JP2003132020A - アクセス制御装置及び認証装置及びそれらに関連する装置 - Google Patents

Abstract

(57)【要約】 【課題】 アクセス制御ルールを動的に変更しうる装置
やプログラムを提供することである。 【解決手段】 外部端末２０がＷＥＢサーバ１６に対し
てアクセスを行おうとする。このアクセスが許可されて
いない場合は、アクセス拒否された場合、外部端末２０
は、許可を得るために認証サーバ１８に認証依頼を送信
する。認証サーバ１８は、認証依頼中の署名データに基
づき認証し、正当な者であれば、認証依頼中に含まれて
いた「実行したいアクセス内容」を許可するアクセス制
御ルールを、ファイアーウォール１０に設定するように
依頼する。この依頼に基づき、ファイアーウォール１０
がアクセス制御ルールを設定する。この結果、現在の使
用者に対応したアクセス制御ルールが設定できるので、
円滑なネットワークの利用が可能である。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワーク上の
アクセスコントロールを動的に変更しうる装置及びその
装置を構成するためのプログラムに関する。

【０００２】

【従来の技術】ネットワーク上の各ホスト（端末やサー
バ、クライアント、ルータ等のネットワーク上の１個の
主体）を識別するために、たとえばインターネットでは
ＩＰアドレスと呼ばれるアドレスが用いられている。ネ
ットワーク上の各ホストは、このＩＰアドレスを用いて
通信の相手先を指定している。

【０００３】しかし、ネットワーク上の各ホストが自由
に他のホストにアクセスできるわけではない。一般にセ
キュリティ上の問題や、管理上の都合により、あるホス
トに対するアクセスが制限されたり、あるホストからの
発信が制限される場合は多い。

【０００４】このような制御をするために、ファイアー
ウォールやルータ、ブリッジと呼ばれる装置が使用され
ており、また、各ホスト毎にアクセスを制御するために
パーソナルファイアーウォールと呼ばれるプログラムも
知られている。

【０００５】

【発明が解決しようとする課題】このように、ファイア
ーウォールやルータ、ブリッジを用いて各種のアクセス
制御が実行されていたが、この制御ルールはＩＰアドレ
スを用いて記述される場合が多い。たとえば、ＩＰアド
レス１００．１００．１００．０からＩＰアドレス１０
０．１００．２００．ＸＸＸに対するアクセスは認めら
れない（ＸＸＸは任意の数）等のようなものである。

【０００６】しかし、近年、ダイヤルアップによるイン
ターネットアクセスに代表されるように、同じＩＰアド
レスが常に同じ人（や装置）に利用されるとは限らない
状況が一般的になっている。このようなＩＰアドレスが
ダイナミックに割り当てられる状況の下では、ＩＰアド
レスを用いた固定的なアクセス制御ルールだけでは実際
の利用形態に対応できない場合も想定される。

【０００７】たとえば、あるＩＰアドレスは今日は課長
が使用しているが、明日は部長が使用するかもしれな
い。この場合、課長と部長のアクセス権限が異なること
も考えられるので、今日と明日で同じ固定的なアクセス
制御ルールでは、実態に対処することは困難である。

【０００８】本発明は、このような課題に鑑みなされた
ものであり、アクセス制御ルールを動的に変更しうる装
置やプログラムを提供することである。

【０００９】

【課題を解決するための手段】上記課題を解決するため
に、本発明は、第１ネットワークと、第２ネットワーク
間のアクセスを制御するアクセス制御装置において、ア
クセス制御ルールが格納されたアクセス制御テーブル
と、前記第１ネットワークから第２ネットワークへのア
クセス要求があった場合に、要求されたアクセスを、前
記アクセス制御テーブルから検索する検索手段と、前記
検索手段が前記アクセスを前記アクセス制御テーブルか
ら見いだせなかった場合に、前記発信元にアクセス拒否
を送信する拒否手段と、前記検索手段が前記発信元を前
記アクセス制御テーブルから見いだせた場合に、前記ア
クセス制御テーブルに格納されたアクセス制御ルールに
基づき、アクセスを実行させるアクセス制御手段と、バ
イオメトリクス認証結果を第３者に渡す認証サーバか
ら、アクセス制御ルールの設定依頼が送信されてきた場
合に、前記アクセス制御テーブルの内容を変更、追加又
は削除するアクセス制御ルール管理手段と、を含むこと
を特徴とするアクセス制御装置である。

