(57)【特許請求の範囲】
【請求項１】
インターネットと端末装置との間に接続された装置であって、
インターネットに接続された相手装置と前記端末装置との間のパケット通信における少なくともインターネット上のパケット通信に対し、暗号通信路の確立に用いる暗号通信路情報を記憶する暗号通信路情報記憶部と、
受信されたパケットが暗号通信路情報合意要求に関するものか否かを判断し、受信されたパケットが暗号通信路情報合意要求に関するものであると判断された場合、前記相手装置と前記端末装置との間のパケット通信路を確立するための暗号通信路情報を前記相手装置と合意する必要があるか否かを、受信されたパケットから判断するパケット判断部と、
前記パケット判断部が合意を必要とすると判断すると前記合意を行い、前記暗号通信路情報記憶部に合意された暗号通信路情報を記憶する暗号通信路情報合意部と、
前記パケット判断部によって受信されたパケットが暗号通信路情報合意要求に関するものでないと判断された場合、受信されたパケットに対して暗号処理を上記暗号通信路情報記憶部に記憶されている暗号通信路情報に基づいて行う暗号処理手段、
とを含むパケット暗号処理代理装置。
【請求項２】
請求項１記載のパケット暗号処理代理装置は、前記暗号通信路情報合意部によって合意された暗号通信路情報中の、パケットを暗号処理するための鍵情報を前記端末装置に設定する鍵情報設定部を含む。
【請求項３】
請求項２記載のパケット暗号処理代理装置において、前記パケット判断部は、暗号通信路情報の合意を必要とすると判断すると前記受信パケットと対応する有効な暗号通信路情報が前記暗号通信路情報記憶部に記憶されているかを判断し、記憶されていればその暗号通信路情報中の鍵情報を前記鍵情報設定部により前記端末装置に設定させ、記憶されてなければ前記暗号通信路情報合意部に暗号通信路情報の合意を実行させる。
【請求項４】
請求項３記載のパケット暗号処理代理装置において、前記パケット判断部は、前記暗号通信路情報の合意を必要とすると判断し、かつ前記受信されたパケット内のアドレス情報が、ワイルドカードを含む送信元識別情報、ワイルドカードを含む送信先識別情報、パケット通信手順を表すプロトコル情報及び暗号処理をするか否かを示す処理指示情報をフィルタ情報として記憶するフィルタ情報記憶部に記憶されていれば前記鍵情報の合意を実行させる。
【請求項５】
請求項４記載のパケット暗号処理代理装置はさらに、前記端末装置を検知して、その端末装置からアドレス情報を収集し、その収集したアドレス情報を前記フィルタ情報記憶部に記憶する端末情報収集部を含んでいる。
【請求項６】
（a‐1） インターネットに接続された相手装置と端末装置の間のパケット通信における少なくともインターネット上のパケット通信に対し、受信されたパケットが暗号通信路情報合意要求に関するものか否かを判断し、受信されたパケットが暗号通信路情報合意要求に関するものであると判断された場合、受信されたパケットが暗号通信路情報の合意を必要とするか否かを判断し、合意が必要であればインターネットに接続された相手装置と端末装置との間のパケット通信に対し、前記相手装置との間で伝送されるパケットを暗号処理する暗号通信路情報を前記相手装置と合意する工程と、
（a‐2） 合意された暗号通信路情報を前記端末装置に設定する工程と、
（a‐3） 合意が必要でないならば前記受信されたパケットをバイパス又は廃棄する工程と、
（b） 受信されたパケットが暗号通信路情報合意要求に関するものでないと判断された場合、前記暗号通信路情報に基づいて、受信されたパケットに対し暗号処理を行う工程、
とを含むパケット暗号処理方法。
【請求項７】
請求項６記載のパケット暗号処理方法において、前記工程（a‐1） は、
（a‐1‐1) 前記受信パケットに対する暗号通信路情報の合意が必要であれば、前記受信パケットと対応する有効な暗号通信路情報が前記暗号通信路情報記憶手段に記憶されているかを判断する工程と、
（a‐1‐2) 暗号通信路情報が記憶されているならばその暗号通信路情報中の鍵情報を前記端末装置に設定し、暗号通信路情報が記憶されてないならば前記暗号通信路情報の合意を実行し、合意した暗号通信情報を暗号通信路情報記憶部に記憶し、かつ前記端末装置に設定する工程、
とを含む。
【請求項８】
請求項７記載のパケット暗号処理方法において、前記工程（a‐1‐1) は前記パケットに対する暗号通信路情報の合意が必要であれば、まず前記受信パケット内のアドレス情報がフィルタ情報記憶部に記憶されているかを判断し、記憶されてれば、前記暗号通信路情報記憶部に有効な暗号通信路情報が記憶されているかの前記判断を行う工程を含む。
【請求項９】
請求項６〜８のいずれかに記載したパケット暗号処理方法をコンピュータで実行するプログラムが記録された読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】  この発明は、端末装置とインターネットとの間に接続され、インターネットに接続された相手装置と前記端末装置間のパケット通信において、暗号処理されたパケットに対し前記端末装置に代わって暗号処理を代行可能なパケット暗号処理代理装置、その方法及びプログラムの記録媒体に関するものである。
【背景技術】
【０００２】  従来、インターネット等のネットワークを介して暗号通信を行なうための規格として、インターネットの標準化組織であるＩＥＴＦ（Ｉｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ）により標準化され、フレーム構成、データの暗号化及び復号化や改ざんチェックなどの規定に準拠したＩＰＳｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）がＲＦＣ（Ｒｅｑｕｅｓｔ  ｆｏｒ  Ｃｏｍｍｅｎｔｓ）２４０１（以下非特許文献１と呼ぶ）に示されている。その他の暗号通信プロトコルの規格として、ＳＳＬ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔｓ  Ｌａｙｅｒ）やＴＬＳ（Ｔｒａｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）等がある。これらの規格は、事前に暗号及び復号、署名及び検証するための鍵、暗号及び復号化アルゴリズム、署名及び検証アルゴリズム、及びプロトコル等のＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）情報を合意しておく。このＳＡ情報の合意は、鍵交換プロトコルであるＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）やハンドシェーク（Ｈａｎｄｓｈａｋｅ）プロトコルに準拠して行われる。