JP2018074395A - Data communication system, cache dns device and cyber attack prevention method - Google Patents

Data communication system, cache dns device and cyber attack prevention method Download PDF

Info

Publication number
JP2018074395A
JP2018074395A JP2016212296A JP2016212296A JP2018074395A JP 2018074395 A JP2018074395 A JP 2018074395A JP 2016212296 A JP2016212296 A JP 2016212296A JP 2016212296 A JP2016212296 A JP 2016212296A JP 2018074395 A JP2018074395 A JP 2018074395A
Authority
JP
Japan
Prior art keywords
isp network
dns
key
url
cache
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2016212296A
Other languages
Japanese (ja)
Other versions
JP6763605B2 (en
Inventor
猛志 小川
Takeshi Ogawa
猛志 小川
憲治 宮保
Kenji Miyayasu
憲治 宮保
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Tokyo Denki University
Original Assignee
Tokyo Denki University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Tokyo Denki University filed Critical Tokyo Denki University
Priority to JP2016212296A priority Critical patent/JP6763605B2/en
Publication of JP2018074395A publication Critical patent/JP2018074395A/en
Application granted granted Critical
Publication of JP6763605B2 publication Critical patent/JP6763605B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Abstract

PROBLEM TO BE SOLVED: To solve problems of delay of cyclic investigation caused by ASP, non-linked malicious Web server being latent, flexible communication control being disabled, outflow of communication privacy of a client to ASP and a load of the client.SOLUTION: The present invention relates to a data communication system comprising a cache DNS server 15 and an authority DNS server 23. When a DNS query is received from a client 12, the cache DNS server receives a DNS response including an IP address corresponding to a URL and a safety evaluation result from the authority DNS server 23. In a case where the received safety evaluation result meets a communication permission policy, the cache DNS server permits a transmission to the IP address described on the DNS response for the client 12. The authority DNS server holds the safety evaluation result of each URL connected within an ISP network 92 and, when the DNS query is received, transmits the DNS response to the cache DNS server 15.SELECTED DRAWING: Figure 4

Description

本開示は、インターネットにおけるＷｅｂサーバとクライアント間通信において、サーバに対する通信攻撃や、クライアントに対する通信攻撃を防止するデータ通信方法に関する。   The present disclosure relates to a data communication method for preventing a communication attack on a server and a communication attack on a client in communication between a Web server and a client on the Internet.

図１は、関連技術に係るインターネットを介したＷｅｂサーバとクライアント間の接続構成例を示す。図１では、理解の容易のため、第１のＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）の管理するＩＳＰ網９１と、第２のＩＳＰの管理するＩＳＰ網９２と、がインターネット９３を介して接続されている例を示す。クライアント１２はＩＳＰ網９１内に接続されている端末の１つであり、ＩＳＰ網９１とインターネット９３との境界にあるゲートウェイルータ（以下、ＧＷと称する。）１１に接続し、ＧＷ１１はＩＳＰ網９１内のキャッシュＤＮＳサーバ１５と接続している。   FIG. 1 shows a connection configuration example between a Web server and a client via the Internet according to related technology. In FIG. 1, for easy understanding, an ISP network 91 managed by a first ISP (Internet Service Provider) and an ISP network 92 managed by a second ISP are connected via the Internet 93. Indicates. The client 12 is one of terminals connected in the ISP network 91 and is connected to a gateway router (hereinafter referred to as GW) 11 at the boundary between the ISP network 91 and the Internet 93, and the GW 11 is connected to the ISP network 91. The cache DNS server 15 is connected.

Ｗｅｂサーバ２２はＩＳＰ網９２内に接続されている端末の１つであり、ＩＳＰ網９２とインターネットとの境界にあるＧＷ２１に接続し、ＧＷ２１はＩＳＰ網９２内の権威ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ２３と接続している。なお、以下では、説明を簡易にするため、権威ＤＮＳサーバが管理するＵＲＬの範囲（ゾーン）に対応するＷｅｂサーバ２２は、ＩＳＰ網９２に接続するＷｅｂサーバ２２の範囲として説明する。   The Web server 22 is one of terminals connected in the ISP network 92 and is connected to the GW 21 at the boundary between the ISP network 92 and the Internet. The GW 21 is an authoritative DNS (Domain Name System) server in the ISP network 92. 23 is connected. In the following description, the Web server 22 corresponding to the URL range (zone) managed by the authoritative DNS server will be described as the range of the Web server 22 connected to the ISP network 92 in order to simplify the description.

ＧＷ１１及びＧＷ２１は、ＩＳＰ網内からの発信はすべて通過させるが、外部からの発信は権威ＤＮＳサーバ及びＷｅｂサーバのＩＰアドレス宛の通信のみ、内部に転送する。ＧＷ１１とＧＷ２１は、インターネット９３を介して接続し、インターネット９３はＧＷ１１及びＧＷ２１から受信したＩＰパケットのＩＰアドレスを参照し、宛先となるＧＷ２１及びＧＷ１１に転送する。   The GW 11 and the GW 21 allow all outgoing calls from within the ISP network to pass, but forward outgoing calls forward only communications addressed to the IP addresses of the authoritative DNS server and Web server. The GW 11 and the GW 21 are connected via the Internet 93. The Internet 93 refers to the IP address of the IP packet received from the GW 11 and the GW 21, and transfers the IP packet to the GW 21 and the GW 11 serving as destinations.

ＡＳＰ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）のＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）サーバ１４，２４は、それぞれ、インターネット９３に接続するＷｅｂサーバ間のリンク情報を用いて、各Ｗｅｂサーバに周期的に接続し、ＩＤＳ技術を活用して、各Ｗｅｂサーバからクライアントへのマルウェア感染や、他Ｗｅｂサーバへの成りすましなどクライアントの安全を脅かす処理（通信攻撃）がないか調査し、危険な処理を行うＷｅｂサーバのＵＲＬのリスト（ブラックリスト）や安全なＷｅｂサーバのＵＲＬのリスト（ホワイトリスト）を管理する。ＡＳＰは、例えば、Ｇｏｏｇｌｅ（登録商標）及びＭｉｃｒｏｓｏｆｔ（登録商標）である。なお、図１では、Ｗｅｂサーバ２２以外のＷｅｂサーバの図示を省略している。   ASP (Application Service Provider) IDS (Intrusion Detection System) servers 14 and 24 are periodically connected to each Web server using link information between Web servers connected to the Internet 93, and utilize IDS technology. A list of URLs of Web servers that perform dangerous processing by investigating whether there is a process (communication attack) that threatens the safety of the client, such as malware infection from each Web server to the client or impersonation of another Web server (black) List) and secure Web server URL list (white list). ASP is, for example, Google (registered trademark) and Microsoft (registered trademark). In FIG. 1, illustration of web servers other than the web server 22 is omitted.

クライアント１２のＷｅｂブラウザは、ＩＤＳサーバ１４，２４と通信し、当該ブラックリストまたはホワイトリストを活用して発信の制御を行う。なお、２０１６年５月の時点で、Ｆｉｒｅｆｏｘ（登録商標）、Ｓａｆａｒｉ（登録商標）、Ｃｈｒｏｍｅ（登録商標）はＧｏｏｇｌｅ（登録商標）社が提供するブラックリストを、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ（登録商標）やＥｄｇｅ（登録商標）はＭｉｃｒｏｓｏｆｔ（登録商標）社が提供するホワイトリストを使用することが可能である。以下、Ｆｉｒｅｆｏｘ（登録商標）の処理概要について、公開情報を元に説明する。   The Web browser of the client 12 communicates with the IDS servers 14 and 24 and controls outgoing calls using the black list or white list. As of May 2016, Firefox (registered trademark), Safari (registered trademark), and Chrome (registered trademark) are blacklists provided by Google (registered trademark), Internet Explorer (registered trademark) and Edge ( (Registered trademark) can use a white list provided by Microsoft (registered trademark). Hereinafter, the processing outline of Firefox (registered trademark) will be described based on public information.

Ｆｉｒｅｆｏｘ（登録商標）は、Ｇｏｏｇｌｅ Ｓａｆｅ Ｂｒｏｗｓｉｎｇ（登録商標）というＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）を利用し、当該ブラックリストをクライアント端末内にダウンロードする。ブラックリストは、危険なＵＲＬのそれぞれをハッシュしたリストである。ユーザが、クライアントのＦｉｒｅｆｏｘ（登録商標）を用いて、ユーザが指定したＵＲＬとの接続を指示すると、Ｗｅｂブラウザは、当該ＵＲＬのハッシュ値がブラックリストにある場合は、ＩＤＳサーバ１４，２４に当該ＵＲＬを通知する。ＩＤＳサーバ１４，２４は当該ＵＲＬがブラックリストにあるかどうかを、Ｆｉｒｅｆｏｘ（登録商標）に応答する。当該ＵＲＬがブラックリストにあった場合、Ｆｉｒｅｆｏｘ（登録商標）はユーザに警告を表示し、ユーザは危険なＷｅｂサーバに接続することを控えることができる。接続先ＷｅｂサーバのＵＲＬがブラックリストにない場合、クライアント（スタブリゾルバとも呼ばれる）は、当該ＵＲＬに対応するＷｅｂサーバのＩＰアドレスをＤＮＳクエリ（図２）により、キャッシュＤＮＳサーバ（フルサービスリゾルバとも呼ばれる）に問い合わせる。ＵＲＬがＷｅｂサーバ２２のホスト名の場合、キャッシュＤＮＳはＤＮＳプロトコルにより、ｒｏｏｔ ＤＮＳサーバや上位ドメインのＤＮＳサーバに当該ＵＲＬの対応する情報の管理を行っている権威ＤＮＳサーバ２３のＩＰアドレスを再帰検索により入手し、当該権威ＤＮＳサーバ２３にＤＮＳクエリを転送する。ここで、権威ＤＮＳサーバ２３は、コンテンツサーバとも呼ばれ、図の例ではＩＳＰ網９２の権威ＤＮＳサーバ２３として機能する。なお図１では、ｒｏｏｔ ＤＮＳサーバや上位ドメインのＤＮＳサーバの表記を省略している。   Firefox (registered trademark) uses an API (Application Programming Interface) called Google Safe Browsing (registered trademark) to download the black list into the client terminal. The black list is a list in which each dangerous URL is hashed. When the user uses the client's Firefox (registered trademark) to instruct the connection with the URL specified by the user, the Web browser, when the hash value of the URL is in the black list, sends the IDS servers 14 and 24 Notify URL. The IDS servers 14 and 24 respond to the Firefox (registered trademark) whether or not the URL is in the black list. If the URL is on the black list, Firefox (registered trademark) displays a warning to the user, and the user can refrain from connecting to a dangerous Web server. When the URL of the connection destination Web server is not in the black list, the client (also called a stub resolver) uses the DNS query (FIG. 2) to determine the IP address of the Web server corresponding to the URL, and also calls a cache DNS server (also called a full service resolver). ) When the URL is the host name of the Web server 22, the cache DNS recursively searches the IP address of the authoritative DNS server 23 that manages the information corresponding to the URL to the root DNS server or the DNS server of the upper domain by the DNS protocol. The DNS query is transferred to the authoritative DNS server 23. Here, the authoritative DNS server 23 is also called a content server, and functions as the authoritative DNS server 23 of the ISP network 92 in the example shown in the figure. In FIG. 1, the notation of the root DNS server and the DNS server of the higher domain is omitted.

