(57)【要約】【課題】パケットの種別の判定結果を利用して効率的な暗号復号処理を行うことができる暗号装置、復号装置、暗号方法、および復号方法を提供すること。【解決手段】暗復号装置１００に、パケットを取得するパケット受信部１１１と、ハードウェアで構成され、パケットを暗号又は復号する暗号エンジン１２５と、パケットをソフトウェアで暗号又は復号する暗号エンジン１１５と、前記取得パケットのヘッダ情報に基づいて、前記取得パケットのリアルタイム性を判定する先頭データ識別部１１７と、暗号エンジン１２５および暗号エンジン１１５から、前記取得パケットの暗号先又は復号先を前記リアルタイム性に応じて決定する暗号復号処理判定部１１２と、を設けた。パケットのリアルタイム性に応じてハードウェアによる暗復号とソフトウェアによる暗復号とにパケットを振り分けることができるので、効率的に暗復号処理を行うことができる。【選択図】図１
2008048042.tif 000002
【特許請求の範囲】
【請求項１】
暗号化されたパケットを取得するパケット取得手段と、
ハードウェアで構成され、暗号化されたパケットを復号する第１の復号手段と、
暗号化されたパケットをソフトウェアで復号する第２の復号手段と、
前記取得パケットのヘッダ情報に基づいて、前記取得パケットのリアルタイム性を判定するパケット判定手段と、
前記第１の復号手段および前記第２の復号手段から、前記取得パケットの復号先を前記リアルタイム性に応じて決定する復号先決定手段と、
を具備する復号装置。
【請求項２】
前記パケット判定手段は、前記第１の復号手段にて前記取得パケットの前記ヘッダ情報のみが復号された段階で、前記ヘッダ情報のみの復号の結果に基づいて前記取得パケットのリアルタイム性を判定し、
前記復号先決定手段は、前記取得パケットにリアルタイム性が要求されるときには前記第１の復号手段における前記取得パケットの復号を継続し、前記リアルタイム性が要求されないときには前記取得パケットの復号先を前記第２の復号手段に切り替える請求項１記載の復号装置。
【請求項３】
パケットを取得するパケット取得手段と、
ハードウェアで構成され、パケットを暗号する第１の暗号手段と、
パケットをソフトウェアで暗号する第２の暗号手段と、
前記取得パケットのヘッダ情報に基づいて、前記取得パケットのリアルタイム性を判定するパケット判定手段と、
前記第１の暗号手段および前記第２の暗号手段から、前記取得パケットの暗号先を前記リアルタイム性に応じて決定する暗号先決定手段と、
を具備する暗号装置。
【請求項４】
暗号化されたパケットのヘッダ情報のみを復号するステップと、
前記復号の結果に基づいて前記パケットのリアルタイム性を判定し、前記リアルタイム性に応じて前記パケット全体の復号をハードウェアにて行うかソフトウェアにて行うか決定するステップと、
を具備する復号方法。
【請求項５】
前記ヘッダ情報のみを復号するステップにおいては、ハードウェアによる復号が行われる請求項４記載の復号方法。
【請求項６】
取得パケットのヘッダ情報に基づいて、前記取得パケットのリアルタイム性を判定するステップと、
前記リアルタイム性に応じて前記取得パケットの暗号をハードウェアにて行うかソフトウェアにて行うか決定するステップと、
を具備する暗号方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特に、パケットの種別の判定結果を利用して効率的な暗号復号処理を行う暗号装置、復号装置、暗号方法、および復号方法に関する。
【背景技術】
【０００２】
近年、広いエリアで通信可能な携帯端末に、狭いエリアで高速データ通信が可能なＷＬＡＮ機能を搭載して通信を補完させることにより、様々なアプリケーションの用途に応じて通信機能を使い分ける携帯端末やシステムが検討されている。このような通信技術やアプリケーションの多種多様化に伴い、ネットワークにおけるパケット伝送の高速化を維持しつつセキュリティも確保することが求められており、ＩＰＳＥＣをはじめとするネットワークセキュリティ規格の標準化とともにネットワークの高速化が進んでいる。
【０００３】