【０００３】  ＩＰＳｅｃ機能は、必要に応じて端末装置に実装される。ＩＰＳｅｃ機能はその他に、インターネットを利用した仮想的に構築する独自ネットワークであり、標準プロトコルとしてＩＰＳｅｃを規定するＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）におけるパケット暗号処理代理装置に実装される。つまり例えばインターネットとＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）を接続するゲートウェイ内にＩＰＳｅｃ機能が設けられ、ゲートウェイがＬＡＮに接続された各端末装置（以下、内部端末装置と呼ぶ）に代ってパケットに対する暗号処理を行う。つまりインターネットに接続された端末装置（以下、外部装置または相手装置と呼ぶ）は、ＬＡＮに接続された内部端末装置に対し、データを暗号化しないで通信を行う場合はそのパケットにそのＬＡＮの内部端末装置のＩＰアドレス等を設定すればよいが、データを暗号化する場合はＬＡＮの内部端末装置のＩＰアドレス等を設定し、これとデータを含むパケットを生成し、そのパケット全体に対して所定の暗号化を行い、その暗号化されたパケットに、パケット暗号処理代理装置を兼ねるゲートウェイのＩＰアドレスなどを設定したパケットを生成し、そのパケットを送信する。このパケットを受信したゲートウェイはそのパケットを復号化し、復号されたパケットを、そのヘッダが示すＩＰアドレスに基づきＬＡＮの内部端末装置に送信する。従ってこの場合のゲートウェイはパケット暗号処理代理装置を兼ねているといえる（第１従来技術という）。【０００４】
このようなパケット暗号処理代理装置としては、例えば、アクセスが制限された閉鎖型ネットワークに接続され、閉鎖型ネットワークとゲートウェイを経由して接続された開放型ネットワークに接続された端末装置（外部装置と対応するもの）との暗号通信を閉鎖型ネットワークに接続された内部端末装置に代行して行うものが例えば日本国特許出願公開2003‐304227号公報（以下特許文献１と呼ぶ）に示されている（以下、第２従来技術と呼ぶ）。
図８を参照してこの特許文献１に示す従来のパケット暗号処理代理装置を説明する。図８に示すように閉鎖型ネットワークであるホームネットワーク１０４に接続された家庭内ノード（内部端末装置）１２２と、開放型ネットワークであるインターネット１０２に接続された外部ノード（外部装置）１０６との間で、インターネット１０２とホームネットワーク１０４間に介在されたホームゲートウェイ１０８を介して暗号通信を行う。家庭内ノード（この例では電子レンジ）１２２は、暗号化と復号化の処理を行うのに充分なデータ処理性能を備えていない。よってパケット暗号処理代理装置として暗号代行家庭内サーバ１２０がホームネットワーク１０４に接続され、家庭内ノード１２２と外部ノード１０６と暗号化通信を行うためのデータ暗号化と復号化の処理を、家庭内サーバ１２０が家庭内ノード１２２に代わって行う。
【０００５】  外部ノード１０６が暗号通信の起動を行う場合には外部ノード１０６は、インターネット１０２、ホームゲートウェイ１０８、ホームネットワーク１０４を経由して暗号通信要求パケットを、家庭内ノードの電子レンジ１２２に送る（Ｓ２１）。この暗号通信要求パケット内のデータは、外部ノード１０６が家庭内ノードである電子レンジ１２２と暗号通信を確立するために必要なデータであり、電子レンジ１２２に問い合わせるデータである。電子レンジ１２２は、このような暗号通信要求パケットを受信したならば、外部ノード１０６に対して、逆の経路で暗号通信承諾パケットを送信する（Ｓ２２）。この暗号通信承諾パケット内のデータには暗号通信を承諾すると共に同じホームネットワーク１０４に接続された家庭内サーバ１２０のネットワークアドレスが含まれている。【０００６】  暗号通信承諾パケットを受信した外部ノード１０６は、指定された暗号通信代行サーバである家庭内サーバ１２０に対して、インターネット１０２、ホームゲートウェイ１０８、ホームネットワーク１０４を経由して、暗号通信代行要求パケットを送信する（Ｓ２３）。暗号通信代行要求パケットを受信した家庭内サーバ１２０は、暗号通信代行承諾パケットを、その外部ノード１０６に送信する（Ｓ２４）。これによって外部ノード１０６は、家庭内ノード１２２との暗号通信を代行することを確認する。外部ノード１０６は、家庭内サーバ１２０が、家庭内ノード１２２との暗号通信を代行して行うことを確認した後、或いは、これらの確認の全部又は一部を省略して、予め定められた所定の手順に従って暗号化されたデータパケットを家庭内サーバ１２０に送信する（Ｓ２５）。所定の手順に従って暗号化されたデータパケットを受信した家庭内サーバ１２０は、その受信したデータパケットを復号化し、ホームネットワーク１０４を経由して、本来の通信相手であるべき家庭内ノード１２２（電子レンジ）にその復号化されたデータパケットを送信する（Ｓ２６）。これによって、家庭内ノード１２２（電子レンジ）は、高度な暗号化、復号化のための処理能力をもたなくても、本来の目的である外部ノード１０６との暗号通信を実現することができる。【０００７】
IPSecにおける鍵交換プロトコルを実行するには、ＳＡ情報を互いに合意する両者装置間で複数回の通信を行い、しかも計算処理量がかなり多く、これら装置に対し大きな負荷となる。従って、例えば家庭内の暗号処理通信機能を備える電子機器など小規模の端末装置にＳＡ情報合意機能を設けるとハードウェア及びソフトウェア規模が大きくなり、大形化になりかつ価格も高くなる。このような点から、端末装置に暗号処理機能は設けるが、ＳＡ情報の合意処理を端末装置に代って鍵交換代理装置で行うことが例えば日本国特許出願公開2003‐179592号公報（以下、特許文献２と呼ぶ）に提案されている。この特許文献２に示す鍵交換代理技術によれば、ネットワークに接続され、暗号処理機能は有するが鍵交換機能を備えない端末装置が、ネットワークに接続され、鍵交換機能を備えた通信相手側端末装置とパケット暗号通信を行う場合、端末装置はまず通信相手側端末装置との暗号通信信号に用いる共通鍵の交換を、ネットワークに接続された鍵交換代行サーバに要求し、鍵交換代行サーバはその要求に基づき、端末装置に代って通信相手側端末装置と鍵交換処理を行い、合意した共通鍵を端末装置に設定する。その後、端末装置はその合意した共通鍵を用いて通信相手側端末装置とパケット暗号通信を行う。
【０００８】  このような鍵交換代理処理をゲートウェイで行わせることが日本国特許出願公開２００３−２８９２９９号公報（以下、特許文献３と呼ぶ）に示されている。
