(57)【要約】マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するためのネットワークセキュリティ処理方法およびシステムにおいて、当該方法が、マルチメディアセッションの複数のパケットに信号処理を加え、前記マルチメディアセッションに含まれるマルチメディアセッション情報を得るステップ、前記マルチメディアセッションに鍵認証のネゴシエーションを加えるステップ、および前記マルチメディアセッション情報に従い、前記ソフトウェア暗号モジュールおよび前記ハードウェア暗号モジュールのうちの一方を動作させる判断を行うステップ、を含んでいる。前記ハードウェア暗号モジュールが動作させられる場合、該ハードウェア暗号モジュールが、前記マルチメディアセッションのパケットのネットワークセキュリティ処理を行う。前記ソフトウェア暗号モジュールが動作させられる場合、該ソフトウェア暗号モジュールが、前記マルチメディアセッションのパケットのネットワークセキュリティ処理を行う。
2010507266.tif 000002
【特許請求の範囲】
【請求項１】
マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するためのネットワークセキュリティ処理方法であって、
（ａ）マルチメディアセッションの複数のパケットに信号処理を加え、前記マルチメディアセッションに含まれるマルチメディアセッション情報を得るステップ、
（ｂ）前記マルチメディアセッションに鍵認証のネゴシエーションを加えるステップ、および
（ｃ）前記マルチメディアセッション情報に従い、前記ハードウェア暗号モジュールおよび前記ソフトウェア暗号モジュールのうちの一方を動作させる判断を行い、前記ハードウェア暗号モジュールを動作させる場合、該ハードウェア暗号モジュールが前記マルチメディアセッションのパケットのネットワークセキュリティ処理を行い、前記ソフトウェア暗号モジュールを動作させる場合、該ソフトウェア暗号モジュールが前記マルチメディアセッションのパケットのネットワークセキュリティ処理を行うステップ
を含んでいるネットワークセキュリティ処理方法。
【請求項２】
ステップ（ａ）において、前記マルチメディアセッション情報が、メディア種別を含んでいる、請求項１に記載のネットワークセキュリティ処理方法。
【請求項３】
ステップ（ｃ）において、前記判断が、前記マルチメディアセッション情報の前記メディア種別に基づいて行われる、請求項２に記載のネットワークセキュリティ処理方法。
【請求項４】
ステップ（ａ）において、前記マルチメディアセッション情報が、コーデック種別を含んでいる、請求項１に記載のネットワークセキュリティ処理方法。
【請求項５】
ステップ（ｃ）において、前記判断が、前記マルチメディアセッション情報の前記コーデック種別に基づいて行われる、請求項４に記載のネットワークセキュリティ処理方法。
【請求項６】
ステップ（ｃ）が、システムの統計値がしきい値よりも高い場合に、前記ハードウェア暗号モジュールが前記マルチメディアセッションのパケットのネットワークセキュリティ処理を行うサブステップを含んでいる、請求項１に記載のネットワークセキュリティ処理方法。
【請求項７】
前記システムの統計値が、中央演算処理装置の利用率である、請求項６に記載のネットワークセキュリティ処理方法。
【請求項８】
前記システムの統計値が、システムの負荷値である、請求項６に記載のネットワークセキュリティ処理方法。
【請求項９】
ステップ（ｂ）において、前記鍵認証のネゴシエーションが、前記マルチメディアセッションに対応するセキュリティアソシエーションを生成する、請求項１に記載のネットワークセキュリティ処理方法。
【請求項１０】
ステップ（ｃ）が、前記ハードウェア暗号モジュールに対応するフラグおよび識別情報と前記セキュリティアソシエーションとの間の接続関係を確立するサブステップを含んでいる、請求項９に記載のネットワークセキュリティ処理方法。
【請求項１１】
ステップ（ｃ）が、前記ソフトウェア暗号モジュールに対応するフラグおよび関数インデックスと前記セキュリティアソシエーションとの間の接続関係を確立するサブステップを含んでいる、請求項９に記載のネットワークセキュリティ処理方法。
【請求項１２】
前記ネットワークセキュリティ処理が、インターネットプロトコルセキュリティである、請求項９に記載のネットワークセキュリティ処理方法。
【請求項１３】
前記鍵認証のネゴシエーションが、インターネット鍵交換である、請求項９に記載のネットワークセキュリティ処理方法。
【請求項１４】
ステップ（ｂ）において、前記鍵認証のネゴシエーションが、前記マルチメディアセッションに対応するセッションステートメントを生成する、請求項１に記載のネットワークセキュリティ処理方法。
【請求項１５】
ステップ（ｃ）が、前記ハードウェア暗号モジュールに対応するフラグおよび識別情報と前記セッションステートメントとの間の接続関係を確立するサブステップを含んでいる、請求項１４に記載のネットワークセキュリティ処理方法。
【請求項１６】
ステップ（ｃ）が、前記ソフトウェア暗号モジュールに対応するフラグおよび関数インデックスと前記セッションステートメントとの間の接続関係を確立するサブステップを含んでいる、請求項１４に記載のネットワークセキュリティ処理方法。
【請求項１７】
前記ネットワークセキュリティ処理が、セキュアソケット層である、請求項１４に記載のネットワークセキュリティ処理方法。
【請求項１８】
前記鍵認証のネゴシエーションが、セキュアソケット層ハンドシェイクである、請求項１４に記載のネットワークセキュリティ処理方法。
【請求項１９】
前記マルチメディアセッション情報が、セッション開始プロトコルによって得られる、請求項１に記載のネットワークセキュリティ処理方法。
【請求項２０】
前記マルチメディアセッション情報が、リアルタイムストリーミングプロトコルによって得られる、請求項１に記載のネットワークセキュリティ処理方法。
【請求項２１】
マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するためのシステムであって、
マルチメディアセッションの信号処理を実行して、該マルチメディアセッション内のマルチメディアセッション情報を得る情報分析ユニット、
ネットワークセキュリティ処理を実行するためのネットワークセキュリティ処理ユニットであって、前記マルチメディアセッションについて鍵認証のネゴシエーションを行うための鍵認証サブユニットと、前記ハードウェア暗号モジュールおよび前記ソフトウェア暗号モジュールを含む暗号処理サブユニットとを備えているネットワークセキュリティ処理ユニット、および
前記マルチメディアセッション情報に基づいて、前記ハードウェア暗号モジュールおよび前記ソフトウェア暗号モジュールのどちらが前記ネットワークセキュリティ処理を実行すべきかを判断するソフトウェア／ハードウェア判定ユニットであって、前記ハードウェア暗号モジュールまたは前記ソフトウェア暗号モジュールの使用を選択するための暗号モジュール判定サブユニットと、該暗号モジュール判定サブユニットに接続された暗号モジュール判定データベースとを備えているソフトウェア／ハードウェア判定ユニット
を備えているシステム。
【請求項２２】
前記マルチメディアセッション情報が、メディア種別を含んでいる、請求項２１に記載のシステム。
【請求項２３】
前記マルチメディアセッション情報が、コーデック種別を含んでいる、請求項２１に記載のシステム。
【請求項２４】
システムの統計値を記録するためのシステム統計ユニットをさらに備えており、
前記ソフトウェア／ハードウェア判定ユニットが、前記システムの統計値がしきい値よりも高い場合に、前記マルチメディアセッションについて前記ネットワークセキュリティ処理を実行するために前記ハードウェア暗号モジュールを選択する、請求項２１に記載のシステム。
【請求項２５】
前記システムの統計値が、中央演算処理装置の利用率である、請求項２４に記載のシステム。
【請求項２６】
前記システムの統計値が、システムの負荷値である、請求項２４に記載のシステム。
【請求項２７】
前記ソフトウェア／ハードウェア判定ユニットの前記暗号モジュール判定データベースへと接続して、該暗号モジュール判定データベースへと前記ハードウェア暗号モジュールまたは前記ソフトウェア暗号モジュールの使用を選択するための複数の所定の条件を入力するためのソフトウェア／ハードウェア暗号設定ユニット
をさらに備えている、請求項２１に記載のシステム。
【請求項２８】
前記ネットワークセキュリティ処理ユニットの前記鍵認証サブユニットが、インターネット鍵交換を使用してセキュリティアソシエーションを生成する、請求項２１に記載のシステム。
【請求項２９】
前記ネットワークセキュリティ処理ユニットが、セキュリティアソシエーション処理サブユニットおよび該セキュリティアソシエーション処理サブユニットに接続されたセキュリティアソシエーションデータベースをさらに備えており、
前記セキュリティアソシエーションデータベースが、複数の情報フィールドをそれぞれが含んでいる複数の鍵アレイを含んでいる、請求項２８に記載のシステム。
【請求項３０】
前記ソフトウェア／ハードウェア判定ユニットが、前記ハードウェア暗号モジュールを使用すると判断した場合に、前記セキュリティアソシエーション処理サブユニットが、前記セキュリティアソシエーション、ならびに前記ハードウェア暗号モジュールに対応するフラグおよび識別情報を、前記セキュリティアソシエーションデータベースの適合するそれぞれの鍵アレイの前記情報フィールドに記録する、請求項２９に記載のシステム。
【請求項３１】
前記ソフトウェア／ハードウェア判定ユニットが、前記ソフトウェア暗号モジュールを使用すると判断した場合に、前記セキュリティアソシエーション処理サブユニットが、前記セキュリティアソシエーション、ならびに前記ソフトウェア暗号モジュールに対応するフラグおよび関数インデックスを、前記セキュリティアソシエーションデータベースの適合するそれぞれの鍵アレイの前記情報フィールドに記録する、請求項２９に記載のシステム。
【請求項３２】
前記ネットワークセキュリティ処理ユニットの前記暗号処理サブユニットが、インターネットプロトコルセキュリティを使用して前記ネットワークセキュリティ処理を実行する、請求項２８に記載のシステム。
【請求項３３】
前記ネットワークセキュリティユニットの前記鍵認証サブユニットが、セキュアソケット層ハンドシェイクを使用してセッションステートメントを生成する、請求項２１に記載のシステム。
【請求項３４】
前記ネットワークセキュリティ処理ユニットが、セッションステートメント処理サブユニットおよび該セッションステートメント処理サブユニットに接続されたセッションステートメントデータベースを備えており、
前記セッションステートメントデータベースが、複数のデータフィールドをそれぞれが含んでいる複数の鍵アレイを含んでいる、請求項３３に記載のシステム。
【請求項３５】
前記ソフトウェア／ハードウェア判定ユニットが、前記ハードウェア暗号モジュールを使用すると判断した場合に、前記セッションステートメント処理サブユニットが、前記セッションステートメント、ならびに前記ハードウェア暗号モジュールに対応するフラグおよび識別情報を、前記セッションステートメントデータベースの適合するそれぞれの鍵アレイの前記データフィールドに記録する、請求項３４に記載のシステム。
【請求項３６】
前記ソフトウェア／ハードウェア判定ユニットが、前記ソフトウェア暗号モジュールを使用すると判断した場合に、前記セッションステートメント処理サブユニットが、前記セッションステートメント、ならびに前記ソフトウェア暗号モジュールに対応するフラグおよび関数インデックスを、前記セッションステートメントデータベースの適合するそれぞれの鍵アレイの前記データフィールドに記録する、請求項３４に記載のシステム。
【請求項３７】
