JP2020136863A - Communication control system - Google Patents
Communication control system Download PDFInfo
- Publication number
- JP2020136863A JP2020136863A JP2019026714A JP2019026714A JP2020136863A JP 2020136863 A JP2020136863 A JP 2020136863A JP 2019026714 A JP2019026714 A JP 2019026714A JP 2019026714 A JP2019026714 A JP 2019026714A JP 2020136863 A JP2020136863 A JP 2020136863A
- Authority
- JP
- Japan
- Prior art keywords
- communication control
- client
- control device
- side communication
- server
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Mobile Radio Communication Systems (AREA)
Abstract
Description
本発明の実施形態は、通信制御システムに関する。 Embodiments of the present invention relate to communication control systems.
監視カメラ等の社会インフラシステムにおいては、取り扱われるデータや機器の制御がマルウェア等の攻撃から防御される必要がある。しかしながら、社会インフラシステムを構成する機器類は頻繁に置換えることが難しい。このため、安全対策が不十分になってしまうという問題があった。 In social infrastructure systems such as surveillance cameras, it is necessary to protect the control of the data and devices handled from attacks such as malware. However, it is difficult to frequently replace the devices that make up the social infrastructure system. For this reason, there is a problem that safety measures become insufficient.
本発明が解決しようとする課題は、社会インフラシステムを変更することなく、社会インフラシステムの安全性を向上させることができる通信制御システムを提供することである。 An object to be solved by the present invention is to provide a communication control system capable of improving the safety of the social infrastructure system without changing the social infrastructure system.
実施形態の通信制御システムは、一以上のクライアント装置と、サーバ装置と、サーバ側通信制御装置と、クライアント側通信制御装置と、ネットワーク側通信制御装置と、を持つ。前記サーバ装置は、前記クライアント装置により送信された情報を、ネットワークを介して受信する。前記サーバ側通信制御装置は、前記サーバ装置と有線で接続され、前記サーバ装置と前記ネットワークとの通信を制御する。前記クライアント側通信制御装置は、前記クライアント装置と有線で接続され、前記クライアント装置と前記ネットワークとの通信を制御する。ネットワーク側通信制御装置は、前記クライアント側通信制御装置と無線通信し、前記クライアント側通信制御装置と前記ネットワークとの通信を制御する。前記ネットワーク側通信制御装置は、鍵生成部と、証明書発行部と、認証処理部と、を持つ。鍵生成部は、前記第1秘密鍵を生成する。証明書発行部は、前記クライアント側通信制御装置の正当性を証明する第1クライアント証明書と、前記ネットワーク側通信制御装置の正当性を証明する第1サーバ証明書とを発行する。認証処理部は、前記第1秘密鍵、前記第1クライアント証明書、および前記第1サーバ証明書を用いる第1相互認証を、前記クライアント側通信制御装置との間で行う。前記ネットワーク側通信制御装置は、前記クライアント側通信制御装置との前記第1相互認証が成功した場合、前記ネットワークを介して前記クライアント側通信制御装置と前記サーバ側通信制御装置との通信を許可する。通信が許可された前記クライアント側通信制御装置と前記サーバ側通信制御装置は、プライベート認証局により発行された第2秘密鍵、前記クライアント側通信制御装置の正当性を証明する第2クライアント証明書、および前記サーバ側通信制御装置の正当性を証明する第2サーバ証明書を用いる第2相互認証を行う。 The communication control system of the embodiment includes one or more client devices, a server device, a server-side communication control device, a client-side communication control device, and a network-side communication control device. The server device receives the information transmitted by the client device via the network. The server-side communication control device is connected to the server device by wire and controls communication between the server device and the network. The client-side communication control device is connected to the client device by wire and controls communication between the client device and the network. The network-side communication control device wirelessly communicates with the client-side communication control device and controls communication between the client-side communication control device and the network. The network-side communication control device has a key generation unit, a certificate issuing unit, and an authentication processing unit. The key generation unit generates the first private key. The certificate issuing unit issues a first client certificate certifying the validity of the client-side communication control device and a first server certificate certifying the validity of the network-side communication control device. The authentication processing unit performs a first mutual authentication using the first private key, the first client certificate, and the first server certificate with the client-side communication control device. When the first mutual authentication with the client-side communication control device is successful, the network-side communication control device permits communication between the client-side communication control device and the server-side communication control device via the network. .. The client-side communication control device and the server-side communication control device to which communication is permitted are a second private key issued by a private authentication authority, a second client certificate proving the validity of the client-side communication control device, And the second mutual authentication using the second server certificate proving the validity of the server-side communication control device is performed.
以下、実施形態の通信制御システムを、図面を参照して説明する。 Hereinafter, the communication control system of the embodiment will be described with reference to the drawings.
(第1実施形態)
図1は、実施形態の通信制御システム1の構成例を示す図である。通信制御システム1は、少なくとも一以上のクライアント装置10(10A,10B…)と、サーバ装置20と、少なくとも一以上のクライアント側通信制御装置30(30A,30B…)と、サーバ側通信制御装置31と、通信制御管理装置50と、ネットワーク側通信制御装置(GW/AP)60とを備える。クライアント装置10は、例えば、既に設置されている監視カメラや、その他IoT機器などのセンサデバイスである。よって、クライアント装置10は、暗号化処理や復号処理を実行するために必要な十分な機能を備えていない場合もある。
(First Embodiment)
FIG. 1 is a diagram showing a configuration example of the
クライアント装置10とクライアント側通信制御装置30とは、例えば、イーサケーブ等の有線で接続されている。クライアント側通信制御装置30は、ネットワーク側通信制御装置60と無線通信する。無線通信には、例えばWi−Fi網、Bluetooth(登録商標)などを利用した通信が含まれる。ネットワーク側通信制御装置60は、例えば、無線通信のアクセスポイントとして機能するゲートウェイである。
The
本実施形態において、クライアント側通信制御装置30とネットワーク側通信制御装置60との無線通信では、EAP(Extensible Authentication Protocol)−TLS(Transport Layer Security)のプロトコルにより接続される。クライアント側通信制御装置30は、EAP−TLSのサプリカント(Supplicant)として機能し、ネットワーク側通信制御装置60は、EAP−TLSの認証局(CA: Certificate Authority)および認証サーバ(Authentication Server)として機能する。なお、クライアント側通信制御装置30は、さらにEAP−TLSの認証装置(Authenticator)として機能してもよい。
In the present embodiment, the wireless communication between the client-side
クライアント側通信制御装置30とネットワーク側通信制御装置60との無線通信においてEAP−TLSのプロトコルが採用されることにより、アクセスポイントとの認証レベルを向上させ、クライアント側通信制御装置30のSAM(Secure Access Module またはSecure Application Module)の存在を活かすことができる。例えば、クライアント装置10側の変更を極力なくすのであれば、クライアント装置10とクライアント側通信制御装置30との間をイーサケーブルでつなぐことにより、クライアント側通信制御装置30側の変更も少なくて済む。一方、クライアント側通信制御装置30を有線でネットワークNWに接続すると、クライアント装置10やクライアント側通信制御装置30の設置の自由度が低くなる。そこで、クライアント装置10とクライアント側通信制御装置30とを無線通信で接続する場合、家庭用途ではWPA/WPA2−パーソナル(PSK)レベルでよいが、企業用途であれば、やはりWPA/WPA2−エンタープライズレベルで運用すべきである。この点を考慮すると、WPA/WPA2−パーソナル(PSK)のまま、クライアント側通信制御装置30のTLSによるカプセル化により、通信路のセキュア化はできるが、EAP−TLSのプロトコルを採用することにより、アクセスポイントとの認証レベルを向上させることができるからである。
By adopting the EAP-TLS protocol in the wireless communication between the client-side
ネットワーク側通信制御装置60は、ネットワークNWを介して、有線通信でサーバ側通信制御装置31と通信する。サーバ側通信制御装置31は、有線通信でネットワークNWに接続され、ネットワークNWを介してネットワーク側通信制御装置60と通信する。サーバ側通信制御装置31とサーバ装置20とは、有線で通信する。
The network-side
つまり、クライアント装置10は、クライアント側通信制御装置30を介してネットワークNWと接続する。サーバ装置20は、サーバ側通信制御装置31を介してネットワークNWと接続する。なお、クライアント装置10およびサーバ装置20の構成の詳細については後述する。
That is, the
クライアント側通信制御装置30は、クライアント装置10とネットワーク側通信制御装置60との間に接続され、クライアント装置10とサーバ装置20との間の通信を仲介する。クライアント側通信制御装置30は、クライアント装置10により取得されたデータをクライアント装置10から受信し、受信したデータをサーバ装置20に対して送信する。ここで、クライアント側通信制御装置30は、サーバ装置20に対してデータを送信する際に、クライアント装置10から取得したデータを暗号化し、暗号化したデータをサーバ装置20に対して送信する。
The client-side
