JP2001237818A

JP2001237818A - プロキシ暗号通信システム及び方法並びにプログラムを記録した記録媒体

Info

Publication number: JP2001237818A
Application number: JP2000044098A
Authority: JP
Inventors: Kazutsugu Takeda; 和嗣竹田
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2000-02-22
Filing date: 2000-02-22
Publication date: 2001-08-31
Anticipated expiration: 2020-02-22
Also published as: JP3570327B2

Abstract

(57)【要約】【課題】中継装置での暗号・復号を省略し、プロキシ暗
号通信を効率化するシステムの提供。【解決手段】第１、第２の通信装置間の通信を中継する
機能を具備した中継装置が、第１の通信装置と中継装置
の間に用いる第１の暗号鍵、又は第２の通信装置と中継
装置の間に用いる第２の暗号鍵が同一の暗号種類、同一
の鍵長であるとき、一方の暗号鍵を、一方の暗号鍵とは
別の暗号鍵を用いて中継装置と暗号通信を行う第１又は
第２の通信装置の対して送信し、第１の通信装置と中継
装置、第２の通信装置と中継装置間で一方の暗号鍵によ
る暗号通信を行い、中継装置での暗号・復号を省略す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、暗号鍵を用いたネ
ットワーク通信技術に関し、特に、パケット中継を行う
プロキシ暗号通信システム及び方法並びに記録媒体に関
する。

【０００２】

【従来の技術】この種の従来のプロキシ暗号通信システ
ムについてその概略を図１を参照して説明しておく。図
１を参照すると、第１の通信装置１は第１のネットワー
ク４に接続されており、第２の通信装置３は第２のネッ
トワーク５に接続されており、第１、第２のネットワー
ク４、５の双方に接続され、第１、第２の通信装置１、
３間の通信を中継する中継装置２を備え、第１、第２の
通信装置１、３は、データの送受の要求を行うアプリケ
ーションソフトウェア（プログラム）１１、３１と、パ
ケットの中継を行うプロキシ手段１２、３２と、認証・
暗号手段１３、３３と、通信手段１４、３４とを備え、
中継装置２はパケットの中継を行うプロキシ手段２１
と、認証・暗号手段２２と、第１、第２のネットワーク
４、５との通信を制御する通信手段２３、２４とを備え
ている。

【０００３】第１の通信装置１のアプリケーションソフ
トウェア１１が、第２の通信装置３のアプリケーション
ソフトウェア３１と通信するためにアクセス要求を、前
記第１の通信装置１のプロキシ手段１２へ発行し、この
アクセス要求を受けて前記第１の通信装置１のプロキシ
手段１２は、このアクセス要求が中継装置を経由するも
のであることを認識し、中継装置２へのアクセス要求を
認証・暗号手段１３へ発行する。

【０００４】第１の通信装置１の認証・暗号手段１２
は、通信手段１４、中継装置２の通信手段２３を経由し
て中継装置２の認証・暗号手段２２へアクセス要求を送
り、第１の通信装置１の認証・暗号手段１３と、中継装
置２の認証・暗号手段２２の間で認証が開始され、認証
後、暗号通信のためのセッション鍵Ａを生成し、第１通
信装置１と中継装置２の間でセッション鍵Ａを用いて暗
号通信が開始される。また中継装置２のプロキシ手段２
２は、第２の通信装置３上のアプリケーションプログラ
ム３１と通信することを認識し、第２の通信装置３への
アクセス要求を認証・暗号手段２２へ発行し、中継装置
２の認証・暗号手段２２は、通信手段２４、第２の通信
装置３の通信手段３４を経由して、第２の通信装置３の
認証・暗号手３３段へアクセス要求を送り、中継装置２
の認証・暗号手段２２と第２の通信装置３の認証・暗号
手段３２の間で認証が開始され、認証後、暗号通信のた
めのセッション鍵Ｂを生成し、中継装置２と第２の通信
装置３の間でセッション鍵Ｂを使用して暗号通信が開始
される。

【０００５】

【発明が解決しようとする課題】しかしながら、上記し
た従来のプロキシ暗号システムにおいては、中継装置２
の認証・暗号手段２２では、セッション鍵Ａを用いて第
１の通信装置１から通信手段２３を介して受け取った暗
号データを復号して平文データとしてプロキシ手段２１
に受け渡し、プロキシ手段２１からの平文データをセッ
ション鍵Ｂを用いて暗号化した暗号データを通信手段２
４に出力し、第２の通信装置３に向けて送信する構成と
されている。

