(57)【要約】【課題】  暗号処理に必要な適用条件及び合意情報の管理を容易に行うことができる暗号処理装置を提供する。【解決手段】  適用条件記憶手段１１１に順序づけて記憶された適用条件に基づき暗号化判定／復号化判定を行い、合意情報記憶手段１１２に順序づけて記憶された合意情報に基づき暗号化処理／復号化処理を行う暗号処理装置１００において、合意情報のキーとして記憶する宛先アドレス及び送信元アドレスの双方を、複数のアドレスが含まれるアドレス群で記憶可能とした。【選択図】  図１
2007006255.tif 000002
【特許請求の範囲】
【請求項１】
第１のネットワーク側の端末装置から第２のネットワーク側の相手装置宛に送信されたパケットを暗号化して該相手装置に中継するとともに前記相手装置から端末装置宛の暗号化パケットを復号化して該端末装置に中継する暗号処理装置において、
パケットに対する暗号化処理及び復号化処理の適用条件を宛先アドレス及び送信元アドレスをキーとして順序づけして記憶する適用条件記憶手段と、
パケットの暗号化処理及び復号化処理で用いる合意情報を宛先アドレス及び送信元アドレスをキーとして順序づけして記憶する合意情報記憶手段と、
第１のネットワーク側から受信したパケットの宛先アドレス及び送信元アドレスをキーとして適用条件記憶手段から適用条件を順序にしたがって取得し、該適用条件に基づきパケットに対する処理内容を判定する暗号化判定手段と、
暗号化判定手段で暗号化対象と判定されたパケットの宛先アドレス及び送信元アドレスをキーとして合意情報記憶手段から合意情報を順序にしたがって取得し、該合意情報に基づきパケットの暗号化処理を行う暗号化処理部と、
第２のネットワーク側から受信した暗号化パケットの宛先アドレス及び送信元アドレスをキーとして適用条件記憶手段から適用条件を順序にしたがって取得し、該適用条件に基づき暗号化パケットに対する処理内容を判定する復号化判定手段と、
復号化判定手段で復号化対象と判定されたパケットの宛先アドレス及び送信元アドレスをキーとして合意情報記憶手段から合意情報を順序にしたがって取得し、該合意情報に基づきパケットの復号化処理を行う復号化処理部とを備え、
前記合意情報記憶手段は、合意情報のキーとして記憶する宛先アドレス及び送信元アドレスの双方を、複数のアドレスが含まれるアドレス群で記憶可能とし、
前記暗号化処理部及び復号化処理部は、パケットの宛先アドレス及び送信元アドレスの双方が完全一致又は部分一致する合意情報を順序にしたがって合意情報記憶手段から取得する
ことを特徴とする暗号処理装置。
【請求項２】
適用条件記憶手段に記憶されている適用情報及び合意情報記憶手段に記憶されている合意情報を、キーとなる宛先アドレス及び送信元アドレスに包含されるアドレス数が少ないものほど上位となるように順序を並べ替える管理手段を備えた
ことを特徴とする請求項１記載の暗号処理装置。
【請求項３】
適用条件記憶手段に記憶されている適用情報及び合意情報記憶手段に記憶されている合意情報を、復号化処理で用いられる適用情報又は合意情報についてはキーとなる送信元アドレスに包含されるアドレス数が少ないものほど上位となり、且つ、暗号化処理で用いられる適用情報又は合意情報についてはキーとなる宛先アドレスに包含されるアドレス数が少ないものほど上位となるように順序を並べ替える管理手段を備えた
ことを特徴とする請求項１記載の暗号処理装置。
【請求項４】
適用条件記憶手段に記憶されている適用情報及び合意情報記憶手段に記憶されている合意情報を、復号化処理で用いられる適用情報又は合意情報についてはキーとなる宛先アドレスに包含されるアドレス数が少ないものほど上位となり、且つ、暗号化処理で用いられる適用情報又は合意情報についてはキーとなる送信元アドレスに包含されるアドレス数が少ないものほど上位となるように順序を並べ替える管理手段を備えた
ことを特徴とする請求項１記載の暗号処理装置。
【請求項５】
前記合意情報記憶手段と適用条件記憶手段とを宛先アドレス及び送信元アドレスをキーとして互いに関連付けておき、
暗号化判定手段及び復号化判定手段は、適用条件記憶手段から適用条件を取得する際に該適用条件に関連付けられた合意情報を取得し、
暗号化処理手段及び復号化処理手段は、前段の暗号化判定手段又は復号化判定手段で取得した合意情報を用いて暗号化処理又は復号化処理を行う
ことを特徴とする請求項１乃至４何れか１項記載の暗号処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケットの暗号化処理及び中継処理を行う暗号処理装置に関する。