第１従来技術ではインターネットに接続された外部装置は、ＬＡＮの端末装置に対して、暗号化することなくパケットを送信する場合は、単にそのＬＡＮの端末装置のＩＰアドレスなどを設定すればよいが、暗号化してパケットを送信する場合は、パケットを暗号化し、その暗号化されたパケットをデータとし、これに対してゲートウェイ（パケット暗号処理代理装置）のＩＰアドレスなどを設定してパケットを送信する必要がある。つまり暗号化されないパケットの終端はＬＡＮの端末装置であり、暗号化パケットの終端はゲートウェイである。このように暗号通信を行う場合はゲートウェイのＩＰアドレスなども設定する必要があり、同一端末装置に対する通信にそのＩＰアドレスなどの他にゲートウェイのＩＰアドレスなどを設定するという繁雑さがあった。【０００９】  第２従来技術では、暗号化パケットの終端がパケット暗号処理代理装置にあたる家庭内サーバ１２０であり、パケットの送信先の終端が端末装置（電子レンジ）１２２であるため、家庭内サーバ１２０を導入した場合には、インターネットに接続された相手装置は暗号通信にするか否かによりＩＰアドレス等の設定情報を変更する必要があり、第１従来技術と同様に通信相手（相手装置を操作する人）に設定の手間をかけてしまうといった問題があった。また、前述したようなこの第２従来技術では、暗号通信を行うにはまず電子レンジ１２２に対し暗号通信要求を行って代行サーバの指定を受け、改めてサーバ１２０に対し暗号通信代行要求とその承諾を受けて暗号化パケットを送るという多くの手間がかかるという問題もあった。
【特許文献１】日本国特許出願公開２００３−３０４２２７号公報
【特許文献２】日本国特許出願公開２００３−１７９５９２号公報
【特許文献３】日本国特許出願公開２００３−２８９２９９号公報
【非特許文献１】ＲＦＣ（Ｒｅｑｕｅｓｔ  ｆｏｒ  Ｃｏｍｍｅｎｔｓ）２４０１
【発明の開示】
【発明が解決しようとする課題】
【００１０】  この発明は、これらの問題を解決するためになされたものであり、通信相手に設定の手間をかけずに、暗号処理機能が実装されていない端末装置に対して暗号処理を代行することができるパケット暗号処理代理装置、その方法及びプログラムを記録した記録媒体を提供することを目的とするものである。
【課題を解決するための手段】
【００１１】  この発明によるパケット暗号処理代理装置は、インターネットと端末装置との間に接続され、暗号通信路情報記憶部及び暗号処理部を備え、暗号通信路情報記憶部には、インターネットに接続された相手装置と上記端末装置との間のパケット通信における少なくともインターネット上のパケット通信に対し、暗号通信路確立に用いる暗号通信路情報が記憶され、暗号処理部では受信されたパケットに対して、暗号通信路情報記憶部に記憶されている暗号通信路情報に基づいて暗号処理が行われる。
【発明の効果】
【００１２】
以上説明したように、この発明のパケット暗号処理代理装置によれば、ネットワークと端末装置との間に接続されているから、例えばインターネットに接続された相手装置では暗号処理機能を備えない端末装置のＩＰアドレスなどを設定すれば暗号処理されたパケットに対する暗号処理、例えば復号が行われるため、つまり相手装置はトランスポートモードを採ることができ、端末装置のＩＰアドレスなどとパケット暗号処理代理装置ＩＰアドレスなどとの設定を行う必要がなく、相手装置の利用者に設定の手間をかけない。また端末装置との通信により暗号処理代行サーバのＩＰアドレスなどの入手の後、そのサーバのＩＰアドレスなどを設定して暗号処理されたパケットを暗号処理代行サーバへ送信するなどの煩雑さもない。
【図面の簡単な説明】
【００１３】［図１］この発明によるパケット暗号処理代理装置の第１実施例のシステム構成例を示すブロック図。
［図２］図２Ａは図１中の暗号通信路情報記憶部１２に記憶されているＳＡ情報の例を示す図、図２Ｂは図１中のフィルタ情報記憶部１５に記憶されているフィルタ情報の例を示す図、図２Ｃはパケットの構成例を示す図。
［図３］この発明の第１実施例による相手装置から受信したパケットに対する処理手順の例を示すフローチャート。
［図４］この発明の第１実施例による端末装置から受信したパケットに対する処理手順の例を示すフローチャート。
［図５］この発明によるパケット暗号処理代理装置の第２実施例のシステム構成例を示すブロック図。
［図６］第２実施例による相手装置から受信したパケットに対する暗号通信路情報合意手順の例を示すフローチャート。
［図７］第２実施例による端末装置から受信したパケットに対する暗号通信路情報合意手順の例を示すフローチャート。
［図８］従来のパケット暗号処理代行サーバを含むシステム及び代行暗号処理の通信手順を示す図。
【発明を実施するための最良の形態】
【００１４】  以下、この発明の実施例について、図面を参照して説明する。
第１実施例
図１は、この発明の第１の実施例に係るパケット暗号処理代理装置１０を含むシステムの構成例を示すブロック図である。以下の説明ではパケット暗号処理をＩＰＳｅｃに基づいて行う場合を例とし、暗号処理として暗号化処理及び復号化処理を例とする。
パケット暗号処理代理装置１０はインターネット２に接続され、インターネット２には外部装置３が接続される。パケット暗号処理代理装置１０はパーソナルコンピュータや通信機能を備え、家庭内電気製品等の内部端末装置５にＬＡＮ４を介して接続されている。内部端末装置５としては、ＩＰＳｅｃ機能が実装されているもの、いないもの、暗号処理機能は実装されているが鍵交換機能（暗号通信路情報合意機能）が実装されてないものなどが混在している。この実施例においては、外部装置３は、ＩＰＳｅｃ機能が実装されたものとする。つまりこの実施例ではパケット暗号処理代理装置１０はインターネット２とＬＡＮ４とを接続するゲートウェイと兼用されている。【００１５】  パケット暗号処理代理装置１０は、ネットワーク２を介して接続された外部装置３と通信を行うネットワークインタフェイス９と、インターネット２上で安全な通信路を確立するために必要な暗号通信路情報を相手装置３と端末装置５との間で合意するための暗号通信路情報合意部１１、合意された暗号通信路情報を記憶する暗号通信路情報記憶部１２、ＩＰＳｅｃに準拠して暗号化されたパケットを復号化する復号化部１３、端末装置５などとの通信を行う端末インタフェイス１４とを備える。
