(57)【要約】  改善されたインターネットセキュリティを提供するリモートサーバにセキュアに接続するための方法。この方法では、クライアントが、ドメイン名に関連するリモートサーバに接続する要求を受信する。クライアントは、ドメイン名の解決時に、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定する。クライアントは、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成するために、リモートサーバとの鍵交換プロトコルを実行する。クライアントは、IPレイヤセキュリティプロトコルで少なくとも1つの共有秘密鍵を使用してリモートサーバに接続する。
2019512187.tif 000002
【特許請求の範囲】
【請求項１】
リモートサーバにセキュアに接続するための方法であって、
クライアントによって、ドメイン名に関連するリモートサーバに接続する要求を受信するステップと、
前記ドメイン名の解決時に前記クライアントによって、前記リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定するステップと、
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、前記クライアントによって、少なくとも1つの共有秘密鍵を生成するために前記リモートサーバとの鍵交換プロトコルを実行するステップと、
前記クライアントによって、前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで前記少なくとも1つの共有秘密鍵を使用して、前記リモートサーバに接続するステップと
を含む、方法。
【請求項２】
前記クライアントが、前記ドメイン名のトップレベルドメインに基づいて、前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすると決定する、請求項1に記載の方法。
【請求項３】
前記クライアントが、ドメインネームシステム(DNS)サーバとの通信を使用した前記ドメイン名の検証に基づいて、前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすると決定する、請求項1に記載の方法。
【請求項４】
前記DNSサーバとの前記通信が、セキュアなDNSプロトコルを使用する、請求項3に記載の方法。
【請求項５】
前記クライアントが、前記DNSサーバから、前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすることを示す少なくとも1つのパラメータを含む、前記検証されたドメイン名に対するDNSサービスレコードを受信する、請求項3に記載の方法。
【請求項６】
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすると決定するステップが、前記ドメイン名が前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートする信頼できるドメイン名のリストにあると、前記クライアントが決定することに基づいている、請求項1に記載の方法。
【請求項７】
前記ドメイン名が解決されて、IPアドレスになる、請求項1に記載の方法。
【請求項８】
リモートサーバにセキュアに接続するための装置であって、
ドメイン名に関連するリモートサーバに接続する要求を受信するための手段と、
前記ドメイン名の解決時に、前記リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定するための手段と、
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成するために前記リモートサーバとの鍵交換プロトコルを実行するための手段と、
前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで前記少なくとも1つの共有秘密鍵を使用して、前記リモートサーバに接続するための手段と
を備える、装置。
【請求項９】
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定が、前記ドメイン名のトップレベルドメインに基づいている、請求項8に記載の装置。
【請求項１０】
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定が、ドメインネームシステム(DNS)サーバとの通信を使用した前記ドメイン名の検証に基づいている、請求項8に記載の装置。
【請求項１１】
前記DNSサーバとの前記通信が、セキュアなDNSプロトコルを使用する、請求項10に記載の装置。
【請求項１２】
前記通信が、前記DNSサーバから、前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすることを示す少なくとも1つのパラメータを含む、前記検証されたドメイン名に対するDNSサービスレコードを受信することを含む、請求項10に記載の装置。
