(57)【要約】【課題】セキュリティを保持しつつ、サービス品質を保証する。【解決手段】本発明に係る通信装置は、送信すべきＩＰパケットを暗号化した暗号パケットを生成する暗号化部１１と、ＩＰパケットが暗号化されていることを示す第１の付加情報を暗号パケットに付加する第１の付加情報生成部１２と、ＩＰパケットが所定の通信品質を要求する場合に、所定の通信品質が要求されることを示す第２の付加情報を暗号パケットに付加する第２の付加情報生成部１３と、第１及び第２の付加情報が付加された暗号パケットを送信する送信部１４と、を有する。送信パケットを暗号化して送信する際、そのパケットのサービス品質を決定するのに利用可能な宛先オプションヘッダｄ４を暗号化パケットに付加して送信するため、この送信パケットを受信したエッジルータ２が暗号鍵を所持していなくても、送信パケットのサービス品質を正しく決定でき、通信品質を保証した通信が可能になる。【選択図】  図１
2004274493.tif 000002
【特許請求の範囲】
【請求項１】
送信すべきＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）パケットを暗号化した暗号パケットを生成する暗号化手段と、
前記ＩＰパケットが暗号化されていることを示す第１の付加情報を前記暗号パケットに付加する第１の付加情報生成手段と、
前記ＩＰパケットが所定の通信品質を要求する場合に、前記通信品質が要求されることを示す第２の付加情報を前記暗号パケットに付加する第２の付加情報生成手段と、
前記第１及び第２の付加情報が付加された前記暗号パケットを送信する送信手段と、を備えることを特徴とする通信装置。
【請求項２】
前記第１の付加情報は、ＩＰセキュリティ（ＩＰｓｅｃ）で規定されているＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）ヘッダであることを特徴とする請求項１に記載の通信装置。
【請求項３】
前記第２の付加情報は、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）のポート番号であることを特徴とする請求項１または２に記載の通信装置。
【請求項４】
前記第２の付加情報は、暗号化されることなく前記暗号パケットに付加されることを特徴とする請求項１〜３のいずれかに記載の通信装置。
【請求項５】
ある通信装置から送信されたＩＰパケットを受信して、他の通信装置に転送する中継装置において、
受信された前記ＩＰパケットのヘッダ部に、このＩＰパケットが所定の通信品質を要求することを示す付加情報が含まれているか否かを検出する通信品質情報検出手段と、
前記付加情報が含まれている場合に、この付加情報に応じたＩＰパケットの転送処理を行う転送手段と、を備えることを特徴とする中継装置。
【請求項６】
前記転送手段は、通信品質を保証するディフサーブ・ドメインにＩＰパケットを転送することを特徴とする請求項５に記載の中継装置。
【請求項７】
前記転送手段は、前記通信品質情報検出手段が前記付加情報を検出できなかった場合には、前記ＩＰパケットのヘッダ部を無視して、予め定めた通信品質で前記ＩＰパケットを前記他の通信装置に転送することを特徴とする請求項５または６に記載の中継装置。
【請求項８】
前記付加情報は、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）のポート番号であることを特徴とする請求項５〜７のいずれかに記載の中継装置。
【請求項９】
送信すべきＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）パケットを暗号化した暗号パケットを生成し、
前記ＩＰパケットが暗号化されていることを示す第１の付加情報を前記暗号パケットに付加し、
前記ＩＰパケットが所定の通信品質を要求する場合に、前記通信品質が要求されることを示す第２の付加情報を前記暗号パケットに付加し、
前記第１及び第２の付加情報が付加された前記暗号パケットを送信することを特徴とする通信制御方法。
【請求項１０】
