(57)【要約】【課題】  装置のアドレスが変更されたときに、ＩＫＥによる接続処理を効率的に行うこと。【解決手段】  応答者端末１が、始動者クッキーと応答者端末１が発行した応答者クッキーとのクッキー対を含めたフェーズ２の第一メッセージを受信するインタフェース部１０１と、クッキー対と始動者端末２のアドレスとを対応づけて記憶する接続テーブル１１１と、接続テーブル１１１のクッキー対と、第一メッセージに含まれるクッキー対とを照合する接続テーブル検証部１２２と、接続テーブル検証部１２２が照合したクッキー対について、一致したときには始動者端末２との間の後接続の確立を許可し、一致しないときには始動者端末２との間の後接続の確立を不可とするＩＫＥ処理部１２１と、を有する。【選択図】      図１
2006174165.tif 000002
【特許請求の範囲】
【請求項１】
自動鍵交換プロトコルであるＩＫＥのメッセージを送信してＩＫＥを始動する始動者端末からのメッセージに応答する応答者端末であって、
前記始動者端末から、前記始動者端末が発行した始動者クッキーを含めたフェーズ１の第一メッセージ、および、前記始動者クッキーと前記応答者端末が発行した応答者クッキーとのクッキー対を含めたフェーズ２の第一メッセージを受信するインタフェース部と、
前記クッキー対と前記始動者端末のアドレスとを対応づけて記憶する接続テーブルと、前記接続テーブルのクッキー対と、前記第一メッセージに含まれるクッキー対とを照合する接続テーブル検証部と、
前記接続テーブル検証部が照合したクッキー対について、一致したときには前記始動者端末との間の後接続の確立を許可し、一致しないときには前記始動者端末との間の後接続の確立を不可とするＩＫＥ処理部と、
を有することを特徴とする応答者端末。
【請求項２】
前記インタフェース部は、前記始動者端末がアドレスの変更後に送信したフェーズ２の第一メッセージを受信し、
前記ＩＫＥ処理部は、前記フェーズ２の第一メッセージに基づいて、前記フェーズ２確立手順を実行すること
を特徴とする請求項１に記載の応答者端末。
【請求項３】
前記応答者端末は、モバイルノードである前記始動者端末の現在のアドレスの通知を受け、前記始動者端末のホームアドレスと対応づけて記憶手段に記憶するアドレス管理部をさらに有するホームエージェントとして動作することを特徴とする請求項１または請求項２に記載の応答者端末。
【請求項４】
自動鍵交換プロトコルであるＩＫＥのメッセージを送信してＩＫＥを始動する始動者端末と、前記始動者端末からのメッセージに応答する応答者端末とを含む通信システムによるネットワーク接続方法であって、
前記始動者端末が、始動者クッキーを発行し、その始動者クッキーを含めたフェーズ１の第一メッセージを前記応答者端末に送信するフェーズ１送信手順と、
前記応答者端末が、応答者クッキーを発行し、前記フェーズ１の第一メッセージの始動者クッキーと前記応答者クッキーとのクッキー対が、既に発行された他のクッキー対と異なるときに、前記始動者端末との間に前接続を確立し、前記始動者端末に前記応答者クッキーを通知し、前記クッキー対と前記始動者端末のアドレスとを前記応答者端末の接続テーブルに記憶するフェーズ１確立手順と、
前記始動者端末が、前記クッキー対を含めたフェーズ２の第一メッセージを前記応答者端末に送信するフェーズ２送信手順と、
前記応答者端末が、前記フェーズ２の第一メッセージのクッキー対が、前記接続テーブルに記憶されているときには前記始動者端末との間の後接続の確立を許可し、前記接続テーブルに記憶されていないときには前記始動者端末との間の後接続の確立を不可とするフェーズ２確立手順と、
を実行することを特徴とするネットワーク接続方法。
【請求項５】
前記始動者端末が、前記始動者端末のアドレスを変更し、そのアドレスの変更後に、前記フェーズ２送信手順を実行する手順と、
前記応答者端末が、前記フェーズ２送信手順により送信された前記フェーズ２の第一メッセージに基づいて、前記フェーズ２確立手順を実行する手順と、
を実行することを特徴とする請求項４に記載のネットワーク接続方法。
【請求項６】
前記始動者端末が、使用するアドレスの有効期限が切れた場合、アドレスを再発行した後に、前記始動者端末のアドレスを変更することを特徴とする請求項５に記載のネットワーク接続方法。
【請求項７】
前記始動者端末が、接続するネットワークを移動した後に、前記始動者端末のアドレスを変更することを特徴とする請求項５に記載のネットワーク接続方法。
【請求項８】
前記始動者端末は、使用する現在のアドレスを前記応答者端末に通知するモバイルノードとして動作し、
前記応答者端末は、前記現在のアドレスの通知を受け、前記始動者端末のホームアドレスと対応づけて記憶手段に記憶するホームエージェントとして動作すること
