(57)【要約】【課題】  二重暗号がかかることを防止してネットワーク上での通信速度が遅くならないようにする。【解決手段】  送信元端末から入力されるデータが暗号化されているか否かを判定し、暗号化されている場合にはその入力データを復号化してＶＰＮルータ１０２Ａ，１０２Ｂに供給し、暗号化されていない場合にはその入力データを復号せずにＶＰＮルータ１０２Ａ，１０２Ｂに供給する復号処理部１０３ａを備え、データを送信する送信元端末でデータを暗号化しているか否かによらず、ＶＰＮルータ１０２Ａ，１０２Ｂには必ず暗号化されていない平文のデータが供給されるようにして、ＶＰＮルータ１０２Ａ，１０２Ｂによって暗号化が施されても二重暗号になることがないようにする。【選択図】        図１
2007041403.tif 000002
【特許請求の範囲】
【請求項１】
送信元端末から入力されたデータが暗号化されているか否かを判定し、暗号化されている場合には上記送信元端末から入力されたデータを復号化してＶＰＮルータに供給し、暗号化されていない場合には上記送信元端末から入力されたデータを復号化せずに上記ＶＰＮルータに供給する復号処理部と、
上記ＶＰＮルータから入力されたデータについて暗号の適否を判定し、暗号を適用すべき場合には上記ＶＰＮルータから入力されたデータを暗号化して送信先端末に供給し、暗号を適用すべきでない場合には上記ＶＰＮルータから入力されたデータを暗号化せずに上記送信先端末に供給する暗号処理部とを備えたことを特徴とする二重暗号防止装置。
【請求項２】
上記復号処理部は、上記暗号化の有無に加えて、通信回線の速度を判定し、上記暗号化がされていて、かつ、上記通信回線の速度が一定値より遅い場合に上記送信元端末から入力されたデータを復号化して上記ＶＰＮルータに供給し、それ以外の場合に上記送信元端末から入力されたデータを復号化せずに上記ＶＰＮルータに供給することを特徴とする請求項１に記載の二重暗号防止装置。
【請求項３】
上記暗号処理部は、少なくとも上記送信先端末のアドレス情報に基づいて暗号の適否を判定することを特徴とする請求項１に記載の二重暗号防止装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は二重暗号防止装置に関し、特に、端末間の通信ネットワーク上において暗号が二重にかけられることを防止する装置に用いて好適なものである。
【背景技術】
【０００２】
パーソナルコンピュータ（パソコン）をスタンドアロンで用いる場合は、パソコン内部の情報が盗み出されたり、改ざんされたり、破壊されたりする危険性は少ない。しかし、パソコンをインターネット等のネットワークに接続すると、やり取りされる情報は多くのネットワークをルーティングされていくことから、その途中において盗聴や改ざん等の行われる危険性が一気に増大する。また、外部からの不正アクセスによって盗聴や改ざん等が行われることも多くなる。
【０００３】
この問題を解決するための仕組みの１つとして、情報の暗号化やＶＰＮ（Virtual Private Network）等が存在する。このうち、暗号化を利用したシステムでは、データを送受信するパソコンに暗号ソフトをインストールし、送信側のパソコンで情報を暗号化して相手に送り、受信側のパソコンでこれを復号化して利用する。このようにすれば、ネットワークの途中で情報が盗聴されたとしても、情報が暗号化されているために、情報自体が見られる可能性が少なくなる。また、改ざんのリスクも低減される。
【０００４】
このような暗号セキュリティ機能を規定したプロトコルとして、ＩＰｓｅｃ（IP Security Protocol）やＳＳＬ（Secure Sockets Layer）がある。ＩＰｓｅｃは、ＩＰパケットをパケット単位で暗号化・認証するためのプロトコルであり、ＩＰパケットを暗号化して、丸ごと別のＩＰパケットにカプセル化するプロトコルを定める。ＳＳＬは、ＴＣＰ／ＩＰ通信のセキュリティを確保するためのプロトコルであり、ＴＣＰパケットのデータ部分の暗号化方法を定めている。
