セッション特有のｕｒｌおよび資源の実装

专利摘要:
方法、装置、およびコンピュータ・プログラム製品が、少なくとも１つのネットワーク資源を求めるユーザからの要求を受信すること、少なくとも１つのネットワーク資源を識別する際、および少なくとも１つのネットワーク資源へのアクセスを制御する際に使用するために少なくとも１つのネットワーク資源にセッション特有のＵＲＩを割り当てること、ネットワーク・ディレクトリ・サービスをセッション特有のＵＲＩで更新すること、ならびにセッション特有のＵＲＩをユーザに通信することにより、ネットワーク資源を割り振るためのセッション特有のＵＲＩを実装する。ユーザは、セッション特有のＵＲＩをセッション内の他の参加者に通信し、そのセッションの間、少なくとも１つのネットワーク資源が使用される。所定の時間の後、セッションが終了し、少なくとも１つのネットワーク資源が、例えば少なくとも１つのネットワーク資源のＵＲＩを変更することによって割振り解除される。ＵＲＩの頻繁な変更により、無許可の個人がネットワーク資源へのアクセスを得るための努力が妨げられる。
公开号:JP2011513848A
申请号:JP2010549098
申请日:2009-02-25
公开日:2011-04-28
发明作者:サード、レイモンド、バイアーズ ジェニングス；シャイフ、アニーズ；ジョージ、デイヴィッド、アルソン；チャリ、スレシュ
申请人:インターナショナル・ビジネス・マシーンズ・コーポレーションＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｓｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ；
IPC主号:G06F13-00

专利说明:

[0001] 本発明は、一般にはネットワーク資源割振りに関し、より詳細には、許可されたパーティによるネットワーク資源へのアクセスを容易にし、無許可パーティによるネットワーク資源へのアクセスを妨げる形でネットワーク資源を割り振る方法、装置、およびコンピュータ・プログラム製品に関する。]
背景技術

[0002] すべての方式のコンピュータ資源が、互いに地理的に離れていることのあるパーティによる共同作業活動をサポートするようにネットワーク化されるにつれて、ネットワーク管理者は、非常に多くのセキュリティ問題にますます直面する。「ハッカー」および「ハッキング」は、その用語が一般大衆によく知られているレベルに達している。「ハッカー」とは、ネットワークに「侵入」して、ネットワーク化されたコンピュータ資源への無許可アクセスを得る個人である。ハッキングに携わる者は様々な目的を持ち、ある者は犯罪活動で使用する機密情報へのアクセスを得ようとし、別の者は、単に「そのスリル」のために他者の活動を混乱させようとする現代のアナーキストである。いずれにしても、ハッキングが問題とされないままにされるなら、ハッキングは、ネットワーク・ベースの共同作業を著しく妨げる可能性がある。]
[0003] ネットワーク・セキュリティに対する従来の応答は、ネットワーク化された資源に対するアクセスを制御するパスワードを発行することである。パスワードには周知の問題がある。パスワードは、ハッカーがコンピュータ・プログラムを使用してパスワードを破ることを容易にする単純な方式で実装されることがある。個人がパスワードに対して容易に推測される用語を使用している事例により、無許可の個人のハッキング活動が著しく容易となっている。さらに、パスワードの割当て、管理、および変更にかなりの資源を捧げなければならない。バイオメトリックスのような、より複雑な他のアクセス制御方法も、同様に著しい資源要件および管理要件を有する。]
発明が解決しようとする課題

[0004] したがって、ネットワーク・セキュリティを高めると共に、資源要件および管理要件を低減する方法、装置、およびコンピュータ・プログラム製品を当業者は求めている。具体的には、アクセス制御を単純化するのに使用することのできる共同作業の各側面を利用する方法、装置、およびコンピュータ・プログラム製品を当業者は求めている。例えば、共同作業は、短い期間に、限定されたグループの個人を伴うことがある。典型的な共同作業のこうした特徴に基づいてネットワーク・セキュリティを実装する方法、装置、およびコンピュータ・プログラム製品は、当業者にとって特に関心のあるものである。]