暗号通信路情報はＩＰＳｅｃに準拠したものであり、本来の通信に先立ち相手装置３と端末装置５との間で双方が通信可能な手順の確認のネゴシエーション、つまり合意が暗号通信路情報合意部１１により行われ、その結果の暗号通信路情報が暗号通信路情報記憶部１２に記憶される。【００１６】  暗号通信路情報記憶部１２は、例えば不揮発性の記憶媒体によって構成される。暗号通信路情報（以下、単に「ＳＡ（Ｓｅｃｕｒｉｔｙ  Ａｓｓｏｃｉａｔｉｏｎ）情報」という）は非特許文献１で規定されたものであり、例えば図２Ａに示すように、接続要求もとの端末装置のＩＰアドレスに対応して（１）ＳＡ情報を識別するための３２ビットの整数値で割り当てられて各パケット中に挿入され、パケット内の通信内容を示す識別番号ＳＰＩ（Ｓｅｃｕｒｉｔｙ  Ｐａｒａｍｅｔｅｒ  Ｉｎｄｅｘ）、（２）通信データ完全性を保証して転送し、またその検証を行うためのプロトコルであるＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｈｅａｄｅｒ）及び通信データを秘匿して転送し、またその秘匿解除するためのプロトコルであるＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）の何れかのプロトコルの情報を表すセキュリティプロトコル情報、（３）暗号化や認証でそれぞれ使用される暗号アルゴリズムや暗号鍵情報、（４）受信したパケットをＩＰヘッダを含めて暗号化して受信先へ転送するモードであるトンネルモード及び、受信したパケット中のデータを暗号化しそれにＩＰヘッダを付加し、受信先に送るモードであるトランスポートモードの何れかのモードを表すモード情報、（５）相手ＩＰアドレス及びポート番号よりなる識別子、及び（６）ＳＡ情報を変化させる時期などを示すＳＡ情報の存続時間等が含まれる。なお、ポート番号はインターネットで標準化されたサービスプロトコルに割り当てられた番号である。【００１７】  この実施例ではモード情報はトランスポートモードとされるが、例えばＩＰＳｅｃ機能を備えない端末装置の他にＩＰＳｅｃ機能を備えた端末装置が混在しているネットワークとインターネットとの間にこの発明によるパケット暗号処理代理装置１０が設けられる場合はモード情報としてはトンネルモードとされたりトランスポートモードにされたりする。またこの実施例ではセキュリティプロトコル情報としてはＥＳＰが用いられるが、データが改ざんできないようにするＡＨプロトコル、具体的には例えばディジタル署名及びその検証のプロトコルを用いてもよい。【００１８】  ＳＡ情報の各パラメータは、ＩＫＥ（Ｉｎｔｅｒｎｅｔ  Ｋｅｙ  Ｅｘｃｈａｎｇｅ）等の鍵交換プロトコルによって通信相手との間で合意されるものであり、暗号通信路情報合意部１１は、端末装置５に代わってＳＡ情報の各パラメータを相手装置３と合意し、合意したパラメータが反映されたＳＡ情報を暗号通信路情報記憶部１２に格納する。
復号化部１３は、暗号通信路情報記憶部１２に記憶されたＳＡ情報に含まれる暗号アルゴリズムや暗号鍵情報に基づいて、相手装置３によってＩＰＳｅｃに準拠して暗号化されて端末装置５に向けて送信されたパケットをパケットの送信元と送信先を変えずに復号化する。【００１９】  更に、この実施例ではパケット暗号処理代理装置１０は、送信元識別情報、送信先識別情報、及びパケット伝送プロトコル情報に対応して、パケットの処理を表す指示情報をフィルタ情報として記憶するフィルタ情報記憶部１５と、相手装置３によって送信されたパケットを復号化部１３によって復号化するか否かをフィルタ情報に基づいて判断する復号化判断部１６を備えている。
復号化判断部１６は、フィルタ情報記憶部１５に予めシステムの管理者により各端末装置に対応して記憶されているフィルタ情報を参照し、相手装置３によって端末装置５に向けて送信されたパケットを復号化するか（暗号処理）、端末装置５にそのまま端末インタフェイス１４を介して送信するか（バイパス）、パケットを廃棄するか、を判断し、判断結果に応じてパケットの処理を決定する。バイパスするのは、（１）端末装置にＩＰＳｅｃ機能が備えられてない場合か、（２）端末装置に暗号処理機能が備えられているが、鍵交換機能が備えられてない場合か、（３）データが暗号処理を必要としない場合かである。【００２０】  図２Ｂは、フィルタ情報の例を示した表である。図２Ｂにおいて、１列目は、パケットの送信元を識別するための送信元識別情報中の送信元のＩＰアドレスを表し、２列目はパケットの送信先を識別するための送信先識別情報を構成する送信先のＩＰアドレス、３列目はパケットを伝送するための通信手順を表すプロトコル情報、４列目は送信元識別情報中の送信元のポート番号、５列目は送信先識別情報中の送信先のポート番号、及び６列目はパケットをどのように処理するかを表す処理指示情報を表している。
前述したように復号化判断部１６は、受信したパケット中の処理指示情報以外のフィルタ情報によりフィルタ情報記憶部１５にあらかじめ記憶されているフィルタ情報を参照し、その処理指示情報に応じて端末装置５に向けて送信されたパケットを復号化するか、そのまま端末インタフェイス１４を介して送信するか、この例では更に廃棄するか、を判断し、判断結果に応じてパケットの処理を決定する。【００２１】  図２Ｂ中の１行目のフィルタ情報は、ＩＰＳｅｃ機能を有してない端末装置に対する情報であり、ＩＰアドレスがＩＰｖ４によって書かれており、送信元のＩＰアドレスが１０．０．０．１／３２（全３２ビット指定）、送信先のＩＰアドレスが１０．０．０．＊／２４（上位２４ビットが指定、下位８ビットが０〜２５５の任意の値）及び、プロトコル情報が信頼性を保証したコネクション形プロトコルであるｔｃｐ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）の場合には、送信元ポート番号及び送信先ポート番号が何番であっても（ａｎｙ）、処理指示情報は相手装置３によって送信されたパケットを暗号処理する。【００２２】  ２行目のフィルタ情報は各種暗号処理規定に準拠したプロトコルＩＰＳｅｃの機能を有する端末装置５に対するフィルタ情報の例であり、送信元ＩＰアドレスが１０．０．０．２／３２、送信先ＩＰアドレスが１０．０．１．＊／２４の暗号処理されたパケットをそのまま端末装置５にバイパスすることを表している。
３行目のフィルタ情報は、ＩＰアドレスがＩＰｖ６によって書かれており、送信元のＩＰアドレスが２００１：：１、送信先のＩＰアドレスが２００１：：２、プロトコル情報が、画像や音声の配信データの場合のようなパケットの紛失を許容するコネクションレス形プロトコルｕｄｐ（Ｕｓｅｒ  ｄａｔａｇｒａｍ  ｐｒｏｔｏｃｏｌ）であり、送信元のポート番号と送信先のポート番号とが１３７の場合には、処理指示情報は相手装置３によって送信された暗号処理されてないパケットを端末装置５にそのまま端末インタフェイス１４を介してバイパス送信する。【００２３】  また、４行目のフィルタ情報は、送信元のＩＰアドレスが２００１：：１／１２８、送信先のＩＰアドレスが２００１：：２／１２８、プロトコル情報がＩＰ端末同士をコントロールするプロトコルであるｉｃｍｐ（Ｉｎｔｅｒｎｅｔ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ）、及び、送信元のポート番号が１３５の場合には、処理指示情報は相手装置３によって送信されたパケットを廃棄する。
なおこれらのフィルタ情報は例示であって、その識別情報やプロトコル情報と処理指示情報との間に関連はない。
