JP5722778B2 - 少なくとも１つのサービスを提供するためのサーバシステムおよびその方法 - Google Patents

Description

本発明は、請求項１のプリアンブルに記載の、少なくとも１つのサービスを提供するためのサーバシステム、請求項２のプリアンブルに記載の、サーバシステムを介してサービスを提供する方法、およびユーザコンピュータ上でアプリケーションプログラムを実行する方法に関する。

少なくとも１つのサービスを提供するためのそのようなサーバシステムは、サーバをユーザコンピュータに接続するためのインターフェースと、ユーザコンピュータを介してサーバにログオンしようとするユーザの個人識別データを要求するように設計された認証手段とを有し、認証に成功した場合、そのサーバシステムはユーザコンピュータにアクセスを許可する。

ここで、サーバとはコンピュータまたはコンピュータシステムと考えられ、それらはサービスまたはデータの形態をしたサービスを提供し、別のユーザコンピュータ、いわゆるクライアントによってアクセスされ得る。このため、サーバは、例えばインターネットなどの通信ネットワークの中心部に設置され、サーバを介して多数のコンピュータおよびコンピュータシステムが相互に接続されてデータのやり取りが行われる。ユーザは、ユーザコンピュータを介してサーバに接続することができ、それによりサーバにアクセスすることができる。

不正ユーザがサーバにアクセスするのを回避するために、従来のサーバでは、ユーザの個人識別データ、例えば事前に決定されたユーザ名とパスワードを求める認証方法が使用されている。そのため、サーバは、ユーザに、ユーザの名前とパスワードを入力するよう要求し、ユーザ名とパスワードが確認された場合にだけ、そのユーザにサーバのサービスへのアクセスを許可する。この認証を弱い認証ともいう。

本発明の目的は、サーバシステムおよびサービスを提供する方法、ならびにアプリケーションプログラムを実行するための方法を提供することであり、それによってサーバシステム動作時の保護が強化され、不正ユーザによるサービスへのアクセスをより高い信頼度で回避することができる。

この目的は、請求項１に記載の特徴を有するサーバシステムによって解決される。

前述のようなサーバシステムはサーバ保護システムを持ち、このサーバ保護システムは、認証手段による認証に成功した後に、ユーザコンピュータ特有の追加識別データと、サーバ上に事前に記憶された識別データとを比較し、ユーザコンピュータ特有の識別データの比較に応じて、ユーザコンピュータに、少なくとも１つのサービスを受けることを許可するように設計される。

また、この目的は、サーバシステムを介したサービスの提供方法によっても解決され、この方法では、ユーザはサーバによって提供されるサービスへのアクセス権を取得するために、ユーザコンピュータを介してサーバに接続し、サーバは認証のためにユーザの個人識別データを要求し、認証に成功した場合に、サーバはユーザコンピュータにアクセスを許可する。これにより、認証に成功した後で、ユーザコンピュータ特有の追加識別データと事前にサーバ上に記憶された識別データとが比較され、そのユーザコンピュータ特有の識別データの比較に応じて、ユーザコンピュータに、少なくとも１つのサービスを受けることが許可される。

本発明では、個人識別データの証明として、ユーザコンピュータ特有の追加識別データの認証を要求し、そのユーザコンピュータ特有の追加識別データの証明に応じて、サーバからサービスへのアクセスが許可されるという基本的な考えに基づいている。ユーザの個人識別データとして、ユーザの名前およびパスワードを使用することができる。一方、ユーザコンピュータ特有の追加識別データとして、例えば、ユーザの追加個人データ、ユーザコンピュータのネットワークアドレス、ユーザコンピュータの所定のアプリケーションプログラムの識別および／または所定の時間窓を使用することができる。ユーザの個人識別データはユーザ自身に由来するものであり、一方で、ユーザコンピュータ特有の追加識別データはユーザ自身に由来するもの、あるいはユーザコンピュータに直接由来するものである。

ユーザコンピュータ特有の識別データがユーザの追加の個人情報である場合、サーバ保護システムは、ユーザに、追加の個人情報、例えばユーザの誕生日や、ユーザの住所などを入力するよう要求し、ユーザは、このユーザコンピュータ特有の識別データをユーザのコンピュータを介してサーバに転送する。

他方、ユーザコンピュータ特有の追加識別データがユーザコンピュータのネットワークアドレスである場合、サーバは、これらのデータを、いわゆるＭＡＣアドレスまたはＩＰアドレスとして、（接続プロトコルのいわゆる「ハンドシェーク」から）サーバへの接続時に自動的に直接ユーザコンピュータから取得する。

ユーザコンピュータ特有の追加識別データがアプリケーションプログラムの識別である場合、例えば、アプリケーションプログラムの名前あるいはアプリケーションプログラムの名前とパスワードといった識別が、アプリケーションプログラムからサーバに直接転送される。

ユーザコンピュータ特有の追加識別データが事前に記述された所定の時間窓の順守である場合、ユーザは、所定の時間窓以内に限ってアクセスすることができ、サーバは、内部時間によってその時間窓の順守を監視する。

また、ユーザコンピュータ特有の追加識別データは、ユーザまたはユーザグループに対して個別に用意することもできる。

したがって、ユーザからのサービスへのアクセスが許可されるのは、ユーザの個人識別データによって認証された後、別のステップにおいて、ユーザコンピュータ特有の追加識別データが証明された場合に限られる。したがって、サービスへのアクセスが許可されるまでの処理は、２つのステップに分けられる。第１のステップでは、いわゆる弱い認証が行われ、個人識別データ、例えばユーザのユーザ名とパスワードだけが要求される。この第１の認証に成功した場合、第２のステップで、ユーザコンピュータ特有の追加識別データの証明が行われる。例えば、ユーザがサーバへのアクセスを試みる時に使用されるユーザコンピュータのネットワークアドレス（ＭＡＣアドレスまたはＩＰアドレス）と、サーバ上に事前に記憶されたネットワークアドレスとが一致するかどうかの証明が行われる。これが該当する場合には、ユーザに、所望のサービスへのアクセスが許可される。言い換えると、この場合、ユーザは、特定のネットワークアドレスを有する所定のユーザコンピュータからのサーバへのアクセスだけが許可される。同様に、例えば、特定のアプリケーションプログラムだけを介して、あるいは特定の時間窓以内に限ってユーザアクセスを許可するには、ユーザの更なる個人情報、ユーザアプリケーションプログラムの識別、または時間窓を、ユーザコンピュータ特有の追加識別データとして要求することもできる。

