JP4358795B2 - Tlsセッション情報の引継ぎ方法及びコンピュータシステム - Google Patents
Tlsセッション情報の引継ぎ方法及びコンピュータシステム Download PDFInfo
- Publication number
- JP4358795B2 JP4358795B2 JP2005213182A JP2005213182A JP4358795B2 JP 4358795 B2 JP4358795 B2 JP 4358795B2 JP 2005213182 A JP2005213182 A JP 2005213182A JP 2005213182 A JP2005213182 A JP 2005213182A JP 4358795 B2 JP4358795 B2 JP 4358795B2
- Authority
- JP
- Japan
- Prior art keywords
- role
- server
- database
- tls
- session
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Computer And Data Communications (AREA)
Description
(2)クライアントとサーバは、TLSプロトコルに従い、認証、鍵情報の交換を行うハンドシェイク処理を行う。ハンドシェイク処理の第1段として、クライアントがサーバにClientHelloメッセージを送る。ClientHelloメッセージには、鍵生成に利用する乱数データ、クライアントがサポートしている暗号アルゴリズムや圧縮アルゴリズムの識別子が含まれる。なお、ClientHelloメッセージを含め、続くハンドシェイク処理は、レコードデータの一部に含まれてやり取りされる。
(3)ハンドシェイク処理の第2段として、サーバは、ClinetHelloメッセージを受信した後、ServerHello、ServerHelloDoneなどのメッセージを生成して、クライアントに送信する。ServerHelloメッセージには、セッションID(以下、「SID」という。)が含まれる。SIDについては後述する。
(6)以後、クライアントとサーバは、乱数データから生成した暗号鍵を利用して、通信データを暗号化したり、改ざん検知のためのデータを付加して相手に送信する。受信側は復号、改ざんがないか確認して、アプリケーションデータを取得し、本来のアプリケーションの処理を行う。なお、アプリケーションデータの圧縮を行う場合には、暗号の前に行う。これらの処理はレコード単位で行われる。
(2)サーバは、ClientHelloメッセージを受信した後、SIDに対応する初回の通信時に交換した乱数データをキャッシュメモリーより取得し、2回目以降の通信における暗号化や改ざん検知に利用する。このSIDを含むServerHello、ChangeCipherSpec及びFinishedメッセージを生成し、クライアントに送信する。
(3)クライアントは、ChangeCipherSpec及びFinishedメッセージを受信する。さらにChangeCipherSpec及びFinishedメッセージを生成し、サーバに送信する。以後の通信は、SIDに対応した乱数データから鍵を生成、利用して、暗号化する。
このようなドメイン及び役割によって、たとえアプリケーションに脆弱性があっても被害範囲が限定できるセキュアOSの特徴を利用したセキュリティ技術が開発されている。
また、特許文献1では、異なるコンピュータシステム間で通信路の安全性や役割などの情報を引継ぎ、共有し、移譲するときの方法として、鍵、役割、期間等の情報を含む委任トークンを、暗号技術を用いて安全に交換する技術が開示されている。
また、特許文献1に記載の技術では、役割等の委任に必要な情報をサーバ間で、トークンにより安全に転送するために暗号技術を用いて保護しているが、送信側と受信側のサーバでそれぞれに暗号処理が必要になるため、サーバの負荷が増大するという問題があった。
本発明によるTLSセッション情報の引継ぎ方法は、セキュアOSが稼働し、クライアントからの要求を受付ける中継サーバと、ドメイン及び役割が割当てられアプリケーション処理を行う役割サーバと、前記クライアントのユーザとその役割の関連を保持する第1のデータベースと、TLSプロトコルのセッションIDと前記ドメイン及び役割の関連を保持する第2のデータベースと、前記役割サーバごとに用意されたTLSプロトコルのセッション情報を保持する第3のデータベースとを備え、前記中継サーバが、前記第1のデータベースに対しては読取る権限のみを有し、前記第3のデータベースに対しては書込む権限のみを有するコンピュータシステムにより実行されるTLSセッション情報の引継ぎ方法であって、前記中継サーバが、TLSプロトコルの処理に関しては、ハンドシェイク処理のみを行い、ハンドシェイク処理時に認証したユーザと、前記第1のデータベースから得た役割及びTLSプロトコルのセッションIDとを前記第2のデータベースに書込み、TLSセッション情報をハンドシェイク処理後に前記第3のデータベースに書込んだ後に破棄し、暗号化されたアプリケーションデータを前記役割サーバに中継するステップと、さらに、TLSプロトコルによるセッションを再開するときは、セッション開始時にクライアントから受信したメッセージに含まれるセッションIDをキーにして、前記第2のデータベースから対応する役割サーバを決定し、該役割サーバに前記メッセージを含めて中継するステップと、前記役割サーバが、前記第3のデータベース書込まれた前記TLSセッション情報を利用してTLSプロトコルによるハンドシェイク処理を行うステップとを有することを特徴とする。
