JP6529820B2 - 通信装置及びプログラム - Google Patents

Description

本発明は、暗号化通信に関する。

暗号化通信の技術として、例えば、特許文献１には、ＨＴＴＰＳ通信においてＵＲＬフィルタリングを行う技術が開示されている。

ＷＯ２００９／０５４０４７号公報

例えば企業で使用される社員用のパーソナルコンピュータにおいては、望ましくない通信先との通信が制限されることがある。特許文献１の技術を用いれば、暗号化通信においても、通信先に応じた通信の制限が可能である。しかし、特許文献１の技術では、暗号化されたデータの内容に応じた通信の制限まではできない。また、近年のコンプライアンス遵守の要望の高まりにより、通信の記録を残す取り組みも多く見られるが、暗号化通信の場合、どのような内容のデータがやり取りされたかということまでは記録を残すことが難しい。
そこで、本発明は、暗号化通信でやり取りされるデータの内容に応じた処理を行うことを目的とする。

上記目的を達成するために、本発明は、ウェブサーバと第１の暗号化通信を行う第１通信部と、前記ウェブサーバにより処理されるデータを送信するウェブアプリ部と、前記ウェブアプリ部と第２の暗号化通信を行う第２通信部と、前記ウェブアプリ部から送信されてきて前記第２通信部により復号化されたデータを前記第１通信部に転送する転送部と、前記復号化されたデータを用いた処理を行う処理部と、認証局により発行され且つ公開鍵を含む証明書を前記ウェブアプリ部に提供する証明書提供部とを備え、前記ウェブアプリ部には、前記認証局の署名を有するルート証明書が登録されており、前記第２通信部は、前記公開鍵に対応する秘密鍵又は当該秘密鍵を用いて前記ウェブアプリ部と交換した共通鍵を用いて前記第２の暗号化通信を行う通信装置を提供する。

また、前記証明書提供部は、自身を前記認証局として、前記ウェブアプリ部に提供する証明書を発行してもよい。

また、前記ウェブアプリ部には、複数の前記ルート証明書が登録されており、前記証明書提供部は、前記複数のルート証明書の中から、前記ウェブサーバの種類、前記ウェブアプリ部を実現するウェブアプリケーションプログラムの種類又は前記ウェブアプリ部が送信するデータの通信に用いられる通信プロトコルの種類に応じたルート証明書を選択し、選択したルート証明書により証明される署名がされた前記証明書を前記ウェブアプリ部に提供してもよい。

また、前記処理部は、前記復号化されたデータを記録する処理又は当該データが条件を満たす場合に当該データの内容を差し替える処理を前記処理として行ってもよい。

また、前記ウェブアプリ部から前記ウェブサーバに向けて送信されたデータを受け取り、前記第１通信部、前記第２通信部及び前記転送部を経由する第１通信路と、当該各部を経由しない第２通信路のいずれかに当該データの経路を振り分ける振分部であって、前記ウェブアプリ部を実現するウェブアプリケーションプログラムの種類に応じて当該データの経路を振り分ける振分部を備えていてもよい。

また、本発明は、ウェブサーバにより処理されるデータを送信するウェブアプリ部を備える通信装置を制御するコンピュータを、前記ウェブサーバと第１の暗号化通信を行う第１通信部と、前記ウェブアプリ部と第２の暗号化通信を行う第２通信部と、前記ウェブサーバから送信されてきて前記第１通信部により復号化されたデータを前記第２通信部に転送する転送部と、前記復号化されたデータを用いた処理を行う処理部と、認証局により発行され且つ公開鍵を含む証明書を前記ウェブアプリ部に提供する証明書提供部として機能させ、前記ウェブアプリ部には、前記認証局の署名を有するルート証明書が登録されており、前記第２通信部は、前記公開鍵に対応する秘密鍵又は当該秘密鍵を用いて前記ウェブアプリ部と交換した共通鍵を用いて前記第２の暗号化通信を行うプログラムを提供する。

本発明によれば、暗号化通信でやり取りされるデータの内容に応じた処理を行うことができる。

第１実施例に係る通信監視システムの全体構成の一例を表す図 ユーザ装置のハードウェア構成を表す図 ウェブサーバのハードウェア構成を表す図 監視サーバのハードウェア構成を表す図 各装置が実現する機能構成を表す図 通信監視処理における動作手順の一例を表す図 第２実施例に係る通信監視システムの全体構成の一例を表す図 各装置が実現する機能構成を表す図 有効期間テーブルの一例を表す図

［１］第１実施例
図１は第１実施例に係る通信監視システム１の全体構成の一例を表す。通信監視システム１は、ユーザ装置が行う通信を監視するためのシステムである。通信監視システム１は、イントラネット２と、インターネット３と、ユーザ装置１０と、ウェブサーバ２０と、監視サーバ３０とを備える。

ユーザ装置１０は、例えばパーソナルコンピュータやノートパソコン等の情報処理装置であり、ユーザ（企業の社員など）によって利用される。ユーザ装置１０は、イントラネット２に接続されている。イントラネット２は例えば社内ＬＡＮ（Local Area Network）であり、インターネット３に接続されている。ユーザ装置１０は、イントラネット２及びインターネット３の両方又は一方を介してウェブサーバ２０及び監視サーバ３０と通信を行う通信装置でもある。なお、ユーザ装置１０は、例えば出張先でイントラネット２に接続するため、インターネット３を介してイントラネット２に接続できるようになっていてもよい。また、図１ではユーザ装置１０が有線でイントラネット２と接続されているが、無線で接続されていてもよい。

ウェブサーバ２０は、ウェブページ等の各種のコンテンツのデータを記憶しており、ユーザ装置１０から要求されるとそれらのデータを要求元のユーザ装置１０に送信する。なお、図１ではウェブサーバ２０はインターネット３に接続されているが、イントラネット２に接続されていてもよい。監視サーバ３０は、イントラネット２に接続され、ユーザ装置１０が行う通信を監視する。

図２はユーザ装置１０のハードウェア構成を表す。ユーザ装置１０は、制御部１１と、記憶部１２と、通信部１３と、表示部１４と、操作部１５とを備えるコンピュータである。制御部１１は、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）及びリアルタイムクロックを備え、ＣＰＵが、ＲＡＭをワークエリアとして用いてＲＯＭや記憶部１２に記憶されたプログラムを実行することによって各部の動作を制御する。リアルタイムクロックは、現在の日時を算出してＣＰＵに通知する。

