４（即ち、トランスポートレイヤ）は、例えば、終端間制御及びエラーチェックなどを管理するレイヤである。
【００１１】
レイヤ３（即ち、ネットワークレイヤ）は、例えば、ルーティング及び転送を取り扱うレイヤである。
【００１２】
レイヤ２（即ち、データリンクレイヤ）は、物理レベルに対して同期を与える、ビットスタッフィングを行う、送信プロトコル知識及び管理を終了するなどを行うレイヤである。電気電子技術者協会（ＩＥＥＥ）はデータリンクレイヤを２つの詳細サブレイヤ、物理レイヤに対するデータ転送を制御するＭＡＣ（Media Access Control）レイヤ及びネットワークレイヤとインタフェースし、エラー回復を命令及び実行するＬＬＣ（Logical Link Control）レイヤに再分割する。
【００１３】
レイヤ１（即ち、物理レイヤ）は、例えば、物理レベルでネットワークを介してビットストリームを搬送するレイヤである。ＩＥＥＥは物理レイヤをＰＬＣＰ（Physical Layer Convergence Procedure）サブレイヤ及びＰＭＤ（Physical Medium Dependent）サブレイヤに再分割する。
【００１４】
この文書では、レイヤ２より上位のレイヤ（例えば、ＯＳＩモデルなどにおけるネットワークレイヤ又はレイヤ３を含むレイヤ）は上位レイヤと呼ぶ。
【００１５】
［無線ネットワーク］
無線ネットワークは、例えば、携帯電話や無線電話、ＰＣ（personal computer）、ラップトップ型コンピュータ、ウェアラブルコンピュータ、コードレス電話、ポケベル、マイク付きヘッドホン、プリンタ、ＰＤＡなどといった多様なタイプの携帯機器を組み込める。例えば、携帯機器は音声及び／又はデータの高速な無線伝送を確保するためにデジタルシステムを含むことができる。典型的な携帯機器は次の構成要素、即ちトランシーバ（即ち、例えば、集積化送信機、受信機、必要ならば、他の機能を備えたシングルチップトランシーバを含む送信機及び受信機）、アンテナ、プロセッサ、１つ以上の音声変換器（例えば、音声通信のための機器において見られるスピーカ又はマイク）、電磁気データ記憶装置（例えば、ＲＯＭ、ＲＡＭ、デジタルデータ記憶装置などのようなもの、データ処理が提供される機器において見られるようなもの）、メモリ、フラッシュメモリ、十分なチップセット又は集積回路、インタフェース（例えばＵＳＢ、ＣＯＤＥＣ、ＵＡＲＴ、ＰＣＭ等のようなもの）及び／又は同種のものの幾つか又は全てを含む。
【００１６】
モバイルユーザが無線接続を通じてローカルエリアネットワーク（ＬＡＮ）に接続できる無線ＬＡＮ（ＷＬＡＮ）は、無線通信のために使用できる。無線通信は、例えば、光、赤外線、無線、マイクロ波のような電磁波によって伝播する通信を含むことができる。例えば、ブルートゥース（登録商標）、ＩＥＥＥ ８０２．１１及びＨｏｍｅＲＦといった現存する様々なＷＬＡＮ標準規格がある。
【００１７】
一例として、ブルートゥース製品はモバイル・コンピュータ、携帯電話、携帯手持ちサイズ機器、個人用デジタル補助装置（ＰＤＡ）及び他の携帯機器の間のリンク及びインターネットへの接続性を提供するのに用いられる。ブルートゥースは携帯機器が短距離無線接続を用いて互いに及び非携帯機器とどのようにして簡単に相互接続できるかを詳述するコンピュータ及び通信事業仕様である。ブルートゥースは１つの機器から他の機器への同期化及び一貫したデータを保持する必要性のある様々な携帯機器の急増に起因するエンド・ユーザの問題を扱うデジタル無線プロトコルを作成し、それによって異なるベンダーが提供する機能が共に途切れなく働くことができる。ブルートゥース機器は共通の名称概念によって名称付けられる。例えば、ブルートゥース機器はブルーツゥースデバイスネーム（ＢＤＮ）又は一意的なブルーツゥースデバイスアドレス（ＢＤＡ）に関連する名称を所有できる。ブルートゥース機器はインターネットプロトコル（ＩＰ）ネットワークにも参加できる。ブルートゥース機器がＩＰネットワーク上で機能するなら、ＩＰアドレス及びＩＰ（ネットワーク）名を設けてもよい。故に、ＩＰネットワーク上に参加するよう構成されたブルートゥース機器は、例えば、ＢＤＮ、ＢＤＡ、ＩＰアドレス、ＩＰ名を含むことができる。項目「ＩＰ名」はインタフェースのＩＰアドレスに対応する名称を参照する。
【００１８】
ＩＥＥＥ規格、ＩＥＥＥ ８０２．１１は、無線ＬＡＮ及び機器に関する技術を明確に述べる。８０２．１１を用いると、無線ネットワーク構築はいくつかの機器をサポートする各単独の基地局をもって達成できる。いくつかの実施形態においては、機器は無線ハードウエアを予め備えられていてもよく、又はユーザがアンテナを含むことができる、カードのようなハードウエアの別個の要素を導入してもよい。一例として、機器がアクセスポイント（ＡＰ）、移動局（ＳＴＡ）、ブリッジ、ＰＣＭＣＩＡカード又は別の機器のいずれであろうと８０２．１１で使われる機器は通常は３つの顕著な構成要素、即ち無線トランシーバ、アンテナ及びネットワーク中のポイント間でのパケットの流れを制御するＭＡＣ（Media Access Control）レイヤを含む。
【００１９】
更に、マルチプルインタフェースデバイス（ＭＩＤ）はいくつかの無線ネットワークにおいて利用できる。ＭＩＤはブルートゥースインタフェースと８０２．１１インタフェースのような、２つの独立したネットワークインタフェースを含むことができ、故にＭＩＤにブルートゥース機器を備えるインタフェースと同じように２つの別個のネットワークへの参加を可能にする。ＭＩＤはＩＰアドレス及びＩＰアドレスに関連する共通ＩＰ（ネットワーク）名を持つことができる。
【００２０】
無線通信機器はブルートゥース機器、マルチプルインタフェースデバイス（ＭＩＤ）、８０２．１１ｘ機器（ＩＥＥＥ ８０２．１１機器は、例えば８０２．１１ａ、８０２．１１ｂ及び８０２．１１ｇ機器を含む）、ＨｏｍｅＲＦ（Home Radio Frequency）機器、ＷｉーＦｉ（Wireless Fidelity）機器、ＧＲＰＳ（General Packet Radio Service）機器、３Ｇ携帯電話機器、２．５Ｇ携帯電話機器、ＧＳＭ（Global System for Mobile Communications）機器、ＥＤＧＥ（Enhanced Data for GSM Evolution）機器、ＴＤＭＡ（Time Division Multiple Access）方式の機器、又はＣＤＭＡ２０００を含むＣＤＭＡ（Code Division Multiple Access）方式の機器に限られず含むことができる。各ネットワーク機器はＩＰアドレスに限定されないが、ブルートゥース機器アドレス、ブルートゥース共通名、ブルートゥースＩＰアドレス、ブルートゥースＩＰ共通名、８０２．１１のＩＰアドレス、８０２．１１のＩＰ共通名、又はＩＥＥＥ ＭＡＣアドレスを含む可変形式のアドレスを含むことができる。
【００２１】
無線ネットワークは、例えばモバイルＩＰ（インターネットプロトコル）システムやＰＣＳシステム、及び他のモバイルネットワークシステムにおいて見られる方法及びプロトコルも含むことができる。モバイルＩＰに関して、これはインターネットエンジニアリングタスクフォース（ＩＥＴＦ）によって作られた標準通信プロトコルを含む。モバイルＩＰがあれば、携帯機器のユーザは一度割り当てられたＩＰアドレスを保持したままネットワークの至る所に移動できる。リクエストフォーコメント（ＲＦＣ）３３４４参照。ＮＢ：ＲＦＣはインターネットエンジニアリングタスクフォース（ＩＥＴＦ）の公式文書である。モバイルＩＰはインターネットプロトコル（ＩＰ）を強化し、さらにホームネットワークの外部に接続する際に携帯機器へインターネットトラフィックを転送する手段を追加する。モバイルＩＰはそれぞれのモバイルノードにホームネットワークにおけるホームアドレス、さらにネットワーク及びそのサブネットにおける機器の現在位置を識別する気付きアドレス（ＣｏＡ）を割り当てる。機器が異なるネットワークに移動された際に、それは新しい気付きアドレスを入手する。ホームネットワーク上のモビリティエージェントは各ホームアドレスをその気付きアドレスに関連付けることができる。モバイルノードは例えばモバイルＩＰを用いてその気付きアドレスを変更するたびにホームエージェントに拘束力のある最新情報を送ることができる。
【００２２】
基礎的なＩＰルーティング（すなわち、外部モバイルのＩＰ）において、通常は、ルーティングの仕組みは各ネットワークノードが、例えばインターネットへの一定の接続点を常に持ち、各ノードのＩＰアドレスはそれが接続されているネットワークリンクを識別すると仮定して応答する。この文書において、専門用語「ノード」は接続ポイントを含み、例えば、再分配ポイント又はデータ伝送に関する終点を含むことができ、他のノードへの処理及び／又は転送通信を認識できる。例えば、インターネットルータは、例えばＩＰアドレスコード又は機器のネットワークを識別する同種のものを調べることができる。それから、ネットワークレベルでは、ルータは、例えば特定のサブネットを識別するビットの組を調べることができる。それから、サブネットレベルでは、ルータは例えば特定の機器を識別するビットの組を調べることができる。典型的なモバイルＩＰ通信では、ユーザがモバイル機器を、例えばインターネットから切り離し、新しいサブネットに再接続しようとすれば、機器は新しいＩＰアドレス、適切なネットマスク及び既定値のルータによる再設定をしなければならない。そうでなければ、ルーティングプロトコルはパケットを適切に運ぶことができない可能性がある。
【００２３】
ハンドオフ及びネットワークアタッチメントポイントの変更
ネットワークアタッチメントポイントが、例えば、基地局及びＩＰ（インターネットプロトコル）ルータを含むことができる場合に、ハンドオフは移動局がそのネットワークアタッチメントポイントを一方点から他方点へ変更する動作である。ハンドオフが、例えば、基地局とＩＰルータを接続するときの変更と共に生じるとき、それは一般的にはレイヤ２ハンドオフ及びレイヤ３ハンドオフをそれぞれ含む。レイヤ２ハンドオフ及びレイヤ３ハンドオフはほぼ同時に生じる可能性がある。任意のハンドオフ中に、システムは移動局と新ネットワークアタッチメントポイントとの間に維持された状態を回復する必要がある。ハンドオフに関するこれらの状態はハンドオフコンテクスト又は単に“コンテクスト”と呼ばれる。
【００２４】
２種類のコンテクスト、即ち、転送可能コンテクスト及び転送不可能コンテクストが存在する。転送可能コンテクストは旧新アタッチメントポイント間で転送可能であり、その間に転送不可能コンテクストがスクラッチから又は転送可能コンテクストを用いてのいずれかで設定する必要がある。具体的転送コンテクストは、例えば、モバイルを再認証するために使用される、例えば、認証コンテクスト及び例えば、モバイルに対して特定のサービスグレードを与えるために十分にネットワーク資源を割り当てるために使用されるＱｏＳ（サービス品質）を含むことができる。モバイルのダイナミック割り当てＩＰアドレスは具体的転送不可能コンテクストである。レイヤ２及びレイヤ３暗号キー、例えば、８０２．１１ｉにおけるＴＫＩＰ（Temporal Key Integrity Protocol）及びＣＣＭＰ（Counter mode with CBC-MAC Protocol）暗号キー（本明細書に援用されている文献＃１参照）並びに移動局とアクセスポイント又はルータとの間で送信されるデータパケットを保護するために使用されるIPsec AH（Authentication Header）及びＥＳＰ（Encapsulation Security Payload）暗号キー（本明細書に援用されている文献＃１５、＃１６、＃１７参照）は、これらのキーが特定の対のＭＡＣ（Media Access Control）又は２つのエンティティー（実体）のＩＰアドレスと関連し、それらの間の取り決めに基づいて回復される必要があるので、他の具体的な転送不可能コンテクストである。
【００２５】
参考のため、上述したように、８０２．１１は電気電子技術者協会（IEEE）の作業部会によって開発された無線ローカルエリアネットワーク（WLAN）の仕様群であり、これは、例えば、パス分割のためのイーサーネット（登録商標）プロトコル及びCSMA/CA（carrier sense multiple access with collision avoidance）を使用する同族802.11, 802.11 a, 802.11 b, and 802.11 gの仕様を含む。本明細書に援用されている文献＃１３参照。更に、802.11はWLANにおけるセキュリティのための開発中IEEE規格である。更に、IPsec（インターネットプロトコルセキュリティ）はネットワーク通信のネットワーク又はパケット処理レイヤでのセキュリティための一組のプロトコル用フレームワークである。更に、MACアドレスは、例えば、機器の特定ハードウエアアドレスを含み、データリンクレイヤのメディアアクセスコントロールサブレイヤによって使用でき、その上、ＩＰアドレスは、例えば、インターネットを介してパケットで送信される情報の各発信者又は受信者を認識する番号（インターネットプロトコル［ＩＰ］の最も広くインストールされたレベルで３２ビット番号、IPv6で１２８ビット番号、クラスレスインタドメインルーティング（CIDR）ネットワークアドレス及び／又はなど）を含む。
【００２６】
好適実施形態は、例えば、以下の参考文献に記載されたシステム及び方法を含む既存のシステム及び方法を越える実質的な改良及び／又は進歩を提供する。参考文献の全部の記載は参照によって援用される。
【００２７】
参考文献#1: B. Aboba, "IEEE 802.1X Pre-Authentication", IEEE802.11-02/389r1, June 2002.
