知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2024-02-15
(54)【発明の名称】ゼロ信頼認証
(51)【国際特許分類】
G06F 21/41 20130101AFI20240207BHJP
G06F 21/60 20130101ALI20240207BHJP
H04L 9/32 20060101ALI20240207BHJP
【ＦＩ】
G06F21/41
G06F21/60 360
H04L9/32 200F
H04L9/32 200B
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2023548719
(86)(22)【出願日】2022-02-15
(85)【翻訳文提出日】2023-10-06
(86)【国際出願番号】 US2022016401
(87)【国際公開番号】W WO2022177876
(87)【国際公開日】2022-08-25
(31)【優先権主張番号】63/149,994
(32)【優先日】2021-02-16
(33)【優先権主張国・地域又は機関】US
(31)【優先権主張番号】17/590,657
(32)【優先日】2022-02-01
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
(71)【出願人】
【識別番号】523303747
【氏名又は名称】バスティオンゼロ，インコーポレイテッド
(74)【代理人】
【識別番号】110000659
【氏名又は名称】弁理士法人広江アソシエイツ特許事務所
(72)【発明者】
【氏名】ヘイルマン，イーサン
(72)【発明者】
【氏名】ミュニエ，リュシー
(72)【発明者】
【氏名】ゴールドバーグ，シャロン
(72)【発明者】
【氏名】マーカス，ユヴァル
(72)【発明者】
【氏名】リップマン，セバスチャン
(57)【要約】
ゼロ信頼認証のためのシステム及び方法が開示される。特定の実施形態において、方法は、クライアントコンピューティングシステムから、識別情報プロバイダ（ＩｄＰ）当局に、クライアントコンピューティングシステムの公開鍵と共にハッシュされるランダム値をハッシュすることによって生成される認証ノンス値を与えるステップと、ＩｄＰ当局の秘密鍵によって署名される認証ノンス値を含む認可トークンを、クライアントコンピューティングシステムにおいてＩｄＰ当局から受信するステップとを含むことができる。方法は、メッセージを認証するように構成される仲介連帯保証部（ＩＣＳ）を介してクライアントコンピューティングシステムからターゲットコンピューティングシステムに認可トークンを含むメッセージを与えるステップを更に含むことができる。
【選択図】図１
【選択図】図１
【特許請求の範囲】
【請求項1】
クライアントコンピューティングシステムから、識別情報プロバイダ（ＩｄＰ）当局に、前記クライアントコンピューティングシステムの公開鍵と共にランダム値を一緒にハッシュすることによって生成される認証ノンス値を与えるステップと、前記クライアントコンピューティングシステムにおいて、前記ＩｄＰ当局から、前記ＩｄＰ当局の秘密鍵によって署名される前記認証ノンス値を含む認可トークンを受信するステップと、
前記クライアントコンピューティングシステムから、ターゲットコンピューティングシステムに、前記メッセージを認証するように構成される仲介連帯保証部（ＩＣＳ）を介して、前記認可トークンを含むメッセージを与えるステップと、
を含む方法。
【請求項2】
前記ランダム値を生成するステップを更に含み、該ステップは、乱数を生成するステップと、
前記ランダム値を生み出すために前記クライアントコンピューティングシステムの秘密鍵で前記乱数に署名するステップと、
を含む、請求項１に記載の方法。
【請求項3】
署名無し形式の乱数と、前記クライアントコンピューティングシステムの前記秘密鍵で署名される前記乱数と、
をハッシュすることによって前記認証ノンス値を生成するステップ、
を更に含む、請求項２に記載の方法。
【請求項4】
認可証明書を生成するステップであって、前記認可証明書が、前記ＩｄＰ当局の前記秘密鍵によって署名される前記認可トークンと、
前記クライアントコンピューティングシステムの前記公開鍵のハッシュされないコピーと、
前記署名無し形式の前記乱数のハッシュされないコピーと、
前記クライアントコンピューティングシステムの前記秘密鍵で署名される前記乱数のハッシュされないコピーと、
を含む、ステップと、
前記認可証明書を前記ＩＣＳへのメッセージに含めるステップと、
を更に含む、請求項３に記載の方法。
【請求項5】
前記メッセージを同期メッセージとして与えて前記ターゲットコンピューティングシステムに対してシェルを開くステップであって、前記シェルが通信チャネルを備える、ステップと、前記クライアントコンピューティングシステムにおいて、前記同期メッセージに応答して同期確認応答メッセージを受信するステップと、
前記同期確認応答メッセージのコピーを前記データメッセージに含めるためにハッシュすることを含め、前記クライアントコンピューティングシステムにおいて、前記ターゲットコンピューティングシステムへのデータメッセージを生成するステップと、
前記クライアントコンピューティングシステムから、前記ＩＣＳを介して前記ターゲットコンピューティングシステムに向けられる前記データメッセージを与えるステップと、
を更に含む、請求項４に記載の方法。
【請求項6】
同期確認応答メッセージが同期メッセージのハッシュされたコピーを含み、前記クライアントコンピューティングシステムにおいて、前記同期メッセージのハッシュを、前記同期メッセージの前記ハッシュされたコピーと比較するステップと、
前記同期メッセージの前記ハッシュが前記同期メッセージの前記ハッシュされたコピーと一致する場合にのみ、前記データメッセージを生成するステップと、
を更に含む、請求項５に記載の方法。
【請求項7】
前記クライアントコンピューティングシステムにおいて、前記クライアントコンピューティングシステムの秘密鍵を使用して前記メッセージに署名するステップ、を更に含む、請求項１に記載の方法。
【請求項8】
クライアントシステムから、該クライアントシステムとターゲットシステムとの間の通信を認証するように構成される仲介連帯保証部（ＩＣＳ）においてメッセージを受信するステップと、前記ＩＣＳで前記メッセージから認可トークンを抽出するステップであって、前記認可トークンが、識別情報プロバイダ（ＩｄＰ）当局によって署名される認証ノンス値を含む、ステップと、
前記ＩＣＳにおいて前記ＩｄＰの署名を検証するステップと、
前記ＩＣＳにおいて、ランダム値と一緒にハッシュされた前記クライアントシステムの公開鍵とを含む前記認証ノンスに基づいて前記認証ノンスを検証するステップと、
前記検証の成功時に前記ＩＣＳからの前記メッセージを認証して前記ターゲットシステムに与えるステップと、
を含む方法。
【請求項9】
前記ＩＣＳによる前記メッセージの検証が失敗するときに、検証されていない前記メッセージに関するエラーを発行するステップと、
前記メッセージを前記ターゲットシステムに与えないステップと、
を更に含む、請求項８に記載の方法。
【請求項10】
前記ＩＣＳがエントリを追加することはできるがエントリを修正又は削除することはできない、クライアントシステムとターゲットシステムとの間の送信のための不変ログを維持するステップと、前記検証の結果に基づいて前記不変ログにログエントリを追加するステップと、
を更に含む、請求項８に記載の方法。
【請求項11】
前記認証ノンスを検証する前記ステップは、前記認証ノンスが、一緒にハッシュされた以下の要素、すなわち、前記クライアントシステムの前記公開鍵と、
署名無し形式の乱数としてのランダム値ａと、
前記クライアントコンピューティングシステムの秘密鍵で署名される前記乱数と、
を含むことを検証するステップを更に含む、請求項８に記載の方法。
【請求項12】
前記ＩＣＳによって前記メッセージを認証するステップを更に含み、該ステップは、前記ＩＣＳの秘密鍵を用いて前記メッセージに署名するステップを含む、請求項８に記載の方法。
【請求項13】
前記ＩＣＳと前記ターゲットシステムとの間の信頼できる通信リンクを確立するステップを更に含み、前記ＩＣＳによって前記メッセージを認証する前記ステップは、前記信頼できる通信リンクを介して前記ＩＣＳから前記ターゲットシステムに前記メッセージを与えるステップを含む。請求項８に記載の方法。
【請求項14】
前記クライアントシステムから前記ＩＣＳにおいて、通信チャネルを開くように構成される同期メッセージを受信するステップと、前記ＩＣＳにおいて、前記同期メッセージのハッシュされたコピーを含む同期確認応答メッセージを生成するステップと、
前記同期確認応答メッセージを前記クライアントシステムに送信するステップと、
前記ＩＣＳにおいて、前記ターゲットシステムに向けられた前記クライアントシステムからの前記メッセージを受信するステップと、
前記ＩＣＳにおいて、前記メッセージが前記ターゲットシステムに前記メッセージを与える条件として前記同期確認応答メッセージのハッシュされたコピーを含むことを検証するステップと、
を更に含む、請求項８に記載の方法。
【請求項15】
前記信頼できる通信リンクがトランスポート層セキュリティ（ＴＬＳ）ＷｅｂＳｏｃｋｅｔ接続を含むことを更に含む、請求項１３に記載の方法。
【請求項16】
クライアントコンピューティングシステムから、識別情報プロバイダ（ＩｄＰ）当局に、前記クライアントコンピューティングシステムの公開鍵と共にハッシュされたランダム値を含む認証ノンス値を与えるステップと、前記クライアントコンピューティングシステムにおいて、前記ＩｄＰ当局から、前記ＩｄＰ当局の秘密鍵によって署名される前記認証ノンス値を含む認可トークンを受信するステップと、
前記クライアントコンピューティングシステムから、前記認可トークンを含むメッセージを与えるステップであって、前記メッセージが、前記メッセージを認証するように構成される仲介連帯保証部（ＩＣＳ）を介してターゲットコンピューティングシステムに向けられる、ステップと、
前記クライアントコンピューティングシステムから前記メッセージを前記（ＩＣＳ）において受信するステップと、
前記ＩＣＳで前記メッセージから前記認可トークンを抽出するステップと、
前記ＩＣＳで前記認可トークンから前記ＩｄＰの署名を検証するステップと、
前記ＩＣＳにおいて、前記クライアントコンピューティングシステムの前記公開鍵の前記ランダム値に基づいて前記認証ノンスを検証するステップと、
前記検証の成功時に前記ＩＣＳからの前記メッセージを認証して前記ターゲットコンピューティングシステムに与えるステップと、