【０００６】すなわち、従来のプロキシ暗号システムに
おいては、中継装置２上で、データの暗号化、及び復号
処理を行っており、計算機資源、及び、処理時間を無駄
にしており、結果的に通信効率を低減させている、とい
う問題点を有している。

【０００７】なお、暗号鍵の管理について、例えば特開
平１０−１９０６４７号公報には、コンピュータネット
ワークにおける発信者と受信者双方の暗号鍵（キー）、
復号キーとなるキーＡを管理するキー管理拠点をプロキ
シサーバとして備え、発信者から受信者に情報送信要求
がなされた場合、一つのキーを２分して半分のキーの一
方を発信者に、他方を受信者に付与し、これらのキーを
用いて暗号化した情報の交換、暗号化情報の復号を行う
ようにした方法が開示されている。

【０００８】したがって本発明は、上記問題点に鑑みて
なされたものであって、その主たる目的は、プロキシ暗
号通信を効率化するシステム及び方法並びに記録媒体を
提供することにある。これ以外の本発明の目的、特徴、
利点等は、以下の実施の形態の記載から、当業者には、
直ちに明らかとされるであろう。

【０００９】

【課題を解決するための手段】前記目的を達成する本発
明は、二つ通信装置間の通信を中継する中継装置が、前
記一方の通信装置と前記中継装置との間の暗号通信の暗
号鍵を他方の通信装置に通知し、前記二つの通信装置と
前記中継装置の間の通信を前記暗号鍵を用いて行い、前
記中継装置での暗号・復号を省略する、ようにしたもの
である。

【００１０】

【発明の実施の形態】本発明の実施の形態について説明
する。本発明に係るシステムは、その好ましい一実施の
形態において、第１、第２の通信装置（１、３）間の通
信を中継する機能を具備した第３の通信装置（２）が、
第１の通信装置（１）と第３の通信装置（２）との間の
通信に用いる第１の暗号鍵（セッション鍵Ａ）と、第２
の通信装置（３）と第３の通信装置（２）との間の通信
に用いる第２の暗号鍵（セッション鍵Ｂ）とが、同一の
暗号種類、同一の鍵長であるか調べ、一致した場合、第
１又は第２の暗号鍵のうち一方の暗号鍵を、前記一方の
暗号鍵とは別の暗号鍵を用いて第３の通信装置（２）と
通信を行う第１の通信装置（１）又は第２の通信装置
（２）に対して送信し、第１の通信装置（１）と第３の
通信装置（２）との間、及び、第２の通信装置（３）と
第３の通信装置（２）との間で、前記一方の暗号鍵（例
えばセッション鍵Ｂ）による暗号通信を行い、前記第３
の通信装置における暗号・復号処理を省略する、ように
したものである。

【００１１】より詳細には、図１及び図２を参照する
と、第１、第２のネットワーク（４、５）にそれぞれ接
続される第１、第２の通信装置（１、３）が、データの
送受の要求を行うアプリケーションソフトウェア（１
１、３１）と、パケットの中継を行うプロキシ手段（１
２、３２）と、認証・暗号手段（１３、３３）と、通信
手段（１４、２４）とを備え、第１、第２のネットワー
ク（４、５）に接続される第３の通信装置（２）が、パ
ケットの中継を行うプロキシ手段（２１）と、認証・暗
号手段（２２）と、通信手段（２３、２４）とを備え、
第１通信装置（１）と第３の通信装置（２）の間で第１
の暗号鍵（セッション鍵Ａ）を用いて暗号通信が開始さ
れ、第３の通信装置（２）と第２の通信装置（３）の間
で第２の暗号鍵（セッション鍵Ｂ）を使用して暗号通信
が開始された際に、第３の通信装置（２）の認証・暗号
手段（２２）は、第１の通信装置（１）と第３の通信装
置（２）の間、及び、第２の通信装置（３）と第３の通
信装置（２）との間の、暗号種類、鍵長を調べ、一致す
れば、前記第１又は第２の暗号鍵のうち一方の暗号鍵
を、前記一方の暗号鍵とは別の暗号鍵を用いて前記第３
の通信装置と通信を行う前記第１の通信装置又は前記第
２の通信装置の認証・暗号手段へ送付し、第３の通信装
置（２）から前記一方の暗号鍵を受け取った前記第１又
は第２の通信装置の認証・暗号手段では、第３の通信装
置（２）との間で、前記別の暗号鍵の代わって、受け取
った前記一方の暗号鍵を使用して暗号通信を開始し、第
３の通信装置（２）の認証・暗号手段（２２）では、前
記第１、第２の暗号鍵の暗号・復号を中止し、第３の通
信装置（２）では、これ以降、第１、第２の通信装置間
を送受される、前記一方の暗号鍵での暗号化された暗号
データを、そのまま中継する。