参考文献#2: B. Aboba and D. Simon, "PPP EAP TLS Authentication Protocol", RFC 2716, October 1999.
参考文献#3: L. Blunk, J. Vollbrecht, B. Aboba, J. Carlson and H. Levkowetz, "Extensible Authentication Protocol (EAP), Internet-Draft, Work in progress (to obsolete RFC 2284), May 2003 (また、例えばNovember, 2003文献参照).
参考文献#4: R. Droms and W. Arbaugh, "Authentication for DHCP Messages", RFC 3118, June 2001.
参考文献#5: R. Droms, "Dynamic Host Configuration Protocol, " RFC 2131, March 1997.
参考文献#6: P. Funk, S. Blake-Wilson, "EAP Tunneled TLS Authentication Protocol (EAP-TTLS)", Internet-Draft, Work in progress, November 2002 (また、例えば、August, 2003文献参照).
参考文献#7: D. Forsberg, Y. Ohba, B. Patil, H. Tschofenig and A. Yegin, "Protocol for Carrying Authentication for Network Access (PANA)", Internet-Draft, Work in progress, March 2003 (see also, e. g., October, 2003 document).
参考文献#8: R. Glenn and S. Kent, "The Null Encryption Algorithm and Its Use WithIPsec," RFC 2410, November 1998.
参考文献#9: D. Harkins and D. Carrel, "The Internet Key Exchange (IKE)", RFC 2409, November 1998.
参考文献#10: IEEE Standard for Local and Metropolitan Area Networks, "Port-Based Network Access Control", IEEE Std 802.1 X-2001.
参考文献#11: IEEE Standard for Local and Metropolitan Area Networks, "Wireless Medium Access Control (MAC) and physical layer (PHY) specifications: Medium Access Control (MAC) Security Enhancements," IEEE Std 802.11 i/D4.0, May 2003 (また、例えば、IEEE Std 802.11 i/D7.0, October 2003文献参照)).
参考文献#12: IEEE Standard for Local and Metropolitan Area Networks, "Draft Recommended Practice for Multi-Vendor Access Point Interoperability via an Inter-Access Point Protocol Across Distribution Systems Supporting IEEE 802.11 Operation, " IEEEP802.11 F/D5, January 2003.
参考文献#13: IEEE Standard for Local and Metropolitan Area Networks, "Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) Specifications, " ANSI/IEEE Std 802.11, 1999 Edition, 1999.
参考文献#14: J. Loughney, M. Nakhjiri, C. Perkins and R. Koodli, "Context Transfer Protocol," Internet-Draft, Work in progress, June 2003 (また、例えば、October, 2003文献参照).
参考文献#15: C. Kaufman, "Internet Key Exchange (IKEv2) Protocol", Internet-Draft, Work in progress, April 2003 (また、例えば、October 9, 2003 and January, 2004文献参照).
参考文献#16: S. Kent and R. Atkinson, "IP Authentication Header, " RFC 2402, November 1998.
参考文献#17: S. Kent and R. Atkinson, "IP Encapsulating Security Payload (ESP), " RFC 2406, November 1998.
参考文献#18: T. Kivinen, "DHCP over IKE", Internet-Draft, Work in progress, April 2003.
参考文献#20: M. Liebsch, A. Singh, H. Chaskar and D. Funato, "Candidate Access Router Discovery", Internet-Draft, work in Progress, March 2003 (また、例えば、September, 2003 and November, 2003文献参照).
参考文献#21: A. Palekar, D. Simon, G. Zorn and S. Josefsson, "Protected EAP Protocol (PEAP)", Internet-Draft, Work in Progress, March 2003 (また、"Protected EAP Protocol (PEAP) Version 2, " October, 2003参照).
参考文献#22: B. Patel, B. Aboba, S. Kelly and V. Gupta, "Dynamic Host Configuration Protocol (DHCPv4) Configuration ofIPsec Tunnel Mode", RFC 3456, January 2003.
参考文献#23: J. Puthenkulam, V. Lortz, A. Palekar and D. Simon, "The Compound Authentication Binding Problem", Internet-Draft, Work in Progress, March 2003 (また、例えば、October, 2003文献参照).
参考文献#24: R. Seifert, "The Switch Book - The Complete Guide to LAN Switching Technology", Wiley Computer Publishing, ISBN 0-471-34586-5.
参考文献#25: Y. Sheffer, H. Krawczyk and B. Aboba, "PIC, A Pre-IKE Credential Provisioning Protocol", Internet-Draft, Work in progress, October 2002.
参考文献#26: H. Tschofenig, A. Yegin and D. Forsburg, "Bootstrapping RFC3118 Delayed Authentication using PANA", Internet-Draft, June 2003 (また、例えば、October, 2003文献参照).
参考文献#27: M. Kulkarni, A Patel and K. Leung, "Mobile lPv4 Dynamic Home Agent Assignment", IETF Internet-Draft, January 8, 2004.
隔離ネットワーキングへのバックアラウンド
一般的には、ネットワークサイトはネットワークへの外部攻撃に対する保護を補助するファイヤウオールを使用して確立される。このいわゆる“ボーダ／ペリメータデフェンスモデル”が実質的制限を有しており、他の方法はセキュリティを改良するために考えられていた。例えば、以下文献で援用するdraft-kondo-quarantine-overview-OO.txtを参照。ボーダデフェンスモデルに伴う最も重要なものの１つがモバイルノードコントロールを含む。例えば、ノードＰＣのようなモバイルノード又は任意の他のモバイルノードはこのボーダデフェンスモデルにおける“ボーダ”の外に容易に移動でき、例えば、ＬＡＮ、ダイアルアップ接続体及び／又は同様なもののような装置に容易に接続できる。これらモバイルノードはネットワーク外にあるときには制御されなくてもよい。このとき、ネットワークに戻ると、それらは相応の問題をもたらす可能性がある。更に、無線信号（例えば、電波）を使用すると他のものがシステムにアクセスするかもしれないリスクを増やすことがあるので無線ＬＡＮなどはセキュリティリスクを生じる可能性がある。このコンテクストでは、幾つかのモデル（例えば、隔離ネットワーク）がそのようなバックグラウンドセキュリティ方法を改良するために考えられていた。幾つかの既存の隔離などのモデル及び／又は製品が参考として以下に説明する。
【００２８】
モデル１：Draft-Kondo-Quarantine-Overview-OO.txt
第１モデルはdraft-kondo-quarantine-overview-OO.txtに記載され、これは全体において参照によってこの明細書に援用され、添付書類Ａで仮出願60/573,702に添付されている。
【００２９】
このモデルは日本ではWIDE Secure6 WGによって記載されている。それは一般的な隔離モデルを説明している。図１を参照すると、モデルは実質的に次のように働く。
【００３０】
１．クライアント（ＣＬ）はスイッチ（ＳＷ）に接続する。検査が無事に完了する前にクライアントトラフィックは隔離パスを強制的に調べる。
【００３１】
２．隔離認証サーバ（ＱＡＳ）はクライアントに検査を要求し、クライアントからプロファイル情報を受け取る。この処理中に、保護情報サーバ（ＰＩＳ）は保護情報に対してプロファイル情報を検査するためＱＡＳから接触される。
【００３２】
３．検査結果に基づいて、ＱＡＳはネットワークアドミッションコントローラ（ＮＡＣ）に許可処置を要求する。ＮＡＣは安全パスを介してクライアントを接続するためにルータ（ＲＴ）を更新する。ここで、ＩＰアドレスも更新されてもよい。
【００３３】
この第1モデルに関しては、ネットワークアクセス認証との相関は明確に示されていない。
【００３４】
モデル２：CISCO NAC (Network Admission Control)
第2モデルはCISCO NACのモデルである。このモデルはネットワーク関連素子、シマンテック及びトレンドマイクロのようなアンチウイルスベンダと連動してＣＩＳＣＯからの計画的隔離ネットワーキング製品を含むようである。
【００３５】
このモデルでは、検査情報は明らかにＥＡＰ（Extensible Authentication Protocol）で搬送される。即ち
１．モデルは、ＥＡＰがＩＥＥＥ802MACレイヤで搬送されるとき明らかにIEEE802.1Xを使用するか又はEPAをリモートゲートウエイに搬送するためにUDPを使用する。モデルはUDPを介してEAPを搬送するためにPANA（Protocol for carrying Authentication for Network Access）又はカスタム（即ち、自体の）プロトコルを使用するか否かは明らかでない。
【００３６】
２．後者の場合、IPsec VPNは明らかに検査されたユーザに対してだけ設定できる。
【００３７】
このモデルはLAN及びリモートアクセスクライアントの両方を支援する。しかしながら、クライアントソフトウエアはこのモデルにおいて要求される。
【００３８】
モデル３：認証VLANに基づく隔離システム
このモデルは２００４のほぼ第3四半期に開放するために計画された製品を含むように思える。URL http: //itpro.nikkeibp.co.jp/free/SI/NEWS/20040205/139376/で見つけられるニュース文献を参照。この文献はその全体において参照として本明細書に援用され、添付書類Bで仮出願60/573,702に添付されている。この製品は明らかに5万ドル以上の多額の価格となると考えられる。
【００３９】
このモデルでは、下記のステップが含まれるようである。
【００４０】
１．クライアントは非認証VLAN (Virtual LAN)に接続され、一時的IPアドレスを獲得する。
【００４１】
２．検査は非認証VLANで行われる。
【００４２】
３．検査後、クライアントは認証VLANに接続され、IPアドレスを更新する。
【００４３】
このモデルは明らかにリモートアクセスクライアントを支援しない。更に、このモデルでは、クライアントソフトウエアが必要となる。このモデルでは、いったいどんな種類のネットワークアクセス認証が採用できるのか明らかでない。
【００４４】
モデル４：ゾーンラブ（Zone Lab）（完全）
このモデルはURL http: //download.zonelabs.com/bin/media/pdf/IntegrityClientlessprodsheet. pdfでの文献に記載されている。この文献は添付書類Cで仮出願60/573,702に添付され、その全体の開示が参照により本明細書に援用される。
【００４５】
とりわけ、このモデルは明らかにLANクライアントを支援していない（即ち、それはリモートアクセスクライアントのみのためである）。このモデルでは、クライアントソフトウエアは必要ない（即ち、それはエージェントレスである）。
【００４６】
モデル５：静止安全（Still Secure）（安全アクセス）
このモデルはURL http: //download.zonelabs.com/bin/media/pdf/IntegrityClientlessprodsheet. pdfの文献に記載されている。この文献は添付書類Dで仮出願60/573,702に添付され、その全体の開示が参照として本明細書に援用される。
