(57)【要約】  本特許出願はコンピュータの分野に関し、より具体的にはデジタルデータ通信の保護に関し、オペレーティングシステムの最下層に、またはハードウェアやファームウェアにさえ実装できるアーキテクチャを開示し、２つのホスト間の機密性と安全な相互認証を具えた透過性のあるサービスを提供する。【選択図】なし【特許請求の範囲】
【請求項１】
「データ通信ネットワークのセキュリティ方法」であって、この特許の目的は、正しく安全に機能するためにアプリケーションに変更を加える必要なしに、２つのデバイス間に安全で透過的なエンドツーエンド通信を可能にし、接続を確立するときに明示的な鍵交換を使用するメカニズム／アーキテクチャを開示し、
オペレーティングシステムの下位層に、ネットワークスタック、ネットワークインターフェースドライバーの一部として、「ハードウェア」または「ファームウェア」に、ロジックで実装されており、プログラム可能かどうかに拘わらず、２つの「ホスト」間の機密性や安全な相互認証などのサービスを提供し、任意のアプリケーションまたはプロトコルでサポートされ、システムコンポーネントとして展開されることを特徴とする方法。
【請求項２】
「データ通信ネットワークのセキュリティ方法」であって、この特許の目的は、正しく安全に機能するためにアプリケーションに変更を加える必要なしに、２つのデバイス間に安全で透過的なエンドツーエンド通信を可能にし、接続を確立するときに明示的な鍵交換を使用するメカニズム／アーキテクチャを開示し、
「ホスト」が他の「ホスト」に関する情報を交換し、一元化された認証エンティティに依存しないことを可能にする情報プロトコルを有する分散データベースを使用することを徴とする方法。
【請求項３】
「データ通信ネットワークのセキュリティ方法」であって、この特許の目的は、正しく安全に機能するためにアプリケーションに変更を加える必要なしに、２つのデバイス間に安全で透過的なエンドツーエンド通信を可能にし、接続を確立するときに明示的な鍵交換を使用するメカニズム／アーキテクチャを開示し、
アプリケーションに対して透過的であり、通信した「ホスト」に通知して、セキュアな通信チャネルを再確立するために不揮発性メモリを使用することを特徴とする方法。
【請求項４】
「データ通信ネットワークのセキュリティ方法」であって、この特許の目的は、正しく安全に機能するためにアプリケーションに変更を加える必要なしに、２つのデバイス間に安全で透過的なエンドツーエンド通信を可能にし、接続を確立するときに明示的な鍵交換を使用するメカニズム／アーキテクチャを開示し、
２つの「ホスト」の認識のために公開鍵を交換し、ＤＨプロセスを実行して一時的なセッション鍵を確立し、そのプロセスで確立された対称暗号鍵を介して通信を行うという差別化されたシステムを構築し、この手順が再確立されたときにはいつでも「ホスト」のいずれかがその鍵を変更し、セッションが終了したときには「ホスト」は対称鍵を破棄し、認証と将来のセッションの再確立のためにキーペア（公開鍵と秘密鍵）を保持することで、認証機関に依存せずに機能することを特徴とする方法。
【請求項５】
「データ通信ネットワークのセキュリティ方法」であって、この特許の目的は、正しく安全に機能するためにアプリケーションに変更を加える必要なしに、２つのデバイス間に安全で透過的なエンドツーエンド通信を可能にし、接続を確立するときに明示的な鍵交換を使用するメカニズム／アーキテクチャを開示し、
アーキテクチャは、オペレーティングシステムのネットワークスタックのモジュールとして、ネットワークインターフェースドライバの一部として、またはプログラマブルロジックハードウェア内で、システムの下位層に実装することができ、コンポーネントはフォーマットまたは更新で保持され、任意の通信メカニズムでサポートされることを特徴とする方法。
【請求項６】
「データ通信ネットワークのセキュリティ方法」であって、この特許の目的は、正しく安全に機能するためにアプリケーションに変更を加える必要なしに、２つのデバイス間に安全で透過的なエンドツーエンド通信を可能にし、接続を確立するときに明示的な鍵交換を使用するメカニズム／アーキテクチャを開示し、
不揮発性メモリを使用し、「ホスト」は別の未知のホストに遭遇するたびに公開鍵を再ネゴシエートするため、前記メモリを使用して以前のセッションの再確立と再認証をすばやく行うことを特徴とする方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明特許の対象は、ＩＴ文書の分野に属し、データ通信保護でより正確に使用される実用的で革新的な「データ通信ネットワークのセキュリティ方法」である。
