(57)【要約】【課題】サービス断を防止して信頼性の高い通信ネットワークを提供できる。【解決手段】パケット伝送装置１は、アンチリプレイウインドウ５を用いてシーケンス番号の検証をおこなう。確認要求送信部２は、アンチリプレイウインドウ５に設定されている最大シーケンス番号を超える被疑パケット６を検出した場合に、対向装置４に最大シーケンス番号の確認要求を送信する。アンチリプレイ制御部３は、被疑パケット６のシーケンス番号が、確認要求に対する対向装置４の確認応答から取得した最大シーケンス番号を超えているとき、被疑パケット６を破棄する。【選択図】図１
2015115765.tif 000002
【特許請求の範囲】
【請求項１】
受信パケットのシーケンス番号の重複を検出するアンチリプレイウインドウに設定されている最大シーケンス番号を超える被疑パケットを検出した場合に、対向装置に最大シーケンス番号の確認要求を送信する確認要求送信部と、
前記被疑パケットのシーケンス番号が、前記確認要求に対する前記対向装置の確認応答から取得した最大シーケンス番号を超えているとき、当該被疑パケットを破棄するアンチリプレイ制御部と、
を備えることを特徴とするパケット伝送装置。
【請求項２】
前記確認要求の送信なしに前記被疑パケットを受け付けるシーケンス番号の最大値を受信可能最大シーケンス番号として設定する設定部を備え、
前記確認要求送信部は、前記受信可能最大シーケンス番号を超える前記被疑パケットを検出した場合に、前記対向装置に前記最大シーケンス番号の確認要求を送信することを特徴とする請求項１記載のパケット伝送装置。
【請求項３】
使用回線のトラフィック情報を取得する取得部を備え、
前記設定部は、前記トラフィック情報にもとづいて前記受信可能最大シーケンス番号を設定することを特徴とする請求項２記載のパケット伝送装置。
【請求項４】
前記設定部は、複数の前記受信可能最大シーケンス番号のうちから、前記トラフィック情報にもとづいて１つの前記受信可能最大シーケンス番号を選択することを特徴とする請求項３記載のパケット伝送装置。
【請求項５】
前記対向装置の確認応答から取得する最大シーケンス番号は、前記対向装置が送信した送信パケットのシーケンス番号の最大値であることを特徴とする請求項１乃至請求項４のいずれか１項記載のパケット伝送装置。
【請求項６】
前記受信パケットは、ＩＰｓｅｃパケットであることを特徴とする請求項１乃至請求項４のいずれか１項記載のパケット伝送装置。
【請求項７】
第１のパケット伝送装置と、前記第１のパケット伝送装置との間でパケット伝送をおこなう第２のパケット伝送装置とを含むパケット伝送システムにおいて、
前記第１のパケット伝送装置は、
受信パケットのシーケンス番号の重複を検出するアンチリプレイウインドウに設定されている最大シーケンス番号を超える被疑パケットを検出した場合に、前記第２のパケット伝送装置に最大シーケンス番号の確認要求を送信する確認要求送信部と、
前記被疑パケットのシーケンス番号が、前記確認要求に対する前記第２のパケット伝送装置の確認応答から取得した最大シーケンス番号を超えているとき、当該被疑パケットを破棄するアンチリプレイ制御部と、を備え、
前記第２のパケット伝送装置は、
前記第１のパケット伝送装置からの確認要求を受信した場合に、前記確認応答として送信パケットの最大シーケンス番号を、前記第１のパケット伝送装置に送信する確認応答送信部を備えることを特徴とするパケット伝送システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケット伝送装置、およびパケット伝送システムに関する。
【背景技術】
【０００２】
近年のネットワーク環境において、ハッキングによるデータ流出やサービス中断といったようなセキュリティの脆弱性を狙った犯罪は、ますます増加する傾向にある。
たとえば、ＬＴＥ（Long Term Evolution）などの移動通信システムの無線基地局装置は、社会の重要なインフラを支えており、高い信頼性が期待されている。無線基地局装置におけるセキュリティの脆弱性は、社会経済に及ぶ影響が大きく非常に危惧されるべきことである。そのため、盗聴防止・改竄検知という面で非常に強固なプロトコルが求められており、ＩＰ（Internet Protocol）層でセキュリティを実現するプロトコルとしてＩＰ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ（以降、ＩＰｓｅｃと記載）が広く用いられている。
【０００３】
ＩＰｓｅｃが提供するセキュリティ機能の１つにアンチリプレイ制御がある。アンチリプレイ制御は、攻撃者からの異常パケットを検出し、検出した異常パケットを破棄する。たとえば、無線基地局装置は、ＩＰｓｅｃパケットを受信すると、アンチリプレイウインドウ内のビットマップを更新するとともに、最大シーケンス番号を更新するＩＰｓｅｃパケットを受信すると、アンチリプレイウインドウをシフトする。無線基地局装置は、アンチリプレイウインドウ内のビットマップによりシーケンス番号の重複を判定し、過去に受信したシーケンス番号のＩＰｓｅｃパケットを破棄する。また、無線基地局装置は、アンチリプレイウインドウのウインドウサイズに入らない古いシーケンス番号のＩＰｓｅｃパケットを破棄する。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】ＲＦＣ４３０１，“Security Architecture for the Internet Protocol”，December 2005
【非特許文献２】ＲＦＣ４３０３，“IP Encapsulating Security Payload (ESP)”，December 2005
【非特許文献３】ＲＦＣ４３０６，“Internet Key Exchange (IKEv2) Protocol”，December 2005
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、攻撃者が最大シーケンス番号を改竄したＩＰｓｅｃパケットを送信した場合、アンチリプレイウインドウが最大シーケンス番号に対応してシフトする。以降の正常なＩＰｓｅｃパケットは、ウインドウサイズに入らない古いシーケンス番号のＩＰｓｅｃパケットとなり破棄されてしまう場合がある。
【０００６】
このような最大シーケンス番号を改竄する攻撃は、通信不可な状態を惹起し、無線基地局装置を含むパケット伝送装置やパケット伝送システムのサービスの継続に大きな支障をきたす。
【０００７】
