JP2009033540A - 通信装置 - Google Patents
通信装置 Download PDFInfo
- Publication number
- JP2009033540A JP2009033540A JP2007196151A JP2007196151A JP2009033540A JP 2009033540 A JP2009033540 A JP 2009033540A JP 2007196151 A JP2007196151 A JP 2007196151A JP 2007196151 A JP2007196151 A JP 2007196151A JP 2009033540 A JP2009033540 A JP 2009033540A
- Authority
- JP
- Japan
- Prior art keywords
- communication
- setting
- security
- remote device
- security policy
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Abstract
【課題】 遠隔装置からＩＰｓｅｃの設定に失敗した場合であったとしても、遠隔装置から機器に対して再度リモートアクセスを可能とし、ＩＰｓｅｃの再設定が行えるようにする。
【解決手段】 リモート機器からセキュリティ通信に使用するセキュリティポリシーの設定を行う場合、その設定内容にポリシーの設定に使用している通信経路が含まれている場合はセキュリティ通信の検証を行う。通信が行われなかった場合は設定されたポリシーを削除する。
【選択図】 図１
【解決手段】 リモート機器からセキュリティ通信に使用するセキュリティポリシーの設定を行う場合、その設定内容にポリシーの設定に使用している通信経路が含まれている場合はセキュリティ通信の検証を行う。通信が行われなかった場合は設定されたポリシーを削除する。
【選択図】 図１
Description
本発明は、セキュリティポリシーの設定が正しく行われたか検証を行う通信装置に関するものである。
近年のネットワーク機器にはインターネットに接続されたエンドノード間でのセキュリティ通信を実現するために、ＯＳＩ参照モデルのＩＰ層において暗号化通信を提供するＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）が搭載されている。
ＩＰｓｅｃでは暗号化通信にどのような暗号アルゴリズムを使用するかなどの通信機器間のセキュリティ設定の整合をＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）で実現している。また、どの装置に対して暗号化通信を行うか、或いは行わないかなどのセキュリティポリシーをＳＰ（Ｓｅｃｕｒｉｔｙ Ｐｏｌｉｃｙ）で実現している。ＳＡについては、鍵交換プロトコルであるＩＫＥを使用することにより、ＩＰｓｅｃ通信を行うそれぞれの機器に対して自動的に整合を取ることが可能である。それに対して、ＳＰについてはそれぞれの機器に対して手動で行う必要がある。
一般に、ネットワークに接続された通信機器には、ユーザの利便性を向上させるために、ネットワークに接続された他の遠隔装置から機器設定を可能とする機能を提供している。特にＩＰｓｅｃは機器間で個別にＳＡおよびＳＰの設定を行う必要がある。また、設定項目も多岐に渡るため、設定が複雑になっている。そのため、ハードウェアとして豊富なユーザインターフェイスを持っていないＳＦＰ（Ｓｉｎｇｌｅ Ｆｕｎｃｔｉｏｎ Ｐｒｉｎｔｅｒ）のような装置では、遠隔装置からソフトウェアでＩＰｓｅｃの設定を提供している。セキュリティ通信に関する設定の場合、任意の機器からの通信を許可しない設定が可能であるため、ユーザが意図せずとも通信が不可能になってしまう問題がある。
上記の問題に対して、遠隔の通信装置からセキュリティポリシーを設定する際に、通信が許可されなくなる場合は、設定前に警告を通知する技術があった。（例えば、特許文献１参照。）
特開2005-072644号公報
しかしながら、上記の従来の技術ではセキュリティポリシーの設定が通信許可しないかどうかのみを検出するものである。ＩＰｓｅｃのセキュリティポリシーの設定は通信を行う機器同士で設定が個別に正しく行われている必要があり、従来技術では検出できない。そのため、設定を間違った場合には機器間の通信が不能になってしまう。
特に、遠隔機器からのＩＰｓｅｃのセキュリティポリシーの設定において、設定に使用している通信ポートに対する設定を失敗した場合には、リモート機器からのアクセスが不可能となる。そのため、通信を復旧するために機器まで赴き設定を解除する必要が生じる問題がある。
一般にＩＰｓｅｃにおいては、全ての通信ポートに対してＩＰｓｅｃの適用を設定することが可能であり、ＩＰｓｅｃの設定に使用しているポートのように、設定を失敗した場合に不利益になるようなポートに対してもユーザが意図せず設定してしまう恐れがある。