少なくとも１つのサービスを受けられる権限が、ユーザコンピュータ特有の識別データの証明に応じて、ユーザに許可される。その証明の結果に応じて、異なる対応が取られる。

考えられる例として、証明に成功した場合、すなわち、ユーザコンピュータ特有の追加識別データとサーバ上に事前に記憶された識別データとが整合する場合のみ、ユーザにサービスへのアクセスが許可される。

あるいは、アクセスが許可されるものの、ユーザには別の（偽の）サービスが提供されることも考えられる。これを「ハニーポット（ｈｏｎｅｙ ｐｏｔ）」ともいう。

第３の変形例として考えられるのは、ユーザコンピュータ特有の追加識別データ認証のモニタリングに失敗したとしても、アクセスを許可し、正しいサービスが提供される。しかしながら、そのユーザは特定の監督下に置かれる。

第４の変形例として考えられるのは、認証に失敗した場合に、アクセスはまだ許可されないが、代わりに、ユーザコンピュータ特有の識別データが、追加認証のために更に要求される。この追加認証ステップにも失敗した場合に限り、アクセスが最終的に拒絶される。

前述の対応に加えて、サーバは、正しく認証されないユーザがサーバへアクセスしようと試みている事を、例えばシステム管理者またはその他所定の場所に知らせるという対応を取ることもできる。

サーバは、例えば、所定のデータを提供するデータベースサーバとして設計される。基本的に、ここで述べられているサーバ保護システムは、サービスを提供し、データネットワークを介してユーザコンピュータ（クライアント）からアクセスされ得る、あらゆるサーバシステムにおいて使用することができる。

好ましい実施形態として、少なくとも１つのサービスを受ける許可は、サーバからユーザコンピュータへの接続を遮断した後に削除される。これは、提供された接続がその接続を終了した後で完全に取り除かれ、新たに接続する場合には、第１のステップにおけるユーザの個人識別データの要求と、第２のステップにおけるユーザコンピュータ特有の追加識別データの要求または証明を伴う完全な認証が再度行われるというものである。

サーバは、ユーザコンピュータ特有の識別データを、出来れば検出段階において、認識し、それらのデータをレジストリに記憶する。サーバ上のサーバ保護システムの初期設定の後、最初に検出段階が行われる。検出段階では、ユーザからのユーザコンピュータ特有の識別データ、例えば、ユーザがサーバにログオンする時に使用されるユーザコンピュータのネットワークアドレスが判定され、記憶される。よって、サーバ保護システムの検出段階も、サーバがバックグラウンドで実際に行っている動作と共に処理され、例えば、ユーザコンピュータ特有の識別データを、事前に記録されたデータから読み出すこともできる。

更に、検出段階では、レジストリに記憶された識別データとユーザコンピュータ特有の識別データとが不整合である場合にどのように応答すべきか、調整することで決定することもできる。

検出段階を終了した後に、前述のように通常の動作段階が実行され、検出段階で記憶されたユーザコンピュータ特有の追加識別データが、所望のサービスを受けるアクセス許可のために証明され、この証明の結果に応じてアクセスが許可される。

また、好ましい実施形態として、サーバには、ユーザコンピュータ上の特定のアプリケーションプログラムを介して排他的にアクセスすることができ、その場合、サーバへの接続は、ユーザコンピュータ上のアプリケーションプログラムを介して提供されなければならない。ユーザコンピュータ上のアプリケーションプログラムは、保護機能をさらに高めるために、ユーザコンピュータ上にインストールされたアプリケーション保護システムを介して実行されなければならず、その保護システムは、アプリケーションプログラムを起動し監視するための、管理モジュールと実行時間モニタとを備える。

サーバには、特定のアプリケーションプログラムを介してのみアクセスすることができ、そのアプリケーションプログラムは、ユーザコンピュータ上のアプリケーション保護システムという手段でのみ実施されるので、不正ユーザがサーバにアクセスできないように保護される。よって、このユーザコンピュータ上のアプリケーション保護システムは、そのアプリケーションプログラムの操作および不正実行を防止するように設けられ、従って、ユーザコンピュータ側では、不正ユーザによるサーバへのアクセスが出来ないようにすでに保護されている。

管理モジュールと実行時間モニタとを備えるアプリケーション保護システムは、初期設定段階において、ユーザコンピュータ上のすべてのシステムファイルが管理モジュールによって検出され、それらシステムファイルは識別が付与され、そしてユーザコンピュータ上の第１のレジストリに記憶されるように設計される。初期設定段階において、ユーザコンピュータ上にインストールされたアプリケーションプログラムは事前に管理モジュールに通知されている。次いで、管理モジュールは、どのシステムファイルおよびモジュールがそのアプリケーションプログラムによって使用されているか証明し、そのシステムファイルおよびモジュールは追加的に識別が付与され、そしてユーザコンピュータ上の第２のレジストリに参照リストとして記憶される。

アプリケーションプログラムが管理モジュールを介して排他的に起動されるように、それらの動作が調整され、そして決定される。

アプリケーションプログラムの実施は、実行時間モニタによって監視される。最初に、実行時間モニタはアプリケーションプログラムの識別を作成し、この識別が、事前に管理モジュールに送られているアプリケーションプログラムの識別と一致するかどうかを証明する。この識別が一致しない場合、例えば、プログラムの起動が中断されるといった所定の対応が行われる。識別が一致する場合、アプリケーションプログラムが実行され、そして、実行時間モニタは、システムファイルへのアプリケーションプログラムのアクセスを監視する。

実行時間モニタは、さらに、保護オブジェクトを生成する。保護オブジェクトでは、アプリケーションプログラムが実施されたり、そのアプリケーションプログラムが他のプログラムおよび処理から隔離されたり、といった事が行われる。保護オブジェクトは、そのアプリケーションプログラムが他のプログラムおよび処理からアクセスされることを防止し、例えば、特定のキーボードと特定のモニタを使用するといったように、排他的な動作手段を組み合わせて行われる。従って、他の動作手段を介して、例えば、別のキーボードを使用して、アプリケーションプログラムにアクセスすることはできない。このように、アプリケーション保護システムによって、外部からアプリケーションプログラムへのいかなるコンタクトも防止される。

