JP2001007797A - 暗号通信システム - Google Patents

Abstract

(57)【要約】 【課題】 端末上で複数のアプリケーションが動作する
場合に、各アプリケーションごとにきめ細かな暗号通信
の設定を可能とし、もって暗号強度の維持と処理遅延の
解消を図ることができる暗号通信システムを提供するこ
と。 【解決手段】 送信相手とアプリケーションに対応する
暗号鍵が通信制御テーブル１１６に存在しない場合に、
自動学習処理部１１７による鍵探索パケットを用いたア
プリケーションデータに対する暗号鍵情報の収集結果を
通信制御テーブル１１６に自動的に登録し、登録した内
容にしたがって通信データを処理する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、少なくとも端末
情報と暗号鍵情報とを対応づけて登録したテーブルを有
する暗号装置を介して複数の端末装置がネットワークに
接続された暗号通信システムに関し、特に、端末装置上
で複数のアプリケーションが動作する場合に、各アプリ
ケーションごとにきめ細かな暗号通信の設定を可能と
し、もって暗号強度の維持と処理遅延の解消する暗号通
信システムに関する。

【０００２】

【従来の技術】近年のインターネットおよびイントラネ
ットの普及に伴ってネットワークがオープン化される傾
向が強くなってきたため、ネットワーク上を流れる各種
データの機密を保護する暗号化技術が脚光を浴びてい
る。

【０００３】このため、特開平９−２５２２９４号公報
では、暗号装置内部に保持しているアプリケーション種
別、通信データの宛先、送信元アドレスの一方あるいは
その両方に対応した暗号鍵を登録した暗号テーブルに従
ってデータを暗号化、復号する暗号化技術が提案されて
いる。

【０００４】ところが、この従来技術によれば、ネット
ワーク管理者がネットワーク構成などを考慮して各暗号
装置ごとに異なる暗号鍵テーブルを設定する必要がある
ため、ネットワークが大規模になればなるほど通信端末
が累増し、暗号鍵テーブルの設定に多大の労力を要する
という問題がある。

【０００５】このため、本件出願人が出願した特願平９
−１４３７５５号には、暗号鍵探索パケットを用いて通
信端末間の通信経路上の暗号装置の暗号鍵情報を収集
し、収集した暗号鍵情報に基づいて暗号鍵情報を自動的
に通信制御テーブルに登録し、通信端末間の通信データ
を各暗号装置が暗号化、復号および平文中継する暗号通
信システムが開示されている。

【０００６】図２４は、暗号装置が接続された従来の暗
号通信システムの一例を示す説明図である。同図に示す
システム構成において、ＶＰＮ−Ａを形成する暗号装置
Ｃ１および暗号装置Ｃ２には暗号鍵ＫＥＹ１が配送さ
れ、ＶＰＮ−Ｂを形成する暗号装置Ｃ２および暗号装置
Ｃ３には暗号鍵ＫＥＹ２が配送された状況を示してい
る。なお、ＶＰＮ（Virtual Private Network ）とは、
ネットワーク上に暗号通信路を設定し、仮想的な専用線
として使用できるようにする技術である。

【０００７】そして、端末Ａから通信データを受信した
暗号装置Ｃ１は、この通信データを内部に保持するとと
もに、自身が持つ暗号鍵ＫＥＹ１を設定した図２６に示
すフォーマットからなる暗号鍵探索パケットをサーバＳ
に送信する。また、鍵探索パケットを受信した暗号装置
Ｃ２は、自身が持つ暗号鍵（ＫＥＹ１、ＫＥＹ２）を鍵
探索パケットに追加して中継し、この鍵探索パケットを
受信したサーバＳは、応答パケットを暗号装置Ｃ１宛て
に送信する。

【０００８】そして、暗号装置Ｃ２では、応答パケット
の情報から端末Ａ〜サーバＳ間の通信データをＫＥＹ１
で暗号化および復号することを決定して、応答パケット
を中継する。また、暗号装置Ｃ１においても、応答パケ
ットの情報から端末Ａ〜サーバＳ間の通信データをＫＥ
Ｙ１で暗号化および復号することを決定する。このた
め、この従来技術を用いると、暗号装置が自動的に暗号
鍵を学習し、これによってネットワーク管理者の負荷を
軽減することができる。

【０００９】なお、このサーバＳが、ファイル転送サー
バ、電子メールサーバおよびＷＷＷ（World Wide Web）
サーバとして動作している場合には、端末Ａ〜サーバＳ
および端末Ｂ〜サーバＳ間の通信をおこなう際に、図２
５に示すような通信制御テーブルが用いられる。

【００１０】

【発明が解決しようとする課題】しかしながら、かかる
従来技術によれば、通信データの送信元および宛先のペ
アに関する暗号鍵探索をおこなうので、１つの端末上で
複数のアプリケーションが動作するような場合であって
も、各アプリケーションごとに異なる暗号化処理をおこ
なうことができないという問題がある。

【００１１】たとえば、図２５に示すような通信制御テ
ーブルを用いる場合には、あるアプリケーションデータ
（たとえばファイル転送データ）を暗号化して転送し、
他のアプリケーションデータ（たとえば電子メール）を
平文で転送するというような使い分けをおこなうことが
できない。また、ファイル転送データと電子メールとを
異なる暗号鍵で暗号化することができず、同じ暗号鍵で
暗号化せざるを得ない結果となる。

【００１２】本来、通信対象となるデータの中には、高
いセキュリティ強度を保持せねばならないデータと、あ
まりセキュリティ強度を要求されないデータとが混在す
るため、上記従来技術を用いてこれらのデータを一律に
取り扱うこととしたのでは、かえって暗号の強度が低下
するおそれがあり、また処理遅延が問題となる可能性も
ある。

【００１３】本発明は、上述した課題（問題点）を解決
するためになされたものであり、端末上で複数のアプリ
ケーションが動作する場合に、各アプリケーションごと
にきめ細かな暗号通信の設定を可能とし、もって暗号強
度の維持と処理遅延の解消を図ることができる暗号通信
システムを得ることを目的とする。

【００１４】

【課題を解決するための手段】上記目的を達成するため
に、この発明にかかる暗号通信システムは、少なくとも
端末情報と暗号鍵情報とを対応づけて登録したテーブル
を有する暗号装置を介して複数の端末装置がネットワー
クに接続された暗号通信システムにおいて、各暗号装置
は、前記端末装置から通信データを受信した際に、端末
情報およびアプリケーション種別に対応する暗号鍵情報
が前記テーブルに存在するか否かを確認する確認手段
と、前記確認手段により該当する暗号鍵情報が登録され
ていないと確認された場合には、通信データの端末情
報、アプリケーション種別および暗号鍵情報を設定した
鍵探索パケットを送信する鍵探索パケット送信手段と、
前記鍵探索パケット送信手段により送信された鍵探索パ
ケットに応答して宛先端末装置から返送される鍵探索応
答パケットに基づいて、前記鍵探索パケットの送信元の
暗号装置並びに該鍵探索パケットを中継する中継経路上
に位置する各暗号装置のテーブルに前記アプリケーショ
ン種別に対応する暗号鍵情報を設定する設定手段と、を
備えたことを特徴とする。

【００１５】この発明によれば、各暗号装置が、端末装
置から通信データを受信した際に、端末情報およびアプ
リケーション種別に対応する暗号鍵情報がテーブルに存
在するか否かを確認し、該当する暗号鍵情報が登録され
ていないことを確認した場合には、通信データの端末情
報、アプリケーション種別および暗号鍵情報を設定した
鍵探索パケットを送信し、送信した鍵探索パケットに応
答して宛先端末装置から返送される鍵探索応答パケット
に基づいて、鍵探索パケットの送信元の暗号装置並びに
該鍵探索パケットを中継する中継経路上に位置する各暗
号装置のテーブルにアプリケーション種別に対応する暗
号鍵情報を設定することとしたので、端末上で複数のア
プリケーションが動作する場合に、各アプリケーション
ごとにきめ細かな暗号通信の設定を可能とし、もって暗
号強度の維持と処理遅延の解消を図ることができる。

【００１６】つぎの発明にかかる暗号通信システムは、
前記中継経路上の暗号装置は、各暗号装置にあらかじめ
設定されている暗号鍵情報のうちの前記鍵探索パケット
で示されるアプリケーション種別に対応する暗号鍵情報
を前記鍵探索パケットに付加し、付加した鍵探索パケッ
トを宛先端末宛てに中継することを特徴とする。

