JP2015027031A - 通信システム - Google Patents

Abstract

【課題】Ｉｐｓｅｃ装置間でＳＡ情報の更新が行われた場合に、モニタリング装置に保持されたＳＡ情報の更新を効率良く行う。【解決手段】Ｉｐｓｅｃ装置１１０は、モニタリング装置１４０のＭＡＣアドレスを含む問合せパケットをモニタリング管理装置１５０送信し、モニタリング管理装置１５０からの問合せ応答情報が、モニタリング装置１４０が許可されていることを示し、かつ、問合せ応答情報に含まれたモニタリング対象のＭＡＣアドレスのうちに、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０のＭＡＣアドレスが含まれていることを条件に、第２のＩｐｓｅｃ装置１２０との間のＳＡ情報を問合せ応答情報に含まれるＳＡ情報取得用暗号鍵で暗号化してモニタリング装置１４０に送信する。その後、該ＳＡ情報が更新される度に、更新後のＳＡ情報を暗号化してモニタリング装置１４０に送信する。【選択図】図１

Description

本発明は暗号化通信特にＩｐｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）による暗号化通信においてパケットをモニタリングするための技術に関する。

ブロードバンドサービスの普及に伴い、通信のセキュリティ問題も深刻化する一方である。セキュリティ性を高めるために、Ｅｎｄ−ｔｏ−Ｅｎｄ通信が行われている。

Ｅｎｄ−ｔｏ−Ｅｎｄ通信を実現するための仕組みの１つとして、Ｉｐｓｅｃが標準化されている。

Ｉｐｓｅｃは、暗号技術を用いて、ＩＰパケット単位でデータの改竄防止や秘匿機能を提供しており、通信路において通信内容を覗き見られたり改竄されることを防止できる。

Ｉｐｓｅｃでは、プロトコルやポート番号などによって複数の暗号化方式や暗号鍵、セキュリティプロトコルを使用することができ、それらのパラメータは、Ｉｐｓｅｃによる暗号化通信を行う装置（「Ｉｐｓｅｃ装置」）間で共有されている。このようにＩｐｓｅｃ装置双方で共有するパラメータを「ＳＡ情報」（ＳＡ：Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）といい、ＳＡ情報を管理するデータベースを「ＳＡＤ」（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）という。ＳＡＤに格納されているＳＡ情報は、Ｉｐｓｅｃパケットの暗号化、復号化に必要な各種情報（共有秘密鍵、セキュリティプロトコル、暗号化アルゴリズム、有効期限、カプセルモードなど）などである。

Ｉｐｓｅｃ装置は、ＩＰパケットを送信する際に、該ＩＰパケットに合致するＳＡ情報に基づいて暗号化処理を行い、ＩＰパケットを受信する際に、該ＩＰパケットのヘッダからＳＡ情報を検索して復号処理を行う。

従って、２つのＩｐｓｅｃ装置がＩｐｓｅｃによる通信を行うためには、夫々、互いに共通のＳＡ情報を有するＳＡＤを構築する必要がある。

２つのＩｐｓｅｃ装置が、ＳＡＤにＳＡ情報が存在しない状態から、共通のＳＡ情報を有するＳＡＤを構築し、Ｉｐｓｅｃによる通信が行える状態になるまでのプロセスを「ＳＡ確立シーケンス」または「ＩｐｓｅｃＳＡ確立シーケンス」という。

ここで、図４を参照してＳＡ確立シーケンスの概要を説明する。例として、ＳＡ確立シーケンスを行う２つのＩｐｓｅｃ装置が夫々Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０であり、Ｉｐｓｅｃ装置２０主導でＩｐｓｅｃ装置１０に対してＳＡ確立シーケンスが行われるとする。なお、図４において、矢印付きの１本線は、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間で送受信される平文のパケットを意味し、矢印付きの２本線は、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間送受信される暗号化されたパケットを意味する。

図４に示すように、まず、鍵交換シーケンスが行われる（Ｓ１１〜Ｓ２４）。
鍵交換シーケンスは、ＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）プロトコルに従って行われ、これは、ＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）とも呼ばれる。該シーケンスにおいて、２つのＩｐｓｅｃ装置は、認証と暗号鍵の交換を行う。

まず、Ｉｐｓｅｃ装置２０は、Ｉｐｓｅｃ装置１０に対して、Ｉｐｓｅｃ確立のためのＩＳＡＫＭＰの提案を行う（Ｓ１１）。これを受けて、Ｉｐｓｅｃ装置１０は、Ｉｐｓｅｃ装置２０に対して、ＩＳＡＫＭＰを行うことを受諾する（Ｓ１２）。

次に、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０は、夫々自装置内にて乱数を発生させると共に、該乱数に対してＤＨ計算（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵共有アルゴリズムによる計算）を行うことにより、通信路に公開してもよい鍵（公開鍵Ａ、公開鍵Ｂ）を作成する（Ｓ２１、Ｓ２２）。ＤＨ計算の詳細については、後述する。

そして、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０は、自身で作成した公開鍵を相手側に送信する（Ｓ２３）。

次いで、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０は、夫々、公開鍵Ａと公開鍵Ｂとに対してＤＨ計算を行い、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間で共有する秘密鍵（共有秘密鍵）Ｘを求める。

最後に、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０は、Ｉｐｓｅｃの適用条件と暗号鍵の交換を行う（Ｓ３１、Ｓ３２）。これにて、ＳＡ確立シーケンスが完了し、ＩｐｓｅｃＳＡが確立する（Ｓ３３）。

ＳＡ確立後のＩｐｓｅｃ装置は、相手側にＩＰパケットを送信するときは、該ＩＰパケットをＳＡ情報に従い暗号化し、通信路に送出する（Ｓ４１）。従って、通信路に公開されたＩＰパケットは、暗号化されたＩＰパケットである。

