特表 2024-504719 ゼロトラストエンドポイントネットワークセキュリティデバイス

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-02-01

(54)【発明の名称】ゼロトラストエンドポイントネットワークセキュリティデバイス

(51)【国際特許分類】

   G06F 21/71 20130101AFI20240125BHJP

   G06F 21/32 20130101ALI20240125BHJP

   G06F 21/31 20130101ALI20240125BHJP

【ＦＩ】

G06F21/71

G06F21/32

G06F21/31

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2023544461

(86)(22)【出願日】2022-01-24

(85)【翻訳文提出日】2023-07-24

(86)【国際出願番号】 US2022013519

(87)【国際公開番号】W WO2022164751

(87)【国際公開日】2022-08-04

(31)【優先権主張番号】17/158,345

(32)【優先日】2021-01-26

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】503455363

【氏名又は名称】レイセオン カンパニー

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100135079

【弁理士】

【氏名又は名称】宮崎 修

(72)【発明者】

【氏名】ジョーンズ，フレデリック ケイ．

(57)【要約】

本明細書に説明されるのは、ゼロトラストエンドポイントネットワークセキュリティのためのデバイス、システム、及び方法である。方法は、ＺＴＥＮＳデバイスによって、ＺＴＥＮＳデバイスが計算デバイスに通信可能に結合されていることを示す第１のデータを提供することと、ＺＴＥＮＳデバイスによって、及び計算デバイスのウェブアプリケーションを通じて第１の通信チャネルを介して、１つ又は複数のＵＲＬを提供することと、ＺＴＥＮＳデバイスによって、及び第１の通信チャネルを介して、ウェブアプリケーションを通じて計算デバイスのユーザーによって選択された１つ又は複数のＵＲＬのうちの１つのＵＲＬを示すデータを受信することと、ＺＴＥＮＳデバイスによって、選択されたＵＲＬに関連するウェブサイトのウェブサイトデータに対する要求を通信することと、ＺＴＥＮＳデバイスによって、ウェブサイトデータを受信し、計算デバイスにウェブサイトデータを提供することとを含むことができる。

【特許請求の範囲】

【請求項1】

ゼロトラストエンドポイントネットワークセキュリティ（ＺＴＥＮＳ）のためのコンピュータ実装方法であって、
計算デバイスに通信可能に結合されたＺＴＥＮＳデバイスによって、有線又は無線の第１の通信チャネルを介して、及び前記計算デバイスのウェブアプリケーションを通じて、前記ＺＴＥＮＳデバイスが前記計算デバイスに通信可能に結合されていることを示す第１のデータを提供することと、
前記ＺＴＥＮＳデバイスによって、及び前記計算デバイスのウェブアプリケーションを通じて前記第１の通信チャネルを介して、１つ又は複数のユニフォームリソースロケータ（ＵＲＬ）を提供することと、
前記ＺＴＥＮＳデバイスによって、及び前記第１の通信チャネルを介して、前記ウェブアプリケーションを通じて前記計算デバイスのユーザーによって選択された前記１つ又は複数のＵＲＬのうちの１つのＵＲＬを示すデータを受信することと、
前記ＺＴＥＮＳデバイスによって、及び有線又は無線の第２の通信チャネルであって、前記第１の通信チャネルとは異なる前記第２の通信チャネルを介して、前記選択されたＵＲＬに関連するウェブサイトのウェブサイトデータに対する要求を通信することと、
前記ＺＴＥＮＳデバイスによって、及び前記第２の通信チャネルを介して、前記ウェブサイトデータを受信し、前記計算デバイスに前記ウェブサイトデータを提供することと
を含む、前記コンピュータ実装方法。

【請求項2】

前記ウェブサイトデータに対する要求を通信する前に、前記ＺＴＥＮＳデバイスによって、前記ユーザーの身元を認証すること
をさらに含む、請求項１に記載の方法。

【請求項3】

前記ユーザーの前記身元を認証することが、前記ＺＴＥＮＳデバイスによって、前記ＺＴＥＮＳデバイスのユーザーインターフェースを介して前記ユーザーから個人識別番号（ＰＩＮ）又は生体認証スキャンデータを受信することを含む、請求項２に記載の方法。

【請求項4】

前記ユーザーの前記身元を認証することが、前記ウェブアプリケーションを通じて多要素認証を使用することを含む、請求項２に記載の方法。

【請求項5】

前記ウェブサイトデータに対する要求を通信する前に、悪意のある挙動又はデータの取り出しがないか前記計算デバイスからの前記データを分析することをさらに含む、請求項２に記載の方法。

【請求項6】

前記ＺＴＥＮＳデバイスによって、前記ＺＴＥＮＳデバイスのメモリ内のドメインネームサービス（ＤＮＳ）データを使用して、前記ＵＲＬをインターネットプロトコル（ＩＰ）アドレスに変換することをさらに含む、請求項２に記載の方法。

【請求項7】

前記ウェブサイトデータに対する要求を複数のパケットに解析することであって、前記複数のパケットが前記ウェブサイトデータに対する要求の異なる部分を含む前記解析することをさらに含み、前記ウェブサイトデータに対する要求を通信することが、前記第２の通信チャネル及び第３の通信チャネルを含む異なる通信チャネルを介して前記複数のパケットの異なるパケットを通信することを含む、請求項２に記載の方法。

【請求項8】

前記第２の通信チャネル及び前記第３の通信チャネルが、セルラーデータ通信チャネル、ワイヤレスフィデリティ通信チャネル、及びイーサネット通信チャネルの異なるチャネルを含む、請求項７に記載の方法。

【請求項9】

前記第１の通信チャネルが、ユニバーサルシリアルバス（ＵＳＢ）及びｗｅｂＵＳＢ又はｗｅｂＢｌｕｅｔｏｏｔｈ通信プロトコルを使用して動作するブルートゥース（登録商標）の１つを含む、請求項８に記載の方法。

