JP2014502435A

JP2014502435A - 自律型ネットワークを介するセキュアデータのストリームの転送の最適化手法

Info

Publication number: JP2014502435A
Application number: JP2013534295A
Authority: JP
Inventors: ミシェルドラットル; ジャックプロヴォスト
Original assignee: イパネマテクノロジー
Priority date: 2010-10-21
Filing date: 2011-10-18
Publication date: 2014-01-30
Anticipated expiration: 2031-10-18
Also published as: FR2966669B1; JP5804480B2; FR2966669A1; AU2011317598B2; WO2012052434A1; US20130268995A1; ES2544047T3; EP2630765B1; US9137264B2; AU2011317598A1; EP2630765A1; BR112013009581A2; CA2814787A1

Abstract

複数の情報生成ユーザーPiと複数の情報利用ユーザーCjとの間での、自律型ネットワークを介したセキュアデータのストリームの転送の最適化手法に関し、情報生成ユーザーPiと情報利用ユーザーCjとの間の各セキュアセッションに対して、非永続型のセキュリティ設定が、セキュアコントロールチャネルを介して、最適化モジュールと自律型エージェントとの間で交換されて、自律型エージェントと最適化モジュールとの間で、予め交換ネゴシエーションされるセキュリティ手続きが適用され、情報生成ユーザーPiと情報利用ユーザーCjとの間でのストリームの交換の間に、非永続型のセキュリティ設定を入手できる最適化モジュールが、該セッション中に、サーバーに対してクライアントとして見える。
【選択図】図４

Description

本発明は、通信分野のものであり、より具体的には、複数の情報生成ユーザーPiと複数の情報利用ユーザーCjとの間での、自律型ネットワークを介したセキュアデータのストリームの転送の最適化手法に関し、各ユーザーが少なくとも一つのクライアント及び／または少なくとも一つのサーバーを含み、該自律型ネットワークが、データストリームの転送を最適化する命令を発令する少なくとも一つの中央エレメントと、転送されるストリームの特性を計測する少なくとも一つの観察モジュールと、少なくとも一つの最適化モジュールであって、観察モジュールにより得られる測定値を考慮しつつ、中央エレメントにより発令される、転送を最適化する命令を適用し、クライアント及びサーバーが、情報生成ユーザーPiと情報利用ユーザーCjとの間で交換されるストリームの相互の認証設定及びセキュリティ設定を交換するように構成され、また、交換の完全性をチェックし、該セキュリティ設定及び該認証設定に従い機密性の保護を実行する、最適化モジュールと、を含む。

また、本発明は、本発明による手法を実行する装置に関する。

また、本発明は、コンピュータで実行された場合に、本発明による手法を実行する命令を含む、記録媒体に記録されたコンピュータプログラムに関する。

通信ネットワークの最新の研究開発で、サーバーは、もはや会社やユーザーグループの十分に認識された周辺に置く必要はなく、拡張されたWAN（広域ネットワーク）の周囲に分散される。その結果、データストリームの交換に参加する機能と、これらのストリームの完全性と、これらのストリームの機密性とを認証するセキュリティシステムは、もはや周辺の保護原理にのみ基づく必要はない。分散が増加する過程の主な脅威の一つである、IDの不正利用は、関連する不正動作、または、権利に対して不適切に得られるアクセスを可能とする。IDの不正利用に対する最も一般的な技術の一つは、フィッシング詐欺であり、情報利用者または情報生産者に、彼らが信頼できる第三者に接触していると信じさせることにある。

その結果、交換されるデータストリームの完全性及びこの交換の参加者の信頼性を保障することが、不可欠である。

WANネットワークに特有の他の技術的問題は、ネットワークの特性が、ストリームを著しく歪め、ネットワーク化されたアプリケーションのエクスペリエンスの品質を大きく損なう、という事実に起因する。

