JP2007189679A - ＩＰｖ４／ＩＰｖ６統合ネットワークシステムの保安通信方法及びその装置 - Google Patents

Abstract

【課題】 ＩＰｖ４網とＩＰｖ６網が混在した統合ネットワークにおいてＰＳＫ方式を基盤としてＩＰｓｅｃによって保安通信を可能にするＩＰｖ４／ＩＰｖ６統合ネットワークシステムの保安通信方法及びその装置を提供する。
【解決手段】 少なくとも１つのＩＰｖ４ノードと共有される各キー値を識別できる識別情報を生成し、ＩＫＥによる保安交渉過程で各ＩＰｖ４ノードと生成された識別情報を交換する少なくとも１つのＩＰｖ６ノードと、各ＩＰｖ６ノードと共有される各キー値を識別できる識別情報を生成し、保安交渉過程を通じて交換される識別情報に依存するキー値によって保安交渉過程を処理するＩＰｖ４ノードとを備える。
【選択図】 図７

Description

本発明は、ＩＰｖ４／ＩＰｖ６統合ネットワークシステムの保安通信方法及びその装置に関する。

インターネットは、情報化社会の核心インフラとして位置付けられており、ＶｏＩＰ（Voice of IP）及びインターネットＴＶのようにリアルタイムで高品質サービスを提供する技術が開発されるに従って、インターネットを介して交換されるトラフィック（Traffic）もテキスト情報を含むトラフィックから音声情報、イメージ情報及び映像情報を含むマルチメディアトラフィックに変化し、トラフィックの量も爆発的に増加している。

現在構築されているＩＰｖ４（Internet Protocol Version 4）基盤のインターネットは、急激に増加するノードとマルチメディアトラフィックを収容するために、小さいアドレス情報と複雑なヘッダー構造を使用している。このため、トラフィックを処理するルータ及びノードの処理速度が遅れるようになり、全体としてのインターネットの性能を低下させるという問題点がある。

このようなＩＰｖ４基盤のインターネットの問題点を解決するために提案されたＩＰｖ６（Internet Protocol Version 6）は、１２８ビットの拡張されたアドレス体系と、単純化したヘッダー構造、向上したＱｏＳ（Quality of Service）及び強化した保安性などの特徴を有する。

しかしながら、現在のインターネットは、ＩＰｖ４網で構築され、広く運用されているので、短期間にＩＰｖ６網へ転換することは現実的には不可能であり、当分の間は、ＩＰｖ４網とＩＰｖ６網が共存しつつ、順次ＩＰｖ６網に転換されることとが予想される。

したがって、成功的にＩＰｖ６網を構築するためには、ＩＰｖ６ノードやルータが、現在構築されているＩＰｖ４網のＩＰｖ４ノード及びルータと共存することが重要である。

ＩＰｖ６網に連結したノードとＩＰｖ４網に連結したノードとが、相互に連動して通信を行うためには、ＩＰｖ６アドレスとＩＰｖ４アドレスとを相互に変換するアドレス変換器が必要である。

現在、ＩＥＴＦ（internet Engineering Task Force）により多くの変換技術が標準化されており、これらのうち、ネットワークアドレス変換−プロトコル変換（Network Address Translation-Protocol Translation、以下、ＮＡＴ−ＰＴという）技術と、ＤＳＴＭ（Dual Stack Transition Mechanism）技術が登場している。

ここで、ＮＡＴ−ＰＴは、インターネット国際標準化機構であるＩＥＴＦによりＲＦＣ ２７６６で制定された標準であって、ＩＰｖ６−ＩＰｖ４アドレス変換機能について記述している。

ＮＡＴ−ＰＴサーバーは、ＩＰｖ６網とＩＰｖ４網との境界に位置し、ＩＰｖ６ノードに動的に割り当てるＩＰｖ４アドレスを集めたＩＰｖ４アドレスプールを有している。

このようなＮＡＴ−ＰＴサーバーは、ＩＰｖ４アドレスプールに基づいてセッションが初期化される毎に、ＩＰｖ６ノードにＩＰｖ４アドレスを割り当てるアドレス変換（ＮＡＴ：Network Address Translation）機能と、プロトコル変換（ＰＴ：Protocol Translation）機能を有する。

特に、ＮＡＴ−ＰＴサーバーは、ＩＰｖ６ノードから受信されるパケットのヘッダーアドレス情報を変換するＩＰヘッダー変換方法を使用する。

ＩＰ通信を行う両ノード間の認証処理方式には、ＰＳＫ（Pre-shared Key：事前共有キー）方式が挙げられる。ＰＳＫ方式は、両ノードに同一の秘密キーを入力し、ノード間の相互認証を処理する方式である。

一方、ＩＰを保護するためにＩＰｓｅｃが開発されており、ＩＰｓｅｃは、機密性（confidentiality）、無欠性（data integrity）、アクセス制御（access control）及びデータソース認証（data source authentication）など保安サービスを提供する。

このようなＩＰｓｅｃは、保安通信を行う両ノードが、所要の状態情報（shared associate：ＳＡ）を事前に設定し、これを維持及び管理しなければならない。ＳＡ情報は、暗号アルゴリズム及びキー値などになり得る。

大規模のネットワークにおいて、保安通信を行う各ノード間に流動的にＳＡを自動に設定できるようにするＩＫＥ（Inter Key Exchange）規約が開発され、ＩＫＥは、保安通信を行う両ノードに対する信号認証と、ＩＰｓｅｃに使われるＳＡを設定する機能をする。