を特徴とする請求項７に記載のネットワーク接続方法。
【請求項９】
請求項４ないし請求項８のいずれか１項に記載のネットワーク接続方法をコンピュータに実行させるためのネットワーク接続プログラム。
【請求項１０】
請求項９に記載のネットワーク接続プログラムを格納した、コンピュータが読み取り可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、応答者端末、ネットワーク接続方法、ネットワーク接続プログラム、および、記憶媒体に関する。
【背景技術】
【０００２】
従来、インターネット上での通信セキュリティに関する技術としては、ＩＥＴＦ（The Internet Engineering Task Force）のＩＰｓｅｃ（IP Security Protocol）ワーキンググループで議論されている技術、例えばインターネットプロトコルのためのセキュリティアーキテクチャ（Security Architecture for the Internet Protocol）や（非特許文献１）、ＩＫＥ（自動鍵交換プロトコル：The Internet Key Exchange）（非特許文献２）などが知られている。
【０００３】
ここでＩＰｓｅｃとは、インターネット上でＩＰパケットを暗号化して、通信を安全に行うためのプロトコルであり、ＩＫＥとは、通信を始める前に暗号化アルゴリズムや暗号化鍵等の情報を交換・共有するための折衝を自動で行うプロトコルである。
【０００４】
ＩＰｓｅｃでは、通信を始める前に、暗号化方式、暗号化鍵の情報、自身のＩＤ等を交換・共有するセキュリティアソシエーション（ＩＰｓｅｃ  ＳＡ（Security Association））の折衝を行い、安全な通信路を確立する。このＩＰｓｅｃ  ＳＡを確立する過程のＩＫＥのフェーズ１では、後接続の折衝等を安全に行うためのＳＡであるＩＳＡＫＭＰ  ＳＡ（Internet Security Association Key Management Protocol Security Association）の折衝を行う。
【非特許文献１】ＩＥＴＦ（The Internet Engineering Task Force）、“Security Architecture for the Internet Protocol”、[online]、［平成１６年１０月２１日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc2401.txt＞
【非特許文献２】ＩＥＴＦ（The Internet Engineering Task Force）、“The Internet Key Exchange (IKE)”、[online]、［平成１６年１０月２１日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc2409.txt＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ＩＫＥのフェーズ１（以下、単にフェーズ１と略す）は、ＩＳＡＫＭＰ  ＳＡ（以下、前接続とする）を確立する処理であり、ＩＫＥのフェーズ２（以下、単にフェーズ２と略す）は、ＩＰｓｅｃ  ＳＡ（以下、後接続とする）を確立する処理である。
【０００６】
しかし、ＩＥＴＦ標準のＩＫＥの仕組みでは、フェーズ２において前接続に基づく認証の際に、フェーズ２を行っている通信装置のＩＰアドレスが、前接続のＩＰアドレス（フェーズ１を行ったときの通信装置のＩＰアドレス）と一致しているか否かを判断し、一致しているときだけ後接続を確立可能としている。
【０００７】
したがって、通信装置のアドレスが変更された場合、通信装置がアドレスの変更前に通信の相手となる装置との間で確立した前接続を、アドレスの変更後も使用し続けることはできない。通信装置が移動後に通信の相手となる装置との後接続を再確立する場合は、前接続を確立するためのフェーズ１を行った後に、フェーズ２を行わなければならない。なお、アドレスの変更は、例えば、通信装置の移動や、通信装置が使用するアドレスの有効期限切れなどによって行われる。
【０００８】
よって、アドレスの変更前にフェーズ１、フェーズ２と順に行った接続処理について、アドレスの変更に伴い、再度フェーズ１、フェーズ２と順に接続処理をやり直すこととなり、非効率である。これは、フェーズ１が公開鍵による暗号化処理などの計算量の多い処理を有しているとすると、アドレスの変更後の後接続の再確立のたびに、通信装置は再計算する必要があるため、処理量が多くなってしまうからである。
【０００９】
本発明は、前記した事情を鑑みてなされたものであり、装置のアドレスが変更されたときに、ＩＫＥによる接続処理を効率的に行うことを主な課題とする。
【課題を解決するための手段】
