(57)【要約】【課題】ＩＰｓｅｃプロトコル通信を行う際のセキュリティ向上が求められている。【解決手段】ＩＰｓｅｃによる通信要求があると、ＳＡ制御部はＳＡＤを参照してＳＡの有無を確認する（Ｓ１０）。ＳＡが存在しない場合（Ｓ１０のＮ）、ＳＡ制御部は退避ＳＡ保持部を参照して退避ＳＡの有無を確認する（Ｓ１２）。退避ＳＡが存在する場合（Ｓ１２のＹ）、ＳＡが退避される際に設定されたパスワードによりユーザの認証を行う（Ｓ１４）。ユーザの認証がなされた場合（Ｓ１４のＹ）、退避ＳＡをＳＡＤに戻し（Ｓ１６）、ＩＰｓｅｃ処理部がそのＳＡに基づいたＩＰｓｅｃによる通信を実行する（Ｓ１８）。【選択図】　　　　図３
2004096178.tif 000002
【特許請求の範囲】
【請求項１】
インターネットプロトコルを用いた通信パケットを暗号化してネットワーク通信を行う際に、暗号化処理及び復号処理のために設定される情報を、当該情報が有する有効期限よりも前に、当該情報が本来存在する場所からその場所への復帰が可能な状態にて移動させることで前記情報を無効化することを特徴とする暗号化通信方法。
【請求項２】
インターネットプロトコルに関するセキュリティアーキテクチャに準じて暗号化通信を行う際に、暗号化処理及び復号処理のための情報として設定されるセキュリティアソシエーションを、当該セキュリティアソシエーションに予め設定された有効期限よりも前に、削除または当該セキュリティアソシエーションが本来存在すべき場所から移動することで無効化することを特徴とする暗号化通信方法。
【請求項３】
前記暗号化通信を開始する際に、前記無効化されたセキュリティアソシエーションの存在の有無を確認するステップと、
前記無効化されたセキュリティアソシエーションの存在が確認された場合、所定の認証のもと、前記無効化されたセキュリティアソシエーションを有効とするステップと、
を更に有することを特徴とする請求項２に記載の暗号化通信方法。
【請求項４】
前記所定の認証は、簡易的認証手段によって行われることを特徴とする請求項３に記載の暗号化通信方法。
【請求項５】
前記セキュリティアソシエーションは、前記ユーザが当該通信方法による通信を終了するときに無効化されることを特徴とする請求項２から４のいずれかに記載の暗号化通信方法。
【請求項６】
インターネットプロトコルを用いた通信パケットに対し、インターネットプロトコルに関するセキュリティアーキテクチャに準じて所定の処理を施し暗号化及び復号するＩＰｓｅｃ処理部と、
ＩＰパケットに施す処理方法をセキュリティアソシエーションをもとに管理するポリシー管理と、
本来の有効期限よりも前に前記セキュリティアソシエーションを無効化するＳＡ制御部と、
を有することを特徴する暗号化通信装置。
【請求項７】
前記ＳＡ制御部は、前記セキュリティアソシエーションを削除または前記セキュリティアソシエーションが本来保持されるセキュリティアソシエーションデータベースから移動させることで無効化することを特徴とする請求項６に記載の暗号化通信装置。
【請求項８】
前記ＳＡ制御部は、インターネットプロトコルに関するセキュリティアーキテクチャに準じて暗号化通信を開始する際に、本来保持される場所から移動されることによって無効化されているセキュリティアソシエーションの有無を確認し、存在が確認された場合、前記セキュリティアソシエーションを前記セキュリティアソシエーションデータベースに戻すことを特徴とする請求項７に記載の暗号化通信装置。
【請求項９】
前記セキュリティアソシエーションを移動して無効化する場合、当該セキュリティアソシエーションを前記セキュリティアソシエーションデータベースに戻す際に利用するユーザ簡易認証情報を設定し、前記セキュリティアソシエーションを前記セキュリティアソシエーションデータベースに戻す際にユーザに前記ユーザ簡易認証情報に基づき認証を行うユーザ簡易認証部を更に有することを特徴とする請求項８に記載の暗号化通信装置。
【請求項１０】
前記セキュリティアソシエーション制御部は、前記セキュリティアソシエーションを無効化する条件をユーザから受け付けることを特徴とする請求項６から９のいずれかに記載の暗号化通信装置。
