(57)【要約】【課題】  ネットワークドメインの境界を、セキュリティポリシを保ちつつ通信パケットを通過させて、ネットワークドメインにまたがるネットワークアプリケーションを利用可能とする。【解決手段】  第１の通信情報加工装置は、第１の内部ネットワーク内から第２のホストコンピュータ宛ての通信情報を受信したとき、通信情報の発信元が第１の内部ネットワークに接続されたホストコンピュータである場合には通信情報に付加情報を付加して通信媒介装置に送信し、通信情報の発信元が第１の内部ネットワークに接続されたホストコンピュータではない場合には通信情報の送信を中止し、通信媒介装置は、第１の通信情報加工装置から通信情報を受信したとき、第１の通信情報加工装置によって付加された付加情報があるか検証し、付加情報を確認した場合には通信情報を第２の通信情報加工装置に送信し、付加情報を確認できない場合には通信情報の送信を中止する。【選択図】図１
2011003943.tif 000002
【特許請求の範囲】
【請求項１】
第１のホストコンピュータと、
第１の内部ネットワークを介して前記第１のホストコンピュータと接続された第１の通信情報加工装置と、
第２のホストコンピュータと、
第１の内部ネットワークと異なる第２の内部ネットワークを介して前記第２のホストコンピュータと接続された第２の通信情報加工装置と、
外部ネットワークを介して前記第１の通信情報加工装置および前記第２の通信情報加工装置と接続された通信媒介装置と、を含むシステムにおいて、
前記第１の通信情報加工装置は、前記第１の内部ネットワーク内から前記第２のホストコンピュータ宛ての通信情報を受信したとき、前記通信情報の発信元が前記第１の内部ネットワークに接続されたホストコンピュータである場合には前記通信情報に付加情報を付加して前記通信媒介装置に送信し、前記通信情報の発信元が前記第１の内部ネットワークに接続されたホストコンピュータではない場合には前記通信情報の送信を中止し、
前記通信媒介装置は、前記第１の通信情報加工装置から前記通信情報を受信したとき、前記第１の通信情報加工装置によって付加された付加情報があるか検証し、前記付加情報を確認した場合には前記通信情報を前記第２の通信情報加工装置に送信し、前記付加情報を確認できない場合には前記通信情報の送信を中止し、
前記第２の通信情報加工装置は、前記通信情報を前記通信媒介装置から受信したとき、前記通信情報を前記第２の内部ネットワーク内の前記第２のホストコンピュータへ送信することを特徴とするシステム。
【請求項２】
請求項１記載のシステムにおいて、
前記第１の通信情報加工装置は、前記第１の内部ネットワークに接続された複数の第１のホストコンピュータのリストを保持し、前記リストを参照することにより前記通信情報の発信元が前記第１の内部ネットワークに接続されたホストコンピュータであるか否か判定することを特徴とするシステム。
【請求項３】
請求項１または２記載のシステムにおいて、
前記第１の通信情報加工装置が前記通信情報に対して付加する付加情報は、セキュリティ属性情報を含むことを特徴とするシステム。
【請求項４】
請求項１から３のいずれか記載のシステムにおいて、  
前記第１の通信情報加工装置が前記通信情報に対して付加する付加情報は、前記第１の通信情報加工装置が前記付加情報を付加したことを示す情報を含むことを特徴とするシステム。
【請求項５】
請求項４記載のシステムにおいて、
前記第１の通信情報加工装置が前記付加情報を付加したことを示す情報は、前記第１の通信情報加工装置の電子署名であることを特徴とするしシステム。
【請求項６】
請求項１から５のいずれか記載のシステムにおいて、  
前記通信媒介装置は、前記第１の通信情報加工装置が前記通信情報に対して前記付加情報を付加したことを示す情報を確認した場合には前記通信情報を前記第２の通信情報加工装置に送信し、前記第１の通信情報加工装置が前記通信情報に対して前記付加情報を付加したことを示す情報を確認できない場合には前記通信情報の送信を中止することを特徴とするシステム。
【請求項７】
請求項６記載のシステムにおいて、  
前記通信媒介装置は、前記付加情報に第１の通信情報加工装置の電子署名が含まれることを確認した場合には前記通信情報を前記第２の通信情報加工装置に送信し、前記付加情報に第１の通信情報加工装置の電子署名が含まれることを確認できない場合には前記通信情報の送信を中止することを特徴とするシステム。
【請求項８】
請求項１から７のいずれか記載のシステムにおいて、  
前記通信媒介装置は、前記通信情報を前記第２の通信情報加工装置に送信するとき、前記通信媒介装置が情報を付加したことを示す付加情報を付加して前記通信情報を前記第２の通信情報加工装置へ送信することを特徴とするシステム。
