JP2012527794A - ホストアイデンティティタグ取得のための方法およびシステム - Google Patents

Abstract

本発明の実施形態としてホストアイデンティティタグ（ＨＩＴ）を取得するための方法とシステムが開示される。ＨＩＴを取得する方法は、新規生成されたＨＩＴを含む更新メッセージを受信し、その更新メッセージから新規生成されたＨＩＴを取得するというステップを含む。更新メッセージから最新ＨＩＴと、ホストの現行ＩＰアドレスを直接取得することにより、あるいは、サードパーティのサーバを介して受信した新旧のＨＩＴのマッピング関係から最新のＨＩＴを取得することにより、ＨＩＴを取得するためのシステムの正常な通信が実行可能となる。

Description

本願は、２００９年５月２２日に中国特許庁へ出願された、「ホストアイデンティティタグ取得のための方法およびシステム」という標題の中国特許出願第２００９１００８５５０９．Ｘ号の優先権を主張するものである。参照によりその内容全体がここに組み込まれる。

本発明は通信技術に関し、特にホストアイデンティティタグ（ＨＩＴ）を取得するための方法およびシステムに関する。

インターネットの発展に伴い、インターネットおよびインターネット上のサービスの動作環境は著しく変化してきた。そして当初のインターネット設計の制約が顕在化してきた。

制約の原因の一つとしては、インターネットプロトコル（ＩＰ）アドレスが２つの役割、つまりネットワーク内のＩＰ装置／ノードのロケータとしての役割と、通信ノードのアイデンティティとしての役割を担っていることがある。ルーティングシステムの拡張性を確保するために、ＩＰアドレスのアロケーションはネットワークトポロジーに適合する必要がある。しかし、ＩＰアドレスは同時にホストアイデンティファイアとしても供用されるので、ＩＰアドレスのアロケーションは通常（トポロジ−よりもむしろ）組織構造に基づいており、相対的に一定していることが要求される。ＩＰアドレスの２つの役割は、トランスポート層とネットワーク層との間を客観的に密に結合することになる。トランスポート層は、ノード間接続を表現する５つの組＜トランスポート層プロトコル、ソースＩＰアドレス、終点ＩＰアドレス、ソースポート番号、終点ポート番号＞を利用する。この５つの組は接続プロセス中は変化してはならない。しかし、移動やダイナミックＩＰアドレス・リアロケーションやマルチホーミングの結果としてＩＰアドレスが変わる場合、接続に対応する５つの組もまた変化し、その時の通信を担っている接続の中断に至ってしまう。トランスポート層プロトコルの更新またはアップグレードもまた、トランスポート層プロトコルに甚大な影響を与える。

ＩＰアドレスのネットワークトポロジ−ロケータの役割からアイデンティティの役割を分離するために、インターネット技術標準化委員会（ＩＥＴＦ）のホストアイデンティティプロトコル（ＨＩＰ）ワーキンググループが、広範な解決策を提案している。この解決策は、ネットワーク層とトランスポート層との間に新しいＨＩＰ層と新しい名前空間を導入する。そうして、トランスポート層プロトコルがネットワーク層プロトコルから分離される。トランスポート層はホストアイデンティファイア（ＨＩ）を使用し、ＨＩＰがＨＩをＩＰアドレスへ変換する。

ＨＩＰが使用するアイデンティファイアをＨＩと呼ぶ。ＨＩは本質的には、公開鍵／秘密鍵のペアにおける公開鍵である。ＨＩの長さは公開鍵アルゴリズムが異なれば急激に変化するので、実際のプロトコル中では一般的に固定長のホストアイデンティティタグ（ＨＩＴ）が使われる。ＨＩＴはＨＩによりカオス暗号化アルゴリズムで生成される１２８ビットの二進数であり、フラットな単層構造をしている。ＨＩＴはホストアイデンティファイアとしてのみ供用され、その他の情報はなにも含まない。鍵は使用されればされるほど、鍵の安全性が低下する。鍵の安全性がある水準にまで低下するか、または鍵が壊れると、鍵を交換する必要がある。ホストの公開鍵を変更することは、ホストのＨＩＴの変更を意味する。ホストのＨＩＴが変更された場合、ホストは何らかの方法で潜在的なビジターに変更を通知する必要がある。潜在的なビジターに通知がなされない場合には、ホストとビジター間の正常な通信が不可能となる。

本発明の実施形態は、正常な通信を確保するための最新のＨＩＴを取得する方法およびシステムを提供する。

本発明の一実施形態はＨＩＴを取得する方法を提供し、その方法は、新規に生成されたＨＩＴを含む更新メッセージを受信し、更新メッセージから新規に生成されたＨＩＴを取得すること含む。

