(57)【要約】【課題】  セキュリティポリシーの単一性を容易に実現してセキュリティ効果を高められるようにする。【解決手段】  入力されるデータが暗号化されているか否かを判定し、入力データが暗号化されていない場合にはその入力データを暗号化して無線ＬＡＮのアクセスポイント１０２に供給し、入力データが暗号化されている場合にはその入力データを暗号化せずにアクセスポイント１０２に供給する暗号制御装置１０３を設けることにより、アクセスポイント１０２と無線ＬＡＮ端末との間では、１つの暗号方式に従って常に暗号化された状態でデータが送受信されるようにして、無線ＬＡＮ端末を含めた複数の端末間で行う暗号通信のセキュリティポリシーの単一性を実現する。【選択図】        図１
2007043566.tif 000002
【特許請求の範囲】
【請求項１】
入力されたデータが暗号化されているか否かを判定し、入力データが暗号化されていない場合には上記入力データを暗号化して無線ＬＡＮのアクセスポイントに供給し、上記入力データが暗号化されている場合には上記入力データを暗号化せずに上記アクセスポイントに供給する暗号処理部と、
無線ＬＡＮ端末から上記アクセスポイントを介して入力された暗号化済みのデータについて暗号の適否を判定し、暗号を適用すべき場合には上記暗号化済みのデータを復号化せずに送信先端末に向けて送信し、暗号を適用すべきでない場合には上記暗号化済みのデータを復号化して上記送信先端末に向けて送信する復号処理部とを備えたことを特徴とする無線ＬＡＮの暗号制御装置。
【請求項２】
上記暗号処理部は、少なくとも上記送信先端末のアドレス情報に基づいて上記暗号の適否を判定することを特徴とする請求項１に記載の無線ＬＡＮの暗号制御装置。
【請求項３】
請求項１に記載された無線ＬＡＮの暗号制御装置と、
上記暗号制御装置に対する暗号通信に関する種々の情報を、通信ネットワークを介して遠隔から設定するマネージャ端末とを備え、
上記無線ＬＡＮの暗号制御装置および上記マネージャ端末を上記通信ネットワークにより接続して構成したことを特徴とする暗号化システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は無線ＬＡＮの暗号制御装置および暗号化システムに関し、特に、無線ＬＡＮ（Local Area Network）のセキュリティ対策として用いられるデータの暗号化を制御するための装置に用いて好適なものである。
【背景技術】
【０００２】
パーソナルコンピュータ（パソコン）をスタンドアロンで用いる場合は、パソコン内部の情報が盗み出されたり、改ざんされたり、破壊されたりする危険性は少ない。しかし、パソコンをインターネット等のネットワークに接続すると、やり取りされる情報は多くのネットワークをルーティングされていくことから、その途中において盗聴や改ざん等の行われる危険性が一気に増大する。また、外部からの不正アクセスによって盗聴や改ざん等が行われることも多くなる。
【０００３】
この問題を解決するための仕組みの１つとして、情報の暗号化が存在する。暗号化を利用したシステムでは、データを送受信するパソコンに暗号ソフトをインストールし、送信側のパソコンで情報を暗号化して相手に送り、受信側のパソコンでこれを復号化して利用する。このようにすれば、ネットワークの途中で情報が盗聴されたとしても、情報が暗号化されているために、情報自体が見られる可能性が少なくなる。また、改ざんのリスクも低減される。
【０００４】
このような暗号セキュリティ機能を規定したプロトコルとして、ＩＰｓｅｃ（IP Security Protocol）やＳＳＬ（Secure Sockets Layer）がある。ＩＰｓｅｃは、ＩＰパケットをパケット単位で暗号化・認証するためのプロトコルであり、ＩＰパケットを暗号化して、丸ごと別のＩＰパケットにカプセル化するプロトコルを定める。ＳＳＬは、ＴＣＰ／ＩＰ通信のセキュリティを確保するためのプロトコルであり、ＴＣＰパケットのデータ部分の暗号化方法を定めている。
【０００５】
