JP3673660B2

JP3673660B2 - 遠隔管理システム

Info

Publication number: JP3673660B2
Application number: JP33193998A
Authority: JP
Inventors: 啓洋横井
Original assignee: 日本電気エンジニアリング株式会社
Priority date: 1998-11-06
Filing date: 1998-11-06
Publication date: 2005-07-20
Anticipated expiration: 2018-11-06
Also published as: JP2000151604A

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネット等のオープンな（開放された）外部ネットワークを介して、遠隔地より遠隔操作しながら、ユーザ側ネットワークに接続された機器の保守、管理等を行う遠隔管理システムに関し、特に保守サービスを必要とするプリンタ、コピー機等の状態監視に特に有効な遠隔管理システムに関する。
【０００２】
【従来の技術】
この種の遠隔管理システムの従来技術は、例えば、特開平９−１３４２９７号公報の「遠隔管理システム」及び特開平８−３１４８３５号公報の「被サービス装置、センサー装置、サービス装置及び遠隔操作システム」に開示されている。
【０００３】
前者は、ファイアウォール等のセキュリティチェックをパスし、且つ経済的な簡便な遠隔管理システムを提供することを目的とする。管理会社ＳＮＭＰ（Simple Network Management Protocol ）マネージャは、ユーザ側ＳＮＭＰマネージャの管理情報のうち所定の管理情報を指定し、指定した管理情報をもとに電子メール用の文字列からなるテキストを生成し、電子メールにより要求する管理情報をユーザ側ＳＮＭＰマネージャへ送信する。
【０００４】
ユーザ側ＳＮＭＰマネージャは、受信した電子メールを解析し、ネットワークの管理インタフェースを起動させ、必要な管理情報を収集し、収集した管理情報を電子メール用の文字列からテキストに変換し、管理会社ＳＮＭＰマネージャへ電子メールを介して送信する。管理会社ＳＮＭＰマネージャは、受信した管理情報をもとに、ユーザ側のネットワークの遠隔監視、遠隔メンテナンスを行う。
【０００５】
後者は、遠隔操作を行う際に、セキュリティ確保の為に、特に認証サーバを利用する場合の事例を示す。即ち、互いにファイアウォールが設置されている内部ネットワークに接続されたサービス装置と被サービス装置との間で遠隔操作を実施できるようにすることを目的とする。
【０００６】
被サービス装置は、ユーザ側ネットワーク及びファイアウォールを介して遠隔保守／操作センタ装置とコネクションＡを確立する。次に、被サービス装置は、このコネクションＡを介して遠隔保守／操作センタ装置にセキュリティ・チェック情報を送信する。
【０００７】
遠隔保守／操作センタ装置は、このセキュリティ・チェック情報を、ユーザ認証用データベースを検索してチェックし、被サービス装置が契約先のユーザのものであると確認した場合には、自社ネットワークを介してサービス装置と、コネクションBを確立する。これにより、サービス装置は、コネクションＡとコネクションBによって構成される論理的なパスを介して、被サービス装置を遠隔保守／操作ができるようにする。
【０００８】
【発明が解決しようとする課題】
しかし、従来の遠隔管理システムには、いくつかの問題点があった。先ず第１に、インターネット専用線だけで接続されたローカルネットワークとは異なり、その転送には多くのネットワークサーバ装置を経由し、所謂バケツリレー方式で電子メールが送られて行くので、これらサーバ装置間のルーティング情報は一定とならず、その時点での各ネットワークの稼動状態、トラフィック状態等により変化する。いつどこに悪意を持つ者が存在するか判らない状況である。従ってローカルネットワーク環境からインターネット等の不特定多数のユーザが接続する環境を介してユーザ側ローカルなネットワーク環境に接続されるとき、上述の如き外部環境を経由して送信される電子メールは、その内容がいつどこで盗み見されたり改ざんされるか判らない。
【０００９】
また、認証サーバが設置されても、一且認証情報であるパスワード等が漏洩又は解析されると、認証の意義がなくなる欠点がある。また、このような方法で不正アクセスがあった場合、認証サーバはパスしてしまうので、管理者は不正アクセルに気付かないことが多く被害が大きくなる可能性がある。従って、ユーザ認証サーバを設置し、論理パスによって外部装置と接続する場合であっても、上述した盗み見、（漏洩）や改ざんの危険性が残る。