【請求項１１】
インターネットプロトコルを用いた通信パケットに対しインターネットプロトコルに関するセキュリティアーキテクチャに準じて処理を施し暗号化及び復号する機能と、
暗号化処理及び復号処理のための情報として利用するセキュリティアソシエーションをもとに前記通信パケットに施す処理方法を管理する機能と、
本来の有効期限前に前記セキュリティアソシエーションを無効化する機能と、をコンピュータに実行させることを特徴とするコンピュータプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク上で暗号化通信を行う技術に関する。
【０００２】
【従来技術】
ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）を利用するネットワーク環境で汎用的に用いることができるセキュリティ技術としてＩＰｓｅｃ（ＩＰ　Ｓｅｃｕｒｉｔｙ　Ｐｒｏｔｏｃｏｌ）がある。このＩＰｓｅｃはＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）を用いた通信パケットの暗号化と認証を行うものであり、ＩＰｖ６規格においてはＶＰＮ（Ｖｉｒｔｕａｌ　Ｐｒｉｖａｔｅ　Ｎｅｔｗｏｒｋ）を構築する際の基幹技術の一つとなっている。ＳＳＬ（Ｓｅｃｕｒｅ　Ｓｏｃｋｅｔｓ　Ｌａｙｅｒ）やＳ／ＭＩＭＥ（Ｓｅｃｕｒｅ／Ｍｕｌｔｉｐｕｒｐｏｓｅ　Ｉｎｔｅｒｎｅｔ　Ｍａｉｌ　Ｅｘｔｅｎｓｉｏｎ）のようなセキュリティプロトコルを利用すれば、特定のアプリケーションでＴＣＰ／ＩＰ通信のセキュリティを確保することができるが、これらを利用するには、対応するアプリケーション毎に個別の設定をする必要がある。例えば、企業における拠点間での通信において、多様なアプリケーションプロトコルを利用する場合、セキュリティの設定をアプリケーション毎に繰り返し設定しなければならず、非常に煩雑な作業が必要となる。更に複数のコンピュータが網の目を作るように通信を行うような場合、その設定を維持管理するだけでも大きな負担となる。
【０００３】
このような問題点を解消するために考案されたのがＩＰｓｅｃである。このプロトコルは、アプリケーション自身がそれぞれ別々にセキュリティ機能を持つのではなく、通信プロトコルそのものがセキュリティ機能を提供する。ＩＰｓｅｃによると、アプリケーション毎のセキュリティ設定が不要となる。つまり、セキュリティ機能の統合が可能となる。
【０００４】
このＩＰｓｅｃは、ＩＰアドレスを持つ通信機器を両端点とする通信路において、暗号化したパケットを送受信するためのプロトコルである。ＩＰｓｅｃによる暗号化通信が開始されるとき、通信端点である通信機器同士が暗号化に必要な情報、具体的には暗号化アルゴリズムの種類、暗号化及び復号のための鍵などがネゴシエーションにより決定される。この暗号化通信に必要な情報はセキュリティアソシエーション（Ｓｅｃｕｒｉｔｙ　Ａｓｓｏｃｉａｔｉｏｎ；以下、単に「ＳＡ」とも略す）と呼ばれ、通信端点に設けられるセキュリティアソシエーションデータベース（Ｓｅｃｕｒｉｔｙ　Ａｓｓｏｃｉａｔｉｏｎ　Ｄａｔａｂａｓｅ；以下、単に「ＳＡＤ」とも略す）に保持される。ＳＡの作成時には、通信機器を使用するユーザの認証が行われる。また、ＳＡには、通信総バイト数あるいは時間で寿命が設定される。ＳＡが設定された寿命に達すると、新たなＳＡが作成され、そのとき同時にユーザの再認証も行われる。
【０００５】
不正なユーザの使用を防ぐために、つまり正当なユーザの機器を悪意のあるユーザが勝手に使用するケースを予防するためには、ＳＡの更新を頻繁に行ってユーザの認証を行う必要がある。しかし、ＳＡの更新が頻繁であると、システムにかかる負荷が高まってしまい、ネットワーク環境のパフォーマンスが低下するおそれがある。また、ＩＰｓｅｃの仕組み自体を変えると、既存のＩＰｓｅｃシステムとの互換性が保てず暗号化通信ができなくなってしまう。
【０００６】
