(57)【特許請求の範囲】
【請求項１】
送信対象ＩＰデータを送信対象ヘッダ部分と送信対象データ部分とに分離する送信用分離回路と、
前記送信対象ヘッダ部分を撹拌用既約多項式に基づいて撹拌する送信用撹拌回路と、
前記送信用撹拌回路により撹拌された撹拌後送信対象ヘッダ部分と前記送信対象データ部分を多重化する送信用多重化回路とを含み、
前記送信用多重化回路により多重化された多重化ＩＰデータを暗号化のために出力する
ＩＰデータ撹拌装置。
【請求項２】
前記送信用分離回路により分離された前記送信対象データ部分に対応する撹拌用既約多項式を選択する送信用選択回路
を更に含む請求項１のＩＰデータ撹拌装置。
【請求項３】
複数の撹拌用既約多項式を格納するメモリカードと、
前記メモリカードに格納されている撹拌用既約多項式のうちから複数の撹拌用既約多項式を設定する設定ユニットとを更に含み、
前記送信用選択回路により選択される前記撹拌用既約多項式は、前記設定ユニットに設定されている複数の撹拌用既約多項式のうちから選択される
請求項２のＩＰデータ撹拌装置。
【請求項４】
受信対象ＩＰデータを受信対象ヘッダ部分と受信対象データ部分とに分離する受信用分離回路と、
前記受信用分離回路により分離された前記受信対象データ部分に対応する撹拌用既約多項式を選択する受信用選択回路と、
前記受信対象ヘッダ部分を前記撹拌用既約多項式に基づいて撹拌する受信用撹拌回路と、
前記受信用撹拌回路により逆撹拌された逆撹拌後ヘッダ部分と前記受信対象データ部分を多重化する受信用多重化回路
とを更に含む請求項２又は３のＩＰデータ撹拌装置。
【請求項５】
データ撹拌装置と、
データ秘匿装置と、
端末とを含み、
前記データ撹拌装置は、
前記端末から受信するＩＰデータのうちのヘッダ部分を撹拌し前記ＩＰデータのうちのデータ部分を撹拌しないヘッダデータ撹拌回路と、
前記ヘッダデータ撹拌回路により撹拌された撹拌後ヘッダ部分と前記データ部分とを多重化する送信用多重化回路とを備え、
前記送信用多重化回路により多重化された多重化後データが前記秘匿装置に送信される
ＩＰデータ秘匿システム。
【請求項６】
前記ヘッダ撹拌回路は、前記データ部分に対応する既約多項式に基づいて前記ヘッダ部分を撹拌する
請求項５のＩＰデータ秘匿システム。
【請求項７】
前記データ撹拌装置は、
前記データ秘匿装置から受信する復号化後ＩＰデータのうちの復号化後ヘッダ部分を逆撹拌し前記複合化後ＩＰデータのうち複合化後データ部分を逆撹拌しないヘッダデータ逆撹拌回路と、
前記ヘッダデータ逆撹拌回路により逆撹拌された逆撹拌後ヘッダ部分と前記復号化後データ部分とを多重化する受信用多重化回路とを備え、
前記受信用多重化回路により多重化された多重化後データが前記端末に送信される
請求項６のＩＰデータ秘匿システム。
【請求項８】
ＩＰデータの内のヘッダ部分を撹拌し前記ＩＰデータのうちのデータ部分を撹拌しない撹拌ステップと、
前記撹拌された前記ヘッダ部分と前記データ部分との全体を暗号化するステップ
とを含むＩＰデータ撹拌方法。
【請求項９】
前記撹拌ステップは、
前記データ部分に対応する既約多項式に基づいて前記ヘッダ部分を撹拌するステップを備える
請求項８のＩＰデータ撹拌方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＩＰデータ撹拌装置、ＩＰデータ秘匿システム、及び、ＩＰデータ撹拌方法に関し、特に、ＩＰパケットデータを秘匿して端末と局との間で通信するＩＰデータ撹拌装置、ＩＰデータ秘匿システム、及び、ＩＰデータ撹拌方法に関する。
【０００２】
【従来の技術】