【０００２】
より具体的には、本発明は、接続されたソリューションのセキュアな実装を可能にする新規なアーキテクチャに言及している。このアーキテクチャは、通常は人間が管理する公開鍵インフラストラクチャ（ＰＫＩ）に依存せずに、分散手段による鍵交換を使用して、透過的かつ自動的な方法で、ネットワーク通信の機密性に加えて、接続されたデバイス間の相互認証サービスを提供する。
【０００３】
このため、本特許出願では、非常に実用的であり、その使用において大きな利点を提供するために特別に設計および開発された通信アーキテクチャを提供する。
【０００４】
したがって、これはデータ通信のセキュリティ方法を提供するために完全かつ効率的に開発された製品であり、機能特性と製品の信頼性の両方について、それ自体が提供するものに大きな信頼性を提供する。
【背景技術】
【０００５】
「Method and apparatus for end-to-end secure data communication」と題された特許文献ＵＳ２００２００４２８７５Ａ１は、アプリケーションに変更を加えることなく、すべてのネットワークアプリケーションにセキュリティを提供できる方法を開示する。この方法は、ネットワークアドレス変換（ＮＡＴ）、インターネット制御メッセージプロトコル（ＩＣＭＰ）、およびセキュアトランスポート層まで動作するすべてのクオリティオブサービス（ＱｏＳ）プロトコルなどの他のネットワークプロトコルと互換性を有する。ＩＰＳｅｃなどの他のプロトコルに基づく通信システムは、エンドツーエンドのセキュリティを実現できず、ＮＡＴやＩＣＭＰなどのネットワークプロトコルとの互換性を有するに過ぎない。
【０００６】
「Automated operation and security system for virtual private networks」と題された特許文献ＵＳ６７５１７２９Ｂ１は、インターネットまたは、ノードデバイスと他のいくつかのノードデバイスを介して連結された複数のコンピュータのための他のパブリックまたはプライベートのパケット交換ネットワークなどのデータネットワークを介してセキュアな通信サービスを提供するためのノードデバイスを開示している。ノードデバイスは、当該ノードデバイスをデータネットワークに結合するためのネットワーク通信インターフェースを具える。ノードデバイスは、当該ノードデバイスに固有の暗号化情報を含むデータストレージメディアを具える。ノードデバイスはまた、暗号化を使用して他のいくつかのノードデバイスのそれぞれと暗号化通信トンネルを維持するように構成されたネットワークインターフェースに結合されたトンネル通信サービスを具える。例えば、暗号化通信トンネルは「ＩＰｓｅｃ」または「ＰＰＴＰ」プロトコルを使用して実装される。ノードデバイスは、ルーティングデータを格納するためのルーティングデータベースと、トンネル通信サービスおよびルーティングデータベースと結合されたルータを具える。ルータは、ある通信トンネルから別の通信トンネルに通信を渡すことができる。中央サーバを使用してノードデバイスを集中管理し、ノードデバイスのオンサイト管理を削減または排除することができる。
【０００７】
「Method for establishing secure communication link between computers of virtual private network without user entering any cryptographic information」と題された特許文献ＵＳ６８３９７５９Ｂ２は、コンピュータネットワーク内の第１のコンピュータと第２のコンピュータとの間にセキュアな通信リンクを確立するための技術を開示している。最初に、ユーザが暗号化を入力しなくても、第１のコンピュータでセキュアな通信モードが有効になる。これは、通信のセキュアな通信モードを確立するためである。次に、有効なセキュアな通信モードに基づいて、コンピュータネットワークを介して第１のコンピュータと第２のコンピュータとの間にセキュアな通信リンクが確立される。セキュアな通信リンクは、コンピュータネットワークを介したネットワーク通信用の仮想プライベートリンクであり、疑似ランダムシーケンスに従って変化する１つまたは複数のデータ値が各データパケットに挿入される。
