JP2022145099A - 通信システム及びプログラム - Google Patents

Abstract

【課題】既存のデバイスを変更せずに不正アクセスの検出に優れた通信システムを提供する。
【解決手段】実施形態に係る通信システムは、ネットワーク接続装置と第１のクライアント装置の間に接続される第１の通信制御装置、前記ネットワーク接続装置と第２のクライアント装置の間に接続される第２の通信制御装置、及び前記ネットワーク接続装置に接続され、前記第１の通信制御装置と第２の通信制御装置による通信を管理する通信制御管理装置を備える。前記通信制御管理装置は、前記第１のクライアント装置と前記第２のクライアント装置の間の正規通信を第１の仮想タグを含む第１のパケットによる通信と定め、前記通信制御管理装置と前記第１の通信制御装置又は第２の通信制御装置の間の正規通信を第２の仮想タグを含む第２のパケットによる通信と定めた管理情報に基づき、通信を監視する。
【選択図】 図８

Description

本発明の実施形態は、通信システム及びプログラムに関する。

IoT（Internet of Things）技術の発展により、家電や自動車、工場など世界中の様々なモノがインターネットへつながるようになってきた。このようなIoT技術を活用して、工場内や発電所、鉄道などで運転や点検時の様々な稼働データを収集し、AI（人工知能）にて分析することにより、事前に故障の兆候を検知する予防保全や設備の効率運用へと結びつける動きが高まっている。いずれも、センサー情報をネットワーク経由で収集し、そのデータを活用するために、かつてクローズドな独自ネットワークのみで運用していたものをオープンなネットワークにつなげる必要性が出てきている。独自ネットワークで守られていたシステムが、オープンなネットワークにつながると、オープンなネットワーク経由により不正アクセスされることがある。

特表２０１２－５３３２３１号公報

上記した不正アクセスを検出するため、セキュリティの仕組みをIoTデバイス自体に組み込むことが考えられる。しかし、既に稼働している既存のIoTデバイスにセキュリティの仕組みを加えることは、既存のIoTデバイスに変更を加えることになるため、コストや可用性の点で難しく、既存のデバイスへの変更を必要としない不正アクセスを検出する仕組み要望されている。

本発明が解決しようとする課題は、既存のデバイスを変更せずに不正アクセスの検出に優れた通信システム及びプログラムを提供することにある。

実施形態に係る通信システムは、ネットワーク接続装置と第１のクライアント装置の間に接続される第１の通信制御装置、前記ネットワーク接続装置と第２のクライアント装置の間に接続される第２の通信制御装置、及び前記ネットワーク接続装置に接続され、前記第１の通信制御装置と第２の通信制御装置による通信を管理する通信制御管理装置を備える。前記通信制御管理装置は、前記第１のクライアント装置と前記第２のクライアント装置の間の正規通信を第１の仮想タグを含む第１のパケットによる通信と定め、前記通信制御管理装置と前記第１の通信制御装置又は第２の通信制御装置の間の正規通信を第２の仮想タグを含む第２のパケットによる通信と定めた管理情報に基づき、通信を監視する。

図１は、各実施形態に係る通信システムの基本構成例を示す図である。 図２は、各実施形態に係るクライアント装置およびサーバ装置の機能構成例を示すブロック図である。 図３は、各実施形態に係るクライアント側の通信制御装置およびサーバ側の通信制御装置における機能構成例を示すブロック図である。 図４は、各実施形態に係る通信制御装置における認証部の構成例としてのＩＣカードのハードウェア構成例を示す図である。 図５は、各実施形態に係る通信制御装置における認証部の構成例としてのＣカードにおける機能構成例を示すブロック図である。 図６は、各実施形態に係る通信制御管理装置における機能構成例を示すブロック図である。 図７は、図１に示す通信システムが行う処理の一例を示すシーケンスである。 図８は、第１の実施形態に係る通信システムの構成例を示す図である。 図９は、第１の実施形態に係る通信システムによる通信監視の一例を示すフローチャートである。 図１０は、第２の実施形態に係る通信システムの構成例を示す図である。 図１１は、第２の実施形態に係る通信システムによる通信監視の一例を示すフローチャートである。

以下、各実施形態について、図面を参照して説明する。
まず、各実施形態に係る通信システムの基本的な構成例および動作例について説明する。
図１は、各実施形態に係る通信システムのベースとなる構成を有する通信システム１の構成例を示す図である。
通信システム１は、クライアント装置１０（１０－１～１０－Ｎ）（Ｎ：自然数）と、サーバ装置２０と、クライアント側の通信制御装置３０（３０－１～３０－Ｎ）（Ｎ：自然数）（「第１の通信制御装置」の一例）と、サーバ側の通信制御装置３１（「第１の通信制御装置」の一例）と、通信制御管理装置５０（「プライベート認証局」の一例）と、ネットワーク６と、ネットワーク接続装置７（ゲートウェイなど）と、を備える。以下の説明においては、ネットワーク６と、ネットワーク６とクライアント装置１０等とを接続するネットワーク接続装置７と、をまとめて「ネットワークＮＷ」とも称する。

クライアント装置１０は、クライアント側の通信制御装置３０を介してネットワークＮＷと接続する。サーバ装置２０は、サーバ側の通信制御装置３１を介してネットワークＮＷと接続する。なお、クライアント装置１０、およびサーバ装置２０の構成の詳細については後述する。

クライアント側の通信制御装置３０は、クライアント装置１０とネットワークＮＷとの間に接続され、クライアント装置１０とサーバ装置２０との間の通信を仲介する。クライアント側の通信制御装置３０は、クライアント装置１０によりサーバ装置２０に対して送信されるデータを取得し、取得したデータをサーバ装置２０に対して出力する。ここで、クライアント側の通信制御装置３０は、サーバ装置２０に対してデータを送信する際に、クライアント装置１０から取得したデータを暗号化し、暗号化したデータをサーバ装置２０に対して送信する。

また、クライアント側の通信制御装置３０は、サーバ装置２０によりクライアント装置１０に対して送信されるデータを取得し、取得したデータをクライアント装置１０に対して出力する。ここで、クライアント側の通信制御装置３０が取得するデータは暗号化されたデータである。クライアント側の通信制御装置３０は、クライアント装置１０にデータを出力する際に、サーバ装置２０からサーバ側の通信制御装置３１を介して取得したデータを復号し、復号したデータをクライアント装置１０に出力する。

サーバ側の通信制御装置３１は、サーバ装置２０とネットワークＮＷとの間に接続され、クライアント装置１０とサーバ装置２０との間の通信を仲介する。サーバ側の通信制御装置３１は、サーバ装置２０によりクライアント装置１０に対して送信されるデータを取得し、取得したデータをクライアント装置１０に対して送信する。ここで、サーバ側の通信制御装置３１は、クライアント装置１０に対してデータを送信する際に、サーバ装置２０から取得したデータを暗号化し、暗号化したデータをクライアント装置１０に対して送信する。

また、サーバ側の通信制御装置３１は、クライアント装置１０によりサーバ装置２０に対して送信されるデータを取得し、取得したデータをサーバ装置２０に対して出力する。ここで、サーバ側の通信制御装置３１が取得するデータは暗号化されたデータである。サーバ側の通信制御装置３１は、サーバ装置２０にデータを出力する際に、クライアント装置１０からクライアント側の通信制御装置３０を介して取得したデータを復号し、復号したデータをサーバ装置２０に出力する。

クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１が行うデータの暗号化には、例えば、ＳＳＬ（Secure Socket Layer）／ＴＬＳ（Trans port Layer Security）のプロトコルによる暗号化が行われる。クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１は、例えば、ＳＳＬ／ＴＬＳプロトコルを、ＨＴＴＰと組み合わせることで、ＨＴＴＰに含まれるデータを暗号化し、安全性を向上させたＨＴＴＰＳ（HTTP Secure）に置き換える。

なお、クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１が行うデータの暗号化は、ＨＴＴＰをＨＴＴＰＳとすることに限定されない。クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１は、ＳＳＬ／ＴＬＳプロトコルを種々の通信プロトコルと組み合わせることにより、安全性を向上させたセキュアな通信プロトコルに置き換えてもよい。例えば、クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１は、ＦＴＰ（File Transfer Protocol）をＦＴＰＳ（FTP Secure）に置き換えてもよい。

通信システム１において、クライアント側の通信制御装置３０、またはサーバ側の通信制御装置３１により暗号化されたデータがネットワークＮＷに出力される。換言すると、通信システム１におけるネットワークＮＷを流れるデータは、暗号化されたデータであり。このため、ネットワークＮＷで送受信されるデータに対し、外部から悪意をもってアクセスされデータが盗聴されてしまうような危険を回避し、安全性を向上させる。なお、ここでいうデータの盗聴とは、「データを盗み見る行為」または「データを抜き取る行為」をいう。

通信制御管理装置５０は、ネットワーク接続装置７に接続、又はネットワーク６を介してネットワーク接続装置７に接続し、クライアント側の通信制御装置とサーバ側の通信制御装置とを用いた通信を管理するための通信管理サーバである。例えば、通信制御管理装置５０は、クライアント側の通信制御装置３０に対し、クライアント証明書、および秘密鍵を発行する。図１に示す構成例において、通信制御管理装置５０は、クライアント側の通信制御装置３０に装着するＩＣカードに記憶するクライアント証明書、および秘密鍵を発行する。また、通信制御管理装置５０は、ＩＣカードが装着されたクライアント側の通信制御装置３０に対し、ＩＣカードに記憶させるクライアント証明書、および秘密鍵を、ネットワークＮＷを介して送信する。

また、通信制御管理装置５０は、サーバ側の通信制御装置３１に対し、サーバ証明書、および秘密鍵を発行する。例えば、通信制御管理装置５０は、ＩＣカードに記憶するサーバ証明書、および秘密鍵を発行する。また、通信制御管理装置５０は、ＩＣカードが装着されたサーバ側の通信制御装置３１に対し、ＩＣカードに記憶させるサーバ証明書、および秘密鍵を、ネットワークＮＷを介して送信する。クライアント証明書、サーバ証明書、および秘密鍵のそれぞれは、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とが暗号化通信を行う場合に用いる共通鍵（セッション鍵）を決定するために必要な情報である。

ここでは、クライアント装置１０、およびサーバ装置２０の構成について説明する。クライアント装置１０とサーバ装置２０とは、例えば、社会インフラシステムを構築する構成要素（コンポーネント）である。社会インフラとは、道路交通網、発電設備、配送電設備、水処理設備、又はガス配給設備等などの社会基盤を整えるために必要な設備である。社会インフラシステムとは、例えば、社会インフラを監視し、状況の変化を把握し、その変化に対応することにより、社会インフラを安定的に動作させる仕組みである。以下においては、クライアント装置１０とサーバ装置とは、道路や公共設備などを監視する監視システムのコンポーネントである場合を例に説明する。この場合、クライアント装置１０は、道路の状況等が撮像された撮像データを、ネットワークＮＷを介して送信する装置（ネットワーク監視カメラ）である。サーバ装置２０は、クライアント装置１０により送信された撮像データを、ネットワークＮＷを介して受信する装置である。

