(57)【特許請求の範囲】
【請求項１】
セキュアデバイスに関連付けられ、かつ通信ネットワークと通信的に結合されたルータを有し、
該ルータは、通信ネットワークとセキュアデバイスの間に配置されており、
該ルータは、セキュアデバイスによるルータの認証に続いて、セキュアデバイスと通信するためのインターフェースを備え、
該ルータは、第１の部分と第２の部分に分割されたルーティングプロトコルの少なくとも第１の部分を実行するように構成され、
該ルータは、セキュアデバイスによるルーティングプロトコルの少なくとも第２の部分を実行することを命令するための手段を備え、ルーティングプロトコル第１の部分と第２の部分は別個である、装置。
【請求項２】
該ルータが、実行されることになるルーティングプロトコルの部分を識別して、ルータおよびセキュアデバイスの中から、どのユニットがルーティングプロトコルの識別された部分を実行することになるかを決定するための手段を備える、請求項１に記載の装置。
【請求項３】
該ルータが、ルーティングプロトコルの第１の部分とルータとの間の整合、およびルーティングプロトコルの第２の部分とセキュアデバイスとの間の整合の表を備え、ルーティングプロトコルの第１の部分およびルーティングプロトコルの第２の部分が、ルーティングプロトコルを完全に画定する、請求項２に記載の装置。
【請求項４】
ルーティングプロトコルの少なくとも１つの部分が、ルーティングプロトコルによって要求された制御メッセージを作成するためのアルゴリズムである、請求項１から３のいずれか一項に記載の装置。
【請求項５】
通信ネットワークと通信的に結合されたルータに関連付けられたセキュアデバイスを有し、
該セキュアデバイスは、ルータにより通信ネットワークから分離されるように構成され、
該セキュアデバイスは、セキュアデバイスによるルータの認証に続いて、ルータと通信するためのインターフェースを備え、
該セキュアデバイスは、ルータのコマンドによってルーティングプロトコルの少なくとも第２の部分を実行するための手段を備え、
ルーティングプロトコルは、別個の第１の部分と第２の部分を有し、
該セキュアデバイスは、ルーティングプロトコルの第２の部分を実行し、ルーティングプロトコルの第１の部分を実行しないように構成された、装置。
【請求項６】
該セキュアデバイスが、メッセージを作成して、ルーティングプロトコルの第２の部分をさらに実行するために署名し、署名されたメッセージをルータに送信するための手段を備える、請求項５に記載の装置。
【請求項７】
該セキュアデバイスがチップカードである、請求項５または６に記載の装置。
【請求項８】
通信ネットワーク内のルーティングプロトコルのある部分をセキュアに実行するための方法であって、セキュアデバイスに関連付けられるルータ内で、
実行されることになるルーティングプロトコルの部分を識別するステップと、
ルータおよびルータに関連付けられるセキュアデバイスの中から、どのユニットがルーティングプロトコル部分の識別された部分を実行することになるかを決定するステップを有し、該ルータはルーティングプロトコルの第１の部分を実行するように構成され、該セキュアデバイスはルーティングプロトコルの第２の部分を実行するように構成され、ルーティングプロトコル第１の部分と第２の部分は別個であり、
さらに、セキュアデバイスによってルータを認証するために、ルーティングプロトコルの識別された部分がルーティングプロトコルの第２の部分に属する場合には、セキュアデバイスによってルーティングプロトコルの識別された部分を実行することを命令するステップを備え、
セキュアなデバイス内で、ルータのコマンドによって、ルーティングプロトコルの識別された部分を実行するステップを備える、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットベースの通信ネットワーク内のセキュアデバイスに関連付けられるルータに関する。
【背景技術】
【０００２】
