(57)【要約】  一実施形態においては、ネットワーク内のサービスの構成によって影響を受けるトンネルが識別され、識別されたトンネル用のキー情報が、対応するルータから取得される。トンネルは、キー情報に基づき、キーグループに割り当てられ、ルータ上でトンネルに関連付けられたプロビジョニング情報は、割り当てられたキーグループに基づき、サービスの構成と併せて更新される。プロビジョニング情報の更新は、割り当てられたキーグループに関連付けられたキーを含めるために、ルータ上のキー情報を変更するステップを備えることができる。また、割り当てられたキーグループに関連付けられていない、１つまたは複数のキーを、ルータから、またネットワークの管理エンティティから、削除することができる。
2016531464.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク内のサービスの構成によって影響を受けるトンネルを識別するステップと、
識別されたトンネルのためのキー情報を、対応するルータから取得するステップと、
キー情報に基づき、トンネルをキーグループに割り当てるステップと、
割り当てられたキーグループに基づき、ルータ上でトンネルに関連付けられたプロビジョニング情報を、サービスの構成と併せて更新するステップと
を備える、方法。
【請求項２】
トンネルを識別するステップが、
ネットワーク内のサービスの構成によって影響を受ける複数のルータを識別するステップと、
ネットワーク内のサービスの構成によって影響を受けることになる、識別されたルータに関連付けられた複数のトンネルを識別するステップと
を備え、
取得するステップ、割り当てるステップ、および更新するステップが、識別されたトンネルのそれぞれに対して繰り返される、請求項１に記載の方法。
【請求項３】
キー情報を取得するステップが、１つまたは複数のキー識別子をルータから受信するステップを備え、キー情報に基づき、トンネルをキーグループに割り当てるステップが、
複数のキーグループを識別するステップであって、複数のキーグループのそれぞれが、受信されたキー識別子の少なくとも１つを含む、識別するステップと、
トンネルを、識別されたキーグループのうちの選択された１つに割り当てるステップと
を備える、請求項１に記載の方法。
【請求項４】
識別されたキーグループのうちの特定の１つの選択が、そのキーグループに関連付けられたルータの数に基づく、請求項３に記載の方法。
【請求項５】
プロビジョニング情報を更新するステップが、割り当てられたキーグループに関連付けられたキーを含めるために、ルータ上のキー情報を変更するステップと、キー情報から、割り当てられたキーグループに関連付けられていない１つまたは複数のキーを削除するステップとを備える、請求項１に記載の方法。
【請求項６】
プロビジョニング情報を更新するステップが、キー識別子をキーグループ識別子に置き換えるために、ルータ上のサービスアクセスポイントエントリを更新するステップを備える、請求項１に記載の方法。
【請求項７】
複数のキーグループが、第１のセキュリティレベルをもつエンタープライズリソースの第１のセットに関連付けられた第１のキーグループと、第１のセキュリティレベルとは異なる第２のセキュリティレベルをもつエンタープライズリソースの第２のセットに関連付けられた第２のキーグループとを備える、請求項３に記載の方法。
【請求項８】
実行可能なプログラムコードをその中に含んでいるコンピュータ可読記憶媒体を備える製品であって、実行可能なプログラムコードが少なくとも１つの処理デバイスによって実行されたときに、前記少なくとも１つの処理デバイスに、
ネットワーク内のサービスの構成によって影響を受けるトンネルを識別させ、
識別されたトンネルのためのキー情報を、対応するルータから取得させ、
キー情報に基づき、トンネルをキーグループに割り当てさせ、
割り当てられたキーグループに基づき、ルータ上でトンネルに関連付けられたプロビジョニング情報を、サービスの構成と併せて更新させる、
製品。
【請求項９】
ネットワーク管理エンティティに通信可能に結合するためのインターフェースと、
複数のキーグループを格納するためのサービスデータベースと
を備えるサービスプラットフォームであって、
ネットワーク管理エンティティと協働する少なくとも１つのサービスアプリケーションを実行するように構成され、
サービスの構成によって影響を受けるトンネルを識別し、
識別されたトンネルのためのキー情報を、対応するルータから取得し、
キー情報に基づき、トンネルをキーグループに割り当て、
割り当てられたキーグループに基づき、ルータ上でトンネルに関連付けられたプロビジョニング情報を、サービスの構成と併せて更新する、サービスプラットフォーム。
【請求項１０】
メモリに結合されたプロセッサを備える少なくとも１つの処理デバイス
を備える装置であって、
前記少なくとも１つの処理デバイスが、ネットワーク内のサービスの構成によって影響を受けるトンネルを識別し、識別されたトンネルのためのキー情報を、ネットワークの対応するルータから取得し、キー情報に基づき、トンネルをキーグループに割り当て、割り当てられたキーグループに基づき、ルータ上でトンネルに関連付けられたプロビジョニング情報を、サービスの構成と併せて更新するように構成された、装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本分野は、一般に通信ネットワークに関し、より詳細には、暗号化キー、およびそのようなネットワーク内に構成される、セキュアサービスのその他の態様を管理するための技法に関する。
【背景技術】
【０００２】
仮想専用線（Ｖｉｒｔｕａｌ  Ｌｅａｓｅｄ  Ｌｉｎｅ：ＶＬＬ）とは、インターネットプロトコル（ＩＰ）およびマルチプロトコルラベルスイッチング（ＭＰＬＳ）ネットワーク、すなわち、ＩＰ／ＭＰＬＳネットワーク上で、イーサネット（登録商標）ベースのポイントツーポイント通信を提供するためのサービスである。この技術は、仮想プライベートワイヤサービス（ＶＰＷＳ）、またはイーサネットオーバＭＰＬＳ（ＥｏＭＰＬＳ）とも呼ばれる。ＶＬＬサービスは、２つのカスタマエッジ（ＣＥ）ルータ間のポイントツーポイント接続を提供する。これは、２つのアタッチメント回線（ＡＣ）を、２つのプロバイダエッジ（ＰＥ）ルータをつなぐ擬似回線にバインドすることで行われる。このとき、各ＰＥルータは、一方のアタッチメント回線を介して、一方のＣＥルータに接続される。ＶＬＬは、通常、ＩＰ／ＭＰＬＳバックボーンを横断するＭＰＬＳトンネルを介してイーサネットトラフィックを転送するために、擬似回線カプセル化機能を使用する。擬似回線についてのさらなる情報は、Ｓ．Ｂｒｙａｎｔ、Ｐ．Ｐａｔｅ、「Ｐｓｅｕｄｏ  Ｗｉｒｅ  Ｅｍｕｌａｔｉｏｎ  Ｅｄｇｅ−ｔｏ−Ｅｄｇｅ（ＰＷＥ３）Ａｒｃｈｉｔｅｃｔｕｒｅ」、ＲＦＣ３９８５、ＩＥＴＦ、２００５年３月において見出すことができる。
【０００３】
仮想プライベートＬＡＮサービス（ＶＰＬＳ）とは、ＶＰＬＳのインスタンス化をつうじて、クローズドユーザグループを効果的に実装するイーサネットサービスである。ユーザグループ間での完全な分離を達成するために、ＶＰＬＳは、ＶＰＬＳインスタンスごとに、ネットワークルータ上で別個のデータベース（普通は、転送情報ベース（Ｆｏｒｗａｒｄｉｎｇ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｂａｓｅ：ＦＩＢ）の形態）を割り当てる。各ＶＰＬＳインスタンスは、擬似回線トンネルの専用メッシュが、ＶＰＬＳの部分をなすＰＥルータ間でプロビジョニングされることをさらに必要とする。
【０００４】
ＶＬＬおよびＶＰＬＳは、ともにサービスアクセスポイント（ＳＡＰ）を使用して、ＰＥルータポートのトンネルエンドポイントを、それらの各サービスにバインドする。例えば、ＶＰＬＳの場合、ＳＡＰが、対応するポートの物理的識別子（ノード、シェルフ、カードなど）、およびＶＰＬＳの識別子（例えば、ＶＬＡＮ５）を指定することになる。
【０００５】
ＶＬＬやＶＰＬＳなどのサービスは、同一サービスによりプロビジョニングされたルータ相互間で、データパケットをセキュアに通信する機能を提供する。通常、ネットワーク上には、このようなサービスが無数にプロビジョニングされており、それらがそれぞれ搬送するデータパケットトラフィックは、そのサービスのインスタント化がプロビジョニングされた、各ルータにて提供される、特殊な処理をつうじて、互いに隔離された状態に保たれている。
【０００６】
各サービスは物理的特性をもち、その特性がサービスを部分的に定義している。これらの特性は、サービス品質（Ｑｕａｌｉｔｙ  ｏｆ  Ｓｅｒｖｉｃｅ：ＱｏＳ）パラメータとも参照され、一定情報速度（Ｃｏｎｓｔａｎｔ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｒａｔｅ：ＣＩＲ）、最大情報速度（Ｐｅａｋ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｒａｔｅ：ＰＩＲ）、および最大バーストサイズ（Ｍａｘｉｍｕｍ  Ｂｕｒｓｔ  Ｓｉｚｅ：ＭＢＳ）パラメータを含むとともに、所与のルータにサービスを簡便にプロビジョニングするためのポリシーにしばしば分類される。
【０００７】
ルータにプロビジョニングされたＳＡＰは、サービスインスタンスと、そのルータのポートおよびポリシーとを関連付けるために使用される。ＳＡＰは、オーバライドとポリシーとを関連付けることもできる。このとき、ＱｏＳパラメータのうちの１つの値が指定され、関連付けられたポリシーによって定義された、そのＱｏＳパラメータ用の値の代わりに使用される。
【０００８】