【００１０】
前記した課題を解決するため、本発明は、自動鍵交換プロトコルであるＩＫＥのメッセージを送信してＩＫＥを始動する始動者端末からのメッセージに応答する応答者端末であって、前記応答者端末が、前記始動者端末から、前記始動者端末が発行した始動者クッキーを含めたフェーズ１の第一メッセージ、および、前記始動者クッキーと前記応答者端末が発行した応答者クッキーとのクッキー対を含めたフェーズ２の第一メッセージを受信するインタフェース部と、前記クッキー対と前記始動者端末のアドレスとを対応づけて記憶する接続テーブルと、前記接続テーブルのクッキー対と、前記第一メッセージに含まれるクッキー対とを照合する接続テーブル検証部と、前記接続テーブル検証部が照合したクッキー対について、一致したときには前記始動者端末との間の後接続の確立を許可し、一致しないときには前記始動者端末との間の後接続の確立を不可とするＩＫＥ処理部と、を有することを特徴とする。
【００１１】
これにより、始動者端末は、アドレスの変更後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、アドレスの変更前に応答者端末との間で確立した前接続を使用することができる。
【００１２】
本発明は、前記インタフェース部が、前記始動者端末がアドレスの変更後に送信したフェーズ２の第一メッセージを受信し、前記ＩＫＥ処理部が、前記フェーズ２の第一メッセージに基づいて、前記フェーズ２確立手順を実行することを特徴とする。
【００１３】
これにより、始動者端末は、アドレスの変更後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、アドレスの変更前に応答者端末との間で確立した前接続を使用することができる。
【００１４】
本発明は、前記応答者端末が、モバイルノードである前記始動者端末の現在のアドレスの通知を受け、前記始動者端末のホームアドレスと対応づけて記憶手段に記憶するアドレス管理部をさらに有するホームエージェントとして動作することを特徴とする。
【００１５】
これにより、始動者端末は、端末の移動後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、端末の移動前に応答者端末との間で確立した前接続を使用することができる。
【００１６】
本発明は、自動鍵交換プロトコルであるＩＫＥのメッセージを送信してＩＫＥを始動する始動者端末と、前記始動者端末からのメッセージに応答する応答者端末とを含む通信システムによるネットワーク接続方法であって、前記始動者端末が、始動者クッキーを発行し、その始動者クッキーを含めたフェーズ１の第一メッセージを前記応答者端末に送信するフェーズ１送信手順と、前記応答者端末が、応答者クッキーを発行し、前記フェーズ１の第一メッセージの始動者クッキーと前記応答者クッキーとのクッキー対が、既に発行された他のクッキー対と異なるときに、前記始動者端末との間に前接続を確立し、前記始動者端末に前記応答者クッキーを通知し、前記クッキー対と前記始動者端末のアドレスとを前記応答者端末の接続テーブルに記憶するフェーズ１確立手順と、前記始動者端末が、前記クッキー対を含めたフェーズ２の第一メッセージを前記応答者端末に送信するフェーズ２送信手順と、前記応答者端末が、前記フェーズ２の第一メッセージのクッキー対が、前記接続テーブルに記憶されているときには前記始動者端末との間の後接続の確立を許可し、前記接続テーブルに記憶されていないときには前記始動者端末との間の後接続の確立を不可とするフェーズ２確立手順と、を実行することを特徴とする。
【００１７】
これにより、始動者端末は、アドレスの変更後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、アドレスの変更前に応答者端末との間で確立した前接続を使用することができる。
【００１８】
本発明は、前記始動者端末が、前記始動者端末のアドレスを変更し、そのアドレスの変更後に、前記フェーズ２送信手順を実行する手順と、前記応答者端末が、前記フェーズ２送信手順により送信された前記フェーズ２の第一メッセージに基づいて、前記フェーズ２確立手順を実行する手順と、を実行することを特徴とする。
【００１９】
これにより、始動者端末は、アドレスの変更後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、アドレスの変更前に応答者端末との間で確立した前接続を使用することができる。
【００２０】
本発明は、前記始動者端末が、使用するアドレスの有効期限が切れた場合、アドレスを再発行した後に、前記始動者端末のアドレスを変更することを特徴とする。
【００２１】
