JP2010244556A - Server device, communication method, and program - Google Patents
Server device, communication method, and program Download PDFInfo
- Publication number
- JP2010244556A JP2010244556A JP2010106829A JP2010106829A JP2010244556A JP 2010244556 A JP2010244556 A JP 2010244556A JP 2010106829 A JP2010106829 A JP 2010106829A JP 2010106829 A JP2010106829 A JP 2010106829A JP 2010244556 A JP2010244556 A JP 2010244556A
- Authority
- JP
- Japan
- Prior art keywords
- server
- service providing
- client
- providing server
- service
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Abstract
Description
本発明は、サービスネットワークシステムおよびサーバ装置に係り、特にＳＩＰサーバの負荷軽減を考慮したサービスネットワークシステムおよびサーバ装置に関する。 The present invention relates to a service network system and a server device, and more particularly, to a service network system and a server device in consideration of reducing the load on a SIP server.
特許文献１には、受付サーバが複数のコンテンツサーバの代表として接続要求を受信し、クライアントに許可チケットとともに接続先となるコンテンツサーバの情報を通知する発明が記載されている。また、特許文献２には、窓口サーバが複数の業務サーバの代表として接続要求を受信し、クライアントに接続先の業務サーバの情報を通知する発明が記載されている。
特許文献３および特許文献４には、通信開始のプロトコルとしてＳＩＰ（Session Initiation Protocol）を用い、サーバでユーザ認証を行う発明が記載されている。特許文献５ないし特許文献７には、通信開始のプロトコルとしてＳＩＰを用いてはいないが、認証を一括して行う代理認証サーバを備えた発明が記載されている。
非特許文献１ないし非特許文献４は、ＳＩＰに関連するＩＥＴＦ（Internet Engineering Task Force）標準に関連する文献である。ここで、非特許文献１は、ＳＩＰのＲＦＣ（Request for Comment）であり、ＴＬＳ(Transport Layer Security)によって、ユーザの認証とＴＬＳメッセージの暗号化を行う方法が記載されている。非特許文献２は、ＴＬＳに関するＲＦＣである。非特許文献３は、ＳＩＰによって送受信されるセッション情報の記述方法（ＳＤＰ：Session Description Protocol）に関するＲＦＣである。非特許文献４は、ＳＤＰまたはＲＴＳＰ（Real Time Streaming Protocol）によって、通信データの暗号化に使用する鍵情報等を交換する方法について記載がある。
Non-Patent
サービス提供者が、複数のサービス提供サーバを用いてサービスを提供する場合、サービス提供サーバ毎に電子証明書を取得しインストールする必要がある。また、サービス提供サーバが個々にＳＩＰサーバと通信を行うと、ＳＩＰサーバは個々のサービス提供サーバ毎に通信セッション情報を保持する必要があるため、処理負荷が増大する。 When a service provider provides a service using a plurality of service providing servers, it is necessary to acquire and install an electronic certificate for each service providing server. Further, when the service providing server individually communicates with the SIP server, the SIP server needs to hold communication session information for each individual service providing server, which increases the processing load.
特許文献１または２に記載された発明では、受付サーバまたは窓口サーバとクライアントとの通信はＨＴＴＰ（HyperText Transportation Protocol）で行われＳＩＰが考慮されていない。
特許文献３に記載された発明には、クライアントが接続先となるサーバのＩＰアドレスを取得する方法の記載に留まっている。
In the invention described in
In the invention described in Patent Document 3, the method of acquiring the IP address of the server to which the client is connected is only described.
特許文献４に記載された発明には、ネットワークに接続した管理サーバと管理サーバに接続した認証サーバとが記載され、データ供給側の端末をデータ要求側の端末にログインする発明が記載されている。
特許文献５または６に記載された発明は、認証サーバが代表サーバとしてクライアントからのサービス接続要求を受け付けるが、サービス提供も認証サーバを経由して行われるので、認証サーバがボトルネックとなる。
The invention described in
In the invention described in
特許文献７に記載された発明には、認証代理サーバが記載されているが、この認証代理サーバはサービス提供業者の代わりに通信事業者サーバに認証依頼するに過ぎない。
以上のように、特許文献１ないし７に記載された発明は、単独または組み合わせによっても本発明が解決しようとする課題の解決手段を提供していない。
なお、サービス提供サーバの前段に、認証と暗号化を行う負荷分散装置を設置する構成も考えられるが、この場合、負荷分散装置が処理のボトルネックになる。
The invention described in Patent Document 7 describes an authentication proxy server, but this authentication proxy server only requests an authentication to a communication carrier server instead of a service provider.
As described above, the inventions described in
In addition, although the structure which installs the load distribution apparatus which performs authentication and encryption in the front | former stage of a service provision server is also considered, in this case, a load distribution apparatus becomes a bottleneck of a process.
複数のサービス提供サーバの代表となるサーバ装置が、ＳＩＰサーバ認証やＳＩＰメッセージ交換を代表として実施し、ＳＩＰメッセージ交換により取得したクライアント通信情報（暗号化通信情報、メッセージ認証情報）をサービス提供サーバに通知する。サービス提供サーバは、代表サーバから通知されたクライアント通信情報をもとに、クライアントと通信を行う。 A server device that is representative of a plurality of service providing servers performs SIP server authentication and SIP message exchange as representatives, and client communication information (encrypted communication information and message authentication information) acquired by SIP message exchange is provided to the service providing server. Notice. The service providing server communicates with the client based on the client communication information notified from the representative server.
本発明によれば、認証は代表サーバのみに対して行われるため、サービス提供用サーバは電子証明書を持つ必要がない。ＳＩＰサーバは、個々のサービス提供サーバを認証する必要がなく、また、個々のサービス提供サーバとの間で通信セッションを保持する必要もないため、ＳＩＰサーバの負荷を軽減することができる。また、データ通信は、クライアントとサービス提供サーバとの間で直接行われるため、代表サーバが処理のボトルネックとならない。 According to the present invention, since authentication is performed only on the representative server, the service providing server does not need to have an electronic certificate. Since the SIP server does not need to authenticate each service providing server and does not need to maintain a communication session with each service providing server, the load on the SIP server can be reduced. Further, since data communication is directly performed between the client and the service providing server, the representative server does not become a processing bottleneck.
以下本発明の実施の形態について、実施例を用いて図面を参照しながら説明する。 Hereinafter, embodiments of the present invention will be described using examples with reference to the drawings.
本発明の実施例１を図１ないし図２５を用いて説明する。ここで、図１はシステム構成を説明するブロック図である。図２はクライアントのハードウェア構成を説明するブロック図である。図３は代表サーバのハードウェア構成を説明するブロック図である。図４はサービス提供サーバのハードウェア構成を説明するブロック図である。図５はクライアント、ＳＩＰサーバ、代表サーバ、サービス提供サーバ間の通信を説明する遷移図である。図６はクライアントの処理フロー図である。図７は代表サーバの処理フロー図である。図８はサービス提供サーバの処理フロー図である。図９は代表サーバが保有するサーバ選択テーブルを説明する図である。図１０は代表サーバが保有する通信設定テーブルを説明する図である。図１１は代表サーバが保有するサービス接続テーブルを説明する図である。 A first embodiment of the present invention will be described with reference to FIGS. Here, FIG. 1 is a block diagram illustrating a system configuration. FIG. 2 is a block diagram illustrating the hardware configuration of the client. FIG. 3 is a block diagram illustrating the hardware configuration of the representative server. FIG. 4 is a block diagram illustrating the hardware configuration of the service providing server. FIG. 5 is a transition diagram for explaining communication among the client, the SIP server, the representative server, and the service providing server. FIG. 6 is a processing flowchart of the client. FIG. 7 is a processing flowchart of the representative server. FIG. 8 is a process flow diagram of the service providing server. FIG. 9 is a diagram for explaining a server selection table held by the representative server. FIG. 10 is a diagram for explaining a communication setting table held by the representative server. FIG. 11 is a diagram illustrating a service connection table held by the representative server.