記憶部１２は、ＨＤＤ（Hard disk drive）等を備え、制御部１１が制御に用いるデータやプログラムなどを記憶している。記憶部１２は、ブラウザやグループウェア、業務用アプリケーションなどの各種のウェブアプリケーションプログラム（以下「ウェブアプリ」という）を記憶している。ウェブアプリは、ウェブサーバ２０とのＷＷＷ（World Wide Web）の技術を用いた通信を伴う機能（ウェブページの表示や掲示板への投稿、ワークフローシステムにおける稟議の手続きなど）を実現する。また、記憶部１２は、後述するローカルプロキシ部１２０を実現するプロキシプログラムと、監視モジュール部１３０を実現する監視プログラムとを記憶している。

通信部１３は、イントラネット２及びインターネット３を介した通信を行うための通信回路を備え、例えばウェブサーバ２０と通信を行う。表示部１４は、液晶ディスプレイ等を有し、制御部１１からの制御に基づいて画像を表示する。操作部１５は、キーボード等を有し、ユーザの操作を受け付ける。

図３はウェブサーバ２０のハードウェア構成を表す。ウェブサーバ２０は、制御部２１と、記憶部２２と、通信部２３とを備えるコンピュータである。制御部２１、記憶部２２及び通信部２３は、図２に表された制御部１１、記憶部１２及び通信部１３と同種のハードウェアである。
図４は監視サーバ３０のハードウェア構成を表す。監視サーバ３０は、制御部３１と、記憶部３２と、通信部３３とを備えるコンピュータである。制御部３１、記憶部３２及び通信部３３は、図２に表された制御部１１、記憶部１２及び通信部１３と同種のハードウェアである。

ユーザ装置１０及び監視サーバ３０の各制御部が自装置の記憶部に記憶されているプログラムを実行して自装置の各部を制御することで、以下に述べる機能が実現される。
図５は各装置が実現する機能構成を表す。ユーザ装置１０は、ウェブアプリ部１１０（ウェブアプリにより実現）と、ローカルプロキシ部１２０（プロキシプログラムにより実現）と、監視モジュール部１３０（監視プログラムにより実現）とを備える。ウェブサーバ２０は、サーバ証明書送信部２０１と、暗号化データ送受信部２０３とを備え、監視サーバ３０は、記録部３０１を備える。

ユーザ装置１０のウェブアプリ部１１０は、上述したウェブアプリによって実現されるＷＷＷの技術を用いた通信を伴う機能であり、ウェブサーバ２０と通信を行う通信部である。ウェブアプリ部１１０は、ウェブサーバ２０により処理されるデータを送信する。一方、ウェブサーバ２０は、ウェブアプリ部１１０により処理されるデータを送信する。本実施例では、ウェブアプリ部１１０及びウェブサーバ２０は、ＨＴＴＰＳ（Hypertext Transfer Protocol Secure）のプロトコルに準拠した暗号化通信を行う。ローカルプロキシ部１２０は、ウェブアプリ部１１０とウェブサーバ２０との通信を中継する中継部である。監視モジュール部１３０は、ウェブアプリ部１１０とウェブサーバ２０との通信を監視する監視部である。

ウェブアプリ部１１０は、サーバ証明書要求部１１１と、セッション確立部１１２と、暗号化データ送受信部１１３と、データ処理部１１４とを備える。ローカルプロキシ部１２０は、要求転送部１２１と、代替証明書提供部１２２と、セッション確立部１２３と、セッション確立部１２４と、データ転送部１２５とを備える。データ転送部１２５は、第１通信部２５１と、第２通信部２５２と、転送部２５３とを備える。

サーバ証明書要求部１１１は、サーバ証明書をウェブサーバ２０に要求する。例えばユーザによってウェブサーバ２０のＵＲＬ（Uniform Resource Locator）を入力し又は選択する操作が行われると、サーバ証明書要求部１１１は、そのＵＲＬを送信先としてサーバ証明書を要求する要求データを送信する。送信された要求データは要求転送部１２１に供給される。要求転送部１２１は、ウェブアプリ部１１０からのサーバ証明書の要求をウェブサーバ２０に転送する。要求転送部１２１は、サーバ証明書要求部１１１から供給された要求データを、その送信先であるＵＲＬに向けて転送する。転送された要求データはウェブサーバ２０のサーバ証明書送信部２０１に供給される。

サーバ証明書送信部２０１は、要求されたサーバ証明書を要求元のユーザ装置１０に送信する。このサーバ証明書は、ユーザ装置１０にインストールされてウェブアプリ部１１０に登録された証明書を発行した認証局（ルート認証局又は中間認証局）によって発行されたものである。以下ではこの認証局を「第１の認証局」といい、この証明書を「第１の証明書」という。このサーバ証明書には公開鍵が含まれており、ウェブサーバ２０は、第１の認証局から提供された、その公開鍵に対応する秘密鍵を保有している。

秘密鍵に対応する公開鍵とは、公開鍵で暗号化したデータは秘密鍵で復号化することができ、秘密鍵で暗号化したデータを公開鍵で復号化することができるということである。以下ではウェブサーバ２０が保有する秘密鍵を「第１秘密鍵」といい、サーバ証明書に含まれる公開鍵を「第１公開鍵」という。ユーザ装置１０に送信されたサーバ証明書は、ローカルプロキシ部１２０の代替証明書提供部１２２及びセッション確立部１２３に供給される。

代替証明書提供部１２２は、認証局により発行され且つ公開鍵を含む証明書として、サーバ証明書を代替する代替証明書をウェブアプリ部１１０に提供する。代替証明書提供部１２２は本発明の「証明書提供部」の一例である。以下ではこの認証局を「第２の認証局」といい、公開鍵を「第２の公開鍵」という。ルート証明書はウェブサーバ毎に設定されるので、第１の認証局は第２の認証局とは異なっていてもよいし、同じであってもよい。ウェブアプリ部１１０には、第２の認証局の署名を有するルート証明書が登録されている。以下ではこのルート証明書を「第２の証明書」という。第２の認証局は本発明の「認証局」の一例であり、第２の証明書は本発明の「ルート証明書」の一例である。また、ローカルプロキシ部１２０は、この第２の公開鍵に対応する秘密鍵を保有している。以下ではこの秘密鍵を「第２の秘密鍵」という。