ＩＰパケットデータを秘匿して端末と局との間で通信するデータ秘匿装置は、そのＩＰパケットのデータ部分を秘匿し、又は、そのＩＰパケットのデータ部分とヘッダ部分の両方である全体を秘匿している。ＩＰパケットの全体を秘匿する場合、そのヘッダ部のＩＰアドレスデータは、住所のように不変でありＩＰパケットごとに出力される固定・不変データである。このような固定データの暗号化によるデータ秘匿は、同文異暗号の秘匿になっていて、暗号強度を劣化させている。このような暗号強度の劣化を抑制するために、ＩＰパケットデータのヘッダ部分を暗号化しないでデータ部分のみを暗号化する技術、又は、上位層のソフトウエアによりデータ部分のデータを暗号化する技術が知られている。
【０００３】
このようなデータ部分のみの暗号化は、発信元のＩＰアドレスと宛先のＩＰアドレスのユーザー関連情報が外部に流れ出ることを回避することができない。それを回避するためにＩＰパケットの全体の暗号化を行うような暗号強度を劣化させる技術では、データ部分の暗号化のために使用した秘匿用鍵データと秘匿用アルゴリズムが判明してデータ部分のデータが解読される恐れがある。
【０００４】
暗号強度を劣化させず、且つ、固定データの流出を回避することが求められる。全体の秘匿でも部分的な同文異暗号化を招かず固定データの秘匿を可能にすることが求められる。固定データの秘匿により逆に全体の解読を容易にすることを抑制することが望まれる。
【０００５】
【発明が解決しようとする課題】
本発明の課題は、暗号強度を劣化させず、且つ、固定データの流出を回避することができるＩＰデータ撹拌装置、ＩＰデータ秘匿システム、及び、ＩＰデータ撹拌方法を提供することにある。
本発明の他の課題は、全体の秘匿が同文異暗号化を招かず固定データの秘匿を可能にするＩＰデータ撹拌装置、ＩＰデータ秘匿システム、及び、ＩＰデータ撹拌方法を提供することにある。
本発明の更に他の課題は、固定データの秘匿により逆に全体の解読を容易にすることを抑制することができるＩＰデータ撹拌装置、ＩＰデータ秘匿システム、及び、ＩＰデータ撹拌方法を提供することにある。
【０００６】
【課題を解決するための手段】
その課題を解決するための手段が、下記のように表現される。その表現中に現れる技術的事項には、括弧（）つきで、番号、記号等が添記されている。その番号、記号等は、本発明の実施の複数・形態又は複数の実施例のうちの少なくとも１つの実施の形態又は複数の実施例を構成する技術的事項、特に、その実施の形態又は実施例に対応する図面に表現されている技術的事項に付せられている参照番号、参照記号等に一致している。このような参照番号、参照記号は、請求項記載の技術的事項と実施の形態又は実施例の技術的事項との対応・橋渡しを明確にしている。このような対応・橋渡しは、請求項記載の技術的事項が実施の形態又は実施例の技術的事項に限定されて解釈されることを意味しない。
【０００７】
本発明によるＩＰデータ撹拌装置は、送信対象ＩＰデータ（２）を送信対象ヘッダ部分（５）と送信対象データ部分（６）とに分離する送信用分離回路（４）と、送信対象ヘッダ部分（５）を撹拌用既約多項式（１４）に基づいて撹拌する送信用撹拌回路（１３）と、送信用撹拌回路（１３）により撹拌された撹拌後送信対象ヘッダ部分（１６）と送信対象データ部分（６）を多重化する送信用多重化回路（１５）とから構成されている。送信用多重化回路（１５）により多重化された多重化ＩＰデータ（１８）を暗号化のために出力する。
【０００８】
撹拌されたヘッダ部分と撹拌されないデータ部分との全体が暗号化され、同文異暗号部分をなくすことができ、データ部分の暗号解読がより一層に困難になる。
【０００９】
