(57)【要約】【課題】インターネット網を使ったネットワーク通信ではセキュリティを確保するために様々な技術が用いられており、ＷＡＮ側からのＬＡＮ側への不正アクセスに対しての防御手段は多いが、ＬＡＮ側内部での不正アクセスや盗聴、なりすましなどには対策ができていない。【解決手段】図３は暗号化と復号化の処理を図示した例である。アプリケーションのデータベースを稼動させているサーバ１  １２で、通信を許可するＰＣはＭＡＣアドレスとＩＰアドレスを設定する。アクセスするクライアントとなるＰＣ１  １３でも、サーバ１  １２のＭＡＣアドレスとＩＰアドレスを設定する。ＰＣ１  １３のＭＡＣアドレスはＡＡＡＡＡＡＡＡで、サーバ１  １２のＭＡＣアドレスはＤＤＤＤＤＤＤＤである。サーバ１  １２からＰＣ１  １３へ転送されるデータ３２はＤＤＤＤＤＤＤＤをキーとして暗号化されてサーバ１  １２の通信プログラムからＴＣＰ／ＩＰプロトコルとしてネットワークへ送出され、受信したＰＣ１  １３は受信データを自らに実装されている通信プログラムで復号化することで、元のデータに復元する。【選択図】    図３
2005026825.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを構成する情報機器に実装するＴＣＰ／ＩＰの制御おいて、受信する通信パケットの情報を確認し、あらかじめ設定済みの特定の相手からの通信にのみ応答するように構成されたプログラムにより、特定の相手のみとデータ通信をおこない、他のネットワークに接続された機器からは存在そのものも隠蔽するネットワークデータ転送における機密保持方法。
【請求項２】
あらかじめデータ通信をおこなう機器のＭＡＣアドレスを設定し、そのアドレスを暗号化のキーとして通信データそのものを暗号化して送信する方法で、受信する側もあらかじめ復号化のキーを設定し、それにより復号化することによるネットワークデータ転送における機密保持方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、単独または複数のサーバーと、ＰＣやワークステーションあるいは専用機により、ネットワークでデータ転送のおこなわれる情報処理システムに関するものである。現在では対コスト効果から通信ネットワークはインターネットを使用することが標準的になりつつある。しかしながら金融業や信用取引き、会計情報、顧客や個人情報などの記憶やデータの送受信を行うために、一部では専用回線が用いられたりしている。しかし専用回線を使った場合でも、いずれかのネットワークの接続先にはＴＣＰ／ＩＰによる標準的なネットワークが繋がっていることがほとんどである。そうした現状を前提として様々なセキュリティ確保や機密性確保の技術が考案されている技術分野である。
【０００２】
【従来の技術】
まったく独自の通信装置と通信プロトコルによってデータ通信する場合は、盗聴や改竄、不正アクセスなどの危険は少なかった。しかし通信先が世界規模で拡大し、データ通信量も肥大し、簡単かつ容易に通信インフラを構築する必要があり、現在ではデータ通信にインターネットを使用することは必然となっている。しかしながらインターネットのように不特定多数のアクセスがなされる環境では、悪意によるネットワークやサーバへの不正侵入がなされる。その防衛手段としてファイアーウォール技術やプロキシーサーバ技術を用いることが一般的である。内部の複数のサーバを外部からは単数のサーバに見せるとか例えば特許文献１参照。）、通信データの盗聴やなりすましによる通信データの不正取得や改竄に対するために電子署名や電子鍵を添付したりしているものもある（例えば特許文献２参照。）。また通信時に固有アドレスを変換するというものもある（例えば特許文献３参照。）。
【０００３】
【特許文献１】
特開２００１−１６０８２２号公報（第１−４頁、第１図）
【特許文献２】
特開平０９−１１６５３２号公報（第１−３頁、第２図）
【特許文献３】
特開２００１−２１１１９６号公報（第１−７頁、第１図）
【０００４】
【発明が解決しようとする課題】
上記の従来の技術では、下記記載の問題点を有している。（１）インターネットと内部ネットワークとの間にファイアーウォールやプロキシーサーバーを設置し防御することで、外部からの不正なアクセスや悪意による攻撃をある程度は防ぐことが可能であるが、内部ネットワークに対しては、そうした危険がないという前提となっている。したがって悪意の有る不正アクセス者がインターネット外にいる場合では良くともネットワーク内部にいる場合には無防備である。（２）インターネットでデータ転送する場合にＶＰＮなどでデータを暗号化しても、データの内容が隠蔽できるのは通信相互に設置したＶＰＮ専用装置やＶＰＮ機能を有するルーターの間だけであり、ローカルなネットワークに入るともとのデータに復号されてしまうのでやはり盗聴される危険が存在してしまう。（３）通信データの盗聴やなりすましによる通信データの不正取得や改竄に対するために電子署名や電子鍵を添付する手段も有効ではあるが、取得したり運用するには、コストを支払い続けねばならない。不特定多数の相手と機密を確保した通信やメールの送受信をする場合には有効では有るものの、特定の相手先との通信や、限定された範囲内でのネットワークではコストがかかりすぎる手段であり、自由度や可搬性に欠けている。本発明では今後ともますます普及することが考えられるインターネットを経由してのデータ通信において、インターネットのワイドエリアネットワーク（以下ＷＡＮ）においても、限定した保護ネットワークである非武装ネットワーク（以下ＤＮＺ）においても、ローカルネットワーク（以下ＬＡＮ）においても、機密性を低コストで確保する方法を提供するものである。