【００１７】この発明によれば、中継経路上の暗号装置
は、各暗号装置にあらかじめ設定されている暗号鍵情報
のうちの鍵探索パケットで示されるアプリケーション種
別に対応する暗号鍵情報を鍵探索パケットに付加し、付
加した鍵探索パケットを宛先端末宛てに中継するようこ
ととしたので、中継経路上の各暗号装置が有するアプリ
ケーション種別に対応する暗号鍵情報を効率良く収集す
ることができる。

【００１８】つぎの発明にかかる暗号通信システムは、
前記中継経路上の暗号装置は、中継する通信データの端
末情報およびアプリケーション種別に対応する暗号鍵情
報が前記テーブルに登録されていない場合に、該通信デ
ータの送信元端末装置に鍵探索パケットの発信を要求す
る少なくともアプリケーション種別を有する鍵探索要求
パケットを送信する鍵探索要求パケット送信手段をさら
に備え、前記通信データの送信元端末装置は、前記鍵探
索要求パケットに応答して鍵探索要求応答パケットを送
信する鍵探索要求応答パケット送信手段をさらに備えた
ことを特徴とする。

【００１９】この発明によれば、中継経路上の暗号装置
は、中継する通信データの端末情報およびアプリケーシ
ョン種別に対応する暗号鍵情報がテーブルに登録されて
いない場合に、該通信データの送信元端末装置に鍵探索
パケットの発信を要求する少なくともアプリケーション
種別を有する鍵探索要求パケットを送信し、通信データ
の送信元端末装置は、この鍵探索要求パケットに応答し
て鍵探索要求応答パケットを送信することとしたので、
中継経路上の暗号装置から鍵探索パケットの送信を要請
することができ、もってテーブルの内容を消去してしま
ったような場合に効率良く対応することができる。

【００２０】つぎの発明にかかる暗号通信システムは、
前記鍵探索パケットおよび鍵探索応答パケットは、送信
元端末アドレス、宛先端末アドレス、アプリケーション
種別、ローカルポート暗号鍵情報およびパブリックポー
ト暗号鍵情報を少なくとも有し、各暗号装置は、該暗号
装置に対応する端末装置向けのローカルポートと、前記
ネットワーク向けのパブリックポートとを備え、前記ロ
ーカルポートから前記鍵探索パケットを受信した際に、
該鍵探索パケット内のアプリケーション種別に対応する
暗号鍵情報を前記ローカルポート暗号鍵情報に設定し、
前記パブリックポートから前記鍵探索パケットを受信し
た際に、該鍵探索パケット内のアプリケーション種別に
対応する暗号鍵情報を前記パブリックポート暗号鍵情報
に設定することを特徴とする。

【００２１】この発明によれば、鍵探索パケットおよび
鍵探索応答パケットは、送信元端末アドレス、宛先端末
アドレス、アプリケーション種別、ローカルポート暗号
鍵情報およびパブリックポート暗号鍵情報を少なくとも
有し、各暗号装置は、該暗号装置に対応する端末装置向
けのローカルポートと、ネットワーク向けのパブリック
ポートとを備え、ローカルポートから鍵探索パケットを
受信した際に、該鍵探索パケット内のアプリケーション
種別に対応する暗号鍵情報をローカルポート暗号鍵情報
に設定し、パブリックポートから鍵探索パケットを受信
した際に、該鍵探索パケット内のアプリケーション種別
に対応する暗号鍵情報をパブリックポート暗号鍵情報に
設定することとしたので、ローカルポートおよびパブリ
ックポートに区別して暗号鍵情報を鍵探索パケットに効
率良く取り込むことができる。

【００２２】つぎの発明にかかる暗号通信システムは、
前記中継経路上の各暗号装置は、前記鍵探索応答パケッ
トを前記パブリックポートから受信した際に、前記パブ
リックポート暗号鍵情報に暗号鍵情報が存在しなけれ
ば、透過中継を示す暗号鍵情報を前記テーブルに登録す
ることを特徴とする。

【００２３】この発明によれば、中継経路上の各暗号装
置は、鍵探索応答パケットをパブリックポートから受信
した際に、パブリックポート暗号鍵情報に暗号鍵情報が
存在しなければ、透過中継を示す暗号鍵情報をテーブル
に登録することとしたので、パブリックポートの暗号鍵
情報に基づいて透過中継するか否かを切り替えることが
できる。

【００２４】つぎの発明にかかる暗号通信システムは、
前記中継経路上の各暗号装置は、前記テーブルに登録さ
れた暗号鍵情報を用いた通信が所定時間以上行われなけ
れば、当該テーブルから該当する暗号鍵情報を消去する
消去手段をさらに備えたことを特徴とする。

【００２５】この発明によれば、中継経路上の各暗号装
置は、テーブルに登録された暗号鍵情報を用いた通信が
所定時間以上行われなければ、当該テーブルから該当す
る暗号鍵情報を消去することとしたので、端末の移動な
どによって使用されなくなった暗号鍵情報を消去し、も
ってテーブルの容量を低減して該当する暗号鍵を迅速に
検索することができる。

【００２６】つぎの発明にかかる暗号通信システムは、
前記鍵探索パケットは、前記テーブルに登録された暗号
鍵情報の保持時間を有し、各暗号装置は、鍵探索された
暗号鍵情報を前記テーブルに登録する際に該暗号鍵情報
の保持時間を合わせて登録し、当該暗号鍵情報を用いた
通信が前記保持時間以上行われない場合には、当該暗号
鍵情報を前記テーブルから削除することを特徴とする。

【００２７】この発明によれば、鍵探索パケットは、テ
ーブルに登録された暗号鍵情報の保持時間を有し、各暗
号装置は、鍵探索された暗号鍵情報をテーブルに登録す
る際に該暗号鍵情報の保持時間を合わせて登録し、当該
暗号鍵情報を用いた通信が保持時間以上行われない場合
には、当該暗号鍵情報をテーブルから削除することとし
たので、不要な暗号鍵情報を効率良く削除することがで
きる。

【００２８】つぎの発明にかかる暗号通信システムは、
前記鍵探索パケットは、暗号鍵のバージョン情報を有
し、各暗号装置は、暗号鍵のバージョン情報が一致する
場合にのみ前記鍵探索パケットで取得した暗号鍵を前記
テーブルに登録することを特徴とする。

【００２９】この発明によれば、鍵探索パケットは、暗
号鍵のバージョン情報を有し、各暗号装置は、暗号鍵の
バージョン情報が一致する場合にのみ鍵探索パケットで
取得した暗号鍵をテーブルに登録することとしたので、
バージョンの違う鍵が混在するケースが生じることを防
ぐことができる。

【００３０】つぎの発明にかかる暗号通信システムは、
前記鍵探索パケットは、送信元端末装置および宛先端末
装置間の通信状況を示すステータス情報をさらに有し、
各暗号装置は、当該ステータス情報に基づいて通信デー
タの処理方式を前記テーブルに登録することを特徴とす
る。

【００３１】この発明によれば、鍵探索パケットは、送
信元端末装置および宛先端末装置間の通信状況を示すス
テータス情報をさらに有し、各暗号装置は、当該ステー
タス情報に基づいて通信データの処理方式をテーブルに
登録することとしたので、あるＶＰＮに属する端末装置
がサーバなどを踏み台にして他のＶＰＮに属する端末装
置に侵入することを防ぐことができる。

【００３２】つぎの発明にかかる暗号通信システムは、
前記ステータス情報が変化した際に、前記中継経路上の
暗号装置に変更を通知し、該通知を受けた暗号装置は、
通知された内容に基づいて前記テーブルを変更すること
を特徴とする。

【００３３】この発明によれば、ステータス情報が変化
した際に、中継経路上の暗号装置に変更を通知し、該通
知を受けた暗号装置は、通知された内容に基づいてテー
ブルを変更することとしたので、ステータス情報の変化
に応じて迅速にテーブルを更新することができる。

【００３４】

【発明の実施の形態】以下に添付図面を参照して、この
発明にかかる暗号通信システムの好適な実施の形態を詳
細に説明する。なお以下では、サーバが、ファイル転送
サービス、ＷＷＷサービスおよび電子メールサービスを
おこなうことができる場合について説明することとす
る。

【００３５】実施の形態１．図１は、この実施の形態１
で用いる暗号通信システムのシステム構成を示すブロッ
ク図である。図１に示す暗号通信システムは、端末Ａ、
サーバＳおよび端末Ｂが、それぞれ暗号装置１１、暗号
装置１２および暗号装置１３を介してネットワーク１０
に接続されたものである。

