(57)【要約】【課題】セキュリティプロトコル制御において、サーバの管理運営を不要し、認証や暗号鍵などのパラメータ生成といった通信開始時の設定処理の負荷を軽減できるようにする。【解決手段】第１のセキュリティプロトコル（ＩＰｓｅｃ）が通信を開始する時、既に確立したレイヤの異なる別の第２のセキュリティプロトコル（ＳＳＬ）の認証情報、暗号鍵情報などに基づいて、第１のセキュリティプロトコル（ＩＰｓｅｃ）の認証情報、暗号鍵情報などを生成し、第１のセキュリティプロトコル（ＩＰｓｅｃ）の通信を開始する。【選択図】図４
2008099210.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して、通信相手と通信を行う通信手段と、
ＳＳＬ及びＩＰｓｅｃに従って、確立済みであるＳＳＬセッションの設定情報から、ＳＡを確立していないＩＰｓｅｃの設定情報を生成する設定情報生成手段とを有することを特徴とするセキュリティプロトコル制御装置。
【請求項２】
前記ＳＳＬが通信確立しているか否かを判断する確立判断手段と、
前記ＳＳＬのセキュリティプロトコルを通信確立する通信確立手段と、
前記ＳＳＬの設定情報及び装置内の制御情報に応じて、前記ＩＰｓｅｃの設定情報を生成するか否かの判断を行う生成判断手段とを有することを特徴とする請求項１に記載のセキュリティプロトコル制御装置。
【請求項３】
前記ＩＰｓｅｃの設定情報として、ユーザにより入力されたた情報及びユーザの身体的特徴から生成された情報により補完する補完手段を有することを特徴とする請求項１に記載のセキュリティプロトコル制御装置。
【請求項４】
複数ある通信確立済みとなっている第１のセキュリティプロトコルの設定情報から、異なるレイヤで未だ通信確立されていない第２のセキュリティプロトコルの設定情報を生成する設定情報生成手段と、
ネットワークを介して、通信相手と前記第２のセキュリティプロトコルで通信を行う通信手段を有することを特徴とするセキュリティプロトコル制御装置。
【請求項５】
前記第１のセキュリティプロトコルが通信確立しているか否かを判断する確立判断手段と、
前記第１のセキュリティプロトコルを通信確立とする通信確立手段と、
前記第１のセキュリティプロトコルの設定情報及び装置内の制御情報に応じて、前記第２のセキュリティプロトコルの設定情報を生成するか否かの判断を行う生成判断手段とを有することを特徴とする請求項４に記載のセキュリティプロトコル制御装置。
【請求項６】
前記セキュリティプロトコルの設定情報として、ユーザにより入力された情報及びユーザの身体的特徴から生成された情報により補完する補完手段を有することを特徴とする請求項４に記載のセキュリティプロトコル制御装置。
【請求項７】
ネットワークを介して、通信相手と通信を行う通信ステップと、
ＳＳＬ及びＩＰｓｅｃに従って、確立済みであるＳＳＬセッションの設定情報から、ＳＡを確立していないＩＰｓｅｃの設定情報を生成する設定情報生成ステップとを有することを特徴とするセキュリティプロトコル制御方法。
【請求項８】
前記ＳＳＬが通信確立しているか否かを判断する確立判断ステップと、
前記ＳＳＬのセキュリティプロトコルを通信確立する通信確立ステップと、
前記ＳＳＬの設定情報及び装置内の制御情報に応じて、前記ＩＰｓｅｃの設定情報を生成するか否かの判断を行う生成判断ステップとを有することを特徴とする請求項７に記載のセキュリティプロトコル制御方法。
【請求項９】
前記ＩＰｓｅｃの設定情報として、ユーザにより入力された情報及びユーザの身体的特徴から生成された情報により補完する補完ステップを有することを特徴とする請求項７に記載のセキュリティプロトコル制御方法。
【請求項１０】
複数ある通信確立済みとなっている第１のセキュリティプロトコルの設定情報から、異なるレイヤで未だ通信確立されていない第２のセキュリティプロトコルの設定情報を生成する設定情報生成ステップと、
ネットワークを介して、通信相手と前記第２のセキュリティプロトコルで通信を行う通信ステップとを有することを特徴とするセキュリティプロトコル制御方法。
【請求項１１】
前記第１のセキュリティプロトコルが通信確立しているか否かを判断する確立判断ステップと、
前記第１のセキュリティプロトコルを通信確立とする通信確立ステップと、
前記第１のセキュリティプロトコルの設定情報及び装置内の制御情報に応じて、前記第２のセキュリティプロトコルの設定情報を生成するか否かの判断を行う生成判断ステップとを有することを特徴とする請求項１０に記載のセキュリティプロトコル制御方法。
