CN102172063B - 访问控制系统、访问控制方法和通信终端 - Google Patents

Abstract

使用高安全网络(3)来获取与数据(21)相关的核对信息(22)。使用低安全网络(4)来获取数据(21)。将所获取的核对信息(22)和数据(21)进行核对。如果核对结果为“匹配”，则确定低安全网络(4)不是伪装的，并许可对低安全网络(4)的访问。此外，许可在高安全网络(3)和低安全网络(4)上使用所下载的数据(21)。

Description

访问控制系统、访问控制方法和通信终端

技术领域

本发明涉及一种访问控制系统、访问控制方法和通信终端，用于控制对诸如应用或内容之类的数据以及对网络的访问。

背景技术

近来，通信终端具有多个无线通信装置并根据需要来切换和使用连接网络正在变得流行起来。例如，具有用于连接至蜂窝网络的装置和用于连接至无线LAN的装置并且连接至室外蜂窝网络和室内无线LAN的通信终端已经投入实际使用。

在这种情况下，通信终端在各种网络之间切换，或同时使用各种网络。存在要连接至的各种网络，并且相应的网络在操作策略上有极大的不同。例如，由蜂窝网络提供商提供的IP网络以及办公室内联网引入了认证和加密装置，并被视为非常安全的网络(高安全性网络)。相反，免费的无线LAN点既不具有认证装置也不具有加密装置，甚至，存在未受保护的网络(低安全性网络)。

在本说明书中，诸如上述由蜂窝网络提供商提供的IP网络或办公室内联网之类的网络将被称为高安全网络，而其Web服务器或DNS可能被假冒的网络或者由于缺少加密而可以分析其上的通信内容的网络将被称作低安全网络。

最近的通信终端可以经由网络从服务器下载诸如应用或内容之类的数据，并使用所下载的数据来接收各种服务。应用的示例是针对蜂窝电话的Java应用。当这种通信终端在高安全网络和低安全网络之间切换或者同时使用它们时，出现安全性威胁。

例如，假定在低安全网络上存在恶意的应用，并且通信终端下载该应用并在与高安全网络相连接时执行该应用。然后，恶意应用可能攻击高安全网络、窃取信息或在网络内进行破坏。

下面将考虑Java小应用程序(Java applet application)。对于Java小应用程序，该应用一般仅可以与其下载站点进行通信。例如，从“http://www.example.com”下载的应用在“Java VM”的限制下仅可以与“www.example.com”进行通信。

在这种情况下，高安全网络上的DNS是可靠的，因此，该应用可以与预期服务器(www.example.com)进行通信。然而，在低安全网络上，不仅应用和Web服务器是不可靠的，甚至DNS也是不可靠的。恶意网络管理员可以建立恶意DNS服务器，并使通信终端从假冒的服务器下载应用。

例如，假定通信终端从假冒为http://www.some-secure-server.com的Web服务器下载应用。该应用被许可与“www.some-secure-server.com”进行通信。如果在高安全网络上存在具有与此相同的DNS名称的服务器，则恶意应用可以非期望地与该服务器进行通信并攻击该服务器。即，低安全网络上的应用可以攻击高安全网络上的服务器。这是严重的问题。

相反，假定通信终端在高安全网络上从“http://www.some-secure-server.com”下载真实可信的应用或内容。如果该通信终端与上述恶意网络相连接，则应用或内容与假冒的服务器相连接，并且通信内容可以被解析。即，高安全网络上的应用或内容的通信内容可能暴露于低安全网络并被解析。这可能是严重的问题，对于限制在高安全网络环境中的应用来说尤其如此。

作为对抗这种安全性威胁的手段，可以安装HTTPS(超文本传输协议安全)服务器等。然而，需要获取证书，并需要服务器设置等，这增加了成本。在成本方面，难以将HTTPS用于由个人创建的免费软件或开放信息，所述个人与可从应用或内容中得到收益的内容提供商不同。

考虑到这一点，例如，参考文献1(日本专利未审公开No.2004-320369)公开了一种方法，将与应用相对应的通信网络与连接期间的通信网络进行比较，如果它们不相互符合，则限制应用功能。

通过以这种方式使应用与所使用的通信网络相对应，低安全网络上的应用无法访问高安全网络，高安全网络上的应用无法访问低安全网络。因此，可以解决安全性问题。

然而，一些应用可以使用高安全/低安全网络这两个网络，而没有任何问题。示例是驻留于经由高安全/低安全网络均可访问的服务器上的通信应用。该应用是可以经由高安全网络而访问的，至少DNS是可靠的。此外，该应用是可以经由低安全网络而访问的，并不是被限制在高安全网络环境中的应用。由此，该应用原本不需要上述限制。

然而，上述解决方案使该应用不能使用这两个网络。此外，甚至当在上述参考文献1中利用诸如内容之类的其他数据来替换应用时，也类似地出现该问题。

发明内容

本发明所要解决的问题

在上述情形下，需要一种用于对服务器进行认证的机制，以便能够在多个网络上使用诸如应用或内容之类的数据，同时保持安全性。更具体地，检查数据的来源，如果证明了服务器未被假冒，即，如果证明了网络不是伪装的，则可以许可使用多个网络，而没有任何问题。然而，传统上，尚不存在用于确定网络是否是伪装的机制。

设计了本发明以解决上述问题，本发明的示例目的是提供一种访问控制系统、访问控制方法和通信终端，能够确定网络是否是伪装的。

本发明的另一示例目的是提供一种访问控制系统、访问控制方法和通信终端，使得能够在多个网络上使用数据，同时保持安全性。

解决问题的技术方案

为了达到上述目的，根据本发明，提供了一种访问控制系统中的通信终端，所述访问控制系统包括第一网络、安全性比所述第一网络低的第二网络、以及能够与所述第一网络和所述第二网络相连接的通信终端，所述通信终端包括：核对装置，用于将从所述第一网络和所述第二网络中的一个网络针对数据获取的核对信息与从另一网络获取的数据进行核对；以及可靠性信息DB构造装置，用于基于所述核对装置的核对结果，构造可靠性信息DB，作为指示对资源的访问的可靠性的信息的数据库。

