專利名稱：網(wǎng)絡連接系統(tǒng)的制作方法
技術領域：
本發(fā)明涉及一種可以從一個遠端位置連接到本地網(wǎng)絡等的網(wǎng)絡連接系統(tǒng)。
背景技術：
近年來，在與互聯(lián)網(wǎng)連接環(huán)境的廣泛應用相互協(xié)作的情況下，工作者的工作形式的種類正在不斷增加。舉例來說，由于遠程接入服務(RAS)技術的發(fā)展，對于在家工作并同時屬于一個企業(yè)的工作者而言，所謂的遠程辦公的工作形式是非常容易接受的，其中所述遠程接入服務技術是用于從用戶住宅等遠端位置經(jīng)由不同用戶共享的網(wǎng)絡來訪問企業(yè)局域網(wǎng)，其中所述共享網(wǎng)絡可以是互聯(lián)網(wǎng)以及公共電話網(wǎng)。
在這種遠程接入服務中，一般慣例是根據(jù)先前在本地網(wǎng)絡中登記的用戶名及口令而在本地網(wǎng)絡側執(zhí)行鑒權，并且在鑒權之后，在遠端位置與所接入的本地網(wǎng)絡之間的網(wǎng)絡(中間網(wǎng)絡)上加密業(yè)務，以免企業(yè)使用的信息受到隨意查閱。
日本專利申請?zhí)亻_平8-235114公開了一種技術，用于使每個終端從中間服務器獲取連接到一個服務器所需要的信息，以便提供一種系統(tǒng)，所述系統(tǒng)能使一個甚至不保持多個服務器的用戶鑒權信息的終端訪問這些服務器，并且所述系統(tǒng)集總地管理這些服務器的收費。
然而，在如上所述的相關技術的遠程接入服務中，業(yè)務是在鑒權之后才進行加密的，而用戶名等鑒權信息則是按其原樣分發(fā)的。因此，如果在中途網(wǎng)絡中非法得到用戶名，那么有可能進行未經(jīng)授權的訪問，其中非法獲取的用戶名被發(fā)送到本地網(wǎng)絡側，以便作為口令來進行任意攻擊。

發(fā)明內容
因此本發(fā)明的一個目的是提供一種網(wǎng)絡連接系統(tǒng)，該系統(tǒng)可以提高遠程接入的安全性。
為了解決相關技術實例中的問題，根據(jù)本發(fā)明的第一個方面，網(wǎng)絡連接系統(tǒng)包括一個客戶機設備、一個鑒權服務器以及一個連接服務器。鑒權服務器包括一個保持單元，用于保存基于連接服務器中使用的第一連接鑒權信息而準備的第二連接鑒權信息，同時將第二連接鑒權信息與一個連接服務器地址相關聯(lián)；一個第一單元，在第一單元從客戶機設備接收到連接請求的時候，用于獲取來自客戶機設備的用戶標識信息并且獲取客戶機地址；以及一個第二單元，用于向具有與第二連接鑒權信息相關聯(lián)的連接服務器地址的連接服務器發(fā)送所獲取的客戶機地址，并將連接服務器地址發(fā)送到已經(jīng)發(fā)送了連接請求的客戶機設備?？蛻魴C設備包括一個第三單元，用于把第二連接鑒權信息作為用戶標識信息，連同連接請求一起發(fā)送到鑒權服務器一個第四單元，用于從鑒權服務器接收連接服務器地址；以及一個第五單元，用于將第一連接鑒權信息發(fā)送到具有所接收的連接服務器地址的連接服務器。連接服務器包括第六單元，用于接收來自從鑒權服務器接收的客戶機地址的連接；以及一個第七單元，用于使用從客戶機地址發(fā)送的第一連接鑒權信息來執(zhí)行鑒權處理。
第二連接鑒權信息可以是一個第一連接驗證信息的消息摘要(message digest)。
為了解決相關技術實例中的問題，根據(jù)本發(fā)明的第二個方面，鑒權服務器與客戶機設備以及連接服務器相連。鑒權服務器包括一個保持單元，用于保存基于連接服務器中使用的第一連接鑒權信息而準備的第二連接鑒權信息，同時將第二連接鑒權信息與一個連接服務器地址相關聯(lián)；一個第一單元，用于在第一單元從客戶機設備接收到一個連接請求的時候，獲取來自客戶機識別的用戶標識信息，并且獲取客戶機地址；以及一個第二單元，用于向具有與第二連接鑒權信息相關聯(lián)的連接服務器地址的連接服務器發(fā)送所獲取的客戶機地址，并將連接服務器地址發(fā)送到已經(jīng)發(fā)送了連接請求的客戶機設備。
為了解決相關技術實例中的問題，根據(jù)本發(fā)明的第三個方面，一個客戶機設備與一個鑒權服務器以及一個連接服務器相連?？蛻魴C設備包括一個連接請求單元，用于把一個連接請求以及基于連接服務器中使用的第一連接鑒權信息而準備的第二連接鑒權信息發(fā)送到鑒權服務器；和一個單元，用于從鑒權服務器接收一個連接服務器地址，以便將第一連接鑒權信息發(fā)送到該連接服務器地址。
為了解決相關技術實例中的問題，根據(jù)本發(fā)明的第四個方面，一個連接服務器與一個鑒權服務器以及一個客戶機設備相連。連接服務器包括一個控制單元，用于從鑒權服務器接收客戶機地址并且準許來自客戶機地址的連接；以及一個鑒權單元，用于從具有被允許連接的客戶機地址的客戶機設備接收鑒權信息，以便使用鑒權信息來執(zhí)行鑒權處理。
