(57)【要約】【課題】ＶＬＡＮタグやラベルパスを用いた仮想ネットワークは、広く普及しているが、仮想ネットワークのセキュリティに関しては、隣接ノード間で、リンクバイリンクで暗号化を実施している。その結果、エンド−エンドでセキュリティを確保するには、全ての中継ノードがその機能を有する必要がある。【解決手段】  ラベルパスあるいはＶＬＡＮの端点ノードでのみ、中継に必要なヘッダ部分を除き、ラベルに対応付けられた暗号鍵で暗号化処理を行なう。【選択図】    図２
2007192844.tif 000002
【特許請求の範囲】
【請求項１】
ラベルによりパスあるいは仮想ネットワークが指定されるネットワークにおいて、ラベルで特定されるパスあるいは仮想グループに属する送受信端は、ラベル値と暗号化のための符号列との対応表を有すると共に、ラベルに対応づけられた前記の符号列を共有し、送信端にあっては、前記のラベルを除く信号の全てあるいは一部に対し、前記符号列を用い暗号化し、受信端にあっては、前記符号列あるいはそれと対をなす符号列を用いて前記の暗号化された信号を復号することを特徴とする暗号化ラベルネットワーク。
【請求項２】
前記の符号列を暗号鍵とすることを特徴とする請求項１記載の暗号化ラベルネットワーク。
【請求項３】
暗号化方式として、初期ベクトル値も用いるベクトル型暗号化方式を採用し、前記の符号列として初期ベクトル値を用いることを特徴とする請求項１記載の暗号化ラベルネットワーク。
【請求項４】
ラベルを付与するノードにおいて暗号化を行うことを特徴とする請求項１から請求項３までに記載の暗号化ラベルネットワーク。
【請求項５】
ラベルを除去するノードにおいて復号化を行なうことを特徴とする請求項１から請求項４までに記載の暗号化ラベルネットワーク。
【請求項６】
前記の暗号化するノードにおいて認証情報を付与し、前記の暗号を復号するノードにおいて認証情報をチェックし、非認証の信号に対しては廃棄することを特徴とする請求項１から請求項５までに記載の暗号化ラベルネットワーク。
【請求項７】
前記の暗号化鍵とラベルとの対応を管理し、前記の暗号鍵をノードに対し配信するサーバを具備することを特徴とする請求項１から請求項６記載までに記載の暗号化ラベルネットワーク。
【請求項８】
前記サーバは、各ノードの公開鍵を用いて、ラベルに対応付けられた前記の暗号化鍵を暗号化し配信することを特徴とする請求項７記載の暗号化ラベルネットワーク。
【請求項７】
前記のラベル対応に暗号化する方式として、ベクトル型暗号方式を用いることを特徴とする請求項１から６記載の暗号化ラベルネットワーク。
【請求項８】
ラベル値を入力し符号列に変換し出力するテーブルと、前記テーブルの出力を暗号鍵として入力しストリーム鍵を出力する擬似乱数発生器と、前記のストリーム鍵を一方の入力とする排他論理和器とから構成され暗号器を有し、暗号化に際しては、前記排他論理和回路はもう一方の入力として送信すべき平文を入力し暗号文を出力し、復号化に際しては、前記排他論理和回路はもう一方の入力として受信された暗号文を入力し平文を復元することを特徴とする請求項２記載の暗号化ラベルネットワーク。
【請求項９】
ラベル値を入力し符号列に変換し出力するテーブルと、暗号鍵と初期ベクトル値とを入力とし前記テーブルの出力を初期ベクトル値として入力する擬似乱数発生器と、前期擬似乱数発生器より出力されるストリーム鍵を一方の入力とする排他論理和器とから構成され暗号器を有し、暗号化に際しては、前記排他論理和回路はもう一方の入力として送信すべき平文を入力し暗号文を出力し、復号化に際しては、前記排他論理和回路はもう一方の入力として受信された暗号文を入力し平文に復元することを特徴とする請求項３記載の暗号化ラベルネットワーク。
【発明の詳細な説明】
【発明の詳細な説明】
【技術分野】
【０００１】ＶＬＡＮタグネットワークあるいはラベルパスネットワークにおける暗号化システムに関する。
【背景技術】
【０００２】ＶＬＡＮタグやラベルパスを用いた仮想ネットワークは、広く普及しているが、仮想ネットワークのセキュリティに関しては、隣接ノード間、即ち、図１の点線で示すリンク１０１、１０２、１０３をＩＰｓｅｃやＭＡＣ暗号化技術によりリンクバイリンク形式で実現しているものがある。
【発明が解決しようとする課題】