これにより、始動者端末は、アドレスの再発行後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、アドレスの再発行前に応答者端末との間で確立した前接続を使用することができる。
【００２２】
本発明は、前記始動者端末が、接続するネットワークを移動した後に、前記始動者端末のアドレスを変更することを特徴とする。
【００２３】
これにより、始動者端末は、端末の移動後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、端末の移動前に応答者端末との間で確立した前接続を使用することができる。
【００２４】
本発明は、前記始動者端末が、使用する現在のアドレスを前記応答者端末に通知するモバイルノードとして動作し、前記応答者端末が、前記現在のアドレスの通知を受け、前記始動者端末のホームアドレスと対応づけて記憶手段に記憶するホームエージェントとして動作することを特徴とする。
【００２５】
これにより、始動者端末は、端末の移動後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、端末の移動前に応答者端末との間で確立した前接続を使用することができる。
【００２６】
本発明は、前記のネットワーク接続方法をコンピュータに実行させるためのネットワーク接続プログラムである。
【００２７】
これにより、始動者端末は、アドレスの変更後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、アドレスの変更前に応答者端末との間で確立した前接続を使用することができる。
【００２８】
本発明は、前記のネットワーク接続プログラムを格納した、コンピュータが読み取り可能な記憶媒体である。
【００２９】
これにより、始動者端末は、アドレスの変更後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、アドレスの変更前に応答者端末との間で確立した前接続を使用することができる。
【発明の効果】
【００３０】
本発明によれば、フェーズ１において、応答者端末が、接続テーブルにおいて始動者クッキーと応答者クッキーの対が前接続を一意に識別するキーになることを保証することにより、フェーズ２において、始動者端末が送信する始動者クッキーと応答者クッキーの対が、接続テーブルに記憶されているか否かを判断する。よって、始動者端末が送信するＩＰアドレスについては、接続テーブルに記憶されているか否かを判断しないので、始動者端末は、移動後に応答者端末との後接続を再確立する場合、フェーズ１をやり直さずに、移動前に応答者端末との間で確立した前接続を使用することができる。
【発明を実施するための最良の形態】
【００３１】
以下、本発明の一実施形態について、図面を参照して詳細に説明する。
【００３２】
図１は、ネットワーク接続システムを示す構成図である。ネットワーク接続システムは、ネットワーク２００が、通信端末を互いに接続して構成される。通信端末は、ネットワーク２００を介して通信データの送受信を行うコンピュータであり、例えばＰＣ（略語）や、ルータ等である。ネットワーク２００は、例えば、地域ＩＰ網やインターネット網である。
【００３３】
通信端末は、フェーズ１の第一メッセージおよびフェーズ２の第一メッセージを送信し、フェーズ１完了後（前接続確立後）に移動し、フェーズ１を開始したＩＰアドレスと異なるＩＰアドレスでフェーズ２を開始する通信端末である始動者端末２、または、始動者端末２からのフェーズ１の第一メッセージおよびフェーズ２の第一メッセージを受信する通信端末である応答者端末１に分類される。なお、この分類は、所定の接続に着目した際の相対的な分類であり、固定的なものではない。つまり、ある通信端末が、第１通信端末との間において始動者端末２として動作し、かつ、第２通信端末との間において応答者端末１として動作することもある。
【００３４】
通信端末は、ネットワーク経由で各種情報の送受信を行うインタフェース部１０１と、ＳＡに関する各種情報を記憶する記憶手段１１０と、始動者端末２とのＩＫＥによるＳＡの折衝処理を行う処理手段１２０と、を有する。
【００３５】
よって、通信端末は、演算処理を行う際に用いられる記憶手段１１０としてのメモリと、前記演算処理を行う処理手段１２０とを少なくとも備えるコンピュータとして構成される。なお、記憶手段１１０は、例えば、ＲＡＭ（Random Access Memory）などのメモリにより、処理手段１２０は、ＣＰＵ（Central Processing Unit）によって構成される演算処理装置が、メモリ上のプログラムを実行することで、それぞれ実現される。
【００３６】