本実施例では、代替証明書提供部１２２は、自身を第２の認証局として、ウェブアプリ部１１０に提供する証明書を発行する。証明書の発行は、有効期限や公開鍵、コモンネームなどを含む証明書の情報に、その情報のハッシュ値を秘密鍵で暗号化した署名を付すことで行われる。代替証明書提供部１２２は、ウェブサーバ２０のＵＲＬをコモンネームとし、ローカルプロキシ部１２０で保有している第２の秘密鍵で署名した署名書を代替証明書として発行する。代替証明書提供部１２２は、要求転送部１２１により転送された要求に対する応答でサーバ証明書が送信されてくると、このサーバ証明書を代替する代替証明書を発行してウェブアプリ部１１０に提供する。

ローカルプロキシ部１２０のセッション確立部１２３は、ウェブサーバ２０のセッション確立部２０２とデータをやり取りして、ウェブサーバ２０との暗号化データ通信（ＳＳＬ（Secure Sockets Layer）通信）のセッションを確立する。セッション確立部１２３は、共通鍵を生成する。以下ではセッション確立部１２３が生成した共通鍵を「第１共通鍵」という。セッション確立部１２３は、生成した第１共通鍵を、第１公開鍵、すなわちウェブサーバ２０から送信されてきたサーバ証明書に含まれている公開鍵で暗号化してウェブサーバ２０に送信する。

セッション確立部２０２は送信されてきた第１共通鍵を、自装置（ウェブサーバ２０）が保有する第１秘密鍵を用いて復号化する。このようにして、セッション確立部１２３は、サーバ証明書に含まれる第１公開鍵を用いてセッション確立部２０２と第１共通鍵を交換する。セッション確立部２０２はこうして提供された第１共通鍵を暗号化データ送受信部２０３に供給する。一方、セッション確立部１２３は、生成した第１共通鍵を第１通信部２５１に提供する。

暗号化データ送受信部２０３は、供給された第１共通鍵でデータを暗号化して送信し、その第１共通鍵で暗号化されたデータを受信すると、同じくその第１共通鍵で復号化する。暗号化データ送受信部２０３は、例えば暗号化されたＨＴＴＰリクエストを受信して第１共通鍵で復号化し、そのＨＴＴＰリクエストで要求されたコンテンツ（ウェブページなど）のデータを第１共通鍵で暗号化して送信する。

ウェブアプリ部１１０に提供された代替証明書はセッション確立部１１２に供給される。セッション確立部１１２は、ローカルプロキシ部１２０のセッション確立部１２４とデータをやり取りして、ローカルプロキシ部１２０との暗号化データ通信のセッションを確立する。セッション確立部１１２は、代替証明書が供給されると、代替証明書を発行した第２の認証局の第２の証明書がウェブアプリ部１１０に登録されているため、この代替証明書が信頼できるものと判断し、共通鍵を生成して暗号化データ送受信部１１３に提供する。以下ではセッション確立部１１２が生成した共通鍵を「第２共通鍵」という。また、セッション確立部１１２は、生成した第２共通鍵を、代替証明書に含まれる第２公開鍵で暗号化してローカルプロキシ部１２０に提供する。ローカルプロキシ部１２０に提供された第２共通鍵はセッション確立部１２４に供給される。

なお、セッション確立部１１２は、ウェブサーバ２０のサーバ証明書が供給された場合には、上述したように、サーバ証明書を発行した第１の認証局により発行された第１の証明書がウェブアプリ部１１０に登録されているため、このサーバ証明書が信頼できるものと判断し、共通鍵を生成して暗号化データ送受信部１１３に提供する。このように、セッション確立部１１２は、ウェブサーバ２０のサーバ証明書と供給された代替証明書との区別がつかないため、サーバ証明書と代替証明書のどちらが供給された場合でも、供給された方の証明書が信頼できるものだと判断し、その証明書を用いてセッションを確立する。

セッション確立部１２４は、第２公開鍵で暗号化された第２共通鍵を受け取ると、ローカルプロキシ部１２０が保有する第２秘密鍵で復号化する。このようにして、セッション確立部１１２は、代替証明書に含まれる第２公開鍵を用いてセッション確立部１２４と第２共通鍵を交換する。セッション確立部１２４は復号化した第２共通鍵を第２通信部２５２に供給する。

暗号化データ送受信部１１３は、セッション確立部１１２から供給された第２共通鍵でデータを暗号化して送信し、その第２共通鍵で暗号化されたデータを受信すると、同じくその第２共通鍵で復号化する。暗号化データ送受信部１１３は、例えばＨＴＴＰリクエストを第２共通鍵で暗号化してウェブサーバ２０に向けて送信し、そのＨＴＴＰリクエストの応答で送信されてきたコンテンツ（ウェブページなど）のデータを第２共通鍵で復号化する。暗号化データ送受信部１１３は、復号化したデータをデータ処理部１１４に供給する。

データ処理部１１４は、ウェブアプリの機能に応じたデータ処理を行う。例えばウェブアプリがブラウザであれば、ＨＴＴＰリクエストを生成する処理やコンテンツのデータを表示する処理などを行う。また、ウェブアプリがグループウェアであれば、文書データを掲示板に保存する処理や申請データの承認を承認者に要求する要求データを生成する処理などを行う。データ処理部１１４は、暗号化データ送受信部１１３から供給された、復号化されたデータを処理する。また、データ処理部１１４が処理したデータを暗号化データ送受信部１１３に供給すると、暗号化データ送受信部１１３がそのデータを第２共通鍵で暗号化してウェブサーバ２０に向けて送信する。こうして送信されたデータはローカルプロキシ部１２０の第２通信部２５２に供給される。

第１通信部２５１には、上述したとおり、セッション確立部１２３から第１共通鍵が供給されている。第１通信部２５１は、暗号化データ送受信部２０３から送信されてきた、第１共通鍵により暗号化されたデータを、同じく第１共通鍵で復号化する。第１通信部２５１は、復号化したデータを転送部２５３に供給する。第２通信部２５２には、上述したとおり、セッション確立部１２４から第２共通鍵が供給されている。第２通信部２５２は、暗号化データ送受信部１１３から供給された、第２共通鍵により暗号化されたデータを、同じく第２共通鍵で復号化する。第２通信部２５２は、復号化したデータを転送部２５３に供給する。

