JP2001237896A - ネットワーク接続方法 - Google Patents

Abstract

(57)【要約】 【課題】 ルータが公衆ネットワーク上に仮想的な専用
線を構成して通信するネットワーク接続方法やこのよう
なルータで、例えば当該専用線の接続中におけるセキュ
リティを強化する。 【解決手段】 ルータがデータを暗号化してインターネ
ット等の公衆ネットワークを介して通信することによ
り、公衆ネットワーク上に仮想的な専用線を構成して、
通信相手と通信を接続されるに際して、ルータでは、タ
イマにより計時される所定の時間毎に（ステップＳ３、
ステップＳ４）、暗号化のキーを変更する（ステップＳ
５）。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ルータが公衆ネッ
トワーク上に仮想的な専用線を構成して通信するネット
ワーク接続方法やこのようなルータに関し、特に、セキ
ュリティを強化する技術に関する。

【０００２】

【従来の技術】例えばルータはインターネット等の公衆
ネットワーク上で伝送されるデータを中継する機能を有
している。従来では、例えばインターネット上に設けら
れるルータのセキュリティ機能としては、ユーザ名とパ
スワードを認証するＰＡＰ（Password Authentication
Protocol）機能や、回線の利用時にＩＰ（Internet Pro
tocol）アドレスを割り当てるＰＰＰ（Point to Point
Protocol）機能や、ＰＰＰ接続回線においてユーザを認
証確認するＣＨＡＰ（Challenge Handshake Authentica
tion Protocol）機能といったものがあった。

【０００３】これらの認証機能では、不特定なユーザを
そのユーザ名やパスワードにより認証し、正当な利用者
（例えば登録された利用者）であると判定された場合に
は回線の接続を許可する一方、不当な利用者（例えば登
録されていない利用者）であると判定された場合には回
線の接続を許可せずに拒絶する。しかしながら、これら
の認証機能では、送信元や送信先を特定するＩＰアドレ
ス等がインターネット上で隠されずに通信されるため、
送信元から送信先までの経路等が第三者により知られて
しまう恐れがあった。

【０００４】このため、従来では、例えばインターネッ
ト上で通信されるデータが第三者により盗聴されてしま
うことや改ざんされてしまうことを防止してセキュリテ
ィを確保することが企業ユーザ等にとって大きな課題と
なっていた。そこで、このような課題を解消するものと
して、ＶＰＮ（Virtual Private Network）が検討等さ
れている。ＶＰＮは例えば暗号化や認証を用いてネット
ワーク上のセキュリティを確保するものであり、不特定
多数のユーザが利用するインターネット等の公衆ネット
ワーク上に、特定のユーザだけが利用することのできる
仮想的な専用線を構成することができるものである。

【０００５】具体的には、ＶＰＮ機能では、例えば送信
側がデータを暗号キーにより暗号化して公衆ネットワー
クを介して受信側へ送信する一方、受信側が公衆ネット
ワークを介して受信した当該暗号化データを復号キーに
より復号化することにより、公衆ネットワーク上に仮想
的な専用線が構成される。また、ＶＰＮ機能において、
例えば送信元や送信先のＩＰアドレスを暗号化するとと
もにグローバルアドレスを付加して（カプセル化して）
暗号化データを通信するような場合には、第三者からは
グローバルアドレスしか見えないため、送信元や送信先
が知られてしまうことはない。ここで、グローバルアド
レスとしては、例えばインターネット上で単一性が保証
されたＩＰアドレス等が用いられる。

【０００６】また、ＶＰＮの標準プロトコルとしては例
えばＩＰｓｅｃ（Security Architecture for the Inte
rnet Protocol）が知られており、このＩＰｓｅｃはＴ
ＣＰ／ＩＰレベルのプロトコルであることから、上位の
アプリケーションを変更しなくとも利用することができ
るといった利点がある。

【０００７】このようなＶＰＮをインターネット等の公
衆ネットワークに適用することにより、上述のようにセ
キュリティの確保されたネットワークを構築することが
でき、また、例えば通信コストを低く抑えるといったこ
とも可能である。なお、以上に示したようなＶＰＮに関
する状況が例えば「日経コミュニケーション、１９９９
年１２月６日号」に記載されている。