プログラムを終了させた後で、実行時間モニタは、その保護オブジェクトを完全に除去する。

したがって、アプリケーションプログラムは、安全な環境下で実施される。同時に、アプリケーションプログラムのシステムファイルおよびモジュールへのアクセスが監視され、そのシステムファイルおよびモジュールは、管理モジュールによって事前に検出されたシステムファイルおよびモジュールと一致する必要がある。アプリケーションプログラムがアクセスしようとするシステムファイルの識別と、事前に記憶されたシステムファイルの識別とが一致する場合、アプリケーションプログラムに、システムファイルへのアクセスが許可され、システムファイルがロードされる。これにより、（ユーザコンピュータ上のすべてのシステムファイルを取り扱う）第１のレジストリ内、または（事前にアプリケーションプログラムと関連付けられたシステムファイルを取り扱う）第２のレジストリ内に、そのシステムファイルの識別が存在するかどうかが証明される。システムファイルが見つかり、一致した場合、そのシステムファイルは消去される。他方、システムファイルが一方のまたは両方のレジストリで見つからない場合、アプリケーションプログラムの実施は中断される。

出来れば、相互認証のために、サーバとユーザコンピュータ上のアプリケーション保護システムに、相互通信を行わせる。この認証は、ＩＳＯ／ＩＥＣ９７９８−３規格に準拠して行われ、サーバとアプリケーション保護システムは相互に認証し合い、そのサーバとアプリケーション保護システムの相互認証が成功した場合にのみ、ユーザコンピュータはサーバへの接続が許可される。

また、この目的は、ユーザコンピュータ上のアプリケーションプログラムを実施する方法によっても解決される。この方法では、ユーザコンピュータ上のアプリケーションプログラムは、ユーザコンピュータ上にインストールされたアプリケーション保護システムを介して実施され、そのアプリケーション保護システムは、管理モジュールと、アプリケーションプログラムを起動させ監視するための実行時間モニタとを備える。そのアプリケーションプログラムは、管理モジュールを介して起動され、その実行時間モニタは、アプリケーションプログラムが実施されるときに、アプリケーションプログラムのシステムファイルへのアクセスを監視する。

管理モジュールは、初期設定段階においてシステムファイルを検出し、それらのシステムファイルに識別を付与し、そしてユーザコンピュータ上の第１のレジストリに記憶することができる。初期設定段階において、さらに、どのシステムファイルがアプリケーションプログラムによって使用されるかが証明され、これらのシステムファイルは追加的に識別が付与され、そしてユーザコンピュータ上の第２のレジストリに記憶される。

さらに、アプリケーション保護システムは、保護オブジェクトを提供することができる。保護オブジェクトでは、アプリケーションプログラムが実施されたり、そのアプリケーションプログラムが他のプログラムおよび処理から隔離されたり、といったことが行われる。アプリケーション保護システムを使用してユーザコンピュータ上のアプリケーションプログラムを実施する方法では、外部攻撃から選択されたアプリケーションプログラム、特に、有害なソフトウェアによる操作からの保護が行われる。第２に考えられる可能性として、バージョンおよびライセンシングの制御が考えられ、例えば、ライセンス番号が要求され、そのライセンス番号が一致する場合のみ、アプリケーションプログラムの実施が可能になる。

この方法は２つの基本原理に基づいている。第１の基本原理によれば、正式なあるいは変更が行われたシステムファイル、モジュールまたはデータを含むプログラムが、データ機能を作動するかどうかという認識作業が、アプリケーション保護システムを介して行われる。この作業は、実行時間モニタを使って行われる。第２の基本原理によれば、アプリケーションプログラムが実施される時、そのアプリケーションプログラムを他のプログラムおよび処理から隔離し、外部からアプリケーションプログラムへのアクセスを不可能にする保護オブジェクト内で実施される。保護オブジェクトは、例えば、所定のキーボードと所定のモニタを使用するといったような排他的な動作手段のセットを介してのみ、アプリケーションプログラムへのアクセスを許可し、外部からの他の手段によるアクセスは不可能とする。

特に利点として、ユーザコンピュータ上のアプリケーション保護システムとサーバ上のサーバ保護システム間の相互認証のための協働作業がある。その作業では、アプリケーション保護システムは、サーバへの保護として、アプリケーションプログラムが操作されず、特に安全な環境下で実行されるように保証する。一方で、ユーザコンピュータに対して、サーバシステムは、そのユーザコンピュータが正式なサーバと通信するように保証する。

本発明は、以下の図を用いた例によって説明される。
弱い認証を使用した、ユーザコンピュータのサーバへの接続を示す概略図である。 弱い認証を使用した、ユーザコンピュータのサーバへの接続を示す概略図である。 弱い認証を使用した、ユーザコンピュータのサーバへの接続を示す概略図である。 弱い認証とその後の強い認証を使用した、ユーザコンピュータのサーバへの接続を示す概略図である。 弱い認証とその後の強い認証を使用した、ユーザコンピュータのサーバへの接続を示す概略図である。 弱い認証とその後の強い認証を使用した、ユーザコンピュータのサーバへの接続を示す概略図である。 弱い認証とその後の強い認証を使用した、ユーザコンピュータのサーバへの接続を示す概略図である。 アプリケーション保護システムを使用した、ユーザコンピュータ上のアプリケーションプログラムの実施を示す概略図である。

図１Ａ〜１Ｃによる概略図は、従来の弱い認証を使用した、ユーザコンピュータ２とサーバ１の間の接続を取得するときの過程を示す。サーバ１は、異なるデータベース１０、１１を有するデータベースサーバとして設計される。

サーバ１は、ユーザがユーザコンピュータ２（クライアント）およびサーバ１のインターフェース１３を介してアクセスすることのできるデータ１０３、１１３を、サービスとして提供する。サーバ１のログインアカウント１２が各ユーザに指定され、それを介して、ユーザはサーバ１に接続しログオンすることが出来る。ログインアカウント１２は、さらに、１つまたは複数のデータベース１０、１１のユーザアカウント１０１、１１１に接続される。各ユーザアカウント１０１、１１１は、さらに、１つまたは複数のいわゆるスクローリング１０２、１１２に接続されており、それを介して、データ１０３、１１３のあるデータ量分のアクセスが行われ、ユーザがデータ１０３、１１３にアクセスすることができ、このデータ１０３、１１３を用いて作業できるように、データ１０３、１１３は設計されている。