暗号化されたＩＰパケットを受信したＩｐｓｅｃ装置は、そのＩＰパケットに対応するＳＡ情報を検索し、検索されたＳＡ情報に含まれる共有秘密鍵Ｘを使用して受信パケットの復号化を行う（Ｓ４２）。

なお、一旦保持したＳＡ情報は、有効期限が切れたり、Ｉｐｓｅｃ装置がリセットされると、削除される。その後、再度通信を行うためには、図４に示すＳ１１〜Ｓ３３までの処理により再度ＳＡ確立シーケンスを行い、ＳＡ情報を更新する必要がある。

また、ＤＨ計算により生成される共有秘密鍵Ｘは、図４のＳ２１に示すように、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０で夫々生成された乱数を元に算出されるため、ＳＡ確立シーケンスが行われる度に異なる値になる。

ここで、図４のＳ２２とＳ２４で行われるＤＨ計算について説明する。
Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０は、互いに合意した数ｇ、ｐを用意する。これらの数ｇ、ｐについての合意は、図４のＳ１１とＳ１２で行われる。

そして、Ｉｐｓｅｃ装置１０は、自装置内で生成した秘密の乱数ｘを用いて、下記の式（１）に従って公開鍵Ａを生成してＩｐｓｅｃ装置２０に送信し、Ｉｐｓｅｃ装置２０は、自装置内で生成した秘密の乱数ｙを用いて、下記の式（２）に従って公開鍵Ｂを生成してＩｐｓｅｃ装置１０に送信する。なお、式（１）と式（２）において、「ｍｏｄ」は、除算の余りを求める演算を示す。
Ａ＝ｇ^ｘ ｍｏｄ ｐ （１）
Ｂ＝ｇ^ｙ ｍｏｄ ｐ （２）

次いで、Ｉｐｓｅｃ装置１０は、Ｉｐｓｅｃ装置２０から受信した公開鍵Ｂを用いて式（３）に示す演算により値ＫＡを算出し、Ｉｐｓｅｃ装置２０は、Ｉｐｓｅｃ装置１０から受信した公開鍵Ａを用いて式（４）に示す演算により値ＫＢを算出する。なお、式（３）と式（４）における「ｍｏｄ」も、除算の余りを求める演算を示す。
ＫＡ＝Ａ^ｘ ｍｏｄ ｐ （３）
ＫＢ＝Ｂ^ｙ ｍｏｄ ｐ （４）

Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０が算出した値ＫＡとＫＢは、式（５）に示す関係を満たし、同様の値であり、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０の共有秘密鍵Ｘになる。
Ｘ＝ＫＡ＝ＫＢ＝Ｂ^ｘ ｍｏｄ ｐ＝ｇ^ｘｙ ｍｏｄ ｐ＝Ａ^ｙ ｍｏｄ ｐ （５）

共有秘密鍵Ｘを算出するまでに使用された各数値は、乱数ｘと乱数ｙを除き、全て通信路に公開されるが、それらのを第三者が入手しても、共有秘密鍵Ｘを算出することができない。そのため、値ｐを極めて大きな値にすることにより、共有秘密鍵Ｘを第三者で生成することがほぼ不可能である。

すなわち、第三者により共有秘密鍵Ｘを判明する可能性が極めて低いため、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間の通信が安全である。

ところが、ウイルスやワーム等の被害の増加に伴い、ＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）等のネットワーク事業者や、会社単位のイントラネットのサーバなどでは、送受信されるＩＰパケットを監視することが行われている（例えば特許文献１）。

ＩＰパケットを監視し、その中身を確認するためには、該ＩＰパケットを復号する必要がある。しかし、前述したように、Ｉｐｓｅｃによる暗号化通信の場合、送受信双方のＩｐｓｅｃ装置が共有するＳＡ情報例えば共有秘密鍵Ｘは、該２つのＩｐｓｅｃ装置のみが知り得るものである。

図５に示す通信システム１を用いて、Ｉｐｓｅｃによる暗号化通信において、Ｉｐｓｅｃ装置間で送受信されるＩＰパケットを監視する従来の手法の例を説明する。

図５に示すように、通信システム１において、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０は、ネットワーク３０を介して接続されている。また、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間の通信を監視するモニタリング装置４０も、ネットワーク３０に接続されている。

Ｉｐｓｅｃ装置１０は、Ｉｐｓｅｃ装置２０との間でＳＡ確立シーケンスを行うＳＡ確立部１２と、ＳＡ確立後に、Ｉｐｓｅｃ装置２０へ送信するデータを暗号化してネットワーク３０に送出すると共に、Ｉｐｓｅｃ装置２０からのデータ（暗号化されたパケット）を受信するデータ送受信部１４と、ＳＡ確立シーケンスにより得た、Ｉｐｓｅｃ装置２０との間で共有されるＳＡ情報を格納するＳＡＤ１６を有する。データ送受信部１４は、ＳＡＤ１６に格納されたＳＡ情報を用いて送信データの暗号化と受信データの復号を行う。

同様に、Ｉｐｓｅｃ装置２０は、Ｉｐｓｅｃ装置１０との間でＳＡ確立シーケンスを行うＳＡ確立部２２と、ＳＡ確立後に、Ｉｐｓｅｃ装置１０へ送信するデータを暗号化してネットワーク３０に送出すると共に、Ｉｐｓｅｃ装置１０からのデータ（暗号化されたパケット）を受信するデータ送受信部２４と、ＳＡ確立シーケンスにより得た、Ｉｐｓｅｃ装置１０との間で共有されるＳＡ情報を格納するＳＡＤ２６を有する。データ送受信部２４は、ＳＡＤ２６に格納されたＳＡ情報を用いて送信データの暗号化と受信データの復号を行う。ＳＡＤ１６とＳＡＤ２６には同様のＳＡ情報が格納されており、このＳＡ情報は、前述共有秘密鍵Ｘ、セキュリティプロトコル、暗号化アルゴリズム、ＳＡ情報の有効期限、カプセル化モードなどを含む。

