(57)【要約】【課題】  通信セキュリティを確保しながら、例えばウィルスチェックを行うセキュリティセンターにおけるサーバ負荷の増大、スループット低下、および通信トラフィックの偏りを防止する。【解決手段】  通信相手や、通信に対応するアプリケーションに応じて、通信相手側との直接の通信経路と、通信セキュリティをチェックする装置２を経由する通信経路とのいずれかを選択する装置１を備える。また通信パケットに経路選択用のマーキングを行う装置３を備え、装置１がそのマーキングの内容に応じて経路選択を行う。【選択図】図１
2006180280.tif 000002
【特許請求の範囲】
【請求項１】
セキュア通信を実現する通信システムであって、
通信相手、および／または通信に対応するアプリケーションに応じて、通信相手側との直接の通信経路と、通信のセキュリティをチェックするセキュリティチェック装置を経由する通信経路とのいずれかの通信経路を選択する通信経路選択装置を備えることを特徴とするセキュア通信システム。
【請求項２】
前記通信システムはパケット通信システムであり、
前記通信相手、および／または通信に対応するアプリケーションに応じて、通信パケットに経路選択用のマーキングを行うマーキング装置をさらに備え、
前記経路選択装置が該マーキングの内容に応じて前記経路選択を行うことを特徴とする請求項１記載のセキュア通信システム。
【請求項３】
前記マーキング装置が、前記マーキングのデータとしてセキュリティチェックのレベルを指定するレベル情報をさらに通信パケットに付加し、
前記セキュリティチェック装置が該指定されたレベルのセキュリティチェックを行うことを特徴とする請求項２記載のセキュア通信システム。
【請求項４】
前記マーキング装置が、通信パケットのヘッダ情報内に前記マーキング情報を格納することを特徴とする請求項２記載のセキュア通信システム。
【請求項５】
通信相手側への通信経路を選択する通信経路選択装置であって、
通信相手、および／または通信に対応するアプリケーションに応じて、通信相手側との直接の通信経路と、通信のセキュリティをチェックする装置を経由する通信経路とのいずれかの経路を選択する通信経路選択装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は通信ネットワークにおけるセキュリティ確保の方式に係り、さらに詳しくは通信相手や通信に対応するアプリケーションに応じて、通信相手側との直接の通信経路と、例えばウィルスチェックセンターなどのセキュリティセンターを経由する経路とのいずれかを選択することによって、トラフィックの偏りを生ずることなく、通信のセキュリティを確保できるセキュア通信システム、および通信経路選択装置に関する。
【背景技術】
【０００２】
インターネットなどのネットワークの広範な利用が行われる中で、情報セキュリティに対する脅威、例えばウィルスやワームなどの脅威が増大している。そのようなセキュリティに対する脅威を防ぐために、データをセキュリティチェックセンターを経由して通信するサービスが新たに出現してきている。
【０００３】
図２１はそのようなウィルスチェックを行う、従来のセキュア通信システムにおける通信方式の説明図である。同図においては、例えばユーザ端末相互間、あるいはある特定のサービスを提供するサーバとユーザ端末との間などで、インターネットを介して通信される全ての通信データはウィルスチェックセンターを経由し、ウィルスチェックが行われて通信相手側に転送される。
【０００４】
しかしながらこのように全ての通信、例えば全てのパケットに対応してセキュリティサービスとしてのウィルスチェックを行う場合には、ウィルスチェックセンターにおけるサーバの負荷が増大し、通信スループットが低下するとともに、ウィルスチェックセンター近辺での通信リンクにトラフィックが集中し、トラフィックの偏りが生ずる恐れがある。そこでこのような通信方式を多数のユーザによって利用される大規模ネットワークにおいて利用することは困難であるという問題点があった。
【０００５】
すなわち、従来は例えばユーザ側のブロードバンドルータとウィルスチェックセンターとの間が、ポイント・ツー・ポイント・トンネリング・プロトコル（ＰＰＴＰ）によるバーチャル・プライベート・ネットワーク（ＶＰＮ）などによって直接に結ばれており、例えば通信相手によってはチェックセンターを経由せずに直接に相手側と通信を行うような経路制御は困難であった。
【０００６】
このような通信システムにおけるセキュリティの確保や、通信品質向上に関する従来技術として次のような文献がある。
【特許文献１】特許第３１７３５０５号  「パケット通信システム」
【特許文献２】特開２００１−３５８７７１号  「通信品質制御装置」
【特許文献３】特開２００３−２０４３４８号  「ＶＬＡＮ（Ｖｉｒｔｕａｌ  ＬＡＮ）をサポートしたストレージデバイス」  特許文献１においては、パケット通信システムに流入するパケットの量が処理能力を上回ってしまう事態に対応して、パケットの通過が短時間内にまとまって発生したことを検出できる監視装置を備えることによって、安定したパケット通信システムを提供する技術が開示されている。
【０００７】
特許文献２には、受信したデータグラムに含まれるプロトコルレイヤ“３”以下のデータによって送信先を決定するだけでなく、プロトコルレイヤ“４”から“７”のレイヤ情報から取り出される通信の属性情報に対応して、データグラムを送信する通信品質を決定する通信品質制御装置が開示されている。
【０００８】
特許文献３には、ＩＰネットワークに接続されたストレージデバイスのセキュリティを強化する技術として、バーチャル・ローカル・エリア・ネットワーク技術を用いたセキュアなＩＰプロトコル・ストレージデバイスが開示されている。
