JP2008109404A - 情報処理装置、通信方法およびプログラム - Google Patents

Abstract

【課題】ネットワークを介してセキュリティを保護しながらデータ伝送を実行すること。
【解決手段】ネットワークに接続され、外部装置とセキュア通信を行う情報処理装置であって、情報処理装置は、イベントを検知する手段と、トリガ条件を保持する記憶手段と、イベントを検知し、イベントについて割当てたトリガ条件を判断して、イベントがトリガ条件の指定イベントである場合にセキュア通信のセキュリティ共有情報の更新処理を開始させるトリガ手段とを含む。
【選択図】 図５

Description

本発明は、セキュリティ技術に関し、より詳細には、ネットワークを介してセキュリティを保護しながらデータ伝送を実行する情報処理装置、通信方法およびプログラムに関する。

ＶＰＮ（Virtual Private Network）やＩＰｖ６（Internet Protocol Version 6）で使用されるセキュア通信規格であるＩＰｓｅｃ(Security
Architecture for Internet Protocol)通信は、ＩＰ層レベルのアクセス制御や伝送データの完全性および機密性の確保やデータ送信元の認証などの機能を提供し、伝送経路におけるデータの改竄や盗聴やなりすましなどを、好適に防止することを可能とするセキュリティ基盤技術である。

ＩＰｓｅｃ通信に代表されるセキュア通信においては、データ伝送に先立ち、通信を開始しようとする情報処理装置（ノード）間で通信データの完全性や機密性を確保するための情報（暗号化や認証のプロトコルや秘密鍵）を共有し、その後、両方の情報処理装置はペア秘密鍵を使用して、セキュア通信を実行する。

しかしながら、暗号化や認証に用いるペア秘密鍵は、解読される蓋然性を有するため、秘密鍵には有効期限が設定され、期限を過ぎた秘密鍵を使用しないことが好ましく、例えばＲＦＣ４３０６（非特許文献１）では、ＩＰｓｅｃ通信プロトコルにおいて、一定の安全性を確保するために、情報処理装置間の論理的コネクションであるセキュリティ・アソシエーション（以降、ＳＡとして参照する）に対してパケット量または時間の所定の閾値を決め、有効期限を設定するべき旨が定められている。しかしながら、ＳＡに対してパケット量または時間による有効期限を設けるのみでは、ネットワーク環境や通信相手に応じて対応するというリキー処理の柔軟性や利便性の観点から、充分なものではなかった。

特開２００５−２１０６４５号公報（特許文献１）は、ＩＰアドレス変更による通信の断絶を回避する目的から、ＤＨＣＰ（Dynamic Host Configuration Protocol）によるＩＰアドレスの変更時に、ＩＰｓｅｃ暗号通信路の更新を通信相手に要求し、両通信者間で新アドレスによるＩＰｓｅｃ暗号通信路を作成するとともに旧通信路を削除する通信方法を開示している。

また特開２００５−３４７９７８号公報（特許文献２）は、ノードにおけるＩＰｓｅｃ処理負荷を軽減する目的から、ノードにおけるＩＰｓｅｃＳＡ上のトラヒックを監視し、規定時間トラヒックがなければＩＰｓｅｃＳＡを削除するサーバを開示している。しかしながら、上述した従来技術は、ネットワーク環境や通信相手に応じて対応するというリキー処理の柔軟性や利便性の観点から、充分なものではなかった。

特開２００３−３３８８５０号公報（特許文献３）は、ＳＡ管理プロトコルに従い、ＳＡ管理因子として参照される所定の規則を適用し、ＳＡが不必要であると判断した場合は、ノードに対し削除指令またはＳＡの再設定の実行指令を通知するサーバを開示している。しかしながら、この従来技術では、新たにＳＡを管理するためのサーバを導入する必要があり、設備コストが増大するという問題があった。また、リキー処理の即時性という観点からも充分なものではなかった。
特開２００５−２１０６４５号公報 特開２００５−３４７９７８号公報 特開２００３−３３８８５０号公報 IETF RFC4306 InternetKey Exchange（ＩＫＥｖ２） Protocol December 2005

本発明は上記従来技術に鑑みてなされたものであり、セキュア通信の際に情報処理装置間で共有され、通信データの完全性や機密性を確保するための情報（セキュリティ共有情報）の更新処理を、柔軟に実行することを可能とし、通信におけるセキュリティを効果的に向上させることを可能とする情報処理装置、通信方法およびプログラムを提供することを目的とする。

本発明は、情報処理装置の内外で発生するイベントをトリガとして、通信データの完全性や機密性を確保するためのセキュリティ共有情報の更新処理を開始することにより、好適にセキュア通信におけるセキュリティの低下を防止することができるという着想に基づいてなされたものである。本発明では、イベントとしては、情報処理装置が検出する通信プロトコル（外部通信からの要求）やアプリケーション（アプリケーションからの要求）上のイベント、情報処理装置の内部発生イベント（デバイス管理やシステムからの要求）の検出、外部装置からの通信パケットの受信（外部通信からの要求）、または外部指令の受信（アプリケーションからの要求）などを挙げることができる。

すなわち、各種イベントを検知し、検知したイベントがトリガ条件の指定イベントである場合に、セキュア通信のセキュリティ共有情報の更新処理を開始させるという構成により、静的に設定されたセキュリティ共有情報の有効期限以前であっても、上述の通信プロトコル、アプリケーション、デバイス管理やシステム上のセキュリティに関係する重要なイベントの発生に対応させて、動的にセキュリティ共有情報の更新処理を行うことが可能となり、セキュリティの向上およびセキュリティ設定の柔軟性を向上させることが可能となる。

すなわち本発明によれば、ネットワークに接続され、外部装置とセキュア通信を行う情報処理装置であって、前記情報処理装置は、
イベントを検知する手段と、
トリガ条件を保持する記憶手段と、
前記イベントを検知し、前記イベントについて割当てた前記トリガ条件を判断し、前記イベントが前記トリガ条件の指定イベントである場合に前記セキュア通信のセキュリティ共有情報の更新処理を開始させるトリガ手段と
を含む情報処理装置が提供される。

前記イベントは、外部通信、アプリケーション、デバイス管理またはシステムからの要求により与えられるものとすることができる。前記情報処理装置は、さらに、前記外部装置を特定するための識別値に応じて、前記セキュリティ共有情報の前記更新処理の実行の可否を判断する手段を含むことができる。

また、前記情報処理装置は、外部通知相手機器へメッセージを通知するための通知情報を保持する通知先記憶手段と、前記更新処理が開始した後に、前記外部通知相手機器へ、前記メッセージを通知する手段を含むことができる。前記情報処理装置は、前記トリガ条件または前記通知情報、または前記トリガ条件および前記通知情報の両方を設定変更するためのインタフェース手段を備えることができる。前記セキュア通信は、ＩＰｓｅｃ通信であり、前記セキュリティ共有情報は、ＩＰｓｅｃセキュリティ・アソシエーション情報とすることができる。

また本発明によれば、ネットワークに接続され、情報処理装置に対して外部装置とセキュア通信を実行させる通信方法であって、前記情報処理装置に対し、
イベントを検知するステップと、
前記イベントについて割当てた前記トリガ条件を判断し、前記イベントが前記トリガ条件の指定イベントである場合に前記セキュア通信のセキュリティ共有情報の更新処理を開始するステップと
を実行させる、通信方法が提供される。

前記イベントは、外部通信、アプリケーション、デバイス管理またはシステムからの要求により与えられるものとすることができる。前記通信方法は、前記情報処理装置に対し、前記外部装置を特定するための識別値に応じて、前記セキュリティ共有情報の前記更新処理の実行の可否を判断するステップをさらに実行させることができる。さらに、前記通信方法は、前記情報処理装置に対し、外部通知相手機器へメッセージを通知するステップを、前記更新処理を開始するステップの後に実行させることができる。

さらに本発明によれば、ネットワークに接続され、外部装置とセキュア通信を行うプログラムであって、前記プログラムは、情報処理装置に対し、
イベントを検知する機能手段と、前記イベントについて割当てた前記トリガ条件を判断し、前記イベントが前記トリガ条件の指定イベントである場合に前記セキュア通信のセキュリティ共有情報の更新処理を開始させる機能手段とを実現する、装置実行可能なプログラムが提供される。

前記イベントは、外部通信、アプリケーション、デバイス管理またはシステムからの要求により与えられるものとすることができる。前記プログラムは、前記情報処理装置に対し、前記外部装置を特定するための識別値に応じて、前記セキュリティ共有情報の前記更新処理の実行の可否を判断する機能手段をさらに実現することができる。前記プログラムは、前記情報処理装置に対し、前記更新処理を開始させた後に、外部通知相手機器へメッセージを通知する機能手段をさらに実現することができる。

以下、本発明を図面に示した実施形態をもって説明するが、本発明は後述する実施形態に限定されるものではない。

図１は、情報処理装置が接続されるネットワーク環境の実施形態を示した概略図である。本実施形態において、情報処理装置１０は、サーバ１０ａや複合機（複合機能を備えた画像形成装置）１０ｂやパーソナル・コンピュータ（以下、ＰＣとして参照）１０ｃとして使用されている。サーバ１０ａや複合機１０ｂやＰＣ１０ｃなどとして使用される情報処理装置１０は、スイッチ１４を介してルータ１６に接続され、ＩＰｖ４レベルプロトコルでは、いわゆるローカルエリアネットワークとして参照されるリンク１８を構成している。リンク１８には、例えばプリンタ１２や、その他通信機器をさらに含むことができる。また、情報処理装置１０は、他の実施形態ではセキュリティゲートウェイなどのネットワーク機器として使用することもできる。