【請求項９】
請求項８記載のシステムにおいて、  
前記通信媒介装置は、前記通信情報を前記第２の通信情報加工装置に送信するとき、前記通信媒介装置の電子署名を付加して前記通信情報を前記第２の通信情報加工装置へ送信することを特徴とするシステム。
【請求項１０】
請求項１から９のいずれか記載のシステムにおいて、  
前記第２の通信情報加工装置は、前記第１の通信情報加工装置が前記通信情報に前記付加情報を付加したことを示す情報を確認した場合には前記通信情報を前記第２のホストコンピュータへ送信し、前記第１の通信情報加工装置が前記通信情報に前記付加情報を付加したことを示す情報を確認できない場合には前記通信情報の送信を中止することを特徴とするシステム。
【請求項１１】
請求項１から１０のいずれか記載のシステムにおいて、  
前記第２の通信情報加工装置は、前記通信媒介装置が前記通信情報に前記付加情報を付加したことを示す情報を確認した場合には前記通信情報を前記第２のホストコンピュータへ送信し、通信媒介装置が前記通信情報に前記付加情報を付加したことを示す情報を確認できない場合には前記通信情報の送信を中止することを特徴とするシステム。
【請求項１２】
請求項１０または１１記載のシステムにおいて、
前記第１の通信情報加工装置が前記通信情報に前記付加情報を付加したことを示す情報は前記第１の通信情報加工装置の電子署名であり、前記通信媒介装置が前記通信情報に前記付加情報を付加したことを示す情報は前記通信媒介装置の電子署名であることを特徴とするシステム。
【請求項１３】
第１のホストコンピュータと、第１の内部ネットワークを介して前記第１のホストコンピュータと接続された第１の通信情報加工装置と、第２のホストコンピュータと、第１の内部ネットワークと異なる第２の内部ネットワークを介して前記第２のホストコンピュータと接続された第２の通信情報加工装置と、外部ネットワークを介して前記第１の通信情報加工装置および前記第２の通信情報加工装置と接続された通信媒介装置と、を含むシステムにおける通信方法において、
前記第１の通信情報加工装置は、前記第１の内部ネットワーク内から前記第２のホストコンピュータ宛ての通信情報を受信したとき、前記通信情報の発信元が前記第１の内部ネットワークに接続されたホストコンピュータである場合には前記通信情報に付加情報を付加して前記通信媒介装置に送信し、前記通信情報の発信元が前記第１の内部ネットワークに接続されたホストコンピュータでない場合には前記通信情報の送信を中止し、
前記通信媒介装置は、前記第１の通信情報加工装置から前記通信情報を受信したとき、前記第１の通信情報加工装置によって付加された付加情報があるか検証し、前記付加情報を確認した場合には前記通信情報を前記第２の通信情報加工装置に送信し、前記付加情報を確認できない場合には前記通信情報の送信を中止し、
前記第２の通信情報加工装置は、前記通信情報を前記通信媒介装置から受信したとき、前記通信情報を前記第２の内部ネットワーク内の前記第２のホストコンピュータへ送信することを特徴とする通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、システムおよび通信方法に関し、特に、異なるネットワークドメイン間における通信技術に関する。
【背景技術】
【０００２】
複数のネットワークドメイン間での情報の授受に関するセキュリティを厳格に制御するシステムでは、ドメインとドメインの境界にガードと呼ばれる装置を置き、ドメインを越える情報の授受に制限を課す場合がある。例えば、特許文献１には、それぞれのドメインの間に一方向にのみ通信可能なガードを置く技術が開示されている。特許文献１記載の技術では、一方のドメインにある情報を他方のガードに開示してはならないというポリシやルールに従った運用がなされている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】US 2008/0307101A1
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、特許文献１記載の技術では、ガードは一方向の通信のみを許容するものであるため、システムの柔軟性を欠き利便性が低い。
【０００５】
また、セキュリティを維持したまま柔軟性のあるシステムを実現するためには不正な情報授受が行われないことを保証する必要があるが、特許文献１はそのような技術を何ら開示していない。
【０００６】