権威ＤＮＳサーバ２３は図３に示すように、Ｗｅｂサーバ２２のＩＰアドレス（アンサー部）と、当該権威ＤＮＳサーバが持つゾーン署名鍵（公開鍵と秘密鍵のペアで構成）の公開鍵（ＤＮＳＫＥＹ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ ＫＥＹ）レコード）と当該公開鍵に対応する秘密鍵で当該ＩＰアドレスのハッシュ値を暗号化した署名（ＲＲＳＩＧ（Ｒｅｓｏｕｒｃｅ Ｒｅｃｏｒｄ Ｓｉｇｎａｔｕｒｅ）レコード）を含むＤＮＳレスポンスをキャッシュＤＮＳサーバ１５に返送する。キャッシュＤＮＳサーバ１５は既存のＤＮＳＳＥＣ（ＤＮＳ ＳＥＣｕｒｉｔｙ Ｅｘｔｅｎｓｉｏｎｓ）のプロトコル手順を用いて、ｒｏｏｔ ＤＮＳサーバからの信頼性チェーンにより、キャッシュＤＮＳサーバ１５のゾーンに対応する署名鍵の本人性を確認する。次に当該公開鍵を用いて受信したＤＮＳレスポンスの署名を復号して、署名範囲のハッシュ値と比較する。一致した場合署名範囲に改ざんがないと判断し、当該ＩＰアドレスを含むＤＮＳレスポンスをクライアント１２に返却する。以上により、クライアント１２は、Ｗｅｂサーバ２２のＩＰアドレスを入手し、Ｗｅｂサーバ２２とのＩＰ通信が可能になる。   As shown in FIG. 3, the authoritative DNS server 23 has an IP address (answer part) of the Web server 22 and a public key (DNSKEY (configured by a pair of a public key and a secret key) possessed by the authoritative DNS server. (Domain Name System KEY) record) and a DNS response including a signature (RRSIG (Resource Record Signature) record) obtained by encrypting the hash value of the IP address with the private key corresponding to the public key is returned to the cache DNS server 15. The cache DNS server 15 confirms the identity of the signature key corresponding to the zone of the cache DNS server 15 based on the reliability chain from the root DNS server, using the protocol procedure of the existing DNSSECEXT (DNS Security Extensions). Next, the signature of the DNS response received using the public key is decrypted and compared with the hash value of the signature range. If they match, it is determined that the signature range has not been tampered with, and a DNS response including the IP address is returned to the client 12. As described above, the client 12 obtains the IP address of the Web server 22 and can perform IP communication with the Web server 22.

関連技術では、以下の課題がある。
第１の課題：ＡＳＰによる巡回調査の遅れ。２０１５年時点で世界中のドメイン数は３億を超過している。このため、１つのＡＳＰが全Ｗｅｂサーバを巡回して調査すると、調査間隔が長くなってしまい、調査の間に、攻撃者によりＷｅｂサーバが汚染され、クライアントにとって危険なＷｅｂサーバとなる可能性が無視できない。 Related technologies have the following problems.
First problem: Delay in patrol survey by ASP. As of 2015, there are over 300 million domains worldwide. For this reason, if one ASP circulates and investigates all the web servers, the investigation interval becomes long, and during the investigation, there is a possibility that the web server is contaminated by an attacker and becomes a dangerous web server for the client. It cannot be ignored.

第２の課題：リンクの無い悪意サーバの潜在化。クライアントに感染させたマルウェアと通信し、クライアント端末を遠隔操作するＣ＆Ｃサーバなどの悪意サーバは、ＵＲＬをＤＮＳサーバに登録せず、他のＷｅｂサーバからのリンクもない場合がある。当該サーバについては、Ｗｅｂリンクによる巡回調査が出来ない問題がある。   Second problem: latent malicious server without link. A malicious server such as a C & C server that communicates with malware infecting a client and remotely controls a client terminal may not register a URL in a DNS server and may not have a link from another Web server. The server has a problem that it is not possible to perform a patrol survey using a Web link.

第３の課題：クライアントの通信プライバシのＡＳＰへの流出。ブラックリストを攻撃者が解読すると攻撃のヒントになるため、クライアントは危険な可能性のあるＵＲＬをＡＳＰに通知し、ＡＳＰが最終的な判定を行っている。このため、クライアントは通信の安全性と引き換えに、通信プライバシの一部をＡＳＰに公開せざるを得ない問題がある。   Third problem: Outflow of client communication privacy to ASP. When an attacker deciphers the black list, it becomes an attack hint. Therefore, the client notifies the ASP of a potentially dangerous URL, and the ASP makes a final determination. For this reason, there is a problem that the client is forced to disclose a part of the communication privacy to the ASP in exchange for the safety of the communication.

第４の課題：クライアントの負荷。クライアントは、ブラックリストのＡＳＰからの入手や、ハッシュ照合などの処理が必要であり、またそのためには、ＰＫＩ証明書の検証が必要である。センサなど電力や計算処理能力が低いマシン端末には負担が大きい。   Fourth problem: client load. The client needs to obtain a blacklist from the ASP and perform processing such as hash collation, and for that purpose, it is necessary to verify the PKI certificate. The burden is high on machine terminals such as sensors, which have low power and low processing power.

特開２０１２−０８０３５８号公報JP2012-080358A 特開２００９−２３２１１６号公報JP 2009-232116 A

本開示は、ＡＳＰによる巡回調査の遅れ、リンクの無い悪意のＷｅｂサーバの潜在化、柔軟な通信制御ができない、クライアントの通信プライバシのＡＳＰへの流出、及び、クライアントの負荷の課題を解決することを目的とする。   The present disclosure solves the problems of delay in patrol investigation by ASP, latent web server without link, inability to flexibly control communication, outflow of client communication privacy to ASP, and client load. With the goal.

具体的には、本開示のデータ通信システムは、
第１のＩＳＰ網に接続され、第１のＩＳＰ網内の各端末に対する第１の通信許可ポリシーを保持し、第１のＩＳＰ網とは異なる第２のＩＳＰ網に接続されているＷｅｂサーバのＵＲＬに対応するＩＰアドレスを問い合わせるＤＮＳクエリを第１のＩＳＰ網内の端末から受信すると、前記ＵＲＬに対応するＩＰアドレス及び安全性評価結果を含むＤＮＳレスポンスを第２のＩＳＰ網の権威ＤＮＳ装置から受信し、受信した安全性評価結果が第１の通信許可ポリシーを満たすか否かを判定し、第１の通信許可ポリシーを満たす場合、ＤＮＳレスポンスに記載のＩＰアドレスへの発信許可をＤＮＳクエリの送信元の端末に対して行うキャッシュＤＮＳ装置と、
第２のＩＳＰ網に接続され、第２のＩＳＰ網内に接続されている各ＵＲＬの安全性評価結果を保持し、第１のＩＳＰ網からＤＮＳクエリを受信すると、ＤＮＳクエリに記載されているＵＲＬに対応するＩＰアドレス及び安全性評価結果を含むＤＮＳレスポンスを、第１のＩＳＰ網のキャッシュＤＮＳ装置に送信する権威ＤＮＳ装置と、
を備える。 Specifically, the data communication system of the present disclosure is:
A Web server connected to the first ISP network, holding a first communication permission policy for each terminal in the first ISP network, and connected to a second ISP network different from the first ISP network When a DNS query for inquiring about the IP address corresponding to the URL is received from a terminal in the first ISP network, a DNS response including the IP address corresponding to the URL and the security evaluation result is received from the authoritative DNS device of the second ISP network. If it is received and it is determined whether the received safety evaluation result satisfies the first communication permission policy and the first communication permission policy is satisfied, the transmission permission to the IP address described in the DNS response is set in the DNS query. A cache DNS device for the terminal of the transmission source;
When a DNS query is received from the first ISP network, the security evaluation result of each URL connected to the second ISP network is stored in the second ISP network, and is described in the DNS query. An authoritative DNS device that transmits a DNS response including the IP address corresponding to the URL and the security evaluation result to the cache DNS device of the first ISP network;
Is provided.