【００１０】このような構成によって、アクセス制御ル
ールを動的に変更等することができる。

【００１１】また、本発明は、ネットワークと、前記ネ
ットワークに接続されたホストとのアクセスを制御する
アクセス制御装置において、アクセス制御ルールが格納
されたアクセス制御テーブルと、前記ネットワークから
前記ホストへのアクセス要求があった場合に、要求され
たアクセスを、前記アクセス制御テーブルから検索する
検索手段と、前記検索手段が前記アクセスを前記アクセ
ス制御テーブルから見いだせなかった場合に、前記発信
元にアクセス拒否を送信する拒否手段と、前記検索手段
が前記発信元を前記アクセス制御テーブルから見いだせ
た場合に、前記アクセス制御テーブルに格納されたアク
セス制御ルールに基づき、アクセスを実行させるアクセ
ス制御手段と、バイオメトリクス認証結果を第３者に渡
す認証サーバから、アクセス制御ルールの設定依頼が送
信されてきた場合に、前記アクセス制御テーブルの内容
を変更、追加又は削除するアクセス制御ルール管理手段
と、を含むことを特徴とするアクセス制御装置である。

【００１２】このような構成によって、パーソナルファ
イアーウォールにおいてもアクセス制御ルールを動的に
変更等することができる。

【００１３】また、本発明は、認証すべき人のバイオメ
トリックデータが予め格納されている認証テーブルと、
実行したい希望アクセス内容とバイオメトリックデータ
とを含む認証依頼を受信した場合に、前記バイオメトリ
ックデータを前記認証テーブル中から検索する検索手段
と、前記検索手段が前記バイオメトリックデータを前記
認証テーブル中から見いだせた場合に、前記認証依頼に
含まれる希望アクセス内容を許可するようなアクセス制
御ルールを設定するように外部のアクセス制御装置に依
頼する依頼手段と、を含むことを特徴とする認証装置で
ある。

【００１４】このような構成によって、バイオメトリッ
クデータによる認証結果を外部に送信することができ
る。

【００１５】また、本発明は、ネットワーク上の所定の
ホストにアクセスしようとした際に、そのアクセスが拒
否された場合に、所定の認証装置に認証依頼を送信する
認証依頼手段、を含み、前記認証依頼には、自己を示す
識別子と、自己が実行しようとする希望アクセス内容
と、自己を示すデータであるバイオメトリックデータ
と、が含まれることを特徴とするネットワークアクセス
装置である。

【００１６】このような構成によって、アクセスが拒否
された場合に自動的に認証依頼を発することができる。

【００１７】以下に述べる手段は、上記装置に関する手
段を、プログラムとして表現したものであり、その本質
的な特徴・作用は、上記装置に関する手段と同様であ
る。

【００１８】すなわち、本発明は、第１ネットワーク
と、第２ネットワーク間のアクセスを制御するアクセス
制御ルールが格納されたアクセス制御テーブルを備えた
コンピュータを、前記第１ネットワークと、前記第２ネ
ットワーク間のアクセスを制御するアクセス制御装置と
して動作させるためのプログラムにおいて、 前記コン
ピュータに、前記第１ネットワークから第２ネットワー
クへのアクセス要求があった場合に、要求されたアクセ
スを、前記アクセス制御テーブルから検索する検索手順
と、 前記検索手順において前記アクセスを前記アクセ
ス制御テーブルから見いだせなかった場合に、前記発信
元にアクセス拒否を送信する拒否手順と、前記検索手順
において前記発信元を前記アクセス制御テーブルから見
いだせた場合に、前記アクセス制御テーブルに格納され
たアクセス制御ルールに基づき、アクセスを実行させる
アクセス制御手順と、バイオメトリクス認証結果を第３
者に渡す認証サーバから、アクセス制御ルールの設定依
頼が送信されてきた場合に、前記アクセス制御テーブル
の内容を変更、追加又は削除するアクセス制御ルール管
理手順と、を実行させることを特徴とするアクセス制御
プログラムである。

【００１９】また、本発明は、ネットワークと、前記ネ
ットワークに接続されたホストとのアクセスを制御する
アクセス制御ルールが格納されたアクセス制御テーブル
を備えたコンピュータを、前記ネットワークと、前記ネ
ットワークに接続された前記ホストとのアクセスを制御
するアクセス制御装置として動作させるプログラムにお
いて、前記コンピュータに、前記ネットワークから前記
ホストへのアクセス要求があった場合に、要求されたア
クセスを、前記アクセス制御テーブルから検索する検索
手順と、前記検索手順において前記アクセスを前記アク
セス制御テーブルから見いだせなかった場合に、前記発
信元にアクセス拒否を送信する拒否手順と、前記検索手
順において前記発信元を前記アクセス制御テーブルから
見いだせた場合に、前記アクセス制御テーブルに格納さ
れたアクセス制御ルールに基づき、アクセスを実行させ
るアクセス制御手順と、バイオメトリクス認証結果を第
３者に渡す認証サーバから、アクセス制御ルールの設定
依頼が送信されてきた場合に、前記アクセス制御テーブ
ルの内容を変更、追加又は削除するアクセス制御ルール
管理手順と、を実行させることを特徴とするアクセス制
御プログラムである。

