JP3180054B2

JP3180054B2 - ネットワーク・セキュリティ・システム

Info

Publication number: JP3180054B2
Application number: JP12707997A
Authority: JP
Inventors: 和郎根本
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 1997-05-16
Filing date: 1997-05-16
Publication date: 2001-06-25
Anticipated expiration: 2017-05-16
Also published as: JPH10334008A; US6032259A

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークに接
続されたコンピュータ・システムにおいて、外部から機
密を保持しなければならない内部システムに侵入されな
いようにしたネットワーク・セキュリティ・システムに
関する。

【０００２】

【従来の技術】従来において、外部のネットワーク・シ
ステム例えばインターネットに接続されたコンピュータ
・システムにおいて、外部からの侵入を防ぐシステムと
しては、ファイアウォール・システムが知られている。
このシステムは、ファイアウォールのプログラムを実装
した要塞システムを設けることで、外部からの侵入を防
ぐものである。このファイアウォールを二重に用いてい
る２つの要塞ホストを使用したシステムも知られてい
る。

【０００３】この２つの要塞ホストを使用したシステム
を、図７および図８を用いて説明する。

【０００４】図７において、外部のネットワーク（イン
ターネット）７０２に内部ネットワークを接続している
システムを示している。インターネット７０２には、ス
クリーニング・ルーター７０４を介して内部ネットワー
クが接続されている。スクリーニング・ルーター７０４
は、外部ネットワーク７０２から受信した内部ネットワ
ーク向けのすべてのトラフィックを、要塞ホスト７０８
の外側のネットワーク７０６に設定されている。また、
スクリーニング・ルーター７０４は、トラフィックを要
塞ホスト７０８に送る前にフィルタ・ルールを適用し
て、フィルタ・ルールをパスしたトラフィックのみが要
塞ホスト７０８に送られる。

【０００５】アウトサイド・ネットワーク７０６は、非
武装地帯（Demilitarized Zone：ＤＭＺ）を形成してい
る。このアウトサイト・ネットワークは、ファイアウォ
ールを搭載した要塞ホスト７０８によって守られていな
い。外部ネットワーク７０２からのトラフィックはアウ
トサイト要塞ホスト７０８を介して、プライベート・ネ
ットワーク７１０に転送される。このプライベート・ネ
ットワークは、ファイヤーウォールにより一応の機密性
を保っているので、外部からアクセスするためのホスト
や、内部のあまり機密性を要しないホストをこの段階に
設置することができる。

【０００６】より機密性の高いホストは、ファイアウォ
ールを実装しているインサイド要塞ホスト７１２を介し
てプライベート・ネットワークに接続されているインサ
イド・ネットワーク７１４に接続する。このインサイド
・ネットワークは、二重のファイアウォールにより守ら
れているので、例えば電子署名のキー等の厳重な機密性
を要するものを提供しているホストを接続する。

【０００７】

【発明が解決しようとする課題】このように、二重に守
られているインサイド・ネットワークでは、二重である
ことににより強度はあげているが、二重化により特別な
機能を提供はしておらず、通常のファイアウォールのプ
ログラムを利用している限り限界がある。それは、ファ
イアウォールのプログラムが複雑であることや、アプリ
ケーション・レベルで実行されていることに起因してい
る。図７にその様子を示している。外部ネットワーク７
０２からのトラフィックは、スクリーニング・ルーター
７０４を介して、アウトサイド要塞ホスト７０８へと転
送される。それから、インサイド要塞ホスト７１２を介
してインサイド・ネットワーク７１４へと再度転送され
る。要塞ホスト７０８および要塞ホスト７１２には、フ
ァイアウォールのプログラム７１６および７１８がアプ
リケーションの層で実装されており、この部分で外部か
らの侵入を防いでいる。

【０００８】そして、下位層の実装は、通常ＯＳと同等
のレベルで行われている。この部分は、ユーザにとって
はブラックボックスとなっている。そのため、この部分
に外部からのアクセスに対して弱い部分があっても、通
常のユーザは認知できず、気がついたときには、手遅れ
となることも想定される。

【０００９】この様な例としては、例えば、ＯＳのバ
グ、ハードウェアの故障、各種ソフトウェアの設定ミス
等がある。この様な原因で外部アクセスについての欠陥
が生じた場合、オープン故障（動かなくなる）ならよい
が、ショート故障（データが素通しで流れる）のときは
重大なセキュリティ上の問題が生じる。