【０００８】

【発明が解決しようとする課題】しかしながら、従来の
ルータや当該ルータにより行われる従来のネットワーク
接続の方法では、例えばＶＰＮ機能により公衆ネットワ
ーク上に仮想的な専用線を構成して暗号化データを通信
するに際して、例えば新たな回線接続を伴う通信開始時
には暗号化に用いられる暗号キーや復号キーが変更され
るものの、仮想的な専用線は本来接続されたままとなる
ため、当該専用線の接続中には暗号キーや復号キーが変
更（更新）されないといった不具合があった。つまり、
従来のルータや従来のネットワーク接続方法では、専用
線の接続中に暗号キーや復号キーが変更されないため、
これらのキーが第三者により不正に知られてしまった場
合にはそれ以降の通信が読み取られてしまい、セキュリ
ティが十分に確保されているとは言えなかった。

【０００９】本発明は、このような従来の課題を解決す
るためになされたもので、ルータが公衆ネットワーク上
に仮想的な専用線を構成して暗号化データを通信するに
際して、例えば当該専用線の接続中におけるセキュリテ
ィを強化することができるネットワーク接続方法を提供
することを目的とする。また、本発明は、公衆ネットワ
ーク上に仮想的な専用線を構成して暗号化データを通信
するに際して、例えば当該専用線の接続中におけるセキ
ュリティを強化することができるルータを提供すること
を目的とする。

【００１０】

【課題を解決するための手段】上記目的を達成するた
め、本発明に係るネットワーク接続方法では、ルータが
データを暗号化して公衆ネットワークを介して通信する
ことにより、公衆ネットワーク上に仮想的な専用線を構
成して、通信相手と通信を接続されるに際して、ルータ
により計時される所定の時間毎に暗号化のキーを変更す
る。

【００１１】従って、例えば上記した仮想的な専用線の
接続中において暗号化のキーが第三者により不正に知ら
れてしまったような場合であっても、当該キーが所定の
時間毎に変更されるため、当該変更後において当該第三
者により通信が読み取られてしまうことを防止すること
ができ、これにより、セキュリティを強化することがで
きる。

【００１２】また、本発明に係るルータでは、暗号化し
たデータを公衆ネットワークを介して通信することによ
り、公衆ネットワーク上に仮想的な専用線を構成して、
通信相手と通信を接続されるに際して、時間を計時して
所定の時間毎に暗号化のキーを変更する。従って、上記
した本発明に係るネットワーク接続方法について述べた
のと同様に、例えば仮想的な専用線の接続中におけるセ
キュリティを強化することができる。

【００１３】なお、暗号化のキーとしては、例えば送信
側が送信対象となるデータを暗号化するのに用いる暗号
キーといったキーや、例えば受信側が受信した暗号化デ
ータ（暗号キーにより暗号化されたデータ）を復号化す
るのに用いる復号キーといったキーがあるが、通常、暗
号キーと復号キーとは組となっており、これら２つのキ
ーの内の一方が変更される場合には他方も当該変更に対
応して変更されるものである。

【００１４】

【発明の実施の形態】本発明に係る一実施例を図面を参
照して説明する。なお、本例では、インターネットを介
して通信を行うネットワーク通信システムの一例を示す
ことにより、本発明に係るネットワーク接続方法及び本
発明に係るルータをまとめて説明する。

【００１５】図１には、上記のようなネットワーク通信
システムを構成する装置や回線の一例として、例えばＶ
ＰＮ機能を有した２つのルータ１、２と、これら２つの
ルータ１、２を接続するインターネット３と、一方のル
ータ１に接続されたパーソナルコンピュータ等から成る
端末装置４と、他方のルータ２に接続されたパーソナル
コンピュータ等から成る端末装置５とを示してある。こ
こで、各端末装置４、５は、ルータ１、２やインターネ
ット３を介してデータを通信する機能を有している。

【００１６】なお、同図に示した構成は一例であって、
例えばルータや端末装置の数や接続の仕方としては任意
であり、また、ネットワークの構成の仕方としても任意
であり、また、ルータや端末装置以外の装置が備えられ
ていてもよい。

【００１７】上記した２つのルータ１、２は、本例で
は、同様な構成を有して同様な動作を行うため、以下で
は、一方のルータ１を代表させてこれら２つのルータ
１、２の構成例や動作例を示す。すなわち、ルータ１
は、上述のように例えばＶＰＮ機能を有しており、具体
的には、例えば端末装置４から他の端末装置５へ宛てて
送信されたデータを受信した場合に、当該データを暗号
キーにより暗号化して、当該暗号化データを当該他の端
末装置５が接続されたルータ２へ宛ててインターネット
３を介して送信する機能を有している。