【０００５】
【課題を解決するための手段】
前記目的を達成するために、本発明では機密性の確保を実現しようとするサーバやＰＣのＴＣＰ／ＩＰの制御プログラム（以下プロトコロルスタック）を専用に作成する。それによりあらかじめ設定済みの特定の相手からの通信にのみ応答することで、データ通信のみでなく、機器の存在そのものも隠蔽するものである。それにより悪意の有る不正アクセスする者がＷＡＮ側にいても、ＤＭＺ側にいても、ＬＡＮ側にいても、不正アクセス対象になること自体を大幅に低減させることができる。次に本発明では、あらかじめ設定した情報により、通信データそのものを暗号化して送信する。受信する側もあらかじめ事前に暗号化の情報が設定されているため容易に復号化できる。それにより通信上で盗聴されてもデータの意味が解釈されることがない。またなりすましによるデータの不正取得があっても暗号化されているため安全である。
【０００６】
【発明の実施の形態】
本発明の実施の形態について説明する。本発明では、インターネットを活用しながらセキュリティを確保するために２つの手段を講ずる。１つはセキュリティを確保しなければならないデータの記録されている機器の通信プロトコルスタックを実装すること。もう一つは通信する際にデータの暗号化と復号化を使用するアプリケーションと通信ドライバのソフトウェアで実現することである。
【０００７】
図１は本発明の一実施例であるプロトコルスタックの処理を図示した例である。図１では非常に機密性を高く持たねばならない企業の会計データを管理するデータベースが稼動するサーバ１  １２と、そのデータを扱う会計ソフトウェアクライアントが稼動するＰＣ１  １３と、会計ソフトウェアやデータとは関係しない他の業務で使用するＰＣ２  １４とＰＣ３  １５がＬＡＮ１１に接続されているネットワーク環境を例としている。このネットワーク環境ではサーバ１  １２にアクセスする必要があるのはそのデータを扱う会計ソフトウェアクライアントが稼動するＰＣ１  １３のみである。そこで、サーバ１  １２のＴＣＰ／ＩＰプロトコルスタックの実装では、アクセスに対し応答するのはＰＣ１  １３のみとし、他からのアクセスには一切レスポンスを返さないようにする。具体的には設置導入時に登録するＰＣ１  １３のＭＡＣアドレスとＩＰアドレスを記録し、ネットワークから受信するＩＰパケットの発信元のアドレスと参照し、応答の必要の無いパケットにはグローバルアドレスであっても応答しない。その結果としてあらかじめ登録してあることでサーバ１  １２の存在を知っているクライアントＰＣ１  １３以外からは完全に隠蔽することができる。不正なアクセスを試みる場合は、多くはＰＩＮＧコマンドなどで、ＩＰアドレスなどを網羅的に問い合わせ、その応答を見てから不正アクセスを開始するきっかけとするからである。本発明の場合、ＰＣ２  １４とＰＣ３  １５が仮にサーバ１  １２のＩＰアドレスと同一のＩＰアドレスでＭＡＣアドレスの問い合わせをしても応答は返されない。従ってサーバ１  １２の存在を知っている者以外からは、ＬＡＮ１１にサーバ１  １２が接続されていることを知ることがない。ところで図１ではＬＡＮ３１での例で説明したが、これがインターネットであるＷＡＮであっても同様の効果があることは繰り返して説明するまでもない。
【０００８】
上記のプロトコルスタックの受信に関係する処理の概略フローチャートを図２に示す。ハードウェアのネットワークコントローラからイーサネット（登録商標）フレームの受信が通知されると、受信パケットをメモリ上へ転送して受信処理を開始する。最初にイーサネット（登録商標）ヘッダ部を取り出しプロトコルタイプを調べる。ＭＡＣアドレスとＩＰアドレスの関係を検索するＡＲＰ／ＲＡＲＰプロトコルであれば、応答しない。通常はブロードキャストで検索されているので自分のＭＡＣアドレスまたはＩＰアドレスであれば応答しなければならない。しかし本発明の場合は意識的にネットワークから機密性の高いサーバの存在を隠蔽することを目的とするので応答はしてはならない。ＡＲＰ／ＲＡＲＰプロトコルでなければＩＰヘッダ部を参照してプロトコルを調べる。ＴＣＰであれば、自分のＩＰへのアクセスかを調べ、次にあらかじめ設定された応答を許可されているＰＣからのアクセスかを調べる。ここまで一致した場合はＴＣＰの該当ポートによってパケットの処理を実施する。例えばポート８０番であればＨＴＴＰパケットとして適切な処理を実施する。該当しない場合はやはり何ら応答せずにタイムアウトさせる。本実施例ではＴＣＰパケットでデータ転送する例をあげたが、ＵＤＰでも上記同様な処理によりデータ処理を行うことは重ねて記述するまでもない。さらにプロトコルがＩＣＭＰであればＰＩＮＧによるエコー要求であるので、この場合は絶対に応答してはならない。本実施例のように応答をするパケット以外はすべて何一つ応答してはならない。