課題を解決するための手段

[0005] 本発明の以下の実施形態によれば、上記および他の問題が克服され、他の利点が実現される。]
[0006] 本発明の第１実施形態は、少なくとも１つのネットワーク資源を求める要求を受信するように構成可能なネットワーク・インターフェースと、ネットワーク・インターフェースに結合可能な資源アロケータであって、ネットワーク・インターフェースを介して、少なくとも１つのネットワーク資源を求めるユーザからの要求を受信し、少なくとも１つのネットワーク資源を識別する際、および少なくとも１つのネットワーク資源へのアクセスを制御する際に使用するために少なくとも１つのネットワーク資源にセッション特有の情報を割り当て、ネットワーク・ディレクトリ・サービスをセッション特有の情報で更新し、セッション特有の情報をユーザに通信するように構成される資源アロケータとを備える装置である。]
[0007] 本発明の第２実施形態は、コンピュータ・プログラムを有形に実施するコンピュータ可読メモリ媒体を含むコンピュータ・プログラム製品であり、コンピュータ・プログラムが、ネットワーク資源アロケータを操作するように構成され、コンピュータ・プログラムが実行されるとき、ネットワーク資源アロケータが、少なくとも１つのネットワーク資源を求めるユーザからの要求を受信し、少なくとも１つのネットワーク資源を識別する際、および少なくとも１つのネットワーク資源へのアクセスを制御する際に使用するために少なくとも１つのネットワーク資源にセッション特有の情報を割り当て、ネットワーク・ディレクトリ・サービスをセッション特有の情報で更新し、セッション特有の情報をユーザに通信するように構成される。]
[0008] 本発明の第３実施形態は、少なくとも１つのネットワーク資源を求めるユーザからの要求を受信すること、少なくとも１つのネットワーク資源を識別する際、および少なくとも１つのネットワーク資源へのアクセスを制御する際に使用するために少なくとも１つのネットワーク資源にセッション特有の情報を割り当てること、ネットワーク・ディレクトリ・サービスをセッション特有の情報で更新すること、ならびにセッション特有の情報をユーザに通信することを含む方法である。]
[0009] 本発明の第４実施形態は、少なくとも１つのネットワーク資源を求めるユーザからの要求を受信すること、少なくとも１つのネットワーク資源を識別する際、および少なくとも１つのネットワーク資源へのアクセスを制御する際に使用するために少なくとも１つのネットワーク資源にセッション特有のＵＲＩを割り当てること、ネットワーク・ディレクトリ・サービスをセッション特有のＵＲＩで更新すること、ならびにセッション特有のＵＲＩをユーザに通信することにより、ネットワーク資源を割り振るためのセッション特有のＵＲＩを実装する装置を含む。]
[0010] 最後に、本発明の実施形態の上記の概要は、例示的かつ非限定的なものである。例えば、一実施形態の１つまたは複数の態様またはステップを、別の実施形態の１つまたは複数の態様またはステップと組み合わせて、本発明の範囲内の新しい実施形態を生み出すことができることを当業者は理解されよう。さらに、方法実施形態のステップを装置実施形態で機能として実装することができ、逆も同様であることを当業者は理解されよう。]
[0011] こうした教示の上記および他の態様が、以下の好ましい実施例の詳細な説明で、添付の図面と共に読むときにより明らかとなるであろう。]
図面の簡単な説明

[0012] 本発明による、動的に割り振られ、大域的に固有のＵＲＩを要求するネットワーク・システムを示す図である。
本発明に従って動作する方法を示す流れ図である。
本発明に従って動作する別の方法を示す流れ図である。]
実施例

