JP2004505383A

JP2004505383A - 分散ネットワーク認証およびアクセス制御用システム

Info

Publication number: JP2004505383A
Application number: JP2002515792A
Authority: JP
Inventors: アントン，フランシス，エム．，ジュニア; ドング，クラーク; キム，ジョング; マラセ，ランガナザ
Original assignee: ヒアユーアー　コミュニケーションズ，インコーポレイテッド
Priority date: 2000-08-01
Filing date: 2001-07-25
Publication date: 2004-02-19
Also published as: CN101345762A; CN100417152C; AU2001277176A1; US20070124802A1; CN1611049A; US7185360B1; TW532024B; WO2002011391A2; CA2426573A1; WO2002011391A3

Abstract

【課題】移動体ユーザーが海外データネットワークを介してインターネット・アクセス可能にするためのシステム及び方法を提供する。
【解決手段】任意のＷｅｂサイトを目標としてインターネット・アクセス要求を開始したユーザーが非公認の場合、ユーザーは認証サーバに案内される。認証サーバはユーザーに対し認証情報を求めるＨＴＴＰフォームのページを送信する。ユーザーが応答する際に、プライベートネットワーク内のネットワーク監視機器がフォームページを変更してユーザーのハードウェア・アドレスおよびネットワークの位置に基づいて符号化されたＩＤを含ませる。認証サーバーはこのデータをゲートキーパー・サーバーに転送し、それが新規ユーザーを認証して、ネットワークの位置に基づいて符号化された別のＩＤおよびユーザーのハードウェア・アドレスとともに解除メッセージを送信する。
【選択図】図８

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネットへの有線および無線エントリポイントにおけるユーザー認証およびデータトラフィックのアクセス制御をコンピュータにより行なう方法およびシステムに関する。
【０００１】
【従来の技術】
インターネットの普及により、インターネットに接続すれば誰でも膨大な量の情報を容易に入手可能になった。インターネット対応の電子メールはビジネス通信の不可欠な方式になった。現在、インターネットへの接続は、主にダイアルアップモデム、デジタル加入者回線、およびケーブルモデム等の地上通信線アクセスリンクで行なわれている。
【０００２】
この種の接続方式は普及しているものの、ユーザーの移動性が制約され、インターネット接続の共有が難しくなる。例えば、多くの図書館が専用コンピュータ端末からインターネット・アクセスを提供しており、いくつかの大学では学生がラップトップコンピュータを用いて便利にアクセスできるようにキャンパス内の多くの建物でネットワークアクセスジャックを提供している。かかる両方のアプローチはともに、自分の地上通信線アクセスリンク以外の場所からインターネットにアクセスする手段を提供するが、両方とも公共的に提供されたアクセスポイントから利用者が動かないことを要求し、両方ともネットワーク接続の提供者側に相当な基盤構造の投資を求める。一般に、多数のユーザーに同一のネットワークアクセスジャックや専用端末を共有させることができないため、提供者側はサービスを提供したい個々の利用者にアクセスポイントを用意しなければならない。さらに、大学等、自身のネットワークにアクセスジャックを用意している提供者側は通常、ユーザーにネットワークへのアクセス権を与える前に、登録済みネットワークアカウントをユーザーが持っていることを求めるため、一般利用者にとってネットワークへのアクセスの利便性がさらに制約される。
【０００３】
同様に、ベンダーがアカウントを持っていないコンピュータ・ネットワーク上の顧客サイトを訪問した場合、そのベンダーはネットワークへの、従ってインターネット、電子メールアカウント、および他の重要データへのアクセスが非常に難しいことがわかるであろう。運良くネットワークジャックへのアクセス権を得たとしても、そのベンダーは依然として顧客サイトのネットワーク管理者の好意にすがらざるを得ない。企業ではセキュリティを理由に、登録済みユーザーのアクセスリストに載っていない者へのアクセスは一切拒否するよう自社のコンピュータ・ネットワークを設定するのが普通である。
【０００４】
従って、インターネットへの移動体からのアクセスは２つの要因により制約される。第１は、ユーザーがまばらに配置されたネットワークアクセスジャックへの通信線接続を保持するための物理的要件である。第２は、登録済みアカウントを持っていないネットワークへのアクセス権を得る困難さである。これらの要因の第１のものは、無線データネットワークの導入により克服されつつあり、アクセス線をネットワーク・アクセス・ジャックに差し込んだままでなくてもよいため、ユーザーは一ヶ所に留まる必要がない。さらに、ネットワーク接続が無線で行なわれるため、多数のユーザーが同じアクセスポイントを用いてネットワークに接続したり切り離すことが比較的容易である。第２の要因を克服するのはそれほど簡単ではないため、以下により詳細に述べる。
【０００５】
現在広範に利用可能な無線データネットワークの例として低速の個人通信サービス（ＰＣＳ）ネットワークがある。この種のネットワークの主要なアクセス機器は無線アプリケーションプロトコル（ＷＡＰ）特徴が組み込まれた携帯電話である。かかる無線ネットワークは、免許された周波数帯域で動作し、集中的に計画されていて、大規模電気通信業者により構築されている。通常、各セルは半径約２〜１０マイルと巨大であり、約１９Ｋｂｐの低速で動作する。どのような地理的領域であっても、その区域にサービスを提供している電気通信業者は一握りであり、各ネットワークは専有されていて、競合ネットワークに対しては閉じている。従って、あるネットワークから別のネットワークへローミングするにはいくらかの不便がある。さらに、低速であるためにインターネットへ思うままにアクセスすることは現実には無理であり、かかるネットワーク機器は通常短縮されたテキスト表示に限定されている。
【０００６】