【００３６】端末Ａ、端末ＢおよびサーバＳは、いずれ
も複数のアプリケーションを実行することができる装置
であり、具体的には、端末Ａには、ファイル転送および
電子メールのアプリケーションがインストールされ、端
末Ｂには、ＷＷＷおよび電子メールのアプリケーション
がインストールされ、サーバＳには、ファイル転送、Ｗ
ＷＷおよび電子メールのアプリケーションがインストー
ルされている。

【００３７】また、暗号装置１１および暗号装置１２は
ＶＰＮ−Ａを形成し、暗号装置１２および暗号装置１３
はＶＰＮ−Ｂを形成する。すなわち、暗号装置１２は、
ＶＰＮ−ＡおよびＶＰＮ−Ｂに多重に帰属する。

【００３８】具体的には、暗号装置１１および暗号装置
１２には、このＶＰＮ−Ａで使用する暗号鍵ＫＥＹ１が
配送され、暗号装置１２および暗号装置１３には、ＶＰ
Ｎ−Ｂで使用する暗号鍵ＫＥＹ２が配送されており、こ
れらの暗号鍵を用いて暗号通信をおこなうアプリケーシ
ョン種別が設定されている。なお、本実施の形態では、
ファイル転送で使用する暗号鍵をＫＥＹ１とし、ＷＷＷ
で使用する暗号鍵をＫＥＹ２とし、電子メールについて
は透過中継するよう設定されているものとする。

【００３９】つぎに、図１に示す暗号装置１１、１２お
よび１３の構成について説明する。なお、これらの暗号
装置１１、１２および１３の構成はそれぞれ同様のもの
となるので、ここでは暗号装置１１についてのみ説明す
る。

【００４０】図２は、図１に示した暗号装置１１の構成
を示す機能ブロック図である。同図に示すように、この
暗号装置１１は、パブリックポート１１１と、送受信処
理部１１２と、暗号化・復号処理部１１３と、透過中継
部１１４と、廃棄部１１５と、通信制御テーブル１１６
と、自動学習処理部１１７と、送受信処理部１１８と、
ローカルポート１１９とからなる。

【００４１】パブリックポート１１１は、暗号装置１１
をネットワーク１０に接続するための通信ポートであ
り、ローカルポート１１９は、暗号装置１１を端末Ａに
接続するための通信ポートである。

【００４２】なお、これらのポート１１１および１１９
は、暗号装置１１が通信データを暗号化するのか復号す
るのかを識別する役割をも有しており、暗号装置１１
は、パブリックポート１１１から受信した通信データを
復号してローカルポート１１９に送信するとともに、ロ
ーカルポート１１９から受信した通信データを暗号化し
てパブリックポート１１１に送信する。

【００４３】送受信処理部１１２は、ネットワーク１０
を介して他の装置とデータの送受信処理をおこなうイン
ターフェース部であり、送受信処理部１１８は、端末Ａ
とデータの送受信処理をおこなうインターフェース部で
ある。

【００４４】暗号化・復号処理部１１３は、所定の暗号
アルゴリズムを用いて通信データの暗号化および復号を
おこなう処理部である。なお、本実施の形態では、この
暗号アルゴリズムはいかなるものでも良く、たとえばＤ
ＥＳ等の慣用暗号系を用いることができる。

【００４５】透過中継部１１４は、通信データを透過的
に中継する処理部であり、具体的には、本実施の形態で
は、電子メールが暗号化処理の対象とはしていないた
め、パブリックポート１１１またはローカルポート１１
９から受信した電子メールは、この透過中継部１１４を
介してそのまま出力される。

【００４６】廃棄部１１５は、通信データを必要に応じ
て廃棄する処理部であり、通信制御テーブル１１６は、
通信データの処理方式を示すデータを登録したテーブル
である。なお、この通信制御テーブル１１６の内容は、
自動学習処理部１１７の処理結果などに基づいて適宜自
動的に更新される。

【００４７】自動学習処理部１１７は、通信相手の暗号
鍵がわからない場合に鍵探索を自動的におこなう処理部
であり、具体的には、自装置の通信制御テーブル１１６
内に通信相手の該当するアプリケーションの暗号鍵が登
録されていない場合には、鍵探索パケットを用いて該通
信相手のアプリケーション種別に対応する暗号鍵を探索
する。

【００４８】図３は、この自動学習処理部１１７によっ
て処理される鍵探索パケットのパケットフォーマットの
一例を示す説明図である。同図に示すように、この鍵探
索パケット３０は、パケットの識別子が含まれるヘッダ
３１、鍵探索パケットの宛先アドレス３２、送信元アド
レス３３、アプリケーション種別３４、ローカルポート
暗号鍵情報３５およびパブリックポート暗号鍵情報３６
からなる。

【００４９】なお、この鍵探索パケット３０に応答して
返送される鍵探索応答パケットのパケットフォーマット
についても同様に構成され、具体的には、このヘッダ３
１に鍵検索応答パケットを示すデータが付加される。

【００５０】上記構成を有する暗号装置を用いることに
より、鍵探索パケットを用いて通信相手の該当するアプ
リケーションの暗号鍵を自動探索し、通信制御テーブル
１１６の内容を自動更新することができる。

【００５１】つぎに、図１に示した暗号通信システムの
鍵探索時の通信手順について図４を用いて説明する。図
４は、図１に示した暗号通信システムの鍵探索時の通信
手順を示すシーケンス図である。なおここでは、端末Ａ
からサーバＳにファイル転送をおこなう場合を示すこと
とする。

【００５２】同図に示すように、端末ＡがサーバＳに対
してファイル転送をおこなう場合には、まず最初に端末
Ａがファイル転送をおこなう通信データ（以下「ファイ
ル転送通信データ」と言う）を暗号装置１１に対して送
信する（ステップＳ４０１）。

【００５３】そして、暗号装置１１が、ファイル転送通
信データを受信したならば、この通信データの送信元、
宛先端末アドレスおよびアプリケーション種別が通信制
御テーブル１１６に登録されているか否かを調べ、通信
制御テーブル１１６に登録されていない場合には、アプ
リケーション種別および暗号鍵情報を付加した鍵探索パ
ケットをネットワーク１０を介して暗号装置１２に送信
し（ステップＳ４０２）、この鍵探索パケットを受信し
た暗号装置１２は、サーバＳに鍵探索パケットを中継す
る（ステップＳ４０３）。

【００５４】そして、この鍵探索パケットを受信したサ
ーバＳは、鍵探索パケットの送信元である暗号装置１１
宛てに鍵探索応答パケットを返送し（ステップＳ４０
４）、この鍵探索応答パケットを受信した暗号装置１２
は、この鍵探索応答パケット内の暗号鍵を必要に応じて
通信制御テーブル１１６に登録しつつ、該鍵探索応答パ
ケットを暗号装置１１に中継する（ステップＳ４０
５）。

【００５５】そして、この鍵探索応答パケットを受信し
た暗号装置１１は、この鍵探索応答パケット含まれる暗
号鍵を通信制御テーブル１１６に登録した後、この暗号
鍵でファイル転送通信データを暗号化し、暗号化データ
を暗号装置１２に送信する（ステップＳ４０６）。

【００５６】そして、この暗号化データを受信した暗号
装置１２は、この暗号データを該当する暗号鍵を用いて
復号して元のファイル転送通信データとした後に、この
ファイル転送通信データをサーバＳに対して送信する
（ステップＳ４０７）。

【００５７】このように、この暗号通信システムでは、
該当する宛先端末の該当するアプリケーション種別に対
応する暗号鍵が存在しない場合に、鍵探索パケットを用
いた暗号鍵の探索をおこなうこととしたので、アプリケ
ーションごとに暗号鍵を設定することができる。

【００５８】つぎに、図１に示した暗号装置１２が有す
る通信制御テーブル１１６の一例について説明する。図
５は、図１に示した暗号装置１２が有する通信制御テー
ブル１１６の一例を示す説明図である。

【００５９】同図に示すように、この通信制御テーブル
１１６は、通信端末およびアプリケーション種別によっ
て異なる処理方式が規定されており、具体的には、通信
端末が「端末Ａ〜サーバＳ」であり、かつ、アプリケー
ション種別が「ファイル転送」である場合には、暗号鍵
ＫＥＹ１を用いた暗号通信が処理方式となり、通信端末
が「端末Ａ〜サーバＳ」であり、かつ、アプリケーショ
ン種別が「電子メール」である場合には、暗号処理を伴
わない平文通信が処理方式となる。