１つの側面では、本発明は、サービス断を防止して信頼性の高い通信ネットワークを提供可能なパケット伝送装置、およびパケット伝送システムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、以下に示すような、パケット伝送装置が提供される。パケット伝送装置は、確認要求送信部と、アンチリプレイ制御部と、を備える。確認要求送信部は、受信パケットのシーケンス番号の重複を検出するアンチリプレイウインドウに設定されている最大シーケンス番号を超える被疑パケットを検出した場合に、対向装置に最大シーケンス番号の確認要求を送信する。アンチリプレイ制御部は、被疑パケットのシーケンス番号が、確認要求に対する対向装置の確認応答から取得した最大シーケンス番号を超えているとき、当該被疑パケットを破棄する。
【発明の効果】
【０００９】
１態様によれば、パケット伝送装置、およびパケット伝送システムにおいて、サービス断を防止して信頼性の高い通信ネットワークを提供できる。
【図面の簡単な説明】
【００１０】
【図１】第１の実施形態のパケット伝送装置の構成の一例を示す図である。
【図２】第２の実施形態の無線アクセスシステムの構成の一例を示す図である。
【図３】第２の実施形態の無線基地局装置の機能構成の一例を示す図である。
【図４】第２の実施形態のセキュリティゲートウェイの機能構成の一例を示す図である。
【図５】第２の実施形態の無線基地局装置のハードウェア構成の一例を示す図である。
【図６】第２の実施形態のセキュリティゲートウェイのハードウェア構成の一例を示す図である。
【図７】第２の実施形態のパケット受信処理のフローチャートを示す図である。
【図８】第２の実施形態のアンチリプレイウインドウの一例を示す図である。
【図９】第２の実施形態の最大シーケンス番号確認処理のフローチャートを示す図である。
【図１０】第２の実施形態の確認パケット応答受信処理のフローチャートを示す図である。
【図１１】第２の実施形態の受信可能最大シーケンス番号設定処理のフローチャートを示す図である。
【図１２】第２の実施形態の受信可能閾値テーブルの一例を示す図である。
【図１３】最大シーケンス番号を改竄する攻撃の一例を示すシーケンス図である。
【図１４】最大シーケンス番号を改竄する攻撃に対する防御の一例を示すシーケンス図である。
【発明を実施するための形態】
【００１１】
以下、図面を参照して実施の形態を詳細に説明する。
［第１の実施形態］
まず、第１の実施形態のパケット伝送装置について図１を用いて説明する。図１は、第１の実施形態のパケット伝送装置の構成の一例を示す図である。
【００１２】
パケット伝送装置１（第１のパケット伝送装置）は、対向装置４（第２のパケット伝送装置）との間でパケット伝送をおこなう通信装置である。パケット伝送装置１と対向装置４は、パケット伝送システムの構成要素である。
【００１３】
パケット伝送装置１が伝送対象とするパケットは、シーケンス番号が付されている。パケット伝送装置１は、受信したパケットをシーケンス番号によって検証する。パケット伝送装置１は、アンチリプレイウインドウ５を用いてシーケンス番号の検証をおこなう。アンチリプレイウインドウ５は、パケット伝送装置１が有効に受信したパケット（破棄していない）の最大シーケンス番号から所定のウインドウサイズのビットマップを有する。ビットマップは、ビットに対応するシーケンス番号のパケットの受信の有無を示す。
【００１４】
たとえば、アンチリプレイウインドウ５は、最大シーケンス番号「１３」でウインドウサイズが「７」である。パケット伝送装置１は、アンチリプレイウインドウ５内にあるシーケンス番号をアンチリプレイ確認対象とする。すなわち、パケット伝送装置１は、アンチリプレイウインドウ５を用いて受信したパケットのシーケンス番号の重複を検出する。また、パケット伝送装置１は、アンチリプレイウインドウ５より古いシーケンス番号を破棄（廃棄）対象とする。
【００１５】
パケット伝送装置１は、確認要求送信部２と、アンチリプレイ制御部３を備える。確認要求送信部２は、アンチリプレイウインドウ５に設定されている最大シーケンス番号を超える被疑パケット６を検出した場合に、対向装置４に最大シーケンス番号の確認要求を送信する。たとえば、シーケンス番号「１８」の被疑パケット６の受信により最大シーケンス番号を更新すると、アンチリプレイウインドウ５がシフトしてアンチリプレイウインドウ５ａになる。これにより、アンチリプレイウインドウ５ａより古いシーケンス番号「１１」以下は、破棄対象となる。そこで、確認要求送信部２は、対向装置４に最大シーケンス番号の確認要求を送信することで、被疑パケット６が対向装置４によるものであるか否かを確認する。なお、確認要求送信部２は、最大シーケンス番号を更新する場合のすべてで最大シーケンス番号の確認要求を送信するようにしてもよい。また、確認要求送信部２は、アンチリプレイウインドウ５のシフト量（最大シーケンス番号の増分）が所定の閾値を超える場合に最大シーケンス番号の確認要求を送信するものであってもよい。
【００１６】
アンチリプレイ制御部３は、被疑パケット６のシーケンス番号が、確認要求に対する対向装置４の確認応答から取得した最大シーケンス番号を超えているとき、被疑パケット６を破棄する。たとえば、アンチリプレイ制御部３は、対向装置４の確認応答が最大シーケンス番号「１３」であるとき、被疑パケット６のシーケンス番号「１８」は、最大シーケンス番号「１３」を超えているので被疑パケット６ａとして破棄される。一方、アンチリプレイ制御部３は、対向装置４の確認応答が最大シーケンス番号「１８」であるとき、被疑パケット６のシーケンス番号「１８」が最大シーケンス番号「１８」を超えていないので正当なパケットとして受信し、最大シーケンス番号を更新する。また、アンチリプレイ制御部３は、アンチリプレイウインドウ５をシフトしてアンチリプレイウインドウ５ａに更新する。
【００１７】
このように、パケット伝送装置１は、最大シーケンス番号を更新する被疑パケット６の確認を対向装置４に対しておこなうので、最大シーケンス番号を改竄する攻撃を検出してこれに対抗することができる。これにより、パケット伝送装置１は、最大シーケンス番号を改竄する攻撃による通信不可な状態の惹起や、無線基地局装置を含むパケット伝送装置やパケット伝送システムのサービスの継続に対する支障を回避できる。したがって、パケット伝送装置１は、サービス断を防止して信頼性の高い通信ネットワークを提供することができる。
【００１８】
［第２の実施形態］
