JP2001298449A - セキュリティ通信方法、通信システム及びその装置 - Google Patents
セキュリティ通信方法、通信システム及びその装置Info
- Publication number
- JP2001298449A JP2001298449A JP2000110651A JP2000110651A JP2001298449A JP 2001298449 A JP2001298449 A JP 2001298449A JP 2000110651 A JP2000110651 A JP 2000110651A JP 2000110651 A JP2000110651 A JP 2000110651A JP 2001298449 A JP2001298449 A JP 2001298449A
- Authority
- JP
- Japan
- Prior art keywords
- security
- communication
- information
- type
- user
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
- H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/164—Implementing security features at a particular protocol layer at the network layer
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Abstract
(57)【要約】
【課題】 データ送信を行うユーザごとにセキュリティ
通信のレベルを設定でき、容易に各種セキュリティ通信
の接続パラメータを変更でき、接続先とのセキュリティ
通信のレベルを自動で設定するセキュリティ通信装置、
システム、及び方法を提供する。 【解決手段】通信端末を使用するユーザの情報とセキュ
リティ種を対応付けた対応情報を記憶し、上記対応情報
からセキュリティ種を決定する。又、インターネットア
ドレス情報と、セキュリティ種とを対応付けた対応情報
を記憶し、上記インターネットアドレス情報に基づい
て、上記対応情報からセキュリティ種を決定する。さら
に、セキュリティ種を所定のセキュリティ情報装置に問
い合わせ、該問い合わせの回答に基づいて上記セキュリ
ティ種を決定する。
通信のレベルを設定でき、容易に各種セキュリティ通信
の接続パラメータを変更でき、接続先とのセキュリティ
通信のレベルを自動で設定するセキュリティ通信装置、
システム、及び方法を提供する。 【解決手段】通信端末を使用するユーザの情報とセキュ
リティ種を対応付けた対応情報を記憶し、上記対応情報
からセキュリティ種を決定する。又、インターネットア
ドレス情報と、セキュリティ種とを対応付けた対応情報
を記憶し、上記インターネットアドレス情報に基づい
て、上記対応情報からセキュリティ種を決定する。さら
に、セキュリティ種を所定のセキュリティ情報装置に問
い合わせ、該問い合わせの回答に基づいて上記セキュリ
ティ種を決定する。
Description
【０００１】
【発明の属する技術分野】本発明は、セキュリティ通信
方法に係り、詳しくは、必要に応じてセキュリティ種を
変更可能なセキュリティ通信方法、通信システム及びそ
の装置に関するものである。
方法に係り、詳しくは、必要に応じてセキュリティ種を
変更可能なセキュリティ通信方法、通信システム及びそ
の装置に関するものである。
【０００２】
【従来の技術】近年、パーソナルコンピュータとインタ
ーネット技術の急激な普及により、容易でしかも安価に
インターネット上に公開されるホームページによる情報
提供及び情報収集が可能になっている。さらにこれだけ
にとどまらず、インターネットあるいは企業間のイント
ラネットを介した電子メールの交換や、これらを利用し
た電子商取引や電子決済が一般化しつつある。このよう
なサービスを利用する場合、特に重要な情報を含む通信
には専用線並のセキュリティの確保が重要である。
ーネット技術の急激な普及により、容易でしかも安価に
インターネット上に公開されるホームページによる情報
提供及び情報収集が可能になっている。さらにこれだけ
にとどまらず、インターネットあるいは企業間のイント
ラネットを介した電子メールの交換や、これらを利用し
た電子商取引や電子決済が一般化しつつある。このよう
なサービスを利用する場合、特に重要な情報を含む通信
には専用線並のセキュリティの確保が重要である。
【０００３】上述したようなセキュリティを確保する技
術として、例えばインターネットのような広域ネットワ
ークを仮想私設網とするＶＰＮ(Virtual Private Netwo
rk)技術等のセキュリティ通信技術が注目されている。
ＶＰＮを実現するセキュリティ通信のための接続手順と
してトンネリングプロトコルがあり、Ｌ２Ｆ(Layer 2Fo
rwarding)、ＰＰＴＰ(Point-to-Point Tunneling Proto
col) 、Ｌ２ＴＰ(Layer 2 Tunneling Protocol)、ＡＴ
ＭＰ(Ascend Tunnel Management Protocol) 、ＢａｙＤ
ＶＳ(BayStream Dial VPN Service ) 、ＩＰＳＥＣ(Int
ernet ProtocolSecurity Protocol) 等が提案されてい
る。上記セキュリティ通信のためのプロトコルを使用す
ることにより、第３者が通信等を盗聴しうる上記広域ネ
ットワークにおいて通信等のセキュリティを確保すると
が可能となる。
術として、例えばインターネットのような広域ネットワ
ークを仮想私設網とするＶＰＮ(Virtual Private Netwo
rk)技術等のセキュリティ通信技術が注目されている。
ＶＰＮを実現するセキュリティ通信のための接続手順と
してトンネリングプロトコルがあり、Ｌ２Ｆ(Layer 2Fo
rwarding)、ＰＰＴＰ(Point-to-Point Tunneling Proto
col) 、Ｌ２ＴＰ(Layer 2 Tunneling Protocol)、ＡＴ
ＭＰ(Ascend Tunnel Management Protocol) 、ＢａｙＤ
ＶＳ(BayStream Dial VPN Service ) 、ＩＰＳＥＣ(Int
ernet ProtocolSecurity Protocol) 等が提案されてい
る。上記セキュリティ通信のためのプロトコルを使用す
ることにより、第３者が通信等を盗聴しうる上記広域ネ
ットワークにおいて通信等のセキュリティを確保すると
が可能となる。
【０００４】これらの技術のうち、上記ＩＰＳＥＣは、
ネットワーク層（ＯＳＩ参照モデル(Open System Inter
connection reference model) 第３層）で認証、暗号化
を行うセキュリティプロトコルで、インターネット技術
標準化委員会（ＩＥＴＦ）で標準化されている（ＲＦＣ
２４０１から２４１２、２４５１）。上記ＩＰＳＥＣ機
能を搭載したコンピュータや、ネットワーク接続装置で
あるルータ等を介してインターネットに接続することに
より、上記ＶＰＮを構築することが可能である。即ち、
ユーザはネットワークの種類を意識することなく、安全
にインターネットを利用することができる。尚、ＩＰＳ
ＥＣを利用した通信を行うにあたっては、どのような認
証アルゴリズムや暗号化アルゴリズムを使用するか、あ
るいはどのような暗号化鍵を使用するかなどを、事前に
送信側と受信側のＩＰＳＥＣ機能を搭載したコンピュー
タまたは、ネットワーク接続装置が整合を取っておく必
要がある。この認証、暗号化アルゴリズムの整合をとる
ための相互通信を、セキュリティ通信のための接続と呼
ぶ。ＩＰＳＥＣにおいては、この接続はＳＡ（Security
Association) によって実現されている。上記ＳＡは認
証とセキュアメッセージ交換の機能を提供する基本的な
枠組であり、通信のコンテキストを確立し、その通信の
セキュリティのいくつかの側面を定義する。
ネットワーク層（ＯＳＩ参照モデル(Open System Inter
connection reference model) 第３層）で認証、暗号化
を行うセキュリティプロトコルで、インターネット技術
標準化委員会（ＩＥＴＦ）で標準化されている（ＲＦＣ
２４０１から２４１２、２４５１）。上記ＩＰＳＥＣ機
能を搭載したコンピュータや、ネットワーク接続装置で
あるルータ等を介してインターネットに接続することに
より、上記ＶＰＮを構築することが可能である。即ち、
ユーザはネットワークの種類を意識することなく、安全
にインターネットを利用することができる。尚、ＩＰＳ
ＥＣを利用した通信を行うにあたっては、どのような認
証アルゴリズムや暗号化アルゴリズムを使用するか、あ
るいはどのような暗号化鍵を使用するかなどを、事前に
送信側と受信側のＩＰＳＥＣ機能を搭載したコンピュー
タまたは、ネットワーク接続装置が整合を取っておく必
要がある。この認証、暗号化アルゴリズムの整合をとる
ための相互通信を、セキュリティ通信のための接続と呼
ぶ。ＩＰＳＥＣにおいては、この接続はＳＡ（Security
Association) によって実現されている。上記ＳＡは認
証とセキュアメッセージ交換の機能を提供する基本的な
枠組であり、通信のコンテキストを確立し、その通信の
セキュリティのいくつかの側面を定義する。
【０００５】以下に、図１４、図１５、図１７、図１８
を参照しながら、従来の、セキュリティ通信としてＩＰ
ＳＥＣを用いた通信方法について説明する。又、ここに
通信端末とは、ネットワーク接続装置及びコンピュータ
を含む。
を参照しながら、従来の、セキュリティ通信としてＩＰ
ＳＥＣを用いた通信方法について説明する。又、ここに
通信端末とは、ネットワーク接続装置及びコンピュータ
を含む。
【０００６】図１４は、従来のセキュリティ通信として
ＩＰＳＥＣ機能を搭載したルータを使用してＶＰＮネッ
トワークを構成したネットワークシステムの概略図、図
１５は、上記ＩＰＳＥＣ機能を搭載したネットワーク接
続装置間でのセキュリティ通信の接続手順を表した図、
図１７は、従来技術におけるＩＰＳＥＣの処理方針を決
めるデータベースであるＳＰＤ（Security Policy Data
base）の例、図１８は、従来技術におけるＳＡデータベ
ースであるＳＡＤ（Security Association Dtabase) の
例である。ここに、ＳＰＤとはセキュリティポリシーを
構成するデータベースである。又、セキュリティポリシ
ーとは、セキュリティを確保されたシステムへのアクセ
ス規制のことであり、一般にセキュリティ要件、セキュ
リティ上のリスク、及びセキュリティの測定手段が含ま
れる。通信端末間のセキュリティを確保するシステムに
おいては、セキュリティを適用する相手先通信端末を区
別する情報、セキュリティを適用するかどうかの情報等
を備える。尚、ＩＰＳＥＣにおいては、セキュリティポ
リシーは上記ＳＰＤに記述され、該ＳＰＤには送信先通
信端末のＩＰアドレス、ＩＰＳＥＣ処理の有無、認証、
暗号化アルゴリズム等の内容を記述した上記ＳＡが格納
されるメモリ上のアドレスの位置情報を備える。
ＩＰＳＥＣ機能を搭載したルータを使用してＶＰＮネッ
トワークを構成したネットワークシステムの概略図、図
１５は、上記ＩＰＳＥＣ機能を搭載したネットワーク接
続装置間でのセキュリティ通信の接続手順を表した図、
図１７は、従来技術におけるＩＰＳＥＣの処理方針を決
めるデータベースであるＳＰＤ（Security Policy Data
base）の例、図１８は、従来技術におけるＳＡデータベ
ースであるＳＡＤ（Security Association Dtabase) の
例である。ここに、ＳＰＤとはセキュリティポリシーを
構成するデータベースである。又、セキュリティポリシ
ーとは、セキュリティを確保されたシステムへのアクセ
ス規制のことであり、一般にセキュリティ要件、セキュ
リティ上のリスク、及びセキュリティの測定手段が含ま
れる。通信端末間のセキュリティを確保するシステムに
おいては、セキュリティを適用する相手先通信端末を区
別する情報、セキュリティを適用するかどうかの情報等
を備える。尚、ＩＰＳＥＣにおいては、セキュリティポ
リシーは上記ＳＰＤに記述され、該ＳＰＤには送信先通
信端末のＩＰアドレス、ＩＰＳＥＣ処理の有無、認証、
暗号化アルゴリズム等の内容を記述した上記ＳＡが格納
されるメモリ上のアドレスの位置情報を備える。
【０００７】コンピュータ１４０１はＬＡＮ１４０７(L
ocal AreaNerwork) で他のコンピュータ１４０５及びネ
ットワーク接続装置１４０２と接続されており、ネット
ワーク接続装置１４０２を経由して、外部のインターネ
ット１４０９やイントラネット等のＷＡＮに接続されて
いる。このインターネット１４０９には他のネットワー
ク接続装置１４０３を介してコンピュータ１４０４、１
４０６が接続されるＬＡＮ１４０８が接続されている。
ここで、上記ネットワーク接続装置１４０２、１４０３
は、ルータ、ゲートウエイ、プロキシサーバ等のファイ
アウォールやＶＰＮ専用装置等である。ここで、コンピ
ュータ１４０１他は、パーソナルコンピュータ、ワーク
ステーション、サーバ、ノート型パソコン、ＩＰ電話、
ＩＰテレビ電話、ＩＰ携帯電話等の通信機能をもつ端末
であればよい。
ocal AreaNerwork) で他のコンピュータ１４０５及びネ
ットワーク接続装置１４０２と接続されており、ネット
ワーク接続装置１４０２を経由して、外部のインターネ
ット１４０９やイントラネット等のＷＡＮに接続されて
いる。このインターネット１４０９には他のネットワー
ク接続装置１４０３を介してコンピュータ１４０４、１
４０６が接続されるＬＡＮ１４０８が接続されている。
ここで、上記ネットワーク接続装置１４０２、１４０３
は、ルータ、ゲートウエイ、プロキシサーバ等のファイ
アウォールやＶＰＮ専用装置等である。ここで、コンピ
ュータ１４０１他は、パーソナルコンピュータ、ワーク
ステーション、サーバ、ノート型パソコン、ＩＰ電話、
ＩＰテレビ電話、ＩＰ携帯電話等の通信機能をもつ端末
であればよい。
【０００８】ここでは上記ネットワーク接続装置１４０
２、１４０３にＩＰＳＥＣ機能を搭載し、ネットワーク
接続装置１４０２、１４０３間でＩＰＳＥＣによる通信
を行うものとして説明する。また、上記コンピュータ１
４０１及び１４０４にＩＰＳＥＣ機能を搭載し、上記コ
ンピュータ１４０１、１４０４間でＩＰＳＥＣによる通
信を行うことも可能である。さらに、同様にＩＰＳＥＣ
機能を搭載した、コンピュータ１４０１とＩＰＳＥＣ機
能を搭載しているネットワーク接続装置１４０３間でＩ
ＰＳＥＣによる通信を行うことも可能である。
２、１４０３にＩＰＳＥＣ機能を搭載し、ネットワーク
接続装置１４０２、１４０３間でＩＰＳＥＣによる通信
を行うものとして説明する。また、上記コンピュータ１
４０１及び１４０４にＩＰＳＥＣ機能を搭載し、上記コ
ンピュータ１４０１、１４０４間でＩＰＳＥＣによる通
信を行うことも可能である。さらに、同様にＩＰＳＥＣ
機能を搭載した、コンピュータ１４０１とＩＰＳＥＣ機
能を搭載しているネットワーク接続装置１４０３間でＩ
ＰＳＥＣによる通信を行うことも可能である。
【０００９】ところで、コンピュータ１４０１がインタ
ーネット１４０９を介してコンピュータ１４０４にデー
タを送信する場合には、予め上記ネットワーク接続装置
１４０２、１４０３間において上記セキュリティ通信の
ための接続を行う必要がある。以下に該セキュリティ通
信のための接続について説明する。
ーネット１４０９を介してコンピュータ１４０４にデー
タを送信する場合には、予め上記ネットワーク接続装置
１４０２、１４０３間において上記セキュリティ通信の
ための接続を行う必要がある。以下に該セキュリティ通
信のための接続について説明する。
【００１０】ＩＰＳＥＣ通信を始めるにあたり、まず、
ＩＰＳＥＣの暗号鍵交換のためのプロトコルであるＩＫ
Ｅ（Internet Key Exchange)が用いられる。該ＩＫＥを
使用した通信は、ＩＫＥフェーズ１とＩＫＥフェーズ２
とに分けて説明することができ、上記ネットワーク接続
装置１４０２、１４０３間で行われる。尚、ＩＫＥによ
る自動鍵交換を行わず、手動で秘密鍵の交換を行っても
よい。
ＩＰＳＥＣの暗号鍵交換のためのプロトコルであるＩＫ
Ｅ（Internet Key Exchange)が用いられる。該ＩＫＥを
使用した通信は、ＩＫＥフェーズ１とＩＫＥフェーズ２
とに分けて説明することができ、上記ネットワーク接続
装置１４０２、１４０３間で行われる。尚、ＩＫＥによ
る自動鍵交換を行わず、手動で秘密鍵の交換を行っても
よい。
【００１１】上記ＩＫＥフェーズ１（１５０１）では、
ＩＫＥ自身が安全に通信を行うために、互いに利用可能
なＳＡ(Security Association)を確立するための情報を
交換する。ここでＳＡとは、例えば、認証アルゴリズム
や認証パラメータ、暗号化アルゴリズムや暗号化パラメ
ータ等を含む一連の定義情報群である。
ＩＫＥ自身が安全に通信を行うために、互いに利用可能
なＳＡ(Security Association)を確立するための情報を
交換する。ここでＳＡとは、例えば、認証アルゴリズム
や認証パラメータ、暗号化アルゴリズムや暗号化パラメ
ータ等を含む一連の定義情報群である。
【００１２】次に、ＩＫＥフェーズ２（１５０２）で
は、前記ＩＫＥフェーズ１にて確立した上記ＳＡを用い
て、ＩＰＳＥＣ通信用のＳＡに関する情報を交換する。
ここで、ＩＰＳＥＣ通信用のＳＡの一例について図１８
に示す。図１８は、複数の上記ＳＡである、ＳＡ−１
（１８０２）〜ＳＡ−Ｍ（１８０３）を含むＳＡＤ１８
０１であり、さらに各ＳＡにはアドレス情報１８０４、
インデックス情報であるＳＰＩ１８０５（Security Par
ameters Index ）、及びセキュリティパラメータである
ＳＡＰ１８０６が含まれる。上記アドレス情報１８０４
には送信先ＩＰアドレス、送信先ポート番号、送信元Ｉ
Ｐアドレス、送信元ポート番号、プロトコル番号等が含
まれる。又、上記ＳＰＩ１８０５には、擬似乱数等が用
いられ、上記ＳＡＰ１８０６は、認証アルゴリズム、暗
号化アルゴリズム、暗号化鍵等のセキュリティ通信のレ
ベルに直接関連する情報を持つ。例えば上記ＳＡＰ−１
（１８０６）の場合、認証アルゴリズムとしてＨＭＡＣ
−ＭＡ５を、暗号化アルゴリズムとしてＤＥＳ−ＣＢＳ
が含まれる。
は、前記ＩＫＥフェーズ１にて確立した上記ＳＡを用い
て、ＩＰＳＥＣ通信用のＳＡに関する情報を交換する。
ここで、ＩＰＳＥＣ通信用のＳＡの一例について図１８
に示す。図１８は、複数の上記ＳＡである、ＳＡ−１
（１８０２）〜ＳＡ−Ｍ（１８０３）を含むＳＡＤ１８
０１であり、さらに各ＳＡにはアドレス情報１８０４、
インデックス情報であるＳＰＩ１８０５（Security Par
ameters Index ）、及びセキュリティパラメータである
ＳＡＰ１８０６が含まれる。上記アドレス情報１８０４
には送信先ＩＰアドレス、送信先ポート番号、送信元Ｉ
Ｐアドレス、送信元ポート番号、プロトコル番号等が含
まれる。又、上記ＳＰＩ１８０５には、擬似乱数等が用
いられ、上記ＳＡＰ１８０６は、認証アルゴリズム、暗
号化アルゴリズム、暗号化鍵等のセキュリティ通信のレ
ベルに直接関連する情報を持つ。例えば上記ＳＡＰ−１
（１８０６）の場合、認証アルゴリズムとしてＨＭＡＣ
−ＭＡ５を、暗号化アルゴリズムとしてＤＥＳ−ＣＢＳ
が含まれる。
【００１３】上記ＩＫＥフェーズ２（１５０２）で行わ
れるＩＰＳＥＣ通信用のＳＡに関する情報の交換は、具
体的には、ネットワーク接続装置１４０２がネットワー
ク接続装置１４０３に対し、ＩＰＳＥＣ通信に使用する
上記ＳＡの構成の提案を送信し、該ネットワーク接続装
置１４０３は上記提案の中から受け入れ可能なＳＡを返
信するものである。ここで、上記ＳＡの構成の提案は、
上記ネットワーク接続装置１４０２の後述するデータ記
憶部２１０３に予め記憶されている認証アルゴリズム、
暗号化アルゴリズム等を用いて構成される。上記ネット
ワーク接続装置１４０２がどの様な認証アルゴリズム、
暗号化アルゴリズムを搭載しているかは、ネットワーク
接続装置により異なる。また、予め上記ネットワーク接
続装置１４０２が提案するＳＡを決めておくことも可能
である。
れるＩＰＳＥＣ通信用のＳＡに関する情報の交換は、具
体的には、ネットワーク接続装置１４０２がネットワー
ク接続装置１４０３に対し、ＩＰＳＥＣ通信に使用する
上記ＳＡの構成の提案を送信し、該ネットワーク接続装
置１４０３は上記提案の中から受け入れ可能なＳＡを返
信するものである。ここで、上記ＳＡの構成の提案は、
上記ネットワーク接続装置１４０２の後述するデータ記
憶部２１０３に予め記憶されている認証アルゴリズム、
暗号化アルゴリズム等を用いて構成される。上記ネット
ワーク接続装置１４０２がどの様な認証アルゴリズム、
暗号化アルゴリズムを搭載しているかは、ネットワーク
接続装置により異なる。また、予め上記ネットワーク接
続装置１４０２が提案するＳＡを決めておくことも可能
である。
【００１４】上記ＳＡの返信処理により、ＩＰＳＥＣ通
信に使用されるＳＡが確立される。上記確立されたＩＰ
ＳＥＣ通信に使用されるＳＡの情報は、図１８に示すＳ
ＡＤ１８０１及び、図１７に示すＳＰＤ１７０１に格納
される。該ＳＰＤ１７０１の構成は以下の例に示され
る。即ち、送信先ＩＰアドレス１７０２、ＩＰＳＥＣ処
理の有無１７０３、上記ＳＡＤ１８０１における各ＳＡ
の位置を示すアドレスポインタ１７０４、及び上記送信
先ＩＰアドレス１７０２にデータを送信する場合に、Ｉ
ＰＳＥＣパケットを送信すべき先の通信端末のＩＰアド
レス１７０５である。ここで、上記ＩＰアドレス１７０
５は、具体的にはネットワーク接続装置１４０３のＩＰ
アドレスとなる。ここで、送信の通信端末がＩＰＳＥＣ
機能を搭載している場合、上記ＩＰアドレス１７０２が
上記ＩＰアドレス１７０５と同一となる。また、上記送
信先ＩＰアドレス１７０２及び１７０５は範囲指定が可
能である。範囲指定とは、具体的にはＩＰアドレスを用
いて例えば”１９２．１６８．１．１〜１９２．１６
８．１．１００”という指定を指し、上記範囲指定によ
り１つの指定で例えば２００台の通信端末へのデータの
送信を指定することが出来る。尚、上記ＳＡは片方向で
１つ設定されるので、双方通信の場合は独立したＳＡが
ネットワーク接続装置１４０２、１４０３にそれぞれ設
定される。
信に使用されるＳＡが確立される。上記確立されたＩＰ
ＳＥＣ通信に使用されるＳＡの情報は、図１８に示すＳ
ＡＤ１８０１及び、図１７に示すＳＰＤ１７０１に格納
される。該ＳＰＤ１７０１の構成は以下の例に示され
る。即ち、送信先ＩＰアドレス１７０２、ＩＰＳＥＣ処
理の有無１７０３、上記ＳＡＤ１８０１における各ＳＡ
の位置を示すアドレスポインタ１７０４、及び上記送信
先ＩＰアドレス１７０２にデータを送信する場合に、Ｉ
ＰＳＥＣパケットを送信すべき先の通信端末のＩＰアド
レス１７０５である。ここで、上記ＩＰアドレス１７０
５は、具体的にはネットワーク接続装置１４０３のＩＰ
アドレスとなる。ここで、送信の通信端末がＩＰＳＥＣ
機能を搭載している場合、上記ＩＰアドレス１７０２が
上記ＩＰアドレス１７０５と同一となる。また、上記送
信先ＩＰアドレス１７０２及び１７０５は範囲指定が可
能である。範囲指定とは、具体的にはＩＰアドレスを用
いて例えば”１９２．１６８．１．１〜１９２．１６
８．１．１００”という指定を指し、上記範囲指定によ
り１つの指定で例えば２００台の通信端末へのデータの
送信を指定することが出来る。尚、上記ＳＡは片方向で
１つ設定されるので、双方通信の場合は独立したＳＡが
ネットワーク接続装置１４０２、１４０３にそれぞれ設
定される。
【００１５】上記ＩＰＳＥＣ通信に使用されるＳＡが確
立された後、送信側のコンピュータ１４０１から上記コ
ンピュータ１４０４に送信されるデータは、該コンピュ
ータ１４０１にてＩＰヘッダを付加され、ＩＰパケット
としてＬＡＮ１４０７を介してネットワーク接続装置１
４０２に送られる。該ネットワーク接続装置１４０２
は、後述するＩＰＳＥＣ処理を行うことにより上記ＩＰ
パケットをＩＰＳＥＣパケット１５０３として、上記ネ
ットワーク接続装置１４０３に送信する。上記ＩＰＳＥ
Ｃパケット１５０３を受信した上記ネットワーク接続装
置１４０３は、同じく後述するＩＰＳＥＣ処理にて上記
ＩＰＳＥＣパケット１５０３をＩＰパケットに戻し、上
記ＬＡＮ１４０８を介して上記コンピュータ１４０４に
送信する。即ち、上記インターネット１４０９を介して
接続される上記ネットワーク接続装置１４０２、１４０
３間では、送信側のコンピュータ１４０１から上記コン
ピュータ１４０４に送信されるデータはＩＰＳＥＣによ
りセキュリティが確保される。
立された後、送信側のコンピュータ１４０１から上記コ
ンピュータ１４０４に送信されるデータは、該コンピュ
ータ１４０１にてＩＰヘッダを付加され、ＩＰパケット
としてＬＡＮ１４０７を介してネットワーク接続装置１