【０００９】
しかしながらこのような特許文献１から特許文献３に開示された技術を用いても、本発明が対象とする通信ネットワークにおける問題点、すなわち全ての通信データをウィルスチェックセンターなどを経由して通信を行う場合には、ウィルスチェックセンターのサーバ負荷が増大するなど、前述の問題点を解決することはできなかった。
【発明の開示】
【発明が解決しようとする課題】
【００１０】
本発明の課題は、上述の問題点に鑑み、全てのデータをウィルスチェックセンターのようなセキュリティセンターを経由して通信を行うのではなく、通信相手や通信に対応するアプリケーションに応じて、セキュリティセンターを経由する経路と、直接に通信相手側とを結ぶ通信経路とのいずれかを選択可能とすることによって、通信のセキュリティを確保しながらセキュリティセンターにおけるサーバの負荷の増大やスループット低下、および通信トラフィックの偏りを防止することである。
【課題を解決するための手段】
【００１１】
図１は、本発明のセキュア通信システムの原理構成ブロック図である。同図においてセキュア通信システムは、通信相手、および／または通信に対応するアプリケーションに応じて、通信相手側、例えばユーザ端末５との直接の通信経路と、通信のセキュリティをチェックするセキュリティチェック装置２を経由する通信経路とのいずれかの経路を選択する経路選択装置１を備えるものである。
【００１２】
発明の実施の形態においては、通信システムはパケット通信システムであり、通信相手、および／または通信に対応するアプリケーションに応じて、通信パケットにセキュリティ用のマーキングを行うマーキング装置３をシステムがさらに備え、経路選択装置１がそのマーキングの内容に応じて経路の選択を行うこともできる。
【００１３】
また実施の形態においては、マーキング装置３がマーキングのデータとして、セキュリティチェックのレベルを指定するレベル情報をさらに通信データ、例えばパケットのヘッダに付加し、セキュリティチェック装置２がその指定されたレベルのセキュリティチェックを行うこともでき、また経路選択装置１によって選択された通信経路上に複数のセキュリティチェック装置２が存在する時には、通信データの送信側、例えばユーザ端末６から送られ、マーキング装置３によってレベル情報が付加された通信パケットを、経路選択装置１から通信ネットワーク４の内部で最初に受け取ったセキュリティチェック装置２がセキュリティチェックを行った後に、レベル情報をセキュリティチェックが不要であることを示すレベルに書き換えて、さらに選択された通信経路上に出力することもできる。
【００１４】
また実施の形態においては、マーキング装置３が経路選択、および／またはセキュリティチェックレベルを示すマーキングデータをパケットのヘッダ情報内に格納することもでき、この場合、マーキングデータをＩＰパケットのヘッダ情報の内でタイプ・オブ・サービスのフィールドに設定することも、ＩＰセキュリティプロトコル通信におけるオーセンティケーション・ヘッダ内の予約ビットの格納領域に設定することも、さらに例えばＩＰパケット内で本来の通信データの格納領域に独自ヘッダを作成し、その独自ヘッダ格納領域に設定することもできる。
【００１５】
発明の実施の形態においては、マーキング装置３が経路選択が行われるネットワーク４ではなく、ユーザ端末６が接続されたネットワーク、例えばローカルエリアネットワーク内に配置されることも、あるいは、ユーザ端末６がマーキング装置３を兼ねることもでき、この場合、経路選択装置１が経路選択が行われるネットワーク４、例えばキャリアのネットワークの入口に配置されるとともに、マーキング装置３がマーキング情報を暗号化するための暗号化手段をさらに備えることもでき、あるいはマーキング装置３がネットワーク４の入口に配置されることもできる。
【００１６】
実施の形態においては、通信に対応するアプリケーションに関するサービス提供者と通信の送信側との間の契約の時点で、サービス提供者から受信したマーキング用ポリシールールを格納するポリシールール格納手段をマーキング装置３がさらに備え、アプリケーションに対応する通信の開始時に、そのポリシールールに従ってマーキングを行うこともできる。
【００１７】
また通信の送信側が仲介者を通して通信相手側と通信を行う時に、マーキング装置３を兼ねるユーザ端末６がその仲介者からマーキング用ポリシールールを受信し、パケットにマーキングを行うこともできる。
【００１８】
またマーキング装置３が、通信用パケットとしてのＩＰパケット用のサービス品質制御のための技術であるディフ・サーブにおけるヘッダ情報の設定と併用する形式で、すなわちヘッダ内にディフ・サーブのためのデータとマーキングデータとの両方を設定する形式で、前述のマーキングを行うこともできる。
【００１９】
さらに実施の形態においては、セキュリティチェック装置２が通信システム内のネットワーク４のルータに配置されることもできる。あるいは、セキュリティチェック装置２が通信経路が選択されるネットワーク４と異なるネットワーク内に配置され、通信の経路が送信側からセキュリティチェック装置までの経路と、セキュリティチェック装置から通信相手側までの経路によって構成されることもできる。
【００２０】
次に本発明の通信経路選択装置は、セキュア通信を実現するために通信相手側への通信経路を選択するものであり、通信相手、および／または通信に対応するアプリケーションに応じて、通信相手側との直接の通信経路と、通信のセキュリティをチェックする装置を経由した通信経路とのいずれかの経路の選択を行うものである。
【００２１】
発明の実施の形態においては、通信の方式がパケット通信方式であって、通信経路選択装置が送信パケット内のヘッダ情報、送信側のポート番号を含む情報に対応して、通信経路の選択を行うこともできる。
