JP4367002B2 - ネットワーク機器、ネットワークシステム、および、グループ管理方法 - Google Patents
ネットワーク機器、ネットワークシステム、および、グループ管理方法 Download PDFInfo
- Publication number
- JP4367002B2 JP4367002B2 JP2003141286A JP2003141286A JP4367002B2 JP 4367002 B2 JP4367002 B2 JP 4367002B2 JP 2003141286 A JP2003141286 A JP 2003141286A JP 2003141286 A JP2003141286 A JP 2003141286A JP 4367002 B2 JP4367002 B2 JP 4367002B2
- Authority
- JP
- Japan
- Prior art keywords
- group
- information
- network device
- encrypted communication
- network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワークに接続する特定の機器間で排他的かつ安全に通信を行う技術に関する。
【０００２】
【従来の技術】
Internet Protocol（以下、ＩＰと呼ぶ）と呼ばれる通信プロトコルを使用するＩＰネットワークは、コンピュータネットワークのデファクトスタンダードとしての地位を確立し、一般ユーザへの普及が著しい。
【０００３】
このＩＰネットワークを介して機器間でデータをやりとりするには、その機器それぞれに一意的にＩＰアドレスを付与することが必要である。現在では、ＩＰアドレスを３２ビットで表すＩＰｖ４(Internet Protocol version 4)が用いられているが、ＩＰネットワークの利用が増大するに連れて、ＩＰアドレスの不足が大きな問題となってきている。
【０００４】
このような状況を背景に、ＩＰアドレスを１２８ビットに拡張し、さらに、セキュリティ機能など、今までのＩＰアドレスになかった機能を付加した新しいＩＰアドレスを用いるＩＰネットワークとしてＩＰｖ６(Internet Protocol version 6)がＩＥＴＦ(Internet Engineering Task Force)にて採択され、それを用いたネットワークサービスが次世代ＩＰとして標準化されつつある。
【０００５】
さらに、使用可能なアドレス数が増え、セキュリティ機能が充実したＩＰｖ６の新たな適用先として、冷蔵庫、洗濯機などの白物家電、あるいはテレビ、ビデオといったAV機器といった家庭内の機器から構成されるホームネットワークなどが注目されている。
【０００６】
これらの機器それぞれにＩＰアドレス割り当てることにより、各機器をサーバとみなすことができるようになり、機器間通信により新しいサービスを実現したり、外部端末からの機器の制御、サービスセンタからの機器の制御といったインターネットを介した新しいサービスを実現するといったことが考えられている。
【０００７】
ところで、家庭内機器のような特定の機器間の通信においては、利用者が認識している範囲外の機器からの操作を排除するようなシステムが要求される。例えば、友人が持ってきた機器による勝手な操作の防止が必要である。
【０００８】
すなわち、利用者が互いの通信を許可する範囲を決定し、それらの機器をグループ化し、グループ化された機器間でのみ通信がなされるようなシステムが要求される。そして、このような通信を実現するためには、グループ内の機器間で、互いをグループ内に属する真正な機器であることを認証するための認証機能が必要である。
【０００９】
このような認証機能として、従来のクライアント、サーバ型のシステムでは、認証サーバを用いたものが実現されている。例えば、ＲＦＣ２８６５で定義されるＲＡＤＩＵＳ(Remote Authentication Dial-In User Service)では、サーバにアクセスするクライアントのアカウント（ユーザ名、パスワード）をＲＡＤＩＵＳサーバと呼ばれる認証サーバで一括管理し、サーバは、クライアントからのアクセス要求(ユーザ名、パスワードを含む)をＲＡＤＩＵＳサーバに転送しアクセス可否の判断結果を受けて、クライアントとの通信を行うかどうか判断する。
【００１０】
例えば、従来のグループ化された特定の機器間での暗号通信システム及びその通信方法としては、例えば、特許文献１あるいは特許文献２に示されているものがある。
【００１１】
【特許文献１】
特開２００２−１２４９４１号公報
【特許文献２】
特開平５−３４７６１６号公報
【００１２】
【発明が解決しようとする課題】
ホームネットワークに接続されている機器の中で、利用者が指定した機器間でのみ所定の通信を行うためには、互いに相手が指定された機器であることを認証する機能が必要と考えられている。
【００１３】
従来の認証機能は、クライアント・サーバシステムが前提であり、サーバにアクセスするクライアントのアクセス情報を管理する認証サーバを備えることで実現されている。
【００１４】
これに対し、ホームネットワークを構成する機器は、適宜サービスに応じて必要な機器間で通信を行なうといったアドホック型である。このため、全ての機器がサーバにもクライアントにもなり得、アクセス情報の設定がより煩雑になるという問題がある。
【００１５】
このような場合に、従来のように認証サーバを備え、機器間でのセッション確立毎、あるいはサービス開始毎に個別に認証を行うようにすると、認証のオーバヘッドが大きくなるという問題もある。
【００１６】
例えば、前述の特許文献１に開示された技術は、認証機能を有したグループ通信システムである。本技術は、グループを構成する機器以外に、グループ通信システム内にグループ暗号鍵を生成する機能及びグループに所属する端末情報を管理する機能を備えたグループ暗号鍵管理部と及び中継装置とを備えて構成され、大規模なネットワーク構成を前提としたものである。
【００１７】
また、前述の特許文献２に開示された技術は、まず、グループ通信を行う機器ごとにＩＣカードを具備していなければならない。そして、そのＩＣカードには、予め送受信相手の所属ごとに設定された複数のマスタ鍵とグループ鍵生成プログラムとが記録されている必要がある。
【００１８】
このように、従来の技術では、実際に通信を行なう機器以外に認証サーバとなる機器を用意する必要があったり、マスタ鍵と個々の通信相手先の関係といった複雑な情報を予め記憶させておく記録媒体をグループを構成する機器の数だけ用意する必要があった。
【００１９】
機器のグループを構成し、その機器間で認証を行い、安全な通信を実現したとしても、第三者による機器の利用を妨げることが出来ない為、ユーザが予期しない勝手な操作が行われる可能性がある。すなわち、グループを利用するユーザ及び機器を利用するユーザレベルのアクセス制御ができないという問題がある。
また、ユーザにより利用できる機器を制限することもできないという問題がある。
加えて、家庭内ネットワークといった、場所が固定されたローカルネットワークに配置された機器間の通信にしか適用できない。これは、IPsecを利用していることから、グループを構成する機器であるかを判断する為に共有鍵に加えて送信先IPアドレス及び受信元IPアドレスのペアが固定である必要がある事に因る。グループを構成していた機器がローカルネットワークから移動した場合、グループ通信によるアクセス制御が適用できないという課題がある。
【００２０】
本発明は、このような事情に鑑みなされたもので、本発明の目的は、利用者が認めた機器間で容易に互いを認証し合うことが可能なグループを構成し、そのグループに属する機器間の安全な通信を実現することにある。
【００２１】
さらに、本発明の他の目的は、グループ内の機器が提供するアプリケーションにグループ外の機器にもアクセスを許可するものがある場合、グループ外の機器から、そのアプリケーションにのみアクセスを許可するといったアクセス制御を実現することにある。
【００２２】
本発明の他の目的は、ユーザが認めた機器間で構成したグループ内において、ユーザを限定するサブグループを構成すると共に、サブグループを利用するユーザのアクセス制御を実現することである。
【００２３】
本発明の他の目的は、ユーザが物理的な距離が離れたところから、サブグループを構成する機器への安全なアクセス／制御を実現することにある。
【００２４】
尚、本願は上記目的のうちの少なくともひとつを解決するものである。
【００２５】
【課題を解決するための手段】
本発明は、共有の鍵を用いて暗号通信を行うことで互いを認証し、セキュリティの確保された通信を行なう機器の集まりをグループとみなし、そのグループを構成する機器となりうる個々の機器のいずれもが、グループを生成し、参加し、また、そのグループから離脱するといったグループ管理の手段を有する。
【００２６】
また、機器がいずれかのグループに属していても、グループ外の機器との通信の可能性も保有するものである。
【００２７】
具体的には、ネットワークを介して接続された他のネットワーク機器と通信を行なうネットワーク機器であって、互いに認証可能な前記ネットワーク機器をグループとして管理するグループ管理手段と、前記グループ所属するネットワーク機器間で共通の暗号化鍵による暗号通信を行う暗号通信手段と、前記グループに所属するネットワーク機器の、ホスト名とアドレスとを含む識別情報および前記暗号化鍵の情報を含む前記グループに所属するネットワーク機器と暗号通信を行うために必要な暗号通信情報を格納する記憶手段と、外部から情報を取得する取得手段と、を備え、前記グループ管理手段は、前記記憶手段に前記暗号通信情報が格納されていない状態で、前記取得手段において前記暗号通信情報を取得すると、当該暗号通信情報を前記記憶手段に格納するとともに、前記暗号通信手段を介して自身の識別情報を前記グループに所属するネットワーク機器に送信し、前記暗号通信手段を介して他のネットワーク機器から当該他のネットワーク機器の識別情報を取得すると、前記記憶手段に記憶している前記暗号通信情報に当該識別情報を追加することを特徴とするネットワーク機器を提供する。
【００２８】
また、前記グループ管理手段は、さらに、前記取得手段においてグループから離脱する指示を受け付けると、前記記憶手段に記憶されている前記グループに所属する全てのネットワーク機器に、前記暗号通信手段を介して自身のネットワーク機器の離脱を通知するとともに、前記記憶手段から前記暗号通信情報を削除し、前記暗号通信手段を介して他のネットワーク機器から、当該他のネットワーク機器が離脱する通知を受け付けると、前記記憶手段に記憶している前記暗号通信情報から、当該他のネットワーク機器の識別情報を削除する、ことを特徴とするネットワーク機器を提供する。
前記第一のグループを構成するネットワーク機器において、ユーザが利用できるネットワーク機器を選択し、それら機器に対して前記暗号通信手段を介して、選択したネットワーク機器で利用する第二の暗号鍵を配布することにより、第一のグループ内に第二のグループを構成し、第二の共通の暗号鍵を用い暗号通信を行うことで、互いを認証し、セキュリティの確保された通信を行うものである。
また、第二の暗号鍵と対応したユーザの識別子とパスワードの情報をネットワーク機器と記憶媒体で管理すると共に、第一の暗号鍵で前記情報を暗号化して他の第二のグループ通信を行うネットワーク機器へ配布することにより、ユーザがネットワーク機器を利用する際、どのネットワーク機器においても、記憶媒体の情報とネットワーク機器の情報が一致することを確認することにより、グループ通信の利用可否のアクセス制御を提供する。
記憶媒体でネットワーク機器のアドレスと認証鍵を管理し、ネットワーク機器において認証鍵を管理し、第一の暗号鍵で暗号化して他の第二のグループ通信を行うネットワーク機器へ管理を依頼することにより、グループ通信対象でないネットワーク機器からユーザが第二のグループ通信対象のネットワーク機器と通信を開始する際、記憶媒体の認証鍵で、記憶媒体のパスワードとユーザIDを暗号化し、その暗号化情報を記憶媒体のアドレス宛てに送信し、第二のグループ通信対象のネットワーク機器では認証鍵でユーザIDとパスワードを復号化し、ユーザIDとパスワードを確認した上で、第二の共通の暗号鍵を認証鍵で暗号化して、返送することにより、グループ通信対象でないネットワーク機器との間で第二の暗号鍵での暗号通信を提供する
【００２９】
【発明の実施の形態】
以下、本発明の実施の形態を、図を用いて説明する。
【００３０】
本実施形態では、宅内において家電などにより構成されるネットワークに本発明を適用した場合を例にあげ、説明する。
【００３１】
本実施形態の宅内のネットワークは、ＩＰｖ６により構成され、それぞれにＩＰアドレスが付与された、例えば、電子レンジやエアコンなどの家電機器、テレビやビデオなどのAV機器、センサ等が接続されている。以下、ネットワークに接続され、ＩＰｖ６によるＩＰアドレスを付与されている各機器を、ノードと呼ぶこととする。
【００３２】
本実施形態では、これらのノードのうち、利用者が互いに通信を行なうことを許可したものをグループとし、グループに属するノード間で認証のために共通の暗号化鍵による暗号通信を行なう。
ここで、本ネットワークで採用しているＩＰｖ６は、前述したように、確保できるＩＰアドレス数が莫大となるだけでなく、ＩＰｓｅｃと呼ばれる暗号・認証の仕組みが標準で装備され、高度な安全性を保ちながら、使い勝手もよいという特徴を持つ。本実施形態においては、ＩＰｖ６のＩＰｓｅｃを用いて、グループを構成する機器間のみでの安全な通信を実現する。
本実施形態の詳細な説明の前に、まず、ＩＰｓｅｃの概要について説明する。
ＩＰｓｅｃは、ＩＰ層において相互接続可能で高品質な暗号化ベースのセキュリティを提供する技術である。このセキュリティは、認証ヘッダＡＨ（Authentication Header）とＩＰ暗号化ペイロードＥＳＰ（Encapsulation Security Payload）の２つのトラフィックセキュリティプロトコル等によって実現されている。
【００３３】
ＡＨは、ＩＰパケットの改ざんを防ぐ機能を提供し、ＥＳＰは、ＩＰパケットを暗号化し、かつ、その認証データを格納することで、ＩＰパケットの機密性と完全性とを保証するものである。
【００３４】
ＡＨ、ＥＳＰ共に、認証鍵、暗号鍵を用いて、それぞれ認証情報、暗号データを作成し、送付した暗号化されたデータを解読可能な鍵を保有しているか否かにより通信相手の機器を認証する。
【００３５】
図４と図５とに、それぞれ、ＡＨプロトコルおよびＥＳＰプロトコルを利用した場合のＩＰパケットの構成を示す。なお、これらのパケット構成は、ＩＰｓｅｃパケットとしてＲＦＣ２４０１〜２４０３に規定されているものである。
【００３６】
図４は、ＡＨプロトコルを利用した場合のＩＰパケットの構成を示すものである。この場合のＩＰパケットは、ＩＰヘッダ４００と、ＴＣＰ／ＵＤＰヘッダ４０２と、データ４０３に対するハッシュ値を格納するＡＨヘッダ４０１とを備える。
【００３７】
ＡＨヘッダ４０１に格納されているハッシュ値は、パケットが改ざんされていないことを証明するためのもので、通信相手間で相互に保有する認証鍵を用いて計算された値が格納される。これは、認証されているもの同士では同じ認証鍵を保有することが前提となっているもので、送信側で自身が保有する認証鍵によって計算して格納したデータのハッシュ値を、受信側が、自身が保有する認証鍵によって計算したデータのハッシュ値と比較し、両者が合致することにより、相手が同じ認証鍵を保有するものであることを確認することができる。すなわち、パケットの送信相手が同じ暗号化鍵を保有するグループ内の機器であることが証明される。
【００３８】
図５はＥＳＰプロトコルを利用した場合のＩＰパケットの構成を示すものである。ＴＣＰ／ＵＤＰヘッダと、データを暗号化した場合のヘッダ構成である。
【００３９】
この場合のＩＰパケットは、暗号化しているパケットであることを示すＥＳＰヘッダ５０１と、暗号化の区切りを揃えるためのＥＳＰトレーラ５０４と、認証データ５０５とを備える。認証データ５０５はオプションであり、ＥＳＰヘッダ５０５と、暗号化されたＴＣＰ／ＵＤＰヘッダ５０２と、データ５０３と、ＥＳＰトレーラ５０４とのハッシュ値を格納するものである。
【００４０】
認証データ５０５に格納されるハッシュ値は、ＩＰペイロードの完全性を確保し、暗号化して転送するＴＣＰ／ＵＤＰヘッダ５０２およびデータ５０３の機密性を確保する。暗号化を行なう際には送信側が保有する暗号鍵を用いる。送信側が自身が保有する暗号鍵を用いて暗号化したデータを受信側は自身が保有する暗号鍵で復号する。受信側において、復号ができれば、相手が同じ暗号鍵を保有することが確認できる。すなわち、パケット送信相手が同じ暗号鍵を保有するグループ内機器であることの証明となる。
【００４１】
また、ＩＰｓｅｃで使用する暗号/認証アルゴリズム、鍵など、各機器間でＩＰｓｅｃの規格に従って通信を行う（以後、ＩＰｓｅｃの規格に従って行う通信のことをＩＰｓｅｃ通信と呼ぶ）ために共有すべき情報は、セキュリティアソシエーション(ＳＡ)として管理される。
【００４２】
ＳＡは、それによって運ばれるトラフィックに対してセキュリティサービスを提供する単方向の「コネクション」である。このため、ＩＰｓｅｃ通信を行うにあたって、通信を行う機器間で一方向の通信ごとに、予め設定を行う必要がある。すなわち、両方向の通信を行なうためには、送信方向と受信方向とのそれぞれのＳＡを設定する必要がある。
【００４３】
なお、ＩＰｓｅｃの詳細は、ＲＦＣ２４０１”Security Architecture for the Internet Protocol”に規定されている。
【００４４】
図１は、本発明を適用した一実施形態に係るグループ通信システムの構成を示す図である。
【００４５】
本図に示すように、本実施形態においては、４つのノード１００（１００Ａ、１００Ｂ、１００Ｃ、１００Ｄ）がＩＰｖ６によるネットワーク１１０に接続されている。もちろん構成ノード数はこれに限られない。
【００４６】
これらのノード１００間で、ネットワーク１１０を介してＩＰパケット形式のコマンドを送受信することにより、ノード１００各々が備える機器特有のサービス機能に対する他のノード１００からの操作、および、他のノード１００へのサービス提供が実現される。
【００４７】
具体的には、ネットワークを介して、テレビからエアコンの温度調節をしたり、テレビからの操作により、ビデオカメラで撮影している画像をビデオに送信し、ビデオカメラで撮影した画像をビデオで録画させるといったことが実現されるものである。
【００４８】
例えば、ノード１００Ａ〜ノード１００Ｃは、利用者が相互にサービスを利用することを許可しているグループに属するノードであり、ノード１００Ｄは、そのグループ外のノードとすると、グループを構成するノード１００Ａ、１００Ｂ、１００Ｃ間では、サービス機能の利用要求を送信する際に、要求元ノードは、グループで共有する鍵（以後、グループ鍵と呼ぶ）により計算されたハッシュ値を格納した、または、暗号化したＩＰパケットを送付する（１０１方向）。利用要求を受け取った要求先ノードは、自身の保有するグループ鍵により要求元ノードがグループ構成ノードであることを確認し、サービス機能を要求元ノードに提供する（１０２方向）、といったＩＰｓｅｃ通信を行なう。
【００４９】
これに対し、ノード１００Ｄからは、サービス機能の利用要求は、通常のＩＰパケットによって送信することとなるため、ノード１００Ｃに通常のＩＰパケットを送信すると（１０４方向）、ノード１００Ｃにおいてグループ外ノードと判断され、サービス提供拒否のパケットの返答を受けることとなる（１０３方向）。
【００５０】
ここで、ノード１００Ｂがグループ外のノード１００に提供を許可するサービスを有するノードの場合、ノード１００Ｄからそのサービスの提供を指定して通常のＩＰパケットを送信すると（１０４ｂ方向）、ノード１００Ｂよりそのサービスが提供される（１０３ｂ方向）。
【００５１】
本実施形態では、以上のようにＩＰｓｅｃの仕組みを標準で実装するＩＰｖ６を用いたプロトコルによる通信が可能なネットワークを例にあげて説明する。しかし、グループを構成するノード１００間に共通の暗号化鍵を持たせ、その鍵を認証鍵または暗号鍵として当該グループ間で通信を行うことができる環境を構築できるならば、通信プロトコルはこれに限られない。
【００５２】
以下、このようなネットワークに接続されたノード１００間で、所定のサービスの安全な利用を実現するグループの管理方法、すなわち、一つのノード１００においてグループを生成し、生成されたグループに他のノード１００が参加し、また、生成されたグループから離脱する方法について説明する。
【００５３】
本実施形態では、空のメモリカードＡ、Ｂの２つを用意し、最初にグループに参加するノード１００において、グループ内でＩＰｓｅｃ通信を行うために必要な情報を生成し、そのうちの一つのメモリカードＡに、登録する。その後参加するノード１００は、メモリカードＡから必要な情報を取得することで、グループに参加する。また、グループから離脱する際は、空のメモリカードＢを用いる。
【００５４】
図２にノード１００のハードウェア構成を、図３にその機能構成を示す。
【００５５】
ノード１００は、ノード１００が備える一つ以上の固有機能部２０２と、ネットワークカード２０５と、固有機能部２０２及びネットワークカード２０５を制御するプロセッサ２００と、プロセッサ２００で実行するプログラムを記憶するメモリ２０１と、プログラム及び設定情報を記憶するハードディスク等の外部記憶装置２０４と、グループ情報を受け渡すためのメモリカード等のインタフェースを提供する記憶媒体インタフェース２０６と、これらを接続するシステムバス２０３とを備える。
【００５６】
なお、固有機能部２０２が実現する固有機能とは、例えばエアコンであれば、例えば冷暖房機能、温度管理機能、タイマ機能等を司る処理部などのことである。
【００５７】
また、記憶媒体インタフェース２０６は、挿入する記憶媒体に書き込み中であることを利用者に通知するＬＥＤ（発光ダイオード）ライトを具備している。
【００５８】
次に、各ノード１００が備える機能を図３に従って説明する。これらの機能により、ノード１００は、ネットワークを介して、利用者がサービスの相互利用を許可したグループを構成するノード１００間でサービスの提供を実現する。
【００５９】
各ノード１００は、アプリケーション３０１と、グループ管理処理部３０２と、ＴＣＰ／ＵＤＰ送信処理部３０３と、ＩＰ送信部３０４と、アクセスポリシデータベース３０８と、ＳＡデータベース３０９と、ネットワークインタフェース受信処理部３１０と、ＩＰ受信部３１４と、ＴＣＰ／ＵＤＰ受信処理部３１５と、ネットワークインタフェース送信処理部３１７と、記憶媒体インタフェース処理部３１８とを備える。
【００６０】
アプリケーション３０１は、各ノード特有のサービスを提供するものである。
【００６１】
グループ管理処理部３０２は、後述するグループの生成、離脱、更新など、グループに関する管理を行なうものである。
【００６２】
ネットワークインタフェース受信処理部３１０とネットワークインタフェース送信処理部３１７とは、ネットワークカードを制御するものである。
【００６３】
記憶媒体インタフェース処理部３１８は、記憶媒体インタフェース２０６を制御するものである。記憶媒体インタフェース３１８は、メモリカード等の記録媒体が記録媒体インタフェース２０６に挿入されたことを検出すると、記憶媒体インタフェース２０６に備えられているＬＥＤライトを点灯し、メモリカードを利用中であることを利用者に対して示す。また、グループ管理処理部３０２から処理終了の通知を受けると、記憶媒体インタフェース２０６に備えられているＬＥＤライトを消灯し、利用者に対し、メモリカード等の記憶媒体への書込みが終了したこと、および、グループ管理処理部３０２における処理が完了したことを通知する。
【００６４】
なお、通知を受けた利用者は、メモリカードを当該記憶媒体インタフェース２０６から取り出すことができる。
【００６５】
ＴＣＰ／ＵＤＰ送信処理部３０３と、ＩＰ送信部３０４と、ＩＰ受信部３１４と、ＴＣＰ／ＵＤＰ受信処理部３１５とは、送受するＩＰパケットに対し、各層の処理を行い、通信を実現するものである。
【００６６】
ＩＰ送信部３０４は、ＩＰｖ６送信前処理部３０５と、ＩＰｓｅｃ送信処理部３０６と、ＩＰｖ６後処理部３０７とを備え、ＩＰ受信部３１４は、ＩＰｖ６受信前処理部３１１と、ＩＰｓｅｃ受信処理部３１２と、ＩＰｖ６受信後処理部３１３とを備える。ＩＰ送信部３０４とＩＰ受信部３１４とで、ＩＰｖ６による通信を実現する。
【００６７】
ここで、ＩＰｖ６受信前処理部３１１は、ＩＰヘッダを構成するバージョン、ペイロード長、ホップ・リミットの設定値の確認およびオプションヘッダ（ＡＨとＥＳＰとを除く）処理といったＩＰｖ６受信前処理を行なうものである。ＩＰｖ６受信前処理部３１１は、受け取ったＩＰパケットにＡＨヘッダまたはＥＳＰヘッダのいずれかが付加されていた場合、そのＩＰパケットをＩＰｓｅｃ処理部３１２に受け渡す。いずれのヘッダも付加されていなかった場合、そのＩＰパケットを後述する受信アクセス制御部３１６に受け渡す。
【００６８】
ＩＰｓｅｃ処理部３１２は、ＩＰヘッダのオプションヘッダのうち、ＡＨとＥＳＰの処理を行ない、受信したＩＰパケットがグループに属するノード１００から送信されたものか否かを判断する。
【００６９】
ＩＰｖ６受信後処理部３１３は、ＩＰパケットを受け取ると、送信元ＩＰアドレス、送信先ＩＰアドレスを含むPusedo Headerを作成し、受け取ったＩＰパケットのＩＰヘッダと置き換え、ＴＣＰ/ＵＤＰ受信処理部３１５に受け渡すといったＩＰｖ６受信後処理を行なう。また、ＩＰ受信部３１４は、受信アクセス制御部３１６をさらに備える。
【００７０】
受信アクセス制御部３１６は、ＩＰｖ６受信前処理部３１１から、ＡＨヘッダまたはＥＳＰヘッダを有していないＩＰパケットを受け取り、当該ＩＰパケットのアプリケーションへのアクセスを制御するものである。
【００７１】
ＳＡデータベース３０９は、ＩＰｓｅｃで必要なセキュリティアソシエーション（ＳＡ）が格納されているものである。
【００７２】
アクセスポリシデータベース３０８は、グループ内での通信を実現するため、各ノードに対するアクセス制御に関する情報及びグループ情報が格納されているものである。
【００７３】
アクセスポリシデータベース３０８は、グループ管理テーブル６００と、アクセス制御対象アプリケーション管理テーブル７００と、グループメンバ管理テーブル８００とを備える。
【００７４】
なお、グループ管理テーブル６００は、記憶媒体インタフェース２０６を介してノードに接続される記憶媒体であるメモリカード上でも保持されるものである。
【００７５】
以下、グループ管理処理部３０２、アクセスポリシデータベース３０６の各データベース、および、ＳＡデータベース３０９内のＳＡについて、その詳細を説明する。
【００７６】
図６に、グループ管理処理部３０２の機能構成図を示す。
【００７７】
本図に示すように、グループ管理処理部３０２は、制御部３１００と、グループ生成処理部３２００と、グループ参加処理部３３００と、グループ離脱処理部３４００と、グループ情報更新処理部３５００と、グループ制御ＩＰパケット受信処理部３６００とを備える。
【００７８】
グループ管理処理部３０２は、ユーザがメモリカードを記憶媒体インタフェース２０６に挿入したことを検出した記憶媒体インタフェース処理部３１８からの指示で処理を開始する。
【００７９】
制御部３１００は、記憶媒体インタフェース処理部３１８からの指示を受け、挿入されたメモリカード内と、自身が保有するアクセスポリシデータベース３０８を検索し、グループ管理テーブル６００の有無を確認する。
【００８０】
グループ生成処理部３２００は、グループ自体が存在しない場合に、新たにグループを生成するグループ生成処理を行なう。グループ生成処理は、制御部３１００がメモリカードにもアクセスポリシデータベース３０８にもグループ管理テーブル６００が存在しないと判断した場合に行なわれるものである。
【００８１】
具体的には、グループに属する他のノードと暗号通信を行なうために必要な情報、すなわち、グループ管理テーブル６００に登録すべき項目を生成、選択し、グループ管理テーブル６００を作成し、それを、メモリカードおよびアクセスポリシデータベース３０８に登録する。
【００８２】
グループ参加処理部３３００は、既存のグループに、新たなメンバとして自身を参加させるグループ参加処理を行うものである。グループ参加処理は、制御部３１００がメモリカードにはグループ管理テーブル６００が存在するが、アクセスポリシデータベース３０８にグループ管理テーブル６００が存在しないと判断した際に行われるものである。
【００８３】
グループ参加処理部３３００は、挿入されたメモリカードに格納されている暗号通信に必要な情報を取得し、また、自身のノード１００と暗号通信を行なうために必要な情報をグループに既に属している他のノード１００に送信する。具体的には、メモリカード内のグループ管理テーブル６００に自身の情報を追加し、自身の情報が追加されたグループ管理テーブル６００を、アクセスポリシデータベース３０８に登録する。
【００８４】
また、グループ管理テーブル６００から得た、グループに既に属しているノード１００のホスト名からＩＰアドレスを解決することで、グループメンバ管理テーブル８００を生成する。
【００８５】
さらに、グループ参加処理部３３００は、グループ内の各ノード１００とＩＰｓｅｃ通信が可能となるように、セキュリティアソシエーションの設定を行ない、ＳＡデータベース３０９に登録し、グループ内の既存のメンバのノード１００に、ＩＰｓｅｃ通信で自身が追加されたことを通知する。
【００８６】
グループ離脱処理部３４００は、グループから離脱するグループ離脱処理を行なうものである。
【００８７】
本実施形態では、ユーザが所定のノード１００をグループから離脱させたい場合、当該ノード１００に空のメモリカードを挿入することとする。すなわち、グループ離脱処理は、制御部３１００が、自身のアクセスポリシデータベース３０８にはグループ管理テーブル６００が存在するが、挿入されたメモリカードにはグループ管理テーブル６００が存在しないと判断した際に行われるものである。
【００８８】