また、クライアント側通信制御装置30は、サーバ装置20からクライアント装置10に対して送信されるデータをサーバ側通信制御装置31から受信し、受信したデータをクライアント装置10に対して送信する。ここで、クライアント側通信制御装置30が受信するデータは、例えばサーバ側通信制御装置31により暗号化されたデータである。クライアント側通信制御装置30は、クライアント装置10にデータを送信する際に、サーバ側通信制御装置31を介してサーバ装置20から受信したデータを復号し、復号したデータをクライアント装置10に送信する。
Further, the client-side
サーバ側通信制御装置31は、サーバ装置20とネットワークNWとの間に接続され、クライアント装置10とサーバ装置20との間の通信を仲介する。サーバ側通信制御装置31は、サーバ装置20からクライアント装置10に対して送信されるデータをサーバ装置20から受信し、受信したデータをクライアント装置10に対して送信する。ここで、サーバ側通信制御装置31は、クライアント装置10に対してデータを送信する際に、サーバ装置20から取得したデータを暗号化し、暗号化したデータをクライアント装置10に対して送信する。
The server-side
また、サーバ側通信制御装置31は、クライアント装置10からサーバ装置20に対して送信されるデータをクライアント側通信制御装置30から受信し、受信したデータをサーバ装置20に対して送信する。ここで、サーバ側通信制御装置31が受信するデータは、例えばクライアント側通信制御装置30により暗号化されたデータである。サーバ側通信制御装置31は、サーバ装置20にデータを送信する際に、クライアント側通信制御装置30を介してクライアント装置10から受信したデータを復号し、復号したデータをサーバ装置20に送信する。
Further, the server-side
本実施形態において、クライアント側通信制御装置30およびサーバ側通信制御装置31が行うデータの暗号化には、例えば、SSL(Secure Socket Layer)/TLS(Transport Layer Security)のプロトコルによる暗号化が行われる。クライアント側通信制御装置30およびサーバ側通信制御装置31は、例えば、SSL/TLSプロトコルを、HTTPと組み合わせることで、HTTPに含まれるデータを暗号化し、安全性を向上させたHTTPS(HTTP Secure)に置き換える。
In the present embodiment, the data encryption performed by the client-side
なお、クライアント側通信制御装置30およびサーバ側通信制御装置31が行うデータの暗号化は、HTTPをHTTPSとすることに限定されない。クライアント側通信制御装置30およびサーバ側通信制御装置31は、SSL/TLSプロトコルを種々の通信プロトコルと組み合わせることにより、安全性を向上させたセキュアな通信プロトコルに置き換えてもよい。例えば、クライアント側通信制御装置30およびサーバ側通信制御装置31は、FTP(File Transfer Protocol)をFTPS(FTP Secure)に置き換えてもよい。
The data encryption performed by the client-side
本実施形態においては、クライアント側通信制御装置30またはサーバ側通信制御装置31により暗号化されたデータがネットワークNWに出力される。換言すると、本実施形態においては、ネットワークNWを流れるデータは、暗号化されたデータである。このため、ネットワークNWで送受信されるデータに対し、外部から悪意をもってアクセスされ、データが盗聴されてしまうような危険を回避し、安全性を向上させる。なお、ここでいうデータの盗聴とは、「データを盗み見る行為」または「データを抜き取る行為」をいう。
In the present embodiment, the data encrypted by the client-side
通信制御管理装置50は、クライアント側通信制御装置30に対し、第2クライアント証明書、および第2クライアント秘密鍵を発行する。例えば、通信制御管理装置50は、第2クライアント証明書、および第2クライアント秘密鍵を記憶させたICカードを発行する。また、通信制御管理装置50は、ICカードが装着されたクライアント側通信制御装置30に対し、ICカードに記憶させる第2クライアント証明書、および第2クライアント秘密鍵を、ネットワークNWを介して送信する。
The communication
また、通信制御管理装置50は、サーバ側通信制御装置31に対し、第2サーバ証明書、および第2サーバ秘密鍵を発行する。例えば、通信制御管理装置50は、第2サーバ証明書、および第2サーバ秘密鍵を記憶させたICカードを発行する。また、通信制御管理装置50は、ICカードが装着されたサーバ側通信制御装置31に対し、ICカードに記憶させる第2サーバ証明書、および第2サーバ秘密鍵を、ネットワークNWを介して送信する。
Further, the communication
詳細については後述するが、第2クライアント証明書、第2クライアント秘密鍵、第2サーバ証明書、および第2サーバ秘密鍵のそれぞれは、クライアント側通信制御装置30とサーバ側通信制御装置31とが暗号化通信を行う場合に用いる第2共通鍵(セッション鍵)を決定するために必要な情報である。
Although the details will be described later, the client-side
また、通信制御管理装置50は、正当なクライアント装置10とクライアント側通信制御装置30とのペアを登録する。例えば、通信制御管理装置50は、クライアント装置10のアドレス情報と、クライアント側通信制御装置30のアドレス情報とを取得し、両アドレス情報を対応付けたホワイトリストを作成し、自装置の記憶部に格納する。アドレス情報には、例えば、IPアドレスやMACアドレスなどが含まれる。通信制御管理装置50は、作成したホワイトリストに基づいて、クライアント側通信制御装置30に対し、ホワイトリストに登録されているアドレス情報のクライアント装置10と接続するよう指示する。
Further, the communication
通信制御管理装置50は、自装置の操作部を用いて管理者が入力することによりアドレス情報を取得してもよく、クライアント側通信制御装置30からアドレス情報を取得してもよい。後者の場合、クライアント側通信制御装置30は、初期設定の際に、クライアント装置10と近距離無線通信を確立した時に取得したクライアント装置10のアドレス情報と、自身のアドレス情報とを、ネットワークNWを介して通信制御管理装置50に送信してもよい。
The communication
ここで、通信制御システム1の設置される環境の一例について説明する。クライアント装置10とサーバ装置20とは、社会インフラシステムを構築する構成要素(コンポーネント)である。社会インフラとは、例えば、道路交通網、発電設備、配送電設備、水処理設備、又はガス配給設備等、社会基盤を整えるために必要な設備である。社会インフラシステムとは、例えば、社会インフラを監視し、状況の変化を把握し、その変化に対応することにより、社会インフラを安定的に動作させる仕組みである。以下においては、クライアント装置10とサーバ装置20とは、道路や公共設備などを監視する監視システムのコンポーネントである場合を例に説明する。この場合、クライアント装置10は、道路の状況等が撮像された撮像データを、ネットワークNWを介して送信する装置(ネットワーク監視カメラ)である。サーバ装置20は、クライアント装置10により送信された撮像データを、ネットワークNWを介して受信する装置である。
Here, an example of the environment in which the
なお、クライアント装置10とサーバ装置20とは、監視システムのコンポーネントに限定されることはない。例えば、クライアント装置10とサーバ装置とは、発電設備や配送電設備における電力状況をモニタリングするシステムのコンポーネントであってもよいし、物流センタにおける配送状況を取得するシステム、あるいは工場や研究機関における設備の稼働状況を取得するシステム等のコンポーネントであってもよい。
The
次に、クライアント装置10およびサーバ装置20の構成について説明する。図2は、実施形態のクライアント装置10とサーバ装置20の機能構成例を示すブロック図である。
Next, the configurations of the
クライアント装置10は、通信部11と、クライアント制御部12と、撮像部13とを備える。通信部11は、例えば、クライアント装置10のイーサネット(登録商標)のポートである。本実施形態では、通信部11は、クライアント側通信制御装置30に接続され、クライアント装置10からサーバ装置20に対して送信されるデータをクライアント側通信制御装置30に出力する。
The
クライアント制御部12は、例えば、CPU(Central Processing Unit)などを含むプロセッサであり、クライアント装置10を統括的に制御する。クライアント制御部12は、例えば、通信部11を介してサーバ装置20からコマンドを受信した場合、サーバ装置20からの制御に従って撮像部13に撮像を開始または停止させたり、撮像部13に対し撮像するカメラの方向や、撮像する際の倍率等の撮像条件を設定したりする。
The
撮像部13は、クライアント制御部12の指示に従い、所定箇所における風景を撮像する。撮像部13は、撮像したデータ(撮像データ)を、クライアント制御部12に出力する。
The
サーバ装置20は、通信部21と、サーバ制御部22と、撮像データ記憶部23と、出力部24とを備える。通信部21は、例えば、サーバ装置20のイーサネット(登録商標)のポートである。本実施形態では、通信部21は、有線ケーブルを介してサーバ側通信制御装置31に接続され、サーバ装置20からクライアント装置10に対して送信されるデータをサーバ側通信制御装置31に出力する。
The
サーバ制御部22は、例えば、CPUなどを含むプロセッサであり、サーバ装置20を統括的に制御する。サーバ制御部22は、例えば、クライアント装置10に対して所定のコマンドを送信する。また、サーバ制御部22は、例えば、クライアント装置10により撮像された撮像データを、撮像データ記憶部23に記憶させる。撮像データ記憶部23は、サーバ制御部22の指示に従い、撮像データを記憶する。
The
ここで、従来システムの一例について説明する。従来のシステムにおいて、クライアント装置とサーバ装置とが、互いの通信部およびネットワークを介して直接的に接続される場合、クライアント装置とサーバ装置との間の通信には、ネットワーク監視カメラにおける一般的な通信プロトコルであるHTTPが用いられる。この場合、クライアント装置またはサーバ装置によりネットワークに出力された、暗号化されていない情報(いわゆる、平文)がネットワークを流れる。この場合、外部から悪意をもってネットワーク上のデータが取得されてしまうと、容易に撮像データが盗聴されたり、改ざんされたりする危険性がある。 Here, an example of the conventional system will be described. In a conventional system, when a client device and a server device are directly connected to each other via a communication unit and a network, communication between the client device and the server device is common in a network monitoring camera. HTTP, which is a communication protocol, is used. In this case, unencrypted information (so-called plaintext) output to the network by the client device or the server device flows through the network. In this case, if the data on the network is maliciously acquired from the outside, there is a risk that the imaged data may be easily eavesdropped or falsified.
このような不正な攻撃に対する対策として、クライアント装置が、撮像データを暗号化させてネットワークNWに出力させることが考えられる。しかしながら、そもそも監視カメラが備えるCPU等のプロセッサは、撮像データの圧縮や符号化の用途に用いられるために用いられる用途で用いられることが一般的であるため、さらに暗号化のための処理を行うだけの資源(リソース)を備えていない。このような場合、クライアント装置が元々有するCPUでは、撮像データを暗号化させることができない。クライアント装置に撮像データを暗号化させる場合には、撮像データを暗号化するためのプロセッサを、更にクライアント装置に搭載させる等、クライアント装置のハードウェア構成の変更や置換えが必要となることが考えられる。しかしながら、クライアント装置は、監視カメラ等の社会インフラを構成するコンポーネントであるため、ハードウェア構成を変更したり置換えたりすることが容易にはできない。このような事情を鑑みると、クライアント装置に変更を加えることなく、撮像データが暗号化されてネットワークに出力されることが望ましい。 As a countermeasure against such an unauthorized attack, it is conceivable that the client device encrypts the imaged data and outputs it to the network NW. However, since a processor such as a CPU provided in a surveillance camera is generally used for the purpose of compressing or encoding image data, it is further subjected to processing for encryption. It does not have enough resources. In such a case, the CPU originally possessed by the client device cannot encrypt the captured data. When the client device encrypts the imaging data, it may be necessary to change or replace the hardware configuration of the client device, such as mounting a processor for encrypting the imaging data on the client device. .. However, since the client device is a component that constitutes social infrastructure such as a surveillance camera, it is not easy to change or replace the hardware configuration. In view of these circumstances, it is desirable that the imaging data be encrypted and output to the network without changing the client device.
