JP4733706B2

JP4733706B2 - セキュアセッション転送の方法および対応するターミナルデバイス

Info

Publication number: JP4733706B2
Application number: JP2007537120A
Authority: JP
Inventors: ヴァルター，トーマス; シェーファー，クリスティアン
Original assignee: NTT Docomo Inc
Current assignee: NTT Docomo Inc
Priority date: 2004-10-21
Filing date: 2004-10-21
Publication date: 2011-07-27
Anticipated expiration: 2024-10-21
Also published as: EP1810472A1; WO2006045323A1; JP2008517388A

Description

本発明は、ユビキタスコンピューティング環境においてソースターミナルデバイスからターゲットターミナルデバイスへセッションを転送する方法と、上記方法を実施するターミナルデバイスとに関する。

本発明は、ターミナルデバイスを利用するユーザに対し、ユーザが現実の世界の中で移動するときに、「時間、場所、プラットフォームを選ばない」コンピューティングサービスへのアクセスを提供するために設計されたユビキタスコンピューティング環境に関する。達成すべき１つの具体的な目標は、アプリケーションが複数のターミナルデバイス、特にモバイルデバイスの周囲のユーザをシームレスに追跡できるようにすることである。アプリケーションレベルでの移行、すなわち、アプリケーションおよびその状態をあるターミナルデバイスから別のターミナルデバイスへ移動させる機能を提供する複数のソリューションについて検討する。

より具体的には、本発明は、無線通信チャネル、例えばＷＬＡＮもしくはブルートゥースといった通信チャネルによりネットワークまたはサーバに接続することができるターミナルデバイス、例えばパーソナルコンピュータ、ラップトップコンピュータ、ノートブックコンピュータ、携帯情報端末（ＰＤＡ）、携帯電話機などに関する。ユーザは、例えばビジネス環境において、タスクを実行するためにターミナルデバイスを利用する。所望のビジネスタスクを実行するため、ユーザはターミナルデバイス上でビジネスアプリケーションを動かすことにより企業情報資源にアクセスする。一般的にビジネスアプリケーションは、付加的なソフトウェア、例えば、オペレーティングシステム、通信ミドルウェアおよび特定のソフトウェアライブラリ、特にセキュリティ関連ライブラリとともにターミナルデバイスへ導入されている。付加的なソフトウェアは、企業ネットワークおよびサーバへの接続を確立し、ビジネスアプリケーションを動かすために必要なものである。特定のタスクを実行することを望むユーザによって起動されると、アプリケーションは付加的なソフトウェア、特に通信ミドルウェアに加えてプロセスとしてターミナルデバイス上で動く。

ターミナルデバイス上でアプリケーションを起動することにより、ターミナルデバイスのユーザによって実行されたタスクに関連した特定のデータおよび変数に基づいてアプリケーションは動くので、ユーザは実行されたアプリケーションまたはアプリケーションプロセスの重要なコンテキストとして解釈できるセッションを開始する。いかなる時でも、アプリケーションプロセスの状態は、割り当てられた値のみならず、データ構造および変数に基づいて決定される。

例えば、ユーザがＰＤＡを使用して自分のタスクに取り組み始めると、ラップトップコンピュータ上でタスクを継続したいと考え、ユーザが使用しているターミナルデバイスを変更することを望むならば、上記のユビキタスコンピューティング環境において、セッションを所望のターミナルデバイスへ転送できなければならない。ソースターミナルデバイスからターゲットターミナルデバイスへセッションを転送する種々の方法が、従来技術として例えば非特許文献１および非特許文献２に記載されている。これらのソリューションは当分野において一般的に知られているので、本明細書ではこれ以上詳細に説明しない。基本的には、セッション転送を実行するために、ソースターミナルデバイス上で実行されているアプリケーションの状態が取得され、ターゲットデバイスへ転送される。
さらに非特許文献３は、エンドツーエンドのセキュリティを提供するために、アクセス制御を実現し、公開鍵インフラストラクチャに基づくアプローチを採用して、Ｂｅｌｌ−ＬａＰａｄｕｌａモデルおよび機能モデルを利用したアプリケーションセッションハンドオフに特有の問題を扱っている。

一般的に、企業ネットワークおよびサーバへのアクセスは、高度のフレキシビリティを提供するセキュリティポリシーにおいて定義された特定のセキュリティ要件に基づく限り許可される。最近のソリューションは、特定のアプリケーションの具体的なセキュリティ要件に応じてセキュリティポリシーを定義することを提案している。ポリシーは正確に指定され、支援ソフトウェアフレームワークによって強制されるので、このポリシーは、特定のユーザによって使用される特定のアプリケーションのためのセキュリティコンテキストを生成する。