グループ離脱処理は、グループに属する他のノード１００に自身のノード１００が離脱することを通知し、当該グループ内で暗号通信を行なうために必要な情報、すなわち、自身のアクセスポリシデータベース３０８およびＳＡデータベース３０９内のグループ間の通信に係わるデータを削除するものである。
【００８９】
ここで、グループ参加処理部３３００およびグループ離脱処理部３４００がそれぞれ、参加および離脱をグループに属する各ノード１００に通知する際は、グループ制御ＩＰパケットと呼ぶ特別なデータ部を有するＩＰパケットを用いる。
【００９０】
ここで、そのグループ制御ＩＰパケットについて説明する。図７にグループ制御ＩＰパケットのデータ部１０００の一例を示す。
【００９１】
本図に示すように、グループ制御ＩＰパケットのデータ部１０００は、コマンド識別子を格納するコマンド識別子格納部１００１と、ＩＰアドレスとホスト名とをそれぞれ格納する、１６バイトのＩＰアドレス格納部１００２と、ホスト名格納部１００３とを備える。
【００９２】
ここで、新規参加を通知する際にグループに属する各ノード１００に送信されるグループ制御ＩＰパケットの場合、コマンド識別子格納部１００１に「加入」を示す（００）hexが設定される（以後、本グループ制御ＩＰパケットを加入コマンドと呼ぶ）。そして、ＩＰアドレス格納部１００２と、ホスト名格納部１００３とには、それぞれ自身のアドレスとホスト名とが設定される。
【００９３】
また、グループから離脱する際にグループに属する各ノード１００に送信されるグループ制御ＩＰパケットの場合、コマンド識別子格納部１００１に「離脱」を示す（０１）hexが設定される（以後、本グループ制御ＩＰパケットを離脱コマンドと呼ぶ）。そして、ＩＰアドレス格納部１００２と、ホスト名格納部１００３とには、それぞれ自身のアドレスとホスト名とが設定される。
【００９４】
グループ情報更新処理部３５００は、グループ管理テーブル６００の内容を更新したり、それをメモリカードにコピーするといったグループ情報更新処理を行なうものである。
【００９５】
本実施形態においては、セキュリティを向上させるために、グループ内で利用するグループ鍵が所定の期間ごとに更新される設定となっている。グループ情報更新処理部３５００は、グループ管理テーブル６００の鍵有効期限がタイムアウトした時点で、新しいグループ鍵を生成する。
【００９６】
ここで、グループ管理テーブル６００生成時に、ノード毎に、異なる鍵有効期限が設定される。具体的には、所定の有効期限の、例えば、プラスマイナス３０％間のランダムな値を、その鍵有効期限に加算あるいは減算することで得られた値を鍵有効期限として各ノードに設定する。このため、各ノードで鍵有効期限のタイムアウトが異なるタイミングで生じ、鍵の更新を行なうノードが一つに定まり、グループのメンバが同時にグループ鍵を生成することを避けることができる。
【００９７】
そして、更新されたグループ鍵を更新前のグループ鍵で暗号化し、グループ鍵を更新したメンバからグループに属する各ノードに送付する。このとき、鍵の更新とともに、各ノードの鍵有効期限を再設定してもよい。
【００９８】
また、グループ情報更新処理部３５００は、他のノードから、更新されたグループ鍵を受信した場合、自身の保有するグループ鍵の情報を更新するとともに、グループに属する各ノード１００のＩＰアドレスが更新された場合、関連するデータベース内のＩＰアドレスを更新する。
【００９９】
ここで、本実施形態では、グループの鍵の更新は上述のように行なわれるため、グループ参加処理に用いられるメモリカード内のグループ管理テーブル６００には反映されない。同様に、上述のグループからの離脱処理は、空のメモリカードを用いて行なわれ、離脱したノード１００からグループを構成する他のノード１００への通知は、ＩＰｓｅｃ通信によって行われる。このため、グループ離脱によるグループ構成メンバの変更も、グループ参加処理に用いられるメモリカード内のグループ管理テーブル６００に反映されない。
【０１００】
このため、本実施形態では、グループ情報更新処理部３５００が、メモリカード内のグループ管理テーブル６００の更新処理も行なう。
【０１０１】
グループ情報更新処理部３５００が行なうメモリカード内のグループ管理テーブル６００の更新処理は、制御部３１００が、自身のアクセスポリシデータベース３０８にも、挿入されたメモリカードにもグループ管理テーブル６００が存在すると判断した際に行われるものである。
【０１０２】
グループ情報更新処理部３５００は、当該ノード１００のアクセスポリシデータベース３０８に格納されているグループ管理テーブル６００の情報をメモリカード内のグループ管理テーブル６００にコピーする。
【０１０３】
本実施形態では、実際のグループ参加処理において、グループ参加処理を行なう場合に、グループに既に所属しているノード１００にメモリカードを挿入し、メモリカード内のグループ管理テーブル６００を最新のものとする処理を前もって行なうよう手順を定めておく。
【０１０４】
グループ制御ＩＰパケット受信処理部３６００は、前述のグループ制御ＩＰパケットを受信した際の処理を行うものである。
【０１０５】
具体的には、加入コマンドを受信した場合は、ＩＰアドレス格納部１００２およびホスト名格納部１００３に格納されているＩＰアドレスおよびホスト名を自身のグループ管理テーブル６００およびグループメンバ管理テーブル８００とに追加し、送信元ノード１００と暗号通信を行なうために必要なセキュリティアソシエーションを作成する。一方、離脱コマンドを受信した場合は、それらを削除する。
【０１０６】
次に、アクセスポリシデータベース３０８に格納されるグループ管理テーブル６００とアクセス制御対応アプリケーション管理テーブル７００と、グループメンバ管理テーブル８００とについて以下に説明する。
【０１０７】
グループ管理テーブル６００は、グループに属するノード１００を識別するための情報とグループで共有する鍵の情報とを格納するテーブルである。図８にその一例を示す。
【０１０８】
本図に示すようにグループ管理テーブル６００は、ネットワークに接続されたノード１００によって構成されるグループを識別するためのグループ識別子を格納するグループ識別子格納フィールド６０１と、グループ鍵を格納するグループ鍵格納フィールド６０２と、そのグループ鍵の有効期限を格納するグループ鍵有効期限格納フィールド６０３と、ＡＨ、ＥＳＰといったグループ内で通信に利用するＩＰｓｅｃの機能の種別を格納するＩＰｓｅｃ種別格納フィールド６０４と、認証あるいは暗号に用いるアルゴリズムを格納するアルゴリズム格納フィールド６０５と、グループに属するノード１００を識別する情報であるホスト名を格納するホスト名格納フィールド６０６（６０６Ａ〜６０６Ｂ）とを備える。
【０１０９】
アクセス制御対象アプリケーション管理テーブル７００は、ノード１００にグループ外のノード１００が利用可能なアプリケーションが実装されている場合、ノード１００に実装されている各アプリケーションに対するアクセス制御のために用いる情報が格納されているテーブルである。
【０１１０】
なお、本テーブルは、ノード１００がグループ内からのアクセスに対してのみ提供するアプリケーションだけを実装している場合は不要なものである。
【０１１１】
アクセス制御対象アプリケーション管理テーブル７００の一例を図９に示す。
【０１１２】
本図に示すように、アクセス制御対象アプリケーション管理テーブル７００は、グループ外のノード１００にも開放されているアプリケーションが利用するポート番号を格納するポート番号格納フィールド７０１（７０１Ａ、７０１Ｂ）を備える。各ノード１００は、ＩＰパケット受信時に、本テーブルを参照し、当該ＩＰパケットがアクセスしようとしているアプリケーションがグループ外のノード１００にも開放されたアプリケーションであるか否かの判定を行う。
【０１１３】
次に、グループメンバ管理テーブル８００について説明する。各ノード１００間で、ＩＰｖ６に基づき、ＩＰパケット通信を行なうためには、各ノード１００のＩＰアドレスを知る必要がある。グループに属する各ノード１００のＩＰアドレスは、グループ参加時に取得した各ノード１００のホスト名からＩＣＭＰ(Internet Control Message Protocol) Echo Request/Replyパケットのやりとりにより、アドレスの解決を行なうことで取得する。このように、グループメンバ管理テーブル８００は、各ノードにおいてホスト名からＩＰアドレスを解決して作成するもので、そこには、グループに属する各ノード１００のホスト名とＩＰアドレスとの対応が格納されている。
【０１１４】
図１０にグループメンバ管理テーブル８００の一例を示す。
【０１１５】
本図に示すように、本テーブルは、ノードを特定するホスト名を格納するホスト名格納フィールド８０１と、ホスト名と対応させて各ノード１００のＩＰアドレスを格納するＩＰアドレス格納フィールド８０２と、ＩＰアドレスの有効期限を格納する有効期限格納フィールド８０２とを備える。
【０１１６】
ノード１００が再起動した場合などに、ノード１００のＩＰアドレスは変わる可能性がある。また、一定時間内にＩＰアドレス格納部８０２に格納されているＩＰアドレスと送受信が行われないと、有効期限が切れる場合がある。
【０１１７】
このようなノードに対しＩＰパケットを送信する場合、ノード１００のＩＰｖ６送信前処理部３０５は、ＩＣＭＰ Echo Request/Replyパケットのやりとりにより、ホスト名からアドレスの解決を再度行ない、グループ管理処理部３０２に通知する。それを受けて、グループ管理処理部３０２のグループ情報更新処理部３５００は、ＩＰアドレスが登録されている本テーブルおよびグループ内の通信に利用するセキュリティアソシエーションを更新する。
【０１１８】
次に、ＳＡデータベース３０９に格納されている、セキュリティアソシエーション９００について説明する。セキュリティアソシエーション９００は、ＩＰｓｅｃにのっとった通信を行うために共有すべき情報を管理するものであり、例えば、ノード１００Ａとノード１００Ｂ間で通信する場合、ノード１００Ａからノード１００Ｂ方向の通信、および、ノード１００Ｂからノード１００Ａ方向の通信、両者に対し、独立して設定する必要があるものである。
【０１１９】
図１１に、セキュリティアソシエーション９００の一例を示す。
【０１２０】
本図に示すように、セキュリティアソシエーション９００は、各セキュリティアソシエーションを識別するＳＰＩ(セキュリティポリシ識別子)、送信元ＩＰアドレス、送信先アドレス、プロトコルとして認証あるいは暗号の指定、暗号範囲としてトランスポートモードあるいはトンネルモードの指定、暗号アルゴリズム、暗号鍵、認証アルゴリズム、認証鍵、鍵の有効期限などを含む。
【０１２１】
本実施形態では、各ノード１００においてセキュリティアソシエーション９００を作成するにあたり、送信用のセキュリティアソシエーション９００を作成する場合は、送信元ＩＰアドレスには、自身のノード１００のＩＰアドレスを、送信先ＩＰアドレスには、通信相手先ノードのＩＰアドレスを設定し、受信用を作成する場合は、送信元ＩＰアドレスには、通信相手先のＩＰアドレスを設定し、送信先ＩＰアドレスには、自身のノード１００のＩＰアドレスを設定する。
【０１２２】
ＳＰＩには、送信用、受信用ともに、グループ管理テーブル６００のグループ識別子格納部６０１に格納されているグループ識別子が格納される。また、送信用、受信用ともに、プロトコル、認証鍵アルゴリズム、認証鍵、有効期限には、それぞれ、グループ管理テーブル６００に格納されているものが設定される。
【０１２３】
以上、本実施形態におけるノード１００の各機能などについて説明した。
【０１２４】
次に、本実施形態における、ネットワーク１１０に接続された各ノード１００間で、グループを生成し、参加する手順、また、一旦参加したグループから離脱する手順などを説明する。
【０１２５】
以下においては、ＩＰｓｅｃの機能種別としてＡＨを、モードとしてトランスポートモードを、認証アルゴリズムとしてＳＨＡ−１（Secure Hash Algorithm 1:SHS(Secure Hash Standard) FIPS 180として規定）を用いる場合を例にあげ、説明する。ＩＰｓｅｃ通信の設定は、これらに限られない。
【０１２６】
また、本実施形態においては、前述したように、グループの情報を格納するメモリカードと、グループを離脱する際に用いる空のメモリカードとの２つのメモリカードを用いてグループの生成、参加、離脱、情報更新などを行なう。
【０１２７】
図１２に、グループ管理処理部３０２が行なうグループ管理処理手順３０２０を示す。
【０１２８】
グループ管理処理手順３０２０は、ユーザがメモリカードを各ノード１００の記録媒体インタフェース２０６に挿入することをきっかけに開始される。
【０１２９】
そして、ノード１００の記憶媒体インタフェース処理部３１８は、メモリカードが記録媒体インタフェース２０６に挿入されたことを検出すると、記憶媒体インタフェース２０６に備えられているＬＥＤライトを点灯し、メモリカードを利用中であることを利用者に対して示す。
【０１３０】
ＬＥＤライトが消灯されたことにより、ユーザは処理が終了したことを知り、メモリカードを取り出すことができる。
【０１３１】
また、記憶媒体インタフェース処理部３１８は、メモリカードを検出したことをグループ管理処理部３０２へ通知する。その通知を受けて、グループ管理処理部３０２は、グループ管理処理１０００を開始する。
【０１３２】
まず、グループ管理処理部３０２の制御部３１００は、自身のアクセスポリシデータベース３０８と、記録媒体インタフェース処理部３１８を介してメモリカード挿入されたメモリカードとにアクセスし、グループ管理テーブル６００の有無を確認する（ステップ３０２１）。
【０１３３】
ここで、どちらにもグループ管理テーブル６００がない場合、グループ自体が存在しない、すなわち、グループを生成する必要があると判断し、制御部３１００は、グループ生成処理部３２００にグループ生成処理３２１０を行わせる（ステップ３０２２）。グループ生成処理３２１０が完了すると、制御部３０２は、記憶媒体インタフェース処理部３１８に対し、メモリカードの書き込み終了を通知し（ステップ３０２７）、処理を終える。
自身のアクセスポリシデータベース３０２には無く、メモリカードには存在した場合、制御部３１００は、メモリカードに存在するグループに自身が参加しようとしていると判断し、グループ参加処理部３３００にグループ参加処理３３１０を行なわせ（ステップ３０２３）、グループ参加処理が完了すると、ステップ３０２７に進む。
【０１３４】
メモリカードには無く、自身のアクセスポリシデータベース３０２には存在した場合、制御部３１００は、自身は既にグループに属しているが空白のメモリカードが挿入されたことにより、グループ離脱処理を行なうものと判断し、グループ離脱処理部３４００にグループ離脱処理３４１０を行なわせ（ステップ３０２６）、グループ離脱処理が完了するとステップ３０２７に進む。
【０１３５】
どちらにもグループ管理テーブル６００が存在する場合は、制御部３１００は、まず、アクセスポリシデータベース３０２内のグループ管理テーブル６００とメモリカード内のグループ管理テーブル６００とのグループ識別子を比較する（ステップ３０２４）。
【０１３６】
ここで、両者が同じであれば、メモリカードのグループ情報を更新する処理を行なうものと判断し、グループ情報更新処理部３５００にグループ情報更新処理３５１０としてアクセスポリシデータベース３０２内のグループ管理テーブル６００をメモリカードにコピーする処理を行なわせ（ステップ３０２５）、当該処理が完了すると、ステップ３０２７に進む。
【０１３７】
ステップ３０２４において、両者が異なった場合、制御部３１００は、誤ったメモリカードが挿入されたと判断し、そのままステップ３０２７にすすむ。
【０１３８】
次に、グループ生成処理１２００、グループ参加処理１３００、グループ離脱処理１６００、グループ情報更新処理１５００の手順を説明する。
【０１３９】
まず、グループ生成処理３２１０の処理手順を図１３に示す。
【０１４０】
制御部３１００から処理開始の指示を受けると、グループ生成処理部３２００は、グループ鍵を生成し（ステップ３２１１）、グループを識別するためのグループ識別子を生成し（ステップ３２１２）、認証・暗号モードとして認証（ＡＨ）を選択し（ステップ３２１３）、アルゴリズムとしてＳＨＡ−１を選択する（ステップ３２１４）。
【０１４１】
そして、それぞれを、グループ鍵格納フィールド６０２、グループ識別子格納フィールド６０１、ＩＰｓｅｃ種別格納フィールド６０４、アルゴリズム格納フィールド６０５に格納し、グループ管理テーブル６００を作成する（ステップ３２１５）。そして、ホスト名格納フィールド６０６に自ノード１００のホスト名を登録する（ステップ３２１６）。
【０１４２】
グループ管理テーブル６００が完成すると、グループ生成処理部３２００は、本テーブルをメモリカードにコピーすると共に、自ノード１００のアクセスポリシデータベース３０８に記憶し（ステップ３２１７，３２１８）、処理が終了したことを制御部３１００に通知する。
【０１４３】
次に、グループ参加処理３３１０の処理手順を図１４に示す。
【０１４４】
制御部３１００から処理開始の指示を受けると、グループ参加処理部３３００は、メモリカード上のグループ管理テーブル６００のホスト名格納フィールド６０６に自ノード１００のホスト名を追加し（ステップ３３１１）、メモリカード上のグループ管理テーブル６００を自身のアクセスポリシデータベース３０８内に記憶する（ステップ３３１２）。
【０１４５】
次に、グループメンバ管理テーブル８００を作成するともに、グループに既に属している各ノード１００に、自身の参加を通知する新メンバ通知処理３７１０を行なう（ステップ３３１３）。
【０１４６】
そして、今までのステップで記録されたグループ管理テーブル６００の情報およびグループメンバ管理テーブル８００の情報とを用い、各ノード１００とのＩＰｓｅｃ通信に用いるセキュリティアソシエーション９００を生成し（ステップ３３１４）、処理が終了したことを制御部３１００に通知する。
【０１４７】
ここで、新メンバ通知処理３７１０についてその処理手順を説明する。図１５にその処理手順を示す。
【０１４８】
新メンバ通知処理３７１０では、グループ管理テーブル６００内のホスト名フィールド６０６に格納されているホストごとに順に、ＩＣＭＰ Echo Request / ReplyによりＩＰアドレスを取得し（ステップ３７１２）、グループメンバ管理テーブル８００に、ホスト名ごとに取得したＩＰアドレスを登録する（ステップ３７１３）。
【０１４９】
上記のステップで取得した、グループを構成する各ノード１００のＩＰアドレスに対して加入コマンドを生成し（ステップ３７１４）、それを送信する（ステップ３７１５）。
【０１５０】
そして、次のホスト名を読み出して、ステップ１３３０から１３６０の処理を繰り返す（ステップ３３１６）。ここで、読み出したホスト名が自身のホスト名の場合は、何も処理を行わず、次のホスト名を読み出す（ステップ３７１１）。そして、グループ管理テーブル６００のホスト名格納フィールド６０６に格納されている、自身のノード１００を除く全てのノードに対して以上の処理を終えると（ステップ３７１７）、グループ内への新メンバ通知処理１３３０を終える。
【０１５１】
以上、グループ参加処理３３１０について説明した。
【０１５２】
次に、グループ離脱処理３４１０について、図１６を用いて説明する。
【０１５３】
制御部３１００から処理開始の指示を受けると、グループ離脱処理部３４００は、ノード１００内のグループ管理テーブル６００のホスト名格納部６０６に登録されているホスト名を順番に読み出す（ステップ３３１１）。
【０１５４】
ここで、読み出したホスト名が自ホスト名と一致した場合は、次のホスト名を読み出す。
【０１５５】
読み出したホスト名が自ホスト名と一致しない場合は、グループメンバ管理テーブル８００から読み出したホスト名に対応するＩＰアドレスを検索する（ステップ３３１２）。以後、このＩＰアドレスを検索したＩＰアドレスと呼ぶ。
【０１５６】
次に、送信先ＩＰアドレスを検索したＩＰアドレスとした離脱コマンドを作成し（ステップ３３１３）、その送信先ＩＰアドレスを有するノード１００に送信する（ステップ３３１４）。
【０１５７】
グループ離脱処理部３４００は、自身の保有するグループメンバ管理テーブル８００から以上の操作を行なった検索したＩＰアドレスに係わるデータを削除する（ステップ３３１５）。
【０１５８】
次に、ＳＡデータベース３０９に記憶されているセキュリティアソシエーション９００から検索したＩＰアドレスと等しい送信先ＩＰアドレスを持つものを抽出し、そのセキュリティアソシエーション９００を削除する（ステップ３３１６）。
【０１５９】
また、検索したＩＰアドレスと等しい送信元ＩＰアドレスを持つセキュリティアソシエーション９００を抽出し、それを削除する（ステップ３３１７）。
【０１６０】
グループ離脱処理部３４００は、グループ管理テーブル６００に登録されている全てのホスト名に対して、以上のステップ３３１１〜ステップ３３１７の処理を実行した後（ステップ３３１８）、自身が保有するグループ管理テーブル６００を削除し（ステップ３３１９）、グループ離脱処理３３１０を終了する。そして、制御部３１００に処理終了を通知する。
【０１６１】
次に、上記のグループ参加処理３３１０内のグループ内への新メンバ通知処理３７１０のステップ３７１５およびグループ離脱処理３３１０のステップ３３１４において送信された、それぞれ加入コマンドおよび離脱コマンドを受信した場合の各ノード１００側での処理を以下に説明する。
【０１６２】
本処理は、グループ制御ＩＰパケット受信処理部３６００によって行なわれ、グループ制御ＩＰパケット受信処理３６１０と呼ぶ。図１７に本処理の手順を示す。
【０１６３】
グループを構成する各ノード１００は、ネットワークインタフェース受信処理部３１０においてグループ制御ＩＰパケットを受信すると、ＩＰ受信部３１４、ＴＣＰ／ＵＤＰ受信処理部３１５を経てグループ管理処理部３０２のグループ制御ＩＰパケット受信処理部３６００へ受け渡す。
【０１６４】
受信したグループ制御ＩＰパケット受信処理部３６００は、コマンド識別子格納部１００１に設定されているコマンド識別子が加入であるか否かを確認する（ステップ３６１１）。
【０１６５】
ステップ３６１１でコマンド識別子が加入を示す（００）hexであった場合、すなわち、加入コマンドを受信した場合、ステップ３６１２に進み、グループ制御ＩＰパケットのホスト名１００３に設定されている加入コマンドを送信してきたノード１００のホスト名をグループ管理テーブル６００に登録する（ステップ３６１２）。
【０１６６】
そして、グループメンバ管理テーブル８００に、加入コマンドを送信してきたノード１００のホスト名と、グループ制御ＩＰパケットのＩＰアドレス格納部１００２に設定されているそのＩＰアドレスとを登録する（ステップ３６１３）。
【０１６７】
次に、グループ制御ＩＰパケット受信処理部３６００は、送信用、すなわち、自身のノード１００から加入コマンドを送信してきた新規に加入したノード１００方向の送信、および、受信用、すなわち、加入コマンドを送信してきた新規に加入したノード１００から自身のノード１００方向の送信、各々のセキュリティアソシエーション９００を作成する処理を行なう（ステップ３６１４、３６１５）。
【０１６８】
次に、ステップ３６１１でコマンド識別子が離脱を示す（０１）hexであった場合、すなわち、離脱コマンドを受信した場合、グループ制御ＩＰパケット受信処理部３６００は、ステップ３６１６に進む。
【０１６９】
ここで、グループ制御ＩＰパケット受信処理部３６００は、ＳＡデータベース３０９に記憶されているセキュリティアソシエーション９００から、受信したグループ離脱コマンドのデータ部１０００のＩＰアドレス１００２に格納されているＩＰアドレスと等しい送信先ＩＰアドレスを持つものを抽出し、抽出したセキュリティアソシエーションを削除する（ステップ３６１６）。
次に、受信した離脱コマンドのＩＰアドレス１００２と等しいＩＰアドレスを有するデータをグループメンバ管理テーブル８００から削除し（ステップ３６１７）、受信した離脱コマンドのホスト名１００３に格納されているホスト名と等しいホスト名を、自ノード１００上のグループ管理テーブル６００から削除する（ステップ３６１８）。
【０１７０】
グループ内の全てのノード１００において以上の手順を行なうことにより、全てのノード１００が保有する離脱したノード１００に対応するセキュリティアソシエーション９００を削除し、また、グループ管理テーブル６００から、離脱したノード１００の情報を削除する。
【０１７１】
以上のようにして、グループを構成するノード１００に新規加入または離脱といった変更があった場合、当該ノード１００から送信されるグループ制御ＩＰパケットを受信した他のノード１００において、自身の保有するセキュリティアソシエーションおよびグループ管理テーブル６００が更新される。
【０１７２】
以上、グループ制御ＩＰパケット受信処理を説明した。
【０１７３】
ここまで、グループ管理処理部３０２による、グループの生成、参加、離脱などのグループ管理処理について説明した。
【０１７４】
次に、上記の手順で生成され管理されているグループ内で、アプリケーションを互いに利用する手順を以下に説明する。
【０１７５】
アプリケーションの利用は、ＩＰパケットを互いに送受することによって行なわれる。まず、このＩＰパケットの送受信について説明する。
【０１７６】
前述のように、ＩＰｓｅｃ通信を行うために予め設定の必要なセキュリティアソシエーション９００は、グループ管理処理３０２において、新たなグループ構成メンバが追加される際に生成される。すなわち、グループに属している限り、ＩＰｓｅｃ通信は可能である。
【０１７７】
ＩＰパケットを送信するにあたり、ＩＰｓｅｃ送信処理部３０６は、送信するＩＰヘッダの送信先ＩＰアドレスをキーに、ＳＡデータベース３０９を検索し、対応するＩＰアドレスが送信先ＩＰアドレスとして格納されているセキュリティアソシエーション９００を抽出する。抽出したセキュリティアソシエーション９００に登録されている情報に基づき、ＩＰｓｅｃ処理を行い、ＩＰｖ６送信後処理３０７を行い、ネットワークインタフェース送信処理部を介して、送信先ノードにＩＰパケットを送信する。
【０１７８】
次に、ＩＰパケット受信時の処理手順を図１８を用いて説明する。
【０１７９】
ネットワークインタフェース受信処理部３１０を介してＩＰパケットを受信すると、ＩＰｖ６受信前処理部３１１は、ＩＰｖ６受信前処理を行い（ステップ４０１０）、受信したＩＰヘッダ内の、ＡＨヘッダの有無をチェックする（ステップ４０２０）。
【０１８０】
受信したＩＰヘッダ内にＡＨヘッダ４０１があると判断したならば、そのＩＰパケットをＩＰｓｅｃ受信処理部３１２に受け渡す。
【０１８１】
受け取ったＩＰｓｅｃ受信処理部３１２は、後述するＩＰｓｅｃ受信処理３１２０を行い（ステップ４０３０）、ＩＰｖ６受信後処理部３１３にＩＰパケットを受け渡す。
【０１８２】
そして、ＩＰｖ６受信後処理部３１３は、ＩＰｖ６受信後処理３１３０を行い（ステップ４０４０）、処理を終了する。
【０１８３】
なお、ここで、ＩＰｖ６受信後処理部３１３は、ＩＰｖ６受信後処理３１３０を終えた受信したパケットをＴＣＰ/ＵＤＰ受信処理部３１５に受け渡す。受け取ったＴＣＰ/ＵＤＰ受信処理部３１５は、受け取ったパケットの受信処理を行い、アプリケーション３０１に受信データとして渡す。
【０１８４】
ステップ４０２０で、上記のヘッダがないと判断した場合、そのＩＰパケットを受信アクセス制御部３１６に受け渡す。
【０１８５】
受け取った受信アクセス制御部３１６は、それがＩＣＭＰパケットであるか否かチェックする（ステップ４０５０）。
【０１８６】
ステップ４０５０で、受信したＩＰパケットが、ＩＣＭＰパケットであると判断されたならば、そのままＩＰｖ６受信後処理部３１３に受け渡し、ＩＰｖ６受信後処理３１３０を行い（ステップ４０４０）、処理を終了する。
【０１８７】
ステップ４０５０で、ＩＣＭＰパケットではないと判断されたならば、受信アクセス制御部３１６は、そのＩＰパケットをグループ外のノード１００から送信されたグループ外ＩＰパケットであると判断し、後述するグループ外ＩＰパケット受信処理３１６０を行い（ステップ４０６０）、処理を終了する。
【０１８８】
次に、上記のＩＰｓｅｃ処理３１２０について説明する。
【０１８９】
ＩＰｓｅｃ処理部３１２は、ＡＨヘッダを有するＩＰパケットを受信すると、ＩＰヘッダの送信元ＩＰアドレス、送信先ＩＰアドレス、ＡＨヘッダ４０１に設定されているＳＰＩが一致するセキュリティアソシエーション９００をＳＡデータベース３０９から抽出する。
【０１９０】
そして、抽出したセキュリティアソシエーション９００に記憶されている認証鍵を用いて受信したＩＰパケットの認証情報を作成し、ＡＨヘッダ４０１に設定されている認証情報と比較する。
【０１９１】
両者が一致していれば、受信したＩＰパケットをグループに属する正当なノード１００からの送信とみなし、ＩＰｖ６受信後処理部３１３に受け渡す。そして、一致しない場合は、そのＩＰパケット破棄する。
【０１９２】
以上ＩＰｓｅｃ処理３１２０について説明した。
【０１９３】
次に、受信アクセス制御部３１６によるグループ外パケット受信処理３１６０について説明する。
【０１９４】
以上のように、本実施形態においては、グループに属するノード１００は、グループ外のノード１００から、ＡＨヘッダを有するＩＰパケットを受信した場合は、ＩＰｓｅｃ通信処理部３１２において、また、ＡＨヘッダを有しないＩＰパケットを受信した場合は、ＩＰｖ６受信前処理部３１１において、当該ＩＰパケットが、ＩＰｖ６受信後処理部３１３、ＴＣＰ/ＵＤＰ受信処理部３１５を介してアプリケーション３０１に到達することを排除している。
【０１９５】
しかし、本実施形態においては、ノード１００によっては、その保有するアプリケーションの利用を、グループ外のノード１００にも開放しているものがある。前述したように、このようなアプリケーションを有するノード１００は、アプリケーションごとのポート番号を、アクセス制御対象アプリケーション管理テーブル７００において管理している。
【０１９６】
グループ外のノード１００からＡＨヘッダを有するＩＰパケットを受信した場合は、そのＩＰパケットを復号することができないため、それはＩＰｓｅｃ通信処理部３１２において破棄することは先に説明した。
【０１９７】
