JP2008236561A

JP2008236561A - 通信システム及び該システムに用いられる通信方法、通信プログラム

Info

Publication number: JP2008236561A
Application number: JP2007075654A
Authority: JP
Inventors: Yoichiro Ito; 洋一郎伊東
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2007-03-22
Filing date: 2007-03-22
Publication date: 2008-10-02
Anticipated expiration: 2027-03-22
Also published as: JP5315622B2

Abstract

【課題】伝送データ量を増加させることなく、分割されたＩＰパケットの暗号化通信を行う。
【解決手段】
送信側ホスト１は暗号器２を備え、受信側ホスト３は復号器４を備え、暗号器１は、ＩＰｓｅｃの暗号化処理２１と、ＩＰパケットのＩＰヘッダにおける識別子情報をＩＰパケットの所定の位置に確保された複写識別情報の領域に複写する識別子情報複写手段２２と、非分割の一つのＩＰパケットとして識別子情報を変更するヘッダ部変更手段２３と、変更したＩＰパケットを送信する通信データ送信手段２４とを備え、復号器４は、暗号器からのＩＰパケットのＩＰヘッダを複写識別子情報に基づいて、ＩＰヘッダを変更前に戻すヘッダ部復旧手段４１と、ＩＰパケットの復号化を行った後に、複写識別子情報を削除する識別子情報削除手段４２と、ＩＰｓｅｃの復号化処理４３とを備えた。
【選択図】図１

Description

この発明は、通信システム及び該システムに用いられる通信方法、通信プログラムに関し、暗号化され分割された通信データを送信する送信装置と、当該受信装置とを通信ネットワークを介して接続することによって、暗号化通信を行うことを内容とする。

ＩＰ(Internet Protocol)パケットを暗号化して通信を行うための技術としてのＩＰｓｅｃ(Security Architecture for Internet Protocol：インターネットで暗号通信を行なうための規格)には、トンネルモードとトランスポートモードの２つのモードがある。トンネルモードは、ＩＰパケットのＩＰヘッダ及びペイロード（ＩＰパケットの内、ヘッダ部分(行き先等の付加情報)を除いた、本来転送したいデータ本体）を暗号化する方法で、主にルータ−ルータ間の通信の暗号化に用いられる。トランスポートモードは、ＩＰヘッダ部分は暗号化せず、ペイロードのみを暗号化する方法で、主にホスト−ホスト間の通信の暗号化に用いられる。トンネルモードの場合、ペイロードに加え、ＩＰヘッダも暗号化するため、暗号化処理の中で、新たなＩＰヘッダを追加する。そのため、伝送するデータ量は増加するが、分割されたパケットを暗号化して通信することが可能である。一方、トランスポートモードの場合、新たなＩＰヘッダの追加は無いが、分割されたパケットを暗号化して通信することができない。但し、トンネルモード、トランスポートモードはどちらも暗号化した情報であり、暗号化ヘッダ（ＥＳＰ(Encapsulating Security Payload)ヘッダ）が付加される。

このように、従来のＩＰ通信の暗号化技術には、以下の（１）や（２）のような課題がある。
（１）ＩＰヘッダを暗号化しない方法（トランスポートモード）では、分割されたＩＰパケットの暗号化ができない。つまり、分割されたパケットを暗号化したパケットが更に分割された場合に、暗号を復号化できない。
（２）ＩＰヘッダを暗号化し、新たにＩＰヘッダを付加する暗号化方法（トンネルモード）であれば、ＩＰパケットの暗号化通信は可能であるが、ＩＰヘッダを新たに付加する分、伝送データ量が増加する。つまり、伝送データ量を増加させることなく、分割されたＩＰパケットの暗号化通信を行うことができない。

ＩＰ通信の暗号化技術に関する従来技術としては、特許文献１乃至特許文献３等に記載のものが開示されている。まず、特許文献１に記載の「通信データ秘匿方式」は、送信側の端末が、通信データを所定のデータ長に分割し、順序を示す暗号化した数値を分割データに付加してネットワークに送出し、受信側の端末が、受信した分割データに付加された数値を復号化することによって、通信データの内容が隠匿できる構成になっている。