具体的には、本開示のキャッシュＤＮＳ装置は、
自装置の接続されている第１のＩＳＰ網とは異なる第２のＩＳＰ網に接続されているＷｅｂサーバのＵＲＬに対応するＩＰアドレスを問い合わせるＤＮＳクエリを、第１のＩＳＰ網内の端末から受信すると、前記ＵＲＬに対応するＩＰアドレス及び安全性評価結果を含むＤＮＳレスポンスを第２のＩＳＰ網の権威ＤＮＳから受信し、
第１のＩＳＰ網内の各端末に対する第１の通信許可ポリシーを保持し、第２のＩＳＰ網の権威ＤＮＳから受信した安全性評価結果が第１の通信許可ポリシーを満たすか否かを判定し、第１の通信許可ポリシーを満たす場合、ＤＮＳレスポンスに記載のＩＰアドレスへの発信許可をＤＮＳクエリの送信元の端末に対して行う。 Specifically, the cache DNS device of the present disclosure is:
A DNS query for inquiring about an IP address corresponding to the URL of a Web server connected to a second ISP network different from the first ISP network to which the own apparatus is connected is received from a terminal in the first ISP network. Then, a DNS response including the IP address corresponding to the URL and the security evaluation result is received from the authoritative DNS of the second ISP network,
The first communication permission policy for each terminal in the first ISP network is held, and it is determined whether or not the safety evaluation result received from the authoritative DNS of the second ISP network satisfies the first communication permission policy. When the first communication permission policy is satisfied, the transmission permission to the IP address described in the DNS response is permitted to the terminal that is the transmission source of the DNS query.

具体的には、本開示の通信攻撃防止方法は、
第１のＩＳＰ網のキャッシュＤＮＳが、第１のＩＳＰ網とは異なる第２のＩＳＰ網に接続されているＷｅｂサーバのＵＲＬに対応するＩＰアドレスを問い合わせるＤＮＳクエリを、第１のＩＳＰ網内の端末から受信すると、前記ＵＲＬに対応するＩＰアドレス及び安全性評価結果を含むＤＮＳレスポンスを第２のＩＳＰ網の権威ＤＮＳから受信する手順と、
第１のＩＳＰ網のキャッシュＤＮＳが、第１のＩＳＰ網内の各端末に対する第１の通信許可ポリシーを参照し、権威ＤＮＳから受信した安全性評価結果が第１の通信許可ポリシーを満たすか否かを判定し、第１の通信許可ポリシーを満たす場合、ＤＮＳクエリで問い合わせのあったＩＰアドレスへの発信許可をＤＮＳクエリの送信元の端末に対して行う手順と、
を備える。 Specifically, the communication attack prevention method of the present disclosure is:
A DNS query in which the cache DNS of the first ISP network inquires an IP address corresponding to the URL of the Web server connected to the second ISP network different from the first ISP network is stored in the first ISP network. When received from the terminal, a procedure for receiving a DNS response including the IP address corresponding to the URL and the security evaluation result from the authoritative DNS of the second ISP network;
Whether the cache DNS of the first ISP network refers to the first communication permission policy for each terminal in the first ISP network, and the security evaluation result received from the authoritative DNS satisfies the first communication permission policy. And when the first communication permission policy is satisfied, a procedure for permitting the terminal that is the source of the DNS query to be permitted to make a call to the IP address inquired by the DNS query;
Is provided.

本開示によれば、ＡＳＰによる巡回調査の遅れ、リンクの無い悪意のＷｅｂサーバの潜在化、クライアントの通信プライバシのＡＳＰへの流出、及び、クライアントの負荷の課題を解決することができる。   According to the present disclosure, it is possible to solve the problems of the delay of the patrol investigation by the ASP, the latent web server without a link, the outflow of the client communication privacy to the ASP, and the client load.

関連技術に係るデータ通信システムの構成例を示す図である。It is a figure which shows the structural example of the data communication system which concerns on related technology. 関連技術に係るＤＮＳクエリの一例を示す。An example of the DNS query which concerns on related technology is shown. 関連技術に係るＤＮＳレスポンスの一例を示す。An example of the DNS response which concerns on related technology is shown. 実施形態１に係るデータ通信システムの構成例を示す図である。1 is a diagram illustrating a configuration example of a data communication system according to a first embodiment. 実施形態１に係るＤＮＳクエリの一例を示す。An example of the DNS query which concerns on Embodiment 1 is shown. 実施形態１に係るＤＮＳレスポンスの一例を示す。An example of the DNS response which concerns on Embodiment 1 is shown. 通信許可ポリシーの一例を示す。An example of a communication permission policy is shown. ＤＮＳリソースレコードの標準フォーマットの一例を示す。An example of the standard format of a DNS resource record is shown. 本開示に係るＲＤＡＴＡフォーマットの一例を示す。2 shows an example of an RDATA format according to the present disclosure. ＲＤＡＴＡフォーマットに記載する安全性評価結果の具体例である。It is a specific example of the safety evaluation result described in the RDATA format. 実施形態２に係るデータ通信システムの構成例を示す図である。It is a figure which shows the structural example of the data communication system which concerns on Embodiment 2. FIG. 実施形態２に係るＤＮＳレスポンスの一例を示す。An example of the DNS response which concerns on Embodiment 2 is shown. 実施形態３に係るＤＮＳクエリの一例を示す。An example of the DNS query which concerns on Embodiment 3 is shown. 実施形態３に係るＤＮＳレスポンスの一例を示す。An example of the DNS response which concerns on Embodiment 3 is shown.

以下、本開示の実施形態について、図面を参照しながら詳細に説明する。なお、本開示は、以下に示す実施形態に限定されるものではない。これらの実施の例は例示に過ぎず、本開示は当業者の知識に基づいて種々の変更、改良を施した形態で実施することができる。なお、本明細書及び図面において符号が同じ構成要素は、相互に同一のものを示すものとする。   Hereinafter, embodiments of the present disclosure will be described in detail with reference to the drawings. In addition, this indication is not limited to embodiment shown below. These embodiments are merely examples, and the present disclosure can be implemented in various modifications and improvements based on the knowledge of those skilled in the art. In the present specification and drawings, the same reference numerals denote the same components.

（実施形態１）
図４は、本実施形態に係るデータ通信システムの構成例である。本実施形態では、インターネット９３を介したＷｅｂサーバ２２とクライアント１２間の接続構成例を示す。図１の構成に対して、ＩＳＰ網９２内にＩＤＳサーバ２４を追加設置する。また、Ｗｅｂサーバ２２、キャッシュＤＮＳサーバ１５、権威ＤＮＳサーバ２３及びＧＷ１１に以下の処理を行う手段を追加することで前述の第１の課題〜第４の課題を解決する。 (Embodiment 1)
FIG. 4 is a configuration example of the data communication system according to the present embodiment. In this embodiment, a connection configuration example between the Web server 22 and the client 12 via the Internet 93 is shown. An IDS server 24 is additionally installed in the ISP network 92 with respect to the configuration of FIG. Further, the first to fourth problems described above are solved by adding means for performing the following processing to the Web server 22, the cache DNS server 15, the authoritative DNS server 23, and the GW 11.

Ｗｅｂサーバ２２はＩＳＰ網９２に接続すると、既存技術であるＤＤＮＳ（Ｄｙｎａｍｉｃ ＤＮＳ）プロトコルなどを使用し、権威ＤＮＳサーバ２３にＵＲＬとＩＰアドレスの対応を登録する。権威ＤＮＳサーバ２３は、ＵＲＬの登録を受け付けると、ＩＤＳサーバ２４に当該ＵＲＬを登録する。以降、当該ＩＤＳサーバ２４は、ＩＳＰ網９２内の登録された全ＵＲＬに対応するホストの信頼性レベルを、既存のＩＤＳ技術を活用して周期的に自動調査し、その評価結果をＵＲＬ単位で権威ＤＮＳサーバ２３に登録する。ここで、評価結果は、例えば、安全／危険、及び最新調査時期、過去の危険判定履歴が例示でき、以下、「安全性評価結果」と表記する。権威ＤＮＳサーバ２３は、各ＵＲＬに対応するＩＰアドレスに加えて、当該安全性評価結果をＩＳＰ網９２のゾーンの秘密鍵で署名して、保持する。   When the Web server 22 is connected to the ISP network 92, the Web server 22 registers the correspondence between the URL and the IP address in the authoritative DNS server 23 using the DNS (Dynamic DNS) protocol which is an existing technology. When the authoritative DNS server 23 receives the registration of the URL, the authority DNS server 23 registers the URL in the IDS server 24. Thereafter, the IDS server 24 periodically and automatically checks the reliability level of the host corresponding to all registered URLs in the ISP network 92 by utilizing the existing IDS technology, and the evaluation result is obtained in units of URLs. Register with the authoritative DNS server 23. Here, the evaluation result can be exemplified by, for example, safety / danger, latest survey time, and past risk determination history, and is hereinafter referred to as “safety evaluation result”. The authoritative DNS server 23 signs and holds the security evaluation result with the secret key of the zone of the ISP network 92 in addition to the IP address corresponding to each URL.

ＩＳＰ網９１の運用者は、キャッシュＤＮＳサーバ１５に通信許可ポリシーＰ１を登録しておく。通信許可ポリシーＰ１は、ＩＳＰ網９１の内部の各端末と外部ホスト間の通信を許可するポリシーである。ここで、ポリシーは、例えば、外部ホストが帰属するＩＳＰによる安全判定があり、最新調査時期が２日以内、過去の危険判定から１月以上経過、などであり、以下、「通信許可ポリシー」と表記する。   The operator of the ISP network 91 registers the communication permission policy P 1 in the cache DNS server 15. The communication permission policy P1 is a policy that permits communication between each terminal in the ISP network 91 and an external host. Here, the policy is, for example, a safety judgment by an ISP to which an external host belongs, the latest survey time is within two days, one month or more has passed since the past risk judgment, etc. write.