在包含客戶機的網(wǎng)絡連接系統(tǒng)中，根據(jù)本發(fā)明的第五個方面，網(wǎng)絡連接系統(tǒng)包括一個客戶機設備、一個鑒權服務器以及一個連接服務器。鑒權服務器包括一個保持單元，用于保存使用第一加密方法進行加密的第一加密用戶名和第一加密口令，同時將連接服務器地址與第一加密用戶名及第一加密口令相關聯(lián)；一個第一單元，用于在第一單元從客戶機設備接收一個連接請求的時候，獲取第一加密用戶名以及第一加密口令，作為用于標識客戶機設備的用戶的標識信息，并且獲取一個客戶機地址；以及一個第二單元，用于在保持單元保存了用戶標識信息的時候，將所獲取的客戶機地址發(fā)送到與用戶標識信息相關聯(lián)的連接服務器地址，并且從該連接服務器接收指示該連接服務器轉變到連接等待狀態(tài)的信息，以及將連接服務器地址發(fā)送到發(fā)出連接請求的客戶機設備?？蛻魴C設備包括一個第三單元，用于把經(jīng)過第一加密方法加密的第一加密用戶名以及第一加密口令連同連接請求一起發(fā)送到鑒權服務器；以及一個第四單元。用于從鑒權服務器接收連接服務器地址，并把使用第二加密方法對由用戶輸入的用戶名及口令進行加密而產生的第二加密用戶名以及第二加密口令發(fā)送到所接收的連接服務器地址。
因此，在鑒權服務器中對用戶進行驗證之前，客戶機的用戶是無法了解到連接服務器的網(wǎng)絡地址的。此外，發(fā)送到鑒權服務器以及連接服務器的用戶名等信息是使用第一和第二加密方法來加密的，所述加密方法例如可以是基于散列函數(shù)的加密以及以用戶名及其他信息作為密鑰給出隨機信息的加密，由此可以防止用戶名及其他信息泄漏并提高安全性。第一和第二加密方法可以互不相同，也可以是相同的。
為了解決相關技術實例中的問題，根據(jù)本發(fā)明的第六個方面，鑒權服務器與客戶機設備以及連接服務器相連。鑒權服務器包括一個保持單元，用于保存通過預定方法來進行加密的用戶名及口令，同時將用戶名及口令與一個連接服務器地址相關聯(lián)；一個第一單元，用于在第一單元從客戶機設備接收到一個連接請求的時候，獲取加密用戶名及加密口令，作為用于標識客戶機設備的用戶的標識信息，并且獲取一個客戶機地址；以及一個第二單元，用于在保持單元保存用戶標識信息的時候，將所獲取的客戶機地址發(fā)送到與用戶標識信息相關聯(lián)的連接服務器地址，并且從該連接服務器接收指示該連接服務器轉變到連接等待狀態(tài)的信息，以及將連接服務器地址發(fā)送到發(fā)布連接請求的客戶機設備。
為了解決相關技術實例中的問題，根據(jù)本發(fā)明的第七個方面，一個客戶機設備與一個鑒權服務器以及一個連接服務器相連?？蛻魴C設備包括一個連接請求單元，用于把經(jīng)過第一加密方法加密的用戶名以及口令連同一個連接請求一起發(fā)送到鑒權服務器；以及一個單元，用于從鑒權服務器接收一個連接服務器地址，并且使用第二加密方法來對用戶輸入的用戶名和口令進行加密，以及把經(jīng)過第二加密方法加密的用戶名和口令發(fā)送到所接收的連接服務器地址。
在這里，客戶機設備可以進一步包括一個保持單元，用于保存本地鑒權信息，所述信息是先前從連接服務器提供的信息，該信息把客戶機設備的特有信息與用戶名和口令中的至少一個相關聯(lián)；以及一個本地鑒權單元，用于在接收到用戶輸入的用戶名和口令的時候產生所述特有信息，并且參考本地鑒權信息以及通過判定所接收用戶名和所接收口令中的至少一個是否與所產生的特有信息相關聯(lián)來對用戶進行鑒權。只有當本地鑒權單元鑒權為用戶有效的時候，連接請求單元才將用戶名及口令與連接請求一起發(fā)送到鑒權服務器，其中所述用戶名和口令是使用第一方法來加密的。
為了解決相關技術實例中的問題，根據(jù)本發(fā)明的第八個方面，連接服務器與一個客戶機設備以及一個鑒權服務器相連。連接服務器包括一個單元，用于從鑒權服務器接收將要連接的客戶機設備的地址，并且在一個預定時期允許來自所述地址的通信，此外還將指示連接服務器轉變到連接等待狀態(tài)的信息發(fā)送到鑒權服務器。
此外，為了解決現(xiàn)有技術實例中的問題，根據(jù)本發(fā)明的第九個方面，網(wǎng)絡連接系統(tǒng)包括一個客戶機設備，一個用于把指導連接目的地的信息提供到客戶機設備的鑒權服務器，以及一個連接服務器?？蛻魴C設備對客戶機設備特有的第一鑒權信息進行計算，以便將第一鑒權信息預先登記到連接服務器，并從連接服務器獲取將第一鑒權信息與預定的第二鑒權信息相關聯(lián)的本地鑒權信息，以便保存本地鑒權信息。當用戶指示一個針對連接服務器的連接請求時，客戶機設備接收第二鑒權信息的輸入，再次計算客戶機設備特有的第一鑒權信息，通過使用所存儲的本地鑒權信息來對所輸入的第二鑒權信息與再次計算的第一鑒權信息之間的關聯(lián)進行觀察，并且使用第一加密方法來對第二鑒權信息進行加密，以便在斷定關聯(lián)成立的時候把使用第一加密方法加密的第二鑒權信息發(fā)送到鑒權服務器。客戶機設備從鑒權服務器接收連接服務器地址，以此作為指導連接目的地的信息，并且將使用第二加密方法加密的第二鑒權信息發(fā)送到一個連接服務器地址，以及開始與連接服務器進行通信。
根據(jù)本發(fā)明的第十個方面，網(wǎng)絡連接方法使用一個網(wǎng)絡連接系統(tǒng)，所述系統(tǒng)包括一個客戶機設備、一個鑒權服務器以及一個連接服務器。該方法包括鑒權服務器保存基于連接服務器中使用的第一連接鑒權信息而準備的第二連接鑒權信息，同時將第二連接鑒權信息與一個連接服務器地址相關聯(lián)，客戶機設備將第二連接鑒權信息作為用戶標識信息，連同一個連接請求一起發(fā)送到鑒權服務器，當鑒權服務器從客戶機設備接收到連接請求的時候，從客戶機設備獲取用戶標識信息并獲取客戶機地址，當用戶標識信息符合第二連接鑒權信息時，將所獲取的客戶機地址發(fā)送到與第二連接鑒權信息相關聯(lián)的連接服務器地址所標識的連接服務器，把連接服務器地址發(fā)送到發(fā)出連接請求的客戶機設備，客戶機設備從鑒權服務器接收連接服務器地址，并且將第一連接鑒權信息發(fā)送到所接收的連接服務器地址，連接服務器接收來自于從鑒權服務器接收的客戶機地址的連接，以及使用從客戶機地址發(fā)送的第一連接鑒權信息來執(zhí)行一個鑒權處理。