根据本发明，所述通信终端将从所述第一网络(高安全网络)或第二网络(低安全网络)针对数据获取的核对信息与从另一网络获取的数据进行核对。基于数据的核对信息与数据之间的核对结果，构造可靠性信息DB，作为指示对资源的访问的可靠性的信息的数据库。在本发明中，“数据”表示由通信终端经由网络获取的所有类型的数据，包括应用和内容。

本发明的效果

根据本发明，所述通信终端将从所述第一网络(高安全网络)或第二网络(低安全网络)针对数据获取的核对信息与从另一网络获取的数据进行核对。基于核对结果，构造可靠性信息DB，作为指示对资源的访问的可靠性的信息的数据库。这使得能够确定网络是否是伪装的、确定是许可还是禁止对所下载的数据的访问、以及确定是许可还是禁止对网络的访问。因此，可以在多个网络上使用数据，同时保持安全性。

附图说明

图1是示出了根据本发明的访问控制系统的示例实施例(第一示例实施例)的配置的视图；

图2是解释了第一示例实施例的第一方法的视图；

图3是示例了在第一示例实施例的第一方法中当核对结果为“匹配”时将可靠性信息写入可靠性信息DB中的视图；

图4是示例了在第一示例实施例的第一方法中当核对结果为“失配”时将可靠性信息写入可靠性信息DB中的视图；

图5是解释了第一示例实施例的第二方法的视图；

图6是示例了在第一示例实施例的第二方法中当核对结果为“匹配”时将可靠性信息写入可靠性信息DB中的视图；

图7是示例了在第一示例实施例的第二方法中当核对结果为“失配”时将可靠性信息写入可靠性信息DB中的视图；

图8是示例了存在多个低安全网络时的访问控制系统的视图；

图9A是示出了在图8所示的访问控制系统中的可靠性信息DB中构造可靠性信息的数据库的状态的视图；

图9B是示出了在图8所示的访问控制系统中的可靠性信息DB中构造可靠性信息的数据库的状态的视图；

图9C是示出了在图8所示的访问控制系统中的可靠性信息DB中构造可靠性信息的数据库的状态的视图；

图10是示出了根据本发明的访问控制系统的另一示例实施例(第二示例实施例)的配置的视图；

图11是示出了根据第二示例实施例的访问控制系统中的通信终端内的处理操作的流程图；

图12是示例了在根据第二示例实施例的访问控制系统中当第一次使用高安全网络获取数据时将可靠性信息写入可靠性信息DB中的视图；

图13是示例了在根据第二示例实施例的访问控制系统中当核对结果为“匹配”时将可靠性信息写入可靠性信息DB中的视图；

图14是示例了在根据第二示例实施例的访问控制系统中当核对结果为“失配”时将可靠性信息写入可靠性信息DB中的视图；

图15是示出了根据本发明的访问控制系统的另一示例实施例(第三示例实施例)的配置的视图；

图16是示出了根据第三示例实施例的访问控制系统中的通信终端内的处理操作的流程图；

图17是示例了根据第三示例实施例的访问控制系统中的属性文件的视图；

图18是示出了根据第三示例实施例的访问控制系统中的核对处理的具体示例的视图；以及

图19是示例了在根据第三示例实施例的访问控制系统中当核对结果为“匹配”时将可靠性信息写入可靠性信息DB中的视图。

具体实施方式

以下将参照附图来描述本发明。

[第一示例实施例]

图1是示出了根据本发明的访问控制系统的示例实施例(第一示例实施例)的配置的视图。在图1中，参考标记1表示通信终端；参考标记2表示下载服务器。

通信终端1包括通信控制单元11、核对单元12、可靠性信息DB 13、可靠性信息DB构造单元14和存储单元15。下载服务器(简称为服务器)2包括诸如应用或内容之类的数据21以及数据21的核对信息(如散列值)22。

服务器2与高安全网络3和低安全网络4相连接。通信终端1可以使用至少高安全网络3或低安全网络4，经由通信控制单元11，访问服务器2。

存在多种网络，大致分为两种类型：高安全网络3和安全性比高安全网络3低的低安全网络4。高安全网络3是在一定程度上确保安全性的网络，包括由蜂窝网络提供商和办公室LAN提供的IP网络。在这些网络中，网络内存在的诸如DNS服务器和代理服务器之类的服务器可以被视为是可靠的。

相反，低安全网络4包括免费无线LAN点等等。在这些网络中，网络内的服务器被视为是不太可靠的。例如，易于设置免费无线LAN点，其中，安装了具有恶意人员故意假冒的DNS名称的DNS服务器。

在第一示例实施例的系统中，通信终端1的通信控制单元11经由高安全网络3或低安全网络4来获取核对信息22，并经由另一网络来获取数据21。通信终端1的核对单元12将所获取的核对信息22和数据21进行核对。

将经由高安全网络3获取核对信息22并经由低安全网络4获取数据21的方法定义为第一示例实施例的第一方法。将经由高安全网络3获取数据21并经由低安全网络4获取核对信息22的方法定义为第一示例实施例的第二方法。以下将解释这些方法。

[第一示例实施例的第一方法]

在第一示例实施例的第一方法中，通信终端1的通信控制单元11经由高安全网络3来获取核对信息22，并经由低安全网络4来获取数据21(参见图2)。通信控制单元11同时获取核对信息22和数据21。更具体地，当首先获取核对信息22时，通信控制单元11在经由核对信息获取单元11-1获取核对信息22之后立即经由数据获取单元11-2来获取数据21。

在通信终端1中，核对单元12将经由高安全网络3获取的核对信息(在本示例中是散列值)22与经由低安全网络4获取的数据21进行核对。在这种情况下，核对单元12根据经由低安全网络4获取的数据21来产生散列值，并将该散列值与经由高安全网络3获取的核对信息(散列值)22进行比较。