[0013] 本発明の実施形態は、ネットワーク資源を求める要求が作成されるときに、ネットワーク資源を識別する際、ネットワーク資源へのアクセスを制御する際に使用するための情報を生成することにより、必要に応じてネットワーク資源を割り振る。ユーザが、共同の活動または実演で使用するためにネットワーク資源−例えばサーバ−を求める要求をサブミットするとき、本発明に従って動作するネットワーク資源アロケータが、要求を受信し、要求に対処するネットワーク資源−特定のサーバ−を選択する。ネットワーク資源アロケータは、選択したネットワーク資源に、選択したネットワーク資源を特定する識別情報を割り当て、選択したネットワーク資源へのアクセスを制御する。共同の活動または実演に参加する個人のみに対して識別情報が配布されるので、識別情報は、選択したネットワーク資源へのアクセスを制御する。参加することが許可されていない者−例えば外部ハッカー−は、資源を乗っ取ること、または資源に干渉することができなくなる。そのような者は識別情報を有さず、共同作業または実演は通常は短期的活動となるので、識別情報を「ハック」することができる可能性が低いからである。一態様では、ネットワーク資源識別情報は、ネットワーク資源を見つけることのできるネットワーク・アドレスを指定するＵＲＩを含む。本発明の典型的な実施形態は、例えばネットワーク資源を必要とする共同作業セッションまたは実演セッションがユーザによって開始されたときに、セッション特有式に動作する。本発明の実施形態を実装する方法、装置、およびコンピュータ・プログラム製品は、共同作業または実演の未処理中にネットワーク資源を識別するための大域的に固有のＵＲＩを動的に確立する。共同作業または実演が終わると、ネットワーク資源アロケータは、セッション特有のＵＲＩを変更することによってネットワーク資源を割振り解除する。]
[0014] 一実施形態では、本発明は、隠しＵＲＩおよびネットワーク資源のためのシステムおよびサービスである。本発明の実施形態により、ユーザが、ネットワーク・サイトに導く隠しＵＲＩに気付いている１組の特定のユーザとの共同作業のためにネットワーク・ベースのサーバを要求、確立、および使用することが可能となる。共同作業期間が完了すると、ネットワーク・サイトを除去し、ＵＲＩの割振りを解除することができ、かなりの時間が満了するまではＵＲＩを再び使用することができない。]
[0015] 本発明の別の実施形態は、ウェブサイト、チーム・ルーム、マルチユーザ・ネットワーク会議などのユーザ共同作業のための短期ネットワーク資源を識別するための、大域的に固有の、不明瞭化されたＵＲＩの確立のためのシステムを含む。不明瞭化されたＵＲＩの目的は、サービス妨害アタックおよび一般的ハッキングの防止を助けることである。不明瞭化は、ＵＲＩに伴うドメイン名、ホスト名、ポート番号、ディレクトリ、ページ、またはファイル名を含むＵＲＩの一部について別個のランダムな名前を取ることによって実施される。この方式は、ＨＴＴＰおよびＦＴＰを含む任意のプロトコルと共に動作することができる。潜在的ハッカーが資源を識別し、資源の位置を突き止めることができるまでに、資源はその目的を既に果たしており、資源の割振りが解除されており、もはや使用されていないことになる。]
[0016] 例示的ＵＲＩは以下の形式となる。
http://kldjle00133.yihwjneo0.net/kieoldkekd/uoeru8047238.jsp.]
[0017] 長期のプライベート・ウェブサイトおよびチーム・ルームでは、通常は、より厳重な認証プロセスがアクセス・リストおよび認証手段と共に使用される。]
[0018] サイトが不明瞭化されたＵＲＩを有することにより、無許可ユーザを防止するための単純な手段が提供される。一般大衆によるアクセスを回避すべき場合に、動的に作成されたサイトのコンテンツは、厳密に機密ではなく、単にプライベートな性質なものであることがある。この方法により、通常はＥメール・メッセージ内で秘密ＵＲＩ情報を与えられた者にとってサイトへの容易なアクセスが可能となる。この方法を使用すると、ユーザ名およびパスワードを伴うアクセス・リストは不要である。]
[0019] 図１は、本発明の一実施形態によるシステムを示す。図１では、一般ネットワーク１０１が、任意の数のネットワーク・セグメントおよび基礎となるネットワーク・ハードウェアから構成することができる。図が見やすいように、単一のネットワーク・セグメント１０１が示されている。図１内の物理的項目のそれぞれを異なる物理ネットワーク上に配置することができ、必要なのは様々な部片を接続する方法だけであることを当業者なら理解することができる。] 図１