モニタリング装置４０は、ネットワーク３０を介して、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間で送受信されるパケットを受信して復号するモニタリング実行部４２と、ＳＡ情報記憶部４６を備える。ＳＡ情報記憶部４６は、管理者５０により設定されたＳＡ情報を保存し、モニタリング実行部４２は、ＳＡ情報記憶部４６に保存されたＳＡ情報を用いてパケットを復号する。

Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間で送受信されるパケットを監視するために、管理者５０は、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０のＳＡ確立シーケンスの完了後に、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０のいずれか一方例えばＩｐｓｅｃ装置１０のＳＡＤ１６からＳＡ情報を取得して、モニタリング装置４０のＳＡ情報記憶部４６に設定する。

これにより、モニタリング装置４０のＳＡ情報記憶部４６には、Ｉｐｓｅｃ装置１０のＳＡＤ１６及びＩｐｓｅｃ装置２０のＳＡＤ２６に保持されているものと同様のＳＡ情報が保存されるため、モニタリング実行部４２は、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間で送受信されるパケットを復号し、モニタリングすることができる。

特開２００８−２８８７５７号公報

しかし、前述したように、ＳＡ情報の有効期限切れや、Ｉｐｓｅｃ装置１０またはＩｐｓｅｃ装置２０のいずれか一方のリセットなどが生じる度に、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間でＳＡ確立シーケンスが再度行われる。その結果、少なくとも共有秘密鍵Ｘが変ってしまう。従って、ＳＡ確立シーケンスが行われる度に、モニタリング装置４０が保持するＩｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間のＳＡ情報を更新しないと、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間で送受信されるパケットの復号ができず、監視ができなくなってしまう。

そのため、管理者５０は、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間でＳＡ確立シーケンスが行われる度に、Ｉｐｓｅｃ装置１０のＳＡＤ１６から新しいＳＡ情報を取得して、モニタリング装置４０のＳＡ情報記憶部４６に対して設定する必要がある。これでは、特にモニタリングの対象となるＩｐｓｅｃ装置が多い場合には、大変な手間である。

さらに、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間でＳＡ情報を更新してから、管理者５０が新しいＳＡ情報を取得してモニタリング装置４０に対して設定し終えるまでは、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間の通信をモニタリングできない。すなわち、Ｉｐｓｅｃ装置１０とＩｐｓｅｃ装置２０間でＳＡ情報の更新が生じる度に、それらの通信をモニタリングできる期間が生じてしまう。

本発明は、上記事情に鑑みてなされたものであり、モニタリング対象のＩｐｓｅｃ装置間でＳＡ情報の更新が行われた場合に、モニタリング装置に保持された当該Ｉｐｓｅｃ装置間のＳＡ情報の更新を効率良く行う技術を提供する。

本発明の１つの態様は、通信システムである。該通信システムは、Ｉｐｓｅｃによる暗号化通信を行う第１のＩｐｓｅｃ装置と第２のＩｐｓｅｃ装置と、前記第１のＩｐｓｅｃ装置と前記第２のＩｐｓｅｃ装置間の通信のモニタリングを行うための第１のモニタリング装置と、モニタリング管理装置とを備える。

前記モニタリング管理装置は、通信のモニタリングを許可された夫々のモニタリング装置毎に、該モニタリング装置のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスと、該モニタリング装置の監視対象となる各Ｉｐｓｅｃ装置のＭＡＣアドレスと、所定の暗号鍵であるＳＡ情報取得用暗号鍵とを対応付けて記憶するモニタリング装置データベースを有する。

前記第１のＩｐｓｅｃ装置は、ＳＡ情報通知部を有する。
該ＳＡ情報通知部は、前記第１のモニタリング装置からモニタリング開始要求を受信した際に、該第１のモニタリング装置のＭＡＣアドレスを含む問合せパケットを前記モニタリング管理装置に送信すると共に、該問合せパケットに応じて前記モニタリング管理装置から返送された問合せ応答情報が前記第１のモニタリング装置が前記モニタリングを許可されていることを示し、かつ、前記問合せ応答情報に含まれた、前記第１のモニタリング装置のモニタリング対象のＭＡＣアドレスのうちに、前記第１のＩｐｓｅｃ装置と前記第２のＩｐｓｅｃ装置のＭＡＣアドレスが含まれていることを条件に、前記第２のＩｐｓｅｃ装置との間のＳＡ情報を前記問合せ応答情報に含まれる前記ＳＡ情報取得用暗号鍵で暗号化して前記第１のモニタリング装置に送信する。その後、前記ＳＡ情報通知部は、前記第２のＩｐｓｅｃ装置との間で前記ＳＡ情報の更新が行われる度に、前記ＳＡ情報取得用暗号鍵で更新後の前記ＳＡ情報を暗号化して前記第１のモニタリング装置に送信する。

前記モニタリング管理装置は、前記第１のＩｐｓｅｃ装置から前記問合せパケットを受信したときに、該問合せパケットに含まれるＭＡＣアドレスが前記モニタリングを許可されたモニタリング装置のＭＡＣアドレスとして前記モニタリング装置データベースに格納されていることを条件に、該モニタリング装置の監視対象のＩｐｓｅｃ装置のＭＡＣアドレスおよび前記ＳＡ情報取得用暗号鍵とを問合せ応答情報として前記第１のＩｐｓｅｃ装置に返送する。

前記第１のモニタリング装置は、前記第１のＩｐｓｅｃ装置と前記第２のＩｐｓｅｃ装置間のＳＡ情報を格納するためのＳＡ情報記憶部と、前記ＳＡ情報記憶部に記憶された前記ＳＡ情報を用いて、前記第１のＩｐｓｅｃ装置と前記第２のＩｐｓｅｃ装置間で送受信されるＩＰパケットを復号するモニタリング実行部と、モニタリング制御部とを有する。