なお、クライアント装置１０とサーバ装置２０とは、監視システムのコンポーネントに限定されることはない。例えば、クライアント装置１０とサーバ装置とは、発電設備や配送電設備における電力状況をモニタリングするシステムのコンポーネントであってもよいし、物流センタにおける配送状況を取得するシステム、あるいは工場や研究機関における設備の稼働状況を取得するシステム等のコンポーネントであってもよい。

図２は、図１に示すクライアント装置１０、およびサーバ装置２０の機能構成例を示すブロック図である。
クライアント装置１０は、ＮＷ（ネットワーク）通信部１１と、クライアント制御部１２と、撮像部１３とを備える。ＮＷ通信部１１は、例えば、クライアント装置１０のイーサネット（登録商標）のポートである。ＮＷ通信部１１は、クライアント側の通信制御装置３０に接続され、クライアント装置１０からサーバ装置２０に対して送信されるデータをクライアント側の通信制御装置３０に出力する。なお、ＮＷ通信部１１は、従来のシステムであれば、ネットワークＮＷに接続され、ネットワークＮＷを介して、サーバ装置２０と通信を行う機能部に相当する。

クライアント制御部１２は、例えば、ＣＰＵなどを含むプロセッサであり、クライアント装置１０を統括的に制御する。クライアント制御部１２は、例えば、サーバ装置２０からの制御に従い、撮像部１３に撮像を開始または停止させたり、撮像部１３に対し撮像するカメラの方向や、撮像する際の倍率等の撮像条件を設定したりする。
撮像部１３は、クライアント制御部１２の指示に従い、所定箇所における風景を撮像する。撮像部１３は、撮像したデータ（撮像データ）を、クライアント制御部１２に出力する。

サーバ装置２０は、ＮＷ（ネットワーク）通信部２１と、サーバ制御部２２と、撮像データ記憶部２３とを備える。ＮＷ通信部２１は、例えば、サーバ装置２０のイーサネット（登録商標）のポートである。ＮＷ通信部２１は、サーバ側の通信制御装置３１に接続され、サーバ装置２０からクライアント装置１０に対して送信されるデータをサーバ側の通信制御装置３１に出力する。なお、ＮＷ通信部２１は、従来のシステムであれば、ネットワークＮＷに接続され、ネットワークＮＷを介して、クライアント装置１０と通信を行う機能部に相当する。

サーバ制御部２２は、例えば、ＣＰＵなどを含むプロセッサであり、サーバ装置２０を統括的に制御する。サーバ制御部２２は、例えば、クライアント装置１０により撮像された撮像データを、撮像データ記憶部２３に記憶させる。撮像データ記憶部２３は、サーバ制御部２２の指示に従い、撮像データを記憶する。

クライアント装置１０とサーバ装置２０とが、互いのＮＷ通信部およびネットワークＮＷを介して接続された場合、クライアント装置とサーバ装置２０との間の通信には、ネットワーク監視カメラにおける一般的な通信プロトコルであるＨＴＴＰが用いられることがある。

この場合、クライアント装置１０、またはサーバ装置２０によりネットワークＮＷに出力された、暗号化されていない情報（いわゆる、平文）がネットワークＮＷを流れる。この場合、外部から悪意をもってネットワークＮＷ上のデータが取得されてしまうと、容易に撮像データが盗聴されたり、改ざんされたりする危険性がある。このような不正な攻撃に対する対策として、クライアント装置１０には撮像データを暗号化させてネットワークＮＷに出力させることが考えられる。例えば、クライアント装置１０のクライアント制御部１２は、撮像データを暗号化し、暗号化した撮像データをネットワークＮＷに出力する。

しかしながら、そもそも監視カメラが備えるＣＰＵ等のプロセッサは、撮像データの圧縮や符号化の用途に用いられるために用いられる用途で用いられることが一般的であるため、さらに暗号化のための処理を行うだけの資源（リソース）を備えていないことが多い。このような場合、クライアント制御部１２が元々有するＣＰＵでは、撮像データを暗号化させることができない。クライアント制御部１２に撮像データを暗号化させる場合には、撮像データを暗号化するためのプロセッサを、更にクライアント制御部１２に搭載させる等、クライアント制御部１２のハードウェア構成の変更や置換えが必要となることが考えられる。クライアント装置１０は、監視カメラ等の社会インフラを構成するコンポーネントであるため、ハードウェア構成を変更したり置換えたりすることが容易にはできない。このような事情を鑑みると、クライアント装置１０変更を加えることなく、撮像データが暗号化されてネットワークＮＷに出力されることが望ましい。

通信システム１は、クライアント装置１０とネットワークＮＷとの間に接続されたクライアント側の通信制御装置３０が、クライアント装置１０が送信するデータを暗号化してネットワークＮＷに出力する。また、サーバ装置２０とネットワークＮＷとの間に接続されたサーバ側の通信制御装置３１は、サーバ装置２０が送信する制御データを暗号化してネットワークＮＷに出力する。これにより、クライアント装置１０、およびサーバ装置２０を変更することなく、ネットワークＮＷを流れる撮像データの安全性を向上させる。

ここでは、クライアント側の通信制御装置３０、およびサーバ側の通信制御装置３１の構成について図３を用いて説明する。図３は、図１に示すクライアント側の通信制御装置３０、およびサーバ側の通信制御装置３１の機能構成例を示すブロック図である。クライアント側の通信制御装置３０、およびサーバ側の通信制御装置３１の機能構成は同じである。このため、以下では、一方（例えば、クライアント側の通信制御装置３０）の構成について説明し、他方（例えば、サーバ側の通信制御装置３１）の構成については説明を省略する。また、以下では、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とを区別しない場合には、単に、通信制御装置３０（３１）などと称する。

図３に示すように、通信制御装置３０（３１）は、ＮＷ（ネットワーク）通信部３２と、制御部３３と、装置通信部３４と、リーダライタ３５と、記憶部３６と、ＩＣカード４０とを備える。
ここで、ＩＣカード４０は、「認証部」の一例である。認証部は、リーダライタ３５およびＩＣカード４０で実現するものに限定されない。認証部は、制御部３３が実現しても良いし、認証処理用の処理回路で実現しても良い。
ＮＷ通信部３２は、ネットワークＮＷに接続され、ネットワークＮＷを介して、他方の通信制御装置３０（３１）と通信を行う。

制御部３３は、例えば、ＣＰＵなどを含むプロセッサであり、通信制御装置３０（３１）を統括的に制御する。制御部３３は、例えば、リーダライタ３５を介して、ＩＣカード４０にコマンドを送信するとともに、ＩＣカード４０からレスポンスを受信する。また、制御部３３は、ＩＣカード４０から受信したレスポンスに基づく情報を、ＮＷ通信部３２を介して、他方の通信制御装置３０（３１）に送信する。また、制御部３３は、ＮＷ通信部３２を介して、他方の通信制御装置３０（３１）から受信した情報に基づいて、ＩＣカード４０にコマンドを送信する。

装置通信部３４は、装置（クライアント装置１０、またはサーバ装置２０）に接続され、装置と通信を行う。具体的には、クライアント側の通信制御装置３０の装置通信部３４は、クライアント装置１０に接続され、クライアント装置１０からの撮像データを取得するとともに、復号された制御データをクライアント装置１０に出力する。また、サーバ側の通信制御装置３１の装置通信部３４は、サーバ装置２０に接続され、サーバ装置２０からの制御データを取得するとともに、復号された撮像データをサーバ装置２０に出力する。

リーダライタ３５は、コンタクト部３６を介してＩＣカード４０に接続し、ＩＣカード４０との間の通信を行う。
ＩＣカード４０は、例えば、プラスチックのカード基材に、ＩＣモジュール４１を実装して形成されている。すなわち、ＩＣカード４０は、ＩＣモジュール４１と、ＩＣモジュール４１が埋め込まれたカード基材とを備える。また、ＩＣカード４０は、通信制御装置３０（３１）に着脱可能に装着され、コンタクト部３６を介して通信制御装置３０（３１）と通信可能である。

記憶部３６は、非一時的なコンピュータ可読記憶媒体としてのメモリであり、制御部３３の動作プログラム等を記憶する。制御部３３は、動作プログラムに基づき動作し、各機能を実現する。例えば、制御部３３は、動作プログラムに基づき動作し、通信状況を通信制御管理装置５０へ報告し、また、通信制御管理装置５０からの制御コマンドに基づく動作を制御する。

また、記憶部３６は、送信先リスト（通信許可リスト）を記憶する。送信先リストは、通信が許可された通信相手を特定するための情報を含む。例えば、通信相手を特定するための情報は、ＵＲＬ（Uniform Resource Locator）である。本実施形態では、記憶部３６に記憶される送信先リストは、クライアント装置１０（１０－１～１０－Ｎ）を特定するための識別情報を含む。

ＩＣカード４０は、例えば、通信制御装置３０（３１）が送信したコマンド（処理要求）を、コンタクト部３６を介して受信し、受信したコマンドに応じた処理（コマンド処理）を実行する。そして、ＩＣカード４０は、コマンド処理の実行結果であるレスポンス（処理応答）を通信制御装置３０（３１）にコンタクト部３６を介して送信する。

ＩＣモジュール４１は、コンタクト部３６とＩＣチップ４２とを備える。コンタクト部３６は、ＩＣカード４０が動作するために必要な各種信号の端子を有している。ここで、各種信号の端子は、電源電圧、クロック信号、リセット信号などを通信制御装置３０（３１）から供給を受ける端子、及び、通信制御装置３０（３１）と通信するためのシリアルデ―タ入出力端子（ＳＩＯ端子）を有する。ＩＣチップ４２は、例えば、１チップのマイクロプロセッサなどのＬＳＩ（Large Scale Integration）である。

ここでは、ＩＣカード４０のハードウェア構成について図４を用いて説明する。図４は、図３に示すＩＣカード４０のハードウェア構成例を示す図である。
ＩＣカード４０は、コンタクト部３６と、ＩＣチップ４２とを備えたＩＣモジュール４１を備えている。そして、ＩＣチップ４２は、ＵＡＲＴ（Universal Asynchronous Recei ver Transmitter）４３と、ＣＰＵ４４と、ＲＯＭ（Read Only Memory）４５と、ＲＡＭ（Random Access Memory）４６と、ＥＥＰＲＯＭ（登録商標）（Electrically Erasable Programmable ROM）４７とを備える。また、各構成（４３から４７）は、内部バスＢＳを介して接続されている。

ＵＡＲＴ４３は、上述したＳＩＯ端子を介して、通信制御装置３０（３１）とシリアルデータ通信を行う。ＵＡＲＴ４３は、ＳＩＯ端子を介して受信したシリアルデータ信号をパラレル変換したデータ（例えば、１バイトのデータ）を内部バスＢＳに出力する。また、ＵＡＲＴ４３は、内部バスＢＳを介して取得したデータをシリアル変換して、ＳＩＯ端子を介して通信制御装置３０（３１）に出力する。ＵＡＲＴ４３は、例えば、ＳＩＯ端子を介してコマンドを通信制御装置３０（３１）から受信する。また、ＵＡＲＴ４３は、ＳＩＯ端子を介してレスポンスを通信制御装置３０（３１）に送信する。

