(57)【特許請求の範囲】
【請求項１】
安全なアーキテクチャを構築する方法であって、
（１）隣接するノードを発見すること、及び、ノード及び隣接するノードが身分の鑑別と共有キーの交渉を行うことを含む、身分が合法的であるノードのネットワークアーキテクチャを構築すること、
（２）スイッチ装置の間の共有キーを構築することを含む、安全なスイッチ装置のアーキテクチャを構築すること、
（３）送信元ノードから宛先ノードまでの間をルートが経過した最初のスイッチ装置及び最後のスイッチ装置を捜索することを含む、スイッチングルートの捜索プロセスと、
（４）捜索されたスイッチングルートによって、三段式の秘密通信を実施することを含む秘密通信プロセスと、
前記送信元ノードから宛先ノードまでの間をルートが経過した最初のスイッチ装置及び最後のスイッチ装置を捜索することには、
送信元ノードNSourceは、スイッチングルートを捜索する要求パケットを宛先ノードNDestinationに送信すること、
前記スイッチングルートを捜索する要求パケットには、送信元ノードNSourceに知られる送信元ノードNSourceから宛先ノードNDestinationまでのスイッチングルートの情報が含まれること、
前記送信元ノードNSourceから宛先ノードNDestination までのスイッチングルートの情報は一つの識別子四要素組（IDSource、IDSW-first、IDSW-last、IDDestination）である（ただし、
IDSourceは、送信元ノードNSourceを示す識別子を意味し、
IDSW-firstは、送信元ノードNSourceから宛先ノードNDestinationまでのルートが経過した最初のスイッチ装置SW-firstを示す識別子を意味し、
IDSW-lastは、送信元ノードNSourceから宛先ノードNDestinationまでのルートが経過した最後のスイッチ装置SW-lastを示す識別子を意味し、
IDDestinationは、宛先ノードNDestinationを示す識別子を意味する）こと、
宛先ノードNDestinationは、前記スイッチングルートを捜索する要求パケットを受信すると、スイッチングルートを捜索する応答パケットを送信元ノードNSourceに送信すること
を含む、ことを特徴とする方法。
【請求項２】
前記隣接するノードを発見することには、
新しいノードは、ネットワークに加入すると、隣接するノードを発見する要求パケットをマルチキャスト送信すること、
ネットワークにおけるノードのいずれも、前記隣接するノードを発見する要求パケットに係るマルチキャストのメッセージを受信すると、前記隣接するノードを発見する要求パケットから新しいノードの情報を抽出して、抽出された新しいノードの情報を自身に隣接するノードのリストに加入し、隣接するノードを発見する応答パケットを前記新しいノードにユニキャスト送信すること、
前記新しいノードは、前記隣接するノードを発見する応答パケットを受信すると、前記隣接するノードを発見する応答パケットから応答ノードの情報を抽出して、抽出された応答ノードの情報を自身に隣接するノードのリストに加入すること、
を含む、ことを特徴とする請求項１に記載の方法。
【請求項３】
前記四要素組における各識別子IDは、身分ID情報或いはMACアドレス情報である、ことを特徴とする、請求項１に記載の方法。
【請求項４】
送信元ノードNSourceは、送信元ノードNSourceから宛先ノードNDestinationへ送信されたルートが経過した最初のスイッチ装置SW-firstを知ると共に、宛先ノードNDestinationは、送信元ノードNSourceから宛先ノードNDestinationへ送信されたルートが経過した最後のスイッチ装置SW-lastを知った場合に、送信元ノードNSourceにより「スイッチングルートを捜索する要求パケット」を構築する際に、四要素組におけるIDSource、IDSW-first、IDDestinationの情報を書き込んで、宛先ノードNDestinationに送信し、宛先ノードNDestinationが前記スイッチングルートを捜索する応答パケットを構築する際に、IDSW-last情報を書き込んで、送信元ノードNSourceに送信する、
ことを特徴とする請求項１に記載の方法。
【請求項５】
送信元ノードNSourceは、送信元ノードNSourceから宛先ノードNDestinationへ送信されたルートが経過した最初のスイッチ装置SW-firstを知らず、或いは、宛先ノードNDestinationは、送信元ノードNSourceから宛先ノードNDestinationへ送信されたルートが経過した最後のスイッチ装置SW-lastを知らない場合に、送信元ノードNSourceにより前記スイッチングルートを捜索する要求パケットを構築する際に、四要素組におけるIDSource、IDDestinationの情報を書き込んで、宛先ノードNDestinationに送信し、
宛先ノードNDestinationへ送信されたルートが経過した最初のスイッチ装置SW-firstは、前記スイッチングルートを捜索する要求パケットを受信した場合に、四要素組におけるIDSW-first情報を書き込んで、その後、転送し、
宛先ノードNDestinationへ送信されたルートが経過した最後のスイッチ装置SW-lastは、前記スイッチングルートを捜索する要求パケットを受信した場合に、四要素組におけるIDSW-last情報を書き込んで、宛先ノードNDestinationに転送し、
宛先ノードNDestinationは、前記スイッチングルートを捜索する応答パケットを構築する際に、知った四要素組の情報を送信元ノードNSourceに送信する、
ことを特徴とする請求項１に記載の方法。
【請求項６】
前記捜索されたスイッチングルートによって三段式の秘密通信を実施することには、
送信元ノードNSourceがデータの暗号化方式でデータパケットを宛先ノードNDestinationに送信することを含み、
前記送信元ノードNSourceがデータの暗号化方式でデータパケットを宛先ノードNDestinationに送信することには、
送信元ノードNSourceが前記最初のスイッチ装置SW-firstとの間の共有キーKEYS-Fを利用してデータパケットを暗号化し、宛先ノードNDestinationに送信すること、