各パケットは、例えば図２Ｃに示すように、送信元（ＳＲＣ）ＩＰアドレスと、送信先（ＤＳＴ）ＩＰアドレスと、ＥＳＰヘッダまたはＡＨヘッダと呼ばれる拡張ヘッダＳＰＩ＋ＩＣＶと、プロトコルと、送信元ポート番号と、送信先ポート番号とを含むヘッダ情報部ＨＤを有している。そのヘッダ情報部ＨＤの後にデータ部ＤＡが付加されている。拡張ヘッダＳＰＩ＋ＩＣＶが付加されているか否かにより、データ部ＤＡがＩＰＳｅｃに準拠した暗号処理されているか否かが表される。【００２４】  復号化判断部１６は受信したパケット中のフィルタ情報に基づきフィルタ情報記憶部１５を参照したらその処理指示情報は復号化であったが、その受信されたパケットのヘッダ情報部ＨＤを参照し、拡張ヘッダが付加されているか否かを判定した結果、付加されてないと判定した場合、すなわち、そのパケットがＩＰＳｅｃに準拠して暗号化されていないと判断されると、このパケットを廃棄するあるいは端末装置５へそのままバイパスしてもよい。
パケット暗号処理代理装置１０には、ＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ、アドレス解決プロトコル）やＮＤＰ（Ｎｅｉｇｈｂｏｒ  Ｄｉｓｃｏｖｅｒｙ  Ｐｒｏｔｏｃｏｌ、近隣発見プロトコル）などの情報収集プロトコルや、ＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ  Ｐｌｕｇ  ａｎｄ  Ｐｌａｙ）などの相互接続機能をもつ端末情報収集部２０が設けられており、パケット暗号処理代理装置１０に接続されている端末装置５のＩＰアドレスやサービス等の機器情報を収集し、収集した機器情報に基づいてＩＰアドレス、ポート番号、プロトコルの種別などの情報を含む図２Ｂに示すようなフィルタ情報を生成してフィルタ情報記憶部１５に記憶する。フィルタ情報中の処理指示はシステム管理者が入力してもよい。【００２５】
端末装置５が外された場合など、システム構成に変更があった場合に、暗号通信路情報及びフィルタ情報のうち少なくとも一方の一部またはすべてをシステム管理者が更新、削除できるようにしてもよい。
この第１実施例では、パケット暗号処理代理装置１０は復号化判断部１６が復号化と判断した場合に、復号化処理に先立って相手装置３によって送信されたパケットが正当なものであるか否かを判断する受信パケット判断部１７がさらに備えられている。受信パケット判断部１７によるパケットの正当性の判断は、IPSecに準拠して暗号化されたパケットに含まれる完全性チェック値やIPSecに規定されているパケットに付随しているシーケンス番号等に基づいて行われる。なお、完全性チェック値（Integrity Check Value、ＩＣＶ）は、認証アルゴリズムによって決定されるアルゴリズムによって算出される。復号化判断部１６によりフィルタ情報を参照して受信パケットに対する処理が復号化と判断された場合でも、パケット判断部１７がパケットのヘッダ情報からパケットが暗号処理されてないと判断した場合は復号化部１３でパケットの復号化処理を行わず、そのまま端末装置５に送出してもよい。
【００２６】  更にこの実施例では、パケット暗号処理代理装置１０は、暗号通信路情報記憶部１２に記憶されたＳＡ情報に基づいて、端末装置５によって送信されたパケットをＩＰＳｅｃに準拠して暗号化する暗号化部１８と、フィルタ情報記憶部１５に記憶されたフィルタ情報に基づいて、端末装置５によって送信されたパケットを暗号化部１８によって暗号化するか否かを判断する暗号化判断部１９とが備えられている。
暗号化部１８は、暗号通信路情報記憶部１２に記憶されたＳＡ情報に含まれる暗号アルゴリズムや暗号鍵情報に基づいて、端末装置５によって相手装置３に向けて送信されたパケットをＩＰＳｅｃに準拠してパケットの送信元と送信先を変えることなく暗号化する。【００２７】  暗号化判断部１９は、端末装置５から受信したパケット中のフィルタ情報中の送信元ＩＰアドレスによりフィルタ情報記憶部１５に記憶されたフィルタ情報を参照し、端末装置５によって送信されたパケットを暗号化して送信するか、相手装置３にそのままネットワークインタフェイス９を介して送信するか、パケットを廃棄するか、を判断し、判断結果に応じてパケットの処理を決定する。なお、暗号化判断部１９によって参照されるフィルタ情報は、図２Ｂを用いて説明した復号化判断部１６によって参照されるフィルタ情報と同様であるため、説明を省略する。ただ同一フィルタ情報であっても相手装置３から端末装置５へのパケットと、端末装置５から相手装置３へのパケットとにより前者は復号化するが、後者は暗号化しないなど処理指示情報が異なる場合もあり、個々に決められている。【００２８】  フィルタ情報を参照する暗号化判断部１９を設けることによって、パケット暗号処理代理装置１０は、複数の端末装置が接続された場合に、あらかじめ予定（許可）されていない不正な端末装置を相手装置と接続するのを防ぐことができ、同様にあらかじめ予定（許可）されていない不正な相手装置３との間で暗号通信が行われることを防ぐことができる。
以下に、パケット暗号処理代理装置１０の動作を説明する。なお、以下に説明するパケット暗号処理代理装置１０の各動作において、暗号通信路情報合意部１１によって合意されたパラメータが反映されたＳＡ情報が、暗号通信路情報記憶部１２に既に記憶されているものとする。【００２９】  図３は、パケット暗号処理代理装置１０による相手装置３からの受信パケットに対する処理を示すフローチャートである。ステップＳ１でパケットが受信されるとそのパケットが通信路情報（ＳＡ情報）の合意（例えば暗号鍵の交換）を要求しているか判定し（ステップＳ２）、要求していればステップＳ３で通信路情報の合意を行い、合意された通信路情報を端末ＩＰアドレスに対応して暗号通信路情報記憶部１２に書き込んでステップＳ１に戻り、次のパケットを受信する。
ステップＳ２で受信パケットが通信路情報の合意を要求していなければ、復号化判断部１６が、ネットワークインタフェイス９によって受信したパケット中のフィルタ情報によりフィルタ情報記憶部１５に記憶されたフィルタ情報を参照し、受信されたパケットを復号化するか否かが判断され（ステップＳ４）、復号化すると判断されないと端末装置５にそのまま端末インタフェイス１４を介して送信するか否かが判断され（ステップＳ５）、そのまま送信しないと判断されるとその受信パケットは復号化判断部１６により廃棄される（ステップＳ７）。【００３０】  ステップＳ４でパケットを復号化すると判断された場合には、ネットワークインタフェイス９によって受信されたパケットが正当なものであるか否かが受信パケット判断部１７によって判断される（ステップＳ６）。ネットワークインタフェイス９によって受信されたパケットが正当なものでないと判断された場合には、ネットワークインタフェイス９によって受信されたパケットが受信パケット判断部１７によって廃棄される（ステップＳ７）。