前記モニタリング制御部は、前記ＳＡ情報取得用暗号鍵に対応する復号鍵であるＳＡ情報復号鍵を保持しており、モニタリング開始指示に応じて前記第１のＩｐｓｅｃ装置にモニタリング開始要求を送信すると共に、前記第１のＩｐｓｅｃ装置から前記ＳＡ情報を受信する度に、前記ＳＡ情報記憶部に記憶された前記ＳＡ情報を受信した前記ＳＡ情報に更新する。

なお、上記態様のシステムを方法に置き換えて表現したものや、該システムに含まれる第１のＩｐｓｅｃ装置、第１のモニタリング装置、モニタリング管理装置、及びコンピュータをこれらの装置のいずれか１つとして動作せしめるプログラムなども、本発明の態様としては有効である。

本発明にかかる技術によれば、モニタリング対象のＩｐｓｅｃ装置間でＳＡ情報の更新が行われた場合に、モニタリング装置に保持された当該Ｉｐｓｅｃ装置間のＳＡ情報の更新を効率良く行うことができる。

実施の形態にかかる通信システムを示す図である。 図１に示す通信システムにおける処理の流れの例を示すフローチャートである（その１）。 図１に示す通信システムにおける処理の流れの例を示すフローチャートである（その２）。 ＩｐｓｅｃＳＡ確立シーケンスの概要を説明するための図である。 Ｉｐｓｅｃによる暗号化通信をモニタリングする従来の手法を説明するための図である。

以下、図面を参照して本発明の実施の形態について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、様々な処理を行う機能ブロックとして図面に記載される各要素は、ハードウェアとソフトウェア（プログラム）の組合せによっていろいろな形で実現できることは当業者には理解されるところであり、ハードウェアとソフトウェアのいずれかに限定されるものではない。なお、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。

また、上述したプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（ｎｏｎ−ｔｒａｎｓｉｔｏｒｙ ｃｏｍｐｕｔｅｒ ｒｅａｄａｂｌｅ ｍｅｄｉｕｍ）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（ｔａｎｇｉｂｌｅ ｓｔｏｒａｇｅ ｍｅｄｉｕｍ）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ−ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）ＣＤ−Ｒ、ＣＤ−Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ ＰＲＯＭ）、フラッシュＲＯＭ、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（ｔｒａｎｓｉｔｏｒｙ ｃｏｍｐｕｔｅｒ ｒｅａｄａｂｌｅ ｍｅｄｉｕｍ）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。

図１は、本発明の実施の形態にかかる通信システム１００を示す。通信システム１００は、Ｉｐｓｅｃによる暗号化通信を行う複数のＩｐｓｅｃ装置と、複数のモニタリング装置と、モニタリング管理装置１５０を有し、これらの装置は、ネットワーク３０に接続されている。

図１において、通信システム１００の複数のＩｐｓｅｃ装置のうちの第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０を示しており、複数のモニタリング装置のうちの第１のモニタリング装置となるモニタリング装置１４０を示している。モニタリング装置１４０は、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間の通信をモニタリングするためのものである。

第１のＩｐｓｅｃ装置１１０は、図５に示す通信システム１におけるＩｐｓｅｃ装置１０と比べ、さらにＳＡ情報通知部１１２を備える。この点を除き、第１のＩｐｓｅｃ装置１１０は、Ｉｐｓｅｃ装置１０と同様である。

第２のＩｐｓｅｃ装置１２０は、図５に示す通信システム１におけるＩｐｓｅｃ装置２０と比べ、さらにＳＡ情報通知部１２２を備える。この点を除き、第２のＩｐｓｅｃ装置１２０は、Ｉｐｓｅｃ装置２０と同様である。

モニタリング装置１４０は、図５に示す通信システム１におけるモニタリング装置４０と比べ、モニタリング制御部１４２とモニタリングデータベース１４４をさらに備える。この点を除き、モニタリング装置１４０は、モニタリング装置４０と同様である。

モニタリング管理装置１５０は、図５に示す通信システム１に無いものである。モニタリング管理装置１５０は、管理実行部１５２とモニタリング装置データベース１５４を備える。モニタリング装置データベース１５４は、通信システム１００における、Ｉｐｓｅｃによる暗号化通信をモニタリングすることを許可されたモニタリング装置毎に、そのＭＡＣアドレスと、ＳＡ情報取得用暗号鍵と、モニタリング対象の各Ｉｐｓｅｃ装置のＭＡＣアドレスとを対応付けて記憶している。

例えば、モニタリング装置データベース１５４には、モニタリング装置１４０について、そのＭＡＣアドレス、ＳＡ情報取得用暗号鍵、モニタリング対象の第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０のＭＡＣアドレスが対応付けて記憶されている。

同様に、他のモニタリング装置ＸＸＸ（図示せず）についても、そのＭＡＣアドレス、ＳＡ情報取得用暗号鍵、モニタリング対象のＩｐｓｅｃ装置ＸＸ１とＩｐｓｅｃ装置ＸＸ２（図示せず）のＭＡＣアドレス）が対応付けて記憶されている。

モニタリング管理装置１５０のモニタリング装置データベース１５４は、管理者１６０により予め設定されている。

以下、通信システム１００の各装置を詳細に説明する。説明に際して、図５に示す通信システム１における機能ブロックと同様のものについては、詳細な説明を省略する。

モニタリング装置１４０におけるモニタリングデータベース１４４は、ＳＡ情報復号鍵と、監視対象の第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０のＭＡＣアドレスを記憶している。これらは、管理者１６０により予め設定されている。

ＳＡ情報復号鍵は、モニタリング管理装置１５０のモニタリング装置データベース１５４に記憶されたモニタリング装置１４０のＳＡ情報取得用暗号鍵に対応し、該ＳＡ情報取得用暗号鍵により暗号化されたパケットは、上記ＳＡ情報復号鍵によりのみ復号可能である。