前記最初のスイッチ装置SW-firstは、送信元ノードNSourceから宛先ノードNDestinationまで送信された暗号化データパケットを受信すると、送信元ノードNSourceとの間の共有キーKEYS-Fを利用してデータパケットを復号化し、その後、前記最後のスイッチ装置SW-lastとの間の共有キーKEYF-Lを利用してデータパケットを暗号化して、その後、転送すること、
中間のスイッチ装置は、送信元ノードNSourceから宛先ノードNDestinationまで送信された暗号化データパケットをそのまま転送すること、
前記最後のスイッチ装置SW-lastは、送信元ノードNSourceから宛先ノードNDestinationまで送信された暗号化データパケットを受信すると、前記最初のスイッチ装置SW-firstとの間の共有キーKEYF-Lを利用してデータパケットを復号化して、その後、宛先ノードNDestinationとの間の共有キーKEYL-Dを利用してデータパケットを暗号化して、その後、転送すること、
宛先ノードNDestinationは、送信元ノードNSourceから送信された暗号化データパケットを受信すると、前記最後のスイッチ装置SW-lastとの間の共有キーKEYL-Dを利用してデータパケットを復号化して、送信元ノードNSourceから送信されたデータ情報を取得すること、
を含むことを特徴とする請求項１に記載の方法。
【請求項７】
安全なアーキテクチャの構築と秘密通信システムであって、
ユーザ端末とスイッチ装置が含まれており、
前記ユーザ端末及びスイッチ装置のいずれも、隣接するノードを発見するプロセスによって隣接するノードのすべての情報を取得すると共に、隣接するノードと鑑別及び交渉を実施して両者間に共有するキーを取得し、
前記スイッチ装置は、スイッチ装置の間の共有キーをさらに構築し、
前記システムにおけるユーザ端末とスイッチ装置がデータの秘密通信をスタートする場合に、送信元ノードNSource、最初のスイッチ装置SW-first、最後のスイッチ装置SW-last及び宛先ノードNDestination という四種類の特定のノード身分を有し、
前記送信元ノードNSourceは、スイッチングルートを捜索する要求パケットを前記宛先ノードNDestinationに構築して送信し、前記宛先ノードNDestinationからスイッチングルートを捜索する応答パケットを受信し、前記宛先ノードNDestinationへ送信されたユーザデータのいずれについても、前記最初のスイッチ装置SW-firstとの間の共有キーを用いて暗号化すると送信し、前記宛先ノードNDestinationから受信された暗号文データパケットのいずれについても、前記最初のスイッチ装置SW-firstとの間の共有キーを用いて復号化すると情報を取得する、ためのものであり、
前記最初のスイッチ装置SW-firstは、前記送信元ノードNSourceから宛先ノードNDestinationまでのスイッチングルートを捜索する要求パケットを修正すると転送し、前記宛先ノードNDestinationから送信元ノードNSourceまでのスイッチングルートを捜索する応答パケットについて四要素組の情報を抽出し、保存すると転送し、前記送信元ノードNSourceから宛先ノードNDestinationへ送信された暗号文データパケットについて、前記送信元ノードNSourceとの間の共有キーを用いて復号化すると共に、前記最後のスイッチ装置SWlastとの間の共有キーを用いて暗号化すると転送し、前記宛先ノードNDestinationからソースノードNSourceへ送信された暗号文データパケットについて、前記最後のスイッチ装置SW-lastとの間の共有キーを用いて復号化すると共に、前記送信元ノードNSourceとの間の共有キーを用いて暗号化すると転送する、ためのものであり、
前記最後のスイッチ装置SW-lastは、前記送信元ノードNSourceから宛先ノードNDestinationまでのスイッチングルートを捜索する要求パケットを修正すると転送し、前記宛先ノードNDestinationから送信元ノードNSourceまでのスイッチングルートを捜索する応答パケットについて、四要素組の情報を抽出し、保存すると転送し、前記送信元ノードNSourceから宛先ノードNDestinationへ送信された暗号文データパケットについて、前記最初のスイッチ装置SW-firstとの間の共有キーを用いて復号化すると共に、前記宛先ノードNDestinationとの間の共有キーを用いて暗号化すると転送し、前記宛先ノードNDestinationから送信元ノードNSourceへ送信された暗号文データパケットについて、前記宛先ノードNDestinationとの間の共有キーを用いて復号化すると共に、前記最初のスイッチ装置SW-firstとの間の共有キーを用いて暗号化すると転送する、ためのものであり、
前記宛先ノードNDestinationは、前記送信元ノードNSourceからスイッチングルートを捜索する要求パケットを受信し、前記スイッチングルートを捜索する要求パケットから四要素組の情報を抽出すると保存し、スイッチングルートを捜索する応答パケットを前記送信元ノードNSourceに送信し、前記送信元ノードNSourceへ送信されたユーザデータのいずれについても前記最後のスイッチ装置SW-lastとの間の共有キーを用いて暗号化すると送信し、前記送信元ノードNSourceから受信された暗号文データパケットのいずれについても、前記最後のスイッチ装置SW-lastとの間の共有キーを用いて復号化すると情報を取得する、ためのものであり、
前記送信元ノードNSourceから宛先ノードNDestination までのスイッチングルートの情報は一つの識別子四要素組（IDSource、IDSW-first、IDSW-last、IDDestination）である（ただし、
IDSourceは、送信元ノードNSourceを示す識別子を意味し、
IDSW-firstは、送信元ノードNSourceから宛先ノードNDestinationまでのルートが経過した最初のスイッチ装置SW-firstを示す識別子を意味し、