４０２に送られる。該ネットワーク接続装置１４０２
は、後述するＩＰＳＥＣ処理を行うことにより上記ＩＰ
パケットをＩＰＳＥＣパケット１５０３として、上記ネ
ットワーク接続装置１４０３に送信する。上記ＩＰＳＥ
Ｃパケット１５０３を受信した上記ネットワーク接続装
置１４０３は、同じく後述するＩＰＳＥＣ処理にて上記
ＩＰＳＥＣパケット１５０３をＩＰパケットに戻し、上
記ＬＡＮ１４０８を介して上記コンピュータ１４０４に
送信する。即ち、上記インターネット１４０９を介して
接続される上記ネットワーク接続装置１４０２、１４０
３間では、送信側のコンピュータ１４０１から上記コン
ピュータ１４０４に送信されるデータはＩＰＳＥＣによ
りセキュリティが確保される。
【００１６】続いて、図１４、図１６、図１９、図２０
を用いて上記ネットワーク接続装置１４０２及び１４０
３におけるＩＰＳＥＣ処理の詳細を説明する。ここに図
１６は、ＡＨ(Authentication Header) フォーマット及
び、ＥＳＰ(Encapsulation Security Payload)ヘッダフ
ォーマットの詳細図、図１９は、送信側ネットワーク接
続装置におけるＩＰＳＥＣ処理のフローチャート、図２
０は、受信側ネットワーク接続装置におけるＩＰＳＥＣ
処理のフローチャートである。
を用いて上記ネットワーク接続装置１４０２及び１４０
３におけるＩＰＳＥＣ処理の詳細を説明する。ここに図
１６は、ＡＨ(Authentication Header) フォーマット及
び、ＥＳＰ(Encapsulation Security Payload)ヘッダフ
ォーマットの詳細図、図１９は、送信側ネットワーク接
続装置におけるＩＰＳＥＣ処理のフローチャート、図２
０は、受信側ネットワーク接続装置におけるＩＰＳＥＣ
処理のフローチャートである。
【００１７】尚、後述するＳＰＤ、ＳＡＤはそれぞれの
ネットワーク接続装置内のデータ記憶部２１０３に記憶
されている。ここで、図１９、２０におけるＳはステッ
プを意味する。
ネットワーク接続装置内のデータ記憶部２１０３に記憶
されている。ここで、図１９、２０におけるＳはステッ
プを意味する。
【００１８】上記ネットワーク接続装置１４０２では、
送信側のコンピュータ１４０１より送信されたＩＰパケ
ットを受信すると、まずその送信先ＩＰアドレスを読み
出す（図１９：Ｓ１９０１）。つづいて該送信先ＩＰア
ドレスを基に上記ネットワーク接続装置１４０２に格納
される上記ＳＰＤ１７０１の送信先ＩＰアドレス１７０
２を検索し、対応するＩＰＳＥＣパケットを送信すべき
先の通信端末のＩＰアドレス１７０５、ＩＰＳＥＣ処理
の有無１７０３及びＳＡの位置を示すアドレスポインタ
１７０４を読み出す（図１９：Ｓ１９０２）。
送信側のコンピュータ１４０１より送信されたＩＰパケ
ットを受信すると、まずその送信先ＩＰアドレスを読み
出す（図１９：Ｓ１９０１）。つづいて該送信先ＩＰア
ドレスを基に上記ネットワーク接続装置１４０２に格納
される上記ＳＰＤ１７０１の送信先ＩＰアドレス１７０
２を検索し、対応するＩＰＳＥＣパケットを送信すべき
先の通信端末のＩＰアドレス１７０５、ＩＰＳＥＣ処理
の有無１７０３及びＳＡの位置を示すアドレスポインタ
１７０４を読み出す（図１９：Ｓ１９０２）。
【００１９】ここで、ＩＰＳＥＣ処理を行わない設定、
即ちＩＰＳＥＣ処理の有無１７０３が”無”の場合、上
記受信したＩＰパケットをそのまま上記ネットワーク接
続装置１４０３に送信する（図１９：Ｓ１９０３のＮ
ｏ）。
即ちＩＰＳＥＣ処理の有無１７０３が”無”の場合、上
記受信したＩＰパケットをそのまま上記ネットワーク接
続装置１４０３に送信する（図１９：Ｓ１９０３のＮ
ｏ）。
【００２０】ＩＰＳＥＣ処理を行う設定、即ちＩＰＳＥ
Ｃ処理の有無１７０３が”有”の場合、更に上記ＳＡの
位置を示すアドレスポインタ１７０４を用いて上記ＳＡ
Ｄ１８０１を検索し、該当するＳＡの内容を読み出す
（図１９：Ｓ１９０３のＹｅｓ→Ｓ１９０５）。該ＳＡ
は、上記ＩＫＥフェーズ２（１５０２）で確立されたＳ
Ａである。次に、上記ネットワーク接続装置１４０２
は、上記ＳＡの内容に従い、例えば認証アルゴリズムと
してＨＭＡＣ−ＭＡ５を、暗号化アルゴリズムとしてＤ
ＥＳ−ＣＢＳを用いて上記ＩＰパケットから認証／暗号
化データを作成する（図１９：Ｓ１９０５）。さらに、
上記ネットワーク接続装置１４０２は、上記認証／暗号
化データに、認証ヘッダＡＨまたは認証／暗号化ヘッダ
ＥＳＰを追加し、ＩＰＳＥＣ処理を施したＩＰパケット
（ＩＰＳＥＣパケット１５０３）とする（図１９：Ｓ１
９０６）。ここで、上記ＡＨ及びＥＳＰには上記ＩＫＥ
フェーズ２で確立したＳＡを構成する上記ＳＰＩ１８０
５が含まれる。続いて上記ＩＰＳＥＣパケット１５０３
は、インターネット１４０９を介して上記ＳＰＤ１７０
１のＩＰアドレス１７０５が示す上記ネットワーク接続
装置１４０３に送信される。ここで、ＩＰＳＥＣの処理
には”トランスポートモード”と”トンネルモード”が
あり、上記説明はトンネルモードの説明であるが、例え
ば上記トランスポートモードを使用する場合には上記Ｉ
Ｐパケットの送信先ＩＰアドレスは暗号化されない。
又、上記トランスポートモード及びトンネルモードは適
宜選択可能である。尚、上記ＡＨフォーマット及びＥＳ
Ｐヘッダフォーマットの詳細を図１６（ａ）、（ｂ）に
示す。
Ｃ処理の有無１７０３が”有”の場合、更に上記ＳＡの
位置を示すアドレスポインタ１７０４を用いて上記ＳＡ
Ｄ１８０１を検索し、該当するＳＡの内容を読み出す
（図１９：Ｓ１９０３のＹｅｓ→Ｓ１９０５）。該ＳＡ
は、上記ＩＫＥフェーズ２（１５０２）で確立されたＳ
Ａである。次に、上記ネットワーク接続装置１４０２
は、上記ＳＡの内容に従い、例えば認証アルゴリズムと
してＨＭＡＣ−ＭＡ５を、暗号化アルゴリズムとしてＤ
ＥＳ−ＣＢＳを用いて上記ＩＰパケットから認証／暗号
化データを作成する（図１９：Ｓ１９０５）。さらに、
上記ネットワーク接続装置１４０２は、上記認証／暗号
化データに、認証ヘッダＡＨまたは認証／暗号化ヘッダ
ＥＳＰを追加し、ＩＰＳＥＣ処理を施したＩＰパケット
（ＩＰＳＥＣパケット１５０３）とする（図１９：Ｓ１
９０６）。ここで、上記ＡＨ及びＥＳＰには上記ＩＫＥ
フェーズ２で確立したＳＡを構成する上記ＳＰＩ１８０
５が含まれる。続いて上記ＩＰＳＥＣパケット１５０３
は、インターネット１４０９を介して上記ＳＰＤ１７０
１のＩＰアドレス１７０５が示す上記ネットワーク接続
装置１４０３に送信される。ここで、ＩＰＳＥＣの処理
には”トランスポートモード”と”トンネルモード”が
あり、上記説明はトンネルモードの説明であるが、例え
ば上記トランスポートモードを使用する場合には上記Ｉ
Ｐパケットの送信先ＩＰアドレスは暗号化されない。
又、上記トランスポートモード及びトンネルモードは適
宜選択可能である。尚、上記ＡＨフォーマット及びＥＳ
Ｐヘッダフォーマットの詳細を図１６（ａ）、（ｂ）に
示す。
【００２１】次に、上記ネットワーク接続装置１４０３
は、受信したＩＰパケットがＩＰＳＥＣパケットである
かを判別する（図２０：Ｓ２００１）。
は、受信したＩＰパケットがＩＰＳＥＣパケットである
かを判別する（図２０：Ｓ２００１）。
【００２２】ここで、ＩＰＳＥＣパケットでない場合、
上記ＩＰパケットはそのままＬＡＮ１４０８を介してコ
ンピュータ１４０４に送信される（図２０：Ｓ２００１
のＮｏ）。
上記ＩＰパケットはそのままＬＡＮ１４０８を介してコ
ンピュータ１４０４に送信される（図２０：Ｓ２００１
のＮｏ）。
【００２３】受信したＩＰパケットが、ＩＰＳＥＣパケ
ットである場合、以下の処理を行う（図２０：Ｓ２００
１のＹｅｓ）。即ち、まず上記ＩＰＳＥＣパケット内の
上記ＡＨやＥＳＰヘッダを調べ、該ＡＨやＥＳＰヘッダ
に含まれるＳＰＩを読み出す（図２０：Ｓ２００２）。
次に、上記ネットワーク接続装置１４０３に格納される
ＳＡＤを上記ＳＰＩを用いて検索し、上記ＳＰＩに該当
する、上記ＩＫＥフェーズ２で確立したＳＡの内容を読
み出す（図２０：Ｓ２００３）。これにより、上述した
ＩＫＥフェーズ２で確立した該当ＳＡが読み出されるこ
とになる。ここで、Ｓ２００２にて該当ＳＰＩが無い場
合はユーザにその旨を表示して処理を終了する（図示せ
ず）。
ットである場合、以下の処理を行う（図２０：Ｓ２００
１のＹｅｓ）。即ち、まず上記ＩＰＳＥＣパケット内の
上記ＡＨやＥＳＰヘッダを調べ、該ＡＨやＥＳＰヘッダ
に含まれるＳＰＩを読み出す（図２０：Ｓ２００２）。
次に、上記ネットワーク接続装置１４０３に格納される
ＳＡＤを上記ＳＰＩを用いて検索し、上記ＳＰＩに該当
する、上記ＩＫＥフェーズ２で確立したＳＡの内容を読
み出す（図２０：Ｓ２００３）。これにより、上述した
ＩＫＥフェーズ２で確立した該当ＳＡが読み出されるこ
とになる。ここで、Ｓ２００２にて該当ＳＰＩが無い場
合はユーザにその旨を表示して処理を終了する（図示せ
ず）。
【００２４】さらに、上記ネットワーク接続装置１４０
３は、上記読み出したＳＡで指定された認証／暗号化ア
ルゴリズム等を用いて、上記ＩＰＳＥＣパケットの認証
／暗号化データを認証／復号化する（図２０：Ｓ２００
４）。又、必要に応じて上記ＳＡのアドレス情報１８０
４からＳＰＤ１７０１を検索し、送信元のＩＰアドレス
及び、ＩＰＳＥＣ処理の有無を確認し、元のＩＰパケッ
トを生成する（図２０：Ｓ２００５→２００６）。続い
て上記ネットワーク接続装置１４０３は生成した上記Ｉ
Ｐパケットをコンピュータ１４０４に送信する。
３は、上記読み出したＳＡで指定された認証／暗号化ア
ルゴリズム等を用いて、上記ＩＰＳＥＣパケットの認証
／暗号化データを認証／復号化する（図２０：Ｓ２００
４）。又、必要に応じて上記ＳＡのアドレス情報１８０
４からＳＰＤ１７０１を検索し、送信元のＩＰアドレス
及び、ＩＰＳＥＣ処理の有無を確認し、元のＩＰパケッ
トを生成する（図２０：Ｓ２００５→２００６）。続い
て上記ネットワーク接続装置１４０３は生成した上記Ｉ
Ｐパケットをコンピュータ１４０４に送信する。
【００２５】以上により、上記認証／復号化された上記
ＩＰＳＥＣパケットの認証／暗号化データは、ＩＰパケ
ットとしてＬＡＮ１４０８を介してコンピュータ１４０
４に送信される。即ち、上記ネットワーク接続装置１４
０２、１４０３間では、送信側のコンピュータ１４０１
から上記コンピュータ１４０４に送信されるデータはＩ
ＰＳＥＣにてセキュリティが確保される。
ＩＰＳＥＣパケットの認証／暗号化データは、ＩＰパケ
ットとしてＬＡＮ１４０８を介してコンピュータ１４０
４に送信される。即ち、上記ネットワーク接続装置１４
０２、１４０３間では、送信側のコンピュータ１４０１
から上記コンピュータ１４０４に送信されるデータはＩ
ＰＳＥＣにてセキュリティが確保される。
【００２６】続いて、図２１を用いて上記ネットワーク
接続装置１４０２の構成の概略を説明する。尚、ネット
ワーク接続装置１４０３も同様の構成である。
接続装置１４０２の構成の概略を説明する。尚、ネット
ワーク接続装置１４０３も同様の構成である。
【００２７】上記ネットワーク接続装置１４０２及び１
４０３は、一般的に図２１に示すような構成を有する。
即ち、処理部２１０１、一時データ記憶部２１０２、デ
ータ記憶部２１０３、システム制御部２１０４、ネット
ワーク制御部２１０６、回線制御部２１０７が内部バス
或いはスイッチ２１０５にてそれぞれ接続されている。
また、上記ネットワーク制御部２１０６は上記ＬＡＮ１
４０７に、上記回線制御部２１０７はインターネット１
４０９とそれぞれ接続されている。
４０３は、一般的に図２１に示すような構成を有する。
即ち、処理部２１０１、一時データ記憶部２１０２、デ
ータ記憶部２１０３、システム制御部２１０４、ネット
ワーク制御部２１０６、回線制御部２１０７が内部バス
或いはスイッチ２１０５にてそれぞれ接続されている。
また、上記ネットワーク制御部２１０６は上記ＬＡＮ１
４０７に、上記回線制御部２１０７はインターネット１
４０９とそれぞれ接続されている。
【００２８】上述したＳＰＤ、ＳＡＤは、フラッシュメ
モリ、ハードディスク、ＲＯＭ等の不揮発性メモリで構
成された上記データ記憶部２１０３に格納される。上記
処理部２１０１は、上記ネットワーク接続装置１４０２
の電源投入時に上記データ記憶部２１０３からシステム
制御部２１０４を経由して、上記ＳＰＤ，ＳＡＤを読み
出し、ＤＲＡＭ、ＳＲＡＭ等の揮発メモリで構成される
上記一時データ記憶部２１０２に格納するかあるいは、
必要なときに読み出し、一時データ記憶部２１０２に格
納する。又、上記ＳＰＤ、ＳＡＤの更新は上記データ記
憶部２１０３に格納されているＳＰＤ、ＳＡＤに対して
行なわれる。
モリ、ハードディスク、ＲＯＭ等の不揮発性メモリで構
成された上記データ記憶部２１０３に格納される。上記
処理部２１０１は、上記ネットワーク接続装置１４０２
の電源投入時に上記データ記憶部２１０３からシステム
制御部２１０４を経由して、上記ＳＰＤ，ＳＡＤを読み
出し、ＤＲＡＭ、ＳＲＡＭ等の揮発メモリで構成される
上記一時データ記憶部２１０２に格納するかあるいは、
必要なときに読み出し、一時データ記憶部２１０２に格
納する。又、上記ＳＰＤ、ＳＡＤの更新は上記データ記
憶部２１０３に格納されているＳＰＤ、ＳＡＤに対して
行なわれる。
【００２９】ＬＡＮ１４０７或いはインターネット１４
０９からそれぞれネットワーク制御部２１０６、回線制
御部２１０７を経由して受信した個々のＩＰパケット
（ＩＰＳＥＣパケット）は、上記処理部２１０１にて上
述したＩＰＳＥＣ処理が行われる。即ち、上記処理部２
１０１は、個々のＩＰＳＥＣパケットの上記ＡＨ、ＥＳ
Ｐ情報を読み出し、上述した処理フローに従って上記一
時データ記憶部２１０２に格納された必要なＳＰＤ、Ｓ
ＡＤを検索してＩＰＳＥＣに関する認証／暗号化、認証
／復号化を行なった後、送信先アドレスに送信する。ま
た、その他の機能（ルーティング機能等）も上記処理部
２１０１にて提供される。
０９からそれぞれネットワーク制御部２１０６、回線制
御部２１０７を経由して受信した個々のＩＰパケット
（ＩＰＳＥＣパケット）は、上記処理部２１０１にて上
述したＩＰＳＥＣ処理が行われる。即ち、上記処理部２
１０１は、個々のＩＰＳＥＣパケットの上記ＡＨ、ＥＳ
Ｐ情報を読み出し、上述した処理フローに従って上記一
時データ記憶部２１０２に格納された必要なＳＰＤ、Ｓ
ＡＤを検索してＩＰＳＥＣに関する認証／暗号化、認証
／復号化を行なった後、送信先アドレスに送信する。ま
た、その他の機能（ルーティング機能等）も上記処理部
２１０１にて提供される。
【００３０】ここで、個々のＩＰパケット処理時に、一
時データ記憶部２１０２に格納されたＳＰＤ、ＳＡＤを
検索する理由は、上記一時データ記憶部２１０２がデー
タ記憶部２１０３に比べて高速にアクセス可能であり、
上記ＩＰＳＥＣ処理の高速化を図ることができるためで
ある。
時データ記憶部２１０２に格納されたＳＰＤ、ＳＡＤを
検索する理由は、上記一時データ記憶部２１０２がデー
タ記憶部２１０３に比べて高速にアクセス可能であり、
上記ＩＰＳＥＣ処理の高速化を図ることができるためで
ある。
【００３１】このように、一時データ記憶部２１０２に
格納されたＳＰＤ、ＳＡＤを参照して処理を進めるた
め、例えばＳＡに関するパラメータが変更された場合、
変更後のＳＡパラメータが上記ＩＰＳＥＣを用いた通信
に反映されるのは、一般的に上記ネットワーク接続装置
１４０２の電源投入時及び、リセット時等の起動時のみ
である。これは通常、ルータ等のネットワーク接続装置
１４０２は連続通電され、常時運用されており、一時デ
ータ記憶部２１０２に格納されたＳＡに関するパラメー
タと変更されたパラメータとの整合をとる機構が必要な
ためと、現状のＩＰＳＥＣを用いた通信は、主に例えば
本社と支社間等、決まったネットワーク接続装置間での
ＬＡＮ間接続に用いられているため、上記データ記憶部
２１０３に格納されるＳＰＤ、ＳＡＤ、その他の設定パ
ラメータについて、変更される機会が少ないことを前提
にしているためである。
格納されたＳＰＤ、ＳＡＤを参照して処理を進めるた
め、例えばＳＡに関するパラメータが変更された場合、
変更後のＳＡパラメータが上記ＩＰＳＥＣを用いた通信
に反映されるのは、一般的に上記ネットワーク接続装置
１４０２の電源投入時及び、リセット時等の起動時のみ
である。これは通常、ルータ等のネットワーク接続装置
１４０２は連続通電され、常時運用されており、一時デ
ータ記憶部２１０２に格納されたＳＡに関するパラメー
タと変更されたパラメータとの整合をとる機構が必要な
ためと、現状のＩＰＳＥＣを用いた通信は、主に例えば
本社と支社間等、決まったネットワーク接続装置間での
ＬＡＮ間接続に用いられているため、上記データ記憶部
２１０３に格納されるＳＰＤ、ＳＡＤ、その他の設定パ
ラメータについて、変更される機会が少ないことを前提
にしているためである。
【００３２】
【発明が解決しようとする課題】上記のようなネットワ
ーク層でのセキュリティプロトコルは、通信パケット全
体に対してセキュリティを確保するため、アプリケーシ
ョンごとにセキュリティを施す必要がなく、ＬＡＮ間接
続時のセキュリティ対策として利便性が高い。しかしな
がら、セキュリティに関する認証／暗号化等の処理は非
常に計算量が多く、セキュリティの強度（即ち安全性）
を高くすれば通信が漏洩する可能性が低くなるが、それ
だけ各コンピュータやネットワーク接続装置の負荷が高
くなり、即ち、処理の遅延を招く。ここで、セキュリテ
ィの強度を下げれば当然通信が漏洩する可能性が高くな
る。
ーク層でのセキュリティプロトコルは、通信パケット全
体に対してセキュリティを確保するため、アプリケーシ
ョンごとにセキュリティを施す必要がなく、ＬＡＮ間接
続時のセキュリティ対策として利便性が高い。しかしな
がら、セキュリティに関する認証／暗号化等の処理は非
常に計算量が多く、セキュリティの強度（即ち安全性）
を高くすれば通信が漏洩する可能性が低くなるが、それ
だけ各コンピュータやネットワーク接続装置の負荷が高
くなり、即ち、処理の遅延を招く。ここで、セキュリテ
ィの強度を下げれば当然通信が漏洩する可能性が高くな
る。
【００３３】従来技術では、上記のように相手先端末に
対応してセキュリティ通信のレベルを設定しているた
め、例えば複数のユーザが使用する送信元端末から、暗
号化の必要ないユーザが送信するデータにも、一定強度
のセキュリティを付与する必要があった。このような通
信は、各コンピュータやネットワーク接続装置の不必要
な負荷を増大させ、即ち処理の遅延を招くに至ってい
る。逆に、レベルの高いセキュリティを必要とするユー
ザが送信するデータであっても、それより低いレベルの
セキュリティでしか送信できない難点があった。
対応してセキュリティ通信のレベルを設定しているた
め、例えば複数のユーザが使用する送信元端末から、暗
号化の必要ないユーザが送信するデータにも、一定強度
のセキュリティを付与する必要があった。このような通
信は、各コンピュータやネットワーク接続装置の不必要
な負荷を増大させ、即ち処理の遅延を招くに至ってい
る。逆に、レベルの高いセキュリティを必要とするユー
ザが送信するデータであっても、それより低いレベルの
セキュリティでしか送信できない難点があった。
【００３４】また、従来のＩＰＳＥＣ機能を搭載したル
ータ等では、予め上述したように通信先のＩＰアドレス
に対して使用するＳＡを対応付ける必要があり、さらに
その対応付け手続きの困難性から、セキュリティ通信の
レベルを柔軟に変更できないばかりでなく、専門知識の
ないユーザが各自で適宜セキュリティ通信のレベルを変
えることが困難であった。しかしながらインターネット
あるいは企業間のイントラネットを介した電子メールの
交換や、これらを利用した電子商取引が一般化しつつあ
るため、ネットワークに関する専門的な技術を持った保
守者がいる大企業等だけでなく、そのような専門的な技
術者が期待できないＳＯＨＯ（Small Office Home Offi
ce) や家庭においても使用できるような容易な設定方法
が求められる。 また、接続先や、電子商取引時のクレ
ジット番号発信等、通信によって、セキュリティ通信の
レベルを最適に変えたい場合があるが、従来の技術で
は、接続時のセキュリティ通信のレベルが最適かどうか
分からないという課題がある。 本発明は、上記課題を
解決するために提案するものであり、従来の利便性を損
なうことなくデータ送信を行うユーザごとにセキュリテ
ィ通信のレベルを設定できると共に、ネットワークに関
する専門知識がなくても容易に各種セキュリティ通信の
ための接続パラメータを変更でき、かつ直ちに該変更の
有効性の確認、及び反映を行うことが可能であり、さら
に、接続先との通信にどれ程のセキュリティ通信のレベ
ルを設定すれば良いかを自動で決定できるセキュリティ
通信方法を提供するものである。
ータ等では、予め上述したように通信先のＩＰアドレス
に対して使用するＳＡを対応付ける必要があり、さらに
その対応付け手続きの困難性から、セキュリティ通信の
レベルを柔軟に変更できないばかりでなく、専門知識の
ないユーザが各自で適宜セキュリティ通信のレベルを変
えることが困難であった。しかしながらインターネット
あるいは企業間のイントラネットを介した電子メールの
交換や、これらを利用した電子商取引が一般化しつつあ
るため、ネットワークに関する専門的な技術を持った保
守者がいる大企業等だけでなく、そのような専門的な技
術者が期待できないＳＯＨＯ（Small Office Home Offi
ce) や家庭においても使用できるような容易な設定方法
が求められる。 また、接続先や、電子商取引時のクレ
ジット番号発信等、通信によって、セキュリティ通信の
レベルを最適に変えたい場合があるが、従来の技術で
は、接続時のセキュリティ通信のレベルが最適かどうか
分からないという課題がある。 本発明は、上記課題を
解決するために提案するものであり、従来の利便性を損
なうことなくデータ送信を行うユーザごとにセキュリテ
ィ通信のレベルを設定できると共に、ネットワークに関
する専門知識がなくても容易に各種セキュリティ通信の
ための接続パラメータを変更でき、かつ直ちに該変更の
有効性の確認、及び反映を行うことが可能であり、さら
に、接続先との通信にどれ程のセキュリティ通信のレベ
ルを設定すれば良いかを自動で決定できるセキュリティ
通信方法を提供するものである。
【００３５】
【課題を解決するための手段】本発明は、上記目的を達
成するために以下の手段を備える。
成するために以下の手段を備える。
【００３６】すなわち、通信端末を使用するユーザの情
報とセキュリティ種を対応付けた対応情報を記憶する記
憶手段と、上記ユーザの情報に基づいて、上記対応情報
からセキュリティ種を決定する上記セキュリティ種選択
手段を備える。
報とセキュリティ種を対応付けた対応情報を記憶する記
憶手段と、上記ユーザの情報に基づいて、上記対応情報
からセキュリティ種を決定する上記セキュリティ種選択
手段を備える。
【００３７】さらに、上記セキュリティ種選択手段が、
上記対応情報の変更時に、上記変更後の情報に基づいた
通信の確立を直ちに確認する構成がある。
上記対応情報の変更時に、上記変更後の情報に基づいた
通信の確立を直ちに確認する構成がある。
【００３８】ユーザ毎にセキュリティ種を対応付けるこ
とにより、従来の利便性を損なうことなくデータ送信を
行うユーザごとにセキュリティ通信のレベルを設定でき
る。又、上記対応情報の変更時に、上記変更後の情報に
基づいた通信の確立を直ちに確認できることで、直ちに
該変更の有効性の確認、及び反映を行うことが可能であ
る。
とにより、従来の利便性を損なうことなくデータ送信を
行うユーザごとにセキュリティ通信のレベルを設定でき
る。又、上記対応情報の変更時に、上記変更後の情報に
基づいた通信の確立を直ちに確認できることで、直ちに
該変更の有効性の確認、及び反映を行うことが可能であ
る。
【００３９】又、通信端末にて動作するアプリケーショ
ンに入力されるインターネットアドレス情報と、セキュ
リティ種とを対応付けた対応情報を記憶する記憶手段
と、上記インターネットアドレス情報に基づいて、上記
対応情報からセキュリティ種を決定する上記セキュリテ
ィ種選択手段を備える。
ンに入力されるインターネットアドレス情報と、セキュ
リティ種とを対応付けた対応情報を記憶する記憶手段
と、上記インターネットアドレス情報に基づいて、上記
対応情報からセキュリティ種を決定する上記セキュリテ
ィ種選択手段を備える。
【００４０】さらに、上記通信端末を使用するユーザの
情報とセキュリティ種とを対応付けた構成がある。
情報とセキュリティ種とを対応付けた構成がある。
【００４１】当該手段により、ユーザになじみの深いイ
ンターネットアドレス情報をセキュリティ種と対応付け
ることにより、ネットワークに関する専門知識がなくて
も容易に各種セキュリティ通信のための接続パラメータ
を変更できる。
ンターネットアドレス情報をセキュリティ種と対応付け
ることにより、ネットワークに関する専門知識がなくて
も容易に各種セキュリティ通信のための接続パラメータ
を変更できる。
【００４２】又、通信装置が、セキュリティ種を所定の