【請求項10】

前記ウェブサイトデータを前記計算デバイスに提供する前に、前記ＺＴＥＮＳデバイスによって、前記ウェブサイトデータに対する悪意のある挙動及びデータの取り出しの分析を実行することをさらに含む、請求項２に記載の方法。

【請求項11】

ゼロトラストエンドポイントネットワークセキュリティデバイス（ＺＴＥＮＳデバイス）によって実行されると、前記ＺＴＥＮＳデバイスにＺＴＥＮＳのための操作を実行させる命令を含む非一時的なマシン可読媒体であって、前記操作が、
計算デバイスに通信可能に結合された前記ＺＴＥＮＳデバイスによって、有線又は無線の第１の通信チャネルを介して、前記ＺＴＥＮＳデバイスが前記計算デバイスに通信可能に結合されていることを示す第１のデータを提供することと、
前記第１の通信チャネルを介して、及び前記計算デバイスのウェブアプリケーションに１つ又は複数のユニフォームリソースロケータ（ＵＲＬ）を提供することと、
前記第１の通信チャネルを介して、前記ウェブアプリケーションを通じて前記計算デバイスのユーザーによって選択された前記１つ又は複数のＵＲＬのうちの１つのＵＲＬを示すデータを受信することと、
有線又は無線の第２の通信チャネルであって、前記第１の通信チャネルとは異なる前記第２の通信チャネルを介して、前記選択されたＵＲＬに関連するウェブサイトのウェブサイトデータに対する要求を通信することと、
前記第２の通信チャネルを介して、前記ウェブサイトデータを受信し、前記計算デバイスに前記ウェブサイトデータを提供することと
を含む、前記非一時的なマシン可読媒体。

【請求項12】

前記操作が、
前記ウェブサイトデータに対する要求を通信する前に、前記ユーザーの身元を認証すること
をさらに含む、請求項１１に記載の非一時的なマシン可読媒体。

【請求項13】

前記ユーザーの前記身元を認証することが、前記ＺＴＥＮＳデバイスによって、前記ＺＴＥＮＳデバイスのユーザーインターフェースを介して前記ユーザーから個人識別番号（ＰＩＮ）又は生体認証スキャンデータを受信することを含む、請求項１２に記載の非一時的なマシン可読媒体。

【請求項14】

前記ユーザーの前記身元を認証することが、前記ウェブアプリケーションを通じて多要素認証を使用することを含む、請求項１２に記載の非一時的なマシン可読媒体。

【請求項15】

前記操作が、前記ウェブサイトデータに対する要求を通信する前に、悪意のある挙動又はデータの取り出しがないか前記計算デバイスからの前記データを分析することをさらに含む、請求項１２に記載の非一時的なマシン可読媒体。

【請求項16】

ゼロトラストエンドポイントネットワークセキュリティ（ＺＴＥＮＳ）のためのシステムであって、
ウェブアプリケーションを含む計算デバイスと、
有線又は無線の第１の通信チャネル及び第２の通信チャネルを介して、及び前記ウェブアプリケーションを通じて前記計算デバイスに通信可能に結合されたＺＴＥＮＳデバイスであって、
前記ＺＴＥＮＳデバイスが前記計算デバイスに通信可能に結合されていることを示す第１のデータを提供することと、
ウェブアプリケーションを通じて前記第１の通信チャネルを介して、１つ又は複数のユニフォームリソースロケータ（ＵＲＬ）を提供することと、
前記第１の通信チャネルを介して、前記ウェブアプリケーションを通じて前記計算デバイスのユーザーによって選択された前記１つ又は複数のＵＲＬのうちの１つのＵＲＬを示すデータを受信することと、
前記第２の通信チャネルを介して、前記選択されたＵＲＬに関連するウェブサイトのウェブサイトデータに対する要求を通信することと、
前記第２の通信チャネルを介して、前記ウェブサイトデータを受信し、前記計算デバイスに前記ウェブサイトデータを提供することと
を行うように構成された前記ＺＴＥＮＳデバイスと
を備える、前記システム。

【請求項17】

前記ＺＴＥＮＳデバイスが、前記ＺＴＥＮＳデバイスのメモリ内のドメインネームサービス（ＤＮＳ）データを使用して、前記ＵＲＬをインターネットプロトコル（ＩＰ）アドレスに変換するようにさらに構成される、請求項１６に記載のシステム。

【請求項18】

前記ＺＴＥＮＳデバイスが、前記ウェブサイトデータに対する要求を複数のパケットに解析することであって、前記複数のパケットが前記ウェブサイトデータに対する要求の異なる部分を含む前記解析することを行うようにさらに構成され、前記ウェブサイトデータに対する要求を通信することが、前記第２の通信チャネル及び第３の通信チャネルを含む異なる通信チャネルを介して前記複数のパケットの異なるパケットを通信することを含む、請求項１６に記載のシステム。

【請求項19】

前記第２の通信チャネル及び前記第３の通信チャネルが、セルラーデータ通信チャネル、ワイヤレスフィデリティ通信チャネル、及びイーサネット通信チャネルの異なるチャネルを含む、請求項１８に記載のシステム。

【請求項20】

前記第１の通信チャネルが、それぞれユニバーサルシリアルバス（ＵＳＢ）及びｗｅｂＵＳＢ又はｗｅｂＢｌｕｅｔｏｏｔｈ通信プロトコルを使用して動作するブルートゥース（登録商標）の１つを含む、請求項１９に記載のシステム。

【発明の詳細な説明】

【技術分野】

【0001】

優先権の主張
本出願は、参照によりその全体が本明細書に組み込まれる、２０２１年１月２６日に出願された米国特許出願第１７／１５８，３４５号に対する優先権の利益を主張する。

【0002】

本明細書に説明される実施形態は、ネットワークセキュリティのためのデバイス、システム、及び方法に関する。ネットワークセキュリティは、制限付きであるが、単独使用又は多重使用される場合がある。