IDSW-lastは、送信元ノードNSourceから宛先ノードNDestinationまでのルートが経過した最後のスイッチ装置SW-lastを示す識別子を意味し、
IDDestinationは、宛先ノードNDestinationを示す識別子を意味する）
ことを特徴とするシステム。
【請求項８】
前記システムには、
送信元ノードNSourceと宛先ノードNDestinationの間の通信データパケットを受信する、識別子四要素組に存在しない中間スイッチ装置であって、送信元ノードNSourceと宛先ノードNDestinationの間のスイッチングルートを捜索する要求パケットと、スイッチングルートを捜索する応答パケットと、暗号化データパケットのいずれについても、そのまま転送する
中間スイッチ装置SW-Mを含む、
ことを特徴とする請求項７に記載の安全なアーキテクチャの構築と秘密通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、2010年6月7日に中国特許庁に提出した、出願番号が201010195724.8であって、発明名称が「三段式の安全なアーキテクチャの構築、秘密通信方法及びそのシステム」である中国特許出願の優先権を主張し、この出願を参照することで同出願の内容の全てを含む。
【０００２】
本発明は、通信ネットワークセキュリティの応用分野、特に安全なアーキテクチャを構築する方法、秘密通信方法及びシステムに関するものである。
【背景技術】
【０００３】
有線LANは一般的にブロードキャストネットワークであり、あるノードから送信されたデータを、その他のノードの全てが受信可能である。ネットワークにおける各ノードがチャネルを共有していることは、ネットワークに重大なセキュリティ上の潜在的危険性を提供している。攻撃者がネットワークにアクセスしてモニタすればと、ネットワークにおけるデータパケットのすべてを捕獲して、大事な情報を盗み取ることができる。 
【０００４】
従来の技術において、国家規格 GB/T15629.3 （IEEE 802.3或いはISO/IEC 8802-3に対応)により定義されるローカルネットワークLANは、データの秘密方法を提供していない。IEEE 802.1 AE規格が提供するデータ暗号化プロトコルは、ホップごとに暗号化された安全な措置に基づいて、ネットワークのノード間のデータを安全に送受信することが実現されている。このようなセキュリティ措置は、LANにおけるスイッチ装置に膨大な計算の負担をもたらすと共に、攻撃者のスイッチ装置への攻撃を起しやすく、データパケットの送信ノードから宛先ノードへの伝達遅延も大きくなり、ネットワークの伝送効率が低下する。 
【０００５】
有線LANのトポロジー構築は比較的複雑であって、関係するノードの数も比較に多いため、ネットワークにおけるデータ通信も比較的複雑である。LANノード間に静的な鍵ペアを割当してノード間のセッションキーを作成すると、その割当や更新のプロセスが極めて複雑になる。従って、静的鍵ペアの形態は、ノード間のセッションキー作成に適しない。 
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明は、従来のLANに存在するセキュリティの潜在危険を解消し、通信セキュリティを保証すると共に、LANのスイッチ装置の計算負担を軽くして、データの伝送の遅延を減らす安全な通信方法及びシステムを提供することを目的とする。 
【課題を解決するための手段】
【０００７】
本発明の実施例は、以下の技術案を提供する。 
【０００８】
安全なアーキテクチャを構築する方法であって、 
（1）隣接するノードを発見すること、及び、ノード及び隣接するノードが身分の鑑別と共有キーの交渉を行うことを含む、身分が合法的であるノードのネットワークアーキテクチャを構築すること、
（２）スイッチ装置の間の共有キーを構築することを含む、安全なスイッチ装置のアーキテクチャを構築すること、を含む方法。 
【０００９】
好ましくは、前記の隣接するノードを発見することには、
新しいノードは、ネットワークに加入すると、隣接するノードを発見する要求パケットをマルチキャスト送信すること、
ネットワークにおけるノードのいずれも、前記隣接するノードを発見する要求パケットに係るマルチキャストのメッセージを受信すると、前記隣接するノードを発見する要求パケットから新しいノードの情報を抽出して、抽出された新しいノードの情報を自身に隣接するノードのリストに加入し、隣接するノードを発見する応答パケットを前記新しいノードにユニキャスト送信すること、
前記新しいノードは、前記隣接するノードを発見する応答パケットを受信すると、前記隣接するノードを発見する応答パケットから応答ノードの情報を抽出して、抽出された応答ノードの情報を自身に隣接するノードのリストに加入すること、を含む。
【００１０】
好ましくは、前記方法には、
送信元ノードから宛先ノードまでの間をルートが経過した最初のスイッチ装置及び最後のスイッチ装置を捜索することを含む、スイッチングルートの捜索プロセスと、
捜索されたスイッチングルートによって、三段式の秘密通信を実施することを含む秘密通信プロセスと、を含む方法。４、前記の送信元ノードから宛先ノードまでの間をルートが経過した最初のスイッチ装置及び最後のスイッチ装置を捜索することには、
送信元ノードNSourceは、スイッチングルートを捜索する要求パケットを宛先ノードNDestinationに送信すること、
前記スイッチングルートを捜索する要求パケットに、送信元ノードNSourceに知られる送信元ノードNSourceから宛先ノードNDestinationまでのスイッチングルートの情報があること、
前記送信元ノードNSourceから宛先ノードNDestination までのスイッチングルートの情報は一つの識別子四要素組（IDSource、IDSW-first、IDSW-last、IDDestination）である（ただし、
IDSourceは、送信元ノードNSourceを示す識別子を意味し、
IDSW-firstは、送信元ノードNSourceから宛先ノードNDestinationまでのルートが経過した最初のスイッチ装置SW-firstを示す識別子を意味し、
