JP4324197B2

JP4324197B2 - 遠隔ｉｐｓｅｃセキュリティ関連性管理

Info

Publication number: JP4324197B2
Application number: JP2006527431A
Authority: JP
Inventors: サカリポウサ; ミカエルラトヴァラ
Original assignee: Nokia Oyj
Current assignee: Nokia Oyj
Priority date: 2003-09-22
Filing date: 2004-08-10
Publication date: 2009-09-02
Anticipated expiration: 2024-08-10
Also published as: WO2005029811A1; ATE388571T1; US20050066159A1; DE602004012295D1; FI20031361A0; EP1665725A1; JP2007506202A; EP1665725B1; CN1856977A; DE602004012295T2; CN100542169C

Description

本発明は、通信技術に関連している。特に、インターネット・プロトコル・セキュリティーのセキュリティ接続を遠隔に、かつ透過的に管理するための新規、かつ改良された方法、およびシステムに関連する。

ＩＰＳｅｃまたはＩＰｓｅｃとも言われるインターネット・プロトコル・セキュリティーはネットワーク層でのＩＰネットワーク内のセキュリティを提供するための骨組みである。ＩＰＳｅｃは、インターネット・エンジニアリング・タスク・フォース（ＩＥＴＦ）によって開発される。ＩＥＴＦによるＲＦＣ文書（ＲｅｑｕｅｓｔｆｏｒＣｏｍｍｅｎｔｓ，ＲＦＣ）２４０１から２４０９がＩＰＳｅｃについて記述している。

ＩＰＳｅｃは機密性サービス、および認証サービスをＩＰトラヒックに提供する。これらのサービスは、本質的にデータの送信者の認証を可能とする認証ヘッダ（ＡＨ、ＲＦＣ２４０２に記述）、および送信者の認証およびデータの暗号化の両方に対応したエンカプスレーティング・セキュリティ・ペイロード（ＥＳＰ、ＲＦＣ２４０６に記述）と呼ばれるプロトコルによって提供される。

認証ヘッダ、およびエンカプスレーティング・セキュリティ・ペイロードは動作するためにセッションキーを要求する。セッションキーは、典型的には、インターネット・キー・エクスチェンジ（ＩＫＥ、ＲＦＣ２４０９に記述）のようなキー・マネージメント・プロトコルを経由して生成される。認証及びキー合致（ＡＫＡ）と呼ばれるキー・マネージメント・プロトコルもまた、特に３ＧＰＰ（３ｒｄＧｅｎｅｒａｔｉｏｎＰａｒｔｎｅｒｓｈｉｐＰｒｏｊｅｃｔ）システムに基づいた通信ネットワークにおいて、使用され得る。使用され得るその他のキー・マネージメント・プロトコルが、さらに存在する。

前述のプロトコルに加えて、ＩＰＳｅｃは、セキュリティ接続を使用することで、そのサービスを提供する。ＩＰＳｅｃセキュリティ接続は、トラヒック・セレクタ、暗号変換、セッションキー、およびセッションキーのライフタイムのような情報を含んでいる。キー・マネージメント・アプリケーションは、ＩＰＳｅｃ接続の生成、および削除を取り決める責任を負っている。

典型的には、ＩＰＳｅｃサービスおよびキー・マネージメント・プロトコルは、例えば、専用のセキュリティ・ゲートウェイ、サーバ、デスクトップ・コンピュータ、および手持ち式の端末において発見される。先行技術において、ターゲットデバイスが何であれ、同じデバイス内に同一場所に配置されているという意味では、ＰＩＳｅｃサービスとキー・マネージメント・プロトコルは互いに結び付けられている。そしてまた、ＩＰＳｅｃサービスと関連付けられたキー・マネージメント・プロトコルの間の通信機構は、ローカルである。

しかし、分散コンピューティング環境において、ネットワーク要素機能性は、様々なアプリケーションが専用デバイスに配置されるアーキテクチャから利益を得る。例えば、暗号化動作を要求するアプリケーションは、典型的には特別な目的のためのデバイスであって、そのタスクのために適切なハードウェアおよびソフトウェアを含んだデバイスに配置される。その他のアプリケーションはよりいっそうのＣＰＵ処理能を要求するかもしれないし、したがって、異なるタイプの特別な目的のデバイスに配置されるかもしれない。さらに、分散コンピューティング環境において、アプリケーションは典型的にはお互いからサービスを要求することで、ネットワーク要素機能性を提供する。