ＣＰＵ４４は、ＲＯＭ４５又はＥＥＰＲＯＭ４７に記憶されているプログラムを実行して、ＩＣカード４０の各種処理を行う。ＣＰＵ４４は、例えば、コンタクト部３６を介して、ＵＡＲＴ４３が受信したコマンドに応じたコマンド処理を実行する。

ＲＯＭ４５は、例えば、マスクＲＯＭなどの不揮発性メモリであり、ＩＣカード４０の各種処理を実行するためのプログラム、及びコマンドテーブルなどのデータを記憶する。ＲＡＭ４６は、例えば、ＳＲＡＭ（Static RAM）などの揮発性メモリであり、ＩＣカード４０の各種処理を行う際に利用されるデータを一時記憶する。ＥＥＰＲＯＭ４７は、例えば、電気的に書き換え可能な不揮発性メモリであり、非一時的なコンピュータ可読記憶媒体である。ＥＥＰＲＯＭ４７は、ＩＣカード４０が利用する各種データを記憶する。ＥＥＰＲＯＭ４７は、例えば、ＩＣカード４０を利用した各種サービス（アプリケーション）に使用される情報を記憶する。

次に、ＩＣカード４０の構成について、図５を用いて説明する。図５は、図４に示すＩＣカード４０の機能構成例を示すブロック図である。ＩＣカード４０は、通信部４００と、制御部４０１と、記憶部４０４とを備える。ここで、図５に示されるＩＣカード４０の各部は、図４に示されるＩＣカード４０のハードウェアを用いて実現される。

通信部４００は、例えば、ＵＡＲＴ４３と、ＣＰＵ４４と、ＲＯＭ４５に記憶されているプログラムとにより実現され、コンタクト部３６を介して、例えば、通信制御装置３０（３１）との間でコマンド及びレスポンスの送受信を行う。すなわち、通信部４００は、所定の処理を要求するコマンド（処理要求）を通信制御装置３０（３１）から受信するとともに、コマンドに対するレスポンス（処理応答）を通信制御装置３０（３１）に送信する。通信部４００は、ＵＡＲＴ４３を介して通信制御装置３０（３１）から受信した受信データをＲＡＭ４６に記憶させる。また、通信部４００は、ＲＡＭ４６に記憶されている送信データを、ＵＡＲＴ４３を介して通信制御装置３０（３１）に送信する。

制御部４０１は、例えば、ＣＰＵ４４と、ＲＡＭ４５と、ＲＯＭ４６又はＥＥＰＲＯＭ４７とにより実現され、ＩＣカード４０を統括的に制御する。制御部４０１は、コマンド処理部４０２と暗号化復号部４０３とを備える。
ここで、コマンド処理部４０２が行う処理は、「認証処理」の一例である。また、暗号化復号部４０３が行う処理は、「暗号化復号処理」の一例である。

コマンド処理部４０２は、各種コマンド処理を実行する。コマンド処理部４０２は、例えば、後述するＨＴＴＰＳリクエストを要求するコマンド処理として、ＳＳＬ／ＴＬＳハンドシェイクを行う。ＳＳＬ／ＴＬＳハンドシェイクでは、暗号化された通信に必要な鍵情報等の交換、および通信先の装置との相互認証を行う。ここで、相互認証とは、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とが、通信を行う前に、互いに正当に認証された装置であることを相互に確認する認証処理である。

暗号化復号部４０３は、データを暗号化する処理、および暗号化されたデータを復号する処理を実行する。暗号化復号部４０３は、通信部４００を介して取得した装置（クライアント装置１０、またはサーバ装置２０）により出力されたデータを暗号化する。また、暗号化復号部４０３は、通信部４００を介して取得したネットワークＮＷからの暗号化されたデータを復号する。

記憶部４０４は、例えば、ＥＥＰＲＯＭ４７により構成された記憶部であり、証明書情報記憶部４０５と、秘密情報記憶部４０６とを備える。証明書情報記憶部４０５は、通信制御管理装置５０が発行した装置（クライアント装置１０、またはサーバ装置２０）に対する証明書を記憶する。具体的には、クライアント側の通信制御装置３０に装着されるＩＣカード４０の証明書情報記憶部４０５には、クライアント証明書を示す情報が記憶される。また、サーバ側の通信制御装置３１に装着されるＩＣカード４０の証明書情報記憶部４０５には、サーバ証明書を示す情報が記憶される。

秘密情報記憶部４０６は、通信制御管理装置５０が発行した装置（クライアント装置１０、またはサーバ装置２０）に対する秘密鍵を記憶する。具体的には、クライアント側の通信制御装置３０に装着されるＩＣカード４０の秘密情報記憶部４０６には、クライアント側の通信制御装置３０に対して発行された秘密鍵を示す情報が記憶される。また、サーバ側の通信制御装置３１に装着されるＩＣカード４０の証明書情報記憶部４０５には、サーバ側の通信制御装置３１に対して発行された秘密鍵を示す情報が記憶される。

ここでは、通信制御管理装置５０の構成について、図６を用いて説明する。図６は、図１に示す通信制御管理装置５０の構成例を示すブロック図である。通信制御管理装置５０は、例えば、ＮＷ（ネットワーク）通信部５００と、制御部５１０と、記憶部５２０と、表示部５３０とを備える。
ＮＷ通信部５００は、ネットワークＮＷに接続され、ネットワークＮＷを介して、通信制御装置３０（３１）と通信を行う。

制御部５１０は、例えば、ＣＰＵなどのプロセッサを含む。制御部５１０は、プロセッサがプログラムを実行することにより種々の処理を実現する。制御部５１０は、通信制御管理装置５０を統括的に制御する。また、制御部５１０は、主に通信制御装置３０（３１）の正当性を認めるプライベート認証局として動作する。図６に示す例では、制御部５１０は、プロセッサがプログラムを実行することにより、鍵生成部５１１、証明書発行部５１２、証明書更新部５１３、証明書管理部５１４、管理部５１５、および監視部５１６としての機能を実現するための処理を実行する。

鍵生成部５１１は、例えば、通信制御装置３０（３１）からの認証申請に基づいて、後述する証明書に含まれる公開鍵に対応する秘密鍵の発行を行う。

証明書発行部５１２は、例えば、通信制御装置３０（３１）からの認証申請に基づいて、通信制御装置３０（３１）の正当性を認める証明書の発行を行う。証明書には、公開鍵と、通信制御装置３０（３１）の所有者を示す情報が含まれる。

証明書更新部５１３は、有効期限が渡過した証明書に対して新たな有効期限を設定することにより、証明書の更新を行う。証明書更新部５１３は、例えば、通信制御装置３０（３１）からの更新申請に基づいて、当該通信制御装置３０（３１）に対して発行した証明書の有効期限を延長させた証明書を発行し、発行した証明書を通信制御装置３０（３１）に対して送信する。発行した証明書を示す情報が通信制御装置３０（３１）により受信され、通信制御装置３０（３１）のＩＣカード４０の証明書情報記憶部４０５に記憶されることで、通信制御装置３０（３１）の証明書の有効期限が延長される。

証明書管理部５１４は、既に発行済みの証明書に対する管理を行う。証明書管理部５１４は、例えば、通信制御装置３０（３１）に装着されたＩＣカード４０の改ざん、または盗難等により相互認証において互いの正当性が証明されない場合に、通信制御装置３０（３１）に対して発行した証明書を無効化する処理を行う。また、証明書管理部５１４は、通信制御装置３０（３１）からの問い合わせに基づいて、通信制御装置３０（３１）、および他の通信装置に対して発行した証明書が証明書管理部５１４により発行されたものか否か応答するようにしてもよい。また、証明書管理部５１４は、定期的に、発行済みの証明書が正当な通信制御装置３０（３１）に使用されているかを確認するようにしてもよい。

管理部５１５は、通信制御装置３０（３１）を管理する。例えば、管理部５１５は、通信制御装置３０（３１）が行う相互認証を、ネットワークＮＷを介して遠隔制御する。
監視部５１６は、クライアント装置１０（１０－１～１０－Ｎ）の間の正規通信を、ＶＬＡＮタグＴＧ１を含むパケットＰＡ１による通信と定めた管理情報に基づき、クライアント装置１０の間の通信を監視する。また、監視部５１６は、通信制御管理装置５０と通信制御装置３０（３０－１～３０－Ｎ）の間の正規通信を、ＶＬＡＮタグＴＧ２を含むパケットＰＡ２による通信と定めた管理情報に基づき、通信制御管理装置５０と通信制御装置３０の間の通信を監視する。或いは、監視部５１６は、通信制御管理装置５０と通信制御装置３０－１の間の正規通信を、ＶＬＡＮタグＴＧ２を含むパケットＰＡ２による通信と定めた管理情報に基づき、通信制御管理装置５０と通信制御装置３０－１の通信を監視し、通信制御管理装置５０と通信制御装置３０－２の間の正規通信を、ＶＬＡＮタグＴＧ３を含むパケットＰＡ３による通信と定めた管理情報に基づき、通信制御管理装置５０と通信制御装置３０－２の通信を監視する。

記憶部５２０は、非一時的なコンピュータ可読記憶媒体としてのメモリであり、制御部５１０の動作プログラム等を記憶する。制御部５１０は、動作プログラムに基づき動作し、各機能を実現する。例えば、制御部５１０は、動作プログラムに基づき動作し、通信制御装置３０に対して制御コマンドを送信することにより通信制御装置３０を制御する。また、制御部５１０は、動作プログラムに基づき動作し、通信制御装置３０に対してアラート情報を送信する。
また、記憶部５２０は、送信先リスト（通信許可リスト）を記憶する。送信先リストは、通信が許可された通信相手を特定するための情報を含む。例えば、通信相手を特定するための情報は、ＵＲＬ（Uniform Resource Locator）である。本実施形態では、記憶部５２０に記憶される送信先リストは、クライアント装置１０（１０－１～１０－Ｎ）を特定するための識別情報を含む。

また、記憶部５２０は、例えば、鍵情報記憶部５２１と、証明書情報記憶部５２２とを備える。鍵情報記憶部５２１は、例えば既に発行済みの公開鍵や、秘密鍵を示す情報を記憶する。証明書情報記憶部５２２は、例えば既に発行済みの証明書を示す情報を記憶する。鍵情報記憶部５２１と、証明書情報記憶部５２２とは、例えば、鍵生成部５１１が秘密鍵を発行する際、証明書発行部５１２が証明書を発行する際などに参照される。また、鍵情報記憶部５２１には、鍵生成部５１１が発行した秘密鍵を示す情報が記憶される。また、証明書情報記憶部５２２には、証明書発行部５１２が発行した証明書を示す情報が記憶される。

表示部５３０は、攻撃された通信経路に関する情報を表示する。例えば、通信経路ＶＰ１が攻撃されていることが特定された場合には、表示部５３０は、通信経路ＶＰ１が攻撃されていること、通信経路ＶＰ１に異常が発生していること、通信経路ＶＰ１の通信が遮断されたことを表示する。

ここでは、通信システム１が行う処理の流れについて、図７を用いて説明する。
図７は、通信システム１が行う処理の一例を示すシーケンスチャートである。

クライアント装置１０は、撮像データをサーバ装置２０に送信する場合、まずサーバ装置２０に対するＨＴＴＰリクエストを送信する（ステップＳ１）。クライアント装置１０が送信したＨＴＴＰリクエストは、クライアント側の通信制御装置３０により取得される（ステップＳ２）。