を含む方法。
【請求項17】
前記クライアントコンピューティングシステムの前記公開鍵と、署名無し形式で前記クライアントコンピューティングシステムによって生成される前記ランダム値と、
前記クライアントコンピューティングシステムの秘密鍵で署名される前記ランダム値と、
をハッシュすることによって前記クライアントコンピューティングシステムにおいて前記認証ノンス値を生成するステップを更に含む、請求項１６に記載の方法。
【請求項18】
前記クライアントコンピューティングシステムにおいて、認可証明書を生成するステップであって、前記認可証明書が、前記ＩｄＰの前記秘密鍵によって署名される認可トークンと、
前記クライアントコンピューティングシステムの前記公開鍵のハッシュされないコピーと、
前記署名無し形式の前記乱数のハッシュされないコピーと、
前記クライアントコンピューティングシステムの前記秘密鍵で署名される前記乱数のハッシュされないコピーと、
を含む、ステップと、
前記認可証明書を前記ＩＣＳへの前記メッセージに含めるステップと、
前記クライアントコンピューティングシステムにおいて、前記クライアントコンピューティングシステムの秘密鍵を使用して前記メッセージに署名するステップと、
を更に含む、請求項１７に記載の方法。
【請求項19】
前記ＩＣＳにおいて、前記ＩＣＳがエントリを追加することができるがエントリを修正することはできない、前記クライアントコンピューティングシステムと前記ターゲットコンピューティングシステムとの間の送信の不変ログを維持するステップと、前記ＩＣＳによって、前記検証の結果に基づいて前記ログにログエントリを追加するステップと、
を更に含む、請求項１６に記載の方法。
【請求項20】
前記ＩＣＳによって前記メッセージを認証する前記ステップは、前記ＩＣＳの秘密鍵を使用して前記メッセージに署名するステップ、及び
前記ＩＣＳと前記ターゲットコンピュータシステムとの間に確立された信頼できる通信リンクを介して前記ＩＣＳから前記ターゲットコンピュータシステムに前記メッセージを与えるステップ、
のうちの少なくとも一方を含むことを更に含む、請求項１６に記載の方法。
【発明の詳細な説明】
【技術分野】
【0001】
特定の実施形態において、方法は、クライアントコンピューティングシステムから、識別情報プロバイダ（ＩｄＰ）当局に、クライアントコンピューティングシステムの公開鍵と共にハッシュされるランダム値をハッシュすることによって生成される認証ノンス値を与えるステップと、ＩｄＰ当局の秘密鍵によって署名される認証ノンス値を含む認可トークンを、クライアントコンピューティングシステムにおいてＩｄＰ当局から受信するステップとを含むことができる。方法は、メッセージを認証するように構成される仲介連帯保証部（ＩＣＳ）を介してクライアントコンピューティングシステムからターゲットコンピューティングシステムに認可トークンを含むメッセージを与えるステップを更に含むことができる。
【発明の概要】
【0002】
特定の実施形態において、方法は、クライアントシステムとターゲットシステムとの間の通信を認証するように構成される仲介連帯保証部（ＩＣＳ）でクライアントシステムからメッセージを受信するステップと、ＩＣＳでメッセージから認可トークンを抽出するステップであって、認可トークンが、識別情報プロバイダ（ＩｄＰ）当局によって署名される認証ノンス値を含む、ステップとを含むことができる。方法は、ＩＣＳでＩｄＰの署名を検証するステップと、ＩＣＳで、クライアントシステムの公開鍵でハッシュされた認証ノンスのランダム値に基づいて認証ノンスを検証するステップと、検証の成功時にＩＣＳからのメッセージを認証してターゲットシステムに与えるステップとを更に含むことができる。
【0003】
特定の実施形態において、方法は、クライアントコンピューティングシステムから、識別情報プロバイダ（ＩｄＰ）当局に、クライアントコンピューティングシステムの公開鍵でハッシュされるランダム値を認証ノンス値として与えるステップと、クライアントコンピューティングシステムにおいて、ＩｄＰ当局から、ＩｄＰ当局の秘密鍵によって署名される認証ノンス値を含む認可トークンを受信するステップと、クライアントコンピューティングシステムから、認可トークンを含むメッセージを与えるステップであって、メッセージが、メッセージを認証するように構成される仲介連帯保証部（ＩＣＳ）を介してターゲットコンピューティングシステムに向けられる、ステップと、を含むことができる。方法は、（ＩＣＳ）においてクライアントコンピューティングシステムからメッセージを受信するステップと、ＩＣＳでメッセージから認可トークンを抽出するステップと、ＩＣＳで認可トークンからのＩｄＰの署名を検証するステップと、ＩＣＳにおいて、クライアントコンピューティングシステムの公開鍵のランダム値に基づいて認証ノンスを検証するステップと、検証の成功時にＩＣＳからのメッセージを認証してターゲットコンピューティングシステムに与えるステップとを更に含むことができる。
【図面の簡単な説明】
【0004】
【図1】本開示の特定の実施形態に係る、ゼロ信頼認証のために構成されるシステムの図である。
【0005】
【図2】本開示の特定の実施形態に係る、ゼロ信頼認証のために構成されるシステムにおける通信のタイミング図である。
【0006】
【図3】本開示の特定の実施形態に係る、ゼロ信頼認証のために構成されるシステムの図である。
【0007】
【0008】
【図5】本開示の特定の実施形態に係る、ゼロ信頼認証のためのメッセージのセットを示す。
【0009】
【図6】本開示の特定の実施形態に係る、ゼロ信頼認証のために構成されるシステムのフロー図である。
【0010】
【図7】本開示の特定の実施形態に係る、ゼロ信頼認証のための方法の一例のフローチャートを示す。
【0011】
【図8】本開示の特定の実施形態に係る、ゼロ信頼認証のための方法の一例のフローチャートを示す。
【0012】
【図9】本開示の特定の実施形態に係る、ゼロ信頼認証のための方法の一例のフローチャートを示す。
【0013】
【図10】本開示の特定の実施形態に係る、ゼロ信頼認証のために構成されるシステムの図である。
【発明を実施するための形態】
【0014】
特定の実施形態の以下の詳細な説明では、本明細書の一部を形成し、例示的な実施形態の例示として示されている添付図面を参照する。本明細書の実施形態及び実施例の特徴を組み合わせ、交換し、又は除去することができ、他の実施形態を利用又は作成することができ、本開示の範囲から逸脱することなく構造的変更を行うことができることも理解すべきである。
【0015】
様々な実施形態によれば、本明細書に記載の方法及び機能は、コンピュータプロセッサ又はコントローラ上で実行される１つ以上のソフトウェアプログラムとして実装することができる。限定はしないが、特定用途向け集積回路、プログラマブル論理アレイ、及び他のハードウェアデバイスを含む専用のハードウェア実装も同様に、本明細書に記載の方法及び機能を実装するように構築することができる。方法及び機能は、特定のタスク又はジョブを実行するように構成されたコンピューティングデバイス（例えば、論理、回路、プロセッサなど）の１つ以上の物理的構成要素を含むことができるモジュール又はノードによって実行することができ、又は実行されると、プロセッサに特定のタスク又はジョブ、又はそれらの任意の組み合わせを実行させることができる命令を含むことができる。更に、本明細書に記載の方法は、実行されると、プロセッサに方法を実行させる命令を含むコンピュータ可読記憶媒体又はメモリデバイスとして実装されてもよい。
【0016】
図１は、本開示の特定の実施形態に係る、ゼロ信頼認証のために構成されたシステム１００の図である。システム１００は、クライアントデバイス又はシステム１０２、仲介連帯保証部（ＩＣＳ）１０４、ターゲットデバイス又はシステム１０６、及びシングルサインオン（ＳＳＯ）ＩｄＰなどの識別情報プロバイダ（ＩｄＰ）１０８を含むことができる。システム１００の構成要素は、通信チャネル１１０を介して通信することができる。
【0017】
クライアント１０２のユーザ１１８は、ターゲット１０６にリモートアクセスすることを望む場合がある。ターゲット１０６は、サーバ、コンテナ、又は他のコンピュータもしくはオペレーティングシステム環境を含むことができる。ターゲット１０６のリモートアクセスを可能にすることは、認可されていないユーザがターゲット１０６にアクセスするのを防ぐこと、又は制限された認可を伴うユーザ１１８がそれらのアクセス権を超えるのを防ぐことにおいて、セキュリティ上の課題を提示する可能性がある。
【0018】
安全なリモートアクセスを可能にするために様々な方法を使用することができ、その多くは重大な制限を有する可能性がある。例えば、ユーザ１１８は、仮想プライベートネットワーク（ＶＰＮ）及びセキュアシェル（ＳＳＨ）鍵を使用してターゲットシステム１０６にリモートアクセスすることができる。しかしながら、ＶＰＮは維持に費用がかかる場合があり、ＳＳＨ鍵は動的環境で管理することが困難な場合があり、ユーザの権利を無効にすることが困難な場合があり、ユーザクライアント１０２を制御する悪意のある行為者は、他の問題の中でも、ターゲット１０６への完全なアクセスを取得する可能性がある。別の選択肢は、クライアント１０２とターゲット１０６との間のアクセスポイントとして拠点ホストを使用することであってもよい。拠点ホストは、ユーザアクセス権のより容易な管理及び改善されたアクセス記録セキュリティを可能にすることができる。しかしながら、拠点ホストが全てのターゲット１０６へのフルアクセス資格認証情報を有する場合、侵入された拠点ホストは、悪意のある行為者がターゲット１０６への無制限のアクセスを得る結果となり得る。
【0019】
改善された手法は、単一のユーザ又は構成要素が完全に信頼されておらず、無制限のアクセス権を有するゼロ信頼システムを提供することであり得る。ゼロ信頼は、組織がそのシステムの内部又は外部のいかなる当事者も自動的に信頼すべきではなく、そのシステムへの全てのアクセス試行を検証すべきであるセキュリティ概念を指すことができる。提案されたシステム１００は、ユーザ１１８の身元を検証し、実行前に受信したコマンドの正当性を保証するために、異なる構成要素からの複数の署名に依存することができる。本明細書で説明するゼロトラストシステムは、暗号化に依存しない分散検証及び認証を用いて、クライアントがターゲットにアクセスすることを可能にすることができる。
【0020】