モニタリング制御部１４２は、管理者１６０によりモニタリング開始指示がなされたときに、ネットワーク３０を介して、モニタリング開始要求を第１のＩｐｓｅｃ装置１１０に送信する。なお、このモニタリング開始要求は、ＩＰパケットであるため、そのヘッダには、モニタリング装置１４０のＭＡＣアドレスが含まれている。また、該モニタリング開始要求には、モニタリング装置１４０のモニタリング対象となる第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０のＭＡＣアドレスも含まれている。

また、モニタリング制御部１４２は、第１のＩｐｓｅｃ装置１１０からＳＡ情報を受信する度に、モニタリングデータベース１４４に記憶されたＳＡ情報復号鍵で該ＳＡ情報を復号すると共に、該ＳＡ情報で、ＳＡ情報記憶部４６に保持されているＳＡ情報を更新する。

第１のＩｐｓｅｃ装置１１０におけるＳＡ情報通知部１１２は、モニタリング装置１４０からモニタリング開始要求を受信したときに、該モニタリング開始要求のヘッダからモニタリング装置１４０のＭＡＣアドレスを取得して、モニタリング装置１４０のＭＡＣアドレスを含む問合せパケットを作成してモニタリング管理装置１５０に送信する。

上記問合せパケットに対して、モニタリング管理装置１５０は問合せ応答情報を第１のＩｐｓｅｃ装置１１０に返答する。モニタリング管理装置１５０からの問合せ応答情報は、２種類がある。１つは、問合せパケットに含まれるＭＡＣアドレスに対応するモニタリング装置がモニタリングを許可されていないモニタリング装置であることを示す情報である。もう１つは、問合せパケットに含まれるＭＡＣアドレスに対応するモニタリング装置がモニタリングを許可されているモニタリング装置であることを示す情報である。後者の場合、問合せ応答情報には、該モニタリング装置のＳＡ情報取得用暗号鍵と、その監視対象の各Ｉｐｓｅｃ装置のＭＡＣアドレスも含まれている。

本実施の形態において、モニタリング装置１４０がモニタリングを許可されたモニタリング装置であるとして、それに関する種々の情報が、図１に示すように管理者１６０により予めモニタリング管理装置１５０のモニタリング装置データベース１５４に設定されている。

そのため、第１のＩｐｓｅｃ装置１１０からの問合せパケットに対して、モニタリング管理装置１５０は、モニタリング装置１４０のＳＡ情報取得用暗号鍵と、第１のＩｐｓｅｃ装置１１０及び第２のＩｐｓｅｃ装置１２０のＭＡＣアドレスとを問合せ応答情報として第１のＩｐｓｅｃ装置１１０に返送する。

第１のＩｐｓｅｃ装置１１０のＳＡ情報通知部１１２は、モニタリング管理装置１５０からの問合せ応答情報が当該モニタリング装置がモニタリングを許可されていないモニタリング装置であることを示すときに、モニタリング開始要求を送信したモニタリング装置に「モニタリング不可」を示す情報を応答する。

また、ＳＡ情報通知部１１２は、モニタリング管理装置１５０からの問合せ応答情報が当該モニタリング装置がモニタリングを許可されたモニタリング装置であることを示す場合であっても、その監視対象のＩｐｓｅｃ装置のＭＡＣアドレスのうちに、モニタリング開始要求に含まれるモニタリング対象のＩｐｓｅｃ装置のＭＡＣアドレスが無い場合にも、モニタリング開始要求を送信したモニタリング装置に「モニタリング不可」を示す情報を応答する。

一方、モニタリング管理装置１５０からの問合せ応答情報が当該モニタリング装置がモニタリングを許可されたモニタリング装置であり、かつ、そのモニタリング対象のＭＡＣアドレスのうちに、モニタリング開始要求に含まれるモニタリング対象のＩｐｓｅｃ装置のＭＡＣアドレスがある場合には、ＳＡ確立部１２は、モニタリング開始要求を送信したモニタリング装置に、ＳＡＤ１６に保持されている、第１のＩｐｓｅｃ装置１１０と、モニタリング開始要求に含まれた他のＩｐｓｅｃ装置との間のＳＡ情報を、モニタリング管理装置１５０からの問合せ応答情報に含まれるＳＡ情報取得用暗号鍵で暗号化して当該モニタリング装置に送信する。

ここでは、モニタリング装置１４０からのモニタリング開始要求を受信した後に第１のＩｐｓｅｃ装置１１０がモニタリング管理装置１５０に送信した問合せパケットに対して、モニタリング管理装置１５０は、モニタリング装置データベース１５４を参照して、モニタリング装置１４０のＳＡ情報取得用暗号鍵と、第１のＩｐｓｅｃ装置１１０及び第２のＩｐｓｅｃ装置１２０のＭＡＣアドレスとを問合せ応答情報として第１のＩｐｓｅｃ装置１１０に返送するため、第１のＩｐｓｅｃ装置１１０のＳＡ情報通知部１１２は、この問合せ応答情報を受信すると、ＳＡＤ１６に格納された、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間のＳＡ情報をモニタリング装置１４０に送信する。

さらに、その後、ＳＡ情報通知部１１２は、モニタリング装置１４０のＳＡ情報取得用暗号鍵を保持し、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間でＳＡ情報の更新が生じる度に、更新後のＳＡ情報を該ＳＡ情報取得用暗号鍵で暗号化してモニタリング装置１４０に送信する。

第２のＩｐｓｅｃ装置１２０におけるＳＡ情報通知部１２２は、ＳＡ情報通知部１１２と同様の動作をするものであり、ここで詳細な説明を省略する。

モニタリング管理装置１５０において、管理実行部１５２は、いずれかのＩｐｓｅｃ装置から問合せパケットを受信すると、モニタリング装置データベース１５４を参照し、該問合せパケットに含まれるモニタリング装置のＭＡＣアドレスについての設定があるか否かを確認する。有れば、管理実行部１５２は、そのＭＡＣアドレスに対応するＳＡ情報取得用暗号鍵と、監視対象の各Ｉｐｓｅｃ装置のＭＡＣアドレスとを問合せ応答情報として、問合せパケットを送信したＩｐｓｅｃ装置に返答する。一方、問合せパケットに含まれたモニタリング装置のＭＡＣアドレスについての設定がモニタリング装置データベース１５４に無い場合には、管理実行部１５２は、当該モニタリング装置がモニタリングを許可されていないことを示す問合せ応答情報を返答する。