ネットワーク層セキュリティにおいては、ＩＰＳｅｃ、およびその関連するキー・マネージメント・プロトコルは、お互いにサービスを要求するアプリケーションの例示である。ＩＰＳｅｃサービスを高速対称暗号の能力があるデバイス上に配置すること、およびその関連するキー・マネージメント・プロトコルをその他の高いＣＰＵパワー、および／または非対称暗号アクセレーション（ａｃｃｅｌｅｒａｔｉｏｎ）を有するデバイスに配置することは、有益であるかもしれない。さらに、上述のように、先行技術においては、ＩＰＳｅｃサービス、およびそれによって使用されるキー・マネージメント・プロトコルは、同じコンピューティングデバイスに設置される。多くの互いに異なる特徴を有するキー・マネージメント・プロトコルが存在する。先行技術と同様に、もし、すべてのこれら様々なキー・マネージメント・プロトコルがＩＰＳｅｃサービスと同じデバイスに設置されなければならないとすると、ネットワーク要素設計、実装、および配置が非効率的となり、ときには不可能にすらなる。

特に、分散コンピューティング環境において、異なるデバイスに配置されるべきＩＰＳｅｃサービス、およびその関連したキー・マネージメント・プロトコルを可能とするさらに洗練されたアプローチへの明らかな必要性が存在する。更に、ＩＰＳｅｃ、およびその関連するキー・マネージメントのこの分散を透過的に実行することを可能とすることは有益であろう。

本発明は、インターネット・プロトコル・セキュリティのセキュリティ関連性を遠隔に、かつ透過的に管理するための方法、およびシステムに関連する。

このシステムは、一つ以上のアプリケーションデバイスを含む。各アプリケーションデバイスは、セキュリティ関連性管理要求を発行するための少なくとも一つの管理クライアントを含む。

このシステムは、さらに、サービスデバイスを含む。サービスデバイスは、一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段を含む。サービスデバイスは、さらに、発行された要求を受信するため、およびインターネット・プロトコル・セキュリティ・サービスに関連して受信された要求に応答するための管理サーバを含んでいる。

このシステムは、さらに、アプリケーションデバイスをサービスデバイスに接続するための通信ネットワークを含む。

本発明の一実施形態において、少なくとも一つのアプリケーションデバイスは、さらに、インターフェイスであって、そのインターフェイスを経由して、アプリケーションデバイスに関連付けられた少なくとも一つの管理クライアント、および管理サーバがお互いに通信を行なうインターフェイスを提供するためのインターフェイス手段を含む。したがって、本発明によるこのインターフェイス手段、および本発明よる管理サーバは、ＩＰＳｅｃのそういった分散、およびその関連付けられたキー・マネージメントであって、管理クライアント、およびインターネット・プロトコル・セキュリティ・サービス手段には透過的であるキー・マネージメントを可能とする。言い換えると、前記インターネット・プロトコル・セキュリティ・サービス手段が、前記管理クライアントよりむしろ、その他のデバイス上に設置されるであろうが、当該管理クライアントは、インターネット・プロトコル・セキュリティ・サービス手段によって提供されるサービスを使用できるように、それらのために修正される必要はない。

本発明の一実施形態によれば、セキュリティ関連性管理要求は、セキュリティ関連性を追加するための要求、セキュリティ関連性を削除するための要求、および／またはセキュリティ関連性についての問い合わせをするための要求を含む。

本発明の一実施形態によれば、インターフェイス手段は、管理クライアントおよび管理サーバの間の通信において使用されるデータ構造を含み、そして、インターフェイス手段は、対応する管理クライアントおよび管理クライアントに、動的に、または統計的にリンクされたソフトウェアライブラリとして実装される。

本発明の一実施形態においては、インターフェイス手段は、管理サーバとの通信のためのソケットを使用するように構成される。

本発明の一実施形態において、インターネット・プロトコル・セキュリティ・サービス手段および管理サーバは、互いの通信のためのローカル通信チャネルを使用するように構成される。

本発明の一実施形態において、少なくとも一つのアプリケーションデバイスは、二つ以上の管理クライアントを含み、それら管理クライアントのうち少なくとも二つが互いに異なるセッション・キー・マネージメント・プロトコルを利用する。

本発明の一実施形態において、前記通信ネットワークは、ローカルエリア・ネットワークである。

本発明は、遠隔にＩＰＳｅｃセキュリティ関連性を管理することを可能とする。ＩＰＳｅｃおよびその関連付けられたキー・マネージメントは、分離したコンピューティングデバイスに透過的に分散される。したがって、各コンピューティングデバイスは、特定のアプリケーションを実行するように最適化され得る。言い換えると、これは性能と柔軟性とを向上させる。