【０００９】
図３は本発明の一実施例である暗号化と復号化の処理を図示した例である。図１と同じサーバ１  １２と機密性の高い会計データの送受信をするＰＣ１  １３と、関係しない他の業務で使用するＰＣ２  １４とＰＣ３  １５がＬＡＮ１１に接続されているネットワーク環境を例としている。会計アプリケーションのデータベースを稼動させているサーバ１  １２で、通信を許可するＰＣは必要が発生した都度ＭＡＣアドレスとＩＰアドレスを設定する。同様にアクセスする会計アプリケーションのクライアントとなるＰＣ１  １３でも、サーバ１  １２のＭＡＣアドレスとＩＰアドレスを設定する。図３ではＰＣ１  １３のＭＡＣアドレスはＡＡＡＡＡＡＡＡで、サーバ１  １２のＭＡＣアドレスはＤＤＤＤＤＤＤＤである。会計アプリケーションが使用する通信ソケットプログラムは、設定された情報から暗号化と複合化の処理を行う。例えば送信データを自らのＭＡＣアドレスで暗号化する。受信データは相手先のＭＡＣアドレスで復号する。図３の実施例ではサーバ１  １２からＰＣ１  １３へ転送されるデータ３２はＤＤＤＤＤＤＤＤをキーとして暗号化されてサーバ１  １２の通信プログラムからＴＣＰ／ＩＰプロトコルとしてネットワークへ送出され、受信したＰＣ１  １３は受信データを自らに実装されている通信プログラムで復号化することで、元のデータに復元する。これは逆の通信方向３１でも同様である。ちなみにその際の暗号キーはＡＡＡＡＡＡＡＡを使用する。上記実施例ではＭＡＣアドレスをキーとすることにより暗号化と復号化の例であったが、他の暗号化と復号化の手段を用いることであっても同じ事である。
【００１０】
図４は上記図３で説明した暗号化と復号化のプロトコルモデルの実装例である。サーバ１では必要なプロトコルスタックのみ実装している。他方ＰＣ１ではサーバ１との通信に必要なプロトコルスタックの他にも、ＷＥＢブラウズするためのＨＴＴＰプロトコルやＵＤＰなどの他のプロトコルも実装している。しかしながら会計アプリケーションがデータ通信に使用するのは専用のデータ通信プロトコルで定義したＡＰＩを使用し、データの暗号化や復号化の処理をした上で、ＴＣＰ／ＩＰの通信を行うものである。
【００１１】
以上本発明の実施例を説明してきたが、通常のパスワードによるログオン認証、ＶＰＮなどによるインターネット通信回線の構築、ファイアーウォールやルーターによるＷＡＮ、ＤＭＺ、ＬＡＮに分離した防護壁と組み合わせることで、非常に高度にセキュリティを確保したネットワークデータ通信を実現することができる。これらはシステムの用途や環境により適切に組み合わせるべきものである。
【００１２】
【発明の効果】
本発明により、不正なアクセスを行おうという者がＷＡＮ側のみでなく、例えＬＡＮ側の内部にいたとしても、本発明により機密を確保した装置がいかなるＭＡＣアドレスやＩＰアドレスを割り当てられているのかを知ることが出来ない。したがって不正アクセスをされる危険のきっかけ自体を減らすことができる。またネットワークでやりとりされるデータは特定の者しか知ることがない情報により暗号化されて送受信されるため、盗聴や不正取得にあったとしても、もとのデータに複合化することは困難である。その暗号化の情報はいずれかの機関にライセンスするものではなく、特別費用が発生することがない。以上の本発明を、現在使用されている様々な手立て（例えば通常のパスワードによるログオン認証。ＶＰＮなどによるインターネット通信回線の構築。ファイアーウォールやルーターによる防護壁の設置など）と組み合わせて使用することできわめて堅牢で、かつコストのかからないネットワークデータ転送システムを構築することができる。
【図面の簡単な説明】
【図１】本発明の一実施例であるプロトコルスタックの処理を図示した例。
【図２】本発明の一実施例であるプロトコルスタックの受信に関係する処理の概略フローチャートの例の図。
【図３】本発明の一実施例である暗号化と復号化の処理を図示した例の図。
【図４】本発明の一実施例である暗号化と復号化のプロトコルモデルの例の図。
【符号の説明】
１１：ローカルネットワーク
１２：サーバ１
１３：ＰＣ１
１４：ＰＣ２
１５：ＰＣ３
３１：ＰＣ１からサーバ１へのデータ転送
３２：サーバ１からＰＣ１へのデータ転送
【図１】
2005026825.tif 000003
【図２】
2005026825.tif 000004
【図３】
2005026825.tif 000005
【図４】
2005026825.tif 000006