(57)【要約】【課題】暗号化した信号が流れるネットワークをおいて通信状況などの監視を可能にする装置を提供する。【解決手段】本装置１０は、ネットワークを介して暗号化した信号によって通信する２つのノードＡ，Ｂ間の通信を監視するためのインタフェース装置であり、ノードＢにネットワークを介して接続する暗号化信号インタフェース部１１と、ノードＡに接続する平文化信号インタフェース部１５と、これら２つのインタフェース部の間にあって、ノードＢから送信されて暗号化信号インタフェース部１１で受信した暗号化信号を平文化して平文化信号インタフェース部１５へ送り、ノードＡから送信されて平文化信号インタフェース部１５で受信した平文化信号を暗号化して暗号化信号インタフェース部１１へ送る暗号処理部１３とを備える。監視装置Ｃは、平文化信号インタフェース部１５で送受信される信号を監視する。【選択図】　図２
2004104280.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して暗号化した信号によって通信する２つのノード間の通信を監視する監視装置のためのインタフェース装置であって、
前記２つのノードの一方に前記ネットワークを介して接続する暗号化信号インタフェース部と、
前記２つのノードの他方に接続する平文化信号インタフェース部と、
前記暗号化信号インタフェース部と前記平文化信号インタフェース部との間にあって、前記ノードの一方から送信されて前記暗号化信号インタフェース部で受信した暗号化信号を平文化して前記平文化信号インタフェース部へ送り、前記ノードの他方から送信されて前記平文化信号インタフェース部で受信した平文化信号を暗号化して前記暗号化信号インタフェース部へ送る暗号処理部とを備え、
前記平文化信号インタフェース部で送受信される信号を前記監視装置で監視するようにしたことを特徴とするインタフェース装置。
【請求項２】
暗号化した信号が流れるネットワーク上で複数のノード間の通信を監視する監視装置のためのインタフェース装置であって、
前記複数のノードの各々に前記ネットワークを介して接続する複数の暗号化信号インタフェース部と、
前記監視装置に接続する平文化信号インタフェース部と、
前記複数の暗号化信号インタフェース部の各々と前記平文化信号インタフェース部との間にあって、前記ノードから送信されて各暗号化信号インタフェース部で受信した暗号化信号を平文化して前記平文化信号インタフェース部へ送る複数の暗号処理部と
を備えたことを特徴とするインタフェース装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、データ等を暗号化した信号が流れるネットワーク（以下「暗号化ネットワーク」という）において通信状況その他の状態を監視するためのインタフェース装置に関する。
【０００２】
【従来の技術】
例えばパケットとしてネットワーク上を流れる信号は、盗聴されたり改ざんされたりする危険性があるが、これらの不正アクセス防止策として、ネットワークを流れる信号を暗号化して通信する技術があり、暗号化の標準仕様としてＩＰＳＥＣなどが定められ、実際に使用が開始されている。すなわち、公知の暗号化ネットワークでは、パケットの送信ノードと受信ノードの間で暗号化条件（例えば、暗号アルゴリズムと暗号鍵の両方又はいずれか）を取り決め、それに基づいて暗号化したパケットを送受信することにより、２つのノード間でやり取りされるデータの機密性を保持するようにしている。
【０００３】
【発明が解決しようとする課題】