ルータ１６は、ＯＳＩ参照モデルなどにおいて参照されるネットワーク層／トランスポート層レベルでのネットワーク制御を行っており、リンク１８をワイドエリア・ネットワーク（ＷＡＮ）またはインターネットといった別のネットワーク２０に、ＴＣＰ（Transmission Control Protocol）／ＩＰまたはＵＤＰ(User Datagram Protocol)／ＩＰなどの適切なネットワーク層／トランスポート層のプロトコルを使用して接続させている。

リンク１８は、データリンク層のプロトコルを通じてアクセスリンクを形成することができるノード（近隣ノード：本実施形態では、情報処理装置１０ａ〜１０ｃとプリンタ１２）から構成されている。より具体的には、ＩＰｖ６では、リンク１８は、リンクローカル全ノードマルチキャスト・アドレスに参加し、近隣検索の対象となる近隣ノードから構成されるドメインとすることができ、ＩＰＶ４では、スイッチ１４によりリンク層アドレス・レベルでのブロードキャストにアクセスできるドメインとすることができる。

ネットワーク２０にはまた、ＰＣ２２が接続され、ＰＣ２２は、外部装置としてリンク１８上の情報処理装置１０とインターネット２０を介して通信を行っている。なお、本実施形態では、サーバ１０ａ、複合機１０ｂ、またはＰＣ１０ｃも、情報処理装置１０に対する外部装置として機能し、相互に通信を行っている。なお、図１に示した実施形態では、ワイヤド・ネットワークとして参照したが、他の実施形態ではモバイルＩＰ技術によるワイヤレス・ネットワークとしてもよい。

図２は、複数の機能を備えた画像形成装置としての、情報処理装置１０のハードウェアおよびソフトウェア構成の実施形態を示した概略図である。画像形成装置１０ｂは、タッチパネルといった操作パネルまたはディスプレイ装置および入力キーなどを備えたユーザ・インタフェース（Ｉ／Ｆ）３０とを備えている。ユーザＩ／Ｆ３０は、ユーザ指令に応答して、コピーやファクシミリやモノクロコピーやフルカラーコピーなど、画像形成装置としての機能をユーザに提供している。また、画像形成装置１０ｂは、外部コンピュータからの入力に応答して、プリンタやファクシミリとしても機能する。

図２に示した画像形成装置１０ｂは、複数の機能を提供するための各種アプリケーション３２〜４０からなるアプリケーション部４２と、プラットフォーム部６０とを含んで構成される。アプリケーション部４２は、プリンタ、コピー、ファックスやスキャナなどの画像形成装置に関連するユーザ・サービスに固有の処理を行い、図２に示した実施形態では、コピー機能を提供するコピー・アプリケーション３２と、ファクシミリ機能を提供するファックス・アプリケーション３４と、スキャナ機能を提供するスキャナ・アプリケーション３６と、ネットワークファイル機能を提供するネットファイル・アプリケーション３８と、プリンタ機能を提供するプリンタ・アプリケーション４０とを含み構成される。なお、アプリケーション部４２に含まれる各種アプリケーションは、種々の組み合わせにより構成することができ、特に限定されるものではない。

プラットフォーム部６０は、カーネル／ＯＳ６４とともにアプリケーション部４２からの処理要求を解釈して、ハードウェア等の各種リソースの獲得要求を発生する各種制御部４４〜５８を含み構成される。ＩＰおよびＩＰｓｅｃ通信の基本構成は、図２に示した実施形態では、カーネル／ＯＳ６４により提供される。ＯＳとしては例えば、ＵＮＩＸ（登録商標）を採用することができるが、その他いかなるＯＳを採用することができる。各種制御部としては、図２に示した実施形態では、ドキュメント制御部４４と、オペレーション制御部（ＯＣＳ:Operation panel Control Service）４６と、メモリ制御部４８と、システム制御部（ＳＣＳ:System
Control Service）５０と、セキュリティ制御部５２と、ネットワーク制御部（ＮＣＳ:Network Control Service）５４と、ファックス制御部５６と、エンジン制御部５８とを含んで構成される。

システム制御部５０は、各種アプリケーションの管理、システム画面表示やＬＥＤ表示などのユーザ・インタフェースの制御、ハードウェア・リソースの管理、割込みアプリケーションの制御などを実行する。メモリ制御部４８は、画像メモリの取得および解放、画像データの圧縮・伸張等のメモリ制御などを実行する。エンジン制御部５８は、図示しないプロッタやＨＤＤ６８などのハードウェア・リソースを制御し、画像読み込みや印刷動作などを実行する。ファックス制御部５６は、ＧＳＴＮインタフェース（Ｉ／Ｆ）７６と接続し、ＧＳＴＮ網を使用したファクシミリ送受信、バックアップメモリで管理されている各種ファクシミリ・データの登録／引用、ファクシミリ読み取りなどを実行する。

オペレーション制御部４６は、オペレータと本体制御との間のインタフェースとなるユーザ・インタフェース３０の制御を実行する。ドキュメント制御部４４は、他の機器との通信のためのデータの管理や加工などを実行する。セキュリティ制御部５２は、セキュア・デバイス６６など外部メディア等に格納されているセキュリティ・モジュールやカーネル／ＯＳ６４内のセキュリティ情報にアクセスし、アプリケーション部４２や各制御部に対してセキュリティ・サービスを提供する。なお、上述したプラットフォーム部６０に含まれる各種制御部の構成も任意であり、アプリケーション部４２に応じた構成とすることができる。

ネットワーク制御部（ＮＣＳ）５４は、イーサネット（登録商標）などのネットワーク・インタフェース（Ｉ／Ｆ）７２と接続され、ネットワークＩ／Ｏを必要とするアプリケーションに対して共通に利用可能なサービスを提供し、ネットワーク７８側から各プロトコルによって受信したデータを各アプリケーションに振り分け、各アプリケーションからのデータをネットワーク７８側に送信する際の仲介を行う。具体的には、ｆｔｐｄ、ｈｔｔｐｄ、ｌｐｄ、ｓｎｍｐｄ、ｔｅｌｎｅｔｄ、ｓｍｔｐｄなどのサーバ・デーモンや、同プロトコルのクライアント機能などを含むことができる。

ネットワークＩ／Ｆ７２を構成するネットワーク・デバイス（図示せず）には、固有のリンク層アドレス（例えば、ＭＡＣアドレス：Media Access Control）が付されていて、データリンク層のプロトコルを通じて、リンク１８内の近隣ノードとアクセスリンク通信を行うことができる。この他、図２に示した画像形成装置１０ｂは、ＤＨＣＰサーバ(Dynamic
Host Configuration Protocol Server)などによりＩＰアドレスが割当てられ、ＴＣＰ／ＩＰまたはＵＤＰ／ＩＰなどのトランスポート層プロトコルを使用したトランザクション制御が可能とされている。なお、割当てられるＩＰアドレスは、ＩＰｖ６の場合には、ＤＨＣＰｖ６プロトコルによるステートフル・アドレスとしても、ＩＰｖ６のプラグ・アンド・プレイ機能によるステートレス・アドレスとしても、管理ユーザによって設定された固定アドレスとしてもよく、特に限定されるものではない。

また、プラットフォーム部６０とアプリケーション部４２との間には、アプリケーション・プログラム・インタフェース（ＡＰＩ）６２が設けられていて、プラットフォーム部６０は、ＡＰＩに含まれる予め定義された関数によりアプリケーション部４２の各アプリケーションからの処理要求を受信している。

また、図２に示した画像形成装置１０ｂは、ＮＶＲＡＭ７０と、その他外部デバイスと接続するための外部デバイス・インタフェース（Ｉ／Ｆ）７４とを備え、画像処理装置の入出力を可能としている。ＮＶＲＡＭ７０には、各種ＩＰｓｅｃ設定情報や各種リキー処理制御設定情報を格納することができる。なお、本願では、ＩＰｓｅｃ通信における、通信ノード間で共有されるセキュリティ共有情報（セキュリティ・アソシエーション情報）の更新処理をリキー処理として参照する。

画像形成装置１０ｂは、各種演算を行う図示しないＣＰＵと、各種制御プログラムを記憶する図示しないＲＯＭと、ＣＰＵの作業メモリ領域を提供する図示しないＲＡＭとを含み構成され、上記機能手段は、ＲＯＭやＨＤＤ６８や外部デバイス（ＳＤメモリカード）などの外部記憶装置に格納されたプログラム（図示せず）をＲＡＭのメモリ領域にロードすることにより実現される。また、図２に示した実施形態では、各アプリケーションやコントロール・サービスにおける共通部分を抽出して、画像形成装置をプラットフォーム化した構成として参照したが、情報処理装置１０のハードウェアおよびソフトフェアの基本構成は、特に限定されるものではない。

図３は、ＩＰｓｅｃ通信に関する制御を実行するコントローラの機能構成の実施形態を示した概略図である。コントローラ８０は、カーネル／ＯＳ６４と、ネットワーク制御部５４と、記憶部８２とを含み構成される。図３に示した実施形態では、カーネル／ＯＳ６４は、例えばネットワークＩ／Ｆ７２を介してネットワーク７８と接続し、ＩＰｓｅｃ通信のパケット処理などの基本処理を実行している。記憶部８２は、図２に示した実施形態を参照すれば、ＨＤＤ６８とＮＶＲＡＭ７０とから提供される記憶領域からなり、ＩＰｓｅｃ通信およびＩＰｓｅｃ通信に先立つ各ＳＡ（セキュリティ・アソシエーション）確立の際の各種ＩＰｓｅｃ設定情報（図３に示した実施形態における「IPsec.conf」および「ikedパラメータ」）と、各ＳＡのリキー処理を制御するための各種リキー処理制御設定情報とを格納している。なお、リキー処理制御設定情報の詳細については後述する。