IDSW-lastは、送信元ノードNSourceから宛先ノードNDestinationまでのルートが経過した最後のスイッチ装置SW-lastを示す識別子を意味し、
IDDestinationは、宛先ノードNDestinationを示す識別子を意味する）こと、
宛先ノードNDestinationは、前記スイッチングルートを捜索する要求パケットを受信すると、スイッチングルートを捜索する応答パケットを送信元ノードNSourceに送信すること、を含む、ことを特徴とする請求項3に記載の方法。
【００１１】
前記四要素組の中の各識別子IDは身分ID情報或いはMACアドレス情報あっても良い。
好ましくは、送信元ノードNSourceは、送信元ノードNSourceから宛先ノードNDestinationへ送信されたルートが経過した最初のスイッチ装置SW-firstを知ると共に、宛先ノードNDestinationは、送信元ノードNSourceから宛先ノードNDestinationへ送信されたルートが経過した最後のスイッチ装置SW-lastを知った場合に、送信元ノードNSourceにより「スイッチングルートを捜索する要求パケット」を構築する際に、四要素組におけるIDSource、IDSW-first、IDDestinationの情報を書き込んで、宛先ノードNDestinationに送信し、宛先ノードNDestinationにより前記スイッチングルートを捜索する応答パケットを構築する際に、IDSW-last情報を書き込んで、送信元ノードNSourceに送信する。 
【００１２】
好ましくは、送信元ノードNSourceは、送信元ノードNSourceから宛先ノードNDestinationへ送信されたルートが経過した最初のスイッチ装置SW-firstを知らず、或いは、宛先ノードNDestinationは、送信元ノードNSourceから宛先ノードNDestinationへ送信されたルートが経過した最後のスイッチ装置SW-lastを知らない場合に、送信元ノードNSourceにより前記「スイッチングルートを捜索する要求パケット」を構築する際に、四要素組におけるIDSource、IDDestinationの情報を書き込んで、宛先ノードNDestinationに送信し、宛先ノードNDestinationへ送信されたルートが経過した最初のスイッチ装置SW-firstは、前記スイッチングルートを捜索する要求パケットを受信した場合に、四要素組におけるIDSW-first情報を書き込んで、その後、転送し、宛先ノードNDestinationへ送信されたルートが経過した最後のスイッチ装置SW-lastは、前記スイッチングルートを捜索する要求パケットを受信した場合に、四要素組におけるIDSW-last情報を書き込んで、宛先ノードNDestinationに転送し、宛先ノードNDestinationは、前記スイッチングルートを捜索する応答パケットを構築する際に、知った四要素組の情報を送信元ノードNSourceに送信する。
【００１３】
好ましくは、前記捜索されたスイッチングルートによって三段式の秘密通信を実施することを含むことには、
送信元ノードNSourceがデータの暗号化方式でデータパケットを宛先ノードNDestinationに送信することを含む。
【００１４】
好ましくは、前記の送信元ノードNSourceがデータの暗号化方式でデータパケットを宛先ノードNDestinationに送信することには、
送信元ノードNSourceが前記最初のスイッチ装置SW-firstとの間の共有キーKEYS-Fを利用してデータパケットを暗号化し、宛先ノードNDestinationに送信すること、
前記最初のスイッチ装置SW-firstは、送信元ノードNSourceから宛先ノードNDestinationまで送信された暗号化データパケットを受信すると、送信元ノードNSourceとの間の共有キーKEYS-Fを利用してデータパケットを復号化し、その後、前記最後のスイッチ装置SW-lastとの間の共有キーKEYF-Lを利用してデータパケットを暗号化して、その後、転送すること、中間のスイッチ装置は、送信元ノードNSourceから宛先ノードNDestinationまで送信された暗号化データパケットをそのまま転送すること、前記最後のスイッチ装置SW-lastは、送信元ノードNSourceから宛先ノードNDestinationまで送信された暗号化データパケットを受信すると、前記最初のスイッチ装置SW-firstとの間の共有キーKEYF-Lを利用してデータパケットを復号化して、その後、宛先ノードNDestinationとの間の共有キーKEYL-Dを利用してデータパケットを暗号化して、その後、転送すること、
宛先ノードNDestinationは、送信元ノードNSourceから送信された暗号化データパケットを受信すると、前記最後のスイッチ装置SW-lastとの間の共有キーKEYL-Dを利用してデータパケットを復号化して、送信元ノードNSourceから送信されたデータ情報を取得すること、を含む。
【００１５】
安全なアーキテクチャの構築と秘密通信システムであって、
ユーザ端末とスイッチ装置が含まれており、
前記ユーザ端末及びスイッチ装置のいずれも、隣接するノードを発見するプロセスによって隣接するノードのすべての情報を取得すると共に、隣接するノードと鑑別及び交渉を実施して両者間に共有するキーを取得し、前記スイッチ装置は、スイッチ装置の間の共有キーをさらに構築する。 
前記システムにおけるユーザ端末とスイッチ装置がデータの秘密通信をスタートする場合に、送信元ノードNSource、最初のスイッチ装置SW-first、最後のスイッチ装置SW-last及び宛先ノードNDestination という四種類の特定のノード身分を有し、
前記送信元ノードNSourceは、スイッチングルートを捜索する要求パケットを前記宛先ノードNDestinationに構築して送信し、前記宛先ノードNDestinationからスイッチングルートを捜索する応答パケットを受信し、前記宛先ノードNDestinationへ送信されたユーザデータのいずれについても前記最初のスイッチ装置SW-firstとの間の共有キーを用いて暗号化すると送信し、前記宛先ノードNDestinationから受信された暗号文データパケットのいずれについても前記最初のスイッチ装置SW-firstとの間の共有キーを用いて復号化すると情報を取得する、ためのものであり、