しかしながら、暗号化ネットワークでは、セキュリティレベルの向上が期待できる反面、管理者にとっては不都合が生じる。すなわち、ネットワーク上でパケット等の形でやり取りされる信号は暗号化されているので、ネットワークで発生したトラブルの原因解析を行う場合などにパケットの内容を解析できないという問題が生じる。また、外部からの不正アクセスを監視する場合も、パケットが暗号化されているためにパケットの中身の解析ができず、結果として不正アクセスの監視として機能できないという問題があった。
【０００４】
例えば、図１３に示す暗号化ネットワーク（従来例１）において、ある特定のノードＡに出入りする信号（パケット）の状況を監視する必要がある場合、ノードＡに接続されたネットワークを分岐して監視装置Ｃに接続する。しかしながら、この監視装置Ｃが受信できるパケットは暗号化されているので、監視側ではその内容を知ることができず、結果としてネットワークの管理や監視を行うことができない。
【０００５】
また、図１４に示すように、暗号化した信号によって通信するノードの組が複数存在するネットワーク（従来例２）においては、通信を行う２つのノード（ノードペア）の間で暗号化条件が取り決められ、暗号化されたパケットが送受信される。例えば、ノードＡとＢ、ノードＣとＤがそれぞれノードペアとなり、各ノードペアの間で取り決められた暗号化条件に従って通信が行われる。このようなネットワークの状態を監視する場合、ネットワークに接続した監視装置Ｅでパケットを受信しても、信号は暗号化されているので、その内容を解析することができない。
【０００６】
本発明の目的は、上記のような暗号化ネットワークにおいて、通信状況などの監視を可能とする装置を提供することである。
【０００７】
【課題を解決するための手段】
本発明の第１の態様は、ネットワークを介して暗号化した信号によって通信する２つのノード間（例えば、図１のノードＡとＢ）の通信を監視する監視装置（例えば、図１の監視装置Ｃ）のためのインタフェース装置であって、
前記２つのノードの一方（例えば、図１のノードＢ）に前記ネットワークを介して接続する暗号化信号インタフェース部と、
当該２つのノードの他方（例えば、図１のノードＡ）に接続する平文化信号インタフェース部と、
上記２つのインタフェース部の間にあって、前記ノードの一方から送信されて前記暗号化信号インタフェース部で受信した暗号化信号を平文化して前記平文化信号インタフェース部へ送り、前記ノードの他方から送信されて前記平文化信号インタフェース部で受信した平文化信号を暗号化して前記暗号化信号インタフェース部へ送る暗号処理部とを備え、
前記平文化信号インタフェース部で送受信される信号を前記監視装置で監視するようにしたことを特徴とする。
【０００８】
本発明の第２の態様は、暗号化した信号が流れるネットワーク上で複数のノード（例えば、図１１のノードＡとＢ、ノードＣとＤ）間の通信を監視する監視装置（例えば、図１１の監視装置Ｅ）のためのインタフェース装置であって、
前記複数のノード（例えば、図１１のノードＡ，Ｂ，Ｃ，Ｄ）の各々に前記ネットワークを介して接続する複数の暗号化信号インタフェース部と、
前記監視装置に接続する平文化信号インタフェース部と、
前記複数の暗号化信号インタフェース部の各々と前記平文化信号インタフェース部との間にあって、前記ノードから送信されて各暗号化信号インタフェース部で受信した暗号化信号を平文化して前記平文化信号インタフェース部へ送る複数の暗号処理部と
を備えたことを特徴とする。
【０００９】
【作用及び効果】