【背景技術】

【0003】

外部ネットワーク上のデータの大部分は、ウェブブラウザ、ウェブアプリなどのウェブアプリケーションを通じてアクセスされる。データを要求する計算デバイスのセキュリティは、計算デバイス上のソフトウェアによって提供される。通常、ソフトウェアは、ウェブアプリケーション、オペレーティングシステム（ＯＳ）、又は計算デバイスのファイアウォールの一部である。このセキュリティは、その柔軟性において制限されており、計算デバイスのユーザーが、提供されるセキュリティを任されている。アクセスされているデータの所有者は、データが自分のデータベースを離れた後のセキュリティを管理できない。

【図面の簡単な説明】

【0004】

【図1】例として、ゼロトラストエンドポイントネットワークセキュリティ（ＺＴＥＮＳ）デバイスを含むシステムの一実施形態の図を示す。

【図2】例として、ＺＴＥＮＳのための方法の一実施形態の図を示す。

【図3】例として、マシンに本明細書に説明される方法の任意の１つ又は複数を実行させるための命令が実行され得るコンピュータシステムの例示的な形式のマシンの一実施形態のブロック図を示す。

【発明を実施するための形態】

【0005】

図１は、例として、ゼロトラストエンドポイントネットワークセキュリティ（ＺＴＥＮＳ）デバイス１１０を含むシステム１００の一実施形態の図を示す。図示のシステム１００は、ユーザー１０２が操作可能な計算デバイス１０４を含む。計算デバイス１０４は、外部ネットワーク１０６に通信可能に結合できる。計算デバイス１０４は、ＺＴＥＮＳデバイス１１０に通信可能に結合できる。ＺＴＥＮＳデバイス１１０は、ネットワーク１０６に通信可能に結合できる。ネットワーク１０６は、ウェブサーバ１０８に通信可能に結合される。

【0006】

ユーザー１０２は、ユーザーインターフェース１１２を介して計算デバイス１０４のアプリケーション又はハードウェアの機能にアクセスできる。ユーザーインターフェース１１２は、例えば、ユーザー１０２にウェブアプリケーション１１８を通じて機能又はデータへのアクセスを提供できる。ウェブアプリケーション１１８は、ウェブブラウザ、ウェブアプリ（例えば、別のネットワーク上のデータ又はサービスにアクセスするモバイルアプリ又は他のアプリケーション）を含むことができる。ウェブアプリケーション１１８は、デバイス１００のオペレーティングシステム（ＯＳ）１１４上でローカルに実行するコンピュータベースのソフトウェアプログラムとは異なり、ウェブサーバ１０８上で実行されるハードウェア又はソフトウェアの機能にアクセスする。ウェブ機能又はハードウェアは、（ＺＴＥＮＳデバイス１１０によって提供される）アクティブなインターネット接続を使用して、ウェブアプリケーション１１８を通じてユーザー１０２によってアクセスされる。ウェブ機能は、クライアント－サーバモデル化構造を使用してプログラムされる。つまり、ユーザー１０２（「クライアント」）は、サードパーティがホストするオフサイトサーバ（ウェブサーバ１０８）を介してサービスを提供される。一般的に使用されるウェブアプリケーションの例は、ウェブメール、オンライン小売販売、オンラインバンキング、データストレージ、及びオンラインオークションを含む。

【0007】

通常、ユーザー１０２はウェブ機能にアクセスすることを希望すると、ユーザー１０２は、ウェブブラウザにユニフォームリソースロケータ（ＵＲＬ）を入力するか、又はウェブアプリケーション１１８を起動する。ウェブアプリケーション１１８は、次に、オペレーティングシステム（ＯＳ）１１４を介してネットワークインターフェース１１６の機能にアクセスできる。ＯＳ１１４は、ウェブアプリケーション１１８のようなアプリケーションに、計算デバイス１０４のハードウェアの機能へのアクセスを提供する。ネットワークインターフェース１１６の通信回路１２０は、そのようなハードウェアの一例である。

【0008】

通信回路１２０は、物理ポート又はバス経由で、イーサネット（例えば、イーサネットＲＪ４５など）、ユニバーサルシリアルバス（ＵＳＢ）、コントローラエリアネットワーク（ＣＡＮ）、シリアルペリフェラルインターフェース（ＳＰＩ）、アイ・スクエアド・シー（ｉｎｔｅｒ－ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ）（Ｉ^２Ｃ）、汎用非同期送受信機（ＵＡＲＴ）、ファイアウォールなどの有線データポートプロトコルを実装できる。さらに又は代わりに、通信回路１２０は、送信機、受信機、又はトランシーバを使用して、ブルートゥース（登録商標）、ＷｉＦｉなどの無線通信プロトコル、又はロングタームエボルーション（ＬＴＥ）、第５世代（５Ｇ）、電気電子技術者協会（ＩＥＥＥ）８０２．１１）などのセルラーデータ通信チャネルを実装できる。

【0009】

ＯＳ１１４は、ＵＲＬに対応するデータに対する要求の通信を生じさせるコマンドをネットワークインターフェース１１６に発行できる。ネットワーク１０６は、ＵＲＬのデータを取り出すためにウェブサーバ１０８と通信できる。ウェブサーバ１０８は、ネットワーク１０６を介して計算デバイス１０４にＵＲＬに対応するデータを返すことができる。ユーザー１０２は、次に、ウェブアプリケーション１１８を通じてＵＲＬに対応するデータを見ることができる。