[0020] ユーザ１０３は、ネットワーク資源アロケータ／マネージャ１０７に対する要求１０５を行う。本発明の一実施形態でのアロケータ／マネージャ１０７は、処理装置、メモリ、およびメモリ内に格納されたプログラムを有するサーバを含む。プログラムが処理装置によって実行されるとき、アロケータ／マネージャは本発明の方法を実施する。要求１０５は、１つまたは複数のネットワーク資源をネットワーク上に割り振ることを要求するメッセージからなる。例示的実施形態での要求１０５の属性は、使用時間枠、帯域幅要件、およびアプリケーション要件を含む。ネットワーク資源アロケータ１０７は、１０９として示される１つまたは複数のネットワーク資源を割り振る。割り振るステップは、ネットワークを介してユーザが達することのできる１つまたは複数のサーバ上で１つまたは複数のＵＲＩを使用するためにアクティブにすることを含み、ネットワークは、プライベート・ネットワークまたは公衆ネットワークでよい。ある場合には、単一のサーバ１０９を使用して、他のユーザ１０３によって作成された複数の要求１０５を履行することができる。]
[0021] 資源アロケータ１０７は、新しく作成された資源の任意のユーザがネットワーク１０１上の資源の位置を突き止めることができるように、ＤＮＳサーバなどの任意のディレクトリ・サービス１１１を更新する。ホスト名、メインＵＲＩ、資源が利用可能とされる時間、およびどれだけの期間利用可能となるかを含む、新しく作成されたネットワーク資源の属性を示す１つまたは複数の応答１１３が、要求側１０３に送り戻される。]
[0022] 本発明の別の態様により、ユーザ１０３が、割り振られたネットワーク資源にアプリケーションをアップロードすることが可能となり、アプリケーション内のＵＲＩが不明瞭化される。このプロセスを、前述のプロセスに追加することができ、または前述のプロセスの代わりとすることができる。メイン・ネットワーク・サーバ名が使用され、すべてのユーザにとって既知となることがあるが、メイン開始点ＵＲＩが隠され、不明瞭化される。この例では、www.site.comのような既知のホスト名がすべてのユーザにとって既知となるが、特定のページまたはアプリケーションへのアクセスを得るには、どんなユーザも、http://www.site.com/kiek48dkeidjfなどの隠しＵＲＩを知る必要がある。ＵＲＩを隠し、不明瞭化するプロセスは、割り振られたネットワーク資源１０９上、またはネットワーク・アロケータ１０７上で行うことができ、または要求側１０３がローカルに使用するスタンド・アロン・プロセスとして行うことができる。]
[0023] 相異なる要求側１０３の間のＵＲＩ名コリジョンの確率は非常に小さく、中央アロケータ１０７を使用することによって検証し、重複ＵＲＩまたは最近使用されたＵＲＩを警告することができる。]
[0024] 図２は、本発明による方法を示す流れ図を示す。この方法は２０１で始まる。ステップ２０３で、要求１０５が要求側１０３で作成される。ステップ２０５で、利用可能なサーバが資源アロケータ１０７によって割り振られる。ステップ２０７で、固有の、不明瞭化されたＵＲＩが作成される。ステップ２０９で、ホスト名がサービス・ロケータ１１１に登録される。次いで、ステップ２１１で、使用情報１１３が要求側１０３に通信される。ステップ２１３で、任意のアプリケーションが、２０７で割り振られたサーバ１０９にアップロードされ、ステップ２１５で、ページ、フォルダ名、およびファイルが、不明瞭化置換名に変換される。２１７で、ネットワーク資源１０９がある期間にわたって使用される。ステップ２１９で、ホスト名がサービス・ロケータ１１１から抹消され、任意のＵＲＩが廃棄される。プロセスはステップ２２１で終了する。] 図２
[0025] 図３は、本発明の実施形態に従ってどちらも構成される、コンピュータ・プログラム製品で実施されたコンピュータ・プログラム、またはネットワーク資源アロケータで実装することのできる方法を示す。この方法は３１０で始まる。次に、３２０で、本発明に従って構成されたネットワーク資源アロケータは、少なくとも１つのネットワーク資源を求めるユーザからの要求を受信する。次いで、３３０で、ネットワーク資源アロケータは、少なくとも１つのネットワーク資源を識別する際、および少なくとも１つのネットワーク資源へのアクセスを制御する際に使用するために、セッション特有の情報を少なくとも１つのネットワーク資源に割り当てる。次に、３４０で、ネットワーク資源アロケータは、ネットワーク・ディレクトリ・サービスをセッション特有の情報で更新する。次いで、３５０で、ネットワーク資源アロケータは、セッション特有の情報をユーザに通信する。この方法は３６０で停止する。] 図３
