JP3263877B2 - 暗号ゲートウェイ装置 - Google Patents
暗号ゲートウェイ装置Info
- Publication number
- JP3263877B2 JP3263877B2 JP25085093A JP25085093A JP3263877B2 JP 3263877 B2 JP3263877 B2 JP 3263877B2 JP 25085093 A JP25085093 A JP 25085093A JP 25085093 A JP25085093 A JP 25085093A JP 3263877 B2 JP3263877 B2 JP 3263877B2
- Authority
- JP
- Japan
- Prior art keywords
- session key
- terminal
- gateway device
- communication
- encryption
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Description
【０００１】
【産業上の利用分野】本発明は暗号ゲートウェイ装置に
係り、特に広い地域に分散した事業所等の特定グループ
内の端末間で暗号通信を行う場合に、任意の２台の端末
が共通のセッション鍵を有することにより暗号通信を行
うパケット通信システムにおける暗号ゲートウェイ装置
に関する。
係り、特に広い地域に分散した事業所等の特定グループ
内の端末間で暗号通信を行う場合に、任意の２台の端末
が共通のセッション鍵を有することにより暗号通信を行
うパケット通信システムにおける暗号ゲートウェイ装置
に関する。
【０００２】
【従来の技術】図１０は従来技術による暗号通信システ
ムを説明する図であって、端末ｉ１３０と端末ｊ１４０
との間で通信を行う場合、一方の端末ｉ１３０のアプリ
ケーションプログラム１３２（以下、ＡＰと略す）が鍵
配送センタ１６０から通信に使用するセッション鍵１６
２を取得する。端末ｉ１３０のＡＰ１３２は、このセッ
ション鍵を通信相手の端末ｊ１４０に送信して、２台の
端末で共通のセッション鍵を共有し、これを用いて通信
文を暗号化及び復号して暗号通信を行う。
ムを説明する図であって、端末ｉ１３０と端末ｊ１４０
との間で通信を行う場合、一方の端末ｉ１３０のアプリ
ケーションプログラム１３２（以下、ＡＰと略す）が鍵
配送センタ１６０から通信に使用するセッション鍵１６
２を取得する。端末ｉ１３０のＡＰ１３２は、このセッ
ション鍵を通信相手の端末ｊ１４０に送信して、２台の
端末で共通のセッション鍵を共有し、これを用いて通信
文を暗号化及び復号して暗号通信を行う。
【０００３】図１１は、従来の暗号ゲートウェイ装置１
８０を説明する図であって、暗号化／復号を行うための
固定セッション鍵１８１と、受信情報を受信するための
受信部１８２と、受信情報を解析して通信文を抽出する
受信情報解析部１８３と、固定セッション鍵１８１を利
用して通信文を暗号化／復号する暗号化／復号部１８４
と、暗号化／復号された通信文を送信する送信部１８５
とから成る。
８０を説明する図であって、暗号化／復号を行うための
固定セッション鍵１８１と、受信情報を受信するための
受信部１８２と、受信情報を解析して通信文を抽出する
受信情報解析部１８３と、固定セッション鍵１８１を利
用して通信文を暗号化／復号する暗号化／復号部１８４
と、暗号化／復号された通信文を送信する送信部１８５
とから成る。
【０００４】図１２は、図１１に示す暗号ゲートウェイ
装置を利用した暗号通信システムを説明するための図で
あり、端末２１1 、２１2 、．．．、２１m から成るＡ
グループの端末に暗号ゲートウェイ装置１８０1 が外付
けされ、端末３１1 、３１2、．．．、３１n から成る
Ｂグループの端末に暗号ゲートウェイ装置１８０2 が外
付けされる。暗号ゲートウェイ装置１８０1 、１８０2
のセッション鍵は固定であるため、端末２１1 と端末３
１2 の暗号通信と、端末２１m と端末３１2 の暗号通信
とは共通のセッション鍵で暗号化される。さらに、例え
ば、端末２１2と端末３１1 との通信のように暗号化が
不要な通信を行う場合には、暗号ゲートウェイ装置１８
０1 と１８０2 とを介さない伝送路を用いて通信を行
う。
装置を利用した暗号通信システムを説明するための図で
あり、端末２１1 、２１2 、．．．、２１m から成るＡ
グループの端末に暗号ゲートウェイ装置１８０1 が外付
けされ、端末３１1 、３１2、．．．、３１n から成る
Ｂグループの端末に暗号ゲートウェイ装置１８０2 が外
付けされる。暗号ゲートウェイ装置１８０1 、１８０2
のセッション鍵は固定であるため、端末２１1 と端末３
１2 の暗号通信と、端末２１m と端末３１2 の暗号通信
とは共通のセッション鍵で暗号化される。さらに、例え
ば、端末２１2と端末３１1 との通信のように暗号化が
不要な通信を行う場合には、暗号ゲートウェイ装置１８
０1 と１８０2 とを介さない伝送路を用いて通信を行
う。
【０００５】
【発明が解決しようとする課題】図１０に示す従来の暗
号通信システムでは、暗号通信に先立って、一方の端末
上のＡＰが鍵配送センタからセッション鍵を取得し、こ
れを通信相手の端末に送信することが必要であって、端
末のＡＰ側の処理が煩雑である。
号通信システムでは、暗号通信に先立って、一方の端末
上のＡＰが鍵配送センタからセッション鍵を取得し、こ
れを通信相手の端末に送信することが必要であって、端
末のＡＰ側の処理が煩雑である。
【０００６】さらに、平文による端末間の通信を暗号通
信に対応するよう変更するためには、端末装置のハード
ウェア又はＡＰを個別に改造する必要があるが、通信シ
ステムにおける端末の種類とＡＰは膨大な数に及ぶの
で、改造の規模及び工数が大きく、従って開発費も大き
くなるという問題がある。
信に対応するよう変更するためには、端末装置のハード
ウェア又はＡＰを個別に改造する必要があるが、通信シ
ステムにおける端末の種類とＡＰは膨大な数に及ぶの
で、改造の規模及び工数が大きく、従って開発費も大き
くなるという問題がある。
【０００７】一方、従来の暗号ゲートウェイ装置を利用
する場合には、固定のセッション鍵により画一的に暗号
化又は復号がなされるため、通信相手先の端末が暗号通
信を行うか、或いは非暗号化通信を行うかに応じて暗号
通信のセッション鍵の変更等を行うことができない。
する場合には、固定のセッション鍵により画一的に暗号
化又は復号がなされるため、通信相手先の端末が暗号通
信を行うか、或いは非暗号化通信を行うかに応じて暗号
通信のセッション鍵の変更等を行うことができない。
【０００８】本発明は上記の従来の暗号通信システムの
問題点に鑑み、暗号通信と非暗号通信の選択と、暗号通
信における共有セッション鍵の選択を端末の組合せ毎又
はセッション毎に設定し、さらに、既存の端末装置のハ
ードウェア及びＡＰに影響を与えることなく暗号通信を
実現する暗号ゲートウェイ装置を提供することを目的と
する。
問題点に鑑み、暗号通信と非暗号通信の選択と、暗号通
信における共有セッション鍵の選択を端末の組合せ毎又
はセッション毎に設定し、さらに、既存の端末装置のハ
ードウェア及びＡＰに影響を与えることなく暗号通信を
実現する暗号ゲートウェイ装置を提供することを目的と
する。
【０００９】
【課題を解決するための手段】図１は本発明の原理構成
図である。本発明の暗号ゲートウェイ装置は、受信情報
を送信端末から受信し（１３）、該受信情報を暗号化又
は復号し、該暗号化又は復号された送信情報を受信端末