次に、特許文献２に記載の「データ通信システム」は、パソコン等の送信側が通信データを分割して暗号化し、異なる識別子を付加して通信路を介して送信する。パソコン等の受信側は、複数の分割データを受信して復号化し、付加された識別子に基づいて通信データを復元することによって、通信データの漏洩、改ざんを防止することができる構成になっている。

次に、特許文献３に記載の「任意選択的ステータスエンコーディングを有する暗号処理装置及び方法」は、暗号化／解読手段が、第１のインターフェース回路を通して通信メディアから情報パケットを受信し、解読されるべき暗号化データを含むか否かを決定し、暗号化データを含む場合は、解読する工程を含み、更に処理を行うために、解読されたデータを有するパケットを第２のインターフェース回路を通して転送する。また、第２のインターフェース回路を通して情報パケットを受信し、暗号処理をするか否かを決定し、必要な場合、暗号処理をする。このことによって、１台の装置で解読処理と暗号化処理とを行うことができる構成になっている。
特開２０００−００４２２６号公報特開２００２−０７７１３９号公報特開平０６−０７７９５４号公報

しかしながら、上記特許文献１乃至３にも不都合な点があり、分割されたパケットが通信ネットワークのＭＴＵ(Maximum Transmission Unit)を超えて、更に分割された場合は、暗号を復号化することができない問題があった。

この発明は、上述の事情に鑑みてなされたもので、分割されたパケットが更に分割された場合でも、暗号を復号化することができる通信システム及び該システムに用いられる通信方法、通信プログラムを提供することを目的とする。

上記課題を解決するために、請求項１記載の発明は、暗号化され分割された通信データを送信する送信装置と、当該受信装置とを通信ネットワークを介して接続することによって、暗号化通信を行う通信システムに係り、前記送信装置は、それぞれ、前記通信データを単一の非分割通信データとして送信するための前処理手段を備え、前記受信装置は、前記前処理手段による前記通信データを再構成するための後処理手段を備えることを特徴としている。

請求項２記載の発明は、暗号化され分割された通信データを送信する送信装置と、当該受信装置とを通信ネットワークを介して接続することによって、暗号化通信を行う通信システムに係り、前記送信装置は、ＯＳＩ参照モデルの第４層に位置するトランスポート層を基に、それぞれ、前記通信データを単一の非分割通信データとして送信するための前処理手段を備え、前記受信装置は、前記前処理手段による前記通信データを再構成するための後処理手段を備えることを特徴としている。

また、請求項３記載の発明は、請求項１又は２記載の通信システムに係り、前処理手段は、前記通信データのヘッダ部における識別子情報を当該通信データの所定の位置に確保された複写識別情報の領域に複写する識別子情報複写手段と、前記非分割の一つの通信データとして当該識別子情報を変更するヘッダ部変更手段と、変更した前記通信データを送信する通信データ送信手段とを備え、前記後処理手段は、前記送信装置からの前記通信データの前記ヘッダ部を前記複写識別子情報に基づいて、前記ヘッダ部を変更前に戻すヘッダ部復旧手段と、前記通信データの復号化を行った後に、前記複写識別子情報を削除する識別子情報削除手段とを備えることを特徴としている。

また、請求項４記載の発明は、請求項１乃至３の何れか１に記載の通信システムに係り、前記識別子情報は、識別子、フラグ、及びフラグメントオフセットが設定されており、前記ヘッダ部変更手段は、前記識別子に当該暗号化に基づいた任意の情報を設定し、前記フラグメントオフセットにゼロを設定し、前記フラグに最後のフラグメントであることを示す情報を設定することを特徴としている。