ルータは、パケットベースのネットワークなど、所与の通信ネットワーク内に含まれた情報技術デバイスであり、その機能は、詳細には、所与のネットワークと少なくとも１つのその他のネットワークとの間に接続部を提供して、所与のネットワークを介してデータパケットを導き、データパケットを所与のネットワークから別のネットワークに送信することである。
【０００３】
ルータに対する攻撃は、ルータの故障と、ネットワークの機能停止、サービスの中断、ネットワークのユーザの活動に対する妨害、ならびにかなりのコスト、および否定的な宣伝など、様々な有害な結果とをもたらす場合がある。
【０００４】
かかる攻撃は、ネットワークにおけるその重要な役割のため、多くの場合、ルータを標的にし、かかる攻撃は、ネットワーク内のデータトラフィックを監視するための「中間者」攻撃、サービス攻撃の拒否、または破壊攻撃など、異なるタイプのものであり得る。
【０００５】
破壊攻撃において、攻撃者は、現在のユーザ権利、または場合によっては、管理者権利を用いてルータに接続されることが可能である。かかる権利は、そのルータの構成を修正して、そのルータ内で実行されるすべての処理を制御する権限を攻撃者に与える。
【０００６】
ＯＳＰＦ（「オープンショーテストパスファースト」）プロトコル、ＢＧＰ（「ボーダーゲートウェイプロトコル」）プロトコル、またはＲＩＰ（ルーティング情報プロトコル」）プロトコルなど、ネットワークを介してデータトラフィックを導くための様々なルーティングプロトコルが存在する。破壊攻撃の間、攻撃者は、偽のアドレスを使用して、不良ルーティングを介してデータパケットを導く目的で、ルーティングプロトコルのメッセージを生成する処理を修正することができる。例えば、攻撃者が、潜在的にそのようなデータパケットを修正できるようになる目的で、かかるデータパケットにアクセスすることができるように、データパケットが攻撃者に属している機器に向けて方向付けられる場合がある。かかる不良ルーティング情報は、ネットワーク内のすべてのルータに伝搬される可能性がある。
【０００７】
ネットワークの２つのルータの間のデータ交換を確実にするために、いくつかの機構は、ネットワークによって使用されるルーティングプロトコルによって生成されるすべてのメッセージを認証する。この認証は、ネットワークのすべてのルータ内に配備されて記憶され、それぞれのルータの管理者によって変更され得る秘密鍵によって実行される。かかる認証機構は、以下の欠点を有する：
−  攻撃者がルータの管理者権利を所有しているとき、攻撃者は、ルータのセキュリティ機能のために必要とされる秘密鍵を修正することが可能である、
−  攻撃者は、送信または受信されたメッセージのコンテンツを修正するために、ルーティングプロトコルの実装を潜在的に変更することが可能である、および
−  秘密鍵は一般に決して変更されないという点で、秘密鍵管理は非常に面倒である。
【０００８】
したがって、攻撃者がデータトラフィックのすべてまたは一部を汚染されたネットワークアドレスに導くことが可能な、ネットワークルータに対する攻撃の結果を回避または制限するために、パケットベースのネットワークオペレータの必要が存在する。
【発明の概要】
【発明が解決しようとする課題】
【０００９】
本発明の１つの目標は、パケットベースのネットワーク内でルータのセキュリティを改善することによって、上述の欠点を改善することである。
【課題を解決するための手段】
【００１０】
この目標を達成するために、本発明は、セキュアデバイスによるルータの認証に続いて、セキュアデバイスと通信するためのインターフェースを備えた、セキュアデバイスに関連付けられ、かつ通信ネットワーク内に含まれたルータであって、セキュアデバイスによるルーティングプロトコルの少なくとも一部を実行することを命令するための手段を備えることを特徴とする、ルータを提供する。
【００１１】