本実施形態において、クライアント装置10とネットワークNWとの間に接続されたクライアント側通信制御装置30が、クライアント装置10が送信するデータを暗号化してネットワークNWに出力する。また、サーバ装置20とネットワークNWとの間に接続されたサーバ側通信制御装置31が、サーバ装置20が送信する制御データを暗号化してネットワークNWに出力する。これにより、クライアント装置10、およびサーバ装置20を変更することなく、ネットワークNWを流れる撮像データの安全性を向上させる。
In the present embodiment, the client-side
次に、クライアント側通信制御装置30の構成について説明する。図3は、実施形態のクライアント側通信制御装置30の機能構成例を示すブロック図である。
Next, the configuration of the client-side
図3に示すように、クライアント側通信制御装置30は、無線通信部32と、制御部33と、装置通信部34と、リーダライタ35と、ICカード40とを備える。ここで、ICカード40は、「認証部」の一例である。
As shown in FIG. 3, the client-side
無線通信部32は、ネットワーク側通信制御装置60と無線通信し、ネットワークNWを介してサーバ側通信制御装置31と無線通信を行う。
The
装置通信部34は、有線でクライアント装置10と接続され、クライアント装置10と通信を行う。例えば、装置通信部34は、クライアント装置10からの撮像データを取得するとともに、復号された制御データをクライアント装置10に送信する。
The
制御部33は、例えば、CPUなどを含むプロセッサであり、クライアント側通信制御装置30を統括的に制御する。制御部33は、例えば、仲介処理部33Aと、鍵生成部33Bと、コマンド処理部33Cと、暗号化復号部33Dとを備える。これらの機能部のうち一部または全部は、例えば、CPUなどのプロセッサが、記憶部に記憶されたプログラム(ソフトウェア)を実行することで実現される。また、これらの構成要素の機能のうち一部または全部は、LSI(Large Scale Integration)やASIC(Application Specific Integrated Circuit)、FPGA(Field-Programmable Gate Array)等のハードウェア(回路部:circuitryを含む)によって実現されていてもよいし、ソフトウェアとハードウェアの協働によって実現されていてもよい。
The
仲介処理部33Aは、クライアント装置10とサーバ装置20との間の通信を仲介する。例えば、仲介処理部33Aは、装置通信部34を介してクライアント装置10から受信した情報に基づいて、リーダライタ35を介してICカード40にコマンドを送信する。仲介処理部33Aは、ICカード40からレスポンスを受信し、ICカード40から受信したレスポンスに基づく情報を、無線通信部32を介してサーバ装置20に送信する。また、仲介処理部33Aは、無線通信部32を介してサーバ側通信制御装置31から受信した情報に基づいて、リーダライタ35を介してICカード40にコマンドを送信する。仲介処理部33Aは、ICカード40からレスポンスを受信し、ICカード40から受信したレスポンスに基づく情報を、装置通信部34を介してクライアント装置10に送信する。
The
鍵生成部33Bは、第1クライアント秘密鍵と第1クライアント公開鍵とを生成する。鍵生成部33Bは、生成した第1クライアント秘密鍵を、記憶部38の鍵情報記憶部38Bに記憶させる。鍵生成部33Bは、生成した第1クライアント公開鍵を、無線通信部32を用いてネットワーク側通信制御装置60に送信する。
The
コマンド処理部33Cは、各種コマンド処理を実行する。コマンド処理部33Cは、例えば、EAP−TLSハンドシェイクを行う。EAP−TLSハンドシェイクでは、暗号化された通信に必要な鍵情報等の交換、および通信先の装置との第1相互認証を行う。ここで、第1相互認証とは、クライアント側通信制御装置30とネットワーク側通信制御装置60とが、通信を行う前に、互いに正当に認証された装置であることを相互に確認する認証処理である。ここで、コマンド処理部33Cが行う処理は、「第1認証処理」の一例である。
The
暗号化復号部33Dは、データを暗号化する処理、および暗号化されたデータを復号する処理を実行する。暗号化復号部33Dは、無線通信部32を介してネットワーク側通信制御装置60から受信したデータを暗号化する。また、暗号化復号部33Dは、無線通信部32を介してネットワーク側通信制御装置60から受信した暗号化されたデータを復号する。また、暗号化復号部33Dが行う処理は、「暗号化復号処理」の一例である。
The encryption /
リーダライタ35は、ICカード40のコンタクト部36を介して、ICカード40の間の通信を行う。
The reader /
記憶部38は、例えば、RAM、ROMなどによって実現され、プロセッサが実行するプログラムを格納する。また、記憶部38は、例えば、証明書情報記憶部38Aと、鍵情報記憶部38Bとを備える。証明書情報記憶部38Aは、ネットワーク側通信制御装置60が発行したクライアント側通信制御装置30に対する証明書(第1クライアント証明書)を記憶する。鍵情報記憶部38Bは、鍵生成部33Bが発行したクライアント側通信制御装置30に対する秘密鍵(第1クライアント秘密鍵)等を記憶する。
The
ICカード40は、例えば、プラスチックのカード基材に、ICモジュール41を実装して形成されている。すなわち、ICカード40は、ICモジュール41と、ICモジュール41が埋め込まれたカード基材とを備える。
The
ICモジュール41は、コンタクト部36と、ICチップ42とを備える。コンタクト部36は、ICカード40が動作するために必要な各種信号の端子を有している。ここで、各種信号の端子は、電源電圧、クロック信号、リセット信号などを通信制御装置30(31)から供給を受ける端子、及び、通信制御装置30(31)と通信するためのシリアルデ―タ入出力端子(SIO端子)を有する。ICチップ42は、例えば、1チップのマイクロプロセッサなどのLSI(Large Scale Integration)である。
The
ICカード40は、クライアント側通信制御装置30に着脱可能に装着され、コンタクト部36を介してクライアント側通信制御装置30と通信可能である。例えば、ICカード40は、クライアント側通信制御装置30が送信したコマンド(処理要求)を、コンタクト部36を介して受信し、受信したコマンドに応じた処理(コマンド処理)を実行する。そして、ICカード40は、コマンド処理の実行結果であるレスポンス(処理応答)をクライアント側通信制御装置30にコンタクト部36を介して送信する。
The
次に、サーバ側通信制御装置31の構成について説明する。図4は、実施形態のサーバ側通信制御装置31の機能構成例を示すブロック図である。サーバ側通信制御装置31は、一部において、クライアント側通信制御装置30と同じ機能構成を有する。このため、以下異なる点について説明し、クライアント側通信制御装置30が備える機能構成と同じ機能構成については、同一の符号を付して詳細な説明は省略する。また、クライアント側通信制御装置30とサーバ側通信制御装置31とを区別しない場合には、単に、通信制御装置30(31)などと称する。
Next, the configuration of the server-side
図4に示すように、サーバ側通信制御装置31は、NW通信部39と、制御部33と、装置通信部34と、リーダライタ35と、ICカード40とを備える。制御部33は、例えば、仲介処理部33Aを備える。
As shown in FIG. 4, the server-side
NW通信部39は、ネットワークNWに有線で接続され、ネットワークNWを介して、クライアント側通信制御装置30と通信を行う。
The
サーバ側通信制御装置31の装置通信部34は、有線でサーバ装置20に接続され、サーバ装置20からの制御データを取得するとともに、復号された撮像データをサーバ装置20に出力する。
The
次に、ICカード40のハードウェア構成の一例について説明する。図5は、実施形態のICカード40のハードウェア構成の一例を示す図である。
Next, an example of the hardware configuration of the
上述した通り、ICカード40は、コンタクト部36と、ICチップ42とを備えたICモジュール41を備えている。そして、ICチップ42は、UART(Universal Asynchronous Receiver Transmitter)43と、CPU44と、ROM(Read Only Memory)45と、RAM(Random Access Memory)46と、EEPROM(Electrically Erasable Programmable ROM)47とを備える。また、各構成(43から47)は、内部バスBSを介して接続されている。
As described above, the
UART43は、上述したSIO端子を介して、クライアント側通信制御装置30とシリアルデータ通信を行う。UART43は、SIO端子を介して受信したシリアルデータ信号をパラレル変換したデータ(例えば、1バイトのデータ)を内部バスBSに出力する。また、UART43は、内部バスBSを介して取得したデータをシリアル変換して、SIO端子を介してクライアント側通信制御装置30に出力する。UART43は、例えば、SIO端子を介してコマンドをクライアント側通信制御装置30から受信する。また、UART43は、SIO端子を介してレスポンスをクライアント側通信制御装置30に送信する。
The
CPU44は、ROM45又はEEPROM47に記憶されているプログラムを実行して、ICカード40の各種処理を行う。CPU44は、例えば、コンタクト部36を介して、UART43が受信したコマンドに応じたコマンド処理を実行する。
The
ROM45は、例えば、マスクROMなどの不揮発性メモリであり、ICカード40の各種処理を実行するためのプログラム、及びコマンドテーブルなどのデータを記憶する。RAM46は、例えば、SRAM(Static RAM)などの揮発性メモリであり、ICカード40の各種処理を行う際に利用されるデータを一時記憶する。EEPROM47は、例えば、電気的に書き換え可能な不揮発性メモリである。EEPROM47は、ICカード40が利用する各種データを記憶する。EEPROM47は、例えば、ICカード40を利用した各種サービス(アプリケーション)に使用される情報を記憶する。
The
次に、ICカード40の構成の一例について説明する。図6は、実施形態のICカード40の機能構成例を示すブロック図である。ICカード40は、通信部40Aと、制御部40Bと、記憶部40Cとを備える。ここで、図5に示されるICカード40の各部は、図4に示されるICカード40のハードウェアを用いて実現される。
Next, an example of the configuration of the
通信部40Aは、例えば、UART43と、CPU44と、ROM45に記憶されているプログラムとにより実現され、コンタクト部36を介して、例えば、クライアント側通信制御装置30との間でコマンド及びレスポンスの送受信を行う。すなわち、通信部40Aは、所定の処理を要求するコマンド(処理要求)をクライアント側通信制御装置30から受信するとともに、コマンドに対するレスポンス(処理応答)をクライアント側通信制御装置30に送信する。通信部40Aは、UART43を介してクライアント側通信制御装置30から受信した受信データをRAM46に記憶させる。また、通信部40Aは、RAM46に記憶されている送信データを、UART43を介してクライアント側通信制御装置30に送信する。
The
制御部40Bは、例えば、CPU44と、RAM45と、ROM46又はEEPROM47とにより実現され、ICカード40を統括的に制御する。制御部40Bは、コマンド処理部41Bと、暗号化復号部42Bとを備える。
The
コマンド処理部41Bは、各種コマンド処理を実行する。コマンド処理部41Bは、例えば、後述するHTTPSリクエストを要求するコマンド処理として、SSL/TLSハンドシェイクを行う。SSL/TLSハンドシェイクでは、暗号化された通信に必要な鍵情報等の交換、および通信先の装置との第2相互認証を行う。ここで、第2相互認証とは、クライアント側通信制御装置30とサーバ側通信制御装置31とが、通信を行う前に、互いに正当に認証された装置であることを相互に確認する認証処理である。
The
暗号化復号部42Bは、データを暗号化する処理、および暗号化されたデータを復号する処理を実行する。暗号化復号部42Bは、通信部40Aを介してクライアント装置10(サーバ側通信制御装置31の場合はサーバ装置20)から受信したデータを暗号化する。また、暗号化復号部42Bは、通信部40Aを介してサーバ装置20(サーバ側通信制御装置31の場合はクライアント装置10)からネットワークNWを介して受信した暗号化されたデータを復号する。
The encryption /
コマンド処理部41Bが行う処理は、「第2認証処理」の一例である。また、暗号化復号部42Bが行う処理は、「暗号化復号処理」の一例である。
The process performed by the
記憶部40Cは、例えば、EEPROM47により構成された記憶部であり、証明書情報記憶部41Cと、秘密情報記憶部42Cとを備える。証明書情報記憶部41Cは、通信制御管理装置50が発行したクライアント装置10(サーバ側通信制御装置31の場合はサーバ装置20)に対する証明書を記憶する。具体的には、クライアント側通信制御装置30に装着されるICカード40の証明書情報記憶部41Cには、第2クライアント証明書を示す情報が記憶される。また、サーバ側通信制御装置31に装着されるICカード40の証明書情報記憶部41Cには、第2サーバ証明書を示す情報が記憶される。
The
秘密情報記憶部42Cは、通信制御管理装置50が発行したクライアント装置10(サーバ側通信制御装置31の場合はサーバ装置20)に対する秘密鍵を記憶する。具体的には、クライアント側通信制御装置30に装着されるICカード40の秘密情報記憶部42Cには、クライアント側通信制御装置30に対して発行された第2クライアント秘密鍵を示す情報が記憶される。また、サーバ側通信制御装置31に装着されるICカード40の証明書情報記憶部41Cには、サーバ側通信制御装置31に対して発行された第2サーバ秘密鍵を示す情報が記憶される。
The secret
次に、通信制御管理装置50の構成の一例について説明する。図7は、実施形態の通信制御管理装置50の機能構成の一例を示すブロック図である。通信制御管理装置50は、例えば、NW(ネットワーク)通信部50Aと、制御部50Bと、記憶部50Cとを備える。
Next, an example of the configuration of the communication
NW通信部50Aは、ネットワークNWに接続され、ネットワークNWを介して、通信制御装置30(31)と通信を行う。 The NW communication unit 50A is connected to the network NW and communicates with the communication control device 30 (31) via the network NW.