第１の態様によれば、本装置の暗号処理部は、ネットワークを介して接続する２つのノードの一方（例えば、ノードＢ）との間で、他方のノード（例えば、ノードＡ）に代わって暗号化条件を取り決め、当該一方のノード（Ｂ）との間で送受信する信号の変換を行う。すなわち、上記２つのノードの一方（ノードＢ）から他方（ノードＡ）へ送る信号に対しては、暗号化されたデータを平文に変換する復号化を行い、当該他方のノード（Ａ）から一方のノード（Ｂ）へ送る信号に対しては、平文で記述されたデータの暗号化を行う。これにより、一方のノード（Ｂ）が接続したネットワーク上では、暗号化された信号によって機密性を保持すると共に、本装置と他方のノード（Ａ）との間では、平文で通信することになる。従って、本装置と他方のノード（Ａ）との間の信号路を分岐して監視装置Ｃに接続することにより、監視装置Ｃは、ノードＡに対して送受信される信号を監視できるようになる。この場合、本装置は、ネットワークに接続したノード（Ｂ）の対して、あたかも通信相手のノード（Ａ）のように振る舞う。
【００１０】
第２の態様によれば、本装置は、ネットワーク上の監視箇所（例えば、ノードＡ，ＣとノードＢ，Ｄとの間）に設置される。ここで、一対（ノードペア）のノードＡとＢが通信を行う場合、本装置は、ノードＡに対しては、あたかもノードＢであるかのように振る舞い、ノードＡとの間で暗号化条件を取り決め、暗号化した通信を行う。また、ノードＢに対しては、あたかもノードＡであるかのように振る舞い、ノードＢとの間で暗号化条件を取り決め、暗号化された通信を行う。いずれの場合も、本装置は、ノードＡ或いはノードＢとの間で送受信する信号を所定の暗号化条件に基づいて復号化できる。こうして本装置内で平文とされたデータを監視装置に出力することにより、平文での監視が可能になる。本装置は、他のノードペアＣ，Ｄ間やその他のノード間の通信についても同様に処理し、平文での監視を可能にする。
【００１１】
【発明の実施の形態】
図１は、前記従来例１の暗号化ネットワークに本発明の第１実施例である本装置１０を適用した場合のネットワーク構成を示す。この場合、ネットワークを介して特定のノードＡに出入りする信号（パケット）の状況を監視するため、当該ネットワークとノードＡとの間に本装置１０を介在させ、これとノードＡとの間の信号路を分岐して監視装置Ｃに接続する。この構成において、本装置１０は、ノードＡに代わって通信相手のノードＢとの間で暗号化条件を取り決め、ノードＢに対しては、ネットワークを介して暗号化信号の送受信を行わせることで機密性を保持すると共に、ノードＡに対しては、暗号化信号を平文に変換して通信することができる。これにより、監視装置Ｃは、ノードＡに対して送受信される信号を監視できる。従って、本装置１０は、ネットワークを介して接続するノードＢに対して、あたかもノードＡのように振る舞うという特徴を持つ。
【００１２】
本装置１０は、図２に示すように、
上記のネットワークを介してノードＢに接続する暗号化信号インタフェース部（以下、インタフェースを「ＩＦ」と記載する）１１、
通信相手と取り決めた暗号化条件（暗号アルゴリズム又は暗号鍵）を保持する暗号条件管理部１２、
上記暗号条件管理部１２に保持されている暗号化条件に基づいて、ノードＢから送信されて暗号化信号ＩＦ部１１で受信した暗号化信号を平文化する復号化処理と、ノードＡから送信される平文化信号を暗号化する暗号化処理とを行う暗号処理部１３、
ノードＡとの間で送受信される平文化データに宛先のＩＰアドレスと発信元のＩＰアドレスを加えるアドレス管理部１４、及び
ノードＡに接続する平文化信号ＩＦ部１５
を備えている。この装置は、パーソナルコンピュータのＣＰＵや周辺装置などのハードウェア資源を上記の各部として機能させるプログラムを格納したコンピュータによって実現される。
【００１３】
上記のように構成された本装置１０の動作は、次のとおりである。なお、上記のようにネットワークを介して通信するノードＡとノードＢのＩＰアドレス及びハードウェア（以下「ＨＷ」と記載する）アドレスを、それぞれ“ａ”及び“Ａ”、“ｂ”及び“Ｂ”とする。
【００１４】
１）ノードＢからノードＡへデータを送信する場合