一方、ステップＳ６でネットワークインタフェイス９によって受信されたパケットが正当なものであると判断された場合には、ネットワークインタフェイス９によって受信されたパケットが暗号通信路情報記憶部１２に記憶されたＳＡ情報に基づき復号化部１３によって復号化され（ステップＳ８）、復号化されたパケットが端末インタフェイス１４及びＬＡＮ４を介して端末装置５に送信され（ステップＳ９）、ステップＳ１に戻って次のパケットを受信する。【００３１】
ステップＳ５で、ネットワークインタフェイス９によって受信されたパケットを端末装置５にそのまま端末インタフェイス１４を介して送信すると復号化判断部１６によって判断された場合には、ネットワークインタフェイス９によって受信されたパケットがそのまま端末インタフェイス１４及びＬＡＮ４を介して端末装置５に送信される（ステップＳ９）。
図４は、パケット暗号処理代理装置１０が端末装置５から受信したパケットに対して行う処理のフローチャートである。図３の場合と同様に、ステップＳ１１でパケットが受信されるとそのパケットが通信路情報（ＳＡ情報）の合意（例えば暗号鍵の交換）を要求しているか判定し（ステップＳ１２）、要求していればステップＳ１３で相手装置３との通信路情報の合意を行い、合意された通信路情報を端末ＩＰアドレスに対応して暗号通信路情報記憶部１２に書き込んでステップＳ１１に戻り、次のパケットを受信する。
【００３２】  ステップＳ１２で受信パケットが通信路情報の合意を要求していなければ、暗号化判断部１９により、端末インタフェイス１４で受信されたパケットのフィルタ情報に基づきフィルタ情報記憶部１５に記憶されたフィルタ情報を参照して、その受信されたパケットを暗号化するか否かが判断され（ステップＳ１４）、暗号化しないと判断されると、相手装置３にそのままネットワークインタフェイス９を介して送信するか否かが判断され（ステップＳ１５）、そのまま送信しないと判断された場合、パケットを廃棄すると判断された場合には、その受信されたパケットが暗号化判断部１９によって廃棄される（ステップＳ１８）。【００３３】
ステップＳ１４でパケットを暗号化すると判断された場合には、端末インタフェイス１４によって受信されたパケットが、暗号通信路情報記憶部１２に記憶されたＳＡ情報に基づき暗号化部１８によってIPSecに準拠して暗号化され（ステップＳ１６）、その暗号化されたパケットがネットワークインタフェイス９及びインターネット２を介して相手装置３に送信され（ステップＳ１７）、ステップＳ１１に戻って次のパケットを受信する。
ステップＳ１５で端末インタフェイス１４によって受信されたパケットを相手装置３にそのままネットワークインタフェイス９を介して送信すると暗号化判断部１９によって判断された場合には、端末インタフェイス１４によって受信されたパケットがネットワークインタフェイス９及びインターネット２を介して相手装置３に送信される（ステップＳ１７）。
第２実施例
図５はこの発明によるパケット暗号処理代理装置の第２の実施例を示す。この実施例は、図１の実施例における暗号通信路情報合意部１１による暗号通信路情報の合意手順を具体的に実施するため、図１のパケット暗号処理代理装置１０に、さらにパケット判断部２１及び２３と鍵情報設定部２２とを付加したものである。従って、受信パケットに対する処理は基本的に図３及び４で説明した処理と同じであり、説明を省略する。
【００３４】  パケット判断部２１は外部装置３からの受信パケットが暗号通信路情報の合意を要求しているかを判定し、要求している場合は通信路情報合意部１１により外部装置３と暗号通信路情報の合意を行い、合意された暗号通信路情報（ＳＡ情報）を暗号通信路情報記憶部１２に書き込む。必要があれば、書き込まれた暗号通信路情報中の鍵情報を設定部２２により送信先ＩＰアドレスの端末装置５に送信する。パケット判断部２３は端末装置５からの受信パケットが通信の開始を要求しているかを判定し、要求している場合は通信路情報合意部１１により外部装置３と暗号通信路情報の合意を行い、合意された暗号通信路情報（ＳＡ情報）を暗号通信路情報記憶部１２に書き込む。必要があれば、書き込まれた暗号通信路情報中の鍵情報を設定部２２により送信元ＩＰアドレスの端末装置５に送信する。【００３５】  図６は、相手装置３からの受信パケットに対するパケット暗号処理代理装置１０による暗号通信路情報合意処理を示すフローチャートである。図６のステップＳ２−１〜Ｓ２−４は図３におけるステップＳ２の詳細であり、図６のステップＳ３−１〜Ｓ３−４は図３におけるステップＳ３の詳細である。
ステップＳ１で相手装置３からパケットが受信されると、ステップＳ２−１で受信パケットの送信先ＩＰアドレスがフィルタ情報記憶部１５に記憶されているかをパケット判断部２１により判定し（ステップＳ２−１）、記憶されてないと判定された場合は受信パケットがパケット判断部２１によって廃棄される（ステップＳ２−２）。一方、パケットの送信先ＩＰアドレスがフィルタ情報記憶部１５に記憶されていると判定された場合は、受信パケットが暗号通信路情報合意要求（鍵交換要求）に関するものか否かがパケット判断部２１によって判断される（ステップＳ２−３）。【００３６】  ステップＳ２−３で、受信パケットが暗号通信路情報合意要求に関するものでないと判断された場合は、図３のステップＳ４に移り、ステップＳ４〜Ｓ９により受信パケットの処理を行う。一方、受信パケットが暗号通信路情報合意要求に関するものであると判断された場合には、ステップＳ２−４でその受信パケットに示されているＳＡ情報識別番号と同一でかつ存続期間が有効なＳＡ情報が既に暗号通信路情報記憶部１２に記憶されているかが判断され、記憶されていなければステップＳ３−１でＳＡ情報が暗号通信路情報合意部１１によって相手装置３と暗号通信路情報の合意を行う。【００３７】  ステップＳ３−１で、相手装置３と合意されたＳＡ情報は、ステップＳ３−２で暗号通信路情報記憶部１２に記憶され、ステップＳ３−３で、フィルタ情報記憶部１５に記憶されている送信先ＩＰアドレスの端末装置に関するフィルタ情報を参照して送信先の端末装置が暗号処理機能を備えているか判定する。この判定は、例えば図２Ｂに示す送信先端末装置に関するフィルタ情報のプロトコルがｔｃｐであり、かつ、処理指示がバイパスとなっている場合にその端末装置は暗号処理機能を備えていると判定する。暗号処理機能を有していると判定した場合は、ステップＳ３−４でその合意したＳＡ情報中の鍵情報を鍵情報設定部２２によって端末インタフェイス１４を介して端末装置５に送信し、ステップＳ１に戻って次のパケットを受信する。【００３８】  ステップＳ３−３で端末装置が暗号処理機能を備えてないと判定した場合は、そのままステップＳ１に戻って次のパケットを受信する。