【００２０】また、本発明は、認証すべき人のバイオメ
トリックデータが予め格納されている認証テーブルを備
えたコンピュータを、認証装置として動作させるプログ
ラムにおいて、前記コンピュータに、実行したい希望ア
クセス内容とバイオメトリックデータとを含む認証依頼
を受信した場合に、前記バイオメトリックデータを前記
認証テーブル中から検索する検索手順と、前記検索手順
において前記バイオメトリックデータを前記認証テーブ
ル中から見いだせた場合に、前記認証依頼に含まれる希
望アクセス内容を許可するようなアクセス制御ルールを
設定するように外部のアクセス制御装置に依頼する依頼
手順と、を実行させることを特徴とする認証プログラム
である。

【００２１】

【発明の実施の形態】以下、本発明の好適な実施の形態
を図面に基づいて説明する。

【００２２】実施の形態１（ファイアーウォール） 図１には、本発明の好適な実施の形態であるファイアー
ウォール１０を含むネットワーク構成図が示されてい
る。

【００２３】この図に示すように、ファイアーウォール
１０は、インターネット１２と、ローカルネットワーク
１４とに接続している。このローカルネットワーク１４
には、ＷＥＢサーバ１６と認証サーバ１８とが接続して
いる。また、インターネット１２には、外部端末２０が
接続している。

【００２４】このファイアーウォール１０は、請求の範
囲の「アクセス制御装置」の一例に相当する。また、認
証サーバ１８は、請求の範囲の「認証装置」の一例に相
当する。また、外部端末２０は、請求の範囲の「ネット
ワークアクセス装置」の一例に相当する。

【００２５】インターネット１２側の外部端末２０から
は、ローカルネットワーク１４内のアドレスは直接見え
ずに、ローカルネットワーク１４に対して代表となるＩ
Ｐアドレスが１個割り当てられている。この代表となる
ＩＰアドレスは直接的には、ファイアーウォール１０の
ＩＰアドレスである。

【００２６】外部端末２０からローカルネットワーク１
４のＷＥＢサーバ１６にアクセスする場合には、この代
表的なＩＰアドレス（ファイアーウォール１０のＩＰア
ドレス）にアクセスし、利用するポート番号としてたと
えば８０を指定するのである。このポート番号によっ
て、ファイアーウォール１０は、外部端末２０がＷＥＢ
サービスを利用したいということを知り、外部端末２０
からのアクセスをＷＥＢサーバ１６に送り出すのであ
る。

【００２７】なお、ここでは、ＷＥＢサービスのポート
番号として８０を利用したが、その他のポート番号でも
良い。このようにポート番号で指定することによって、
ローカルネットワーク１４内の各ホストを識別してい
る。

【００２８】ファイアーウォール１０の構成 ファイアーウォール１０の構成ブロック図が図２に示さ
れている。この図に示すように、ファイアーウォール１
０は、インターネット１２の外部端末２０からのアクセ
ス要求を受け、その要求されたアクセスをアクセス制御
テーブル２６中のアクセス制御ルールから検索する検索
手段２２と、検索した結果、見いだせなかった場合にそ
のアクセスを拒否する拒否手段２４とが備えられてい
る。

【００２９】また、ファイアーウォール１０は、検索手
段２２が、要求されたアクセスを、アクセス制御テーブ
ル２６中から見いだした場合に、その要求されたアクセ
スを実行するアクセス制御手段２８と、アクセス制御テ
ーブル２６の内容であるアクセス制御ルールを管理する
アクセス制御ルール管理手段３０とを備えている。

【００３０】本実施の形態において特徴的なことはアク
セス制御テーブル２６中のアクセス制御ルールが動的に
追加、変更、削除される点である。この点に関しては、
後に詳述する。

【００３１】アクセス制御ルールは、一般に、認められ
るアクセスを記述したものであり、アクセス制御テーブ
ル２６は複数のアクセス制御ルールを集めた表である。

【００３２】アクセス制御テーブル２６の内容を表す説
明図が図３に示されている。この図に示すように、アク
セス制御テーブル２６の各エントリー（すなわち、認め
られるアクセスを記述したアクセス制御ルール）は、発
信元の情報と、発信先の情報と、から構成されている。
発信元の情報とは、発信元のＩＰアドレス及びポート番
号であり、発信先の情報とは、発信先のＩＰアドレス及
びポート番号である。なお、この表中Ｘはいわゆるワイ
ルドカードであり、すべての番号を表す記号である。ま
た、表中では、ある特定の数字が記述される例を示して
いるが、一定の範囲、たとえば１００．１００．１０
０．１００〜１００．１００．１００．３００のような
範囲で示しても良い。ファイアーウォール１０は、この
図３の表に示されていない組み合わせのアクセスを拒否
する。