これに伴って、ネットワーク上のパケットを暗号化する暗復号装置においても、高速化の要求が高まっている。そこで、携帯端末を代表するようなＣＰＵ処理能力が低い小型端末においても高速化のニーズを実現するために、暗復号機能をハードウェアのボード上にて実行させることにより、ソフトウェア処理よりも高速に暗復号を実現できる暗復号装置が登場している。
【０００４】
このようなニーズを満たす従来の暗復号装置が特許文献１に開示されている。同文献に開示されている従来の暗復号装置は、図６に示すような構成を有している。同図において、１０はメインボードであり、２０は暗号ボードである。１１は受信したパケットの暗号、中継、廃棄等の処理を決定するパケット受信部であり、１３は暗復号処理を行う暗号２０を制御する暗号ボード制御部であり、２４は実際の暗復号化処理を行うハードウェアの暗号エンジンであり、１４はソフトウェアの暗号エンジンである。また、１２は暗復号処理をハードウェアで行うかソフトウェアで行うかを決定する暗号ロジック決定部であり、１５はパケットをネットワークへ送信するパケット送信部である。
【０００５】
パケット受信部１１は、パケットを受信すると、その内容を精査し、暗号あるいは復号化の必要がある場合には、暗号ロジック決定部１２に対してパケットを転送する。パケットを受け取った暗号ロジック決定部１２は、パケットの暗復号長（パケットのサイズ）に基づいて、そのパケットに対して、ハードウェアによる暗復号処理を行うか、ソフトウェアによる暗復号処理を行うかを決定する。具体的には、暗復号長の短いパケットに対しては、ソフトウェアの暗号エンジン１４により処理し、暗復号長の長いパケットに対してはハードウェアの暗号エンジン２４により処理を実行する。そして、暗復号が完了した段階で、暗号又は復号されたパケットは、パケット送信部１５に転送され、パケット送信部１５から外部に送信される。
【０００６】
以上のように、従来の暗復号装置においては、暗復号処理に時間のかかる暗復号長の長いパケットは、高速処理が可能なハードウェアで処理し、暗復号の処理量が少なくハードウェアとソフトウェアとによる処理時間の差がほとんどない暗復号長が短いパケットは、ハードウェアに比べて処理スピードの遅いソフトウェアで処理することにより、全体として効率の良い暗復号処理が可能となっている。
【特許文献１】特開２００３−６９５５５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
ところで、パケットの種別によっては、パケット長が短いにも関わらず高速に処理されることが要求されることがある。
【０００８】
しかしながら、従来の暗復号装置においては、パケットの種別（アプリケーションの優先度）については何ら考慮されていないため、パケットの種別によっては効率的な暗号復号処理がなされないおそれがある。
【０００９】
本発明は、かかる点に鑑みてなされたものであり、パケットの種別の判定結果を利用して効率的な暗号復号処理を行うことができる暗号装置、復号装置、暗号方法、および復号方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明の復号装置は、暗号化されたパケットを取得するパケット取得手段と、ハードウェアで構成され、暗号化されたパケットを復号する第１の復号手段と、暗号化されたパケットをソフトウェアで復号する第２の復号手段と、前記取得パケットのヘッダ情報に基づいて、前記取得パケットのリアルタイム性を判定するパケット判定手段と、前記第１の復号手段および前記第２の復号手段から、前記取得パケットの復号先を前記リアルタイム性に応じて決定する復号先決定手段と、を具備する構成を採る。
【００１１】
本発明の暗号装置は、パケットを取得するパケット取得手段と、ハードウェアで構成され、パケットを暗号する第１の暗号手段と、パケットをソフトウェアで暗号する第２の暗号手段と、前記取得パケットのヘッダ情報に基づいて、前記取得パケットのリアルタイム性を判定するパケット判定手段と、前記第１の暗号手段および前記第２の暗号手段から、前記取得パケットの暗号先を前記リアルタイム性に応じて決定する暗号先決定手段と、を具備する構成を採る。