前記ネットワークセキュリティ処理ユニットの前記暗号処理サブユニットが、セキュアソケット層を使用して前記ネットワークセキュリティ処理を実行する、請求項３３に記載のシステム。
【請求項３８】
前記情報分析ユニットが、セッション開始プロトコル処理ユニットである、請求項２１に記載のシステム。
【請求項３９】
前記情報分析ユニットが、リアルタイムストリーミングプロトコル処理ユニットである、請求項２１に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークセキュリティ処理方法およびシステムに関し、さらに詳しくは、マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するためのネットワークセキュリティ処理方法およびシステムに関する。
【背景技術】
【０００２】
高性能のインターネットプロトコルセキュリティ（ＩＰセキュリティ、ＩＰＳｅｃ）を使用して家庭用電化製品においてインターネットを介して暗号化された画像、映像、および音楽媒体のストリームを届けることに、強い需要が存在する。現時点において、従来からの方法は、ＩＰＳｅｃ処理の負荷を軽くして全体としての性能を向上させるために、暗号化／復号化アクセラレータすなわちハードウェアを利用することである。
【０００３】
しかしながら、２００３年にＵｓｅｎｉｘによって発行されたＵｓｅｎｉｘ  Ａｎｎｕａｌ  Ｔｅｃｈｎｉｃａｌ  Ｃｏｎｆｅｒｅｎｃｅにおける「Ｔｈｅ  Ｄｅｓｉｇｎ  ｏｆ  ｔｈｅ  ＯｐｅｎＢＳＤ  Ｃｒｙｐｔｏｇｒａｐｈｉｃ  Ｆｒａｍｅｗｏｒｋ」という題名の論文が、暗号化／復号化アクセラレータまたはハードウェアの使用に係わる問題を明らかにしている。その問題とは、オペレーティングシステムのカーネル（ＯＳカーネル）、データバス、および暗号処理ハードウェアのオーバヘッドゆえに、小さなパケットの送信に、ハードウェアの暗号アクセラレータを使用しない場合に比べてより長い暗号処理時間を要する点にある。より具体的には、小さなパケットおよび通常のサイズのパケットの処理は、どちらもオーバヘッドを招くが、小さなパケットにおいては、システム全体が単位時間内により多くのオーバヘッドを処理する必要があり、したがって小さなパケットの送信の処理に、より多くの対価を支払わなければならない。そのような状況においては、たとえ暗号処理用のハードウェアを使用しても、暗号処理の時間を効果的に短縮することができない。
【０００４】
「暗号装置および暗復号処理方法」についての特開２００３−０６９５５５号公報が、上述の問題に対処するための方法および装置を記載している。この解決策は、暗号処理をハードウェア暗号モジュールまたはソフトウェア暗号モジュールのどちらによって実行すべきであるかを判断するために、それぞれのパケットの長さを調べることにある。小さなパケットである場合には、暗号処理が、ソフトウェア暗号モジュールによって実行される。大きなパケットである場合には、暗号処理が、ハードウェア暗号モジュールによって実行される。
【０００５】
しかしながら、上述のソフトウェアまたはハードウェア暗号モジュールの選択的使用のための処理回路は、すべてのパケットを調べる必要があるため、伝送速度が主たる関心事であるビデオおよびオーディオストリームの伝送においてきわめて非効率的である。加えて、処理回路が、中央演算処理装置またはシステムのオーバヘッドを考慮することなく、小さなパケットを無条件に処理のためにソフトウェア暗号モジュールへと通してしまうため、全体としてのシステムの効率の低下につながる。したがって、解決策を見つける必要がある。
【発明の開示】
【０００６】
したがって、本発明の１つの目的は、マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するためのネットワークセキュリティ処理方法を提供することにある。
【０００７】
したがって、マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するための本発明のネットワークセキュリティ処理方法は、以下のステップを含んでいる。最初に、マルチメディアセッションの複数のパケットに信号処理が加えられ、前記マルチメディアセッションに含まれるマルチメディアセッション情報が取得される。続いて、前記マルチメディアセッションに、鍵認証のネゴシエーションが加えられる。次に、前記マルチメディアセッション情報に従い、前記ハードウェア暗号モジュールおよび前記ソフトウェア暗号モジュールのうちの一方を動作させる判断が行われる。前記ハードウェア暗号モジュールが動作させられる場合、該ハードウェア暗号モジュールが、前記マルチメディアセッションのパケットのネットワークセキュリティ処理を行う。前記ソフトウェア暗号モジュールが動作させられる場合、該ソフトウェア暗号モジュールが、前記マルチメディアセッションのパケットのネットワークセキュリティ処理を行う。
【０００８】
さらに、本発明の別の目的は、マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するためのシステムを提供することにある。
【０００９】
したがって、マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するための本発明のシステムは、情報分析ユニット、ネットワークセキュリティ処理ユニット、およびソフトウェア／ハードウェア判定ユニットを備えている。
【００１０】
情報分析ユニットは、マルチメディアセッションの信号処理を実行して、該マルチメディアセッション内のマルチメディアセッション情報を得るために使用される。ネットワークセキュリティ処理ユニットは、ネットワークセキュリティ処理を実行するために使用され、前記マルチメディアセッションについて鍵認証のネゴシエーションを行うための鍵認証サブユニットと、ハードウェア暗号モジュールおよびソフトウェア暗号モジュールを含む暗号処理サブユニットとを備えている。ソフトウェア／ハードウェア判定ユニットは、前記マルチメディアセッション情報に基づいて、前記ハードウェア暗号モジュールおよび前記ソフトウェア暗号モジュールのどちらが前記ネットワークセキュリティ処理を実行すべきかを判断する。ソフトウェア／ハードウェア判定ユニットは、前記ハードウェア暗号モジュールまたは前記ソフトウェア暗号モジュールの使用を選択することができる暗号モジュール判定サブユニットと、該暗号モジュール判定サブユニットに接続された暗号モジュール判定データベースとを備えている。