【背景技術】
【０００２】
従来、インターネット等のネットワークを介して暗号通信を行うための規格としてＩＰｓｅｃ（Security Architecture for the Internet Protocol）が知られている（非特許文献１参照）。このＩＰｓｅｃの規格においては、パケットに対する暗号化処理及び復号化処理の適用条件（Security Policy）を記憶したＳＰＤ（Security Policy Database）と呼ばれるデータベースと、パケットに暗号化処理及び復号化処理で用いる合意(SA:Security Association)情報を記憶したＳＡＤ（Security Association Database）と呼ばれるデータベースとを有することが定められている。暗号処理を行う装置は、入出力するパケットに対してＳＰＤを参照して該パケットに対する復号化/暗号化，廃棄，透過などの処理を決定する。また、暗号化や復号化を行う際にはＳＡＤを参照して当該処理で必要な合意情報を用いている。
【非特許文献１】Stephen Kent、他１名、”インターネットプロトコルのためのセキュリティアーキテクチャ（Security Architecture for the Internet Protocol）”、[online]、平成１０年１１月、ＲＦＣ（ Request for Comments）２４０１、ＩＥＴＦ（Internet Engineering Task Force）、［平成１７年６月６日］、インターネット（URL:http://www.ipa.go.jp/security/rfc/RFC2401JA.html）
【発明の開示】
【発明が解決しようとする課題】
【０００３】
上記暗号処理装置では、ＳＰＤ及びＳＡＤのエントリとしてキーとして送信元ＩＰアドレスと宛先ＩＰアドレスを用いている。ここで、ＳＰＤのエントリは適用条件の設定や管理を簡略化できるように、送信元ＩＰアドレスと宛先ＩＰアドレスとして単一の値のＩＰアドレス（ユニキャスト，エニーキャスト，ブロードキャスト（ＩＰｖ４のみ），又はマルチキャストグループの何れか）だけでなく、アドレス群（アドレスの範囲（上限値と下限値）、ネットワークアドレス、ワイルドカードアドレス）を指定可能である。
【０００４】
しかし、前記ＳＡＤでは、ＲＦＣ上では宛先ＩＰアドレス及び送信元ＩＰアドレスとして双方のアドレスをアドレス群として指定することは許容されているものの、複数のエントリにマッチする場合にどのエントリを優先するかという点について規定されていないため、このような場合に特定のエントリをネットワーク構成等に応じて的確に取得することができなかった。また、宛先ＩＰアドレス及び送信元ＩＰアドレスとして双方のアドレスをアドレス群として指定した場合、前記ＳＰＤとの連携が図れないという問題もあった。このような事情から、前記ＳＡＤでは、何れか一方のアドレスは単一の値のＩＰアドレスを指定する必要があるというのが現実である。このため、ネットワーク構成が変更になった場合などには、仮にＩＰアドレスが変更されたがネットワークアドレスは変わっていないような場合であっても適宜ＳＡＤを更新する必要がある。すなわち、ＳＡＤの管理は煩雑であるという問題点があった。
【０００５】
この問題を解決するために、ＳＡＤの設定には自動鍵交換機能（ＩＫＥ：Internet Key Exchange（ＲＦＣ２４０９で規定））を用いることが一般的である。しかし、暗号処理装置に自動化鍵交換機能を実装すると、システムが複雑化・高コスト化するという問題があった。
【０００６】
また、ＳＰＤでは各エントリの順序を保持している。この順序はどのエントリを適用するかを決定する要因でもあるため、各適用条件の内容そのものの管理とともに順序の管理も重要となる。このため、従来の暗号処理装置ではＳＰＤの管理も煩雑なものであった。
【０００７】