ポリシーおよびポリシーオーバライドは、１つのルータに対してローカルであるが、整合性のために、ネットワーク全体でそれらを定義し、使用するのが望ましい。しかし、無数のルータを有する大型ネットワーク（各ルータが多数のポートをもち、それらのポートに定義および割り当て可能なＱｏＳパラメータ値の一意の組合せは、さらに多数である）においては、ネットワークを管理するネットワーク管理システムがサポートできるポリシーの上限数は、たやすく超過されてしまう。この問題を緩和するためにポリシーオーバライドを使用しても、サービスのプロビジョニングにおいて、ネットワーク全体で整合性をとることを困難にするだけである。さらに、ポリシーおよびポリシーオーバライドは、ルータにてローカル的にプロビジョニングされることも、またネットワーク管理システムをつうじて集中的にプロビジョニングされることもあるので、ネットワーク管理システムとネットワークルータにて、サービスのプロビジョニングが同期した状態に保つことは困難である。
【０００９】
これらの、およびその他のポリシー関連の課題は、「Ｃｏｎｆｉｇｕｒｉｎｇ  Ｃｏｍｍｕｎｉｃａｔｉｏｎ  Ｓｅｒｖｉｃｅｓ  Ｕｓｉｎｇ  Ｐｏｌｉｃｙ  Ｇｒｏｕｐｓ」という名称の、米国特許第８，０４０，８２２号において扱われており、上記特許は、本明細書に割り当てられるとともに、参照により本明細書に組み込まれる。例えば、そこに開示される実施形態は、上述の問題の１つまたは複数を改善する方法で、ネットワーク上でサービスを構成する手段を提供する。
【００１０】
上記米国特許第８，０４０，８２２号において開示される相当な進歩にもかかわらず、通信ネットワーク上のサービス構成には、さらなる改良が要求されている。とりわけ、暗号化キー、およびそのようなネットワーク上に構成される、セキュアサービスのその他の態様の管理に関する要求がある。
【００１１】
例えば、インターネットプロトコルセキュリティ（ＩＰｓｅｃ）によって提供される暗号化や、通信セッションの各ＩＰパケットを認証および暗号化することにより、ＩＰ通信をセキュアにするためのプロトコルスイート（セッション開始時や、セッション中に使用される暗号化キーの交渉時に、エージェント間の相互認証を確立するためのプロトコルも含まれる）などの、インターネット上の旧来の暗号化は、機密データおよびアプリケーション向けのセキュリティを、ユーザに提供することを意図している。
【００１２】
ＩＰｓｅｃは、２つのルータ間に暗号化トンネルを確立することにより、ＩＰパケットをこれらのルータ間でポイントツーポイント的に認証および暗号化するために設計されていた。ＩＰｓｅｃは、レイヤ２およびレイヤ３サービス向け、または一斉に通信する多数のルータ間でのネットワークレベルの暗号化およびセキュリティ向けとなる、ＩＰおよびＭＰＬＳトラフィックの組合せを搬送するネットワーク用には設計されなかった。
【００１３】
同様に、ＩＰｓｅｃは、ルータ間にＩＰＳｅｃトンネルのフルメッシュを確立することなしには、同時に相互通信する多数のルータ間でのネットワークレベルの暗号化およびセキュリティを提供することができない。ノード間の暗号化トラフィック用に、ＩＰＳｅｃトンネルのフルメッシュを作成することは、煩雑であるとともに、ネットワークおよびルータのリソースを、非効率的に使用してしまう。
【００１４】
したがって、ＩＰＳｅｃなどの従来の技法は、通信ネットワーク内の暗号化トンネルを使用する、暗号化キーおよびセキュアサービスのその他の態様についての、十全な管理を提供することができない。
【先行技術文献】
【特許文献】
【００１５】
【特許文献１】米国特許第８，０４０，８２２号明細書
【非特許文献】
【００１６】
【非特許文献１】Ｓ．Ｂｒｙａｎｔ、Ｐ．Ｐａｔｅ、「Ｐｓｅｕｄｏ  Ｗｉｒｅ  Ｅｍｕｌａｔｉｏｎ  Ｅｄｇｅ−ｔｏ−Ｅｄｇｅ（ＰＷＥ３）Ａｒｃｈｉｔｅｃｔｕｒｅ」、ＲＦＣ３９８５、ＩＥＴＦ、２００５年３月
【発明の概要】
【課題を解決するための手段】
【００１７】
本発明の例示的実施形態は、通信ネットワークを提示し、その通信ネットワークでは、暗号化キーに基づくセキュアサービスが、キーグループを使用して管理される。そのような配置は、通信ネットワーク内の暗号化キーまたはその他のタイプのキーの、不要なレプリケーションを回避する助けとなり、それにより、ネットワークリソースが温存され、ネットワーク性能が向上する。
【００１８】
例えば、いくつかの実施形態は、ネットワークルータ上に構成された、既存のキー識別子を、キーグループへとグループ化し、それにより、ネットワーク内の冗長なキー識別子の識別を可能にする。冗長なキー識別子は、１つまたは複数のネットワークルータを再構成することによって、削除することができる。こうした実施形態が、ネットワーク内の使用していないキー識別子の数を減らし、新たなキー識別子の配布を容易化することにより、ネットワークリソースのより効率的な使用を実現する。
【００１９】
一実施形態においては、ネットワーク内のサービスの構成によって影響を受けるトンネルが識別され、識別されたトンネル用のキー情報が、対応するルータから取得される。トンネルは、キー情報に基づき、キーグループに割り当てられ、ルータ上でトンネルに関連付けられたプロビジョニング情報は、割り当てられたキーグループに基づき、サービスの構成と併せて更新される。
【００２０】
プロビジョニング情報の更新は、割り当てられたキーグループに関連付けられたキーを含めるために、ルータ上のキー情報を変更するステップを備えることができる。また、割り当てられたキーグループに関連付けられていない、１つまたは複数のキーを、ルータから、またネットワークの管理エンティティから、削除することができる。
【００２１】
このタイプの配置は、使用していないキー識別子を再構成中に削除できるように、グループ化動作中に、そのようなキー識別子が考慮に入れられることを可能にし、それにより、ネットワーク全体にわたっての、キー識別子の一貫した使用を促進する。
【００２２】
そのような機能は、ルータおよびネットワーク管理システム要素に格納され、セキュアサービスの構成内で使用されるキー識別子と、関連付けられたトンネルとの間の同期を維持する助けにもなる。
【図面の簡単な説明】
【００２３】
【図１】例示的実施形態における、キーグループを利用したセキュアサービス管理のための機能を実装する、通信ネットワークを示す図である。
【図２】別の例示的実施形態における、例示的キーグループ管理プロセスのフロー図である。
【図３】複数のドメインが、セキュリティオペレータによって制御される異なる暗号化ルールをもつ、本発明の別の実施形態を示す図である。
【図４】発電および配電システムの通信ネットワークにおけるキーグループの使用法を示す図である。
【図５】他の実施形態における、キーグループ管理プロセスを示す例示的な図である。
【図６】他の実施形態における、キーグループ管理プロセスを示す例示的な図である。
【図７】他の実施形態における、キーグループ管理プロセスを示す例示的な図である。
【発明を実施するための形態】
【００２４】
本発明の例示的実施形態を、例示的通信ネットワーク、ネットワークデバイス、および関連付けられた通信プロトコルを参照しながら、本明細書に説明する。しかし、本発明は、説明される特定の配置を有する使用法に限定されないどころか、暗号化キーおよびネットワーク内に構成されるセキュアサービスのその他の態様を管理する見地から、性能を向上させることが望ましい、あらゆる通信ネットワークアプリケーションに、広く適用可能であることを理解されたい。
【００２５】
図１は、ＭＰＬＳネットワーク１２上に、ＶＰＬＳサービスを提供するように構成された、通信ネットワーク１０を示す。ＭＰＬＳネットワーク１２は、より具体的には、ＩＰ／ＭＰＬＳネットワークを備えるものと仮定し、本明細書で広くパケットスイッチングネットワーク（ＰＳＮ）と表現されるものの例であるが、開示される技法は、その他のタイプの通信ネットワークに、広く適用可能である。したがって、本明細書で使用される「ネットワーク」という用語は、広義に解釈されることを意図しており、異なるタイプの複数のネットワークの組合せを指すこともできる。
【００２６】
ＭＰＬＳネットワーク１２は、第１のＰＥルータ１１−１と第２のＰＥルータ１１−１との間の、ＭＰＬＳネットワーク１２を経由する、第１の擬似回線トンネルＴ１を含む。ＶＰＬＳサービスのサービスインスタンスＳＶＣは、ＰＥルータ１１−１、１１−２のそれぞれにてインスタント化され、第１の擬似回線トンネルＴ１を、ＶＰＬＳサービスと関連付ける。よって、ＶＰＬＳサービスに関連付けられたデータパケットは、第１および第２のＰＥルータ１１−１、１１−２間の第１の擬似回線トンネルＴ１を介して、ＭＰＬＳネットワーク１２を経由して通信される。
【００２７】
また、ＭＰＬＳネットワーク１２は、第１のＰＥルータ１１−１と第３のＰＥルータ１１−３との間の、ＭＰＬＳネットワーク１２を経由する、第２の擬似回線トンネルＴ２を含む。ＶＰＬＳサービスのサービスインスタンスＳＶＣは、第３のＰＥルータ１１−３にてインスタント化され、第２の擬似回線トンネルＴ２を、ＶＰＬＳサービスと関連付ける。よって、ＶＰＬＳサービスに関連付けられたデータパケットも、第１および第３のＰＥルータ１１−１、１１−３間の第２の擬似回線トンネルＴ２を介して、ＭＰＬＳネットワーク１０を経由して通信することができる。
【００２８】
第１のＣＥルータ１３−１は、第１のアタッチメント回線５１を介して、第１のＰＥルータ１１−１の第１のインターフェースポート６１に接続される。第１のＣＥルータ１３−１は、第１のＭＡＣアドレスＸをもつ。同様に、第２のＣＥルータ１３−２は、第２のアタッチメント回線５２を介して、第２のＰＥルータ１１−２の第２のインターフェースポート６２に接続される。第２のＣＥルータ１３−２は、第２のＭＡＣアドレスＹをもつ。
【００２９】