【0010】

ＵＲＬに対応するデータにアクセスするこのプロセスは、セキュリティリスクを含む。敵対者は、計算デバイス１０４とネットワーク１０６との間の通信を傍受できる。敵対者は、ネットワーク１０６とウェブサーバ１０８との間の通信を傍受できる。敵対者は、傍受された通信のデータを改ざんできる。改ざんされたデータは、計算デバイス１０４、ネットワーク１０６、又はウェブサーバ１０８の１つ又は複数に害を及ぼす可能性がある。改ざんされたデータは、ＵＲＬのインターネットプロトコル（ＩＰ）アドレスへのドメインネームサービス（ＤＮＳ）変換になりすます、分散型サービス妨害（ＤＤＯＳ）攻撃の一部となる、クレデンシャルスタッフィングを含むなどの可能性がある。ＯＳ１１４及びウェブアプリケーション１１８は、これらの脆弱性を軽減するために役立つように構成されたソフトウェア又はハードウェアを含むことができるが、これらの脆弱性を軽減するための真の解決策は現在知られていない。典型的なＵＲＬデータアクセスのこれらの脆弱性は、ＺＴＥＮＳデバイス１１０を使用して軽減できる。

【0011】

図示のＺＴＥＮＳデバイス１１０は、ウェブＵＳＢ／ウェブブルートゥース（登録商標）アプリケーション１５４を含む。ＷｅｂＵＳＢ及びＷｅｂＢｌｕｅｔｏｏｔｈは、ウェブブラウザから（ウェブページを介して）ＵＳＢ又はブルートゥース（登録商標）デバイスへのアクセスを安全に提供するためのアプリケーションプログラミングインターフェース（ＡＰＩ）規格である。例えば、ＷｅｂＵＳＢ標準は、Ｗｅｂ Ｐｌａｔｆｏｒｍ Ｉｎｃｕｂａｔｏｒ Ｃｏｍｍｕｎｉｔｙ Ｇｒｏｕｐによって公開された。

【0012】

アプリケーション１５４は、ユーザー１０２が計算デバイス１０４を介してＺＴＥＮＳデバイス１１０に通信可能に接続するときに起動できる。アプリケーション１５４は、ウェブブラウザ１１８にＺＴＥＮＳデバイス１１０のホームページを表示させることができる。ＺＴＥＮＳデバイス１１０のホームページは、ＺＴＥＮＳデバイスから利用可能なサービスを提示できる。ユーザー１０２は、利用可能なサービスを選択することなどにより、ウェブアプリケーション１１８を通じてＺＴＥＮＳデバイス１１０と対話できる。サービスは、ＺＴＥＮＳデバイス１１０を介して（例えば、ＺＴＥＮＳデバイス１１０を介してのみ）アクセス可能なウェブサイトへのＵＲＬを含むことができる。

【0013】

ＺＴＥＮＳデバイス１１０は、セキュリティ回路１２２、通信回路１２４（通信回路１２０に類似）、及びメモリ１２６をさらに含む。セキュリティ回路１２２は、通信傍受、なりすまし、又は他の攻撃の可能性の低減に役立つためになど、侵入検出及び／又は防止を提供する。通信回路１２４は、ＺＴＥＮＳデバイス１１０に有線及び／又は無線通信機能を提供する。通信回路１２４は、計算デバイス１０４又はネットワーク１０６と通信できる。計算デバイス１０４は、ＺＴＥＮＳデバイス１１０を介してネットワーク１０６と通信できる。

【0014】

ＯＳ１１４、ウェブアプリケーション１１８、又は計算デバイス１０４の他のコンポーネントによって提供されるセキュリティに頼る代わりに、ユーザー１０２は、ＺＴＥＮＳデバイス１１０を使用することによってウェブセキュリティを改善できる。

【0015】

アプリケーション１５４は、（通信回路１２４を介して）ウェブアプリケーション１１８に、選択時にＺＴＥＮＳデバイス１１０を介して選択されたＵＲＬに対応するウェブサイトへナビゲートする、１つ又は複数の許容可能なＵＲＬ１３２（又は許容可能なＵＲＬ１３２へのリンク）のリストを提示させることができる。ＺＴＥＮＳデバイス１１０への通信は、セキュリティ回路１２２によって保護できる。

【0016】

図示のセキュリティ回路１２２は、ジオフェンスアプリケーション１３８、多要素認証アプリケーション１４０、個人識別番号（ＰＩＮ）１４２、暗号化１４４のハードウェア及び／又はソフトウェア、生体認証１４６のハードウェア及び／又はソフトウェア、トランスポート層セキュリティ（ＴＬＳ）１５０、認証局１４８、及び乱数発生器（ＲＮＧ）１５２を含む。セキュリティ回路１２２は、一般に、ＺＴＥＮＳデバイス１１０へ又はＺＴＥＮＳデバイス１１０からの通信に侵入検出及び／又は防止を提供する。

【0017】

ジオフェンス１３８は、全地球測位システム（ＧＰＳ）、ガリレオ、又はＺＴＥＮＳデバイス１１０の場所を決定するように構成された他のジオロケーション回路を含むことができる。ジオフェンス１３８は、ＺＴＥＮＳデバイス１１０の機能がアクセス可能及び／又はアクセス不能である場所を定義する規則を含むことができる。ジオフェンス１３８は、指定された地理的な場所でのみＺＴＥＮＳデバイス１１０を使用することをユーザー１０２に強制できる。

【0018】

多要素認証１４０は、ユーザー１０２が複数の形式の認証を提供できない限り、ＺＴＥＮＳデバイス１１０の機能へのアクセスを禁止できる。認証の例は、とりわけ、パスワード、ＰＩＮ（例えば、ＰＩＮ１４２）、生体認証（例えば、生体認証１４６による指紋、虹彩、又は顔スキャン）、個人電子メール（ｅメール）に送信される検証コード、電話などを含む。

【0019】

ＰＩＮ１４２は、ユーザー１０２のＰＩＮを入力できる（例えば、タッチスクリーン上の）キーパッドなどのハードウェアインターフェースを含む場合がある。ＰＩＮ１４２入力は、ユーザー１０２が、ＺＴＥＮＳデバイス１１０の機能にアクセスすることを許可されていることを保証するために役立つことができる。