本発明は、このような状況に鑑みなされたものであり、その目的は、ＩＰを利用する通信において、その通信のセキュリティを向上させる技術を提供することにある。また別の目的は、ＩＰｓｅｃの基本的仕組みを変更せず、通信機器のパフォーマンスをそれほど低下させない頻度でユーザの認証を可能とする、ＳＡを制御する技術を提供することにある。
【０００７】
【課題を解決するための手段】
本発明のある態様は、暗号化通信方法に関する。この方法は、ＩＰを用いた通信パケットを暗号化してネットワーク通信を行う際に、暗号化処理及び復号処理のために設定される情報を、当該情報が有する有効期限よりも前に、当該情報が本来存在する場所からその場所への復帰が可能な状態にて移動させることでその情報を無効化する。
【０００８】
ＩＰ層に対して暗号化処理を施すことで、ネットワーク通信を行う際にアプリケーションごとに認証する必要がなくなる。しかし、一旦認証され通信の確立が維持されたままであると、次回の認証時まで正当なユーザであると認識されてしまう。つまり、不正なユーザが認証されている端末を利用して通信することも可能となってしまう。認証に使用される情報には時間や通信に利用したデータ量によって有効期限が設定されており、その更新間隔を短くすることでセキュリティレベルは高まる。しかし、その更新の際に通信システムの負荷が高くなり通信機器のパフォーマンスが低下する恐れがある。そこで、ユーザがログオフしたりシャットダウンした際に、有効期限前であっても認証に使用された情報を削除または移動させることで強制的に無効化する。これによって、次回、その通信機器を使用する際に認証が必要となり、その結果、通信環境の負荷の増加を抑えつつセキュリティの向上が実現される。
【０００９】
本発明の別の態様も、暗号化通信方法に関する。この方法は、ＩＰに関するセキュリティアーキテクチャに準じて暗号化通信を行う際に、暗号化処理及び復号処理のための情報として設定されるＳＡを、当該ＳＡに予め設定された有効期限よりも前に、削除または当該情報が本来存在すべき場所から移動させ無効化する。ＳＡは、ユーザが当該通信方法による通信を中止または停止するときや、使用する端末のログオフやシャットダウンのときに無効化される。また、ユーザが使用する端末に対して入力が所定時間なされないときや、通信を行う所定のアプリケーションを監視しておきその利用が終了したときにＳＡが無効化されてもよい。
【００１０】
本発明の別の態様は、暗号化通信装置に関する。この装置は、ＩＰを用いた通信パケットに対し、ＩＰに関するセキュリティアーキテクチャに準じて所定の処理を施し暗号化及び復号するＩＰｓｅｃ処理部と、ＩＰパケットに施す処理方法をＳＡをもとに管理するポリシー管理と、本来の有効期限よりも前にＳＡを無効化するＳＡ制御部と、を有する。
【００１１】
なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体などの間で変換したものもまた、本発明の態様として有効である。
【００１２】
【発明の実施の形態】
本実施の形態では、ＩＰｓｅｃを用いたネットワーク通信において、その暗号化通信処理に利用されるＳＡを、所定の条件が満たされた場合、その規格に従って設定された寿命より前に削除又は退避させる。ＳＡを退避させる場合、そのＳＡを復帰させる際に利用するユーザの簡易認証情報が設定される。この簡易認証の手段として、例えばパスワードや、ユーザが個別に保有するＩＣカードの利用、指紋認証などがある。正当なユーザからＩＰｓｅｃによる通信要求があった場合、そのユーザが以前利用したＳＡが退避状態にあるか否かを確認し、退避したＳＡ（以下、「退避ＳＡ」ともいう）があれば、本来ＳＡが保持されるべき場所であるＳＡＤにその退避ＳＡを戻し再度利用する。退避ＳＡをＳＡＤに戻す場合、ＳＡを退避する際に設定した簡易認証によりユーザの認証を行う。以下の説明では、簡易認証としてパスワードを利用するがこれに限る趣旨ではない。
【００１３】