送信用分離回路（４）により分離された送信対象データ部分（６）に対応する撹拌用既約多項式（１４）を選択する送信用選択回路（１２）が追加される。送信用選択回路（１２）の追加は、毎回変化するデータの内容に対応した既約多項式の採用を可能とし、ヘッダ部分が同一であっても、その撹拌は毎回異なった撹拌結果の出力を可能とし、更に一層にその解読を困難にすることができる。
【００１０】
複数の撹拌用既約多項式データ（９）を格納するメモリカード（８）と、メモリカード（８）に格納されている撹拌用既約多項式データ（９）のうちから複数の撹拌用既約多項式を設定する設定ユニット（７）とが追加されている。送信用選択回路（１２）により選択される撹拌用既約多項式は、設定ユニット（７）に設定されている複数の撹拌用既約多項式のうちから選択される。
【００１１】
受信対象ＩＰデータ（１８’）を受信対象ヘッダ部分（５’）と受信対象データ部分（６’）とに分離する受信用分離回路（４’）と、受信用分離回路（４’）により分離された受信対象データ部分（６’）に対応する撹拌用既約多項式を選択する受信用選択回路（１２’）と、受信対象ヘッダ部分（５’）を撹拌用既約多項式に基づいて逆撹拌する受信用撹拌回路（１３’）と、受信用撹拌回路（１３’）により逆撹拌された逆撹拌後ヘッダ部分（１６’）と受信対象データ部分（６’）を多重化する受信用多重化回路（１５’）とが、既述の回路と対称に設けられ、受信のための双方向化が実現されている。
【００１２】
本発明によるＩＰデータ撹拌システムは、データ撹拌装置（１）と、データ秘匿装置（１９）と、端末（３）とから構成される通信システムである。データ撹拌装置（１）は、端末（３）から受信するＩＰデータ（２）のうちのヘッダ部分（５）を撹拌するヘッダデータ撹拌回路（１３）と、ＩＰデータのうちのデータ部分（６）を撹拌しない送信用バッファ回路（１７）と、ヘッダデータ撹拌回路（１３）により撹拌された撹拌後ヘッダ部分（１６）と送信用バッファ回路（１７）より出力されるデータ部分（６）を多重化する送信用多重化回路（１５）とから構成されている。送信用多重化回路（１５）により多重化された多重化後データ（１８）がデータ秘匿装置（１９）に送信される。ヘッダデータ撹拌回路（１３）がデータ部分（６）に対応する既約多項式に基づいてヘッダ部分（５）を撹拌する点は、既述の通りである。
【００１３】
データ撹拌装置（１）は、データ秘匿装置（１９）から受信する復号化後ＩＰデータ（１８’）のうちの復号化後ヘッダ部分（５’）を逆撹拌するヘッダデータ撹拌回路（１３’）と、複合化後ＩＰデータ（１８’）のうちの復号化後データ部分（６’）を逆撹拌しない受信用バッファ回路（１７’）と、ヘッダデータ撹拌回路（１３’）により逆撹拌された逆撹拌後ヘッダ部分（１６’）と受信用バッファ回路（１７’）より出力される複合化後データ部分（６’）を多重化する受信用多重化回路（１５’）とを送信側の回路と対称に受信用回路として設けられている。受信用多重化回路（１５’）により多重化された多重化後データ（２’）が端末（３）に送信される。
【００１４】
本発明によるＩＰデータ撹拌方法は、ＩＰデータ（２）の内のヘッダ部分（５）を撹拌しＩＰデータのうちのデータ部分を撹拌しない撹拌ステップと、撹拌されたヘッダ部分（１６）とデータ部分（６）との全体を暗号化するステップとから構成されている。撹拌ステップは、データ部分（６）に対応する既約多項式に基づいてヘッダ部分（５）を撹拌するステップを有している。
【００１５】
【発明の実施の形態】
図に対応して、本発明によるＩＰデータ撹拌装置の実施の形態は、端末とデータ秘匿装置との間に撹拌装置が介設されている。そのＩＰヘッダ撹拌装置１は、図１に示されるように、ＩＰパケットデータ２を端末３から受け取る送信用分離回路４を備えている。送信用分離回路４は、ＩＰパケットデータ２をヘッダ部分５とデータ部分６とに分離する。