キャッシュＤＮＳサーバ１５は、クライアント１２からＤＮＳクエリを受信すると、ＤＮＳプロトコルにより、ｒｏｏｔ ＤＮＳサーバや上位ドメインのＤＮＳサーバに当該ＵＲＬに対応する情報の管理を行っている権威ＤＮＳサーバ（図の例ではＩＳＰ網９２の権威ＤＮＳサーバ２３）のＩＰアドレス及び本開示への対応の有無を再帰検索により入手する。なお、権威ＤＮＳサーバ２３のＩＰアドレスを上位ＤＮＳサーバに登録時に本開示への対応有無も登録しておく。   When the DNS server 15 receives the DNS query from the client 12, the cache DNS server 15 manages the information corresponding to the URL in the root DNS server or the DNS server of the higher domain by the DNS protocol (ISP in the example in the figure). The IP address of the authoritative DNS server 23) of the network 92 and the presence / absence of correspondence to the present disclosure are obtained by recursive search. It should be noted that whether the IP address of the authoritative DNS server 23 is registered in the upper DNS server is also registered as to whether or not the present disclosure is supported.

キャッシュＤＮＳサーバ１５は、権威ＤＮＳサーバ２３のＩＰアドレスを入手すると、図５に示すように、クライアント１２から受信したＤＮＳクエリに、クライアント側ゾーンのドメイン名とキャッシュＤＮＳサーバ１５のＩＰアドレスを追加する。また、クライアント側ゾーン署名鍵の秘密鍵を用いて当該ＩＰアドレスとゾーン名に対する署名を作成し、当該ＤＮＳクエリに追加し、クライアント側ゾーン署名鍵の公開鍵を付与して、権威ＤＮＳサーバ２３に送信する。ここで、署名は、例えば、署名範囲のハッシュ値を秘密鍵で暗号化したものを用いることができる。本実施形態におけるクライアント側ゾーン署名鍵は、キャッシュＤＮＳサーバ１５の接続されているＩＳＰ網９１のゾーン署名鍵である。   When obtaining the IP address of the authoritative DNS server 23, the cache DNS server 15 adds the domain name of the client side zone and the IP address of the cache DNS server 15 to the DNS query received from the client 12, as shown in FIG. . Also, a signature for the IP address and zone name is created using the private key of the client side zone signing key, added to the DNS query, and the public key of the client side zone signing key is assigned to the authoritative DNS server 23. Send. Here, for example, a signature obtained by encrypting a hash value of a signature range with a secret key can be used. The client-side zone signature key in this embodiment is a zone signature key of the ISP network 91 to which the cache DNS server 15 is connected.

権威ＤＮＳサーバ２３は、既存のＤＮＳＳＥＣのプロトコル手順を用いて、ｒｏｏｔ ＤＮＳサーバからの信頼性チェーンにより、キャッシュＤＮＳサーバ１５のゾーンに対応する署名鍵の本人性を確認する。次に当該公開鍵を用いて受信したＤＮＳクエリの署名を復号して、署名範囲のハッシュ値と比較し、一致した場合署名範囲に改ざんがないと判断すると、当該ＵＲＬに対応するＡレコード（ＩＰアドレス）と安全性評価結果、及びサーバ側ゾーン署名鍵の秘密鍵で作成した署名、そして、サーバ側ゾーン署名鍵の公開鍵を付与して、ＤＮＳレスポンスに格納して返送する（図６）。本実施形態におけるサーバ側ゾーン署名鍵は、権威ＤＮＳサーバ２３の接続されているＩＳＰ網９２のゾーン署名鍵である。   The authoritative DNS server 23 confirms the identity of the signature key corresponding to the zone of the cache DNS server 15 by using the existing DNSSEC protocol procedure and the reliability chain from the root DNS server. Next, the signature of the DNS query received using the public key is decrypted, compared with the hash value of the signature range, and if it matches, if it is determined that the signature range has not been tampered with, the A record (IP Address), the security evaluation result, the signature created with the private key of the server-side zone signing key, and the public key of the server-side zone signing key are added, stored in a DNS response, and returned (FIG. 6). The server-side zone signature key in this embodiment is a zone signature key of the ISP network 92 to which the authoritative DNS server 23 is connected.

キャッシュＤＮＳサーバ１５は、既存のＤＮＳＳＥＣのプロトコル手順により、ｒｏｏｔ ＤＮＳサーバからの信頼性チェーンにより、権威ＤＮＳサーバ２３のゾーンに対応する署名鍵の本人性を確認する。次に当該公開鍵を用いてＤＮＳレスポンスに付与された署名を判定し、Ｗｅｂサーバ２２のＩＰアドレスとＩＳＰ網９２による安全性評価結果の改竄がない場合、当該情報をキャッシングするとともに、クライアント１２にＤＮＳレスポンスによりＷｅｂサーバ２２のＩＰアドレスを返却する。また、キャッシュＤＮＳサーバ１５は、当該安全性評価結果と通信許可ポリシーＰ１を照合し、通信を許可する場合、ＧＷ１１に当該ＩＰアドレスへの発信許可を指示する。通信許可ポリシーの例を図７に示す。   The cache DNS server 15 confirms the identity of the signature key corresponding to the zone of the authoritative DNS server 23 by the reliability chain from the root DNS server according to the protocol procedure of the existing DNSSEC. Next, the signature attached to the DNS response is determined using the public key. If there is no alteration of the security evaluation result by the IP address of the Web server 22 and the ISP network 92, the information is cached and the client 12 The IP address of the Web server 22 is returned by the DNS response. Further, the cache DNS server 15 collates the safety evaluation result with the communication permission policy P1, and when permitting communication, instructs the GW 11 to permit transmission to the IP address. An example of the communication permission policy is shown in FIG.

安全性評価結果と通信許可ポリシーをＤＮＳレスポンスへ格納する方法は既存のレスポンスプロトコルに準拠する。ただし、ＤＮＳパケットで伝送するリソースレコード（ドメイン名に関連するデータの種類）に、新たに、「安全性・ポリシーレコード」を定義し、リソースレコードの標準フォーマットに従い、それらをＤＮＳパケットに格納する。   The method for storing the safety evaluation result and the communication permission policy in the DNS response conforms to the existing response protocol. However, “security / policy record” is newly defined in the resource record (type of data related to the domain name) transmitted by the DNS packet, and these are stored in the DNS packet according to the standard format of the resource record.

リソースレコードの標準フォーマットを図８に示す。ここで、「ドメイン名」はＤＮＳクエリで問い合わせられたＵＲＬ中のホスト名である。「タイプ」はリソースレコードの種類を示す値である。「クラス」はドメイン名が帰属する名前空間のことであり、現状インターネットのみが使用されている。「ＴＴＬ」は当該リソースレコードの情報が有効な時間を示す。「ＲＤＡＴＡ」はリソースレコードの種類毎に定義される情報である。   A standard format of the resource record is shown in FIG. Here, the “domain name” is the host name in the URL inquired by the DNS query. “Type” is a value indicating the type of resource record. A “class” is a name space to which a domain name belongs, and currently only the Internet is used. “TTL” indicates a time during which the information of the resource record is valid. “RDATA” is information defined for each type of resource record.

「安全性・ポリシーレコード」では、新規にＲＤＡＴＡフォーマットを定義する。例を図９に示す。本例では、最大２５５個の安全性評価結果と、最大２５５個の通信許可ポリシーを伝送する。各安全性評価結果と通信許可ポリシーは、それぞれ項目コード（８ｂｉｔ）と、内容コード（８ｂｉｔ）の合計１６ｂｉｔ固定である。各項目と内容の例及び、それらを評価する方法の例を図１０に示す。なお通信許可ポリシーで指定する内容コードの値は、相手端末の安全性評価結果が同値または小さい場合に接続を許可する意味としている。   In the “safety / policy record”, a new RDATA format is defined. An example is shown in FIG. In this example, a maximum of 255 safety evaluation results and a maximum of 255 communication permission policies are transmitted. Each safety evaluation result and communication permission policy are fixed to a total of 16 bits including an item code (8 bits) and a content code (8 bits). An example of each item and contents and an example of a method for evaluating them are shown in FIG. Note that the value of the content code specified in the communication permission policy means that the connection is permitted when the safety evaluation result of the partner terminal is the same or small.

ＩＳＰ網９１のＧＷ１１は、発信許可を指示されたＩＰアドレスのリストを管理し、クライアント１２からＩＳＰ網９１外宛のＩＰパケットを受信すると、当該リストを参照し、宛先がリストにないＩＰパケットはＩＳＰ網９１外に転送せず廃棄する。   The GW 11 of the ISP network 91 manages a list of IP addresses that are instructed to allow outgoing calls. When receiving an IP packet addressed outside the ISP network 91 from the client 12, the GW 11 refers to the list, and an IP packet whose destination is not in the list is It is discarded without being transferred outside the ISP network 91.

以上説明したように、本実施形態は、Ｗｅｂサーバ２２とクライアント１２間通信において、Ｗｅｂサーバ２２にＵＲＬを割り当てる第２のＩＳＰ網９２が、Ｗｅｂサーバ２２の安全性を評価し、その結果である安全性評価結果を権威ＤＮＳサーバ２３で公開する。そして、キャッシュＤＮＳサーバ１５が、権威ＤＮＳサーバ２３から得た安全性評価結果と、当該キャッシュＤＮＳサーバ１５が予め持つセキュリティポリシーＰ１を比較し、当該キャッシュＤＮＳサーバ１５を利用するクライアント１２に対し、Ｗｅｂサーバ２２との通信を許可するか判定し、通信を許可したＷｅｂサーバ２２宛のＩＰパケットのみ、インターネット９３への発信を許可する。   As described above, in the present embodiment, in the communication between the Web server 22 and the client 12, the second ISP network 92 that assigns a URL to the Web server 22 evaluates the safety of the Web server 22 and is the result. The safety evaluation result is disclosed on the authoritative DNS server 23. Then, the cache DNS server 15 compares the security evaluation result obtained from the authoritative DNS server 23 with the security policy P1 that the cache DNS server 15 has in advance. It is determined whether communication with the server 22 is permitted, and only IP packets addressed to the Web server 22 permitted to communicate are permitted to be transmitted to the Internet 93.