【請求項１２】
前記セキュリティプロトコルの設定情報として、ユーザにより入力された情報及びユーザの身体的特徴から生成された情報により補完する補完ステップを有することを特徴とする請求項１０に記載のセキュリティプロトコル制御方法。
【請求項１３】
請求項７または１０に記載の方法の各ステップをコンピュータにて実施させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はセキュリティプロトコル制御装置、セキュリティプロトコル制御方法及びプログラムに関し、特に、セキュリティプロトコル制御において通信を行うために用いて好適な技術に関する。
【背景技術】
【０００２】
昨今、インターネット技術におけるセキュリティに注目が集まっている。インターネット技術において、フィジカルレイヤ、データリンクレイヤ、ネットワークレイヤ、トランスポートレイヤ、セッションレイヤ、プレゼンテーションレイヤ、アプリケーションレイヤといったＯＳＩ７階層モデルがある。そして、これらの階層モデルのレイヤ毎のセキュリティプロトコルが提案されている。
【０００３】
ここでは、ネットワークレイヤ及びセッションレイヤの例を挙げ、説明する。まず、ネットワークレイヤにおけるセキュリティプロトコルについて言及する。ＩＰｖ６（Internet Protocol Version 6）プロトコルを使用した通信を実現するための通信規格が、ＲＦＣ（Request for Comments）２４６０として規定されている。ＩＰｖ６では、ＩＰｓｅｃの実装が必須になっている。ＩＰｓｅｃでは、データの認証、暗号化に共通鍵を使用するので、端末間で事前に暗号鍵を共有しておく必要がある。また、ＩＰｓｅｃを利用するためには、パラメータとしてＩＰアドレスが必要となる。
【０００４】
このように、ＩＰｓｅｃでは様々なパラメータが必要となり、ＩＰｓｅｃにおけるパラメータ設定は、専門知識が必要となり容易でない。そこで、端末間における共通鍵の折衝と管理を行うプロトコルとしてＩＫＥ（Internet Key Exchange）がある。ＩＫＥの処理は非常に煩雑であり、小型組み込み機器などへの適用が容易でない。
【０００５】
次に、セッションレイヤにおけるセキュリティプロトコルについて言及する。多くのＷｅｂブラウザは、Ｗｅｂサーバに対してセキュリティを必要とする通信を行う際に、多くの場合ＳＳＬを利用している。また、ＳＳＬはＩＰに依存しないので、移動する端末や不特定の端末とサーバ間のセキュリティを必要とする通信に適する。このため、ＩＫＥと比較して、ＳＳＬの処理が煩雑でないため、小型組み込み機器などへの適用が容易である。
【０００６】
そこで、煩雑な処理を伴うセキュリティプロトコルを制御する方法として様々な方式が提案されている。例えば、特許文献１には、様々なセキュリティプロトコルの鍵交換サーバを利用して行う方法が提案されている。また、特許文献２には、ＳＳＬによる認証を行った後にＩＫＥによる鍵交換を行い、ＩＰｓｅｃを適用する方法が提案されている。
【０００７】
【特許文献１】特開２００３−１７９５９２号公報
【特許文献２】特開２００４−４８４５８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、特許文献１に記載の方法では、鍵交換を行う為の鍵交換サーバが必要となり、サーバの管理運営など多くの問題が発生する。また、サーバに対する認証やサーバまでの通信路におけるセキュリティなども必要となり、コストが大きい。また、特許文献２に記載の方法では、ＩＫＥが必要となり、小型組み込み機器への適用が不向きである。さらに、ポリシーサーバと呼ばれるポリシーを管理するサーバが必要となり、サーバの管理運営などの多くの問題が発生する。
【０００９】
サーバの設置によるサーバ運用コストやネットワークトポロジーの制約などは、セキュリティプロトコルを利用する際の大きな障害となる。また、通信開始時の設定処理が煩雑であるセキュリティプロトコルは、資源の乏しい組み込み機器への適用が困難である。
【００１０】
本発明は前述の問題点に鑑み、セキュリティプロトコル制御において、サーバの管理運営を不要し、認証や暗号鍵などのパラメータ生成といった通信開始時の設定処理の負荷を軽減できるようにすることを目的としている。
【課題を解決するための手段】
【００１１】