しかしながら、ＩＰｖ４／ＩＰｖ６統合ネットワークにおいては、ＩＰｖ４ノードとＩＰｖ６ノード間の相互認証に効果的なＰＳＫ方式を基盤としては、保安通信を行うことはできない。

すなわち、ＩＰｖ４／ＩＰｖ６統合ネットワークにおいて、ＩＰｖ６ノードとＩＰｖ４ノード間の保安通信を行う場合には、各ノードは、ＩＫＥ規約によって同一の識別情報（ＩＤ）と共有キーを設定する。

この際、ＩＫＥ規約がＩＤ保護モード（main mode）である場合には、ＩＤには、ノードのＩＰアドレスが使われ、ＩＤ非保護モード（aggressive mode）である場合には、電子メールアドレスなどが使われる。

しかしながら、ＩＰｖ４／ＩＰｖ６統合ネットワークのＩＰｖ４ノードでＮＡＴ−ＰＴサーバーは、ＩＰｖ６ノードにＩＰｖ４アドレスを動的に割り当てるため、ＩＰｖ４ノードは、ＩＰｖ６ノードに割り当てられるＩＰｖ４アドレス情報を知ることができず、ＩＰｖ４／ＩＰｖ６統合ネットワークでは、ＰＳＫ方式を基盤とした保安通信を行うことができない。

すなわち、ＩＰｖ４／ＩＰｖ６統合ネットワークにおいては、ＩＫＥ規約のＩＤ保護モードを通じて保安通信がサポートされず、ＰＳＫ方式によって共有された秘密キーを基盤としてＩＫＥ規約に基づく保安通信を行うことができない。
韓国公開特許公報２００３−００９２３２２

従って、本発明は、前述のような問題点を解決するためになされたもので、その目的は、ＩＰｖ４網とＩＰｖ６網が混在した統合ネットワークにおいて、ＰＳＫ方式を基盤として、ＩＰｓｅｃによって保安通信を可能なようにするＩＰｖ４／ＩＰｖ６統合ネットワークシステムの保安通信方法及びその装置を提供することにある。

上記目的を達成するために、本発明の一態様に係るＩＰｖ４／ＩＰｖ６統合ネットワークシステムは、相異なるネットワークに設けられた少なくとも１つのＩＰｖ４ノード及びＩＰｖ６ノードを含むＩＰｖ４／ＩＰｖ６統合ネットワークであって、少なくとも１つのＩＰｖ４ノードと共有された各秘密キーを識別できるＫＥＹ−ＩＤを生成し、保安交渉過程で各ＩＰｖ４ノードとＫＥＹ−ＩＤを交換する少なくとも１つのＩＰｖ６ノードと、各ＩＰｖ６ノードと共有された各秘密キーを識別できるＫＥＹ−ＩＤを生成し、交換されたＫＥＹ−ＩＤに相当する秘密キーによって保安交渉過程を処理するＩＰｖ４ノードと、を備える。

本発明において、ＫＥＹ−ＩＤは、共有された秘密キー値をハッシュ関数処理した結果値のうち下位３２ビット値である。

本発明において、各ノードは、ＩＫＥ（Internet key exchange）ヘッダー（ＨＤＲ）、ＳＡ（shared associate）情報及びＫＥＹ−ＩＤが含まれるＩＫＥペイロードを構成する。

本発明において、各ノードは、予約（reserved）ネクストペイロード値のうちＫＥＹ−ＩＤであることを明示するペイロード値をネクストペイロードフィールドにセッティングし、ペイロードフィールドにＫＥＹ−ＩＤがセッティングされたＩＫＥペイロードにＫＥＹ−ＩＤを転送する。

本発明に係るＩＰｖ４／ＩＰｖ６統合ネットワークシステムは、各ＩＰｖ６ノードにＩＰｖ４アドレスを動的に割り当てることができるアドレスプールを有し、各第１のノードに割り当てられるＩＰｖ４アドレスに依存するアドレステーブルを管理し、アドレステーブルに基づいてＩＰｖ６パケットをＩＰｖ４パケットに変換し、ＩＰｖ４パケットをＩＰｖ６パケットに変換するＮＡＴ−ＰＴ（Network Address Translation-Protocol Translation）サーバーをさらに備える

本発明において、各ノードは、保安交渉過程で選択された秘密キー値と、暗号キー共有過程に共有されるキー交換（Key Exchange）及び乱数値（Ｎｉ、Ｎｒ）によって暗号キーを生成し、キー交換による認証過程が完了すれば、暗号キーによってデータを暗号化し、保安通信を行う。

また、本発明の他の態様に係るＩＰｖ４／ＩＰｖ６統合ネットワークシステムは、相異なるネットワークに設けられた少なくとも１つのＩＰｖ４ノード及びＩＰｖ６ノードを含むＩＰｖ４／ＩＰｖ６統合ネットワークであって、少なくとも１つのＩＰｖ６ノードと共有される各秘密キー値を識別できる識別情報を生成し、ＩＫＥ（Internet key exchange）による保安交渉過程で各ＩＰｖ６ノードと生成された識別情報を交換する少なくとも１つのＩＰｖ４ノードと、各ＩＰｖ４のノードと共有された各秘密キー値を識別できる識別情報を生成し、保安交渉過程を通じて交換される識別情報に相当する秘密キー値を用いて保安交渉過程を処理するＩＰｖ６ノードと、を備える。

また、本発明のさらに他の態様に係るＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法は、相異なる種類のＩＰ網に設けられる少なくとも１つのノードが秘密キー値を共有する段階と、各ノードが共有された秘密キー値を識別できるＫＥＹ−ＩＤを生成する段階と、各ノードがＫＥＹ−ＩＤを交換し、保安のための交渉過程を処理する段階と、を備える。