ネットワーク制御部５４は、ｉｋｅｄ９０を含み構成され、ｉｋｅｄ９０は、ＲＦＣ２４０９やＲＦＣ４３０６に準拠するセキュリティ・アソシエーション管理プロトコルによって、ネットワーク接続された外部装置との鍵交換やＳＡ確立の仲介を行う機能モジュールである。またｉｋｅｄ９０は、記憶部８２に格納される各種ＩＰｓｅｃ設定情報を使用して、カーネル／ＯＳ６４に対して、セキュリティ・ポリシーの設定と、ＩＰｓｅｃ通信におけるＩＫＥ＿ＳＡおよびＣＨＩＬＤ＿ＳＡのセキュリティ共有情報の設定および削除依頼とを行っている。

ネットワーク制御部５４は、図３に示した実施形態ではさらに、ユーザ・インタフェースを提供するデーモンであるｔｅｌｎｅｔｄ８４と、ｈｔｔｐｄ８６と、ｓｎｍｐｄ８８とを含み構成され、ネットワーク７８を介して情報処理装置１０にリモート・アクセスする外部装置は、これらのデーモンを介して記憶部８２の各種ＩＰｓｅｃ設定情報やリキー処理制御設定情報にアクセスし、ＩＰｓｅｃ通信の設定および管理を実施することが可能とされている。

コントローラ８０は、さらにシステム制御部５０と、オペレーション制御部４６とを含み構成され、操作パネルなどのユーザ・インタフェース３０を用いたオペレータからの指示に応じて、記憶部８２の各種ＩＰｓｅｃ設定情報やリキー処理制御設定情報にアクセスして、ＩＰｓｅｃ通信の設定および管理を実行することを可能としている。

図４は、情報処理装置１０のカーネル／ＯＳ６４におけるＩＰｓｅｃ通信の基本処理フローの実施形態を示すフローチャート図である。図４に示した実施形態における基本処理フローは、ステップＳ１００で、情報処理装置１０の起動などによって処理が開始され、ステップＳ１０１で、ｉｋｅｄ９０からの要求に応じてＩＰｓｅｃセキュリティ・ポリシーなどの設定を行い、ＩＰｓｅｃ通信の初期化を実行する。初期化が完了した後、ステップＳ１０２で、外部装置からのＩＰｓｅｃ通信開始要求の受信を待受けし、ステップＳ１０３の判断で、外部装置からのＩＰｓｅｃ通信開始要求を受信するまで（ｎｏ）、ステップＳ１０２へループさせている。

外部装置からのＩＰｓｅｃ通信開始要求を受信した場合（ステップＳ１０３の判断でｙｅｓ）には、ステップＳ１０４へ分岐させ、ＩＰｓｅｃ通信開始要求の送信元に対応するＳＡ（ＩＫＥ＿ＳＡおよびＣＨＩＬＤ＿ＳＡ）の有無を確認し、対応したＳＡを有する場合（ステップＳ１０５の判断でｙｅｓ）には、ステップＳ１０７へ分岐させ、ＩＰｓｅｃ通信を実行し、再びステップＳ１０２へループさせ、他のＩＰｓｅｃ通信開始要求を待受けする。なお、送信元に対応するＳＡの確認には、ＩＰｖ６では、ＩＰｓｅｃパケットの拡張ヘッダ（ＡＨヘッダやＥＳＰヘッダ）、ＩＰｖ４では、ＩＰヘッダの後ろで次レイヤヘッダの前に挿入される拡張ヘッダ部分（ＡＨヘッダやＥＳＰヘッダ）に格納されている各種ＳＰＩ（セキュリティ・パラメータ・インデックス）などを用いて識別することができ、セキュリティ・アソシエーション・データベース（ＳＡＤ）から当該ＳＰＩに対応するＳＡが特定することが可能である。

一方、ステップＳ１０５の判断で、対応するＳＡが存在しないと判断された場合（ｎｏ）には、ステップＳ１０６へ分岐させ、ｉｋｅｄ９０にＳＡ生成要求を送信してＳＡが確立させる。なお、ステップＳ１０６でＳＡ生成要求を受信したｉｋｅｄ９０は、ＳＡ管理プロトコル（ＩＫＥｖ１やＩＫＥｖ２）によるフェーズ１およびフェーズ２の処理を実行し、外部装置とのＳＡ（セキュリティ・アソシエーション）の折衝および確立を行う。フェーズ２の処理によりＣＨＩＬＤ＿ＳＡが正常に確立した後、カーネル／ＯＳ６４は、ステップＳ１０７で、生成したＣＨＩＬＤ＿ＳＡを使用してＩＰｓｅｃ通信を実行する。

図５は、情報処理装置１０のｉｋｅｄ９０による、リキー処理フローの実施形態を示すフローチャート図である。図４に示したカーネル／ＯＳ６４における処理フローにおいて、ステップＳ１０７でＩＰｓｅｃ通信が開始された後、ｉｋｅｄ９０は、通信のセキュリティを確保するためにリキー処理を実行する。本施形態では、リキー処理は、ＳＡ管理プロトコルで規定される有効期限（ライフタイム）などに基づく静的なリキー処理のみならず、有効期限内であっても、情報処理装置１０の内部イベント発生の検出、またはネットワーク７８からの外部イベント発生の通知を受信し、これらのイベントをトリガとしてリキー処理を実行する。この構成により、ネットワーク通信状態に応じて柔軟にリキー処理を実行することが可能となり、好適に通信のセキュリティを向上させることを可能としている。

リキー処理の開始を制御するためのリキー条件としては、［１］情報処理装置１０による通信プロトコル上（外部通信からの要求）のイベント発生の検出、［２］情報処理装置１０によるアプリケーション上（アプリケーションからの要求）のイベント発生の検出、［３］情報処理装置１０の内部（デバイス管理やシステムからの要求）イベント発生の検出、［４］ネットワーク７８からの外部イベント発生の通知を受信、つまり、情報処理装置１０による受信イベント発生（外部通信からの要求）の検出、［５］外部指令（ユーザ・インタフェース３０やリモート・アクセスによるオペレータからの指示）によるリキー要求を受信（アプリケーションからの要求）、［６］ＳＡのライフタイム（有効期限）による無効化（ハード有効期限）または失効間近にある状態（ソフト有効期限）を検知して、［７］通信相手からのリキー要求を受信（外部通信からの要求）を挙げることができる。なお、リキー処理の開始を制御するためのリキー条件リストについては後述する。

ＩＰｓｅｃ通信のＳＡ（セキュリティ・アソシエーション）は、フェーズ１で確立されるＩＫＥ＿ＳＡと、ＩＫＥ＿ＳＡを使用してフェーズ２で確立されるＣＨＩＬＤ＿ＳＡとを含むが、本実施形態では、リキー処理の対象となるＳＡは、任意であり、リキー処理によってＩＫＥ＿ＳＡおよびＣＨＩＬＤ＿ＳＡの少なくとも一方のＳＡのリキー処理を実行する。フェーズ１から（ＩＫＥ＿ＳＡ）リキー処理を実施するか、フェーズ２からリキー処理を実施するかについては、リキー処理の要因となったイベントに応じて設定することができる。

図５に示した実施形態では、ステップＳ２０１で、リキー条件に合致するイベントを検知し、リキー処理が開始される。リキー処理を開始したｉｋｅｄ９０は、ステップＳ２０２で、リキー処理の対象となる通信相手に対してリキー処理を適用して良いか否かの判断をネットワーク制御部５４問い合わせ、ステップＳ２０３で返答を受けて、リキー処理の適用が不可と判断された場合は（ｎｏ）、ステップＳ２０６へ分岐させ処理を終了させる。

一方、ステップＳ２０３の判断で、リキー処理の適用が可と判断された場合には（ｙｅｓ）、ステップＳ２０４へ分岐させ、リキー処理を開始し、カーネル／ＯＳ６４に当該ＳＡの削除要求を発行し、ステップＳ２０５で、ライフタイム以外の要因によりＳＡのリキー処理を実施した旨を、ネットワーク上に接続された他の外部機器へ通知する。ＳＡを削除した後は、外部装置からの再接続要求を受信して、ＳＡの再確立を実施し、ＩＰｓｅｃ通信を再開させる。

なお、ステップＳ２０４のＳＡ更新処理において、ＳＡを削除後、外部装置からの再接続要求を受信してＳＡを再確立させる処理フローとして参照したが、他の実施形態では、まず別途ＳＡを確立させた後に、従前のＳＡを削除する処理フローとすることもでき、情報処理装置１０側から再接続を開始する処理フローとすることもきる。上述した別の実施形態では、ＩＰｓｅｃ通信を継続させながら、更新処理を実行することが可能となる。また、カーネル／ＯＳ６４においてＳＡの削除を実行する直前に、削除ペイロードを含むＩＫＥプロトコルのＩＮＦＯＲＭＡＴＩＯＮＡＬ・タイプのメッセージなどを使用して、可能であれば外部装置側へＳＡを削除する旨を通知し、情報処理装置１０と外部装置との間のＳＡの不整合の発生を好適に予防することもできる。

図５に示した実施形態では、ステップＳ２０２の処理およびステップＳ２０３の判断を含むものとして説明したが、ステップＳ２０２およびＳ２０３の処理・判断の実施は任意であり、他の実施形態では、該処理・判断を行わず、直接ステップＳ２０４の処理を実行する処理フローとしてもかまわない。ステップＳ２０２およびＳ２０３における、リキー処理適用の可否の判断は、記憶部８２に格納されるリキー拒否条件リスト（リキー処理制御設定情報）をルックアップして実行され、リキー拒否条件リストは、例えば、認証エラーやアタックなどのエラー要因を発生した外部装置を特定するための情報を保持している。この構成により、悪質な外部装置からのリキー要求によるパフォーマンスの低下を好適に防止することを可能としている。ステップＳ２０３およびステップＳ２０３の処理・判断に使用するリキー拒否条件リストについては後述する。

