【０００１】
【発明の属する技術分野】
本発明は、単独または複数のサーバーと、ＰＣやワークステーションあるいは専用機により、ネットワークでデータ転送のおこなわれる情報処理システムに関するものである。現在では対コスト効果から通信ネットワークはインターネットを使用することが標準的になりつつある。しかしながら金融業や信用取引き、会計情報、顧客や個人情報などの記憶やデータの送受信を行うために、一部では専用回線が用いられたりしている。しかし専用回線を使った場合でも、いずれかのネットワークの接続先にはＴＣＰ／ＩＰによる標準的なネットワークが繋がっていることがほとんどである。そうした現状を前提として様々なセキュリティ確保や機密性確保の技術が考案されている技術分野である。
【０００２】
【従来の技術】
まったく独自の通信装置と通信プロトコルによってデータ通信する場合は、盗聴や改竄、不正アクセスなどの危険は少なかった。しかし通信先が世界規模で拡大し、データ通信量も肥大し、簡単かつ容易に通信インフラを構築する必要があり、現在ではデータ通信にインターネットを使用することは必然となっている。しかしながらインターネットのように不特定多数のアクセスがなされる環境では、悪意によるネットワークやサーバへの不正侵入がなされる。その防衛手段としてファイアーウォール技術やプロキシーサーバ技術を用いることが一般的である。内部の複数のサーバを外部からは単数のサーバに見せるとか例えば特許文献１参照。）、通信データの盗聴やなりすましによる通信データの不正取得や改竄に対するために電子署名や電子鍵を添付したりしているものもある（例えば特許文献２参照。）。また通信時に固有アドレスを変換するというものもある（例えば特許文献３参照。）。
【０００３】
【特許文献１】
特開２００１−１６０８２２号公報（第１−４頁、第１図）
【特許文献２】
特開平０９−１１６５３２号公報（第１−３頁、第２図）
【特許文献３】
特開２００１−２１１１９６号公報（第１−７頁、第１図）
【０００４】
【発明が解決しようとする課題】
上記の従来の技術では、下記記載の問題点を有している。（１）インターネットと内部ネットワークとの間にファイアーウォールやプロキシーサーバーを設置し防御することで、外部からの不正なアクセスや悪意による攻撃をある程度は防ぐことが可能であるが、内部ネットワークに対しては、そうした危険がないという前提となっている。したがって悪意の有る不正アクセス者がインターネット外にいる場合では良くともネットワーク内部にいる場合には無防備である。（２）インターネットでデータ転送する場合にＶＰＮなどでデータを暗号化しても、データの内容が隠蔽できるのは通信相互に設置したＶＰＮ専用装置やＶＰＮ機能を有するルーターの間だけであり、ローカルなネットワークに入るともとのデータに復号されてしまうのでやはり盗聴される危険が存在してしまう。（３）通信データの盗聴やなりすましによる通信データの不正取得や改竄に対するために電子署名や電子鍵を添付する手段も有効ではあるが、取得したり運用するには、コストを支払い続けねばならない。不特定多数の相手と機密を確保した通信やメールの送受信をする場合には有効では有るものの、特定の相手先との通信や、限定された範囲内でのネットワークではコストがかかりすぎる手段であり、自由度や可搬性に欠けている。本発明では今後ともますます普及することが考えられるインターネットを経由してのデータ通信において、インターネットのワイドエリアネットワーク（以下ＷＡＮ）においても、限定した保護ネットワークである非武装ネットワーク（以下ＤＮＺ）においても、ローカルネットワーク（以下ＬＡＮ）においても、機密性を低コストで確保する方法を提供するものである。
【０００５】
【課題を解決するための手段】
前記目的を達成するために、本発明では機密性の確保を実現しようとするサーバやＰＣのＴＣＰ／ＩＰの制御プログラム（以下プロトコロルスタック）を専用に作成する。それによりあらかじめ設定済みの特定の相手からの通信にのみ応答することで、データ通信のみでなく、機器の存在そのものも隠蔽するものである。それにより悪意の有る不正アクセスする者がＷＡＮ側にいても、ＤＭＺ側にいても、ＬＡＮ側にいても、不正アクセス対象になること自体を大幅に低減させることができる。次に本発明では、あらかじめ設定した情報により、通信データそのものを暗号化して送信する。受信する側もあらかじめ事前に暗号化の情報が設定されているため容易に復号化できる。それにより通信上で盗聴されてもデータの意味が解釈されることがない。またなりすましによるデータの不正取得があっても暗号化されているため安全である。
【０００６】
【発明の実施の形態】
本発明の実施の形態について説明する。本発明では、インターネットを活用しながらセキュリティを確保するために２つの手段を講ずる。１つはセキュリティを確保しなければならないデータの記録されている機器の通信プロトコルスタックを実装すること。もう一つは通信する際にデータの暗号化と復号化を使用するアプリケーションと通信ドライバのソフトウェアで実現することである。
【０００７】