【０００５】
また、ＶＰＮを利用したシステムでは、インターネットの出入口に専用のルータやゲートウェイ装置（以下、ＶＰＮルータと言う）を設置し、ユーザ認証によってある特定のユーザだけしかアクセスできないようにしておく。さらに、送信元のパソコンから受け取った情報を送信側のＶＰＮルータで暗号化してインターネットに送出し、受信側のＶＰＮルータでこれを復号化して目的のパソコンに届ける。このようにすれば、公衆回線網を使っても、専用線接続と同じようなセキュリティを保つことができる（例えば、特許文献１参照）。
【特許文献１】特開２００５−１２４８５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、暗号ソフトがインストールされているパソコンで情報を暗号化し、この暗号化された情報をＶＰＮルータに通すと、更に暗号化が行われ、暗号が二重に施された状態となってしまう。最近の光通信やＡＤＳＬ（Asymmetric Digital Subscriber Line）などの高速ブロードバンド通信回線ならまだ良いが、低速な通信回線環境では、ＶＰＮルータに情報を通すときに二重暗号すると、通信速度が遅くなってしまうという問題があった。
【０００７】
本発明は、このような問題を解決するために成されたものであり、二重暗号を防止して通信速度が遅くならないようにすることを目的とする。
【課題を解決するための手段】
【０００８】
上記した課題を解決するために、本発明の二重暗号防止装置装置は、送信元端末から入力されたデータが暗号化されているか否かを判定し、暗号化されている場合には送信元端末から入力されたデータを復号化してＶＰＮルータに供給し、暗号化されていない場合には送信元端末から入力されたデータを復号化せずにＶＰＮルータに供給する復号処理部と、ＶＰＮルータから入力されたデータについて暗号の適否を判定し、暗号を適用すべき場合にはＶＰＮルータから入力されたデータを暗号化して送信先端末に供給し、暗号を適用すべきでない場合にはＶＰＮルータから入力されたデータを暗号化せずに送信先端末に供給する暗号処理部とを備えている。
【０００９】
本発明の他の態様では、復号処理部は、暗号化の有無に加えて、通信回線の速度を判定し、暗号化されていて、かつ、通信回線の速度が一定値より遅い場合に入力データを復号化してＶＰＮルータに供給し、それ以外の場合に入力データを復号化せずにＶＰＮルータに供給するようにしている。
【発明の効果】
【００１０】
上記のように構成した本発明によれば、データを送信する送信元端末でデータを暗号化しているか否かによらず、ＶＰＮルータには必ず暗号化されていない平文のデータが供給されることとなる。これにより、ＶＰＮルータによって暗号化が施されても二重暗号になることはなく、通信速度が遅くならないようにすることができる。
【００１１】
本発明の他の特徴によれば、データを送受信する端末でデータが暗号化されていても、通信回線の速度が一定値より大きいときには、その暗号化されたデータがそのままＶＰＮルータに供給されるので、ＶＰＮルータを通ることによって二重暗号が施される。通信回線の速度が速いので、二重暗号となってもあまり問題は生じない。むしろ、セキュリティのレベルが上がって好ましい。一方、通信回線の速度が一定値より小さいときには、ＶＰＮルータには必ず暗号化されていない平文のデータが供給されることとなるので、ＶＰＮルータによって暗号化が施されても二重暗号になることはなく、通信速度が遅くならないようにすることができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の一実施形態を図面に基づいて説明する。図１は、本発明の二重暗号防止装置を実施したＶＰＮネットワークシステムの構成例を示すブロック図である。図１に示すＶＰＮネットワークシステムにおいては、複数のパソコン１０１Ａ-1〜１０１Ａ-mがＬＡＮ（Local Area Network）等により接続された拠点Ａネットワーク１００Ａと、複数のパソコン１０１Ｂ-1〜１０１Ａ-nがＬＡＮ等により接続された拠点Ｂネットワーク１００Ｂとが、インターネット２００の仮想専用線（ＶＰＮトンネル）２００ａを介して接続されている。