本発明のセキュリティプロトコル制御装置は、ネットワークを介して、通信相手と通信を行う通信手段と、ＳＳＬ及びＩＰｓｅｃに従って、確立済みであるＳＳＬセッションの設定情報から、ＳＡを確立していないＩＰｓｅｃの設定情報を生成する設定情報生成手段とを有することを特徴とする。
また、本発明のセキュリティプロトコル制御装置の他の特徴とするところは、複数ある通信確立済みとなっている第１のセキュリティプロトコルの設定情報から、異なるレイヤで未だ通信確立されていない第２のセキュリティプロトコルの設定情報を生成する設定情報生成手段と、ネットワークを介して、通信相手と前記第２のセキュリティプロトコルで通信を行う通信手段を有することを特徴とする。
【００１２】
本発明のセキュリティプロトコル制御方法は、ネットワークを介して、通信相手と通信を行う通信ステップと、ＳＳＬ及びＩＰｓｅｃに従って、確立済みであるＳＳＬセッションの設定情報から、ＳＡを確立していないＩＰｓｅｃの設定情報を生成する設定情報生成ステップとを有することを特徴とする。
また、本発明のセキュリティプロトコル制御方法の他の特徴とするところは、複数ある通信確立済みとなっている第１のセキュリティプロトコルの設定情報から、異なるレイヤで未だ通信確立されていない第２のセキュリティプロトコルの設定情報を生成する設定情報生成ステップと、ネットワークを介して、通信相手と前記第２のセキュリティプロトコルで通信を行う通信ステップとを有することを特徴とする。
【００１３】
本発明のプログラムは、前記の何れかに記載の方法の各ステップをコンピュータにて実施させることを特徴とする。
【発明の効果】
【００１４】
本発明によれば、確立済みであるＳＳＬセッションの設定情報から、ＳＡを確立していないＩＰｓｅｃの設定情報を生成することにより、ＩＰｓｅｃ開始時の煩雑な処理を低減できる。また、ＳＳＬが通信確立されていない場合においても、ＩＰｓｅｃの設定情報を生成することができる。これにより、ＩＰｓｅｃの設定情報を生成する処理やサーバが不必要となる。
【００１５】
また、本発明の他の特徴によれば、ＳＳＬセッション情報から、ＩＰｓｅｃの設定情報として、十分な情報が得られなかった場合、ユーザの入力した情報およびユーザの身体的特徴から生成された情報により、ＩＰｓｅｃの設定情報を補完することができる。これにより、ＩＰｓｅｃの設定情報を生成する処理が簡易になる。
【００１６】
また、本発明のその他の特徴によれば、複数の通信確立済みとなっている第１のセキュリティプロトコルの設定情報から、異なるレイヤで未だ通信確立されていない第２のセキュリティプロトコルの設定情報を生成する。これにより、セキュリティプロトコル開始時の煩雑な処理を低減できる。また、第１のセキュリティプロトコルが通信確立されてない場合においても、第２のセキュリティプロトコルの設定情報を生成することができる。これにより、第２のセキュリティプロトコルの設定情報を生成する処理やサーバが不必要となる。
【００１７】
また、本発明のその他の特徴によれば、第１のセキュリティプロトコルの設定情報から、第２のセキュリティプロトコルの設定情報として、十分な情報が得られなかった場合、ユーザの入力した情報およびユーザの身体的特徴から生成された情報により、第２のセキュリティプロトコルの設定情報を補完することができる。これにより、第２のセキュリティプロトコルの設定情報を生成する処理が簡易になる。
【発明を実施するための最良の形態】
【００１８】
（第１の実施形態）
以下、本発明の実施形態について、図面を参照して詳細に説明する。
まず、図１を参照しながら、本実施形態におけるネットワーク構成について説明する。
図１において、１００はインターネットに代表するネットワークであり、ＩＰｖ４通信プロトコルやＩＰｖ６通信プロトコルに代表するネットワークレイヤの通信プロトコルを利用した通信が可能である。
【００１９】
１０１はセキュリティプロトコル制御装置であり、ネットワーク１００に接続し、ネットワークレイヤの通信プロトコルを利用した通信が可能である。ＩＰｓｅｃ、ＳＳＬ、ＴＬＳに代表されるセキュリティプロトコルにより、セキュリティプロトコル制御装置１０２と通信内容が暗号化された暗号通信や通信内容の完全性が保たれた通信等を行うことができる。
【００２０】
１０２はセキュリティプロトコル制御装置であり、ネットワーク１００に接続し、ネットワークレイヤの通信プロトコルを利用した通信が可能である。ＩＰｓｅｃ、ＳＳＬ、ＴＬＳに代表するセキュリティプロトコルにより、セキュリティプロトコル制御装置１０１と通信内容が暗号化された暗号通信や通信内容の完全性が保たれた通信等を行うことができる。