システム１００では、クライアント１０２は、ＩｄＰ１０８から取得した認可又は認可トークンに基づいて認可証明書１１４（ＩＣＳ証明書又はＩＣＳｃｅｒｔと呼ばれることもある）を生成することができる。ＩｄＰ１０８は、例えば、クライアント１０２がシングルサインオン動作を使用して複数のシステムへのアクセスを取得することができるシングルサインオン（ＳＳＯ）サービスプロバイダであってもよい。ＩｄＰ１０８は、ＩｄＰの署名を有するトークンをクライアント１０２に提供することができ、それはクライアント１０２に関連するシステムに対するアクセス権を付与することができる。幾つかの例では、クライアント１０２は、認可トークンの一部として、チャネル１１０を介してＩｄＰ１０８に署名してクライアント１０２に返すことができるサインインプロセスの一部として、チャネル１１０を介してＩｄＰ１０８に一意に識別又は秘密の情報を提供することができる。
【0021】
加えて、ターゲット１０６への完全なアクセス資格認証情報を有する拠点ホストを使用するのではなく、仲介連帯保証部（ＩＣＳ）１０４を使用して、認証及びアクセスポリシールール又は命令１１６のセットに従って、ログイン情報及びＩＣＳ証明書１１４に基づいてクライアント１０２のアクセス要求を検証することができる。ポリシールール１１６は、ＩＣＳ１０４によってクライアント１０２のアクセス要求に適用されるコンピュータ命令又はアクセス要件のセットを含むことができる。ＩＣＳ１０４は、チャネル１１０を介して（例えば、ＨＴＴＰ又はＡＰＩスタイルのアクセス要求を介して）ＩｄＰ１０８に接触して、ＩｄＰ１０８からクライアント１０２によって最初に取得された識別情報トークンを検証することによって、ＩＣＳ証明書１１４を認証することができる。ＩＣＳ１０４は、攻撃に耐え、ターゲット１０６へのアクセス動作を記録するように構成されているが、ターゲット１０６への完全なアクセス資格認証情報を有しない拠点ホストの形態であり得る。ＩＣＳ１０４は、ターゲット１０６の制御ドメイン内に配置されてもよく、又はターゲット１０６から離れていてもよく、例えば、サービスとしてのソフトウェア（ＳａａＳ）資産として実装されてもよい。ＩＣＳ１０４がクライアント１０２を検証する場合、ＩＣＳ１０４は、例えばＩＣＳ自身の秘密鍵でクライアント１０２のメッセージに署名することによって、クライアント１０２のものに自身のアクセス資格認証情報を追加することができる。
【0022】
ターゲット１０６に位置するエージェント１１２は、クライアントアクセス要求を受信し、全てのクライアントメッセージがＩｄＰ認定ユーザ１１８又はクライアント１０２の両方によって署名され、ＩＣＳ１０４によって認証されていることを確認することができる。エージェント１１２は、ＩＣＳ１０４と通信し、ターゲット１０６で受信されたメッセージを検証するように構成されたプログラムモジュール又は命令セットを含むことができる。エージェント１１２はまた、ＩＣＳ１０４に関して前述したように、チャネル１１０を介してＩｄＰ１０８に接触することによってＩＣＳ証明書１１４を認証することができる。例示的なエージェント１１２は、システムマネージャＳＳＭエージェントを含むことができる。全ての資格認証情報がエージェント１１２によって検証される場合、クライアント１０２はターゲット１０６への要求されたアクセスを認可され得る。このようにして、ユーザ１１８は、ＩｄＰ１０８とＩＣＳ１０４の両方からの検証なしにターゲット１０６にアクセスすることはできない。同様に、ＩＣＳ１０４は、最初に認可されたクライアント１０２から有効な要求を受信しなければ、ターゲット１０６にアクセスすることができない。したがって、システム１００内の任意の所与の構成要素が危険にさらされても、ターゲット１０６は安全なままであり得る。クライアント１０２とＩＣＳ１０４の両方の検証に依存するアクセスは、暗号化に依存せずに実施することができる。更に、ＩＣＳ１０４は、平文通信を使用して中間者として動作することができ、システム１００は暗号化なしで動作することができる。
【0023】
システム１００で提案されたプロトコルは、信頼の必要性を排除することはできず、代わりに、システム内の任意の単一の当事者に必要な信頼の量を最小化する。いかなる当事者も、暗黙的に他のいかなる当事者によっても信頼されていない。したがって、クライアント１０２、ＩＣＳ１０４、及びターゲット１０６の３つのアクターのそれぞれに何らかのルートオブトラストがあり得る。
【0024】
クライアント１０２のルートオブトラストは、署名された検証可能なトークン内のユーザ１１８又はクライアント１０２の識別情報及び公開鍵にアテステーションする、ＩｄＰ１０８からの認可トークンであり得る。したがって、クライアント１０２が自己報告型であっても、トークンは、信頼できる第三者（例えば、ＩｄＰ１０８又は関連する認証局）を介して容易に検証され得る。
【0025】
ＩＣＳ１０４のルートオブトラストは、ターゲット１０６、クライアント１０２、又はその両方とのトランスポート層セキュリティ（ＴＬＳ）ＷｅｂＳｏｃｋｅｔ接続１１０の使用によるものであり得る。ＴＬＳ Ｗｅｂｓｏｃｋｅｔ１１０を確立するネゴシエーションにおいて、ＩＣＳ１０４は、（証明書を発行する認証局に従って）その識別情報を証明するその証明書を提供することができる。そこから、ＴＬＳ接続１１０は、パケットを正しくルーティングするために信頼することができ、したがって、パケットが「ＩＣＳ１０４から」到着した場合、クライアント１０２及びターゲット１０６は、それが既知の送信元からのものであると信頼することができる。したがって、ＩＣＳ１０４は、必要に応じて、メッセージがＩＣＳによって検証され、ＩＣＳから送信されたことを証明するためにメッセージに（例えば、その秘密鍵を用いて）署名する必要がない場合がある。
【0026】
ターゲット１０６のルートオブトラストは、ターゲット１０６が応答する任意の通信に署名する自己証明公開鍵であってもよい。これは、ターゲット１０６にかなりの量の信頼を必要とする可能性があるが、ターゲット１０６の公開鍵のハッシュに等しくなり得るＩＣＳ１０４へのターゲット１０６の登録時に一意のターゲットＩＤを割り当てることができる。このターゲットＩＤは、ターゲット１０６が任意の鍵セットを使用することができないことを保証することができる。
【0027】
本明細書で提示されるゼロ信頼認証の態様は、注意を要するアクションのためにターゲット１０６がＩＣＳ１０４に一方向の信頼を置く必要がなく、ＩＣＳ１０４がターゲット１０６上で任意のコマンドを実行するのに十分に信頼されていない可能性があることである。しかしながら、ＩＣＳ１０４が以下を行なうために信頼できる幾つかの動作があり得る。
１．ターゲット１０６の名前をターゲット１０６のＩＤにマッピングする；
２．ポリシールールを設定及び検証する１１６；及び
３．ターゲット１０６のシェル出力。
本明細書で使用される場合、シェルは、ターゲット１０６へのアクセスを可能にし、ＩＣＳ１０４を介してクライアント１０２とターゲット１０６との間に確立され得るコンピュータプログラム又は通信チャネルを指すことができる。更に、ターゲット１０６に関してクライアント１０２又はＩＣＳ１０４から実行することができる幾つかのアクションがあり、そのうちの幾つかは、ＩＣＳ１０４によって一方的に実行することができる（例えば、ユーザ１１８の認可又はクライアント１０２の署名なしで）。例示的な構造は、＜ａｃｔｉｏｎ＞／＜ｉｄ＞の形式でＲＥＳＴ（ＲｅｐｒｅｓｅｎｔａｔｉｏｎａｌＳｔａｔｅ Ｔｒａｎｓｆｅｒ）と同様であってもよい。例示的なアクションは、以下を含むことができる。
１．ターゲット１０６の名前をターゲット１０６のＩＤにマッピングする；
２．ポリシールールを設定及び検証する１１６；及び
３．ターゲット１０６のシェル出力。
本明細書で使用される場合、シェルは、ターゲット１０６へのアクセスを可能にし、ＩＣＳ１０４を介してクライアント１０２とターゲット１０６との間に確立され得るコンピュータプログラム又は通信チャネルを指すことができる。更に、ターゲット１０６に関してクライアント１０２又はＩＣＳ１０４から実行することができる幾つかのアクションがあり、そのうちの幾つかは、ＩＣＳ１０４によって一方的に実行することができる（例えば、ユーザ１１８の認可又はクライアント１０２の署名なしで）。例示的な構造は、＜ａｃｔｉｏｎ＞／＜ｉｄ＞の形式でＲＥＳＴ（ＲｅｐｒｅｓｅｎｔａｔｉｏｎａｌＳｔａｔｅ Ｔｒａｎｓｆｅｒ）と同様であってもよい。例示的なアクションは、以下を含むことができる。
【表1】
【0028】
提案されたシステム１００は、様々な特徴及び特性を提供することができる。
【0029】
二重同意：エージェント１１２は、ＩＣＳ１０４及びユーザ１１８の両方から承認されなければ、リモートコマンドを受け付けなくてもよい。ＩＣＳ１０４は、ユーザ１１８の有効性及び認可に応じて拒否又は同意することができる。
【0030】
無信頼：エージェント１１２は、ＩＣＳ１０４のリモートコマンドを一方的に実行せず、ユーザ１１８がその認可された認可内で実行することを完全に信頼しなくてもよい。信頼は分散化することができ、システムの任意の単一の構成要素に配置される信頼を最小限に抑えることができ、その結果、システムは任意の単一の危険にさらされた当事者から保護する。
【0031】
不可視：ユーザ１１８の観点から、システム１００は、いかなる追加の責任、対話、又は鍵管理タスクも必要とすべきではない。ユーザ１１８は、この特徴を検出できない場合がある。
【0032】
不変：任意のメッセージ通信は、システム１００内の任意の単一のアクターによる任意の以前のメッセージの除去、修正、又は挿入を可能にしない場合がある。例えば、ＩＣＳ１０４は、クライアント１０２とターゲット１０６との間の通信の不変のログを維持することができる。
【0033】
仲介者によるログ可能：任意のメッセージ通信は、メッセージを修正、削除、又は挿入することができない可能性がある仲介者（又は中間者）による平文、可読、及びログ可能であり得る。例えば、ＩＣＳ１０４は、通信をログするように構成され得るが、ログされたメッセージを修正することも、それ自体のメッセージを追加することもできない場合がある。
【0034】
マルチユーザシェル：新しいユーザ１１８、又は異なるクライアント１０２を介してログインしている同じユーザ１１８は、ログを破損することなく既存のシェルセッションに参加することができる。
【0035】
ポリシー保護：ＩＣＳ１０４は、いかなるターゲット１０６上でも非管理ユーザ１１８に管理権を与えることができない。
【0036】