記憶手段１１０は、始動者クッキー（Initiator Cookie）と応答者クッキー（Responder Cookie）の対を検索キーにして、始動者端末２との間で確立した前接続を一意に識別できるようにしたテーブルである接続テーブル１１１を格納する。表１は、接続テーブル１１１を例示したものである。
【００３７】
【表１】
2006174165.tif 000003
表１に例示されるように、接続テーブル１１１は、始動者端末２がフェーズ１第一メッセージで送信してくる始動者クッキーと、応答者端末１がフェーズ１第ニメッセージ送信前に生成する応答者クッキーと、始動者端末２のＩＰアドレスと、その他の前接続情報とから構成される。
【００３８】
例えば、表１の接続テーブル１１１のＮｏ．１の情報は、始動者クッキー「ｐｐｐｐｐｐｐｐｐｐ」の応答者クッキーは「ｒｒｒｒｒｒｒｒｒｒ」で、始動者クッキー「ｐｐｐｐｐｐｐｐｐｐ」を発行した始動者端末２のＩＰアドレスは「ａａａ．ａａａ．ａａａ．ａａａ」であることを示している。ここで、始動者端末２のＩＰアドレスは、フェーズ１で始動者端末２から送信されるパケットの送信元ＩＰアドレスである。
【００３９】
処理手段１２０は、フェーズ２において、始動者端末２から受信した始動者クッキーと応答者クッキーの対が接続テーブル１１１に記憶されているとき、後接続の確立を許可する接続テーブル検証部１２２を有する。接続テーブル検証部１２２は、フェーズ１およびフェーズ２において、始動者端末２から送信された前接続用データに含まれる始動者クッキーと応答者クッキーの対が、後記する接続テーブル１１１記憶部の接続テーブル１１１に記憶されているか否かを判断する。
【００４０】
まず、接続テーブル検証部１２２は、ＩＫＥフェーズ１の第一メッセージ受信時には、始動者端末２から受信した始動者クッキーと自身が生成した応答者クッキーの対が後記する接続テーブル１１１に存在しないと判断したときに、始動者端末２との間で前接続を確立するために、以降のフェーズ１処理を行うようにする。
【００４１】
また、接続テーブル検証部１２２は、フェーズ２の第一メッセージ及び第三メッセージの受信時には、始動者端末２から受信した始動者クッキーと自身が生成した応答者クッキーの対が後記する接続テーブル１１１に存在すると判断したときに、始動者端末２との間で後接続を確立するために、以降のフェーズ２処理を行うようにする。
【００４２】
さらに、処理手段１２０は、始動者端末２との間でフェーズ１（前接続の折衝）およびフェーズ２（後接続の折衝）を実行するＩＫＥ処理部１２１を有する。
【００４３】
フェーズ１は、具体的には、始動者端末２から始動者端末２のＩＰアドレス、始動者クッキー、その他の前接続情報（メッセージ）を受信する手順、これに応じて応答者端末１の応答者クッキー、その他の前接続情報（メッセージ）を作成する手順、および、このメッセージを始動者端末２へ送信して始動者端末２との前接続の折衝を行う手順である。
【００４４】
フェーズ２は、具体的には、始動者端末２から前接続を使って暗号化された後接続情報（メッセージ）を受信する手順、これを応答者端末１自身が持つ前接続を使って復号化し後接続情報（メッセージ）を作成する手順、このメッセージを前接続を使って暗号化して始動者端末２へ送信して始動者端末２との後接続折衝を行う手順である。
【００４５】
次に、図２を用いて通信端末の基本的な通信処理手順を説明する。図２は、ＩＫＥのメッセージ処理を示すフローチャートである。図２（ａ）は、フェーズ１のメッセージ処理、図２（ｂ）は、フェーズ２のメッセージ処理を、それぞれ示す。
【００４６】
まず、図２（ａ）を参照しつつ、フェーズ１のメッセージ処理を説明する。応答者端末１は、始動者端末２から送信されたフェーズ１（前接続の折衝）の第一メッセージを受信してＩＫＥを開始する（Ｓ１０１）。すなわち、始動者クッキー、その他の前接続情報を受信する。応答者端末１は、フェーズ１の第一メッセージを受信すると、ＩＫＥ処理部１２１が、応答者クッキーを生成し、接続テーブル検証部１２２が、Ｓ１０１で送信された始動者クッキーとＩＫＥ処理部１２１が生成した応答者クッキーの対をキーに接続テーブル１１１を検索する（Ｓ１０２）。そして、接続テーブル検証部１２２は、始動者端末２から受信した始動者クッキーとＩＫＥ処理部１２１が生成した応答者クッキーの対が接続テーブル１１１にあるかどうか判定する（Ｓ１０３）。
【００４７】
もし、接続テーブル検証部１２２が、始動者端末２から受信した始動者クッキーとＩＫＥ処理部１２１が生成した応答者クッキーの対が接続テーブル１１１にあると判断したときに（Ｓ１０３、ＹＥＳ）、ＩＫＥ処理部１２１は、始動者端末２へフェーズ１の前接続折衝が失敗した旨を通知し、処理を終了する（Ｓ１０４）。
【００４８】