前記最初のスイッチ装置SW-firstは、前記送信元ノードNSourceから宛先ノードNDestinationまでのスイッチングルートを捜索する要求パケットを修正すると転送し、前記宛先ノードNDestinationから送信元ノードNSourceまでのスイッチングルートを捜索する応答パケットについて四要素組の情報を抽出し、保存すると転送し、前記送信元ノードNSourceから宛先ノードNDestinationへ送信された暗号文データパケットについて、前記送信元ノードNSourceとの間の共有キーを用いて復号化すると共に、前記最後のスイッチ装置SW-lastとの間の共有キーを用いて暗号化すると転送し、前記宛先ノードNDestinationからソースノードNSourceへ送信された暗号文データパケットについて、前記最後のスイッチ装置SW-lastとの間の共有キーを用いて復号化すると共に、前記送信元ノードNSourceとの間の共有キーを用いて暗号化すると転送する、ためのものであり、
前記最後のスイッチ装置SW-lastは、前記送信元ノードNSourceから宛先ノードNDestinationまでのスイッチングルートを捜索する要求パケットを修正すると転送し、前記宛先ノードNDestinationから送信元ノードNSourceまでのスイッチングルートを捜索する応答パケットについて、四要素組の情報を抽出し、保存すると転送し、前記送信元ノードNSourceから宛先ノードNDestinationへ送信された暗号文データパケットについて、前記最初のスイッチ装置SW-firstとの間の共有キーを用いて復号化すると共に、前記宛先ノードNDestinationとの間の共有キーを用いて暗号化すると転送し、前記宛先ノードNDestinationから送信元ノードNSourceへ送信された暗号文データパケットについて、前記宛先ノードNDestinationとの間の共有キーを用いて復号化すると共に、前記最初のスイッチ装置SW-firstとの間の共有キーを用いて暗号化すると転送する、ためのものであり、
前記宛先ノードNDestinationは、前記送信元ノードNSourceからスイッチングルートを捜索する要求パケットを受信し、前記スイッチングルートを捜索する要求パケットから四要素組の情報を抽出すると保存し、スイッチングルートを捜索する応答パケットを前記送信元ノードNSourceに送信し、前記送信元ノードNSourceへ送信されたユーザデータのいずれについても前記最後のスイッチ装置SW-lastとの間の共有キーを用いて暗号化すると送信し、前記送信元ノードNSourceから受信された暗号文データパケットのいずれについても、前記最後のスイッチ装置SW-lastとの間の共有キーを用いて復号化すると情報を取得する、ためのものあっても良い。
【００１６】
好ましくは、前記システムは、送信元ノードNSourceと宛先ノードNDestinationの間の通信データパケットを受信できるが、スイッチ四要素組に存在しない中間スイッチ装置であって、送信元ノードNSourceと宛先ノードNDestinationの間のスイッチングルートを捜索する要求パケットと、スイッチングルートを捜索する応答パケットと、暗号化データパケットのいずれについても、そのまま転送する中間スイッチ装置SW-Mを含む。
本発明の実施例が提供する安全なアーキテクチャを構築する方法、秘密通信方法及びシステムは、この安全なアーキテクチャによれば、隣接するスイッチ装置との間の共有キーのみをユーザ端末に保存する必要があり、隣接するユーザ端末との間の共有キーとその他のすべてのスイッチ装置との間の共有キーをスイッチ装置に保存する必要があり、即ち、送信ノードと宛先ノードとの間の三段式データの秘密通信を保障するための三段式安全なアーキテクチャを構築することができる。このアーキテクチャにおけるデータの秘密通信には、送信ノードと宛先ノードとの両者間に共有する通信キーを構築する必要がなく、ホップごとに暗号化方式でデータの秘密伝送を実現する必要もない。 
【図面の簡単な説明】
【００１７】
【図１】本発明の実施例のフローチャートである。
【図２】本発明の実施例1を示す図である。
【図３】本発明の実施例2を示す図である。
【発明を実施するための形態】
【００１８】
本技術の分野の技術者がより一層本発明の実施例の方案を理解するように、以下に図面及び実施の形態を参照して本発明の実施例についてより詳しく説明する。 
【００１９】
本発明の実施例は、安全なアーキテクチャを構築する方法を提供し、この実施例において、まず、合法的な身分があるノードのネットワークアーキテクチャを構築し、その後、安全なスイッチ装置アーキテクチャの構築を構築する。 
【００２０】
なお、合法的な身分があるノードのネットワークアーキテクチャを構築することには、隣接するノードを発見するプロセス、及び、ノード及び隣接するノードが身分の鑑別と共有キーの交渉を行うプロセスを含む。以下、この二つのプロセスについて、それぞれ詳しく説明する。 
【００２１】
（1）隣接するノードを発見するプロセスには、主に、
新しいノードは、ネットワークに加入すると、隣接するノードを発見する要求パケットを自発的にマルチキャスト送信するステップと、
ネットワークにおけるノードのいずれも、隣接するノードを発見する要求パケットに係るマルチキャストメッセージを受信すると、前記隣接するノードを発見する要求パケットから新しいノードの情報を抽出して、抽出された新しいノードの情報を自身に隣接するノードのリストに加入し、隣接するノードを発見する応答パケットを構築して、新しいノードにユニキャスト送信するステップと、 
前記新しいノードは、その他のノードに応答された、隣接するノードを発見する応答パケットに係るユニキャストメッセージを受信すると、前記隣接するノードを発見する応答パケットから応答ノードの情報を抽出する、抽出された応答ノードの情報を自身に隣接するノードのリストに加入し、今回の隣接するノードを発見するプロセスを完成させるステップと、を含む。 
【００２２】
（2）ノード及び隣接するノードが身分の鑑別と共有キーの交渉を行うプロセスには、主に、