【００１８】また、本例のルータ１は、このような暗号
化データの送信を行うに際して、送信元となる端末装置
４から受信したデータに付加された当該端末装置４のＩ
Ｐアドレス及び送信先となる端末装置５のＩＰアドレス
をも暗号キーにより暗号化する機能を有しており、これ
とともに、自己（すなわち、当該ルータ１）のＩＰアド
レスを送信元アドレスとするとともに宛先となるルータ
２のＩＰアドレスを送信先アドレスとしたヘッダを送信
対象となる暗号化データ（送信元となる端末装置４のＩ
Ｐアドレスや送信先となる端末装置５のＩＰアドレスを
暗号化したデータが付加されたもの）に付加する機能を
有している。

【００１９】また、ルータ１は、例えば自己（すなわ
ち、当該ルータ１）に接続された端末装置４へ宛てて他
の端末装置５からルータ２やインターネット３を介して
送信された暗号化データを受信した場合に、当該暗号化
データを復号キーにより復号化して、当該復号化データ
（すなわち、暗号化される前の元のデータ）を宛先とな
る端末装置４へ送信する機能を有している。

【００２０】また、本例では、上述したようにルータ１
が他方のルータ２やインターネット３を介して端末装置
５から受信する暗号化データには、送信元となる端末装
置５のＩＰアドレスや送信先となる端末装置４のＩＰア
ドレスを暗号化したデータが付加されている。そして、
本例のルータ１は、上記のような暗号化データの復号化
及び復号化データの送信を行うに際して、送信元となる
端末装置５のＩＰアドレスや送信先となる端末装置４の
ＩＰアドレスをも復号キーにより復号化する機能を有し
ている。なお、暗号化データに付加される上記のような
ヘッダは、ルータ１、２間での通信に用いられるもので
あるため、当該ヘッダは例えば受信側のルータ（ここで
は、ルータ１）により削除される。

【００２１】また、本例のルータ１は、上記のようなＶ
ＰＮ機能によりインターネット３上に仮想的な専用線を
構成して通信を行う機能の他に、例えばＰＰＰ機能によ
りインターネット３と回線接続して通信を行う機能を有
している。

【００２２】また、上記図１に示されるように、本例の
ルータ１には、タイマ１１や、回線遮断手段１２や、キ
ー変更手段１３が備えられており、これらについて説明
する。タイマ１１は、時間を計時する機能を有してい
る。回線遮断手段１２は、例えばルータ１が上記したＰ
ＰＰ機能によりインターネット３と回線接続したときに
（ＰＰＰ接続時に）、タイマ１１により計時される時間
を参照して、通信相手との無通信状態（通信が無い状
態）が所定の時間（以下で、自動遮断時間と言う）継続
したことを検出したことに応じて当該回線を自動的に遮
断する機能を有している。

【００２３】ここで、上記したタイマ１１や上記した回
線遮断手段１２は、例えば従来のルータにおいても一般
に備えられており、本例では、以下に述べるように、こ
のようなタイマ１１を利用して暗号化のキーを変更（更
新）する処理を実現する。すなわち、キー変更手段１３
は、例えばルータ１が上記したＶＰＮ機能によりインタ
ーネット３上に仮想的な専用線を構成して通信を行うと
きに（ＶＰＮ接続時に）、タイマ１１により計時される
時間を参照して、所定の時間（以下で、キー更新時間と
言う）が計時される度毎に暗号通信に用いられる暗号キ
ーや復号キーを変更する機能を有している。

【００２４】なお、タイマ１１に関する設定は例えばユ
ーザがルータ１のメニュー画面を見ながら行うことが可
能であり、上記した自動遮断時間や上記したキー更新時
間としては、例えばユーザにより任意に設定することが
可能である。また、本例では、自動遮断時間とキー更新
時間としては、同じ時間が設定されるとして説明する
が、例えばそれぞれ異なる時間が設定されてもよい。

【００２５】また、上記した本例のキー変更手段１３
は、例えば暗号通信に用いられるセッションキーを上記
した所定の時間毎に変更することにより、当該暗号通信
に用いられる暗号キーや復号キーを当該所定の時間毎に
変更することを実現する。ここで、セッションキーは例
えば暗号化データを復号化する際に必要となる乱数であ
り、この乱数の値が変更されると、この値に対応して暗
号キーや復号キーが変更される。