本発明において、ＫＥＹ−ＩＤを生成する段階は、秘密キー値をハッシュ関数処理した結果値の下位３２ビット値をＫＥＹ−ＩＤに設定する 。

本発明において、交渉過程を処理する段階は、第１のノードがＩＫＥヘッダー（ＨＤＲ）、ＳＡ（shared associate）情報及びＫＥＹ−ＩＤが含まれるＩＫＥペイロードを含む第１のパケットを第２のノードに転送する段階と、第２のノードがＩＫＥヘッダー（ＨＤＲ）、ＳＡ（shared associate）情報及びＫＥＹ−ＩＤが含まれるＩＫＥペイロードを含む第２のパケットを第１のノードに転送する段階と、を備える。

本発明に係るＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法は、第１のノードに動的にＩＰアドレスを割り当て、第１のパケットを第２のパケットに変換し、第２のパケットを第１のパケットに変換する段階をさらに備える。

本発明において、ＩＫＥペイロードは、予約（reserved）ネクストペイロード値のうちＫＥＹ−ＩＤ値として定義される値がネクストペイロードフィールドにセットされ、ペイロードフィールドにＫＥＹ−ＩＤがセットされた識別ペイロードを含む。

本発明に係るＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法は、交渉過程で選択された秘密キー値と、暗号キー共有過程で共有されたキー交換（Key Exchange）及び乱数値（Ｎｉ、Ｎｒ）によって暗号キーを生成する段階と、暗号キーの交換によって認証過程が完了した場合には、暗号キーによってデータを暗号化し、保安通信を行う段階とをさらに備える。

また、本発明のさらに他の態様に係るＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法は、少なくとも１つのＩＰｖ６ノード及びＩＰｖ４ノードが秘密キーを共有する段階と、各ノードが各秘密キーを識別できる識別情報を生成する段階と、ＩＫＥによる保安交渉過程で各ＩＰｖ６ノードとＩＰｖ４ノードが識別情報を交換する段階と、各ＩＰｖ６ノード及びＩＰｖ４ノードが識別情報に相当する秘密キーによって保安交渉過程を処理する段階と、を備える。

本発明に係るＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法は、保安交渉過程で選択された前記秘密キーと、暗号キー共有過程で共有されたキー交換（Key Exchange）及び乱数値（Ｎｉ、Ｎｒ）によって暗号キーを生成する段階と、前記暗号キーの交換によって認証過程が完了した場合には、暗号キーによってデータを暗号化し、保安通信を行う段階とをさらに備える。

本発明によれば、ＩＰｖ４網とＩＰｖ６網が混在した統合ネットワークにおいて、秘密キーを識別できるＩＤ情報を、ＩＰアドレス情報として使用しないことによって、ＮＡＴ−ＰＴサーバーを介してパケットが変換される場合であっても、ＩＰｖ４ノードとＩＰｖ６ノードが秘密キーを識別できるので、ＩＰｖ４／ＩＰｖ６統合ネットワークにおいて、秘密キー方式を基盤としてＩＰｓｅｃによる保安通信を実現することができる。

以下、添付の図面を参照して、本発明の実施形態のＩＰｖ４／ＩＰｖ６統合ネットワークシステムの保安通信方法及びその装置を詳細に説明する。

図１は、本発明の実施形態のＩＰｖ４／ＩＰｖ６統合ネットワークを説明するブロック図である。

図１を参照すれば、ＩＰｖ６網に設けられた多数のＩＰｖ６ノード１００と、ＩＰｖ４網に設けられたＩＰｖ４ノード３００とが、ＮＡＴ−ＰＴサーバー２００を介して連結されている。

ＮＡＴ−ＰＴサーバー２００は、ＩＰｖ４網とＩＰｖ６網との境界地点に位置し、ＩＰｖ６ノード１００に動的に割り当てるＩＰｖ４アドレスを集めたＩＰｖ４アドレスプール（不図示）に基づいて、セッションが初期化される時毎に、ＩＰｖ６ノード１００に動的にＩＰｖ４アドレスを割り当てる。

本実施形態では、各ＩＰｖ６ノード１００とＩＰｖ４ノード３００間に、ＰＳＫ方式に基づいて、ＩＫＥ規約によって保安通信を行う場合について説明する。

また、本実施形態では、一例として、ＩＰｖ４ノード３００が、多数のＩＰｖ６ノード１００と秘密キーを共有する場合について説明するが、その他、ＩＰｖ６ノード１００が、多数のＩＰｖ４ノード３００と秘密キーを共有する場合にも、同様に適用することができる。

図２は、一般的なＩＰｖ４ノードに設定されるＰＳＫ（事前共有キー）を説明する図である。

図２に示すように、各ＰＳＫは、識別情報ＩＤと秘密キーとを含む。各秘密キーの識別情報は、ＩＰアドレス情報であり、‘２２０.７０.２.５０’は、ＮＡＴ−ＰＴサーバー２００が、ＩＰｖ６ノード１００に動的に割り当てるＩＰｖ４アドレスである。また、‘２２０．７０．２．１００’は、ＩＰｖ４ノード３００のＩＰｖ４アドレスである。また、各識別情報にマッチングされる秘密キーは、‘１２３４’である。