【請求項１３】
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定が、前記ドメイン名が前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートする信頼できるドメイン名のリストにあるとの決定に基づいている、請求項8に記載の装置。
【請求項１４】
前記ドメイン名が解決されて、IPアドレスになる、請求項8に記載の装置。
【請求項１５】
装置であって、
ドメイン名に関連するリモートサーバに接続する要求を受信することと、
前記ドメイン名の解決時に、前記リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定することと、
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成するために前記リモートサーバとの鍵交換プロトコルを実行することと、
前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで前記少なくとも1つの共有秘密鍵を使用して、前記リモートサーバに接続することと
を行うように構成されたプロセッサ
を備える、装置。
【請求項１６】
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定が、前記ドメイン名のトップレベルドメインに基づいている、請求項15に記載の装置。
【請求項１７】
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定が、ドメインネームシステム(DNS)サーバとの通信を使用した前記ドメイン名の検証に基づいている、請求項15に記載の装置。
【請求項１８】
前記DNSサーバとの前記通信が、セキュアなDNSプロトコルを使用する、請求項17に記載の装置。
【請求項１９】
前記通信が、前記DNSサーバから、前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすることを示す少なくとも1つのパラメータを含む、前記検証されたドメイン名に対するDNSサービスレコードを受信することを含む、請求項17に記載の装置。
【請求項２０】
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定が、前記ドメイン名が前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすることに関連する信頼できるドメイン名のリストにあるとの決定に基づいている、請求項15に記載の装置。
【請求項２１】
前記ドメイン名が解決されて、IPアドレスになる、請求項15に記載の装置。
【請求項２２】
コンピュータ可読記憶媒体であって、
コンピュータに、ドメイン名に関連するリモートサーバに接続する要求を受信させるためのコードと、
前記コンピュータに、前記ドメイン名の解決時に、前記リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定させるためのコードと、
前記コンピュータに、前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成するために前記リモートサーバとの鍵交換プロトコルを実行させるためのコードと、
前記コンピュータに、前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで前記少なくとも1つの共有秘密鍵を使用して、前記リモートサーバに接続させるためのコードと
を含む、コンピュータ可読記憶媒体。
【請求項２３】
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定が、前記ドメイン名のトップレベルドメインに基づいている、請求項22に記載のコンピュータ可読記憶媒体。
【請求項２４】
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定が、ドメインネームシステム(DNS)サーバとの通信を使用した前記ドメイン名の検証に基づいている、請求項22に記載のコンピュータ可読記憶媒体。
【請求項２５】
前記DNSサーバとの前記通信が、セキュアなDNSプロトコルを使用する、請求項24に記載のコンピュータ可読記憶媒体。
【請求項２６】
前記通信が、前記DNSサーバから、前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすることを示す少なくとも1つのパラメータを含む、前記検証されたドメイン名に対するDNSサービスレコードを受信することを含む、請求項24に記載のコンピュータ可読記憶媒体。
【請求項２７】
前記リモートサーバが前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定が、前記ドメイン名が前記少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすることに関連する信頼できるドメイン名のリストにあるとの決定に基づいている、請求項22に記載のコンピュータ可読記憶媒体。