前述したように、第１のＩｐｓｅｃ装置１１０からの、モニタリング装置１４０についての問合せパケットに対しては、管理実行部１５２は、モニタリング装置データベース１５４に格納されたモニタリング装置１４０のＳＡ情報取得用暗号鍵と、第１のＩｐｓｅｃ装置１１０及び第２のＩｐｓｅｃ装置１２０のＭＡＣアドレスとを問合せ応答情報として第１のＩｐｓｅｃ装置１１０に返答する。

図２を参照して、モニタリング装置１４０が第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間のＳＡ情報を第１のＩｐｓｅｃ装置１１０から取得する場合に、モニタリング装置１４０におけるモニタリング制御部１４２、第１のＩｐｓｅｃ装置１１０におけるＳＡ情報通知部１１２、モニタリング管理装置１５０における管理実行部１５２の処理を詳細に説明する。なお、図２において、矢印付きの１本実線は、ネットワーク３０を介して送受信され、暗号化されていない信号（パケット）を示し、矢印付きの２本実線は、ネットワーク３０を介して送受信され、暗号化された信号（パケット）を示す。また、矢印付きの１本点線は、ネットワーク３０を経由しない信号を示す。

図２に示すように、管理者１６０がモニタリング制御部１４２に対して、ＳＡ情報の取得先のＩｐｓｅｃ装置（ここでは第１のＩｐｓｅｃ装置１１０）のＭＡＣアドレスを指定してモニタリング開始指示をする（Ｓ１００）。このモニタリング開始指示は、例えば、管理者１６０がモニタリング装置１４０のキーボードなどの図示しない入力装置によりモニタリング装置１４０に入力することによりなされる。

第１のＩｐｓｅｃ装置１１０のモニタリング制御部１４２は、モニタリング開始指示を受けると、モニタリング開始指示により指定された第１のＩｐｓｅｃ装置１１０にモニタリング開始要求を送信する（Ｓ１０２）。

第１のＩｐｓｅｃ装置１１０のＳＡ情報通知部１１２は、モニタリング装置１４０からモニタリング開始要求を受信すると、モニタリング管理装置１５０に問合せパケットを送信する（Ｓ１０４）。前述したように、この問合せパケットには、モニタリング装置１４０のＭＡＣアドレスが含まれている。

モニタリング管理装置１５０の管理実行部１５２は、第１のＩｐｓｅｃ装置１１０から問合せパケットを受信すると、モニタリング装置データベース１５４を参照して、問合せパケットに含まれたモニタリング装置１４０のＭＡＣアドレスがモニタリング装置データベース１５４にあるか否かを確認することにより、モニタリング装置１４０がモニタリングを許可されたモニタリング装置であるか否かを判定する（Ｓ１０６）。

モニタリング装置データベース１５４にモニタリング装置１４０のＭＡＣアドレスが無い場合には、管理実行部１５２は、モニタリング装置１４０がモニタリングを許可されていないモニタリング装置であることを示す問合せ応答情報を第１のＩｐｓｅｃ装置１１０に返送する（Ｓ１０６：Ｎｏ、Ｓ１０８）。

一方、モニタリング装置データベース１５４にモニタリング装置１４０のＭＡＣアドレスがある場合には、管理実行部１５２は、モニタリング装置１４０がモニタリングを許可されたモニタリング装置であるとして、そのＭＡＣアドレスに対応付けてモニタリング装置データベース１５４に記憶されたＳＡ情報取得用暗号鍵と、そのモニタリング対象のＩｐｓｅｃ装置（ここでは第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０）のＭＡＣアドレスとを問合せ応答情報として第１のＩｐｓｅｃ装置１１０に返送する（Ｓ１０６：Ｙｅｓ、Ｓ１１０）。

第１のＩｐｓｅｃ装置１１０のＳＡ情報通知部１１２は、モニタリング管理装置１５０からの問合せ応答情報が、モニタリング装置１４０がモニタリングを許可されていないことを示すときに、モニタリング装置１４０に「モニタリング不可」を示す返答をする（Ｓ１１２：Ｎｏ、Ｓ１１４）。

また、ＳＡ情報通知部１１２は、モニタリング管理装置１５０からの問合せ応答情報が、モニタリング装置１４０がモニタリングを許可されていることを示す場合には、さらに、問合せ応答情報に含まれる各モニタリング対象のＭＡＣアドレスがＳＡＤ１６にあるか否かを確認し、無い場合には、モニタリング装置１４０に「モニタリング不可」を示す返答をする（Ｓ１１２：Ｙｅｓ、Ｓ１２０：Ｎｏ、Ｓ１２２）。

モニタリング装置１４０のモニタリング制御部１４２は、第１のＩｐｓｅｃ装置１１０から「モニタリング不可」を示す返答を受けると、「モニタリング不可」のメッセージを例えば図示しないモニタなどの表示装置に表示して、管理者１６０に通知する（Ｓ１１４、Ｓ１１６、または、Ｓ１２２、Ｓ１２４）。

ステップＳ１２０において、ＳＡ情報通知部１１２は、問合せ応答情報に含まれる各モニタリング対象のＭＡＣアドレスがＳＡＤ１６にあることを確認した場合には（Ｓ１１２：Ｙｅｓ、Ｓ１２０：Ｙｅｓ）、すなわち、第１のＩｐｓｅｃ装置１１０を含むこれらのＩｐｓｅｃ装置（ここでは第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０）間で既にＳＡ確立シーケンスが実行された場合には、ステップＳ１１０でモニタリング管理装置１５０から受信した問合せ応答情報に含まれるＳＡ情報取得用暗号鍵で当該ＳＡ情報を暗号化してモニタリング装置１４０に送信する（Ｓ１３０、Ｓ１３２）。

