(57)【要約】入れ子状のＩＰＳｅｃトンネルを処理するための方法およびネットワーク装置であって、ネットワーク装置を介してＩＰＳｅｃトンネルへと流入する送信パケットおよびＩＰＳｅｃトンネルからネットワーク装置を介して流出する受信パケットを処理するための方法およびネットワーク装置。ネットワーク装置（３）が、ネットワークインターフェイスユニット（３１）と、セキュリティアソシエーションデータベース（３２）と、選択的暗号化モジュール（３３１）および選択的復号化モジュール（３３２）を含むＩＰＳｅｃ処理ユニット（３３）とを備えている。ＩＰＳｅｃ処理ユニットが、ＩＰＳｅｃ暗号化パケットであると判断された送信パケットについて、選択的暗号化モジュールによって新たなＩＰＳｅｃパケットを生成するためのものであり、選択的暗号化モジュールによる処理を受けていると判断される受信パケットについて、選択的復号化モジュールによって平文を得るためのものである。
2010505284.tif 000002
【特許請求の範囲】
【請求項１】
ヘッダおよびペイロードをそれぞれが含んでいる送信パケットであって、既存のセキュリティアソシエーションを少なくとも１つ有しているＩＰＳｅｃトンネルへとネットワーク装置を介して流入する送信パケットを処理するように構成されている送信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法であって、
（ａ）送信パケットのそれぞれについて、ＩＰＳｅｃ暗号化パケットであるか否かを判断するステップ、
（ｂ）それぞれのＩＰＳｅｃ暗号化パケットに対し、選択的な暗号化を実行して、暗号文を得るステップ、および
（ｃ）それぞれのＩＰＳｅｃ暗号化パケットについて、前記暗号文をペイロードに含み、パケットが選択的な暗号化を受けている旨を知らせる表示ユニットをヘッダに含んでいる新たなＩＰＳｅｃパケットを生成するステップ
を含んでいる方法。
【請求項２】
ステップ（ａ）において、送信パケットのヘッダが、前記送信パケットがＩＰＳｅｃ暗号化パケットであるか否かを判断するために、暗号ペイロードヘッダを有しているか否かを調べるべく検査される、請求項１に記載の送信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項３】
ステップ（ａ）および（ｂ）の間に、
（ｄ）あらかじめ協議済みの枠組みに従い、前記新たなＩＰＳｅｃパケットを受信する別のネットワーク装置が選択的な暗号化に対応しているか否かを判断し、対応している場合に、ステップ（ｂ）および（ｃ）の処理へと進むステップ
をさらに有している、請求項１に記載の送信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項４】
ステップ（ｂ）における選択的な暗号化が、前記ＩＰＳｅｃ暗号化パケットのインターネットプロトコルヘッダおよび暗号ペイロードヘッダを暗号化して暗号文を生成することを含んでいる、請求項１に記載の送信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項５】
ステップ（ｂ）における選択的な暗号化が、前記ＩＰＳｅｃ暗号化パケットのインターネットプロトコルヘッダ、暗号ペイロードヘッダ、および暗号ペイロードトレーラの認証データを暗号化して暗号文を生成することを含んでいる、請求項１に記載の送信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項６】
ステップ（ｂ）における選択的な暗号化が、前記セキュリティアソシエーションの暗号化アルゴリズムに従って実行されて、前記暗号文が生成される、請求項１に記載の送信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項７】
ステップ（ｃ）において、前記新たなＩＰＳｅｃパケットのヘッダの表示ユニットが、選択的な暗号化の処理範囲をさらに知らせている、請求項１に記載の送信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項８】