まず、ノードＢは、通信相手のノードＡのＨＷアドレスを知るために、アドレス解決プロトコル（ＡＲＰ）によりアドレス解決処理を行い、ＩＰアドレス“ａ”に該当するＨＷアドレスとして、本装置１０の暗号化信号ＩＦ部１１のＨＷアドレス“ＡＡ”を取得する。なぜなら、この場合、暗号化信号ＩＦ部１１はノードＡと同じＩＰアドレスを有するので、ノードＢが取得するＨＷアドレスはノードＡのＨＷアドレス“Ａ”ではなく、ＩＦ部１１のＨＷアドレス“ＡＡ”である。ここで、ＡＲＰによるアドレス解決は、宛先（この場合、ノードＡ）に向ってＡＲＰ要求メッセージをブロードキャストし、宛先側がこれに応じてＨＷアドレスを返信し、発信側（この場合、ノードＢ）がこの返信を捕らえることによって達成される。
【００１５】
次に、ノードＢは、ＩＰアドレス“ａ”，ＨＷアドレス“ＡＡ”に対して、暗号化条件を取り決めるためのデータ交換を行う。この結果、本装置１０は、ノードＢとの間で共通の暗号化条件を暗号条件管理部１２に保有する。
【００１６】
その後、図３に示すように、ノードＢは、共有した暗号化条件に従って送信データを暗号化し、その暗号化データ（Ｄａｔａ１）をＩＰアドレス“ａ”，ＨＷアドレス“ＡＡ”宛に送信する。
【００１７】
こうして送信された暗号化信号に対し、本装置１０は、暗号処理部１３において、既に取り決められた暗号条件を用いて“Ｄａｔａ１”を復号化し、図４に示すように平文化された“Ｄａｔａ２”を得る。
【００１８】
アドレス管理部１４は、図５に示すように、この平文化データ“Ｄａｔａ２”に宛先のＩＰアドレス“ａ”と発信元のＩＰアドレス“ｂ”を加えて、平文化信号ＩＦ部１５に渡す。
【００１９】
平文化信号ＩＦ部１５は、図６に示すように、ノードＡ（ＩＰアドレス“ａ”）のアドレス解決を行い、そのＨＷアドレス“Ａ”を取得する。そして、このＩＦ部１５は、宛先ＨＷアドレス“Ａ”に、発信元ＨＷアドレス“Ｄ”としてデータを送信する。同時に、ＩＦ部１５は、同データを監視装置Ｃに対しても送信し、監視装置Ｃはこれを監視することができる。
【００２０】
２）ノードＡからノードＢへデータを送信する場合
まず、ノードＡは、ノードＢのＩＰアドレス“ｂ”をアドレス解決しようとする。この時、本装置１０は、ノードＢに代わって応答（代理応答）する。
【００２１】
ノードＡは、ＩＰアドレス“ｂ”をアドレス解決し、代理のＨＷアドレスとして平文化信号ＩＦ部１５のＨＷアドレス“Ｄ”を取得する。そして、図７に示すように、宛先ＨＷアドレス“Ｄ”、ＩＰアドレス“ｂ”宛に平文データ（Ｄａｔａ３）を送信する。
【００２２】
平文化信号ＩＦ部１５は、ノードＡから受信した平文データを、監視装置Ｃの接続された信号路に送出する。これにより、監視装置Ｃは、ノードＡがノードＢ宛に発信した平文データ“Ｄａｔａ３”を取得できる。
【００２３】
アドレス管理部１４は、図８に示すように、平文化信号ＩＦ部１５から受け取ったデータ“Ｄａｔａ３”に宛先ＩＰアドレス“ｂ”，発信元ＩＰアドレス“ａ”を付けて暗号処理部１３に渡す。暗号条件管理部１２は、宛先ＩＰアドレス“ｂ”との間で、必要があれば暗号化条件の取り決めを行う。暗号処理部１３は、図９に示すように、暗号化条件に基づいて暗号化した“Ｄａｔａ４”を、暗号化信号ＩＦ部１１に渡す。
【００２４】
ＩＦ部１１は、アドレス解決により、ＩＰアドレス“ｂ”の該当ＨＷアドレス“Ｂ”を取得し、図１０に示すように、宛先ＨＷアドレス“Ｂ”、発信元ＨＷアドレス“ＡＡ”として暗号化データ“Ｄａｔａ４”を送信する。
【００２５】
次に、図１１は、前述の従来例２の暗号化ネットワークに本発明の第２実施例である本装置２０を適用した場合を示す。この場合、ネットワークの監視を行う場所（この例では、複数のノードＡ，ＣとノードＢ，Ｄとの間）に本装置２０を設置する。
【００２６】