有利には、本発明によるルータは、ルーティングプロトコルにとって重要でないと見なされるプロトコル部分を実行することが可能であり、ルーティングプロトコルにとって重要と見なされるその他のプロトコル部分の実行をセキュアデバイスに移送することが可能である。セキュアデバイス内で実行されるプロトコル部分は、ルータ自体によって実行および／または修正されることが可能でなく、ルータが潜在的な攻撃者によって操られる可能性があるため、信頼性があると見なされないルータによって実行されるその他のプロトコルとは対照的に、信頼性があると見なされる。
【００１２】
本発明の別の特性によれば、このルータは、実行されることになるルーティングプロトコルのある部分を識別して、ルータおよびセキュアデバイスの中から、どの構成部分が識別されたルーティングプロトコル部分を実行することになるかを決定するための手段を備え得る。この識別は、第１のルーティングプロトコル部分とルータとの間、および第２のルーティングプロトコル部分とセキュアデバイスとの間の整合表によって実行されることが可能であり、第１のプロトコル部分および第２のプロトコル部分は、別個であり、ルーティングプロトコルを完全に画定する。
【００１３】
例として、前記少なくとも１つのルーティングプロトコル部分は、ルーティングプロトコルによって必要とされる制御メッセージを作成するためのアルゴリズム、またはセキュアデバイス内に記憶されたルーティング表を作成もしくは修正するためのアルゴリズムであり得る。
【００１４】
本発明は、セキュアデバイスによるルータの認証に続いて、ルータと通信するためのインターフェースを備えた、通信ネットワーク内に含まれたルータに関連づけられるセキュアデバイスであって、さらにルータに命令するために、ルーティングプロトコルの少なくとも一部を実行するための手段を備えることを特徴とする、セキュアデバイスにも関する。
【００１５】
本発明の別の特性によれば、セキュアデバイスは、ルーティングプロトコルの前記少なくとも一部をさらに実行するために、作成されたメッセージに署名して、署名されたメッセージをルータに送信する手段を備え得る。セキュアデバイスによって作成されて書名されたメッセージは、信頼性があり、かつ修正できないコンテンツを有し、修正されたメッセージは、不良署名により、その他のルータによって受け入れられないことになるため、そのルータによるメッセージのいかなる修正も、そのメッセージを使用不可にすることになる。
【００１６】
例えば、セキュアデバイスは、チップカードであってよい。ルーティングプロトコルに関係するデータおよびアルゴリズムは、チップカード上に不可逆的かつセキュアに記憶され得ると有利である。
【００１７】
本発明は、さらに、通信ネットワーク内のルーティングプロトコルのある部分をセキュアに実行するための方法であって、セキュアデバイスに関連付けられるルータ内で、
実行されることになるルーティングプロトコルのある部分を識別するステップと、
ルータおよびそのルータに関連付けられるセキュアデバイスの中から、どの構成要素が識別されたルーティングプロトコル部分を実行することになるかについて決定するステップと、
さらに、セキュアデバイスによってルータを認証するために、セキュアデバイスによってルーティングプロトコルの当該部分を実行することを命令するステップとを備え、
セキュアデバイス内で、ルータのコマンドによって、ルーティングプロトコルの当該部分を実行するステップを備えることを特徴とする方法に関する。
【００１８】
本発明およびその利点は、添付の図面を参照する下の説明を考察すると、よりよく理解されよう。
【図面の簡単な説明】
【００１９】
【図１】本発明による、信頼されたデバイスに関連付けられ、パケットベースのネットワーク内に含まれたルータの概略ブロック図である。
【図２】本発明による、ルータに関連付けられる信頼されたデバイス内のルーティングプロトコルのある部分を実行する方法のアルゴリズムである。
【発明を実施するための形態】
【００２０】
序文として、本発明を理解するために役立ついくつかの用語および概念が下で定義される。
【００２１】
