JP4396520B2 - 通信装置 - Google Patents

Description

本発明は、暗号化や認証等のセキュリティ処理を行うことによってセキュア通信を行う通信装置に関する。

近年、ネットワークを介した様々な通信は、ＩＰ（Internet Protocol）を基盤としたものへと移行しつつあり、これにともない、通信の秘匿性についても関心が高まりつつある。特に近年では、主に個人情報保護の観点から、暗号化通信によるセキュリティ対策の必要性が増している。このような暗号化通信としては、例えばＳＳＬ（Secure Socket Layer）等が存在するが、これらは、ウェブブラウザ等の特定のアプリケーションでのみ暗号化を行うものであり、汎用性があるものとはいえなかった。

そこで、近年では、アプリケーションに関係なく全ての通信を自動的に暗号化することを目的としたＩＰｓｅｃ（IP Security）が提案されている。ＩＰｓｅｃは、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）環境で汎用的に用いることができるセキュリティ技術であり、ＩＰパケットの暗号化及び認証をＩＰプロトコルのレベルで行い、ホスト毎にセキュリティを確保することを目的としたものである。ＩＰｓｅｃは、ネットワーク層レベルで自動的に暗号化された通信を行うことから、上位のアプリケーションにて暗号化のことを特別に意識する必要がなく、主に拠点間での暗号化通信に多用されつつある。

このような各種のセキュリティ通信を行う技術において、下記の特許文献１に記載されているように、ユーザの手を煩わすことなく、セキュリティ機能を適切な場合にのみ使用し、不必要なセキュリティ機能の使用による伝送性能の劣化を防止することが提案されている。
特開２００４−２０１０３９号公報

しかしながら、データの暗号化処理及び復号化処理などを行うセキュア通信装置においては、当該暗号化及び復号化を実現する前提として、セキュア通信を行う通信相手によって暗号化処理を行うか否かの判断を行い、且つ、暗号化を行うと判断した通信相手の端末との間でセキュリティアソシエーションのネゴシエーションを事前又は暗号化通信中に行う必要がある。また、一度設定された暗号化を行う対象となる相手先端末に対して、暗号化を行わない設定に変える場合には、高度な専門知識と複雑な設定変更が必要になっている。

更に、セキュリティアソシエーション（以下ＳＡ）に含まれるセキュア通信を行うための暗号キーや暗号化方式などの設定変更についても、ＩＫＥなどのプロトコルを利用して通信装置間で事前にネゴシエーションを行う必要があり、この設定についても同様に高度な専門知識と複雑な設定が必要であった。

そして、従来では、ＳＡ情報のネゴシエーションを行うのみならず、特許文献１に記載されているように、通信相手によってセキュア通信を行うか否かを切り換える場合には、通信相手の送信元・送信先アドレスを指定するなどの設定を行う必要があり、更には、通信相手によってＳＡ情報やセキュリティポリシーデータベース（ＳＰＤ）情報の設定を変更して、暗号キーや暗号化方式などの設定変更を行うためには、同様に、高い専門的知識が必要であった。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、複雑な設定を行うことなくセキュア通信を行わせることができる通信装置を提供することを目的とする。

本発明に係る通信装置は、通信機器が接続される複数の通信インターフェース部と、複数の通信インターフェース部のうち、通信データを入力した通信インターフェース部である入力インターフェース部に対して出力インターフェース部となる通信インターフェース部を決定する制御手段と、通信データにセキュリティ処理を施すセキュリティ情報と、セキュリティ処理を施す必要がある通信データを入出力する入力インターフェース部と出力インターフェース部との組を示す情報とが記憶されている設定記憶手段と、所定の入力インターフェース部と出力インターフェース部との組み合わせで入出力される通信データに対して、設定記憶手段に記憶されたセキュリティ情報を用いてセキュリティ処理を施すセキュリティ処理手段とを備え、何れかの通信インターフェース部から通信データを入力した場合に、制御手段によって当該入力インターフェース部に対する出力インターフェース部を決定し、決定した入力インターフェース部と出力インターフェース部との組が、設定記憶手段に記憶された入力インターフェース部と出力インターフェース部との組である場合には、セキュリティ処理手段によってセキュリティ処理を施した後に、当該出力インターフェース部から通信データを出力させることによって上述の課題を解決する。