【００２１】
セキュリティプロトコル制御装置１０１、１０２の構成はセキュリティプロトコルによって異なり、ＩＰｓｅｃの場合では同一の機能となるが、ＳＳＬの場合では、片方がサーバ機能を有し、もう一方がクライアントの機能を有する。なお、図１において、ネットワーク１００には、セキュリティプロトコル制御装置１０１とセキュリティプロトコル制御装置１０２とが１台ずつ接続されているが、これに限らず、セキュリティプロトコル制御装置がそれぞれ複数台接続されていてもよい。
【００２２】
図２は、本実施形態のセキュリティプロトコル制御装置１０１のハード構成例を示すブロック図である。セキュリティプロトコル制御装置は、ＰＣ（パーソナルコンピュータ）などのコンピュータシステム以外でも実施可能である。例えば、ワークステーション、ノートブックＰＣ、パームトップＰＣ、コンピュータを内蔵したテレビ等の家電製品、通信機能を有するゲーム機、携帯電話、ＰＨＳ等を含む他のセキュリティプロトコル制御装置と通信するための通信機能を有する端末でもよい。または、これらの組合せによっても実施可能である。
【００２３】
図２において、２０１は、コンピュータシステムの制御をつかさどる中央演算装置（以下ＣＰＵと記す）である。２０２は、ランダムアクセスメモリ（以下ＲＡＭと記す）であり、ＣＰＵ２０１の主メモリとして、及び実行プログラムの領域や該プログラムの実行エリアならびにデータエリアとして機能する。
【００２４】
２０３は、ＣＰＵ２０１の動作処理手順を記録しているリードオンリーメモリー（以下ＲＯＭと記す）である。ＲＯＭ２０３には、コンピュータシステムの機器制御を行うシステムプログラムである基本ソフト（ＯＳ）を記録したプログラムＲＯＭと、システムを稼動するために必要な情報などが記録されたデータＲＯＭとがある。ＲＯＭ２０３の代わりに後述のＨＤＤ２０９を用いる場合もある。
【００２５】
２０４は、ネットワークインターフェース（以下ＮＥＴＩＦと記す）であり、ネットワーク１００を介してコンピュータシステム間のデータ転送を行うための制御や接続状況の診断を行う。２０５は、ビデオＲＡＭ（以下ＶＲＡＭと記す）であり、コンピュータシステムの稼動状態を示す後述するＣＲＴ２０６の画面に表示される画像を展開し、その表示の制御を行う。２０６は、表示装置であって、例えば、ディスプレイである。以下ＣＲＴと記す。
【００２６】
２０７は、後述する外部入力装置２０８からの入力信号を制御するコントローラ（ＫＢＣ）である。２０８は、コンピュータシステムの利用者がコンピュータシステムに対して行う操作を受け付けるための外部入力装置であり、例えば、キーボード（ＫＢ）などである。２０９は、記憶装置を示し、例えば、ハードディスクドライブ（ＨＤＤ）などである。ＨＤＤ２０９は、アプリケーションプログラムや、画像情報などのデータ保存用に用いられる。本実施形態におけるアプリケーションプログラムとは、本実施形態を構成する各種セキュリティプロトコル制御手段を実行するソフトウェアプログラムなどである。
【００２７】
２１０は、外部入出力装置であって、例えばフロッピー（登録商標）ディスクドライブ（ＦＤＤ）、ＣＤ−ＲＯＭドライブなどのリムーバブル（登録商標）を入出力するものであり、上述したアプリケーションプログラムの媒体からの読み出しなどに用いられる。以下、ＦＤＤと記す。なお、ＨＤＤ２０９に格納するアプリケーションプログラムやデータをＦＤＤ２１０に格納して使用することも可能である。２００は、上述した各ユニット間の接続するための入出力バス（アドレスバス、データバス、及び制御バス）である。
【００２８】
図３は、本実施形態のセキュリティプロトコル制御装置１０２のハード構成例を示すブロック図である。図２に示したセキュリティプロトコル制御装置１０１のハード構成と同じであり、図３に示す３００〜３１０は図２の２００〜２１０と同じ構成である。よって、図３の説明は省略する。
【００２９】
図４は、本実施形態におけるセキュリティプロトコル制御装置１０１の内部モジュールの構成例を示すブロック図である。
図４において、４０１は、ＳＳＬ処理部であり、ＳＳＬを利用した認証や暗号化等の処理を行う。４０２は、ＳＳＬ変更部であり、ＳＳＬを利用するのに必要な各種パラメータの参照、抽出、挿入を行い、ＳＳＬの状態等を管理する。ここで、ＳＳＬにおけるセキュリティ情報とは、ＳＳＬにおける認証情報、暗号鍵情報、ＳＳＬを利用するためのパラメータ等である。