さらに、有益であれば、標準的な先行技術の解決策を排除しない。例えば、より小さな構成において、ＩＰＳｅｃおよびその関連付けられたキー・マネージメントは、同じデバイスの中で同一場所に配置され得る。これは、遠隔通信チャネルを、ローカルのものへスイッチすることで実現され得る。このスイッチはアプリケーションには透過的であり、したがって、開発努力を少なくし、柔軟性を増加する。

本発明のよりよい理解を提供するために添付され、本願書類を構成する添付された図面は、本発明の実施形態を図示し、本発明の原理を説明することを助ける。

以下、本発明の実施形態について詳細に述べる。本発明の例が図面によって示される。

本発明の実施形態にしたがったインターネット・プロトコル・セキュリティのセキュリティ関連性を遠隔に、かつ透過的に管理するためのシステムを図１は図示する。図１に示された本発明の好適な実施形態においては、システムは二つのアプリケーションデバイスＡＰＰ＿ＤＥＶ＿１およびＡＰＰ＿ＤＥＶ＿２を含む。アプリケーションデバイスＡＰＰ＿ＤＥＶ＿１は一つの管理クライアントＭＮＧ＿ＣＬ＿１をセキュリティ関連性管理要求を発行するために含んでいるのに対して、アプリケーションデバイスＡＰＰ＿ＤＥＶ＿２は二つの管理クライアントＭＮＧ＿ＣＬ＿２およびＭＮＧ＿ＣＬ＿３を含んでいる。管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２およびＭＮＧ＿ＣＬ＿３によって発行されるセキュリティ関連性管理要求は、セキュリティ関連性を追加する要求、セキュリティ関連性を削除する要求、および／または、セキュリティ関連性についての問い合わせを行なう要求を含む。図１に図示された本発明の好適な実施形態においては、管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２、ＭＮＧ＿ＣＬ＿３のそれぞれは異なるセッション・キー・マネージメント・プロトコルを利用する。

インターネット・プロトコル・セキュリティは、典型的には、例えば、３ＧＰＰシステムによる通信ネットワークのＩＰ・マルチメディア・サブシステム（ＩＭＳ）によって利用される。このような場合には、ユーザ装置（図示せず）は、キー・マネージメント・プロトコルを利用することで、アプリケーションデバイスＡＰＰ＿ＤＥＶ＿１、またはＡＰＰ＿ＤＥＶ＿２と通信を行なうことが考えられる。そして、この通信の最終結果は、アプリケーションデバイスＡＰＰ＿ＤＥＶ＿１、またはＡＰＰ＿ＤＥＶ＿２によってサービスデバイスＳＲＶ＿ＤＥＶへ転送される。したがって、この場合、このアプリケーションデバイスＡＰＰ＿ＤＥＶ＿１、またはＡＰＰ＿ＤＥＶ＿２は、キー・マネージメント・プロトコルのサーバ部を動作させることが考えられる一方で、ユーザ装置は、キー・マネージメント・プロトコルのクライアント部を動作させることが考えられる。ユーザ装置はそれ自身のローカルメカニズムを使用し、最終結果をそれ自身のＩＰＳｅｃサービスへ通信する。

図１に図示された本発明の好適な実施形態において、システムはサービスデバイスＳＲＶ＿ＤＥＶをさらに含む。サービスデバイスＳＲＶ＿ＤＥＶは、一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段ＩＰＳＥＣを含む。サービスデバイスＳＲＶ＿ＤＥＶは、さらに、発行された要求を受信するため、かつインターネット・プロトコル・セキュリティサービス手段ＩＰＳＥＣに関連して、受信した要求に応答するための管理サーバＭＮＧ＿ＳＲＶを含む。システムは、さらに、アプリケーションデバイスをサービスデバイスに接続するための通信ネットワークＣＮを含む。

図１に図示された本発明の好適な実施形態において、アプリケーションデバイスＡＰＰ＿ＤＥＶおよびＡＰＰ＿ＤＥＶ＿２は、それぞれさらに、インターフェイスであって、そのインターフェイスを介して管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２、ＭＮＧ＿ＣＬ＿３、および管理サーバＭＮＧ＿ＳＲＶがお互いに通信を行なうインターフェイスを提供するインターフェイス手段ＩＦを含む。さらに、図１に図示された本発明の好適な実施形態において、インターフェイス手段ＩＦは、管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２、ＭＮＧ＿ＣＬ＿３および管理サーバＭＮＧ＿ＳＲＶの間での通信で使用されるデータ構造（図示せず）を含む。そして、インターフェイス手段ＩＦは、管理クライアントへ動的に、または統計的にリンクされ得るソフトウェアライブラリ（図示せず）としてそれぞれ実装される。