に送信して（１７）暗号通信を行う装置であって、送信
端末及び受信端末の識別情報と暗号化又は復号のための
セッション鍵の組を保持するセッション鍵テーブル（１
１）と、送信端末及び受信端末の識別情報とセッション
鍵をセッション鍵テーブルに登録するテーブル管理手段
（１２）と、受信情報から送信端末及び受信端末の識別
情報と、通信文を抽出する受信情報解析手段（１４）
と、抽出された識別情報を検索キーとしてセッション鍵
テーブルから該当するセッション鍵を検索するセッショ
ン鍵検索手段（１５）と、抽出された識別情報と該当す
るセッション鍵に応じて通信文を暗号化又は復号して送
信情報を作成する暗号化復号手段（１６）とから成り、
セッション鍵検索手段による検索の結果セッション鍵テ
ーブルに該当するセッション鍵が無い場合には通信文を
原文のまま送信する構成を特徴とする。
図である。本発明の暗号ゲートウェイ装置は、受信情報
を送信端末から受信し（１３）、該受信情報を暗号化又
は復号し、該暗号化又は復号された送信情報を受信端末
に送信して（１７）暗号通信を行う装置であって、送信
端末及び受信端末の識別情報と暗号化又は復号のための
セッション鍵の組を保持するセッション鍵テーブル（１
１）と、送信端末及び受信端末の識別情報とセッション
鍵をセッション鍵テーブルに登録するテーブル管理手段
（１２）と、受信情報から送信端末及び受信端末の識別
情報と、通信文を抽出する受信情報解析手段（１４）
と、抽出された識別情報を検索キーとしてセッション鍵
テーブルから該当するセッション鍵を検索するセッショ
ン鍵検索手段（１５）と、抽出された識別情報と該当す
るセッション鍵に応じて通信文を暗号化又は復号して送
信情報を作成する暗号化復号手段（１６）とから成り、
セッション鍵検索手段による検索の結果セッション鍵テ
ーブルに該当するセッション鍵が無い場合には通信文を
原文のまま送信する構成を特徴とする。
【００１０】
【作用】本発明の暗号ゲートウェイ装置は、送信端末と
受信端末の組合せ毎又はセッション毎に暗号化用セッシ
ョン鍵を選定してセッション鍵テーブルを構成し、送信
端末から受信した情報により送信元と送信先を識別し、
その識別結果をキーとしてセッション鍵テーブルを検索
してセッション鍵を得て送信情報の通信文を暗号化又は
復号し、セッション鍵が得られない場合には原文のまま
送信用通信文として受信端末に送信する。したがって、
送信端末から送られた通信文が暗号文と平文のいずれで
あっても受信することができる。さらに、セッション鍵
テーブルを用いることによりセッション鍵を送信端末と
受信端末の組合せ毎又はセッション毎に自由に設定でき
るので、既存の端末に接続する際に、既存の端末ハード
ウェア、及び、端末のＡＰを改造する必要がない。
受信端末の組合せ毎又はセッション毎に暗号化用セッシ
ョン鍵を選定してセッション鍵テーブルを構成し、送信
端末から受信した情報により送信元と送信先を識別し、
その識別結果をキーとしてセッション鍵テーブルを検索
してセッション鍵を得て送信情報の通信文を暗号化又は
復号し、セッション鍵が得られない場合には原文のまま
送信用通信文として受信端末に送信する。したがって、
送信端末から送られた通信文が暗号文と平文のいずれで
あっても受信することができる。さらに、セッション鍵
テーブルを用いることによりセッション鍵を送信端末と
受信端末の組合せ毎又はセッション毎に自由に設定でき
るので、既存の端末に接続する際に、既存の端末ハード
ウェア、及び、端末のＡＰを改造する必要がない。
【００１１】図２は本発明の暗号ゲートウェイ装置を利
用した暗号通信システムの概要を説明する図であり、伝
送路４０と、Ａグループの端末２１1 、．．．、２１m
と、Ｂグループの端末３１1 、．．．、３１n と、Ｃグ
ループの端末３２1 、．．．、３２l とから成る通信シ
ステムにおいて、Ａグループに暗号ゲートウェイ装置Ａ
を、Ｂグループに暗号ゲートウェイ装置Ｂをさらに設置
している。本発明の暗号ゲートウェイ装置により、暗号
化と復号が端末の識別情報に応じて判別され、即ち、暗
号ゲートウェイ装置が接続されている端末からの送信は
暗号化され、暗号ゲートウェイ装置が接続されている端
末への送信情報は復号される。さらに、セッション鍵テ
ーブルにセッション鍵が登録されていないセッションに
対する通信は、通信文の原文のまま、即ち、平文で通信
される。
用した暗号通信システムの概要を説明する図であり、伝
送路４０と、Ａグループの端末２１1 、．．．、２１m
と、Ｂグループの端末３１1 、．．．、３１n と、Ｃグ
ループの端末３２1 、．．．、３２l とから成る通信シ
ステムにおいて、Ａグループに暗号ゲートウェイ装置Ａ
を、Ｂグループに暗号ゲートウェイ装置Ｂをさらに設置
している。本発明の暗号ゲートウェイ装置により、暗号
化と復号が端末の識別情報に応じて判別され、即ち、暗
号ゲートウェイ装置が接続されている端末からの送信は
暗号化され、暗号ゲートウェイ装置が接続されている端
末への送信情報は復号される。さらに、セッション鍵テ
ーブルにセッション鍵が登録されていないセッションに
対する通信は、通信文の原文のまま、即ち、平文で通信
される。
【００１２】ここで、全ての端末が平文のみを送受信す
る端末とし、ＡグループとＢグループの間は暗号通信を
行ない、ＣグループとＡグループ及びＣグループとＢグ
ループとは非暗号通信を行うことを考える。まず最初
に、Ａグループの暗号ゲートウェイ装置Ａ２０のセッシ
ョン鍵テーブルに、Ａグループの端末２１1 、．．．、
２１m を送信元とし、Ｂグループの端末３
１1 、．．．、３１n を送信先とするセッションに対す
るセッション鍵を登録する。本発明の暗号ゲートウェイ
装置により、暗号ゲートウェイ装置が接続されている端
末からの送信は暗号化を行うので、暗号ゲートウェイ装
置Ａ２０は、Ａグループ内の端末からＢグループの端末
への送信情報を暗号化して伝送路４０に出力する。次
に、Ｂグループの暗号ゲートウェイ装置Ｂ３０のセッシ
ョン鍵デーブルにも同様に、Ａグループの端末２
１1 、．．．、２１m を送信元とし、Ｂグループの端末
３１1 、．．．、３１n を送信先とするセッションに対
するセッション鍵を登録する。本発明の暗号ゲートウェ
イ装置により、暗号ゲートウェイ装置が接続されている
端末への送信情報は復号するので、暗号ゲートウェイ装
置Ｂ３０は、Ａグループ内の端末からＢグループの端末
への送信情報を復号してＢグループ内の端末に出力す
る。以上により、Ａグループ内の端末からＢグループＢ
の端末への通信は、各グループ内では平文であって、暗
号ゲートウェイ装置を介した伝送路上の通信は暗号文と
することができる。尚、上記と同様にして、Ｂグループ
の端末３１1 、．．．、３１n を送信元とし、Ａグルー
プの端末２１1 、．．．、２１m を送信先とするセッシ
ョンに対するセッション鍵をＡグループの暗号ゲートウ
ェイ装置Ａ２０のセッション鍵デーブル及びＢグループ
の暗号ゲートウェイ装置Ｂ３０のセッション鍵デーブル
に登録することにより、Ｂグループ内の端末からＡグル
ープ内の端末への通信を暗号通信化できるようになる。
る端末とし、ＡグループとＢグループの間は暗号通信を
行ない、ＣグループとＡグループ及びＣグループとＢグ
ループとは非暗号通信を行うことを考える。まず最初
に、Ａグループの暗号ゲートウェイ装置Ａ２０のセッシ
ョン鍵テーブルに、Ａグループの端末２１1 、．．．、
２１m を送信元とし、Ｂグループの端末３
１1 、．．．、３１n を送信先とするセッションに対す
るセッション鍵を登録する。本発明の暗号ゲートウェイ