制御部50Bは、例えば、CPUなどを含むプロセッサであり、通信制御管理装置50を統括的に制御する。制御部50Bは、主に通信制御装置30(31)の正当性を認めるプライベート認証局として機能する。制御部50Bは、鍵生成部51Bと、証明書発行部52Bと、証明書更新部53Bと、証明書管理部54Bと、管理部55Bとを備える。
The control unit 50B is, for example, a processor including a CPU and the like, and controls the communication
鍵生成部51Bは、例えば、通信制御装置30(31)からの認証申請に基づいて、後述する証明書に含まれる公開鍵に対応する秘密鍵の発行を行う。例えば、鍵生成部51Bは、クライアント側通信制御装置30からの認証申請に基づいて、第2クライアント証明書に含まれる第2クライアント公開鍵に対応する第2クライアント秘密鍵の発行を行う。例えば、鍵生成部51Bは、サーバ側通信制御装置31からの認証申請に基づいて、第2サーバ証明書に含まれる第2サーバ公開鍵に対応する第2サーバ秘密鍵の発行を行う。
The
証明書発行部52Bは、例えば、通信制御装置30(31)からの認証申請に基づいて、通信制御装置30(31)の正当性を認める証明書の発行を行う。証明書には、公開鍵と、通信制御装置30(31)の所有者を示す情報が含まれる。例えば、証明書発行部52Bは、クライアント側通信制御装置30からの認証申請に基づいて、クライアント側通信制御装置30の正当性を認める第2クライアント証明書の発行を行う。例えば、証明書発行部52Bは、サーバ側通信制御装置31からの認証申請に基づいて、サーバ側通信制御装置31の正当性を認める第2サーバ証明書の発行を行う。
The
証明書更新部53Bは、有効期限が渡過した証明書に対して新たな有効期限を設定することにより、証明書の更新を行う。証明書更新部53Bは、例えば、通信制御装置30(31)からの更新申請に基づいて、当該通信制御装置30(31)に対して発行した証明書の有効期限を延長させた証明書を発行し、発行した証明書を通信制御装置30(31)に対して送信する。発行した証明書を示す情報が通信制御装置30(31)により受信され、且つ、通信制御装置30(31)のICカード40の証明書情報記憶部41Cに記憶されることで、通信制御装置30(31)の証明書の有効期限が延長される。
The certificate renewal unit 53B renews the certificate by setting a new expiration date for the certificate whose expiration date has passed. The certificate renewal unit 53B issues, for example, a certificate with an extended expiration date of the certificate issued to the communication control device 30 (31) based on the renewal application from the communication control device 30 (31). Then, the issued certificate is transmitted to the communication control device 30 (31). The information indicating the issued certificate is received by the communication control device 30 (31) and stored in the certificate
証明書管理部54Bは、既に発行済みの証明書に対する管理を行う。証明書管理部54Bは、例えば、通信制御装置30(31)に装着されたICカード40の改ざん、または盗難等により相互認証において互いの正当性が証明されない場合に、通信制御装置30(31)に対して発行した証明書を無効化する処理を行う。また、証明書管理部54Bは、通信制御装置30(31)からの問い合わせに基づいて、通信制御装置30(31)、および他の通信装置に対して発行した証明書が証明書管理部54Bにより発行されたものか否か応答するようにしてもよい。また、証明書管理部54Bは、定期的に、発行済みの証明書が正当な通信制御装置30(31)に使用されているかを確認するようにしてもよい。
The
管理部55Bは、通信制御装置30(31)を管理する。例えば、管理部55Bは、通信制御装置30(31)が行う相互認証を、ネットワークNWを介して遠隔制御する。
The
記憶部50Cは、例えば鍵情報記憶部51Cと、証明書情報記憶部52Cとを備える。鍵情報記憶部51Cは、例えば既に発行済みの公開鍵や、秘密鍵を示す情報を記憶する。証明書情報記憶部52Cは、例えば既に発行済みの証明書を示す情報を記憶する。鍵情報記憶部51Cと、証明書情報記憶部52Cとは、例えば、鍵生成部51Bが秘密鍵を発行する際、証明書発行部52Bが証明書を発行する際などに参照される。また、鍵情報記憶部51Cには、鍵生成部51Bが発行した秘密鍵を示す情報が記憶される。また、証明書情報記憶部52Cには、証明書発行部52Bが発行した証明書を示す情報が記憶される。
The storage unit 50C includes, for example, a key
次に、ネットワーク側通信制御装置60の構成に一例について説明する。図8は、実施形態のネットワーク側通信制御装置60の機能構成の一例を示すブロック図である。ネットワーク側通信制御装置60は、例えば、NW通信部61と、無線通信部62と、制御部63と、記憶部64とを備える。
Next, an example will be described in the configuration of the network-side
NW通信部61は、ネットワークNWに接続され、ネットワークNWを介して、サーバ側通信制御装置31と通信を行う。無線通信部62は、クライアント側通信制御装置30と無線通信を行う。
The
制御部63は、例えば、CPUなどを含むプロセッサであり、ネットワーク側通信制御装置60を統括的に制御する。例えば、制御部63は、EAP−TLSの認証局および認証サーバとして機能する。制御部63は、例えば、鍵生成部63Aと、証明書発行部63Bと、証明書更新部63Cと、証明書管理部63Dと、管理部63Eと、サーバ側鍵生成部63Fと、コマンド処理部63Gと、暗号化復号部63Hとを備える。鍵生成部63A、証明書発行部63B、証明書更新部63C、証明書管理部63D、および管理部63Eが、EAP−TLSの認証局として機能する機能構成である。サーバ側鍵生成部63Fと、コマンド処理部63Gと、暗号化復号部63Hが、EAP−TLSの認証サーバとして機能する機能構成である。以下、サーバ側鍵生成部63F、コマンド処理部63G、および暗号化復号部63Hを、認証処理部63Jとも記す。
The
これらの機能部のうち一部または全部は、例えば、CPUなどのプロセッサが、記憶部に記憶されたプログラム(ソフトウェア)を実行することで実現される。また、これらの構成要素の機能のうち一部または全部は、LSIやASIC、FPGA等のハードウェア(回路部:circuitryを含む)によって実現されていてもよいし、ソフトウェアとハードウェアの協働によって実現されていてもよい。 Some or all of these functional units are realized by, for example, a processor such as a CPU executing a program (software) stored in the storage unit. In addition, some or all of the functions of these components may be realized by hardware such as LSI, ASIC, and FPGA (including circuit section: circuitry), or by collaboration between software and hardware. It may be realized.
鍵生成部63Aは、例えば、クライアント側通信制御装置30からの認証申請に基づいて、証明書に含まれるCA公開鍵に対応するCA秘密鍵の発行を行う。鍵生成部63Aは、生成したCA公開鍵とCA秘密鍵とを、記憶部64の鍵情報記憶部64Bに格納する。
The
証明書発行部63Bは、例えば、クライアント側通信制御装置30からの認証申請に基づいて、クライアント側通信制御装置30の正当性を認める第1クライアント証明書の発行を行う。例えば、証明書発行部63Bは、クライアント側通信制御装置30から受信した第1クライアント公開鍵をCA秘密鍵で暗号化し、暗号化した情報に認証局のデジタル署名を付与することにより、第1クライアント証明書を発行する。
The
また、証明書発行部63Bは、例えば、認証処理部63Jによる認証申請に基づいて、認証処理部63Jの正当性を認める第1サーバ証明書の発行を行う。例えば、証明書発行部63Bは、サーバ側鍵生成部63Fにより生成された第1サーバ公開鍵をCA秘密鍵で暗号化し、暗号化した情報に認証局のデジタル署名を付与することにより、第1サーバ証明書を発行する。
Further, the
また、証明書発行部63Bは、クライアント側通信制御装置30(あるいは認証処理部63J)からの認証申請に基づいて、CAのルート証明書の発行を行う。CAのルート証明書は、クライアント側通信制御装置30において第1サーバ証明書が正規のものであることを確認するために使用される。また、CAのルート証明書は、認証処理部63Jにおいて第1クライアント証明書が正規のものであることを確認するために使用される。
Further, the
証明書更新部63Cは、有効期限が渡過した証明書に対して新たな有効期限を設定することにより、証明書の更新を行う。証明書更新部63Cは、例えば、クライアント側通信制御装置30(あるいは、認証処理部63J)からの更新申請に基づいて、クライアント側通信制御装置30(あるいは、認証処理部63J)に対して発行した証明書の有効期限を延長させた証明書を発行し、発行した証明書をクライアント側通信制御装置30に対して送信(あるいは、認証処理部63Jに対して出力)する。発行した証明書を示す情報がクライアント側通信制御装置30により受信(あるいは、認証処理部63Jに入力)され、且つ、クライアント側通信制御装置30の記憶部38(あるいは、証明書情報記憶部64A)に記憶されることで、クライアント側通信制御装置30(あるいは、認証処理部63J)の証明書の有効期限が延長される。
The
証明書管理部63Dは、既に発行済みの証明書に対する管理を行う。証明書管理部63Dは、例えば、第1相互認証において互いの正当性が証明されない場合、クライアント側通信制御装置30(あるいは、認証処理部63J)に対して発行した証明書を無効化する処理を行う。また、証明書管理部63Dは、クライアント側通信制御装置30(あるいは、認証処理部63J)からの問い合わせに基づいて、クライアント側通信制御装置30(あるいは、認証処理部63J)、および他の通信装置に対して発行した証明書が証明書管理部63Dにより発行されたものか否か応答するようにしてもよい。また、証明書管理部63Dは、定期的に、発行済みの証明書が正当なクライアント側通信制御装置30(あるいは、認証処理部63J)に使用されているかを確認するようにしてもよい。
The
管理部63Eは、クライアント側通信制御装置30(あるいは、認証処理部63J)を管理する。例えば、管理部63Eは、クライアント側通信制御装置30(あるいは、認証処理部63J)が行う第1相互認証を、遠隔制御する。
The
サーバ側鍵生成部63Fは、第1サーバ秘密鍵と第1サーバ公開鍵とを生成する。サーバ側鍵生成部63Fは、生成した第1サーバ秘密鍵を、記憶部64の鍵情報記憶部64Bに記憶させる。サーバ側鍵生成部63Fは、生成した第1サーバ公開鍵を、無線通信部62を用いてクライアント側通信制御装置30に送信する。
The server-side key generation unit 63F generates a first server private key and a first server public key. The server-side key generation unit 63F stores the generated first server secret key in the key
コマンド処理部63Gは、各種コマンド処理を実行する。コマンド処理部63Gは、例えば、EAP−TLSハンドシェイクを行う。EAP−TLSハンドシェイクでは、暗号化された通信に必要な鍵情報等の交換、および通信先の装置との第1相互認証を行う。ここで、コマンド処理部63Gが行う処理は、「第1認証処理」の一例である。
The
暗号化復号部63Hは、データを暗号化する処理、および暗号化されたデータを復号する処理を実行する。暗号化復号部63Hは、無線通信部62を介してクライアント側通信制御装置30から受信したデータを暗号化する。また、暗号化復号部63Hは、無線通信部62を介してクライアント側通信制御装置30から受信した暗号化されたデータを復号する。また、暗号化復号部63Hが行う処理は、「暗号化復号処理」の一例である。
The encryption /
記憶部64は、例えば証明書情報記憶部64Aと、鍵情報記憶部64Bとを備える。証明書情報記憶部64Aは、例えば既に発行済みの証明書を示す情報を記憶する。鍵情報記憶部64Bは、例えば既に発行済みの公開鍵や、秘密鍵を示す情報を記憶する。
The
証明書情報記憶部64Aと、鍵情報記憶部64Bとは、例えば、鍵生成部63AがCA秘密鍵を発行する際、証明書発行部63Bが各証明書を発行する際などに参照される。また、証明書情報記憶部64Aには、証明書発行部63Bが発行した第1クライアント証明書を示す情報、第1サーバ証明書を示す情報等が記憶される。また、鍵情報記憶部64Bには、鍵生成部63Aが発行したCA秘密鍵を示す情報、CA公開鍵を示す情報、第1クライアント公開鍵を示す情報、第1サーバ公開鍵を示す情報などが記憶されている。
The certificate
次に、通信制御システム1が行う第1相互認証処理の一例について説明する。図9は、実施形態の通信制御システム1が行う第1相互認証処理の一例を示すシーケンスチャートである。