如果核对结果为“匹配”，则核对单元12确定从低安全网络4获取的数据21是可靠的。如果核对结果为“失配”，则核对单元12确定从低安全网络4获取的数据21是不可靠的。

可靠的数据表示从未被假冒的服务器2获取的数据21，即，从非伪装的低安全网络4获取的数据21。不可靠的数据表示从假冒的服务器2’获取的数据21’，即，从伪装的低安全网络4获取的数据21’。

如果核对结果为“匹配”，则核对单元12将从低安全网络4获取的数据21保存在存储单元15中。如果核对结果为“失配”，则从低安全网络4获取的数据21’是不可靠的，核对单元12丢弃该数据21’而不将其保存在存储单元15中。

[核对结果为“匹配”的情况]

将核对单元12中的核对结果发送至可靠性信息DB构造单元14。如果核对单元12中的核对结果为“匹配”，则可靠性信息DB构造单元14使用从低安全网络4获取的数据21作为资源，并将数据的标识符(数据标识符)、用于获取数据的核对信息的网络的标识符(NW标识符)以及用于获取数据的网络的标识符(NW标识符)之间的对应关系，作为指示对该资源的访问的可靠性的信息，写入可靠性信息DB 13内的表TB1中。在本示例中，将数据21的数据标识符#DA、高安全网络3的NW标识符HNW以及低安全网络4的NW标识符LNW进行组合并写入可靠性信息DB 13内的表TB1中(参见图3)。

如果核对单元12中的核对结果为“匹配”，则可靠性信息DB构造单元14使用低安全网络4作为资源，并将低安全网络4的标识符和连接许可/禁止信息之间的对应关系，作为指示对该资源的访问的可靠性的信息，写入可靠性信息DB 13内的表TB2中。在本示例中，将低安全网络4的NW标识符LNW和指示连接的许可的信息(“○”)进行配对并写入表TB2中(参见图3)。

[对数据的访问]

通过查找可靠性信息DB 13中的表TB1(图3)，在与高安全网络3相连接并与低安全网络4相连接时，数据访问单元16许可对已经经由低安全网络4下载的、存储单元15中的数据21的访问。数据访问许可/禁止确定单元16-1进行该确定。

[对网络的访问]

通信控制单元11通过查找可靠性信息DB 13中的表TB2(图3)，许可对低安全网络4的访问。网络访问许可/禁止确定单元11-3进行该确定。对于高安全网络3，可靠性被视为较高，并且始终在无需参考可靠性信息DB 13中的信息的情况下许可对该网络的访问。

以这种方式，根据第一示例实施例的第一方法，当核对单元12中的核对结果为“匹配”时，即，当确定了低安全网络4不是伪装的时，通信终端1可以访问高安全网络3和低安全网络4。此外，通信终端1可以在与两个网络中的任一网络相连接时访问存储单元15中的数据21。在高安全网络3和低安全网络4上均可以使用数据21，同时保持安全性。

[核对结果为“失配”的情况]

将核对单元12中的核对结果发送至可靠性信息DB构造单元14。如果核对单元12中的核对结果为“失配”，则可靠性信息DB构造单元14将从低安全网络4获取的数据21’的标识符(数据标识符)和指示不存在可用网络的信息之间的对应关系写入可靠性信息DB 13内的表TB1中。在本示例中，使数据21’的数据标识符#DA和指示不存在可用网络的信息(“-”)彼此对应，并将它们写入可靠性信息DB 13内的表TB1中(参见图4)。

如果核对单元12中的核对结果为“失配”，则可靠性信息DB构造单元14使用低安全网络4作为资源，并将低安全网络4的标识符和连接许可/禁止信息之间的对应关系，作为指示对该资源的访问的可靠性的信息，写入可靠性信息DB 13内的表TB2中。在本示例中，将低安全网络4的NW标识符LNW和指示连接的禁止的信息(“×”)进行配对并写入表TB2中(参见图4)。

[对网络的访问]

通信控制单元11通过查找可靠性信息DB 13中的表TB2(图4)，禁止对低安全网络4的访问。网络访问许可/禁止确定单元11-3进行该确定。对于高安全网络3，可靠性被视为较高，并且始终在无需参考可靠性信息DB 13中的信息的情况下许可对该网络的访问。

以这种方式，根据第一示例实施例的第一方法，当通信终端1的核对单元12中的核对结果为“失配”时，即，当确定了低安全网络4是伪装的时，禁止对伪装的低安全网络4的访问。仅许可对高安全网络3的访问，从而确保安全性。

在以上描述中，当核对单元12中的核对结果为“失配”时，丢弃从低安全网络4获取的数据21’。备选地，可以将从低安全网络4获取的数据21’保存在存储单元15中。在这种情况下，数据21’是不可靠的，但是，随后可以通过将数据21’保存在通信终端1的存储单元15中来检查该数据21’。当数据21’保存在存储单元15中时，通过查找可靠性信息DB 13中的表TB1(图4)来禁止在高安全网络3和低安全网络4上使用数据21’。数据访问许可/禁止确定单元16-1进行该确定。

[第一示例实施例的第二方法]

在第一示例实施例的第二方法中，通信终端1的通信控制单元11经由高安全网络3来获取数据21，并经由低安全网络4来获取核对信息22(参见图5)。通信控制单元11同时获取核对信息22和数据21。更具体地，当首先获取数据21时，通信控制单元11在经由数据获取单元11-2获取数据21之后立即经由核对信息获取单元11-1来获取核对信息22。

在通信终端1中，核对单元12将经由低安全网络4获取的核对信息(在本示例中是散列值)22与经由高安全网络3获取的数据21进行核对。在这种情况下，核对单元12根据经由高安全网络3获取的数据21来产生散列值，并将该散列值与经由低安全网络4获取的核对信息(散列值)22进行核对。

如果核对结果为“匹配”，则核对单元12确定从低安全网络4获取的核对信息22是可靠的。如果核对结果为“失配”，则核对单元12确定从低安全网络4获取的核对信息22是不可靠的。