装置により、暗号ゲートウェイ装置が接続されている端
末からの送信は暗号化を行うので、暗号ゲートウェイ装
置Ａ２０は、Ａグループ内の端末からＢグループの端末
への送信情報を暗号化して伝送路４０に出力する。次
に、Ｂグループの暗号ゲートウェイ装置Ｂ３０のセッシ
ョン鍵デーブルにも同様に、Ａグループの端末２
１1 、．．．、２１m を送信元とし、Ｂグループの端末
３１1 、．．．、３１n を送信先とするセッションに対
するセッション鍵を登録する。本発明の暗号ゲートウェ
イ装置により、暗号ゲートウェイ装置が接続されている
端末への送信情報は復号するので、暗号ゲートウェイ装
置Ｂ３０は、Ａグループ内の端末からＢグループの端末
への送信情報を復号してＢグループ内の端末に出力す
る。以上により、Ａグループ内の端末からＢグループＢ
の端末への通信は、各グループ内では平文であって、暗
号ゲートウェイ装置を介した伝送路上の通信は暗号文と
することができる。尚、上記と同様にして、Ｂグループ
の端末３１1 、．．．、３１n を送信元とし、Ａグルー
プの端末２１1 、．．．、２１m を送信先とするセッシ
ョンに対するセッション鍵をＡグループの暗号ゲートウ
ェイ装置Ａ２０のセッション鍵デーブル及びＢグループ
の暗号ゲートウェイ装置Ｂ３０のセッション鍵デーブル
に登録することにより、Ｂグループ内の端末からＡグル
ープ内の端末への通信を暗号通信化できるようになる。
【００１３】一方、Ａグループの暗号ゲートウェイ装置
Ａ２０のセッション鍵デーブル及びＢグループの暗号ゲ
ートウェイ装置Ｂ３０のセッション鍵デーブルには、Ｃ
グループの端末とにより形成するセッションの登録は行
わない。本発明の暗号ゲートウェイ装置により、セッシ
ョン鍵テーブルにセッション鍵が登録されていないセッ
ションに対しては、平文のまま通信するので、Ａグルー
プとＣグループとの通信及びＢグループとＣグループと
の通信は、平文で行われる。
Ａ２０のセッション鍵デーブル及びＢグループの暗号ゲ
ートウェイ装置Ｂ３０のセッション鍵デーブルには、Ｃ
グループの端末とにより形成するセッションの登録は行
わない。本発明の暗号ゲートウェイ装置により、セッシ
ョン鍵テーブルにセッション鍵が登録されていないセッ
ションに対しては、平文のまま通信するので、Ａグルー
プとＣグループとの通信及びＢグループとＣグループと
の通信は、平文で行われる。
【００１４】次に、端末２１1 、２１m 、３１2 は、暗
号文のみを送受信する端末とし、端末２１2 、３１1 、
３１n を平文のみを送受信する端末として、本発明の暗
号ゲートウェイ装置を説明する。ここで、暗号ゲートウ
ェイ装置Ａ２０のセッション鍵テーブルには、送信元が
端末２１2 であって、送信先がＢグループ内の各端末３
１1 、．．．、３１n であるセッションと、送信元がＢ
グループＢの各端末３１1 、．．．、３１n であり、送
信先が端末２１2 であるセッションに対してセッション
鍵を登録する。これにより、端末２１2 からの通信文は
暗号ゲートウェイ装置Ａ２０により暗号化され、端末２
１1 、２１m からの通信文は原文、即ち暗号文のまま通
過される。したがって、送信元の端末に係わらず、暗号
ゲートウェイ装置Ａ２０は、伝送路４０に暗号文を送出
する。さらに、暗号ゲートウェイ装置Ｂ３０のセッショ
ン鍵テーブルも同様に設定することにより、暗号ゲート
ウェイ装置Ｂ３０から伝送路４０に送出される通信文
は、すべて暗号文とすることができる。したがって、伝
送路４０上の通信文はすべて暗号文である。上記の通
り、伝送路４０を介してグループＢの端末から暗号ゲー
トウェイ装置Ａ２０が受信する受信情報は、すべて暗号
文である。ここで、暗号ゲートウェイ装置Ａ２０は、セ
ッション鍵テーブルに登録された送信先が端末２１2 で
あるセッションに対する通信文を対応するセッション鍵
を用いて復号、即ち平文に変換して端末２１2 に送出す
る。また、送信先が端末２１2 以外のセッションに対す
るセッション鍵はセッション鍵テーブルに登録されてい
ないので、暗号ゲートウェイ装置Ａ２０は、送信先が端
末２１2 以外の通信文は、原文、即ち暗号文のまま送信
先に送出する。
号文のみを送受信する端末とし、端末２１2 、３１1 、
３１n を平文のみを送受信する端末として、本発明の暗
号ゲートウェイ装置を説明する。ここで、暗号ゲートウ
ェイ装置Ａ２０のセッション鍵テーブルには、送信元が
端末２１2 であって、送信先がＢグループ内の各端末３
１1 、．．．、３１n であるセッションと、送信元がＢ
グループＢの各端末３１1 、．．．、３１n であり、送
信先が端末２１2 であるセッションに対してセッション
鍵を登録する。これにより、端末２１2 からの通信文は
暗号ゲートウェイ装置Ａ２０により暗号化され、端末２
１1 、２１m からの通信文は原文、即ち暗号文のまま通
過される。したがって、送信元の端末に係わらず、暗号
ゲートウェイ装置Ａ２０は、伝送路４０に暗号文を送出
する。さらに、暗号ゲートウェイ装置Ｂ３０のセッショ
ン鍵テーブルも同様に設定することにより、暗号ゲート
ウェイ装置Ｂ３０から伝送路４０に送出される通信文
は、すべて暗号文とすることができる。したがって、伝
送路４０上の通信文はすべて暗号文である。上記の通
り、伝送路４０を介してグループＢの端末から暗号ゲー
トウェイ装置Ａ２０が受信する受信情報は、すべて暗号
文である。ここで、暗号ゲートウェイ装置Ａ２０は、セ
ッション鍵テーブルに登録された送信先が端末２１2 で
あるセッションに対する通信文を対応するセッション鍵
を用いて復号、即ち平文に変換して端末２１2 に送出す
る。また、送信先が端末２１2 以外のセッションに対す
るセッション鍵はセッション鍵テーブルに登録されてい
ないので、暗号ゲートウェイ装置Ａ２０は、送信先が端
末２１2 以外の通信文は、原文、即ち暗号文のまま送信
先に送出する。
【００１５】
【実施例】以下、コネクション型のプロトコルを利用し
てネットワークを介して通信を行うＴＣＰ／ＩＰ・ＬＡ
Ｎ環境を例として、本発明の一実施例による暗号ゲート
ウェイ装置の説明を行う。
てネットワークを介して通信を行うＴＣＰ／ＩＰ・ＬＡ
Ｎ環境を例として、本発明の一実施例による暗号ゲート
ウェイ装置の説明を行う。
【００１６】図３は本発明の一実施例の暗号ゲートウェ
イ装置による暗号通信システムの構成図であり、暗号ゲ
ートウェイ装置１１０と、端末ｉ１３０と、端末ｊ１４
０と、ネットワーク１２０から成る。端末ｉ１３０と端
末ｊ１４０とが、セッションを確立してネットワーク１
２０を介して通信を行う。ここで、端末ｉ１３０と暗号
ゲートウェイ装置１１０は、ネットワーク１２０を介し
て暗号文による通信を行ない、端末ｊ１４０と暗号ゲー
トウェイ装置１１０は、平文による通信を行うものとす
る。
イ装置による暗号通信システムの構成図であり、暗号ゲ
ートウェイ装置１１０と、端末ｉ１３０と、端末ｊ１４
０と、ネットワーク１２０から成る。端末ｉ１３０と端
末ｊ１４０とが、セッションを確立してネットワーク１
２０を介して通信を行う。ここで、端末ｉ１３０と暗号
ゲートウェイ装置１１０は、ネットワーク１２０を介し
て暗号文による通信を行ない、端末ｊ１４０と暗号ゲー
トウェイ装置１１０は、平文による通信を行うものとす
る。
【００１７】暗号ゲートウェイ装置１１０は、セッショ
ン識別子とセッション鍵の組を保持するセッション鍵テ
ーブル１１１と、セッション鍵テーブル１１１にセッシ
ョン鍵を登録するテーブル管理部１１２と、情報を受信
する受信部１１３と、受信された情報を解析するパケッ