このような状況下、ネットワーク上のドメインとドメインの境界で授受される情報を厳格に監視・制御するシステムにおいて、セキュリティを維持したまま管理されたパケットがドメインの境界を越えられるようにして、複数のドメインにまたがる情報の授受を利用可能にすることが望まれている。
【課題を解決するための手段】
【０００７】
上記課題を解決するため、本発明は以下の構成を備える。即ち、第１のホストコンピュータと、第１の内部ネットワークを介して第１のホストコンピュータと接続された第１の通信情報加工装置と、第２のホストコンピュータと、第１の内部ネットワークと異なる第２の内部ネットワークを介して第２のホストコンピュータと接続された第２の通信情報加工装置と、外部ネットワークを介して第１の通信情報加工装置および第２の通信情報加工装置と接続された通信媒介装置と、を含むシステムにおいて、第１の通信情報加工装置は、第１の内部ネットワーク内から第２のホストコンピュータ宛ての通信情報を受信したとき、通信情報の発信元が第１の内部ネットワークに接続されたホストコンピュータである場合には通信情報に付加情報を付加して通信媒介装置に送信し、通信情報の発信元が第１の内部ネットワークに接続されたホストコンピュータではない場合には通信情報の送信を中止し、通信媒介装置は、第１の通信情報加工装置から通信情報を受信したとき、第１の通信情報加工装置によって付加された付加情報があるか検証し、付加情報を確認した場合には通信情報を第２の通信情報加工装置に送信し、付加情報を確認できない場合には通信情報の送信を中止し、第２の通信情報加工装置は、通信情報を通信媒介装置から受信したとき、通信情報を第２の内部ネットワーク内の第２のホストコンピュータへ送信する。
【発明の効果】
【０００８】
本発明によれば、セキュリティと利便性向上を両立させることが可能となる。
【図面の簡単な説明】
【０００９】
【図１】システムの構成を示す図である。
【図２】ＳＧＷの構成図である。
【図３】ガードの構成図である。
【図４】パケット転送手順を示したフローチャートである。
【図５】イーサパケットの構成図である。
【図６】ホスト信頼性判定処理のフローチャートである。
【図７】高信頼ホストの表の構成図である。
【図８】ＳＧＷ間で授受されるイーサパケットの構成図である。
【図９】ＳＧＷ間で授受されるイーサパケットの、より詳細な構成図である。
【図１０】パケット信頼性判定処理のフローチャートである。
【図１１】パケット履歴判定処理のフローチャートである。
【図１２】転送されるＩＰパケットの変遷を示した図である。
【図１３】ＶＭＭを利用したシステムの構成を示す図である。
【発明を実施するための形態】
【００１０】
本発明の実施形態では、ネットワーク上のドメインとドメインの境界で授受される情報を厳格に監視・制御するシステムにおいて、管理されたパケットがドメインの境界を越えられるようにして、複数のドメインにまたがるネットワークアプリケーションを利用可能とする。
【００１１】
ここでは高信頼ホストが適正に管理されていることを前提とする。高信頼ホストとは、他のネットワークドメインに対して開示してはならない秘密情報を格納していない、秘密情報にアクセスできないように設定されている、権限を持たないユーザはアクセスすることができないように設定されている、というように、運用上、セキュリティが厳重に管理されたコンピュータのことを言う。
【００１２】
以下、本発明の実施形態の詳細を、図面を用いて説明する。
【００１３】
図１は、本発明の実施形態の概要を示すシステム構成図である。第一のネットワークドメイン（以下ＮＷＤＡと略記）１８０、および第二のネットワークドメイン（以下ＮＷＤＢと略記）１９０があり、ＮＷＤＡ１８０には、ゲートウェイ装置１２０（以下ＳＧＷＡと略記）があり、ＮＷＤＢ１４０には同じくゲートウェイ装置１４０（以下ＳＧＷＢと略記）がある。ＮＷＤＡ１８０とＮＷＤＢ１９０は直接、物理的なネットワーク接続はなく、ガード装置１００を介してのみ、データの授受が可能となっている。
【００１４】
ＮＷＤＡ１８０にはＳＧＷＡ１２０の他に、一般に複数のコンピュータ１８２があり、ＮＷＤＡ１８０内の通信を行うことができる。同様にＮＷＤＢ１９０にもＳＧＷＢ１４０の他に、複数のコンピュータ１９２がある。これらのコンピュータをまとめてホストと呼ぶことにする。
【００１５】
ＳＧＷＡ１２０上には高信頼ホスト判定処理手段１２２、およびパケット加工手段１２４が存在し、システムを構成する。またガード装置１００上には高信頼パケット判定手段１１２とパケット加工手段１１４があり、２つのネットワークドメインのセキュアな通信を媒介する。さらにＳＧＷＢ１４０上には、第２の高信頼パケット判定手段１４２とパケット復元手段１４４があり、ＮＷＤＢ内の該当するホストＢ１９２にパケットを転送する。
