(57)【要約】【課題】  セキュリティポリシを設定するだけで、アプリケーション毎にプロキシ不使用の設定を行なわずとも、相手機器との間で暗号通信を実現することができる通信機器を提供すること。【解決手段】  アプリケーション部１０は、所望する相手機器との通信時に、セキュリティポリシデータベース部３０にセキュリティポリシの問い合わせを行なう。アプリケーション部１０は、相手機器への通信に該当するセキュリティポリシがＩＰｓｅｃ適用であれば、プロキシを経由する設定が行われていても、プロキシを経由せずに直接相手機器とＩＰｓｅｃによる暗号通信を行う。【選択図】  図２
2006303588.tif 000002
【特許請求の範囲】
【請求項１】
プロキシを備えたネットワークにおいて、アプリケーションが要求する相手機器との間で所定の通信を行なう通信機器であって、
前記相手機器との間の通信に適用される暗号化規則を定めたセキュリティポリシを保存するセキュリティポリシデータベース部と、
前記アプリケーションを動作させると共に、前記アプリケーションが要求する通信の接続経路を判定するアプリケーション部と、
前記アプリケーション部の判定に従って、前記相手機器との間で前記所定の通信を行なう通信部とを備え、
前記アプリケーション部は、前記セキュリティポリシデータベース部が保存する前記セキュリティポリシに基づいて、前記相手機器との間で前記プロキシを経由した通信を行なうか、あるいは前記プロキシを経由せずに前記相手機器との間で暗号通信を行なうかを判定することを特徴とする、通信機器。
【請求項２】
前記アプリケーション部は、前記アプリケーションに前記プロキシを経由した通信を指示するプロキシ情報が設定されている場合も、前記セキリティポリシデータベース部に前記相手機器に対する暗号化規則が設定されていれば、前記プロキシを経由せずに前記相手機器との間で暗号通信を行なうと判定することを特徴とする、請求項１に記載の通信機器。
【請求項３】
前記アプリケーション部は、
前記プロキシを経由した通信を示すために必要な情報であるプロキシ情報を管理するプロキシ設定管理部と、
前記アプリケーションに対する通信要求が入力されるアプリケーションユーザＩ／Ｆ部と、
前記入力された通信要求に従って、前記アプリケーションが要求する通信の接続経路を判定するアプリケーション通信部と、
前記アプリケーション通信部の要求に応じて、前記セキュリティポリシデータベース部から前記暗号化規則を定めたセキュリティポリシを問い合わせるセキュリティポリシ問い合わせ部とを含み、
前記アプリケーション通信部は、前記プロキシ設定管理部に前記プロキシ情報が設定されている場合も、前記セキリティポリシデータベース部に前記相手機器に対する暗号化規則が設定されていれば、前記プロキシを経由せずに前記相手機器との間で暗号通信を行なうと判定することを特徴とする、請求項１に記載の通信機器。
【請求項４】
前記セキュリティポリシデータベース部は、前記プロキシを経由した通信を優先するか否かを示すプロキシ優先情報をさらに含み、
前記アプリケーション通信部は、前記セキリティポリシデータベース部に前記相手機器に対する暗号化規則と共に、プロキシ優先を示すプロキシ優先情報が設定されていれば、前記暗号化規則よりも、前記プロキシ設定管理部の設定を優先して、前記相手機器との間で前記プロキシを経由した通信を行なうと判定することを特徴とする、請求項３に記載の通信機器。
【請求項５】
前記プロキシ設定管理部は、前記プロキシを経由した通信を優先するか否かを示すプロキシ優先情報をさらに含み、
前記アプリケーション通信部は、前記セキリティポリシデータベース部に前記相手機器に対する暗号化規則が設定されている場合も、前記プロキシ設定管理部にプロキシ優先を示すプロキシ優先情報が設定されていれば、前記相手機器との間で前記プロキシを経由した通信を行なうと判定することを特徴とする、請求項３に記載の通信機器。
【請求項６】
前記アプリケーション部は、
前記アプリケーションに対する通信要求が入力されるアプリケーションユーザＩ／Ｆ部と、
前記入力された通信要求に従って、前記アプリケーションが要求する通信の接続経路の判定を依頼するアプリケーション通信部と、
前記プロキシを経由した通信を示すために必要な情報であるプロキシ情報を管理すると共に、前記アプリケーション通信部からの依頼に応じて、前記アプリケーションが要求する通信の接続経路を判定するプロキシ設定管理部と、
前記プロキシ設定管理部の要求に応じて、前記セキュリティポリシデータベース部から前記暗号化規則を定めたセキュリティポリシを問い合わせるセキュリティポリシ問い合わせ部とを含み、
前記プロキシ設定管理部は、自身に前記プロキシ情報が設定されている場合も、前記セキリティポリシデータベース部に前記相手機器に対する暗号化規則が設定されていれば、前記プロキシを経由せずに前記相手機器との間で暗号通信を行なうと判定することを特徴とする、請求項１に記載の通信機器。
【請求項７】
前記アプリケーションが通信に使用するプロトコルは、少なくともＩＰを含み、
前記暗号化規則は、ＩＰｓｅｃの適用に関する規則を含むことを特徴とする、請求項１に記載の通信機器。
【請求項８】
前記アプリケーションは、前記プロトコルとしてＨＴＴＰを使用することを特徴とする、請求項７に記載の通信機器。
【請求項９】