図３は、一般的なＩＰｖ６ノードに設定されるＰＳＫ（事前共有キー）を説明する図である。

図３に示すように、各秘密キーの識別情報は、ＩＰアドレス情報である。‘２００１：：１’は、第１のＩＰｖ６ノード１００のＩＰｖ６アドレスである。‘３ｆｆｅ：２ｅ００：ｅ：ｆｆｆ９：：２２０．７０．３．１００’は、ＮＡＴ−ＰＴサーバー２００のｐｒｅｆｉｘアドレスである‘３ｆｆｅ：２ｅ００：ｅ：ｆｆｆ９’の後段に、ＩＰｖ４ノード３００のＩＰアドレス‘２２０．７０．２．１００’を付けて生成されたアドレスである。また、各識別情報にマッチングされる秘密キーは、‘１２３４’である。

図２及び図３と関連して説明したように、各ノードは、同じ秘密キーを共有しており、各秘密キーを識別するための識別情報は、各ノードのＩＰアドレスが使われることが分かる。

しかしながら、ＩＰｖ４／ＩＰｖ６統合ネットワークにおいては、ＩＰｖ６ノード１００と保安通信を行うＩＰｖ４ノード３００の秘密キーを識別する識別情報として、ＩＰアドレスを使用することができない。なぜなら、ＩＰｖ４ノード３００は、ＮＡＴ−ＰＴサーバー２００からＩＰｖ６ノード１００に任意に割り当てられるＩＰｖ４アドレス２２０．７０．２．５０が、動的に割り当てられるので、ＩＰｖ４ノード３００は、ＩＰｖ６ノード１００のＩＰアドレスに依存する秘密キーを識別することができなくなり、保安通信を行うことができないためである。

したがって、本実施形態のＩＰｖ４ノード３００及びＩＰｖ６ノード１００は、それぞれ共有している秘密キーに基づいてＩＰアドレス情報ではない他の識別情報（以下、ＫＥＹ−ＩＤと言う）を生成し、秘密キーに基づいてＩＫＥ規約に基づく保安通信を行う。

図４は、本実施形態の各ＩＰｖ６ノードに設定されるＰＳＫ（事前共有キー）を説明する図である。

図４に示すように、本実施形態の各ＩＰｖ６ノード１００は、ＰＳＫの秘密キーに基づいてＫＥＹ−ＩＤを生成する。

例えば、第１のＩＰｖ６ノード１００のＫＥＹ−ＩＤは、‘１２３４５６７８’であり、マッチングされる秘密キーは、‘１１１１’である。第２のＩＰｖ６ノード１００のＫＥＹ−ＩＤは、‘８７６５４３２１’であり、マッチングされる秘密キーは、‘２２２２’である。第３のＩＰｖ６ノード１００のＫＥＹ−ＩＤは、‘１２３４１２３４’であり、マッチングされる秘密キーは、‘３３３３’である。

図５は、本実施形態の各ＩＰｖ４ノードに設定されるＰＳＫ（事前共有キー）を説明する図である。

図５に示すように、各ＩＰｖ６ノード１００と共有された各秘密キーに基づいて各秘密キーを識別できるＫＥＹ−ＩＤを生成し、各ＫＥＹ−ＩＤと各ＫＥＹ−ＩＤにマッチングされる秘密キーとを保存して管理する。

例えば、ＩＰｖ４ノード３００は、第１の秘密キー‘１１１１’にマッチングされるＫＥＹ−ＩＤ‘１２３４５６７８’と、第２の秘密キー‘２２２２’にマッチングされるＫＥＹ−ＩＤ‘８７６５４３２１’と、第３の秘密キー‘３３３３’にマッチングされるＫＥＹ−ＩＤ‘１２３４１２３４’とを有する。

このような各ＩＰｖ６ノード１００及びＩＰｖ４ノード３００は、秘密キーのキー値をハッシュ関数処理した結果値のうち下位３２ビット値をＫＥＹ−ＩＤに設定する。

図６は、本実施形態のＫＥＹ−ＩＤの生成を説明する図である。

図６に示すように、各ＩＰｖ６ノード１００及びＩＰｖ４ノード３００は、共有されたＰＳＫのうち秘密キーのキー値（key value）を、ハッシュ関数（Secure Hash Standard）処理した結果値の、下位３２ビット値を該当秘密キーのＫＥＹ−ＩＤに設定する。

各ＩＰｖ６ノード１００及びＩＰｖ４ノード３００は、既存のＩＰアドレスを転送せず、ＩＫＥ規約に従う秘密キーの識別情報を用いて保安通信を行うことにより、ＫＥＹ−ＩＤを交換する。

図４及び図５では、一例として、ＫＥＹ−ＩＤを１０進数で表記したが、その他の進数方式で表現する場合にも、同様である。

図７は、本実施形態のＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法を説明するフローチャートである。

図７を参照すれば、各ＩＰｖ６ノード１００及びＩＰｖ４ノード３００は、図４及び図５と関連して説明したように、共有されたＰＳＫの秘密キーを識別できるＫＥＹ−ＩＤを生成する。

ＩＰｖ６ノード１００及びＩＰｖ４ノード３００は、‘ＩＰｓｅｃ’による保安通信を開始する。保安通信過程は大きく、保安交渉過程Ｓ１１０と、暗号キー共有過程Ｓ１２０と、認証手続過程Ｓ１３０と、保安通信実行過程Ｓ１４０とからなる。

保安交渉過程Ｓ１１０のフローは、次の通りである。

ＩＰｖ６ノード１００は、ＩＫＥ（Internet Key Exchange）交渉のためにＩＫＥヘッダー（Header、以下、ＨＤＲという）と、ＳＡ情報（例えば、暗号アルゴリズム）と、ＫＥＹ−ＩＤとが含まれたＩＫＥペイロードを構成する。また、ＩＰｖ６ノード１００は、ＩＫＥペイロードが含まれたＩＰｖ６パケットを生成する。また、ＩＰｖ６ノード１００は、ＩＰｖ６パケットをＮＡＴ−ＰＴサーバー２００に転送する（ステップＳ１１１。なお、図中ではステップをＳと略す。）。