発展中の新種の無線データネットワークは約１〜１１Ｍｂｐの高速を提供する。かかるネットワークは無免許周波数帯域で動作し、ＩＥＥＥ８０２．１１、ブルーツース（Ｂｌｕｅｔｏｏｔｈ）、およびｈｏｍｅＲＦ等の発展中の無線通信プロトコル標準に基づいている。この種のネットワークに共通する特徴は、セル半径が約２００フィートと小さいことである。セルとは、ネットワークへのアクセスポイントとして機能する無線または赤外線基地局である。かかるアクセスポイントのいくつかは互いに近接して配置されることによりこの種の無線ネットワークのカバー領域全体を拡大することができる。かかるネットワークは米国特許第５，７７１，４６２号および第５，５３９，８２４号に紹介されている。
【０００７】
この種の無線ネットワーク機器を用いてさまざまなネットワーク構成が可能になる。図１に、それぞれアンテナ１９〜２５で特徴付けられた無線ネットワーク無線機器を備えた複数のコンピュータ１１〜１７を示す。コンピュータ１１〜１７が互いに近接して配置されている場合、それらは一種のアドホックなネットワークを形成して、相互に通信することができる。しかし、この種のアドホックなネットワークには、インターネットへの地上通信線アクセスを有する有線ネットワークへ自身のアドホックなネットワークを接続できる基地局セルが欠けている。従って、この種のアドホックなネットワークはインターネットへアクセスできない。
【０００８】
図２を参照すると、インターネットにアクセスするには、インターネット３５に接続するルーター３７を備えたネットワークへのアクセス権を得る必要がある。この種のネットワークは通常、インターネットサービスを含むネットワーク上の各種のサービスへのアクセスを制御するサーバー３１により特徴付けられる。ワークステーション３３は各種の媒体５３にハードウェア結線手段によりサーバー３１に接続する。ネットワークは無線アクセスポイント４１、４３を提供し、アンテナとして描かれた無線通信機器を備えたコンピュータ４７、４９をそれぞれサーバー３１により制御された有線ネットワークに接続することができる。アクセスポイント４１、４３は、無線や赤外線等、各種の通信システムによりコンピュータ４７、４９との無線接続を確立し、ケーブル５３を介してサーバー３１に有線接続を有する。アクセスポイント４１、４３の機能は、サーバー３１と無線ネットワークコンピュータ４７、４９の間でそれぞれ通信を中継することである。しかしサーバー３１は依然としてコンピュータ４７、４９にどのサービスが提供されたかを制御する。従って、サーバー３１はコンピュータ４７、４９に対するインターネットサービスを拒否することができる。実際、コンピュータ４７、４９が既にサーバー３１に登録されたネットワークアカウントを持っていなければサーバー３１はネットワークへのエントリを拒否することができる。
【０００９】
上述のように、無線ネットワークは到達範囲が短く、従って第２のアクセスポイント４５を用いてさらに遠隔にある無線ネットワークコンピュータ５１とアクセスポイント４３の間のリピータとして機能させてもよい。これは無線ネットワークの到達範囲を拡大すべく多数の基地局アクセスポイント４３、４５を用いた例である。
【００１０】
図３を参照すると、多くのネットワークレイアウト構成が知られており、サーバー５３はルーター５５と他のネットワークノード６１〜６５との間に配置されている必要はない。図３のネットワークレイアウトにおいて、アクセスポイント６７はルーター５５に直接アクセスでき、次いでルーター５５はインターネット５９にアクセスできるが、これはサーバー５３がネットワークに対する制御を失なうことを意味しない。レイアウトにかかわらず、サーバー５３は依然として新規ユーザの認証やリソースの割り当てる役割を担っている。多数のユーザー６１〜６５のネットワークへのアクセス許可が簡単に行なえるため、アクセスポイント６７を無線アクセスポイントとして示すが、他の有線アクセスポイント接続も同様に一般的である。
【００１１】
【発明が解決しようとする課題】
かかる無線ネットワークはその便利さにもかかわらず、コストが比較的高いために従来は利用が進まなかった。最近まで、無線ネットワークを実装するために必要なコンポーネントは高価であった。しかし昨今の技術発展により無線ネットワークを実装するのに必要なセル基地局と無線機器の両方の価格が下がり始めた。かかる無線ネットワークは産業界でますます普及しつつあり、利用希望者は多くの中小企業が自社独自の無線ネットワークを運用できるようになる時代を展望している。かかる独自無線ネットワークの規模は、市街区域から小さい建物、さらには喫茶店にまでわたる。次いで適切な無線通信機器を備えた移動コンピューティング機器により移動体ユーザーが無線ネットワークに常時アクセスできるようになるであろう。このように、この種の無線ネットワークはインターネットへの自由な、および移動体からのアクセスを制約する上述の第１の要因を克服するであろう。
【００１２】
それにもかかわらず、インターネットへの移動体からのアクセスを制約する上述の第２の要因に直面する。大抵の独自無線ネットワークは独立しているため、移動体ユーザーは通常、移動体ユーザーが望むネットワークへ入る前にアクセス用アカウントが設定されない限り、所望のネットワークへのアクセスが許されないであろう。たとえユーザーが多数の無線ネットワークへのアクセス用アカウントを有していたとしても、ユーザーはある独自ネットワークから別のネットワークへ移るたびに操作を中断して異なる無線ネットワーク上で再認証を受けなければならないであろう。
【００１３】
海外ネットワークへのアクセス方法や多数のネットワーク間転送を実装する方法を記載した分野においていくつかの先行技術を見出だすことができる。例えば、米国特許第５，８７８，１２７号に非ネットワーク拠点や局からプライベートネットワークへのリモートアクセスを容易にする電話システムを示す。このシステムは、非ネットワーク局の呼出し番号および／または遠隔呼出し側から入力された認証コードに基づいてプライベートネットワークへのリモートアクセスを公認する。米国特許第６，０１６，３１８号に、移動データ端末の位置情報および加入者情報を保存するデータベースとして機能する位置レジスタを含む「公共移動体データネットワーク」を介して専用ＬＡＮおよびインターネットへのアクセスを提供する各種の方法を記載している。同様の趣旨で、米国特許第５，９７８，３７３号に遠隔ユーザーが専用ＷＡＮに安全にアクセスできる方法を示す。中央認証局は遠隔ユーザーを公認して、プライベートネットワークへの安全な接続を確立するプロキシの機能を果たす。中央局は遠隔ユーザーに対し、遠隔ユーザーが記入すべきサービス登録テンプレートＨＴＭＬファイルを送信する。遠隔ユーザーが認証されたならば、プライベートネットワークとの接続が行なわれる。同様に、米国特許第５，９１８，０１９号に、遠隔ユーザーがインターネットを介してプライベートネットワークへの擬似直接ダイアルアップ接続を確立できるシステムを示す。
【００１４】