次に、第２の実施形態のパケット伝送装置について説明する。まず、無線アクセスシステムについて図２を用いて説明する。図２は、第２の実施形態の無線アクセスシステムの構成の一例を示す図である。
【００１９】
無線アクセスシステム９は、無線基地局装置１０と、セキュリティゲートウェイ３０と、無線基地局装置１０とセキュリティゲートウェイ３０とを接続する通信区間４２を含む。無線基地局装置１０は、パケット伝送装置の一形態であり、無線アクセスシステム９は、パケット伝送システムの一形態である。
【００２０】
無線基地局装置１０は、携帯電話やスマートフォンなどの通信装置４１と無線通信可能な無線基地局機能を提供する。たとえば、無線基地局装置１０を含む無線アクセスシステム９は、ＬＴＥなどの移動通信システムを実現する。
【００２１】
無線基地局装置１０は、セキュリティゲートウェイ３０とＩＫＥ（Internet Key Exchange）による鍵交換を実施し、ＩＰｓｅｃによる通信区間４２を確立して接続する。したがって、無線基地局装置１０は、セキュリティゲートウェイ３０とピアトゥピアで接続する。セキュリティゲートウェイ３０は、無線基地局装置１０にとっての対向機器となる。セキュリティゲートウェイ３０は、通信区間４３を介してコアネットワーク４０と接続する。通信区間４３は、非暗号通信区間であるが、通信区間４２と同様に暗号通信区間であってもよい。
【００２２】
次に、無線基地局装置１０が有する機能について図３を用いて説明する。図３は、第２の実施形態の無線基地局装置の機能構成の一例を示す図である。
無線基地局装置１０は、使用回線トラフィック情報算出部１１と、受信可能最大シーケンス番号設定部１２と、ＩＰｓｅｃパケット受信部１３と、ＩＰｓｅｃ認証キー判定部１４と、ＩＰｓｅｃ最大シーケンス番号比較部１５を備える。無線基地局装置１０は、最大シーケンス番号確認要求パケット送信部１６と、ＩＰパケット送信部（ＵＬ）１７と、最大シーケンス番号確認パケット応答部１８と、確認中ＩＰｓｅｃパケットシーケンス番号比較部１９を備える。無線基地局装置１０は、ＩＰｓｅｃ最大シーケンス番号更新部２０と、ＩＰｓｅｃ最大シーケンス番号受信重複判定部２１と、ＩＰｓｅｃ最大シーケンス番号アンチリプレイウインドウ内判定部２２と、ＩＰｓｅｃパケット破棄処理部２３を備える。無線基地局装置１０は、ＩＰパケット復号化部２４と、ＩＰパケット送信部（ＤＬ）２５を備える。
【００２３】
使用回線トラフィック情報算出部１１は、使用回線のトラフィック情報を算出する。使用回線とは、無線基地局装置１０と無線基地局装置１０の対向装置（セキュリティゲートウェイ３０）とを接続する回線である。通信区間４２は、トラフィック情報の算出対象となる使用回線である。トラフィック情報は、使用回線のトラフィックに関する情報であり、たとえば、帯域使用量である。使用回線トラフィック情報算出部１１は、使用回線からの受信データ量からトラフィック情報を算出する。なお、使用回線トラフィック情報算出部１１は、使用回線のトラフィック情報を取得する取得部とすることもできる。
【００２４】
受信可能最大シーケンス番号設定部１２（設定部）は、受信可能な最大シーケンス番号を設定する。受信可能な最大シーケンス番号は、アンチリプレイウインドウの最大シーケンス番号を超えるシーケンス番号のうち、対向装置に確認することなく受信するシーケンス番号である。受信可能最大シーケンス番号設定部１２は、アンチリプレイウインドウの最大シーケンス番号に対する増分を閾値として設定する。閾値は可変値であり、受信可能最大シーケンス番号設定部１２は、使用回線トラフィック情報算出部１１が算出したトラフィック情報にもとづいて閾値の設定をおこなう。
【００２５】
ＩＰｓｅｃパケット受信部１３は、対向装置からＩＰｓｅｃパケットを受信する。ＩＰｓｅｃ認証キー判定部１４は、ＩＰｓｅｃ認証キーの正常性を判定する。ＩＰｓｅｃ最大シーケンス番号比較部１５は、受信したＩＰｓｅｃパケットのシーケンス番号と、受信可能最大シーケンス番号設定部１２が設定した閾値とを比較し、受信したＩＰｓｅｃパケットのシーケンス番号が閾値を超えているか否かを判定する。
【００２６】
最大シーケンス番号確認要求パケット送信部１６（確認要求送信部）は、受信したＩＰｓｅｃパケットのシーケンス番号が閾値を超えている場合に、最大シーケンス番号を確認する確認要求パケットを対向機器に送信する。確認要求パケットは、対向機器が送信したＩＰｓｅｃパケットの最大シーケンス番号の確認を要求可能な情報を含む。ＩＰパケット送信部（ＵＬ）１７は、対向装置（Ｕｐ Ｌｉｎｋ）に向けてＩＰパケットを送信する。
【００２７】
最大シーケンス番号確認パケット応答部１８は、確認要求パケットに対する応答パケットを対向機器から受信する。応答パケットは、対向機器が送信したＩＰｓｅｃパケットの最大シーケンス番号を確認可能な情報を含む。確認中ＩＰｓｅｃパケットシーケンス番号比較部１９は、確認中のＩＰｓｅｃパケット（被疑パケット）のシーケンス番号と、対向機器から受信した最大シーケンス番号とを比較し、被疑パケットのシーケンス番号が最大シーケンス番号を超えているか否かを判定する。
【００２８】
ＩＰｓｅｃ最大シーケンス番号更新部２０は、アンチリプレイウインドウの最大シーケンス番号を更新する。ＩＰｓｅｃ最大シーケンス番号更新部２０は、ＩＰｓｅｃ最大シーケンス番号比較部１５により、受信したＩＰｓｅｃパケットのシーケンス番号が閾値を超えていないと判定した場合に、アンチリプレイウインドウの最大シーケンス番号を更新する。あるいは、ＩＰｓｅｃ最大シーケンス番号更新部２０は、確認中ＩＰｓｅｃパケットシーケンス番号比較部１９により、被疑パケットのシーケンス番号を確認した場合に、アンチリプレイウインドウの最大シーケンス番号を更新する。ＩＰｓｅｃ最大シーケンス番号更新部２０は、受信したＩＰｓｅｃパケットのシーケンス番号を、アンチリプレイウインドウの新たな最大シーケンス番号とする。
【００２９】
ＩＰｓｅｃ最大シーケンス番号受信重複判定部２１は、アンチリプレイ制御によるシーケンス番号の重複受信判定をおこなう。アンチリプレイ制御によるシーケンス番号の重複受信判定は、アンチリプレイウインドウのビットマップを参照しておこなう。
【００３０】
ＩＰｓｅｃ最大シーケンス番号アンチリプレイウインドウ内判定部２２は、アンチリプレイ制御によるシーケンス番号のウインドウ内判定をおこなう。アンチリプレイ制御によるシーケンス番号のウインドウ内判定は、受信したＩＰｓｅｃパケットのシーケンス番号がアンチリプレイウインドウより古いシーケンス番号であるか否かを判定する。
【００３１】