したがって、データ１０３、１１３へのアクセスは、ユーザコンピュータ２、インターフェース１３、ユーザに指定されたログインアカウント１２、ログインアカウント１２に接続された１つまたは複数のユーザアカウント１０１、１１１、およびスクローリング１０２、１１２を介して、ユーザに許可される。図１Ａは、接続を取得する前の状況を示している。この状況では、ユーザのログインアカウント１２と、ユーザアカウント１０１、１１１、およびスクローリング１０２、１１２との間の接続がすでに取得されている。したがって、これらの接続により、ユーザは、どのデータベース１０、１１へ、どのスクローリング１０２、１１２およびデータ１０３、１１３を用いてアクセスできるかが定義される。

図１Ａに示した例の場合、ログインアカウント１２ａは、ユーザアカウント１０１ａと、ユーザアカウント１０１ａを介してスクローリング１０２ａとに接続されている。したがって、ログインアカウント１２ａを取り扱うユーザは、ログインアカウント１２ａを介して、関連付けられたデータ１０３を含むデータベース１０のスクローリング１０２ａにアクセスすることができる。他方、ログインアカウント１２ｂは、データベース１０のユーザアカウント１０１ｂおよびデータベース１１のユーザアカウント１１１ａに接続され、データベース１０のユーザアカウント１０１ｂは、スクローリング１０２ａ、１０２ｂに接続され、データベース１１のユーザアカウント１１１ａは、スクローリング１１２ａ、１１２ｂに接続されている。したがって、ログインアカウント１２ｂに割り当てられたユーザは、データベース１０のスクローリング１０２ａ、１０２ｂおよびデータベース１１のスクローリング１１２ａ、１１２ｂに関連付けられたデータ１０３、１１３にアクセスすることができる。

接続を取得するために、ユーザは、ユーザコンピュータ２およびインターフェース１３を介して、ユーザに指定されたログインアカウント１２にアクセスする。この接続は図１Ｂに概略的に示されており、例えば、ユーザは、ユーザコンピュータ２ａおよびインターフェース１３を介して、ログインアカウント１２ａにアクセスする。サーバ１は、ユーザのユーザ名とパスワードを要求する、いわゆる弱い認証を実行する。そのユーザ名とパスワードが、事前に決定されたログインアカウント１２のユーザ名とパスワードに一致する場合に認証は成功し、ユーザに、事前に定義された相互接続に従ってデータベース１０、１１にアクセスする許可が付与される。

接続を遮断した後、すなわち、ユーザがログアウトした後、ユーザコンピュータ２から各指定されたログインアカウント１２への接続は中断される。しかしながら、ログインアカウント１２と各ユーザアカウント１０１、１１１との相互接続は維持される。この状況は図１Ｃに示されている。

通常、サーバ１は、ユーザ名とパスワードを要求して弱い認証を行うだけである。しかしながら、これによって実現されるセキュリティの度合いは低い。特に、外部からの攻撃および不正ユーザによるアクセスを防ぐのには不十分であり、ユーザは、指定のログインアカウント１２を介してアクセス権が許可されるやいなや、データ１０３、１１３に無制限にアクセスすることができ、上記データを操作し、最悪の場合には、サーバ１の動作に強い影響を及ぼしてしまう。

したがって、図２Ａ〜２Ｄに示す実施形態では、前述の弱い認証に加えて、強い認証として設計された追加認証ステップが実行される。図２Ａ〜図２Ｄに示す実施形態では、サーバ１はさらに、レジストリ１４を有し、その中に、ユーザコンピュータ２のユーザコンピュータ特有の識別データおよび指定のユーザを参照リストとして記憶している。図２Ａ〜図２Ｄに示すように、ユーザコンピュータ２のサーバ１への接続を取得し、サーバ１がデータ１０３、１１３としてサービスを提供するための認証が実行される。

図２Ａには、接続を取得する前の初期状態が示されている。この状態では、ログインアカウント１２と指定のユーザアカウント１０１、１１１との相互接続は存在しない。

第１のステップで、ユーザは、ユーザコンピュータ２およびサーバ１のインターフェース１３を介した指定のログインアカウント１２への接続を取得し、第１の認証ステップ内では、ユーザの名前とパスワードを要求することにより弱い認証が実行される。これは図２Ｂに示されている。図示の例では、ユーザは、例えば、ユーザコンピュータ２ａを介して指定のログインアカウント１２ａへの接続を取得する。

図２Ｂに示す状況では、ユーザコンピュータ２は、インターフェース１３を介してサーバ１と指定のログインアカウント１２とに接続されている。しかしながら、ログインアカウント１２と指定のユーザアカウント１０１、１１１との相互接続がまだ取得されていないため、ユーザにはデータ１０３、１１３へのアクセスは許可されていない。

第２のステップでは、いわゆる強い認証が行われ、ユーザコンピュータ特有の追加識別データが要求され、そのデータとレジストリ１４に事前に記憶された識別データとが比較される。このユーザコンピュータ特有の識別データは、例えば、ユーザがユーザコンピュータ２を介してサーバ１に転送する、ユーザの追加個人情報とすることができる。あるいは、またはこれに加えて、ユーザコンピュータ２のネットワークアドレス（ＩＰアドレスまたはＭＡＣアドレス）を、ユーザコンピュータ特有の識別データとして監視することもできる。これは、ユーザには、所定のネットワークアドレスを有する特定のユーザコンピュータ２を介したサーバ１へのアクセスだけが許可されるということに基づいている。さらに、事前に定義されたアプリケーションプログラムまたは時間窓の識別を、ユーザコンピュータ特有の追加識別データとして使用することもできる。これにより、特定のアプリケーションプログラムを介してのみ、または事前に定義された時間窓内においてのみ、ユーザのアクセスが許可される。