また、図５に示した実施形態では、ステップＳ２０５の処理を含むものとして説明したが、ステップＳ２０５の処理の実施は任意であり、他の実施形態では、該処理を行わず、リキー処理を完了させる処理フローとしてもかまわない。ステップＳ２０５における、リキー処理を実施した旨を外部機器へ通知する処理は、記憶部８２に格納されるリキー外部通知管理リスト（リキー処理制御設定情報）をルックアップして実行され、リキー外部通知管理リストは、例えば、リキー処理実施報告の連絡先を特定するための情報（ｅメールアドレスやＳＮＭＰマネージャのアドレスやＦＡＸ番号）を保持している。

この構成により、ＳＡのライフタイム（有効期限）要因以外の要因でリキー処理が発生したことを外部機器へ周知することが可能となる。悪質な第三者は、同一ネットワーク上の他の機器に対して同様の攻撃を行う可能性が高く、ライフタイム（有効期限）要因以外のリキー処理を実施した旨を周知することにより、他の機器側で対応を実施することが可能となり、セキュリティを向上させることができる。また、ステップＳ２０５の処理を実行する外部装置からのリキー処理を実施の旨の通知を受けて、情報処理装置１０側でリキー処理を開始する処理とすることもできる。

図６は、リキー処理を開始させるために使用される、リキー条件リストのデータ構造の実施形態を示す。リキー条件リストは、図５に示したリキー処理フローにおけるステップＳ２０１の処理の際にルックアップされる。図６（ａ）は、通信プロトコルやアプリケーション上のイベントを検出してリキー処理を開始させるためのリキー条件リストＡ１００を示す。なお、図６に示した実施形態では、リキーを実行するイベントのみを登録するデータ構造として示されている。しかしながら、別の実施形態では、情報処理装置１０で発生する可能性のあるイベントを予めエントリしたリキー条件リストを構成しておき、ユーザ指令に応じてフラグ設定するなどのユーザ指定によりリキー条件リストを柔軟に設定する構成を採用することもできる。上述した別の実施形態では、リキー条件がまったく異なるものとならない限り、リキー条件リストのデータ構成を大幅に変更することなく、柔軟にリキー設定を行うことが可能となる。

図６（ａ）に示された実施形態では、リキー条件リストＡ１００は、項目フィールド１００ａと、フィールド１００ｂと、フィールド１００ｃと、フィールド１００ｄとを含み構成される。フィールド１００ｂは、リキー処理を開始するためのトリガ条件として適用されるプロトコルが登録される。フィールド１００ｃは、フィールド１００ｂに登録されたプロトコルにおける認証エラーを、リキー処理開始のイベントとするかの可否が登録される。フィールド１００ｄは、任意項目が登録され、任意項目には、フィールド１００ｂにエントリされたプロトコル上の、リキー処理開始条件として設定されるイベント（エラーなど）が登録される。

例えば、図６（ａ）に示した実施形態では、項目フィールド１００ａ［２］のエントリでは、プロトコル・フィールド１００ｂに［ｓｎｍｐ］、認証エラー・フィールド１００ｃに［非対象］、任意項目に［ＴＲＡＰ受信］がエントリされており、ＳＮＭＰマネージャとして機能している情報処理装置１０が、他の外部機器のＳＮＭＰエージェントからのＴＲＡＰコマンド（例えば回線切断などの報告）を受信したことを検知して、リキー処理を実行することを表している。

また、項目フィールド１００ａ［５］のエントリでは、プロトコル・フィールド１００ｂに［ｆｔｐ］、認証エラー・フィールド１００ｃに［対象］がエントリされ、情報処理装置１０がＦＴＰ（File Transfer Protocol）サーバとして機能している場合に、ｆｔｐ接続におけるユーザ認証エラーの発生を検出して、リキー処理を実行することを表している。認証エラーなどを検出してリキー処理を実行することにより、悪意の第三者が情報処理装置１０にアクセスを試みることによるセキュリティの低下を、好適に防止することが可能となる。

リキー条件リストＡ１００に、リキー条件としてエントリすることができるプロトコルとしては、アプリケーション層やネットワーク層やデータリンク層など各レイヤの通信プロトコルを挙げることができるが、特に限定されるものではなく、例えば、アプリケーション部４２における各種アプリケーションの独自プロトコルなどにも適用することができる。

リキー条件リストＡ１００のエントリ項目とされるリキー条件としては、例えば、ＤＨＣＰにおいて情報処理装置１０のアドレス変更、ＡＲＰ（Address Resolution Protocol）における外部装置からの重複アドレス検知パケットの受信（ＩＰｖ４）、ＩＣＭＰ（Internet
Control Message Protocol）における外部装置からの重複アドレス検知パケットの受信（ＩＰｖ６）、ＬＰＲ（Line PRinter
daemon protocol）における認証エラーや通信エラー、ＳＮＭＰｖ３でのユーザ認証エラーやパケット認証エラーなどを挙げることができる。

その他、ＳＮＴＰ（Simple
Network Time Protocol）やＮＴＰでの問い合わせにおいて時刻変更をする必要性が生じた場合や、ＳＭＴＰ（Simple Mail
Transfer Protocol）における認証エラーや送信エラー、国際標準ITU-T T.38勧告に準拠したＩＰＦａｘ通信における通信エラー、画像形成装置として使用する場合では、イメージ配信などの画像形成装置のサービスを提供するアプリケーションにおける通信エラー、操作パネルやリモート・アクセスによるオペレータからのリキー指示（外部指令）などを挙げることもでき、特に限定されるものではない。また、フィールド１００ｄを任意項目とすることにより、種々のプロトコルやアプリケーションに対応させることを可能とし、リキー条件の設定の柔軟性を向上させている。

なお上述までのリキー処理は、プロトコルおよびアプリケーション上のイベントを検知した各デーモンや各アプリケーションからのリキー処理要求やイベント通知などを受けて、ｉｋｅｄ９０により開始される。トリガ手段としての、リキー処理のトリガ条件に合致するか否かの判断は、各デーモンや各アプリケーションが行っても、リキー処理要求やイベント通知を受けたｉｋｅｄ９０が行う制御としてもよい。他の実施形態では、通信データパケットを解析することにより、各通信やアプリケーション上のイベントを検知しトリガ条件に合致するか否かの判断を実行する制御とすることもできる。この場合は、既存のアプリケーションに特別な改変を伴わせずに実装することが可能となる。

図６（ｂ）は、カーネル／ＯＳ６４における内部イベント（デバイス管理およびシステムからの要求）を検出してリキー処理を開始させるための、リキー条件リストＢ１０２を示す。図６（ｂ）に示された実施形態では、リキー条件リストＢ１０２は、項目フィールド１０２ａと、フィールド１０２ｂと、フィールド１０２ｃとを含み構成される。フィールド１０２ｂおよびフィールド１０２ｃには、リキー処理のトリガ条件として適用されるカーネル６４上のイベントが登録される。フィールド１０２ｂは、イベントの種類がエントリされ、フィールド１０２ｃには、イベントの内容がエントリされる。

例えば、図６（ｂ）に示した実施形態では、項目フィールド１０２ａ［１］のエントリでは、種類フィールド１０２ｂに［Ｅｔｈｅｒｎｅｔ（登録商標）］、内容フィールド１００ｃに［Ｌｉｎｋ ＵＰ／ＤＯＷＮ］がエントリされており、ＮＩＣ（ネットワーク・インタフェース・カード）における、リンクアップおよびインクダウンを検出して、リキー処理を実行することを表している。

リキー条件として適用されるカーネル／ＯＳ６４上の内部イベントとしては、ＳＤメモリカードの抜き差しの検出や、情報処理装置１０の電源オンの検出などを挙げることができ、デバイス管理を実行するカーネル／ＯＳ６４は、外部デバイスＩ／Ｆ７４やＧＳＴＮＩ／Ｆ７６、セキュア・デバイス６６、ネットワークＩ／Ｆ７２などの入出力インタフェースを監視し、デバイス上のイベントを検出しｉｋｅｄ９０に通知する。ｉｋｅｄ９０は、カーネル／ＯＳ６４からのイベント通知を受信して、リキー処理を開始させる。

なお、リキー条件リストＢ１０２にエントリされたイベント通知がカーネル／ＯＳ６４に登録され、カーネル／ＯＳ６４は、リキー条件リストＢ１０２に応じた内部イベントの発生を検出して、ｉｋｅｄ９０にイベント通知し、イベント通知を受信したｉｋｅｄ９０は、リキー処理を開始させる制御とすることができる。上述した実施形態では、カーネル６４がトリガ手段として、発生したイベントがリキー条件に合致するか否かの判断を行っている。他の実施形態では、ｉｋｅｄ９０が、カーネル／ＯＳ６４にポーリングしてイベントを検出し、イベント条件に合致するか否かの判断を行う制御としてもかまわない。

また、上述のリキー条件リストＡ１００およびリキー条件リストＢ１０２の適用は、任意であり、システム設計上の要求に応じて柔軟に設定することができる。また、上述のリキー条件リストＡ１００およびリキー条件リストＢ１０２の各エントリに対して、有効／無効のフラグを設定することにより、さらに柔軟な設定が可能となる。なお、リキー条件の設定方法については後述する。

図７は、オペレータがリキー処理実行を指示するためのユーザ・インタフェースの実施形態を示す。なお、図７は、情報処理装置１０が、画像形成装置として使用される場合の実施形態を示している。ユーザ・インタフェース３０の操作パネル（タッチパネルなど）には、ＵＩ画面２００が示される。ＵＩ画面２００には、「ＩＰｓｅｃ ＳＡの更新を実行する。」といった、該ＵＩ画面の処理内容が提示されている。またＵＩ画面２００には、ＵＩ部品２００ａ〜２００ｃが配置され、オペレータからの指示を待受けている。

例えば、ユーザ・インタフェース３０の操作パネルなどによって、ＵＩ部品２００ｃ「更新実行」を選択および押下すると、オペレーション制御部４６を介してｉｋｅｄ９０に外部指令としてイベント通知がなされる。また、例えば、ＵＩ部品２００ａ「選択」を選択・押下して実施タイミングを選択し、さらにＵＩ部品２００ｂ「設定」を選択・押下し、設定された時間「ｘｘ分後」経過後に、ｉｋｅｄ９０へリキー処理を開始させるイベントを通知させることもできる。

