JP2017527140A - コンピュータシステムの間のタスク命令を転送するルーティング方法、コンピュータネットワーク基盤、及びコンピュータプログラム - Google Patents

Abstract

本発明は、コンピュータネットワーク基盤においてタスク命令を転送するルーティング方法に関連する。この目的のために、ルーティング情報は処理され、コンピュータネットワーク基盤の中の主コンピュータシステム、１又は複数のブローカコンピュータシステムから成るグループ、及び目標コンピュータシステムの間の通信経路に沿って１又は複数の強制的にリンクされるコンピュータシステムへの少なくとも１つのルーティングを定める。ルーティング情報を含むタスクファイルは、主コンピュータシステムから、ブローカコンピュータシステムのグループにより、目標コンピュータシステムへの通信経路に沿ってルーティング情報により送信され、目標コンピュータシステムにおいて実行される。主コンピュータシステム及び目標コンピュータシステムは、主コンピュータシステムへの又は目標コンピュータシステムへの接続が外部から確立できないように、所定のネットワークポートを閉に保つ。しかし、主コンピュータシステム又は目標コンピュータシステムは、ブローカコンピュータシステムにデータファイルを格納するために又はブローカコンピュータシステムからデータファイルを収集するために、ブローカコンピュータシステムへの接続を確立できる。

Description

本発明は、コンピュータネットワーク基盤の中のセキュアなコンピュータシステムの間でタスク命令を転送するルーティング方法、対応するコンピュータネットワーク基盤、及びコンピュータプログラムに関する。

分散型コンピュータネットワーク、又は所謂コンピュータネットワーク基盤は、データ接続を介して互いに通信可能な複数のコンピュータシステムを示す。交換されるデータの一部は機密であり、該情報へのアクセスは権限の無い人間に対しては拒否されるべきである。特に、サーバ−クライアントトポロジを有するコンピュータネットワーク基盤では、顧客データ又はユーザデータのような機密データは、クライアントとサーバとの間で交換され、該データの第三者によるアクセスは抑制されるべきである。

データ保護を増大する従来のセキュリティ方針は、一方では、第三者、例えば管理者のための対策（観察されるべきプロセス）及びルール（指令又は禁止）を含む。これは、単に機密データへの制限された又は制御されたアクセスを保証する。特に、機密データへのアクセスは、所定のアクセス権（ログイン権利又はユーザ権利）によりコンピュータシステムにおいて制限される。したがって、個々の権利を有する（信頼できる）人物のみが、機密データへのアクセスを許可される。

他方で、コンピュータシステムへの物理的及び／又は論理的アクセスを防ぐ或いは権限付与された人物のみにアクセスを制限するためのコンピュータシステムにおける又はその中の技術的手段が設けられる。

実際に、データ保護を向上するためのこのようなアプローチは、データセキュリティにとって有益であるが、それらが通常、必ずしも、機密データへのアクセスを防ぐ手段を提示しないという不利点に直面する。

さらに、現在のコンピュータネットワーク基盤は、コンピュータシステムを外部からの攻撃に対して脆弱にするデータ交換又は通信のために、アクセスオプション又はコンピュータシステムの（ネットワークを介する）アドレス指定能力のためのオプションを介して動作する。サービスのアドレス指定能力のために、実行中プログラムは、コンピュータシステムの１又は複数のネットワークポートにおいて要求される。上記の実行中プログラムは、ネットワーク経由の外部攻撃に対して可能なセキュリティギャップを提起する。

ここで、コンピュータシステムへのアクセスを得るクラッカー又は内部従業員が、改竄された署名を通じて信頼できるふりをするので、彼又は彼女が該コンピュータシステムにある機密データを獲得し得る、及び／又はコンピュータネットワーク基盤の中の更なるコンピュータシステムに攻撃によりアクセスし得る危険がある。

他方で、例えば目標コンピュータシステムのタスクをコンピュータネットワーク基盤の中の別のコンピュータシステムにより指示できるために、所要の通信構造の個々のコンピュータシステムの間で通信する及び情報を処理するコンピュータネットワーク基盤に対する必要がある。

本発明の目的は、技術的手段により、コンピュータネットワーク基盤の中のコンピュータシステムへの攻撃、特に機密データへの許可されないアクセスに対する保護を向上し、しかしながら、コンピュータネットワーク基盤の中の満足の行く一層セキュアなデータ転送を保証する通信構造を提示することである。

第１の態様では、上記の目的は、請求項１に記載のルーティング方法により達成される。

ルーティング方法は、
主コンピュータシステムに格納されているルーティング情報を呼び出すステップであって、前記ルーティング情報は、前記コンピュータネットワーク基盤の中の前記主コンピュータシステム、１又は複数のブローカコンピュータシステムのグループ、及び目標コンピュータシステムの間の通信経路に沿って強制的に（compulsory）含まれるべき１又は複数のコンピュータシステムへの少なくとも１つのルーティングを定める、ステップと、
前記主コンピュータシステムにおいてタスクファイルを生成するステップであって、前記タスクファイルは、前記ルーティング情報と、前記目標コンピュータシステムの少なくとも１つのタスクのタスク記述を有する、ステップと、
前記ルーティング情報に基づき、前記定められた通信経路に沿って、前記ブローカコンピュータシステムの前記グループを用いて、前記主コンピュータシステムから前記目標コンピュータシステムへ前記タスクファイルを送信するステップと、
前記目標コンピュータシステムを用いて、前記タスクファイルの有効性を検証するステップと、
前記タスクファイルの有効性の検証が成功した場合に、前記タスクファイルを用いて前記目標コンピュータシステムにおいて少なくとも１つのタスクを実行するステップであって、前記主コンピュータシステム及び前記目標コンピュータシステムの両方は、当該方法に使用される特定のネットワークポートを閉に保ち、前記主コンピュータシステムへの又は前記目標コンピュータシステムへの接続を外部から確立することが許されないように、したがって前記ネットワークポートを用いるネットワークを経由するアクセスが防がれるようにし、しかし、前記主コンピュータシステム及び前記目標コンピュータシステムがそれぞれ、前記ブローカコンピュータシステムにタスクファイルを格納するため又は前記ブローカコンピュータシステムからタスクファイルをフェッチするために、ブロ―カコンピュータシステムへの接続を確立できる、ステップと、
を有する。

このようなルーティング方法では、タスクコマンドを転送し及び処理するために、所要のエンティティ又は通信ハブ（コンピュータシステム）が、主コンピュータシステム、１又は複数のブローカコンピュータシステムのグループ、及び目標コンピュータシステムの間の通信経路（場合によっては複数の可能な通信経路）において指定される必要がある。これは、目標コンピュータシステムへのタスクコマンドの送信が、特定のエンティティ又は通信ハブが主コンピュータシステムにより予め定められるルートに従うことを意味する。このように、主コンピュータシステムの中で、経路（ルーティング）は、実行される可能性のある動作と共に所要のエンティティに沿って予め定められる。タスクコマンドを目標コンピュータシステムへ転送するための、コンピュータネットワーク基盤の中に分散したコンピュータシステムの間の通信は、したがって、通信経路に沿う予め定められた関連コンピュータシステムに限定される。

本発明の方法において、所謂「静的」ルーティングと所謂「動的」ルーティングとの間を区別することが考えられる。

静的ルーティングでは、通信経路全体は、主コンピュータシステムの中で、目標コンピュータシステムまで、指定される。静的ルーティングは、セキュリティを理由に、したがって、経路の操作が潜在的なクラッカーにとって攻撃の選択肢を形成しないので、使用され得る。

動的ルーティングでは、単に、可能な通信経路に沿う強制的にリンクされたコンピュータシステムが、目標コンピュータシステムの中でタスクファイルを受け付けるために、主コンピュータシステムにより予め定められる。特定に通信経路は、場合によっては特定の目標コンピュータシステムを含み、「１ルート」のみで、場合によっては区間毎に、関連するコンピュータシステムにより、決定される。これは、一方では操作に対して要求されるセキュリティを維持しながら、ルーティングに対して柔軟な応答が可能であるという利点を提供する。したがって、ルーティング情報は、主コンピュータシステムの中で定められるだけで、種々の目標コンピュータシステムへの複数のルーティングのために使用でき、各々の目標コンピュータシステム自体にルーティングを予め定める必要がない。さらに、動的ルーティングは、関連するコンピュータシステムに、目標コンピュータシステム自体を指定する特定の自由度を許容する。

主コンピュータシステムを通じ目標コンピュータシステムへの種々の代替通信経路を定めることも考えられる。ここで、該代替通信経路のうちの１又は複数の選択は、プロセスに関与するコンピュータシステムにより達成される。さらに、プロセスに関与するコンピュータシステムが、主コンピュータシステムにより予め定められた目標コンピュータシステムのグループの中から複数の目標コンピュータシステムを選択することが考えられる。上記の目標コンピュータシステムへの通信経路は異なり、上述の手順（静的、動的、代替）を用いて定められ得る。

通信経路に含まれる及び主コンピュータシステムにより予め定められたコンピュータシステムからの起こり得る操作された逸脱、したがって、クラッカーの可能な権限付与されていないコンピュータシステムへのセキュリティ関連情報及びデータのルート変更は、従来のソリューションと比べて有意に複雑である。このように、コンピュータネットワーク基盤の中のセキュリティは、本発明の方法により向上できる。

本願明細書に記載の方法では、主コンピュータシステム及び目標コンピュータシステムは、カプセル化されたシステムとして更に動作する。ネットワークを経由する接続を確立するための上記のコンピュータシステムへのアクセスは、特定の運用条件下で（有利なことに、それぞれ本願明細書に記載の方法又は上述の方法のステップを実行している間、永久的に）、可能ではなく又は殆ど可能ではない。

用語「特定のネットワークポート」は、全てのセキュリティ関連ネットワークポート又はそれらの選択されたもののみ、例えば、本発明の方法のために使用されるネットワークポート、が永久的に又は一時的に閉に（クローズ）されることを意味する。

これは、それぞれアドレス指定能力又は接続の確立の目的で個々のネットワークポートを傾聴し及び（例えばバッファオーバフローにより）可能なセキュリティギャップを引き起こす主コンピュータシステム及び目標コンピュータシステムの両方において、プログラムが設定され、起動され、又は必要とされることさえないという利点をもたらす。したがって、用語「閉鎖ネットワークポート」は、この文脈では、該ポートが「傾聴ポート」ではないこと、つまり外部から接続を確立することが許されないこと、を意味する。この場合、第三者は、ネットワークを経由して外部から、例えばＵｎｉｘに基づくシステムにおいてセキュアシェル（ＳＳＨ）デーモンを介して、主コンピュータシステムに又は目標コンピュータシステムに認証し又はそれにログインできず、或いは、それぞれ主コンピュータシステム及び目標コンピュータシステムにおいて特定の動作を実行できない。

しかしながら、主コンピュータシステムへのローカルアクセスは、第１のユーザグループ（例えば、セキュリティ担当者）に提供されても良い。目標コンピュータシステムへのローカルアクセスは、第２のユーザグループに提供されても良い。しかしながら、有利なことに、個々の他のユーザグループによる個々の代替のコンピュータシステムへのローカルアクセスは、防がれる。有利なことに、個々のユーザグループの個々のコンピュータシステムへのローカルアクセスは、プロセスの一部として、本願明細書に記載の方法により、一時的にのみ自由にされる。