【0020】

暗号化１４４は、対称技術、非対称技術、又は他の暗号化技術を実装できる。暗号化１４４は、ハードウェア又はソフトウェア暗号化技術を含むことができる。対称暗号化は、一般に非対称暗号化よりも安全であり、優先される場合がある。対称暗号化では、データを暗号化及び復号するために単一の鍵が使用される。非対称暗号化では、暗号化には秘密鍵が使用され、復号には公開鍵が使用される。公開鍵に基づいて秘密鍵を決定することが可能であるため、非対称暗号化はより安全ではなくなる。対称暗号化は、安全なＲＮＧ１５２、パスワード、又はコードを使用して実装できる。対称暗号化の例は、高度暗号化標準（ＡＥＳ）、データ暗号化標準 （ＤＥＳ）、国際データ暗号化アルゴリズム（ＩＤＥＡ）、又はリベスト暗号（ＲＣ）（例えば、ＲＣ４、ＲＣ５、又は ＲＣ６）を含む。セキュアソケットレイヤ（ＳＳＬ）及びトランスポート層セキュリティ（ＴＬＳ）１５０は、非対称暗号化プロトコルを実装する（ハイパーテキストトランスポートプロトコルセキュア（ＨＴＴＰＳ）によって使用される）プロトコルの例である。Ｒｉｖｅｓｔ－Ｓｈａｍｉｒ－Ａｄｌｅｍａｎ（ＲＳＡ）、Ｄｉｆｆｉｅ－Ｈｅｌｍａｎ、楕円曲線暗号システム（ＥＣＣ）、Ｅｌ Ｇａｍａｌ、及びデジタル署名アルゴリズム（ＤＳＡ）は、非対称暗号化プロトコルの例である。

【0021】

生体認証１４６のハードウェア及び／又はソフトウェアは、ユーザー１０２が生体認証データを提供するユーザーインターフェース１６０を介してアクセスできる。生体認証１４６のハードウェア及び／又はソフトウェアは、ユーザー１０２の虹彩スキャン、顔スキャン、指紋スキャンなどを実行できる。メモリ１２６は、以前の生体認証スキャンからのユーザー１０２の予想される生体認証１５６データを含むことができる。生体認証１４６のハードウェア及び／又はソフトウェアは、許可されたユーザーだけがＺＴＥＮＳデバイス１１０の機能にアクセスすることを保証するのに役立てるために使用できる。

【0022】

認証局１４８は、暗号鍵１３６の所有権を照明するデジタル証明書を発行する。認証局１４８は、許容可能なＵＲＬ１３２上のウェブサイトをホストするウェブサーバ１０８の管理が、暗号鍵１３６の所有権を証明することを可能にする。認証局１４８は、ＴＬＳ／ＳＳＬ１５０とともに、計算デバイス１０４とＺＴＥＮＳデバイス１１０との間のＨＴＴＰＳ通信を可能にすることができる。

【0023】

メモリ１２６は、ＺＴＥＮＳデバイス１１０を介してアクセスできる（ＵＲＬの形式の）１つ又は複数のウェブサイトの許容可能なＵＲＬ１３２を含むことができる。許容可能なＵＲＬ１３２は、通常よりも機密性の高い情報を含むウェブサイトを含む場合がある。そのようなウェブサイトの例は、個人又は企業の銀行取引ウェブサイト、医療記録ウェブサイト、公益事業ウェブサイト、保険ウェブサイト、政府ウェブサイト、国税庁（ＩＲＳ）納税申告、秘密通信などを含む。ＺＴＥＮＳデバイス１１０は、仮想プライベートネットワーク（ＶＰＮ）の代替を含むことができる。メモリ１２６は、計算デバイス１０４又はＺＴＥＮＳデバイス１１０の実際のＩＰアドレスを隠すために使用できるプロキシデータ１５８を含むことができる。

【0024】

ＤＮＳデータ１３４は、許容可能なＵＲＬ１３２のウェブサイトごとに、ＵＲＬをＩＰアドレスと関連付けることができる。ＤＮＳデータ１３４は、通常のＤＮＳサーバアクセスの代わりとなることができ、したがってそのような通常のＤＮＳサーバアクセスに関連するいかなる脆弱性も排除する。

【0025】

暗号鍵１３６は、１つ又は複数の対称暗号鍵又は非対称暗号鍵を含む。暗号鍵１３６は、通信のデータを暗号化又は復号するために、暗号化１４４のハードウェア及び／又はソフトウェアによって使用できる。

【0026】

通信回路１２４は、１つ又は複数の異なる通信プロトコル１２８、１３０を実装する。通信プロトコルは、通信回路１２０に関して説明されたプロトコルを含む場合がある。通信回路１２４は、第１の通信プロトコル１２８を使用して計算デバイス１０４と、及び第２の通信プロトコル１３０を使用してネットワーク１０６と通信するように構成できる。アプリケーション１５４は、ユーザー１０２が、ウェブアプリケーション１１８を通じてブルートゥース（登録商標）、ＵＳＢ、又は他の通信プロトコルを介してＺＴＥＮＳデバイス１１０と対話することを可能にすることができる。

【0027】

通信回路１２４は、いくつかの実施形態では、単一のエンドポイント（例えば、ウェブサーバ１０８）への通信を２つ以上のばらばらのパケットに解析できる。通信回路１２４は、次に２つ以上のそれぞれの通信プロトコルを使用して、複数のパケットのばらばらのパケットを送信できる。通信回路１２４は、このようにして例えば、ワイヤレスフィデリティ（ＷｉＦｉ）、イーサネット、又はセルラーデータ通信チャネル（例えば、ＬＴＥ、５Ｇなど）を使用して通信の第１の部分を送信し、ワイヤレスフィデリティ、イーサネット、又はセルラーデータ通信チャネルの異なるものを使用して通信の第２の異なる部分を送信する。より多くの部分及びより多くの通信プロトコルを使用できる。

