(57)【要約】【課題】入力されたパケットのヘッダ部をキャッシュメモリに登録されている変換前のパケットのヘッダ部と比較し、一致している場合には、キャッシュメモリに登録されている次回ＩＶ、暗号化中パケットヘッダ及び計算中認証データ値を利用するようにして、暗号化及び認証データ計算のための処理負担を低減して処理時間を短縮することができ、パケットの処理効率が高く、パケットの通信能力が高く、性能を向上させることができるようにする。【解決手段】暗号化器は、修正されたヘッダ部がキャッシュメモリに登録された変換前パケットヘッダ部と一致するパケットについての暗号化及び認証データ計算の一部を省略し、復号化器は、修正されたヘッダ部を復帰させるヘッダ復帰部を備える。【選択図】図１
2007274126.tif 000002
【特許請求の範囲】
【請求項１】
（ａ）入力されたパケットを暗号化する暗号化部、及び、該暗号化部によって暗号化されたパケットの認証データ値を計算してＩＰｓｅｃパケットを作成する認証データ計算部を備え、ＩＰｓｅｃパケットを出力する暗号化器と、
（ｂ）入力されたＩＰｓｅｃパケットの認証を行う認証データ確認部、及び、該認証データ確認部によって認証が行われたＩＰｓｅｃパケットを復号化してパケットを作成する復号化部を備え、パケットを出力する復号化器とを有するＩＰｓｅｃルータであって、
（ｃ）前記暗号化器は、前記認証データ計算部が作成したＩＰｓｅｃパケットから変換前パケットヘッダ部、次回ＩＶ、暗号化中パケットヘッダ部及び計算中認証データ値を作成してキャッシュメモリに登録するキャッシュ登録処理部、入力されたパケットのヘッダ部を修正するヘッダ修正部、並びに、該ヘッダ修正部によって修正されたヘッダ部が前記キャッシュメモリに登録された変換前パケットヘッダ部と一致する場合に前記入力されたパケットとともに前記キャッシュメモリに登録された次回ＩＶ、暗号化中パケットヘッダ部及び計算中認証データ値を前記暗号化部及び認証データ計算部に送るキャッシュ比較部を備え、修正されたヘッダ部が前記キャッシュメモリに登録された変換前パケットヘッダ部と一致するパケットについての暗号化及び認証データ計算の一部を省略し、
（ｄ）前記復号化器は、前記修正されたヘッダ部を復帰させるヘッダ復帰部を備えることを特徴とするＩＰｓｅｃルータ。
【請求項２】
前記キャッシュ比較部は、前記ヘッダ修正部によって修正されたヘッダ部が前記キャッシュメモリに登録された変換前パケットヘッダ部と一致しない場合には前記入力されたパケットのみを前記暗号化部及び認証データ計算部に送る請求項１に記載のＩＰｓｅｃルータ。
【請求項３】
前記キャッシュ登録処理部は、前記認証データ計算部が作成したＩＰｓｅｃパケットの最後の暗号化ブロックを次回ＩＶとし、該次回ＩＶを使用して変換前パケットヘッダ部の暗号化を行って暗号化中パケットヘッダ部とし、暗号化されたヘッダ部の認証データ値を計算して計算中認証データ値とする請求項１又は２に記載のＩＰｓｅｃルータ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰｓｅｃルータに関するものである。
【背景技術】
【０００２】
従来、企業等の組織内に配設されたコンピュータのネットワークをインターネット等の外部ネットワークに接続し、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）プロトコルスタックを使用した通信を行う場合、パケットの改竄（ざん）、なりすまし、盗聴等の危険性に対してセキュリティを確保するために、ＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）を構築する技術が利用されている（例えば、特許文献１参照。）。そして、ＶＰＮにおいては、認証及び暗号化の機能が追加されたＩＰｓｅｃ（ＩＰ  ｓｅｃｕｒｉｔｙ  ｐｒｏｔｏｃｏｌ）を使用するパケットの中継装置として、ＩＰｓｅｃルータが使用される。該ＩＰｓｅｃルータは、パケットを暗号化する暗号化器、及び、暗号化されたパケットを復号化する復号化器を備えている。