此外，根據(jù)本發(fā)明的第十一個方面，網(wǎng)絡連接方法使用一個網(wǎng)絡連接系統(tǒng)，所述系統(tǒng)包括一個客戶機設備、一個鑒權服務器以及一個連接服務器。該方法包括鑒權服務器對使用第一加密方法加密的用戶名和口令加以保存，同時把加密用戶名及加密口令與連接服務器地址相關聯(lián)，客戶機設備把經(jīng)過第一加密方法加密的用戶名及口令連同一個連接請求一起發(fā)送到鑒權服務器，鑒權服務器從客戶機設備接收連接請求，獲取經(jīng)過第一加密方法加密的用戶名及口令，以此作為標識客戶機設備的用戶的信息，并且還獲取一個客戶機地址，當鑒權服務器保存了用于標識用戶的信息時，將所獲取的客戶機地址發(fā)送到與標識用戶的信息相關聯(lián)的連接服務器地址，連接服務器從鑒權服務器接收將要連接的客戶機設備的客戶機地址，允許來自客戶機設備的通信，將指示連接服務器轉變到連接等待狀態(tài)的信息發(fā)送到鑒權服務器，使用第二加密方法來對用戶輸入的用戶名及口令進行加密，將使用第二加密方法加密的用戶名及口令發(fā)送到由客戶機服務器從鑒權服務器接收的連接服務器地址，以及使用經(jīng)過第二加密方法加密并由連接服務器從客戶機設備接收的用戶名及口令來執(zhí)行一個鑒權處理。
為了解決相關技術實例中的問題，根據(jù)本發(fā)明，提供了一種由連接到客戶機及連接服務器的鑒權服務器執(zhí)行的程序，用于使鑒權服務器執(zhí)行以下步驟保持基于連接服務器中使用的第一連接鑒權信息而產生的第二連接鑒權信息，其中第二連接鑒權信息與用于標識連接服務器的信息相關聯(lián)；一旦從客戶機接收到連接請求，則從客戶機獲取標識用戶的信息，并且獲取客戶機使用的當前網(wǎng)絡地址，以此作為客戶機地址；如果用戶標識信息匹配于第二連接鑒權信息，則把所獲取的客戶機地址發(fā)送到與第二連接鑒權信息相關聯(lián)的信息所標識的連接服務器，并把連接服務器的網(wǎng)絡地址發(fā)送到所述發(fā)送連接請求的客戶機。
為了解決現(xiàn)有技術中的問題，根據(jù)本發(fā)明，提供了一種由連接到鑒權服務器以及連接服務器的客戶機執(zhí)行的程序，用于使客戶機執(zhí)行以下步驟將一個連接請求連同基于連接服務器中使用的第一連接鑒權信息而產生的第二連接鑒權信息一起發(fā)送到鑒權服務器；以及從鑒權服務器接收連接服務器的地址，并且將第一連接鑒權信息發(fā)送到所接收的連接服務器地址。
為了解決現(xiàn)有技術中的問題，根據(jù)本發(fā)明，提供了一種由連接到鑒權服務器以及客戶機的連接服務器所執(zhí)行的程序，用于使連接服務器執(zhí)行以下步驟從鑒權服務器接收客戶機的客戶機地址并且進行控制，以使來自客戶機地址的連接可以接受；以及使用可接受的客戶機地址來從客戶機接收鑒權信息并且使用鑒權信息來進行鑒權。
為了解決相關技術實例中的問題，根據(jù)本發(fā)明，使與客戶機以及連接服務器相連的鑒權服務器執(zhí)行以下步驟將通過預定方法加密的用戶名及口令與連接服務器的網(wǎng)絡地址相關聯(lián)地保持；一旦從客戶機接收到連接請求，則獲取加密的用戶名及口令，以此作為標識客戶機的用戶的信息，并且獲取客戶機使用的當前網(wǎng)絡地址，以此作為客戶機地址；如果在保持裝置中保持了用戶標識信息，則將所獲取的客戶機地址發(fā)送到與所述用戶標識信息相關聯(lián)的連接服務器的網(wǎng)絡地址，從連接服務器接收指示轉換到連接等待狀態(tài)的信息，并且把連接服務器的網(wǎng)絡地址發(fā)送到產生連接請求的客戶機。
此外，為了解決相關技術實例中的問題，根據(jù)本發(fā)明，使一個與鑒權服務器以及連接服務器相連的客戶機執(zhí)行以下步驟將一個連接請求連同經(jīng)過第一加密方法加密的用戶名及口令一起發(fā)送到鑒權服務器；從鑒權服務器接收該連接服務器的網(wǎng)絡地址，使用第二加密方法來對用戶輸入的用戶名及口令進行加密，并把經(jīng)過第二加密方法加密的用戶名及口令發(fā)送到所接收的網(wǎng)絡地址。
此外，為了解決相關技術實例中的問題，根據(jù)本發(fā)明，使連接到客戶機以及鑒權服務器的連接服務器執(zhí)行以下步驟，其中所述連接服務器與客戶機進行加密通信，所述步驟包括接收一個表示要連接的客戶機的地址的客戶機地址通知，進行設置，以使來自客戶機地址的通信僅僅在一個預定時間內可以接受，并且將一個指示轉換到連接等待狀態(tài)的信息發(fā)送到鑒權服務器。


圖1是描述根據(jù)本發(fā)明一個實施例的網(wǎng)絡連接系統(tǒng)實例的框圖。
圖2是對保存在鑒權服務器中的數(shù)據(jù)的一個實例進行描述的示意圖。
圖3是對根據(jù)本發(fā)明實施例的網(wǎng)絡連接的前半部分流程的一個實例進行描述的流程圖。