第１のサービスアクセスポイント４１は、第１のインターフェースポート６１をＶＰＬＳサービスＳＶＣと関連付ける。第１のＰＥルータ１１−１は、ＶＰＬＳサービスＳＶＣに関連付けられた第１のデータベース１５−１を含む。第１のデータベース１５−１は、第１のＰＥルータ１１−１にプロビジョニングされたサービスＳＶＣを、第１の擬似回線トンネルＴ１と関連付ける情報を含む。第１のポート６１にて受信される、ＶＰＬＳサービスＳＶＣに関連付けられた第１のアタッチメント回線５１からのデータパケットは、第１のデータベース１５−１内の情報に従って、第１の擬似回線トンネルＴ１にフォワーディングされる。この情報はフォワーディング情報を含み、この場合、第１のＭＡＣアドレスＸである送信元ＭＡＣアドレスを有するデータパケットを、その宛先ＭＡＣアドレスが第２のＭＡＣアドレスＹであるときに、第１の擬似回線トンネルＴ１を介してフォワーディングさせる。同様に、第１のＰＥルータ１１−１によって受信される、第１の擬似回線トンネルＴ１からの、ＶＰＬＳサービスＳＶＣに関連付けられたデータパケットは、第１のデータベース１５−１および第１のサービスアクセスポイント４１内の情報に従って、第１のインターフェースポート６１にフォワーディングされる。
【００３０】
同様に、第２のサービスアクセスポイント４２は、第２のインターフェースポート６２をＶＰＬＳサービスＳＶＣと関連付け、それにより、第２のポート６２にて受信される、第２のアタッチメント回線５２からの、ＶＰＬＳサービスＳＶＣに関連付けられたデータパケットは、第２のデータベース１５−２内の情報に従って、第１の擬似回線トンネルＴ１にフォワーディングされる。この情報はフォワーディング情報を含み、この場合、第２のＭＡＣアドレスＹである送信元ＭＡＣアドレスを有するデータパケットを、その宛先ＭＡＣアドレスが第１のＭＡＣアドレスＸであるときに、擬似回線トンネルＴ１を介してフォワーディングさせる。同様に、第２のＰＥルータ１１−２によって受信される、第１の擬似回線トンネルＴ１からの、ＶＰＬＳサービスＳＶＣに関連付けられたデータパケットは、第２のデータベース１５−２および第２のサービスアクセスポイント４２内の情報に従って、第２のインターフェースポート６２にフォワーディングされる。
【００３１】
通常、複数のＰＥルータを接続する、複数の擬似回線トンネルが存在することになる。場合によっては、これらのトンネルが、ＰＥルータを相互接続する完全接続メッシュを形成する。いかなる場合であっても、ＰＥルータを終端とする、所与のサービス用の擬似回線トンネルが複数存在するときは、そのルータにてデータベースを使用して、データパケットをその宛先にまでフォワーディングすべきトンネルを決定する。この決定は、データパケットの宛先ＭＡＣアドレスまたはＩＰアドレスに基づいてなされる。ＭＡＣアドレスは４８ビットアドレスであり、一般的には、ネットワークデバイスの、所与のネットワークインターフェースカードまたはアダプタに一意であり、占有されるものである。ＭＡＣアドレスは、ハードウェアアドレスとしても知られている。ＩＰアドレスは３２ビット（ＩＰｖ４）または１２８ビット（ＩＰｖ６）アドレスであり、一般的には、ネットワークデバイスに一意であるものの、ソフトウェアにおいては割り当て可能である。
【００３２】
上記を鑑みれば、ＶＰＬＳサービスＳＶＣに関連付けられたデータパケットは、第１および第２のＣＥルータ１３−１、１３−２間で、それぞれのアタッチメント回線５１、５２、第１および第２のＰＥルータ１１−１、１１−２、および第１の擬似回線トンネルＴ１を介して、通信できることは明白であろう。
【００３３】
第３のＣＥルータ１３−３は、第３のＰＥルータ１１−３にて第３のインターフェースポート６３に接続された、第３のアタッチメント回線５３を介して、第３のＰＥルータ１１−３に接続される。第３のＣＥルータ１３−３は、第３のＭＡＣアドレスＺをもつ。
【００３４】
第１および第２のサービスアクセスポイント４１、４２について先に説明したのと同様に、第３のサービスアクセスポイント４３は、第３のインターフェースポート６３を、第３のＰＥルータ１１−３上でインスタンス化されたＶＰＬＳサービスＳＶＣに関連付ける。
【００３５】
第３のＰＥルータ１１−３は、ＶＰＬＳサービスＳＶＣに関連付けられた第３のデータベース１５−３を含む。第３のデータベース１５−３は、第３のＰＥルータ１１−３にプロビジョニングされたＶＰＬＳサービスＳＶＣを、第２の擬似回線トンネルＴ２と関連付ける情報を含む。第３のポート６３にて受信される、第３のアタッチメント回線５３からの、ＶＰＬＳサービスＳＶＣに関連付けられたデータパケットは、第１のデータベース１５−１内の情報に従って、第２の擬似回線トンネルＴ２にフォワーディングされる。この情報はフォワーディング情報を含み、この場合、第３のＭＡＣアドレスＺである送信元ＭＡＣアドレスをもつデータパケットを、その宛先ＭＡＣアドレスが第１または第２のＭＡＣアドレスＸ、Ｙであるときに、第２の擬似回線トンネルＴ２を介してフォワーディングさせる。同様に、第３のＰＥルータ１１−３によって受信される、第２の擬似回線トンネルＴ２からの、ＶＰＬＳサービスＳＶＣに関連付けられたデータパケットは、第３のデータベース１５−３および第３のサービスアクセスポイント４３内の情報に従って、第３のインターフェースポート６３にフォワーディングされる。
【００３６】
構成されたサービスの部分をなす、ＰＥルータ間でプロビジョニングされたトンネルは、暗号化されてもよく、また暗号化されなくてもよいことを銘記されたい。ＶＬＬやＶＰＬＳなどのサービスは、ＳＡＰを使用して、ＰＥルータポートの暗号化または未暗号化トンネルエンドポイントを、対応するサービスにバインドする。
【００３７】
所与のセキュアサービスには、そのセキュアサービスを部分的に定義する、１つまたは複数のセキュリティ特性を含むことができる。いくつかの実施形態では、これらのセキュリティ特性は、暗号化キーグループまたはその他のタイプのキーグループを含む。こうしたキーグループは、ルータ間の１つまたは複数のトンネルを使用するサービスを簡便にプロビジョニングするために、複数のルータに関連付けられている。
【００３８】
ルータにプロビジョニングされた、暗号化または未暗号化トンネルを使用して、サービスインスタンスを、ルータのポートおよびＳＡＰと関連付けることができる。暗号化トンネルは、暗号化キー識別子、すなわち、キーＩＤと関連付けられる。本実施形態では、暗号化キー識別子は、暗号化キーグループの一部であるが、他の実施形態では、その他のタイプのキーグループが使用されてもよい。本実施形態におけるキー識別子は、暗号化を実行するために使用される特定のキー値を指定する。同一のキーを使用して暗号化および復号が実行されるように、対称キーの使用を仮定するが、他の実施形態は、対称キーを使用することに限定されない。
【００３９】
よって、本明細書で使用される「キー」という用語は、例えば、暗号化および復号のために使用される対称キー、ならびに、通信ネットワーク内のセキュアサービスを提供するために使用される公開キーと秘密キーとのペアなどの、その他のタイプの暗号情報を包含するように、広義に解釈されることを意図している。本明細書では、暗号化キーは単純に「キー」とも表現される。
【００４０】
本実施形態では、キーグループを使用することにより、キー識別子を、ネットワーク全体で効率的に定義および管理することができる。このことは、それぞれが多数のトンネルをもった無数のルータを含む可能性がある大規模ネットワークにおいて、特に重要である。
【００４１】
本明細書では、サービスアクセスポイント４１、４２、および４３は、それぞれＳＡＰ１、ＳＡＰ２、およびＳＡＰ３としても示される。また、本明細書では、それらに対応するポート６１、６２、および６３は、それぞれＰ１、Ｐ２、およびＰ３としても示される。本明細書では、ＰＥルータ１１−１、１１−２、および１１−３は、それぞれルータＲ１、Ｒ２、およびＲ３としても示される。この代替表記は、データベースエントリの説明に併せて、以下で使用される。
【００４２】
先に言及したように、データベース１５−１から１５−３は、それぞれのサービスアクセスポイント４１から４３および各ポート６１から６３を、ＶＰＬＳサービスＳＶＣと関連付ける情報を含む。例えば、第１のデータベース１５−１は、第１のエントリ３１を含む。第１のエントリ３１は、第１のＰＥルータ１１−１上で、第１のサービスアクセスポイント４１（ＳＡＰ１）を、第１のインターフェースポート６１（Ｐ１）、ＶＰＬＳサービスＳＶＣ、トンネルＴ１およびＴ２、ならびに第１のキーＫＩＤ１の識別子と関連付ける。第１のデータベース１５−１内の第２のエントリ３２は、第１のキーＫＩＤ１の１つまたは複数のパラメータを含む。例えば、第２のエントリ３２は、第１のキーＫＩＤ１が、キー値ＫＥＹ＝１００をもつということを示す。
【００４３】
同様に、第２のデータベース１５−２は、第３のエントリ３３を含む。第３のエントリ３３は、第２のＰＥルータ１１−２上で、第２のサービスアクセスポイント４２（ＳＡＰ２）を、第２のインターフェースポート６２（Ｐ２）、ＶＰＬＳサービスＳＶＣ、トンネルＴ１、および第２のキーＫＩＤ２の識別子と関連付ける。第２のデータベース１５−２内の第４のエントリ３４は、第２のキーＫＩＤ２の１つまたは複数のパラメータを含む。例えば、第４のエントリ３４は、第２のキーＫＩＤ２が、キー値ＫＥＹ＝２００をもつということを示す。以下でさらに詳述する処理の後に、キー値ＫＥＹ＝２００をもつ第２のキーＫＩＤ２は、ネットワークにおいて、もはや使用しないものと仮定される。この処理は、最終的に、キー値ＫＥＹ＝１００をもつ第１のキーＫＩＤ１を使用して、エントリ３４をエントリ３５に置き換える結果となる。
【００４４】
同様に、第３のデータベース１５−３は、第６のエントリ３６を含む。第６のエントリ３６は、第３のＰＥルータ１１−３上で、第３のサービスアクセスポイント４３（ＳＡＰ３）を、第３のインターフェースポート６３（Ｐ３）、ＶＰＬＳサービスＳＶＣ、トンネルＴ２、および第１のキーＫＩＤ１の識別子と関連付ける。第３のデータベース１５−３内の第７のエントリ３７は、第１のキーＫＩＤ１の１つまたは複数のパラメータを含む。例えば、第７のエントリ３７は、第１のキーＫＩＤ１が、キー値ＫＥＹ＝１００をもつということを示す。
【００４５】