前記アプリケーションは、前記プロトコルとしてＦＴＰを使用することを特徴とする、請求項７に記載の通信機器。
【請求項１０】
プロキシを備えたネットワークにおいて、アプリケーションが要求する相手機器との間で所定の通信を行なう通信方法であって、
前記アプリケーションを動作させると共に、前記アプリケーションが要求する通信の接続経路を判定するステップと、
前記接続経路の判定に従って、前記相手機器との間で前記所定の通信を行なうステップとを備え、
前記判定するステップは、前記アプリケーションが要求する通信に適用される暗号化規則を定めたセキュリティポリシに基づいて、前記相手機器との間で前記プロキシを経由した通信を行なうか、あるいは前記プロキシを経由せずに前記相手機器との間で暗号通信を行なうかを判定することを特徴とする、通信方法。
【請求項１１】
プロキシを備えたネットワークにおいて、アプリケーションが要求する相手機器との間で所定の通信を行なう通信機器が実行するプログラムであって、
前記通信機器に、
前記アプリケーションを動作させると共に、前記アプリケーションが要求する通信の接続経路を判定するステップと、
前記接続経路の判定に従って、前記相手機器との間で前記所定の通信を行なうステップとを実行させ、
前記判定するステップは、前記アプリケーションが要求する通信に適用される暗号化規則を定めたセキュリティポリシに基づいて、前記相手機器との間で前記プロキシを経由した通信を行なうか、あるいは前記プロキシを経由せずに前記相手機器との間で暗号通信を行なうかを判定することを特徴とする、プログラム。
【請求項１２】
請求項１１に記載のプログラムを記憶した記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号通信に用いられる通信機器、通信方法、及び方法プログラムに関して、より特定的には、アプリケーションに設定されたプロキシ情報よりも、機器に設定されたセキュリティポリシを優先して、相手機器との間で暗号通信を行なう通信機器、通信方法、及びその方法を実行するためのプログラムに関する。
【背景技術】
【０００２】
従来、ＬＡＮからＷＡＮ（ワイドエリアネットワーク）を経由して通信を行なう際に、プロキシ（Ｐｒｏｘｙ：代理サーバ）を経由することで通信の安全性を確保するネットワークシステムがある。図８は、従来のプロキシを経由するネットワークシステムの構成の一例を示す図である。図８において、従来のネットワークシステムは、通信機器（クライアント）９０１〜９０３とプロキシ９０４とがＬＡＮ内で接続されている。また、ＬＡＮとＷＡＮ９０６とは、ルータ９０５を介して接続されており、ＬＡＮ内の通信機器９０１〜９０３からＬＡＮ外の機器（例えば、サーバ９０７）に接続するためには、ルータ９０５を経由する必要がある。
【０００３】
通信機器９０１〜９０３は、所定の通信アプリケーションを動作させる。通信機器９０１〜９０３は、動作させるアプリケーションの種類によっては、必ずプロキシ９０４にサーバ９０７との接続を依頼し、通信機器９０１〜９０３とサーバ９０７との間の通信をプロキシ９０４に一端終端・中継させることを要求する。このような要求は、特に、ＨＴＴＰやＦＴＰなどのＯＳＩ（Ｏｐｅｎ  Ｓｙｓｔｅｍ  Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルの第５層のプロトコルに対して行なわれる。
【０００４】
従来のネットワークシステムでは、通信機器９０１〜９０３が動作させるアプリケーション（例えば、ＨＴＴＰブラウザやＦＴＰクライアントアプリケーションなど）に対して、使用者が予めプロキシ９０４の情報を設定しておく必要がある。例えば、プロキシ９０４の情報としては、ドメイン名やＩＰアドレスがある。図９は、従来の通信機器９０１の構成の一例を示すブロック図である。図９において、従来の通信機器９０１は、アプリケーション部９１０と通信部９２０とを備える。アプリケーション部９１０は、使用者からの要求に応じて、通信部９２０を介してネットワーク経由で他の機器（例えば、サーバ９０７）と通信し、その結果を使用者に情報として提示（表示）する。アプリケーション部９１０は、アプリケーションユーザＩ／Ｆ部９１１、プロキシ設定管理部９１２、及びアプリケーション通信部９１３を含む。通信機器（クライアント）９０２〜９０３は、通信機器９０１と同様の構成であるので説明を省略する。
【０００５】
通信機器９０１において、アプリケーションユーザＩ／Ｆ部９１１は、使用者からの要求を受け付け、使用者からの要求が通信要求である場合は、アプリケーション通信部９１３にその要求を渡し、アプリケーション通信部９１３から結果を受け取り使用者に提示する。一方、アプリケーションユーザＩ／Ｆ部９１１は、使用者からの要求がプロキシ設定要求である場合は、プロキシ設定管理部９１２にその要求を渡し、その処理結果を使用者に提示する。
【０００６】
プロキシ設定管理部９１２は、アプリケーションユーザＩ／Ｆ部９１１からのプロキシ設定要求に従い、プロキシ情報の設定・管理を行なう。プロキシ設定要求には、使用するプロキシの情報や、プロキシを使用しないで迂回して接続したい接続先情報の設定を含む。プロキシ設定要求の処理を行なった後、プロキシ設定管理部９１２は、アプリケーションユーザＩ／Ｆ部９１１にその処理結果を返す。
【０００７】