【0028】

ＺＴＥＮＳデバイス１１０は、ウェブサーバ１０８を介してアクセス可能なウェブサイトのホストによって発行できる。ホストは、ＺＴＥＮＳデバイス１１０のセキュリティ基準に合格できるそれらのユーザーのみに、ウェブサイトへのアクセスを制限できる。これによって、ウェブサイトのホストは、ウェブサイトにアクセスするために必要とされるセキュリティを管理することができる。通常、ユーザー１０２は、ウェブアプリケーション１１８又はＯＳ１１４のセキュリティだけでウェブサイトにアクセスする。ウェブサイトにアクセスするためにＺＴＥＮＳデバイス１１０のプロトコルを必要とすることによって、ウェブサイトのセキュリティはウェブサイトのホストの手に委ねられる。

【0029】

ＺＴＥＮＳデバイス１１０は、エフェメラルＩＰｖ６（など）、ネット操作、ポートノッキング、チャネルホッピングなどの１つ又は複数を実装することによって、さらなるセキュリティを提供することができる。ＺＴＥＮＳデバイス１１０は、物理的なセキュリティ対策（例えば、改ざん証拠、改ざん耐性など）を使用してさらなる強化を含むことができる。ＺＴＥＮＳデバイス１１０は、公開鍵インフラストラクチャ（ＰＫＩ）カード、Ｙｕｂｉｋｅｙカードなどの共通アクセスカード（ＣＡＣ）の代用品を提供できる。

【0030】

使用中、ユーザー１０２は、ＺＴＥＮＳデバイス１１０を計算デバイス１０４に接続できる。ユーザーは、自身を認証し、ＺＴＥＮＳデバイス１１０へのアクセスを取得するために、ＰＩＮ１４２、生体認証１４６のハードウェア及び／又はソフトウェアを介した生体認証データ、ユーザー名、パスワード、多要素認証１４０を使用する証明コード、又はそれらの組み合わせを使用してＰＩＮを入力できる。認証は、ユーザー１０２の身元を検証するプロセスである。認証に合格すると、ユーザー１０２は、ウェブアプリケーション１１８を通じてＺＴＥＮＳデバイス１１０のさらなる機能にアクセスすることが可能になる。ユーザー１０２は、ウェブアプリケーション１１８を通じてＺＴＥＮＳデバイス１１０への通信を発行できる。通信は、ＺＴＥＮＳデバイス１１０の機能（例えば、ハードウェア、ソフトウェア、又はそれらの組み合わせ）を開始できる。ＺＴＥＮＳデバイス１１０は、悪意のある挙動又はデータの引き出しを検出するためになど、計算デバイス１０４からのコンテンツを検査できる。ＺＴＥＮＳデバイス１１０は、（ＤＮＳデータ１３４を使用して）ＵＲＬのＩＰアドレスへの変換の実行後など、通信回路１２４を使用してネットワーク１０６と取引できる。ネットワーク１０６又は計算デバイス１０４との通信は、ＴＳＬ／ＳＳＬプロトコル１５０、認証局１４８などを使用して保護できる。ＺＴＥＮＳデバイス１１０は、ネットワーク１０６からコンテンツを受信し、（例えば、再帰型ニューラルネットワーク（ＲＮＮ）などを使用して）悪意のある挙動又はデータの引き出しを検出することができる。ＺＴＥＮＳデバイス１１０は、（例えば、ＲＮＮによる）検査に合格したコンテンツを、通信回路１２４を介してウェブアプリケーション１１８に提供できる。ユーザー１０２は、次にＺＴＥＮＳデバイス１１０を介してウェブサイトのコンテンツにアクセスした。

【0031】

図２は、例として、ＺＴＥＮＳの方法２００の一実施形態の図を示す。図示の方法２００は、操作２０２で、（有線又は無線の第１の通信チャネルを介して、及び計算デバイスのウェブアプリケーションを通じて、計算デバイスに通信可能に結合されたＺＴＥＮＳデバイスによって）ＺＴＥＮＳデバイスが計算デバイスに通信可能に結合されていることを示す第１のデータを提供することと、操作２０４で、（ＺＴＥＮＳデバイスによって、及び計算デバイスのウェブアプリケーションを通じて第１の通信チャネルを介して）１つ又は複数のユニフォームリソースロケータ（ＵＲＬ）を提供することと、操作２０６で、（ＺＴＥＮＳデバイスによって、及び第１の通信チャネルを介して）ウェブアプリケーションを通じて計算デバイスのユーザーによって選択された１つ又は複数のＵＲＬのうちの１つのＵＲＬを示すデータを受信することと、操作２０８で、（ＺＴＥＮＳデバイスによって、及び有線又は無線の第２の通信チャネルであって、第１の通信チャネルとは異なる第２の通信チャネルを介して）選択されたＵＲＬに関連するウェブサイトのウェブサイトデータに対する要求を通信することと、（ＺＴＥＮＳデバイスによって、及び第２の通信チャネルを介して）ウェブサイトデータを受信し、計算デバイスにウェブサイトデータを提供することとを含む。

【0032】

方法２００は、ウェブサイトデータに対する要求を通信する前に、ＺＴＥＮＳデバイスによって、ユーザーの身元を認証することをさらに含むことができる。方法２００は、ユーザーの身元を認証することが、ＺＴＥＮＳデバイスによって、ＺＴＥＮＳデバイスのユーザーインターフェースを介してユーザーから個人識別番号（ＰＩＮ）又は生体認証スキャンデータを受信することを含むことをさらに含むことができる。方法２００は、ユーザーの身元を認証することが、ウェブアプリケーションを通じて多要素認証を使用することを含むことをさらに含むことができる。

【0033】

方法２００は、ウェブサイトデータに対する要求を通信する前に、悪意のある挙動又はデータの取り出しがないか計算デバイスからのデータを分析することをさらに含むことができる。方法２００は、ＺＴＥＮＳデバイスによって、ＺＴＥＮＳデバイスのメモリ内のドメインネームサービス（ＤＮＳ）データを使用して、ＵＲＬをインターネットプロトコル（ＩＰ）アドレスに変換することをさらに含むことができる。方法２００は、ウェブサイトデータに対する要求を複数のパケットに解析することであって、複数のパケットがウェブサイトデータに対する要求の異なる部分を含む、解析することをさらに含むことができ、ウェブサイトデータに対する要求を通信することは、第２の通信チャネル及び第３の通信チャネルを含む異なる通信チャネルを介して複数のパケットの異なるパケットを通信することを含む。