転送部２５３は、第１通信部２５１から要求されたデータを第２通信部２５２に供給し、第２通信部２５２から要求されたデータを第１通信部２５１に供給する。このように、転送部２５３は、ウェブサーバ２０から送信されてきて第１通信部２５１により復号化されたデータを第２通信部２５２に転送する。転送部２５３は、ウェブアプリ部１１０から送信されてきて第２通信部２５２により復号化されたデータを第１通信部２５１に転送する。

第１通信部２５１は、転送部２５３により転送されてきたからデータを第１共通鍵で暗号化してウェブサーバ２０に送信する。このようにして第１通信部２５１は、ウェブアプリ部１１０と暗号化通信を行う。以下ではこの暗号化通信を「第１の暗号化通信」という。詳細には、第１通信部２５１は、ウェブアプリ部１１０からの要求に応答してウェブサーバ２０から送信されてくるサーバ証明書に含まれる第１公開鍵を用いてセッション確立部１２３によりウェブサーバ２０と交換された第１共通鍵を用いて第１の暗号化通信を行う。

第２通信部２５２は、転送部２５３により転送されてきたデータを第２共通鍵で暗号化してウェブアプリ部１１０に送信する。このようにして第２通信部２５２は、ウェブアプリ部１１０と暗号化通信を行う。以下ではこの暗号化通信を「第２の暗号化通信」という。詳細には、第２通信部２５２は、代替証明書に含まれる第２公開鍵に対応する第２秘密鍵を用いてセッション確立部１２４によりウェブアプリ部１１０と交換された第２共通鍵を用いて第２の暗号化通信を行う。

第１通信部２５１、第２通信部２５２及び転送部２５３、すなわちデータ転送部１２５は、ウェブアプリ部１１０及びウェブサーバ２０の通信を中継する。その際、データ転送部１２５は、ウェブアプリ部１１０及びウェブサーバ２０の一方から送信されてきたデータを復号化し、復号化したデータを暗号化して他方に転送する。このようにデータ転送部１２５はデータの転送処理を行う。

監視モジュール部１３０は、前述したデータ転送部１２５による転送処理において復号化されたデータを用いた処理（以下「復号化データ処理」という）を行う。監視モジュール部１３０は本発明の「処理部」の一例である。ここでいう復号化されたデータは、ウェブサーバ２０から送信されてきたデータを第１通信部２５１が第１共通鍵を用いて復号化したデータである場合と、ウェブアプリ部１１０から送信されてきたデータを第２通信部２５２が第２共通鍵を用いて復号化したデータである場合とがある。監視モジュール部１３０は、第１通信部２５１及び第２通信部２５２の動作を監視して、復号化されたデータがＲＡＭに記憶された場合に、ＲＡＭからそのデータを読み出して、読み出したデータ（すなわち復号化されたデータ）を用いた復号化データ処理を行う。

監視モジュール部１３０は、本実施例では、転送処理において復号化されたデータを記録する記録処理と、その復号化されたデータが条件を満たす場合にそのデータの通信を中止させる中止処理とを復号化データ処理として行う。監視モジュール部１３０は、例えば、復号化されたデータと、そのデータがウェブアプリ部１１０又はウェブサーバ２０から送信されてきた時刻の情報とを監視サーバ３０に送信する処理を記録処理として行う。送信されたデータ及び時刻の情報は、監視サーバ３０の記録部３０１に供給され、記録部３０１は、供給されたデータ及び時刻の情報を対応付けて記録する。

なお、監視モジュール部１３０は、データそのものではなく、復号化されたデータを特定する情報（データのファイル名や属性など）を送信してもよい。また、監視モジュール部１３０は、例えば復号化されたデータ内の文字列を解析し、決められたレベル以上の機密情報が含まれていると判断された場合に、転送部２５３にそのデータの転送を中止するように指示する。転送部２５３はこの指示を受け取ると、第１通信部２５１及び第２通信部２５２の間のデータの転送を中止する。なお、監視モジュール部１３０は、第１通信部２５１又は第２通信部２５２に、転送部２５３から転送されてきたデータの暗号化又は暗号化したデータの送信のいずれかの中止を指示してもよい。いずれの場合も、データ転送部１２５において復号化されたデータの通信が中止される。

また、監視モジュール部１３０は、復号化されたデータの解析結果に加えてそのデータの送信先に応じて転送の中止の有無を判断してもよい。例えば復号化されたデータに含まれる機密情報のレベルが決められたレベル未満であれば、監視モジュール部１３０は、企業内で運用されているウェブサーバ２０への転送は許可し、外部のウェブサーバ２０への転送は中止させるといった具合である。

通信監視システム１が備える各装置は、上記構成に基づいて、ウェブアプリ部１１０とウェブサーバ２０との通信を監視する通信監視処理を行う。
図６は通信監視処理における動作手順の一例を表す。図６では、ユーザ装置１０の動作をウェブアプリ部１１０、ローカルプロキシ部１２０及び監視モジュール部１３０に分けて表している。この動作手順は、例えばユーザがユーザ装置１０を操作してウェブサーバ２０のＵＲＬを入力又は選択する操作を行うことを契機に開始される。

まず、ウェブアプリ部１１０（サーバ証明書要求部１１１）は、ウェブサーバ２０にサーバ証明書を要求する（ステップＳ１１）。ローカルプロキシ部１２０（要求転送部１２１）は、このサーバ証明書の要求をウェブサーバ２０に転送する（ステップＳ１２）。ウェブサーバ２０（サーバ証明書送信部２０１）は、要求されたサーバ証明書を送信する（ステップＳ１３）。ローカルプロキシ部１２０（代替証明書提供部１２２）は、サーバ証明書を受け取ると、代替証明書を発行し（ステップＳ１４）、発行した代替証明書をウェブアプリ部１１０に提供する（ステップＳ１５）。

次に、ローカルプロキシ部１２０（セッション確立部１２３）とウェブサーバ２０（セッション確立部２０２）とが第１の暗号化通信のセッションを確立する（ステップＳ２１）。このときに第１共通鍵がローカルプロキシ部１２０とウェブサーバ２０との間で交換される。また、ウェブアプリ部１１０（セッション確立部１１２）とローカルプロキシ部１２０（セッション確立部１２４）とが第２の暗号化通信のセッションを確立する（ステップＳ２２）。このときに第２共通鍵がウェブアプリ部１１０とローカルプロキシ部１２０との間で交換される。ステップＳ２１及びＳ２２はどちらが先に行われてもよいし、並行して行われてもよい。