【０００３】
図２は従来のＩＰｓｅｃルータの暗号化器を示すブロック図、図３は従来のＩＰｓｅｃルータの復号化器を示すブロック図である。
【０００４】
図２において、５０は暗号化器であり、パケットを暗号化するための暗号化部５１、及び、暗号化済みパケットについて認証データを計算して認証データを付加する認証データ計算部５２を備える。この場合、前記暗号化器５０が入力としてパケットを受信すると、前記暗号化部５１は受信したパケットを暗号化する。そして、前記暗号化部５１がパケット全体について暗号化を完了させると、前記認証データ計算部５２が暗号化済みパケットについて認証データを計算する。前記認証データ計算部５２が計算した認証データを暗号化済みパケットに付加すると、該暗号化済みパケットは、ＩＰｓｅｃパケットとして出力され、送信される。
【０００５】
一方、図３において、６０は復号化器であり、ＩＰｓｅｃパケットの認証データを計算し、パケット全体について認証を行う認証データ確認部６１、及び、認証済みパケットを復号化する復号化部６２を備える。この場合、前記復号化器６０が入力としてＩＰｓｅｃパケットを受信すると、前記認証データ確認部６１は、受信したＩＰｓｅｃパケットの認証データを計算し、パケット全体について認証を行い、認証データが一致しなければパケットを破棄する。続いて、前記復号化部６２は、認証データが一致したパケット、すなわち、認証済みパケットを復号化する。そして、復号化済みパケットは、出力として送信される。
【特許文献１】特開２００２−７７２４２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、前記従来のＩＰｓｅｃルータにおいては、すべてのパケットに関し、パケット全体について暗号化して認証データを計算するようになっている。そのため、パケットの処理効率が低く、ＩＰｓｅｃを使用しないルータと比較すると、パケットの通信能力が低下してしまう。
【０００７】
本発明は、前記従来のＩＰｓｅｃルータの問題点を解決して、入力されたパケットのヘッダ部をキャッシュメモリに登録されている変換前のパケットのヘッダ部と比較し、一致している場合には、キャッシュメモリに登録されている次回ＩＶ（Ｉｎｉｔｉａｌｉｚａｔｉｏｎ  Ｖｅｃｔｏｒ）、暗号化中パケットヘッダ及び計算中認証データ値を利用するようにして、暗号化及び認証データ計算のための処理負担を低減して処理時間を短縮することができ、パケットの処理効率が高く、パケットの通信能力が高く、性能の向上したＩＰｓｅｃルータを提供することを目的とする。
【課題を解決するための手段】
【０００８】
そのために、本発明のＩＰｓｅｃルータにおいては、入力されたパケットを暗号化する暗号化部、及び、該暗号化部によって暗号化されたパケットの認証データ値を計算してＩＰｓｅｃパケットを作成する認証データ計算部を備え、ＩＰｓｅｃパケットを出力する暗号化器と、入力されたＩＰｓｅｃパケットの認証を行う認証データ確認部、及び、該認証データ確認部によって認証が行われたＩＰｓｅｃパケットを復号化してパケットを作成する復号化部を備え、パケットを出力する復号化器とを有するＩＰｓｅｃルータであって、前記暗号化器は、前記認証データ計算部が作成したＩＰｓｅｃパケットから変換前パケットヘッダ部、次回ＩＶ、暗号化中パケットヘッダ部及び計算中認証データ値を作成してキャッシュメモリに登録するキャッシュ登録処理部、入力されたパケットのヘッダ部を修正するヘッダ修正部、並びに、該ヘッダ修正部によって修正されたヘッダ部が前記キャッシュメモリに登録された変換前パケットヘッダ部と一致する場合に前記入力されたパケットとともに前記キャッシュメモリに登録された次回ＩＶ、暗号化中パケットヘッダ部及び計算中認証データ値を前記暗号化部及び認証データ計算部に送るキャッシュ比較部を備え、修正されたヘッダ部が前記キャッシュメモリに登録された変換前パケットヘッダ部と一致するパケットについての暗号化及び認証データ計算の一部を省略し、前記復号化器は、前記修正されたヘッダ部を復帰させるヘッダ復帰部を備える。