Next, an example of the first mutual authentication process performed by the
まず、クライアント側通信制御装置30は、ネットワーク側通信制御装置60に対する証明書発行リクエストを送信する(ステップS1)。クライアント側通信制御装置30が送信した証明書発行リクエストは、ネットワーク側通信制御装置60により受信される(ステップS2)。ネットワーク側通信制御装置60は、CA秘密鍵とCA公開鍵を生成し(ステップS3)、記憶部64の鍵情報記憶部64Bに記憶させる。次いで、ネットワーク側通信制御装置60は、CAのルート証明書を発行するとともに(ステップS4)、第1クライアント証明書を発行する(ステップS5)。
First, the client-side
ネットワーク側通信制御装置60は、発行したCAのルート証明書と第1クライアント証明書を、クライアント側通信制御装置30に送信する(ステップS6)。ネットワーク側通信制御装置60が送信したCAのルート証明書と第1クライアント証明書は、クライアント側通信制御装置30により受信される(ステップS7)。クライアント側通信制御装置30は、受信したCAの証明書と第1クライアント証明書とを記憶部38の証明書情報記憶部38Aに記憶させる(ステップS8)。ここで、ネットワーク側通信制御装置60は、CA公開鍵をクライアント側通信制御装置30に送信し、クライアント側通信制御装置30は、CA公開鍵を記憶部38に記憶してもよい。
The network-side
また、ネットワーク側通信制御装置60は、第1サーバ証明書を発行する(ステップS9)。ネットワーク側通信制御装置60は、発行したCAのルート証明書、第1クライアント証明書、および第1サーバ証明書を、記憶部64の証明書情報記憶部64Aに記憶させる(ステップS10)。
Further, the network side
次で、クライアント側通信制御装置30は、ネットワーク側通信制御装置60に対して、認証要求の開始を要求する(ステップS101)。ネットワーク側通信制御装置60は、クライアント側通信制御装置30に対して、認識方式を通知する(ステップS102)。クライアント側通信制御装置30は、例えば、ネットワーク側通信制御装置60に対して、TLS Client Helloを送信する(ステップS103)。ネットワーク側通信制御装置60は、クライアント側通信制御装置30に対して、第1サーバ証明書とユーザ名とを送信する(ステップS104)。クライアント側通信制御装置30は、ネットワーク側通信制御装置60から受信した情報と、記憶部38に記憶されている情報とに基づいて、ネットワーク側通信制御装置60を認証する(ステップS105)。
Next, the client-side
具体的には、クライアント側通信制御装置30は、ネットワーク側通信制御装置60から受信した情報が、予め準備している証明機関の情報(例えば、CAのルート証明書)と一致するかを確認します。両者が一致する場合、クライアント側通信制御装置30は、ネットワーク側通信制御装置60を認証する。ここで、クライアント側通信制御装置30は、CA公開鍵を用いて、ネットワーク側通信制御装置60から受信したデジタル署名が正しいことを検証してもよい。
Specifically, the client-side
ネットワーク側通信制御装置60を認証した場合、クライアント側通信制御装置30は、第1クライアント証明書を取得したときのユーザ名と第1クライアント証明書を、ネットワーク側通信制御装置60に送信する(ステップS106)。ネットワーク側通信制御装置60は、クライアント側通信制御装置30から受信した情報と、記憶部64に記憶されている情報とに基づいて、クライアント側通信制御装置30を認証する(ステップS107)。
When the network side
具体的には、ネットワーク側通信制御装置60は、クライアント側通信制御装置30から受信した情報が、予め準備している証明機関の情報(例えば、CAのルート証明書)と一致するかを確認します。両者が一致する場合、ネットワーク側通信制御装置60は、クライアント側通信制御装置30を認証する。ここで、ネットワーク側通信制御装置60は、CA公開鍵を用いて、クライアント側通信制御装置30から受信したデジタル署名が正しいことを検証してもよい。
Specifically, the network-side
クライアント側通信制御装置30を認証した場合、ネットワーク側通信制御装置60は、ネットワークNWを介してクライアント側通信制御装置30とサーバ側通信制御装置31との通信を許可する。クライアント側通信制御装置30に対して、認証成功を通知する(ステップS108)。これにより、クライアント側通信制御装置30とネットワーク側通信制御装置60との間で、第1相互認証によるハンドシェイクが開始される(ステップS109)。
When the client-side
クライアント側通信制御装置30とネットワーク側通信制御装置60との間の第1相互認証が正しく行われると、クライアント側通信制御装置30とネットワーク側通信制御装置60とは、それぞれ暗号化に用いる第1共通鍵を生成して交換する。
When the first mutual authentication between the client-side
なお、上記フローチャートのステップS109において、クライアント側通信制御装置30とネットワーク側通信制御装置60との間の第1相互認証が正しく行われなかった場合、ネットワーク側通信制御装置60は、クライアント側通信制御装置30とサーバ側通信制御装置31との通信を許可しない。具体的には、ネットワーク側通信制御装置60は、クライアント側通信制御装置30から送信された情報をサーバ側通信制御装置31に送信しない。この場合、ネットワーク側通信制御装置60は、例えば、第1相互認証が正しく行われなかった場合の通信記録を通信制御管理装置50あるいはサーバ装置20に送信するようにしてもよい。これにより、通信制御管理装置50あるいはサーバ装置20は、第1相互認証が正しく行われなかった場合の通信記録を取得することができ、管理下にあるネットワーク側通信制御装置60やクライアント側通信制御装置30に対する不正な通信のパターンや頻度を把握することで、ネットワークの異常を監視することができる。
If the first mutual authentication between the client-side
図10、11は、実施形態の通信制御システム1が行う第2相互認証処理の一例を示すシーケンスチャートである。ここでは、上述したように、第1相互認証によるハンドシェイクが確立されている状態であるとする。
10 and 11 are sequence charts showing an example of the second mutual authentication process performed by the
クライアント装置10は、撮像データをサーバ装置20に送信する場合、まずサーバ装置20に対するHTTPリクエストを送信する(ステップS121)。クライアント装置10が送信したHTTPリクエストは、クライアント側通信制御装置30により受信される(ステップS122)。クライアント側通信制御装置30は、HTTPリクエストを第1共通鍵で暗号化し(ステップS123)、暗号化されたHTTPリクエストを、ネットワーク側通信制御装置60に対して送信する(ステップS124)。ネットワーク側通信制御装置60は、受信したHTTPリクエストを第1共通鍵で復号し(ステップS125)、サーバ側通信制御装置31に対して、復号されたHTTPSのリクエスト(ClientHello)を送信する(ステップS126)。これにより、クライアント側通信制御装置30とサーバ側通信制御装置31との間のハンドシェイクが開始される(ステップS127)。
When transmitting the imaging data to the
具体的には、クライアント側通信制御装置30とサーバ側通信制御装置31との間で、以下に説明する処理を実行される。なお、クライアント側通信制御装置30とネットワーク側通信制御装置60との間では、第1共通鍵を用いた暗号化復号処理が実行されるが、処理ごとの説明は省略する。例えば、ネットワーク側通信制御装置60は、第1共通鍵で暗号化した情報をクライアント側通信制御装置30に対して送信し、クライアント側通信制御装置30は、受信した情報を第1共通鍵で復号する。クライアント側通信制御装置30は、第1共通鍵で暗号化した情報をネットワーク側通信制御装置60に対して送信し、ネットワーク側通信制御装置60は、受信した情報を第1共通鍵で復号する。
Specifically, the process described below is executed between the client-side
例えば、クライアント側通信制御装置30が送信するClientHelloには、例えば、TLSのバージョン、および通信に用いる暗号方式やアルゴリズムのリストを示す情報が含まれる。サーバ側通信制御装置31は、ClientHelloに対する応答として、クライアント側通信制御装置30に対しHTTPSのレスポンス(ServerHello)を送信する。サーバ側通信制御装置31が送信するServerHelloには、例えばClientHelloで提示された選択肢の中でサーバ装置20が選択した情報が含まれる。換言すると、クライアント側通信制御装置30からの提示に対し、サーバ側通信制御装置31が選択を行うことで、通信における具体的な暗号化アルゴリズムが決定される。
For example, the Client Hello transmitted by the client-side
そして、サーバ側通信制御装置31は、暗号化通信に用いる第2共通鍵に必要な情報を送る。第2共通鍵に必要な情報には、例えば、サーバ装置20に対して発行された公開鍵(第2サーバ公開鍵)とその証明書(第2サーバ証明書)を示す情報、およびクライアント装置10の公開鍵(第2クライアント公開鍵)とその証明書(第2クライアント証明書)を送ることを要求する情報が含まれる。クライアント側通信制御装置30は、サーバ側通信制御装置31に対して、自装置に対して発行された公開鍵(第2サーバ公開鍵)とその証明書(第2サーバ証明書)、及び暗号化通信に用いる第2共通鍵に必要な情報を送る。
Then, the server-side
クライアント側通信制御装置30とサーバ側通信制御装置31との間の第2相互認証は、例えば次のように行われる。クライアント側通信制御装置30は、今までに受信したServerHello等から署名を生成し、サーバ側通信制御装置31に送信する。サーバ側通信制御装置31は、クライアント側通信制御装置30から受信した署名を、クライアント側通信制御装置30から受信した証明書(第2クライアント証明書)に基づいて検証する。サーバ側通信制御装置31は、検証が成功すると、その証明書(第2クライアント証明書)が間違いなくクライアント側通信制御装置30のものであると判定する。また、サーバ側通信制御装置31は、今までに受信したClientHello等から署名を生成し、クライアント側通信制御装置30に送信する。クライアント側通信制御装置30は、サーバ側通信制御装置31から受信した署名を、サーバ側通信制御装置31から受信した証明書(第2サーバ証明書)に基づいて検証する。クライアント側通信制御装置30は、検証が成功すると、その証明書(第2サーバ証明書)が間違いなくサーバ側通信制御装置31のものであると判定する。
The second mutual authentication between the client-side
クライアント側通信制御装置30とサーバ側通信制御装置31との間の第2相互認証が正しく行われると、クライアント側通信制御装置30とサーバ側通信制御装置31とは、それぞれ暗号化に用いる第2共通鍵を生成して交換する。
When the second mutual authentication between the client-side
サーバ側通信制御装置31から送付されたサーバ装置20に対して発行された公開鍵とその証明書が、クライアント側通信制御装置30に許容される証明書であれば、サーバ側通信制御装置31は、クライアント側通信制御装置30から送付された公開鍵とその証明書が、サーバ側通信制御装置31に許容される証明書であれば、ハンドシェイクを終了する。
If the public key and its certificate issued to the
サーバ側通信制御装置31は、クライアント側通信制御装置30とのハンドシェイクが確立されると、サーバ装置20に対し、HTTPリクエストを送信する(ステップS128)。ここで送信されるHTTPリクエストは、ステップS122においてクライアント装置10から受信したHTTPリクエストである。
When the handshake with the client-side
サーバ側通信制御装置31により送信されたHTTPリクエストは、サーバ装置20により受信される(ステップS129)。このとき、サーバ装置20は、クライアント装置10からHTTPリクエストが要求されたと認識する。このため、サーバ装置20は、クライアント装置10に対してHTTPレスポンスを応答する(ステップS130)。サーバ装置20が送信したHTTPレスポンスは、サーバ側通信制御装置31により取得される(ステップS131)。
The HTTP request transmitted by the server-side
サーバ側通信制御装置31は、取得したサーバ装置20からのHTTPレスポンスを、ステップS127のハンドシェイクにおいて決定された第2共通鍵を用いて暗号化する(ステップS132)。サーバ側通信制御装置31により暗号化されたHTTPレスポンスは、ネットワークNWを介してネットワーク側通信制御装置60に受信される(ステップS133)。ネットワーク側通信制御装置60は、受信した暗号化されたHTTPレスポンスを、ステップS109のハンドシェイクにおいて決定された第1共通鍵を用いて暗号化する(ステップS134)。ネットワーク側通信制御装置60により暗号化されたHTTPレスポンスは、クライアント側通信制御装置30に受信される(ステップS135)。
The server-side
クライアント側通信制御装置30は、受信したHTTPレスポンスを、第1共通鍵を用いて復号するとともに、第1共通鍵を用いて復号された情報を、第2共通鍵を用いて復号する(ステップS136)。クライアント側通信制御装置30により復号されたHTTPレスポンスは、クライアント装置10に取得される(ステップS137)。クライアント装置10は、復号されたHTTPレスポンスを受信する(ステップS138)。
