JP2011166468A

JP2011166468A - 認証システム、認証方法、アドレス生成装置、内部端末およびゲートウェイ装置

Info

Publication number: JP2011166468A
Application number: JP2010027288A
Authority: JP
Inventors: Shingo Okada; 真悟岡田; Arifumi Matsumoto; 存史松本
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2010-02-10
Filing date: 2010-02-10
Publication date: 2011-08-25
Anticipated expiration: 2030-02-10
Also published as: JP5171855B2

Abstract

【課題】ＩＰパケットの成り済ましを防止する認証方法を提供する。
【解決手段】アドレス生成装置が、外部端末のIPv6アドレスと、内部端末識別情報と、有効期限情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、生成した文字列の一部と、内部端末識別情報と、有効期限情報とを結合して、外部端末毎に個別に生成するInterfaceIDとして設定し、外部端末毎に個別に生成したInterfaceIDと、特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、生成した宛先アドレスを、外部端末へ通知し、ゲートウェイ装置が、受信したパケットの送信元アドレスと、受信したパケットの宛先アドレスのInterfaceIDから抽出した内部端末識別情報および期限情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、外部端末が正規の通信相手か判断する。
【選択図】図２

Description

本発明は、認証システム、認証方法、アドレス生成装置、内部端末およびゲートウェイ装置に係わり、特に、例えば、ホームネットワーク等の特定のネットワーク内の内部端末にネットワーク外の外部端末からリモートアクセスさせるための制御技術に関する。

特定のネットワーク内の内部端末（例えば、ホームネットワーク内の端末）へ、そのネットワーク外の外部端末（例えば、インターネット上の端末）がアクセスするリモートアクセス技術が注目されている。
このリモートアクセス技術を使用することにより、外出先などから自宅や会社へと接続し、自宅にあるデータを参照したり、ＰＣを遠隔操作することが可能となる。
しかしながら、リモートアクセス技術により、社内システムなどを利用する場合は、データの盗難、流出を防止するためにセキュリティ技術が重要となる。
ＩＰパケットに記述されている宛先アドレス及び送信元アドレスを利用した認証システムとしては、宛先アドレスと送信元アドレスのInterfaceID（IPv6アドレスの下位６４bit）で認証するものや、外部端末に指定したIPアドレスを利用させ認証する方式などが知られている。

ＷＯ０５／０１１１９２号公報

特開２００４−２８９７８２号公報

前述したように、IPv6パケットに記述されている宛先アドレス及び送信元アドレスを利用した認証システムとして、宛先アドレスと送信元アドレスのInterfaceID（IPv6アドレスの下位６４bit）で認証するものや、外部端末に指定したIPアドレスを利用させ認証する方式などがある。
しかし、前者では、InterfaceIDを偽装されると、全てのPrefix（IPv6アドレスの上位６４bit；ネットワークアドレス）からのパケットも認証してしまうため盗聴及び為り済ましに弱い。
また、後者では、外部端末に指定したアドレスを利用させる特別な機能が必要となるため通信相手次第では利用できない。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、認証情報に外部端末の情報を含め、また認証情報を埋め込んだIPv6アドレスを外部端末毎に生成することにより、ＩＰパケットを盗聴されても成り済ましが困難な認証システム、および、認証方法を提供することにある。
また、本発明の他の目的は、前記の認証システムに使用されるアドレス生成装置、内部端末およびゲートウェイ装置を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置を有し、前記アドレス生成装置が、前記外部端末のIPv6アドレスの一部を、前記外部端末毎に個別に生成するIPv6アドレスのInterfaceIDとして設定し、前記生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末と前記内部端末へ通知し、前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、前記内部端末が、前記アドレス生成装置から通知されたIPv6アドレスを自身のネットワークインターフェイスに付与するとともに、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した外部端末のIPv6アドレスの一部と、前記外部端末から受信したパケットの送信元アドレスの一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄する。
（２）（１）において、前記アドレス生成装置が、前記外部端末のIPv6アドレスの一部と有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、
前記内部端末が、前記外部端末が正規の通信相手か否かを判断する際に、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄する。

（３）特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置を有し、前記アドレス生成装置が、前記外部端末のIPv6アドレスと、自身が保有する共有鍵から一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部を、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末と前記内部端末へ通知し、前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、前記内部端末が、前記アドレス生成装置から通知されたIPv6アドレスを自身のネットワークインターフェイスに付与するとともに、前記外部端末から受信したパケットの送信元アドレスと、自身が保有する共有鍵から一方向関数を利用し特定の文字列を生成し、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄する。

（４）特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置を有し、前記アドレス生成装置が、前記外部端末のIPv6アドレスと、自身が保有する共有鍵と、有効期限情報とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と前記有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末と前記内部端末へ通知し、前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、前記内部端末が、前記アドレス生成装置から通知されたIPv6アドレスを自身のネットワークインターフェイスに付与するとともに、前記外部端末から受信したパケットの送信元アドレスと、自身が保有する共有鍵と、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した有効期限情報とから一方向関数を利用し特定の文字列を生成し、かつ、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄するとともに、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄する。