一方、接続テーブル検証部１２２が、始動者端末２から受信した始動者クッキーとＩＫＥ処理部１２１が生成した応答者クッキーの対が接続テーブル１１１にないと判断したときに（Ｓ１０３、ＮＯ）、ＩＫＥ処理部１２１は、始動者端末２との間で以降のフェーズ１処理を行い、始動者端末２の移動前のＩＰアドレスで前接続を確立し、フェーズ２以降の処理を行うようにする（Ｓ１０５）。
【００４９】
次に、図２（ｂ）を参照しつつ、フェーズ２のメッセージ処理を説明する。応答者端末１は、始動者端末２から送信されたフェーズ２（後接続の折衝）の第一メッセージを受信してＩＫＥを開始する（Ｓ１１１）。すなわち、始動者クッキー、応答者クッキー、その他の後接続情報を受信すると、応答者端末１はＩＫＥの処理を開始する。応答者端末１は、フェーズ２の第一メッセージを受信すると、接続テーブル検証部１２２が、Ｓ１１１で送信された始動者クッキーと応答者クッキーの対をキーに接続テーブル１１１を検索する（Ｓ１１２）。そして、接続テーブル検証部１２２は、始動者端末２から受信した始動者クッキーと応答者クッキーの対が接続テーブル１１１にあるかどうか判断する（Ｓ１１３）。
【００５０】
まず、接続テーブル検証部１２２は、始動者端末２から受信した始動者クッキーと応答者クッキーの対が接続テーブル１１１にないと判断したときに（Ｓ１１３、ＮＯ）、ＩＫＥ処理部１２１は、始動者端末２へフェーズ２の後接続折衝が失敗した旨を通知し、処理を終了する（Ｓ１１４）。
【００５１】
一方、接続テーブル検証部１２２は、始動者端末２から受信した始動者クッキーと応答者クッキーの対が接続テーブル１１１にあると判断したときに（Ｓ１１３、ＹＥＳ）、ＩＫＥ処理部１２１は、始動者端末２との間で以降のフェーズ２の処理を行う（Ｓ１１５）。応答者端末１がフェーズ２の第三メッセージを受信したときも、フェーズ２の第一メッセージを受信したときと同じ処理を行う。
【００５２】
このように、フェーズ１において、通信端末（応答者端末１および始動者端末２）が、接続テーブル１１１において始動者クッキーと応答者クッキーの対が前接続を一意に識別するキーになることを保証することにより、フェーズ２において、始動者クッキーと応答者クッキーの対が接続テーブル１１１に記憶されているか否かだけを判断し、ＩＰアドレスについては接続テーブル１１１に記憶されているか否かを判断しないようにすることができるので、通信端末（応答者端末１および始動者端末２）は、始動者端末２移動後に後接続を再確立する場合、フェーズ１をやり直さずに、始動者端末２移動前に確立した前接続を使用することができる。
【００５３】
図３は、ＩＰｖ６のアドレス再発行処理に伴う再接続処理を示すフローチャートである。なお、図２の動作と同じように、始動者端末２は、フェーズ１の第一メッセージおよびフェーズ２の第一メッセージを送信しＩＫＥを開始する通信端末であり、応答者端末１は、フェーズ１の第一メッセージおよびフェーズ２の第一メッセージを受信する通信端末である。
【００５４】
まず、応答者端末１は、ＩＰアドレス変更前の始動者端末２から送信されたフェーズ１（前接続の折衝）の第一メッセージを受信してＩＫＥを開始し、図２（ａ）で説明したように始動者端末２との間において、前接続を確立する（Ｓ２０１）。その結果、応答者端末１は、確立された前接続を、接続テーブル１１１に記憶する。
次に、応答者端末１は、図２（ｂ）で説明したように、ＩＰアドレス変更前の始動者端末２から送信されたフェーズ２（後接続の折衝）の第一メッセージを受信してＩＫＥを開始し、後接続を確立する（Ｓ２０２）。
【００５５】
始動者端末２は、前接続確立後にＩＰアドレスを変更する（Ｓ２０３）。始動者端末２自身は移動しないが、始動者端末２が接続しているネットワークのプレフィックス（ネットワークアドレス）のライフタイム（有効期限）が切れて、始動者端末２が接続しているネットワークが新しいプレフィックス（ネットワークアドレス）に変更されると、新しいプレフィックス（ネットワークアドレス）のＩＰアドレスを生成する。
【００５６】
すると、通信端末（始動者端末２および応答者端末１）は、フェーズ１で既に発行された始動者クッキーと応答者クッキーの対を用いて、図２（ｂ）で説明したように、フェーズ２により後接続を確立する（Ｓ２０４）。ここで、始動者クッキーと応答者クッキーの対で前接続を識別し、エンドポイント（ＩＰアドレス）を前接続の識別に使用しないので、始動者端末２のＩＰアドレス変更後に後接続を離立する際は、フェーズ１をやり直すことなく、始動者端末２のＩＰアドレス変更前に確立した前接続を使用して、フェーズ２の処理を行い、始動者端末２の変更後のＩＰアドレスで後接続を確立することが可能となる。
【００５７】