ト解析部１１４と、解析された受信情報に含まれるセッ
ション識別子に対応するセッション鍵をセッション鍵テ
ーブル１１１から検索するセッション鍵検索部１１５
と、解析された受信情報中の通信文を暗号文又は平文に
変換する暗号化／復号部１１６と、暗号化／復号部１１
６で変換された通信文又はパケット解析部１１４からの
原文のままの通信文を送信する送信部１１７とから成
る。
ン識別子とセッション鍵の組を保持するセッション鍵テ
ーブル１１１と、セッション鍵テーブル１１１にセッシ
ョン鍵を登録するテーブル管理部１１２と、情報を受信
する受信部１１３と、受信された情報を解析するパケッ
ト解析部１１４と、解析された受信情報に含まれるセッ
ション識別子に対応するセッション鍵をセッション鍵テ
ーブル１１１から検索するセッション鍵検索部１１５
と、解析された受信情報中の通信文を暗号文又は平文に
変換する暗号化／復号部１１６と、暗号化／復号部１１
６で変換された通信文又はパケット解析部１１４からの
原文のままの通信文を送信する送信部１１７とから成
る。
【００１８】図４は、本発明の一実施例によるセッショ
ン鍵テーブル１１１を示し、セッションを識別するため
のセッション識別子とそのセッション固有のセッション
鍵とを保持する。セッション識別子は、送信元及び送信
先のネットワーク内でのアドレスを示すための情報であ
って、送信元のＩＰアドレスとポート番号、及び送信先
のＩＰアドレスとポート番号とにより構成される。
ン鍵テーブル１１１を示し、セッションを識別するため
のセッション識別子とそのセッション固有のセッション
鍵とを保持する。セッション識別子は、送信元及び送信
先のネットワーク内でのアドレスを示すための情報であ
って、送信元のＩＰアドレスとポート番号、及び送信先
のＩＰアドレスとポート番号とにより構成される。
【００１９】暗号通信を開始する前に、テーブル管理部
１１２が、ＣＲＴ／ＫＢ等の入出力装置、ディスケッ
ト、又はネットワーク等を介して入力されたセッション
識別子とセッション鍵とをセッション鍵テーブル１１１
に登録する。
１１２が、ＣＲＴ／ＫＢ等の入出力装置、ディスケッ
ト、又はネットワーク等を介して入力されたセッション
識別子とセッション鍵とをセッション鍵テーブル１１１
に登録する。
【００２０】セッション鍵テーブル１１１に登録された
セッション識別子を用いて各セッションを一意に識別す
ることができるので、セッション鍵検索部１１５はこの
セッション識別子を検索キーとしてセッション鍵を検索
することができる。
セッション識別子を用いて各セッションを一意に識別す
ることができるので、セッション鍵検索部１１５はこの
セッション識別子を検索キーとしてセッション鍵を検索
することができる。
【００２１】図５は、本発明の一実施例によるＴＣＰ／
ＩＰ・ＬＡＮで使用するＯＳＩの参照モデルに準拠した
プロトコルであって、データリンクレイヤがＭＡＣ（Me
diaAccess Control）プロトコル、ネットワークレイヤ
がＩＰ（Internet Protocol）、トランスポートレイヤ
がＴＣＰ（Transmit Control Protocol ）で実現され、
ＡＰ（アプリケーションプログラム）は、ＴＣＰレイヤ
間でセッションを確立する。本発明の一実施例におい
て、ＡＰの通信文（ＡＰデータ）に暗号をかけることに
より、ＩＰルータを介したネットワークを使用した通信
が可能である。
ＩＰ・ＬＡＮで使用するＯＳＩの参照モデルに準拠した
プロトコルであって、データリンクレイヤがＭＡＣ（Me
diaAccess Control）プロトコル、ネットワークレイヤ
がＩＰ（Internet Protocol）、トランスポートレイヤ
がＴＣＰ（Transmit Control Protocol ）で実現され、
ＡＰ（アプリケーションプログラム）は、ＴＣＰレイヤ
間でセッションを確立する。本発明の一実施例におい
て、ＡＰの通信文（ＡＰデータ）に暗号をかけることに
より、ＩＰルータを介したネットワークを使用した通信
が可能である。
【００２２】図６は、本発明の一実施例においてＴＣＰ
／ＩＰ・ＬＡＮに接続された２台の端末間で通信する際
に使用されるパケットのフォーマットを示す図である。
パケットは、ＭＡＣヘッダ（ＭＡＣ＿Ｈ）と、ＩＰヘッ
ダ（ＩＰ＿Ｈ）と、ＴＣＰヘッダ（ＴＣＰ＿Ｈ）から構
成されるヘッダと、ＡＰデータ及びパケット全体のフレ
ーム・チェック・シーケンス（ＦＣＳ）から構成され
る。ＡＰデータが暗号化又は復号されて暗号通信が行わ
れる。
／ＩＰ・ＬＡＮに接続された２台の端末間で通信する際
に使用されるパケットのフォーマットを示す図である。
パケットは、ＭＡＣヘッダ（ＭＡＣ＿Ｈ）と、ＩＰヘッ
ダ（ＩＰ＿Ｈ）と、ＴＣＰヘッダ（ＴＣＰ＿Ｈ）から構
成されるヘッダと、ＡＰデータ及びパケット全体のフレ
ーム・チェック・シーケンス（ＦＣＳ）から構成され
る。ＡＰデータが暗号化又は復号されて暗号通信が行わ
れる。
【００２３】図７は、本発明の一実施例によるＩＰヘッ
ダのフォーマットを示す図であって、ＩＰヘッダの長さ
（単位は４オクテット）を示すＩＨＬ（インターネット
・ヘッダ長）と、ＩＰヘッダとＩＰデータ（両者を合わ
せてＩＰデータグラムという）を加えたオクテット長を
示すＴＬ（全長）と、上位層として利用されるプロトコ
ル（本発明の一実施例ではＴＣＰプロトコルであって、
値は’６’）を示すＰＲＯＴ（プロトコル）と、送信元
ＩＰアドレスを示すＳＲＣ＿ＡＤＲＳ（ソース・アドレ
ス）と、送信先ＩＰアドレスを示すＤＳＴ＿ＡＤＲＳ
（デスティネーション・アドレス）とより成る。尚、図
中に’−’で示された上記以外のＩＰヘッダの項目につ
いては説明を省略するが、ＩＰヘッダの詳細は、「道
下、本間：異機種接続とＴＣＰ／ＩＰ絵とき読本、オー
ム社」に記載されている。
ダのフォーマットを示す図であって、ＩＰヘッダの長さ
（単位は４オクテット）を示すＩＨＬ（インターネット
・ヘッダ長）と、ＩＰヘッダとＩＰデータ（両者を合わ
せてＩＰデータグラムという）を加えたオクテット長を
示すＴＬ（全長）と、上位層として利用されるプロトコ
ル（本発明の一実施例ではＴＣＰプロトコルであって、
値は’６’）を示すＰＲＯＴ（プロトコル）と、送信元
ＩＰアドレスを示すＳＲＣ＿ＡＤＲＳ（ソース・アドレ
ス）と、送信先ＩＰアドレスを示すＤＳＴ＿ＡＤＲＳ
（デスティネーション・アドレス）とより成る。尚、図
中に’−’で示された上記以外のＩＰヘッダの項目につ
いては説明を省略するが、ＩＰヘッダの詳細は、「道
下、本間：異機種接続とＴＣＰ／ＩＰ絵とき読本、オー
ム社」に記載されている。
【００２４】パケット解析部１１４は、ＩＨＬにより上
位プロトコル（本発明の一実施例ではＴＣＰプロトコ
ル）のヘッダ開始位置を識別する。暗号化／復号部１１
６は、ＴＬによりＡＰデータの末尾、即ち暗号化／復号
処理の終了位置を識別する。
位プロトコル（本発明の一実施例ではＴＣＰプロトコ
ル）のヘッダ開始位置を識別する。暗号化／復号部１１
６は、ＴＬによりＡＰデータの末尾、即ち暗号化／復号
処理の終了位置を識別する。
【００２５】図８は、本発明の一実施例によるＴＣＰヘ
ッダのフォーマットを示す図であって、送信元のポート
番号を表すＳＲＣ＿ＰＯＲＴ（ソース・ポート）と、送
信先のポート番号を表すＤＳＴ＿ＰＯＲＴ（デスティネ
ーション・ポート）と、ＴＣＰヘッダ長（単位は４オク
テット）を示すＤＯ（データ・オフセット）から成る。
暗号化／復号部１１６は、ＤＯの値によりＡＰデータの
開始位置、即ち暗号化／復号処理の開始位置を識別す
る。