【００１１】
本発明の効果は、インターネットセキュリティ処理を実行するために、ハードウェアおよびソフトウェア暗号モジュールのうちの一方を、暗号化されたビデオおよびオーディオの伝送に適用されたときに最高の実行効率をもたらすように、適切に選択できることにある。
【００１２】
本発明の他の特徴および利点が、添付の図面を参照し、好ましい実施形態についての以下の詳細な説明において明らかになるであろう。
【発明を実施するための最良の形態】
【００１３】
本発明をさらに詳しく説明する前に、本明細書の開示の全体を通して、同様の構成要素が同じ参照符号によって指し示されていることに留意されたい。
【００１４】
図１および２を参照すると、マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するための本発明によるシステムの第１の好ましい実施形態は、セキュアなインターネット情報通信を保証するための規格としてＩＰセキュリティ（ＩＰＳｅｃ）を採用しており、マルティメディアコンテンツを暗号化された方法で伝送する必要があるマルチメディア機器に設計することができる。このシステムが、情報分析ユニット１１、ネットワークセキュリティ処理ユニット１２、ソフトウェア／ハードウェア判定ユニット１３、システム統計ユニット１４、ソフトウェア／ハードウェア暗号設定ユニット１５、伝送インターフェイス１６、インターネットスタックユニット１７、およびネットワークインターフェイス１８を備えている。
【００１５】
情報分析ユニット１１は、インターネットを介して伝送されるマルチメディアセッションの信号処理を実行し、メディア種別およびコーデック種別を含む関連のマルチメディアセッション情報を取得するために使用される。メディア種別とは、オーディオ、ビデオ、または音声などといったマルティメディアコンテンツのフォーマットを指す。コーデック種別とは、マルティメディアコンテンツのメディアエンコーディングの仕組みである。例えば、Ｇ．７２３、Ｇ．７２９、およびＧ．７１１が、ボイスオーバーＩＰ（ＶｏＩＰ）によって使用されるコーデック種別である。さらに、この第１の好ましい実施形態においては、情報分析ユニット１１が、セッション開始プロトコル（ＳＩＰ）処理ユニットまたはリアルタイムストリーミングプロトコル（ＲＳＴＰ）処理ユニットであってよい。
【００１６】
ネットワークセキュリティ処理ユニット１２は、ネットワークセキュリティ処理を実行するために使用される。ネットワークセキュリティ処理ユニット１２は、マルチメディアセッションについて鍵認証のネゴシエーションを実行するための鍵認証サブユニット１２１と、ハードウェア暗号モジュール１２２１およびソフトウェア暗号モジュール１２２２を含んでいる暗号処理サブユニット１２２と、セキュリティアソシエーション処理サブユニット１２５と、セキュリティアソシエーション処理サブユニット１２５に接続されたセキュリティアソシエーションデータベース１２６と、インターネットスタックユニット１７およびネットワークインターフェイス１８に接続された入力サブユニット１２８と、インターネットスタックユニット１７およびネットワークインターフェイス１８に接続された出力サブユニット１２９と、入力サブユニット１２８に接続された出力変換サブユニット１２３と、入力サブユニット１２８に接続された入力変換サブユニット１２４と、鍵検索サブユニット１２０とを備えている。ネットワークセキュリティ処理ユニット１２の暗号処理サブユニット１２２が、ネットワークセキュリティ処理の実行のためにＩＰＳｅｃを使用する。さらに、ネットワークセキュリティ処理ユニット１２の鍵認証サブユニット１２１が、セキュリティアソシエーションを生成するためにインターネット鍵交換を使用する。通信参加者のうちの１つにおいてセキュリティアソシエーションが生成されたとき、残りの参加者は、両側での暗号化および復号化のための基礎として機能する対応するセキュリティアソシエーションを、鍵検索サブユニット１２０によって検索する。図３を参照すると、ネットワークセキュリティ処理ユニット１２のセキュリティアソシエーションデータベース１２６が、複数の鍵アレイ１２７を有している。それぞれの鍵アレイ１２７が、複数の情報フィールド１２７１を有している。
【００１７】
図１および２を参照すると、ソフトウェア／ハードウェア判定ユニット１３が、マルチメディアセッション情報に基づいて、ハードウェア暗号モジュール１２２１およびソフトウェア暗号モジュール１２２２のどちらがネットワークセキュリティ処理を実行するのかを決定する。ソフトウェア／ハードウェア判定ユニット１３は、ハードウェア暗号モジュール１２２１またはソフトウェア暗号モジュール１２２２の使用を選択できる暗号モジュール判定サブユニット１３１と、暗号モジュール判定サブユニット１３１に接続された暗号モジュール判定データベース１３２とを備えている。暗号モジュール判定データベース１３２のデータの内容が、図４に示されている。ソフトウェア／ハードウェア判定ユニット１３が、ハードウェア暗号モジュール１２２１の使用を決定したとき、セキュリティアソシエーション処理サブユニット１２５が、セキュリティアソシエーションならびにハードウェア暗号モジュール１２２１に対応するフラグおよび識別情報を、セキュリティアソシエーションデータベース１２６の適合するそれぞれの鍵アレイ１２７の情報フィールド１２７１に記録する。ソフトウェア／ハードウェア判定ユニット１３が、ソフトウェア暗号モジュール１２２２の使用を決定したとき、セキュリティアソシエーション処理サブユニット１２５が、セキュリティアソシエーションならびにソフトウェア暗号モジュール１２２２に対応するフラグおよび関数インデックスを、セキュリティアソシエーションデータベース１２６の適合するそれぞれの鍵アレイ１２７の情報フィールド１２７１に記録する。