【００６０】また、通信端末が「端末Ｂ〜サーバＳ」で
あり、かつ、アプリケーション種別が「ＷＷＷ」である
場合には、暗号鍵ＫＥＹ２を用いた暗号通信が処理方式
となり、通信端末が「端末Ｂ〜サーバＳ」であり、か
つ、アプリケーション種別が「電子メール」である場合
には、暗号処理を伴わない平文通信が処理方式となる。

【００６１】このように、この通信制御テーブル１１６
を用いることにより、同じ通信端末の場合であっても、
アプリケーション種別に応じて暗号通信または平文通信
を使い分けることができる。

【００６２】つぎに、図１に示す暗号装置１１〜１３の
処理手順について図６〜図８を用いてさらに詳細に説明
する。図６は、図１に示す暗号装置１１〜１３が通信デ
ータを受信した場合の処理手順を示すフローチャートで
ある。同図に示すように、暗号装置１１が端末Ａから通
信データを受信したならば、この通信データの送信元、
宛先端末アドレスおよびアプリケーション種別が通信制
御テーブル１１６内に登録されているか否かを調べる
（ステップＳ６０１）。

【００６３】そして、通信制御テーブル１１６内に登録
されていない場合には（ステップＳ６０１否定）、アプ
リケーション種別に対応する鍵情報を付加した鍵探索パ
ケットを送信し（ステップＳ６０２）、通信制御テーブ
ル１１６内に登録されている場合には（ステップＳ６０
１肯定）、通信制御テーブルにしたがった処理をおこな
う（ステップＳ６０３）。なお、かかる処理は、パブリ
ックポート１１１またはローカルポート１１９のいずれ
のポートから通信データを受信した場合も同じである。

【００６４】図７は、ローカルポート１１９から鍵検索
応答パケットを受信した場合の処理手順を示すフローチ
ャートである。同図に示すように、暗号装置１２がロー
カルポート１１９から鍵検索応答パケットを受信した場
合には、自身が保持する暗号鍵および該暗号鍵を使用す
るアプリケーション種別と一致する情報が鍵検索応答パ
ケットのローカルポート暗号鍵情報に設定されているか
否かを確認する（ステップＳ７０１）。

【００６５】そして、一致する情報があれば（ステップ
Ｓ７０１肯定）、一致した暗号鍵で通信データを暗号化
する旨を決定し、一致した暗号鍵、送信元、宛先アドレ
スおよびアプリケーション種別を通信制御テーブル１１
６に登録する（ステップＳ７０２）。これに対して、一
致する情報がない場合には（ステップＳ７０１否定）、
処理を廃棄とする旨を決定して通信制御テーブル１１６
に登録する（ステップＳ７０３）。

【００６６】そして、決定した処理内容を鍵探索応答パ
ケットに設定し（ステップＳ７０４）、設定した鍵探索
応答パケットをネットワークを介して要求元の暗号装置
１１に中継する（ステップＳ７０５）。

【００６７】図８は、パブリックポート１１１から鍵検
索応答パケットを受信した場合の処理手順を示すフロー
チャートである。同図に示すように、暗号装置１１がパ
ブリックポート１１１から鍵検索応答パケットを受信し
た場合には、このパケットが自局当てのパケットである
か否かを調べ（ステップＳ８０１）、自局当てのパケッ
トでない場合には（ステップＳ８０１否定）、該パケッ
トに含まれる宛先、送信元端末間のアプリケーションデ
ータに対する処理を透過中継として通信制御テーブル１
１６に登録し（ステップＳ８０２）、鍵探索応答パケッ
トを中継する（ステップＳ８０３）。

【００６８】これに対して、自局当てのパケットである
場合には（ステップＳ８０１肯定）、自身が保持する暗
号鍵および該暗号鍵を使用するアプリケーション種別と
一致する情報が鍵検索応答パケットのローカルポート暗
号鍵情報に設定されているか否かを確認する（ステップ
Ｓ８０４）。

【００６９】そして、一致する情報があれば（ステップ
Ｓ８０４肯定）、一致した暗号鍵で通信データを暗号化
する旨を決定し、一致した暗号鍵、送信元、宛先アドレ
スおよびアプリケーション種別を通信制御テーブル１１
６に登録した後（ステップＳ８０５）、保持していた通
信データを一致した暗号鍵で暗号化して送信する（ステ
ップＳ８０６）。

【００７０】これに対して、一致する情報がない場合に
は（ステップＳ８０４否定）、処理を廃棄とする旨を決
定して通信制御テーブル１１６に登録し（ステップＳ８
０７）、保持していたデータを廃棄して処理を終了する
（ステップＳ８０８）。

【００７１】なお、上記一連の処理は、端末Ａ〜サーバ
Ｓ間でファイル転送をおこなう場合について説明した
が、電子メールをやりとりする場合も同様の処理とな
る。具体的には、この場合には、鍵探索パケットに設定
されるアプリケーション種別が電子メールとなり、各暗
号装置には電子メールが平文で通信するよう設定されて
いるので、鍵探索結果、通信データは平文でサーバＳに
送信される。

【００７２】同様に、端末Ｂ〜サーバＳ間でＷＷＷまた
は電子メールをやりとりする場合にも、各アプリケーシ
ョンに対して鍵探索が行われ、図５に示すように暗号装
置１２の通信制御テーブル１１６が形成される。

【００７３】つぎに、暗号装置１１〜１３が、パブリッ
クポート１１１またはローカルポート１１９から鍵探索
パケットを受信した場合の処理手順について説明する
と、この場合には、アプリケーション種別に対応する暗
号鍵をそれぞれパブリックポート暗号鍵情報またはロー
カルポート暗号鍵情報に設定する処理をおこなう。

【００７４】上述してきたように、本実施の形態１にか
かる暗号通信システムでは、自動学習処理部１１７によ
る鍵探索パケットを用いたアプリケーションデータに対
する暗号鍵情報の収集結果を通信制御テーブル１１６に
自動的に登録し、登録した内容にしたがって通信データ
を処理するよう構成したので、サーバＳ上で複数のアプ
リケーションが動作している場合でも、各アプリケーシ
ョンごとに暗号通信、平文通信を設定することができ
る。

【００７５】実施の形態２．ところで、上記実施の形態
１では、通信制御テーブル１１６に不測の事態が生じ、
テーブルに記憶したデータが消去され場合の説明を省略
したため、本実施の形態では、電源断や障害により暗号
装置１１〜１３の通信制御テーブル１１６が消去された
場合の動作について説明する。なおここでは、暗号装置
１２の通信制御テーブル１１６が消去された場合を示す
こととする。

【００７６】図９は、実施の形態２にかかる通信制御テ
ーブル１１６の内容が消去された場合の処理手順を示す
シーケンス図である。同図に示すように、端末Ａがファ
イル転送通信データを暗号装置１１に対して送信し（ス
テップＳ９０１）、これを暗号装置１１で暗号化した暗
号化データを暗号装置１２に向けて送信した場合におい
て（ステップＳ９０２）、暗号装置１２の通信制御テー
ブル１１６が消去された場合には、暗号装置１２は、鍵
探索要求パケットを暗号装置１１に送信する（ステップ
Ｓ９０３）。そして、この暗号鍵要求パケットを受信し
た暗号装置１１は、該暗号鍵要求パケットを端末Ａに透
過中継する（ステップＳ９０４）。

【００７７】図１０は、この鍵探索要求パケットのパケ
ットフォーマットの一例を示す説明図であり、同図に示
すように、この鍵探索要求パケット１００は、ヘッダ１
０１、送信元端末アドレス１０２、宛先端末アドレス１
０３、アプリケーション種別１０４、ローカルポート暗
号鍵情報１０５およびパブリックポート暗号鍵情報１０
６からなる。

【００７８】その後、端末Ａは、鍵探索要求応答パケッ
トを暗号装置１１に返信し（ステップＳ９０５）、暗号
装置１１では、鍵探索要求応答パケット内の情報に基づ
いて送信元、宛先端末アドレスおよびアプリケーション
種別を設定した鍵探索パケットを暗号装置１２に送信す
るとともに（ステップＳ９０６）、鍵探索要求応答パケ
ットを廃棄する。

【００７９】その後、図４に示す手順と同様の手順で処
理を続行する。すなわち、暗号装置１２が鍵探索パケッ
トをサーバＳに中継し（ステップＳ９０７）、サーバＳ
は、これに対応して鍵探索応答パケットを暗号化装置１
２に返送する（ステップＳ９０８）。