ッダのフォーマットを示す図であって、送信元のポート
番号を表すＳＲＣ＿ＰＯＲＴ（ソース・ポート）と、送
信先のポート番号を表すＤＳＴ＿ＰＯＲＴ（デスティネ
ーション・ポート）と、ＴＣＰヘッダ長（単位は４オク
テット）を示すＤＯ（データ・オフセット）から成る。
暗号化／復号部１１６は、ＤＯの値によりＡＰデータの
開始位置、即ち暗号化／復号処理の開始位置を識別す
る。
【００２６】以下では、図３に示すシステムにおいて、
受信されたパケットに応じて、端末ｉ１３０から端末ｊ
１４０へのＡＰデータは復号し、端末ｊ１４０から端末
ｉ１３０へのＡＰデータは暗号化し、端末ｊ１４０が送
信元又は送信先に指定された上記以外のＡＰデータは通
過（非暗号化）し、その他のパケットは無視するように
実現された本発明の暗号ゲートウェイ装置１１０の一実
施例を詳細に説明する。
受信されたパケットに応じて、端末ｉ１３０から端末ｊ
１４０へのＡＰデータは復号し、端末ｊ１４０から端末
ｉ１３０へのＡＰデータは暗号化し、端末ｊ１４０が送
信元又は送信先に指定された上記以外のＡＰデータは通
過（非暗号化）し、その他のパケットは無視するように
実現された本発明の暗号ゲートウェイ装置１１０の一実
施例を詳細に説明する。
【００２７】図９は、本発明の一実施例による暗号ゲー
トウェイ装置１１０の暗号化／復号処理を説明するフロ
ーチャートである。
トウェイ装置１１０の暗号化／復号処理を説明するフロ
ーチャートである。
【００２８】ステップ１００）受信部１１３は、端末ｉ
１３０と端末ｊ１４０との間で通信されるパケットを受
信し、受信パケットをパケット解析部１１４に送出す
る。
１３０と端末ｊ１４０との間で通信されるパケットを受
信し、受信パケットをパケット解析部１１４に送出す
る。
【００２９】ステップ１１０）パケット解析部１１４
は、受信部１１３より受信パケットを受信し、受信パケ
ットのＭＡＣヘッダからＴＹＰＥ（タイプ）を取り出
し、上位プロトコルがＩＰ（値は０ｘ０８００）で無い
場合には、受信パケットを送信パケットとして送信部１
１７に転送し、ステップ２７０に進む（非暗号通信とな
る）。
は、受信部１１３より受信パケットを受信し、受信パケ
ットのＭＡＣヘッダからＴＹＰＥ（タイプ）を取り出
し、上位プロトコルがＩＰ（値は０ｘ０８００）で無い
場合には、受信パケットを送信パケットとして送信部１
１７に転送し、ステップ２７０に進む（非暗号通信とな
る）。
【００３０】ステップ１２０）パケット解析部１１４
は、受信パケットのＩＰヘッダからＰＲＯＴ（プロトコ
ル）を取り出し、上位プロトコルがＴＣＰ（値は６）で
ない場合には、受信パケットを送信パケットとして送信
部１１７に転送し、ステップ２７０に進む（非暗号通信
となる）。
は、受信パケットのＩＰヘッダからＰＲＯＴ（プロトコ
ル）を取り出し、上位プロトコルがＴＣＰ（値は６）で
ない場合には、受信パケットを送信パケットとして送信
部１１７に転送し、ステップ２７０に進む（非暗号通信
となる）。
【００３１】ステップ１３０）パケット解析部１１４
は、受信パケットのＩＰヘッダからＴＬ（全長）を取り
出し、この値からＩＰデータグラム（ＩＰヘッダ、ＴＣ
Ｐヘッダ、及びＡＰデータ）を取得する。
は、受信パケットのＩＰヘッダからＴＬ（全長）を取り
出し、この値からＩＰデータグラム（ＩＰヘッダ、ＴＣ
Ｐヘッダ、及びＡＰデータ）を取得する。
【００３２】ステップ１４０）パケット解析部１１４
は、受信パケットのＩＰヘッダからＩＨＬ（インターネ
ット・ヘッダ長）を取り出し、この値に基づいて、ＩＰ
データグラムからＩＰヘッダとＩＰデータ（ＴＣＰヘッ
ダとＡＰデータ）とを分離する。
は、受信パケットのＩＰヘッダからＩＨＬ（インターネ
ット・ヘッダ長）を取り出し、この値に基づいて、ＩＰ
データグラムからＩＰヘッダとＩＰデータ（ＴＣＰヘッ
ダとＡＰデータ）とを分離する。
【００３３】ステップ１５０）パケット解析部１１４
は、ＴＣＰヘッダからＤＯ（データ・オフセット）を取
り出し、この値に基づいて、ＩＰデータからＡＰデータ
を分離する。
は、ＴＣＰヘッダからＤＯ（データ・オフセット）を取
り出し、この値に基づいて、ＩＰデータからＡＰデータ
を分離する。
【００３４】ステップ１６０）パケット解析部１１４
は、ＩＰヘッダからＳＲＣ＿ＡＤＲＳ（ソース・アドレ
ス）及びＤＳＴ＿ＡＤＲＳ（デスティネーション・アド
レス）を取得する。
は、ＩＰヘッダからＳＲＣ＿ＡＤＲＳ（ソース・アドレ
ス）及びＤＳＴ＿ＡＤＲＳ（デスティネーション・アド
レス）を取得する。
【００３５】ステップ１７０）パケット解析部１１４
は、ＴＣＰヘッダからＳＲＣ＿ＰＯＲＴ（ソース・ポー
ト）及びＤＳＴ＿ＰＯＲＴ（デスティネーション・ポー
ト）を取得する。
は、ＴＣＰヘッダからＳＲＣ＿ＰＯＲＴ（ソース・ポー
ト）及びＤＳＴ＿ＰＯＲＴ（デスティネーション・ポー
ト）を取得する。
【００３６】ステップ１８０）セッション鍵検索部１１
５は、セッション識別子、即ち、ＳＲＣ＿ＡＤＲＳと、
ＤＳＴ＿ＡＤＲＳと、ＳＲＣ＿ＰＯＲＴと、及びＤＳＴ
＿ＰＯＲＴをパケット解析部１１４より入力し、入力し
たセッション識別子をキーとしてセッション鍵テーブル
１１１を検索する。
５は、セッション識別子、即ち、ＳＲＣ＿ＡＤＲＳと、
ＤＳＴ＿ＡＤＲＳと、ＳＲＣ＿ＰＯＲＴと、及びＤＳＴ
＿ＰＯＲＴをパケット解析部１１４より入力し、入力し
たセッション識別子をキーとしてセッション鍵テーブル
１１１を検索する。
【００３７】ステップ１９０）セッション鍵検索部１１
５は、セッション鍵テーブル１１１に上記セッション識
別子が登録されていない場合には、パケット解析部１１
４の受信パケットを送信パケットとして送信部１１７に
転送し、ステップ２７０に進む（非暗号通信となる）。
５は、セッション鍵テーブル１１１に上記セッション識
別子が登録されていない場合には、パケット解析部１１
４の受信パケットを送信パケットとして送信部１１７に
転送し、ステップ２７０に進む（非暗号通信となる）。
【００３８】ステップ２００）セッション鍵検索部１１
５は、セッション鍵テーブル１１１から検索されたセッ
ション鍵Ｋs を取得する。
５は、セッション鍵テーブル１１１から検索されたセッ
ション鍵Ｋs を取得する。
【００３９】ステップ２１０）暗号化／復号部１１４
は、パケット解析部１１４の受信パケット、セッション
識別子及びＡＰデータと、セッション鍵検索部のセッシ
ョン鍵ＫS と、さらに、暗号ゲートウェイ装置１１０が
接続されている端末ｊ１４０のＩＰアドレス（ＩＰj ）
を取得する。
は、パケット解析部１１４の受信パケット、セッション
識別子及びＡＰデータと、セッション鍵検索部のセッシ
ョン鍵ＫS と、さらに、暗号ゲートウェイ装置１１０が
接続されている端末ｊ１４０のＩＰアドレス（ＩＰj ）
を取得する。
【００４０】ステップ２２０）暗号化／復号部１１４
は、上記ＩＰj とセッション識別子中のＳＲＣ＿ＡＤＲ
Ｓとを比較して、当該受信パケットの送信方向、即ち、
暗号化と復号のいずれであるかを特定する。ＩＰj とＳ
ＲＣ＿ＡＤＲＳが一致する場合、ステップ２５０に進
む。
は、上記ＩＰj とセッション識別子中のＳＲＣ＿ＡＤＲ
Ｓとを比較して、当該受信パケットの送信方向、即ち、
暗号化と復号のいずれであるかを特定する。ＩＰj とＳ
ＲＣ＿ＡＤＲＳが一致する場合、ステップ２５０に進
む。
【００４１】ステップ２３０）暗号化／復号部１１４
は、上記ＩＰj とセッション識別子中のＤＳＴ＿ＡＤＲ
Ｓとを比較して、当該パケットの送信方向、即ち、暗号
化と復号のいずれであるかを特定する。ＩＰj とＤＳＴ