ＥｒｉｋＳｋｏｗ，ＪｉｅｊｕｎＫｏｎｇ，ＴｈｏｍａｓＰｈａｎ，ＦｒｅｄＣｈｅｎｇ，ＲｉｃｈａｒｄＧｕｙ，ＲａｊｉｖｅＢａｇｒｏｄｉａ，ＭａｒｉｏＧｅｒｌａ，ａｎｄＳｏｎｇｗｕＬｕ： "ＡＳｅｃｕｒｉｔｙＡｒｃｈｉｔｅｃｔｕｒｅｆｏｒＡｐｐｌｉｃａｔｉｏｎＳｅｓｓｉｏｎＨａｎｄｏｆｆ"，ＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｍｕｎｉｃａｔｉｏｎｓ（ＩＣＣ２００２），Ａｐｒｉｌ２８ − Ｍａｙ２，２００２Ｋ．Ｋａｎｅｋｏ，Ｈ．Ｍｏｒｉｋａｗａ，ａｎｄＴ．Ａｏｙａｍａ： "ＳｅｓｓｉｏｎＬａｙｅｒＭｏｂｉｌｉｔｙＳｕｐｐｏｒｔｆｏｒ３ＣＥｖｅｒｙｗｈｅｒｅＥｎｖｉｒｏｎｍｅｎｔｓ"，ＰｒｏｃｅｅｄｉｎｇｏｆｔｈｅＳｉｘｔｈＩｎｔｅｒｎａｔｉｏｎａｌＳｙｍｐｏｓｉｕｍｏｎＷｉｒｅｌｅｓｓＰｅｒｓｏｎａｌＭｕｌｔｉｍｅｄｉａＣｏｍｍｕｎｉｃａｔｉｏｎｓ（ＷＰＭＣ２００３），ｖｏｌ．２，ｐｐ．３４７−３５１，Ｙｏｋｏｓｕｋａ，Ｊａｐａｎ，Ｏｃｔｏｂｅｒ２００３Ｓｋｏｗｅｔａｌ： "Ａｓｅｃｕｒｉｔｙａｒｃｈｉｔｅｃｔｕｒｅｆｏｒａｐｐｌｉｃａｔｉｏｎｓｅｓｓｉｏｎｈａｎｄｏｆｆ"，２００２ＩＥＥＥＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒｅｎｃｅｏｎＣｏｍｍｕｎｉｃａｔｉｏｎ，ｐｐ．２０５８−２０６３

上記事情に鑑みて、本発明の目的は、ユビキタスコンピューティング環境において、セキュリティコンテキストを有するセッションをソースターミナルデバイスからターゲットターミナルデバイスへ転送する方法と、上記方法を実施するターミナルデバイスとを提供することである。

本発明のさらなる目的は、セキュリティコンテキストを有するユビキタスコンピューティング環境において、ターミナルデバイスのユーザがソースターミナルデバイス上でそれまでに実行されているタスクをターゲットターミナルデバイスへ継続させることを可能にする方法を提供することである。

上記目的およびその他の目的は、請求項１に記載の方法と請求項２に記載のプロセスとによって達成できる。さらに、本目的は請求項９および１０に記載のターミナルデバイスによって達成できる。

本発明の有利な実施形態は、従属項に記載されている。

本発明のソリューションによれば、ソースターミナルデバイスからターゲットターミナルデバイスへセッションを転送するプロセスにおいてセキュリティを実現することができる。ターミナルデバイスにおけるアプリケーションの実行中だけでなく、一方のターミナルデバイスから他方のターミナルデバイスへのセッションの転送中にも、セキュリティコンテキストを遵守することができる。

以下、ユビキタスコンピューティング環境においてソースターミナルデバイスからターゲットターミナルデバイスへセッションを転送するプロセスの実施例について、図１および図２を参照して説明する。プロセスの実施例は本発明に係る方法を利用するものである。

図１に示されているように、ユーザはネットワーク環境においてアプリケーション２を実行するために第１のターミナルデバイス１ａを利用する。第１のターミナルデバイス１ａは、通信チャネル４ａによってネットワーク３へリンクされている。セキュリティコンテキストをアプリケーションごとに生成するセキュリティポリシー５が遵守されているときに限りアプリケーション２を使用できるようにするために、それぞれのアプリケーション２のために指定されたセキュリティポリシー５を用いて、セッションのセキュリティを実現できる。通信チャネル４ｂによってネットワーク３へリンクされた第２のターミナルデバイス１ｂ上で現在のタスクを継続することをユーザが望むならば、そのユーザは、第１のターミナルデバイス１ａ、すなわちソースターミナルデバイスにそれまで存在しているセッションを、第２のターミナルデバイス１ｂ、すなわちターゲットターミナルデバイスへ転送するセッション転送を開始する。セッション転送が終わると、転送開始時点でそれぞれの状態、すなわち現在のセッションにあり、かつ、要求されたセキュリティコンテキストにあるそれぞれのアプリケーション２が、第２のターミナルデバイス１ｂ上で確立されているので、ユーザは第２のターミナルデバイス１ｂ上で現在のタスクを継続することができる。本発明によれば、セキュリティ要件は、図２を参照して後述するようにセッション転送中に考慮される。