【００４７】
この安全アクセスモデルでは、明らかに管理者は（１）どのアプリケーション及びサービスが許可されるかを規定する、及び（２）機器が応じないときに取られるアクションを特定する「アクセス」ポリシーを作成する。明らかに、安全アクセスは機器がネットワークにロクオンしているので自動的にアクセスポリシーを機器に与える。
【００４８】
テスト結果に基づいて、機器はネットワークアクセスを許可又は拒絶され、若しくはネットワークの特定の一部に隔離され、それにより組織的安全基準を強化する。安全アクセスは全てのテスト及び接続アクティビティを追跡し、監査員、管理者及びITスタッフに対する様々な報告を作成する。
【００４９】
明らかに、このモデルはLAN及びリモートアクセスクライアントの両方に対して支援する。更に、このモデルにより、クライアントソフトウエアは必要としない（即ち、エージェントレスである）。
【００５０】
上記既存モデルの概要
下記表は上記既存モデルに見られる特徴のいくらかの概要を示している。
【表１】
【発明の開示】
【発明が解決しようとする課題】
【００５１】
各種の隔離システム及び方法が知られているが、改良されたシステム及び方法の要求は依然として残っている。
【００５２】
本発明の好適実施形態は既存方法及び／又は装置を大幅に改良できる。
【課題を解決するための手段】
【００５３】
ある実施形態によると、クライアントを隔離するための隔離アーキテクチャはａ）非認証ネットワーク、ｂ）隔離ネットワーク、及びｃ）安全ネットワークにより構成される。
【００５４】
ある実施形態では、アーキテクチャは更に切換点を制御する非認証ネットワークに認証エージェントを含み、切換点を制御する隔離ネットワークに隔離エージェントを含む。ある実施形態では、認証エージェントは初期認証のために非認証ネットワークに接続する。ある実施形態では、認証エージェントは再認証のために隔離ネットワーク及び／又は安全ネットワークに接続する。ある実施形態では、隔離エージェントはクライアントを検査し、この検査が失敗すると、隔離エージェントはクライアントソフトウエアをアップグレードすることをクライアントに行う又は強要する。ある実施形態では、アップグレードが失敗する、即ち成功しなければ、クライアントはａ）ネットワークから切り離されるか、ｂ）非認証ネットワークに再接続される。
【００５５】
ある実施形態では、アーキテクチャは、ある環境又はポリシーに基づいて安全ネットワークのクライアントを隔離ネットワーク又は非認証ネットワークに切り換える手段を更に含む。ある実施形態では、前記手段は１）環境又はポリシーに基づいて周期的に検査し、切り換えること、２）新たなデータ及び／又は情報が受信され又は到達するときに環境又はポリシーに基づいてクライアントを検査し、切り換えること、及び／又は３）環境又はポリシーに基づいて又はそれらが安全ネットワークに感染されると分かるときクライアントを切り換えることの１つ以上に基づいて切り換える手段を含む。
【００５６】
ある実施形態では、ネットワークは論理的に分離され、パケット単位の暗号化、完全保護及び／又は再生保護がネットワーク間及び／又はクライアント間のトラフィック分離のために使用される。
【００５７】
ある実施形態では、アーチテクチャはクライアントが首尾よく認証され及び有効検査記録が既にクライアントに存在すれば、隔離を省く手段を更に含む。
【００５８】
ある実施形態では、検査情報はエージェントと隔離エージェントとの間で交換され、アプリケーションレイヤプロトコルメッセージで搬送される。
【００５９】
ある実施形態では、切換点はIPsecゲートウエイと同場所に配置され、切換及びIPアドレス変更はIPsecＳＡを作成又は変形することに基づいている。
【００６０】
ある実施形態では、切換及びＩＰアドレス変更はネットワーク側によって引き起こされる。
【００６１】
上記及び／他の形態、各種実施形態の特徴及び／又は利点は添付図を参照して書き説明により理解される。各種実施形態は利用できる場合には異なる態様、特徴及び／又は利点を含む及び／又は除外することができる。更に、各種実施形態は利用できる場合は他の実施形態の1以上の形態又は特徴を組合すことができる。特定の実施形態の態様、特徴及び／又は利点の説明は他の実施形態又は請求項を制限するとして構成されない。
【発明を実施するための最良の形態】
【００６２】
この発明は多数の異なる形態で実施できるが、この明細書は発明の原理の例を提供しながら考えられることになっており、そのような例はここに記載され及び／又はここに具体化されている好適実施例にこの発明を限定する意図がないという了解の下で多数の具体的実施形態が記載されている。
【００６３】
好適実施形態への導入
本発明の好適実施形態は既存のシステム及び方法に言及されている幾つかの顕著な欠陥及び限定を考慮して開発された。とりわけ、本発明者は以下のことを見出した。即ち、
１．LANアクセス及びリモートアクセスの両方を支援する解決が更に望まれている。
【００６４】
２．エージェントレス対エージェントに基づくシステムが採用されるか否かに関して
エージェントに基づくモデルは、アンチウイルスソフト及び／又はオペレーションシステム（OS）だけでなく、例えば、クライアントアイソレーションのような多くの特徴を提供できる。エージェントレスモデルはクライアントの良好なアイソレーションを提供できない（例えば、不審なパケットだけをフィルタリングできるかもしれないが同じクライアントからの他のパケットをフィルタリングすることができないかもしれない）。
【００６５】
３．一例として上述したCISCOモデルは隔離が認証と余りにもきつく結びついているので幾つかの欠陥を持っている。その点において、本発明者は、UDPに渡って例えばIEEE 802.1X又はEAPで検査情報を搬送することが柔軟性に劣り、より柔軟性のモデルが必要であることを決定した。
【００６６】
本発明者はとりわけ一般的な解決が利用できなく、特にネットワークアクセスと認証との相関が既存システムでは明らかでないという問題があることを見出した。
【００６７】
この状況において、とりわけ、発明の幾つかの実施形態に採用できる図2に示される好適アーキテクチャを開発した。この点について、図2は、切換点（SP）を制御できる認証エージェント（AA）を持つ非認証ネットワーク、切換点（SP）を制御できる隔離エージェント（QA）を持つ隔離ネットワーク及び、例えば、任意の適切なクライアント（一例として、モバイルノードパーソナルコンピュータ（PC）、デスクトップPC及び／又は他の形式の機器）のようなクライアントに対して隔離するための安全ネットワークを使用することを示している。
【００６８】
好適実施形態において、ネットワークアクセス認証と隔離との間に最小相関が確立され、最も好ましくは、ネットワークアクセス認証と隔離が実質的に結ばれることなく、分離される。
【００６９】
好適実施形態での３形式ネットワーク
図２に示される３つの形式のネットワークは好適実施形態に従って以下に更に詳細に説明する。
【００７０】
１．非認証ネットワーク
非認証ネットワークについては、これは好ましくは次のものを含む。
【００７１】
非認証クライアントが接続されるところのネットワーク及び
初期認証が発生するところのネットワーク。
【００７２】
動作においては、非認証ネットワークでの処理は行われる。このとき、うまくいけば、隔離ネットワークでの処理が行われる。
【００７３】
２．隔離ネットワーク、隔離ネットワークに関しては、このネットワークは好ましくは次のものを含む。
【００７４】
認証だが非検査のクライアントが接続されるところのネットワーク
検査及び（例えば、OS,アプリケーションなどのようなソフトウエアアップグレードのような）アップグレードが生じるところのネットワーク。
【００７５】
検査に関しては、これは、例えば、ソフトウエア、ファイやウエア及び／又はハードウエアの検査を含むことができる。ソフトウエア検査は、例えば、OS型検査、抗ウイルスチェック、ソフトウエアバージョンチェック、ソフトウエアパッチ又はモジュールチェックなどを含む。アップグレードに関しては、ソフトウエアアップグレードは、例えば、検査決定するとクライアントへの、例えば、ソフトウエアのプッシング（pushing）、ソフトウエアのダウンロード及び／又は同様なものを含む。
【００７６】
ある実施形態では、非認証ネットワーク及び隔離ネットワークが同じネットワークであってもよい。ある実施形態では、非認証ネットワーク及び隔離ネットワークが物理的及び／又は論理的に分離できる。
【００７７】
上述したように、動作時に、非認証ネットワークでの処理は行われ、そのとき、うまくいけば、隔離ネットワークでの処理が行われる。その後、これら両方がうまく成し遂げられれば、安全ネットワークでの処理が行われる。
【００７８】
一般に、とりわけ、資源を保存するのに役立つので隔離ネットワークでの検査の分離を望むことができる。
【００７９】
３．安全ネットワーク、安全ネットワークに関しては、このネットワークは好ましくは次のものを含む。
【００８０】
認証され、検査されたクライアントが（即ち、これら２つの他のネットワークをうまく通過した後に）接続されるところのネットワーク、
アプリケーショントラフィックが終えてしまうところのネットワーク（これは、例えば、電子メール、ウエブトラフィックなどのような、例えば、通常データアプリケーショントラフィックのような、例えば、正常動作を含むことができる）、
非認証ネットワーク及び隔離ネットワークの両方から好ましくは物理的及び／又は論理的に分離されるネットワーク。
【００８１】
好ましい実施形態では、安全ネットワークにおけるクライアントはある環境又はポリシーに基づいて隔離ネットワーク又は非認証ネットワークに切り換えることができる。ある実施形態では、そのような切換は、１）環境又はポリシーに基づいて周期的に（日、週、二週、月及び／又は同様のもののような周期的時間で）クライアントを検査し、切り換えることによって、２）例えば、新保護データベース、新保護ソフトウエア及び／又は同様なものの到来のときのように（一例として、クライアントをアップグレードする新ソフトウエアが到達し、及び／又は新保護検査データベースがクライアントを比較などするために到達するかもしれないような）新データ及び／又は情報が受信され、到達し又は同様なことが行われたときに環境又はポリシーに基づいてクライアントを検査し、切り換えることによって、３）環境又はポリシーに基づいて、若しくはクライアントが安全ネットワークにおいて不幸にも感染された（ソフトウエアウイルス及び／又はなどを含む）と分かったときにクライアントを検査し、切り換えることによっての少なくとも１つ以上に基づいて行われるかもしれない。
【００８２】
注１：ある実施形態において、ネットワークが論理的に分離されると、パケット単位暗号化、完全保護及び／又はリプレイ保護がネットワーク間及び／又はクライアント間のトラフィック分離のために使用できる。クライアント分離に関しては、これはとりわけより良好な分離を得るためには役に立つ。
【００８３】
例えば、隔離ネットワークに同時に多数のクライアントが存在でき、それ故にこれはクライアントが互に影響する可能性が低くなるかもしれない。
【００８４】
好適実施形態の機能的エンティティー
図２に示すように好適実施形態では、好ましくは、次の３つの機能的エンティティー、即ち、認証エージェント（AA）、隔離エージェント（QA）及び切換点（SP）が採用される。
【００８５】
認証エージェントに関しては、これは好ましくはクライアントを認証する。好適実施形態では、認証エージェントは初期認証のために非認証ネットワークに接続する。更に、ある実施形態では、認証エージェントは再認証のために隔離ネットワーク及び／又は安全ネットワークにも接続できる。
【００８６】
隔離エージェント（QA）に関しては、このエージェントは好ましくはクライアントを検査する。好適実施形態では、この検査が失敗すると、好ましくはエージェントがクライアントソフトウエアをグレードアップすることをクライアントに行わせる又は強制する。好ましい実施形態では、このアップグレードが失敗すれば、又は（ある時間内に成功しない、又は他の条件に基づいた成功しないような）不成功となれば、クライアントはａ）ネットワークから切り離す、又はｂ）非認証ネットワークに再接続される。
【００８７】
切換点（SP）に関しては、これはトラフィックを切り換えるエンティティーである。好ましい実施形態では、SPは認証エージェント（AA）と隔離エージェント（QA）の両方によって独立的に与えられる認証（例えば、制御）に基づいてトラフィックを切り換えるように動作する。ある実施形態では、SPは無線LANアクセスポイント、イーサネット（登録商標）スイッチ又はIPsecゲートウエイに同一位置に配置される。IPsecゲートウエイの機能に関しては、〜に出願された継続中の出願番号〜を参照。その全体内容は参照によってこの明細書に援用される。
【００８８】
ある実施形態では、認証エージェント、隔離エージェント及び切換点のいくらか又は全てが同じ位置に配置される。ある実施形態では、認証エージェント及び隔離エージェントは再認証が検査、アップグレード及び／又は同様のもののために安全ネットワークに生じることができるように安全ネットワークへの他の接続を持ってもよい。
【００８９】
検査記録
好適実施形態では、隔離エージェント（QA）は検査記録を発生する。好ましくは、QAはクライアントが成功又は不成功に検査されたときに検査結果を発生する。このように、所定のクライアントが成功又は不成功に検査されたか否かを示す検査履歴を作ることができる。
【００９０】
好適実施形態では、検査記録は下記の少なくとも幾つか、好ましくは全てを含む。即ち、
（機器識別子及びクライアント識別のような）識別情報（注：例えばクライアントは多数の機器を有してもよいので機器識別子を必要とするかもしれない）
検査時間（例えば、検査が行われるとき）
検査項目リスト（例えば、属性名及び／又は同様なものなど）
好適実施形態では、検査項目は下記の少なくとも幾つか、好ましくは全てを含む。即ち、
検査データ名（例えば、「OS名」又は同様なもの）
検査データバージョン（例えば、「ウインドウXP」又は同様なもの）、及び
検査結果（例えば、「合格」又は「不合格」又は同様なもの）（ある実施形態では、検査結果は二値［yes又はno、1又は0及び／又は同様なもの］である）、しかし幾つかの事例では、それは例えば、カテゴリ化のような非二値を含み、又はそれは合格及び／又は同様のもののために必要なY項目の内のXの方式を含んでもよい。
【００９１】
幾つかの好適実施形態では、検査記録は以下であれば有効なると考えられる。即ち、
要求検査項目の全ての結果が「合格」を示し、
検査時間は有効である。
【００９２】
ある好適実施形態では、保護データベース及び／又は（例えば、検査に使用される）ものが更新された最新時間より検査時間が新しければ、その検査時間は有効であると考えられる。