可靠的核对信息表示从未被假冒的服务器2获取的核对信息22，即，从非伪装的低安全网络4获取的核对信息22。不可靠的核对信息表示从假冒的服务器2’获取的核对信息22’，即，从伪装的低安全网络4获取的核对信息22’。

在这种情况下，不论核对结果是“匹配”还是“失配”，核对单元12都将从高安全网络3获取的数据21保存在存储单元15中。由于高安全网络3是高度可靠的，因此即使核对单元12中的核对结果是“失配”，也将从高安全网络3获取的数据21保存在存储单元15中。

[核对结果为“匹配”的情况]

核对单元12中的核对结果被发送至可靠性信息DB构造单元14。如果核对单元12中的核对结果为“匹配”，则可靠性信息DB构造单元14使用从高安全网络3获取的数据21作为资源，并将数据的标识符(数据标识符)、用于获取数据的核对信息的网络的标识符(NW标识符)以及用于获取数据的网络的标识符(NW标识符)之间的对应关系，作为指示对该资源的访问的可靠性的信息，写入可靠性信息DB 13内的表TB1中。在本示例中，将数据21的数据标识符#DA、高安全网络3的NW标识符HNW以及低安全网络4的NW标识符LNW进行组合并写入可靠性信息DB 13内的表TB1中(参见图6)。

如果核对单元12中的核对结果为“匹配”，则可靠性信息DB构造单元14使用低安全网络4作为资源，并将低安全网络4的标识符和连接许可/禁止信息之间的对应关系，作为指示对该资源的访问的可靠性的信息，写入可靠性信息DB 13内的表TB2中。在本示例中，将低安全网络4的NW标识符LNW和指示连接的许可的信息(“○”)进行配对并写入表TB2中(参见图6)。

[对数据的访问]

通过查找可靠性信息DB 13中的表TB1(图6)，在与高安全网络3相连接并与低安全网络4相连接时，数据访问单元16许可对已经经由高安全网络3下载的、存储单元15中的数据21的访问。数据访问许可/禁止确定单元16-1进行该确定。

[对网络的访问]

通信控制单元11通过查找可靠性信息DB 13中的表TB2(图6)，许可对低安全网络4的访问。网络访问许可/禁止确定单元11-3进行该确定。对于高安全网络3，可靠性被视为较高，并且始终在无需参考可靠性信息DB 13中的信息的情况下许可对该网络的访问。

以这种方式，根据第一示例实施例的第二方法，当核对单元12中的核对结果为“匹配”时，即，当确定了低安全网络4不是伪装的时，通信终端1可以访问高安全网络3和低安全网络4。此外，通信终端1可以在与两个网络中的任一网络相连接时访问存储单元15中的数据21。在高安全网络3和低安全网络4上均可以使用数据21，同时保持安全性。

[核对结果为“失配”的情况]

核对单元12中的核对结果被发送至可靠性信息DB构造单元14。如果核对单元12中的核对结果为“失配”，则可靠性信息DB构造单元14使用从高安全网络3获取的数据21作为资源，并将数据的标识符(数据标识符)和用于获取数据的网络的标识符(NW标识符)之间的对应关系，作为指示对该资源的访问的可靠性的信息，写入可靠性信息DB13内的表TB1中。在本示例中，使数据21的数据标识符#DA和用于获取数据21的高安全网络3的NW标识符HNW彼此对应，并将它们写入可靠性信息DB 13内的表TB1中(参见图7)。

如果核对单元12中的核对结果为“失配”，则可靠性信息DB构造单元14使用低安全网络4作为资源，并将低安全网络4的标识符和连接许可/禁止信息之间的对应关系，作为指示对该资源的访问的可靠性的信息，写入可靠性信息DB 13内的表TB2中。在本示例中，将低安全网络4的NW标识符LNW和指示连接的禁止的信息(“×”)进行配对并写入表TB2中(参见图7)。

[对数据的访问]

通过查找可靠性信息DB 13中的表TB1(图7)，仅在与高安全网络3相连接时，数据访问单元16许可对已经经由高安全网络3下载的、存储单元15中的数据21的访问。数据访问许可/禁止确定单元16-1进行该确定。

[对网络的访问]

通信控制单元11通过查找可靠性信息DB 13中的表TB2(图7)，禁止对低安全网络4的访问。网络访问许可/禁止确定单元11-3进行该确定。对于高安全网络3，可靠性被视为较高，并且始终在无需参考可靠性信息DB 13中的信息的情况下许可对该网络的访问。

以这种方式，根据第一示例实施例的第二方法，当核对单元12中的核对结果为“失配”时，即，当确定了低安全网络4是伪装的时，禁止对伪装的低安全网络4的访问。因此，仅许可对高安全网络3的访问，从而确保安全性。仅在与高安全网络3相连接时，许可对存储单元15中的数据21的访问，并且仅可以在高安全网络3上使用数据21。

注意，第一示例实施例的上述第一和第二方法始终在无需参考可靠性信息DB 13中的信息的情况下许可对高安全网络3的访问。然而，对于高安全网络3，与低安全网络4类似，可以将NW标识符HNW和指示连接的许可的信息(“○”)进行配对并写入表TB2中，并可以通过查找表TB2来确定是许可还是禁止对高安全网络3的访问。

第一示例实施例的上述第二方法同时经由高安全网络3来获取数据21并经由低安全网络4来获取核对信息22。备选地，在将经由高安全网络3获取的数据21保存在存储单元15中之后，当例如通信终端1进入低安全网络4的通信区域时，可以经由低安全网络4来获取核对信息22，以将所获取的核对信息22与保存在存储单元15中的数据21进行核对。

已经使用低安全网络4的数目为1的示例描述了第一示例实施例的第一和第二方法。实际上，存在多个低安全网络4。图8示出了存在3个低安全网络4-1、4-2和4-3的情况。