【００２６】なお、暗号通信に用いられる暗号化の方式
としては、特に限定はなく、例えば秘密鍵暗号方式や公
開鍵暗号方式を用いることができる。また、２つの装置
（本例では、２つのルータ１、２）の間で行われる暗号
通信のキーを変更する処理としては、例えば、送信側が
暗号キーを変更する際に当該暗号キーと対応した復号キ
ーに関する情報（本例では、セッションキー）を受信側
に通知し、受信側が送信側から通知された当該情報から
復号キーを取得する。このようにして、送信側と受信側
とで互いに対応した変更後のキー（送信側では変更後の
暗号キー、受信側では変更後の復号キー）を認識するこ
とにより、当該変更後のキーを用いた暗号通信を行うこ
とができる。

【００２７】次に、本例のルータ１に備えられたキー変
更手段１３により行われるセッションキー更新処理の手
順の一例を、図２を参照して説明する。すなわち、キー
変更手段１３は、まず、ルータ１がＶＰＮ機能により仮
想的な専用線による回線接続を行っているか否かを判定
する（ステップＳ１）。ここで、ルータ１が例えばＶＰ
Ｎ機能以外のＰＰＰ機能により回線接続を行っていると
判定された場合には、キー変更手段１３は、例えば新た
なセッション（例えば新たな回線接続）が行われる度毎
にセッションキーを更新する処理を実行させる。

【００２８】一方、ルータ１が仮想的な専用線による回
線接続を行っていると判定された場合には、キー変更手
段１３は、例えば自動遮断時間がユーザにより設定され
ているか否かを判定する（ステップＳ２）。ここで、例
えば自動遮断時間の設定が為されていないと判定された
場合には、キー変更手段１３は、セッションキーの更新
を行わないこととする。

【００２９】一方、自動遮断時間の設定が為されている
と判定された場合には、キー変更手段１３は、セッショ
ンキーを更新するために用いられるキー更新時間（本例
では、自動遮断時間と同じ時間としてある）を設定して
タイマ１１を用いて当該キー更新時間を計時し（ステッ
プＳ３）、当該キー更新時間が計時される度毎（当該キ
ー更新時間のカウントがタイムアップする度毎）に（ス
テップＳ４）、セッションキーを更新して新たなセッシ
ョンキーに関する情報を通信相手となるルータ２との間
で交換する（ステップＳ５）。

【００３０】なお、以上では一方のルータ１を代表させ
てその構成例や動作例を示したが、上述したように、他
方のルータ２の構成や動作についても同様である。ま
た、上記図１では図示を省略したが、他方のルータ２に
も一方のルータ１と同様なタイマや回線遮断手段やキー
変更手段が備えられている。

【００３１】以上のように、本例のネットワーク通信シ
ステムに備えられたルータ１、２や、これら２つのルー
タ１、２の間で行われるネットワーク接続方法では、ル
ータ１、２がデータを暗号化してインターネット３を介
して通信することにより、インターネット３上に仮想的
な専用線を構成して、通信相手と通信を接続されるに際
して、ルータ１、２に備えられたタイマ１１により時間
を計時して、所定の時間（キー更新時間）毎にセッショ
ンキーを変更することにより暗号化のキー（暗号キーや
復号キー）を変更することが行われる。なお、本例で
は、一方のルータ１の通信相手は他方のルータ２であ
り、他方のルータ２の通信相手は一方のルータ１であ
る。

【００３２】従って、本例のルータ１、２や本例のネッ
トワーク接続方法では、例えば新たな回線接続を伴う通
信が開始されるときに暗号キーや復号キーが変更される
（新たな暗号キーや復号キーが設定される）ばかりでな
く、例えばＶＰＮ機能により構成した仮想的な専用線の
接続中においても暗号キーや復号キーが所定の時間毎に
変更されるため、例えば当該専用線の接続中において暗
号キーや復号キーが第三者により不正に知られてしまっ
たような場合であっても、当該キーが所定の時間毎に変
更されることから、当該変更後において当該第三者によ
り通信が読み取られてしまうことを防止することがで
き、これにより、セキュリティを強化することができ
る。