【０００３】しかしながら、エンド−エンドでセキュリティを確保するには、全ての中継ノードがその機能を有する必要がある。
【０００４】また、新たに暗号化システムを導入しようとする場合、中継系を含む全てのノードを取り替えねばならないという課題がある。
【０００５】本発明は、中継系のノードに依存しないで、エンド−エンドでセキュアなパスを提供することを目的とする。
【課題を解決するための手段】
【０００６】本発明による暗号化ラベルネットワークは、ラベルによりパスあるいは仮想ネットワークが指定されるネットワークにおいて、ラベルで特定されるパスあるいは仮想グループに属する送受信端は、ラベル値と暗号化鍵との対応表を有すると共に、ラベルに対応づけられた暗号鍵を共有し、送信端にあっては、前記のラベルが付与された信号のラベルを除く全てあるいは一部に対し、前記暗号鍵を用い暗号化し、受信端にあっては、前記暗号化鍵あるいはそれと対をなす暗号化鍵を用いて前記の暗号化された信号を復号する。
【０００７】また、本発明によることを特徴とする暗号化ラベルネットワークは、ラベルによりパスあるいは仮想ネットワークが指定されるネットワークにおいて、ラベルで特定されるパスあるいは仮想グループに属する送受信端は、ラベル値と初期ベクトル値との対応表を有すると共に、ラベルに対応づけられた初期ベクトル値を共有し、送信端にあっては、前記のラベルを除く信号の全てあるいは一部に対し、前記の初期ベクトル値を用い暗号化し、受信端にあっては、前記の初期ベクトル値を用いて前記の暗号化された信号を復号する。
【０００８】さらに、本発明による暗号化ラベルネットワークは、ラベルを付与するノードにおいて暗号化を行い、ラベルを除去するノードにおいて復号化を行なう
【０００９】本発明による暗号化ラベルネットワークは、前記の暗号化するノードにおいて認証情報を付与し、前記の暗号を復号するノードにおいて認証情報をチェックし、非認証の信号に対しては廃棄する
【００１０】本発明による暗号化ラベルネットワークは、前記の暗号化鍵とラベルとの対応を管理し、前記の暗号鍵をノードに対し配信するサーバを具備し、前記サーバは、各ノードの公開鍵を用いて、ラベルに対応付けられた前記の暗号化鍵を暗号化し配信する。
【００１１】本発明による暗号化ラベルネットワークは、ラベル値を入力し符号列に変換し出力するテーブルと、前記テーブルの出力を暗号鍵として入力しストリーム鍵を出力する擬似乱数発生器と、前記のストリーム鍵を一方の入力とする排他論理和器とから構成され暗号器を有し、暗号化に際しては、前記排他論理和回路はもう一方の入力として送信すべき平文を入力し暗号文を出力し、復号化に際しては、前記排他論理和回路はもう一方の入力として受信された暗号文を入力し平文を復元する
【００１２】本発明による暗号化ラベルネットワークは、ラベル値を入力し符号列に変換し出力するテーブルと、暗号鍵と初期ベクトル値とを入力とし前記テーブルの出力を初期ベクトル値として入力する擬似乱数発生器と、前期擬似乱数発生器より出力されるストリーム鍵を一方の入力とする排他論理和器とから構成され暗号器を有し、暗号化に際しては、前記排他論理和回路はもう一方の入力として送信すべき平文を入力し暗号文を出力し、復号化に際しては、前記排他論理和回路はもう一方の入力として受信された暗号文を入力し平文に復元する。
【本発明の実施の形態】
【００１３】図１、図２及び図３を参照しながら、本発明の第１の実施例を説明する。図１（ａ）は、エッジノードであるノード１１、１２、１３、１４、１５、１６、中継ノードであるノード１７、１８、１９、２１より成るネットワーク２５とサーバ２０とから構成されている。
【００１４】各エッジノード、例えば、ノード１２は、ユーザ２２、２３、２４を収容している。例えば、ノード１２とノード１５の間のパスにおいて従来技術では、図１（ｂ）の点線で示す暗号化リンク１０１、１０２、１０３毎と、リンクバイリンクで暗号化処理が実施されているのに対し、本実施例では、暗号化区間が、リンクではなく、実線で示すように暗号化パス１００により実現される。即ち、暗号化処理は、エッジノードであるノード１２と１５で実施され、ノード１９と１７では暗号化処理は行なわない。