この第２の認証に成功した場合、ログインアカウント１２のユーザアカウント１０１、１１１への、事前に定義されていた接続が取得される。図２Ｃに示す例では、ログインアカウント１２ａは、例えば、ユーザアカウント１０１ａに接続され、ログインアカウント１２ｂはユーザアカウント１０１ｂ、１１１ａに接続される。したがって、ユーザは、ユーザアカウント１０１、１１１および指定のスクローリング１０２、１１２を介してデータ１０３、１１３にアクセスすることができ、データ１０３、１１３を受け取ることができる。

レジストリ１４に記憶されたユーザコンピューに特有の識別データを使用した第２の認証ステップは、サーバ１上にインストールされたサーバ保護システムを介して行われる。これにより、サーバ１は、まず、ユーザコンピュータ２を指定のログインアカウント１２に接続するための弱い認証を実行することが重要である。これにより、サーバ１に対する認証は終了する。ユーザの、指定されたログインアカウント１２への接続が取得される。しかしながら、この状況では、ログインアカウント１２と指定のユーザアカウント１０１、１１１との間の相互接続がまだ確立されていないため、ユーザは、データ１０３、１１３にアクセスすることができない。さらに別の認証が、サーバ保護システムとユーザコンピュータ特有の追加識別データの監視によってレジストリ１４を介して引き続き行われ、各ログインアカウント１２の監視に応じて、指定のユーザアカウント１０１、１１１に接続される。したがって認証は２段階に分けられる。サーバ１によって実行される第１の認証ステップの後で、サーバ保護システムにより、レジストリ１４を介して第２の認証ステップが行われ、第１および第２の認証の成功に応じて、データ１０３、１１３へのアクセスが許可される。

インターフェース１３を介してユーザコンピュータ２から指定のログインアカウント１２への接続を取得するためのサーバ１の第１の認証、およびユーザコンピュータ特有の識別データを監視することによる第２の認証に成功した場合に、図２Ｃに示されるように、ログインアカウント１２と指定のユーザアカウント１０１、１１１との相互接続が取得され、ユーザはデータベース１０、１１にアクセスすることができる。

一方で、図２Ｄに示すような接続が終了後、ユーザコンピュータ２と指定のログインアカウント１２との間の接続は遮断され、同時に、ログインアカウント１２とユーザアカウント１０１、１１１との間のあらゆる相互接続も削除される。したがって、ログインアカウント１２とユーザアカウント１０１、１１１との間の相互接続は完全に除去され、この相互接続は、新たなログインと新たな認証の成功によって再度取得される。

追加の、強いと名付けられた認証は、ユーザコンピュータ特有の追加識別データを証明することにより実行されるため、サーバ１を動作させるための安全性が大幅に高まる。ユーザコンピュータ特有の識別データの追加証明により、不正ユーザのサーバ１へのアクセスを、特に防止する事が出来る。これによって、例えば、定義されたネットワークアドレスを有する事前に定義されたコンピュータを介してのみ、または特定のアプリケーションプログラムを介してのみ、アクセスが保証される。さらに、アクセスは、特定の時間中にだけ許可されることもできる。

追加認証に成功しない場合には、様々な対応を取ることができる。例えば、認証に成功しない場合には、ユーザのアクセスが完全に拒否されることも考えられる。例えば、ユーザ名とパスワードの要求によって行われる第１の認証にすでに失敗している場合、そのユーザのアクセスは完全に拒否される。同様に、第１の認証に成功したものの、例えば、ユーザからサーバ１へのアクセス時に介されるユーザコンピュータ２のネットワークアドレスと、事前に記憶されたネットワークアドレスとが一致しないという理由から、ユーザコンピュータ特有の識別データの要求によって行われる追加認証に成功しない場合もあてはまる。

しかしながら、アクセスを拒否するのではなく、より柔軟な対応も考えられる。例えば、認証に成功しなかったにも関わらず、ユーザはアクセスを許可される。しかしながら、このユーザには、所望のデータ以外（いわゆるハニーポット）が提供される。また、アクセスが許可され、更に正しい所望のデータも提供されるが、そのユーザは監視下に置かれるような、すなわち、ユーザの行動が特定の方法で監視されることも考えられる。あるいは、最初はアクセスが許可されず、追加認証のための別の識別データが要求され、この追加認証の結果によってのみ、アクセスを許可されるかまたは最終的に拒否されるようなことも考えられる。

追加認証の場合に要求されるユーザコンピュータ特有の識別データは、サーバ１の実動作前の検出段階において検出されることができ、それはレジストリ１４に記憶される。検出段階では、例えば、使用されるべきネットワークアドレスとアプリケーションプログラムが決定されてレジストリ１４に保管される。その場合、サーバ１へのアクセスは、サーバ１の実動作時の後の動作段階において、事前に定義されたネットワークアドレスとアプリケーションプログラムとを用いて、事前に定義されたユーザコンピュータ２を介してのみ可能となる。検出段階では、バックグラウンドにおいてサーバ保護システムも動作し、強い認証または少なくとも完全な強い認証は実行されない。そして、検出段階を終了した後の動作段階において、前述のような認証が成功した場合のみ、アクセスが許可される。

事前に定義されたアプリケーションプログラムを介してのみ、ユーザが排他的にサーバへアクセス許可される場合には、追加保護を行うことが出来る。この追加保護では、アプリケーションプログラムがアプリケーション保護システムによってユーザコンピュータ２上で実施される場合には、任意のユーザコンピュータおよび任意のアプリケーションプログラムを介した、不正ユーザのサーバ１へのアクセスを最初から排除することが出来る。

図３に、ユーザコンピュータ２上にインストールされたアプリケーションプログラム２４の概略図を示す。ここでは、ユーザコンピュータ２上に、プロテクションウォール２１（ファイアウォール）およびウィルススキャナ２２がインストールされており、外部からユーザコンピュータ２へのアクセス、ならびに有害なソフトウェアによる操作を、公知の方法で可能な限り防止している。加えて、ユーザコンピュータ２上には、管理モジュール２３０と、アプリケーションプログラム２４の起動および実施を監視する実行時間モニタ２３１とを備えるアプリケーション保護システム２３もインストールされている。