図８は、リキー条件リスト１００およびリキー条件リスト１０２によるリキー処理を実行する通信方法の実施形態における基本処理のシーケンス図を示す。図８の制御は、ステップＳ３００から開始され、情報処理装置１０のカーネル６４は、外部装置９２から送信される各アプリケーションへのＩＰｓｅｃ通信による接続要求を受信する。接続要求を受信したカーネル６４は、ＳＡＤ（セキュリティ・アソシエーション・データベース）に、対応するＳＡが存在するか否かの確認を行い、対応するＳＡが存在し無ければ、ステップＳ３０１で、ｉｋｅｄ９０へＳＡ生成要求を発行する。

ＳＡ生成要求を受信したｉｋｅｄ９０は、ステップＳ３０２で、外部装置９２とのＳＡ管理プロトコルによってＩＫＥ＿ＳＡを確立させ（フェーズ１）、ステップＳ３０３でＩＫＥ＿ＳＡの設定要求をカーネル６４へ発行する。続いてｉｋｅｄ９０は、ステップＳ３０４で、ＣＨＩＬＤ＿ＳＡを確立させる処理（フェーズ２）を実行し、ステップＳ３０５で、カーネル６４にＣＨＩＬＤ＿ＳＡ設定要求を発行し、カーネル６４はＳＡＤに当該ＳＡを登録する。ＳＡが登録によりＩＰｓｅｃ通信リンクが確立し、外部装置９２は、ステップＳ３０６でアプリケーション部４２の各アプリケーションとＩＰｓｅｃ通信を実行する。

カーネル６４またはアプリケーション部４２において、上述したリキー条件に合致するイベントが発生した場合やｉｋｅｄ９０が管理しているライフタイムによるリキー要求が発生した場合には、ステップＳ３０７でリキー処理のトリガ・イベントの発生を検知したｉｋｅｄ９０は、ステップＳ３０８で、カーネル６４にＣＨＩＬＤ＿ＳＡ削除要求を発行し、カーネル６４は、ステップＳ３０９でＣＨＩＬＤ＿ＳＡを削除する。

その後、ステップＳ３１０で、外部装置９２からのアプリケーションへの接続を再び受信したカーネル６４は、ステップＳ３１１でｉｋｅｄ９０へＳＡ生成要求を発行する。ｉｋｅｄ９０は、ステップＳ３１２で、削除されていないＩＫＥ＿ＳＡを使用してフェーズ２の処理（プロポーザル交換や相手認証を含む）を開始させ、ＣＨＩＬＤ＿ＳＡを再び確立し、ステップＳ３１３でカーネル／ＯＳ６４にＳＡ設定要求を発行する。ステップＳ３１４で外部装置９２は、アプリケーション部４２との通信を再開させる。

なお、他の実施形態では、ステップＳ３０８およびＳ３０９で、ＣＨＩＬＤ＿ＳＡだけでなく、ＩＫＥ＿ＳＡをも削除する処理とし、ステップＳ３１２では、フェーズ１の処理から開始する制御としても良い。また、ステップＳ３１０で、外部装置９２側からの接続要求を待たず、情報処理装置１０側からＩＫＥプロトコルによるＳＡ交換を開始する処理としても良い。

図９は、プロトコルまたはアプリケーション上のイベントをトリガとした、リキー処理を実行する通信方法の実施形態のシーケンス図を示す。図９の制御では、ステップＳ４０１以前に、すでに外部装置９２とのＩＰｓｅｃ通信が確立されている場合を想定している。制御は、ステップＳ４０１から始まり、アプリケーション部４２において、上述したリキー条件リスト１００に合致するイベントが発生した場合、トリガ・イベントの発生を検知したアプリケーション部４２（の各アプリケーション）は、ステップＳ４０２およびステップＳ４０３で、ネットワーク制御部５４を介して、ｉｋｅｄ９０にＣＨＩＬＤ＿ＳＡ削除要求を発行する。

ＣＨＩＬＤ＿ＳＡ削除要求を受信したｉｋｅｄ９０は、ステップＳ４０４で、カーネル６４にＣＨＩＬＤ＿ＳＡ削除要求を発行し、カーネル６４は、ステップＳ４０５でＣＨＩＬＤ＿ＳＡを削除する。

その後、ステップＳ４０６で、外部装置９２からのアプリケーションへの接続を再び受信したカーネル６４は、ステップＳ４０７でｉｋｅｄ９０へＳＡ生成要求を発行する。ＳＡ生成要求を受信したｉｋｅｄ９０は、ステップＳ４０８でフェーズ２の処理を開始させ、ＣＨＩＬＤ＿ＳＡを再び確立する。さらにステップＳ４０９でカーネル６４にＳＡ設定要求を発行し、ステップＳ４１０で外部装置９２は、アプリケーション部４２との通信を再開させる。

図１０は、カーネル６４における内部イベントをトリガとした、リキー処理を実行する通信方法の実施形態のシーケンス図を示す。図１０に示した制御についても、ステップＳ５０１以前に、すでに外部装置９２とのＩＰｓｅｃ通信が確立されている場合を想定している。図１０に示した制御は、ステップＳ５０１から開始され、カーネル６４においてイベントが発生した場合、イベントの発生を検知したカーネル６４は、ステップＳ５０２でｉｋｅｄ９０へイベント発生の通知を行う。イベント通知を受けたｉｋｅｄ９０は、ステップＳ５０３で、リキー条件リストＢ１０２をルックアップし、リキー条件に合致するかの判断を行う。リキー条件に合致すると判断された場合には、ｉｋｅｄ９０は、ステップＳ５０４で、カーネル６４にＣＨＩＬＤ＿ＳＡ削除要求を発行し、カーネル６４は、ステップＳ５０５でＣＨＩＬＤ＿ＳＡの削除を実行する。

その後、ステップＳ５０６で、外部装置９２からのアプリケーションへの接続を再び受信したカーネル６４は、ステップＳ５０７でｉｋｅｄ９０へＳＡ生成要求を発行し、ｉｋｅｄ９０は、ステップＳ５０８でフェーズ２の処理を開始させ、ＣＨＩＬＤ＿ＳＡを再び確立し、ステップＳ５０９でカーネル６４にＳＡ設定要求を発行する。さらにステップＳ５１０で外部装置９２は、アプリケーション部４２との通信を再開させる。

以下、上述したプロトコル上のイベントである重複アドレス検知受信をトリガ・イベントとした際のリキー処理について説明する。図１１は、重複アドレス検知受信をリキー処理のトリガ・イベントとする際に用いられる、ＩＰｓｅｃ通信管理リストのデータ構造の実施形態を示す。つまり、図６（ａ）に示した実施形態における、項目フィールド１００ａが［３］または［４］のエントリに対応する処理となる。なお、図６（ａ）に示したリキー条件リストＡ１００では、項目フィールド１００ａ［３］では、プロトコル・フィールド１００ｂに［ＡＲＰ］、任意項目・フィールド１００ｄに［重複検知受信］が、項目フィールド１００ａ［４］では、プロトコル・フィールド１００ｂに［ＩＣＭＰ］、任意項目・フィールド１００ｄに［重複検知受信］がエントリされている。

図１１に示したＩＰｓｅｃ通信管理リスト１０４のエントリは、情報処理装置１０が外部装置９２とＩＰｓｅｃ通信を開始した際に登録され、通信相手である外部装置９２の図示しないＮＩＣ（ネットワーク・インタフェース・カード）のＭＡＣ（媒体アクセス制御）アドレスなどのリンク層アドレスが登録され、通信相手を特定するために使用される。ＩＰｓｅｃ通信管理リスト１０４は、項目フィールド１０４ａと、フィールド１０４ｂと、フィールド１０４ｃとを含み構成される。フィールド１０４ｂには、通信相手のリンク層アドレスが登録され、通信相手の識別を可能としている。フィールド１０４ｃには、ＩＰｓｅｃ通信におけるＳＰＩ（セキュリティ・パラメータ・インデックス）がエントリされ、通信相手とＳＡを対応付けている。

重複アドレス検知パケットを受信するｉｋｅｄ９０は、ＩＰｓｅｃ通信管理リスト１０４をルックアップし、重複アドレス検知パケットに含まれるリンク層アドレスを検索キーとして、対応するエントリを検索する。重複検知パケットに含まれるリンク層アドレスに対応するエントリがＩＰｓｅｃ通信管理リスト１０４に有れば、そのエントリの該当するＳＡを削除して、ＳＡ再確立する処理とする。

ＩＰｓｅｃバージョン３では、ＣＨＩＬＤ＿ＳＡはＳＰＩまたは、ＳＰＩとＩＰｓｅｃプロトコルの種別（ＡＨやＥＳＰ）とによって識別され、図１１に示した実施形態では、ＳＰＩとＩＰｓｅｃプロトコルの種別が組となって登録された実施形態を示している。なお、ＩＫＥ＿ＳＡについても、イニシエータＳＰＩやレスポンダＳＰＩにより識別することができ、ＩＰｓｅｃ通信管理リスト１０４に登録され重複アドレス検知パケットに含まれているリンク層アドレスに対応するＳＡを、フィールド１０４ｃに格納されるＳＰＩ情報から検索し、該ＳＡの削除処理を実行する。以下、重複アドレス検知パケットの受信をトリガとしたリキー処理の制御フローについて説明する。

図１２は、ＡＲＰ（ＩＰｖ４）またはＩＣＭＰ（ＩＰｖ６）プロトコルにおける重複アドレス検知パケットの受信をトリガ・イベントとして、リキー処理を実行する通信方法の実施形態のシーケンス図を示す。なお、図１２の制御は、外部装置９２とのＩＰｓｅｃ通信が、ステップＳ６０１の直前に確立された場合を想定している。図１２の制御は、ステップＳ６０１から始まり、ＩＰｓｅｃ通信が確立されると、通信相手のリンク層アドレスをＩＰｓｅｃ通信管理リスト１０４にエントリ追加する。