ヘッダおよびペイロードをそれぞれが含んでいる受信パケットであって、既存のセキュリティアソシエーションを少なくとも１つ有しているＩＰＳｅｃトンネルからネットワーク装置を介して流出する受信パケットを処理するように構成されている受信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法であって、
（ａ）受信パケットのそれぞれについて、選択的な暗号化を受けているか否かを判断するステップ、および
（ｂ）選択的な暗号化を受けている受信パケットのそれぞれに対し、選択的な復号化を実行して、平文を得るステップ
を含んでいる方法。
【請求項９】
ステップ（ａ）において、前記受信パケットのヘッダが、前記受信パケットが選択的な暗号化を受けている旨を知らせるために使用される表示ユニットが存在するか否かを調べるために検査される、請求項８に記載の受信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項１０】
前記表示ユニットが、選択的な暗号化の処理範囲をさらに知らせている、請求項９に記載の受信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項１１】
ステップ（ｂ）の選択的な復号化の際に復元される平文が、インターネットプロトコルヘッダおよび暗号ペイロードヘッダを含んでいる、請求項８に記載の受信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項１２】
ステップ（ｂ）の選択的な復号化の際に復元される平文が、インターネットプロトコルヘッダ、暗号ペイロードヘッダ、および暗号ペイロードトレーラの認証データを含んでいる、請求項８に記載の受信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項１３】
ステップ（ｂ）における選択的な復号化が、前記セキュリティアソシエーションの復号化アルゴリズムに従って実行されて、前記平文が復元される、請求項８に記載の受信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法。
【請求項１４】
入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置であって、
前記ネットワーク装置を介してＩＰＳｅｃトンネルへと流入する送信パケットおよびＩＰＳｅｃトンネルから前記ネットワーク装置を介して流出する受信パケットであって、それぞれがヘッダおよびペイロードを含んでいる送信パケットおよび受信パケットを処理するように構成され、
前記送信パケットおよび前記受信パケットを受け取るためのネットワークインターフェイスユニット、
暗号化アルゴリズムおよび復号化アルゴリズムを含む少なくとも１つのセキュリティアソシエーションを保存するためのセキュリティアソシエーションデータベース、および
選択的暗号化モジュールおよび選択的復号化モジュールを含むＩＰＳｅｃ処理ユニット
を有しており、
前記送信パケットのそれぞれを処理するとき、前記ＩＰＳｅｃ処理ユニットが、最初に送信パケットがＩＰＳｅｃ暗号化パケットであるか否かを判断し、ＩＰＳｅｃ暗号化パケットであると判断された場合に、前記送信パケットを前記選択的暗号化モジュールによって処理して暗号文を得、その後に前記ＩＰＳｅｃ処理ユニットが、それぞれのＩＰＳｅｃ暗号化パケットについて、前記暗号文をペイロードに含み、パケットが前記選択的暗号化モジュールによる処理を受けているか否かを知らせるための表示ユニットをヘッダに含んでいる新たなＩＰＳｅｃパケットを生成し、
前記受信パケットのそれぞれを処理するとき、前記ＩＰＳｅｃ処理ユニットが、最初に受信パケットが前記選択的暗号化モジュールによる処理を受けているか否かを判断し、受信パケットが前記選択的暗号化モジュールによる処理を受けている場合に、前記受信パケットを前記選択的復号化モジュールによって処理して平文を得るネットワーク装置。
【請求項１５】
前記ＩＰＳｅｃ処理ユニットが、送信パケットのヘッダを、前記送信パケットがＩＰＳｅｃ暗号化パケットであるか否かを判断するために、暗号ペイロードヘッダを有しているか否かを調べるべく検査する、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項１６】