ＳＡを無効化する、つまり削除または退避させる条件として、例えば仮想端末の終了や、ユーザのログオフ、オペレーションシステムのシャットダウンがある。また更に、通信を中止することや所定時間端末に対する入力がない場合や、ネットワーク通信を開始するアプリケーションを監視しておき、そのアプリケーションが終了するときであってもよい。これら条件は、ユーザにより予め設定される。
【００１４】
図１は、本実施の形態に係るＩＰｓｅｃ機器２０を含むネットワークシステム１０の構成を示す。それぞれのユーザ端末１２は、ＩＰｓｅｃ機器２０を介してインターネット１８に接続されており、ＩＰｓｅｃプロトコルに基づき暗号化通信を実現する。
【００１５】
図２は、ＩＰｓｅｃ機器２０の構成を示すブロック図である。ＩＰｓｅｃ機器２０は、ＩＰｓｅｃ処理部４０と、ポリシー管理部４２と、データベース部６０と、ＳＡ制御部５０と、ユーザ簡易認証部５２を備える。また、データベース部６０はＳＡＤ４４と、ＳＰＤ４６と、退避ＳＡ保持部４８とを備える。ここで、ＩＰｓｅｃ機器２０とは、ＩＰｓｅｃが実装されたホストであるＩＰｓｅｃホストやＩＰｓｅｃが実装された中継器器であるセキュリティゲートウェイの総称である。したがって、ユーザ端末１２とＩＰｓｅｃ機器２０が同一機器として構成されるケースもある。本実施の形態で、特徴的な点は、ＳＡ制御部５０とユーザ簡易認証部５２である。それ以外の構成要素はＩＰｓｅｃ規格に準じた構成及び機能を有するので、それらについては概略説明とし、一部構成要素を適宜省略している。
【００１６】
ＩＰｓｅｃ処理部４０は、ＩＰパケットの処理方法をポリシー管理部４２に問い合わせ、ＩＰパケットに対してポリシー管理部４２からの返答に応じた処理を施す。ポリシー管理部４２は、ＳＡＤ４４及びＳＰＤ４６を参照して、処理の対象となるＩＰパケットの処理方法をＩＰｓｅｃ処理部４０に通知する。
【００１７】
ＳＡＤ４４はＩＰｓｅｃのセキュリティプロトコルによって保護されたコネクションであるＳＡを格納する。ＳＰＤ４６は、ＩＰｓｅｃの処理の方法を記述したセキュリティポリシーを保持する。ＳＰＤ４６は、出力パケットに対するセキュリティポリシーが保持される出力用ＳＰＤと、入力パケットに対するセキュリティポリシーが保持される出力用ＳＰＤとから構成される。退避ＳＡ保持部４８は、後述の処理によってＳＡ制御部５０が移動したＳＡを保持する。
【００１８】
ＳＡ制御部５０は、ＩＰｓｅｃ処理部４０を監視し、ＩＰｓｅｃによる通信要求が発生した場合、ＳＡＤ４４を参照しＩＰｓｅｃ処理部４０にて処理すべきＩＰパケットに対して適用すべきＳＡの有無を確認する。ＳＡが存在する場合は、ＩＰｓｅｃ処理部４０に対して一般的なＩＰｓｅｃによる通信を行うことを指示する。一方、ＳＡが存在しない場合、退避ＳＡ保持部４８を参照し、退避ＳＡが存在するか否かを確認する。ＳＡＤ４４に戻すべき退避ＳＡが存在する場合、ＳＡ制御部５０は、その退避ＳＡを戻し、以降、そのＳＡに基づいたＩＰｓｅｃによる通信を行うようＩＰｓｅｃ処理部４０に通知する。戻すべき退避ＳＡが存在しない場合、一般的なＩＰｓｅｃの処理に従って新たにＳＡを作成するようＩＰｓｅｃ処理部４０に通知する。また、所定の条件をトリガーとしてＳＡ制御部５０はＳＡの有効期限前にＳＡを削除もしくは退避ＳＡ保持部４８に移動し無効化する。また、ＳＡ制御部５０は、ユーザの入力によりその条件を予め設定する。
【００１９】
ユーザ簡易認証部５２は、ＳＡ制御部５０がＳＡを退避させる際にパスワードを設定するとともに、退避ＳＡをＳＡＤ４４に戻す際に、ユーザにパスワードの入力を促し、ユーザの簡易認証を行う。
【００２０】
以上の構成による動作を、図３及び図４に示すフローチャートをもとに説明する。図３は、ＩＰｓｅｃプロトコルによる通信が開始される際のＩＰｓｅｃ機器２０における処理を示すフローチャートである。
【００２１】