The client-side
図11を参照して、続きを説明する。ここでは、上述したように、第1相互認証によるハンドシェイクと、第2相互認証によるハンドシェイクの両方が確立されている状態である。ステップS138の処理において、クライアント装置10は、サーバ装置20からHTTPレスポンスが応答されたと認識する。このため、クライアント装置10は、サーバ装置20に対し、撮像データを送信する(ステップS141)。
The continuation will be described with reference to FIG. Here, as described above, both the handshake by the first mutual authentication and the handshake by the second mutual authentication are established. In the process of step S138, the
クライアント装置10が送信した撮像データは、クライアント側通信制御装置30により取得される(ステップS142)。クライアント側通信制御装置30は、クライアント装置10により送信された撮像データを、第2共通鍵を用いて暗号化するとともに、第2共通鍵を用いて暗号化された情報を、第1共通鍵を用いて暗号化する(ステップS143)。クライアント側通信制御装置30により暗号化された撮像データは、ネットワーク側通信制御装置60に受信される(ステップS144)。ネットワーク側通信制御装置60は、クライアント側通信制御装置30により送信された撮像データを、第1共通鍵を用いて復号する(ステップS145)。ネットワーク側通信制御装置60により第1共通鍵を用いて復号された撮像データは、ネットワークNWを介してサーバ側通信制御装置31に受信される(ステップS146)。
The imaging data transmitted by the
サーバ側通信制御装置31は、受信した撮像データを、第2共通鍵を用いて復号する(ステップS147)。サーバ側通信制御装置31により復号された撮像データは、サーバ装置20により取得される(ステップS148)。サーバ装置20は、復号された撮像データを受信する(ステップS149)。このとき、サーバ装置20は、クライアント装置10からの撮像データを受信したと認識する。
The server-side
なお、上記フローチャートのステップS127において、クライアント側通信制御装置30とサーバ側通信制御装置31との間の第2相互認証が正しく行われなかった場合、クライアント側通信制御装置30は、通信先との通信を許可しない。具体的には、クライアント側通信制御装置30は、通信先から送信された情報をクライアント装置10に出力しない。相互認証が正しく行われなかった場合、通信先がサーバ側通信制御装置31に見せかけた不正な通信装置である可能性があるためである。この場合、クライアント側通信制御装置30は、例えば、相互認証が正しく行われなかった場合の通信記録を通信制御管理装置50に送信するようにしてもよい。これにより、通信制御管理装置50は相互認証が正しく行われなかった場合の通信記録を取得することができ、管理下にあるクライアント側通信制御装置30に対する不正な通信のパターンや頻度を把握することで、ネットワークの異常を監視することができる。
If the second mutual authentication between the client-side
また、クライアント側通信制御装置30は、上記フローチャートのステップS127において行われるハンドシェイクにおいて相互認証の代わりにクライアント装置10に対する通信を許可する通信機器の情報を示す送信先リストに基づいて、通信先との通信を許可するか否かを判定するようにしてもよい。送信先リストに示される通信機器の情報は、例えばURL(Uniform Resource Locator)である。クライアント側通信制御装置30の制御部33は、通信先のURLが送信先リストに登録されているURLである場合に当該通信先との通信を許可し、送信先リストに登録されていない場合には通信を許可しない。
Further, the client-side
また、制御部33は、送信先リストを更新するようにしてもよい。制御部33は、例えば、一定期間にクライアント装置10に対する通信を許可された通信先のURL、および許可されなかった通信先URLを記憶させる。そして、制御部33は、例えば、送信先リストに登録されたURLのうち、一定期間に通信が行われた通信先のURLを再度登録する等することにより送信先リストを更新する。あるいは、クライアント側通信制御装置30は、一定期間に通信を許可された通信先URL、および許可されなかった通信先URLを通信制御管理装置50に送信するようにしてもよい。この場合、例えば、通信制御管理装置50は、クライアント側通信制御装置30と通信を行った通信先URLに基づいて、送信先リストを更新するようにしてもよい。通信制御管理装置50により送信先リストが更新されることで、通信制御管理装置50が管理下にあるクライアント側通信制御装置30と通信する通信機器を一括して管理することができる。
Further, the
また、クライアント側通信制御装置30は、ステップS127において行われるハンドシェイクが確立した後にクライアント装置10に対して送信された情報(例えば、ファームウェアの更新プログラム)の内容が正しいか否かの検証を行うようにしてもよい。例えば、クライアント側通信制御装置30の制御部33は、ネットワークNWを介してクライアント装置10のファームウェアの更新プログラムが送信された場合、検証用の鍵(検証鍵)を用いて検証する。この場合、通信制御管理装置50は、例えば、クライアント側通信制御装置30およびサーバ側通信制御装置31それぞれに検証鍵を送信するようにしてもよい。
Further, the client-side
例えば、サーバ側通信制御装置31は、クライアント装置10へ送信する情報(平文)からハッシュ値を生成し、生成したハッシュ値を検証鍵で暗号化する。そして、サーバ側通信制御装置31は、平文と暗号化したハッシュ値をさらに秘密鍵で暗号してクライアント装置10へ送信する。また、クライアント側通信制御装置30は共通鍵を用いて情報を復号化し、平文と暗号化されたハッシュ値とを取得する。
For example, the server-side
また、クライアント側通信制御装置30は、取得した平文からハッシュ値を生成するとともに、暗号化されたハッシュ値を検証鍵で復号する。クライアント側通信制御装置30は、平文から生成したハッシュ値と、復号化したハッシュ値とが等しい値である場合、クライアント装置10に対して送信された情報は正しい内容であると判定する。この場合、クライアント側通信制御装置30は、復号した情報(平文)をクライアント装置10に出力する。一方、クライアント側通信制御装置30は、平文から生成したハッシュ値と復号化したハッシュ値が等しい値でない場合、クライアント装置10に対して送信された情報は、サーバ装置20またはサーバ側通信制御装置31に見せかけた不正な通信装置から送信された不正な情報である可能性があると判定する。この場合、クライアント側通信制御装置30は、復号した情報(平文)をクライアント装置10に出力しない。
Further, the client-side
これにより、クライアント装置10は、検証済みである正しい内容であることが検証された情報のみを受け取ることができる。また、通常、クライアント装置10がファームウェアを更新する際の更新プログラムの内容が正しいか否かの判定を行うと考えられるが、クライアント装置10に代わりサーバ側通信制御装置31がクライアント装置10に対して送信された情報の内容を検証することにより、クライアント装置10の処理負担を軽減させることが可能となる。
As a result, the
以上説明したように、実施形態の通信制御システム1は、一以上のクライアント装置と、前記クライアント装置により送信された情報を、ネットワークを介して受信するサーバ装置と、前記サーバ装置と有線で接続され、前記サーバ装置と前記ネットワークとの通信を制御するサーバ側通信制御装置と、前記クライアント装置と有線で接続され、前記クライアント装置と前記ネットワークとの通信を制御するクライアント側通信制御装置と、前記クライアント側通信制御装置と無線通信し、前記クライアント側通信制御装置と前記ネットワークとの通信を制御するネットワーク側通信制御装置と、を備え、前記ネットワーク側通信制御装置は、前記第1秘密鍵を生成する鍵生成部と、前記クライアント側通信制御装置の正当性を証明する第1クライアント証明書と、前記ネットワーク側通信制御装置の正当性を証明する第1サーバ証明書とを発行する証明書発行部と、前記第1秘密鍵、前記第1クライアント証明書、および前記第1サーバ証明書を用いる第1相互認証を、前記クライアント側通信制御装置との間で行う認証処理部と、を備え、前記ネットワーク側通信制御装置は、前記クライアント側通信制御装置との前記第1相互認証が成功した場合、前記ネットワークを介して前記クライアント側通信制御装置と前記サーバ側通信制御装置との通信を許可し、通信が許可された前記クライアント側通信制御装置と前記サーバ側通信制御装置は、プライベート認証局により発行された第2秘密鍵、前記クライアント側通信制御装置の正当性を証明する第2クライアント証明書、および前記サーバ側通信制御装置の正当性を証明する第2サーバ証明書を用いる第2相互認証を行うことにより、社会インフラシステムを変更することなく、社会インフラシステムの安全性を向上させることができる。
As described above, the
また、実施形態の通信制御システム1は、クライアント装置10とネットワークNWとの間に接続されるクライアント側通信制御装置30と、サーバ装置20とネットワークNWとの間に接続されるサーバ側通信制御装置31と、を備える。クライアント側通信制御装置30は、ICカード40と、制御部33を有する。制御部33は、ICカード40に、相互認証と暗号化復号処理とのうち少なくとも一方の処理を依頼し、暗号化された情報をサーバ側通信制御装置31に送信し、復号された情報をクライアント装置10に送信する。サーバ側通信制御装置31は、ICカード40と、制御部33を有する。制御部33は、ICカード40に、相互認証と暗号化復号処理とのうち少なくとも一方の処理を依頼し、暗号化された情報をクライアント側通信制御装置30に送信し、復号された情報をサーバ装置20に送信する。この場合、通信制御装置30(31)の制御部33は、ICカード40に相互認証の処理のみをさせてもよいし、暗号化復号処理のみをさせてもよいし、相互認証と暗号化復号処理との両方の処理をさせてもよい。
Further, the
これにより、実施形態の通信制御システム1は、社会インフラシステムを変更することなく、社会インフラシステムの安全性を向上させることができる。クライアント装置10からサーバ装置20に対して送信されたHTTPプロトコルの撮像データ(いわゆる平文)が、クライアント側通信制御装置30により、例えば、SSL/TLSプロトコルと組み合わされて、安全性が向上されたHTTPSに置き換えられるためである。また、サーバ装置20かクライアント装置10らに対して送信された制御データは、暗号化されるが、クライアント側通信制御装置30により復号されて、クライアント装置10に受信されるため、クライアント装置10に復号させる処理を行わせる必要がなく、既存の装置を変更することなくそのまま利用することができる。
Thereby, the
また、実施形態の通信制御システム1では、クライアント側通信制御装置30とサーバ側通信制御装置31とが相互認証を行うため、いずれか一方方向のみの認証を行う場合よりも安全性を向上させることができる。一般的なクライアント端末とサーバ端末においては、サーバ端末に対して不特定多数のクライアント端末が通信を行うため、当該不特定多数のクライアント端末に対して正当なクライアント証明書を発行して管理し続けることは現実的ではない。しかしながら、社会インフラシステムにおいては、クライアント装置10とサーバ装置20の関係は明確に特定されている。このため、クライアント側通信制御装置30とサーバ側通信制御装置31とが相互認証を行うことが可能であり、安全性を向上させることができる。
Further, in the
クライアント証明書を有していないクライアント端末の場合、サーバ端末と通信を行うために、サーバ端末が発行したIDやパスワードの入力を求められることがある。このようなパスワード認証においては、安全性を維持するために、パスワードに対し文字と数字を組合せた長文の文字列が要求されたり、定期的なパスワードの変更等が求められたりすることがある。しかしながら、覚えなければならないパスワードが増えると、管理が面倒になってしまい、パスワードをメモに残したり、ウェブブラウザに記録させたりするなど、かえってパスワードが漏洩してしまう場合があった。 In the case of a client terminal that does not have a client certificate, it may be required to enter an ID or password issued by the server terminal in order to communicate with the server terminal. In such password authentication, in order to maintain security, a long character string combining letters and numbers may be required for the password, or the password may be changed regularly. However, if the number of passwords that must be remembered increases, management becomes troublesome, and there are cases where the password is leaked, such as leaving the password in a memo or recording it in a web browser.