送信すべきＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）パケットを暗号化した暗号パケットを生成するステップと、
前記ＩＰパケットが暗号化されていることを示す第１の付加情報を前記暗号パケットに付加するステップと、
前記ＩＰパケットが所定の通信品質を要求する場合に、前記通信品質が要求されることを示す第２の付加情報を前記暗号パケットに付加するステップと、
前記第１及び第２の付加情報が付加された前記暗号パケットを送信するステップと、を実行させることを特徴とする通信制御プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＩＰパケットを暗号化して送信する通信装置、中継装置、通信制御方法及び通信制御プログラムに関する。
【０００２】
【従来の技術】
インターネットの普及とともに、その設計当初には想定されていなかった問題が顕在化するようになった。その一例として、セキュリティとサービス品質（  ＱｏＳ：Ｑｕａｌｉｔｙ  ｏｆ  Ｓｅｒｖｉｃｅ）が挙げられる。
【０００３】
インターネットでセキュリティを確保するための仕組みの一つにＩＰセキュリティ（ＩＰｓｅｃ：ＩＰ  ｓｅｃｕｒｉｔｙ  ）がある。ＩＰｓｅｃでは、通信の内容を暗号化して盗聴を防ぐために、ＥＳＰ（ｅｎｃａｐｓｕｌａｔｅｄ  ｓｅｃｕｒｉｔｙ  ｐａｙｌｏａｄ）という新しいヘッダを定義している。ＥＳＰを用いた通信では、パケットのデータ部分を暗号化した上で、ＩＰヘッダと暗号データの間に、データが暗号化されていることを示すＥＳＰヘッダを付加してネットワークへ送信する。受信側では、ＥＳＰヘッダを発見すると、そのヘッダの識別子に対応する復号用の鍵を用いて暗号データを復号し、ＥＳＰヘッダを取り除いて暗号前のパケットを再構成する。
【０００４】
一方、ＱｏＳのための仕組みとして、ｄｉｆｆｅｒｅｎｔｉａｔｅｄ  ｓｅｒｖｉｃｅ（ｄｉｆｆｓｅｒｖ）がある。ｄｉｆｆｓｅｒｖを利用した通信では、サービス品質（たとえばネットワーク帯域）を保証する領域が存在し、その領域への入り口となるルータ（エッジルータ）が、転送するパケットの内容に応じて適切な品質を選択し、その品質に応じた転送処理（たとえばパケット廃棄率の変更など）を行う。
【０００５】
ここで、品質選択のためのパケットの内容として、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）やＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）のポート番号が有用な情報となる。通常、ポート番号は特定のアプリケーションに対応しており、アプリケーションの中には特定のサービス品質を要求するものがある（特許文献１、２及び３参照）。
【０００６】
【非特許文献１】
ＩＥＴＦ  ＲＦＣ２４６０  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ，  Ｖｅｒｓｉｏｎ  ６  （ＩＰｖ６）  Ｓｐｅｃｉｆｉｃａｔｉｏｎ  Ｄｅｃｅｍｂｅｒ  １９９８
【非特許文献２】
ＩＥＴＦ  ＲＦＣ２４７５  Ａｎ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  Ｄｉｆｆｅｒｅｎｔｉａｔｅｄ  Ｓｅｒｖｉｃｅｓ  Ｄｅｃｅｍｂｅｒ  １９９８
【非特許文献３】
ＩＥＴＦ  ＲＦＣ２４０６  ＩＰ  Ｅｎｃａｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ  （ＥＳＰ）  Ｎｏｖｅｍｂｅｒ  １９９８
【０００７】
【発明が解決しようとする課題】
しかしながら、ＥＳＰによる暗号化を施している場合、ＴＣＰまたＵＤＰのヘッダ以降のすべての部分が暗号化されており、通常エッジルータはこの暗号を解く鍵を持たないため、適切な品質を決定できない場合がある。このため、特定のサービス品質を要求するアプリケーションを実行できないおそれがある。
【０００８】
ＥＳＰの規格を変更して、たとえば、ＴＣＰのデータ部分のみを暗号化するといった拡張を施せばこの問題は解消できるが、このような拡張を行うと、相互接続性が限定されてしまう。
