(57)【要約】【課題】  暗号化パケットフィルタリングにおけるユーザの利便性向上をはかり、きめ細かなアクセス制御を実現しながらパフォーマンスの低下を防ぐ。【解決手段】  ファイアウォール３（暗号化パケットフィルタリング装置）を介したホスト装置１，２間の暗号化セッションのネゴシエーションにおいて、暗号化セッションを適用するデータパケットの送信元／宛先ＩＰアドレス、送信元／宛先ポート番号、送信側および受信側のＩＤ（ホストＩＤ、ユーザＩＤ他）と、この暗号化セッションを識別するＳＰＩとを交換する。ファイアウォール３は、このネゴシエーションを監視し、暗号化セッションを許可した場合、暗号化セッションにおいて実際に交換される暗号化されたデータパケットを復号化することなく、この暗号化されたデータパケットに付与された送信元・宛先ＩＰアドレス、プロトコル番号、ＳＰＩにより通過を制御する。【選択図】    図２
2005175825.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワークに接続されたホスト装置間で交換される暗号化パケットのフィルタリングを行う暗号化パケットフィルタリング装置であって、
暗号化セッションを確立するために行われる前記ホスト装置間のネゴシエーションの内容を監視してその暗号化セッションを許可するか否かを判断し、その結果に基づき該ホスト装置間の暗号化セッションにおいて交換される暗号化パケットの通過を制御する暗号化パケットフィルタリング手段、
を備えたことを特徴とする暗号化パケットフィルタリング装置。
【請求項２】
前記暗号化パケットフィルタリング手段は、
送信元の前記ホスト装置からのネゴシエーション要求を受信し、送信元の前記ホスト装置に暗号化パケットフィルタリング装置有りメッセージを返送する暗号化パケットフィルタリング装置発見応答部と、
送信元の前記ホスト装置との間で相互認証を行う端末認証部と、
前記認証が成功したときに、送信元の前記ホスト装置のネゴシエーションメッセージの通過を許可するフィルタ管理部と、
隣接する前記ホスト装置あるいは他の暗号化パケットフィルタリング装置とネゴシエーション用暗号化セッションを構築するネゴシエーション用暗号化セッション構築部と、
確立されたネゴシエーション用暗号化セッションを用いた前記ホスト装置間のネゴシエーションの内容を監視し、この暗号化セッションを許可するか否かをアクセスポリシーに基づき判断するネゴシエーション内容判定部と、
許可された暗号化セッションにより前記ホスト装置間で交換される暗号化パケットの通過を許可する暗号化プロトコルフィルタリング部と、
を備えたことを特徴とする請求項１に記載の暗号化パケットフィルタリング装置。
【請求項３】
前記ネゴシエーション内容判定部は、ネゴシエーションされる前記ホスト装置のアドレス情報、ポート番号情報、ホスト識別情報、または、ユーザ識別情報のうち１以上の情報により暗号化セッションを許可するか否かを判断し、
前記暗号化プロトコルフィルタリング部は、暗号化セッションで交換される暗号化パケットに付与された暗号化セッションの識別子が、前記ネゴシエーションメッセージ監視部が許可した暗号化セッションのネゴシエーションにおいて交換された暗号化セッションの識別子と一致するか否かにより該暗号化パケットの通過の許可または不許可を判断する、
ことを特徴とする請求項２に記載の暗号化パケットフィルタリング装置。
【請求項４】
暗号化セッションを確立するために行われるネゴシエーションの内容を監視してその暗号化セッションにおいて交換される暗号化パケットの通過を制御する暗号化パケットフィルタリング装置に通信ネットワークを介して接続されるホスト装置であって、
暗号化セッションを構築したい他のホスト装置に対してネゴシエーション要求メッセージを送信するネゴシエーション要求メッセージ送信部と、
前記暗号化パケットフィルタリング装置もしくは前記他のホスト装置から返信パケットを受信する返信パケット受信部と、
前記返信パケット受信部で受信した返信パケットが暗号化パケットフィルタリング装置からのメッセージであったときに、前記暗号化パケットフィルタリング装置との間でネゴシエーション用暗号化セッションを構築するネゴシエーション用暗号化セッション構築部と、
前記返信パケット受信部で受信した返信パケットがネゴシエーション要求返答メッセージであったときに、構築した前記ネゴシエーション用暗号化セッションを用いて前記他のホスト装置との間のネゴシエーションを行うネゴシエーション部と、
前記ネゴシエーションが成功したときに当該ネゴシエーションの内容に従って前記他のホスト装置との暗号化通信を行う暗号化通信部と、
を備えたことを特徴とするホスト装置。
【請求項５】
通信ネットワークに接続されたホスト装置間で交換される暗号化パケットのフィルタリングを行う暗号化パケットフィルタリング装置に用いられるプログラムであって、
暗号化セッションを確立するために行われる前記ホスト装置間のネゴシエーションの内容を監視してその暗号化セッションを許可するか否かを判断し、その結果に基づき該ホスト装置間の暗号化セッションにおいて交換される暗号化パケットの通過を制御する処理、
をコンピュータに実行させる暗号化パケットフィルタリングプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークに接続されたホスト装置間で交換される暗号化パケットのフィルタリングを行う暗号化パケットフィルタリング装置およびそのプログラム、ならびに、暗号化セッションを確立するために行われるネゴシエーションの内容を監視してその暗号化セッションの通過を制御する暗号化パケットフィルタリング装置に通信ネットワークを介して接続されるホスト装置に関する。
【背景技術】
【０００２】