ノードは、新しい隣接するノードに係る情報を自身に隣接するノードのリストに追加すると、新しい隣接するノードとの間の身分鑑別と共有キーの交渉とのプロセスを行い、交渉を通じて、隣接するノードとの間の共有キーを最終に取得する、
ステップを含む。
【００２３】
好ましくは、ノードと隣接するノードとの身分鑑別及び共有キーの交渉が、スイッチ装置同士に、或いは、スイッチ装置とユーザ端末との間に行われる。 
【００２４】
安全なスイッチ装置アーキテクチャを構築することには、スイッチ装置同士の間の共有キーを構築するプロセスを含む。 
【００２５】
図1を参照すると、ネットワークにおいて、スイッチ装置SW-A、スイッチ装置SW-B、隣接するスイッチ装置SW-M、端末STA1と端末STA2というノードを有するとする。
【００２６】
前記隣接するノードを発見するプロセス及びノードと隣接するノードとの身分の鑑別及び共有キーの交渉に係るプロセスによれば、ネットワークにおけるスイッチ装置は、隣接するスイッチ装置との間の共有キーを構築する際に、その中の一つのスイッチ装置を選択して（具体的な選択メカニズムは本発明の実施例に定義されず、或は、限定されない）、自身とネットワークにおけるその他のすべての隣接ではないスイッチ装置との両者間に共有するキーを構築する。
【００２７】
例えば、スイッチ装置SW-Aは、隣接するスイッチ装置SW-Mを選択してそれといずれかの一つの隣接ではないスイッチ装置SW-Bとの間の共有キーを構築する。SW-Mにより、SW-Aと乱数を、SW-Bとの間の共有キーとして生成すると、SW-M とSW-Aとの間の共有キー、及び、SW-MとSW-Bとの間の共有キーを用いて、生成された新しい乱数をSW-AとSW-Bに暗号化通知することによって、スイッチ装置の間の共有キーを構築することができる。 
【００２８】
前記プロセスにより、安全なアーキテクチャを構築することができる。
【００２９】
本発明の実施例は、この安全なアーキテクチャに基づいて、スイッチングルートを捜索するプロセス及び秘密通信プロセスを含む秘密通信方法をさらに提供した。以下に、この二つのプロセスについてそれぞれ詳しく説明する。 
【００３０】
前記スイッチングルートを捜索するプロセスには、送信元ノードから宛先ノードまでの間をルートが経過した最初のスイッチ装置と最後のスイッチ装置を捜索することが含まれており、具体には、以下のステップによって実現される。
【００３１】
送信元ノードNSourceは、スイッチングルートを捜索する要求パケットを宛先ノードNDestinationに送信する。
【００３２】
宛先ノードNDestinationは、スイッチングルートを捜索する要求パケットを受信すると、スイッチングルートを捜索する応答パケットを送信元ノードNSourceに送信する。
【００３３】
好ましくは、送信元ノードNSourceから宛先ノードNDestinationまでのスイッチングルート情報を一つの識別子四要素組（IDSource、IDSW-first、IDSW-last、IDDestination）として定義する。ただし、
IDSourceは、送信元ノードNSourceを示す識別子であり、
IDSW-firstは、送信元ノードNSourceから宛先ノードNDestinationまでのルートが経過した最初のスイッチ装置SW-firstを示す識別子であり、
IDSW-lastは、送信元ノードNSourceから宛先ノードNDestinationまでのルートが経過した最後のスイッチ装置SW-lastを示す識別子であり、
IDDestinationは宛先ノードNDestinationを示す識別子である。
【００３４】
送信元ノードNSourceと宛先ノードNDestinationとの間の通信データパケットを受信できるが、識別子四要素組に存在しないスイッチ装置として定義されたものは、送信元ノードNSourceと宛先ノードNDestinationの通信リンクにおける中間のスイッチ装置である。
【００３５】
好ましくは、前記識別子四要素組が実際に用いられる場合に、その中の各識別子IDとして身分ID情報を使ってもよいし、MACアドレス情報を使ってもよい。 
【００３６】
送信元ノードNSourceがSTA1であって、宛先ノードNDestinationがSTA2であることを例として説明すると、前記二つのステップのみによって、四要素組の情報（IDSTA1、IDSW-A、IDSW-B、IDSTA2）をSTA1及びSTA2が取得する。 
【００３７】
好ましくは、具体的に実施すると、STA1は、STA2へ送信されたルートの経過した最初のスイッチ装置がSW-Aであることを知ると共に、STA2は、STA1へ送信されたルートの経過した最初のスイッチ装置がSW-Bであることを知った場合に、STA1により「スイッチングルート捜索要求パケット」を構築する際に、四要素組におけるIDSource、IDSW-first、IDDestinationの情報（IDSource=IDSTA1、IDSW-first=IDSW-A、IDDestination=IDSTA2）を書き込んでSTA2に送信し、STA2は、スイッチングルートを捜索する応答パケットを構築する際に、IDSW-last情報（IDSW-last=IDSW-B）を書き込んでSTA1に送信する。
【００３８】
好ましくは、具体的に実施すると、STA1は、STA2へ送信されたルートの経過した最初のスイッチ装置情報を知らず、STA2は、STA1へ送信されたルートの経過した最初のスイッチ装置情報を知らない場合に、STA1は、スイッチングルートを捜索する要求パケットを構築する際にきに、四要素組におけるIDSource情報（IDSource=IDSTA1、IDDestination=IDSTA2）を書き込んでSTA2に送信し、SW-Aがスイッチングルートを捜索する要求パケットを受信したときに、四要素組におけるIDSW-first情報（IDSW-first=IDSW-A）を書き込んで、その後、転送する。SW-Bがスイッチングルートを捜索する要求パケットを受信したときに、STA2が自身に隣接するノードであることを発見すると、四要素組におけるIDSW-last情報（IDSW-last=IDSW-B）を書き込んで、STA2に転送し、STA2は「スイッチングルートを捜索する応答パケット」を構築する場合に、知る四要素組の情報をSTA1に送信する。