在图8所示的访问控制系统中，例如，当采用第一示例实施例的第一方法时，在通信终端1的可靠性信息DB 13中如下构造可靠性信息的数据库。

参照图8，低安全网络4-1的NW标识符是LNW1，低安全网络4-2的NW标识符是LNW2，低安全网络4-3的NW标识符是LNW3。服务器2具有诸如应用和内容之类的数据21-1、21-2和21-3，并具有作为数据21-1、21-2和21-3的散列值的核对信息22-1、22-2和22-3。数据21-1的数据标识符是#DA，数据21-2的数据标识符是#DB，数据21-3的数据标识符是#DC。

在这种情况下，通信终端1经由高安全网络3来获取核对信息22-1，经由低安全网络4-1来获取数据21-1，并将所获取的核对信息22-1和数据21-1进行核对。

如果核对结果为“匹配”，则确定从低安全网络4-1获取的数据21-1是可靠的，并将高安全网络3的NW标识符HNW和低安全网络4-1的NW标识符LNW1，与数据21-1的数据标识符#DA相对应地，写入可靠性信息DB 13内的表TB1中(参见图9A)。将低安全网络4-1的NW标识符LNW1和指示连接的许可的信息(“○”)进行配对并写入表TB2中(参见图9A)。

然后，通信终端1经由高安全网络3来获取核对信息22-2，经由低安全网络4来获取数据21-2，并将所获取的核对信息22-2和数据21-2进行核对。

如果核对结果为“失配”，则确定从低安全网络4-2获取的数据21-2是不可靠的，并将指示不存在可用网络的信息(“-”)与数据21-2的数据标识符#DB相对应地写入可靠性信息DB 13内的表TB1中(参见图9B)。此外，将低安全网络4-2的NW标识符LNW2和指示连接的禁止的信息(“×”)进行配对并写入表TB2中(参见图9B)。

此后，通信终端1经由高安全网络3来获取核对信息22-3，经由低安全网络4-3来获取数据21-3，并将所获取的核对信息22-3和数据21-3进行核对。

如果核对结果为“失配”，则确定从低安全网络4-3获取的数据21-3是不可靠的，并将指示不存在可用网络的信息(“-”)与数据21-3的数据标识符#DC相对应地写入可靠性信息DB 13内的表TB1中(参见图9C)。将低安全网络4-3的NW标识符LNW3和指示连接的禁止的信息(“×”)进行配对并写入表TB2中(参见图9C)。

如上所述，该系统可以防止对高安全网络上的服务器的攻击。这是由于可以从多个网络下载数据和核对信息并将它们进行核对，以确定数据不是伪装的服务器上的恶意数据。

其原因在于：1)可以从多个网络到达该服务器，因此，该服务器是互联网上的同一个服务器；或者2)该服务器是伪装的，但数据未被篡改并且不是恶意数据。这可以防止低安全网络上的恶意数据对高安全网络的攻击。

该系统还可以防止对DNS被假冒的网络的访问。这是由于使用可靠性信息DB中的可靠性信息来确定是许可还是禁止对网络的访问。

此外，该系统可以降低服务器安装成本。传统上，安装可靠服务器需要证书获取的成本等等。然而，该系统可以通过仅在服务器侧存储核对信息而无需任何其他准备，来提高安全级别。

注意，第一示例实施例的第一方法经由高安全网络3来获取核对信息22，而第一示例实施例的第二方法经由低安全网络4来获取核对信息22。然而，还可以从高安全网络3和低安全网络4获取数据21，根据从高安全网络3和低安全网络4获取的相应数据21来产生散列值，并将所产生的散列值进行比较(散列比较)。在这种情况下，不总是需要执行散列比较，而是可以进行将所获取的数据21的二进制值相比较的二进制比较。该方法将被称为第一示例实施例的第三方法。

[第二示例实施例：采用第一示例实施例的第三方法的示例]

图10是示出了根据本发明的访问控制系统的另一示例实施例(第二示例实施例)的配置的视图。在第二示例实施例中，通信终端1将被称为1A，以将其与根据第三示例实施例的访问控制系统中使用的通信终端(稍后描述)进行区分。

通信终端1A包括通信控制单元11、核对单元12、可靠性信息DB13、可靠性信息DB构造单元14、存储单元15和数据访问单元16。

在第二实例实施例的访问控制系统中，通信终端1A的通信控制单元11是与网络相连接并与网络进行通信的控制单元。通信控制单元11包括NW标识单元111和通信单元112。

NW标识单元111是用于标识所连接的网络的装置。参照图10，NW标识单元111确定高安全网络3和低安全网络4中的哪一个与通信终端1A相连接。例如，NW标识单元111基于所连接的3G无线通信网络的名称或者基于所连接的无线LAN接入点的BSSID或ESSID，确定所连接的网络。

通信单元112是用于经由高安全网络3或低安全网络4从服务器2获取诸如应用或内容之类的数据的装置。示例是3G无线网络、以太网无线LAN(IEEE802.11)和蓝牙

通信单元112具有以下功能：将所获取的数据与数据的标识符(数据标识符)和网络的标识符(NW标识符)一起传送至核对单元12。例如，数据标识符是URL，并可以由“http://foo.bar.com/sample.exe”等来表示。此外，通信单元112具有以下功能：当通信终端1要访问网络时，参考可靠性信息DB 13中的可靠性信息以确定是否许可/禁止访问。通信单元112的该功能与本发明的网络访问许可/禁止确定装置相对应。

核对单元12基于已从通信单元112传送的数据、数据标识符和NW标识符来对数据进行核对。更具体地，核对单元112确定该数据是否与所下载的数据相匹配，并根据核对结果，经由可靠性信息DB构造单元14，更新可靠性信息DB 13中的信息。

存储单元15是用于存储所获取的数据的装置。当在从服务器2下载数据21时通信终端1中不存在数据时，核对单元12将该数据视为第一次下载的数据，并将其存储在存储单元15中。