【００１２】本発明に係る方法は、その好ましい一実施
の形態において、以下のステップａ乃至ｃを含む。

【００１３】ステップａ：第１、第２の通信装置（１、
３）間の通信を中継する機能を具備した第３の通信装置
（２）が、第１の通信装置（１）と第３の通信装置
（２）との間の通信に用いる第１の暗号鍵と、第２の通
信装置（３）と第３の通信装置（２）との間の通信に用
いる第２の暗号鍵とが、同一の暗号種類、同一の鍵長で
あるか調べる。

【００１４】ステップｂ：一致した場合、第１又は第２
の暗号鍵のうち一方の暗号鍵を、前記一方の暗号鍵とは
別の暗号鍵を用いて第３の通信装置（２）と通信を行う
第１又は第２の通信装置に対して送信する。

【００１５】ステップｃ：第１の通信装置（１）と第３
の通信装置（２）との間、及び、第２の通信装置（３）
と第３の通信装置（２）との間で、前記一方の暗号鍵に
よる暗号通信を行い、第３の通信装置における暗号化及
び復号化処理を省略する。

【００１６】本発明は、その好ましい一実施の形態にお
いて、第１、第２の通信装置（１、３）間の通信を中継
する機能を具備した第３の通信装置（２）の認証・暗号
手段（２２）において、第１の通信装置（１）と第３の
通信装置（２）の間、及び、第２の通信装置（２）と前
記第３の通信装置（２）との間の、暗号種類、鍵長を調
べ、一致すれば、前記第１又は第２の暗号鍵のうち一方
の暗号鍵を、前記一方の暗号鍵とは別の暗号鍵を用いて
第３の通信装置（２）と通信を行う前記第１又は前記第
２の通信装置（１、３）の認証・暗号手段へ送付する処
理と、前記第３の通信装置から前記一方の暗号鍵を受け
取った前記第１又は第２の通信装置（１、２）の認証・
暗号手段（１３、３３）において、第３の通信装置
（２）との間で、前記別の暗号鍵の代わって、受け取っ
た前記一方の暗号鍵を使用して暗号通信を行う処理と、
第３の通信装置（２）の認証・暗号手段（２２）では、
第１、第２の暗号鍵の暗号・復号を中止し、前記一方の
暗号鍵で暗号化されたデータをそのまま中継する処理
と、からなる各処理は、第１乃至第３の通信装置を構成
するコンピュータでプログラムを実行することでその機
能が実現される。この場合、該プログラム記録した記録
媒体（フロッピーディスク、ハードディスク媒体、磁気
テープ、ＣＤ−ＲＯＭ、半導体メモリ、ＤＶＤ（digita
l versatile disk））等から、通信装置のコンピュー
タにプログラムを読み出すか、ネットワーク接続された
サーバ等から通信媒体を介して通信装置のコンピュータ
にプログラムを読み出し、必要に応じてインストール
し、実行形式のプログラムをメモリにロードして実行す
ることで、上記した機能を実現することができる。

【００１７】本発明に係るプロキシ暗号通信システムの
一実施の形態の動作について説明する。図１を参照する
と、第１の通信装置（１）上で動作するアプリケーショ
ンプログラム（１１）が、第３の通信装置（中継装置）
（２）上のプロキシ手段（２１）を経由し、第２の通信
装置（３）上で動作するアプリケーションプログラム
（３１）へ通信する際に、第１の通信装置（１）と中継
装置（２）との間でセッション鍵Ａを生成し暗号通信を
行い、中継装置（２）と第２の通信装置（３）との間で
セッション鍵Ｂを生成し、暗号通信を開始するものとす
る。ここまでの動作は、従来のシステムと基本的に同一
とされる。