図１は本発明の一実施例であるプロトコルスタックの処理を図示した例である。図１では非常に機密性を高く持たねばならない企業の会計データを管理するデータベースが稼動するサーバ１ １２と、そのデータを扱う会計ソフトウェアクライアントが稼動するＰＣ１ １３と、会計ソフトウェアやデータとは関係しない他の業務で使用するＰＣ２ １４とＰＣ３ １５がＬＡＮ１１に接続されているネットワーク環境を例としている。このネットワーク環境ではサーバ１ １２にアクセスする必要があるのはそのデータを扱う会計ソフトウェアクライアントが稼動するＰＣ１ １３のみである。そこで、サーバ１ １２のＴＣＰ／ＩＰプロトコルスタックの実装では、アクセスに対し応答するのはＰＣ１ １３のみとし、他からのアクセスには一切レスポンスを返さないようにする。具体的には設置導入時に登録するＰＣ１ １３のＭＡＣアドレスとＩＰアドレスを記録し、ネットワークから受信するＩＰパケットの発信元のアドレスと参照し、応答の必要の無いパケットにはグローバルアドレスであっても応答しない。その結果としてあらかじめ登録してあることでサーバ１ １２の存在を知っているクライアントＰＣ１ １３以外からは完全に隠蔽することができる。不正なアクセスを試みる場合は、多くはＰＩＮＧコマンドなどで、ＩＰアドレスなどを網羅的に問い合わせ、その応答を見てから不正アクセスを開始するきっかけとするからである。本発明の場合、ＰＣ２ １４とＰＣ３ １５が仮にサーバ１ １２のＩＰアドレスと同一のＩＰアドレスでＭＡＣアドレスの問い合わせをしても応答は返されない。従ってサーバ１ １２の存在を知っている者以外からは、ＬＡＮ１１にサーバ１ １２が接続されていることを知ることがない。ところで図１ではＬＡＮ３１での例で説明したが、これがインターネットであるＷＡＮであっても同様の効果があることは繰り返して説明するまでもない。
【０００８】
上記のプロトコルスタックの受信に関係する処理の概略フローチャートを図２に示す。ハードウェアのネットワークコントローラからイーサネット（登録商標）フレームの受信が通知されると、受信パケットをメモリ上へ転送して受信処理を開始する。最初にイーサネット（登録商標）ヘッダ部を取り出しプロトコルタイプを調べる。ＭＡＣアドレスとＩＰアドレスの関係を検索するＡＲＰ／ＲＡＲＰプロトコルであれば、応答しない。通常はブロードキャストで検索されているので自分のＭＡＣアドレスまたはＩＰアドレスであれば応答しなければならない。しかし本発明の場合は意識的にネットワークから機密性の高いサーバの存在を隠蔽することを目的とするので応答はしてはならない。ＡＲＰ／ＲＡＲＰプロトコルでなければＩＰヘッダ部を参照してプロトコルを調べる。ＴＣＰであれば、自分のＩＰへのアクセスかを調べ、次にあらかじめ設定された応答を許可されているＰＣからのアクセスかを調べる。ここまで一致した場合はＴＣＰの該当ポートによってパケットの処理を実施する。例えばポート８０番であればＨＴＴＰパケットとして適切な処理を実施する。該当しない場合はやはり何ら応答せずにタイムアウトさせる。本実施例ではＴＣＰパケットでデータ転送する例をあげたが、ＵＤＰでも上記同様な処理によりデータ処理を行うことは重ねて記述するまでもない。さらにプロトコルがＩＣＭＰであればＰＩＮＧによるエコー要求であるので、この場合は絶対に応答してはならない。本実施例のように応答をするパケット以外はすべて何一つ応答してはならない。
【０００９】
図３は本発明の一実施例である暗号化と復号化の処理を図示した例である。図１と同じサーバ１ １２と機密性の高い会計データの送受信をするＰＣ１ １３と、関係しない他の業務で使用するＰＣ２ １４とＰＣ３ １５がＬＡＮ１１に接続されているネットワーク環境を例としている。会計アプリケーションのデータベースを稼動させているサーバ１ １２で、通信を許可するＰＣは必要が発生した都度ＭＡＣアドレスとＩＰアドレスを設定する。同様にアクセスする会計アプリケーションのクライアントとなるＰＣ１ １３でも、サーバ１ １２のＭＡＣアドレスとＩＰアドレスを設定する。図３ではＰＣ１ １３のＭＡＣアドレスはＡＡＡＡＡＡＡＡで、サーバ１ １２のＭＡＣアドレスはＤＤＤＤＤＤＤＤである。会計アプリケーションが使用する通信ソケットプログラムは、設定された情報から暗号化と複合化の処理を行う。例えば送信データを自らのＭＡＣアドレスで暗号化する。受信データは相手先のＭＡＣアドレスで復号する。図３の実施例ではサーバ１ １２からＰＣ１ １３へ転送されるデータ３２はＤＤＤＤＤＤＤＤをキーとして暗号化されてサーバ１ １２の通信プログラムからＴＣＰ／ＩＰプロトコルとしてネットワークへ送出され、受信したＰＣ１ １３は受信データを自らに実装されている通信プログラムで復号化することで、元のデータに復元する。これは逆の通信方向３１でも同様である。ちなみにその際の暗号キーはＡＡＡＡＡＡＡＡを使用する。上記実施例ではＭＡＣアドレスをキーとすることにより暗号化と復号化の例であったが、他の暗号化と復号化の手段を用いることであっても同じ事である。
【００１０】
図４は上記図３で説明した暗号化と復号化のプロトコルモデルの実装例である。サーバ１では必要なプロトコルスタックのみ実装している。他方ＰＣ１ではサーバ１との通信に必要なプロトコルスタックの他にも、ＷＥＢブラウズするためのＨＴＴＰプロトコルやＵＤＰなどの他のプロトコルも実装している。しかしながら会計アプリケーションがデータ通信に使用するのは専用のデータ通信プロトコルで定義したＡＰＩを使用し、データの暗号化や復号化の処理をした上で、ＴＣＰ／ＩＰの通信を行うものである。
【００１１】
以上本発明の実施例を説明してきたが、通常のパスワードによるログオン認証、ＶＰＮなどによるインターネット通信回線の構築、ファイアーウォールやルーターによるＷＡＮ、ＤＭＺ、ＬＡＮに分離した防護壁と組み合わせることで、非常に高度にセキュリティを確保したネットワークデータ通信を実現することができる。これらはシステムの用途や環境により適切に組み合わせるべきものである。