また、請求項５記載の発明は、請求項１乃至４の何れか１に記載の通信システムに係り、前記前処理手段及び前記後処理手段は、前記送信装置及び前記受信装置に接続する方法、内蔵する方法、及び、ソフトウェアとして組み込む方法の内、何れか１つ以上の方法を選択して、前記暗号化通信を行うことを特徴としている。

また、請求項６記載の発明は、暗号化され分割された通信データを送信する送信装置と、当該受信装置とを通信ネットワークを介して接続する通信システムに利用され、暗号化通信を行う通信方法に係り、それぞれ、前記通信データを単一の非分割通信データとして送信するための前処理ステップと、前記前処理ステップによる前記通信データを再構成するための後処理ステップとを有することを特徴としている。

また、請求項７記載の発明は、暗号化され分割された通信データを送信する送信装置と、当該受信装置とを通信ネットワークを介して接続する通信システムに利用され、暗号化通信を行う通信方法に係り、ＯＳＩ参照モデルの第４層に位置するトランスポート層を基に、それぞれ、前記通信データを単一の非分割通信データとして送信するための前処理ステップと、前記前処理ステップによる前記通信データを再構成するための後処理ステップとを有することを特徴としている。

また、請求項８記載の発明は、請求項６又は７記載の通信方法に係り、前処理ステップは、前記通信データのヘッダ部における識別子情報を当該通信データの所定の位置に確保された複写識別情報の領域に複写する識別子情報複写ステップと、前記非分割の一つの通信データとして当該識別子情報を変更するヘッダ部変更ステップと、変更した前記通信データを送信する通信データ送信ステップとを有し、前記後処理ステップは、前記送信装置からの前記通信データの前記ヘッダ部を前記複写識別子情報に基づいて、前記ヘッダ部を変更前に戻すヘッダ部復旧ステップと、前記通信データの復号化を行った後に、前記複写識別子情報を削除する識別子情報削除ステップとを有することを特徴としている。

また、請求項９記載の発明は、請求項６乃至８の何れか１に記載の通信方法に係り、前記識別子情報は、識別子、フラグ、及びフラグメントオフセットが設定されており、前記ヘッダ部変更手段は、前記識別子に当該暗号化に基づいた任意の情報を設定し、前記フラグメントオフセットにゼロを設定し、前記フラグに最後のフラグメントであることを示す情報を設定することを特徴としている。

また、請求項１０記載の発明は、請求項６乃至９の何れか１に記載の通信方法に係り、前記前処理ステップ及び前記後処理ステップは、前記送信装置及び前記受信装置に接続する方法、内蔵する方法、及び、ソフトウェアとして組み込む方法の内、何れか１つ以上の方法を選択して、前記暗号化通信を行うことを特徴としている。

また、請求項１１記載の発明は、通信プログラムに係り、請求項６乃至１０の何れか１に記載の通信方法をコンピュータに実行させることを特徴としている。

この発明の構成によれば、分割された通信データにヘッダ部の識別子情報を付加しているので、通信プロトコルを新たに追加する処理を行うことなく、分割された通信データであっても暗号化を行うことができる。

分割されたパケットが更に分割された場合でも、暗号を復号化することができる通信システムを具現した。

以下、この発明に係る通信システムの一実施例について説明する。図１は本実施例の通信システムの概念的構成を示すブロック図である。本実施例の通信システムは、ホスト間にてＩＰ通信を行う場合、送信側ホスト１（送信装置）と通信ネットワーク５との間に暗号器２（前処理手段）を接続し、受信側ホスト２（受信装置）と通信ネットワーク５との間に復号器３（後処理手段）を接続する。通信ネットワーク５はＩＰ通信が可能な通信ネットワークである。また、暗号器２及び復号器３は、図１に示すような各処理手段から構成されている。
この発明は、ＯＳＩ(Open Systems Interconnection)参照モデルの第４層に位置するＩＰｓｅｃのトランスポートモードを基に、ＩＰｓｅｃの暗号化の前処理、又は、後処理としての位置づけとなる。そのため、ＩＰｓｅｃの暗号化／復号化及び暗号方式についての詳細な説明は省略し、この前処理である暗号器２及び後処理である復号器３の処理内容を主体に説明する。