米国特許第６，０００，０３３号に、それぞれ異なるパスワードが設定された多数のデータベースのアカウントをユーザーが持っているシステムが記載されている。すべてのデータベースにアクセスするには、ユーザーはマスターパスワード・データベースにログオンし、そこからユーザーがアクセスしたい任意のデータベースへの適切なパスワードが送られる。米国特許第５，８７２，９１５号に、インターネット経由でＷｅｂサーバー上のソフトウェアに安全にアクセスできる方法を示す。ユーザーはＷｅｂブラウザからデータを入力し、それがＷｅｂサーバーアプリケーションへ伝送される。Ｗｅｂサーバーアプリケーションは次いでＷｅｂブラウザを認証し、Ｗｅｂブラウザを一意に識別するためのデータを含む適切な入力データをアプリケーション・ゲートウェイへ渡す。次いでアプリケーション・ゲートウェイはブラウザから受信した認証データを用いて、ブラウザのユーザーがソフトウェア・アプリケーションへのアクセスを公認されているか否かを判定する。米国特許第５，８０５，７１９号はユーザーを認証する別の方法について記載している。ここではシステムはトランザクションの公認を優先させるために、ＩＤトークンを用いずに未知のユーザーである人物から直接集めた指紋や音声録音等の一意な生物測定サンプルを、以前に取得して保存してある同種の認証済み生物測定サンプルと相関比較した結果を用いる。
【００１５】
ユーザーを認証し、海外ネットワークとの間の通信を増やす上述の方法は、所望のネットワークに登録アカウントを持たない移動体ユーザーに対しネットワークアクセスを許可する問題を解決しない。それらは同様に、かかるシステムを実装するのに必要な基盤構造について説明していない。
【００１６】
本発明の目的は、移動体ユーザーが海外データネットワークを介してインターネット・アクセス可能にするためのシステムおよび方法を提供することである。
【００１７】
本発明の別の目的は、中継用プライベートネットワークを利用しなくてもインターネットへの無線アクセスを容易にするシステムを提供することである。
【００１８】
【課題を解決するための手段】
上記の目的は、多数の小半径データネットワークにまたがる計算機器の分散アクセス制御を許可する方法により実現される。しかし、本発明は小半径データネットワークに限定されておらず、従来の有線、大半径ネットワークにも適用可能である。プライベートネットワークへアクセスしたいユーザーは最初に、所望のネットワークに物理的に接続する。物理的接続は無線基地局を介しても、あるいは有線接続されたハブ、スイッチ、またはファイアウォールを介してもよい。一旦接続されたならば、潜在的新規ユーザは次いで、インターネットサービス等、所望のネットワークのリソースへのアクセスを試みるかもしれない。
【００１９】
プライベートネットワークは通常、ネットワークへアクセスしようと試みている新規ユーザーに対し、最初に新規ユーザーの識別情報とネットワーク権限の検証を試みることにより応答する。新規ユーザーがプライベートネットワークの公認ユーザーのリストに含まれていない場合、プライベートネットワークは新規ユーザーがネットワークへ入るのを拒否するか、またはゲスト・アカウントの下で新規ユーザに最少限の権限で一時的なセッションを確立するかの選択が可能である。しかしながら、新規ユーザーにゲスト・アカウントが与えられた場合、プライベートネットワークに新規ユーザーの識別情報の正確な記録が残らない。従って、大多数のプライベートネットワークは未登録ユーザーが入ることを一切拒否する方を選ぶ。この種のネットワーク応答は、今後想定される、移動体個人に応答する多数の小規模プライベートネットワークから構成される分散ネットワークで特に問題である。本発明は、「ゲスト・アカウント」の新規ユーザーを正確に識別できるシステムを確立することにより、この難点を軽減しようと努める。
【００２０】
この識別情報は、ネットワーク上に全ユーザーの正確なログを保持するだけでなく、請求目的にも有用である。例えば、多数の小規模プライベートネットワークから構成されている分散ネットワークにおいて、「ゲスト」ユーザーに対しプライベートネットワーク上のアクセス時間分を請求することが望ましい。本発明において、これは移動体ユーザーと所望のプライベートネットワークの両方が加入している集中認証Ｗｅｂサーバーを持つことにより実現される。移動体ユーザーは認証Ｗｅｂサーバーにおいてパスワード等の識別手段を含むアカウントを作成する。プライベートネットワークは認証Ｗｅｂサーバーから認証結果を受容し、新規ユーザ用に適当に限定されたネットワークアクセス権を生成する。
【００２１】
クライアント機器（新規ユーザ）は動作時に、アクセス制御機器を介して所望のネットワークに物理的に接続し、インターネット・アクセス要求を開始する。クライアント機器が所望のネットワークの公認ユーザーのリストに存在しない場合、アクセス制御はインターネットを介してクライアント機器を認証Ｗｅｂサーバーへ宛先変更する。認証Ｗｅｂサーバーは、クライアント機器がシステムに適切な認証情報を提供するＨＴＭＬログオンページをクライアント機器へ送信する。認証機器は、クライアント機器により送られた情報を解析してクライアント機器を認証する。クライアント機器が適切に識別されたなら、認証Ｗｅｂサーバーは「解除」メッセージを、専ら指定されたクライアント機器のために使われるアクセス制御機器へ送信する。クライアント機器からのさらなるトラフィックはすべてアクセス制御機器を通って、タイマー期限切れ、明示的な「クライアント機器無効化」メッセージ、あるいはクライアント機器切り離しメッセージ等のアクセス期限切れイベントが発生するまで流れる。
【００２２】
従って認証Ｗｅｂサーバーがクライアント機器と所望のネットワークの両方を正確に識別できることは非常に重要である。産業界におけるネットワークアドレス変換サービスの利用が普及しているため、クライアント機器から受け取ったＩＰアドレス情報が正確であるとは限らず、またクライアント機器のアイデンティティを確立するためにクッキー等、Ｗｅｂブラウザからの識別情報に頼るのは賢明ではなく、システムがソフトウェアハッカーにより悪意的に利用されかねない。従って本発明は、クライアント機器から生成された埋め込みＩＤおよびＨＴＭＬファイルの予約済み文字列フィールド内のアクセスポイントのハードウェア・ホストアドレスを用いることによりユーザーの素性を確認する。
【００２３】