前記新たなＩＰＳｅｃパケットを受信する別のネットワーク装置が前記選択的復号化モジュールを有しているか否かを、あらかじめ協議済みの枠組みに従って確認し、別のネットワーク装置が前記選択的復号化モジュールを有している場合に、前記選択的暗号化モジュールの処理を命ずるトンネル検出ユニット
をさらに備えている、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項１７】
前記選択的暗号化モジュールが、前記ＩＰＳｅｃ暗号化パケットのインターネットプロトコルヘッダおよび暗号ペイロードヘッダを暗号化して暗号文を生成する、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項１８】
前記選択的暗号化モジュールが、前記ＩＰＳｅｃ暗号化パケットのインターネットプロトコルヘッダ、暗号ペイロードヘッダ、および暗号ペイロードトレーラの認証データを暗号化して暗号文を生成する、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項１９】
前記選択的暗号化モジュールが、前記セキュリティアソシエーションの暗号化アルゴリズムに従って暗号文を生成する、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項２０】
前記新たなＩＰＳｅｃパケットのヘッダの表示ユニットが、前記選択的暗号化モジュールの処理範囲をさらに知らせている、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項２１】
前記ＩＰＳｅｃ処理ユニットが、受信パケットのヘッダを、前記受信パケットが前記選択的暗号化モジュールによる処理を受けている旨を知らせるために使用される表示ユニットが存在するか否かを調べるために検査する、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項２２】
前記受信パケットのヘッダの表示ユニットが、前記選択的暗号化モジュールの処理範囲をさらに知らせている、請求項２１に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項２３】
前記選択的復号化モジュールに対応しているか否かを、あらかじめ協議済みの枠組みに従って、他のネットワーク装置へと通知するトンネル検出ユニット
をさらに備えている、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項２４】
前記選択的復号化モジュールによって復元される平文が、インターネットプロトコルヘッダおよび暗号ペイロードヘッダを含んでいる、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項２５】
前記選択的復号化モジュールによって復元される平文が、インターネットプロトコルヘッダ、暗号ペイロードヘッダ、および暗号ペイロードトレーラの認証データを含んでいる、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【請求項２６】
前記選択的復号化モジュールが、前記セキュリティアソシエーションの復号化アルゴリズムに従って平文を復元する、請求項１４に記載の入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットプロトコルセキュリティ（ＩＰＳｅｃ）トンネルを処理するための方法およびネットワーク装置に関し、特には、入れ子状のＩＰＳｅｃトンネルを処理するための方法およびネットワーク装置に関する。
【背景技術】
【０００２】
インターネット通信においては、ＩＰＳｅｃが、ピアツーピア形式でインターネットプロトコル層へとセキュリティサービスを提供するために広く使用されている。２つのネットワーク装置の間に、それらのネットワーク装置間を伝送されるパケットを暗号化するＩＰＳｅｃトンネルを確立することによって、ネットワーク装置間のネットワーク伝送を保護することができる。しかしながら、ネットワーク装置の間にゲートウェイなどの他の装置が存在する可能性があり、そのような装置が、元のＩＰＳｅｃトンネルを覆うもう１つのＩＰＳｅｃトンネルを確立し、結果として入れ子状のＩＰＳｅｃトンネルがもたらされる可能性がある。