セッション転送プロセスのステップ１によれば、セッション転送が許可されているかどうかを決定するために、転送されるべきセッションのアプリケーションに関係するセキュリティポリシーがソースターミナルデバイス上で評価される。アプリケーションのセキュリティポリシーによってセッションの転送が許可されているということが確認されると、セッション転送プロセスは続いてステップ２を実行する。そうでなければ、セッション転送プロセスは停止する。セッション転送プロセスのステップ２において、転送されるべきセッションのセキュリティ制約を決定するために上記ソースターミナルデバイス上でセキュリティポリシーが評価される。セッション転送プロセスのステップ３において、好ましくはターゲットターミナルデバイスへのセキュア通信チャネルを確立した後に、ソースターミナルデバイスはターゲットデバイスとセキュリティ制約をネゴシエートする。ネゴシエートするステップは、少なくとも同じ厳密性（ｓｔｒｉｃｔｎｅｓｓ）を有するセキュリティコンテキストがターゲットターミナルデバイス上に設けられることを保証するという目的に役立つ。要求されたセキュリティコンテキストがターゲットターミナルデバイス上に設けられると、セッション転送プロセスは続いてステップ４を実行する。そうでなければ、セッション転送プロセスは停止する。プロセスのステップ４において、好ましくは、セキュリティ制約をネゴシエートするステップ内でソースターミナルデバイスと交換したセキュリティ関連の情報に基づいて、それぞれのセキュリティコンテキストがターゲットターミナルデバイス上に確立される。セッション転送プロセスのステップ５において、セッションはソースデバイスからターゲットデバイスへと転送される。基本的に、実際にセッションを転送するために実行されるべきステップは、ソースターミナルデバイス上のセッションの現在の状態を取得するステップと、ターゲットデバイス上のセッションを確立するために、情報を使用するターゲットターミナルデバイスへ状態を転送するステップとを含む。

アプリケーション指向セキュリティポリシーは、特定のアプリケーションの具体的な要件に合わせることができるので、高度のフレキシビリティを提供するということに注意する必要がある。形式的なシンタックスが与えられると、ポリシーは正確に指定され、支援ソフトウェアフレームワークによって強制される。本発明によれば、セッション転送に関連したこの強制は、（セキュリティポリシーによって定義された）セキュリティ制約が、ターミナルデバイス間でネゴシエートされるということと、ソースデバイス上で適用きるセキュリティサービスとメカニズムとに関して合致した一連のセキュリティサービスとメカニズムとが、ターゲットデバイス上で確立されるということとを意味する。

以下、ユビキタスコンピューティング環境においてソースターミナルデバイスからターゲットターミナルデバイスへセッションを転送するプロセスのより具体的な実施例であって、本発明の方法を利用したプロセス実施例について図３〜図６を参照して説明する。

図３の実施例では、ソースターミナルデバイス１ａは、ユーザがネットワーク環境において所望のタスクを実行できるようにするソフトウェアを搭載している。このソフトウェアは、オペレーティングシステムと、通信ミドルウェアと、特定のライブラリ、例えばセキュリティライブラリと、少なくとも１つのアプリケーションとを含んでいる。オペレーティングシステムは、ターミナルデバイスが基本動作を実行し、ユーザに基本機能を提供するために必要なソフトウェアコンポーネントを備えている。通信ミドルウェアは、アプリケーションおよびその他の同じ場所にあるターミナルデバイスを管理するソフトウェアコンポーネントを備えている。同じ場所にあるターミナルデバイスは、同様にネットワークに接続され、したがって、ターゲットターミナルデバイスとして利用可能なターミナルデバイスを含むと考えられる。アプリケーションは、例えば、ターミナルデバイスのユーザが企業環境においてビジネスタスクを実行できるようにするビジネスアプリケーションのような所望のタスクを実行するためのソフトウェアを備えている。ビジネスアプリケーションは、ビジネスロジック、すなわちビジネストランザクションと、セキュリティロジック、すなわち企業資産を保護する手段とに分けられる。セキュリティロジックは、セキュリティポリシーに関して定義されるものである。例えば、セキュリティポリシーは、アプリケーションの開発および統合中に、またはその後に定義されるとともに、企業ネットワークまたはターミナルデバイスへアプリケーションを導入するときにアプリケーションとバンドルされる。

本実施例において、セキュリティポリシーは、４つのタイプのセキュリティポリシー、すなわちオーソリゼーションポリシーと、コンフィギュレーションポリシーと、デリゲーションポリシーと、フェデレーションポリシーとを含んでいる。それぞれのドメイン、すなわち企業ネットワークおよびターミナルデバイスとポリシー間の論理的関係とが、図４に示されている。

オーソリゼーションポリシーは、一般的に、企業ネットワーク内に存在し、ネットワーク内の情報資源へのアクセスを制御する。コンフィギュレーションポリシーは、ターミナルデバイスユーザのドメインの範囲内にある企業ネットワークのオーソリゼーションポリシーを反映し、企業ネットワークへのオーソリゼーションの前に要求されるセキュリティサービスおよび機能を表現する。コンフィギュレーションポリシーとデリゲーションポリシーとフェデレーションポリシーとを含んだポリシーセットは、アプリケーションとともに導入されている。セキュリティコンテキストは、アプリケーションが実行されているとセットアップされる。デリゲーションポリシーは、あるユーザ（例えば、セールスマネージャ）に割り当てられたアプリケーションの機能性が別のユーザ（例えば、別のセールス部門マネージャ）へデリゲートされる際に基礎となるルールを定義する。後でさらに説明するが、好ましくは、オーソリゼーション証明書がこの状況において使用される。異なる装置上の別のアプリケーションによるサブタスクの実行をあるアプリケーションが要求することができるので、フェデレーションポリシーは、このような割り当てに含まれるべきデバイスの妥当性に関するアサーションを提供する。後述するように、トラスト証明書は、フェデレーションポリシーに基づいてアサートされた、デバイスに関する属性情報を保存し認証する好ましいコンテナである。本実施例では、コンフィギュレーションポリシーと、デリゲーションポリシーと、フェデレーションポリシーとは、ポリシーセットと呼ばれる。