本発明は、上記事情に鑑みてなされたものであり、その目的とするところは、暗号処理に必要な適用条件及び合意情報の管理を容易に行うことができる暗号処理装置を提供することにある。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本願では、第１のネットワーク側の端末装置から第２のネットワーク側の相手装置宛に送信されたパケットを暗号化して該相手装置に中継するとともに前記相手装置から端末装置宛の暗号化パケットを復号化して該端末装置に中継する暗号処理装置において、パケットに対する暗号化処理及び復号化処理の適用条件を宛先アドレス及び送信元アドレスをキーとして順序づけして記憶する適用条件記憶手段と、パケットの暗号化処理及び復号化処理で用いる合意情報を宛先アドレス及び送信元アドレスをキーとして順序づけして記憶する合意情報記憶手段と、第１のネットワーク側から受信したパケットの宛先アドレス及び送信元アドレスをキーとして適用条件記憶手段から適用条件を順序にしたがって取得し、該適用条件に基づきパケットに対する処理内容を判定する暗号化判定手段と、暗号化判定手段で暗号化対象と判定されたパケットの宛先アドレス及び送信元アドレスをキーとして合意情報記憶手段から合意情報を順序にしたがって取得し、該合意情報に基づきパケットの暗号化処理を行う暗号化処理部と、第２のネットワーク側から受信した暗号化パケットの宛先アドレス及び送信元アドレスをキーとして適用条件記憶手段から適用条件を順序にしたがって取得し、該適用条件に基づき暗号化パケットに対する処理内容を判定する復号化判定手段と、復号化判定手段で復号化対象と判定されたパケットの宛先アドレス及び送信元アドレスをキーとして合意情報記憶手段から合意情報を順序にしたがって取得し、該合意情報に基づきパケットの復号化処理を行う復号化処理部とを備え、前記合意情報記憶手段は、合意情報のキーとして記憶する宛先アドレス及び送信元アドレスの双方を、複数のアドレスが含まれるアドレス群で記憶可能とし、前記暗号化処理部及び復号化処理部は、パケットの宛先アドレス及び送信元アドレスの双方が完全一致又は部分一致する合意情報を順序にしたがって合意情報記憶手段から取得することを特徴とするものを提案する。
【０００９】
本発明によれば、合意情報のキーとなる宛先アドレス及び送信元アドレスの双方を、単一の値のアドレスだけでなく複数のアドレスが含まれるアドレス群で指定可能となるので、設定や管理が容易となる。また、各合意情報は順序づけて合意情報記憶手段に記憶されており、且つ、暗号化処理部及び復号化処理部は、パケットの宛先アドレス及び送信元アドレスの双方が完全一致又は部分一致する合意情報を順序にしたがって取得するので、各合意情報及び順序を適切に管理することによりネットワーク構成等に応じた適切な暗号処理が可能となる。なお、ここでアドレスとは通信に係る装置やプログラムを特定するものであり、１つのレイヤにおけるアドレスだけでなく複数のレイヤにわたる場合も含むものとする。例えば、通信プロトコルとしてＴＣＰ／ＩＰプロトコルスイートを用いる場合には、ＩＰアドレスとポート番号の組が該当する。
【００１０】
また、本願では、このような暗号処理装置において、さらに、適用条件記憶手段に記憶されている適用情報及び合意情報記憶手段に記憶されている合意情報を所定のルールに従って順序を並べ替える管理装手段を備えたものを提案する。
【００１１】
並べ替えのルールとしては、例えば（１）キーとなる宛先アドレス及び送信元アドレスに包含されるアドレス数が少ないものほど上位となるように並べ替える方法、（２）復号化処理で用いられるものについてはキーとなる送信元アドレスに包含されるアドレス数が少ないものほど上位となり、且つ、暗号化処理で用いられるものについてはキーとなる宛先アドレスに包含されるアドレス数が少ないものほど上位となるよう並べ替える方法、（３）復号化処理で用いられるものについてはキーとなる宛先アドレスに包含されるアドレス数が少ないものほど上位となり、且つ、暗号化処理で用いられるものについてはキーとなる送信元アドレスに包含されるアドレス数が少ないものほど上位となるよう並べ替える方法などが挙げられる。
【００１２】
これらの発明によれば、適用条件記憶手段に記憶する適用条件及び合意情報記憶手段に記憶する合意情報がそれぞれ自動的に並べ替えられるので、設定や管理が容易となる。
【００１３】
また、本願では、上記暗号処理装置において、前記合意情報記憶手段と適用条件記憶手段とを宛先アドレス及び送信元アドレスをキーとして互いに関連付けておき、暗号化判定手段及び復号化判定手段は、適用条件記憶手段から適用条件を取得する際に該適用条件に関連付けられた合意情報を取得し、暗号化処理手段及び復号化処理手段は、前段の暗号化判定手段又は復号化判定手段で取得した合意情報を用いて暗号化処理又は復号化処理を行うものを提案する。
【００１４】
本発明によれば、暗号化判定手段及び復号化判定手段において適用条件だけでなく合意情報も取得できるので、後段の暗号化処理手段及び復号化処理手段では合意情報の取得処理を省略できる。これにより処理の高速化が図られる。
【発明の効果】
【００１５】