ここで、本実施形態は、キャッシュＤＮＳサーバ１５がＤＮＳクエリにキャッシュＤＮＳサーバ１５のＩＰアドレスとゾーン名を追加し、またそれらについて当該キャッシュＤＮＳサーバ１５のゾーンに対応するクライアント側ゾーン署名鍵で作成した署名を追加して、権威ＤＮＳサーバ２３に送信する。ここで、署名は、例えば、署名対象のハッシュ値を秘密鍵で暗号化したものである。権威ＤＮＳサーバ２３は、既存のＤＮＳＳＥＣのプロトコル手順を用いて、ｒｏｏｔ ＤＮＳサーバ（不図示）からの信頼性チェーンを用いて、当該ゾーンに対応するサーバ側ゾーン署名鍵の本人性を確認し、当該鍵を用いて当該署名を復号し、得られたハッシュ値を、署名範囲から計算したハッシュ値と比較して検証する。   Here, in the present embodiment, the cache DNS server 15 adds the IP address and zone name of the cache DNS server 15 to the DNS query, and creates them with the client-side zone signature key corresponding to the zone of the cache DNS server 15 The signature is added and transmitted to the authoritative DNS server 23. Here, the signature is obtained by encrypting a hash value to be signed with a secret key, for example. The authoritative DNS server 23 uses the existing DNSSEC protocol procedure to confirm the identity of the server-side zone signing key corresponding to the zone using the trust chain from the root DNS server (not shown). The signature is decrypted using the key, and the obtained hash value is compared with the hash value calculated from the signature range and verified.

本開示に係る第１の課題〜第４の課題のそれぞれを、本開示がどのように解決しているのか以下に説明する。
・第１の課題：ＡＳＰによる巡回調査の遅れについて。
本開示では、各ＩＳＰ網がＩＤＳサーバを備え、巡回調査をＩＳＰ網毎に分散して実施する。このため、各ＡＳＰがそれぞれ独立してインターネット９３内の全Ｗｅｂサーバを調査する場合と比較し、短い周期で、かつ精度の高い調査が可能となる。
・第２の課題：リンクの無い悪意のＷｅｂサーバの潜在化について。
本開示では、各ＩＳＰ網が権威ＤＮＳサーバを備え、ＷｅｂサーバにＵＲＬを割り当てるＩＳＰ網が、当該ドメイン内のＷｅｂサーバのみを、分散して調査する。このため、各ＡＳＰが全世界のＷｅｂサーバを調査する既存技術に比べて、調査対象数が少ないため、迅速に調査を行うことができる。また、本開示では権威ＤＮＳサーバ２３のレコードを参照して調査を行うため、ＵＲＬを持つｗｅｂサーバやクライアントについて、調査漏れがない。また、クライアント側のＩＳＰ網９１が、ＵＲＬを持たないＷｅｂサーバへの発信を遮断することで、悪意のＷｅｂサーバの潜在化を防止する。
・第３の課題：クライアントの通信プライバシのＡＳＰへの流出について。
本開示では、ＡＳＰに対して通信相手のＵＲＬを通知する必要が無い。
・第４の課題：クライアントの負荷
本開示では、クライアントによるブラックリストの管理や照合が不要である。 Each of the first problem to the fourth problem according to the present disclosure will be described below as to how the present disclosure solves.
・ First issue: Delay in patrol survey by ASP.
In the present disclosure, each ISP network is provided with an IDS server, and a patrol survey is distributed among ISP networks. For this reason, as compared with the case where each ASP independently surveys all Web servers in the Internet 93, it is possible to conduct a survey with a short period and high accuracy.
Second problem: the latent of a malicious Web server without a link.
In the present disclosure, each ISP network includes an authoritative DNS server, and an ISP network that assigns a URL to a Web server investigates only Web servers in the domain in a distributed manner. For this reason, since there are few investigation object numbers compared with the existing technology in which each ASP investigates the web server of the whole world, it can investigate quickly. In the present disclosure, since the investigation is performed with reference to the record of the authoritative DNS server 23, there is no omission in the investigation of the web server or client having the URL. Also, the client-side ISP network 91 blocks outgoing calls to a Web server that does not have a URL, thereby preventing the malicious Web server from becoming latent.
Third problem: Outflow of client communication privacy to ASP.
In the present disclosure, it is not necessary to notify the ASP of the communication partner to the ASP.
Fourth problem: client load In the present disclosure, it is not necessary to manage or collate a black list by a client.

さらに、本開示では、Ｗｅｂサーバ２２側の安全性評価結果や通信許可ポリシーを通知する相手を、ＤＮＳＳＥＣにより割り当てられたゾーン署名鍵をもつキャッシュＤＮＳサーバ１５に限定しかつＩＰアドレスの成りすましを防いでいるため、悪意者への漏洩を防ぐ事が可能である。このため、安全なＷｅｂサーバと未調査のＷｅｂサーバの区別を含む詳細な情報を、クライアント側のＩＳＰ網９１に通知することができ、クライアント側で柔軟な通信制御が可能である。   Further, in the present disclosure, the party that notifies the security evaluation result and the communication permission policy on the Web server 22 side is limited to the cache DNS server 15 having the zone signature key assigned by DNSSEC, and the spoofing of the IP address is prevented. Therefore, it is possible to prevent leakage to the Service-to-Self. For this reason, detailed information including the distinction between a secure Web server and an unexamined Web server can be notified to the ISP network 91 on the client side, and flexible communication control can be performed on the client side.

なお、サーバ側のＩＳＰ網９２がクライアント側のＩＳＰ網９１の成りすましを防ぐ方法として、ＰＫＩ（Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）やＳｉｎｇｌｅ Ｓｉｇｎ Ｏｎなどの既存技術の適用が考えられるが、ＩＳＰ網毎の公開鍵の管理やＩｄＰ（Ｉｄｅｎｔｉｔｙ Ｐｒｏｖｉｄｅｒ）アカウントの作成などＩＳＰの負担が大きく、また、既存のＤＮＳ手順以外に認証手順の追加が必要となり、処理性能や接続遅延が劣化する問題がある。一方、ｒｏｏｔ ＤＮＳサーバが信頼性のルートとなり、ＤＮＳリプライデータの改竄防止に使用するゾーン署名鍵の本人性を保証するＤＮＳＳＥＣ技術が普及しつつある。本開示は本鍵を流用し、ＤＮＳＳＥＣプロトコルを拡張することで、ＩＳＰの負担やＤＮＳ以外の手順の追加をせずに、ＤＮＳリクエストのＩＰアドレスの認証を実現することができる。   As a method for preventing the server-side ISP network 92 from impersonating the client-side ISP network 91, application of existing technologies such as PKI (Public Key Infrastructure) and Single Sign On can be considered. The burden on the ISP such as management and creation of an IdP (Identity Provider) account is large, and an additional authentication procedure is required in addition to the existing DNS procedure, resulting in a problem that processing performance and connection delay deteriorate. On the other hand, the root DNS server has become the root of reliability, and DNSSEC technology for guaranteeing the identity of the zone signature key used for preventing alteration of DNS reply data is becoming widespread. In the present disclosure, this key is used and the DNSSEC protocol is extended, so that authentication of the IP address of the DNS request can be realized without burdening the ISP or adding a procedure other than DNS.

また、ＩＳＰ網９１とＩＳＰ網９２間の経路上で、ＤＮＳクエリやレスポンスを盗聴される可能性がある場合は、ＩＳＰ網９１及び９２間のメッセージ数を増やさずに、キャッシュＤＮＳサーバ１５と権威ＤＮＳサーバ２３間で共通鍵を共有し、暗号化することもできる。   If there is a possibility that a DNS query or response may be eavesdropped on the path between the ISP network 91 and the ISP network 92, the cache DNS server 15 and the authoritative authority are not increased without increasing the number of messages between the ISP networks 91 and 92. A common key can be shared and encrypted between the DNS servers 23.

なお、ＩＳＰ網９１とＩＳＰ網９２間の経路上で、ＤＮＳクエリやレスポンスの盗聴や改竄の危険がない場合は、共通鍵による暗号化を削除することで、ＤＮＳクエリ毎の署名作成や暗号化処理が不要となり、キャッシュＤＮＳサーバ１５や権威ＤＮＳサーバ２３の性能への影響を少なくすることが出来る。   If there is no danger of eavesdropping or tampering with a DNS query or response on the path between the ISP network 91 and the ISP network 92, signature creation and encryption for each DNS query can be performed by deleting encryption using a common key. Processing becomes unnecessary, and the influence on the performance of the cache DNS server 15 and the authoritative DNS server 23 can be reduced.

（実施形態２）
Ｗｅｂサーバ２２のＩＰアドレスを知っている任意のクライアントからのＩＰパケットがＷｅｂサーバ２２まで到着すると、悪意者からＷｅｂサーバ２２が攻撃される可能性がある。本実施形態に係るデータ通信システムは、このようなＷｅｂサーバ２２に対する攻撃の防止を実現する。 (Embodiment 2)
When an IP packet from an arbitrary client who knows the IP address of the Web server 22 arrives at the Web server 22, there is a possibility that the Web server 22 is attacked by a malicious person. The data communication system according to the present embodiment realizes prevention of such attacks on the Web server 22.