【０００８】
「Internet Protocol security policy-based configuration for a virtual private network」と題された特許文献ＵＳ２０１３０２９８１８２Ａ１は、仮想プライベートネットワーク（ＶＰＮ）のインターネットセキュリティプロトコル（ＩＰＳｅｃ）ポリシーベースの構成を実行する方法を開示する。一実施形態によれば、ネットワークデバイスのブラウザベースのインターフェースは、ＶＰＮ接続のために様々な設定を構成することができるポリシーページを表示する。この設定には、ネットワークデバイスと「ピア」の間に確立される「ＩＰＳｅｃ」トンネルが含まれる。１つまたは複数の構成に対応する１つまたは複数のパラメータ値が受信され、「ＶＰＮ」接続に対応して作成または変更されたポリシーファイルに応答する。このポリシーファイルは、設定に対応するいくつかのパラメータ値を含む。ネットワークデバイスと「ピア」間の「ＶＰＮ」接続の確立は、ポリシーファイルを含む通知要求をネットワークデバイスから「ピア」に送信することにより、ポリシーファイルに含まれるパラメータ値に基づいて要求される。
【０００９】
「Methods and apparatus to communicatively couple virtual private networks to virtual machines within distributive computing networks」と題された特許文献ＵＳ８７０５５１３Ｂ２は、分散ネットワークのコンピューティング内の仮想マシンに仮想プライベートネットワークを通信接続するための方法およびデバイスを開示している。開示された方法の例は、仮想プライベートネットワークから仮想マシンをプロビジョニングする要求を受信するステップと、分散コンピューティングネットワーク内の仮想マシンのホストを決定するステップと、ホスト内に仮想マシンを作成するステップと、分散コンピューティングネットワーク内のローカルエリアネットワークの仮想スイッチに通信可能なように仮想マシンを結合するステップと、ローカル仮想ネットワークを介して仮想マシンに通信可能に結合されるようにルータの一部を構成するステップと、仮想マシンの少なくとも１つまたはルータに通信可能に結合された仮想プライベートネットワークに関連付けられたルータ内のアドレススペースを指定するステップと、ルータの一部を仮想プライベートネットワークに通信可能に結合するステップとを含む。
【００１０】
「Method of transparent encryption and decryption for an electronic document management system」と題された特許文献ＵＳ６１８５６８１Ｂ１は、暗号化システムおよび方法を開示する。この暗号化方式は、電子ドキュメント管理システムでドキュメントの透過的な暗号化と復号化を提供する。暗号化システムは、ファイルＩ／Ｏイベントをキャプチャし、関連するドキュメントに対して暗号化機能を実行してから、制御を電子ドキュメント管理システムに戻すソフトウェアモジュールを電子ドキュメント管理システムに追加する。
【００１１】
「Method for establishing secure communication link between computers of a private virtual network」と題された特許文献ＵＳ７１８８１８０Ｂ２は、コンピュータネットワーク内の第１のコンピュータと第２のコンピュータとの間にセキュアな通信リンクを確立するための技術を開示している。最初に、ユーザが暗号化を入力しなくても、第１のコンピュータでセキュアな通信モードが有効になる。次に、有効なセキュアな通信モードに基づいて、コンピュータネットワークを介して第１のコンピュータと第２のコンピュータとの間にセキュアな通信リンクが確立される。セキュアな通信リンクは、コンピュータネットワークを介したネットワーク通信用の仮想プライベートリンクであり、疑似ランダムシーケンスに従って変化する１つまたは複数のデータ値が各データパケットに挿入される。
【００１２】