以上説明したように本発明によれば、合意情報記憶手段には、合意情報のキーとなる宛先アドレス及び送信元アドレスの双方を、単一の値のアドレスだけでなく複数のアドレスが含まれるアドレス群で指定可能となるので、設定や管理が容易となる。
【発明を実施するための最良の形態】
【００１６】
（第１の実施の形態）
本発明の第１の実施形態に係る暗号処理装置について図面を参照して説明する。図１は暗号処理装置の機能ブロック図である。なお、本実施の形態では、暗号通信のプロトコルとして前述したＩＰｓｅｃを用いるものとする。
【００１７】
この暗号処理装置１００は、図１に示すように、接続された端末装置１と相手装置２との間で送受信されるＩＰパケットを中継する。ここで、暗号処理装置１００は、端末装置１と暗号処理装置１００の間のＩＰパケットは暗号化せず、端末装置１と相手装置２との間のネットワーク３を通過するパケットは暗号化するよう動作する。すなわち、暗号処理装置１００は、暗号処理機能を有していない端末装置１に対して暗号通信サービスを提供するものである。
【００１８】
暗号処理装置１００の構成について図１を参照して説明する。暗号処理装置１００は、図１に示すように、端末装置１と接続するための端末インタフェイス１０１と、ネットワーク３と接続するための端末インタフェイス１０２とを備えている。さらに、暗号処理装置１００は、暗号処理の適用条件（セキュリティポリシー）を記憶した適用条件記憶手段１１１と、暗号処理で用いる合意情報（ＳＡ情報）を記憶した合意情報記憶手段１１２とを備えている。
【００１９】
合意情報記憶手段１１２に記憶されている合意情報の一例を図２に示す。合意情報記憶手段１１２には、パケットの方向に応じたデータベースを有しており、具体的には図２に示すように、入力データベースと出力データベースとを備えている。入力データベースには、ネットワーク３から受信するパケットに対する適用条件が記憶されており、出力データベースには、端末装置１から受信するパケットに対する適用条件が記憶されている。入力データベース及び出力データベースのフォーマットは共通である。
【００２０】
合意情報記憶手段１１２には、送信元アドレス及び宛先アドレスの組をキーとして、当該アドレスの組に合致するパケットに対する暗号処理で用いられる合意情報を記憶する。本発明の特徴的な点は、送信元アドレス及び宛先アドレスの双方がアドレス群として記憶可能となっている点が特徴である。アドレス群としては、（アドレスの範囲（上限値と下限値）、ネットワークアドレス、ワイルドカードアドレス）などが挙げられる。本実施の形態では、ネットワークアドレスを、ＩＰアドレスの末尾に当該ネットワークアドレスのプレフィクス長を「／ビット数」という形式で記憶している。また合意情報には、図２に示すように、ＳＰＩ（Security Parameter Index），ＥＳＰ（Encapsulating Security Payload）／ＡＨ（Authentication Header）の区別を示す情報、暗号処理で用いられる暗号鍵などの各種情報が用いられる。また、合意情報記憶手段１１２には、各合意情報が順序づけされて記憶されている。図２の例では、各行の上下により順序づけされていることを表しており、上の行ほど順位が上位である。
【００２１】
適用条件記憶手段１１１に記憶されている適用条件の一例を図３に示す。適用条件記憶手段１１１には、パケットの方向に応じたデータベースを有しており、具体的には図２に示すように、入力データベースと出力データベースとを備えている。入力データベースには、ネットワーク３から受信するパケットに対する合意情報が記憶されており、出力データベースには、端末装置１から受信するパケットに対する合意情報が記憶されている。入力データベース及び出力データベースのフォーマットは共通である。
【００２２】
適用条件記憶手段１１１には、合意情報記憶手段１１２と同様に、送信元アドレス及び宛先アドレスの組をキーとして、当該アドレスの組に合致するパケットに対するどのような処理を行うかを決定する情報である適用条件を記憶する。また、適用条件記憶手段１１１には、合意情報記憶手段１１２と同様に、送信元アドレス及び宛先アドレスの双方がアドレス群として記憶可能となっている。また適用条件としては、図３に示すように、該適用条件に合致したパケットに対して処理を行うＭｏｄｅやＡｃｔｉｏｎなどが挙げられる。また、適用条件記憶手段１１１には、合意情報記憶手段１１２と同様に、各適用条件が順序づけされて記憶されている。図３の例では、各行の上下により順序づけされていることを表しており、上の行ほど順位が上位である。
【００２３】