【０００９】
本発明の他のＩＰｓｅｃルータにおいては、さらに、前記キャッシュ比較部は、前記ヘッダ修正部によって修正されたヘッダ部が前記キャッシュメモリに登録された変換前パケットヘッダ部と一致しない場合には前記入力されたパケットのみを前記暗号化部及び認証データ計算部に送る。
【００１０】
本発明の更に他のＩＰｓｅｃルータにおいては、さらに、前記キャッシュ登録処理部は、前記認証データ計算部が作成したＩＰｓｅｃパケットの最後の暗号化ブロックを次回ＩＶとし、該次回ＩＶを使用して変換前パケットヘッダ部の暗号化を行って暗号化中パケットヘッダ部とし、暗号化されたヘッダ部の認証データ値を計算して計算中認証データ値とする。
【発明の効果】
【００１１】
本発明によれば、ＩＰｓｅｃルータは、入力されたパケットのヘッダ部をキャッシュメモリに登録されている変換前のパケットのヘッダ部と比較し、一致している場合には、キャッシュメモリに登録されている次回ＩＶ、暗号化中パケットヘッダ及び計算中認証データ値を利用するようになっている。そのため、暗号化及び認証データ計算のための処理負担を低減して処理時間を短縮することができ、パケットの処理効率が高く、パケットの通信能力が高く、性能を向上させることができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施の形態について図面を参照しながら詳細に説明する。
【００１３】
図１は本発明の実施の形態におけるＩＰｓｅｃルータの暗号化器の構成を示すブロック図、図４は本発明の実施の形態におけるＩＰｓｅｃルータの復号化器の構成を示すブロック図である。
【００１４】
本実施の形態におけるＩＰｓｅｃルータは、図１及び４に示されるような暗号化器１０及び復号化器２０を有する中継装置であり、ＴＣＰ／ＩＰプロトコルスタックを使用した通信を行うネットワークにおいてパケットの中継を行う。ここで、前記ネットワークは、例えば、インターネット、イントラネット、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）等であるが、ＴＣＰ／ＩＰプロトコルスタックを使用した通信を行ういわゆるＩＰネットワークであれば、いかなる種類のネットワークであってもよい。
【００１５】
そして、前記ＩＰｓｅｃルータの相手側、すなわち、暗号化器１０における出力側及び復号化器２０における入力側には、ネットワークを介して、ＩＰｓｅｃを使用する手段を備えた相手先端末が接続されているものとする。また、前記ＩＰｓｅｃルータの手前側、すなわち、暗号化器１０における入力側及び復号化器２０における出力側には、ネットワークを介して、又は、直接に、ＩＰｓｅｃを使用する手段を備えていない、又は、備えていてもＩＰｓｅｃの機能を停止させている手前側端末が接続されているものとする。
【００１６】
本実施の形態においては、相手先端末からみると、手前側端末がＩＰｓｅｃを使用する手段を備え、手前側端末との間のパケット通信においてＩＰｓｅｃを使用したセキュアな通信を行っているのと等価となるように、前記ＩＰｓｅｃルータが手前側端末の代理でセキュア機能の処理を行うようになっている。なお、前記手前側端末は、例えば、パーソナルコンピュータ等のコンピュータ、インターネットに接続可能なテレビ等の家庭電化製品等であるが、パケット通信の機能を備える装置であれば、いかなる種類のものであってもよい。また、前記相手先端末は、ＩＰｓｅｃを使用する手段を備えたパーソナルコンピュータ等のコンピュータや家庭電化製品であってもよいし、前記ＩＰｓｅｃルータと同様のルータであってもよい。ここでは、前記相手先端末も同様のＩＰｓｅｃルータであるものとして説明する。