【００１８】本発明に係るプロキシ暗号通信システム
は、その好ましい一実施の形態において、図２に示すよ
うに、セッション鍵Ｂに統一することにより、中継装置
（２）上でのデータの暗号化・復号処理を省略して、プ
ロキシ暗号通信の効率化を可能としている。中継装置
（２）の認証・暗号手段（２２）は、第１の通信装置
（１）との間、及び、中継装置（２）と第２の通信装置
（３）の間の暗号種類、鍵長を調べ、一致すれば、例え
ばセッション鍵Ｂを、第１の通信装置（１）の認証・暗
号手段（１３）へ送付し、第１の通信装置（１）の認証
・暗号手段（１３）は、セッション鍵Ｂを受け取り、第
１の通信装置（１）と中継装置（２）の間は、セッショ
ン鍵Ｂを使用して、暗号通信が開始され、中継装置
（２）の認証・暗号手段（２２）では、セッション鍵
Ａ、Ｂの暗号・復号を中止し、第１、第２の通信装置
（１、２）との間で、セッション鍵Ｂに統一して暗号・
復号を行う。

【００１９】

【実施例】本発明の実施例について図面を参照して説明
する。図２は、本発明の一実施例の構成を示す図であ
る。図２を参照すると、本発明の一実施例は、通信装置
１、中継装置２、通信装置３と、ネットワーク４、５と
を備えている。

【００２０】通信装置１は、アプリケーションプログラ
ム１１と、プロキシ（ｐｒｏｘｙ）手段１２と、認証・
暗号手段１３と、通信手段１４と、を備えている。

【００２１】中継装置２は、プロキシ手段２１と、認証
・暗号手段２２と、通信手段２３と、通信手段２４と、
を備えている。

【００２２】通信装置３は、アプリケーションプログラ
ム３１と、プロキシ手段３２と、認証・暗号手段３３
と、通信手段３４とで構成される。

【００２３】これらの手段は概略つぎのように動作す
る。

【００２４】通信装置１のアプリケーションプログラム
１１は、通信装置３のアプリケーションプログラム３１
へデータを送るものとする。

【００２５】認証・暗号手段１３、２２は、通信手段１
４、２３を介し、相互認証を行い、セッション鍵Ａを生
成し、通信装置１、中継装置２の間で暗号通信を開始す
る。

【００２６】認証・暗号手段２２、３３は、通信手段２
４、３４を介し、相互認証を行い、セッション鍵Ｂを生
成し、中継装置２、３の間で暗号通信を開始する。

【００２７】認証・暗号手段２２は、セッション鍵Ｂ
を、認証・暗号手段１３へ送付する。

【００２８】認証・暗号手段１３は、セッション鍵Ｂを
使用して、暗号通信を開始する。

【００２９】認証・暗号手段２２は、通信装置１から送
付されたデータの復号・暗号を省略して、そのまま通信
装置３へ送付する。

【００３０】プロキシ手段１２、２２、３２は、それぞ
れパケット中継管理を行う。

【００３１】図３は、本発明の一実施例の処理手順を示
す流れ図である。図２及び図３を参照して、本発明の一
実施例の全体の動作について詳細に説明する。

【００３２】まず、通信装置１のアプリケーションプロ
グラム１１が通信装置３のアプリケーションプログラム
３１と通信するために、アクセス要求を、プロキシ手段
１２へあげる。

【００３３】アプリケーションプログラム１１から、通
信装置３のアプリケーションプログラム３１へのアクセ
ス要求を受け取ったプロキシ手段１２は、通信装置３へ
の通信が、中継装置２上のプロキシ手段２１を経由する
ものであることを認識して、中継装置２に対するアクセ
ス要求を、認証・暗号手段１３へ発行する。

【００３４】通信装置１の認証・暗号手段１３は、通信
装置１の通信手段１４、中継装置２の通信手段２３を経
由して、認証・暗号手段２２へアクセス要求を送る。

【００３５】通信装置１の認証・暗号手段１３と中継装
置２の認証・暗号手段２２との間で認証が開始され、認
証後、暗号通信のためのセッション鍵Ａが生成される
(ステップＡ１)。

【００３６】通信装置１と中継装置２の間では、セッシ
ョン鍵Ａを使用して暗号通信が開始される(ステップＡ
２、Ａ３、Ａ４)。

【００３７】つぎに、中継装置２のプロキシ手段２１
は、通信装置３上のアプリケーションプログラム３１と
通信することを知り、通信装置３へのアクセス要求を認
証・暗号手段２２へ発行する。

【００３８】中継装置２の認証・暗号手段２２は、中継
装置２の通信手段２４、通信装置３の通信手段３４を経
由して、通信装置３の認証・暗号手段３３へアクセス要
求を送る。

【００３９】中継装置２の認証・暗号手段２２と通信装
置３の認証・暗号手段３３の間で認証が開始され、認証
後、暗号通信のためのセッション鍵Ｂを生成する(ステ
ップＡ５)。