【００１６】
図２はＳＧＷＡ１２０、あるいはＳＧＷＢ１４０構成の一例を示したブロック図である。ＳＧＷＡ１２０はプロセッサ２１０、メモリ２２０を備え、一般的なユーザインタフェースとしてディスプレイ装置２９１、キーボード２９２、マウス２９３などを備える。またプログラムや制御用データを蓄えるための外部ストレージ２４０を備える。さらに他のホストやガード装置との通信のために通信インタフェース２５１、あるいは２５２を備える。また、より厳密な認証のために、認証用デバイス２６０を備えることもある。メモリ上には、仮想マシンモニタ（ＶＭＭ）あるいはオペレーティングシステム２３０のもとにアプリケーションプログラムが稼動できる。図には高信頼ホスト判定処理プログラム１２２、およびパケット加工処理プログラム１２４が稼動しているところが示されている。プロセッサ２１０は、外部ストレージ２４０からプログラムや制御データを読み出してメモリ２２０に展開して各処理を実行する。後述する図面やフローチャートで実行されるＳＧＷＡ１２０の処理は、特に示さない限りプロセッサ２１０により実行される。以上はＳＧＷＡ１２０を基準に説明したが、ＳＧＷＢ１４０についても説明は同様である。
【００１７】
図３はガード装置１００の構成の一例を示したブロック図である。ガード装置もＳＧＷＡ１２０と同様に、プロセッサ３１０、メモリ３２０、ディスプレイ３９１、キーボード３９２、マウス３９３、外部ストレージ３４０、通信インタフェース３５１、３５２を備える。認証用デバイス３６０を備えることもある。ＯＳないしＶＭＭとＯＳ３３０に制御されて、アプリケーションが稼動できる。プログラムや制御用データは外部ストレージ３４０に記憶されている。図では、高信頼パケット判定処理１１２、ガードにおけるパケット加工処理１１４が稼動しているところが示されている。
【００１８】
図４は本発明の実施形態の処理手順の概要を示したフローチャートである。本図で、全体の流れを説明し、後に各ステップの詳細を説明する。
【００１９】
図４にはＳＧＷＡ１２０の処理４２０、ガード装置１００の処理４００、およびＳＧＷＢ１４０の処理４４０が並列に示されている。
【００２０】
ＳＧＷＡ１２０の処理４２０では、ステップ４２１でホストＡ１８２からのパケットを受け取ると、それがＮＷＤＢ内のホストＢ１９２に宛てたパケットならば、ステップ４２３にて、送信元のホストＡ１８２は高信頼か否かを判定する。
【００２１】
ここで、ホストが高信頼であるとは、他のネットワークドメインに対して開示してはならない秘密情報を格納していない、あるいは同情報にアクセスできないように設定されている、権限を持たないユーザはアクセスすることができないように設定されているなど、そのコンピュータは、運用上、セキュリティが厳重に管理されていることを言う。つまり、高信頼なホストが適正に管理されていることが前提の一つである。高信頼なホストであるか否かの判定処理の具体的手法は後述する。
【００２２】
ホストＡ１８２が高信頼であることが確認されなかった場合は、ステップ４２４に進み、処理を中止する。具体的にはログデータをストレージ装置２４０に取得した後、Ｒｅｔｕｒｎする。ホストＡ１８２が高信頼であることが確認されたならば、ステップ４２５で、受信したパケットを加工し、ステップ４２７でこのパケットをガード装置１００に転送する。すると、ガード装置１００は、処理４００のステップ４０１において、上記でＳＧＷＡ１２０が転送したパケットを受け取る。パケットの加工処理の具体的手法は後述する。
続いてステップ４０３では、このパケットがＳＧＷＡ１２０から到来し、ＳＧＷＡ１２０で適正に加工されたものであることを確認する。ステップ４０３における確認の結果がＮｏであれば、ステップ４０４に進み、このパケットの転送を行わない。具体的には、ログデータを取り、処理を終了する。また確認の結果がＹｅｓであれば、ステップ４０５にて、パケットを加工し、続いてステップ４０７でＳＧＷＢ１４０にこのパケットを転送する。適正加工の判定処理、パケットの加工処理の具体的手法は後述する。  ＳＧＷＢ１４０の処理４４０では、ステップ４４１において、ガード装置１００から転送されたパケットを受け取ると、ステップ４４３において、そのパケットがＳＧＷＡ１２０とガード装置を経由して適性経路で到達したものであることを確認する。確認できなければ、ステップ４４４に進み、このパケットの転送を中止する。確認できたならば、ステップ４４５において、ＳＧＷＡ１２０によって加工されていたパケットを元の状態に戻し、ステップ４４７において、ＮＷＤＢ１９０内のしかるべきホストＢ１９２に転送する。適正経路の判定処理の具体的手法は後述する。