【００３９】
前記のスイッチングルートを捜索するプロセスにより、STA1、SW-A、SW-B、STA2のいずれも、STA1からSTA2へ送信されたルートが経過した最初や最後のスイッチ装置の情報、及び、STA2からSTA1へ送信されたルートが経過した最初や最後のスイッチ装置の情報を知ることができる。 
【００４０】
具体的に実施すると、一般のスイッチ装置と暗号化を行うイッチ装置の混合するインターネットである場合に、スイッチングルートを捜索するプロトコルは、暗号化を行うスイッチ装置に実現され、前記スイッチングルートを捜索するプロセスを利用してスイッチングルート情報、即ち、STA1からSTA2までのルートが経過した最初と最終の暗号化を行うスイッチ装置情報が捜索される。 
【００４１】
前記秘密通信プロセスには 捜索されたスイッチングルートによって三段式データの秘密通信を実施することを含む。 
【００４２】
以下、送信元ノードNSourceがSTA1であって、宛先ノードNDestinationがSTA2であるデータの秘密通信を例として説明する。
【００４３】
STA1が三段式データの秘密方式でデータパケットをSTA2に送信することは、以下のステップにより実現される。
【００４４】
（1）STA1は、SW-Aとの間の共有キーKEY1-Aを利用してデータパケットを暗号化し、STA2に送信する、
（2）SW-Aは、STA1からSTA2へ送信された暗号化データパケットを受信すると、STA1との間の共有キーKEY1-Aを用いてデータパケットを復号化し、その後、SW-Bとの間の共有キーKEYA-Bを用いてデータパケットを暗号化し、その後、転送する。
（3）中間のスイッチ装置は、STA1からSTA2へ送信された暗号化データパケットをそのまま転送する。
（4）SW-Bは、STA1からSTA2へ送信された暗号化データパケットを受信すると、SW-Aとの間の共有キーKEYA-Bを用いてデータパケットを復号化し、その後、STA2との間の共有キーKEY2-Bを用いてデータパケットを暗号化し、その後、転送する。
（5）STA2は、STA1から送信された暗号化データパケットを受信すると、SW-Bとの間の共有キーKEY2-Bを用いてデータパケットを復号化すれば、STA1から送信されたデータ情報を取得することができる。 
【００４５】
STA2が三段式データの秘密方式でデータパケットをSTA1に送信することは、以下のステップにより実現される。
【００４６】
（1）STA2は、SW-Bとの間の共有キーKEY2-Bを用いてデータパケットを暗号化して、STA1に送信する。
（2）SW-Bは、STA2からSTA1へ送信された暗号化データパケットを受信すると、STA2との間の共有キーKEY2-Bを用いてデータパケットを復号化し、その後、SW-Aとの間の共有キーKEYA-Bを用いてデータパケットを暗号化し、その後、転送する。
（3）中間スイッチ装置は、STA2からSTA1へ送信された暗号化データパケットをそのまま転送する。
（4）SW-Aは、STA2からSTA1へ送信された暗号化データパケットを受信すると、SW-Bとの間の共有キーKEYA-Bを用いてデータパケットを復号化し、その後、STA1との間の共有キーKEY1-Aを用いてデータパケットを暗号化し、その後、転送する。
（5）STA1は、STA2から送信された暗号化データパケットを受信すると、SW-Aとの間の共有キーKEY1-Aを用いてデータパケットを復号化すれば、STA2から送信されたデータ情報を取得することができる。 
【００４７】
実施例1において、ユーザ端末STA1が新しいノードとして現在のネットワークにアクセスする。 
【００４８】
図2に示すように、STA1がネットワークをアクセスする前に、ネットワークにおけるノードのすべてが自身に隣接するノードを知ると共に、隣接するノードと鑑別して共有キーを構築し、スイッチ装置のすべてが両者間に共有するキーを構築した。次のプロセスは、STA1が現在のネットワークにアクセスした場合に、図2の点線に示されるものである。 
【００４９】
STA1は、隣接するノードを発見するプロセスをスタートして、隣接するノードのすべてにSTA1の情報を承知させ、同時にSTA1がすべての隣接する情報を取得し、STA1と隣接するノード（特に隣接するスイッチ装置）は鑑別と共有キーを交渉するプロセスをスタートして、隣接するノードとの間の安全な経路を構築する。 
【００５０】
STA1がSTA2とデータの秘密通信を実行する場合には、STA1がスイッチングルートを捜索するプロセスをスタートし、STA1からSTA2までのルートが経過した最初のスイッチ装置と最後のスイッチ装置の情報、即ち、STA1からSTA2までのスイッチングルート情報をSTA1、SW-A、SW-B、STA2により取得させると共に、STA1とSTA2の間のデータ通信が三段安全な経路によって実行され、即ち、STA1とSW-Aの間に共有キーKEY1-Aを利用して秘密伝送を行い、SW-AとSW-Bの間に共有キーKEYA-Bを利用して秘密伝送を行い、SW-BとSTA2の間が共有キーKEYB-2を利用して秘密伝送を行う。 
【００５１】
実施例2において、スイッチ装置SW-Nが新しいノードとして現在のネットワークにアクセスする。 
【００５２】
図3に示すように、SW-Nがネットワークをアクセスする前に、ネットワークにおけるノードのすべてが自身に隣接するノードを知ると共に、隣接するノードと鑑別して共有キーを構築し、スイッチ装置のすべてが両者の間に共有キーを構築する。次のプロセスは、SW-Nが現在のネットワークにアクセスした場合に、図3の点線に示されるものである。
【００５３】
SW-Nは、隣接するノードを発見するプロセスをスタートさせ、隣接するノードのいずれもSW-N の情報を知らせると共に、SW-Nが隣接するノードの全ての情報が取得し、SW-Nと隣接するノード鑑別と共有キーを交渉するプロセスをスタートし、隣接するノードとの間の安全な経路を構築し、SW-Nが一つの隣接するノード（例えばSW-A）を選択しネットワークにおけるその他のすべての隣接しないスイッチ装置との間の共有キー、例えば、図面に示したように、SW-Mとの間の共有キー、SW-Bとの間の共有キーを構築する。