【００１８】
システム統計ユニット１４が、システムの統計値を記録するために使用される。システムの統計値は、中央演算処理装置の利用率またはシステムの負荷値であってよい。システムの統計値がしきい値よりも高いとき、ソフトウェア／ハードウェア判定ユニット１３は、マルチメディアセッションに関するネットワークセキュリティ処理の実行のために、ハードウェア暗号モジュール１２２１を選択する。この目的は、中央演算処理装置を、過負荷時にさらなる暗号化および復号化作業の負担から救済することにある。
【００１９】
ソフトウェア／ハードウェア暗号設定ユニット１５が、図４に示されるとおりハードウェア暗号モジュール１２２１またはソフトウェア暗号モジュール１２２２をコーデック種別に関連付けて示しているデータベースの中身を生成するために、ソフトウェア／ハードウェア判定ユニット１３の暗号モジュール判定データベース１３２へと接続して、ハードウェア暗号モジュール１２２１またはソフトウェア暗号モジュール１２２２の使用を選択するための複数の所定の条件を暗号モジュール判定データベース１３２へと入力するために使用される。
【００２０】
伝送インターフェイス１６が、インターネットのネットワーク層とアプリケーション層との間に設けられ、ネットワークセキュリティ処理ユニット１２のセキュリティアソシエーション処理サブユニット１２５およびソフトウェア／ハードウェア判定ユニット１３の暗号モジュール判定データベース１３２へと接続されている。この目的は、ネットワーク層とアプリケーション層との間で情報を通信することにある。
【００２１】
マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するための本発明によるシステムの第１の好ましい実施形態によって実行される方法は、以下のステップを含んでいる。
【００２２】
図１、２、および５を参照すると、最初にステップＳ０１において、マルチメディアセッションの複数のパケットに信号処理が加えられ、マルチメディアセッションに含まれている関連のマルチメディアセッション情報が取得される。マルチメディアセッション情報は、メディア種別およびコーデック種別を含んでいる。
【００２３】
続いて、ステップＳ０２において、マルチメディアセッションに、鍵認証のネゴシエーションが加えられる。第１の好ましい実施形態においては、鍵認証のネゴシエーションが、インターネット鍵交換を使用する。鍵認証のネゴシエーションによって、マルチメディアセッションに対応するセキュリティアソシエーションが生成される。
【００２４】
その後に、ステップＳ０３において、生成されたセキュリティアソシエーションが、伝送インターフェイス１６を介してネットワークセキュリティ処理ユニット１２へと入力される。
【００２５】
その後に、ステップＳ０４において、メディア種別またはコーデック種別に従って、ソフトウェア／ハードウェア判定ユニット１３の暗号モジュール判定サブユニット１３１が暗号モジュール判定データベース１３２を検索し、ハードウェア暗号モジュール１２２１およびソフトウェア暗号モジュール１２２２のどちらが使用に該当するかを発見する。
【００２６】
次に、ステップＳ０５において、マルチメディアセッション情報のメディア種別またはコーデック種別に従って暗号モジュール判定データベース１３２を検索した後に、ハードウェア暗号モジュール１２２１を動作させるべきか否かについて、判断が行われる。ハードウェア暗号モジュール１２２１を動作させるべき場合、ステップＳ０６およびＳ０７において、ハードウェア暗号モジュール１２２１のフラグおよび識別情報ならびにセキュリティアソシエーションの間の接続関係が確立される。さらに、図３に示したネットワークセキュリティ処理ユニット１２のセキュリティアソシエーションデータベース１２６の内容など、セキュリティアソシエーション、フラグ、および識別情報のそれぞれが、セキュリティアソシエーションデータベース１２６の適合する鍵アレイ１２７の情報フィールドに順に保存される。この方法で、マルチメディアセッションについて暗号化および復号化を実行するためのハードウェア暗号モジュール１２２１の割り当てが完了する。
【００２７】
ステップＳ０５において、ソフトウェア暗号モジュール１２２２を動作させるべき場合、最初にステップＳ０８において、システムの統計値が所定のしきい値よりも高いか否かを調べる必要がある。システムの統計値が所定のしきい値よりも高い場合、マルチメディアセッションのパケットのネットワークセキュリティ処理は、演算負荷を少なくするためにハードウェア暗号モジュール１２２１によって実行される。そうでない場合、ステップＳ０９およびＳ１０において、ソフトウェア暗号モジュール１２２２に対応するフラグおよび関数インデックスならびにセキュリティアソシエーションの間の接続関係が確立される。さらに、図３に示したネットワークセキュリティ処理ユニット１２のセキュリティアソシエーションデータベース１２６の内容など、セキュリティアソシエーション、フラグ、および関数インデックスのそれぞれが、セキュリティアソシエーションデータベース１２６の適合する鍵アレイ１２７の情報フィールド１２７１に順に保存される。この方法で、マルチメディアセッションについて暗号化および復号化を実行するためのソフトウェア暗号モジュール１２２２の割り当てが完了する。
【００２８】
図６を参照すると、ＩＰＳｅｃパケットへの暗号化を必要とするインターネットパケットの出力が存在する場合、本発明の第１の好ましい実施形態を取り入れてなる装置は、以下のステップをとる。
【００２９】