その後、ＳＡ情報通知部１１２は、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間のＳＡ情報の期限切れや、リセット等によりＳＡ確立シーケンスが行われ、ＳＡ情報が更新される度に、ＳＡ情報取得用暗号鍵で更新後のＳＡ情報を暗号化してモニタリング装置１４０に送信する（Ｓ１３４：Ｙｅｓ、Ｓ１３０、Ｓ１３２）。

モニタリング装置１４０のモニタリング制御部１４２は、モニタリング要求を第１のＩｐｓｅｃ装置１１０に送信した後に第１のＩｐｓｅｃ装置１１０から１回目のＳＡ情報を受信したときに、ＳＡ情報復号鍵で該ＳＡ情報を復号してＳＡ情報記憶部４６に格納する（Ｓ１４０）。

その後、モニタリング制御部１４２は、第１のＩｐｓｅｃ装置１１０からＳＡ情報を受信する度に、ＳＡ情報復号鍵で受信したＳＡ情報を復号し、ＳＡ情報記憶部４６に記憶されたＳＡ情報を更新する（Ｓ１４０）。

図３を参照して、通信システム１全体の処理の流れの例を説明する。図３において、図２と同じように、矢印付きの１本実線は、ネットワーク３０を介して送受信され、暗号化されていない信号（パケット）を示し、矢印付きの２本実線は、ネットワーク３０を介して送受信され、暗号化された信号（パケット）を示す。また、矢印付きの１本点線は、ネットワーク３０を経由しない信号を示す。また、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間で送受信されるパケットを示す矩形のうちに、網状に塗り潰されたものは、共有秘密鍵Ｘ１に対応するパケットであり、斜線で塗り潰されたものは、共有秘密鍵Ｘ２に対応するパケットである。

図３に示すように、まず、管理者１６０は、モニタリング管理装置１５０に対して、モニタリングを許可された各モニタリング装置毎に、ＳＡ情報取得用暗号鍵や、監視対象の各Ｉｐｓｅｃ装置のＭＡＣアドレスなどの各種情報をモニタリング装置データベース１５４に設定する（Ｓ１５０）。

また、管理者１６０は、モニタリング装置１４０に対して、ＳＡ情報復号鍵や、その監視対象のＩｐｓｅｃ装置（ここでは第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０）のＭＡＣアドレスをモニタリングデータベース１４４に設定する（Ｓ１５２）。

次いで、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０は、ＳＡ確立シーケンスを実行し、共通のＳＡ情報を格納するＳＡＤ１６とＳＡＤ２６を夫々構築する（Ｓ１５４）。このとき、ＳＡＤ１６とＳＡＤ２６に格納されたＳＡ情報に含まれる共有秘密鍵が共有秘密鍵Ｘ１であるとする。

そして、管理者１６０は、ＳＡ情報の取得先のＩｐｓｅｃ装置として第１のＩｐｓｅｃ装置１１０のＭＡＣアドレスを指定して、モニタリング装置１４０にモニタリング開始指示をする（Ｓ１５６）。このステップＳ１５６は、図２に示すステップＳ１００と同様である。

モニタリング開始指示に応じて、モニタリング装置１４０と第１のＩｐｓｅｃ装置１１０間、及び第１のＩｐｓｅｃ装置１１０とモニタリング管理装置１５０間で、図２に示すステップ１０２〜Ｓ１４０の処理が行われる（Ｓ１６０）。その結果、共有秘密鍵Ｘ１を含む、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間のＳＡ情報は、モニタリング装置１４０のＳＡ情報記憶部４６に格納される。

その後、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間で暗号化されたパケットの送受信が行われる（Ｓ１６２、Ｓ１６６）。これらのパケットは、モニタリング装置１４０によりも受信される（Ｓ１６４、Ｓ１６８）。

モニタリング装置１４０は、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間の現在のＳＡ情報（共有秘密鍵Ｘ１）を保持しているため、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間で送受信されるパケットを復号してモニタリングすることができる。

その後、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間のＳＡ情報の期限切れや、リセットなどにより、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間でＳＡ確立シーケンスが再度行われ、ＳＡ情報の再構築が行われる（Ｓ１７０）。ＳＡ情報に含まれる共有秘密鍵が、共有秘密鍵Ｘ２に変ったとする。

ステップＳ１７０におけるＳＡ確立シーケンスの完了に伴って、第１のＩｐｓｅｃ装置１１０のＳＡ情報通知部１１２は、新しい共有秘密鍵（Ｘ２）を含む新しいＳＡ情報をＳＡ情報取得用暗号鍵で暗号化してモニタリング装置１４０に送信する（Ｓ１７２）。

モニタリング装置１４０は、第１のＩｐｓｅｃ装置１１０から新しいＳＡ情報を受信すると、ＳＡ情報復号鍵で該ＳＡ情報を復号すると共に、復号した新しいＳＡ情報でＳＡ情報記憶部４６を更新する。これにより、モニタリング装置１４０のＳＡ情報記憶部４６に格納されたＳＡ情報も変更され、図示のように、共有秘密鍵は、共有秘密鍵Ｘ２になっている。

その後、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間で暗号化されたパケットの送受信が行われる（Ｓ１８２、Ｓ１８６）。これらのパケットは、モニタリング装置１４０によりも受信される（Ｓ１８４、Ｓ１８８）。

これらのパケットに対応する共有秘密鍵が共有秘密鍵Ｘ２である。モニタリング装置１４０のＳＡ情報記憶部４６に格納されたＳＡ情報がステップＳ１７０のＳＡ確立シーケンスによる変更後のＳＡ情報であるため、共有秘密鍵として共有秘密鍵Ｘ２が格納されている。そのため、第１のＩｐｓｅｃ装置１１０と第２のＩｐｓｅｃ装置１２０間の共有秘密鍵を含むＳＡ情報が変更されても、モニタリング装置１４０によるモニタリングが継続できる。