図４は、ＭｏｂｉｌｅＩＰｖ６に適用したネットワーク接続システムを示す構成図である。なお、ＭｏｂｉｌｅＩＰｖ６は、文献（ＩＥＴＦ（The Internet Engineering Task Force）、“Mobility Support in IPv6”、[online]、［平成１６年１０月２１日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc3775.txt＞）および文献（ＩＥＴＦ（The Internet Engineering Task Force）、“Using IPsec to Protect Mobile IPv6 Signaling Between Mobile Nodes and Home Agents”、[online]、［平成１６年１０月２１日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc3776.txt＞）に記載されている。
【００５８】
始動者端末２は、自装置の移動に伴い、自らのＩＰアドレスを移動先のネットワークに接続できるように変化させるモバイルノード２Ａとして動作する。応答者端末１は、モバイルノード２Ａの最新の移動先に対応するＩＰアドレスを管理するホームエージェント１Ａとして動作する。なお、通信端末は、モバイルノード２Ａの移動に関する処理を行う移動処理部１３０を有する。具体的には、モバイルノード２Ａが、モバイルノード２Ａの移動先に合わせてモバイルノード２ＡのＩＰアドレスを変更するアドレス変更部１３１を有し、ホームエージェント１Ａが、モバイルノード２Ａの本来のアドレス（ホームアドレス：Home Address）と最新位置のＩＰアドレス（気付アドレス：Care-of Address）との対応表（binding cache）を管理するアドレス管理部１３２を有する。
【００５９】
つまり、ＭｏｂｉｌｅＩＰｖ６のモバイルノード２Ａは、フェーズ１の第一メッセージおよびフェーズ２の第一メッセージを送信しＩＫＥを開始する始動者端末２である。そして、ＭｏｂｉｌｅＩＰｖ６のホームエージェント１Ａは、フェーズ１の第一メッセージおよびフェーズ２の第一メッセージを受信する応答者端末１である。
【００６０】
以下に、図５を用いてホームエージェント１Ａおよびモバイルノード２Ａの基本的通信処理手順を説明する。図５は、ＭｏｂｉｌｅＩＰｖ６の移動に伴う再接続処理を示すフローチャートである。
【００６１】
ホームエージェント１Ａは、移動前のモバイルノード２Ａから送信されたフェーズ１（前接続の折衝）の第一メッセージを受信してＩＫＥを開始し、図２（ａ）で説明したように、前接続を確立する（Ｓ３０１）。そして、ホームエージェント１Ａは、移動前のモバイルノード２Ａから送信されたフェーズ２（後接続の折衝）の第一メッセージを受信してＩＫＥを開始し、図２（ｂ）で説明したように、位置登録メッセージ（ＢＵ（Binding Update）／ＢＡ（Binding Acknowledgement））用の後接続を確立する（Ｓ３０２）。
【００６２】
モバイルノード２Ａは、現在位置（移動前のＩＰアドレス）をホームエージェント１Ａに登録するために、Ｓ３０２で確立した後接続を適用したＢＵをホームエージェント１Ａに送信する（Ｓ３０３）。ホームエージェント１Ａは、Ｓ３０３で送信されたＢＵのＩＰｓｅｃ認証に成功すると、Ｓ３０３で通知されたモバイルノード２Ａの現在位置（移動前のＩＰアドレス）を登録し、Ｓ３０２で確立した後接続を適用したＢＡをモバイルノード２Ａに返信する（Ｓ３０４）。
【００６３】
これにより、ホームエージェント１Ａは、モバイルノード２Ａの現在位置のアドレスを取得することができる。よって、ホームエージェント１Ａは、モバイルノード２Ａの本来のアドレス（ホームアドレス）と、モバイルノード２Ａの現在位置のアドレス（気付アドレス）との対応を記憶する。そして、ホームエージェント１Ａは、任意の通信端末からのモバイルノード２Ａへのデータ転送のリクエストを受け、モバイルノード２Ａの気付アドレスあてに、そのリクエストを転送する。よって、任意の通信端末は、モバイルノード２Ａの現在の位置を意識することなく、ホームエージェント１Ａを経由してデータを送受信することができる。
【００６４】
さて、モバイルノード２Ａは、前接続確立後に移動する（Ｓ３０５）。すると、モバイルノード２Ａは、移動後の現在位置（移動後のＩＰアドレス）をホームエージェント１Ａに登録するために、Ｓ３０２で確立した後接続を適用したＢＵをホームエージェント１Ａに送信する（Ｓ３０６）。そして、ホームエージェント１Ａは、Ｓ３０６で送信されたＢＵのＩＰｓｅｃ認証に成功すると、Ｓ３０６で通知されたモバイルノード２Ａの現在位置（移動後のＩＰアドレス）を登録し、Ｓ３０２で確立した後接続を適用したＢＡをモバイルノード２Ａに返信する（Ｓ３０７）。モバイルノード２Ａおよびホームエージェント１Ａは、フェーズ１で既に発行された始動者クッキーと応答者クッキーの対を用いて、フェーズ１をやり直すことなく、図２（ｂ）で説明したように、移動後のＩＰアドレスで後接続を確立する（Ｓ３０８）。