ところで、近年、無線ＬＡＮなどのアクセスポイントを設置し、無線でのインターネット接続サービスを不特定多数の利用者に提供する空間が増えている。無線アクセスポイントは、ＩＳＰ（Internet Services Provider）が商用サービスとして提供する場合から、飲食店やホテル、公共施設などが利用客に対して無料サービスとして提供する場合まで、その提供形態は多種多様である。無線ＬＡＮは、ブロードバンド・アクセスの手段として大きく期待され、その利便性から急速に普及している。この無線ＬＡＮの普及と歩調を合わせる形で、無線アクセスポイントも大都市圏を中心に急増する傾向にある。
【０００６】
無線ＬＡＮは無線を利用することから、無線に対応した適切なセキュリティ設定を行わないままで使用すると、盗聴、情報の改ざん、漏洩および破壊などの重大な被害を受けかねない。そのために従来、無線ＬＡＮのセキュリティ技術が種々提案されている。
【０００７】
例えば、無線ＬＡＮ接続関連のセキュリティ技術として、ＳＳＩＤ（Service Set ID）、ＭＡＣアドレスフィルタリングがある。ＳＳＩＤは、接続先の無線アクセスポイントを指定するＩＤで、同じＳＳＩＤを設定した無線ＬＡＮ端末だけを接続可能にする。ＭＡＣアドレスフィルタリングは、個々の無線ＬＡＮ端末が持つ機器固有番号（ＭＡＣアドレス）を無線アクセスポイントにあらかじめ登録することで、登録されている無線ＬＡＮ端末だけを接続可能にする（例えば、特許文献１参照）。
【特許文献１】特開２００１−３２０３７３号公報
【０００８】
また、無線ＬＡＮ暗号化関連のセキュリティ技術として、ＷＥＰ（Wired Equivalent Privacy）、ＷＰＡ（Wi-Fi Protected Access）、IEEE802.11i（無線ＬＡＮセキュリティの強化規格）などがある。ＷＥＰは、共通の暗号化キー（ＷＥＰキー）で無線アクセスポイントと無線ＬＡＮ端末間のデータを暗号化するものである（例えば、特許文献２参照）。ＷＰＡは、無線アクセスポイントがPre-Shared Key（事前共有キー）を用いてユーザ認証を行うものであり、ＷＥＰより強力なＴＫＩＰ（Temporal Key Integrity Protocol）と言う暗号化機能が採用されている。IEEE802.11iは、無線アクセスポイントがPre-Shared Keyを用いてユーザ認証を行うものであり、暗号化機能としてＴＫＩＰ以外にも、ＡＥＳ（Advanced Encryption Standard）が採用される。
【特許文献２】特開２００１−３４５８１９公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
しかしながら、上記のような無線ＬＡＮの暗号化技術が種々存在するものの、この暗号化技術を無線ＬＡＮ端末に適用して構築した殆どの暗号システムには、セキュリティポリシーの単一性がないという問題があった。
【００１０】
例えば、無線ＬＡＮ端末ごとにＷＥＰ、ＷＰＡ、IEEE802.11iなどの暗号化方式が異なっていることがある。また、無線ＬＡＮ端末自体にＩＰｓｅｃやＳＳＬなどの暗号機能も備えられている場合において、そのような無線ＬＡＮ端末が無線アクセスポイントを介して他の端末と通信を行おうとするときに、ＩＰｓｅｃやＳＳＬ、ＷＥＰやＷＰＡ、IEEE802.11iなど暗号化をどのように適用するかが問題となることもある。セキュリティ効果を高めるためには、複数の無線ＬＡＮ端末に関するセキュリティポリシーの単一化を図ることが望まれる。
【００１１】
本発明は、このような問題を解決するために成されたものであり、セキュリティポリシーの単一性を容易に実現してセキュリティ効果を高められるようにすることを目的とする。
【課題を解決するための手段】
【００１２】