ＩＰｓｅｃパケット破棄処理部２３は、アンチリプレイ制御の判定結果にしたがい異常パケットを破棄する。ＩＰｓｅｃパケット破棄処理部２３は、確認中ＩＰｓｅｃパケットシーケンス番号比較部１９により、被疑パケットのシーケンス番号が最大シーケンス番号を超えていると判定した場合に異常パケットを破棄する。また、ＩＰｓｅｃパケット破棄処理部２３は、ＩＰｓｅｃ最大シーケンス番号受信重複判定部２１により、シーケンス番号の重複があると判定した場合に異常パケットを破棄する。また、ＩＰｓｅｃパケット破棄処理部２３は、ＩＰｓｅｃ最大シーケンス番号アンチリプレイウインドウ内判定部２２により、受信したＩＰｓｅｃパケットのシーケンス番号がアンチリプレイウインドウより古いシーケンス番号である場合に異常パケットを破棄する。
【００３２】
なお、最大シーケンス番号確認パケット応答部１８、確認中ＩＰｓｅｃパケットシーケンス番号比較部１９、およびＩＰｓｅｃパケット破棄処理部２３は、第１の実施形態におけるアンチリプレイ制御部３に相当する機能を実現する。
【００３３】
ＩＰパケット復号化部２４は、受信したＩＰｓｅｃパケットの復号化をおこなう。ＩＰパケット送信部（ＤＬ）２５は、通信装置４１（Ｄｏｗｎ Ｌｉｎｋ）に向けてＩＰパケットを送信する。
【００３４】
次に、セキュリティゲートウェイ３０が有する機能について図４を用いて説明する。図４は、第２の実施形態のセキュリティゲートウェイの機能構成の一例を示す図である。
セキュリティゲートウェイ３０は、ＩＰパケット受信部３１と、ＩＰｓｅｃ暗号化部３２と、ＩＰｓｅｃ最大シーケンス番号更新部３３と、ＩＰｓｅｃパケット送信部３４を備える。セキュリティゲートウェイ３０は、最大シーケンス番号確認要求パケット受信部３５と、最大シーケンス番号確認応答パケット送信部３６を備える。
【００３５】
ＩＰパケット受信部３１は、コアネットワーク４０側からＩＰパケットを受信する。ＩＰｓｅｃ暗号化部３２は、ＩＰパケット受信部３１が受信したＩＰパケットを暗号化しＩＰｓｅｃパケットを生成する。ＩＰｓｅｃ最大シーケンス番号更新部３３は、生成したＩＰｓｅｃパケットのうち最大のシーケンス番号で、ＩＰｓｅｃパケットの最大シーケンス番号を更新する。ＩＰｓｅｃパケット送信部３４は、無線基地局装置１０に向けてＩＰｓｅｃパケットを送信する。
【００３６】
最大シーケンス番号確認要求パケット受信部３５は、無線基地局装置１０からの確認要求パケットを受信する。最大シーケンス番号確認応答パケット送信部３６（確認応答送信部）は、ＩＰｓｅｃ最大シーケンス番号更新部３３が更新した最大シーケンス番号を付した応答パケットを、無線基地局装置１０に送信する。
【００３７】
次に、無線基地局装置１０のハードウェア構成について図５を用いて説明する。図５は、第２の実施形態の無線基地局装置のハードウェア構成の一例を示す図である。
無線基地局装置１０は、ＲＦ（Radio Frequency）１１０と、制御部１００と、ＢＢ（Base Band）１１１と、ＨＷＹ（Highway）１１２と、ＳＷ（Switch）１１３と、ＰＨＹ（Physical layer）１１４，１１５を備える。
【００３８】
ＲＦ１１０は、ベースバンド信号を周波数変換（たとえば、アップコンバート）して無線信号として図示しないアンテナに出力する。また、ＲＦ１１０は、アンテナで受信した無線信号を周波数変換（たとえば、ダウンコンバード）してベースバンド信号を出力する。ＢＢ１１１は、データ信号をベースバンド信号に変換してＲＦ１１０に出力する。また、ＢＢ１１１は、ＲＦ１１０から出力されたベースバンド信号からデータを抽出する。ＨＷＹ１１２は、ＩＰｓｅｃ終端として機能し、ＩＫＥのメッセージ交換などをおこなう。ＳＷ１１３は、レイヤ２ＳＷまたはレイヤ３ＳＷとして通信先を制御する。ＰＨＹ１１４，１１５は、物理的な通信接続機能を提供する。
【００３９】
制御部１００は、無線基地局装置１０を統括的に制御する。制御部１００は、プロセッサ１０１によって装置全体が制御されている。プロセッサ１０１には、図示しないバスを介してＲＯＭ（Read Only Memory）１０２と、ＲＡＭ（Random Access Memory）１０３と、インタフェース１０４と、複数の周辺機器が接続されている。プロセッサ１０１は、マルチプロセッサであってもよい。プロセッサ１０１は、たとえばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＡＳＩＣ（Application Specific Integrated Circuit）、またはＰＬＤ（Programmable Logic Device）である。またプロセッサ１０１は、ＣＰＵ、ＭＰＵ、ＤＳＰ、ＡＳＩＣ、ＰＬＤのうちの２以上の要素の組み合わせであってもよい。
【００４０】
ＲＯＭ１０２は、制御部１００の電源遮断時においても記憶内容を保持する。ＲＯＭ１０２は、たとえば、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）やフラッシュメモリなどの半導体記憶装置や、ＨＤＤ（Hard Disk Drive）などである。また、ＲＯＭ１０２は、制御部１００の補助記憶装置として使用される。ＲＯＭ１０２には、ＯＳ（Operating System）のプログラムやファームウェア、アプリケーションプログラム、および各種データが格納される。
【００４１】
ＲＡＭ１０３は、制御部１００の主記憶装置として使用される。ＲＡＭ１０３には、プロセッサ１０１に実行させるＯＳのプログラムやファームウェア、アプリケーションプログラムの少なくとも一部が一時的に格納される。また、ＲＡＭ１０３には、プロセッサ１０１による処理に必要な各種データが格納される。また、ＲＡＭ１０３は、各種データの格納に用いるメモリと別体にキャッシュメモリを含むものであってもよい。バスに接続されている周辺機器としては、インタフェース１０４がある。インタフェース１０４は、入出力装置と接続して入出力をおこなう。
【００４２】
以上のようなハードウェア構成によって、第２の実施形態の無線基地局装置１０の処理機能を実現することができる。なお、第１の実施形態に示したパケット伝送装置１も、図５に示した無線基地局装置１０と同様のハードウェアにより実現することができる。
【００４３】
次に、セキュリティゲートウェイ３０のハードウェア構成について図６を用いて説明する。図６は、第２の実施形態のセキュリティゲートウェイのハードウェア構成の一例を示す図である。
【００４４】
セキュリティゲートウェイ３０は、制御部１２０と、ＰＨＹ１２１，１２２を備える。ＰＨＹ１２１，１２２は、物理的な通信接続機能を提供する。制御部１２０は、セキュリティゲートウェイ３０を統括的に制御する。制御部１２０は、無線基地局装置１０の制御部１００と同様の構成を有する。