（５）特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置と、前記特定のネットワークの出入り口に配置されるゲートウェイ装置とを有し、前記アドレス生成装置が、前記外部端末のIPv6アドレスの一部と、内部端末を識別する内部端末識別情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末へ通知し、前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、前記ゲートウェイ装置が、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記外部端末のIPv6アドレスの一部と、前記外部端末から受信したパケットの送信元アドレスの一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄し、また、前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送する。
（６）（５）において、前記アドレス生成装置が、前記外部端末のIPv6アドレスの一部と、内部端末を識別する内部端末識別情報と、有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記ゲートウェイ装置が、前記外部端末が正規の通信相手か否かを判断する際に、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄する。

（７）特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置と、前記特定のネットワークの出入り口に配置されるゲートウェイ装置とを有し、前記アドレス生成装置が、前記外部端末のIPv6アドレスと、内部端末を識別する内部端末識別情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と、前記内部端末識別情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末へ通知し、前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、前記ゲートウェイ装置が、前記外部端末から受信したパケットの送信元アドレスと、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した内部端末識別情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成するとともに、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄し、また、前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送する。

（８）特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置と、前記特定のネットワークの出入り口に配置されるゲートウェイ装置とを有し、前記アドレス生成装置が、前記外部端末のIPv6アドレスと、内部端末を識別する内部端末識別情報と、有効期限情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と、前記内部端末識別情報と、前記有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末へ通知し、前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、前記ゲートウェイ装置が、前記外部端末から受信したパケットの送信元アドレスと、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した内部端末識別情報および期限情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、かつ、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄するとともに、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証して、有効期限が超えていた場合に受信したパケットを廃棄し、また、前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送する。
（９）また、本発明は、前述の認証方法を実行する認証システムである。
（１０）また、本発明は、前述の認証システムに使用されるアドレス生成装置、内部端末およびゲートウェイ装置である。

本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明によれば、認証情報に外部端末の情報を含め、また認証情報を埋め込んだＩＰｖ６アドレスを外部端末毎に生成することにより、ＩＰパケットを盗聴された場合でも、成り済ましが困難となり、セキュアなリモートアクセスを実現することが可能となる。

本発明の実施例１の認証システムのネットワーク構成を示す図である。本発明の実施例１の認証方法を説明するためのシーケンス図である。図１に示すアドレス生成装置の処理手順を説明するための図である。図１に示すゲートウェイ装置の処理手順を説明するための図である。図１に示すゲートウェイ装置の内部端末のアドレス生成方法を説明するための図である。

以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。また、以下の実施例は、本発明の特許請求の範囲の解釈を限定するためのものではない。
［実施例１］
図１は、本発明の実施例１の認証システムのネットワーク構成を示す図である。図１において、１０はアドレス生成装置、２０は外部端末、３０はゲートウェイ装置（以下、ＧＷ装置という）、４０は内部端末、５０はホームネットワーク、６０はインターネットである。
図１に示すように、本実施例の認証システムでは、特定のネットワーク（図１では、ホームネットワーク５０）内の内部端末４０に対して、ホームネットワーク外の外部端末２０（図１では、インターネット６０上の端末）がアクセスする際に、アドレス生成装置１０で生成されたアドレスを使用する。
アドレス生成装置１０は、内部端末４０、あるいは、外部端末２０からの要求に応じて、外部端末２０毎に、外部端末２０のアドレスを基に生成したIPv6アドレスを内部端末４０の宛先アドレスとし通知し、外部端末２０に宛先アドレスとして利用させる。なお、図１では、アドレス生成装置１０は、インターネット６０上に配置されているが、アドレス生成装置１０は、ホームネットワーク５０上に配置されていてもよい。

図２は、本実施例１の認証方法を説明するためのシーケンス図である。以下、本実施例の認証方法について説明する。
（１）アドレス生成装置１０は、外部端末２０のＩＰアドレス（図２では、2001:db8:2::1/128）と有効期限情報、内部端末識別情報および共有鍵からＩＰアドレス（図２では、2001:db8:1::1:2:3/100）を生成する。
（２）アドレス生成装置１０は、（１）で生成したＩＰアドレスを外部端末２０に内部端末４０のアドレスとして通知する。
（３）外部端末２０は、（２）で通知されたＩＰアドレスを内部端末４０のＩＰアドレスとして扱い、パケットの宛先アドレスとして設定しパケットを生成する。
（４）外部端末２０は（３）で生成したパケットを送信する。
（５）ＧＷ装置３０は、外部端末２０から送られてきたパケットの宛先アドレスおよび送信元アドレスから正規の通信相手かどうかを判断する。判断の結果、不正規の通信相手の場合はパケットを破棄する。
（６）ＧＷ装置３０は、（５）でパケットが正規の通信相手と判断した場合に、パケットの宛先アドレスから内部端末識別情報を取得し内部端末のアドレス（図２では、2001:db8:1::100/128）を生成し、パケットの宛先アドレスを生成したアドレスへＮＡＴ処理を行う。
（７）ＧＷ装置３０は（６）でＮＡＴ処理を行ったパケットを内部端末４０に送信する。
なお、図２では、ＧＷ装置３０内のネットワークは、2001:db8:1::/64というPrefixを使用している。また、外部端末２０のアドレスはアドレス生成装置１０が既に取得しているものとする。