【請求項２８】
前記ドメイン名が解決されて、IPアドレスになる、請求項22に記載のコンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願の相互参照
本出願は、その内容全体が参照により本明細書に組み込まれる、2016年2月24日に米国特許商標庁に出願された、非仮出願第15/052,736号の優先権および利益を主張する。
【０００２】
本発明は、一般にインターネットセキュリティに関し、より詳細には、ドメイン名解決に基づいてリモートサーバにセキュアに接続することに関する。
【背景技術】
【０００３】
ほとんどのウェブブラウザは、デバイスが接続されるurlに基づいて、ウェブ接続のためのhttpまたはhttpsを示す。ユーザは、url中の「https://」、およびhttpsが使用されていることを示すアイコンを見ることに基づいて、アプリケーションレイヤの接続がセキュアであるかどうかを決定してもよい。エンドツーエンドのIPsecなどの、他のセキュリティプロトコルを使用してサーバと通信するときは、ブラウザによるそのような表示がない。ユーザのデータおよび機密情報がどのように保護され、処理されるかに関してセキュリティポリシーを実施するようサーバに強いることも困難である。さらに、一般的に仮想プライベートネットワーク(VPN)は、使用前にユーザがまずクライアントソフトウェアを開始するよう求める。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
したがって、IPレイヤでリモートサーバにセキュアに接続するための改善された技法の必要がある。
【課題を解決するための手段】
【０００５】
本発明の一態様は、リモートサーバにセキュアに接続するための方法であって、クライアントによって、ドメイン名に関連するリモートサーバに接続する要求を受信するステップと、ドメイン名の解決時にクライアントによって、ドメイン名の解決時にリモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定するステップと、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、クライアントによって、少なくとも1つの共有秘密鍵(shared secret)を生成するためにリモートサーバとの鍵交換プロトコルを実行するステップと、クライアントによって、少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで少なくとも1つの共有秘密鍵を使用してリモートサーバに接続するステップとを含む、方法にあってもよい。
【０００６】
本発明のより詳細な態様では、クライアントは、ドメイン名のトップレベルドメインに基づいて、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすると決定してもよい。代替的に、クライアントは、ドメインネームシステム(DNS)サーバとの通信を使用したドメイン名の検証に基づいて、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすると決定してもよい。DNSサーバとの通信は、セキュアなDNSプロトコルを使用してもよい。クライアントは、DNSサーバから、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすることを示す少なくとも1つのパラメータを含む、検証されたドメイン名に対するDNSサービスレコードを受信してもよい。
【０００７】
本発明の他のより詳細な態様では、クライアントは、ドメイン名が少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートする信頼できるドメイン名のリストにあると、クライアントが決定することに基づいて、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすると決定してもよい。さらに、ドメイン名は解決されて、IPアドレスになってもよい。
【０００８】
本発明の別の態様は、リモートサーバにセキュアに接続するための装置であって、ドメイン名に関連するリモートサーバに接続する要求を受信するための手段と、ドメイン名の解決時に、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定するための手段と、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成するためにリモートサーバとの鍵交換プロトコルを実行するための手段と、少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで少なくとも1つの共有秘密鍵を使用してリモートサーバに接続するための手段とを備える装置にあってもよい。