図１２はクライアントからＳＩＰサーバ宛てのサービス接続要求の構成とメッセージヘッダを説明する図である。図１３はクライアントからＳＩＰサーバ宛てのサービス接続要求のメッセージボディを説明する図である。図１４は代表サーバからＳＩＰサーバ宛てのサービス接続応答の構成とメッセージヘッダを説明する図である。図１５は代表サーバからＳＩＰサーバ宛てのサービス接続応答のメッセージボディを説明する図である。図１６は代表サーバからサービス提供サーバ宛てのクライアント通信情報設定要求の構成とメッセージボディを説明する図である。図１７はサービス提供サーバから代表サーバ宛てのクライアント通信情報設定応答の構成とメッセージボディを説明する図である。図１８はクライアントからＳＩＰサーバ宛てのサービス切断要求の構成とメッセージヘッダを説明する図である。図１９はクライアントからＳＩＰサーバ宛てのサービス切断要求のメッセージボディを説明する図である。図２０は代表サーバからＳＩＰサーバ宛てのサービス切断応答の構成とメッセージヘッダを説明する図である。図２１は代表サーバからＳＩＰサーバ宛てのサービス切断応答のメッセージボディを説明する図である。図２２は代表サーバからサービス提供サーバ宛てのクライアント通信情報削除要求の構成とメッセージボディを説明する図である。図２３はサービス提供サーバから代表サーバ宛てのクライアント通信情報削除応答の構成とメッセージボディを説明する図である。図２４はサービス提供サーバとクライアントの間で通信されるデータの構成を説明する図である。図２５はサービス提供サーバとクライアントの間で通信される暗号化データの構成を説明する図である。 FIG. 12 is a diagram for explaining the structure of the service connection request addressed to the SIP server from the client and the message header. FIG. 13 is a diagram for explaining a message body of a service connection request addressed to a SIP server from a client. FIG. 14 is a diagram for explaining the structure of the service connection response addressed to the SIP server from the representative server and the message header. FIG. 15 is a diagram for explaining a message body of a service connection response addressed to the SIP server from the representative server. FIG. 16 is a diagram for explaining the configuration and message body of a client communication information setting request addressed to the service providing server from the representative server. FIG. 17 is a diagram for explaining the configuration and message body of a client communication information setting response addressed to the representative server from the service providing server. FIG. 18 is a diagram for explaining the structure of a service disconnection request addressed to the SIP server from the client and the message header. FIG. 19 is a diagram for explaining a message body of a service disconnection request addressed to the SIP server from the client. FIG. 20 is a diagram for explaining the structure of the service disconnection response addressed to the SIP server from the representative server and the message header. FIG. 21 is a diagram for explaining a message body of a service disconnection response addressed to the SIP server from the representative server. FIG. 22 is a diagram for explaining the configuration and message body of a client communication information deletion request addressed to the service providing server from the representative server. FIG. 23 is a diagram for explaining the configuration and message body of the client communication information deletion response addressed to the representative server from the service providing server. FIG. 24 is a diagram for explaining the configuration of data communicated between the service providing server and the client. FIG. 25 is a diagram for explaining the configuration of encrypted data communicated between the service providing server and the client.
図１に示すサービスネットワークシステム１００において、ネットワーク５０−１には複数のクライアント１０（１０−１、１０−２、…）とセッション管理機能を備えたセッション管理サーバ（以下ＳＩＰサーバ）２０と代表サーバ３０と複数のサービス提供サーバ４０（４０−１、４０−２、…）とが接続されている。代表サーバ３０とサービス提供サーバ４０とは、ネットワーク５０−２にも接続されている。サービス提供サーバ４０としては、インスタントメッセージサーバ、クライアントに各種のコンテンツ情報を提供するコンテンツ配信サーバ、複数のクライアント間の電話会議をサポートする電話会議サーバなどが含まれる。
In the
ここで、各クライアント１０と代表サーバ３０に付随して括弧内に示した文字列は、ネットワーク５０−１上で転送されるＩＰパケットで使用される装置アドレスを示している。これらのアドレスは、いずれもその一部にＳＩＰサーバ２０のアドレス「ａａａ．ｃｏｍ」を含んでおり、これらの端末と代表サーバがＳＩＰサーバ２０に所属していることが判る。各クライアント１０と代表サーバ３０との接続（セッションの設定）および切断（セッションの終了）は、ＳＩＰサーバ２０を介して行われる。
なお、以下の説明においてＩＰアドレスは、クライアント１[cl1@aaa.com]:192.0.2.1、ＳＩＰサーバ:192.0.2.2、サービス提供サーバ１:192.0.2.3、代表サーバ[sv1@aaa.com]:192.0.2.4として説明する。
Here, the character string shown in parentheses in association with each
In the following description, the IP addresses are as follows: client 1 [cl1@aaa.com]: 192.0.2.1, SIP server: 192.0.2.2, service providing server 1: 192.0.2.3, representative server [sv1@aaa.com]: This is explained as 192.0.2.4.
ネットワーク５０−１はクライアントと代表サーバおよびクライアントとサービス提供サーバが通信するために使用される。一方、ネットワーク５０−２は、サーバ室内ＬＡＮであり、代表サーバとサービス提供サーバが通信を行うために使用される。ネットワーク５０−１とネットワーク５０−２を分離するのは、代表サーバとサービス提供サーバ間で送受信されるメッセージ認証パラメータ等の秘密情報を保護するためである。代表サーバとサービス提供サーバ間で暗号化通信が行える場合、代表サーバとサービス提供サーバがネットワーク５０−１を使って通信を行っても良い。 The network 50-1 is used for communication between the client and the representative server and between the client and the service providing server. On the other hand, the network 50-2 is a server indoor LAN, and is used for communication between the representative server and the service providing server. The reason why the network 50-1 and the network 50-2 are separated is to protect confidential information such as message authentication parameters transmitted and received between the representative server and the service providing server. When encrypted communication can be performed between the representative server and the service providing server, the representative server and the service providing server may perform communication using the network 50-1.
図２を参照してクライアントの構成を説明する。クライアント１０は、バス１５に接続したプロセッサ（ＣＰＵ）１２と、プロセッサ１２が実行する各種プログラムとプログラムが参照する各種テーブルを一時記憶するメモリ１１と、各種プログラムとプログラムが参照する各種テーブルを保存する外部記憶装置１３と、ネットワーク５０−１と接続するネットワークインターフェース１４とから構成されている。
The configuration of the client will be described with reference to FIG. The