【００３３】なお、ファイアーウォール１０中の検索手
段２２、アクセス拒否手段２４、アクセス制御手段２
８、アクセス制御ルール管理手段３０は、プログラムと
そのプログラムを実行するプロセッサから構成されるこ
とが好ましい。また、アクセス制御テーブル２６はハー
ドディスク等の上に構築されることが好ましい。このプ
ロセッサとは、請求の範囲の「コンピュータ」の一例に
相当する。

【００３４】認証サーバ１８の構成 認証サーバ１８の構成ブロック図が図４に示されてい
る。本実施の形態における認証サーバ１８は、バイオメ
トリックデータによって個人認証を行うサーバである。
バイオメトリックデータとしては署名データを利用して
いるが、他のバイオメトリックデータ、たとえば指紋デ
ータや、網膜パターン等でもかまわない。

【００３５】図４に示すように、認証サーバ１８は、署
名データが予め登録されている認証テーブル４０と、外
部からの依頼によって認証テーブル４０を検索する検索
手段４２とを備えている。また、認証サーバ１８は、フ
ァイアーウォール１０等のアクセス制御装置に、アクセ
ス制御ルールの調整（追加、変更、削除など）を依頼す
る依頼手段４４を備えている。このような構成によっ
て、署名データによって認証された利用者が希望するア
クセスを許可するようなアクセス制御ルールがファイア
ーウォール１０に設定される。

【００３６】なお、検索手段４２、依頼手段４４は、プ
ログラムとこのプログラムを実行するプロセッサとから
構成することが望ましい。また、認証テーブル４０はハ
ードディスク等の上に構築することが望ましい。

【００３７】外部端末２０の構成 外部端末２０の構成ブロック図が図５に示されている。
この図に示すように、外部端末２０は、ＷＥＢサーバ１
６に接続し、ＷＥＢページを閲覧するためのＷＥＢ閲覧
手段４６と、アクセスが拒否された場合に外部の認証サ
ーバ１８に認証を依頼する認証依頼手段４８と、を備え
ている。

【００３８】ＷＥＢ閲覧手段４６は、いわゆるブラウザ
と呼ばれるプログラム（及びそれを実行するプロセッ
サ）で構成することが望ましい。このプログラムを用い
てＷＥＢサーバ１６が提供するＷＥＢページをディスプ
レイ４９に表示する。認証依頼手段４８も、プログラム
とそれを実行するプロセッサから構成されることが望ま
しい。したがって典型的には、この外部端末２０はブラ
ウザなどのプログラムがインストールされたコンピュー
タで実現される。もちろん、ＰＤＡ（Personal Digital
Assistant）や携帯電話等、インターネット１２に接続
しうる装置であればそのような装置でもかまわない。

【００３９】動作 以下、本実施の形態におけるアクセスの処理の流れをフ
ローチャートに基づき説明する。図６、図７には、この
動作を表すフローチャートが示されている。

【００４０】まず、ステップＳ６−１においては、外部
端末２０がＷＥＢサーバ１６に対してアクセスを行おう
とする。このアクセスは、ＷＥＢ閲覧手段４６によって
実行される。

【００４１】ステップＳ６−２においては、このアクセ
ス要求は、ファイアーウォール１０に受信され、ファイ
アーウォール１０がこのアクセスがアクセス制御テーブ
ルに記載されているか検索が行われる。この検索は、検
索手段２２によって実行される。検索は、発信元と発信
先のＩＰアドレス及びポート番号が、アクセス制御テー
ブル２６中に記載されているか否かを検査することによ
って実行される。記載されていれば、それはアクセスが
許可されていることを意味し、ステップＳ６−３に処理
が移行する。一方、記載されていない場合は、ステップ
Ｓ６−４に処理が移行する。

【００４２】ステップＳ６−３においては、アクセスが
許可されているので、そのままアクセスを認める。すな
わち、ＷＥＢサーバ１６（ポート番号：８０）に外部端
末２０からの送信データを転送するのである。

【００４３】ステップＳ６−４においては、許可されて
いない者からのアクセスであると判断し、アクセス拒否
を外部端末２０に送信する。この拒否動作は、アクセス
拒否手段２４によって実行される。