【発明の効果】
【００１２】
本発明によれば、パケットの種別の判定結果を利用して効率的な暗号復号処理を行うことができる暗号装置、復号装置、暗号方法、および復号方法を提供することができる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の一実施の形態について図面を参照して詳細に説明する。
【００１４】
図１は、例えば携帯端末に搭載される、本実施の形態にかかるパケット暗復号装置の構成を示すブロック図である。同図に示すように暗復号装置１００は、メインボード１１０と、暗号ボード１２０とを有する。
【００１５】
メインボード１１０は、パケット受信部１１１と、暗号復号処理判定部１１２と、暗号ボード制御部１１３と、パケットを一時保持する受信キュー１１４と、ソフトウェアでパケットの暗号復号を行う暗号エンジン１１５と、パケット送信部１１６とを有する。また、暗号ボード１２０は、ハードウェアで構成され、パケットの暗号復号を行う暗号エンジン１２５を有する。
【００１６】
パケット受信部１１１は、暗復号装置１００に入力されるパケット、具体的には、ネットワークから受信したパケット、又は暗復号装置１００が搭載される携帯端末で動作している上位層のアプリケーションからのパケットを取得し、このパケットの暗号、中継、廃棄等の処理を決定する。パケット受信部１１１は、複数のアプリケーションが同時に実行されている場合には、受信キュー１１４にパケットを一時保持し、当該パケットを蓄積した順番で暗号復号処理判定部１１２に送出する。
【００１７】
暗号復号処理判定部１１２は、先頭データ識別部１１７と、受信キュー判定部１１８とを有する。暗号復号処理判定部１１２は、取得パケットのヘッダ情報に基づいて、取得パケットのリアルタイム性を判定する。暗号復号処理判定部１１２は、取得パケットの暗号先又は復号先をそのリアルタイム性に応じて決定する。
【００１８】
詳細には、暗号復号処理判定部１１２は、パケットの暗号を行うときには、取得パケットのヘッダ情報に基づいて、取得パケットのリアルタイム性を判定する。この判定は、先頭データ識別部１１７で行われる。暗号復号処理判定部１１２は、取得パケットにリアルタイム性が要求されるときには、ハードウェアで構成される暗号ボード１２０の暗号エンジン１２５にその取得パケットを送出し、リアルタイム性が要求されないときには、ソフトウェアで暗号する暗号エンジン１１５にその取得パケットを送出する。
【００１９】
一方、パケットの復号を行うときには、暗号復号処理判定部１１２は、取得パケットを保持するとともに、暗号ボード制御部１１３を介して暗号ボード１２０に送出し、暗号ボード１２０で送出したパケットのヘッダ情報のみが復号された段階で、当該ヘッダ情報のみの復号の結果に基づいて取得パケットのリアルタイム性を判定する。すなわち、暗号復号処理判定部１１２は、パケット全体ではなく、部分的に復号処理をされたパケットの先頭のヘッダ情報に基づいてリアルタイム性を判定する。暗号復号処理判定部１１２は、取得パケットにリアルタイム性が要求されるときには暗号エンジン１２５におけるパケットの復号を継続し、リアルタイム性が要求されないときには、保持している取得パケットを暗号エンジン１１５に送出することにより、取得パケットの復号先をソフトウェアで復号する暗号エンジン１１５に切り替える。なお、ここでは、暗号復号処理判定部１１２は、取得パケットのヘッダ情報が暗号化されているため、まずハードウェアにおけるヘッダ情報のみの復号結果を用いてリアルタイム性を判定し、そのリアルタイム性を見て取得パケットの復号先を調整するものとして説明を行うが、これに限定されるものではなく、その逆にまずパケットをソフトウェアで復号する復号エンジン１１５に送出し、そこで得られるヘッダ情報のみの復号結果を用いてリアルタイム性を判定し、これを見て復号先を調整してもよい。
【００２０】
暗号復号処理判定部１１２は、受信キュー判定部１１８が受信キュー１１４の状態を判定し、特に、受信キュー１１４にパケットが保持されていない場合、すなわちその時点で取得パケット以外のパケットを取得していない場合には、２つの暗号エンジンを使い分ける必要がないので、高速な復号が可能な暗号エンジン１２５へパケットを送出し、ヘッダ情報だけでなくパケット全体の復号を暗号エンジン１２５で行うよう制御する。