【００１６】
送信用分離回路４は、データ設定処理ユニット７に接続している。ヘッダ部分５は、送信用分離回路４から出力されデータ設定処理ユニット７に入力する。ＩＰヘッダ撹拌装置１は、メモリカード８を備えている。メモリカード８は、撹拌用既約多項式データ９を記録している。メモリカード８から出力される撹拌用既約多項式データ９は、データ設定処理ユニット７に読み込まれ、更に、メモリ１１に格納される。データ設定処理ユニット７は、送信用多項式選択回路１２に接続している。
【００１７】
撹拌用既約多項式データ９は、データ設定処理ユニット７を介して送信用多項式選択回路１２に送り込まれる。送信用分離回路４と送信用多項式選択回路１２は、送信用撹拌回路１３に接続している。送信用分離回路４から出力されるデータ部分６は、送信用多項式選択回路１２に入力する。送信用多項式選択回路１２は、送信用多項式選択回路１２に送り込まれた撹拌用既約多項式データ９のうちからデータ部分６に対応する対応既約多項式１４を送信用撹拌回路１３に選択的に送り込んで、対応既約多項式１４を撹拌回路１３に設定する。
【００１８】
ＩＰヘッダ撹拌装置１は、多重化回路１５を備えている。送信用撹拌回路１３は、多重化回路１５に接続している。送信用撹拌回路１３は、ヘッダ部分５を対応既約多項式１４に基づいて撹拌し、撹拌後ヘッダ部分１６を出力する。撹拌後ヘッダ部分１６は、多重化回路１５に入力する。送信用分離回路４は、送信用バッファ回路１７に接続している。
【００１９】
送信用分離回路４で分離されたデータ部分６は、送信用バッファ回路１７に入力する。データ部分６は、送信用バッファ回路１７を介して多重化回路１５に送り込まれる。多重化回路１５は、データ部分６と撹拌後ヘッダデータ１６とを多重化する。多重化回路１５によりデータ部分６と撹拌後ヘッダデータ１６とが多重化された撹拌後多重化ＩＰデータ１８は、データ秘匿装置１９に送信される。
【００２０】
データ秘匿装置１９は、撹拌後多重化ＩＰデータ１８に秘匿鍵用データにより暗号化処理を施して秘匿化ＩＰパケットデータ２１を出力する。データ秘匿装置１９により秘匿化された秘匿化ＩＰパケットデータ２１は、図２に示されるように、対向先の他のデータ秘匿装置１９’に送信される。データ秘匿装置間がＩＰプロトコルインタフェースの場合、秘匿化ＩＰパケットデータ２１には、データ秘匿装置１９のＩＰヘッダが付加されている。インタフェースがＩＰプロトコルインタフェースでなく専用線インタフェースである場合は、ＩＰヘッダは付加されない。
【００２１】
このように、ＩＰヘッダ撹拌装置１は、ＩＰパケットデータ２のヘッダ部分５に撹拌処理を施して撹拌処理された撹拌後ヘッダデータ１６とデータ部分６とを多重化し、このように多重化された撹拌後多重化ＩＰパケットデータ１８の全体を暗号化のために出力している。送信用撹拌回路１３にヘッダ部分５が入力されれば、送信用撹拌回路１３の内部のレジスタはその動作を開始して、ヘッダ部分５の長さをカウントし、ヘッダ部分５の長さをカウントし終わるまで、ヘッダ部分５の撹拌処理を実行する。
【００２２】
データ秘匿装置１９は、対向先データ秘匿装置１９’から暗号化された秘匿化ＩＰパケット２１’を受信する。秘匿化パケット２１’は、データ秘匿装置１９で復号化される。復号化された撹拌ヘッダ部分と復号化されたデータ部分とから形成される受信対象ＩＰデータ１８’は、受信用分離回路４’に入力される。受信用分離回路４’は、受信対象ＩＰデータ１８’を撹拌ヘッダ部分５’とデータ部分６’とに分離する。