セキュリティ情報装置に問い合わせる問い合わせ手段
と、上記問い合わせに対応する回答に基づいて上記セキ
ュリティ種を決定する上記セキュリティ種選択手段を備
え、さらに上記セキュリティ情報装置が、通信装置の端
末特定情報と、該通信装置との通信において推奨される
セキュリティ種とを対応付けた対応情報を記憶する記憶
手段と、他の通信装置からの、上記通信装置について推
奨されるセキュリティ種の問い合わせに対し、上記推奨
されるセキュリティ種を選択する推奨セキュリティ種管
理手段と、上記選択された推奨されるセキュリティ種を
送信する送信手段を備える。
セキュリティ情報装置に問い合わせる問い合わせ手段
と、上記問い合わせに対応する回答に基づいて上記セキ
ュリティ種を決定する上記セキュリティ種選択手段を備
え、さらに上記セキュリティ情報装置が、通信装置の端
末特定情報と、該通信装置との通信において推奨される
セキュリティ種とを対応付けた対応情報を記憶する記憶
手段と、他の通信装置からの、上記通信装置について推
奨されるセキュリティ種の問い合わせに対し、上記推奨
されるセキュリティ種を選択する推奨セキュリティ種管
理手段と、上記選択された推奨されるセキュリティ種を
送信する送信手段を備える。
【００４３】当該手段により、上記セキュリティ情報装
置にセキュリティ種を問い合わせることにより、接続先
との通信にどれ程のセキュリティ通信のレベルを設定す
れば良いかを自動で決定できる。
置にセキュリティ種を問い合わせることにより、接続先
との通信にどれ程のセキュリティ通信のレベルを設定す
れば良いかを自動で決定できる。
【００４４】尚、上記セキュリティ種が、セキュリティ
プロトコルである場合や、認証アルゴリズムや暗号化ア
ルゴリズムを含む定義情報群である構成がある。
プロトコルである場合や、認証アルゴリズムや暗号化ア
ルゴリズムを含む定義情報群である構成がある。
【００４５】また、セキュリティ通信方法は、各通信装
置又は通信端末に上述した手段をそれぞれ備えることに
より実現する。
置又は通信端末に上述した手段をそれぞれ備えることに
より実現する。
【００４６】
【発明の実施の形態】以下、添付図面を参照して、主に
従来例との違いについて本発明の実施の形態につき説明
し、本発明の理解に供する。尚、以下の実施の形態は、
本発明を具体化した一例であって、本発明の技術的範囲
を限定する性格のものではない。
従来例との違いについて本発明の実施の形態につき説明
し、本発明の理解に供する。尚、以下の実施の形態は、
本発明を具体化した一例であって、本発明の技術的範囲
を限定する性格のものではない。
【００４７】〔実施の形態１〕始めに、図１、図２
（ａ）、図２（ｂ）、図４を参照しながら、実施の形態
１におけるセキュリティ通信方法、通信システム及びそ
の装置の概略について説明する。
（ａ）、図２（ｂ）、図４を参照しながら、実施の形態
１におけるセキュリティ通信方法、通信システム及びそ
の装置の概略について説明する。
【００４８】図１は本発明に係るセキュリティ通信方法
を用いたシステムの概略を示す図である。当該図１にお
いて、コンピュータ１０１はＬＡＮ１０７で他のコンピ
ュータ１０５及びネットワーク接続装置１０２と接続さ
れており、ネットワーク接続装置１０２を経由して、外
部のインターネット１０９やイントラネット等のＷＡＮ
に接続されている。このインターネット１０９には他の
ネットワーク接続装置１０３、ＬＡＮ１０８が接続され
ており、該ＬＡＮにはコンピュータ１０４、１０６が接
続されている。ここで、上記ネットワーク接続装置１０
２、１０３は、ルータ、ゲートウエイ、プロキシサーバ
等のファイアウォールやＶＰＮ専用装置等である。さら
に、上記コンピュータ１０１、１０５にはそれぞれユー
ザ認証装置１１０、１１１が接続されている。ここで、
コンピュータ１０１他はパーソナルコンピュータ、ワー
クステーション、サーバ、ノート型パソコン、ＩＰ電
話、ＩＰテレビ電話、ＩＰ携帯電話等の通信機能を持つ
端末であればよい。以下、従来例と同様に、ネットワー
ク接続装置１０２、１０３間でＩＰＳＥＣ処理を行うも
のとして説明を行う。尚、ＩＰＳＥＣ処理を行うのは前
記ネットワーク接続装置１０２、１０３に限定するもの
ではなく、送信元コンピュータ１０１、送信先コンピュ
ータ１０４間でも良く、また、コンピュータ１０２、ネ
ットワーク接続装置１０３間でも良いのは従来例と同様
である。又、図２（ａ）は本実施の形態１において用い
られるユーザ毎のＳＰＤであり、図２（ｂ）はユーザ毎
のＳＡＤの例である。上記ユーザ毎のＳＰＤ及びユーザ
毎のＳＡＤ内容の詳細は後述する。
を用いたシステムの概略を示す図である。当該図１にお
いて、コンピュータ１０１はＬＡＮ１０７で他のコンピ
ュータ１０５及びネットワーク接続装置１０２と接続さ
れており、ネットワーク接続装置１０２を経由して、外
部のインターネット１０９やイントラネット等のＷＡＮ
に接続されている。このインターネット１０９には他の
ネットワーク接続装置１０３、ＬＡＮ１０８が接続され
ており、該ＬＡＮにはコンピュータ１０４、１０６が接
続されている。ここで、上記ネットワーク接続装置１０
２、１０３は、ルータ、ゲートウエイ、プロキシサーバ
等のファイアウォールやＶＰＮ専用装置等である。さら
に、上記コンピュータ１０１、１０５にはそれぞれユー
ザ認証装置１１０、１１１が接続されている。ここで、
コンピュータ１０１他はパーソナルコンピュータ、ワー
クステーション、サーバ、ノート型パソコン、ＩＰ電
話、ＩＰテレビ電話、ＩＰ携帯電話等の通信機能を持つ
端末であればよい。以下、従来例と同様に、ネットワー
ク接続装置１０２、１０３間でＩＰＳＥＣ処理を行うも
のとして説明を行う。尚、ＩＰＳＥＣ処理を行うのは前
記ネットワーク接続装置１０２、１０３に限定するもの
ではなく、送信元コンピュータ１０１、送信先コンピュ
ータ１０４間でも良く、また、コンピュータ１０２、ネ
ットワーク接続装置１０３間でも良いのは従来例と同様
である。又、図２（ａ）は本実施の形態１において用い
られるユーザ毎のＳＰＤであり、図２（ｂ）はユーザ毎
のＳＡＤの例である。上記ユーザ毎のＳＰＤ及びユーザ
毎のＳＡＤ内容の詳細は後述する。
【００４９】まず、図４の上記ネットワーク接続装置１
０２（１０３も同様の構成である）の構成の概略図を用
いて上記ネットワーク接続装置１０２、１０３の内部の
処理を説明する。
０２（１０３も同様の構成である）の構成の概略図を用
いて上記ネットワーク接続装置１０２、１０３の内部の
処理を説明する。
【００５０】本実施の形態における上記ネットワーク接
続装置では、ユーザ毎に異なるセキュリティレベルを設
定することを可能にするため、後述するユーザの設定及
び送信先のＩＰアドレスの設定を行なう。このため、従
来使用されているネットワーク接続装置のような本社と
支社間等の決まったＬＡＮを接続している場合でも、例
えばユーザの追加等、設定の更新が従来より多いことが
予想される。このような更新の都度従来のような装置電
源投入や装置リセット等を行なうと通信が短時間でもス
トップすることとなり、ユーザにとっては不便である。
そこで、上記ネットワーク接続装置の内部処理を以下の
ようにすることにより、装置電源投入や装置リセット等
を行なうことなく常時運用を実現する。
続装置では、ユーザ毎に異なるセキュリティレベルを設
定することを可能にするため、後述するユーザの設定及
び送信先のＩＰアドレスの設定を行なう。このため、従
来使用されているネットワーク接続装置のような本社と
支社間等の決まったＬＡＮを接続している場合でも、例
えばユーザの追加等、設定の更新が従来より多いことが
予想される。このような更新の都度従来のような装置電
源投入や装置リセット等を行なうと通信が短時間でもス
トップすることとなり、ユーザにとっては不便である。
そこで、上記ネットワーク接続装置の内部処理を以下の
ようにすることにより、装置電源投入や装置リセット等
を行なうことなく常時運用を実現する。
【００５１】即ち、図４において、ネットワーク接続装
置１０２、１０３は処理部４０１、一時データ記憶部４
０２、データ記憶部４０３、システム制御部４０４、ネ
ットワーク制御部４０６、回線制御部４０７を備え、そ
れぞれ内部バス或いはスイッチ４０５にて接続されてい
る。ここで、上記処理部４０１、一時データ記憶部４０
２、システム制御部４０４は後述する処理におけるセキ
ュリティ種選択手段４０８として機能する。
置１０２、１０３は処理部４０１、一時データ記憶部４
０２、データ記憶部４０３、システム制御部４０４、ネ
ットワーク制御部４０６、回線制御部４０７を備え、そ
れぞれ内部バス或いはスイッチ４０５にて接続されてい
る。ここで、上記処理部４０１、一時データ記憶部４０
２、システム制御部４０４は後述する処理におけるセキ
ュリティ種選択手段４０８として機能する。
【００５２】さらに、上記ユーザ毎のＳＰＤ２０１及び
上記ユーザ毎のＳＡＤ２０７はフラッシュメモリ、ハー
ドディスク、ＲＯＭ等の不揮発メモリで構成されたデー
タ記憶部４０３に格納されている。また、上記ネットワ
ーク接続装置１０２の電源投入時に上記処理部４０１
は、上記データ記憶部４０３からシステム制御部４０４
を経由して、上記ユーザ毎のＳＰＤ２０１、ユーザ毎の
ＳＡＤ２０７を読み出し、ＤＲＡＭ、ＳＲＡＭ等の揮発
メモリで構成される上記一時データ記憶部４０２に格納
する。以後、上記処理部４０１では、上記一時データ記
憶部４０２に格納された上記ユーザ毎のＳＰＤ２０１、
ユーザ毎のＳＡＤ２０７を用いてＩＰＳＥＣ処理が行な
われる。又、設定の変更に伴う上記ユーザ毎のＳＰＤ２
０１、ユーザ毎のＳＡＤ２０７の更新はデータ記憶部４
０３に格納されているユーザ毎のＳＰＤ２０１、ユーザ
毎のＳＡＤ２０７に対して行なわれる。ここまでの処理
は、上記ユーザ毎のＳＰＤ２０１及び、ユーザ毎のＳＡ
Ｄ２０７の構造を除き、前記従来技術と同様である。
上記ユーザ毎のＳＡＤ２０７はフラッシュメモリ、ハー
ドディスク、ＲＯＭ等の不揮発メモリで構成されたデー
タ記憶部４０３に格納されている。また、上記ネットワ
ーク接続装置１０２の電源投入時に上記処理部４０１
は、上記データ記憶部４０３からシステム制御部４０４
を経由して、上記ユーザ毎のＳＰＤ２０１、ユーザ毎の
ＳＡＤ２０７を読み出し、ＤＲＡＭ、ＳＲＡＭ等の揮発
メモリで構成される上記一時データ記憶部４０２に格納
する。以後、上記処理部４０１では、上記一時データ記
憶部４０２に格納された上記ユーザ毎のＳＰＤ２０１、
ユーザ毎のＳＡＤ２０７を用いてＩＰＳＥＣ処理が行な
われる。又、設定の変更に伴う上記ユーザ毎のＳＰＤ２
０１、ユーザ毎のＳＡＤ２０７の更新はデータ記憶部４
０３に格納されているユーザ毎のＳＰＤ２０１、ユーザ
毎のＳＡＤ２０７に対して行なわれる。ここまでの処理
は、上記ユーザ毎のＳＰＤ２０１及び、ユーザ毎のＳＡ
Ｄ２０７の構造を除き、前記従来技術と同様である。
【００５３】ここで、従来技術では、一時データ記憶部
に格納されたＳＰＤ、ＳＡＤを参照してＩＰＳＥＣ処理
を進め、再度データ記憶部からＳＰＤ、ＳＡＤが読みだ
されるのは装置電源投入や装置リセット等を行なった後
の装置起動時のみであった。このため、ＳＰＤ、ＳＡＤ
が変更された場合、その更新されたＳＡがＩＰＳＥＣ処
理に反映されるのは、同じく装置電源投入時及び装置リ
セット時等の装置起動後であった。
に格納されたＳＰＤ、ＳＡＤを参照してＩＰＳＥＣ処理
を進め、再度データ記憶部からＳＰＤ、ＳＡＤが読みだ
されるのは装置電源投入や装置リセット等を行なった後
の装置起動時のみであった。このため、ＳＰＤ、ＳＡＤ
が変更された場合、その更新されたＳＡがＩＰＳＥＣ処
理に反映されるのは、同じく装置電源投入時及び装置リ
セット時等の装置起動後であった。
【００５４】しかし、本実施の形態では、上記データ記
憶部４０３の上記ＳＰＤ、ＳＡＤが設定の変更等により
更新された場合には以下の処理を行なう。即ち、上記処
理部４０１は、上記一時データ記憶部４０２に格納され
ているＳＰＤ、ＳＡＤを用いて通信処理を行なっている
場合は該処理中の処理が終わり次第通信を中断するとと
もに、更新されたＳＰＤ、ＳＡＤをデータ記憶部４０３
から読み出し、上記一時データ記憶部４０２に格納され
た該当するＳＰＤ、ＳＡＤに上書きする。ここで、上書
きするのは上記更新されたＳＰＤ、ＳＡＤのみであり、
ユーザ毎のＳＰＤのうち、更新されていないものについ
ては更新を行わない。これにより、更新に関係しないＳ
ＰＤ、ＳＡＤを用いて通信を行っているユーザのＩＰＳ
ＥＣ通信には影響を及ぼさない。
憶部４０３の上記ＳＰＤ、ＳＡＤが設定の変更等により
更新された場合には以下の処理を行なう。即ち、上記処
理部４０１は、上記一時データ記憶部４０２に格納され
ているＳＰＤ、ＳＡＤを用いて通信処理を行なっている
場合は該処理中の処理が終わり次第通信を中断するとと
もに、更新されたＳＰＤ、ＳＡＤをデータ記憶部４０３
から読み出し、上記一時データ記憶部４０２に格納され
た該当するＳＰＤ、ＳＡＤに上書きする。ここで、上書
きするのは上記更新されたＳＰＤ、ＳＡＤのみであり、
ユーザ毎のＳＰＤのうち、更新されていないものについ
ては更新を行わない。これにより、更新に関係しないＳ
ＰＤ、ＳＡＤを用いて通信を行っているユーザのＩＰＳ
ＥＣ通信には影響を及ぼさない。
【００５５】次に、該格納されたＳＰＤ、ＳＡＤを用い
て上述したＩＫＥフェーズ２を用いてＳＡを再確立し、
新たに確立された該ＳＡを用いてＩＰＳＥＣ処理を再開
する。
て上述したＩＫＥフェーズ２を用いてＳＡを再確立し、
新たに確立された該ＳＡを用いてＩＰＳＥＣ処理を再開
する。
【００５６】上述したＳＰＤ、ＳＡＤの更新処理を行な
うことにより、セキュリティ通信のレベルを変更した場
合でも、装置を再度起動する必要がなく、直ちに更新の
有効性の確認、即ちＩＫＥフェーズ２を用いたＳＡの再
確立、及び更新の反映を行うことが可能である。
うことにより、セキュリティ通信のレベルを変更した場
合でも、装置を再度起動する必要がなく、直ちに更新の
有効性の確認、即ちＩＫＥフェーズ２を用いたＳＡの再
確立、及び更新の反映を行うことが可能である。
【００５７】尚、ＩＰＳＥＣ通信中のＳＡの再確立につ
いては、通信を中断して即時再確立を行なう方法や、処
理中のＩＰＳＥＣ通信が終了してから再確立を行う方法
を予め選択できるとともに、処理するパケットの種類に
応じて上記再確立の方法を選択できるものとする。
いては、通信を中断して即時再確立を行なう方法や、処
理中のＩＰＳＥＣ通信が終了してから再確立を行う方法
を予め選択できるとともに、処理するパケットの種類に
応じて上記再確立の方法を選択できるものとする。
【００５８】次に、セキュリティ通信を始めるにあたり
予め上記ネットワーク接続装置１０２において、図２に
示すユーザ毎のＳＰＤ、ユーザ毎のＳＡＤ等の定義情報
群を設定する手順の詳細を説明する。
予め上記ネットワーク接続装置１０２において、図２に
示すユーザ毎のＳＰＤ、ユーザ毎のＳＡＤ等の定義情報
群を設定する手順の詳細を説明する。
【００５９】即ち、まず上記ネットワーク接続装置１０
２の管理者は、当該ネットワーク接続装置１０２の上記
処理部４０１に対し、上記コンピュータ１０１、１０５
を使用するユーザ毎に、各送信先ＩＰアドレスと、通信
する際のＩＰＳＥＣ処理を行なうか否かの設定を行な
い、ユーザ毎のＳＰＤ（ＳＰＤ−１〜ＳＰＤ−Ｎ）設定
を行う。尚、ユーザを識別する方法については後述す
る。ここで、上記各送信先ＩＰアドレスが、例えば上記
コンピュータ１０４、１０６のＩＰアドレスを指すこと
は、従来例の場合と同様である。又、該設定は上記コン
ピュータ１０１、１０５等の例えばＷＥＢブラウザ等よ
り行うか又は、直接ネットワーク接続装置１０２にて行
うことができる。又、上記各送信先ＩＰアドレスは従来
技術と同様範囲指定が可能である。
２の管理者は、当該ネットワーク接続装置１０２の上記
処理部４０１に対し、上記コンピュータ１０１、１０５
を使用するユーザ毎に、各送信先ＩＰアドレスと、通信
する際のＩＰＳＥＣ処理を行なうか否かの設定を行な
い、ユーザ毎のＳＰＤ（ＳＰＤ−１〜ＳＰＤ−Ｎ）設定
を行う。尚、ユーザを識別する方法については後述す
る。ここで、上記各送信先ＩＰアドレスが、例えば上記
コンピュータ１０４、１０６のＩＰアドレスを指すこと
は、従来例の場合と同様である。又、該設定は上記コン
ピュータ１０１、１０５等の例えばＷＥＢブラウザ等よ
り行うか又は、直接ネットワーク接続装置１０２にて行
うことができる。又、上記各送信先ＩＰアドレスは従来
技術と同様範囲指定が可能である。
【００６０】次に、ＩＰＳＥＣ処理を行なう場合には該
ＩＰＳＥＣ処理に使用するＳＡの内容である認証アルゴ
リズムや認証パラメータ、暗号化アルゴリズムや暗号化
パラメータ等を含むユーザ毎の一連の定義情報群ＳＡＤ
（ＳＡＤ−１〜ＳＡＤ−Ｎ）の設定も行なう。上記設定
により、図２（ａ）に示すユーザ毎のＳＰＤ２０１が上
記ネットワーク接続装置１０２のデータ記憶部４０３に
複数登録され、さらに、上記ＳＡの内容である認証アル
ゴリズムや認証パラメータ、暗号化アルゴリズムや暗号
化パラメータ等を含む一連の定義情報群がユーザ毎のＳ
ＡＤ２０７として登録される。上記登録されたＳＡＤ２
０７が含むＳＡは後述するＩＫＥフェーズ２にてネット
ワーク接続装置１０３に提案される。
ＩＰＳＥＣ処理に使用するＳＡの内容である認証アルゴ
リズムや認証パラメータ、暗号化アルゴリズムや暗号化
パラメータ等を含むユーザ毎の一連の定義情報群ＳＡＤ
（ＳＡＤ−１〜ＳＡＤ−Ｎ）の設定も行なう。上記設定
により、図２（ａ）に示すユーザ毎のＳＰＤ２０１が上
記ネットワーク接続装置１０２のデータ記憶部４０３に
複数登録され、さらに、上記ＳＡの内容である認証アル
ゴリズムや認証パラメータ、暗号化アルゴリズムや暗号
化パラメータ等を含む一連の定義情報群がユーザ毎のＳ
ＡＤ２０７として登録される。上記登録されたＳＡＤ２
０７が含むＳＡは後述するＩＫＥフェーズ２にてネット
ワーク接続装置１０３に提案される。
【００６１】ここで、図２（ａ）に示すユーザ毎のＳＰ
Ｄ２０１は、前記従来技術におけるＳＰＤ１７０１と同
様、送信先アドレス２０２、ＩＰＳＥＣ処理の有無２０
３、ＳＡの位置を示すアドレスポインタ２０４、送信先
ＩＰアドレス２０２にデータを送信する場合に、ＩＰＳ
ＥＣパケットを送信すべき先の通信端末のＩＰアドレス
２０６を含むが、さらにユーザ名２０５によって区別さ
れている点で従来技術と異なる。尚、図２（ａ）にはユ
ーザ毎にＳＰＤを設ける例を示したが、１つのＳＰＤ内
に個々のユーザを識別する項目を設けることによりユー
ザ毎のＳＡを指定してもよい。
Ｄ２０１は、前記従来技術におけるＳＰＤ１７０１と同
様、送信先アドレス２０２、ＩＰＳＥＣ処理の有無２０
３、ＳＡの位置を示すアドレスポインタ２０４、送信先
ＩＰアドレス２０２にデータを送信する場合に、ＩＰＳ
ＥＣパケットを送信すべき先の通信端末のＩＰアドレス
２０６を含むが、さらにユーザ名２０５によって区別さ
れている点で従来技術と異なる。尚、図２（ａ）にはユ
ーザ毎にＳＰＤを設ける例を示したが、１つのＳＰＤ内
に個々のユーザを識別する項目を設けることによりユー
ザ毎のＳＡを指定してもよい。
【００６２】同様に、図２（ｂ）に示すユーザ毎のＳＡ
Ｄ２０７は、図１８に示す従来技術におけるＳＡＤ１８
０１と同様の構成を有し、１つのＳＡＤに複数のＳＡを
含む。例えば、ＳＡＤ−１にはＳＡ−１１からＳＡ−１
Ｍ（２１１）を含み、同様に、ＳＡＤ−ＮにはＳＡ−Ｎ
１からＳＡ−ＮＭを含む。また、アドレス情報２０９、
インデックス情報であるＳＰＩ２１０、セキュリティパ
ラメータであるＳＡＰ２１２を有する。上記アドレス情
報２０９には送信先ＩＰアドレス、送信先ポート番号、
送信元ＩＰアドレス、送信元ポート番号、プロトコル番
号等が含まれる点も、従来技術と同様である。但し、ユ
ーザ名２０８によって区別されている点で従来技術と異
なる。尚、図２（ｂ）にはユーザ毎にＳＡＤを設ける例
を示したが、１つのＳＡＤ内に個々のユーザを識別する
項目を設けることによりユーザ毎のＳＡを管理してもよ
い。
Ｄ２０７は、図１８に示す従来技術におけるＳＡＤ１８
０１と同様の構成を有し、１つのＳＡＤに複数のＳＡを
含む。例えば、ＳＡＤ−１にはＳＡ−１１からＳＡ−１
Ｍ（２１１）を含み、同様に、ＳＡＤ−ＮにはＳＡ−Ｎ
１からＳＡ−ＮＭを含む。また、アドレス情報２０９、
インデックス情報であるＳＰＩ２１０、セキュリティパ
ラメータであるＳＡＰ２１２を有する。上記アドレス情
報２０９には送信先ＩＰアドレス、送信先ポート番号、
送信元ＩＰアドレス、送信元ポート番号、プロトコル番
号等が含まれる点も、従来技術と同様である。但し、ユ
ーザ名２０８によって区別されている点で従来技術と異
なる。尚、図２（ｂ）にはユーザ毎にＳＡＤを設ける例
を示したが、１つのＳＡＤ内に個々のユーザを識別する
項目を設けることによりユーザ毎のＳＡを管理してもよ
い。
【００６３】上記設定が終了すると、上記ネットワーク
接続装置１０２は、後述するユーザ情報を元に、上記設
定の有効性を確認するために、前記従来技術と同様ＩＫ
Ｅフェーズ１及びフェーズ２を用いて、上記ネットワー
ク接続装置１０３と通信を行ない、上記設定された内容
に基づいてＩＰＳＥＣ通信が可能であるかを確認すると
ともに、通信が可能であればＳＡを確立する。尚、前記
ＳＡの確立は、上記設定の終了時に必ずしも行う必要は
なく、例えばコンピュータ１０１とコンピュータ１０４
が上記ネットワーク接続装置１０２及びネットワーク接
続装置１０３を介して通信を開始する場合に行ってもよ
い。
接続装置１０２は、後述するユーザ情報を元に、上記設
定の有効性を確認するために、前記従来技術と同様ＩＫ
Ｅフェーズ１及びフェーズ２を用いて、上記ネットワー
ク接続装置１０３と通信を行ない、上記設定された内容
に基づいてＩＰＳＥＣ通信が可能であるかを確認すると
ともに、通信が可能であればＳＡを確立する。尚、前記
ＳＡの確立は、上記設定の終了時に必ずしも行う必要は
なく、例えばコンピュータ１０１とコンピュータ１０４
が上記ネットワーク接続装置１０２及びネットワーク接
続装置１０３を介して通信を開始する場合に行ってもよ
い。
【００６４】また、上記ネットワーク接続装置１０３に
対しても、上記ネットワーク接続装置１０２に対して行
なった場合と同様、上記コンピュータ１０４、１０６に
ユーザ認証装置を接続する等して、当該コンピュータ１
０４、１０６を使用するユーザ毎に、各送信先ＩＰアド
レスに関する設定を行ってもよい。
対しても、上記ネットワーク接続装置１０２に対して行
なった場合と同様、上記コンピュータ１０４、１０６に
ユーザ認証装置を接続する等して、当該コンピュータ１
０４、１０６を使用するユーザ毎に、各送信先ＩＰアド
レスに関する設定を行ってもよい。
【００６５】続いて、上記コンピュータ１０１を使用す
るユーザの識別方法について説明する。
るユーザの識別方法について説明する。
【００６６】上記コンピュータ１０１を使用するユーザ
は、該コンピュータ１０１の使用時に上記ユーザを特定
することができる固有番号を記憶しているＩＣカードを
上記ユーザ認証装置１１０に通して入力する。次に、該
ユーザ認証装置１１０より上記固有番号に対応するパス
ワードを入力する。上記ユーザ認証装置１１０にて入力
されたＩＣカードの固有番号と上記パスワードが、あら
かじめ設定されているものと一致すれば上記ユーザは認
証され、上記コンピュータ１０１を使用可能となる。ま
た上記ユーザの認証により得られたユーザ名が上記コン
ピュータ１０１に記憶される。
は、該コンピュータ１０１の使用時に上記ユーザを特定
することができる固有番号を記憶しているＩＣカードを
上記ユーザ認証装置１１０に通して入力する。次に、該
ユーザ認証装置１１０より上記固有番号に対応するパス
ワードを入力する。上記ユーザ認証装置１１０にて入力
されたＩＣカードの固有番号と上記パスワードが、あら
かじめ設定されているものと一致すれば上記ユーザは認
証され、上記コンピュータ１０１を使用可能となる。ま
た上記ユーザの認証により得られたユーザ名が上記コン
ピュータ１０１に記憶される。
【００６７】尚、上記ユーザの認証はＩＣカードである
必要は無く、例えば磁気カード、ワンタイムパスワー
ド、指紋、掌形、掌皺、筆跡、虹彩、顔面形状、声紋、
ＤＮＡ等で個人を識別する装置でもよく、さらには、上
記ユーザ認証装置を設けず、上記コンピュータ１０１へ
のユーザ名とパスワードの入力によって上記認証を行っ
てもよい。さらに、上記あらかじめ設定された固有番号
及びパスワードの記憶場所は、上記コンピュータ１０１
である必要は無く、例えば固有番号及びパスワードを一
元管理するコンピュータを別途設け、ユーザの認証時に
上記コンピュータ１０１から上記一元管理するコンピュ
ータに問い合わせを行ってもよい。
必要は無く、例えば磁気カード、ワンタイムパスワー
ド、指紋、掌形、掌皺、筆跡、虹彩、顔面形状、声紋、
ＤＮＡ等で個人を識別する装置でもよく、さらには、上
記ユーザ認証装置を設けず、上記コンピュータ１０１へ
のユーザ名とパスワードの入力によって上記認証を行っ
てもよい。さらに、上記あらかじめ設定された固有番号