アプリケーション通信部９１３は、アプリケーションユーザＩ／Ｆ部９１１からの通信要求を受け取り、その通信要求における接続先の情報と共に、プロキシ設定管理部９１２にプロキシ情報を問い合わせる。その結果、プロキシ適用の場合は、アプリケーション通信部９１３は、プロキシ９０４を経由するための通信処理を、通信部９２０を用いて行なう。一方、プロキシ非適用の場合は、アプリケーション通信部９１３は、プロキシ９０４を迂回して、相手機器と接続するための通信処理を通信部９２０を用いて行う。
【０００８】
図８に示した従来のネットワークシステムに暗号通信を適用する場合、通信機器（クライアント）９５１〜９５３がプロキシ９５４にサーバ９０７との間の暗号通信を代行させるシステムが開示されている（例えば、特許文献１）。以下、このようなシステムを従来の暗号通信システムと記す。図１０は、従来の暗号通信システムのネットワーク構成の一例を示す図である。図１０において、実線の矢印が暗号通信を、破線の矢印が非暗号通信を示している。また、従来の暗号通信システムにおいて、図８と同一の構成については、同一の参照符号を用いてその説明を省略する。
【０００９】
図１０において、通信機器９５１〜９５３は、サーバ９０７と暗号通信を行なうため自機器の秘密情報をプロキシ９５４に通知する。プロキシ９５４は、通信機器９５１〜９５３から通知された秘密情報を用いて、サーバ９０７との間で暗号通信を行なう。これによって、従来の暗号通信システムは、外部ネットワーク９０６での盗聴や改竄を防ぎ、一応の通信の安全性を確保していた。
【特許文献１】特開２００１−２５１２９７号公報
【発明の開示】
【発明が解決しようとする課題】
【００１０】
しかしながら、従来の暗号通信システムは、プロキシ９５４が上述した方法（すなわち、通信機器９５１〜９５３から通知された秘密情報に基づいて、サーバ９０７との間で暗号通信を行なうなどの方法）に対応している必要があった。また、従来の暗号通信システムは、通信機器９５１〜９５３とサーバ９０７との間で通信の安全性を確保するためには、通信機器９５１〜９５３とプロキシ９５４とが別途暗号通信を行なう必要があった。しかし、サーバ９０７との間の暗号通信及び／又は通信機器９５１〜９５３との間の暗号通信に対応しているプロキシ９５４は現在において一般的ではない。
【００１１】
このような環境下において、プロキシ９５４に新たな機能を追加することなく、通信機器９５１〜９５３とサーバ９０７との間で通信の安全性を確保するためには、通信機器９５１〜９５３がサーバ９０７との間で直接暗号通信を行なう必要があった。このような場合、通信機器９５１〜９５３とサーバ９０７との間には、例えば、ＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ）などの暗号通信プロトコルが用いられる。
【００１２】
ここで、ＩＰｓｅｃによる暗号通信は、ＩＰレベルで実現される。一方、プロキシ９５４を経由した通信は、アプリケーションレベルで実現される。従って、従来の通信機器９５１〜９５３では、サーバ９０７との間でＩＰｓｅｃによる暗号通信を行なうための規則（セキュリティポリシ）と、プロキシ９５４を経由した通信を行なうための規則（プロキシ情報）とが別々に設定されていた。このため、従来の通信機器９５１〜９５３の使用者は、ネットワーク構成等を十分に考慮した上で、両方の規則を注意深く設定する必要があった。この規則の設定を誤ると、例えば、通信機器９５１〜９５３は、サーバ９０７との間でＩＰｓｅｃによる暗号通信を行なうつもりが、プロキシ９５４を経由した非暗号通信を行なうことになっていた。
【００１３】
これは通信機器９５１〜９５３の使用者にとっては非常な脅威で、暗号通信されていると信じているにもかかわらず、実は暗号通信されていない状況が発生し得ることを示唆している。このような状況は、セキュリティポリシの設定者が通信機器９５１〜９５３の管理者であり、プロキシ情報の設定を行なうアプリケーションの使用者とは異なる場合に、より顕著に発生し得る。このような状況が発生する場合の通信機器９５１の動作について、図１１を用いて具体的に説明する。
【００１４】
図１１は、従来の通信機器９５１の構成の一例を示すブロック図である。図１１において、従来の通信機器９５１は、通信機器９０１（図９参照）と比較して、セキュリティポリシデータベース部９３０とセキュリティポリシ設定ユーザＩ／Ｆ部９４０とをさらに備える。通信機器９５１の管理者は、セキュリティポリシ設定ユーザＩ／Ｆ部９４０を用いて、暗号通信を行ないたい相手機器の情報を含んだ接続先情報と共に、暗号通信（例えば、ＩＰｓｅｃ通信）を実現するための情報を、セキュリティポリシとしてセキュリティポリシデータベース部９３０に設定する。通信部９２５は、接続先情報を用いてセキュリティポリシデータベース部９３０に対してセキュリティポリシの問い合わせを行ない、相手機器との間で暗号通信を行なうか否かを判断する。通信部９２５は、暗号通信を行なうと判断した場合、暗号通信に必要な情報をセキュリティポリシデータベース部９３０から取得して、相手機器との間で暗号通信を行なう。
【００１５】