【００３０】
４０３は、情報変換部であり、ＳＳＬ変更部４０２からＳＳＬの各種パラメータ及びＳＳＬの状態等を取得し、後述するＩＰｓｅｃ変更部４０４からＩＰｓｅｃの各種パラメータ及びＩＰｓｅｃの状態等をそれぞれ取得する。そして、抽象化した情報への変換や、ＳＳＬやＩＰｓｅｃの各種パラメータに代表されるプロトコル依存の情報への変換を行う。さらに、ＳＳＬ変更部４０２へＳＳＬの各種パラメータとＳＳＬの状態等を挿入し、後述するＩＰｓｅｃ変更部４０４へＩＰｓｅｃの各種パラメータとＩＰｓｅｃの状態を挿入する。
【００３１】
４０４は、ＩＰｓｅｃ変更部であり、ＩＰｓｅｃを利用するのに必要な各種パラメータの参照、抽出及び挿入を行い、ＩＰｓｅｃの状態等の管理を行う。４０５は、ＩＰｓｅｃ処理部であり、ＩＰｓｅｃを利用した認証や暗号化等の処理を行う。ここで、ＩＰｓｅｃにおけるセキュリティ情報とは、ＩＰｓｅｃにおける認証情報、暗号鍵情報、ＩＰｓｅｃを利用するためのパラメータ等である。
【００３２】
図５は、本実施形態におけるセキュリティプロトコル制御装置１０２の内部モジュールの構成例を示すブロック図である。図４に示したセキュリティプロトコル制御装置１０１の構成と同じであり、図５に示す５０１〜５０５は図４の４０１〜４０５と同じ構成である。よって、図５の説明は省略する。
【００３３】
図６は、本実施形態における全体シーケンスを示すタイミングチャートである。本実施形態の基本処理手順について、図６を参照しながら説明し、その後、本実施形態の特徴的構成を説明する。
まず、ユーザによりセキュリティプロトコル制御装置１０１とセキュリティプロトコル制御装置１０２とをそれぞれネットワーク１００に接続される。そして、セキュリティプロトコル制御装置１０１がセキュリティプロトコル制御装置１０２に対して、ＳＳＬによる通信を開始する。６０１は、ＳＳＬの処理であり、ＳＳＬによる認証・暗号鍵などのパラメータ生成処理も行う。
【００３４】
次に、処理６０２において、セキュリティプロトコル制御装置１０１がセキュリティプロトコル制御装置１０２に対して、ＩＰｓｅｃを利用する通信を開始する。この時、セキュリティプロトコル制御装置１０１は、処理６０１におけるＳＳＬによる認証・暗号鍵などのパラメータ情報を、ＩＰｓｅｃのＳＡ（Security Association）に動的に変換する。そして、変換され生成されたＩＰｓｅｃのＳＡをセキュリティプロトコル制御装置１０１に適用する。
【００３５】
同様に、処理６０３において、セキュリティプロトコル制御装置１０２は、処理６０１のＳＳＬによる認証・暗号鍵などのパラメータ情報を、ＩＰｓｅｃのＳＡに変換する。そして、変換され生成されたＩＰｓｅｃのＳＡをセキュリティプロトコル制御装置１０２に適用する。
【００３６】
セキュリティプロトコル制御装置１０１は処理６０２の後、ＩＰｓｅｃのＳＡを保持する状態となるので、セキュリティプロトコル制御装置１０２に対してＩＰｓｅｃによる通信が可能となる。そして、セキュリティプロトコル制御装置１０２は処理６０３の後、ＩＰｓｅｃのＳＡを保持する状態となるので、セキュリティプロトコル制御装置１０１に対してＩＰｓｅｃによる通信が可能となる（処理６０４）。
【００３７】
図７は、本実施形態におけるセキュリティプロトコル制御装置１０１のパケット送信時の処理手順の一例を示すフローチャートである。
ステップＳ７０１において、パケットの送信の処理を開始し、ステップＳ７０２に進む。ステップＳ７０２において、セキュリティプロトコル制御装置１０１内からパケットに適したＳＡをＩＰｓｅｃのＳＡを検索し、有無を判定する。この判定の結果、ＩＰｓｅｃのＳＡが存在する場合は、ステップＳ７０７に進む。一方、ステップＳ７０２の判定の結果、ＩＰｓｅｃのＳＡが存在しない場合、ステップＳ７０３に進む。
【００３８】
ステップＳ７０３において、パケットヘッダの宛先アドレス、送信元アドレス、ヘッダオプション等から指定されたホストであるか否かを判断する。この判断の結果、指定されたホストである場合は、ステップＳ７０４に進む。一方、ステップ７０３の判断の結果、指定されたホストでなかった場合は、ステップＳ７０７に進む。
【００３９】
ステップＳ７０４において、セキュリティプロトコル制御装置１０１とセキュリティプロトコル制御装置１０２との間で、既にＳＳＬの認証や暗号鍵などのパラメータ生成が完了しているか否かを判定する。この判定の結果、ＳＳＬの認証や暗号鍵などのパラメータ生成が完了していた場合は、ステップＳ７０５に進む。一方、ステップＳ７０４の判定の結果、ＳＳＬの認証や暗号鍵などのパラメータ生成が完了していない場合は、ステップＳ７０９に進む。