また、本発明により、上記方法を用いて、大幅に稼動効率が向上するコンピュータシステムを提供することができる。
図1は、実施の形態1のコンピュータシステムの構成を示す図である。図1に示すように、コンピュータ100は、中継サーバ110、ユーザと役割関連登録ツール120、役割1サーバ130、役割2サーバ140、SIDと役割関連データベース150、ユーザと役割関連データベース160及びTLSセッション情報データベース170、180により構成され、セキュアOSが稼働している。さらに、コンピュータ100には、外部よりクライアントのコンピュータ(以下、「クライアント」という。)200がネットワークを介して接続されている。以下に、個々の働きについて説明する。
ユーザと役割関連データベース160は、本発明の第1のデータベースに相当し、ユーザと役割関連登録ツール120は読込み及び書込みが可能であり、中継サーバ110は読込みのみ可能となっている。従って、中継サーバ110に不正アクセスがあっても、ユーザと役割関連データベース160を改ざんすることはできない。
TCPコネクション処理部111は、クライアント200からのTCPによるコネクションを受け付けたり、データの送受信を行う。一方、ハンドシェイク処理後のクライアント200と役割サーバ130、140との通信データの中継も行う他、ハンドシェイク処理部113と役割サーバ130、140とのハンドシェイクメッセージの通信も行う。
レコード処理部112は、TCPコネクション処理部111を介して受信したクライアント200からの受信データを処理する。処理の内容には、受信データをレコードデータ単位に区切ったり、レコードの内容によりその内容をハンドシェイク処理部113に渡す。逆に、ハンドシェイク処理部113からメッセージを受取り、TCPコネクション処理部111を介してクライアント200や役割サーバ130、140に送信する。
ハンドシェイク処理部113は、上述したようなクライアント200との完全ハンドシェイクの他、クライアント200や役割サーバ130、140との簡略ハンドシェイク処理の一部を行う。
TCPコネクション処理部131は、中継サーバ110からのコネクションを受付けたり、受信データをレコード処理部132に渡したり、逆に、レコード処理部132から受け取ったデータを中継サーバ110に送信する。
ハンドシェイク処理部133は、中継サーバ110を介したクライアント200との簡略ハンドシェイクを行う。
インデックス171、173は、SIDをそのまま利用する。インデックス171は、図4に示す役割1あたる第4行にあるSID151に、インデックス173は、同様に役割1にあたる第3行にあるSID151に対応する。データ172、174は、インデックス171、173に対応するデータそのものであり、SIDに対応するセッションに利用される暗号アルゴリズムや鍵長、鍵生成に利用する乱数データを含んでいる。
まず、中継サーバ110内のTCPコネクッション処理部111が、クライアントからの接続要求を受け付け、受信データをレコード処理部112に渡す(ステップ701)。以後のクライアントとの送受信は、TCPコネクション処理部111を介して行われる。
次に、レコード処理部112は、受信データを解析し、上位データを取り出し、ハンドシェイクのメッセージであることを確認し、ハンドシェイク処理部113に渡す(ステップ702)。ここでは、受信データはTLS Record Protocol(非特許文献1参照)の形式をしており、本処理部112はTLSプロトコルの処理を行い、上位のアラート、ハンドシェイク、アプリケーションのデータを取出す。この処理は本発明の範囲外なので、ここでは詳細は記載しない。
次に、ハンドシェイク処理後、TCPコネクション処理部111がクライアント200と役割サーバ130、140との通信を中継する(ステップ704)。ハンドシェイク処理後は、中継サーバ110は本中継処理のみを行う。
まず、中継サーバ110内のハンドシェイク処理部113は、レコード処理部112から受け取ったハンドシェイクのメッセージがClientHelloメッセージであることを確認し、さらに、クライアント200からの初めてのTLSセッションか、過去のセッションの再開かを判断する(ステップ801)。判断は、メッセージの中のSIDフィールドにより決定する。即ち、SIDフィールドが空白なら初めてのセッションであり、SIDが入っていれば再開を示す。
次に、初めてのセッションなら完全ハンドシェイク処理を行い、過去のセッションの再開なら簡略ハンドシェイク処理を行う(ステップ802)。
ハンドシェイク処理部113は、ServerHello他のハンドシェイクメッセージを生成し、レコード処理部112やTCPコネクション処理部111を介して、クライアント200に送信する(ステップ901)。
次に、ハンドシェイク処理部113は、クライアント200が送信し、TCPコネクション処理部111及びレコード処理部112を介して受信したCertificate等のメッセージを受取り、処理する(ステップ902)。この処理により、通信相手のクライアント200を認証して、クライアントユーザが判明する。
次に、Finished等のハンドシェイクメッセージを生成し、クライアント200に送信する(ステップ903)。