【００８０】そして、この鍵探索応答パケットを受信し
た暗号装置１２は、この鍵探索応答パケット内の暗号鍵
を必要に応じて通信制御テーブル１１６に登録しつつ、
該鍵探索応答パケットを暗号装置１１に中継するととも
に（ステップＳ９０９）、この鍵探索応答パケット含ま
れる暗号鍵でファイル転送通信データを復号し、ファイ
ル転送通信データをサーバＳに送信する（ステップＳ９
１０）。

【００８１】つぎに、通信制御テーブル１１６の内容が
消去された暗号装置１２の処理手順について説明する。
図１１は、通信制御テーブル１１６の内容が消去された
暗号装置１２が通信データをパブリックポートから受信
した場合の処理手順を示すフローチャートである。

【００８２】同図に示すように、暗号装置１２が電源断
などにより通信制御テーブル１１６が消去された状態
で、端末ＡからサーバＳへの通信データをパブリックポ
ートで受信した場合には、まず最初に、この通信データ
の送信元、宛先端末アドレスおよびアプリケーション種
別が通信制御テーブル１１６に登録されているかどうか
を調べる（ステップＳ１１０１）。

【００８３】その結果、通信制御テーブル１１６に登録
されている場合には（ステップＳ１１０１肯定）、この
通信制御テーブル１１６に登録された内容にしたがって
通信データを処理し（ステップＳ１１０２）、登録され
ていない場合には（ステップＳ１１０１否定）、図１０
に示した受信データのアプリケーション種別を設定した
鍵探索要求パケットを送信する（ステップＳ１１０
３）。

【００８４】上述してきたように、本実施の形態２で
は、暗号装置１２の通信制御テーブル１１６の内容が消
去された場合には、鍵探索要求パケットを用いて鍵探索
パケットを送信するよう送信元端末に一番近い暗号装置
１１に要求するよう構成したので、中継経路上の暗号装
置の通信制御テーブル１１６が消去された場合であって
も効率良く暗号通信をおこなうことができる。

【００８５】実施の形態３．ところで、上記実施の形態
１および２では、通信制御テーブル１１６からの暗号鍵
情報の削除についての説明を省略したが、所定の時間通
信をおこなわない端末間の暗号鍵情報を削除することも
できる。このため本実施の形態では、所定の時間通信を
おこなわない端末間の暗号鍵情報を削除する場合を示す
こととする。

【００８６】図１２は、本実施の形態３で用いる通信制
御テーブル１２０の一例を示す図である。同図に示すよ
うに、この通信制御テーブル１２０は、通信端末１２
１、アプリケーション種別１２２および処理方式１２３
以外に保持時間１２４を有する。なおここでは、保持時
間を５分に設定している。

【００８７】したがって、暗号装置１１〜１３では、通
信制御テーブル１２０に登録された暗号鍵情報を使用し
た暗号通信が行われるたびに、この保持時間１２４を初
期値に戻すが、保持時間１２４が経過するまでに通信が
おこなわれない場合には、通信制御テーブル１２０から
暗号鍵情報を削除する。

【００８８】なお、かかる暗号鍵情報の削除は、通信が
途絶したアプリケーションについてのみおこなわれ、た
とえばファイル転送アプリケーションの通信が途絶えた
場合に、電子メール通信が継続して行われていれば、こ
の電子メールに対する暗号鍵情報は削除されない。

【００８９】上述してきたように、本実施の形態３で
は、通信制御テーブル１２０に保持時間をそれぞれ設
け、この保持時間の間通信がおこなわれない場合には暗
号鍵情報を削除するよう構成したので、端末の移動若し
くは通信経路の変更等によって通信がおこなわれない暗
号鍵情報を通信制御テーブル１２０から削除し、もって
通信制御テーブル１２０の容量および検索時間を低減す
ることができる。

【００９０】なお、本実施の形態３では、暗号装置に対
して通信制御テーブルに登録された暗号鍵の情報の保持
時間を設定することとしたが、本発明はこれに限定され
るものではなく、各アプリケーションの通信に対して設
定することもできる。かかる構成を用いることにより、
頻繁に通信がおこなわれるアプリケーションと頻度の少
ないアプリケーションとにそれぞれ保持時間を設定でき
るため、各アプリケーションの通信開始時に毎回鍵探索
が実行されるのを防ぎ、通信開始時のオーバヘッドを短
縮することができる。

【００９１】また、各アプリケーションに対して設定さ
れた通信制御テーブルの保持時間を図１３に示すように
鍵探索パケットに設定し、暗号鍵情報収集時に各暗号装
置に通知することもできる。これにより、中継経路上の
暗号装置において通信制御テーブルの保持時間を統一す
ることができ、不用意に鍵探索が行われるのを防ぐこと
ができる。

【００９２】また、上記実施の形態１〜３では、各暗号
鍵に対してアプリケーション１つを割り当てることとし
たが、本発明はこれに限定されるものではなく、図１４
の通信制御テーブルに示すように、暗号鍵に対してファ
イル転送、ＷＷＷおよびネットニュースなどの複数のア
プリケーションを割り当てたり、すべてのアプリケーシ
ョンで暗号鍵を使用するよう設定することもできる。

【００９３】また、上記実施の形態１〜３では、鍵探索
パケットには、暗号装置が受信した通信データのアプリ
ケーション種別に対する暗号鍵情報を設定することとし
たが、本発明はこれに限定されるものではなく、図１５
に示すように暗号装置に設定されているすべてのアプリ
ケーションに対する暗号鍵情報を設定することもでき
る。かかる鍵探索パケットを用いることにより、ファイ
ル転送アプリケーションによる通信開始時に、ファイル
転送アプリケーションに対する暗号鍵情報だけでなく電
子メールに関する暗号鍵情報も学習できるので、電子メ
ール通信開始時の鍵探索のオーバヘッドを省略すること
ができる。

【００９４】実施の形態４．ところで、上記実施の形態
１〜３では、暗号鍵の更新についての説明を省略した
が、通常の暗号システムにおいてパスワードなどを定期
的に更新するのは常套手段であり、暗号通信システムの
暗号鍵においても例外ではない。そこで、本実施の形態
４では、暗号鍵の更新を考慮した暗号通信システムにつ
いて説明することとする。

【００９５】図１６は、本実施の形態４にかかる暗号通
信システムのシステム構成を示すブロック図である。同
図において、暗号装置１１は、暗号鍵（ＫＥＹ１ バー
ジョン１）を保有し、暗号装置１２は、暗号鍵（ＫＥＹ
１ バージョン１およびＫＥＹ２ バージョン２）を保
有し、暗号装置１３は、暗号鍵（ＫＥＹ２ バージョン
１）を保有する。そして、各暗号装置１１〜１３は、暗
号鍵をバージョン情報とともに管理し、新しく暗号鍵が
配布されるとバージョン情報をインクリメントするよう
構成している。

【００９６】図１７は、本実施の形態４で用いる鍵探索
パケットの構造の一例を示す説明図であり、同図に示す
ように、この鍵検索パケット１７０は、ヘッダ１７１、
送信元端末アドレス１７２、宛先端末アドレス１７３、
アプリケーション種別１７４、バージョン情報１７５、
ローカルポート暗号鍵情報およびパブリックポート暗号
鍵情報１７６からなり、上述した構造にバージョン情報
５７が追加されている。

【００９７】つぎに、本実施の形態４にかかる暗号装置
１１〜１３の処理手順について具体的に説明する。図１
８は、図１６に示す暗号装置１１〜１３が通信データを
受信した場合の処理手順を示すフローチャートである。
同図に示すように、暗号装置１１が端末Ａから通信デー
タを受信したならば、この通信データの送信元、宛先端
末アドレスおよびアプリケーション種別が通信制御テー
ブル１１６内に登録されているか否かを調べる（ステッ
プＳ１８０１）。

【００９８】そして、通信制御テーブル１１６内に登録
されている場合には（ステップＳ１８０１肯定）、通信
制御テーブルにしたがった処理をおこない（ステップＳ
１８０２）、通信制御テーブル１１６内に登録されてい
ない場合には（ステップＳ１８０１否定）、通信データ
を保持し、ローカルポート暗号鍵情報に設定された暗号
鍵の中からファイル転送アプリケーションデータを暗号
化するよう設定された暗号鍵情報とこの暗号鍵のバージ
ョンおよびアプリケーション種別にファイル転送を設定
した鍵探索パケットを通信データの宛先へ送信する（ス
テップＳ１８０３）。なお、かかる処理は、パブリック
ポート１１１またはローカルポート１１９のいずれのポ
ートから通信データを受信した場合も同じである。