【００４０】中継装置２と通信装置３の間で、セッショ
ン鍵Ｂを使用して暗号通信が開始される(ステップＡ
６、Ａ７、Ａ８)。

【００４１】つぎに、中継装置２の認証・暗号手段２２
は、通信装置１と中継装置２の間、及び、中継装置２と
通信装置３の間の暗号種類、鍵長を調べ、一致すれば、
セッション鍵Ｂを、通信装置１の認証・暗号手段１３へ
送付する(ステップＡ９)。

【００４２】通信装置１の認証・暗号手段１３は、セッ
ション鍵Ｂを受け取り、通信装置１と中継装置２の間
は、セッション鍵Ｂを使用して、暗号通信が開始される
(ステップＡ１０、Ａ１１)。

【００４３】中継装置２の認証・暗号手段２２は、セッ
ション鍵Ａ、Ｂでの暗号・復号を中止する(ステップＡ
１２)。すなわち中継装置２の認証・暗号手段２２で
は、通信手段２３からの暗号データを復号化し平文デー
タをプロキシ手段２１へ転送すること、及びプロキシ手
段２１からの平文データを暗号化し暗号データを通信手
段２４へ送出することを中止し、通信手段２３で受信し
た暗号データをプロキシ手段２１にそのまま供給すると
ともに、プロキシ手段２１からの暗号データを通信手段
２４を介して送信し、中継装置２では、通信装置１と通
信装置２の間で転送される暗号データをそのまま中継転
送する。

【００４４】通信装置１の認証・暗号手段１３と、通信
装置３の認証・暗号手段３３は、中継装置２のプロキシ
手段２１により転送された暗号データに対し、セッショ
ン鍵Ｂでの暗号・復号を行う(ステップＡ１３)。

【００４５】次に具体例を用いて説明する。図４を参照
すると、通信装置Ａは、通信装置Ａの秘密鍵、中継装置
Ｂの公開鍵を持ち、中継装置Ｂは、中継装置Ｂの秘密
鍵、通信装置Ａ、Ｃの公開鍵を持ち、通信装置Ｃは通信
装置Ｃの秘密鍵、中継装置Ｂの公開鍵を持つものとす
る。

【００４６】通信装置Ａと中継装置Ｂの間で、これらの
公開鍵、秘密鍵を用い、公開鍵認証を行い、ＤＥＳ（Da
ta Encryption Standard）５６bit暗号（暗号化と復
号化に同じ鍵（秘密鍵）を用いる慣用暗号方式）を行う
ためのセッション鍵Ａを生成したとする。なお、本実施
例では、一例として、ＤＥＳ５６bit暗号を用いている
が、本発明はＤＥＳ５６bitに限定されるものでなく、
ＤＥＳ１２８bit、ＲＣ４等任意の暗号方式に適用可能
であることは勿論である。

【００４７】中継装置Ｂと通信装置Ｃの間でも、公開鍵
認証を行い、ＤＥＳ５６bit暗号を行うためのセッショ
ン鍵Ｂを生成したとする。

【００４８】このとき、中継装置の認証・暗号手段２２
（図２参照）は、セッション鍵Ｂを通信装置Ａへ送付
し、その後、セッション鍵ＢによるＤＥＳ５６bit暗号
通信が通信装置Ａ、Ｃ間で行われる。

【００４９】別の具体例に即して説明する。図５におい
て、ネットワーク４５に接続する通信装置４１が、異な
るネットワーク４７に接続する通信装置４４と通信する
場合、ネットワーク４５、４６に接続し中継装置として
機能する通信装置４２と、ネットワーク４６、４７に接
続し中継装置として機能する通信装置３が、ともに、前
記実施例で説明した中継装置となり、セッション鍵を、
通信装置４１と通信装置４４に通知して、通信装置１１
と通信装置４４の間で、同一のセッション鍵による暗号
通信を行う。

【００５０】

【発明の効果】以上説明したように、本発明によれば、
通信装置間で同一の暗号鍵による暗号通信を行い、通信
装置間を中継する装置での暗号化及び復号化処理を省略
する、構成としたことにより、プロキシ暗号通信を効率
よく行うことができる、という効果を奏する。

【図面の簡単な説明】

【図１】本発明の一実施の形態の及び従来のシステムの
構成を示す図である。

【図２】本発明の一実施例の構成を示す図である。

【図３】本発明の一実施例の処理手順を示す流れ図であ
る。

【図４】本発明の一実施例の具体例を例示する図であ
る。

【図５】本発明の一実施例の具体例を例示する図であ
る。

【符号の説明】

１通信装置２中継装置３通信装置４、５ネットワーク１１アプリケーションプログラム１２プロキシ手段１３認証・暗号手段１４通信手段２１プロキシ手段２２認証・暗号手段２３、２４通信手段３１アプリケーションプログラム３２プロキシ手段３３認証・暗号手段３４通信手段４１〜４４通信装置４５〜４７ネットワーク