【０００３】
図１を参照し、入れ子状のＩＰＳｅｃトンネルが例として説明される。第１のＩＰＳｅｃトンネル１３が、第１の端末１１と第２の端末１２との間に確立されている。第１のＩＰＳｅｃトンネル１３を覆って、第２のＩＰＳｅｃトンネル１６が、第１のゲートウェイ１４と第２のゲートウェイ１５との間に確立されている。
【０００４】
第１の端末１１と第２の端末１２との間を伝送されるパケットは、第１のゲートウェイ１４および第２のゲートウェイ１５を通過し、第１のＩＰＳｅｃトンネル１３および第２のＩＰＳｅｃトンネル１６によって同時に暗号化されて保護される。図２が、第１のＩＰＳｅｃトンネル１３および第２のＩＰＳｅｃトンネル１６によって同時に暗号化されて保護されたパケットを示しており、暗号化データ２１が、第１のＩＰＳｅｃトンネル１３によって暗号化されて保護され、暗号化データ２２が、第２のＩＰＳｅｃトンネル１６によって暗号化されて保護されている。暗号化データ２１が再び暗号化されることで、このようなパケットを受信した別のネットワーク装置が復号化を実行する際に、余分な負荷が生じることになる。
【０００５】
従来からの改善方法が、「Ｔｅｒｍｉｎｏｌｏｇｙ  ｆｏｒ  Ｂｅｎｃｈｍａｒｋｉｎｇ  ＩＰＳｅｃ  Ｄｅｖｉｃｅｓ」という名称の２００５年８月のＩＥＴＦ草稿に記載されており、入れ子状のＩＰＳｅｃトンネルの問題を克服するために、入れ子のレベルを制限することを提案している。図１を例とすると、第１のゲートウェイ１４は、第１の端末１１からパケットを受信し、パケットがＩＰＳｅｃパケットであることに気が付くと、そのＩＰＳｅｃパケットの暗号化を行わない。この入れ子のレベルを制限するという方法は、実際に、入れ子状のＩＰＳｅｃトンネルにおける繰り返しの暗号化を回避することができ、復号化の際の追加の負荷を低減することができる。しかしながら、図２のＩＰヘッダ２３および暗号ペイロード（ＥＳＰ）ヘッダ２４は、暗号化および保護がなされておらず、容易にセキュリティが破られることにつながる。
【０００６】
他の従来からの改善方法が、３ＧＰＰ  ＴＳＧ  ＳＡ  ＷＧ３  Ｓｅｃｕｒｉｔｙの「Ｓｉｍｐｌｉｆｙｉｎｇ  Ａｓｓｕｍｐｔｉｏｎ  ｆｏｒ  ｔｈｅ  Ｕｓｅ  ｏｆ  ＩＰＳｅｃ  ｉｎ  ＵＭＴＳ」という名称の報告書（２０００年１１月）に記載されており、入れ子状のＩＰＳｅｃトンネルの問題を克服するために、チェーン状のトンネルを使用している。再び図１を例とすると、第１のゲートウェイ１４が、最初に第１の端末１１からの暗号化パケットを復号化し、次いでそれらのパケットを暗号化する。その後に、第２のゲートウェイ１５が、第１のゲートウェイ１４によって暗号化されたパケットを復号化し、次いでそれらのパケットを暗号化する。チェーン状のトンネルの方法においては、入れ子状のＩＰＳｅｃトンネルにおける繰り返しの暗号化を回避することができる。しかしながら、中間のゲートウェイ（第１のゲートウェイ１４および第２のゲートウェイ１５など）のそれぞれが、まずパケットの復号化を行い、次いで暗号化を行わなければならず、結果として中間のゲートウェイのそれぞれの処理時間が増加する。
【０００７】
したがって、入れ子状のＩＰＳｅｃトンネルにおける繰り返しの暗号化を防止しつつ、セキュリティおよび処理時間をも考慮した技術的解決策を発見することに、ニーズが存在している。
【発明の開示】
【０００８】
したがって、本発明の目的は、送信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法であって、既存のセキュリティアソシエーションを少なくとも１つ有しているＩＰＳｅｃトンネルへとネットワーク装置を介して流入する送信パケット（それぞれがヘッダおよびペイロードを含んでいる）を処理するように構成された方法を提供することにある。
【０００９】