【0034】

方法２００は、第２の及び第３の通信チャネルが、セルラーデータ通信チャネル、ワイヤレスフィデリティ通信チャネル、及びイーサネット通信チャネルの異なるチャネルを含むことをさらに含むことができる。方法２００は、第１の通信チャネルが、ユニバーサルシリアルバス（ＵＳＢ）及びｗｅｂＵＳＢ又はｗｅｂＢｌｕｅｔｏｏｔｈ通信プロトコルを使用して動作するブルートゥース（登録商標）の１つを含むことをさらに含むことができる。方法２００は、ウェブサイトデータを計算デバイスに提供する前に、ＺＴＥＮＳデバイスによって、ウェブサイトデータに対する悪意のある挙動及びデータの取り出しの分析を実行することをさらに含むことができる。

【0035】

図３は、例として、マシンに本明細書に説明される方法の任意の１つ又は複数を実行させるための命令が実行され得るコンピュータシステム３００の例示的な形式のマシンの一実施形態のブロック図を示す。ネットワーク化された配置では、マシンは、サーバ－クライアントのネットワーク環境においてサーバ又はクライアントマシンという立場で、又はピアツーピア（もしくは分散）ネットワーク環境においてはピアーマシンとして動作し得る。マシンは、パーソナルコンピュータ（ＰＣ）、タブレットＰＣ、セットトップボックス（ＳＴＢ）、パーソナルデジタルアシスタント（ＰＤＡ）、携帯電話、ウェブアプライアンス、ネットワークルータ、ネットワークスイッチ、もしくはネットワークブリッジ、又はそのマシンが取るべき行動を指定する命令（順次又はそれ以外の方法で）を実行することが可能な任意のマシンであってよい。さらに、単一のマシンのみが示されるが、用語「マシン」はまた、本明細書で説明される方法の任意の１つ又は複数を実行するための命令の１つのセット（又は複数のセット）を個別に又は共同で実行するマシンの任意の集合体を含むと解釈されるものとする。

【0036】

例示的なコンピュータシステム３００は、バス３０８を介して互いと通信するプロセッサ３０２（例えば、中央処理装置（ＣＰＵ）、グラフィックスプロセッシングユニット（ＧＰＵ）、又は両方）、メインメモリ３０４、及びスタティックメモリ３０６を含む。コンピュータシステム３００は、ビデオディスプレイユニット３１０（例えば、液晶ディスプレイ（ＬＣＤ）又は陰極線管（ＣＲＴ））をさらに含み得る。コンピュータシステム３００はまた、英数字入力装置３１２（例えば、キーボード）、ユーザーインターフェース（ＵＩ）ナビゲーションデバイス３１４（例えば、マウス）、大量記憶装置３１６、信号発生装置３１８（例えば、スピーカ）、ネットワークインターフェースデバイス３２０、ならびにブルートゥース（登録商標）、ＷＷＡＮ、ＷＬＡＮ、及びＮＦＣなどの無線３３０を含み、そのようなプロトコルに対するセキュリティ管理の適用を可能にする。

【0037】

大量記憶装置３１６は、本明細書に説明される方法又は機能の任意の１つ又は複数を具現化する又はそれらによって利用される命令及びデータ構造（例えば、ソフトウェア）３２４の１つ又は複数のセットが格納されるマシン可読媒体３２２を含む。命令３２４はまた、コンピュータシステム３００によるその実行中に、メインメモリ３０４内に、及び／又はプロセッサ３０２内に、完全に又は少なくとも部分的に常駐し得、メインメモリ３０４及びプロセッサ３０２はまた、マシン可読媒体を構成する。

【0038】

マシン可読媒体３２２は単一の媒体であると例示的な実施形態には示されているが、用語「マシン可読媒体」は、１つ又は複数の命令又はデータ構造を格納する単一の媒体又は複数の媒体（例えば、集中型又は分散型データベース、及び／又は関連するキャッシュ及びサーバ）を含み得る。用語「マシン可読媒体」はまた、マシンによる実行のための命令を格納、符号化、又は搬送することができ、マシンに本発明の方法の任意の１つ又は複数を実行させるか、そのような命令によって利用されるか、もしくはそのような命令に関連するデータ構造を格納、符号化、又は搬送することができる任意の有形媒体を含むと解釈されるものとする。用語「マシン可読媒体」は、相応して、ソリッドステートメモリ、ならびに光媒体及び磁気媒体を含むが、これらに限定されないと解釈されるものとする。マシン可読媒体の具体的な例は、例として、例えば消去可能なプログラム可能な読み取り専用メモリ（ＥＰＲＯＭ）、電気的に消去可能なプログラム可能な読み取り専用メモリ（ＥＥＰＲＯＭ）、及びフラッシュメモリデバイスなどの半導体メモリデバイスを含む不揮発性メモリ、内蔵ハードディスク及びリムーバブルディスクなどの磁気ディスク、光磁気ディスク、ならびにＣＤ－ＲＯＭ及びＤＶＤ－ＲＯＭディスクを含む。

【0039】

命令３２４は、さらに、伝送媒体を使用して通信ネットワーク３２６を介して送信又は受信され得る。命令３２４は、ネットワークインターフェースデバイス３２０及びいくつかの周知の転送プロトコル（例えば、ＨＴＴＰ）のいずれか１つを使用して伝送され得る。通信ネットワークの例は、ローカルエリアネットワーク（「ＬＡＮ」）、広域ネットワーク（「ＷＡＮ」）、インターネット、携帯電話網、従来型の電話サービス（ＰＯＴＳ）ネットワーク、及び無線データネットワーク（例えば、ＷｉＦｉネットワーク及びＷｉＭａｘネットワーク）を含む。用語「伝送媒体」は、マシンによる実行のための命令を格納、符号化、又は搬送できる任意の無形媒体を含むとして解釈されるものとし、デジタル通信信号もしくはアナログ通信信号又はそのようなソフトウェアの通信を容易にするための他の無形媒体を含む。

