JP2006050267A - ＩＰｓｅｃ通信方法及び通信制御装置並びにネットワークカメラ - Google Patents

Abstract

【課題】 通信相手がそのＩＰアドレスを使用しなくなった場合は以後そのセキュリティポリシをＳＰＤから自動的に削除すること。
【解決手段】 ＩＰｓｅｃ通信の相手となる通信端末装置１００−１からパケットが届いた場合、そのパケットのＩＰヘッダから送信元ＩＰアドレスを認識してＳＰＤ３１５にセキュリティポリシを登録すると共にＳＡＤ３１６に当該通信相手と暗号化通信するための暗号化パラメータを登録する。ＳＡＤ３１６からエントリＳＡ１が削除された場合、当該エントリＳＡ１に対応するセキュリティポリシＳＰ１を参照している他のエントリが存在しなければ、当該セキュリティポリシＳＰ１をＳＰＤ３１５から削除する。
【選択図】 図６

Description

本発明は、ＩＰ網を介して暗号化通信を行うＩＰｓｅｃ通信方法及び通信制御装置並びにネットワークカメラに関する。

近年、ＩＰ（Internet Protocol）網に接続可能なネットワークカメラが開発され、このネットワークカメラで撮影した画像データや動画データをコンピュータ等の通信端末装置で閲覧することを可能にするシステムが提案されている。このネットワークカメラシステムでは、通信端末装置は、インストールされたブラウザを用いて、ネットワークカメラにアクセスし、ＨＴＴＰ（HyperText Transfer Protocol）プロトコルを用いて撮影画像データを受信するようにしている。

このようなネットワークカメラシステムに使用されるネットワークカメラとして、例えば、特許文献１に記載されたものがある。このネットワークカメラシステムでは、インターレース出力のネットワークカメラによって供給される画像データから、フレームメモリを介して、ノンインターレースのフレーム画像データとフィールド画像データとを生成することにより、画像データをネットワーク経由でクライアントに配信する際に、高画質出力を可能にしている。

しかし、従来のネットワークカメラシステムでは、不特定多数のユーザがカメラにアクセスすることが可能となり、セキュリティに関する問題が生じる虞がある。具体的には、ＩＰ網に接続可能でブラウザをインストールした通信端末装置であれば、ネットワークカメラシステムに容易にアクセスすることができるが、例えばネットワークカメラが設置された場所によっては、撮影画像の配信先を特定のユーザ（例えば、登録ユーザ）に限定する必要が生じることがある。

そこで、撮影画像をネットワークカメラからＩＰ網経由で配信する際のセキュリティを強化する技術として、ＩＰパケットの暗号化と認証を行うＩＰｓｅｃ（Security Architecture for IP）という通信プロトコルを利用することが考えられる。ＩＰｓｅｃは、ＩＥＴＦ（Internet Engineering Task Force）によって策定される技術仕様であるＲＦＣ（Request For Comment）に規定されたプロトコルである（非特許文献１参照）。このＩＰｓｅｃを用いることにより、ＩＰパケット内のデータの改ざんを防止するための認証を行い、ＩＰパケット内に含まれるデータを暗号化することができる。
特開２００３−２５９１７５号公報 ＩＥＴＦ ＲＦＣ２４０１ "Security Architecture for the Internet Protocol"

ところで、ＩＰｓｅｃを用いてデータ通信を行う場合、データの送信元（つまり、ネットワークカメラから通信端末装置に対して画像データを送信する場合は、ネットワークカメラ）において、どの通信相手と暗号化通信するかを示す情報（セキュリティポリシ）を登録したセキュリティポリシデータベース（ＳＰＤ）と、ＳＰＤに登録されたセキュリティポリシ毎に暗号化通信の暗号化内容を示すパラメータ等を登録したセキュリティアソシエーションデータベース（ＳＡＤ）とを備える必要がある。ＳＰＤにＩＰアドレスが登録されていない通信端末装置（セキュリティポリシで通信許可していない端末）からデータの送信要求があった場合には、データの送信元であるネットワークカメラは、この通信端末装置からの送信要求を無視することが可能となる。

一方、データの送信先である通信端末装置は、ＤＨＣＰ（Dynamic Host Configuration Protocol）により動的にＩＰアドレスが割り当てられる場合が多く、ＩＰアドレスが一義的に定まっていないことがある。したがって、ネットワークカメラのＳＰＤ及びＳＡＤにあらかじめＩＰｓｅｃ通信を許可する端末のＩＰアドレスを登録しておくことができず、ＩＰｓｅｃを利用したセキュリティの強化を行うことができないという問題がある。