クライアント１０２、ＩＣＳ１０４、ターゲット１０６、ＩｄＰ１０８、及びエージェント１１２は、コンピュータシステム、回路、ソフトウェアもしくは他の実行可能命令、又はそれらの任意の組み合わせとして実装することができる。構成要素を実装するための例示的なコンピュータシステムを図１０に示す。クライアント１０２は、単一のユーザが複数の関連付けられたクライアント１０２を有することができるように、単一のログインセッションとすることができる。通信チャネル１１０は、ローカルエリアネットワーク（ＬＡＮ）又はワイドエリアネットワーク（ＷＡＮ）を介した有線又は無線通信経路を含むことができ、多数のタイプの通信媒体及び中間デバイス、スイッチ、ルータなどを含むことができる。通信チャネル１１０は、ＨＴＴＰ及びＡＰＩベースのプロトコルを含む様々な通信プロトコルを使用することができる。例えば、トランスポート層セキュリティ（ＴＬＳ）Ｗｅｂｓｏｃｋｅｔ通信プロトコルが、クライアント１０２とＩＣＳ１０４との間、及びＩＣＳ１０４とターゲット１０６との間の通信に使用され得る。通信チャネル１１０を介する送信は、セキュアであってもセキュアでなくてもよい。例示的なシステム１００内の通信セッションが図２に関して説明される。
【0037】
図２は、本開示の特定の実施形態に係る、ゼロ信頼認証のために構成されたシステムにおける通信のタイミング図２００である。クライアント２０２、ＩＣＳ２０４、ターゲット２０６、及びＩｄＰ２０８は、システム１００からの対応する要素の例であり得る。特に、図２００は、クライアント２０２とターゲット２０６との間の接続、及びそれらの間のデータの交換を確立する例示的なプロセスを示す。プロセスは、複数の検証ステップを含むことができ、そのいずれかが失敗するとエラーインジケータ（例えば、クライアント２０２に送信されるか、ＩＣＳ２０４にログされるか、ターゲット２０６にログされるか、又は他の様態で提示される）が生成され、失敗メッセージが実行されない。システム内のプロセスの説明を容易にするために、記号、変数、及び用語を定義するために以下の用語集が提示される。
【表2】
【0038】
ユーザ１１８がＩＣＳ２０４又はアクセスターゲット２０６で認可されることを望むとき、ユーザはクライアントインスタンス２０２のログインセッション２１０を開始することができる。概して、ログインプロセス２１０は、クライアント２０２がＩｄＰ２０８に認可要求を（例えば、ＳＳＯ操作を介したログインを介して）送信し、引き換えに認可トークンを受信することを含むことができる。認可トークンは、ＯＩＤＣプロトコルを介して取得されたＯＡｕｔｈトークンであってもよい。認可要求は、クライアント２０２の秘密又は一意に識別される情報を含むことができ、認可トークンは、ＩｄＰ２０８によって署名された一意に識別される情報を含むことができる。クライアント２０２は、署名された認可トークンをＳＹＮ（同期）メッセージでＩＣＳ２０４に送信することができる。ＩＣＳ２０４は、ＩｄＰ署名を検証し、ユーザの識別情報を検証することにより、ＳＹＮ／ＡＣＫ（同期認可又は確認応答）メッセージでクライアント２０２を認可することができる。より詳細には、ログイン操作２１０は、例示的なユーザＡｌｉｃｅ１１８とそのクライアント２０２との間の以下のステップ、ＩｄＰ２０８、及びＩＣＳ２０４を含むことができる。Ａｌｉｃｅ又はＡｌｉｃｅのクライアント２０２に起因するステップは、Ａｌｉｃｅによって操作されるコンピューティングシステムを介して手動又は自動で実行されてもよい。
【0039】
１．ユーザ１１８、Ａｌｉｃｅは、クライアントｃ、２０２を介してログインプロセスを開始することができる。
【0040】
２．Ａｌｉｃｅは、クライアント２０２のための鍵ペア（ＰＫｃ、ＳＫｃ）を生成し、乱数ＣＥＲｒａｎｄを選択する。鍵は、各ログイン操作２１０の間に一時的に選択されてもよい。
【0041】
３．クライアント２０２は、クライアント２０２の秘密鍵を用いてＣＥＲｒａｎｄに署名することによって（ＣＥＲｒａｎｄ）σＣを計算する。署名（ＳＫｃ，ＣＥＲｒａｎｄ）
【0042】
４．クライアント２０２は、ＩｄＰ２０８に送信するための認可要求を生成し、認可要求内のノンス値をＡＵＴＨ＿ｎｏｎｃｅ＝Ｈａｓｈ（ＰＫｃ、ＣＥＲｒａｎｄ、（ＣＥＲｒａｎｄ）σＣ）＝Ｈ（ＰＫｃ、ＣＥＲａｎｃ）に設定する。ＡＵＴＨ＿ｎｏｎｃｅは、ランダムに生成された値ＣＥＲｒａｎｄの２つのコピー、すなわち、クライアント２０２の秘密鍵によって署名されたものと、署名されていないものとを含む、クライアント２０２によって生成された一意に識別される値又は秘密の値とすることができる。
【0043】
５．ＩｄＰ２０８は、Ａｌｉｃｅの識別情報にアテステーションするＳＳＯ＿ｃｏｍと呼ばれる認可トークンを計算してクライアント２０２に送信する。ＩｄＰ２０８は、変更されていないＡＵＴＨ＿ｎｏｎｃｅをＳＳＯ＿ｃｏｍに含めることができ、ＡＵＴＨ＿ｎｏｎｃｅ、ＳＳＯ＿ｃｏｍ、又はその両方に署名することができる。このようにして、クライアント２０２は、信頼できるＩｄＰ２０８当局によって署名された一意に識別されるＡＵＴＨ＿ｎｏｎｃｅ値のコピーを取得する。ＩｄＰ２０８はまた、ＩｄＰによって署名され得るＳＳＯ＿ｒｅｆｒｅｓｈと呼ばれるリフレッシュトークンを返してもよい。ＳＳＯ＿ｒｅｆｒｅｓｈトークンは、以前の認可トークン（例えばＳＳＯ＿ｉｄ）が期限切れになった場合に新しい認可トークン（例えばＳＳＯ＿ｃｏｍとそれに続くＳＳＯ＿ｉｄ）を取得するためにクライアント２０２によって使われてよい。
【0044】
６．クライアント２０２は、認可トークンに基づいてＩＣＳ証明書（ＩＣＳｃｅｒｔ）を生成する。ＩＣＳｃｅｒｔは、図３に関して説明される。
【0045】
図３は、本開示の特定の実施形態に係る、ゼロ信頼認証のために構成されたシステム３００の図である。特に、図３は、仲介連帯保証部（ＩＣＳ）証明書（ＩＣＳｃｅｒｔ）３０２を示しており、これは、ターゲットシステム２０６にリモートアクセスするためのプロセスの一部としてクライアント２０２又はユーザ１１８を認証するためにクライアント２０２によって生成され得る。
【0046】
クライアント２０２は、最初にＩＣＳ証明書３０２を以下のように計算することができる。
ＩＣＳｃｅｒｔ＝（ＳＳＯ＿ｃｏｍ３０４，ＳＳＯ＿ｉｄ３０６＝ＳＳＯ＿ｃｏｍ，ＰＫｃ３０８，ＣＥＲａｎｃ３１０）。
ＳＳＯ＿ｃｏｍ３０４はＩｄＰ２０８を識別しＡｌｉｃｅの識別情報を検証する様々な情報、例えば名前、電子メール、組織、クライアント２０２によって提供されるＡＵＴＨ＿ｎｏｎｃｅを含んでよい。ＡＵＴＨ＿ｎｏｎｃｅ、ＳＳＯ＿ｃｏｍ３０４、又はその両方はＩｄＰ２０８によって署名されてもよい。したがって、クライアント２０２は、ＩｄＰ２０８によって署名されたその一意に識別するＡＵＴＨ＿ｎｏｎｃｅを使用して、クライアント２０２を一意に検証することができる。ＳＳＯ＿ｃｏｍ３０４は有効期限又は時間も含んでよい。
ＩＣＳｃｅｒｔ＝（ＳＳＯ＿ｃｏｍ３０４，ＳＳＯ＿ｉｄ３０６＝ＳＳＯ＿ｃｏｍ，ＰＫｃ３０８，ＣＥＲａｎｃ３１０）。
ＳＳＯ＿ｃｏｍ３０４はＩｄＰ２０８を識別しＡｌｉｃｅの識別情報を検証する様々な情報、例えば名前、電子メール、組織、クライアント２０２によって提供されるＡＵＴＨ＿ｎｏｎｃｅを含んでよい。ＡＵＴＨ＿ｎｏｎｃｅ、ＳＳＯ＿ｃｏｍ３０４、又はその両方はＩｄＰ２０８によって署名されてもよい。したがって、クライアント２０２は、ＩｄＰ２０８によって署名されたその一意に識別するＡＵＴＨ＿ｎｏｎｃｅを使用して、クライアント２０２を一意に検証することができる。ＳＳＯ＿ｃｏｍ３０４は有効期限又は時間も含んでよい。
【0047】
ＳＳＯ＿ｃｏｍ３０４が期限切れになると、クライアント２０２は長寿命ＳＳＯ＿ｒｅｆｒｅｓｈトークンを使って新しいＳＳＯ＿ｉｄ３０６を取得でき、ＩＣＳｃｅｒｔ３０２を更新できる。この新しい識別情報トークンＳＳＯ＿ｉｄ３０６は、ＡＵＴＨ＿ｎｏｎｃｅを有していなくてもよく、クライアント２０２の公開鍵にコミットしなくてもよい。したがって、ＳＳＯ＿ｃｏｍ３０４は、ＳＳＯ＿ｃｏｍ３０４が期限切れになった後であっても署名付きＡＵＴＨ＿ｎｏｎｃｅを用いてクライアント２０２を検証できるので、ＳＳＯ＿ｃｏｍ３０４が期限切れになった後であってもＩＣＳｃｅｒｔ３０２の一部として保持できる。図２に戻ると、ログインプロセス２１０は、クライアント２０２がＩＣＳｃｅｒｔ ３０２を生成した場所から継続することができる。
【0048】
７．クライアント２０２は、ＩＣＳｃｅｒｔをＳＹＮ（同期）メッセージでＩＣＳ２０４に送信することができる。これにより、クライアント２０２の公開鍵をＩＣＳ２０４に登録することができ、クライアント２０２の公開鍵が正しく形成されていることを確認することができる。
【0049】
８．ＳＹＮメッセージを受信した後、ＩＣＳ２０４は、以下を検証することができる。
ａ．ＳＳＯ＿ｃｏｍ及びＳＳＯ＿ｉｄ有効期限（例えば、最新の認可トークンＳＳＯ＿ｃｏｍ又はＳＳＯ＿ｉｄが依然として有効であること）；
ｂ．ＩｄＰの２０８署名。ＩＣＳ２０４は、ＩｄＰ２０８に（例えば、通信チャネル１１０を介して）連絡するか、そうでなければＩｄＰの公開鍵ＰＫＩｄＰの信頼できるコピーを取得することができ、このコピーはＩｄＰの２０８の秘密鍵又は秘密鍵ＳＫＩｄＰによって作成されたＳＳＯ＿ｃｏｍ又はＡＵＴＨ＿ｎｏｎｃｅに対する署名を検証するために使用することができる。
ｃ．ＡＵＴＨ＿ｎｏｎｃｅ＝Ｈ（ＰＫｃ，ＣＥＲａｎｃ）．ＩＣＳｃｅｒｔは、ＡＵＴＨ＿ｎｏｎｃｅが正しい値であるかどうかを検証するために使用することができる、ＰＫｃ、ＣＥＲｒａｎｄ、及び（ＣＥＲｒａｎｄ）σＣのハッシュされないバージョンを含む。クライアント２０２によって用いられるハッシュアルゴリズム、暗号スイートは、クライアント２０２とＩＣＳ２０４との間のＴＬＳ接続の確立中などに、事前に確立又は検証することができる。
ＩＣＳ２０４は、クライアント２０２からの初期ログイン又はＳＹＮメッセージのみで、各ＳＹＮメッセージで、全てのメッセージで、定期的に、又はそれらの任意の組み合わせで上記の情報を検証することができる。
ａ．ＳＳＯ＿ｃｏｍ及びＳＳＯ＿ｉｄ有効期限（例えば、最新の認可トークンＳＳＯ＿ｃｏｍ又はＳＳＯ＿ｉｄが依然として有効であること）；
ｂ．ＩｄＰの２０８署名。ＩＣＳ２０４は、ＩｄＰ２０８に（例えば、通信チャネル１１０を介して）連絡するか、そうでなければＩｄＰの公開鍵ＰＫＩｄＰの信頼できるコピーを取得することができ、このコピーはＩｄＰの２０８の秘密鍵又は秘密鍵ＳＫＩｄＰによって作成されたＳＳＯ＿ｃｏｍ又はＡＵＴＨ＿ｎｏｎｃｅに対する署名を検証するために使用することができる。
ｃ．ＡＵＴＨ＿ｎｏｎｃｅ＝Ｈ（ＰＫｃ，ＣＥＲａｎｃ）．ＩＣＳｃｅｒｔは、ＡＵＴＨ＿ｎｏｎｃｅが正しい値であるかどうかを検証するために使用することができる、ＰＫｃ、ＣＥＲｒａｎｄ、及び（ＣＥＲｒａｎｄ）σＣのハッシュされないバージョンを含む。クライアント２０２によって用いられるハッシュアルゴリズム、暗号スイートは、クライアント２０２とＩＣＳ２０４との間のＴＬＳ接続の確立中などに、事前に確立又は検証することができる。