【０００９】
本発明の別の態様は、装置であって、ドメイン名に関連するリモートサーバに接続する要求を受信することと、ドメイン名の解決時に、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定することと、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成するためにリモートサーバとの鍵交換プロトコルを実行することと、少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで少なくとも1つの共有秘密鍵を使用してリモートサーバに接続することとを行うように構成されたプロセッサを備える、装置にあってもよい。
【００１０】
本発明の別の態様は、コンピュータ可読媒体であって、コンピュータに、ドメイン名に関連するリモートサーバに接続する要求を受信させるためのコードと、コンピュータに、ドメイン名の解決時に、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定させるためのコードと、コンピュータに、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成すために、リモートサーバとの鍵交換プロトコルを実行させるためのコードと、コンピュータに、少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで少なくとも1つの共有秘密鍵を使用してリモートサーバに接続させるためのコードとを含む、コンピュータ可読媒体にあってもよい。
【図面の簡単な説明】
【００１１】
【図１】ワイヤレス通信システムの一例のブロック図である。
【図２】本発明による、リモートサーバにセキュアに接続するための方法の流れ図である。
【図３】クライアントがリモートサーバにセキュアに接続できるシステムの一実施形態のブロック図である。
【図４】プロセッサおよびメモリを含むコンピュータのブロック図である。
【図５】リモートサーバにセキュアに接続するための方法のブロック図である。
【図６】リモートサーバにセキュアに接続するための別の方法のブロック図である。
【図７】リモートサーバにセキュアに接続するための別の方法のブロック図である。
【発明を実施するための形態】
【００１２】
「例示的」という語は、本明細書では、「例、事例、または例示として役に立つ」ことを意味するために使用される。「例示的」として本明細書で説明するいかなる実施形態も、他の実施形態よりも好ましいまたは有利であると必ずしも解釈されるべきではない。
【００１３】
図2および図3を参照すると、本発明の一態様は、リモートサーバにセキュアに接続するための方法200であってもよい。この方法では、クライアント310は、ドメイン名に関連するリモートサーバ320に接続する要求を受信する(ステップ210)。クライアントは、ドメイン名の解決時に、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定する(ステップ220)。クライアントは、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成するために、リモートサーバとの鍵交換プロトコルを実行する(ステップ230)。クライアントは、少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで少なくとも1つの共有秘密鍵を使用してリモートサーバに接続する(ステップ240)。
【００１４】
本発明のより詳細な態様では、クライアント310は、ドメイン名のトップレベルドメインに基づいて、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすると決定してもよい。たとえば、いくつかのトップレベルドメインが、IPsecなどの、あらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすることに関連していてもよい。サポートするトップレベルドメインは、.sec、.secure、.msec、.ipsec、.scomなどを含んでもよい。ドメイン名www-dot-example-dot-secを含む要求は、ドメイン名に関連するリモートサーバがIPsecなどの、あらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすることを示す。
【００１５】
代替的に、クライアント310は、ドメインネームシステム(DNS)サーバ330との通信を使用したドメイン名の検証に基づいて、リモートサーバ320が少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすると決定してもよい。DNSサーバとの通信は、DNSsecなどの、セキュアなDNSプロトコルを使用してもよい。クライアントは、DNSサーバから、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすることを示す少なくとも1つのパラメータを含む、検証されたドメイン名に対するDNSサービスレコードを受信してもよい。