さらに図１を参照すると、通信ネットワーク１０は、管理エンティティ１４を含んでいる。管理エンティティ１４は、制御接続１６およびＭＰＬＳネットワーク１２を介して、ＰＥルータ１１−１から１１−３に、通信可能に結合されている。通常、管理エンティティ１４は、運用、管理、および保守（Ｏｐｅｒａｔｉｏｎ，Ａｄｍｉｎｉｓｔｒａｔｉｏｎ  ａｎｄ  Ｍａｉｎｔｅｎａｎｃｅ：ＯＡＭ）タイプの機能、ならびに、ＭＰＬＳネットワーク１２における、ＰＥルータ１１−１から１１−３などのネットワーク要素上のセキュアサービス構成機能を実行可能な、ネットワーク管理システムとなる。管理エンティティ１４のこの機能は、機器、サービス、およびイベント関連のプロビジョニングのレポートを、ＭＰＬＳネットワーク１２のネットワーク要素から受信する機能を含む。管理エンティティ１４は、管理データベース１９を含む。管理データベース１９は、第１および第２のキーＫＩＤ１、ＫＩＤ２の識別子、ならびにそれらのキーに関連付けられたキー値のためのエントリを含んでいる。
【００４６】
また、通信ネットワーク１０は、サービスプラットフォーム１８を含む。サービスプラットフォーム１８は、オープンオペレーティングシステム（ＯＳ）インターフェース２０を介して、管理エンティティ１４に、通信可能に結合されている。オープンＯＳインターフェース２０を使用することにより、サービスプラットフォーム１８は、イベント通知２２にアクセスする。イベント通知２２は、ネットワーク要素からのイベントレポートに関連するイベント通知を含んでいる。さらに、オープンＯＳインターフェース２０を使用することにより、サービスプラットフォーム１８は、制御コマンド２４を、管理エンティティ１４に対して発行することができる。管理エンティティ１４は、ＰＥルータ１１−１から１１−３にてプロビジョニングの変更を有効にするためのコマンドを含んでいる。サービスプラットフォーム１８は、通常、ラップトップもしくはデスクトップコンピュータ、またはワークステーションとなる。オープンＯＳインターフェース２０は、例示的に、拡張可能なマーク付け言語（Ｅｘｔｅｎｓｉｂｌｅ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ：ＸＭＬ）インターフェースとするが、その他のタイプのメッセージインターフェースを使用することもできる。
【００４７】
サービスプラットフォーム１８は、サービスアプリケーション２６を実行する。サービスアプリケーション２６は、サービスプラットフォーム１８上でサービスデータベース２８と通信しているが、サービスデータベース２８を管理エンティティ１４上に存在させて、オープンＯＳインターフェース２０をつうじてアクセスすることもできる。サービスアプリケーション２６は、本発明の実施形態によるサービス構成方法を実装する、ソフトウェアプログラムである。サービスデータベース２８は、その方法により導出されたキーグループに関する情報を含む。例えば、この情報は、第１のキーグループＫＧ１用の第８のエントリ３８、および第２のキーグループＫＧ２用の第９のエントリ３９を含む。
【００４８】
第８のエントリ３８が示すように、第１のキーグループＫＧ１は、第１および第３のＰＥルータ１１−１および１１−３、ならびにキー値ＫＥＹ＝１００をもつキーＫＩＤ１に関連付けられる。第１および第３のＰＥルータは、キーグループの文脈において、それぞれＲ１およびＲ３とも表現される。
【００４９】
第９のエントリ３９が示すように、第２のキーグループＫＧ２は、第２のＰＥルータ１１−２、およびキー値ＫＥＹ＝２００をもつキーＫＩＤ２に関連付けられる。第２のＰＥルータは、キーグループの文脈において、Ｒ２とも表現される。
【００５０】
したがって、トンネルＴ１およびＴ２は、それらに関連付けられた異なるキーをもつことは明白である。先に触れたように、キーＫＩＤ２は、通信ネットワーク１０において、もはや使用しないものと仮定する。トンネルＴ１に関して、キーＫＩＤ２は、キーＫＩＤ１に置き換えられることになる。
【００５１】
追加となる第１０のエントリ４０は、サービスデータベース２８内で、第８および第９のエントリ３８および３９に置き換わる。第１０のエントリ４０は、第１のキーグループＫＧ１を再定義し、それにより、第１のキーグループＫＧ１は、第１、第２、および第３のＰＥルータ１１−１、１１−２、および１１−３、ならびにキー値ＫＥＹ＝１００をもつキーＫＩＤ１に関連付けられる。この再定義されたキーグループＫＧ１は、トンネルＴ１およびＴ２が、同一のキーＫＧ１を使用して動作していることを保証する。
【００５２】
キーグループＫＧ１およびＫＧ２を生成するために実行され得る例示的ステップは、後に図２を参照しながら、より詳細に説明する。
【００５３】
再定義されたキーグループＫＧ１を生成した後に、サービスアプリケーション２６は、制御コマンド２４を管理エンティティ１４に対して発行して、ＰＥルータ１１−１上のデータベース１５−１におけるエントリ３１および３２内のキー識別子と、ＰＥルータ１１−２上のデータベース１５−２におけるエントリ３３および３４内のキー識別子と、ＰＥルータ１１−３上のデータベース１５−３におけるエントリ３６および３７内のキー識別子とを、ＫＧ１用のキーグループ識別子に置き換える。このことは、図１において、これらの各エントリに隣接したＫＧ１矢印によって示されている。この再構成の結果、エントリは、サービスアクセスポイント４１、４２、および４３が、キーＫＩＤ１（キー値ＫＥＹ＝１００）をもつ、再定義されたキーグループＫＧ１に関連付けられたことを示している。
【００５４】
場合によっては、トンネルが割り当てられたキーグループに関連付けられたキーのキー値が、すでにルータ上に存在してもよい。これは、図１の実施形態におけるルータ１１−１および１１−３上のキーＫＩＤ１にあてはまる。また、以前にトンネルと関連付けられたキーは、対応するルータ上で、その他のトンネルとは関連付けられていない場合、そのルータから削除することができる。よって、この例では、キーＫＩＤ２に関連するエントリ３４は、ＰＥルータ１１−２上のデータベース１５−２から削除することができる。このエントリ３４は、図示するように、キーグループＫＧ１を識別するエントリ３５に置き換えられる。
【００５５】
使用していないキーを、管理エンティティ１４の管理データベース１９から削除することもできる。例えば、キーＫＩＤ２は、管理データベース１９内の対応するエントリを削除することによって、消去することができる。同様に、キーグループＫＧ２を定義するエントリ３９は、サービスデータベース２８内のキーグループのセットから削除することができる。
【００５６】
図２を参照しながら、ＰＳＮまたはその他のタイプの通信ネットワーク内で、セキュアサービスを構成する方法２００を、以下に説明する。図１も補助的に参照する。方法２００は、図示するように、ステップ２０２から２１４を含む。
【００５７】
最初のステップ２０２は、サービス構成の一部として実行される動作によって影響を受ける可能性のあるルータを決定する。この決定は、サービスプラットフォーム１８または管理エンティティ１４での、ユーザ入力に由来するものであってよい。例えば、オペレータは、影響を受けるＰＥルータ１１−１から１１−３を指定することができる。
【００５８】
追加的または代替的に、影響を受けるルータは、サービスアプリケーション２６により、オープンＯＳインターフェース２０を介して受信されたイベント通知２２から導出されてもよい。この場合、サービスアプリケーション２６は、イベント通知２２をチェックして、それらのうちにＰＥルータ１１−１から１１−３での、または管理エンティティ１４でのキーのプロビジョニングに関連するものがあるかを決定することになる。肯定されると、影響を受けるルータは、直接的にイベント通知２２において明示されていようが、間接的に管理データベース１９またはサービスデータベース２８に格納された情報を介してであろうが、イベント通知２２から決定されることになる。サービスアプリケーション２６は、制御コマンド２４を管理エンティティ１４に追加で送信して、管理エンティティ１４に、何らかの関連するキープロビジョニング情報を、イベント通知２２に関連する任意のルータから、または管理エンティティ１４自身から抽出させることができる。
【００５９】
次いで、本方法はステップ２０４に進み、サービス構成の一部として実行される動作によって影響を受ける可能性のあるトンネルを決定する。通常、影響を受けるトンネルの決定は、ステップ２０２における、影響を受けるルータの決定に基づいて行われることになる。例えば、サービスアプリケーション２６は、制御コマンド２４を管理エンティティ１４に送信して、影響を受けるルータにプロビジョニングされるサービスおよびトンネルがどれかをクエリすることになる。しかし、ステップ２０２での決定と同様に、ステップ２０４における決定は、サービスプラットフォーム１８または管理エンティティ１４でのユーザ入力に由来するものであってよい。例えば、オペレータは、影響を受けるトンネルＴ１およびＴ２、ことによると、影響を受けるサービスアクセスポイント４１、４２、および４３も指定することができる。追加的または代替的に、影響を受けるトンネルと、場合によっては影響を受けるサービスアクセスポイントとが、サービスアプリケーション２６により、オープンＯＳインターフェース２０を介して受信されたイベント通知２２から導出されてもよい。したがって、後の２つの場合はどちらも、影響を受けるルータを決定する最初のステップ２０２を、方法２００から省くことが可能である。
【００６０】
次いで、本方法はステップ２０６に進み、影響を受けるトンネルに関するキー情報を取得する。例えば、サービスアプリケーション２６は、制御コマンド２４を発行して、管理エンティティ１４に、エントリ３１、３２、３３、３４、３６、および３７内にあるようなキー情報を求めて、ネットワークルータ１１−１から１１−３をクエリさせるとともに、そのキー情報をサービスアプリケーション２６に提供させることができる。