続いて、ウェブアプリ部１１０（暗号化データ送受信部１１３）が第２共通鍵で暗号化したデータをウェブサーバ２０に向けて送信する（ステップＳ３１）。ローカルプロキシ部１２０（第１通信部２５１）は、ウェブアプリ部１１０から送信されたデータを、第２共通鍵を用いて復号化する（ステップＳ３２）。次に、監視モジュール部１３０が、復号化されたデータを参照し（ステップＳ４１）、そのデータの転送を中止させる条件が満たされたか否か（例えば所定のレベル以上の機密情報が含まれているか否か）を判断する（ステップＳ４２）。

監視モジュール部１３０は、条件が満たされている（ＹＥＳ）と判断した場合には、ローカルプロキシ部１２０（転送部２５３）に転送の中止を指示し（ステップＳ４３）、ローカルプロキシ部１２０（転送部２５３）はその指示に従い復号化されたデータの転送を中止する（ステップＳ３３）。監視モジュール部１３０は、条件が満たされていない（ＮＯ）と判断した場合には、ローカルプロキシ部１２０（転送部２５３）に転送の許可を通知する（ステップＳ４４）。ローカルプロキシ部１２０（転送部２５３）は、その通知を受け取ると、ステップＳ３２で復号化されたデータを転送する（ステップＳ３４）。

そして、ローカルプロキシ部１２０（第２通信部２５２）は、転送されたデータを第２共通鍵で暗号化し（ステップＳ３５）、ウェブサーバ２０に送信する（ステップＳ３６）。なお、ステップＳ３５（データの暗号化）の動作は、ステップＳ３３よりも前に行われていてもよい。また、監視モジュール部１３０は、ステップＳ４１で参照した復号化されたデータを監視サーバ３０に送信し（ステップＳ６１）、監視サーバ３０（記録部３０１）がそのデータを記録する（ステップＳ６２）。なお、ステップＳ６１及びＳ６２の動作は、ステップＳ４２よりも前に行われてもよいし、それと並行して行われてもよい。

本実施例では、ウェブアプリ部１１０とウェブサーバ２０との間で暗号化されたデータの通信が行われる場合に、その通信を中継するローカルプロキシ部１２０において復号化されたデータに対して監視モジュール部１３０による復号化データ処理が行われる。これにより、暗号化通信でやり取りされるデータの内容に応じた処理を行うことができる。具体的には、例えばやり取りされるデータを記録する処理や、そのデータの内容に応じてデータのやり取りを中止させる処理を行うことができる。

また、本実施例では、ウェブアプリ部１１０が、サーバ証明書を要求し、それに応答して提供される代替証明書を用いて暗号化データ通信のセッションを確立して暗号化データ通信を行う。また、ウェブサーバ２０は、ユーザ装置１０からの要求に応答してサーバ証明書を送信し、そのユーザ装置１０から提供される第１共通鍵を用いて暗号化データ通信を行う。このように、ウェブアプリ部１１０及びウェブサーバ２０が通常のＳＳＬ通信の動作を行っていても、前述のとおり暗号化通信でやり取りされるデータの内容に応じた処理を行うことができる。

［２］第２実施例
本発明の第２実施例について、以下、第１実施例と異なる点を中心に説明する。第１実施例では、ウェブアプリ部１１０とウェブサーバ２０とのデータのやり取りが全てローカルプロキシ部１２０によって中継されていたが、第２実施例では、この中継がされない場合がある。

図７は第２実施例に係る通信監視システム１ａの全体構成の一例を表す。通信監視システム１ａは、ユーザ装置１０−１及び１０−２（ハードウェア構成が図２に表すユーザ装置１０と共通し、区別しない場合は「ユーザ装置１０ａ」という）と、社内ウェブサーバ２０−１及び社外ウェブサーバ２０−２（ハードウェア構成が図３に表すウェブサーバ２０と共通し、区別しない場合は「ウェブサーバ２０ａ」という）と、監視サーバ３０とを備える。

ユーザ装置１０−１はイントラネット２に接続されており、ユーザ装置１０−２は例えば移動体通信や無線ＬＡＮの通信によりインターネット３に接続されている。社内ウェブサーバ２０−１は、ユーザ装置１０ａを利用するユーザの会社が運営するウェブサーバである。社内ウェブサーバ２０−１は、イントラネット２に接続されていて、ワークフローシステムや社内掲示板などの社内の業務に関連するサービスを提供する。社内ウェブサーバ２０−１には、ユーザ装置１０−２のように、インターネット３からイントラネット２を経由しても通信可能となっている。社外ウェブサーバ２０−２は、ユーザ装置１０ａを利用するユーザの会社以外の主体が運営するウェブサーバである。社外ウェブサーバ２０−２は、インターネット３に接続されており、ウェブページ等を提供する。

図８は本実施例で各装置が実現する機能構成を表す。ユーザ装置１０ａは、図５に表す各部に加えて振分部１４０を備える。振分部１４０は、ユーザ装置１０ａに記憶されている振分プログラムにより実現される。振分部１４０は、ウェブアプリ部１１０がウェブサーバ２０に向けて送信するデータの経路を振り分ける。具体的には、振分部１４０は、ウェブアプリ部１１０からウェブサーバ２０に向けて送信されたデータを受け取り、ローカルプロキシ部１２０のデータ転送部１２５（すなわち第１通信部２５１、第２通信部２５２及び転送部２５３）を経由する第１通信路と、データ転送部１２５を経由しない第２通信路のいずれかにデータの経路を振り分ける。

第１通信路を経由したデータは、データ転送部１２５によって復号化及び暗号化がされてウェブサーバ２０に転送され、その際に復号化されたデータを用いて復号化データ処理が監視モジュール部１３０によって行われる。一方、第２通信路を経由したデータは、データ転送部１２５によって復号化されないため、監視モジュール部１３０による復号化データ処理の対象にならない。