【０００９】
また、ＩＰｖ６（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  ｖｅｒｓｉｏｎ  ６）のフローラベルフィールドに、エッジルータに対する情報を付加する方法も考えられるが、フローラベルフィールドは２０ビットしかないため、品質選択のためのポート番号の組を格納するには不十分である。また、フローラベルの利用方法自体、現在確立されておらず、途中のルータでフローラベルの内容が書き換えられる可能性があるなど、やはり相互接続性に問題がある。
【００１０】
本発明は、このような点に鑑みてなされたものであり、その目的は、セキュリティを保持しつつ、サービス品質を保証可能な通信装置、中継装置、通信制御方法及び通信制御プログラムを提供することにある。
【００１１】
【課題を解決するための手段】
上述した課題を解決するために、本発明は、送信すべきＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）パケットを暗号化した暗号パケットを生成する暗号化手段と、前記ＩＰパケットが暗号化されていることを示す第１の付加情報を前記暗号パケットに付加する第１の付加情報生成手段と、前記ＩＰパケットが所定の通信品質を要求する場合に、前記通信品質が要求されることを示す第２の付加情報を前記暗号パケットに付加する第２の付加情報生成手段と、前記第１及び第２の付加情報が付加された前記暗号パケットを送信する送信手段と、を備える。
【００１２】
【発明の実施の形態】
以下、本発明に係る通信装置、中継装置、通信制御方法及び通信制御プログラムについて、図面を参照しながら具体的に説明する。
【００１３】
図１は本発明に係る通信装置の一実施形態の内部構成を示すブロック図、図２は図１の通信装置を送信ホストとした通信ネットワークシステムの概略構成図である。
【００１４】
図２の通信ネットワークシステムは、図１の通信装置からなる送信ホスト１と、送信ホスト１から送信されたＩＰパケットを中継するエッジルータ２，３と、エッジルータ２，３間に設けられるサービス品質を保証可能なディフサーブ・ドメイン４（ｄｉｆｆｓｅｒｖ  ｄｏｍａｉｎ）と、ＩＰパケットの最終的な宛先である受信ホスト５とを備えている。
【００１５】
送信ホスト１から送信されたＩＰパケットは、ディフサーブ・ドメイン４を通過して受信ホスト５で受信される。
【００１６】
送信ホスト１となる通信装置は、図１に示すように、送信すべきＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）パケットを暗号化した暗号パケットを生成する暗号化部１１と、ＩＰパケットが暗号化されていることを示す第１の付加情報を暗号パケットに付加する第１の付加情報生成部１２と、ＩＰパケットが所定の通信品質を要求する場合に、所定の通信品質が要求されることを示す第２の付加情報を暗号パケットに付加する第２の付加情報生成部１３と、第１及び第２の付加情報が付加された暗号パケットを送信する送信部１４と、を有する。
【００１７】
図１の通信装置は、ＩＰセキュリティ（ＩＰｓｅｃ）で規定されているＥＳＰによる暗号化を行った状態で、ＩＰパケットを送信する。図３は通信装置から送信されるＩＰパケットのデータ構造を示す図である。図示のように、パケット本体を暗号化した暗号化データｄ１と、パケット本体が暗号化されていることを示すＥＳＰヘッダｄ２と、ＩＰパケットのプロトコルがＩＰｖ６であることを示すＩＰｖ６ヘッダｄ３と、ＥＳＰヘッダｄ２及びＩＰｖ６ヘッダｄ３の間に設けられる宛先オプションヘッダｄ４（ｄｅｓｔｉｎａｔｉｏｎ  ｏｐｔｉｏｎｓ  ｈｅａｄｅｒ）とを有する。
【００１８】
宛先オプションヘッダｄ４は、ＴＣＰのポート番号などの、送信パケットのサービス品質を決定するのに利用できる情報が含まれている。
【００１９】
これに対して、図４は従来のＩＰパケットのデータ構造を示している。図３に示す本実施形態のＩＰパケットは、従来のＩＰパケットのデータ構造に、新たに宛先オプションヘッダｄ４を追加している。
【００２０】