図８は、本実施形態のＨＤＲの構成を説明する図である。図８に示すように、‘ＨＤＲ’は、‘ＳＡ’情報を識別するために‘開始者’が選択した値を有する‘ＩＫＥ＿ＳＡ開始者のＳＰＩ’フィールドと、‘ＳＡ’情報を識別するために‘応答者’が選択した値を有する‘ＩＫＥ＿ＳＡ応答者のＳＰＩ’フィールドと、‘ＨＤＲ’の次に位置するペイロードタイプを示す‘ネクストペイロード’フィールドと、使われるプロトコルのバージョンを示す‘ＭｊＶｅｒ’と、‘ＭｎＶｅｒ’フィールドと、メッセージ交換タイプを示す‘交換タイプ’フィールドと、メッセージに選択されたオプションを示す‘フラグ’フィールドと、データの再転送を制御し、要請と応答をマッチングさせるための‘メッセージＩＤ’フィールドと、ヘッダー以後のペイロード全体のメッセージ長さを示す‘長さ’フィールドとを含む。

図９は、本実施形態のペイロードタイプを説明する図である。

図９に示すように、ペイロードタイプのうち定義されていないペイロード値（私用の予約；Reserved for private use）のうち１つの値をＫＥＹ−ＩＤのペイロードタイプ値として定義することができる。

図１０は、本実施形態のＫＥＹ−ＩＤペイロードを説明する図である。

図１０に示すように、ＩＰｖ６ノード１００またはＩＰｖ４ノード３００は、‘ネクストペイロード’フィールドに定義されるＫＥＹ−ＩＤのペイロードタイプ値を設定し、ペイロードフィールドに秘密キーを識別できるＫＥＹ−ＩＤを含めて、図８に示すＨＤＲの後段に連結し、ＩＫＥペイロードを生成する。

ＮＡＴ−ＰＴサーバー２００は、ＩＰｖ４アドレスプールに基づいて各ＩＰｖ６ノード１００に割り当てられるＩＰｖ４アドレスを基盤としてＩＰｖ６パケットをＩＰｖ４パケットに変換する。この際、ＮＡＴ−ＰＴサーバー２００は、各ＩＰｖ６ノード１００に割り当てられたＩＰｖ４アドレスをマッピングテーブルで管理する。

また、ＮＡＴ−ＰＴサーバー２００は、変換されたＩＰｖ４パケットをＩＰｖ４ノード３００に転送する（ステップＳ１１２）。

すなわち、ＩＰｖ６ノード１００からＨＤＲと、ＳＡ情報と、ＫＥＹ−ＩＤとがＩＰｖ４ノード３００に転送される。ＳＡ情報については、多数のＳＡ情報がリスト（list）化された形態で転送される。

ＩＰｖ４ノード３００は、ＮＡＴ−ＰＴサーバー２００からＨＤＲと、ＳＡ情報と、ＫＥＹ−ＩＤとが含まれたＩＫＥペイロードを含むＩＰｖ４パケットを受信した場合には、ＩＫＥペイロードに含まれたＫＥＹ−ＩＤに従う秘密キーを選択する。

ＩＰｖ４ノード３００は、ＩＰｖ６ノード１００とのＩＫＥ交渉のために、ＨＤＲと、ＳＡ情報と、選択されたＰＳＫの秘密キーを識別できるＫＥＹ−ＩＤとが含まれたＩＫＥペイロードを含むＩＰｖ４パケットを生成し、ＮＡＴ−ＰＴサーバー２００に転送する（ステップＳ１１３）。

ＮＡＴ−ＰＴサーバー２００は、マッピングテーブルに基づいて、ＩＰｖ４パケットをＩＰｖ６パケットに変換し、ＩＰｖ６ノード１００に転送する（ステップＳ１１４）。

すなわち、ＩＰｖ４ノード３００から、ＨＤＲと、ＳＡ情報と、ＫＥＹ−ＩＤとがＩＰｖ６ノード１００に転送される。この際、ＳＡ情報は、ＩＰｖ６ノード１００から伝達された多数のＳＡ情報のうち、ＩＰｖ４ノード３００により、選択された（selected）ＳＡ情報が転送される。

すなわち、保安交渉過程Ｓ１１０で、ＩＰｖ６ノード１００とＩＰｖ４ノード３００は、互いに共有しているＰＳＫの秘密キーを、ＫＥＹ−ＩＤを通じて確認することができ、ＳＡ情報及び秘密キーに従う保安交渉を処理する。

次に、暗号キー共有過程Ｓ１２０でのデータ転送手続過程は、次の通りである。

ＩＰｖ６ノード１００は、ＨＤＲと、キー交換（Key Exchange、以下、ＫＥという）と、臨時乱数値Ｎｉとが含まれたＩＫＥペイロードを含むＩＰｖ６パケットを生成し、ＩＰｖ６パケットをＮＡＴ−ＰＴサーバー２００に転送する（ステップＳ１２１）。

ＮＡＴ−ＰＴサーバー２００は、マッピングテーブルに登録されたＩＰｖ６ノード１００のＩＰｖ４アドレスに基づいて、ＩＰｖ６パケットをＩＰｖ４パケットに変換し、ＩＰｖ４パケットをＩＰｖ４ノード３００に転送する（ステップＳ１２２）。

ＩＰｖ４ノード３００は、ＮＡＴ−ＰＴサーバー２００からＨＤＲと、ＫＥと、Ｎｉ値とが含まれたＩＫＥペイロードを受信した場合には、ＩＰｖ６ノード１００のＫＥ及びＮｉ値を把握する。