図１１は、本実施形態に係るデータ通信システムの構成例である。本実施形態に係るデータ通信システムは、クライアント側のＩＳＰ網９１内に権威ＤＮＳサーバ１３とＩＤＳサーバ１４を追加し、以下の処理を行う構成をさらに備える。これにより、本実施形態に係るデータ通信システムは、Ｗｅｂサーバ２２に対する攻撃を防止する。   FIG. 11 is a configuration example of the data communication system according to the present embodiment. The data communication system according to the present embodiment further includes a configuration in which an authoritative DNS server 13 and an IDS server 14 are added to the client-side ISP network 91 and the following processing is performed. Thereby, the data communication system according to the present embodiment prevents attacks on the Web server 22.

クライアント１２がＩＳＰ網９１に接続すると、権威ＤＮＳサーバ１３は、ＩＤＳサーバ２２と同様に、クライアント１２のＵＲＬとＩＰアドレスの対応を登録する。権威ＤＮＳサーバ１３はＵＲＬの登録を受け付けると、権威ＤＮＳサーバ２３と同様に、ＩＤＳサーバ１４に当該ＵＲＬを登録する。以降、当該ＩＤＳサーバ１４は、ＩＳＰ網９１内の登録された全ＵＲＬに対応するホストの信頼性レベルを既存のＩＤＳ技術を活用して全数、周期的に調査し、その調査結果をＵＲＬ単位で安全性評価結果として権威ＤＮＳサーバ１３に登録する。   When the client 12 connects to the ISP network 91, the authoritative DNS server 13 registers the correspondence between the URL of the client 12 and the IP address, as with the IDS server 22. When the authoritative DNS server 13 accepts the URL registration, the authoritative DNS server 13 registers the URL in the IDS server 14 in the same manner as the authoritative DNS server 23. Thereafter, the IDS server 14 periodically checks the reliability levels of the hosts corresponding to all registered URLs in the ISP network 91 by utilizing the existing IDS technology, and the search results are obtained in units of URLs. The security evaluation result is registered in the authoritative DNS server 13.

ＩＳＰ網９２の運用者は、権威ＤＮＳサーバ２３に、当該ＩＳＰ網９２内部と外部ホスト間の通信を許可する通信許可ポリシーＰ２を登録しておく。権威ＤＮＳサーバ２３は、図１２に示すように、Ｗｅｂサーバ２２のＩＰアドレス（データ部中のアンサー部）及び実施形態１で生成した安全性評価結果に加え、通信許可ポリシーＰ２についてもサーバ側ゾーン署名鍵による署名を付けてＤＮＳレスポンスに格納して返送する。   The operator of the ISP network 92 registers in the authoritative DNS server 23 a communication permission policy P2 that permits communication between the ISP network 92 and an external host. As shown in FIG. 12, the authoritative DNS server 23 uses the server-side zone for the communication permission policy P2 in addition to the IP address of the Web server 22 (answer part in the data part) and the safety evaluation result generated in the first embodiment. A signature with a signature key is attached, stored in a DNS response, and returned.

権威ＤＮＳサーバ２３から受信したＤＮＳレスポンスに通信許可ポリシーＰ２が含まれている場合、キャッシュＤＮＳサーバ１５は、権威ＤＮＳサーバ１３をクライアント１２のＩＰアドレスで検索し、当該クライアント１２の安全性評価結果を読み取る。そして、Ｗｅｂサーバ２２の安全性評価結果がＩＳＰ網９１の通信許可ポリシーＰ１を満たし、かつ、クライアント１２の安全性評価結果がＩＳＰ網９２の通信許可ポリシーＰ２を満たした場合、キャッシュＤＮＳサーバ１５は、ＧＷ１１に当該ＩＰアドレスへの発信許可を指示する。通信許可ポリシーＰ１やＰ２を、ホスト毎あるいはホストの種類毎に分けることで、更に柔軟な通信制御が可能である。   When the communication permission policy P2 is included in the DNS response received from the authoritative DNS server 23, the cache DNS server 15 searches the authoritative DNS server 13 by the IP address of the client 12, and obtains the security evaluation result of the client 12 read. When the security evaluation result of the Web server 22 satisfies the communication permission policy P1 of the ISP network 91 and the safety evaluation result of the client 12 satisfies the communication permission policy P2 of the ISP network 92, the cache DNS server 15 The GW 11 is instructed to permit transmission to the IP address. By dividing the communication permission policies P1 and P2 for each host or each host type, more flexible communication control is possible.

以上説明したように、本実施形態は、Ｗｅｂサーバ２２側のＩＳＰが、クライアント１２に対して当該Ｗｅｂサーバ２２との通信を許可する条件を権威ＤＮＳサーバ２３で公開し、クライアント側のキャッシュＤＮＳサーバ１５が、クライアント側のＩＳＰが判定した当該クライアント１２の安全性評価結果と比較し、通信を許可するか判定する。これにより、本実施形態は、Ｗｅｂサーバや着信側ＩＳＰに代行して、発信側のＩＳＰがクライアント１２の安全性を判定し、Ｗｅｂサーバ２２への接続可否を判断するため、Ｗｅｂサーバ２２に対する攻撃を防止することができる。   As described above, in the present embodiment, the ISP on the Web server 22 side discloses the conditions for allowing the client 12 to communicate with the Web server 22 on the authoritative DNS server 23, and the client-side cache DNS server 15 compares with the security evaluation result of the client 12 determined by the client-side ISP to determine whether to permit communication. As a result, in the present embodiment, on behalf of the Web server or the terminating ISP, the originating ISP determines the security of the client 12 and determines whether or not the connection to the Web server 22 is possible. Can be prevented.

（実施形態３）
本実施形態に係るデータ通信システムは、実施形態１又は実施形態２において、ＵＲＬなどの情報を暗号化する。 (Embodiment 3)
The data communication system according to the present embodiment encrypts information such as a URL in the first or second embodiment.

図１３に、本実施形態におけるＤＮＳクエリの一例を示す。キャッシュＤＮＳサーバ１５は、ＤＮＳクエリのクエリ部を共通鍵で暗号化し、当該共通鍵をサーバ側ゾーン署名鍵の公開鍵で暗号化し、クライアント側ゾーン署名鍵の秘密鍵による署名を付けて、権威ＤＮＳサーバ２３に送信する。ここで、共通鍵は、暗号アルゴリズムの識別情報を含む。   FIG. 13 shows an example of the DNS query in this embodiment. The cache DNS server 15 encrypts the query part of the DNS query with a common key, encrypts the common key with the public key of the server-side zone signature key, attaches a signature with the secret key of the client-side zone signature key, and authorizes the DNS It transmits to the server 23. Here, the common key includes identification information of the encryption algorithm.

権威ＤＮＳサーバ２３は、当該ＤＮＳクエリの署名を当該クライアント側ゾーン署名鍵の公開鍵で検証し、署名範囲に改ざんがないか確認する。改ざんがない場合、権威ＤＮＳサーバ２３は、サーバ側ゾーン署名鍵の秘密鍵を用いて共通鍵を復号し、得た共通鍵を用いてクエリ部を復号する。   The authoritative DNS server 23 verifies the signature of the DNS query with the public key of the client-side zone signature key, and confirms that the signature range has not been tampered with. When there is no falsification, the authoritative DNS server 23 decrypts the common key using the secret key of the server-side zone signature key, and decrypts the query unit using the obtained common key.

図１４に、本実施形態におけるＤＮＳレスポンスの一例を示す。権威ＤＮＳサーバ２３は、復号して得られた問い合わせＵＲＬに対応するアンサー部を作成し、ＤＮＳレスポンスのクエリ部と、アンサー部の署名と署名鍵以外のレコードを、当該共通鍵で暗号化して、キャッシュＤＮＳサーバ１５に返送する。ここで、アンサー部は、ＵＲＬのＩＰアドレス、Ｗｅｂサーバ２２の安全性評価結果、及び通信許可ポリシーＰ２を含む。   FIG. 14 shows an example of the DNS response in the present embodiment. The authoritative DNS server 23 creates an answer part corresponding to the inquiry URL obtained by decryption, encrypts the query part of the DNS response, and records other than the signature and signature key of the answer part with the common key, Returned to the cache DNS server 15. Here, the answer unit includes the IP address of the URL, the security evaluation result of the Web server 22, and the communication permission policy P2.

本実施形態は、キャッシュＤＮＳサーバ１５がＤＮＳクエリを送信時に、ＤＮＳクエリのクエリ部を共通鍵で暗号化し、当該共通鍵をサーバ側ゾーン署名鍵の公開鍵で暗号化し、クライアント側ゾーン署名鍵の秘密鍵による署名を付けて権威ＤＮＳサーバ２３に送信する。一方、権威ＤＮＳサーバ２３は、当該ＤＮＳクエリの署名を当該クライアント側ゾーン署名鍵の公開鍵で検証し、署名範囲に改ざんがない場合、当該サーバ側ゾーン署名鍵の秘密鍵で復号して得た共通鍵を用いてクエリ部を復号する。次に、復号して得られた問い合わせＵＲＬに対応するアンサー部を作成し、ＤＮＳレスポンスのクエリ部と、アンサー部の署名と署名鍵以外のレコードを、当該共通鍵で暗号化して当該キャッシュＤＮＳサーバに返送する。したがって、本実施形態により、権威ＤＮＳサーバ２３とキャッシュＤＮＳサーバ１５間の経路上での盗聴を防ぐことができる。   In the present embodiment, when the cache DNS server 15 transmits a DNS query, the query part of the DNS query is encrypted with a common key, the common key is encrypted with the public key of the server side zone signature key, and the client side zone signature key A signature with a secret key is attached and transmitted to the authoritative DNS server 23. On the other hand, the authoritative DNS server 23 verifies the signature of the DNS query with the public key of the client-side zone signature key, and if the signature range has not been tampered with, decrypted with the secret key of the server-side zone signature key The query part is decrypted using the common key. Next, an answer part corresponding to the inquiry URL obtained by decryption is created, and the DNS response query part and the record other than the answer part signature and signature key are encrypted with the common key, and the cache DNS server Return to Therefore, this embodiment can prevent eavesdropping on the path between the authoritative DNS server 23 and the cache DNS server 15.