【００４５】
なお、第１の実施形態に示した対向装置４も、図６に示したセキュリティゲートウェイ３０と同様のハードウェアにより実現することができる。
無線基地局装置１０、セキュリティゲートウェイ３０、パケット伝送装置１、および対向装置４は、たとえばコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより、実施の形態の処理機能を実現する。無線基地局装置１０、セキュリティゲートウェイ３０、パケット伝送装置１、および対向装置４に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。たとえば、無線基地局装置１０、セキュリティゲートウェイ３０、パケット伝送装置１、および対向装置４に実行させるプログラムをＲＯＭ１０２に格納しておくことができる。プロセッサ１０１は、ＲＯＭ１０２内のプログラムの少なくとも一部をＲＡＭ１０３にロードし、プログラムを実行する。また無線基地局装置１０、セキュリティゲートウェイ３０、パケット伝送装置１、および対向装置４に実行させるプログラムを、図示しない光ディスク、メモリ装置、メモリカードなどの可搬型記録媒体に記録しておくこともできる。光ディスクには、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などがある。メモリ装置は、インタフェース１０４あるいは図示しない機器接続インタフェースとの通信機能を搭載した記録媒体である。たとえば、メモリ装置は、メモリリーダライタによりメモリカードへのデータの書き込み、またはメモリカードからのデータの読み出しをおこなうことができる。メモリカードは、カード型の記録媒体である。
【００４６】
可搬型記録媒体に格納されたプログラムは、たとえばプロセッサ１０１からの制御により、ＲＯＭ１０２にインストールされた後、実行可能となる。またプロセッサ１０１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。
【００４７】
次に、無線基地局装置１０が実行するパケット受信処理について図７を用いて説明する。図７は、第２の実施形態のパケット受信処理のフローチャートを示す図である。
パケット受信処理は、無線基地局装置１０がＩＰｓｅｃパケットを受信して制御部１００が実行する処理である。
【００４８】
［ステップＳ１１］制御部１００は、受信したＩＰｓｅｃパケットのシーケンス番号と、最大シーケンス番号とを比較する。制御部１００は、受信したＩＰｓｅｃパケットのシーケンス番号が、最大シーケンス番号を超えていない場合にステップＳ１２にすすみ、最大シーケンス番号を超えている場合にステップＳ１６にすすむ。最大シーケンス番号は、正当に受信したＩＰｓｅｃパケットの最大のシーケンス番号であり、アンチリプレイウインドウの先頭（最新）に位置するシーケンス番号である。
【００４９】
ここで、アンチリプレイウインドウの一例を図８に示す。図８は、第２の実施形態のアンチリプレイウインドウの一例を示す図である。図示するアンチリプレイウインドウは、最大シーケンス番号「１３」でウインドウサイズが「７」である。
【００５０】
なお、制御部１００によるステップＳ１１の実行は、ＩＰｓｅｃ最大シーケンス番号比較部１５の一機能を実現する。
［ステップＳ１２］制御部１００は、アンチリプレイ制御によるシーケンス番号のウインドウ内判定をおこなう。制御部１００は、受信したＩＰｓｅｃパケットのシーケンス番号がアンチリプレイウインドウの範囲内にあるか否かを判定する。制御部１００は、受信したＩＰｓｅｃパケットのシーケンス番号がアンチリプレイウインドウの範囲内にある場合にステップＳ１３にすすむ。一方、制御部１００は、受信したＩＰｓｅｃパケットのシーケンス番号がアンチリプレイウインドウの範囲外にある場合、すなわち、アンチリプレイウインドウより古いシーケンス番号である場合にステップＳ１５にすすむ。たとえば、図８に示すシーケンス番号「６」以下は、アンチリプレイウインドウより古いシーケンス番号であり、廃棄対象である。
【００５１】
なお、制御部１００によるステップＳ１２の実行は、ＩＰｓｅｃ最大シーケンス番号アンチリプレイウインドウ内判定部２２の一機能を実現する。
［ステップＳ１３］制御部１００は、アンチリプレイ制御によるシーケンス番号の重複受信判定をおこなう。制御部１００は、アンチリプレイウインドウのビットマップを参照して、受信したＩＰｓｅｃパケットのシーケンス番号がすでに受信済みであるか否かを判定する。制御部１００は、受信したＩＰｓｅｃパケットのシーケンス番号がすでに受信済みでない場合にステップＳ１４にすすむ。一方、制御部１００は、受信したＩＰｓｅｃパケットのシーケンス番号がすでに受信済みである場合にステップＳ１５にすすむ。たとえば、図８に示すシーケンス番号「７」以上「１３」以下は、重複受信判定の対象（アンチリプレイ確認対象）である。
【００５２】
なお、制御部１００によるステップＳ１３の実行は、ＩＰｓｅｃ最大シーケンス番号受信重複判定部２１の一機能を実現する。
［ステップＳ１４］制御部１００は、受信したＩＰｓｅｃパケットを有効（正当）なものとしてパケット処理をおこなう。パケット処理は、たとえば、ＩＰｓｅｃパケットの復号化である。この場合、制御部１００によるステップＳ１４の実行は、ＩＰパケット復号化部２４の一機能を実現する。制御部１００は、パケット処理を実行後にパケット受信処理を終了する。
【００５３】
［ステップＳ１５］制御部１００は、受信したＩＰｓｅｃパケットを無効（不当）なものとして破棄して、パケット受信処理を終了する。なお、制御部１００によるステップＳ１５の実行は、ＩＰｓｅｃパケット破棄処理部２３の一機能を実現する。
【００５４】
［ステップＳ１６］制御部１００は、受信可能最大シーケンス番号設定処理を実行する。受信可能最大シーケンス番号設定処理は、セキュリティゲートウェイ３０に確認することなしに、受信したＩＰｓｅｃパケットを有効なものとすることができるシーケンス番号の最大値を設定する処理である。たとえば、図８に示す受信可能閾値Ｅが設定されているとき、シーケンス番号「１４」から「１８」は、セキュリティゲートウェイ３０に確認することなしに、受信したＩＰｓｅｃパケットを有効なものとすることができる。受信可能最大シーケンス番号設定処理の詳細は、図１１を用いて後で説明する。
【００５５】
なお、制御部１００によるステップＳ１６の実行は、受信可能最大シーケンス番号設定部１２の一機能を実現する。