その結果、ストリームを最適化するシステムが、不正利用の脅威に曝され得ることなく、トラストチェーンに導入される必要がある。

IETFにより定義されるIPsec（インターネットプロトコルセキュリティ）は、IPネットワーク上でのセキュアデータの伝送を可能とするアルゴリズムを用いる、プロトコルのセットである。このプロトコルにより、IPsec伝送を行い得る前に、セキュアトンネルの両端で、認証メカニズムが実行される必要がある。このメカニズムは、高い機密性レベルでストリームのマスキングを遂行するための基盤インフラストラクチャーに適した、非常に静的なセキュリティアーキテクチャの一部を形成する。これは、セキュリティの関連性が計画されること、及び、パケットモードにおけるオープンネットワーク上に論理的結線が存在することを必要とする。そして、最適化システムは、この論理的結線から上流に配置され、アプリケーションが展開されるトラストゾーンの不可欠な部分を形成する。このシステムは、ルールにより、または、自律メカニズムにより、さらにエリア内で調整されてもよい。この調整は、最適化の能力、例えば冗長な情報辞書の共有を可能とする。この共有は、実質的には、このシステムの有効性を増す。

しかしながら、停電または有事の際における、サービスの柔軟性、ローミング、及び継続性は、ネットワーク上での論理的な結線の分離につながる。同時に、セキュアネットワーク内での損傷エレメントの脅威の増加で、より正確なアクセス制御が必要となる。これは、通常アプリケーションストリームを低減するセキュアトンネルを動的に作るクライアントサーバーモードプロトコルの、より広い利用につながる。従って、以前はSSL（Secure Socket Layer）と呼ばれた、TLS（Transport Layer Security）インターネット交換セキュリティプロトコル、及び、UDPデータグラム専用のDTLS等のその拡張は、サーバーの認証を可能とするディジタル証明書と、クライアントの強力な認証にさえも依存する。そして、最適化システムは、アプリケーションに一体化された単なる機能であり、WANネットワークで相互に交流する複数のアプリケーションおよび複数のユーザーの調整が困難になる。そして、WANネットワークで拡散される最適化システムで、またはそれらのアクセスで達成される有効性が、失われる。

TLSプロトコルは、データセンターの周辺内部に組み込まれるアプリケーション最適化システムにおいて、広く採用されてきた。この成功は、暗号処理を加速するソリューションの発見を必要とした（SSLオフロード）。サーバーから分離されたシステムが、SSL処理に導入され、専用化された。その集中化と、アプリケーションサーバーとのコロケーションは、認証の基盤として用いられるディジタル証明書を簡単に複製可能とした。この証明書は、公開鍵とサーバーIDとの間の関連性が有効であると公表する認証局により署名されている。RSA研究所により設計された手続き（PKCS公開鍵暗号標準）等の手続きが、広く採用されている。通常、認証局に対して証明書の要求が発行される前に、公開鍵−秘密鍵のペアが発行され、秘密鍵が保護される。サーバー及び最適化システムの共同管理は、所与の署名済み証明書に対して、関連する公開鍵が組み込まれる複数の施設が存在する可能性を意味する。アプリケーション最適化システムの第一世代は、特に単一点で最適化の原則を用いたため、これらの原則を継承している。

しかしながら、最適化の最大の効果は、セキュアトンネルの両端でのシステムの展開によってのみ、達成可能である。

特許文献１は、SSL認証マネージャーをデータセンターに残しつつ、クライアントにできる限り近く配置される第一の最適化システムにおいてSSLセッションを終了する方法を記述している。この最適化システムは、最適化されたストリームが流出の恐れなしに交換可能なセキュアインフラストラクチャーの一部を形成する。

しかしながら、この方法は、最適化システムが企業の論理的結線の一部を形成するアーキテクチャの一部を形成し、柔軟性、ローミング、サービスの持続性、WANネットワークから上流の増加する破損エレメントの脅威、及び、通信オペレーター、サービスプロバイダー、及び企業組織の責任が併合される複数パーティのダイアグラムの新たな要求に対してはもはや適切ではない。

図１は、先行技術のセキュリティ手続きを実行するクライアント−サーバーアーキテクチャの図を示す。

このアーキテクチャは、複数のアプリケーションサーバー４と、第一の処理加速モジュール６と、交換セキュリティモジュール８とをホストする、データセンター２を含む。データセンター２は、WANネットワーク９を介して、複数のクライアント１２と第二の処理加速モジュール１４とを含むリモートロケーション１０に接続される。

第一の処理加速モジュール６及び交換セキュリティモジュール８は、共通のアドミニストレーション内で、協働する。交換セキュリティモジュール８は、サーバー４の認証に必要な秘密鍵を保持する。交換セキュリティモジュールは、第一の処理加速モジュール６に対して、ストリームを解読可能とする、現在のクライアント−サーバーセッションに関する暗号要素を送信する。その返信において、第一の処理加速モジュール６は、一セッションのストリームを解読し、それらを再度暗号化する前に最適化するために、この暗号要素を、データセンター２に送信する。