【００６５】
ここで、ホームエージェント１Ａおよびモバイルノード２Ａは、通信相手となる端末について、機能の実装有無チェックを実行してもよい。これは、インターネット上には、様々なネットワーク機器メーカによって製作された通信端末が接続されている事象に対応したものである。ＩＥＴＦで規定するＲＦＣ（The Requests for Comments）には、必須となる機能と、付加的な機能とが規定されている。このうち、付加的な機能については、全ての通信端末で実装されるわけではない。よって、通信相手となる通信端末間で協調して所定の機能を実行するときには、双方の通信端末が、その機能を有しているかどうか、チェックする必要がある。
【００６６】
なお、本実施形態での機能の実装有無チェックは、前接続を格納する接続テーブル１１１への書き換え機能に関するものである。つまり、接続テーブル１１１は、表１において前記したように、クッキー対と接続相手のＩＰアドレスとを１つのレコードとして、１つの接続に対応させている。よって、このレコードを書き換える際に、クッキー対は書き換えずに、ＩＰアドレスのみを移動後のものに書き換えるような機能を、双方の通信端末が有していることが、Ｓ３０８で後接続を確立する際の前提となる。
【００６７】
よって、モバイルノード２Ａは、Ｓ３０６において、自身が前記書き換え機能を有しているときには１（ＯＮ）を、前記書き換え機能を有していないときには０（ＯＦＦ）を、通信パケット（ＢＵ）の所定のフィールド（例えば、Ｋｂｉｔ）に付して、相手のホームエージェント１Ａに通知する。
【００６８】
さらに、ホームエージェント１Ａは、Ｓ３０７において、自身が前記書き換え機能を有しているときには１（ＯＮ）を、前記書き換え機能を有していないときには０（ＯＦＦ）を、通信パケット（ＢＡ）の所定のフィールド（例えば、Ｋｂｉｔ）に付して、相手のモバイルノード２Ａに通知する。
【００６９】
そして、モバイルノード２Ａの移動後の位置登録のために送受信したＢＵ（Ｓ３０６）／ＢＡ（Ｓ３０７）のＫｂｉｔが共に１（ＯＮ）の場合に、Ｓ３０８においてモバイルノード２Ａの移動前のＩＰアドレスで確立した前接続のエンドポイントを移動後のＩＰアドレスに変更することができる。
【００７０】
以上説明した、本実施形態の要約は、次の通りである。本実施形態は、自動鍵交換プロトコル（ＩＫＥ）を用いたインターネット上での通信における折衝手順の効率化に関する。この折衝はおのおの折衝レベルの異なる折衝フェーズ１と２で安全な通信路を確立するが、従来はフェーズ１の実行後に端末が移動するとＩＰアドレスが変わることにより、後接続の再確立の際に、再度移動先でフェーズ１からの折衝を行なう必要があるという問題があった。本願では、端末が移動しても変わらない情報（始動者クッキーと応答者クッキーの対）を折衝フェーズ間で引継ぐことにより、端末が移動してもフェーズ１から再度、折衝しなくても済むという点に特徴がある。
【００７１】
以上説明した本発明は、以下のようにその趣旨を逸脱しない範囲で広く変形実施することができる。
【００７２】
例えば、前接続と後接続に使用されるプロトコルは、前記本実施形態で例示したものに限られず、コネクション型のプロトコルであれば、任意のプロトコルを採用することができる。例えば、後接続には、ＩＰＳｅｃＳＡの代わりに、通信パケットを圧縮するＩＰＣｏｍｐ（ＲＦＣ２３９３参照）の接続としてもよい。
【図面の簡単な説明】
【００７３】
【図１】本発明の一実施形態に関するネットワーク接続システムを示す構成図である。
【図２】本発明の一実施形態に関するＩＫＥのメッセージ処理を示すフローチャートである。
【図３】本発明の一実施形態に関するＩＰｖ６のアドレス再発行処理に伴う再接続処理を示すフローチャートである。
【図４】本発明の一実施形態に関するＭｏｂｉｌｅＩＰｖ６に適用したネットワーク接続システムを示す構成図である。
【図５】本発明の一実施形態に関するＭｏｂｉｌｅＩＰｖ６の移動に伴う再接続処理を示すフローチャートである。
【符号の説明】
【００７４】
１      ユーザ管理装置
１      応答者端末
１Ａ    ホームエージェント
２      始動者端末
２Ａ    モバイルノード
１０１  インタフェース部
１１０  記憶手段
１１１  接続テーブル
１２０  処理手段
１２２  接続テーブル検証部
１２１  ＩＫＥ処理部
１３２  アドレス管理部
【図１】
2006174165.tif 000004
【図２】
2006174165.tif 000005
【図３】
2006174165.tif 000006
【図４】
2006174165.tif 000007
【図５】
2006174165.tif 000008