［ステップＳ１７］制御部１００は、受信したＩＰｓｅｃパケットのシーケンス番号と、受信可能最大シーケンス番号とを比較する。制御部１００は、受信したＩＰｓｅｃパケットのシーケンス番号が、受信可能最大シーケンス番号を超えていない場合にステップＳ１８にすすみ、受信可能最大シーケンス番号を超えている場合にステップＳ１９にすすむ。
【００５６】
なお、制御部１００によるステップＳ１７の実行は、ＩＰｓｅｃ最大シーケンス番号比較部１５の一機能を実現する。
［ステップＳ１８］制御部１００は、アンチリプレイウインドウの最大シーケンス番号を、受信したＩＰｓｅｃパケットのシーケンス番号で更新し、ステップＳ１４にすすむ。なお、制御部１００によるステップＳ１８の実行は、ＩＰｓｅｃ最大シーケンス番号更新部２０の一機能を実現する。
【００５７】
［ステップＳ１９］制御部１００は、最大シーケンス番号を確認する確認要求パケットをセキュリティゲートウェイ３０に送信し、パケット受信処理を終了する。たとえば、図８に示す受信可能閾値Ｅが設定されているとき、シーケンス番号「１９」以上は、セキュリティゲートウェイ３０に確認することなしに、受信したＩＰｓｅｃパケットを有効なものとすることができない。
【００５８】
ここで、最大シーケンス番号の確認対象となったＩＰｓｅｃパケットは、ステップＳ１４におけるパケット処理、あるいはステップＳ１５におけるパケット破棄のいずれも実行されずに、被疑パケットとして処分保留状態となる。
【００５９】
なお、制御部１００によるステップＳ１９の実行は、最大シーケンス番号確認要求パケット送信部１６の一機能を実現する。
次に、セキュリティゲートウェイ３０が実行する最大シーケンス番号確認処理について図９を用いて説明する。図９は、第２の実施形態の最大シーケンス番号確認処理のフローチャートを示す図である。
【００６０】
最大シーケンス番号確認処理は、無線基地局装置１０がパケット受信処理のステップＳ１９で送信した確認要求パケットを受信してセキュリティゲートウェイ３０が実行する処理である。
【００６１】
［ステップＳ２１］制御部１２０は、確認要求パケットの受信にもとづいて無線基地局装置１０宛てのＩＰｓｅｃパケットの最大シーケンス番号を取得する。なお、最大シーケンス番号は、ＩＰｓｅｃ最大シーケンス番号更新部３３によって更新、管理されている。制御部１２０によるステップＳ１９の実行は、最大シーケンス番号確認要求パケット受信部３５の一機能を実現する。
【００６２】
［ステップＳ２２］制御部１２０は、取得した最大シーケンス番号を付した応答パケットを生成し、確認要求パケットを送信してきた無線基地局装置１０宛てに送信し、最大シーケンス番号確認処理を終了する。
【００６３】
なお、制御部１２０によるステップＳ２２の実行は、最大シーケンス番号確認応答パケット送信部３６の一機能を実現する。
次に、無線基地局装置１０が実行する確認パケット応答受信処理について図１０を用いて説明する。図１０は、第２の実施形態の確認パケット応答受信処理のフローチャートを示す図である。
【００６４】
確認パケット応答受信処理は、ステップＳ１９で処分保留状態となった被疑パケットの処分を決定する処理である。確認パケット応答受信処理は、無線基地局装置１０が応答パケットを受信して制御部１００が実行する処理である。
【００６５】
［ステップＳ３１］制御部１００は、セキュリティゲートウェイ３０から受信した最大シーケンス番号が、確認中のＩＰｓｅｃパケット（被疑パケット）のシーケンス番号以上か否かを判定する。制御部１００は、最大シーケンス番号が被疑パケットのシーケンス番号以上である場合にステップＳ３２にすすみ、最大シーケンス番号が被疑パケットのシーケンス番号以上でない場合にステップＳ３４にすすむ。
【００６６】
なお、制御部１００によるステップＳ３１の実行は、確認中ＩＰｓｅｃパケットシーケンス番号比較部１９の一機能を実現する。
［ステップＳ３２］制御部１００は、アンチリプレイウインドウの最大シーケンス番号を更新する。すなわち、制御部１００は、被疑パケットのシーケンス番号がセキュリティゲートウェイ３０から受信した最大シーケンス番号以下であることから、被疑パケットが正当なパケットであると判定することができる。
【００６７】
なお、制御部１００によるステップＳ３２の実行は、ＩＰｓｅｃ最大シーケンス番号更新部２０の一機能を実現する。
［ステップＳ３３］制御部１００は、受信したＩＰｓｅｃパケットを有効（正当）なものとしてパケット処理をおこなう。パケット処理は、たとえば、ＩＰｓｅｃパケットの復号化である。この場合、制御部１００によるステップＳ３３の実行は、ＩＰパケット復号化部２４の一機能を実現する。制御部１００は、パケット処理を実行後に確認パケット応答受信処理を終了する。
【００６８】
［ステップＳ３４］制御部１００は、受信したＩＰｓｅｃパケットを無効（不当）なものとして破棄して、確認パケット応答受信処理を終了する。なお、制御部１００によるステップＳ３４の実行は、ＩＰｓｅｃパケット破棄処理部２３の一機能を実現する。
【００６９】
これにより、無線基地局装置１０は、最大シーケンス番号を更新する被疑パケットの確認をセキュリティゲートウェイ３０に対しておこなうので、最大シーケンス番号を改竄する攻撃を検出してこれに対抗することができる。これにより、無線基地局装置１０は、最大シーケンス番号を改竄する攻撃による通信不可な状態の惹起や、無線基地局装置１０を含むパケット伝送装置やパケット伝送システムのサービスの継続に対する支障を回避できる。したがって、無線基地局装置１０は、サービス断を防止して信頼性の高い通信ネットワークを提供することができる。
【００７０】
次に、無線基地局装置１０が実行する受信可能最大シーケンス番号設定処理について図１１を用いて説明する。図１１は、第２の実施形態の受信可能最大シーケンス番号設定処理のフローチャートを示す図である。
【００７１】
受信可能最大シーケンス番号設定処理は、使用する通信回線のトラフィック情報にもとづいて、受信可能最大シーケンス番号を設定する処理である。受信可能最大シーケンス番号設定処理は、無線基地局装置１０がパケット受信処理のステップＳ１６において実行する処理である。
【００７２】
［ステップＳ４１］制御部１００は、使用回線トラフィック情報の設定を取得する。使用回線トラフィック情報は、使用する通信回線の複数種類のトラフィック情報のうちから利用対象として設定されるトラフィック情報である。
【００７３】
たとえば、トラフィック情報は、送信レート（Ｍｂｐｓ）、受信レート（Ｍｂｐｓ）などがあり、いずれかがあらかじめ設定される。