【００２２】
以上のように本発明によれば、例えばパケットのヘッダ情報に通信相手側との直接の通信経路を選択すべきか、セキュリティチェック装置を経由した通信経路を選択すべきかを示すデータがマーキングされて経路選択装置に入力されることによって、パケットを送信すべき通信経路の選択が行われる。
【発明の効果】
【００２３】
本発明によれば、パケットの送信相手やパケットに対応するアプリケーションに応じて、セキュリティセンターを経由するか、直接に相手側と通信を行うかという経路選択が可能となり、通信のセキュリティを確保しながら、セキュリティセンターの負荷軽減、および通信トラフィックの偏りを防止することが可能となり、セキュリティセンターのサーバコスト削減やネットワークリソースの有効利用に寄与するところが大きい。
【発明を実施するための最良の形態】
【００２４】
図２は、本発明の通信経路選択方式が用いられるパケット通信システムの構成例である。同図においてユーザ１０とデータセンター１１との間でパケット通信が行われるものとし、例えばユーザ１０からデータセンター１１に対して送信されるパケットはセキュリティセンター１３を経由し、ウィルスチェック装置１４によってウィルスチェックが行われた後にデータセンター１１に送られるものとし、データセンター１１からユーザ１０に対して送られるパケットはセキュリティセンター１３を経由することなく、直接にユーザ１０側に送られるものとする。
【００２５】
ユーザ１０とデータセンター１１との間の通信は、基本的にはネットワークサービスプロバイダ（ＮＳＰ）、すなわちキャリアのネットワーク１２を介して行われるが、このような通信における経路選択のためのセキュリティポリシーが、例えば仲介サービスを行うプロバイダ１５内に備えられる管理装置２２から、ユーザ１０側の端末１６が接続されたマーキング装置としてのホームゲートウェイ１７に送られてパケットへのマーキングが行われるものとする。ただし、このようなセキュリティポリシーを配布する管理装置を仲介サービス１５側でなく、ＮＳＰ側に配置することも可能である。
【００２６】
ユーザはメール、ストリーミングなどの様々なサービスを受けるために、仲介サービス１５を提供するサービスプロバイダとの間で契約を行うが、その契約にあたって仲介サービス１５側からそのサービス、すなわちアプリケーションに対応したセキュリティポリシーが、マーキング装置としてのホームゲートウェイ１７に、ネットワーク１２内のルータ１９を介して設定される。
【００２７】
図２において、ユーザがエンタプライズネットワーク側のデータセンター１１にアクセスする場合には、ユーザ１０からデータセンター１１に対してファイル・トランスファー・プロトコル（ＦＴＰ）に基づく通信が、マーキング装置１７、セキュリティゲートウェイ１８、ルータ１９、セキュリティセンター１３内のウィルスチェック装置１４を介して行われる。データセンター１１からデータをアップロードする場合には、データセンター１１側のサーバ２１とユーザ１０側の端末１６とは、ホームゲートウェイ１７、セキュリティゲートウェイ１８、およびルータ１９を介する直接の転送経路で結ばれることになる。
【００２８】
例えばユーザ１０側のマーキング装置としてのホームゲートウェイ１７に設定されるセキュリティポリシーは、コンディションとアクションとから構成される。コンディションは、例えばＩＰヘッダの送受信ＩＰアドレス、プロトコルＩＤ、ポート番号などであり、アクションは、マーキング情報として設定すべき内容を示す。アクションとしてマーキングされる情報は、例えばルート選択用情報（ルートフラグ）と、セキュリティチェックレベル情報であり、ルートフラグは“０”が直接経路、“１”がセキュリティセンター経由の経路を示し、チェックレベルは“０”がチェックなし、“１”“２”、および“３”がそれぞれレベル１、２、および３を示す。
【００２９】
ユーザ１０側のホームゲートウェイ１７に設定されるマーキング情報は、例えば以下のようになる。
ＩＦ；ＩＰ−Ｓ＿ａｄｄｒ：ｗｗ．ｘｘ．ｙｙ．ｚｚ，Ｐｏｒｔ：２１（ＦＴＰ）
Ｔｈｅｎ；ｒｏｕｔｅＦｌａｇ：１，ｃｈｅｃｋＬｅｖｅｌ：２
ここでソースアドレスＳ、すなわちユーザ側の端末１６のアドレスとポート番号が指定されることによって、どのようなサービスに対応する通信であるかがわかり、それに対応したルートフラグとチェックレベルが設定されるものとする。
【００３０】
データセンター側のホームゲートウェイ１７に設定される情報は、例えば以下のようになる。
ＩＦ；ＩＰ−Ｓ＿ａｄｄｒ：ｗｗ．ｘｘ．ｙｙ．ｚｚ，ＩＰ−Ｄ＿ａｄｄｒ：ａａ．ｂｂ．ｃｃ．ｄｄ
Ｔｈｅｎ；ｒｏｕｔｅＦｌａｇ：０
ここでソースアドレスＳは、データセンター１１側のサーバ２１のアドレスであり、ディスティネーションアドレスＤはデータがアップロードされるユーザ端末１６のアドレスを示し、ルートフラグはセキュリティセンター１３を経由しない直接経路を示している。
【００３１】
ユーザ１０側のマーキング装置としてのホームゲートウェイ１７では、ＩＰパケットに付加されているヘッダの情報（送受信ＩＰアドレス、プロトコルＩＤ）やポート番号などの情報に対応して、設定されているコンディションにマッチしているかどうかを判定し、マッチしているＩＰパケット内の、後述するマーキング個所にルートフラグとセキュリティチェックレベルの情報をマーキングし、マーキングされたＩＰパケットをネットワーク１２側に送信する。
【００３２】