【００１０】このようなショート故障や、悪意によって
ファイアウォール・サーバーが汚染された場合には、例
えばインターネットで用いられているプロトコルである
ＴＣＰ／ＩＰのヘッダに含まれる宛先ＩＰアドレスやサ
ービス・タイプ等は、フェイク可能であり、ドライバ・
レベル（下位層）のチェックでは、不十分な場合もあっ
た。

【００１１】一方、ＯＳに依存しないファイアウォール
を開発することは、ＯＳレベルのコーディングを必要と
し、不可能ではないにしても多大な労力および費用を要
する。

【００１２】本発明は、このようなファイアウオールの
本質的な部分の欠点を有さず、セキュリティの高いネッ
トワーク・セキュリティ・システムを提供することを目
的としている。

【００１３】

【課題を解決するための手段】上記目的を達成するため
に、本発明は、外部のネットワークと接続されているシ
ステムにおいて、外部ネットワークとの間でヘッダ付き
パケットを送受信する第１のコンピュータと、前記第１
のコンピュータと専用の通信路で接続されている第２の
コンピュータとを含み、前記第１のコンピュータは、前
記専用通信路を介して前記ヘッダ付きパケットからヘッ
ダを落としたパケットを前記第２のコンピュータに送信
し、前記第２のコンピュータから前記専用通信路を介し
た受け取ったパケットにヘッダを付加して前記外部ネッ
トワークに対して送信することを特徴とするネットワー
ク・セキュリティ・システムである。

【００１４】また、前記通信路は、調歩式伝送により構
成することができる。

【００１５】前記第２のコンピュータは、前記ヘッダを
落としたパケットが予定のフォーマットであるか否かを
判断している。

【００１６】前記第２のコンピュータは、第２のコンピ
ュータと接続されているサーバーに対して、受信した前
記パケットに含まれるデータを送信することができる。

【００１７】前記第２のコンピュータは、受信した前記
パケットに含まれるデータに対する処理を行い、処理結
果を第１のコンピュータに送信してもよい。

【００１８】このように、本発明の構成によれば、簡単
な構成でセキュリティ強度の高いシステムを構築するこ
とができる。

【００１９】

【発明の実施の形態】本発明の実施形態を、図面を参照
して詳細に説明する。

【００２０】図１は、本発明の実施の形態を説明するた
めの図である。

【００２１】図１において、外部からのアクセスが容易
なネットワーク（公開ネットワーク）１０２に、アウト
サイド・ホスト１０４が接続されている。このホスト１
０４には、本発明のネットワークのセキュリティを提供
する第１接続プログラム１１２が実装されている。そし
て、このアウトサイド・ホストは、インサイド・ホスト
１０６に専用の伝送路１１６を介して接続されている。
このインサイド・ホストにも第２接続プログラム１１４
が実装されている。この２つの第１と第２の接続プログ
ラム１１２および１１４は、アプリケーション・レベル
のプログラムおよび専用の通信路を駆動するドライバ・
プログラムから構成されている。そして、２つの接続プ
ログラムが通信路を占有するかたちで交信することで、
外部からの侵入を防ぐことができる（通常のネットワー
クにおいては、占有されておらず、多重に使用されてい
る）。また、システム内の他の部分にアクセスされるこ
とを防ぐことができる。この第１接続プログラム１１２
および第２接続プログラム１１４については、後で詳し
く説明する。

【００２２】インサイド・ホストはセキュリティが確保
されているので、これに接続されている内部のネットワ
ーク１０８は、機密ネットワークである。機密ネットワ
ーク１０８には、外部からの侵入を保護すべき対象であ
る重要な業務を行っており、重要な情報を有しているホ
スト１１０が接続されている。なお、保護対象機１１０
は、接続プログラム１０６を実装しているインサイド・
ホストで兼ねることもできる。この場合は、内部でのネ
ットワーク接続された保護対象のホストがなくてもよ
い。

【００２３】さて、接続プログラム１１２および１１４
について、図２を用いてさらに具体的に説明する。図２
は、双方向のシリアル・ポートで接続し、調歩式伝送で
交信している例を示している。図２において、アウトサ
イド・ホスト１０４とインサイド・ホストとの間を、ポ
ート２０２およびポート２０４で接続している。このシ
リアル・ポート２０２およびポート２０４は２つの接続
プログラムに専用となっており、この接続プログラムに
含まれるこのポート専用のシリアル・ポート・デバイス
・ドライバにより物理的にアクセスされる。このように
外部から専用に接続し、しかも、機密ネットワーク１０
８を介して接続される外部からのアクセス対象である認
証サーバー１１０等の保護対象のホストには、接続プロ
グラムによりチェックを十分におこなってからアクセス
することが可能であるので、十分なセキュリティを確保
することができる。