［ステップＳ４２］制御部１００は、ステップＳ４１で取得した設定に応じた使用回線トラフィック情報を取得する。使用回線トラフィック情報は、使用回線トラフィック情報算出部１１により算出される。制御部１００は、使用回線トラフィック情報算出部１１が算出する使用回線トラフィック情報を取得する。たとえば、使用回線トラフィック情報の設定が「受信レート（Ｍｂｐｓ）」であるとき、制御部１００は、使用回線の受信レートを取得する。
【００７４】
［ステップＳ４３］制御部１００は、受信可能閾値テーブルから受信可能閾値を取得する。ここで、受信可能閾値テーブルについて図１２を用いて説明する。図１２は、第２の実施形態の受信可能閾値テーブルの一例を示す図である。
【００７５】
受信可能閾値テーブル２００は、大きさの異なる受信可能閾値を第１列（左側）に昇順に配置し、受信可能閾値ごとのトラフィック情報を第２列以降に配置する。受信可能閾値は、上から「受信可能閾値Ａ」、「受信可能閾値Ｂ」、「受信可能閾値Ｃ」、・・・、「受信可能閾値Ｚ」がある。トラフィック情報は、「送信レート」、「受信レート」、・・・がある。
【００７６】
各トラフィック情報は、受信可能閾値に対応する閾値を有する。たとえば、「受信レート」は、「受信可能閾値Ａ」に対応する閾値として「〜１００Ｍｂｐｓ」を有し、以下、「〜２００Ｍｂｐｓ」、「〜３００Ｍｂｐｓ」、・・・、「〜１０００Ｍｂｐｓ」を有する。
【００７７】
受信可能閾値テーブル２００によれば、使用回線トラフィック情報の設定が「受信レート（Ｍｂｐｓ）」であるとき、取得した受信レートが「２５０Ｍｂｐｓ」であれば、制御部１００は、受信可能閾値として「受信可能閾値Ｃ」を取得する。
【００７８】
再び、受信可能最大シーケンス番号設定処理の説明に戻る。
［ステップＳ４４］制御部１００は、受信可能閾値に応じた受信可能最大シーケンス番号を設定する。たとえば、制御部１００は、受信可能閾値として「受信可能閾値Ｃ」を取得した場合、最大シーケンス番号に「受信可能閾値Ｃ」を加えた値が受信可能最大シーケンス番号となる。図８を用いた具体例を示すと、「受信可能閾値Ｃ」は「３」であり、最大シーケンス番号が「１３」であることから、受信可能最大シーケンス番号は「１６（＝１３＋３）」になる。
【００７９】
制御部１００は、受信可能最大シーケンス番号を設定した後、受信可能最大シーケンス番号設定処理を終了する。なお、制御部１００によるステップＳ４４の実行は、受信可能最大シーケンス番号設定部１２の一機能を実現する。
【００８０】
このように、無線基地局装置１０は、最大シーケンス番号を超える被疑パケットを受信した場合に通信回線のトラフィックに応じた範囲でセキュリティゲートウェイ３０への確認を不要にすることができる。これにより、無線基地局装置１０における被疑パケットの確認に要する負荷の軽減を図りながら、無線基地局装置１０を含むパケット伝送装置やパケット伝送システムのサービスの継続に対する支障を回避できる。したがって、無線基地局装置１０は、サービス断を防止して信頼性の高い通信ネットワークを提供することができる。
【００８１】
次に、最大シーケンス番号を改竄する攻撃例と、最大シーケンス番号を改竄する攻撃に対する防御例について図１３と図１４を用いて説明する。まず、最大シーケンス番号を改竄する攻撃例について図１３を用いて説明する。図１３は、最大シーケンス番号を改竄する攻撃の一例を示すシーケンス図である。
【００８２】
セキュリティゲートウェイ３０と無線基地局装置１０は、ＩＫＥによる通常鍵交換をおこなう（タイミングｔ１，ｔ２）。これにより、セキュリティゲートウェイ３０と無線基地局装置１０の間で、ＩＰｓｅｃによる通信区間４２が確立する。
【００８３】
コアネットワーク４０は、セキュリティゲートウェイ３０にユーザデータを送信する（タイミングｔ３）。セキュリティゲートウェイ３０は、コアネットワーク４０から受信したユーザデータから、ＩＰｓｅｃパケット（ＩＰｓｅｃユーザデータ）を生成し、無線基地局装置１０に向けて送信する（タイミングｔ４）。同様に、セキュリティゲートウェイ３０は、コアネットワーク４０から受信したユーザデータ（タイミングｔ５，ｔ７）を、ＩＰｓｅｃユーザデータとして無線基地局装置１０に送信する（タイミングｔ６，ｔ８）。タイミングｔ４のＩＰｓｅｃユーザデータは、シーケンス番号が「１」、タイミングｔ６のＩＰｓｅｃユーザデータは、シーケンス番号が「２」、タイミングｔ８のＩＰｓｅｃユーザデータは、シーケンス番号が「３」である。
【００８４】
ここで、シーケンス番号が「２」のＩＰｓｅｃユーザデータの攻撃があった場合（タイミングｔ９）、シーケンス番号が「２」のＩＰｓｅｃユーザデータは、すでにタイミングｔ６で受信済みなので、アンチリプレイ機能により異常検出され破棄される。セキュリティゲートウェイ３０は、コアネットワーク４０から受信したユーザデータ（タイミングｔ１０）を、ＩＰｓｅｃユーザデータとして無線基地局装置１０に送信する（タイミングｔ１１）。シーケンス番号「４」のＩＰｓｅｃユーザデータは、無線基地局装置１０が未だ受信済みでないので正常に受信される。
【００８５】
さらに、シーケンス番号が「６５５３５」のＩＰｓｅｃユーザデータの攻撃があった場合（タイミングｔ１２）、従来であれば、シーケンス番号「６５５３５」のＩＰｓｅｃユーザデータは、無線基地局装置１０が未だ受信済みでないので正常に受信される。
【００８６】
以降、セキュリティゲートウェイ３０は、コアネットワーク４０から受信したユーザデータ（タイミングｔ１３，ｔ１５）を、ＩＰｓｅｃユーザデータとして無線基地局装置１０に送信する（タイミングｔ１４，ｔ１６）。しかしながら、シーケンス番号「５」，「６」のＩＰｓｅｃユーザデータは、シーケンス番号「６５５３５」のＩＰｓｅｃユーザデータによりアンチリプレイウインドウが大きくシフトしているため、アンチリプレイウインドウより古いシーケンス番号であるとして異常破棄される。これが最大シーケンス番号を改竄する攻撃例である。
【００８７】
次に、本技術を適用した場合、すなわち、最大シーケンス番号を改竄する攻撃に対する防御例について図１４を用いて説明する。図１４は、最大シーケンス番号を改竄する攻撃に対する防御の一例を示すシーケンス図である。タイミングｔ１１までは、図１３と同様であるので、タイミングｔ１１までの説明を省略してタイミングｔ１２以降について説明する。
【００８８】