ＩＰｓｅｃによる通信要求があると、ＳＡ制御部５０はＳＡＤ４４を参照してＳＡの有無を確認する（Ｓ１０）。ＳＡが存在する場合（Ｓ１０のＹ）、そのＳＡに基づいてＩＰｓｅｃによる通信が実行される（Ｓ１８）。ＳＡが存在しない場合（Ｓ１０のＮ）、ＳＡ制御部５０は退避ＳＡ保持部４８を参照して退避ＳＡの有無を確認する（Ｓ１２）。退避ＳＡが存在する場合（Ｓ１２のＹ）、ＳＡが退避される際に設定されたパスワードにより、ユーザ簡易認証部５２はユーザの簡易認証を行う（Ｓ１４）。ユーザの認証がなされた場合（Ｓ１４のＹ）、ＳＡ制御部５０は退避ＳＡをＳＡＤ４４に戻す（Ｓ１６）。つづいてＩＰｓｅｃ処理部４０がそのＳＡに基づいてＩＰｓｅｃによる通信を実行する（Ｓ１８）。一方、退避ＳＡが存在しない場合（Ｓ１２のＮ）及び退避ＳＡが存在した場合であってもそれをＳＡＤ４４に戻す際にユーザの認証がなされなかった場合（Ｓ１４のＮ）、ＩＰｓｅｃ規格に準じて新規ＳＡの作成（Ｓ２０）と、ユーザ認証がなされ（Ｓ２２）、作成されたＳＡに基づきＩＰｓｅｃによる通信が実行される（Ｓ１８）。当然、Ｓ２２においてユーザ認証がなされなかった場合、ＩＰｓｅｃによる通信は実行されず、暗号化されない通信が行われるか、通信自体が実行されない。
【００２２】
図４は、既存のＳＡを削除または退避させる処理を示すフローチャートである。この処理は、ユーザのログオフやオペレーションシステムのシャットダウンなど所定のイベントが発生した際に行われる。
【００２３】
所定のイベントが発生すると、ＳＡ制御部５０はＳＡを削除するまたは退避することにより無効化する条件を満たすか否かを確認する（Ｓ５２）。条件を満たさない場合は（Ｓ５２のＮ）、この処理が終了する。条件を満たす場合（Ｓ５２のＹ）、ＳＡ制御部５０は事前の設定によりＳＡを削除もしくは退避する（Ｓ５４）。削除の場合（Ｓ５４の１）、ＳＡ制御部５０はＳＡを削除し（Ｓ５６）、ＳＡが無効化され（Ｓ６０）、処理が終了する。退避の場合（Ｓ５４の２）、ＳＡ制御部５０はＳＡを退避ＳＡ保持部４８に移動し、その際ユーザ簡易認証部５２は次回そのＳＡをＳＡＤに戻す際に使用するユーザ認証用のパスワードを設定し（Ｓ５８）、ＳＡを無効化し（Ｓ６０）、処理が終了する。
【００２４】
上述の構成は、ハードウエア的には、任意のコンピュータのＣＰＵ、メモリ、その他のＬＳＩで実現でき、ソフトウエア的にはメモリにロードされたプログラムなどによって実現されるが、ここではそれらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックがハードウエアのみ、ソフトウエアのみ、またはそれらの組合せによっていろいろな形で実現できることは、当業者には理解されるところである。
【００２５】
以上、本発明によれば、ＩＰを利用する通信において、ＩＰ層レベルのセキュリティ向上が実現される。また別の観点では、ＩＰｓｅｃの基本的仕組みを変更せず、簡便でかつユーザ端末１２のパフォーマンスを著しく低下させることなくＩＰｓｅｃとＳＡを制御し、ＩＰｓｅｃを用いた通信のセキュリティ向上が実現される。
【００２６】
以上、本発明をいくつかの実施の形態をもとに説明した。これらの実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。
【発明の効果】
本発明によると、ＩＰを利用する通信において、ＩＰ層レベルのセキュリティ向上が期待される。
【図面の簡単な説明】
【図１】実施の形態に係るＩＰｓｅｃ機器を含むネットワークシステムの構成を示すブロック図である。
【図２】実施の形態に係るＩＰｓｅｃ機器の構成を示すブロック図である。
【図３】ＩＰｓｅｃプロトコルによる通信が開始される際のＩＰｓｅｃ機器における処理を示すフローチャートである。
【図４】使用中されているＳＡを削除または退避させる処理を示すフローチャートである。
【符号の説明】
１２　ユーザ端末、　１８　インターネット、　２０　ＩＰｓｅｃ機器、　４０　ＩＰｓｅｃ処理部、　４２　ポリシー管理部、　４４　ＳＡＤ、　４８　退避ＳＡ保持部、　５０　ＳＡ制御部、　５２　ユーザ簡易認証部。
【図１】
2004096178.tif 000003
【図２】
2004096178.tif 000004
【図３】
2004096178.tif 000005
【図４】
2004096178.tif 000006