図３に示す代表サーバ３０はバス３５に接続したプロセッサ（ＣＰＵ）３２と、プロセッサ３２が実行する各種プログラムとプログラムが参照する各種テーブルを一時記憶するメモリ３１と、各種プログラムとプログラムが参照する各種テーブルを保存する外部記憶装置３３と、ネットワーク５０−１と接続するネットワークインターフェース３４−１と、ネットワーク５０−２と接続するネットワークインターフェース３４−２とから構成されている。なお、この代表サーバのハードウェア構成では、ネットワーク５０−１とネットワーク５０−２は物理的に分離されており、別々のネットワークインターフェース３４−１、３４−２を用いて、アクセスを行う構成となっている。しかし、ルータやファイアウォールの設定により、論理的にネットワーク５０−１とネットワーク５０−２を分離することで、１枚のネットワークインターフェースからネットワーク５０−１とネットワーク５０−２の両方にアクセスする構成を取ることもできる。
The
図４に示すサービス提供サーバ４０は図３で説明した代表サーバと同一の構成である。すなわち、サービス提供サーバ４０はバス４５に接続したプロセッサ（ＣＰＵ）４２と、プロセッサ４２が実行する各種プログラムとプログラムが参照する各種テーブルを一時記憶するメモリ４１と、各種プログラムとプログラムが参照する各種テーブルを保存する外部記憶装置４３と、ネットワーク５０−１と接続するネットワークインターフェース４４−１と、ネットワーク５０−２と接続するネットワークインターフェース４４−２とから構成されている。１枚のネットワークインターフェースからネットワーク５０−１とネットワーク５０−２の両方にアクセスする構成を取ることもできる。
The
図５において、まずＳＩＰサーバ２０と代表サーバ３０との間で非特許文献１に記載されたＴＬＳネゴシエーションによって、相互認証と暗号通信設定を行う（Ｔ５０１：ＳＩＰサーバ認証と呼ぶ）。これに続いて、代表サーバ３０からＳＩＰサーバ２０宛てに、自分のロケーションを登録するＳＩＰリクエストであるREGISTERリクエスト（REGISTERメッセージ）を送信する（Ｔ５０２）。ＳＩＰサーバ２０は受信したREGISTERリクエストに記載された代表サーバ３０のロケーションを登録したあと、代表サーバ３０に正常に終了したことを示すＳＩＰレスポンスコードである200 OKを送信する（Ｔ５０３）。なお、REGISTERメッセージは着信側（被INVITE側）が実施する必要がある。
In FIG. 5, first, mutual authentication and encryption communication setting are performed between the
一方、クライアント１０−１とＳＩＰサーバ２０との間でもＴＬＳネゴシエーションによって、相互認証と暗号通信設定を行っておく（Ｔ５０４）。クライアント１０−１からＳＩＰサーバ２０にサービス接続要求であるINVITEリクエストを送信する（Ｔ５０６）と、ＳＩＰサーバ２０はクライアント１０−１に接続中であることを示す100 Tryingを送信（Ｔ５０７）したあと、代表サーバ３０にINVITEリクエストを転送する（Ｔ５０８）。代表サーバ３０はＳＩＰサーバ２０宛てに100 Tryingを送信（Ｔ５０９）したあと、サービス提供サーバ４０−１にクライアント通信情報設定要求を送信する（Ｔ５１０）。
On the other hand, mutual authentication and encryption communication setting are performed between the client 10-1 and the
サービス提供サーバ４０−１は、クライアント通信情報設定要求を受信し、代表サーバ３０にクライアント通信情報設定応答を返信する（Ｔ５１１）。クライアント通信情報設定応答を受信した代表サーバ３０はＳＩＰサーバ２０宛てに、サービス接続応答である200 OKを送信する（Ｔ５１２）。これを受信したＳＩＰサーバ２０は、同様にクライアント１０−１宛てに200 OKを送信する（Ｔ５１３）。
The service providing server 40-1 receives the client communication information setting request and returns a client communication information setting response to the representative server 30 (T511). The
サービス接続応答である200 OKを受信したクライアント１０−１は、サービス接続確認のＳＩＰリクエストであるACKリクエストをＳＩＰサーバ２０宛てに送信し（Ｔ５１４）、これを受信したＳＩＰサーバ２０はACKリクエストを代表サーバ３０宛てに送信する（Ｔ５１５）。
サービス提供サーバ４０−１とクライアント１０−１とは、お互いのＩＰアドレス、ポート番号を交換しているので、サービス提供サーバ４０−１とクライアント１０−１とは直接接続されてサービスデータの送受信が開始される（Ｔ５１７）。
The client 10-1 that has received 200 OK that is the service connection response transmits an ACK request that is a SIP request for service connection confirmation to the SIP server 20 (T514), and the
Since the service providing server 40-1 and the client 10-1 exchange their mutual IP addresses and port numbers, the service providing server 40-1 and the client 10-1 are directly connected to transmit and receive service data. Started (T517).
クライアント１０−１からＳＩＰサーバ２０宛てにサービス切断要求のＳＩＰリクエストであるBYEリクエストが送信される（Ｔ５１８）と、これを受信したＳＩＰサーバ２０は代表サーバ３０宛てにBYEリクエストを送信する（Ｔ５１９）。BYEリクエストを受信した代表サーバ３０はサービス提供サーバ４０−１宛てにクライアント通信情報削除要求を送信する（Ｔ５２０）。通信情報削除要求を受信したサービス提供サーバ４０−１は代表サーバ３０宛てに通信情報削除応答を送信し（Ｔ５２１）、これを受けた代表サーバ３０はＳＩＰサーバ２０にサービス切断応答である200 OKを送信する（Ｔ５２２）。200 OKを受信したＳＩＰサーバ２０はクライアント宛てにサービス切断応答である200 OKを送信する（Ｔ５２３）。以上により、通信を終了する。なお、代表サーバ３０とサービス提供サーバ４０との間の通信は図１のネットワーク５０−２を介して行い、その他の通信はネットワーク５０−１を介して行った。
When a BYE request, which is a SIP request for service disconnection, is transmitted from the client 10-1 to the SIP server 20 (T518), the
次に、クライアント、代表サーバ、サービス提供サーバの動作を説明する。図６において、クライアント１０はサービス提供サーバとの直接の通信に使用する暗号通信情報の候補、メッセージ認証情報の候補を作成する（Ｓ６０１）。これらの候補をボディにセットしたINVITEメッセージをＳＩＰサーバ２０宛てに送信する（Ｓ６０２）。このあと、クライアント１０はＳＩＰサーバの応答待ち（Ｓ６０３）となり、ＳＩＰサーバ２０からサービス接続応答である200 OKを受信すると、200 OKメッセージを解析し、選択された暗号通信情報、メッセージ認証情報を取得する（Ｓ６０４）。
Next, operations of the client, the representative server, and the service providing server will be described. In FIG. 6, the
クライアント１０はサービス接続確認リクエストであるACKメッセージをＳＩＰサーバ２０に送信した（Ｓ６０５）あと、選択された暗号通信情報、メッセージ認証情報を用いて、サービス提供サーバ４０との間でアプリケーションデータの送受信を行う（Ｓ６０７）。
The
クライアント１０は、このあと暗号通信情報、メッセージ認証情報の消去要求をボディにセットしたBYEメッセージをＳＩＰサーバ２０宛てに送信する（Ｓ６０７）。このあと、クライアント１０はＳＩＰサーバの応答待ち（Ｓ６０８）となり、ＳＩＰサーバ２０からサービス切断応答である200 OKを受信すると、サービス利用を終了する。
なお、ステップ６０３またはステップ６０８でエラーを受信したとき、またはタイムアウトしたときには、ステップ６０９またはステップ６１０のエラー処理に遷移する。
Thereafter, the
When an error is received at
図７において、代表サーバ３０が起動すると、代表サーバ３０は代表サーバ３０のＩＰアドレス（ロケーション）をコンタクト情報としてセットしたREGISTERメッセージをＳＩＰサーバ２０に送信し（Ｓ７０１）、ＳＩＰサーバ２０の応答を待つ（Ｓ７０２）。代表サーバ３０がＳＩＰサーバ２０からロケーション登録応答である200 OKを受信すると、メッセージの受信を待つ（Ｓ７０３）。代表サーバ３０は、ＳＩＰサーバ２０からINVITEメッセージを受信すると、INVITEメッセージを解析し、クライアントが作成した暗号通信情報候補、メッセージ認証情報候補、アプリケーション情報を取得（Ｓ７０４）したあと、サービス提供サーバの状態を記録したサーバ選択テーブル（図９で後述）を参照し、クライアントと直接通信するサービス提供サーバ４０−１を選択する（Ｓ７０５）。
In FIG. 7, when the
代表サーバ３０は、サービス提供サーバ４０−１が利用可能な暗号化通信情報とメッセージ認証情報を登録した通信設定テーブル（図１０で後述）を参照し、クライアント１０とサービス提供サーバ４０との通信に利用する暗号化通信情報とメッセージ認証情報を選択する（Ｓ７０６）。次に、代表サーバ３０は選択した暗号化通信情報とメッセージ認証情報、およびアプリケーション情報をクライアント通信情報設定要求として、選択サービス提供サーバ４０−１に送信し（Ｓ７０７）、サービス提供サーバ４０−１からの応答を待つ（Ｓ７０８）。
The
サービス提供サーバ４０−１から、正常な通信が行われたことを示すクライアント通信情報設定応答が戻ってきたとき、サービス接続テーブル（図１１で後述）にエントリを追加し、サーバ選択テーブルを更新する。また、選択した暗号化通信情報とメッセージ認証情報を含む200 OKメッセージをＳＩＰサーバ２０に送信し（Ｓ７０９）、再びメッセージ受信待ち（Ｓ７０３）となる。 When a client communication information setting response indicating that normal communication has been performed is returned from the service providing server 40-1, an entry is added to the service connection table (described later in FIG. 11), and the server selection table is updated. . In addition, a 200 OK message including the selected encrypted communication information and message authentication information is transmitted to the SIP server 20 (S709), and the message reception wait is resumed (S703).