なお、上述のメッセージの生成・処理方法は、標準規格であるTLSプロトコル(非特許文献1参照)に従うものであり、詳細は記載しない。
次に、ハンドシェイク処理部113は、SIDと、ステップ904にて取得したクライアントユーザの役割とをSIDと役割関連データベース150に登録する(ステップ905)。SIDは、ステップ901において生成したServerHelloメッセージに含まれるSIDを利用する。登録には、SIDフィールド151にSIDを、役割フィールド152には役割をもつレコードを1つ生成し、SIDと役割関連データベース150に追加する。
以後は、ステップ904で決定した役割サーバ130又は140と中継サーバ110との間で簡略ハンドシェイク処理が行われる。
次に、ハンドシェイク処理部113は、ChangeCipherSpecとFinishedメッセージを生成し、役割サーバ130又は140に送信する(ステップ909)。
以上の処理を通して、クライアント200と役割サーバ130、140はTLSセッション情報を共有して、TLS通信を行うことができるようになる。
ハンドシェイク処理部113は、ClientHelloメッセージに含まれるSIDをキーにSIDと役割関連データベース150を検索し、対応する役割サーバ130又は140を決定する。図4に示すSIDフィールド151のSIDに対応する役割フィールド152の値により役割サーバが決定される(ステップ1001)。
役割サーバ130内のTCPコネクション処理部131は、中継サーバ110からの接続要求を受付け、受信データをレコード処理部132に渡す(ステップ1101)。本接続要求は、図9のステップ907及び図10のステップ1002において中継サーバ110がClientHelloメッセージを送信するときに発生する接続要求に相当する。中継サーバ110と役割サーバ130との送受信は、このTCPコネクション処理部131を介して行われる。
以上により、本実施の形態1では、中継サーバと役割サーバとでTLSセッション情報を共有することで負荷の軽減を実現し、稼動効率を飛躍的に向上させることができる。
実施の形態1では一つのコンピュータ上に中継サーバや役割サーバを配置しており、中継サーバ110から役割サーバ130、140に付属するTLSセッション情報データベース170、180へのアクセスが、実施の形態1と同様に制限できれば、各々のサーバを別々のコンピュータ上に配置しても、同等の安全性が確保できる。以下、その実施形態について説明する。
図12は、実施の形態2のコンピュータシステムの構成を示す図である。
図12に示すように、コンピュータシステムは、複数のコンピュータ100、300、400から構成され、それぞれセキュアOSが稼動している。
また、実施の形態1と同様に、情報を共有することにより、処理の一部を省略し、サーバにかかる負荷を軽減しているため、高速なTLSプロトコルの処理も実現することができる。
110 中継サーバ
111 TCPコネクション処理部
112 レコード処理部
113 ハンドシェイク処理部
120 ユーザと役割関連登録ツール
130 役割1サーバ
131 TCPコネクション処理部
132 レコード処理部
133 ハンドシェイク処理部
140 役割2サーバ
150 SIDと役割関連データベース
151 SIDフィールド
152 役割フィールド
160 ユーザと役割関連データベース
161 ユーザフィールド
162 役割フィールド
170 TLSセッション情報データベース1
180 TLSセッション情報データベース2
300、400 コンピュータ
310 データベースサーバ1
410 データベースサーバ2
Claims (4)
- セキュアOSが稼働し、
クライアントからの要求を受付ける中継サーバと
ドメイン及び役割が割当てられアプリケーション処理を行う役割サーバと
前記クライアントのユーザとその役割の関連を保持する第1のデータベースと
TLSプロトコルのセッションIDと前記ドメイン及び役割の関連を保持する第2のデータベースと
前記役割サーバごとに用意されたTLSプロトコルのセッション情報を保持する第3のデータベースとを備え、
前記中継サーバが、前記第1のデータベースに対しては読込む権限のみを有し、前記第3のデータベースに対しては書込む権限のみを有するコンピュータシステムにより実行されるTLSセッション情報の引継ぎ方法であって、
前記中継サーバが、
TLSプロトコルの処理に関しては、ハンドシェイク処理のみを行い、ハンドシェイク処理時に認証したユーザと、前記第1のデータベースから得た役割及びTLSプロトコルのセッションIDとを前記第2のデータベースに書込み、TLSセッション情報をハンドシェイク処理後に前記第3のデータベースに書込んだ後に破棄し、暗号化されたアプリケーションデータを前記役割サーバに中継するステップと、
さらに、TLSプロトコルによるセッションを再開するときは、セッション開始時にクライアントから受信したメッセージに含まれるセッションIDをキーにして、前記第2のデータベースから対応する役割サーバを決定し、該役割サーバに前記メッセージを含めて中継するステップと、
前記役割サーバが、
前記第3のデータベースに書込まれた前記TLSセッション情報を利用してTLSプロトコルによるハンドシェイク処理を行うステップとを有する
ことを特徴とするTLSセッション情報の引継ぎ方法。 - 前記中継サーバと、前記役割サーバとを、個々にセキュアOSが稼動する異なるコンピュータに配置し、