【００４４】ステップＳ６−５においては、アクセスを
拒否された外部端末２０が許可を得るために認証サーバ
１８に認証依頼を送信する。認証依頼手段４８がこの動
作を実行する。本実施の形態において特徴的なことは、
この認証依頼中に、外部端末２０の利用者のＩＤと利用
者の署名データとが含まれていることである。さらに、
認証依頼中には、実行したいアクセスの内容を含むこと
ができる。

【００４５】なお、このＩＤは、請求の範囲の「識別
子」の一例である。また、署名データは請求の範囲中の
「バイオメトリックデータ」の一例である。また、実行
したいアクセスの内容は、請求の範囲中の「希望アクセ
ス内容」に該当する。この実行したいアクセスの内容
は、自己のＩＰアドレスやポート番号、及びアクセスの
相手先のＩＰアドレスやポート番号が含まれる。また、
実行したいアクセスの内容中に、アクセスを開始したい
時刻や、終了したい時刻を含めても良い。

【００４６】実行したいアクセスの内容（希望アクセス
内容）は、サーバ側のポリシーとの組み合わせで、実際
のアクセスルールがファイアーウォール１０に適用され
る。なお、サーバ側とは、認証サーバ１８（認証装
置）、ファイアーウォール１０（アクセス制御装置のい
ずれかを言う。しかし、認証サーバ１８がポリシーを持
つのが一般的であろう。たとえば、外部端末２０（クラ
イアント）から社員Ａのアカウントで役員ＢのＰＣに対
するアクセス許可を希望した場合でも、認証装置側に役
員のＰＣには役員自身が認証を行わないとアクセスを許
可しないようにポリシー設定されている場合その希望は
許可されない。極端に言えば、外部端末２０（クライア
ント）側から希望が出されなくても認証サーバ１８（認
証装置）側に設定されたポリシーにしたがってファイア
ーウォール１０（アクセス制御装置）にルールを適用す
ることも好ましい。

【００４７】この認証サーバ１８のポート番号はたとえ
ば９９９９に設定されており、誰でもアクセスが許可さ
れているポートとして設定されている。

【００４８】ステップＳ６−６においては、認証サーバ
１８が上記認証依頼を受信し、認証動作を実行する。具
体的には、認証サーバは１８の検索手段４２が、認証依
頼中の署名データを認証テーブル４０から検索する。そ
の後図７のステップＳ７−１に処理が移行する。

【００４９】ステップＳ７−１において、認証依頼中の
署名データと同一人による署名データであると認められ
るほど近似した署名データが認証テーブル４０中に見い
だされた場合には、ステップＳ７−２に処理が移行し、
アクセス制御ルールの調整が行われる。一方、同一人に
よる署名データと認められる署名データが認証テーブル
４０中になかった場合には、ステップＳ７−４に処理が
移行する。

【００５０】ステップＳ７−２においては、認証依頼中
に含まれていた「実行したいアクセス内容」を許可する
アクセス制御ルールを、ファイアーウォール１０に設定
するように依頼が行われる。この依頼は、依頼手段４４
が実行する。

【００５１】ステップＳ７−３においては、上記依頼に
基づき、ファイアーウォール１０がアクセス制御ルール
をアクセス制御テーブル２６に登録する。

【００５２】このように、本実施の形態によれば、動的
にアクセス制御テーブル２６中のアクセス制御ルールが
調整される。すなわち、一つのＩＰアドレスを複数人が
共有している場合でも、現在の使用者に対応したアクセ
ス制御ルールが設定できるので、円滑なネットワークの
利用が可能である。

【００５３】アクセス制御ルールが変更された後は、外
部端末２０からＷＥＢサーバ１６に対するアクセスが許
可される。具体的には、図６におけるステップＳ６−
１、Ｓ６−２、Ｓ６−３の流れの処理が実行される。

【００５４】ステップＳ７−４においては、認証拒否
（失敗）が外部端末２０に送信される。

【００５５】このように、本実施の形態によれば、バイ
オメトリックデータ（署名データ）により、本人を認証
し、これに基づいてアクセス制御ルールを動的に変更す
る仕組みが実現されている。

【００５６】アクセス制御ルールの調整 上述したように動的に調整（変更、追加、削除）された
アクセス制御ルールは、所定期間経過した場合、又は、
アクセスが所定期間以上なかった場合に、元に戻すこと
が望ましい。これによって、一時的なアクセス制御ルー
ルの調整に対応することができるのである。

【００５７】実施の形態２Ａ（ルータ装置） 実施の形態１では、請求の範囲の「アクセス制御装置」
の例としてファイアーウォール１０を説明したが、ファ
イアーウォールの代わりにルータ装置を利用することも
好ましい。この場合のアクセス制御ルールには、ルーテ
ィング（Routing）・ルールを含むことができる。ま
た、ルータは、２つのネットワーク間に設けられるだけ
でなく、複数のネットワークに接続しうるものであるの
で、このルーティング・ルールも一般的には複数のネッ
トワーク間のルーティングに関するルールである。