【００９９】図１９は、ローカルポート１１９から鍵検
索応答パケットを受信した場合の処理手順を示すフロー
チャートである。同図に示すように、暗号装置１２がロ
ーカルポート１１９から鍵検索応答パケットを受信した
場合には、自身が保持する暗号鍵および該暗号鍵を使用
するアプリケーション種別と一致する情報が鍵検索応答
パケットのローカルポート暗号鍵情報に設定されている
か否かを確認する（ステップＳ１９０１）。

【０１００】そして、一致する情報がある場合には（ス
テップＳ１９０１肯定）、さらにバージョンが一致する
か否かを確認し（ステップＳ１９０２）、バージョンに
ついても一致する場合には（ステップＳ１９０２肯
定）、一致した暗号鍵で通信データを暗号化する旨を決
定し、一致した暗号鍵、送信元、宛先アドレスおよびア
プリケーション種別を通信制御テーブル１１６に登録す
る（ステップＳ１９０３）。これに対して、一致する情
報がない場合（ステップＳ７０１否定）または一致する
情報があってもバージョンが一致しない場合（ステップ
Ｓ１９０２否定）には、処理を廃棄とする旨を決定して
通信制御テーブル１１６に登録する（ステップＳ１９０
４）。

【０１０１】そして、決定した処理内容を鍵探索応答パ
ケットに設定し（ステップＳ１９０５）、設定した鍵探
索応答パケットをネットワークを介して要求元の暗号装
置１１に中継する（ステップＳ１９０６）。

【０１０２】図２０は、パブリックポート１１１から鍵
検索応答パケットを受信した場合の処理手順を示すフロ
ーチャートである。同図に示すように、暗号装置１１が
パブリックポート１１１から鍵検索応答パケットを受信
した場合には、このパケットが自局当てのパケットであ
るか否かを調べ（ステップＳ２００１）、自局当てのパ
ケットでない場合には（ステップＳ２００１否定）、該
パケットに含まれる宛先、送信元端末間のアプリケーシ
ョンデータに対する処理を透過中継として通信制御テー
ブル１１６に登録し（ステップＳ２００２）、鍵探索応
答パケットを中継する（ステップＳ２００３）。

【０１０３】これに対して、自局当てのパケットである
場合には（ステップＳ２００１肯定）、自身が保持する
暗号鍵および該暗号鍵を使用するアプリケーション種別
と一致する情報が鍵検索応答パケットのローカルポート
暗号鍵情報に設定されているか否かを確認する（ステッ
プＳ２００４）。

【０１０４】そして、一致する情報があれば（ステップ
Ｓ２００４肯定）、さらにバージョンが一致するか否か
を確認し（ステップＳ２００５）、バージョンについて
も一致する場合には（ステップＳ２００５肯定）、一致
した暗号鍵で通信データを暗号化する旨を決定し、一致
した暗号鍵、送信元、宛先アドレスおよびアプリケーシ
ョン種別を通信制御テーブル１１６に登録した後（ステ
ップＳ２００６）、保持していた通信データを一致した
暗号鍵で暗号化して送信する（ステップＳ２００７）。

【０１０５】これに対して、一致する情報がない場合
（ステップＳ２００４否定）または一致する情報があっ
てもバージョンが一致しない場合（ステップＳ２００５
否定）には、処理を廃棄とする旨を決定して通信制御テ
ーブル１１６に登録し（ステップＳ２００８）、保持し
ていたデータを廃棄して処理を終了する（ステップＳ２
００９）。

【０１０６】つぎに、暗号装置１１〜１３が、パブリッ
クポート１１１またはローカルポート１１９から鍵探索
パケットを受信した場合の処理手順について説明する
と、この場合には、アプリケーション種別に対応する暗
号鍵とバージョンとをそれぞれパブリックポート暗号鍵
情報またはローカルポート暗号鍵情報に設定する処理を
おこなう。

【０１０７】上述してきたように、本実施の形態４にか
かる暗号通信システムでは、鍵探索パケットを用いて、
通信経路上の暗号装置が保有する暗号鍵のジョージョン
情報を確認するよう構成したので、バージョンの違う鍵
が混在するケースが生じることを防ぐことができる。

【０１０８】実施の形態５．ところで、上記実施の形態
で用いる鍵探索パケットには、ステータスにかかる情報
を付加することもできる。そこで、本実施の形態では、
ステータスをも考慮して鍵の探索をおこなう場合につい
て説明する。

【０１０９】図２１は、本実施の形態５で用いる鍵探索
パケット２１０の構造を示す説明図であり、同図に示す
ように、この鍵探索パケット２１０は、ヘッダ２１１、
送信元端末アドレス２１２、宛先端末アドレス２１３、
アプリケーション種別２１４、ローカルポート暗号鍵情
報２１５、パブリックポート暗号鍵情報２１６およびス
テータス情報２１７からなる。すなわち、本実施の形態
５では、この鍵検索パケットにステータス情報を付加し
た構成となる。

【０１１０】つぎに、本実施の形態５における暗号装置
１１〜１３による処理手順について説明する。図２２
は、ローカルポート１１９から鍵検索応答パケットを受
信した場合の処理手順を示すフローチャートである。同
図に示すように、暗号装置１２がローカルポート１１９
から鍵検索応答パケットを受信した場合には、自身が保
持する暗号鍵および該暗号鍵を使用するアプリケーショ
ン種別と一致する情報が鍵検索応答パケットのローカル
ポート暗号鍵情報に設定されているか否かを確認する
（ステップＳ２２０１）。

【０１１１】そして、一致する情報がある場合には（ス
テップＳ２２０１肯定）、さらに通信制御テーブル１１
６に他の情報が登録されているか否かを確認し（ステッ
プＳ２２０２）、他の情報が登録されていない場合には
（ステップＳ２２０２否定）、ステータス情報にレディ
を設定した後に（ステップＳ２２０３）、一致した暗号
鍵で通信データを暗号化する旨を決定し、一致した暗号
鍵、送信元、宛先アドレスおよびアプリケーション種別
を通信制御テーブル１１６に登録する（ステップＳ２２
０４）。

【０１１２】これに対して、通信制御テーブル１１６に
他の情報が登録されている場合には（ステップＳ２２０
２肯定）、ステータス情報にビジーを設定した後に（ス
テップＳ２２０５）、処理を廃棄とする旨を決定して通
信制御テーブル１１６に登録する（ステップＳ２２０
６）。なお、鍵情報が一致しない場合にも（ステップＳ
２２０１否定）、処理を廃棄とする旨を決定して通信制
御テーブル１１６に登録する（ステップＳ２２０６）。

【０１１３】そして、決定した処理内容を鍵探索応答パ
ケットに設定し（ステップＳ２２０７）、設定した鍵探
索応答パケットをネットワークを介して要求元の暗号装
置１１に中継する（ステップＳ２２０８）。

【０１１４】図２３は、パブリックポート１１１から鍵
検索応答パケットを受信した場合の処理手順を示すフロ
ーチャートである。同図に示すように、暗号装置１１が
パブリックポート１１１から鍵検索応答パケットを受信
した場合には、このパケットが自局当てのパケットであ
るか否かを調べ（ステップＳ２３０１）、自局当てのパ
ケットでない場合には（ステップＳ２３０１否定）、該
パケットに含まれる宛先、送信元端末間のアプリケーシ
ョンデータに対する処理を透過中継として通信制御テー
ブル１１６に登録し（ステップＳ２３０２）、鍵探索応
答パケットを中継する（ステップＳ２３０３）。

【０１１５】これに対して、自局当てのパケットである
場合には（ステップＳ２３０１肯定）、自身が保持する
暗号鍵および該暗号鍵を使用するアプリケーション種別
と一致する情報が鍵検索応答パケットのローカルポート
暗号鍵情報に設定されているか否かを確認する（ステッ
プＳ２３０４）。

【０１１６】そして、一致する情報があれば（ステップ
Ｓ２００４肯定）、ステータス情報を確認し（ステップ
Ｓ２３０５）、このステータス情報がレディである場合
には、一致した暗号鍵で通信データを暗号化する旨を決
定し、一致した暗号鍵、送信元、宛先アドレスおよびア
プリケーション種別を通信制御テーブル１１６に登録し
た後（ステップＳ２３０６）、保持していた通信データ
を一致した暗号鍵で暗号化して送信する（ステップＳ２
３０７）。

