JP2005080241A

JP2005080241A - アドレス解決方法、ネットワーク接続装置、探索側端末、および、広告側端末

Info

Publication number: JP2005080241A
Application number: JP2003311935A
Authority: JP
Inventors: Mayumi Yanagiya; 真由美柳谷; Koji Takagi; 康志高木; Akira Kurokawa; 章黒川
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-09-03
Filing date: 2003-09-03
Publication date: 2005-03-24

Abstract

【課題】アドレス解決を行うシステムにおいて、近隣広告メッセージの信頼性を保証すること。
【解決手段】アドレス解決システムは、広告側端末３０が広告側端末３０のレイヤ２アドレスを含む近隣広告メッセージを作成する手順と、ネットワーク接続装置１０が広告側端末３０によって暗号化された近隣広告メッセージを復号化する手順と、ネットワーク接続装置１０が近隣広告メッセージの復号化に成功した場合に近隣広告メッセージを探索側端末２０に転送する手順と、探索側端末２０が受信した近隣広告メッセージに含まれる広告側端末３０のレイヤ２アドレスを基に近隣広告メッセージの検索対象のアドレスおよび検索対象のアドレスに対応するレイヤ２アドレスを検証する手順と、探索側端末２０が検証に成功した近隣広告メッセージを基にアドレス解決を行う手順と、を実行する。
【選択図】図１

Description

本発明は、アドレス解決方法、ネットワーク接続装置、探索側端末、および、広告側端末に関する。

レイヤ３アドレスから対応するレイヤ２アドレスを検索するアドレス解決は、通信相手のレイヤ３アドレスを知っている端末が、通信相手のレイヤ２アドレスを求め、そのレイヤ２アドレスを基にデータを送信する、などの用途に使用されている。ここで、“レイヤ２”、“レイヤ３”の表記は、ＯＳＩ参照モデル（Open System Interconnection reference model）におけるネットワークの階層の番号に対応する。なお、レイヤ２アドレスは、例えば、ＩＰｖ６（Internet Protocol version 6）におけるリンクローカルアドレス（イーサネット（Ｒ）の場合はＭＡＣ（Media Access Control）アドレス）である。また、レイヤ３アドレスは、例えば、ＩＰｖ６アドレスである。

アドレス解決の一例として、ＩＰｖ６アドレスを生成する際に利用される近隣探索プロトコル（Neighbor Discovery）が挙げられる（非特許文献１、非特許文献２参照）。近隣探索プロトコルは、近隣探索メッセージ（Neighbor Solicitation Message）と、近隣広告メッセージ（Neighbor Advertisement Message）との組を利用して実行される。まず、アドレス解決を要求する探索側端末が、検索対象のアドレスを含めた近隣探索メッセージを不特定の相手の端末に問い合わせる。そして、近隣探索メッセージを受信した広告側端末は、検索対象のアドレスと自らのアドレスとを照合し、一致する場合に、自らのレイヤ２アドレスを含めた近隣広告メッセージを探索側端末に返信する。これにより、探索側端末は、受信した近隣広告メッセージから、検索対象のアドレスとレイヤ２アドレスとの対応情報を得ることができる。
The Internet Engineering Task Force(IETF)、"Internet Protocol, Version 6 (IPv6) Specification"、[online]、平成１０年１２月、IETF Network Working Group、[平成１５年８月２９日検索]、インターネット＜URL:http://www.ietf.org/rfc/rfc2460.txt＞ The Internet Engineering Task Force(IETF)、"Neighbor Discovery for IP Version 6 (IPv6)"、[online]、平成１０年１２月、IETF Network Working Group、[平成１５年８月２９日検索]、インターネット＜URL:http://www.ietf.org/rfc/rfc2461.txt＞

しかし、近隣探索メッセージは、不特定の相手の端末に送信されるため、近隣探索メッセージに含まれる検索対象のアドレスを有していない端末も、近隣探索メッセージを受信可能である。よって、検索対象のアドレスを有していない不正な端末が、検索対象のアドレスを有する端末になりすまして、近隣広告メッセージを送信することが問題となる。

もし、近隣広告メッセージが、検索対象のアドレスとは対応していないレイヤ２アドレス（例えば、不正な端末のレイヤ２アドレス）を含んでいる場合には、その近隣広告メッセージを受信した探索側端末は、誤った対応情報を、アドレス対応表である近隣キャッシュ（Neighbor Cache）に書き込んでしまう。その場合、以後探索側端末は、近隣キャッシュを参照して、誤った宛先にパケットを送信し続けてしまう不都合が発生する。

また、探索側端末が今後使用を所望するＩＰアドレスを検索対象のアドレスとして近隣探索メッセージに含ませて近隣探索を行った場合、その検索対象のアドレスが他のどの端末にも使用されていない（つまり、探索側端末が今後使用可能である）にもかかわらず、不正な端末が、誤った近隣広告メッセージを返信し続けることも起こりうる。その場合、探索側端末は、使用を所望するＩＰアドレスの取得が行えないため、ネットワークの使用が出来なくなるという不都合が発生する。

これらの不都合は、近隣広告メッセージの送信元が正しく認証されないために発生してしまう。よって、アドレス解決を行うシステムは、近隣広告メッセージの信頼性を保証することが必要となる。

そこで、本発明では、前記した問題を解決し、アドレス解決を行うシステムにおいて、近隣広告メッセージの信頼性を保証することを主な目的とする。

前記課題を解決するため、請求項１に記載の発明は、ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決を要求する端末である探索側端末と、アドレス解決に回答する端末である広告側端末と、を含めて構成されるアドレス解決システムを使用するアドレス解決方法であって、
前記認証装置が前記探索側端末を認証して、探索側端末の暗号鍵および探索側端末のレイヤ３アドレスを含む資源情報を前記探索側端末および前記ネットワーク接続装置に通知して記録させる手順と、前記認証装置が広告側端末を認証して、広告側端末の暗号鍵および広告側端末のレイヤ３アドレスを含む資源情報を前記広告側端末および前記ネットワーク接続装置に通知して記録させる手順と、
前記探索側端末が前記探索側端末のレイヤ２アドレスから生成された検索対象のアドレスを含む近隣探索メッセージを作成および送信する手順と、前記検索対象のアドレスを有する広告側端末が前記広告側端末のレイヤ２アドレスを含む近隣広告メッセージを作成する手順と、前記広告側端末が前記広告側端末の暗号鍵を基にして前記近隣広告メッセージを暗号化してから送信する手順と、前記ネットワーク接続装置が前記広告側端末の暗号鍵を基にして暗号化された前記近隣広告メッセージを復号化する手順と、前記ネットワーク接続装置が前記近隣広告メッセージの復号化に成功した場合に前記近隣広告メッセージを前記探索側端末に転送する手順と、
前記探索側端末が受信した前記近隣広告メッセージに含まれる広告側端末のレイヤ２アドレスを基に近隣広告メッセージの検索対象のアドレスおよび検索対象のアドレスに対応するレイヤ２アドレスを検証する手順と、前記探索側端末が検証に成功した前記近隣広告メッセージを基にアドレス解決を行う手順と、を含めて実行することを特徴とする。

また、請求項２に記載の発明は、ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、レイヤ３アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決を要求する端末である探索側端末と、アドレス解決に回答する端末である広告側端末と、を含めて構成されるアドレス解決システムを使用するアドレス解決方法であって、
前記認証装置が前記探索側端末を認証して、探索側端末の暗号鍵および探索側端末のレイヤ３アドレスを含む資源情報を前記探索側端末および前記ネットワーク接続装置に通知して記録させる手順と、前記認証装置が広告側端末を認証して、広告側端末の暗号鍵および広告側端末のレイヤ３アドレスを含む資源情報を前記広告側端末および前記ネットワーク接続装置に通知して記録させる手順と、
前記探索側端末が検索対象のアドレスを含む近隣探索メッセージを作成および送信する手順と、前記検索対象のアドレスを有する広告側端末が前記広告側端末のレイヤ２アドレスを含む近隣広告メッセージを作成する手順と、前記広告側端末が前記広告側端末の暗号鍵を基にして前記近隣広告メッセージを暗号化してから送信する手順と、前記ネットワーク接続装置が前記広告側端末の暗号鍵を基にして暗号化された前記近隣広告メッセージを復号化する手順と、前記ネットワーク接続装置が前記近隣広告メッセージの復号化に成功した場合に、前記近隣広告メッセージのヘッダに含まれる広告側端末のレイヤ３アドレスと広告側端末のレイヤ２アドレスとの対応情報が前記アドレス対応データベースに記録されている対応情報と一致するか照合する手順と、前記ネットワーク接続装置が前記対応情報の一致した近隣広告メッセージを前記探索側端末に転送する手順と、
前記探索側端末が受信した前記近隣広告メッセージのヘッダに含まれる広告側端末のレイヤ２アドレスと、前記近隣広告メッセージに含まれる検索対象のアドレスに対応するレイヤ２アドレスが一致するかを検証する手順と、前記探索側端末が受信した前記近隣広告メッセージのヘッダに含まれる広告側端末のレイヤ３アドレスと、前記近隣広告メッセージに含まれる検索対象のアドレスが一致するかを検証する手順と、前記探索側端末が検証に成功した前記近隣広告メッセージを基にアドレス解決を行う手順と、を含めて実行することを特徴とする。

さらに、請求項３に記載の発明は、請求項１または請求項２に記載のアドレス解決方法であって、前記ネットワーク接続装置が前記広告側端末の暗号鍵を基にして暗号化された前記近隣広告メッセージを復号化する手順は、前記ネットワーク接続装置が、前記近隣広告メッセージのヘッダに含まれる送信元のレイヤ２アドレスを基にして前記アドレス対応データベースを検索し、復号化に使用する前記広告側端末の暗号鍵を取得することを特徴とする。

そして、請求項４に記載の発明は、請求項１ないし請求項３のいずれか１項に記載のアドレス解決方法であって、前記探索側端末が近隣探索メッセージを作成および送信する手順は、前記探索側端末が前記認証装置によって割り当てられたマルチキャスト用の暗号鍵を基にして作成した近隣探索メッセージを暗号化してから送信し、前記広告側端末が前記マルチキャスト用の暗号鍵を基にして前記作成した近隣探索メッセージを復号化する手順、を含めて実行することを特徴とする。

さらに、請求項５に記載の発明は、請求項１ないし請求項４のいずれか１項に記載のアドレス解決方法であって、前記ネットワーク接続装置が前記近隣広告メッセージを前記探索側端末に転送する手順は、前記ネットワーク接続装置が前記探索側端末の暗号鍵を基にして前記近隣広告メッセージを暗号化してから送信し、前記探索側端末が前記探索側端末の暗号鍵を基にして受信した前記近隣広告メッセージを復号化する手順を含めて実行することを特徴とする。

そして、請求項６に記載の発明は、請求項１ないし請求項５のいずれか１項に記載のアドレス解決方法であって、前記ネットワーク接続装置が前記広告側端末の暗号鍵を基にして暗号化された前記近隣広告メッセージを復号化する手順は、復号化された前記近隣広告メッセージに含まれる誤り検出符号を用いて前記近隣広告メッセージの誤り検出処理を行い、誤りが発見されなかった場合に前記近隣広告メッセージの復号化が成功したとみなすことを特徴とする。

さらに、請求項７に記載の発明は、ネットワークの利用許可を与えるための認証を行う認証装置と、通信を仲介するネットワーク接続装置と、を含めて構成されるアドレス解決システムにおけるアドレス解決方法であって、
前記ネットワーク接続装置を、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースと、受信したパケットについて、前記受信したパケットのヘッダ情報から前記アドレス対応データベースを検索して認証装置が認証した前記端末ごとの暗号鍵を取得し、前記端末ごとの暗号鍵によって前記受信したパケットへの復号化が成功するパケットを転送するパケット転送部、として機能させることを特徴とする。

そして、請求項８に記載の発明は、ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決を要求する端末である探索側端末と、を含めて構成されるアドレス解決システムにおけるアドレス解決方法であって、
前記探索側端末を、ネットワークの利用許可を得るための認証を前記認証装置に要求する認証要求部と、前記認証装置から割り当てられた暗号鍵を記録する暗号鍵記録部と、前記暗号鍵記録部に記録された暗号鍵を用いて近隣探索メッセージを暗号化して近隣探索を行う近隣探索部、として機能させることを特徴とする。

さらに、請求項９に記載の発明は、ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決に回答する端末である広告側端末と、を含めて構成されるアドレス解決システムにおけるアドレス解決方法であって、
前記広告側端末を、ネットワークの利用許可を得るための認証を前記認証装置に要求する認証要求部と、前記認証装置から割り当てられた暗号鍵を記録する暗号鍵記録部と、前記暗号鍵記録部に記録された暗号鍵を用いて近隣広告メッセージを暗号化して近隣広告を行う近隣広告部、として機能させることを特徴とする。

そして、請求項１０に記載の発明は、ネットワークの利用許可を与えるための認証を行う認証装置と、通信を仲介するネットワーク接続装置と、を含めて構成されるアドレス解決システムにおける前記ネットワーク接続装置であって、
前記ネットワーク接続装置は、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースと、受信したパケットについて、前記受信したパケットのヘッダ情報から前記アドレス対応データベースを検索して認証装置が認証した前記端末ごとの暗号鍵を取得し、前記端末ごとの暗号鍵によって前記受信したパケットへの復号化が成功するパケットを転送するパケット転送部と、を含めて構成されることを特徴とする。

さらに、請求項１１に記載の発明は、ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決を要求する端末である探索側端末と、を含めて構成されるアドレス解決システムにおける前記探索側端末であって、
前記探索側端末は、ネットワークの利用許可を得るための認証を前記認証装置に要求する認証要求部と、前記認証装置から割り当てられた暗号鍵を記録する暗号鍵記録部と、前記暗号鍵記録部に記録された暗号鍵を用いて近隣探索メッセージを暗号化して近隣探索を行う近隣探索部と、を含めて構成されることを特徴とする。

そして、請求項１２に記載の発明は、ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決に回答する端末である広告側端末と、を含めて構成されるアドレス解決システムにおける前記広告側端末であって、
前記広告側端末は、ネットワークの利用許可を得るための認証を前記認証装置に要求する認証要求部と、前記認証装置から割り当てられた暗号鍵を記録する暗号鍵記録部と、前記暗号鍵記録部に記録された暗号鍵を用いて近隣広告メッセージを暗号化して近隣広告を行う近隣広告部と、を含めて構成されることを特徴とする。

このようなアドレス解決方法によれば、広告側端末は近隣広告メッセージを送信する際に広告側端末の暗号鍵で暗号化し、ネットワーク接続装置は、近隣広告メッセージを広告側端末の暗号鍵で復号化可能かどうかを検証する。これにより、近隣広告メッセージの暗号化が可能な端末はネットワーク接続装置と広告側端末だけなので、近隣広告メッセージの送信元が広告側端末であると認証することができる。よって、近隣広告メッセージの信頼性を保証することができる。

以下に、本発明が適用されるアドレス解決システムの第１実施形態について、図面を参照して詳細に説明する。まず、本実施形態のアドレス解決システムの構成について、図１から図３を参照して説明する。

図１は、本発明の一実施形態に関するアドレス解決システムの構成図である。アドレス解決システムは、広告側端末３０からの近隣広告メッセージの信頼性を保証する機能を有する。そのため、アドレス解決システムは、探索側端末２０と広告側端末３０との通信を仲介するネットワーク接続装置１０と、ネットワークの利用許可を与えるための認証を行う認証装置１２と、アドレス解決を要求する端末である探索側端末２０と、アドレス解決に回答する端末である広告側端末３０と、を含んで構成される。なお、アドレス解決システムの各装置は、ネットワーク接続装置１０によって接続され、相互に通信可能となっている。また、ネットワーク接続装置１０は、図示しない別のネットワークとも接続し、別のネットワークと、アドレス解決システムの各装置との通信を仲介する処理を行ってもよい。

なお、認証装置１２は、認証装置１２が認証相手に割り当てる資源を記録する割当資源データベース１４を含んで構成される。認証装置１２は、例えば、ＲＡＤＩＵＳサーバによって構成される。また、ネットワーク接続装置１０は、認証装置１２が認証した端末のパケットを転送するパケット転送部１６と、認証装置１２が認証した端末に関するアドレスの対応を記録するアドレス対応データベース１８と、を含んで構成される。ネットワーク接続装置１０は、例えば、レイヤ２スイッチとして構成される。また、ネットワーク接続装置１０は、無線ＬＡＮアクセスポイントとして構成されてもよく、その場合は、例えば８０２．１ｘ認証を用いて、通信させる端末を認証する。

探索側端末２０は、ネットワークの利用許可を得るための認証を要求する認証要求部２２と、通信に使用される暗号鍵を記録する暗号鍵記録部２４と、近隣探索メッセージの作成などのアドレス解決を要求する処理を行う近隣探索部２６と、を含んで構成される。

広告側端末３０は、ネットワークの利用許可を得るための認証を要求する認証要求部３２と、通信に使用される暗号鍵を記録する暗号鍵記録部３４と、近隣広告メッセージの作成などのアドレス解決に回答する処理を行う近隣広告部３６と、を含んで構成される。ここで、認証要求部（２２または３２）は、例えば、ＲＡＤＩＵＳクライアントによって構成される。さらに、ＲＡＤＩＵＳクライアントは、ネットワーク接続装置１０内に構成される形態でもよい。その場合は、認証要求部（２２または３２）は、ネットワーク接続装置１０内のＲＡＤＩＵＳクライアントを実行させるための要求を送信する機能を有することによって構成される。

図２は、本発明の一実施形態に関するアドレス解決システムの暗号鍵の共有状態を示す図である。まず、認証装置１２（図１参照）は、探索側端末２０の認証要求を契機に、探索側端末２０のネットワークの利用許可についての認証を行い、認証が成功すると、探索側端末の暗号鍵Ｋ２０を、探索側端末２０に配送する。次に、認証装置１２は、広告側端末３０の認証要求を契機に、広告側端末３０のネットワークの利用許可についての認証を行い、認証が成功すると、広告側端末の暗号鍵Ｋ３０を、広告側端末３０に配送する。そして、認証装置１２は、宛先がブロードキャストアドレスやマルチキャストアドレスとなるパケットの送信に使用されるマルチキャスト用の暗号鍵ＫＭも、認証が成功した端末に併せて配送する。

よって、認証装置１２によって認証された各端末は、端末ごとにユニークな暗号鍵（探索側端末２０の暗号鍵Ｋ２０または広告側端末の暗号鍵Ｋ３０）と、マルチキャスト用の暗号鍵ＫＭとの２つの鍵を、認証装置１２から割り当てられる。さらに、ネットワーク接続装置１０は、自ら収容する端末に関する端末ごとのユニークな暗号鍵と、マルチキャスト用の暗号鍵ＫＭを、認証装置１２から割り当てられる。これにより、端末ごとのユニークな暗号鍵は、アドレス解決システム内のユニキャスト通信の安全性を保証するために使用される。つまり、探索側端末２０とネットワーク接続装置１０との通信は、送信側が探索側端末２０の暗号鍵Ｋ２０を用いてデータを暗号化し、受信側が、その探索側端末の暗号鍵Ｋ２０を用いてデータを復号化することもできる。そのため、探索側端末２０の暗号鍵Ｋ２０を保持していない他の端末（例えば、広告側端末３０）による、暗号化されたデータへのアクセスを防止することができる。

図３は、本発明の一実施形態に関するアドレス対応データベースの構成図である。アドレス対応データベース１８は、各端末に割り当てられた、レイヤ２アドレスとレイヤ３アドレスとの対応に加え、端末に割り当てられた暗号鍵も格納している。そして、各レコードが、各端末に相当する。例えば、探索側端末２０は、レイヤ２アドレスが“探索側端末のＭＡＣアドレス”に、レイヤ３アドレスが“探索側端末のＩＰアドレス”に、暗号鍵が“探索側端末の暗号鍵Ｋ２０”に、それぞれ割り当てられている。また、アドレス対応データベース１８は、マルチキャスト用の暗号鍵ＫＭも、保存している。ここで、レイヤ２アドレスは、端末ごとに異なるアドレスが割り当てられているものとする。

以上、アドレス解決システムの構成について、説明した。次に、本実施形態のアドレス解決システムの動作のうち、近隣探索における処理について、図１から図３を参照しつつ、図４に沿って説明する。

図４は、本発明の一実施形態に関するアドレス解決システムの近隣探索における処理を示すフローチャートである。

まず、端末（探索側端末２０および広告側端末３０）は、それぞれ認証装置１２に対して認証処理（Ｓ１０１）を行う。認証装置１２は、認証の結果として、端末ごとのユニキャストキーと、共通で使用されるマルチキャストキーとを、端末に割り当てる。また、認証装置１２は、認証の結果をネットワーク接続装置１０にも割り当てる。

次に、探索側端末２０は、近隣探索メッセージＭ１の作成（Ｓ１０２）を行う。なお、近隣探索メッセージＭ１（図５参照）のヘッダは、レイヤ２のヘッダ（送信元）が“探索側端末のＭＡＣアドレス”、レイヤ２のヘッダ（送信先）が“マルチキャストまたはブロードキャストのアドレス”、レイヤ３のヘッダ（送信元）が“探索側端末のＩＰアドレス”、レイヤ３のヘッダ（送信先）が“マルチキャストまたはブロードキャストのアドレス”、となっている。また、近隣探索メッセージＭ１のデータは、メッセージ種別が“近隣探索メッセージ”、検索対象ＩＰアドレスが“広告側端末のＩＰアドレス”となる。つまり、近隣探索メッセージＭ１は、“広告側端末のＩＰアドレス”が割り当てられている端末を検索させるためのメッセージである。なお、検索対象ＩＰアドレスの一部であるインタフェースＩＤ部分は、探索側端末２０のＭＡＣアドレスから生成してもよい。

そして、探索側端末２０は、ネットワーク接続装置１０に、近隣探索メッセージＭ１から近隣探索メッセージＭ２への暗号化およびＭ２の送信（Ｓ１０３）を行う。なお、近隣探索メッセージＭ２（図５参照）のレイヤ２のヘッダは、近隣探索メッセージＭ１のものがそのまま使用され、近隣探索メッセージＭ２のレイヤ３のヘッダおよびデータは、近隣探索メッセージＭ１のものに対して、マルチキャスト用の暗号鍵ＫＭによって暗号化される。

さらに、ネットワーク接続装置１０は、広告側端末３０に、近隣探索メッセージＭ２の転送（Ｓ１０４）を行う。ここで、暗号化された近隣探索メッセージＭ２は、マルチキャスト用の暗号鍵ＫＭによって、一旦復号化される。そして、ネットワーク接続装置１０は、広告側端末３０に送信する際には、マルチキャスト用の暗号鍵ＫＭを利用してメッセージを再度暗号化してから送出する。

そして、広告側端末３０は、近隣探索メッセージＭ２から近隣探索メッセージＭ１への復号化（Ｓ１０５）を行う。復号化には、マルチキャスト用の暗号鍵ＫＭが使用される。

さらに、広告側端末３０は、近隣探索メッセージＭ１の検索対象アドレスと、自らのアドレスとの照合（Ｓ１０６）を行う。もし、アドレスの照合が不一致となる場合には、広告側端末３０は、特にその近隣探索メッセージＭ１に対して応答する必要がないので、近隣探索メッセージＭ１を破棄する。一方、アドレスの照合が一致となる場合には、広告側端末３０は、近隣探索メッセージＭ１に対する回答をする必要がある。この回答に関する処理を、近隣広告における処理として、後述する。

以上、アドレス解決システムの構成について、説明した。次に、本実施形態のアドレス解決システムの動作のうち、近隣広告における処理について、図１から図５を参照しつつ、図６に沿って説明する。

図６は、本発明の一実施形態に関するアドレス解決システムの近隣広告における処理を示すフローチャートである。

まず、広告側端末３０は、近隣広告メッセージＭ３の作成（Ｓ２０１）を行う。なお、近隣広告メッセージＭ３（図７参照）のヘッダは、レイヤ２のヘッダ（送信元）が“広告側端末のＭＡＣアドレス”、レイヤ２のヘッダ（送信先）が“探索側端末のＭＡＣアドレス”、レイヤ３のヘッダ（送信元）が“広告側端末のＩＰアドレス”、レイヤ３のヘッダ（送信先）が“探索側端末のＩＰアドレス”、となっている。また、近隣広告メッセージＭ３のデータは、メッセージ種別が“近隣広告メッセージ”、検索対象ＩＰアドレスが“広告側端末のＩＰアドレス”、対応するＭＡＣアドレスが“広告側端末のＭＡＣアドレス”となる。

次に、広告側端末３０は、ネットワーク接続装置１０に、近隣広告メッセージＭ３から近隣広告メッセージＭ４への暗号化およびＭ４の送信（Ｓ２０２）を行う。なお、近隣広告メッセージＭ４（図７参照）のレイヤ２のヘッダは、近隣広告メッセージＭ３のものがそのまま使用され、近隣広告メッセージＭ４のレイヤ３のヘッダおよびデータは、近隣広告メッセージＭ３のものに対して、暗号鍵記録部３４に記録された広告側端末３０の暗号鍵Ｋ３０によって暗号化される。

そして、ネットワーク接続装置１０は、近隣広告メッセージＭ４から近隣広告メッセージＭ３への復号化（Ｓ２０３）を行う。つまり、ネットワーク接続装置１０は、近隣広告メッセージＭ４のレイヤ２のヘッダ（送信元）に記載された“広告側端末のＭＡＣアドレス”を検索キーとして、アドレス対応データベース１８を検索し、“広告側端末のＭＡＣアドレス”に対応する広告側端末の暗号鍵Ｋ３０を得る。そして、ネットワーク接続装置１０は、得られた広告側端末の暗号鍵Ｋ３０を用いて、受信した近隣広告メッセージＭ４の復号化を行う。ここで、もし、ネットワーク接続装置１０が正常に復号化できなかった場合は、レイヤ２のヘッダ（送信元）のなりすましが考えられるので、その正常に復号化できなかったメッセージは破棄もしくは無視される。これにより、レイヤ２のヘッダ（送信元）のなりすましを防ぐことができる。また、ネットワーク接続装置１０は、近隣広告メッセージＭ４のデータの完全性を保証するため、ＣＲＣ（Cyclic Redundancy Checking）を利用して、復号化された近隣広告メッセージＭ３の誤り検出処理をする等の完全性を評価する処理を付加してもよい。

さらに、ネットワーク接続装置１０は、近隣広告メッセージＭ３のアドレスチェック（Ｓ２０４）を行う。具体的には、ネットワーク接続装置１０は、復号化した近隣広告メッセージＭ３について、レイヤ２のヘッダ（送信元）である“広告側端末のＭＡＣアドレス”と、レイヤ３のヘッダ（送信元）である“広告側端末のＩＰアドレス”と、の対応が、アドレス対応データベース１８において、正しく登録されているかどうかを、チェックする。もし、レイヤ２のヘッダ（送信元）とレイヤ３のヘッダ（送信元）との対応が、アドレス対応データベース１８に登録されていない場合には、ネットワーク接続装置１０は、その近隣広告メッセージＭ３を不正なパケットとして破棄してもよいし、強制的にアドレス対応データベース１８に登録されたアドレスの対応となるように、レイヤ３のヘッダ（送信元）を書き換えてもよい。これにより、ネットワーク接続装置１０は、レイヤ２のヘッダ（送信元）とレイヤ３のヘッダ（送信元）とのアドレスの対応を保証する。なお、アドレスチェック（Ｓ２０４）は、省略してもよい。

そして、ネットワーク接続装置１０は、近隣広告メッセージＭ３から近隣広告メッセージＭ５への暗号化およびＭ５の探索側端末２０への送信（Ｓ２０５）を行う。なお、近隣広告メッセージＭ５（図７参照）のレイヤ２のヘッダは、近隣広告メッセージＭ３のものがそのまま使用され、近隣広告メッセージＭ５のレイヤ３のヘッダおよびデータは、近隣広告メッセージＭ３のものに対して、アドレス対応データベース１８に記録された探索側端末２０の暗号鍵Ｋ２０によって暗号化される。なお、探索側端末の暗号鍵Ｋ２０は、レイヤ２のヘッダ（送信先）である“探索側端末のＭＡＣアドレス”に従って選択されるものである。

さらに、探索側端末２０は、近隣広告メッセージＭ５から近隣広告メッセージＭ３への復号化（Ｓ２０６）を行う。探索側端末２０は、受信した近隣広告メッセージＭ５について、暗号鍵記録部２４に記録された探索側端末２０の暗号鍵Ｋ２０を用いて復号化する。ここで、探索側端末の暗号鍵Ｋ２０は、探索側端末２０と、ネットワーク接続装置１０との間でのみ共有されているので、探索側端末２０は、復号化に成功することによって、受信した近隣広告メッセージＭ５がネットワーク接続装置１０から送信されたメッセージであると認識する。これにより、近隣広告メッセージＭ５のなりすましは、なされていないことが保証される。

そして、探索側端末２０は、近隣広告メッセージＭ３のアドレスの検証（Ｓ２０７）を行う。なお、アドレスの検証処理は、レイヤ２アドレスの検証と、レイヤ３アドレスの検証と、の２段階の処理となる。

まず、第１の検証処理であるレイヤ２アドレスの検証について、説明する。探索側端末２０は、近隣広告メッセージＭ３について、レイヤ２のヘッダ（送信元）の“広告側端末のＭＡＣアドレス”と、データ（対応するＭＡＣアドレス）の“広告側端末のＭＡＣアドレス”とを照合する。もし、２つのレイヤ２アドレスが不一致の場合、検証に失敗したとみなして、近隣広告メッセージＭ３を破棄する。一方、２つのレイヤ２アドレスが一致する場合、第１の検証処理は成功として、第２の検証処理へ移行する。

次に、第２の検証処理であるレイヤ３アドレスの検証について、説明する。レイヤ３アドレスの検証は、例えば後述する２つの方法があり、そのどちらかの検証を行うことにより、達成される。これら２つの方法のいずれかを用いることにより、近隣広告メッセージＭ３の検索対象ＩＰアドレスを、送信元のＩＰアドレスとは別のアドレスに書き換えるなりすまし行為を防止することができる。

まず、レイヤ３アドレスの第１の検証方法は、近隣広告メッセージＭ３の検索対象ＩＰアドレスが、広告側端末のＭＡＣアドレスを含んでいるかどうかを検証する方法である。そのためには、探索側端末２０は、近隣探索メッセージＭ１の作成（Ｓ１０２）を行う際に、検索対象ＩＰアドレスの一部であるインタフェースＩＤ部分を、探索側端末２０のＭＡＣアドレスから生成することが前提となる。そして、探索側端末２０は、近隣広告メッセージＭ３のデータ（対応するＭＡＣアドレス）の“広告側端末のＭＡＣアドレス”から、ＥＵＩ-６４(Extended Unique Identifier-64)を利用して対応するインタフェースＩＤを生成し、そのインタフェースＩＤを基にＩＰアドレスを別途作成する。さらに、探索側端末２０は、近隣広告メッセージＭ３の検索対象ＩＰアドレスと、別途作成したＩＰアドレスとを照合することにより、レイヤ３アドレスの検証を行う。もし、両方のＩＰアドレスが一致したら検証に成功とし、不一致の場合は検証に失敗とする。

一方、レイヤ３アドレスの第２の検証方法は、近隣広告メッセージＭ３の検索対象ＩＰアドレスと、近隣広告メッセージＭ３のレイヤ３のヘッダ（送信元）のＩＰアドレスとが一致するかどうかを検証する方法である。そのためには、ネットワーク接続装置１０による近隣広告メッセージＭ３のアドレスチェック（Ｓ２０４）において、レイヤ２のヘッダ（送信元）である“広告側端末のＭＡＣアドレス”と、レイヤ３のヘッダ（送信元）である“広告側端末のＩＰアドレス”と、の対応のチェックがなされていることが前提となる。そして、近隣広告メッセージＭ３になりすまし行為がなされていなければ、近隣広告メッセージＭ３の検索対象ＩＰアドレスと、近隣広告メッセージＭ３の検索対象ＩＰアドレスとは、共に“広告側端末のＩＰアドレス”が記述されていることが期待される。よって、探索側端末２０は、両方のＩＰアドレスを照合することにより、レイヤ３アドレスの検証を行う。もし、両方のＩＰアドレスが一致したら検証に成功とし、不一致の場合は検証に失敗とする。

以上、レイヤ２アドレスおよびレイヤ３アドレスの検証に成功した近隣広告メッセージＭ３は、探索側端末２０の近隣キャッシュの更新に使用され、アドレス解決の一連の処理が完了する。

ここで、図４における認証処理（Ｓ１０１）について、図８に示すフローチャートに沿って、具体的に説明する。

まず、探索側端末２０は、自らの端末を識別するためのレイヤ２アドレスを含めた認証要求を、認証装置１２に送信する（Ｓ３０１）。次に、認証装置１２は、端末からの認証要求を受信すると、割当資源データベース１４を参照して、認証の可否判断に関する情報および認証成功時に端末に対して割り当てる資源情報を取得する（Ｓ３０２）。ここで、資源情報は、レイヤ３アドレス（ＩＰアドレスなど）に加えて、端末毎に異なるユニキャストキー（探索側端末の暗号鍵Ｋ２０）、および、ブロードキャストやマルチキャストを利用するメッセージの暗号化・復号化用の鍵として全端末共通のブロードキャストキーもしくはマルチキャストキー（以下、マルチキャスト用の暗号鍵ＫＭとする）である。そして、認証装置１２は、認証に成功した場合、割り当てる資源情報を、認証が成功した端末に返信し（Ｓ３０３）、資源情報を受信した探索側端末２０は、その資源情報を基に自らのネットワークの設定を更新し、受信した暗号鍵を暗号鍵記録部２４に記録する。

なお、広告側端末３０の認証についても、探索側端末２０と同様に、認証要求の送信（Ｓ３１１）、認証処理（Ｓ３１２）、および、資源情報（ユニキャストキーは広告側端末の暗号鍵Ｋ３０となる）の割当（Ｓ３１３）が、順に行われる。

さらに、認証装置１２は、認証した各端末に関する資源情報を、ネットワーク接続装置１０にも通知する（Ｓ３２１）。資源情報を受信したネットワーク接続装置１０は、認証がなされた端末のレイヤ２アドレスと、資源情報に含まれるレイヤ３アドレスと、資源情報に含まれる受信したユニキャストキーとを関連付けて、アドレス対応データベース１８（図３参照）に格納する（Ｓ３２２）。これにより、端末ごとのユニキャストキーは、各端末とネットワーク接続装置１０との間で共有される。

以上説明した本発明は、発明の趣旨を逸脱しない範囲で広く変形実施することができる。

例えば、広告側端末３０が、近隣広告メッセージＭ３の作成（Ｓ２０１）を行うこととしたが、ネットワーク接続装置１０が、近隣広告メッセージＭ３の作成を代行してもよい。その場合、広告側端末３０が、ネットワーク接続装置１０に、近隣広告メッセージＭ３から近隣広告メッセージＭ４への暗号化およびＭ４の送信（Ｓ２０２）を行う処理を省けるので、近隣探索メッセージＭ１への応答時間を短縮することが可能となる。

また、図１に示す構成図において、ネットワーク接続装置１０と、認証装置１２とを別々の装置として構成したが、ネットワーク接続装置１０の内部に、認証装置１２を含む構成としてもよい。

本発明の一実施形態に関するアドレス解決システムの構成図である。本発明の一実施形態に関するアドレス解決システムの暗号鍵の共有状態を示す図である。本発明の一実施形態に関するアドレス対応データベースの構成図である。本発明の一実施形態に関するアドレス解決システムの近隣探索における処理を示すフローチャートである。本発明の一実施形態に関するアドレス解決システムの近隣探索に使用されるメッセージの構成を示す図である。本発明の一実施形態に関するアドレス解決システムの近隣広告における処理を示すフローチャートである。本発明の一実施形態に関するアドレス解決システムの近隣広告に使用されるメッセージの構成を示す図である。本発明の一実施形態に関するアドレス解決システムの認証処理を示すフローチャートである。

符号の説明

１０ネットワーク接続装置
１２認証装置
１６パケット転送部
１８アドレス対応データベース
２０探索側端末
２２認証要求部
２４暗号鍵記録部
２６近隣探索部
３０広告側端末
３２認証要求部
３４暗号鍵記録部
３６近隣広告部
Ｍ１、Ｍ２近隣探索メッセージ
Ｍ３、Ｍ４、Ｍ５近隣広告メッセージ
Ｋ２０探索側端末の暗号鍵
Ｋ３０広告側端末の暗号鍵
ＫＭマルチキャスト用の暗号鍵

Claims

ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決を要求する端末である探索側端末と、アドレス解決に回答する端末である広告側端末と、を含めて構成されるアドレス解決システムを使用するアドレス解決方法であって、
前記認証装置が前記探索側端末を認証して、探索側端末の暗号鍵および探索側端末のレイヤ３アドレスを含む資源情報を前記探索側端末および前記ネットワーク接続装置に通知して記録させる手順と、前記認証装置が広告側端末を認証して、広告側端末の暗号鍵および広告側端末のレイヤ３アドレスを含む資源情報を前記広告側端末および前記ネットワーク接続装置に通知して記録させる手順と、
前記探索側端末が前記探索側端末のレイヤ２アドレスから生成された検索対象のアドレスを含む近隣探索メッセージを作成および送信する手順と、前記検索対象のアドレスを有する広告側端末が前記広告側端末のレイヤ２アドレスを含む近隣広告メッセージを作成する手順と、前記広告側端末が前記広告側端末の暗号鍵を基にして前記近隣広告メッセージを暗号化してから送信する手順と、前記ネットワーク接続装置が前記広告側端末の暗号鍵を基にして暗号化された前記近隣広告メッセージを復号化する手順と、前記ネットワーク接続装置が前記近隣広告メッセージの復号化に成功した場合に前記近隣広告メッセージを前記探索側端末に転送する手順と、
前記探索側端末が受信した前記近隣広告メッセージに含まれる広告側端末のレイヤ２アドレスを基に近隣広告メッセージの検索対象のアドレスおよび検索対象のアドレスに対応するレイヤ２アドレスを検証する手順と、前記探索側端末が検証に成功した前記近隣広告メッセージを基にアドレス解決を行う手順と、を含めて実行することを特徴とするアドレス解決方法。
ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、レイヤ３アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決を要求する端末である探索側端末と、アドレス解決に回答する端末である広告側端末と、を含めて構成されるアドレス解決システムを使用するアドレス解決方法であって、
前記認証装置が前記探索側端末を認証して、探索側端末の暗号鍵および探索側端末のレイヤ３アドレスを含む資源情報を前記探索側端末および前記ネットワーク接続装置に通知して記録させる手順と、前記認証装置が広告側端末を認証して、広告側端末の暗号鍵および広告側端末のレイヤ３アドレスを含む資源情報を前記広告側端末および前記ネットワーク接続装置に通知して記録させる手順と、
前記探索側端末が検索対象のアドレスを含む近隣探索メッセージを作成および送信する手順と、前記検索対象のアドレスを有する広告側端末が前記広告側端末のレイヤ２アドレスを含む近隣広告メッセージを作成する手順と、前記広告側端末が前記広告側端末の暗号鍵を基にして前記近隣広告メッセージを暗号化してから送信する手順と、前記ネットワーク接続装置が前記広告側端末の暗号鍵を基にして暗号化された前記近隣広告メッセージを復号化する手順と、前記ネットワーク接続装置が前記近隣広告メッセージの復号化に成功した場合に、前記近隣広告メッセージのヘッダに含まれる広告側端末のレイヤ３アドレスと広告側端末のレイヤ２アドレスとの対応情報が前記アドレス対応データベースに記録されている対応情報と一致するか照合する手順と、前記ネットワーク接続装置が前記対応情報の一致した近隣広告メッセージを前記探索側端末に転送する手順と、
前記探索側端末が受信した前記近隣広告メッセージのヘッダに含まれる広告側端末のレイヤ２アドレスと、前記近隣広告メッセージに含まれる検索対象のアドレスに対応するレイヤ２アドレスが一致するかを検証する手順と、前記探索側端末が受信した前記近隣広告メッセージのヘッダに含まれる広告側端末のレイヤ３アドレスと、前記近隣広告メッセージに含まれる検索対象のアドレスが一致するかを検証する手順と、前記探索側端末が検証に成功した前記近隣広告メッセージを基にアドレス解決を行う手順と、を含めて実行することを特徴とするアドレス解決方法。
前記ネットワーク接続装置が前記広告側端末の暗号鍵を基にして暗号化された前記近隣広告メッセージを復号化する手順は、前記ネットワーク接続装置が、前記近隣広告メッセージのヘッダに含まれる送信元のレイヤ２アドレスを基にして前記アドレス対応データベースを検索し、復号化に使用する前記広告側端末の暗号鍵を取得することを特徴とする請求項１または請求項２に記載のアドレス解決方法。
前記探索側端末が近隣探索メッセージを作成および送信する手順は、前記探索側端末が前記認証装置によって割り当てられたマルチキャスト用の暗号鍵を基にして作成した近隣探索メッセージを暗号化してから送信し、前記広告側端末が前記マルチキャスト用の暗号鍵を基にして前記作成した近隣探索メッセージを復号化する手順、を含めて実行することを特徴とする請求項１ないし請求項３のいずれか１項に記載のアドレス解決方法。
前記ネットワーク接続装置が前記近隣広告メッセージを前記探索側端末に転送する手順は、前記ネットワーク接続装置が前記探索側端末の暗号鍵を基にして前記近隣広告メッセージを暗号化してから送信し、前記探索側端末が前記探索側端末の暗号鍵を基にして受信した前記近隣広告メッセージを復号化する手順を含めて実行することを特徴とする請求項１ないし請求項４のいずれか１項に記載のアドレス解決方法。
前記ネットワーク接続装置が前記広告側端末の暗号鍵を基にして暗号化された前記近隣広告メッセージを復号化する手順は、復号化された前記近隣広告メッセージに含まれる誤り検出符号を用いて前記近隣広告メッセージの誤り検出処理を行い、誤りが発見されなかった場合に前記近隣広告メッセージの復号化が成功したとみなすことを特徴とする請求項１ないし請求項５のいずれか１項に記載のアドレス解決方法。
ネットワークの利用許可を与えるための認証を行う認証装置と、通信を仲介するネットワーク接続装置と、を含めて構成されるアドレス解決システムにおけるアドレス解決方法であって、
前記ネットワーク接続装置を、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースと、受信したパケットについて、前記受信したパケットのヘッダ情報から前記アドレス対応データベースを検索して認証装置が認証した前記端末ごとの暗号鍵を取得し、前記端末ごとの暗号鍵によって前記受信したパケットへの復号化が成功するパケットを転送するパケット転送部、として機能させるためのアドレス解決方法。
ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決を要求する端末である探索側端末と、を含めて構成されるアドレス解決システムにおけるアドレス解決方法であって、
前記探索側端末を、ネットワークの利用許可を得るための認証を前記認証装置に要求する認証要求部と、前記認証装置から割り当てられた暗号鍵を記録する暗号鍵記録部と、前記暗号鍵記録部に記録された暗号鍵を用いて近隣探索メッセージを暗号化して近隣探索を行う近隣探索部、として機能させるためのアドレス解決方法。
ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決に回答する端末である広告側端末と、を含めて構成されるアドレス解決システムにおけるアドレス解決方法であって、
前記広告側端末を、ネットワークの利用許可を得るための認証を前記認証装置に要求する認証要求部と、前記認証装置から割り当てられた暗号鍵を記録する暗号鍵記録部と、前記暗号鍵記録部に記録された暗号鍵を用いて近隣広告メッセージを暗号化して近隣広告を行う近隣広告部、として機能させるためのアドレス解決方法。
ネットワークの利用許可を与えるための認証を行う認証装置と、通信を仲介するネットワーク接続装置と、を含めて構成されるアドレス解決システムにおける前記ネットワーク接続装置であって、
前記ネットワーク接続装置は、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースと、受信したパケットについて、前記受信したパケットのヘッダ情報から前記アドレス対応データベースを検索して認証装置が認証した前記端末ごとの暗号鍵を取得し、前記端末ごとの暗号鍵によって前記受信したパケットへの復号化が成功するパケットを転送するパケット転送部と、を含めて構成されることを特徴とするネットワーク接続装置。
ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決を要求する端末である探索側端末と、を含めて構成されるアドレス解決システムにおける前記探索側端末であって、
前記探索側端末は、ネットワークの利用許可を得るための認証を前記認証装置に要求する認証要求部と、前記認証装置から割り当てられた暗号鍵を記録する暗号鍵記録部と、前記暗号鍵記録部に記録された暗号鍵を用いて近隣探索メッセージを暗号化して近隣探索を行う近隣探索部と、を含めて構成されることを特徴とする探索側端末。
ネットワークの利用許可を与えるための認証を行う認証装置と、前記認証装置が認証した端末に関するレイヤ２アドレスと、認証した端末ごとの暗号鍵と、の対応を記録するアドレス対応データベースを有して通信を仲介するネットワーク接続装置と、アドレス解決に回答する端末である広告側端末と、を含めて構成されるアドレス解決システムにおける前記広告側端末であって、
前記広告側端末は、ネットワークの利用許可を得るための認証を前記認証装置に要求する認証要求部と、前記認証装置から割り当てられた暗号鍵を記録する暗号鍵記録部と、前記暗号鍵記録部に記録された暗号鍵を用いて近隣広告メッセージを暗号化して近隣広告を行う近隣広告部と、を含めて構成されることを特徴とする広告側端末。