【００２３】
以上によって、ＮＷＤＡ１８０内のホストＡ１８２の発したパケットがＳＧＷＡ１２０、ガード装置１００、ＳＧＷＢ１４０による監視の下で、ＮＷＤＢ内のホストＢ１９２に到達することができる。
【００２４】
図５は本実施例の前提となるイーサネット（登録商標）ワーク上のＴＣＰ／ＩＰプロトコルによる一般的なパケットのデータ構造を示している。イーサネット（登録商標）、ＩＰ、およびＴＣＰないしＵＤＰの各レイヤのパケットは、それぞれ、ヘッダ部分とデータ本体であるペイロードからなっている。
【００２５】
イーサパケットの形式はＩＥＥＥ８０２。３に規定されている。イーサパケット５００は、ヘッダ５０１には送信元ホストおよび宛先ホストの物理アドレス５０７、５０８を格納する物理アドレスフィールド５０２を有し、そのペイロードはＩＰパケット５１０になっている。
【００２６】
ＩＰパケットの形式は、ＲＦＣ７９１、およびＲＦＣ２４６０によって規定されている。ＩＰパケット５１０は、ヘッダ５１１には送信元および宛先のＩＰアドレス５７０、５８０を格納するＩＰアドレスフィールド５１２があり、さらに付加情報としてオプションフィールド５１３を付け加えることができる。ＩＰパケット５１０のペイロードはＴＣＰないしＵＤＰのパケット５２０になっている。
【００２７】
ＴＣＰないしＵＤＰのパケットの形式は、ＲＦＣ７９３ないしＲＦＣ７６８によって規定されている。ＴＣＰないしＵＤＰのパケット５２０のヘッダ５２１には、送信元アプリケーションのポート番号および宛先アプリケーションのポート番号を格納するポート番号フィールド５２２や通信制御用フラグ５２３がある。このパケットのペイロードはアプリケーションデータ５３０である。
【００２８】
以下、図４で説明した各ステップについて、パケットのデータ構造への加工処理等を含めてより詳細に処理の内容を説明する。
【００２９】
まず、ＳＧＷＡ１２０の処理４２０について説明する。
【００３０】
ＮＷＤＡ１８０に属すホストＡ１８２は、ＮＷＤＢ１９０に属すホスト１９２にＩＰパケット５１０を送るとする。この場合、ＩＰパケット５１０のＩＰヘッダ５１１のＩＰアドレスフィールド５１２は、図１２のＩＰアドレスＡ１２２１のように、ホストＡ１８２のＩＰアドレスを送信元ＩＰアドレス１２７１として設定し、またホストＢ１９２のＩＰアドレスを宛先ＩＰアドレス１２８１として設定して、イーサパケット５００を送出する。
【００３１】
ＳＧＷＡ１２０はＮＷＤＡ１８０においてＮＷＤＢ１９０に転送されるべきパケットはすべてＳＧＷＡ１２０を通過してルーティングされるようにネットワークが構成される。
【００３２】
ステップ４２１では、ＳＧＷＡ１２０は、宛先ＩＰアドレスとしてＩＰＮＷＤＢ１９０内のＩＰアドレスを設定したパケットをトラップする。上記のパケットは、ＩＰパケットの宛先がＮＷＤＢ１９２内のホストを指しているので、トラップされる。
【００３３】
ステップ４２３では上記パケットの信頼性判定処理を実行する。
【００３４】
図６は高信頼性ホスト判定手段１２２における、ホスト信頼性判定処理４２３の一実施例を示したフローチャートである。また、図７は本実施例において使用する認証情報テーブルの一構成例である。高信頼ホストに関する認証情報テーブル７００のデータは、あらかじめ用意し、外部ストレージ２４０などに格納して、ＳＷＧＡ１２０が参照できるようにしておく。テーブル７００には高信頼ホストを特定する情報が格納されている。ホストの特定情報として、ホスト名（Ｈ）７１０、ホストの通信インタフェースの物理アドレス（ＰＡ）７２０、ネットワーク上でのネットワークアドレス（ＮＡ）７３０、サービスの種類を示すサービスＩＤ（ＳＶ）７４０が格納されている。さらに、これらのデータの照合以外の認証手段のために、属性情報（ＡＴ）７５０を含むことができる。
【００３５】
ステップ６２０では、受信したパケットからホストＡ１８２の物理アドレス５０７を取り出す。イーサネット（登録商標）の場合、物理アドレスとしては、通信インタフェースに個別に付与されたＭＡＣアドレスが使われる。ついで認証情報テーブル７００の物理アドレスフィールド７２０から、パケットから取り出した物理アドレス５０７に一致するものを探索する。該当のものがなければ、Ｎｏのパスを選択し、ステップ６９０でＮｏを返す。またそれが存在すれば、引き続き、このパケット５００から送信元ネットワークアドレス５７０を取り出す。ＴＣＰ／ＩＰネットワークの場合、ネットワークアドレスとして、ＩＰアドレスが用いられる。物理アドレスで探索した認証情報テーブル７００内の高信頼ホストのエントリのネットワークアドレスフィールド７３０の値が、パケットから取り出した送信元ネットワークアドレス５７０と一致しなければ、認証失敗であり、ステップ６９０からＮＯを返す。一致すれば、同様にサービスＩＤのチェックを行う。サービスＩＤとしては、ＴＣＰ／ＩＰネットワークの場合、ポート番号５２２が使われる。