送信ホスト１からのＩＰパケットを受信したエッジルータ２は、宛先オプションヘッダｄ４の内容を解析し、そのＩＰパケットのサービス品質を決定する。
【００２１】
送信ホスト１は宛先オプションヘッダｄ４の内容を暗号化せずに送信するため、エッジルータ２，３は、暗号鍵を所持していなくても、宛先オプションヘッダの内容を把握できる。
【００２２】
この宛先オプションヘッダｄ４は、受信ホスト５では利用されない。また、宛先オプションヘッダｄ４の内容を理解できないエッジルータや他の中継装置が仮に存在したとしても、これら装置はこのヘッダを無視する。したがって、仮にエッジルータや中継装置が宛先オプションヘッダｄ４を含むＩＰパケットに対応していない場合でも、特に支障は起きない。
【００２３】
本実施形態のように、宛先オプションヘッダｄ４を利用してＩＰパケットを送信すると、本来は暗号化されるべき情報の一部、例えばＴＣＰのポート番号が暗号化されずにネットワーク上を伝送することになるため、注意が必要である。ただし、パケット本体は暗号化されているため、実用的なセキュリティ要求の多くを満たせる。
【００２４】
本実施形態によれば、送信パケットの一部の情報を暗号化せずに送信する代償として、ディフサーブ・ドメイン４によるサービス品質を確実に保証した通信が可能になる。
【００２５】
このように、本実施形態では、送信パケットを暗号化して送信する際、そのパケットのサービス品質を決定するのに利用可能な宛先オプションヘッダｄ４を暗号化パケットに付加して送信するため、この送信パケットを受信したエッジルータ２が暗号鍵を所持していなくても、送信パケットのサービス品質を正しく決定でき、ディフサーブ・ドメイン４において通信品質を保証した通信が可能になる。
【００２６】
また、エッジルータ２が宛先オプションヘッダｄ４の内容を理解できない場合は、このヘッダの内容を無視するため、従来と同様のサービス品質を選択することができ、特に不具合は生じない。これにより、ネットワーク間での相互接続性がよくなる。
【００２７】
上述した実施形態では、送信パケットのプロトコルとしてＩＰｖ６を利用する例を説明したが、プロトコルの具体的な種類はＩＰｖ６に限定されない。
【００２８】
上述した実施形態で説明した通信装置は、ハードウェアで構成してもよいし、ソフトウェアで構成してもよい。ソフトウェアで構成する場合には、通信装置の少なくとも一部の機能を実現するプログラムをフロッピーディスクやＣＤ−ＲＯＭ等の記録媒体に収納し、コンピュータに読み込ませて実行させてもよい。記録媒体は、磁気ディスクや光ディスク等の携帯可能なものに限定されず、ハードディスク装置やメモリなどの固定型の記録媒体でもよい。
【００２９】
また、通信装置の少なくとも一部の機能を実現するプログラムを、インターネット等の通信回線（無線通信も含む）を介して頒布してもよい。さらに、同プログラムを暗号化したり、変調をかけたり、圧縮した状態で、インターネット等の有線回線や無線回線を介して、あるいは記録媒体に収納して頒布してもよい。
【００３０】
【発明の効果】
以上詳細に説明したように、本発明によれば、所定の通信品質が要求されることを示す付加情報を暗号パケットに付加して送信するため、暗号パケットを解読するための鍵情報を所持していなくても、ＩＰパケットの通信品質を検出でき、セキュリティとサービス品質を保持した状態でＩＰパケットの送信を行うことができる。
【図面の簡単な説明】
【図１】本発明に係る通信装置の一実施形態の内部構成を示すブロック図。
【図２】図１の通信装置を送信ホストとした通信ネットワークシステムの概略構成図。
【図３】通信装置から送信されるＩＰパケットのデータ構造を示す図。
【図４】従来のＩＰパケットのデータ構造を示す図。
【符号の説明】
１  送信ホスト
２，３  エッジルータ
４  受信ホスト
１１  暗号化部
１２  第１の付加情報生成部
１３  第２の付加情報生成部
１４  送信部
【図１】
2004274493.tif 000003
【図２】
2004274493.tif 000004
【図３】
2004274493.tif 000005
【図４】
2004274493.tif 000006