【０１１７】これに対して、一致する情報がない場合
（ステップＳ２３０４否定）または一致する情報があっ
てもステータス情報がビジーである場合には、処理を廃
棄とする旨を決定して通信制御テーブル１１６に登録し
（ステップＳ２３０８）、保持していたデータを廃棄し
て処理を終了する（ステップＳ２３０９）。なお、ここ
では鍵探索応答パケット受信時の処理のみを示すことと
したが、その他の処理についてはすでに説明したものと
同様の処理となる。

【０１１８】上述してきたように、本実施の形態５で
は、鍵探索パケットを用いて通信経路上の暗号装置のス
テータス情報を通知するよう構成したので、異なるＶＰ
Ｎに属する端末（端末Ａ、端末Ｂ）がサーバＳを踏み台
にして他のＶＰＮに属する端末に侵入することを防ぐこ
とができる。

【０１１９】なお、本実施の形態５では、通信制御テー
ブル１１６の有無によりステータス情報にビジーまたは
レディを設定することとしたが、あらかじめ各ＶＰＮに
通信のプライオリティを設定しておき、このプライオリ
ティ値をステータス情報に設定することでプライオリテ
ィに応じた通信制御を実現することもできる。

【０１２０】また、本実施の形態５では、サーバＳと端
末Ａ以外の端末の暗号鍵情報（たとえばサーバＳ〜端末
Ｂ間の暗号鍵情報）が通信管理テーブル１１６に登録さ
れている場合には、鍵探索応答パケットのステータス情
報にビジーを設定し、各暗号装置に通知していたが、暗
号装置１２では、サーバＳ〜端末Ｂ間の通信が終了した
際に（つまり通信制御テーブル１１６からサーバＳ〜端
末Ｂの暗号鍵情報が削除された時に）、ビジーのために
廃棄するよう設定した端末Ａ〜サーバＳの通信を許可す
るため、宛先の端末Ａに対して鍵探索要求パケットを送
信し、鍵探索要求パケットにより鍵探索を実行し、中継
経路上の暗号装置は再度通信制御テーブルを登録しなお
すことにより、ステータス異常により、不許可だった通
信をステータス変更時に自動的に許可するよう変更する
こともできる。なお、この場合には、端末Ａに鍵探索要
求パケットを送信する代わりに、鍵探索パケットを用い
ることもできる。

【０１２１】なお、上記実施の形態１〜５では、暗号装
置１１、１２および１３がネットワーク１０に接続され
る場合を示すこととしたが、本発明はこれに限定される
ものではなく、暗号装置の機能が端末やサーバ内に設け
られた場合に適用することもできる。

【０１２２】

【発明の効果】以上説明したように、この発明によれ
ば、各暗号装置が、端末装置から通信データを受信した
際に、端末情報およびアプリケーション種別に対応する
暗号鍵情報がテーブルに存在するか否かを確認し、該当
する暗号鍵情報が登録されていないことを確認した場合
には、通信データの端末情報、アプリケーション種別お
よび暗号鍵情報を設定した鍵探索パケットを送信し、送
信した鍵探索パケットに応答して宛先端末装置から返送
される鍵探索応答パケットに基づいて、鍵探索パケット
の送信元の暗号装置並びに該鍵探索パケットを中継する
中継経路上に位置する各暗号装置のテーブルにアプリケ
ーション種別に対応する暗号鍵情報を設定することとし
たので、端末上で複数のアプリケーションが動作する場
合に、各アプリケーションごとにきめ細かな暗号通信の
設定を可能とし、もって暗号強度の維持と処理遅延の解
消を図ることができる。

【０１２３】つぎの発明によれば、中継経路上の暗号装
置は、各暗号装置にあらかじめ設定されている暗号鍵情
報のうちの鍵探索パケットで示されるアプリケーション
種別に対応する暗号鍵情報を鍵探索パケットに付加し、
付加した鍵探索パケットを宛先端末宛てに中継するよう
こととしたので、中継経路上の各暗号装置が有するアプ
リケーション種別に対応する暗号鍵情報を効率良く収集
することができる。

【０１２４】つぎの発明によれば、中継経路上の暗号装
置は、中継する通信データの端末情報およびアプリケー
ション種別に対応する暗号鍵情報がテーブルに登録され
ていない場合に、該通信データの送信元端末装置に鍵探
索パケットの発信を要求する少なくともアプリケーショ
ン種別を有する鍵探索要求パケットを送信し、通信デー
タの送信元端末装置は、この鍵探索要求パケットに応答
して鍵探索要求応答パケットを送信することとしたの
で、中継経路上の暗号装置から鍵探索パケットの送信を
要請することができ、もってテーブルの内容を消去して
しまったような場合に効率良く対応することができる。

【０１２５】つぎの発明によれば、鍵探索パケットおよ
び鍵探索応答パケットは、送信元端末アドレス、宛先端
末アドレス、アプリケーション種別、ローカルポート暗
号鍵情報およびパブリックポート暗号鍵情報を少なくと
も有し、各暗号装置は、該暗号装置に対応する端末装置
向けのローカルポートと、ネットワーク向けのパブリッ
クポートとを備え、ローカルポートから鍵探索パケット
を受信した際に、該鍵探索パケット内のアプリケーショ
ン種別に対応する暗号鍵情報をローカルポート暗号鍵情
報に設定し、パブリックポートから鍵探索パケットを受
信した際に、該鍵探索パケット内のアプリケーション種
別に対応する暗号鍵情報をパブリックポート暗号鍵情報
に設定することとしたので、ローカルポートおよびパブ
リックポートに区別して暗号鍵情報を鍵探索パケットに
効率良く取り込むことができる。

【０１２６】つぎの発明によれば、中継経路上の各暗号
装置は、鍵探索応答パケットをパブリックポートから受
信した際に、パブリックポート暗号鍵情報に暗号鍵情報
が存在しなければ、透過中継を示す暗号鍵情報をテーブ
ルに登録することとしたので、パブリックポートの暗号
鍵情報に基づいて透過中継するか否かを切り替えること
ができる。

【０１２７】つぎの発明によれば、中継経路上の各暗号
装置は、テーブルに登録された暗号鍵情報を用いた通信
が所定時間以上行われなければ、当該テーブルから該当
する暗号鍵情報を消去することとしたので、端末の移動
などによって使用されなくなった暗号鍵情報を消去し、
もってテーブルの容量を低減して該当する暗号鍵を迅速
に検索することができる。

【０１２８】つぎの発明によれば、鍵探索パケットは、
テーブルに登録された暗号鍵情報の保持時間を有し、各
暗号装置は、鍵探索された暗号鍵情報をテーブルに登録
する際に該暗号鍵情報の保持時間を合わせて登録し、当
該暗号鍵情報を用いた通信が保持時間以上行われない場
合には、当該暗号鍵情報をテーブルから削除することと
したので、不要な暗号鍵情報を効率良く削除することが
できる。

【０１２９】つぎの発明によれば、鍵探索パケットは、
暗号鍵のバージョン情報を有し、各暗号装置は、暗号鍵
のバージョン情報が一致する場合にのみ鍵探索パケット
で取得した暗号鍵をテーブルに登録することとしたの
で、バージョンの違う鍵が混在するケースが生じること
を防ぐことができる。

【０１３０】つぎの発明によれば、鍵探索パケットは、
送信元端末装置および宛先端末装置間の通信状況を示す
ステータス情報をさらに有し、各暗号装置は、当該ステ
ータス情報に基づいて通信データの処理方式をテーブル
に登録することとしたので、あるＶＰＮに属する端末装
置がサーバなどを踏み台にして他のＶＰＮに属する端末
装置に侵入することを防ぐことができる。

【０１３１】つぎの発明によれば、ステータス情報が変
化した際に、中継経路上の暗号装置に変更を通知し、該
通知を受けた暗号装置は、通知された内容に基づいてテ
ーブルを変更することとしたので、ステータス情報の変
化に応じて迅速にテーブルを更新することができる。