最初に、ステップＳ１１において、複数のインターネットパケットが出力処理を要求する。次に、ステップＳ１２において、ネットワークセキュリティ処理ユニット１２のセキュリティアソシエーションデータベース１２６が、適合するセキュリティアソシエーションを求めて検索される。次いで、ステップＳ１３において、適合したセキュリティアソシエーションに対応する識別情報（ハードウェア暗号モジュール１２２１が使用される場合）または関数インデックス（ソフトウェア暗号モジュール１２２２が使用される場合）が、暗号化作業を実行するために使用される。最後に、ステップＳ１４において、インターネットパケットがＩＰＳｅｃパケットになる。
【００３０】
図７を参照すると、インターネットパケットへの復号化を必要とするＩＰＳｅｃパケットの入力が存在する場合、本発明の第１の好ましい実施形態を取り入れてなる装置は、以下のステップをとる。
【００３１】
最初に、ステップＳ２１において、複数のＩＰＳｅｃパケットが入力処理を要求する。次に、ステップＳ２２において、ネットワークセキュリティ処理ユニット１２のセキュリティアソシエーションデータベース１２６が、適合するセキュリティアソシエーションを求めて検索される。次いで、ステップＳ２３において、適合したセキュリティアソシエーションに対応する識別情報または関数インデックスが、復号化作業を実行するために使用される。最後に、ステップＳ２４において、ＩＰＳｅｃパケットがインターネットパケットになる。
【００３２】
図８を参照すると、日常生活の用途において、マルティメディアコンテンツを暗号化された形態で伝送することで、伝送プロセスにおいてセキュリティを保証することができる。さらに、ビデオおよびオーディオコンテンツを、本発明に開示の方法を採用することによって、リアルタイムで伝送することができる。本発明による第１の好ましい実施形態の通信用途の例において、第１の携帯電話機３が、ネットワークメディアサーバ４とビデオストリームの伝送を実行することができる。また、第１の携帯電話機３が、第２の携帯電話機５とのオーディオストリームの伝送を実行することができる。
【００３３】
図２、８、および９を参照すると、第１の携帯電話機３および第２の携帯電話機５がオーディオストリームの伝送を実行する場合、最初にステップ４０１において、オーディオストリームに信号処理が加えられる。次いで、ステップ４０２において、第１の携帯電話機３が、オーディオストリームのコーデック種別（第１の好ましい実施形態のこの用途の例では、Ｇ．７１１である）を得る。次に、ステップ４０３において、インターネット鍵交換が使用され、オーディオストリームを保護するためのセキュリティアソシエーションが生成される。その後に、ステップ４０４において、伝送インターフェイス１６が、セキュリティアソシエーション、Ｇ．７１１の情報、などをネットワークセキュリティ処理ユニット１２へと送信するために使用される。続いて、ステップ４０５において、Ｇ．７１１のデータに従って、ソフトウェア／ハードウェア判定ユニット１３の暗号モジュール判定データベース１３２が、ハードウェア暗号モジュール１２２１またはソフトウェア暗号モジュール１２２１のどちらを使用すべきかを発見すべく検索される。次いで、ステップ４０６において、ソフトウェア／ハードウェア判定ユニット１３が、コーデック種別Ｇ．７１１についてソフトウェア暗号モジュール１２２２を使用すべきである旨を発見する。次いで、ステップ４０７において、セキュリティアソシエーション、ならびにソフトウェア暗号モジュール１２２２に対応するフラグおよび関数インデックスが、ネットワークセキュリティ処理ユニット１２のセキュリティアソシエーションデータベース１２６の適合するそれぞれの鍵アレイ１２７へと挿入される。上述のステップを通じて、オーディオストリームの伝送を保護することができ、ソフトウェア暗号モジュール１２２２によって実行されるＩＰＳｅｃトンネルを、設定することができる。
【００３４】
図２、８、および１０を参照すると、第１の携帯電話機３およびネットワークメディアサーバ４がビデオストリームの伝送を実行する場合、最初にステップ５０１において、ビデオストリームに信号処理が加えられる。次に、ステップ５０２において、第１の携帯電話機３が、ビデオストリームのコーデック種別（第１の好ましい実施形態のこの用途の例では、Ｈ．２６４である）を得る。次いで、ステップ５０３において、インターネット鍵交換が使用され、ビデオストリームを保護するためのセキュリティアソシエーションが生成される。続いて、ステップ５０４において、伝送インターフェイス１６が、セキュリティアソシエーション、Ｈ．２６４の情報、などをネットワークセキュリティ処理ユニット１２へと送信するために使用される。続いて、ステップ５０５において、Ｈ．２６４のデータに従って、ソフトウェア／ハードウェア判定ユニット１３の暗号モジュール判定データベース１３２が、ハードウェア暗号モジュール１２２１またはソフトウェア暗号モジュール１２２２のどちらが使用に該当するかを発見すべく検索される。その後に、ステップ５０６において、ソフトウェア／ハードウェア判定ユニット１３が、ハードウェア暗号モジュール１２２１を使用すべきである旨を発見する。次に、ステップ５０７において、セキュリティアソシエーション、ならびにハードウェア暗号モジュール１２２１に対応するフラグおよび識別情報が、セキュリティアソシエーションデータベース１２６の適合するそれぞれの鍵アレイ１２７へと挿入される。上述のステップによって、ビデオストリームの伝送を保護することができ、ハードウェア暗号モジュール１２２１によって実行されるＩＰＳｅｃトンネルを、設定することができる。
【００３５】