アプリケーション保護システム２３の管理モジュール２３０は管理機能として動作する。管理モジュール２３０は、初期設定段階において、ユーザコンピュータ２上のすべてのシステムファイルを検出し、そのファイルを参照リストとしてレジストリに記憶する。それによって、管理モジュール２３０は、システムファイルごと、モジュールごとに、例えば、暗号学的ハッシュ値やディジタル署名のような識別を検出し、それらをレジストリに保管する。保護されるべきアプリケーションプログラム２４の識別が管理モジュール２３０に伝えられ、管理モジュール２３０は、アプリケーションプログラム２４がアクセスすることのできるユーザコンピュータ２上のシステムファイルおよびモジュールを、アプリケーションプログラム２４に対して検出する。さらに、管理モジュール２３０は、そのように検出されたシステムファイルごとに識別を検出し、それらの識別結果を、アプリケーションプログラム２４の識別と共に異なるレジストリに記憶する。

さらに、アプリケーションプログラム２４の排他的起動が、管理モジュール２３０を介して決定される。これに伴い、管理モジュール２３０を介さずにアプリケーションプログラム２４を起動させようとするいかなる試みも最初から排除される。

アプリケーションプログラム２４は、このアプリケーションプログラムを実行するための管理モジュール２３０を介して起動される。次いで、アプリケーションプログラム２４の実施は実行時間モニタ２３１によって監視される。実行時間モニタ２３１は、まず、この時のアプリケーションプログラム２４の識別を、管理モジュール２３０によってレジストリに事前に記憶されたアプリケーションプログラム２４の識別と比較する。この識別が一致した場合に限り、アプリケーションプログラム２４の起動および実施が許可される。

実行時間モニタ２３１は、オペレーティングシステムオブジェクトとして保護オブジェクト２５を生成し、これに特定の保護特性を与える。アプリケーションプログラム２４はこの保護オブジェクト２５において実施され、保護オブジェクト２５は、アプリケーションプログラム２４を、ユーザコンピュータ２上の他のすべてのプログラムおよび処理から隔離し、外部からのアプリケーションプログラム２４へのあらゆるコンタクトを不可能にする。そのため、保護オブジェクト２５は、アプリケーションプログラム２４を制御するために、排他的な動作手段のセット、例えば、特定のキーボードと特定のモニタを有する。

アプリケーションプログラム２４は、動作終了するまで保護オブジェクト２５において実行される。アプリケーションプログラム２４が終了した後、保護オブジェクト２５は完全に除去される。

アプリケーションプログラム２４が実施される間、実行時間モニタ２３１は、ユーザコンピュータ２上のシステムファイルまたはモジュールに対するアプリケーションプログラム２４の要求をその都度監視し、そのシステムファイルまたはモジュールの識別が、初期設定段階で管理モジュール２３０によって事前に記憶したレジストリに存在するかどうかの証明を行う。ここで、実行時間モニタ２３１は、そのシステムファイルの識別が、ユーザコンピュータ２上のすべてのシステムファイルのレジストリに、またはアプリケーションプログラム２４に指定されたシステムファイルまたはモジュールのレジストリに含まれているかどうかを証明する。要求されたシステムファイルがこれらのレジストリの一方または両方に含まれていない場合、アプリケーションプログラム２４の実施は中断される。システムファイルが両方のレジストリに存在する場合、要求されたシステムファイルまたは要求されたモジュールは承認され、アプリケーションプログラム２４の実施が続行される。

アプリケーションプログラム２４の実施は、アプリケーション保護システム２３によって監視、制御され、このようにして、外部からの、例えば、有害なソフトウェアによる攻撃から保護される。同時に、例えば、アプリケーションプログラム２４の実施時に有効なライセンス番号が使用されているかどうかチェックすることにより、アプリケーション保護システム２３は、バージョンおよびライセンス制御を行うことができる。

好ましい実施形態では、ユーザコンピュータ２のアプリケーション保護システム２３とサーバ１のサーバ保護システムとが協働する。アプリケーション保護システム２３はサーバ１と通信し、サーバ１とアプリケーション保護システム２３とが相互に認証し合う。この通信は、例えば、ＩＳＯ／ＩＥＣ９７９８−３規格によって行われる。その場合、アプリケーション保護システムは、第１のステップでサーバ１にコンタクトする。第２のステップで、アプリケーション保護システム２３とサーバ１とは相互認証を行い、相互認証によって、サーバ１はアプリケーションプログラム２４が操作されていないことを認識し、一方、ユーザコンピュータ２は正しいサーバ１と確実に通信することができる。

好ましくは、異なるコンピュータ同士やコンピュータシステム同士のデータ交換のための周知な通信ネットワークであるインターネットを介して、前述の例におけるサーバ１とユーザコンピュータ２の間の通信が行われる。