【００３６】
さらに，ＳＧＷＡ１２０は，ホストA１８２があらかじめ想定した通りのものであることを積極的に確かめることもできる．例えば，ＳＧＷＡ１２０からホストＡ１８２の上にあらかじめ起動してある監視プログラムにパケットを送り，ホストＡ１８２がパケット送付中であることを確認すれば，ＳＧＷＡ１２０が偽のパケットをつかまえていないことを保証できる．属性情報（ＡＴ）７５０には，このような追加の確認処理に必要な，監視プログラムの宛先や暗号通信のための暗号鍵などを格納しておくことができる．
以上の送信元の認証チェックに合格したならば、Ｙｅｓのパスを選択して、次のチェックステップ６３０に進む。
【００３７】
ステップ６３０では、同定された高信頼ホストＡ１８２の完全性（Integrity）、すなわち、そのホストのＯＳやアプリケーションプログラムが改ざんされていないことをチェックすることができる。ここでは、高信頼ホストが適正に管理されていることを前提にしているが、このチェックはより確かなセキュリティのために行うものである。
【００３８】
完全性のチェックの手法としては、例えば、Trusted Platform Module（ＴＰＭ）を利用する手法が知られている（参考文献： TCG Specification Architecture Overview，Revision 1.4，2007，pp. 19−21，ＴＣＧ発行）。ＴＰＭは認証用デバイス２６０、３６０の一つである。ＴＰＭを用いたシステムでは，ＴＰＭチップ，ホストのファームウエア，ＯＳ起動プログラム，ＯＳ，特定アプリケーションのような階層構造において，順次，下位のものが一つ上のものの完全性をチェックするように構成する．すると，間接的に特定アプリケーションの完全性をＴＰＭチップによって確認したことになる．さらに，ＴＰＭチップとの交信により，リモートのホストから，そのプログラムが偽物でないこと，あるいは改ざんされていないことが分かるようになっている．なお，ＴＰＭチップとの交信にはＴＰＭチップを使用する必要があり，ＳＧＷ１２０、１４０やガード１００だけでなく、ホストＡ１８２にもＴＰＭを設置する必要がある。
【００３９】
ステップ６３０における完全性チェックが不合格の場合は、Ｙｅｓ（すなわち、「改ざんされている」こと意味する）のパスを選択して、ステップ６９０からＮＯを返す。また、完全性チェックが合格の場合は、Ｎｏのパスを選択し、ステップ６８０からＹＥＳを返す。なお、完全性チェックのステップ６３０は、長時間を要する場合があり、実行しない構成も可能である。
【００４０】
ステップ４２５では、パケット加工処理を行う。主な内容は、ＩＰパケット５１０にこのパケットの内容のセキュリティ属性（ラベル）を付加し、さらにこのセキュリティ属性ラベルを付加したのがＳＧＷＡ１２０であることを保証するデータを付加することである。
【００４１】
ＩＰパケットに対するラベル付けについては、必ずしも普及していないが、いくつかの標準が提案されている。例えばＲＩＰＳＯ（Revised Internet Protocol Security Option、ＲＦＣ１１０８）やＣＩＰＳＯ（Commercial IP Security Option）が知られており、これらに従ったラベル付けもありうる。但し、これらのラベルはアプリケーションデータ５３０の秘密区分などを表すもので、ＳＧＷＡ１２０はアプリケーションデータ５３０の内容や秘密区分を知ることのできる構成でない場合は、無条件にはＲＩＰＳＯやＣＩＰＳＯに従うことはできない。
【００４２】
また、セキュリティ属性ラベルを付加したのがＳＧＷＡ１２０であることを保証するデータとしては、公開鍵暗号を利用した電子署名が知られている。
【００４３】
実装上は、これらのデータを付加する場所をパケット内に確保する方法が問題である。付加場所の第一の候補は、ＩＰパケット５１０のＩＰヘッダ５１１中のオプションフィールド５１３を利用することである。但し、オプションフィールド５１３は、すべてのＩＰパケットに確保されているわけではなく、また存在したとしても、別用途に使われている可能性もある