【００１２】
【発明の効果】
本発明により、不正なアクセスを行おうという者がＷＡＮ側のみでなく、例えＬＡＮ側の内部にいたとしても、本発明により機密を確保した装置がいかなるＭＡＣアドレスやＩＰアドレスを割り当てられているのかを知ることが出来ない。したがって不正アクセスをされる危険のきっかけ自体を減らすことができる。またネットワークでやりとりされるデータは特定の者しか知ることがない情報により暗号化されて送受信されるため、盗聴や不正取得にあったとしても、もとのデータに複合化することは困難である。その暗号化の情報はいずれかの機関にライセンスするものではなく、特別費用が発生することがない。以上の本発明を、現在使用されている様々な手立て（例えば通常のパスワードによるログオン認証。ＶＰＮなどによるインターネット通信回線の構築。ファイアーウォールやルーターによる防護壁の設置など）と組み合わせて使用することできわめて堅牢で、かつコストのかからないネットワークデータ転送システムを構築することができる。
【図面の簡単な説明】
【図１】本発明の一実施例であるプロトコルスタックの処理を図示した例。
【図２】本発明の一実施例であるプロトコルスタックの受信に関係する処理の概略フローチャートの例の図。
【図３】本発明の一実施例である暗号化と復号化の処理を図示した例の図。
【図４】本発明の一実施例である暗号化と復号化のプロトコルモデルの例の図。
【符号の説明】
１１：ローカルネットワーク
１２：サーバ１
１３：ＰＣ１
１４：ＰＣ２
１５：ＰＣ３
３１：ＰＣ１からサーバ１へのデータ転送
３２：サーバ１からＰＣ１へのデータ転送[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an information processing system in which data is transferred over a network by a single server or a plurality of servers and a PC, a workstation or a dedicated machine. At present, it is becoming standard to use the Internet as a communication network because of cost effectiveness. However, in order to store financial data, credit transactions, accounting information, customer and personal information, and to send and receive data, some dedicated lines are used. However, even when a dedicated line is used, a standard network based on TCP / IP is usually connected to the connection destination of one of the networks. It is a technical field in which various technologies for ensuring security and confidentiality have been devised on the premise of such a current situation.
[0002]
[Prior art]
When data communication was performed with a completely unique communication device using a communication protocol, there was little risk of eavesdropping, tampering, and unauthorized access. However, the number of communication destinations has expanded worldwide, the amount of data communication has increased, and it is necessary to construct a communication infrastructure easily and easily, and now it is inevitable to use the Internet for data communication. However, in an environment where an unspecified number of accesses are made, such as the Internet, unauthorized intrusion into a network or server is made by malicious intent. Generally, firewall technology or proxy server technology is used as a defense means. See a plurality of