グループ外ＩＰパケット受信処理３１６０は、グループ外のノード１００から通常のＩＰパケットを受信した際に、グループ外のノード１００に開放しているアプリケーションに当該ＩＰパケットを送達する処理である。
【０１９８】
グループ外ＩＰパケット受信処理３１６０では、ＩＰパケットを受け取ったノード１００が、グループ外のノード１００に対し何らサービス機能を提供しない場合、アクセスエラーをデータとして格納したＩＰパケットを送信元に対して送信し、受信したＩＰパケットは破棄する。これに対し、グループ外のノード１００に対して何らかのサービス機能を提供する場合は、アクセス制御対象アプリケーション管理テーブル７００の登録に従って、アプリケーションを提供するよう制御している。
【０１９９】
以下にその手順を図１９を用いて説明する。
【０２００】
受信アクセス制御部３１６は、ＩＰｖ６受信前処理部３１１からＩＣＭＰパケットではないＩＰパケットを受信した場合、当該ＩＰパケットから読取った送信先ポート番号とアクセス制御対象アプリケーション管理テーブル７００に登録されているポート番号７０１との比較を行なう（ステップ３１６１）。
【０２０１】
アクセス制御対象アプリケーション管理テーブル７００には、グループ外のノードに利用が許可されているアプリケーションのポート番号が登録されているため、両者が一致した場合、サービス機能を要求元ノード１００に提供できることとなる。
【０２０２】
この場合、受信アクセス制御部３１６は、受け取ったＩＰパケットをＩＰｖ６受信後処理部３１３に受け渡し、受け取ったＩＰｖ６受信後処理部３１３は、ＩＰｖ６受信後処理３１３０を行なう（ステップ３１６４）。
【０２０３】
そして、ＩＰｖ６受信後処理部３１３から処理されたＩＰパケットを受け取ったＴＣＰ/ＵＤＰ受信処理部３１５は、それを、アプリケーション３０１に受け渡す。
【０２０４】
ステップ３１６１において、ポート番号が一致しない場合は、提供できるサービス機能がないため、受信アクセス制御部３１６は、アクセスエラーをデータとして格納したＩＰパケットを生成しＩＰ送信部３０４から送信元に送信し（ステップ３１６２）、受信したＩＰパケットは破棄する（ステップ３１６３）。
【０２０５】
以上、グループ外ＩＰパケット受信処理について説明した。
【０２０６】
このように、本実施形態においては、グループ内のノード１００間ではＩＰｓｅｃ通信を行い、グループ外のノード１００とは通常のＩＰパケットによる通信を行うことで、アクセス制御対象アプリケーション管理テーブル７００で管理している各アプリケーションのポート番号に従って、アプリケーションごとにグループ内外のアクセス許可を制御することができる。これにより、一つのノード１００において、グループだけで利用するサービス機能と、誰もが利用できるサービス機能とを実装し、それぞれへのアクセス制御を可能としている。
【０２０７】
本実施形態によれば、ホームネットワークを構成するノード１００において作成したグループ鍵を含むＩＰｓｅｃ通信に必要な情報を、共通のメモリカードを介して、利用者が相互に利用することを許可する各ノード１００に配布する。
【０２０８】
配布されたノード１００は、グループに所属している他のノード１００とＩＰｓｅｃ通信ができるように、セキュリティアソシエーション９００を設定するとともに、新規加入したことを、グループに所属している他のノード１００に通知する。
【０２０９】
通知を受けたノード１００は、それぞれ、新規に加入したノード１００とのＩＰｓｅｃ通信ができるように、セキュリティアソシエーション９００を設定する。
【０２１０】
以上のように、本実施形態では、例えば、通信を開始する際に認証サーバ、あるいは鍵管理手段を備えた装置等といったグループを構成する機器以外の装置を介さずに、互いに認証可能で安全な通信を行なうことのできるグループを、そのグループを構成する機器が、容易に生成し管理することを実現している。
【０２１１】
また、グループを生成し管理するために必要な情報を、メモリカードといった記憶媒体を介して各ノードに与えること、および、グループの生成、グループへの参加、および、グループからの離脱の指示を各ノードに与えることを実現している。
【０２１２】
このように、本実施形態では、サーバなどの特別な機器を設けることなく、また、複数のマスタ鍵などを備えたＩＣカードを用意してグループを構成する機器それぞれに予めセットしておくなどの事前の準備をすることなく、グループを構成する機器間でのみ、容易にＩＰｓｅｃ通信可能な環境を構築できる。
【０２１３】
また、本実施形態では、一つのノードに、グループ内のノードのみ利用できるアプリケーションとグループ外のノードも利用できるアプリケーションとが実装されている場合も容易にそれぞれのアクセス制御を実現できる。
【０２１４】
なお、本実施形態では、グループ生成、加入、離脱時の指示を行なう際に利用する記憶媒体としてメモリカードを例にあげ、説明したが、利用する記憶媒体はこれに限られない。可搬型の記憶媒体であり、各ノードがそのインタフェースを備えていれば、どのような記憶媒体であってもよい。
【０２１５】
また、本実施形態では、ＩＰｓｅｃ通信を行うために必要な情報の授受を記憶媒体で行なうといった設定としたが、これに限られない。例えば、各ノードに入力装置を備え、ユーザが入力するようにしてもよい。
【０２１６】
さらに、グループからの離脱処理を開始するきっかけとして、空のメモリカードの入力を例にあげ説明したが、これに限られない。例えば、各ノードがリセットボタンを備え、ユーザがそのリセットボタンを介して離脱処理を開始する指示を与えるようにしてもよい。
【０２１７】
また、ＬＥＤを備えることにより、利用者に対しグループ生成、加入処理の終了を通知する事を実現している。通知のための機能も、これに限られない。
【０２１８】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。
【０２１９】
例えば、上記の実施形態では、宅内のネットワークを例にとり説明したが、本発明はこれに限定されない。本発明は、互いに認証を必要とする様々なネットワークシステムに広く適用できる。
【０２２０】
次に、上述した実施形態に基づきノードの管理者が認識している範囲での利用対象であるノードAからノードFでグループにおいて、利用者対応に利用できるノードを制限するサブグループの実施形態について、図２０から図３１を参照し説明する。
【０２２１】
図２０は、本発明を適用した宅内ネットワーク、SOHOと言ったスモールオフィスネットワーク、オフィスのフロアネットワークを代表とするようなローカルなネットワークの一構成例を示す。本発明では、以下、宅内において本発明を適用した場合を例として説明する。宅内ネットワークは、複数のノード１０５（１０５A、B）、１０６（１０６C〜F）、例えば電子レンジやエアコンなどの家電機器、テレビやビデオなどのAV機器、センサ等、及びPCから構成され、各機器はIPv6によりIPパケットの送受信が可能であるとする。本ネットワークは、ノード１０５、１０６、各々が備えるサービス機能の他ノード１０５、１０６からの操作、あるいは他ノード１０５、１０６へのサービス提供を実現するものである。
【０２２２】
また、これら複数のノード１０５、１０６は、上述の実施形態に基づきグループ共通のグループ鍵６０２を用いたIPsec通信が可能なSA９００が各ノードに設定され、グループ間の通信には、前記グループ鍵６０２を用いたIPsec通信が行える状態となる。以下、本グループをルートグループ１０７と呼ぶ。ルートグループ１０７が構築されると、ルートグループ１０７を構成する全てのノード１０５、１０６において、グループアクセスデータベース３０８上のグループ管理テーブル６００及びSAデータベース３０９上にルートグループ１０７の全ノード１０５、１０６に対する送信用SA９００及び受信用SA９００が設定される。尚、本実施形態では、ルートグループにおけるグループ間通信に利用するIPsec通信では、３DESによる暗号化を適用するとする。
【０２２３】
本実施形態では、ノードが備えるユーザインタフェース機能により、ネットワーク機器を二つに大別する。第一のノード１０５は、PCが備えるインタフェース機能、例えば宅内ネットワークを構成するノードのホスト名一覧が表示できるディスプレイ、文字入力が可能なキーボードを備えるノードである。第二のノード１０６はノードが本来備える機能を操作するための最低限のインタフェースを備えたノードである。第一のノード１０５に相当する機器としては、PC、テレビ、家電制御リモコン等を想定しており、図２０ではノードA１０５AとノードB１０５Bを第一のノード１０５とし、第二のネットワーク機器１０６に相当する機器としては、エアコン、電子レンジと言った白物家電及びセンサ等を想定し、図２０ではノードC１０６CからノードF１０６Fを第二のノードとしている。
図2１に第一のノード１０５のハードウェア構成を示す。
【０２２４】
ノード１０５が備える一つ以上のノード固有機能部２０２、例えばエアコンであれば、例えば冷暖房機能、温度管理機能、タイマ機能等を司る処理部、ネットワークカード２０５、固有機能部及びネットワークカードを制御するプロセッサ２００、プロセッサで実行するプログラム及びユーザアクセス制御を備えたグループ通信を実現するグループアクセスデータベース３０８及びSAデータベース３０９を記憶するメモリ２０１、ユーザインタフェースの為のディスプレイを接続するデータ出力インタフェース部２０８とキーボードを接続するデータ入力インタフェース部２０９、メモリカード２０７等のインタフェースを提供する記憶媒体インタフェース２０６、及びこれらを接続するシステムバス２０３から構成される。前記記憶媒体インタフェース２０６は、挿入する記憶媒体の書き込み中をユーザに通知するLED（発光ダイオード）ライトを具備しており、LEDライトの点燈により、ユーザに対し、書き込み中あるいは処理中を示す。第二のノード１０６のハードウェア構成は、前記第一のノード１０５のハードウェア構成から、ユーザインタフェースの為に利用するデータ出力インタフェース部２０８及びデータ入力インタフェース部２０９がない。
【０２２５】
図２０に第一のノード１０５のソフトウェア構成を示す。
ネットワークを介してグループ構成機器間でサービス提供する一つ以上のアプリケーションプログラム３０１、通信を実現するTCP/UDP送信処理部３０３、IP送信部３０４、ネットワークカードを制御するネットワークインタフェース送信処理部３１７、ネットワークインタフェース受信処理部３１０、IP受信部３１１、TCP/UDP受信処理部３１５、ＩＰsecのセキュリティアソシエーション（以下SA）９００を管理するSAデータベース３０９、グループ通信を実現するために利用するネットワーク機器に対するアクセス制御に関する情報及びグループ情報を管理するアクセスポリシデータベース３０８、グループ管理を行うグループ管理処理部３０２、記憶媒体インタフェースを制御する記憶媒体インタフェース処理部３１８、及びデータ出力インタフェース部とデータ入力インタフェース部を制御するユーザインタフェース処理部１５１とから構成する。IP送信部３０４は、TCP/UDP送信処理部３０３が作成したPseudoへッダからIPヘッダを作成するIPv6送信前処理部３０５、SA９００の有無を調べSA９００がある場合にはIPsec処理を行うIPsec送信処理部３０６、ネットワークインタフェース送信処理部３１７へIPパケットを渡すIPv6送信後処理部３０７から構成され、IP受信部３１４は、ネットワークインタフェース受信処理部３１０から受信したIPパケットヘッダからペイロード長と受信データ長の比較、ヘッダオプションの処理を行うIPv6受信前処理３１１、AHヘッダ、ESPヘッダがある場合にSA９００を検索し、認証あるいは復号処理を行うIPsec受信処理部３１２、AHヘッダ、ESPヘッダが無い場合にIPパケットを受信するかどうかを判断する受信アクセス制御部３１６、IPヘッダをPseudoヘッダに置き換え、TCP/UDP送信処理部３１５へ受信データを渡すIPv6受信後処理部３１３から構成する。
【０２２６】
グループ管理処理部３０２は、上述した実施形態に基づき、ルートグループ生成処理３２００、参加処理３３００、離脱処理３４００、情報更新処理３５００、グループ制御ＩＰパケット受信処理３６００に加えて、ユーザからのアクセス制御設定要求を受け付けるユーザアクセス制御処理２１００、及び他のネットワーク機器からのサブグループ管理に関するコマンド受信に対する処理を行うサブグループ管理処理２２００を行うとする。
【０２２７】
グループアクセスデータベース３０８として、グループ管理テーブル６００、アクセスユーザ管理テーブル２００１、及びアクセスアプリ管理テーブル２００３を配置する。
【０２２８】
SAデータベース３０９として、IPsec通信を実現するための送信方向、受信方向毎に準備する送信元アドレス、受信元アドレス対応のSA９００を配置する。
第二のノード１０６のソフトウェア構成としては、前記第一のノード１０５のソフトウェア構成から、ユーザインタフェースの為に利用するユーザインタフェース制御部１５１とユーザアクセス制御部２１００を取り除いた構成とする。加えて、グループアクセスデータベース１２０上にアクセスユーザ管理テーブル２００１を配置しない。
図２２に本発明を適用するサブグループ１０８構成を示す。図では、２つのサブグループ１０８を示している。サブグループ１０８はユーザ対応に利用できるノードをグループ化したものであり、第一のノード１０５からユーザが他のノード１０５、１０６を利用したサービスを実現する場合、ユーザAはサブグループa１０８Aを構成するノード１０５A、１０５B、１０６Cのみ利用でき、ユーザBがサブグループｂ１０８Bを構成するノード１０５A、１０６D、１０６Eのみ利用できる。ユーザBがノードA１０５AよりノードC１０６Cにアクセスするサービスは利用できない。
【０２２９】
ホームネットワークにおいて、ルートグループ１０７上にサブグループ１０８を設定することにより、例えばお父さんのサブグループをＰＣ、テレビ、エアコン、ビデオから構成すると、ＰＣ、テレビからエアコンの温度設定とビデオの予約設定ができる。これに対し、息子のサブグループとして、テレビとビデオを構成することにより、息子はテレビからビデオ予約設定はできるが、エアコンの温度設定はできないといった制御が可能になる。
【０２３０】
以下、このサブグループ１０８の構築方法、及び動作手順を図２３から図３１を用いて説明する。
図２３は、一つのノード１０５、１０６におけるネットワーク接続時の３フェーズを示すものである。第一フェーズは、ノード１０５、１０６をネットワークに繋いだだけの状態であるグループ無しフェーズ２３０１である。グループ無しフェーズ２３０１おいて、前記実施形態に基づき、ルートグループ１０７生成、ノード１０５，１０６のルートグループ１０７への加入により、第二フェーズであるルートグループフェーズ２３０２となる。この第二フェーズでは、ルートグループ１０７内のノード１０５、１０６間通信において、ルートグループ１０７内で共通のグループ鍵６０２を用いた３DESによる暗号通信を行うとする。ルートグループ１０７において、ユーザのアクセス権、及び利用できるノード選択により第三フェーズであるサブグループフェーズ２３０３となる。第三フェーズでは、サブグループ１０８内のノード１０５、１０６間通信において、サブグループ１０８内で共通のグループ鍵６０２を用いた３DESの暗号通信を行う。
図２４はグループ管理処理部３０２におけるユーザアクセス制御を行うユーザアクセス制御処理２１００の処理手順を示す図である。ユーザからの要求を受け付ける為、ユーザアクセス制御処理２１００を第一のノード１０５において起動する。本処理は、ユーザが起動させても良いし、ルートグループ１０７に参加した時点で本処理を起動しノード１０５の常駐プログラムとして動作させてもよい。ユーザアクセス制御処理２１００は、ルートグループフェーズ２３０２あるいはサブグループフェーズ２３０３時のみ起動できる（ステップ２１０１）。
ディスプレイに「ユーザアクセス権設定」、「ユーザアクセス権開放」、「サービス利用」を表示し（ステップ２１０２）、ユーザに利用するものを選択してもらい、選択により、ユーザアクセス権設定処理（２１１０）、ユーザアクセス権解放処理（２１３０）、サブグループアクセス権確認処理（２１５０）を実行する。
図２５は、ユーザアクセス権設定処理２１１０の処理手順を示す。
第１ステップとして、グループアクセスデータベース３０８にて管理しているルートグループ１０７に対するグループ管理テーブル６００に登録されているホスト名をディスプレイに表示する（ステップ２１１１）。ルートグループ１０７に対するグループ管理テーブルは、種別６０７のエリアにルートが設定されているとする。
第２ステップとして、ユーザが入力したサブグループ１０８として登録したい複数のホスト名を受け付け、グループアクセスデータベース３０８上に新しいグループ管理テーブル６００をアロケートし、種別６０７をサブとし、ホスト名を登録する（ステップ２１１２）。
第３ステップとして、他のグループ管理テーブル６００のグループ識別子６０１と一致しないグループ識別子６０１を選択し、新しいグループ管理テーブル６００にグループ識別子５０１を設定する（ステップ２１１３）。
第4ステップとして、サブグループ１０８で共通の暗号用のグループ鍵６０２を生成し、新しいグループ管理テーブル６００に設定し、鍵有効期間と３DESを暗号アルゴリズムとして設定する（ステップ２１１４）。
第５ステップとして、サブグループ１０８を構成する全てのネットワーク機器１０５B、１０６Cに対して、サブグループ作成要求フレーム２６０１を作成し送信する（ステップ２１１５）。
【０２３１】
送信フレーム構成を図２６に示すように、サブグループ作成要求を示すコマンド識別子、サブグループのグループ識別子６０１、グループを構成する全ノードのホスト名一覧、サブグループのグループ鍵６０２、その有効期限から構成する。本フレーム２６０１は、TCP/UDP送信処理部３０３を介してUDPデータグラムとして送信され、IP送信部３０４においてルートグループ１０７のグループ鍵により暗号化され送信される。各ノードより返送される確認フレーム２６０２により、各ネットワーク機器への送信を確認する。図２６に示すように、確認フレーム２６０２は受信確認を示すコマンド識別子とグループ識別子６０１から構成する。一定時間、確認フレーム２６０２を受信できない場合、サブグループ作成要求フレーム２６０２を再送してもよい。サブグループ作成要求フレーム２６０１を送信する際、ノード１０５、１０６のホスト名からIPアドレスを得るホスト名を含んだリゾルバ要求をIP送信部３１０へ伝える。IP送信部に３１０備えたホスト名、IPアドレス、及びテーブル登録時間を管理するタイマから構成するリゾルバテーブルを検索し、ホスト名と一致するIPアドレスを検索し、要求に対するリターン値とする。テーブル内に該当するホスト名が無い場合、ICMP Echo Rquest/Replyよりホスト名からアドレスの解決を行い、リゾルバテーブルにホスト名とIPアドレスの組を登録すると共に、要求に対するリターン値とする。
【０２３２】
第6のステップとして、サブグループ１０８を構成する全ネットワーク機器に対する送信用のSA９00と受信用SA９００を作成する(ステップ２１１６)。
図２７にSA９００Aの構成を示す。
【０２３３】
送信用SA９００Aとしては、SPIとしてグループ識別子６０１を設定し、送信元IPアドレスとして自ネットワーク機器のアドレスを設定し、送信先IPアドレスとしてサブグループを構成する他ネットワーク機器のIPアドレスを設定する。本実施形態では、プロトコルとしてESPを、モードはトランスポート、暗号アルゴリズムは３DES、暗号鍵としてサブグループのグループ鍵６０１を設定する。受信用SA９００Aとしては、送信元IPアドレスとして他ネットワーク機器のIPアドレスを、送信先IPアドレスとして自ネットワーク機器のアドレスを設定する以外は送信用SA９００と同じ構成である。
【０２３４】
第7のステップとして、ユーザによるアクセスユーザIDとパスワードをデータ入力インタフェース部２０９とデータ出力インタフェース部２０８を介して受け付ける（ステップ２１１７）。
【０２３５】
第8のステップとして認証鍵２００２を生成する（ステップ２１１８）。
【０２３６】
第9のステップとして、ユーザが挿入した空のフォーマット済みのメモリカード２０７上にユーザID、パスワード、認証鍵２００２、自ネットワーク機器のグローバルＩＰアドレス、サブグループのグループ識別子６０１を書き込む（ステップ２１１９）。
【０２３７】
第10のステップとして、グループアクセスデータベース３０８のアクセスユーザ管理テーブル２００１に認証鍵２００２、ユーザID、サブグループのグループ識別子を設定する（ステップ２１２０）。
【０２３８】
ユーザアクセス権設定処理２１１０の最終である第11のステップとして、サブグループ１０８を構成する全てのノードに対して、サブグループアクセス権設定フレーム２６０３を作成し送信する（ステップ２１２１）。
【０２３９】
送信フレーム構成を図２６に示すように、サブグループアクセス権設定を示すコマンド識別子、サブグループのグループ識別子６０１、ユーザID、認証鍵２００２、パスワードから構成し、上述したサブグループ設定要求フレーム７０１と同様の手順で送信及び送信確認を行う。
【０２４０】
次にサブグループ設定要求フレーム２６０１、及びサブグループアクセス権設定フレーム２６０３を受信したサブグループを１０８を構成するノード１０５、１０６におけるグループ管理処理部３０２でのサブグループ管理処理２２００で行われる処理手順を図２８に示す。
【０２４１】
サブグループ設定処理２２００は、ルートグループフェーズ２３０１あるいはサブグループフェーズ２３０３時のみ起動できる（ステップ２２０１）。
サブグループ設定要求フレーム２６０１を受け付けた場合、グループ管理テーブル６００をアロケートし、フレームが持つ情報を設定する。次に送信用SA９００と受信用SA９００をユーザアクセス権設定処理２１１０で示したように作成する（ステップ２２０２）。
【０２４２】
サブグループアクセス権設定フレーム２６０３を受け付けた場合、自ノードが第一のノード１０５である場合は、グループアクセスデータベース３０８のアクセスユーザ管理テーブル２００１をアロケートし、フレームが持つ情報であるグループ識別子、ユーザID、認証鍵、パスワードを設定する（ステップ２２０３）。
サブグループ設定要求フレーム２６０１、サブグループアクセス権設定フレーム２６０３の受信確認として、図２６に示す受信確認フレーム２６０２を返送する（ステップ２２０３）。
【０２４３】
以上によりサブグループの構築が完了する。
【０２４４】
次にサブグループアクセス権開放処理２１５０の手順を示す。
管理者あるいはユーザがサブグループアクセス権開放を選択した場合、図２６に示す、サブグループ解放要求を示すコマンド識別子とサブグループのグループ識別子６０１から構成するサブグループ解放要求フレーム２６０４をサブグループ構成する全てのネットワーク機器に対して送信する。その後、管理者により指定されたサブグループのグループ識別子６０１を持つグループ管理テーブル６００、アクセス及びセキュリティアソシエーションを解放し、対応するアクセスユーザ管理テーブル２００１の対応欄を削除する。
【０２４５】
本フレームを受信したグループ管理処理部３０２でのサブグループ管理処理２２００において、図２８に示すように、受信したフレームにより指示されたサブグループ識別子６０１を持つグループ管理テーブル６００とSA９００を削除し（ステップ２２０５）、自ノードが第一のノード１０５である場合、アクセスユーザ管理テーブルの対応欄を削除する（ステップ２２０６）。
【０２４６】
以上の手順により、作成したサブグループを解放することができる。
以下、サブグループ１０８における通信手順を図２９から図３１を用いて説明する。
【０２４７】
サブグループ１０８をユーザが利用する場合の手順を示す。
ユーザアクセス制御処理２１００より、ディスプレイに表示された「ユーザアクセス権設定」、「ユーザアクセス権開放」、「サービス利用」から、ユーザは、「サービス利用」を選択する(ステップ２１０２)。
【０２４８】
複数のサービスを提供出来る場合、この選択時に一つのサービスを選択させても良い。上記選択により、サブグループアクセス権確認処理２１５０を行う。
図２９において、サブグループアクセス権確認処理２１５０の処理手順を示す。第1のステップとして、ユーザにユーザID、パスワード、認証鍵を記憶したメモリカード２０７の挿入を指示する（ステップ２１５１）。
【０２４９】
ユーザがメモリカード２０７の挿入を受け、第2のステップとして、メモリカード２０７上のユーザIDと対応するグループアクセスデータベース３０８上のアクセスユーザ管理テーブル２００１を検索し、メモリカード上のメモリカードが記憶しているパスワードとアクセスユーザ管理テーブル２００１のパスワードが一致することを確認する（ステップ２１５２）。
【０２５０】
ユーザIDが一致するアクセスユーザ管理テーブル１２１が無い場合、あるいはパスワードが不一致の場合、認証エラーをディスプレイに表示し、処理を終了する（ステップ２１５３）。
【０２５１】
第3のステップとして、ユーザが指定したサービスに対応するアプリケーションを起動し、アプリケーションがデータ送受信に利用するソケットに割り付けた送信ポート番号を入手する（ステップ２１５４）。
メモリカード上のグループ識別子６０１と一致するグループ管理テーブル６００のポート番号エリア６０８にソケットに割付けた送信ポート番号を設定する（ステップ２１５５）。
【０２５２】
第4のステップとして、ノードがユーザアクセス状態プロセス２３００を起動し、サブグループアクセス権確認処理を終了する(ステップ２１５６)。
本実施形態では、アプリケーションプログラム３０１では、初期処理として、データ転送を行うためにソケットをオープンすると同時に送信元ポート番号をソケット処理部から割り付けられる為、サブグループアクセス権確認処理２１５０に通知できるとする。
【０２５３】
図３０にユーザアクセス状態プロセス２３００の処理手順を示す。
ユーザアクセス状態プロセス２３００では、ユーザがメモリカード２０７を外した事を検出し、サブグループ１０８のアクセス権を終了するため、グループアクセス権確認処理２１５０においてグループ管理テーブル６００に設定した送信元ポート番号を削除する（ステップ２３０１）。
【０２５４】
これにより、ユーザによるサブグループ３０１利用を中止する事が可能である。
次に、ユーザが指定したアプリケーションによるサブグループ内のIPパケット送受信手順を示す。
【０２５５】
図３１は、IPsec送信処理部３０６の処理手順を示すものである。
第１のステップとして、送信パケットの送信元IPアドレスと送信先アドレスが一致するSAをSAデータベースより検索する（ステップ４１０１）。
第2のステップとして、ユーザアクセス状態プロセス２３００が起動中でなければ、ＳＡ９００の種別がルートであるものを検索する（ステップ４１０２）。送信元ＩＰアドレス、受信元ＩＰアドレスが一致したＳＡ９００のグループ識別子６０１を持つグループ管理テーブル６００の種別６０７により、ルートグループ１０７であるか否かを判断する。
【０２５６】
そのＳＡ９００が管理しているグループ鍵６０２を用いて、IPパケットの暗号化を行いIPsec送信処理を行う（ステップ４１０３）。
ユーザアクセス状態プロセス１１００が起動中であれば、第3のステップとして、ＳＡ９００の種別がサブであるものを検索し（ステップ４１０４）、検索したSA９００のSPIに対応するグループ管理テーブル１２２のポート番号と送信パケットTCPあるいはUDPヘッダの送信元ポート番号が一致するかどうかを調べ（ステップ４１０５）、一致した場合、そのＳＡ９００を用いてIPsec送信処理４１０３を行う。
【０２５７】
一致するＳＡが無い場合、処理を終了する。この場合、ＩＰsec処理を行わずにIPパケットが送信される為、次に示す手順により受信側のアクセス制御により、ルートグループあるいはサブグループの通信以外として破棄される。
次に、図３１に示す手順で送信したIPパケットを受信した場合のIPsec受信処理手順を示すものである。IP受信部３１４のIPv6受信前処理部３１１において、AHヘッダあるいはESPヘッダが受信パケットにある場合IPｓｅｃ受信処理部３１２は起動される。
【０２５８】
ＩＰsec受信処理部３１２では、AHヘッダあるいはESPヘッダに含まれるSPIと一致するSAをSAデータベースより検索する。検索したSAデータベースに含まれる暗号鍵により復号処理を行う。
【０２５９】
AHヘッダあるいはESPヘッダが無い場合、受信アクセス制御部３１６により、IPsec通信が行われていなくても、アクセス制御対象アプリケーション管理テーブル７００に登録されているポート番号と受信パケットの送信先ポート番号を比較し、一致している場合は、上位処理部にあたるTCP/UDP受信処理部３１５へパケットを引き渡す。それ以外のIPパケットは、ICMPパケット等の制御パケットでなければ、ルートグループあるいはサブグループ対象外のパケットとして、受信IPパケットを破棄する。
【０２６０】
図３１に示すIPsec送信処理では、送信パケットに対応するSA９００検索時に、グループ管理テーブル６００の種別がサブであり、ポート番号が送信パケットの送信元ポート番号が一致することによりSA９００の特定を行っているが、グループアクセスデータベース３０８内にサブグループ識別子を記憶するアクティブエリアを設け、図２９における対応するグループ管理テーブル６００にアプリケーション起動時に得る送信元ポート番号を記憶する（ステップ２１５４、２１５６）代わりに、前記アクティブエリアにメモリカード２０７に記憶されているグループ識別子６０１を設定し、IPsec送信処理１３２では、前記アクティブエリアのグループ識別子６０１とSA９００のSPIが一致することにより、SA９００を特定することも可能である。
【０２６１】
この場合、複数のアプリケーションプログラム３０１を同時動作させている場合でも前記アクティブエリアにおいて、グループ識別子６０１だけを管理すれば良い。
【０２６２】
これに対し、グループ管理テーブル６００でポート番号を管理する場合、アプリケーションプログラム３０１に対応した複数のポート番号が必要である。
【０２６３】