一般に、証明書は署名付きのデータ項目である。本発明に基づく本実施例は、公開鍵証明書の他にオーソリゼーション証明書およびトラスト証明書を用いる。

本実施例では、オーソリゼーション証明書はデリゲーションポリシーの強制のために使用され、トラスト証明書はフェデレーションポリシーの強制のために用いられる。オーソリゼーション証明書はユーザへリンクされ、企業環境におけるユーザの役割および権利を反映する。すなわち、オーソリゼーション証明書は役割に基づいている。例えば、販売員としての役割を持つ従業員は、顧客アドレスデータベースと自分の個人予定表とに対するアクセス権を有する。セールス部門マネージャとしての役割を持つユーザは、オーダーの承認を実行し、バジェットの数字を修正するため、オーダーデータベースへのアクセス権を有する。セールスマネージャには、あるタスク、例えばオーダーを承認するタスクをデリゲートする権利も与えることができる。

本実施例では、トラスト証明書はターミナルデバイスへ割り当てられる。トラスト証明書がそのターミナルデバイスは信頼できるということを証明するものであれば、アプリケーションおよびデータは上記ターミナルデバイスへとデリゲートされ転送される。

図３にさらに示されているように、ソースターミナルデバイス１ａは通信チャネル４ａによりネットワーク３へと接続されている。本実施例では、ネットワーク３へのアクセスはファイアウォール６を介して許可される。所望のタスクを実行している間に、ソースターミナルデバイス１ａのユーザは、例えば、企業ネットワーク３の一部であるデータベースＡおよびＢに対してアクセスを制御できるようにするために、セキュリティポリシーのフレームワークにおいてソースターミナルデバイス１ａ上で実行されているアプリケーション２を利用する。ユーザが、通信チャネル４ｂによってネットワーク３へリンクされているターゲットターミナルデバイス１ｂ上で現在のタスクを継続して実行することを望む場合、ソースターミナルデバイスからターゲットターミナルデバイス１ｂへ現在のセッションを転送するプロセスが開始される。

図５に示されているように、本発明の実施例によれば、ステップ１．１において、現在のタスクのアプリケーションに関係するポリシーセットにおいて表現されているセキュリティ要件が評価される。本実施例では、デリゲーションポリシーおよびフェデレーションポリシーは、アプリケーション、したがって現在のセッションを転送できるかどうかと、どのコンテキストにおいて転送できるかとを定義する。セッション転送がユーザとターミナルデバイスとの両方に関して、一般的に許可されているかどうかを決定するためにポリシーが評価される。セッション転送が許可されていなければプロセスは終了する。ステップ１．２において、セキュリティポリシーは、アプリケーションのセキュリティポリシーによって定義されたセキュリティ制約を決定するために評価される。ステップ１．３において、ソースターミナルデバイスとターゲットターミナルデバイスとを接続するために通信チャネルが確立される。確立された通信チャネルは、ターミナルデバイス間で直接的にセットアップされるか、またはネットワークを介して確立される。ステップ１．４において、同じかまたはそれ以上の高い厳密性を有するセキュリティコンテキストがターゲットターミナルデバイス上で確立できるかどうかを決定するために、ソースターミナルデバイスとターゲットターミナルデバイスとの間でセキュリティ制約がネゴシエートされる。これが可能である場合に限り、好ましくはターゲットターミナルデバイス上で実行されるべきアプリケーションに基づき、ステップ１．５においてそれぞれのセキュリティコンテキストがターゲットターミナルデバイス上で確立される。代替的または付加的に、セキュリティ制約をネゴシエートするステップの間に交換された情報が含まれる。さらに、セキュリティ制約をネゴシエートするステップにおいてソースターミナルデバイスからターゲットターミナルデバイスへ送信されたセキュリティポリシーを考慮することもできる。ステップ１．６において、セッションはソースターミナルデバイスからターゲットターミナルデバイスへと転送される。詳細については上述したとおりであり、そちらを参照されたい。

本実施例では、ポリシーセットの評価は精密な通信ミドルウェアによって実行される。図６に示されているように、通信ミドルウェアは（ビジネス）アプリケーションを支援し、好ましくは、アプリケーション管理コンポーネントと、フェデレーション管理コンポーネントと、セキュリティライブラリと、ネットワーク制御コンポーネントとを備えている。

本実施例では、アプリケーション管理コンポーネントは、通信ミドルウェアに対する（ビジネス）アプリケーションのインターフェースである。このコンポーネントは、アプリケーションの現在の状態を少なくとも部分的に表現し、ネットワーク制御によってネットワーク環境へアクセスできるようにする状態情報を有している。ネットワーク環境は、ターミナルデバイスが接続されているか、または接続できる企業サーバだけでなく、同じ場所にある（ｃｏ−ｌｏｃａｔｅｄ）ターミナルデバイスも含む。アプリケーション管理は、セキュリティポリシーの管理および強制にも関係している。