【００６１】
次いで、本方法はステップ２０８に進み、影響を受ける各トンネルが、先のステップ２０６において取得したキー情報に応じて、既存または新規キーグループに割り当てられる。ステップ２０８は、サービスアプリケーション２６により、与えられた任意のトンネル上で実行することができる。このステップは、まず、取得したキー情報を、サービスデータベース２８内の既存キーグループのキー情報と比較することによって実行される。図１と併せて先に説明したように、キー情報は、キー識別子および関連付けられたキー値を備えることができる。
【００６２】
マッチするキーグループが見つかった場合、トンネルはそのマッチするキーグループに割り当てられ、それ以外の場合には、新規キーグループが作成され、トンネルはその新規キーグループに割り当てられる。例えば、トンネルＴ１の場合、トンネルＴ１は、ルータ１１−１上でサービスアクセスポイント４１およびキーＫＩＤ１と関連付けられるとともに、ルータ１１−２上でサービスアクセスポイント４２およびキーＫＩＤ２と関連付けられる。
【００６３】
この場合、ＫＧ１がルータ１１−１と関連付けられたキーＫＩＤ１を含み、ＫＧ２がルータ１１−２と関連付けられたキーＫＩＤ２を含むので、ＫＧ１およびＫＧ２はともに、トンネルＴ１についてマッチするキーグループと見なされる。しかし、この例では、キーグループＫＧ１が選択される。なぜなら、キーグループＫＧ１は、キーグループＫＧ２よりも多数のルータに関連付けられているからである。よって、トンネルＴ１は、値ＫＥＹ＝１００をもつキーＫＩＤ１を含む、キーグループＫＧ１に割り当てられる。したがって、サービスアプリケーション２６は、第２のサービスアクセスポイント４２およびトンネルＴ１を、第１のキーグループＫＧ１に割り当てる。キーグループＫＧ２とマッチする、値ＫＥＹ＝２００をもつ第２のキーＫＩＤ２は、もはやトンネルＴ１とは関連付けられない。
【００６４】
ステップ２０８における割り当ての後に、第１のサービスアクセスポイント４１およびトンネルＴ１、Ｔ２が、ルータ１１−１上で第１のキーグループＫＧ１に割り当てられ、第２のサービスアクセスポイント４２およびトンネルＴ１が、ルータ１１−２上で第１のキーグループＫＧ１に割り当てられ、第３のサービスアクセスポイント４３およびトンネルＴ２が、ルータ１１−２上で第１のキーグループＫＧ１に割り当てられる。よって、キーグループＫＧ１に割り当てられたトンネルＴ１およびＴ２はともに、値ＫＥＹ＝１００をもつキーＫＩＤ１を利用することになる。
【００６５】
各キーグループ、およびそれらに割り当てられた各トンネルに関して、本方法は次にステップ２１０に進み、割り当てられたキーグループに関連付けられたキーの識別子を有する各ルータ上で、トンネルのプロビジョニング情報を更新し、同様に、関連付けられたキーのキー情報を、そのルータ上で更新または追加する。
【００６６】
例えば、サービスアプリケーション２６は、制御コマンド２４を発行して、管理エンティティ１４に、ルータ１１−１上の第１のエントリ３１内の、第１のサービスアクセスポイント４１ならびにトンネルＴ１およびＴ２のプロビジョニング情報を更新させる。この更新は、第１のキーＫＩＤ１の識別子を、キーグループＫＧ１の識別子に置き換えることによって行われる。同様にして、ルータ１１−２上の第３のエントリ３３内の、第２のサービスアクセスポイント４２およびトンネルＴ１のプロビジョニング情報が、第２のキーＫＩＤ２の識別子を、キーグループＫＧ１の識別子に置き換えることによって更新される。同じく、ルータ１１−３上の第６のエントリ３６内の、第３のサービスアクセスポイント４３およびトンネルＴ２のプロビジョニング情報は、第１のキーＫＩＤ１の識別子を、キーグループＫＧ１の識別子に置き換えることによって更新される。キーグループ識別子ＫＧ１との関連付けを行うために、エントリ３２および３７において、同様の識別子更新がなされてもよい。また、ＫＩＤ１に関連付けられたエントリ３４は削除され、ＫＧ１に関連付けられたエントリ３５に置き換えられる。
【００６７】
次いで、本方法はステップ２１２に進み、ステップ２１０でのプロビジョニング情報の更新によって影響を受けるルータから、使用していないキーを消去する。例えば、サービスアプリケーション２６は、制御コマンド２４を発行して、管理エンティティ１４に、第４のエントリ３４のキーＫＩＤ２を消去させることができる。前述のように、このエントリは削除され、新しいエントリ３５に置き換えられる。
【００６８】
最後に、ステップ２１４において、使用していないキーは、管理エンティティ１４から消去される。例えば、サービスアプリケーション２６は、制御コマンド２４を発行して、管理エンティティに、その管理データベース１９から第２のキーＫＩＤ２を消去させることができる。
【００６９】
図２には示さないが、サービスデータベース２８内のキーグループの更新または消去に関連付けられた、１つまたは複数の追加ステップを実行することもできる。
【００７０】
図２の個々の処理ステップ、および本明細書で言及した、その他の処理ステップは、単なる例示と見なされるべきであり、他の実施形態では、追加的または代替的ステップが使用されてもよい。例えば、順次実行されるものとして示されたステップは、代わりに、少なくとも部分的に、互いに並行して実行されてもよい。
【００７１】
方法２００を実行することにより、サービスプラットフォーム１８は、ネットワーク全体でより一貫性のある、トンネル両端間でのキーの使用、キー交換に応答するセキュアサービスを再構成するための、ネットワーク管理システムリソースの効率的使用、およびルータとネットワーク管理システムキーの同期維持の容易化など、いくつかの利点を提供する。図１の通信ネットワークを併せて説明した例は、図示を明瞭にするために簡略化されているが、それぞれが多数のトンネルをもつ無数のルータを潜在的に有する大規模ネットワークにおいては、より顕著な利益が得られる。
【００７２】
本発明の実施形態は、一般に、ＭＰＬＳネットワーク、およびセキュアサービスプロビジョニングを含むその他の通信ネットワーク向けに、セキュリティのための暗号化の管理を簡略化する。例えば、暗号化キーの配布は簡略化される。加えて、新たなルータ配備のためのワークフローを、よりたやすく自動化することができる。また、プロビジョニングされ、暗号化され、そして復号されるサービスを示す、サービスプラットフォーム１８のマップ、またはその他のネットワークビューの生成も簡略化される。
【００７３】
他の実施形態では、トンネルは、第１のユーザグループ向けの暗号化キーＡ、および第２のユーザグループ向けの暗号化キーＢを使用して生成されてもよい。同様に、キー、またはその他のタイプのセキュアサービス（少なくとも部分的に１つまたは複数のキーに基づく）の、別個のセットが、複数のユーザグループのそれぞれに対し、配備されてもよい。
【００７４】
本明細書に開示されるタイプの技法を使用して、ネットワーク内でサービスがプロビジョニングされる各ユーザグループが、そのグループ用の適切な暗号化キーをもつトンネルのメッシュ内に留まることを、保証することができる。これらのグループは、ネットワーク内でドメインまたはゾーンとして確立することができる。
【００７５】
図３は、本発明の一実施形態を示す。この実施形態では、システム３００は、複数のドメイン３０２−１および３０２−２（それぞれ、ドメイン１およびドメイン２とも示される）を備えている。ドメイン１は、ＩＰ／ＭＰＬＳネットワーク３０４−１を含む。ＩＰ／ＭＰＬＳネットワーク３０４−１は、ＰＥルータ３０５−１，１および３０５−１，２を含む、複数のＰＥルータ、ならびにその他のルータ、エンドポイント、およびその他の機器を有する。これらの機器の１つ１つは、複数のユーザ３０８−１に関連付けられているものと仮定する。ユーザ３０８−１は、第１の企業の本社（ＨＱ）所在地に関連付けられた、処理プラットフォーム３０９−１，１および３０９−１，２を利用する。
【００７６】
同様に、ドメイン２は、ＩＰ／ＭＰＬＳネットワーク３０４−２を含む。ＩＰ／ＭＰＬＳネットワーク３０４−２は、ＰＥルータ３０５−２，１および３０５−２，２を含む、複数のＰＥルータ、ならびにその他のルータ、エンドポイント、およびその他の機器を有する。これらの機器の１つ１つは、複数のユーザ３０８−２に関連付けられているものと仮定する。ユーザ３０８−２は、第２の企業のＨＱ所在地に関連付けられた、処理プラットフォーム３０９−２，１および３０９−２，２を利用する。
【００７７】
また、各ドメイン３０２−１および３０２−２は、複数のＳＡＰおよび関連付けられたサービスアプリケーションを含む。
【００７８】
本実施形態では、セキュリティオペレータ３１０が、関連付けられたサービスプラットフォームを利用して、ドメイン３０２−１および３０２−２向けの暗号化ルールを制御するものと仮定する。これには、先に説明したタイプの、キーグループベースのプロビジョニングを使用して、異なるグループ用に異なる暗号化キーのセットを確立することを伴う。より具体的には、セキュリティオペレータは、システム３００内の暗号化ルールを確立する。暗号化ルールは、ドメイン１では、キー１およびキー３と示されるキーの、第１のセットの使用法を、ドメイン２では、キー４およびキー５と示されるキーの、第２のセットの使用法を含んでいる。これらの暗号化ルールが、ハッカー３１２を、システム３００のドメイン３０２から隔離する働きをする。
【００７９】
ドメイン３０２−１および３０２−２のそれぞれにおける、ユーザ３０８−１および３０８−２は、カテゴリに基づいてグループ化することもでき、異なるキーを、それぞれのカテゴリに関連付けることができる。例えば、ユーザは、カスタマ、エンジニア、オペレーション、１次サポートなどの、ユーザカテゴリに区分することができる。また、このグループ分けは、サービスプロバイダタスクまたはカスタマタスクなどの、役割に基づいたものとすることができる。サービスオペレータ３１０は、暗号化ルールを制御して、各ドメイン内のアセットセキュリティのために、スコープおよびスパンを実施したり、ユーザインタラクションに関する情報を、ドメインに提供したりしようとする。