図１２は、セキュリティポリシデータベース部９３０が保存するセキュリティポリシの一例を示す図である。図１２において、セキュリティポリシデータベース部９３０には、セキュリティポリシのエントリとして、エントリ１からエントリ４までが設定されている。また、それぞれのエントリには、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「プロトコル」、「送信元ポート番号」、「宛先ポート番号」、「適用ポリシ」などの情報が定義されている。通信部９２５は、例えば、自機器から送信するパケットが、宛先ＩＰアドレス１３２．１８２．０．１、ＴＣＰパケット、宛先ポート番号８０である場合、エントリ１を選択し、適用ポリシとして「ＩＰｓｅｃ適用」を決定する。
【００１６】
ここで、通信機器９５１の管理者がサーバ９０７との間でＩＰｓｅｃによる暗号通信を想定しているにもかかわらず、アプリケーションの使用者によってプロキシ情報が設定されている場合を考える。このような場合、アプリケーション通信部９１３は、プロキシ設定管理部９１２にプロキシ情報が設定されていると、プロキシ９５４を経由した通信を行なおうとする。このため、通信部９２５は、セキュリティポリシデータベース部９３０に、サーバ９０７との間の通信ではなく、プロキシ９５４との間の通信に適用される暗号通信の設定を問い合わせることになる。しかし、セキュリティポリシデータベース９３０にはプロキシ９５４との間の通信に適用される暗号通信の設定が行なわれていないため、通信部９２５は、結果として暗号通信しないと判断する。仮に、セキュリティポリシデータベース９３０にプロキシ９５４との間の通信に適用される暗号通信の設定が行なわれていたとしても、プロキシ９５４とサーバ９０７との間で暗号通信を行なうためには、上記従来の暗号通信システムを用いる必要がある。すなわち、プロキシ９５４は、通信機器９５１との間で暗号通信を行なうと共に、通信機器９５１から通知された秘密情報を用いて、サーバ９０７との間で暗号通信を行なわなければならない。しかし、上述したように、このような従来の暗号通信システムに対応したプロキシ９５４は一般的でない。
【００１７】
このため、従来の通信機器９５１は、セキュリティポリシデータベース部９３０に通信機器９５１とサーバ９０７との間の通信に適用される暗号通信の設定が行なわれていたとしても、アプリケーション側にプロキシ情報の設定が行なわれていると、プロキシ９５４を経由した非暗号通信を行っていた。すなわち、従来の通信機器９５１には、セキュリティポリシに相手機器との間の暗号化規則の設定が行われていたとしても、アプリケーション側にプロキシ情報の設定が行われていると、相手機器との間でプロキシ９５４を経由した非暗号通信を行ってしまうという課題があった。
【００１８】
それ故に、本発明の目的は、セキュリティポリシを設定するだけで、アプリケーション毎にプロキシ不使用の設定を行なわないでも、相手機器との間で確実に暗号通信を実現することができる通信機器を提供することである。
【課題を解決するための手段】
【００１９】
本発明は、プロキシを備えたネットワークにおいて、アプリケーションが要求する相手機器との間で所定の通信を行なう通信機器に向けられている。そして上記目的を達成させるために、本発明の通信機器は、セキュリティポリシデータベース部、アプリケーション部、及び通信部を備える。セキュリティポリシデータベース部は、アプリケーションが要求する通信に適用される暗号化規則を定めたセキュリティポリシを保存する。アプリケーション部は、アプリケーションを動作させると共に、アプリケーションが要求する通信の接続経路を判定する。通信部は、アプリケーション部の判定に従って、相手機器との間で所定の通信を行なう。また、アプリケーション部は、セキュリティポリシデータベース部が保存するセキュリティポリシに基づいて、相手機器との間でプロキシを経由した通信を行なうか、あるいはプロキシを経由せずに相手機器との間で暗号通信を行なうかを判定する。
【００２０】
アプリケーション部は、アプリケーションにプロキシを経由した通信を指示するプロキシ情報が設定されている場合も、セキリティポリシデータベース部に相手機器に対する暗号化規則が設定されていれば、プロキシを経由せずに相手機器との間で暗号通信を行なうと判定する。
【００２１】
好ましくは、アプリケーション部は、プロキシ設定管理部、アプリケーションユーザＩ／Ｆ部、アプリケーション通信部、及びセキュリティポリシ問い合わせ部を含む。プロキシ設定管理部は、プロキシを経由するために必要な情報であるプロキシ情報を管理する。アプリケーションユーザＩ／Ｆ部は、アプリケーションに対する通信要求が入力される。アプリケーション通信部は、入力された通信要求に従って、アプリケーションが要求する通信の接続経路を判定する。セキュリティポリシ問い合わせ部は、アプリケーション通信部の要求に応じて、セキュリティポリシデータベース部から暗号化規則を定めたセキュリティポリシを問い合わせる。アプリケーション通信部は、プロキシ設定管理部にプロキシ情報が設定されている場合も、セキリティポリシデータベース部に相手機器に対する暗号化規則が設定されていれば、プロキシを経由せずに相手機器との間で暗号通信を行なうと判定する。
【００２２】
また、セキュリティポリシデータベース部は、プロキシを経由した通信を優先するか否かを示すプロキシ優先情報をさらに含んでいてもよい。この場合、アプリケーション通信部は、セキリティポリシデータベース部に相手機器に対する暗号化規則と共に、プロキシ優先を示すプロキシ優先情報が設定されていれば、暗号化規則よりも、プロキシ設定管理部の設定を優先して、相手機器との間でプロキシを経由した通信を行なうと判定することができる。