したがって、送信用の入れ子状のＩＰＳｅｃトンネルを処理するための本発明の方法は、（ａ）送信パケットのそれぞれについて、ＩＰＳｅｃ暗号化パケットであるか否かを判断するステップ、（ｂ）それぞれのＩＰＳｅｃ暗号化パケットに対し、選択的な暗号化を実行して、暗号文を得るステップ、および（ｃ）それぞれのＩＰＳｅｃ暗号化パケットについて、前記暗号文をペイロードに含み、パケットが選択的な暗号化を受けている旨を知らせる表示ユニットをヘッダに含んでいる新たなＩＰＳｅｃパケットを生成するステップ、を含んでいる。
【００１０】
本発明の別の目的は、受信用の入れ子状のＩＰＳｅｃトンネルを処理するための方法であって、既存のセキュリティアソシエーションを少なくとも１つ有しているＩＰＳｅｃトンネルからネットワーク装置を介して流出する受信パケット（それぞれがヘッダおよびペイロードを含んでいる）を処理するように構成された方法を提供することにある。
【００１１】
したがって、受信用の入れ子状のＩＰＳｅｃトンネルを処理するための本発明の方法は、（ａ）受信パケットのそれぞれについて、選択的な暗号化を受けているか否かを判断するステップ、および（ｂ）選択的な暗号化を受けている受信パケットのそれぞれに対し、選択的な復号化を実行して、平文を得るステップ、を含んでいる。
【００１２】
本発明のさらに別の目的は、入れ子状のＩＰＳｅｃトンネルを処理するためのネットワーク装置であって、前記ネットワーク装置を介してＩＰＳｅｃトンネルへと流入する送信パケットおよびＩＰＳｅｃトンネルから前記ネットワーク装置を介して流出する受信パケット（それぞれがヘッダおよびペイロードを含んでいる）を処理するように構成されたネットワーク装置を提供することにある。
【００１３】
したがって、入れ子状のＩＰＳｅｃトンネルを処理するための本発明のネットワーク装置は、ネットワークインターフェイスユニット、セキュリティアソシエーションデータベース、およびＩＰＳｅｃ処理ユニットを備えている。ネットワークインターフェイスユニットが、送信パケットおよび受信パケットを受け取るために使用される。セキュリティアソシエーションデータベースが、送信パケットまたは受信パケットのいずれかに適用すべき暗号化アルゴリズムおよび復号化アルゴリズムを含む少なくとも１つのセキュリティアソシエーションを保存するために使用される。ＩＰＳｅｃ処理ユニットは、選択的暗号化モジュールおよび選択的復号化モジュールを含んでいる。送信パケットのそれぞれを処理するとき、ＩＰＳｅｃ処理ユニットが、最初に送信パケットがＩＰＳｅｃ暗号化パケットであるか否かを判断する。ＩＰＳｅｃ暗号化パケットである場合、その送信パケットが、セキュリティアソシエーションデータベース内の対応する情報に従って、選択的暗号化モジュールによって処理されて暗号文が得られる。その後に、ＩＰＳｅｃ処理ユニットが、それぞれのＩＰＳｅｃ暗号化パケットについて、前記暗号文をペイロードに含み、パケットが選択的暗号化モジュールによる処理を受けているか否かを知らせるための表示ユニットをヘッダに含んでいる新たなＩＰＳｅｃパケットを生成する。受信パケットのそれぞれを処理するとき、ＩＰＳｅｃ処理ユニットが、最初に受信パケットが選択的暗号化モジュールによる処理を受けているか否かを判断する。受信パケットが選択的暗号化モジュールによる処理を受けている場合、この受信パケットが、セキュリティアソシエーションデータベース内の対応する情報に従って、前記選択的復号化モジュールによって処理されて平文が得られる。
【００１４】
本発明の選択的な暗号化および選択的な復号化によれば、入れ子状のＩＰＳｅｃトンネルにおける繰り返しの暗号化を、セキュリティおよび処理時間も考慮しつつ回避することができ、したがって本発明の目的が達成される。
【００１５】
本発明の他の特徴および利点が、添付の図面を参照して、好ましい実施形態についての以下の詳細な説明において明らかになるであろう。
【発明を実施するための最良の形態】
【００１６】