これに対し、実施形態の通信制御システム1では、クライアント側通信制御装置30がクライアント証明書を有することにより、サーバ装置20との間で確実に相互認証を行うことができる。このため、パスワード認証が不要となる。このため、パスワードを入力する手間や定期的に変更して管理する手間がなくなり、ユーザの利便性が向上する。つまり、ユーザに負担をかけることなく安全性を維持することができる。
On the other hand, in the
また、クライアント証明書を有していないクライアント端末が、IDやパスワードによる認証に基づいてサーバ端末と通信を行う場合、IDとパスワードが正しく入力できてしまえば、だれでもサーバ端末と通信することができてしまう。このため、クライアント端末を不正に乗っ取り、サーバ端末へ不正にアクセスすることが可能となってしまう。このため例えば、不正に乗っ取られたサーバ端末によってクライアント端末の機能が制限され、解除するために身代金が要求されるといったランサムウェアに感染する可能性があった。 Also, when a client terminal that does not have a client certificate communicates with the server terminal based on authentication by ID or password, anyone can communicate with the server terminal if the ID and password can be entered correctly. It can be done. Therefore, it becomes possible to illegally take over the client terminal and illegally access the server terminal. For this reason, for example, there is a possibility of being infected with ransomware in which the function of the client terminal is restricted by the illegally hijacked server terminal and a ransom is required to release it.
これに対し、実施形態の通信制御システム1では、クライアント装置10とサーバ装置20との間で、通信制御装置30(31)を介した相互認証が行われることや、アドレス情報に基づいて通信相手のクライアント装置10が制限されることなどにより、クライアント装置10やサーバ装置20が不正に乗っ取られることがない。つまり、実施形態の通信制御システム1では、ランサムウェアに対する対策も可能となる。
On the other hand, in the
また、例えばネットワーク内に、管理者が不在の端末(野良デバイスともいう)がある場合、その端末が不正に乗っ取られることにより、その端末がマルウェア等の攻撃を行う不正な端末として利用されてしまう場合があった。これに対し、実施形態の通信制御システム1では、クライアント装置10とサーバ装置20との間で、通信制御装置30(31)を介した相互認証が行われることや、アドレス情報に基づいて通信相手のクライアント装置10が制限されることなどにより、ネットワークNWの内部にある管理者が不在の端末が不正に乗っ取られて攻撃に利用された場合であっても、マルウェア等に感染することを防止することができる。
In addition, for example, if there is a terminal (also called a stray device) in which the administrator is absent in the network, the terminal is illegally hijacked and the terminal is used as an unauthorized terminal that attacks malware or the like. There was a case. On the other hand, in the
また、実施形態の通信制御システム1では、サーバ装置20がサーバ側通信制御装置31に接続されており、サーバ装置20の内部で認証処理を行わない。このため、サーバ装置20の内部で証明書等を保持する必要がなく、サーバ側通信制御装置31に接続されたサーバ装置20が通信制御管理装置50の管理下であることが明確となる。もっとも、サーバ装置20が、すでにサーバ側通信制御装置31に相当する機能部を有している場合には、必ずしもサーバ装置20とネットワークNWとの間にサーバ側通信制御装置31が物理的に接続される必要はない。この場合、サーバ装置20が元々有するサーバ側通信制御装置31に相当する機能部により、クライアント側通信制御装置30との間の認証処理が行われる。
Further, in the
また、実施形態の通信制御システム1では、ICカード40の制御部40Bにおいて、相互認証と暗号化復号処理とのうち少なくともいずれか一方を行わせる。このため、通信制御装置30(31)の装置コストを抑制することができる。
Further, in the
なお、実施形態の通信制御システム1においては、通信制御装置30(31)に装着されたICカード40が、相互認証と暗号化復号処理とのうち少なくともいずれか一方の処理を行う例を説明したが、当該処理を行う機能部がICカードに限定されることはない。実施形態のICカード40としては、秘密鍵およびクライアント証明書(あるいは、サーバ証明書)を記憶する記憶機能と、相互認証と暗号化復号処理とのうち少なくともいずれか一方を行う処理機能を有している機能部であればよく、例えば、ICチップが搭載されたSIMカードであってもよい。
In the
また、実施形態の通信制御システム1においては、クライアント側通信制御装置30のICカード40は、クライアント側通信制御装置30に対して着脱可能に装着される。これにより、実施形態の通信制御システム1においては、ICカード40とクライアント側通信制御装置30とが分離可能であるため、どちらか一方を交換する場合には、当該一方のデバイスを交換すればよい。例えば、ICカード40とクライアント側通信制御装置30とが一体化された場合には、ICカード40に相当する部分を交換する場合には、クライアント側通信制御装置30全体を交換しなければならないが、この場合と比較して、実施形態の通信制御システム1では、クライアント側通信制御装置30が有するICカード40等の特定の部分を交換する場合のメンテナンスコストを抑制することができる。
Further, in the
また、実施形態の通信制御システム1は、通信制御管理装置50を更に備え、通信制御管理装置50は、クライアント側通信制御装置30に装着されたICカード40に記憶させる秘密鍵、及びクライアント証明書をクライアント側通信制御装置30に送信し、サーバ側通信制御装置31に装着されたICカード40に記憶させる秘密鍵、及びサーバ証明書をサーバ側通信制御装置31に送信する。これにより、実施形態の通信制御システム1は、通信制御管理装置50により発行された正当な秘密鍵、証明書を用いて、ハンドシェイクを行い、共通鍵を決定することができ、上述した効果を奏する他、社会インフラシステムの安全性を更に向上させることができる。
Further, the
以上、実施形態の通信制御システム1について説明したが、実施形態の構成は、上記例に限定されない。例えば、通信制御装置30(31)は、処理の負荷に基づき、ハードウェアにより通信制御装置30(31)の機能を実現するHSM(Hardware Security Module)を用いてもよい。
Although the
また、実施形態の通信制御システム1においては、SSL/TLSプロトコルを用いたセキュアな通信を常時行うようにしてもよいし、SSL/TLSプロトコルを用いた通信を行うか否かを選択可能にしてもよい。また、クライアント装置10とサーバ装置20との間における双方向の通信のうち一方の方向の通信のみをSSL/TLSプロトコルを用いた通信としてもよい。また、SSL/TLSプロトコルを用いたセキュアな通信を常時行うようにしてもよいし、SSL/TLSプロトコルを用いた通信を行うか否かを選択可能にしてもよい。SSL/TLSプロトコルを用いた通信を常時行うようにすることで、通信制御装置30(31)により認証された正当な通信制御装置30(31)とは異なる装置からの通信を遮断することができる。このため、クライアント装置10やサーバ装置20に対する不正なアクセスや、クライアント装置10やサーバ装置20がマルウェアに感染することを抑止することができる。
Further, in the
また、実施形態の通信制御システム1においては、SSL/TLSプロトコルを用いた通信を常時行い、クライアント装置10やサーバ装置20に対する不正なアクセスを記憶するようにしてもよい。この場合、通信制御管理装置50に不正なアクセスの記録が送信されるようにしてもよい。通信制御管理装置50は、不正なアクセスの有無を認識することができ、システム全体に対する大規模攻撃が開始される前の予兆の段階を検出して対策することが可能となる。
Further, in the
また、実施形態の通信制御システム1においては、通信制御装置30(31)に装着するICカード40に、CC(Common Criteria/ISO15408)認証を取得したセキュアエレメントと呼ばれる耐タンパ性の高いチップを搭載してもよい。このチップを用いて、秘密鍵や公開鍵を含む証明書を記憶させることにより、非常に高い安全性を維持することができる。
Further, in the
また、実施形態の通信制御システム1においては、サーバ装置20や通信制御管理装置50等から、通信制御装置30(31)を介して、クライアント装置10のプログラムを更新させるようにしてもよい。通信制御装置30(31)を介してプログラムの更新(ファームウェアのアップデート)が行われることにより、安全にクライアント装置10の機能を更新させることができる。このようにサーバ装置20からクライアント装置10に対してファームウェアが送信される場合、サーバ装置20から送信されるファームウェアには、例えばサーバ側通信制御装置31により暗号化されたサーバ装置20の署名が付与される。この場合、クライアント装置10では、クライアント側通信制御装置30により署名が復号されることにより、送信されたファームウェアが間違いなくサーバ装置20から送信されたファームウェアであると判定することができる。これにより、あたかもサーバ装置20であるかのように装う不正な端末から、不正なファームウェアがクライアント装置10に送信されてしまった場合であっても、クライアント装置10に対し不正なファームウェアに基づく誤った更新がなされてしまうことを排除することができる。
Further, in the
また、このように通信制御装置30(31)を介して通信が行われることにより、サーバ装置20や通信制御管理装置50等からクライアント装置10にファームウェアを安全に更新することができるため、作業員が複数のクライアント装置10に対して物理的に各々のクライアント装置10が設置されている場所まで移動してファームウェアのアップデート作業を行う場合と比較して、作業コストを低減させることも可能である。
Further, by performing communication via the communication control device 30 (31) in this way, the firmware can be safely updated from the
また、実施形態の通信制御システム1においては、サーバ装置20や通信制御管理装置50等から、通信制御装置30(31)を介して、クライアント装置10の起動や停止を行ってもよい。通信制御装置30(31)を介して起動や停止(リモートアクティベーション)が行われることにより、安全にクライアント装置10の機能を更新させることができ、セキュアな遠隔制御を実現させることができる。
Further, in the
なお、上述した実施形態の通信制御システム1において、クライアント側通信制御装置30−1がサーバ側通信制御装置31−1と通信を行う例を説明したが、クライアント側通信制御装置30の通信先はこれに限定されることはない。例えば、クライアント側通信制御装置30−1は、クライアント側通信制御装置30−2と通信を行ってもよい。クライアント側通信制御装置30−1は、クライアント側通信制御装置30−2から通信開始の合図を受信した場合、まずクライアント側通信制御装置30−2との間で相互認証を行い、クライアント側通信制御装置30−2が正当な通信端末であることを確認する。そして、相互認証が正しく行われた場合、クライアント側通信制御装置30−1は、クライアント側通信制御装置30−2から受信した情報をクライアント装置10に出力する。暗号を使用して送信データに認証子が付与されることにより、通信情報の改ざんの検出及び送信者の特定が可能となる。このため、本実施形態の通信制御システム1においては、クライアント側通信制御装置30とサーバ側通信制御装置31との通信、及びクライアント側通信制御装置30同士の通信において、「正しい相手から」、「改ざんされていないデータを受け取る」ことを確実にすることができる。
In the
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。 Although some embodiments of the present invention have been described, these embodiments are presented as examples and are not intended to limit the scope of the invention. These embodiments can be implemented in various other forms, and various omissions, replacements, and changes can be made without departing from the gist of the invention. These embodiments and modifications thereof are included in the scope and gist of the invention as well as the invention described in the claims and the equivalent scope thereof.