本開示は情報通信産業に適用することができる。   The present disclosure can be applied to the information communication industry.

１１、２１：ＧＷ
１２：クライアント
１４、２４：ＩＤＳサーバ
１５：キャッシュＤＮＳサーバ
２２：Ｗｅｂサーバ
１３、２３：権威ＤＮＳサーバ
９１、９２：ＩＳＰ網
９３：インターネット 11, 21: GW
12: Client 14, 24: IDS server 15: Cache DNS server 22: Web server 13, 23: Authoritative DNS server 91, 92: ISP network 93: Internet

Claims (9)

第１のＩＳＰ網に接続され、第１のＩＳＰ網内の各端末に対する第１の通信許可ポリシーを保持し、第１のＩＳＰ網とは異なる第２のＩＳＰ網に接続されているＷｅｂサーバのＵＲＬに対応するＩＰアドレスを問い合わせるＤＮＳクエリを第１のＩＳＰ網内の端末から受信すると、前記ＵＲＬに対応するＩＰアドレス及び安全性評価結果を含むＤＮＳレスポンスを第２のＩＳＰ網の権威ＤＮＳ装置から受信し、受信した安全性評価結果が第１の通信許可ポリシーを満たすか否かを判定し、第１の通信許可ポリシーを満たす場合、ＤＮＳレスポンスに記載のＩＰアドレスへの発信許可をＤＮＳクエリの送信元の端末に対して行うキャッシュＤＮＳ装置と、
第２のＩＳＰ網に接続され、第２のＩＳＰ網内に接続されている各ＵＲＬの安全性評価結果を保持し、第１のＩＳＰ網からＤＮＳクエリを受信すると、ＤＮＳクエリに記載されているＵＲＬに対応するＩＰアドレス及び安全性評価結果を含むＤＮＳレスポンスを、第１のＩＳＰ網のキャッシュＤＮＳ装置に送信する権威ＤＮＳ装置と、
を備えるデータ通信システム。 A Web server connected to the first ISP network, holding a first communication permission policy for each terminal in the first ISP network, and connected to a second ISP network different from the first ISP network When a DNS query for inquiring about the IP address corresponding to the URL is received from a terminal in the first ISP network, a DNS response including the IP address corresponding to the URL and the security evaluation result is received from the authoritative DNS device of the second ISP network. If it is received and it is determined whether the received safety evaluation result satisfies the first communication permission policy and the first communication permission policy is satisfied, the transmission permission to the IP address described in the DNS response is set in the DNS query. A cache DNS device for the terminal of the transmission source;
When a DNS query is received from the first ISP network, the security evaluation result of each URL connected to the second ISP network is stored in the second ISP network, and is described in the DNS query. An authoritative DNS device that transmits a DNS response including the IP address corresponding to the URL and the security evaluation result to the cache DNS device of the first ISP network;
A data communication system comprising: 第１のＩＳＰ網のキャッシュＤＮＳ装置は、自装置のＩＰアドレス及び第１のＩＳＰ網のゾーン名に第１のＩＳＰ網のゾーン署名鍵の秘密鍵を用いて署名を行ったもの、並びに、第１のＩＳＰ網のゾーン署名鍵の公開鍵を、第１のＩＳＰ網内の端末から受信したＤＮＳクエリに追加して第２のＩＳＰ網の権威ＤＮＳ装置に送信し、
第２のＩＳＰ網の権威ＤＮＳ装置は、第１のＩＳＰ網のゾーン署名鍵の公開鍵を用いてＤＮＳクエリに記載されているＩＰアドレス及びゾーン名に改ざんがないことを確認する、
請求項１に記載のデータ通信システム。 The cache DNS device of the first ISP network has signed the IP address of its own device and the zone name of the first ISP network using the secret key of the zone signature key of the first ISP network, and the first The public key of the zone signature key of the first ISP network is added to the DNS query received from the terminal in the first ISP network and transmitted to the authoritative DNS device of the second ISP network,
The authoritative DNS device of the second ISP network uses the public key of the zone signature key of the first ISP network to confirm that the IP address and zone name described in the DNS query are not falsified.
The data communication system according to claim 1. 第２のＩＳＰ網の権威ＤＮＳ装置は、ＤＮＳクエリに記載されているＵＲＬに対応するＩＰアドレス及び安全性評価結果に第２のＩＳＰ網のゾーン署名鍵の秘密鍵を用いて署名を行ったもの、並びに、第２のＩＳＰ網のゾーン署名鍵の公開鍵を、第１のＩＳＰ網のキャッシュＤＮＳ装置に送信し、
第１のＩＳＰ網のキャッシュＤＮＳ装置は、第２のＩＳＰ網のゾーン署名鍵の公開鍵を用いてＤＮＳレスポンスに記載されているＩＰアドレス及び安全性評価結果に改ざんがないことを確認する、
請求項１又は２に記載のデータ通信システム。 The authoritative DNS device of the second ISP network signed the IP address corresponding to the URL described in the DNS query and the security evaluation result using the secret key of the zone signature key of the second ISP network. And the public key of the zone signature key of the second ISP network is transmitted to the cache DNS device of the first ISP network,
The cache DNS device of the first ISP network uses the public key of the zone signature key of the second ISP network to confirm that the IP address and the security evaluation result described in the DNS response are not falsified.
The data communication system according to claim 1 or 2. 第１のＩＳＰ網のキャッシュＤＮＳ装置は、ＤＮＳクエリに記載されているＵＲＬを共通鍵で暗号化し、当該共通鍵を第２のＩＳＰ網のゾーン署名鍵の公開鍵で暗号化し、暗号化した共通鍵、自装置のＩＰアドレス及び第１のＩＳＰ網のゾーン名に第１のＩＳＰ網のゾーン署名鍵の秘密鍵を用いて署名を行ったもの、並びに、第１のＩＳＰ網のゾーン署名鍵の公開鍵を、第１のＩＳＰ網内の端末から受信したＤＮＳクエリに追加して第２のＩＳＰ網の権威ＤＮＳ装置に送信し、
第２のＩＳＰ網の権威ＤＮＳ装置は、第１のＩＳＰ網のゾーン署名鍵の公開鍵を用いてＤＮＳクエリに記載されている暗号化した共通鍵、ＩＰアドレス及びゾーン名に改ざんがないことを確認し、第２のＩＳＰ網のゾーン署名鍵の秘密鍵を用いて暗号化されている共通鍵を復号し、復号化した共通鍵を用いて暗号化されているＵＲＬを復号する、
請求項１から３のいずれかに記載のデータ通信システム。 The cache DNS device of the first ISP network encrypts the URL described in the DNS query with a common key, encrypts the common key with the public key of the zone signature key of the second ISP network, and encrypts the common The signature of the key, the IP address of the own device and the zone name of the first ISP network using the secret key of the zone signature key of the first ISP network, and the zone signature key of the first ISP network Add the public key to the DNS query received from the terminal in the first ISP network and send it to the authoritative DNS device of the second ISP network;
The authoritative DNS device of the second ISP network confirms that the encrypted common key, IP address, and zone name described in the DNS query using the public key of the zone signature key of the first ISP network are not falsified. Confirming, decrypting the common key encrypted using the secret key of the zone signature key of the second ISP network, and decrypting the encrypted URL using the decrypted common key;
The data communication system according to any one of claims 1 to 3. 第２のＩＳＰ網の権威ＤＮＳ装置は、ＤＮＳクエリに記載されていた共通鍵を用いて、ＤＮＳレスポンスに記載されているＵＲＬ、ＩＰアドレス及び安全性評価結果を暗号化する、
請求項４に記載のデータ通信システム。 The authoritative DNS device of the second ISP network encrypts the URL, IP address, and security evaluation result described in the DNS response using the common key described in the DNS query.
The data communication system according to claim 4. 第２のＩＳＰ網の権威ＤＮＳ装置は、第２のＩＳＰ網内の各端末に対する第２の通信許可ポリシーを、ＤＮＳレスポンスに追加して第１のＩＳＰ網のキャッシュＤＮＳ装置に送信し、
第１のＩＳＰ網のキャッシュＤＮＳ装置は、ＤＮＳレスポンスに記載されている安全性評価結果が第１の通信許可ポリシーを満たし、かつ、ＤＮＳクエリの送信元の端末がＤＮＳレスポンスに記載されている第２の通信許可ポリシーを満たす場合、ＤＮＳレスポンスに記載されているＩＰアドレスへの発信許可をＤＮＳクエリの送信元の端末に対して行う、
請求項１から５のいずれかに記載のデータ通信システム。 The authoritative DNS device of the second ISP network transmits a second communication permission policy for each terminal in the second ISP network to the DNS response of the first ISP network in addition to the DNS response,
In the cache DNS device of the first ISP network, the safety evaluation result described in the DNS response satisfies the first communication permission policy, and the DNS query transmission source terminal is described in the DNS response. When the communication permission policy of 2 is satisfied, the transmission permission to the IP address described in the DNS response is permitted to the terminal of the DNS query transmission source.
The data communication system according to any one of claims 1 to 5. 第２のＩＳＰ網の権威ＤＮＳ装置は、ＤＮＳクエリに記載されていた共通鍵を用いて第２の通信許可ポリシーを暗号化し、暗号化されている第２の通信許可ポリシーに第２のＩＳＰ網のゾーン署名鍵の秘密鍵を用いて署名を行ったもの、並びに、第２のＩＳＰ網のゾーン署名鍵の公開鍵を、第１のＩＳＰ網のキャッシュＤＮＳ装置に送信し、
第１のＩＳＰ網のキャッシュＤＮＳ装置は、第２のＩＳＰ網のゾーン署名鍵の公開鍵を用いてＤＮＳレスポンスに記載されている第２の通信許可ポリシーに改ざんがないことを確認する、
請求項６に記載のデータ通信システム。 The authoritative DNS device of the second ISP network encrypts the second communication permission policy by using the common key described in the DNS query, and adds the second ISP network to the encrypted second communication permission policy. The signature using the private key of the zone signature key and the public key of the zone signature key of the second ISP network are transmitted to the cache DNS device of the first ISP network,
The cache DNS device of the first ISP network confirms that the second communication permission policy described in the DNS response has not been tampered with using the public key of the zone signature key of the second ISP network.
The data communication system according to claim 6. 自装置の接続されている第１のＩＳＰ網とは異なる第２のＩＳＰ網に接続されているＷｅｂサーバのＵＲＬに対応するＩＰアドレスを問い合わせるＤＮＳクエリを、第１のＩＳＰ網内の端末から受信すると、前記ＵＲＬに対応するＩＰアドレス及び安全性評価結果を含むＤＮＳレスポンスを第２のＩＳＰ網の権威ＤＮＳから受信し、
第１のＩＳＰ網内の各端末に対する第１の通信許可ポリシーを保持し、第２のＩＳＰ網の権威ＤＮＳから受信した安全性評価結果が第１の通信許可ポリシーを満たすか否かを判定し、第１の通信許可ポリシーを満たす場合、ＤＮＳレスポンスに記載のＩＰアドレスへの発信許可をＤＮＳクエリの送信元の端末に対して行う、
を備えるキャッシュＤＮＳ装置。 A DNS query for inquiring about an IP address corresponding to the URL of a Web server connected to a second ISP network different from the first ISP network to which the own apparatus is connected is received from a terminal in the first ISP network. Then, a DNS response including the IP address corresponding to the URL and the security evaluation result is received from the authoritative DNS of the second ISP network,
The first communication permission policy for each terminal in the first ISP network is held, and it is determined whether or not the safety evaluation result received from the authoritative DNS of the second ISP network satisfies the first communication permission policy. When the first communication permission policy is satisfied, the transmission permission to the IP address described in the DNS response is permitted to the terminal that is the source of the DNS query.
A cache DNS device comprising: 第１のＩＳＰ網のキャッシュＤＮＳが、第１のＩＳＰ網とは異なる第２のＩＳＰ網に接続されているＷｅｂサーバのＵＲＬに対応するＩＰアドレスを問い合わせるＤＮＳクエリを、第１のＩＳＰ網内の端末から受信すると、前記ＵＲＬに対応するＩＰアドレス及び安全性評価結果を含むＤＮＳレスポンスを第２のＩＳＰ網の権威ＤＮＳから受信する手順と、
第１のＩＳＰ網のキャッシュＤＮＳが、第１のＩＳＰ網内の各端末に対する第１の通信許可ポリシーを参照し、権威ＤＮＳから受信した安全性評価結果が第１の通信許可ポリシーを満たすか否かを判定し、第１の通信許可ポリシーを満たす場合、ＤＮＳクエリで問い合わせのあったＩＰアドレスへの発信許可をＤＮＳクエリの送信元の端末に対して行う手順と、
を備える通信攻撃防止方法。 A DNS query in which the cache DNS of the first ISP network inquires an IP address corresponding to the URL of the Web server connected to the second ISP network different from the first ISP network is stored in the first ISP network. When received from the terminal, a procedure for receiving a DNS response including the IP address corresponding to the URL and the security evaluation result from the authoritative DNS of the second ISP network;
Whether the cache DNS of the first ISP network refers to the first communication permission policy for each terminal in the first ISP network, and the security evaluation result received from the authoritative DNS satisfies the first communication permission policy. And when the first communication permission policy is satisfied, a procedure for permitting the terminal that is the source of the DNS query to be permitted to make a call to the IP address inquired by the DNS query;
A communication attack prevention method comprising:
JP2016212296A 2016-10-28 2016-10-28 Data communication system, cache DNS device and communication attack prevention method Active JP6763605B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2016212296A JP6763605B2 (en) 2016-10-28 2016-10-28 Data communication system, cache DNS device and communication attack prevention method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2016212296A JP6763605B2 (en) 2016-10-28 2016-10-28 Data communication system, cache DNS device and communication attack prevention method