【００９３】
ある実施形態では、検査記録は選択的検査項目も又は代替としてあってもよい。
【００９４】
ある実施形態では、検査記録は（例えば、AAAサーバによるような）安全ネットワーク及び／又は隔離ネットワークの何処かに記憶できる。
【００９５】
最適化
ある実施形態では、QAによる隔離がある条件化で省かれてもよい。例えば、クライアントが認証され、有効検査記録が既にクライアントに存在していれば、ある実施形態では隔離は省かれてもよい。これを行うためには、AAが、例えば、検査記録を記憶するエンティティーに直接的又は間接的に接触してもよい。ある実施形態では、（例えば、ダイアメータのような）AAAプロトコルがこれらの目的のために（例えば、そのような接触のために）使用されている。
【００９６】
この点について、一度クライアントが認証され、検査記録が認証クライアントに有効であれば、ある事前準備された条件又は環境下で隔離を省くことができるかもしれない。例えば、検査記録はクライアントがある日又は時間以内にすでに首尾よく検査されていたことを示していれば、及び／又は検査記録がある他の適切な情報を示すことを決定していれば、隔離を省くことができるかもしれない。
【００９７】
パケット当たりの保護
好適実施形態では、３つのネットワークのトラフィックはパケット当たりの保護（例えば、パケット当たりの暗号化、完全保護及び／又は再生保護）を用いて論理的に分離され、このような場合に、次のものが採用できる。即ち、レイヤ２保護は、例えば、EEE 802.11 iを含むことができ、そしてレイヤ3保護は、例えば、IPsecを含むことができる。
【００９８】
ある実施形態では、パケット単位保護がクライアントと切換点（SP）との間で行われる。
【００９９】
ある実施形態では、保護キーは処理認証からブートストラップされる。ある実施形態では、初期認証はEAP (Extensible Authentication Protocol)に基づいてもよい。ある実施形態では、クライアントとＡＡ間でEAPを行うために使用されるプロトコルはIEEE 802.1X; PANA; IKEv2及び／又はなどを含むことができる。即ち、AAがクライアントを認証すると、これら後者のプロトコルは認証エージェントとクライアント間で認証情報を搬送するために使用できる。
【０１００】
クライアント／QA間検査情報搬送
この点について、好適実施形態では、検査情報がクライアントとQA間で交換される。この検査情報は多数の方法で行うことができる。ある実施形態では、検査情報はアプリケーションレイヤプロトコルメッセージで搬送できる。ある例では、検査情報を搬送するために新たなアプリケーションプロトコルが規定される。他の例では、アプリケーションレイヤプロトコルメッセージがアプリケーション自体によって保護でき、保護キーが初期認証からブートラップできる。これは初期認証からダイナミック作成を含む可能性がある。これは下位レイヤに設けられるパケット保護及び保護済み下位レイヤの上部のLANアプリケーションプロトコルをも含む可能性がある。
【０１０１】
切換及びIPアドレス変更
好適実施形態では、非認証ネットワーク、隔離ネットワーク及び／又は安全ネットワーク間でクライアントを切り換えるためにIPアドレスの変更を必要とする。
【０１０２】
ある例では、切換点（SP）が無線LANアクセス点（AP）又はイーサネットスイッチと同一位置に配置されると、切換及びIPアドレス変更はVLANの変更に基づくことができる。この点について、次のことが生じる。即ち、DHCPがVLAN当たりに異なるアドレスプールを割り当て、切換は検査情報を搬送するアプリケーションプロトコルを介してトリガされる。
【０１０３】
他の例では、切換点（SP）がIPsecゲートウエイと同一位置に配置されると、切換及びIPアドレス変更がIPsecセキュリティアソシエイション（SA）を作成し及び／又は変形することに基づくことができる。この点について、好適実施形態では、２つの潜在的方法、即ち、切り換えられる目標ネットワークと関連するコンテクストを持つ新しいIPsec SAを作成する方法及び既存のIPsec SAのコンテクストを目標ネットワークに関連するものに変更する方法がある。
【０１０４】
後者の例では、切換が、例えば、検査情報を搬送するアプリケーションプロトコルを介して及び／又はIKEv2を介してトリガできる。この点について、IKEv2が採用されたとき、トリガは切換点（SP）によって送られるIKEv2ニフティペイロードで搬送できる。
【０１０５】
好適実施形態では、切換及びIPアドレス変更がネットワーク側によって引き起こされるものとする。この点については、ネットワークは好ましくはネットワーク認証と隔離との良好な分離と共に切換時期及び切換方法を示す。
【０１０６】
発明の広い範囲
発明の具体的実施形態が説明してきたが、この発明はここに記載された種々の好適実施形態に限定されないが、この明細書に基づいた技術のものによって分かるように等化な素子を持つ任意及び全ての実施形態、変形例、削除、（種々実施形態の態様の）組み合わせ、適応及び／又は変更を含む。請求項における限定は請求項で使用されている言語に基づいて広く解釈されるものであり、この明細書に又は出願の継続中に記載され、非排他的となるように構成される例に限定されない。例えば、この明細書では、用語「好ましくは」は非排他的であり、「好ましいが限定されない」ことを意味する。この明細書に及びこの出願の継続中において、手段プラス機能又はステッププラス機能の限定は特定の請求項の限定に対して次の条件、即ち、ａ）「ための手段」又は「ためのステップ」が明確に記載され、ｂ）対応する機能が明確に記載され、そしてｃ）構成、物質又はその構成を裏づけする作用が記載されていないことがその限定に含まれる。この明細書において及びこの出願の継続中での言語「本発明」又は「発明」はこの明細書内で1以上の態様を参照として使用してもよい。言語本発明又は発明は臨界の識別として不適切に解釈されるべきでなく、全ての態様又は実施形態に渡って適用するように不適切に解釈されるべきでなく（即ち、本発明が多数の態様及び実施形態を有することは理解されるべきである）、そして出願又は請求項の範囲を限定するように不適切に解釈されるべきでない。この明細書において及びこの出願の継続中において、用語「実施形態」は任意の態様、特徴、プロセス又はステップ、それらの任意の組み合わせ及び／又はそれらの任意の部分などを説明するために使用できる。ある例では、種々の実施形態が重複する特徴を含んでもよい。この明細書では、略語、「例えば」を表すe.g.及び「注目」を意味する「NB」が使用されている。
【図面の簡単な説明】
【０１０７】
【図１】具体的バックグラウンド隔離モデルを示す。
【図２】この発明の好適実施形態に使用できる具体的アーチテクチャを示す。
【技術分野】
【０００１】
本発明は、隔離ネットワーキングに関し、及び、好適実施形態では、移動中の例えばモバイル装置のような装置の認証及び隔離を行うとき又はネットワーク間の切換るときに使用されるシステム及び方法に関する。
【背景技術】
【０００２】
ネットワーク及びインターネット（登録商標）プロトコル
最も有名なインターネットを含む、多くのタイプのコンピュータネットワークがある。インターネットはコンピュータネットワークの世界規模のネットワークである。今日、インターネットは何百万ものユーザに利用可能な公衆かつ自立的ネットワークである。インターネットはホストを接続するためにＴＣＰ／ＩＰ（すなわち、伝送制御プロトコル／インターネットプロトコル）と呼ばれる１組の通信プロトコルを用いる。インターネットはインターネットバックボーンとして知られる通信インフラを持つ。インターネットバックボーンへのアクセスは企業と個人へのアクセスを転売するインターネット・サービス・プロバイダ（ＩＳＰ）によって大部分は管理される。
【０００３】
ＩＰ（Internet Protocol）に関して、これはネットワーク上である機器（例えば、電話、ＰＤＡ［Personal Digital Assistant］、コンピュータ等）から別の機器へデータを送ることができるプロトコルである。今日では例えば、ＩＰｖ４、ＩＰｖ６などを含むＩＰの様々なバージョンがある。ネットワーク上の各ホスト機器はそれ自身の一意の名称である少なくとも１つのＩＰアドレスを持つ。
【０００４】
ＩＰは無接続のプロトコルである。通信中の端点同士の接続は連続的でない。ユーザがデータ又はメッセージを送信するか受信する際、データ又はメッセージはパケットとして知られる成分に分割される。すべてのパケットはデータから独立したユニットとして扱われる。
【０００５】
インターネット又は類似のネットワーク上のポイント間の伝送を標準化するためにＯＳＩ（Open System Interconnection）モデルが確立された。ＯＳＩモデルはネットワーク中の２ポイント間の通信プロセスを７つの積み重ねられたレイヤに分離し、各レイヤは独自の機能の組を追加している。送信終端における各レイヤを通る下向きの流れと受信終端における各レイヤを通る上向きの流れが存在するように各機器はメッセージを扱う。７つの機能レイヤを提供するプログラミング及び／又はハードウエアは通常は機器ＯＳ、アプリケーションソフトウエア、ＴＣＰ／ＩＰ及び／又は他のトランスポート及びネットワークプロトコルと他のソフトウエア及びハードウエアの組み合わせである。
【０００６】
通常は、上部４レイヤはユーザから又はユーザにメッセージを渡す際に使われ、下部３レイヤはメッセージが機器（例えば、ＩＰホスト機器）を通過する際に使われる。ＩＰホストはサーバ、ルータ又はワークステーションのような、ＩＰパケットを送信及び受信することができるネットワーク上の任意の装置である。他のホストに予定されているメッセージは上側のレイヤまで通されなく、他のホストへ転送される。ＯＳＩ及び他の相似モデルにおいて、ＩＰは第３レイヤ、ネットワークレイヤにある。ＯＳＩモデルのレイヤは以下に記載する。
【０００７】
レイヤ７（即ち、アプリケーションレイヤ）は、例えば、通信相手が認識され、サービス品質が認識され、ユーザ認証及びプライバシーが考量され、データシンタックスに関する制約が認識される、などのレイヤである。
【０００８】
レイヤ６（即ち、プレゼンテーションレイヤ）は、例えば、到来及び送信データを１つのプレゼンテーションフォーマットから他のフォーマットなどに変換するレイヤである。
【０００９】
レイヤ５（即ち、セッションレイヤ）は、アプリケーション間の構築、調整、会話の終了、交換及び対話などを行うレイヤである。
【００１０】
レイヤ４（即ち、トランスポートレイヤ）は、例えば、終端間制御及びエラーチェックなどを管理するレイヤである。
【００１１】
レイヤ３（即ち、ネットワークレイヤ）は、例えば、ルーティング及び転送を取り扱うレイヤである。
【００１２】
レイヤ２（即ち、データリンクレイヤ）は、物理レベルに対して同期を与える、ビットスタッフィングを行う、送信プロトコル知識及び管理を終了するなどを行うレイヤである。電気電子技術者協会（ＩＥＥＥ）はデータリンクレイヤを２つの詳細サブレイヤ、物理レイヤに対するデータ転送を制御するＭＡＣ（Media Access Control）レイヤ及びネットワークレイヤとインタフェースし、エラー回復を命令及び実行するＬＬＣ（Logical Link Control）レイヤに再分割する。
【００１３】
レイヤ１（即ち、物理レイヤ）は、例えば、物理レベルでネットワークを介してビットストリームを搬送するレイヤである。ＩＥＥＥは物理レイヤをＰＬＣＰ（Physical Layer Convergence Procedure）サブレイヤ及びＰＭＤ（Physical Medium Dependent）サブレイヤに再分割する。
【００１４】
この文書では、レイヤ２より上位のレイヤ（例えば、ＯＳＩモデルなどにおけるネットワークレイヤ又はレイヤ３を含むレイヤ）は上位レイヤと呼ぶ。
【００１５】
［無線ネットワーク］
無線ネットワークは、例えば、携帯電話や無線電話、ＰＣ（personal computer）、ラップトップ型コンピュータ、ウェアラブルコンピュータ、コードレス電話、ポケベル、マイク付きヘッドホン、プリンタ、ＰＤＡなどといった多様なタイプの携帯機器を組み込める。例えば、携帯機器は音声及び／又はデータの高速な無線伝送を確保するためにデジタルシステムを含むことができる。典型的な携帯機器は次の構成要素、即ちトランシーバ（即ち、例えば、集積化送信機、受信機、必要ならば、他の機能を備えたシングルチップトランシーバを含む送信機及び受信機）、アンテナ、プロセッサ、１つ以上の音声変換器（例えば、音声通信のための機器において見られるスピーカ又はマイク）、電磁気データ記憶装置（例えば、ＲＯＭ、ＲＡＭ、デジタルデータ記憶装置などのようなもの、データ処理が提供される機器において見られるようなもの）、メモリ、フラッシュメモリ、十分なチップセット又は集積回路、インタフェース（例えばＵＳＢ、ＣＯＤＥＣ、ＵＡＲＴ、ＰＣＭ等のようなもの）及び／又は同種のものの幾つか又は全てを含む。
【００１６】
モバイルユーザが無線接続を通じてローカルエリアネットワーク（ＬＡＮ）に接続できる無線ＬＡＮ（ＷＬＡＮ）は、無線通信のために使用できる。無線通信は、例えば、光、赤外線、無線、マイクロ波のような電磁波によって伝播する通信を含むことができる。例えば、ブルートゥース（登録商標）、ＩＥＥＥ ８０２．１１及びＨｏｍｅＲＦといった現存する様々なＷＬＡＮ標準規格がある。
【００１７】
一例として、ブルートゥース製品はモバイル・コンピュータ、携帯電話、携帯手持ちサイズ機器、個人用デジタル補助装置（ＰＤＡ）及び他の携帯機器の間のリンク及びインターネットへの接続性を提供するのに用いられる。ブルートゥースは携帯機器が短距離無線接続を用いて互いに及び非携帯機器とどのようにして簡単に相互接続できるかを詳述するコンピュータ及び通信事業仕様である。ブルートゥースは１つの機器から他の機器への同期化及び一貫したデータを保持する必要性のある様々な携帯機器の急増に起因するエンド・ユーザの問題を扱うデジタル無線プロトコルを作成し、それによって異なるベンダーが提供する機能が共に途切れなく働くことができる。ブルートゥース機器は共通の名称概念によって名称付けられる。例えば、ブルートゥース機器はブルーツゥースデバイスネーム（ＢＤＮ）又は一意的なブルーツゥースデバイスアドレス（ＢＤＡ）に関連する名称を所有できる。ブルートゥース機器はインターネットプロトコル（ＩＰ）ネットワークにも参加できる。ブルートゥース機器がＩＰネットワーク上で機能するなら、ＩＰアドレス及びＩＰ（ネットワーク）名を設けてもよい。故に、ＩＰネットワーク上に参加するよう構成されたブルートゥース機器は、例えば、ＢＤＮ、ＢＤＡ、ＩＰアドレス、ＩＰ名を含むことができる。項目「ＩＰ名」はインタフェースのＩＰアドレスに対応する名称を参照する。
【００１８】