【００１７】
図１に示されるように、暗号化器１０は、ヘッダ修正部１１、キャッシュ比較部１２、キャッシュメモリ１３、暗号化部１４、認証データ計算部１５及びキャッシュ登録処理部１６を有する。前記暗号化器１０は、前記手前側端末から送信されたパケットが入力されると該パケットを暗号化し、ＩＰｓｅｃパケットを出力する装置である。
【００１８】
そして、前記ヘッダ修正部１１は、入力されたパケット内の一部、例えば、ヘッダ部内の一部の可変値を修正し、キャッシュ比較部１２での比較においてキャッシュメモリ１３に登録されたデータ、すなわち、キャッシュデータとの一致率を向上させる。
【００１９】
また、前記キャッシュ比較部１２は、ヘッダ修正部１１が一部を修正したパケットを受け取ると、キャッシュメモリ１３からキャッシュデータを読み出し、前記パケットとキャッシュデータとの比較を行う。そして、比較結果に基づいて、パケット又はキャッシュデータのいずれかを暗号化部１４へ送る。
【００２０】
さらに、該暗号化部１４は、キャッシュ比較部１２からパケットを受け取ると、暗号化処理を行い、前記パケットを暗号化して認証データ計算部１５に送る。また、該認証データ計算部１５は、暗号化部１４からパケットを受け取ると、該パケットの認証データ値を計算し、暗号化されたパケット、すなわち、暗号化済みパケットと併せてＩＰｓｅｃパケットを作成する。
【００２１】
そして、作成されたＩＰｓｅｃパケットはそのまま出力されると同時にキャッシュ登録処理部１６へ送られる。該キャッシュ登録処理部１６は、受け取ったＩＰｓｅｃパケットから必要な部分を取り出してキャッシュメモリ１３へ登録する。
【００２２】
また、図４に示されるように、復号化器２０は、認証データ確認部２１、復号化部２２及びヘッダ復帰部２３を有する。前記復号化器２０は、ＩＰｓｅｃパケットが入力されると、該ＩＰｓｅｃパケットの認証を行って復号化し、復号化されたパケット、すなわち、復号化済みパケットを出力する装置である。
【００２３】
そして、前記認証データ確認部２１は、入力されたＩＰｓｅｃパケットの認証データを計算し、パケット全体について認証を行い、認証データが一致したパケットを復号化部２２に送る。また、該復号化部２２は、認証データが一致したパケット、すなわち、認証済みパケットを復号化し、ヘッダ復帰部２３に送る。さらに、該ヘッダ復帰部２３は、復号化済みパケットのヘッダ内の修正された一部の可変値を再設定し、暗号化前のパケットに戻して出力する。
【００２４】
次に、前記構成のＩＰｓｅｃルータの動作について説明する。
【００２５】
図５は本発明の実施の形態におけるキャッシュデータの構成を示すブロック図、図６は本発明の実施の形態におけるＩＰｓｅｃパケットの構成を示すブロック図である。
【００２６】
まず、暗号化器１０の動作について説明する。
【００２７】
手前側端末から暗号化器１０に入力されたパケットは、ヘッダ修正部１１に送られる。すると、該ヘッダ修正部１１は、パケット内の一部の可変値を固定値に置き換える。ここで、前記可変値は、例えば，各パケットのＩＰヘッダ、ＴＣＰヘッダ、ＵＤＰヘッダ等のヘッダ部に含まれるチェックサム部である。また、前記固定値は、例えば、０固定である。これにより、キャッシュ比較部１２で行うヘッダ部の比較において、キャッシュデータと一致する確率が高くなる。
【００２８】