Publications (2)

Publication Number Publication Date
JP2018074395A true JP2018074395A (en) 2018-05-10
JP6763605B2 JP6763605B2 (en) 2020-09-30

Family

ID=62115889

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016212296A Active JP6763605B2 (en) 2016-10-28 2016-10-28 Data communication system, cache DNS device and communication attack prevention method

Country Status (1)

Country Link
JP (1) JP6763605B2 (en)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112989250A (en) * 2021-03-11 2021-06-18 北京百度网讯科技有限公司 Web service response method and device and electronic equipment
JP2021193772A (en) * 2020-06-08 2021-12-23 ソフトバンク株式会社 Information processing device, information processing method, and information processing program
CN114640649A (en) * 2022-03-16 2022-06-17 Oppo广东移动通信有限公司 Domain name resolution method, service terminal, electronic device and storage medium

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004242161A (en) * 2003-02-07 2004-08-26 Nippon Telegr & Teleph Corp <Ntt> Data communication network system and method for controlling data communication network connection
WO2006067973A1 (en) * 2004-12-22 2006-06-29 Matsushita Electric Industrial Co., Ltd. Access controller
WO2006067951A1 (en) * 2004-12-22 2006-06-29 Matsushita Electric Industrial Co., Ltd. Access control device, and access control method
US20080016552A1 (en) * 2006-07-12 2008-01-17 Hart Matt E Method and apparatus for improving security during web-browsing
JP2009271842A (en) * 2008-05-09 2009-11-19 Fujitsu Ltd Method of limiting access to web server, femtocell base station device, and access limitation determination device
JP2013171371A (en) * 2012-02-20 2013-09-02 Nippon Telegr & Teleph Corp <Ntt> Packet filtering method and device

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004242161A (en) * 2003-02-07 2004-08-26 Nippon Telegr & Teleph Corp <Ntt> Data communication network system and method for controlling data communication network connection
WO2006067973A1 (en) * 2004-12-22 2006-06-29 Matsushita Electric Industrial Co., Ltd. Access controller
WO2006067951A1 (en) * 2004-12-22 2006-06-29 Matsushita Electric Industrial Co., Ltd. Access control device, and access control method
US20080016552A1 (en) * 2006-07-12 2008-01-17 Hart Matt E Method and apparatus for improving security during web-browsing
JP2009271842A (en) * 2008-05-09 2009-11-19 Fujitsu Ltd Method of limiting access to web server, femtocell base station device, and access limitation determination device
JP2013171371A (en) * 2012-02-20 2013-09-02 Nippon Telegr & Teleph Corp <Ntt> Packet filtering method and device

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2021193772A (en) * 2020-06-08 2021-12-23 ソフトバンク株式会社 Information processing device, information processing method, and information processing program
JP7038165B2 (en) 2020-06-08 2022-03-17 ソフトバンク株式会社 Information processing equipment, information processing methods and information processing programs
CN112989250A (en) * 2021-03-11 2021-06-18 北京百度网讯科技有限公司 Web service response method and device and electronic equipment
CN112989250B (en) * 2021-03-11 2024-01-12 北京百度网讯科技有限公司 Web service response method and device and electronic equipment
CN114640649A (en) * 2022-03-16 2022-06-17 Oppo广东移动通信有限公司 Domain name resolution method, service terminal, electronic device and storage medium

Also Published As

Publication number Publication date
JP6763605B2 (en) 2020-09-30

Similar Documents

Publication Publication Date Title
US8068414B2 (en) Arrangement for tracking IP address usage based on authenticated link identifier
Borgolte et al. Cloud strife: mitigating the security risks of domain-validated certificates
US8862871B2 (en) Network with protocol, privacy preserving source attribution and admission control and method
Gangan A review of man-in-the-middle attacks
CN114095198A (en) Method and system for efficient cryptographic SNI filtering for network security applications
US11539695B2 (en) Secure controlled access to protected resources
WO2015174100A1 (en) Packet transfer device, packet transfer system, and packet transfer method
Morsy et al. D-arp: An efficient scheme to detect and prevent arp spoofing
JP6763605B2 (en) Data communication system, cache DNS device and communication attack prevention method
El‐Hajj The most recent SSL security attacks: origins, implementation, evaluation, and suggested countermeasures
EP1836559B1 (en) Apparatus and method for traversing gateway device using a plurality of batons
CN112655186B (en) Trusted DNS resolution equipment and method
JP4065850B2 (en) Protecting data traffic in a mobile network environment
Mathi et al. A new method for preventing man-in-the-middle attack in IPv6 network mobility
JP2017201774A (en) Communication device, communication method, and program
Yoganguina et al. Proposition of a model for securing the neighbor discovery protocol (NDP) in IPv6 environment
Krähenbühl et al. Pervasive Internet-wide low-latency authentication
WO2010003326A1 (en) A method for protecting the proxy neighbor discovery, and a system and related apparatus thereof
Kelpen et al. Privacy and Data Protection in the Domain Name System: Threats and Countermeasures
Shaikh et al. Overcoming threats and vulnerabilities in dns
Pahlevan Signaling and policy enforcement for co-operative firewalls
Smyslov et al. The NULL authentication Method in the internet key exchange protocol version 2 (IKEv2)
Lin et al. DAMUP: Practical and privacy-aware cloud-based DDoS mitigation
Liubinskii The Great Firewall’s active probing circumvention technique with port knocking and SDN
Blidborg et al. Cache Poisoning in DNS over HTTPS clients

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190917

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20200722

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200811

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200907

R150 Certificate of patent or registration of utility model

Ref document number: 6763605

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150