さらに、本発明は主に移動体ユーザーにインターネット・アクセスを提供することを関心事としているため、本発明は特定関係者による独自ネットワークを必要とせずに、強化された組み込みルーター機能を有するリモートアクセスポイントを利用して、潜在的クライアントユーザーを認証Ｗｅｂサーバーおよびインターネットへの直接接続を提案する。認証Ｗｅｂサーバーは、用いられた個々のアクセスポイントとクライアントユーザーの氏名の記録を保持するであろう。従って、拡張されたアクセスポイントの所有者は依然として請求処理目的に全ユーザーの正確な記録を保持していよう。あるいは、認証Ｗｅｂサーバーによりクライアントユーザーに直接請求書を送ったり課金することができ、請求の１パーセントがクライアントユーザーが用いた拡張アクセスポイントの所有者に送信することできる。
【００２４】
これらを含む本発明の他の目的、特徴および利点は、添付図面と合わせて好適な実施形態の以下の詳細な説明を精査することでさらによく理解されよう。
【００２５】
【発明の実施の形態】
現時点での好適な例示的実施形態の詳細な説明
本発明の利用を容易にすべく、現時点での好適な実施形態の最良の形態は既存のハードウェアおよびソフトウェアツールの両方をなるべく修正せずに利用する。当技術分野で公知のように、ネットワーク通信プロセスは多数の標準化された段階または層に分割されていて、各層にはネットワーク通信に必要な特定のタスクが割り当てられている。広く用いられているネットワーク通信標準として国際標準化機構（ＩＳＯ）が制定したオープンシステム相互接続（ＯＳＩ）標準がある。ＯＳＩ通信モデルはネットワーク通信を７層に分割する。各層は、直上および直下の層と通信すべく所定の標準化された機構を有する。この方法により、隣接層との通信に同じ標準化機構が使われる限り、他の層を一切変更することなく任意の層の変更や最適化を行うことができる。
【００２６】
第１の層は物理層であり、論理１および論理０を受送信するためのハードウェア媒体を記述する。第２の層はデータリンク層であり、メッセージを物理層が送信する正しいフォーマットに変換し、物理層が受信したメッセージを上位層が理解すべく変換する。基本的にデータリンク層は、メッセージをカプセル化するデータフレームにメッセージをフォーマットして、ＣＲＣコード、宛先アドレス情報、および送信元アドレス情報を含むカスタマイズ情報を付加する。第３の層はネットワーク層であり、主な機能は送信元ネットワークから宛先ネットワークへデータを向けることである。この第３の層は、その役割が基本的にメッセージを中継して上位層に標準ネットワークインタフェースを提供することであるため、インターネット層と呼ばれる場合がある。本発明は第３の層に存在していることにより、ハードウェア変更を一切必要とせずにソフトウェア変更のみで実装できる。ルーターやハブ等、既存のハードウェアの多くが更新可能ファームウェアを有するため、本発明は既存ネットワークに容易に適用できる。
【００２７】
様々な種類のネットワークプロトコルをＯＳＩモデルの第３の層に関連付けることができるが、本発明はインターネットとの通信にネットワークで利用されるプロトコルであるインターネット・プロトコルすなわちＩＰを用いるのが好適である。従って、本発明の好適な実施形態の詳細な説明へ入る前に、そのベストモードに関係するＩＰアドレスプロトコルのさらなる態様について簡単に触れておく方が良いであろう。
【００２８】
図４を参照すると、コンピュータ７１は、第２のネットワーク７９の一部であるコンピュータ７５との通信を望む第１のネットワーク７２の一部である。２個のネットワーク７２、７９は、ネットワーク７２、７９の間でメッセージを中継するルーター７４により接続されている。ネットワーク内のすべてのノードは一意なハードウェア・アドレスを有し、コンピュータ７１と通信するルーター７４のサイドＡおよびコンピュータ７５と通信するルーター７４のサイドＢを含む。同一ネットワーク内のノードが互いを通信相手とする場合、送信メッセージは送信元ノードのハードウェアとＩＰアドレス、および宛先または目標ノードのハードウェアとＩＰアドレスを含むヘッダー情報にカプセル化される。同一ネットワーク内のすべてのノードがメッセージを拾い上げるかもしれないが、宛先ハードウェア・アドレスが自身のものと合致しない場合、メッセージは無視される。ハードウェア・アドレスが特定のノードと合致した場合、そのノードは自分が本当にメッセージの想定受信者であることを確かめるためにメッセージのＩＰアドレスを調べる。例えば、コンピュータ７１がメッセージをルーター７４へ送りたい場合、メッセージヘッダーは送信元ハードウェア・アドレス１００、送信元ＩＰアドレス２２２．２２２．２２２．１、宛先ハードウェア・アドレス２００、および宛先ＩＰアドレス２２２．２２２．２２２．２を含んでいよう。ルーター７４がメッセージに応答したい場合、その応答は送信元と宛先アドレスが入れ替わった同様のヘッダーを含んでいよう。
【００２９】
メッセージがその宛先ノードに到着するまでにいくつかのネットワークを通過する必要がある場合、ヘッダー情報はメッセージがルーターを通過する都度変わる。それにもかかわらず、宛先ノードのＩＰアドレスはネットワークをまたがっても一定に保たれる。例として、コンピュータ７１がメッセージをコンピュータ７５へ送信したい場合、情報のヘッダーはルーター７４を通してメッセージを中継しなければならない。従って、コンピュータ７１から出るメッセージはコンピュータ７５のＩＰアドレスとともに、送信元ハードウェア・アドレス１００およびＩＰアドレス２２２．２２２．２２２．１を含むであろう。しかしながら、コンピュータ７５はコンピュータ７１と同じネットワーク内に存在しないため、メッセージはルーター７４のハードウェア・アドレス２００を含んでいよう。メッセージがハードウェア・アドレスを含んでいるため、ルーター７４はメッセージを拾い上げるが、宛先ＩＰアドレスを調べた結果最終宛先がコンピュータ７５であると判定するであろう。従って、ルーターはメッセージをに新しいヘッダーを付けてコンピュータ７５へ転送する。新しいヘッダーは送信元ＩＰアドレス２２２．２２２．２２２．１を保持することによりコンピュータ７１がメッセージの送信元であることを識別するが、ルーター７４のサイドＢの送信元ハードウェア・アドレス３００をリストすることにより、ルーター７４が転送メッセージの送信元であることを識別する。ルーター７４のサイドＢはコンピュータ７５と同一ネットワーク７９に面しているため、転送メッセージはコンピュータ７５の正しい宛先ハードウェアおよびＩＰアドレスを含んでいる。ルーター７４からメッセージを受信したにもかかわらずＩＰアドレスが保持されているため、コンピュータ７５は応答する際にメッセージの本来の送信元がコンピュータ７１であったことがわかる。これはメッセージがコンピュータ７５に到達するまでに通過する必要があったルーターの個数にかかわらず真である。この場合、メッセージのヘッダー内の送信元ＩＰアドレスはメッセージの本来の発信元を一意に識別できるのに対し、メッセージがルーターを通過する度に送信元ハードウェア・アドレスが変わるため、メッセージの本来の発信元を識別するための情報源としては信頼できないことがわかる。従って本発明が求めるように、メッセージのヘッダー内の送信元ＩＰアドレスが、多数のネットワークにわたって特定のノードを識別する最有力候補であると思われよう。しかしながら、メッセージがネットワークアドレス変換（ＮＡＴ）サービスを用いてネットワークへアクセスするノードを管理しているネットワークを通過した場合、これは成り立たない。