従来のパケットフィルタリング装置（例えばファイアウォール）は、主に、ＩＰ（Internet Protocol）ヘッダに含まれる「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、ＴＣＰ／ＵＤＰ（Transmission Control Protocol／User Datagram Protocol）ヘッダに含まれる「送信元ポート」および「宛先ポート」の各情報をもとにアクセス制御するのが一般的である。
また、「送信元ＩＰアドレス」、「宛先ＩＰアドレス」、「プロトコル」、「送信元ポート」、「宛先ポート」の５つの情報をもとにＩＰパケット通過の可否判断を行う。
【０００３】
ところで、ＩＰ通信を暗号化する技術として標準となっているＩＰｓｅｃ（IP Security Protocol）を使用した場合、データ部分に加え、ユーザが利用しているサービスも第三者に知られないようなするため、ＩＰパケットのペイロード部分をＴＣＰ／ＵＤＰヘッダを含めて暗号化する必要がある。
つまり、ＩＰｓｅｃパケットは、ＴＣＰ／ＵＤＰヘッダに含まれる「送信元ポート」および「宛先ポート」が暗号化されているため、パケットフィルタリング装置では、ユーザがどのようなサービスを利用しているのかを判断することができない。このため、暗号化パケットフィルタリング装置は、通常、ＩＰｓｅｃ通信の通過を限られた範囲（同じ組織の拠点間の通信など）でしか許可していない。
【０００４】
ＩＰｓｅｃはＩＰｖ６（Internet Protocol version６）に標準実装されていることや、近年のセキュリティへの関心の高さに加え、ＩＰ電話などの端末間で暗号化を必要とする通信が増加してきているため、ＩＰｓｅｃ利用への関心は高くなってきている。そこで、パケットフィルタリング装置でＩＰｓｅｃ通信を許可しつつ、ＩＰｓｅｃで暗号化されてパケットフィルタリング装置を通過するパケットの種類を、組織のセキュリティポリシーに従って制限する技術が必要となってきている。
ところで、暗号化パケットのフィルタリングを行う方式として、暗号化パケットのフィルタリングに必要な情報をパケットフィルタリング装置が復号化してチェックする方式がある（例えば、特許文献１参照）。
【特許文献１】特開平１１−２０３２２２号公報（段落「０００８」〜「００１１」、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、復号化処理は時間がかかるため、データパケットの送信に遅延が生じパフォーマンスの低下をもたらす。このため、データパケットに追加の暗号処理を生じさせないための手当てが必要となる。
【０００６】
本発明は上記事情に鑑みてなされたものであり、暗号化セッションを確立するためのネゴシエーションの内容を監視し、その内容をもとにその暗号化セッションを許可するか否かの判断を行うことで、これまで通過を許可できなかったＩＰｓｅｃパケットもネゴシエーションの内容次第では通過させることのできる、暗号化パケットフィルタリング装置およびそのプログラム、ならびにホスト装置を提供することを目的とする。
また、実際のデータパケットを復号化することなく、暗号化パケットに付与された暗号化セッションの識別子のみでアクセス制御を行うことにより、フィルタリング処理にかかる時間が通信に影響を与えることのない、暗号化パケットフィルタリング装置およびそのプログラム、ならびにホスト装置を提供することも目的とする。
【課題を解決するための手段】
【０００７】
上記した課題を解決するために本発明は、通信ネットワークに接続されたホスト装置間で交換される暗号化パケットのフィルタリングを行う暗号化パケットフィルタリング装置であって、暗号化セッションを確立するために行われる前記ホスト装置間のネゴシエーションの内容を監視してその暗号化セッションを許可するか否かを判断し、その結果に基づき該ホスト装置間の暗号化セッションにおいて交換される暗号化パケットの通過を制御する暗号化パケットフィルタリング手段、を備えたことを特徴とする。
【０００８】
本発明によれば、暗号化パケットフィルタリング手段が、ホスト装置間の暗号化セッションを確立するためのネゴシエーションの内容を監視してその暗号化セッションを許可するか否かの判断を行い、ネゴシエーションの内容に問題がなければ、その暗号化セッションで運ばれる暗号化パケットの通過を許可する。具体的に、暗号化パケットには暗号化セッションの識別子が付加されるため、許可された暗号化セッションの識別子が付加された暗号化パケットのみを通過させるように制御している。
このことにより、これまで通過を許可できなかったＩＰｓｅｃパケットもそのネゴシエーションの内容次第では通過させることができ、ユーザの利便性向上をはかり、きめ細かなアクセス制御を実現しながらパフォーマンスの低下を防ぐ暗号化パケットフィルタリング装置を提供することができる。
【０００９】
また、本発明において、前記暗号化パケットフィルタリング手段は、送信元の前記ホスト装置からのネゴシエーション要求を受信し、送信元の前記ホスト装置に暗号化パケットフィルタリング装置有りメッセージを返送する暗号化パケットフィルタリング装置発見応答部と、送信元の前記ホスト装置との間で相互認証を行う端末認証部と、前記認証が成功したときに、送信元の前記ホスト装置のネゴシエーションメッセージの通過を許可するフィルタ管理部と、隣接する前記ホスト装置あるいは他の暗号化パケットフィルタリング装置とネゴシエーション用暗号化セッションを構築するネゴシエーション用暗号化セッション構築部と、確立されたネゴシエーション用暗号化セッションを用いた前記ホスト装置間のネゴシエーションの内容を監視し、この暗号化セッションを許可するか否かをアクセスポリシーに基づき判断するネゴシエーション内容判定部と、許可された暗号化セッションにより前記ホスト装置間で交換される暗号化パケットの通過を許可する暗号化プロトコルフィルタリング部と、を備えたことを特徴とする。
【００１０】