【００４０】
ステップＳ７０５において、２つのセキュリティプロトコル制御装置１０１、１０２の間で規定されている既存のＳＳＬの認証情報や暗号鍵などのパラメータをＩＰｓｅｃに利用するＩＰｓｅｃのＳＡのパラメータに変換して生成する。次に、ステップＳ７０６において、新たに生成された２つのセキュリティプロトコル制御装置１０１、１０２の間で利用するＩＰｓｅｃのＳＡのパラメータをセキュリティプロトコル制御装置１０１に適用し、ステップＳ７０７に進む。
【００４１】
ステップＳ７０７において、セキュリティプロトコル制御装置１０１が保持するＩＰｓｅｃのＳＡに応じて、パケットにＩＰｓｅｃ処理を施し、ステップＳ７０８に進む。そして、ステップＳ７０８において、パケットの送信を行い、パケット送信処理を終了する。一方、ステップＳ７０９においては、パケットの廃棄を行い、パケット送信処理を終了する。
【００４２】
図８は本実施形態におけるセキュリティプロトコル制御装置１０２のパケット受信準備処理手順の一例を示すフローチャートである。セキュリティプロトコル制御装置１０２がセキュリティプロトコル制御装置１０１と通信を行う場合は、セキュリティプロトコル制御装置１０２において、パケット受信準備処理を行う必要がある。
【００４３】
ステップＳ８０１において、パケット受信準備処理を開始し、ステップＳ８０２に進む。ステップＳ８０２において、指定されたホストが適合か不適合かを判断する。この判断の結果、指定されたホストが適合である場合、ステップＳ８０３に進む。一方、ステップＳ８０２の判断の結果、指定されたホストが不適合である場合、パケットの受信準備処理を終了する。
【００４４】
ステップＳ８０３において、セキュリティプロトコル制御装置１０１とセキュリティプロトコル制御装置１０２との間で、既にＳＳＬの認証や暗号鍵などのパラメータ生成が完了しているか否かを判断する。この判断の結果、ＳＳＬの認証や暗号鍵等のパラメータ生成が完了していた場合、ステップＳ８０４に進む。一方、ステップＳ８０３の判断の結果、ＳＳＬの認証や暗号鍵等のパラメータ生成が完了していない場合、パケットの受信準備処理を終了する。
【００４５】
ステップＳ８０４において、２つのセキュリティプロトコル制御装置１０１、１０２の間で規定されている既存のＳＳＬ認証情報や暗号鍵等のパラメータをＩＰｓｅｃに利用するＩＰｓｅｃのＳＡのパラメータに変換して生成する。そして、ステップＳ８０５において、２つのセキュリティプロトコル制御装置１０１、１０２の間で利用する新たに生成されたＩＰｓｅｃのＳＡのパラメータをセキュリティプロトコル制御装置１０２に適用し、パケットの受信準備処理を終了する。
【００４６】
本実施形態において、ＳＳＬ認証情報や暗号鍵等のパラメータをＩＰｓｅｃのＳＡのパラメータに変換する方法について図９を参照しながら説明する。図９において、セキュリティプロトコル制御装置１０１をＳＳＬのクライアント９０１とし、セキュリティプロトコル制御装置１０２をＳＳＬのサーバ９０２とする。
【００４７】
既にＳＳＬによるセッション及びコネクションがクライアント９０１とサーバ９０２との間に確立しているので、クライアント９０１はセッションidと、マスターシークレットと、クライアント９０１及びサーバ９０２のＩＰアドレスとを得ることができる。
【００４８】
クライアント９０１は、セッションidを引数としたハッシュ関数により生成された値の決められた上位ビット数を、ＩＰｓｅｃのＳＡのパラメータとして必要なＳＰＩ（Security Parameters Index）と定義する。また、クライアント９０１は、マスターシークレットを引数としたハッシュ関数より生成された値の決められた上位ビット数を、暗号鍵とハッシュ鍵のそれぞれとする。
【００４９】
前述したようにクライアント９０１は、ＳＳＬによるセッション及びコネクションの情報からクライアント９０１のＩＰアドレスとサーバ９０２のＩＰアドレスとを得ることができる。したがって、ＩＰｓｅｃのＳＡのパラメータとして、クライアント９０１のＩＰアドレスとクライアント９０１のＩＰアドレスとを利用する。
【００５０】
クライアント９０１において、情報変換部４０３がデフォルトパラメータ情報を持ち、ＩＰｓｅｃのＳＡのパラメータとして不足しているＩＰｓｅｃのモードや暗号化アルゴリズムやハッシュアルゴリズム等を補完する。これにより、クライアント９０１は完全なＩＰｓｅｃのＳＡのパラメータをＳＳＬによる認証情報や暗号鍵等のパラメータから変換し、生成することができる。