振分部１４０は、第１通信路を経由させる場合には、サーバ証明書要求部１１１からのサーバ証明書の要求、代替証明書提供部１２２からの代替証明書、セッション確立部１１２からの暗号化された第２共通鍵、暗号化データ送受信部１１３からの暗号化されたデータ、及び第２通信部２５２からの暗号化されたデータを受け取り、図５の説明で述べたそれぞれの送り先に対してそれらを転送する。これにより、ウェブアプリ部１１０とウェブサーバ２０との間で第１実施例と同様の通信が行われる。

一方、振分部１４０は、第２通信路を経由させる場合には、サーバ証明書要求部１１１からのサーバ証明書の要求を要求転送部１２１に転送し、セッション確立部１１２からの暗号化された第２共通鍵をウェブサーバ２０ａのセッション確立部２０２に転送し、暗号化データ送受信部１１３からの暗号化されたデータ及び暗号化データ送受信部２０３からの暗号化されたデータを、互いを送り先として転送する。これにより、ウェブアプリ部１１０とウェブサーバ２０との間でローカルプロキシ部１２０のデータ転送部１２５（第１通信部２５１、第２通信部２５２及び転送部２５３）を経由しない第２通信路での通信が行われる。

振分部１４０は、例えば、ウェブアプリ部１１０から送信されたデータを処理するウェブサーバ（言い換えるとウェブアプリ部１１０の通信相手のウェブサーバ）の種類に応じてデータの経路を振り分ける。本実施例では、振分部１４０は、ウェブアプリ部１１０の通信相手のウェブサーバ２０ａがイントラネット２に接続されているもの（図７の例では社内ウェブサーバ２０−１）であれば第２通信路を経由させ、イントラネット２に接続されていないもの（図７の例では社外ウェブサーバ２０−２）であれば第１通信路を経由させるように経路を振り分ける。この場合、イントラネット２だけを経由するため通信路のセキュリティが確保されている社内ウェブサーバ２０−１との通信では上述した中止処理（データの転送を中止する処理）が行われないが、通信路にインターネット３を含む社外ウェブサーバ２０−２との通信では中止処理が行われる。

このように、本実施例によれば、通信の監視が必要な場合には第１通信路を経由させて中止処理が行われるようにしてセキュリティを高め、通信の監視が不要な場合には第２通信路を経由させて転送部２５３によるデータの復号化及び暗号化をなくして通信速度を速めることができる。なお、ウェブサーバ２０ａの種類はこれに限らない。例えば振分部１４０は、通信が推奨されないウェブサーバ２０ａのリストを記憶しておき、通信相手のウェブサーバ２０ａがそのリストに含まれている場合に第１通信路を経由させ、含まれていない場合に第２通信路を経由させるように経路を振り分けてもよい。

また、振分部１４０は、ウェブアプリ部１１０を実現するウェブアプリケーションプログラムの種類に応じてデータの経路を振り分けてもよい。振分部１４０は、例えば、ウェブページの閲覧に用いられるブラウザや社外のシステムのクライアント用のプログラムによりウェブアプリ部１１０が実現されている場合には、第１通信路を経由させる。一方、振分部１４０は、社内のシステムのクライアント用のプログラムによりウェブアプリ部１１０が実現されている場合には、第２通信路を経由させる。

また、振分部１４０は、ウェブアプリ部１１０が送信するデータの通信に用いられる通信プロトコルの種類に応じてデータの経路を振り分けてもよい。振分部１４０は、例えば、この通信プロトコルの種類がＳＭＴＰ（Simple Mail Transfer Protocol）及びＦＴＰ（File Transfer Protocol）である場合には第１通信路を経由させ、ＳＮＴＰ（Simple Network Management Protocol）である場合には第２通信路を経由させるように経路を振り分ける。

いずれの場合も、セキュリティと通信速度との兼ね合いで、セキュリティを高めたい場合には第１通信路を経由させ、通信速度を速くしたい場合には第２通信路を経由させればよい。このように、本実施例によれば、上述したウェブサーバ２０ａの種類、ウェブアプリケーションプログラムの種類及び通信プロトコルの種類毎に、セキュリティを高めたり、通信速度を速めたりすることができる。

［３］変形例
上述した各実施形態は、それぞれが本発明の実施の一例に過ぎず、以下のように変形させてもよい。また、各実施形態及び各変形例は必要に応じてそれぞれ組み合わせてもよい。

［３−１］複数の第２の証明書
代替証明書提供部１２２が代替証明書を生成する際に用いられる第２の証明書が複数あってもよい。例えば、ウェブアプリ部１１０には、有効期間が異なる複数の前記第２の証明書が登録されている。代替証明書提供部１２２は、それら複数の第２の証明書の中から、ウェブアプリ部１１０から送信されたデータを処理するウェブサーバ（ウェブアプリ部１１０の通信相手のウェブサーバ）の種類に応じた第２の証明書を選択し、選択した第２の証明書により証明される署名がされた代替証明書をウェブアプリ部１１０に提供する。

ユーザ装置１０には、第２の証明書と、その有効期間と、通信相手の種類とを対応付けた有効期間テーブルが記憶されている。
図９は有効期間テーブルの一例を表す。図９の例では、「Ｒ０１．ｘｘ．ｘｘ．ｃｒｔ」という第２の証明書に「２０ｘｘ．０７．０１〜２０ｘｘ．０７．３１」という有効期間（つまり有効期間が１ヶ月）と「社外ウェブサーバ」という通信相手の種類とが対応付けられている。また、「Ｒ０２．ｘｘ．ｘｘ．ｃｒｔ」という第２の証明書に「２０ｘｘ．０７．０１〜２０ｘｘ．１２．３１」という有効期間（つまり有効期間が６ヶ月）と「社内ウェブサーバ」という通信相手の種類とが対応付けられている。「Ｒ０１．ｘｘ．ｘｘ．ｃｒｔ」及び「Ｒ０２．ｘｘ．ｘｘ．ｃｒｔ」は有効期間が異なる第２の証明書の例である。

代替証明書提供部１２２は、図７の例において、通信相手が社外ウェブサーバ２０−２である場合、ウェブサーバの種類が社外ウェブサーバであるので、「Ｒ０１．ｘｘ．ｘｘ．ｃｒｔ」という第２の証明書を用いて生成した代替証明書をウェブアプリ部１１０に提供する。また、代替証明書提供部１２２は、通信相手が社内ウェブサーバ２０−１である場合、通信相手の種類が社内ウェブサーバであるので、「Ｒ０２．ｘｘ．ｘｘ．ｃｒｔ」という第２の証明書を用いて生成した代替証明書をウェブアプリ部１１０に提供する。