また、本発明において、前記ネゴシエーション内容判定部は、ネゴシエーションされる前記ホスト装置のアドレス情報、ポート番号情報、ホスト識別情報、または、ユーザ識別情報のうち１以上の情報により暗号化セッションを許可するか否かを判断し、前記暗号化プロトコルフィルタリング部は、暗号化セッションで交換される暗号化パケットに付与された暗号化セッションの識別子が、前記ネゴシエーションメッセージ監視部が許可した暗号化セッションのネゴシエーションにおいて交換された暗号化セッションの識別子と一致するか否かにより該暗号化パケットの通過の許可または不許可を判断する、
ことを特徴とする。
【００１１】
上記した課題を解決するために本発明は、暗号化セッションを確立するために行われるネゴシエーションの内容を監視してその暗号化セッションにおいて交換される暗号化パケットの通過を制御する暗号化パケットフィルタリング装置に通信ネットワークを介して接続されるホスト装置であって、暗号化セッションを構築したい他のホスト装置に対してネゴシエーション要求メッセージを送信するネゴシエーション要求メッセージ送信部と、前記暗号化パケットフィルタリング装置もしくは前記他のホスト装置から返信パケットを受信する返信パケット受信部と、前記返信パケット受信部で受信した返信パケットが暗号化パケットフィルタリング装置からのメッセージであったときに、前記暗号化パケットフィルタリング装置との間でネゴシエーション用暗号化セッションを構築するネゴシエーション用暗号化セッション構築部と、前記返信パケット受信部で受信した返信パケットがネゴシエーション要求返答メッセージであったときに、構築した前記ネゴシエーション用暗号化セッションを用いて前記他のホスト装置との間のネゴシエーションを行うネゴシエーション部と、前記ネゴシエーションが成功したときに当該ネゴシエーションの内容に従って前記他のホスト装置との暗号化通信を行う暗号化通信部と、を備えたことを特徴とする。
【００１２】
本発明によれば、ネゴシエーション要求メッセージを送信した結果、暗号化パケットフィルタリング装置から送信される返信パケットをチェックすることでホスト装置間に存在する暗号化パケットフィルタリング装置の存在を自動的に発見し、ネゴシエーション用暗号化セッションを構築する。そして、ネゴシエーション用暗号化セッションを用いたネゴシエーションが成功したときにそのネゴシエーションの内容に従うホスト装置間の暗号化通信が可能になる。
【００１３】
上記した課題を解決するために本発明は、通信ネットワークに接続されたホスト装置間で交換される暗号化パケットのフィルタリングを行う暗号化パケットフィルタリング装置に用いられるプログラムであって、暗号化セッションを確立するために行われる前記ホスト装置間のネゴシエーションの内容を監視してその暗号化セッションを許可するか否かを判断し、その結果に基づき該ホスト装置間の暗号化セッションにおいて交換される暗号化パケットの通過を制御する処理、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１４】
本発明によれば、ホスト装置間において暗号化パケットフィルタリング装置を介して暗号化セッションで暗号化して交換されるＩＰパケットの利用ポート番号が事前にネゴシエーションされ、暗号化パケットフィルタリング装置ではこの利用ポート番号から暗号化パケットを適切にフィルタリングすることができるようになる。このため、従来、通過を許可できなかったＩＰｓｅｃパケットも、そのネゴシエーションの内容次第で暗号化パケットフィルタリング装置を通過させることができるようになり、暗号化パケットフィルタリング装置内のユーザの利便性が向上する。更に、暗号化パケットフィルタリング装置ではネゴシエーション時にポート番号を確認するため、暗号化セッションにおける暗号化パケットを復号化する処理は必要なく、暗号化パケットに付与されたセッション識別子のみでアクセス制御を行うことが可能となるため、暗号化パケットフィルタリング装置のフィルタリング処理が通信の速度に影響を与えることはない。
【００１５】
また、本発明によれば、暗号化セッションのネゴシエーションにおいて、暗号化セッションで運ぶパケットの送信元／宛先ＩＰアドレス、送信元／宛先ポート番号以外に、送信側および受信側のＩＤ（ホストＩＤ、ユーザＩＤ他）等を交換することにより、これらの情報をもとに、従来の暗号化パケットフィルタリング装置よりもきめ細かなアクセス制御が可能となる。
【発明を実施するための最良の形態】
【００１６】
以下、図面を参照しながら本発明における暗号化パケットフィルタリング装置の一実施形態について詳細に説明する。
図１は、本発明の暗号化パケットフィルタリング装置の通信接続環境を説明するために引用した図である。図１において、符号１（２）は、イニシエータ、あるいはレスポンダとして用意されるホスト装置である。ここでは、モバイル端末が例示されており、インターネット５等の通信ネットワークを介し、本発明の暗号化パケットフィルタリング装置が実装されるファイアウォール３経由でサーバ４に接続される。概略動作説明を行えば以下のようになる。
【００１７】
モバイル端末１は、情報センタのサーバ４にリモートアクセスする場合、サーバ４へのネゴシエーション要求に対するファイアウォール３の返信から当該ファイアウォール３の存在を発見する。そして、ファイアウォール３においてユーザ認証を行う。認証された場合、モバイル端末１とサーバ４とのエンド間での鍵交換プロトコル（ＩＫＥ：Internet Key Exchange）による相互認証、およびＩＰｓｅｃパラメータのネゴシエーションが行われる。このとき、ファイアウォール３では、ＩＫＥのネゴシエーションの内容（ポート番号、ユーザＩＤなど）をチェックし、通過させても良い内容であれば、ＩＰパケットに付与されるＳＰＩ（Security Parameter Index）値を内部に記録する。ここで、ＳＰＩとは、ＳＡ（Security Association：セキュリティ通信を行うホスト間で、使用する認証や暗号アルゴリズム等の情報を共有している関係）を識別するためにＩＰｓｅｃパケットに付与される３２ビットの識別子であり、暗号化セッションの識別子（セッションＩＤ）として使用される。そして、モバイル端末１とサーバ４とのＩＰｓｅｃ通信の際、ファイアウォール３は、送信元及び宛先ＩＰアドレス、プロトコル番号、ならびに、ＳＰＩ値のうちいずれか、あるいは、これらの任意の組み合わせによるＩＰｓｅｃパケットのフィルタリングを行う。なお、ファイアウォール３は、ＩＫＥのネゴシエーションの内容が通過を許可しない内容であればモバイル端末１及びサーバ４にその旨を通知する。