【００３０】
ノードがインターネットにアクセスするには、一意なＩＰアドレスを持つ必要がある。しかしながら、一意なＩＰアドレスの数は限られているため、多くのネットワークではＮＡＴサービスを利用して、多くのネットワークノードやネットワークコンピュータが同じＩＰアドレスを用いてインターネットにアクセスすることを許している。
【００３１】
ネットワークアドレス変換の簡単な例を図５に示す。ここに、コンピュータ７２〜７６はネットワークアドレス変換マネージャ７８により１個の正当なＩＰアドレス２０１．１．２．３を共有するネットワークの一部である。コンピュータ７２〜７６の各々に対しネットワーク内では一意であるが、必ずしも正当なインターネットＩＰアドレスではない任意のＩＰアドレスが付与される。コンピュータ７２〜７６のいずれかがインターネット８０にアクセスしたい場合、最初にＮＡＴマネージャ７８を通過しなければならない。そこから正しいＩＰアドレス８４と自身のハードウェア・アドレス１０４を含むメッセージがインターネットへ中継される。さらに、ＮＡＴ７８はコンピュータ７２〜７６から入ってくるメッセージの各々に一意なアクセスポート番号を割り当て、本来の送信元コンピュータ７２〜７６のハードウェアとＩＰアドレスを、割り当てられたポート番号と関連付けた表を保持する。この割り当てられたポート番号はメッセージをカプセル化したヘッダーに含まれる識別情報データの一部であり、従ってメッセージとともにインターネット８０へ送信される。メッセージがインターネット８０から受信されたならば、受信メッセージのヘッダー情報は自身の宛先データとしてＮＡＴ７８のＩＰおよびハードウェア・アドレスをリストするが、最初に中継されたメッセージにＮＡＴ７８が割り当てていたポート番号も同じく含んでいる。ＮＡＴ７８はこのポート番号を用いて、コンピュータ７２〜７６のどれがメッセージを最初に送信したかを識別し、それに応じてインターネットからの応答をコンピュータ７２〜７６へ中継する。
【００３２】
従ってこの場合、ＮＡＴ７８の背後のネットワークから到着するすべてのメッセージは同じ送信元ＩＰおよびハードウェア・アドレスを持っているため、インターネット８０内の目標Ｗｅｂページはメッセージの本来の送信元を識別することは不可能である。従って、本発明の好適な実施形態は、メッセージを最初に送信したネットワークノードを識別しようとする場合、メッセージのヘッダー内の送信元ＩＰアドレスに依存しない方式を選択した。
【００３３】
本発明の主な目的は、ユーザーがインターネットにアクセスするためにどの種類のネットワークに接続したかにかかわらず、移動体ユーザーを一意に識別可能にすることである。従って本発明の好適な実施形態は、移動体ユーザーの送信元を識別する際に先行技術を超えている。
【００３４】
本発明に基づくネットワークシステムの第１の実施形態を図６に示す。本発明は、図２のものと類似したレイアウト、あるいは他の任意の公知のネットワーク構成をなすネットワークで利用できるが、本発明に基づいてアクセスポイント１２３がインターネットへアクセス可能なネットワークノードの近くに配置されているのが好適である。図６において、ルーター１２７は送信元ネットワーク１２９をインターネット１３１と接続する。従って、アクセスポイント１２３をルーター１２７の隣に示す。本例において、ラップトップコンピュータ１２１を利用している移動体ユーザーは、無線アクセスポイント１２３を用いてネットワーク１２９に接続する。移動体ユーザーはまた、ハードウェア・アクセス・ジャックでもネットワーク１２９に接続できる点を理解されたい。
【００３５】
ネットワーク１２９内で、サーバー１２５は好適にはすべての新規ユーザーを認証して、インターネットへのアクセスを含む各種のネットワークサービスを割り当てる役割を担っている。本例において、移動体ユーザーはラップトップコンピュータ１２１およびアクセスポイント１２３を用いてネットワーク１２９にアクセスするが、サーバー１２５におけるネットワークアカウントを持っておらず、従って通常はネットワークアクセスを拒否されるであろう。それにもかかわらず、移動体ユーザーはマイクロソフト・インターネット・エクスプローラ、ネットスケープ・ナビゲータ等、ほぼあらゆるＷｅｂブラウザにより所望の目標Ｗｅｂページ１３３へのインターネットへのアクセスセッションを開始する。このように移動体ユーザー機器１２１はドメイン名解決プロセスを実行して目標Ｗｅｂページ１３３のアドレスを識別する。ネットワーク１２９はたとえ未公認ユーザーからのものであってもインターネットへのすべてのＤＮＳトラフィックを認め、従って移動体ユーザーは自身の目標Ｗｅｂページ１３３の正しいＩＰアドレスを受信する。
【００３６】
当技術分野において公知のように、ＴＣＰ接続は送信元ホストがＳＹＮ、すなわち同期／開始パケットを宛先ホストへ送信してから同期肯定応答（ＳＹＮＡＣＫ）を待つことにより開始される。しかしながら、図８に示すように本ケースにおいて、ステップ１で移動体ユーザー機器１２１が取得した宛先ＩＰアドレスを用いて目標Ｗｅｂページ１３３へＴＣＰＳＹＮパケットを送信することにより目標機器１３３へのＨＴＴＰ接続を開設しようと試みた際に、ネットワーク１２９はパケットを捕捉して、移動体ユーザー機器１２１がインターネットへアクセスすることを公認されているか否かを調べる。公認されている場合、メッセージは相応に転送される。移動体ユーザー機器が未公認の場合、パケットは所定の宛先変更Ｗｅｂサーバー１３９へ再中継される。宛先変更Ｗｅｂサーバー１３９はステップ２で移動体ユーザー機器１２１を認証Ｗｅｂサーバー１３７へ向ける「Ｗｅｂサイト移転」メッセージ（この宛先変更機能はＷｅｂページをコーディングする共通言語であるＨＴＭＬに従来備わっている）を送信することで応答する。移動体ユーザーのＷｅｂブラウザはステップ３で自動的にＨＴＴＰ要求を認証Ｗｅｂサーバー１３７へ再送することにより「Ｗｅｂサイト移転」メッセージに応答する。ネットワーク１２９は再びＴＣＰＳＹＮパケットを捕捉するが、今度は目標Ｗｅｂサイトが認証Ｗｅｂサーバー１３７であることを認識すると、パケットは変更されずに転送される。
【００３７】