【００２３】
また、プロキシ設定管理部は、プロキシを経由した通信を優先するか否かを示すプロキシ優先情報をさらに含んでいてもよい。この場合、アプリケーション通信部は、セキリティポリシデータベース部に相手機器に対する暗号化規則が設定されている場合も、プロキシ設定管理部にプロキシ優先を示すプロキシ優先情報が設定されていれば、相手機器との間でプロキシを経由した通信を行なうと判定することができる。
【００２４】
また、アプリケーション部は、アプリケーションユーザＩ／Ｆ部、アプリケーション通信部、プロキシ設定管理部、及びセキュリティポリシ問い合わせ部を含んでいてもよい。アプリケーションユーザＩ／Ｆ部は、アプリケーションに対する通信要求が入力される。アプリケーション通信部は、入力された通信要求に従って、アプリケーションが要求する通信の接続経路の判定を依頼する。プロキシ設定管理部は、プロキシを経由するために必要な情報であるプロキシ情報を管理すると共に、アプリケーション通信部からの依頼に応じて、アプリケーションが要求する通信の接続経路を判定する。セキュリティポリシ問い合わせ部は、プロキシ設定管理部の要求に応じて、セキュリティポリシデータベース部から暗号化規則を定めたセキュリティポリシを問い合わせる。プロキシ設定管理部は、自身にプロキシ情報が設定されている場合も、セキリティポリシデータベース部に相手機器に対する暗号化規則が設定されていれば、プロキシを経由せずに相手機器との間で暗号通信を行なうと判定する。
【００２５】
好ましくは、アプリケーションが通信に使用するプロトコルは、少なくともＩＰを含む。また、暗号化規則は、ＩＰｓｅｃの適用に関する規則を含む。また、アプリケーションは、ＨＴＴＰやＦＴＰなどのプロトコルを使用することができる。
【００２６】
上述した通信機器のアプリケーション部、及び通信部が行なうそれぞれの処理は、一連の処理手順を与えるプロキシを備えたネットワークにおいて、アプリケーションが要求する相手機器との間で所定の通信を行なう通信方法として捉えることができる。すなわち、通信機器において、アプリケーションを動作させると共に、アプリケーションが要求する通信の接続経路を判定するステップと、接続経路の判定に従って、相手機器との間で所定の通信を行なうステップとを備える、通信方法である。ただし、判定するステップは、アプリケーションが要求する通信に適用される暗号化規則を定めたセキュリティポリシに基づいて、相手機器との間でプロキシを経由した通信を行なうか、あるいはプロキシを経由せずに相手機器との間で暗号通信を行なうかを判定する。
【００２７】
好ましくは、この通信方法は、一連の処理手順を通信機器に実行させるためのプログラムの形式で提供される。また、このプログラムは、コンピュータに読み取り可能な記憶媒体に記憶されていてもよい。
【発明の効果】
【００２８】
本発明の通信機器によれば、アプリケーションが要求する通信に適用される暗号化規則を定めたセキュリティポリシを設定するだけで、アプリケーション毎にプロキシ不使用の設定を行なわないでも、相手機器との間で暗号通信を確実に実現することができる。これによって、セキュリティポリシを設定する管理者と、アプリケーションにプロキシ情報を設定するアプリケーションの使用者とが異なる場合でも、通信機器は、設定されたセキュリティポリシに従って、確実に暗号通信を実現することが可能となる。すなわち、個々のアプリケーションの使用者が設定するプロキシ情報よりも、通信機器に設定されたセキュリティポリシを優先することで、確実な暗号通信を実施することができる。
【００２９】
また、本発明の通信機器によれば、セキュリティポリシに設定された適用ポリシに、プロキシ優先／非優先を組み合わせることで、プロキシを経由した通信と、ＩＰｓｅｃによる暗号通信とを、ユーザが接続毎に明示的に指定することが可能となる。すなわち、本発明の通信機器によれば、通信機器の管理者が、通信相手毎にＩＰｓｅｃによる暗号通信を必須とするのか、あるいはプロキシ経由を優先した非暗号通信でよいとするのかを設定することが可能になる。
【発明を実施するための最良の形態】
【００３０】
以下、本発明の実施の形態について、図面を参照しながら説明する。
（第１の実施形態）
図１は、本発明の第１の実施形態に係る暗号通信システムのネットワーク構成の一例を示す図である。図１において、第１の実施形態に係る暗号通信システムは、通信機器（クライアント）１０１〜１０３とプロキシ１０４とがＬＡＮ内で接続されている。また、ＬＡＮと外部ネットワーク（ＷＡＮ）１０６とは、ルータ１０５を介して接続されており、ＬＡＮ内の通信機器１０１〜１０３からＬＡＮ外の機器（例えば、サーバ１０７）に接続するためには、ルータ１０５を経由する必要がある。
【００３１】
図２は、本発明の第１の実施形態に係る通信機器１０１の構成の一例を示すブロック図である。図２において、通信機器１０１は、アプリケーション部１０、通信部２０、セキュリティポリシデータベース部３０、及びセキュリティポリシ設定ユーザＩ／Ｆ部４０を備える。アプリケーション部１０は、所定の通信アプリケーションを動作させる。アプリケーション部１０は、使用者からの要求に応じて通信部２０を介してサーバ１０７と通信し、その結果を使用者に情報として提示（表示）する。
【００３２】