[0026] 本開示のシステムおよび方法は、汎用コンピュータまたはコンピュータ・システムで実装および実行される。コンピュータ・システムは、周知の任意のタイプ、企図される任意のタイプ、または周知となる任意のタイプでよく、通常は、プロセッサ、メモリ装置、記憶装置、入力／出力装置、内部バス、または通信ハードウェアおよびソフトウェアなどと共に他のコンピュータ・システムと通信する通信インターフェース、あるいはそれらの組合せを含む。]
[0027] 本願で使用される「コンピュータ・システム」および「コンピュータネットワーク」という用語は、固定またはポータブルあるいはその両方のコンピュータ・ハードウェア、ソフトウェア、周辺装置、および記憶装置の様々な組合せを含むことができる。コンピュータ・システムは、共同で実施するためにネットワーク化され、またはリンクされた複数の個々の構成要素を含むことができ、あるいは１つまたは複数のスタンド・アロン構成要素を含むことができる。本発明のコンピュータ・システムのハードウェア構成要素およびソフトウェア構成要素は、デスクトップ、ラップトップ、サーバなどの固定装置およびポータブル装置を含むことができ、かつ固定装置およびポータブル装置内に含めることができる。]
[0028] 上述の実施形態は例示的な例であり、本発明がこうした特定の実施形態に限定されると解釈すべきではない。したがって、添付の特許請求の範囲で定義される本発明の精神または範囲から逸脱することなく、様々な変更および修正を当業者は実施することができる。]
[0029] したがって、上記の説明が、セッション特有のＵＲＩを実装するために本発明者等によって現在企図される最良の装置および方法の完全かつ有益な説明を例示的かつ非限定的な例として与えたものであることがわかる。本明細書に記載の様々な実施形態を個々に実施することができ、本明細書に記載の１つまたは複数の別の実施形態と組み合わせて実施することができ、または本明細書に記載のものとは異なる方法および装置と組み合わせて実施できることを当業者は理解されよう。さらに、記載の実施形態以外によって本発明を実施できること、こうした記載の実施形態は例示のために提示されたものであって、限定のためではないこと、したがって本発明は以下の特許請求の範囲のみによって限定されることを当業者は理解されよう。]

权利要求:

請求項1
ネットワーク資源を割り振る装置であって、少なくとも１つのネットワーク資源を求める要求を受信するように構成可能なネットワーク・インターフェースと、前記ネットワーク・インターフェースに結合可能な資源アロケータであって、前記ネットワーク・インターフェースを介して、少なくとも１つのネットワーク資源を求めるユーザからの要求を受信し、前記少なくとも１つのネットワーク資源を識別する際、および前記少なくとも１つのネットワーク資源へのアクセスを制御する際に使用するために前記少なくとも１つのネットワーク資源にセッション特有の情報を割り当て、ネットワーク・ディレクトリ・サービスを前記セッション特有の情報で更新し、前記セッション特有の情報を前記ユーザに通信するように構成可能な資源アロケータとを備える装置。
請求項2
前記セッション特有の情報が、前記少なくとも１つのネットワーク資源のセッション特有のネットワーク・アドレスを特定するＵＲＩを含む請求項１に記載の装置。
請求項3
前記ＵＲＩが、大域的に固有のＵＲＩである請求項２に記載の装置。
請求項4
前記ＵＲＩが、前記少なくとも１つのネットワーク資源への無許可アクセスを得る試みを妨げることを意図する不明瞭化された名前である請求項２に記載の装置。
請求項5
前記少なくとも１つのネットワーク資源を求める前記要求が、前記ユーザが前記少なくとも１つのネットワーク資源を使用しようとする時間枠を指定し、前記資源アロケータが、前記時間枠が経過した後に前記セッション特有の情報を変更するようにさらに構成可能である請求項１に記載の装置。