ステップＳ２−４で有効なＳＡ情報が記憶されていると判断されると、ステップＳ３−３に移り、前述と同様の処理を行う。なお、端末装置５は鍵情報設定部２２により与えられた鍵情報が表す鍵を使って端末装置５と相手装置３との間で伝送されるパケットの暗号化及び復号化を行うが、端末装置５に鍵情報を送らない場合（すなわち端末装置が暗号処理機能を備えてない場合）は、端末装置と相手装置間で伝送されるパケットに対し、パケット暗号処理代理装置１０が暗号化、復号化を代行する。【００３９】
図７は、端末装置５からの受信パケットに対するパケット暗号処理代理装置１０による暗号通信路合意処理を示すフローチャートである。図７のステップＳ12‐1〜Ｓ12‐4は図４におけるステップＳ１２の詳細であり、図７のステップＳ13‐1〜Ｓ13‐4は図４におけるステップＳ１３の詳細である。図７の処理は図６の処理とほぼ同様である。
ステップＳ１１で端末装置５からパケットが受信されると、ステップＳ12‐1で受信パケットの送信元ＩＰアドレスがフィルタ情報記憶部１５に記憶されているかをパケット判断部２３により判定し、記憶されてないと判定された場合は受信パケットがパケット判断部２３によって廃棄される（ステップＳ12‐2）。一方、パケットの送信元ＩＰアドレスがフィルタ情報記憶部１５に記憶されていると判定された場合は、受信パケットが通信の開始要求に関するものか否かがパケット判断部２３によって判断される（ステップＳ12‐3）。
【００４０】  ステップＳ１２−３でパケットが通信の開始要求を表すものでないと判断された場合には、図４のステップＳ１４に移り、受信パケットに対する暗号処理手順を実行する。一方、パケットが通信の開始要求を表すものであると判断された場合には、ステップＳ１２−４でその受信パケットのヘッダに示されているＩＰアドレス、ポート番号などと対応するＳＡ情報が暗号通信路情報記憶部１２に記憶されているか否かが判断され、記憶されていなければステップＳ１３−１でＳＡ情報が暗号通信路情報合意部１１によって相手装置３と合意される。【００４１】  ステップＳ１３−１で相手装置３と合意された情報は、ステップＳ１３−２で暗号通信路情報記憶部１２に記憶され、ステップＳ１３−３で、フィルタ情報記憶部１５に記憶されている送信元ＩＰアドレスの端末装置５に関するフィルタ情報を参照して送信元の端末装置５が暗号処理機能を備えているか判定する。この判定は、例えば図２Ｂに示す送信元端末装置に関するフィルタ情報のプロトコルがｔｃｐであり、かつ、処理指示がバイパスとなっている場合にその端末装置は暗号処理機能を備えていると判定する。暗号処理機能を有していると判定した場合は、ステップＳ１３−４でその合意したＳＡ情報中の鍵情報を鍵情報設定部２２によって端末インタフェイス１４を介して送信元端末装置５に送信し、ステップＳ１１に戻って次のパケットを受信する。【００４２】  ステップＳ１３−３で端末装置が暗号処理機能を備えてないと判定した場合は、そのままステップＳ１１に戻って次のパケットを受信する。
ステップＳ１２−４で有効なＳＡ情報が記憶されていると判断されると、ステップＳ１３−３に移り、前述と同様の処理を行う。なお、端末装置５は鍵情報設定部２２により与えられた鍵情報が表す鍵を使って端末装置５と相手装置３との間で伝送されるパケットの暗号化及び復号化を行うが、端末装置５に鍵情報を送らない場合（すなわち端末装置が暗号処理機能を備えてない場合）は、端末装置と相手装置間で伝送されるパケットに対し、パケット暗号処理代理装置１０が暗号化、復号化を代行する。【００４３】  以上で説明した、第１実施例及び第２実施例によるパケット暗号処理代理装置１０の各構成要素は、上記で説明した動作をさせるように記述されたプログラムをプロセッサに実行させるようにしてもよい。即ち、復号化部１３、端末情報収集部２０、復号化判断部１６、受信パケット判断部１７、暗号化部１８、及び暗号化判断部１９、更に第２実施例の場合は、パケット判断部２１，２３を上記プログラムを実行するコンピュータによって構成するようにしてもよい。この場合、コンピュータ内にこのパケット暗号処理代理プログラムをＣＤ−ＲＯＭ、磁気ディスク、半導体記憶装置などの記録媒体からインストール又は通信回線を通じてダウンロードしてそのプログラムをコンピュータに実行させればよい。【００４４】  また、暗号通信路情報記憶部１２及びフィルタ情報記憶部１５のうち少なくとも一方は、記憶した情報の少なくとも一部、例えば暗号鍵情報、利用者名などが予定された（許された）以外の利用者により変更されないように、ＩＣカード、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）キー、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）メモリカードなどの、耐タンパ性のある着脱可能なデバイスによって構成してもよい。
一方、暗号通信路情報記憶部１２及びフィルタ情報記憶部１５のうち少なくとも一方は、端末装置５の利用者がインターネット２を介して認証された利用者あるいはシステムの管理者であるならば、記憶した情報の少なくとも一部を変更できるようにしてもよい。つまり、例えばパケット暗号処理代理装置１０には、アクセスのためのＩＰアドレスを割り当てておき、管理者は端末装置５からそのＩＰアドレスを用いてパケット暗号処理代理装置１０をアクセスしそのフィルタ情報記憶部１５に記憶するフィルタ情報に対する変更を行う。このパケット暗号処理代理装置１０に割り当てられたＩＰアドレスは端末装置５と相手装置３との間のパケット通信には使用されない。【００４５】  上述のように、この発明のパケット暗号処理代理装置１０はゲートウェイに設けられ、端末装置５に接続されている。このパケット暗号処理代理装置１０はＩＰ機能をもたないものであり、図３及び４で説明したように、受信したパケットを暗号処理するか否かの判断をして、暗号処理をする場合はパケット送信元及び送信先を変更することなく暗号処理を行って、そのパケットを送信先へ転送し、暗号処理を行わない場合はそのままパケットを送信先へ転送する。つまり暗号処理を行う場合と行わない場合とによりＩＰアドレスを変更したり、２つのＩＰアドレスを用いたりする必要がなく、従来のゲートウェイに設けられている、ＩＰ機能をもつパケット暗号処理代理装置とは異なる。【００４６】  この発明のパケット暗号処理代理装置としてはフィルタ情報に基づく処理を行わなくてもよく、つまり単に暗号処理を行うだけでもよく、その場合も、暗号処理機能をもたない端末装置と相手装置とのパケット暗号通信の際に、相手装置はパケット送信先として端末装置のＩＰアドレスを付加すればよく、暗号処理代理装置のＩＰアドレスを用いる必要はない。