また、通信端末装置側において一時的に取得したＩＰアドレスをカメラ側のＳＡＤ、ＳＰＤに登録してエントリを作成すればＩＰｓｅｃ通信が可能になるが、その後に当該通信端末装置がそのＩＰアドレスを使用しなくなった場合には以後使用されることのないエントリがカメラ側のＳＰＤに残されることとなり記憶領域を圧迫する問題が発生する。

本発明は、かかる点に鑑みてなされたものであり、暗号化通信の相手となる通信相手から届いた受信パケットから認識した送信元ＩＰアドレスをどの通信相手と暗号化通信するかを示す情報（セキュリティポリシ）の一つとしてＳＰＤに登録するとともに当該通信相手との暗号化通信のためのパラメータをＳＡＤに登録してＩＰｓｅｃ通信を実現し、その後当該通信相手がそのＩＰアドレスを使用しなくなった場合は以後そのセキュリティポリシをＳＰＤから自動的に削除するＩＰｓｅｃ通信方法及び通信制御装置並びにネットワークカメラを提供することを目的とする。

本発明は、ＩＰｓｅｃ通信の相手となる通信相手からパケットが届いた場合、そのパケットのＩＰヘッダから送信元ＩＰアドレスを認識してＳＰＤに登録すると共にＳＡＤに当該通信相手と暗号化通信するための暗号化パラメータを登録し、通信相手がＳＰＤに登録しているＩＰアドレスを使用しなくなった場合にはＳＰＤから当該通信相に関するセキュリティポリシを削除するものとした。

本発明によれば、暗号化通信の相手となる通信相手から届いた受信パケットから認識した送信元ＩＰアドレスをどの通信相手と暗号化通信するかを示す情報（セキュリティポリシ）の一つとしてＳＰＤに登録するとともに当該通信相手との暗号化通信のためのパラメータをＳＡＤに登録してＩＰｓｅｃ通信を実現し、その後当該通信相手がそのＩＰアドレスを使用しなくなった場合は以後そのセキュリティポリシをＳＰＤから自動的に削除するＩＰｓｅｃ通信方法及び通信制御装置並びにネットワークカメラを提供できる。

本発明の第１の態様は、暗号化通信を行う通信相手毎にセキュリティポリシを登録したセキュリティポリシデータベースと、通信相手毎に暗号化パラメータを内容とするエントリを登録したセキュリティアソシエーションデータベースと、受信パケットの送信元ＩＰアドレスを用いて前記セキュリティポリシデータベースにセキュリティポリシを登録する登録手段と、前記セキュリティアソシエーションデータベースからエントリを削除した通信相手についてセキュリティポリシの有効性を判断して無効となったセキュリティポリシを削除するポリシ削除手段と、を具備する通信制御装置である。

このように構成された通信制御装置によれば、セキュリティアソシエーションデータベースからエントリを削除した場合、当該通信相手についてセキュリティポリシの有効性が無効であればセキュリティポリシを削除するものとしたので、以後使用される可能性の低いセキュリティポリシがセキュリティポリシデータベースに残って増え続ける問題を解決できる。

本発明の第２の態様は、第１の態様の通信制御装置において、前記ポリシ削除手段は、セキュリティアソシエーションデータベースからエントリが削除された場合、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在しなければ、当該セキュリティポリシをセキュリティポリシデータベースから削除するものとした。

これにより、セキュリティアソシエーションデータベースからエントリが削除された場合であっても、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在すれば、セキュリティポリシは削除されずにそのまま使用可能な状態を維持できる。すなわち、セキュリティアソシエーションデータベースに登録した暗号化パラメータを更新するために旧エントリから新エントリに切り替えるために旧エントリを削除した場合であっても新エントリにて暗号化通信を維持することができる。

本発明の第３の態様は、第１の態様の通信制御装置において、前記ポリシ削除手段は、セキュリティアソシエーションデータベースからエントリが削除された場合、当該エントリに対応するセキュリティポリシ内のライフタイムに有限時間を設定し、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在しなければ、前記有限時間を時間経過と共に減算していきライフタイムが０になったところで当該セキュリティポリシをセキュリティポリシデータベースから削除するものとした。

これにより、セキュリティアソシエーションデータベースからエントリが削除され、かつ当該エントリに対応するセキュリティポリシを参照している他のエントリが存在しない場合であっても、即座にセキュリティポリシを削除するのではなく、設定した有限時間を経過してから削除することがきる。