このように、本実施の形態にかかる通信システム１００によれば、モニタリング対象のＩｐｓｅｃ装置間でＳＡ情報の更新が行われた場合に、モニタリング装置に保持された当該Ｉｐｓｅｃ装置間のＳＡ情報の更新を効率良く行うことができる。

より具体的には、モニタリング対象のＩｐｓｅｃ装置間でＳＡ情報の更新が行われた場合に、これらのＩｐｓｅｃ装置のうちの少なくとも１つのＩｐｓｅｃ装置から更新後のＳＡ情報をモニタリング装置に通知するため、管理者の手を介さずに、モニタリング装置に保持されたＳＡ情報を更新することができる。

また、モニタリング対象のＩｐｓｅｃ装置間におけるＳＡ情報の更新に伴って更新後のＳＡ情報がモニタリング装置に送信されるため、Ｉｐｓｅｃ装置間のＳＡ情報の更新と、モニタリング装置が保持しているＳＡ情報の更新との間の時間差がほぼ無い。その結果、Ｉｐｓｅｃ装置間のＳＡ情報の更新が生じても、モニタリングの中断期間がほぼ無い。

以上、実施の形態をもとに本発明を説明した。実施の形態は例示であり、本発明の主旨から逸脱しない限り、上述した各実施の形態に対してさまざまな変更、増減、組合せを行ってもよい。これらの変更、増減、組合せが行われた変形例も本発明の範囲にあることは、当業者に理解されるところである。

１ 通信システム
１０ Ｉｐｓｅｃ装置
１２ ＳＡ確立部
１４ データ送受信部
１６ ＳＡＤ
２０ Ｉｐｓｅｃ装置
２２ ＳＡ確立部
２４ データ送受信部
２６ ＳＡＤ
３０ ネットワーク
４０ モニタリング装置
４２ モニタリング実行部
４６ ＳＡ情報記憶部
５０ 管理者
１００ 通信システム
１１０ 第１のＩｐｓｅｃ装置
１１２ ＳＡ情報通知部
１２０ 第２のＩｐｓｅｃ装置
１２２ ＳＡ情報通知部
１４０ モニタリング装置
１４２ モニタリング制御部
１４４ モニタリングデータベース
１５０ モニタリング管理装置
１５２ 管理実行部
１５４ モニタリング装置データベース
１６０ 管理者
Ｘ、Ｘ１、Ｘ２ 共有秘密鍵

Claims (1)

1. Ｉｐｓｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）による暗号化通信を行う第１のＩｐｓｅｃ装置と第２のＩｐｓｅｃ装置と、
   前記第１のＩｐｓｅｃ装置と前記第２のＩｐｓｅｃ装置間の通信のモニタリングを行うための第１のモニタリング装置と、
   前記モニタリングを許可された夫々のモニタリング装置毎に、該モニタリング装置のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスと、該モニタリング装置の監視対象となる各Ｉｐｓｅｃ装置のＭＡＣアドレスと、所定の暗号鍵であるＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報取得用暗号鍵とを対応付けて記憶するモニタリング装置データベースを有するモニタリング管理装置とを備え、
   前記第１のＩｐｓｅｃ装置は、
   前記第１のモニタリング装置からモニタリング開始要求を受信した際に、該第１のモニタリング装置のＭＡＣアドレスを含む問合せパケットを前記モニタリング管理装置に送信し、該問合せパケットに応じて前記モニタリング管理装置から返送された問合せ応答情報が前記第１のモニタリング装置が前記モニタリングを許可されていることを示し、かつ、前記問合せ応答情報に含まれた、前記第１のモニタリング装置のモニタリング対象のＭＡＣアドレスのうちに、前記第１のＩｐｓｅｃ装置と前記第２のＩｐｓｅｃ装置のＭＡＣアドレスが含まれていることを条件に、前記第２のＩｐｓｅｃ装置との間のＳＡ情報を前記問合せ応答情報に含まれる前記ＳＡ情報取得用暗号鍵で暗号化して前記第１のモニタリング装置に送信すると共に、その後、前記第２のＩｐｓｅｃ装置との間で前記ＳＡ情報の更新が行われる度に、前記ＳＡ情報取得用暗号鍵で更新後の前記ＳＡ情報を暗号化して前記第１のモニタリング装置に送信するＳＡ情報通知部を有し、
   前記モニタリング管理装置は、
   前記第１のＩｐｓｅｃ装置から前記問合せパケットを受信したときに、該問合せパケットに含まれるＭＡＣアドレスが前記モニタリングを許可されたモニタリング装置のＭＡＣアドレスとして前記モニタリング装置データベースに格納されていることを条件に、該モニタリング装置の監視対象のＩｐｓｅｃ装置のＭＡＣアドレスおよび前記ＳＡ情報取得用暗号鍵とを問合せ応答情報として前記第１のＩｐｓｅｃ装置に返送し、
   前記第１のモニタリング装置は、
   前記第１のＩｐｓｅｃ装置と前記第２のＩｐｓｅｃ装置間のＳＡ情報を格納するためのＳＡ情報記憶部と、
   前記ＳＡ情報記憶部に記憶された前記ＳＡ情報を用いて、前記第１のＩｐｓｅｃ装置と前記第２のＩｐｓｅｃ装置間で送受信されるＩＰパケットを復号するモニタリング実行部と、
   前記ＳＡ情報取得用暗号鍵に対応する復号鍵であるＳＡ情報復号鍵を保持しており、モニタリング開始指示に応じて前記第１のＩｐｓｅｃ装置にモニタリング開始要求を送信すると共に、前記第１のＩｐｓｅｃ装置から前記ＳＡ情報を受信する度に、前記ＳＡ情報記憶部に記憶された前記ＳＡ情報を受信した前記ＳＡ情報に更新するモニタリング制御部とを備える、
   通信システム。

Images