さらに暗号処理装置１００は、図１に示すように、端末装置１から受信したパケットに対して適用条件記憶手段１１１に記憶されている適用条件を参照して処理内容を判定する暗号化判定手段１２１と、暗号化判定手段１２１で暗号化を行うと判定されたパケットに対して合意情報記憶手段１１２に記憶されている合意情報を参照して暗号化処理を行う暗号化処理手段１２２と、相手装置２からネットワーク３を介して受信したパケットに対して適用条件記憶手段１１１に記憶されている適用条件を処理内容を判定する復号化判定手段１３１と、復号化判定手段１３１で復号化を行うと判定されたパケットに対して合意情報記憶手段１１２に記憶されている合意情報を参照して復号化処理を行う復号化処理手段１３２と、復号化されたパケットを判定して処理内容を決定する受信パケット判定手段１３３とを備えている。
【００２４】
暗号化判定手段１２１及び復号化判定手段１３１は、それぞれ入力されたパケットのＩＰヘッダの送信元ＩＰアドレス及び宛先ＩＰアドレスが、適用条件記憶手段１１１に記憶されている各適用条件の送信元ＩＰアドレス及び宛先ＩＰアドレスに合致又は部分一致するかを順序にしたがって判定し、最初に合致又は部分一致した適用条件を適用条件記憶手段１１１から取得し、該適用条件に含まれる処理内容にしたがって処理を決定する。例えば、処理内容が透過であれば暗号化／復号化は行わずに当該パケットをスルーさせる。また、処理内容が廃棄であれば当該パケットを廃棄する。さらに、処理内容が暗号化／復号化であれば当該パケットを後段の暗号化処理手段１２２又は復号化処理手段１３２に渡す。なお、暗号化判定手段１２１では、適用条件記憶手段１１１の出力データベースを参照し、復号化判定手段１３１では入力データベースを参照する。
【００２５】
アドレスの合致及び部分一致について図２の例を参照して説明する。例えば、図２の入力データベースの１行目の「2001:DB8:9abc:def0:1234:5678:9abc:def0/128」はプレフィクス長１２８ｂｉｔのＩＰｖ６アドレスなので同一のアドレスのみが該当する（合致）。また、同２行目の「010.056.078.090/32」はプレフィクス長３２ｂｉｔのＩＰｖ４アドレスなので同一のアドレスのみが該当する（合致）。同３行目の「2001:DB8:9abc:def0::/64」はプレフィクス長６４ｂｉｔのＩＰｖ６アドレスなので前方６４ｂｉｔが一致するアドレスが該当する（部分一致）。同４行目の「010.078.090.0/28」はプレフィクス長２８ｂｉｔのＩＰｖ４アドレスなので前方２８ｂｉｔが一致するアドレスが該当する（部分一致）。同５行目の「::/0」はＩＰｖ６の前方０ｂｉｔが一致する、すなわち全て（ワイルドカード）のＩＰｖ６アドレスが該当する（部分一致）。同６行目の「0.0.0.0/0」は、ＩＰｖ４の前方０ｂｉｔが一致する、すなわち全て（ワイルドカード）のＩＰｖ４アドレスが該当する（部分一致）。
【００２６】
暗号化処理手段１２２及び復号化処理手段１３２は、それぞれ入力されたパケットのＩＰヘッダの送信元ＩＰアドレス及び宛先ＩＰアドレスが、合意情報記憶手段１１２に記憶されている各合意情報の送信元ＩＰアドレス及び宛先ＩＰアドレスに合致又は部分一致するかを順序にしたがって判定し、最初に合致又は部分一致した合意情報を合意情報記憶手段１１２から取得し、該合意情報を用いて暗号化処理又は復号化処理を行う。なお、暗号化処理手段１２２では、合意情報記憶手段１１２の出力データベースを参照し、復号化処理手段１３２では入力データベースを参照する。
【００２７】
受信パケット判定手段１３３は、復号化処理手段１３２で復号化された受信パケットのペイロード等を参照して当該パケットの取り扱いを判定し、該判定に基づきパケットの処理を行う。この判定処理では、前記復号化判定手段１３１と同様に適用条件記憶手段１１１に記憶されている適用条件に基づき処理する。
【００２８】
次に、本実施の形態に係る暗号処理装置１００の動作について図面を参照して説明する。まず、暗号処理装置１００が受信したパケットに対する暗号化又は復号化の適用判定処理について図４のフロチャートを参照して説明する。
【００２９】