【００１６】
本発明の他のより詳細な態様では、クライアント310は、ドメイン名が少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートする信頼できるドメイン名のリストにあると、クライアントが決定することに基づいて、リモートサーバ320が少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートすると決定してもよい。さらに、ドメイン名は解決されて、IPアドレスになってもよい。
【００１７】
図4をさらに参照すると、クライアント310(たとえば、遠隔局102(図1))は、プロセッサ410と、メモリおよび/またはディスクドライブなどの記憶媒体420と、ディスプレイ430と、キーパッドなどの入力440と、ワイヤレスネットワーク/インターネット接続450とを含むコンピュータ400を備えてもよい。プロセッサは、信頼できるプラットフォームモジュール(TPM)などのセキュアな環境を含んでもよい。
【００１８】
本発明の別の態様は、リモートサーバにセキュアに接続するための装置310であって、ドメイン名に関連するリモートサーバ320に接続する要求を受信するための手段(たとえば、プロセッサ410)と、ドメイン名の解決時に、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定するための手段(たとえば、プロセッサ410)と、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成するためにリモートサーバとの鍵交換プロトコルを実行するための手段(たとえば、プロセッサ410)と、少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで少なくとも1つの共有秘密鍵を使用してリモートサーバに接続するための手段(たとえば、プロセッサ410)とを備える装置310にあってもよい。
【００１９】
本発明の別の態様は、装置310であって、ドメイン名に関連するリモートサーバ320に接続する要求を受信することと、ドメイン名の解決時に、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定することと、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成するためにリモートサーバとの鍵交換プロトコルを実行することと、少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで少なくとも1つの共有秘密鍵を使用してリモートサーバに接続することとを行うように構成されたプロセッサ410を備える装置310にあってもよい。
【００２０】
本発明の別の態様は、コンピュータ可読媒体420であって、コンピュータ400に、ドメイン名に関連するリモートサーバ320に接続する要求を受信させるためのコードと、コンピュータに、ドメイン名の解決時に、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定させるためのコードと、コンピュータに、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするとの決定に応じて、少なくとも1つの共有秘密鍵を生成するためにリモートサーバとの鍵交換プロトコルを実行させるためのコードと、コンピュータに、少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルで少なくとも1つの共有秘密鍵を使用してリモートサーバに接続させるためのコードとを備える、コンピュータ可読媒体420にあってもよい。
【００２１】
クライアント310は、アプリケーションレイヤと、インターネット/IPレイヤと、物理/リンクレイヤとを有してもよい。OSIモデルでは、レイヤ7が、アプリケーションレイヤに関連付けられてもよく、レイヤ3が、インターネット/IPレイヤに関連付けられてもよく、レイヤ1およびレイヤ2が、物理/リンクレイヤに関連付けられてもよい。リモートサーバ320および/またはDNSサーバ330は同様に、アプリケーションレイヤと、インターネット/IPレイヤと、物理/リンクレイヤとを有してもよい。
【００２２】