クライアント側の通信制御装置３０は、クライアント装置１０により送信されたＨＴＴＰリクエストを取得すると、サーバ側の通信制御装置３１に対して、ＨＴＴＰＳのリクエスト（ClientHello）を送信する（ステップＳ３）。これにより、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１との間のハンドシェイクが開始される（ステップＳ４）。

具体的には、クライアント側の通信制御装置３０が送信するClientHelloには、例えば、ＴＬＳのバージョン、および通信に用いる暗号方式やアルゴリズムのリストを示す情報が含まれる。サーバ側の通信制御装置３１は、ClientHelloに対する応答として、クライアント側の通信制御装置３０に対しＨＴＴＰＳのレスポンス（ServerHello）を送信する。サーバ側の通信制御装置３１が送信するServerHelloには、例えばClientHelloで提示された選択肢の中でサーバ装置２０が選択した情報が含まれる。換言すると、クライアント側の通信制御装置３０からの提示に対し、サーバ側の通信制御装置３１が選択を行うことで、通信における具体的な暗号化アルゴリズムが決定される。

そして、サーバ側の通信制御装置３１は、暗号化通信に用いる共通鍵に必要な情報を送る。共通鍵に必要な情報には、例えば、サーバ装置２０に対して発行された公開鍵とその証明書を示す情報、およびクライアント装置１０の公開鍵とその証明書を送ることを要求する情報が含まれる。クライアント側の通信制御装置３０は、サーバ側の通信制御装置３１に対して、自装置に対して発行された公開鍵とその証明書、及び暗号化通信に用いる共通鍵に必要な情報を送る。

クライアント側の通信制御装置３０とサーバ側の通信制御装置３１との間の相互認証は、例えば次のように行われる。クライアント側の通信制御装置３０は、今までに受信したServerHello等から署名を生成し、サーバ側の通信制御装置３１に送信する。サーバ側の通信制御装置３１は、クライアント側の通信制御装置３０から受信した署名を、クライアント側の通信制御装置３０から受信した証明書に基づいて検証する。サーバ側の通信制御装置３１は、検証が成功すると、その証明書が間違いなくクライアント側の通信制御装置３０のものであると判定する。また、サーバ側の通信制御装置３１は、今までに受信したClientHello等から署名を生成し、クライアント側の通信制御装置３０に送信する。クライアント側の通信制御装置３０は、サーバ側の通信制御装置３１から受信した署名を、サーバ側の通信制御装置３１から受信した証明書に基づいて検証する。クライアント側の通信制御装置３０は、検証が成功すると、その証明書が間違いなくサーバ側の通信制御装置３１のものであると判定する。

クライアント側の通信制御装置３０とサーバ側の通信制御装置３１との間の相互認証が正しく行われると、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とは、それぞれ暗号化に用いる共通鍵を生成して交換する。

サーバ側の通信制御装置３１から送付されたサーバ装置２０に対して発行された公開鍵とその証明書が、クライアント側の通信制御装置３０に許容される証明書であれば、サーバ側の通信制御装置３１は、クライアント側の通信制御装置３０から送付された公開鍵とその証明書が、サーバ側の通信制御装置３１に許容される証明書であれば、ハンドシェイクを終了する。

サーバ側の通信制御装置３１は、クライアント側の通信制御装置３０とのハンドシェイクが確立されると、サーバ装置２０に対し、ＨＴＴＰリクエストを送信する（ステップＳ５）。ＨＴＴＰリクエストは、ステップＳ１においてクライアント装置１０から送信されるＨＴＴＰリクエストである。

サーバ側の通信制御装置３１により送信されたＨＴＴＰリクエストは、サーバ装置２０により受信される（ステップＳ６）。このとき、サーバ装置２０は、クライアント装置１０からＨＴＴＰリクエストが要求されたと認識する。このため、サーバ装置２０は、クライアント装置１０に対しするＨＴＴＰレスポンスを応答する（ステップＳ７）。サーバ装置２０が送信したＨＴＴＰレスポンスは、サーバ側の通信制御装置３１により取得される（ステップＳ８）。

サーバ側の通信制御装置３１は、取得したサーバ装置２０からのＨＴＴＰレスポンスを、ステップＳ４のハンドシェイクにおいて決定された共通鍵を用いて暗号化する（ステップＳ９）。サーバ側の通信制御装置３１により暗号化されたＨＴＴＰレスポンスは、ネットワークＮＷを介してクライアント側の通信制御装置３０に受信される（ステップＳ１０）。クライアント側の通信制御装置３０は、受信したＨＴＴＰレスポンスを、共通鍵を用いて復号する（ステップＳ１１）。クライアント側の通信制御装置３０により復号されたＨＴＴＰレスポンスは、クライアント装置１０に取得される（ステップＳ１２）。クライアント装置１０は、復号されたＨＴＴＰレスポンスを受信する（ステップＳ１３）。このとき、クライアント装置１０は、サーバ装置２０からＨＴＴＰレスポンスが応答されたと認識する。このため、クライアント装置１０は、サーバ装置２０に対し、撮像データを送信する（ステップＳ１４）。

クライアント装置１０が送信した撮像データは、クライアント側の通信制御装置３０により取得される（ステップＳ１５）。クライアント側の通信制御装置３０は、クライアント装置１０により送信された撮像データを、共通鍵を用いて暗号化する（ステップＳ１６）。クライアント側の通信制御装置３０により暗号化された撮像データは、ネットワークＮＷを介してサーバ側の通信制御装置３１に受信される（ステップＳ１７）。

サーバ側の通信制御装置３１は、受信した撮像データを、共通鍵を用いて復号する（ステップＳ１８）。サーバ側の通信制御装置３１により復号された撮像データは、サーバ装置２０にとり取得される（ステップＳ１９）。サーバ装置２０は、復号された撮像データを受信する（ステップＳ２０）。このとき、サーバ装置２０は、クライアント装置１０からの撮像データを受信したと認識する。

なお、上記フローチャートのステップＳ４において、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１との間の相互認証が正しく行われなかった場合、クライアント側の通信制御装置３０は、通信先との通信を許可しない。具体的には、クライアント側の通信制御装置３０は、通信先から送信された情報をクライアント装置１０に出力しない。相互認証が正しく行われなかった場合、通信先がサーバ側の通信制御装置３１に見せかけた不正な通信装置である可能性があるためである。この場合、クライアント側の通信制御装置３０は、例えば、相互認証が正しく行われなかった場合の通信記録を通信制御管理装置５０に送信するようにしてもよい。これより、通信制御管理装置５０は相互認証が正しく行われなかった場合の通信記録を取得することができ、管理下にあるクライアント側の通信制御装置３０に対する不正な通信のパターンや頻度を把握することで、ネットワークの異常を監視することができる。

また、クライアント側の通信制御装置３０は、上記フローチャートのステップＳ４において行われるハンドシェイクにおいて相互認証の代わりにクライアント装置１０に対する通信を許可する通信機器の情報を示す送信先リストに基づいて、通信先との通信を許可するか否かを判定するようにしてもよい。送信先リストに示される通信機器の情報は、例えばＵＲＬ（Uniform Resource Locator）である。クライアント側の通信制御装置３０の制御部３３は、通信先のＵＲＬが送信先リストに登録されているＵＲＬである場合に当該通信先との通信を許可し、送信先リストに登録されていない場合には通信を許可しない。

また、制御部３３は、送信先リストを更新するようにしてもよい。制御部３３は、例えば、一定期間にクライアント装置１０に対する通信を許可された通信先のＵＲＬ、および許可されなかった通信先ＵＲＬを記憶させる。そして、制御部３３は、例えば、送信先リストに登録されたＵＲＬのうち、一定期間に通信が行われた通信先のＵＲＬを再度登録する等することにより送信先リストを更新する。あるいは、クライアント側の通信制御装置３０は、一定期間に通信を許可された通信先ＵＲＬ、および許可されなかった通信先ＵＲＬを通信制御管理装置５０に送信するようにしてもよい。この場合、例えば、通信制御管理装置５０は、クライアント側の通信制御装置３０と通信を行った通信先ＵＲＬに基づいて、送信先リストを更新するようにしてもよい。通信制御管理装置５０により送信先リストが更新されることで、通信制御管理装置５０が管理下にあるクライアント側の通信制御装置３０と通信する通信機器を一括して管理することができる。

また、クライアント側の通信制御装置３０は、ステップＳ４において行われるハンドシェイクが確立した後にクライアント装置１０に対して送信された情報（例えば、ファームウェアの更新プログラム）の内容が正しいか否かの検証を行うようにしてもよい。例えば、クライアント側の通信制御装置３０の制御部３３は、ネットワークＮＷを介してクライアント装置１０のファームウェアの更新プログラムが送信された場合、検証用の鍵（検証鍵）を用いて検証する。この場合、通信制御管理装置５０は、例えば、クライアント側の通信制御装置３０およびサーバ側の通信制御装置３１それぞれに検証鍵を送信するようにしてもよい。

例えば、サーバ側の通信制御装置３１は、クライアント装置１０へ送信する情報（平文）からハッシュ値を生成し、生成したハッシュ値を検証鍵で暗号化する。そして、サーバ側の通信制御装置３１は、平文と暗号化したハッシュ値をさらに秘密鍵で暗号してクライアント装置１０へ送信する。また、クライアント側の通信制御装置３０は共通鍵を用いて情報を復号化し、平文と暗号化されたハッシュ値とを取得する。

また、クライアント側の通信制御装置３０は、取得した平文からハッシュ値を生成するとともに、暗号化されたハッシュ値を検証鍵で復号する。クライアント側の通信制御装置３０は、平文から生成したハッシュ値と、復号化したハッシュ値とが等しい値である場合、クライアント装置１０に対して送信された情報は正しい内容であると判定する。この場合、クライアント側の通信制御装置３０は、復号した情報（平文）をクライアント装置１０に出力する。一方、クライアント側の通信制御装置３０は、平文から生成したハッシュ値と復号化したハッシュ値が等しい値でない場合、クライアント装置１０に対して送信された情報は、サーバ装置２０またはサーバ側の通信制御装置３１に見せかけた不正な通信装置から送信された不正な情報である可能性があると判定する。この場合、クライアント側の通信制御装置３０は、復号した情報（平文）をクライアント装置１０に出力しない。

これにより、クライアント装置１０は、検証済みである正しい内容であることが検証された情報のみを受け取ることができる。また、通常、クライアント装置１０がファームウェアを更新する際の更新プログラムの内容が正しいか否かの判定を行うと考えられるが、クライアント装置１０に代わりサーバ側の通信制御装置３１がクライアント装置１０に対して送信された情報の内容を検証することにより、クライアント装置１０の処理負担を軽減させることが可能となる。