図３を参照すると、入れ子状のインターネットプロトコルセキュリティ（ＩＰＳｅｃ）トンネルを処理するための本発明によるネットワーク装置３の好ましい実施形態は、ネットワーク装置３を介してＩＰＳｅｃトンネルへと出入りする送信パケットおよび受信パケットを処理するためのものである。送信パケットおよび受信パケットのそれぞれが、ヘッダおよびペイロードを含んでいる。ネットワーク装置３は、ネットワークインターフェイスユニット３１、セキュリティアソシエーションデータベース３２、ＩＰＳｅｃ処理ユニット３３、およびトンネル検出ユニット３４を含んでいる。セキュリティアソシエーションデータベース３２は、送信パケットまたは受信パケットのそれぞれへと適用すべき暗号化アルゴリズムおよび復号化アルゴリズムを含む少なくとも１つのセキュリティアソシエーション（ＳＡ）を保存するためのものである。ＩＰＳｅｃ処理ユニット３３は、選択的暗号化モジュール３３１および選択的復号化モジュール３３２を含んでいる。ネットワーク装置３は、ゲートウェイまたは任意の同様の装置であってよい。
【００１７】
図３および図４を図１の例との組み合わせにおいて参照すると、入れ子状のＩＰＳｅｃトンネルにおいて送信を処理するための本発明の方法は、ネットワーク装置３（図１の第１のゲートウェイ１４など）を介してＩＰＳｅｃトンネル（図１の第２のＩＰＳｅｃトンネル１６など）へと流入する送信パケットを処理するように構成されている。この方法は、以下のステップを含んでいる。
【００１８】
ステップ４１において、ネットワークインターフェイスユニット３１が、送信パケットを受信するために使用される。
【００１９】
ステップ４２において、ＩＰＳｅｃ処理ユニット３３が、セキュリティアソシエーションデータベース３２を検査し、通信の参加者によって共通に使用される以後のＩＰＳｅｃ処理の方法を決定する。
【００２０】
ステップ４３において、ＩＰＳｅｃ処理ユニット３３が、それぞれの送信パケットのヘッダを検査し、送信パケットがＩＰＳｅｃ暗号化パケットであるか否かを判断するために、ＥＳＰヘッダが存在するか否かを調べる。送信パケットがＩＰＳｅｃ暗号化パケットである場合、手順はステップ４４の処理へと進む。そうでない場合、手順はステップ４８の処理へと進み、ＩＰＳｅｃ処理ユニット３３が、送信パケットについて通常のＩＰＳｅｃ処理を実行する。
【００２１】
ステップ４４においては、あらかじめ協議済みの枠組みに従い、トンネル検出ユニット３４が、送信パケットを受信する他のネットワーク装置（図１の第２のゲートウェイ１５など）が選択的な復号化に対応しているか否かを判断する。対応している場合、手順はステップ４５の処理へと進む。そうでない場合、手順はステップ４８の処理へと進み、ＩＰＳｅｃ処理ユニット３３が、送信パケットについて通常のＩＰＳｅｃ処理を実行する。あらかじめ協議済みの枠組みに関して、照会信号を他のネットワーク装置へと送信することができ、次いで他のネットワーク装置から、選択的な復号化に対応している旨を知らせる確認信号（ＡＣＫ）が返される。
【００２２】
ステップ４５において、ＩＰＳｅｃ処理ユニット３３の選択的暗号化モジュール３３１が、送信パケットについて選択的な暗号化を実行して暗号文を得る。選択的な暗号化は、ＳＡの暗号化アルゴリズムに従って実行される。図６に示されるとおり、選択的暗号化モジュール３３１は、内層のＩＰＳｅｃパケットのＩＰヘッダ６１およびＥＳＰヘッダ６２を暗号化して、暗号文（すなわち、暗号化データ７１）を生成することができ、あるいは内層のＩＰＳｅｃパケットのＩＰヘッダ６１、ＥＳＰヘッダ６２、およびＥＳＰトレーラの認証データ６３を暗号化して、暗号文（暗号化データ７１および暗号化データ７２）を生成することができる。
【００２３】
ステップ４６において、新たなＩＰＳｅｃパケット（図６を参照）が生成される。この新たなＩＰＳｅｃパケットのペイロードが、暗号文を含んでおり、この新たなＩＰＳｅｃパケットのヘッダが、このパケットが選択的な暗号化を受けているか否かを知らせるための表示ユニットを含んでいる。この実施形態においては、表示ユニットが、２つのビットを含んでおり、一方は、パケットが選択的な暗号化を受けているか否かを知らせるためのものであり、他方は、選択的な暗号化の処理範囲（すなわち、暗号化データ７１（図６を参照）なのか、あるいは暗号化データ７１および暗号化データ７２（図６を参照）なのか）を知らせるためのものである。
【００２４】
ステップ４７において、ＩＰＳｅｃ処理ユニット３３は、ＩＰＳｅｃ認証処理を実行する。
【００２５】