上述した課題を解決するために、本発明は、他のリモート装置から設定を行うセキュリティポリシー内に前記他のリモート装置との間でセキュリティポリシーの設定に使用している通信経路が含まれるか判定する手段と、設定検証期間を指定する手段と、前記判定手段によりセキュリティポリシーの設定に使用している通信経路が含まれる場合には前記設定検証期間内に前記他のリモート機器との間でセキュリティポリシーの設定に使用している通信経路を用いたセキュリティ通信を検知する手段と、前記検知手段により前記設定検証期間内に前記他のリモート機器との間でセキュリティポリシーの設定に使用している通信経路を用いたセキュリティ通信が検知できない場合には前記他のリモート装置から設定を行ったセキュリティポリシーを無効にする手段を有することを特徴とする通信装置である。上述した課題を解決するために、本発明は、他のリモート装置から設定を行うセキュリティポリシー内に前記他のリモート装置との間でセキュリティポリシーの設定に使用している通信経路が含まれるか判定する手段と、設定検証期間を指定する手段と、前記判定手段によりセキュリティポリシーの設定に使用している通信経路が含まれる場合には前記設定検証期間内に前記他のリモート機器との間でセキュリティポリシーの設定に使用している通信経路を用いたセキュリティ通信を検知する手段と、前記検知手段により前記設定検証期間内に前記他のリモート機器との間でセキュリティポリシーの設定に使用している通信経路を用いたセキュリティ通信が検知できない場合には前記他のリモート装置から設定を行ったセキュリティポリシーを無効にする手段を有することを特徴とする通信装置である。
遠隔装置からＩＰｓｅｃの設定に失敗した場合であったとしても、遠隔装置から機器に対して再度リモートアクセスが可能となり、ＩＰｓｅｃの再設定が行える。それにより、遠隔装置からの設定機会が広がり、ユーザの利便性を向上させることができる。
次に、本発明の詳細を実施例の記述に従って説明する。
以下、本発明を実施するための最良の形態を図面に基づいて説明する。
図５はネットワークに接続された通信機器の構成図である。
通信機器５００と、通信機器５００に対して遠隔から設定を行うリモート機器５０１はＬＡＮ５０２によって接続されている。なお、ここでは通信機器５００とリモート機器５０１はＬＡＮ５０２接続されているが、ルータを経由したネットワークやインターネットを経由して接続されていてもよい。
図１は通信装置の内部の構成要素を表したブロック図である。
通信装置はユーザからセキュリティポリシーの入出力を受け付けるＵＩ３と、ユーザから入力されたセキュリティポリシーの追加、修正、削除などの設定処理を扱うＳＰ設定部１と、セキュリティポリシーに関する処理の制御を行うＳＰ制御部２を備える。また、ＳＰ設定部１によって設定されたセキュリティポリシーを格納するＳＰＤ（セキュリティポリシーデータベース）４を備える。
また、追加、又は修正されたセキュリティポリシーの中にリモート機器からの設定に使用している通信経路に関するものがあるかを判定するＳＰ解析部５と、通信機器のネットワーク設定を格納しているネットワーク設定ＤＢ７を備える。ネットワーク設定ＤＢ７には、特に本実施形態で用いる項目として、リモート機器からのセキュリティポリシーの設定に使用している通信ポート４０５や検証時間４０６が格納されている。ネットワーク設定ＤＢ７の詳細を図４に示す。
また、リモート機器から設定されたセキュリティポリシーの中にリモート機器からの設定に使用している通信ポート４０５が含まれていた場合に、リモート機器からのＩＰｓｅｃ通信を受信できるかを検証する通信検証部６を備える。
該検証期間中に該リモート機器からのＩＰｓｅｃ通信が受信できなかった場合、通信検証部６はその旨をＳＰ制御部２に通知する。
なお、図２は、本発明の通信装置における通信検証処理の一例を示すフローチャートである。
図３は本発明で提案する通信装置における通信検証処理の一例を示すフローチャートである。以下、図３を示しながら、実施形態における処理の流れを説明する。
まず、ＳＰ設定部１はＵＩ３を通してユーザからのセキュリティポリシーの追加、修正、削除を検知する（ステップＳ１）。次に、ＳＰ設定部１はリモート機器のネットワーク情報を記憶部８に保持する（ステップＳ２）。リモート機器のネットワーク情報の詳細について図３に示す。
次に、ＳＰ解析部５は変更されたセキュリティポリシー内に、リモート機器からの設定に使用している通信ポート４０５に対するものが存在するかを解析する（ステップＳ３）。ここで、セキュリティポリシーが存在した場合、通信検証部６は検証を行う期間を決定するためにネットワーク設定ＤＢから検証時間４０６の値を取得する（ステップＳ４）。その後、ＳＰ制御部２はステップで検知したＳＰを適用する（ステップＳ５）。通信検証部６はステップＳ５のＳＰの適用後から検証時間４０６が経過するまで、ステップで保持したリモート機器の情報を元にリモート機器からの設定に使用している通信ポート４０５上のＩＰｓｅｃ通信を監視し続ける（ステップＳ６、及びＳ７）。ここで、該当するＩＰｓｅｃ通信を検知した場合は、変更されたＳＰの設定値が正しかったことが検証できたので本処理を終了する。