圖4是對根據(jù)本發(fā)明實施例的網(wǎng)絡連接的后半部分流程的一個實例進行描述的流程圖。
具體實施例方式
現(xiàn)在參考附圖來描述本發(fā)明的優(yōu)選實施例。根據(jù)本發(fā)明一個實施例的網(wǎng)絡連接系統(tǒng)包括本地網(wǎng)絡1、公共網(wǎng)絡2、連接到公共網(wǎng)絡2的客戶機3以及鑒權服務器4。本地網(wǎng)絡1經(jīng)由連接服務器11而與公共網(wǎng)絡2相連。公共網(wǎng)絡2是一個由互聯(lián)網(wǎng)和公用交換電話網(wǎng)等所構成的網(wǎng)絡系統(tǒng)。盡管圖1僅僅顯示了一個鑒權服務器4，但是也可包含兩個或兩個以上的鑒權服務器4。
客戶機3是一個通用計算機，它包括控制部分31、存儲部分32、通信控制部分33、顯示部分34以及操作部分35?？刂撇糠?1根據(jù)存儲部分32中保存的程序(客戶機程序)而運行。控制部分31對本地網(wǎng)絡1執(zhí)行RAS連接處理。稍后將會特別詳細地描述RAS連接處理。存儲部分32是一種用于保存程序及其他信息的計算機可讀的存儲介質。存儲部分32還作為控制部分31的工作存儲器來運行。
通信控制部分33根據(jù)由控制部分31輸入的命令而把信息發(fā)送到一個目的地，所述目的地由命令中所包含的網(wǎng)絡地址來指定。通信控制部分33接收經(jīng)由網(wǎng)絡到來的信息并且把這些信息輸入到控制部分31。顯示部分34是一個根據(jù)控制部分31輸入的命令來顯示信息的顯示器等。操作部分35包括鍵盤、鼠標及其他裝置，并把用戶的命令操作的詳細資料輸出到控制部分31。
鑒權服務器4是一個通用服務器計算機，它包括控制部分41、存儲部分42以及通信控制部分43?？刂撇糠?1根據(jù)存儲部分42中保存的程序(鑒權服務器程序)來運行及執(zhí)行鑒權處理。而稍后將對鑒權處理進行特別詳細地描述。
存儲部分42是一種用于保存程序及其他信息的計算機可讀存儲介質。存儲部分42還作為控制部分41的工作存儲器運行。通信控制部分43根據(jù)從控制部分41輸入的命令而把信息發(fā)送到一個目的地，其中所述目的地是由命令所包含的網(wǎng)絡地址指定的。通信控制部分43接收經(jīng)由該網(wǎng)絡到來的信息并把該信息輸出到控制部分41。
本地網(wǎng)絡1的連接服務器11也可以是通用的服務器計算機，它包括控制部分15、存儲部分16、第一通信控制部分17以及第二通信控制部分18?？刂撇糠?5根據(jù)存儲部分16中保存的程序(連接服務器程序)來進行操作并且執(zhí)行驗證處理、連接處理及其他處理。稍后將對鑒權處理和連接處理進行特別詳細地描述。
存儲部分16是一種用于保存程序及其他信息的計算機可讀存儲介質。存儲部分16還充當控制部分15的工作存儲器。第一通信控制部分17根據(jù)由控制部分15輸入的命令而把信息經(jīng)由公共網(wǎng)絡2發(fā)送到一個目的地，其中所述目的地是由命令所包含的網(wǎng)絡地址來指定的。第一通信控制部分17接收經(jīng)由公共網(wǎng)絡2到來的信息并把該信息輸出到控制部分15。第二通信控制部分18根據(jù)由控制部分15輸入的命令而把信息經(jīng)由本地網(wǎng)絡1發(fā)送到一個目的地，其中所述目的地是由命令中包含的網(wǎng)絡地址來指定的。第二通信控制部分18接收經(jīng)由本地網(wǎng)絡1到來的信息并把該信息輸出到控制部分15。
連接服務器11的控制部分15把一個數(shù)據(jù)請求等經(jīng)由第二通信控制部分18發(fā)送到本地網(wǎng)絡1，所述請求等是經(jīng)由第一通信控制部分17而從客戶機3接收的，其中客戶機3使用稍后描述的方法被鑒權?？刂撇糠?5經(jīng)由第二通信控制部分18接收那些將要從本地網(wǎng)絡1發(fā)送到客戶機3的數(shù)據(jù)等，并且經(jīng)由第一通信控制部分17來發(fā)送這些數(shù)據(jù)等。
設置在這里將對客戶機3、鑒權服務器4以及連接服務器11之間執(zhí)行的鑒權處理加以討論。首先對在使客戶機3有可能經(jīng)由連接服務器11來進行RAS連接之前的設置過程進行討論。在以下描述中，可以使用公知的SSL(安全套接字層)方法等來對客戶機3與鑒權服務器4之間的通信進行加密。
本實施例的一個特征在于專用于RAS連接的應用軟件安裝在客戶機3上。專用應用軟件保持鑒權服務器4的加密網(wǎng)絡地址，并使客戶機3執(zhí)行一個對已加密鑒權服務器4的網(wǎng)絡地址進行解密的過程。實際上，客戶機3僅僅使用專用的應用軟件就可以訪問鑒權服務器4。
接下來討論專用應用軟件的設置過程。當專用的應用軟件被安裝在客戶機3上時，客戶機3會基于那些通常隨客戶機3的不同而發(fā)生變化的信息來計算客戶機3特有的信息，以此作為客戶機3特有的第一鑒權信息，所述變化的信息可以是例如構造客戶機3的硬盤的序列號的硬件相關信息，也可以是涉及諸如操作系統(tǒng)版本這類軟件環(huán)境的信息。