【００１０】
そこで、本発明の目的は、電子メールにより遠隔装置と通信及び制御する場合に、電子メールに含まれる情報の漏洩や改ざん悪用等の危険性を低減すると共に、仮に不正なアクセスや改ざん等があった場合でも、それを直ちに検出し、管理者に警告及び対策を促すことが可能な遠隔管理システムを提供することにある。
【００１１】
【課題を解決するための手段】
前述の課題を解決するため、本発明による遠隔管理システムは、次のような特徴的な構成を採用している。
【００１２】
（１）インターネットを介して接続された遠隔機器を遠隔制御する遠隔管理システムにおいて、
インターネットを使用してエージェントとマネージャ間で、前記遠隔機器に割り当てられている電子メールを介して遠隔機器間通信するに際し、管理者による初期登録及びパスワード１設定を行い、前記マネージャが前記パスワード１を使用して送信要求し、前記エージェントは前記送信要求を受信し、前記パスワード１を照合してパスワード２を新しく生成し、前記マネージャは、応答メッセージを受信して前記パスワード１及び２の相違を確認し、パスワード２を保存し、順次新しいパスワードに更新することにより通信のセキュリティを向上させた遠隔管理システム。
【００１３】
（２）前記パスワードは、前記電子メールのメッセージのサムチェック値を基にして暗号化する上記（１）の遠隔管理システム。
【００１４】
（３）前記パスワード及びサムチェックの不一致は、管理者にアラームで知らせる上記（１）又は（２）の遠隔管理システム。
【００１５】
（４）前記暗号解読に必要なキーワードを通信毎に変化させる上記（２）の遠隔管理システム。
【００１７】
【発明の実施の形態】
以下、本発明の遠隔管理システムの好適実施形態例を添付図を参照して詳細に説明する。
【００１８】
先ず、図１は、本発明の遠隔管理システムが適用可能なネットワークの構成図である。このネットワークは、管理会社ローカルネットワーク（ＬＡＮ）１０と、ユーザネットワーク２０と、これら両ネットワーク１０、２０間を接続するインターネット３０とを有する。
【００１９】
管理会社ＬＡＮ１０内には、ＳＮＭＰマネージャ１１、ルータ１２及び複数のＳＮＭＰエージェント（各種ネットワーク機器）１５を有する。また、ユーザＬＡＮ２０内には、ルータ２２、ファイアウォール装置２３、対外サービス用サーバ２４、複数のユーザＳＮＭＰエージェント２５及びユーザＳＮＭＰマネージャ２６を有する。
【００２０】
斯る構成のネットワークにおいて、ＳＮＭＰマネージャ１１、２６及びＳＮＭＰエージェント１５、２５は、電子メールのプロトコルであるＳＭＴＰ（Simple Mail Transfer Protocol）を理解し、電子メールの送受信が可能な機器である。
【００２１】
ＳＮＭＰマネージャ１１の役割は、管理情報に対するＧＥＴ、ＳＥＴ等の操作、指令をエージェントに発する管理アプリケーションとしてユーザインタフェースを介してオペレータと対話する各種エージェントからのイベントを受信して処理し、ユーザインタフェースを介してオぺレータに通知する。必要に応じてデータベース等のデータストアを持ち、管理情報やイベントの履歴蓄積、統計処理分析を行う。
【００２２】
他方、ファイアウォール装置２３の役割（機能）は、通信セキュリティの４大原則（機密性、正確性、信ぴよう性、可用性）のうち、機密性の役割を担っている。ここで、機密性とは、情報が意図する相手以外の第三者に不当に漏洩しないようにすることである。ＳＮＭＰエージェント１５、２５の役割は、マネージャ１１、２６からの要求に応じて管理対象に対する操作を行い、その結果を応答する。ユーザインタフェースを持たずデーモンプロセスのように常にバックグラウンドで動作していて、要求をいつでも受信できるような構造をしていることが多い。管理対象の状態変化や異常発生を検知し、マネージャにイベント（トラップ）として通知する。尚、プロセスとしては、マネージャに比較して負荷が軽く、管理対象の本来の機能やパフォーマンスを妨げない程度のものでなければならないという制約がある。
【００２３】
次に、図１のネットワークの動作を説明する。管理会社ＬＡＮ１０のＳＮＭＰマネージャ１１がＬＡＮ１０内のエージェントのネットワーク機器を管理する際には、ＳＮＭＰは、一般にＴＣＰ／ＩＰプロトコルの中のコネクションレス型トランスポートプロトコルであるＵＤＰ（User Datagram Protocol）上に実装され通信される。これは、実装が容易であること、スケーラビリティがあること、機器の通常動作を妨げず且つネットワークの負荷が高いときでも管理できることを特徴とするので、インターネット３０上の多くの機器で利用されている。
【００２４】