ステップＳ７において検証時間４０６が経過してもＩＰｓｅｃ通信が検知できなかった場合は変更されたＳＰの設定値が不正であるとみなし、通信検証部６はその旨をＳＰ制御部２へ通知する。ＳＰ制御部２はステップＳ５で適用された不正なセキュリティポリシーの削除をＳＰＤ４に対して行う（ステップＳ８）。なお、ステップＳ８においてセキュリティポリシーを削除した旨の通知をＵＩ３に対して行ってもよい。
ステップにおいて該当セキュリティポリシーが存在しなかった場合は検証を行う必要がないため、ＳＰ制御部２はステップＳ１で検知したＳＰを適用（ステップＳ９）した後、本処理を終了する。
１ 通信装置におけるＳＰ設定部
２ 通信装置におけるＳＰ制御部
３ 通信装置におけるＵＩ
４ 通信装置におけるＳＰＤ
５ 通信装置におけるＳＰ解析部
６ 通信装置における通信検証部
７ 通信装置におけるネットワーク設定ＤＢ
８ 通信装置における記憶部
２ 通信装置におけるＳＰ制御部
３ 通信装置におけるＵＩ
４ 通信装置におけるＳＰＤ
５ 通信装置におけるＳＰ解析部
６ 通信装置における通信検証部
７ 通信装置におけるネットワーク設定ＤＢ
８ 通信装置における記憶部
Claims (5)
- ネットワークに接続された他のリモート装置からセキュリティ通信に用いるセキュリティポリシーの設定が可能な通信装置において、前記他のリモート装置から設定を行うセキュリティポリシー内に前記他のリモート装置との間でセキュリティポリシーの設定に使用している通信経路が含まれるか判定する手段と、設定検証期間を指定する手段と、前記判定手段によりセキュリティポリシーの設定に使用している通信経路が含まれる場合には前記設定検証期間内に前記他のリモート機器との間でセキュリティポリシーの設定に使用している通信経路を用いたセキュリティ通信を検知する手段と、前記検知手段により前記設定検証期間内に前記他のリモート機器との間でセキュリティポリシーの設定に使用している通信経路を用いたセキュリティ通信が検知できない場合には前記他のリモート装置から設定を行ったセキュリティポリシーを無効にする手段を有することを特徴とする通信装置。
- 前記他のリモート装置から設定を行ったセキュリティポリシーを無効にする手段は、前記設定を行ったセキュリティポリシーの内、前記他のリモート装置との間で設定に使用している通信経路に対するポリシーのみを無効にすることを特徴とする、請求項１に記載の通信装置。
- 前記セキュリティ通信はＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）通信を含むことを特徴とする、請求項１に記載の通信装置。
- 前記通信経路はＴＣＰ（Ｔｒａｎｓｍｉｓｉｏｎ Ｃｏｎｔｒｏｕｌ Ｐｒｏｔｏｃｏｌ）、又はＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ）の通信ポートを含むことを特徴とする、請求項１に記載の通信装置。
- 前記リモート装置との間で設定に使用している通信経路はＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）で使用している通信ポートを含むことを特徴とする、請求項１に記載の通信装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2007196151A JP2009033540A (ja) | 2007-07-27 | 2007-07-27 | 通信装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2007196151A JP2009033540A (ja) | 2007-07-27 | 2007-07-27 | 通信装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2009033540A true JP2009033540A (ja) | 2009-02-12 |
Family
ID=40403532
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2007196151A Pending JP2009033540A (ja) | 2007-07-27 | 2007-07-27 | 通信装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2009033540A (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2015079451A (ja) * | 2013-10-18 | 2015-04-23 | キヤノン株式会社 | 画像形成装置及びその制御方法、並びにプログラム |
-
2007
- 2007-07-27 JP JP2007196151A patent/JP2009033540A/ja active Pending