このように、共通鍵を備えた複数のノード１０５、１０６でIPsec通信を行うノードから構成するルートグループ１０７において、ユーザインタフェースを備えた第一のノード１０５から制御する複数のノード１０５、１０６から構成するサブグループ１０８を構成し、そのサブグループ１０８内で共通の第二の暗号鍵によりIPsec通信を実現できるように、第一のノード１０５において、サブグループ設定時にサブグループの共通暗号鍵及び記憶媒体２０７に記憶するユーザアクセス情報を他の第一及び第二のノード１０５、１０６に対し、ルートグループ１０７の暗号通信を用いて転送し、サブグループ１０８を構築する。
【０２６４】
これにより、サブグループ１０７を構成するノード１０５、１０６において、サブグループ１０８のグループ鍵を設定したSA９００を設定し、ユーザが第一のノード１０５より利用する場合、記憶媒体２０７をノード１０５に入れ、ユーザの認証、利用するサブグループ１０８を識別、利用するアプリケーション３０１のポート番号６０８をノード１０５において記憶する手段を備え、ノードから送信する際には、IPsec送信処理において、SA９００検索時に、前記ポート番号と送信パケットのＵＤＰあるいはＴＣＰヘッダを構成する送信元ポート番号が一致している場合、そのＳＡ９００を用いて転送を行うことにより、サブグループ１０８内だけの通信及びグループへのユーザアクセス制御を実現できる。
【０２６５】
次に図３２から図３６を用いて、外部ネットワークからのサブグループへのアクセス権を備えたユーザがサブグループへのアクセスを実現する手順を示す。
図３２は、本実施形態のシステム構成の一例を示す図である。
【０２６６】
宅内ネットワーク及び外部ネットワーク、外部ネットワークに接続しているホスト４２０１、宅内ネットワークを構成するノード１０５A、１０６B、１０６C、１０６Dから構成し、これらのノード１０５、１０６は、ルートグループ１０７を構成している。本構成では、ノードＡ１０５Ａがユーザインタフェースを備えた第一のノードとし、上述した実施形態の手順に従い、ノードＡ１０５Ａ，ノードＢ１０６Ｂ，ノードＣ１０６Ｃから構成するサブグループ１０８を構築しているとする。
【０２６７】
サブグループ１０８へのアクセス権を持ったユーザが、ユーザＩＤ、パスワード、認証鍵等を格納しているメモリカード２０７を持って、ホスト３２０１からサブグループ１０８をアクセスする手順を示す。
【０２６８】
ホスト４２０１上には、サブグループへのアクセス制御を実現するためのサブグループアクセスクライアント処理４３０１を行うソフトウェアを予め実装してあるとし、ユーザにより起動されるとする。
【０２６９】
サブグループクライアント処理４３０１の処理手順を図３３に示す。
第１のステップとして、前記メモリカードの２０７挿入指示、及びユーザＩＤとパスワードの入力をユーザに対してディスプレイ表示により指示する（ステップ４３０２）。
【０２７０】
メモリカード２０７の挿入、及びユーザからのユーザＩＤとパスワードの入力を受けて、第２のステップとして、メモリカード２０７上のユーザＩＤ、パスワードと入力値が一致していることを確認する（ステップ４３０３）。
一致していない場合、ユーザ認証エラーを表示して処理を終了する（ステップ４３０４）。
【０２７１】
一致した場合、第３のステップとして、ユーザＩＤとパスワードを認証鍵２００２で演算を行った認証情報を図３４に示す認証情報フレーム４４０１として、ＵＤＰあるいはＴＣＰパケットとして、メモリカード２０７に記憶しているＩＰアドレスを送信先アドレスとして送信する（ステップ４３０５、ステップ４３０６）。
【０２７２】
前記演算に関しては、共通鍵暗号方式である暗号アルゴリズムの３DESを用いるとする。
【０２７３】
第４のステップとして、認証情報フレーム４４０１に対して、ノードＡ１０５Ａにより返送される図３４に示す認証アクセプトフレーム４４０２の受信を待つ（ステップ４３０７）。
【０２７４】
第５のステップとして、フレームを受信した場合、ステートがOKであれば、フレームが持つ認証グループ鍵情報をメモリカード上の認証鍵１２６で復号化しサブグループのグループ鍵１２４を入手する（ステップ４３０８）。
ステートがNGであれば、ユーザ認証エラーをディスプレイに表示し処理を終了する（ステップ４３０４）。
【０２７５】
第６のステップとして、メモリカード２０７上のIPアドレスを送信元/送信先としたサブグループ３０１のグループ鍵１２４を設定した送信用SA９００と受信用SA９00を作成する（ステップ４３１０）。
【０２７６】
以上により、宅内ネットワークのサブグループ１０８のグループ鍵６０１を外部ネットワークに接続したホスト４２０１と共有できるため、サブグループ１０８を構成するノードA１０５Aとの通信においてサブグループのグループ鍵６０１を用いた暗号通信が可能になる。
【０２７７】
本クライアント処理では、メモリカード２０７が離脱された時点で、サブグループ１０８へのアクセス権が無くなったとして、第７のステップとして、ノードＡ１０５Aに対し図３４に示すアクセス権解放フレーム３４０３をノードA１０５Aに対し送付する（ステップ４３１１）。
【０２７８】
ホスト４２０１から送付するパケットに関しては、図３４に示す受信確認フレーム４４０４を用いて、フレームの送達確認を行ってもよい。
第８のステップとして、第６のステップで作成したSA９００を解放する（ステップ４３１２）。
【０２７９】
外部ネットワークからのアクセスを受け付ける第一のノード１０５Aにおけるグループ管理処理部３０２の処理構成を図３５に示す。
【０２８０】
グループ管理処理部３０２は、サブグループ管理処理２２００、ユーザアクセス制御処理２１００に加え、外部ネットワークからのアクセスを受け付ける為のリモートアクセス制御処理２５００、外部ネットワークからのサブグループを構成するネットワーク機器を利用するためのアプリケーションプログラムを起動する為のアプリケーションプロキシ２４００から構成する。
【０２８１】
図３６にリモートアクセス制御処理２５００における処理手順を示す。
リモートアクセス制御処理２５００は、外部ネットワークのホスト４２０１からのフレームを受信した場合に起動される。
【０２８２】
外部ネットワークのホスト４２０１からのフレームであることは、送信元IPアドレスのサブネットプリフィクスが宅内ネットワークに割り付けられたサブネットプリフィクスと異なることから判断できる。
【０２８３】
グループ通信では、IPsecでの暗号化通信していない場合、グループ外のネットワーク機器からの通信で有るためIPパケットは受信アクセス制御部３１６で破棄される事を避けるため、予めアクセス制御対象アプリケーション管理テーブル７００にリモートアクセス制御処理２３００のポート番号を登録しておく。これは、グループ管理処理部３０２を起動した際の初期化処理で割り付けたポート番号、あるいは固定したポート番号を登録する。
【０２８４】
受信フレームが、図３４に示す認証情報フレーム４４０１の場合、アクセスユーザ管理テーブルより認証情報フレーム４４０１のサブグループのグループ識別子６０１と一致する認証鍵２００２でフレーム４４０１認証情報を復号し、ユーザIDとパスワードを取り出す（ステップ２５０１）。
【０２８５】
このユーザIDとパスワードがサブグループ識別子６０１と一致するアクセスユーザ管理テーブル２００１が持つ値と一致していることを確認する（ステップ２５０２）。
【０２８６】
一致しなければ、パケットを破棄し、ステートをNGとした図３４に示す認証アクセプトフレーム４４０２を返送し、処理を終了する（ステップ２５０３）。
一致している場合対応するサブグループ１０８のグループ管理テーブル６００のグループ鍵６０２を認証鍵２００２で暗号化したグループ鍵情報と、ステートをOKとした図３４に示す認証アクセプトフレーム４４０２として、ホスト４２０１へ返送する（ステップ２５０４）。
【０２８７】
ホスト４２０１のＩＰアドレスを送信元/送信先としたサブグループ１０８のグループ鍵６０２を設定したSA９００を作成する（ステップ２５０５）。
ノードA１０５Aが提供するアプリケーションをホスト４２０１で利用できるようにするため、アプリケーションプロキシ処理２４００を起動する（ステップ２５０６）。
【０２８８】
ホスト４２０１からアクセス権解放コマンド４４０３を受信した場合、図３４に示す確認フレーム４４０４をホスト４２０１へ返送し（ステップ２５０７）、ホスト４２０１とノード１０５Ａ間のSA９００を解放し（ステップ２５０８）、対応するグループ管理テーブル６００のポート番号を削除し（ステップ２５０９）、アプリケーションプロキシ処理２４００を終了する（ステップ２５１０）。
【０２８９】
さらに、ホスト４２０１からアクセスされたサブグループ１０８のグループ鍵６０２を更新する（ステップ２５１１）。
【０２９０】
これにより、サブグループアクセスの鍵情報がホスト４２０１に残っていたとしても、サブグループにアクセスすることは出来ない。
【０２９１】
図３７にアプリケーションプロキシ処理２４００の処理手順を示す。
【０２９２】
アプリケーションプロキシ処理２４００は、例えばWebサーバとして動作しており、外部ネットワークに接続するホスト４３０１とノードA１０５Ａ間はHTTPベースで通信を行うとする。まず、アプリケーションプロキシ処理１１４として、サブグループ３０１を構成する。
【０２９３】
次に、第１のステップとして、ユーザに対し、利用できるサービスアプリケーション情報を通知する（ステップ２４０１）。
【０２９４】
第２のステップとして、ユーザからの利用するサービスアプリケーションの指定を受け、対応するアプリケーションプログラム３０１をノードA１０５Aにおいて起動し、送信元ポート番号を上述した実施形態に即して、入手する（ステップ２４０２）。
【０２９５】
第１のステップ、第２のステップにおけるホスト４３０１とノードA１０５A間はHTTPベースである。
【０２９６】
第３のステップとしての入手した送信元ポート番号を対応するグループ識別子６０１を持つグループ管理テーブル６００に登録する（ステップ２４０３）。
ノードA１０５Aのアプリケーションプログラム３０１は、ホスト４３０１よりアプリケーションプロキシ処理２４００を介して操作する（ステップ２４０４）。具体的には、アプリケーションプロキシでアプリケーションに対する交信をノードに代替して行う。ノードA１０５Aのアプリケーションプログラム３０１からサブグループ１０８を構成する他のノード１０６B、１０６Cへの要求は、上述した実施形態である図３１のIPsec送信処理手順に従い、サブグループ通信のアクセス制御を行う。
【０２９７】
また、図２５のユーザアクセス権確定処理２１１０において、メモリカード２０７の記憶情報として、サブグループ１０８を構成するノード１０５、１０６のアドレスとホスト名をメモリカード２０７に記憶させ、第二のノード１０６において、グループアクセスデータベース３０５にアクセスユーザ管理テーブル２００１をサブグループアクアクセス権確定フレーム２６０３受信時に作成させ、かつ図３５に示すグループ管理処理部３０２において第一のノード１０５と同様に、リモートアクセス制御処理２５００及びアプリケーションプロキシ処理２４００を行うことにより、ホスト４３０１において、メモリカード２０７に記憶されているホスト名をユーザが選択する事によりサブグループ１０８を構成する全てのノード１０５A、１０６B、１０６Cに直接アクセスすることが可能になる。
【０２９８】
このような処理手順により、外部ネットワークに位置するホストとサブグループを構築したノード間でユーザアクセス認証を実現すると共に、サブグループの共通鍵をホストに配布することにより、特別な認証サーバを配置することなく、宅内ネットワークのグループ通信に参加することができる。
【０２９９】
本実施形態によれば、前記グループ通信を行うネットワーク機器から、ユーザが利用できるネットワーク機器を選択し、その選択したネットワーク機器で利用する共通の第二の暗号鍵を前記の暗号鍵(第一の暗号鍵)で暗号化して配布することにより、ユーザ独自の第二のグループ通信を実現することができる。
また、第二の暗号鍵と対応したユーザの識別子とパスワードの情報をネットワーク機器と記憶媒体で管理すると共に、第二の暗号鍵の識別子を記憶媒体で管理し、ネットワーク機器では第二の暗号鍵と対で前記識別子を管理し、第一の暗号鍵で前記情報を暗号化して他の第二のグループ通信を行うネットワーク機器へ配布することにより、ユーザがネットワーク機器を利用する際、どのネットワーク機器においても、記憶媒体の情報とネットワーク機器の情報が一致することを確認し、ユーザが通信する際、記憶媒体の識別子と対になる第二の共通の暗号鍵で暗号通信によるグループ通信をすることにより、グループ通信へのユーザの利用可否を制御できる。
【０３００】
また、ユーザが利用するアプリケーションの送信元ポート番号を記憶し、パケット送信時にパケットの送信元ポート番号と記憶した送信元ポート番号を比較し、一致した場合のみ第二の共通の暗号鍵で暗号通信を行うことにより、受信側では暗号化されたパケットでなければ破棄することによる、グループ通信への利用可否を制御できる。
【０３０１】
さらに、本実施形態では、記憶媒体でネットワーク機器のアドレスと認証鍵を管理し、ネットワーク機器において認証鍵を管理し、第一の暗号鍵で暗号化して他の第二のグループ通信を行うネットワーク機器へ管理を依頼することにより、グループ通信対象でないネットワーク機器からユーザが第二のグループ通信対象のネットワーク機器と通信を開始する際、記憶媒体の認証鍵で、記憶媒体のパスワードとユーザIDを暗号化し、その暗号化情報を記憶媒体のアドレス宛てに送信し、第二のグループ通信対象のネットワーク機器では認証鍵でユーザIDとパスワードを復号化し、ユーザIDとパスワードを確認した上で、第二の共通の暗号鍵を認証鍵で暗号化して、返送することにより、グループ通信対象でないネットワーク機器との間で第二の暗号鍵での暗号通信を実現できる。
【０３０２】
【発明の効果】
本実施形態においては、特別に認証サーバまたは鍵管理手段を備えた装置を保有しなくても、グループを構成する機器間で、互いにグループ構成機器であることを認証し、安全な通信を実現するグループを容易に生成し、管理することができる。
【０３０３】
また、機器がグループ内の機器にのみ提供するアプリケーションとグループ外の機器に提供するアプリケーションとを有する場合、そのアクセス制御を簡単な構成にて行なうことができる。
【図面の簡単な説明】
【図１】本発明を適用した実施形態のシステム構成を示す図である
【図２】本実施形態におけるノードのハードウェア構成を示す図である。
【図３】本実施形態におけるノードにおけるソフトウェア構成を示す図である。
【図４】グループ通信に用いるＡＨヘッダ付きのＩＰパケットの構成を示す図である。
【図５】グループ通信に用いるＥＳＰヘッダ付きのＩＰパケットの構成を示す図である。
【図６】本実施形態のおけるグループ管理処理部の機能構成を示す図である。
【図７】本実施形態におけるグループ制御ＩＰパケットのデータ部の構成の一例を示す図である。
【図８】グループ管理テーブルの構成の一例を示す図である。
【図９】アクセス制御対象アプリケーション管理テーブルの構成の一例を示す図である。
【図１０】グループメンバ管理テーブルの構成の一例を示す図である。
【図１１】セキュリティアソシエーションとして設定する情報構成の一例を示す図である。
【図１２】グループ管理処理の処理手順を示す図である。
【図１３】グループ生成処理の処理手順を示す図である。
【図１４】グループ参加処理の処理手順を示す図である。
【図１５】グループ内への新メンバ通知処理の処理手順を示す図である。
【図１６】グループ離脱処理の処理手順を示す図である。
【図１７】グループ制御ＩＰパケット受信処理の処理手順を示す図である。
【図１８】ＩＰパケット受信時のＩＰ受信部の処理手順を示す図である。
【図１９】ＩＰパケット受信時の受信アクセス制御部の処理手順を示す図である。
【図２０】ネットワーク機器のソフトウェア構成とネットワーク機器から構成するネットワークシステムを示す図である。
【図２１】ハードウェア構成及び記憶媒体の記憶情報を示す図である。
【図２２】第一のグループ通信と第二のグループ通信の範囲を示す図である。
【図２３】グループ通信を行うネットワーク機器の接続フェーズを示す図である。
【図２４】グループ管理処理部におけるユーザアクセス制御を行う処理手順を示す図である。
【図２５】ユーザアクセス権設定処理の処理手順を示すを示す図である。
【図２６】ユーザアクセス権設定処理の処理にて他のグループ通信を行うネットワーク機器間でやり取りされるフレーム構成を示す図である。
【図２７】 SAの一構成例を示す図である。
【図２８】グループ管理処理部でのサブグループ管理処理手順を示す図である。
【図２９】サブグループアクセス権確認処理の処理手順を示す図である。
【図３０】ユーザアクセス状態プロセスの処理手順を示す図である。
【図３１】 IPsec送信処理部の処理手順を示す図である。
【図３２】本発明を適用するシステム構成の一例を示す図である。
【図３３】サブグループアクセスクライアント処理の処理手順を示す図である。
【図３４】ホストとノード間でやり取りされるフレーム構成を示す図である。
【図３５】第一のノードにおけるグループ管理処理部の処理構成を示す図である。
【図３６】リモートアクセス制御処理における処理手順を示す図である。
【図３７】アプリケーションプロキシ処理における処理手順を示す図である。
【符号の説明】
１００、１０５、１０６…ノード、１０７…ルートグループ、１０８…サブグループ、２０７…メモリカード、３０１…アプリケーション、３０２…グループ管理処理部、３０８…アクセスポリシデータベース、３０９…ＳＡデータベース、３１４…ＩＰ受信部、３０４…ＩＰ送信部、３１２…ＩＰｓｅｃ受信処理部、３１６…受信アクセス制御部、６００…グループ管理テーブル、７００…アクセス制御対象アプリケーション管理テーブル、８００…グループメンバ管理テーブル、９００…セキュリティアソシエーション、２００１…アクセスユーザ管理テーブル、２００２…認証鍵、２１００…ユーザアクセス制御処理、２１５０…サブグループアクセス権確認処理、２２００…サブグループ管理処理、２４００…アプリケーションプロキシ処理、２５００…リモートアクセス制御処理、３１００…制御部、３２００… グループ生成処理部、３３００…グループ参加処理部、３４００…グループ離脱処理部、３５００…グループ情報更新処理部、３６００…グループ制御ＩＰパケット受信処理部、４２０１…ホスト、４３０１…サブグループアクセスクライアント処理。
【発明の属する技術分野】
本発明は、ネットワークに接続する特定の機器間で排他的かつ安全に通信を行う技術に関する。
【０００２】
【従来の技術】
Internet Protocol（以下、ＩＰと呼ぶ）と呼ばれる通信プロトコルを使用するＩＰネットワークは、コンピュータネットワークのデファクトスタンダードとしての地位を確立し、一般ユーザへの普及が著しい。
【０００３】
このＩＰネットワークを介して機器間でデータをやりとりするには、その機器それぞれに一意的にＩＰアドレスを付与することが必要である。現在では、ＩＰアドレスを３２ビットで表すＩＰｖ４(Internet Protocol version 4)が用いられているが、ＩＰネットワークの利用が増大するに連れて、ＩＰアドレスの不足が大きな問題となってきている。
【０００４】
このような状況を背景に、ＩＰアドレスを１２８ビットに拡張し、さらに、セキュリティ機能など、今までのＩＰアドレスになかった機能を付加した新しいＩＰアドレスを用いるＩＰネットワークとしてＩＰｖ６(Internet Protocol version 6)がＩＥＴＦ(Internet Engineering Task Force)にて採択され、それを用いたネットワークサービスが次世代ＩＰとして標準化されつつある。
【０００５】
さらに、使用可能なアドレス数が増え、セキュリティ機能が充実したＩＰｖ６の新たな適用先として、冷蔵庫、洗濯機などの白物家電、あるいはテレビ、ビデオといったAV機器といった家庭内の機器から構成されるホームネットワークなどが注目されている。
【０００６】
これらの機器それぞれにＩＰアドレス割り当てることにより、各機器をサーバとみなすことができるようになり、機器間通信により新しいサービスを実現したり、外部端末からの機器の制御、サービスセンタからの機器の制御といったインターネットを介した新しいサービスを実現するといったことが考えられている。
【０００７】
ところで、家庭内機器のような特定の機器間の通信においては、利用者が認識している範囲外の機器からの操作を排除するようなシステムが要求される。例えば、友人が持ってきた機器による勝手な操作の防止が必要である。
【０００８】
すなわち、利用者が互いの通信を許可する範囲を決定し、それらの機器をグループ化し、グループ化された機器間でのみ通信がなされるようなシステムが要求される。そして、このような通信を実現するためには、グループ内の機器間で、互いをグループ内に属する真正な機器であることを認証するための認証機能が必要である。
【０００９】
このような認証機能として、従来のクライアント、サーバ型のシステムでは、認証サーバを用いたものが実現されている。例えば、ＲＦＣ２８６５で定義されるＲＡＤＩＵＳ(Remote Authentication Dial-In User Service)では、サーバにアクセスするクライアントのアカウント（ユーザ名、パスワード）をＲＡＤＩＵＳサーバと呼ばれる認証サーバで一括管理し、サーバは、クライアントからのアクセス要求(ユーザ名、パスワードを含む)をＲＡＤＩＵＳサーバに転送しアクセス可否の判断結果を受けて、クライアントとの通信を行うかどうか判断する。
【００１０】
例えば、従来のグループ化された特定の機器間での暗号通信システム及びその通信方法としては、例えば、特許文献１あるいは特許文献２に示されているものがある。
【００１１】
【特許文献１】
特開２００２−１２４９４１号公報
【特許文献２】
特開平５−３４７６１６号公報
【００１２】
【発明が解決しようとする課題】
ホームネットワークに接続されている機器の中で、利用者が指定した機器間でのみ所定の通信を行うためには、互いに相手が指定された機器であることを認証する機能が必要と考えられている。
【００１３】
従来の認証機能は、クライアント・サーバシステムが前提であり、サーバにアクセスするクライアントのアクセス情報を管理する認証サーバを備えることで実現されている。
【００１４】
これに対し、ホームネットワークを構成する機器は、適宜サービスに応じて必要な機器間で通信を行なうといったアドホック型である。このため、全ての機器がサーバにもクライアントにもなり得、アクセス情報の設定がより煩雑になるという問題がある。
【００１５】
このような場合に、従来のように認証サーバを備え、機器間でのセッション確立毎、あるいはサービス開始毎に個別に認証を行うようにすると、認証のオーバヘッドが大きくなるという問題もある。
【００１６】
例えば、前述の特許文献１に開示された技術は、認証機能を有したグループ通信システムである。本技術は、グループを構成する機器以外に、グループ通信システム内にグループ暗号鍵を生成する機能及びグループに所属する端末情報を管理する機能を備えたグループ暗号鍵管理部と及び中継装置とを備えて構成され、大規模なネットワーク構成を前提としたものである。
【００１７】
また、前述の特許文献２に開示された技術は、まず、グループ通信を行う機器ごとにＩＣカードを具備していなければならない。そして、そのＩＣカードには、予め送受信相手の所属ごとに設定された複数のマスタ鍵とグループ鍵生成プログラムとが記録されている必要がある。
【００１８】
このように、従来の技術では、実際に通信を行なう機器以外に認証サーバとなる機器を用意する必要があったり、マスタ鍵と個々の通信相手先の関係といった複雑な情報を予め記憶させておく記録媒体をグループを構成する機器の数だけ用意する必要があった。
【００１９】
機器のグループを構成し、その機器間で認証を行い、安全な通信を実現したとしても、第三者による機器の利用を妨げることが出来ない為、ユーザが予期しない勝手な操作が行われる可能性がある。すなわち、グループを利用するユーザ及び機器を利用するユーザレベルのアクセス制御ができないという問題がある。
また、ユーザにより利用できる機器を制限することもできないという問題がある。
加えて、家庭内ネットワークといった、場所が固定されたローカルネットワークに配置された機器間の通信にしか適用できない。これは、IPsecを利用していることから、グループを構成する機器であるかを判断する為に共有鍵に加えて送信先IPアドレス及び受信元IPアドレスのペアが固定である必要がある事に因る。グループを構成していた機器がローカルネットワークから移動した場合、グループ通信によるアクセス制御が適用できないという課題がある。
【００２０】
本発明は、このような事情に鑑みなされたもので、本発明の目的は、利用者が認めた機器間で容易に互いを認証し合うことが可能なグループを構成し、そのグループに属する機器間の安全な通信を実現することにある。
【００２１】
さらに、本発明の他の目的は、グループ内の機器が提供するアプリケーションにグループ外の機器にもアクセスを許可するものがある場合、グループ外の機器から、そのアプリケーションにのみアクセスを許可するといったアクセス制御を実現することにある。
【００２２】
本発明の他の目的は、ユーザが認めた機器間で構成したグループ内において、ユーザを限定するサブグループを構成すると共に、サブグループを利用するユーザのアクセス制御を実現することである。
【００２３】
本発明の他の目的は、ユーザが物理的な距離が離れたところから、サブグループを構成する機器への安全なアクセス／制御を実現することにある。
【００２４】
尚、本願は上記目的のうちの少なくともひとつを解決するものである。
【００２５】
【課題を解決するための手段】
本発明は、共有の鍵を用いて暗号通信を行うことで互いを認証し、セキュリティの確保された通信を行なう機器の集まりをグループとみなし、そのグループを構成する機器となりうる個々の機器のいずれもが、グループを生成し、参加し、また、そのグループから離脱するといったグループ管理の手段を有する。
【００２６】
また、機器がいずれかのグループに属していても、グループ外の機器との通信の可能性も保有するものである。
【００２７】
具体的には、ネットワークを介して接続された他のネットワーク機器と通信を行なうネットワーク機器であって、互いに認証可能な前記ネットワーク機器をグループとして管理するグループ管理手段と、前記グループ所属するネットワーク機器間で共通の暗号化鍵による暗号通信を行う暗号通信手段と、前記グループに所属するネットワーク機器の、ホスト名とアドレスとを含む識別情報および前記暗号化鍵の情報を含む前記グループに所属するネットワーク機器と暗号通信を行うために必要な暗号通信情報を格納する記憶手段と、外部から情報を取得する取得手段と、を備え、前記グループ管理手段は、前記記憶手段に前記暗号通信情報が格納されていない状態で、前記取得手段において前記暗号通信情報を取得すると、当該暗号通信情報を前記記憶手段に格納するとともに、前記暗号通信手段を介して自身の識別情報を前記グループに所属するネットワーク機器に送信し、前記暗号通信手段を介して他のネットワーク機器から当該他のネットワーク機器の識別情報を取得すると、前記記憶手段に記憶している前記暗号通信情報に当該識別情報を追加することを特徴とするネットワーク機器を提供する。
【００２８】
また、前記グループ管理手段は、さらに、前記取得手段においてグループから離脱する指示を受け付けると、前記記憶手段に記憶されている前記グループに所属する全てのネットワーク機器に、前記暗号通信手段を介して自身のネットワーク機器の離脱を通知するとともに、前記記憶手段から前記暗号通信情報を削除し、前記暗号通信手段を介して他のネットワーク機器から、当該他のネットワーク機器が離脱する通知を受け付けると、前記記憶手段に記憶している前記暗号通信情報から、当該他のネットワーク機器の識別情報を削除する、ことを特徴とするネットワーク機器を提供する。
前記第一のグループを構成するネットワーク機器において、ユーザが利用できるネットワーク機器を選択し、それら機器に対して前記暗号通信手段を介して、選択したネットワーク機器で利用する第二の暗号鍵を配布することにより、第一のグループ内に第二のグループを構成し、第二の共通の暗号鍵を用い暗号通信を行うことで、互いを認証し、セキュリティの確保された通信を行うものである。
また、第二の暗号鍵と対応したユーザの識別子とパスワードの情報をネットワーク機器と記憶媒体で管理すると共に、第一の暗号鍵で前記情報を暗号化して他の第二のグループ通信を行うネットワーク機器へ配布することにより、ユーザがネットワーク機器を利用する際、どのネットワーク機器においても、記憶媒体の情報とネットワーク機器の情報が一致することを確認することにより、グループ通信の利用可否のアクセス制御を提供する。
記憶媒体でネットワーク機器のアドレスと認証鍵を管理し、ネットワーク機器において認証鍵を管理し、第一の暗号鍵で暗号化して他の第二のグループ通信を行うネットワーク機器へ管理を依頼することにより、グループ通信対象でないネットワーク機器からユーザが第二のグループ通信対象のネットワーク機器と通信を開始する際、記憶媒体の認証鍵で、記憶媒体のパスワードとユーザIDを暗号化し、その暗号化情報を記憶媒体のアドレス宛てに送信し、第二のグループ通信対象のネットワーク機器では認証鍵でユーザIDとパスワードを復号化し、ユーザIDとパスワードを確認した上で、第二の共通の暗号鍵を認証鍵で暗号化して、返送することにより、グループ通信対象でないネットワーク機器との間で第二の暗号鍵での暗号通信を提供する
【００２９】
【発明の実施の形態】
以下、本発明の実施の形態を、図を用いて説明する。
【００３０】
本実施形態では、宅内において家電などにより構成されるネットワークに本発明を適用した場合を例にあげ、説明する。
【００３１】
本実施形態の宅内のネットワークは、ＩＰｖ６により構成され、それぞれにＩＰアドレスが付与された、例えば、電子レンジやエアコンなどの家電機器、テレビやビデオなどのAV機器、センサ等が接続されている。以下、ネットワークに接続され、ＩＰｖ６によるＩＰアドレスを付与されている各機器を、ノードと呼ぶこととする。
【００３２】
本実施形態では、これらのノードのうち、利用者が互いに通信を行なうことを許可したものをグループとし、グループに属するノード間で認証のために共通の暗号化鍵による暗号通信を行なう。