ＩＣＳ２０４は、クライアント２０２からの初期ログイン又はＳＹＮメッセージのみで、各ＳＹＮメッセージで、全てのメッセージで、定期的に、又はそれらの任意の組み合わせで上記の情報を検証することができる。
【0050】
９．上記の情報を検証すると、ＩＣＳ２０４はクライアント２０２をログインさせることができ、ＳＹＮ／ＡＣＫメッセージをクライアント２０２に返すことができる。
【0051】
ログイン後、クライアント２０２は、接続するターゲット２０６のアドレスを識別するために、ターゲット選択動作２１２を開始することができる。ターゲット選択動作２１２は、ドメインネームシステム（ＤＮＳ）検索動作と同様に動作することができ、人間が記憶可能なターゲット２０６の名前を暗号化ターゲット２０６のＩＤにマッピングすることができる。ターゲット選択動作２１２のステップは以下を含むことができる。
【0052】
１．クライアント２０２は、ターゲット名要求をＩＣＳ２０４に送信し、特定のターゲット２０６名に関連付けられたターゲット識別子ＩＤｔを提供するようにＩＣＳ２０４に要求することができる。
【0053】
２．ＩＣＳ２０４は、ターゲット名を使用してルックアップテーブル（ＬＵＴ）にアクセスし、１つ以上の関連するターゲットＩＤ（ＩＤｔ）を見つけ、それらをクライアント２０２に返すことができる。
【0054】
クライアント２０２がターゲット２０６ＩＤを取得すると、クライアント２０２は、ターゲット２０６と通信又は対話するためのプロセス２１４を開始することができる。例えば、クライアント２０２は、ターゲット２０６上でシェルを開始又は開くことができる。シェルは、リモートでターゲット２０６のオペレーティングシステム又は他のリソースへのアクセスをクライアント２０２に与えることができる。ターゲット２０６に起因するステップ又は動作は、ターゲット２０６で実行されるエージェントプログラム又はシステム１１２によって実行されてもよい。エージェントは、ＩＣＳ２０４に関連付けられ、通信及び検証動作のためにＩＣＳ２０４と協働するように構成されたドライバ又はモジュールであってもよい。ターゲット上でシェルを開くための動作２１４のステップは以下を含むことができる。
【0055】
１．クライアント２０２は、ランダム値ｒｃを生成することができる。
【0056】
２．クライアント２０２は、ＳＹＮメッセージを生成してＩＣＳ２０４に送信し、ＳＹＮメッセージのハッシュ（例えば、ＳＹＮメッセージへのハッシュポインタ）をクライアント２０２に格納する。ＳＹＮメッセージの例示的な実施形態が図４Ａに示されている。図４Ａは、本開示の特定の実施形態に係る、ＳＹＮメッセージ４０２及びＳＹＮ／ＡＣＫメッセージ４０４を含むメッセージのセット４００Ａを示す。ＳＹＮメッセージ４０２は、「タイプ」フィールド、「アクション」フィールド、「ターゲットＩＤ」フィールド、「ランダム値」フィールド、及びＩＣＳｃｅｒｔのコピーを含み得る。タイプフィールドは、対応する「アクション」を実行するための「ハンドシェイク」動作の開始として、メッセージ４０２をＳＹＮメッセージとして識別することができる。「アクション」フィールドは、クライアント２０２が「ターゲットＩＤ」フィールドによって識別されるターゲット２０６に対してシェルを開きたいことを指定することができる。「ランダム値」フィールドは、クライアント２０２によって生成された値を含むことができ、以前のメッセージを再送信することを含むリプレイ攻撃を防止するために使用され得る。その後、ＳＹＮメッセージ４０２は、秘密鍵ＳＫｃを用いてクライアント２０２によって署名され得る。
【0057】
３．図２の「ターゲットを開く」動作２１４に戻ると、ＩＣＳ２０４は、指定されたターゲットに対してＳＹＮメッセージ４０２で要求されたアクションを行うことをクライアント２０２又はＡｌｉｃｅが認可されているかどうかをチェックし、ＳＹＮメッセージ４０２を検証することができる。例えば、ＩＣＳ２０４は、どのユーザがどのターゲット２０６に対してどのアクションを取ることを認可されているかに関するログもしくはデータベース又は認可を維持するか、又はそれらにアクセスすることができる。ＳＹＮメッセージ４０２の検証は、ログイン操作２１０中にＩＣＳ２０４によって実行されるものと同様又は同じ動作を含むことができ、有効期限のチェック、ＩＣＳｃｅｒｔのＳＳＯ＿ｃｏｍ上のＩｄＰ２０８署名の検証、又は他の動作を含むことができる。ＩＣＳ２０４は、クライアント２０２が誰であると主張しているか（例えば、ＩＣＳｃｅｒｔに基づいて）、及びクライアント２０２が要求されたターゲットにアクセスしてアクションを実行する権利を有することを検証することに焦点を合わせることができるが、メッセージ又は他のセキュリティ操作に対してクライアント２０２の署名の検証を実行することもできる。ＳＹＮメッセージ４０２が検証された場合、ＩＣＳ２０４は、ＩＣＳ２０４の秘密鍵ＳＫＩＣＳを使用してＳＹＮメッセージ４０２に署名し、署名されたメッセージをメッセージで識別されたターゲット２０６に転送することができる。幾つかの実施形態では、ＩＣＳ２０４はメッセージに署名しなくてもよく、ＩＣＳ２０４がメッセージをクリアしたことを検証するために他の資格認証情報が使用されてもよい。例えば、ＴＬＳ接続を介してメッセージを転送することは、ＩＣＳ２０４がメッセージをチェック及び認証したことを検証することができる。
【0058】
４．ターゲット２０６は、ＳＹＮメッセージ４０２を読み取って検証することができる。検証は、ＳＹＮメッセージ４０２上のＩＣＳ２０４署名又は他の資格認証情報を検証すること（例えば、メッセージが信頼できるＴＬＳ接続を介して受信されたこと）と、クライアント２０２署名を検証することと、ＳＳＯ＿ｃｏｍの詳細を検証することとを含んでよい。ターゲット２０６は、全てのメッセージに対して、全てのＳＹＮメッセージに対して、定期的に、又は他のトリガもしくは間隔に対して検証動作を実行することができる。ターゲット２０６が新しい認可トークン（例えば、ＳＳＯ＿ｃｏｍ、ＳＳＯ＿ｉｄ）に遭遇すると、ターゲットは幾つかの検証ステップを実行することができ、それは以下を含むことができる。
ａ．認可トークンの有効期限をチェックする。
ｂ．ＩｄＰ２０８署名が有効であることを確認する。これは、信頼できる送信元からＩｄＰ２０８公開鍵を取得することを含み得る。幾つかの実施形態では、ハッシュベースのメッセージ認証コード（ＨＭＡＣ）及び「なし」署名アルゴリズムは認可されない。
ｃ．チェック発行者（ＩｄＰ２０８）は信頼できる当局である。
ｄ．ユーザ１１８の確認メールが検証される。電子メール検証は、認可された組織におけるメンバーシップの証明として、又は他の目的のために使用され得る。
ｅ．ユーザ１１８の組織がターゲット２０６の組織と一致することを確認する。
ａ．認可トークンの有効期限をチェックする。
ｂ．ＩｄＰ２０８署名が有効であることを確認する。これは、信頼できる送信元からＩｄＰ２０８公開鍵を取得することを含み得る。幾つかの実施形態では、ハッシュベースのメッセージ認証コード（ＨＭＡＣ）及び「なし」署名アルゴリズムは認可されない。
ｃ．チェック発行者（ＩｄＰ２０８）は信頼できる当局である。
ｄ．ユーザ１１８の確認メールが検証される。電子メール検証は、認可された組織におけるメンバーシップの証明として、又は他の目的のために使用され得る。
ｅ．ユーザ１１８の組織がターゲット２０６の組織と一致することを確認する。
【0059】
メッセージが有効かつ認可されている場合、ターゲット２０６は、図４Ａに示すように、ランダム値ｒｔを計算し、それをＳＹＮ／ＡＣＫ（同期認可）メッセージ４０４に組み込むことができる。ターゲット２０６はまた、ＳＹＮ／ＡＣＫメッセージ４０４のハッシュ値を計算し、格納し得る。
【0060】
図４Ａに示すように、ＳＹＮ／ＡＣＫメッセージ４０４は、ＳＹＮメッセージ４０２の場合と同様に、「タイプ」、「アクション」、及び「ランダム値」フィールドを含むことができる。加えて、ターゲット２０６は、ＳＹＮメッセージ４０２のハッシュ値を計算し、それを「ＨＰｏｉｎｔｅｒ」フィールド内のＳＹＮ／ＡＣＫメッセージ４０４に含めることができる。ハッシュは、応答を対応するＳＹＮメッセージと関連付けるため、及びＳＹＮメッセージ４０２がターゲット２０６による受信前に修正されなかったことを検証するために使用され得る。ＳＹＮ／ＡＣＫメッセージ４０４はまた、「ターゲット公開鍵」フィールドを含むことができ、これを使用して、ターゲット２０６の署名を検証するためのターゲット２０６の公開鍵をクライアント２０２に提供することができる。次いで、ターゲット２０６は、ＳＹＮ／ＡＣＫメッセージ４０４に署名し、それをＩＣＳ２０４に返すことができる。
【0061】
５．再び図２に戻ると、ＩＣＳ２０４は、ターゲット２０６からＳＹＮ／ＡＣＫメッセージ４０４を受信し、それをクライアント２０２に転送することができる。
【0062】
６．クライアント２０２は、ＳＹＮ／ＡＣＫメッセージ４０４を受信することができ、クライアント２０２によって以前に格納されたＳＹＮメッセージ４０２のハッシュを、ＳＹＮ／ＡＣＫメッセージ４０４のＨＰｏｉｎｔｅｒフィールドと比較することができる。次いで、クライアント２０２は、図４Ｂに示すように、ＤＡＴＡメッセージを生成し、ＩＣＳ２０４に送信することができる。図４Ｂは、本開示の特定の実施形態に係る、ＤＡＴＡメッセージ４０６及びＤＡＴＡ／ＡＣＫ（データアクノレッジ）メッセージ４０８を含むメッセージのセット４００Ｂを示す。ＤＡＴＡメッセージ４０６は、ＳＹＮメッセージ４０２におけるように、「タイプ」、「アクション」、及び「ターゲットＩＤ」フィールド、並びにＩＣＳｃｅｒｔのコピーを含むことができる。更に、ＤＡＴＡメッセージ４０６は、幾つかのＤＡＴＡメッセージのデータペイロードを含み得る「ペイロード」フィールドを含み得るが、シェルを開くための図示のＤＡＴＡメッセージ４０６については、「ペイロード」フィールドは空であるか、又は「ヌル」値に設定され得る。ＤＡＴＡメッセージ４０６はまた、ＳＹＮ／ＡＣＫメッセージ４０４におけるように、「ＨＰｏｉｎｔｅｒ」フィールドを含むことができ、クライアント２０２は、ＳＹＮ／ＡＣＫメッセージ４０４のハッシュを取り込むことができる。クライアント２０２は、ＩＣＳ２０４に送信する前にＤＡＴＡメッセージ４０６に署名することができる。
【0063】
７．図２では、ＩＣＳ２０４は、前述したように、ＤＡＴＡメッセージを検証し、ターゲット２０６に転送することができる。ＩＣＳ２０４は、ターゲット２０６に送信する前にＤＡＴＡメッセージに署名するか、又は信頼できるチャネルに沿って送信することができる。
【0064】