【００１５】図２は、暗号化処理を行なうノードの構成を示す。ノードは、制御部１、スイッチ部２及びラインインタフェース回路４、５、６、７とから構成され、ユーザ側のラインインタフェース回路４、５は、暗号化処理を行なう。
【００１６】ラインインタフェース回路５は、入力回線側に設けられた暗号回路８、出力回線側に設けられた復号回路９、ラベル読み出し回路１０及び制御テーブル３を有する。なお、ラベルの着脱を行なう部分に関しては、説明を簡単にするために図面からは削除する。
【００１７】制御テーブル３は、信号フレーム上のラベル値とそれに対応する暗号鍵との対応を示すテービルである。
【００１８】信号フレームとして、図３に示すイーサネットフレームを用いる場合について説明する。ＶＬＡＮタグフィールド内のＶＬＡＮ−ＩＤにラベル値が記録されている。
【００１９】ラインインタフェース回路５に入力された信号は、ＶＬＡＮタグが付加され、図３（ａ）に示す構成の信号フレームが、暗号回路８に供給される。
【００２０】ラベル読み出し回路１０、ＶＬＡＮ−ＩＤを読み出し、制御テーブル３を参照し、対応する暗号鍵を得る。例えば、ＶＬＡＮ−ＩＤすなわちラベル値が  ＡＢＣならばＫＥＹ１を、ＯＰＱならばＫＥＹ２を得る。得られた暗号鍵により、図３（ｂ）に示すようにペイロード部を暗号化する。暗号化されるのはペイロード部のみなので、スイッチ部２は暗号化された信号フレームを意識してスイッチングする必要は無い。
【００２１】スイッチ部２からインタフェース回路５に供給される信号に対する復号処理について説明する。
ラベル読み出し回路１０においてラベル値が読み出され、制御テーブル３を参照する。その結果、対応する暗号鍵が読み出され、復号回路９に供給され、復号処理が実施される。
【００２２】図３（ｂ）に示すように、得られた鍵でペイロード部を暗号化し、更に、認証用の情報として例えば、ラベル値を暗号化し、暗号化認証情報として付加する。
【００２３】この信号フレームは、ＭＡＣアドレス情報は及びＶＬＡＮタグは、平文として付加されているので、他のパケットと同様に中継ノードにおいてスイッチングされる。
【００２４】次に、認証制御について説明する。暗号回路１０は、仮想ネットワークあるいはパス固有の値を認証コードとして暗号化し、暗号化認証情報として信号フレームに付加する。認証コードの処理に関しては、図示していないが、制御テーブル３を、暗号鍵に加え認証コードも含むように機能拡張することにより実現できる。
【００２５】復号回路９では、暗号化認証情報を復号後、得られた認証コードが、制御テーブル３内のラベル値に対応する認証コードと比較し、一致していなければ廃棄する。  受信された信号フレームは、ＶＬＡＮタグが除去され、ラインインタフェース回路５よりユーザに供給される。
【００２６】制御テーブル３は、サーバ２０からの通知にもとづき構成されるが、サーバ２０から各ノードへのラベル対応付けられた暗号鍵の配信は、公開鍵方式を用いて行なう。サーバ２０は、各ノードの公開鍵で暗号化し各ノードに送信し、各ノードは制御部１において、それぞれの秘密鍵で復号し、制御テーブル３を構成する。
【００２７】暗号化認証情報として、ペイロードのハッシュ値（平文）を付加しても良い。この場合、受信側では、復号化されたペイロード部のハッシュ値を計算し、それと付加された平文のハッシュ値とを比較し、一致すれば正しい発信元からの信号フレームと認証する。
【００２８】なお、本発明は、暗号化ノードをＶＬＡＮタグの着脱ノードに限定するものではなく、暗号化ノードは、システム設計に従って割り当てても良い。その場合も、暗号鍵の割り当てはサーバ２０が特定されたノードに対し行なう。
【００２９】ラベルネットワークとしては、ＶＬＡＮネットワーク以外に、図４に示すように、ＭＰＬＳのシムヘッダ内のラベル情報など、エッジノード間でのパスあるいは仮想ネットワークを示すラベルを用いた全てに本発明は適用される。また、ラベルが示す対象は、パケット信号だけでなく時分割多重ベースのパスでも良い。
【００３０】ＭＰＬＳのラベルの場合、そのラベル値はノード毎に付け替えられ、その値は変化するが、暗号側のエッジノードにおけるラベル値と、復号側のエッジノードにおけるラベル値とが値は異なっても、対応していればよく、本発明を適用することができる。