ＩＰｖ４ノード３００は、ＨＤＲと、ＫＥと、Ｎｒ値とが含まれたＩＫＥペイロードを含むＩＰｖ４パケットを生成し、ＮＡＴ−ＰＴサーバー２００に転送する（ステップＳ１２３）。

ＮＡＴ−ＰＴサーバー２００は、マッピングテーブルに基づいて、ＩＰｖ４パケットをＩＰｖ６パケットに変換し、ＩＰｖ６ノード１００に転送する（ステップＳ１２４）。

すなわち、各ＩＰｖ６ノード１００及びＩＰｖ４ノード３００は、暗号キー共有過程Ｓ１２０を通じて共有した秘密キーと、選択されたＳＡ情報と、ＫＥと、乱数値Ｎｉ、Ｎｒとを用いてデータを暗号化する暗号キーを生成する。

認証手続Ｓ１３０でのデータ転送手続は、次の通りである。

ＩＰｖ６ノード１００は、アドレス情報ＩＤｉｉと、認証情報［ＣＥＲＴ,］ＳＩＧ＿Ｉとを生成し、共有されたキー情報ＫＥを用いて、アドレス情報ＩＤｉｉと、認証情報［ＣＥＲＴ,］ＳＩＧ＿Ｉと、ＨＤＲとを暗号化したＩＫＥペイロードを含むＩＰｖ６パケットを生成し、ＮＡＴ−ＰＴサーバー２００に転送する（ステップＳ１３１）。

ＮＡＴ−ＰＴサーバー２００は、ＩＰｖ６パケットをマッピングテーブルに基づいてＩＰｖ４パケットに変換し、ＩＰｖ４パケットをＩＰｖ４ノード３００に転送する（ステップＳ１３２）。

ＩＰｖ４ノード３００は、受信されたＩＰｖ４パケットのＩＫＥペイロードに含まれたアドレス情報ＩＤｉｉ及び認証情報［ＣＥＲＴ,］ＳＩＧ＿ＩなどによりＩＰｖ６ノード１００を認証する。

ＩＰｖ４ノード３００は、ＩＰｖ６ノード１００が認証された場合には、自身のアドレス情報ＩＤｉｒと、そのアドレス情報が反映された認証情報［ＣＥＲＴ,］ＳＩＧ＿Ｒを生成し、アドレス情報ＩＤｉｒと認証情報［ＣＥＲＴ,］ＳＩＧ＿ＲとＨＤＲを、キー情報ＫＥを用いて暗号化したＩＫＥペイロードを含むＩＰｖ４パケットを生成し、ＩＰｖ４パケットをＮＡＴ−ＰＴサーバー２００に転送する（ステップＳ１３３）。

ＮＡＴ−ＰＴサーバー２００は、マッピングテーブルに基づいてＩＰｖ４パケットをＩＰｖ６パケットに変換し、ＩＰｖ６パケットをＩＰｖ６ノード１００に転送する（ステップＳ１３４）。

ＩＰｖ６ノード１００は、ＩＰｖ６パケットに含まれたアドレス情報ＩＤｉｒと認証情報［ＣＥＲＴ,］ＳＩＧ＿Ｒとを用いてＩＰｖ４ノード３００を認証する。

ＩＰｖ６ノード１００とＩＰｖ４ノード３００間に相互認証が完了した場合には、暗号キー共有過程１２０を通じて共有した暗号キーを用いて、ＩＰｖ６ノード１００とＩＰｖ４ノード３００間に、ＩＰｓｅｃによる保安通信が行われる（ステップＳ１４０）。

図１１は、本実施形態のＩＰｖ４／ＩＰｖ６統合ネットワークシステムの保安通信方法を説明するフローチャートである。

図１１を参照すれば、ＩＰｖ４網に設けられたＩＰｖ４ノード３００と、ＩＰｖ６網に設けられた多数のＩＰｖ６ノード１００とが、秘密キーを共有する（ステップＳ２００）。

各ＩＰｖ６ノード１００及びＩＰｖ４ノード３００は、共有された秘密キーに基づいて各秘密キーを識別できるＫＥＹ−ＩＤを生成する（ステップＳ２１０）。

各ＩＰｖ６ノード１００及びＩＰｖ４ノード３００は、共有されたＰＳＫの秘密キーのキー値（key value）をハッシュ関数（Secure Hash Standard）処理した結果値の下位３２ビット値を該当秘密キーのＫＥＹ−ＩＤに設定する。

各ＩＰｖ６ノード１００とＩＰｖ４ノード３００は、ＨＤＲと、ＳＡ情報と、ＫＥＹ−ＩＤとを含むＩＫＥペイロードを交換し、保安交渉過程を処理する（ステップＳ２２０）。

各ＩＰｖ６ノード１００及びＩＰｖ４ノード３００は、交換されるＫＥＹ−ＩＤにマッチングする秘密キーを選択する（ステップＳ２３０）。

各ＩＰｖ６ノード１００及びＩＰｖ４ノード３００は、ＨＤＲと、キー交換（Key Exchange）と、臨時乱数値Ｎｉとを含むＩＫＥペイロードを交換し、共有している秘密キーと、ＳＡ情報と、ＫＥと、乱数値Ｎｉ、Ｎｒとを用いてデータを暗号化するための暗号キーを共有する（ステップＳ２４０）。