経路選択装置に相当するセキュリティゲートウェイ１８では、入力されたＩＰパケットに付加されているマーキング情報に基づいて経路選択を行う。ルートフラグの値が“０”であれば直接の通信経路、“１”であればセキュリティセンターを経由する通信相手側への経路を選択する。なおパケットにマーキングを行うことなく、ネットワーク１２の入口に配置されているセキュリティゲートウェイ１８でＩＰパケットのヘッダの情報を見て経路選択を行うことも可能である。
【００３３】
セキュリティセンター１３のウィルスチェック装置１４は、チェックレベルの情報に対応してウィルスチェック処理を行う。例えばメールに対して、チェックレベル“０”では処理なし、チェックレベル“１”ではタイトル、本文、添付ファイルの名称のみのチェック、チェックレベル“２”ではタイトル、本文、添付ファイルの名称チェックに加えて、そのデータに対するデータマッチング、すなわちウィルスのデータがわかっている時のそのデータとのマッチング、チェックレベル“３”ではタイトル、本文、添付ファイルの名称のチェックに加えて、添付ファイルが実行ファイルの場合にはシミュレーションが行われる。
【００３４】
送信相手側のマーキング装置、すなわちホームゲートウェイ１７では、受信したＩＰパケットのヘッダに付加されているマーキング情報を消去して、例えばデータセンター１１内のサーバ２１にそのパケットを出力する。
【００３５】
図３は、２つのネットワークを経由する通信におけるセキュリティチェック処理の説明図である。例えばアプリケーション・サービス・プロバイダ（ＡＳＰ）や、コンテンツ・サービス・プロバイダ（ＣＳＰ）２５から、例えばそれぞれ異なるキャリアに対応する２つのネットワーク、あるいは２つのドメイン１２a、１２bを経由してユーザ１０側にデータを送信するような場合には、ＡＳＰ／ＣＳＰ２５側のホームゲートウェイ１７によってパケットへのマーキングが行われ、セキュリティゲートウェイ１８によってセキュリティセンター１３aを経由する経路が選択され、ネットワーク１２aのＮＳＰに対応して備えられているウィルスチェック装置１４aによってウィルスチェックが行われた後に、このウィルスチェック装置１４aによってセキュリティチェックレベル情報がチェックなしを示す“０”に書き換えられ、ネットワーク１２b側に送られるものとする。ネットワーク１２bに対応するＮＳＰに備えられているウィルスチェック装置１４bでは、受け取ったパケットに付加されているセキュリティチェックレベル情報が“０”であることからセキュリティチェックを行うことなく、そのパケットをユーザ端末１６に向けて出力する。
【００３６】
ここでウィルスチェックの処理は、最初のウィルスチェック装置１４aによって行われ、チェック結果が“ＯＫ”である場合にはチェックレベルが“０”に書き換えられてその後のパケット送信が行われるが、これは基本的には、例えばキャリアのネットワーク内ではウィルス感染がおこることはなく、ウィルス感染は、例えばユーザ側の端末やローカルエリアネットワークなどでおこるものと想定しており、例えばさらにセキュリティを向上させるために、キャリアのネットワーク内では暗号化したパケットを送信することによってウィルス感染は防止される。
【００３７】
ウィルスチェックセンターでウィルス感染が検出された場合には、そのパケットは廃棄されるか、ウィルスの検疫が行われる。ウィルスの検疫とは、ウィルスそのもののデータをパケットから除外することであり、ウィルス感染以前のデータが復元されるとは限らないが、少なくともそのウィルスの影響、すなわち他へのその後の感染を防止することが可能となる。そして必要に応じてパケット送信元にウィルス感染がメールなどによって通知される。
【００３８】
図４、および図５は通信システムにおけるウィルスチェック機能の配置方式の説明図である。図４では、ウィルスチェック装置１４がインターネット・サービス・プロバイダ（ＩＳＰ）２６側に配置されている。この場合、例えばキャリアとしてのＮＳＰ側の通信ネットワーク１２からウィルスチェック装置１４が分離されるために、通信元、例えばユーザ１０とウィルスチェック装置１４との間、ウィルスチェック装置１４と通信相手側としての、例えばデータセンター１１との間で２つの通信経路が構成されることになる。この場合、ＩＳＰ２６は通信の仲介者としての役割も果たすことになり、ＩＳＰ２６がユーザ１０側のホームゲートウェイ１７、またはユーザ端末１６に、前述のセキュリティポリシーを設定することも可能である。
【００３９】
図５は、ウィルスチェック装置１４が、例えばキャリアの通信ネットワーク１２内のルータ１９に配置される場合を示す。この場合はネットワーク１２に対応するＮＳＰによってウィルスチェック機能が提供されることにより、通信元と通信相手側との通信経路は１つで済むことになる。
【００４０】
次にマーキング情報のパケットへの付加について図６、図７を用いて説明する。図６は、ＩＰヘッダのＴＯＳフィールドへのマーキング情報格納法の説明図である。ＩＰパケットのヘッダ情報のうちで、先頭から３番目にタイプ・オブ・サービス（ＴＯＳ）情報を格納する長さ８ビットのフィールドが存在する。このフィールドには、例えば１ビット目から３ビットまでにパケット転送処理の優先度を６段階で指定するプリシーデンスのデータが格納される。
【００４１】
この８ビットフィールドは、ＩＰ用のＱｏＳ（サービス品質）制御のための技術としてのＤｉｆｆ−Ｓｅｒｖ（ディフ・サーブ）技術においては、ＤＳＣＰ（ディファレンシエイテッド・サービス・コード・ポイント）６ビットに転用される。この６ビットはＴＯＳフィールドに相当する８ビットの先頭６ビットに格納されるが、この６ビットにはサービスのクラスを示すデータと、パケットの廃棄率としてのドロップを示すデータが格納されるが、その最後の６ビット目、すなわち空きビットとなっているエクスペリメンタル／ローカルビットの内容としてルートフラグを割り当て、残っている２ビット、すなわちカーレントリー・アンユーズド（ＣＵ）ビットにチェックレベルを割り当てることにする。すなわちこの２ビットの“００”はチェックなし、“０１”はレベル１、“１０”はレベル２、“１１”はレベル３に相当する。