以上説明したように、通信システム１は、クライアント装置１０とネットワークＮＷとの間に接続されるクライアント側の通信制御装置３０と、サーバ装置２０とネットワークＮＷとの間に接続されるサーバ側の通信制御装置３１と、を備える。クライアント側の通信制御装置３０は、クライアント装置１０からの情報を暗号化してネットワークＮＷ経由でサーバ側の通信制御装置３１へ送信し、ネットワークＮＷからの情報（通信制御装置３１で暗号化されたサーバ装置２０からの情報）を復号してクライアント装置１０へ送信する。サーバ側の通信制御装置３１は、サーバ装置２０からの情報を暗号化してネットワークＮＷ経由でクライアント側の通信制御装置３０へ送信し、ネットワークＮＷからの情報（通信制御装置３０で暗号化されたクライアント装置からの情報）を復号してサーバ装置２０に送信する。

これにより、通信システム１は、社会インフラシステムを変更することなく、社会インフラシステムの安全性を向上させることができる。クライアント装置１０からサーバ装置２０に対して送信されたＨＴＴＰプロトコルの撮像データ（いわゆる平文）が、クライアント側の通信制御装置３０により、例えば、ＳＳＬ／ＴＬＳプロトコルと組み合わされて、安全性が向上されたＨＴＴＰＳに置き換えられるためである。また、サーバ装置２０かクライアント装置１０らに対して送信された制御データは、暗号化されるが、クライアント側の通信制御装置３０により復号されて、クライアント装置１０に受信されるため、クライアント装置１０に復号させる処理を行わせる必要がなく、既存の装置を変更することなくそのまま利用することができる。

また、通信システム１では、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とが相互認証を行うため、いずれか一方の方向のみの認証を行う場合よりも安全性を向上させることができる。一般的なクライアント端末とサーバ装置とにおいては、サーバ装置に対して不特定多数のクライアント端末が通信を行うため、当該不特定多数のクライアント端末に対して正当なクライアント証明書を発行して管理し続けることは現実的ではない。しかしながら、通信システムを適用する社会インフラシステムなどにおいては、クライアント装置１０とサーバ装置２０との関係は明確に特定されている。このため、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１とが相互認証を行うことが可能であり、安全性を向上させることができる。

一般に、クライアント証明書を有していないクライアント端末では、サーバ装置と通信を行うために、サーバ装置が発行したＩＤやパスワードの入力を求められることがある。このようなパスワード認証においては、安全性を維持するために、パスワードに対し文字と数字を組合せた長文の文字列が要求されたり、定期的なパスワードの変更等が求められたりすることがある。しかしながら、覚えなければならないパスワードが増えると、管理が面倒になってしまい、パスワードをメモに残したり、ウェブブラウザに記録させたりするなど、かえってパスワードが漏洩してしまう場合があった。

これに対し、通信システム１では、クライアント側の通信制御装置３０がクライアント証明書を有することにより、サーバ装置２０との間で確実に相互認証を行うことができる。このため、パスワード認証が不要となる。このため、パスワードを入力する手間や定期的に変更して管理する手間がなくなり、ユーザの利便性が向上する。つまり、ユーザに負担をかけることなく安全性を維持することができる。

また、クライアント証明書を有していないクライアント端末がＩＤやパスワードによる認証に基づいてサーバ装置と通信を行うシステムでは、ＩＤとパスワードが正しく入力できてしまえば、だれでもサーバ装置末と通信することができてしまう。このため、クライアント端末を不正に乗っ取り、サーバ装置へ不正にアクセスすることが可能となってしまう。例えば、不正に乗っ取られたサーバ装置によってクライアント端末の機能が制限され、解除するために身代金が要求されるといったランサムウェアに感染する可能性がある。

これに対し、上述した通信システム１では、クライアント装置１０とサーバ装置２０との間で、通信制御装置３０（３１）を介した相互認証が行われることにより、クライアント装置１０やサーバ装置２０が不正に乗っ取られることがない。つまり、通信システム１では、ランサムウェアに対する対策も可能となる。

また、例えば、ネットワーク内に管理者が不在の端末（野良デバイスともいう）がある場合、その端末が不正に乗っ取られることにより、その端末がマルウェア等の攻撃を行う不正な端末として利用されてしまう場合がある。これに対し、上述した通信システム１では、クライアント装置１０とサーバ装置２０との間で、通信制御装置３０（３１）を介した相互認証が行われることにより、ネットワークＮＷの内部にある管理者が不在の端末が不正に乗っ取られて攻撃に利用された場合であっても、マルウェア等に感染することを防止することができる。

また、上述した通信システム１では、サーバ装置２０がサーバ側の通信制御装置３１に接続されており、サーバ装置２０の内部で認証処理を行わない。このため、サーバ装置２０の内部で証明書等を保持する必要がなく、サーバ側の通信制御装置３１に接続されたサーバ装置２０が通信制御管理装置５０の管理下であることが明確となる。サーバ装置２０がすでにサーバ側の通信制御装置３１に相当する機能部を有している場合には、必ずしもサーバ装置２０とネットワークＮＷとの間にサーバ側の通信制御装置３１が物理的に接続される必要はない。この場合、サーバ装置２０が元々有するサーバ側の通信制御装置３１に相当する機能部により、クライアント側の通信制御装置３０との間の認証処理が行われる。

また、通信システム１では、ＩＣカード４０の制御部４０１において、相互認証と暗号化復号処理とのうち少なくともいずれか一方を行わせる。このため、通信制御装置３０（３１）の装置コストを抑制することができる。

また、通信システム１においては、通信制御装置３０（３１）に装着されたＩＣカード４０が相互認証と暗号化復号処理とのうち少なくともいずれか一方の処理を行う例を説明したが、通信システム１は、相互認証および暗号化複合化処理を行う構成がＩＣカードに限定されるものではない。また、上述したＩＣカード４０としては、秘密鍵およびクライアント証明書（あるいは、サーバ証明書）を記憶する記憶機能と、相互認証と暗号化復号処理とのうち少なくともいずれか一方を行う処理機能を有している機能部であればよく、例えば、ＩＣチップが搭載されたＳＩＭカードであってもよいし、カードの形態を採用しなくてもよい。

また、通信システム１においては、クライアント側の通信制御装置３０のＩＣカード４０は、クライアント側の通信制御装置３０に対して着脱可能に装着される。これにより、通信システム１においては、ＩＣカード４０とクライアント側の通信制御装置３０とが分離可能であるため、どちらか一方を交換する場合には、当該一方のデバイスを交換すればよい。例えば、ＩＣカード４０とクライアント側の通信制御装置３０とが一体化された場合には、ＩＣカード４０に相当する部分を交換する場合には、クライアント側の通信制御装置３０全体を交換しなければならないが、この場合と比較して、通信システム１では、クライアント側の通信制御装置３０が有するＩＣカード４０等の特定の部分を交換する場合のメンテナンスコストを抑制することができる。

また、通信システム１は、通信制御管理装置５０を更に備え、通信制御管理装置５０は、クライアント側の通信制御装置３０に装着されたＩＣカード４０に記憶させる秘密鍵、及びクライアント証明書をクライアント側の通信制御装置３０に送信し、サーバ側の通信制御装置３１に装着されたＩＣカード４０に記憶させる秘密鍵、及びサーバ証明書をサーバ側の通信制御装置３１に送信する。これにより、通信システム１は、通信制御管理装置５０により発行された正当な秘密鍵、証明書を用いて、ハンドシェイクを行い、共通鍵を決定することができ、上述した効果を奏する他、社会インフラシステムの安全性を更に向上させることができる。

なお、通信システム１の構成は、上述した例に限定されない。例えば、通信制御装置３０（３１）は、処理の負荷に基づき、ハードウェアにより通信制御装置３０（３１）の機能を実現するＨＳＭ（Hardware Security Module）を用いてもよい。つまり、通信制御装置３０（３１）は、セキュアな処理が可能な限り、必ずしもＩＣカードを装着する構成に限らず、上記通信制御装置３０（３１）の機能を実現できるＩＣチップやＩＣモジュールを用いた構成としてもよい。

また、通信システム１においては、ＳＳＬ／ＴＬＳプロトコルを用いたセキュアな通信を常時行うようにしてもよいし、ＳＳＬ／ＴＬＳプロトコルを用いた通信を行うか否かを選択可能にしてもよい。また、クライアント装置１０とサーバ装置２０との間における双方向の通信のうち一方の方向の通信のみをＳＳＬ／ＴＬＳプロトコルを用いた通信としてもよい。また、ＳＳＬ／ＴＬＳプロトコルを用いたセキュアな通信を常時行うようにしてもよいし、ＳＳＬ／ＴＬＳプロトコルを用いた通信を行うか否かを選択可能にしてもよい。

ＳＳＬ／ＴＬＳプロトコルを用いた通信を常時行うようにすることで、通信制御装置３０（３１）により認証された正当な通信制御装置３０（３１）とは異なる装置からの通信を遮断することができる。このため、クライアント装置１０やサーバ装置２０に対する不正なアクセスや、クライアント装置１０やサーバ装置２０がマルウェアに感染することを抑止することができる。

また、通信システム１においては、ＳＳＬ／ＴＬＳプロトコルを用いた通信を常時行い、クライアント装置１０やサーバ装置２０に対する不正なアクセスを記憶するようにしてもよい。この場合、通信制御管理装置５０に不正なアクセスの記録が送信されるようにしてもよい。通信制御管理装置５０は、不正なアクセスの有無を認識することができ、システム全体に対する大規模攻撃が開始される前の予兆の段階を検出して対策することが可能となる。

また、通信システム１においては、通信制御装置３０（３１）は、定期的に、自装置が接続されているクライアント装置１０またはサーバ装置２０との接続が維持されているか否かを確認するようにしてもよい。この場合、通信制御管理装置５０に接続状態を示す情報が送信されるようにしてもよい。通信制御管理装置５０は、通信制御装置３０（３１）から接続状態を示す情報が受信できない場合などには、通信制御装置３０（３１）がクライアント装置１０またはサーバ装置２０から切り離された判断し、当該切り離された通信制御装置３０（３１）を無効とする。こうすることで通信制御管理装置５０は、切り離された通信制御装置３０（３１）が不正な装置に接続されてなりすましに悪用されることを抑制する。

また、通信システム１においては、通信制御装置３０（３１）に装着するＩＣカード４０に、ＣＣ（Common Criteria/ISO15408）認証を取得したセキュアエレメントと呼ばれる耐タンパ性の高いチップを搭載してもよい。このチップを用いて、秘密鍵や公開鍵を含む証明書を記憶させることにより、非常に高い安全性を維持することができる。

また、通信システム１においては、サーバ装置２０や通信制御管理装置５０等から、通信制御装置３０（３１）を介して、クライアント装置１０のプログラムを更新させるようにしてもよい。通信制御装置３０（３１）を介してプログラムの更新（ファームウェアのアップデート）が行われることにより、安全にクライアント装置１０の機能を更新させることができる。このようにサーバ装置２０からクライアント装置１０に対してファームウェアが送信される場合、サーバ装置２０から送信されるファームウェアには、例えばサーバ側の通信制御装置３１により暗号化されたサーバ装置２０の署名が付与される。この場合、クライアント装置１０では、クライアント側の通信制御装置３０により署名が復号されることにより、送信されたファームウェアが間違いなくサーバ装置２０から送信されたファームウェアであると判定することができる。これにより、あたかもサーバ装置２０であるかのように装う不正な端末から、不正なファームウェアがクライアント装置１０に送信されてしまった場合であっても、クライアント装置１０に対し不正なファームウェアに基づく誤った更新がなされてしまうことを排除することができる。