Claims

【特許請求の範囲】

【請求項１】第１及び第２の通信装置の間の通信を中継
する機能を具備した第３の通信装置が、前記第１及び第
２の通信装置のうち一方の通信装置と前記第３の通信装
置との間の通信に用いられる暗号鍵を前記第１及び第２
の通信装置の他方の通信装置に通知する手段を備え、前記他方の通信装置では前記通知された暗号鍵を用いて
前記第３の通信装置との間の通信を行い、前記第１及び第２の通信装置間の前記第３の通信装置を
中継した暗号通信を同一の暗号鍵を用いて行うことで、
前記第３の通信装置における暗号化及び復号化処理を省
略する、ようにしたことを特徴とするプロキシ暗号通信
システム。
【請求項２】第１、第２の通信装置間の通信を中継する
機能を具備した第３の通信装置が、前記第１の通信装置と前記第３の通信装置との間の通信
に用いられる第１の暗号鍵と、前記第２の通信装置と前
記第３の通信装置との間の通信に用いられる第２の暗号
鍵とが、同一の暗号種類、同一の鍵長であるか調べる手
段と、前記調査の結果、一致した場合、前記第１又は第２の暗
号鍵のうち一方の暗号鍵を、前記一方の暗号鍵とは別の
暗号鍵を用いて前記第３の通信装置と通信を行う前記第
１の通信装置又は前記第２の通信装置に対して通知する
手段と、を備え、前記第１の通信装置と前記第３の通信装置との間、及
び、前記第２の通信装置と前記第３の通信装置との間で
前記一方の暗号鍵による暗号通信を行い、前記第３の通
信装置では前記一方の暗号鍵による暗号データをそのま
ま中継転送し、前記第３の通信装置における暗号化及び
復号化処理を省略する、ようにしたことを特徴とするプ
ロキシ暗号通信システム。
【請求項３】第１、第２の通信装置間の通信を中継する
第３の通信装置を備え、前記第１、第２の通信装置が、データの送受の要求を発
行するアプリケーションソフトウェアと、パケットの中
継を行うプロキシ手段と、認証・暗号手段と、通信手段
とを備え、前記第３の通信装置が、パケットの中継を行うプロキシ
手段と、認証・暗号手段と、通信手段とを備え、前記第１通信装置と前記第３の通信装置との間で第１の
暗号鍵を用いて暗号通信が開始され、且つ、前記第３の
通信装置と前記第２の通信装置との間で第２の暗号鍵を
用いて暗号通信が開始された際に、前記第３の通信装置
の認証・暗号手段は、前記第１の通信装置と前記第３の
通信装置の間、及び、前記第２の通信装置と前記第３の
通信装置との間の、暗号種類、鍵長を調べ、一致すれ
ば、前記第１又は第２の暗号鍵のうち一方の暗号鍵を、
前記一方の暗号鍵とは別の暗号鍵を用いて前記第３の通
信装置と通信を行う前記第１の通信装置又は前記第２の
通信装置の認証・暗号手段へ送付し、前記第３の通信装置から前記一方の暗号鍵を受け取った
前記第１又は第２の通信装置の認証・暗号手段では、前
記第３の通信装置との間で、前記別の暗号鍵の代わっ
て、受け取った前記一方の暗号鍵を使用して暗号通信を
開始し、前記第３の通信装置の認証・暗号手段では、前記第１、
第２の暗号鍵による暗号化及び復号化を中止し、前記第
１、第２の通信装置間で転送される暗号データをそのま
ま中継転送する、ことを特徴とする、プロキシ暗号通信
システム。
【請求項４】第１、第２の通信装置間の通信を中継する
中継装置を備え、前記第１、第２の通信装置が、データの送受の要求を行
うアプリケーションソフトウェアと、パケットの中継を
行うプロキシ手段と、認証・暗号手段と、通信手段とを
備え、前記中継装置が、パケットの中継を行うプロキシ手段
と、認証・暗号手段と、通信手段とを備え、前記第１の通信装置のアプリケーションソフトウェア
が、前記第２の通信装置のアプリケーションソフトウェ
アと通信するためにアクセス要求を、前記第１の通信装
置のプロキシ手段へ発行し、このアクセス要求を受けて
前記第１の通信装置のプロキシ手段は前記中継装置への