ルータは、メッセージを経路指定するための、通信ネットワーク内の情報技術デバイスである。より詳細には、ルータは、ネットワークを介したメッセージの伝送を制御し、データパケットができるだけ早くネットワーク内の所定の目標に達することになるように、パケットが送信されるべき、最も近傍のネットワークノードを決定することが可能である。このために、ルータは、ネットワーク内のその他のルータに対する最短経路に関連する測定基準に応じて、かかる経路を含むルーティング表をそのメモリ内に有する。すなわち、ルーティング表は、目標とされるネットワーク位置のネットワークアドレスと、ルータがメッセージを送信することになる次ノードとの間の整合表である。「ルーティング」と呼ばれるこの処理は、ＯＳＩ（「開放型システム間相互接続」）モデルの「ネットワーク」層内で発生し、一般に、ＩＰ（「インターネットプロトコル」）プロトコルと関連付けられる。
【００２２】
ルータは、詳細には、マザーボード、マイクロプロセッサ、オペレーティングシステム、およびサーバまたはその他のルータなど、その他の構成要素と通信するために必要なネットワークリソースを備える、ルーティング機能専用のコンピュータであってよい。
【００２３】
ルーティングプロトコルは、ルータ間でルーティング情報を交換すること可能にすると同様に、使用される異なるアプリケーション間の交換のモード、例えば、メッセージまたはメッセージに関する受信の肯定応答を送信することを定義すること、より詳細には、メッセージの交換に関するルータの識別子、その性質およびコンテンツ、ならびにメッセージの予想される処理など、交換されたメッセージの特性を定義することを可能にする。
【００２４】
ルータは、３つのレベルに関する異なる機能性を有する：すなわち、
−  ルータの（１つまたは複数の）ルーティングプロトコルによって収集された情報に基づいて、ルーティング表をコンパイルする制御レベル、
−  所望される宛先に向けてパケットを経路指定するために、再送信機能性を組み合わせるデータレベル、および
−  例えば、コマンドラインインターフェースから、またはネットワーク管理者によって、ルータを管理する管理レベル、である。
【００２５】
本発明は、ルータに関連付けられる信頼されたデバイスによって、信頼されたレベルをルータに追加する。信頼されたレベルは、さらに、セキュアデータをセキュアに処理するために、信頼性のある情報の供給を可能にする機能性を提供する。例えば、信頼されたデバイスは、ネットワーク機器サプライヤによって供給されて、ネットワークオペレータまたはネットワーク管理者によって構成される。
【００２６】
ネットワークオペレータによって、チップカードなど、信頼されたデバイスを取得する例が以下で説明される。カード製造会社は、チップカード、ならびに秘密初期化鍵をネットワーク機器サプライヤに供給する。前記秘密初期化鍵は、サプライヤがアプレット、すなわち、チップカード上にロードされて、チップカード内で実行されるプログラム、詳細には、そのカードに関連付けられるルータに関するデータ、プロトコルアルゴリズム、およびカード内の秘密鍵を設置するのを可能にする。設置が完了したとき、サプライヤとネットワークオペレータとの間で交わされた合意に応じて、サプライヤは、秘密鍵を除去し、次いで、設置されたアプレットがもはや修正されることができなくなるオプション、または秘密鍵を除去せず、その場合、設置されたアプレットが更新され得るオプションを有する。次いで、サプライヤは、チップカードに関連付けられるルータをネットワークオペレータに販売することが可能である。ルータが初めて構成されて、使用されるとき、信頼されたデバイスは、そのルータと関連付けられる。オペレータのポリシーに応じて、信頼されたデバイスは、一度だけ、ルータと関連付けられることが可能であり、またはその機能専用の機器によって修正されること、もしくは更新されることが可能である。
【００２７】
図１を参照すると、ルータＲＴは、通信ネットワーク内に含まれて、信頼されたデバイスＤＣと関連付けられる。ルータＲＴは、パケットベースのネットワークの少なくとも１つのその他のルータＲＴ２と通信するのに適している。
【００２８】
通信ネットワークＲＣは、例えば、インターネットもしくはイントラネット、または会社固有の私設網など、ＩＰ（「インターネットプロトコル」）タイプの高速ネットワークである。