ステップＳ６０２で、外部装置９２において、電源が切断され再起動されるなどのイベントが発生した場合、外部装置９２は、ステップＳ６０３で、近隣ノードへ重複アドレス検知パケットを送信する。重複アドレス検知パケットを検出したカーネル６４は、ステップＳ６０４で、ｉｋｅｄ９０へリンク層アドレスを含むメッセージを送信する。ｉｋｅｄ９０は、ステップＳ６０５でＩＰｓｅｃ通信管理リスト１０４をルックアップし、パケットに含まれたリンク層アドレスを検索し、発見された場合には、重複アドレス検知パケットの送信元が従前にＩＰｓｅｃ通信を確立していたと判断し、ステップＳ６０６およびステップＳ６０８で、それぞれＩＫＥ＿ＳＡおよびＣＨＩＬＤ＿ＳＡの削除要求をカーネル６４に発行する。ＳＡ削除要求を受信したカーネル６４は、ステップＳ６０７およびステップＳ６０９で、それぞれ、対応するＩＫＥ＿ＳＡおよびＣＨＩＬＤ＿ＳＡを削除し、削除を完了したタイミングでｉｋｅｄ９０は、ステップＳ６１０で、ＩＰｓｅｃ通信管理リスト１０４の対応するエントリも削除する。

その後、ステップＳ６１１で、外部装置９２からのアプリケーションへの接続を再び受信したカーネル６４は、ステップＳ６１２でｉｋｅｄ９０へＳＡ生成要求を発行し、ＳＡ生成要求を受信したｉｋｅｄ９０は、ステップＳ６１３で、外部装置９２とのＳＡ管理プロトコルによってＩＫＥ＿ＳＡを確立させ（フェーズ１）、ステップＳ６１４でＩＫＥ＿ＳＡの設定要求をカーネル６４へ発行する。続いてｉｋｅｄ９０は、ステップＳ６１５でフェーズ２の処理を開始させ、ＣＨＩＬＤ＿ＳＡを再び確立し、ステップＳ６１６でカーネル６４にＳＡ設定要求を発行する。ステップＳ６１７で外部装置９２は、アプリケーション部４２との通信を再開させ、ｉｋｅｄ９０は、再びＩＰｓｅｃ通信管理リスト１０４にエントリする。

重複アドレス検知パケットは、図１（再び参照）に示した実施形態では、リンク１８内の外部装置９２が起動または再起動した場合や、ＩＰｖ６のプラグ・アンド・プレイによるステートレス・アドレスが設定（再設定）された場合などに、外部装置９２から近隣ノードに対してマルチキャスト（ＡＲＰではブロードキャスト）される。重複アドレス検知パケットの受信を検知し、リキー処理を開始させるという構成によって、通信相手のＩＰアドレスの変更や起動（再起動）されたことを検知して従前のＳＡを削除することにより、情報処理装置１０と外部装置９２との間のＳＡの不整合を防止し、通信路を保持することを可能としている。また、余分なＳＡが削除されるため、情報処理装置１０の処理負荷を低減することも可能となる。また、他の実施形態では、エコー要求メッセージを定期的に通信相手に送信し、エコー応答メッセージ受信の可否で、応答がない場合に通信相手のネットワーク切断を検出し、ＳＡを削除する処理としてもよい。

以下、外部装置９２からのリキー要求やリキー条件リストに合致したイベントの発生によりリキー処理を開始する際に、通信相手に応じてリキー処理の実行の可否を判断する処理について説明する。図５に示したリキー処理制御フローにおける、ステップＳ２０２に対応する処理である。図１３は、リキー処理の実行の可否を判断の際にルックアップされるリキー拒否条件リストのデータ構造の実施形態を示す。図１３に示したリキー拒否条件リスト１０６は、項目フィールド１０６ａと、フィールド１０６ｂと、フィールド１０６ｃと、フィールド１０６ｄとを含み構成される。リキー拒否条件リスト１０６は、各アプリケーションやプロトコル上の認証エラーや通信アドレス・ポートへのアタック（ポートスキャン攻撃など）などの不正アクセスを検出した際にエントリ追加され、エラー要因と通信相手を対応づける。また、他の実施形態では、悪質な外部装置に対応するために、管理者により手動で設定されることもできる。

フィールド１０６ｂは、リキー処理を拒否する相手を特定するための情報がエントリされ、図１３に示した実施形態では、エラー要因となった通信相手のリンク層アドレスが登録される。フィールド１０６ｃは、フィールド１０６ｂに登録された送信元によるエラー要因が登録され、フィールド１０６ｄは、エラー要因の発生時刻がエントリされ、設定するタイムアウト値（リキー処理制御設定情報）に応じてエントリを削除するために使用される。他の実施形態では、フィールド１０６ｂにエントリされる、リキー処理拒否する通信相手を特定するための情報としては、ＩＰアドレスやホスト名などを使用することができる。

またリキー拒否条件リスト１０６の他の実施形態では、アクセスエラーログから、通信相手ごとにエラー発生をカウントし、設定する閾値を越えた場合にリキー拒否する制御とすることもできる。

図１４は、外部装置９２からＳＡ管理プロトコルによるＳＡ確立要求を受けた場合に、リキー処理を実行の可否を判断する通信方法の実施形態のシーケンス図を示す。なお、図１４の制御は、外部装置９２とのＩＰｓｅｃ通信がステップＳ７０１の以前に確立されている場合を想定する。図１４の制御は、ステップＳ７０１から始まり、外部装置９２側で何らかのイベントの発生を検出され、情報処理装置１０のｉｋｅｄ９０は、例えば、ステップＳ７０２でＩＫＥフェーズ２からのリキー要求を受信する。リキー要求を受信したｉｋｅｄ９０は、ステップＳ７０３で、ＩＫＥプロトコルによるリキー処理の可否判断を実施する。ｉｋｅｄ９０は、自身の判断処理でリキー適用可能と判断した場合には、ステップＳ７０４で、ネットワーク制御部５４へリキー可否の判断の問い合わせを実施する。

ステップＳ７０５でリキー可否の問い合わせを受けたネットワーク制御部５４は、リキー拒否条件リスト１０６をルックアップし、パケット送信元のリンク層アドレス（他の実施形態ではＩＰアドレスやホスト名）をキーとして、該当する通信相手がエントリされているかを検索し、該当したエントリを発見した場合には、ステップＳ７０６で、ｉｋｅｄ９０にリキー拒否応答を通知して、ｉｋｅｄ９０は、リキーを行わない処理とする。該当するエントリを発見しなかった場合は、通常通りＳＡを確立させる処理を継続する。

図１４に示した通信方法の実施形態によれば、エラー要因を発生した通信相手のリキー処理を行わない制御とすることで、悪質な外部装置９２からのリキー処理要求により、情報処理装置１０のパフォーマンスが低下することを好適に防止することを可能とする。

ライフタイム要因以外の上記イベントに基づくリキー処理の発生を、ネットワーク管理者やＳＮＭＰマネージャが知ることができると、ネットワーク管理上の利便性が向上する。以下、ライフタイム要因以外の上記イベントに基づくリキー処理の発生を、外部機器へ通知する処理を行う通信方法について説明する。

以下、図５に示したリキー処理の制御フローにおける、ステップＳ２０５に対応する処理の詳細について説明する。図１５は、リキー外部通知管理リスト（外部通知相手機器へメッセージを通知するための通知情報）のデータ構造の実施形態を示す。図１５に示したリキー外部通知管理リスト１０８は、項目フィールド１０８ａと、フィールド１０８ｂ〜１０８ｆとを含み構成される。リキー処理を実行した情報処理装置１０は、リキー外部通知管理リスト１０８のエントリにより指定された方法で、外部の機器にリキー処理を行った旨を通知する。なお、通知にリキー処理の発生要因を含めることもできる。

フィールド１０８ｂには、外部通知の際に使用するＩＰ層相当の通信プロトコルがエントリされ、フィールド１０８ｃには、連絡先の通信アドレスがエントリされる。フィールド１０８ｄには、リキー通知を行うためのアプリケーション層レベルのプロトコルが、フィールド１０８ｅには、フィールド１０８ｄに対応するプロトコルにおけるリキー通知仕様が、フィールド１０８ｆには、上位プロトコルおよび仕様に対応した詳細な連絡方法の指示が、それぞれエントリされている。

例えば、図１５に示した実施形態では、項目フィールド１０８ａ［１］のエントリでは、種別フィールド１０８ｂに［ＩＰｖ４］、連絡先アドレス・フィールド１０８ｃに［xx.xx.xx.11］、プロトコル・フィールド１０８ｄに［ｓｎｍｐ］、仕様フィールド１０８ｅに［Ｔｒａｐ］がエントリされており、ＩＰｖ４プロトコルのＩＰアドレス（xx.xx.xx.11）の外部機器に対して、情報処理装置１０がＳＮＭＰエージェントとして、ＴＲＡＰコマンドを使用してリキー処理を実施した旨の通知を行うことを表している。また、対応する詳細・フィールド１０８ｆのエントリには［community,
enterpriseSpecific(6),xx］などの詳細情報が入力され、ＳＮＭＰメッセージ内容が指示されている。

また、項目フィールド１０８ａ［２］のエントリでは、種別フィールド１０８ｂに［ＩＰｖ４］、連絡先アドレス・フィールド１０８ｃに［xx.xx.xx.22］、プロトコル・フィールド１０８ｄに［ｓｍｔｐ］、仕様フィールド１０８ｅに［Ｅ−Ｍａｉｌ］がエントリされており、ＩＰｖ４プロトコルのＩＰアドレス（xx.xx.xx.11）のメールサーバにアクセスして、ｅメール送信により、リキー処理を実施した旨の通知を行うことを表している。対応する詳細・フィールド１０８ｆのエントリには、［abc@xx.xx］などのｅメールアドレスなどの詳細情報が入力され、メールの送信先が指示されている。