図３は、図１に示すアドレス生成装置１０の処理手順を説明するための図である。
アドレス生成装置１０は、内部端末識別情報８bit（１００）、有効期限情１６bit（１１０）、外部端末２０のIPv6アドレス１２８bit（１２０）、及び共有鍵２５６bit（１３０）を一つのビット列に結合し結合文字列４０８bit（１４０）を作成する。
作成した結合文字列４０８bit（１４０）を、ＳＨＡ２５６アルゴリズム（１５０）を用い、文字列２５６bit（１６０）を生成する。
生成された文字列２５６bit（１６０）の一部、例えば、先頭から４０bit分の文字列を抽出し、そこに内部端末識別情報８bit（１００）と有効期限情報１６bit（１１０）を結合し６４bitのInterfaceIDを生成する。
アドレス生成装置１０は、生成したInterfaceIDにＧＷ装置３０内のネットワークのPrefixである2001:db8:1::/64を結合し、2001:db8:1::1:2:3:100/128というIPv6アドレスを生成し、外部端末２０へ何らかの方法（メール、電話、他）で通知する。
外部端末２０は、通知されたIPv6アドレスを宛先アドレスとして通信を開始する。なお、このＩＰアドレスが付与された内部端末は存在しないが、送信されたパケットの宛先アドレスはＧＷ装置３０内のネットワークのPrefixとなっているため、ＧＷ装置３０まで到達する。

図４は、図１に示ＧＷ装置３０の処理手順を説明するための図である。
パケット３００を受信したＧＷ装置３０は、パケットの宛先アドレス、送信元アドレス及びＧＷ装置３０が所持する共有鍵１３０を基に検証処理２００を行う。
検証処理２００は、受信したパケット３００の宛先アドレスのInterfaceIDから内部端末識別情報８bit（１００）、有効期限情報１６bit（１１０）を取り出し、受信したパケット３００の送信元アドレス（外部端末２０のIPv6アドレス１２８bit（１２０））とＧＷ装置３０が所持する共有鍵１３０とともにＳＨＡ２５６アルゴリズムを用い２５６bitの文字列を得る。
出力された文字列の上位４０bitと、受信したパケット３００の宛先アドレスのInterfaceIDの上位４０bitとを比較処理し、一致した場合には、正規の通信相手と認める。検証処理２００の結果、正規の通信相手と認めた場合には、内部端末４０へパケットの転送処理を行う。正規の通信相手と認められない場合、および、受信したパケット３００の宛先アドレスのInterfaceIDから抽出した有効期限情報１１０を検証し、正規の通信相手でも有効期間内でない場合には、パケットを破棄（２１０）する。
内部端末４０に実際に付与されているIPv6アドレスと、パケットに記述されている宛先アドレスは異なるため、ＧＷ装置３０は、内部端末識別情報８bit（１００）、特定文字列５６bit（３１０）、およびPrefix６４bit（３２０）に基づき、内部端末４０のＩＰアドレスを生成し、パケットの宛先アドレスのＮＡＴ処理（２３０）を行い、パケットを内部端末４０に転送する。

図５は、図１に示ＧＷ装置３０の内部端末４０のアドレス生成方法を説明するための図である。
内部端末４０のＩＰアドレスのInterfaceIDは、５６bitの特定の文字列と８bitの内部端末識別情報を結合したものが付与されているとする。
ＧＷ装置３０は、受信したパケット３００から抽出した内部端末識別情報８bit（１００）とＧＷ装置３０が所持する５６bitの特定の文字列３１０を結合することにより、内部端末４０のＩＰアドレスのInterfaceIDを作成し、それをＧＷ装置３０内のネットワークの６４bitのPrefix３２０と結合し、内部端末４０のＩＰアドレスを生成する。
以上説明したように、本実施例では、アドレス生成装置１０で、通信相手毎のアドレスを生成し宛先アドレスとして利用させるだけでＧＷ装置３０内のネットワーク内へのアクセスを制御できる。また、検証に必要な情報は、共有鍵以外はパケットから抽出できるため、ＧＷ装置３０で持つ情報は共有鍵のみとなる。