【００２９】
ルータＲＴは、信頼されたデバイスＤＣと通信するためのアクセスインターフェースＩＲＴと、「重要でない」と見なされるルーティングプロトコルの部分を実行するためのＩＮＴプロトコルインタープリタと、その中に、詳細には、以下で、重要でないアルゴリズムＡｎｃと呼ばれる、重要でないプロトコル部分に対応する所定のアルゴリズムが記憶されるメモリＭＲＴと、別のルータＲＴ２など、通信ＲＣの構成要素と通信するためのＲＥＳネットワークインターフェースとを備える。
【００３０】
信頼されたデバイスＤＣは、ルータＲＴと通信するためのアクセスインターフェースＩＤＣと、「重要」と見なされるルーティングプロトコルの部分を実行するための処理ユニットＵＤＣと、その中に、詳細には、秘密鍵ＫＳ、および、以下で、重要なアルゴリズムＡｃと呼ばれる、ルーティングプロトコルの「重要な」部分に対応する所定のアルゴリズムが記憶されるメモリＭＤＣとを備える。
【００３１】
ルーティングプロトコルのすべての部分に対応するすべてのアルゴリズムは、したがって、ルータ内および信頼されたデバイス内に共有されるように記憶され、ルーティングプロトコルの実装は、これにより、その重要でない部分については、ルータ内に、その重要な部分については、ルーティングデバイス内に分散される。したがって、プロトコルの重要な部分は、プロトコルの重要でない部分とは別個であり、重要な部分と重要でない部分とが全体としてルーティングプロトコルを定義するように、その重要でない部分に対して補完的でなければならない。例として、前記重要な部分は、例えば、メッセージを構築または認証する目的で、あるいはデータベースもしくはルーティング表を作成または修正する目的で、ある種の情報を生成するためのアルゴリズム内にあってもよい。前記重要な部分は、攻撃者が破壊攻撃を実行するために使用することを希望する機能内にあってもよい。ルータによって実行される、重要でないプロトコル部分は、セキュアであるまたは信頼性があると見なされず、一方、重要なプロトコル部分は、セキュアであり、かつ信頼性があると見なされる。
【００３２】
したがって、信頼レベルは、重要なプロトコル部分を管理し、一方、制御レベルは、重要でないプロトコル部分を管理する。
【００３３】
信頼されたデバイスＤＣは、プロセス実行隔離概念（ｐｒｏｃｅｓｓ  ｅｘｅｃｕｔｉｏｎ  ｉｓｏｌａｔｉｏｎ  ｃｏｎｃｅｐｔ）を実装するセキュアで堅固なデバイスである。例えば、信頼されたデバイスＤＣは、例えば、無線周波数タイプの通信手段によってルータからアクセス可能な、マイクロコントローラカードまたはＩＣカードとも呼ばれる、着脱可能な接触チップカードまたは非接触チップカードである。別の例によれば、信頼されたデバイスは、暗号機能を有するハードウェアセキュリティモジュールＨＳＭであり、ルータ内に統合されたプラグイン式の電子カードタイプのものであってよく、または非接触接続もしくは接触接続を介してルータに接続された、外部ボックスタイプのものであってもよい。
【００３４】
ルータＲＴおよび信頼されたデバイスＤＣは、共有された通信鍵によって、それぞれのアクセスインターフェースＩＲＴおよびＩＤＣを介して互いの間で通信する。例えば、ルータＲＴは、信頼されたデバイスＤＣとの通信を確立する前に、信頼されたデバイスＤＣから識別コードを要求することが可能である。これらの通信鍵は、別のルータ上の信頼されたデバイスの任意の実行を回避する。
【００３５】
ルータＲＴおよび信頼されたデバイスＤＣは関連付けられる。すなわち、これらは有線接続または無線接続によって相互接続され得る。例えば、信頼されたデバイスＤＣは、ルータＲＴの適切な読取装置内に導入され得る非接触接続チップカードまたは接触接続チップカードであってよい。
【００３６】
オプションで、ルータＲＴは、ルータＲＴが、実際に、信頼されたデバイスＤＣと関連付けられるかどうかを検出して、適用可能な場合、信頼されたデバイスに電力を供給するためのプレゼンスコントローラ（ｐｒｅｓｅｎｃｅ  ｃｏｎｔｒｏｌｌｅｒ）を備える。
