分散システムのためのアクセス権の管理機構

2002 Fiscal Year Annual Research Report

• Project/Area Number: 13780191
• Research Institution: Tokyo Institute of Technology
• Principal Investigator: 千葉 滋 東京工業大学, 大学院・情報理工学研究科, 助教授 (80282713)
• Keywords: ネットワーク / ユーザ管理 / VPN / Linux / SSL

Research Abstract

本研究では、インターネットに接続された分散システムの保護に適した機構として、パーソナルVPN(virtual private network)を考案、開発した。パーソナルVPNとは、インターネットを介したホスト間に構築される仮想プライベートネットワーク(VPN)にユーザの概念を取り入れたものである。通常のVPNではユーザの概念がないので、仮想ネットワークはすべてのユーザによって共有されるが、近年ではネットワーク・アドレスに基づいたパケット・フィルタリングやファイヤーウォールが多用されているため、このような共有は好ましくない。これまでVPNはOSのユーザ管理機構からは独立に構築されていたので、ユーザの概念を取り入れることができなかったが、我々はVPNとOSのユーザ管理機構を融合することで、この問題を解決した。これにより、悪意ある侵入者・内部ユーザの攻撃により強い耐性をもつ分散システムを構築できるようにした。
初年度はパーソナルVPNの試作版として、Linux上のユーザプロセスとしてこれを実装した。この試作版により、我々の設計で十分な機能が提供できることが確かめられたが、実行性能が非常に悪かったそこで2年目には、Linuxカーネルを改造し、カーネルレベルでパーソナルVPNを実装した。カーネルレベルで実装することにより、大幅な性能改善を果たした。ホスト間の通信にはSSLで暗号化された通信路を利用し、ユーザ認証には通信をおこなっているプロセスのユーザIDを使っている。

Research Products

• [Publications] 宇崎, 千葉, 光来: "特定のユーザーだけが利用可能な仮想プライベートネットワーク"日本ソフトウェア科学会第19回大会論文集. (2002)
• [Publications] 光来, 広津, 佐藤, 明石, 菅原, 千葉: "複数のオーバレイネットワークを制御するためのプライベートなネットワーク環境"情報処理学会、コンピュータシステムシンポジウム. (2002)
• [Publications] Yokota, Chiba, Itano: "A New Optimization Technique for the Inspector-Executor Method"IASTED PDCS 2002. 711-716 (2002)