ホスト間通信が行われるＩＰ通信のパケットが暗号化される動作の流れを図２のフローチャートを参照して説明する。送信側ホスト１から送信された図３に示す暗号化前のパケットが既に分割されている場合、暗号器２には分割されたパケットが到達する。
暗号器２は、到達したパケットをＩＰｓｅｃのトランスポートモードと同様に暗号化処理２１を行う（ステップＡ１）。図４に暗号化されたパケットを示す。
暗号化されたパケットのＩＰヘッダの識別子、フラグ、フラグメントオフセットを識別子情報（複写識別子情報）としてＥＳＰヘッダの後に追加して複写する（ステップＡ２：識別子情報複写手段２２）。図５に識別子情報を追加したパケットを、図６に識別子情報のレイアウト図を示す。識別子情報における各フィールドの使用方法はＩＰヘッダと同様である。
ＩＰヘッダの識別子、フラグ、フラグメントオフセットを変更する（ステップＡ３：ヘッダ部変更手段２３）。ＩＰヘッダの変更は、識別子に暗号化に基づいた任意の情報を設定し、フラグメントオフセットに分割されていないパケットであることを示す「０」を設定し、フラグに最後のフラグメントであることを示す情報を設定する。後述する割禁止フラグについては、元のパケットと同様、ユーザが設定可能である。
ＩＰヘッダの変更処理を行った後、暗号器２から通信ネットワーク５にＩＰパケットを送出する（ステップＡ４：通信データ送信手段２４）が、送出しようとするＩＰパケットが、暗号器２が接続されている通信ネットワーク５のＭＴＵを超えてしまった場合は、暗号化パケットの分割が必要である。暗号化パケットの分割については、通常のＩＰパケットと同様であるが、分割禁止フラグがある場合、フラグを無視して分割するか、分割しないでパケットを破棄するかはユーザが指定することができる。

暗号器２からのＩＰパケットを受け付けた復号器４は、通信ネットワーク５上で暗号化パケットがさらに分割された可能性があるので、暗号化パケットの再構成を行う（ステップＡ５）。暗号化パケットが分割されている場合は、ＩＰヘッダの識別子、フラグメントオフセットの情報を用いて、分割された暗号化パケットの再構成を行う。再構成すると、送信側で暗号化したパケットを図５に示すパケットに復元することができる。
暗号化した単位のパケットが再構成されたら、暗号化時に変更したヘッダ部を元に戻す処理を行う（ステップＡ６：ヘッダ部復旧手段４１）。続いて、追加複写した識別子情報を削除する（ステップＡ７：識別子情報削除手段４２）。識別子情報を元に戻すことで図４に示すパケットになる。
識別子情報が元に戻ったことで、通常のＩＰｓｅｃと同様に復号化処理４３を行い（ステップＡ８）、図３に示す暗号化前のパケットに復元する。
復号器４は、復号したパケットを受信側ホスト３に送出し（ステップＡ９）、受信側ホスト３はパケットを受信する。
受信側ホスト３は、復号器４からの分割されているパケットを全て受信した後、元の分割されていないパケットを再構成してＩＰ通信を実施する（ステップＡ１０）。

この実施例によれば、ＩＰヘッダの識別子等の情報をヘッダ情報として追加して分割されたパケット中に保持しているので、ＩＰヘッダを新たに追加する処理を行うことなく、分割されたパケットであっても暗号化を行うことができる。

また、上述の実施例では、送信側ホストに暗号器を接続し、受信側ホストに復号器を接続したが、その他の実施例として、通常の通信は、送信、受信が固定の片方通信ではなく、一つのホストが送信と受信の両方を行う双方向通信であるので、図７に示すように、通常のホストは、送信側ホストとしての機能だけではなく、受信側ホストとしての機能も有する構成にすることで、１台の装置にて暗号／復号処理を行うことができる。