【００３７】
図２を参照すると、本発明によるルータに関連付けられる信頼されたデバイス内のルーティングプロトコルのある部分を実行する方法は、本発明によるルータ内で部分的に、かつ信頼されたデバイス内で部分的に自動的に実行されるステップＥ１からＥ７を備える。
【００３８】
ステップＥ１において、ルータＲＴによって使用されるルーティングプロトコルに応じて、事象は、ルータによるプロトコルのある部分の実行をトリガする。この事象は、例えば、通信ネットワークＲＣの別のルータからの要求を、ネットワークインターフェースＲＥＳを経由して、ルータによって受信することであり得る。プロトコルインタープリタＩＮＴは、実行されることになるプロトコルの部分を識別する。
【００３９】
ステップＥ２において、ルータのプロトコルインタープリタＩＮＴは、識別されたプロトコル部分が、ルータによって実行され得るか、または信頼されたデバイスによって実行され得るかを決定する。すなわち、ルータのプロトコルインタープリタＩＮＴは、そのプロトコル部分が重要なアルゴリズムＡｃであるか、または重要でないアルゴリズムＡｎｃであるかを検証する。このために、プロトコルインタープリタは、例えば、その中で、それぞれのプロトコル部分がルータまたは信頼されたデバイスと関連付けられる整合表を参照する。
【００４０】
このプロトコル部分が重要でない場合、ルータ自体が、ステップＥ３において、この重要でないプロトコル部分に対応するＡｎｃアルゴリズムを実行する。
【００４１】
このプロトコル部分が重要であり、したがって、整合表において信頼されたデバイスに関連付けられる場合、プロトコルインタープリタは、ステップＥ４において、ＩＲＴアクセスインターフェースおよびＩＤＣアクセスインターフェースを経由して、信頼されたデバイスＤＣに対するアクセスを要求する。信頼されたデバイスによるルータの認証に続いて、これらの２つの構成要素は、互いの間で通信することが可能であり、プロトコルインタープリタは、例えば、詳細には、そのプロトコル部分に関する識別子、または整合アルゴリズムに関する識別子をデバイスに送信することによって、重要なプロトコル部分の実行を信頼されたデバイスに命令する。
【００４２】
ステップＥ５において、信頼されたデバイスの処理ユニットＵＤＣは、メモリＭＤＣ内に記憶された重要なアルゴリズムＡｃを実行して、例えば、重要なアルゴリズムＡｃから受信された識別子を用いて、重要なプロトコル部分を整合させる。
【００４３】
オプションのステップＥ６において、ステップＥ５において実行された重要なアルゴリズムの性質に応じて、処理ユニットＵＤＣは、そのプロトコル部分の実行の終わりに、メッセージＭＥＳを作成して、メモリＭＤＣ内に記憶された秘密鍵ＫＳを用いて、作成されたメッセージに署名する。例として、ステップＥ６は、重要なアルゴリズムが、使用されたルーティングプロトコルによって要求された制御メッセージの作成に対応する場合に実行され、ステップＥ６は、重要なアルゴリズムが、信頼されたデバイス内に記憶されたルーティング表の修正に対応する場合に実行される。
【００４４】
オプションのステップＥ７において、処理ユニットＵＤＣは、署名されたメッセージＭＥＳをプロトコルインタープリタＩＮＴに送信し、次いで、プロトコルインタープリタＩＮＴは、当該メッセージがあたかもプロトコルインタープリタによって作成されたかのようにそのメッセージを処理する。すなわち、例えば、署名されたメッセージを別のルータに送信する。メッセージＭＥＳが署名されると、ルータは、もはやメッセージのコンテンツを修正できない。
【００４５】