しかしながら、主及び目標コンピュータシステムとは対照的に、方法は、ブローカコンピュータシステムのグループの中の１つのブローカコンピュータシステムへの外部アクセスを許す。ここで、ブローカコンピュータシステムのグループの中の各々の１つのブローカコンピュータシステムは、少なくとも１つのアドレス可能開放（「傾聴」）ネットワークポートを有する「開放」システムとして、ネットワークを経由してアクセス可能である。これは、プログラムがブローカコンピュータシステム上で実行されていること、及び／又はアプリケーションの準備が整っていることを意味する。したがって、主コンピュータシステム及び目標コンピュータシステムは、提案の方法に従い（確立される接続を介して）ブローカコンピュータシステムにタスクファイルを格納し、ブローカコンピュータシステムからタスクファイルをフェッチするために、ブローカコンピュータシステムにアクセスし、ブローカコンピュータシステムへの接続を確立できる。セキュリティの側面の観点から、このような「開放」ブローカコンピュータシステムは、伝統的な特にセキュアなコンピュータシステムと類似する。

結果として、ブローカコンピュータシステムの各々は、それ自体カプセル化されている主コンピュータシステムと目標コンピュータシステムとの間の通信のために、（セキュアな、しかしアドレス可能な）ブローカとして機能する。これは、カプセル化された主及び目標コンピュータシステムにも拘わらず、ブローカコンピュータシステムグループを用いて、情報を転送し及びタスク命令を転送する所定のルーティング方法を可能にする。

タスクファイルは、署名され、場合によっては、主コンピュータシステムにおいて目標コンピュータシステムの公開鍵により（部分的に）暗号化されても良い。主コンピュータシステム自体が、送信元、目標、又は個々のルーティングに関する機密情報を可能にするタスクファイルに情報を追加しても良い。

この文脈では、タスクファイルは、目標コンピュータシステムにおいて特定のプロセス（タスク）を実行するために準備される。このようなプロセスは、例えば次の通りであっても良い。

送信されるデータの格納及び／又は処理、
目標コンピュータシステムにおけるプログラムの再起動、
目標コンピュータシステムへの物理的アクセスの命令、
バックアップデータの復旧、又は
目標コンピュータシステムへのＳＳＨアクセス。

このような動作及び命令の個々の組合せは、当然に考案できる。適切な場合には、タスクファイルは、主コンピュータシステムの中の又は他のコンピュータシステムの中の特定の情報により補足されても良い。これは、目標コンピュータシステムのイベント制御又は主コンピュータシステムと目標コンピュータシステムとの間の情報の転送、及び制御されるべきプロセスの間の情報の柔軟な追加、の両方を可能にする。代替として又は追加で、タスクファイルが、目標コンピュータシステムで又はプロセスに関与する更なるコンピュータシステムで実行可能な１又は複数のプログラム、スクリプト、等を含むことが考えられる。

タスクファイルは、目標コンピュータシステムに対する主コンピュータシステムの純粋なコマンド命令とは基本的に異なる。なぜなら、コマンド命令は、該コマンド命令を評価するために、目標コンピュータシステムの側の連続的に実行する、外部に対して開放的な、したがって脆弱なプログラムを要求するからである。しかしながら、このようなプログラムは、上述のように、ネットワークを経由する目標コンピュータシステムへのアクセスの欠如により、本発明の方法において省略できる。

タスクファイルの目標コンピュータシステムへの送信のために、個々のブローカコンピュータシステムの中の選択されたタスクファイルを呼び出し、該ファイルをブローカコンピュータシステムから目標コンピュータシステムへ自動的に送信するプロセスがトリガされても良い。有利なことに、ブローカコンピュータシステムから目標コンピュータシステムへのタスクファイルの自動送信は、第三者が該送信に対して外部的な影響を与えないように、したがって、タスクファイルを介する目標コンピュータシステムの操作の危険が排除されるように、設計される。タスクファイルの有効性は、目標コンピュータシステムにおいて検証でき、個々のタスクが実行されても良い。

タスクファイルは、第１のブローカコンピュータシステムから、ブローカコンピュータシステムのグループの中の少なくとも１つの第２のブローカコンピュータシステムへの通信経路の中で転送されても良い。さらに、複数の目標コンピュータシステムのグループも、方法によりアドレスされるよう設計されても良い。

本願明細書に記載の方法の全体的な利点は、主コンピュータシステムの中の所与の経路又経路（ルーティング）上で必要なエンティティに関する情報、つまりどのコンピュータシステムにより、いつ、何が実行されても良いか及び実行されなければならないか、を設定し及び場合によっては署名することにより、枠組みが指定されるという事実にある。権限付与されていないコンピュータシステム及び／又は特定の通信経路の中に存在しない個々のコンピュータシステムのユーザは、除外される。さらに、データが処理されるコンピュータシステムは、（永久的に）閉鎖ネットワークポートにより、外部攻撃に対してセキュアである。これは、コンピュータネットワーク基盤の中の機密データのセキュリティの向上を保証する。

有利なことに、本願明細書に記載の方法は、
１又は複数の処理コンピュータシステムのグループの中の１つの処理コンピュータシステムから、前記ブローカコンピュータシステムの前記グループの中の１つのブローカコンピュータシステムへ、要求ファイルを送信するステップであって、前記要求ファイルは、前記目標コンピュータシステムでタスクを実行するための特定の情報を含む、ステップと、
前記ブローカコンピュータシステムから前記主コンピュータシステムへ、前記要求ファイルを送信するステップであって、前記主コンピュータシステムは、前記ブローカコンピュータシステムから前記要求ファイルをフェッチするために、前記ブローカコンピュータシステムへの接続を確立する、ステップと、
前記主コンピュータシステムにより前記タスク記述をコンパイルするステップであって、前記要求ファイルの前記特定の情報に基づき、タスクの特定の基本機能が、前記主コンピュータシステムにより選択され、場合によっては、前記目標コンピュータシステムにおいて前記タスクを実行するための性能パラメータは、前記主コンピュータシステムにより設定される、ステップと、
有する。

結果として、特定のタスクは、記述された種類の処理コンピュータシステムにより、目標コンピュータシステムで開始され及び指示され得る。目標コンピュータシステムにおける個々のタスクの基本機能の選択は、要求ファイルの特定の情報を用いて、主コンピュータシステムにおいて達成される。個々の基本機能は、例えば上述の記述された種類のプロセス、命令、及び／又は動作であっても良い。

例えば、基本機能は、準備された「形式」を通じて主コンピュータシステムに格納できる。上記形式は、主コンピュータシステムへのローカルアクセスを有するユーザグループのユーザにより指定されても良い。適切な場合には、上記形式は、秘密鍵により署名できる（及びされるべきである）。これは、しかしながら、主コンピュータシステムに格納されない。このように、可能な目標コンピュータシステムの可能な基本機能は、主コンピュータシステムの中の予め定められた形式により決定される。予め定められていない形式は、形式に署名するための秘密鍵が主コンピュータシステムにおいて利用可能ではないので、確立できない。このように、操作される形式の割り当て及び操作される基本機能による操作は、強力に複雑である。

結果として、処理コンピュータシステムのユーザは、目標コンピュータシステムにおけるタスクの予め定められた基本機能から選択されるだけであり、場合によっては、個々のタスクを実行するパラメータを決定できる。結果として、コンピュータネットワーク基盤の中の命令は、主コンピュータシステムにより提供される機能の選択に限られる。タスク記述は、タスクについて予め定められた基本機能及びタスクを実行するために個々に決定されたパラメータから生成できる。したがって、上記記述は、どのタスクが目標コンピュータシステムにおいてどの条件の下で実行されるかを決定するために必要な情報を含む。タスク記述は、それぞれ、タスクを実行する目標コンピュータシステムにおける１又は複数のスクリプトに割り当てられ得る識別情報又はＩＤも含んでも良い。

好ましくは、要求ファイルの特定の情報は、命令を与える側としての要求側の処理コンピュータシステムのような情報、及び／又は命令を受ける側としての目標コンピュータシステムのような情報、及び／又は要求側の処理コンピュータシステムのデジタル署名、及び／又は更に、例えば、機密、データ又はコンテンツを有する。

これは、要求ファイルが、特定の情報を用いて通信の送信元及び宛先を指定できることを意味する。さらに、（例えば、Ｕｎｉｘに基づくシステムにおいてＧＰＳを介して）権能を与えられた署名は、送信元を信頼できる送信元として検証するために、生成できる。これは、要求ファイル及び最終的には主コンピュータシステムで生成されたタスクファイルの権限付与されていない送信元を通じた操作を防ぐ。

例えば、署名は、特定のデータが（例えば、ＭＤ５又はＳＨＡにより）ハッシュされ、続いて（例えば、要求側の処理コンピュータシステム又は主コンピュータシステムの中の）署名者により暗号化されるという点において、生成できる。上記の暗号化された署名は、１つのデジタル署名されたファイル（要求ファイル又はタスクファイル）に、個々のデータを有するセキュリティ証明書と一緒に組み込まれる。受け手側では（例えば、目標コンピュータシステムにおいてローカルで）、一方で、決定されたデータは、ハッシュされ、署名者の公開鍵により予め復号化されたデジタル署名のハッシュ値と比較される。２つのハッシュ値が等しい場合に、署名は有効であり、信頼できる送信元を特定する。上記のシステムの操作は、非対称鍵（秘密鍵及び公開鍵）の計算又は決定を要求する。したがって、記載の方法の別の全体的な利点は、署名が秘密鍵の使用により（及びネットワークを経由しないで）ローカルにのみ及び適切な場合には（要求側の処理コンピュータシステム及び主コンピュータシステムの両方で）カスケードされた非集中的方法で、有効にできるという事実にある。

さらに、機密コンテンツは、タスクファイルの中で、補足情報、例えば目標コンピュータシステムの目標ユーザに関する特定の情報、を用いて送信されても良い。タスクファイルは、例えば、ｔａｒファイルのような全ての情報を組み込んでも良い。

有利なことに、前記処理コンピュータシステムの前記グループの中の各々の処理コンピュータシステムは、当該方法のために使用される特定のネットワークポートを少なくとも一時的に又は永久的に閉に保ち、前記個々の処理コンピュータシステムへの接続を外部から確立することが許されないように、したがって、前記ネットワークポートを用いてネットワークを経由するアクセスが防がれるようにし、しかし、前記処理コンピュータシステムの前記グループの中の各々の処理コンピュータシステムは、ブローカコンピュータシステムにタスクファイル若しくは要求ファイルを格納するために、又はブローカコンピュータシステムからタスクファイル若しくは要求ファイルをフェッチするために、前記ブローカコンピュータシステムへの接続を確立できる。したがって、処理コンピュータシステムのグループは、上述のように、カプセル化されたシステムのようにも動作する。個々の処理コンピュータシステムへのローカルアクセスは、第１及び第２のユーザグループと異なる第３のユーザグループに提供されても良い（主及び目標コンピュータシステムについて上記を参照）。しかしながら、ここで、ユーザグループの個々の他のコンピュータシステムへのローカルアクセスは、防がれ、又は非常に複雑である。

したがって、ネットワークを経由する処理コンピュータシステムのグループへの外部アクセスでさえ、可能ではなく、又は非常に複雑である。外部アドレス能力のためのネットワークポートにおける（サービスのための）実行プログラムは、いずれの処理コンピュータシステムにおいても、提供されず、必要とされない。これは、コンピュータネットワーク基盤のセキュリティを向上する。しかしながら、処理コンピュータシステムは、タスク命令を転送する通信処理に関与し、上述の方法に従って目標コンピュータシステムにおいて特定のタスクを指示する（上述のような）要求ファイルを開始し、及び目標コンピュータシステムでの動作のイベント制御をトリガしても良い。