本発明の技法は、IPsecなどのセキュアなIPレイヤプロトコルをトリガ/開始し、たとえば、ドメイン名解決に基づいて、いくつかのセキュリティポリシーを実施してもよい。この技法は、ネイティブIPsecとともにインターネットプロトコルバージョン6(IPv6)を活用し、統合されたIPv6ヘッダおよび必要に応じて追加のヘッダを使用してもよい。この技法は、エンドポイントがエンドポイント通信するためのトランスポートモードIPsec(典型的なVPN IPsecではない)を使用してもよい。トランスポートモードIPsecは、フルパケット完全性およびオリジン確実性を保証し(ICV)、セキュリティパラメータを識別し(SPI)、リプレイを防止する(SQN)ために、認証ヘッダ(AH)を含んでもよい。データの機密性を保証するために、カプセル化セキュリティペイロード(ESP)が使用されてもよい。少なくともAES-256暗号化が使用されてもよく、鍵およびパラメータをネゴシエートするために、インターネット鍵交換(IKEv2)が使用されてもよい。DNSsecが、最初のX.509証明書を提供してもよい。クライアントが、セキュアな鍵とともにX.509証明書を有してもよい。セッションキーなどの少なくとも1つの共有秘密鍵を生成するために、ディフィーヘルマン鍵交換が行われてもよく、IPsecセキュリティアソシエーションは、共有秘密鍵を使用してもよい。
【００２３】
トランスポートモードIPsecは、すでに接続されたサーバに、いくつかのあらかじめ決定されたセキュリティアソシエーション(SA)を確立する特定のセキュリティポリシーディスクリプタ(SPD)を使用して実装されてもよい。IPsec SAは、オペレーティングシステムにネイティブであり、StrongSWAN、LibreSWAN、OpenSWAN、IPsec-Toolsなどの、オペレーティングシステムサービスまたはアプリケーションを介してIKEによってセットアップされる。Ipv6は、ネイティブIPsecを含んでもよい。
【００２４】
図5を参照して示す例では、ウェブブラウザまたはアプリケーションを介して、クライアント310は、クライアントリゾルバが、IPsecセキュリティアソシエーションが必要とされる場合があるという表示としてとらえる、ウェブサイトwww-dot-url-dot-secの場合の「.sec」など、特定のトップレベルドメイン(TLD)への接続を開始してもよい(ステップ510)。そのようなTLDの下で割り当てられた完全修飾ドメイン名すべてが、TLDの所有者によって確立されたいくつかのセキュリティおよびプライバシー要件を満たすものと認定される。FQDNは、検証され、解決される。クライアントは、DNSサーバ330を使用して、TLDに対するDNSsec検証を必要としてもよい(ステップ520および530)。クライアントは、パスをチェックし、リモートサーバ320およびそのTLDに対する任意のルート認証局(CA)からのX.509証明書をダウンロードし、検証する。クライアントのDNSリゾルバは、IPsecを確立するための条件が満たされ、確認されたことを検証してもよい(ステップ540)。したがって、クライアントは、「対象トラフィック」を決定するために、検証されたTLDを使用し、ドメイン名url.secに関連するリモートサーバ320へのIPsec接続を開始してもよい(ステップ550)。ドメイン名の解決時に、リモートサーバが少なくとも1つのあらかじめ決定されたIPレイヤセキュリティプロトコルをサポートするかどうかを決定することは、要求ステップ520と、受信ステップ530と、検証ステップ540とを含んでもよいことに留意されたい。クライアントは、リモートサーバとIKEまたはIKEv2を開始することによって、IPsec接続を確立してもよい。クライアントとリモートサーバとの間でエンドツーエンドのセキュアな接続を確立するために、IKEv2ハンドシェイクが使用されて、1つまたは複数の共有秘密鍵を生成してもよい。双方が、TLDを使用することによって、少なくとも1つのあらかじめ決定されたIPsec/ISAKMP構成およびプロトコルに同意し、それによってセットアッププロセスを簡略化する。TLD認証が、(すなわち、認証局からの認証により)いくつかのポリシーを実施するので、ユーザは、クライアントがセキュアに接続され、転送されたデータは、認証に必要とされるポリシーに従ってリモートサーバによって扱われることになることがわかる。署名付き証明書が同じルートCAを含んでいた場合、同様の技法がサブドメイン(sec.domain.com)に適用され得る。
【００２５】
図6を参照して示す別の例では、クライアント310は、一般的なURLを使用してブラウザまたはアプリケーションから信頼できるリモートサーバ320への接続を開始してもよい(ステップ610)。DNSサーバ330とのDNS解決は、IPアドレス(IPv6)、DNSsec検証、DANE X.509証明書、ならびにリモートサーバがIKEおよびIPsecなどのあるセキュリティプロトコルをサポートすることを示すDNSサービスレコード(SRVサービスレコード)を含んでもよい(ステップ620およびステップ630)。クライアントのDNSリゾルバは、IPsecを確立するための条件が満たされ、確かめられたことを検証してもよい(ステップ640)。クライアントとリモートサーバの両方が、サービスレコードを使用することによって、いくつかのあらかじめ定義されたIKE/IPsec構成およびプロトコルに同意し、それによってセットアッププロセスを簡略化する。サービスレコードおよびルートCAはいくつかのポリシーを実施するので、クライアントは、セキュアに接続され、ユーザデータは、検証のために必要とされるポリシーに従って、リモートサーバによって扱われることになる(ステップ650)。クライアントは、リモートサーバとIKEまたはIKEv2を開始することによって、IPsec接続を確立してもよい。