暗号処理装置１００にパケットが入力されると（ステップＳ１）、当該パケットの方向が入力（in-bound）ならば、復号化判定手段１３１が当該パケットのアドレスと適用条件記憶手段１１１に記憶されている適用条件のアドレスが一致又は部分一致するか判定し（ステップＳ２，Ｓ３）、当該パケットの方向が出力（out-bound）ならば、暗号化判定手段１２１が当該パケットのアドレスと適用条件記憶手段１１１に記憶されている適用条件のアドレスが一致又は部分一致するか判定する（ステップＳ２，Ｓ４）。そして、復号化判定手段１３１又は暗号化判定手段１２１は、適用条件記憶手段１１１から取得した処理内容に応じた処理を実行し（ステップＳ５）、後段の復号化処理手段１３２又は暗号化処理手段１２２等にパケットを出力する（ステップＳ６）。
【００３０】
次に、暗号化処理又は復号化処理の適用判定処理について図５のフローチャートを参照して説明する。まず、パケットが入力されると（ステップＳ１１）、当該パケットの方向が入力（in-bound）ならば、復号化処理手段１３２が当該パケットのアドレスと合意情報記憶手段１１２に記憶されている合意情報のアドレスが一致又は部分一致するか判定し（ステップＳ１２，Ｓ１３）、当該パケットの方向が出力（out-bound）ならば、暗号化処理手段１２２が当該パケットのアドレスと合意情報記憶手段１１２に記憶されている合意情報のアドレスが一致又は部分一致するか判定する（ステップＳ１２，Ｓ１４）。そして、復号化処理手段１３２又は暗号化処理手段１２２は、合意情報記憶手段１１２から取得した合意情報に応じた復号化処理又は暗号化処理処理を実行し（ステップＳ１５）、パケットを出力する（ステップＳ１６）。
【００３１】
以上のように本実施の形態に係る暗号処理装置１００によれば、合意情報記憶手段１１２に記憶する各合意情報のキーとして、宛先ＩＰアドレス及び送信元ＩＰアドレスの双方をアドレス群で記憶できるので、合意情報の設定及び管理が容易となる。
【００３２】
（第２の実施の形態）
次に、本発明の第２の実施の形態に係る暗号処理装置について図面を参照して説明する。図６は暗号処理装置の機能ブロック図である。本実施の形態に係る暗号処理装置が第１の実施の形態と異なる点は、図６に示すように、適用条件記憶手段１１１及び合意情報記憶手段１１２に記憶されている各データを管理するデータ管理手段１４１を備えている点にある。他の構成については第１の実施の形態と同様なので、ここでは相違点のみを説明する。
【００３３】
データ管理手段１４１は、適用条件記憶手段１１１及び合意情報記憶手段１１２に記憶されている各データの管理サービスを提供するインタフェイスであり、具体的には外部からの入力データを適用条件記憶手段１１１又は合意情報記憶手段１１２に追加したり、適用条件記憶手段１１１又は合意情報記憶手段１１２に記憶されているデータの削除等を行う。ここで入力データは、例えば端末装置１から受信するようにしても、ネットワーク３側から受信するようにしても、例えば暗号処理装置１００に携帯記憶媒体を装着して該記憶媒体から入力するようにしてもよい。
【００３４】
このデータ管理手段１４１が特徴的な点は、適用条件記憶手段１１１及び合意情報記憶手段１１２に記憶されている各データについて、その順序を自動的に管理する点にある。すなわち、前述したように各データのキーとなる宛先ＩＰアドレス及び送信元ＩＰアドレスには、単一の値のアドレスだけでなくアドレス群を指定できるが、各記憶手段１１１及び１１２の各データは、宛先ＩＰアドレスに含まれるアドレスの数と送信元ＩＰアドレスに含まれるアドレスの数の和が少ないものほど上位となるように順序管理（すなわち並べ替え処理）を行う。本実施の形態では、各アドレスをアドレスとプレフィクス長の組で表しているので、データ管理手段１４１は、各記憶手段１１１及び１１２の各データについて、宛先ＩＰアドレスのプレフィクス長と送信元ＩＰアドレスのプレフィクス長の和が大きいものほど上位となるように順序管理を行う。これにより、暗号化判定手段１２１など各手段では、入力パケットに対して一致するビット数が大きいデータが優先的に得られるので、最長一致アルゴリズム（Longest Match）にしたがったものとなる。
【００３５】
データ管理手段１４１の動作について図７のフローチャートを参照して説明する。データ管理手段１４１は、外部からデータ（情報）の入力があると（ステップＳ２１）、当該データが入力方向に係るものの場合には、宛先ＩＰアドレスのプレフィクス長と送信元ＩＰアドレスのプレフィクス長の和に基づき順位判定を行い（ステップＳ２２）、当該データを適用条件記憶手段１１１又は合意情報記憶手段１１２の入力データベースに記憶する（ステップＳ２３）。一方、当該データが出力方向に係るものの場合には、宛先ＩＰアドレスのプレフィクス長と送信元ＩＰアドレスのプレフィクス長の和に基づき順位判定を行い（ステップＳ２４）、当該データを適用条件記憶手段１１１又は合意情報記憶手段１１２の出力データベースに記憶する（ステップＳ２５）。