【００３１】なお、信号フレームに対する暗号方式は、共通鍵暗号方式でも、グループ内で公開鍵と秘密鍵を共有する構成での公開鍵暗号方式でも良い。
【００３２】図５を参照しながら、ベクトルストリーム型暗号技術を用いた場合のシステムを示す。送信側３０において、制御テーブル３３に接続された暗号回路８は、擬似乱数発生器３１と排他論理和回路３２とから構成され、擬似乱数発生器３１は、ラベル値に対する暗号鍵と初期化ベクトル値とを入力し、ストリーム鍵を出力し、排他論理和器３２は送信すべき平文とストリーム鍵とを入力し、送信すべき暗号文を出力する。
【００３３】受信側４０においては、制御テーブル４３に接続された復号回路９は、擬似乱数発生器４１と排他論理和回路４２とから構成され、擬似乱数発生器４１は、ラベル値に対する暗号鍵と初期化ベクトル値とを入力し、ストリーム鍵を出力し、排他論理和器４２は受信された暗号文とストリーム鍵とを入力し、平文を復元する。
【００３４】次に、本発明の第２の実施例の説明を行なう。暗号技術としては、ベクトルストリーミング型暗号技術を用い、ラベル値対応に、暗号鍵ではなく初期化ベクトル値を与えるものである。このときの、送信側３０及び受信側４０の構成を図６に示す。
【００３５】制御テーブル３４、４４は、暗号鍵に代えて、初期ベクトル値をラベル値に対応付けて記録している。ラベル値を参照して得られた初期ベクトル値は、擬似乱数発生器３１、４１に供給される。これ以降の処理は、図５の構成と同じである。
【００３６】以上のように、初期ベクトル値をラベルの対応付けても、暗号鍵をラベルに対応付ける場合と同様の効果を得ることができる。
【００３７】本発明は、ＶＬＡＮネットワーク、ＭＰＬＳネットワークだけでなく、Ｅｔｈｅｒｎｅｔ  Ｏｖｅｒ  ＭＰＬＳ  や  Ｅｔｈｅｒｎｅｔ  Ｏｖｅｒ  ＩＰなどネットワークでのラベルあるいはタグベースの暗号化にも適用可能である。
【発明の効果】
【００３８】本発明によれば、中継ノードに暗号化機能を搭載させる必要な無いので、低価格の暗号化ネットワークを実現することができる。
【００３９】また、本発明によれば、中継ノードとエッジノードとが別の管理者であった場合、中継ノードの管理者のポリシーに依存しないで、エッジノードの管理者のポリシーのみでセキュアなパスネットワークを実現することができる。
【００４０】多数の端末が共有するラベルパスに対し、一つの共通鍵あるいは一対の公開鍵・秘密鍵で暗号化が実現されるので、運用管理がシンプルになる。
【００４１】ラベルと鍵の対応を集中制御型のサーバで管理するので、安定した運用が得られる。
【００４２】高速性を特徴とするベクトルストリーミング型暗号技術を用いることにより、高速暗号化ネットワークを実現することができる。
【００４３】暗号鍵以外に、初期ベクトル値を用いて仮想ネットワーク対応の暗号ネットワークを提供することができるので、所要鍵数を抑えることでき、より安定した暗号システムを実現できる。
【図面の簡単な説明】
【００４４】
【図１】本発明のネットワークを示す図である。
【図２】本発明の実施例を示す図である。
【図３】本実施例に用いる信号フレームを示す図である。
【図４】本実施例に用いる別の信号フレームを示す図である。
【図５】ベクトル暗号技術を用いた暗号化システムの構成を示す図である。
【図６】ベクトル暗号技術を用いた別の暗号化システムの構成を示す図である。
【符号の説明】
【００４５】１  制御部
２  スイッチ部
３  制御テーブル
４、５、６、７  ラインインタフェース回路
８  暗号回路
９  復号回路
１０  ラベル読み出し回路
１１、１２、１３、１４、１５、１６、１７、１８、１９、２１  ノード
２２、２３、２４  ユーザ
２５  ネットワーク
３０  送信側
４０  受信側
３１、４１  擬似乱数発生器
３２、４２  排他論理和器
３３、３４、４３、４４  制御テーブル
１００  暗号化パス
１０１、１０２、１０３  暗号化リンク
【図１】
2007192844.tif 000003
【図２】
2007192844.tif 000004
【図３】
2007192844.tif 000005
【図４】
2007192844.tif 000006
【図５】
2007192844.tif 000007
【図６】
2007192844.tif 000008