上記した課題を解決するために、本発明による無線ＬＡＮの暗号制御装置は、入力されたデータが暗号化されているか否かを判定し、入力データが暗号化されていない場合にはその入力データを暗号化して無線ＬＡＮのアクセスポイントに供給し、入力データが暗号化されている場合にはその入力データを暗号化せずにアクセスポイントに供給する暗号処理部と、無線ＬＡＮ端末からアクセスポイントを介して入力された暗号化済みのデータについて暗号の適否を判定し、暗号を適用すべき場合にはその暗号化済みのデータを復号化せずに送信先端末に向けて送信し、暗号を適用すべきでない場合にはその暗号化済みのデータを復号化して送信先端末に向けて送信する復号処理部とを備えている。
【００１３】
また、本発明の暗号化システムは、上記のように構成された無線ＬＡＮの暗号制御装置と、暗号制御装置に対する暗号通信に関する種々の情報を、通信ネットワークを介して遠隔から設定するマネージャ端末とを備え、無線ＬＡＮの暗号制御装置およびマネージャ端末を通信ネットワークにより接続して構成している。
【発明の効果】
【００１４】
上記のように構成した本発明によれば、ある送信元端末から通信ネットワークを介して暗号制御装置に入力されたデータが既に暗号化済み（送信元端末内において暗号化済み）の場合は、そのままアクセスポイントを介して無線ＬＡＮ端末に送信される。一方、送信元端末から通信ネットワークを介して暗号制御装置に入力されたデータが平文の（暗号化されていない）場合には、暗号制御装置によって上記送信元端末と同じ暗号方式でデータが暗号化された上で、アクセスポイントを介して無線ＬＡＮ端末に送信される。これにより、アクセスポイントと無線ＬＡＮ端末との間では、１つの暗号方式に従って常に暗号化された状態でデータが送受信される。したがって、無線ＬＡＮ端末を含めた複数の端末間で行う暗号通信のセキュリティポリシーの単一性を実現することができる。また、暗号制御装置に対する暗号通信に関する種々の情報を遠隔のマネージャ端末から行うことにより、セキュリティポリシーの単一性を容易に実現することができる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の一実施形態を図面に基づいて説明する。図１は、本発明による無線ＬＡＮの暗号制御装置を実施した暗号化システムの構成例を示すブロック図である。図１に示す暗号化システムでは、拠点Ａネットワーク１００Ａと拠点Ｂネットワーク１００Ｂとがインターネット２００を介して接続されている。
【００１６】
拠点Ａネットワーク１００Ａは、ＬＡＮ（Local Area Network）等により接続された複数のパソコン１０１Ａ-1〜１０１Ａ-mを備えて構成されている。拠点Ｂネットワーク１００Ｂは、複数のパソコン１０１Ｂ-1〜１０１Ｂ-n（本発明の無線ＬＡＮ端末に相当）と、無線ＬＡＮ用のアクセスポイント１０２と、暗号制御装置１０３とを備えて構成されている。
【００１７】
拠点Ｂネットワーク１００Ｂにおいて、複数のパソコン１０１Ｂ-1〜１０１Ｂ-nは、アクセスポイント１０２に無線ＬＡＮにて接続されている。さらにアクセスポイント１０２は、暗号制御装置１０３を介してインターネット２００に接続されている。すなわち、暗号制御装置１０３は、インターネット２００とアクセスポイント１０２との間に接続されている。
【００１８】
拠点Ａネットワーク１００Ａ内にある複数のパソコン１０１Ａ-1〜１０１Ａ-mのうち、例えばパソコン１０１Ａ-1，１０１Ａ-2は暗号エージェントソフトが導入され、パソコン１０１Ａ-mは暗号エージェントソフトが導入されていないものとする。暗号エージェントソフトが導入されているパソコン１０１Ａ-1，１０１Ａ-2は、自機器内のデータを暗号化してインターネット２００上に送信することが可能である。また、インターネット２００を介して送られてきた暗号化済みのデータを復号化して自機器内で利用することが可能である。
【００１９】
また、拠点Ｂネットワーク１００Ｂ内にある複数のパソコン１０１Ｂ-1〜１０１Ｂ-nは全て暗号エージェントソフトが導入されているものとする。暗号エージェントソフトが導入されているパソコン１０１Ｂ-1〜１０１Ｂ-nは、自機器内のデータを暗号化してアクセスポイント１０２に送信することが可能である。また、アクセスポイント１０２を介して送られてきた暗号化済みのデータを復号化して自機器内で利用することが可能である。