このように、ネットワーク１２９は未公認ユーザーによるインターネット・アクセスを妨げず、限定された個数の所定Ｗｅｂサイトに制約するだけである。認証Ｗｅｂサーバー１３７等の、事前公認済みＷｅｂサイトへのインターネット・アクセス要求はインターネットへのアクセスを許可されるが、未公認Ｗｅｂサイトへのすべてのインターネット要求は自動的に宛先変更サーバーＷｅｂサイト１３９へ再中継される。
【００３８】
ステップ４において、認証Ｗｅｂサーバー１３７は移動体ユーザー機器１２１に対し、移動体ユーザーの認証情報を求めるＨＴＴＰフォームのページを提示する。ユーザーから提供された認証情報はユーザーＩＤとパスワードを含んでいてよく、これをユーザーが自分のＷｅｂブラウザから入力する。この時点で、ネットワーク内で通信するためにネットワーク１２９により移動体ユーザーＩＤに対してＩＰアドレスが付与されたが、ネットワーク１２９がネットワーク・アドレス変換を利用している可能性があるため、移動体ユーザー機器１２１から認証Ｗｅｂサーバー１３７へ送信されたインターネット・パケットは移動体ユーザー機器１２１を一意に識別する目的には信頼できないことを指摘しておく。この制約を克服すべく、移動体ユーザー機器１２１へ送信されたＨＴＴＰフォームのページには、認証Ｗｅｂサーバー１３７が提供する一意なクライアント機器ＩＤキーワードＥＦ１が先行する埋め込み予約フィールドが含まれている。予約フィールドは、一意なクライアント機器ＩＤキーワードＥＦ１から所定数のバイトだけ離されて出力データパケット内部に配置されていてよい。あるいは、予約フィールドの直前に一意なクライアント機器ＩＤキーワードＥＦ１が置かれていてもよい。
【００３９】
移動体ユーザー機器１２１がステップ５で自身の認証データを認証Ｗｅｂサーバー１３７に転送する際に、ネットワーク１２９はメッセージパケットが認証Ｗｅｂサーバー１３７へ送信されていることを検出して、メッセージパケットを調べて埋め込み予約フィールドを検出することにより応答する。メッセージは移動体クライアント機器１２１から直接到着しため、自身のメッセージパケットのヘッダー内の自身の一意なハードウェア・アドレスは依然として正しい。ネットワーク１２９は、移動体クライアント機器１２１の一意なハードウェア・アドレス、最新セッション情報、およびネットワーク１２９のアドレス情報に基づいて新規のクライアント機器ＩＤキーワードＥＦ２を生成することにより応答する。このアドレス情報は、現在のシステムが実装されている機器に依存する。ステップ６でこの新規クライアント機器ＩＤキーワードは埋め込み予約フィールドに挿入され、変更されたメッセージが認証Ｗｅｂサーバー１３７に転送される。
【００４０】
ユーザー移動体機器１２１からＨＴＴＰフォームのページを受信したならば、認証Ｗｅｂサーバー１３７はＨＴＴＰフォームのページの情報を解析する。好適には、情報はバックエンドＣＧＩスクリプトを用いて解析される。認証Ｗｅｂサーバー１３７はステップ７で、ユーザーから提供された情報と埋め込み予約フィールドからの新規クライアント機器ＩＤキーワードをゲートキーパー・サーバー１３５へ転送する。ゲートキーパー・サーバーはインターネットを介してアクセスしても、あるいは認証Ｗｅｂサーバー１３７に直接接続されていてもよい。好適には、セキュリティが確保されたリンクに沿って認証Ｗｅｂサーバー１３７からゲートキーパー・サーバー１３５へ送信される。
【００４１】
サーバー１２５、宛先変更Ｗｅｂサーバー１３９、認証Ｗｅｂサーバー１３７、およびゲートキーパー・サーバー１３５は別々のハードウェアに存在している必要はなく、これらの一つ以上が１個のハードウェアに共存していてもよい点を指摘しておく。さらに、これらは文字通りのサーバーである必要はなく、代わりにＷｅｂページ、スクリプト、アプレットまたは所定の機能を実行可能な他のルーチンであってもよい。さらに、宛先変更Ｗｅｂサーバー１３９の機能は別々である必要はなく、ネットワーク１２９に統合されていてもよい。
【００４２】
ゲートキーパー・サーバー１３５は受信した認証データ情報を処理して、ユーザーが登録されているか否かを調べる。移動体クライアントが正当なアカウントを有する場合、ゲートキーパー・サーバー１３５は埋め込み予約フィールドにある新規クライアント機器ＩＤキーワードを解読して移動体ユーザー機器１２１のハードウェア・アドレスを決定する。ゲートキーパー・サーバー１３５は次いでステップ８で、同じクライアント機器ＩＤキーワードに基づく暗号化された「解除」メッセージをネットワーク１２９へ送信する。上で述べたように、本システムが動作するネットワーク１２９内の制御機器は、移動体ユーザー機器１２１のアドレス情報をＨＴＴＰフォームのページに挿入しているため、ゲートキーパー・サーバー１３５は「解除」メッセージを制御へ直接送信する。好適には、「解除」メッセージは新規クライアント機器ＩＤキーワードで暗号化されている。あるいは、第３のクライアント機器ＩＤキーワードを生成して、暗号化プロセスに用いてもよい。これはネットワーク１２９のインターネット・プロトコル・アドレスだけでなく、移動体クライアント機器１２１のハードウェア・アドレスを含んでいてよい。
【００４３】
ネットワーク１２９は暗号化された「解除」メッセージを検証し、次いで内部アクセスリストを更新して移動体クライアント機器１２１にインターネットサービスを許可する。移動体クライアント機器１２１からインターネットへのすべての後続トラフィックは、以下により詳しく述べるように許可されたアクセス時間が切れるか、明示的な「望ましいクライアント機器」メッセージを受信するか、あるいはクライアント機器１２１がネットワーク１２９から切断されるまで、妨害されることなくネットワーク１２９により転送される。
【００４４】
図６に示すように、本発明はネットワーク１２９上で動作しているプログラムルーチンとして記載されているが、プログラムルーチンの位置を明示的に記載していない。本発明はサーバー１２５、ルーター１２７またはアクセスポイント１２３上で動作するプログラムルーチンあっても、あるいは解析されて自身のルーチンが三者すべてに分散されていてもよい。
【００４５】
このように、ネットワーク１２９上のすべての移動体ユーザーは一意に識別かつ検証される。次いでネットワーク１２９は移動体ユーザーに対し、ネットワーク１２９へのアクセス時間相当分を課金することが可能である。あるいは、移動体ユーザーはゲートキーパー・サーバー１３５により認証されるため、ゲートキーパー・サーバー１３５または別の専用サーバーにより、移動体ユーザー機器１２１がネットワーク１２９を介してインターネット１３１にアクセスした経過時間を記録し、それに応じた課金をすることは有用であろう。さらに別の実施形態において、移動体ユーザーは上述のように事前に所定のネットワークアクセス時間分の対価を支払い済みであろう。移動体ユーザーがネットワーク１２９等のプライベートネットワークへのアクセスを許されている場合、前払いされた時間分はネットワーク１２９へ転送され、次いで期限が切れたならば移動体ユーザー１２３を切り離す。移動体ユーザー機器１２３が使わなかった残り時間があればゲートキーパー・サーバー１３５または対応する専用サーバーへ転送でき、ユーザーのアカウントの残存時間は相応に更新可能である。