本実施例では、フェデレーション管理コンポーネントは、アプリケーション管理コンポーネントの制御の下でタスクを実行する。アプリケーションがサーバまたは同じ場所にあるターミナルデバイスへのアクセスを要求する場合、フェデレーション管理は要求を処理するために関与する。このようにするために、フェデレーション管理は、他のターミナルデバイスおよびサーバについてネットワーク環境をクエリし、それらの機能をチェックし、ターミナルデバイスおよびサーバ上で利用可能なセキュリティサービスをネゴシエートする。

本実施例のセキュリティライブラリコンポーネントは、セキュリティサービスへのインターフェースを提供する。セキュリティサービスとは、暗号化および復号化のアルゴリズムやメッセージ認証コードなどといった暗号に関するオペレーションの実装であるとともに、鍵や証明書などといった暗号化データ構造の実装である。

本実施例では、ネットワーク制御コンポーネントは、基礎となるトランスポート層およびネットワーク層にハンドルを提供する。これらハンドルは、ソケットもしくはリモートプロシージャ呼び出し、またはターミナルデバイスの各プラットフォームまたはネットワーク環境で利用されているその他の通信サポートに類似した入力チャネルおよび出力チャネルを実装する。

上記の実施例において、特定のアプリケーションにリンクされたセキュリティポリシーは、有利にはセキュリティライブラリを利用して、アプリケーション管理コンポーネントにより適用されるときにセキュリティコンテキストを生成する。セキュリティコンテキストは、好ましくは、ネットワーク制御コンポーネントによって強制される。ターミナルデバイス上でのアプリケーションの実行は全て、特定のアプリケーションのセキュリティポリシーの考慮および遵守を意味するということを理解することが不可欠である。好ましくは、形式的なシンタックスで与えられたセキュリティポリシーは、上記のアプリケーション管理コンポーネントのポリシー管理サブコンポーネントにより解析される。本実施例では、サブコンポーネントは、ポリシーのインテグリティが例えばポリシーと関連付けられたシグネチャをチェックすることによりチェックされることと、セキュリティコンテキストが実装されることとをさらに保証する。

本実施例では、セキュリティコンテキストは、セキュリティサービス呼び出しについての順序付きリストを含んでいる。セキュリティサービスは、ターミナルデバイス上に配置されたセキュリティライブラリに保持されている。ポリシー管理サブコンポーネントは、ポリシーの仕様により必要なセキュリティサービスを特定し、セキュリティサービスに対する可能なバインディングをチェックし、バインディングが確立されていればセキュリティサービスの呼び出しをセキュリティコンテキストへ組み込む。

さらに、セキュリティポリシーの強制は、アプリケーション管理コンポーネントおよびフェデレーション管理コンポーネントによって実行される。ポリシーの強制は、アプリケーションを動かすターミナルデバイスの挙動がセキュリティポリシーにより定義された要件に従うということを保証する。基本的にポリシー強制は、ネットワーク制御コンポーネントがデータを送信または受信するときに生じる。その上、ポリシー強制は、フェデレーション管理が同じ場所にあるターミナルデバイスへの通信をセットアップするときに生じる。

以下、ユビキタスコンピューティング環境においてソースターミナルデバイスからターゲットターミナルデバイスへセッションを転送するプロセスについてのさらなる具体的な実施例であって、本発明の方法を利用する実施例を図７〜図１１を参照して説明する。

図７に示されているように、本実施例はモバイルターミナルデバイス１ａおよび１ｂがアプリケーション２に基づくタスクを実行するために使用される環境に関連する。アプリケーション２はビジネスアプリケーションを備えており、企業ネットワークであるネットワーク３へのアクセス権を提供する。

ユーザが図７に示されているコンピューティング環境において特定のタスクを実行することを望む場合、このユーザは、第１のモバイルターミナルデバイス１ａ上で実行されるアプリケーション２を利用する。本実施例では、その後、ユーザは第２のモバイルターミナルデバイス１ｂ上で現在のタスクを継続することを決めるということが想定されている。ソースモバイルターミナルデバイス１ａからターゲットモバイルターミナルデバイス１ｂへそれぞれのセッションを転送するプロセスは後でさらに説明する。

上述のように、本実施例においても、ターミナルデバイスは、ユーザがネットワーク型コンピューティング環境において所望のタスクを実行できるようにするために必要なすべてのソフトウェアを搭載している。好ましくは、モバイルターミナルデバイスのソフトウェアは、オペレーティングシステムと、通信ミドルウェアと、特定のライブラリ、特にセキュリティライブラリと、少なくとも１つのアプリケーションとを備えている。さらに、特定のアプリケーション２にそれぞれ関係するセキュリティポリシー５が、ユーザが特定のタスクを実行するためにモバイルターミナルデバイスを利用するときにいつでもセキュリティコンテキストを確立するために定義される。ターミナルデバイス上でアプリケーションのセキュリティコンテキストを実装するさらなる詳細については、上記実施例を参照されたい。

図７に示されている実施例において、モバイルターミナルデバイス１ａおよび１ｂとネットワーク３との間の通信チャネル４ａおよび４ｂは、例えば、ＷＬＡＮまたはブルートゥースのような無線通信チャネルである。本実施例では、モバイルターミナルデバイス１ａと１ｂが、さらなる無線通信チャネル４ｃにより直接通信することもできる。