前記役割サーバが配置されたコンピュータには、第3のデータベースへ書込む権限のみを有するデータベース追加サーバを配置し、
前記中継サーバが、TLSセッション情報を、データベース追加サーバを介してハンドシェイク処理後に第3のデータベースに書込んだ後に破棄するステップを有する
ことを特徴とする請求項1に記載のTLSセッション情報の引継ぎ方法。 - セキュアOSが稼働し、
クライアントからの要求を受付ける中継サーバと
ドメイン及び役割が割当てられアプリケーション処理を行う役割サーバと
前記クライアントのユーザとその役割の関連を保持する第1のデータベースと
TLSプロトコルのセッションIDと前記ドメイン及び役割の関連を保持する第2のデータベースと
前記役割サーバごとに用意されたTLSプロトコルのセッション情報を保持する第3のデータベースとを備え、
前記中継サーバが、前記第1のデータベースに対しては読込む権限のみを有し、前記第3のデータベースに対しては書込む権限のみを有するコンピュータシステムであって、
前記中継サーバは、
TLSプロトコルの処理に関しては、ハンドシェイク処理のみを行い、ハンドシェイク処理時に認証したユーザと、前記第1のデータベースから取得した役割及びTLSプロトコルのセッションIDとを前記第2のデータベースに書込み、TLSセッション情報をハンドシェイク処理後に前記第3のデータベースに書込んだ後に破棄し、暗号化されたアプリケーションデータを前記役割サーバに中継し、
さらに、TLSプロトコルによるセッションを再開するときは、セッション開始時にクライアントから受信したメッセージに含まれるセッションIDをキーにして、前記第2のデータベースから対応する役割サーバを決定し、該役割サーバに前記メッセージを含めて中継し、
前記役割サーバは、
前記第3のデータベースに書込まれた前記TLSセッション情報を利用してTLSプロトコルによるハンドシェイク処理を行う
ことを特徴とするコンピュータシステム。 - 前記中継サーバと、前記役割サーバとを、個々にセキュアOSが稼動する異なるコンピュータに配置し、
前記役割サーバが配置されたコンピュータには、第3のデータベースへ書込む権限のみを有するデータベース追加サーバを配置し、
前記中継サーバは、TLSセッション情報を、データベース追加サーバを介してハンドシェイク処理後に第3のデータベースに書込んだ後に破棄する
ことを特徴とする請求項3に記載のコンピュータシステム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2005213182A JP4358795B2 (ja) | 2005-07-22 | 2005-07-22 | Tlsセッション情報の引継ぎ方法及びコンピュータシステム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2005213182A JP4358795B2 (ja) | 2005-07-22 | 2005-07-22 | Tlsセッション情報の引継ぎ方法及びコンピュータシステム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2007036389A JP2007036389A (ja) | 2007-02-08 |
JP4358795B2 true JP4358795B2 (ja) | 2009-11-04 |
Family
ID=37795137
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2005213182A Expired - Fee Related JP4358795B2 (ja) | 2005-07-22 | 2005-07-22 | Tlsセッション情報の引継ぎ方法及びコンピュータシステム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP4358795B2 (ja) |
Families Citing this family (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP5039146B2 (ja) * | 2007-11-07 | 2012-10-03 | 日本電信電話株式会社 | 共通鍵設定方法、中継装置、及びプログラム |
KR101495722B1 (ko) | 2008-01-31 | 2015-02-26 | 삼성전자주식회사 | 홈 네트워크에서의 통신 보안성을 보장하는 방법 및 이를위한 장치 |
FR2951343A1 (fr) * | 2009-10-14 | 2011-04-15 | Alcatel Lucent | Gestion de dispositif de communication a travers un reseau de telecommunications |
JP2012213036A (ja) * | 2011-03-31 | 2012-11-01 | Panasonic Corp | 通信装置及び通信システム |
JP5769133B2 (ja) | 2011-09-27 | 2015-08-26 | 日本電気株式会社 | 通信中継装置、データ処理システムおよび通信中継方法 |
JP2016066193A (ja) * | 2014-09-24 | 2016-04-28 | 株式会社リコー | 情報処理システム、及び情報処理方法 |
-
2005