【００１３】
拠点Ａネットワーク１００Ａ内にある複数のパソコン１０１Ａ-1〜１０１Ａ-mのうち、例えばパソコン１０１Ａ-1，１０１Ａ-2は暗号エージェントソフトが導入され、パソコン１０１Ａ-mは暗号エージェントソフトが導入されていないものとする。暗号エージェントソフトが導入されているパソコン１０１Ａ-1，１０１Ａ-2は、自機器内のデータを暗号化してインターネット２００上に送信することが可能である。また、インターネット２００を介して送られてきた暗号化済みのデータを復号化して自機器内で利用することが可能である。ここでは、例えばＩＰｓｅｃのプロトコルに従ってデータの暗号化／復号化を行う。
【００１４】
また、拠点Ｂネットワーク１００Ｂ内にある複数のパソコン１０１Ｂ-1〜１０１Ｂ-nのうち、例えばパソコン１０１Ｂ-1，１０１Ｂ-2は暗号エージェントソフトが導入され、パソコン１０１Ｂ-nは暗号エージェントソフトが導入されていないものとする。暗号エージェントソフトが導入されているパソコン１０１Ｂ-1，１０１Ｂ-2は、自機器内のデータを暗号化してインターネット２００上に送信することが可能である。また、インターネット２００を介して送られてきた暗号化済みのデータを復号化して自機器内で利用することが可能である。ここでは、例えばＩＰｓｅｃのプロトコルに従ってデータの暗号化／復号化を行う。
【００１５】
なお、これらの暗号エージェントソフトが導入されているパソコン１０１Ａ-1，１０１Ａ-2，１０１Ｂ-1，１０１Ｂ-2は、暗号エージェントソフトが導入されているもの同士でしか通信ができないという訳ではない。通信相手ごとに、暗号通信をするか否かの設定をすることが可能である。例えば、暗号エージェントソフトが導入されているパソコン１０１Ａ-1に関して、暗号エージェントソフトが導入されていないパソコン１０１Ｂ-nとの間では暗号化を行わないといった設定をすると、パソコン１０１Ａ-1とパソコン１０１Ｂ-nとの間では平文で（ただし、ＶＰＮトンネル２００ａの中では暗号化されている）通信を行うことが可能である。
【００１６】
拠点Ａネットワーク１００Ａの出入口付近にはＶＰＮルータ１０２Ａが設けられ、拠点Ｂネットワーク１００Ｂの出入口付近にはＶＰＮルータ１０２Ｂが設けられている。これらのＶＰＮルータ１０２Ａ，１０２Ｂにてデータの暗号化／復号化処理を行うことにより、拠点Ａ，Ｂ間のＶＰＮトンネル２００ａにおいてデータを暗号通信する。
【００１７】
すなわち、拠点Ａネットワーク１００ＡのＶＰＮルータ１０２Ａは、拠点Ａネットワーク１００Ａのパソコン１０１Ａ-1〜１０１Ａ-mから本実施形態の二重暗号防止装置１０３Ａを介して送られてきたデータを暗号化してＶＰＮトンネル２００ａに送信するとともに、ＶＰＮトンネル２００ａを介して送られてきた暗号化済みのデータを復号化して二重暗号防止装置１０３Ａに転送する。
【００１８】
また、拠点Ｂネットワーク１００ＢのＶＰＮルータ１０２Ｂは、拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1〜１０１Ｂ-nから本実施形態の二重暗号防止装置１０３Ｂを介して送られてきたデータを暗号化してＶＰＮトンネル２００ａに送信するとともに、ＶＰＮトンネル２００ａを介して送られてきた暗号化済みのデータを復号化して二重暗号防止装置１０３Ｂに転送する。
【００１９】
拠点Ａネットワーク１００Ａのパソコン１０１Ａ-1〜１０１Ａ-mとＶＰＮルータ１０２Ａとの間には本実施形態の二重暗号防止装置１０３Ａが設けられ、拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1〜１０１Ｂ-nとＶＰＮルータ１０３Ｂとの間には本実施形態の二重暗号防止装置１０３Ｂが設けられている。二重暗号防止装置１０３Ａ，１０３Ｂはそれぞれ、その機能構成として、復号処理部１０３ａと暗号処理部１０３ｂとを備えている。