図１に図示された本発明の好適な実施形態において、さらに、インターフェイス手段ＩＦは、管理サーバＭＮＧ＿ＳＲＶと通信を行なうためのソケットを使用するようにそれぞれが構成され、そして、インターネット・プロトコル・セキュリティ・サービス手段ＩＰＳＥＣ、および管理サーバＭＮＧ＿ＳＲＶはお互いの通信のためにローカル通信チャネルを使用するように構成されている。

図１に図示されているように、さらに、システムに入る外部ＩＰトラヒックＥＸＴは、好ましくは、サービスデバイスＳＲＶ＿ＤＥＶを経由してルーティングされる。

図２は、本発明の実施形態にしたがって、遠隔に、かつ透過的にインターネット・プロトコル・セキュリティのセキュリティ関連性を管理するための方法を図示する。

一つ以上のインターネット・プロトコル・セキュリティ・サービスが、サービスデバイスにおいて提供される（段階２０）。セキュリティ関連性管理要求は、一つ以上のアプリケーションデバイスから発行される（段階２１）。アプリケーションデバイスは、通信ネットワークによって、サービスデバイスへ安全に接続される。発行された要求は、サービスデバイスにおいて受信される（段階２２）。提供されたインターネット・プロトコル・セキュリティ・サービスに関連したサービスにおいて、受信された要求が応答される（段階２３）。

本発明の基本的な着想は、技術の向上とともに、様々な方法で実装することができるであろうことが、当業者にとっては明らかである。したがって、本発明およびその実施形態は前述の例に制限されず、それどころか、それらは特許請求の範囲の範囲内で変化し得る。