【0040】

追加の注記及び例
例１は、ゼロトラストエンドポイントネットワークセキュリティ（ＺＴＥＮＳ）のためのコンピュータ実装方法を含むことができ、前記方法は、計算デバイスに通信可能に結合されたＺＴＥＮＳデバイスによって、有線又は無線の第１の通信チャネルを介して、及び前記計算デバイスのウェブアプリケーションを通じて、前記ＺＴＥＮＳデバイスが前記計算デバイスに通信可能に結合されていることを示す第１のデータを提供することと、前記ＺＴＥＮＳデバイスによって、及び前記計算デバイスのウェブアプリケーションを通じて前記第１の通信チャネルを介して、１つ又は複数のユニフォームリソースロケータ（ＵＲＬ）を提供することと、前記ＺＴＥＮＳデバイスによって、及び前記第１の通信チャネルを介して、前記ウェブアプリケーションを通じて前記計算デバイスのユーザーによって選択された前記１つ又は複数のＵＲＬのうちの１つのＵＲＬを示すデータを受信することと、前記ＺＴＥＮＳデバイスによって、及び有線又は無線の第２の通信チャネルであって、前記第１の通信チャネルとは異なる前記第２の通信チャネルを介して、前記選択されたＵＲＬに関連するウェブサイトのウェブサイトデータに対する要求を通信することと、前記ＺＴＥＮＳデバイスによって、及び前記第２の通信チャネルを介して、前記ウェブサイトデータを受信し、前記計算デバイスに前記ウェブサイトデータを提供することとを含むことができる。

【0041】

例２では、例１が、前記ウェブサイトデータに対する要求を通信する前に、前記ＺＴＥＮＳデバイスによって、前記ユーザーの身元を認証することをさらに含むことができる。

【0042】

例３では、例２が、前記ユーザーの前記身元を認証することが、前記ＺＴＥＮＳデバイスによって、前記ＺＴＥＮＳデバイスの前記ユーザーインターフェースを介して前記ユーザーから個人識別番号（ＰＩＮ）又は生体認証スキャンデータを受信することを含むことをさらに含むことができる。

【0043】

例４では、例２～例３の少なくとも１つが、前記ユーザーの前記身元を認証することが、前記ウェブブラウザを介して多要素認証を使用することを含むことをさらに含むことができる。

【0044】

例５では、例２～４の少なくとも１つが、前記ウェブサイトデータに対する要求を通信する前に、悪意のある挙動又はデータの取り出しがないか前記計算デバイスからの前記データを分析することをさらに含むことができる。

【0045】

例６では、例２～５の少なくとも１つが、前記ＺＴＥＮＳデバイスによって、前記ＺＴＥＮＳデバイスのメモリ内のドメインネームサービス（ＤＮＳ）データを使用して、前記ＵＲＬをインターネットプロトコル（ＩＰ）アドレスに変換することをさらに含むことができる。

【0046】

例７では、例２～６の少なくとも１つが、前記ウェブサイトデータに対する要求を複数のパケットに解析することであって、前記複数のパケットが前記ウェブサイトデータに対する要求の異なる部分を含む前記解析することをさらに含むことができ、前記ウェブサイトデータに対する要求を通信することが、前記第２の通信チャネル及び第３の通信チャネルを含む異なる通信チャネルを介して前記複数のパケットの異なるパケットを通信することを含む。

【0047】

例８では、例７が、前記第２の及び前記第３の通信チャネルが、セルラーデータ通信チャネル、ワイヤレスフィデリティ通信チャネル、及びイーサネット通信チャネルの異なるチャネルを含むことをさらに含むことができる。

【0048】

例９では、例８が、前記第１の通信チャネルが、ユニバーサルシリアルバス（ＵＳＢ）及びｗｅｂＵＳＢ又はｗｅｂＢｌｕｅｔｏｏｔｈ通信プロトコルを使用して動作するブルートゥース（登録商標）の１つを含むことをさらに含むことができる。

【0049】

例１０では、例２～９の少なくとも１つが、前記ウェブサイトデータを前記計算デバイスに提供する前に、前記ＺＴＥＮＳデバイスによって、前記ウェブサイトデータに対する悪意のある挙動及びデータの取り出しの分析を実行することをさらに含むことができる。

【0050】

例１１は、マシンによって実行されると、前記マシンに請求項１～１０の少なくとも１つの前記方法を実行するための操作を実行させる命令を含む非一時的なマシン可読媒体を含む。

【0051】

例１２は、請求項１～１０の少なくとも１つの前記方法を実行するように構成されたシステム又は装置を含む。

【0052】

実施形態は、特定の例示的な実施形態を参照して説明されてきたが、本発明のより広い趣旨及び範囲から逸脱することなく、これらの実施形態に対して様々な修正及び変更を加え得ることが明らかとなるであろう。したがって、明細書及び図面は、限定する意味ではなく例示的と見なされるべきである。本明細書の一部を形成する添付の図面は、本主題が実施され得る特定の実施形態を限定ではなく例示として示す。図示の実施形態は、当業者が本明細書に開示された教示を実践することを可能にするために十分に詳細に説明されている。他の実施形態が利用され、そこから導き出され得るため、構造的及び論理的な置換及び変更が本開示の範囲から逸脱することなく加えられ得る。したがって、本発明を実施するための形態は、限定的な意味で解釈されるべきではなく、様々な実施形態の範囲は、添付の特許請求の範囲によってのみ定義され、そのような特許請求の範囲が権利を与えられている均等物の全範囲とともに定義される。

【図1】

【図2】

【図3】

【国際調査報告】