ＩＥＥＥ規格、ＩＥＥＥ ８０２．１１は、無線ＬＡＮ及び機器に関する技術を明確に述べる。８０２．１１を用いると、無線ネットワーク構築はいくつかの機器をサポートする各単独の基地局をもって達成できる。いくつかの実施形態においては、機器は無線ハードウエアを予め備えられていてもよく、又はユーザがアンテナを含むことができる、カードのようなハードウエアの別個の要素を導入してもよい。一例として、機器がアクセスポイント（ＡＰ）、移動局（ＳＴＡ）、ブリッジ、ＰＣＭＣＩＡカード又は別の機器のいずれであろうと８０２．１１で使われる機器は通常は３つの顕著な構成要素、即ち無線トランシーバ、アンテナ及びネットワーク中のポイント間でのパケットの流れを制御するＭＡＣ（Media Access Control）レイヤを含む。
【００１９】
更に、マルチプルインタフェースデバイス（ＭＩＤ）はいくつかの無線ネットワークにおいて利用できる。ＭＩＤはブルートゥースインタフェースと８０２．１１インタフェースのような、２つの独立したネットワークインタフェースを含むことができ、故にＭＩＤにブルートゥース機器を備えるインタフェースと同じように２つの別個のネットワークへの参加を可能にする。ＭＩＤはＩＰアドレス及びＩＰアドレスに関連する共通ＩＰ（ネットワーク）名を持つことができる。
【００２０】
無線通信機器はブルートゥース機器、マルチプルインタフェースデバイス（ＭＩＤ）、８０２．１１ｘ機器（ＩＥＥＥ ８０２．１１機器は、例えば８０２．１１ａ、８０２．１１ｂ及び８０２．１１ｇ機器を含む）、ＨｏｍｅＲＦ（Home Radio Frequency）機器、ＷｉーＦｉ（Wireless Fidelity）機器、ＧＲＰＳ（General Packet Radio Service）機器、３Ｇ携帯電話機器、２．５Ｇ携帯電話機器、ＧＳＭ（Global System for Mobile Communications）機器、ＥＤＧＥ（Enhanced Data for GSM Evolution）機器、ＴＤＭＡ（Time Division Multiple Access）方式の機器、又はＣＤＭＡ２０００を含むＣＤＭＡ（Code Division Multiple Access）方式の機器に限られず含むことができる。各ネットワーク機器はＩＰアドレスに限定されないが、ブルートゥース機器アドレス、ブルートゥース共通名、ブルートゥースＩＰアドレス、ブルートゥースＩＰ共通名、８０２．１１のＩＰアドレス、８０２．１１のＩＰ共通名、又はＩＥＥＥ ＭＡＣアドレスを含む可変形式のアドレスを含むことができる。
【００２１】
無線ネットワークは、例えばモバイルＩＰ（インターネットプロトコル）システムやＰＣＳシステム、及び他のモバイルネットワークシステムにおいて見られる方法及びプロトコルも含むことができる。モバイルＩＰに関して、これはインターネットエンジニアリングタスクフォース（ＩＥＴＦ）によって作られた標準通信プロトコルを含む。モバイルＩＰがあれば、携帯機器のユーザは一度割り当てられたＩＰアドレスを保持したままネットワークの至る所に移動できる。リクエストフォーコメント（ＲＦＣ）３３４４参照。ＮＢ：ＲＦＣはインターネットエンジニアリングタスクフォース（ＩＥＴＦ）の公式文書である。モバイルＩＰはインターネットプロトコル（ＩＰ）を強化し、さらにホームネットワークの外部に接続する際に携帯機器へインターネットトラフィックを転送する手段を追加する。モバイルＩＰはそれぞれのモバイルノードにホームネットワークにおけるホームアドレス、さらにネットワーク及びそのサブネットにおける機器の現在位置を識別する気付きアドレス（ＣｏＡ）を割り当てる。機器が異なるネットワークに移動された際に、それは新しい気付きアドレスを入手する。ホームネットワーク上のモビリティエージェントは各ホームアドレスをその気付きアドレスに関連付けることができる。モバイルノードは例えばモバイルＩＰを用いてその気付きアドレスを変更するたびにホームエージェントに拘束力のある最新情報を送ることができる。
【００２２】
基礎的なＩＰルーティング（すなわち、外部モバイルのＩＰ）において、通常は、ルーティングの仕組みは各ネットワークノードが、例えばインターネットへの一定の接続点を常に持ち、各ノードのＩＰアドレスはそれが接続されているネットワークリンクを識別すると仮定して応答する。この文書において、専門用語「ノード」は接続ポイントを含み、例えば、再分配ポイント又はデータ伝送に関する終点を含むことができ、他のノードへの処理及び／又は転送通信を認識できる。例えば、インターネットルータは、例えばＩＰアドレスコード又は機器のネットワークを識別する同種のものを調べることができる。それから、ネットワークレベルでは、ルータは、例えば特定のサブネットを識別するビットの組を調べることができる。それから、サブネットレベルでは、ルータは例えば特定の機器を識別するビットの組を調べることができる。典型的なモバイルＩＰ通信では、ユーザがモバイル機器を、例えばインターネットから切り離し、新しいサブネットに再接続しようとすれば、機器は新しいＩＰアドレス、適切なネットマスク及び既定値のルータによる再設定をしなければならない。そうでなければ、ルーティングプロトコルはパケットを適切に運ぶことができない可能性がある。
【００２３】
ハンドオフ及びネットワークアタッチメントポイントの変更
ネットワークアタッチメントポイントが、例えば、基地局及びＩＰ（インターネットプロトコル）ルータを含むことができる場合に、ハンドオフは移動局がそのネットワークアタッチメントポイントを一方点から他方点へ変更する動作である。ハンドオフが、例えば、基地局とＩＰルータを接続するときの変更と共に生じるとき、それは一般的にはレイヤ２ハンドオフ及びレイヤ３ハンドオフをそれぞれ含む。レイヤ２ハンドオフ及びレイヤ３ハンドオフはほぼ同時に生じる可能性がある。任意のハンドオフ中に、システムは移動局と新ネットワークアタッチメントポイントとの間に維持された状態を回復する必要がある。ハンドオフに関するこれらの状態はハンドオフコンテクスト又は単に“コンテクスト”と呼ばれる。
【００２４】
２種類のコンテクスト、即ち、転送可能コンテクスト及び転送不可能コンテクストが存在する。転送可能コンテクストは旧新アタッチメントポイント間で転送可能であり、その間に転送不可能コンテクストがスクラッチから又は転送可能コンテクストを用いてのいずれかで設定する必要がある。具体的転送コンテクストは、例えば、モバイルを再認証するために使用される、例えば、認証コンテクスト及び例えば、モバイルに対して特定のサービスグレードを与えるために十分にネットワーク資源を割り当てるために使用されるＱｏＳ（サービス品質）を含むことができる。モバイルのダイナミック割り当てＩＰアドレスは具体的転送不可能コンテクストである。レイヤ２及びレイヤ３暗号キー、例えば、８０２．１１ｉにおけるＴＫＩＰ（Temporal Key Integrity Protocol）及びＣＣＭＰ（Counter mode with CBC-MAC Protocol）暗号キー（本明細書に援用されている文献＃１参照）並びに移動局とアクセスポイント又はルータとの間で送信されるデータパケットを保護するために使用されるIPsec AH（Authentication Header）及びＥＳＰ（Encapsulation Security Payload）暗号キー（本明細書に援用されている文献＃１５、＃１６、＃１７参照）は、これらのキーが特定の対のＭＡＣ（Media Access Control）又は２つのエンティティー（実体）のＩＰアドレスと関連し、それらの間の取り決めに基づいて回復される必要があるので、他の具体的な転送不可能コンテクストである。
【００２５】
参考のため、上述したように、８０２．１１は電気電子技術者協会（IEEE）の作業部会によって開発された無線ローカルエリアネットワーク（WLAN）の仕様群であり、これは、例えば、パス分割のためのイーサーネット（登録商標）プロトコル及びCSMA/CA（carrier sense multiple access with collision avoidance）を使用する同族802.11, 802.11 a, 802.11 b, and 802.11 gの仕様を含む。本明細書に援用されている文献＃１３参照。更に、802.11はWLANにおけるセキュリティのための開発中IEEE規格である。更に、IPsec（インターネットプロトコルセキュリティ）はネットワーク通信のネットワーク又はパケット処理レイヤでのセキュリティための一組のプロトコル用フレームワークである。更に、MACアドレスは、例えば、機器の特定ハードウエアアドレスを含み、データリンクレイヤのメディアアクセスコントロールサブレイヤによって使用でき、その上、ＩＰアドレスは、例えば、インターネットを介してパケットで送信される情報の各発信者又は受信者を認識する番号（インターネットプロトコル［ＩＰ］の最も広くインストールされたレベルで３２ビット番号、IPv6で１２８ビット番号、クラスレスインタドメインルーティング（CIDR）ネットワークアドレス及び／又はなど）を含む。
【００２６】
好適実施形態は、例えば、以下の参考文献に記載されたシステム及び方法を含む既存のシステム及び方法を越える実質的な改良及び／又は進歩を提供する。参考文献の全部の記載は参照によって援用される。
【００２７】
参考文献#1: B. Aboba, "IEEE 802.1X Pre-Authentication", IEEE802.11-02/389r1, June 2002.
参考文献#2: B. Aboba and D. Simon, "PPP EAP TLS Authentication Protocol", RFC 2716, October 1999.
参考文献#3: L. Blunk, J. Vollbrecht, B. Aboba, J. Carlson and H. Levkowetz, "Extensible Authentication Protocol (EAP), Internet-Draft, Work in progress (to obsolete RFC 2284), May 2003 (また、例えばNovember, 2003文献参照).
参考文献#4: R. Droms and W. Arbaugh, "Authentication for DHCP Messages", RFC 3118, June 2001.
参考文献#5: R. Droms, "Dynamic Host Configuration Protocol, " RFC 2131, March 1997.
参考文献#6: P. Funk, S. Blake-Wilson, "EAP Tunneled TLS Authentication Protocol (EAP-TTLS)", Internet-Draft, Work in progress, November 2002 (また、例えば、August, 2003文献参照).
参考文献#7: D. Forsberg, Y. Ohba, B. Patil, H. Tschofenig and A. Yegin, "Protocol for Carrying Authentication for Network Access (PANA)", Internet-Draft, Work in progress, March 2003 (see also, e. g., October, 2003 document).
参考文献#8: R. Glenn and S. Kent, "The Null Encryption Algorithm and Its Use WithIPsec," RFC 2410, November 1998.
参考文献#9: D. Harkins and D. Carrel, "The Internet Key Exchange (IKE)", RFC 2409, November 1998.
参考文献#10: IEEE Standard for Local and Metropolitan Area Networks, "Port-Based Network Access Control", IEEE Std 802.1 X-2001.
参考文献#11: IEEE Standard for Local and Metropolitan Area Networks, "Wireless Medium Access Control (MAC) and physical layer (PHY) specifications: Medium Access Control (MAC) Security Enhancements," IEEE Std 802.11 i/D4.0, May 2003 (また、例えば、IEEE Std 802.11 i/D7.0, October 2003文献参照)).
参考文献#12: IEEE Standard for Local and Metropolitan Area Networks, "Draft Recommended Practice for Multi-Vendor Access Point Interoperability via an Inter-Access Point Protocol Across Distribution Systems Supporting IEEE 802.11 Operation, " IEEEP802.11 F/D5, January 2003.
参考文献#13: IEEE Standard for Local and Metropolitan Area Networks, "Wireless LAN Medium Access Control (MAC) and Physical Layer (PHY) Specifications, " ANSI/IEEE Std 802.11, 1999 Edition, 1999.
参考文献#14: J. Loughney, M. Nakhjiri, C. Perkins and R. Koodli, "Context Transfer Protocol," Internet-Draft, Work in progress, June 2003 (また、例えば、October, 2003文献参照).
参考文献#15: C. Kaufman, "Internet Key Exchange (IKEv2) Protocol", Internet-Draft, Work in progress, April 2003 (また、例えば、October 9, 2003 and January, 2004文献参照).
参考文献#16: S. Kent and R. Atkinson, "IP Authentication Header, " RFC 2402, November 1998.
参考文献#17: S. Kent and R. Atkinson, "IP Encapsulating Security Payload (ESP), " RFC 2406, November 1998.