【００２６】
図7を参照して示す別の例では、クライアント310は、信頼できるサーバ320のurlに基づいて接続を開始してもよい(ステップ710)。url(すなわち、FQDN)は、検証され、解決されてIPアドレスになる。サポートされるFQDNのリストが、あらかじめ構成されて、いくつかのあらかじめ定義されたIKE/IPsec構成およびプロトコルにどのリモートサーバが同意するかを示し、それによってセットアッププロセスを簡略化する。DNS要求および応答が、IPアドレスがあらかじめ記憶された値に一致することを確かめる(ステップ720およびステップ730)。FQDNは、リスト中のサポートされるFQDNに一致する。クライアントは、IPsecを確立するための条件が満たされ、確かめられたことを検証してもよい(ステップ740)。これらのあらかじめ定義されたFQDNリストおよびルートCA検証は、いくつかのポリシーを要求/実施するので、クライアントは、セキュアに接続され、ユーザデータは、検証のために必要とされるポリシーに従って、サーバによって扱われることになる(ステップ750)。クライアントは、リモートサーバとIKEまたはIKEv2を開始することによって、IPsec接続を確立してもよい。
【００２７】
ウェブブラウザがhttpsを使用するときのSSLまたはTLSなどのアプリケーションレイヤ接続セキュリティとは異なり、IPレイヤセキュリティプロトコルは、IPレイヤセキュリティ保護を実現してもよい。また、アプリケーションレイヤ仮想プライベートネットワーク(VPN)とは異なり、IPレイヤセキュリティプロトコルは、ユーザが介入または開始する必要なしに、リモートサーバ320のために自動的にトリガされてもよい。代わりに、IPレイヤセキュリティプロトコルは、ドメイン名の解決時にクライアント310によって、リモートサーバ320がIPレイヤセキュリティプロトコルをサポートすると決定することに応じてトリガされてもよい。
【００２８】
図1を参照すると、ワイヤレス遠隔局(RS)102(たとえば、移動局MS)が、ワイヤレス通信システム100の1つまたは複数の基地局(BS)104と通信する場合がある。ワイヤレス通信システム100は、1つまたは複数の基地局コントローラ(BSC)106と、コアネットワーク108とをさらに含んでもよい。コアネットワークは、適切なバックホールを介して、インターネット110および公衆交換電話網(PSTN)112に接続されてもよい。典型的なワイヤレス移動局は、ハンドヘルド電話またはラップトップコンピュータを含んでもよい。ワイヤレス通信システム100は、符号分割多元接続(CDMA)、時分割多元接続(TDMA)、周波数分割多元接続(FDMA)、空間分割多元接続(SDMA)、偏波分割多元接続(PDMA)、または当技術分野で知られている他の変調技法などのいくつかの多元接続技法のうちのいずれか1つを採用してもよい。
【００２９】
情報および信号は、多種多様な技術および技法のいずれかを使用して表されてもよいことを、当業者は理解するであろう。たとえば、上記の説明全体にわたって参照される場合があるデータ、命令、コマンド、情報、信号、ビット、シンボル、およびチップは、電圧、電流、電磁波、磁場もしくは粒子、光場もしくは光粒子、またはそれらの任意の組合せによって表されてもよい。
【００３０】
本明細書に開示する実施形態に関して説明する様々な例示的論理ブロック、モジュール、回路、およびアルゴリズムステップは、電子ハードウェア、コンピュータソフトウェア、または両方の組合せとして実装される場合があることを、当業者はさらに諒解するであろう。ハードウェアとソフトウェアのこのような互換性を明確に示すために、様々な例示的な構成要素、ブロック、モジュール、回路、およびステップについて、上記では概してその機能に関して説明した。そのような機能がハードウェアとして実装されるか、ソフトウェアとして実装されるかは、特定の用途およびシステム全体に課される設計の制約によって決まる。当業者は、説明した機能を特定の適用例ごとに様々な方法で実装してもよいが、そのような実装形態の決定は、本発明の範囲からの逸脱を引き起こすものと解釈されるべきではない。
【００３１】
本明細書に開示する実施形態と関連して説明する様々な例示的論理ブロック、モジュール、および回路は、汎用プロセッサ、デジタル信号プロセッサ(DSP)、特定用途用集積回路(ASIC)、フィールドプログラマブルゲートアレイ(FPGA)もしくは他のプログラマブルロジックデバイス、個別のゲートもしくはトランジスタロジック、個別のハードウェア部品、または本明細書に記載した機能を行うように設計されたこれらの任意の組合せを用いて、実装または実行される場合がある。汎用プロセッサはマイクロプロセッサであってよいが、代替として、プロセッサは、任意の従来のプロセッサ、コントローラ、マイクロコントローラ、またはステートマシンであってよい。プロセッサはまた、コンピューティングデバイスの組合せ、たとえば、DSPとマイクロプロセッサの組合せ、複数のマイクロプロセッサ、DSPコアと連携した1つもしくは複数のマイクロプロセッサ、または任意の他のそのような構成として実装されてもよい。