図２、８、および１１を参照すると、第１の携帯電話機３および第２の携帯電話機５がオーディオストリームの伝送を実行する場合、最初にステップ６０１において、オーディオストリームに信号処理が加えられる。次に、ステップ６０２において、第１の携帯電話機３が、オーディオストリームのコーデック種別（第１の好ましい実施形態のこの用途の例では、Ｇ．７１１である）を得る。次いで、ステップ６０３において、インターネット鍵交換が使用され、オーディオストリームを保護するためのセキュリティアソシエーションが生成される。続いて、ステップ６０４において、伝送インターフェイス１６が、セキュリティアソシエーション、Ｇ．７１１の情報、などをネットワークセキュリティ処理ユニット１２へと送信するために使用される。その後に、ステップ６０５において、Ｇ．７１１のデータに従って、ソフトウェア／ハードウェア判定ユニット１３の暗号モジュール判定データベース１３２が、ハードウェア暗号モジュール１２２１またはソフトウェア暗号モジュール１２２２のどちらが使用に該当するかを発見すべく検索される。次に、ステップ６０６において、第１の携帯電話機３のシステムの統計値が所定のしきい値よりも高いため、ソフトウェア／ハードウェア判定ユニット１３の暗号モジュール判定サブユニット１３１が、ハードウェア暗号モジュール１２２１を使用すると決定する。次いで、ステップ６０７において、セキュリティアソシエーション、ならびにハードウェア暗号モジュール１２２１に対応するフラグおよび識別情報が、セキュリティアソシエーションデータベース１２６の適合するそれぞれの鍵アレイ１２７へと挿入される。上述のステップの後に、オーディオストリームの伝送を保護することができ、ハードウェア暗号モジュール１２２１によって実行されるＩＰＳｅｃトンネルを、確立することができる。
【００３６】
図１２を参照すると、マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するための本発明によるシステムの第２の好ましい実施形態は、暗号化および復号化の機構としてセキュアソケット層（ＳＳＬ）、トランスポート層セキュリティ（ＴＬＳ）、またはデータグラムトランスポート層セキュリティ（ＤＴＬＳ）を採用するシステムにも適している。第２の好ましい実施形態のシステムは、第１の好ましい実施形態のシステムと実質的に同じであり、情報分析ユニット１１、ネットワークセキュリティ処理ユニット１２、ソフトウェア／ハードウェア判定ユニット１３、システム統計ユニット１４、ソフトウェア／ハードウェア暗号設定ユニット１５、伝送インターフェイス１６、およびネットワークインターフェイス１８を備えている。しかしながら、第２の好ましい実施形態のネットワーキング機構は、トランスポート層に向けられており、第１の好ましい実施形態のネットワーキング機構と相違しており、したがって図１に示されているインターネットスタックユニット１７が、ここには含まれていない。
【００３７】
ネットワークセキュリティ処理ユニット１２が、マルチメディアセッションについて鍵認証のネゴシエーションを実行するための鍵認証サブユニット１２１と、ハードウェア暗号モジュール１２２１およびソフトウェア暗号モジュール１２２２を含んでいる暗号処理サブユニット１２２と、セッションステートメント処理サブユニット２２５と、セッションステートメント処理サブユニット２２５に接続されたセッションステートメントデータベース２２６とを含んでいる。セッションステートメントデータベース２２６を、データの１つのエントリを記録するためのセッションステートメントデータ項目として実現することも可能である。ネットワークセキュリティ処理ユニット１２の暗号処理サブユニット１２２が、ネットワークセキュリティ処理を実行するためにＳＳＬを使用する。さらに、ネットワークセキュリティ処理ユニット１２の鍵認証サブユニット１２１が、セッションステートメントを生成するためにＳＳＬハンドシェイクを使用する。セッションステートメントは、２つの通信参加者において生成され、両側での暗号化および復号化のための基礎として機能する。図１３を参照すると、セッションステートメントデータベース２２６が、複数のデータフィールド２２７１をそれぞれが有している複数の鍵アレイ１２７を有している。
【００３８】
ＳＳＬが使用されているため、この実施形態のネットワークセキュリティ処理ユニット１２は、第１の好ましい実施形態のものからわずかに異なっており、ソフトウェア／ハードウェア判定ユニット１３も、いくつかの態様において変更されている。ソフトウェア／ハードウェア判定ユニット１３は、マルチメディアセッション情報に基づいて、ハードウェア暗号モジュール１２２１およびソフトウェア暗号モジュール１２２２のどちらがネットワークセキュリティ処理を実行すべきかを判断するために使用される。ソフトウェア／ハードウェア判定ユニット１３は、ハードウェア暗号モジュール１２２１またはソフトウェア暗号モジュール１２２２の使用を選択するための暗号モジュール判定サブユニット１３１と、暗号モジュール判定サブユニット１３１に接続された暗号モジュール判定データベース１３２とを備えている。ソフトウェア／ハードウェア判定ユニット１３が、ハードウェア暗号モジュール１２２１を使用すると判断したとき、セッションステートメント処理サブユニット２２５が、セッションステートメントならびにハードウェア暗号モジュール１２２１に対応するフラグおよび識別情報を、セッションステートメントデータベース２２６の適合するそれぞれの鍵アレイ１２７のデータフィールド２２７１に記録する。ソフトウェア／ハードウェア判定ユニット１３が、ソフトウェア暗号モジュール１２２２を使用すると判断したとき、セッションステートメント処理サブユニット２２５が、セッションステートメントならびにソフトウェア暗号モジュール１２２２に対応するフラグおよび関数インデックスを、セッションステートメントデータベース２２６の適合するそれぞれの鍵アレイ１２７のデータフィールド２２７１に記録する。
【００３９】