【００１８】
図１０に、ＥＳＰ（Encapsulating Security Payload）を用いたＩＰｓｅｃの暗号化パケットのフォーマットが示されている。ＩＰｓｅｃには、ＥＳＰ、ＡＨ（Authentication Header）のセキュリティプロトコルの種別がある。ＥＳＰとは、ＩＰパケットの暗号化とメッセージの認証の機能を提供するセキュリティプロトコルであり、ＡＨはＩＰパケットのメッセージ認証の機能を提供するセキュリティプロトコルである。図１０に示されるように、ＥＳＰを用いたＩＰｓｅｃ暗号化パケットは、ＩＰＳｅｃパケットのＩＰヘッダ、ＥＳＰヘッダ、元のＩＰパケットのＴＣＰ／ＵＤＰヘッダおよびペイロード（データ部分）、ＥＳＰ認証データで構成される。ＥＳＰヘッダには、それぞれ３２ビットのＳＰＩフィールドおよびシーケンス番号フィールドが含まれる。そして、元のＩＰパケットのＴＣＰ／ＵＤＰヘッダおよびペイロードが暗号化範囲となる。
【００１９】
また、ＩＫＥが提供する機能にフェーズ１とフェーズ２がある。フェーズ１で提供する機能は、ＩＫＥ ＳＡ（ネゴシエーション内容を暗号化するための暗号化セッション）で使用するパラメータのネゴシエーション、ＩＫＡ ＳＡで使用する暗号鍵のセットアップ、相手認証である。また、フェーズ２で提供する機能は、ＩＰｓｅｃＳＡ（ＩＰｓｅｃでデータを暗号化するための暗号化セッション）で使用するパラメータのネゴシエーションと、ＩＰｓｅｃで使用する暗号鍵のセットアップである。なお、ＳＡは、単方向であり、両方向通信を行う場合には、２本のＳＡが必要となる。また、ＳＡは、終点ＩＰアドレス、セキュリティプロトコルの種別（ＡＨまたはＥＳＰ）、ＳＰＩの３つの情報によって識別される。
ＩＫＥのフェーズ１において、まず、イニシエータからＩＫＥ ＳＡパラメータの提案がレスポンダに送信され、レスポンダからは、ＩＫＥ ＳＡパラメータの選択が返送される。続いて、イニシエータとレスポンダ間において、ＩＫＡ ＳＡで使用する鍵情報を交換する。さらに、イニシエータとレスポンダは、自身のＩＤ（イニシエータのＩＤii、レスポンダのＩＤir）及び認証情報（署名、証明書）等のデータ内容をこの交換した鍵情報から生成した鍵により暗号化して交換する。ＩＤii，ＩＤirにおいては、ホスト名（ＦＱＤＮ：Fully-Qualified Domain Name）、ユーザ名（ＵＳＥＲ_ＦＱＤＮ）等お互いのＩＤが交換される。
ＩＫＥのフェーズ２において、まず、イニシエータは、ＩＰｓｅｃＳＡの提案及びＩＰｓｅｃで使用する自身の鍵情報などのデータ内容をフェーズ１で生成した鍵を用いて暗号化して送信する。レスポンダは、ＩＰＳｅｃＳＡパラメータの選択及びＩＰｓｅｃで使用する自身の鍵情報などのデータ内容をフェーズ１で生成した鍵を用いて暗号化して返送する。この時、ＩＰｓｅｃを適用するＩＰパケットのＩＰアドレス、ポート番号も同時に指定される（イニシエータのＩＤci、レスポンダのＩＤcr）。
なお、このフェーズ１及びフェーズ２で交換されるＩＤii（ＩＤir）、ＩＤci（ＩＤcr）のフォーマットも図１０に示されている。
【００２０】
図２は、図１に示す暗号化パケットフィルタリング装置の接続シーケンスを説明するために引用した図である。
図２では、図１に示すモバイル端末１（２）の一方をホスト装置１（イニシエータ）、他方をホスト装置２（レスポンダ）とし、両者のデータ通信を仲介する暗号化パケットフィルタリング装置をファイアウォール（ＦＷ）３として示している。図２を参照しながら接続シーケンスの流れについて概略説明すれば以下のようになる。
【００２１】
ホスト装置１がホスト装置２に対して暗号化セッションの確立要求パケット（ネゴシエーション要求メッセージ）を送信することにより、以下に示す接続シーケンスが開始される。
このとき、通信経路となるファイアウォール３は、暗号化セッション確立要求パケットを検知し、ホスト装置１に対して返信する（ＦＷ有りメッセージ）。このことにより、ホスト装置１はファイアウォール３の存在を検知することができる。そして、ホスト装置１は、ファイアウォール３との間で、相手認証を行う（ＩＫＥフェーズ１）。相手認証に成功した場合は、ファイアウォール３で、ホスト装置１からのネゴシエーションパケットの通過を許可するように設定される（Ｓ２１：ＦＷの発見・認証）。
【００２２】
次に、ホスト装置１は、ファイアウォール３との間で、ＩＫＥなどを使用して暗号化セッションをネゴシエーションするための暗号化セッション（ネゴシエーション用暗号化セッション）の確立（ＩＫＥフェーズ１）を行う（Ｓ２２：ネゴシエーション用暗号化セッションの構築）。ホスト装置１は、再び、ホスト装置２に対して、暗号化セッションの確立要求パケット（ネゴシエーション要求メッセージ）を送出する。このとき、ホスト装置２との通信経路間に別の（２番目の）ファイアウォール３があれば、更に、ホスト装置１とこの２番目のファイアウォール３との間で上記したＳ２１が、１番目と２番目のファイアウォール３との間でＳ２２のシーケンスが繰り返される（Ｓ２３、Ｓ２４）。