＿ＡＤＲＳが一致する場合、ステップ２６０に進む。
は、上記ＩＰj とセッション識別子中のＤＳＴ＿ＡＤＲ
Ｓとを比較して、当該パケットの送信方向、即ち、暗号
化と復号のいずれであるかを特定する。ＩＰj とＤＳＴ
＿ＡＤＲＳが一致する場合、ステップ２６０に進む。
【００４２】ステップ２４０）当該受信パケットは、暗
号ゲートウェイ装置に接続される端末ｊ１４０とは無関
係であるため、暗号化／復号部１１４は、当該受信パケ
ットを破棄し、パケット受信に伴う一連動作を終了す
る。
号ゲートウェイ装置に接続される端末ｊ１４０とは無関
係であるため、暗号化／復号部１１４は、当該受信パケ
ットを破棄し、パケット受信に伴う一連動作を終了す
る。
【００４３】ステップ２５０）暗号化／復号部３６は、
ＡＰデータをセッション鍵Ｋs を用いて暗号化し、ＡＰ
データが暗号化された送信パケットを作成し、送信部１
１７に転送し（端末ｊ１４０から端末ｉ１３０への暗号
化通信）、ステップ２７０に進む。
ＡＰデータをセッション鍵Ｋs を用いて暗号化し、ＡＰ
データが暗号化された送信パケットを作成し、送信部１
１７に転送し（端末ｊ１４０から端末ｉ１３０への暗号
化通信）、ステップ２７０に進む。
【００４４】ステップ２６０）暗号化／復号部３６は、
ＡＰデータをセッション鍵Ｋs を用いて復号し、ＡＰデ
ータが復号された送信パケットを作成し（端末ｉ１３０
から端末ｊ１４０への復号通信）、送信部１１７に転送
する。
ＡＰデータをセッション鍵Ｋs を用いて復号し、ＡＰデ
ータが復号された送信パケットを作成し（端末ｉ１３０
から端末ｊ１４０への復号通信）、送信部１１７に転送
する。
【００４５】ステップ２７０）送信部１１７は、送信パ
ケットを端末ｉ１３０又は端末ｊ１４０に送信し、パケ
ット受信に伴う一連動作を終了する。
ケットを端末ｉ１３０又は端末ｊ１４０に送信し、パケ
ット受信に伴う一連動作を終了する。
【００４６】尚、上記本発明の一実施例による説明では
受信パケット及び送信パケットを各部の間で転送するも
のとして説明しているが、受信パケット及び送信パケッ
トをバッファに格納し、格納されるアドレスを転送する
等、受信パケット及び送信パケットのデータを各部が相
互にアクセスできる方法であれば本発明の一実施例に制
限されることはない。
受信パケット及び送信パケットを各部の間で転送するも
のとして説明しているが、受信パケット及び送信パケッ
トをバッファに格納し、格納されるアドレスを転送する
等、受信パケット及び送信パケットのデータを各部が相
互にアクセスできる方法であれば本発明の一実施例に制
限されることはない。
【００４７】
【発明の効果】以上説明したように、本発明による暗号
ゲートウェイ装置をフロントエンドプロセッサとして端
末に接続して、端末間で通信されるパケット等の情報を
受信し、情報の送信元と送信先とに応じて、暗号化、復
号、又は非暗号化（通過）した情報を送信することによ
り、既存のＡＰや端末のハードウェアを改造することな
く低コストで暗号通信システムを実現することができ
る。
ゲートウェイ装置をフロントエンドプロセッサとして端
末に接続して、端末間で通信されるパケット等の情報を
受信し、情報の送信元と送信先とに応じて、暗号化、復
号、又は非暗号化（通過）した情報を送信することによ
り、既存のＡＰや端末のハードウェアを改造することな
く低コストで暗号通信システムを実現することができ
る。
【００４８】さらに、本発明の暗号ゲートウェイ装置に
より、各端末間の通信を（暗号文又は平文、及び、同一
グループ内又はグループ間を問わず）一切変更すること
無く、暗号ゲートウェイ装置を設置したグループ間の通
信文をすべて暗号化し、暗号ゲートウェイ装置を設置し
ないグループとの通信は平文のまま行うことができる。
より、各端末間の通信を（暗号文又は平文、及び、同一
グループ内又はグループ間を問わず）一切変更すること
無く、暗号ゲートウェイ装置を設置したグループ間の通
信文をすべて暗号化し、暗号ゲートウェイ装置を設置し
ないグループとの通信は平文のまま行うことができる。
【図１】本発明の原理構成図である。
【図２】本発明の暗号ゲートウェイ装置を利用した暗号
通信システムの概要を説明する図である。
通信システムの概要を説明する図である。
【図３】本発明の一実施例によるシステム構成図であ
る。
る。
【図４】本発明の一実施例によるセッション鍵テーブル
を説明する図である。
を説明する図である。
【図５】本発明の一実施例によるＴＣＰ／ＩＰ・ＬＡＮ
のプロトコルを説明する図である。
のプロトコルを説明する図である。
【図６】本発明の一実施例によるパケット・フォーマッ
トを説明する図である。
トを説明する図である。
【図７】本発明の一実施例によるＩＰヘッダのフォーマ
ットを説明する図である。
ットを説明する図である。
【図８】本発明の一実施例によるＴＣＰヘッダのフォー
マットを説明する図である。
マットを説明する図である。
【図９】本発明の一実施例による暗号化／復号処理のフ
ローチャートである。
ローチャートである。
【図１０】従来技術を説明する図（その１）である。
【図１１】従来技術を説明する図（その２）である。
【図１２】従来技術による暗号通信システムを説明する
図である。
図である。
１０、２０、３０、１１０ 暗号ゲートウェイ装置 １１、１１１ セッション鍵テーブル １２ テーブル管理手段 １３ 受信手段 １４ 受信情報解析手段 １５ セッション鍵検索手段 １６ 暗号化／復号手段 １７ 送信手段 ２１1 、．、２１m 、３１1 、．、３１n 、３
２1 、．、３２l 端末 ４０、４２ 伝送路 １１２ テーブル管理部 １１３、１８２ 受信部 １１４ パケット解析部 １１５ セッション鍵検索部 １１６、１８４ 暗号化／復号部 １１７、１８５ 送信部 １２０ ネットワーク １３０ 端末ｉ １３２、１４２ アプリケーションプログラム １４０ 端末ｊ １６０ 鍵配送センタ １６２ セッション鍵 １８０、１８０1 、１８０2 暗号ゲートウェイ装置 １８１ 固定セッション鍵 １８３ 受信情報解析部
２1 、．、３２l 端末 ４０、４２ 伝送路 １１２ テーブル管理部 １１３、１８２ 受信部 １１４ パケット解析部 １１５ セッション鍵検索部 １１６、１８４ 暗号化／復号部 １１７、１８５ 送信部 １２０ ネットワーク １３０ 端末ｉ １３２、１４２ アプリケーションプログラム １４０ 端末ｊ １６０ 鍵配送センタ １６２ セッション鍵 １８０、１８０1 、１８０2 暗号ゲートウェイ装置 １８１ 固定セッション鍵 １８３ 受信情報解析部
フロントページの続き (56)参考文献 特開 昭63−274242（ＪＰ，Ａ) 特開 平４−179326（ＪＰ，Ａ) 山口利和，田中清人，田辺克弘，小柳 津育郎，ＬＡＮの暗号通信における一方 式，電子情報通信学会技術研究報告（Ｏ ＦＳ93−32），日本，社団法人電子情報 通信学会，1994年 １月21日，Ｖｏｌ. 93，Ｎｏ．435，ｐ．13−18 山口利和，田中清人，田辺克弘，小柳 津育郎，ＬＡＮ暗号通信方式の実装と評 価，電子情報通信学会技術研究報告（Ｏ ＦＳ93−38），日本，社団法人電子情報 通信学会，1994年 ３月11日，Ｖｏｌ. 93，Ｎｏ．508，ｐ．７−12 山口利和，田中清人，田辺克弘，小柳 津育郎，ＬＡＮセキュリティ通信技術− ＴＣＰレイヤにおける通信データの暗号 化−，ＮＴＴ Ｒ＆Ｄ，日本，社団法人 電気通信協会，1995年 ７月 ８日，Ｖ ｏｌ．44，Ｎｏ．９，ｐｐ．653−660 (58)調査した分野(Int.Cl.7，ＤＢ名) H04L 9/08 H04L 29/00