【００３６】
本実施の形態に係る暗号処理装置によれば、適用条件記憶手段１１１及び合意情報記憶手段１１２に記憶されている各データの順序づけが自動的に処理されるので、すなわち自動的に各データの並べ替え処理が行われるので、設定及び管理を容易に行うことができる。他の作用・効果については第１の実施の形態と同様である。
【００３７】
（第３の実施の形態）
次に、本発明の第３の実施の形態に係る暗号処理装置について図面を参照して説明する。本実施の形態に係る暗号処理装置が第２の実施の形態と異なる点は、データ管理手段１４１の動作にある。他の構成については図６を参照して説明した第２の実施の形態と同様なので、ここでは相違点のみを説明する。
【００３８】
本実施の形態に係るデータ管理手段１４１は、適用条件記憶手段１１１及び合意情報記憶手段１１２の入力データベースの各データについては、宛先ＩＰアドレスに含まれるアドレスの数が少ないものほど上位となるように順序管理（すなわち並べ替え処理）を行い、出力データベースの各データについては、送信元ＩＰアドレスに含まれるアドレスの数が少ないものほど上位となるように順序管理を行う。さらに、各記憶手段１１１及び１１２の入力データベースの各データについて、宛先ＩＰアドレスに含まれるアドレスの数が同じデータ間の順序関係については、送信元ＩＰアドレスに含まれるアドレスの数が少ないものほど上位となるように順序管理を行う。同様に、各記憶手段１１１及び１１２の出力データベースの各データについて、送信元ＩＰアドレスに含まれるアドレスの数が同じデータ間の順序関係については、宛先ＩＰアドレスに含まれるアドレスの数が少ないものほど上位となるように順序管理を行う。なお、本実施の形態では、各アドレスをアドレスとプレフィクス長の組で表しているので、データ管理手段１４１は、第２の実施の形態と同様に各データのプレフィクス長に基づき順序管理を行う。
【００３９】
データ管理手段１４１の動作について図８のフローチャートを参照して説明する。データ管理手段１４１は、外部からデータ（情報）の入力があると（ステップＳ３１）、当該データが入力方向に係るものの場合には、宛先ＩＰアドレスのプレフィクス長に基づき順位判定を行い（ステップＳ３２）、宛先ＩＰアドレスのプレフィクス長が同じデータについては更に送信元ＩＰアドレスのプレフィクス長に基づき順序判定を行い（ステップＳ３３）、当該データを適用条件記憶手段１１１又は合意情報記憶手段１１２の入力データベースに記憶する（ステップＳ３４）。一方、当該データが出力方向に係るものの場合には、送信元ＩＰアドレスのプレフィクス長に基づき順位判定を行い（ステップＳ３５）、送信元ＩＰアドレスのプレフィクス長が同じデータについては更に宛先ＩＰアドレスのプレフィクス長に基づき順序判定を行い（ステップＳ３６）、当該データを適用条件記憶手段１１１又は合意情報記憶手段１１２の出力データベースに記憶する（ステップＳ３７）。
【００４０】
本実施の形態に係る暗号処理装置によれば、適用条件記憶手段１１１及び合意情報記憶手段１１２に記憶されている各データの順序づけが自動的に処理されるので、すなわち自動的に各データの並べ替え処理が行われるので、設定及び管理を容易に行うことができる。他の作用・効果については第１の実施の形態と同様である。
【００４１】
（第４の実施の形態）
次に、本発明の第４の実施の形態に係る暗号処理装置について図面を参照して説明する。図９は暗号処理装置の機能ブロック図である。
【００４２】
本実施の形態に係る暗号処理装置が第１の実施の形態と異なる点は、図９に示すように、適用条件記憶手段１１１と合意情報記憶手段１１２とが互いにリンクしている点にある。より具体的には、適用条件記憶手段１１１に記憶されている各データと合意情報記憶手段１１２に記憶されている各データは、宛先ＩＰアドレス及び送信元ＩＰアドレスが一致するものについてリンクしている。これにより、適用条件記憶手段１１１から宛先ＩＰアドレス及び送信元ＩＰアドレスをキーとして適用条件を取得すると、当時に当該キーの合意情報を合意情報記憶手段１１２から取得可能となっている。
【００４３】
暗号化判定手段１２１及び復号化判定手段１３１は、適用条件記憶手段１１１から宛先ＩＰアドレス及び送信元ＩＰアドレスをキーとして適用条件を取得すると、該適用条件とともに同一キーの合意情報を取得する。そして、該合意情報を後段の暗号化処理手段１２２又は復号化処理手段１３２に渡す。暗号化処理手段１２２及び復号化処理手段１３２は、合意情報記憶手段１１２にアクセスすることなく前段の暗号化判定手段１２１又は復号化判定手段１３２から受け取った合意情報を用いて暗号化処理又は復号化処理を実施する。