続いて、ホスト装置１は、再び、ホスト装置２に対して、暗号化セッションの確立要求パケット（ネゴシエーション要求メッセージ）を送出する。ここでは、両ファイアウォール３において、ホスト装置１からのネゴシエーションパケットの通過が許可されているためホスト装置２まで到達する。そして、ホスト装置２は、ホスト装置１に対して、暗号化セッションの確立要求パケットに対する返答（ネゴシエーション要求返答メッセージ）を返し、上記したＳ２１と同様に相手認証を行う。さらに、２番目のファイアウォール３とホスト装置２との間で、上述したＳ２２と同様にネゴシエーション用暗号化セッションの確立を行う（Ｓ２５：ＦＷの発見・認証、Ｓ２６：暗号化セッションの構築）。このように、隣同士のホストあるいはファイアウォール間において、ネゴシエーション用暗号化セッションがセットアップされる。
【００２３】
次に、ホスト装置１は、既に確立されたネゴシエーション用暗号化セッション（ホスト装置１−１番目のファイアウォール３、ファイアウォール３間、および２番目のファイアウォール３−ホスト装置２）を通して、ホスト装置２との間でＩＫＥのネゴシエーションを行う。
このとき、通常は、ネゴシエーションの内容が第三者に知られないように、ネゴシエーションの内容（暗号化セッションで運ぶパケットの送信元／宛先ＩＰアドレス、送信元／宛先ポート番号など）を暗号化してインターネット５等のネットワーク上に送出するが、本発明によれば、既に確立されたネゴシエーション用暗号化セッションによって、ネットワーク上では自動的にネゴシエーション全体が暗号化されるため、ネゴシエーションのデータ内容自体は暗号化せずに送出する。すなわち、ネゴシエーションの内容は、ホスト装置１〜最初のファイアウォール３間、１番目と２番目のファイアウォール３間、および、２番目のファイアウォール３−ホスト装置２間では隣接するホスト装置１，２あるいはファイアウォール３間でセットアップしたネゴシエーション用暗号化セッションを使用してネゴシエーションを暗号化する。これにより、通信路上ではネゴシエーション内容が暗号化されているが、ファイアウォール３上で復号化されるので、従って、ファイアウォール３でネゴシエーションの内容を確認することができる（Ｓ２７、Ｓ２８暗号化されていないフェーズ１，２）。
なお、ＩＰｓｅｃＳＡで運ぶＩＰパケットの送信元／宛先ＩＰアドレス、送信元／宛先ポート番号は、ＩＫＥバージョン１ではＩＤペイロード中に記述される。
【００２４】
ファイアウォール３は、暗号化セッションのネゴシエーションの内容を確認し（暗号化セッションで使用する送信元／宛先アドレス，送信元／宛先ポート番号，セッション識別子等をチェック）、ネゴシエーションの内容がファイアウォール３で許可しない内容であれば、それ以降のホスト装置１、２間の通信を遮断する。もしくは、通過を許可する内容を両ホスト装置１、２に通知し、ネゴシエーションを再開させる。
一方、ネゴシエーションの内容がファイアウォール３で許可する内容であれば、その暗号化セッションで使用するセッション識別子（ＳＰＩ）と暗号化セッションの有効期間を記録し、そのホスト間で交換される。その識別子が付加された暗号化パケットの通過を、その有効期間だけ許可し、ＩＰｓｅｃＳＡによる暗号化通信を行う（Ｓ２９、Ｓ３０：ＩＰｓｅｃＳＡ暗号化通信）。
【００２５】
従来のファイアウォール３は、ＩＰｓｅｃが適用された元のＩＰパケットは、ポート番号が暗号化されているため、どのようなサービスを利用しようとしているのかを判断することができなかった。しかし、本発明によれば、ファイアウォール３で、事前にネゴシエーションされた利用ポート番号から暗号化パケットを適切にフィルタリングすることができるようになる。このため、これまでは通過を許可できなかったＩＰｓｅｃパケットも、そのネゴシエーション内容次第でファイアウォール３を通過させることができるようになり、ファイアウォール３内のユーザの利便性が向上する。
また、暗号化セッションのネゴシエーションにおいて、暗号化セッションで運ぶパケットの送信元／宛先ＩＰアドレス、送信元／宛先ポート番号以外にも、送信側および受信側のＩＤ（ホストＩＤ、ユーザＩＤ他）等が交換されるため、これらの情報をもとに、従来のファイアウォールよりもきめ細かなアクセス制御が可能となる。更に、本発明のファイアウォールでは、ポート番号を確認するために、実際のデータパケットを復号化する処理は必要なく、暗号化パケットに付与されたセッション識別子（ＳＰＩ）のみでアクセス制御を行うことが可能であるため、ファイアウォール３のフィルタリング処理にかかる時間が通信に影響を与えることはない。
【００２６】
図３にホスト装置１の、図４にファイアウォール３（暗号化パケットフィルタリング装置）の内部構成が機能展開されて示されている。
図３に示されるように、ホスト装置１は、ネゴシエーション要求メッセージ送信部１１と、返信パケット受信部１２と、ＦＷ発見部１３と、ＦＷ認証部１４と、ネゴシエーション用暗号化セッション構築部１５と、ネゴシエーション部１６と、暗号化通信部１７で構成される。
【００２７】
ネゴシエーション要求メッセージ送信部１１は、暗号化セッションを構築したいホスト装置２に対してネゴシエーション要求メッセージを送信する機能を持ち、返信パケット受信部１２は、ファイアウォール３もしくはホスト装置２からの返信パケットを受信する機能を持つ。ＦＷ発見部１３は、ファイアウォール３からの返信（ＦＷ有りメッセージ）を受信することにより、通信経路上でのファイアウォール３の存在を検知することができる。
ＦＷ認証部１４は、返信パケット受信部１２で受信した返信パケットがファイアウォール３からのＦＷ有りメッセージであったときに、当該メッセージに含まれるファイアウォール３のアドレスに基づき当該ファイアウォール３との間で相互認証を行う機能を持つ。ネゴシエーション用暗号化セッション構築部１５は、ＦＷ認証部１４での相互認証が成功したときに、ファイアウォール３との間でネゴシエーション用暗号化セッションを構築する機能を持つ。
【００２８】