有利なことに、上述の方法において、前記ルーティング情報は、前記コンピュータネットワーク基盤の中の前記処理コンピュータシステムのグループの中の少なくとも１つの処理コンピュータシステムを、強制的に含まれるべきコンピュータシステムとして定め、前記方法は、
前記ブローカコンピュータシステムの前記グループの中の少なくとも１つのブローカコンピュータシステムから、処理コンピュータシステムの前記グループの中の少なくとも１つの処理コンピュータシステムへ、前記タスクファイルを送信するステップと、
前記処理コンピュータシステムにおいて少なくとも１つの動作を実行するステップと、
前記処理コンピュータシステムから前記ブローカコンピュータシステムへ、前記タスクファイルを返送するステップと、
を更に有する。

上述の手段により、タスクファイルは、必ずしも、通信経路の途中で（更なる）処理コンピュータシステムへ送信されるものではない。これは、処理コンピュータシステムの中で特定の動作の（場合によっては自動的な）実行をトリガする。例えば、上記の動作は、タスクファイルの検証、更なるデータのタスクファイルへの挿入、及び／又は少なくとも１つの秘密鍵によるタスクファイルの更なる署名、及び／又は目標コンピュータシステム（又はルーティングの中の別の処理コンピュータシステムであっても良い）の公開鍵によるタスクファイルの暗号化、を含んでも良い。

関与する処理コンピュータシステムにおける更なる上述の動作は、主コンピュータシステムにより指定できる。代替で又は追加で、単に、１つの処理コンピュータシステムへのルーティングが、主コンピュータシステムにより指定されても良い。ここで、処理コンピュータシステムは、自身がタスクファイルに対する動作を実行するか否かを決定しても良い。タスクファイルが当該方法により別のコンピュータシステムへ送信される前に、処理コンピュータシステムにおいてタスクファイルが確認されるという点で、単に動作を削減することも考えられる。記載の方法に従う全ての動作を伴う決定的因子は、前記動作が、関与するコンピュータシステム（主コンピュータシステム又は処理コンピュータシステム）の中でローカルに遂行され又は実行されることである。したがって、セキュリティ関連パスフレーズ又は鍵は、コンピュータシステムにおいてローカルに（つまり非集中的に）提示され又は使用され、コンピュータネットワーク基盤の中で交換される必要がない。このタスクは、内部的及び外部的の両方で、侵入者の攻撃に対するセキュリティも向上する。上述の手段に加えて、（空間的）セキュリティゾーンが形成されても良い。前記ゾーンは、物理的アクセス、したがって他の内部のコンピュータシステムの操作を防ぐ（場合によっては、高セキュリティのラックにより保護される）。

上述の、コンピュータネットワーク基盤の中の複数の関与するコンピュータシステムによる、複数のステップ及びプロセスの連鎖したプロセス及び／又はタスクファイルの署名により、目標コンピュータシステムの有効な及び信頼できるタスク命令を生成するために、複数のエンティティが必要である。したがって、タスクファイルは、目標コンピュータシステムに到達するために、複数のエンティティを通り抜けなければならない。どのコンピュータシステムが、タスクファイルにより、いつ何を行う必要があるかに関する枠組みは、主コンピュータシステムの中のルーティング情報により予め設定される。

累積的方法（例えば、複数のシグナリング）で、主コンピュータシステムに加えて複数の処理コンピュータシステムにより、及びこのように設定されたコンピュータネットワーク基盤の分散型トポロジにより、タスクファイルを処理することは、攻撃に対するセキュリティの向上をもたらす。これは、マルチアイ（multi−eyes）システムを実施し、どのコンピュータシステムがいつ何を行ったかに関する追跡可能性を実現する。クラッカーにとって、主コンピュータシステムから目標コンピュータシステムに至る途中でタスクファイルを操作する唯一の選択肢は、関与する全てのコンピュータシステムに侵入して、そこにある所要の署名を、例えばオペレータのパスフレーズをフィッシングすることにより操作することになるだろう。しかしながら、全てのコンピュータシステムが分散され、コンピュータシステムの各々が１つのサブタスクを想定するという事実により、コンピュータネットワーク基盤は中央攻撃の選択肢を提供しないので、方法全体の操作は、それぞれ、考え難く、非常に複雑になるだろう。

方法により送信されるタスクファイルの操作の主要な選択肢は、場合によっては目標コンピュータシステムにおける管理者権限を得ることと関連して、目標コンピュータシステム（タスクファイルに従いタスクを実行するコンピュータシステム）に侵入することからのみ生じる。次に、署名（主コンピュータシステムによるタスクファイルの特定の基本機能の署名を含む）の検証が操作される可能性がある。しかしながら、これは、タスクファイルの連鎖した署名のために、非常に複雑である。それでもなお、上述のような目標コンピュータシステムは、記載の目的のために決定的に重要な全てのネットワークポートを閉に保ち、ネットワークを経由して目標コンピュータシステムの外部からのアドレスサービスが可能にならないようにする。結果として、目標コンピュータシステムにおける方法に従い適正に送信されたタスクファイルにより指示されるタスクの操作でさえ、ただ並外れた労力を前提とする。

好都合に、操作保護の物理的評価は、主コンピュータシステム及び処理コンピュータシステムについて既にそれぞれ上述した、目標コンピュータシステムが配置されるセキュアな高セキュリティラックを用いて提供され得る。

一実施形態では、方法は、ブローカコンピュータシステムのグループと処理コンピュータシステムのグループとの間で複数サイクルで再帰的に実行され、結果として、タスクファイルの連鎖した複数のプロセス（例えば、署名）の上述の利益をもたらす。ここで、タスクファイルは、再帰的設定アーカイブファイルとして設計される。これは、また、アーカイブファイルとしてのタスクファイルが、内部アーカイブファイル、及び前のサイクルからの処理コンピュータシステムの又は主コンピュータシステムの署名を含むことを意味する。また、内部アーカイブファイルは、別の署名等を含んでも良い。結果として、アーカイブファイルは、ネストされたアーカイブファイルとして存在する。

１つのコンステレーションでは、第１のステップで、新たに追加されたデータ、及び前に受信したタスクデータパッケージの全体は、タスクファイルの処理の後に、新しい内部アーカイブにパックされる。第２のステップで、また、上記の新たな内部アーカイブは、現在のサイクルで、処理コンピュータシステムにより生成される署名と一緒に、アーカイブとして新たなタスクファイルにパックされる。したがって、２つの追加でネストされたアーカイブが、再帰サイクル毎に生じる。

上記のコンステレーションでは、タスクファイルは、以下の例示的な構造を有しても良い。

id.taskid.tar
→task.rar
→task.tar.asc.
ここで、「id.taskid.tar」は、.tar archiveとしての実際のタスクファイルを記述する。内部アーカイブ「task.rar」は、上記のアーカイブの中にあり、前のサイクルの再帰的に格納されたデータを含む。さらに、署名「task.tar.asc」が設定される。この署名を用いて、内部アーカイブ「task.tar」は、前のサイクルで、処理コンピュータシステム又は主コンピュータシステムにより署名されている。

上述のコンステレーションでは、内部アーカイブファイル「task.tar」は、１又は複数の、場合によってはネストされた、処理されるべきアーカイブ作業ファイルを含む。しかしながら、個々の処理コンピュータシステムにおける本方法に従うタスクファイルの上記の処理において、作業ファイルは、個々のステップの評価のために完全にパック解除されなければならない。したがって、ネストされたアーカイブファイルとしてのタスクファイルの性能により、作業ファイルが、本方法に従い実行される先行するトランスポートステップの数に依存して、タスクファイルの再帰的パック解除において複数回現れるという問題がある。例えば、作業ファイルを完全にパック解除するために、タスクファイル「id.taskid.tar」のパック解除が第１のステップで必要であり、内部アーカイブファイル「task.tar」のパック解除が第２のステップで必要である場合、作業ファイルは２度格納される。本方法のｎ回のサイクルの後、作業ファイルは、前記ファイルの完全なパック解除において既に２ｘｎ回現れ得る。これは、比較的少数のファイルでは問題ない。もっと多数の作業ファイル、例えば場合によっては数ギガバイト又はテラバイトを有し得るインポートファイルでは、大容量記憶領域が必要である。これは、処理において不利な遅延を生じ得る。

有利な代替のコンステレーションでは、上述の問題のために、タスクファイルは、変更された形式で再帰的に設計されたアーカイブファイルとして設定される。上記のコンステレーションでは、タスクファイルは、以下の構造を有しても良い。

id.taskid.tar
→pullupFiles
→task.tar
→task.tar.asc.
ここで、１又は複数の作業ファイルは、別個に、タスクファイル「id.taskid.tar」の中の内部アーカイブファイル「task.tar」に含まれる。作業ファイルは、タスクファイル「id.taskid.tar」の中の内部アーカイブファイル「task.tar」と別個に、特定のディレクトリ「pullupFiles」に埋め込まれる。さらに、上記の第２のコンステレーションでは、タスクファイル「id.taskid.tar」は、第１のコンステレーションと同様に先行するサイクルからの第１の処理コンピュータシステムの又は主コンピュータシステムの署名「task.tar.asc」を含む。

上述のコンステレーションでは、内部アーカイブファイル「task.tar」は、直前のサイクルの署名「task.tar.asc」により署名されている前のサイクルの再帰的にネストされた署名データを含む。第１のコンステレーションと対照的に、現在のサイクルで変更されたデータは、「pullupFiles」ディレクトリに直接追加され、「task.tar」の再帰的構造に含まれない。これは、更なるサイクルにおけるタスクファイル「id.taskid.tar」の中の作業ファイルの更なる処理のために、タスクファイル「id.taskid.tar」が１度パック解除される必要があるだけであり、したがって作業ファイルは１度だけ格納される、という利点をもたらす。

それでもなお、作業ファイル、及び該ファイルに対する個々の変更は、再帰的構造「task.tar」にリンクされるので、タスクファイルの連鎖した複数の処理（例えば署名）の利益が同様に生じる。しかしながら、上記の第２のコンステレーションは、再帰的方法を実行するためのデータ容量が、第１のコンステレーションと比べて有意に削減できるという利点をもたらす。このように、本方法の実行は、なお改善される。

タスクファイルのパック及びパック解除の全ての措置は、ファイルアーカイバを用いて実行できる。

有利なことに、第２のコンステレーションによる方法では、以下のステップが実行される。

アーカイブファイルとして設定されたタスクファイルをパック解除するステップ、
１又は複数のパック解除された作業ファイルを処理するステップ、
少なくとも内部アーカイブファイル及び前のサイクルの署名を第２の内部アーカイブファイルにパックするステップ、
本サイクルに含まれる、処理コンピュータシステムの新たな署名を生成するステップ、及び
第２の内部アーカイブファイル、処理された１又は複数の作業ファイル、及び生成された新たな署名を、アーカイブファイルとして設定された新たなタスクファイルにパックするステップ。

有利なことに、記載の種類の方法では、複数のセキュリティエンティティは、処理コンピュータシステムの内部に設定される。少なくとも、ブローカコンピュータシステムによるタスクファイルの受け付け、タスクファイルに基づく少なくとも１つの動作の実行、及び処理コンピュータシステムからブローカコンピュータシステムへのタスクファイルの返送は、異なるセキュリティエンティティを用いて互いに分離されたプロセスにより実行される。有利なことに、１つのプロセスのセキュリティエンティティは、別のプロセスのセキュリティエンティティへの接続又は通信を確立できないので、他のプロセスのセキュリティエンティティへのアクセスが防がれる。

しかしながら、ここで、後続のプロセスはイベントメカニズムによりトリガされるので、後続のプロセスのセキュリティエンティティは、タスクファイル又はタスクファイルのデータを更に処理できる。

用語「セキュリティエンティティ」は、一方で、個々のプロセスを実行するために、制限されたユーザ権限の状況で処理コンピュータシステムへのローカルアクセスを有する様々なユーザを含み得る。有利なことに、特に、ユーザ権限は個々のプロセスに限定され、或いは、１つのプロセスを実行するために特定の記憶領域、選択されたディレクトリ、等へのアクセスが制限される。一方で、用語「セキュリティエンティティ」は、個々のプロセスを実行するために設定される及び特定の（論理的に別個の）記憶領域に格納されるプログラム又はデーモンも含む。このようなプログラムは、有利なことに、限定された記憶領域へのアクセスを有するだけである。