【００２０】
復号処理部１０３ａは、パソコン１０１Ａ-1〜１０１Ａ-m，１０１Ｂ-1〜１０１Ｂ-nより入力されたデータが暗号化されているか否かを判定し、暗号化されている場合にはその入力データを復号化してＶＰＮルータ１０２Ａ，１０２Ｂに供給し、暗号化されていない場合にはその入力データを復号化せずにＶＰＮルータ１０２Ａ，１０２Ｂに供給する。暗号化されているか否かは、入力されるデータのパケットヘッダに暗号化の有無を示す情報が含まれているので、これを参照することによって判断する。
【００２１】
例えば、拠点Ａネットワーク１００Ａにおけるパソコン１０１Ａ-1〜１０１Ａ-mの何れかから二重暗号防止装置１０３Ａにデータが送られてきた場合、復号処理部１０３ａは、入力されたデータが暗号化されているか否かを判定し、暗号化されている場合には、その入力データを復号化してＶＰＮルータ１０２Ａに供給する。一方、入力されたデータが暗号化されていない場合には、その入力データを復号化せずにそのままＶＰＮルータ１０２Ａに供給する。
【００２２】
拠点Ｂネットワーク１００Ｂの二重暗号防止装置１０３Ｂにおける復号処理部１０３ａも、これと同様に動作する。すなわち、パソコン１０１Ｂ-1〜１０１Ｂ-nの何れかから二重暗号防止装置１０３Ｂにデータが送られてきた場合、復号処理部１０３ａは、入力されたデータが暗号化されているか否かを判定し、暗号化されている場合には、その入力データを復号化してＶＰＮルータ１０２Ｂに供給する。一方、入力されたデータが暗号化されていない場合には、その入力データを復号化せずにそのままＶＰＮルータ１０２Ｂに供給する。
【００２３】
暗号処理部１０３ｂは、ＶＰＮルータ１０２Ａ，１０２Ｂより入力されたデータに関して暗号の適否を判定し、暗号を適用すべき場合にはその入力データを暗号化して送信先端末（パソコン１０１Ａ-1〜１０１Ａ-m，１０１Ｂ-1〜１０１Ｂ-nの何れか）に転送し、暗号を適用すべきでない場合にはその入力データを暗号化せずに送信先端末に転送する。この暗号処理部１０３ｂが行う暗号化の方式も、パソコン内の暗号エージェントソフトと同じＩＰｓｅｃである。
【００２４】
例えば、拠点Ａネットワーク１００ＡにおけるＶＰＮルータ１０２Ａから二重暗号防止装置１０３Ａにデータが送られてきた場合、暗号処理部１０３ｂは、その入力データに対する暗号の適否を判定する。そして、暗号を適用すべき場合には、ＶＰＮルータ１０２Ａより入力されたデータを暗号化して送信先端末（パソコン１０１Ａ-1〜１０１Ａ-mの何れか）に転送し、暗号を適用すべきでない場合には、ＶＰＮルータ１０２Ａより入力されたデータを暗号化せずにそのまま送信先端末に転送する。
【００２５】
拠点Ｂネットワーク１００Ｂの二重暗号防止装置１０３Ｂにおける暗号処理部１０３ｂも、これと同様に動作する。すなわち、拠点Ｂネットワーク１００ＢにおけるＶＰＮルータ１０２Ｂから二重暗号防止装置１０３Ｂにデータが送られてきた場合、暗号処理部１０３ｂは、その入力データに対する暗号の適否を判定する。そして、暗号を適用すべき場合には、ＶＰＮルータ１０２Ｂより入力されたデータを暗号化して送信先端末（パソコン１０１Ｂ-1〜１０１Ｂ-nの何れか）に転送し、暗号を適用すべきでない場合には、ＶＰＮルータ１０２Ｂより入力されたデータを暗号化せずにそのまま送信先端末に転送する。
【００２６】
暗号の適否は、例えば、送信元端末および送信先端末のアドレス情報、すなわち、パケットヘッダのＩＰアドレスによって示される送信元／送信先の組み合わせによって判定する。送信元／送信先の組み合わせによる暗号の適否については、暗号処理部１０３ｂにあらかじめ情報として設定しておいても良いし、通信を行う都度、暗号処理部１０３ｂが送信元／送信先のパソコンに問い合わせを行うようにしても良い。具体的には、送信元のパソコンと送信先のパソコンに暗号エージェントソフトが導入されているか否か、送信元／送信先の関係で暗号通信を行うか否かなどの条件に応じて、暗号の適否情報を設定することが可能である。
【００２７】