【００４４】
本実施の形態に係る暗号処理装置によれば、適用条件及び合意条件を取得するためのステップ数が軽減するので処理の高速化を図ることができる。他の作用効果は第１の実施の形態と同様である。
【００４５】
なお、本実施の形態では第１の実施の形態の変形例として説明したが、上記第２又は第３の実施の形態についても本実施の形態と同様の変形を適用することができる。
【００４６】
以上本発明について第１〜第４の実施の形態について詳述したが本発明はこれに限定されるものではない。例えば、上記第２及び第３の実施の形態では、適用条件記憶手段１１１に記憶された適用情報及び合意情報記憶手段１１２に記憶された合意情報を、キーとなる宛先ＩＰアドレス及び送信元ＩＰアドレスのプレフィクス長に基づき所定のルールで自動的に並べ替えるようにしたが、常に当該ルールに従って並べ替えた状態する必要はない。すなわち、適用条件記憶手段１１１に記憶された適用情報及び合意情報記憶手段１１２に記憶された合意情報を任意に並べ替え可能としてもよい。これにより、柔軟なネットワーク設計や運用が可能となる。
【００４７】
また、上記第３の実施の形態では、適用条件記憶手段１１１に記憶された適用情報及び合意情報記憶手段１１２に記憶された合意情報を、入力データベースの各データについてはキーとなる宛先ＩＰアドレスに含まれるアドレス数が少ないもの（プレフィクス長が長いもの）を優先し、出力データベースの各データについてはキーとなる送信元ＩＰアドレスに含まれるアドレス数が少ないものを優先していたが、逆に、入力データベースの各データについてはキーとなる送信元ＩＰアドレスに含まれるアドレス数が少ないものを優先し、出力データベースの各データについてはキーとなる宛先ＩＰアドレスに含まれるアドレス数が少ないものを優先するようにしてもよい。
【００４８】
また、上記各実施の形態では、ＩＰパケットの宛先ＩＰアドレス及び送信元ＩＰアドレスをキーとして処理を行っていたが、宛先ＩＰアドレス及び送信元ＩＰアドレスに加えて該ＩＰパケットの上位レイヤであるＴＣＰやＵＤＰのポート番号（送信元／宛先）をキーとして用いるようにしてもよい。これにより、さらに詳細なネットワーク設計が可能となる。
【００４９】
また、上記各実施の形態では、適用条件記憶手段１１１及び合意情報記憶手段１１２は、それぞれパケットの方向に応じて入力データベース及び出力データベースを設けているが、入力データベースと出力データベースを１つのデータベースとして管理してもよい。さらに、上記各実施の形態では、適用条件と合意情報はそれぞれ別個の記憶手段に記憶していたが、共通の記憶手段で一括して管理するようにしてもよい。
【００５０】
また、上記各実施の形態では暗号処理のプロトコルとしてＩＰｓｅｃを例示したが、他のプロトコルであっても本願発明を実施することができる。
【図面の簡単な説明】
【００５１】
【図１】第１の実施の形態に係る暗号処理装置の機能ブロック図
【図２】合意情報記憶手段に記憶された合意情報の一例
【図３】適用条件記憶手段に記憶された適用条件の一例
【図４】適用判定の流れを説明するフローチャート
【図５】暗号化／復号化処理の流れを説明するフローチャート
【図６】第２の実施の形態に係る暗号処理装置の機能ブロック図
【図７】データ入力の流れを説明するフローチャート
【図８】データ入力の流れを説明するフローチャート
【図９】第４の実施の形態に係る暗号処理装置の機能ブロック図
【符号の説明】
【００５２】
１…端末装置、２…相手装置、３…ネットワーク、１００…暗号処理装置、１０１…端末インタフェイス、１０２…ネットワークインタフェイス、１１１…適用条件記憶手段、１１２…合意情報記憶手段、１２１…暗号化判定手段、１２２…暗号化処理手段、１３１…復号化判定手段、１３２…復号化処理部、１３３…受信パケット判定手段、１４１…データ管理手段
【図１】
2007006255.tif 000003
【図２】
2007006255.tif 000004
【図３】
2007006255.tif 000005
【図４】
2007006255.tif 000006
【図５】
2007006255.tif 000007
【図６】
2007006255.tif 000008
【図７】
2007006255.tif 000009
【図８】
2007006255.tif 000010
【図９】
2007006255.tif 000011