Claims (1)
- 【請求項１】 受信情報を送信端末から受信し、該受信
情報を暗号化又は復号し、該暗号化又は復号された送信
情報を受信端末に送信する暗号ゲートウェイ装置におい
て、 送信端末及び受信端末の識別情報と該暗号化又は復号の
ためのセッション鍵の組を保持するセッション鍵テーブ
ルと、 前記送信端末及び受信端末の識別情報と該セッション鍵
を該セッション鍵テーブルに登録するテーブル管理手段
と、 前記受信情報から前記送信端末及び受信端末の識別情報
と、通信文を抽出する受信情報解析手段と、 該抽出された識別情報を検索キーとして前記セッション
鍵テーブルから該当するセッション鍵を検索するセッシ
ョン鍵検索手段と、 前記抽出された識別情報と前記該当するセッション鍵に
応じて該通信文を暗号化又は復号して送信情報を作成す
る暗号化復号手段とから成り、 上記セッション鍵検索手段による検索の結果前記セッシ
ョン鍵テーブルに該当するセッション鍵が無い場合には
前記通信文を原文のまま送信する構成としたことを特徴
とする暗号ゲートウェイ装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP25085093A JP3263877B2 (ja) | 1993-10-06 | 1993-10-06 | 暗号ゲートウェイ装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP25085093A JP3263877B2 (ja) | 1993-10-06 | 1993-10-06 | 暗号ゲートウェイ装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH07107082A JPH07107082A (ja) | 1995-04-21 |
| JP3263877B2 true JP3263877B2 (ja) | 2002-03-11 |
Family
ID=17213939
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP25085093A Expired - Lifetime JP3263877B2 (ja) | 1993-10-06 | 1993-10-06 | 暗号ゲートウェイ装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3263877B2 (ja) |
Families Citing this family (19)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6373952B2 (en) | 1996-03-15 | 2002-04-16 | Sony Corporation | Data transmitting apparatus, data transmitting method, data receiving apparatus, data receiving method, data transmission apparatus, and data transmission method |
| FI112419B (fi) * | 1996-06-06 | 2003-11-28 | Nokia Corp | Menetelmä tiedonsiirron salaamiseksi |
| JP3492865B2 (ja) * | 1996-10-16 | 2004-02-03 | 株式会社東芝 | 移動計算機装置及びパケット暗号化認証方法 |
| JPH10301492A (ja) | 1997-04-23 | 1998-11-13 | Sony Corp | 暗号化装置および方法、復号装置および方法、並びに情報処理装置および方法 |
| US7127741B2 (en) | 1998-11-03 | 2006-10-24 | Tumbleweed Communications Corp. | Method and system for e-mail message transmission |
| US7162738B2 (en) | 1998-11-03 | 2007-01-09 | Tumbleweed Communications Corp. | E-mail firewall with stored key encryption/decryption |
| WO1999005814A2 (en) | 1997-07-24 | 1999-02-04 | Worldtalk Corporation | E-mail firewall with stored key encryption/decryption |
| JP3497088B2 (ja) * | 1998-12-21 | 2004-02-16 | 松下電器産業株式会社 | 通信システム及び通信方法 |
| JP2001230769A (ja) * | 2000-02-18 | 2001-08-24 | Nippon Telegr & Teleph Corp <Ntt> | パケット通信システムにおける送信端、受信端、暗号鍵同期システム |
| WO2003096612A1 (fr) * | 2002-05-09 | 2003-11-20 | Niigata Seimitsu Co., Ltd. | Dispositif, procede et systeme de cryptage |
| US9338026B2 (en) | 2003-09-22 | 2016-05-10 | Axway Inc. | Delay technique in e-mail filtering system |
| JP4955908B2 (ja) * | 2003-10-07 | 2012-06-20 | キヤノン株式会社 | データ処理装置及び方法及びプログラム |
| JP2005244379A (ja) * | 2004-02-25 | 2005-09-08 | Nec Commun Syst Ltd | Ｖｐｎシステム、ｖｐｎ装置及びそれらに用いる暗号化鍵配布方法 |
| JP5040342B2 (ja) * | 2007-02-14 | 2012-10-03 | 日本電気株式会社 | ネットワーク間接続システム、中継装置及びそれらに用いるネットワーク間接続方法 |
| EP2219317A1 (en) * | 2007-11-09 | 2010-08-18 | Icon Corp. | Key management device and information transmission system using the same |
| US8607329B2 (en) | 2007-12-19 | 2013-12-10 | Icon Corp. | Server device, information providing method and information succession system |
| CN103369523B (zh) * | 2013-07-18 | 2016-04-13 | 成都鼎桥通信技术有限公司 | 一种提高群组下行安全性的方法 |
| JP2014147109A (ja) * | 2014-04-07 | 2014-08-14 | Sony Corp | 情報処理装置および情報処理方法 |