次に、一部が修正されたパケットは、ヘッダ修正部１１からキャッシュ比較部１２に送られる。すると、該キャッシュ比較部１２は、キャッシュメモリ１３にキャッシュデータとして以前に登録された変換前パケットヘッダ部を、現在処理中のパケットのヘッダ部と比較して、現在処理中のパケットのヘッダ部と一致する変換前パケットヘッダ部を検索する。そして、現在処理中のパケットのヘッダ部と一致する変換前パケットヘッダ部がある場合には、該変換前パケットヘッダ部に対応する次回ＩＶ、暗号化中パケットヘッダ部及び計算中認証データ値をキャッシュメモリ１３から取り出す。そして、取り出した次回ＩＶ、暗号化中パケットヘッダ部及び計算中認証データ値を、現在処理中のパケットのデータ部と併せて、暗号化部１４に送る。
【００２９】
すると、該暗号化部１４は、暗号化処理途中のヘッダ部に続けて、現在処理中のパケットのデータ部のみの暗号化を行い、これらを合わせて暗号化済みパケットとし、認証データ計算部１５へ送る。この場合、認証データ値についてもヘッダ部の計算は終わっているので、認証データ計算部１５は、データ部の認証データ値計算のみを行う。そして、これらを合わせてＩＰＳｅｃパケットとする。
【００３０】
また、現在処理中のパケットのヘッダ部と一致する変換前パケットヘッダ部がキャシュメモリ１３に登録されていない場合、前記キャッシュ比較部１２は、現在処理中のパケットをそのまま暗号化部１４に送る。すると、該暗号化部１４は、暗号化処理を行い、現在処理中のパケットのヘッダ部及びデータ部を合わせて暗号化し、暗号化済みパケットとして認証データ計算部１５へ送る。そして、該認証データ計算部１５は、ヘッダ部及びデータ部を暗号化されたパケットの認証データ値を計算し、ＩＰｓｅｃパケットを作成する。該ＩＰｓｅｃパケットは、相手先端末に向けて出録されるとともに、キャッシュ登録処理部１６へ送られる。
【００３１】
該キャッシュ登録処理部１６は、キャッシュ比較部１２でのキャッシュメモリ１３との比較が一致しなかった場合、すなわち、現在処理中のパケットのヘッダ部と一致する変換前パケットヘッダ部がキャシュメモリ１３に登録されていない場合に、次のような登録処理を行う。なお、キャッシュ比較部１２でのキャッシュメモリ１３との比較が一致しなかった場合、すなわち、現在処理中のパケットのヘッダ部と一致する変換前パケットヘッダ部がある場合には、既にキャッシュデータとして登録されているということであるため、次のような登録処理を行う必要がない。
【００３２】
該登録処理においては、まず、暗号化処理を行う前のパケットのヘッダ部を取り出し、変換前パケットヘッダ部とする。また、作成されたＩＰｓｅｃパケットの最後の暗号化ブロックを次回ＩＶとする。そして、該次回ＩＶを使用し、変換前パケットヘッダ部の暗号化を行い、暗号化中パケットヘッダ部とする。さらに、暗号化されたヘッダ部の認証データ値を計算し、計算中認証データ値とする。そして、これらの計算結果、すなわち、次回ＩＶ、暗号化中パケットヘッダ部及び計算中認証データ値を前記変換前パケットヘッダ部に対応するキャッシュデータとして、キャツシュメモリ１３に登録する。
【００３３】
これにより、該キャツシュメモリ１３には、図５に示されるように、変換前パケットヘッダ部、次回ＩＶ、暗号化中パケットヘッダ部、計算中ハッシュ値等のキャッシュデータが格納される。
【００３４】
なお、前記登録処理における暗号化及び認証データ値計算は、暗号化部１４及び認証データ計算部１５によって行われるようにしてもよい。
【００３５】
このようにして、暗号化器１０から出力されるＩＰｓｅｃパケットは、図６に示されるような構成を有する。この場合、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｔｙ  Ｐｒｏｔｏｃｏｌ）を使用するので、ＩＰｓｅｃパケットは、相手先のＩＰアドレスを示すＩＰヘッダ、ＥＳＰヘッダ、ＩＰヘッダ、ＴＣＰヘッダ、ペイロード、ＥＳＰトレーラ及びＥＳＰ認証データを有する。そして、２番目のＩＰヘッダからペイロードまでが暗号化対象パケットであり、２番目のＩＰヘッダからＥＳＰトレーラまでが暗号化の対象であって、暗号化部１４によって暗号化された暗号化範囲である。また、ＥＳＰヘッダからＥＳＰトレーラまでが認証の対象となる認証範囲である。なお、ＥＳＰ認証データは、認証データ計算部１５によって計算される。