ただし、代替証明書提供部１２２は、現在の日時が有効期間を過ぎている場合には、代替証明書を提供せず、例えば有効期間を過ぎている旨を自装置の表示部１４に表示する。ユーザ装置１０においては、有効期間が過ぎる前に新しい有効期間のルート証明書を第２の証明書としてウェブアプリ部１１０に登録しておけば、切れ目なく継続して暗号化通信を行うことができる。また、有効期間が過ぎた後も、新しい有効期間のルート証明書を第２の証明書として登録すれば、それ以降は再び暗号化通信を行うことができる。つまり、「Ｒ０１．ｘｘ．ｘｘ．ｃｒｔ」という第２の証明書は１ヶ月ごとに新たな有効期間のルート証明書を第２の証明書としてウェブアプリ部１１０に登録する登録作業を行わなければならない一方、「Ｒ０２．ｘｘ．ｘｘ．ｃｒｔ」という第２の証明書についてはその登録作業を６ヶ月ごとに行えばよい。

このように、図９の例では、第２の証明書の登録作業が求められる時期の間隔が、通信相手のウェブサーバ２０の種類に応じて異なっている。この間隔が短いほど、登録作業の手間が増えたり有効期間が過ぎていて暗号化通信ができない事態が生じたりしてユーザの利便性が減少するが、万が一第２の証明書が漏洩したとしても、暗号化したデータが不正に復号化されるおそれのある期間が短くなる。つまり、図９の例によれば、通信するデータが漏洩すると影響が大きい通信相手の場合には「Ｒ０１．ｘｘ．ｘｘ．ｃｒｔ」を用いて代替証明書を生成することで、第２の証明書が漏洩したときのリスクを小さくすることができる。また、通信するデータが漏洩しても影響が小さい通信相手の場合には「Ｒ０２．ｘｘ．ｘｘ．ｃｒｔ」を用いて代替証明書を生成することで、登録作業の手間を減らすことができる。

なお、代替証明書提供部１２２は、ウェブアプリ部１１０を実現するウェブアプリケーションプログラムの種類に応じた第２の証明書を選択してもよい。代替証明書提供部１２２は、例えば、ウェブページの閲覧に用いられるブラウザや社外のシステムのクライアント用のプログラムによりウェブアプリ部１１０が実現されている場合には有効期間が短い第２の証明書を選択し、社内のシステムのクライアント用のプログラムによりウェブアプリ部１１０が実現されている場合には、有効期間が長い第２の証明書を選択する。

また、代替証明書提供部１２２は、ウェブアプリ部１１０が送信するデータの通信に用いられる通信プロトコルの種類に応じた第２の証明書を選択してもよい。代替証明書提供部１２２は、例えば、この通信プロトコルの種類がＳＭＴＰ及びＦＴＰである場合には有効期間が短い第２の証明書を選択し、ＳＮＴＰである場合には有効期間が長い第２の証明書を選択する。

いずれの場合も、通信するデータが漏洩したときの影響の大きさと、上述したユーザの利便性（インストールの手間など）との兼ね合いで、データ漏洩の影響を小さくしたい場合には有効期間が短い第２の証明書を選択し、ユーザの利便性をよくしたい場合には有効期間が長い第２の証明書を選択すればよい。このように、本実施例によれば、上述したウェブサーバ２０の種類、ウェブアプリケーションプログラムの種類及び通信プロトコルの種類毎に、データが漏洩したときの影響を小さくしたり、ユーザの利便性の減少を抑えたりすることができる。

［３−２］監視対象
実施例では、ウェブアプリ部１１０から送信されたデータ及びウェブサーバ２０から送信されたデータの両方、すなわち上りの通信及び下りの通信の両方について監視モジュール部１３０による監視が行われたが、いずれか一方についてのみ監視が行われてもよい。上りの通信の監視が行われた場合には、機密データが漏洩する可能性を減らすことができる。また、下りの通信の監視が行われた場合には、外部からウィルスプログラムが侵入する可能性を減らすことができる。

［３−３］代替証明書
実施例では図５に表す代替証明書提供部１２２が自身を第２の認証局として代替証明書を発行したが、これに限らない。例えばイントラネット２又はインターネット３に接続されている外部装置が第２の認証局として代替証明書を発行してもよい。この場合、代替証明書提供部１２２は、例えばサーバ証明書が供給されるとそのサーバ証明書に基づく代替証明書の発行を外部装置に要求し、その要求に応答して外部装置により発行された代替証明書をウェブアプリ部１１０に提供する。

また、実施例では、ウェブサーバのＵＲＬをコモンネームとする代替証明書が発行されたが、これに限らず、ウェブサーバ名やウェブサーバの装置ＩＤをコモンネームとする代替証明書が発行されてもよいし、ウェブサーバに関連しないコモンネームが用いられてもよい。また、実施例では、サーバ証明書が送信されてくる度に代替証明書が発行されたが、これに限らない。例えば過去に同じウェブサーバとデータをやり取りしていれば、その際に発行された代替証明書が提供されてもよい。

また、発行された代替証明書が複数の異なるウェブサーバとのデータのやり取りにおいて用いられてもよい。この場合、代替証明書にはウェブサーバに関連しないコモンネームが用いられればよい。いずれの場合も、代替証明書提供部１２２が、第２の認証局により発行され且つ第２の公開鍵を含む証明書を代替証明書としてウェブアプリ部１１０に提供することで、第２の暗号化通信が行われることになる。

［３−４］暗号化通信
実施例では、交換された共通鍵による暗号化通信が行われたが、これに限らない。例えば、公開鍵及び秘密鍵により暗号化及び復号化がされる暗号化通信が行われてもよい。この場合、ウェブアプリ部１１０の暗号化データ送受信部１１３は代替証明書に含まれる第２の公開鍵を用いてデータを暗号化し、ローカルプロキシ部１２０の第２通信部２５２はローカルプロキシ部１２０が保有する第２の秘密鍵を用いてそのデータを復号化する。