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2015079451A (ja) * | 2013-10-18 | 2015-04-23 | キヤノン株式会社 | 画像形成装置及びその制御方法、並びにプログラム |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2009502052A5 (ja) | ||
| CN105027493B (zh) | 安全移动应用连接总线 | |
| US7809966B2 (en) | Information processing apparatus having a low power consumption state and releasing the low power consumption state to perform communication, and power control method therefor | |
| US8555348B2 (en) | Hierarchical trust based posture reporting and policy enforcement | |
| US20060085850A1 (en) | System and methods for providing network quarantine using IPsec | |
| US20110113236A1 (en) | Methods, systems, and computer readable media for offloading internet protocol security (ipsec) processing using an ipsec proxy mechanism | |
| US20060031922A1 (en) | IPsec communication method, communication control apparatus, and network camera | |
| US20060288016A1 (en) | System and method for coordinated network configuration | |
| EP1700180A2 (en) | System and method for managing a proxy request over a secure network using inherited security attributes | |
| JP2005072636A (ja) | 通信システム、同通信システムにおけるセキュリティポリシーの配布方法、サーバ装置、ならびにセキュリティポリシーの配布プログラム | |
| JP2008052371A (ja) | アウトバンド認証を伴うネットワークシステム | |
| JP2008005434A (ja) | 通信制御装置、通信制御方法および通信制御プログラム | |
| CN102137100A (zh) | 构建ip层ssl vpn隧道的方法 | |
| US8065723B2 (en) | Network communication device | |
| US20110078436A1 (en) | Communication apparatus, method for controlling communication apparatus and storage medium | |
| ZA200508074B (en) | System and methods for providing network quarantine using ipsec | |
| JP2008154103A (ja) | 通信中継装置 | |
| JP2009033540A (ja) | 通信装置 | |
| CN107342963A (zh) | 一种虚拟机安全控制方法、系统及网络设备 | |
| US20120216033A1 (en) | Communication system, printing device, and sa establishment method | |
| CN115981274A (zh) | 一种工业控制系统的安全保护系统 | |
| CN113810352B (zh) | 虚拟私人网络连线方法以及应用该方法的储存卡装置 | |
| GB2606137A (en) | Controlling command execution in a computer network | |
| JP2004054488A (ja) | ファイアウォール装置 | |
| US7484094B1 (en) | Opening computer files quickly and safely over a network |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20100201 |
|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20100630 |