「Method and system for transparent encryption and authentication of file data protocols by the Internet protocol」と題された特許文献ＵＳ２００５００３３９８８Ａ１は、セキュリティアプリケーションを使用して１つまたは複数のファイルを処理する方法を開示している。この方法は、クライアントを、１つまたは複数の「ＮＡＳ」サーバに結合された「プロキシ」サーバに接続することを含む。この方法には、クライアントから「プロキシ」サーバへファイルを要求するステップと、クライアントから要求ユーザを認証するステップが含まれる。この方法は、要求されたファイルに対する要求しているユーザを承認するステップと、認証と承認の後に、１つ以上の「ＮＡＳ」サーバからファイルを要求するステップと、１つまたは複数のストレージ要素のファイルを要求するステップとを含む。ファイルは、「ＮＡＳ」サーバを介して１つ以上のストレージ要素から「プロキシ」サーバに転送される。この方法は、「プロキシ」サーバ上のファイル内のヘッダー情報を判別し、「プロキシ」サーバ上のヘッダー情報に基づいてポリシーを識別する。この方法はまた、ポリシーに従って処理するステップ（例えば、ファイルの解凍、ファイルの復号化、ファイルの検証）を含む。この方法は、処理されたファイルをクライアントのユーザに転送するステップが含まれる。
【００１３】
「Method and device for transparent encryption」と題されたＵＳ２００２０１１２１６７Ａ１は、サーバまたは他のコンピューティング環境上の機密情報を保護するための方法およびデバイスを開示する。サーバシステム宛ての複数の電子要求が、ネットワークカップリングを介して受信され、評価される。この評価では、クレジットカード情報や個人ユーザ情報などの機密情報が検索される。機密データを検出すると、暗号化操作が機密データに適用される。機密データがサーバシステムへと転送される場合、暗号化操作は、サーバシステムのコンポーネント間で転送される前に機密データを暗号化する。機密データがサーバシステムから転送される場合、暗号化操作はネットワーク結合間で転送する前に機密データを復号化する。暗号化操作には、ハッシュおよびキーハッシュ操作も含まれる。
【００１４】
「System and methods for transparent encryption」と題された特許文献ＵＳ２００６００６４７５０Ａ１は、従来の「ＳＳＬ」終端デバイスが所定の宛先アドレスへの安全な接続のみをサポートするシステムおよび方法を含む。「ＳＳＬ」終端デバイスは、プレーンテキスト接続を受け入れ、それを任意のエンドポイントへの安全な接続に関連付け、ローカルサブネットからの接続要求を傍受して接続の目的の宛先を識別し、宛先接続との安全な接続と「ゲートウェイ」デバイスを介した接続を提供するための安全な接続を提供する。「ＳＳＬ」終端デバイスは、クライアントからの安全なアウトバウンド接続要求を識別し、接続要求を傍受して受信者の宛先を識別する。「ＳＳＬ」終端デバイスは、識別された宛先を使用して安全な接続を確立し、傍受した接続を受信者にマッピングすることによって接続を関連付ける。識別された受信者は、宛先への安全な接続を許可し、マッピングにより、ローカル接続を介してクライアントから受信したメッセージのトラフィックを宛先にマッピング可能となる。
【００１５】
特許文献ＣＮ１０１７１０３８０Ａ「Electronic document security protection method」は、情報セキュリティおよびコンピュータソフトウェアの技術分野に属する電子文書セキュリティ保護方法を開示している。この方法は、ａ）秘密要求によって、プレーンテキストを暗号化して暗号化文書を得るステップであって、この暗号化文書は暗号化文書は、プレーンテキストを秘密鍵Ｉで対称的に暗号化した暗号文と、秘密鍵Ｉを秘密鍵ＩＩで非対称的に暗号化した暗号とを含むステップと、ｂ）暗号化文書を秘密要求部分を使用して分類された管理部分に送信し、秘密鍵ＩＩに対応する秘密鍵を使用して分類された管理部分によってそれを復号化して元のテキストを得るステップと、ｃ）分類された管理部分を使用してプレーンテキストを暗号化して機密文書を得るステップであって、この機密文書は、秘密鍵ＩＩＩを使用してプレーンテキストを対称的に暗号化することによって得られる暗号文と、秘密鍵ＩＶを使用して秘密鍵ＩＩＩを非対称的に暗号化して得られる暗号文を含むステップと、ｄ）管理の秘密の部分を使用して、機密文書を機密文書の聴衆に送信するステップとを含む。この発明は、電子文書のセキュアな保護のために使用することができる。
【００１６】