【００４２】
このように本実施形態ではＤｉｆｆ−Ｓｅｒｖにおける空きビットをマーキングのために利用しているので、Ｄｉｆｆ−Ｓｅｒｖによるサービス品質制御とマーキングによる経路選択とを併用することができる。
【００４３】
図７は、マーキングのためのセキュリティヘッダを独立に定義する場合のパケットのフォーマットである。通常のＩＰｖ４ヘッダの後に、独自ヘッダとしてのセキュリティヘッダを定義し、このヘッダ内にルートフラグとチェックレベルの情報を格納する。この領域は本来はデータの格納領域であり、データの格納領域に独自のセキュリティヘッダが定義されることになる。
【００４４】
パケットへのマーキングの方式としては、図６、図７で説明した方法の他に、ＩＰｓｅｃ通信におけるＡＨヘッダを利用する方法がある。ＩＰｓｅｃ通信は、ＴＣＰ／ＩＰ通信に認証や暗号化の機能を追加したものであり、この方式ではＩＰパケットにオーセンティケーション・ヘッダ（ＡＨ）と呼ばれるヘッダが追加され、送信元に関する認証のために用いられるが、このＡＨヘッダ内には現在使用されていない予約ビット２バイトがあり、この予約ビットを利用してルートフラグとチェックレベルのデータを格納することができる。
【００４５】
図８は、図２で説明したホームゲートウェイ１７に相当するマーキング装置と、セキュリティゲートウェイ１８に相当する経路選択装置と、例えば仲介サービス１５側でセキュリティポリシーを配布するサーバ２２に相当する管理装置の構成例のブロック図である。同図においてマーキング装置３０と経路選択装置３１に対しては管理装置３２が接続され、マーキング装置３０と経路選択装置３１に対してセキュリティポリシーに相当するデータが配布される。なお管理装置３２は仲介サービス１５側でなく、ネットワーク１２を管理するネットワーク・サービス・プロバイダ（ＮＳＰ）側に備えられることも当然可能である。
【００４６】
図８においてマーキング装置３０は、パケットにマーキングを行うマーキング部３３、管理装置３２から与えられるセキュリティポリシーとしてのマーキング情報を受け取るマーキング情報受信部３４、受け取ったマーキング情報を格納するマーキング情報格納部３５を備えている。
【００４７】
経路選択装置３１は、ネットワークの入口側では経路選択を行い、ネットワークの出口側ではパケットに付加されたマーキング情報を消去する経路選択・マーキング消去部３６、管理装置３２からセキュリティポリシーに対応してセキュリティセンターを経由する経路情報を受信する経路情報受信部３７、受信した経路情報を格納するセキュリティセンター情報格納部３８を備えている。
【００４８】
さらに管理装置３２は、セキュリティポリシーなどを登録情報として管理する登録情報管理部４０、セキュリティポリシー、セキュリティセンター情報をマーキング装置３０、経路選択装置３１側に送る登録情報設定部４１、登録情報としてのマーキング情報、およびセキュリティセンター情報を格納する格納部４２を備えている。
【００４９】
続いて図８のマーキング装置３０、経路選択装置３１、管理装置３２による処理と、ウィルスチェック装置による処理を、図９から図１７のフローチャートを用いて説明する。図９は、マーキング装置によるマーキング情報設定処理のフローチャートである。図８において管理装置３２から登録情報としてのマーキング情報設定要求がマーキング装置３０に送られると、ステップＳ１でマーキング情報としてのセキュリティポリシー情報の設定、すなわちマーキング情報格納部３５への情報格納が行われ、ステップＳ２でマーキング情報設定完了応答が管理装置３２に返されて処理を終了する。
【００５０】
図１０は、マーキング装置３０によるＩＰパケットへのマーキング処理のフローチャートである。例えば、ユーザ端末側からＩＰパケットが入力されると、ステップＳ４でそのパケットのヘッダ内の情報等を用いて、その送信パケットに対応するアプリケーションなどに該当するセキュリティポリシーが存在するか否かが判定され、存在する場合にはステップＳ３５でＩＰパケットのヘッダ情報にマーキングが行われ、存在しない場合には直ちに処理を終了し、パケットの出力が行われる。
【００５１】
図１１から図１３は、このパケットへのマーキング処理の詳細フローチャートである。図６、図７で説明したように、パケットへのマーキングについては３つの方法があるが、これらのフローチャートはその３つの方法にそれぞれ対応するものである。
【００５２】
図１１は、図６で説明したＴＯＳフィールドを利用するマーキング情報格納方法に対応する詳細フローチャートであり、ＩＰパケットが入力されるとステップＳ１０でＩＰパケットのヘッダ情報のキャプチャー、すなわち読み取りが行われ、ステップＳ１１でそのパケットに対応するサービスに該当するポリシーが存在するか否かが判定され、存在する場合にはステップＳ１２でパケットに対するマーキングが行われ、ステップＳ１３で例えば後述するようにマーキング装置３０から経路選択装置３１の間のセキュリティを確保するために暗号化処理が行われた後に、該当ポリシーが存在しない場合には直ちに、ステップＳ１４でＩＰパケットが出力されて処理を終了する。
【００５３】
図１２は、図７に対応して、独自ヘッダを利用するマーキング処理の詳細フローチャートである。図１１と比較してステップＳ１１で該当ポリシーが存在する場合に、例えばパケットに対応してアプリケーションのための暗号化処理を必要とする場合にステップＳ１６で独自ヘッダが作成されて、独自ヘッダすなわちセキュリティヘッダへのマーキングが行われた後にステップＳ１７で暗号化処理がスタートする。該当ポリシーが存在しない場合には直ちに、ステップＳ１４でＩＰパケットが出力される。なおステップＳ１１で該当ポリシーが存在しない場合にも、入力されたＩＰパケットに対応するサービスに対する暗号化処理が必要な場合にはその暗号化処理が開始される。