本発明の一実施形態によれば、信頼されたデバイスＤＣは、ＯＳＰＦプロトコル、ＢＧＰプロトコル、またはＲＩＰプロトコルなど、少なくとも１つのルーティングプロトコルの重要な部分を実行する。本発明の特定の例によれば、信頼されたデバイスＤＣは、ルータ間でルーティング情報を交換する目的で、ルータが互いを検出することを可能にする、ＯＳＰＦプロトコルの重要な部分であるＨＥＬＬＯプロトコルを実行する。それぞれのルータは、定期的な時間間隔で、隣り合うルータに向けて制御メッセージを送信し、このメッセージは、経時的に増分される暗号シーケンス番号を含む。Ｈｅｌｌｏプロトコルは、ルータ間に隣接関係をセットアップすること、より詳細には、ＯＳＰＦプロトコルに従って、通信ネットワーク内のそれぞれのローカルネットワークに関して指定されたルータＤＲと、バックアップ指定されたルータＢＡＲとを選択することを可能にする。
【００４６】
所与のルータによって送信された制御メッセージは、知られている、隣り合うルータに関する情報、および所与のルータと隣り合うルータとの間の接続の状態をさらに含む。
【００４７】
ルータＲＴに関連付けられる、信頼されたデバイスＤＣ内のＨＥＬＬＯプロトコルの実装の例が以下で説明される。
【００４８】
ルータが動作可能になり次第、ルータは、すべての専用のインターフェースを経由して、ＨＥＬＬＯ制御メッセージをルータのＯＳＰＦプロトコルに定期的に送信する。ＨＥＬＬＯメッセージを受信したルータは、隣り合うルータに応答を送信する。このために、インタープリタＩＮＴは、ＯＳＰＦプロトコルの重要なプロトコル部分として、ＨＥＬＬＯプロトコルを識別し、ＨＥＬＬＯメッセージ構築アルゴリズムの実行を信頼されたデバイスに命令する。次いで、処理ユニットＵＤＣは、ＨＥＬＬＯメッセージを構築して、次にそのメッセージを別のルータに送信することが可能な、ルータのプロトコルインタープリタＩＮＴに当該メッセージを送信する前に、当該メッセージに署名する。
【００４９】
セキュアデバイスによるＨＥＬＬＯプロトコルの処理は、これにより、ＨＥＬＬＯメッセージが真正であり、ＨＥＬＬＯメッセージが安全なソースから発生することを確実にする。
【００５０】
ルータに対する破壊攻撃において、攻撃者は、オペレーティングシステムと、ルーティングプロトコルと、信頼されたデバイスに関連付けられないルータ内に含まれた秘密鍵とを修正することが可能である。
【００５１】
本発明によれば、攻撃されたルータは、攻撃がネットワーク全体に伝搬するのを回避するために、分離されることが可能である。実際に、信頼されたデバイスが使用されない場合、その経路は、もはや、信頼されたデバイス内に含まれたアルゴリズムおよびデータにアクセスして、要求されたルーティングプロトコルに準拠することができないため、その経路は分離される。
【００５２】
例えば、ＯＳＰＦルーティングプロトコルの場合、攻撃されたルータは、もはや、ＨＥＬＬＯメッセージに正確に署名して、認証することができず、その他のルータは、もはや、その攻撃されたルータを認識できない。攻撃されたルータは、その他のルータに知られているルーティング表から姿を消し、データトラフィックは、もはや、攻撃されたルータを通過しないことになる。
【００５３】
したがって、ルータは、以下の場合、分離される：
−  攻撃者が、ルータと信頼されたデバイスとの間で共有された通信鍵を修正したとき、またはルータから信頼されたデバイスを接続解除したとき、ルータによって作成されたメッセージは、もはや、信頼されたデバイスによって署名されて、認証されることができず、したがって、かかるメッセージが、隣り合うルータに送信され得ない場合、
−  攻撃者が受信された制御メッセージのデータを修正したとき、攻撃者は、そのメッセージに署名できず、ルータはそのメッセージを認証することができないため、信頼されたデバイスは、その制御メッセージを受け入れることができない。その後、攻撃されたルータは、隣り合うルータからそれ以上の情報を受信しないことになり、もはや、そのメッセージに応答することができない場合、そして
−  攻撃者が、信頼されたデバイスによって署名され、別のルータに送信されるべき制御メッセージのデータを修正したとき、攻撃者は、修正されたメッセージに署名することができず、かかる修正されたメッセージが、別のルータによって受け入れられないことになる場合。
【図１】
0005562951.tif 000002
【図２】
0005562951.tif 000003