【００３２】
本明細書に開示する実施形態と関連して説明する方法またはアルゴリズムのステップは、直接ハードウェアで、プロセッサで実行されるソフトウェアモジュールで、またはこれら2つの組合せで具現されてもよい。ソフトウェアモジュールは、RAMメモリ、フラッシュメモリ、ROMメモリ、EPROMメモリ、EEPROMメモリ、レジスタ、ハードディスク、リムーバブルディスク、CD-ROM、または当技術分野において知られている任意の他の形式の記憶媒体内に存在することがある。例示的な記憶媒体は、プロセッサが記憶媒体から情報を読み取り、また記憶媒体に情報を書き込むことができるように、プロセッサに結合される。代替として、記憶媒体は、プロセッサと一体であることがある。プロセッサおよび記憶媒体は、ASICの中に存在することがある。ASICは、ユーザ端末の中に存在することがある。代替として、プロセッサおよび記憶媒体は、個別の構成要素としてユーザ端末に存在する場合がある。
【００３３】
1つまたは複数の例示的な実施形態では、説明する機能は、ハードウェア、ソフトウェア、ファームウェア、またはそれらの任意の組合せにおいて実装されてもよい。コンピュータプログラム製品としてソフトウェアにおいて実施される場合、機能は、コンピュータ可読媒体上の1つまたは複数の命令またはコードとして記憶されてもよく、または伝送されてもよい。コンピュータ可読媒体は、ある場所から別の場所へのコンピュータプログラムの転送を容易にする任意の媒体を含む、非一時的コンピュータ可読記憶媒体と通信媒体の両方を含む。記憶媒体は、コンピュータによってアクセスされることがある任意の利用可能な媒体であってもよい。限定ではなく例として、そのようなコンピュータ可読媒体は、RAM、ROM、EEPROM、CD-ROMまたは他の光ディスクストレージ、磁気ディスクストレージまたは他の磁気記憶デバイス、あるいは命令またはデータ構造の形態で所望のプログラムコードを搬送または記憶するために使用できるとともにコンピュータによってアクセスできる任意の他の媒体を含むことができる。また、いかなる接続も、厳密にはコンピュータ可読媒体と呼ばれる。たとえば、ソフトウェアが、同軸ケーブル、光ファイバーケーブル、ツイストペア、デジタル加入者線(DSL)、または赤外線、無線、およびマイクロ波などのワイヤレス技術を使用して、ウェブサイト、サーバ、または他のリモートソースから送信される場合、同軸ケーブル、光ファイバーケーブル、ツイストペア、DSL、または赤外線、無線、およびマイクロ波などのワイヤレス技術は、媒体の定義に含まれる。本明細書で使用するディスク(disk)およびディスク(disc)は、コンパクトディスク(disc)(CD)、レーザーディスク(登録商標)(disc)、光ディスク(disc)、デジタル多用途ディスク(disc)(DVD)、フロッピーディスク(disk)およびblu-rayディスク(disc)を含み、ディスク(disk)は通常、データを磁気的に再生し、ディスク(disc)は、レーザーを用いてデータを光学的に再生する。上記の組合せも、コンピュータ可読媒体の範囲に含まれるべきである。
【００３４】
開示した実施形態の前述の説明は、当業者が本発明を作成するまたは利用することができるように提供される。これらの実施形態に対する様々な変更形態が、当業者には容易に明らかとなり、本明細書において規定される一般原理は、本発明の趣旨または範囲から逸脱することなく他の実施形態に適用されてもよい。したがって、本発明は、本明細書で示した実施形態に限定されるものではなく、本明細書で開示した原理および新規の特徴に一致する最も広い範囲を与えられるべきである。
【符号の説明】
【００３５】
100  ワイヤレス通信システム
102  ワイヤレス遠隔局(RS)
104  基地局(BS)
106  基地局コントローラ(BSC)
108  コアネットワーク
110  インターネット
112  公衆交換電話網(PSTN)
310  クライアント、装置
320  リモートサーバ
330  DNSサーバ
400  コンピュータ
410  プロセッサ
420  コンピュータ可読媒体
430  ディスプレイ
440  入力
450  ワイヤレスネットワーク/インターネット接続
【図１】
2019512187.tif 000003
【図２】
2019512187.tif 000004
【図３】
2019512187.tif 000005
【図４】
2019512187.tif 000006
【図５】
2019512187.tif 000007
【図６】
2019512187.tif 000008
【図７】
2019512187.tif 000009
【国際調査報告】
2019512187.tif 000010
2019512187.tif 000011
2019512187.tif 000012