なお、二重暗号防止装置１０３Ａ，１０３Ｂが持つ復号処理部１０３ａおよび暗号処理部１０３ｂの機能は、ハードウェア構成、ＤＳＰ、ソフトウェアの何れによっても実現することが可能である。例えばソフトウェアによって実現する場合、本実施形態の二重暗号防止装置１０３Ａ，１０３Ｂは、実際にはＣＰＵあるいはＭＰＵ、ＲＡＭ、ＲＯＭなどを備えて構成され、ＲＡＭやＲＯＭに記憶されたプログラムが動作することによって実現できる。
【００２８】
インターネット２００には、暗号化／復号化に関する種々の情報設定を行うためのマネージャ端末１１０が接続されている。このマネージャ端末１１０は、拠点Ａネットワーク１００Ａの各パソコン１０１Ａ-1，１０１Ａ-2，・・・および拠点Ｂネットワーク１００Ｂの各パソコン１０１Ｂ-1，１０１Ｂ-2，・・・が備える暗号エージェントソフトに対して、暗号通信に関する種々の情報（例えば、暗号／復号処理の有無、ある端末とある端末との間ではパケットを破棄するなどといった通信の可否、暗号化のレベル、暗号化を行う時間帯、暗号ポリシー、暗号鍵などの情報）をダウンロードして設定する。
【００２９】
また、マネージャ端末１１０は、拠点Ａネットワーク１００Ａおよび拠点Ｂネットワーク１００Ｂの二重暗号防止装置１０３Ａ，１０３Ｂに対して暗号通信に関する種々の情報をダウンロードして設定する処理も行う。二重暗号防止装置１０３Ａ，１０３Ｂでは、あるパソコンに向けて送られたデータの暗号化をその途中で一旦解除してしまう仕組みなので、そのことを許す暗号ポリシーや暗号鍵などを情報として設定しておく必要がある。また、送信元／送信先の組み合わせによる暗号の適否を暗号処理部１０３ｂにあらかじめ設定しておく場合には、その処理もこのマネージャ端末１１０が行う。
【００３０】
次に、上記のように構成したＶＰＮネットワークシステムにおけるデータ通信の動作について説明する。第１の動作例として、拠点Ａネットワーク１００Ａのパソコン１０１Ａ-1から拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1に対して、データを暗号化して送信する場合について考える。
【００３１】
この場合、まず、パソコン１０１Ａ-1の暗号エージェントソフトによって送信対象のデータが暗号化され、二重暗号防止装置１０３Ａに送られる。二重暗号防止装置１０３Ａでは、復号処理部１０３ａによって暗号化の有無が判定される。いまの例では、二重暗号防止装置１０３Ａに入力されたデータは暗号化されているので、これが復号処理部１０３ａによって復号化されてＶＰＮルータ１０２Ａに供給される。
【００３２】
そして、ＶＰＮルータ１０２Ａによって暗号化が施され、暗号化されたデータがＶＰＮトンネル２００ａを介してＶＰＮルータ１０２Ｂに送信される。ＶＰＮルータ１０２Ｂでは、ＶＰＮルータ１０２Ａによって施されたＶＰＮの暗号が復号化され、当該復号化済みのデータが二重暗号防止装置１０３Ｂに転送される。
【００３３】
二重暗号防止装置１０３Ｂでは、暗号処理部１０３ｂによって暗号の適否が判定される。いまの例では、送信元端末であるパソコン１０１Ａ-1と送信先端末であるパソコン１０１Ｂ-1には暗号エージェントソフトが導入され、これらの端末間で暗号通信を行うことが設定されているので、ＶＰＮルータ１０２Ｂより入力されたデータが暗号化され、暗号化されたデータがパソコン１０１Ｂ-1に転送される。
【００３４】
次に、第２の動作例を説明する。第２の動作例では、拠点Ａネットワーク１００Ａのパソコン１０１Ａ-1から拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-nに対してデータを送信する場合について考える。この場合は、パソコン１０１Ｂ-nに暗号エージェントソフトが導入されていないので、Ｅｎｄ−ｔｏ−Ｅｎｄの暗号通信は行うことができない。よって、パソコン１０１Ａ-1からは平文で
データが送出される。
【００３５】