請求項6
前記少なくとも１つのネットワーク資源を求める前記要求が、帯域幅要件を指定する請求項１に記載の装置。
請求項7
前記少なくとも１つのネットワーク資源を求める前記要求が、少なくとも１つのネットワーク要件を指定する請求項１に記載の装置。
請求項8
前記資源アロケータが、前記ネットワーク資源が利用可能にされる時に関連する情報を前記ユーザに通信するようにさらに構成可能である請求項１に記載の装置。
請求項9
前記資源アロケータが、前記ネットワーク資源がどれだけの期間利用可能にされるかに関連する情報を前記ユーザに通信するようにさらに構成可能である請求項１に記載の装置。
請求項10
前記要求がアプリケーションを指定し、前記資源アロケータが、ユーザが前記少なくとも１つのネットワーク資源へのアクセスを有する期間にわたって前記アプリケーションを利用可能にするようにさらに構成可能である請求項１に記載の装置。
請求項11
前記資源アロケータが、前記少なくとも１つのネットワーク資源にセッション特有の情報を割り当てるようにさらに構成可能であり、前記少なくとも１つのネットワーク資源が、公にアクセス可能なネットワーク構成要素上に常駐し、セッション特有の情報の割当てにより、普通なら前記ネットワーク構成要素へのアクセスを有するユーザが前記少なくとも１つのネットワーク資源への無許可アクセスを得ることが妨げられる請求項１に記載の装置。
請求項12
ネットワーク資源を割り振る方法であって、少なくとも１つのネットワーク資源を求めるユーザからの要求を受信すること、前記少なくとも１つのネットワーク資源を識別する際、および前記少なくとも１つのネットワーク資源へのアクセスを制御する際に使用するために前記少なくとも１つのネットワーク資源にセッション特有の情報を割り当てること、ネットワーク・ディレクトリ・サービスを前記セッション特有の情報で更新すること、および前記セッション特有の情報を前記ユーザに通信することを含む方法。
請求項13
前記セッション特有の情報が、前記少なくとも１つのネットワーク資源のセッション特有のネットワーク・アドレスを特定するＵＲＩを含む請求項１２に記載の方法。
請求項14
前記ＵＲＩが、大域的に固有のＵＲＩである請求項１３に記載の方法。
請求項15
前記ＵＲＩが、前記少なくとも１つのネットワーク資源への無許可アクセスを得る試みを妨げることを意図する不明瞭化された名前である請求項１３に記載の方法。
請求項16
前記少なくとも１つのネットワーク資源を求める前記要求が、前記ユーザが前記少なくとも１つのネットワーク資源を使用しようとする時間枠を指定し、前記方法が、前記時間枠が経過した後に前記セッション特有の情報を変更することをさらに含む請求項１２に記載の方法。
請求項17
前記少なくとも１つのネットワーク資源を求める前記要求が、帯域幅要件を指定する請求項１２に記載の方法。
請求項18
前記少なくとも１つのネットワーク資源を求める前記要求が、少なくとも１つのネットワーク要件を指定する請求項１２に記載の方法。
請求項19
前記ネットワーク資源が利用可能にされる時に関連する情報を前記ユーザに通信するステップをさらに含む請求項１２に記載の方法。
請求項20
前記ネットワーク資源がどれだけの期間利用可能にされるかに関連する情報を前記ユーザに通信するステップをさらに含む請求項１２に記載の方法。
請求項21
前記要求がアプリケーションを指定し、前記ユーザが前記少なくとも１つのネットワーク資源へのアクセスを有する期間にわたって前記アプリケーションを利用可能にするステップをさらに含む請求項１２に記載の方法。
請求項22
前記少なくとも１つのネットワーク資源にセッション特有の情報を割り当てるステップをさらに含み、前記少なくとも１つのネットワーク資源が、公にアクセス可能なネットワーク構成要素上に常駐し、セッション特有の情報の割当てにより、普通なら前記ネットワーク構成要素へのアクセスを有するユーザが前記少なくとも１つのネットワーク資源への無許可アクセスを得ることが妨げられる請求項１２に記載の方法。
請求項23
プログラムがコンピュータ上で実行されるときに請求項１２ないし２２のいずれかのすべてのステップを実施するように適合されるプログラム・コード手段を含むコンピュータ・プログラム。