ここで、本ネットワークで採用しているＩＰｖ６は、前述したように、確保できるＩＰアドレス数が莫大となるだけでなく、ＩＰｓｅｃと呼ばれる暗号・認証の仕組みが標準で装備され、高度な安全性を保ちながら、使い勝手もよいという特徴を持つ。本実施形態においては、ＩＰｖ６のＩＰｓｅｃを用いて、グループを構成する機器間のみでの安全な通信を実現する。
本実施形態の詳細な説明の前に、まず、ＩＰｓｅｃの概要について説明する。
ＩＰｓｅｃは、ＩＰ層において相互接続可能で高品質な暗号化ベースのセキュリティを提供する技術である。このセキュリティは、認証ヘッダＡＨ（Authentication Header）とＩＰ暗号化ペイロードＥＳＰ（Encapsulation Security Payload）の２つのトラフィックセキュリティプロトコル等によって実現されている。
【００３３】
ＡＨは、ＩＰパケットの改ざんを防ぐ機能を提供し、ＥＳＰは、ＩＰパケットを暗号化し、かつ、その認証データを格納することで、ＩＰパケットの機密性と完全性とを保証するものである。
【００３４】
ＡＨ、ＥＳＰ共に、認証鍵、暗号鍵を用いて、それぞれ認証情報、暗号データを作成し、送付した暗号化されたデータを解読可能な鍵を保有しているか否かにより通信相手の機器を認証する。
【００３５】
図４と図５とに、それぞれ、ＡＨプロトコルおよびＥＳＰプロトコルを利用した場合のＩＰパケットの構成を示す。なお、これらのパケット構成は、ＩＰｓｅｃパケットとしてＲＦＣ２４０１〜２４０３に規定されているものである。
【００３６】
図４は、ＡＨプロトコルを利用した場合のＩＰパケットの構成を示すものである。この場合のＩＰパケットは、ＩＰヘッダ４００と、ＴＣＰ／ＵＤＰヘッダ４０２と、データ４０３に対するハッシュ値を格納するＡＨヘッダ４０１とを備える。
【００３７】
ＡＨヘッダ４０１に格納されているハッシュ値は、パケットが改ざんされていないことを証明するためのもので、通信相手間で相互に保有する認証鍵を用いて計算された値が格納される。これは、認証されているもの同士では同じ認証鍵を保有することが前提となっているもので、送信側で自身が保有する認証鍵によって計算して格納したデータのハッシュ値を、受信側が、自身が保有する認証鍵によって計算したデータのハッシュ値と比較し、両者が合致することにより、相手が同じ認証鍵を保有するものであることを確認することができる。すなわち、パケットの送信相手が同じ暗号化鍵を保有するグループ内の機器であることが証明される。
【００３８】
図５はＥＳＰプロトコルを利用した場合のＩＰパケットの構成を示すものである。ＴＣＰ／ＵＤＰヘッダと、データを暗号化した場合のヘッダ構成である。
【００３９】
この場合のＩＰパケットは、暗号化しているパケットであることを示すＥＳＰヘッダ５０１と、暗号化の区切りを揃えるためのＥＳＰトレーラ５０４と、認証データ５０５とを備える。認証データ５０５はオプションであり、ＥＳＰヘッダ５０５と、暗号化されたＴＣＰ／ＵＤＰヘッダ５０２と、データ５０３と、ＥＳＰトレーラ５０４とのハッシュ値を格納するものである。
【００４０】
認証データ５０５に格納されるハッシュ値は、ＩＰペイロードの完全性を確保し、暗号化して転送するＴＣＰ／ＵＤＰヘッダ５０２およびデータ５０３の機密性を確保する。暗号化を行なう際には送信側が保有する暗号鍵を用いる。送信側が自身が保有する暗号鍵を用いて暗号化したデータを受信側は自身が保有する暗号鍵で復号する。受信側において、復号ができれば、相手が同じ暗号鍵を保有することが確認できる。すなわち、パケット送信相手が同じ暗号鍵を保有するグループ内機器であることの証明となる。
【００４１】
また、ＩＰｓｅｃで使用する暗号/認証アルゴリズム、鍵など、各機器間でＩＰｓｅｃの規格に従って通信を行う（以後、ＩＰｓｅｃの規格に従って行う通信のことをＩＰｓｅｃ通信と呼ぶ）ために共有すべき情報は、セキュリティアソシエーション(ＳＡ)として管理される。
【００４２】
ＳＡは、それによって運ばれるトラフィックに対してセキュリティサービスを提供する単方向の「コネクション」である。このため、ＩＰｓｅｃ通信を行うにあたって、通信を行う機器間で一方向の通信ごとに、予め設定を行う必要がある。すなわち、両方向の通信を行なうためには、送信方向と受信方向とのそれぞれのＳＡを設定する必要がある。
【００４３】
なお、ＩＰｓｅｃの詳細は、ＲＦＣ２４０１”Security Architecture for the Internet Protocol”に規定されている。
【００４４】
図１は、本発明を適用した一実施形態に係るグループ通信システムの構成を示す図である。
【００４５】
本図に示すように、本実施形態においては、４つのノード１００（１００Ａ、１００Ｂ、１００Ｃ、１００Ｄ）がＩＰｖ６によるネットワーク１１０に接続されている。もちろん構成ノード数はこれに限られない。
【００４６】
これらのノード１００間で、ネットワーク１１０を介してＩＰパケット形式のコマンドを送受信することにより、ノード１００各々が備える機器特有のサービス機能に対する他のノード１００からの操作、および、他のノード１００へのサービス提供が実現される。
【００４７】
具体的には、ネットワークを介して、テレビからエアコンの温度調節をしたり、テレビからの操作により、ビデオカメラで撮影している画像をビデオに送信し、ビデオカメラで撮影した画像をビデオで録画させるといったことが実現されるものである。
【００４８】
例えば、ノード１００Ａ〜ノード１００Ｃは、利用者が相互にサービスを利用することを許可しているグループに属するノードであり、ノード１００Ｄは、そのグループ外のノードとすると、グループを構成するノード１００Ａ、１００Ｂ、１００Ｃ間では、サービス機能の利用要求を送信する際に、要求元ノードは、グループで共有する鍵（以後、グループ鍵と呼ぶ）により計算されたハッシュ値を格納した、または、暗号化したＩＰパケットを送付する（１０１方向）。利用要求を受け取った要求先ノードは、自身の保有するグループ鍵により要求元ノードがグループ構成ノードであることを確認し、サービス機能を要求元ノードに提供する（１０２方向）、といったＩＰｓｅｃ通信を行なう。
【００４９】
これに対し、ノード１００Ｄからは、サービス機能の利用要求は、通常のＩＰパケットによって送信することとなるため、ノード１００Ｃに通常のＩＰパケットを送信すると（１０４方向）、ノード１００Ｃにおいてグループ外ノードと判断され、サービス提供拒否のパケットの返答を受けることとなる（１０３方向）。
【００５０】
ここで、ノード１００Ｂがグループ外のノード１００に提供を許可するサービスを有するノードの場合、ノード１００Ｄからそのサービスの提供を指定して通常のＩＰパケットを送信すると（１０４ｂ方向）、ノード１００Ｂよりそのサービスが提供される（１０３ｂ方向）。
【００５１】
本実施形態では、以上のようにＩＰｓｅｃの仕組みを標準で実装するＩＰｖ６を用いたプロトコルによる通信が可能なネットワークを例にあげて説明する。しかし、グループを構成するノード１００間に共通の暗号化鍵を持たせ、その鍵を認証鍵または暗号鍵として当該グループ間で通信を行うことができる環境を構築できるならば、通信プロトコルはこれに限られない。
【００５２】
以下、このようなネットワークに接続されたノード１００間で、所定のサービスの安全な利用を実現するグループの管理方法、すなわち、一つのノード１００においてグループを生成し、生成されたグループに他のノード１００が参加し、また、生成されたグループから離脱する方法について説明する。
【００５３】
本実施形態では、空のメモリカードＡ、Ｂの２つを用意し、最初にグループに参加するノード１００において、グループ内でＩＰｓｅｃ通信を行うために必要な情報を生成し、そのうちの一つのメモリカードＡに、登録する。その後参加するノード１００は、メモリカードＡから必要な情報を取得することで、グループに参加する。また、グループから離脱する際は、空のメモリカードＢを用いる。
【００５４】
図２にノード１００のハードウェア構成を、図３にその機能構成を示す。
【００５５】
ノード１００は、ノード１００が備える一つ以上の固有機能部２０２と、ネットワークカード２０５と、固有機能部２０２及びネットワークカード２０５を制御するプロセッサ２００と、プロセッサ２００で実行するプログラムを記憶するメモリ２０１と、プログラム及び設定情報を記憶するハードディスク等の外部記憶装置２０４と、グループ情報を受け渡すためのメモリカード等のインタフェースを提供する記憶媒体インタフェース２０６と、これらを接続するシステムバス２０３とを備える。
【００５６】
なお、固有機能部２０２が実現する固有機能とは、例えばエアコンであれば、例えば冷暖房機能、温度管理機能、タイマ機能等を司る処理部などのことである。
【００５７】
また、記憶媒体インタフェース２０６は、挿入する記憶媒体に書き込み中であることを利用者に通知するＬＥＤ（発光ダイオード）ライトを具備している。
【００５８】
次に、各ノード１００が備える機能を図３に従って説明する。これらの機能により、ノード１００は、ネットワークを介して、利用者がサービスの相互利用を許可したグループを構成するノード１００間でサービスの提供を実現する。
【００５９】
各ノード１００は、アプリケーション３０１と、グループ管理処理部３０２と、ＴＣＰ／ＵＤＰ送信処理部３０３と、ＩＰ送信部３０４と、アクセスポリシデータベース３０８と、ＳＡデータベース３０９と、ネットワークインタフェース受信処理部３１０と、ＩＰ受信部３１４と、ＴＣＰ／ＵＤＰ受信処理部３１５と、ネットワークインタフェース送信処理部３１７と、記憶媒体インタフェース処理部３１８とを備える。
【００６０】
アプリケーション３０１は、各ノード特有のサービスを提供するものである。
【００６１】
グループ管理処理部３０２は、後述するグループの生成、離脱、更新など、グループに関する管理を行なうものである。
【００６２】
ネットワークインタフェース受信処理部３１０とネットワークインタフェース送信処理部３１７とは、ネットワークカードを制御するものである。
【００６３】
記憶媒体インタフェース処理部３１８は、記憶媒体インタフェース２０６を制御するものである。記憶媒体インタフェース３１８は、メモリカード等の記録媒体が記録媒体インタフェース２０６に挿入されたことを検出すると、記憶媒体インタフェース２０６に備えられているＬＥＤライトを点灯し、メモリカードを利用中であることを利用者に対して示す。また、グループ管理処理部３０２から処理終了の通知を受けると、記憶媒体インタフェース２０６に備えられているＬＥＤライトを消灯し、利用者に対し、メモリカード等の記憶媒体への書込みが終了したこと、および、グループ管理処理部３０２における処理が完了したことを通知する。
【００６４】
なお、通知を受けた利用者は、メモリカードを当該記憶媒体インタフェース２０６から取り出すことができる。
【００６５】
ＴＣＰ／ＵＤＰ送信処理部３０３と、ＩＰ送信部３０４と、ＩＰ受信部３１４と、ＴＣＰ／ＵＤＰ受信処理部３１５とは、送受するＩＰパケットに対し、各層の処理を行い、通信を実現するものである。
【００６６】
ＩＰ送信部３０４は、ＩＰｖ６送信前処理部３０５と、ＩＰｓｅｃ送信処理部３０６と、ＩＰｖ６後処理部３０７とを備え、ＩＰ受信部３１４は、ＩＰｖ６受信前処理部３１１と、ＩＰｓｅｃ受信処理部３１２と、ＩＰｖ６受信後処理部３１３とを備える。ＩＰ送信部３０４とＩＰ受信部３１４とで、ＩＰｖ６による通信を実現する。
【００６７】
ここで、ＩＰｖ６受信前処理部３１１は、ＩＰヘッダを構成するバージョン、ペイロード長、ホップ・リミットの設定値の確認およびオプションヘッダ（ＡＨとＥＳＰとを除く）処理といったＩＰｖ６受信前処理を行なうものである。ＩＰｖ６受信前処理部３１１は、受け取ったＩＰパケットにＡＨヘッダまたはＥＳＰヘッダのいずれかが付加されていた場合、そのＩＰパケットをＩＰｓｅｃ処理部３１２に受け渡す。いずれのヘッダも付加されていなかった場合、そのＩＰパケットを後述する受信アクセス制御部３１６に受け渡す。
【００６８】
ＩＰｓｅｃ処理部３１２は、ＩＰヘッダのオプションヘッダのうち、ＡＨとＥＳＰの処理を行ない、受信したＩＰパケットがグループに属するノード１００から送信されたものか否かを判断する。
【００６９】
ＩＰｖ６受信後処理部３１３は、ＩＰパケットを受け取ると、送信元ＩＰアドレス、送信先ＩＰアドレスを含むPusedo Headerを作成し、受け取ったＩＰパケットのＩＰヘッダと置き換え、ＴＣＰ/ＵＤＰ受信処理部３１５に受け渡すといったＩＰｖ６受信後処理を行なう。また、ＩＰ受信部３１４は、受信アクセス制御部３１６をさらに備える。
【００７０】
受信アクセス制御部３１６は、ＩＰｖ６受信前処理部３１１から、ＡＨヘッダまたはＥＳＰヘッダを有していないＩＰパケットを受け取り、当該ＩＰパケットのアプリケーションへのアクセスを制御するものである。
【００７１】
ＳＡデータベース３０９は、ＩＰｓｅｃで必要なセキュリティアソシエーション（ＳＡ）が格納されているものである。
【００７２】
アクセスポリシデータベース３０８は、グループ内での通信を実現するため、各ノードに対するアクセス制御に関する情報及びグループ情報が格納されているものである。
【００７３】
アクセスポリシデータベース３０８は、グループ管理テーブル６００と、アクセス制御対象アプリケーション管理テーブル７００と、グループメンバ管理テーブル８００とを備える。
【００７４】
なお、グループ管理テーブル６００は、記憶媒体インタフェース２０６を介してノードに接続される記憶媒体であるメモリカード上でも保持されるものである。
【００７５】
以下、グループ管理処理部３０２、アクセスポリシデータベース３０６の各データベース、および、ＳＡデータベース３０９内のＳＡについて、その詳細を説明する。
【００７６】
図６に、グループ管理処理部３０２の機能構成図を示す。
【００７７】
本図に示すように、グループ管理処理部３０２は、制御部３１００と、グループ生成処理部３２００と、グループ参加処理部３３００と、グループ離脱処理部３４００と、グループ情報更新処理部３５００と、グループ制御ＩＰパケット受信処理部３６００とを備える。
【００７８】
グループ管理処理部３０２は、ユーザがメモリカードを記憶媒体インタフェース２０６に挿入したことを検出した記憶媒体インタフェース処理部３１８からの指示で処理を開始する。
【００７９】
制御部３１００は、記憶媒体インタフェース処理部３１８からの指示を受け、挿入されたメモリカード内と、自身が保有するアクセスポリシデータベース３０８を検索し、グループ管理テーブル６００の有無を確認する。
【００８０】
グループ生成処理部３２００は、グループ自体が存在しない場合に、新たにグループを生成するグループ生成処理を行なう。グループ生成処理は、制御部３１００がメモリカードにもアクセスポリシデータベース３０８にもグループ管理テーブル６００が存在しないと判断した場合に行なわれるものである。
【００８１】
具体的には、グループに属する他のノードと暗号通信を行なうために必要な情報、すなわち、グループ管理テーブル６００に登録すべき項目を生成、選択し、グループ管理テーブル６００を作成し、それを、メモリカードおよびアクセスポリシデータベース３０８に登録する。
【００８２】
グループ参加処理部３３００は、既存のグループに、新たなメンバとして自身を参加させるグループ参加処理を行うものである。グループ参加処理は、制御部３１００がメモリカードにはグループ管理テーブル６００が存在するが、アクセスポリシデータベース３０８にグループ管理テーブル６００が存在しないと判断した際に行われるものである。
【００８３】
グループ参加処理部３３００は、挿入されたメモリカードに格納されている暗号通信に必要な情報を取得し、また、自身のノード１００と暗号通信を行なうために必要な情報をグループに既に属している他のノード１００に送信する。具体的には、メモリカード内のグループ管理テーブル６００に自身の情報を追加し、自身の情報が追加されたグループ管理テーブル６００を、アクセスポリシデータベース３０８に登録する。
【００８４】
また、グループ管理テーブル６００から得た、グループに既に属しているノード１００のホスト名からＩＰアドレスを解決することで、グループメンバ管理テーブル８００を生成する。
【００８５】
さらに、グループ参加処理部３３００は、グループ内の各ノード１００とＩＰｓｅｃ通信が可能となるように、セキュリティアソシエーションの設定を行ない、ＳＡデータベース３０９に登録し、グループ内の既存のメンバのノード１００に、ＩＰｓｅｃ通信で自身が追加されたことを通知する。
【００８６】
グループ離脱処理部３４００は、グループから離脱するグループ離脱処理を行なうものである。
【００８７】
本実施形態では、ユーザが所定のノード１００をグループから離脱させたい場合、当該ノード１００に空のメモリカードを挿入することとする。すなわち、グループ離脱処理は、制御部３１００が、自身のアクセスポリシデータベース３０８にはグループ管理テーブル６００が存在するが、挿入されたメモリカードにはグループ管理テーブル６００が存在しないと判断した際に行われるものである。
【００８８】
グループ離脱処理は、グループに属する他のノード１００に自身のノード１００が離脱することを通知し、当該グループ内で暗号通信を行なうために必要な情報、すなわち、自身のアクセスポリシデータベース３０８およびＳＡデータベース３０９内のグループ間の通信に係わるデータを削除するものである。
【００８９】
ここで、グループ参加処理部３３００およびグループ離脱処理部３４００がそれぞれ、参加および離脱をグループに属する各ノード１００に通知する際は、グループ制御ＩＰパケットと呼ぶ特別なデータ部を有するＩＰパケットを用いる。
【００９０】
ここで、そのグループ制御ＩＰパケットについて説明する。図７にグループ制御ＩＰパケットのデータ部１０００の一例を示す。
【００９１】
本図に示すように、グループ制御ＩＰパケットのデータ部１０００は、コマンド識別子を格納するコマンド識別子格納部１００１と、ＩＰアドレスとホスト名とをそれぞれ格納する、１６バイトのＩＰアドレス格納部１００２と、ホスト名格納部１００３とを備える。
【００９２】
ここで、新規参加を通知する際にグループに属する各ノード１００に送信されるグループ制御ＩＰパケットの場合、コマンド識別子格納部１００１に「加入」を示す（００）hexが設定される（以後、本グループ制御ＩＰパケットを加入コマンドと呼ぶ）。そして、ＩＰアドレス格納部１００２と、ホスト名格納部１００３とには、それぞれ自身のアドレスとホスト名とが設定される。
【００９３】
また、グループから離脱する際にグループに属する各ノード１００に送信されるグループ制御ＩＰパケットの場合、コマンド識別子格納部１００１に「離脱」を示す（０１）hexが設定される（以後、本グループ制御ＩＰパケットを離脱コマンドと呼ぶ）。そして、ＩＰアドレス格納部１００２と、ホスト名格納部１００３とには、それぞれ自身のアドレスとホスト名とが設定される。
【００９４】
グループ情報更新処理部３５００は、グループ管理テーブル６００の内容を更新したり、それをメモリカードにコピーするといったグループ情報更新処理を行なうものである。
【００９５】
本実施形態においては、セキュリティを向上させるために、グループ内で利用するグループ鍵が所定の期間ごとに更新される設定となっている。グループ情報更新処理部３５００は、グループ管理テーブル６００の鍵有効期限がタイムアウトした時点で、新しいグループ鍵を生成する。
【００９６】
ここで、グループ管理テーブル６００生成時に、ノード毎に、異なる鍵有効期限が設定される。具体的には、所定の有効期限の、例えば、プラスマイナス３０％間のランダムな値を、その鍵有効期限に加算あるいは減算することで得られた値を鍵有効期限として各ノードに設定する。このため、各ノードで鍵有効期限のタイムアウトが異なるタイミングで生じ、鍵の更新を行なうノードが一つに定まり、グループのメンバが同時にグループ鍵を生成することを避けることができる。
【００９７】
そして、更新されたグループ鍵を更新前のグループ鍵で暗号化し、グループ鍵を更新したメンバからグループに属する各ノードに送付する。このとき、鍵の更新とともに、各ノードの鍵有効期限を再設定してもよい。
【００９８】
また、グループ情報更新処理部３５００は、他のノードから、更新されたグループ鍵を受信した場合、自身の保有するグループ鍵の情報を更新するとともに、グループに属する各ノード１００のＩＰアドレスが更新された場合、関連するデータベース内のＩＰアドレスを更新する。
【００９９】
ここで、本実施形態では、グループの鍵の更新は上述のように行なわれるため、グループ参加処理に用いられるメモリカード内のグループ管理テーブル６００には反映されない。同様に、上述のグループからの離脱処理は、空のメモリカードを用いて行なわれ、離脱したノード１００からグループを構成する他のノード１００への通知は、ＩＰｓｅｃ通信によって行われる。このため、グループ離脱によるグループ構成メンバの変更も、グループ参加処理に用いられるメモリカード内のグループ管理テーブル６００に反映されない。
【０１００】
このため、本実施形態では、グループ情報更新処理部３５００が、メモリカード内のグループ管理テーブル６００の更新処理も行なう。
【０１０１】
グループ情報更新処理部３５００が行なうメモリカード内のグループ管理テーブル６００の更新処理は、制御部３１００が、自身のアクセスポリシデータベース３０８にも、挿入されたメモリカードにもグループ管理テーブル６００が存在すると判断した際に行われるものである。
【０１０２】
グループ情報更新処理部３５００は、当該ノード１００のアクセスポリシデータベース３０８に格納されているグループ管理テーブル６００の情報をメモリカード内のグループ管理テーブル６００にコピーする。
【０１０３】
本実施形態では、実際のグループ参加処理において、グループ参加処理を行なう場合に、グループに既に所属しているノード１００にメモリカードを挿入し、メモリカード内のグループ管理テーブル６００を最新のものとする処理を前もって行なうよう手順を定めておく。
【０１０４】
グループ制御ＩＰパケット受信処理部３６００は、前述のグループ制御ＩＰパケットを受信した際の処理を行うものである。
【０１０５】
具体的には、加入コマンドを受信した場合は、ＩＰアドレス格納部１００２およびホスト名格納部１００３に格納されているＩＰアドレスおよびホスト名を自身のグループ管理テーブル６００およびグループメンバ管理テーブル８００とに追加し、送信元ノード１００と暗号通信を行なうために必要なセキュリティアソシエーションを作成する。一方、離脱コマンドを受信した場合は、それらを削除する。
【０１０６】
次に、アクセスポリシデータベース３０８に格納されるグループ管理テーブル６００とアクセス制御対応アプリケーション管理テーブル７００と、グループメンバ管理テーブル８００とについて以下に説明する。
【０１０７】
グループ管理テーブル６００は、グループに属するノード１００を識別するための情報とグループで共有する鍵の情報とを格納するテーブルである。図８にその一例を示す。
【０１０８】
本図に示すようにグループ管理テーブル６００は、ネットワークに接続されたノード１００によって構成されるグループを識別するためのグループ識別子を格納するグループ識別子格納フィールド６０１と、グループ鍵を格納するグループ鍵格納フィールド６０２と、そのグループ鍵の有効期限を格納するグループ鍵有効期限格納フィールド６０３と、ＡＨ、ＥＳＰといったグループ内で通信に利用するＩＰｓｅｃの機能の種別を格納するＩＰｓｅｃ種別格納フィールド６０４と、認証あるいは暗号に用いるアルゴリズムを格納するアルゴリズム格納フィールド６０５と、グループに属するノード１００を識別する情報であるホスト名を格納するホスト名格納フィールド６０６（６０６Ａ〜６０６Ｂ）とを備える。
【０１０９】
アクセス制御対象アプリケーション管理テーブル７００は、ノード１００にグループ外のノード１００が利用可能なアプリケーションが実装されている場合、ノード１００に実装されている各アプリケーションに対するアクセス制御のために用いる情報が格納されているテーブルである。
【０１１０】
なお、本テーブルは、ノード１００がグループ内からのアクセスに対してのみ提供するアプリケーションだけを実装している場合は不要なものである。
【０１１１】
アクセス制御対象アプリケーション管理テーブル７００の一例を図９に示す。
【０１１２】
本図に示すように、アクセス制御対象アプリケーション管理テーブル７００は、グループ外のノード１００にも開放されているアプリケーションが利用するポート番号を格納するポート番号格納フィールド７０１（７０１Ａ、７０１Ｂ）を備える。各ノード１００は、ＩＰパケット受信時に、本テーブルを参照し、当該ＩＰパケットがアクセスしようとしているアプリケーションがグループ外のノード１００にも開放されたアプリケーションであるか否かの判定を行う。
【０１１３】
次に、グループメンバ管理テーブル８００について説明する。各ノード１００間で、ＩＰｖ６に基づき、ＩＰパケット通信を行なうためには、各ノード１００のＩＰアドレスを知る必要がある。グループに属する各ノード１００のＩＰアドレスは、グループ参加時に取得した各ノード１００のホスト名からＩＣＭＰ(Internet Control Message Protocol) Echo Request/Replyパケットのやりとりにより、アドレスの解決を行なうことで取得する。このように、グループメンバ管理テーブル８００は、各ノードにおいてホスト名からＩＰアドレスを解決して作成するもので、そこには、グループに属する各ノード１００のホスト名とＩＰアドレスとの対応が格納されている。
【０１１４】
図１０にグループメンバ管理テーブル８００の一例を示す。
【０１１５】
本図に示すように、本テーブルは、ノードを特定するホスト名を格納するホスト名格納フィールド８０１と、ホスト名と対応させて各ノード１００のＩＰアドレスを格納するＩＰアドレス格納フィールド８０２と、ＩＰアドレスの有効期限を格納する有効期限格納フィールド８０２とを備える。
【０１１６】
ノード１００が再起動した場合などに、ノード１００のＩＰアドレスは変わる可能性がある。また、一定時間内にＩＰアドレス格納部８０２に格納されているＩＰアドレスと送受信が行われないと、有効期限が切れる場合がある。
【０１１７】
このようなノードに対しＩＰパケットを送信する場合、ノード１００のＩＰｖ６送信前処理部３０５は、ＩＣＭＰ Echo Request/Replyパケットのやりとりにより、ホスト名からアドレスの解決を再度行ない、グループ管理処理部３０２に通知する。それを受けて、グループ管理処理部３０２のグループ情報更新処理部３５００は、ＩＰアドレスが登録されている本テーブルおよびグループ内の通信に利用するセキュリティアソシエーションを更新する。
【０１１８】
次に、ＳＡデータベース３０９に格納されている、セキュリティアソシエーション９００について説明する。セキュリティアソシエーション９００は、ＩＰｓｅｃにのっとった通信を行うために共有すべき情報を管理するものであり、例えば、ノード１００Ａとノード１００Ｂ間で通信する場合、ノード１００Ａからノード１００Ｂ方向の通信、および、ノード１００Ｂからノード１００Ａ方向の通信、両者に対し、独立して設定する必要があるものである。
【０１１９】
図１１に、セキュリティアソシエーション９００の一例を示す。
【０１２０】
本図に示すように、セキュリティアソシエーション９００は、各セキュリティアソシエーションを識別するＳＰＩ(セキュリティポリシ識別子)、送信元ＩＰアドレス、送信先アドレス、プロトコルとして認証あるいは暗号の指定、暗号範囲としてトランスポートモードあるいはトンネルモードの指定、暗号アルゴリズム、暗号鍵、認証アルゴリズム、認証鍵、鍵の有効期限などを含む。
【０１２１】
本実施形態では、各ノード１００においてセキュリティアソシエーション９００を作成するにあたり、送信用のセキュリティアソシエーション９００を作成する場合は、送信元ＩＰアドレスには、自身のノード１００のＩＰアドレスを、送信先ＩＰアドレスには、通信相手先ノードのＩＰアドレスを設定し、受信用を作成する場合は、送信元ＩＰアドレスには、通信相手先のＩＰアドレスを設定し、送信先ＩＰアドレスには、自身のノード１００のＩＰアドレスを設定する。
【０１２２】
ＳＰＩには、送信用、受信用ともに、グループ管理テーブル６００のグループ識別子格納部６０１に格納されているグループ識別子が格納される。また、送信用、受信用ともに、プロトコル、認証鍵アルゴリズム、認証鍵、有効期限には、それぞれ、グループ管理テーブル６００に格納されているものが設定される。
【０１２３】
以上、本実施形態におけるノード１００の各機能などについて説明した。
【０１２４】
次に、本実施形態における、ネットワーク１１０に接続された各ノード１００間で、グループを生成し、参加する手順、また、一旦参加したグループから離脱する手順などを説明する。
【０１２５】
以下においては、ＩＰｓｅｃの機能種別としてＡＨを、モードとしてトランスポートモードを、認証アルゴリズムとしてＳＨＡ−１（Secure Hash Algorithm 1:SHS(Secure Hash Standard) FIPS 180として規定）を用いる場合を例にあげ、説明する。ＩＰｓｅｃ通信の設定は、これらに限られない。
【０１２６】
また、本実施形態においては、前述したように、グループの情報を格納するメモリカードと、グループを離脱する際に用いる空のメモリカードとの２つのメモリカードを用いてグループの生成、参加、離脱、情報更新などを行なう。
【０１２７】
図１２に、グループ管理処理部３０２が行なうグループ管理処理手順３０２０を示す。
【０１２８】
グループ管理処理手順３０２０は、ユーザがメモリカードを各ノード１００の記録媒体インタフェース２０６に挿入することをきっかけに開始される。
【０１２９】
そして、ノード１００の記憶媒体インタフェース処理部３１８は、メモリカードが記録媒体インタフェース２０６に挿入されたことを検出すると、記憶媒体インタフェース２０６に備えられているＬＥＤライトを点灯し、メモリカードを利用中であることを利用者に対して示す。
【０１３０】
ＬＥＤライトが消灯されたことにより、ユーザは処理が終了したことを知り、メモリカードを取り出すことができる。
【０１３１】