本実施例によりソースモバイルターミナルデバイスからターゲットモバイルターミナルデバイスへセッションを転送するプロセスは、図８に概略的に示されている。このプロセスは、以下の説明からも明らかとなるように、一方または両方のターミナルデバイスがワイヤーバウンド通信チャネルによってネットワークへリンクされている環境にも適用できる。

ステップ１０．１において、転送すべき現在のセッションのアプリケーションに関係したセキュリティポリシーを評価することにより、セッション転送の条件が決定される。特に、セッションの転送が一般的に許可されているかどうかに関してセキュリティコンテキストが評価される。上述したように、セキュリティポリシーがデリゲーションポリシーおよびフェデレーションポリシーを含むならば、ステップ１０．１において、関連したアプリケーションに対してセッション転送が許可されているかどうかを決定するためにフェデレーションポリシーだけでなくデリゲーションポリシーも評価されることが好ましい。セッション転送が許可されていない場合、プロセスは図８に示されているように終了する。

セッション転送が許可されている場合、プロセスは、図８に示されているように続いてステップ１０．２を実行する。本実施例の本ステップにおいて、ソースモバイルターミナルデバイス１ａは、好ましくは無線通信チャネル４ｃを使用して、同じ場所にあるモバイルターミナルデバイスを特定する。それにより、ネットワーク３を回避して、ソースモバイルターミナルデバイス１ａと他のモバイルターミナルデバイスとの間に直接的な通信が確立される。オプションとして、通信チャネル４ａおよび４ｂはネットワーク３を経由した通信のため使用される。有利には、ターミナルデバイスの通信ミドルウェアの一部を構成する上記フェデレーション管理コンポーネントが、他のターミナルデバイスとの通信を発見し、続いてその通信を提供するために配置されている。ターミナルデバイスが見つからない場合は、図８に示されているようにプロセスが終了する。

ステップ１０．３において、セキュア通信チャネルが確立される。その後、２つのターミナルデバイスは、例えばＳＳＬのような標準的な暗号化プロトコルを使用して、保護された環境で通信するために接続される。セキュア接続は、ターゲットモバイルターミナルデバイス上で確立できるセキュリティコンテキストおよび確立すべきセキュリティコンテキストをネゴシエートするために必要である。ステップ１０．４において、ターゲットモバイルターミナルデバイスの信頼性が、例えば、上述した証明書に基づいて承認される。信頼性がチェックできない場合、プロセスは図８に示されているように終了する。

図８に示されているように、所望のターゲットモバイルターミナルデバイスが信頼できるデバイスであれば、プロセスは引き続きステップ１０．５を実行し、それにより２つのモバイルデバイスがセキュリティコンテキストをネゴシエートする。ネゴシエートするステップの詳細は図９以降を参照して説明する。

一般に、４つのネゴシエーション容認モードが本発明の本実施例において定義される。

ａ）セキュリティコンテキスト容認
本モードでは、ターゲットターミナルデバイス上でセキュリティコンテキストが完全に再構成される。

ｂ）セキュリティコンテキスト通知
セキュリティコンテキストは、ユーザが容認するためにいくつかの変更を行うことを要求する。

ｃ）セキュリティコンテキスト適応
セキュリティコンテキストは、自動的に、すなわちユーザの干渉無く、容認レベルに達するように調整される。ユーザは、調整について通知される場合とされない場合とがある。

ｄ）セキュリティコンテキスト終了
セキュリティコンテキストは容認できないと決定する。

ここで図９をもう一度参照すると、セキュリティコンテキストをネゴシエートするプロセスステップは、本実施例では以下の通り実行される。ソースデバイスは、メッセージＳＥＳＳＩＯＮ＿ＯＢＬＩＧＡＴＩＯＮをターゲットデバイスへ送信する。メッセージＳＥＳＳＩＯＮ＿ＯＢＬＩＧＡＴＩＯＮは、ソースデバイスの実際のセキュリティコンテキストに関する情報、例えばソースデバイス上で使用されるポリシーセットを含んでいる。ターゲットデバイスは、セキュリティ要件をチェックし、セキュリティ要件を満たしていれば、メッセージＳＥＳＳＩＯＮ＿ＣＯＮＦＩＲＭを送信する。この場合、ソースデバイスはメッセージＳＥＳＳＩＯＮ＿ＣＯＮＦＩＲＭをターゲットデバイスへ返却する。その後、セッション転送が可能であることを確立した後に、ネゴシエートステップが終了し、プロセスは図８に示されているように継続する。しかし、図９に示されているように、セキュリティ要件を満たすことができない場合、ターゲットデバイスはメッセージＳＥＳＳＩＯＮ＿ＳＥＣＵＲＩＴＹ＿ＮＥＧＯＴＩＡＴＩＯＮをソースデバイスへ送信する。ソースデバイスは、その後、メッセージＳＥＳＳＩＯＮ＿ＳＥＣＵＲＩＴＹ＿ＰＯＳＳＩＢＩＬＩＴＩＥＳを送信する。メッセージＳＥＳＳＩＯＮ＿ＳＥＣＵＲＩＴＹ＿ＰＯＳＳＩＢＩＬＩＴＩＥＳは、ネゴシエートできないセキュリティ項目のリストと、それに加えて、ある種の代案が好ましいコンテキストに与えられたネゴシエート可能なセキュリティ項目のリストとを含んでいる。ターゲットデバイスは受信したオプションをチェックし、一致するものがなければ、ターゲットデバイスはメッセージＳＥＳＳＩＯＮ＿ＤＩＳＡＢＬＥを送信し、ネゴシエートステップは図１０に示されるように継続する。すなわちネゴシエートステップは不成功で終了する。その他の場合、図９に示されているように、ターゲットデバイスは受信したオプションをチェックし、一致するものがあれば、ターゲットデバイスは、ネゴシエートできないセキュリティ項目およびネゴシエート可能なセキュリティ項目の適切な組み合わせとともに、メッセージＳＥＳＳＩＯＮ＿ＳＥＣＵＲＩＴＹ＿ＰＯＳＳＩＢＩＬＩＴＩＥＳをソースデバイスへ送信する。ソースデバイスはこの提案をチェックし、チェック結果が肯定的であれば、メッセージＳＥＳＳＩＯＮ＿ＣＯＮＦＩＲＭを送信する。その後、ネゴシエートステップは、セッション転送が可能であることを確立した後に終了する。これに反し、ソースデバイス側のチェック結果が否定的であれば、ソースデバイスはメッセージＳＥＳＳＩＯＮ＿ＤＩＳＡＢＬＥをターゲットデバイスへ送信し、ネゴシエートステップは図１１に示されているように継続する。すなわちネゴシエートステップは不成功で終了する。