無線基地局装置１０は、タイミングｔ１２でシーケンス番号「６５５３５」のＩＰｓｅｃユーザデータを受信する。しかしながら、無線基地局装置１０は、シーケンス番号「６５５３５」が受信可能最大シーケンス番号を超えていることから、シーケンス番号「６５５３５」のＩＰｓｅｃユーザデータを、受信確認を要する被疑パケットとする。なお、このときの受信可能最大シーケンス番号は、シーケンス番号「４」までのＩＰｓｅｃユーザデータを受信していることから最大シーケンス番号が「４」であり、これに受信可能閾値を加えた値である。
【００８９】
無線基地局装置１０は、セキュリティゲートウェイ３０に最大シーケンス番号を確認する確認要求パケットを送信する（タイミングｔ２１）。セキュリティゲートウェイ３０は、無線基地局装置１０からの確認要求パケットを受けて、セキュリティゲートウェイ３０が管理する最大シーケンス番号を確認応答する応答パケットを無線基地局装置１０に送信する（タイミングｔ２２）。セキュリティゲートウェイ３０が送信する応答パケットは、最大シーケンス番号が「４」であることを示す。これにより、無線基地局装置１０は、被疑パケットのシーケンス番号「６５５３５」とセキュリティゲートウェイ３０から受信した最大シーケンス番号「４」とを比較する。無線基地局装置１０は、被疑パケットのシーケンス番号「６５５３５」が、セキュリティゲートウェイ３０から受信した最大シーケンス番号「４」を超えていることから被疑パケットを破棄する。このようにして、無線基地局装置１０は、最大シーケンス番号を改竄する攻撃に対する防御をおこなうことができる。
【００９０】
無線基地局装置１０は、被疑パケットを破棄することにより、アンチリプレイウインドウが不当にシフトすることを防止できる。以降、セキュリティゲートウェイ３０は、コアネットワーク４０から受信したユーザデータ（タイミングｔ２３，ｔ２５）を、ＩＰｓｅｃユーザデータとして無線基地局装置１０に送信する（タイミングｔ２４，ｔ２６）。無線基地局装置１０は、最大シーケンス番号を改竄する攻撃後も、シーケンス番号「５」，「６」のＩＰｓｅｃユーザデータを正常に受信することができる。
【００９１】
このように、無線基地局装置１０は、最大シーケンス番号を超える被疑パケットを受信しても、無線基地局装置１０を含むパケット伝送装置やパケット伝送システムのサービスの継続に対する支障を回避できる。したがって、無線基地局装置１０は、サービス断を防止して信頼性の高い通信ネットワークを提供することができる。
【００９２】
なお、上記の処理機能は、コンピュータによって実現することができる。その場合、パケット伝送装置１、対向装置４、無線基地局装置１０、およびセキュリティゲートウェイ３０が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、磁気記憶装置、光ディスク、光磁気記録媒体、半導体メモリなどがある。磁気記憶装置には、ハードディスク装置（ＨＤＤ）、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＤＶＤ、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ／ＲＷなどがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。
【００９３】
プログラムを流通させる場合には、たとえば、そのプログラムが記録されたＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体が販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。
【００９４】
プログラムを実行するコンピュータは、たとえば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、ネットワークを介して接続されたサーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。
【００９５】
また、上記の処理機能の少なくとも一部を、ＤＳＰ、ＡＳＩＣ、ＰＬＤなどの電子回路で実現することもできる。
【符号の説明】
【００９６】
１  パケット伝送装置
２  確認要求送信部
３  アンチリプレイ制御部
４  対向装置
５，５ａ  アンチリプレイウインドウ
６，６ａ  被疑パケット
９  無線アクセスシステム
１０  無線基地局装置
１１  使用回線トラフィック情報算出部
１２  受信可能最大シーケンス番号設定部
１３  ＩＰｓｅｃパケット受信部
１４  ＩＰｓｅｃ認証キー判定部
１５  ＩＰｓｅｃ最大シーケンス番号比較部
１６  最大シーケンス番号確認要求パケット送信部
１７  ＩＰパケット送信部（ＵＬ）
１８  最大シーケンス番号確認パケット応答部
１９  確認中ＩＰｓｅｃパケットシーケンス番号比較部
２０  ＩＰｓｅｃ最大シーケンス番号更新部
２１  ＩＰｓｅｃ最大シーケンス番号受信重複判定部
２２  ＩＰｓｅｃ最大シーケンス番号アンチリプレイウインドウ内判定部
２３  ＩＰｓｅｃパケット破棄処理部
２４  ＩＰパケット復号化部
２５  ＩＰパケット送信部（ＤＬ）
３０  セキュリティゲートウェイ
３１  ＩＰパケット受信部
３２  ＩＰｓｅｃ暗号化部
３３  ＩＰｓｅｃ最大シーケンス番号更新部
３４  ＩＰｓｅｃパケット送信部
３５  最大シーケンス番号確認要求パケット受信部
３６  最大シーケンス番号確認応答パケット送信部
４０  コアネットワーク
４１  通信装置
４２，４３  通信区間
１００，１２０  制御部
１０１  プロセッサ
１０２  ＲＯＭ
１０３  ＲＡＭ
１０４  インタフェース
１１０  ＲＦ
１１１  ＢＢ
１１２  ＨＷＹ
１１３  ＳＷ
１１４，１１５，１２１，１２２  ＰＨＹ
２００  受信可能閾値テーブル
【図１】
2015115765.tif 000003
【図２】
2015115765.tif 000004
【図３】
2015115765.tif 000005
【図４】
2015115765.tif 000006
【図５】
2015115765.tif 000007
【図６】
2015115765.tif 000008
【図７】
2015115765.tif 000009
【図８】
2015115765.tif 000010
【図９】
2015115765.tif 000011
【図１０】
2015115765.tif 000012
【図１１】
2015115765.tif 000013
【図１２】
2015115765.tif 000014
【図１３】
2015115765.tif 000015
【図１４】
2015115765.tif 000016