及びパスワードの記憶場所は、上記コンピュータ１０１
である必要は無く、例えば固有番号及びパスワードを一
元管理するコンピュータを別途設け、ユーザの認証時に
上記コンピュータ１０１から上記一元管理するコンピュ
ータに問い合わせを行ってもよい。
【００６８】次に、図１、図２、図３を用いて、上記コ
ンピュータ１０１がインターネット１０９を介して接続
される上記コンピュータ１０４と通信を行なう場合の処
理の詳細を説明する。以下の処理は、上述した図４にお
けるセキュリティ種選択手段４０８にて実行される。
ンピュータ１０１がインターネット１０９を介して接続
される上記コンピュータ１０４と通信を行なう場合の処
理の詳細を説明する。以下の処理は、上述した図４にお
けるセキュリティ種選択手段４０８にて実行される。
【００６９】尚、上記ＩＰＳＥＣ通信に使用されるＳＡ
が確立された後、送信側のコンピュータ１０１から上記
コンピュータ１０４に送信されるデータは、上記コンピ
ュータ１０１にてＩＰヘッダを付加され、ＩＰパケット
としてＬＡＮ１０７を介してネットワーク接続装置１０
２に送られる点は前記従来技術と同様である。但し、本
実施の形態においては、加えて上記ユーザ認証にて得ら
れたユーザ名を上記ＩＰヘッダのオプション部に挿入す
る処理が行なわれている。上記オプション部は、上記Ｉ
Ｐヘッダ中でユーザ（設計者）が任意に使用できるデー
タエリアである。
が確立された後、送信側のコンピュータ１０１から上記
コンピュータ１０４に送信されるデータは、上記コンピ
ュータ１０１にてＩＰヘッダを付加され、ＩＰパケット
としてＬＡＮ１０７を介してネットワーク接続装置１０
２に送られる点は前記従来技術と同様である。但し、本
実施の形態においては、加えて上記ユーザ認証にて得ら
れたユーザ名を上記ＩＰヘッダのオプション部に挿入す
る処理が行なわれている。上記オプション部は、上記Ｉ
Ｐヘッダ中でユーザ（設計者）が任意に使用できるデー
タエリアである。
【００７０】ネットワーク接続装置１０２では、送信側
のコンピュータ１０１より送信されたＩＰパケットを受
信すると、まず、該ＩＰパケットに含まれるユーザ名及
び送信先ＩＰアドレスを読み出す（図３：Ｓ３０１）。
つづいて複数のユーザ毎のＳＰＤ２０１より上記ユーザ
名に対応するＳＰＤを選択し、さらに該ユーザ名に対応
するＳＰＤから、上記送信先ＩＰアドレスをもとに送信
先ＩＰアドレス２０２を検索する（図３：Ｓ３０２）。
また、対応するＩＰＳＥＣ処理２０３の有無を確認す
る。
のコンピュータ１０１より送信されたＩＰパケットを受
信すると、まず、該ＩＰパケットに含まれるユーザ名及
び送信先ＩＰアドレスを読み出す（図３：Ｓ３０１）。
つづいて複数のユーザ毎のＳＰＤ２０１より上記ユーザ
名に対応するＳＰＤを選択し、さらに該ユーザ名に対応
するＳＰＤから、上記送信先ＩＰアドレスをもとに送信
先ＩＰアドレス２０２を検索する（図３：Ｓ３０２）。
また、対応するＩＰＳＥＣ処理２０３の有無を確認す
る。
【００７１】ここで、上記ＩＰＳＥＣ処理２０３が”
無”、即ちＩＰＳＥＣ処理を行なわない設定の場合、後
述するＩＰＳＥＣ処理は行なわずに上記受信したＩＰパ
ケットをそのまま上記ネットワーク接続装置１０３に送
信する（図３：Ｓ３０３のＮｏ）。
無”、即ちＩＰＳＥＣ処理を行なわない設定の場合、後
述するＩＰＳＥＣ処理は行なわずに上記受信したＩＰパ
ケットをそのまま上記ネットワーク接続装置１０３に送
信する（図３：Ｓ３０３のＮｏ）。
【００７２】上記ＩＰＳＥＣ処理２０３が”有”、即ち
ＩＰＳＥＣ処理を行う設定である場合、さらに、対応す
る上記ＩＰＳＥＣパケットを送信すべき先の通信端末の
ＩＰアドレス２０６及びＳＡの位置を示すアドレスポイ
ンタ２０４を読み出すと共に、該アドレスポインタ２０
４に基づいて該当するＳＡを読み出す（図３：Ｓ３０
４）。尚、当該ＳＡは、上記ＩＫＥフェーズ２で確立さ
れたＳＡである点は、従来技術と同様である。
ＩＰＳＥＣ処理を行う設定である場合、さらに、対応す
る上記ＩＰＳＥＣパケットを送信すべき先の通信端末の
ＩＰアドレス２０６及びＳＡの位置を示すアドレスポイ
ンタ２０４を読み出すと共に、該アドレスポインタ２０
４に基づいて該当するＳＡを読み出す（図３：Ｓ３０
４）。尚、当該ＳＡは、上記ＩＫＥフェーズ２で確立さ
れたＳＡである点は、従来技術と同様である。
【００７３】次に、上記ネットワーク接続装置１０２
は、上記ＳＡの内容に従い、所定の認証アルゴリズム及
び暗号化アルゴリズムを用いて上記ＩＰパケットから認
証／暗号化データを作成する（図３：Ｓ３０５）。さら
に、上記ネットワーク接続装置１０２は、上記認証／暗
号化データに、認証ヘッダであるＡＨまたは認証／暗号
化ヘッダであるＥＳＰを追加し、次いで、送信先アドレ
スを上記ＩＰＳＥＣパケットを送信すべき先の通信端末
のＩＰアドレス２０６としてインターネット１０９を介
して上記ネットワーク接続装置１０３に送信する（図
３：Ｓ３０６）。
は、上記ＳＡの内容に従い、所定の認証アルゴリズム及
び暗号化アルゴリズムを用いて上記ＩＰパケットから認
証／暗号化データを作成する（図３：Ｓ３０５）。さら
に、上記ネットワーク接続装置１０２は、上記認証／暗
号化データに、認証ヘッダであるＡＨまたは認証／暗号
化ヘッダであるＥＳＰを追加し、次いで、送信先アドレ
スを上記ＩＰＳＥＣパケットを送信すべき先の通信端末
のＩＰアドレス２０６としてインターネット１０９を介
して上記ネットワーク接続装置１０３に送信する（図
３：Ｓ３０６）。
【００７４】以降、上記ネットワーク接続装置１０３
が、受信したＩＰパケットがＩＰＳＥＣパケットである
かを判別し、元のＩＰパケットを生成するまでの処理は
前記従来技術と同様である。
が、受信したＩＰパケットがＩＰＳＥＣパケットである
かを判別し、元のＩＰパケットを生成するまでの処理は
前記従来技術と同様である。
【００７５】以上のように、予めユーザ毎にＳＰＤを設
け、さらに、各通信端末におけるユーザ認証の情報を用
いてセキュリティ通信の内容を示すＳＡを決定するた
め、従来の利便性を損なうことなくユーザに応じて最適
なセキュリティ通信のレベルを設定することが可能とな
る。
け、さらに、各通信端末におけるユーザ認証の情報を用
いてセキュリティ通信の内容を示すＳＡを決定するた
め、従来の利便性を損なうことなくユーザに応じて最適
なセキュリティ通信のレベルを設定することが可能とな
る。
【００７６】尚、上述した実施の形態１では、ネットワ
ーク接続装置にＩＰＳＥＣ機能を搭載しているが、当
然、コンピュータ１０１や１０４等にＩＰＳＥＣ機能を
搭載しセキュリティ通信を行っても問題ない。
ーク接続装置にＩＰＳＥＣ機能を搭載しているが、当
然、コンピュータ１０１や１０４等にＩＰＳＥＣ機能を
搭載しセキュリティ通信を行っても問題ない。
【００７７】尚、ＳＡが確立した状態で、ユーザ名に対
応するＳＰＤを検索した場合で、該当するＳＰＤが無い
場合、及び、ＳＰＤに該当ＩＰアドレスが無い場合（図
示せず）、ユーザにその旨を表示し、セキュリティ処理
を施さずＩＰパケットを送出しても良いし、また、送信
を行わないといったことも可能である。また、ユーザに
送信するかどうか問い合わせるといった対応を行っても
よい。尚、ＳＰＤでＩＰＳＥＣ処理を行わない設定にな
っていた場合は、そのままＩＰＳＥＣ処理を行わず送信
先ＩＰアドレスにＩＰパケットを送出する。
応するＳＰＤを検索した場合で、該当するＳＰＤが無い
場合、及び、ＳＰＤに該当ＩＰアドレスが無い場合（図
示せず）、ユーザにその旨を表示し、セキュリティ処理
を施さずＩＰパケットを送出しても良いし、また、送信
を行わないといったことも可能である。また、ユーザに
送信するかどうか問い合わせるといった対応を行っても
よい。尚、ＳＰＤでＩＰＳＥＣ処理を行わない設定にな
っていた場合は、そのままＩＰＳＥＣ処理を行わず送信
先ＩＰアドレスにＩＰパケットを送出する。
【００７８】さらに、本実施の形態では、セキュリティ
通信のプロトコルをＩＰＳＥＣに限定しているが、ネッ
トワーク接続装置が複数のセキュリティ通信のプロトコ
ルを搭載している場合には、上記ユーザ情報と上記セキ
ュリティ通信のプロトコルを対応付けることにより、ユ
ーザによってセキュリティ通信のプロトコルを使い分け
ることが可能になる。上記セキュリティ通信のプロトコ
ルを使い分けることにより、更に多種多様なセキュリテ
ィ通信を行なうことが出来る。
通信のプロトコルをＩＰＳＥＣに限定しているが、ネッ
トワーク接続装置が複数のセキュリティ通信のプロトコ
ルを搭載している場合には、上記ユーザ情報と上記セキ
ュリティ通信のプロトコルを対応付けることにより、ユ
ーザによってセキュリティ通信のプロトコルを使い分け
ることが可能になる。上記セキュリティ通信のプロトコ
ルを使い分けることにより、更に多種多様なセキュリテ
ィ通信を行なうことが出来る。
【００７９】さらに、本実施の形態ではＩＰＳＥＣを用
いて各ユーザに対応するＳＰＤを指定しているが、ＩＰ
ＳＥＣ以外のプロトコルを用いる場合についても同様で
あり、ユーザ認証情報から対応するＳＰＤもしくはＳＰ
Ｄに相当するデータベースを参照して、ＳＡもしくはＳ
Ａに相当する情報を指定することにより、認証アルゴリ
ズム、暗号化アルゴリズム等の一連の定義情報群を指定
することが出来る。当然、用いるプロトコルの種類によ
ってはＳＰＤを参照せずに直接ＳＡを指定してもよい。
いて各ユーザに対応するＳＰＤを指定しているが、ＩＰ
ＳＥＣ以外のプロトコルを用いる場合についても同様で
あり、ユーザ認証情報から対応するＳＰＤもしくはＳＰ
Ｄに相当するデータベースを参照して、ＳＡもしくはＳ
Ａに相当する情報を指定することにより、認証アルゴリ
ズム、暗号化アルゴリズム等の一連の定義情報群を指定
することが出来る。当然、用いるプロトコルの種類によ
ってはＳＰＤを参照せずに直接ＳＡを指定してもよい。
【００８０】また、ユーザ数が多数の場合等にはユーザ
毎にＳＰＤを作成せず、各ユーザが所属するグループを
作成し、該グループごとにセキュリティ通信のレベルを
変更してもよい。この場合には、ユーザ認証時にグルー
プ情報も併せて管理し、該グループ情報を以て上記ＳＰ
Ｄを参照する。
毎にＳＰＤを作成せず、各ユーザが所属するグループを
作成し、該グループごとにセキュリティ通信のレベルを
変更してもよい。この場合には、ユーザ認証時にグルー
プ情報も併せて管理し、該グループ情報を以て上記ＳＰ
Ｄを参照する。
【００８１】尚、本実施の形態では、ユーザ認証にて得
られたユーザ名をＩＰヘッダのオプション部に挿入する
ことにより、各ＩＰパケットとユーザ名を対応付けてい
るが、例えばユーザ認証時に該認証内容を各コンピュー
タがネットワーク接続装置に通知し、該ネットワーク接
続装置にて各ユーザ名とコンピュータをそれぞれ対応づ
けるデータベースを持つことにより各ＩＰパケットとユ
ーザ名の対応付けを行ってもよい。
られたユーザ名をＩＰヘッダのオプション部に挿入する
ことにより、各ＩＰパケットとユーザ名を対応付けてい
るが、例えばユーザ認証時に該認証内容を各コンピュー
タがネットワーク接続装置に通知し、該ネットワーク接
続装置にて各ユーザ名とコンピュータをそれぞれ対応づ
けるデータベースを持つことにより各ＩＰパケットとユ
ーザ名の対応付けを行ってもよい。
【００８２】〔実施の形態２〕次に、図５、図６を参照
しながら、実施の形態２におけるアプリケーション層の
アドレス情報をＳＡに対応づける方法について説明す
る。ここでアプリケーション層とは、ＯＳＩ参照モデル
の第７層を指し、主に通信処理が関係するアプリケーシ
ョンを意味する。ここで、アプリケーション層のインタ
ーネットアドレス情報はホスト名、あるいはホスト名と
接続プロトコルを組み合わせたＵＲＬ（Uniform Resour
ce Locator) 表記を含むものとする。また、後述するネ
ットワーク接続装置は上記実施の形態１で示した場合と
同様、セキュリティ通信のレベルを変更した場合等で
も、装置を再度起動しなおすことなく変更を反映できる
ものである。
しながら、実施の形態２におけるアプリケーション層の
アドレス情報をＳＡに対応づける方法について説明す
る。ここでアプリケーション層とは、ＯＳＩ参照モデル
の第７層を指し、主に通信処理が関係するアプリケーシ
ョンを意味する。ここで、アプリケーション層のインタ
ーネットアドレス情報はホスト名、あるいはホスト名と
接続プロトコルを組み合わせたＵＲＬ（Uniform Resour
ce Locator) 表記を含むものとする。また、後述するネ
ットワーク接続装置は上記実施の形態１で示した場合と
同様、セキュリティ通信のレベルを変更した場合等で
も、装置を再度起動しなおすことなく変更を反映できる
ものである。
【００８３】図５に示すインターネットアドレスを用い
たＳＰＤ５０１は、インターネットアドレス５０２、送
信先ＩＰアドレス５０３、ＩＰＳＥＣ処理の有無５０
４、ＳＡの位置を示すアドレスポインタ５０５、送信先
ＩＰアドレス５０３にデータを送信する場合に、ＩＰＳ
ＥＣパケットを送信すべき先の通信端末のＩＰアドレス
５０６を備える。上記インターネットアドレス５０２を
備える点を除いては従来技術におけるＳＰＤ１７０１と
同様である。また、上記アドレスポインタ５０５の示す
ＳＡが含まれるＳＡＤの構成も、従来技術のＳＡＤ１８
０１と同様である。さらに、上記インターネットアドレ
ス５０２は具体的には例えば"http://abc.def.com"とい
ったＵＲＬや”abc@def.com"といった電子メールアドレ
ス、同様に電子メールの送受信に使用されるＰＯＰサー
バ（Post Office Protocol サーバ) 、ＳＭＴＰサーバ
(Simple Mail Transfar Protocol サーバ) 等のアドレ
スが格納される。
たＳＰＤ５０１は、インターネットアドレス５０２、送
信先ＩＰアドレス５０３、ＩＰＳＥＣ処理の有無５０
４、ＳＡの位置を示すアドレスポインタ５０５、送信先
ＩＰアドレス５０３にデータを送信する場合に、ＩＰＳ
ＥＣパケットを送信すべき先の通信端末のＩＰアドレス
５０６を備える。上記インターネットアドレス５０２を
備える点を除いては従来技術におけるＳＰＤ１７０１と
同様である。また、上記アドレスポインタ５０５の示す
ＳＡが含まれるＳＡＤの構成も、従来技術のＳＡＤ１８
０１と同様である。さらに、上記インターネットアドレ
ス５０２は具体的には例えば"http://abc.def.com"とい
ったＵＲＬや”abc@def.com"といった電子メールアドレ
ス、同様に電子メールの送受信に使用されるＰＯＰサー
バ（Post Office Protocol サーバ) 、ＳＭＴＰサーバ
(Simple Mail Transfar Protocol サーバ) 等のアドレ
スが格納される。
【００８４】まず始めに図６を用いて本実施の形態２に
おける、アプリケーション層のアドレス情報をＳＡに対
応づける具体的な操作の例を説明する。図６はＩＰＳＥ
Ｃ機能を搭載したネットワーク接続装置の設定を行うコ
ンピュータ等の通信端末装置の概略図である。
おける、アプリケーション層のアドレス情報をＳＡに対
応づける具体的な操作の例を説明する。図６はＩＰＳＥ
Ｃ機能を搭載したネットワーク接続装置の設定を行うコ
ンピュータ等の通信端末装置の概略図である。
【００８５】図６において、通信端末装置本体６０８
は、制御手段６０９、ディスプレイ６０１、ネットワー
ク接続装置管理手段６１０、入力手段６１１、指示入力
手段６１２を備える。また、後述する各ソフトウェアは
上記制御手段６０９又は該上記制御手段６０９を構成す
る上記ネットワーク接続装置管理手段にて実行される。
また、上記通信端末装置本体６０８を使用するユーザに
対する情報の表示等は、必要に応じて上記各ソフトウェ
アの表示機能により上記ディスプレイ６０１に表示され
る。
は、制御手段６０９、ディスプレイ６０１、ネットワー
ク接続装置管理手段６１０、入力手段６１１、指示入力
手段６１２を備える。また、後述する各ソフトウェアは
上記制御手段６０９又は該上記制御手段６０９を構成す
る上記ネットワーク接続装置管理手段にて実行される。
また、上記通信端末装置本体６０８を使用するユーザに
対する情報の表示等は、必要に応じて上記各ソフトウェ
アの表示機能により上記ディスプレイ６０１に表示され
る。
【００８６】まず、上記通信端末装置本体６０８の上記
制御手段６０９にて、アプリケーション層のアドレス情
報となるＵＲＬ６０３を表示するアプリケーションソフ
トウェアであるＷＥＢ閲覧ソフトウェア６０２等を実行
する。
制御手段６０９にて、アプリケーション層のアドレス情
報となるＵＲＬ６０３を表示するアプリケーションソフ
トウェアであるＷＥＢ閲覧ソフトウェア６０２等を実行
する。
【００８７】さらに、上記ネットワーク接続装置管理手
段６１０にて、ネットワーク接続装置管理ソフトウェア
６０５を実行する。該ネットワーク接続装置管理ソフト
ウェア６０５は、パラメータ設定用ウインドウ６０６及
び設定ボタン６０７を表示する機能を有し、上記パラメ
ータ設定用ウインドウ６０６には上記ネットワーク接続
装置がサポートする複数のＳＡが表示されている。尚、
上記複数のＳＡは、認証アルゴリズム、暗号化アルゴリ
ズム等が異なり、この違いによりセキュリティ通信のレ
ベルが異なるものである。又、上記ディスプレイ６０１
は上記ネットワーク接続装置に直接接続され、該ネット
ワーク接続装置が上記制御手段６０９及びネットワーク
接続装置管理手段６１０の機能を提供してもよいが、ネ
ットワーク接続装置とネットワークを介して接続されて
いるコンピュータ（例えばコンピュータ１０１）にて上
記制御手段６０９及びネットワーク接続装置管理手段６
１０の機能を提供してもよい。この場合には、上記操作
は上記コンピュータによって行われ、通信によって上記
操作の変更が上記ネットワーク接続装置に反映される。
段６１０にて、ネットワーク接続装置管理ソフトウェア
６０５を実行する。該ネットワーク接続装置管理ソフト
ウェア６０５は、パラメータ設定用ウインドウ６０６及
び設定ボタン６０７を表示する機能を有し、上記パラメ
ータ設定用ウインドウ６０６には上記ネットワーク接続
装置がサポートする複数のＳＡが表示されている。尚、
上記複数のＳＡは、認証アルゴリズム、暗号化アルゴリ
ズム等が異なり、この違いによりセキュリティ通信のレ
ベルが異なるものである。又、上記ディスプレイ６０１
は上記ネットワーク接続装置に直接接続され、該ネット
ワーク接続装置が上記制御手段６０９及びネットワーク
接続装置管理手段６１０の機能を提供してもよいが、ネ
ットワーク接続装置とネットワークを介して接続されて
いるコンピュータ（例えばコンピュータ１０１）にて上
記制御手段６０９及びネットワーク接続装置管理手段６
１０の機能を提供してもよい。この場合には、上記操作
は上記コンピュータによって行われ、通信によって上記
操作の変更が上記ネットワーク接続装置に反映される。
【００８８】上記ネットワーク接続装置の設定を行うユ
ーザは、上記通信端末装置本体６０８にて、ディスプレ
イ６０１に表示されているアドレス情報である上記ＵＲ
Ｌ６０３等を指示入力手段６１２を用いてドラッグし、
上記パラメータ設定用ウインドウ６０６に表示されてい
る複数のＳＡの内の希望する任意の一つにドロップす
る。上記指示入力手段６１２とは、例えばコンピュータ
にて一般的に使用されるマウス、トラックボール、ジョ
イスティック、タッチペン、指等のポインタ指示手段で
あり、該指示入力手段６１２が指し示すディスプレイ６
０１上の位置がポインタ６０４として表示される。この
操作により上記アプリケーション層のアドレス情報をＳ
Ａに対応づけることができる。続いて上記設定ボタン６
０７をクリックすることにより、上記ネットワーク接続
装置にて後述する設定処理が行われる。尚、設定ボタン
６０７をクリックした場合、ＩＰＳＥＣ通信の途中であ
っても、当該通信を中断して、直ちに当該設定更新処理
を行うか、当該通信が終了してから直ちに当該設定更新
処理を行うかは設定等で選択できるものとする。また、
通信を行う場合に初めて当該設定変更があった通信先と
セキュリティ通信のための接続を行うか、直ちに前記接
続を行うかについても設定等で選択が可能であるものと
する。
ーザは、上記通信端末装置本体６０８にて、ディスプレ
イ６０１に表示されているアドレス情報である上記ＵＲ
Ｌ６０３等を指示入力手段６１２を用いてドラッグし、
上記パラメータ設定用ウインドウ６０６に表示されてい
る複数のＳＡの内の希望する任意の一つにドロップす
る。上記指示入力手段６１２とは、例えばコンピュータ
にて一般的に使用されるマウス、トラックボール、ジョ
イスティック、タッチペン、指等のポインタ指示手段で
あり、該指示入力手段６１２が指し示すディスプレイ６
０１上の位置がポインタ６０４として表示される。この
操作により上記アプリケーション層のアドレス情報をＳ
Ａに対応づけることができる。続いて上記設定ボタン６
０７をクリックすることにより、上記ネットワーク接続
装置にて後述する設定処理が行われる。尚、設定ボタン
６０７をクリックした場合、ＩＰＳＥＣ通信の途中であ
っても、当該通信を中断して、直ちに当該設定更新処理
を行うか、当該通信が終了してから直ちに当該設定更新
処理を行うかは設定等で選択できるものとする。また、
通信を行う場合に初めて当該設定変更があった通信先と
セキュリティ通信のための接続を行うか、直ちに前記接
続を行うかについても設定等で選択が可能であるものと
する。
【００８９】次に、図４、図５、図７を用いて、上記ユ
ーザによる操作が終了した後の上記ネットワーク接続装
置にて行われる設定処理を説明する。まず、ネットワー
ク接続装置の設定を行うユーザが上述したように上記ア
プリケーション層のアドレス情報をＳＡに対応づけた
後、上記ネットワーク接続装置の処理部４０１はデータ
記憶部４０３に格納されるＳＰＤ５０１のインターネッ
トアドレス５０２にアプリケーション層のアドレス情報
を格納する（図７：Ｓ７０１〜Ｓ７０２）。
ーザによる操作が終了した後の上記ネットワーク接続装
置にて行われる設定処理を説明する。まず、ネットワー
ク接続装置の設定を行うユーザが上述したように上記ア
プリケーション層のアドレス情報をＳＡに対応づけた
後、上記ネットワーク接続装置の処理部４０１はデータ
記憶部４０３に格納されるＳＰＤ５０１のインターネッ
トアドレス５０２にアプリケーション層のアドレス情報
を格納する（図７：Ｓ７０１〜Ｓ７０２）。
【００９０】次に上記処理部４０１はＤＮＳサーバ（Do
main Name System サーバ) を用いて上記アドレス情報
をＩＰアドレスに変換する（図７：Ｓ７０３）。ここ
に、ＤＮＳサーバとは、インターネット接続環境があれ
ば一般的に使用できるサービスで、上記アドレス情報で
ある例えば"abc.def.com" といった文字列を用いて問い
合わせることにより、上記"abc.def.com" に対応するＩ
Ｐアドレスを回答するサーバである。次に、上記処理部
４０１は、上記変換したＩＰアドレスを上記ＳＰＤ５０
１の送信先ＩＰアドレス５０３に格納し、さらに上記デ
ータ記憶部４０３に格納されるＳＡＤ１８０１を構成す
るアドレス情報１８０４に必要な、送信先ＩＰアドレ
ス、送信先ポート番号、送信元ＩＰアドレス、送信元ポ
ート番号、プロトコル番号等をそれぞれ上記ＳＡＤに格
納する（図７：Ｓ７０４）。ここで、上記送信先、送信
元ポート番号及びプロトコル番号は、例えば上記アドレ
ス情報の一部である”http”により判断される。
main Name System サーバ) を用いて上記アドレス情報
をＩＰアドレスに変換する（図７：Ｓ７０３）。ここ
に、ＤＮＳサーバとは、インターネット接続環境があれ
ば一般的に使用できるサービスで、上記アドレス情報で
ある例えば"abc.def.com" といった文字列を用いて問い
合わせることにより、上記"abc.def.com" に対応するＩ
Ｐアドレスを回答するサーバである。次に、上記処理部
４０１は、上記変換したＩＰアドレスを上記ＳＰＤ５０
１の送信先ＩＰアドレス５０３に格納し、さらに上記デ
ータ記憶部４０３に格納されるＳＡＤ１８０１を構成す
るアドレス情報１８０４に必要な、送信先ＩＰアドレ
ス、送信先ポート番号、送信元ＩＰアドレス、送信元ポ
ート番号、プロトコル番号等をそれぞれ上記ＳＡＤに格
納する（図７：Ｓ７０４）。ここで、上記送信先、送信
元ポート番号及びプロトコル番号は、例えば上記アドレ
ス情報の一部である”http”により判断される。
【００９１】上記ＳＰＤ５０１及びＳＡＤ１８０１に必
要な情報がそろった後、上記ネットワーク接続装置のセ
キュリティ選択手段４０８は、上記設定による接続の確
認を行うかをユーザに問い合わせる（図７：Ｓ７０
５）。尚、ユーザへの問い合わせは、別途設定で自動的
に行うかどうかを設定してもよく、また、接続の確認を
行う設定アイコン又はボタンを設けて、その設定アイコ
ンまたはボタンが押されたら接続の確認を行うようにし
てもよい。
要な情報がそろった後、上記ネットワーク接続装置のセ
キュリティ選択手段４０８は、上記設定による接続の確
認を行うかをユーザに問い合わせる（図７：Ｓ７０
５）。尚、ユーザへの問い合わせは、別途設定で自動的