データの付加場所の第二の候補は、図８に示すように、ＩＰパケット５１０のコピーであるＩＰパケットＡ８１０と付加データ８９９をペイロードとする新たなＩＰパケットとしてＩＰパケットＢ８９０を作成することである。これはＩＰトンネリング（ＲＦＣ１８５３、ＲＦＣ２００３）として知られている手法である。パケットの拡大幅が大きくなるが、ペイロードであるＩＰパケットＡ８１０の内部は元のＩＰパケット５１０と同じであり、ＩＰパケットＢ８９０の中では、元のＩＰパケット５１０との干渉を避けることができる。
【００４４】
図９はＩＰパケットＢ８９０のより詳細な内容を示すブロック図である。図９では、付加データフィールド８９９内にラベルフィールド９１０を確保している。
【００４５】
付加データフィールド８９９には、ＳＧＷＡ１２０がＩＰパケットＡ８１０、およびドメインラベル９１０に対して付けた電子署名９２０を格納する。さらに、後に説明するように、ガード装置１００がこのＩＰパケット８９０を通過させたことを示す電子署名を書き込むフィールド９３０も用意する。
【００４６】
これらの付加データをオプションＢ８９３の中に格納することもできる。但し、オプションフィールド８９３の長さには規約上の上限があり、これらのデータが納まらないときには、やはり付加フィールド８９９が必要となる。
【００４７】
ステップ４２７では、上記のパケットＢ８９０を送出する。ＩＰパケットＢ８９０のＩＰヘッダＢ８９１には、それ自身のＩＰアドレスフィールド８９２があり、その送信元ＩＰアドレスフィールド８７０、および宛先ＩＰアドレスフィールド８８０がある。ＩＰパケットＢ８９０の送出では、ＩＰアドレスフィールド８９２には、図１２のＩＰアドレスＢ１２２２のように、ＳＧＷＡ１８２のＩＰアドレスを送信元ＩＰアドレス１２７２として設定し、またガード装置１００のＩＰアドレスを宛先ＩＰアドレス１２８２として設定する。
【００４８】
次にガード装置１００における処理４００について説明する。
【００４９】
まず、ステップ４０１では上記のＩＰアドレスの設定に従って、ＩＰパケットＢ８９０を受け取る。
【００５０】
図１０はガード装置１００におけるパケット信頼性判定処理４０３の概要を示したフローチャートである。ここでは、ガード装置１００は受け取ったパケットがＳＧＷＡ１２０で高信頼ホストＡ１８２からのパケットであることを保証していることを確認する。
【００５１】
ステップ１０２０では、ＩＰパケットＢ８９０から電子署名９２０を取り出し、それがＳＧＷＡ１２０によるものであることを確認する。電子署名の方法としては、ＲＳＡのような公開鍵暗号によるものがよく知られている。ＳＧＷＡ１２０の秘密鍵が漏洩しないことを前提に、ガード装置は対応する公開鍵を使用することによって、内容の完全性およびＳＧＷＡ１２０による署名であることを信ずることができる。
【００５２】
ステップ１０２０では、この他、SGWA１２０やＳＧＷＢ１４０などに関する認証情報テーブル７００を用いて，パケット８００の物理アドレスフィールド８０２の値と、テーブル７００の物理アドレスフィールド７２０に格納してあるＳＧＷＡ１２０の物理アドレスとの照合や、ポート番号フィールド７４０の値を用いたポート番号５２２のチェックなどを行ってもよい。このうち、前者のチェックは、過去に適正にやり取りされたＳＧＷＡ１２０のパケットを記録しておき、別の機会に全く同じ内容のパケットを再送信するという、リプレイアタックの防止になるので意味のある処理である。後者のチェックについては、署名の対象にポート番号５２２が含まれているため、２重のチェックになる。
【００５３】
これらのチェックに合格したならば、ステップ１０３０で、ＳＧＷＡ１２０の完全性のチェックをしても良い。これには前述の通り、認証用デバイス２６０、および３６０を使用する。なお、これらのデバイスが搭載されていないときや、チェックのためのオーバヘッドが問題となる場合は、必ずしも必要ない。
【００５４】
これらのチェックで不合格となればステップ１０９０に進み、ＮＯを返す。また、合格ならば、ＹＥＳを返す。
【００５５】
ステップ４０５のパケット加工処理では、受信したＩＰパケットＢ８９０のガード装置用に確保された電子署名格納フィールド９３０に、ＩＰパケットＡ８１０、ラベル９１０、電子署名９２０に対する、ガード装置における電子署名を格納する。この電子署名にはガードの秘密鍵を用いる。
【００５６】
ステップ４０７では、上記ＩＰパケットＢ８９０を送出する。このときＩＰパケットＢ８９０のＩＰヘッダＢ８９１の、それ自身のＩＰアドレスフィールド８９２は、図１２のＩＰアドレスＣ１２２３のように、ガード装置１００のＩＰアドレスを送信元ＩＰアドレス１２７３として設定し、またＳＧＷＢ１４０のＩＰアドレスを宛先ＩＰアドレス１２８３として設定する。
【００５７】