【００４６】
本発明の代替的な実施形態を図７に示す。図７において図６のものと同様の要素には同じ図番が付与されており、すでに記載している。本代替的実施形態において、アクセスポイント１０５、１１１はインターネット１３１に接続するための中継機能を有する。このように、アクセスポイント１０５、１１１のいずれも、本発明を実装するのに図６に示すようなネットワーク１２９等、個別の有線ネットワークを必要としない。
【００４７】
説明目的のため、無線アクセスポイント１０５が喫茶店に配置されている様子を示し、無線アクセスポイント１１１が自動車整備工場の待合い室に配置されている様子を示す。移動体ユーザーは次いで、無線アクセスポイント１０５およびハンドヘルド計算機器１０１やラップトップコンピュータ１０３等、ネットワークへのノード接続を確立する任意の公知の機器を用いてインターネット１３１にアクセスすることができる。本例において、アクセスポイント１０５は無線アクセス機器として示されているが、クライアント機器への有線接続を提供することもできる。同様に、移動体ユーザーはラップトップコンピュータ１０９を用いて無線アクセスポイント１１１を介してインターネット１３１にアクセスすることができる。本実施形態において、ゲートキーパー・サーバー１３５が機器１０１、１０３、および１０９によるインターネット・アクセス時間の記録を保存し、次いで無線アクセスポイント１０５、１１１の所有者にサマリー報告を送信することが望ましいであろう。
【００４８】
本発明を、その好適な実施形態に関連して説明した。しかしながら、これはあくまでも説明を目的としたものであり、それにより本発明が限定されるものではない。実際に、本発明の変更は当業者には明らかであって、また本発明の範囲に含まれるであろう。
【図面の簡単な説明】
【図１】先行技術による無線通信を用いたアドホックネットワークである。
【図２】有線および無線ネットワーク接続の両方を用いた先行技術による第１のネットワークレイアウトである。
【図３】有線および無線ネットワーク接続の両方を用いた先行技術による第２のネットワークレイアウトである。
【図４】先行技術によるＩＰプロトコルを用いたネットワーク通信である。
【図５】先行技術によるネットワークアドレス変換の利用を示す。
【図６】本発明に基づく第１のネットワークレイアウトである。
【図７】本発明に基づく第２のネットワークレイアウトである。
【図８】第１のネットワークレイアウトにおけるメッセージフローのブロック図である。
【符号の説明】
１２１…移動体ユーザー機器
１２９…ネットワーク
１３３…目標Ｗｅｂページ
１３５…ゲートキーパー・サーバー
１３７…認証Ｗｅｂサーバー
１３９…宛先変更Ｗｅｂサーバー

Claims

ネットワーク上でのインターネット・アクセスを制御するシステムであって、前記システムは、
前記ネットワークに接続し、出力データパケットを発生させるための少なくとも１個のアクセス機器と、
インターネットを介してアクセス可能な宛先変更サーバーと、
前記ネットワークからインターネットへ送信された出力データパケットを監視し、出力データパケットの送信元アクセス機器がインターネットへのアクセスを公認されているか否かを検証するためのネットワーク監視機器とを含み、
前記少なくとも１個のアクセス機器の各々は一意なハードウェア・アドレスにより特徴付けられていて、
公認済みアクセス機器から送信されたすべての出力パケットは妨害されることなくインターネットへ転送され、未公認のアクセス機器から送信されたすべての出力パケットはそれらの目標インターネットＷｅｂサイト宛先を決定すべく検査され、決定された目標宛先インターネットＷｅｂサイトが所定の認証サーバーＷｅｂサイトに合致するか否かを調べ、合致する場合は対応する出力データパケットを前記所定の認証Ｗｅｂサーバーへ転送し、合致が見られなかった場合には前記ネットワーク監視機器は前記決定された宛先インターネットＷｅｂサイトを無視して前記出力データパケットを前記宛先変更サーバーへ転送することで応答し、
それによって、インターネットへのすべての出力データパケットは、それら各々の送信元アクセス機器がインターネットへのアクセスを公認されている否かにかかわらずインターネットへのアクセスが行うことができる、システム。
前記宛先変更サーバーは、前記所定の認証サーバーに接続するよう指示するメッセージを前記送信元アクセス機器へ送信することにより、未公認の送信元アクセス機器から受信したデータパケットに応答する、請求項１に記載のシステム。
前記認証サーバーは、要求しないにもかかわらず受信したデータパケットに対し、前記データパケットの送信元アクセス機器に認証情報を要求する質問表を送信することにより応答し、前記質問表は隠し予約フィールドおよび第１の識別キーワードを含む、請求項１に記載のシステム。
前記隠し予約フィールドは、前記質問表を受信する前記送信元アクセス機器からはアクセスできない、請求項３に記載のシステム。
前記第１の識別キーワードは前記ネットワーク監視機器からのアドレス情報に基づいている、請求項３に記載のシステム。
前記ネットワーク監視機器は、前記決定された目標宛先インターネットＷｅｂサイトが前記所定の認証サーバーに合致することを検証した後で、かつ前記出力データを前記所定の認証サーバーへ転送する前に、前記第１の識別キーワードを探索すべく前記出力データパケットの内容をさらに精査して、前記第１の識別キーワードが見つかったならば、前記送信元アクセス機器の一意なハードウェア・アドレスに基づいて第２の識別キーワードを生成し、前記第２の識別キーワードは前記隠し予約フィールドに挿入されている、請求項３に記載のシステム。
前記第２の識別キーワードはさらに最新の通信セッション情報に基づいている、請求項６に記載のシステム。
前記第２の識別キーワードはさらに前記ネットワーク監視機器の位置情報に基づいている、請求項６に記載のシステム。
前記隠し予約フィールドは前記第１の識別キーワードから所定のバイト数だけ離れた前記出力データパケット内に配置されている、請求項６に記載のシステム。
前記出力データパケット内で前記隠し予約フィールドの直前に前記第１の識別キーワードがある、請求項６に記載のシステム。
前記質問表を受信している前記送信元アクセス機器は、インターネットを介して前記認証サーバーへ前記質問表を送信する前に、Ｗｅｂブラウジングソフトウェアを用いて前記要求された認証情報を前記質問表に提供する、請求項３に記載のシステム。