【００２１】
暗号ボード制御部１１３は、暗復号処理を行う暗号ボード１２０を制御する。
【００２２】
パケット送信部１１６は、暗号エンジン１１５又は暗号エンジン１２５により暗号復号処理が行われたパケットを、暗号時には実際のネットワークへ送出し、復号時には携帯端末で動作している上位層のアプリケーションへ渡す。
【００２３】
次に、上記構成を有する暗復号装置１００の、暗号時および復号時の動作の各々について説明する。
【００２４】
図２は、携帯端末のアプリケーションがパケットを暗号化して通信を行う場合（つまり、パケット送信を行う場合）の暗復号装置１００の処理の流れを示すフロー図である。
【００２５】
ステップ１００１で暗復号装置１００にアプリケーションからのパケットが入力され、パケット受信部１１１がパケットを取得すると、ステップ１００２で、そのパケットは受信キュー１１４の最後尾に蓄積される。パケット受信部１１１は、受信キュー１１４の先頭に蓄積されているパケットを暗号復号処理判定部１１２に順次送出する。
【００２６】
ステップ１００３では、暗号復号処理判定部１１２が受信キュー１１４のパケット数を確認し、取得したパケット以外に受信キュー１１４にパケットが蓄積されているか否かを判定する。
【００２７】
判定の結果、受信キュー１１４にパケットが蓄積されている場合（ステップ１００３：ＹＥＳ）には、効率的な処理を実現するために、ハードウェアによる暗号処理とソフトウェアによる暗号処理とを使い分ける必要があるので、暗号復号処理判定部１１２は、取得パケットのヘッダ情報（ここでは、Ｌａｙｅｒ４であるトランスポート層のヘッダ）を確認する（ステップ１００４）。
【００２８】
確認の結果、Ｌａｙｅｒ４のヘッダがＴＣＰヘッダである場合（ステップ１００５：ＹＥＳ）には、要求されるリアルタイム性が低いと判断され、暗号復号処理判定部１１２は、取得パケットを暗号エンジン１１５に送出し、ソフトウェアによる暗号処理を行う（ステップ１００６）。
【００２９】
一方、Ｌａｙｅｒ４のヘッダがＴＣＰヘッダでない場合（ステップ１００５：ＮＯ）には、すなわちＵＤＰなどである場合には、要求されるリアルタイム性が高いと判断され、暗号復号処理判定部１１２は、取得パケットを暗号エンジン１２５に送出（転送）し（ステップ１００７）、ハードウェアによる暗号処理を行う（ステップ１００８）。
【００３０】
ステップ１００９でハードウェアによる暗号処理が完了すると、暗号エンジン１２５から暗号ボード制御部１１３に暗号完了通知がなされる。
【００３１】
ステップ１０１０では、パケット送信部１１６がステップ１００６又はステップ１００８で暗号化されたパケットの送信処理を行う。
【００３２】
なお、ステップ１００３での判定の結果、受信キュー１１４にパケットが蓄積されていない場合（ステップ１００３：ＮＯ）には、後続のパケットがないのでソフトウェアによる暗号処理とソフトウェアによる暗号処理とを調整する必要はないが、できるだけ高速な処理を行うために、ハードウェアによるステップ１００７〜ステップ１００９の処理が行われる。
【００３３】
ここでパケットの構成について図３および図４を参照して説明する。図３は、トンネルモードのパケット構成例を示す図であり、図４は、トランスポートモードのパケット構成例を示す図である。なお、両図のパケットの各フィールドに記載された数字は、そのフィールドに割り当てられたバイト数を示している。計算機間でパケットを暗号化（カプセル化）して通信を行う場合のカプセル化モードとしては、トンネルモードとトランスポートモードとの２種類が用意されている。計算機間のみでパケットの暗号化通信を使用する場合には、トランスポートモードが使用される。これに対し、トンネルモードは、計算機間でのパケットの暗号化通信の際に、セキュリティゲートウェイを介して暗号化通信を構築する場合に使用される。トランスポートモードでは、主にＩＰペイロード部のセキュリティを確保するのに対し、トンネルモードでは、ＩＰパケット全体に対してセキュリティ機能を適用する。