【００５４】
図１３は、マーキングの第３の方法、すなわちＩＰｓｅｃ通信におけるＡＨヘッダへのマーキング処理の詳細フローチャートである。同図においてはステップＳ１１で該当ポリシーが存在する場合には、ステップＳ１６で図１２におけると同様に暗号化処理がスタートし、ステップＳ１９でＡＨヘッダの作成と、そのヘッダ内の予約ビットへのマーキングが行われ、ステップＳ１４でＩＰパケットが出力される。
【００５５】
図１４、図１５は図８の経路選択装置３１による処理のフローチャートである。図１４は、管理装置３２からセキュリティポリシーに対応して送られるセキュリティセンター情報設定要求に対応する処理のフローチャートである。この要求に対応して、まずステップＳ２１でセキュリティセンターへのルート設定、すなわちセキュリティセンター情報格納部３８に対する経路情報格納が行われ、ステップＳ２２で管理装置３２側に設定完了応答が返されて処理を終了する。
【００５６】
図１５は、ネットワークの入口でマーキング装置３０側から、あるいはネットワークの出口でネットワーク側から入力されるＩＰパケットに対する処理の詳細フローチャートである。ＩＰパケットの入力に対して、ステップＳ２５で入力ＩＰパケットに対して自装置がネットワークの入口側にあるか否かが判定され、入口側にある場合にはステップＳ２６でパケットのヘッダにマーキング情報が存在するか否かが判定され、存在する場合にはステップＳ２７でルートフラグが“１”であるか否かが判定され、“１”である場合にはステップＳ２８でセキュリティセンター方向への経路にパケットが出力されて処理を終了する。
【００５７】
ステップＳ２５でネットワーク入口側にない場合にはステップＳ３０でマーキング情報が消去されて処理を終了し、またステップＳ２６でマーキング情報が存在しない時、およびステップＳ２７でルートフラグが“１”でない場合には、パケットが通常ルート、すなわちセキュリティセンターを経由しない直接の通信経路に出力されて処理を終了する。
【００５８】
図１６は、図８の管理装置３２による処理のフローチャートである。ここでは管理装置３２によって、例えばインターネット・サービス・プロバイダ（ＩＳＰ）によって提供されるサービスの契約時に実行される処理であって、その契約に対応するマーキング情報のマーキング装置３０への設定処理について説明する。管理装置３２からは当然そのサービスに対応してパケットが経由すべきセキュリティセンターへの経路情報の設定が行われる。その設定はユーザによるサービスの申込みの時点よりも前に、予め経路選択装置３１に対して行われるものとし、その処理についてはここでは説明しない。
【００５９】
図１６においてサービスの契約の申込に対応してステップＳ３２で契約が受付けられ、ステップＳ３３でその契約に対応するセキュリティポリシー、すなわちマーキング情報が抽出され、ステップＳ３４でマーキング装置３０に対するマーキング情報設定要求が出力され、ステップＳ３５でマーキング装置３０からの設定完了応答が受信されて処理を終了する。実際に契約に対応する通信の開始時点で、このセキュリティポリシーに従ったマーキングを行うことによって、ネットワーク制御の時間を短縮することができる。
【００６０】
図１７は、ウィルスチェック装置による処理のフローチャートである。同図においてＩＰパケットが入力されると、ステップＳ３６でチェックレベルの値が“０”であるか否かが判定され、“０”でない場合にはステップＳ３７でチェックレベルにあったウィルスチェック処理が行われ、チェック処理の結果が“ＯＫ”の場合にはステップＳ３８でチェックレベルの値が前述のように“０”とされた後に、またステップＳ３６でチェックレベルが“０”である場合には何らの処理を行うことなく、ステップＳ３９でＩＰパケットが送信先に転送されて処理を終了する。
【００６１】
図２で説明したようにパケットへのルートフラグとチェックレベルのマーキングは、例えばユーザ１０側のネットワーク（ローカルエリアネットワーク）内のマーキング装置としてのホームゲートウェイ１７、あるいはユーザ端末１６によって行われ、経路選択装置としてのセキュリティゲートウェイ１８にパケットが送られるが、ユーザ１０側のネットワーク内ではマーキング情報に対する改ざんが行われる恐れがあるために、マーキング装置３０から経路選択装置３１への通信経路においては、マーキング機能を専用のＬＳＩなどによって実現するとともに、経路選択装置３１に対して暗号化されたマーキング情報を渡すことが有効である。
【００６２】
図１８は、そのような暗号化マーキング情報の受け渡しの説明図である。同図においてマーキング部３３は専用ＬＳＩによって構成され、マーキング情報は暗号化されて経路選択装置３１に渡される。経路選択装置３１側の経路選択・マーキング消去部も専用ＬＳＩによって構成される。このようにマーキングを専用ＬＳＩを用いて行うことによって、例えばマーキング装置をユーザ端末１６によって兼用する場合においても、ユーザが勝手にセキュリティチェックレベルを常に最高レベルの“３”に設定してしまうような行過ぎたチェックレベルの設定を防止することができる。あるいは、マーキング情報の改ざんを防止するために、マーキング装置３０をキャリアのネットワーク１２の入口側に配置することによって暗号化を不必要とすることも可能である。
【００６３】