【００５４】
その後、SW-NがSTA2とデータの秘密通信を実行する場合に、SW-Nがスイッチングルートを捜索するプロセスをスタートし、SW-NからSTA2までのルートが経過した最初のスイッチ装置と最後のスイッチ装置の情報をSW-N、SW-B、STA2により取得させ、即ち、SW-NからSTA2までのスイッチングルート情報を取得させ、ここで捜索された最初のスイッチ装置はSW-N 自身であって、SW-NがSW-firstであることから、SW-NとSTA2の間のデータ通信は、簡単化した三段安全な経路によって実行され、即ち、SW-NとSW-Bの間に共有キーKEYN-Bによって秘密伝送を行い、SW-BとSTA2の間に共有キーKEYB-2によって秘密伝送を行う。
【００５５】
SW-Nは、SW-Mとデータの秘密通信を実行する場合に、通信両方のいずれもスイッチ装置であって、スイッチングルートを捜索しなくても送信ノードがSW-firstであって、宛先ノードがSW-lastであることも承知でき、それらとの間の共有キーKEYN-Mをそのまま使用して秘密伝送を行う。これは、一番簡単化にした三段式秘密通信である。 
【００５６】
本発明の実施例は、安全なアーキテクチャの構築と秘密通信システムをさらに提供する。前記システムは、ユーザ端末とスイッチ装置が含まれており、前記ユーザ端末及びスイッチ装置のいずれも、隣接するノードを発見するプロセスによって隣接するノードのすべての情報を取得すると共に、隣接するノードと鑑別及び交渉を実施して両者間に共有するキーを取得し、前記スイッチ装置は、スイッチ装置の間の共有キーをさらに構築する。 
【００５７】
このシステムにおけるユーザ端末とスイッチ装置がデータの秘密通信をスタートする場合に、送信元ノードNSource、最初のスイッチ装置SW-first、最後のスイッチ装置SW-last及び宛先ノードNDestination という四種類の特定のノード身分を有しても良い。 
【００５８】
前記送信元ノードNSourceは、スイッチングルートを捜索する要求パケットを宛先ノードNDestinationに構築して送信し、宛先ノードNDestinationからスイッチングルートを捜索する応答パケットを受信し、宛先ノードNDestinationへ送信されたユーザデータのいずれについても最初のスイッチ装置SW-firstとの間の共有キーを用いて暗号化すると送信し、宛先ノードNDestinationから受信された暗号文データパケットのいずれについても最初のスイッチ装置SW-firstとの間の共有キーを用いて復号化すると情報を取得する、ためのものである。
【００５９】
前記最初のスイッチ装置SW-firstは、送信元ノードNSourceから宛先ノードNDestinationまでのスイッチングルートを捜索する要求パケットを修正すると転送し、宛先ノードNDestinationから送信元ノードNSourceまでのスイッチングルートを捜索する応答パケットについて四要素組の情報を抽出し、保存すると転送し、送信元ノードNSourceから宛先ノードNDestinationへ送信された暗号文データパケットについて、送信元ノードNSourceとの間の共有キーを用いて復号化すると共に、最後のスイッチ装置SW-lastとの間の共有キーを用いて暗号化すると転送し、宛先ノードNDestinationからソースノードNSourceへ送信された暗号文データパケットについて、最後のスイッチ装置SW-lastとの間の共有キーを用いて復号化すると共に、送信元ノードNSourceとの間の共有キーを用いて暗号化すると転送する、ためのものである。
【００６０】
前記最後のスイッチ装置SW-lastは、送信元ノードNSourceから宛先ノードNDestinationまでのスイッチングルートを捜索する要求パケットを修正すると転送し、宛先ノードNDestinationから送信元ノードNSourceまでのスイッチングルートを捜索する応答パケットについて、四要素組の情報を抽出し、保存すると転送し、送信元ノードNSourceから宛先ノードNDestinationへ送信された暗号文データパケットについて、最初のスイッチ装置SW-firstとの間の共有キーを用いて復号化すると共に、宛先ノードNDestinationとの間の共有キーを用いて暗号化すると転送し、宛先ノードNDestinationから送信元ノードNSourceへ送信された暗号文データパケットについて、宛先ノードNDestinationとの間の共有キーを用いて復号化すると共に、最初のスイッチ装置SW-firstとの間の共有キーを用いて暗号化すると転送する、ためのものである。 
【００６１】
前記宛先ノードNDestinationは、送信元ノードNSourceからスイッチングルートを捜索する要求パケットを受信し、スイッチングルートを捜索する要求パケットから四要素組の情報を抽出すると保存し、スイッチングルートを捜索する応答パケットを送信元ノードNSourceに送信し、送信元ノードNSourceへ送信されたユーザデータのいずれについても最後のスイッチ装置SW-lastとの間の共有キーを用いて暗号化すると送信し、送信元ノードNSourceから受信された暗号文データパケットのいずれについても、最後のスイッチ装置SW-lastとの間の共有キーを用いて復号化すると情報を取得する、ためのものである。
【００６２】
前記安全なアーキテクチャの構築と秘密通信システムには、 
送信元ノードNSourceと宛先ノードNDestinationの間の通信データパケットを受信できるが、スイッチ四要素組に存在しない中間スイッチ装置であって、送信元ノードNSourceと宛先ノードNDestinationの間のスイッチングルートを捜索する要求パケットと、スイッチングルートを捜索する応答パケットと、暗号化データパケットのいずれについても、そのまま転送する中間スイッチ装置を含む中間スイッチ装置SW-Mをさらに、含む。
【符号の説明】
【００６３】
SW-A、SW-B、SW-M、SW-N  スイッチ装置
STA1、STA2  端末
【図１】
0005529344.tif 000002
【図２】
0005529344.tif 000003
【図３】
0005529344.tif 000004