【００３４】
図３の最下段に示すようにトンネルモードのパケット２０１は、通常のデータリンク層のヘッダ（同図では、無線ＬＡＮ規格の８０２．１１のＭＡＣヘッダ）と、ＩＰ層のヘッダと、暗号化対象のデータであるＥＳＰと、パケットの最後に付与される認証フィールドとから構成される。ＥＳＰのうち実際に暗号化される部分は、ペイロードデータ、パディング、パディング長、およびＮｅｘｔ  Ｈｅａｄｅｒのフィールド部分となる。ＥＳＰにおけるその他のフィールドは、暗号機能に関する情報や、カプセル化モード等の情報を格納するフィールドである。
【００３５】
ペイロードデータは、２０バイトのＩＰヘッダ、次にトランスポート層のヘッダが続く。トランスポートヘッダのフィールドは、ＴＣＰの場合は２０バイト、ＵＤＰの場合は８バイトが割り当てられる。同図には、ＴＣＰの場合が示されている。残りの部分（同図では、ＤＡＴＡフィールド）は、実際にアプリケーションが使用するデータとなる。
【００３６】
一方、図４に示すようにトランスポートモードのパケット３０１も、パケット２０１と同様に、通常のデータリンク層のヘッダ（同図では、無線ＬＡＮ規格の８０２．１１のＭＡＣヘッダ）と、ＩＰ層のヘッダと、暗号化対象のデータであるＥＳＰと、パケットの最後に付与される認証フィールドとから構成される。また、暗号対象のデータ部分、および暗号対象以外のフィールドの役割もトンネルモードのパケット２０１と同様である。ただし、ペイロードデータフィールドについては、トンネルモードと異なり、トランスポート層のヘッダが先頭で構成される。このトランスポートヘッダのフィールドは、ＴＣＰの場合は２０バイト、ＵＤＰの場合は８バイトが割り当てられる。
【００３７】
取得パケットは、上記図３および図４に示すような構成を有しているので、図２のフローのステップ１００４およびステップ１００５では、ペイロード内のトランスポートヘッダ部分を確認し、ＴＣＰかそれ以外（例えば、ＵＤＰ）かをチェックして、パケットのリアルタイム性を判断することになる。
【００３８】
次に、携帯端末のアプリケーションがパケットを復号化して通信を行う場合（つまり、パケット受信を行う場合）の暗復号装置１００の処理の流れを、図５を参照して説明する。
【００３９】
ステップ１００１で暗復号装置１００にネットワークからのパケットが入力され、パケット受信部１１１がパケットを取得すると、ステップ１００２で、そのパケットは受信キュー１１４の最後尾に蓄積される。パケット受信部１１１は、受信キュー１１４の先頭に蓄積されているパケットを暗号復号処理判定部１１２に順次送出する。
【００４０】
ステップ１００３では、暗号復号処理判定部１１２が受信キュー１１４のパケット数を確認し、取得したパケット以外に受信キュー１１４にパケットが蓄積されているか否かを判定する。
【００４１】
判定の結果、受信キュー１１４にパケットが蓄積されている場合（ステップ１００３：ＹＥＳ）には、ステップ２００１に移行する。なお、受信キュー１１４にパケットが蓄積されていない場合（ステップ１００３：ＮＯ）には、ステップ１００７〜ステップ１００９へ移行する。ただし、図２のステップ１００８、ステップ１００９とは、暗号と復号とで異なっている。
【００４２】
ステップ２００１以降では、トンネルモードかトランスポートモードかにより、上記部分的な復号を行う処理が異なる。すなわち、パケットがトンネルモード、トランスポートモードのいずれであっても、ペイロードデータフィールドのトランスポートヘッダフィールドの復号結果に基づいて、取得パケットのリアルタイム性を判定する必要がある。しかし、上述のとおり、トンネルモードのパケットとトランスポートモードのパケットでは、ペイロードデータフィールドにおけるＩＰヘッダの有無が異なるので、上記部分的な復号を行うデータ量が異なることになる。
【００４３】