internal servers as a single server from the outside. In some cases, an electronic signature or an electronic key is attached to prevent unauthorized acquisition or tampering of communication data by wiretapping or spoofing of communication data (see, for example, Patent Document 2). There is also a technique for converting a unique address during communication (see, for example, Patent Document 3).
[0003]
[Patent Document 1]
JP 2001-160822 A (page 1-4, FIG. 1)
[Patent Document 2]
JP 09-116532 A (page 1-3, FIG. 2)
[Patent Document 3]
JP 2001-2111196 (page 1-7, FIG. 1)
[0004]
[Problems to be solved by the invention]
The above conventional techniques have the following problems. (1) By setting up a firewall or proxy server between the Internet and the internal network to protect it, it is possible to prevent unauthorized access from outside and malicious attacks to some extent. The assumption is that there is no such danger. Therefore, if a malicious unauthorized accessor is outside the Internet, it is defenseless at best when inside the network. (2) Even when data is encrypted with VPN when transferring data over the Internet, the contents of the data can be concealed only between VPN dedicated devices installed in communication and routers having a VPN function. There is a danger of eavesdropping because it is decrypted into the original data when it enters the network. (3) A means for attaching an electronic signature or electronic key to prevent unauthorized acquisition or tampering of communication data due to eavesdropping or spoofing of communication data is also effective. However, in order to acquire and use the data, costs must be paid continuously. It is effective when communicating confidentially with a large number of unspecified parties or sending and receiving e-mails, but it is too expensive for communication with specific destinations and for networks within a limited range. Lacks flexibility and portability. In the present invention, in data communication via the Internet, which is expected to become more popular in the future, both in the wide area network (hereinafter referred to as WAN) of the Internet and in the demilitarized network (hereinafter referred to as DNZ) which is a limited protection network, In a local network (hereinafter referred to as LAN), a method for ensuring confidentiality at a low cost is provided.