個々のプログラム及び／又はユーザの間のプロセス間通信は、個々のプロセス間で通信が可能ではないように、制限される。特に、タスクファイル又はタスクファイルのデータは、前のプロセスの１つのセキュリティエンティティから後続のプログラム又は個々のユーザに直接送信されない、又は前のプロセスにより後続のプロセスの関数として呼び出されない。むしろ、先行するプロセスのセキュリティエンティティは、後続のエンティティのセキュリティエンティティへの接続を確立できないので、後続のプロセスのセキュリティエンティティへのアクセスが防がれる。これは、操作されたプロセス又は操作されたタスクファイルによる後続のセキュリティエンティティの操作、又は個々の処理コンピュータシステムにローカルな攻撃の拡張を可能な限り複雑にする。したがって、処理コンピュータシステムの中のタスクファイルの処理は、コンピュータネットワーク基盤の個々のコンピュータシステムの間のタスクファイルの交換と同様である。

タスクファイルの又はタスクファイルからのデータの内部転送、又は個々の後続のプロセスのトリガは、１又は複数のファイルシステムにより実現される。有利なことに、上記の転送又は次のプロセスのトリガは、イベントメカニズム（例えば、Ｌｉｎｕｘ（登録商標）における「inotify」又は「inotify２」）により、又は任意的にポーリングにより、又はこのようなメカニズムの組合せにより、達成できる。有利なことに、後続のプロセス又は後続のプロセスのセキュリティエンティティは、先行するプロセスが終了したときのみ、イベント駆動型の方法（例えば、「inotify」）で処理コンピュータシステムのカーネルにより、呼び出され、開始され、及び起動される。

処理コンピュータシステムにおける通信のフローは、有利なことに、タスクファイルに基づき達成される。タスクファイルは、最小限の権限（例えば、限定されたシェル）を有するユーザに又は異なるプログラム若しくはデーモンに割り当てられる、処理コンピュータシステムの中の異なる（論理的に別個の）セキュリティ段又は記憶領域を通り抜ける。少なくとも、以下の全体的プロセスが、タスクを処理するために設けられる。

ネットワークを経由してデータを受信し、又は本方法に従いブローカコンピュータシステムからデータをフェッチするステップ。このプロセスのために設定されたユーザは、可能な場合には、該ユーザとして処理コンピュータシステムへのログインを、したがって外部操作を、可能な限り複雑にするために、シェル権限を有しない。

タスクファイルのデータをパック解除し検証するステップ。検証は、任意的に署名、及び任意的に前の入力の信頼性の検証を含む。任意的に、更なる検証及びデータ処理のための措置が行われても良い。タスクファイルのサイズを検証することも可能である。例えば、先ず、最大許容ファイルサイズに関する場合によっては署名された情報、及びその後にタスクファイル自体が（例えば、ＳＳＨにより）送信されても良い。その後、タスクファイルが所要の最大サイズを満たすか否かに関する検証が行われる。場合によっては、本方法は、許容ファイルサイズが超過された場合に、中断される。

本方法に従い、処理コンピュータシステムにおいて動作を開始し及び実行するステップ。上記の動作は、場合によっては、管理者権限により実行される必要があっても良い。これは、例えば管理動作のためのスクリプト／プログラムの実行、又は例えばタスクファイルのデータの補足、及び／又は管理者、オペレータ若しくは他の人物による署名、であっても良い。別の例は、例えば生体的特徴による人物の同一性の検証である。

本方法を用いて（補足された）タスクファイルのルーティングのための次の処理又は目標コンピュータシステムを決定し、パックし、及びタスクファイルに署名するステップ、
次の処理又は目標コンピュータシステムへ転送するステップ。

上位のプロセスにおける上述の態様の順序及び特にその分割は、任意で変更可能である。

望ましくは、ブローカコンピュータシステムのグループのうちの１つのブローカコンピュータシステムから目標コンピュータシステムへの、又は処理コンピュータシステムのグループの中の１つの処理コンピュータシステムからのタスクファイルの送信は、以下のステップを有する。

ブローカコンピュータシステムから目標コンピュータシステム又は処理コンピュータシステムへ、特定のパッケージデータシーケンスを送信するステップ。ここで、目標コンピュータシステム又は処理コンピュータシステムの特定のネットワークポートは、閉にされ、該シーケンスは、目標コンピュータシステム又は処理コンピュータシステムの１又は複数のネットワークポートを特定の順序でアドレスする。

目標コンピュータシステム又は処理コンピュータシステムにおいて所定のシーケンスの順守性について、送信されたシーケンスを検証するステップ、並びに
送信されたシーケンスの検証が肯定的である場合に、目標コンピュータシステム又は処理コンピュータシステムによるタスクファイルの送信を生じるステップ。ここで、目標コンピュータシステム又は処理コンピュータシステムは、それぞれ、ブローカコンピュータシステムへの接続を確立し、タスクファイルをフェッチする。

上述の手段に基づく、ブローカコンピュータシステムから主コンピュータシステムへの、処理コンピュータシステムの要求ファイルの送信は、ここで示される本方法のステップに従い達成できる。

示される本方法のステップは、それぞれ、概して、目標コンピュータシステムの又は関与する処理コンピュータシステムの（本方法にとって決定的に重要な）ネットワークポートが、上述の意味で、閉じられる、及び目標コンピュータシステムへの接続を外部から確立することを防ぎ、操作的アクセスを有意に複雑にする、という利点を提供する。目標コンピュータシステム又は処理コンピュータシステムによりタスクファイルの送信を生じるステップは、個々のタスクファイルを目標コンピュータシステムへ又は処理コンピュータシステムへ（例えばＵｎｉｘに基づくコマンド「secure copy」、ｓｃｐにより）送信する自動化された処理であっても良い。このプロセスにより、目標コンピュータシステム又は処理コンピュータシステム自体が、ブローカコンピュータシステムへの接続を確立し、そこからタスクファイルをフェッチする。このプロセスは、特定のパッケージデータシーケンスを目標コンピュータシステムへ送信した後に、該シーケンスが所定のシーケンスに一致する場合に、開始され得る。シーケンスを送信するコンピュータシステムのＩＰアドレスは、目標コンピュータシステムに静的に設定でき、又は目標コンピュータシステムのカーネルに知られている可能なシーケンス送信コンピュータシステムの送信元ＩＰアドレスから動的に取り込むことができる。

このような方法は、「ポートノッキング」として知られている。前述のステップは、所謂ノックデーモン、つまりポートノッキングを可能にするプログラムにより実行できる。ノックデーモンは、標コンピュータシステムへ送信されるパッケージデータシーケンスを、目標コンピュータシステムのネットワークポートにおいて傾聴し、検証し、適切な場合には、ブローカコンピュータシステムから目標コンピュータシステム又は個々の処理コンピュータシステムへの（例えばスクリプト／プログラムを開始することにより）個々のタスクファイルの制御された送信を生じ、目標コンピュータシステム又は個々の処理コンピュータシステムはその目的のために利用可能な開放ポートを保持する必要がない。

記載のポートノッキングの代替で又はそれに追加で、目標コンピュータシステム又は関与する処理コンピュータシステム自体が、交換されるべき１又は複数のタスクファイルが存在するか否かに関して、ブローカコンピュータシステムを定期的間隔でポーリング（polling）することも考えられる。真の場合、ブローカコンピュータシステムから目標コンピュータシステムへの又は個々の処理コンピュータシステムへのタスクファイルの個々の送信が開始できる。目標コンピュータシステム又は個々の処理コンピュータシステムが、ポートノッキングが生じていない特定の時間期間が超過したときに、ポーリングを実行することも考えられる。このように、ポートノッキング問題が検出でき、機能は維持される。

記載の手段は、ブローカコンピュータシステムのグループを介して、コンピュータネットワーク基盤の中のセキュアなコンピュータシステムの間の通信を可能にする。ここで、同時に、主コンピュータシステムにより、個々のタスクファイルによるタスク命令の転送のための通信構造の固定的枠組みは、ルーティング情報を用いて設定される。このように、主コンピュータシステム、ブローカコンピュータシステムのグループ、及び処理コンピュータシステムのグループは、本願明細書に記載の方法に従い、タスクを開始する処理コンピュータシステムと個々のタスクが実行されるべき目標コンピュータシステムとの間に、ある種の「セキュア通信ミドルウェア」を形成する。

望ましくは、本願明細書に記載の種類の方法では、通信経路は複数のサブ経路を有し、タスクファイルは、ブローカコンピュータシステムにより複数のサブ経路に沿って通信経路の中の複数の後続のコンピュータシステムへ送信される。

通信経路の中の後続のコンピュータシステムは、ブローカ、処理、又は目標コンピュータシステムであっても良い。このように、タスクファイルは、１つのコンピュータシステムから複数の受信コンピュータシステムへ、通信構造１：ｎに従って、更に配信できる。示された手段は、相互作用的であるとも考えられる。したがって、カスケードされる更なる配信が達成される。これは、複数の受信機のうちの１つから複数の更なるコンピュータシステムへを意味する。

言及された更なる配信では、非同期の更なる配信が生じても良い。コンピュータシステムに到達できない場合、タスクファイルは、他のコンピュータシステムへ独立して送信される。好都合なことに、異なる受信コンピュータシステムに加えて、（Ｕｎｉｘに基づく命令、ｓｃｐ、ｒｓｙｎｃ、その目的のために特別に策定された送信プロトコル、等に従い）異なる送信方法が実施されても良い。

望ましくは、本願明細書に記載の方法では、タスクファイルは、通信経路に沿って参加しているコンピュータシステムのうちの少なくとも１つにおいて、コンピュータネットワーク基盤の中でユニークな識別情報を提供され、又はタスクファイルの既存の識別情報が補完される。

タスクファイルの個々の識別情報は、通信経路の幾つかのエンティティに渡っても、追跡可能性を可能にする。識別情報の補完は、該識別情報に例えばユニークな拡張子を提供することであっても良い。ここで、第１のエンティティの元の識別情報は、有利なことに、元の情報が拡張子から区別可能に維持されるように、補完される。したがって、識別情報は、幾つかの補完段階に渡っても、その起源を追跡できる。

有利なことに、本願明細書に記載の種類の方法では、通信経路に沿うタスクファイルの履歴は監視方法を用いて監視され、及び／又は通信経路に沿う参加しているコンピュータシステムにおけるタスクファイルの記憶期間は監視され、及び／又は全ての方法のステップは監視によりログを取られる。

格納されたルーティング情報と関連して、タスクファイルの識別情報に基づき、通信経路が観察されるか否か、及びどのコンピュータシステムがルーティングの中で到達（に成功）できるか及びその可能性があるかに関して決定できる。特定のコンピュータシステムにおけるタスクファイルの記憶期間は、例えばタスクファイルの生成中に、主コンピュータシステムにより定めることができる。保有期間の経過後、タスクファイルは更に又は最終的に役に立たなくなるまで送信され得ない又は送信されてはならない。必要な場合、警告メッセージが生成されても良く、或いは、他の措置を取ることができ、この措置はルーティングプロセスによりログを取られる。

有利なことに、本方法では、監視は、通信経路に沿って関与するコンピュータシステムのうちの１又は複数にある静的に実行するプログラムを用いて、少なくとも部分的に達成される。監視されるべき１又は複数のコンピュータシステムにある静的に実行するプログラムを用いる監視の静的構成の選択肢は、構成のためのパラメータがコンピュータネットワーク基盤の中で交換される必要がないよう、及び潜在的なセキュリティ欠陥がプログラムの実行により（例えば、バッファオーバフローにより）生じないようにする。