【００８０】
異なるユーザ向けの異なるキー配備の別の例として、複数のゾーンをもつ通信ネットワークを検討する。
【００８１】
ゾーン１と示す第１のゾーン内に、暗号化キーＡを使用することになる音声サービスを構成すると仮定する。対応するＳＶＣインスタンスが、そのサービスに関連付けられたルータ上で作成され、ルータ間に新規トンネルが作成される。また、ルータ上のＳＶＣインスタンスは、そのトンネルにバインドされる。次いで、暗号化キーＡが、すべてのトンネルに適用される。同一の暗号化キーＡを使用するように、データサービスが引き続き構成されるのであれば、上記プロセスは繰り返されるものの、新規トンネルは作成されない。代わりに、本明細書に開示される技法は、暗号化キーＡを用いるデータサービス用の、既存トンネルの再使用を容易にする。
【００８２】
ゾーン２と示す第２のゾーン内に、暗号化キーＢを使用することになるデータサービスを構成すると仮定する。対応するＳＶＣインスタンスが、そのサービスに関連付けられたルータ上で作成され、ルータ間に新規トンネルが作成される。また、ルータ上のＳＶＣインスタンスは、そのトンネルにバインドされる。次いで、暗号化キーＢが、すべてのトンネルに適用される。同一の暗号化キーＢを使用するように、映像サービスが引き続き構成されるのであれば、上記プロセスは繰り返されるものの、新規トンネルは作成されない。代わりに、本明細書に開示される技法は、暗号化キーＢを用いる映像サービス用の、既存トンネルの再使用を容易にする。
【００８３】
ゾーン３と示す第３のゾーン内に、ＳＡＰ  Ｌ３暗号化用の暗号化キーＣを使用することになるインターネットサービスを構成すると仮定する。ＳＡＰ  Ｌ３インターフェースはすべてのルータ上に作成され、暗号化キーＣはこれらのインターフェースのすべてに適用される。
【００８４】
こうした配置におけるサービスプラットフォーム１８は、マッチしないキーおよび関連付けられたオーバライドが存在する場合に、それらを表示するように構成することができる。
【００８５】
これらの実施形態におけるサービス変更は、開示される技法の使用をつうじて容易化される。例えば、ゾーン１内の、暗号化キーＡを使用する音声サービスを消去すると仮定する。対応するＳＶＣインスタンスが識別され、関連付けられたルータから削除される。暗号化キーＡを利用するものの、ＳＶＣインスタンスがアタッチされていない暗号化トンネルは、そのとき削除される。
【００８６】
本明細書に開示される、キーグループベースのセキュアサービス制御機能を使用して、発電および配電、ならびにその他多数の官民公益事業会社のアプリケーションにおける、情報セキュリティに関連する規制条件を、容易に満たすことができる。
【００８７】
例えば、米国の新たな規制条件は、発展中の「スマートグリッド」を保護するために、公益事業会社が情報セキュリティへの投資を拡大せざるを得ないものとなろう。また、北米電力信頼度協議会（Ｎｏｒｔｈ  Ａｍｅｒｉｃａｎ  Ｅｌｅｃｔｒｉｃ  Ｒｅｌｉａｂｉｌｉｔｙ  Ｃｏｒｐｏｒａｔｉｏｎ：ＮＥＲＣ）は、ＮＥＲＣ重要インフラ保護（ＮＥＲＣ  Ｃｒｉｔｉｃａｌ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ  Ｐｒｏｔｅｃｔｉｏｎ：ＮＥＲＣ−ＣＩＰ）要件をつうじて、セキュリティのための国家標準を定義している。暗号化および認証は、その要件の重要な側面である。同じく、準用のために、同様の要件が世界中で見受けられる。国際電気標準会議（Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｅｌｅｃｔｒｏｔｅｃｈｎｉｃａｌ  Ｃｏｍｍｉｓｓｉｏｎ：ＩＥＣ）をつうじた仕様および要件は、その例である。上記のように、本発明の実施形態を使用して、これらの、およびその他の規制条件を、容易に満たすことができる。
【００８８】
図４には、発電および配電システム４００における、キーグループを利用する本発明の実施形態が示されている。システム４００は、複数のルータをもつ通信ネットワークを含む。これらのルータは、より具体的には、異なるタイプのサービスアグリゲーションルータ（ＳＡＲ）として実装されている。これらは、例示的に、ＳＡＲ−１８、ＳＡＲ−８、ＳＡＲ−Ｈｃ、およびＳＡＲ−Ｈと示されるＳＡＲ（アルカテル・ルーセント社から市販されている、製品番号７７０５として登録されているタイプのものとすることができる）を含むが、他の実施形態では、その他のタイプおよび配置のルータを使用してもよい。ルータは、システム要素を相互接続するために使用される。このシステム要素には、各中央ロケーションに位置するネットワークオペレーションセンタ（ＮＯＣ）４０２−１および４０２−２、送電変電所４０４、発電プラント４０６、ならびに配電変電所４０８が含まれる。
【００８９】
各ＳＡＲは、通信ネットワークのノードと見なすことができる。ネットワーク内で、どのキーが、どのノードに存在しているかを識別するために、キーグループパーティションが使用される。本実施形態におけるキーグループは、例示的に、制御キーグループ４１０、送電キーグループ４１２、配電キーグループ４１４、ならびに第１および第２のフィールドエリアネットワーク（ＦＡＮ）キーグループ４１６−１および４１６−２を備える。１つまたは複数のキーからなる別個のセットを、各ネットワークノードにプロビジョニングすることができる。このプロビジョニングは、これらのキーグループを使用することにより、あるいは、図１および図２を併せて、先に説明したのと同様の方法で、サービスプラットフォームおよび関連付けられた管理エンティティを使用することにより行われる。
【００９０】
ＦＡＮキーグループ４１６は、在宅ユーザ４２０および企業ユーザ４２１などのエンドユーザ、ならびに風力エネルギー源４２２などの追加的エネルギー源に関連付けられている。システム３００において、ユーザ４２０および４２１は、太陽光施設、またはその他のユーザベースのエネルギー源をつうじて、電力の送り手兼受け手となることができる。
【００９１】
この例では、キーグループをセキュリティヒエラルキ内に配置することができ、暗号化キーをもつ制御キーグループ４１０がセキュリティの最高レベルに関連付けられ、以下、送電キーグループ４１２、配電キーグループ４１４、そして第１および第２のＦＡＮキーグループ４１６−１および４１６−２と続く。よって、そのような配置においては、ＦＡＮキーグループ４１６のノードは、通信ネットワークのより重要なコンポーネントに対するキーは含まない。
【００９２】
図３および図４に示される、ネットワークおよびシステムコンポーネントの特定の配置は、単なる例示にすぎず、いかなる形においても限定と解釈すべきではないことが認められよう。他の実施形態では、その他多数のネットワークおよびシステム構成が使用されてもよい。
【００９３】
ここで、図５を参照すると、通信ネットワークのルータを備える所与のノード上でのキーグループ管理のための、例示的プロセスが示されている。例示されているプロセスは、より具体的には、ネットワーク内で実装される、キー変更（ｒｅｋｅｙｉｎｇ）手順を備えていると見なすことができる。
【００９４】
このプロセスでは、サービスポータル５００が、セキュア接続５０２を介して、ルータ５０４と通信する。本実施形態におけるサービスポータル５００は、一般に、図１のサービスプラットフォーム１８に相当するものと見なすことができる。いくつかの実施形態では、サービスポータル５００、および本明細書で言及した、その他のタイプのサービスプラットフォームには、図１の管理エンティティ１４などの、関連付けられた管理エンティティを、ネットワークの別コンポーネントとして実装されている管理エンティティの代わりに組み込むことができる。したがって、本明細書で使用される「サービスプラットフォーム」という用語は、例えば、管理エンティティを含み得るサービスポータルも、管理エンティティを含み得ないサービスポータルも包含するように、広義に解釈されることを意図している。
【００９５】
図５に示すプロセスは、ステップ１からステップ４と示される、４つの異なるステップを備える。これらのステップは、関連付けられた管理エンティティと組み合わせて動作している可能性もあるサービスポータル５００によって、主に実行されるが、他の実施形態では、少なくとも部分的に、その他のコンポーネントによって実行されてもよい。
【００９６】
ステップ１において、サービスポータル５００は、セキュア接続５０２を、ルータ５０４へのセキュアシェル（ＳＳＨ）接続としてオープンする。ルータ５０４は、例えば、図４のシステム４００のＳＡＲのうちの１つを構成することができる。上記のように、ルータ５０４は、通信ネットワークのノードとも表現される。
【００９７】
ステップ２において、新たなキーが、ノード上の１つまたは複数のキーグループに追加され、各キーグループのキー値が、キーグループごとに算出されたチェックサムを使用して検証される。図示するように、例示的キーグループＸは、暗号化アルゴリズム、認証アルゴリズム、およびエグレスサービスパラメータインデックス／識別子（ＳｐＩｄ）を指定する情報を備えることができる。他の実施形態では、１つまたは複数のセキュアサービスに関連する、その他の情報を、所与のキーグループに関連付けてもよい。
【００９８】
キーグループ１用のライブキーの、可能なセットの１つが、複数のＳｐＩｄ（ＳｐＩｄ１からＳｐＩｄ４と示される）の各々に対する個別の暗号化および認証キーを備えるものとして、例示的に示されている。暗号化キーは、ＥｎｃＫｅｙ−ｘｘｘｘという形式であり、認証キーはＡｕｔｈＫｅｙ−ｙｙｙｙという形式である。暗号化や復号などの動作を実行するために使用中のカレントキーは、サービスポータル５００によって変更されずに、それらのエグレスＳｐＩｄのままにされている。ネットワークのどこにおいても、もはや使用していないキーは、先に説明したのと同様の方法で、削除することができる。