しかし、ＳＮＭＰは、被管理ネットワークと管理ネットワークが同一な（閉じた）環境しか想定していないプロトコルの為にセキュリティが低く、そのままではファイアウォールを通過させることができなかった。そこで、ＳＮＭＰメッセージ情報を、高信頼性プロトコルである電子メールに含ませることでファイアウォールを通過させ、遠隔地に設置されたＳＮＭＰエージェント２５との交信及び制御を可能とした。しかし、ファイアウォールを通過して送信された電子メールは、インターネット３０を経由して相手先の機器と交信できる。但し、インターネット３０内をどのような通信経路で伝送させるかは確定できず、伝達内容が傍受されたり（漏洩）、改ざんされたりする危険性を伴うことは上述のとおりである。
【００２５】
そこで、電子メールを送信する際に、ＳＮＭＰメッセージ情報を暗号化して含ませることにより、通信内容の機密性、信ぴょう性を向上させる。このとき、暗号の解読には特別のキーワードが必要である。このキーワード自体に、特定の意味付けを行って、通信内容の改ざんを不可能にする。また、キーワード自体は、通信毎に変更される為に、このキーワードを管理することによって不正アクセスが生じた際には、直ちに検出でき、セキュリティが向上する。
【００２６】
図１のネットワークにあっては、本発明の構成として必要なもののみを図示したが、実際には大規模なＬＡＮの場合には、インターネット３０に接続されるまでに何段ものファイアウォールが設置されることも多い。この場合、例えばファイアウォールは、地区、部門等で区別して設置されることが多い。
【００２７】
図１において、管理会社ＬＡＮ１０内に設置のＳＮＭＰマネージャ１１とルータ１２間にファイアウォールが設置されることもある。ユーザＬＡＮ２０内に設置された管理対象である各種ＳＮＭＰエージェント２５は、ファイアウォール２３を経てルータ２２に接続され、そこからインターネット３０に接続されるよう構成している。
【００２８】
図１中には、管理会社ＬＡＮ１０内のＳＮＭＰマネージャ１１とユーザＬＡＮ２０のＳＮＭＰエージェント２５間の通信の流れを破線で示している。この電子メール内のＳＮＭＰメッセージ情報は、暗号化されて伝送される。本発明による暗号化手順、解読手順、通信手順を以下に説明する。
【００２９】
先ず、図５を参照して、本発明の遠隔管理システムにおけるマネージャ・エージェント間での通信手順を説明する。本発明では、通信を行うに当り、エージェント管理者による初期設定及び登録を行う（ステップ５０１）。この初期登録では、エージェント１５、２５に対して、製品のシリアル番号、エージェント機器に割当てられているメールアドレス、アラーム発生時にアラームを知らせる管理者のメールアドレス、管理会社ＳＮＭＰマネージャ１１のメールアドレス、初期パスワード等の設定を行う。
【００３０】
また、同時に管理会社に対しても製品のシリアル番号、エージェント機器のメールアドレス、初期パスワード等の設定内容を通知する。この初期登録によって、マネージャ・エージェント間のパスワードの位相を揃える。本発明の遠隔管理システムでは、パスワードの使用期限は一回限りであり、通常の通信を行っている限り、不正アクセスがあった場合には、直ちに検出可能である。
【００３１】
マネージャ１１、２６は、初めて要求メッセージを送信する場合には、初期登録で設定されたパスワードとシリアル番号を組合わせて暗号化を行い、電子メールで送信する（ステップ５０２）。エージェント機器１５、２５は、電子メールにて、この暗号化された要求メッセージを受取る。電子メールには、暗号文と共に解読に必要なパスワードが付されるので、これが記憶されているパスワードと一致することを照合確認する。
【００３２】
不一致の場合は、何者かによる不正アクセスの可能性があり、管理者にアラームの発生を伝えると共に以後の処理を中断する。この認証作業（照合確認）で一致すれば、暗号を解読し、要求メッセージに従って処理を行い、応答メッセージを作成する。エージェント１５、２５は、応答メッセージを暗号化する際に、新しいパスワードを自動生成し、これを利用してシリアル番号と組合せて暗号化し、マネージャ１１、２６に返信する（ステップ５０３）。
【００３３】
マネージャ１１，２６は、この返信メールを受信し、付されたパスワードと記憶されたパスワードの一致／不一致を確認する。不一致の場合には、このシステムでは、パスワードの使用回数は１回のみであり、何者かによる不正アクセスが考えられるので、管理者にアラームを伝えると共に以後の処理を中断する。詳細は後述するが、この場合のパスワードは、単に相違していればよい訳ではなく、暗号化及び解読に必要なキーワードは、このパスワードとメッセージデータのサムチェックを組合わせて構成しており、不適切なパスワードでは解読できない仕組みとしている。このパスワード確認をパスすると、マネージャ１１、２６は新しく送られてきたパスワードを記憶し、次回のメッセージ送信時のパスワードとして使用する（ステップ５０４）。