- 2005-07-22 JP JP2005213182A patent/JP4358795B2/ja not_active Expired - Fee Related
Also Published As
Publication number | Publication date |
---|---|
JP2007036389A (ja) | 2007-02-08 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP4707992B2 (ja) | 暗号化通信システム | |
US8275989B2 (en) | Method of negotiating security parameters and authenticating users interconnected to a network | |
EP3496329A1 (en) | Method and system of preserving privacy for usage of lightweight blockchain clients | |
US7039713B1 (en) | System and method of user authentication for network communication through a policy agent | |
US7627896B2 (en) | Security system providing methodology for cooperative enforcement of security policies during SSL sessions | |
US7856655B2 (en) | System and method for improved network security | |
EP1251670B1 (en) | Negotiating secure connections through a proxy server | |
US20050149732A1 (en) | Use of static Diffie-Hellman key with IPSec for authentication | |
JP5062870B2 (ja) | 任意通信サービスのセキュリティ確保 | |
JP4879347B2 (ja) | 中継処理装置、中継処理方法及びプログラム | |
Oktian et al. | BorderChain: Blockchain-based access control framework for the Internet of Things endpoint | |
JP2008537256A (ja) | ピアツーピア認証及び権限付与 | |
KR20010098513A (ko) | 시큐리티 통신방법, 통신시스템 및 그 장치 | |
JP4358795B2 (ja) | Tlsセッション情報の引継ぎ方法及びコンピュータシステム | |
CN110401640B (zh) | 一种基于可信计算双体系架构的可信连接方法 | |
US20020129239A1 (en) | System for secure communication between domains | |
CN102065059A (zh) | 安全访问控制方法、客户端及系统 | |
CN110198297A (zh) | 流量数据监控方法、装置、电子设备及计算机可读介质 | |
JP2008252456A (ja) | 通信装置、及び通信方法 | |
JP2012137975A (ja) | 中継処理装置、及びその制御方法、プログラム | |
CN114244508A (zh) | 数据加密方法、装置、设备及存储介质 | |
JP3833652B2 (ja) | ネットワークシステム、サーバ装置、および認証方法 | |
WO2024152572A1 (zh) | 基于路由策略的全球化用户合规访问方法、系统、装置和电子设备 | |
JP4933286B2 (ja) | 暗号化パケット通信システム | |
Hsu et al. | The design and implementation of a lightweight CoAP-based IoT framework with smart contract security guarantee |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20071218 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20090722 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090804 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090806 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120814 Year of fee payment: 3 |
|
R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150814 Year of fee payment: 6 |
|
LAPS | Cancellation because of no payment of annual fees |