に行うかどうかを設定してもよく、また、接続の確認を
行う設定アイコン又はボタンを設けて、その設定アイコ
ンまたはボタンが押されたら接続の確認を行うようにし
てもよい。
【００９２】接続の確認を行う場合は、上記送信先ＩＰ
アドレスに対して従来技術同様ＩＫＥフェーズ１、フェ
ーズ２及び、新たに設定された上記ＳＰＤ５０１及びＳ
ＡＤ１８０１の情報を用いて接続確認を行い、該結果を
ユーザに通知する（図７：Ｓ７０５のＹｅｓ→Ｓ７０
７）。以上の処理により、アプリケーション層のアドレ
ス情報のＳＡへの対応付けが完了する。設定後は、上記
新たに設定されたＳＰＤ５０１及びＳＡＤ１８０１を用
いてセキュリティ通信が行われる。
アドレスに対して従来技術同様ＩＫＥフェーズ１、フェ
ーズ２及び、新たに設定された上記ＳＰＤ５０１及びＳ
ＡＤ１８０１の情報を用いて接続確認を行い、該結果を
ユーザに通知する（図７：Ｓ７０５のＹｅｓ→Ｓ７０
７）。以上の処理により、アプリケーション層のアドレ
ス情報のＳＡへの対応付けが完了する。設定後は、上記
新たに設定されたＳＰＤ５０１及びＳＡＤ１８０１を用
いてセキュリティ通信が行われる。
【００９３】尚、上記接続確認は、特にユーザに問い合
わせる必要はなく、自動で確認を行うようにしてもよ
い。又、後述するセキュリティ情報装置を導入すること
で上記ＩＰＳＥＣ機能を搭載した通信端末のＩＰアドレ
スの入力を自動で行うことも可能となる。
わせる必要はなく、自動で確認を行うようにしてもよ
い。又、後述するセキュリティ情報装置を導入すること
で上記ＩＰＳＥＣ機能を搭載した通信端末のＩＰアドレ
スの入力を自動で行うことも可能となる。
【００９４】このように、普段よく使用するアプリケー
ションで指定するアドレス情報を用いてＳＡの設定を行
うことにより、専門知識のないユーザでもＳＡの指定を
容易に行うことが出来る。
ションで指定するアドレス情報を用いてＳＡの設定を行
うことにより、専門知識のないユーザでもＳＡの指定を
容易に行うことが出来る。
【００９５】さらに、上記パラメータ設定用ウインドウ
６０６のＳＡの表示を、例えば”セキュリティ高”、”
セキュリティ中”、”セキュリテイ低”、”セキュリテ
ィ無し”といった表示にすることにより、ユーザによる
アドレス情報のＳＡへの対応付けをより分かりやすくす
ることが出来る。
６０６のＳＡの表示を、例えば”セキュリティ高”、”
セキュリティ中”、”セキュリテイ低”、”セキュリテ
ィ無し”といった表示にすることにより、ユーザによる
アドレス情報のＳＡへの対応付けをより分かりやすくす
ることが出来る。
【００９６】尚、本実施の形態２ではＩＰＳＥＣを用い
た場合のアドレス情報のＳＡへの対応付け例を示してい
るが、ＩＰＳＥＣ以外のプロトコルを用いる場合につい
ても同様である。
た場合のアドレス情報のＳＡへの対応付け例を示してい
るが、ＩＰＳＥＣ以外のプロトコルを用いる場合につい
ても同様である。
【００９７】当然、上記実施の形態１にて実施されるユ
ーザ毎のセキュリティ通信と同時に実施しても何ら問題
ない。この場合のＳＰＤの例を図８のＳＰＤ８０１に示
す。
ーザ毎のセキュリティ通信と同時に実施しても何ら問題
ない。この場合のＳＰＤの例を図８のＳＰＤ８０１に示
す。
【００９８】〔実施の形態３〕次に、図９、図１０、図
１１、図１２、図１３を参照しながら、実施の形態３に
おけるセキュリティ情報装置の機能について説明する。
図９に示す各種機器等１０１〜１１１は図１に示したも
のと同様であるが、さらにネットワーク接続装置９０２
を介してセキュリティ情報装置９０１がインターネット
１０９に接続されている。ここで、上記ネットワーク接
続装置９０２は特にＩＰＳＥＣ機能を搭載している必要
はなく、上記セキュリティ情報装置９０１に対する外部
からの不正なアクセスを防ぐものであればよい。
１１、図１２、図１３を参照しながら、実施の形態３に
おけるセキュリティ情報装置の機能について説明する。
図９に示す各種機器等１０１〜１１１は図１に示したも
のと同様であるが、さらにネットワーク接続装置９０２
を介してセキュリティ情報装置９０１がインターネット
１０９に接続されている。ここで、上記ネットワーク接
続装置９０２は特にＩＰＳＥＣ機能を搭載している必要
はなく、上記セキュリティ情報装置９０１に対する外部
からの不正なアクセスを防ぐものであればよい。
【００９９】上記セキュリティ情報装置９０１は、図１
３（ａ）に示される構成を有する。即ち、推奨ＳＡ管理
手段１３０１、記憶手段１３０２を具備し、上記推奨Ｓ
Ａ管理手段１３０１は、送受信手段１３０４を介して上
記ネットワーク接続装置９０２と接続されている。ま
た、図１１に示す推奨するＳＡを検索するための第１の
データベース１１０１及び、図１２に示す推奨するＳＡ
を検索するための第２のデータベース１２０１が、上記
記憶手段１３０２に格納されており、必要に応じて上記
推奨ＳＡ管理手段が読み出し可能である。
３（ａ）に示される構成を有する。即ち、推奨ＳＡ管理
手段１３０１、記憶手段１３０２を具備し、上記推奨Ｓ
Ａ管理手段１３０１は、送受信手段１３０４を介して上
記ネットワーク接続装置９０２と接続されている。ま
た、図１１に示す推奨するＳＡを検索するための第１の
データベース１１０１及び、図１２に示す推奨するＳＡ
を検索するための第２のデータベース１２０１が、上記
記憶手段１３０２に格納されており、必要に応じて上記
推奨ＳＡ管理手段が読み出し可能である。
【０１００】また、ネットワーク接続装置１０２、１０
３は、図１３（ｂ）に示すように送受信手段１３０８、
記憶手段１３０９、制御手段１３０５を備え、該制御手
段１３０５はさらに問い合わせ手段１３０６及び問い合
わせ回答手段１３０７を備える。
３は、図１３（ｂ）に示すように送受信手段１３０８、
記憶手段１３０９、制御手段１３０５を備え、該制御手
段１３０５はさらに問い合わせ手段１３０６及び問い合
わせ回答手段１３０７を備える。
【０１０１】次に、コンピュータ１０４は、図１３
（ｃ）に示すように送受信手段１３１２問い合わせ回答
手段１３１１を備える。尚、各手段の機能は適宜説明す
る。
（ｃ）に示すように送受信手段１３１２問い合わせ回答
手段１３１１を備える。尚、各手段の機能は適宜説明す
る。
【０１０２】上記第１のデータベースは、送信先ＩＰア
ドレス１１０２、ＩＰＳＥＣパケットを送信すべき先の
通信端末のＩＰアドレス１１０３、ＩＰＳＥＣ処理の有
無１１０４、ＳＡの位置を表すアドレスポインタ１１０
５より構成される。ここで、上記送信先ＩＰアドレス１
１０２及びＩＰＳＥＣパケットを送信すべき先の通信端
末のＩＰアドレス１１０３は、ＩＰアドレスの範囲を登
録することも可能である。また、上記ＩＰＳＥＣパケッ
トを送信すべき先の通信端末のＩＰアドレス１１０３
は、ＩＰアドレス１１０２に対してＩＰＳＥＣ処理を行
う、ＩＰＳＥＣ機能を搭載した通信端末のＩＰアドレス
である。
ドレス１１０２、ＩＰＳＥＣパケットを送信すべき先の
通信端末のＩＰアドレス１１０３、ＩＰＳＥＣ処理の有
無１１０４、ＳＡの位置を表すアドレスポインタ１１０
５より構成される。ここで、上記送信先ＩＰアドレス１
１０２及びＩＰＳＥＣパケットを送信すべき先の通信端
末のＩＰアドレス１１０３は、ＩＰアドレスの範囲を登
録することも可能である。また、上記ＩＰＳＥＣパケッ
トを送信すべき先の通信端末のＩＰアドレス１１０３
は、ＩＰアドレス１１０２に対してＩＰＳＥＣ処理を行
う、ＩＰＳＥＣ機能を搭載した通信端末のＩＰアドレス
である。
【０１０３】更に図１２は、推奨するＳＡを格納する第
２のデータベース１２０１であり、複数の推奨ＳＡが格
納されている。該推奨ＳＡとは、送信先であるＩＰＳＥ
Ｃ機能を搭載した通信端末が推奨するＳＡや、第３者機
関が規定したＳＡであり、送信先の提供するサービスに
よってセキュリティ通信のレベルが異なる。尚、図１０
は、理解に供するため、図９から説明に不必要な機器を
省略したものである。本実施の形態３では、まず、図９
において、ネットワーク接続装置１０２が、ＩＰＳＥＣ
通信を行おうとするネットワーク接続装置１０３との間
でＳＡの確立を行う前に、セキュリティ情報装置９０１
に上記ＩＰＳＥＣ通信にふさわしい推奨ＳＡを問い合わ
せる。上記ネットワーク接続装置１０２とネットワーク
接続装置１０３との間でＳＡの確立を行うのは、例えば
上記ネットワーク接続装置１０２及びネットワーク接続
装置１０３の初期設定時や、コンピュータ１０１とコン
ピュータ１０４が上記ネットワーク接続装置１０２及び
ネットワーク接続装置１０３を介して通信を開始する場
合等である。尚、推奨ＳＡでＳＡの確立を図ったにもか
かわらず、希望する推奨ＳＡでＳＡが確立できない場
合、送信を中止する、あるいはユーザに問い合わせる、
そのまま推奨ＳＡ以外のＳＡでＳＡ確立を行い、ＩＰＳ
ＥＣ通信を行う等の方法が考えられる。
２のデータベース１２０１であり、複数の推奨ＳＡが格
納されている。該推奨ＳＡとは、送信先であるＩＰＳＥ
Ｃ機能を搭載した通信端末が推奨するＳＡや、第３者機
関が規定したＳＡであり、送信先の提供するサービスに
よってセキュリティ通信のレベルが異なる。尚、図１０
は、理解に供するため、図９から説明に不必要な機器を
省略したものである。本実施の形態３では、まず、図９
において、ネットワーク接続装置１０２が、ＩＰＳＥＣ
通信を行おうとするネットワーク接続装置１０３との間
でＳＡの確立を行う前に、セキュリティ情報装置９０１
に上記ＩＰＳＥＣ通信にふさわしい推奨ＳＡを問い合わ
せる。上記ネットワーク接続装置１０２とネットワーク
接続装置１０３との間でＳＡの確立を行うのは、例えば
上記ネットワーク接続装置１０２及びネットワーク接続
装置１０３の初期設定時や、コンピュータ１０１とコン
ピュータ１０４が上記ネットワーク接続装置１０２及び
ネットワーク接続装置１０３を介して通信を開始する場
合等である。尚、推奨ＳＡでＳＡの確立を図ったにもか
かわらず、希望する推奨ＳＡでＳＡが確立できない場
合、送信を中止する、あるいはユーザに問い合わせる、
そのまま推奨ＳＡ以外のＳＡでＳＡ確立を行い、ＩＰＳ
ＥＣ通信を行う等の方法が考えられる。
【０１０４】ここでコンピュータ１０１とコンピュータ
１０４が上記ネットワーク接続装置１０２及びネットワ
ーク接続装置１０３を介して通信を開始する場合の上記
推奨ＳＡの問い合わせを想定すると以下のようになる。
１０４が上記ネットワーク接続装置１０２及びネットワ
ーク接続装置１０３を介して通信を開始する場合の上記
推奨ＳＡの問い合わせを想定すると以下のようになる。
【０１０５】即ち、ネットワーク接続装置１０２が上記
コンピュータ１０１より上記コンピュータ１０４に送信
するＩＰパケットを上記送受信手段１３０８を介して受
信すると、上記制御手段１３０５は上記ネットワーク接
続装置１０２の上記記憶手段１３０９に格納されるＳＰ
Ｄを読み出す。
コンピュータ１０１より上記コンピュータ１０４に送信
するＩＰパケットを上記送受信手段１３０８を介して受
信すると、上記制御手段１３０５は上記ネットワーク接
続装置１０２の上記記憶手段１３０９に格納されるＳＰ
Ｄを読み出す。
【０１０６】ここで該ＳＰＤに上記コンピュータ１０４
の情報がない場合、上記ネットワーク接続装置１０２
は、上記問い合わせ手段１３０６により、セキュリティ
情報装置９０１に上記ＩＰＳＥＣ通信にふさわしい推奨
ＳＡを問い合わせる（図１０Ｓ１００１）。尚、上記セ
キュリティ情報装置９０１のアドレスは予め上記ネット
ワーク接続装置１０２の記憶手段１３０９に格納されて
いるものとする。
の情報がない場合、上記ネットワーク接続装置１０２
は、上記問い合わせ手段１３０６により、セキュリティ
情報装置９０１に上記ＩＰＳＥＣ通信にふさわしい推奨
ＳＡを問い合わせる（図１０Ｓ１００１）。尚、上記セ
キュリティ情報装置９０１のアドレスは予め上記ネット
ワーク接続装置１０２の記憶手段１３０９に格納されて
いるものとする。
【０１０７】上記推奨ＳＡの問い合わせにあたり、上記
ネットワーク接続装置１０２は、送信先のコンピュータ
１０４のＩＰアドレスを上記セキュリティ情報装置９０
１に送信する。上記送受信手段１３０４を介して上記コ
ンピュータ１０４のＩＰアドレスを受信した上記セキュ
リティ情報装置９０１の推奨ＳＡ管理手段１３０１は、
上記コンピュータ１０４のＩＰアドレスを基に、上記記
憶手段１３０２に格納されている上記第１のデータベー
ス１１０１の送信先ＩＰアドレス１１０２を検索し、対
応する上記ＩＰＳＥＣパケットを送信すべき先の通信端
末のＩＰアドレス１１０３、ＩＰＳＥＣ処理の有無１１
０４及び、ＳＡの位置を表すアドレスポインタ１１０５
を得る。
ネットワーク接続装置１０２は、送信先のコンピュータ
１０４のＩＰアドレスを上記セキュリティ情報装置９０
１に送信する。上記送受信手段１３０４を介して上記コ
ンピュータ１０４のＩＰアドレスを受信した上記セキュ
リティ情報装置９０１の推奨ＳＡ管理手段１３０１は、
上記コンピュータ１０４のＩＰアドレスを基に、上記記
憶手段１３０２に格納されている上記第１のデータベー
ス１１０１の送信先ＩＰアドレス１１０２を検索し、対
応する上記ＩＰＳＥＣパケットを送信すべき先の通信端
末のＩＰアドレス１１０３、ＩＰＳＥＣ処理の有無１１
０４及び、ＳＡの位置を表すアドレスポインタ１１０５
を得る。
【０１０８】さらに、上記推奨ＳＡ管理手段１３０１
は、上記アドレスポインタ１１０５を用いて上記記憶手
段１３０２に格納されている第２のデータベース１２０
１より推奨ＳＡを得、該推奨するＳＡを、上記送受信手
段１３０４を介してＩＰＳＥＣパケットを送信すべき先
の通信端末のＩＰアドレス１１０３、ＩＰＳＥＣ処理の
有無１１０４と共に上記ネットワーク接続装置１０２に
返送する（図１０Ｓ１００２）。
は、上記アドレスポインタ１１０５を用いて上記記憶手
段１３０２に格納されている第２のデータベース１２０
１より推奨ＳＡを得、該推奨するＳＡを、上記送受信手
段１３０４を介してＩＰＳＥＣパケットを送信すべき先
の通信端末のＩＰアドレス１１０３、ＩＰＳＥＣ処理の
有無１１０４と共に上記ネットワーク接続装置１０２に
返送する（図１０Ｓ１００２）。
【０１０９】ここで、上記ＩＰＳＥＣパケットを送信す
べき先の通信端末のＩＰアドレス１１０３には、予め登
録された上記ネットワーク接続装置１０３のＩＰアドレ
スが記憶されている。尚、返送する推奨ＳＡの数は複数
であっても構わない。
べき先の通信端末のＩＰアドレス１１０３には、予め登
録された上記ネットワーク接続装置１０３のＩＰアドレ
スが記憶されている。尚、返送する推奨ＳＡの数は複数
であっても構わない。
【０１１０】次に、上記推奨ＳＡ、上記ＩＰＳＥＣパケ
ットを送信すべき先の通信端末のＩＰアドレス１１０３
及びＩＰＳＥＣ処理の有無１１０４を受信したネットワ
ーク接続装置１０２の上記制御手段１３０５は、上記受
信したＩＰＳＥＣパケットを送信すべき先の通信端末の
ＩＰアドレス１１０３に基づいてネットワーク接続装置
１０３との間で、従来技術で説明したＳＡの確立を行
い、ＩＫＥフェーズ２におけるＳＡの候補として、推奨
ＳＡを提案する（図１０Ｓ１００３）。
ットを送信すべき先の通信端末のＩＰアドレス１１０３
及びＩＰＳＥＣ処理の有無１１０４を受信したネットワ
ーク接続装置１０２の上記制御手段１３０５は、上記受
信したＩＰＳＥＣパケットを送信すべき先の通信端末の
ＩＰアドレス１１０３に基づいてネットワーク接続装置
１０３との間で、従来技術で説明したＳＡの確立を行
い、ＩＫＥフェーズ２におけるＳＡの候補として、推奨
ＳＡを提案する（図１０Ｓ１００３）。
【０１１１】ネットワーク接続装置１０３は受け取った
推奨ＳＡでのＩＰＳＥＣ通信が可能な場合は、ネットワ
ーク接続装置１０２に該推奨ＳＡを返送し、ＳＡの確立
が行われる（図１０Ｓ１００４）。
推奨ＳＡでのＩＰＳＥＣ通信が可能な場合は、ネットワ
ーク接続装置１０２に該推奨ＳＡを返送し、ＳＡの確立
が行われる（図１０Ｓ１００４）。
【０１１２】従って、上記ネットワーク接続装置１０２
がセキュリティ情報装置９０１に推奨ＳＡを問い合わせ
ることによって、相手先と安全に通信が可能なＳＡを知
ることができ、該推奨ＳＡによるＩＰＳＥＣ通信が可能
となる。
がセキュリティ情報装置９０１に推奨ＳＡを問い合わせ
ることによって、相手先と安全に通信が可能なＳＡを知
ることができ、該推奨ＳＡによるＩＰＳＥＣ通信が可能
となる。
【０１１３】ここで、上記ネットワーク通信装置１０２
が上記ＩＰＳＥＣ通信にふさわしい推奨ＳＡの問い合わ
せを行った場合で、上記セキュリティ情報装置９０１の
上記第１のデータベース中に該当ＩＰアドレスの登録が
ない場合が考えられる（図１０Ｓ１００１）。
が上記ＩＰＳＥＣ通信にふさわしい推奨ＳＡの問い合わ
せを行った場合で、上記セキュリティ情報装置９０１の
上記第１のデータベース中に該当ＩＰアドレスの登録が
ない場合が考えられる（図１０Ｓ１００１）。
【０１１４】このような場合、上記セキュリティ情報装
置９０１の上記推奨ＳＡ管理手段１３０１は、該当する
コンピュータ１０４に、セキュリティ通信に必要なＳＡ
の候補を問い合わせる（図１０Ｓ１００５）。
置９０１の上記推奨ＳＡ管理手段１３０１は、該当する
コンピュータ１０４に、セキュリティ通信に必要なＳＡ
の候補を問い合わせる（図１０Ｓ１００５）。
【０１１５】問い合わせを受けた上記コンピュータ１０
４は、問い合わせ回答手段１３１１により、該コンピュ
ータ１０４に予め登録されている、ＩＰＳＥＣ機能を搭
載したネットワーク接続装置１０３のＩＰアドレスを上
記セキュリティ情報装置９０１に返送する（図１０Ｓ１
００６）。
４は、問い合わせ回答手段１３１１により、該コンピュ
ータ１０４に予め登録されている、ＩＰＳＥＣ機能を搭
載したネットワーク接続装置１０３のＩＰアドレスを上
記セキュリティ情報装置９０１に返送する（図１０Ｓ１
００６）。
【０１１６】上記ＩＰＳＥＣ機能を搭載したネットワー
ク接続装置１０３のＩＰアドレスを受信した上記セキュ
リティ情報装置９０１の推奨ＳＡ管理手段１３０１は、
上記ネットワーク接続装置１０３に対しＳＡの候補を問
い合わせる（図１０Ｓ１００７）。問い合わせを受けた
上記ネットワーク接続装置１０３の制御手段１３０５
は、該ネットワーク接続装置１０３の記憶手段１３０９
に格納されているＳＡの候補を、問い合わせ回答手段１
３０７により上記認証サーバ９０１に送信する（図１０
Ｓ１００８）。
ク接続装置１０３のＩＰアドレスを受信した上記セキュ
リティ情報装置９０１の推奨ＳＡ管理手段１３０１は、
上記ネットワーク接続装置１０３に対しＳＡの候補を問
い合わせる（図１０Ｓ１００７）。問い合わせを受けた
上記ネットワーク接続装置１０３の制御手段１３０５
は、該ネットワーク接続装置１０３の記憶手段１３０９
に格納されているＳＡの候補を、問い合わせ回答手段１
３０７により上記認証サーバ９０１に送信する（図１０
Ｓ１００８）。
【０１１７】上記ＳＡの候補を受信したセキュリティ情
報装置９０１の推奨ＳＡ管理手段１３０１は、上記第２
のデータベース１２０１に上記候補のＳＡを登録すると
ともに、上記第１のデータベース１１０１に上記ネット
ワーク通信装置１０２より問い合わせに使用されたＩＰ
アドレスと上記候補のＳＡの位置を表すアドレスポイン
タ１１０５、ＩＰＳＥＣパケットを送信すべき先の通信
端末のＩＰアドレス１１０３、ＩＰＳＥＣ処理の有無１
１０４を登録する。さらに、上記推奨するＳＡを、上記
送受信手段１３０４を介してＩＰＳＥＣパケットを送信
すべき先の通信端末のＩＰアドレス１１０３、ＩＰＳＥ
Ｃ処理の有無１１０４と共に上記ネットワーク接続装置
１０２に返送する（図１０Ｓ１００２）。
報装置９０１の推奨ＳＡ管理手段１３０１は、上記第２
のデータベース１２０１に上記候補のＳＡを登録すると
ともに、上記第１のデータベース１１０１に上記ネット
ワーク通信装置１０２より問い合わせに使用されたＩＰ
アドレスと上記候補のＳＡの位置を表すアドレスポイン
タ１１０５、ＩＰＳＥＣパケットを送信すべき先の通信
端末のＩＰアドレス１１０３、ＩＰＳＥＣ処理の有無１
１０４を登録する。さらに、上記推奨するＳＡを、上記
送受信手段１３０４を介してＩＰＳＥＣパケットを送信
すべき先の通信端末のＩＰアドレス１１０３、ＩＰＳＥ
Ｃ処理の有無１１０４と共に上記ネットワーク接続装置
１０２に返送する（図１０Ｓ１００２）。
【０１１８】但し、問い合わせを受けた上記コンピュー
タ１０４に上記ネットワーク接続装置１０３のＩＰアド
レスが登録されていない場合、やＩＰＳＥＣ機能を搭載
した通信端末等が無い場合、或いは上記問い合わせ回答
手段１３１１を備えない場合、その旨を上記セキュリテ
ィ情報装置９０１に返答するか若しくは返答を行わな
い。該返答を受けた若しくは返答を受けることが出来な
かった上記セキュリティ情報装置９０１は、上記旨を上
記ネットワーク接続装置１０２に通知すると共に、上記
第１のデータベース１１０１の送信先ＩＰアドレス１１
０２に上記コンピュータ１０４のＩＰアドレスを登録
し、さらにＩＰＳＥＣ処理の有無１１０４を”無し”と
する。このような場合には、上記ネットワーク接続装置
１０２の制御手段１３０５は、上記コンピュータ１０１
のユーザにセキュリティ通信を行えない旨を通知し、又
は通信を行わないといった対応を行ってもよい。
タ１０４に上記ネットワーク接続装置１０３のＩＰアド
レスが登録されていない場合、やＩＰＳＥＣ機能を搭載
した通信端末等が無い場合、或いは上記問い合わせ回答
手段１３１１を備えない場合、その旨を上記セキュリテ
ィ情報装置９０１に返答するか若しくは返答を行わな
い。該返答を受けた若しくは返答を受けることが出来な
かった上記セキュリティ情報装置９０１は、上記旨を上
記ネットワーク接続装置１０２に通知すると共に、上記
第１のデータベース１１０１の送信先ＩＰアドレス１１
０２に上記コンピュータ１０４のＩＰアドレスを登録
し、さらにＩＰＳＥＣ処理の有無１１０４を”無し”と
する。このような場合には、上記ネットワーク接続装置
１０２の制御手段１３０５は、上記コンピュータ１０１
のユーザにセキュリティ通信を行えない旨を通知し、又
は通信を行わないといった対応を行ってもよい。
【０１１９】尚、前記従来技術で述べたように、ＩＫＥ
フェーズ２では、双方通信の場合は独立した２つのＳＡ
が設定される。よって、ネットワーク接続装置１０２の
要請によりＩＫＥフェーズ２によるＳＡの確立を行う際
に、上記ネットワーク接続装置１０３の制御手段１３０
５は、上記セキュリティ情報装置９０１に対して上記ネ
ットワーク接続装置１０２の推奨ＳＡの問い合わせを行
ってもよい（図１０Ｓ１００９）。
フェーズ２では、双方通信の場合は独立した２つのＳＡ
が設定される。よって、ネットワーク接続装置１０２の
要請によりＩＫＥフェーズ２によるＳＡの確立を行う際
に、上記ネットワーク接続装置１０３の制御手段１３０
５は、上記セキュリティ情報装置９０１に対して上記ネ
ットワーク接続装置１０２の推奨ＳＡの問い合わせを行
ってもよい（図１０Ｓ１００９）。
【０１２０】上記セキュリティ情報装置９０１の上記第
１のデータベース１１０１に上記ネットワーク接続装置
１０２の推奨ＳＡが登録されていない場合、上記セキュ
リティ情報装置９０１の推奨ＳＡ管理手段１３０１が、
上記ネットワーク接続装置１０２にＳＡの候補を問い合
わせるといった処理が行われる（図１０Ｓ１０１０〜Ｓ
１０１１）。つづいて、上記問い合わせに対応する回答
が上記ネットワーク接続装置１０３に通知される（図１
０Ｓ１０１２）。この手順は上記処理Ｓ１００１〜Ｓ１
００２、Ｓ１００７〜Ｓ１００８と同様であるため詳細
は省略する。
１のデータベース１１０１に上記ネットワーク接続装置
１０２の推奨ＳＡが登録されていない場合、上記セキュ
リティ情報装置９０１の推奨ＳＡ管理手段１３０１が、
上記ネットワーク接続装置１０２にＳＡの候補を問い合
わせるといった処理が行われる（図１０Ｓ１０１０〜Ｓ
１０１１）。つづいて、上記問い合わせに対応する回答
が上記ネットワーク接続装置１０３に通知される（図１
０Ｓ１０１２）。この手順は上記処理Ｓ１００１〜Ｓ１
００２、Ｓ１００７〜Ｓ１００８と同様であるため詳細
は省略する。
【０１２１】この様に、セキュリティ情報装置を設ける
ことにより、ユーザが通信先のセキュリティ通信のレベ
ルを考える必要がなく、適切なＳＡを設定可能となる。
さらに、例えば上記セキュリティ情報装置を第３者機関
が管理することにより、通信先アドレスによって、通信
先が提供するサービス内容によってセキュリティ通信の
レベルを最適にすることが可能となる。また、セキュリ
ティ情報装置が、自動的に該当する通信端末にＳＡの候
補を問い合わせて、該問い合わせの内容を収集すること
により推奨ＳＡを一元管理することが可能となり、各Ｉ
ＰＳＥＣ機能を搭載した通信端末は、上記セキュリティ
情報装置に問い合わせを行うのみで推奨ＳＡの候補を得
ることが可能となる。この様なシステムは、例えば複数
の会社をＩＰＳＥＣ機能を搭載したルータ等で接続する
場合等、ＩＰＳＥＣ通信を適用する規模が大きい場合に
は特に通信端末に対する設定が簡単に行え、管理者及び
ユーザの負担軽減等に有効である。
ことにより、ユーザが通信先のセキュリティ通信のレベ