【００３６】
次に、復号化器１０の動作について説明する。
【００３７】
相手先端末から復号化器に入力されたＩＰｓｅｃパケットは、認証データ確認部２１へ送られる。すると、該認証データ確認部２１は、前記ＩＰｓｅｃパケットのデータ部の認証データ値を計算し、前記ＩＰｓｅｃパケットに記録された認証データ値との比較を行う。そして、計算された認証データ値と記録された認証データ値とが一致していない場合、認証データ確認部２１は、前記ＩＰｓｅｃパケットを破棄する。また、計算された認証データ値と記録された認証データ値とが一致していない場合、認証データ確認部２１は、前記ＩＰｓｅｃパケットを復号化部２２ヘ送る。
【００３８】
すると、該復号化部２２は、前記ＩＰｓｅｃパケットを復号化し、復号化済みパケットをヘッダ復帰部２３ヘ送る。すると、該ヘッダ復帰部２３は、ヘッダ復帰処理を行い、相手先端末の暗号化器１０のヘッダ修正部１１によって消去されたヘッダ部チェックサム値を再計算し、再設定を行う。これにより、暗号化前のパケットと同一のパケットに戻すことができる。そして、ヘッダ復帰部２３がヘッダ復帰処理が行われたパケットを出力すると、受信処理は終了となる。
【００３９】
このように、本実施の形態おいては、ヘッダ修正部１１が入力されたパケットのヘッダ部内の一部の可変値を修正し、キャッシュメモリ１３に登録されている変換前パケットヘッダ部と一致する確率を高めるようになっている。そして、前記パケットのヘッダ部と変換前パケットヘッダ部とが一致すると、該変換前パケットヘッダ部に対応する次回ＩＶ、暗号化中パケットヘッダ部及び計算中認証データ値がキャッシュメモリ１３から取り出されて、暗号化部１４及び認証データ計算部１５に送られる。そのため、キャッシュメモリ１３に登録されている変換前パケットヘッダ部と一致するヘッダ部を備えるパケットについては、途中までの暗号化及び認証データ値計算が行われているので、計算の一部分を省略することができる。
【００４０】
これにより、暗号化及び認証データ計算のための処理負担を低減して処理時間を短縮することができ、パケットの処理効率を向上させ、ＩＰｓｅｃルータの性能を向上させることができる。
【００４１】
なお、本発明は前記実施の形態に限定されるものではなく、本発明の趣旨に基づいて種々変形させることが可能であり、それらを本発明の範囲から排除するものではない。
【図面の簡単な説明】
【００４２】
【図１】本発明の実施の形態におけるＩＰｓｅｃルータの暗号化器の構成を示すブロック図である。
【図２】従来のＩＰｓｅｃルータの暗号化器を示すブロック図である。
【図３】従来のＩＰｓｅｃルータの復号化器を示すブロック図である。
【図４】本発明の実施の形態におけるＩＰｓｅｃルータの復号化器の構成を示すブロック図である。
【図５】本発明の実施の形態におけるキャッシュデータの構成を示すブロック図である。
【図６】本発明の実施の形態におけるＩＰｓｅｃパケットの構成を示すブロック図である。
【符号の説明】
【００４３】
１０    暗号化器
１１    ヘッダ修正部
１２    キャッシュ比較部
１３    キャッシュメモリ
１４    暗号化部
１５    認証データ計算部
１６    キャッシュ登録処理部
２０    復号化器
２１    認証データ確認部
２２    復号化部
２３    ヘッダ復帰部
【図１】
2007274126.tif 000003
【図２】
2007274126.tif 000004
【図３】
2007274126.tif 000005
【図４】
2007274126.tif 000006
【図５】
2007274126.tif 000007
【図６】
2007274126.tif 000008