リキー処理実施の旨の通知は、その他、ブロードキャスト（ＩＰｖ４）や、マルチキャストやエニーキャスト（ＩＰｖ６）によって、リンク１８の近隣ノード全体や、所定のノードに通知を行うこともできる。また、各種ＦＡＸ送信による連絡を行うこともでき、ＦＡＸ送信としてＩＰＦａｘを用いない場合は、フィールド１０８ｆにＦＡＸ番号をエントリし、該当ＦＡＸにリキー通知を実行することもできる。

図１６は、リキー外部通知管理リスト１０８を使用して、リキー処理の実行を外部機器へ通知する通信方法の実施形態のシーケンス図を示す。なお、図１６の制御は、ステップＳ８０１以前に外部装置９２と情報処理装置１０がＩＰｓｅｃ通信を確立し、何らかのリキー条件に合致するイベントが発生した場合を想定している。図１６に示した制御は、ステップＳ８０１で、リキー処理の開始にともなう、ｉｋｅｄ９０からのカーネル６４へのＣＨＩＬＤ＿ＳＡの削除要求から開始される。ＣＨＩＬＤ＿ＳＡ削除要求を受信したカーネル６４は、ステップＳ８０２で、対応するＣＨＩＬＤ＿ＳＡを削除する。

その後、ステップＳ８０３で、外部装置９２からのアプリケーションへの接続を再び受信したカーネル６４は、ステップＳ８０４でＳＡ生成要求をｉｋｅｄ９０へ発行する。ＳＡ生成要求を受信したｉｋｅｄ９０は、ステップＳ８０５で、ＳＡ管理プロトコルによってフェーズ２の処理を開始させ、外部装置９２とのＣＨＩＬＤ＿ＳＡを再び確立し、カーネル６４にＳＡ設定要求を発行する（Ｓ８０６）。引き続き、ｉｋｅｄ９０は、ステップＳ８０７およびステップＳ８０８で、ネットワーク制御部５４を介して、アプリケーション部４２のリキー外部通知管理リスト１０８に指定されたアプリケーション（例えばメール送信アプリケーションやＳＮＭＰエージェント）へ、リキー通知の依頼を送信する。リキー通知依頼を受けたアプリケーション部４２は、ステップＳ８０９でリキー通知の連絡先を判断し、ステップＳ８１０で、外部機器へリキー通知を実行する。

ライフタイム要因以外の上記イベントに基づくリキー処理の発生を、外部機器へ通知する処理を行う構成により、情報処理装置１０においてライフタイム以外の要因によるリキー処理が行われたことを、外部機器やネットワーク管理者が認識することができ、ネットワークのセキュリティを向上させることを可能とする。リキー実施の通知に、リキー処理開始要因が含まれる場合には、より詳細な分析や対応が可能となる。

以下、上述までのリキー条件リストＡ１００、リキー条件リストＢ１０２およびリキー外部通知管理リスト１０８を含むリキー処理制御設定情報の設定方法について説明する。

図１７は、オペレータがリキー制御情報を設定するためのユーザ・インタフェースの実施形態を示す。ユーザ・インタフェース３０の操作パネル（タッチパネル）などには、図１７（ａ）に示すＵＩ画面２１０が示される。ＵＩ画面２１０には、「ＩＰｓｅｃ ＳＡ更新機能設定」といった見出しと、「ＩＰｓｅｃ ＳＡ更新機能設定の項目を選択してください。」といった、該ＵＩ画面上での設定内容が提示されている。またＵＩ画面２１０には、ＵＩ部品２１０ａなどのボタンが配置され、オペレータからの指示を待受けている。

図１７（ａ）に示した実施形態では、ＵＩ部品２１０ａは、「外部通知」の機能設定項目と関連付けられ、現在「無効」である旨を示している。例えば、ユーザ・インタフェース３０の操作パネルなどによって、ＵＩ部品２１０ａの外部通知のボタンを選択および押下すると、図１７（ｂ）に示す新たなＵＩ画面２２０がユーザ・インタフェース３０の操作パネルに表示される。

図１７（ｂ）に示すＵＩ画面２２０には、「ＩＰｓｅｃ ＳＡ更新 外部通知設定」といった見出しと、「外部通知の各機能の有効／無効を選択してください。」といった、該ＵＩ画面上での設定内容が提示されている。またＵＩ画面２２０には、ＵＩ部品２２０ａなどのボタンが配置され、オペレータからの指示を待受けている。

ＵＩ部品２２０ａは、「ＳＮＭＰ ＴＲＡＰ」といったリキー通知機能と関連付けられ、現在「無効」である旨が示されている。例えば、ユーザ・インタフェース３０の操作パネルなどによって、ＵＩ部品２２０ａの外部通知のボタンを選択および押下すると、次に、図１７（ｃ）に示す新たなＵＩ画面２３０が、ユーザ・インタフェース３０の操作パネル上に表示される。

図１７（ｃ）に示すＵＩ画面２３０には、「ＩＰｓｅｃ ＳＡ更新 外部通知設定」といった見出しと、「ＳＮＭＰ ＴＲＡＰ通知機能の有効／無効を選択してください。」といった、該ＵＩ画面上の設定内容が提示されている。またＵＩ画面２２０には、ＵＩ部品２３０ａ〜２３０ｃなどのボタンが配置され、オペレータからの指示を待受けている。操作パネルなどによって、ＵＩ部品２３０ａの「無効」ボタンを選択・押下すると、示されている設定項目を無効とする旨の状態が保持され、ＵＩ部品２３０ｃの「設定」ボタンを選択・押下により、ＳＮＭＰ ＴＲＡＰを無効として設定処理がなされる。

一方、操作パネルなどによって、ＵＩ部品２３０ｂの「有効」ボタンを選択および押下し、ＵＩ部品２３０ｃの「設定」ボタンを選択・押下すると、「ＳＮＭＰ ＴＲＡＰ」を有効として設定処理がなされ、外部通知先のＳＮＭＰマネージャを選択・入力するＵＩ画面などが表示され、リキー外部通知管理リスト１０８に選択されたＳＮＭＰマネージャがエントリされる。

同様の処理を実行することによって、（１）デバイス関連エラーについて、各デバイス関連エラーをリキー条件として有効／無効かの設定、同様に（２）各アプリケーションエラーをリキー条件として有効／無効かの設定、（３）各プロトコル・エラーをリキー条件として有効／無効かの設定、（４）図７で示した、リキー処理の直接指令やＳＡライフタイム設定とは別のタイマーによるリキー処理の設定を行うことができる。

なお、各種設定の実行は、オペレーション制御部４６やネットワーク制御部５４を介して、記憶部８２内のリキー処理制御設定情報のファイル内容を更新することによって行われる。設定が実行されると、リキー条件リストＡ１００やリキー条件リストＢ１０２の各種エントリの有効／無効のフラッグが更新され、または、リキー外部通知管理リスト１０８へ設定条件がエントリされる。

なお、ユーザ・インタフェース３０を介した設定方法として説明してきたが、他の実施形態では、外部装置９２からのｔｅｌｎｅｔｄ８４やｈｔｔｐｄ８６やｓｎｍｐｄ８８を介したリモート・アクセスにより、リモート設定・管理することもでき、本願のインタフェース手段として使用することができる。以下、設定更新の処理シーケンスについて説明する。

図１８は、ユーザ・インタフェースまたは外部装置９２からの、リキー処理制御設定情報の設定方法での実施形態の処理シーケンスを示す。図１８に示した制御は、ステップＳ９００から開始し、例えば図１７（ｃ）に示したＵＩ画面２３０で、設定の実行を指示するＵＩ部品２３０ｃが選択・押下されると、ステップＳ９００で、アプリケーション部４２（管理設定用アプリケーション）へ、リキー処理関連パラメータ（ＩＰｓｅｃ設定情報と、リキー処理制御設定情報とを含んだ情報として参照）の設定変更要求が送信される。設定変更要求を受信したアプリケーション部４２は、ステップＳ９０１で、ネットワーク制御部５４を介して、設定ファイルの書換え要求を記憶部８２へ発行し、ステップＳ９０２で、リキー処理関連パラメータが書換えられる。

設定変更された後、必要に応じて、ステップＳ９０３で情報処理装置１０が再起動され、カーネル６４およびｉｋｅｄ９０が起動され、起動後ｉｋｅｄ９０は、ステップＳ９０４で、ネットワーク制御部５４へ、記憶部８２に格納されたリキー処理関連パラメータの読出し要求を送信する。読出し要求を受信したネットワーク制御部５４は、ステップＳ９０５で、記憶部８２からリキー処理関連パラメータを読み出し、ステップＳ９０６でｉｋｅｄ９０に情報を伝達する。リキー処理関連パラメータを受け取ったｉｋｅｄ９０は、ステップＳ９０７で、さらにＩＰｓｅｃ通信に必要な情報を記憶部８２から読み書きし、ステップＳ９０８で、ＩＰｓｅｃポリシー設定をカーネル６４に実行する。

リキー処理制御情報の設定するためのインタフェース手段という構成により、情報処理装置１０のおかれているネットワーク環境やユーザ環境に適合させて、柔軟にリキー開始条件やリキー通知連絡先を簡便に設定することが可能となる。また、各種設定ファイルがテキストエディタなどを用いて設定させる不便を解消することもできる。

以上、説明したように、本発明によれば、セキュア通信の際に情報処理装置間で共有され通信データの完全性や機密性を確保するための情報の更新処理を、柔軟にまたは即時的に実行することを可能とし、通信におけるセキュリティを効果的に向上させることを可能とする情報処理装置、通信方法およびプログラムを提供することができる。