「File encryption method」と題された特許文献ＣＮ１０１８１９６１８Ａは、コンピュータソフトウェアおよび情報セキュリティの技術分野に関連するファイル暗号化および方法を開示している。ファイルシステムカタログシステムに基づいて、この発明は、カタログ（フォルダ）を配置し、保護領域を定義し、暗号化デバイスをリンクし、作業領域と秘密領域を分割し；暗号化デバイスのアクセスに対応し；保護領域は、閉状態から開状態に変換され、カタログとファイル名が復号化されて表示され、作業チャンバのファイルの暗号文の内容がプレーンテキストに復号化され、「シークレットカメラ」ファイルの暗号文の内容は、通常の暗号化状態が維持され；暗号化デバイスの除去に対応して、保護領域が開状態から閉状態に変換され、カタログ名とファイル名が暗号化されて非表示になり、ファイルのプレーンテキストが暗号文で暗号化され；カタログは開状態でリアルタイムに監視され、作業チャンバに格納されているファイルの暗号文は自動的に復号化され、「秘密チャンバ」に保存されているプレーンテキストファイルは自動的に暗号化され；比較的複数の暗号化デバイスをリンクするために複数の保護領域を調整することができ、複数のユーザがいる秘密環境の視覚的に透過的な保護を構築するための異なる制御戦略を採用することによって共有保護またはインターロック保護の効果が得られる。
【００１７】
「Secure end-to-end communication in mobile ad hoc networks」と題された特許文献ＣＮ１０４２００１７６Ａは、情報セキュリティにおけるモバイルインターネットアプリケーションのセキュリティのアーカイブに関し、スマートモバイル端末上のファイルの暗号化と復号化を透過的に実行するシステムと方法を開示する。これにより、セキュリティが高くなく、操作が複雑になるという従来の暗号化および復号化スキームの問題が解決される。この方法によれば、ユーザが移動端末のプライバシーファイルへのアクセスを要求すると、まず移動端末とスマートブレスレットとの間で相互識別認証が行われ、次にコンサルテーションにより秘密の会話鍵が生成され、認証に成功した後、スマートブレスレットから送信された秘密保護キーが取得され、秘密保護キーは、仮想保護磁気ディスクが装着された後、仮想保護磁気ディスクに対する読み書き可能なフィルタリングドライブとして定義され、ユーザの特定の要求タイプに応じて仮想磁気ディスクに対応する操作が行われ、これによりスマートブレスレットの認証に基づいてスマートモバイル端末上のファイルに暗号化と復号化が行われる透過的な方式が実現されることを特徴とする。このスマートモバイル端末上のファイルに透過的な暗号化・復号化を行うシステムおよび方法は、モバイル端末上のファイルに対するアクセス制御にも適用可能である。
【００１８】
「Secure end-to-end communication in mobile ad hoc networks」と題された特許文献ＵＳ２００４００２５０１８Ａ１は、アドホックネットワークの安全なルーティングプロトコルが最終的な通信ノードがセキュリティアソシエーションを有することのみを必要とするシステムを開示する。このプロトコルは、セキュアルートディスカバリプロトコルとセキュアメッセージ送信プロトコル（ＳＭＴ）を組み合わせて、包括的なセキュリティを提供する。ルーティングプロトコルは、ルーティング操作をアクティブに中断する邪魔が存在する中で１以上のルートを検出することにより、接続情報を提供する。ルート検出要求が、送信元ノードから宛先ノードに送信される。宛先ノードは、要求によって取得されたのと同じルートを介して応答を送信することによって応答する。送信元ノードと宛先ノードは、共有秘密鍵を使用して、要求、応答、および決定されたルートの信頼性を検証する。「ＳＭＴ」プロトコルは、発見された複数のルートを使用して、送信されるメッセージを複数のセグメントに分離し、これらのセグメントを一連のルートを通して同時にルーティングする。宛先ノードは、受信されたセグメントを識別するフィードバックを送信元に送信する。送信元はこの情報を使用して、受信されていないセグメントを再送信し、失敗したルートを識別する。
【００１９】
上記の文献に加えて、以下に参考特許文献のリストを記載するが、本件特許との関連性は低くなる。
【００２０】