【００９９】
ステップ３において、サービスポータル５００は、ネットワーク全体の、その他のノード上で、ステップ１およびステップ２を自動的に繰り返し実行するとともに、セキュアサービス機能を有する、ネットワークのすべてのノードが更新されており、カレントキーグループ、およびそれらに関連付けられたキーを反映しているかを検証する。
【０１００】
ステップ４において、サービスポータル５００は、すべてのノードに対して、新規エグレスＳｐＩｄをセットし、古いキーがあれば削除する。このステップは、ネットワーク内の適切なノードの各々に対して、自動的に実行されてもよい。ノードは、暗号化データを、キーグループ内の任意の有効キー、または新規エグレスＳｐＩｄに関連付けられた任意のキーから受信することができる。
【０１０１】
図６は、初期設定用のセキュアなロケーションを使用して、暗号化用となる、所与のネットワークノードをセキュアにするためのプロセスを示している。本実施形態では、サービスポータル６００を使用して、セキュアネットワーク６０４を介した、新規ルータ６０２をセキュアにする。セキュアネットワーク６０４は、例示的に、部分６０４Ａおよび６０４Ｂを含み、それらは部分的に、互いが重なり合っていてもよい。サービスポータル６００は、中央ロケーションのＮＯＣ６１０にて実装され、セキュアネットワーク部分６０４Ａおよび６０４Ｂのそれぞれを介して、送電変電所６１２および配電変電所６１５と通信するものと仮定する。
【０１０２】
新規ルータは、設定のために、まず、送電変電所６１２に関連付けられた、セキュア境界線６０５内に配置される。その後、セキュアノードとして接続するために、セキュアネットワーク部分６０４Ｂへのセキュアなリンクを介して、配電変電所６１５に再配置される。このようなシナリオは、セキュリティ境界線、およびその境界線内のノード管理を指定するＮＥＲＣ−ＣＩＰ要件に伴い、公益事業にとって共通化されるものと期待される。セキュア境界線６０５は、例えば、送電変電所６１２、またはＮＯＣなどの、その他の施設内に、セキュアなバッジアクセス通信室を含むことができる。
【０１０３】
図６に示すプロセスは、ステップ１およびステップ２と示される、２つの異なるステップを備える。これらのステップは、関連付けられた管理エンティティと組み合わせて動作している可能性もあるサービスポータル６００によって、主に実行されるが、他の実施形態では、少なくとも部分的に、その他のコンポーネントによって実行されると仮定する。サービスポータルは、本図においてＳＰとも表現される。
【０１０４】
ステップ１において、新規ルータ６０２は、セキュア境界線６０５によって境界付けられたＮＥＲＣ−ＣＩＰ対応ロケーション内の、既存のセキュアネットワーク部分６０４Ａに、物理的に接続される。システムＩＰアドレス、システムキー、ＳＮＭＰｖ３キー、ならびに適正なセキュリティ認証およびアクセスを有する、すべてのユーザアカウントおよび関連付けられたパスワードなどの情報は、ルータにダウンロードされる。また、ルータは、ネットワークとの最初の通信をサポートするのに十分な、構成情報を含むものと仮定する。サービスポータル６００は、１つまたは複数の新規ロケーションへのスタティックルートが、そのような任意の新規ロケーションに隣接する、境界ノード上に構成されることを保証する。
【０１０５】
ステップ２において、インストーラが、新規ルータ６０２を、配電変電所６１５の新規ロケーションに編入し、その通信ポートを、セキュアネットワーク部分６０４Ｂに接続する。サービスポータル６００は、そのノードを発見し、ＳＳＨを使用して、暗号化キーの更新を実行する。これには、例えば、サービスポータルが、ＳＮＭＰｖ３キーを使用して、新たなインターフェース上で、Ｌ３暗号化をイネーブルにすることを必要とする場合がある。このとき、新規ロケーションは、ルータ６０２および１つまたは複数のキー６２０を使用するデータ暗号化に関して、セキュアであると見なされる。新たなセキュアサービスのさらなる設定には、ルータをイネーブルにすることが必要となる。
【０１０６】
図７は、インストールロケーションをセキュアにすることにより、暗号化用となる、所与のネットワークノードをセキュアにするためのプロセスを示している。これは、ＮＥＲＣ−ＣＩＰ要件に伴い、公益事業にとって共通化されることが期待されるシナリオの、別の例である。
【０１０７】
本実施形態では、サービスポータル７００を使用して、セキュアネットワーク７０４を介した、新規ルータ７０２をセキュアにする。サービスポータル７００は、中央ロケーションのＮＯＣ７１０にて実装され、セキュアネットワーク部分７０４を介して、配電変電所７１５と通信するものと仮定する。図示するように、新規ルータ７０２は、まず、ネットワーク７０４への、セキュアでないリンク上に、新規ノードとして配備される。
【０１０８】
図７に示すプロセスは、ステップ１、ステップ２、およびステップ３と示される、３つの異なるステップを備える。これらのステップは、関連付けられた管理エンティティと組み合わせて動作している可能性もあるサービスポータル７００によって、主に実行されると仮定するが、他の実施形態では、少なくとも部分的に、その他のコンポーネントによって実行されてもよい。やはり、サービスポータルは、本図においてＳＰとも表現される。
【０１０９】
ステップ１において、新規ルータ７０２のインストーラは、サービスポータル７００に到達するために、ＩＰアドレスおよびデフォルトルートを入力し、ＳＳＨをイネーブルにする。インストーラは、認証のためのユーザネームおよびパスワードを、任意で入力する。サービスポータル７００は、セキュアネットワーク７０４を経由して、隣接するセキュアなノードから新規ノードに向かう、スタティックルートを構成する。次いで、サービスポータル７００は、新規ノードを発見し、所望であれば、インストーラを認証し、そして、ワークフローを自動化する。
【０１１０】
ステップ２において、サービスポータル７００は、ＳＳＨセッションをオープンし、システムキー、ＳＮＭＰｖ３キー、ならびに適正なセキュリティ認証およびアクセスを有する、すべてのユーザアカウントおよび関連付けられたパスワード（例えば、「Ａｄｍｉｎ  Ａｄｍｉｎ」は除かれる）を構成する。新しい構成は、その構成ファイルを暗号化するために、システムキー７２５を使用してセーブされる。ノード、およびそのノードに対する、サービスポータルからのすべての通信はセキュアであるものの、本プロセスのこの時点では、リンクはまだ、セキュアでないと見なされる。
【０１１１】
ステップ３において、サービスポータル７００は、ＳＳＨを使用して、暗号化キーの更新を実行する。これには、例えば、サービスポータルが、ＳＮＭＰｖ３キーを使用して、新たなインターフェース上で、Ｌ３暗号化をイネーブルにすることを必要とする場合がある。このとき、新規ルータ６０２は、１つまたは複数のキー７３０を使用するデータ暗号化に関して、セキュアであると見なされる。新たなセキュアサービスのさらなる設定には、ルータをイネーブルにすることが必要となる。この時点で、新規ルータ７０２を備えるノード、およびセキュアネットワーク７０４に対するそのリンクはともに、セキュアであると見なされる。
【０１１２】
図５、図６、および図７の実施形態において示された特定のステップは、例示として提示されたにすぎず、他の実施形態では、多数の追加的または代替的処理ステップが使用されてもよい。例えば、先に示したように、図５、図６、および図７の実施形態において、順次実行されるものとして例示的に示されたステップは、他の実施形態では、少なくとも部分的に、互いに並行して実行されてもよい。また、他の実施形態では、いくつかのステップの順序が変更されてもよい。
【０１１３】
他の実施形態では、他のタイプの通信サービスまたはプロトコルを利用することもできる。例えば、参照により本明細書に組み込まれている、インターネット技術タスクフォース（ＩＥＴＦ）リクエストフォーコメンツ（ＲＦＣ）４３６４、タイトル「ＢＧＰ／ＭＰＬＳ  ＩＰ  Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋｓ（ＶＰＮｓ）」において開示される技法に従い、仮想プライベートネットワーク（ＶＰＮ）サービスを実装するために、通信ネットワーク１０を使用することができる。ＩＰｖ６ネットワーク内のＶＰＮに関する付随標準は、ＲＦＣ４６５９、タイトル「ＢＧＰ−ＭＰＬＳ  ＩＰ  Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ（ＶＰＮ）  Ｅｘｔｅｎｓｉｏｎ  ｆｏｒ  ＩＰｖ６  ＶＰＮ」であり、同じく参照により本明細書に組み込まれている。ＲＦＣ４３６４およびＲＦＣ４６５９に従って構成されたＶＰＮは、トンネルを介してカスタマサイトを接続し、ＩＰユニキャストパケットが、あるカスタマサイトから、別のカスタマサイトへ進行することを可能にする。ＲＦＣ４３６４およびＲＦＣ４６５９において定義されるユニキャストＶＰＮサービスは、参照により本明細書に組み込まれている、ＲＦＣ６５１３、タイトル「Ｍｕｌｔｉｃａｓｔ  ｉｎ  ＭＰＬＳ／ＢＧＰ  ＩＰ  ＶＰＮｓ」において開示される技法を使用して、ＩＰマルチキャストトラフィックの操作機能を含むように拡張することができる。ＲＦＣ６５１３に従って構成されたＶＰＮは、本明細書において、広くマルチキャストＶＰＮ（ＭＶＰＮ）と表現されるものの例と見なされる。そのようなＭＶＰＮは、通常、カスタマサイト間のＩＰマルチキャストパケットの送信を、マルチキャストトンネルを使用してサポートするように構成される。
【０１１４】