| JP6701646B2 (ja) * | 2015-09-02 | 2020-05-27 | 富士通株式会社 | 情報処理装置、情報処理システム及び情報管理方法 |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE3775924D1 (de) * | 1987-04-22 | 1992-02-20 | Ibm | Verwaltung von geheimuebertragungsschluesseln. |
| JPH04179326A (ja) * | 1990-11-14 | 1992-06-26 | Hitachi Ltd | データ伝送方式 |
-
1993
- 1993-10-06 JP JP25085093A patent/JP3263877B2/ja not_active Expired - Lifetime
Non-Patent Citations (3)
| Title |
|---|
| 山口利和，田中清人，田辺克弘，小柳津育郎，ＬＡＮセキュリティ通信技術−ＴＣＰレイヤにおける通信データの暗号化−，ＮＴＴ Ｒ＆Ｄ，日本，社団法人電気通信協会，１９９５年 ７月 ８日，Ｖｏｌ．４４，Ｎｏ．９，ｐｐ．６５３−６６０ |
| 山口利和，田中清人，田辺克弘，小柳津育郎，ＬＡＮの暗号通信における一方式，電子情報通信学会技術研究報告（ＯＦＳ９３−３２），日本，社団法人電子情報通信学会，１９９４年 １月２１日，Ｖｏｌ．９３，Ｎｏ．４３５，ｐ．１３−１８ |
| 山口利和，田中清人，田辺克弘，小柳津育郎，ＬＡＮ暗号通信方式の実装と評価，電子情報通信学会技術研究報告（ＯＦＳ９３−３８），日本，社団法人電子情報通信学会，１９９４年 ３月１１日，Ｖｏｌ．９３，Ｎｏ．５０８，ｐ．７−１２ |
Also Published As
| Publication number | Publication date |
|---|---|
| JPH07107082A (ja) | 1995-04-21 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3263877B2 (ja) | 暗号ゲートウェイ装置 | |
| JP3263878B2 (ja) | 暗号通信システム | |
| US5594869A (en) | Method and apparatus for end-to-end encryption of a data packet in a computer network | |
| US5070528A (en) | Generic encryption technique for communication networks | |
| US6438612B1 (en) | Method and arrangement for secure tunneling of data between virtual routers | |
| US5086469A (en) | Encryption with selective disclosure of protocol identifiers | |
| US5161193A (en) | Pipelined cryptography processor and method for its use in communication networks | |
| US5235644A (en) | Probabilistic cryptographic processing method | |
| US5099517A (en) | Frame status encoding for communication networks | |
| US6839346B1 (en) | Packet switching apparatus with high speed routing function | |
| Atkinson | IP authentication header | |
| US7197643B2 (en) | Key exchange proxy network system | |
| US7725707B2 (en) | Server, VPN client, VPN system, and software | |
| EP2100406B1 (en) | Method and apparatus for implementing multicast routing | |
| EP0838930A2 (en) | Pseudo network adapter for frame capture, encapsulation and encryption | |
| US7239634B1 (en) | Encryption mechanism in advanced packet switching system | |
| JP3446482B2 (ja) | 暗号化装置 | |
| JP3296514B2 (ja) | 暗号通信端末 | |
| US20040158706A1 (en) | System, method, and device for facilitating multi-path cryptographic communication | |
| EP1024640B1 (en) | Method of encoding status information | |
| JPH07170280A (ja) | ローカルエリアネットワーク | |
| JP3263879B2 (ja) | 暗号通信システム | |
| JPH09252315A (ja) | 暗号通信システムおよび暗号装置 | |
| US8543703B1 (en) | Method of tracking mobile user sessions | |
| EP0464566B1 (en) | Abort processing in pipelined communication |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20071228 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20081228 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091228 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101228 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101228 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111228 Year of fee payment: 10 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111228 Year of fee payment: 10 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121228 Year of fee payment: 11 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121228 Year of fee payment: 11 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131228 Year of fee payment: 12 |
|
| EXPY | Cancellation because of completion of term |