アプリケーション部１０は、アプリケーションユーザＩ／Ｆ部１１、プロキシ設定管理部１２、アプリケーション通信部１３、及びセキュリティポリシ問い合わせ部１４を含んでいる。なお、アプリケーション部１０は、これら以外の構成要素を含んでもよいが、本発明においては本質ではないので省略する。アプリケーションユーザＩ／Ｆ部１１は、使用者からの要求を受け付け、使用者からの要求が通信要求である場合は、アプリケーション通信部１３にその要求を渡し、その結果を使用者に提示する。一方、アプリケーションユーザＩ／Ｆ部１１は、使用者からの要求がプロキシ設定要求である場合は、プロキシ設定管理部１２にその要求を渡し、その結果を使用者に提示する。
【００３３】
プロキシ設定管理部１２は、アプリケーションユーザＩ／Ｆ部１１からのプロキシ設定要求に従い、プロキシ情報を設定・管理する。プロキシ設定要求には、使用するプロキシの情報や、プロキシを使用しないで迂回して接続したい接続先情報の設定を含む。プロキシ設定管理部１２は、プロキシ設定要求に従った処理を行なった後、アプリケーションユーザＩ／Ｆ部１１にその処理結果を返す。また、プロキシ設定管理部１２は、アプリケーション通信部１３からプロキシ情報の問い合わせを受けると、アプリケーション通信部１３にその結果を返す。
【００３４】
アプリケーション通信部１３は、アプリケーションユーザＩ／Ｆ部１１からの通信要求を受け取り、その通信要求における接続先の情報と共に、セキュリティポリシ問合せ部１４に対してセキュリティポリシの問合せを要求する。そして、その結果がＩＰｓｅｃ適用であれば、アプリケーション通信部１３は、プロキシ１０４を迂回して直接相手機器とＩＰｓｅｃ通信を行なうための通信処理を通信部２０を用いて行なう。一方、ＩＰｓｅｃ非適用であれば、アプリケーション通信部１３は、従来と同様に、プロキシ設定管理部１２にプロキシ情報を問い合わせる。その結果、プロキシ適用の場合は、アプリケーション通信部１３は、プロキシ１０４を経由するための通信処理を通信部２０を用いて行なう。一方、プロキシ非適用の場合は、アプリケーション通信部１３は、直接接続先と接続するための通信処理を通信部２０を用いて行う。
【００３５】
セキュリティポリシ問い合わせ部１４は、アプリケーション通信部１３からセキュリティポリシ問合せ要求を受け付け、セキュリティポリシデータベース部３０にその要求を行なう。そして、セキュリティポリシ問い合わせ部１４は、その結果を受け取ってアプリケーション通信部１３に返す。
【００３６】
通信部２０は、アプリケーション通信部１３からの要求に従って、所定の機器（例えば、プロキシ１０４やサーバ１０７）とＩＰｓｅｃ等を用いた暗号通信、又は非暗号通信を行う。具体的には、通信部２０は、接続先情報を用いてセキュリティポリシデータベース部３０に対してセキュリティポリシの問い合わせを行ない、相手機器との間で暗号通信を行なうか否かを判断する。通信部２０は、暗号通信を行なうと判断した場合、暗号通信に必要な情報をセキュリティポリシデータベース部３０から取得して、相手機器との間で暗号通信を行なう。セキュリティポリシデータベース部３０は、通信機器１０１に適用されるセキュリティポリシを保存する。なお、セキュリティポリシデータベース部３０に保存されているセキュリティポリシは、図１２と同様であるので説明を省略する。
【００３７】
セキュリティポリシ設定ユーザＩ／Ｆ部４０は、セキュリティポリシをセキュリティポリシデータベース部３０に設定するためのインタフェースである。通信機器１０１の使用者は、セキュリティポリシ設定ユーザＩ／Ｆ部４０を用いて、暗号通信を行ないたい相手機器の情報を含んだ接続先情報と共に、ＩＰｓｅｃなどの暗号通信を実現するための情報を、セキュリティポリシとしてセキュリティポリシデータベース部３０に設定する。なお、セキュリティポリシ設定ユーザＩ／Ｆ部４０は、セキュリティポリシデータベース部３０にセキュリティポリシが既に設定されている場合、必須の構成要素ではない。
【００３８】
次に、本発明の第１の実施形態に係る通信機器１０１の動作について説明する。図３は、本発明の第１の実施形態に係る通信機器１０１の動作の一例を示すフローチャートである。通信機器１０１の使用者は、予めアプリケーションユーザＩ／Ｆ部１１を用いて、プロキシ情報をプロキシ設定管理部１２に設定する（ステップＳ１１）。また、通信機器１０１の使用者は、プロキシ情報の設定に先立ち、あるいはその後に、セキュリティポリシ設定ユーザＩ／Ｆ部４０を用いて、セキュリティポリシをセキュリティポリシデータベース部３０に設定する（ステップＳ１２）。
【００３９】
なお、通信機器１０１の使用者によるプロキシ情報及びセキリティポリシの設定（ステップＳ１１〜Ｓ１２）は、アプリケーション部１０が通信を行うまでに一度でも設定されていればよく、アプリケーション部１０が通信を行う度に設定する必要はない。
【００４０】
アプリケーションユーザＩ／Ｆ部１１には、通信機器１０１の使用者から、アプリケーションによる所望の接続先への接続先情報と共に通信要求が入力される（ステップＳ１３）。アプリケーションユーザＩ／Ｆ部１１は、使用者から指定された接続先情報をアプリケーション通信部１３に渡す。アプリケーション通信部１３は、受け取った接続先情報をセキュリティポリシの適用判断基準として、セキュリティポリシ問合せ部１４に渡し、接続先情報を用いて適用ポリシを問い合わせる（ステップＳ１４）。
【００４１】