図１の実施形態における、ルータ１１−１、１１−２、および１１−３は、ネットワーク１００の各ノードの例と見なすことができる。他の実施形態では、その他の多数のタイプおよび配置のノードを使用することもできる。本明細書で使用される「ノード」という用語は、広義に解釈されることを意図しており、したがって、例えば、ネットワークデバイス全体、またはネットワークデバイスの１つまたは複数のコンポーネントを備えることができる。「ルータ」という用語は、広義に解釈されることを意図しており、ＰＥルータまたはＳＡＲなど、特定のルータのタイプに限定されるものと見なすべきではない。
【０１１５】
通信ネットワーク１０のノードは、固定型でも移動型でもよい。よって、所与の通信ネットワークにおいて、固定型および移動型ノードの様々な組合せを使用することができると同時に、他のネットワークが備えるノードを、すべて固定型とすることも、またはすべて移動型とすることもできる。所与の通信ネットワークにおける各ノードを、実質的に同一の方法で構成することも、または所与のネットワーク内のノードの、異なるサブセット用に異なる構成を使用することもできる。
【０１１６】
本明細書に開示されるいくつかの実施形態については、こうしたノードの各々は、別個のネットワークデバイスに相当することを前提としている。ネットワークデバイスには、ルータ、スイッチ、コンピュータ、またはその他の処理デバイスを、いかなる組合せにおいても含むことができる。所与のネットワークデバイスは、一般に、プロセッサ、およびそのプロセッサに結合されたメモリ、ならびに、ネットワークデバイスが他のネットワークデバイスと通信することを可能にする、１つまたは複数のトランシーバ、または他のタイプのネットワークインターフェース回路を含むことになる。したがって、通信ネットワーク１０のＰＥルータ１１−１、１１−２、および１１−３は、本明細書において、広く「ネットワークデバイス」と表現されるものの例と見なされる。
【０１１７】
また、本明細書で使用される「トンネル」という用語は、広義に解釈されることを意図しており、図１を併せて参照された、例示的擬似回線トンネルに限定されるものと見なすべきではない。開示された技法は、多種多様な異なるタイプのトンネルに、広く適用可能である。例えば、ＲＦＣ６５１３に従って、通常はＰＥルータのペア間に確立されることになるトンネルは、プロバイダマルチキャストサービスインターフェース（ＰＭＳＩ）のＰトンネルを含む。ＰＭＳＩは、インクルーシブＰＭＳＩ（Ｉ−ＰＭＳＩ）またはセレクティブＰＭＳＩ（Ｓ−ＰＭＳＩ）を構成することができる。暗号化を施され得る、その他の多数のタイプのトンネルを使用することができる。
【０１１８】
図１に示されるコンポーネントの特定の配置は単なる例示にすぎず、他の実施形態では、多数の代替的ネットワーク構成を使用できることが認められよう。例えば、異なるタイプおよび配置のルータ、またはその他のネットワークデバイス、およびその他の通信プロトコルによる多数の他タイプのメッセージングを使用することができる。
【０１１９】
ルータまたは他のネットワークデバイスの各々は、プロセッサおよびメモリを備えることができる。こうしたネットワークデバイスのプロセッサは、マイクロプロセッサ、マイクロコントローラ、特定用途向け集積回路（Ａｐｐｌｉｃａｔｉｏｎ−Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ：ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、またはその他のタイプの処理回路、ならびにそのような処理回路の一部分または組合せを利用して実装することができる。プロセッサは、１つまたは複数の埋め込みメモリを、内部メモリとして含むことができる。
【０１２０】
プロセッサ、および関連付けられた任意の内部または外部メモリを、対応するネットワークデバイスの動作を制御するための、１つまたは複数のソフトウェアプログラムの記憶および実行に使用することができる。よって、ルータ１１−１、１１−２、および１１−３に関連付けられたいくつかの機能、または、図１の実施形態おける、管理エンティティ１４およびサービスプラットフォーム１８のような、その他のネットワークコンポーネントは、こうしたソフトウェアプログラムを使用して、少なくとも部分的に実装することができる。
【０１２１】
ルータまたはその他のネットワークコンポーネントのメモリは、プログラムコードの記憶用に利用可能な、１つまたは複数の記憶領域を含むことを前提とする。したがって、こうした所与のメモリは、本明細書において、広くコンピュータプログラム製品として表現されるもの、さらに広くは、実行可能なプログラムコードをその中に含む、コンピュータ可読記憶媒体として表現されるものの例と見なすことができる。コンピュータ可読記憶媒体のその他の例には、ディスク、または他のタイプの磁気または光メディアを、いかなる組合せにおいても含むことができる。そのようなコンピュータ可読記憶媒体を備える製品は、本発明の実施形態に該当する。
【０１２２】
メモリには、より具体的には、例えば、スタティックＲＡＭ（ＳＲＡＭ）、ダイナミックＲＡＭ（ＤＲＡＭ）などの電子ランダムアクセスメモリ（ＲＡＭ）、あるいは他のタイプの揮発性または不揮発性電子メモリを含むことができる。後者の例としては、フラッシュメモリ、磁気ＲＡＭ（ＭＲＡＭ）、相変化ＲＡＭ（ＰＣ−ＲＡＭ）、または強誘電体ＲＡＭ（ＦＲＡＭ（登録商標））などの不揮発性メモリが挙げられる。本明細書で使用される「メモリ」という用語は、広義に解釈されることを意図しており、例えば、リードオンリーメモリ（ＲＯＭ）、ディスクベースメモリ、または他のタイプの記憶媒体、ならびに、こうしたデバイスの一部分または組合せを、追加的または代替的に包含することができる。
【０１２３】
プロセッサ、メモリ、トランシーバ、および所与のネットワークデバイスのその他のコンポーネント、または通信ネットワーク１０のその他のコンポーネントは、上記のキーグループ機能を、少なくとも部分的に実装するよう適切に修正された、よく知られている回路を含むことができる。このような回路の従来の態様は、当業者にはよく知られており、したがって、本明細書では詳述しない。
【０１２４】
本明細書に開示される、所与のノードまたは関連付けられたネットワークデバイスは、図１の例示的配置において具体的に示されたコンポーネントおよびモジュール以外の、追加的または代替的コンポーネントおよびモジュールを使用して、実装可能であるということが認められよう。
【０１２５】
上述のように、本発明の実施形態は、ネットワークデバイスの処理回路、または通信ネットワークの他の処理デバイスによって実行される、１つまたは複数のソフトウェアプログラムを各々が備える、製品の形態で実装することができる。
【０１２６】
また、本発明の実施形態は、１つまたは複数のＡＳＩＣ、ＦＰＧＡ、または他のタイプの集積回路デバイスにおいて、いかなる組合せにおいても実装することができる。こうした集積回路デバイス、ならびにその一部分または組合せは、本明細書でいうところの「回路」の例である。
【０１２７】
本発明の実施形態の実装に際して、ハードウェアおよび関連付けられたソフトウェアまたはファームウェアの、多種多様な他の配置を使用することができる。
【０１２８】
本明細書において、いくつかの例示的実施形態を、ＩＰおよびＭＰＬＳなどの特定の通信プロトコルの文脈で説明したが、他の実施形態では、その他のタイプのネットワークを使用してもよい。先に触れたように、本明細書で使用される「ネットワーク」という用語は、したがって、広義に解釈されることを意図している。
【０１２９】
本発明のこれらの、および他の実施形態は、従来の配置に比べて、多数の利点を提供する。例えば、すべてのタイプのデータおよび制御トラフィック、ならびに関連付けられたセキュアサービス（すべてのレイヤ２ＶＰＮおよびレイヤ３ＶＰＮサービス、およびすべてのＩＰ／ＭＰＬＳ制御プレーン機能を含む）に適した、包括的キー管理ソリューションが提供される。ネットワークのいかなる箇所も、攻撃にさらされた状態とはなっていない。すなわち、ハッカーや他の敵対者に、盗聴または学習を許す箇所は存在しない。これらの配置により、キー管理は簡略になり、典型的な通信ネットワークにおいて、本来ならメッシュ化された多数のトンネルに関連付けられたはずの、複雑な設定が完全に回避される。アクセス管理制御がセキュリティオペレータのみに限定されたキーグループを使用して、多数のセキュアなドメインを、たやすく作成および管理することができる。また、キー変更中にトラフィックロスがゼロとなるように、ヒットレスなキー変更を実装することができる。さらに別の利点は、万一ネットワークが停止した場合においても、ネットワークレベルの強力な暗号化が維持できることである。
【０１３０】
上記の実施形態は、例示のみを目的としたものであり、いかなる形においても限定と解釈すべきでないことは、再度強調せねばなるまい。特許請求の範囲に定義される、本発明の範囲を逸脱することなく、多数の修正、変形、および改作が、本発明の上記実施形態に対してなされ得る。例えば、他の実施形態では、異なるタイプのネットワーク、デバイス、およびモジュール構成、ならびにキーグループに基づくキー管理を実装するための代替的通信プロトコルおよび処理ステップを使用することができる。また、例示的実施形態を説明する文脈でなされた個々の仮定は、本発明の要件と解釈すべきではないことを理解されたい。本発明は、これらの個々の仮定が適用されない、他の実施形態においても実装可能である。これらの、および添付の特許請求の範囲内における、その他多数の代替的実施形態は、当業者にとっては一目瞭然であろう。
【図１】
2016531464.tif 000003
【図２】
2016531464.tif 000004
【図３】
2016531464.tif 000005
【図４】
2016531464.tif 000006
【図５】
2016531464.tif 000007
【図６】
2016531464.tif 000008
【図７】
2016531464.tif 000009
【国際調査報告】
2016531464.tif 000010
2016531464.tif 000011