また、このように通信制御装置３０（３１）を介して通信が行われることにより、サーバ装置２０や通信制御管理装置５０等からクライアント装置１０にファームウェアを安全に更新することができるため、作業員が複数のクライアント装置１０に対して物理的に各々のクライアント装置１０が設置されている場所まで移動してファームウェアのアップデート作業を行う場合と比較して、作業コストを低減させることも可能である。

また、通信システム１においては、サーバ装置２０や通信制御管理装置５０等から、通信制御装置３０（３１）を介して、クライアント装置１０の起動や停止を行ってもよい。通信制御装置３０（３１）を介して起動や停止（リモートアクティベーション）が行われることにより、安全にクライアント装置１０の機能を更新させることができ、セキュアな遠隔制御を実現させることができる。

また、通信システム１においては、クライアント装置１０、およびサーバ装置２０が有線により通信する場合を例に説明したが、これに限定されることはない。クライアント装置１０、およびサーバ装置２０のうち少なくともいずれかが無線ＬＡＮ（Local Area Network）等により無線通信を行う装置であってもよい。例えば、クライアント装置１０が無線通信によりサーバ装置２０と通信を行う場合、クライアント側の通信制御装置３０は、無線による通信機能を有し、クライアント装置１０により送信されるデータを暗号化し、暗号化したデータを、無線通信によりサーバ装置２０に送信する。

なお、上述した通信システム１において、クライアント側の通信制御装置３０がサーバ側の通信制御装置３１と通信を行う例を説明したが、クライアント側の通信制御装置３０の通信先はこれに限定されることはない。例えば、クライアント側の通信制御装置３０－１は、クライアント側の通信制御装置３０－２と通信を行ってもよい。クライアント側の通信制御装置３０－１は、クライアント側の通信制御装置３０－２から通信開始の合図を受信した場合、まずクライアント側の通信制御装置３０－２との間で相互認証を行い、クライアント側の通信制御装置３０－２が正当な通信端末であることを確認する。そして、相互認証が正しく行われた場合、クライアント側の通信制御装置３０－１は、クライアント側の通信制御装置３０－２から受信した情報をクライアント装置１０に出力する。暗号を使用して送信データに認証子が付与されることにより、通信情報の改ざんの検出及び送信者の特定が可能となる。このため、通信システム１においては、クライアント側の通信制御装置３０とサーバ側の通信制御装置３１との通信、及びクライアント側の通信制御装置３０同士の通信において、「正しい相手から」、「改ざんされていないデータを受け取る」ことを確実にすることができる。

（第１の実施形態）
次に、第１の実施形態に係る通信システムについて説明する。
図８は、第１の実施形態に係る通信システム１の構成例を示す図である。図８に示す通信システム１の各ハードウェア構成等は、既に説明した通りである。

図８に示すように、通信制御装置３０－１（第１の通信制御装置）は、ネットワーク接続装置７（スイッチ等）とクライアント装置１０－１（第１のクライアント装置）との間に接続される。通信制御装置３０－２（第２の通信制御装置）は、ネットワーク接続装置７とクライアント装置１０－２（第２のクライアント装置）との間に接続される。同様に、通信制御装置３０－Ｎ（第Ｎの通信制御装置）は、ネットワーク接続装置７とクライアント装置１０－Ｎ（第Ｎのクライアント装置）との間に接続される。例えば、クライアント装置１０は、IoTデバイスである。また、通信制御管理装置５０は、ネットワーク接続装置７に接続され、通信制御装置３０－１と通信制御装置３０－２による通信を管理する。即ち、通信制御装置３０－Ｎ及び通信制御管理装置５０が、ネットワーク接続装置７を挟み込むように配置される。

例えば、通信制御管理装置５０は、通信制御装置３０－Ｎに対して制御コマンドを送信し、所定のＶＬＡＮタグを含むパケットを生成させる。ＶＬＡＮタグは、ＩＤ等の識別情報を含む。また、通信制御管理装置５０は、通信制御装置３０－Ｎから報告される通信内容に基づき通信異常を検出する。例えば、通信異常は、第三者によるネットワークへの攻撃であり、データの改ざん等を含む。

通信制御装置３０－１のＮＷ通信部３２は、通信制御管理装置５０から制御コマンドを受信する。通信制御装置３０－１の制御部３３（第１のプロセッサ）は、通信制御管理装置５０からの制御コマンド等に従い、ＶＬＡＮタグＴＧ１（第１の仮想タグ）を含むパケットＰＡ１（第１のパケット）を生成する。通信制御装置３０－１の装置通信部３４（第１のインタフェース）は、ＶＬＡＮタグＴＧ１を含むパケットＰＡ１の送受信により、クライアント装置１０－１と他のクライアント装置（例えばクライアント装置１０－２）の間の通信を仲介する。

例えば、制御部３３は、記憶部３６に記憶された送信先リスト（通信許可リスト）に、クライアント装置１０－１とクライアント装置１０－２が登録されている場合に、クライアント装置１０－１とクライアント装置１０－２の通信を許可する。装置通信部３４は、クライアント装置１０－１から送信されるデータを受信し、制御部３３は、受信したデータに基づきＶＬＡＮタグＴＧ１を含むパケットＰＡ１を生成し、装置通信部３４は、生成されたパケットＰＡ１をクライアント装置１０－２へ送信する。なお、通信制御装置３０－１が、クライアント装置１０－１を制御し、クライアント装置１０－１から送信されるデータを、ＶＬＡＮタグＴＧ１を含むパケットＰＡ１にしてもよい。

通信制御装置３０－２のＮＷ通信部３２は、通信制御管理装置５０から制御コマンドを受信する。通信制御装置３０－２の制御部３３（第２のプロセッサ）は、通信制御管理装置５０からの制御コマンド等に従い、ＶＬＡＮタグＴＧ１（第１の仮想タグ）を含むパケットＰＡ１（第１のパケット）を生成する。通信制御装置３０－２の装置通信部３４（第２のインタフェース）は、ＶＬＡＮタグＴＧ１を含むパケットＰＡ１の送受信により、クライアント装置１０－２と他のクライアント装置（例えばクライアント装置１０－１）の間の通信を仲介する。

例えば、制御部３３は、記憶部３６に記憶された送信先リスト（通信許可リスト）に、クライアント装置１０－１とクライアント装置１０－２が登録されている場合に、クライアント装置１０－１とクライアント装置１０－２の通信を許可する。装置通信部３４は、クライアント装置１０－２から送信されるデータを受信し、制御部３３は、受信したデータに基づきＶＬＡＮタグＴＧ１を含むパケットＰＡ１を生成し、装置通信部３４は、生成されたパケットＰＡ１をクライアント装置１０－１へ送信する。なお、通信制御装置３０－２が、クライアント装置１０－２を制御し、クライアント装置１０－２から送信されるデータを、ＶＬＡＮタグＴＧ１を含むパケットＰＡ１にしてもよい。

通信制御管理装置５０の制御部５１０は、各通信制御装置３０－Ｎと通信するためのＶＬＡＮタグＴＧ２（第２の仮想タグ）を含むパケットＰＡ２（第２のパケット）を生成する。通信制御管理装置５０のＮＷ通信部５００は、ＶＬＡＮタグＴＧ２を含むパケットＰＡ２により各通信制御装置３０－Ｎと通信する。例えば、ＮＷ通信部５００は、ＶＬＡＮタグＴＧ２を含むパケットＰＡ２により通信制御装置３０－１又は通信制御装置３０－２と通信する。

さらに、制御部５１０は、クライアント装置１０（１０－１～１０－Ｎ）の間の正規通信を、ＶＬＡＮタグＴＧ１を含むパケットＰＡ１による通信と定めた管理情報に基づき、クライアント装置１０の間の通信を監視する。また、制御部５１０は、通信制御管理装置５０と通信制御装置３０（３０－１～３０－Ｎ）の間の正規通信を、ＶＬＡＮタグＴＧ２を含むパケットＰＡ２による通信と定めた管理情報に基づき、通信制御管理装置５０と通信制御装置３０の間の通信を監視する。管理情報は、記憶部５２０等に記憶される。

このように、通信システム１では、通信制御装置３０及び通信制御管理装置５０が、ＶＬＡＮタグを含むパケットにより通信することにより、論理的に通信経路を分けてセキュリティの向上を図る。第１の実施形態では、各クライアント装置１０の間の定常的な通信をＶＬＡＮタグＴＧ１で特定される仮想の通信経路ＶＰ１で実行し、通信制御管理装置５０と通信制御装置３０の間の制御コマンド及びアラート情報の通信をＶＬＡＮタグＴＧ２で特定される仮想の通信経路ＶＰ２で実行する。このように、論理的に通信経路ＶＰ１とＶＰ２を分けることにより、中間者攻撃を受けている経路と受けていない経路とで矛盾が生じた場合にその矛盾を検知することができ、どの通信経路で中間者攻撃を受けているかを容易に特定できる。また、攻撃された通信経路を遮断することにより、他の通信経路を守ることができる。

図９は、第１の実施形態に係る通信システム１による通信監視の一例を示すフローチャートである。

通信制御管理装置５０の制御部５１０は、通信経路の通信異常を監視する。例えば、通信異常は、第三者によるネットワークへの攻撃であり、データの改ざん等を含む。制御部５１０は、記憶部５２０に記憶される送信先リスト（通信許可リスト）に基づき、通信が許可されたクライアント装置１０による通信であることを確認し、通信経路のパケットに含まれるＶＬＡＮタグに基づき、パケットの矛盾を監視する（ＳＴ１０１）。例えば、制御部５１０は、パケットの矛盾を検知しなければ（ＳＴ１０２、ＮＯ）、通信経路への異常が無いものと判定し、監視を継続する（ＳＴ１０１）。制御部５１０は、通信経路のパケットの矛盾を検知すると（ＳＴ１０２、ＹＥＳ）、矛盾検知に応じた処理へ移行する。なお、制御部５１０は、通信が許可されたクライアント装置１０による通信であることを確認できなければ、不正な通信と判定し、通信を遮断する
例えば、制御部５１０は、クライアント装置１０（１０－１～１０－Ｎ）の間の通信経路ＶＰ１の正規通信を、ＶＬＡＮタグＴＧ１を含むパケットＰＡ１による通信と定めた管理情報に基づき、通信経路ＶＰ１を監視する。また、制御部５１０は、通信制御管理装置５０と通信制御装置３０（３０－１～３０－Ｎ）の間の正規通信を、ＶＬＡＮタグＴＧ２を含むパケットＰＡ２による通信と定めた管理情報に基づき、通信経路ＶＰ２を監視する。

制御部５１０は、通信経路ＶＰ１のパケットから検出されたＶＬＡＮタグがＶＬＡＮタグＴＧ１と異なる場合に、通信経路ＶＰ１のパケットの矛盾を検知し（ＳＴ１０３、ＹＥＳ）、通信経路ＶＰ１で攻撃を受けていることを特定する（ＳＴ１０４）。制御部５１０は、通信経路ＶＰ１が攻撃されていることを示す警告情報の出力を指示し、表示部５３０は、通信経路ＶＰ１が攻撃されていることを示す警告情報を表示する（ＳＴ１０６）。また、制御部５１０は、ネットワークを攻撃から守るため、通信経路ＶＰ１の通信を遮断するようにしてもよい。