本発明の第４の態様は、第３の態様の通信制御装置において、前記ポリシ削除手段は、セキュリティアソシエーションデータベースからエントリが削除された場合、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在すれば前記ライフタイムを無限大にセットするものとした。

これにより、セキュリティアソシエーションデータベースからエントリが削除された場合であっても、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在する場合にはセキュリティポリシが自動的に削除されるのを防止することができる。

本発明の第５の態様は、暗号化通信を行う通信相手毎にセキュリティポリシを登録したセキュリティポリシデータベースと、通信相手毎に暗号化パラメータを内容とするエントリを登録したセキュリティアソシエーションデータベースとを使用してＩＰｓｅｃ通信を行うＩＰｓｅｃ通信方法であって、受信パケットの送信元ＩＰアドレスを用いて前記セキュリティポリシデータベースにセキュリティポリシを登録するステップと、前記セキュリティアソシエーションデータベースからエントリを削除した通信相手についてセキュリティポリシの有効性を判断して無効となったセキュリティポリシを削除するステップと、を具備するＩＰｓｅｃ通信方法である。

本発明の第６の態様は、第５の態様のＩＰｓｅｃ通信方法において、セキュリティアソシエーションデータベースからエントリが削除された場合、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在しなければ、当該セキュリティポリシをセキュリティポリシデータベースから削除するものとした。

本発明の第７の態様は、第５の態様のＩＰｓｅｃ通信方法において、セキュリティアソシエーションデータベースからエントリが削除された場合、当該エントリに対応するセキュリティポリシ内のライフタイムに有限時間を設定し、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在しなければ、前記有限時間を時間経過と共に減算していきライフタイムが０になったところで当該セキュリティポリシをセキュリティポリシデータベースから削除するものとした。

本発明の第８の態様は、画像を入力する撮像手段と、前記画像をＩＰパケットにしてネットワーク上へ送出する送信手段と、第１から第４の態様のいずれかに記載の通信制御装置とを備え、前記通信制御装置による暗号化通信の下で前記画像を通信相手へ送信するネットワークカメラである。

以下、本発明の一実施の形態について、図面を参照して詳細に説明する。

図１は、本発明の一実施の形態に係るネットワークカメラシステムの構成の一例を示す図である。同図において、通信端末装置１００−１〜１００−３は、インターネット２００を介してネットワークカメラ３００に接続可能である。これらの通信端末装置１００−１〜１００−３は、ＤＨＣＰによって動的にＩＰアドレスが割り当てられており、通信切断後に再び同一（固定）のＩＰアドレスが割り当てられない可能性が高い。

通信端末装置１００−１〜１００−３は、ネットワークカメラ３００に対して画像データの送信を要求する旨のＨＴＴＰコマンドを送信し、ネットワークカメラ３００は、このＨＴＴＰコマンドの送信元が正規ユーザとして登録されている場合は、撮影した画像データを暗号化した上で送信する。

なお、ネットワークカメラ３００は、画像データの暗号化のための鍵交換（ＩＫＥ：Internet Key Exchange）方式として、ＩＥＴＦ ＲＦＣ２４０９ "The Internet Key Exchange (IKE)"に規定されたメインモード／プレシェアード認証方式を採用しているものとする。

図２は、本実施の形態に係るネットワークカメラ３００の構成を示すブロック図である。図２に示すネットワークカメラ３００は、ＩＰｓｅｃ通信可能で鍵交換機能を備えたＣＰＵ３０１と、ＲＯＭ、ＲＡＭ等で構成されＳＰＤ及びＳＡＤを格納するメモリ３０２と、暗号化／復号化の処理を実行する暗号／復号処理部３０３と、カメラレンズで捕らえた映像を電気的な画像信号に変換する撮像部３０４と、撮像部３０４から出力される画像信号を画像処理する画像処理部３０５と、ネットワークインターフェースとして機能するＬＡＮインタフェース３０６とを主に備える。

ＣＰＵ３０１は、メモリ３０２に記憶した各種プログラムを読み出して実行し、パケット処理部３１１、ＨＴＴＰ処理部３１２、ＩＰｓｅｃパケット処理部３１３、鍵交換処理部３１４等の機能を実現している。パケット処理部３１１は、受信パケットの種類を判別し、受信パケットが送信元の通信端末装置１００−１〜１００−３とネットワークカメラ３００とで共有する共有鍵によって暗号化されたＩＰｓｅｃパケットである場合は、このパケットをＩＰｓｅｃパケット処理部３１３へ出力し、受信パケットが鍵交換に用いられる鍵交換パケットおよび認証用パケットである場合は、このパケットを鍵交換処理部３１４へ出力する。また、パケット処理部３１１は、復号化後のＩＰｓｅｃパケットから各種の制御命令を含むＨＴＴＰコマンドをＨＴＴＰ処理部３１２へ出力する。さらに、パケット処理部３１１は、画像データをパケット化するとともに、暗号化後のＩＰｓｅｃパケットをＬＡＮインタフェース３０６へ出力する。

ＩＰｓｅｃパケット処理部３１３は、暗号化されたＩＰｓｅｃパケットがパケット処理部３１１から出力された場合は、暗号／復号処理部３０３を制御して、ＩＰｓｅｃパケットを復号化し、暗号化されていないパケットがパケット処理部３１１から出力された場合は、暗号／復号処理部３０３を制御して、パケットを暗号化する。

暗号／復号処理部３０３は、ＩＰｓｅｃパケット処理部３１３の制御に従って、通信相手である通信端末装置１００−１〜１００−３に応じた共有鍵を、鍵交換処理部３１４を介してＳＰＤ３１５から読み出し、ＩＰｓｅｃパケットの復号化またはパケットの暗号化を行う。

鍵交換処理部３１４は、暗号化されたＩＰｓｅｃパケットの通信に先立って、通信相手となる通信端末装置１００−１〜１００−３とネゴシエーションを行って共有鍵の設定を行う。すなわち、鍵交換処理部３１４は、鍵交換パケットおよび認証用パケットの送信元である通信端末装置１００−１〜１００−３を正規ユーザとして、通信端末装置１００−１〜１００−３のセキュリティポリシをＳＰＤ３１５に登録するとともにその通信相手と暗号化通信するための暗号化パラメータ及びＩＰアドレス等を内容とするエントリをＳＡＤ３１６に登録する。また、鍵交換処理部３１４は、後述するアルゴリズムにしたがってＳＡＤ３１６から通信相手毎にエントリを削除し、またＳＰＤ３１５から以後同じＩＰアドレスを使用して暗号化通信することのないセキュリティポリシを削除する。

ＨＴＴＰ処理部３１２は、復号化されたＩＰｓｅｃパケットに含まれているＨＴＴＰコマンドに従って、画像処理部３０５または画像蓄積部３１７から画像データを取得する。また、ＨＴＴＰ処理部３１２は、図示せぬ入力部におけるオペレータの入力に従って、ＳＰＤ３１５に対する事前共有キーの登録・更新を行う。ここで、事前共有キーとは、通信端末装置１００−１〜１００−３とネットワークカメラ３００との間であらかじめ設定されている認証用のキーであり、通信端末装置１００−１〜１００−３それぞれについて異なるキーが設定されている。

メモリ３０２には、ＳＰＤ３１５、ＳＡＤ３１６が構築されている。

図３は、ＳＰＤ３１５に登録されたセキュリティポリシの１エントリの具体例を示している。同図に示すエントリが通信相手毎に登録される。ＳＰＤ３１５に登録されたセキュリティポリシは、ローカルＩＰアドレス（ネットワークカメラ３００のＩＰアドレス）、リモートＩＰアドレス（通信相手となる通信端末装置のグローバルＩＰアドレス）、プロトコル、送信元ポート番号、宛先ポート番号、事前共有キーを含んだ項目で構成される。リモートＩＰアドレスは、暗号化通信を行う通信相手から到着したＩＰパケットの送信元ＩＰアドレスから取り出したアドレスである。取得方法については、後で説明する。

図４は、ＳＡＤ３１６に登録された暗号化方法のエントリの具体例を示している。ＳＡＤ３１６のエントリは、ローカルＩＰアドレス（ネットワークカメラ３００のアドレス）、リモートＩＰアドレス（通信相手である通信端末装置のアドレス）、暗号アルゴリズム、暗号鍵、認証アルゴリズム、認証鍵、ライフタイムを含んだ項目で構成される。ライフタイムは暗号内容を更新する時間が設定される。ライフタイムを短くするほどセキュリティ強度を上げることができる。

画像処理部３０５は、ＨＴＴＰ処理部３１２からのＨＴＴＰコマンドに従って、カメラ撮像部３０４を制御し、撮像部３０４によって得られた撮影画像をデジタルの画像データに変換する。画像蓄積部３１７は、画像処理部３０５によって得られた画像データを蓄積する。

次に、上記のように構成されたネットワークカメラ３００による鍵交換（ＩＫＥ）時の動作について、図５に示すフロー図を参照しながら説明する。

なお、以下の説明では、通信端末装置１００−１とネットワークカメラ３００とが鍵交換を行うものとして説明する。

まず、ＬＡＮインタフェース３０６が鍵交換パケットを受信する（ＳＴ１０００）と、鍵交換パケットは、パケット処理部３１１を介して鍵交換処理部３１４へ出力される。鍵交換パケットには、暗号アルゴリズム、および認証アルゴリズムなどの暗号化方式が含まれている。

鍵交換処理部３１４へ鍵交換パケットが出力されると、鍵交換処理部３１４によってＳＰＤ３１５が参照され、この鍵交換パケットの送信元ＩＰアドレスが既に登録されているか否かが確認される（ＳＴ１０１０）。すなわち、鍵交換処理部３１４は、通信端末装置１００−１のリモートＩＰアドレスである鍵交換パケットの送信元ＩＰアドレスであるが、既にネットワークカメラ３００の正規ユーザとして登録されているか否かを確認する。

確認の結果、通信端末装置１００−１が既に正規ユーザとして登録されていれば、鍵交換処理部３１４は、通信端末装置１００−１から送信される事前共有キーを含んだ認証用パケットの受信を待機する。

一方、ＳＴ１０１０における確認の結果、通信端末装置１００−１がまだ正規ユーザとして登録されていなければ、ＳＰＤ３１５に通信端末装置１００−１のリモートＩＰアドレスを通信相手としたセキュリティポリシを登録するためのメモリ領域を確保することができるか否かを判定する（ＳＴ１０２０）。判定の結果、メモリ領域が不足し、メモリ確保が困難である場合は、通信端末装置１００−１へエラーメッセージを返送し、セキュリティポリシの登録が失敗したことを通知する（ＳＴ１０４０）。また、メモリ領域の確保が可能であれば、鍵交換パケットのＩＰヘッダに記述された送信元ＩＰアドレスを通信相手としたセキュリティポリシをＳＰＤ３１５に登録し、かつ当該通信相手とＩＰｓｅｃ通信をする際の暗号化パラメータ、通信相手のＩＰアドレス等を内容とするエントリをＳＡＤ３１６に登録する（ＳＴ１０３０）。具体的には、図３に示す項目からなるキュリティポリシのエントリをＳＰＤ３１５に追加する。リモートＩＰアドレスには鍵交換パケットのＩＰヘッダに記述された送信元ＩＰアドレスをコピーする。また、鍵交換パケットのＩＰｓｅｃヘッダから暗号アルゴリズム、認証アルゴリズム、ライフタイム等の情報が取り出されて、図４に示す項目からなるエントリをＳＡＤ３１６に登録する。

このとき、通信端末装置１００−１のリモートＩＰアドレスもセキュリティポリシとして登録されるため、例えば通信端末装置１００−１のＩＰアドレスがＤＨＣＰによって動的に割り当てられるような場合でも、リモートＩＰアドレスが変更される際に通信端末装置１００−１から鍵交換パケットが送信されることにより、容易にセキュリティポリシの登録を行うことができる。

ここで、ＳＰＤ３１５に登録されたセキュリティポリシには、それぞれ事前共有キーが対応づけられている。この事前共有キーは、上述したように、図示しない入力部においてオペレータが入力するものであり、ＨＴＴＰ処理部３１２を介してＳＰＤ３１５に登録される。

通信端末装置１００−１のセキュリティポリシがＳＰＤ３１５に登録される（もしくは、既に登録済みである）と、鍵交換処理部３１４は、認証用パケットの受信を待機する。そして、ＬＡＮインタフェース３０６によって通信端末装置１００−１からの認証用パケットが受信される（ＳＴ１０５０）と、認証用パケットは、パケット処理部３１１を介して鍵交換処理部３１４へ出力される。認証用パケットには、ＳＰＤ３１５に登録されている通信端末装置１００−１の事前共有キーが含まれている。

鍵交換処理部３１４へ認証用パケットが出力されると、鍵交換処理部３１４によってＳＰＤ３１５が参照され（ＳＴ１０６０）、認証用パケットに含まれる事前共有キーとＳＰＤ３１５に登録されている通信端末装置１００−１の事前共有キーとが一致するか否かが判定される（ＳＴ１０７０）。

この判定の結果、事前共有キーが一致した場合は、認証用パケットの送信元が、ＳＰＤ３１５に登録されている通信端末装置１００−１であると認証され、通信端末装置１００−１へ認証通知が返送される（ＳＴ１０８０）。このようにして、ネットワークカメラ３００によって、通信相手がＳＰＤ３１５に登録された正規ユーザである通信端末装置１００−１であることが認証されると、引き続いてＩＰｓｅｃによる通信に必要な情報がやり取りされる。

一方、ＳＴ１０７０の判定の結果、事前共有キーが一致しなかった場合は、認証用パケットの送信元が、ＳＰＤ３１５に登録されている通信端末装置１００−１ではないと判断され、ＳＰＤ３１５から通信端末装置１００−１のセキュリティポリシのエントリが削除されるとともにＳＡＤ３１６から対応するエントリが削除され（ＳＴ１０９０）、認証用パケットの送信元へエラーメッセージを返送し、セキュリティポリシが削除されたことを通知する（ＳＴ１１００）。

これにより、ネットワークカメラ３００は、確実に通信端末装置１００−１を通信相手として認証することができ、要求されるセキュリティレベルが高いＩＰｓｅｃ通信のための情報の交換を行うことができるようになる。

なお、上記の説明においては、事前共有キーが一致しなかった場合、ＳＴ１０９０において通信端末装置１００−１のセキュリティポリシを削除するものとしたが、例えばあらかじめ定められた規定回数までは、認証用パケットの送信元に対して事前共有キーの再送を要求し、規定回数に達するまでＳＰＤ３１５に登録された事前共有キーが受信されない場合に、通信端末装置１００−１のセキュリティポリシを削除するようにしても良い。

こうすることにより、何らかの偶発的な理由で認証用パケットに含まれる事前共有キーが誤っている場合でも、無駄な処理を行うことなく確実な通信相手の認証を行うことができる。

そして、ＩＰｓｅｃ通信が可能になると、通信端末装置１００−１は、画像データを要求する旨のＨＴＴＰコマンドをＩＰｓｅｃパケット化し、共有鍵によって暗号化した上で、ネットワークカメラ３００に対して送信する。ネットワークカメラ３００のＬＡＮインタフェース部３０６によって、このＩＰｓｅｃパケットが受信されると、暗号／復号処理部３０３によって、ＩＰｓｅｃパケット処理部３１３による制御の下で復号化される。このとき、暗号／復号処理部３０３は、鍵交換処理部３１４を介してＳＡＤ３１６から通信端末装置１００−１の暗号アルゴリズムなどのセキュリティポリシを受け取り、通信端末装置１００−１が行った暗号化に対応する復号化を行う。

復号化されて得られたＨＴＴＰコマンドは、パケット処理部３１１を介してＨＴＴＰ処理部３１２へ出力され、ＨＴＴＰ処理部３１２によって画像処理部３０５または画像蓄積部３１７から画像データが取得される。このとき、ＨＴＴＰコマンドが例えばリアルタイムの動画像データを要求する旨のコマンドであった場合は、ＨＴＴＰ処理部３１２によって、画像処理部３０５から直接動画像データが取得される。また、ＨＴＴＰコマンドが例えば過去の静止画像データを要求する旨のコマンドであった場合は、ＨＴＴＰ処理部３１２によって、画像蓄積部３１７に蓄積されている静止画像データが取得される。

取得された画像データは、パケット処理部３１１によってパケット化され、その後、ＩＰｓｅｃパケット処理部３１３および暗号／復号処理部３０３によって、通信端末装置１００−１に対応する暗号アルゴリズムによって暗号化されることによりＩＰｓｅｃパケット化され、パケット処理部３１１およびＬＡＮインタフェース部３０６を介して送信される。

このように、画像データおよび画像データを要求するコマンドは、ともにＩＰｓｅｃパケット化されて通信されるため、セキュリティレベルの高い通信を行うことができる。

次いで、鍵交換処理部３１４によるＳＰＤ３１５のセキュリティポリシ削除の動作について、図６に示すフロー図を参照しながら説明する。

図６は、ＳＰＤ３１５からセキュリティポリシを削除するためのフロー図である。ＩＰｓｅｃ通信では、ある通信相手との間で所定の暗号化方式を使用した暗号化通信を行い、所定期間経過したら、当該通信相手との暗号化通信の暗号化パラメータ（暗号アルゴリズム、暗号鍵等）を変更している。暗号化パラメータを変更する契機は、通信相手毎にＳＡＤ３１６に登録しているエントリＳＡのライフタイムによって与えられる。また、通信相手から暗号化鍵の変更を要求される場合がある。例えば、通信相手からＳＡＤ３１６に登録されたエントリＳＡの削除通知を受信した場合は当該エントリＳＡを削除する契機となる。

図６に示すように、ＳＡＤ３１６に登録されているエントリＳＡ内のライフタイムが切れた場合（Ｓ２００１）、又は削除通知を受けた場合（Ｓ２００２）、ＳＡＤ３１６から該当するエントリ（ＳＡ１）を削除する（Ｓ２００３）。

ここで、ＳＡＤ３１６のエントリＳＡ１を削除した場合であっても、ＩＰｓｅｃ通信を継続している場合は、同一のリモートＩＰアドレスを持つ新たなエントリ（暗号化パラメータを更新したもの）が作成されてＳＡＤ３１６に登録される。ところが、通信相手との通信を終了してセッションを切断した場合は、ＳＡ内のライフタイムが切れたところで当該リモートＩＰアドレスにて新たなＳＡが作成されることはない。この結果、当該通信相手に関して、ＳＰＤ３１５にはセキュリティポリシが登録されているが、ＳＡＤ３１６にはエントリが存在しないといった状況が発生する。以後、ＳＰＤ３１５の対応するセキュリティポリシは使用されることはない。

本実施の形態では、ＳＰＤ３１５に登録したセキュリティポリシが使用される可能性が無くなったところで、ＳＰＤ３１５から削除するものとした。

すなわち、Ｓ２００３においてＳＡＤ３１６からある通信相手のエントリＳＡ１を削除したら、当該削除したエントリＳＡ１に登録していたリモートＩＰアドレスと同一のアドレスを有するセキュリティポリシのエントリＳＰがＳＰＤ３１５に存在するか否か判断する（Ｓ２００４、Ｓ２００５）。ＳＡＤ３１６に登録されている通信相手は、ＳＰＤ３１５に対当するセキュリティポリシが登録されているので、Ｓ２００５の判断でＳＡ１に対応するＳＰが存在しなかった場合はエラーを発する。一方、ＳＡ１に対応するＳＰ（＝ＳＰ１）が存在した場合は、ＳＡＤ３１６を参照して当該ＳＰ１を参照しているＳＡがあるか否か判断する（Ｓ２００６、Ｓ２００７）。例えば、同一のリモートＩＰアドレスを持つＳＡが登録されていれば、ＳＰ１を参照していると判断する。このような場合は、上記したように暗号化通信を継続していると判断してＳＰ１の削除は行わない。一方、同一のリモートＩＰアドレスを持つＳＡがＳＡＤ３１６に登録されていない場合は、ＳＰＤ３１５から該当するＳＰ１（同一のリモートＩＰアドレスを持つセキュリティポリシ）を削除する（Ｓ２００８）。

このように、ＳＰＤ３１５に暗号化通信する予定の通信相手とＩＰｓｅｃ通信するためのセキュリティポリシを順次登録すると共に、ＳＡＤ３１６から暗号化パラメータ等を内容とするエントリ（ＳＡ１）が削除された場合には、ＳＰＤ３１５に登録された対応するセキュリティポリシ（ＳＰ１）を、他のＳＡが参照していないことを条件に削除するようにしたので、ＳＰＤ３１５にセキュリティポリシが増え続ける不具合を防止できる。

なお、ＳＰＤ３１５に登録したセキュリティポリシ（ＳＰ）の削除方式は上記した方式に限定されるものではない。例えば、図７に示すようにセキュリティポリシにライフタイムの項目を設け、このライフタイムの値を制御してライフタイムが切れたら当該セキュリティポリシを削除する。

図８はセキュリティポリシにライフタイムの項目を設けてセキュリティポリシを削除する方式のフロー図である。Ｓ２００１からＳ２００５までは、図６に示すフロー図と同様である。Ｓ２００５でＳＰＤ３１５の中にＳＡ１に対応するＳＰ１が存在することが判明した場合は、ＳＰ１のライフタイムに時間（Ｘ秒）をセットする（Ｓ２１００）。次に、ＳＡＤ３１６を参照して（Ｓ２１０１）、ＳＰ１を参照している他のＳＡが存在しているか判断する（Ｓ２１０２）。参照している他のＳＡが存在した場合はライフタイムをクリアする（無限大にセットする）（Ｓ２１０３）。また、他のＳＡが存在しない場合は、ライフタイムを減算する（Ｓ２１０４）。ＳＰ１のライフタイムが０になるまでＳ２１０１からＳ２１０４を繰り返す。そして、ＳＰ１のライフタイムが０になったところでＳＰＤ３１５から当該ＳＰ１を削除する（Ｓ２００８）。

なお、本実施の形態においては、通信端末装置がネットワークカメラの画像データを取得する場合を例に挙げて説明したが、本発明はこれに限られず、例えばデータベースサーバなど、複数の通信端末装置が共有するデータ資源にＩＰ網経由でアクセスする場合には本発明を適用することが可能である。

本発明は、データ送信先となる通信端末装置のＩＰアドレスが一義的に定まっていない場合でも、ＩＰｓｅｃを用いてパケット通信のセキュリティを向上することができ、さらにＳＰＤに利用されることのないセキュリティポリシが滞留するのを防止でき、ＩＰｓｅｃ通信方法及び通信制御装置並びにネットワークカメラに適用可能である。

本発明の一実施の形態に係るネットワークカメラシステムの構成の一例を示す図 一実施の形態に係るネットワークカメラの構成を示すブロック図 一実施の形態に係るセキュリティポリシデータベースの構成図 一実施の形態に係るセキュリティアソシエーションデータベースの構成図 一実施の形態に係るネットワークカメラの鍵交換時の動作を示すフロー図 一実施の形態に係るネットワークカメラのポリシ削除のフロー図 一実施の形態の変形例に係るセキュリティポリシデータベースの構成図 一実施の形態の変形例に係るネットワークカメラの鍵交換時の動作を示すフロー図

符号の説明

３００ ネットワークカメラ
３０１ ＣＰＵ
３０２ メモリ
３０３ 暗号／復号処理部
３０４ 撮像部
３０５ 画像処理部
３０６ ＬＡＮインタフェース
３１１ パケット処理部
３１２ ＨＴＴＰ処理部
３１３ ＩＰｓｅｃパケット処理部
３１４ 鍵交換処理部
３１５ セキュリティポリシデータベース
３１６ セキュリティアソシエーションデータベース

Claims (8)

1. 暗号化通信を行う通信相手毎にセキュリティポリシを登録したセキュリティポリシデータベースと、通信相手毎に暗号化パラメータを内容とするエントリを登録したセキュリティアソシエーションデータベースと、受信パケットの送信元ＩＰアドレスを用いて前記セキュリティポリシデータベースにセキュリティポリシを登録する登録手段と、前記セキュリティアソシエーションデータベースからエントリを削除した通信相手についてセキュリティポリシの有効性を判断して無効となったセキュリティポリシを削除するポリシ削除手段と、を具備する通信制御装置。
2. 前記ポリシ削除手段は、セキュリティアソシエーションデータベースからエントリが削除された場合、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在しなければ、当該セキュリティポリシをセキュリティポリシデータベースから削除する請求項１記載の通信制御装置。
3. 前記ポリシ削除手段は、セキュリティアソシエーションデータベースからエントリが削除された場合、当該エントリに対応するセキュリティポリシ内のライフタイムに有限時間を設定し、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在しなければ、前記有限時間を時間経過と共に減算していきライフタイムが０になったところで当該セキュリティポリシをセキュリティポリシデータベースから削除する請求項１記載の通信制御装置。
4. 前記ポリシ削除手段は、セキュリティアソシエーションデータベースからエントリが削除された場合、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在すれば前記ライフタイムを無限大にセットする請求項３記載の通信制御装置。
5. 暗号化通信を行う通信相手毎にセキュリティポリシを登録したセキュリティポリシデータベースと、通信相手毎に暗号化パラメータを内容とするエントリを登録したセキュリティアソシエーションデータベースとを使用してＩＰｓｅｃ通信を行うＩＰｓｅｃ通信方法であって、
   受信パケットの送信元ＩＰアドレスを用いて前記セキュリティポリシデータベースにセキュリティポリシを登録するステップと、前記セキュリティアソシエーションデータベースからエントリを削除した通信相手についてセキュリティポリシの有効性を判断して無効となったセキュリティポリシを削除するステップと、を具備するＩＰｓｅｃ通信方法。
6. セキュリティアソシエーションデータベースからエントリが削除された場合、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在しなければ、当該セキュリティポリシをセキュリティポリシデータベースから削除する請求項５記載のＩＰｓｅｃ通信方法。
7. セキュリティアソシエーションデータベースからエントリが削除された場合、当該エントリに対応するセキュリティポリシ内のライフタイムに有限時間を設定し、当該エントリに対応するセキュリティポリシを参照している他のエントリが存在しなければ、前記有限時間を時間経過と共に減算していきライフタイムが０になったところで当該セキュリティポリシをセキュリティポリシデータベースから削除する請求項５記載のＩＰｓｅｃ通信方法。
8. 画像を入力する撮像手段と、前記画像をＩＰパケットにしてネットワーク上へ送出する送信手段と、請求項１から請求項４のいずれかに記載の通信制御装置とを備え、前記通信制御装置による暗号化通信の下で前記画像を通信相手へ送信するネットワークカメラ。

Images