参考文献#18: T. Kivinen, "DHCP over IKE", Internet-Draft, Work in progress, April 2003.
参考文献#20: M. Liebsch, A. Singh, H. Chaskar and D. Funato, "Candidate Access Router Discovery", Internet-Draft, work in Progress, March 2003 (また、例えば、September, 2003 and November, 2003文献参照).
参考文献#21: A. Palekar, D. Simon, G. Zorn and S. Josefsson, "Protected EAP Protocol (PEAP)", Internet-Draft, Work in Progress, March 2003 (また、"Protected EAP Protocol (PEAP) Version 2, " October, 2003参照).
参考文献#22: B. Patel, B. Aboba, S. Kelly and V. Gupta, "Dynamic Host Configuration Protocol (DHCPv4) Configuration ofIPsec Tunnel Mode", RFC 3456, January 2003.
参考文献#23: J. Puthenkulam, V. Lortz, A. Palekar and D. Simon, "The Compound Authentication Binding Problem", Internet-Draft, Work in Progress, March 2003 (また、例えば、October, 2003文献参照).
参考文献#24: R. Seifert, "The Switch Book - The Complete Guide to LAN Switching Technology", Wiley Computer Publishing, ISBN 0-471-34586-5.
参考文献#25: Y. Sheffer, H. Krawczyk and B. Aboba, "PIC, A Pre-IKE Credential Provisioning Protocol", Internet-Draft, Work in progress, October 2002.
参考文献#26: H. Tschofenig, A. Yegin and D. Forsburg, "Bootstrapping RFC3118 Delayed Authentication using PANA", Internet-Draft, June 2003 (また、例えば、October, 2003文献参照).
参考文献#27: M. Kulkarni, A Patel and K. Leung, "Mobile lPv4 Dynamic Home Agent Assignment", IETF Internet-Draft, January 8, 2004.
隔離ネットワーキングへのバックアラウンド
一般的には、ネットワークサイトはネットワークへの外部攻撃に対する保護を補助するファイヤウオールを使用して確立される。このいわゆる“ボーダ／ペリメータデフェンスモデル”が実質的制限を有しており、他の方法はセキュリティを改良するために考えられていた。例えば、以下文献で援用するdraft-kondo-quarantine-overview-OO.txtを参照。ボーダデフェンスモデルに伴う最も重要なものの１つがモバイルノードコントロールを含む。例えば、ノードＰＣのようなモバイルノード又は任意の他のモバイルノードはこのボーダデフェンスモデルにおける“ボーダ”の外に容易に移動でき、例えば、ＬＡＮ、ダイアルアップ接続体及び／又は同様なもののような装置に容易に接続できる。これらモバイルノードはネットワーク外にあるときには制御されなくてもよい。このとき、ネットワークに戻ると、それらは相応の問題をもたらす可能性がある。更に、無線信号（例えば、電波）を使用すると他のものがシステムにアクセスするかもしれないリスクを増やすことがあるので無線ＬＡＮなどはセキュリティリスクを生じる可能性がある。このコンテクストでは、幾つかのモデル（例えば、隔離ネットワーク）がそのようなバックグラウンドセキュリティ方法を改良するために考えられていた。幾つかの既存の隔離などのモデル及び／又は製品が参考として以下に説明する。
【００２８】
モデル１：Draft-Kondo-Quarantine-Overview-OO.txt
第１モデルはdraft-kondo-quarantine-overview-OO.txtに記載され、これは全体において参照によってこの明細書に援用され、添付書類Ａで仮出願60/573,702に添付されている。
【００２９】
このモデルは日本ではWIDE Secure6 WGによって記載されている。それは一般的な隔離モデルを説明している。図１を参照すると、モデルは実質的に次のように働く。
【００３０】
１．クライアント（ＣＬ）はスイッチ（ＳＷ）に接続する。検査が無事に完了する前にクライアントトラフィックは隔離パスを強制的に調べる。
【００３１】
２．隔離認証サーバ（ＱＡＳ）はクライアントに検査を要求し、クライアントからプロファイル情報を受け取る。この処理中に、保護情報サーバ（ＰＩＳ）は保護情報に対してプロファイル情報を検査するためＱＡＳから接触される。
【００３２】
３．検査結果に基づいて、ＱＡＳはネットワークアドミッションコントローラ（ＮＡＣ）に許可処置を要求する。ＮＡＣは安全パスを介してクライアントを接続するためにルータ（ＲＴ）を更新する。ここで、ＩＰアドレスも更新されてもよい。
【００３３】
この第1モデルに関しては、ネットワークアクセス認証との相関は明確に示されていない。
【００３４】
モデル２：CISCO NAC (Network Admission Control)
第2モデルはCISCO NACのモデルである。このモデルはネットワーク関連素子、シマンテック及びトレンドマイクロのようなアンチウイルスベンダと連動してＣＩＳＣＯからの計画的隔離ネットワーキング製品を含むようである。
【００３５】
このモデルでは、検査情報は明らかにＥＡＰ（Extensible Authentication Protocol）で搬送される。即ち
１．モデルは、ＥＡＰがＩＥＥＥ802MACレイヤで搬送されるとき明らかにIEEE802.1Xを使用するか又はEPAをリモートゲートウエイに搬送するためにUDPを使用する。モデルはUDPを介してEAPを搬送するためにPANA（Protocol for carrying Authentication for Network Access）又はカスタム（即ち、自体の）プロトコルを使用するか否かは明らかでない。
【００３６】
２．後者の場合、IPsec VPNは明らかに検査されたユーザに対してだけ設定できる。
【００３７】
このモデルはLAN及びリモートアクセスクライアントの両方を支援する。しかしながら、クライアントソフトウエアはこのモデルにおいて要求される。
【００３８】
モデル３：認証VLANに基づく隔離システム
このモデルは２００４のほぼ第3四半期に開放するために計画された製品を含むように思える。URL http: //itpro.nikkeibp.co.jp/free/SI/NEWS/20040205/139376/で見つけられるニュース文献を参照。この文献はその全体において参照として本明細書に援用され、添付書類Bで仮出願60/573,702に添付されている。この製品は明らかに5万ドル以上の多額の価格となると考えられる。
【００３９】
このモデルでは、下記のステップが含まれるようである。
【００４０】
１．クライアントは非認証VLAN (Virtual LAN)に接続され、一時的IPアドレスを獲得する。
【００４１】
２．検査は非認証VLANで行われる。
【００４２】
３．検査後、クライアントは認証VLANに接続され、IPアドレスを更新する。
【００４３】
このモデルは明らかにリモートアクセスクライアントを支援しない。更に、このモデルでは、クライアントソフトウエアが必要となる。このモデルでは、いったいどんな種類のネットワークアクセス認証が採用できるのか明らかでない。
【００４４】
モデル４：ゾーンラブ（Zone Lab）（完全）
このモデルはURL http: //download.zonelabs.com/bin/media/pdf/IntegrityClientlessprodsheet. pdfでの文献に記載されている。この文献は添付書類Cで仮出願60/573,702に添付され、その全体の開示が参照により本明細書に援用される。
【００４５】
とりわけ、このモデルは明らかにLANクライアントを支援していない（即ち、それはリモートアクセスクライアントのみのためである）。このモデルでは、クライアントソフトウエアは必要ない（即ち、それはエージェントレスである）。
【００４６】
モデル５：静止安全（Still Secure）（安全アクセス）
このモデルはURL http: //download.zonelabs.com/bin/media/pdf/IntegrityClientlessprodsheet. pdfの文献に記載されている。この文献は添付書類Dで仮出願60/573,702に添付され、その全体の開示が参照として本明細書に援用される。
【００４７】
この安全アクセスモデルでは、明らかに管理者は（１）どのアプリケーション及びサービスが許可されるかを規定する、及び（２）機器が応じないときに取られるアクションを特定する「アクセス」ポリシーを作成する。明らかに、安全アクセスは機器がネットワークにロクオンしているので自動的にアクセスポリシーを機器に与える。
【００４８】
テスト結果に基づいて、機器はネットワークアクセスを許可又は拒絶され、若しくはネットワークの特定の一部に隔離され、それにより組織的安全基準を強化する。安全アクセスは全てのテスト及び接続アクティビティを追跡し、監査員、管理者及びITスタッフに対する様々な報告を作成する。
【００４９】
明らかに、このモデルはLAN及びリモートアクセスクライアントの両方に対して支援する。更に、このモデルにより、クライアントソフトウエアは必要としない（即ち、エージェントレスである）。
【００５０】
上記既存モデルの概要
下記表は上記既存モデルに見られる特徴のいくらかの概要を示している。
【表１】
【発明の開示】
【発明が解決しようとする課題】
【００５１】
各種の隔離システム及び方法が知られているが、改良されたシステム及び方法の要求は依然として残っている。
【００５２】
本発明の好適実施形態は既存方法及び／又は装置を大幅に改良できる。
【課題を解決するための手段】
【００５３】
ある実施形態によると、クライアントを隔離するための隔離アーキテクチャはａ）非認証ネットワーク、ｂ）隔離ネットワーク、及びｃ）安全ネットワークにより構成される。
【００５４】
ある実施形態では、アーキテクチャは更に切換点を制御する非認証ネットワークに認証エージェントを含み、切換点を制御する隔離ネットワークに隔離エージェントを含む。ある実施形態では、認証エージェントは初期認証のために非認証ネットワークに接続する。ある実施形態では、認証エージェントは再認証のために隔離ネットワーク及び／又は安全ネットワークに接続する。ある実施形態では、隔離エージェントはクライアントを検査し、この検査が失敗すると、隔離エージェントはクライアントソフトウエアをアップグレードすることをクライアントに行う又は強要する。ある実施形態では、アップグレードが失敗する、即ち成功しなければ、クライアントはａ）ネットワークから切り離されるか、ｂ）非認証ネットワークに再接続される。
【００５５】
ある実施形態では、アーキテクチャは、ある環境又はポリシーに基づいて安全ネットワークのクライアントを隔離ネットワーク又は非認証ネットワークに切り換える手段を更に含む。ある実施形態では、前記手段は１）環境又はポリシーに基づいて周期的に検査し、切り換えること、２）新たなデータ及び／又は情報が受信され又は到達するときに環境又はポリシーに基づいてクライアントを検査し、切り換えること、及び／又は３）環境又はポリシーに基づいて又はそれらが安全ネットワークに感染されると分かるときクライアントを切り換えることの１つ以上に基づいて切り換える手段を含む。
【００５６】
ある実施形態では、ネットワークは論理的に分離され、パケット単位の暗号化、完全保護及び／又は再生保護がネットワーク間及び／又はクライアント間のトラフィック分離のために使用される。
【００５７】
ある実施形態では、アーチテクチャはクライアントが首尾よく認証され及び有効検査記録が既にクライアントに存在すれば、隔離を省く手段を更に含む。
【００５８】
ある実施形態では、検査情報はエージェントと隔離エージェントとの間で交換され、アプリケーションレイヤプロトコルメッセージで搬送される。
【００５９】
ある実施形態では、切換点はIPsecゲートウエイと同場所に配置され、切換及びIPアドレス変更はIPsecＳＡを作成又は変形することに基づいている。
【００６０】
ある実施形態では、切換及びＩＰアドレス変更はネットワーク側によって引き起こされる。
【００６１】
上記及び／他の形態、各種実施形態の特徴及び／又は利点は添付図を参照して書き説明により理解される。各種実施形態は利用できる場合には異なる態様、特徴及び／又は利点を含む及び／又は除外することができる。更に、各種実施形態は利用できる場合は他の実施形態の1以上の形態又は特徴を組合すことができる。特定の実施形態の態様、特徴及び／又は利点の説明は他の実施形態又は請求項を制限するとして構成されない。
【発明を実施するための最良の形態】
【００６２】
この発明は多数の異なる形態で実施できるが、この明細書は発明の原理の例を提供しながら考えられることになっており、そのような例はここに記載され及び／又はここに具体化されている好適実施例にこの発明を限定する意図がないという了解の下で多数の具体的実施形態が記載されている。