上記のようなネットワークに接続する複数のノードのうち、例えばノードＡとノードＢが通信を行う場合、本装置２０は、ノードＡに対しては、あたかもノードＢであるかのように振る舞い、ノードＡと本装置２０との間で暗号化条件を取り決め、暗号化された通信を行う。本装置２０は、暗号化条件に基づいて、この通信を復号化することができる。また、本装置２０は、ノードＢに対しては、あたかもノードＡであるかのように振る舞い、本装置２０とノードＢとの間で暗号化条件を取り決め、暗号化された通信を行う。同様に、本装置２０は、暗号化条件に基づいて、この通信を復号化することができる。
【００２７】
上記のように、本装置２０は、ノードペアの一方（例えばノードＡ）との間及びノードペアの他方（例えばノードＢ）との間で、それぞれ別の暗号化条件を取り決めて通信を行うが、本装置２０の内部では、平文としてデータの交換が行われることになり、このデータを分岐して監視装置Ｅに出力することで、平文での監視が可能になる。
【００２８】
本装置２０は、図１２に示すように、
複数のノードＡ，Ｂ，・・・，Ｎの各々に上記のネットワークを介して接続する複数のノード側インタフェース（ＩＦ１，ＩＦ２，・・・，ＩＦｎ）２１，２２，・・・，２ｎ、
通信相手のノードとの間で送受信されるデータに宛先のＩＰアドレスと発信元のＩＰアドレスを加えるアドレス管理部３１、及び
監視装置Ｅに接続する平文化信号ＩＦ部３２を備えている。
【００２９】
上記のノード側インタフェース２１，２２，・・・，２ｎは、それぞれ、
暗号化信号ＩＦ部２１１，２２１，・・・，２ｎ１と、
通信相手と取り決めた暗号化条件（暗号アルゴリズム又は暗号鍵）を保持する暗号条件管理部２１２，２２２，・・・，２ｎ２と、
上記暗号条件管理部に保持されている暗号化条件に基づいて、各ノードから送信されて暗号化信号ＩＦ部２１１，・・・で受信した暗号化信号を平文化する復号化処理、及びアドレス管理部３１から送られる平文化信号を暗号化する暗号化処理を行う暗号処理部２１３，２２３，・・・，２ｎ３と
を含んでいる。この装置も、パーソナルコンピュータのＣＰＵや周辺装置などのハードウェア資源を上記の各部として機能させるプログラムを格納したコンピュータによって実現される。
【００３０】
上記のように構成された本装置２０の動作は、例えばノードＡからノードＢへデータを送信する場合、次のようになる。
【００３１】
まず、ノードＡは、ノードＢのアドレス解決を行うために、ＩＰアドレス“ｂ”に対するＡＲＰリクエストをブロードキャストする。
【００３２】
本装置２０の暗号化信号ＩＦ部２１１は、上記のＡＲＰリクエストを受け取り、アドレス管理部３１に渡す。アドレス管理部３１は、リクエストを受信した暗号化信号ＩＦ部（この場合ＩＦ部２１１）以外のＩＦ部に対して、ＩＰアドレス“ａ”発のＩＰアドレス“ｂ”に対するアドレス解決要求を送信する指示を出す。指示を受けた各ＩＦ部は、発信元ＨＷアドレスを各ＩＦ部のＨＷとした、ＩＰアドレス“ａ”からＩＰアドレス“ｂ”へのアドレス解決リクエストパケットをブロードキャストする。
【００３３】
これに対し、ノードＢが接続されている暗号化信号ＩＦ部（ここではＩＦ部２２１）は、ノードＢからＡＲＰリプライパケットを受信することになる。アドレス管理部３１は、ＩＰアドレス“ｂ”のノードはＩＦ部２２１に接続されているノードであること及びそのＨＷアドレスがＢであることを知り、これらを記憶する。そして、アドレス管理部３１は、リクエストの要求元が接続されたＩＦ部２１１に、ノードＢからのＡＲＰリプライパケットを渡す。
【００３４】
ＩＦ部２１１は、ＩＰアドレス“ｂ”発のリプライパケットにおける発信元ＨＷアドレス及びＡＲＰ応答の送り手ＨＷアドレスを自身のＨＷアドレスＨ１に、宛先ＨＷアドレス及びＡＲＰ応答のターゲットＨＷアドレスをＨＷアドレス“Ａ”にそれぞれ書き換えて、ノードＡへ送信する。
【００３５】