【００５８】このようにルータ装置によれば、ＩＰアド
レスの利用者のバイオメトリックデータによって、ルー
ティング・ルールを含めたアクセス制御ルールを動的に
変更することができる。

【００５９】なお、請求の範囲における「アクセス制御
ルール」はアクセスに関するルールであればどのような
ルールでもかまわない。たとえば、グローバルＩＰアド
レスとローカルアドレスとの変換を行うルールでも良
い。

【００６０】実施の形態２Ｂ（ブリッジ） また、ファイアーウォール１０の代わりに、ブリッジと
呼ばれる装置を利用することも好ましい。このブリッジ
はネットワークを接続する装置として知られているが、
この接続状況を表すルールがアクセス制御ルールとな
る。このブリッジも請求の範囲の「アクセス制御装置」
の一例に相当する。

【００６１】この接続状況を表すルールを利用者のバイ
オメトリックデータによって動的に変化させることが可
能である。

【００６２】実施の形態３（認証サーバの一体化） なお、実施の形態１では、ファイアーウォール１０と認
証サーバ１８は別体に構成したが、一体に構成すること
も好ましい。この場合、ファイアーウォール１０中に認
証サーバ１８が組み込まれる形態となる。

【００６３】このような形態を実現するためには、ファ
イアーウォール１０中に、認証サーバ１８の動作を実行
するプログラムを組み込み、またハードディスク等の上
に認証テーブル４０を構築するのが好ましい。

【００６４】この一体に構成した場合は、請求の範囲の
「ネットワーク装置」の一例に相当し、その中のファイ
アーウォール１０に該当する機能は請求の範囲の「アク
セス制御ユニット」に、認証サーバ１８に該当する機能
は請求の範囲の「認証ユニット」に、それぞれ相当す
る。

【００６５】実施の形態４（ホストベースファイアーウ
ォール） 上記の例では、ネットワーク間のファイアーウォール１
０について説明したが、１個のローカル端末５０とイン
ターネット１２との間に設けられるファイアーウォール
にアクセス制御ルールの動的な変更の動作を持たせるこ
とも好ましい。このような１個のローカル端末５０に関
してアクセスの制御を行ってその外部端末を保護する装
置を、本特許明細書では、ホストベースファイアーウォ
ール５２と呼ぶ。

【００６６】このようなホストベースファイアーウォー
ル５２を中心としたネットワーク構成図が図８に示され
ている。この図に示すように、ローカル端末５０は、ホ
ストベースファイアーウォール５２を介してインターネ
ット１２に接続する構成である。このローカル端末５０
上では、ＨＴＴＰプログラムが起動しており、ローカル
端末５０は、ＷＥＢサーバ１６の動作を実行している。
そして、外部端末２０から、このホストベースファイア
ーウォール５２を介してＷＥＢサーバ１６（ローカル端
末５０）に接続しようとする。

【００６７】ホストベースファイアーウォール５２の構
成は、図２に示したファイアーウォール１０とほぼ同様
である。異なる点は、ネットワーク間のアクセス制御で
はなく、ネットワークとローカル端末との間のアクセス
制御を行う点と、アクセス制御ルール管理手段に対する
依頼が、ローカルネットワークではなくインターネット
１２側から来る点である。その他の点は図２の構成と同
様である。

【００６８】また、本実施の形態における動作も、上記
図６及び図７に示した動作と同様である。

【００６９】本実施の形態によれば、ローカル端末５０
を保護するホストベースファイアーウォール５２のアク
セス制御ルールをバイオメトリックデータの一つである
署名データによる認証を介して動的に変更することがで
きる。したがって、同じＩＰアドレスを複数人が共同で
使用する場合等においても、ローカル端末５０を効果的
に保護することができる。

【００７０】なお、このホストベースファイアーウォー
ル５２も、請求の範囲の「アクセス制御装置」の一例に
相当する。

【００７１】実施の形態５（端末との一体化） 実施の形態４では形式的には、ハードウェアでホストベ
ースファイアーウォール５２を構成した。しかし、この
ホストベースファイアーウォール５２をローカル端末５
０上で稼働するプログラムで実現しても良い。

【００７２】実施の形態６Ａ（認証サーバとの一体化） なお、実施の形態４では、ホストベースファイアーウォ
ール５２と認証サーバ１６は別体に構成したが、一体に
構成することも好ましい。この場合、ファイアーウォー
ル１０中に認証サーバ１８が組み込まれる形態となる。