ネゴシエートステップが成功で終了する場合、セキュリティコンテキストが確立され、再び図８を参照して後述するようにセッション転送を行うことができる。

ステップ１０．６において、ソースデバイス側のセッションの現在の状態が取得され、すなわち、ターゲットデバイス側でセッションを確立するために必要な全情報が決定される。現在のセッション状態に関する情報は、ステップ１０．７に示されているようにターゲットデバイスへ転送され、セッションは、ステップ１０．８に示されているようにターゲットデバイス側で確立される。これらプロセスステップのさらなる詳細については、ソースターミナルデバイスからターゲットターミナルデバイスへセッションを転送する実際のステップに関係するこれまでの説明を参照されたい。

本発明の実施例の上述の説明は様々な利点が得られるということを示している。例えば、セキュリティ要件は、セッションの全ライフタイム、すなわち確立、フェデレーションセットアップ、セキュリティコンテキストのネゴシエーションおよびセッション転送の間に扱われるが、従来技術による既知の解決策においてはそうではない。さらに、適用されたセキュリティサービスおよびメカニズムに関して、セキュリティコンテキストのネゴシエーションおよびセッション状態転送の基礎を形成する高度のフレキシビリティが適用されることに注意すべきである。従来技術では、ハードコード化されたセキュリティメカニズムが提供されている。その上さらに、本発明によるセッション転送方法は、ソースデバイスとターゲットデバイスとの間を仲介するサーバを必ずしも必要としない。

ソースターミナルデバイスまたはターゲットターミナルデバイスのいずれかとして本発明を実施するために使用できるようにするため、ターミナルデバイスは、セッション転送が許可されているかどうかを決定する手段と、転送すべきセッションのセキュリティ制約を決定する手段と、上記セキュリティ制約をネゴシエートする手段と、それぞれのセキュリティコンテキストを確立する手段と、セッションを転送する手段とを備えて成ることを本発明の実施例に関する上述の説明は明らかにしている。好ましくは、上記の手段は、上記ターミナルデバイス上で実行されるソフトウェアとして実装される。ターミナルデバイスがモバイルターミナルデバイスであるならば、無線通信チャネルが有利である。セッションを転送するプロセスを保護するため、ターミナルデバイスは好ましくはセキュア通信チャネルを確立する機能を備えている。

本発明の第１の実施形態によるコンピューティング環境における要素を説明する概略図である。本発明の第１の実施形態によるセッション転送のステップを説明する図である。本発明の第２の実施形態によるコンピューティング環境における要素を説明する概略図である。本発明によるセキュリティポリシーを説明するブロック図である。本発明の第２の実施形態によるセッション転送のステップを説明する図である。本発明の第２の実施形態によるソフトウェアコンポーネントを説明するブロック図である。本発明の第３の実施形態によるコンピューティング環境の要素を説明する概略図である。本発明の第３の実施形態によるセッション転送のステップを説明する図である。本発明の第３の実施形態によるセッション転送のネゴシエートステップを説明する図である。本発明の第３の実施形態によるセッション転送のネゴシエートステップのさらなるステップを説明する図である。本発明の第３の実施形態によるセッション転送のネゴシエートステップのさらなるステップを説明する図である。