また、ネゴシエーション部１６は、返信パケット受信部１２で受信した返信パケットがネゴシエーション要求返答メッセージであったときに、ホスト装置１、２間にファイアウォールの存在を確認し、存在するときネゴシエーション用暗号化セッションを用いたデータ内容の暗号化無しの、存在するときにデータ内容を暗号化したネゴシエーションを継続して実行する機能を持つ。暗号化通信部１７は、ネゴシエーション部１６によるネゴシエーションが成功したときに当該ネゴシエーションの内容に従いＩＰｓｅｃによる暗号化通信を行う機能を持つ。
【００２９】
一方、図４に示されるように、ファイアウォール３は、ＦＷ発見応答部３１と、ホスト認証部３２と、フィルタ管理部３３と、ネゴシエーションメッセージ監視部３４と、ネゴシエーション用暗号化セッション構築部３５と、ネゴシエーション内容判定部３６と、暗号化プロトコルフィルタリング部３７と、アクセスポリシーＤＢ３８で構成される。
なお、送信元となるホスト装置１に対し、ネゴシエーション返答メッセージを返し、ホスト装置１との間でネゴシエーションを行うネゴシエーション部と、ネゴシエーションが成功したとき、当該ネゴシエーションの内容に従って暗号化通信を行う暗号化通信部については図示省略している。ネゴシエーション部と、暗号化通信部については、図３に示されるそれと通信相手が異なるのみで同様の機能を持つ。
なお、ここに示されるファイアウォール３は、暗号化セッションを確立するために行われるホスト装置１、２間のネゴシエーションの内容を監視してその暗号化セッションの通過を許可するか否かを判断し、その結果に基づき暗号化セッションで交換される暗号化パケットの通過を制御する暗号化パケットフィルタリング手段として動作する機能ブロックのみ抽出して示してある。
【００３０】
ＦＷ発見応答部３１は、送信元となるホスト装置１からのネゴシエーション要求メッセージを受信し、ホスト装置１に自身のアドレスを含むＦＷ有りメッセージを送信する機能を持ち、ホスト認証部３２は、ホスト装置１から認証要求を受信して相互認証を行う機能を持つ。
また、フィルタ管理部３３は、ホスト認証部３２での認証が成功したときに、ホスト装置１から送信されるネゴシエーションメッセージとその返答メッセージの通過をアクセスポリシーＤＢ３８に格納されたアクセスポリシーに基づき許可する機能を持つ。アクセスポリシーは、送信元／宛先ＩＰアドレス、送信元／宛先ポート番号、ホストＩＤ、ユーザＩＤなどの情報のうち１つあるいは任意の組み合わせにより設定することができる。
【００３１】
一方、ネゴシエーションメッセージ監視部３４は、ネゴシエーション要求返答メッセージあるいはＦＷ有りメッセージ通過時、送信元となるホスト装置２あるいは他のファイアウォール３のアドレスを取得する機能を持ち、ネゴシエーション用暗号化セッション構築部３５は、このアドレスに基づき送信元となるホスト装置２あるいは他のファイアウォール３とのネゴシエーション用暗号化セッションを構築する機能を持つ。
また、ネゴシエーション内容判定部３６は、ネゴシエーション用暗号化セッションを用いたネゴシエーションのパラメータをチェックしてあらかじめアクセスポリシーＤＢ３８に登録されているアクセスポリシーと比較し、エンド間で許可されている通信であるか否かを判定する機能を持つ。また、通過を許可すると判断した場合に、通過を許可する暗号化パケットの送信元ＩＰアドレス、宛先ＩＰアドレス、セキュリティプロトコルの種類、ＳＰＩなどを暗号化プロトコルフィルタリング部３７へ通知する。さらに、フィルタ管理部３３に対し、通過を許可していたネゴシエーションプロトコルの通過を許可しないよう設定を元に戻す機能をもつ。暗号化プロトコルフィルタリング部３７は、ネゴシエーション内容判定部３６から通知された条件に基づき、暗号化パケットの通過を許可する機能を持つ。
なお、ホスト装置２は、ファイアウォール３のＦＷ発見応答部３１、ネゴシエーションメッセージ監視部３４、ネゴシエーション部、暗号化通信部と同様の機能を有する。
【００３２】
図５は、図３に示すホスト装置１の動作を説明するために引用したフローチャートである。
以下、図５に示すフローチャートを参照しながら図３に示すホスト装置１の動作について詳細に説明する。
ホスト装置１は、まず、ネゴシエーション要求メッセージ送信部１１を起動し、暗号化セッションを構築したい相手に対してネゴシエーション要求メッセージ（ＩＫＥの最初のパケット）を送信する（Ｓ５０１）。これに対し、通信経路上に存在するファイアウォール３もしくは通信相手となるホスト装置２から返信があった場合、返信パケット受信部１２で、ＦＷ有りメッセージ、またはネゴシエーション要求返答メッセージを受信する（Ｓ５０２）
【００３３】
ここで、ファイアウォール３からの返信メッセージ（ＦＷ有りメッセージ）であった場合（Ｓ５０３Ｙｅｓ）、ＦＷ発見部１３は、ファイアウォール３の介在を検知し、ＦＷ認証部１４に対してＦＷ有りメッセージに含まれるファイアウォール３のアドレスを通知してＦＷ認証部１４による相互認証処理を起動する。
ＦＷ認証部１４によるファイアウォール３との間の相互認証実行後（Ｓ５０４）、認証が成功した場合（Ｓ５０５Ｙｅｓ）、既にファイアウォール３が発見されているか否かをチェックし（Ｓ５０６）、否の場合、ネゴシエーション用暗号化セッション構築部１５を起動してファイアウォール３のアドレスを通知し、ネゴシエーション用暗号化セッションの構築を行う。
なお、既にファイアウォール３が見つかっていた場合にはファイアウォール発見処理に戻る。
【００３４】
一方、Ｓ５０３の処理で返信相手がファイアウォール３でなく、通信相手のホスト装置２であったことが確認されると処理をネゴシエーション部１６に移し、ネゴシエーション部１６で、間にファイアウォール３が介在するか否かをチェックし（Ｓ５０７）、存在する場合（Ｓ５０７Ｙｓｅ）、引き続きデータ内容の暗号化なしでネゴシエーションを行う（Ｓ５０８）。ここでは、ファイアウォール３との間に構築したネゴシエーション用暗号化セッションで自動的に暗号化される。