用戶將特有信息以及用戶名、口令等信息傳遞到連接服務器11的管理員。舉例來說，信息傳遞方法可以是加密的電子郵件，也可以使用那些應用了磁盤等的傳遞手段。連接服務器11的管理員在連接服務器11中登記特有信息、用戶名及口令。當在連接服務器11中登記了這些信息時，連接服務器11選擇鑒權服務器4來驗證用戶，并且加密所選鑒權服務器4的網(wǎng)絡地址來產生一個加密地址，還使用特有信息作為密鑰來加密預定信息(所述信息可以是任何希望的字符串，也可以是RAS連接的終止日期等等的有意義信息)，由此產生第一信息，并且使用用戶名作為密鑰來加密預定信息，以便產生第二信息。連接服務器11輸出一個包含加密地址、第一信息以及第二信息的信息作為定義信息。第一信息與第二信息相當于本地鑒權信息，用于將第一鑒權信息以及第二鑒權信息相互關聯(lián)。定義信息可以包含至少一部分加密口令，所述加密口令是根據(jù)稍后描述的第一加密方法對口令進行加密來提供的。
定義信息通過任何希望的方法遞送到客戶機3，所述方法可以是發(fā)送到客戶機3的用戶的電子郵件，并且定義信息被保存在客戶機3的存儲部分32。客戶機3根據(jù)專用應用軟件使用該定義信息來檢查是否已經(jīng)正確登記了特有信息。具體地說，客戶機3計算并產生特有信息，它要求用戶輸入用戶名并且使用所產生的特有信息來解密第一信息，此外還使用所輸入的用戶名來解密第二信息?？蛻魴C3察看解密結果是否匹配(如果恰當解密了第一信息和第二信息，那么解密結果將是如上所述的預定信息)。如果它們匹配，那么客戶機3判定已經(jīng)正確登記了特有信息。
另一方面，連接服務器11將分配給第一通信控制部分17的網(wǎng)絡地址(公共網(wǎng)絡地址)及使用第一加密方法加密的客戶機3的用戶名和口令發(fā)送到鑒權服務器4。用于加密用戶名及口令的方法(第一加密方法)可以是一種無法解密的方法；在使用用戶名及口令的MD5散列值等的方式下，可以使用消息摘要。鑒權服務器4將從連接服務器1接收的網(wǎng)絡地址與通過第一加密方法加密的用戶名及口令相互關聯(lián)，并且將它們保存在存儲部分42中，如圖2所示，所述存儲部分是一個保持單元。現(xiàn)在結束了設置序列。
鑒權處理接下來參考圖3和圖4來描述產生實際連接請求時執(zhí)行的鑒權處理。在嘗試進行到本地網(wǎng)絡1的RAS連接時，用戶啟動安裝在客戶機3上的專用應用軟件。首先如圖3所示，客戶機3的控制部分31根據(jù)專用應用軟件在顯示部分34上顯示一個要求用戶輸入用戶名及口令的消息(S1)。當用戶操作操作部分35以輸入作為第二鑒權信息(并且還相當于本發(fā)明的第一連接鑒權信息)的用戶名及口令時(S2)，控制部分31計算并產生特有信息，以此作為第一鑒權信息(S3)，并且使用所產生的特有信息來解密第一信息，以及使用所輸入的用戶名來解密第二信息?？刂撇糠?1察看解密結果是否匹配(S4)。當它們匹配時，控制部分31使用第一加密方法來對步驟S2輸入的用戶名及口令進行加密(S5)。借助第一加密方法加密的用戶名及口令相當于本發(fā)明的第二連接鑒權信息。這時，如果定義信息包含至少一部分加密口令，那么將會判定在步驟S5加密的口令的至少相應部分是否與定義信息中包含的至少該部分加密口令相匹配。當它們不匹配時，該處理將會中斷。由于并未在一個加密口令及另一個口令之間進行整體比較，因此進一步提高了安全性。
控制部分31對鑒權服務器4的網(wǎng)絡地址進行解密(S6)并將一個連接請求與在步驟S5中通過第一加密方法加密的第一加密用戶名與第一加密口令一起發(fā)送到所述加密步驟提供的網(wǎng)絡地址(S7)。如果在步驟S4，解密結果不匹配，那么此時將會中斷鑒權處理。
本實施例的一個特征在于每當嘗試進行RAS連接，那么將會如步驟S3所示來對作為第一鑒權信息的特有信息進行計算，以此作為專用應用軟件所進行的處理。因此，一般來說，如果使用不同的計算機，那么，即使泄漏了任何其他鑒權信息，不同的第一鑒權信息也被計算并且RAS連接處理將會中斷。
鑒權服務器4從客戶機3接收加密的用戶名、口令以及連接請求，并且參考存儲部分42來搜索加密的用戶名及口令(S11)。如果加密的用戶名及口令被保存在存儲部分42，那么鑒權服務器4獲取與加密的用戶名及口令相關聯(lián)的連接服務器11的網(wǎng)絡地址(S12)。順便提及，當存儲部分42沒有存儲在S11中所加密的用戶名和口令時(當利用這些加密的用戶名和口令所進行的鑒權失敗時)，鑒權服務器4跳過在S12之后的處理并終止該處理。
鑒權服務器4還獲取發(fā)送該連接請求的客戶機3的網(wǎng)絡地址(客戶機地址)(S13)。鑒權服務器4把在步驟S13獲取的客戶機地址發(fā)送到在步驟S12獲取的連接服務器11的網(wǎng)絡地址(S14)，并且會在從連接服務器11接收到一個指示轉換為連接等待狀態(tài)的信息之前一直等待(S15)。這個流程將會延續(xù)到圖4。
如圖4所示，一旦從鑒權服務器4接收到客戶機地址，那么連接服務器11只在一個預定時間內允許接受來自所述網(wǎng)絡地址的訪問(S21)。鑒權服務器4與連接服務器11之間的通信可以使用租用線或加密通信線這樣的安全線路來進行。具體地說，為了使用pptp(點到點隧穿協(xié)議(point-to-point tunneling protocol)來與客戶機3建立RAS連接，將會在連接服務器11中設定一個防火墻，并且當從鑒權服務器4接收到客戶機3的網(wǎng)絡地址時，僅僅在一個給定時間(例如60秒)內打開一個pptp端口(TCP端口)。連接服務器11將一個指示轉換到連接等待狀態(tài)的消息發(fā)送到鑒權服務器4(S22)。