ルを考える必要がなく、適切なＳＡを設定可能となる。
さらに、例えば上記セキュリティ情報装置を第３者機関
が管理することにより、通信先アドレスによって、通信
先が提供するサービス内容によってセキュリティ通信の
レベルを最適にすることが可能となる。また、セキュリ
ティ情報装置が、自動的に該当する通信端末にＳＡの候
補を問い合わせて、該問い合わせの内容を収集すること
により推奨ＳＡを一元管理することが可能となり、各Ｉ
ＰＳＥＣ機能を搭載した通信端末は、上記セキュリティ
情報装置に問い合わせを行うのみで推奨ＳＡの候補を得
ることが可能となる。この様なシステムは、例えば複数
の会社をＩＰＳＥＣ機能を搭載したルータ等で接続する
場合等、ＩＰＳＥＣ通信を適用する規模が大きい場合に
は特に通信端末に対する設定が簡単に行え、管理者及び
ユーザの負担軽減等に有効である。
【０１２２】尚、上記セキュリティ情報装置が格納する
データベースを２つに分けているが、特に分ける必要は
なく、上記機能が実現できれば１つのデータベースにし
てもよい。さらに、上述した項目に限らず、その他ＳＡ
に必要な情報を格納することができる。
データベースを２つに分けているが、特に分ける必要は
なく、上記機能が実現できれば１つのデータベースにし
てもよい。さらに、上述した項目に限らず、その他ＳＡ
に必要な情報を格納することができる。
【０１２３】更にセキュリティ情報装置がＲＡＤＩＵＳ
（Remote Authentication Dial-InUser Service）サー
バを兼ねてもよく、ＩＫＥで交換される鍵情報の管理
や、ＳＡと対応するＳＰＩ情報の管理を同時に行い、こ
れら情報を提供してもよい。
（Remote Authentication Dial-InUser Service）サー
バを兼ねてもよく、ＩＫＥで交換される鍵情報の管理
や、ＳＡと対応するＳＰＩ情報の管理を同時に行い、こ
れら情報を提供してもよい。
【０１２４】また、各コンピュータがＩＰＳＥＣ機能を
搭載する場合も上記ネットワーク接続装置と同様、セキ
ュリティ情報装置に問い合わせを行うことができる。
搭載する場合も上記ネットワーク接続装置と同様、セキ
ュリティ情報装置に問い合わせを行うことができる。
【０１２５】又、上記送信先ＩＰアドレスやＩＰＳＥＣ
パケットを送信すべき先の通信端末のＩＰアドレスは、
ＩＰアドレスを用いているが、特にＩＰアドレスに限定
するものではなく、送信先通信端末（コンピュータ）を
特定する端末特定情報であれば良く、例えばコンピュー
タ名やＭＡＣアドレス（Media Access Control Addres
s）、電話番号等でもよい。
パケットを送信すべき先の通信端末のＩＰアドレスは、
ＩＰアドレスを用いているが、特にＩＰアドレスに限定
するものではなく、送信先通信端末（コンピュータ）を
特定する端末特定情報であれば良く、例えばコンピュー
タ名やＭＡＣアドレス（Media Access Control Addres
s）、電話番号等でもよい。
【０１２６】さらに、実施の形態３は、上記実施の形態
１と組み合わせて使用することが可能であり、この場合
には上記制御手段１３０５及び記憶手段１３０９がセキ
ュリティ種選択手段４０８となり、送受信制御部１３０
８が、ネットワーク制御部４０６及び回線制御部４０７
となる。
１と組み合わせて使用することが可能であり、この場合
には上記制御手段１３０５及び記憶手段１３０９がセキ
ュリティ種選択手段４０８となり、送受信制御部１３０
８が、ネットワーク制御部４０６及び回線制御部４０７
となる。
【図１】本発明に係るセキュリティ通信方法を用いたシ
ステムの概略を示す図。
ステムの概略を示す図。
【図２】実施の形態１におけるユーザ毎のＳＰＤ及びユ
ーザ毎のＳＡＤの例。
ーザ毎のＳＡＤの例。
【図３】実施の形態１におけるネットワーク処理装置の
ＩＰＳＥＣ処理のフローチャート。
ＩＰＳＥＣ処理のフローチャート。
【図４】実施の形態１におけるネットワーク接続装置の
構成の概略図。
構成の概略図。
【図５】実施の形態２におけるインターネットアドレス
を用いたＳＰＤの例。
を用いたＳＰＤの例。
【図６】実施の形態２におけるＩＰＳＥＣ機能を搭載し
たネットワーク接続装置の設定を行うコンピュータ等の
通信端末装置の概略図。
たネットワーク接続装置の設定を行うコンピュータ等の
通信端末装置の概略図。
【図７】実施の形態２におけるネットワーク接続装置の
設定確認処理のフローチャート。
設定確認処理のフローチャート。
【図８】実施の形態２におけるユーザ毎のインターネッ
トアドレスを用いたＳＰＤの例。
トアドレスを用いたＳＰＤの例。
【図９】実施の形態３におけるセキュリティ情報装置を
用いたシステムの概略を示す図。
用いたシステムの概略を示す図。
【図１０】セキュリティ情報装置を用いたシステムの処
理を説明するための簡易図。
理を説明するための簡易図。
【図１１】セキュリティ情報装置における第１のデータ
ベースの例。
ベースの例。
【図１２】セキュリティ情報装置における第２のデータ
ベースの例。
ベースの例。
【図１３】実施の形態３における各装置の概略を示すロ
ック図。
ック図。
【図１４】ＩＰＳＥＣ機能を搭載したルータを使用して
ＶＰＮネットワークを構成したネットワークシステムの
概略図。
ＶＰＮネットワークを構成したネットワークシステムの
概略図。
【図１５】ＩＰＳＥＣ機能を搭載したネットワーク接続
装置間でのセキュリティ通信の接続手順を表した図。
装置間でのセキュリティ通信の接続手順を表した図。
【図１６】ＡＨフォーマット、ＥＳＰヘッダフォーマッ
トの詳細図。
トの詳細図。
【図１７】従来技術におけるＩＰＳＥＣの処理方針を決
めるデータベースであるＳＰＤ（Security Policy Data
base）の例。
めるデータベースであるＳＰＤ（Security Policy Data
base）の例。
【図１８】従来技術におけるＳＡデータベースであるＳ
ＡＤ（Security Association Database)の例。
ＡＤ（Security Association Database)の例。
【図１９】従来技術における送信側ネットワーク接続装
置のＩＰＳＥＣ処理のフローチャート。
置のＩＰＳＥＣ処理のフローチャート。
【図２０】従来技術における受信側ネットワーク接続装
置のＩＰＳＥＣ処理のフローチャート。
置のＩＰＳＥＣ処理のフローチャート。
【図２１】従来技術におけるネットワーク接続装置の構
成の概略。
成の概略。
１０１、１０４、１０５、１０６ コンピュータ １０２、１０３ ネットワーク接続
装置 １０９ インターネット １１０、１１１ ユーザ認証装置
装置 １０９ インターネット １１０、１１１ ユーザ認証装置
───────────────────────────────────────────────────── フロントページの続き (72)発明者 山内 弘貴 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 (72)発明者 太田 雄策 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 Ｆターム(参考） 5B085 AE04 AE29 5J104 AA07 AA37 DA03 KA01 PA07
Claims (40)
- 【請求項１】 送信元通信端末からネットワークを介し
て接続される送信先通信端末へ送信される通信のセキュ
リティを確保するセキュリティ通信装置において、 上記送信元通信端末を使用するユーザの情報とセキュリ
ティ種を対応付けた対応情報を記憶する記憶手段と、 上記ユーザの情報に基づいて、上記対応情報からセキュ
リティ種を決定するセキュリティ種選択手段を備えるこ
とを特徴とするセキュリティ通信装置。 - 【請求項２】 上記セキュリティ種選択手段が、さらに
上記対応情報の変更時に、上記変更後の情報に基づいた
通信の確立を直ちに確認する請求項１に記載のセキュリ
ティ通信装置。 - 【請求項３】 上記セキュリティ種選択手段が決定する
セキュリティ種が、セキュリティプロトコルの種類であ
る請求項１又は２に記載のセキュリティ通信装置。 - 【請求項４】 上記セキュリティプロトコルが、ＩＰＳ
ＥＣである請求項３に記載のセキュリティ通信装置。 - 【請求項５】 上記セキュリティ種選択手段が決定する
セキュリティ種が、セキュリティ通信時に使用する定義
情報群である請求項１又は２に記載のセキュリティ通信
装置。 - 【請求項６】 上記定義情報群が、セキュリティポリシ
ーである請求項５に記載のセキュリティ通信装置。 - 【請求項７】 上記定義情報群が、認証アルゴリズム又
は暗号化アルゴリズムの少なくとも１つを含む請求項５
に記載のセキュリティ通信装置。 - 【請求項８】 送信元通信端末からネットワークを介し
て接続される送信先通信端末へ送信される通信のセキュ
リティを確保するセキュリティ通信システムにおいて、 上記送信元通信端末を使用するユーザの認証を行うユー
ザ認証手段と、 上記ユーザとセキュリティ種を対応付けた対応情報を記
憶する記憶手段と、 上記ユーザ認証手段により認証されたユーザの情報に基
づいて、上記対応情報からセキュリティ種を決定するセ
キュリティ種選択手段を備えることを特徴とするセキュ
リティ通信システム。 - 【請求項９】 上記セキュリティ種選択手段が、さらに
上記対応情報の変更時に、上記変更後の情報に基づいた
通信の確立を直ちに確認する請求項８に記載のセキュリ
ティ通信システム。 - 【請求項１０】 ネットワークを介して接続される通信
端末間の、通信のセキュリティを確保するセキュリティ
通信方法において、 上記通信端末を使用するユーザの情報に基づいてセキュ
リティ種を決定することを特徴とするセキュリティ通信
方法。 - 【請求項１１】 送信元通信端末からネットワークを介
して接続される送信先通信端末へ送信される通信のセキ
ュリティを確保するセキュリティ通信装置において、 上記送信元通信端末にて動作するアプリケーションに入
力されるインターネットアドレス情報と、セキュリティ
種とを対応付けた対応情報を記憶する記憶手段と、 上記インターネットアドレス情報に基づいて、上記対応
情報からセキュリティ種を決定するセキュリティ種選択
手段を備えることを特徴とするセキュリティ通信装置。 - 【請求項１２】 上記対応情報が、さらに上記送信元通
信端末を使用するユーザの情報とセキュリティ種とが対
応付けられているとともに、 上記ユーザの情報にも基づいて上記セキュリティ種を決
定する請求項１１に記載のセキュリティ通信装置。 - 【請求項１３】 上記セキュリティ種の決定を、視覚化
された上記セキュリティ種の一覧に対して同様に視覚化
された上記インターネットアドレス情報を視覚的に対応
付けることにより行う請求項１１又は１２に記載のセキ
ュリティ通信装置。 - 【請求項１４】 上記インターネットアドレス情報のＩ
Ｐアドレスへの変換に、ドメインネームシステムサーバ
を利用する請求項１１に記載のセキュリティ通信装置。 - 【請求項１５】 上記セキュリティ種が、セキュリティ
プロトコルである請求項１１〜１４のいずれか１項に記
載のセキュリティ通信装置。 - 【請求項１６】 上記セキュリティプロトコルが、ＩＰ
ＳＥＣである請求項１５に記載のセキュリティ通信装
置。 - 【請求項１７】 上記セキュリティ種が、セキュリティ
通信時に使用する定義情報群である請求項１１〜１４の
いずれか１項に記載のセキュリティ通信装置。 - 【請求項１８】 上記定義情報群が、セキュリティポリ
シーである請求項１７に記載のセキュリティ通信装置。 - 【請求項１９】 上記定義情報群が、認証アルゴリズム
又は暗号化アルゴリズムの少なくとも１つを含む請求項
１７に記載のセキュリティ通信装置。 - 【請求項２０】 送信元通信端末からネットワークを介
して接続される送信先通信端末へ送信される通信のセキ
ュリティを確保するセキュリティ通信システムにおい
て、 上記送信元通信端末にて動作するアプリケーションに入
力されるインターネットアドレス情報と、セキュリティ
種とを対応付けた対応情報を記憶する記憶手段と、 上記インターネットアドレス情報に基づいて、上記対応
情報からセキュリティ種を決定するセキュリティ種選択
手段を備えることを特徴とするセキュリティ通信システ
ム。 - 【請求項２１】 さらに上記送信元通信端末を使用する
ユーザの認証を行うユーザ認証手段を備えるとともに、 上記対応情報が、上記送信元通信端末を使用するユーザ
の情報とセキュリティ種とが対応付けられ、 上記ユーザの情報にも基づいて上記セキュリティ種を決
定する請求項２０に記載のセキュリティ通信システム。 - 【請求項２２】 上記セキュリティ種の決定を、視覚化
された上記セキュリティ種の一覧に対して同様に視覚化
された上記インターネットアドレス情報を視覚的に対応
付けることにより行う請求項２０又は２１に記載のセキ
ュリティ通信システム。 - 【請求項２３】 ネットワークを介して接続される通信
端末間の、通信のセキュリティを確保するセキュリティ
通信方法において、 上記通信端末にて動作するアプリケーションに入力され
るインターネットアドレス情報と、セキュリティ種とを
対応付け、 上記インターネットアドレス情報に基づいてセキュリテ
ィ種を決定することを特徴とするセキュリティ通信方
法。 - 【請求項２４】 通信端末を特定する端末特定情報と、
該通信端末との通信において推奨されるセキュリティ種
とを対応付けた対応情報を記憶する記憶手段と、 上記通信端末とは異なる端末からの、上記通信端末につ
いて推奨されるセキュリティ種の問い合わせに対し、上
記端末特定情報に基づいて、上記対応情報から上記推奨
されるセキュリティ種を選択する推奨セキュリティ種管
理手段と、 上記選択された推奨されるセキュリティ種を送信する送
信手段を備えることを特徴とするセキュリティ情報装
置。 - 【請求項２５】 さらに、上記端末特定情報が上記対応
情報に無い場合に、上記通信端末に対して、該通信端末
との通信において推奨されるセキュリティ種を問い合わ
せる問い合わせ手段を備える請求項２４に記載のセキュ
リティ情報装置。 - 【請求項２６】 上記セキュリティ種が、セキュリティ
プロトコルである請求項２４又は２５に記載のセキュリ
ティ情報装置。 - 【請求項２７】 上記セキュリティプロトコルが、ＩＰ
ＳＥＣである請求項２６に記載のセキュリティ情報装
置。 - 【請求項２８】 上記セキュリティ種が、セキュリティ
通信時に使用する定義情報群である請求項２４又は２５
に記載のセキュリティ情報装置。 - 【請求項２９】 上記定義情報群が、セキュリティポリ
シーである請求項２８に記載のセキュリティ情報装置。 - 【請求項３０】 上記定義情報群が、認証アルゴリズム
又は暗号化アルゴリズムの少なくとも１つを含む請求項
２８に記載のセキュリティ情報装置。 - 【請求項３１】 送信元通信端末からネットワークを介
して接続される送信先通信端末へ送信される通信のセキ
ュリティを確保するセキュリティ通信装置において、 上記セキュリティの確保に用いるセキュリティ種を所定
のセキュリティ情報装置に問い合わせる問い合わせ手段
と、 上記問い合わせに対応する上記所定のセキュリティ情報
装置からの回答に基づいて上記セキュリティ種を決定す
るセキュリティ種選択手段を備えることを特徴とするセ
キュリティ通信装置。 - 【請求項３２】 上記回答が、１又は複数の上記セキュ
リティ種を含む請求項３１に記載のセキュリティ通信装
置。 - 【請求項３３】 上記セキュリティ種が、セキュリティ
プロトコルである請求項３１又は３２に記載のセキュリ
ティ通信装置。 - 【請求項３４】 上記セキュリティプロトコルが、ＩＰ
ＳＥＣである請求項３３に記載のセキュリティ通信装
置。 - 【請求項３５】 上記セキュリティ種が、セキュリティ
通信時に使用する定義情報群である請求項３１又は３２
に記載のセキュリティ通信装置。 - 【請求項３６】 上記定義情報群が、セキュリティポリ
シーである請求項３５に記載のセキュリティ通信装置。 - 【請求項３７】 上記定義情報群が、認証アルゴリズム
又は暗号化アルゴリズムの少なくとも１つを含む請求項
３５に記載のセキュリティ通信装置。 - 【請求項３８】 送信元通信端末からネットワークを介
して接続される送信先通信端末へ送信される通信のセキ
ュリティを確保する通信装置を備えるセキュリティ通信
システムにおいて、 上記通信装置が、上記セキュリティの確保に用いるセキ
ュリティ種を所定のセキュリティ情報装置に問い合わせ
る問い合わせ手段と、 上記問い合わせに対応する上記所定のセキュリティ情報
装置からの回答に基づいて上記セキュリティ種を決定す
るセキュリティ種選択手段を備えるとともに、 上記所定のセキュリティ情報装置が、通信端末を特定す
る端末特定情報と、該通信端末との通信において推奨さ
れるセキュリティ種とを対応付けた対応情報を記憶する
記憶手段と、 上記通信端末とは異なる端末からの、上記通信端末につ
いて推奨されるセキュリティ種の問い合わせに対し、上
記端末特定情報に基づいて、上記対応情報から上記推奨
されるセキュリティ種を選択する推奨セキュリティ種管
理手段と、 上記選択された推奨されるセキュリティ種を送信する送
信手段を備えることを特徴とするセキュリティ通信シス
テム。 - 【請求項３９】 さらに、上記所定のセキュリティ情報
装置が、上記端末特定情報が上記対応情報に無い場合
に、上記送信先通信端末に対して該送信先通信端末との
通信において推奨されるセキュリティ種を問い合わせる
問い合わせ手段を備える請求項３８に記載のセキュリテ
ィ通信システム。 - 【請求項４０】 ネットワークを介して接続される通信
端末間の、通信のセキュリティを確保する通信装置を備
えるセキュリティ通信方法において、 上記通信装置が、該通信装置とは異なる通信装置につい
て推奨されるセキュリティ種を所定のセキュリティ情報
装置に問い合わせ、 上記所定のセキュリティ情報装置が、上記通信装置から
の上記問い合わせに対し、上記推奨されるセキュリティ
種を選択して上記通信装置に送信し、 上記通信装置が上記セキュリティ情報装置から送信され
た上記推奨されるセキュリティ種に基づいて上記セキュ
リティ種を決定することを特徴とするセキュリティ通信
方法。
Priority Applications (8)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000110651A JP2001298449A (ja) | 2000-04-12 | 2000-04-12 | セキュリティ通信方法、通信システム及びその装置 |
| US09/825,857 US20010042201A1 (en) | 2000-04-12 | 2001-04-03 | Security communication method, security communication system, and apparatus thereof |
| EP03026370A EP1418728B1 (en) | 2000-04-12 | 2001-04-11 | Security communication method, system, and apparatus permitting to change the security type |
| EP01303423A EP1170927B1 (en) | 2000-04-12 | 2001-04-11 | Security communication method, security communication system, and apparatus thereof |
| DE60121483T DE60121483T2 (de) | 2000-04-12 | 2001-04-11 | Sicherheitkommunikationsverfahren, System und Vorrichtung welche erlauben den Sicherheitstyp zu wechseln |
| KR1020010019260A KR20010098513A (ko) | 2000-04-12 | 2001-04-11 | 시큐리티 통신방법, 통신시스템 및 그 장치 |
| DE60121101T DE60121101T2 (de) | 2000-04-12 | 2001-04-11 | Gesichtertes Kommunikationsverfahren, gesichtertes Kommunikationssystem und Gerät |
| CN01116541A CN1317899A (zh) | 2000-04-12 | 2001-04-12 | 安全通信方法、通信系统及其装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000110651A JP2001298449A (ja) | 2000-04-12 | 2000-04-12 | セキュリティ通信方法、通信システム及びその装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2001298449A true JP2001298449A (ja) | 2001-10-26 |
Family
ID=18623129
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000110651A Pending JP2001298449A (ja) | 2000-04-12 | 2000-04-12 | セキュリティ通信方法、通信システム及びその装置 |
Country Status (6)
| Country | Link |
|---|---|
| US (1) | US20010042201A1 (ja) |
| EP (2) | EP1418728B1 (ja) |
| JP (1) | JP2001298449A (ja) |
| KR (1) | KR20010098513A (ja) |
| CN (1) | CN1317899A (ja) |
| DE (2) | DE60121101T2 (ja) |
Cited By (51)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20030084613A (ko) * | 2002-04-26 | 2003-11-01 | 후지쯔 가부시끼가이샤 | 게이트웨이, 통신 단말 장치 및 통신 제어 프로그램 |
| JP2004054951A (ja) * | 2002-07-17 | 2004-02-19 | Matsushita Electric Ind Co Ltd | 記録媒体不正使用防止システム |
| JP2004532543A (ja) * | 2001-03-14 | 2004-10-21 | ジェムプリュス | ホストプラットフォームにおけるパケットトラフィックを保護する携帯用デバイス |
| JP2004312130A (ja) * | 2003-04-03 | 2004-11-04 | Matsushita Electric Ind Co Ltd | Ｉｐテレビ電話機 |
| WO2005117373A1 (ja) * | 2004-05-31 | 2005-12-08 | Niigata Seimitsu Co., Ltd. | Ｉｐ電話機を終端端末とした暗号システム |
| KR100544214B1 (ko) * | 2001-09-19 | 2006-01-23 | 인텔 코오퍼레이션 | 전자 트랜잭션을 위한 보안 레벨을 선택하기 위한 방법 및 시스템 |
| WO2006087819A1 (ja) * | 2005-02-21 | 2006-08-24 | Fujitsu Limited | 通信装置 |
| JP2007505381A (ja) * | 2003-09-11 | 2007-03-08 | ポール・ジェーソン・ロジャーズ | セキュリティに用いる方法および装置 |
| JP2007194679A (ja) * | 2006-01-17 | 2007-08-02 | Nec Engineering Ltd | 構内交換機及び端末装置 |
| JP2007251417A (ja) * | 2006-03-14 | 2007-09-27 | Ricoh Co Ltd | ネットワーク機器 |
| JP2007251842A (ja) * | 2006-03-17 | 2007-09-27 | Ricoh Co Ltd | ネットワーク機器 |
| US7296148B2 (en) | 2002-01-09 | 2007-11-13 | Nec Corporation | Communication system and network control apparatus with encryption processing function, and communication control method |
| JP2008072242A (ja) * | 2006-09-12 | 2008-03-27 | Ricoh Co Ltd | ネットワーク機器 |
| JP2008090731A (ja) * | 2006-10-04 | 2008-04-17 | Ricoh Co Ltd | 情報処理装置、通信方法およびプログラム |
| JP2008205806A (ja) * | 2007-02-20 | 2008-09-04 | Ricoh Co Ltd | ネットワーク通信機器 |
| JP2008312016A (ja) * | 2007-06-15 | 2008-12-25 | Ricoh Co Ltd | 情報処理装置およびプログラム |
| JP2009200805A (ja) * | 2008-02-21 | 2009-09-03 | Ricoh Co Ltd | 画像形成装置、情報処理方法及びプログラム |
| US7631181B2 (en) | 2003-09-22 | 2009-12-08 | Canon Kabushiki Kaisha | Communication apparatus and method, and program for applying security policy |
| US7664954B2 (en) | 2004-03-31 | 2010-02-16 | Canon Kabushiki Kaisha | Providing apparatus, providing method, communication device, communication method, and program |
| US7716477B2 (en) | 2002-09-19 | 2010-05-11 | Sony Corporation | Data processing method, program of the same, and device of the same |
| US7735129B2 (en) | 2003-02-05 | 2010-06-08 | Nippon Telegraph And Telephone Corporation | Firewall device |
| JP4892554B2 (ja) * | 2005-07-15 | 2012-03-07 | マイクロソフト コーポレーション | 接続セキュリティのためのルールの自動生成 |
| US8301875B2 (en) | 2002-09-11 | 2012-10-30 | NEC Infrontia Coropration | Network, IPsec setting server apparatus, IPsec processing apparatus, and IPsec setting method used therefor |
| JP2013528330A (ja) * | 2010-05-27 | 2013-07-08 | エイ１０ ネットワークス インコーポレイテッド | ネットワークトラフィックポリシーをアプリケーションセッションに適用するシステム及び方法 |
| US9531846B2 (en) | 2013-01-23 | 2016-12-27 | A10 Networks, Inc. | Reducing buffer usage for TCP proxy session based on delayed acknowledgement |
| US9544364B2 (en) | 2012-12-06 | 2017-01-10 | A10 Networks, Inc. | Forwarding policies on a virtual service network |
| US9609052B2 (en) | 2010-12-02 | 2017-03-28 | A10 Networks, Inc. | Distributing application traffic to servers based on dynamic service response time |
| US9705800B2 (en) | 2012-09-25 | 2017-07-11 | A10 Networks, Inc. | Load distribution in data networks |
| US9742879B2 (en) | 2012-03-29 | 2017-08-22 | A10 Networks, Inc. | Hardware-based packet editor |
| US9843484B2 (en) | 2012-09-25 | 2017-12-12 | A10 Networks, Inc. | Graceful scaling in software driven networks |
| US9900252B2 (en) | 2013-03-08 | 2018-02-20 | A10 Networks, Inc. | Application delivery controller and global server load balancer |
| US9906591B2 (en) | 2011-10-24 | 2018-02-27 | A10 Networks, Inc. | Combining stateless and stateful server load balancing |
| US9906422B2 (en) | 2014-05-16 | 2018-02-27 | A10 Networks, Inc. | Distributed system to determine a server's health |
| US9942152B2 (en) | 2014-03-25 | 2018-04-10 | A10 Networks, Inc. | Forwarding data packets using a service-based forwarding policy |
| US9942162B2 (en) | 2014-03-31 | 2018-04-10 | A10 Networks, Inc. | Active application response delay time |
| US9954899B2 (en) | 2006-10-17 | 2018-04-24 | A10 Networks, Inc. | Applying a network traffic policy to an application session |
| US9961135B2 (en) | 2010-09-30 | 2018-05-01 | A10 Networks, Inc. | System and method to balance servers based on server load status |
| US9960967B2 (en) | 2009-10-21 | 2018-05-01 | A10 Networks, Inc. | Determining an application delivery server based on geo-location information |
| US9979801B2 (en) | 2011-12-23 | 2018-05-22 | A10 Networks, Inc. | Methods to manage services over a service gateway |
| US9986061B2 (en) | 2014-06-03 | 2018-05-29 | A10 Networks, Inc. | Programming a data network device using user defined scripts |
| US9992229B2 (en) | 2014-06-03 | 2018-06-05 | A10 Networks, Inc. | Programming a data network device using user defined scripts with licenses |
| US9992107B2 (en) | 2013-03-15 | 2018-06-05 | A10 Networks, Inc. | Processing data packets using a policy based network path |
| US10021174B2 (en) | 2012-09-25 | 2018-07-10 | A10 Networks, Inc. | Distributing service sessions |
| US10038693B2 (en) | 2013-05-03 | 2018-07-31 | A10 Networks, Inc. | Facilitating secure network traffic by an application delivery controller |
| US10044582B2 (en) | 2012-01-28 | 2018-08-07 | A10 Networks, Inc. | Generating secure name records |
| US10129122B2 (en) | 2014-06-03 | 2018-11-13 | A10 Networks, Inc. | User defined objects for network devices |
| USRE47296E1 (en) | 2006-02-21 | 2019-03-12 | A10 Networks, Inc. | System and method for an adaptive TCP SYN cookie with time validation |
| US10230770B2 (en) | 2013-12-02 | 2019-03-12 | A10 Networks, Inc. | Network proxy layer for policy-based application proxies |
| US10243791B2 (en) | 2015-08-13 | 2019-03-26 | A10 Networks, Inc. | Automated adjustment of subscriber policies |
| US10268467B2 (en) | 2014-11-11 | 2019-04-23 | A10 Networks, Inc. | Policy-driven management of application traffic for providing services to cloud-based applications |
| US10581976B2 (en) | 2015-08-12 | 2020-03-03 | A10 Networks, Inc. | Transmission control of protocol state exchange for dynamic stateful service insertion |
Families Citing this family (31)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8078727B2 (en) | 1998-10-09 | 2011-12-13 | Netmotion Wireless, Inc. | Method and apparatus for providing mobile and other intermittent connectivity in a computing environment |
| US6546425B1 (en) * | 1998-10-09 | 2003-04-08 | Netmotion Wireless, Inc. | Method and apparatus for providing mobile and other intermittent connectivity in a computing environment |
| US7293107B1 (en) | 1998-10-09 | 2007-11-06 | Netmotion Wireless, Inc. | Method and apparatus for providing mobile and other intermittent connectivity in a computing environment |
| US8060656B2 (en) | 1998-10-09 | 2011-11-15 | Netmotion Wireless, Inc. | Method and apparatus for providing mobile and other intermittent connectivity in a computing environment |
| US7778260B2 (en) | 1998-10-09 | 2010-08-17 | Netmotion Wireless, Inc. | Method and apparatus for providing mobile and other intermittent connectivity in a computing environment |
| US7882247B2 (en) | 1999-06-11 | 2011-02-01 | Netmotion Wireless, Inc. | Method and apparatus for providing secure connectivity in mobile and other intermittent computing environments |
| GB0109299D0 (en) * | 2001-04-12 | 2001-05-30 | British Telecomm | Hybrid network |
| US7061899B2 (en) * | 2001-05-01 | 2006-06-13 | Hewlett-Packard Development Company, L.P. | Method and apparatus for providing network security |
| US7360076B2 (en) * | 2001-06-13 | 2008-04-15 | Itt Manufacturing Enterprises, Inc. | Security association data cache and structure |
| US6982984B1 (en) * | 2001-08-28 | 2006-01-03 | Redback Networks Inc. | Method and apparatus for virtual private networks |
| US7260650B1 (en) * | 2001-11-28 | 2007-08-21 | Cisco Technology, Inc. | Method and apparatus for tunneling information |
| KR100449809B1 (ko) * | 2001-12-27 | 2004-09-22 | 한국전자통신연구원 | 다중 보안 서비스를 제공하는 개선된 아이피 계층에서의패킷 보호 방법 |
| JP2005515700A (ja) * | 2002-01-14 | 2005-05-26 | ネットモーション ワイヤレス インコーポレイテッド | モバイルコンピューティング環境および他の断続的なコンピューティング環境における安全な接続を提供するための方法およびデバイス |
| KR100888471B1 (ko) * | 2002-07-05 | 2009-03-12 | 삼성전자주식회사 | 링크 접속권한을 등급화 한 암호화 키 차등분배방법 및이를 이용한 로밍방법 |
| US7574603B2 (en) * | 2003-11-14 | 2009-08-11 | Microsoft Corporation | Method of negotiating security parameters and authenticating users interconnected to a network |
| US8186026B2 (en) * | 2004-03-03 | 2012-05-29 | Rockstar Bidco, LP | Technique for maintaining secure network connections |
| JP4047303B2 (ja) * | 2004-06-04 | 2008-02-13 | キヤノン株式会社 | 提供装置、提供プログラム、及び、提供方法 |
| US20050283441A1 (en) * | 2004-06-21 | 2005-12-22 | Ipolicy Networks, Inc., A Delaware Corporation | Efficient policy change management in virtual private networks |
| US8438629B2 (en) | 2005-02-21 | 2013-05-07 | Samsung Electronics Co., Ltd. | Packet security method and apparatus |
| US20070011448A1 (en) * | 2005-07-06 | 2007-01-11 | Microsoft Corporation | Using non 5-tuple information with IPSec |
| GB2428317A (en) * | 2005-07-13 | 2007-01-24 | Hewlett Packard Development Co | Data collation system |
| JP2007323553A (ja) * | 2006-06-05 | 2007-12-13 | Hitachi Ltd | ネットワーク上の暗号化通信を行うアダプタ装置及びｉｃカード |
| US20080005558A1 (en) * | 2006-06-29 | 2008-01-03 | Battelle Memorial Institute | Methods and apparatuses for authentication and validation of computer-processable communications |
| EP2043296A4 (en) * | 2006-07-13 | 2011-04-20 | Keiko Ogawa | RELAY DEVICE |
| US20080072033A1 (en) * | 2006-09-19 | 2008-03-20 | Mcalister Donald | Re-encrypting policy enforcement point |
| JP2008140295A (ja) * | 2006-12-05 | 2008-06-19 | Hitachi Ltd | 計算機システム及び在席管理計算機 |
| KR100850362B1 (ko) * | 2007-04-12 | 2008-08-04 | 한국전자통신연구원 | 개인 휴대 임베디드 단말에 대한 보안성 강화 방법 및 그시스템 |
| US8935748B2 (en) * | 2007-10-31 | 2015-01-13 | Microsoft Corporation | Secure DNS query |
| DE102008057934C5 (de) * | 2008-11-19 | 2020-09-17 | Nordex Energy Gmbh | Windenergieanlage mit einer zentralen Steuerungseinrichtung und einer Steuerungseinheit im Rotor sowie Verfahren zum Betreiben einer derartigen Windenergieanlage |
| US9015798B1 (en) * | 2012-02-16 | 2015-04-21 | Google Inc. | User authentication using pointing device |
| JP2016063234A (ja) * | 2014-09-12 | 2016-04-25 | 富士通株式会社 | 通信装置の通信制御方法，通信装置，通信制御システム |
Family Cites Families (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5577209A (en) * | 1991-07-11 | 1996-11-19 | Itt Corporation | Apparatus and method for providing multi-level security for communication among computers and terminals on a network |
| US6005939A (en) * | 1996-12-06 | 1999-12-21 | International Business Machines Corporation | Method and apparatus for storing an internet user's identity and access rights to world wide web resources |
| US6253321B1 (en) * | 1998-06-19 | 2001-06-26 | Ssh Communications Security Ltd. | Method and arrangement for implementing IPSEC policy management using filter code |
| US6304973B1 (en) * | 1998-08-06 | 2001-10-16 | Cryptek Secure Communications, Llc | Multi-level security network system |
| US6438612B1 (en) * | 1998-09-11 | 2002-08-20 | Ssh Communications Security, Ltd. | Method and arrangement for secure tunneling of data between virtual routers |
| US6330562B1 (en) * | 1999-01-29 | 2001-12-11 | International Business Machines Corporation | System and method for managing security objects |
| US6708218B1 (en) * | 2000-06-05 | 2004-03-16 | International Business Machines Corporation | IpSec performance enhancement using a hardware-based parallel process |
-
2000
- 2000-04-12 JP JP2000110651A patent/JP2001298449A/ja active Pending
-
2001
- 2001-04-03 US US09/825,857 patent/US20010042201A1/en not_active Abandoned
- 2001-04-11 KR KR1020010019260A patent/KR20010098513A/ko not_active Application Discontinuation
- 2001-04-11 DE DE60121101T patent/DE60121101T2/de not_active Expired - Fee Related
- 2001-04-11 EP EP03026370A patent/EP1418728B1/en not_active Expired - Lifetime
- 2001-04-11 DE DE60121483T patent/DE60121483T2/de not_active Expired - Fee Related
- 2001-04-11 EP EP01303423A patent/EP1170927B1/en not_active Expired - Lifetime
- 2001-04-12 CN CN01116541A patent/CN1317899A/zh active Pending
Cited By (78)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2004532543A (ja) * | 2001-03-14 | 2004-10-21 | ジェムプリュス | ホストプラットフォームにおけるパケットトラフィックを保護する携帯用デバイス |
| US8250624B2 (en) | 2001-03-14 | 2012-08-21 | Gemalto Sa | Portable device for securing packet traffic in a host platform |
| KR100544214B1 (ko) * | 2001-09-19 | 2006-01-23 | 인텔 코오퍼레이션 | 전자 트랜잭션을 위한 보안 레벨을 선택하기 위한 방법 및 시스템 |
| US7627752B2 (en) | 2002-01-09 | 2009-12-01 | Nec Corporation | Communication system and network control apparatus with encryption processing function, and communication control method |
| US7716471B2 (en) | 2002-01-09 | 2010-05-11 | Nec Corporation | Communication system and network control apparatus with encryption processing function, and communication control method |
| US7296148B2 (en) | 2002-01-09 | 2007-11-13 | Nec Corporation | Communication system and network control apparatus with encryption processing function, and communication control method |
| KR20030084613A (ko) * | 2002-04-26 | 2003-11-01 | 후지쯔 가부시끼가이샤 | 게이트웨이, 통신 단말 장치 및 통신 제어 프로그램 |
| JP2004054951A (ja) * | 2002-07-17 | 2004-02-19 | Matsushita Electric Ind Co Ltd | 記録媒体不正使用防止システム |
| JP4563662B2 (ja) * | 2002-07-17 | 2010-10-13 | パナソニック株式会社 | 記録媒体不正使用防止システム |
| US8301875B2 (en) | 2002-09-11 | 2012-10-30 | NEC Infrontia Coropration | Network, IPsec setting server apparatus, IPsec processing apparatus, and IPsec setting method used therefor |
| US7716477B2 (en) | 2002-09-19 | 2010-05-11 | Sony Corporation | Data processing method, program of the same, and device of the same |
| US7735129B2 (en) | 2003-02-05 | 2010-06-08 | Nippon Telegraph And Telephone Corporation | Firewall device |
| JP4524996B2 (ja) * | 2003-04-03 | 2010-08-18 | パナソニック株式会社 | テレビ電話機 |
| JP2004312130A (ja) * | 2003-04-03 | 2004-11-04 | Matsushita Electric Ind Co Ltd | Ｉｐテレビ電話機 |
| JP2007505381A (ja) * | 2003-09-11 | 2007-03-08 | ポール・ジェーソン・ロジャーズ | セキュリティに用いる方法および装置 |
| US7631181B2 (en) | 2003-09-22 | 2009-12-08 | Canon Kabushiki Kaisha | Communication apparatus and method, and program for applying security policy |
| US7664954B2 (en) | 2004-03-31 | 2010-02-16 | Canon Kabushiki Kaisha | Providing apparatus, providing method, communication device, communication method, and program |
| WO2005117373A1 (ja) * | 2004-05-31 | 2005-12-08 | Niigata Seimitsu Co., Ltd. | Ｉｐ電話機を終端端末とした暗号システム |
| WO2006087819A1 (ja) * | 2005-02-21 | 2006-08-24 | Fujitsu Limited | 通信装置 |
| JP4892554B2 (ja) * | 2005-07-15 | 2012-03-07 | マイクロソフト コーポレーション | 接続セキュリティのためのルールの自動生成 |
| JP2007194679A (ja) * | 2006-01-17 | 2007-08-02 | Nec Engineering Ltd | 構内交換機及び端末装置 |
| USRE47296E1 (en) | 2006-02-21 | 2019-03-12 | A10 Networks, Inc. | System and method for an adaptive TCP SYN cookie with time validation |
| JP4690918B2 (ja) * | 2006-03-14 | 2011-06-01 | 株式会社リコー | ネットワーク機器 |
| JP2007251417A (ja) * | 2006-03-14 | 2007-09-27 | Ricoh Co Ltd | ネットワーク機器 |
| JP2007251842A (ja) * | 2006-03-17 | 2007-09-27 | Ricoh Co Ltd | ネットワーク機器 |
| JP2008072242A (ja) * | 2006-09-12 | 2008-03-27 | Ricoh Co Ltd | ネットワーク機器 |
| JP2008090731A (ja) * | 2006-10-04 | 2008-04-17 | Ricoh Co Ltd | 情報処理装置、通信方法およびプログラム |
| US10305859B2 (en) | 2006-10-17 | 2019-05-28 | A10 Networks, Inc. | Applying security policy to an application session |
| US9497201B2 (en) | 2006-10-17 | 2016-11-15 | A10 Networks, Inc. | Applying security policy to an application session |
| US9661026B2 (en) | 2006-10-17 | 2017-05-23 | A10 Networks, Inc. | Applying security policy to an application session |
| US9954899B2 (en) | 2006-10-17 | 2018-04-24 | A10 Networks, Inc. | Applying a network traffic policy to an application session |
| JP2008205806A (ja) * | 2007-02-20 | 2008-09-04 | Ricoh Co Ltd | ネットワーク通信機器 |
| US8065723B2 (en) | 2007-02-20 | 2011-11-22 | Ricoh Company, Ltd. | Network communication device |
| JP2008312016A (ja) * | 2007-06-15 | 2008-12-25 | Ricoh Co Ltd | 情報処理装置およびプログラム |
| JP2009200805A (ja) * | 2008-02-21 | 2009-09-03 | Ricoh Co Ltd | 画像形成装置、情報処理方法及びプログラム |
| US10735267B2 (en) | 2009-10-21 | 2020-08-04 | A10 Networks, Inc. | Determining an application delivery server based on geo-location information |
| US9960967B2 (en) | 2009-10-21 | 2018-05-01 | A10 Networks, Inc. | Determining an application delivery server based on geo-location information |
| JP2013528330A (ja) * | 2010-05-27 | 2013-07-08 | エイ１０ ネットワークス インコーポレイテッド | ネットワークトラフィックポリシーをアプリケーションセッションに適用するシステム及び方法 |
| US10447775B2 (en) | 2010-09-30 | 2019-10-15 | A10 Networks, Inc. | System and method to balance servers based on server load status |
| US9961135B2 (en) | 2010-09-30 | 2018-05-01 | A10 Networks, Inc. | System and method to balance servers based on server load status |
| US10178165B2 (en) | 2010-12-02 | 2019-01-08 | A10 Networks, Inc. | Distributing application traffic to servers based on dynamic service response time |
| US9609052B2 (en) | 2010-12-02 | 2017-03-28 | A10 Networks, Inc. | Distributing application traffic to servers based on dynamic service response time |
| US9961136B2 (en) | 2010-12-02 | 2018-05-01 | A10 Networks, Inc. | Distributing application traffic to servers based on dynamic service response time |
| US10484465B2 (en) | 2011-10-24 | 2019-11-19 | A10 Networks, Inc. | Combining stateless and stateful server load balancing |
| US9906591B2 (en) | 2011-10-24 | 2018-02-27 | A10 Networks, Inc. | Combining stateless and stateful server load balancing |
| US9979801B2 (en) | 2011-12-23 | 2018-05-22 | A10 Networks, Inc. | Methods to manage services over a service gateway |
| US10044582B2 (en) | 2012-01-28 | 2018-08-07 | A10 Networks, Inc. | Generating secure name records |
| US9742879B2 (en) | 2012-03-29 | 2017-08-22 | A10 Networks, Inc. | Hardware-based packet editor |
| US10069946B2 (en) | 2012-03-29 | 2018-09-04 | A10 Networks, Inc. | Hardware-based packet editor |
| US10516577B2 (en) | 2012-09-25 | 2019-12-24 | A10 Networks, Inc. | Graceful scaling in software driven networks |
| US10021174B2 (en) | 2012-09-25 | 2018-07-10 | A10 Networks, Inc. | Distributing service sessions |
| US9843484B2 (en) | 2012-09-25 | 2017-12-12 | A10 Networks, Inc. | Graceful scaling in software driven networks |
| US9705800B2 (en) | 2012-09-25 | 2017-07-11 | A10 Networks, Inc. | Load distribution in data networks |
| US10491523B2 (en) | 2012-09-25 | 2019-11-26 | A10 Networks, Inc. | Load distribution in data networks |
| US10862955B2 (en) | 2012-09-25 | 2020-12-08 | A10 Networks, Inc. | Distributing service sessions |
| US10341427B2 (en) | 2012-12-06 | 2019-07-02 | A10 Networks, Inc. | Forwarding policies on a virtual service network |
| US9544364B2 (en) | 2012-12-06 | 2017-01-10 | A10 Networks, Inc. | Forwarding policies on a virtual service network |
| US9531846B2 (en) | 2013-01-23 | 2016-12-27 | A10 Networks, Inc. | Reducing buffer usage for TCP proxy session based on delayed acknowledgement |
| US11005762B2 (en) | 2013-03-08 | 2021-05-11 | A10 Networks, Inc. | Application delivery controller and global server load balancer |
| US9900252B2 (en) | 2013-03-08 | 2018-02-20 | A10 Networks, Inc. | Application delivery controller and global server load balancer |
| US9992107B2 (en) | 2013-03-15 | 2018-06-05 | A10 Networks, Inc. | Processing data packets using a policy based network path |
| US10659354B2 (en) | 2013-03-15 | 2020-05-19 | A10 Networks, Inc. | Processing data packets using a policy based network path |
| US10038693B2 (en) | 2013-05-03 | 2018-07-31 | A10 Networks, Inc. | Facilitating secure network traffic by an application delivery controller |
| US10305904B2 (en) | 2013-05-03 | 2019-05-28 | A10 Networks, Inc. | Facilitating secure network traffic by an application delivery controller |
| US10230770B2 (en) | 2013-12-02 | 2019-03-12 | A10 Networks, Inc. | Network proxy layer for policy-based application proxies |
| US9942152B2 (en) | 2014-03-25 | 2018-04-10 | A10 Networks, Inc. | Forwarding data packets using a service-based forwarding policy |
| US10257101B2 (en) | 2014-03-31 | 2019-04-09 | A10 Networks, Inc. | Active application response delay time |
| US9942162B2 (en) | 2014-03-31 | 2018-04-10 | A10 Networks, Inc. | Active application response delay time |
| US10686683B2 (en) | 2014-05-16 | 2020-06-16 | A10 Networks, Inc. | Distributed system to determine a server's health |
| US9906422B2 (en) | 2014-05-16 | 2018-02-27 | A10 Networks, Inc. | Distributed system to determine a server's health |
| US9992229B2 (en) | 2014-06-03 | 2018-06-05 | A10 Networks, Inc. | Programming a data network device using user defined scripts with licenses |
| US9986061B2 (en) | 2014-06-03 | 2018-05-29 | A10 Networks, Inc. | Programming a data network device using user defined scripts |
| US10749904B2 (en) | 2014-06-03 | 2020-08-18 | A10 Networks, Inc. | Programming a data network device using user defined scripts with licenses |
| US10129122B2 (en) | 2014-06-03 | 2018-11-13 | A10 Networks, Inc. | User defined objects for network devices |
| US10880400B2 (en) | 2014-06-03 | 2020-12-29 | A10 Networks, Inc. | Programming a data network device using user defined scripts |
| US10268467B2 (en) | 2014-11-11 | 2019-04-23 | A10 Networks, Inc. | Policy-driven management of application traffic for providing services to cloud-based applications |
| US10581976B2 (en) | 2015-08-12 | 2020-03-03 | A10 Networks, Inc. | Transmission control of protocol state exchange for dynamic stateful service insertion |
| US10243791B2 (en) | 2015-08-13 | 2019-03-26 | A10 Networks, Inc. | Automated adjustment of subscriber policies |
Also Published As
| Publication number | Publication date |
|---|---|
| EP1170927B1 (en) | 2006-06-28 |
| DE60121101D1 (de) | 2006-08-10 |
| EP1418728A1 (en) | 2004-05-12 |
| US20010042201A1 (en) | 2001-11-15 |
| DE60121483T2 (de) | 2007-07-19 |
| EP1170927A3 (en) | 2002-12-18 |
| DE60121483D1 (de) | 2006-08-24 |
| EP1170927A2 (en) | 2002-01-09 |
| EP1418728B1 (en) | 2006-07-12 |
| DE60121101T2 (de) | 2006-12-07 |
| KR20010098513A (ko) | 2001-11-08 |
| CN1317899A (zh) | 2001-10-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2001298449A (ja) | セキュリティ通信方法、通信システム及びその装置 | |
| US11659385B2 (en) | Method and system for peer-to-peer enforcement | |
| JP3992579B2 (ja) | 鍵交換代理ネットワークシステム | |
| JP4707992B2 (ja) | 暗号化通信システム | |
| EP3432523B1 (en) | Method and system for connecting a terminal to a virtual private network | |
| JP4648148B2 (ja) | 接続支援装置 | |
| JP4634349B2 (ja) | ＩＰＳｅｃ処理装置、ネットワークシステム、及びＩＰＳｅｃ処理プログラム | |
| US20050081066A1 (en) | Providing credentials | |
| JPH11205388A (ja) | パケットフィルタ装置、認証サーバ、パケットフィルタリング方法及び記憶媒体 | |
| JP4253569B2 (ja) | 接続制御システム、接続制御装置、及び接続管理装置 | |
| WO2020248368A1 (zh) | 一种内网访问方法、系统及相关装置 | |
| CN201252570Y (zh) | 一种安全网关客户端装置 | |
| US20040156374A1 (en) | Router and routing method for providing linkage with mobile nodes | |
| JPWO2006064552A1 (ja) | ネットワーク接続サービス提供装置 | |
| JP4630296B2 (ja) | ゲートウェイ装置および認証処理方法 | |
| JP4933286B2 (ja) | 暗号化パケット通信システム | |
| WO2000028428A1 (en) | Agent method and computer system | |
| JP4009273B2 (ja) | 通信方法 | |
| JP2008199420A (ja) | ゲートウェイ装置および認証処理方法 | |
| JP4878043B2 (ja) | アクセス制御システム、接続制御装置および接続制御方法 | |
| CN114268499B (zh) | 数据传输方法、装置、系统、设备和存储介质 | |
| EP4064745A1 (en) | Network device management method and apparatus, network management device, and medium | |
| CN115549900A (zh) | 一种量子安全数据发送、接收方法及通信系统 | |
| CN116668181A (zh) | 一种内网访问方法、电子设备及存储介质 |