有利なことに、専用の監視コンピュータシステムは、監視プログラムへの暗号化された接続を確立する。有利なことに、監視コンピュータシステムは、更なる関与するコンピュータシステムと別個に設定される。有利なことに、監視は、監視ネットワーク自体により設定できる。したがって、監視は、コンピュータネットワーク基盤の更なる通信構造と独立である。有利なことに、監視コンピュータシステムは、監視されるべきコンピュータシステムへ向かう方向の全てのネットワークポートを閉に保つ。このようにカプセル化されたコンピュータシステムによる暗号化された接続の確立は、セキュリティをなお向上する。例えばＳＳＨ又はＶＰＮを介して監視されるべきコンピュータシステムへの暗号化された接続を設定すること、並びに監視されるべきコンピュータシステムにおいて接続のための更なるポートを開に保たないことは、有利である。

さらに、又は専用監視コンピュータシステムの代替として、参加しているコンピュータシステムは、さらに、監視（サブ）タスクを想定しても良い。

本発明の別の態様では、上述の目的は、少なくとも以下を有するコンピュータネットワーク基盤により達成される。
主コンピュータシステム、
目標コンピュータシステム、
ブローカコンピュータシステム。

主コンピュータシステムは、強制的に含まれ及び後にブローカコンピュータシステムを用いてタスクファイルを目標コンピュータシステムへ送信する１又は複数のコンピュータシステムへのルーティングのために主コンピュータシステムに格納された所定のルーティング情報からタスクファイルを生成するよう適応される。

目標コンピュータシステムは、ブローカコンピュータシステムを用いて、検証のために、目標コンピュータシステムへ送信されたタスクファイルを検証し、必要な場合には、タスクファイルを用いて目標コンピュータシステムにおいて少なくとも１つのタスクを実行するよう、設定される。

目標コンピュータシステム及び主コンピュータシステムは、それぞれ、本方法のために使用される所定のネットワークポートを閉に保つよう設定され、主コンピュータシステムへの又は目標コンピュータシステムへの接続を外部から確立することが許されないように、したがって、該ネットワークポートを用いるネットワークを介するアクセスが防がれるように、しかし、ブローカコンピュータシステムにタスクファイルを格納し又はブローカコンピュータシステムからタスクファイルをフェッチするために、主コンピュータシステム及び目標コンピュータシステムからブローカコンピュータシステムへの接続を確立することが許されるようにする、１つのアクセス制御ユニットを有する。

望ましくは、コンピュータネットワーク基盤は、ブローカコンピュータシステムを用いて主コンピュータシステムへ、目標コンピュータシステムにおいてタスクを実行するための要求ファイルを送信するよう設定される処理コンピュータシステムも有する。

この状況では、主コンピュータシステムは、有利なことに、目標コンピュータシステムにおいてタスクを実行するための要求ファイルの特定の情報を、タスクファイルに格納するよう設定される。処理コンピュータシステムは、本方法のために使用される特定のネットワークポートを開に保つよう設定され、処理コンピュータシステムへの接続を外部から確立することが許されないように、したがって、該ネットワークポートを用いるネットワークを経由するアクセスが防がれるように、しかし、ブローカコンピュータシステムにタスクファイル又は要求ファイルを格納し又はブローカコンピュータシステムからタスクファイル又は要求ファイルをフェッチするために、処理コンピュータシステムからブローカコンピュータシステムへの接続を確立することが許されるようにする、１つのアクセス制御ユニットを有する。

記載の種類のコンピュータネットワーク基盤は、有利なことに、上述の種類の方法を実行することを可能にする。好都合なことに、上述の方法と関連して述べた利点は、この種類のコンピュータネットワーク基盤により同様に効力を生じる。上述の方法と関連して記載した全ての有利な手段は、コンピュータネットワーク基盤の個々の構造的手段においても適用され、逆も同様である。

別の態様では、上述の目的は、１又は複数のコンピュータシステムにおいて実行されるよう及び実行により上述の種類の方法を実行するよう設定されるコンピュータプログラムを用いて達成される。

更に有利な構成は、下位請求項に、及び以下に与えられる図の説明で、開示される。

以下では、本発明は、図面に基づき更に詳細に記載される。

通信のための基本的な方法のステップを有するコンピュータネットワーク基盤の概略図である。 通信のための詳細な方法のステップを有する図１Ａに従う概略図である。 コンピュータネットワーク基盤の更なる実施形態の概略図である。 複数の受信者にデータを転送するコンピュータネットワーク基盤の一部の概略図である。

図１Ａは、複数のコンピュータシステムを有し及びセキュアなコンピュータシステムの間でタスク命令の情報を転送するよう設定されるコンピュータネットワーク基盤の概略図を示す。

具体的には、コンピュータネットワーク基盤は、主サーバとして設定される主コンピュータシステムと、タスクサーバ１及びタスクサーバ２を含むブローカコンピュータシステムのグループと、管理クライアント１、管理クライアント２、及び管理クライアント３を含む処理コンピュータシステムのグループと、を有する。コンピュータネットワーク基盤は、図１Ａで目標サーバとして表される目標コンピュータシステムを更に有する。

２つのブローカコンピュータシステム、つまりタスクサーバ１及びタスクサーバ２は、関与する他のコンピュータシステムと基本的に異なる。他のコンピュータシステムと対照的に、タスクサーバ１及びタスクサーバ２は、開放ネットワークポートを備えるコンピュータシステムであり、両方のブローカコンピュータシステム、つまりタスクサーバ１及びタスクサーバ２は、更なるコンピュータシステムによりネットワークを経由して外部からアドレス可能である。有利なことに、タスクサーバ１及びタスクサーバ２は、セキュアなシステムである。例えば、所定のＶＰＮ又はＳＳＨ接続のみが、これらのシステムに対して許される。

これに対し、主サーバ、管理クライアント１〜３、及び目標サーバは、全ての所定のネットワークポートを閉に保っているセキュアなコンピュータシステムである。この例では、これらのコンピュータシステムのネットワークポートにおいて実行プログラム又はサービスは設定されない。したがって、開放ネットワークポートを用いてネットワークを経由して外部からのアドレス指定能力は可能ではない。このように、ネットワークポートを閉にされた上記のコンピュータシステムは、コンピュータネットワーク基盤の中でカプセル化されたシステムである。ブローカコンピュータシステムに対して、これは、主サーバ、管理クライアント１〜３、及び目標サーバにおける斜線を付した入力／出力段により示される。

それでもなお、関与するコンピュータシステムの間の通信は可能である。タスクサーバ１又はタスクサーバ２は、上述のように、開放ネットワークポートを有し、場合によっては実行プログラム、例えばアドレス指定能力を有するので、主サーバ、管理クライアント１〜３、及び目標サーバは、それぞれ、タスクサーバ１又はタスクサーバ２にネットワークを経由してアクセス可能である。したがって、データパッケージ、ファイル、又は要求は、タスクサーバ１及び２へアドレスされ、それらへ送信され、及び他の関与するコンピュータシステムとの更なる通信のためにそこに格納されても良い。

タスクサーバ１又は２のうちの１つから主サーバ、管理クライアント１〜３、又は目標サーバへの通信のために、コンピュータネットワーク基盤は、ポートノッキングプロセスを使用する。これは、主サーバ及び管理クライアント１〜３及び目標サーバが、上述のように、全てのネットワークポートを閉に保ち、このコンピュータシステムにおいて実行サービスがネットワークを経由して外部からアドレスできないので、必要である。通信のために、タスクサーバ１又は２は、先ず、アドレスされたコンピュータシステムの１又は複数のネットワークポートをアドレスするシーケンスと共に、個々のコンピュータシステム（主サーバ、管理クライアント１〜３、又は目標サーバ）へ、特定のパッケージデータシーケンスを送信する。

上記の検証が肯定的である場合、アドレスされたコンピュータシステムは、タスクサーバ１又は２からアドレスされたコンピュータシステムへの、データパッケージの又は送信されるべきファイルの送信を生じる。このように、アドレスされたコンピュータシステムは、更なる処理のために、タスクサーバ１又は２からデータパッケージ又はファイルをフェッチする。この種の送信は、例えば、Ｕｎｉｘに基づくプロトコル「secure copy」（ＳＣＰ）により達成されても良い。決定的要因は、全てのネットワークポートがアドレスされたカプセル化されたコンピュータシステムにおいて閉に保たれていることである。ポートノッキングプロセスを用いて、カプセル化されたコンピュータシステムに対して何らかの種類の「ノッキング」が達成される。したがって、後者は、最終的に、サーバ１又は２からそれらに向けられたデータパッケージをフェッチできる。

図１Ａは、コンピュータネットワーク基盤を用いて、管理クライアント１と目標サーバとの間でタスク命令を転送するルーティング方法の基本的方法ステップを概略的に示す。

ステップ１で、管理クライアント１のオペレータは、目標サーバにおいて実行されるべき特定のタスクを実行する。上記のタスクは、例えば、送信されるべきデータの処理、プログラムの再開、目標サーバが設置されるラックへの物理的アクセス、目標サーバの中のバックアップファイルの回復、目標サーバへの限定的ＳＳＨアクセス、又は類似の動作であっても良い。この目的のために、オペレータは、目標サーバ上でタスクを実行するための特定の情報を管理クライアント１において決定し、それらを要求ファイルにコンパイルしても良い。次に、上記の要求ファイルは、管理クライアント１にローカルに存在する鍵（パスフレーズ）により署名される。上記の要求ファイルは、管理クライアント１からタスクサーバ１へ送信される。続いて、上述のように、タスクサーバ１は、主サーバに関してポートノッキングプロセスを実行する。

ステップ２で、主サーバは、タスクサーバ１から要求ファイルをフェッチし、それに含まれる情報を目標サーバにおける可能なタスクの特定の基本機能と比較する。特定の基本機能は、例えば、予め定められ、例えばセキュリティ権限のある人物により主サーバにフォームデータとして格納されても良い。さらに、管理クライアント１により命令されるタスクを実行するための性能パラメータは、目標サーバに設定できる。この種の性能パラメータは、実行時間、実行期間、特定のエンティティの識別情報データ（例えば、セキュリティ職員）等に関連しても良い。

主サーバは、送信された情報及び個々のタスクの選択された基本機能からタスク記述を生成し、上記の記述を特定のルーティング情報と一緒にタスクファイルにパックする。

ルーティング情報は、（例えば、セキュリティ権限のある人物により）主サーバに格納され、主サーバと目標サーバとの間の少なくとも１つの特定の通信経路を定める。このように、ルーティング情報は、生成されたタスクファイルを確認し、処理し、補完し及び最終的にこのように定められたタスクを実行するために目標サーバへ送信するために、タスクファイルがどの送信経路へ進まなければならないか及びどの関与するコンピュータシステムがいつ特定の動作を実行しなければならないかに関する固定的枠組みを定める。有利なことに、上述の条件のＩＤ（identity）は、主サーバ、目標サーバにおいて、又は任意の中間ステップで、例えば上述のセキュリティ権限のある人物により、署名を用いて、検証できる。このような署名を生成するための秘密鍵はここで関心のあるネットワークの中で全く利用可能ではないので、侵入者による（ルーティング情報のような）条件の操作は大いに排除される。

したがって、タスクファイルは、個々のタスクファイルが目標サーバでの実行に成功できるようにするために、主サーバにおいて固定的に指定される通信経路に従わなければならない。このような設定されたルーティングは、特定の通信経路からの又は特定のコンピュータシステムにおける特定の動作からの逸脱が検出され、目標サーバにおけるタスクの実行の成功をもたらさないので、外部操作に対するセキュリティを増大する。