８．ターゲット２０６は、前述したように、ＤＡＴＡメッセージ４０６を検証することができる。ターゲット２０６は、ＤＡＴＡメッセージ４０６のＨＰｏｉｎｔｅｒフィールド内のハッシュを、ターゲット２０６によって以前に格納されたＳＹＮ／ＡＣＫメッセージ４０４のハッシュと比較することができる。図４Ｂに示すように、ＤＡＴＡメッセージ４０６に基づいて、ターゲット２０６はシェルを開き、ＤＡＴＡ／ＡＣＫメッセージ４０８を返すことができる。ＤＡＴＡ／ＡＣＫメッセージは、他で説明されるように、「タイプ」、「アクション」、「ターゲット公開鍵」、及び「ＨＰｏｉｎｔｅｒ」フィールドを含むことができる。ＤＡＴＡ／ＡＣＫメッセージ４０８は、ターゲット２０６によって署名され、図２に示すようにＩＣＳ２０４に送信され得る。
【0065】
９．ＩＣＳ２０４は、ＤＡＴＡ／ＡＣＫメッセージ４０８をクライアント２０２に転送する。
【0066】
１０．クライアント２０２は、ＤＡＴＡ／ＡＣＫメッセージ４０８を受信し、ターゲット２０６上でシェルが開いているという状態を更新する。
【0067】
シェルを開くことは２１４に設けられた例であったが、クライアント２０２とターゲット２０６との間の他の通信チャネルを開くか又は確立することができる。例えば、シェル（例えば、シェル／入力）、ｓｓｈトンネル（例えば、ｓｓｈ／ａｄｄ－ｋｅｙｓ、ｓｓｈ／ｉｎｐｕｔ）、ｋｕｂｅｒｎｅｔｅｓクラスタとの通信（例えば、ｋｕｂｅ／ｅｘｅｃ、ｋｕｂｅ／ｒｅｓｔａｐｉ、ｋｕｂｅ／ｓｔｒｅａｍ）、ファイルアップロード／ダウンロード（例えば、ファイル／アップロード、ファイル／ダウンロード）、ゲートウェイもしくはジャンプサーバの一種としてターゲット２０６を使用してクライアント２０２から他のマシンに接続することを含む、他のウェブサイト及びデータベースプロキシ、又は他の接続もしくは動作。
【0068】
ＯｐｅｎＳｈｅｌｌの例を続けると、シェルが開かれると、クライアント２０２は、以下に説明するように、シェル通信動作２１６を開始することができる。
【0069】
１．クライアント２０２は、新しいランダム値ｒｃを生成することができる。
【0070】
２．クライアント２０２は、ＳＹＮメッセージ４０２を生成し、ＩＣＳ２０４に送信する。しかしながら、「アクション」フィールドに「ＯｐｅｎＳｈｅｌｌ」が読み込まれるのではなく、現在のＳＹＮメッセージ４０２は、「ＳｈｅｌｌＩｎｐｕｔ」のアクションフィールドを有することができる。
【0071】
３．ＩＣＳ２０４は、クライアント２０２が指定されたターゲット２０６に対して指定されたアクションを実行することを認可されているかどうかをチェックし、ＳＹＮメッセージ４０２を検証する。ＳＹＮメッセージ４０２は、ＩＣＳ２０４によって署名又は他の方法で認証され、ターゲット２０６に送信され得る。
【0072】
４．ターゲット２０６は、ＳＹＮメッセージ４０２を読み取って検証することができる。メッセージ４０２が有効かつ認可されている場合、ターゲット２０６は、ランダム値ｒｔを計算し、その値をＳＹＮ／ＡＣＫメッセージ４０４に含めることができる。ターゲット２０６はまた、前述したように、ＳＹＮ／ＡＣＫメッセージ４０４のハッシュを格納し得る。ＳＹＮ／ＡＣＫメッセージは、ＩＣＳ２０４に送信され、クライアント２０２に転送され得る。
【0073】
５．シェルを起動するプロセスを既に完了しているクライアント２０２は、シェルがターゲット２０６上で開いており、クライアント２０２が入力の送信を開始できることを知っている。クライアント２０２は、図５に示すように、ＤＡＴＡメッセージをＩＣＳ２０４に送信する。図５は、本開示の特定の実施形態に係る、ＤＡＴＡメッセージ５０６及びＤＡＴＡ／ＡＣＫメッセージ５０８を含むメッセージ５００のセットを示す。図５のＤＡＴＡメッセージ５０６は、図４のＤＡＴＡメッセージ４０６と同じフィールドを有し得る。しかしながら、ＤＡＴＡメッセージ５０６は、現在のアクションを「ＳｈｅｌｌＩｎｐｕｔ」として指定する「アクション」フィールドを含むことができ、「ペイロード」フィールドは、クライアント２０２からターゲット２０６に送信するために「Ｈ」として指定されるデータコンテンツを有することができる。例えば、データコンテンツ「Ｈ」は、格納、クエリ、キーストローク、又は他のデータブロブ（バイナリラージオブジェクト）を含むことができる。
【0074】
６．図２のシェル通信２１６に戻ると、ＩＣＳ２０４は、ＤＡＴＡメッセージ５０６を検証、署名又は認証し、ターゲット２０６に転送することができる。
【0075】
７．ターゲット２０６は、ＤＡＴＡメッセージ５０６を検証及び読み取り、ペイロードを正しいシェルに転送することができる。ターゲット２０６は、図５に示すように、ＤＡＴＡ／ＡＣＫメッセージ５０８を生成及び返信することができる。ＤＡＴＡ／ＡＣＫメッセージ５０８は、受信されたＤＡＴＡメッセージ５０６のハッシュでポピュレートされたＨＰｏｉｎｔｅｒフィールドを有し得る。幾つかの例では、ＤＡＴＡ／ＡＣＫメッセージ５０６は、「ペイロード」フィールド（図示せず）も含み得る。ＤＡＴＡ／ＡＣＫメッセージ５０６は、ＩＣＳ２０４によって受信され、クライアント２０２に転送され得る。
【0076】
８．クライアント２０２は、上記のステップ５から開始して、入力を送信し続けることができる。
【0077】
ここで図６を参照すると、本開示の特定の実施形態に係る、ゼロ信頼認証のために構成されたシステムの流れ図６００が示されている。図６００は、シェル開始操作２１４及びシェル入力操作２１６を含むことができ、これらはそれぞれ図２のターゲット操作２１４及びシェル通信操作２１６上の開いたシェルに対応することができる。シェル開始２１４及びシェル入力２１６の動作は、図４Ａ、図４Ｂ、及び図５に関連して図示及び説明したように、一連のＳＹＮメッセージ４０２、ＳＹＮ／ＡＣＫメッセージ４０４、ＤＡＴＡメッセージ４０６及び５０６、並びにＤＡＴＡ／ＡＣＫメッセージ４０８及び５０８を含むことができる。簡潔さ及び明瞭さのために、ＩＣＳ２０４によって実行される検証及び転送、並びにメッセージに含まれる幾つかのフィールドは、図６００では省略され得る。シェルとの全ての通信は、クライアントによって開始され得る。
【0078】
矢印６０２は、前のメッセージの全部又は一部のハッシュを示し、後続のメッセージ内のフィールドにハッシュを格納することができる。例えば、署名を除く以前のメッセージの全てをハッシュして応答メッセージに含めることができる。メッセージの一部の周りの太いアウトラインは、後続のメッセージにハッシュされ得るフィールドを示し得る。以前のメッセージのこのハッシュは、通信チェーンにおけるあるポイント６１２の後のリプレイ攻撃を防止することができる。
【0079】
シェル２１４を開始することは、通常のシェル入力２１６を送信することと比較して、４つのメッセージの別個のセットを必要とする場合がある。シェル２１４を起動することは、クライアント２０２の署名を必要とし得る特定のアクションの一例であってもよく、したがって、ＳＳＨトンネルを開くことと同様であり得る。これは、クライアント２０２の署名なしにＩＣＳ２０４によって実行され得るシェルを閉じることとは類似しない場合がある。
【0080】
入力２１６をターゲット２０６に送信するクライアント２０２は、最初の２メッセージハンドシェイクを含むことができ、その後無期限に継続することができるが、単一のクライアント２０２は、ログアウト時又は所定の期間後に期限切れになる有効なＩＣＳ証明書を有する必要があり得る。コマンド又はデータをシェルに送信することは、任意のユーザがそれと対話するための既存のシェルが存在する必要があり得るので、シェル／添付／＜ｉｄ＞アクションの使用を含み得る。
【0081】
シェル添付ファイル６０４は、ユーザが第一のクライアント（ｃ）でログインしてシェルを開き、第２のクライアント（ｃ´）で同時にログインしてもなおターゲット２０６によって受け入れられるコマンドを有することができるプロセスであってもよい。シェル添付６０４は、以下の例示的なシーケンスによって実行することができる。
【0082】
１．Ａｌｉｃｅは新しいクライアントｃ´にログインし、異なるクライアントｃを介して開かれた同じシェルにアクセスしようとしている。ｃ´のログインプロセスは、図２に関して説明したログインプロセス２１０と、ｃ´のＩＣＳ証明書（ＩＣＳｃｅｒｔｃ´）を取得することとを含むことができる。クライアントｃ´はまた、ターゲット選択動作２１２を実行することができる。
【0083】
２．クライアントｃ´は、新しいランダム値ｒｃ´を生成することができる。
【0084】
３．クライアントｃ´は、ＳＹＮメッセージ６０６をＩＣＳ２０４に送信する。
【0085】
４．ＩＣＳ２０４は、Ａｌｉｃｅが指定されたターゲット２０６に対してこのアクションを行うことを認可されているかどうかをチェックし、ＳＹＮメッセージ６０６を検証してターゲット２０６に転送する。
【0086】
５．ターゲット２０６は、ＳＹＮメッセージ６０６を読み取り、検証し、例えばユーザＩＤ又は他の情報に基づいて、新しいクライアントｃ´と以前のクライアントｃ及びその関連するシェル入力シーケンス２１６との間の関連付けを判定することができる。ターゲット２０６は、新しいクライアントｃ´のためのＳＹＮメッセージ６０６に対するＳＹＮ／ＡＣＫメッセージ６０８を生成することができる。しかしながら、ターゲット２０６は、ＳＹＮ／ＡＣＫメッセージのために通常生成する乱数（ｒｔ）の代わりに、代わりに、チェーン内の前のＤＡＴＡ／ＡＣＫメッセージ５０８のハッシュを計算し得る（６０７）。このハッシュポインタ６０７は、初期ＳＹＮ６０６、ＳＹＮ／ＡＣＫ６０８交換におけるランダム性に起因する再生不可能性を依然として保証しながら、（例えば、ＩＣＳ２０４において）不変ログの継続を可能にし得る。ＳＹＮ／ＡＣＫメッセージ６０８は、ＩＣＳ２０４を通ってクライアントｃ´に返され得る。
【0087】
６．クライアントｃ´を介して接続されたＡｌｉｃｅは、更なるＤＡＴＡ５０６及びＤＡＴＡ／ＡＣＫ５０８メッセージを介して、上記の「シェル入力」セクションで指示されたコマンドを実行することができる。
【0088】
幾つかの実施形態では、新しいクライアントと接続すると、以前に接続したクライアントを切断することができる。図６の例では、ターゲット２０６がクライアントｃ´に対してＳＹＮメッセージ６０６及び生成されたＳＹＮ／ＡＣＫメッセージ６０８を受信した後に、クライアントｃ２０２が新しいＤＡＴＡメッセージ６１０を発行すると、ターゲット２０６はＤＡＴＡ／ＡＣＫメッセージ６１４内で「ＥＲＲＯＲ」応答を発行することができる。例えば、ＤＡＴＡメッセージ６１０に含まれるハッシュは、ターゲット２０６の最後に発行されたＤＡＴＡ／ＡＣＫメッセージ６０８に対応しない場合があり、その結果、ＤＡＴＡメッセージ６１０は認識されない。図１及び図２の作用部によって実行される方法は、以下の図に関してより詳細に説明される。