特許文献ＵＳ２００５００３３９８８Ａ１「Method and system for transparent encryption and authentication of file data protocols by the Internet protocol」。
【００２１】
特許文献ＵＳ２００２０１１２１６７Ａ１「Method and apparatus for transparent encryption」。
【００２２】
特許文献ＵＳ２００６００６４７５０Ａ１「System and methods for transparent encryption」。
【００２３】
特許文献ＣＮ１０１７１０３８０Ａ「Electronic document safety protection method」。
【００２４】
特許文献ＣＮ１０１８１９６１８Ａ「File encryption method」。
【００２５】
特許文献ＣＮ１０４２００１７６Ａ「System and method for performing transparent encryption and decryption on file in a smart mobile terminal」。
【００２６】
特許文献ＵＳ７２６６８４２Ｂ２「Control function that implements selective authentication of transparent data in an integrated system」。
【００２７】
特許文献ＵＳ６８８５６６０Ｂ２「End-to-end network communication」。
【００２８】
特許文献ＵＳ７１５２１６０Ｂ２「Method and arrangement for ensuring access to a communications network」。
【００２９】
特許文献ＵＳ８２３９５３１Ｂ１「Method and apparatus to connect to virtual private networks for secure transactions」。
【００３０】
特許文献ＵＳ７３６００８３Ｂ１「Method and system to provide end-to-end security solutions to assist in accelerating the protocol on networks using selective layer encryption」。
【００３１】
特許文献ＵＳ７５０６３６８Ｂ１「Methods and apparatus for network communications via a transparent security proxy」。
【００３２】
特許文献ＵＳ７４７８４２７Ｂ２「Method and apparatus for providing adaptive VPN to enable different levels of security in virtual private networks (VPNs)」。
【発明の概要】
【発明が解決しようとする課題】
【００３３】
理解されるように、最新技術で知られているこれらの特許文献はいずれも、本特許出願の目的の特徴を有さない。
【００３４】
特にこのテーマの当業者によって知られているように、今日、アプリケーションでは、セキュリティはエンドツーエンドで実装される。つまり、相互認証と機密性を可能にするセキュリティ実装は、通常ユーザが通信パラメータを制御できると仮定して、アプリケーションに近い層に実装される。このようなアプローチの例は、「ＴＬＳ」（トランスポート層セキュリティ）プロトコルである。これは、アプリケーションのトランスポート層にセキュリティを追加し、「ＰＫＩ」ネットワークインフラストラクチャに応じて、新しいセキュリティメカニズムをサポートするようにアプリケーションを更新する必要がある。
【００３５】
一方、通常は「ＩＰＳｅｃ」プロトコルを使用する「ＶＰＮ」（仮想プライベートネットワーク）アプリケーションがあり、これは２つのノード間に安全なエンドツーエンドチャネルを提供する。ただし、「ＩＰＳｅｃ」の実装は、すべてのＩＳＰルータで有効になっているわけではない。このため、通常「ＶＰＮ」ネットワークは仮想ネットワーク（オーバーレイ）として実装され、暗号化されたトラフィックが一般的なアプリケーションであるかのようにルータを通過できるようにする。「ＩＰＳｅｃ」でも「オーバーレイ」でも、「ＶＰＮ」の設定には複雑な手動の設定が必要となる。このため、特に「ピアツーピア」通信（Ｐ２Ｐ）のコンテキストでは、通常はインターネット上で広く使用されていない。