本発明の一実施形態はＨＩＴを取得する方法を提供し、その方法は、新規に生成されたＨＩＴを含む更新メッセージをサードパーティのサーバにより受信し、新ＨＩＴと対応する旧ＨＩＴとの間のマッピング関係を確立し、旧ＨＩＴとマッピング関係とに従って、ホストにより新規生成ＨＩＴを取得することを含む。

本発明の一実施形態はＨＩＴを取得するシステムを提供し、そのシステムは、新規に生成されたＨＩＴを含む更新メッセージを送信するように構成された第１のホストと、第１のホストにより送信された更新メッセージから新規に生成されたＨＩＴを取得するように構成された第２のホストと、を備える。

本発明の一実施形態はＨＩＴを取得するシステムを提供し、そのシステムは、新規に生成されたＨＩＴを含む更新メッセージを送信するように構成された第１のホストと、更新メッセージを受信し新ＨＩＴと対応する旧ＨＩＴとの間のマッピング関係を確立するように構成されたサードパーティ・サーバと、旧ＨＩＴとマッピング関係とに従って新規生成ＨＩＴを取得するように構成された第２のホストと、を含む。

ここでのＨＩＴを取得するための方法とシステムにおいて、ホストの最新のＨＩＴと現行のＩＰアドレスが更新メッセージから直接得られる。あるいはまた、新ＨＩＴと旧ＨＩＴとの間のマッピング関係に従って、サードパーティ・サーバを利用して最新のＨＩＴが得られる。このようにして、正常な通信が確保される。

本発明の第１の実施形態によるＨＩＴを取得するための方法のフローチャートである。 本発明の実施形態によるホストの相互作用プロセスにおけるＨＩＴ変化の概略図である。 本発明の第２の実施形態によるＨＩＴを取得するための方法のフローチャートである。 本発明の第１の実施形態によりＨＩＴを取得するためのシステムの概略構造図である。 本発明の第２の実施形態によりＨＩＴを取得するためのシステムの概略構造図である。

本発明の技術的解決策を添付の図面と例示的実施形態を参照して以下に詳述する。

本発明の第１の実施形態によれば、ＨＩＴを取得する方法は、新規に生成されたＨＩＴを含む更新メッセージを受信し、その更新メッセージから新規に生成されたＨＩＴを取得すること含む。

本発明の第２の実施形態によれば、ＨＩＴを取得する方法は、サードパーティのサーバが新規に生成されたＨＩＴを含む更新メッセージを受信し、新ＨＩＴと対応する旧ＨＩＴとの間のマッピング関係を確立し、旧ＨＩＴとマッピング関係とに従ってホストが新規生成ＨＩＴを取得することを含む。

上記の方法においては、新規に生成されたＨＩＴは、サードパーティ・サーバを含む場合と含まない場合のいずれかのケースによって取得される。新規生成されたＨＩＴを取得するプロセスを以下で説明する。

図１は本発明の第１の実施形態によるＨＩＴを取得するための方法のフローチャートである。この方法は以下のステップを含む。

ステップ１０１：第１のホストが新規生成ＨＩＴを含む更新メッセージを第２のホストへ送信する。

例えば、ＨＩＰパケット中の更新パケットが、通信における更新メッセージの送信に利用される。本実施形態において、更新パケットはＨＩＴ更新メッセージの送信に利用されてもよい。ＨＩＴ更新メッセージは、新規生成のＨＩＴの有効期間とシグネーチャとを含んでもよい。第１のホストは、新規に生成されたセキュアチャネルを介して、または旧ＨＩＴが期限切れになる前の既存のセキュアチャネルを介して、更新メッセージをＨＩＴに送信してもよい。セキュアチャネルがない場合には、ＨＩＴ更新メッセージが送信される前に新セキュアチャネルが生成されねばならない。そしてＨＩＴの更新メッセージがその新セキュアチャネルを介して送信される。セキュアチャネルとは、通信するパーティの双方が安全の確立していないネットワーク環境にある場合、情報を安全に送信するための機構を言う。セキュアチャネルの機能としては、情報の秘匿性と鮮度を保護し、情報源の正しさを確認することを含んでいる。セキュアチャネルは、標準的なＨＩＰハンドシェイク・プロトコルを介して、またはＩＰセキュリティ（ＩＰｓｅｃ）、セキュアソケット層（ＳＳＬ）、ハイパーテキスト・トランスファプロトコル・セキュア（ＨＴＴＰｓ）等のような通常のセキュリティプロトコルを介して生成されてよい。

ステップ１０２：第２のホストが更新メッセージから新規生成のＨＩＴを取得する。

第２のホストが第１のホストから更新メッセージを受信し、その更新メッセージから新規生成されたＨＩＴ（新ＨＩＴと呼ぶ）を取得する。そして現行の第１ホストに対応するＩＰアドレスを取得して、第１ホストと第２ホストとの間の正常な通信が実装できるようにする。

さらに、第２のホストはホスト接続されるか、または第１のホストに接続されてもよい。図２は、第１のホストと第２のホストの間の相互作用時におけるＨＩＴ変化のプロセスを示す。まず、第１のホストと第２のホストが旧ＨＩＴを使用して４−ｗａｙ ｈａｎｄｓｈａｋｅ方式により通信チャネルを生成する。第１のホストがその通信チャネルを介して更新メッセージを送信できる。第１のホストと第２のホストとの間に既に通信チャネルが存在する場合には、既存の通信チャネルを利用して更新メッセージを直接送信する。更新メッセージを受信した後、第２のホストが更新メッセージ中にある新ＨＩＴを取得する。図２において、Ｔ１は新ＨＩＴを生成するための時間であり、Ｔ２は旧ＨＩＴの終了時間である。ハンドシェークが完了すると、第１のホストは、セキュリティ・パラメータ・インデックス（ＳＰＩ）を使用してセッションを実行することができ、ＨＩＴの更新はセッションには何も影響しない。

図３は、本発明の第２の実施形態によるＨＩＴ取得方法のフローチャートである。この方法には以下のステップが含まれる。

ステップ２０１：第１のホストが新規生成のＨＩＴを含む更新メッセージをサードパーティのサーバへ送信する。

サードパーティ・サーバは、ドメイン名解決システム（ＤＮＳ）サーバ、またはＨＩＴをＩＰアドレスにマッピングするためのサーバ、またはランデブーサーバ（ＲＶＳ）であってよい。ＨＩＴをＩＰアドレスにマッピングするためのサーバは、分散ハッシュテーブル（ＤＨＴ）を含んでもよい。

新ＨＩＴが生成されてまだ旧ＨＩＴが期限切れにならない内に、第１のホストはＨＩＴハンドシェーク・プロトコルによって生成した旧ＨＩＴベースのセキュアチャネルを使用して更新メッセージを送信してもよい。あるいは他のセキュリティプロトコルを介して生成したセキュアチャネルを使用して更新メッセージを送信してもよい。

ステップ２０２：サードパーティ・サーバが更新メッセージを受信し、新ＨＩＴと対応する旧ＨＩＴとの間のマッピング関係を確立する。

更新メッセージを受信した後、サードパーティ・サーバは更新メッセージで伝送された新ＨＩＴを旧ＨＩＴに関連付ける。そして、例えば旧ＨＩＴと最新ＨＩＴとの間のマッピング関係、または異なる期間のＨＩＴと旧ＨＩＴとの間のマッピング関係などの、新ＨＩＴと旧ＨＩＴとのマッピング関係を確立する。

ステップ２０３：第２のホストが旧ＨＩＴと新旧ＨＩＴ間のマッピング関係とに従って新ＨＩＴを取得する。

第２のホストは旧ＨＩＴを使用して、新ＨＩＴと旧ＨＩＴとのマッピング関係に従って新ＨＩＴを取得する。例えば、第１のホストがＨＩＴを更新した場合、第１のホストはＲＶＳなどのサードパーティ・サーバに通知する。ＲＶＳは第１のホストの終了したＨＩＴから現ＨＩＴへのマッピングを維持する。従って、第２のホストが第１のホストの終了したＨＩＴを使ってＲＶＳにアクセスした場合、第２のホストは第１のホストの現ＨＩＴを取得して第１のホストと正常に通信する。例えば、第２のホストは第１のホストの現ＨＩＴを以下のようにして取得する。第２のホストがメッセージをＲＶＳに送信する。ＲＶＳは関連するＨＩＴがないことを示す通知メッセージを戻す。第２のホストが旧ＨＩＴから新ＨＩＴへのマッピングを要求する。ＲＶＳが旧ＨＩＴと新ＨＩＴとの間のマッピング関係を含むメッセージを第２のホストに送信する。そのマッピング関係に従って第２のホストは新ＨＩＴを取得する。

上記のＨＩＴを取得する方法において、最新のＨＩＴとホストの現行のＩＰアドレスが更新メッセージから直接得られる。あるいはまた、サードパーティ・サーバを利用して、新ＨＩＴと旧ＨＩＴとの間のマッピング関係に従って最新のＨＩＴが得られる。このようにして第１のホストと第２のホストとの間に通信チャネルを形成することができて、正常な通信が実行され、上位層のアプリケーション・プロトコルにはエラーが発生せず、セッション継続が可能となる。さらには、ＨＩのセキュリティ強度は許容範囲内となり、通信がより安全となる。

図４は、本発明の第１の実施形態によってＨＩＴを取得するためのシステムの概略構造図である。このシステムは、新規に生成されたＨＩＴを含む更新メッセージを送信するように構成された第１のホスト１１と、第１のホストにより送信された更新メッセージから新規に生成されたＨＩＴを取得するように構成された第２のホスト１２とを含む。

第２のホストは、更新メッセージから第１のホストが新規に生成したＨＩＴと第１のホストの現行ＩＰアドレスとを取得し、第１のホストと正常に通信可能となる。

更新メッセージを送信するために、第１のホストは、新規に生成したセキュアチャネルを介して更新メッセージを送信するように構成された第１の送信モジュールと、既存のセキュアチャネルを介して更新メッセージを送信するように構成された第２の送信モジュールとを含んでもよい。

さらに、ＨＩＴを取得するためのシステムが、本発明の第１の実施形態によるＨＩＴの取得方法と同様にして新規生成のＨＩＴを取得する。この方法については繰り返して説明しない。

上記のシステムにおいては、第１のホストが更新メッセージを第２のホストに送信し、第２のホストは第１のホストにより新規に生成されたＨＩＴと第１のホストの現行ＩＰアドレスとを更新メッセージから取得して、第１のホストと正常に通信できるようになる。

図５は本発明の第２の実施形態によってＨＩＴを取得するためのシステムの概略構造図である。このシステムは、新規に生成されたＨＩＴを含む更新メッセージを送信するように構成された第１のホスト１１と、更新メッセージを受信し新ＨＩＴと対応する旧ＨＩＴとの間のマッピング関係を確立するように構成されたサードパーティ・サーバ１３と、旧ＨＩＴと新旧ＨＩＴ間のマッピング関係とに従って新規生成ＨＩＴを取得するように構成された第２のホスト１２と、を含む。

サードパーティ・サーバは、ＤＮＳサーバ、ＲＶＳ、およびＨＩＴをＩＰアドレスにマッピングするためのサーバを含んでよい。ＨＩＴをＩＰアドレスにマッピングするためのサーバは、ＤＨＴを含んでもよい。

サードパーティ・サーバがＨＩＴをＩＰアドレスにマッピングするためのサーバであれば、第２のホストは新規生成ＨＩＴを取得した後、第１のホストと正常な通信を行うために新規生成ＨＩＴに従って第２のホストの現ＩＰアドレスを取得する。

さらにこのシステムは、本発明の第２の実施形態によるＨＩＴの取得方法と同様にして新規生成のＨＩＴを取得する。この方法については繰り返して説明しない。

上記のシステムにおいて、第１のホストが更新メッセージをサードパーティ・サーバに送信し、サードサーバは更新メッセージに含まれる新ＨＩＴに従って新ＨＩＴと旧ＨＩＴとの間のマッピング関係を確立し、そのマッピング関係と旧ＨＩＴとによって第２のホストが新規生成ＨＩＴを取得して第１のホストと正常に通信できるようになる。さらには、ＨＩのセキュリティ強度が許容範囲内となり、通信がより安全となる。

本発明のすべてまたは一部の実施形態はソフトウェアによって実装されてもよい。関連するソフトウェアプログラムは、ハードディスク、フロッピィディスクまたはコンパクトディスク読み出し専用メモリ（ＣＤ−ＲＯＭ）等の読み出し可能記憶媒体中に格納されてもよい。

最後に、上記の実施形態は本発明の技術的解法を説明するためだけに提供されるものであって、本発明を制限するものではないことに留意されたい。本発明の精神および範囲から逸脱することなく当業者が修正および変更を本発明に対して行えることは明らかである。

例えば、ＨＩＰパケット中の更新パケットが、通信における更新メッセージの送信に利用される。本実施形態において、更新パケットはＨＩＴ更新メッセージの送信に利用されてもよい。ＨＩＴ更新メッセージは、新規生成のＨＩＴの有効期間とシグネーチャとを含んでもよい。第１のホストは、新規に生成されたセキュアチャネルを介して、または旧ＨＩＴが期限切れになる前の既存のセキュアチャネルを介して、更新メッセージをＨＩＴに送信してもよい。セキュアチャネルがない場合には、ＨＩＴ更新メッセージが送信される前に新セキュアチャネルが生成されねばならない。そしてＨＩＴの更新メッセージがその新セキュアチャネルを介して送信される。セキュアチャネルとは、通信するパーティの双方が安全の確立していないネットワーク環境にある場合、情報を安全に送信するための機構を言う。セキュアチャネルの機能としては、情報の秘匿性と鮮度を保護し、情報源の正しさを確認することを含んでいる。セキュアチャネルは、標準的なＨＩＰハンドシェイク・プロトコルを介して、またはＩＰセキュリティ（ＩＰｓｅｃ）、セキュアソケット層（ＳＳＬ）、ハイパーテキスト・トランスファプロトコル・セキュア（ＨＴＴＰＳ）等のような通常のセキュリティプロトコルを介して生成されてよい。

サードパーティ・サーバがＨＩＴをＩＰアドレスにマッピングするためのサーバであれば、第２のホストは新規生成ＨＩＴを取得した後、第１のホストと正常な通信を行うために新規生成ＨＩＴに従って第１のホストの現ＩＰアドレスを取得する。

最後に、上記の実施形態は本発明の技術的解法を説明するためだけに提供されるものであって、本発明を制限するものではないことに留意されたい。本発明の範囲から逸脱することなく当業者が修正および変更を本発明に対して行えることは明らかである。

Claims (10)

1. 新規に生成されたホストアイデンティティタグ（ＨＩＴ）を含む更新メッセージを受信し、
   前記更新メッセージから前記新規生成ＨＩＴを取得する、
   こと含む、ホストアイデンティティタグ（ＨＩＴ）を取得する方法。
2. 前記新規生成のＨＩＴを含む前記更新メッセージを受信する前記ステップが、新規に生成されたセキュアチャネルまたは既存のセキュアチャネルを介して前記新規生成ＨＩＴを含む前記更新メッセージを受信する、請求項１に記載の方法。
3. 新規に生成されたＨＩＴを含む更新メッセージをサードパーティのサーバにより受信し、前記新ＨＩＴと対応する旧ＨＩＴとの間のマッピング関係を確立し、
   前記旧ＨＩＴと前記マッピング関係とに従って、ホストにより前記新規生成ＨＩＴを取得する、
   ことを含む、ホストアイデンティティタグ（ＨＩＴ）を取得する方法。
4. 前記更新メッセージは、新規生成のセキュアチャネルまたは既存のセキュアチャネルを介して送信され、前記サードパーティ・サーバは、ドメイン名解決システム（ＤＮＳ）サーバ、またはランデブーサーバ（ＲＶＳ）、またはＨＩＴをインターネットプロトコル（ＩＰ）アドレスにマッピングするためのサーバを含む、請求項３に記載の方法。
5. 前記サードパーティ・サーバが、前記新規生成ＨＩＴを取得した後に前記ＨＩＴをＩＰアドレスにマッピングするためのサーバである場合、前記新規生成ＨＩＴに従って前記ホストの現ＩＰアドレスを取得することを更に含む、請求項４に記載の方法。
6. 新規に生成されたＨＩＴを含む更新メッセージを送信するように構成された第１のホストと、
   前記第１のホストにより送信された前記更新メッセージから前記新規生成のＨＩＴを取得するように構成された第２のホストと、
   を備える、ホストアイデンティティタグ（ＨＩＴ）を取得するためのシステム。
7. 前記第１のホストが、
   新規に生成されたセキュアチャネルを介して前記更新メッセージを送信するように構成された第１の送信モジュールと、
   既存のセキュアチャネルを介して前記更新メッセージを送信するように構成された第２の送信モジュールと、
   を備える、請求項６に記載のシステム。
8. 新規に生成されたＨＩＴを含む更新メッセージを送信するように構成された第１のホストと、
   前記更新メッセージを受信し、前記新ＨＩＴと対応する旧ＨＩＴとの間のマッピング関係を確立するように構成されたサードパーティ・サーバと、
   前記旧ＨＩＴと前記マッピング関係とに従って、前記新規生成ＨＩＴを取得するように構成された第２のホストと、
   を含む、ホストアイデンティティタグ（ＨＩＴ）を取得するためのシステム。
9. 前記サードパーティ・サーバは、ドメイン名解決システム（ＤＮＳ）サーバ、またはランデブーサーバ（ＲＶＳ）、またはＨＩＴをインターネットプロトコル（ＩＰ）アドレスにマッピングするためのサーバを含む、請求項８に記載のシステム。
10. 前記サードパーティ・サーバが前記ＨＩＴをＩＰアドレスにマッピングするためのサーバであれば、第２のホストは、前記新規生成ＨＩＴを取得した後に前記新規生成ＨＩＴに従って前記第１のホストの現ＩＰアドレスを取得する、請求項９に記載のシステム。

Images