また、記憶媒体インタフェース処理部３１８は、メモリカードを検出したことをグループ管理処理部３０２へ通知する。その通知を受けて、グループ管理処理部３０２は、グループ管理処理１０００を開始する。
【０１３２】
まず、グループ管理処理部３０２の制御部３１００は、自身のアクセスポリシデータベース３０８と、記録媒体インタフェース処理部３１８を介してメモリカード挿入されたメモリカードとにアクセスし、グループ管理テーブル６００の有無を確認する（ステップ３０２１）。
【０１３３】
ここで、どちらにもグループ管理テーブル６００がない場合、グループ自体が存在しない、すなわち、グループを生成する必要があると判断し、制御部３１００は、グループ生成処理部３２００にグループ生成処理３２１０を行わせる（ステップ３０２２）。グループ生成処理３２１０が完了すると、制御部３０２は、記憶媒体インタフェース処理部３１８に対し、メモリカードの書き込み終了を通知し（ステップ３０２７）、処理を終える。
自身のアクセスポリシデータベース３０２には無く、メモリカードには存在した場合、制御部３１００は、メモリカードに存在するグループに自身が参加しようとしていると判断し、グループ参加処理部３３００にグループ参加処理３３１０を行なわせ（ステップ３０２３）、グループ参加処理が完了すると、ステップ３０２７に進む。
【０１３４】
メモリカードには無く、自身のアクセスポリシデータベース３０２には存在した場合、制御部３１００は、自身は既にグループに属しているが空白のメモリカードが挿入されたことにより、グループ離脱処理を行なうものと判断し、グループ離脱処理部３４００にグループ離脱処理３４１０を行なわせ（ステップ３０２６）、グループ離脱処理が完了するとステップ３０２７に進む。
【０１３５】
どちらにもグループ管理テーブル６００が存在する場合は、制御部３１００は、まず、アクセスポリシデータベース３０２内のグループ管理テーブル６００とメモリカード内のグループ管理テーブル６００とのグループ識別子を比較する（ステップ３０２４）。
【０１３６】
ここで、両者が同じであれば、メモリカードのグループ情報を更新する処理を行なうものと判断し、グループ情報更新処理部３５００にグループ情報更新処理３５１０としてアクセスポリシデータベース３０２内のグループ管理テーブル６００をメモリカードにコピーする処理を行なわせ（ステップ３０２５）、当該処理が完了すると、ステップ３０２７に進む。
【０１３７】
ステップ３０２４において、両者が異なった場合、制御部３１００は、誤ったメモリカードが挿入されたと判断し、そのままステップ３０２７にすすむ。
【０１３８】
次に、グループ生成処理１２００、グループ参加処理１３００、グループ離脱処理１６００、グループ情報更新処理１５００の手順を説明する。
【０１３９】
まず、グループ生成処理３２１０の処理手順を図１３に示す。
【０１４０】
制御部３１００から処理開始の指示を受けると、グループ生成処理部３２００は、グループ鍵を生成し（ステップ３２１１）、グループを識別するためのグループ識別子を生成し（ステップ３２１２）、認証・暗号モードとして認証（ＡＨ）を選択し（ステップ３２１３）、アルゴリズムとしてＳＨＡ−１を選択する（ステップ３２１４）。
【０１４１】
そして、それぞれを、グループ鍵格納フィールド６０２、グループ識別子格納フィールド６０１、ＩＰｓｅｃ種別格納フィールド６０４、アルゴリズム格納フィールド６０５に格納し、グループ管理テーブル６００を作成する（ステップ３２１５）。そして、ホスト名格納フィールド６０６に自ノード１００のホスト名を登録する（ステップ３２１６）。
【０１４２】
グループ管理テーブル６００が完成すると、グループ生成処理部３２００は、本テーブルをメモリカードにコピーすると共に、自ノード１００のアクセスポリシデータベース３０８に記憶し（ステップ３２１７，３２１８）、処理が終了したことを制御部３１００に通知する。
【０１４３】
次に、グループ参加処理３３１０の処理手順を図１４に示す。
【０１４４】
制御部３１００から処理開始の指示を受けると、グループ参加処理部３３００は、メモリカード上のグループ管理テーブル６００のホスト名格納フィールド６０６に自ノード１００のホスト名を追加し（ステップ３３１１）、メモリカード上のグループ管理テーブル６００を自身のアクセスポリシデータベース３０８内に記憶する（ステップ３３１２）。
【０１４５】
次に、グループメンバ管理テーブル８００を作成するともに、グループに既に属している各ノード１００に、自身の参加を通知する新メンバ通知処理３７１０を行なう（ステップ３３１３）。
【０１４６】
そして、今までのステップで記録されたグループ管理テーブル６００の情報およびグループメンバ管理テーブル８００の情報とを用い、各ノード１００とのＩＰｓｅｃ通信に用いるセキュリティアソシエーション９００を生成し（ステップ３３１４）、処理が終了したことを制御部３１００に通知する。
【０１４７】
ここで、新メンバ通知処理３７１０についてその処理手順を説明する。図１５にその処理手順を示す。
【０１４８】
新メンバ通知処理３７１０では、グループ管理テーブル６００内のホスト名フィールド６０６に格納されているホストごとに順に、ＩＣＭＰ Echo Request / ReplyによりＩＰアドレスを取得し（ステップ３７１２）、グループメンバ管理テーブル８００に、ホスト名ごとに取得したＩＰアドレスを登録する（ステップ３７１３）。
【０１４９】
上記のステップで取得した、グループを構成する各ノード１００のＩＰアドレスに対して加入コマンドを生成し（ステップ３７１４）、それを送信する（ステップ３７１５）。
【０１５０】
そして、次のホスト名を読み出して、ステップ１３３０から１３６０の処理を繰り返す（ステップ３３１６）。ここで、読み出したホスト名が自身のホスト名の場合は、何も処理を行わず、次のホスト名を読み出す（ステップ３７１１）。そして、グループ管理テーブル６００のホスト名格納フィールド６０６に格納されている、自身のノード１００を除く全てのノードに対して以上の処理を終えると（ステップ３７１７）、グループ内への新メンバ通知処理１３３０を終える。
【０１５１】
以上、グループ参加処理３３１０について説明した。
【０１５２】
次に、グループ離脱処理３４１０について、図１６を用いて説明する。
【０１５３】
制御部３１００から処理開始の指示を受けると、グループ離脱処理部３４００は、ノード１００内のグループ管理テーブル６００のホスト名格納部６０６に登録されているホスト名を順番に読み出す（ステップ３３１１）。
【０１５４】
ここで、読み出したホスト名が自ホスト名と一致した場合は、次のホスト名を読み出す。
【０１５５】
読み出したホスト名が自ホスト名と一致しない場合は、グループメンバ管理テーブル８００から読み出したホスト名に対応するＩＰアドレスを検索する（ステップ３３１２）。以後、このＩＰアドレスを検索したＩＰアドレスと呼ぶ。
【０１５６】
次に、送信先ＩＰアドレスを検索したＩＰアドレスとした離脱コマンドを作成し（ステップ３３１３）、その送信先ＩＰアドレスを有するノード１００に送信する（ステップ３３１４）。
【０１５７】
グループ離脱処理部３４００は、自身の保有するグループメンバ管理テーブル８００から以上の操作を行なった検索したＩＰアドレスに係わるデータを削除する（ステップ３３１５）。
【０１５８】
次に、ＳＡデータベース３０９に記憶されているセキュリティアソシエーション９００から検索したＩＰアドレスと等しい送信先ＩＰアドレスを持つものを抽出し、そのセキュリティアソシエーション９００を削除する（ステップ３３１６）。
【０１５９】
また、検索したＩＰアドレスと等しい送信元ＩＰアドレスを持つセキュリティアソシエーション９００を抽出し、それを削除する（ステップ３３１７）。
【０１６０】
グループ離脱処理部３４００は、グループ管理テーブル６００に登録されている全てのホスト名に対して、以上のステップ３３１１〜ステップ３３１７の処理を実行した後（ステップ３３１８）、自身が保有するグループ管理テーブル６００を削除し（ステップ３３１９）、グループ離脱処理３３１０を終了する。そして、制御部３１００に処理終了を通知する。
【０１６１】
次に、上記のグループ参加処理３３１０内のグループ内への新メンバ通知処理３７１０のステップ３７１５およびグループ離脱処理３３１０のステップ３３１４において送信された、それぞれ加入コマンドおよび離脱コマンドを受信した場合の各ノード１００側での処理を以下に説明する。
【０１６２】
本処理は、グループ制御ＩＰパケット受信処理部３６００によって行なわれ、グループ制御ＩＰパケット受信処理３６１０と呼ぶ。図１７に本処理の手順を示す。
【０１６３】
グループを構成する各ノード１００は、ネットワークインタフェース受信処理部３１０においてグループ制御ＩＰパケットを受信すると、ＩＰ受信部３１４、ＴＣＰ／ＵＤＰ受信処理部３１５を経てグループ管理処理部３０２のグループ制御ＩＰパケット受信処理部３６００へ受け渡す。
【０１６４】
受信したグループ制御ＩＰパケット受信処理部３６００は、コマンド識別子格納部１００１に設定されているコマンド識別子が加入であるか否かを確認する（ステップ３６１１）。
【０１６５】
ステップ３６１１でコマンド識別子が加入を示す（００）hexであった場合、すなわち、加入コマンドを受信した場合、ステップ３６１２に進み、グループ制御ＩＰパケットのホスト名１００３に設定されている加入コマンドを送信してきたノード１００のホスト名をグループ管理テーブル６００に登録する（ステップ３６１２）。
【０１６６】
そして、グループメンバ管理テーブル８００に、加入コマンドを送信してきたノード１００のホスト名と、グループ制御ＩＰパケットのＩＰアドレス格納部１００２に設定されているそのＩＰアドレスとを登録する（ステップ３６１３）。
【０１６７】
次に、グループ制御ＩＰパケット受信処理部３６００は、送信用、すなわち、自身のノード１００から加入コマンドを送信してきた新規に加入したノード１００方向の送信、および、受信用、すなわち、加入コマンドを送信してきた新規に加入したノード１００から自身のノード１００方向の送信、各々のセキュリティアソシエーション９００を作成する処理を行なう（ステップ３６１４、３６１５）。
【０１６８】
次に、ステップ３６１１でコマンド識別子が離脱を示す（０１）hexであった場合、すなわち、離脱コマンドを受信した場合、グループ制御ＩＰパケット受信処理部３６００は、ステップ３６１６に進む。
【０１６９】
ここで、グループ制御ＩＰパケット受信処理部３６００は、ＳＡデータベース３０９に記憶されているセキュリティアソシエーション９００から、受信したグループ離脱コマンドのデータ部１０００のＩＰアドレス１００２に格納されているＩＰアドレスと等しい送信先ＩＰアドレスを持つものを抽出し、抽出したセキュリティアソシエーションを削除する（ステップ３６１６）。
次に、受信した離脱コマンドのＩＰアドレス１００２と等しいＩＰアドレスを有するデータをグループメンバ管理テーブル８００から削除し（ステップ３６１７）、受信した離脱コマンドのホスト名１００３に格納されているホスト名と等しいホスト名を、自ノード１００上のグループ管理テーブル６００から削除する（ステップ３６１８）。
【０１７０】
グループ内の全てのノード１００において以上の手順を行なうことにより、全てのノード１００が保有する離脱したノード１００に対応するセキュリティアソシエーション９００を削除し、また、グループ管理テーブル６００から、離脱したノード１００の情報を削除する。
【０１７１】
以上のようにして、グループを構成するノード１００に新規加入または離脱といった変更があった場合、当該ノード１００から送信されるグループ制御ＩＰパケットを受信した他のノード１００において、自身の保有するセキュリティアソシエーションおよびグループ管理テーブル６００が更新される。
【０１７２】
以上、グループ制御ＩＰパケット受信処理を説明した。
【０１７３】
ここまで、グループ管理処理部３０２による、グループの生成、参加、離脱などのグループ管理処理について説明した。
【０１７４】
次に、上記の手順で生成され管理されているグループ内で、アプリケーションを互いに利用する手順を以下に説明する。
【０１７５】
アプリケーションの利用は、ＩＰパケットを互いに送受することによって行なわれる。まず、このＩＰパケットの送受信について説明する。
【０１７６】
前述のように、ＩＰｓｅｃ通信を行うために予め設定の必要なセキュリティアソシエーション９００は、グループ管理処理３０２において、新たなグループ構成メンバが追加される際に生成される。すなわち、グループに属している限り、ＩＰｓｅｃ通信は可能である。
【０１７７】
ＩＰパケットを送信するにあたり、ＩＰｓｅｃ送信処理部３０６は、送信するＩＰヘッダの送信先ＩＰアドレスをキーに、ＳＡデータベース３０９を検索し、対応するＩＰアドレスが送信先ＩＰアドレスとして格納されているセキュリティアソシエーション９００を抽出する。抽出したセキュリティアソシエーション９００に登録されている情報に基づき、ＩＰｓｅｃ処理を行い、ＩＰｖ６送信後処理３０７を行い、ネットワークインタフェース送信処理部を介して、送信先ノードにＩＰパケットを送信する。
【０１７８】
次に、ＩＰパケット受信時の処理手順を図１８を用いて説明する。
【０１７９】
ネットワークインタフェース受信処理部３１０を介してＩＰパケットを受信すると、ＩＰｖ６受信前処理部３１１は、ＩＰｖ６受信前処理を行い（ステップ４０１０）、受信したＩＰヘッダ内の、ＡＨヘッダの有無をチェックする（ステップ４０２０）。
【０１８０】
受信したＩＰヘッダ内にＡＨヘッダ４０１があると判断したならば、そのＩＰパケットをＩＰｓｅｃ受信処理部３１２に受け渡す。
【０１８１】
受け取ったＩＰｓｅｃ受信処理部３１２は、後述するＩＰｓｅｃ受信処理３１２０を行い（ステップ４０３０）、ＩＰｖ６受信後処理部３１３にＩＰパケットを受け渡す。
【０１８２】
そして、ＩＰｖ６受信後処理部３１３は、ＩＰｖ６受信後処理３１３０を行い（ステップ４０４０）、処理を終了する。
【０１８３】
なお、ここで、ＩＰｖ６受信後処理部３１３は、ＩＰｖ６受信後処理３１３０を終えた受信したパケットをＴＣＰ/ＵＤＰ受信処理部３１５に受け渡す。受け取ったＴＣＰ/ＵＤＰ受信処理部３１５は、受け取ったパケットの受信処理を行い、アプリケーション３０１に受信データとして渡す。
【０１８４】
ステップ４０２０で、上記のヘッダがないと判断した場合、そのＩＰパケットを受信アクセス制御部３１６に受け渡す。
【０１８５】
受け取った受信アクセス制御部３１６は、それがＩＣＭＰパケットであるか否かチェックする（ステップ４０５０）。
【０１８６】
ステップ４０５０で、受信したＩＰパケットが、ＩＣＭＰパケットであると判断されたならば、そのままＩＰｖ６受信後処理部３１３に受け渡し、ＩＰｖ６受信後処理３１３０を行い（ステップ４０４０）、処理を終了する。
【０１８７】
ステップ４０５０で、ＩＣＭＰパケットではないと判断されたならば、受信アクセス制御部３１６は、そのＩＰパケットをグループ外のノード１００から送信されたグループ外ＩＰパケットであると判断し、後述するグループ外ＩＰパケット受信処理３１６０を行い（ステップ４０６０）、処理を終了する。
【０１８８】
次に、上記のＩＰｓｅｃ処理３１２０について説明する。
【０１８９】
ＩＰｓｅｃ処理部３１２は、ＡＨヘッダを有するＩＰパケットを受信すると、ＩＰヘッダの送信元ＩＰアドレス、送信先ＩＰアドレス、ＡＨヘッダ４０１に設定されているＳＰＩが一致するセキュリティアソシエーション９００をＳＡデータベース３０９から抽出する。
【０１９０】
そして、抽出したセキュリティアソシエーション９００に記憶されている認証鍵を用いて受信したＩＰパケットの認証情報を作成し、ＡＨヘッダ４０１に設定されている認証情報と比較する。
【０１９１】
両者が一致していれば、受信したＩＰパケットをグループに属する正当なノード１００からの送信とみなし、ＩＰｖ６受信後処理部３１３に受け渡す。そして、一致しない場合は、そのＩＰパケット破棄する。
【０１９２】
以上ＩＰｓｅｃ処理３１２０について説明した。
【０１９３】
次に、受信アクセス制御部３１６によるグループ外パケット受信処理３１６０について説明する。
【０１９４】
以上のように、本実施形態においては、グループに属するノード１００は、グループ外のノード１００から、ＡＨヘッダを有するＩＰパケットを受信した場合は、ＩＰｓｅｃ通信処理部３１２において、また、ＡＨヘッダを有しないＩＰパケットを受信した場合は、ＩＰｖ６受信前処理部３１１において、当該ＩＰパケットが、ＩＰｖ６受信後処理部３１３、ＴＣＰ/ＵＤＰ受信処理部３１５を介してアプリケーション３０１に到達することを排除している。
【０１９５】
しかし、本実施形態においては、ノード１００によっては、その保有するアプリケーションの利用を、グループ外のノード１００にも開放しているものがある。前述したように、このようなアプリケーションを有するノード１００は、アプリケーションごとのポート番号を、アクセス制御対象アプリケーション管理テーブル７００において管理している。
【０１９６】
グループ外のノード１００からＡＨヘッダを有するＩＰパケットを受信した場合は、そのＩＰパケットを復号することができないため、それはＩＰｓｅｃ通信処理部３１２において破棄することは先に説明した。
【０１９７】
グループ外ＩＰパケット受信処理３１６０は、グループ外のノード１００から通常のＩＰパケットを受信した際に、グループ外のノード１００に開放しているアプリケーションに当該ＩＰパケットを送達する処理である。
【０１９８】
グループ外ＩＰパケット受信処理３１６０では、ＩＰパケットを受け取ったノード１００が、グループ外のノード１００に対し何らサービス機能を提供しない場合、アクセスエラーをデータとして格納したＩＰパケットを送信元に対して送信し、受信したＩＰパケットは破棄する。これに対し、グループ外のノード１００に対して何らかのサービス機能を提供する場合は、アクセス制御対象アプリケーション管理テーブル７００の登録に従って、アプリケーションを提供するよう制御している。
【０１９９】
以下にその手順を図１９を用いて説明する。
【０２００】
受信アクセス制御部３１６は、ＩＰｖ６受信前処理部３１１からＩＣＭＰパケットではないＩＰパケットを受信した場合、当該ＩＰパケットから読取った送信先ポート番号とアクセス制御対象アプリケーション管理テーブル７００に登録されているポート番号７０１との比較を行なう（ステップ３１６１）。
【０２０１】
アクセス制御対象アプリケーション管理テーブル７００には、グループ外のノードに利用が許可されているアプリケーションのポート番号が登録されているため、両者が一致した場合、サービス機能を要求元ノード１００に提供できることとなる。
【０２０２】
この場合、受信アクセス制御部３１６は、受け取ったＩＰパケットをＩＰｖ６受信後処理部３１３に受け渡し、受け取ったＩＰｖ６受信後処理部３１３は、ＩＰｖ６受信後処理３１３０を行なう（ステップ３１６４）。
【０２０３】
そして、ＩＰｖ６受信後処理部３１３から処理されたＩＰパケットを受け取ったＴＣＰ/ＵＤＰ受信処理部３１５は、それを、アプリケーション３０１に受け渡す。
【０２０４】
ステップ３１６１において、ポート番号が一致しない場合は、提供できるサービス機能がないため、受信アクセス制御部３１６は、アクセスエラーをデータとして格納したＩＰパケットを生成しＩＰ送信部３０４から送信元に送信し（ステップ３１６２）、受信したＩＰパケットは破棄する（ステップ３１６３）。
【０２０５】
以上、グループ外ＩＰパケット受信処理について説明した。
【０２０６】
このように、本実施形態においては、グループ内のノード１００間ではＩＰｓｅｃ通信を行い、グループ外のノード１００とは通常のＩＰパケットによる通信を行うことで、アクセス制御対象アプリケーション管理テーブル７００で管理している各アプリケーションのポート番号に従って、アプリケーションごとにグループ内外のアクセス許可を制御することができる。これにより、一つのノード１００において、グループだけで利用するサービス機能と、誰もが利用できるサービス機能とを実装し、それぞれへのアクセス制御を可能としている。
【０２０７】
本実施形態によれば、ホームネットワークを構成するノード１００において作成したグループ鍵を含むＩＰｓｅｃ通信に必要な情報を、共通のメモリカードを介して、利用者が相互に利用することを許可する各ノード１００に配布する。
【０２０８】
配布されたノード１００は、グループに所属している他のノード１００とＩＰｓｅｃ通信ができるように、セキュリティアソシエーション９００を設定するとともに、新規加入したことを、グループに所属している他のノード１００に通知する。
【０２０９】
通知を受けたノード１００は、それぞれ、新規に加入したノード１００とのＩＰｓｅｃ通信ができるように、セキュリティアソシエーション９００を設定する。
【０２１０】
以上のように、本実施形態では、例えば、通信を開始する際に認証サーバ、あるいは鍵管理手段を備えた装置等といったグループを構成する機器以外の装置を介さずに、互いに認証可能で安全な通信を行なうことのできるグループを、そのグループを構成する機器が、容易に生成し管理することを実現している。
【０２１１】
また、グループを生成し管理するために必要な情報を、メモリカードといった記憶媒体を介して各ノードに与えること、および、グループの生成、グループへの参加、および、グループからの離脱の指示を各ノードに与えることを実現している。
【０２１２】
このように、本実施形態では、サーバなどの特別な機器を設けることなく、また、複数のマスタ鍵などを備えたＩＣカードを用意してグループを構成する機器それぞれに予めセットしておくなどの事前の準備をすることなく、グループを構成する機器間でのみ、容易にＩＰｓｅｃ通信可能な環境を構築できる。
【０２１３】
また、本実施形態では、一つのノードに、グループ内のノードのみ利用できるアプリケーションとグループ外のノードも利用できるアプリケーションとが実装されている場合も容易にそれぞれのアクセス制御を実現できる。
【０２１４】
なお、本実施形態では、グループ生成、加入、離脱時の指示を行なう際に利用する記憶媒体としてメモリカードを例にあげ、説明したが、利用する記憶媒体はこれに限られない。可搬型の記憶媒体であり、各ノードがそのインタフェースを備えていれば、どのような記憶媒体であってもよい。
【０２１５】
また、本実施形態では、ＩＰｓｅｃ通信を行うために必要な情報の授受を記憶媒体で行なうといった設定としたが、これに限られない。例えば、各ノードに入力装置を備え、ユーザが入力するようにしてもよい。
【０２１６】
さらに、グループからの離脱処理を開始するきっかけとして、空のメモリカードの入力を例にあげ説明したが、これに限られない。例えば、各ノードがリセットボタンを備え、ユーザがそのリセットボタンを介して離脱処理を開始する指示を与えるようにしてもよい。
【０２１７】
また、ＬＥＤを備えることにより、利用者に対しグループ生成、加入処理の終了を通知する事を実現している。通知のための機能も、これに限られない。
【０２１８】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で様々な変形が可能である。
【０２１９】
例えば、上記の実施形態では、宅内のネットワークを例にとり説明したが、本発明はこれに限定されない。本発明は、互いに認証を必要とする様々なネットワークシステムに広く適用できる。
【０２２０】
次に、上述した実施形態に基づきノードの管理者が認識している範囲での利用対象であるノードAからノードFでグループにおいて、利用者対応に利用できるノードを制限するサブグループの実施形態について、図２０から図３１を参照し説明する。
【０２２１】
図２０は、本発明を適用した宅内ネットワーク、SOHOと言ったスモールオフィスネットワーク、オフィスのフロアネットワークを代表とするようなローカルなネットワークの一構成例を示す。本発明では、以下、宅内において本発明を適用した場合を例として説明する。宅内ネットワークは、複数のノード１０５（１０５A、B）、１０６（１０６C〜F）、例えば電子レンジやエアコンなどの家電機器、テレビやビデオなどのAV機器、センサ等、及びPCから構成され、各機器はIPv6によりIPパケットの送受信が可能であるとする。本ネットワークは、ノード１０５、１０６、各々が備えるサービス機能の他ノード１０５、１０６からの操作、あるいは他ノード１０５、１０６へのサービス提供を実現するものである。
【０２２２】
また、これら複数のノード１０５、１０６は、上述の実施形態に基づきグループ共通のグループ鍵６０２を用いたIPsec通信が可能なSA９００が各ノードに設定され、グループ間の通信には、前記グループ鍵６０２を用いたIPsec通信が行える状態となる。以下、本グループをルートグループ１０７と呼ぶ。ルートグループ１０７が構築されると、ルートグループ１０７を構成する全てのノード１０５、１０６において、グループアクセスデータベース３０８上のグループ管理テーブル６００及びSAデータベース３０９上にルートグループ１０７の全ノード１０５、１０６に対する送信用SA９００及び受信用SA９００が設定される。尚、本実施形態では、ルートグループにおけるグループ間通信に利用するIPsec通信では、３DESによる暗号化を適用するとする。
【０２２３】
本実施形態では、ノードが備えるユーザインタフェース機能により、ネットワーク機器を二つに大別する。第一のノード１０５は、PCが備えるインタフェース機能、例えば宅内ネットワークを構成するノードのホスト名一覧が表示できるディスプレイ、文字入力が可能なキーボードを備えるノードである。第二のノード１０６はノードが本来備える機能を操作するための最低限のインタフェースを備えたノードである。第一のノード１０５に相当する機器としては、PC、テレビ、家電制御リモコン等を想定しており、図２０ではノードA１０５AとノードB１０５Bを第一のノード１０５とし、第二のネットワーク機器１０６に相当する機器としては、エアコン、電子レンジと言った白物家電及びセンサ等を想定し、図２０ではノードC１０６CからノードF１０６Fを第二のノードとしている。
図2１に第一のノード１０５のハードウェア構成を示す。
【０２２４】
ノード１０５が備える一つ以上のノード固有機能部２０２、例えばエアコンであれば、例えば冷暖房機能、温度管理機能、タイマ機能等を司る処理部、ネットワークカード２０５、固有機能部及びネットワークカードを制御するプロセッサ２００、プロセッサで実行するプログラム及びユーザアクセス制御を備えたグループ通信を実現するグループアクセスデータベース３０８及びSAデータベース３０９を記憶するメモリ２０１、ユーザインタフェースの為のディスプレイを接続するデータ出力インタフェース部２０８とキーボードを接続するデータ入力インタフェース部２０９、メモリカード２０７等のインタフェースを提供する記憶媒体インタフェース２０６、及びこれらを接続するシステムバス２０３から構成される。前記記憶媒体インタフェース２０６は、挿入する記憶媒体の書き込み中をユーザに通知するLED（発光ダイオード）ライトを具備しており、LEDライトの点燈により、ユーザに対し、書き込み中あるいは処理中を示す。第二のノード１０６のハードウェア構成は、前記第一のノード１０５のハードウェア構成から、ユーザインタフェースの為に利用するデータ出力インタフェース部２０８及びデータ入力インタフェース部２０９がない。
【０２２５】
図２０に第一のノード１０５のソフトウェア構成を示す。
ネットワークを介してグループ構成機器間でサービス提供する一つ以上のアプリケーションプログラム３０１、通信を実現するTCP/UDP送信処理部３０３、IP送信部３０４、ネットワークカードを制御するネットワークインタフェース送信処理部３１７、ネットワークインタフェース受信処理部３１０、IP受信部３１１、TCP/UDP受信処理部３１５、ＩＰsecのセキュリティアソシエーション（以下SA）９００を管理するSAデータベース３０９、グループ通信を実現するために利用するネットワーク機器に対するアクセス制御に関する情報及びグループ情報を管理するアクセスポリシデータベース３０８、グループ管理を行うグループ管理処理部３０２、記憶媒体インタフェースを制御する記憶媒体インタフェース処理部３１８、及びデータ出力インタフェース部とデータ入力インタフェース部を制御するユーザインタフェース処理部１５１とから構成する。IP送信部３０４は、TCP/UDP送信処理部３０３が作成したPseudoへッダからIPヘッダを作成するIPv6送信前処理部３０５、SA９００の有無を調べSA９００がある場合にはIPsec処理を行うIPsec送信処理部３０６、ネットワークインタフェース送信処理部３１７へIPパケットを渡すIPv6送信後処理部３０７から構成され、IP受信部３１４は、ネットワークインタフェース受信処理部３１０から受信したIPパケットヘッダからペイロード長と受信データ長の比較、ヘッダオプションの処理を行うIPv6受信前処理３１１、AHヘッダ、ESPヘッダがある場合にSA９００を検索し、認証あるいは復号処理を行うIPsec受信処理部３１２、AHヘッダ、ESPヘッダが無い場合にIPパケットを受信するかどうかを判断する受信アクセス制御部３１６、IPヘッダをPseudoヘッダに置き換え、TCP/UDP送信処理部３１５へ受信データを渡すIPv6受信後処理部３１３から構成する。
【０２２６】
グループ管理処理部３０２は、上述した実施形態に基づき、ルートグループ生成処理３２００、参加処理３３００、離脱処理３４００、情報更新処理３５００、グループ制御ＩＰパケット受信処理３６００に加えて、ユーザからのアクセス制御設定要求を受け付けるユーザアクセス制御処理２１００、及び他のネットワーク機器からのサブグループ管理に関するコマンド受信に対する処理を行うサブグループ管理処理２２００を行うとする。
【０２２７】
グループアクセスデータベース３０８として、グループ管理テーブル６００、アクセスユーザ管理テーブル２００１、及びアクセスアプリ管理テーブル２００３を配置する。
【０２２８】
SAデータベース３０９として、IPsec通信を実現するための送信方向、受信方向毎に準備する送信元アドレス、受信元アドレス対応のSA９００を配置する。
第二のノード１０６のソフトウェア構成としては、前記第一のノード１０５のソフトウェア構成から、ユーザインタフェースの為に利用するユーザインタフェース制御部１５１とユーザアクセス制御部２１００を取り除いた構成とする。加えて、グループアクセスデータベース１２０上にアクセスユーザ管理テーブル２００１を配置しない。