サービス接続確認であるＳＩＰサーバ２０からのACKメッセージを受信すると、再々度メッセージ待ち（Ｓ７０３）となる。この状態で、サービス切断要求であるBYEメッセージをＳＩＰサーバ２０から受信すると、BYEメッセージを解析、サーバ選択テーブルを参照し、暗号通信情報とメッセージ認証情報の消去を行うサービス提供サーバ４０−１を特定（Ｓ７１１）し、このサービス提供サーバ４０−１にクライアント通信情報削除要求を送信し（Ｓ７１２）、サービス提供サーバ４０−１の応答待ちとなる（Ｓ７１３）。サービス提供サーバ４０−１から、正常な通信が行われたことを示すクライアント通信情報削除応答が戻ってきたとき、サービス接続テーブルのエントリを削除し、サーバ選択テーブルを更新する。また、暗号通信情報、メッセージ認証情報の消去、およびサービスの切断をクライアントに通知する200 OKメッセージをＳＩＰサーバ２０に送信して（Ｓ７１４）、メッセージ受信待ち（Ｓ７０３）となる。
なお、ステップ７０３、ステップ７０８またはステップ７１３でエラーを受信したとき、またはタイムアウトしたときには、ステップ７２１、ステップ７２２またはステップ７２３のエラー処理に遷移する。
When an ACK message from the
When an error is received in
図８において、サービス提供サーバ４０が起動すると、サービス提供サーバ４０は、まず代表サーバ３０からの要求（リクエスト）受信待ちとなる（Ｓ８０１）。サービス提供サーバ４０が、クライアント通信情報設定要求を受信すると、それを解析し、代表サーバ３０から通知された暗号化通信情報、メッセージ認証情報およびアプリケーション情報を取得する（Ｓ８０２）。サービス提供サーバ４０は、クライアント通信情報設定テーブルに、暗号化通信情報、メッセージ認証情報およびアプリケーション情報をセットし、代表サーバ３０にクライアント通信情報設定応答を送信する（Ｓ８０３）。このあとサービス提供サーバ４０は、暗号化通信情報、メッセージ認証情報およびアプリケーション情報に従って、直接クライアントとのサービスデータの送受信を開始する（Ｓ８０４）。この開始を契機にサービス提供サーバ４０は、サービスデータの送受信中も、代表サーバ３０からの要求受信待ちに遷移する（Ｓ８０１）。
In FIG. 8, when the
サービス提供サーバ４０が、クライアント通信情報処理要求を受信したとき、その要求を解析し、当該クライアントとのサービスデータの送受信を停止する（Ｓ８０５）。サービス提供サーバ４０は、当該クライアントとの通信に使用していた、暗号化通信情報、メッセージ認証情報およびアプリケーション情報をクライアント通信情報設定テーブルから消去し、代表サーバ３０にクライアント通信情報削除応答を送信し（Ｓ８０６）、再度代表サーバ３０からの要求受信待ちに遷移する（Ｓ８０１）。
When the
図９に示すサーバ選択テーブルは、代表サーバ３０の外部記憶装置３３に記録されているテーブルである。サーバ選択テーブル５０は、サービス提供サーバ番号５１と、クライアント接続数５２と、レスポンス時間５３とで構成される。代表サーバ３０は、新たなサービス要求があったとき、このサーバ選択テーブル５０を参照して、配下のサービス提供サーバの中から、レスポンス時間の小さい（即ち負荷がすくない）サービス提供サーバを選択する。
The server selection table shown in FIG. 9 is a table recorded in the
図１０に示す通信設定テーブルは、サーバ選択テーブルと同様に代表サーバ３０の外部記憶装置３３に記録されているテーブルである。通信設定テーブル６０は、サービス提供サーバ番号６１と、当該サービス提供サーバが通信可能な暗号化アルゴリズム６２と、当該サービス提供サーバが認証可能なメッセージ認証アルゴリズム６３とで構成される。代表サーバ３０は、新たなサービス要求があったとき、この通信設定テーブル６０を参照して、配下のサービス提供サーバの中から、クライアントが提示した選択肢から選択したサービス提供サーバが対応している暗号化アルゴリズムおよびメッセージ認証アルゴリズムを選択する。もし選択したサービス提供サーバが対応していないならばサービス提供サーバを変更する。
The communication setting table shown in FIG. 10 is a table recorded in the
図１１に示すサービス接続テーブルは、サーバ選択テーブル、通信設定テーブルと同様に代表サーバ３０の外部記憶装置３３に記録されているテーブルである。サービス接続テーブル７０は、クライアントが送出したCall-ID７１と、クライアントのアドレスであるFrom７２と、リクエストの受信先アドレスであるTo７３と、代表サーバが選択した接続先サーバ７４であるサービス提供サーバが記載されている。なお、From７２とTo７３に記載されたtagは、アドレスの識別情報である。
The service connection table shown in FIG. 11 is a table recorded in the
図１２に示すクライアントからＳＩＰサーバへのサービス接続要求パケット８０は、図５のＴ５０６で送出されるパケットである。サービス接続要求パケット８０は、ＩＰヘッダ８１と、ＵＤＰ／ＴＣＰヘッダ８２と、サービス接続要求メッセージヘッダ８３と、サービス接続要求メッセージボディ８４とからなり、サービス接続要求メッセージヘッダ８３に、RFC3261で規定されたＳＩＰの接続要求メッセージを含んでいる。ＳＩＰのセッション記述には、RFC3266で仕様化されたＳＤＰが適用される。
A service
サービス接続要求メッセージメッセージヘッダ８３は、スタートラインに、リクエストメソッドとして、このメッセージがセッション接続要求用であることを示す“INVITE”を含み、宛先アドレスとして、代表サーバのＵＲＩ“sv1@aaa.com”を含む。
The service connection request
Viaヘッダには、送信元であるクライアントのアドレスが記載されている。ToヘッダとFromヘッダは、それぞれ宛先と送信元を示し、Call-IDは、送信元で指定したセッション識別子を示す。Cseqヘッダは、Command Sequenceであり、セッション内のトランザクションを識別する。Contactヘッダは、ＳＩＰサーバに登録すべきクライアント１０−１のＵＲＩを示し、Content-TypeヘッダとContent-Lengthは、メッセージボディ８４のＳＤＰの定義情報を示している。
The Via header describes the address of the client that is the transmission source. The To header and From header indicate the destination and the transmission source, respectively, and Call-ID indicates the session identifier specified by the transmission source. The Cseq header is a command sequence and identifies a transaction in the session. The Contact header indicates the URI of the client 10-1 to be registered in the SIP server, and the Content-Type header and Content-Length indicate SDP definition information of the
図１３に示すクライアントからＳＩＰサーバへのサービス要求パケットボディ８４は、設定項目８４１と設定値８４２とからなるテーブルである。設定項目８４１は、クライアントＩＰアドレス、クライアントポート番号、データの暗号化のないクライアント通信情報選択肢１、データの暗号化を実施するクライアント通信情報選択肢２、アプリケーション情報で構成され、設定値８４２には対応する設定値が記載されている。クライアント通信情報選択肢１は、クライアント通信情報ＩＤ（Ｉ）とメッセージ認証コードと認証コード用共通鍵で構成される。クライアント通信情報ＩＤ（Ｉ）は、Initiatorが送信したデータと認証コードおよび鍵を対応付けるＩＤである。クライアント通信情報選択肢２は、クライアント通信情報ＩＤ（Ｉ）とメッセージ認証コードと認証コード用共通鍵とメッセージ暗号化方法と暗号用共通鍵で構成される。クライアント通信情報ＩＤ（Ｉ）は、Initiatorが送信したデータとメッセージ認証コードないし暗号用共通鍵を対応付けるＩＤである。
クライアントからＳＩＰサーバへのサービス接続要求パケット８０は、ＳＩＰサーバから代表サーバ３０へ転送される。
A service
A service
図１４に示す代表サーバからＳＩＰサーバへのサービス接続応答パケット９０は、図５のＴ５１２で送出されるパケットである。サービス接続応答パケット９０は、ＩＰヘッダ９１と、ＵＤＰ／ＴＣＰヘッダ９２と、サービス接続応答メッセージヘッダ９３と、サービス接続応答メッセージボディ９４とからなり、サービス接続応答メッセージヘッダ９３に、ＳＩＰの接続応答メッセージを含んでいる。
A service
サービス接続応答メッセージメッセージヘッダ９３は、スタートラインに、リクエストメソッドとして、このメッセージがセッション応答用であることを示す“200 OK”を含み、Call-IDヘッダ、Cseqヘッダは図１２に示した接続要求と同じなので、接続要求に対する接続応答（許可）であることが分かる。ToヘッダとFromヘッダは、それぞれ接続要求の宛先と送信元をそのまま示している。
The service connection response