【００２４】この専用のシリアル・ポートにアクセスす
るためのシリアル・ポート・デバイス・ドライバは、簡
単な構成なので自作しても、標準のドライバをテストし
て使用してもよい。

【００２５】従って、この接続はシステム外部からはア
クセスすることができず、アウトサイド・ホストの特権
ユーザであっても操作できない。また、専用のデバイス
・ドライバを使用しているので、従来のファイアウオー
ルを用いた場合と異なり、ＯＳ等のバグによるアクセス
の穴がない。そして、この専用の接続プログラムや専用
のポートや接続線が壊れるときは、２ヶ所に分散してい
るため、必ず動かなくなる方向である。

【００２６】また、外部からアクセスされる特定のサー
バー例えば暗号を解読用のキーを発行する認証サーバー
１１０のみにアクセスするための接続にのみこのポート
による接続を用いると、宛先情報が必要なく、その上、
その認証サーバー１１０へのアクセス独特のチェックが
でき、より機密性が高まる。

【００２７】アウトサイド・ホストに実装されている第
１接続プログラムは、例えば、上述のように、認証サー
バーのみに使用している場合は、宛先（認証サーバー）
が決まっており、輻輳制御が必要ない（他へのアクセス
がないため）ので、データのみを必要最小限の制御情報
（例えば、パリティビット等）を付与して送ればよい。
また、この様に認証サーバー専用である場合は、交信す
るデータ量の少ないのでデータ転送速度もそれほど速い
必要はない。

【００２８】この第１と第２の接続プログラムの動作に
ついて、図３および図４を用いて詳しく説明する。図３
および図４では、暗号解読用のキーを発行している認証
サーバー１１０専用に交信を行う場合で説明している。

【００２９】図３には、第１と第２の接続プログラムを
アウトサイド・ホスト１０４とインサイド・ホスト１０
６に実装した場合の構成が示されている。アウトサイド
・ホスト１０４は、ユーザ・インタフェース機３０４に
接続されている。ユーザ・インタフェース機３０４は、
外部ネットワーク３０２に接続されており、外部からの
アクセス者に対してホームページ等のユーザ・インタフ
ェースを提供している。

【００３０】第１および第２の接続プログラムにはそれ
ぞれ、送信側としてＡ−クライアント(A-client)とＣ−
クライアント(C-client)を有し、受信側としてＢ−サー
バー(B-server)とＤ−サーバー(D-server)を有してい
る。

【００３１】アウトサイド・コンピュータ１０４のＡ−
クライアントは、外部ネットワークと接続されているユ
ーザ・インタフェース機３０４から送られてきた、例え
ばＴＣＰ／ＩＰプロトコルのヘッダを有しているパケッ
トを受信する。次に、Ａ−クライアントは、パケットか
らヘッダを取り除いて必要なデータのみを調歩式データ
に変換し、シリアルポートを介してインサイド・ホスト
１０６のＢ−サーバーに送る。Ｂ−サーバーは、認証サ
ーバーのクライアント側（認証クライアント）として、
認証サーバー１１０上のキーを管理しているプログラム
である認証サーバー１１０にデータを送信する。

【００３２】認証サーバー１１０では、それが正当なキ
ー発行要求であるならば、暗号解読用のキーを発行し
て、そのキー・データを認証クライアントであるインサ
イド・ホスト１０６に送る。受信した第２接続プログラ
ムのＣ−クライアントは、アウトサイド・ホスト１０４
のＤ−サーバーに調歩式データとしてキー・データをシ
リアルポートを介して送る。受信したＤ−サーバーは、
プロトコルで必要なヘッダをまた付与して、ユーザ・イ
ンタフェース機３０４にキー・データを送る。なお、イ
ンサイド・ホスト１０６と認証サーバー１１０との間
は、通常の通信で送られており、プロトコル上ヘッダが
必要なら、インサイド・ホスト１０６内のＢ−サーバー
が付与し、また、Ｄ−サーバーがそのヘッダを取り除い
ている。

【００３３】第１および第２接続プログラムの処理につ
いて、データの流れを中心に図４を用いてさらに詳細に
説明する。

【００３４】図４において、具体的には、試用プログラ
ムを使用したユーザーが、試用後に正式版であるプログ
ラムを使うために、暗合化されたいる製品を、ＣＤ−Ｒ
ＯＭやテープ等から解読してインストールするためのキ
ーをインターネット経由で得ることを想定している。