セキュリティポリシ問合せ部１４は、アプリケーション通信部１３からの問い合せを受けて、セキュリティポリシデータベース部３０にセキュリティポリシを問い合わせる。セキュリティポリシ問合せ部１４は、セキュリティポリシデータベース部３０への問い合わせによって取得した適用ポリシをアプリケーション通信部１３に応答する（ステップＳ１５）。アプリケーション通信部１３は、問合せによって取得した適用ポリシに基づいて、接続経路設定処理を行なう（ステップＳ１６）。
【００４２】
図４は、接続経路設定処理（ステップＳ１６）の詳細な動作の一例を示すフローチャートである。図４において、アプリケーション通信部１３は、セキュリティポリシデータベース部３０への問合せによって取得した適用ポリシに基づいて、セキュリティポリシがＩＰｓｅｃ適用であるか否かを判定する（ステップＳ１６１）。セキュリティポリシがＩＰｓｅｃ適用である場合、アプリケーション通信部１３は、プロキシ１０４を使用禁止と判定し、通信部２０を用いて、相手機器（例えば、サーバ１０７）との間で直接ＩＰｓｅｃを適用した暗号通信を行う（ステップＳ１６６）。
【００４３】
一方、セキュリティポリシがＩＰｓｅｃ適用でない場合、アプリケーション通信部１３は、セキュリティポリシが通信禁止であるか否かを判定する（ステップＳ１６２）。通信禁止である場合、アプリケーション通信部１３は、通信処理を中断する（ステップＳ１６５）。一方、通信禁止でない場合、アプリケーション通信部１３は、プロキシ設定管理部１２に対してプロキシ情報の問い合わせを行う（ステップＳ１６３）。アプリケーション通信部１３は、問い合わせたプロキシ情報に応じて、プロキシ１０４を経由した通信を行う（ステップＳ１６４）。
【００４４】
以上のように、本発明の第１の実施形態に係る通信機器１０１によれば、アプリケーションが要求する通信に適用される暗号化規則を定めたセキュリティポリシを設定するだけで、アプリケーション毎にプロキシ不使用の設定を行なわないでも、相手機器との間で暗号通信を確実に実現することができる。これによって、セキュリティポリシを設定する管理者と、アプリケーションにプロキシ情報を設定するアプリケーションの使用者とが異なる場合でも、通信機器１０１は、セキュリティポリシの設定に従って、相手機器との間で確実に暗号通信を実現することが可能となる。すなわち、通信機器１０１は、個々のアプリケーションの使用者が設定するプロキシ情報よりも、通信機器１０１に設定されたセキュリティポリシを優先することで、確実に暗号通信を実施することができる。
【００４５】
（第２の実施形態）
図５は、本発明の第２の実施形態に係る通信機器２０１の構成の一例を示すブロック図である。第２の実施形態では、第１の実施形態と同一の構成については同一の参照符号を付して説明を省略する。第２の実施形態に係る通信機器２０１は、セキュリティポリシデータベース部２３０が保存するセキュリティポリシが第１の実施形態と異なる。図６は、セキュリティポリシデータベース部２３０が保存するセキュリティポリシの一例を示す図である。図６において、セキュリティポリシデータベース部２３０は、「ＩＰｓｅｃ適用」、「通信禁止」、「通信許可」の３通りの適用ポリシに対して、さらにプロキシ１０４を経由した通信を優先するか否かを示すプロキシ優先情報を組み合わせる。
【００４６】
例えば、送信パケットがエントリ１に適合した場合、プロキシ優先情報にはプロキシ非優先が設定されているので、アプリケーション通信部２１３は、プロキシ設定管理部１２に対してプロキシ情報の問い合わせを行なわない。この場合、アプリケーション通信部２１３は、通信部２０を用いて、相手機器とＩＰｓｅｃによる暗号通信を行う。一方、送信パケットがエントリ４に適合した場合、プロキシ優先情報にはプロキシ優先が設定されているので、アプリケーション通信部２１３は、プロキシ設定管理部１２にプロキシ情報の問い合わせを行う。問い合わせの結果としてプロキシ経由と判断されれば、アプリケーション通信部２１３は、適用ポリシがＩＰｓｅｃ適用であったとしても、通信部２０を用いて、プロキシ１０４を経由した通信を行なう。また、プロキシ経由でないと判断されれば、アプリケーション通信部２１３は、通信部２０を用いて、相手機器とＩＰｓｅｃによる暗号通信を行なう。
【００４７】
なお、第２の実施形態に係る通信機器２０１においては、プロキシ設定管理部１２が、セキュリティポリシデータベース部２３０の代わりに、プロキシ優先情報を備えていてもよいものとする。このような場合、アプリケーション通信部２３０は、セキュリティポリシデータベース部２３０に相手機器に対する暗号化規則が設定されている場合も、プロキシ設定管理部１２にプロキシ優先を示すプロキシ優先情報が設定されていれば、相手機器との間でプロキシ１０４を経由した通信を行なう。
【００４８】
以上のように、本発明の第２の実施形態に係る通信機器２０１によれば、セキュリティポリシに、プロキシ優先／非優先を表すプロキシ優先情報を組み合わせることで、プロキシを経由した通信と、ＩＰｓｅｃによる暗号通信とを、ユーザが接続毎に明示的に指定することが可能となる。
【００４９】