例えば、ネットワーク側通信制御装置60は、無線通信のアクセスポイントとして機能するゲートウェイと別装置であってもよい。また、EAP−TLSの認証局として機能する機能構成は、通信制御管理装置50に搭載されてもよい。
For example, the network-side
1…通信制御システム、10…クライアント装置、20…サーバ装置、30…クライアント側通信制御装置、31…サーバ側通信制御装置、33A…仲介処理部、33B…鍵生成部、33C…コマンド処理部、33D…暗号化復号部、60…ネットワーク側通信制御装置、63…制御部、63A…鍵生成部、63B…証明書発行部、63C…証明書更新部、63D…証明書管理部、63E…管理部、63F…サーバ側鍵生成部、63G…コマンド処理部、63H…暗号化復号部 1 ... Communication control system, 10 ... Client device, 20 ... Server device, 30 ... Client side communication control device, 31 ... Server side communication control device, 33A ... Mediation processing unit, 33B ... Key generation unit, 33C ... Command processing unit, 33D ... encryption / decryption unit, 60 ... network side communication control device, 63 ... control unit, 63A ... key generation unit, 63B ... certificate issuing unit, 63C ... certificate renewal unit, 63D ... certificate management unit, 63E ... management Unit, 63F ... Server-side key generation unit, 63G ... Command processing unit, 63H ... Encryption / decryption unit
Claims (6)
前記クライアント装置により送信された情報を、ネットワークを介して受信するサーバ装置と、
前記サーバ装置と有線で接続され、前記サーバ装置と前記ネットワークとの通信を制御するサーバ側通信制御装置と、
前記クライアント装置と有線で接続され、前記クライアント装置と前記ネットワークとの通信を制御するクライアント側通信制御装置と、
前記クライアント側通信制御装置と無線通信し、前記クライアント側通信制御装置と前記ネットワークとの通信を制御するネットワーク側通信制御装置と、を備え、
前記ネットワーク側通信制御装置は、
第1秘密鍵を生成する鍵生成部と、
前記クライアント側通信制御装置の正当性を証明する第1クライアント証明書と、前記ネットワーク側通信制御装置の正当性を証明する第1サーバ証明書とを発行する証明書発行部と、
前記第1秘密鍵、前記第1クライアント証明書、および前記第1サーバ証明書を用いる第1相互認証を、前記クライアント側通信制御装置との間で行う認証処理部と、を備え、
前記ネットワーク側通信制御装置は、
前記クライアント側通信制御装置との前記第1相互認証が成功した場合、前記ネットワークを介して前記クライアント側通信制御装置と前記サーバ側通信制御装置との通信を許可し、
通信が許可された前記クライアント側通信制御装置と前記サーバ側通信制御装置は、
プライベート認証局により発行された第2秘密鍵、前記クライアント側通信制御装置の正当性を証明する第2クライアント証明書、および前記サーバ側通信制御装置の正当性を証明する第2サーバ証明書を用いる第2相互認証を行う、
通信制御システム。 With one or more client devices,
A server device that receives information transmitted by the client device via a network, and a server device.
A server-side communication control device that is connected to the server device by wire and controls communication between the server device and the network.
A client-side communication control device that is connected to the client device by wire and controls communication between the client device and the network.
A network-side communication control device that wirelessly communicates with the client-side communication control device and controls communication between the client-side communication control device and the network is provided.
The network side communication control device is
The key generator that generates the first private key,
A certificate issuing unit that issues a first client certificate that certifies the validity of the client-side communication control device and a first server certificate that certifies the validity of the network-side communication control device.
It includes an authentication processing unit that performs a first mutual authentication using the first private key, the first client certificate, and the first server certificate with the client-side communication control device.
The network side communication control device is
When the first mutual authentication with the client-side communication control device is successful, communication between the client-side communication control device and the server-side communication control device is permitted via the network.
The client-side communication control device and the server-side communication control device that are permitted to communicate are
A second private key issued by a private certificate authority, a second client certificate certifying the validity of the client-side communication control device, and a second server certificate certifying the validity of the server-side communication control device are used. Perform the second mutual authentication,
Communication control system.
前記第2相互認証が成功した場合、前記第2相互認証により決定された共通鍵を用いて前記クライアント装置により前記サーバ装置に対して送信される情報を暗号化し、前記暗号化された情報を前記ネットワーク側通信制御装置および前記ネットワークを介して前記サーバ側通信制御装置に送信するとともに、前記サーバ装置により前記クライアント装置に対して送信された情報を復号し、復号された情報を前記クライアント装置に送信し、
前記サーバ側通信制御装置は、
前記第2相互認証が成功した場合、前記共通鍵を用いて前記サーバ装置により前記クライアント装置に対して送信される情報を暗号化し、前記暗号化された情報を前記ネットワークおよび前記ネットワーク側通信制御装置を介して前記クライアント側通信制御装置に送信するとともに、前記クライアント装置により前記サーバ装置に対して送信された情報を復号し、前記復号された情報を前記サーバ装置に送信する、
請求項1に記載の通信制御システム。 The client-side communication control device is
When the second mutual authentication is successful, the information transmitted by the client device to the server device is encrypted using the common key determined by the second mutual authentication, and the encrypted information is used as described above. It is transmitted to the server-side communication control device via the network-side communication control device and the network, the information transmitted to the client device by the server device is decoded, and the decoded information is transmitted to the client device. And
The server-side communication control device is
When the second mutual authentication is successful, the information transmitted to the client device by the server device is encrypted using the common key, and the encrypted information is used for the network and the network-side communication control device. It is transmitted to the client-side communication control device via the above, the information transmitted to the server device by the client device is decoded, and the decoded information is transmitted to the server device.
The communication control system according to claim 1.
無線通信のアクセスポイントとして機能するゲートウェイである、
請求項1または2に記載の通信制御システム。 The network side communication control device is
A gateway that functions as an access point for wireless communication,
The communication control system according to claim 1 or 2.
EAP−TLS認証を用いて、前記第1相互認証を行う、
請求項1から3のうちいずれか一項に記載の通信制御システム。 The network side communication control device is
The first mutual authentication is performed using EAP-TLS authentication.
The communication control system according to any one of claims 1 to 3.
前記クライアント側通信制御装置により生成された第1クライアント公開鍵を前記第1秘密鍵で暗号化した情報と、デジタル署名とに基づいて、前記第1クライアント証明書を発行し、
第1サーバ公開鍵を生成して、生成した前記第1サーバ公開鍵を前記第1秘密鍵で暗号化した情報と、前記デジタル署名とに基づいて、前記第1サーバ証明書を発行する、
請求項1から3のうちいずれか一項に記載の通信制御システム。 The certificate issuing unit of the network-side communication control device is
The first client certificate is issued based on the information obtained by encrypting the first client public key generated by the client-side communication control device with the first private key and the digital signature.
A first server public key is generated, and the first server certificate is issued based on the information obtained by encrypting the generated first server public key with the first private key and the digital signature.
The communication control system according to any one of claims 1 to 3.
前記クライアント側通信制御装置からの証明書発行リクエストに応じて前記第1クライアント証明書とルート証明書とを発行して、発行した前記第1クライアント証明書と前記ルート証明書とを前記クライアント側通信制御装置に送信するとともに、前記クライアント側通信制御装置からの接続要求に応じて前記第1サーバ証明書を前記クライアント側通信制御装置に送信し、
前記クライアント側通信制御装置は、
前記ネットワーク側通信制御装置から受信した前記ルート証明書と前記第1サーバ証明書とに基づいて前記ネットワーク側通信制御装置を認証し、前記ネットワーク側通信制御装置を認証した場合、前記第1クライアント証明書を前記ネットワーク側通信制御装置に送信し、
前記ネットワーク側通信制御装置は、
前記クライアント側通信制御装置から受信した前記第1クライアント証明書と自身が発行した前記ルート証明書とに基づいて、前記クライアント側通信制御装置を認証し、前記クライアント側通信制御装置を認証した場合、前記第1相互認証が成功であると判定する、
請求項1から3のうちいずれか一項に記載の通信制御システム。 The network side communication control device is
The first client certificate and the root certificate are issued in response to a certificate issuance request from the client-side communication control device, and the issued first client certificate and the root certificate are communicated with the client-side communication. In addition to transmitting to the control device, the first server certificate is transmitted to the client-side communication control device in response to a connection request from the client-side communication control device.
The client-side communication control device is
When the network side communication control device is authenticated based on the root certificate received from the network side communication control device and the first server certificate, and the network side communication control device is authenticated, the first client certification Send the certificate to the network side communication control device,
The network side communication control device is
When the client-side communication control device is authenticated and the client-side communication control device is authenticated based on the first client certificate received from the client-side communication control device and the root certificate issued by the client-side communication control device. Judging that the first mutual authentication is successful,
The communication control system according to any one of claims 1 to 3.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2019026714A JP7132150B2 (en) | 2019-02-18 | 2019-02-18 | Communication control system |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2019026714A JP7132150B2 (en) | 2019-02-18 | 2019-02-18 | Communication control system |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2020136863A true JP2020136863A (en) | 2020-08-31 |
JP7132150B2 JP7132150B2 (en) | 2022-09-06 |
Family
ID=72263723
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2019026714A Active JP7132150B2 (en) | 2019-02-18 | 2019-02-18 | Communication control system |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP7132150B2 (en) |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2022190422A1 (en) * | 2021-03-11 | 2022-09-15 | オムロン株式会社 | Control system and control method therefor |
JP2022169485A (en) * | 2021-04-27 | 2022-11-09 | メクサス インコーポレイテッド | Remote control solution server for integrated management of internet of things device and 5g/lte wireless router |
Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2002374570A (en) * | 2001-06-14 | 2002-12-26 | Sony Corp | Communication method and its system, communication unit and processing unit |
US20160065370A1 (en) * | 2014-08-29 | 2016-03-03 | Eric Le Saint | Methods for secure cryptogram generation |
-
2019
- 2019-02-18 JP JP2019026714A patent/JP7132150B2/en active Active
Patent Citations (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2002374570A (en) * | 2001-06-14 | 2002-12-26 | Sony Corp | Communication method and its system, communication unit and processing unit |
US20160065370A1 (en) * | 2014-08-29 | 2016-03-03 | Eric Le Saint | Methods for secure cryptogram generation |
Cited By (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2022190422A1 (en) * | 2021-03-11 | 2022-09-15 | オムロン株式会社 | Control system and control method therefor |
JP2022169485A (en) * | 2021-04-27 | 2022-11-09 | メクサス インコーポレイテッド | Remote control solution server for integrated management of internet of things device and 5g/lte wireless router |
Also Published As
Publication number | Publication date |
---|---|
JP7132150B2 (en) | 2022-09-06 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP6644037B2 (en) | Communication control system | |
JP7132150B2 (en) | Communication control system | |
JP2010045542A (en) | Authentication system, connection controller, authentication device, and transfer device | |
KR102322605B1 (en) | Method for setting secret key and authenticating mutual device of internet of things environment | |
KR102472471B1 (en) | Blockchain-based access control method for the internet of thing device | |
US11736219B2 (en) | Communication control device and communication control system | |
JP7246945B2 (en) | Communication control unit | |
JP7042853B2 (en) | Client-side communication control device and server-side communication control device | |
JP7163206B2 (en) | communication controller | |
KR102416562B1 (en) | Blockchain-based authenticaton and revocation method for the internet of things device | |
JP7458470B2 (en) | Communication control device | |
JP7273523B2 (en) | Communication control device and communication control system | |
WO2023176431A1 (en) | Information processing device, and communication system | |
US20230403177A1 (en) | Communication system and computer-readable storage medium | |
GB2570292A (en) | Data protection | |
JP2024008566A (en) | Information processing device and communication system | |
JP2021179690A (en) | Communication system, repeater, communication method, and program | |
JP2021168079A (en) | Communication system, repeating device, communication method, and program |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20210916 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20220630 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20220726 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20220825 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 7132150 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |