JP2006115379A

JP2006115379A - 暗号通信装置

Info

Publication number: JP2006115379A
Application number: JP2004302671A
Authority: JP
Inventors: Sayaka Sato; さやか佐藤
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2004-10-18
Filing date: 2004-10-18
Publication date: 2006-04-27

Abstract

【課題】ネットワーク上の装置間で、安全に簡単に効率的に情報通信を行えるようにして、セキュリティとパフォーマンスを両立させる。
【解決手段】LAN13上でクライアントPC11,12と暗号通信を行う画像処理Webサーバー10に、設定情報を保持するセキュリティモジュールと、設定情報に基づいて通信時に暗号化を行うか否かを動的に判断して暗号化処理動作を変えるセキュリティ制御手段を設ける。設定情報が正常に存在しない場合は常に暗号化を行うことにより、ユーザーが意図しない平文がLAN13上を流れるのを防ぐ。通信プロトコルごとに暗号化処理動作を変える手段を設けることにより、特定のプロトコルで暗号化通信のみを行うことができる。また、アクセスコントロール機能などのセキュリティ機能を併用して、イントラネット内でのみ使用することが限定されている場合は、平文での通信をも可能にするなど、ユーザーの環境に応じて、暗号化の有無を選択できる。
【選択図】図１

Description

本発明は、暗号通信装置に関し、特に、ネットワーク接続された装置間で安全に効率的にデータ交換できる暗号通信装置に関する。

ネットワーク上を流れるデータは、一定のネットワーク技術を有する人であれば、盗聴が可能であり、データの改ざんなども比較的に容易に行うことができる。例えば、ネットワーク上を流れる印刷データ、IDやパスワード、その他、個人情報、企業情報などを盗聴することが可能である。そのため、暗号化などによるセキュリティの強化は、インターネットの普及により、ますますその必要性が高まっている。このような背景のもと、従来は専用機や特注機でしかありえなかったセキュリティ機能搭載製品も、パーソナルコンピューター(PC)上のソフトウェアや画像装置や通信装置などに大きく広がり、一般のオフィスでも使われるようになってきた。例えば、暗号化可能な場合にのみ暗号化を行い、暗号化が出来ない場合には平文で通信するというように、自動的に暗号化を行うといったものがあった。

このような従来の装置の例として、特許文献１に開示された「データ安全化通信装置」がある。これは、選択的に暗号化し、かつUDP上のアプリケーションに汎用的に適用でき、移動通信におけるヘッダ圧縮を可能とするものである。パラメータ共有部により、暗号化アルゴリズムなどと共に、ヘッダを除く暗号化であることを示す各パラメータを、相手装置と通信により共有する。その共有したパラメータを用いて、暗号化・認証子付加部で、アプリケーション部からのRTPパケット全体に対するデータ認証のための認証子を計算する。その認証子をRTPパケットに付加し、そのヘッダを除いた部分を暗号化して、トランスポート部へ出力する。ここで、UDPヘッダを、非暗号化RTPヘッダに付けて、UDPパケットを作って、ネットワーク部へ送出する。

特許文献２に開示された「画像生成装置」は、ユーザーが、暗号化処理のレベルや、暗号化処理の有無を選択可能とすると共に、プリンタの負荷を軽減可能な画像生成装置である。暗証番号入力部から、暗証番号を入力する。暗号化処理部で、画像データに対し、入力された暗証番号に応じた所定の暗号化処理を行なう。送信部で、少なくとも暗証番号と暗号化処理された画像データとを、画像記録装置に送信する。

特許文献３に開示された「プッシュ型スキャナー装置」は、電子メールに添付する画像データを、相手先に応じて個別的に暗号化することのできるプッシュ型スキャナー装置である。暗号化設定手段で、暗号化の実行の有無を設定する。暗号化設定手段は、受信者アドレス毎に暗号化の有無を設定可能である。原稿読取手段で、原稿上の画像を画像データとして読み取る。暗号化するように設定されているときは、読み取られた画像データを暗号化して、電子メールに添付して、設定された受信者アドレスへ送信する。
特開2002-319936号公報特開2004-240515号公報特開2004-266559号公報

しかし、従来の装置では、ネットワーク上で簡単に安全に情報交換を行うことができないという問題がある。例えば、セキュリティモジュールが着脱可能な記憶媒体にある場合は、持ち去さられることがあり、管理者が知らないうちに平文でネットワーク上を機密データが流れてしまう恐れがある。また、逆に、機器として暗号文か平文のいずれかの通信しか行えない場合、暗号化処理を行うとデータ量が増えるため、一部のデータを秘密にすると、全体の通信が不必要に遅くなってしまうといった弊害もあり、セキュリティとパフォーマンスの両立を図ることは困難であった。

本発明の目的は、上記従来の問題を解決して、ネットワーク上の装置間で、安全に簡単に効率的に情報通信を行えるようにして、セキュリティとパフォーマンスを両立させることである。

上記の課題を解決するために、本発明では、暗号通信装置を、ネットワークに接続する送受信手段と、送受信手段を介してネットワーク上で他装置と暗号通信を行うネットワーク通信処理手段と、暗号通信に関するセキュリティ処理用の設定情報を保持するセキュリティモジュールと、設定情報に基づいて通信時に暗号化を行うか否かを動的に判断して暗号化処理動作を変えるセキュリティ制御手段とを具備する構成とした。さらに、セキュリティ制御手段に、設定情報が正常に存在しない場合は常に暗号化を行う手段や、通信プロトコルごとに暗号化処理動作を変える手段を設けた。さらに、セキュリティモジュールに、通信プロトコルごとに暗号化処理動作を設定する手段や、通信データのページごとに暗号化処理動作を設定する手段や、ログインアカウントの種類ごとに暗号化処理動作を設定する手段や、通信相手装置のアドレスごとに暗号化処理動作を設定する手段を設けた。

本発明によれば、設定情報に基づいて通信時に暗号化を行うか否かを動的に判断して暗号化処理動作を変えるセキュリティ制御手段を備えることにより、セキュリティとパフォーマンスの両立が可能になる。セキュリティ制御手段に、設定情報が正常に存在しない場合は常に暗号化を行う手段を設けることにより、着脱可能なセキュリティモジュールが持ち去られても、証明書や暗号パスワード等の暗号化に必要なデータが破損または削除されてしまった場合でも、ユーザーが意図しない平文がネットワーク上を流れるのを防ぐことができる。セキュリティ制御手段に、通信プロトコルごとに暗号化処理動作を変える手段を設けたことにより、暗号化通信のみのモードを設けることができ、予期しない平文での通信を避けることができる。

また、アクセスコントロール機能などのセキュリティ機能を併用して、イントラネット内でのみ使用することが限定されている場合は、平文での通信をも可能にするなど、ユーザーの環境に応じて、暗号化の有無を選択できる。セキュリティモジュールに、通信プロトコルごとに暗号化処理動作を設定する手段を設けることにより、パフォーマンスを優先したい場合には、平文での通信も可能となる。通信データのページごとに暗号化処理動作を設定する手段や、通信アカウントの種類ごとに暗号化処理動作を設定する手段や、通信相手装置のアドレスごとに暗号化処理動作を設定する手段を設けることにより、セキュリティとパフォーマンスを両立させることができる。

以下、本発明を実施するための最良の形態について、図１〜図８を参照しながら詳細に説明する。

本発明の実施例は、ネットワークを介する通信のセキュリティ処理に関して、通信プロトコルや通信データのページやログインアカウントの種類や通信相手装置のアドレスごとに暗号化処理動作を設定して、セキュリティモジュールに設定情報を保持し、設定情報に基づいて通信時に暗号化を行うか否かを動的に判断して暗号化処理動作を変え、設定情報が正常に存在しない場合は常に暗号化を行う画像処理装置である。本実施例においては、画像処理装置の例を説明するが、この装置は一般的な情報処理装置であってもよい。

図１は、本発明の実施例における画像処理装置を接続したネットワーク構成の模式図である。図１において、画像処理Webサーバー10は、LANを介して画像処理サービスを提供する装置である。クライアントPC11,12は、LANを介して画像処理Webサーバーに画像処理サービスを要求する装置である。LAN13は、送置間の通信を媒介するネットワークである。ネットワークは、LANに限らずインターネットなどの適当なものでよい。

図示していないが、画像処理Webサーバー10は、プロッタエンジン及びスキャナエンジン等の個別の画像処理を行うためのハードウェア資源と、エンジン制御ボードとを備えている。さらに、OSと、システム管理サービスと、ネットワークサービスと、メモリ管理サービスと、操作パネル管理サービスと、エンジン管理サービスと、セキュリティ管理サービスと、コピーアプリ、ファックスアプリ、プリンタアプリ、Webアプリ及びメールアプリ等の各種アプリケーションとを備えている。エンジン制御ボードは、プロッタエンジン及びスキャナエンジン等の個別機能手段を制御する。エンジンI/F（インタフェース）を通して、エンジン制御ボードの機能をOS等に提供する。OSは、UNIX（登録商標）等のオペレーティング・システムであり、コピーアプリ、ファックスアプリ等、アプリケーションとして実装されている各種ソフトウェアをプロセスとして並列実行する。

システム管理サービス、ネットワークサービス、メモリ管理サービス、操作パネル管理サービス、及びエンジン管理サービスは、API（Application Programming Interface）を通して、コピーアプリ等の上位アプリケーションにそれぞれの機能を提供するものである。即ち、システム管理サービスは、システム管理に関する機能を提供し、ネットワークサービスは、ネットワーク通信に関する機能を提供する。また、メモリ管理サービスは、メモリ管理に関する機能を提供し、操作パネル管理サービスは、操作パネルに関する機能を提供する。更に、エンジン管理サービスは、エンジン制御ボードを介してプロッタエンジンやスキャナエンジンを制御するための機能を提供する。

コピーアプリは、コピー用アプリケーションである。ファックスアプリは、ファクシミリ用アプリケーションである。プリンタアプリは、ページ記述言語（PDL）、PCL及びポストスクリプト（PS）を有するプリンタ用アプリケーションである。また、Webアプリは、ネットワークを介して接続している端末からの要求に基づいて、画像処理装置10の機能に関連する各種パラメータの値の更新処理を実行するものである。

図２は、本発明の実施例における画像処理装置の動作手順を示す流れ図である。図３は、セキュリティ管理サービス（DESS）14の機能的構成を示す図である。図４は、SNMP暗号化設定による暗号化動作を示す表である。図５は、WebサーバーのSSL/TLS暗号化設定による暗号化動作を示す表である。図６は、Webサーバーのページごとの暗号化動作を示す表である。図７は、Webサーバーのログインアカウント別の暗号化動作を示す表である。図８は、Webサーバーの平文通信許可範囲のアドレスを示す表である。

上記のように構成された本発明の実施例における画像処理装置の動作を説明する。最初に、図１を参照しながら、画像処理装置の機能の概略を説明する。画像処理Webサーバー10は、LAN13に接続する送受信手段と、送受信手段を介してLAN13上でクライアントPC11,12と暗号通信を行うネットワーク通信処理手段とを備えている。画像処理Webサーバー10はさらに、設定情報を保持するセキュリティモジュールと、設定情報に基づいて通信時に暗号化を行うか否かを動的に判断して暗号化処理動作を変えるセキュリティ制御手段も備えている。設定情報が正常に存在しない場合は常に暗号化を行うことにより、ユーザーが意図しない平文がLAN13上を流れるのを防ぐ。

セキュリティモジュールに、通信プロトコルごとに暗号化処理動作を設定する手段を設け、セキュリティ制御手段において、通信プロトコルごとに暗号化処理動作を変えることにより、特定のプロトコルで暗号化通信のみを行う。セキュリティモジュールに、通信データのページごとに暗号化処理動作を設定する手段と、通信アカウントの種類ごとに暗号化処理動作を設定する手段と、通信相手装置のアドレスごとに暗号化処理動作を設定する手段を設けることにより、セキュリティとパフォーマンスを両立させる。また、インターネット上では、アクセスコントロール機能などのセキュリティ機能を併用して、イントラネット内でのみ使用することが限定されている場合は、平文での通信をも可能にするなど、ユーザーの環境に応じて、暗号化の有無を選択できる。

次に、図２を参照しながら、画像処理装置の動作手順を説明する。HTTPクライアント（クライアントPC）から、httpd（画像処理Webサーバー）にリクエストを出すと、httpdでは、受付ポートに対応する「ポート識別子」をリクエスト情報に設定する。リクエストに応じたページ処理を行うために、SSLFilterにSSLフィルタリングを依頼する。ポート識別子がHTTPの場合は、処理を実行して結果をクライアントに返す。ポート識別子がHTTPSの場合は、暗号化通信モードに応じた処理を行う。詳しくは後述する。

次に、図３を参照しながら、セキュリティ管理サービス(以下DESSと記す)14について説明する。DESS14は、メイン制御部と、SSL通信のためのOpenSSLと、暗号化復号化および自己証明書の作成を行う暗号化/復号化モジュールと、他モジュールとのIPC通信を行うデータ送受信モジュールと、証明書のステータスを管理するモジュールとからなる。証明書などのセキュリティ情報は、DESS14内部ではなく、フラッシュメモリなどの別のメモリに保存されている。この証明書情報へのアクセスは、セキュリティ情報アクセスライブラリを通じて行う。

次に、図４を参照しながら、暗号化設定により暗号化動作を変える方法を、SNMPv3プロトコルでの例を使って説明する。SNMPv3では、DESSおよびSNMP暗号パスワードのデータにより暗号化を行う。「暗号化のみを許可」モードの場合、DESSが搭載されており、かつSNMP暗号バスワードが設定されている場合のみ暗号化通信を行う。DESS非搭載または暗号パスワードが設定されていない場合は、通信不可となる。暗号化優先モードの場合は、暗号化通信を行う条件は、同じくDESSが搭載ており、かつSNMP暗号パスワードが設定されている場合のみである。それ以外の場合は暗号化が行えないため、平文にて通信を行う。

次に、図２と図５を参照しながら、WebサーバーのSSL/TLS暗号化設定による暗号化動作を説明する。WebサーバーはDESS搭載で証明書が導入済みであることが、SSL/TLS暗号化の条件である。Webサーバーでは、ポートを２つ使用する。平文の場合はHTTPのポートであり、例えばポート80を使用する。SSL/TLSではHTTPSのポートであり、例えばポート443を使用する。以下、SSL/TLSの機能を使用できる環境にあることを前提とする。

「暗号化のみを許可」モードの場合、DESSが搭載されており、かつ証明書が導入されている場合は、HTTPSへのリクエストについては暗号化通信が可能である。HTTPへのリクエストについては、HTTPレスポンスとして、“302 Moved Temporary”等を返すことにより、HTTPSへの転送を行うことで、暗号化通信を実現することが可能である。DESS未搭載または証明書がない場合については、HTTPへの平文での通信を許可しないため、“404 Not Found”を返す。SSL/TLSポートは閉じられているため、DNSエラーとなる。

「暗号化優先」モードの場合、DESSが搭載されており、かつ証明書が導入されている場合、「暗号化のみを許可」モードと同じである。DESS未搭載または証明書がない場合については、HTTPへのリクエストは平文で通信行う。SSL/TLSポートは閉じられているため、DNSエラーとなる。「平文も許可」モードの場合、HTTPへのリクエストについては平文での通信を行う。HTTPSへのリクエストについては、DESSが搭載されており、かつ証明書が導入されている場合のみ暗号化通信を行う。その他の場合はDNSエラーとなる。

次に、図６を参照しながら、Webサーバーが提供するWebページによって、暗号化通信か平文通信かを設定する方法を説明する。画像処理装置の給紙トレイの状態に関する情報などは、必ずしも保護しなくてよい。そのようなWebページについては、パフォーマンスを優先して、暗号化は行わない。TCP/IP情報やパスワードなどの保護すべきデータが含まれるページに関しては、暗号化を行う。これは、URLと関連づけることで実現可能である。

次に、図７を参照しながら、アカウント種類別によって、暗号化通信か平文通信かを変更可能とするWebサーバーの動作を説明する。画像処理装置が提供するWeb機能では、トップページにログインボタンがある。Webサーバーは、認証モジュールを保持しており、ユーザーや管理者やsupervisorなどのアカウントでログインが可能である。Webサーバーは、ログインアカウントによって、表示ページまたは表示項目が異なるページを提供することが可能である。例えば、ゲストに対しては、保護すべきデータを含むページは提供しないで、保護しなくともよい項目のみを、平文で提供する。ログイン時のアカウントに応じて、認証した結果が管理者であったら、全ての画面において暗号化通信を行う。

次に、図８を参照しながら、あらかじめ設定しておいたアドレスによって、暗号化通信か平文通信かを変更可能とする方法を説明する。イントラネット内部における通信などのように、平文で通信を許可してもよいことが保証されている場合は、相手装置のIPアドレスの値または範囲を設定して、そのIPアドレスの装置に対しては、平文での通信を許可する。Webサーバーなどとの通信におけるHTTPやFTPなどのTCP/IPプロトコルにおいて、通信要求があったIPアドレスを検査して、平文通信許可範囲のアドレスであったら平文で通信を行い、それ以外のアドレスであれば暗号化通信を行う。

上記のように、本発明の実施例では、画像処理装置を、ネットワークを介する通信のセキュリティ処理に関して、通信プロトコルや通信データのページやログインアカウントの種類や通信相手装置のアドレスごとに暗号化処理動作を設定して、セキュリティモジュールに設定情報を保持し、設定情報に基づいて通信時に暗号化を行うか否かを動的に判断して暗号化処理動作を変え、設定情報が正常に存在しない場合は常に暗号化を行う構成としたので、ネットワーク上の装置間で、セキュリティとパフォーマンスを両立させて、安全に簡単に効率的に情報通信を行うことができる。

本発明の暗号通信装置は、ネットワーク接続された装置間で安全に効率的にデータ交換を行うための装置として最適である。

本発明の実施例における画像処理装置を接続したネットワーク構成図である。本発明の実施例における画像処理装置の動作手順を示す流れ図である。本発明の実施例における画像処理装置のセキュリティ管理サービスの機能的構成を示す図である。本発明の実施例における画像処理装置でSNMP暗号化設定による暗号化動作を示す表である。本発明の実施例における画像処理装置WebサーバーのSSL/TLS暗号化設定による暗号化動作を示す表である。本発明の実施例における画像処理装置Webサーバーのページごとの暗号化動作を示す表である。本発明の実施例における画像処理装置Webサーバーのログインアカウント別の暗号化動作を示す表である。本発明の実施例における画像処理装置Webサーバーの平文通信許可範囲のアドレスを示す表である。

符号の説明

10・・・画像処理Webサーバー、11・・・クライアントPC、12・・・クライアントPC、13・・・LAN、14・・・DESS（セキュリティ管理サービス）。

Claims

ネットワークに接続する送受信手段と、前記送受信手段を介してネットワーク上で他装置と暗号通信を行うネットワーク通信処理手段と、暗号通信に関するセキュリティ処理用の設定情報を保持するセキュリティモジュールと、前記設定情報に基づいて通信時に暗号化を行うか否かを動的に判断して暗号化処理動作を変えるセキュリティ制御手段とを具備することを特徴とする暗号通信装置。
前記セキュリティ制御手段に、前記設定情報が正常に存在しない場合は常に暗号化を行う手段を設けたことを特徴とする請求項１記載の暗号通信装置。
前記セキュリティ制御手段に、通信プロトコルごとに暗号化処理動作を変える手段を設けたことを特徴とする請求項１記載の暗号通信装置。
前記セキュリティモジュールに、通信プロトコルごとに暗号化処理動作を設定する手段を設けたことを特徴とする請求項１記載の暗号通信装置。
前記セキュリティモジュールに、通信データのページごとに暗号化処理動作を設定する手段を設けたことを特徴とする請求項１記載の暗号通信装置。
前記セキュリティモジュールに、ログインアカウントの種類ごとに暗号化処理動作を設定する手段を設けたことを特徴とする請求項１記載の暗号通信装置。
前記セキュリティモジュールに、通信相手装置のアドレスごとに暗号化処理動作を設定する手段を設けたことを特徴とする請求項１記載の暗号通信装置。