[0005]
[Means for Solving the Problems]
In order to achieve the above object, in the present invention, a TCP / IP control program (hereinafter referred to as a protocol stack) of a server or a PC that is to secure confidentiality is created exclusively. Accordingly, by responding only to communication from a specific partner set in advance, not only data communication but also the existence of the device itself is concealed. As a result, it is possible to greatly reduce the number of malicious users who are illegally accessed even if they are on the WAN side, the DMZ side, or the LAN side. Next, in the present invention, the communication data itself is encrypted and transmitted using preset information. The receiving side also can be easily decrypted because encryption information is set in advance. As a result, even if eavesdropping on communication, the meaning of the data is not interpreted. In addition, even if there is illegal data acquisition by impersonation, it is safe because it is encrypted.
[0006]
DETAILED DESCRIPTION OF THE INVENTION
Embodiments of the present invention will be described. In the present invention, two measures are taken to ensure security while utilizing the Internet. One is to implement the communication protocol stack of the device where data that must be secured is recorded. The other is to realize with applications and communication driver software that use data encryption and decryption when communicating.
[0007]
FIG. 1 is an example illustrating a protocol stack process according to an embodiment of the present invention. In FIG. 1, the server 112 for operating the database for managing the accounting data of the company, which must have very high confidentiality, the PC 1 13 for operating the accounting software client for handling the data, and the accounting software and data are not related. A network environment in which PC2 14 and PC3 15 used for other business are connected to the LAN 11 is taken as an example. In this network environment, only the PC 1 13 running the accounting software client that handles the data needs to access the server 1 12. Therefore, in the implementation of the TCP / IP protocol stack of the server 112, only the PC 1 13 responds to the access, and no response is returned to the access from the other. Specifically, the MAC address and IP address of the PC 113 registered at the time of installation are recorded, referred to as the source address of the IP packet received from the network, and a packet that does not require a response may be a global address. Do not respond. As a result, it can be completely hidden from clients other than the client PC 1 13 that knows the existence of the server 1 12 by being registered in advance. This is because, in the case of attempting unauthorized access, in many cases, the PING command or the like is used to comprehensively inquire about the IP address, etc., and the response is viewed as a trigger for starting unauthorized access. In the case of the present invention, even if PC2 14 and PC3 15 make an inquiry about the MAC address with the same IP address as that of the server 1 12, no response is returned. Therefore, a person who knows the existence of the server 1 12 does not know that the server 1 12 is connected to the LAN 11. In FIG. 1, the LAN 31 has been described as an example, but it is needless to say that the same effect can be obtained even if the WAN is the Internet.
[0008]
FIG. 2 shows a schematic flowchart of processing related to reception of the above protocol stack. When the reception of the Ethernet (registered trademark) frame is notified from the hardware network controller, the reception packet is transferred to the memory and the reception process is started. First, the Ethernet (registered trademark) header is taken out and the protocol type is checked. If it is the ARP / RARP protocol for searching the relationship between the MAC address and the IP address, no response is made. Since it is normally searched by broadcast, if it is its own MAC address or IP address, it must respond. However, the purpose of the present invention is to intentionally conceal the existence of a highly confidential server from the network, so it should not respond. If it is not the ARP / RARP protocol, the protocol is checked with reference to the IP header. If it is TCP, it is checked whether it is an access to its own IP, and then it is checked whether the access is from a PC that is permitted a preset response. If there is a match up to this point, the packet is processed by the corresponding port of TCP. For example, in the case of port 80, appropriate processing is performed as an HTTP packet. If not applicable, timeout is made without any response. In this embodiment, an example in which data transfer is performed using a TCP packet has been described, but it is needless to say that data processing is also performed by UDP in the same manner as described above. Furthermore, if the protocol is ICMP, it is an echo request by PING, and in this case, a response must never be made. Nothing should be answered except for packets that respond as in the present embodiment.