図１は、本発明の一実施形態にしたがったシステムを表した構成図を示す。図２は、本発明の一実施形態にしたがった方法を示す。

Claims

インターネット・プロトコル・セキュリティのセキュリティアソシエーションを遠隔に、かつ透過的に管理するためのシステムに含まれる装置であって、
前記システムは、アプリケーションデバイスと、インターネット・プロトコル・セキュリティ・サービスの使用のためのセキュリティアソシエーションをセッション・キー・マネージメント・プロトコルを用いて生成および管理するセキュリティアソシエーション管理手段とを含み、
前記セキュリティアソシエーション管理手段は、前記アプリケーションデバイスに配置された少なくとも一つの管理クライアント手段と、前記装置に配置された管理サーバ手段とを含み、
前記装置は、
認証及び暗号化サービスの少なくとも一つを含む一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段を含み、
前記アプリケーションデバイスと通信ネットワークを介して接続され、
前記少なくとも一つの管理クライアント手段を用いて前記アプリケーションデバイスによって発行されたセキュリティアソシエーション生成及び管理要求を、前記管理サーバ手段を用いて受信し、
前記インターネット・プロトコル・セキュリティ・サービス手段を用いて、前記要求に応答する、ことを特徴とする装置。
請求項１に記載の装置において、前記セキュリティアソシエーション管理要求が、セキュリティアソシエーションを追加する追加要求、セキュリティアソシエーションを削除する削除要求、セキュリティアソシエーションについて問い合わせをする問い合わせ要求のうち少なくともひとつを含むことを特徴とする装置。
請求項１に記載の装置において、前記インターネット・プロトコル・セキュリティ・サービス手段と、前記管理サーバ手段とが、前記インターネット・プロトコル・セキュリティ・サービス手段と、前記管理サーバ手段との間の通信のためのローカル通信チャネルを使用するように構成されていることを特徴とする装置。
請求項１に記載の装置において、前記通信ネットワークはローカルエリア・ネットワークを含むことを特徴とする装置。
インターネット・プロトコル・セキュリティのセキュリティアソシエーションを遠隔に、かつ透過的に管理するためのシステムに含まれる装置であって、
前記システムは、サービスデバイスと、インターネット・プロトコル・セキュリティ・サービスの使用のためのセキュリティアソシエーションをセッション・キー・マネージメント・プロトコルを用いて生成および管理するセキュリティアソシエーション管理手段とを含み、
前記セキュリティアソシエーション管理手段は、前記装置に配置された少なくとも一つの管理クライアント手段と、前記サービスデバイスに配置された管理サーバ手段とを含み、
前記サービスデバイスは、認証及び暗号化サービスの少なくとも一つを含む一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段を含み、セキュリティアソシエーション生成及び管理要求を前記管理サーバ手段を用いて受信し、前記インターネット・プロトコル・セキュリティ・サービス手段を用いて、前記セキュリティアソシエーション生成及び管理要求に応答し、
前記装置は、
前記サービスデバイスと通信ネットワークを介して接続され、
前記少なくとも一つの管理クライアント手段を用いて、セキュリティアソシエーション生成及び管理要求を前記サービスデバイスに発行する、
ことを特徴とする装置。
請求項５に記載の装置が、さらに前記装置に関連付けられた前記少なくとも一つの管理クライアント手段と前記管理サーバ手段との間の通信のためのインターフェイスを含むことを特徴とする装置。
請求項５に記載の装置において、前記セキュリティアソシエーション管理要求が、セキュリティアソシエーションを追加する追加要求、セキュリティアソシエーションを削除する削除要求、セキュリティアソシエーションについて問い合わせをする問い合わせ要求のうち少なくともひとつを含むことを特徴とする装置。
請求項６に記載の装置において、前記インターフェイスが前記管理サーバ手段との通信のためのソケットを使用するように構成されていることを特徴とする装置。
請求項６に記載の装置において、前記インターフェイスが前記管理クライアント手段と、前記管理サーバ手段との間の通信において使用されるデータ構造を含むことを特徴とする装置。
請求項６に記載の装置において、前記インターフェイスは、動的に、または統計的に対応する管理クライアント手段にリンクされるソフトウェアライブラリとして実装されることを特徴とするサービスデバイス。
請求項５に記載の装置が、二つ以上の管理クライアント手段を含み、少なくとも二つの前記管理クライアント手段が異なるセッション・キー・マネージメント・プロトコルを使用することを特徴とする装置。
請求項５に記載の装置において、前記通信ネットワークはローカルエリア・ネットワークを含むことを特徴とする装置。
インターネット・プロトコル・セキュリティのセキュリティアソシエーションを遠隔に、かつ透過的に管理するための方法であって、
サービスデバイスにおいて認証及び暗号化サービスの少なくとも一つを含む一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供する段階と、
セッション・キー・マネージメント・プロトコルを用いて、前記提供されたインターネット・プロトコル・セキュリティ・サービスの使用のためのセキュリティアソシエーションを生成及び管理するために、通信ネットワークによって前記サービスデバイスに接続されるアプリケーションデバイスからセキュリティアソシエーション生成及び管理要求を発行する段階と、
前記サービスデバイスにおいて、前記アプリケーションデバイスから発行された前記セキュリティアソシエーション生成及び管理要求を受信する段階と、
前記サービスデバイスにおいて、インターネット・プロトコル・セキュリティ・サービス手段を用いて、当該サービスデバイスにおいて受信された前記セキュリティアソシエーション生成及び管理要求に応答する段階と、
を含むことを特徴とする方法。
請求項１３に記載の方法において、アプリケーションデバイスから発行された少なくとも一つの前記セキュリティアソシエーション管理要求と、対応する応答とが、前記アプリケーションデバイスと関連付けられたインターフェイスを経由して通信されることを特徴とする方法。
請求項１３に記載の方法であって、前記セキュリティアソシエーション管理要求が、セキュリティアソシエーションを追加するための追加要求、セキュリティアソシエーションを削除する削除要求、セキュリティアソシエーションについて問い合わせる問い合わせ要求のうち少なくとも一つを含むことを特徴とする方法。
インターネット・プロトコル・セキュリティのセキュリティアソシエーションを遠隔に、かつ透過的に管理するためのプログラムであって、装置に、
認証及び暗号化サービスの少なくとも一つを含む一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供する手順と、
セッション・キー・マネージメント・プロトコルを用いて、前記提供されたインターネット・プロトコル・セキュリティ・サービスの使用のためのセキュリティアソシエーションを生成及び管理するために、アプリケーションデバイスによって発行されるセキュリティアソシエーション生成及び管理要求を通信ネットワークを介して受信する手順と、
インターネット・プロトコル・セキュリティ・サービス手段を用いて、前記装置において受信された前記セキュリティアソシエーション生成及び管理要求に応答する手順と、
を実行させるためのプログラム。
インターネット・プロトコル・セキュリティのセキュリティアソシエーションを遠隔に、かつ透過的に管理するためのプログラムであって、装置に、
サービスデバイスにおいて認証及び暗号化サービスの少なくとも一つを含む一つ以上のインターネット・プロトコル・セキュリティ・サービスが提供される場合において、セッション・キー・マネージメント・プロトコルを用いて、前記提供されたインターネット・プロトコル・セキュリティ・サービスの使用のためのセキュリティアソシエーションを生成及び管理するために、セキュリティアソシエーション生成及び管理要求を受信してインターネット・プロトコル・セキュリティ・サービス手段を用いて前記要求に応答するサービスデバイスに通信ネットワークを介してセキュリティアソシエーション生成及び管理要求を発行する手順を実行させるためのプログラム。