【００３５】インターネットからアクセスしたユーザ
は、ユーザ・インタフェース機３０４における解読キー
を得るために、ＷＷＷのページにアクセスして画面の指
示によりユーザＩＤ等を入力する。これはＲＥＱデータ
として、ユーザ・インタフェース機３０４からアウトサ
イド・ホスト１０４に送られる。ＲＥＱデータの形式は
例えば、図４（ｂ）に示す形式である。アウトサイド・
ホストの第１接続プログラムは、ＲＥＱデータを受け取
ると送られたパケットからヘッダを取り除いて、自分自
身のキューに入れる。第１接続プログラムは、ＲＥＱデ
ータをキューから受信の順番に、シリアル・ポートを介
してインサイド・ホスト１０６の第２接続プログラムに
送る。そして、キューの中の送ったＲＥＱデータに対し
て、キー作成中のフラグをたてる。

【００３６】送られてきたＲＥＱデータは、第２接続プ
ログラムにおいて、データのフィールド検査を行う。こ
れは図４（ｂ）において、ユーザＩＤ、取引ＩＤ、商品
ＩＤの各々が決められた属性（例えば、数字等の文字種
や桁数）であるかの形式に関するチェックする。そし
て、正しい場合は自分自身のキューに入れる。正しくな
い場合はその旨第１接続プログラムにシリアル・ポート
を介して伝える。

【００３７】インサイド・ホスト１０６の第２接続プロ
グラムは、形式的に正しいＲＥＱデータを認証サーバー
１１０に送るとともに、キー作成中のフラグをたてる。

【００３８】認証サーバー１１０は、送られてきたＲＥ
Ｑデータを検証し、その結果、確認がとれた場合は、キ
ーを発行して、インサイド・ホスト１０６に発行したキ
ーのデータを送る。検証の結果、キーが発行できない場
合はその旨返送する。

【００３９】インサイド・ホスト１０６の第２接続プロ
グラムでは、キー・データが送られてきたら、対応する
フラグをたてたＲＥＱデータを消去する。送られてきた
キー・データをシリアル・ポートを介してアウトサイド
・ホスト１０４に送る。一定時間待って、送ったＲＥＱ
データに対する応答がない場合には、そのＲＥＱデータ
を認証サーバー１１０に再送する。

【００４０】アウトサイド・ホスト１０４の第１接続プ
ログラムは、キー・データをシリアル・ポートを介して
第２接続プログラムから受け取ると、対応するＲＥＱデ
ータを消去して、キー・データを必要なヘッダを付与し
てユーザ・インタフェース機３０４に送る。

【００４１】このように、アウトサイド・ホスト１０４
とインサイド・ホスト１０６との間では、不必要なネゴ
シエーションは行っていない。これは、ネゴシエーショ
ンを行うことにより、この間のインタフェースのプロト
コルが複雑になり、セキュリティ強度が下がるからであ
る。

【００４２】なお、上記の実施形態において、データの
チェックをインサイド・ホスト上の第２接続プログラム
において行ったが、第１接続プログラムで行うこともで
きる。

【００４３】インサイド・ホスト１０６は、認証サーバ
ー１１０と兼用できる。この場合は、インサイド・ホス
ト１０６に認証サーバー１１０のためのプログラムを実
装すればよい。インサイド・ホスト上の第２接続プログ
ラムは、受信したデータを認証サーバー１１０に転送す
るのではなく、自機の認証サーバー・プログラムに送
る。

【００４４】また、アウトサイド・ホストとユーザ・イ
ンタフェース機も兼用することができる。

【００４５】上述の図２〜図４の説明においては、認証
サーバーが１つのみの場合を説明したが、図５に示すよ
うに、認証サーバーを２つ以上用いることも可能であ
る。この場合は、第２接続プログラムにおいて、例えば
商品ＩＤによりＲＥＱデータの送り先を指定する必要が
ある。

【００４６】また、上記で説明したような接続形態を用
いて、図６に示すように、プロトコル層の中間で送受信
する様な構成とすることもできる。このような構成とす
ると、プロトコルの解釈を２つのホスト機６０２および
６０４で行うことができるので、セキュリティ強度を高
めることが可能となる。このような場合の応用としては
ルータ等がある。

【００４７】上記のプログラムでその機能を実行してい
る部分に関して、それを記録媒体上に格納し、それをコ
ンピュータ・システムで読み出すことにより、本発明を
実施することもできる。この記録媒体には、フロッピー
・ディスク、ＣＤ−ＲＯＭ、磁気テープ、ＲＯＭカセッ
ト等がある。

【００４８】

【発明の効果】上記の説明のように、本発明の構成を使
用すると、外部とネットワークで接続されたシステムに
おいて、簡単な構成でセキュリティ強度の高いシステム
を構築することができる。

【図面の簡単な説明】

【図１】本発明の実施形態を示す図である。

【図２】本発明の実施形態を示すブロック図である。

【図３】本発明の詳しい実施形態を示すブロック図であ
る。

【図４】本発明の実施形態のデータの流れを示すブロッ
ク図である。

【図５】本発明の詳しい実施形態を示すブロック図であ
る。

【図６】本発明の詳しい実施形態を示すブロック図であ
る。

【図７】従来のセキュリティ・システムを示す図であ
る。

【図８】従来のセキュリティ・システムを示す図であ
る。

【符号の説明】

１０２公開ネットワーク１０４アウトサイド・ホスト１０６インサイド・ホスト１０８機密ネットワーク１１０保護対象機１１２第１接続プログラム１１４第２接続プログラム１１６伝送路３０２公開ネットワーク３０４ユーザ・インタフェース機６０２外側コンピュータ６０４内側コンピュータ７０２インターネット７０４スクリーニング・ルーター７０６アウトサイドＤＭＺネットワーク７０８アウトサイド要塞ホスト７１０インサイドＤＭＺネットワーク（プライベート
・ネットワーク）７１２インサイド要塞ホスト７１４インサイド・ネットワーク

───────────────────────────────────────────────────── フロントページの続き (56)参考文献国際公開96／18253（ＷＯ，Ａ１) (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 13/00 G06F 12/14 G06F 15/00 H04L 12/28 H04L 12/46 H04L 12/66

Claims

(57)【特許請求の範囲】

【請求項１】外部のネットワークと接続され、前記外部
のネットワークから送信されたパケットに基づいて特定
業務の処理を実行するシステムにおいて、外部ネットワークとの間でヘッダ付きパケットを送受信
する第１のコンピュータと、前記第１のコンピュータと専用の通信路で接続されてい
る第２のコンピュータとを含み、前記第１のコンピュータは、前記専用通信路を介して前
記ヘッダ付きパケットからヘッダを落としたパケットを
前記第２のコンピュータに送信し、前記第２のコンピュータは、前記ヘッダを落としたパケ
ットが前記特定業務の処理に関連するフォーマットであ
るか否かを判断し、前記ヘッダを落としたパケットが前記特定業務の処理に
関連するフォーマットである場合に、前記特定業務の処
理を実行することを特徴とするネットワーク・セキュリ
ティ・システム。
【請求項２】外部のネットワークと接続され、特定業務
の処理を実行するシステムにおいて、外部ネットワークとの間でヘッダ付きパケットを送受信
する第１のコンピュータと、前記第１のコンピュータと専用の通信路で接続されてい
る第２のコンピュータと、前記第２のコンピュータと接続されている第３のコンピ
ュータを含み、前記第１のコンピュータは、前記専用通信路を介して前
記ヘッダ付きパケットからヘッダを落としたパケットを
前記第２のコンピュータに送信し、前記第２のコンピュータは、前記ヘッダを落としたパケ
ットが前記特定業務の処理に関連するフォーマットであ
るか否かを判断し、前記第３のコンピュータは、前記ヘッダを落としたパケ
ットが前記特定業務の処理に関連するフォーマットであ
る場合に、前記第２のコンピュータから前記特定業務の
処理を実行することを依頼される特徴とするネットワー
ク・セキュリティ・システム。
【請求項３】前記第３のコンピュータは、暗号解読キー
を発行する認証サーバであることを特徴とする請求項２
に記載のネットワーク・セキュリティ・システム。
【請求項４】前記第１のコンピュータは、前記第２のコ
ンピュータから前記専用通信路を介して受け取ったパケ
ットにヘッダを付加して前記外部ネットワークに対して
送信することを特徴とする請求項１乃至３のいずれかに
記載のネットワーク・セキュリティ・システム。
【請求項５】前記第１のコンピュータと前記第２のコン
ピュータの各々は、前記専用通信路を駆動する専用のド
ライバ・プログラムを備え、前記第１のコンピュータは、外部からのアクセス者に対
してユーザ・インタフェースを提供する第４のコンピュ
ータに接続していることを特徴とする請求項１乃至４の
いずれかに記載のネットワーク・セキュリティ・システ
ム。