【００７３】このような形態を実現するためには、ホス
トベースファイアーウォール５２中に、認証サーバ１６
の動作を実行するプログラムを組み込み、またハードデ
ィスク等の上に認証テーブル４０を構築するのが好まし
い。

【００７４】このような構成は、請求の範囲の「ネット
ワーク装置」の一例に相当する。

【００７５】実施の形態６Ｂ（端末及び認証サーバとの
一体化） なお、実施の形態６Ａのようにホストベースファイアー
ウォール５２と認証サーバ１８とを一体に構成する場合
も、これらをローカル端末５０上で稼働するプログラム
で実現しても良い。

【００７６】すなわち、ローカル端末５０中に、ホスト
ベースファイアーウォール５２の動作を実行するプログ
ラムを組み込むと共に、ハードディスク等の上にアクセ
ス制御テーブル２６を構築するのである。さらに、ロー
カル端末５０中に、認証サーバ１８の動作を実行するプ
ログラムを組み込み、またハードディスク等の上に認証
テーブル４０を構築するのである。このような構成によ
って、ローカル端末５０上で稼働するプログラムを用い
て、ホストベースファイアーウォール５２及び認証サー
バ１８を実現することができる。

【００７７】

【発明の効果】以上述べたように、本発明によれば、バ
イオメトリックデータによる認証に基づきアクセス制御
ルールを動的に変更等することができるので、アドレス
を利用する者の変更等に迅速に対処することができる。

【図面の簡単な説明】

【図１】本発明の好適な実施の形態１のファイアーウォ
ールを含むネットワーク構成図である。

【図２】ファイアーウォールの構成ブロック図である。

【図３】アクセス制御テーブルの内容を表す説明図であ
る。

【図４】認証サーバの構成ブロック図である。

【図５】外部端末の構成ブロック図である。

【図６】本実施の形態におけるアクセスの処理の流れを
表すフローチャートである。

【図７】本実施の形態におけるアクセスの処理の流れを
表すフローチャートである。

【図８】ホストベースファイアーウォールを中心とした
ネットワーク構成図である。

【符号の説明】

１０ ファイアーウォール １２ インターネット １４ ローカルネットワーク １６ ＷＥＢサーバ １８ 認証サーバ ２０ 外部端末 ２２ 検索手段 ２４ アクセス拒否手段 ２６ アクセス制御テーブル ２８ アクセス制御手段 ３０ アクセス制御ルール管理手段 ４０ 認証テーブル ４２ 検索手段 ４４ 依頼手段 ４６ ＷＥＢ閲覧手段 ４８ 認証依頼手段 ４９ ディスプレイ ５０ ローカル端末 ５２ ホストベースファイアーウォール

Claims (7)