図２２に本発明を適用するサブグループ１０８構成を示す。図では、２つのサブグループ１０８を示している。サブグループ１０８はユーザ対応に利用できるノードをグループ化したものであり、第一のノード１０５からユーザが他のノード１０５、１０６を利用したサービスを実現する場合、ユーザAはサブグループa１０８Aを構成するノード１０５A、１０５B、１０６Cのみ利用でき、ユーザBがサブグループｂ１０８Bを構成するノード１０５A、１０６D、１０６Eのみ利用できる。ユーザBがノードA１０５AよりノードC１０６Cにアクセスするサービスは利用できない。
【０２２９】
ホームネットワークにおいて、ルートグループ１０７上にサブグループ１０８を設定することにより、例えばお父さんのサブグループをＰＣ、テレビ、エアコン、ビデオから構成すると、ＰＣ、テレビからエアコンの温度設定とビデオの予約設定ができる。これに対し、息子のサブグループとして、テレビとビデオを構成することにより、息子はテレビからビデオ予約設定はできるが、エアコンの温度設定はできないといった制御が可能になる。
【０２３０】
以下、このサブグループ１０８の構築方法、及び動作手順を図２３から図３１を用いて説明する。
図２３は、一つのノード１０５、１０６におけるネットワーク接続時の３フェーズを示すものである。第一フェーズは、ノード１０５、１０６をネットワークに繋いだだけの状態であるグループ無しフェーズ２３０１である。グループ無しフェーズ２３０１おいて、前記実施形態に基づき、ルートグループ１０７生成、ノード１０５，１０６のルートグループ１０７への加入により、第二フェーズであるルートグループフェーズ２３０２となる。この第二フェーズでは、ルートグループ１０７内のノード１０５、１０６間通信において、ルートグループ１０７内で共通のグループ鍵６０２を用いた３DESによる暗号通信を行うとする。ルートグループ１０７において、ユーザのアクセス権、及び利用できるノード選択により第三フェーズであるサブグループフェーズ２３０３となる。第三フェーズでは、サブグループ１０８内のノード１０５、１０６間通信において、サブグループ１０８内で共通のグループ鍵６０２を用いた３DESの暗号通信を行う。
図２４はグループ管理処理部３０２におけるユーザアクセス制御を行うユーザアクセス制御処理２１００の処理手順を示す図である。ユーザからの要求を受け付ける為、ユーザアクセス制御処理２１００を第一のノード１０５において起動する。本処理は、ユーザが起動させても良いし、ルートグループ１０７に参加した時点で本処理を起動しノード１０５の常駐プログラムとして動作させてもよい。ユーザアクセス制御処理２１００は、ルートグループフェーズ２３０２あるいはサブグループフェーズ２３０３時のみ起動できる（ステップ２１０１）。
ディスプレイに「ユーザアクセス権設定」、「ユーザアクセス権開放」、「サービス利用」を表示し（ステップ２１０２）、ユーザに利用するものを選択してもらい、選択により、ユーザアクセス権設定処理（２１１０）、ユーザアクセス権解放処理（２１３０）、サブグループアクセス権確認処理（２１５０）を実行する。
図２５は、ユーザアクセス権設定処理２１１０の処理手順を示す。
第１ステップとして、グループアクセスデータベース３０８にて管理しているルートグループ１０７に対するグループ管理テーブル６００に登録されているホスト名をディスプレイに表示する（ステップ２１１１）。ルートグループ１０７に対するグループ管理テーブルは、種別６０７のエリアにルートが設定されているとする。
第２ステップとして、ユーザが入力したサブグループ１０８として登録したい複数のホスト名を受け付け、グループアクセスデータベース３０８上に新しいグループ管理テーブル６００をアロケートし、種別６０７をサブとし、ホスト名を登録する（ステップ２１１２）。
第３ステップとして、他のグループ管理テーブル６００のグループ識別子６０１と一致しないグループ識別子６０１を選択し、新しいグループ管理テーブル６００にグループ識別子５０１を設定する（ステップ２１１３）。
第4ステップとして、サブグループ１０８で共通の暗号用のグループ鍵６０２を生成し、新しいグループ管理テーブル６００に設定し、鍵有効期間と３DESを暗号アルゴリズムとして設定する（ステップ２１１４）。
第５ステップとして、サブグループ１０８を構成する全てのネットワーク機器１０５B、１０６Cに対して、サブグループ作成要求フレーム２６０１を作成し送信する（ステップ２１１５）。
【０２３１】
送信フレーム構成を図２６に示すように、サブグループ作成要求を示すコマンド識別子、サブグループのグループ識別子６０１、グループを構成する全ノードのホスト名一覧、サブグループのグループ鍵６０２、その有効期限から構成する。本フレーム２６０１は、TCP/UDP送信処理部３０３を介してUDPデータグラムとして送信され、IP送信部３０４においてルートグループ１０７のグループ鍵により暗号化され送信される。各ノードより返送される確認フレーム２６０２により、各ネットワーク機器への送信を確認する。図２６に示すように、確認フレーム２６０２は受信確認を示すコマンド識別子とグループ識別子６０１から構成する。一定時間、確認フレーム２６０２を受信できない場合、サブグループ作成要求フレーム２６０２を再送してもよい。サブグループ作成要求フレーム２６０１を送信する際、ノード１０５、１０６のホスト名からIPアドレスを得るホスト名を含んだリゾルバ要求をIP送信部３１０へ伝える。IP送信部に３１０備えたホスト名、IPアドレス、及びテーブル登録時間を管理するタイマから構成するリゾルバテーブルを検索し、ホスト名と一致するIPアドレスを検索し、要求に対するリターン値とする。テーブル内に該当するホスト名が無い場合、ICMP Echo Rquest/Replyよりホスト名からアドレスの解決を行い、リゾルバテーブルにホスト名とIPアドレスの組を登録すると共に、要求に対するリターン値とする。
【０２３２】
第6のステップとして、サブグループ１０８を構成する全ネットワーク機器に対する送信用のSA９00と受信用SA９００を作成する(ステップ２１１６)。
図２７にSA９００Aの構成を示す。
【０２３３】
送信用SA９００Aとしては、SPIとしてグループ識別子６０１を設定し、送信元IPアドレスとして自ネットワーク機器のアドレスを設定し、送信先IPアドレスとしてサブグループを構成する他ネットワーク機器のIPアドレスを設定する。本実施形態では、プロトコルとしてESPを、モードはトランスポート、暗号アルゴリズムは３DES、暗号鍵としてサブグループのグループ鍵６０１を設定する。受信用SA９００Aとしては、送信元IPアドレスとして他ネットワーク機器のIPアドレスを、送信先IPアドレスとして自ネットワーク機器のアドレスを設定する以外は送信用SA９００と同じ構成である。
【０２３４】
第7のステップとして、ユーザによるアクセスユーザIDとパスワードをデータ入力インタフェース部２０９とデータ出力インタフェース部２０８を介して受け付ける（ステップ２１１７）。
【０２３５】
第8のステップとして認証鍵２００２を生成する（ステップ２１１８）。
【０２３６】
第9のステップとして、ユーザが挿入した空のフォーマット済みのメモリカード２０７上にユーザID、パスワード、認証鍵２００２、自ネットワーク機器のグローバルＩＰアドレス、サブグループのグループ識別子６０１を書き込む（ステップ２１１９）。
【０２３７】
第10のステップとして、グループアクセスデータベース３０８のアクセスユーザ管理テーブル２００１に認証鍵２００２、ユーザID、サブグループのグループ識別子を設定する（ステップ２１２０）。
【０２３８】
ユーザアクセス権設定処理２１１０の最終である第11のステップとして、サブグループ１０８を構成する全てのノードに対して、サブグループアクセス権設定フレーム２６０３を作成し送信する（ステップ２１２１）。
【０２３９】
送信フレーム構成を図２６に示すように、サブグループアクセス権設定を示すコマンド識別子、サブグループのグループ識別子６０１、ユーザID、認証鍵２００２、パスワードから構成し、上述したサブグループ設定要求フレーム７０１と同様の手順で送信及び送信確認を行う。
【０２４０】
次にサブグループ設定要求フレーム２６０１、及びサブグループアクセス権設定フレーム２６０３を受信したサブグループを１０８を構成するノード１０５、１０６におけるグループ管理処理部３０２でのサブグループ管理処理２２００で行われる処理手順を図２８に示す。
【０２４１】
サブグループ設定処理２２００は、ルートグループフェーズ２３０１あるいはサブグループフェーズ２３０３時のみ起動できる（ステップ２２０１）。
サブグループ設定要求フレーム２６０１を受け付けた場合、グループ管理テーブル６００をアロケートし、フレームが持つ情報を設定する。次に送信用SA９００と受信用SA９００をユーザアクセス権設定処理２１１０で示したように作成する（ステップ２２０２）。
【０２４２】
サブグループアクセス権設定フレーム２６０３を受け付けた場合、自ノードが第一のノード１０５である場合は、グループアクセスデータベース３０８のアクセスユーザ管理テーブル２００１をアロケートし、フレームが持つ情報であるグループ識別子、ユーザID、認証鍵、パスワードを設定する（ステップ２２０３）。
サブグループ設定要求フレーム２６０１、サブグループアクセス権設定フレーム２６０３の受信確認として、図２６に示す受信確認フレーム２６０２を返送する（ステップ２２０３）。
【０２４３】
以上によりサブグループの構築が完了する。
【０２４４】
次にサブグループアクセス権開放処理２１５０の手順を示す。
管理者あるいはユーザがサブグループアクセス権開放を選択した場合、図２６に示す、サブグループ解放要求を示すコマンド識別子とサブグループのグループ識別子６０１から構成するサブグループ解放要求フレーム２６０４をサブグループ構成する全てのネットワーク機器に対して送信する。その後、管理者により指定されたサブグループのグループ識別子６０１を持つグループ管理テーブル６００、アクセス及びセキュリティアソシエーションを解放し、対応するアクセスユーザ管理テーブル２００１の対応欄を削除する。
【０２４５】
本フレームを受信したグループ管理処理部３０２でのサブグループ管理処理２２００において、図２８に示すように、受信したフレームにより指示されたサブグループ識別子６０１を持つグループ管理テーブル６００とSA９００を削除し（ステップ２２０５）、自ノードが第一のノード１０５である場合、アクセスユーザ管理テーブルの対応欄を削除する（ステップ２２０６）。
【０２４６】
以上の手順により、作成したサブグループを解放することができる。
以下、サブグループ１０８における通信手順を図２９から図３１を用いて説明する。
【０２４７】
サブグループ１０８をユーザが利用する場合の手順を示す。
ユーザアクセス制御処理２１００より、ディスプレイに表示された「ユーザアクセス権設定」、「ユーザアクセス権開放」、「サービス利用」から、ユーザは、「サービス利用」を選択する(ステップ２１０２)。
【０２４８】
複数のサービスを提供出来る場合、この選択時に一つのサービスを選択させても良い。上記選択により、サブグループアクセス権確認処理２１５０を行う。
図２９において、サブグループアクセス権確認処理２１５０の処理手順を示す。第1のステップとして、ユーザにユーザID、パスワード、認証鍵を記憶したメモリカード２０７の挿入を指示する（ステップ２１５１）。
【０２４９】
ユーザがメモリカード２０７の挿入を受け、第2のステップとして、メモリカード２０７上のユーザIDと対応するグループアクセスデータベース３０８上のアクセスユーザ管理テーブル２００１を検索し、メモリカード上のメモリカードが記憶しているパスワードとアクセスユーザ管理テーブル２００１のパスワードが一致することを確認する（ステップ２１５２）。
【０２５０】
ユーザIDが一致するアクセスユーザ管理テーブル１２１が無い場合、あるいはパスワードが不一致の場合、認証エラーをディスプレイに表示し、処理を終了する（ステップ２１５３）。
【０２５１】
第3のステップとして、ユーザが指定したサービスに対応するアプリケーションを起動し、アプリケーションがデータ送受信に利用するソケットに割り付けた送信ポート番号を入手する（ステップ２１５４）。
メモリカード上のグループ識別子６０１と一致するグループ管理テーブル６００のポート番号エリア６０８にソケットに割付けた送信ポート番号を設定する（ステップ２１５５）。
【０２５２】
第4のステップとして、ノードがユーザアクセス状態プロセス２３００を起動し、サブグループアクセス権確認処理を終了する(ステップ２１５６)。
本実施形態では、アプリケーションプログラム３０１では、初期処理として、データ転送を行うためにソケットをオープンすると同時に送信元ポート番号をソケット処理部から割り付けられる為、サブグループアクセス権確認処理２１５０に通知できるとする。
【０２５３】
図３０にユーザアクセス状態プロセス２３００の処理手順を示す。
ユーザアクセス状態プロセス２３００では、ユーザがメモリカード２０７を外した事を検出し、サブグループ１０８のアクセス権を終了するため、グループアクセス権確認処理２１５０においてグループ管理テーブル６００に設定した送信元ポート番号を削除する（ステップ２３０１）。
【０２５４】
これにより、ユーザによるサブグループ３０１利用を中止する事が可能である。
次に、ユーザが指定したアプリケーションによるサブグループ内のIPパケット送受信手順を示す。
【０２５５】
図３１は、IPsec送信処理部３０６の処理手順を示すものである。
第１のステップとして、送信パケットの送信元IPアドレスと送信先アドレスが一致するSAをSAデータベースより検索する（ステップ４１０１）。
第2のステップとして、ユーザアクセス状態プロセス２３００が起動中でなければ、ＳＡ９００の種別がルートであるものを検索する（ステップ４１０２）。送信元ＩＰアドレス、受信元ＩＰアドレスが一致したＳＡ９００のグループ識別子６０１を持つグループ管理テーブル６００の種別６０７により、ルートグループ１０７であるか否かを判断する。
【０２５６】
そのＳＡ９００が管理しているグループ鍵６０２を用いて、IPパケットの暗号化を行いIPsec送信処理を行う（ステップ４１０３）。
ユーザアクセス状態プロセス１１００が起動中であれば、第3のステップとして、ＳＡ９００の種別がサブであるものを検索し（ステップ４１０４）、検索したSA９００のSPIに対応するグループ管理テーブル１２２のポート番号と送信パケットTCPあるいはUDPヘッダの送信元ポート番号が一致するかどうかを調べ（ステップ４１０５）、一致した場合、そのＳＡ９００を用いてIPsec送信処理４１０３を行う。
【０２５７】
一致するＳＡが無い場合、処理を終了する。この場合、ＩＰsec処理を行わずにIPパケットが送信される為、次に示す手順により受信側のアクセス制御により、ルートグループあるいはサブグループの通信以外として破棄される。
次に、図３１に示す手順で送信したIPパケットを受信した場合のIPsec受信処理手順を示すものである。IP受信部３１４のIPv6受信前処理部３１１において、AHヘッダあるいはESPヘッダが受信パケットにある場合IPｓｅｃ受信処理部３１２は起動される。
【０２５８】
ＩＰsec受信処理部３１２では、AHヘッダあるいはESPヘッダに含まれるSPIと一致するSAをSAデータベースより検索する。検索したSAデータベースに含まれる暗号鍵により復号処理を行う。
【０２５９】
AHヘッダあるいはESPヘッダが無い場合、受信アクセス制御部３１６により、IPsec通信が行われていなくても、アクセス制御対象アプリケーション管理テーブル７００に登録されているポート番号と受信パケットの送信先ポート番号を比較し、一致している場合は、上位処理部にあたるTCP/UDP受信処理部３１５へパケットを引き渡す。それ以外のIPパケットは、ICMPパケット等の制御パケットでなければ、ルートグループあるいはサブグループ対象外のパケットとして、受信IPパケットを破棄する。
【０２６０】
図３１に示すIPsec送信処理では、送信パケットに対応するSA９００検索時に、グループ管理テーブル６００の種別がサブであり、ポート番号が送信パケットの送信元ポート番号が一致することによりSA９００の特定を行っているが、グループアクセスデータベース３０８内にサブグループ識別子を記憶するアクティブエリアを設け、図２９における対応するグループ管理テーブル６００にアプリケーション起動時に得る送信元ポート番号を記憶する（ステップ２１５４、２１５６）代わりに、前記アクティブエリアにメモリカード２０７に記憶されているグループ識別子６０１を設定し、IPsec送信処理１３２では、前記アクティブエリアのグループ識別子６０１とSA９００のSPIが一致することにより、SA９００を特定することも可能である。
【０２６１】
この場合、複数のアプリケーションプログラム３０１を同時動作させている場合でも前記アクティブエリアにおいて、グループ識別子６０１だけを管理すれば良い。
【０２６２】
これに対し、グループ管理テーブル６００でポート番号を管理する場合、アプリケーションプログラム３０１に対応した複数のポート番号が必要である。
【０２６３】
このように、共通鍵を備えた複数のノード１０５、１０６でIPsec通信を行うノードから構成するルートグループ１０７において、ユーザインタフェースを備えた第一のノード１０５から制御する複数のノード１０５、１０６から構成するサブグループ１０８を構成し、そのサブグループ１０８内で共通の第二の暗号鍵によりIPsec通信を実現できるように、第一のノード１０５において、サブグループ設定時にサブグループの共通暗号鍵及び記憶媒体２０７に記憶するユーザアクセス情報を他の第一及び第二のノード１０５、１０６に対し、ルートグループ１０７の暗号通信を用いて転送し、サブグループ１０８を構築する。
【０２６４】
これにより、サブグループ１０７を構成するノード１０５、１０６において、サブグループ１０８のグループ鍵を設定したSA９００を設定し、ユーザが第一のノード１０５より利用する場合、記憶媒体２０７をノード１０５に入れ、ユーザの認証、利用するサブグループ１０８を識別、利用するアプリケーション３０１のポート番号６０８をノード１０５において記憶する手段を備え、ノードから送信する際には、IPsec送信処理において、SA９００検索時に、前記ポート番号と送信パケットのＵＤＰあるいはＴＣＰヘッダを構成する送信元ポート番号が一致している場合、そのＳＡ９００を用いて転送を行うことにより、サブグループ１０８内だけの通信及びグループへのユーザアクセス制御を実現できる。
【０２６５】
次に図３２から図３６を用いて、外部ネットワークからのサブグループへのアクセス権を備えたユーザがサブグループへのアクセスを実現する手順を示す。
図３２は、本実施形態のシステム構成の一例を示す図である。
【０２６６】
宅内ネットワーク及び外部ネットワーク、外部ネットワークに接続しているホスト４２０１、宅内ネットワークを構成するノード１０５A、１０６B、１０６C、１０６Dから構成し、これらのノード１０５、１０６は、ルートグループ１０７を構成している。本構成では、ノードＡ１０５Ａがユーザインタフェースを備えた第一のノードとし、上述した実施形態の手順に従い、ノードＡ１０５Ａ，ノードＢ１０６Ｂ，ノードＣ１０６Ｃから構成するサブグループ１０８を構築しているとする。
【０２６７】
サブグループ１０８へのアクセス権を持ったユーザが、ユーザＩＤ、パスワード、認証鍵等を格納しているメモリカード２０７を持って、ホスト３２０１からサブグループ１０８をアクセスする手順を示す。
【０２６８】
ホスト４２０１上には、サブグループへのアクセス制御を実現するためのサブグループアクセスクライアント処理４３０１を行うソフトウェアを予め実装してあるとし、ユーザにより起動されるとする。
【０２６９】
サブグループクライアント処理４３０１の処理手順を図３３に示す。
第１のステップとして、前記メモリカードの２０７挿入指示、及びユーザＩＤとパスワードの入力をユーザに対してディスプレイ表示により指示する（ステップ４３０２）。
【０２７０】
メモリカード２０７の挿入、及びユーザからのユーザＩＤとパスワードの入力を受けて、第２のステップとして、メモリカード２０７上のユーザＩＤ、パスワードと入力値が一致していることを確認する（ステップ４３０３）。
一致していない場合、ユーザ認証エラーを表示して処理を終了する（ステップ４３０４）。
【０２７１】
一致した場合、第３のステップとして、ユーザＩＤとパスワードを認証鍵２００２で演算を行った認証情報を図３４に示す認証情報フレーム４４０１として、ＵＤＰあるいはＴＣＰパケットとして、メモリカード２０７に記憶しているＩＰアドレスを送信先アドレスとして送信する（ステップ４３０５、ステップ４３０６）。
【０２７２】
前記演算に関しては、共通鍵暗号方式である暗号アルゴリズムの３DESを用いるとする。
【０２７３】
第４のステップとして、認証情報フレーム４４０１に対して、ノードＡ１０５Ａにより返送される図３４に示す認証アクセプトフレーム４４０２の受信を待つ（ステップ４３０７）。
【０２７４】
第５のステップとして、フレームを受信した場合、ステートがOKであれば、フレームが持つ認証グループ鍵情報をメモリカード上の認証鍵１２６で復号化しサブグループのグループ鍵１２４を入手する（ステップ４３０８）。
ステートがNGであれば、ユーザ認証エラーをディスプレイに表示し処理を終了する（ステップ４３０４）。
【０２７５】
第６のステップとして、メモリカード２０７上のIPアドレスを送信元/送信先としたサブグループ３０１のグループ鍵１２４を設定した送信用SA９００と受信用SA９00を作成する（ステップ４３１０）。
【０２７６】
以上により、宅内ネットワークのサブグループ１０８のグループ鍵６０１を外部ネットワークに接続したホスト４２０１と共有できるため、サブグループ１０８を構成するノードA１０５Aとの通信においてサブグループのグループ鍵６０１を用いた暗号通信が可能になる。
【０２７７】
本クライアント処理では、メモリカード２０７が離脱された時点で、サブグループ１０８へのアクセス権が無くなったとして、第７のステップとして、ノードＡ１０５Aに対し図３４に示すアクセス権解放フレーム３４０３をノードA１０５Aに対し送付する（ステップ４３１１）。
【０２７８】
ホスト４２０１から送付するパケットに関しては、図３４に示す受信確認フレーム４４０４を用いて、フレームの送達確認を行ってもよい。
第８のステップとして、第６のステップで作成したSA９００を解放する（ステップ４３１２）。
【０２７９】
外部ネットワークからのアクセスを受け付ける第一のノード１０５Aにおけるグループ管理処理部３０２の処理構成を図３５に示す。
【０２８０】
グループ管理処理部３０２は、サブグループ管理処理２２００、ユーザアクセス制御処理２１００に加え、外部ネットワークからのアクセスを受け付ける為のリモートアクセス制御処理２５００、外部ネットワークからのサブグループを構成するネットワーク機器を利用するためのアプリケーションプログラムを起動する為のアプリケーションプロキシ２４００から構成する。
【０２８１】
図３６にリモートアクセス制御処理２５００における処理手順を示す。
リモートアクセス制御処理２５００は、外部ネットワークのホスト４２０１からのフレームを受信した場合に起動される。
【０２８２】
外部ネットワークのホスト４２０１からのフレームであることは、送信元IPアドレスのサブネットプリフィクスが宅内ネットワークに割り付けられたサブネットプリフィクスと異なることから判断できる。
【０２８３】
グループ通信では、IPsecでの暗号化通信していない場合、グループ外のネットワーク機器からの通信で有るためIPパケットは受信アクセス制御部３１６で破棄される事を避けるため、予めアクセス制御対象アプリケーション管理テーブル７００にリモートアクセス制御処理２３００のポート番号を登録しておく。これは、グループ管理処理部３０２を起動した際の初期化処理で割り付けたポート番号、あるいは固定したポート番号を登録する。
【０２８４】
受信フレームが、図３４に示す認証情報フレーム４４０１の場合、アクセスユーザ管理テーブルより認証情報フレーム４４０１のサブグループのグループ識別子６０１と一致する認証鍵２００２でフレーム４４０１認証情報を復号し、ユーザIDとパスワードを取り出す（ステップ２５０１）。
【０２８５】
このユーザIDとパスワードがサブグループ識別子６０１と一致するアクセスユーザ管理テーブル２００１が持つ値と一致していることを確認する（ステップ２５０２）。
【０２８６】
一致しなければ、パケットを破棄し、ステートをNGとした図３４に示す認証アクセプトフレーム４４０２を返送し、処理を終了する（ステップ２５０３）。
一致している場合対応するサブグループ１０８のグループ管理テーブル６００のグループ鍵６０２を認証鍵２００２で暗号化したグループ鍵情報と、ステートをOKとした図３４に示す認証アクセプトフレーム４４０２として、ホスト４２０１へ返送する（ステップ２５０４）。
【０２８７】
ホスト４２０１のＩＰアドレスを送信元/送信先としたサブグループ１０８のグループ鍵６０２を設定したSA９００を作成する（ステップ２５０５）。
ノードA１０５Aが提供するアプリケーションをホスト４２０１で利用できるようにするため、アプリケーションプロキシ処理２４００を起動する（ステップ２５０６）。
【０２８８】
ホスト４２０１からアクセス権解放コマンド４４０３を受信した場合、図３４に示す確認フレーム４４０４をホスト４２０１へ返送し（ステップ２５０７）、ホスト４２０１とノード１０５Ａ間のSA９００を解放し（ステップ２５０８）、対応するグループ管理テーブル６００のポート番号を削除し（ステップ２５０９）、アプリケーションプロキシ処理２４００を終了する（ステップ２５１０）。
【０２８９】
さらに、ホスト４２０１からアクセスされたサブグループ１０８のグループ鍵６０２を更新する（ステップ２５１１）。
【０２９０】
これにより、サブグループアクセスの鍵情報がホスト４２０１に残っていたとしても、サブグループにアクセスすることは出来ない。
【０２９１】
図３７にアプリケーションプロキシ処理２４００の処理手順を示す。
【０２９２】
アプリケーションプロキシ処理２４００は、例えばWebサーバとして動作しており、外部ネットワークに接続するホスト４３０１とノードA１０５Ａ間はHTTPベースで通信を行うとする。まず、アプリケーションプロキシ処理１１４として、サブグループ３０１を構成する。
【０２９３】
次に、第１のステップとして、ユーザに対し、利用できるサービスアプリケーション情報を通知する（ステップ２４０１）。
【０２９４】
第２のステップとして、ユーザからの利用するサービスアプリケーションの指定を受け、対応するアプリケーションプログラム３０１をノードA１０５Aにおいて起動し、送信元ポート番号を上述した実施形態に即して、入手する（ステップ２４０２）。
【０２９５】
第１のステップ、第２のステップにおけるホスト４３０１とノードA１０５A間はHTTPベースである。
【０２９６】
第３のステップとしての入手した送信元ポート番号を対応するグループ識別子６０１を持つグループ管理テーブル６００に登録する（ステップ２４０３）。
ノードA１０５Aのアプリケーションプログラム３０１は、ホスト４３０１よりアプリケーションプロキシ処理２４００を介して操作する（ステップ２４０４）。具体的には、アプリケーションプロキシでアプリケーションに対する交信をノードに代替して行う。ノードA１０５Aのアプリケーションプログラム３０１からサブグループ１０８を構成する他のノード１０６B、１０６Cへの要求は、上述した実施形態である図３１のIPsec送信処理手順に従い、サブグループ通信のアクセス制御を行う。
【０２９７】
また、図２５のユーザアクセス権確定処理２１１０において、メモリカード２０７の記憶情報として、サブグループ１０８を構成するノード１０５、１０６のアドレスとホスト名をメモリカード２０７に記憶させ、第二のノード１０６において、グループアクセスデータベース３０５にアクセスユーザ管理テーブル２００１をサブグループアクアクセス権確定フレーム２６０３受信時に作成させ、かつ図３５に示すグループ管理処理部３０２において第一のノード１０５と同様に、リモートアクセス制御処理２５００及びアプリケーションプロキシ処理２４００を行うことにより、ホスト４３０１において、メモリカード２０７に記憶されているホスト名をユーザが選択する事によりサブグループ１０８を構成する全てのノード１０５A、１０６B、１０６Cに直接アクセスすることが可能になる。
【０２９８】
このような処理手順により、外部ネットワークに位置するホストとサブグループを構築したノード間でユーザアクセス認証を実現すると共に、サブグループの共通鍵をホストに配布することにより、特別な認証サーバを配置することなく、宅内ネットワークのグループ通信に参加することができる。
【０２９９】
本実施形態によれば、前記グループ通信を行うネットワーク機器から、ユーザが利用できるネットワーク機器を選択し、その選択したネットワーク機器で利用する共通の第二の暗号鍵を前記の暗号鍵(第一の暗号鍵)で暗号化して配布することにより、ユーザ独自の第二のグループ通信を実現することができる。
また、第二の暗号鍵と対応したユーザの識別子とパスワードの情報をネットワーク機器と記憶媒体で管理すると共に、第二の暗号鍵の識別子を記憶媒体で管理し、ネットワーク機器では第二の暗号鍵と対で前記識別子を管理し、第一の暗号鍵で前記情報を暗号化して他の第二のグループ通信を行うネットワーク機器へ配布することにより、ユーザがネットワーク機器を利用する際、どのネットワーク機器においても、記憶媒体の情報とネットワーク機器の情報が一致することを確認し、ユーザが通信する際、記憶媒体の識別子と対になる第二の共通の暗号鍵で暗号通信によるグループ通信をすることにより、グループ通信へのユーザの利用可否を制御できる。
【０３００】
また、ユーザが利用するアプリケーションの送信元ポート番号を記憶し、パケット送信時にパケットの送信元ポート番号と記憶した送信元ポート番号を比較し、一致した場合のみ第二の共通の暗号鍵で暗号通信を行うことにより、受信側では暗号化されたパケットでなければ破棄することによる、グループ通信への利用可否を制御できる。
【０３０１】