【００６３】
好適実施形態への導入
本発明の好適実施形態は既存のシステム及び方法に言及されている幾つかの顕著な欠陥及び限定を考慮して開発された。とりわけ、本発明者は以下のことを見出した。即ち、
１．LANアクセス及びリモートアクセスの両方を支援する解決が更に望まれている。
【００６４】
２．エージェントレス対エージェントに基づくシステムが採用されるか否かに関して
エージェントに基づくモデルは、アンチウイルスソフト及び／又はオペレーションシステム（OS）だけでなく、例えば、クライアントアイソレーションのような多くの特徴を提供できる。エージェントレスモデルはクライアントの良好なアイソレーションを提供できない（例えば、不審なパケットだけをフィルタリングできるかもしれないが同じクライアントからの他のパケットをフィルタリングすることができないかもしれない）。
【００６５】
３．一例として上述したCISCOモデルは隔離が認証と余りにもきつく結びついているので幾つかの欠陥を持っている。その点において、本発明者は、UDPに渡って例えばIEEE 802.1X又はEAPで検査情報を搬送することが柔軟性に劣り、より柔軟性のモデルが必要であることを決定した。
【００６６】
本発明者はとりわけ一般的な解決が利用できなく、特にネットワークアクセスと認証との相関が既存システムでは明らかでないという問題があることを見出した。
【００６７】
この状況において、とりわけ、発明の幾つかの実施形態に採用できる図2に示される好適アーキテクチャを開発した。この点について、図2は、切換点（SP）を制御できる認証エージェント（AA）を持つ非認証ネットワーク、切換点（SP）を制御できる隔離エージェント（QA）を持つ隔離ネットワーク及び、例えば、任意の適切なクライアント（一例として、モバイルノードパーソナルコンピュータ（PC）、デスクトップPC及び／又は他の形式の機器）のようなクライアントに対して隔離するための安全ネットワークを使用することを示している。
【００６８】
好適実施形態において、ネットワークアクセス認証と隔離との間に最小相関が確立され、最も好ましくは、ネットワークアクセス認証と隔離が実質的に結ばれることなく、分離される。
【００６９】
好適実施形態での３形式ネットワーク
図２に示される３つの形式のネットワークは好適実施形態に従って以下に更に詳細に説明する。
【００７０】
１．非認証ネットワーク
非認証ネットワークについては、これは好ましくは次のものを含む。
【００７１】
非認証クライアントが接続されるところのネットワーク及び
初期認証が発生するところのネットワーク。
【００７２】
動作においては、非認証ネットワークでの処理は行われる。このとき、うまくいけば、隔離ネットワークでの処理が行われる。
【００７３】
２．隔離ネットワーク、隔離ネットワークに関しては、このネットワークは好ましくは次のものを含む。
【００７４】
認証だが非検査のクライアントが接続されるところのネットワーク
検査及び（例えば、OS,アプリケーションなどのようなソフトウエアアップグレードのような）アップグレードが生じるところのネットワーク。
【００７５】
検査に関しては、これは、例えば、ソフトウエア、ファイやウエア及び／又はハードウエアの検査を含むことができる。ソフトウエア検査は、例えば、OS型検査、抗ウイルスチェック、ソフトウエアバージョンチェック、ソフトウエアパッチ又はモジュールチェックなどを含む。アップグレードに関しては、ソフトウエアアップグレードは、例えば、検査決定するとクライアントへの、例えば、ソフトウエアのプッシング（pushing）、ソフトウエアのダウンロード及び／又は同様なものを含む。
【００７６】
ある実施形態では、非認証ネットワーク及び隔離ネットワークが同じネットワークであってもよい。ある実施形態では、非認証ネットワーク及び隔離ネットワークが物理的及び／又は論理的に分離できる。
【００７７】
上述したように、動作時に、非認証ネットワークでの処理は行われ、そのとき、うまくいけば、隔離ネットワークでの処理が行われる。その後、これら両方がうまく成し遂げられれば、安全ネットワークでの処理が行われる。
【００７８】
一般に、とりわけ、資源を保存するのに役立つので隔離ネットワークでの検査の分離を望むことができる。
【００７９】
３．安全ネットワーク、安全ネットワークに関しては、このネットワークは好ましくは次のものを含む。
【００８０】
認証され、検査されたクライアントが（即ち、これら２つの他のネットワークをうまく通過した後に）接続されるところのネットワーク、
アプリケーショントラフィックが終えてしまうところのネットワーク（これは、例えば、電子メール、ウエブトラフィックなどのような、例えば、通常データアプリケーショントラフィックのような、例えば、正常動作を含むことができる）、
非認証ネットワーク及び隔離ネットワークの両方から好ましくは物理的及び／又は論理的に分離されるネットワーク。
【００８１】
好ましい実施形態では、安全ネットワークにおけるクライアントはある環境又はポリシーに基づいて隔離ネットワーク又は非認証ネットワークに切り換えることができる。ある実施形態では、そのような切換は、１）環境又はポリシーに基づいて周期的に（日、週、二週、月及び／又は同様のもののような周期的時間で）クライアントを検査し、切り換えることによって、２）例えば、新保護データベース、新保護ソフトウエア及び／又は同様なものの到来のときのように（一例として、クライアントをアップグレードする新ソフトウエアが到達し、及び／又は新保護検査データベースがクライアントを比較などするために到達するかもしれないような）新データ及び／又は情報が受信され、到達し又は同様なことが行われたときに環境又はポリシーに基づいてクライアントを検査し、切り換えることによって、３）環境又はポリシーに基づいて、若しくはクライアントが安全ネットワークにおいて不幸にも感染された（ソフトウエアウイルス及び／又はなどを含む）と分かったときにクライアントを検査し、切り換えることによっての少なくとも１つ以上に基づいて行われるかもしれない。
【００８２】
注１：ある実施形態において、ネットワークが論理的に分離されると、パケット単位暗号化、完全保護及び／又はリプレイ保護がネットワーク間及び／又はクライアント間のトラフィック分離のために使用できる。クライアント分離に関しては、これはとりわけより良好な分離を得るためには役に立つ。
【００８３】
例えば、隔離ネットワークに同時に多数のクライアントが存在でき、それ故にこれはクライアントが互に影響する可能性が低くなるかもしれない。
【００８４】
好適実施形態の機能的エンティティー
図２に示すように好適実施形態では、好ましくは、次の３つの機能的エンティティー、即ち、認証エージェント（AA）、隔離エージェント（QA）及び切換点（SP）が採用される。
【００８５】
認証エージェントに関しては、これは好ましくはクライアントを認証する。好適実施形態では、認証エージェントは初期認証のために非認証ネットワークに接続する。更に、ある実施形態では、認証エージェントは再認証のために隔離ネットワーク及び／又は安全ネットワークにも接続できる。
【００８６】
隔離エージェント（QA）に関しては、このエージェントは好ましくはクライアントを検査する。好適実施形態では、この検査が失敗すると、好ましくはエージェントがクライアントソフトウエアをグレードアップすることをクライアントに行わせる又は強制する。好ましい実施形態では、このアップグレードが失敗すれば、又は（ある時間内に成功しない、又は他の条件に基づいた成功しないような）不成功となれば、クライアントはａ）ネットワークから切り離す、又はｂ）非認証ネットワークに再接続される。
【００８７】
切換点（SP）に関しては、これはトラフィックを切り換えるエンティティーである。好ましい実施形態では、SPは認証エージェント（AA）と隔離エージェント（QA）の両方によって独立的に与えられる認証（例えば、制御）に基づいてトラフィックを切り換えるように動作する。ある実施形態では、SPは無線LANアクセスポイント、イーサネット（登録商標）スイッチ又はIPsecゲートウエイに同一位置に配置される。IPsecゲートウエイの機能に関しては、〜に出願された継続中の出願番号〜を参照。その全体内容は参照によってこの明細書に援用される。
【００８８】
ある実施形態では、認証エージェント、隔離エージェント及び切換点のいくらか又は全てが同じ位置に配置される。ある実施形態では、認証エージェント及び隔離エージェントは再認証が検査、アップグレード及び／又は同様のもののために安全ネットワークに生じることができるように安全ネットワークへの他の接続を持ってもよい。
【００８９】
検査記録
好適実施形態では、隔離エージェント（QA）は検査記録を発生する。好ましくは、QAはクライアントが成功又は不成功に検査されたときに検査結果を発生する。このように、所定のクライアントが成功又は不成功に検査されたか否かを示す検査履歴を作ることができる。
【００９０】
好適実施形態では、検査記録は下記の少なくとも幾つか、好ましくは全てを含む。即ち、
（機器識別子及びクライアント識別のような）識別情報（注：例えばクライアントは多数の機器を有してもよいので機器識別子を必要とするかもしれない）
検査時間（例えば、検査が行われるとき）
検査項目リスト（例えば、属性名及び／又は同様なものなど）
好適実施形態では、検査項目は下記の少なくとも幾つか、好ましくは全てを含む。即ち、
検査データ名（例えば、「OS名」又は同様なもの）
検査データバージョン（例えば、「ウインドウXP」又は同様なもの）、及び
検査結果（例えば、「合格」又は「不合格」又は同様なもの）（ある実施形態では、検査結果は二値［yes又はno、1又は0及び／又は同様なもの］である）、しかし幾つかの事例では、それは例えば、カテゴリ化のような非二値を含み、又はそれは合格及び／又は同様のもののために必要なY項目の内のXの方式を含んでもよい。
【００９１】
幾つかの好適実施形態では、検査記録は以下であれば有効なると考えられる。即ち、
要求検査項目の全ての結果が「合格」を示し、
検査時間は有効である。
【００９２】
ある好適実施形態では、保護データベース及び／又は（例えば、検査に使用される）ものが更新された最新時間より検査時間が新しければ、その検査時間は有効であると考えられる。
【００９３】
ある実施形態では、検査記録は選択的検査項目も又は代替としてあってもよい。
【００９４】
ある実施形態では、検査記録は（例えば、AAAサーバによるような）安全ネットワーク及び／又は隔離ネットワークの何処かに記憶できる。
【００９５】
最適化
ある実施形態では、QAによる隔離がある条件化で省かれてもよい。例えば、クライアントが認証され、有効検査記録が既にクライアントに存在していれば、ある実施形態では隔離は省かれてもよい。これを行うためには、AAが、例えば、検査記録を記憶するエンティティーに直接的又は間接的に接触してもよい。ある実施形態では、（例えば、ダイアメータのような）AAAプロトコルがこれらの目的のために（例えば、そのような接触のために）使用されている。
【００９６】
この点について、一度クライアントが認証され、検査記録が認証クライアントに有効であれば、ある事前準備された条件又は環境下で隔離を省くことができるかもしれない。例えば、検査記録はクライアントがある日又は時間以内にすでに首尾よく検査されていたことを示していれば、及び／又は検査記録がある他の適切な情報を示すことを決定していれば、隔離を省くことができるかもしれない。
【００９７】
パケット当たりの保護
好適実施形態では、３つのネットワークのトラフィックはパケット当たりの保護（例えば、パケット当たりの暗号化、完全保護及び／又は再生保護）を用いて論理的に分離され、このような場合に、次のものが採用できる。即ち、レイヤ２保護は、例えば、EEE 802.11 iを含むことができ、そしてレイヤ3保護は、例えば、IPsecを含むことができる。
【００９８】
ある実施形態では、パケット単位保護がクライアントと切換点（SP）との間で行われる。
【００９９】
ある実施形態では、保護キーは処理認証からブートストラップされる。ある実施形態では、初期認証はEAP (Extensible Authentication Protocol)に基づいてもよい。ある実施形態では、クライアントとＡＡ間でEAPを行うために使用されるプロトコルはIEEE 802.1X; PANA; IKEv2及び／又はなどを含むことができる。即ち、AAがクライアントを認証すると、これら後者のプロトコルは認証エージェントとクライアント間で認証情報を搬送するために使用できる。
【０１００】
クライアント／QA間検査情報搬送
この点について、好適実施形態では、検査情報がクライアントとQA間で交換される。この検査情報は多数の方法で行うことができる。ある実施形態では、検査情報はアプリケーションレイヤプロトコルメッセージで搬送できる。ある例では、検査情報を搬送するために新たなアプリケーションプロトコルが規定される。他の例では、アプリケーションレイヤプロトコルメッセージがアプリケーション自体によって保護でき、保護キーが初期認証からブートラップできる。これは初期認証からダイナミック作成を含む可能性がある。これは下位レイヤに設けられるパケット保護及び保護済み下位レイヤの上部のLANアプリケーションプロトコルをも含む可能性がある。
【０１０１】
切換及びIPアドレス変更
好適実施形態では、非認証ネットワーク、隔離ネットワーク及び／又は安全ネットワーク間でクライアントを切り換えるためにIPアドレスの変更を必要とする。
【０１０２】
ある例では、切換点（SP）が無線LANアクセス点（AP）又はイーサネットスイッチと同一位置に配置されると、切換及びIPアドレス変更はVLANの変更に基づくことができる。この点について、次のことが生じる。即ち、DHCPがVLAN当たりに異なるアドレスプールを割り当て、切換は検査情報を搬送するアプリケーションプロトコルを介してトリガされる。