これらの処理により、ノードＡは、本装置２０のＩＦ部２１１をノードＢであると認識し、ノードＢは、本装置２０のＩＦ部２２１をノードＡであると認識する。
【００３６】
その結果、ノードＡは、本装置２０のＩＦ部２１１との間で暗号条件の取り決めを行い、その取り決めた暗号条件に基づいて平文データを暗号化し、その暗号化データを本装置２０に送信する。暗号化されたデータは、本装置２０のＩＦ部２１１を通り、続く暗号処理部２１３で復号化されて平文データとなり、アドレス管理部３１に渡される。アドレス管理部３１は、復号化された平文データを、監視装置Ｅに接続した平文化信号ＩＦ部３２と、ノードＢが接続されているノード側ＩＦ２１とに受け渡す。
【００３７】
平文化信号ＩＦ部３２から監視装置Ｅに送られた平文データは、監視装置Ｅで平文として監視される。一方、ノード側ＩＦ部２１に送られた平文データは、暗号処理部２１３において、ノードＢとの間で取り決められた暗号化条件に基づいて暗号化され、ノードＢへ送信される。
【００３８】
上記の第２実施例の動作をノードＡからノードＢへデータを送信する場合について説明したが、他のノード間で送受信する場合も、本装置２０の各ノード側ＩＦ部、アドレス管理部及び平文化信号ＩＦ部で同様の動作が行われる。
【図面の簡単な説明】
【図１】従来の暗号化ネットワークに本発明の第１実施例の装置を適用した場合のネットワーク構成を示す図。
【図２】第１実施例の装置の構成を示す図。
【図３】ＩＰアドレス“ａ”，ＨＷアドレス“ＡＡ”宛に送信する暗号化データ（Ｄａｔａ１）の例を示す図。
【図４】図３の暗号化データ“Ｄａｔａ１”を復号化して得られる平文化データ“Ｄａｔａ２”の例を示す図。
【図５】図４の平文化データ“Ｄａｔａ２”に宛先のＩＰアドレス“ａ”と発信元のＩＰアドレス“ｂ”を加えた平文化信号の例を示す図。
【図６】宛先ＨＷアドレス“Ａ”に、発信元ＨＷアドレス“Ｄ”として送信する平文化データを示す図。
【図７】宛先ＨＷアドレス“Ｄ”、ＩＰアドレス“ｂ”宛に送信する平文データ（Ｄａｔａ３）を示す図。
【図８】平文化データ“Ｄａｔａ３”に宛先ＩＰアドレス“ｂ”，発信元ＩＰアドレス“ａ”を付けた平文信号の例を示す図。
【図９】宛先ＩＰアドレス“ｂ”に送信する暗号化データ“Ｄａｔａ４”を示す図。
【図１０】宛先ＨＷアドレス“Ｂ”、発信元ＨＷアドレス“ＡＡ”として送信する暗号化データ“Ｄａｔａ４”を示す図。
【図１１】複数のノード間で通信する従来の暗号化ネットワークに本発明の第２実施例の装置を適用した場合のネットワーク構成を示す図。
【図１２】第２実施例の装置の構成を示す図。
【図１３】従来例の暗号化ネットワークにおける監視の方法を示す図。
【図１４】暗号化した信号によって通信するノードの組が複数存在する従来のネットワークの例を示す図。
【符号の説明】
１０，２０…本装置、１１…暗号化信号インタフェース部、１２…暗号条件管理部、１３…暗号処理部、１４…アドレス管理部、１５…平文化信号インタフェース部。
【図１】
2004104280.tif 000003
【図２】
2004104280.tif 000004
【図３】
2004104280.tif 000005
【図４】
2004104280.tif 000006
【図５】
2004104280.tif 000007
【図６】
2004104280.tif 000008
【図７】
2004104280.tif 000009
【図８】
2004104280.tif 000010
【図９】
2004104280.tif 000011
【図１０】
2004104280.tif 000012
【図１１】
2004104280.tif 000013
【図１２】
2004104280.tif 000014
【図１３】
2004104280.tif 000015
【図１４】
2004104280.tif 000016