また、暗号器／復号器として、ホストとは別の装置にて構成しているが、暗号器／復号器の処理をハードウェアではなく、ソフトウェアにて処理を行うことで、暗号器／復号器がホストと一体となって処理を行うことができる。つまり、図８に示すように、ホスト１台にホスト機能と暗号器機能、及び復号器機能を持たせた構成にすることで、１台のホストにて暗号／復号処理を行うことができ、暗号化通信を行うことが可能になる。

以上、この発明の実施例について図面を参照して詳述してきたが、具体的な構成はこれらの実施例に限られるものではなく、この発明の要旨を逸脱しない範囲の設計の変更等があってもこの発明に含まれる。

例えば、上述の実施例では、図５に示すように識別子情報をＥＳＰヘッダとデータ（ペイロード）との間に追加したが、図９に示すようにＩＰヘッダとＥＳＰヘッダとの間に追加してもよい。また、図５や図９に限らず、ＩＰヘッダより以降のフィールドに識別子情報を追加してもよい。
また、暗号化処理は、図１０に示すように、ＩＰｓｅｃによる暗号化処理を行った上で、ＩＰヘッダの変更及び識別子情報の追加処理を行い、復号化処理は、図１１に示すように、ＩＰヘッダの復旧及び追加した識別子情報の削除を行った上で、ＩＰｓｅｃの復号化処理を行っている。これを図１０及び図１１に示す順序ではなく、暗号化処理は、図１２に示すように、ＩＰヘッダの変更及び識別子情報の追加処理を行った上で、ＩＰｓｅｃによる暗号化処理を行い、復号化処理は、図１３に示すように、ＩＰｓｅｃの復号化処理を行った上で、ＩＰヘッダの復旧及び追加した識別子情報の削除を行ってもよい。
また、上述の実施例は、その目的及び構成等に特に矛盾や問題がない限り、互いの技術を流用することができる。

この発明の実施例における通信システムの概念的構成を示すブロック図である。同システムの動作の流れを示すフローチャートである。同システムの暗号化前のパケットを示す説明図である。同システムのＩＰｓｅｃ（トランスポートモード）の暗号化を行ったパケットを示す説明図である。同システムの識別子情報を追加したパケットを示す説明図である。同システムの識別子情報のレイアウトを示す説明図である。この発明のその他の実施例における通信システムの概念的構成（１台の装置にて暗号／復号処理を行う）を示すブロック図である。同システムの概念的構成（１台のホストにて暗号／復号処理を行う）を示すブロック図である。この発明の実施例における識別子情報の追加例のパケットを示す説明図である。同システムの暗号化処理の順序例を示す説明図である。同システムの復号化処理の順序例を示す説明図である。同システムの暗号化処理の順序例を示す説明図である。同システムの復号化処理の順序例を示す説明図である。

符号の説明

１送信側ホスト
２暗号器
２１ＩＰｓｅｃ暗号化処理
２２識別子情報複写手段
２３ヘッダ部変更手段
２４通信データ送信手段
３受信側ホスト
４復号器
４１ヘッダ部復旧手段
４２識別子情報削除手段
４３ＩＰｓｅｃ復号化処理
５通信ネットワーク