このアーキテクチャにおいて、モジュール４、６、及び８はデータセンター２の安全な周辺にあり、集中的に管理される。

まとめると、先行技術は、
−最適化サーバー及び装置がサービスプロバイダーの信頼できる周辺内に関連付けられ、互換性のある最適化システムがクライアントにできる限り近く配置され、
−または、企業のデータセンターの周辺の最適化システムが、企業のクライアントに対して、“クラウドコンピューティング”サービスとして振る舞うように認証される、ことを必要とする。

しかしながら、複数のサービスプロバイダーがある場合、それらのサービスプロバイダーに適合する最適化システムのクライアントサイト上への導入は、モバイルプラットフォーム（携帯電話及びスマートフォン）内でのセキュアサービスの実行時に見られるものと同種類の実施困難性に直面する。これに関連して提案される一解決策は、単一のハードウェアプラットフォームにおいて、異なるサービスプロバイダーの環境を区切ることで構成される。この解決策は、携帯電話会社に大きく関与する、これらのプラットフォーム及びセキュリティアーキテクチャの標準化の強化を必要とする。このアークテクチャのキーとなるエレメントは、SIMカードであり、全てに認証される信頼性のあるエレメントである。また、クライアントサイトのシステムが不理にならないように、最適化システム間での交換のある程度の標準化も必要となる。

また、データセンターのシステムに“クラウドコンピューティング”サービスとしての振る舞いを可能とすることは、交換が、最適な経路にある必要のない所望のゲートウェイの通過を強いられないため、実質的に、ローミングクライアントに対して、“クラウドコンピューティング”の利点を低減する。

クライアントサイト及びデータセンターサイト双方のシステムの最適化を行い、複数のサービスプロバイダーとの合意をも有するデータセンターを、通信事業者の周辺内に存在させることが、一選択肢である。

双方の場合において、信頼性のある認証手続きの組み込みに関する作業は、複数のエージェントが存在するという事実に因り、実質的により複雑になる。

本発明の目的は、上述した先行技術の不完全さを補償することである。

本発明の他の目的は、クライアントとサーバー間での認証手続きを変えずに、“クラウドコンピューティング”タイプのセキュアサービスの展開を可能とすることである。

従って、本発明は、複数の情報生成ユーザーPiと複数の情報利用ユーザーCjとの間での、自律型ネットワークを介したセキュアデータのストリームの転送の最適化手法であって、各ユーザーが少なくとも一つのクライアント及び／または少なくとも一つのサーバーを含み、前記自律型ネットワークが、前記転送を最適化する命令を発令する少なくとも一つの中央エレメントと、転送される前記ストリームの特性を計測する少なくとも一つの観察モジュールと、少なくとも一つの最適化モジュールであって、前記観察モジュールにより得られる測定値を考慮しつつ前記最適化する命令を適用し、この最適化においては、前記クライアント及び前記サーバーが、前記情報生成ユーザーPiと前記情報利用ユーザーCjとの間で交換される前記ストリームの相互の認証設定及びセキュリティ設定を交換するように構成され、この交換ネゴシエーションの後に、転送された前記ストリームの完全性をチェックし、交換ネゴシエーションされた前記セキュリティ設定に従い機密性の保護を実行する、最適化モジュールと、を含む方法を提案する。

本発明による方法は、以下のステップを含む。
情報生成ユーザーPiと情報利用ユーザーCjとの間での各セキュアセッションに対して、
ａ）サーバー対し地理的にできる限り近く配置される最適化モジュールにより、クライアントとサーバーとの間でのセキュアセッションの開始を検出するステップ、
ｂ）前記最適化モジュール内において、前記クライアントと前記サーバーとの間の前記交換ネゴシエーションの期間中に、待機期間を導入するステップ、
ｃ）前記待機期間中に、前記最適化モジュールと前記クライアントに関連する自律型エージェントとの間にセキュアコントロールチャネルを確立するステップ、
ｄ）前記セキュアコントロールチャネルを介して、前記最適化モジュールと前記自律型エージェントとの間で、非永続型のセキュリティ設定を交換するステップ、
ｅ）前記情報生成ユーザーPiと前記情報利用ユーザーCjとの間でのストリームの交換中に、非永続型のセキュリティ設定を有する前記最適化モジュールが、前記セッション中に、前記サーバーに対して、クライアントとして見えるように、前記自律型エージェントと前記最適化モジュールとの間で、前記非永続型のセキュリティ設定を用いて、セキュリティ手続きを適用するステップ。