可靠性信息DB 13是存储数据标识符和NW标识符之间的对应关系(表TB1)以及NW标识符和连接许可/禁止信息之间的对应关系(表TB2)作为可靠性信息的数据库。

可靠性信息DB构造单元14是用于基于已从核对单元12传送的数据标识符、NW标识符和核对结果信息更新可靠性信息DB 13中的表TB1和TB2的内容的装置。

数据访问单元16具有以下功能：在从通信终端1的用户或应用接收到数据访问请求时，通过参考(从NW标识单元111获取的)当前所连接的网络的NW标识符和可靠性信息DB 13中的信息，确定是许可还是禁止对存储在存储单元15中的数据的访问。数据访问单元16的该功能与本发明的数据访问许可/禁止确定装置相对应。

[数据的下载]

以下将参照图11所示的流程图，解释用户使用通信终端1A从服务器2下载数据21时的操作。

通信终端1A使用通信单元112从服务器2获取数据21(步骤S101)。此时，通信单元112从NW标识单元111获取NW标识符。即，通信单元112获取用于获取数据21的网络的NW标识符。通信单元112向核对单元12传送所获取的数据、数据的标识符、以及用于获取数据的网络的NW标识符。

核对单元12搜索存储单元15和可靠性信息DB 13，并检查是否已存在具有相同数据标识符的数据(步骤S102)。当第一次获取数据21时，与数据21的数据标识符相对应的信息尚未存储在存储单元15和可靠性信息DB 13中。

在这种情况下，响应于步骤S103中的否，核对单元12将数据21保存在存储单元15中(步骤S104)。此外，核对单元12经由可靠性信息DB构造单元14，将数据标识符和NW标识符之间的对应关系写入可靠性信息DB 13内的表TB1中(步骤S105)。如果NW标识符是低安全网络的标识符，则核对单元12经由可靠性信息DB构造单元14，将NW标识符和连接许可/禁止信息之间的对应关系写入可靠性信息DB 13内的表TB2中(步骤S106)。

在本示例中，假定首先使用高安全网络3来获取数据21。在这种情况下，如图12所示，将高安全网络3的NW标识符HNW与数据21的数据标识符#DA相对应地写入可靠性信息DB 13内的表TB1中。

使数据与第一次下载数据时的网络相对应意味着可以使用“用于下载的”网络来运行数据。换言之，限制了在连接至与用于下载的网络不同的网络期间的数据操作(例如，拒绝通信)。

以下将解释第二次和后续次下载相同数据(具有相同数据标识符的数据)的情况。在本示例中，假定要使用低安全网络4来获取相同数据(具有相同数据标识符的数据)。此外，在这种情况下，通信单元112向核对单元12传送数据、数据标识符和NW标识符。

核对单元12搜索存储单元15和可靠性信息DB 13，并检查是否已存在具有相同数据标识符的数据(步骤S102)。由于该下载是第二次下载，因此检测到具有相同数据标识符的数据。

响应于步骤S103的是，核对单元12确定保存在存储单元15中且具有相同数据标识符的数据(先前下载的数据)是否与当前获取的数据相同(步骤S107)。在这种情况下，可想到多种核对方法，包括：散列比较，将数据的散列值进行比较；以及二进制比较，将数据的二进制值进行比较。

这与将先前下载的数据和当前获取的数据进行核对相同。即，将从高安全网络3获取的数据与从低安全网络4获取的数据进行核对。

如果在该核对中数据彼此完全匹配(步骤S108的是)，则可以保证，当前获取的数据与先前获取的数据完全相同。换言之，已从其获取了数据的服务器与先前从其获取数据的服务器相同。

在这种情况下，核对单元12经由可靠性信息DB构造单元14，向可靠性信息DB中的表TB1添加当前获取的数据21的数据标识符#DA和用于获取数据21的网络的NW标识符LNW之间的对应关系(步骤S105：参见图13)。此外，核对单元12经由可靠性信息DB构造单元14，将低安全网络4的NW标识符LNW和指示连接的许可的信息(“○”)之间的对应关系写入可靠性信息DB 13内的表TB2中(步骤S106：参见图13)。

如果所获取的数据并不相互匹配(步骤S108的否)，则核对单元12丢弃当前获取的数据21’(步骤S109)。此外，核对单元12经由可靠性信息DB构造单元14，将低安全网络4的NW标识符LNW和指示连接的禁止的信息(“×”)之间的对应关系写入可靠性信息DB 13内的表TB2中(步骤S106：参见图14)。

[对所下载的数据的访问]

以下将解释访问下载至通信终端1的存储单元15中的数据时的处理。假定从通信终端1的用户或应用接收到访问存储单元15中的数据21的请求。

此时，数据访问单元16使用所请求的数据21的数据标识符#DA和从NW标识单元111获取的NW标识符，搜索可靠性信息DB 13，并确定保存在存储单元15中的数据21是否是可访问的。

例如，假定可靠性信息DB 13中的表TB1的内容处于如图13所示的状态。在这种情况下，在可靠性信息DB 13内的表TB1中，数据标识符#DA与NW标识符HNW和LNW相对应。因此，在与高安全网络3相连接并与低安全网络4相连接时，数据访问单元16许可对存储单元15中的数据21的访问。

相反，当可靠性信息DB 13中的表TB1的内容处于如图14所示的状态时，在可靠性信息DB 13内的表TB1中，数据标识符#DA仅与NW标识符HNW相对应。因此，仅在与高安全网络3相连接时，数据访问单元16许可对存储单元15中的数据21的访问。

[对网络的访问]

以下将解释通信终端1要与网络相连接时的处理。当与网络相连接时，通信单元112从NW标识单元111获取NW标识符。通信单元112使用所获取的NW标识符搜索可靠性信息DB 13，并确定是许可还是禁止对网络的访问。

例如，假定可靠性信息DB 13中的表TB2的内容处于如图13所示的状态。在这种情况下，在可靠性信息DB 13内的表TB2中，NW标识符LNW与指示信息的许可的信息(“○”)相对应。因此，通信单元112许可对低安全网络4的访问。