Claims

暗号化され分割された通信データを送信する送信装置と、当該受信装置とを通信ネットワークを介して接続することによって、暗号化通信を行う通信システムであって、
前記送信装置は、それぞれ、前記通信データを単一の非分割通信データとして送信するための前処理手段を備え、
前記受信装置は、前記前処理手段による前記通信データを再構成するための後処理手段を備えることを特徴とする通信システム。
暗号化され分割された通信データを送信する送信装置と、当該受信装置とを通信ネットワークを介して接続することによって、暗号化通信を行う通信システムであって、
前記送信装置は、ＯＳＩ参照モデルの第４層に位置するトランスポート層を基に、それぞれ、前記通信データを単一の非分割通信データとして送信するための前処理手段を備え、
前記受信装置は、前記前処理手段による前記通信データを再構成するための後処理手段を備えることを特徴とする通信システム。
前処理手段は、
前記通信データのヘッダ部における識別子情報を当該通信データの所定の位置に確保された複写識別情報の領域に複写する識別子情報複写手段と、
前記非分割の一つの通信データとして当該識別子情報を変更するヘッダ部変更手段と、
変更した前記通信データを送信する通信データ送信手段と、
を備え、
前記後処理手段は、
前記送信装置からの前記通信データの前記ヘッダ部を前記複写識別子情報に基づいて、前記ヘッダ部を変更前に戻すヘッダ部復旧手段と、
前記通信データの復号化を行った後に、前記複写識別子情報を削除する識別子情報削除手段と、
を備えることを特徴とする請求項１又は２記載の通信システム。
前記識別子情報は、識別子、フラグ、及びフラグメントオフセットが設定されており、
前記ヘッダ部変更手段は、前記識別子に当該暗号化に基づいた任意の情報を設定し、前記フラグメントオフセットにゼロを設定し、前記フラグに最後のフラグメントであることを示す情報を設定することを特徴とする請求項１乃至３の何れか１に記載の通信システム。
前記前処理手段及び前記後処理手段は、前記送信装置及び前記受信装置に接続する方法、内蔵する方法、及び、ソフトウェアとして組み込む方法の内、何れか１つ以上の方法を選択して、前記暗号化通信を行うことを特徴とする請求項１乃至４の何れか１に記載の通信システム。
暗号化され分割された通信データを送信する送信装置と、当該受信装置とを通信ネットワークを介して接続する通信システムに利用され、暗号化通信を行う通信方法であって、
それぞれ、前記通信データを単一の非分割通信データとして送信するための前処理ステップと、
前記前処理ステップによる前記通信データを再構成するための後処理ステップと、
を有することを特徴とする通信方法。
暗号化され分割された通信データを送信する送信装置と、当該受信装置とを通信ネットワークを介して接続する通信システムに利用され、暗号化通信を行う通信方法であって、
ＯＳＩ参照モデルの第４層に位置するトランスポート層を基に、それぞれ、前記通信データを単一の非分割通信データとして送信するための前処理ステップと、
前記前処理ステップによる前記通信データを再構成するための後処理ステップと、
を有することを特徴とする通信方法。
前処理ステップは、
前記通信データのヘッダ部における識別子情報を当該通信データの所定の位置に確保された複写識別情報の領域に複写する識別子情報複写ステップと、
前記非分割の一つの通信データとして当該識別子情報を変更するヘッダ部変更ステップと、
変更した前記通信データを送信する通信データ送信ステップと、
を有し、
前記後処理ステップは、
前記送信装置からの前記通信データの前記ヘッダ部を前記複写識別子情報に基づいて、前記ヘッダ部を変更前に戻すヘッダ部復旧ステップと、
前記通信データの復号化を行った後に、前記複写識別子情報を削除する識別子情報削除ステップと、
を有することを特徴とする請求項６又は７記載の通信方法。
前記識別子情報は、識別子、フラグ、及びフラグメントオフセットが設定されており、
前記ヘッダ部変更手段は、前記識別子に当該暗号化に基づいた任意の情報を設定し、前記フラグメントオフセットにゼロを設定し、前記フラグに最後のフラグメントであることを示す情報を設定することを特徴とする請求項６乃至８の何れか１に記載の通信方法。
前記前処理ステップ及び前記後処理ステップは、前記送信装置及び前記受信装置に接続する方法、内蔵する方法、及び、ソフトウェアとして組み込む方法の内、何れか１つ以上の方法を選択して、前記暗号化通信を行うことを特徴とする請求項６乃至９の何れか１に記載の通信方法。
請求項６乃至１０の何れか１に記載の通信方法をコンピュータに実行させるための通信プログラム。