さらに、本実施形態では、記憶媒体でネットワーク機器のアドレスと認証鍵を管理し、ネットワーク機器において認証鍵を管理し、第一の暗号鍵で暗号化して他の第二のグループ通信を行うネットワーク機器へ管理を依頼することにより、グループ通信対象でないネットワーク機器からユーザが第二のグループ通信対象のネットワーク機器と通信を開始する際、記憶媒体の認証鍵で、記憶媒体のパスワードとユーザIDを暗号化し、その暗号化情報を記憶媒体のアドレス宛てに送信し、第二のグループ通信対象のネットワーク機器では認証鍵でユーザIDとパスワードを復号化し、ユーザIDとパスワードを確認した上で、第二の共通の暗号鍵を認証鍵で暗号化して、返送することにより、グループ通信対象でないネットワーク機器との間で第二の暗号鍵での暗号通信を実現できる。
【０３０２】
【発明の効果】
本実施形態においては、特別に認証サーバまたは鍵管理手段を備えた装置を保有しなくても、グループを構成する機器間で、互いにグループ構成機器であることを認証し、安全な通信を実現するグループを容易に生成し、管理することができる。
【０３０３】
また、機器がグループ内の機器にのみ提供するアプリケーションとグループ外の機器に提供するアプリケーションとを有する場合、そのアクセス制御を簡単な構成にて行なうことができる。
【図面の簡単な説明】
【図１】本発明を適用した実施形態のシステム構成を示す図である
【図２】本実施形態におけるノードのハードウェア構成を示す図である。
【図３】本実施形態におけるノードにおけるソフトウェア構成を示す図である。
【図４】グループ通信に用いるＡＨヘッダ付きのＩＰパケットの構成を示す図である。
【図５】グループ通信に用いるＥＳＰヘッダ付きのＩＰパケットの構成を示す図である。
【図６】本実施形態のおけるグループ管理処理部の機能構成を示す図である。
【図７】本実施形態におけるグループ制御ＩＰパケットのデータ部の構成の一例を示す図である。
【図８】グループ管理テーブルの構成の一例を示す図である。
【図９】アクセス制御対象アプリケーション管理テーブルの構成の一例を示す図である。
【図１０】グループメンバ管理テーブルの構成の一例を示す図である。
【図１１】セキュリティアソシエーションとして設定する情報構成の一例を示す図である。
【図１２】グループ管理処理の処理手順を示す図である。
【図１３】グループ生成処理の処理手順を示す図である。
【図１４】グループ参加処理の処理手順を示す図である。
【図１５】グループ内への新メンバ通知処理の処理手順を示す図である。
【図１６】グループ離脱処理の処理手順を示す図である。
【図１７】グループ制御ＩＰパケット受信処理の処理手順を示す図である。
【図１８】ＩＰパケット受信時のＩＰ受信部の処理手順を示す図である。
【図１９】ＩＰパケット受信時の受信アクセス制御部の処理手順を示す図である。
【図２０】ネットワーク機器のソフトウェア構成とネットワーク機器から構成するネットワークシステムを示す図である。
【図２１】ハードウェア構成及び記憶媒体の記憶情報を示す図である。
【図２２】第一のグループ通信と第二のグループ通信の範囲を示す図である。
【図２３】グループ通信を行うネットワーク機器の接続フェーズを示す図である。
【図２４】グループ管理処理部におけるユーザアクセス制御を行う処理手順を示す図である。
【図２５】ユーザアクセス権設定処理の処理手順を示すを示す図である。
【図２６】ユーザアクセス権設定処理の処理にて他のグループ通信を行うネットワーク機器間でやり取りされるフレーム構成を示す図である。
【図２７】 SAの一構成例を示す図である。
【図２８】グループ管理処理部でのサブグループ管理処理手順を示す図である。
【図２９】サブグループアクセス権確認処理の処理手順を示す図である。
【図３０】ユーザアクセス状態プロセスの処理手順を示す図である。
【図３１】 IPsec送信処理部の処理手順を示す図である。
【図３２】本発明を適用するシステム構成の一例を示す図である。
【図３３】サブグループアクセスクライアント処理の処理手順を示す図である。
【図３４】ホストとノード間でやり取りされるフレーム構成を示す図である。
【図３５】第一のノードにおけるグループ管理処理部の処理構成を示す図である。
【図３６】リモートアクセス制御処理における処理手順を示す図である。
【図３７】アプリケーションプロキシ処理における処理手順を示す図である。
【符号の説明】
１００、１０５、１０６…ノード、１０７…ルートグループ、１０８…サブグループ、２０７…メモリカード、３０１…アプリケーション、３０２…グループ管理処理部、３０８…アクセスポリシデータベース、３０９…ＳＡデータベース、３１４…ＩＰ受信部、３０４…ＩＰ送信部、３１２…ＩＰｓｅｃ受信処理部、３１６…受信アクセス制御部、６００…グループ管理テーブル、７００…アクセス制御対象アプリケーション管理テーブル、８００…グループメンバ管理テーブル、９００…セキュリティアソシエーション、２００１…アクセスユーザ管理テーブル、２００２…認証鍵、２１００…ユーザアクセス制御処理、２１５０…サブグループアクセス権確認処理、２２００…サブグループ管理処理、２４００…アプリケーションプロキシ処理、２５００…リモートアクセス制御処理、３１００…制御部、３２００… グループ生成処理部、３３００…グループ参加処理部、３４００…グループ離脱処理部、３５００…グループ情報更新処理部、３６００…グループ制御ＩＰパケット受信処理部、４２０１…ホスト、４３０１…サブグループアクセスクライアント処理。
Claims (17)
- ネットワークを介して接続された他のネットワーク機器と通信を行なうネットワーク機器であって、
互いに認証可能な前記ネットワーク機器をグループとして管理するグループ管理手段と、
前記グループに所属するネットワーク機器間で共通の暗号化鍵による暗号通信を行う暗号通信手段と、
前記暗号化鍵の情報と前記グループに所属するネットワーク機器のホスト名およびアドレスを含む識別情報とを含む、前記グループに所属するネットワーク機器と暗号通信を行うために必要な暗号通信情報を格納する記憶手段と、
前記グループ毎に一つ割り当てられる第一の外部記憶媒体から前記暗号通信情報を取得する取得手段と、を備え、
前記グループ管理手段は、
ネットワーク機器に前記暗号通信情報を格納した前記第一の外部記憶媒体が装着された場合には、前記記憶手段に前記暗号通信情報が格納されていなければ前記第一の外部記憶媒体から前記暗号通信情報を取得して前記記憶手段に格納し、前記記憶手段に格納された暗号通信情報に当該ネットワーク機器の識別情報を追加し、当該ネットワーク機器の識別情報を前記暗号通信手段を介して前記暗号通信情報に含まれる前記グループに所属する他のネットワーク機器に送信し、
前記ネットワーク機器が前記暗号通信手段を介して前記グループに所属する他のネットワーク機器から当該他のネットワーク機器の識別情報を受信した場合には、前記記憶手段に当該他のネットワーク機器の識別情報が格納されていなければ前記記憶手段に格納された前記暗号通信情報に当該他のネットワーク機器の識別情報を追加し、
前記ネットワーク機器は、前記暗号通信情報に含まれる共通の暗号化鍵を用いて前記暗号通信情報に含まれる前記グループに所属する他のネットワーク機器と暗号通信を行うことを特徴とするネットワーク機器。 - 請求項１記載のネットワーク機器であって、
前記グループ管理手段は、さらに、
前記ネットワーク機器に前記暗号通信情報が格納されていない第二の外部記憶媒体が装着された場合には、前記記憶手段に格納された前記暗号通信情報に含まれる前記グループに所属する他のネットワーク機器に前記暗号通信手段を介して当該ネットワーク機器のグループ離脱通知を送信し、前記記憶手段から前記暗号通信情報を削除し、
前記ネットワーク機器が前記グループに所属する他のネットワーク機器からグループ離脱通知を受信した場合には、前記記憶手段に記憶している前記暗号通信情報から前記他のネットワーク機器の識別情報を削除することを特徴とするネットワーク機器。 - 請求項１または２のいずれかに記載のネットワーク機器であって、
前記取得手段は、外部記憶媒体のインタフェースであり、
前記グループ管理手段は、さらに、
前記記憶手段に前記暗号通信情報が格納されている状態で、前記暗号通信情報が格納された前記第一の外部記憶媒体が前記取得手段に装着された場合、前記記憶手段に格納されている暗号通信情報を前記第一の外部記憶媒体にコピーすることを特徴とするネットワーク機器。 - 請求項１、２、または、３のいずれかに記載のネットワーク機器であって、
非暗号通信を行なう非暗号通信手段と、
前記ネットワーク機器が提供するサービスに対するアクセスを制御するアクセス制御手段とをさらに備え、
前記アクセス制御手段は、前記非暗号通信手段を介して他のネットワーク機器からアクセスがあった場合、前記アクセスが予め定められたポートに対するものである場合、前記アクセスを許可することを特徴とするネットワーク機器。 - 複数のネットワーク機器と、前記複数のネットワーク機器を接続するネットワークとを備えたネットワークシステムにおいて、
前記複数のネットワーク機器は、請求項１乃至４のいずれかに記載のネットワーク機器であることを特徴とするネットワークシステム。 - ネットワークを介して接続された他の機器と、互いに認証可能な暗号通信を行うグループを管理するグループ管理方法であって、
前記ネットワークに接続された一つのネットワーク機器において、前記暗号通信に用いる暗号化鍵を生成し、当該暗号化鍵と前記ネットワーク機器のホスト名とアドレスとを含む識別情報とを暗号通信情報として保有するグループ生成ステップと、
前記ネットワーク機器に前記暗号通信情報を格納する、前記グループに一つ割り当てられた第一の外部記憶媒体が装着された場合には、当該ネットワーク機器が前記暗号通信情報を保持していなければ前記第一の外部記憶媒体から前記暗号通信情報を取得し、前記取得した暗号通信情報と前記第一の外部記憶媒体の暗号通信情報に当該ネットワーク機器の識別情報を追加し、当該ネットワーク機器の識別情報を前記暗号通信情報に含まれる前記グループに所属する他のネットワーク機器に送信する第１のグループ参加ステップと、
前記他のネットワーク機器から送信された前記識別情報を受信した場合には、当該他のネットワーク機器の識別情報を前記ネットワーク機器が保持していなければ当該他のネットワーク機器の識別情報を前記暗号通信情報に追加する第２のグループ参加ステップと、
前記ネットワーク機器に前記暗号通信情報を格納されていない第二の外部記憶媒体が装着された場合には、当該ネットワーク機器が保持する暗号通信情報に含まれる識別情報に示される前記グループに所属する他のネットワーク機器へ、当該ネットワーク機器の識別情報とグループ離脱通知とを送信し、当該ネットワーク機器が保持する暗号通信情報を削除する第１のグループ離脱ステップと、
前記グループに所属する他のネットワーク機器から送信されたグループ離脱通知を受信した場合には、前記ネットワーク機器が保持する暗号化通信情報から当該他のネットワーク機器の識別情報を削除する第２のグループ離脱ステップとを備えることを特徴とするグループ管理方法。 - コンピュータを、
暗号通信に用いる暗号化鍵を生成し、当該暗号化鍵と自身のホスト名およびアドレスを含む識別情報とを暗号通信情報として保有するグループ生成手段と、
前記暗号通信情報を格納する、前記グループに一つ割り当てられた第一の外部記憶媒体が自身に装着された場合には、自身が前記暗号通信情報を保有していなければ前記第一の外部記憶媒体から前記暗号通信情報を取得し、前記暗号通信情報に前記識別情報が格納されている前記グループに所属する全機器に自身の識別情報と前記グループへの参加を示す情報とを前記暗号通信により通知し、前記暗号通信情報に前記自身の識別情報を追加して保有する第１のグループ参加手段と、
前記グループに所属する他の機器から当該他の機器の識別情報と前記グループへの参加を示す情報とを受信すると、自身が保有する前記暗号通信情報に当該他の機器の識別情報を追加する第２のグループ参加手段と、
前記暗号通信情報を格納されていない第二の外部記憶媒体が装着された場合には、自身を除く前記暗号通信情報に前記識別情報が格納されている前記グループに所属する全機器に自身のグループからの離脱を示す情報と前記自身の識別情報とを前記暗号通信により通知し、自身の保有する前記暗号通信情報を削除する第１のグループ離脱手段と、
前記グループに所属する他の機器から当該他の機器の識別情報と前記離脱を示す情報とを受信した場合には、自身が保有する前記暗号通信情報から受信した当該他の機器の識別情報を削除する第２のグループ離脱手段、として機能させるためのプログラム。 - 請求項１または２記載のネットワーク機器であって、
前記ネットワークに接続された第１のグループに含まれるネットワーク機器を表示し、選択可能なインタフェース手段を有し、
前記グループ管理手段は、前記選択されたネットワーク機器を第２のグループとして管理し、
前記記憶手段は、前記第２の暗号化鍵と前記第２のグループに所属するネットワーク機器のホスト名とアドレスを含む識別情報を含む暗号通信情報を格納し、
前記暗号通信手段は、前記第２のグループで共通の第２の暗号化鍵による暗号通信を行うことを特徴とするネットワーク機器。 - 請求項８記載のネットワーク機器であって、
前記第１のグループの暗号化鍵を用いて暗号化された前記暗号通信情報を前記第２のグループに所属するネットワーク機器に対して送信する手段を有することを特徴とするネットワーク機器。 - 請求項８記載のネットワーク機器であって、
前記記憶手段は、前記第１のグループの暗号化鍵で暗号化された前記暗号通信情報を他のネットワーク機器から取得した場合、前記第２のグループの暗号通信情報として格納し、
前記第２の暗号鍵を用いた暗号通信による第２のグループ通信を行うことを特徴とするネットワーク機器。 - 請求項８記載のネットワーク機器であって、
ユーザが第２のグループに対応するユーザ識別情報と秘密情報を設定できる前記インタフェース手段と、
前記ユーザ識別情報、秘密情報、前記第２のグループの暗号通信情報と対応した第２のグループ識別子、自ネットワーク機器において生成した認証鍵とからなるグループ情報を格納する前記記憶手段と、
前記第２のグループ情報を前記第一の外部記憶媒体に格納する手段と、
前記第２のグループ情報を前記第１のグループの暗号化鍵で暗号化し、第２のグループに属する全てのネットワーク機器に対して送信する手段とを有し
前記記憶手段は、暗号化された前記第２のグループ情報を受信すると、前記第１の暗号化鍵を用いて復号化された前記グループ情報を格納することを特徴とするネットワーク機器。 - 請求項１１記載のネットワーク機器であって、
自機器が管理しているユーザ識別情報と秘密情報を前記第一の外部記憶媒体に記憶された値と同一であることを確認する手段と、
前記前記第一の外部記憶媒体に記憶されているグループ識別情報に対応する機器が管理する第２の暗号鍵を検索する手段を備え、
前記第２の暗号鍵を用いて前記第２のグループ間で暗号通信を行うことを特徴とするネットワーク機器。 - 請求項８または１１のいずれか記載のネットワーク機器であって、
前記インタフェース手段を有しているネットワーク機器は、暗号化された前記第２のグループ情報を受信した場合、前記第１の暗号化鍵を用いて復号化し、前記グループ情報を前記記憶手段に格納することを特徴とするネットワーク機器。 - 請求項８または１１のいずれか記載のネットワーク機器であって、
前記第２のグループに属する他のネットワーク機器との通信を必要とするアプリケーションを起動する場合、前記アプリケーションの送信元ポート番号を格納する記憶手段と、
前記アプリケーションからパケットが送信される場合、前記パケットの送信元ポート番号と記憶している前記管理ポート番号が一致を確認する手段と、を備え、
一致している場合のみの前記第２の暗号鍵を用いた暗号通信による第２のグループ通信により前記パケットの送信すること特徴とするネットワーク機器。 - 請求項６記載のグループ管理方法であって、
グループに属するネットワーク機器が選択される選択ステップと、
前記選択されたネットワーク機器間で、互いに認証可能な暗号通信に用いる他の暗号化鍵を生成し、当該他の暗号化鍵と前記第２のグループに属するネットワーク機器のホスト名とアドレスを含む識別情報を含む暗号通信情報を保有する第２のグループ暗号情報生成ステップと、
前記暗号通信情報を、前記暗号化鍵を用いて暗号化して前記第２のグループに属するネットワーク機器に対して通知する第２のグループ暗号情報配布ステップと、
前記第２の暗号通信情報を受けた機器が当該第２の暗号通信情報を保有するグループ参加ステップと、
ユーザ識別情報、ユーザが作成した秘密情報、前記第２のグループの暗号通信情報と対応した第２のグループ識別子、及び生成した認証鍵とからなるグループ情報を保有し、前記第一の外部記憶媒体に前記情報を格納する第２のグループ情報生成ステップと、
前記暗号化鍵を用いて、第２のグループのグループ情報を暗号化し、前記第２のグループに属するネットワーク機器に対して通知する第２のグループ情報配布ステップと、
前記第２のグループ情報を受けた機器が前記グループ情報を保有するグループアクセス権設定ステップとを有することを特徴とするグループ管理方法。 - 請求項１５記載のグループ管理方法であって、
機器が管理しているユーザ識別情報と秘密情報が、前記第一の外部記憶媒体上の値と同一であることを確認するユーザ認証ステップと、
アプリケーションのポート番号を保有する暗号通信準備ステップとを備えることを特徴とするグループ管理方法。 - 請求項７記載のプログラムにおいて、
グループに属するネットワーク機器が選択される選択手段と、
前記選択したネットワーク機器間で、互いに認証可能な暗号通信に用いる暗号化鍵を生成し、当該暗号化鍵と前記第２のグループに所属するネットワーク機器のホスト名とアドレスを含む識別情報を含む暗号通信情報を記憶する第２のグループ暗号情報生成手段と、
前記暗号化鍵を用いて、第２のグループの暗号通信情報を暗号化し、前記第２のグループに所属するネットワーク機器に対して通知する、第２のグループ暗号情報配布手段と、
前記第２の暗号通信情報を受けた機器において、暗号通信情報を保有するグループ参加手段と、
ユーザ識別情報、ユーザが作成した秘密情報、前記第２のグループの暗号通信情報と対応した第２のグループ識別子、及び生成した認証鍵とからなるグループ情報を記憶し、前記第一の外部記憶媒体に前記情報を格納する第２のグループ情報生成手段と、
前記暗号化鍵を用いて、第２のグループのグループ情報を暗号化し、前記第２のグループに所属するネットワーク機器に対して通知する、第２のグループ情報配布手段と、
前記第２のグループ情報を受けた機器において、グループ情報を記憶するグループアクセス権設定手段と、
ユーザがネットワーク機器を利用する場合、前記第一の外部記憶媒体を介して、機器が管理しているユーザ識別情報と秘密情報を前記第一の外部記憶媒体上の値と同一であることを確認するユーザ認証手段と、
ユーザが利用するアプリケーションのポート番号を保有する暗号通信準備手段と、
第２のグループに属する機器へパケット送信する場合、送信パケットのポート番号が保有していると一致する場合、第２のグループの暗号化鍵による暗号通信を行う手段、として機能させるためのプログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003141286A JP4367002B2 (ja) | 2002-12-25 | 2003-05-20 | ネットワーク機器、ネットワークシステム、および、グループ管理方法 |
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002375123 | 2002-12-25 | ||
| JP2003141286A JP4367002B2 (ja) | 2002-12-25 | 2003-05-20 | ネットワーク機器、ネットワークシステム、および、グループ管理方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004254271A JP2004254271A (ja) | 2004-09-09 |
| JP4367002B2 true JP4367002B2 (ja) | 2009-11-18 |
Family
ID=33031783
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003141286A Expired - Lifetime JP4367002B2 (ja) | 2002-12-25 | 2003-05-20 | ネットワーク機器、ネットワークシステム、および、グループ管理方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4367002B2 (ja) |
Families Citing this family (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4103611B2 (ja) | 2003-02-03 | 2008-06-18 | ソニー株式会社 | 無線アドホック通信システム、端末、その端末における認証方法、暗号化方法及び端末管理方法並びにそれらの方法を端末に実行させるためのプログラム |
| US7574604B2 (en) * | 2003-03-04 | 2009-08-11 | Sony Corporation | Network device registration |
| JP2007129320A (ja) * | 2005-11-01 | 2007-05-24 | Sony Corp | 通信システム、通信装置及び通信方法、並びにコンピュータ・プログラム |
| MX2008013880A (es) * | 2006-05-02 | 2009-04-02 | Koninkl Philips Electronics Nv | Acceso mejorado a dominios autorizados. |
| JP4762046B2 (ja) * | 2006-05-16 | 2011-08-31 | 株式会社東芝 | 無線通信装置、無線通信方法、および無線通信プログラム |
| JP4921899B2 (ja) * | 2006-09-07 | 2012-04-25 | 日本放送協会 | 暗号化装置、復号化装置及び暗号鍵更新方法 |
| JP5080837B2 (ja) * | 2007-03-27 | 2012-11-21 | パナソニック株式会社 | ネットワークシステム |
| US9825759B2 (en) | 2013-07-08 | 2017-11-21 | Alcatel Lucent | Secure service management in a communication network |
| JP2017034555A (ja) * | 2015-08-04 | 2017-02-09 | 株式会社ジェイテクト | データ通信システム、データ通信機器及びデータ通信方法 |
| JP2017130705A (ja) * | 2016-01-18 | 2017-07-27 | 日本電気株式会社 | データ管理システム、データ管理方法、及び、データ管理プログラム |
| JP6601544B2 (ja) * | 2018-09-06 | 2019-11-06 | 株式会社Ｊｖｃケンウッド | 管理装置、プログラム |
| JP7163835B2 (ja) * | 2019-03-19 | 2022-11-01 | 株式会社Ｊｖｃケンウッド | 無線機、無線機の制御方法、及び、無線機の制御プログラム |
-
2003
- 2003-05-20 JP JP2003141286A patent/JP4367002B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004254271A (ja) | 2004-09-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JPWO2004059903A1 (ja) | ネットワーク機器、ネットワークシステム、および、グループ管理方法 | |
| JP3769580B2 (ja) | 情報処理装置、情報処理方法および情報処理プログラム | |
| US7451312B2 (en) | Authenticated dynamic address assignment | |
| US7489783B2 (en) | Digital certificate management system, digital certificate management apparatus, digital certificate management method, update procedure determination method and program | |
| JP4487490B2 (ja) | 情報処理装置、およびアクセス制御処理方法、情報処理方法、並びにコンピュータ・プログラム | |
| US7680878B2 (en) | Apparatus, method and computer software products for controlling a home terminal | |
| US8205074B2 (en) | Data communication method and data communication system | |
| US7234063B1 (en) | Method and apparatus for generating pairwise cryptographic transforms based on group keys | |
| US9032215B2 (en) | Management of access control in wireless networks | |
| US20090094692A1 (en) | Session control server, communication device, communication system and communication method, and program and recording medium for the same | |
| JP4367002B2 (ja) | ネットワーク機器、ネットワークシステム、および、グループ管理方法 | |
| EP2635993A1 (en) | Registration server, gateway apparatus and method for providing a secret value to devices | |
| CN109005179A (zh) | 基于端口控制的网络安全隧道建立方法 | |
| US20060005010A1 (en) | Identification and authentication system and method for a secure data exchange | |
| JP2005236728A (ja) | サーバ装置、要求発行機器、要求受諾機器、通信システム及び通信方法 | |
| JP4886712B2 (ja) | アクセス制御システム、アクセス制御方法、アクセス制御装置およびアクセス制御プログラム | |
| JP6056970B2 (ja) | 情報処理装置、端末機、情報処理システム及び情報処理方法 | |
| JP2006109152A (ja) | ネットワーク上で通信を行う接続要求機器、応答機器、接続管理装置、及び通信システム | |
| JP2006019824A (ja) | セキュア通信システム、管理装置および通信端末 | |
| JP4837470B2 (ja) | Ｖｐｎサーバホスティングシステム、ｖｐｎ構築方法、およびコンピュータプログラム | |
| JP4694240B2 (ja) | 暗号キー配信装置及びそのプログラム | |
| EP1615402B1 (en) | Identification and authentication system and method for a secure data exchange | |
| US20240163664A1 (en) | Secure key management device, authentication system, wide area network and method for generating session keys | |
| JP2005260448A (ja) | １対多セキュア通信システムおよび通信管理装置ならびに方法 | |
| JP2005303784A (ja) | サーバ装置、要求発行機器、要求受諾機器、通信システム、通信方法及びプログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050926 |
|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20060420 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090210 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090410 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090804 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090817 |
|
| R151 | Written notification of patent or utility model registration |
Ref document number: 4367002 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R151 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120904 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130904 Year of fee payment: 4 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313113 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |