JP2002374238A

JP2002374238A - 自動鍵管理システムとその鍵管理方法、及び鍵管理プログラム

Info

Publication number: JP2002374238A
Application number: JP2001183144A
Authority: JP
Inventors: Natsuko Watanabe; 夏子渡邊
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2001-06-18
Filing date: 2001-06-18
Publication date: 2002-12-26

Abstract

(57)【要約】【課題】自動鍵交換システムで作成する鍵（ＳＡ：Se
curity Association）の使用期限に無期限という選択肢
の追加を実現する。【解決手段】セキュリティ通信を行う通信装置間にお
いて、鍵を通信相手と交換し設定する自動鍵管理システ
ムにおいて、通信装置は、通信設定を提案するイニシエ
ータと、応答を返すレスポンダを備え、イニシエータ
は、通信相手との間の鍵の使用期限に無期限を設定する
場合には、鍵の使用期限が無期限であることを示すため
に予め定めたライフタイプの設定に基づいて、通信相手
に対し鍵の使用期限を無期限とする通信設定の提案を作
成して送信し、レスポンダは、通信相手との間の鍵の使
用期限に無期限を設定する場合には、通信相手から鍵の
使用期限を無期限とする通信設定の提案を受信した場合
に限り、当該通信設定の提案を受け入れる旨の回答を返
すことを特徴とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、暗号用の鍵等を用
いるセキュリティ通信に関し、特に、自動鍵管理プロト
コルにおける鍵の使用期限を管理する自動鍵管理システ
ムとその鍵管理方法、及び鍵管理プログラムに関する。

【０００２】

【従来の技術】ＩＫＥ（Internet Key Exchange：自動
鍵交換プロトコル）は、RFC2409（Request for Comment
s 2409）に示されている。ＩＫＥ等を用いた鍵管理プロ
トコル（ISAKMP）は、RFC2408に示されている。また、
ＩＫＥで作成した鍵を使用してセキュリティ通信を行う
IPsec（IP Security Protocol）に関しては、RFC2401に
示されている。IPsecは、暗号、認証技術を基にしたセ
キュリティをＩＰ層に提供するプロトコルである。

【０００３】IPsecは、それを実行するために、どの暗
号アルゴリズムでどのような鍵を使うか等のパラメータ
を集めたSecurity Association Database（ＳＡＤ）と
いうデータベースを必要とする。このＳＡＤを設定する
代表的な方法としては、全てのパラメータを手動で設定
する手動鍵管理システムと、一部のパラメータのみを設
定し、鍵等のデータは通信相手とパラメータを交換する
ことによって自動的に設定する自動鍵管理システム（IS
AKMP）との２つがある。

【０００４】上記の２つの方式の内、手動鍵管理システ
ムでは、多数のデータを設定する場合の手間が掛かるこ
とや、頻繁に暗号用の鍵等のデータを変更するための仕
組みが存在せず、同じ暗号用の鍵等のデータを使用し続
けるのではセキュリティ上好ましくないことや、再送攻
撃に対する耐性（Anti-replay）がない（RFC2401参照）
等の問題点がある。

【０００５】それに対し自動鍵管理システムでは、ほと
んどのパラメータは自動的に作成されるため設定に手間
が掛からず、設定した使用期限毎に暗号用の鍵等のデー
タが再作成されるためセキュリティが強固であり、再送
攻撃に対する耐性（Anti-replay）がある（RFC2401参
照）等のメリットがある。

【０００６】従来の自動鍵管理システムについて、図面
を参照して説明する。図５、図６は、従来の自動鍵管理
システムの構成を示すブロック図である。

【０００７】図５は、トランスポートモードによる自動
鍵交換のネットワーク構成の一実施例を示している。こ
の場合では、自動鍵交換プロトコルを実際に行う装置
（ａ、ｂ）と、自動鍵交換プロトコルの結果その鍵を利
用したサービスを利用する装置が同一である。

【０００８】図６は、トンネルモードによる自動鍵交換
のネットワーク構成の一実施例を示している。この場合
では、自動鍵交換プロトコルの結果の鍵を利用したサー
ビスを利用するのはエンドユーザのユーザ端末６０（Ａ
１、Ｂ１）であるのに対し、実際に鍵交換を行うのは
Ａ、Ｂのゲートウェイ５０（gateway）である。

【０００９】また、このそれぞれに場合の鍵交換を行う
装置（図５のａとｂ、図６のＡとＢ）における、鍵交換
の処理は同様であり、以下に示す通りである。図６のト
ンネルモードの場合を例に説明すると、ユーザ端末６０
であるＡ１がＢ１と通信をしようとすると、ユーザ端末
Ａ１から通信要求を受けたゲートウェイＡが、ゲートウ
ェイＢと自動鍵交換を行って鍵（ＳＡ：Security Assoc
iation）を作成し、そのデータを用いてゲートウェイ
Ａ、Ｂ間の通信をIPsec処理し、ユーザ端末Ｂ１へと送
信する。この処理の流れによって、通信に必要なパラメ
ータを格納した鍵がゲートウェイＡ、Ｂに作成される。

【００１０】この鍵のパラメータの１つとして、使用期
限が設定される。使用期限の具体的な値は、初期の設定
に依存するが、使用期限切れを判定するパラメータとし
て、作成されてから使用期限切れまでの時間（必須）
と、この暗号通信により送受信したパケット合計サイズ
が用いられる。

【００１１】

【発明が解決しようとする課題】しかし、従来の自動鍵
管理システムにおいては、現在仕様に曖昧な記述が多く
仕様上の問題点が残ってあり、特に、以下に述べるよう
な運用上の問題点があった。

【００１２】第１に、従来の自動鍵管理システムでは、
鍵（ＳＡ：Security Association）の使用期限が有限で
あるため、鍵の作成に成功しても一定期間経つとその鍵
は使用できなくなってしまう。

【００１３】第２に、従来の自動鍵管理システムでは、
鍵の使用期限の決定方法に関する厳密な規定がないた
め、鍵作成に成功しても、通信相手の持っている鍵と自
分の持っている鍵の使用期限が同じである保証がない。
つまり、鍵交換を行うマシンの設定が一致していない
と、それぞれの鍵の使用期限が異なってしまうことがあ
りうる。

【００１４】例えば、図６のゲートウェイＡにおける作
成されてから使用期限切れまでの設定が２４時間で、ゲ
ートウェイＢにおける設定が１２時間である場合には、
ゲートウェイＢのみが、鍵を作成してから１２時間後に
自ら保持している鍵を削除してしまう。この場合、ゲー
トウェイＡは、ゲートウェイＢにおいて鍵が削除された
ことを検出する必要があるが、従来の自動鍵管理では、
通信相手が自分と同じ鍵を持っているかを確認する手段
がない。

【００１５】このため、ゲートウェイＡは、ユーザ端末
Ａ１からの通信依頼に対し自分の保持している鍵を用い
てIPsecパケットを送信してしまう。すると、ゲートウ
ェイＢは、鍵を保持していないために送られてきたIPse
cパケットを処理することができず、不正なパケットと
して廃棄してしまい通信することができない。

【００１６】このため、ゲートウェイＡにおいて保持し
ている鍵の使用期限が切れるまでは、ユーザ端末Ａ１か
らユーザ端末Ｂ１への通信ができない。更に、ゲートウ
ェイＡの管理者は、通信不能の原因を特定することがで
きず、また通信を復旧させるためにはゲートウェイＢの
管理者に連絡を取る等の手続きが必要となる。

【００１７】第３に、従来の自動鍵管理システムでは、
通信相手が自分と同じ鍵を持っているかを確認する手段
がないため、マシンのリブート等によって通信を行う片
方のマシンの鍵が削除されてしまった場合においても、
鍵を保持しているマシンから鍵を保持していないマシン
への通信が常に通信エラーとなってしまう。

【００１８】つまり、鍵交換を行うマシンが、マシント
ラブル等によりシステムダウンやリブート等をした場合
には、鍵の使用期限に関してシステムダウン中に消費し
た時間をカウントできない等の理由により、保持してい
る鍵を破棄する実装仕様が多い。このため、鍵交換を行
うマシンの一方のみがシステムダウンした場合には、前
述の第２の問題点の場合と同様に、通信することができ
なくなる。

【００１９】例えば、図６のゲートウェイＢがシステム
ダウンした場合を考えると、ゲートウェイＢの鍵が破棄
され、ゲートウェイＡの側のみで鍵が保持されることに
なる。このため、ゲートウェイＡにおいて保持している
鍵の使用期限が切れるまでは、ユーザ端末Ａ１からユー
ザ端末Ｂ１への通信ができない。更に、ゲートウェイＡ
の管理者は、通信不能の原因を特定することができず、
また通信を復旧させるためにはゲートウェイＢの管理者
に連絡を取る等の手続きが必要となる。

【００２０】第４に、従来の自動鍵管理システムでは、
鍵の使用期限毎に、マシン管理者不在時にも自動的に鍵
交換が行われてしまう。このため、管理者不在時に鍵交
換に失敗することがあり、こうした場合には復旧までに
より多くの時間が掛かってしまう。

【００２１】つまり、鍵交換を行う双方のマシンの鍵の
設定に矛盾がなく、その各マシンにトラブルがない場合
においてさえも、鍵交換を行うマシン間の通信回線のト
ラブル等により自動鍵交換に失敗する場合がある。こう
した鍵交換失敗時において、その通信をすぐに復旧させ
るためには、マシンの管理者がすぐに対処できる状況に
あることが必要である。しかし、基本的に鍵の更新はそ
の鍵の使用期限切れに応じて自動的に実行されるため、
管理者不在時に鍵交換が実行される可能が高い。管理者
不在時に鍵交換が実行されて失敗した場合には、管理者
不在時に通信が不能となり、復旧までに多くの時間が掛
かってしまう。

【００２２】本発明の第１の目的は、上記従来技術の欠
点を解決し、自動鍵交換システムで作成する鍵（ＳＡ：
Security Association）の使用期限に無期限という選択
肢の追加を実現する自動鍵管理システムとその鍵管理方
法、及び鍵管理プログラムを提供することである。

【００２３】本発明の第２の目的は、上記従来技術の欠
点を解決し、鍵の使用期限を無期限とすることにより、
通信を行うマシン間での鍵の使用期限の矛盾を解消し、
自動で作成された鍵においてもデータを無期限に保持す
ることが可能とし、マシンのリブート時におけるデータ
の復旧を容易にし、鍵の使用期限切れやその後の鍵作成
失敗等による通信エラーの発生を解消し、手動鍵管理シ
ステムで鍵を変更するよりもずっと容易に鍵を変更する
ことのできる自動鍵管理システムとその鍵管理方法、及
び鍵管理プログラムを提供することである。

【００２４】

【課題を解決するための手段】上記目的を達成するため
本発明の自動鍵管理システムは、セキュリティ通信を行
う通信装置間において、鍵を通信相手と交換し設定する
自動鍵管理システムにおいて、前記通信装置は、前記鍵
の使用期限として無期限を設定することができる機能を
備えることを特徴とする。

【００２５】請求項２の本発明の自動鍵管理システム
は、前記通信装置は、通信設定を提案するイニシエータ
と、応答を返すレスポンダを備え、前記イニシエータ
は、通信相手との間の鍵の使用期限に無期限を設定する
場合には、前記通信相手に対し鍵の使用期限を無期限と
する通信設定の提案を作成して送信し、前記レスポンダ
は、通信相手との間の鍵の使用期限に無期限を設定する
場合には、前記通信相手から鍵の使用期限を無期限とす
る前記通信設定の提案を受信した場合に限り、当該通信
設定の提案を受け入れる旨の回答を返すことを特徴とす
る。

【００２６】請求項３の本発明の自動鍵管理システム
は、前記鍵の使用期限が無期限であることを示すための
ライフタイプを設定して用いることを特徴とする。

【００２７】請求項４の本発明の自動鍵管理システム
は、鍵のライフタイプにおける使用期限を示すパラメー
タ及び送信データ量の上限を示すパラメータの少なくと
も一方において、前記鍵の使用期限が無期限であること
を示すための値を定めて用いることを特徴とする。

【００２８】請求項５の本発明の自動鍵管理システム
は、鍵のライフタイプにおける使用期限を示すパラメー
タ及び送信データ量の上限を示すパラメータの少なくと
も一方において、“０”の値が設定されている場合に、
当該鍵の使用期限が無期限であることを示すものとする
ことを特徴とする。

【００２９】請求項６の本発明の自動鍵管理システム
は、前記鍵の使用期限が無期限であることを示すための
属性クラスを設定して用いることを特徴とする。

【００３０】請求項７の本発明の自動鍵管理システム
は、前記通信装置は、鍵の使用期限として無期限を設定
した通信相手の通信装置との間で、鍵交換の再実行を行
う手段を備えることを特徴とする。

【００３１】請求項８の本発明の通信装置は、自動鍵管
理により鍵を通信相手と交換して設定し、セキュリティ
通信を行う通信装置において、前記鍵の使用期限として
無期限を設定することができる機能を備えることを特徴
とする。

【００３２】請求項９の本発明の通信装置は、通信設定
を提案するイニシエータと、応答を返すレスポンダを備
え、前記イニシエータは、通信相手との間の鍵の使用期
限に無期限を設定する場合には、前記通信相手に対し鍵
の使用期限を無期限とする通信設定の提案を作成して送
信し、前記レスポンダは、通信相手との間の鍵の使用期
限に無期限を設定する場合には、前記通信相手から鍵の
使用期限を無期限とする前記通信設定の提案を受信した
場合に限り、当該通信設定の提案を受け入れる旨の回答
を返すことを特徴とする。

【００３３】請求項１０の本発明の通信装置は、前記鍵
の使用期限が無期限であることを示すためのライフタイ
プを設定して用いることを特徴とする。

【００３４】請求項１１の本発明の通信装置は、鍵のラ
イフタイプにおける使用期限を示すパラメータ及び送信
データ量の上限を示すパラメータの少なくとも一方にお
いて、前記鍵の使用期限が無期限であることを示すため
の値を定めて用いることを特徴とする。

【００３５】請求項１２の本発明の通信装置は、鍵のラ
イフタイプにおける使用期限を示すパラメータ及び送信
データ量の上限を示すパラメータの少なくとも一方にお
いて、“０”の値が設定されている場合に、当該鍵の使
用期限が無期限であることを示すものとすることを特徴
とする。

【００３６】請求項１３の本発明の通信装置は、前記鍵
の使用期限が無期限であることを示すための属性クラス
を設定して用いることを特徴とする。

【００３７】請求項１４の本発明の通信装置は、鍵の使
用期限として無期限を設定した通信相手の通信装置との
間で、鍵交換の再実行を行う手段を備えることを特徴と
する。

【００３８】請求項１５の本発明の鍵管理方法は、セキ
ュリティ通信を行う通信装置間において、鍵を通信相手
と交換し設定する鍵管理方法において、前記鍵の使用期
限として無期限を設定することができるようにしたこと
を特徴とする。

【００３９】請求項１６の本発明の鍵管理方法は、前記
通信相手に対し鍵の使用期限を無期限とする通信設定の
提案を作成して送信するステップと、前記通信相手から
鍵の使用期限を無期限とする前記通信設定の提案を受信
した場合に限り、当該通信設定の提案を受け入れる旨の
回答を返すステップを備えることを特徴とする。

【００４０】請求項１７の本発明の鍵管理方法は、前記
鍵の使用期限が無期限であることを示すためのライフタ
イプを設定して用いることを特徴とする。

【００４１】請求項１８の本発明の鍵管理方法は、鍵の
ライフタイプにおける使用期限を示すパラメータ及び送
信データ量の上限を示すパラメータの少なくとも一方に
おいて、前記鍵の使用期限が無期限であることを示すた
めの値を定めて用いることを特徴とする。

【００４２】請求項１９の本発明の鍵管理方法は、鍵の
ライフタイプにおける使用期限を示すパラメータ及び送
信データ量の上限を示すパラメータの少なくとも一方に
おいて、“０”の値が設定されている場合に、当該鍵の
使用期限が無期限であることを示すものとすることを特
徴とする。

【００４３】請求項２０の本発明の鍵管理方法は、前記
鍵の使用期限が無期限であることを示すための属性クラ
スを設定して用いることを特徴とする。

【００４４】請求項２１の本発明の鍵管理方法は、前記
通信装置が、鍵の使用期限として無期限を設定した通信
相手の通信装置との間で、鍵交換の再実行を行う手段を
備えることを特徴とする。

【００４５】請求項２２の本発明の鍵管理プログラム
は、セキュリティ通信を行う通信装置間において、コン
ピュータを制御することにより鍵を通信相手と交換し設
定する鍵管理プログラムにおいて、前記鍵の使用期限と
して無期限を設定する処理を実行させることを特徴とす
る。

【００４６】請求項２３の本発明の鍵管理プログラム
は、前記通信相手に対し鍵の使用期限を無期限とする通
信設定の提案を作成して送信する処理と、前記通信相手
から鍵の使用期限を無期限とする前記通信設定の提案を
受信した場合に限り、当該通信設定の提案を受け入れる
旨の回答を返す処理を実行させることを特徴とする。

【００４７】請求項２４の本発明の鍵管理プログラム
は、前記鍵の使用期限が無期限であることを示すための
ライフタイプを設定して用いることを特徴とする。

【００４８】請求項２５の本発明の鍵管理プログラム
は、鍵のライフタイプにおける使用期限を示すパラメー
タ及び送信データ量の上限を示すパラメータの少なくと
も一方において、前記鍵の使用期限が無期限であること
を示すための値を定めて用いることを特徴とする。

【００４９】請求項２６の本発明の鍵管理プログラム
は、鍵のライフタイプにおける使用期限を示すパラメー
タ及び送信データ量の上限を示すパラメータの少なくと
も一方において、“０”の値が設定されている場合に、
当該鍵の使用期限が無期限であることを示すものとする
ことを特徴とする。

【００５０】請求項２７の本発明の鍵管理プログラム
は、前記鍵の使用期限が無期限であることを示すための
属性クラスを設定して用いることを特徴とする。

【００５１】請求項２８の本発明の鍵管理プログラム
は、前記通信装置において、鍵の使用期限として無期限
を設定した通信相手の通信装置との間で、鍵交換の再実
行を行う処理を実行させることを特徴とする。

【００５２】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を参照して詳細に説明する。

【００５３】本発明の自動鍵管理システムは、自動鍵管
理プロトコル（ISAKMP）において、作成する鍵（ＳＡ：
Security Association）の使用期限を無期限に設定する
機能を備えることを特徴とする、これにより、管理者の
不在時に鍵の使用期限が切れて通信不能になる等の従来
の問題点を解消する。

【００５４】本発明は、自動鍵交換を行うシステム（図
５、図６等）で利用される自動鍵交換プロトコル（ＩＫ
Ｅ）において、Security Association（ＳＡ）の使用期
限を無期限に設定可能にするのであり、また、本発明の
処理は鍵交換を実際に行う装置（例えば、図５のａと
ｂ、図６のＡとＢ）において機能するものである。

【００５５】図１は、本発明の第１の実施の形態による
通信装置１００の構成を示すブロック図である。図１の
通信装置は、例えば図５のａとｂ、図６のＡとＢに示さ
れるように鍵交換を実行する通信装置であり、本実施の
形態では以下に説明するように無期限を設定した鍵交換
を行う。

【００５６】図１を参照すると、本実施の形態の通信装
置１００は、イニシエータ１０（initiator）とレスポ
ンダ２０（responder）を備えている。ＩＫＥ（自動鍵
交換プロトコル）では、通信設定を提案するイニシエー
タ１０としての動作と、提案された内容をチェックし
て、それに対する応答を返すレスポンダ２０としての動
作が存在する。ＩＫＥが終了して鍵が作成されればイニ
シエータ１０、レスポンダ２０ともに同じようにその鍵
を用いて通信を行う。

【００５７】まず、通信設定を提案する側であるイニシ
エータ１０の動作を説明する。図２は、本実施の形態に
よる通信装置１００の、通信設定を提案するイニシエー
タ１０の処理を説明するためのフローチャートである。

【００５８】図２を参照するとイニシエータ１０は、ま
ず無期限の鍵を使用したい通信相手に対する設定に、鍵
のライフタイプ（lifetype、寿命のタイプ）として無期
限を設定する（ステップ２０１）。そして、ＩＫＥパケ
ットにおけるＳＡ提案データ（通信設定の提案データ）
において、ライフタイプとして無期限を設定したパケッ
トを通信相手に送信する（ステップ２０２）。その後、
通信相手が、ＳＡ提案を受け入れた旨の応答を返してき
た場合には（ステップ２０３、２０４）、無期限を設定
した鍵を作成する（ステップ２０５）。

【００５９】次に、通信設定の提案に応答する側である
レスポンダ２０の動作を説明する。図３は、本実施の形
態による通信装置１００の、通信設定の提案に応答する
レスポンダ２０の処理を説明するためのフローチャート
である。

【００６０】図３を参照するとレスポンダ２０は、まず
無期限の鍵を使用したい通信相手に対する設定に、鍵の
ライフタイプとして無期限を設定する（ステップ３０
１）。そして、通信相手の通信装置のイニシエータ１０
から、ライフタイプとして無期限を設定したパケットを
送信された場合のみ（ステップ３０２、３０３）、その
通信設定の提案を受け入れた旨の応答を返す（ステップ
３０４）。また、それ以外のライフタイプの提案があっ
た場合には、提案を拒否する旨の応答を返す（ステップ
３０５）。その後、通信相手の通信装置のイニシエータ
１０から、応答確認のパケットが送信されてきた場合に
は（ステップ３０６）、無期限を設定した鍵を作成する
（ステップ３０７）。

【００６１】上記鍵交換のやり取りの基本構造は、RFC2
409に規定されているやり取りの大枠に基づくものであ
る。

【００６２】なお、現在ライフタイプとしては、RFC240
9において表１に示されるように、作成されてから使用
期限切れまでの時間（seconds）を定義するための
“１”と、この暗号通信により送受信することのできる
パケット合計サイズの上限（kilobytes）を定義するた
めの“２”が用いられている。また、“３”から“６５
０００”までの値がＩＡＮＡにより予約されている。よ
って無期限を定義するライフタイプの値としては、表１
のライフタイプの規定に反しない適当な値（６５００１
〜６５５３５）を使用する。

【表１】

【００６３】このように、本実施の形態の自動鍵管理シ
ステムにおいては、ライフタイプとして無期限という新
たな定義を加え、鍵交換を提案する通信装置１００のイ
ニシエータ１０と、鍵交換の提案に応答する通信装置１
００のレスポンダ２０との間で、その定義されたライフ
タイプの使用を合意する。そして、本実施の形態のレス
ポンダ２０においては、無期限のライフタイプが設定さ
れている場合においては、イニシエータ１０から無期限
のライフタイプが送られてきた場合に限りその提案を受
け入れて、それ以外のライフタイプが送られてきた場合
には提案を拒否する。

【００６４】そして、鍵作成後は、鍵の寿命をチェック
する処理は不要となり、管理者から明示的に鍵を削除す
るよう操作されるまで作成された鍵を使い続けることが
できる。

【００６５】つまり、本発明では、最初に鍵交換を行う
双方のマシンに鍵（ＳＡ：SecurityAssociation）の使
用期限として無期限を設定し、それを鍵交換時に双方か
らパラメータとして送り合い合意する。これにより、鍵
の使用期限設定の矛盾による通信不能状態の発生を避け
る。また、鍵が半永久的に使えることにより、システム
ダウンが発生した場合においても、従来のようにシステ
ムダウン中に消費した時間をカウントできないことによ
り保持している鍵を破棄することになる等の問題が解消
され、マシンが鍵のデータを安全に保管している限り、
システムダウンやリブート時にも容易に復旧させること
ができる。また、鍵の使用期限切れが発生しないため、
従来のように管理者不在時にも自動的に鍵交換が実行さ
れてしまい、これが失敗し通信が出来なくなるという問
題が解消される。

【００６６】また、無期限を設定した鍵交換が正常終了
して鍵が作成された後、半永久的に同じ鍵を使い続ける
ことはセキュリティ上望ましくない。そこで、セキュリ
ティレベルの低下を防ぐために、鍵交換を行った２つの
マシンの管理者がエラー等が発生しても即時対応できる
状態で、以下に示されるように鍵交換の再実行を行うこ
とが好ましい。

【００６７】図４は、本実施の形態による無期限を設定
した鍵の、鍵交換の再実行の処理を説明するためのフロ
ーチャートである。

【００６８】図４を参照すると、本実施の形態の鍵交換
の再実行では、まず管理者は、鍵作成コマンドを実行す
る等して明示的に鍵交換の再実行を指示する（ステップ
４０１）。そして、本実施の形態の通信装置１００は、
鍵交換の再実行の指示に基づいて、上述の鍵交換の処理
と同様にして通信相手の通信装置と鍵交換を実行する
（ステップ４０２）。そして、新しい鍵が作成されたこ
とを確認の上（ステップ４０３）、古い鍵を削除して新
しい鍵を使うよう設定変更する（ステップ４０４）。ま
た、上記鍵交換の再実行の作業は、定期的に行うことが
好ましい。。

【００６９】以上説明したように本実施の形態の自動鍵
管理システムによれば、一度作成した鍵（Security Ass
ociation）を無期限で使用可能とすることができ、これ
により、鍵の使用期限切れによる通信不能状態の発生が
解消され、また、通信を行う２つのマシン間での鍵の使
用期限の不一致の発生が解消される。

【００７０】本実施の形態の自動鍵管理システムは、鍵
の使用期限についての拡張以外は自動鍵管理システムに
変更を加える必要がなく、またこのため従来の自動鍵管
理システムにおける設定の容易性等の利点を享受するこ
とができ、無期限に使用できる鍵を従来の手動鍵管理シ
ステムによる方法よりも遥かに容易に設定することが可
能となる。

【００７１】次に、本発明の他の実施の形態を説明す
る。鍵において無期限を設定するためには、先の第１の
実施の形態において示されたライフタイプに新たな定義
を追加する方法以外にも、以下のような様々な方法が実
施することができる。

【００７２】無期限の鍵を使用する提案のフォーマット
の第２の実施例として、新たなライフタイプを定義する
のではなく、現行のライフタイプに規定されるseconds
もしくはkilobytesの値として、例えば“０”等の値
を、新たに無期限を意味する値として設定する方式が同
様に実施することができる。

【００７３】無期限の鍵を使用する提案のフォーマット
の第３の実施例として、属性クラス（Attribute Clas
s、RFC2409 Appendix A参照）に無期限を意味する値を
新たにアサインする方式が同様に実施することができ
る。

【００７４】なお、現在属性クラス（attribute Clas
s）としては、RFC2409 Appendix Aにおいて表２に示さ
れるように、ライフタイプ（Life Type）を定義する
“１１”を含めて“１”から“１６”までの値が定義さ
れており、また“１７”から“１６３８３”までの値が
ＩＡＮＡにより予約されている。よって無期限を定義す
る属性クラスの値としては、表２のライフタイプの規定
に反しない適当な値（１６３８４〜３２７６７）を使用
することができる。

【表２】

【００７５】なお、上記各実施の形態の自動鍵管理シス
テムは、通信装置１００におけるイニシエータ１０の通
信設定の提案の機能や、提案に対するレスポンダ２０の
応答の機能や、鍵交換の再実行等のその他の機能をハー
ドウェア的に実現することは勿論として、各機能を備え
るコンピュータプログラムである鍵管理プログラムを、
コンピュータ処理装置のメモリにロードされることで実
現することができる。この鍵管理プログラムは、磁気デ
ィスク、半導体メモリその他の記録媒体９０に格納され
る。そして、その記録媒体からコンピュータ処理装置に
ロードされ、コンピュータ処理装置の動作を制御するこ
とにより、上述した各機能を実現する。

【００７６】以上好ましい実施の形態及び実施例をあげ
て本発明を説明したが、本発明は必ずしも上記実施の形
態及び実施例に限定されるものではなく、その技術的思
想の範囲内において様々に変形して実施することができ
る。

【００７７】

【発明の効果】以上説明したように本発明の自動鍵管理
システムとその鍵管理方法、及び鍵管理プログラムによ
れば、以下のような効果が達成される。

【００７８】第１に、本発明によれば、一度作成した鍵
（ＳＡ：Security Association）を無期限で使用可能と
することにより、鍵の使用期限切れにより発生する危険
がある通信不能状態を回避することができる。また、鍵
のデータを無期限に保持することにより、マシンのリブ
ート時にもデータを復旧させることが容易となる。

【００７９】第２に、本発明によれば、自動鍵交換時に
無期限という鍵の使用期限を規定して、これを受け入れ
ることを無期限の鍵を受け入れることと規定することに
より、通信を行う２つのマシン間での鍵の使用期限の不
一致を回避することができる。

【００８０】第３に、本発明によれば、鍵の使用期限に
ついての拡張以外は自動鍵管理システムに変更を加えな
いため、自動鍵管理システムの設定の容易性をそのまま
享受することができ、手動鍵管理システムと同じく無期
限に使用できる鍵を使用しながらも、鍵のパラメータ変
更が手動鍵管理システムに比べて簡単に行うことができ
る。

【００８１】第４に、本発明によれば、鍵交換プロトコ
ルを起動させるのみでマシンの管理者が鍵のデータを変
更させることができるので、手動鍵管理システムで鍵を
変更するよりもずっと容易に鍵を変更することができ
る。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態による通信装置の
構成を示すブロック図である。

【図２】本発明の第１の実施の形態による無期限を設
定した鍵交換を提案する側の通信装置の処理を説明する
ためのフローチャートである。

【図３】本発明の第１の実施の形態による無期限を設
定した鍵交換の提案に応答する側の通信装置の処理を説
明するためのフローチャートである。

【図４】本発明の第１の実施の形態による無期限を設
定した鍵の鍵交換の再実行の処理を説明するためのフロ
ーチャートである。

【図５】自動鍵交換を行う通信装置のネットワーク構
成の一例を示すブロック図である。

【図６】自動鍵交換を行う通信装置のネットワーク構
成の一例を示すブロック図である。

【符号の説明】

１００通信装置１０イニシエータ（initiator）２０レスポンダ（responder）５０ゲートウェイ（gateway）６０ユーザ端末９０記録媒体

Claims

【特許請求の範囲】

【請求項１】セキュリティ通信を行う通信装置間にお
いて、鍵を通信相手と交換し設定する自動鍵管理システ
ムにおいて、前記通信装置は、前記鍵の使用期限として無期限を設定することができる
機能を備えることを特徴とする自動鍵管理システム。
【請求項２】前記通信装置は、通信設定を提案するイニシエータと、応答を返すレスポンダを備え、前記イニシエータは、通信相手との間の鍵の使用期限に無期限を設定する場合
には、前記通信相手に対し鍵の使用期限を無期限とする
通信設定の提案を作成して送信し、前記レスポンダは、通信相手との間の鍵の使用期限に無期限を設定する場合
には、前記通信相手から鍵の使用期限を無期限とする前
記通信設定の提案を受信した場合に限り、当該通信設定
の提案を受け入れる旨の回答を返すことを特徴とする請
求項１に記載の自動鍵管理システム。
【請求項３】前記鍵の使用期限が無期限であることを
示すためのライフタイプを設定して用いることを特徴と
する請求項２に記載の自動鍵管理システム。
【請求項４】鍵のライフタイプにおける使用期限を示
すパラメータ及び送信データ量の上限を示すパラメータ
の少なくとも一方において、前記鍵の使用期限が無期限
であることを示すための値を定めて用いることを特徴と
する請求項２に記載の自動鍵管理システム。
【請求項５】鍵のライフタイプにおける使用期限を示
すパラメータ及び送信データ量の上限を示すパラメータ
の少なくとも一方において、“０”の値が設定されてい
る場合に、当該鍵の使用期限が無期限であることを示す
ものとすることを特徴とする請求項４に記載の自動鍵管
理システム。
【請求項６】前記鍵の使用期限が無期限であることを
示すための属性クラスを設定して用いることを特徴とす
る請求項２に記載の自動鍵管理システム。
【請求項７】前記通信装置は、鍵の使用期限として無期限を設定した通信相手の通信装
置との間で、鍵交換の再実行を行う手段を備えることを
特徴とする請求項２から請求項６のいずれか１つに記載
の自動鍵管理システム。
【請求項８】自動鍵管理により鍵を通信相手と交換し
て設定し、セキュリティ通信を行う通信装置において、前記鍵の使用期限として無期限を設定することができる
機能を備えることを特徴とする通信装置。
【請求項９】通信設定を提案するイニシエータと、応答を返すレスポンダを備え、前記イニシエータは、通信相手との間の鍵の使用期限に無期限を設定する場合
には、前記通信相手に対し鍵の使用期限を無期限とする
通信設定の提案を作成して送信し、前記レスポンダは、通信相手との間の鍵の使用期限に無期限を設定する場合
には、前記通信相手から鍵の使用期限を無期限とする前
記通信設定の提案を受信した場合に限り、当該通信設定
の提案を受け入れる旨の回答を返すことを特徴とする請
求項８に記載の通信装置。
【請求項１０】前記鍵の使用期限が無期限であること
を示すためのライフタイプを設定して用いることを特徴
とする請求項９に記載の通信装置。
【請求項１１】鍵のライフタイプにおける使用期限を
示すパラメータ及び送信データ量の上限を示すパラメー
タの少なくとも一方において、前記鍵の使用期限が無期
限であることを示すための値を定めて用いることを特徴
とする請求項９に記載の通信装置。
【請求項１２】鍵のライフタイプにおける使用期限を
示すパラメータ及び送信データ量の上限を示すパラメー
タの少なくとも一方において、“０”の値が設定されて
いる場合に、当該鍵の使用期限が無期限であることを示
すものとすることを特徴とする請求項１１に記載の通信
装置。
【請求項１３】前記鍵の使用期限が無期限であること
を示すための属性クラスを設定して用いることを特徴と
する請求項９に記載の通信装置。
【請求項１４】鍵の使用期限として無期限を設定した通
信相手の通信装置との間で、鍵交換の再実行を行う手段
を備えることを特徴とする請求項９から請求項１３のい
ずれか１つに記載の通信装置。
【請求項１５】セキュリティ通信を行う通信装置間に
おいて、鍵を通信相手と交換し設定する鍵管理方法にお
いて、前記鍵の使用期限として無期限を設定することができる
ようにしたことを特徴とする鍵管理方法。
【請求項１６】前記通信相手に対し鍵の使用期限を無
期限とする通信設定の提案を作成して送信するステップ
と、前記通信相手から鍵の使用期限を無期限とする前記通信
設定の提案を受信した場合に限り、当該通信設定の提案
を受け入れる旨の回答を返すステップを備えることを特
徴とする請求項１５に記載の鍵管理方法。
【請求項１７】前記鍵の使用期限が無期限であること
を示すためのライフタイプを設定して用いることを特徴
とする請求項１６に記載の鍵管理方法。
【請求項１８】鍵のライフタイプにおける使用期限を
示すパラメータ及び送信データ量の上限を示すパラメー
タの少なくとも一方において、前記鍵の使用期限が無期
限であることを示すための値を定めて用いることを特徴
とする請求項１６に記載の鍵管理方法。
【請求項１９】鍵のライフタイプにおける使用期限を
示すパラメータ及び送信データ量の上限を示すパラメー
タの少なくとも一方において、“０”の値が設定されて
いる場合に、当該鍵の使用期限が無期限であることを示
すものとすることを特徴とする請求項１８に記載の鍵管
理方法。
【請求項２０】前記鍵の使用期限が無期限であること
を示すための属性クラスを設定して用いることを特徴と
する請求項１６に記載の鍵管理方法。
【請求項２１】前記通信装置が、鍵の使用期限として
無期限を設定した通信相手の通信装置との間で、鍵交換
の再実行を行う手段を備えることを特徴とする請求項１
６から請求項２０のいずれか１つに記載の鍵管理方法。
【請求項２２】セキュリティ通信を行う通信装置間に
おいて、コンピュータを制御することにより鍵を通信相
手と交換し設定する鍵管理プログラムにおいて、前記鍵の使用期限として無期限を設定する処理を実行さ
せることを特徴とする鍵管理プログラム。
【請求項２３】前記通信相手に対し鍵の使用期限を無
期限とする通信設定の提案を作成して送信する処理と、前記通信相手から鍵の使用期限を無期限とする前記通信
設定の提案を受信した場合に限り、当該通信設定の提案
を受け入れる旨の回答を返す処理を実行させることを特
徴とする請求項２２に記載の鍵管理プログラム。
【請求項２４】前記鍵の使用期限が無期限であること
を示すためのライフタイプを設定して用いることを特徴
とする請求項２３に記載の鍵管理プログラム。
【請求項２５】鍵のライフタイプにおける使用期限を
示すパラメータ及び送信データ量の上限を示すパラメー
タの少なくとも一方において、前記鍵の使用期限が無期
限であることを示すための値を定めて用いることを特徴
とする請求項２３に記載の鍵管理プログラム。
【請求項２６】鍵のライフタイプにおける使用期限を
示すパラメータ及び送信データ量の上限を示すパラメー
タの少なくとも一方において、“０”の値が設定されて
いる場合に、当該鍵の使用期限が無期限であることを示
すものとすることを特徴とする請求項２５に記載の鍵管
理プログラム。
【請求項２７】前記鍵の使用期限が無期限であること
を示すための属性クラスを設定して用いることを特徴と
する請求項２３に記載の鍵管理プログラム。
【請求項２８】前記通信装置において、鍵の使用期限
として無期限を設定した通信相手の通信装置との間で、
鍵交換の再実行を行う処理を実行させることを特徴とす
る請求項２３から請求項２７のいずれか１つに記載の鍵
管理プログラム。