【００３３】ここで、本例では、好ましい態様として、
公衆ネットワークとしてインターネット３を用いたが、
本発明は、他の公衆ネットワークに適用することも可能
なものである。また、暗号キーや復号キーを変更するた
めに用いられる所定の時間（キー更新時間）としては、
必ずしも一定の時間が設定されなくともよく、例えばラ
ンダムな時間（つまり、当該ランダムな時間が所定の時
間に相当する）毎等に暗号キーや復号キーを変更する構
成が用いられてもよい。

【００３４】また、本例では、好ましい態様として、例
えば自動的に回線を遮断するために用いられるタイマ１
１を備えたルータに本発明を適用して、当該タイマ１１
を共用して暗号キーや復号キーの変更処理を行ったが、
本発明では、必ずしもこのようなタイマの共用が行われ
なくともよい。なお、例えば従来から用いられているル
ータに本発明を適用するような場合には、本発明に係る
キー変更処理を実行するための機能（例えば上記したキ
ー変更手段１３等）をソフトウエアで構成して当該従来
のルータに適用することも可能である。

【００３５】また、本発明に係るネットワーク接続方法
や本発明に係るルータの構成としては、必ずしも以上に
示したものに限られず、種々な構成が用いられてもよ
い。一例として、本発明に係るネットワーク接続方法や
本発明に係るルータにより行われる暗号キーや復号キー
の変更処理等としては、例えばプロセッサやメモリ等を
備えたハードウエア資源においてプロセッサがＲＯＭに
格納された制御プログラムを実行することにより制御さ
れる構成であってもよく、また、例えば当該処理を実行
するための各機能手段が独立したハードウエア回路とし
て構成されてもよい。

【００３６】また、本発明は上記の制御プログラムを格
納したフロッピーディスクやＣＤ−ＲＯＭ等のコンピュ
ータにより読み取り可能な記録媒体として把握すること
もでき、当該制御プログラムを記録媒体からコンピュー
タ（例えば本発明を適用するルータ）に入力してプロセ
ッサに実行させることにより、本発明に係る処理を遂行
させることができる。

【００３７】

【発明の効果】以上説明したように、本発明に係るネッ
トワーク接続方法によると、ルータがデータを暗号化し
て公衆ネットワークを介して通信することにより、公衆
ネットワーク上に仮想的な専用線を構成して、通信相手
と通信を接続されるに際して、ルータにより計時される
所定の時間毎に暗号化のキーを変更するようにしたた
め、例えば仮想的な専用線の接続中におけるセキュリテ
ィを強化することができる。

【００３８】また、本発明に係るルータによると、暗号
化したデータを公衆ネットワークを介して通信すること
により、公衆ネットワーク上に仮想的な専用線を構成し
て、通信相手と通信を接続されるに際して、時間を計時
して所定の時間毎に暗号化のキーを変更するようにした
ため、上記した本発明に係るネットワーク接続方法と同
様に、例えば仮想的な専用線の接続中におけるセキュリ
ティを強化することができる。

【図面の簡単な説明】

【図１】本発明の一実施例に係るネットワーク通信シス
テムの一例を示す図である。

【図２】ルータにより行われるセッションキー更新処理
の手順の一例を示す図である。

【符号の説明】

１、２・・ルータ、 ３・・インターネット、 ４、５
・・端末装置、１１・・タイマ、 １２・・回線遮断手
段、 １３・・キー変更手段、

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B089 GA31 HA10 KA17 KB11 KB13 KC29 KH02 KH30 MC06 5J104 AA01 AA34 BA02 DA00 EA24 JA03 NA03 PA07 5K030 GA15 HA08 HB15 HB18 HC01 HD03 HD05 LA07 LB15 LD19 LE11 9A001 CC02 EE03 HH34 JZ25 LL03

Claims (2)

【特許請求の範囲】
1. 【請求項１】 ルータがデータを暗号化して公衆ネット
   ワークを介して通信することにより、公衆ネットワーク
   上に仮想的な専用線を構成して、通信相手と通信を接続
   されるネットワーク接続方法であって、 ルータにより計時される所定の時間毎に暗号化のキーを
   変更することを特徴とするネットワーク接続方法。
2. 【請求項２】 暗号化したデータを公衆ネットワークを
   介して通信することにより、公衆ネットワーク上に仮想
   的な専用線を構成して、通信相手と通信を接続されるル
   ータであって、 時間を計時して所定の時間毎に暗号化のキーを変更する
   ことを特徴とするルータ。