また、制御部５１０は、通信経路ＶＰ２のパケットから検出されたＶＬＡＮタグがＶＬＡＮタグＴＧ２と異なる場合に、通信経路ＶＰ２のパケットの矛盾を検知し（ＳＴ１０３、ＮＯ）、通信経路ＶＰ２で攻撃を受けていることを特定する（ＳＴ１０５）。制御部５１０は、通信経路ＶＰ２が攻撃されていることを示す警告情報の出力を指示し、表示部５３０は、通信経路ＶＰ２が攻撃されていることを示す警告情報を表示する（ＳＴ１０５）。制御部５１０は、ネットワークを攻撃から守るため、通信経路ＶＰ２の通信を遮断するようにしてもよい。

（第２の実施形態）
次に、第２の実施形態に係る通信システムについて説明する。
第１の実施形態に係る通信システム１は、通信制御管理装置５０が、２台のクライアント装置１０の間の通信経路と、通信制御管理装置５０とクライアント装置１０の間の通信経路とを異なる通信経路にして、攻撃された通信経路を特定する。ここで説明する第２の実施形態に係る通信システム１は、通信制御管理装置５０が、２台のクライアント装置１０の間の通信経路と、通信制御管理装置５０とクライアント装置１０の間の通信経路ＶＰ２とを異なる通信経路にした上で、さらに、通信制御管理装置５０と各クライアント装置１０の間の通信経路を異なる通信経路にして、攻撃された通信経路を特定する。第２の実施形態の説明では、第１の実施形態との相違部分を中心に説明し、共通部分については適宜省略する。
図１０は、第２の実施形態に係る通信システム１の構成例を示す図である。図１０に示す通信システム１の各ハードウェア構成等は、既に説明した通りである。

通信制御管理装置５０の制御部５１０は、各通信制御装置３０－Ｎと通信するための異なるＶＬＡＮタグを含む異なるパケットを生成する。つまり、制御部５１０は、通信制御装置３０－１と通信するためのＶＬＡＮタグＴＧ２（第２の仮想タグ）を含むパケットＰＡ２（第２のパケット）を生成し、通信制御装置３０－２と通信するためのＶＬＡＮタグＴＧ３（第３の仮想タグ）を含むパケットＰＡ３（第３のパケット）を生成する。通信制御管理装置５０のＮＷ通信部５００は、異なるＶＬＡＮタグを含む異なるパケットにより各通信制御装置３０－Ｎと通信する。つまり、ＮＷ通信部５００は、ＶＬＡＮタグＴＧ２を含むパケットＰＡ２により通信制御装置３０－１と通信し、また、ＶＬＡＮタグＴＧ３を含むパケットＰＡ３により通信制御装置３０－２と通信する。

さらに、制御部５１０は、クライアント装置１０（１０－１～１０－Ｎ）の間の正規通信を、ＶＬＡＮタグＴＧ１を含むパケットＰＡ１による通信と定めた管理情報に基づき、クライアント装置１０の間の通信を監視する。また、制御部５１０は、通信制御管理装置５０と通信制御装置３０－１の間の正規通信を、ＶＬＡＮタグＴＧ２を含むパケットＰＡ２による通信と定め、通信制御管理装置５０と通信制御装置３０－２の間の正規通信を、ＶＬＡＮタグＴＧ３を含むパケットＰＡ３による通信と定めた管理情報に基づき、通信制御管理装置５０と通信制御装置３０－１の間の通信を監視し、通信制御管理装置５０と通信制御装置３０－２の間の通信を監視する。

このように、通信システム１では、通信制御装置３０及び通信制御管理装置５０が、ＶＬＡＮタグを含むパケットにより通信することにより、論理的に通信経路を分けてセキュリティの向上を図る。第２の実施形態では、各クライアント装置１０の間の定常的な通信をＶＬＡＮタグＴＧ１で特定される通信経路ＶＰ１で実行し、通信制御管理装置５０と通信制御装置３０－１の間の制御コマンド及びアラート情報の通信をＶＬＡＮタグＴＧ２で特定される通信経路ＶＰ２で実行し、通信制御管理装置５０と通信制御装置３０－２の間の制御コマンド及びアラート情報の通信をＶＬＡＮタグＴＧ３で特定される通信経路ＶＰ３で実行する。このように、論理的に通信経路ＶＰ１とＶＰ２とＶＰ３を分けることにより、中間者攻撃を受けている経路と受けていない経路とで矛盾が生じた場合にその矛盾を検知することができ、どの通信経路で中間者攻撃を受けているかを容易に特定できる。また、攻撃された通信経路を遮断することにより、他の通信経路を守ることができる。

図１１は、第２の実施形態に係る通信システム１による通信監視の一例を示すフローチャートである。

通信制御管理装置５０の制御部５１０は、通信経路の通信異常を監視する。例えば、通信異常は、第三者によるネットワークへの攻撃であり、データの改ざん等を含む。制御部５１０は、記憶部５２０に記憶される送信先リスト（通信許可リスト）に基づき、通信が許可されたクライアント装置１０による通信であることを確認し、通信経路のパケットに含まれるＶＬＡＮタグに基づき、パケットの矛盾を監視する（ＳＴ２０１）。例えば、制御部５１０は、パケットの矛盾を検知しなければ（ＳＴ２０２、ＮＯ）、通信経路への異常が無いものと判定し、監視を継続する（ＳＴ２０１）。制御部５１０は、通信経路のパケットの矛盾を検知すると（ＳＴ２０２、ＹＥＳ）、矛盾検知に応じた処理へ移行する。なお、制御部５１０は、通信が許可されたクライアント装置１０による通信であることを確認できなければ、不正な通信と判定し、通信を遮断する
例えば、制御部５１０は、クライアント装置１０（１０－１～１０－Ｎ）の間の通信経路ＶＰ１の正規通信を、ＶＬＡＮタグＴＧ１を含むパケットＰＡ１による通信と定めた管理情報に基づき、通信経路ＶＰ１を監視する。また、制御部５１０は、通信制御管理装置５０と通信制御装置３０－１の間の正規通信を、ＶＬＡＮタグＴＧ２を含むパケットＰＡ２による通信と定めた管理情報に基づき、通信経路ＶＰ２を監視する。また、制御部５１０は、通信制御管理装置５０と通信制御装置３０－２の間の正規通信を、ＶＬＡＮタグＴＧ３を含むパケットＰＡ３による通信と定めた管理情報に基づき、通信経路ＶＰ３を監視する。

制御部５１０は、通信経路ＶＰ１のパケットから検出されたＶＬＡＮタグがＶＬＡＮタグＴＧ１と異なる場合に、通信経路ＶＰ１のパケットの矛盾を検知し（ＳＴ２０３、ＹＥＳ）、通信経路ＶＰ１で攻撃を受けていることを特定する（ＳＴ２０５）。制御部５１０は、通信経路ＶＰ１が攻撃されていることを示す警告情報の出力を指示し、表示部５３０は、通信経路ＶＰ１が攻撃されていることを示す警告情報を表示する（ＳＴ２０８）。また、制御部５１０は、ネットワークを攻撃から守るため、通信経路ＶＰ１の通信を遮断するようにしてもよい。

また、制御部５１０は、通信経路ＶＰ２のパケットから検出されたＶＬＡＮタグがＶＬＡＮタグＴＧ２と異なる場合に、通信経路ＶＰ２のパケットの矛盾を検知し（ＳＴ２０４、ＹＥＳ）、通信経路ＶＰ２で攻撃を受けていることを特定する（ＳＴ２０６）。制御部５１０は、通信経路ＶＰ２が攻撃されていることを示す警告情報の出力を指示し、表示部５３０は、通信経路ＶＰ２が攻撃されていることを示す警告情報を表示する（ＳＴ２０８）。制御部５１０は、ネットワークを攻撃から守るため、通信経路ＶＰ２の通信を遮断するようにしてもよい。

また、制御部５１０は、通信経路ＶＰ３のパケットから検出されたＶＬＡＮタグがＶＬＡＮタグＴＧ３と異なる場合に、通信経路ＶＰ３のパケットの矛盾を検知し（ＳＴ２０４、ＮＯ）、通信経路ＶＰ３で攻撃を受けていることを特定する（ＳＴ２０７）。制御部５１０は、通信経路ＶＰ３が攻撃されていることを示す警告情報の出力を指示し、表示部５３０は、通信経路ＶＰ３が攻撃されていることを示す警告情報を表示する（ＳＴ２０８）。制御部５１０は、ネットワークを攻撃から守るため、通信経路ＶＰ３の通信を遮断するようにしてもよい。

（第３の実施形態）
次に、第３の実施形態に係る通信システムについて説明する。
第３の実施形態は、第１及び第２の実施形態と組み合わせて実施する。第３の実施形態では、通信システム１は、１以上の複数のダミーの通信経路を生成する。

例えば、通信システム１は、通信制御管理装置５０と各クライアント装置１０の間にダミーの通信経路を生成する。つまり、正規の通信経路ＶＰ２に並行してダミーの通信経路を生成する。例えば、通信制御管理装置５０の制御部５１０は、ＶＬＡＮタグＴＧ４（第４の仮想タグ）を含むパケットＰＡ４（第４のパケット）を生成する。通信制御管理装置５０のＮＷ通信部５００は、ＶＬＡＮタグＴＧ４を含むパケットＰＡ４により各通信制御装置３０－Ｎとダミーの通信経路で通信する。攻撃者は、正規の通信経路ＶＰ１及びＶＰ２と、ダミーの通信経路とを区別することができない。よって、ダミーの通信経路を生成することにより、正規の通信経路ＶＰ１及びＶＰ２が攻撃されるリスクを低減できる。

また、通信システム１は、通信制御管理装置５０と各クライアント装置１０の間に異なるダミーの通信経路を生成してもよい。つまり、正規の通信経路ＶＰ２及びＶＰ３のそれぞれに並行してダミーの通信経路を生成する。通信制御管理装置５０の制御部５１０は、ＶＬＡＮタグＴＧ４（第４の仮想タグ）を含むパケットＰＡ４（第４のパケット）を生成する。通信制御管理装置５０のＮＷ通信部５００は、ＶＬＡＮタグＴＧ４を含むパケットＰＡ４により各通信制御装置３０－１とダミーの通信経路で通信する。同様に、制御部５１０は、ＶＬＡＮタグＴＧ５（第５の仮想タグ）を含むパケットＰＡ５（第５のパケット）を生成する。通信制御管理装置５０のＮＷ通信部５００は、ＶＬＡＮタグＴＧ５を含むパケットＰＡ５により各通信制御装置３０－２とダミーの通信経路で通信する。攻撃者は、正規の通信経路ＶＰ１、ＶＰ２、及びＶＰ３と、ダミーの通信経路とを区別することができない。よって、ダミーの通信経路を生成することにより、正規の通信経路ＶＰ１及びＶＰ２が攻撃されるリスクを低減することができる。