前記認証サーバーは、隠し予約フィールドを有する要求されたデータパケットに応答して、前記要求されたデータパケットから前記隠し予約フィールドの内容と認証情報を抽出し、前記抽出された情報はゲートキーパー・サーバーへ送信される、請求項１に記載のシステム。
前記ゲートキーパー・サーバーはインターネットを介してアクセス可能である、請求項１２に記載のシステム。
前記認証サーバーは、ＣＧＩスクリプトを用いて前記要求されたデータパケットから抽出された情報を解析する、請求項１２に記載のシステム。
前記ゲートキーパー・サーバーは、前記認証情報を事前に定義されたデータベースと比較して、前記送信元アクセス機器が登録されているか否かを判定し、前記ネットワーク監視機器へ解除メッセージを送信することにより登録されている送信元アクセス機器の検証に応答する、請求項１２に記載のシステム。
前記解除メッセージは前記第２の識別キーワードにより暗号化されている、請求項１５に記載のシステム。
登録されている送信元アクセス機器が検証されたならば、前記ゲートキーパー・サーバーは前記隠し予約フィールドの内容を解読して前記送信元のアクセス機器の一意なハードウェア・アドレスを決定し、前記解除メッセージに前記ハードウェア・アドレスをラベル付けする、請求項１５に記載のシステム。
前記ネットワーク監視機器は、ネットワークアクセスリストを更新して前記送信元アクセス機器のインターネット・アクセスを公認することにより、前記解除メッセージの受信に応答する、請求項１５に記載のシステム機器。
インターネットを介してプライベートネットワーク上のユーザーを遠隔的に認証するシステムであって、前記システムは、
前記ユーザーに前記プライベートネットワークへのアクセスを許可するためのネットワークアクセス機器と、
インターネットを介してアクセス可能な認証サーバーと、
前記プライベートネットワークからインターネットへのすべての出力メッセージの宛先アドレスを監視し、宛先が前記認証サーバーである任意のメッセージの内容を走査して前記メッセージ内にある第１の所定の識別コードを探索するためのネットワーク監視機器とを含み、
前記アクセス機器は一意なハードウェアにより特徴付けられていて、
前記ネットワーク監視機器は前記メッセージの送信元である前記アクセス機器のハードウェア・アドレスを決定することにより前記第１の所定の識別コードの検出に応答し、前記ハードウェア・アドレスに基づいて第２の識別コードを生成し、前記ネットワーク監視機器はさらに前記メッセージを前記認証サーバーへ転送する前に前記第２の識別コードを前記メッセージに挿入し、
前記認証サーバーは、前記第２の識別コードからの前記ハードウェア・アドレスを解読することにより前記ネットワーク監視機器からの前記転送メッセージの受信に応答し、前記ハードウェア・アドレスに基づいて第３の識別コードが生成されて解除メッセージとともに前記ネットワーク監視機器へ送信される、システム。
前記ネットワーク監視機器は、ネットワークアクセスリストを更新して、自身のネットワークアクセス機器が前記第３の識別コードに埋め込まれているものと同じハードウェア・アドレスを有するユーザーのインターネットへのアクセスを公認することにより前記解除メッセージに応答する、請求項１９に記載のシステム。
前記第２の識別コードはさらに、前記ネットワーク監視機器のインターネット・プロトコル・アドレスに基づいている、請求項１９に記載のシステム。
前記第３の識別コードはさらに、前記ネットワーク監視機器のインターネット・プロトコル・アドレスに基づいている、請求項１９に記載のシステム。
前記ネットワーク監視機器は、宛先が前記認証サーバーであるメッセージに前記第１の所定の識別コードがない場合には、前記メッセージを修正することなく前記認証サーバーへ前記メッセージを転送することにより応答する、請求項１９に記載のシステム。
前記ネットワーク監視機器はさらに、公認済みユーザーが出力メッセージの送信元であるか否かを検証して公認済みユーザーからのすべての出力メッセージを妨害することなくインターネットへのアクセスを許すべく機能し、未公認ユーザーからのすべてのメッセージは宛先アドレスを調べてその宛先が前記認証サーバーであるか否かを判定し、前記認証サーバー以外の宛先アドレスの場合はその宛先アドレスを無視してインターネットを介して前記メッセージを所定の宛先変更サーバーへ転送することにより応答し、
それにより前記メッセージの送信元が未公認ユーザーであるか否かにかかわらずインターネットへのすべての出力メッセージがインターネットへのアクセスを許可される、請求項１９に記載のシステム。
前記宛先変更サーバーは、ユーザーのネットワークアクセス機器に対し前記認証サーバーに接続するよう指示するメッセージを送信することにより、未公認ユーザーから受信されたメッセージに応答する、請求項２４に記載のシステム。
前記認証サーバーは、前記第２の識別コードを欠く受信メッセージに対し、前記プライベートネットワークの位置情報に基づいて前記第１の所定の識別コードを生成し、前記認証サーバーはさらにメッセージの送信元であるネットワークアクセス機器へその各々のユーザーから認証情報を要求する質問表を送信することにより応答し、前記質問表は隠し予約フィールドと前記第１の所定の識別コードを含む、請求項１９に記載のシステム。
前記隠し予約フィールドは前記質問表を受信するユーザーからはアクセス可能でない、請求項２６に記載のシステム。
前記質問表において前記第１の所定の識別コードが前記隠し予約フィールドに先行する、請求項２６に記載のシステム。
前記ネットワーク監視機器は、ユーザーにより前記認証サーバーへ送信された任意のメッセージの前記隠し予約フィールドに前記第２の識別コードを挿入する、請求項２６に記載のシステム。
さらにゲートキーパー・サーバーを有し、前記認証サーバーはさらに未公認ユーザーから受信した記入済み質問表を識別可能であり、前記第２の識別コードから前記ハードウェア・アドレスとともに前記ユーザーの認証情報を読み出すことが可能であり、
前記認証情報およびハードウェア・アドレスは検証のために前記ゲートキーパー・サーバーへ中継され、前記ゲートキーパー・サーバーは前記第３の識別情報を生成して前記解除メッセージを前記ネットワーク監視機器へ送信することにより未公認ユーザーの検証に応答する、請求項２６に記載のシステム。
前記ゲートキーパー・サーバーは、前記認証サーバーからセキュリティが確保されたリンクを介してアクセスされる、請求項３０に記載のシステム。
前記認証サーバーは、インターネットを介して前記ゲートキーパー・サーバーにアクセスする、請求項３０に記載のシステム。