アクセス要求を認証・暗号手段へ発行し、前記第１の通信装置の認証・暗号手段は、通信手段、前
記中継装置の通信手段を経由して前記中継装置の認証・
暗号手段へアクセス要求を送り、前記第１の通信装置の
認証・暗号手段と、前記中継装置の認証・暗号手段の間
で認証が開始され、認証後、暗号通信のための第１のセ
ッション鍵を生成し、前記第１通信装置と前記中継装置
の間で第１のセッション鍵を用いて暗号通信が開始さ
れ、前記中継装置のプロキシ手段は、前記第２の通信装置上
のアプリケーションプソフトウェアと通信することを認
識して、前記第２の通信装置へのアクセス要求を認証・
暗号手段へ発行し、前記中継装置の認証・暗号手段は、
通信手段、前記第２の通信装置の通信手段を経由して、
第２の通信装置の認証・暗号手段へアクセス要求を送
り、前記中継装置の認証・暗号手段と前記第２の通信装
置の認証・暗号手段の間で認証が開始され、認証後、暗
号通信のための第２のセッション鍵を生成し、前記中継
装置と第２の通信装置の間で、第２のセッション鍵を使
用して暗号通信が開始される暗号通信システムにおい
て、前記中継装置の認証・暗号手段は、前記第１の通信装置
と前記中継装置の間、及び、前記中継装置と前記第２の
通信装置の間の暗号種類、鍵長を調べ、一致すれば、第
２のセッション鍵を、前記第１の通信装置の認証・暗号
手段へ送付し、前記第１の通信装置の認証・暗号手段は、前記第２のセ
ッション鍵を受け取り、前記第１の通信装置と中継装置
の間は、前記第２のセッション鍵を用いて、暗号通信が
開始され、前記中継装置の認証・暗号手段では、前記第１、第２の
セッション鍵の暗号・復号を中止し、前記第１、第２の
通信装置間を転送され、前記中継装置の通信手段で受信
した暗号データを、前記中継装置のプロキシ手段にその
まま供給するとともに、前記中継装置のプロキシ手段か
らの暗号データを前記中継装置の通信手段を介して送信
し、前記第１、第２の通信装置間を転送される暗号デー
タの中継を行う、ことを特徴とする、プロキシ暗号通信
システム。
【請求項５】前記第１通信装置は、前記第１の通信装置
の秘密鍵と、前記第３の通信装置の公開鍵を持ち、前記第２の通信装置は、前記第２の通信装置の秘密鍵と
前記第３の通信装置の公開鍵を持ち、前記第３の通信装置は、前記第３の通信装置の秘密鍵、
前記第１、第２の通信装置の公開鍵を持ち、前記第１の通信装置と前記第３の通信装置の間で、これ
らの公開鍵、秘密鍵を用い、公開鍵認証を行い、ＤＥＳ
（Data Encryption Standard）５６ビット等所定の暗
号方式で暗号を行うための第１のセッション鍵を生成
し、前記第３の通信装置と前記第２の通信装置の間で
も、公開鍵認証を行い、前記所定の暗号方式で暗号を行
うための第２のセッション鍵を生成し、前記中継装置の認証・暗号手段は、前記第２のセッショ
ン鍵を前記第１の通信装置へ送付し、その後、第２のセ
ッション鍵による暗号通信が第１、第２の通信装置間で
行われる、ことを特徴とする、請求項１乃至３のいずれ
か一に記載のプロキシ暗号通信システム。
【請求項６】前記第１の通信装置と前記第２の通信装置
の通信を中継する中継装置として機能する第３の通信装
置が、複数の通信装置からなり、前記第１の通信装置
と、前記第２の通信装置と、前記中継装置を構成する複
数の通信装置が、同一の暗号鍵を用いて暗号通信を行う
ことを特徴とする、請求項１乃至５のいずれか一に記載
のプロキシ暗号通信システム。
【請求項７】（ａ）通信装置間の通信を中継する中継装
置が、一の通信装置と前記中継装置との間の通信に用い
られる暗号鍵を他の通信装置に通知するステップと、（ｂ）前記中継装置から前記暗号鍵が通知された前記他
の通信装置では、前記暗号鍵を用いて前記中継装置との
間の通信を行うことで、前記通信装置間の前記中継装置
を介した暗号通信を同一の暗号鍵を用いて行うステップ
と、を含み、前記中継装置での暗号化及び復号化処理を省略