パソコン１０１Ａ-1から送出された平文のデータは、二重暗号防止装置１０３Ａに送られる。二重暗号防止装置１０３Ａでは、復号処理部１０３ａによって暗号化の有無が判定される。いまの例では、二重暗号防止装置１０３Ａに入力されたデータは暗号化されていないので、これが復号化されずにそのままＶＰＮルータ１０２Ａに供給される。
【００３６】
そして、ＶＰＮルータ１０２Ａによって暗号化が施され、暗号化されたデータがＶＰＮトンネル２００ａを介してＶＰＮルータ１０２Ｂに送信される。ＶＰＮルータ１０２Ｂでは、ＶＰＮルータ１０２Ａによって施されたＶＰＮの暗号が復号化され、当該復号化済みのデータが二重暗号防止装置１０３Ｂに転送される。
【００３７】
二重暗号防止装置１０３Ｂでは、暗号処理部１０３ｂによって暗号の適否が判定される。いまの例では、送信先端末であるパソコン１０１Ｂ-1には暗号エージェントソフトが導入されておらず、パソコン１０１Ａ-1との間で暗号通信を行わないことが設定されているので、ＶＰＮルータ１０２Ｂより入力されたデータは暗号化されることなく、そのままパソコン１０１Ｂ-1に転送される。
【００３８】
以上詳しく説明したように、本実施形態によれば、拠点Ａネットワーク１００Ａ内のパソコン１０１Ａ-1〜１０１Ａ-mの何れかから拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1〜１０１Ｂ-nの何れかに対してデータを送信する際に、パソコン１０１Ａ-1〜１０１Ａ-mでデータを暗号化しているか否かによらず、ＶＰＮルータ１０２Ａには必ず暗号化されていない平文のデータが供給されることとなる。これにより、ＶＰＮルータ１０２Ａによって暗号化が施されても二重暗号になることはなく、インターネット２００上での通信速度が遅くならないようにすることができる。
【００３９】
同様に、拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1〜１０１Ｂ-nの何れかから拠点Ａネットワーク１００Ａ内のパソコン１０１Ａ-1〜１０１Ａ-mの何れかに対してデータを送信する際に、パソコン１０１Ｂ-1〜１０１Ｂ-nでデータを暗号化しているか否かによらず、ＶＰＮルータ１０２Ｂには必ず暗号化されていない平文のデータが供給されることとなる。これにより、ＶＰＮルータ１０２Ｂによって暗号化が施されても二重暗号になることはなく、インターネット２００上での通信速度が遅くならないようにすることができる。
【００４０】
なお、上記実施形態では、ＶＰＮルータ１０２Ａの別体として二重暗号防止装置１０３Ａを設け、ＶＰＮルータ１０２Ｂの別体として二重暗号防止装置１０３Ｂを設ける例について説明したが、本発明はこれに限定されない。例えば、ＶＰＮルータ１０２Ａ，１０２Ｂの別体として二重暗号防止装置１０３Ａ，１０３Ｂを設けるのではなく、二重暗号防止装置１０３Ａ，１０３Ｂが有している復号処理部１０３ａおよび暗号処理部１０３ｂの機能をＶＰＮルータ１０２Ａ，１０２Ｂが持つようにしても良い。
【００４１】
また、上記実施形態では、例えば、暗号処理部１０３ｂに設定されている送信元端末および送信先端末のアドレス情報の組み合わせに基づいて暗号の適否を判定する例について説明したが、本発明はこれに限定されない。例えば、暗号処理部１０３ｂは、送信先端末のアドレス情報のみに基づいて暗号の適否を判定するようにしても良い。
【００４２】
また、二重暗号防止装置１０３Ａ，１０３Ｂの復号処理部１０３ａにおいてデータを復号化したかどうかを表すフラグ情報を送信データに付加するようにし、このフラグ情報に基づいて暗号の適否を判定するようにしても良い。具体的には、暗号処理部１０３ｂは、復号処理部１０３ａによってデータが復号化されたか否かを、フラグ情報を参照することによって判定し、復号化されていることが示されている場合に、ＶＰＮルータ１０２Ａ，１０２Ｂより入力されたデータを暗号化して送信先端末に転送する。
【００４３】