【0089】
図７は、本開示の特定の実施形態に係る、ゼロ信頼認証のための方法７００の一例のフローチャートを示す。特に、方法７００は、認証通信中にクライアントを認証するために仲介連帯保証部（ＩＣＳ）証明書を生成及び使用するためのプロセスの一例を含み得る。方法７００は、図１のクライアント１０２又は図２のクライアント２０２などのクライアントシステムによって実行することができる。
【0090】
７０２において、方法７００は、クライアントｃのためのログインプロセスを開始することを含むことができる。これは、図２のログインプロセス２１０に対応することができ、クライアント２０２は、識別情報プロバイダ（ＩｄＰ）２０８から取得された認可トークンを使用して仲介連帯保証部２０４にログインすることを望む。
【0091】
方法７００は、７０４において、秘密又は秘密鍵（ＳＫＣ）及び公開鍵（ＰＫＣ）を含む、クライアントのための鍵ペアを生成又は検索するステップを含むことができる。７０６において、方法７００は、クライアントＣＥＲｒａｎｄのための乱数を生成するステップを含むことができ、これは最終認可トークンにおいてクライアントを一意に識別するのに役立つ。方法７００は、７０８において、署名付きランダム値（ＣＥＲｒａｎｄ）σＣを生成するために、クライアントの秘密鍵ＳＫＣを用いて乱数ＣＥＲｒａｎｄに署名するステップを含むことができる。
【0092】
７１０において、方法７００は、ＣＥＲｒａｎｄ、（ＣＥＲｒａｎｄ）σＣ、及びクライアントの公開鍵ＰＫＣを一緒にハッシュすることによって、認可要求ＡＵＴＨ＿ｎｏｎｃｅのためのノンス値を設定するステップを含むことができる。なお、付帯証明書情報に関して、ＣＥＲｒａｎｄと（ＣＥＲｒａｎｄ）σＣとの組み合わせをまとめてＣＥＲａｎｃと称する場合がある。したがって、ＡＵＴＨ＿ｎｏｎｃｅは、Ｈａｓｈ（ＰＫＣ、ＣＥＲａｎｃ）に設定することができる。暗号では、ノンスは、暗号通信で１回だけ使用できる任意の数であってもよい。幾つかのＩｄＰ認可動作では、クライアントはログイン要求中にノンスとしてランダムに生成された値を提供するだけでよく、ＩｄＰは認可トークンの一部として署名して返すことができる。しかしながら、クライアントの公開鍵と共にランダム値ＣＥＲｒａｎｄをハッシュすることによって、クライアントは、クライアントを依然として個人的に識別するランダム値を生成することができ、そのランダム値はＩｄＰ当局によって署名される。このようにして、クライアントは、認可要求に必要なランダム性を提供しながら、信頼できるＩｄＰによって検証及び署名された個人識別値を取得することができる。
【0093】
ＡＵＴＨ＿ｎｏｎｃｅを生成した後、クライアントは、７１２において、ＩｄＰが認可トークンを提供するために必要とし得る他の識別基準と共に、認可要求においてそれをＩｄＰに送信することができる。７１４において、方法７００は、ＩｄＰによって署名された変更されていないＡＵＴＨ＿ｎｏｎｃｅを含む認可トークン（例えば、ＳＳＯ＿ｃｏｍ）を受信するステップを含むことができる。
【0094】
７１６において、方法７００は、署名されたＡＵＴＨ＿ｎｏｎｃｅを有するＳＳＯ＿ｃｏｍ、クライアントの公開鍵のコピー、及びＣＥＲａｎｃのコピーを含むＩＣＳ証明書を生成することを含み得る。７１８において、クライアントの公開鍵を登録し、署名されたＡＵＴＨ＿ｎｏｎｃｅを介してクライアントの識別を検証するために、ＩＣＳ証明書をＩＣＳに提供することができる。クライアントの識別情報は、ＩｄＰの公開鍵のコピー、クライアントの公開鍵のコピー、及びＣＥＲａｎｃのハッシュされないコピーを使用して検証することができる。このようにして、クライアントはＩＣＳにログインすることができ、ＩＣＳを介して保護されたターゲットにアクセスすることができる。署名されたＡＵＴＨ＿ｎｏｎｃｅを有するクライアントのＩＣＳ証明書は、７２０において、ＩＣＳ又はターゲットに対してクライアントを認証するための将来の通信に含まれ得る。方法７００はまた、クライアントの秘密鍵を用いて将来のメッセージに署名することを含むことができる。ＩＣＳの観点からクライアントを検証する方法が、図８に関して説明される。
【0095】
図８は、本開示の特定の実施形態に係る、ゼロ信頼認証のための方法８００の一例のフローチャートを示す。特に、方法８００は、認証通信中にクライアント通信の信頼性及び仲介連帯保証部（ＩＣＳ）における対応するユーザの識別情報を検証するためのプロセスの一例を含み得る。方法８００は、図１のＩＣＳ１０４又は図２のＩＣＳ２０４などのＩＣＳシステムによって実行することができる。
【0096】
方法８００は、８０２において、ＩＣＳでクライアントメッセージを受信することを含むことができる。メッセージは、ＩＣＳにログインするか、指定されたターゲットに対してシェルを開くか、又は既に開いているシェル上でシェル入力又は通信を開始することを要求する、クライアントからのＳＹＮメッセージを含むことができる。幾つかの実施形態では、メッセージは、ＤＡＴＡメッセージ、又はクライアントからＩＣＳへの他の任意の通信を含むことができる。
【0097】
方法８００は、８０４において、メッセージからＩＣＳ証明書（ＩＣＳｃｅｒｔ）を抽出することと、８０６において、ＩＣＳｃｅｒｔ内の最新の認可トークン（例えば、ＳＳＯ＿ｃｏｍ又はＳＳＯ＿ｉｄ）の有効期限を検証することとを含むことができる。８０８において、方法８００は、認可トークン上の識別情報プロバイダ（ＩｄＰ）署名を検証するステップを含むことができ、その署名は、認可トークン全体、トークン内のＡＵＴＨ＿ｎｏｎｃｅ、又はそれらの組み合わせに署名するために使用されている可能性がある。ＩＣＳは、署名を検証するために、信頼できる送信元からＩｄＰの公開鍵のコピーを取得することができる。８１０において、方法８００は、ＩＣＳｃｅｒｔで提供された情報に基づいて、図７に関して説明したように、認可トークンからのＡＵＴＨ＿ｎｏｎｃｅがハッシュ（ＰＫＣ、ＣＥＲａｎｃ）に設定されていることを検証することを含み得る。
【0098】
８１２において、全ての検証動作が成功したかどうかの判定を行うことができ、成功とは、クライアントメッセージが検証及び認証されたことを示す。成功しない場合、方法８００は、８１４においてエラーを発行することと、８２０においてＩＣＳにおいて不変ログを更新することとを含むことができる。発行されたエラーは、ログにエラーを格納すること、メッセージを送信したクライアントにエラーメッセージを発行すること、メッセージで指定されたターゲットにエラーを発行すること、他の方法でエラーを発行すること、又はそれらの任意の組み合わせを含むことができる。
【0099】
８１２において、全ての検証が成功したと判定された場合、方法８００は、８１６において、ＩＣＳの秘密鍵又は秘密鍵ＳＫＩＣＳでメッセージに署名することを含むことができる。或いは、ＩＣＳはメッセージに署名しなくてもよく、代わりに、確立された信頼できるＴＬＳ接続を介してメッセージを転送することなどによって、他の方法でメッセージの認証を提供してもよい。メッセージは、８１８において、メッセージで指定されたターゲットに転送され得る。ＩＣＳがメッセージに署名する実施形態では、ＩＣＳは、メッセージと共に、又はメッセージとは別に、ＩＣＳの公開鍵ＰＫＩＣＳのコピーをターゲットに提供することができる。クライアントとＩＣＳの両方からの署名を含むメッセージを提供することにより、ターゲットは暗号化を必要とせずに認証を実行することができる。メッセージを転送した後、方法８００は、８２０において、不変ログを更新することを含むことができる。
【0100】
メッセージがログイン要求であった実施形態では、８１６及び８１８において、メッセージに署名してＩＣＳからターゲットに転送するのではなく、方法８００は、クライアントにログインし、ログインが成功したことを示すＳＹＮ／ＡＣＫメッセージをクライアントに返送することを含むことができる。この方法は、８２０において、ログを更新することを更に含み得る。ターゲットシステムによって実行される認証の方法は、図９に関して説明される。
【0101】
図９は、本開示の特定の実施形態に係る、ゼロ信頼認証のための方法９００の一例のフローチャートを示す。特に、方法９００は、メッセージに含まれる任意のコマンドを実行する前に、ターゲットにおいて受信されたメッセージに対して認証を実行するためのプロセスの一例を含み得る。方法９００は、図１のターゲット１０又は図２の２０６などのターゲットシステムによって、又は図１のエージェント１１２などのターゲットにインストールされた、又はターゲットによって実行されるエージェントプログラム又はドライバによって実行することができる。
【0102】
方法９００は、９０２において、ターゲットにおいて仲介連帯保証部（ＩＣＳ）からメッセージを受信することを含み得る。メッセージは、メッセージを最初に送信したクライアントシステムによって署名されてもよく、必要に応じて、メッセージをターゲットに転送する前にメッセージの信頼性を検証したＩＣＳによって署名されてもよい。メッセージは、例えば、署名当事者の秘密鍵を使用して署名されてもよく、その署名は、対応する公開鍵を使用して検証されてもよい。幾つかの実施形態では、ＩＣＳは、ＴＬＳ ＷｅｂＳｏｃｋｅｔ接続を介してメッセージを転送することなどによって、他の方法でメッセージを認証することができる。
【0103】
方法９００は、９０４において、メッセージに対するＩＣＳ署名又は他の認証を検証することと、９０６において、メッセージからＩＣＳ証明書（ＩＣＳｃｅｒｔ）を抽出することとを含むことができる。９０８において、ＩＣＳｃｅｒｔ内の認可トークン（例えば、ＳＳＯ＿ｃｏｍ及びＳＳＯ＿ｉｄ）の有効期限又は日付を検証することができ、９１０において、識別情報プロバイダ（ＩｄＰ）の識別情報及び署名も認可トークンから検証することができる。９１２において、方法９００は、ＩｄＰによってそれ自体署名された認可トークンに含まれる、例えば署名されたランダム値（ＣＥＲｒａｎｄ）σＣから、クライアント署名を検証するステップを含むことができる。方法９００はまた、クライアントの電子メール、組織、及びクライアントがターゲットでアクションを実行する認可を有するかどうか、又はどの程度まで有するかを示すことができる他の基準を検証することを含むことができる。例えば、クライアントと関連付けられたユーザは、ターゲットにアクセスするための正しい組織のメンバであってもよいが、メッセージで要求された動作を実行するのに十分なクリアランスを有していなくてもよい。クライアント情報を検証することは、メッセージに含まれる詳細をターゲットにアクセス可能なルックアップテーブル又は同様のシステムと比較することを含むことができ、又はメッセージ自体が他の全ての検証を通過した場合、メッセージ内の詳細は信頼できるものとして受け入れられることができる（例えば、９０４におけるＩＣＳ認証、９０８における有効期限検証、９１０におけるＩｄＰ署名、及び９１２におけるクライアント署名）。メッセージが検証されると、アクセス権テーブルでクライアントを検索することによって、アクセス権を判定及び検証することができる。