次に、ＳＧＷＢ１４０における処理について説明する。
【００５８】
ステップ４４１では、上記のＩＰアドレスの設置に従ってＩＰパケットを受け取る。
【００５９】
図１１はＳＧＷＢ１４０におけるパケット履歴確認処理４４３の概要を示したフローチャートである。ここでは、ＳＧＷＢ１４０は、受け取ったパケット８００をが、ＳＧＷＡ１２０、およびガード装置１００を経由したパケットであることを確認する。これにより、ＳＧＷＢ１４０は、このパケットが適正な手段によってＮＷＤＡ１８０からもたらされたパケットであることを信ずることができる。
【００６０】
ステップ１１２０ではＩＰパケットＢ８９０の付加データ９２０を、ＳＧＷＡ１２０の公開鍵でチェックする。さらにステップ１１３０では同付加データ９３０をガード装置の公開鍵によってチェックする。これらのチェックに合格しなければステップ１１９０においてＮＯを返し、合格すれば、ＹＥＳを返す。
【００６１】
ステップ４４５のパケット復元処理では、ＳＧＷＢ１４０はＩＰパケットＢ８９０からＩＰパケットＡ８１０、すなわちＩＰパケット５１０を取り出す。
【００６２】
続いてステップ４４７にて、上記ＩＰパケット５１０を転送先であるホストＢ１９２に対して転送する。このとき、パケット５１０のＩＰヘッダ５１１のＩＰアドレスフィールド５１２は、図１２のＩＰアドレスＤ１２２４のように、送信元ホストＡ１８２のＩＰアドレスを送信元ＩＰアドレス１２７４として設定され、また送信先ホストＢのＩＰアドレスが送信先ＩＰアドレス１２８４として格納された状態になっている。この結果、このパケットを送出すると送信先ホストＢ１９２にＩＰパケット５１０が到達する。
【００６３】
以上により、ＮＷＤＡ１８０のホストＡ１８２から、ＮＷＤ１９０のホスト１９２へのパケット５１０の送達が完了する。
【００６４】
図１３は上記実施例においてホストＡ１８２とＳＧＷＡ１２０を計算機１３００の仮想化機能（ＶＭＭ）１３１０上で稼動させた場合の構成図である。この場合、ＳＧＷＡ１２０とホストＡ１８２はＶＭＭ１３１０によって実現される仮想計算機として実現されており、両者をつなぐコネクションはＶＭＭ１３１０によって、仮想コネクション１３８４として実現される。ＳＧＷはネットワークドメイン１８０内に唯一である必要は元々なく、複数の高信頼ホストを配置する計算機があれば、その各々にＳＧＷを稼動させ、ガード装置１００やＳＧＷＢ１４０が各ＳＧＷを認証できるようにしておくこともできる。
【００６５】
図１３の仮想コネクション１３８４は計算機１３００の筐体の内部にソフトウエアによって仮想的に実現されるものであるから、よりセキュリティの向上を図ることが可能となる。
【００６６】
さらに、ＳＧＷＡ１２０がホストＡ１８２を認証するとき、同じ計算機１３００の同じＶＭＭ１３１０上の仮想計算機として稼動していることを利用すれば、非常に強力な認証処理を実現することができるようになる。
【００６７】
ＳＧＷＡ１２０やＳＧＷＢ１４０と同等の機能、特にホストＡ１８２やホストＢ１９２の認証機能をゲート装置１００に配置することも考えられる。ただし、その場合は、ガード装置における負荷が増大するという問題が生じる。図１に示した構成は、ガード装置１００におけるスケーラビリティの向上に貢献する。また、上記のようなＳＧＷＡ１２０と高信頼ホストＡ１８２を同じＶＭＭ上に稼動させるようなことはできない。
【符号の説明】
【００６８】
１００：ガード、１２０、１４０：ＳＧＷ（セキュアゲートウェイ）、１８０、１９０：ネットワークドメイン、１８２、１９２：ホスト、４００：ガードの処理、４２０：第一のネットワークドメインのＳＧＷの処理、４４０：第二のネットワークドメインのＳＧＷの処理、５００、８００：イーサパケット、５１０、８１０：ＩＰパケット、７００：高信頼ホストの表、１３１０：仮想化機構。
【図１】
2011003943.tif 000003
【図２】
2011003943.tif 000004
【図３】
2011003943.tif 000005
【図４】
2011003943.tif 000006
【図５】
2011003943.tif 000007
【図６】
2011003943.tif 000008
【図７】
2011003943.tif 000009
【図８】
2011003943.tif 000010
【図９】
2011003943.tif 000011
【図１０】
2011003943.tif 000012
【図１１】
2011003943.tif 000013
【図１２】
2011003943.tif 000014
【図１３】
2011003943.tif 000015