例えば、拠点Ａネットワーク１００Ａのパソコン１０１Ａ-1から拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ-1にデータを送信する場合、パソコン１０１Ａ-1から暗号化済みのデータがＶＰＮルータ１０２Ａに送られ、ここでそのデータが復号化された場合には、二重暗号防止装置１０３Ａは、復号化されたことを表すフラグ情報を付加してＶＰＮルータ１０２Ａにデータを供給する。このようなデータをインターネット２００およびＶＰＮルータ１０２Ｂを介して受け取った拠点Ｂネットワーク１００Ｂ内における二重暗号防止装置１０３Ｂの暗号処理部１０３ｂは、フラグ情報に基づいてデータが復号化されていることを確認し、データを暗号化してパソコン１０１Ｂ-1に転送する。
【００４４】
また、上記実施形態では、復号処理部１０３ａは、入力データが暗号化されているか否かを判定して復号化の適否を決定しているが、暗号化の有無に加えて、インターネット２００上での通信回線の速度を判定し、その判定結果に応じて復号化するかどうかを決定するようにしても良い。具体的には、入力データが暗号化されていて、かつ、通信回線の速度が一定値より遅い場合には入力データを復号化してＶＰＮルータ１０２Ａ，１０２Ｂに供給し、それ以外の場合には入力データを復号化せずにＶＰＮルータ１０２Ａ，１０２Ｂに供給する。
【００４５】
例えば、光通信やＡＤＳＬなどの高速ブロードバンド通信回線の場合は、通信回線の速度が一定値より大きくなるが、Narrow ＩＳＤＮ（Integrated Services Digital Network）やダイヤルアップ回線などの低速ナローバンド通信回線の場合は、通信回線の速度が一定値（例えば、６４Ｋｂｉｔ／ｓ）より小さくなる。復号処理部１０３ａは、例えば、パソコン１０１Ａ-1〜１０１Ａ-m，１０１Ｂ-1〜１０１Ｂ-nに対して高速ブロードバンド通信回線または低速ナローバンド通信回線の何れのアダプタが接続されているかをパソコン１０１Ａ-1〜１０１Ａ-m，１０１Ｂ-1〜１０１Ｂ-nに対する問い合わせによって検出し、その検出結果に応じて復号化の適否を決定することが可能である。なお、パソコン１０１Ａ-1〜１０１Ａ-m，１０１Ｂ-1〜１０１Ｂ-nに対してその都度問い合わせを行うことを不要とするために、どのようなタイプのアダプタが接続されているかを表した情報を復号処理部１０３ａにあらかじめ設定しておくようにしても良い。
【００４６】
通信回線の速度も加味して復号化の適否を判定するようにした場合は、高速ブロードバンド通信回線が利用されているときには、暗号化済みのデータがＶＰＮルータ１０２Ａ，１０２Ｂで更に暗号化されて二重暗号が施される。これによって多少通信速度は落ちるものの、元々の通信回線の速度が速いので、二重暗号となってもあまり問題は生じない。むしろ、セキュリティのレベルが上がって好ましい。一方、低速ナローバンド通信回線が利用されているときには、ＶＰＮルータ１０２Ａ，１０２Ｂによって暗号化が施されても二重暗号になることはなく、通信速度が遅くならないようにすることができる。
【００４７】
また、上記実施形態では、拠点ネットワーク１００Ａ，１００Ｂの内部に存在する端末１０１Ａ-1〜１０１Ａ-m，１０１Ｂ-1〜１０１Ａ-nが全てパソコンである例について説明したが、これらの端末は必ずしもパソコンである必要はない。
【００４８】
その他、上記実施形態は、何れも本発明を実施するにあたっての具体化の一例を示したものに過ぎず、これによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその精神、またはその主要な特徴から逸脱することなく、様々な形で実施することができる。
【産業上の利用可能性】
【００４９】
本発明は、端末間の通信ネットワーク上において暗号が二重にかけられることを防止する装置に有用である。
【図面の簡単な説明】
【００５０】
【図１】本発明の二重暗号防止装置を実施したＶＰＮネットワークシステムの構成例を示すブロック図である。
【符号の説明】
【００５１】
１０３Ａ，１０３Ｂ  二重暗号防止装置
１０３ａ  復号処理部
１０３ｂ  暗号処理部
【図１】
2007041403.tif 000003