具体的には、取得パケットがトランスポートモードである場合（ステップ２００１：ＹＥＳ）には、ステップ２００２で暗号復号処理判定部１１２から取得パケットが暗号エンジン１２５に送出され、ステップ２００３で取得パケットのペイロードデータフィールドの先頭からトランスポートヘッダフィールドのＵＤＰヘッダが配置される可能性のある部分まで（先頭ヘッダ情報）の復号処理がなされた段階で、ステップ２００６で暗号復号処理判定部１１２は復号された先頭ヘッダ情報の確認を行う。ステップ２００３で復号処理がなされる先頭ヘッダ情報は、トランスポートモードの場合は図４に示すようにペイロードデータフィールドの先頭にＩＰヘッダが配置されないので、ペイロードデータフィールドの先頭から８バイトの復号処理がなされた段階で、ステップ２００６で暗号復号処理判定部１１２は復号された先頭ヘッダ情報の確認を行う。
【００４４】
一方、トランスポートモードでなくトンネルモードである場合（ステップ２００１：ＮＯ）には、ステップ２００４で暗号復号処理判定部１１２から取得パケットが暗号エンジン１２５に送出され、ステップ２００５で取得パケットのペイロードデータフィールドの先頭からトランスポートヘッダフィールドのＵＤＰヘッダが配置される可能性のある部分まで（先頭ヘッダ情報）の復号処理がなされた段階で、ステップ２００６で暗号復号処理判定部１１２は復号された先頭ヘッダ情報の確認を行う。ここではペイロードデータフィールドの先頭に２０バイトのＩＰヘッダが配置されるので、ペイロードデータフィールドの先頭から２８バイトの復号処理がなされた段階で、ステップ２００６で暗号復号処理判定部１１２は復号された先頭ヘッダ情報の確認を行う。
【００４５】
ステップ２００６における確認の結果、トランスポートヘッダがＵＤＰである場合（ステップ２００７：ＹＥＳ）には、要求されるリアルタイム性が高いと判断され、暗号復号処理判定部１１２は、暗号エンジン１２５におけるパケットの復号を継続する（ステップ２００８）。ステップ２００９でハードウェアによる復号処理が完了すると、暗号エンジン１２５から暗号ボード制御部１１３に復号完了通知がなされる。
【００４６】
ステップ２００６における確認の結果、トランスポートヘッダがＵＤＰでない場合、すなわちＴＣＰである場合（ステップ２００７：ＮＯ）には、要求されるリアルタイム性が低いと判断され、暗号復号処理判定部１１２は、ステップ２０１０で保持している取得パケットを暗号エンジン１１５に送出（転送）することにより、取得パケットの復号先をソフトウェアで復号する暗号エンジン１１５に切り替える。ステップ２０１１で暗号エンジン１１５は、取得パケットの復号をソフトウェアにより行う。
【００４７】
ステップ２０１２でパケット送信部１１６は、ステップ１００９、ステップ２００９、又はステップ２０１１で復号されたパケットを携帯端末の上位層のアプリケーションに送信する。なお、ステップ２００２およびステップ２００４の転送先は、ソフトウェアによる暗号エンジン１１５にしてもよい。すなわち、上記部分的な復号処理は、ソフトウェアによりなされてもよい。
【００４８】
以上のように、従来の暗復号装置においてはアプリケーション毎の優先度等を考慮せずに、暗復号長が長いパケットに関してはハードウェアによる処理、暗復号長が短いパケットに関してはソフトウェアによる処理を実行していたのに対して、本実施の形態の暗復号装置では、小型端末で暗号化が必要な複数の通信アプリケーション（例えば、インターネット上でのＩＰパケットを利用したテレビ会議等に代表されるリアルタイム性が高いＵＤＰを利用したパケット通信と、インターネット上からのファイルのダウンロード等に代表されるリアルタイム性を必要としないＴＣＰを利用したパケット通信）を同時に実行する場合に、各種パケットの暗復号処理に関し、リアルタイム性が高いパケットを優先的にハードウェアによる処理へ、リアルタイム性が低いパケットは暗復号長が長くてもソフトウェアによる処理とするなど、アプリケーションの優先度に応じた切替えを実施する。こうして、リアルタイム性が必要なパケットに対する処理遅延の増加を防止することができる。
【００４９】