また、ローカルプロキシ部１２０の第１通信部２５１はサーバ証明書に含まれる第１の公開鍵を用いてデータを暗号化し、ウェブサーバ２０は自装置が保有する第１の秘密鍵を用いてデータを復号化する。また、これらの鍵に限らず、例えば送信元が暗号化用アルゴリズムを記憶し、送信先が復号化用アルゴリズムを記憶しておくことで暗号化通信が行われてもよい。これ以外にも、データの暗号化及び復号化がなされる周知の暗号化通信の技術が用いられてもよい。

［３−５］復号化データ処理
復号化データ処理は、実施例で述べた記録処理及び中止処理に限らない。例えば、復号化されたデータが条件を満たした場合（例えば機密情報がデータに含まれていた場合）に、その旨を報知する処理が復号化データ処理として行われてもよい。また、復号化されたデータの内容を差し替える処理が復号化データ処理として行われてもよい。この場合、例えば、復号化されたデータを、監視モジュールによるデータの内容の確認が行われたことや、そのデータに機密情報が含まれていたのでデータの転送を中止させたことなどをユーザに通知する画面を表す画像データに差し替える処理が行われる。これらのように、復号化されたデータを用いた処理であれば、どのような処理が復号化データ処理として行われてもよい。

［３−６］プログラム
実施例では、プロキシプログラムによりローカルプロキシ部１２０が実現され、監視プログラムにより監視モジュール部１３０が実現されたが、これに限らない。例えばプロキシプログラムによりローカルプロキシ部１２０及び監視モジュール部１３０の両方が実現されてもよい。また、言い換えると、ローカルプロキシ部１２０に監視モジュール部１３０の機能が含まれていてもよい。これは図８に表す振分部１４０及びそれを実現する振分プログラムについても同様である。要するに、ユーザ装置で１以上のプログラムが実行されることで、図５等で述べたローカルプロキシ部１２０、監視モジュール部１３０及び振分部１４０の各機能が実現されればよい。

［３−７］発明のカテゴリ
本発明は、ユーザ装置のような通信装置の他、ユーザ装置、ウェブサーバ、監視サーバを備える通信監視システムとしても捉えられる。また、それらの装置が実施する処理を実現するための情報処理方法やそれらの装置を制御するコンピュータを機能させるためのプログラム（ウェブアプリ、プロキシプログラム、監視プログラム、振分プログラム又はこれらを組み合わせたプログラムなど）としても捉えられる。これらのプログラムは、それを記憶させた光ディスク等の記録媒体の形態で提供されてもよいし、インターネット等のネットワークを介してコンピュータにダウンロードさせ、それをインストールして利用可能にするなどの形態で提供されてもよい。

１…通信監視システム、２…イントラネット、３…インターネット、１０…ユーザ装置、２０…ウェブサーバ、３０…監視サーバ、１１、２１、３１…制御部、１２、２２、３２…記憶部、１３、２３、３３…通信部、１４…表示部、１５…操作部、１１０…ウェブアプリ部、１２０…ローカルプロキシ部、１３０…監視モジュール部、１４０…振分部、１１１…サーバ証明書要求部、１１２、１２３、１２４、２０２…セッション確立部、１１３、２０３…暗号化データ送受信部、１１４…データ処理部、１２１…要求転送部、１２２…代替証明書提供部、１２５…第１通信部、１２６…第２通信部、１２７…転送部、２０１…サーバ証明書送信部、３０１…記録部

Claims (6)

1. ウェブサーバと第１の暗号化通信を行う第１通信部と、
   前記ウェブサーバにより処理されるデータを送信するウェブアプリ部と、
   前記ウェブアプリ部と第２の暗号化通信を行う第２通信部と、
   前記ウェブアプリ部から送信されてきて前記第２通信部により復号化されたデータを前記第１通信部に転送する転送部と、
   前記復号化されたデータを用いた処理を行う処理部と、
   認証局により発行され且つ公開鍵を含む証明書を前記ウェブアプリ部に提供する証明書提供部とを備え、
   前記ウェブアプリ部には、前記認証局の署名を有するルート証明書が登録されており、
   前記第２通信部は、前記公開鍵に対応する秘密鍵又は当該秘密鍵を用いて前記ウェブアプリ部と交換した共通鍵を用いて前記第２の暗号化通信を行う
   通信装置。
2. 前記証明書提供部は、自身を前記認証局として、前記ウェブアプリ部に提供する証明書を発行する
   請求項１に記載の通信装置。
3. 前記ウェブアプリ部には、複数の前記ルート証明書が登録されており、
   前記証明書提供部は、前記複数のルート証明書の中から、前記ウェブサーバの種類、前記ウェブアプリ部を実現するウェブアプリケーションプログラムの種類又は前記ウェブアプリ部が送信するデータの通信に用いられる通信プロトコルの種類に応じたルート証明書を選択し、選択したルート証明書により証明される署名がされた前記証明書を前記ウェブアプリ部に提供する
   請求項１又は２に記載の通信装置。
4. 前記処理部は、前記復号化されたデータを記録する処理又は当該データが条件を満たす場合に当該データの内容を差し替える処理を前記処理として行う
   請求項１から３のいずれか１項に記載の通信装置。
5. 前記ウェブアプリ部から前記ウェブサーバに向けて送信されたデータを受け取り、前記第１通信部、前記第２通信部及び前記転送部を経由する第１通信路と、当該各部を経由しない第２通信路のいずれかに当該データの経路を振り分ける振分部であって、前記ウェブアプリ部を実現するウェブアプリケーションプログラムの種類に応じて当該データの経路を振り分ける振分部を備える
   請求項１から４のいずれか１項に記載の通信装置。
6. ウェブサーバにより処理されるデータを送信するウェブアプリ部を備える通信装置を制御するコンピュータを、
   前記ウェブサーバと第１の暗号化通信を行う第１通信部と、
   前記ウェブアプリ部と第２の暗号化通信を行う第２通信部と、
   前記ウェブサーバから送信されてきて前記第１通信部により復号化されたデータを前記第２通信部に転送する転送部と、
   前記復号化されたデータを用いた処理を行う処理部と、
   認証局により発行され且つ公開鍵を含む証明書を前記ウェブアプリ部に提供する証明書提供部として機能させ、
   前記ウェブアプリ部には、前記認証局の署名を有するルート証明書が登録されており、
   前記第２通信部は、前記公開鍵に対応する秘密鍵又は当該秘密鍵を用いて前記ウェブアプリ部と交換した共通鍵を用いて前記第２の暗号化通信を行う
   プログラム。

Images