さらに、通信システム１は、各クライアント装置１０の間に異なるダミーの通信経路を生成してもよい。つまり、正規の通信経路ＶＰ１に並行してダミーの通信経路を生成する。通信制御装置３０－１の制御部３３は、ＶＬＡＮタグＴＧ４（第４の仮想タグ）を含むパケットＰＡ４（第４のパケット）を生成する。装置通信部３４は、ＶＬＡＮタグＴＧ４を含むパケットＰＡ４により各通信制御装置３０－２とダミーの通信経路で通信する。また、通信制御装置３０－２の制御部３３は、ＶＬＡＮタグＴＧ４（第４の仮想タグ）を含むパケットＰＡ４（第４のパケット）を生成する。装置通信部３４は、ＶＬＡＮタグＴＧ４を含むパケットＰＡ４により各通信制御装置３０－１とダミーの通信経路で通信する。攻撃者は、正規の通信経路ＶＰ１及びＶＰ２と、ダミーの通信経路とを区別することができない。よって、ダミーの通信経路を生成することにより、正規の通信経路ＶＰ１及びＶＰ２が攻撃されるリスクを低減することができる。

上記説明した第１乃至第３の実施形態によれば、既存のデバイスを変更せずに不正アクセスの検出に優れた通信システム及びプログラムを提供することができる。各実施形態に係る通信システム１は、各装置間の通信経路をＶＬＡＮタグを用いて論理的に異なる通信経路にする。例えば、攻撃によって通信経路のパケットが偽装された場合であっても、パケットの矛盾から攻撃を受けている通信経路を特定することができ、さらに、攻撃を受けている通信経路を遮断することもできる。なお、論理的に異なる通信経路を構築するための手段として、ＶＬＡＮタグのような識別情報を利用するケースについて説明したが、本実施形態はこれに限定されるものではなく、ＩＰ（Internet Protocol）アドレス等を用いて不正を検出するようにしてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１…通信システム
６…ネットワーク
７…ネットワーク接続装置
１０（１０－１～１０－Ｎ）…クライアント装置
１１…ＮＷ通信部
１２…クライアント制御部
１３…撮像部
２０…サーバ装置
２１…ＮＷ通信部
２２…サーバ制御部
２３…撮像データ記憶部
３０（３０－１～３０－Ｎ）…通信制御装置
３１…通信制御装置
３２…ＮＷ通信部
３３…制御部
３４…装置通信部
３５…リーダライタ
３６…記憶部
３６…コンタクト部
４０…カード
４１…モジュール
４２…チップ
４７…ＥＥＰＲＯＭ
５０…通信制御管理装置
４００…通信部
４０１…制御部
４０２…コマンド処理部
４０３…暗号化復号部
４０４…記憶部
４０５…証明書情報記憶部
４０６…秘密情報記憶部
５００…ＮＷ通信部
５１０…制御部
５１１…鍵生成部
５１２…証明書発行部
５１３…証明書更新部
５１４…証明書管理部
５１５…管理部
５１６…監視部
５２０…記憶部
５２１…鍵情報記憶部
５２２…証明書情報記憶部
５３０…表示部

Claims (10)

1. ネットワーク接続装置と第１のクライアント装置の間に接続される第１の通信制御装置、前記ネットワーク接続装置と第２のクライアント装置の間に接続される第２の通信制御装置、及び前記ネットワーク接続装置に接続され、前記第１の通信制御装置と第２の通信制御装置による通信を管理する通信制御管理装置を備える通信システムであって、
   前記第１の通信制御装置は、
   第１の仮想タグを含む第１のパケットを生成する第１のプロセッサと、
   前記第１のパケットの送受信により前記第１のクライアント装置と前記第２のクライアント装置の間の通信を仲介する第１のインタフェースと、
   を備え、
   前記第２の通信制御装置は、
   前記第１の仮想タグを含む前記第１のパケットを生成する第２のプロセッサと、
   前記第１のパケットの送受信により前記第１のクライアント装置と前記第２のクライアント装置の間の通信を仲介する第２のインタフェースと、
   を備え、
   前記通信制御管理装置は、
   第２の仮想タグを含む第２のパケットを生成する第３のプロセッサと、
   前記第２のパケットにより前記第１の通信制御装置又は前記第２の通信制御装置と通信する第３のインタフェースと、
   を備え、
   前記第３のプロセッサは、前記第１のクライアント装置と前記第２のクライアント装置の間の正規通信を前記第１の仮想タグを含む前記第１のパケットによる通信と定め、前記通信制御管理装置と前記第１の通信制御装置又は第２の通信制御装置の間の正規通信を前記第２の仮想タグを含む前記第２のパケットによる通信と定めた管理情報に基づき、通信を監視する通信システム。
2. 前記第３のプロセッサは、前記第１のクライアント装置と前記第２のクライアント装置の間の第１の通信経路のパケットから検出される仮想タグが前記第１の仮想タグと矛盾する場合に、前記第１の通信経路の異常を検出する請求項１の通信システム。
3. 前記第３のプロセッサは、前記通信制御管理装置と前記第１の通信制御装置の間の第２の通信経路のパケット、又は前記通信制御管理装置と前記第２の通信制御装置の間の第２の通信経路のパケットから検出される仮想タグが前記第２の仮想タグと矛盾する場合に、前記第２の通信経路の異常を検出する請求項２の通信システム。
4. 前記通信制御管理装置は、
   前記第１又は第２の通信経路の異常を表示する表示部を備える請求項３の通信システム。
5. 前記通信制御管理装置は、
   前記第１のクライアント装置と前記第２のクライアント装置を特定する識別情報を含む通信許可リストを記憶するメモリを備え、
   前記第３のプロセッサは、前記通信許可リストに基づき前記第１のクライアント装置と前記第２のクライアント装置の通信を許可する請求項１乃至４の何れか一つの通信システム。
6. 前記第１のクライアント装置と前記第２のクライアント装置の間の通信は、前記第１のクライアント装置又は前記第２のクライアント装置で生成された情報の送受信であり、
   前記通信制御管理装置と前記第１のクライアント装置又は前記第２のクライアント装置の間の通信は、制御コマンド又は通信アラートの送受信である請求項１乃至５の何れか一つの通信システム。
7. 前記第１の通信経路は、前記第１の仮想タグにより特定される仮想の通信経路であり、
   前記第２の通信経路は、前記第２の仮想タグにより特定される仮想の通信経路である請求項３又は４の通信システム。
8. ネットワーク接続装置と第１のクライアント装置の間に接続される第１の通信制御装置、前記ネットワーク接続装置と第２のクライアント装置の間に接続される第２の通信制御装置、及び前記ネットワーク接続装置に接続され、前記第１の通信制御装置と第２の通信制御装置の通信を管理する通信制御管理装置を備える通信システムであって、
   前記第１の通信制御装置は、
   第１の仮想タグを含む第１のパケットを生成する第１のプロセッサと、
   前記第１のパケットの送受信により前記第１のクライアント装置と前記第２のクライアント装置の間の通信を仲介する第１のインタフェースと、
   を備え、
   前記第２の通信制御装置は、
   前記第１の仮想タグを含む前記第１のパケットを生成する第２のプロセッサと、
   前記第１のパケットの送受信により前記第１のクライアント装置と前記第２のクライアント装置の間の通信を仲介する第２のインタフェースと、
   を備え、
   前記通信制御管理装置は、
   第２の仮想タグを含む第２のパケットを生成し、また、第３の仮想タグを含む第３のパケットを生成する第３のプロセッサと、
   前記第２のパケットにより前記第１の通信制御装置と通信し、また、前記第３のパケットにより前記第２の通信制御装置と通信する第３のインタフェースと、
   を備え、
   前記第３のプロセッサは、前記第１のクライアント装置と前記第２のクライアント装置の間の正規通信を前記第１の仮想タグを含む前記第１のパケットによる通信と定め、前記通信制御管理装置と前記第１の通信制御装置の間の正規通信を前記第２の仮想タグを含む前記第２のパケットによる通信と定め、前記通信制御管理装置と前記第２の通信制御装置の間の正規通信を前記第３の仮想タグを含む前記第３のパケットによる通信と定めた管理情報に基づき、通信を監視する通信システム。
9. ネットワーク接続装置と第１のクライアント装置の間に接続される第１の通信制御装置、前記ネットワーク接続装置と第２のクライアント装置の間に接続される第２の通信制御装置、及び前記ネットワーク接続装置に接続され、前記第１の通信制御装置と第２の通信制御装置による通信を管理する通信制御管理装置に実行させるプログラムであって、
   前記第１の通信制御装置に、
   第１の仮想タグを含む第１のパケットを生成する手順と、
   前記第１のパケットの送受信により前記第１のクライアント装置と前記第２のクライアント装置の間の通信を仲介する手順とを実行させ、
   前記第２の通信制御装置に、
   前記第１の仮想タグを含む前記第１のパケットを生成する手順と、
   前記第１のパケットの送受信により前記第１のクライアント装置と前記第２のクライアント装置の間の通信を仲介する手順とを実行させ、
   前記通信制御管理装置に、
   第２の仮想タグを含む第２のパケットを生成する手順と、
   前記第２のパケットにより前記第１の通信制御装置又は前記第２の通信制御装置と通信する手順と、
   前記第１のクライアント装置と前記第２のクライアント装置の間の正規通信を前記第１の仮想タグを含む前記第１のパケットによる通信と定め、前記通信制御管理装置と前記第１の通信制御装置又は第２の通信制御装置の間の正規通信を前記第２の仮想タグを含む前記第２のパケットによる通信と定めた管理情報に基づき、通信を監視する手順とを実行させるプログラム。
10. ネットワーク接続装置と第１のクライアント装置の間に接続される第１の通信制御装置、前記ネットワーク接続装置と第２のクライアント装置の間に接続される第２の通信制御装置、及び前記ネットワーク接続装置に接続され、前記第１の通信制御装置と第２の通信制御装置の通信を管理する通信制御管理装置に実行させるプログラムであって、
    前記第１の通信制御装置は、
    第１の仮想タグを含む第１のパケットを生成する手順と、
    前記第１のパケットの送受信により前記第１のクライアント装置と前記第２のクライアント装置の間の通信を仲介する手順とを実行し、
    前記第２の通信制御装置は、
    前記第１の仮想タグを含む前記第１のパケットを生成する手順と、
    前記第１のパケットの送受信により前記第１のクライアント装置と前記第２のクライアント装置の間の通信を仲介する手順とを実行し、
    前記通信制御管理装置は、
    第２の仮想タグを含む第２のパケットを生成し、また、第３の仮想タグを含む第３のパケットを生成する手順と、
    前記第２のパケットにより前記第１の通信制御装置と通信し、また、前記第３のパケットにより前記第２の通信制御装置と通信する手順と、
    前記第１のクライアント装置と前記第２のクライアント装置の間の正規通信を前記第１の仮想タグを含む前記第１のパケットによる通信と定め、前記通信制御管理装置と前記第１の通信制御装置の間の正規通信を前記第２の仮想タグを含む前記第２のパケットによる通信と定め、前記通信制御管理装置と前記第２の通信制御装置の間の正規通信を前記第３の仮想タグを含む前記第３のパケットによる通信と定めた管理情報に基づき、通信を監視する手順とを実行させるプログラム。
    

Images