相反，当可靠性信息DB 13中的表TB2的内容处于如图14所示的状态时，在可靠性信息DB 13内的表TB2中，NW标识符LNW与指示信息的禁止的信息(“×”)相对应。因此，通信单元112禁止对低安全网络4的访问。

[第三示例实施例：采用第一示例实施例的第一方法的示例]

以下将参照附图来详细描述第三示例实施例。在第二示例实施例中，当下载数据时，搜索存储单元15和可靠性信息DB 13，如果存在具有相同数据标识符的数据，则在图11的步骤S108中确定这些数据是否彼此相同。相反，在第三示例实施例中，从不同网络下载数据的一部分，并将数据的一部分进行核对，以确定这些数据是否相同。

图15是示出了根据第三示例实施例的访问控制系统的配置的视图。在第三示例实施例中，所使用的通信终端1将被称为1B。在通信终端1B中，将属性分析单元113添加至通信控制单元11，并将核对信息产生单元121和数据核对单元122添加至核对单元12。

通信单元112经由高安全网络3从服务器2获取数据21的属性文件23(图16中的步骤S201)。属性分析单元113确定所获取的属性文件23中是否包含核对信息(步骤S202)。

在第三示例实施例中，核对信息是用于指定数据的数据，并可以是由下载源发出的键或者如上所述的数据散列值。此外，核对信息可以是由单向函数导出的不可逆值(如散列值)，但不特别局限于此。在本示例中，核对信息是数据的散列值。

如果不包含核对信息(步骤S203的否)，则从高安全网络3获取数据21的主体(步骤S204)。如果包含核对信息(步骤S203的是)，则基于在属性文件23中描述的URL，经由不同网络来获取数据21的主体(步骤S205)。在本示例中，根据属性文件23中包含的对所使用的网络的描述(将于稍后描述)，从低安全网络4获取数据21的主体。

然后，处理转移至数据核对处理。核对信息产生单元121根据所获取的数据21来产生核对信息(步骤S206)。在这种情况下，核对信息产生单元121计算数据21的散列值，如上所述。

数据核对单元122将由核对信息产生单元121产生的散列值与在步骤S202中获取的散列值进行比较(步骤S207)。这意味着，将从高安全网络3获取的数据与从低安全网络4获取的数据进行核对。

如果散列值不相互匹配(步骤S208的否)，则数据被视为从非预期服务器获取，并丢弃所获取的数据(步骤S209)。后续处理与图11的步骤S105及后续步骤中的处理相同。

如果散列值相互匹配(步骤S208的是)，则数据被视为从相同服务器2获取的数据21。即，确定该数据不是从低安全网络4上的假冒的服务器2’获取的数据21’。后续处理与图11的步骤S104及后续步骤中的处理相同。

以下将更详细地描述第三示例实施例中的操作。在本示例中，将解释移动终端(通信终端)中Java应用的下载。假定移动终端与充当高安全网络的蜂窝网络和充当低安全网络的无线LAN网络相连接。所下载的Java应用在执行期间使用任一网络与图15中的服务器2进行通信。

首先，将解释Java应用下载处理。一般地，Java应用的下载开始于被称为ADF文件或JAD文件的属性文件的下载。移动终端验证诸如大小之类的属性，并创建Java应用的源，并且在必要时向移动终端的用户询问是否下载Java应用。如果确定下载Java应用，则将Java应用的主体下载至移动终端。以下将根据该流程来解释处理。

参照图15，通信终端1B的用户使用输入设备等(未示出)来选择要下载的Java应用。此时，通信终端1B的通信单元112从服务器2获取所选择的Java应用的属性文件23。属性文件23是经由蜂窝网络3来获取的。

将所获取的属性文件23传送至属性分析单元113。图17示出了第三示例实施例中的属性文件23。属性文件23除了描述数据名称以外还描述了数据主体的URL和所使用的网络的类型(在本示例中是蜂窝/无线LAN)。此外，属性文件23描述数据主体的散列值，作为核对信息22。用于产生散列值的散列函数不受特别限制，并且可以是在服务器2和通信终端1B之间事先确定的函数，或由管理蜂窝网络3的通信提供商定义的函数。可以在属性文件23中描述散列函数。

属性分析单元113验证属性文件23，并确定是否使用无线LAN网络4。在第三示例实施例中，将散列值描述为核对信息22，并将无线LAN描述为所使用的网络，如图17所示。因此，属性分析单元113确定Java应用是使用无线LAN网络4的应用。通信单元112将所获取的属性文件23存储在存储单元15中。

然后，基于属性文件23中的数据URL，经由无线LAN网络4来获取数据21的主体(应用A)。核对信息产生单元121计算所获取的应用A的散列值，数据核对单元122将其与属性文件23中的散列值进行核对。图18示出了该状态。

如果属性文件23中的散列值与所计算出的散列值相匹配，则数据核对单元122确定所获取的应用A未被篡改并且是可靠的，从而许可在蜂窝网络3和无线LAN网络4上的使用。

更具体地，将蜂窝网络3的NW标识符CELN和无线LAN网络4的NW标识符WLAN1与应用A的数据标识符#A相对应地写入可靠性信息DB 13的表TB1中。此外，将无线LAN网络4的NW标识符WLAN1和指示信息的许可的信息(“○”)之间的对应关系写入可靠性信息DB 13的表TB2中。图19示出了该状态。将所获取的应用A保存在存储单元15中。

接下来，将解释执行所下载的应用A时的处理。数据访问单元16接受访问应用A的请求，使用应用A的数据标识符#A和从NW标识单元111获取的NW标识符搜索可靠性信息DB 13，并确定存储单元15中的应用A是否是可访问的。

在这种情况下，在可靠性信息DB 13内的表TB1中，数据标识符#A与NW标识符CELN和WLAN1相对应。因此，在与蜂窝网络3相连接并与无线LAN网络4相连接时，数据访问单元16许可对存储单元15中的应用A的访问。