図１４を図８との組み合わせにおいて参照すると、図１４は、第１の携帯電話機３および第２の携帯電話機５がオーディオストリームの伝送を実行するときに、保護のためにＳＳＬがどのように採用されるのかを示している。最初にステップ７０１において、オーディオストリームに信号処理が加えられる。次いで、ステップ７０２において、第１の携帯電話機３が、オーディオストリームのコーデック種別（第２の好ましい実施形態のこの用途の例では、Ｇ．７１１である）を得る。次に、ステップ７０３において、オーディオストリームを保護するためのセッションステートメントを生成するために、ＳＳＬハンドシェイクが使用される。その後に、ステップ７０４において、伝送インターフェイス１６が、セッションステートメント、Ｇ．７１１の情報、などをネットワークセキュリティ処理ユニット１２へと送信するために使用される。続いて、ステップ７０５において、Ｇ．７１１のデータに従って、ソフトウェア／ハードウェア判定ユニット１３の暗号モジュール判定データベース１３２が、ハードウェア暗号モジュール１２２１またはソフトウェア暗号モジュール１２２２のどちらが使用に該当するかを発見すべく検索される。次いで、ステップ７０６において、ソフトウェア／ハードウェア判定ユニット１３の暗号モジュール判定サブユニット１３１が、ソフトウェア暗号モジュール１２２２を使用すべきである旨を発見する。最後に、ステップ７０７において、セッションステートメント、ならびにソフトウェア暗号モジュール１２２２に対応するフラグおよび関数インデックスが、セッションステートメントデータベース２２６へと更新される。オーディオストリームの伝送を保護することができ、ソフトウェア暗号モジュール１２２２によって実行されるＳＳＬトンネルを、上述のステップによって確立することができる。さらに、第１の携帯電話機３とネットワークメディアサーバ４との間のビデオストリームの伝送も、上述の方法と同様の方法で保護することができる。
【００４０】
要約すると、暗号化および復号化の作業を実行するハードウェアまたはソフトウェアを、マルチメディアセッション情報を使用して選択することによって、本発明は、暗号化されたビデオおよびオーディオストリームのリアルタイムでの伝送が必要とされる環境へと効果的に適用可能であり、効率の向上という効果を確実に達成する。
【００４１】
以上、本発明を最も現実的かつ好ましい実施形態であると考えられる内容に関して説明したが、本発明が、本明細書に開示された実施形態に限定されず、最も広い解釈の精神および範囲に含まれる種々の構成を包含し、そのような変形および均等な構成のすべてを網羅することを理解すべきである。
【産業上の利用可能性】
【００４２】
本発明は、マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するためのネットワークセキュリティ処理方法およびシステムへと適用可能である。
【図面の簡単な説明】
【００４３】
【図１】マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するための本発明によるネットワークセキュリティ処理方法およびシステムの第１の好ましい実施形態を説明するためのシステムブロック図である。
【図２】第１の好ましい実施形態のネットワークセキュリティ処理ユニットおよびソフトウェア／ハードウェア判定ユニットを説明するための機能ブロック図である。
【図３】第１の好ましい実施形態のセキュリティアソシエーションデータベースの中身を説明するための概略図である。
【図４】第１の好ましい実施形態の暗号モジュール判定データベースの中身を説明するための概略図である。
【図５】第１の好ましい実施形態によるセキュリティアソシエーションの生成プロセスを説明するためのフローチャートである。
【図６】第１の好ましい実施形態に従って複数のインターネットパケットがどのように複数のＩＰＳｅｃパケットへと変換されるのかを説明するフローチャートである。
【図７】第１の好ましい実施形態においてＩＰＳｅｃパケットがどのようにインターネットパケットへと変換されるのかを説明するフローチャートである。
【図８】第１の好ましい実施形態による複数の携帯電話機およびネットワークメディアサーバの間の暗号化された伝送を説明するための概略の用途の図である。
【図９】第１の好ましい実施形態に従って第１の携帯電話機と第２の携帯電話機との間に確立されるＩＰＳｅｃトンネルを説明するための概略のネットワーク通信図である。
【図１０】第１の好ましい実施形態に従って第１の携帯電話機とネットワークメディアサーバとの間に確立されるＩＰＳｅｃトンネルを説明するための概略のネットワーク通信図である。
【図１１】第１の好ましい実施形態に従い、高いシステム負荷状態にある第１の携帯電話機と第２の携帯電話機との間に確立されるＩＰＳｅｃトンネルを説明するための概略のネットワーク通信図である。
【図１２】マルチメディアセッション情報によってソフトウェアおよびハードウェア暗号モジュールのうちの一方を選択するための本発明によるネットワークセキュリティ処理方法およびシステムの第２の好ましい実施形態を説明するためのシステムブロック図である。
【図１３】第２の好ましい実施形態のセッションステートメントデータベースの中身を説明するための概略図である。
【図１４】第２の好ましい実施形態に従って第１の携帯電話機と第２の携帯電話機との間に確立されるセキュアソケット層トンネルを説明するための概略のネットワーク通信図である。
【図１】
2010507266.tif 000003
【図２】
2010507266.tif 000004
【図３】
2010507266.tif 000005
【図４】
2010507266.tif 000006
【図５】
2010507266.tif 000007
【図６】
2010507266.tif 000008
【図７】
2010507266.tif 000009
【図８】
2010507266.tif 000010
【図９】
2010507266.tif 000011
【図１０】
2010507266.tif 000012
【図１１】
2010507266.tif 000013
【図１２】
2010507266.tif 000014
【図１３】
2010507266.tif 000015
【図１４】
2010507266.tif 000016
【国際調査報告】
2010507266.tif 000017
2010507266.tif 000018