する、ようにしたことを特徴とする暗号通信方法。
【請求項８】（ａ）第１、第２の通信装置間の通信を中
継する機能を具備した第３の通信装置が、前記第１の通
信装置と前記第３の通信装置との間の通信に用いる第１
の暗号鍵と、前記第２の通信装置と前記第３の通信装置
との間の通信に用いる第２の暗号鍵とが、同一の暗号種
類、同一の鍵長であるか調べるステップと、（ｂ）前記調査の結果、一致した場合、前記第１又は第
２の暗号鍵のうち一方の暗号鍵を、前記一方の暗号鍵と
は別の暗号鍵を用いて前記第３の通信装置と通信を行う
前記第１の通信装置又は前記第２の通信装置に対して送
信するステップと、（ｃ）前記第１の通信装置と前記第３の通信装置との
間、及び、前記第２の通信装置と前記第３の通信装置と
の間で、前記一方の暗号鍵による暗号通信を行うステッ
プと、（ｄ）前記第３の通信装置では、前記第１、第２の暗号
鍵による暗号化及び復号化処理を中止し、前記一方の暗
号鍵による暗号データをそのまま中継転送するステップ
と、を含む、ことを特徴とする暗号通信方法。
【請求項９】前記第１通信装置は、前記第１の通信装置
の秘密鍵と前記第３の通信装置の公開鍵を持ち、前記第２の通信装置は、前記第２の通信装置の秘密鍵と
前記第３の通信装置の公開鍵を持ち、前記第３の通信装置は、前記第３の通信装置の秘密鍵、
前記第１、第２の通信装置の公開鍵を持ち、前記第１の通信装置と前記第３の通信装置の間で、これ
らの公開鍵、秘密鍵を用い、公開鍵認証を行い、前記所
定の暗号方式で暗号を行うための第１のセッション鍵を
生成し、前記第３の通信装置と前記第２の通信装置の間
でも、公開鍵認証を行い、前記所定の暗号方式で暗号を
行うための第２のセッション鍵を生成し、前記中継装置の認証・暗号手段は、前記第２のセッショ
ン鍵を前記第１の通信装置へ送付し、その後、第２のセ
ッション鍵による暗号通信が第１、第２の通信装置間で
行われる、ことを特徴とする、請求項８記載の暗号通信
方法。
【請求項１０】第１、第２の通信装置間の通信を中継す
る第３の通信装置を備え、前記第１、第２の通信装置が、データの送受の要求を行
うアプリケーションソフトウェアと、パケットの中継を
行うプロキシ手段と、認証・暗号手段と、通信手段とを
備え、前記第３の通信装置が、パケットの中継を行うプロキシ
手段と、認証・暗号手段と、通信手段とを備え、（ａ）前記第１通信装置と前記第３の通信装置の間で第
１の暗号鍵を用いて暗号通信が開始され、且つ、前記第
３の通信装置と前記第２の通信装置の間で第２の暗号鍵
を使用して暗号通信が開始された際に、前記第３の通信
装置の認証・暗号手段において、前記第１の通信装置と
前記第３の通信装置の間、及び、前記第２の通信装置と
前記第３の通信装置との間の、暗号種類、鍵長を調べ、
一致すれば、前記第１又は第２の暗号鍵のうち一方の暗
号鍵を、前記一方の暗号鍵とは別の暗号鍵を用いて前記
第３の通信装置と通信を行う前記第１の通信装置又は前
記第２の通信装置の認証・暗号手段へ送付する処理を実
行し、（ｂ）前記第３の通信装置から前記一方の暗号鍵を受け
取った前記第１又は第２の通信装置の認証・暗号手段で
は、前記第３の通信装置との間で、前記別の暗号鍵の代
わって、受け取った前記一方の暗号鍵を使用して暗号通
信を開始し、（ｃ）前記第３の通信装置の認証・暗号手段では、前記
第１、第２の暗号鍵の暗号化及び復号化を中止し、前記
第１、第２の通信装置間を転送され、前記第３の通信装
置の通信手段で受信した暗号データを、前記第３の通信
装置のプロキシ手段にそのまま供給するとともに、前記
第３の通信装置のプロキシ手段からの暗号データを前記
第３の通信装置の通信手段を介して送信する、前記第１乃至第３の通信装置の認証・暗号手段の（ａ）
乃至（ｃ）処理を、前記第１乃至第３の通信装置を構成
するコンピュータでそれぞれ実行させるためのプログラ
ムを記録した記録媒体。