本発明の基礎的な考えとして、前述の実施形態だけに限定されるものではなく、全く異なる実施形態によっても実現され得る。前述の保護システムは、特に、データベースサーバの用途だけに限定されるものではなく、サーバを保護するために一般的に使用することもできる。さらに、前述のシステムは、アクセス規則違反を分析するための法的手段として使用することもできる。
なお、本願に含まれる発明を例示的に記載すれば、以下の通りである。
［１］
サーバをユーザコンピュータに接続するためのインターフェースと、
前記ユーザコンピュータを介して前記サーバにログオンする前記ユーザの個人識別データを要求し、認証に成功した場合に、前記ユーザコンピュータのアクセスを許可するように設計された認証手段と
を備える、少なくとも１つのサービスを提供するためのサーバシステムであって、
前記認証手段による認証に成功した後で、ユーザコンピュータ特有の追加識別データと前記サーバ（１）上に事前に記憶された識別データとを比較し、
前記ユーザコンピュータ特有の識別データの前記比較に応じて、前記ユーザコンピュータ（２）に前記少なくとも１つのサービス（１０３、１１３）へのアクセスする権限を許可するように設計されたサーバ保護システムを特徴とする、サーバシステム。
［２］
ユーザが、サーバによって提供されるサービスへのアクセス権を取得するために、ユーザコンピュータを介してサーバにログオンし、
前記サーバが認証のために前記ユーザの個人識別データを要求し、
認証に成功した後で、前記サーバが前記ユーザコンピュータへアクセスを許可する、サーバシステムを介した少なくとも１つのサービスを提供する方法であって、
認証に成功した後で、ユーザコンピュータ特有の追加識別データと、前記サーバ（１）上に事前に記憶された識別データとが比較されるステップと、
前記ユーザコンピュータ特有の識別データの前記比較に応じて、前記ユーザコンピュータ（２）に前記少なくとも１つのサービス（１０３、１１３）へアクセスする権限が許可されるステップと、を特徴とする、方法。
［３］
前記ユーザコンピュータ特有の追加識別データと事前に記憶された前記識別データとが相関関係を有する場合に限り、前記少なくとも１つのサービス（１０３、１１３）に前記ユーザコンピュータ（２）はアクセスできることを特徴とする、前記［２］に記載の方法。
［４］
前記ユーザの前記個人識別データは、ユーザ名とパスワードであることを特徴とする、前記［２］または［３］に記載の方法。
［５］
前記ユーザコンピュータ特有の追加識別データは、ユーザの個人データ、前記ユーザコンピュータ（２）のネットワークアドレス、前記ユーザコンピュータ（２）のアプリケーションプログラム（２４）、および／または所定の時間窓であることを特徴とする、前記［２］から［４］のいずれか一項に記載の方法。
［６］
前記ユーザは、前記ユーザコンピュータ（２）を介して前記サーバ（１）に前記ユーザコンピュータ特有の識別データを転送することを特徴とする、前記［２］から［５］のいずれか一項に記載の方法。
［７］
前記ユーザコンピュータ（２）は、前記ユーザコンピュータ特有の識別データを前記サーバ（１）に自動的に転送することを特徴とする、前記［２］から［５］のいずれか一項に記載の方法。
［８］
前記サーバはデータベースサーバ（１）として設けられ、前記データベースサーバ（１）によって提供される前記サービスは所定のデータ（１０３、１１３）の提供から成ることを特徴とする、前記［２］から［７］のいずれか一項に記載の方法。
［９］
前記サーバ（１）の前記ユーザコンピュータ（２）への前記接続を遮断した後で、前記少なくとも１つのサービス（１０３、１１３）を受けられるための前記権限が削除されることを特徴とする、前記［２］から［８］のいずれか一項に記載の方法。
［１０］
検出段階において、前記ユーザコンピュータ特有の識別データは、前記サーバ（１）によって登録され、レジストリ（１４）に記憶されることを特徴とする、請求項［２］から［９］のいずれか一項に記載の方法。
［１１］
前記検出段階において、前記ユーザコンピュータ特有の識別データと、前記レジストリ（１４）に記憶された前記識別データとの不整合に対してどのように応答すべきかが決定されることを特徴とする、前記［１０］に記載の方法。
［１２］
前記ユーザコンピュータ（２）のアプリケーションプログラム（２４）が、前記サーバ（１）への前記接続を提供することを特徴とする、前記［２］から［１１］のいずれか一項に記載の方法。
［１３］
前記ユーザコンピュータ（２）の前記アプリケーションプログラム（２４）は、前記ユーザコンピュータ（２）上にインストールされた、管理モジュール（２３０）と、前記アプリケーションプログラム（２４）を起動し監視する実行時間モニタ（２３１）とを備えるアプリケーション保護システム（２３）によって実施されることを特徴とする、前記［１２］に記載の方法。
［１４］
前記管理モジュール（２３０）は、初期設定段階においてシステムファイルを検出し、前記システムファイルに識別を付与し、前記システムファイルを前記ユーザコンピュータ（２）の第１のレジストリに記憶することを特徴とする、前記［１３］に記載の方法。
［１５］
前記初期設定段階において、アプリケーションプログラム（２４）に対して、どのシステムファイルが前記アプリケーションプログラム（２４）に使用されるかが調べられ、前記システムファイルに追加の識別が付与され、前記システムファイルは前記ユーザコンピュータ（２）の第２のレジストリに記憶されることを特徴とする、前記［１４］に記載の方法。
［１６］
前記アプリケーションプログラム（２４）は、前記管理モジュール（２３０）を介して排他的に起動されることを特徴とする、前記［１３］から［１５］のいずれか一項に記載の方法。
［１７］
前記実行時間モニタ（２３１）は、前記アプリケーションプログラム（２４）が実施されると、前記アプリケーションプログラム（２４）による前記システムファイルへの前記アクセスを監視することを特徴とする、前記［１３］から［１６］のいずれか一項に記載の方法。
［１８］
前記アプリケーション保護システム（２３）は、前記アプリケーションプログラム（２４）がそこで実行され、前記アプリケーションプログラム（２４）を他のプログラムおよび処理から隔離する保護オブジェクト（２５）を提供することを特徴とする、前記［１３］から［１７］のいずれか一項に記載の方法。
「１９」
前記アプリケーション保護システム（２３）と前記サーバ（１）とは、相互認証のために相互に通信し合うことを特徴とする、前記［１３］から［１８］のいずれか一項に記載の方法。
［２０］
前記アプリケーション保護システム（２３）と前記サーバ（１）との前記通信は、ＩＳＯ／ＩＥＣ９７９８／３／規格に従って行われることを特徴とする、前記［１９］に記載の方法。
［２１］
ユーザコンピュータ上でアプリケーションプログラムを実行する方法であって、前記ユーザコンピュータ（２）の前記アプリケーションプログラム（２４）は、前記ユーザのコンピュータ（２）上にインストールされた、管理モジュール（２３０）と、前記アプリケーションプログラム（２４）を起動し監視する実行時間モニタ（２３１）とを備えるアプリケーション保護システム（２３）を介して実行され、
その方法は、前記アプリケーションプログラム（２４）が前記管理モジュール（２３０）を介して起動されるステップと、
前記実行時間モニタ（２３１）が、前記アプリケーションプログラム（２４）が実行されると、前記アプリケーションプログラム（２４）のシステムファイルへのアクセスを監視するステップと、を含む、方法。
［２２］
前記管理モジュール（２３０）は、初期設定段階においてシステムファイルを検出し、前記システムファイルに識別を付与し、前記システムファイルを前記ユーザコンピュータ（２）の第１のレジストリに記憶することを特徴とする、前記［２１］に記載の方法。
［２３］
前記初期設定段階において、アプリケーションプログラム（２４）に対して、どのシステムファイルが前記アプリケーションプログラム（２４）に使用されるかが証明され、前記システムファイルに追加の識別が付与され、前記システムファイルは前記ユーザコンピュータ（２）の第２のレジストリに記憶されることを特徴とする、前記［２１］または［２２］に記載の方法。
［２４］
前記アプリケーション保護システム（２３）は、前記アプリケーションプログラム（２４）がそこで実施され、前記アプリケーションプログラム（２４）を他のプログラムおよび処理から隔離する保護オブジェクト（２５）を提供することを特徴とする、前記［２１］から［２３］のいずれか一項に記載の方法。