一旦從連接服務器11接收到所述指示轉換到連接等待狀態(tài)的信息，那么鑒權服務器4會向客戶機3發(fā)送一個連接命令(S31)。一旦接收到連接命令，客戶機3將會使用第二加密方法來對用戶名與口令進行加密，以此作為第二鑒權信息(S41)，并且把借助于第二加密方法加密的第二加密用戶名及第二加密口令發(fā)送到連接服務器11，以此作為pptp中的用戶名及口令(S42)。
其中，處理S31中的連接命令可以包括連接服務器的網(wǎng)絡地址。在此情況下，不必預先在客戶機3中設置連接服務器11的網(wǎng)絡地址。而且，在這種情況下，客戶機3將第二加密方法所加密的第二加密用戶名和第二加密口令發(fā)送到由所接收的連接命令中包含的網(wǎng)絡地址所指定的連接服務器11。這樣，直到鑒權服務器鑒權時，客戶機的用戶才知曉連接服務器的網(wǎng)絡地址。因此，可以提高安全性。
在這個實施例中，連接服務器11將一個指示轉換到連接等待狀態(tài)的消息發(fā)送到鑒權服務器4。然而，所述消息的傳輸并不是必定需要的。如果沒有發(fā)送這個消息，那么鑒權服務器4會將客戶機地址發(fā)送到連接服務器11，并將連接命令發(fā)送到客戶機3(S31)。
連接服務器11檢查加密的用戶名及口令是否匹配于所登記的用戶名及口令(S51)。如果它們匹配，那么開始進行pptp通信(S52)。如果在步驟S51中它們并不匹配，那么鑒權處理將會中斷。通過第二加密方法進行的加密不需要一定能夠經(jīng)受解密；舉例來說，可以使用用戶名的散列值以及口令的散列值(也就是說，第二加密方法可以與第一加密方法相同)，或者使用用戶名及口令作為密鑰來對預定信息(每次產生連接請求的時候產生的信息，例如特有信息，或者從連接服務器11獲取的詢問信息(包含每次產生連接請求時產生的隨機值的信息))進行加密。
如果把用戶名加密為MD5散列值，那么連接服務器11會對這個散列值以及所登記的用戶名散列值進行比較，以便檢查它們是否匹配，從而對用戶名進行驗證。如果特有信息是使用用戶名作為密鑰來進行加密的，那么連接服務器11會使用所登記的用戶名以及特有信息來進行加密，以便產生第二加密用戶名，并且檢查所產生的信息是否匹配于所接收的信息，由此對用戶名進行驗證。
此外，為了使用詢問信息，連接服務器11會發(fā)布包含隨機信息的詢問信息，并將所發(fā)布的詢問信息遞送到客戶機3，連接服務器11還接收那些以用戶名作為密鑰來進行加密的詢問信息，使用所登記的用戶名以及所發(fā)布的詢問信息來進行加密，從而產生第二加密用戶名，并且還檢查所產生的信息是否匹配于所接收的信息，由此對用戶名進行驗證。
連接處理由于是以這種方式來進行鑒權的，因此，即使在一個中間點泄漏了加密的用戶名和口令，要想知道原始用戶名也是非常困難的，由此也就無法操作專用的應用軟件。為了打開連接服務器11的端口，對鑒權服務器4進行攻擊是必不可少，因此降低了攻擊連接服務器11的頻率。由于最初是在鑒權服務器4中進行基本鑒權的，因此將會減少連接服務器11上的處理負載。此外，即使打開了端口，并且有可能通過發(fā)送大量口令來實施黑客行為(hacking)，但是，由于要在打開端口的這60秒之內發(fā)現(xiàn)用戶名及口令，因此實際上是不可能進行非法訪問的。此外，當結束連接處理時，可以關閉用于連接的端口。如果在打開連接服務器11的端口的情況下，基于口令的鑒權以失敗而結束的次數(shù)達到了預定數(shù)目(舉例來說，所述次數(shù)可以設定為一次)，那么該端口可以關閉。
此外，本實施例的一個特征在于盡管用戶名及口令是使用每次產生連接請求時產生的信息來進行加密的，但是用戶可以由加密的用戶名來進行標識。因此在本地網(wǎng)絡中，有可能以這樣一種方式來完成對應于每個用戶的處理，即，為每個用戶都設定了一個訪問權限。
連接服務器11可以為每個用戶產生關于上次訪問日期與時間的用戶記錄，并將該記錄存入存儲部分16。在這種情況下，每次當用戶訪問連接服務器11的時候，連接服務器11都會搜索存儲部分16來尋找所述指示用戶先前訪問日期與時間的信息并且為用戶提供這個信息。因此，如果進行非法訪問，那么用戶就可以發(fā)現(xiàn)這個事實，而安全性也得到了進一步的提高。
由于可以用這種方式來標識用戶，因此最好為每個用戶都設定一個終止日期。具體地說，連接服務器11保持與每個用戶相關聯(lián)的終止日期信息，并且對在步驟S51鑒權的用戶終止日期信息以及日歷信息(未示出)進行參考，以便在開始pptp通信之前檢查是否達到了終止日期。如果達到終止日期，那么連接服務器11將會中斷鑒權處理并且拒絕連接；如果并未到達終止日期，那么連接服務器11將會轉到步驟S52，以便開始進行pptp通信?？梢栽试S連接服務器11的管理員來更新及登記終止日期信息。
在迄今為止所進行的描述中，在步驟S5到S7，客戶機3發(fā)送一個連接請求以及第一加密用戶名和第一加密口令。然而，就口令而論，使用詢問響應的鑒權可以用這樣一種方式來進行，其中客戶機3首先發(fā)送一個連接請求和第一加密用戶名，并對接收該連接請求的鑒權服務器4所發(fā)布的詢問信息(包含隨機信息)進行接收，以及使用第一加密口令作為密鑰來加密詢問信息，并且發(fā)送經(jīng)過加密的詢問信息。
所述操作還應用在客戶機3與連接服務器11之間。在迄今為止所進行的描述中，客戶機3產生了使用第二加密方法加密的第二加密用戶名以及第二加密口令，并把它們發(fā)送到連接服務器11。然而，就口令而言，在不使用第二加密方法加密口令的情況下，也可以實施鑒權，所述鑒權使用了安裝在某些pptp中的詢問響應。