すなわち、第２の実施形態に係る通信機器２０１によれば、第１の実施形態の効果に加え、通信機器２０１の管理者が、通信相手毎にＩＰｓｅｃによる暗号通信を必須とするのか、あるいはプロキシ経由を優先した非暗号通信でよいとするのかを設定することが可能になる。このようなプロキシ優先情報の設定は、例えば、ＩＰｓｅｃによる暗号通信を基本とするが、敢えて通信相手とプロキシ１０４を経由した通信を行ないたい場合に有効である。より具体的には、プロキシ１０４と通信相手との間で暗号通信が予め成立することがわかっている場合に、通信機器２０１による暗号通信を避け、プロキシ１０４と通信相手との間のみで暗号通信を実施し、通信機器２０１とプロキシ１０４との間では非暗号通信を許容するといった利用形態が実現できる。なお、この場合のプロキシ１０４と通信相手との間の暗号通信の設定は、背景技術で記述した従来の暗号通信システムのような特殊なプロキシを使用した形態ではなく、予めＩＰｓｅｃによって静的に暗号通信路が確立されていることを想定している。
【００５０】
（第３の実施形態）
図７は、本発明の第３の実施形態に係る通信機器３０１の構成の一例を示すブロック図である。第３の実施形態では、第１の実施形態と同一の構成については同一の参照符号を付して説明を省略する。第３の実施形態では、プロキシ設定管理部３１２が、アプリケーション通信部３１３に代ってプロキシ９０４を経由した通信を行うか、あるいはＩＰｓｅｃによる暗号通信を行うか否かを判断する。
【００５１】
プロキシ設定管理部３１２は、アプリケーション通信部３１３からプロキシ情報の問い合わせを受け付け、セキュリティポリシ問合せ部１４にセキュリティポリシを問い合わせる。そして、プロキシ設定管理部３１２は、得られたセキュリティポリシとプロキシ情報とに基づいて、アプリケーション通信部３１３に返す接続経路を決定する。セキュリティポリシ問合せ部３１３は、第１及び第２の実施形態に係るセキュリティポリシ問合せ部１３と比較して、問い合わせを受け付ける相手がアプリケーション通信部３１３であるか、プロキシ設定管理部３１２であるかが違うのみである。
【００５２】
以上のように、本発明の第３の実施形態に係る通信機器３０１によれば、第１の実施形態と同様の効果を得ることができる。
【００５３】
なお、第１〜３の実施形態で述べた通信機器が行うそれぞれの処理手順は、記憶装置（ＲＯＭ、ＲＡＭ、ハードディスク等）に格納された上述した処理手順を実行可能な所定のプログラムデータが、ＣＰＵによって解釈実行されることで実現されてもよい。この場合、プログラムデータは、記憶媒体を介して記憶装置内に導入されてもよいし、記憶媒体上から直接実行されてもよい。なお、記憶媒体は、ＲＯＭやＲＡＭやフラッシュメモリ等の半導体メモリ、フレキシブルディスクやハードディスク等の磁気ディスクメモリ、ＣＤ−ＲＯＭやＤＶＤやＢＤ等の光ディスクメモリ、及びメモリカード等をいう。また、記憶媒体は、電話回線や搬送路等の通信媒体を含む概念である。
【産業上の利用可能性】
【００５４】
本発明に係る通信機器は、暗号通信等を行なう通信機器等として有用である。
【図面の簡単な説明】
【００５５】
【図１】本発明の第１の実施形態に係る暗号通信システムのネットワーク構成の一例を示す図
【図２】本発明の第１の実施形態に係る通信機器１０１の構成の一例を示すブロック図
【図３】本発明の第１の実施形態に係る通信機器１０１の動作の一例を示すフローチャート
【図４】接続経路設定処理（ステップＳ１６）の詳細な動作の一例を示すフローチャート
【図５】本発明の第２の実施形態に係る通信機器２０１の構成の一例を示すブロック図
【図６】セキュリティポリシデータベース部２３０が保存するセキュリティポリシの一例を示す図
【図７】本発明の第３の実施形態に係る通信機器３０１の構成の一例を示すブロック図
【図８】従来のプロキシを経由するネットワークシステムの構成の一例を示す図
【図９】従来の通信機器９０１の構成の一例を示すブロック図
【図１０】従来の暗号通信システムのネットワーク構成の一例を示す図
【図１１】従来の通信機器９５１の構成の一例を示すブロック図
【図１２】セキュリティポリシデータベース部９３０が保存するセキュリティポリシの一例を示す図
【符号の説明】
【００５６】
１０１〜１０３、９０１〜９０３、９５１〜９５３  通信機器
１０４、９０４、９５４  プロキシ
１０５、９０５  ルータ
１０６、９０６  外部ネットワーク
１０７、９０７  サーバ
１０、９１０  アプリケーション部
１１、９１１  アプリケーションユーザＩ／Ｆ部
１２、３１２  プロキシ設定管理部
１３、２１３、３１３  アプリケーション通信部
１４、３１４  セキュリティポリシ問い合わせ部
２０、９２０、９２５  通信部
３０、２３０、９３０  セキュリティポリシデータベース部
４０、９４０  セキュリティポリシ設定ユーザＩ／Ｆ部
【図１】
2006303588.tif 000003
【図２】
2006303588.tif 000004
【図３】
2006303588.tif 000005
【図４】
2006303588.tif 000006
【図５】
2006303588.tif 000007
【図６】
2006303588.tif 000008
【図７】
2006303588.tif 000009
【図８】
2006303588.tif 000010
【図９】
2006303588.tif 000011
【図１０】
2006303588.tif 000012
【図１１】
2006303588.tif 000013
【図１２】
2006303588.tif 000014