本発明によれば、情報処理装置が検出する通信プロトコル（外部通信からの要求）やアプリケーション（アプリケーションからの要求）上のイベント、情報処理装置の内部発生イベント（デバイス管理やシステムからの要求）の検出、外部装置からの通信パケットの受信（外部通信からの要求）、または外部指令の受信など、情報処理装置の内外で発生するイベントをトリガとする。このため、本発明ではイベント駆動によるリキー処理を可能とし、例えば悪意ある進入などのイベントに応答して通信データの完全性や機密性を確保するための情報の更新処理を実行することにより、好適にセキュア通信におけるセキュリティを向上させることができる。

なお、明細書中では、RFC4306に規定されるＩＫＥｖ２に準拠した用語を使用した。フェーズ１で確立され、以降のフェーズ２で使用されるセキュリティ・アソシエーションをＩＫＥ＿ＳＡ、フェーズ２で確立され、ＩＰｓｅｃ通信で使用されるセキュリティ・アソシエーションをＣＨＩＬＤ＿ＳＡと表記した。ＩＫＥｖ１に基づいた表記によれば、上記ＩＫＥ＿ＳＡおよびＣＨＩＬＤ＿ＳＡは、それぞれ、ＩＳＡＫＭＰ＿ＳＡおよびＩＰｓｅｃ＿ＳＡとなる。

また、ＩＰｓｅｃ通信以外のセキュア通信プロトコル、例えばＳＳＬ（Secure Socket Layer）やＴＬＳ（Transport Layer Security）やＳｅｃｕｒｅＳｈｅｌｌなどにおいても、リキー条件に応じたイベントをトリガとして、セッション鍵などの共有秘密鍵の更新処理を開始する処理とすることもできる。

また、本発明の上記機能は、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）、などのレガシープログラミング言語やオブジェクト指向ブログラミング言語などで記述された装置実行可能なプログラムにより実現でき、ＳＤメモリ、ＭＯ、ＥＥＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、ＤＶＤなど装置可読な記録媒体に格納して頒布することができる。また、上記機能は、システム・メモリおよびＣＰＵにより構成され、各機能を実現するためのプログラムをシステム・メモリにロードして実行することにより実現させることができる。

以上、本発明を図面に示した実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

情報処理装置が接続されるネットワーク環境の実施形態を示した概略図。 情報処理装置のハードウェアおよびソフトウェア構成の実施形態を示した概略図。 ＩＰｓｅｃ通信に関する制御を実行するコントローラの機能構成の実施形態を示した概略図。 情報処理装置のカーネルにおけるＩＰｓｅｃ通信の基本処理フローの実施形態を示すフローチャート図。 ｉｋｅｄによるリキー処理フローの実施形態を示すフローチャート図。 リキー処理を開始させるためのリキー条件リストのデータ構造の実施形態を示す図。 オペレータがリキー処理実行を指示するためのユーザ・インタフェースの実施形態を示す図。 リキー条件リストによるリキー処理を実行する通信方法の実施形態における基本処理のシーケンス図。 プロトコルまたはアプリケーション上のイベントをトリガとした、リキー処理を実行する通信方法の実施形態のシーケンス図。 カーネルにおける内部イベントをトリガとした、リキー処理を実行する通信方法の実施形態のシーケンス図。 ＩＰｓｅｃ通信管理リストのデータ構造の実施形態を示す図。 重複アドレス検知受信をトリガとした、リキー処理を実行する通信方法の実施形態のシーケンス図。 リキー処理の実行の可否を判断の際に使用されるリキー拒否条件リストのデータ構造の実施形態を示す図。 リキー処理を実行の可否を判断する通信方法の実施形態のシーケンス図。 リキー外部通知管理リストのデータ構造の実施形態を示す図。 リキー処理の実行を外部機器へ通知する通信方法の実施形態のシーケンス図を示す図。 リキー制御情報を設定するためのユーザ・インタフェースの実施形態を示す図。 リキー処理制御設定情報の設定方法の実施形態のシーケンス図。

符号の説明

１０…情報処理装置、１０ａ…サーバ、１０ｂ…画像形成装置（複合機）、１０ｃ…ＰＣ、１２…プリンタ、１４…スイッチ、１６…ルータ、１８…リンク、２０…ネットワーク、２２…ＰＣ、３０…ユーザ・インタフェース、３２…コピー・アプリケーション、３４…ファックス・アプリケーション、３６…スキャナ・アプリケーション、３８…ネットファイル・アプリケーション、４０…プリンタ・アプリケーション、４２…アプリケーション部、４４…ドキュメント制御部、４６…オペレーション制御部、４８…メモリ制御部、５０…システム制御部、５２…セキュリティ制御部、５４…ネットワーク制御部、５６…ファックス制御部、５８…エンジン制御部、６０…プラットフォーム部、６２…ＡＰＩ、６４…カーネル、６６…セキュア・デバイス、６８…ＨＤＤ、７０…ＮＶＲＡＭ、７２…ネットワーク・インタフェース、７４…外部デバイス・インタフェース、７６…ＧＳＴＮインタフェース、７８…ネットワーク、８０…コントローラ、８２…記憶部、８４…ｔｅｌｎｅｔｄ、８６…ｈｔｔｐｄ、８８…ｓｎｍｐｄ、９０…ｉｋｅｄ、９２…外部装置、１００…リキー条件リストＡ、１００ａ〜１００ｄ…フィールド、１０２…リキー条件リストＢ、１０２ａ〜１０２ｃ…フィールド、１０４…ＩＰｓｅｃ通信管理リスト、１０４ａ〜１０４ｃ…フィールド、１０６…リキー拒否条件リスト、１０６ａ〜１０６ｄ…フィールド、１０８…リキー外部通知管理リスト、１０８ａ〜１０８ｆ…フィールド、２００…ＵＩ画面、２００ａ〜２００ｃ…ＵＩ部品、２１０…ＵＩ画面、２１０ａ…ＵＩ部品、２２０…ＵＩ画面、２２０ａ…ＵＩ部品、２３０…ＵＩ画面、２３０ａ〜２３０ｃ…ＵＩ部品

Claims (14)

1. ネットワークに接続され、外部装置とセキュア通信を行う情報処理装置であって、前記情報処理装置は、
   イベントを検知する手段と、
   トリガ条件を保持する記憶手段と、
   前記イベントを検知し、前記イベントについて割当てた前記トリガ条件を判断して、前記イベントが前記トリガ条件の指定イベントである場合に前記セキュア通信のセキュリティ共有情報の更新処理を開始させるトリガ手段と
   を含む情報処理装置。
2. 前記イベントは、
   外部通信、アプリケーション、デバイス管理またはシステムからの要求により与えられる、
   請求項１に記載の情報処理装置。
3. 前記情報処理装置は、さらに、
   前記外部装置を特定するための識別値に応じて、前記セキュリティ共有情報の前記更新処理の実行の可否を判断する手段を含む、
   請求項1または２に記載の情報処理装置。
4. 前記情報処理装置は、
   外部通知相手機器へメッセージを通知するための通知情報を保持する通知先記憶手段と、
   前記更新処理が開始した後に、前記外部通知相手機器へ、前記メッセージを通知する手段を含む、
   請求項１〜３のいずれか１項に記載の情報処理装置。
5. 前記情報処理装置は、
   前記トリガ条件または前記通知情報、または前記トリガ条件および前記通知情報の両方を設定変更するためのインタフェース手段を備える、
   請求項１〜４のいずれか１項に記載の情報処理装置。
6. 前記セキュア通信は、ＩＰｓｅｃ通信であり、前記セキュリティ共有情報は、ＩＰｓｅｃセキュリティ・アソシエーション情報である、
   請求項１〜５のいずれか１項に記載の情報処理装置。
7. ネットワークに接続され、情報処理装置に対して外部装置とセキュア通信を実行させる通信方法であって、前記情報処理装置に対し、
   イベントを検知するステップと、
   前記イベントについて割当てた前記トリガ条件を判断し、前記イベントが前記トリガ条件の指定イベントである場合に前記セキュア通信のセキュリティ共有情報の更新処理を開始するステップと
   を実行させる、通信方法。
8. 前記イベントは、
   外部通信、アプリケーション、デバイス管理またはシステムからの要求により与えられる、
   請求項７に記載の通信方法。
9. 前記通信方法は、前記情報処理装置に対し、
   前記外部装置を特定するための識別値に応じて、前記セキュリティ共有情報の前記更新処理の実行の可否を判断するステップ
   をさらに実行させる
   請求項７または８に記載の通信方法。
10. 前記通信方法は、前記情報処理装置に対し、
    外部通知相手機器へメッセージを通知するステップを、前記更新処理を開始するステップの後に実行させる、
    請求項７〜９のいずれか１項に記載の通信方法。
11. ネットワークに接続され、外部装置とセキュア通信を行うプログラムであって、前記プログラムは、情報処理装置に対し、
    イベントを検知する機能手段と、
    前記イベントについて割当てた前記トリガ条件を判断し、前記イベントが前記トリガ条件の指定イベントである場合に前記セキュア通信のセキュリティ共有情報の更新処理を開始させる機能手段と
    を実現する、装置実行可能なプログラム。
12. 前記イベントは、
    外部通信、アプリケーション、デバイス管理またはシステムからの要求により与えられる、
    請求項１１に記載のプログラム。
13. 前記プログラムは、前記情報処理装置に対し、
    前記外部装置を特定するための識別値に応じて、前記セキュリティ共有情報の前記更新処理の実行の可否を判断する機能手段
    をさらに実現する、
    請求項１１または１２に記載のプログラム。
14. 前記プログラムは、前記情報処理装置に対し、
    前記更新処理を開始させた後に、外部通知相手機器へメッセージを通知する機能手段
    をさらに実現する、
    請求項１１〜１３のいずれか１項に記載のプログラム。

Images