各ＩＰｖ６ノード１００は、アドレス情報ＩＤｉｉと、認証情報［ＣＥＲＴ,］ＳＩＧ＿Ｉとを生成し、共有されたキー情報ＫＥを用いて、アドレス情報ＩＤｉｉと、認証情報［ＣＥＲＴ,］ＳＩＧ＿Ｉと、ＨＤＲとを暗号化したＩＫＥペイロードを含むＩＰｖ６パケットを生成し、ＩＰｖ６パケットをＮＡＴ−ＰＴサーバー２００を介してＩＰｖ４ノード３００に転送する。

ＩＰｖ４ノード３００は、受信されたＩＫＥペイロードに含まれたアドレス情報ＩＤｉｉと、認証情報［ＣＥＲＴ,］ＳＩＧ＿Ｉなどによって、ＩＰｖ６ノード１００を認証し、自身のアドレス情報ＩＤｉｒと、当該アドレス情報が反映された認証情報［ＣＥＲＴ,］ＳＩＧ＿Ｒと、ＨＤＲとを、キー情報ＫＥを用いて暗号化したＩＫＥペイロードを含むＩＰｖ４パケットを、ＮＡＴ−ＰＴサーバー２００を介してＩＰｖ６ノード１００に転送する。

ＩＰｖ６ノード１００は、ＩＰｖ６パケットに含まれたアドレス情報ＩＤｉｒと、認証情報［ＣＥＲＴ,］ＳＩＧ＿Ｒとを用いて、ＩＰｖ４ノード３００を認証する（ステップＳ２５０）。

ＩＰｖ６ノード１００とＩＰｖ４ノード３００間に相互認証が完了すれば、暗号キー共有過程１２０を通じて共有した暗号キーを用いてＩＰｖ６ノード１００とＩＰｖ４ノード３００間にＩＰｓｅｃによる保安通信が行われる（ステップＳ２６０）。

この際、ＮＡＴ−ＰＴサーバー２００は、ＩＰｖ４アドレスプール（pool）に基づいてＩＰｖ６ノード１００に割り当てられたＩＰｖ４アドレスに基づいて、マッピングテーブルを管理し、ＩＰｖ６パケットをＩＰｖ４パケットに変換し、ＩＰｖ４パケットをＩＰｖ６パケットに変換する。

本実施形態のＩＰｖ４／ＩＰｖ６統合ネットワークを説明するためのブロック図である。 一般的なＩＰｖ４ノードに設定されるＰＳＫを説明するための図である。 一般的なＩＰｖ６ノードに設定されるＰＳＫを説明するための図である。 本実施形態の各ＩＰｖ６ノードに設定されるＰＳＫを説明する図である。 本実施形態の各ＩＰｖ４ノードに設定されるＰＳＫを説明する図である。 本実施形態のＫＥＹ−ＩＤの生成を説明する図である。 本実施形態のＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法を説明するフローチャートである。 本実施形態のＨＤＲの構成を説明する図である。 本実施形態のペイロードタイプを説明する図である。 本実施形態のＫＥＹ−ＩＤペイロードを説明する図である。 本実施形態のＩＰｖ４／ＩＰｖ６統合ネットワークシステムの保安通信方法を説明するフローチャートである。

符号の説明

１００ ＩＰｖ６ノード
２００ ＮＡＴ−ＰＴサーバー
３００ ＩＰｖ４ノード

Claims (16)