なお、間にファイアウォール３が介在しない場合は（Ｓ５０７Ｎｏ）、引き続き、通常のデータ内容を暗号化したネゴシエーションを行い（Ｓ５０９）、ネゴシエーションに成功した場合（Ｓ５１０Ｙｅｓ）、暗号化通信部１７で、ネゴシエーションの内容に従う暗号化通信を行う。
【００３５】
図６は、ファイアウォール３またはホスト装置２の、図７〜図９は、ファイアウォール３の動作を説明するために引用したフローチャートである。また、一部、本発明の暗号化パケットフィルタリングプログラムの処理手順も示されている。
以下、図６〜図９に示すフローチャートを参照しながら図４に示す本発明の暗号化プロトコルフィルタリング装置（ファイアウォール３）の動作について詳細に説明する。
【００３６】
図６に示すフローチャートにおいて、まず、ファイアウォール３のＦＷ発見応答部３１では、ホスト装置１からネゴシエーション要求メッセージを受信し（Ｓ６０１）、受信したパケットは自分宛てか否かを判断し（Ｓ６０２）、自分宛てであれば、更に、自身がネゴシエーション機能および暗号化通信機能を持っているか否かをチェックする（Ｓ６０３）。
ここで、自分宛てパケットであって、かつ、自身がネゴシエーション機能および暗号化通信機能を備えていれば、図示せぬネゴシエーション部を起動して送信元のホスト装置１に対してネゴシエーション要求返答メッセージを返信し、引き続きネゴシエーションを継続する（Ｓ６０４）。ここで、ネゴシエーションが成功した場合は（Ｓ６０５Ｙｅｓ）、図示せぬ暗号化通信部により、ネゴシエーション内容に従う暗号化通信が行われる。
【００３７】
なお、Ｓ６０２のチェックで自分宛てパケットではなかった場合は自身のアドレスを含むＦＷ有りメッセージを送信する（Ｓ６０６）。また、Ｓ６０３のチェックで、自身がネゴシエーション機能、あるいは暗号化通信機能のいずれかを持たない場合は、両ホスト装置１にエラーメッセージを送信して通信を中断する。
また、上記した動作は、ファイアウォール３が実行するものとして説明したが、通信相手となるホスト装置２が行っても良い。
【００３８】
次に、図７に示すフローチャートにおいて、ファイアウォール３は、ホスト認証部３２でホスト装置１からの認証要求を受信し（Ｓ７０１）、ホスト装置１との間でＩＫＥフェーズ１などの相互認証を行う（Ｓ７０２）。
そして認証が成功した場合（Ｓ７０３Ｙｅｓ）、ホスト認証部３２は、フィルタ管理部３３に対し、認証したホスト装置１から送信されるネゴシエーションメッセージとその返答メッセージの通過をアクセスポリシーで許可するように依頼する。依頼を受けたフィルタ管理部３３は、認証したホスト装置１から送信されるネゴシエーションメッセージとその返答メッセージの通過をアクセスポリシーで許可する（Ｓ７０４）。
【００３９】
図８、図９に、ファイアウォール３でのフィルタリング処理の詳細が示されている。
まず、図８に示すフローチャートにおいて、ネゴシエーション要求返答メッセージまたはＦＷ有りメッセージがファイアウォール３を通過したときに（Ｓ８０１）、ネゴシエーションメッセージ監視部３４は、通過したメッセージがネゴシエーション要求返答メッセージか、あるいはＦＷ有りメッセージであるかをチェックする（Ｓ８０２）。
ここで、ネゴシエーション要求返答メッセージであった場合、ネゴシエーションメッセージ監視部３４は、ネゴシエーション要求返答メッセージの送信元ＩＰアドレスを取得し（Ｓ８０３）、既にその送信元ＩＰアドレスに対するＦＷ有りメッセージを受信しているか否かをチェックする（Ｓ８０４）。そして、否であった場合、ネゴシエーション用暗号化セッション構築部３５に対して取得したアドレスを通知して暗号化セッションの構築依頼を行う。このことにより、依頼を受けたネゴシエーション用暗号化セッション構築部３５では受信したアドレスに基づいてネゴシエーション用暗号化セッションの確立を行い、図９に示す動作を行う（Ｓ８０５）。なお、Ｓ８０４において、既に送信元ＩＰアドレスに対するＦＷ有りメッセージを受信している場合は、そのまま図９に示す動作を行う。
【００４０】
一方、Ｓ８０２のチェックで、ＦＷ有りメッセージを受信した場合、ネゴシエーションメッセージ監視部３４は、そのＦＷ有りメッセージに含まれるファイアウォール３のＩＰアドレスを取得し（Ｓ８０６）、既にその送信元ＩＰアドレスに対するＦＷ有りメッセージを受信しているか否かをチェックする（Ｓ８０７）。ここで、否の場合、ネゴシエーション用暗号化セッション構築部３５を起動してＦＷ有りメッセージを送信したファイアウォール３とのネゴシエーション用暗号化セッションを構築し、処理を終了する（Ｓ８０８）。なお、Ｓ８０７において、既に送信元ＩＰアドレスに対するＦＷ有りメッセージを受信していると判断した場合は、そのまま処理を終了する。
【００４１】
続いて、図９に示すフローチャートにおいて、ネゴシエーション内容判定部３６は、ネゴシエーション用暗号化セッションを通過するネゴシエーションを監視し、暗号化セッションを通過するネゴシエーションのパケットの送信元・宛先ＩＰアドレス、送信元・宛先ポート番号と、暗号化セッションを構築する両端ＩＤ（ユーザＩＤまたはホストＩＤ）と、暗号化セッションのセッションＩＤ（ＳＰＩ）と、暗号化セッションの有効期限を取得する。そして、ネゴシエーションされるパケットの送信元・宛先ＩＰアドレス、送信元・宛先ポート番号、暗号化セッションを構築する両端ＩＤ（ユーザＩＤまたはホストＩＤ）をチェックし、アクセスポリシーＤＢ３８に登録されているアクセスポリシーと比較する（Ｓ８０９）。アクセスポリシーで許可されていない場合は（Ｓ８１０Ｎｏ）、両ホスト装置１、２に対してエラー通知を行う。一方、アクセスポリシーで許可されていることが確認されると（Ｓ８１０Ｙｅｓ）、暗号化プロトコルフィルタリング部３７に対して、ネゴシエーション内容で示されるホスト装置１、２間で確立するＩＰｓｅｃ通信に適用するセキュリティプロトコルのプロトコル番号、送信元・宛先ＩＰアドレス、ＳＰＩ値、有効期限を通知する（Ｓ８１１）。