【００２０】
これらの暗号エージェントソフトが導入されているパソコン１０１Ａ-1，１０１Ａ-2，１０１Ｂ-1〜１０１Ｂ-nは、暗号エージェントソフトが導入されているもの同士でしか通信ができないという訳ではない。通信相手ごとに、暗号通信をするか否かの設定をすることが可能である。例えば、暗号エージェントソフトが導入されているパソコン１０１Ｂ-1に関して、暗号エージェントソフトが導入されていないパソコン１０１Ａ-mとの間では暗号化を行わないといった設定をすると、パソコン１０１Ａ-mとパソコン１０１Ｂ-1との間でもデータの通信を行うことが可能である。
【００２１】
なお、パソコン１０１Ａ-1，１０１Ａ-2，１０１Ｂ-1〜１０１Ｂ-nが備えている暗号エージェントソフトは、例えばＩＰｓｅｃのプロトコルに従ってデータの暗号化／復号化を行う。
【００２２】
暗号制御装置１０３は、その機能構成として、暗号処理部１０３ａと復号処理部１０３ｂとを備えている。暗号処理部１０３ａは、インターネット２００より入力されるデータが暗号化されているか否かを判定し、入力データが暗号化されていない場合にはその入力データを暗号化してアクセスポイント１０２に供給し、暗号化されている場合にはその入力データを暗号化せずにアクセスポイント１０２に供給する。暗号化されているか否かは、入力されるデータのパケットヘッダに暗号化の有無を示す情報が含まれているので、これを参照することによって判断する。
【００２３】
復号処理部１０３ｂは、パソコン１０１Ｂ-1〜１０１Ｂ-nからアクセスポイント１０２を介して入力される暗号化済みのデータについて暗号の適否を判定し、暗号を適用すべきである場合にはアクセスポイント１０２より入力された暗号化済みのデータを復号化せずにそのまま送信先端末（パソコン１０１Ａ-1〜１０１Ａ-mの何れか）に向けてインターネット２００上に送信し、暗号を適用すべきでない場合にはアクセスポイント１０２より入力された暗号化済みのデータを復号化して送信先端末に向けてインターネット２００上に送信する。
【００２４】
暗号の適否は、例えば、送信先端末のアドレス情報、すなわち、パケットヘッダのＩＰアドレスによって示される送信先によって判定する。送信先による暗号の適否については、復号処理部１０３ｂにあらかじめ情報として設定しておいても良いし、通信を行う都度、復号処理部１０３ｂが送信先のパソコンに問い合わせを行うようにしても良い。具体的には、送信先のパソコンに暗号エージェントソフトが導入されているか否か、送信先の関係で暗号通信を行うか否かなどの条件に応じて、暗号の適否情報を設定することが可能である。
【００２５】
なお、この暗号処理部１０３ａおよび復号処理部１０３ｂも、パソコン内の暗号エージェントソフトと同様に、ＩＰｓｅｃのプロトコルに従って暗号化／復号化を行う。暗号処理部１０３ａおよび復号処理部１０３ｂの機能は、ハードウェア構成、ＤＳＰ、ソフトウェアの何れによっても実現することが可能である。例えばソフトウェアによって実現する場合、本実施形態の暗号制御装置１０３は、実際にはＣＰＵあるいはＭＰＵ、ＲＡＭ、ＲＯＭなどを備えて構成され、ＲＡＭやＲＯＭに記憶されたプログラムが動作することによって実現できる。
【００２６】
インターネット２００には、暗号化／復号化に関する種々の情報設定を行うためのマネージャ端末１１０が接続されている。このマネージャ端末１１０は、拠点Ａネットワーク１００Ａの各パソコン１０１Ａ-1，１０１Ａ-2，・・・および拠点Ｂネットワーク１００Ｂの各パソコン１０１Ｂ-1〜１０１Ｂ-nが備える暗号エージェントソフトに対して、暗号通信に関する種々の情報（例えば、暗号／復号処理の有無、ある端末とある端末との間ではパケットを破棄するなどといった通信の可否、暗号化のレベル、暗号化を行う時間帯、暗号ポリシー、暗号鍵などの情報）をダウンロードして設定する。
【００２７】