1. 相異なるネットワークに設けられた少なくとも１つのＩＰｖ４ノード及びＩＰｖ６ノードを含むＩＰｖ４／ＩＰｖ６統合ネットワークであって、
   少なくとも１つのＩＰｖ４ノードと共有された各秘密キーを識別できるＫＥＹ−ＩＤを生成し、保安交渉過程で前記各ＩＰｖ４ノードと前記ＫＥＹ−ＩＤを交換する少なくとも１つのＩＰｖ６ノードと、
   前記各ＩＰｖ６ノードと共有された各秘密キーを識別できるＫＥＹ−ＩＤを生成し、前記交換されたＫＥＹ−ＩＤに相当する秘密キーによって前記保安交渉過程を処理するＩＰｖ４ノードと、
   を備えることを特徴とするＩＰｖ４／ＩＰｖ６統合ネットワークシステム。
2. 前記ＫＥＹ−ＩＤは、
   前記共有された秘密キー値をハッシュ関数処理した結果値の下位３２ビット値であることを特徴とする請求項１に記載のＩＰｖ４／ＩＰｖ６統合ネットワークシステム。
3. 前記ＩＰｖ６ノード及び前記ＩＰｖ４ノードは、
   ＩＫＥ（Internet key exchange）ヘッダー（ＨＤＲ）と、ＳＡ（shared associate）情報と、ＫＥＹ−ＩＤとを含むＩＫＥペイロードを構成することを特徴とする請求項１に記載のＩＰｖ４／ＩＰｖ６統合ネットワークシステム。
4. 前記ＩＰｖ６ノード及び前記ＩＰｖ４ノードは、
   予約（reserved）ネクストペイロード値のうちＫＥＹ−ＩＤであることを示すペイロード値をネクストペイロードフィールドにセットし、
   ネクストペイロードフィールドに前記ＫＥＹ−ＩＤがセットされたＩＫＥペイロードを用いて前記ＫＥＹ−ＩＤを転送することを特徴とする請求項１に記載のＩＰｖ４／ＩＰｖ６統合ネットワークシステム。
5. 前記各ＩＰｖ６ノードにＩＰｖ４アドレスを動的に割り当てることができるアドレスプール（pool）を有し、前記各ＩＰｖ６ノードに割り当てられるＩＰｖ４アドレスに依存するアドレステーブルを管理し、前記アドレステーブルに基づいてＩＰｖ６パケットをＩＰｖ４パケットに変換し、ＩＰｖ４パケットをＩＰｖ６パケットに変換するＮＡＴ−ＰＴ（Network Address Translation-Protocol Translation）サーバーをさらに備えることを特徴とする請求項１に記載のＩＰｖ４／ＩＰｖ６統合ネットワークシステム。
6. 前記ＩＰｖ６ノード及び前記ＩＰｖ４ノードは、
   前記保安交渉過程で選択された前記秘密キー値と、暗号キー共有過程で共有されたキー交換（Key Exchange）値及び乱数値（Ｎｉ、Ｎｒ）と、に基づいて暗号キーを生成し、前記キー交換による認証過程が完了すれば、前記暗号キーによってデータを暗号化し、保安通信を行うことを特徴とする請求項１に記載のＩＰｖ４／ＩＰｖ６統合ネットワークシステム。
7. 相異なるネットワークに設けられた少なくとも１つのＩＰｖ４ノード及びＩＰｖ６ノードを含むＩＰｖ４／ＩＰｖ６統合ネットワークであって、
   少なくとも１つのＩＰｖ６ノードと共有される各秘密キー値を識別できる識別情報を生成し、ＩＫＥ（Internet key exchange）による保安交渉過程で前記各ＩＰｖ６ノードと前記生成された識別情報を交換する少なくとも１つのＩＰｖ４ノードと、
   前記各ＩＰｖ４ノードと共有された各秘密キー値を識別できる識別情報を生成し、前記保安交渉過程を通じて交換される識別情報に相当する秘密キー値を用いて保安交渉過程を処理するＩＰｖ６ノードと、
   を備えることを特徴とするＩＰｖ４／ＩＰｖ６統合ネットワークシステム。
8. 相異なるネットワークに設けられたＩＰｖ６ノード及びＩＰｖ４ノードを含むＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法であって、
   相異なる種類のＩＰ網に設けられる少なくとも１つ以上のノードが秘密キー値を共有する段階と、
   前記各ノードが前記共有された秘密キー値を識別できるＫＥＹ−ＩＤを生成する段階と、
   前記各ノードが前記ＫＥＹ−ＩＤを交換し、保安のための交渉過程を処理する段階と、
   を有することを特徴とするＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法。
9. 前記ＫＥＹ−ＩＤを生成する段階は、
   前記秘密キー値をハッシュ関数処理した結果値の下位３２ビット値を前記ＫＥＹ−ＩＤに設定することを特徴とする請求項８に記載のＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法。
10. 前記交渉過程を処理する段階は、
    第１のノードが、ＩＫＥヘッダー（ＨＤＲ）と、ＳＡ（shared associate）情報と、ＫＥＹ−ＩＤとが含まれるＩＫＥペイロードを含む第１のパケットを第２のノードに転送する段階と、
    前記第２のノードが、ＩＫＥヘッダー（ＨＤＲ）と、ＳＡ（shared associate）情報と、ＫＥＹ−ＩＤとが含まれるＩＫＥペイロードを含む第２のパケットを前記第１のノードに転送する段階と、
    を備えることを特徴とする請求項８に記載のＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法。
11. 前記第１のノードに動的にＩＰアドレスを割り当て、前記第１のパケットを前記第２のパケットに変換し、前記第２のパケットを前記第１のパケットに変換する段階をさらに備えることを特徴とする請求項１０に記載のＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法。
12. 前記ＩＫＥペイロードは、
    予約（reserved）ネクストペイロード値のうちＫＥＹ−ＩＤ値として定義される値がネクストペイロードフィールドにセットされ、ネクストペイロードフィールドに前記ＫＥＹ−ＩＤがセットされた識別ペイロードを含むことを特徴とする請求項１０に記載のＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法。
13. 前記各ノードは、
    ＩＰｖ６網に設けられたＩＰｖ６ノードまたはＩＰｖ４網に設けられたＩＰｖ４ノードであることを特徴とする請求項８に記載のＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法。
14. 前記交渉過程で選択された前記秘密キー値と、暗号キー共有過程で共有されたキー交換（Key Exchange）及び乱数値（Ｎｉ、Ｎｒ）とによって暗号キーを生成する段階と、
    暗号キーの交換による認証過程が完了した場合には、前記暗号キーによってデータを暗号化し、保安通信を行う段階と、
    をさらに備えることを特徴とする請求項８に記載のＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法。
15. 相異なるネットワークに設けられたＩＰｖ６ノード及びＩＰｖ４ノードを含むＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法であって、
    少なくとも１つのＩＰｖ６ノード及びＩＰｖ４ノードが秘密キーを共有する段階と、
    前記ＩＰｖ６ノード及び前記ＩＰｖ４ノードが前記各秘密キーを識別できる識別情報を生成する段階と、
    ＩＫＥによる保安交渉過程で、前記各ＩＰｖ６ノードと前記ＩＰｖ４ノードが前記識別情報を交換する段階と、
    前記各ＩＰｖ６ノード及び前記ＩＰｖ４ノードが前記識別情報に相当する秘密キーによって前記保安交渉過程を処理する段階と、
    を備えることを特徴とするＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法。
16. 前記保安交渉過程で選択された前記秘密キーと、暗号キー共有過程で共有されたキー交換（Key Exchange）及び乱数値（Ｎｉ、Ｎｒ）とによって、暗号キーを生成する段階と、
    暗号キーの交換による認証過程が完了した場合には、前記暗号キーによってデータを暗号化し、保安通信を行う段階と、
    をさらに備えることを特徴とする請求項１５に記載のＩＰｖ４／ＩＰｖ６統合ネットワークの保安通信方法。

Images