連接服務器11的第一通信控制部分17的網(wǎng)絡地址可以固定設置，也可以隨時間而變化。也就是說，如果這里提到的網(wǎng)絡地址是一個IP地址，那么它可以是靜態(tài)的，也可以是動態(tài)的。當分配給連接服務器11的第一通信控制部分17的網(wǎng)絡地址發(fā)生變化時，連接服務器11會將一個新的網(wǎng)絡地址發(fā)送到鑒權服務器4，由此將所登記的網(wǎng)絡地址更新成一個新的網(wǎng)絡地址。
此外，在本文所述的情況中，將pptp作為與客戶機3進行RAS連接時的通信協(xié)議使用。然而，本發(fā)明并不限于這種情況。也可以使用其他的安全通信協(xié)議，諸如IPSEC或者VPN-HTTPS。
權利要求
1.一種網(wǎng)絡連接系統(tǒng)，包括客戶機設備；鑒權服務器；以及連接服務器，其中鑒權服務器包括保持單元，用于保存基于連接服務器中使用的第一連接鑒權信息而準備的第二連接鑒權信息，同時將第二連接鑒權信息與一連接服務器地址相關聯(lián)；第一單元，在從客戶機設備接收到連接請求的時候，用于獲取來自客戶機設備的用戶標識信息，并且獲取客戶機地址；以及第二單元，用于將所獲取的客戶機地址發(fā)送到具有與第二連接鑒權信息相關聯(lián)的連接服務器地址的連接服務器，并且將連接服務器地址發(fā)送到已經(jīng)發(fā)送了連接請求的客戶機設備；客戶機設備包括第三單元，用于將第二連接鑒權信息作為用戶標識信息并連同連接請求一起發(fā)送到鑒權服務器；第四單元，用于從鑒權服務器接收連接服務器地址；以及第五單元，用于將第一連接鑒權信息發(fā)送到具有所接收的連接服務器地址的連接服務器；以及連接服務器包括第六單元，用于接收來自從鑒權服務器接收的客戶機地址的連接；以及第七單元，用于使用從客戶機地址發(fā)送的第一連接鑒權信息來執(zhí)行鑒權處理。
2.根據(jù)權利要求1的網(wǎng)絡連接系統(tǒng)，其中第二連接鑒權信息是第一連接鑒權信息的信息摘要。
3.一種用于與客戶機設備以及連接服務器相連的鑒權服務器，該鑒權服務器包括保持單元，用于保存基于連接服務器中使用的第一連接鑒權信息而準備的第二連接鑒權信息，同時將第二連接鑒權信息與一連接服務器地址相關聯(lián)；第一單元，用于在從客戶機設備接收到連接請求的時候，獲取來自客戶機設備的用戶標識信息，并且獲取客戶機地址；以及第二單元，用于將所獲取的客戶機地址發(fā)送到具有與第二連接鑒權信息相關聯(lián)的連接服務器地址的連接服務器，并且將連接服務器地址發(fā)送到已經(jīng)發(fā)送了連接請求的客戶機設備。
4.一種用于與鑒權服務器以及連接服務器相連的客戶機設備，該客戶機設備包括連接請求單元，用于將連接請求以及第二連接鑒權信息發(fā)送到鑒權服務器，其中第二連接鑒權信息是基于連接服務器中使用的第一連接鑒權信息而準備的；以及一單元，用于從鑒權服務器接收一連接服務器地址，以便將第一連接鑒權信息發(fā)送到該連接服務器地址。
5.一種用于與鑒權服務器以及客戶機設備相連的連接服務器，該連接服務器包括控制單元，用于從鑒權服務器接收客戶機地址，并且允許來自客戶機地址的連接；以及鑒權單元，用于從具有被允許連接的客戶機地址的客戶機設備接收鑒權信息，以便使用鑒權信息來執(zhí)行鑒權處理。
6.一種網(wǎng)絡連接系統(tǒng)，包括客戶機設備；鑒權服務器；以及連接服務器，其中鑒權服務器包括保持單元，用于保存使用第一加密方法加密的第一加密用戶名以及第一加密口令，同時將一連接服務器地址與第一加密用戶名及第一加密口令相關聯(lián)；第一單元，在第一單元從客戶機設備接收到連接請求的時候，用于獲取第一加密用戶名以及第一加密口令，以此作為標識信息來識別客戶機設備的用戶，并且還獲取客戶機地址；以及第二單元，用于在保持單元保存了用戶標識信息的時候，將所獲取的客戶機地址發(fā)送到與用戶標識信息相關聯(lián)的連接服務器地址，并且從該連接服務器接收指示該連接服務器轉變成連接等待狀態(tài)的信息，以及將連接服務器地址發(fā)送到發(fā)出連接請求的客戶機設備；以及客戶機設備包括第三單元，用于把使用第一加密方法加密的第一加密用戶名及第一加密口令連同連接請求一起發(fā)送到鑒權服務器；以及第四單元，用于從鑒權服務器接收連接服務器地址，并且將第二加密用戶名及第二加密口令發(fā)送到所接收的連接服務器地址，其中第二加密用戶名和第二加密口令是通過使用第二加密方法來對用戶輸入的用戶名及口令進行加密而產生的。
7.一種用于與客戶機設備以及連接服務器相連的鑒權服務器，該鑒權服務器包括保持單元，用于保存使用預定方法加密的用戶名以及口令，同時將用戶名及口令與連接服務器地址相關聯(lián)；第一單元，在第一單元從客戶機設備接收到連接請求的時候，用于獲取加密用戶名以及加密口令，以此作為標識信息來識別客戶機設備的用戶，并且還獲取客戶機地址；以及第二單元，用于在保持單元保存了用戶標識信息的時候，將所獲取的客戶機地址發(fā)送到與用戶標識信息相關聯(lián)的連接服務器地址，并且從該連接服務器接收指示該連接服務器轉變成連接等待狀態(tài)的信息，以及將連接服務器地址發(fā)送到發(fā)出連接請求的客戶機設備。