本発明の一特性によれば、前記クライアントは、一連のクライアントを代理するプロキシであってもよい。

前記クライアントは、専用のコントロールチャネルを介して、前記自律型ネットワークのコアと直接通信することが好ましい。

本発明による方法の特有の実施形態では、前記クライアントと前記サーバーとの間の相互の認証は、前記ストリームがIPsecプロトコルにより秘匿される場合、インターネット鍵交換（IKE）法により遂行され、または、前記ストリームが、セキュアソケットレイヤー（SSL）またはトランスポートレイヤーセキュリティ（TLS）型のプロトコルにより秘匿される場合、ディジタル証明書の交換法により遂行される。

本発明による方法は、複数の情報生成ユーザーPiと複数の情報利用ユーザーCjとの間での、自律型ネットワークを介して交換されるセキュアデータのストリームの転送の最適化システムであって、前記情報生成ユーザーPiと前記情報利用ユーザーCjとの間で交換される前記ストリームの相互の認証設定及びセキュリティ設定を交換ネゴシエーションし、この交換ネゴシエーションの後に、前記交換の完全性をチェックし、前記ストリームの前記相互の認証設定及び前記セキュリティ設定により機密性の保護を実行するように構成された、少なくとも一つのクライアント及び／または少なくとも一つのサーバーを各ユーザーが含み、前記自律型ネットワークが、前記転送を最適化する命令を発令する少なくとも一つの中央エレメントと、最適化される前記ストリームの特性を測定する少なくとも一つの観察モジュールと、前記観察モジュールにより得られる測定値を考慮しつつ前記最適化の命令を適用する少なくとも一つの最適化モジュールと、を含むシステムにより実行される。

本発明によれば、前記最適化モジュールは、前記クライアントと前記サーバーとの間でのセキュアセッションの開始を検出する手段と、前記クライアントと前記サーバーとの間の前記交換ネゴシエーションの期間中に、待機期間を導入する手段と、前記待機期間中に、前記クライアントに一体化された自律型エージェントとセキュアコントロールチャネルを確立して、前記最適化モジュールと前記自律型エージェントとの間で非永続型セキュリティ設定を交換する手段と、前記自律型エージェントと前記最適化モジュールとの間に、前記非永続型のセキュリティ設定を用いて、セキュリティ手続きを適用する手段と、
を含み、前記情報生成ユーザーPiと前記情報利用ユーザーCjとの間でのストリームの交換中に、前記非永続型のセキュリティ設定を有する前記最適化モジュールが、前記セッション中に、前記サーバーに対して、クライアントとして見える。

本発明の他の特性及び利点は、添付図面を参照して、非限定的な例として与えられる以下の記述から明確になるであろう。

先行技術のセキュリティ手続きを実施するクライアント−サーバーアーキテクチャの図を示す。自律型ネットワークにおいて本発明によるセキュリティ手続きを実施するクライアント−サーバーアーキテクチャの図を示す。本発明のセキュリティ手続きを実施する自律型エージェントを統合するクライアントの図の一例を示す。本発明による方法の第一の実施形態における、クライアント、最適化モジュール、及びサーバー間の交換を示す。本発明による方法の第二の実施形態における、クライアント、最適化モジュール、及びサーバー間の交換を示す。

本発明は、図２〜図５を参照して記述され、それらの図において、同一の符号は、同一の機能を実行する構成要素を指す。

図２は、アプリケーションサーバー４と、処理加速モジュール６とをホストする、第一のセキュアゾーン２０を含む、クライアント−サーバーアーキテクチャの図を示す。第一のセキュアゾーン２０は、自律型ネットワーク３０を介して、例えば、それぞれが自律型エージェント４２を統合するクライアント４０を含む企業または部署等の、第二のセキュアゾーン２２に接続されている。

自律型ネットワーク３０は、第一のセキュアゾーン２０と第二のセキュアゾーン２２との間で、データ転送を最適化する命令を発令する中央エレメント４４と、転送されるストリームの特性を測定する観察モジュール４６と、観察モジュール４６により得られる測定値を考慮しつつ、該最適化する命令を適用する最適化モジュール４８と、クライアント４０とアプリケーションサーバー４との間で事前に交換ネゴシエーションされるセキュリティ設定及び認証設定の転送を許可し、または禁止するために、中央エレメント４４により課せられる命令を適用するように構成される、調整モジュール５０と、を含む。

作動中、セキュアセッションが自律型エージェント４２の一つとサーバー４の一つとの間で開始される際に、このセッションの開始が、最適化モジュール４８の一つにより自動的に検出される。最適化モジュールは、ネットワーク３０に対して自身を知らせるために調整モジュール５０と認証データを交換済みの自律型エージェント４２に対して、そのサービスを提供する。例えば、この検出は、自律型ネットワークの中心部において、クライアントによりサーバーに向けて発行されるSSLプロトコルのHELLO SERVERメッセージと、自律型エージェント４２により事前に供給される認証データの一部を形成するクライアントのIPアドレスとを認知した場合に生じ、このことは、最適化モジュール４８に知られる。最適化モジュール４８は、クライアント４０とサーバー４との間の交換ネゴシエーションを待ち、この待機期間中に、自律型エージェント４２とセキュアコミュニケーションチャネルを確立する。このセキュアコミュニケーションチャネルを利用しながら、最適化モジュール４８は、自律型エージェント４２に対して、セキュリティストリームの転送の最適化と、様々な方法を用いたトラストチェーンへの自身の挿入とを提案する。

第一の方法は、クライアント４０とサーバー４との間でのセキュアストリームが、サーバー４に対して透過的な方法で処理可能であるように、クライアント４０に、アプリケーションサーバー４とのセキュリティ設定の交換ネゴシエーションを継続させ、セキュアコミュニケーションチャネルを用いて、交換ネゴシエーションされたセキュリティ設定の受取りを継続させることで構成される。

他の方法は、最適化モジュール４８からの、クライアント４０とサーバー４との間の交換ネゴシエーションの修正と、クライアント４０に対する認証設定の動的な発生とで構成される。セキュアセッションの期間中、最適化モジュール４８は、クライアント４０に対してサーバー４として振る舞い、またはサーバー４に対してクライアント４０として振る舞う。

続いて、クライアント４０とサーバー４との間でのストリームの交換の間に、最適化モジュール４８が、そのセッションの間、サーバー４に対するクライアント４０として見えるように、交換ネゴシエーションされたセキュリティ手続きが、自律型エージェント４２と最適化モジュール４８との間で適用される。

例えば、セキュリティ手続きは、以下のようなSSLプロセスの適用で構成される。
−クライアント４０から伝送され、自律型エージェントによる最適化される、各データパケットの、番号割り当て及び署名、
−交換ネゴシエーションされたアルゴリズムと、このアルゴリズムの構築のための交換ネゴシエーションされた設定を用いての、クライアント４０から伝送されるデータパケットの中身の暗号化、
−交換ネゴシエーションされたアルゴリズムでの、最適化モジュール４８により傍受されるデータパケットの中身の解読、
−クライアント４０により用いられたものと同じ方法を用いた、最適化モジュール４８からサーバー４へ伝送される各データパケットの再番号割り当て及び署名、
−同一の交換ネゴシエーションされたアルゴリズムと、このアルゴリズムの構築のための同一の交換ネゴシエーションされた設定を用いての、最適化モジュール４８からサーバー４へ向けて再伝送されるデータパケットの中身の暗号化、
−クライアント４０から直接来たかのような、サーバー４で受信されるデータパケットの処理。

本発明による好ましい一実施形態では、クライアント４０とサーバー４との間で交換ネゴシエーションされたセキュリティ設定の自律型エージェント４２から最適化モジュール４８への転送は、中央エレメント４４により課せられる命令を適用するように設けられる調整モジュール５０により、認証を受けることに留意されたい。

本発明による方法の第二の実施形態では、該転送は、クライアント４０のアドミニストレーターにより規定されるルールを受け、そのルールは、ある特定のストリームを最適化しないこと、または、最適化されたセッションをログに記録すること、または、クライアント４０のユーザーに、ユーザーが使っているセキュアセッションが最適化されたことを知らせる警告を発することで構成される。クライアント４０のアドミニストレーターは、例えば、企業のデータマネージャーである。この企業は、ユーザー間の、及び、ユーザーとサービスプロバイダーのサーバーとの間のストリームの最適な転送を、通信事業者のサービスに頼ることができる。企業に対するサービスプロバイダーの公知例は、GOOGLE APPS（登録商標）及びMICROSOFT BPOS（登録商標）（Business Productivity On Line Suite）がある。企業とサービスプロバイダーとを信頼関係が繋ぎ、この関係は、サービスプロバイダーのサーバー及び企業のユーザーの相互認証に基づいている。また、企業と通信事業者とを信頼関係が繋ぎ、これは、サービス契約に基づいている。セキュアストリームの転送の最適化は、通信事業者により管理されるエレメントが、企業のユーザーとサービスプロバイダーとの間のチェーントラスト内に、ストリーム毎に挿入されることを必要とする。従って、この転送は、高い信頼性の保証を可能とし、検証手段の提供を可能とするルールに支配される。

また、調整モジュール５０は、セキュアストリームが経路を変更する際に、二つの独立した最適化モジュール４８間において、最適化の作用の転送を調整するように構築されている。

図３は、アプリケーション７０と、オペレーティングシステム７２とを含む、クライアント４０の一例を示し、このクライアントは、ネットワークインターフェース７４を介して、ネットワークに接続される。このクライアント４０は、最適化モジュール４８と暗号化モジュール８４とを含む、自律型エージェント８０を含む。

暗号化モジュール８４は、例えば、オペレーティングシステム７２に対して、スマートカードまたはSSL加速カードとして振る舞う。その結果、暗号化モジュールは、ディジタル証明書の秘密鍵及び認証機関の証明書を有することなく、セッションの暗号化エレメントにアクセスする。

図４は、本発明による方法の第一の実施形態を示し、最適化モジュール４８からサーバー４へ再伝送される各データパケットが、クライアント４０により用いられる同じ方法を用いて、再番号割り当て及び署名される。

図４を参照すると、ステップ１００において、クライアント４０は、SSLプロトコルのメッセージHELLO SERVERを、サーバー４に送る。このメッセージは、サーバーにできる限り近い最適化モジュール４８により傍受される。このメッセージは、最適化モジュール４８で処理される一方、セキュアチャネルを介して、クライアント４０と最適化モジュール４８との間で、自動制御ハンドシェイク手続きが開始される（ステップ１０２）。

ステップ１０４において、最適化モジュール４８は、傍受したメッセージHELLO SERVERを、サーバー４へ送信する。

ステップ１０６において、サーバー４は、サーバー４の認証証明を含むメッセージHELLO SERVERを、クライアント４０に返す。

ステップ１０８において、セキュリティ設定を交換ネゴシエーションする手続きが、クライアント４０とサーバー４との間で開始される。

ステップ１１０において、クライアント４０は、ステップ１０８においてサーバー４と交換ネゴシエーションしたセキュリティ設定を、最適化モジュール４８に送る。

ステップ１１２において、クライアント４０及びサーバー４は、交換ネゴシエーション手続き終了のSSL信号を交換する。

ステップ１１４において、クライアント４０及びサーバー４は、ステップ１１０において受信されたセッションのセキュリティ設定を有する最適化モジュール４８により直ちに処理されるデータを交換する。

全てのデータが交換されると、ステップ１１６において、クライアント４０とサーバー４は、通信終了信号を交換する。

図５は、本発明による方法の第二の実施形態を示し、最適化モジュール４８からサーバー４へ再伝送されるデータパケットの内容が、アルゴリズム、及び、クライアント４０として振る舞う最適化モジュール４８とサーバー４との間で交換ネゴシエーションされるこのアルゴリズムの構造設定を用いることにより、暗号化される。

本実施形態では、ステップ１００、１０２及び１０４は、図４のステップと同一である。

ステップ１２０において、サーバー４は、サーバー４の認証証明を含むメッセージHELLO SERVERを、最適化モジュール４８に返す。

ステップ１２２において、最適化モジュール４８は、サーバーの認証証明のデータと、ステップ１０２のハンドシェイクの間に得られる開始データとを用いて、メッセージHELLO SERVERを、クライアント４０に送る。

ステップ１２４において、セキュリティ設定を交換ネゴシエーションする手続きが、クライアント４０として振る舞う最適化モジュール４８とサーバー４との間で開始される。

ステップ１２６において、セキュリティ設定を交換ネゴシエーションする手続きが、クライアント４０と、ステップ１０２のハンドシェイクに従ってサーバー４として振る舞う最適化モジュール４８との間で開始される。

ステップ１２８において、クライアント４０と最適化モジュール４８は、ハンドシェイク手続き終了信号を交換する。

ステップ１３０において、サーバー４と最適化モジュール４８は、ハンドシェイク手続き終了信号を交換する。

ステップ１３２において、クライアント４０と最適化モジュール４８は、データを交換する。

ステップ１３４において、最適化モジュール４８とサーバー４は、該データを交換する。

全てのデータが交換されると、ステップ１４０において、クライアント４０と最適化モジュール４８は、通信終了信号を交換する。

同様に、ステップ１４２において、最適化モジュール４８は、サーバー４と通信終了信号を交換する。

例えば、最適化モジュール４８は、クライアント４０のセキュリティアーキテクチャに侵入し、その活動がクライアント４０のアドミニストレーターにより厳格に規定される、暗号化サービスプロバイダーであってもよい。

本発明による方法は、電話通信、ビデオ通信、ビデオ会議等の、マルチメディア通信アプリケーション、または、ビデオオンデマンド、放送、コンテンツ放送等のマルチメディア分散アプリケーション、または、番号案内、双方向サービス等の相談アプリケーション、または、ピアツーピア交換、分散データベース等の情報共有アプリケーション、または、エレメントがリモートマシンで実行され、互いに同期して自律型ネットワーク上でデータを交換するコンピュータアプリケーションにより生じるセキュアデータのストリームを、最適化するために適用される。

US 2007/0074282

Claims

複数の情報生成ユーザーPiと複数の情報利用ユーザーCjとの間での、自律型ネットワーク（３０）を介したセキュアデータのストリームの転送の最適化手法であって、
各ユーザーが少なくとも一つのクライアント（４０）及び／または少なくとも一つのサーバー（４）を含み、
前記自律型ネットワークが、
前記転送を最適化する命令を発令する少なくとも一つの中央エレメント（４４）と、
転送される前記ストリームの特性を計測する少なくとも一つの観察モジュール（４６）と、
少なくとも一つの最適化モジュール（４８）であって、前記観察モジュール（４６）により得られる測定値を考慮しつつ前記最適化する命令を適用し、この最適化においては、前記クライアント（４０）及び前記サーバー（４）が、前記情報生成ユーザーPiと前記情報利用ユーザーCjとの間で交換される前記ストリームの相互の認証設定及びセキュリティ設定を交換するように構成され、この交換ネゴシエーションの後に、転送された前記ストリームの完全性をチェックし、前記セキュリティ設定及び前記認証設定に従い機密性の保護を実行する、最適化モジュールと、
を含み、
以下のステップを含むことを特徴とする方法。
情報生成ユーザーPiと情報利用ユーザーCjとの間での各セキュアセッションに対して、
ａ）サーバー（４）に対し地理的にできる限り近く配置される最適化モジュール（４８）により、クライアント（４０）とサーバー（４）との間でのセキュアセッションの開始を検出するステップ、
ｂ）前記最適化モジュール（４８）内において、前記クライアント（４０）と前記サーバー（４）との間の前記交換ネゴシエーションの期間中に、待機期間を導入するステップ、
ｃ）前記待機期間中に、前記最適化モジュール（４８）と前記クライアント（４０）に関連する自律型エージェント（４２）との間にセキュアコントロールチャネルを確立するステップ、
ｄ）前記セキュアコントロールチャネルを介して、前記最適化モジュール（４８）と前記自律型エージェント（４２）との間で、非永続型のセキュリティ設定を交換するステップ、
ｅ）前記情報生成ユーザーPiと前記情報利用ユーザーCjとの間でのストリームの交換中に、非永続型のセキュリティ設定を有する前記最適化モジュールが、前記セキュアセッション中に、前記サーバーに対して、クライアントとして見えるように、前記自律型エージェント（４２）と前記最適化モジュール（４８）との間で、前記非永続型のセキュリティ設定により開始されるセキュリティ手続きを適用するステップ。
前記クライアント（４０）と前記サーバー（４）との間で交換ネゴシエーションされる前記セキュリティ設定及び前記認証設定の、前記自律型エージェント（４２）から前記最適化モジュール（４８）への前記転送が、前記転送の許可または禁止のために前記中央エレメント（４４）により課される命令を適用する調整モジュール（５０）の認証を受ける、
請求項１に記載の方法。
前記クライアント（４０）と前記サーバー（４）との間で交換ネゴシエーションされる前記セキュリティ設定及び前記認証設定の、前記自律型エージェント（４２）から前記最適化モジュール（４８）への前記転送が、前記クライアント（４０）のアドミニストレーターにより事前に定義される少なくとも一つのルールを受ける、
請求項１に記載の方法。
前記ルールが、ある特定のストリームを最適化しないこと、または、最適化される前記セキュアセッションをログに記録すること、または、前記クライアント（４０）のユーザーに、ユーザーが使っている前記セキュアセッションが最適化されたことを知らせる警告を発すること、で構成される、
請求項３に記載の方法。
前記調整モジュール（５０）は、セキュアストリームが経路を変更する際に、二つの独立した最適化モジュール（４８）間において、最適化の作用の転送を調整する、
請求項２に記載の方法。
前記クライアント（４）が、専用のコントロールチャネルを介して、前記自律型ネットワークのコアと直接通信する、
請求項１に記載の方法。
情報生成ユーザーPiと情報利用ユーザーCjとの間で交換される前記セキュアデータのストリームが、電話通信、ビデオ通信、ビデオ会議等の、マルチメディア通信アプリケーション、または、ビデオオンデマンド、放送、コンテンツ放送等のマルチメディア分散アプリケーション、または、番号案内、双方向サービス等の相談アプリケーション、または、ピアツーピア交換、分散データベース等の情報共有アプリケーション、または、エレメントがリモートマシンで実行され、互いに同期して前記自律型ネットワークを越えてデータを交換するコンピュータアプリケーション、により生じる、
請求項１に記載の方法。
前記クライアント（４０）と前記サーバー（４）との間の相互の認証が、前記ストリームがIPsecプロトコルにより秘匿される場合、インターネット鍵交換（IKE）法に基づき、または、前記ストリームが、セキュアソケットレイヤー（SSL）またはトランスポートレイヤーセキュリティ（TLS）型のプロトコルにより秘匿される場合、ディジタル証明書の交換法に基づく、
請求項１に記載の方法。
前記クライアント（４０）が、一連のクライアントを代理するプロキシである、
請求項８に記載の方法。
複数の情報生成ユーザーPiと複数の情報利用ユーザーCjとの間での、自律型ネットワーク（３０）を介して交換されるセキュアデータのストリームの転送の最適化システムであって、
前記情報生成ユーザーPiと前記情報利用ユーザーCjとの間で交換される前記ストリームの相互の認証設定及びセキュリティ設定を交換ネゴシエーションし、この交換ネゴシエーションの後に、交換の完全性をチェックし、前記ストリームの前記セキュリティ設定に従い機密性の保護を実行するように構成される、少なくとも一つのクライアント（４０）及び／または少なくとも一つのサーバー（４）を各ユーザーが含み、
前記自律型ネットワーク（３０）が、
前記転送を最適化する命令を発令する少なくとも一つの中央エレメント（４４）と、
最適化される前記ストリームの特性を測定する少なくとも一つの観察モジュール（４６）と、
前記観察モジュール（４６）により得られる測定値を考慮しつつ前記最適化の命令を適用する少なくとも一つの最適化モジュール（４８）と
を含み、
前記最適化モジュール（４８）が、
前記クライアント（４０）と前記サーバー（４）との間でのセキュアセッションの開始を検出する手段と、
前記クライアント（４０）と前記サーバー（４）との間の前記交換ネゴシエーションの期間中に、待機期間を導入する手段と、
前記待機期間中に、前記クライアント（４０）に一体化された自律型エージェント（４２）とセキュアコントロールチャネルを確立して、前記最適化モジュール（４８）と前記自律型エージェント（４２）との間で非永続型のセキュリティ設定を交換する手段と、
前記自律型エージェント（４２）と前記最適化モジュール（４８）との間で、前記非永続型のセキュリティ設定を用いて、セキュリティ手続きを適用する手段と、
を含み、
前記情報生成ユーザーPiと前記情報利用ユーザーCjとの間でのストリームの交換中に、前記非永続型のセキュリティ設定を有する前記最適化モジュール（４８）が、前記セキュアセッション中に、前記サーバーに対して、クライアントとして見えること、
を特徴とするシステム。
記録媒体に記録されるコンピュータプログラムであって、コンピュータにより実行される場合に、請求項１に記載の方法を実行する命令を含む、コンピュータプログラム。