図１９、図２０はこのようなマーキングと経路選択用の専用ＬＳＩの構成例のブロック図である。図１９は、マーキング専用ＬＳＩの構成を示し、専用ＬＳＩは例えばユーザ端末側からのパケットを受け取るパケット入力部５０、経路選択装置３１側にパケットを出力するパケット出力部５１、マーキングを行うマーキング機能部５２、マーキング情報を暗号化する暗号化機能部５３を備えている。なおキャリアのネットワーク１２側から受信したパケットに対しては、パケット入力部５０によって受信されたパケットは、マーキング機能部５２を経由するだけで、パケット出力部５１から、例えばユーザ端末１６側に出力される。
【００６４】
図２０は、経路選択専用ＬＳＩの構成ブロック図である。同図においてこのＬＳＩは、マーキング装置３０側からパケットを受け取るパケット入力部５５、暗号化されたマーキング情報を解読する暗号化機能部５７、マーキング情報に対応する経路を選択する経路選択機能部５８、例えばキャリアのネットワーク１２に対してパケットを出力するパケット出力部５６を備えるとともに、キャリアのネットワーク１２からパケット入力部５５が受け取ったパケットを、パケット出力部５６から、例えばユーザ端末１６側に出力する前に、パケット内のマーキング情報を消去するマーキング消去機能部５９を備えている。
【００６５】
（付記１）  セキュア通信を実現する通信システムであって、
通信相手、および／または通信に対応するアプリケーションに応じて、通信相手側との直接の通信経路と、通信のセキュリティをチェックするセキュリティチェック装置を経由する通信経路とのいずれかの通信経路を選択する通信経路選択装置を備えることを特徴とするセキュア通信システム。
【００６６】
（付記２）  前記通信システムはパケット通信システムであり、
前記通信相手、および／または通信に対応するアプリケーションに応じて、通信パケットに経路選択用のマーキングを行うマーキング装置をさらに備え、
前記経路選択装置が該マーキングの内容に応じて前記経路選択を行うことを特徴とする付記１記載のセキュア通信システム。
【００６７】
（付記３）  前記マーキング装置が、前記マーキングのデータとしてセキュリティチェックのレベルを指定するレベル情報をさらに通信パケットに付加し、
前記セキュリティチェック装置が該指定されたレベルのセキュリティチェックを行うことを特徴とする付記２記載のセキュア通信システム。
【００６８】
（付記４）  前記通信経路選択装置が選択した通信経路上に複数の前記セキュリティチェック装置が存在する時、
通信データの送信側から前記レベル情報が付加された通信パケットを最初に受け取ったセキュリティチェック装置が、セキュリティチェックを行った後に、該レベル情報をセキュリティチェックが不要であることを示す値に書き換えて、前記選択された通信経路上に出力することを特徴とする付記３記載のセキュア通信システム。
【００６９】
（付記５）  前記マーキング装置が、通信パケットのヘッダ情報内に前記マーキング情報を格納することを特徴とする付記２記載のセキュア通信システム。
（付記６）  前記マーキング装置が、前記マーキングのデータを、前記通信パケットとしてのＩＰパケットのヘッダ情報内のタイプ・オブ・サービスのフィールドに設定することを特徴とする付記５記載のセキュア通信システム。
【００７０】
（付記７）  前記マーキング装置が、前記マーキングのデータを、前記パケット通信の方式としてのＩＰセキュリティプロトコル通信における通信パケットのオーセンティケーション・ヘッダ内の予約ビットの格納領域に設定することを特徴とする付記５記載のセキュア通信システム。
【００７１】
（付記８）  前記マーキング装置が、前記通信パケットとしてのＩＰパケット内で本来の通信データ格納領域に独自ヘッダを作成し、該独自ヘッダ格納領域に前記マーキングのデータを設定することを特徴とする付記５記載のセキュア通信システム。
【００７２】
（付記９）  前記マーキング装置をユーザ端末が兼ねることを特徴とする付記２記載のセキュア通信システム。
（付記１０）  前記経路選択装置が、前記経路選択が行われるネットワークの入口に配置されるとともに、
前記ユーザ端末が、前記マーキング情報を暗号化するための暗号化手段をさらに備えることを特徴とする付記９記載のセキュア通信システム。
【００７３】
（付記１１）  前記マーキング装置が、前記経路選択が行われるネットワークと異なるネットワークであって、パケット送信側のユーザ端末が接続されたネットワーク内に配置されることを特徴とする付記２記載のセキュア通信システム。
【００７４】
（付記１２）  前記経路選択装置が、前記経路選択が行われるネットワークの入口に配置されるとともに、
前記マーキング装置が、前記マーキング情報を暗号化するための暗号化手段をさらに備えることを特徴とする付記１１記載のセキュア通信システム。
【００７５】
（付記１３）  前記マーキング装置が、前記経路選択が行われるネットワークの入口に配置されることを特徴とする付記２記載のセキュア通信システム。
（付記１４）  前記マーキング装置が、前記通信に対応するアプリケーションに関する前記パケットの送信側とサービス提供者との間の契約の時点で、該サービス提供者から受信したマーキング用ポリシールールを格納するポリシールール格納手段をさらに備え、
該アプリケーションに対応する通信の開始時に、該ポリシールールに従って前記マーキングを行うことを特徴とする付記２記載のセキュア通信システム。
【００７６】
（付記１５）  前記通信の送信側が仲介者を通して前記通信相手側と通信を行う時、
前記マーキング装置を兼ねるユーザ端末が該仲介者からマーキング用ポリシールールを受信し、パケットにマーキングを行うことを特徴とする付記２記載のセキュア通信システム。
【００７７】