この発明のパケット暗号処理代理装置１０はインターネット２と端末装置５との間に接続されていればよく、例えば図１に破線で示すようにＬＡＮ４と各端末装置５との間に接続してよい。この場合は端末装置５にはＬＡＮとの接続カード、つまりＩＰ機能をもつ接続カードが装着されているからそのＬＡＮ接続カードにパケット暗号処理代理装置１０を搭載してもよい。【００４７】  ＩＰＳｅｃ機能はＩＰ機能の一部として実装される。従って従来においてはゲートウェイのＩＰ機能にＩＰＳｅｃ機能が組み込まれ、あるいは端末装置のＩＰ機能にＩＰＳｅｃ機能が組み込まれていた。しかしこの発明の実施例のパケット暗号処理代理装置１０ではＩＰ機能に組み込まれることなく、最も簡単なものは暗号通信路情報記憶部１２と暗号処理部（例えば復号化部１３と暗号化部１８）だけの機能を持っていればよく、つまりＩＰ機能と切り離され、送信先及び送信元を変更することなく単に暗号処理をして通過させるものである。従って単に端末装置のＩＰアドレスをパケットに設定すればよく端末装置のＩＰアドレスとパケット暗号処理代理装置のＩＰアドレスとの両アドレスをパケットに設定したり、ＩＰアドレスの使い分けをする必要がなく、また暗号処理代行サーバのＩＰアドレスを入手した後にパケット暗号処理を行う繁雑さもない。【００４８】  このようにこの発明の実施例のパケット暗号処理代理装置１０はそのＩＰＳｅｃ機能はＩＰ機能に組み込まれるものでないから、インターネット２と端末装置５との間であればいずれの箇所に挿入してもよい。例えば図１又は５中に破線で示すようにＬＡＮ４と端末装置５との間に挿入してもよい。この場合は端末装置５に搭載されている、インターネットを介する通信機能、つまりＩＰ機能が有線ＬＡＮカードや無線ＬＡＮカードなどのネットワークインタフェイスデバイスにこの実施例のパケット暗号処理代理装置１０を実装してもよく、この発明の装置１０は端末装置５に論理的に直接接続されてもよい。【００４９】  同様に図１又は２中に破線で示すようにＬＡＮ４に２ポートイーサネット（登録商標）ブリッジ６を介して端末装置５が接続されている場合のようにＩＰアドレスを持たないネットワーク間接続機器６にこの実施例のパケット暗号処理代理装置１０を実装してもよい。つまりインターネットと端末装置５との間に接続されているＩＰアドレスを持たないデバイス６にこの発明による装置１０を実装してもよい。更に図１又は５中に破線で示すように例えば家庭内のパーソナルコンピュータなどのＩＰ機能をもつ端末装置５が公衆通信網７を介してインターネット２に接続されている場合に、その端末装置５と公衆通信網７との間にこの第１又は第２実施例のパケット暗号処理代理装置１０を挿入してもよい。つまり端末装置５はインターネット２と論理的に直接接続されている場合でもこの実施例を適用することができる。【００５０】  この発明において暗号処理とは前述したように、データを秘匿する、つまり暗号化する処理、その秘匿データとの秘匿を解除する、つまり復号化する処理、電子署名などデータの完全性を保証する処理、その電子署名の検証などの完全性を確認する処理のいずれかである。従って、図１及び５において、例えば���号化部１３及び暗号化部１８は暗号処理手段を構成するが、暗号処理手段は復号化、暗号化に限らず、電子署名の検証、電子署名の付加を行う手段であってもよい。同様に、暗号処理判断手段として復号化判断部１６及び暗号化判断部１９が設けられているが、復号化、暗号化の判断に限らず、電子署名の検証を行うか否か、あるいは電子書名の添付を行うか否かの判断を行ってもよい。【００５１】  相手装置３から受信したパケットに対してのみこの発明を適用してもよく、逆に端末装置５から受信したパケットに対してのみこの発明を適用してもよい。例えば前者の場合は図１中の暗号化部１８及び暗号化判断部１９は省略され、端末インタフェイス１４に受信されたパケットはそのままネットワークインタフェイス９に送られ、後者の場合は復号化判断部１６、受信パケット判断部１７、復号化部１３が省略され、ネットワークインタフェイス９に受信されたパケットはそのまま端末インタフェイス１４に送られる。図５の実施例では更に前者の場合はパケット判断部２３が、後者の場合はパケット判断部２１が省略される。【００５２】  図１及び５に示す構成中の受信パケット判断部１７は省略してもよい。つまり受信パケットの正当性の判断は端末装置５のＩＰ機能により判断させてもよい。しかし受信パケット判断部１７を設ければ不必要なパケットに対し無駄な復号化処理がなされない効果がある。
フィルタ情報記憶部１５及び復号化判断部１６を省略してもよい。この場合は端末装置５に対し送信するパケットは全て暗号処理されたパケットにする必要がある。しかしこれらフィルタ情報記憶部１５及び復号化判断部１６を設ければ、パケットのデータに要求される事項などに応じて、暗号処理するかしないかを使い分けてパケットを端末装置５に送信することができ、暗号処理を施さなくてもよいパケットに対して暗号処理しないで済み、相手装置３の処理が簡単になる。フィルタ情報記憶部１５及び暗号化判断部１９も同様に省略することができる。しかしこれらフィルタ情報記憶部１５及び暗号化判断部１９を設ければ同様に不必要に暗号化処理を行わないで済み、このパケット暗号処理代理装置１０の処理負荷が軽くなる。【００５３】  なお暗号処理部と暗号通信路情報記憶部のみを設けたパケット暗号処理代理装置１０を端末装置５の直前に設ける場合においても、利用者名や装置製造番号など外部に秘匿しておきたいデータに対し暗号化されるために有効である。端末装置５は、例えば空調機、照明器具、洗濯機、電話機、電子レンジ、テレビジョン受像機、パーソナルコンピュータなどの家庭内電気機器、事務用電気機器などその他あらゆる電気機器であって、ＩＰ機能を備えるものである。ＬＡＮ４は無線ＬＡＮ，有線ＬＡＮでもよく、用途的に云えばホームネットワーク、企業内ネットワーク、学校内ネットワーク、地域ネットワーク、病院内ネットワークなどである。【００５４】  上述でパケットに対する暗号処理をＩＰＳｅｃにより準拠して行ったが、他の規格ＳＳＬ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔｓ  Ｌａｙｅｒ）やＴＬＳ（Ｔｒａｎｓｐｏｒｔ  Ｌａｙｒ  Ｓｅｃｕｒｉｔｙ）などにより暗号処理を行ってもよい。
【図１】
0004346094.tif 000002
【図２】
0004346094.tif 000003
【図３】
0004346094.tif 000004
【図４】
0004346094.tif 000005
【図５】
0004346094.tif 000006
【図６】
0004346094.tif 000007
【図７】
0004346094.tif 000008
【図８】
0004346094.tif 000009