主サーバにおいて確立されたタスクファイルは、タスク記述及びルーティング情報を含み、主サーバからタスクサーバ１へ送信され、ポートノッキングプロセスを用いて、そこから管理クライアント２へ送信される。ここで、管理クライアント２は、ポートノッキングプロセスの後に、タスクサーバ１からタスクファイルをフェッチする。管理クライアント２では、所定のローカル動作の実行は、ステップ３において達成される。

このような動作は、例えば、タスクファイルへの更なるデータの挿入、及び／又は管理クライアント２の少なくとも１つの秘密鍵によるタスクファイルの署名、目標サーバの公開鍵によるタスクファイルの暗号化、を含んでも良い。さらに、タスクファイルの識別情報は、既存の識別情報により生成され又は補完されることも考えられる。これは、通信経路の中の追跡可能性に役立つ。識別情報を用いて、タスクファイルは、例えば監視プロセス（詳細に示されない）を用いて監視されても良い。

例示的な方法では、管理クライアント２においてタスクファイルを処理した後に、タスクファイルは、タスクサーバ１へ、そこからタスクサーバ２へ返送される。上記のサーバは、次に、管理クライアント３に関してポートノッキングプロセスを実行して、ルーティング情報を用いて通信経路の中で論理的に後続の管理クライアント３が、管理クライアント２により処理されたタスクファイルをタスクサーバ２からフェッチし、タスクファイルを用いて新しいローカル動作を再び実行できるようにする。この動作は、上述の枠組みの中の処理も含んでも良い。図示のネットワーク構造の代替として、タスクサーバ１から管理クライアント３へタスクファイルを直接送信することも考えられる。

管理クライアント３において更なる動作を実行した後に、タスクファイルは、タスクサーバ２へ返送される。次に、タスクサーバ２は、目標サーバに関してポートノッキングプロセスを実行する。ここで、目標サーバは、タスクサーバ２からタスクファイルを最終的にフェッチする。最後のステップ５で、目標サーバは、タスクファイルを検証し、成功した場合には、タスクファイルに定められたタスクをローカルで実行する。

したがって、記載のコンピュータネットワーク基盤及び図示の方法に従いタスク命令を転送するルーティング方法は、命令を与える側としての管理クライアント１と命令を受け取る側としての目標サーバとの間で安全なミドルウェア構造を形成する。更なるコンピュータシステム（主サーバ、タスクサーバ１、２、及び更なる管理クライアント２及び３）は、データパッケージを目標サーバへ転送し、補完し、及び／又は署名するミドルウェア構造の分散型トポロジを形成する。

主サーバにより複数の管理クライアントを用いて確立されるタスクファイルの累積的処理は、外部攻撃によるタスクファイル自体の又は参加しているコンピュータシステムの外部操作に対するセキュリティを増大する。なぜなら、攻撃者は、所定の通信経路に沿ってタスクファイルの累積的署名を最終的に操作するために、全ての関与するシステムへのアクセスを獲得し及びこれらのシステムの中のユーザの署名又はパスフレーズをフィッシングしなければならないからである。しかしながら、図１Ａによるコンピュータネットワーク基盤及び基本的ルーティング方法は、個々のカプセル化されたシステム（主サーバ及び管理クライアント１〜３及び目標サーバ）にも拘わらず、目標構造のイベント制御を可能にする分散型トポロジが提供されるという利点をもたらす。決定的に重要な因子は、タスクファイルの特定のルーティングと、セキュリティ関連動作がカプセル化されたシステム、つまり外部アドレス指定能力、したがってネットワークを経由する攻撃に対する脆弱性のための開放ネットワークポートを有しないシステムでローカルに実行されるという事実との間の相互作用にある。

図１Ｂは、詳細な方法のステップを有する、図１Ａに従うコンピュータネットワーク基盤を示す。上記のステップは、以下に再び簡単に示される。

ステップ１で、管理クライアント１は、目標サーバで実行されるべきタスクを開始する。ステップ２で、管理クライアント１は、主サーバへのルーティング情報を呼び出し、ステップ３で、タスクサーバ１へ要求ファイルを送信する。ステップ４で、タスクサーバ１は要求ファイルを受信し、ステップ５で、主サーバへのルーティングを決定する。ステップ６で、タスクサーバ１の主サーバへのポートノッキング、及び主サーバによるタスクサーバからのタスクファイルのフェッチが行われる。

ステップ７で、主サーバは、タスクファイルをローカルで生成し、タスクサーバ１に戻るルーティングを決定する。ステップ９で、確立されたタスクファイルは、主サーバからタスクサーバ１へ転送される。ステップ１０で、タスクサーバ１はタスクファイルを受信し、ステップ１１で、管理クライアント２に戻るルーティングを決定する。ステップ１２で、ポートノッキングが管理クライアント２に対して実行され、タスクファイルは、タスクサーバ１から管理クライアント２によりフェッチされる。

ステップ１３で、管理クライアント２においてタスクファイルを用いてローカル動作が達成される。ステップ１４で、タスクサーバ１に戻るルーティングが決定される。ステップ１５で、処理されたタスクファイルがタスクサーバ１へ返送される。

ステップ１６で、タスクサーバ１は処理されたタスクファイルを受信し、ステップ１７で、タスクサーバ２へのルーティングを決定する。

ステップ１８で、タスクファイルは、タスクサーバ２へ更に送信され、ステップ１９で、最終的にタスクサーバ２により受信され、そこに格納される。ステップ２０で、タスクサーバは、管理クライアント３へのルーティングを決定し、ステップ２１で管理クライアント３に対するポートノッキングを実行する。ここで、上記のクライアントは、タスクサーバ２からタスクファイルをフェッチする。

ステップ２２で、管理クライアント３においてタスクファイルを用いて更なるローカル動作が達成される。ステップ２３で、タスクサーバ２に戻るルーティングが設定される。ステップ２４で、更に処理されたファイルがタスクサーバ２へ返送される。

ステップ２５で、タスクサーバ２は更に処理されたタスクファイルを受信し、ステップ２６で、目標サーバへのルーティングを決定する。

ステップ２７で、目標サーバに対するポートノッキングが達成される。目標サーバは、更に処理されたファイルをタスクサーバ２からフェッチし、ステップ２８でタスクファイルを最終的に検証し、必要な場合には、個々のタスクを実行する。

図２は、別の可能な実施形態によるコンピュータネットワーク基盤の概略図を示す。

ここで、コンピュータネットワーク基盤は、主サーバ、タスクサーバ、管理クライアント、及び目標サーバを有するだけである。この構成では、管理クライアントは、第１のステップ１で要求ファイルを用いてタスクを開始するために、及びステップ２で確立されたタスクファイルの、ステップ３における管理クライアントでローカルに実行されるべき動作を介する主サーバによる更なる処理のために、役立つ。

上記の動作を実行した後に、タスクサーバによる処理されたタスクファイルのフェッチ、及び目標サーバへの更なる転送が達成される。ここで、個々のタスクは、タスクファイルの検証の後に、そこでえ実行される。継続する通信手順は、図１Ａ及び１Ｂに示す手順に基本的に対応し、ここで更なる説明を必要としない。

図３は、タスクサーバ１、タスクサーバ２、タスクサーバ３、及びコンピュータを有するコンピュータネットワーク基盤の部分を示す。コンピュータは、閉鎖ネットワークポート（コンピュータの斜線を付された入力段を参照）を有するカプセル化されたシステムである。コンピュータは、上述の種類の管理クライアント又は目標サーバ、又は混合された方法でこれらのシステムから構築されるシステムであっても良い。

ここで、タスクサーバ１は、データパケットが通信経路構造の複数の並列サブ経路を経由して複数のシーケンシャルなコンピュータシステム（タスクサーバ２及びタスクサーバ３、及びコンピュータ）へ並列に又は順次に更に送信できるように、設定される。したがって、タスクサーバ１は、データパケットの所謂１：ｎ配信を実行する。

第１のステップで、データパケットはタスクサーバ１に到達する。ステップ２で、タスクサーバ１は、所定のルーティング情報を用いてデータパッケージを受信すべき受信者のリストを決定する。図３の構成によると、上記の受信者は、タスクサーバ２、タスクサーバ３、及びコンピュータである。ステップ３で、データパッケージは、複製され、タスクサーバ２及びタスクサーバ３へ直接転送される。

上述のように閉鎖ネットワークポートを有するコンピュータへ向けて、先ず、ステップ４で、ポートノッキングが行われる。ステップ５で、コンピュータは最終的にタスクサーバ１からデータパッケージをフェッチする。

このように、データパッケージの１：ｎの更なる配信は、最終的に可能になる。カスケード配信を実行することも考えられる。ここで、複数の受信者のうちの１つの受信者は、また、データパッケージを複数の更なる受信者へ転送する。

データパケットにユニークな識別情報を備えること、及び／又は既に割り当てられた識別情報をユニークな拡張子で補完することも（上記を参照）考えられる。タスクサーバ１は、受信したデータパケットの識別情報を拡張子で補完し得る。これは、それぞれ、どの更なる受信者にデータパケットが送信されるべきか、又はどの受信者が実際にデータパケットを受信しているかの追跡可能性を可能にする。更なるカスケード配信の例では、補完された情報の連鎖が生じ、したがって、ネットワーク全体を通じて追跡可能性が可能になる。ここで、どのインスタンスからどのインスタンスへ個々のデータパッケージが送信されるかが分かる。データパッケージの識別情報の拡張子は、到達されるべきシステムの数又は計算を有する「Max Counter」カウンタを含み得る。図３によると、３個のコンピュータシステムが受信者としてタスクサーバ１に従うので、カウンタ「Max Counter」は拡張子「３」を与えられ得る。さらに、カウンタ「Max Counter」は、個々の目標を明確にマークする拡張子を備える任意のユニークなパッケージを提供し得る。カウンタ「Max Counter」は、タスクサーバ２のための拡張子「１」、及びタスクサーバ３のための拡張子「２」を含み、及びコンピュータのための拡張子「３」を含み得る。