【００３６】
さらに、これらの実装は通常、「ＰＫＩ」（公開鍵インフラストラクチャ）と呼ばれる信頼ネットワークに依存する。これは、信頼のチェーンを作成する方法を提供し、第三者によって手動で発行された証明書を使用して行われることもある。
【００３７】
一般に、インターネット上の伝統的なトラフィック（ＩＰ／ＴＣＰ／ＵＤＰ）は依然として非常に普及している。多くのデバイスはまだ「ｔｅｌｎｅｔ」、「ｆｔｐ」、「ｈｔｔｐ」などを実行しており、「man-in-the-middle」（ＭＩＴＭ）攻撃が定期的に発生している。
【課題を解決するための手段】
【００３８】
これらの不便さを念頭に置いて、多くの調査と研究の結果、この分野に関係する発明者がこの特許の主題を作成および開発し、「データ通信ネットワークのセキュリティ方法」を発明した。主な解決手段は、２つのデバイス間の安全なエンドツーエンドの透過的な通信を可能にするアーキテクチャとメカニズムである。
【００３９】
この特許出願は、実用的かつ革新的な「データ通信ネットワークのセキュリティ方法」を提供し、最も近代的な技術に従って設計および開発され、インターネット、「ＧＳＭ」ネットワーク（４Ｇ、５Ｇ）、またはその他のタイプのパケット交換コンピュータネットワークにおける様々なデジタルデータ交換における適用可能性を有する。
【００４０】
任意で、このアーキテクチャはこれらのメカニズムを提供し、任意のネットワーク層に実装でき、「ＩＰ」、「イーサネット」、「Ｗｉｆｉ」、「ＵＤＰ」、「ＴＣＰ」などの通信メカニズムにサポートされる。
【００４１】
このアーキテクチャを提供するメカニズムは、「ＦＰＧＡ」または「ＡＳＩＣ」のプログラマブルロジックとして「ハードウェア」に実装することができる。また、オペレーティングシステムモジュールとして、ネットワークインターフェースの「ドライバ」または「ファームウェア」として、さらにはアプリケーションで直接的に、ソフトウェアで実装することもできる。
【００４２】
このアーキテクチャののいくつかの商用アプリケーションには、
−安全な「Ｍ２Ｍ」、「ＩｏＴ」、「Ｐ２Ｐ」ネットワーク；
−「ＳＩＭカード」／「スマートカード」アプリケーションの追加のセキュリティ；
−「ＧＳＭ」、「ＬＴＥ」、「４Ｇ」、「５Ｇ」セルラー通話の追加セキュリティ；
−インターネット上の追加の「ＴＣＰ」および「ＵＤＰ」接続セキュリティ；
−デバイス間の相互認証メカニズム；
−高速接続復元メカニズム；
−特に「ホームバンキング」アプリケーションのセキュリティモジュールメカニズム；
が含まれる。
【００４３】
問題となるデータ通信ネットワークのセキュリティ方法は、概念が非常に単純であるため簡単に実施することができるが、優れた実用的および機能的な結果が得られ、既知のセキュリティプロトコルに革新的なソリューションを提供する。
【図面の簡単な説明】
【００４４】
本説明を補足し、本発明の特徴のより良い理解を得るために、その好ましい実施形態に従って、限定的ではないが、例示的な方法で、以下の説明は一連の図を参照する。
【図１】図１は、「ＴＬＳ」セキュリティメカニズム−（トランスポート層セキュリティ）（１）の図であり、アプリケーション（７）；ＴＬＳ（８）；ＴＣＰ（９）；ＩＰ（１０）およびイーサネット（１１）を示す。
【図２】図２は、「ＩＰＳｅｃ」セキュリティメカニズム（２）の図であり、アプリケーション（７）；ＴＣＰ（９）；ＴＣＰ（１２）；ＩＰ（１０）；イーサネット（１１）を示す。
【図３】図３は、「ＩＰ」ネットワークの透過的なセキュリティメカニズム（３）と、データ通信ネットワークのセキュリティ方法（１３）の実装の図であり、アプリケーション（７）；ＴＣＰ（９）；データ通信ネットワークにおけるセキュリティ方法（１３）；ＩＰ（１０）およびイーサネット（１１）を示す。
【図４】図４は、すでに「ＴＬＳ」を使用しているアプリケーションがあり、データ通信ネットワークセキュリティ方式（１３）を実装した「ＩＰ」ネットワークの透過的なセキュリティメカニズム（４）の図であり、アプリケーション（７）；ＴＬＳ（８）；ＴＣＰ（９）；ＩＰ（１０）；手元のデータ通信ネットワーク（１３）とイーサネット（１１）のセキュリティ方法を示す。