【００５１】
一方、既にＳＳＬによるセッション及びコネクションがクライアント９０１とサーバ９０２との間に確立しているので、サーバ９０２はセッションidと、マスターシークレットと、クライアント９０１及びサーバ９０２のＩＰアドレスを得ることができる。
【００５２】
サーバ９０２は、セッションidを引数としたハッシュ関数により生成された値の決められた上位ビット数を、ＩＰｓｅｃのＳＡのパラメータとして必要なＳＰＩと定義する。また、クライアント９０１は、マスターシークレットを引数としたハッシュ関数より生成された値の決められた上位ビット数を、暗号鍵とハッシュ鍵のそれぞれとする。
【００５３】
サーバ９０２は、ＳＳＬによるセッション及びコネクションの情報からクライアント９０１のＩＰアドレスとサーバ９０２のＩＰアドレスとを得ることができる。したがって、ＩＰｓｅｃのＳＡのパラメータとして、クライアント９０１のＩＰアドレスとサーバ９０２のＩＰアドレスとを利用する。
【００５４】
サーバ９０２において、４０３がデフォルトパラメータ情報を持ち、ＩＰｓｅｃのＳＡのパラメータとして不足しているＩＰｓｅｃのモードや暗号化アルゴリズムやハッシュアルゴリズム等を補完する。これにより、サーバ９０２は完全なＩＰｓｅｃのＳＡのパラメータをＳＳＬによる認証情報や暗号鍵等のパラメータから変換し、生成することができる。
【００５５】
上記の手法により、クライアント９０１及びサーバ９０２は両方とも完全なＩＰｓｅｃのＳＡのパラメータを保持することが可能となり、これ以後、ＩＰｓｅｃによる通信が可能となる。ＳＳＬ認証情報や暗号鍵等のパラメータをＩＰｓｅｃのＳＡのパラメータに変換する方法においては、他の例として、ＳＰＩにマスターシークレットから生成された値の一部をパラメータとして利用することもできる。
【００５６】
また、情報変換部４０３は他にもフラグやアルゴリズムといったデフォルトパラメータ情報を持つことができる。さらに、ユーザの登録するユーザ名とパスワード及びセキュリティプロトコル特有の情報、ユーザの生体情報といった固有情報をセキュリティプロトコルのパラメータとして利用することも可能である。
【００５７】
（本発明に係る他の実施形態）
前述した本発明の実施形態におけるセキュリティプロトコル制御装置を構成する各手段、並びにセキュリティプロトコル制御方法の各ステップは、コンピュータのＲＡＭやＲＯＭなどに記憶されたプログラムが動作することによって実現できる。このプログラム及び前記プログラムを記録したコンピュータ読み取り可能な記録媒体は本発明に含まれる。
【００５８】
また、本発明は、例えば、システム、装置、方法、プログラムもしくは記録媒体等としての実施形態も可能であり、具体的には、複数の機器から構成されるシステムに適用してもよいし、また、一つの機器からなる装置に適用してもよい。
【００５９】
なお、本発明は、前述した実施形態の機能を実現するソフトウェアのプログラム（実施形態では図７、８に示すフローチャートに対応したプログラム）を、システムまたは装置に直接、または遠隔から供給する。そして、そのシステムまたは装置のコンピュータが前記供給されたプログラムコードを読み出して実行することによっても達成される場合を含む。
【００６０】
したがって、本発明の機能処理をコンピュータで実現するために、前記コンピュータにインストールされるプログラムコード自体も本発明を実現するものである。つまり、本発明は、本発明の機能処理を実現するためのコンピュータプログラム自体も含まれる。
【００６１】
その場合、プログラムの機能を有していれば、オブジェクトコード、インタプリタにより実行されるプログラム、ＯＳに供給するスクリプトデータ等の形態であってもよい。
【００６２】
プログラムを供給するための記録媒体としては、例えば、フロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスクなどがある。さらに、ＭＯ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤ（ＤＶＤ−ＲＯＭ、ＤＶＤ−Ｒ）などもある。
【００６３】