データパケットのユニークな識別情報は、監視システムにより監視され、理解され、及びログを取られ得る。

コンピュータネットワーク基盤の可能なトポロジの例示的な実施形態は、単なる例である。ここで、簡略化の目的のために単に基本的に含まれるコンポーネントが図示される。

以上の実施形態に関し、更に以下の付記を開示する。
（付記１） コンピュータネットワーク基盤の中のセキュアコンピュータシステムの間でタスク命令を転送するルーティング方法であって、
主コンピュータシステムに格納されているルーティング情報を呼び出すステップであって、前記ルーティング情報は、前記コンピュータネットワーク基盤の中の前記主コンピュータシステム、１又は複数のブローカコンピュータシステムのグループ、及び目標コンピュータシステムの間の通信経路に沿って強制的に含まれるべき１又は複数のコンピュータシステムへの少なくとも１つのルーティングを定める、ステップと、
前記主コンピュータシステムにおいてタスクファイルを生成するステップであって、前記タスクファイルは、少なくとも、前記ルーティング情報、及び前記目標コンピュータシステムの少なくとも１つのタスクのタスク記述を有する、ステップと、
前記ルーティング情報に基づき、前記通信経路に沿って、前記ブローカコンピュータシステムの前記グループを用いて、前記主コンピュータシステムから前記目標コンピュータシステムへ前記タスクファイルを送信するステップと、
前記目標コンピュータシステムを用いて、前記タスクファイルの有効性を検証するステップと、
前記タスクファイルの有効性の検証が成功した場合に、前記タスクファイルを用いて前記目標コンピュータシステムにおいて少なくとも１つのタスクを実行するステップであって、前記主コンピュータシステム及び前記目標コンピュータシステムの両方は、当該方法に使用される特定のネットワークポートを閉に保ち、前記主コンピュータシステムへの又は前記目標コンピュータシステムへの接続を外部から確立することが許されないように、したがって前記ネットワークポートを用いるネットワークを経由するアクセスが防がれるようにし、しかし、前記主コンピュータシステム及び前記目標コンピュータシステムがそれぞれ、ブローカコンピュータシステムにタスクファイルを格納するため又は前記ブローカコンピュータシステムから前記タスクファイルをフェッチするために、前記ブローカコンピュータシステムへの接続を確立できる、ステップと、
を有する方法。
（付記２） １又は複数の処理コンピュータシステムのグループの中の１つの処理コンピュータシステムから、前記ブローカコンピュータシステムの前記グループの中の１つのブローカコンピュータシステムへ、要求ファイルを送信するステップであって、前記要求ファイルは、前記目標コンピュータシステムでタスクを実行するための特定の情報を含む、ステップと、
前記ブローカコンピュータシステムから前記主コンピュータシステムへ、前記要求ファイルを送信するステップであって、前記主コンピュータシステムは、前記ブローカコンピュータシステムから前記要求ファイルをフェッチするために、前記ブローカコンピュータシステムへの接続を確立する、ステップと、
前記主コンピュータシステムにより前記タスク記述をコンパイルするステップであって、前記要求ファイルの前記特定の情報に基づき、タスクの特定の基本機能が、前記主コンピュータシステムにより選択され、場合によっては、前記目標コンピュータシステムにおいて前記タスクを実行するための性能パラメータは、前記主コンピュータシステムにより設定される、ステップと、
を更に有する付記１に記載の方法。
（付記３） 前記要求ファイルの前記特定の情報は、少なくとも、
命令を与える側としての、前記処理コンピュータシステムの前記グループの中の少なくとも１つの処理コンピュータシステムのもの、及び／又は
命令を受ける側としての、前記目標コンピュータシステムのもの、及び／又は
デジタル署名、及び／又は
タスクを実行するための命令、及び／又は
機密データ、
を有する、付記２に記載の方法。
（付記４） 前記処理コンピュータシステムの前記グループの中の各々の処理コンピュータシステムは、当該方法のために使用される特定のネットワークポートを閉に保ち、前記個々の処理コンピュータシステムへの接続を外部から確立することが許されないように、したがって、前記ネットワークポートを用いてネットワークを経由するアクセスが防がれるようにし、しかし、前記処理コンピュータシステムの前記グループの中の各々の処理コンピュータシステムは、ブローカコンピュータシステムにタスクファイル若しくは要求ファイルを格納するために、又はブローカコンピュータシステムからタスクファイル若しくは要求ファイルをフェッチするために、前記ブローカコンピュータシステムへの接続を確立できる、付記２又は３に記載の方法。
（付記５） 前記ルーティング情報は、前記コンピュータネットワーク基盤の中の前記処理コンピュータシステムの前記グループの中の少なくとも１つの処理コンピュータシステムを、強制的に含まれるべきコンピュータシステムとして定め、
前記方法は、
前記ブローカコンピュータシステムの前記グループの中の少なくとも１つのブローカコンピュータシステムから、処理コンピュータシステムの前記グループの中の少なくとも１つの処理コンピュータシステムへ、前記タスクファイルを送信するステップと、
前記処理コンピュータシステムにおいて少なくとも１つの動作を実行するステップと、
前記処理コンピュータシステムから前記ブローカコンピュータシステムへ、前記タスクファイルを返送するステップと、
を更に有する付記２乃至４のいずれか一項に記載の方法。
（付記６） 前記少なくとも１つの動作は、少なくとも、
前記タスクファイルに更なるデータを挿入すること、及び／又は
少なくとも１つの秘密鍵により前記タスクファイルを署名すること、及び／又は
前記目標コンピュータシステムの公開鍵で前記タスクファイルを暗号化すること、
を含む、付記５に記載の方法。
（付記７） 前記方法は、前記ブローカコンピュータシステムの前記グループと前記処理コンピュータシステムの前記グループとの間で幾つかのサイクルで再帰的に実行され、前記タスクファイルは、再帰的設定アーカイブファイルとして設計され、少なくとも、
１又は複数の作業ファイル、
内部アーカイブファイル、及び
前のサイクルからの処理コンピュータシステムの又は前記主コンピュータシステムの署名、
を含み、個々の処理コンピュータシステムにおいて各々のサイクルで、
アーカイブファイルとして設定された前記タスクファイルをパッキング解除するサブステップと、
前記１又は複数のパッキング解除された作業ファイルを処理するサブステップと、
少なくとも前記内部アーカイブファイル及び前のサイクルの前記署名を、第２の内部アーカイブファイルにパッキングするサブステップと、
本サイクルに含まれる前記処理コンピュータシステムの新しい署名を生成するサブステップと、
前記第２の内部アーカイブファイル、前記処理された１又は複数の作業ファイル、及び前記生成された新しい署名を、アーカイブファイルとして設定された新しいタスクファイルにパッキングするサブステップと、
が実行される、付記６に記載の方法。
（付記８） 複数のセキュリティエンティティが、前記処理コンピュータシステムの中に設定され、少なくとも、前記ブローカコンピュータシステムからの前記タスクファイルの前記受信、前記タスクファイルを用いた少なくとも１つの動作の実行、及び前記処理コンピュータシステムから前記ブローカコンピュータシステムへの前記タスクファイルの返送は、異なるセキュリティエンティティにより別個のプロセスで実行され、
プロセスのセキュリティエンティティは、別のプロセスのセキュリティエンティティへの接続を確立できず、したがって、他のプロセスの前記セキュリティエンティティへのアクセスは防がれ、しかし、後続のプロセスはイベントメカニズムによりトリガされ、したがって、前記後続のプロセスのセキュリティエンティティは、前記タスクファイル又は前記タスクファイルのデータを更に処理できる、
付記５乃至７のいずれか一項に記載の方法。
（付記９） 前記ブローカコンピュータシステムの前記グループの中の１つのブローカコンピュータシステムから前記目標コンピュータシステムへ又は前記処理コンピュータシステムの前記グループの中の１つの処理コンピュータシステムへ、前記タスクファイルを送信するステップは、
前記ブローカコンピュータシステムから前記目標コンピュータシステムへ又は前記処理コンピュータシステムへ、特定のパッケージデータシーケンスを送信するステップであって、前記目標コンピュータシステムの又は前記処理コンピュータシステムの前記特定のネットワークポートは、閉じられ、前記シーケンスは、前記目標コンピュータシステム又は前記処理コンピュータシステムの１又は複数のネットワークポートを特定の順序でアドレスするステップと、
前記目標コンピュータシステムの中の又は前記処理コンピュータシステムの中の所定のシーケンスとの一致について、前記送信されたシーケンスを検証するステップと、
前記送信されたシーケンスの前記検証が肯定的である場合、前記目標コンピュータシステム又は前記処理コンピュータシステムを用いて前記タスクファイルの前記送信を生じさせるステップであって、前記目標コンピュータシステム又は前記処理コンピュータシステムは、それぞれ、前記ブローカコンピュータシステムへの接続を確立し、前記タスクファイルをフェッチする、ステップと、
を有する、付記１乃至８のいずれか一項に記載の方法。
（付記１０） 前記通信経路は、複数のサブ経路を有し、前記タスクファイルは、ブローカコンピュータシステムから前記複数のサブ経路に沿って前記通信経路の中の複数のコンピュータシステムへ続いて送信される、付記１乃至９のいずれか一項に記載の方法。
（付記１１） 前記タスクファイルは、前記通信経路に沿って含まれる少なくとも１つのコンピュータシステムにおいて、前記コンピュータネットワーク基盤の中でユニークな識別情報を与えられ、又は前記タスクファイルの既存の識別情報が補完される、付記１乃至１０のいずれか一項に記載の方法。
（付記１２） コンピュータネットワーク基盤であって、少なくとも、
主コンピュータシステムと、
目標コンピュータシステムと、
ブローカコンピュータシステムと、
を有し、
前記主コンピュータシステムは、強制的に含まれるべき１又は複数のコンピュータシステムへのルーティングのために、前記主コンピュータシステムに格納された所定のルーティング情報からタスクファイルを生成するよう、及び前記タスクファイルを前記ブローカコンピュータシステムを用いて前記目標コンピュータシステムへ続けて送信するよう、設定され、前記目標コンピュータシステムは、前記ブローカコンピュータシステムにより前記目標コンピュータシステムへ送信されたタスクファイルの有効性を検証するよう、及び必要に応じて、前記タスクファイルに基づき前記目標コンピュータシステムの中の少なくとも１つのタスクを実行するよう、設定され、前記目標コンピュータシステム及び前記主コンピュータシステムは、それぞれ、アクセス制御ユニットを有し、前記アクセス制御ユニットは、当該方法のために使用される特定のネットワークポートを閉に保つよう設定され、前記主コンピュータシステムへの又は前記目標コンピュータシステムへの接続を外部から確立することが許されないように、したがって、前記ネットワークポートを用いてネットワークを経由するアクセスが防がれるようにし、しかし、ブローカコンピュータシステムにタスクファイルを格納するため又はブローカコンピュータシステムからタスクファイルをフェッチするために、前記主コンピュータシステム又は前記目標コンピュータシステムから前記ブローカコンピュータシステムへの接続を確立することが許される、
コンピュータネットワーク基盤。
（付記１３） 処理コンピュータシステムを更に有し、
前記処理コンピュータシステムは、前記ブローカコンピュータシステムを用いて前記目標コンピュータシステムにおいてタスクを実行するために、前記主コンピュータシステムへ要求ファイルを送信するよう設定され、
前記主コンピュータシステムは、前記目標コンピュータシステムにおいて前記タスクを実行するために、前記タスクファイルに前記要求ファイルの特定の情報を格納するよう設定され、
前記処理コンピュータシステムは、アクセス制御ユニットを有し、前記アクセス制御ユニットは、当該方法のために使用される特定のネットワークポートを閉に保つよう設定され、前記処理コンピュータシステムへの接続を外部から確立することが許されないように、したがって、前記ネットワークポートを用いてネットワークを経由するアクセスが防がれるようにし、
しかし、タスクファイル又は要求ファイルをブローカコンピュータシステムに格納するために、又はタスクファイル又は要求ファイルをブローカコンピュータシステムからフェッチするために、前記処理コンピュータシステムから前記ブローカコンピュータシステムへの接続を確立することは、許される、
付記１２に記載のコンピュータネットワーク基盤。
（付記１４） 付記１乃至１１のいずれか一項に記載の方法を実行するよう設定される、付記１２又は１３に記載のコンピュータネットワーク基盤。
（付記１５） １又は複数のコンピュータシステムにおいて実行されるよう設定され、実行されると、付記１乃至１１のいずれか一項に記載の方法を実行する、コンピュータプログラム。

主サーバ 主コンピュータシステム、
タスクサーバ ブローカコンピュータシステム、
管理クライアント 処理コンピュータシステム
目標サーバ 目標コンピュータシステム、
コンピュータ コンピュータシステム
１−２８ 方法のステップ

Claims (15)