【図面の簡単な説明】

【図１】 実施の形態１で用いる暗号通信システムのシ
ステム構成を示すブロック図である。

【図２】 図１に示した暗号装置の構成を示す機能ブロ
ック図である。

【図３】 図２に示した自動学習処理部によって処理さ
れる鍵探索パケットのパケットフォーマットの一例を示
す説明図である。

【図４】 図１に示した暗号通信システムの鍵探索時の
通信手順を示すシーケンス図である。

【図５】 図１に示した暗号装置が有する通信制御テー
ブルの一例を示す説明図である。

【図６】 図１に示す暗号装置が通信データを受信した
場合の処理手順を示すフローチャートである。

【図７】 ローカルポートから鍵検索応答パケットを受
信した場合の処理手順を示すフローチャートである。

【図８】 パブリックポートから鍵検索応答パケットを
受信した場合の処理手順を示すフローチャートである。

【図９】 実施の形態２にかかる通信制御テーブルの内
容が消去された場合の処理手順を示すシーケンス図であ
る。

【図１０】 鍵探索要求パケットのパケットフォーマッ
トの一例を示す説明図である。

【図１１】 通信制御テーブルの内容が消去された暗号
装置が通信データをパブリックポートから受信した場合
の処理手順を示すフローチャートである。

【図１２】 実施の形態３で用いる通信制御テーブルの
構成の一例を示す図である。

【図１３】 保持時間を有する鍵探索パケットの一例を
示す説明図である。

【図１４】 暗号鍵に対してファイル転送、ＷＷＷおよ
びネットニュースなどの複数のアプリケーションを割り
当てた通信制御テーブルの一例を示す説明図である。

【図１５】 暗号装置に設定されているすべてのアプリ
ケーションに対する暗号鍵情報を設定する鍵探索パケッ
トの一例を示す説明図である。

【図１６】 実施の形態４にかかる暗号通信システムの
システム構成を示すブロック図である。

【図１７】 実施の形態４で用いる鍵探索パケットの構
造の一例を示す説明図である。

【図１８】 図１６に示した暗号装置が通信データを受
信した場合の処理手順を示すフローチャートである。

【図１９】 ローカルポートから鍵検索応答パケットを
受信した場合の処理手順を示すフローチャートである。

【図２０】 パブリックポートから鍵検索応答パケット
を受信した場合の処理手順を示すフローチャートであ
る。

【図２１】 実施の形態５で用いる鍵探索パケットの構
造を示す説明図である。

【図２２】 ローカルポートから鍵検索応答パケットを
受信した場合の処理手順を示すフローチャートである。

【図２３】 パブリックポートから鍵検索応答パケット
を受信した場合の処理手順を示すフローチャートであ
る。

【図２４】 暗号装置が接続された従来の暗号通信シス
テムの一例を示す説明図である。

【図２５】 従来における通信制御テーブルの一例を示
す説明図である。

【図２６】 従来における鍵検索パケットの構造の一例
を示す説明図である。

【符号の説明】

１０ ネットワーク、１１，１２，１３ 暗号装置、１
１１ パブリックポート、１１２，１１８ 送受信処理
部、１１３ 暗号化・復号処理部、１１４透過中継部、
１１５ 廃棄部、１１６，１２０ 通信制御テーブル、
１１７ 自動学習処理部、１１９ ローカルポート、３
０，１７０，２１０ 鍵探索パケット、１００ 鍵探索
要求パケット。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 稲田 徹 東京都千代田区丸の内二丁目２番３号 三 菱電機株式会社内 Ｆターム(参考） 5J104 AA01 AA16 AA32 EA02 NA02 NA21 NA37 PA07 5K034 AA05 DD01 EE11 FF01 FF11 FF13 HH02 HH11 HH14 HH16 HH17 HH26 HH61 MM39

Claims (10)

【特許請求の範囲】
1. 【請求項１】 少なくとも端末情報と暗号鍵情報とを対
   応づけて登録したテーブルを有する暗号装置を介して複
   数の端末装置がネットワークに接続された暗号通信シス
   テムにおいて、 各暗号装置は、 前記端末装置から通信データを受信した際に、端末情報
   およびアプリケーション種別に対応する暗号鍵情報が前
   記テーブルに存在するか否かを確認する確認手段と、 前記確認手段により該当する暗号鍵情報が登録されてい
   ないと確認された場合には、通信データの端末情報、ア
   プリケーション種別および暗号鍵情報を設定した鍵探索
   パケットを送信する鍵探索パケット送信手段と、 前記鍵探索パケット送信手段により送信された鍵探索パ
   ケットに応答して宛先端末装置から返送される鍵探索応
   答パケットに基づいて、前記鍵探索パケットの送信元の
   暗号装置並びに該鍵探索パケットを中継する中継経路上
   に位置する各暗号装置のテーブルに前記アプリケーショ
   ン種別に対応する暗号鍵情報を設定する設定手段と、 を備えたことを特徴とする暗号通信システム。
2. 【請求項２】 前記中継経路上の暗号装置は、各暗号装
   置にあらかじめ設定されている暗号鍵情報のうちの前記
   鍵探索パケットで示されるアプリケーション種別に対応
   する暗号鍵情報を前記鍵探索パケットに付加し、付加し
   た鍵探索パケットを宛先端末宛てに中継することを特徴
   とする請求項１に記載の暗号通信システム。
3. 【請求項３】 前記中継経路上の暗号装置は、中継する
   通信データの端末情報およびアプリケーション種別に対
   応する暗号鍵情報が前記テーブルに登録されていない場
   合に、該通信データの送信元端末装置に鍵探索パケット
   の発信を要求する少なくともアプリケーション種別を有
   する鍵探索要求パケットを送信する鍵探索要求パケット
   送信手段をさらに備え、前記通信データの送信元端末装
   置は、前記鍵探索要求パケットに応答して鍵探索要求応
   答パケットを送信する鍵探索要求応答パケット送信手段
   をさらに備えたことを特徴とする請求項１または２に記
   載の暗号通信システム。
4. 【請求項４】 前記鍵探索パケットおよび鍵探索応答パ
   ケットは、送信元端末アドレス、宛先端末アドレス、ア
   プリケーション種別、ローカルポート暗号鍵情報および
   パブリックポート暗号鍵情報を少なくとも有し、各暗号
   装置は、該暗号装置に対応する端末装置向けのローカル
   ポートと、前記ネットワーク向けのパブリックポートと
   を備え、前記ローカルポートから前記鍵探索パケットを
   受信した際に、該鍵探索パケット内のアプリケーション
   種別に対応する暗号鍵情報を前記ローカルポート暗号鍵
   情報に設定し、前記パブリックポートから前記鍵探索パ
   ケットを受信した際に、該鍵探索パケット内のアプリケ
   ーション種別に対応する暗号鍵情報を前記パブリックポ
   ート暗号鍵情報に設定することを特徴とする請求項１、
   ２または３に記載の暗号通信システム。
5. 【請求項５】 前記中継経路上の各暗号装置は、前記鍵
   探索応答パケットを前記パブリックポートから受信した
   際に、前記パブリックポート暗号鍵情報に暗号鍵情報が
   存在しなければ、透過中継を示す暗号鍵情報を前記テー
   ブルに登録することを特徴とする請求項４に記載の暗号
   通信システム。
6. 【請求項６】 前記中継経路上の各暗号装置は、前記テ
   ーブルに登録された暗号鍵情報を用いた通信が所定時間
   以上行われなければ、当該テーブルから該当する暗号鍵
   情報を消去する消去手段をさらに備えたことを特徴とす
   る請求項１〜５のいずれか一つに記載の暗号通信システ
   ム。
7. 【請求項７】 前記鍵探索パケットは、前記テーブルに
   登録された暗号鍵情報の保持時間を有し、各暗号装置
   は、鍵探索された暗号鍵情報を前記テーブルに登録する
   際に該暗号鍵情報の保持時間を合わせて登録し、当該暗
   号鍵情報を用いた通信が前記保持時間以上行われない場
   合には、当該暗号鍵情報を前記テーブルから削除するこ
   とを特徴とする請求項１〜６のいずれか一つに記載の暗
   号通信システム。
8. 【請求項８】 前記鍵探索パケットは、暗号鍵のバージ
   ョン情報を有し、各暗号装置は、暗号鍵のバージョン情
   報が一致する場合にのみ前記鍵探索パケットで取得した
   暗号鍵を前記テーブルに登録することを特徴とする請求
   項１〜７のいずれか一つに記載の暗号通信システム。
9. 【請求項９】 前記鍵探索パケットは、送信元端末装置
   および宛先端末装置間の通信状況を示すステータス情報
   をさらに有し、各暗号装置は、当該ステータス情報に基
   づいて通信データの処理方式を前記テーブルに登録する
   ことを特徴とする請求項１〜８のいずれか一つに記載の
   暗号通信システム。
10. 【請求項１０】 前記ステータス情報が変化した際に、
    前記中継経路上の暗号装置に変更を通知し、該通知を受
    けた暗号装置は、通知された内容に基づいて前記テーブ
    ルを変更することを特徴とする請求項９に記載の暗号通
    信システム。