１ サーバ
１０、１１ データベース
１０１、１１１、１０１ａ、１０１ｂ、１１１ａ、１１１ｂ ユーザのアカウント
１０２、１１２、１０２ａ、１０２ｂ、１１２ａ、１１２ｂ スクローリング
１０３、１１３ データ
１２、１２ａ、１２ｂ、１２ｃ ログインアカウント
１３ インターフェース
１４ レジストリ
２、２ａ、２ｂ、２ｃ ユーザコンピュータ
２１ ファイアウォール
２２ ウィルススキャナ
２３ アプリケーション保護システム
２３０ 管理モジュール
２３１ 実行時間モニタ
２４ アプリケーションプログラム
２５ 保護オブジェクト

Claims (8)

1. 少なくとも１つのサービス（１０３、１１３）を提供するためのサーバシステムであって、
   サーバ（１）をユーザコンピュータ（２）に接続するためのインターフェースであって、前記サーバ（１）によって提供されるサービスへのアクセス権を取得するために、ユーザが、前記ユーザコンピュータ（２）を介して前記サーバ（１）にログオンする、インターフェースと、
   ユーザに関連付けられたログインアカウントと、
   前記ログインアカウントと関連付けられた少なくとも１つのユーザアカウントであって、前記ユーザコンピュータが前記サーバシステムに接続される以前の初期状態では、前記ログインアカウントおよび前記少なくとも一つのユーザアカウントは、前記サーバシステム上に存在しているが、互いにリンクされていない、少なくとも１つのユーザアカウントと、
   第１のステップにおいて、前記ユーザコンピュータ（２）を介して前記サーバ（１）にログオンする前記ユーザの個人識別データを要求し、認証に成功した場合に、前記ユーザコンピュータ（２）のアクセスを許可し、かつ、前記認証に成功した場合には、ユーザは前記サーバの前記ログインアカウントへのアクセスを得るように設計された認証手段と、
   を備える、サーバシステムにおいて、
   前記第１のステップで前記認証手段による認証に成功した後で、第２のステップにおいて、前記ユーザコンピュータ（２）特有の追加識別データと、前記サーバ（１）上に事前に記憶された識別データとを比較し、
   前記ユーザコンピュータ（２）特有の識別データの前記比較に応じて、前記ユーザコンピュータ（２）に、前記少なくとも１つのサービス（１０３、１１３）へアクセスする権限を許可するように設計されたサーバ保護システムを備え、
   前記権限の許可に成功した場合には、前記サーバ（１）の前記ログインアカウントと前記少なくとも１つのユーザアカウントとの間のリンクが確立されて、前記少なくとも1つのサービスへのアクセスが許可され、前記リンクは、前記サーバ（１）の前記ユーザコンピュータ（２）への前記接続を遮断した後で、削除される
   ことを特徴とする、サーバシステム。
2. サーバシステムを介した少なくとも１つのサービス（１０３、１１３）を提供する方法であって、
   前記ユーザコンピュータが前記サーバシステムに接続される以前の初期状態では、ユーザに関連付けられたログインアカウントおよび前記ログインアカウントと関連付けられた少なくとも１つのユーザアカウントが、前記サーバシステム上に存在しているが、互いにリンクされておらず、
   サーバ（１）によって提供されるサービスへのアクセス権を取得するために、ユーザが、ユーザコンピュータ（２）を介して前記サーバ（１）にログオンし、
   第１のステップにおいて、前記サーバ（１）が、前記ユーザの認証のために、前記ユーザの個人識別データを要求し、
   前記ユーザの前記認証に成功した後で、前記サーバ（１）が前記ユーザコンピュータ（２）へアクセスを許可し、かつ、前記認証に成功した場合には、ユーザは前記サーバの前記ログインアカウントへのアクセスを得る、
   方法において、
   前記第１のステップで前記ユーザの前記認証に成功した後で、第２のステップにおいて、前記ユーザコンピュータ（２）特有の追加識別データと、前記サーバ（１）上に事前に記憶された識別データとをサーバ保護システムが比較するステップと、
   前記ユーザコンピュータ（２）特有の識別データの前記比較に応じて、前記ユーザコンピュータ（２）に前記少なくとも１つのサービス（１０３、１１３）へアクセスする権限を前記サーバ保護システムが許可するステップと、を備え、
   前記権限の許可に成功した場合には、前記サーバ（１）の前記ログインアカウントと前記少なくとも１つのユーザアカウントとの間のリンクが確立されて、前記少なくとも1つのサービスへのアクセスが許可され、前記リンクは、前記サーバ（１）の前記ユーザコンピュータ（２）への前記接続を遮断した後で、削除される
   ことを特徴とする、方法。
3. 前記ユーザの前記個人識別データは、ユーザ名とパスワードであることを特徴とする、請求項２に記載の方法。
4. 前記ユーザは、前記ユーザコンピュータ（２）を介して前記サーバ（１）に前記ユーザコンピュータ特有の識別データを転送することを特徴とする、請求項２または３に記載の方法。
5. 前記ユーザコンピュータ（２）は、前記ユーザコンピュータ特有の識別データを前記サーバ（１）に自動的に転送することを特徴とする、請求項２または３に記載の方法。
6. 前記サーバはデータベースサーバ（１）として設けられ、前記データベースサーバ（１）によって提供される前記サービスは所定のデータ（１０３、１１３）の提供から成ることを特徴とする、請求項２から５のいずれか一項に記載の方法。
7. 検出段階において、前記ユーザコンピュータ特有の識別データは、前記サーバ（１）によって登録され、レジストリ（１４）に記憶されることを特徴とする、請求項２から６のいずれか一項に記載の方法。
8. 前記ユーザコンピュータ（２）のアプリケーションプログラム（２４）が、前記サーバ（１）への前記接続を提供することを特徴とする、請求項２から７のいずれか一項に記載の方法。

Images