【００２３】
撹拌ヘッダ部分５’は、受信用撹拌回路１３’に入力される。データ部分６’は、受信用多項式選択回路１２’に入力される。受信用多項式選択回路１２’は、受信用多項式選択回路１２’に送り込まれた撹拌用既約多項式データ９のうちからデータ部分６’に対応する撹拌用既約多項式１４’を受信用撹拌回路１３’に選択的に送り込み設定している。
【００２４】
受信用撹拌回路１３’は、ヘッダ部分５’を撹拌用既約多項式１４’に基づいて逆撹拌し、逆撹拌後ヘッダ部分１６’を出力する。逆撹拌後ヘッダ部分１６’は、受信用多重化回路１５’に入力する。受信用分離回路４’で分離されたデータ部分６’は、受信用バッファ回路１７’に入力する。
【００２５】
データ部分６’は、受信用バッファ回路１７’を介して受信用多重化回路１５’に送り込まれる。受信用多重化回路１５’は、データ部分６’と逆撹拌後ヘッダ部分１６’とを多重化する。受信用多重化回路１５’によりデータ部分６’と逆撹拌後ヘッダ部分１６’とが多重化された多重化後ＩＰデータ２’は、端末３に送信される。
【００２６】
このような端末間秘匿通信は、秘匿通信に必要である秘匿用鍵データが設定されていて対向する２データ秘匿装置間で秘匿同期が取られている公知の秘匿技術に基づいて秘匿可能状態が維持されて実行されている。このような秘匿技術を利用して、ＩＰヘッダデータを撹拌した後にデータの全体に暗号化処理を施すことにより、同文異暗号部分をなくすことができ、暗号解読をより困難化した秘匿通信が可能である。ヘッダ部分のデータ撹拌処理は、毎回変化するデータの内容に対応した既約多項式データを選択しているので、ヘッダ部分のデータが毎回に同一である場合にも、撹拌結果の出力は毎回に異なっていて、解読を更に困難にしている。
【００２７】
【発明の効果】
本発明によるＩＰデータ撹拌装置、ＩＰデータ秘匿システム、及び、ＩＰデータ撹拌方法は、ヘッダ部分に撹拌処理を施した後にデータの全体に暗号化処理を施していて、同文異暗号部分をなくすことができ、且つ、ヘッダ部分に基づく暗号解読を困難にすることにより、データ部分の暗号解読をより困難にすることができる。
【００２８】
暗号強度を劣化させず、且つ、固定データの流出を回避することができ、更に、全体の秘匿でも同文異暗号化を招かず、その固定データの秘匿が可能になり、固定データのその秘匿により全体が逆に容易に解読されることを有効に抑制することができる。
【図面の簡単な説明】
【図１】図１は、本発明によるＩＰデータ撹拌装置の実施の形態を示す回路ブロック図である。
【図２】図２は、本発明によるＩＰデータ撹拌装置の実施の形態を示すシステムブロック図である。
【符号の説明】
１…データ撹拌装置
２…送信対象ＩＰデータ
２’…多重化後ＩＰデータ
３…端末
４…送信用分離回路
４’…受信用分離回路
５…送信対象ヘッダ部分
５’…受信対象ヘッダ部分
６…送信対象データ部分
６’…受信対象データ部分
７…設定ユニット
８…メモリカード
１２…送信用多項式選択回路
１２’…受信用多項式選択回路
１３…送信用撹拌回路（ヘッダデータ撹拌回路）
１３’…受信用撹拌回路（ヘッダデータ撹拌回路）
１４…撹拌用既約多項式
１４’…撹拌用既約多項式
１５…送信用多重化回路
１５’…受信用多重化回路
１６…撹拌後送信対象ヘッダ部分
１６’…逆撹拌後ヘッダ部分
１８…多重化ＩＰデータ（多重化後データ）
１８’…受信対象ＩＰデータ
１９…データ秘匿装置
１９’…対向先データ秘匿装置
２１…秘匿化ＩＰパケットデータ
２１’…秘匿化ＩＰパケット
【図１】
0003596676.tif 000002
【図２】
0003596676.tif 000003