【0104】
９１６において、全ての検証が成功したかどうかの判定を行うことができ、成功とは、メッセージ内の全ての資格認証情報及び署名が検証され、クライアントがメッセージで指定された任意の動作を実行することを認可されたことを示す。成功しない場合、方法９００は、９１８においてエラーを発行するステップと、９２２においてＩＣＳに応答を返すステップとを含むことができる。エラーを発行することは、ＩＣＳにメッセージを返すこと、クライアントに返されるメッセージを送信すること、ターゲットにログエントリを作成すること、又は任意の他のエラーインジケータを発行することを含むことができる。
【0105】
９１６において、全ての検証が成功したと判定された場合、方法９００は、９２０において、メッセージを処理することと、９２２において、ＩＣＳに応答を返すこととを含むことができる。メッセージを処理することは、データベースへの情報の入力、データの検索及び返送、プロセスの開始、又は任意の他の動作など、メッセージからのデータに基づいて動作又は計算を実行することを含むことができる。図２、図７、図８、及び図９に示すような、ゼロ信頼認証のための動作を実行するために使用され得るコンピューティングシステムの一例が図１０に示されている。
【0106】
図１０は、本開示の特定の実施形態に係る、ゼロ信頼認証のために構成されたシステム１０００の図である。特に、図１０は、コンピュータシステム１００２を示し、これは、クライアント１０２、仲介連帯保証部１０４、ターゲット１０６、又は識別情報プロバイダ１０８、並びに関連するプロセス及び方法の動作を実行するために使用され得る任意のコンピューティングシステムの一例であり得る。コンピューティングシステム１００２は、処理システム１００４、通信インタフェース１００６、及びユーザインタフェース１００８を含むことができる。コンピューティングシステム１００２は、明確にするために示されていないバッテリ及びエンクロージャなどの他の構成要素を含むことができる。コンピューティングシステム１００２は、１つ以上のサーバコンピューティングシステム、デスクトップコンピューティングシステム、ラップトップコンピューティングシステム、スマートフォンデバイス、又は任意の他のコンピューティングシステムを、それらの組み合わせを含めて、備えることができる。
【0107】
通信インタフェース１００６は、ネットワークカード、ポート、無線周波数（ＲＦ）、処理回路及びソフトウェア、又は他の何らかの通信デバイスなどの通信リンクを介して通信する構成要素を備えることができる。通信インタフェース１００６は、金属、無線、又は光リンクを介して通信するように構成することができる。通信インタフェース１００６は、時分割多重（ＴＤＭ）、インターネットプロトコル（ＩＰ）、イーサネット、光ネットワーキング、無線プロトコル、通信シグナリング、他の通信フォーマット、又はそれらの任意の組み合わせを使用するように構成されてもよい。特に、通信インタフェース１００６は、ネットワークを介してクライアントシステム１０２、識別情報プロバイダ１０８、仲介連帯保証部１０４、及びターゲットシステム１０６と通信するように構成されてもよい。
【0108】
ユーザインタフェース１００８は、ユーザ入力を受信し、メディア又は他の情報を提示するためにユーザと対話する構成要素を備えることができる。ユーザインタフェース１００８は、ディスプレイスクリーン、タッチスクリーン、タッチパッド、キーボード、ボタン、スピーカ、マイクロフォン、ポインタデバイスもしくはインタフェース、通信ポート、他のユーザ入出力装置、又はそれらの任意の組み合わせを含むことができる。
【0109】
処理システム１００４は、通信インタフェース１００６及びユーザインタフェース１００８にリンクされてもよい。処理システム１００４は、処理回路１０１０及びメモリデバイス１０１２を含むことができる。メモリデバイス１０１２は、実行可能命令又は他のオペレーティングソフトウェア１０１６、及びログ、テーブル、データベース、又は他の記憶された情報１０１４を記憶することができる。
【0110】
処理回路１０１０は、メモリデバイス１０１２から命令１０１６を取り出して実行することができるマイクロプロセッサ及び他の回路を備えることができる。メモリ１０１２は、ディスクドライブもしくはソリッドステートドライブなどの不揮発性データ記憶媒体、又はランダムアクセスメモリ（ＲＡＭ）及びダイナミックＲＡＭ（ＤＲＡＭ）などの揮発性メモリ、又は任意の他のメモリデバイスを含むことができる。処理回路１０１０は、メモリデバイス１０１２並びに通信インタフェース１００６及びユーザインタフェース１００８の一部も保持することができる回路基板上に実装することができる。
【0111】
実行可能命令１０１６は、コンピュータプログラム、ファームウェア、又は何らかの他の形態の機械可読処理命令を含むことができる。実行可能命令１０１６は、認可モジュール１０１８及び通信モジュール１０２０を含むことができるが、関連する動作は、複数の異なるモジュール又はプログラムによって処理されてもよく、追加のモジュールが実行可能命令１０１６に含まれてもよい。実行可能命令１０１６は、オペレーティングシステム、ユーティリティ、ドライバ、ネットワークインタフェース、アプリケーション、又は何らかの他のタイプのソフトウェアを更に含むことができる。処理回路１０１０によって実行されると、実行可能命令１０１６は、本明細書で説明するようにコンピューティングシステム１００２を動作させるように処理システム１００４に指示することができる。
【0112】
認可モジュール１０１８は、ターゲットにアクセスするための認可を取得するための、又はターゲットと通信するための要求の信頼性を検証するための命令のセットであり得る。例えば、コンピューティングシステム１００２がクライアントシステム１０２に相当する場合、認証モジュール１０１８は、方法７００を実行してＩＣＳ証明書を生成し、ＩＣＳにログインするための命令、又は図２のクライアント２０２がターゲット２０６にアクセスして通信するために示されるプロセスを含むことができる。コンピューティングシステム１００２がＩＣＳ１０４に相当する場合、認可モジュール１０１８は、ポリシールール１１６を含むことができ、クライアントメッセージを認可するための方法８００、又は図２のＩＣＳ２０４に示されているプロセスを含むことができる。コンピューティングシステム１００２がターゲット１０６に相当する場合、認可モジュール１０１８は、エージェント１１２のコードを含むことができ、ＩＣＳ１０４から受信されたクライアントメッセージを認可するための方法９００、又は図２のターゲット２０６について示されたプロセスを含むことができる。
【0113】
通信モジュール１０２０は、図２のメッセージの送受信に関与する通信プロトコルのための命令セットを含むことができる。命令は、送受信する一連のメッセージ、並びに図４Ａ、図４Ｂ、図５、及び図６に示すようなメッセージのフォーマットを含むことができる。例えば、通信モジュール１０２０は、各フィールドにどのデータを取り込むか、及び通信インタフェース１００６を介して指定されたＩＣＳにＳＹＮメッセージを送信する命令を含む、ＳＹＮメッセージ４０２を作成する方法についてクライアントシステムの処理回路１０１０に指示することができる。
【0114】
ログ１０１４は、システム１００２の記憶されたデータを表すことができる。クライアントシステム２０２の一例では、ログ１０１４は、クライアント公開鍵及び秘密鍵、ＩＣＳ証明書のコピー、並びにクライアントシステム２０２によって送信される次のメッセージに挿入するために必要とされ得る最後に受信したＡＣＫメッセージのハッシュなどの情報を含むことができる。ＩＣＳの一例では、ログ１０１４は、クライアントシステムとターゲットとの間の送信又はトランザクション履歴の不変のログを含むことができ、ＩＣＳは、既存のエントリに追加するが、既存のエントリを修正又は削除することができないように構成することができる。ＩＣＳログ１０１４はまた、ＩＣＳの公開鍵及び秘密鍵、認識されたＩｄＰの秘密鍵、サポートされているターゲットへの異なるユーザのアクセス認可、又は他の情報などの情報を含むことができる。ターゲットシステムの一例では、ログ１０１４は、ターゲットの公開鍵及び秘密鍵、信頼できるＩｄＰ及びＩＣＳ公開鍵、メッセージ又はアクセスログ、ユーザアクセス認可、又は他のデータを含むことができる。
【0115】
本明細書に記載の実施形態の例示は、様々な実施形態の構造の一般的な理解を提供することを意図している。例示は、本明細書に記載の構造又は方法を利用する装置及びシステムの要素及び特徴の全ての完全な説明として役立つことを意図するものではない。多くの他の実施形態は、本開示を検討すれば当業者には明らかである。本開示の範囲から逸脱することなく構造的及び論理的な置換及び変更を行うことができるように、本開示から他の実施形態を利用及び導出することができる。更に、特定の実施形態を本明細書で図示及び説明したが、同じ又は同様の目的を達成するように設計された任意の後続の構成が、示された特定の実施形態の代わりに使用されてもよいことを理解すべきである。
【0116】
本開示は、様々な実施形態のありとあらゆるその後の適合又は変形を網羅することを意図している。上記の実施形態の組み合わせ、及び本明細書に具体的に記載されていない他の実施形態は、説明を検討すれば当業者には明らかである。フローチャートに示されたステップは、任意選択的に、除外され、追加され、異なる順序で実行され、又は示されたものとは異なる並行度で実行されてもよい（例えば、順次として示されるステップは、同時に実行されてもよい）。更に、図は単に代表的なものであり、縮尺通りに描かれていない場合がある。例示内の特定の割合は誇張されている場合があり、他の割合は低減されている場合がある。したがって、本開示及び図面は例示的なものであり、限定的なものではないとみなされるべきである。
【図1】
【図2】
【図3】
【図4A】
【図4B】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【国際調査報告】