【０１０３】
他の例では、切換点（SP）がIPsecゲートウエイと同一位置に配置されると、切換及びIPアドレス変更がIPsecセキュリティアソシエイション（SA）を作成し及び／又は変形することに基づくことができる。この点について、好適実施形態では、２つの潜在的方法、即ち、切り換えられる目標ネットワークと関連するコンテクストを持つ新しいIPsec SAを作成する方法及び既存のIPsec SAのコンテクストを目標ネットワークに関連するものに変更する方法がある。
【０１０４】
後者の例では、切換が、例えば、検査情報を搬送するアプリケーションプロトコルを介して及び／又はIKEv2を介してトリガできる。この点について、IKEv2が採用されたとき、トリガは切換点（SP）によって送られるIKEv2ニフティペイロードで搬送できる。
【０１０５】
好適実施形態では、切換及びIPアドレス変更がネットワーク側によって引き起こされるものとする。この点については、ネットワークは好ましくはネットワーク認証と隔離との良好な分離と共に切換時期及び切換方法を示す。
【０１０６】
発明の広い範囲
発明の具体的実施形態が説明してきたが、この発明はここに記載された種々の好適実施形態に限定されないが、この明細書に基づいた技術のものによって分かるように等化な素子を持つ任意及び全ての実施形態、変形例、削除、（種々実施形態の態様の）組み合わせ、適応及び／又は変更を含む。請求項における限定は請求項で使用されている言語に基づいて広く解釈されるものであり、この明細書に又は出願の継続中に記載され、非排他的となるように構成される例に限定されない。例えば、この明細書では、用語「好ましくは」は非排他的であり、「好ましいが限定されない」ことを意味する。この明細書に及びこの出願の継続中において、手段プラス機能又はステッププラス機能の限定は特定の請求項の限定に対して次の条件、即ち、ａ）「ための手段」又は「ためのステップ」が明確に記載され、ｂ）対応する機能が明確に記載され、そしてｃ）構成、物質又はその構成を裏づけする作用が記載されていないことがその限定に含まれる。この明細書において及びこの出願の継続中での言語「本発明」又は「発明」はこの明細書内で1以上の態様を参照として使用してもよい。言語本発明又は発明は臨界の識別として不適切に解釈されるべきでなく、全ての態様又は実施形態に渡って適用するように不適切に解釈されるべきでなく（即ち、本発明が多数の態様及び実施形態を有することは理解されるべきである）、そして出願又は請求項の範囲を限定するように不適切に解釈されるべきでない。この明細書において及びこの出願の継続中において、用語「実施形態」は任意の態様、特徴、プロセス又はステップ、それらの任意の組み合わせ及び／又はそれらの任意の部分などを説明するために使用できる。ある例では、種々の実施形態が重複する特徴を含んでもよい。この明細書では、略語、「例えば」を表すe.g.及び「注目」を意味する「NB」が使用されている。
【図面の簡単な説明】
【０１０７】
【図１】具体的バックグラウンド隔離モデルを示す。
【図２】この発明の好適実施形態に使用できる具体的アーチテクチャを示す。
【特許請求の範囲】
【請求項１】
ａ） 非認証ネットワークと、
ｂ） 隔離ネットワークと、
ｃ） 安全ネットワークと、
で構成され、クライアントを隔離するための隔離アーキテクチャ
【請求項２】
切換点を制御する前記非認証ネットワークに認証エージェントを、前記切換点を制御する前記認証ネットワークに隔離エージェントを更に含む、請求項１記載のアーキテクチャ。
【請求項３】
ある環境又はポリシーに基づいて前記安全ネットワークのクライアントを隔離ネットワークに又は前記非認証ネットワークに切り換える手段を更に含む、請求項１記載のアーキテクチャ。
【請求項４】
前記手段は、１）環境又はポリシーに基づいて周期的にチェックし、切り換えることによって、２）新たなデータ及び／又は情報が受信され又は到達するときに環境又はポリシーに基づいてクライアントをチェックし、切り換えることによって、及び／又は３）環境又はポリシーに基づいて又はそれらが安全ネットワークに感染されると分かるときクライアントを切り換えることによっての１つ以上に基づいて切り換える手段を含む、請求項３記載のアーキテクチャ。
【請求項５】
前記ネットワークは論理的に分離され、パケット単位暗号化、完全保護及び／又は再生保護がネットワーク間及び／又はクライアント間のトラフィック分離のために使用される、請求項１記載のアーキテクチャ。
【請求項６】
前記認証エージェントは初期認証のため前記非認証ネットワークに接続する、請求項２記載のアーキテクチャ。
【請求項７】
前記認証エージェントは再認証のために前記隔離ネットワーク及び／又は前記安全ネットワークに接続する、請求項２記載のアーキテクチャ。
【請求項８】
前記隔離エージェントは前記クライアントを検査し、この検査が失敗すると、前記隔離エージェントは前記クライアントソフトウエアをアップグレードすることをクライアントになさせる、又は強制させる、請求項２記載のアーキテクチャ。
【請求項９】
前記アップグレードが失敗する、又は不成功ならば、前記クライアントはａ）ネットワークから切り離す、又はｂ）前記非認証ネットワークに再接続する、請求項８記載のアーキテクチャ。
【請求項１０】
クライアントが首尾よく認証され及び有効検査記録が既にクライアントに存在すれば、隔離を省く手段を更に含む、請求項１記載のアーキテクチャ。
【請求項１１】
３つの前記ネットワークの少なくとも幾つかの間のトラフィックがパケット当たりの保護により論理的に分離されることを含み、ＩＰｓｅｃを持つレイヤ３保護を含む、請求項１記載のアーキテクチャ。
【請求項１２】
ＩＥＥＥ ８０２．１Ｘ， ＰＡＮＡ及びＩＫＥｖ２プロトコルが前記エージェントと前記認証エージェントとの間にＥＡＰを搬送するために使用される、請求項２記載のアーキテクチャ。
【請求項１３】
検査情報はエージェントとアプリケーションレイヤプロトコルメッセージで伝えられる隔離エージェントとの間で交換される、請求項２記載のアーキテクチャ。
【請求項１４】
切換点はＩＰｓｅｃゲートウエイと同一箇所にあり、切換及びＩＰアドレス変更はＩＰｓｅｃＳＡを作成又は変形することに基づいている、請求項２記載のアーキテクチャ。
【請求項１５】
切換及びＩＰアドレス変更はネットワーク側によってトリガされる、請求項２記載のアーキテクチャ。
【請求項１６】
少なくとも１つのクライアント装置の隔離ネットワーキングを行う方法であって、ａ）非認証ネットワークに渡って認証エージェントを介して少なくとも１つの無線クライアントの認証を行うこと、ｂ）非認証ネットワークで前記少なくとも１つの無線クライアントの成功した認証により、隔離ネットワークに渡って隔離エージェントを介して前記少なくとも１つの無線クライアントの検査を実行すること、ｃ）少なくとも１つの前記無線クライアントの成功した認証及び検査によって、安全ネットワークに渡って少なくとも１つの前記無線クライアントでアプリケーション処理を行うことを含む、方法。
【請求項１７】
前記検査の実行は前記少なくとも１つの無線クライアントのソフトウエア、ファームウエア又はハードウエアを検査することを含む、請求項１６記載の方法。
【請求項１８】
前記検査の実行はオペレーティングシステム検査、ウイルス検査、ソフトウエアバージョン検査、ソフトウエアパッチ検査、及び変調検査から成るグループの検査タイプを含み、更に前記隔離ネットワークに渡り前記無線クライアントのソフトウエアアップグレードを行うことを含む、請求項１７記載の方法。
【請求項１９】
前記非認証ネットワーク及び前記隔離ネットワークは物理的又は論理的に分離されたネットワークである、請求項１６記載の方法。
【請求項２０】
環境又はポリシーに基づいて前記安全ネットワークから前記隔離ネットワークへ又は前記非認証ネットワークに少なくとも１つの無線クライアントを切り換えることを含む、請求項１６記載の方法。
【請求項１】
ａ） 非認証ネットワークと、
ｂ） 隔離ネットワークと、
ｃ） 安全ネットワークと、
で構成され、クライアントを隔離するための隔離アーキテクチャ
【請求項２】
切換点を制御する前記非認証ネットワークに認証エージェントを、前記切換点を制御する前記認証ネットワークに隔離エージェントを更に含む、請求項１記載のアーキテクチャ。
【請求項３】
ある環境又はポリシーに基づいて前記安全ネットワークのクライアントを隔離ネットワークに又は前記非認証ネットワークに切り換える手段を更に含む、請求項１記載のアーキテクチャ。
【請求項４】
前記手段は、１）環境又はポリシーに基づいて周期的にチェックし、切り換えることによって、２）新たなデータ及び／又は情報が受信され又は到達するときに環境又はポリシーに基づいてクライアントをチェックし、切り換えることによって、及び／又は３）環境又はポリシーに基づいて又はそれらが安全ネットワークに感染されると分かるときクライアントを切り換えることによっての１つ以上に基づいて切り換える手段を含む、請求項３記載のアーキテクチャ。
【請求項５】
前記ネットワークは論理的に分離され、パケット単位暗号化、完全保護及び／又は再生保護がネットワーク間及び／又はクライアント間のトラフィック分離のために使用される、請求項１記載のアーキテクチャ。
【請求項６】
前記認証エージェントは初期認証のため前記非認証ネットワークに接続する、請求項２記載のアーキテクチャ。
【請求項７】
前記認証エージェントは再認証のために前記隔離ネットワーク及び／又は前記安全ネットワークに接続する、請求項２記載のアーキテクチャ。
【請求項８】
前記隔離エージェントは前記クライアントを検査し、この検査が失敗すると、前記隔離エージェントは前記クライアントソフトウエアをアップグレードすることをクライアントになさせる、又は強制させる、請求項２記載のアーキテクチャ。
【請求項９】
前記アップグレードが失敗する、又は不成功ならば、前記クライアントはａ）ネットワークから切り離す、又はｂ）前記非認証ネットワークに再接続する、請求項８記載のアーキテクチャ。
【請求項１０】
クライアントが首尾よく認証され及び有効検査記録が既にクライアントに存在すれば、隔離を省く手段を更に含む、請求項１記載のアーキテクチャ。
【請求項１１】
３つの前記ネットワークの少なくとも幾つかの間のトラフィックがパケット当たりの保護により論理的に分離されることを含み、ＩＰｓｅｃを持つレイヤ３保護を含む、請求項１記載のアーキテクチャ。
【請求項１２】
ＩＥＥＥ ８０２．１Ｘ， ＰＡＮＡ及びＩＫＥｖ２プロトコルが前記エージェントと前記認証エージェントとの間にＥＡＰを搬送するために使用される、請求項２記載のアーキテクチャ。
【請求項１３】
検査情報はエージェントとアプリケーションレイヤプロトコルメッセージで伝えられる隔離エージェントとの間で交換される、請求項２記載のアーキテクチャ。
【請求項１４】
切換点はＩＰｓｅｃゲートウエイと同一箇所にあり、切換及びＩＰアドレス変更はＩＰｓｅｃＳＡを作成又は変形することに基づいている、請求項２記載のアーキテクチャ。
【請求項１５】
切換及びＩＰアドレス変更はネットワーク側によってトリガされる、請求項２記載のアーキテクチャ。
【請求項１６】
少なくとも１つのクライアント装置の隔離ネットワーキングを行う方法であって、ａ）非認証ネットワークに渡って認証エージェントを介して少なくとも１つの無線クライアントの認証を行うこと、ｂ）非認証ネットワークで前記少なくとも１つの無線クライアントの成功した認証により、隔離ネットワークに渡って隔離エージェントを介して前記少なくとも１つの無線クライアントの検査を実行すること、ｃ）少なくとも１つの前記無線クライアントの成功した認証及び検査によって、安全ネットワークに渡って少なくとも１つの前記無線クライアントでアプリケーション処理を行うことを含む、方法。
【請求項１７】
前記検査の実行は前記少なくとも１つの無線クライアントのソフトウエア、ファームウエア又はハードウエアを検査することを含む、請求項１６記載の方法。
【請求項１８】
前記検査の実行はオペレーティングシステム検査、ウイルス検査、ソフトウエアバージョン検査、ソフトウエアパッチ検査、及び変調検査から成るグループの検査タイプを含み、更に前記隔離ネットワークに渡り前記無線クライアントのソフトウエアアップグレードを行うことを含む、請求項１７記載の方法。
【請求項１９】
前記非認証ネットワーク及び前記隔離ネットワークは物理的又は論理的に分離されたネットワークである、請求項１６記載の方法。
【請求項２０】
環境又はポリシーに基づいて前記安全ネットワークから前記隔離ネットワークへ又は前記非認証ネットワークに少なくとも１つの無線クライアントを切り換えることを含む、請求項１６記載の方法。
【図１】
【図２】
【図２】
【公表番号】特表２００８−５０２２０９（Ｐ２００８−５０２２０９Ａ）
【公表日】平成２０年１月２４日（２００８．１．２４）
【国際特許分類】
【出願番号】特願２００７−５１５２７０（Ｐ２００７−５１５２７０）
【出願日】平成１７年５月２４日（２００５．５．２４）
【国際出願番号】ＰＣＴ／ＵＳ２００５／０１８２５８
【国際公開番号】ＷＯ２００５／１１７３５６
【国際公開日】平成１７年１２月８日（２００５．１２．８）
【出願人】（５０６３９２７１３）トーシバ・アメリカ・リサーチ・インコーポレイテッド (1)
【出願人】（５０４４７３６７０）テルコーディア・テクノロジーズ・インコーポレーテッド (72)
【Ｆターム（参考）】
【公表日】平成２０年１月２４日（２００８．１．２４）
【国際特許分類】
【出願日】平成１７年５月２４日（２００５．５．２４）
【国際出願番号】ＰＣＴ／ＵＳ２００５／０１８２５８
【国際公開番号】ＷＯ２００５／１１７３５６
【国際公開日】平成１７年１２月８日（２００５．１２．８）
【出願人】（５０６３９２７１３）トーシバ・アメリカ・リサーチ・インコーポレイテッド (1)
【出願人】（５０４４７３６７０）テルコーディア・テクノロジーズ・インコーポレーテッド (72)
【Ｆターム（参考）】
[ Back to top ]