また、マネージャ端末１１０は、拠点Ｂネットワーク１００Ｂの暗号制御装置１０３に対して暗号通信に関する種々の情報をダウンロードして設定する処理も行う。暗号制御装置１０３では、あるパソコンに向けて送られたデータの暗号化をその途中で一旦解除してしまう仕組みなので、そのことを許す暗号ポリシーや暗号鍵などを情報として設定しておく必要がある。また、送信元／送信先の組み合わせによる暗号の適否を復号処理部１０３ｂにあらかじめ設定しておく場合には、その処理もこのマネージャ端末１１０が行う。
【００２８】
次に、上記のように構成した暗号化システムにおけるデータ通信の動作について説明する。第１の動作例として、拠点Ａネットワーク１００Ａのパソコン１０１Ａ-1と拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1との間でデータの通信を行う場合について考える。
【００２９】
例えば、拠点Ａネットワーク１００Ａのパソコン１０１Ａ-1から拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1にデータを送信する場合、まず、パソコン１０１Ａ-1の暗号エージェントソフトによって送信対象のデータが暗号化され、暗号化されたデータがインターネット２００を介して拠点Ｂネットワーク１００Ｂに送られる。
【００３０】
拠点Ｂネットワーク１００Ｂの暗号制御装置１０３では、暗号処理部１０３ａによって入力データの暗号化の有無が判定される。いまの例では、暗号制御装置１０３に入力されたデータは暗号化されているので、これがそのままアクセスポイント１０２に供給される。そして、その暗号化されたデータがアクセスポイント１０２からパソコン１０１Ｂ-1に送信される。
【００３１】
逆に、拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1から拠点Ａネットワーク１００Ａのパソコン１０１Ａ-1にデータを送信する場合、まず、パソコン１０１Ｂ-1の暗号エージェントソフトによって送信対象のデータが暗号化され、暗号化されたデータがアクセスポイント１０２を介して暗号制御装置１０３に送られる。
【００３２】
暗号制御装置１０３では、復号処理部１０３ｂによって暗号の適否が判定される。ここでは、送信先端末であるパソコン１０１Ａ-1に暗号エージェントソフトが導入されているから暗号を適用可能であること（すなわち、送信先端末が暗号エージェントソフトの導入されているパソコン１０１Ａ-1であること）を、復号処理部１０３ｂにあらかじめ設定されている情報に基づいて確認する。
【００３３】
復号処理部１０３ｂは、暗号を適用すべきことを確認すると、アクセスポイント１０２より入力された暗号化済みのデータを復号化することなくそのままインターネット２００に送信する。これにより、暗号化済みのデータが拠点Ａネットワーク１００Ａのパソコン１０１Ａ-1に送られる。
【００３４】
次に、第２の動作例を説明する。第２の動作例では、拠点Ａネットワーク１００Ａのパソコン１０１Ａ-mと拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1との間でデータの通信を行う場合について考える。例えば、拠点Ａネットワーク１００Ａのパソコン１０１Ａ-mから拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1にデータを送信する場合、まず、パソコン１０１Ａ-mから平文のデータがインターネット２００を介して拠点Ｂネットワーク１００Ｂに送られる。
【００３５】
拠点Ｂネットワーク１００Ｂの暗号制御装置１０３では、暗号処理部１０３ａによって入力データの暗号化の有無が判定される。いまの例では、暗号制御装置１０３に入力されたデータは暗号化されていないので、それが暗号化された上でアクセスポイント１０２に供給される。そして、その暗号化されたデータがアクセスポイント１０２からパソコン１０１Ｂ-1に送信される。
【００３６】
逆に、拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1から拠点Ａネットワーク１００Ａのパソコン１０１Ａ-mにデータを送信する場合、まず、パソコン１０１Ｂ-1の暗号エージェントソフトによって送信対象のデータが暗号化され、暗号化されたデータがアクセスポイント１０２を介して暗号制御装置１０３に送られる。