このように本実施の形態によれば、暗復号装置１００に、暗号化されたパケットを取得するパケット受信部１１１と、ハードウェアで構成され、暗号化されたパケットを復号する暗号エンジン１２５と、暗号化されたパケットをソフトウェアで復号する暗号エンジン１１５と、前記取得パケットのヘッダ情報に基づいて、前記取得パケットのリアルタイム性を判定する先頭データ識別部１１７と、暗号エンジン１２５および暗号エンジン１１５から、前記取得パケットの復号先を前記リアルタイム性に応じて決定する暗号復号判定部１１２と、を設けた。
【００５０】
こうすることにより、従来の暗復号装置ではなされていなかったパケット種別の判定、すなわちパケットのリアルタイム性を判定し、このリアルタイム性に応じてハードウェアによる復号とソフトウェアによる復号とにパケットを振り分けることができるので、効率的に復号処理を行うことができる。リアルタイム性の高いパケット（主に、ＵＤＰパケット）については、処理速度の速いハードウェアに優先的に振り分けられるので、伝送遅延を最小限に抑えることができる。
【００５１】
また、先頭データ識別部１１７は、暗号エンジン１２５にて前記取得パケットの前記ヘッダ情報のみが復号された段階で、当該ヘッダ情報のみの復号の結果に基づいて前記取得パケットのリアルタイム性を判定し、暗号復号処理判定部１１２は、前記取得パケットにリアルタイム性が要求されるときには前記暗号エンジン１２５における前記取得パケットの復号を継続し、前記リアルタイム性が要求されないときには前記取得パケットの復号先を前記暗号エンジン１１５に切り替える。
【００５２】
こうすることにより、取得パケットのヘッダ情報のみが復号された段階で、パケット全体ではなくヘッダ情報のみの復号結果に基づいてリアルタイム性を判定するので、復号先が切り替えられたときに生じる、無駄な復号処理を最小限にすることができる。結果として、効率的な復号処理を行うことができる。
【００５３】
また本実施の形態によれば、暗復号装置１００に、パケットを取得するパケット受信部１１１と、ハードウェアで構成され、パケットを暗号する暗号エンジン１２５と、パケットをソフトウェアで暗号する暗号エンジン１１５と、前記取得パケットのヘッダ情報に基づいて、前記取得パケットのリアルタイム性を判定する先頭データ識別部１１７と、暗号エンジン１２５および暗号エンジン１１５から、前記取得パケットの暗号先を前記リアルタイム性に応じて決定する暗号復号処理判定部１１２と、を設けた。
【００５４】
こうすることにより、従来の暗復号装置ではなされていなかったパケット種別の判定、すなわちパケットのリアルタイム性を判定し、このリアルタイム性に応じてハードウェアによる暗号とソフトウェアによる暗号とにパケットを振り分けることができるので、効率的に暗号処理を行うことができる。リアルタイム性の高いパケット（主に、ＵＤＰパケット）については、処理速度の速いハードウェアに優先的に振り分けられるので、伝送遅延を最小限に抑えることができる。
【産業上の利用可能性】
【００５５】
本発明の暗号装置、復号装置、暗号方法、および復号方法は、パケットの種別の判定結果を利用して効率的な暗号復号処理を行うことができるものとして有用である。
【図面の簡単な説明】
【００５６】
【図１】本発明の実施の形態に係る暗復号装置の構成を示すブロック図
【図２】図１の暗復号装置の暗号処理の流れを示すフロー図
【図３】トンネルモードのパケット構成例を示す図
【図４】トランスポートモードのパケット構成例を示す図
【図５】図１の暗復号装置の復号処理の流れを示すフロー図
【図６】従来の暗復号装置の構成を示すブロック図
【符号の説明】
【００５７】
１００  暗復号装置
１１０  メインボード
１１１  パケット受信部
１１２  暗号復号処理判定部
１１３  暗号ボード制御部
１１４  受信キュー
１１５、１２５  暗号エンジン
１１６  パケット送信部
１１７  先頭データ識別部
１１８  受信キュー判定部
１２０  暗号ボード
【図１】
2008048042.tif 000003
【図２】
2008048042.tif 000004
【図３】
2008048042.tif 000005
【図４】
2008048042.tif 000006
【図５】
2008048042.tif 000007
【図６】
2008048042.tif 000008