以下、アドレス生成装置１０でのアドレス生成方法の他の例について説明する。
［変形例１］
アドレス生成装置１０は、内部端末識別情報８bit（１００）、外部端末２０のIPv6アドレス１２８bit（１２０）、及び所定ビット数の共有鍵１３０を一つのビット列に結合し、所定ビット数の結合文字列１４０を作成する。
作成した所定ビット数の結合文字列１４０を、ＳＨＡ２５６アルゴリズム（１５０）を用い、文字列２５６bit（１６０）を生成する。
生成された文字列２５６bit（１６０）の一部、例えば、先頭から５６bit分の文字列を抽出し、そこに内部端末識別情報８bit（１００）とを結合し６４bitのInterfaceIDを生成する。
アドレス生成装置１０は、生成したInterfaceIDにＧＷ装置３０内のネットワークのPrefixである2001:db8:1::/64を結合して、IPv6アドレスを生成し、外部端末２０へ何らかの方法（メール、電話、他）で通知する。
ＧＷ装置３０は、受信したパケット３００の宛先アドレスのInterfaceIDから内部端末識別情報８bit（１００）を取り出し、受信したパケット３００の送信元アドレス（外部端末２０のIPv6アドレス１２８bit（１２０））と、ＧＷ装置３０が所持する共有鍵１３０とともにＳＨＡ２５６アルゴリズムを用い２５６bitの文字列を得る。
出力された文字列の上位５６bitと、受信したパケット３００の宛先アドレスのInterfaceIDの上位５６bitとを比較処理し、一致した場合には、正規の通信相手と認める。検証処理２００の結果、正規の通信相手と認めた場合には、内部端末４０へパケットの転送処理を行う。正規の通信相手と認められない場合には、パケットを破棄する。

［変形例２］
アドレス生成装置１０は、外部端末２０のIPv6アドレス１２８bit（１２０）の一部、例えば、先頭から４０bit分の文字列を抽出し、内部端末識別情報８bit（１００）と、有効期限情報１６bit（１１０）を結合し６４bitのInterfaceIDを生成する。
アドレス生成装置１０は、生成したInterfaceIDにＧＷ装置３０内のネットワークのPrefixである2001:db8:1::/64を結合して、IPv6アドレスを生成し、外部端末２０へ何らかの方法（メール、電話、他）で通知する。
ＧＷ装置３０は、受信したパケット３００の宛先アドレスのInterfaceIDの上位４０bitと、受信したパケット３００の送信元アドレス（外部端末２０のIPv6アドレス１２８bit（１２０））のInterfaceIDの上位４０bitとを比較処理し、一致した場合には、正規の通信相手と認める。検証処理２００の結果、正規の通信相手と認めた場合には、内部端末４０へパケットの転送処理を行う。正規の通信相手と認められない場合、および、受信したパケット３００の宛先アドレスのInterfaceIDから抽出した有効期限情報１１０を検証し、正規の通信相手でも有効期間内でない場合には、パケットを破棄する。
［変形例３］
アドレス生成装置１０は、外部端末２０のIPv6アドレス１２８bit（１２０）の一部、例えば、先頭から５６bit分の文字列を抽出し、内部端末識別情報８bit（１００）を結合し６４bitのInterfaceIDを生成する。
アドレス生成装置１０は、生成したInterfaceIDにＧＷ装置３０内のネットワークのPrefixである2001:db8:1::/64を結合して、IPv6アドレスを生成し、外部端末２０へ何らかの方法（メール、電話、他）で通知する。
ＧＷ装置３０は、受信したパケット３００の宛先アドレスのInterfaceIDの上位５６bitと、受信したパケット３００の送信元アドレス（外部端末２０のIPv6アドレス１２８bit（１２０））のInterfaceIDの上位５６bitとを比較処理し、一致した場合には、正規の通信相手と認める。検証処理２００の結果、正規の通信相手と認めた場合には、内部端末４０へパケットの転送処理を行う。正規の通信相手と認められない場合には、パケットを破棄する。

前述の説明では、ＧＷ装置３０が、パケットの認証を行うフィルタリング機能を持つ場合について説明したが、このパケットの認証を行うフィルタリング機能は、内部端末４０に持たせることも可能である。
内部端末４０に、パケットの認証を行うフィルタリング機能を持たせた場合、前述の内部端末識別情報８bit（１００）が不要となる。また、内部端末４０は、アドレス生成装置１０から通知された宛先アドレスを自身のネットワークインターフェイスに付与する機能を有し、さらに、内部端末４０は、アドレス生成装置１０から通知された宛先アドレスを、内部端末４０のアドレスとしてＧＷ装置３０に通知しているものとする。
以下、内部端末４０が、パケットのフィルタリングを行う場合の例について説明する。
［変形例４］
アドレス生成装置１０は、有効期限情報１６bit（１１０）、外部端末２０のIPv6アドレス１２８bit（１２０）、及び、所定ビット数の共有鍵１３０を一つのビット列に結合し、所定ビット数の結合文字列１４０を作成する。作成した所定ビット数の結合文字列１４０を、ＳＨＡ２５６アルゴリズム（１５０）を用い、文字列２５６bit（１６０）を生成する。
生成された文字列２５６bit（１６０）の一部、例えば、先頭から４８bit分の文字列を抽出し、そこに有効期限情報１６bit（１１０）を結合し６４bitのInterfaceIDを生成する。
アドレス生成装置１０は、生成したInterfaceIDにＧＷ装置３０内のネットワークのPrefixである2001:db8:1::/64を結合して、IPv6アドレスを生成し、外部端末２０と内部端末４０へ何らかの方法（メール、電話、他）で通知する。
外部端末２０は、通知されたIPv6アドレスを宛先アドレスとして通信を開始する。外部端末２０からのパケットは、ＧＷ装置３０を通過して内部端末４０に到達する。
内部端末４０は、受信したパケット３００の宛先アドレスのInterfaceIDから有効期限情報１６bit（１１０）を取り出し、受信したパケット３００の送信元アドレス（外部端末２０のIPv6アドレス１２８bit（１２０））と、内部端末４０が所持する共有鍵１３０とともにＳＨＡ２５６アルゴリズムを用い２５６bitの文字列を得る。
出力された文字列の上位４８bitと、受信したパケット３００の宛先アドレスのInterfaceIDの上位４８bitとを比較処理し、一致した場合には、正規の通信相手と認める。正規の通信相手と認められない場合、および、受信したパケット３００の宛先アドレスのInterfaceIDから抽出した有効期限情報１１０を検証し、正規の通信相手でも有効期間内でない場合には、パケットを破棄する。

［変形例５］
アドレス生成装置１０は、外部端末２０のIPv6アドレス１２８bit（１２０）と、所定ビット数の共有鍵１３０を一つのビット列に結合し、所定ビット数の結合文字列１４０を作成する。作成した所定ビット数の結合文字列１４０を、ＳＨＡ２５６アルゴリズム（１５０）を用い、文字列２５６bit（１６０）を生成する。生成された文字列２５６bit（１６０）の一部、例えば、先頭から６４bit分の文字列を抽出し、６４bitのInterfaceIDを生成する。
アドレス生成装置１０は、生成したInterfaceIDにＧＷ装置３０内のネットワークのPrefixである2001:db8:1::/64を結合して、IPv6アドレスを生成し、外部端末２０と内部端末４０へ何らかの方法（メール、電話、他）で通知する。
内部端末４０は、受信したパケット３００の送信元アドレス（外部端末２０のIPv6アドレス１２８bit（１２０））と、内部端末４０が所持する共有鍵１３０とともにＳＨＡ２５６アルゴリズムを用い２５６bitの文字列を得る。出力された文字列の上位６４bitと、受信したパケット３００の宛先アドレスのInterfaceIDの上位６４bitとを比較処理し、一致した場合には、正規の通信相手と認める。正規の通信相手と認められない場合には、パケットを破棄する。

［変形例６］
アドレス生成装置１０は、外部端末２０のIPv6アドレス１２８bit（１２０）の一部、例えば、先頭から４８bit分の文字列を抽出し、有効期限情報１６bit（１１０）を結合し６４bitのInterfaceIDを生成する。
アドレス生成装置１０は、生成したInterfaceIDにＧＷ装置３０内のネットワークのPrefixである2001:db8:1::/64を結合して、IPv6アドレスを生成し、外部端末２０と内部端末４０へ何らかの方法（メール、電話、他）で通知する。
内部端末４０は、受信したパケット３００の宛先アドレスのInterfaceIDの上位４８bitと、受信したパケット３００の送信元アドレスのInterfaceIDの上位４８bitとを比較処理し、一致した場合には、正規の通信相手と認める。正規の通信相手と認められない場合、および、受信したパケット３００の宛先アドレスのInterfaceIDから抽出した有効期限情報１１０を検証し、正規の通信相手でも有効期間内でない場合には、パケットを破棄する。
［変形例７］
アドレス生成装置１０は、外部端末２０のIPv6アドレス１２８bit（１２０）の一部、例えば、先頭から６４bit分の文字列を抽出し、６４bitのInterfaceIDを生成する。
アドレス生成装置１０は、生成したInterfaceIDにＧＷ装置３０内のネットワークのPrefixである2001:db8:1::/64を結合して、IPv6アドレスを生成し、外部端末２０と内部端末４０へ何らかの方法（メール、電話、他）で通知する。
内部端末４０は、受信したパケット３００の宛先アドレスのInterfaceIDの上位６４bitと、受信したパケット３００の送信元アドレスのInterfaceIDの上位６４bitとを比較処理し、一致した場合には、正規の通信相手と認める。正規の通信相手と認められない場合には、パケットを破棄する。

[実施例２]
ＧＷ装置３０で検証処理が行われるまでは第１の実施例と同様である。
ＧＷ装置３０は、ＤＨＣＰｖ６機能を有しており、ＧＷ装置３０内のネットワークの端末はＤＨＣＰｖ６によりアドレスを割り当てられているとする。また、ＧＷ装置３０は、ホームネットワーク５０内の内部端末４０と内部端末識別情報８bit（１００）の対応リストを所持しているとする。ＧＷ装置３０は、検証処理の結果、正規の通信相手と認めた後に内部端末４０へパケットの転送処理を行う。正規の通信相手と認められない場合はパケットを破棄する。
ＧＷ装置３０は、パケットから内部端末識別情報を取得し、ＧＷ装置３０が所持するリストを参照し内部端末識別情報８bit（１００）に対応する内部端末４０に対しDHCP-RECONFIGUREを行い、内部端末４０にパケットの宛先アドレスを割り当てる。割当て後、パケットの転送を行う。
以上説明したように、本実施例によれば、IPv6アドレスに認証情報を埋め込み外部端末に宛先アドレスとして利用させることのみで着信側でアクセスが正規のものかを確認できる。
これにより、Ｐパケットを盗聴されても成り済ましが困難となり、セキュアなリモートアクセスを実現できる。また、外部端末は宛先アドレスとして通知されたアドレスを使うだけでよいため、基本的な通信機能を備えている外部端末であれば本方式を利用できる。
以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

１０アドレス生成装置
２０外部端末
３０ゲートウェイ装置
４０内部端末
５０ホームネットワーク
６０インターネット
１００内部端末識別情報
１１０有効期限情報
１２０外部端末アドレス
１３０共有鍵
１４０結合文字列
１５０ＳＨＡ２５６アルゴリズム
１６０文字列
１７０上位ビット
１８０ InterfaceID
３００受信パケット
３１０特定文字列
３２０ Prefix
３３０内部端末アドレス

Claims

特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムであって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置を有し、
前記アドレス生成装置は、前記外部端末のIPv6アドレスの一部を、前記外部端末毎に個別に生成するIPv6アドレスのInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合して、IPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末と前記内部端末へ通知し、
前記内部端末は、前記アドレス生成装置から通知された宛先アドレスを自身のネットワークインターフェイスに付与する機能１と、
前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した外部端末のIPv6アドレスの一部と、前記外部端末から受信したパケットの送信元アドレスの一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄する機能２とを有することを特徴とする認証システム。
前記アドレス生成装置は、前記外部端末のIPv6アドレスの一部と有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、
前記内部端末の機能２は、前記外部端末が正規の通信相手か否かを判断する際に、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄することを特徴とする請求項１に記載の認証システム。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムであって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置を有し、
前記アドレス生成装置は、前記外部端末のIPv6アドレスと、自身が保有する共有鍵から一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部を、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末と前記内部端末へ通知し、
前記内部端末は、前記アドレス生成装置から通知された宛先アドレスを自身のネットワークインターフェイスに付与する機能１と、
前記外部端末から受信したパケットの送信元アドレスと、自身が保有する共有鍵から一方向関数を利用し特定の文字列を生成し、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄する機能２とを有することを特徴とする認証システム。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムであって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置を有し、
前記アドレス生成装置は、前記外部端末のIPv6アドレスと、自身が保有する共有鍵と、有効期限情報とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と前記有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末と前記内部端末へ通知し、
前記内部端末は、前記アドレス生成装置から通知された宛先アドレスを自身のネットワークインターフェイスに付与する機能１と、
前記外部端末から受信したパケットの送信元アドレスと、自身が保有する共有鍵と、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した有効期限情報とから一方向関数を利用し特定の文字列を生成し、かつ、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄するとともに、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄する機能２とを有することを特徴とする認証システム。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムであって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置と、
前記特定のネットワークの出入り口に配置されるゲートウェイ装置とを有し、
前記アドレス生成装置は、前記外部端末のIPv6アドレスの一部と、内部端末を識別する内部端末識別情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末へ通知し、
前記ゲートウェイ装置は、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記外部端末のIPv6アドレスの一部と、前記外部端末から受信したパケットの送信元アドレスの一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄する機能１と、
前記機能１で前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送する機能２とを有することを特徴とする認証システム。
前記アドレス生成装置は、前記外部端末のIPv6アドレスの一部と、内部端末を識別する内部端末識別情報と、有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、
前記ゲートウェイ装置の機能１は、前記外部端末が正規の通信相手か否かを判断する際に、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄することを特徴とする請求項５に記載の認証システム。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムであって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置と、
前記特定のネットワークの出入り口に配置されるゲートウェイ装置とを有し、
前記アドレス生成装置は、前記外部端末のIPv6アドレスと、内部端末を識別する内部端末識別情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と、前記内部端末識別情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末へ通知し、
前記ゲートウェイ装置は、前記外部端末から受信したパケットの送信元アドレスと、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した内部端末識別情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成するとともに、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄する機能１と、
前記機能１で前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送する機能２とを有することを特徴とする認証システム。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムであって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置と、
前記特定のネットワークの出入り口に配置されるゲートウェイ装置とを有し、
前記アドレス生成装置は、前記外部端末のIPv6アドレスと、内部端末を識別する内部端末識別情報と、有効期限情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と、前記内部端末識別情報と、前記有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末へ通知し、
前記ゲートウェイ装置は、前記外部端末から受信したパケットの送信元アドレスと、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した内部端末識別情報および前記期限情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、かつ、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄するとともに、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証して、有効期限が超えていた場合に受信したパケットを廃棄する機能１と、
前記機能１で前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送する機能２とを有することを特徴とする認証システム。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置を有し、
前記アドレス生成装置が、前記外部端末のIPv6アドレスの一部を、前記外部端末毎に個別に生成するIPv6アドレスのInterfaceIDとして設定し、前記生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末と前記内部端末へ通知し、
前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、
前記内部端末が、前記アドレス生成装置から通知されたIPv6アドレスを自身のネットワークインターフェイスに付与するとともに、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した外部端末のIPv6アドレスの一部と、前記外部端末から受信したパケットの送信元アドレスの一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄することを特徴とする認証方法。
前記アドレス生成装置が、前記外部端末のIPv6アドレスの一部と有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、
前記内部端末が、前記外部端末が正規の通信相手か否かを判断する際に、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄することを特徴とする請求項９に記載の認証方法。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置を有し、
前記アドレス生成装置が、前記外部端末のIPv6アドレスと、自身が保有する共有鍵から一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部を、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末と前記内部端末へ通知し、
前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、
前記内部端末が、前記アドレス生成装置から通知されたIPv6アドレスを自身のネットワークインターフェイスに付与するとともに、前記外部端末から受信したパケットの送信元アドレスと、自身が保有する共有鍵から一方向関数を利用し特定の文字列を生成し、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄することを特徴とする認証方法。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置を有し、
前記アドレス生成装置が、前記外部端末のIPv6アドレスと、自身が保有する共有鍵と、有効期限情報とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と前記有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末と前記内部端末へ通知し、
前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、
前記内部端末が、前記アドレス生成装置から通知されたIPv6アドレスを自身のネットワークインターフェイスに付与するとともに、前記外部端末から受信したパケットの送信元アドレスと、自身が保有する共有鍵と、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した有効期限情報とから一方向関数を利用し特定の文字列を生成し、かつ、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄するとともに、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄することを特徴とする認証方法。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置と、
前記特定のネットワークの出入り口に配置されるゲートウェイ装置とを有し、
前記アドレス生成装置が、前記外部端末のIPv6アドレスの一部と、内部端末を識別する内部端末識別情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末へ通知し、
前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、
前記ゲートウェイ装置が、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記外部端末のIPv6アドレスの一部と、前記外部端末から受信したパケットの送信元アドレスの一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄し、また、前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送することを特徴とする認証方法。
前記アドレス生成装置が、前記外部端末のIPv6アドレスの一部と、内部端末を識別する内部端末識別情報と、有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、
前記ゲートウェイ装置が、前記外部端末が正規の通信相手か否かを判断する際に、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄することを特徴とする請求項１３に記載の認証方法。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置と、
前記特定のネットワークの出入り口に配置されるゲートウェイ装置とを有し、
前記アドレス生成装置が、前記外部端末のIPv6アドレスと、内部端末を識別する内部端末識別情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と、前記内部端末識別情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末へ通知し、
前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、
前記ゲートウェイ装置が、前記外部端末から受信したパケットの送信元アドレスと、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した内部端末識別情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成するとともに、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄し、また、前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送することを特徴とする認証方法。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証方法であって、
前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置と、
前記特定のネットワークの出入り口に配置されるゲートウェイ装置とを有し、
前記アドレス生成装置が、前記外部端末のIPv6アドレスと、内部端末を識別する内部端末識別情報と、有効期限情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と、前記内部端末識別情報と、前記有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成した宛先アドレスを、前記外部端末へ通知し、
前記外部端末が、前記アドレス生成装置から通知されたIPv6アドレスを宛先アドレスとしてパケットを送信し、
前記ゲートウェイ装置が、前記外部端末から受信したパケットの送信元アドレスと、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した内部端末識別情報および期限情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、かつ、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄するとともに、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証して、有効期限が超えていた場合に受信したパケットを廃棄し、また、前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送することを特徴とする認証方法。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用され、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置であって、
前記外部端末のIPv6アドレスの一部を、前記外部端末毎に個別に生成するIPv6アドレスのInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成したIP宛先アドレスを、前記外部端末と前記内部端末へ通知することを特徴とするアドレス生成装置。
前記外部端末のIPv6アドレスの一部と有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定することを特徴とする請求項１７に記載のアドレス生成装置。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用され、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置であって、
前記外部端末のIPv6アドレスと、自身が保有する共有鍵から一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部を、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成したIP宛先アドレスを、前記外部端末と前記内部端末へ通知することを特徴とするアドレス生成装置。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用され、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置であって、
前記外部端末のIPv6アドレスと、自身が保有する共有鍵と、有効期限情報とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と前記有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成したIP宛先アドレスを、前記外部端末と前記内部端末へ通知することを特徴とするアドレス生成装置。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用され、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置であって、
前記アドレス生成装置は、前記外部端末のIPv6アドレスの一部と、内部端末を識別する内部端末識別情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成したIP宛先アドレスを、前記外部端末へ通知することを特徴とするアドレス生成装置。
前記外部端末のIPv6アドレスの一部と、内部端末を識別する内部端末識別情報と、有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定することを特徴とする請求項２１に記載のアドレス生成装置。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用され、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置であって、
前記外部端末のIPv6アドレスと、内部端末を識別する内部端末識別情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と、前記内部端末識別情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成したIP宛先アドレスを、前記外部端末へ通知することを特徴とするアドレス生成装置。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用され、前記外部端末が前記内部端末にアクセスする際の宛先アドレスを生成するアドレス生成装置であって、
前記外部端末のIPv6アドレスと、内部端末を識別する内部端末識別情報と、有効期限情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、前記生成した文字列の一部と、前記内部端末識別情報と、前記有効期限情報とを結合して、前記外部端末毎に個別に生成するInterfaceIDとして設定し、前記外部端末毎に個別に生成したInterfaceIDと、前記特定のネットワークのPrefixアドレスとを結合してIPv6の宛先アドレスを生成し、当該生成したIP宛先アドレスを、前記外部端末へ通知することを特徴とするアドレス生成装置。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用される内部端末であって、
前記アドレス生成装置から通知されたIPv6アドレスを自身のネットワークインターフェイスに付与する機能１と、
前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した外部端末のIPv6アドレスの一部と、前記外部端末から受信したパケットの送信元アドレスの一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄する機能２とを有することを特徴とする内部端末。
前記機能２は、前記外部端末が正規の通信相手か否かを判断する際に、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄することを特徴とする請求項２５に記載の内部端末。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用される内部端末であって、
前記内部端末は、前記アドレス生成装置から通知されたIPv6アドレスを自身のネットワークインターフェイスに付与する機能１と、
前記外部端末から受信したパケットの送信元アドレスと、自身が保有する共有鍵から一方向関数を利用し特定の文字列を生成し、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄する機能２とを有することを特徴とする内部端末。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用される内部端末であって、
前記アドレス生成装置から通知されたIPv6アドレスを自身のネットワークインターフェイスに付与する機能１と、
前記外部端末から受信したパケットの送信元アドレスと、自身が保有する共有鍵と、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した有効期限情報とから一方向関数を利用し特定の文字列を生成し、かつ、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄するとともに、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄する機能２とを有することを特徴とする内部端末。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用されるゲートウェイ装置であって、
前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した前記外部端末のIPv6アドレスの一部と、前記外部端末から受信したパケットの送信元アドレスの一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄する機能１と、
前記機能１で前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送する機能２とを有することを特徴とするゲートウェイ装置。
前記ゲートウェイ装置の機能１は、前記外部端末が正規の通信相手か否かを判断する際に、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証し、有効期限が超えていた場合に受信したパケットを廃棄することを特徴とする請求項２９に記載のゲートウェイ装置。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用されるゲートウェイ装置であって、
前記外部端末から受信したパケットの送信元アドレスと、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した内部端末識別情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成するとともに、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄する機能１と、
前記機能１で前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送する機能２とを有することを特徴とするゲートウェイ装置。
特定のネットワーク内の内部端末に対して、前記特定のネットワーク外の外部端末がアクセスする際の認証システムに使用されるゲートウェイ装置であって、
前記外部端末から受信したパケットの送信元アドレスと、前記外部端末から受信したパケットの宛先アドレスのInterfaceIDから抽出した内部端末識別情報および期限情報と、自身が保有する共有鍵とから一方向関数を利用し特定の文字列を生成し、かつ、前記宛先アドレスのInterfaceIDから抽出した前記アドレス生成装置が生成した文字列の一部と、自身で生成した文字列の一部とを比較して、前記外部端末が正規の通信相手か否かを判断し、前記外部端末が正規の通信相手でない場合に受信したパケットを廃棄するとともに、前記宛先アドレスのInterfaceIDから抽出した有効期限情報を検証して、有効期限が超えていた場合に受信したパケットを廃棄する機能１と、
前記機能１で前記外部端末が正規の通信相手と判断された場合に、前記宛先アドレスのInterfaceIDから抽出した内部端末識別情報に基づき、前記外部端末から受信したパケットを前記内部端末に転送する機能２とを有することを特徴とするゲートウェイ装置。