その他、プログラムの供給方法としては、クライアントコンピュータのブラウザを用いてインターネットのホームページに接続する方法がある。そして、前記ホームページから本発明のコンピュータプログラムそのもの、もしくは圧縮され自動インストール機能を含むファイルをハードディスク等の記録媒体にダウンロードすることによっても供給できる。
【００６４】
また、本発明のプログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるホームページからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムファイルを複数のユーザに対してダウンロードさせるＷＷＷサーバも、本発明に含まれるものである。
【００６５】
また、その他の方法として、本発明のプログラムを暗号化してＣＤ−ＲＯＭ等の記録媒体に格納してユーザに配布し、所定の条件をクリアしたユーザに対し、インターネットを介してホームページから暗号化を解く鍵情報をダウンロードさせる。そして、その鍵情報を使用することにより暗号化されたプログラムを実行してコンピュータにインストールさせて実現することも可能である。
【００６６】
また、コンピュータが、読み出したプログラムを実行することによって、前述した実施形態の機能が実現される。さらに、そのプログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが、実際の処理の一部または全部を行い、その処理によっても前述した実施形態の機能が実現され得る。
【００６７】
さらに、その他の方法として、まず記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれる。そして、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によっても前述した実施形態の機能が実現される。
【図面の簡単な説明】
【００６８】
【図１】本発明の実施形態におけるネットワーク構成例を示す図である。
【図２】本発明の実施形態に係るセキュリティプロトコル制御装置のハード構成例を示すブロック図である。
【図３】本発明の実施形態に係るセキュリティプロトコル制御装置のハード構成例を示すブロック図である。
【図４】本発明の実施形態に係るセキュリティプロトコル制御装置の内部モジュール構成の一例を示す図である。
【図５】本発明の実施形態に係るセキュリティプロトコル制御装置の内部モジュール構成の一例を示す図である。
【図６】本発明の実施形態における全体シーケンスの一例を示すタイミングチャートである。
【図７】本発明の実施形態におけるセキュリティプロトコル制御装置のパケット送信時の処理手順の一例を示すフローチャートである。
【図８】本発明の実施形態におけるセキュリティプロトコル制御装置のパケット受信準備処理手順の一例を示すフローチャートである。
【図９】本発明の実施形態におけるネットワーク構成例を示す図である。
【符号の説明】
【００６９】
１００  ネットワーク
１０１  セキュリティプロトコル制御装置
１０２  セキュリティプロトコル制御装置
２００  入出力バス
２０１  ＣＰＵ
２０２  ＲＡＭ
２０３  ＲＯＭ
２０４  ＮＥＴＩＦ
２０５  ＶＲＡＭ
２０６  ＣＲＴ
２０７  ＫＢＣ
２０８  ＫＢ
２０９  ＨＤＤ
２１０  ＦＤＤ
３００  入出力バス
３０１  ＣＰＵ
３０２  ＲＡＭ
３０３  ＲＯＭ
３０４  ＮＥＴＩＦ
３０５  ＶＲＡＭ
３０６  ＣＲＴ
３０７  ＫＢＣ
３０８  ＫＢ
３０９  ＨＤＤ
３１０  ＦＤＤ
４０１  ＳＳＬ処理部
４０２  ＳＳＬ変更部
４０３  情報変換部
４０４  ＩＰｓｅｃ変更部
４０５  ＩＰｓｅｃ処理部
５０１  ＳＳＬ処理部
５０２  ＳＳＬ変更部
５０３  情報変換部
５０４  ＩＰｓｅｃ変更部
５０５  ＩＰｓｅｃ処理部
６０１  ＳＳＬによる認証、暗号鍵等のパラメータ交換
６０２  ＩＰｓｅｃ通信送信準備処理
６０３  ＩＰｓｅｃ通信受信準備処理
６０４  ＩＰｓｅｃ通信
【図１】
2008099210.tif 000003
【図２】
2008099210.tif 000004
【図３】
2008099210.tif 000005
【図４】
2008099210.tif 000006
【図５】
2008099210.tif 000007
【図６】
2008099210.tif 000008
【図７】
2008099210.tif 000009
【図８】
2008099210.tif 000010
【図９】
2008099210.tif 000011