【００３７】
暗号制御装置１０３では、復号処理部１０３ｂによって暗号の適否が判定される。ここでは、送信先端末であるパソコン１０１Ａ-mに暗号エージェントソフトが導入されていないから暗号を適用すべきでないこと（すなわち、送信先端末が暗号エージェントソフトの導入されていないパソコン１０１Ａ-mであること）を、復号処理部１０３ｂにあらかじめ設定されている情報に基づいて確認する。
【００３８】
復号処理部１０３ｂは、暗号を適用すべきでないことを確認すると、アクセスポイント１０２より入力された暗号化済みのデータを復号化してインターネット２００に送信する。これにより、平文とされたデータが拠点Ａネットワーク１００Ａのパソコン１０１Ａ-mに送られる。
【００３９】
以上詳しく説明したように、本実施形態によれば、無線ＬＡＮによる通信を行う拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1〜１０１Ｂ-nを含めて、拠点Ａネットワーク１００Ａと拠点Ｂネットワーク１００Ｂとの間の暗号通信が、暗号制御装置１０３を介してＩＰｓｅｃという１つの暗号方式に従って統一的に行われることとなる。
【００４０】
これにより、アクセスポイント１０２とパソコン１０１Ｂ-1〜１０１Ｂ-nとの間では、ＷＥＰとかＷＡＰとかではなく、ＩＰｓｅｃという１つの暗号方式に従って常に暗号化された状態でデータを送受信することができる。したがって、無線ＬＡＮ端末を含めた複数の端末間で行う暗号通信のセキュリティポリシーの単一性を実現することができる。また、暗号制御装置１０３に対する暗号通信に関する種々の情報を遠隔のマネージャ端末１１０から行うことにより、セキュリティポリシーの単一性を容易に実現することができる。
【００４１】
なお、上記実施形態では、拠点Ａネットワーク１００Ａの中は有線のＬＡＮによって複数のパソコン１０１Ａ-1〜１０１Ａ-mを接続し、拠点Ｂネットワーク１００Ｂの中は無線ＬＡＮによって複数のパソコン１０１Ｂ-1〜１０１Ｂ-nをアクセスポイント１０２に接続する例について説明したが、本発明はこれに限定されない。例えば、拠点Ａネットワーク１００Ａの中も無線ＬＡＮによって複数のパソコン１０１Ａ-1〜１０１Ａ-mをアクセスポイントに接続し、拠点Ａネットワーク１００Ａの中にも暗号制御装置１０３を設けるようにしても良い。
【００４２】
また、上記実施形態では、復号処理部１０３ｂは、送信先端末のみに基づいて暗号の適否を判定しているが、本発明はこれに限定されない。例えば、送信元端末と送信先端末との組み合わせに基づいて暗号の適否を判定するようにしても良い。具体的には、送信元端末および送信先端末のアドレス情報、すなわち、パケットヘッダのＩＰアドレスによって示される送信元／送信先の組み合わせによって判定する。
【００４３】
また、上記実施形態では、拠点ネットワーク１００Ａ，１００Ｂの内部に存在する端末１０１Ａ-1〜１０１Ａ-m，１０１Ｂ-1〜１０１Ａ-nが全てパソコンである例について説明したが、これらの端末は必ずしもパソコンである必要はない。
【００４４】
その他、上記実施形態は、何れも本発明を実施するにあたっての具体化の一例を示したものに過ぎず、これによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその精神、またはその主要な特徴から逸脱することなく、様々な形で実施することができる。
【産業上の利用可能性】
【００４５】
本発明は、無線ＬＡＮのセキュリティ対策として用いられるデータの暗号化を制御するための装置に有用である。
【図面の簡単な説明】
【００４６】
【図１】本発明による無線ＬＡＮの暗号制御装置を実施した暗号化システムの構成例を示すブロック図である。
【符号の説明】
【００４７】
１０３  暗号制御装置
１０３ａ  暗号処理部
１０３ｂ  復号処理部
【図１】
2007043566.tif 000003