[0009]
FIG. 3 shows an example of encryption and decryption processing according to an embodiment of the present invention. An example is a network environment in which a PC 1 13 that transmits and receives highly confidential accounting data to / from the same server 112 as in FIG. 1 and PC 2 14 and PC 3 15 that are used in other unrelated tasks are connected to a LAN 11. In the server 112 running the accounting application database, the PC that permits communication sets the MAC address and the IP address whenever necessary. Similarly, the PC 1 13 serving as the client of the accounting application to be accessed also sets the MAC address and IP address of the server 1 12. In FIG. 3, the MAC address of PC1 13 is AAAAAAAA, and the MAC address of server 1 12 is DDDDDDDDD. The communication socket program used by the accounting application performs encryption and decryption processing from the set information. For example, the transmission data is encrypted with its own MAC address. Received data is decrypted with the other party's MAC address. In the embodiment of FIG. 3, the data 32 transferred from the server 1 12 to the PC 1 13 is encrypted using DDDDDDDDD as a key and sent from the communication program of the server 1 12 to the network as the TCP / IP protocol, and the received PC 1 13 receives it. The original data is restored by decrypting the data with a communication program installed in itself. The same applies to the reverse communication direction 31. Incidentally, AAAAAAAA is used as the encryption key at that time. In the above embodiment, the MAC address is used as a key for encryption and decryption. However, the same thing can be said even when other encryption and decryption means are used.
[0010]
FIG. 4 shows an implementation example of the encryption and decryption protocol model described in FIG. Server 1 implements only the necessary protocol stack. On the other hand, in addition to the protocol stack necessary for communication with the server 1, the PC 1 also implements other protocols such as HTTP protocol and UDP for web browsing. However, the accounting application uses for data communication is an API defined by a dedicated data communication protocol, and performs TCP / IP communication after data encryption and decryption processing.
[0011]
Although the embodiments of the present invention have been described above, it is extremely possible to combine logon authentication with a normal password, construction of an Internet communication line using VPN, etc., and a protective wall separated into WAN, DMZ, and LAN by a firewall or router. Highly secure network data communication can be realized. These should be combined appropriately depending on the application and environment of the system.
[0012]
【The invention's effect】
According to the present invention, what MAC address or IP address is assigned to a device that has secured confidentiality according to the present invention even if a person who attempts unauthorized access is located not only on the WAN side but also inside the LAN side. I can not know. Therefore, the chance of unauthorized access can be reduced. In addition, since data exchanged over the network is encrypted and transmitted / received by information that only a specific person knows, it is difficult to decrypt the original data even if there is an eavesdropping or unauthorized acquisition. . The encryption information is not licensed to any institution, and no special fee is incurred. By using the present invention in combination with various methods currently used (for example, logon authentication using a normal password, construction of an Internet communication line using VPN, installation of a protective wall using a firewall or router, etc.) It is possible to construct a network data transfer system that is extremely robust and inexpensive.
[Brief description of the drawings]
FIG. 1 is an example illustrating processing of a protocol stack according to an embodiment of the present invention.
FIG. 2 is a schematic flowchart example of processing related to reception of a protocol stack according to an embodiment of the present invention.
FIG. 3 is a diagram illustrating an example of encryption and decryption processing according to an embodiment of the present invention.
FIG. 4 is a diagram illustrating an example of an encryption / decryption protocol model according to an embodiment of the present invention.
[Explanation of symbols]
11: Local network 12: Server 1
13: PC1
14: PC2
15: PC3
31: Data transfer from PC 1 to server 1 32: Data transfer from server 1 to PC 1