8.一種用于與鑒權服務器以及連接服務器相連的客戶機設備，該客戶機設備包括連接請求單元，用于把經(jīng)過第一加密方法加密的用戶名及口令連同連接請求一起發(fā)送到鑒權服務器；以及一單元，用于從鑒權服務器接收連接服務器地址，使用第二加密方法來對用戶輸入的用戶名和口令進行加密，并且把經(jīng)過第二加密方法加密的用戶名和口令發(fā)送到所接收的連接服務器地址。
9.根據(jù)權利要求8的客戶機設備，還包括保持單元，用于保存本地鑒權信息，所述信息是先前從連接服務器提供的信息，該信息把客戶機設備的特有信息與用戶名和口令中的至少一個相關聯(lián)；以及本地鑒權單元，用于在接收到用戶輸入的用戶名和口令的時候產生該特有信息，并且參考本地鑒權信息以及通過判定所接收用戶名和所接收口令中的至少一個是否與所產生的特有信息相關聯(lián)來對用戶進行驗證，其中只有當本地鑒權單元驗證了用戶的時候，連接請求單元才將用戶名及口令與連接請求一起發(fā)送到鑒權服務器，所述用戶名和口令是使用第一方法來加密的。
10.一種用于與客戶機設備以及鑒權服務器相連的連接服務器，該連接服務器包括一單元，用于從鑒權服務器接收將要連接的客戶機設備的地址，并且在預定時期允許來自所述地址的通信，此外還將指示該連接服務器轉變到連接等待狀態(tài)的信息發(fā)送到鑒權服務器。
11.一種網(wǎng)絡連接系統(tǒng)，包括客戶機設備；鑒權服務器，用于將指導連接目的地的信息提供給客戶機設備；以及連接服務器，其中客戶機設備計算客戶機設備所特有的第一鑒權信息，以便預先在連接服務器中登記第一鑒權信息，并且從連接服務器獲取將第一鑒權信息與預定的第二鑒權信息相關聯(lián)的本地鑒權信息，以便保存本地鑒權信息；當用戶指示一個針對連接服務器的連接請求時，客戶機設備接收第二鑒權信息的輸入，再次計算客戶機設備特有的第一鑒權信息，通過使用所存儲的本地鑒權信息來對所輸入的第二鑒權信息以及再次計算的第一鑒權信息之間的關聯(lián)進行觀察，并且使用第一加密方法來加密第二鑒權信息，以便在斷定關聯(lián)成立的時候把使用第一加密方法加密的第二鑒權信息發(fā)送到鑒權服務器；以及客戶機設備從鑒權服務器接收連接服務器地址，以此作為指導連接目的地的信息，并且將使用第二加密方法加密的第二鑒權信息發(fā)送到連接服務器地址，以及開始與連接服務器進行通信。
12.一種使用包含了客戶機設備、鑒權服務器以及連接服務器的網(wǎng)絡連接系統(tǒng)的連接方法，該方法包括鑒權服務器保存基于連接服務器中使用的第一連接鑒權信息而準備的第二連接鑒權信息，同時將第二連接鑒權信息與一個連接服務器地址相關聯(lián)；客戶機設備將第二連接鑒權信息作為用戶標識信息，連同一個連接請求一起發(fā)送到鑒權服務器；當鑒權服務器從客戶機設備接收到連接請求的時候，從客戶機設備獲取用戶標識信息并獲取客戶機地址；當用戶標識信息符合第二連接鑒權信息時，將所獲取的客戶機地址發(fā)送到與第二連接鑒權信息相關聯(lián)的連接服務器地址所標識的連接服務器；把連接服務器地址發(fā)送到發(fā)出連接請求的客戶機設備；客戶機設備從鑒權服務器接收連接服務器地址；客戶機設備將第一連接鑒權信息發(fā)送到所接收的連接服務器地址；連接服務器接收來自于從鑒權服務器接收的客戶機地址的連接；以及使用從客戶機地址發(fā)送的第一連接鑒權信息來執(zhí)行一個鑒權處理。
13.一種使用包含了客戶機設備、鑒權服務器以及連接服務器的網(wǎng)絡連接系統(tǒng)的連接方法，該方法包括鑒權服務器對使用第一加密方法加密的用戶名和口令加以保存，同時把加密用戶名及加密口令與連接服務器地址相關聯(lián)；客戶機設備把經(jīng)過第一加密方法加密的用戶名及口令連同一個連接請求一起發(fā)送到鑒權服務器；鑒權服務器從客戶機設備接收連接請求；獲取經(jīng)過第一加密方法加密的用戶名及口令，以此作為標識客戶機設備的用戶的信息，并且還獲取一個客戶機地址；當鑒權服務器保存了用于標識用戶的信息時，將所獲取的客戶機地址發(fā)送到與標識用戶的信息相關聯(lián)的連接服務器地址；連接服務器從鑒權服務器接收將要連接的客戶機設備的客戶機地址；允許來自客戶機設備的通信；將指示連接服務器轉變到連接等待狀態(tài)的信息發(fā)送到鑒權服務器；使用第二加密方法來對用戶輸入的用戶名及口令進行加密；將使用第二加密方法加密的用戶名及口令發(fā)送到由客戶機服務器從鑒權服務器接收的連接服務器地址；以及使用經(jīng)過第二加密方法加密并由連接服務器從客戶機設備接收的用戶名及口令來執(zhí)行一個鑒權處理。
全文摘要
一種網(wǎng)絡連接系統(tǒng)，包括客戶機設備、鑒權服務器以及連接服務器。鑒權服務器對客戶機設備的用戶進行驗證并且將客戶機設備的網(wǎng)絡地址發(fā)送到連接服務器。當從連接服務器接收到指示轉變到連接等待狀態(tài)的信息時，連接服務器的網(wǎng)絡地址被發(fā)送到客戶機?？蛻魴C設備將加密的用戶名及口令發(fā)送到該網(wǎng)絡地址。連接服務器11使用加密的用戶名及口令來實施鑒權。
文檔編號G06F13/00GK1527530SQ20041000790
公開日2004年9月8日 申請日期2004年3月5日 優(yōu)先權日2003年3月5日
發(fā)明者吉田武央 申請人:富士施樂株式會社