【特許請求の範囲】
1. 【請求項１】 第１ネットワークと、第２ネットワーク
   間のアクセスを制御するアクセス制御装置において、 アクセス制御ルールが格納されたアクセス制御テーブル
   と、 前記第１ネットワークから第２ネットワークへのアクセ
   ス要求があった場合に、要求されたアクセスを、前記ア
   クセス制御テーブルから検索する検索手段と、 前記検索手段が前記アクセスを前記アクセス制御テーブ
   ルから見いだせなかった場合に、前記発信元にアクセス
   拒否を送信する拒否手段と、 前記検索手段が前記発信元を前記アクセス制御テーブル
   から見いだせた場合に、前記アクセス制御テーブルに格
   納されたアクセス制御ルールに基づき、アクセスを実行
   させるアクセス制御手段と、 バイオメトリクス認証結果を第３者に渡す認証サーバか
   ら、アクセス制御ルールの設定依頼が送信されてきた場
   合に、前記アクセス制御テーブルの内容を変更、追加又
   は削除するアクセス制御ルール管理手段と、 を含むことを特徴とするアクセス制御装置。
2. 【請求項２】 ネットワークと、前記ネットワークに接
   続されたホストとのアクセスを制御するアクセス制御装
   置において、 アクセス制御ルールが格納されたアクセス制御テーブル
   と、 前記ネットワークから前記ホストへのアクセス要求があ
   った場合に、要求されたアクセスを、前記アクセス制御
   テーブルから検索する検索手段と、 前記検索手段が前記アクセスを前記アクセス制御テーブ
   ルから見いだせなかった場合に、前記発信元にアクセス
   拒否を送信する拒否手段と、 前記検索手段が前記発信元を前記アクセス制御テーブル
   から見いだせた場合に、前記アクセス制御テーブルに格
   納されたアクセス制御ルールに基づき、アクセスを実行
   させるアクセス制御手段と、 バイオメトリクス認証結果を第３者に渡す認証サーバか
   ら、アクセス制御ルールの設定依頼が送信されてきた場
   合に、前記アクセス制御テーブルの内容を変更、追加又
   は削除するアクセス制御ルール管理手段と、 を含むことを特徴とするアクセス制御装置。
3. 【請求項３】 認証すべき人のバイオメトリックデータ
   が予め格納されている認証テーブルと、 実行したい希望アクセス内容とバイオメトリックデータ
   とを含む認証依頼を受信した場合に、前記バイオメトリ
   ックデータを前記認証テーブル中から検索する検索手段
   と、 前記検索手段が前記バイオメトリックデータを前記認証
   テーブル中から見いだせた場合に、前記認証依頼に含ま
   れる希望アクセス内容を許可するようなアクセス制御ル
   ールを設定するように外部のアクセス制御装置に依頼す
   る依頼手段と、 を含むことを特徴とする認証装置。
4. 【請求項４】 ネットワーク上の所定のホストにアクセ
   スしようとした際に、そのアクセスが拒否された場合
   に、所定の認証装置に認証依頼を送信する認証依頼手
   段、 を含み、 前記認証依頼には、自己を示す識別子と、自己が実行し
   ようとする希望アクセス内容と、自己を示すデータであ
   るバイオメトリックデータと、が含まれることを特徴と
   するネットワークアクセス装置。
5. 【請求項５】 第１ネットワークと、第２ネットワーク
   間のアクセスを制御するアクセス制御ルールが格納され
   たアクセス制御テーブルを備えたコンピュータを、前記
   第１ネットワークと、前記第２ネットワーク間のアクセ
   スを制御するアクセス制御装置として動作させるための
   プログラムにおいて、 前記コンピュータに、 前記第１ネットワークから第２ネットワークへのアクセ
   ス要求があった場合に、要求されたアクセスを、前記ア
   クセス制御テーブルから検索する検索手順と、 前記検索手順において前記アクセスを前記アクセス制御
   テーブルから見いだせなかった場合に、前記発信元にア
   クセス拒否を送信する拒否手順と、 前記検索手順において前記発信元を前記アクセス制御テ
   ーブルから見いだせた場合に、前記アクセス制御テーブ
   ルに格納されたアクセス制御ルールに基づき、アクセス
   を実行させるアクセス制御手順と、 バイオメトリクス認証結果を第３者に渡す認証サーバか
   ら、アクセス制御ルールの設定依頼が送信されてきた場
   合に、前記アクセス制御テーブルの内容を変更、追加又
   は削除するアクセス制御ルール管理手順と、 を実行させることを特徴とするアクセス制御プログラ
   ム。
6. 【請求項６】 ネットワークと、前記ネットワークに接
   続されたホストとのアクセスを制御するアクセス制御ル
   ールが格納されたアクセス制御テーブルを備えたコンピ
   ュータを、前記ネットワークと、前記ネットワークに接
   続された前記ホストとのアクセスを制御するアクセス制
   御装置として動作させるプログラムにおいて、 前記コンピュータに、 前記ネットワークから前記ホストへのアクセス要求があ
   った場合に、要求されたアクセスを、前記アクセス制御
   テーブルから検索する検索手順と、 前記検索手順において前記アクセスを前記アクセス制御
   テーブルから見いだせなかった場合に、前記発信元にア
   クセス拒否を送信する拒否手順と、 前記検索手順において前記発信元を前記アクセス制御テ
   ーブルから見いだせた場合に、前記アクセス制御テーブ
   ルに格納されたアクセス制御ルールに基づき、アクセス
   を実行させるアクセス制御手順と、 バイオメトリクス認証結果を第３者に渡す認証サーバか
   ら、アクセス制御ルールの設定依頼が送信されてきた場
   合に、前記アクセス制御テーブルの内容を変更、追加又
   は削除するアクセス制御ルール管理手順と、 を実行させることを特徴とするアクセス制御プログラ
   ム。
7. 【請求項７】 認証すべき人のバイオメトリックデータ
   が予め格納されている認証テーブルを備えたコンピュー
   タを、認証装置として動作させるプログラムにおいて、 前記コンピュータに、 実行したい希望アクセス内容とバイオメトリックデータ
   とを含む認証依頼を受信した場合に、前記バイオメトリ
   ックデータを前記認証テーブル中から検索する検索手順
   と、 前記検索手順において前記バイオメトリックデータを前
   記認証テーブル中から見いだせた場合に、前記認証依頼
   に含まれる希望アクセス内容を許可するようなアクセス
   制御ルールを設定するように外部のアクセス制御装置に
   依頼する依頼手順と、 を実行させることを特徴とする認証プログラム。