【図５】図５は、データ通信ネットワークのセキュリティ方法（１３）を実装した、イーサネットネットワークの透過的なセキュリティメカニズム（５）の図であり、アプリケーション（７）；ＴＣＰ（９）；ＩＰ（１０）；手元のデータ通信ネットワーク（１３）とイーサネット（１１）のセキュリティ方法を示す。
【図６】図６は、データ通信ネットワークセキュリティ方法（１３）を実装したイーサネットネットワークの透過的なセキュリティメカニズム（６）の図であり、アプリケーション（７）；ＵＤＰ（１４）；６Ｌ０ＷＰＡＮ（１５）；ＩＰｖ６（１６）；ネットワークデータ通信セキュリティ方式（１３）およびＩＥＥＥ８０２．１５．４（１７）を示す。
【発明を実施するための形態】
【００４５】
上述した図面に示されるように、本特許の主題「データ通信ネットワークのセキュリティ方法」は、オペレーティングシステムの下位層、あるいは「ハードウェア」または「ファームウェア」にさえ実装できるメカニズムまたはアーキテクチャを意味する。これは２つの「ホスト」間の機密性と安全な相互認証のための透過的なサービスを提供するものである。
【００４６】
これらのサービスは透過的な態様（transparent manner）で提供され、アプリケーションは正しく安全に動作するために変更を加える必要はない。
【００４７】
データ通信ネットワークのセキュリティ方法（１３）は、接続を確立するときに交換される明示的なキーを使用するとともに、「ホスト」が他の「ホスト」についての情報を交換できるようにする情報プロトコルを備えた分散データベースを使用する。
【００４８】
実装例は、通信した「ホスト」を記憶し、セキュアな通信チャネルを再確立するために、任意で不揮発性メモリを使用することもできる。
【００４９】
各「ホスト」は、当該「ホスト」の電源投入時や、不揮発性メモリからのロード時に生成され得るキーペア（公開鍵と秘密鍵）を有する。この「ホスト」がネットワーク上の他の「ホスト」と通信しようとすると、最初にキーの交換が行われ、したがってこれらの「ホスト」はパートナーの公開鍵を認識する。両方のホストがパートナーの公開鍵を認識するとすぐに、「ディフィー・ヘルマン（Diffie Hellman）」と呼ばれるプロセスが実行され、「ＡＥＳ」または同様の暗号化を使用する一時セッション鍵が確立される。これら２つの「ホスト」間の以降の接続では、このプロセスによって確立された対称的な暗号化キーが使用される。「ホスト」は、セッション鍵を変更するために、いつでもこのプロセスの復帰を要求することができる。セッションが終了すると、これらの「ホスト」は対称鍵を破棄するが、認証および将来のセッション再確立のために、キーペア（公開鍵と秘密鍵）を保持することができる。
【００５０】
このアーキテクチャの大きな利点は、システムの下位層に実装できることである。例えば、オペレーティングシステムのネットワークスタックのモジュールとして、ネットワークインターフェースドライバの一部として実装したり、プログラマブルロジック、「ＦＰＧＡ」または「ＡＳＩＣ」として「ハードウェア」に実装することもできる。これらの実装例の一部では、システムが再起動（フォーマット、更新）してもコンポーネントを保持することができる。
【００５１】
さらに、不揮発性メモリの使用は任意である。すなわち「ホスト」は別の未知の「ホスト」に遭遇するたびに公開鍵を再ネゴシエートできるため、必須ではないが、以前のセッションをすばやく再確立して「再認証」するために不揮発性メモリを使用してもよい。
【００５２】
確かに、本発明を実施する際に、クレームのフレームワークで明確に実証されている基本原理から逸脱することなく、構造および形状の特定の詳細に関して修正を加えることができる。したがって、使用されている用語は説明を目的としたものであり、限定的なものではないことを理解されたい。
【図１】
2022500889.tif 000002
【図２】
2022500889.tif 000003
【図３】
2022500889.tif 000004
【図４】
2022500889.tif 000005
【図５】
2022500889.tif 000006
【図６】
2022500889.tif 000007
【国際調査報告】
2022500889.tif 000008
2022500889.tif 000009
2022500889.tif 000010
2022500889.tif 000011
2022500889.tif 000012
2022500889.tif 000013
2022500889.tif 000014
2022500889.tif 000015