1. コンピュータネットワーク基盤の中のセキュアコンピュータシステムの間でタスク命令を転送するルーティング方法であって、
   主コンピュータシステムに格納されているルーティング情報を呼び出すステップであって、前記ルーティング情報は、前記コンピュータネットワーク基盤の中の前記主コンピュータシステム、１又は複数のブローカコンピュータシステムのグループ、及び目標コンピュータシステムの間の通信経路に沿って強制的に含まれるべき１又は複数のコンピュータシステムへの少なくとも１つのルーティングを定める、ステップと、
   前記主コンピュータシステムにおいてタスクファイルを生成するステップであって、前記タスクファイルは、少なくとも、前記ルーティング情報、及び前記目標コンピュータシステムの少なくとも１つのタスクのタスク記述を有する、ステップと、
   前記ルーティング情報に基づき、前記通信経路に沿って、前記ブローカコンピュータシステムの前記グループを用いて、前記主コンピュータシステムから前記目標コンピュータシステムへ前記タスクファイルを送信するステップと、
   前記目標コンピュータシステムを用いて、前記タスクファイルの有効性を検証するステップと、
   前記タスクファイルの有効性の検証が成功した場合に、前記タスクファイルを用いて前記目標コンピュータシステムにおいて少なくとも１つのタスクを実行するステップであって、前記主コンピュータシステム及び前記目標コンピュータシステムの両方は、当該方法に使用される特定のネットワークポートを閉に保ち、前記主コンピュータシステムへの又は前記目標コンピュータシステムへの接続を外部から確立することが許されないように、したがって前記ネットワークポートを用いるネットワークを経由するアクセスが防がれるようにし、しかし、前記主コンピュータシステム及び前記目標コンピュータシステムがそれぞれ、ブローカコンピュータシステムにタスクファイルを格納するため又は前記ブローカコンピュータシステムから前記タスクファイルをフェッチするために、前記ブローカコンピュータシステムへの接続を確立できる、ステップと、
   を有する方法。
2. １又は複数の処理コンピュータシステムのグループの中の１つの処理コンピュータシステムから、前記ブローカコンピュータシステムの前記グループの中の１つのブローカコンピュータシステムへ、要求ファイルを送信するステップであって、前記要求ファイルは、前記目標コンピュータシステムでタスクを実行するための特定の情報を含む、ステップと、
   前記ブローカコンピュータシステムから前記主コンピュータシステムへ、前記要求ファイルを送信するステップであって、前記主コンピュータシステムは、前記ブローカコンピュータシステムから前記要求ファイルをフェッチするために、前記ブローカコンピュータシステムへの接続を確立する、ステップと、
   前記主コンピュータシステムにより前記タスク記述をコンパイルするステップであって、前記要求ファイルの前記特定の情報に基づき、タスクの特定の基本機能が、前記主コンピュータシステムにより選択され、場合によっては、前記目標コンピュータシステムにおいて前記タスクを実行するための性能パラメータは、前記主コンピュータシステムにより設定される、ステップと、
   を更に有する請求項１に記載の方法。
3. 前記要求ファイルの前記特定の情報は、少なくとも、
   命令を与える側としての、前記処理コンピュータシステムの前記グループの中の少なくとも１つの処理コンピュータシステムのもの、及び／又は
   命令を受ける側としての、前記目標コンピュータシステムのもの、及び／又は
   デジタル署名、及び／又は
   タスクを実行するための命令、及び／又は
   機密データ、
   を有する、請求項２に記載の方法。
4. 前記処理コンピュータシステムの前記グループの中の各々の処理コンピュータシステムは、当該方法のために使用される特定のネットワークポートを閉に保ち、前記個々の処理コンピュータシステムへの接続を外部から確立することが許されないように、したがって、前記ネットワークポートを用いてネットワークを経由するアクセスが防がれるようにし、しかし、前記処理コンピュータシステムの前記グループの中の各々の処理コンピュータシステムは、ブローカコンピュータシステムにタスクファイル若しくは要求ファイルを格納するために、又はブローカコンピュータシステムからタスクファイル若しくは要求ファイルをフェッチするために、前記ブローカコンピュータシステムへの接続を確立できる、請求項２又は３に記載の方法。
5. 前記ルーティング情報は、前記コンピュータネットワーク基盤の中の前記処理コンピュータシステムの前記グループの中の少なくとも１つの処理コンピュータシステムを、強制的に含まれるべきコンピュータシステムとして定め、
   前記方法は、
   前記ブローカコンピュータシステムの前記グループの中の少なくとも１つのブローカコンピュータシステムから、処理コンピュータシステムの前記グループの中の少なくとも１つの処理コンピュータシステムへ、前記タスクファイルを送信するステップと、
   前記処理コンピュータシステムにおいて少なくとも１つの動作を実行するステップと、
   前記処理コンピュータシステムから前記ブローカコンピュータシステムへ、前記タスクファイルを返送するステップと、
   を更に有する請求項２乃至４のいずれか一項に記載の方法。
6. 前記少なくとも１つの動作は、少なくとも、
   前記タスクファイルに更なるデータを挿入すること、及び／又は
   少なくとも１つの秘密鍵により前記タスクファイルを署名すること、及び／又は
   前記目標コンピュータシステムの公開鍵で前記タスクファイルを暗号化すること、
   を含む、請求項５に記載の方法。
7. 前記方法は、前記ブローカコンピュータシステムの前記グループと前記処理コンピュータシステムの前記グループとの間で幾つかのサイクルで再帰的に実行され、前記タスクファイルは、再帰的設定アーカイブファイルとして設計され、少なくとも、
   １又は複数の作業ファイル、
   内部アーカイブファイル、及び
   前のサイクルからの処理コンピュータシステムの又は前記主コンピュータシステムの署名、
   を含み、個々の処理コンピュータシステムにおいて各々のサイクルで、
   アーカイブファイルとして設定された前記タスクファイルをパッキング解除するサブステップと、
   前記１又は複数のパッキング解除された作業ファイルを処理するサブステップと、
   少なくとも前記内部アーカイブファイル及び前のサイクルの前記署名を、第２の内部アーカイブファイルにパッキングするサブステップと、
   本サイクルに含まれる前記処理コンピュータシステムの新しい署名を生成するサブステップと、
   前記第２の内部アーカイブファイル、前記処理された１又は複数の作業ファイル、及び前記生成された新しい署名を、アーカイブファイルとして設定された新しいタスクファイルにパッキングするサブステップと、
   が実行される、請求項６に記載の方法。
8. 複数のセキュリティエンティティが、前記処理コンピュータシステムの中に設定され、少なくとも、前記ブローカコンピュータシステムからの前記タスクファイルの前記受信、前記タスクファイルを用いた少なくとも１つの動作の実行、及び前記処理コンピュータシステムから前記ブローカコンピュータシステムへの前記タスクファイルの返送は、異なるセキュリティエンティティにより別個のプロセスで実行され、
   プロセスのセキュリティエンティティは、別のプロセスのセキュリティエンティティへの接続を確立できず、したがって、他のプロセスの前記セキュリティエンティティへのアクセスは防がれ、しかし、後続のプロセスはイベントメカニズムによりトリガされ、したがって、前記後続のプロセスのセキュリティエンティティは、前記タスクファイル又は前記タスクファイルのデータを更に処理できる、
   請求項５乃至７のいずれか一項に記載の方法。
9. 前記ブローカコンピュータシステムの前記グループの中の１つのブローカコンピュータシステムから前記目標コンピュータシステムへ又は前記処理コンピュータシステムの前記グループの中の１つの処理コンピュータシステムへ、前記タスクファイルを送信するステップは、
   前記ブローカコンピュータシステムから前記目標コンピュータシステムへ又は前記処理コンピュータシステムへ、特定のパッケージデータシーケンスを送信するステップであって、前記目標コンピュータシステムの又は前記処理コンピュータシステムの前記特定のネットワークポートは、閉じられ、前記シーケンスは、前記目標コンピュータシステム又は前記処理コンピュータシステムの１又は複数のネットワークポートを特定の順序でアドレスするステップと、
   前記目標コンピュータシステムの中の又は前記処理コンピュータシステムの中の所定のシーケンスとの一致について、前記送信されたシーケンスを検証するステップと、
   前記送信されたシーケンスの前記検証が肯定的である場合、前記目標コンピュータシステム又は前記処理コンピュータシステムを用いて前記タスクファイルの前記送信を生じさせるステップであって、前記目標コンピュータシステム又は前記処理コンピュータシステムは、それぞれ、前記ブローカコンピュータシステムへの接続を確立し、前記タスクファイルをフェッチする、ステップと、
   を有する、請求項１乃至８のいずれか一項に記載の方法。
10. 前記通信経路は、複数のサブ経路を有し、前記タスクファイルは、ブローカコンピュータシステムから前記複数のサブ経路に沿って前記通信経路の中の複数のコンピュータシステムへ続いて送信される、請求項１乃至９のいずれか一項に記載の方法。
11. 前記タスクファイルは、前記通信経路に沿って含まれる少なくとも１つのコンピュータシステムにおいて、前記コンピュータネットワーク基盤の中でユニークな識別情報を与えられ、又は前記タスクファイルの既存の識別情報が補完される、請求項１乃至１０のいずれか一項に記載の方法。
12. コンピュータネットワーク基盤であって、少なくとも、
    主コンピュータシステムと、
    目標コンピュータシステムと、
    ブローカコンピュータシステムと、
    を有し、
    前記主コンピュータシステムは、強制的に含まれるべき１又は複数のコンピュータシステムへのルーティングのために、前記主コンピュータシステムに格納された所定のルーティング情報からタスクファイルを生成するよう、及び前記タスクファイルを前記ブローカコンピュータシステムを用いて前記目標コンピュータシステムへ続けて送信するよう、設定され、前記目標コンピュータシステムは、前記ブローカコンピュータシステムにより前記目標コンピュータシステムへ送信されたタスクファイルの有効性を検証するよう、及び必要に応じて、前記タスクファイルに基づき前記目標コンピュータシステムの中の少なくとも１つのタスクを実行するよう、設定され、前記目標コンピュータシステム及び前記主コンピュータシステムは、それぞれ、アクセス制御ユニットを有し、前記アクセス制御ユニットは、当該方法のために使用される特定のネットワークポートを閉に保つよう設定され、前記主コンピュータシステムへの又は前記目標コンピュータシステムへの接続を外部から確立することが許されないように、したがって、前記ネットワークポートを用いてネットワークを経由するアクセスが防がれるようにし、しかし、ブローカコンピュータシステムにタスクファイルを格納するため又はブローカコンピュータシステムからタスクファイルをフェッチするために、前記主コンピュータシステム又は前記目標コンピュータシステムから前記ブローカコンピュータシステムへの接続を確立することが許される、
    コンピュータネットワーク基盤。
13. 処理コンピュータシステムを更に有し、
    前記処理コンピュータシステムは、前記ブローカコンピュータシステムを用いて前記目標コンピュータシステムにおいてタスクを実行するために、前記主コンピュータシステムへ要求ファイルを送信するよう設定され、
    前記主コンピュータシステムは、前記目標コンピュータシステムにおいて前記タスクを実行するために、前記タスクファイルに前記要求ファイルの特定の情報を格納するよう設定され、
    前記処理コンピュータシステムは、アクセス制御ユニットを有し、前記アクセス制御ユニットは、当該方法のために使用される特定のネットワークポートを閉に保つよう設定され、前記処理コンピュータシステムへの接続を外部から確立することが許されないように、したがって、前記ネットワークポートを用いてネットワークを経由するアクセスが防がれるようにし、
    しかし、タスクファイル又は要求ファイルをブローカコンピュータシステムに格納するために、又はタスクファイル又は要求ファイルをブローカコンピュータシステムからフェッチするために、前記処理コンピュータシステムから前記ブローカコンピュータシステムへの接続を確立することは、許される、
    請求項１２に記載のコンピュータネットワーク基盤。
14. 請求項１乃至１１のいずれか一項に記載の方法を実行するよう設定される、請求項１２又は１３に記載のコンピュータネットワーク基盤。
15. １又は複数のコンピュータシステムにおいて実行されるよう設定され、実行されると、請求項１乃至１１のいずれか一項に記載の方法を実行する、コンピュータプログラム。
    

Images