通信单元112从NW标识单元111获取NW标识符，使用所获取的NW标识符搜索可靠性信息DB 13，并确定是许可还是禁止对网络的访问。在这种情况下，在可靠性信息DB 13内的表TB2中，NW标识符WLAN1与指示连接的许可的信息(“○”)相对应。因此，通信单元112许可对无线LAN网络4的访问。对于蜂窝网络3，始终许可对该网络的访问。

相应地，通信终端1B可以通过同时使用蜂窝网络3和无线LAN网络4或者通过切换，来使用存储单元15中的应用A。

注意，第三示例实施例已经示例了采用第一示例实施例的第一方法的情况。类似地，第三示例实施例还可以采用第一示例实施例的第二方法。在这种情况下，通信单元112经由低安全网络4从服务器2获取属性文件23，并经由高安全网络3从服务器2获取数据21。

在上述第一至第三示例实施例中，所下载的数据21仅与服务器2进行通信，但是本发明不限于此。即，当确定了服务器2是可靠的时，确定甚至相同子网或域内的服务器也是可靠的，并且可以许可通信。在这种情况下，数据21可以与多个服务器进行通信。

当确定了与服务器2不同的服务器是可靠的时，可以许可与该服务器的通信。在这种情况下，数据21不仅可以与服务器2进行通信，还可以与多个服务器进行通信。

在上述第一至第三示例实施例中，当在核对处理中发生失配时，禁止对具有NW标识符的低安全网络的访问，但是本发明不限于此。即，可以进行返回处理，使得在经过任意时间之后再次执行核对处理，如果发生匹配，则许可访问。

在上述第一至第三示例实施例中，组合并执行对许可还是禁止对数据的访问的确定以及对许可还是禁止对网络的访问的确定。然而，可以单独确定是许可还是禁止对数据的访问，或者可以单独确定是许可还是禁止对网络的访问。

当单独确定是许可还是禁止对网络的访问时，可以在高安全网络上使用从假冒的低安全网络4获取的数据21’，并丢弃该数据21’而不将其保存在通信终端1中。

工业实用性

根据本发明的访问控制系统、访问控制方法和通信终端可在各个领域中用作用于控制对诸如应用或内容之类的数据以及对网络的访问的访问控制系统、访问控制方法和通信终端。

Claims (15)

1.一种访问控制系统，所述访问控制系统包括第一网络、安全性比所述第一网络低的第二网络、以及能够与所述第一网络和所述第二网络相连接的通信终端，所述通信终端包括：

核对单元，将从所述第一网络和所述第二网络中的一个网络针对数据获取的核对信息与从另一网络获取的数据进行核对；以及

可靠性信息DB构造单元，基于所述核对单元的核对结果，构造可靠性信息DB，作为指示对资源的访问的可靠性的信息的数据库。

2.根据权利要求1所述的访问控制系统，其中，所述通信终端包括：数据访问许可/禁止确定单元，使用经由所述第一网络和所述第二网络中的一个网络下载的数据作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问。

3.根据权利要求1所述的访问控制系统，其中，所述通信终端包括：网络访问许可/禁止确定单元，使用至少所述第二网络作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问。

4.根据权利要求1所述的访问控制系统，其中，所述通信终端包括：

数据访问许可/禁止确定单元，使用经由所述第一网络和所述第二网络中的一个网络下载的数据作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问；以及

网络访问许可/禁止确定单元，使用至少所述第二网络作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问。

5.根据权利要求1所述的访问控制系统，其中，所述通信终端的所述核对单元将从所述第一网络和所述第二网络中的一个网络获取的数据的散列值与从另一网络获取的数据的散列值进行核对。

6.一种访问控制方法，包括以下步骤：

从第一网络和安全性比所述第一网络低的第二网络中的一个网络针对数据获取核对信息；

从所述第一网络和所述第二网络中的另一网络获取数据；

将从所述一个网络针对数据获取的核对信息与从所述另一网络获取的数据进行核对；以及

基于核对结果，构造可靠性信息DB，作为指示对资源的访问的可靠性的信息的数据库。

7.根据权利要求6所述的访问控制方法，还包括以下步骤：使用经由所述第一网络和所述第二网络中的一个网络下载的数据作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问。

8.根据权利要求6所述的访问控制方法，还包括以下步骤：使用至少所述第二网络作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问。

9.根据权利要求6所述的访问控制方法，还包括以下步骤：

使用经由所述第一网络和所述第二网络中的一个网络下载的数据作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问；以及

使用至少所述第二网络作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问。

10.根据权利要求6所述的访问控制方法，其中，将从所述一个网络针对数据获取的核对信息与从另一网络获取的数据进行核对的步骤包括：将从所述一个网络获取的数据的散列值与从另一网络获取的数据的散列值进行核对。

11.一种通信终端，包括：

核对信息获取单元，从第一网络和安全性比所述第一网络低的第二网络中的一个网络针对数据获取核对信息；

数据获取单元，从所述第一网络和所述第二网络中的另一网络获取数据；

核对单元，将从所述一个网络针对数据获取的核对信息与从所述另一网络获取的数据进行核对；以及

可靠性信息DB构造单元，基于核对结果，构造可靠性信息DB，作为指示对资源的访问的可靠性的信息的数据库。

12.根据权利要求11所述的通信终端，还包括：数据访问许可/禁止确定单元，使用经由所述第一网络和所述第二网络中的一个网络下载的数据作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问。

13.根据权利要求11所述的通信终端，还包括：网络访问许可/禁止确定单元，使用至少所述第二网络作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问。

14.根据权利要求11所述的通信终端，还包括：

数据访问许可/禁止确定单元，使用经由所述第一网络和所述第二网络中的一个网络下载的数据作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问；以及

网络访问许可/禁止确定单元，使用至少所述第二网络作为资源，并参考可靠性信息DB中的信息，以确定是许可还是禁止对资源的访问。

15.根据权利要求11所述的通信终端，其中，所述核对单元将从所述第一网络和所述第二网络中的一个网络获取的数据的散列值与从另一网络获取的数据的散列值进行核对。