図３および図５を図１の例との組み合わせにおいて参照すると、入れ子状のＩＰＳｅｃトンネルにおいて受信を処理するための本発明の方法は、ネットワーク装置３（図１の第２のゲートウェイ１５など）を介してＩＰＳｅｃトンネル（図１の第２のＩＰＳｅｃトンネル１６など）から流出する受信パケットを処理するように構成されている。この方法は、以下のステップを含んでいる。
【００２６】
ステップ５１において、ネットワークインターフェイスユニット３１が、受信パケットを受信するために使用される。
【００２７】
ステップ５２において、ＩＰＳｅｃ処理ユニット３３が、セキュリティアソシエーションデータベース３２を検査し、以後のＩＰＳｅｃ処理の方法を決定する。
【００２８】
ステップ５３において、ＩＰＳｅｃ処理ユニット３３が、ＩＰＳｅｃ認証処理を実行する。
【００２９】
ステップ５４において、ＩＰＳｅｃ処理ユニット３３が、それぞれの受信パケットのヘッダを検査して、パケットが選択的な暗号化を受けている旨を知らせる表示ユニットが存在するか否かを調べ、受信パケットが選択的な暗号化を受けているか否かを判断する。パケットが選択的な暗号化を受けている場合、手順はステップ５６の処理へと進む。そうでない場合、手順はステップ５５の処理へと進む。
【００３０】
ステップ５５においては、ＩＰＳｅｃ処理ユニット３４が、受信パケットについて通常のＩＰＳｅｃ処理を実行する。
【００３１】
ステップ５６においては、ＩＰＳｅｃ処理ユニット３３の選択的復号化モジュール３３２が、受信パケットについて選択的な復号化を実行して、平文を得る。選択的な復号化は、ＳＡの復号化アルゴリズムに従って実行される。表示ユニットに従って、平文の範囲（すなわち、暗号化データ７１（図６を参照）なのか、あるいは暗号化データ７１および暗号化データ７２（図６を参照）なのか）を決定することができる。
【００３２】
要約すると、図６に示されているとおり、本発明における選択的な暗号化および選択的な復号化によれば、内層のＩＰＳｅｃパケットの暗号化データ７３が繰り返し暗号化されることがないため、入れ子状のＩＰＳｅｃトンネルの問題が解決される。さらに、ＩＰヘッダ６１およびＥＳＰヘッダ６２が、依然として暗号化の対象であって保護を受けているため、セキュリティの心配が少なく、さらに任意により認証データ６３をも暗号化できる場合、セキュリティがより強力になる。また、ネットワーク装置３が、送信／受信パケットを選択的に暗号化および復号化し、復号化およびその後の暗号化を実行する必要がないため、処理時間を節約できる。このようにして、本発明の目的が達成される。
【００３３】
以上、本発明を最も現実的かつ好ましい実施形態であると考えられる内容に関して説明したが、本発明が、本明細書に開示された実施形態に限定されず、最も広い解釈の精神および範囲に含まれる種々の構成を包含し、そのような変形および均等な構成のすべてを網羅することを理解すべきである。
【図面の簡単な説明】
【００３４】
【図１】入れ子状のＩＰＳｅｃトンネルの例を説明するための概略図である。
【図２】繰り返しの暗号化を受けた従来からのパケットを説明するための概略図である。
【図３】入れ子状のＩＰＳｅｃトンネルを処理するための本発明によるネットワーク装置の好ましい実施形態を説明するためのシステムブロック図である。
【図４】入れ子状のＩＰＳｅｃトンネルにおいて送信を処理するための本発明による方法の好ましい実施形態を説明するためのフローチャートである。
【図５】入れ子状のＩＰＳｅｃトンネルにおいて受信を処理するための本発明による方法の好ましい実施形態を説明するためのフローチャートである。
【図６】本発明による選択的な暗号化を受けたパケットを説明するための概略図である。
【図１】
2010505284.tif 000003
【図２】
2010505284.tif 000004
【図３】
2010505284.tif 000005
【図４】
2010505284.tif 000006
【図５】
2010505284.tif 000007
【図６】
2010505284.tif 000008
【国際調査報告】
2010505284.tif 000009
2010505284.tif 000010
2010505284.tif 000011