【００３４】
以後は、パスワードを順次更新しながらステップ５０２乃至ステップ５０４び反復作業を行うこととなる。
【００３５】
アラームを生じた場合には、管理者は、その障害を調査の上、問題がなければ初期登録をやり直すことにより、システム回復を行う。このとき、パスワード等の情報を変更することはなく、最初の初期登録時の情報を再転送するのみでよいので、管理の手間が著しく軽減できる。これは、パスワードの使用回数が１回のみであり、新しく生成されるパスワードが時間により変化するシステムであることに起因する。
【００３６】
次に、図２を参照して、マネージャ１１、２６の電子メール送信時の処理フローを説明する。マネージャは、エージェント管理を行う際にはＳＮＭＰ要求メッセージを作成する（ステップ２０１）。また、このメッセージデータ全体のサムチェック値を計算する（ステップ２０２）。登録されているパスワードに、このサムチェック値を付加し、暗号化に必要なキーワードを生成する（ステップ２０３）。キーワードの例としては、パスワードが「Password」、サムチェック値が「１２３４」のとき「：」を区切り記号と定義して「Password：１２３４」が考えられる。
【００３７】
ここで、マネージャは、要求メッセージデータを、シリアル番号とこのキーワードを組合わせて暗号化を行う（ステップ２０４）。この暗号化されたデータをキーワードと共に電子メールに含め、エージェント機能に向けて送信する（ステップ２０５）。
【００３８】
次に、図３を参照してエージェントの電子メール（受信→送信）の処理フローを説明する。エージェントは、マネージャより電子メールを受信すると（ステップ３０１）、受信したキーワードを、パスワード部分とサムチェック部分とに分離する。分離例として、前の例より、「：」記号を区切り記号として、パスワード部分は「Password」、サムチェック部分は「１２３４」と分離する。そして、このパスワードが記憶されたパスワードと一致することを確認する（ステップ３０２）。不一致の場合には、不正アクセス等の可能性があるので、以降の処理を中止して、アラームを管理者に対して通知する（ステップ３０３）。
【００３９】
更に、受信したキーワードとシリアル番号から、暗号解読を行う（ステップ３０４）。ここで、解読に失敗した場合には、何らかの理由でメール文が破壊されている可能性があるので、以降の処理を中止し、管理者に対して通知する（ステップ３０７）。一方、サムチェック値が一致するば、要求メッセージに従って処理を行い、結果を応答メッセージとして作成する。
【００４０】
次に、応答メッセージデータ全体のサムチェック値の計算を行い、更に記憶したものとは異った新しいパスワードを発生させて更新記憶する。そして、新しいパスワードに計算されたサムチェックを付加し、キーワードを作成する。キーワード作成例は、前述の規則に従って、例えば、「Password２：２３４５」等が考えられる。応答メッセージデータを、シリアル番号とこのキーワードとを組合わせて暗号化する（ステップ３０８）。この暗号化された応答メッセージを新しいキーワードと共に電子メールに含めて、マネージャへ返信する（ステップ３０９）。
【００４１】
次に、図４を参照してマネージャの電子メール受信処理フローを説明する。マネージャは、エージェントより電子メールを受信する（ステップ４０１）。そこで、受信したキーワードをパスワード部分とサムチェック部分に分離する。分離例としては、前例より「：」記号を区切り記号として、パスワード部分は「Password２」、サムチェック部分は「２３４５」と分離される。そして、このパスワードが記憶されているパスワードと一致しないことを確認する（ステップ４０２）。一致する場合は、不正アクセス等の可能性があるので、以後の処理を中止してアラームを管理者に対して通知する（ステップ４０３）。
【００４２】
次に、受信したキーワードとシリアル番号から暗号解読を行う（ステップ４０４）。ここで、解読に失敗した場合には、何らかの理由でメール文が破壊されている可能性があるので以後の処理を中止して、アラームを管理者に対して通知する（ステップ４０５）。解読に成功すると、応答メッセージデータのサムチェック計算を行う（ステップ４０６）。これを分離したサムチェック値と比較する（ステップ４０７）。サムチェック値が不一致の場合には、メッセージの内容が改ざんされている可能性があるので、以後の処理を中止して、管理者に対して通知する（ステップ４１０）。
【００４３】