また、暗号化プロトコルフィルタリング部３７では、有効期限をチェックし（Ｓ８１２）、有効期限内にある場合、通知されたプロトコル番号、送信元・宛先ＩＰアドレス、ＳＰＩ値を持つＩＰｓｅｃ通信の暗号化パケットの通過を許可し（Ｓ８１３）、有効期限切れの場合は、通知されたプロトコル番号、送信元・宛先ＩＰアドレス、ＳＰＩ値を持つ場いいは通過を拒否する（Ｓ８１４）。
【００４２】
なお、ネゴシエーション内容判定部３６は、暗号化プロトコルフィルタリング部３７に対して暗号化プロトコルのプロトコル番号、送信元・宛先ＩＰアドレス、ＳＰＩ値、有効期限を通知し、ネゴシエーション完了後、フィルタ管理部３３に対してネゴシエーションプロトコルの通過許可設定を元に戻すように依頼する。これを受けたフィルタ管理部３３では、ネゴシエーションプロトコルの通過許可設定を元に戻すようにアクセスポリシーＤＢ３８を更新する（Ｓ８１５）。
【００４３】
以上説明のように、本発明は、暗号化セッションを確立するためのネゴシエーションの内容を監視し、その内容をもとにその暗号化セッションの通過を許可するか否かの判断を行うことで、これまで通過を許可できなかったＩＰｓｅｃパケットもそのネゴシエーションの内容次第では通過させることができ、このことによりユーザの利便性向上をはかり、きめ細かなアクセス制御を実現しながらパフォーマンスの低下を防ぐものである。
また、従来のファイアウォール３では、ＩＰｓｅｃが適用された元のパケットは、ポート番号が暗号化されているため、どのようなサービスを利用しようとしているのかを判断することができなかったが、ファイアウォール３で、事前にネゴシエーションされた利用ポート番号から暗号化パケットを適切にフィルタリングすることができるようになるため、これまでは通過を許可できなかったＩＰｓｅｃパケットも、そのネゴシエーション内容次第でファイアウォール３を通過させることができるようになる。更に、暗号化セッションのネゴシエーションにおいて、暗号化セッションで運ぶパケットの送信元／宛先ＩＰアドレス、送信元／宛先ポート番号以外にも、送信側および受信側のＩＤ（ホストＩＤ、ユーザＩＤ他）等が交換されるため、これらの情報をもとに、従来のファイアウォールよりもきめ細かなアクセス制御が可能となる。また、本発明によれば、ポート番号を確認するために、実際のデータパケットを復号化する処理は必要なく、暗号化パケットの送信元・宛先ＩＰアドレス、プロトコル番号、暗号化パケットに付与されたセッション識別子（ＳＰＩ）のみでアクセス制御を行うことが可能であるため、ファイアウォール３のフィルタリング処理にかかる時間が通信に影響を与えることはない。
【００４４】
なお、図３に示すホスト装置１、ホスト装置２、及び、図４に示すファイアウォール３のそれぞれで実行される手順をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって本発明の暗号化パケットフィルタリング装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウェアを含む。
【００４５】
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００４６】
以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【図面の簡単な説明】
【００４７】
【図１】本発明の暗号化パケットフィルタリング装置の通信接続環境を説明するために引用した図である。
【図２】図１に示す暗号化パケットフィルタリング装置の接続シーケンスを説明するために引用した図である。
【図３】本発明実施形態で使用されるホスト装置の内部構成を機能展開して示したブロック図である。
【図４】本発明実施形態で使用されるファイアウォールの内部構成を機能展開して示したブロック図である。
【図５】本発明実施形態で使用されるホスト装置の動作を示すフローチャートである。
【図６】本発明実施形態で使用されるファイアウォールの動作を示すフローチャートである。
【図７】本発明実施形態で使用されるファイアウォールの動作を示すフローチャートである。
【図８】本発明実施形態で使用されるファイアウォールの動作を示すフローチャートである。
【図９】本発明実施形態で使用されるファイアウォールの動作を示すフローチャートである。
【図１０】ＩＰｓｅｃが適用された暗号化パケットのフォーマットの一例を示す図である。
【符号の説明】
【００４８】
１（２）…ホスト装置（モバイル端末）、３…ファイアウォール（暗号化パケットフィルタリング装置）、４…サーバ、５…インターネット、１１…ネゴシエーション要求メッセージ送信部、１２…返信パケット受信部、１３…ＦＷ発見部、１４…ＦＷ（ファイアウォー）認証部、１５…ネゴシエーション用暗号化セッション構築部、１６…ネゴシエーション部、１７…暗号化通信部、３１…ＦＷ発見応答部、３２…ホスト認証部、３３…フィルタ管理部、３４…ネゴシエーションメッセージ監視部、３５…ネゴシエーション用暗号化セッション構築部、３６…ネゴシエーション内容判定部、３７…暗号化プロトコルフィルタリング部、３８…アクセスポリシーＤＢ
【図１】
2005175825.tif 000003
【図２】
2005175825.tif 000004
【図３】
2005175825.tif 000005
【図４】
2005175825.tif 000006
【図５】
2005175825.tif 000007
【図６】
2005175825.tif 000008
【図７】
2005175825.tif 000009
【図８】
2005175825.tif 000010
【図９】
2005175825.tif 000011
【図１０】
2005175825.tif 000012