Claims

ユビキタスコンピューティング環境においてソースターミナルデバイス（１ａ）からターゲットターミナルデバイス（１ｂ）へセッションを転送する方法であって、
前記セッションは、前記ソースターミナルデバイス（１ａ）上でアプリケーションを起動することにより開始されるものであり、
前記セッションのセキュリティは、セキュリティコンテキストを前記アプリケーションごとに生成するために、実行されている前記アプリケーションに対して指定されているアプリケーション別セキュリティポリシー（２）により実現されるものであって、
前記ソースターミナルデバイス（１ａ）が、アプリケーション別セキュリティポリシー（２）に基づいて、セッション転送が許可されているかどうかを決定するステップと、
前記ソースターミナルデバイス（１ａ）と前記ターゲットターミナルデバイス（１ｂ）との間に確立されている直接的な通信チャネル（４ｃ）を介して、前記ソースターミナルデバイス（１ａ）が前記ターゲットターミナルデバイス（１ｂ）と前記アプリケーション別セキュリティポリシー（２）をネゴシエートするステップと、
セッション転送が許可されている場合に、前記直接的な通信チャネル（４ｃ）を介してネゴシエートされたアプリケーション別セキュリティポリシー（２）に基づいて、前記ソースターミナルデバイス（１ａ）が前記ターゲットターミナルデバイス（１ｂ）へ前記セッションの状態に関する情報を転送するステップと、
前記ターゲットターミナルデバイス（１ｂ）が、セキュリティコンテキストを前記アプリケーションごとに生成するために、前記アプリケーション別セキュリティポリシーを確立し、そのアプリケーション別セキュリティポリシーに基づいて当該アプリケーションの使用可否を判断するステップと
を含む方法。
前記セキュリティコンテキストは前記アプリケーション別セキュリティポリシーを用いて表現できるものであり、
セッション転送が許可されているかどうかを決定する前記ステップが、前記ソースターミナルデバイス（１ａ）にある前記アプリケーション別セキュリティポリシーの少なくとも１つを評価するステップを含むものであり、および／または、転送されるべき前記セッションのセキュリティ制約を決定する前記ステップが、前記アプリケーション別セキュリティポリシーの少なくとも１つを評価するステップを含むものである、
請求項１に記載の方法。
前記セキュリティ制約または前記セキュリティポリシーをネゴシエートするステップが、前記ソースターミナルデバイス（１ａ）と前記ターゲットターミナルデバイス（１ｂ）との間でアプリケーション別セキュリティポリシーまたはアプリケーション別セキュリティポリシーに関係する情報を交換するステップを含むものである、請求項１または２に記載の方法。
前記ターゲットターミナルデバイス（１ｂ）上でそれぞれのセキュリティコンテキストを確立する前記ステップが、前記セキュリティ制約または前記セキュリティポリシーをネゴシエートする前記ステップ内で前記ソースターミナルデバイス（１ａ）と前記ターゲットターミナルデバイス（１ｂ）との間で交換された情報に基づいて実行されるものである、請求項１〜３のいずれか一項に記載の方法。
前記ソースターミナルデバイス（１ａ）と前記ターゲットターミナルデバイス（１ｂ）との間の直接的な通信が、セキュア通信チャネルを介して行われるものである、請求項１〜４のいずれか一項に記載の方法。
前記ソースターミナルデバイス（１ａ）と前記ターゲットターミナルデバイス（１ｂ）との間の前記直接的な通信が、無線通信チャネルである、請求項１〜５のいずれか一項に記載の方法。
前記ソースターミナルデバイス（１ａ）と前記ターゲットターミナルデバイス（１ｂ）とがモバイルターミナルデバイスである、請求項１〜６のいずれか一項に記載の方法。
前記アプリケーション別セキュリティポリシーが少なくともオーソリゼーションポリシーと、コンフィギュレーションポリシーと、デリゲーションポリシーと、フェデレーションポリシーとから成るものである、請求項１〜７のいずれか一項に記載の方法。
前記アプリケーション別セキュリティポリシーは、前記ソースターミナルデバイス（１ａ）上および前記ターゲットターミナルデバイス（１ｂ）上で実行可能な少なくとも１つのアプリケーションへ対応しているものであり、
前記アプリケーションは、転送されるべき前記セッションに対応するものである、
請求項１〜８のいずれか一項に記載の方法。
ユビキタスコンピューティング環境においてターゲットターミナルデバイス（１ｂ）へセッションを転送するソースターミナルデバイス（１ａ）であって、
前記セッションは、前記ソースターミナルデバイス（１ａ）上でアプリケーションを起動することにより開始されるものであり、
前記セッションのセキュリティは、セキュリティコンテキストを前記アプリケーションごとに生成するために、実行されている前記アプリケーションに対して指定されているアプリケーション別セキュリティポリシー（２）により実現されるものであって、
アプリケーション別セキュリティポリシー（２）に基づいてセッション転送が許可されているかどうかを決定するために、前記ソースターミナルデバイス（１ａ）上で前記アプリケーション別セキュリティポリシー（２）を評価する手段と、
前記ソースターミナルデバイス（１ａ）と前記ターゲットターミナルデバイス（１ｂ）との間に確立されている直接的な通信チャネル（４ｃ）を介して、前記ターゲットターミナルデバイス（１ｂ）と前記アプリケーション別セキュリティポリシー（２）をネゴシエートする手段と、
セッション転送が許可されている場合に、前記直接的な通信チャネル（４ｃ）を介してネゴシエートされたアプリケーション別セキュリティポリシー（２）に基づいて前記ソースターミナルデバイス（１ａ）から前記ターゲットターミナルデバイス（１ｂ）へ前記セッションの状態に関する情報を転送する手段と
を備えたソースターミナルデバイス。