図１５に示す共通サーバからＳＩＰサーバへのサービス応答パケットボディ９４は、設定項目９４１と設定値９４２とからなるテーブルである。設定項目９４１は、クライアントＩＰアドレス、クライアントポート番号、代表サーバにより選択されたクライアント通信情報、アプリケーション情報で構成され、設定値９４２には対応する設定値が記載されている。選択されたクライアント通信情報は、クライアント通信情報ＩＤ（Ｒ）とメッセージ認証コードと認証コード用共通鍵で構成される。クライアント通信情報ＩＤ（Ｒ）は、Responderが送信したデータと認証コードおよび鍵を対応付けるＩＤである。
代表サーバからＳＩＰサーバへのサービス接続応答パケット９０は、ＳＩＰサーバからクライアント１０−１に転送される。
A service
The service
図１６に示す代表サーバからサービス提供サーバへのクライアント通信情報設定要求パケットは、図５のＴ５１０で送出されるパケットである。クライアント通信情報設定要求パケット１１０は、ＩＰヘッダ１１１と、ＵＤＰ／ＴＣＰヘッダ１１２と、クライアント通信情報設定要求メッセージヘッダ１１３と、クライアント通信情報設定要求メッセージボディ１１４とからなる。クライアント通信情報設定要求メッセージボディ１１４は、図１３で説明したサービス接続要求メッセージボディから代表サーバ３０が選択しなかったクライアント通信情報選択肢２を除いたものと同一である。
なお、クライアント通信情報設定要求メッセージボディ１１４は、クライアント通信情報設定テーブルとしてサービス提供サーバ４０に保持される。
The client communication information setting request packet from the representative server to the service providing server shown in FIG. 16 is a packet transmitted at T510 in FIG. The client communication information setting
The client communication information setting
図１７に示すサービス提供サーバから代表サーバへのクライアント通信情報設定応答パケットは、図５のＴ５１１で送出されるパケットである。クライアント通信情報設定応答パケット１２０は、ＩＰヘッダ１２１と、ＵＤＰ／ＴＣＰヘッダ１２２と、クライアント通信情報設定応答メッセージヘッダ１２３と、クライアント通信情報設定応答メッセージボディ１２４とからなる。クライアント通信情報設定応答メッセージボディ１２４は、図１５で説明したサービス接続応答メッセージボディと同一である。これは代表サーバがメッセージボディを変更せずそのままＳＩＰサーバに転送しているからである。
The client communication information setting response packet from the service providing server to the representative server shown in FIG. 17 is a packet transmitted at T511 in FIG. The client communication information setting
なお、図１６および図１７では代表サーバとサービス提供サーバとの間の通信は、セキュアなローカルエリアネットワークであるネットワーク５０−２を用いるので、そのプロトコルはＳＩＰ以外の例えばＨＴＴＰ（HyperText Transport Protocol）などのプロトコルであっても良い。 In FIGS. 16 and 17, since communication between the representative server and the service providing server uses the network 50-2 which is a secure local area network, the protocol is other than SIP such as HTTP (HyperText Transport Protocol). The protocol may be
図１８に示すクライアントからＳＩＰサーバへのサービス切断要求パケット１３０は、図５のＴ５１８で送出されるパケットである。サービス切断要求パケット１３０は、ＩＰヘッダ１３１と、ＵＤＰ／ＴＣＰヘッダ１３２と、サービス切断要求メッセージヘッダ１３３と、サービス切断要求メッセージボディ１３４とからなり、サービス切断要求メッセージヘッダ１３３に、ＳＩＰの切断要求メッセージを含んでいる。サービス切断要求メッセージヘッダ１３３は、スタートラインに、リクエストメソッドとして、このメッセージがセッション切断要求用であることを示す“BYE”を含み、サービス提供サーバのＩＰアドレスである“192.0.2.4”を含む。
The service
図１９に示すクライアントからＳＩＰサーバへのサービス切断要求パケットボディ１３４は、設定項目１３４１と設定値１３４２で構成される。設定項目１３４１は、クライアントのＩＰアドレスと、ポート番号と、クライアント通信情報ＩＤである。クライアント通信情報ＩＤの設定値には、サービス接続要求メッセージボディ（図１３）で通知した設定値をセットする。
A service disconnection
図２０に示す代表サーバからＳＩＰサーバへのサービス切断応答パケット１４０は、図５のＴ５２２で送出されるパケットである。サービス切断応答パケット１４０は、ＩＰヘッダ１４１と、ＵＤＰ／ＴＣＰヘッダ１４２と、サービス切断応答メッセージヘッダ１４３と、サービス切断応答メッセージボディ１４４とからなり、サービス切断応答メッセージヘッダ１４３に、ＳＩＰの切断応答メッセージを含んでいる。サービス切断応答メッセージヘッダ１４３は、スタートラインに、リクエストメソッドとして、このメッセージがセッション応答用であることを示す“200 OK”を含み、Call-IDヘッダ、Cseqヘッダは図１８に示した切断要求と同じなので、切断要求に対する切断応答（許可）であることが分かる。
The service
図２１に示す代表サーバからＳＩＰサーバへのサービス切断応答パケットボディ１４４は、設定項目１４４１と設定値１４４２で構成される。設定項目１４４１は、サービス提供サーバのＩＰアドレスと、ポート番号と、クライアント通信情報ＩＤである。クライアント通信情報ＩＤの設定値には、サービス接続応答メッセージボディ（図１５）で通知した設定値をセットする。
The service disconnection
図２２に示す代表サーバからサービス提供サーバへのクライアント通信情報削除要求パケット１５０は、図５のＴ５２０で送出されるパケットである。クライアント通信情報削除要求パケット１５０は、ＩＰヘッダ１５１と、ＵＤＰ／ＴＣＰヘッダ１５２と、クライアント通信情報削除要求メッセージヘッダ１５３と、クライアント通信情報削除要求メッセージボディ１５４とからなる。クライアント通信情報削除要求メッセージボディ１５４は、図１９で説明したサービス切断要求メッセージボディと同一である。
The client communication information
図２３に示すサービス提供サーバから代表サーバへのクライアント通信情報削除応答パケット１６０は、図５のＴ５２１で送出されるパケットである。クライアント通信情報削除応答パケット１６０は、ＩＰヘッダ１６１と、ＵＤＰ／ＴＣＰヘッダ１６２と、クライアント通信情報削除応答メッセージヘッダ１６３と、クライアント通信情報削除応答メッセージボディ１６４とからなる。クライアント通信情報削除応答メッセージボディ１６４は、図２１で説明したサービス切断応答メッセージボディと同一である。これは代表サーバがメッセージボディを変更せずそのままＳＩＰサーバに転送しているからである。
The client communication information
なお、図２２および図２３では代表サーバとサービス提供サーバとの間の通信は、セキュアなローカルエリアネットワークであるネットワーク５０−２を用いるので、そのプロトコルはＳＩＰ以外の例えばＨＴＴＰ（HyperText Transport Protocol）などのプロトコルであっても良い。 In FIG. 22 and FIG. 23, the communication between the representative server and the service providing server uses the network 50-2 which is a secure local area network, and the protocol is other than SIP, such as HTTP (HyperText Transport Protocol). The protocol may be
図２４と図２５を用いて、クライアントとサービス提供サーバの間で通信されるパケットを説明する。ここで、図２４は図１３に示すクライアントからのサービス要求メッセージで、データの暗号化を行わないクライアント通信情報選択肢１を代表サーバが選択した場合に、クライアントとサービス提供サーバの間で通信されるパケットである。また、図２５は図１３に示すクライアントからのサービス要求メッセージで、データの暗号化を実施するクライアント通信情報選択肢２を代表サーバが選択した場合に、クライアントとサービス提供サーバの間で通信されるパケットである。
A packet communicated between the client and the service providing server will be described with reference to FIGS. 24 and 25. Here, FIG. 24 is a service request message from the client shown in FIG. 13. When the representative server selects client
図２４において、データパケット１７０は、ＩＰヘッダ１７１、ＵＤＰ／ＴＣＰヘッダ、クライアント通信情報ＩＤ１７３、データ１７４、ＨＭＡＣ１７５で構成される。なお、クライアント通信情報ＩＤ１７３は、クライアント通信情報ＩＤ（Ｒ）またはクライアント通信情報ＩＤ（Ｉ）である。ここで、このデータパケット１７０は、サービス提供サーバからクライアントへ向けたストリーミングデータとしよう。クライアントは、データに添付されたクライアント通信情報ＩＤ（Ｒ）を参照し、図１５で説明したクライアント通信情報ＩＤ（Ｒ）に対応するメッセージ認証コード（HMAC-SHA1）と、認証コード用共通鍵（3541e2af1537fg3712ca12）を把握する。認証コード用共通鍵を用いて、ＨＭＡＣ１７５を復号しハッシュ（１）を生成する。一方、データ１７４とメッセージ認証コードを用いて、ハッシュ（２）を生成する。ハッシュ（１）とハッシュ（２）が等しければ、データパケット１７０の送信元であるサービス提供サーバが代表サーバの配下にある正規なサービス提供サーバであることを確認できる。
In FIG. 24, the
図２５において、データパケット１８０は、ＩＰヘッダ１８１、ＵＤＰ／ＴＣＰヘッダ１８２、クライアント通信情報ＩＤ１８３、暗号化データ１８４、ＨＭＡＣ１８５で構成される。ここで、このデータパケット１８０は、サービス提供サーバからクライアントへ向けたストリーミングデータとしよう。クライアントは、データに添付されたクライアント通信情報ＩＤ（Ｒ）（図示せず）を参照し、クライアント通信情報ＩＤ（Ｒ）に対応するメッセージ認証コード（HMAC-MD5：図１３参照）、認証コード用共通鍵（fe648c578b80a675）、メッセージ暗号化方法（AES-128-CBC）および暗号用共通鍵（1653fe648c578b424ef）を把握する。次に、認証コード用共通鍵を用いて、ＨＭＡＣ１８５を復号しハッシュ（１）を生成する。一方、暗号化データ１８４を暗号用共通鍵で復号し、メッセージ認証コードを用いて、ハッシュ（２）を生成する。ハッシュ（１）とハッシュ（２）が等しければ、データパケット１８０の送信元であるサービス提供サーバが代表サーバの配下にある正規なサービス提供サーバであることを確認できる。
図２４および図２５ではデータパケットをサービス提供サーバからクライアントへのデータとしたが、逆にクライアントからサービス提供サーバ宛てのデータでも同様に、サービス提供サーバは、データに添付されたクライアント通信情報ＩＤ（Ｉ）を参照し、生成した二つのハッシュ値を比較することで、正規なクライアントであることを確認できる。
In FIG. 25, a
In FIG. 24 and FIG. 25, the data packet is data from the service providing server to the client. Conversely, in the case of data addressed from the client to the service providing server, the service providing server similarly uses the client communication information ID ( By comparing the two generated hash values with reference to I), it can be confirmed that the client is a legitimate client.
本実施例によれば、認証は代表サーバのみに対して行われるため、サービス提供用サーバは電子証明書を持つ必要がない。クライアントは、メッセージに付与されたＨＭＡＣの値を確認することで、通信を行っているサービス提供サーバが正しい代表サーバの配下にあるサービス提供サーバであることを確認できる。また、暗号化通信を行うことで、サービスデータの秘匿性を保つことが出来る。 According to this embodiment, since authentication is performed only on the representative server, the service providing server does not need to have an electronic certificate. By confirming the value of the HMAC given to the message, the client can confirm that the service providing server performing communication is a service providing server under the correct representative server. Moreover, the confidentiality of service data can be maintained by performing encrypted communication.
ＳＩＰサーバは、個々のサービス提供サーバを認証する必要がなく、また、個々のサービス提供サーバとの間で通信セッションを保持する必要もないため、ＳＩＰサーバの負荷を軽減することができる。
また、データ通信は、クライアントとサービス提供サーバとの間で直接行われるため、代表サーバが処理のボトルネックにならない。
本実施例では、代表サーバが一括してクライアント通信情報を選択しているので、１度の問合せでクライアント通信情報を確定できる利点もある。
Since the SIP server does not need to authenticate each service providing server and does not need to maintain a communication session with each service providing server, the load on the SIP server can be reduced.
Further, since the data communication is directly performed between the client and the service providing server, the representative server does not become a processing bottleneck.
In this embodiment, since the representative server collectively selects the client communication information, there is an advantage that the client communication information can be determined by one inquiry.
本発明の実施例２を図２６ないし図２９を用いて説明する。ここで、図２６は代表サーバの処理フロー図である。図２７はサービス提供サーバの処理フロー図である。図２８は代表サーバからサービス提供サーバ宛てのクライアント通信情報設定要求の構成とメッセージボディを説明する図である。図２９はサービス提供サーバから代表サーバ宛てのクライアント通信情報設定応答の構成とメッセージボディを説明する図である。 A second embodiment of the present invention will be described with reference to FIGS. Here, FIG. 26 is a processing flow diagram of the representative server. FIG. 27 is a processing flowchart of the service providing server. FIG. 28 is a diagram for explaining the configuration and message body of a client communication information setting request addressed to the service providing server from the representative server. FIG. 29 is a diagram for explaining the configuration of the client communication information setting response addressed to the representative server from the service providing server and the message body.
上述した実施例１では代表サーバが暗号化通信情報とメッセージ認証情報との選択を行うのに対して、実施例２はサービス提供サーバが選定を行う実施例である。実施例２では実施例１との相違点のみ説明する。したがって、大部分の図面は実施例１と共通または若干の違いはあるもののほぼ同一である。 In the first embodiment described above, the representative server selects the encrypted communication information and the message authentication information, whereas the second embodiment is an embodiment in which the service providing server selects. In the second embodiment, only differences from the first embodiment will be described. Therefore, most of the drawings are almost the same as those of the first embodiment, although they are common or slightly different.
図２６を参照して代表サーバの処理フローを説明する。代表サーバ３０が起動すると、代表サーバ３０は、自分自身のＩＰアドレスをセットした”REGISTER”メッセージをコンタクト情報としてＳＩＰサーバ２０に送信する（Ｓ９０１）。ＳＩＰサーバ２０の応答を待ったあと（Ｓ９０２）、”200 OK”を受信して、メッセージの受信待ちとなる（Ｓ９０３）。代表サーバ３０は、”INVITE”を受信したあと、INVITEメッセージを解析し、暗号通信情報の候補、メッセージ認証情報の候補およびアプリケーション情報を取得する（Ｓ９０４）。代表サーバ３０は、サービス提供サーバの状態を記録したサーバ選択テーブル（図９）を参照し、クライアントと通信するサービス提供サーバを選択する（Ｓ９０５）。
The processing flow of the representative server will be described with reference to FIG. When the
代表サーバ３０は、暗号化通信情報の候補、メッセージ認証情報の候補およびアプリケーション情報をクライアント通信情報設定要求として、サービス提供サーバに送信する（Ｓ９０６）。代表サーバ３０は、サービス提供サーバ４０−１の応答を待ったあと（Ｓ９０７）、サービス提供サーバ４０−１から、正常な通信が行われたことを示すクライアント通信情報設定応答が戻ってきたとき、サービス接続テーブルにエントリを追加し、サーバ選択テーブルを更新する。また、代表サーバ３０は、サービス提供サーバ４０−１によって選択された暗号化通信情報とメッセージ認証情報を含む200 OKメッセージをＳＩＰサーバ２０に送信して（Ｓ９０８）再びメッセージ受信待ちとなる（Ｓ９０３）。
The
サービス接続確認であるＳＩＰサーバ２０からのACKメッセージを受信すると、代表サーバ３０は、再々度メッセージ待ち（Ｓ９０３）となる。この状態で、サービス切断要求であるBYEメッセージをＳＩＰサーバ２０から受信すると、BYEメッセージを解析、サーバ選択テーブルを参照し、暗号通信情報とメッセージ認証情報の消去を行うサービス提供サーバ４０−１を特定（Ｓ９１１）し、このサービス提供サーバ４０−１にクライアント通信情報削除要求を送信し（９７１２）、サービス提供サーバ４０−１の応答待ちとなる（Ｓ９１３）。サービス提供サーバ４０−１から、正常な通信が行われたことを示すクライアント通信情報削除応答が戻ってきたとき、サービス接続テーブルのエントリを削除し、サーバ選択テーブルを更新する。また、暗号通信情報、メッセージ認証情報の消去、およびサービスの切断をクライアントに通知する200 OKメッセージをＳＩＰサーバ２０に送信して（Ｓ９１４）、メッセージ受信待ち（Ｓ９０３）となる。
なお、ステップ９０２、ステップ９０７またはステップ９１３でエラーを受信したとき、またはタイムアウトしたときには、ステップ９２１、ステップ９２２またはステップ９２３のエラー処理に遷移する。
When receiving the ACK message from the
When an error is received in step 902, step 907, or step 913, or when a time-out occurs, the process proceeds to error processing in
図２７において、サービス提供サーバ４０が起動すると、サービス提供サーバ４０は、まず代表サーバ３０からの要求（リクエスト）受信待ちとなる（Ｓ５０１）。サービス提供サーバ４０が、クライアント通信情報設定要求を受信すると、それを解析し、代表サーバ３０から通知された暗号化通信情報選択肢、メッセージ認証情報選択肢およびアプリケーション情報を取得する（Ｓ５０２）。サービス提供サーバ４０は、クライアントとの通信に利用する暗号化通信情報とメッセージ認証情報を選択し（Ｓ５０３）、クライアント通信情報設定テーブルに、暗号化通信情報とメッセージ認証情報およびアプリケーション情報をセットし、代表サーバ３０にクライアント通信情報設定応答を送信する（Ｓ５０４）。このあとサービス提供サーバ４０は、暗号化通信情報、メッセージ認証情報およびアプリケーション情報に従って、直接クライアントとのサービスデータの送受信を開始する（Ｓ５０５）。この開始を契機にサービス提供サーバ４０は、サービスデータの送受信中も、代表サーバ３０からの要求受信待ちに遷移する（Ｓ５０１）。
In FIG. 27, when the
サービス提供サーバ４０が、クライアント通信情報削除要求を受信したとき、その要求を解析し、当該クライアントとのサービスデータの送受信を停止する（Ｓ５０７）。サービス提供サーバ４０は、当該クライアントとの通信に使用していた、暗号化通信情報、メッセージ認証情報およびアプリケーション情報をクライアント通信情報設定テーブルから消去し、代表サーバ３０にクライアント通信情報削除応答を送信し（Ｓ５０８）、再度代表サーバ３０からの要求受信待ちに遷移する（Ｓ５０１）。
When the
図２８に示す代表サーバからサービス提供サーバへのクライアント通信情報設定要求パケットは、図５のＴ５１０相当箇所で送出されるパケットである。クライアント通信情報設定要求パケット２１０は、ＩＰヘッダ２１１と、ＵＤＰ／ＴＣＰヘッダ２１２と、クライアント通信情報設定要求メッセージヘッダ２１３と、クライアント通信情報設定要求メッセージボディ２１４とからなる。実施例２では、クライアントが提示した選択肢からの選択は、サービス提供サーバ４０−１が行う。したがって、クライアント通信情報設定要求メッセージボディ２１４は、図１３で説明したサービス接続要求メッセージボディと同一である。
The client communication information setting request packet from the representative server to the service providing server shown in FIG. 28 is a packet transmitted at a location corresponding to T510 in FIG. The client communication information setting
図２９に示すサービス提供サーバから代表サーバへのクライアント通信情報設定応答パケットは、図５のＴ５１１相当箇所で送出されるパケットである。クライアント通信情報設定応答パケット２２０は、ＩＰヘッダ２２１と、ＵＤＰ／ＴＣＰヘッダ２２２と、クライアント通信情報設定応答メッセージヘッダ２２３と、クライアント通信情報設定応答メッセージボディ２２４とからなる。クライアント通信情報設定応答メッセージボディ２２４は、図１５で説明したサービス接続応答メッセージボディと同一である。
The client communication information setting response packet from the service providing server to the representative server shown in FIG. 29 is a packet transmitted at a location corresponding to T511 in FIG. The client communication information setting
本実施例によれば、認証は代表サーバのみに対して行われるため、サービス提供用サーバは電子証明書を持つ必要がない。クライアントは、メッセージに付与されたＨＭＡＣの値を確認することで、通信を行っているサービス提供サーバが正しい代表サーバの配下にあるサービス提供サーバであることを確認できる。また、暗号化通信を行うことで、サービスデータの秘匿性を保つことが出来る。 According to this embodiment, since authentication is performed only on the representative server, the service providing server does not need to have an electronic certificate. By confirming the value of the HMAC given to the message, the client can confirm that the service providing server performing communication is a service providing server under the correct representative server. Moreover, the confidentiality of service data can be maintained by performing encrypted communication.
ＳＩＰサーバは、個々のサービス提供サーバを認証する必要がなく、また、個々のサービス提供サーバとの間で通信セッションを保持する必要もないため、ＳＩＰサーバの負荷を軽減することができる。
また、データ通信は、クライアントとサービス提供サーバとの間で直接行われるため、代表サーバが処理のボトルネックにならない。
Since the SIP server does not need to authenticate each service providing server and does not need to maintain a communication session with each service providing server, the load on the SIP server can be reduced.
Further, since the data communication is directly performed between the client and the service providing server, the representative server does not become a processing bottleneck.
１０…クライアント、１１…メモリ、１２…ＣＰＵ、１３…外部記憶装置、１４…ネットワークインターフェース、１５…バス、２０…ＳＩＰサーバ、３０…代表サーバ、３１…メモリ、３２…ＣＰＵ、３３…外部記憶装置、３４…ネットワークインターフェース、３５…バス、４０…サービス提供サーバ、４１…メモリ、４２…ＣＰＵ、４３…外部記憶装置、４４…ネットワークインターフェース、４５…バス、５０…サーバ選択テーブル、６０…通信設定テーブル、７０…サービス接続テーブル、８０…サービス接続要求パケット、９０…サービス接続応答パケット、１００…サービスネットワーク、１１０…クライアント通信情報設定要求パケット、１２０…クライアント通信情報設定応答パケット、１３０…サービス切断要求パケット、１４０…１３０…サービス切断応答パケット、１５０…クライアント通信情報削除要求パケット、１６０…クライアント通信情報削除応答パケット、１７０…データ送信パケット、１８０…暗号化データ送信パケット、２１０…クライアント通信情報設定要求パケット、２２０…クライアント通信情報設定応答パケット。
DESCRIPTION OF
Claims (9)
暗号化鍵を送受信する通信相手装置との間で認証を行い、
前記通信相手装置から第１のアドレスと第１の暗号化情報とを受信し、
前記複数のサービス提供サーバから１のサービス提供サーバを選択し、
前記第１の暗号化情報の中から、前記選択したサービス提供サーバが利用可能な第２の暗号化情報を選択し、
前記選択したサービス提供サーバに前記第１のアドレスと前記第２の暗号化情報とを送信し、
前記選択したサービス提供サーバから受信した第２のアドレスと、前記第２の暗号化情報の中から選択された第３の暗号化情報とを前記通信相手装置に向けて送信することを特徴とするサーバ装置。 A server device that exchanges encrypted information on behalf of a plurality of service providing servers that provide information services,
Authenticate with the communication partner device that sends and receives the encryption key,
Receiving a first address and first encrypted information from the communication partner device;
Selecting one service providing server from the plurality of service providing servers;
From the first encrypted information, select second encrypted information that can be used by the selected service providing server,
Transmitting the first address and the second encrypted information to the selected service providing server;
The second address received from the selected service providing server and the third encrypted information selected from the second encrypted information are transmitted to the communication partner apparatus. Server device.
前記暗号化情報は、暗号化アルゴリズムとメッセージ認証アルゴリズムとであることを特徴とするサーバ装置。 The server device according to claim 1,
The server apparatus, wherein the encryption information is an encryption algorithm and a message authentication algorithm.
応答時間の最も小さいサービス提供サーバを選択することを特徴とするサーバ装置。 The server device according to claim 2,
A server device that selects a service providing server having the shortest response time.
暗号化鍵を送受信する通信相手装置との間で認証を行うステップと、
前記通信相手装置から第１のアドレスと第１の暗号化情報とを受信するステップと、
前記複数のサービス提供サーバから１のサービス提供サーバを選択するステップと、
前記第１の暗号化情報の中から、前記選択したサービス提供サーバの利用可能な第２の暗号化情報を選択するステップと、
前記選択したサービス提供サーバに前記第１のアドレスと前記第２の暗号化情報とを送信するステップと、
前記選択したサービス提供サーバから受信した第２のアドレスと、前記第２の暗号化情報の中から選択された第３の暗号化情報とを前記通信相手装置に向けて送信するステップと、からなることを特徴とする通信方法。 A communication method in a server device that exchanges encrypted information on behalf of a plurality of service providing servers that provide information services,
Authenticating with a communication partner device that transmits and receives an encryption key;
Receiving a first address and first encrypted information from the communication partner device;
Selecting one service providing server from the plurality of service providing servers;
Selecting usable second encryption information of the selected service providing server from the first encryption information;
Transmitting the first address and the second encrypted information to the selected service providing server;
Transmitting the second address received from the selected service providing server and the third encrypted information selected from the second encrypted information to the communication partner device. A communication method characterized by the above.
前記暗号化情報は、暗号化アルゴリズムとメッセージ認証アルゴリズムとであることを特徴とする通信方法。 The communication method according to claim 4,
The communication method, wherein the encryption information is an encryption algorithm and a message authentication algorithm.
応答時間の最も小さいサービス提供サーバを選択することを特徴とする通信方法。 The communication method according to claim 5, wherein
A communication method characterized by selecting a service providing server having the shortest response time.
暗号化鍵を送受信する通信相手装置との間で認証を行う機能と、
前記通信相手装置から第１のアドレスと第１の暗号化情報との受信を制御する機能と、
前記複数のサービス提供サーバから１のサービス提供サーバを選択する機能と、
前記第１の暗号化情報の中から、前記選択したサービス提供サーバの利用可能な第２の暗号化情報を選択する機能と、
前記選択したサービス提供サーバへの前記第１のアドレスと前記第２の暗号化情報との送信を制御する機能と、
前記選択したサービス提供サーバから受信した第２のアドレスと、前記第２の暗号化情報の中から選択された第３の暗号化情報とについて、前記通信相手装置に向けての送信を制御する機能と、を前記サーバ装置に実行させることを特徴とするプログラム。 A program executed on a server device that exchanges encrypted information on behalf of a plurality of service providing servers that provide information services,
A function of performing authentication with a communication partner device that transmits and receives an encryption key;
A function of controlling reception of the first address and the first encrypted information from the communication partner device;
A function of selecting one service providing server from the plurality of service providing servers;
A function of selecting, from the first encrypted information, second encrypted information that can be used by the selected service providing server;
A function of controlling transmission of the first address and the second encrypted information to the selected service providing server;
A function of controlling transmission of the second address received from the selected service providing server and the third encrypted information selected from the second encrypted information to the communication partner apparatus. And causing the server device to execute the program.
前記暗号化情報は、暗号化アルゴリズムと、メッセージ認証アルゴリズムとであることを特徴とするプログラム。 The program according to claim 7,
The encryption information is an encryption algorithm and a message authentication algorithm.
前記サーバ装置に応答時間の最も小さいサービス提供サーバを選択させることを特徴とするプログラム。 The program according to claim 8, wherein
A program for causing the server device to select a service providing server having the shortest response time.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010106829A JP5022474B2 (en) | 2010-05-07 | 2010-05-07 | Server apparatus, communication method and program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2010106829A JP5022474B2 (en) | 2010-05-07 | 2010-05-07 | Server apparatus, communication method and program |
Related Parent Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2005138082A Division JP4690767B2 (en) | 2005-05-11 | 2005-05-11 | Network system, server device, and communication method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2010244556A true JP2010244556A (en) | 2010-10-28 |
| JP5022474B2 JP5022474B2 (en) | 2012-09-12 |
Family
ID=43097430
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2010106829A Expired - Fee Related JP5022474B2 (en) | 2010-05-07 | 2010-05-07 | Server apparatus, communication method and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5022474B2 (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2015079323A (en) * | 2013-10-16 | 2015-04-23 | 株式会社日立製作所 | Business management system |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003124926A (en) * | 2001-10-15 | 2003-04-25 | Hitachi Ltd | Authentication processing method for encryption communication system and its system |
| WO2004015932A1 (en) * | 2002-08-08 | 2004-02-19 | Sharp Kabushiki Kaisha | Communication relay device |
| JP2004529584A (en) * | 2001-05-29 | 2004-09-24 | インターディジタル テクノロジー コーポレイション | System and method for reducing information communicated between multimedia enabled units of a universal mobile telecommunications system |
-
2010
- 2010-05-07 JP JP2010106829A patent/JP5022474B2/en not_active Expired - Fee Related
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2004529584A (en) * | 2001-05-29 | 2004-09-24 | インターディジタル テクノロジー コーポレイション | System and method for reducing information communicated between multimedia enabled units of a universal mobile telecommunications system |
| JP2003124926A (en) * | 2001-10-15 | 2003-04-25 | Hitachi Ltd | Authentication processing method for encryption communication system and its system |
| WO2004015932A1 (en) * | 2002-08-08 | 2004-02-19 | Sharp Kabushiki Kaisha | Communication relay device |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2015079323A (en) * | 2013-10-16 | 2015-04-23 | 株式会社日立製作所 | Business management system |
Also Published As
| Publication number | Publication date |
|---|---|
| JP5022474B2 (en) | 2012-09-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4690767B2 (en) | Network system, server device, and communication method | |
| US20070078986A1 (en) | Techniques for reducing session set-up for real-time communications over a network | |
| US8756326B1 (en) | Using interactive communication session cookies in web sessions | |
| JP5143125B2 (en) | Authentication method, system and apparatus for inter-domain information communication | |
| KR100924692B1 (en) | Data transmission system, apparatus and method for processing information, apparatus and method for relaying data, and storage medium | |
| US20080256224A1 (en) | Data communication system and session management server | |
| US20070106670A1 (en) | Interactive communication session cookies | |
| US20080195753A1 (en) | Relay apparatus, recording medium containing relay program, and communication system | |
| JP4764368B2 (en) | Apparatus for establishing communication and relaying message, method and program for establishing communication | |
| EP2548333A2 (en) | Pluggable token provider model to implement authentication across multiple web services | |
| JP2005284753A (en) | Information service communication network system and session management server | |
| US8139566B2 (en) | System and method for establishing a communication session between two endpoints that do not both support secure media | |
| US20090016339A1 (en) | Apparatus, method, and computer program product for relaying messages | |
| CN1937624A (en) | Method and apparatus for verifying encryption of sip signalling | |
| US20130035079A1 (en) | Method and system for establishing data commuication channels | |
| US20090300197A1 (en) | Internet Protocol Communication System, Server Unit, Terminal Device, and Authentication Method | |
| JP4830503B2 (en) | Communication session establishment mediating system and method protecting personal information | |
| WO2010119626A1 (en) | Nontemporary computer-readable medium wherein id authentication system, and method and program thereof are stored | |
| US20070258111A1 (en) | Sip adapter and sip communication system | |
| US7684385B2 (en) | Inter-enterprise telephony using a central brokerage device | |
| EP2071806B1 (en) | Receiving/transmitting agent method of session initiation protocol message and corresponding processor | |
| US20150127842A1 (en) | Method for Extending Application Interface for Future Applications | |
| JP5022474B2 (en) | Server apparatus, communication method and program | |
| US9197674B1 (en) | Inter-domain user and service mobility in SIP/SIMPLE systems | |
| JP5028995B2 (en) | Service providing apparatus, authentication method, and authentication program |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20111220 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20120215 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20120612 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20120615 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150622 Year of fee payment: 3 |
|
| LAPS | Cancellation because of no payment of annual fees |