サムチェック値が一致すると、新しいパスワードを記憶すると共に、応答メッセージに従って処理する。処理の結果、新たに必要があれば、要求メッセージの作成を行う（ステップ４０８）。次回のメール送信時でも図２の処理フローに従って動作するが使用するパスワードが、最後に受信した返信メールに使用されていたパスワードを使用する。
【００４４】
通信時に、この一連のパスワード更新の順序が相違すれば、アラーム発生と判断し、管理者が再設定するまで以降の動作は停止する。即ち、一度でも不正アクセスがあれば、これら一連の動作に不整合が生じ、異常が発見される。
【００４５】
尚、単に盗み見するだけの場合でも、本発明の遠隔管理システムの暗号を解読するには、キーワードの他にシリアル番号が必要である。このシリアル番号は、初期設定時にのみ登録されるものであり、通常の通信時には、知り得ない仕組みとなっていることに注目されたい。
【００４６】
上述の実施形態例では、マネージャとエージェント間での電子メールによる通信例を示した。しかし、図１に示す如く、既にユーザＬＡＮ２０にＳＮＭＰマネージャ２６を設置して、ユーザＬＡＮで管理している場合も考えられる。この場合でも、本発明の暗号化システムが有効であることは自明である。
【００４７】
また、上述の例にあっては、パスワードを自動生成する場合を示した。しかし、電子メールには必ず固有のメッセージＩＤが付与されているので、これらＩＤを利用することも可能である。更にまた、暗号化に必要なパラメータ数をシリアル番号とキーワードの２点で説明したが、セキュリティの要求度に応じて暗号解読を難しくする為にパラメータ数を増加したり、パラメータの桁数を増加してもよい。
【００４８】
また、メールトラフィックを少なくする為に、１回の通信に１つのメール文で行う場合であったが、比較的トラフィックの問題がなく、セキュリティの確認を最優先するところでは、１回の通信でのメール文を分散させ、複数回に分けて転送することも可能である。例えば、暗号データとキーワードを分けたり、更に暗号データ自体も分割転送することも可能である。上述の例で、アラーム発生時に、管理者に通知する旨記載したが、通知自体も電子メールで行う場合、管理者は、同一ドメインにいる必要はない。セキュリティ的には、別ドメインの方が安全である。
【００４９】
【発明の効果】
本発明の遠隔管理システムによると、エージェント管理者は、必要情報を初期登録の設定さえ行えば、通信毎のパスワードの変更等はエージェント機器が自動発生させ、管理するので、運用に関して特別な作業を発生させない。悪意ある盗聴者が仮に現時点でのパスワードを盗み出しても、次の通信時には、新しいパスワードに変更されているので、セキュリティが向上する。
【００５０】
このパスワード自動発生システムでは、通常通信中のパスワードは管理者さえも認識できないので、パスワード漏洩の心配はない。
【００５１】
また、このパスワードによるセキュリティシステムでは、人的要素が入り込まないので、機械同士での自動応答システムに最適なセキュリティシステムであり、応用範囲が広い。
【図面の簡単な説明】
【図１】本発明の遠隔管理システムが適用されるネットワークの構成例を示す図である。
【図２】マネージャの電子メール送信時の処理フローチャートである。
【図３】エージェント（受信→返信）の処理フローチャートである。
【図４】マネージャの受信処理フローチャートである。
【図５】マネージャ・エージェント間の通信手順フローチャートである。
【符号の説明】
１０管理者ローカルネットワーク
１１、２６マネージャ
１５、２５エージェント
２０ユーザローカルネットワーク
２３ファイアウォール
３０インターネット

Claims

インターネットを介して接続された遠隔機器を遠隔制御する遠隔管理システムにおいて、
インターネットを使用してエージェントとマネージャ間で、前記遠隔機器に割り当てられている電子メールを介して遠隔機器間通信するに際し、管理者による初期登録及びパスワード１設定を行い、前記マネージャが前記パスワード１を使用して送信要求し、前記エージェントは前記送信要求を受信し、前記パスワード１を照合してパスワード２を新しく生成し、前記マネージャは、応答メッセージを受信して前記パスワード１及び２の相違を確認し、パスワード２を保存し、順次新しいパスワードに更新することにより通信のセキュリティを向上させたことを特徴とする遠隔管理システム。
前記パスワードは、前記電子メールのメッセージのサムチェック値を基にして暗号化することを特徴とする請求項１に記載の遠隔管理システム。
前記パスワード及びサムチェックの不一致は、管理者にアラームで知らせることを特徴とする請求項１又は２に記載の遠隔管理システム。
前記暗号解読に必要なキーワードを通信毎に変化させることを特徴とする請求項２に記載の遠隔管理システム。