（付記１６）  前記マーキング装置が、前記通信パケットとしてのＩＰパケット用のサービス品質制御のための技術であるディフ・サーブにおけるヘッダ情報の設定と併用する形式で、前記マーキングを行うことを特徴とする付記２記載のセキュア通信システム。
【００７８】
（付記１７）  前記セキュリティチェック装置が、前記経路選択が行われるネットワーク内のルータに配置されることを特徴とする付記１記載のセキュア通信システム。
（付記１８）  前記セキュリティチェック装置が、前記経路選択が行われるネットワークと異なるネットワーク内に配置され、
前記セキュリティチェック装置を経由する通信経路が、該送信側からセキュリティチェック装置までの経路と、該セキュリティチェック装置から通信相手側までの経路とによって構成されることを特徴とする付記１記載のセキュア通信システム。
【００７９】
（付記１９）  通信相手側への通信経路を選択する通信経路選択装置であって、
通信相手、および／または通信に対応するアプリケーションに応じて、通信相手側との直接の通信経路と、通信のセキュリティをチェックする装置を経由する通信経路とのいずれかの経路を選択する通信経路選択装置。
【００８０】
（付記２０）  前記通信の方式がパケット通信方式であり、
前記通信経路選択装置が、送信パケット内のヘッダ情報、送信側ポートの番号を含む情報に対応して、前記通信経路選択を行うことを特徴とする付記１９記載の通信経路選択装置。
【図面の簡単な説明】
【００８１】
【図１】本発明のセキュア通信システムの原理構成ブロック図である。
【図２】本発明の経路選択方式が用いられる通信システムの構成例である。
【図３】パケットが２つのネットワーク（ドメイン）を経由する場合のセキュリティチェック処理の説明図である。
【図４】ウィルスチェックがインターネット・サービス・プロバイダで行われる場合の通信方式の説明図である。
【図５】ウィルスチェックが通信ネットワーク内のルータで行われる場合の通信方式の説明図である。
【図６】ＩＰヘッダのＴＯＳフィールドへのマーキング情報の格納の説明図である。
【図７】セキュリティ用独自ヘッダを定義してマーキング情報を格納する場合のパケットフォーマットを示す図である。
【図８】マーキング装置、経路選択装置、および管理装置の構成例を示すブロック図である。
【図９】マーキング装置によるマーキング情報設定処理のフローチャートである。
【図１０】マーキング装置によるマーキング処理の全体フローチャートである。
【図１１】マーキング処理の詳細フローチャート（その１）である。
【図１２】マーキング処理の詳細フローチャート（その２）である。
【図１３】マーキング処理の詳細フローチャート（その３）である。
【図１４】経路選択装置によるセキュリティセンター情報設定処理のフローチャートである。
【図１５】経路選択装置によるパケット出力経路選択処理の詳細フローチャートである。
【図１６】管理装置によるマーキング装置へのマーキング情報設定処理のフローチャートである。
【図１７】ウィルスチェック装置による処理のフローチャートである。
【図１８】マーキング装置と経路選択装置との間でのマーキング情報暗号化方式の説明図である。
【図１９】マーキング専用ＬＳＩの構成例のブロック図である。
【図２０】経路選択専用ＬＳＩの構成例のブロック図である。
【図２１】セキュア通信を実現するためのウィルスチェック方式の従来例の説明図である。
【符号の説明】
【００８２】
１、３１  経路選択装置
２、１４  セキュリティチェック装置
３、３０マーキング装置
５、６、１６  ユーザ端末
１０  ユーザ
１１  データセンター
１２  ネットワーク
１３  セキュリティセンター
１５  仲介サービス
１７  ホームゲートウェイ
１８  セキュリティゲートウェイ
１９  ルータ
２１、２２  サーバ
２５  ＡＳＰ／ＣＳＰ（アプリケーション・サービス・プロバイダ／コンテンツ・サービス・プロバイダ）
２６  ＩＳＰ（インターネット・サービス・プロバイダ）
３２  管理装置
３３  マーキング部
３４  マーキング情報受信部
３５  マーキング情報格納部
３６  経路選択・マーキング消去部
３７  経路情報受信部
３８  セキュリティセンター情報格納部
４０  登録情報管理部
４１  登録情報設定部
４２  マーキング情報・セキュリティセンター情報格納部
５０、５５  パケット入力部
５１、５６  パケット出力部
５２  マーキング機能部
５３、５７  暗号化機能部
５８  経路選択機能部
５９  マーキング消去機能部
【図１】
2006180280.tif 000003
【図８】
2006180280.tif 000004
【図９】
2006180280.tif 000005
【図１０】
2006180280.tif 000006
【図１１】
2006180280.tif 000007
【図１２】
2006180280.tif 000008
【図１３】
2006180280.tif 000009
【図１４】
2006180280.tif 000010
【図１５】
2006180280.tif 000011
【図１６】
2006180280.tif 000012
【図１７】
2006180280.tif 000013
【図１８】
2006180280.tif 000014
【図１９】
2006180280.tif 000015
【図２０】
2006180280.tif 000016
【図２】
2006180280.tif 000017
【図３】
2006180280.tif 000018
【図４】
2006180280.tif 000019
【図５】
2006180280.tif 000020
【図６】
2006180280.tif 000021
【図７】
2006180280.tif 000022
【図２１】
2006180280.tif 000023