本発明に係る通信装置によれば、複数の通信インターフェース部のうち、通信データを入力した通信インターフェース部に対して出力インターフェース部となる通信インターフェース部を決定し、通信データを入出力する通信インターフェース部の組み合わせからセキュリティ処理を行うか否かを設定によって区別することができるので、通信機器を特定の通信インターフェース部に接続させるのみで簡単にセキュリティ処理を行わせた通信を実現することができる。したがって、通信装置によれば、通信機器に対して複雑で一般ユーザにとっては分かりづらいな設定作業を行わせることなく、容易にセキュア通信を行わせることができる。

以下、本発明の実施の形態について図面を参照して説明する。

本発明を適用したセキュア通信装置１Ａ，１Ｂ（以下、総称する場合には、単に「セキュア通信装置１」と呼ぶ。）は、例えば図１に示すように、一又は複数のハブ２Ａ，２Ｂ，２Ｃ（以下、総称する場合には、単に「ハブ２」と呼ぶ。）を介して、複数の端末３Ａ〜３Ｈ（以下、総称する場合には、単に「端末３」と呼ぶ。）と接続され、当該端末３と外部ネットワークＮＴとの通信を制御するネットワークシステムを構成するものである。このセキュア通信装置１は、複数の物理的な通信インターフェースを有し、ハブ２又は端末３等のＬＡＮネットワーク、外部ネットワークＮＴと接続され、所定の通信インターフェースを使用して伝送される通信データについてはセキュア通信を行い、それ以外の通信インターフェースを使用して伝送される通信データについてはセキュア通信を行わないような通信制御を行うことを特徴とするものである。このようなセキュア通信装置１は、セキュア通信を可能又は不能とする通信インターフェースの指定を、予め静的に固定又は物理的な部品や機構を取り付ける作業によって端末３のユーザ等に選択させることにより、簡単な作業のみで任意の通信相手とのセキュア通信を可能とする技術を提供するものである。

［第１実施形態］
この本発明を適用したセキュア通信装置１は、図２にその機能的なブロック図を示すように、ＬＡＮネットワークを含む外部ネットワークＮＴを仮想的に分割し、各外部ネットワークＮＴ−１，ＮＴ−２，・・・，ＮＴ−ｎに接続された複数の通信インターフェース（ＩＦ）部１１−１〜１１−ｎ（以下、総称する場合には、単に「通信インターフェース部１１」と呼ぶ。）と、当該通信インターフェース部１１と内部バス１ａを介して接続された制御部１２と、セキュリティ処理部１３と、情報記憶部１４とを備える。

通信インターフェース部１１は、物理的に区別されて構成され、それぞれ、外部ネットワークＮＴ又はハブ２や端末３等の通信機器と接続する通信線が挿入されるスロットを有する。この通信インターフェース部１１は、各外部ネットワークＮＴ−１〜ＮＴ−ｎ、或いは、単独のハブ２や端末３等の通信機器に接続されている。この通信インターフェース部１１は、外部ネットワークＮＴからＩＰパケット（通信データ）を入力したことや、ＬＡＮネットワークからパケット（通信データ）を受信したことが制御部１２によって検知される。

ここで、通信インターフェース部１１のそれぞれは、制御部１２によって識別される通信インターフェース番号が付与されている。そして、通信インターフェース部１１は、外部ネットワークＮＴ又はＬＡＮネットワークからの通信データを入力した入力インターフェース部と、当該入力インターフェース部から入力した通信データを出力する出力インターフェース部とに区分されて制御部１２で管理される。

制御部１２は、セキュア通信装置１の各種処理を統括するＣＰＵ等からなり、セキュリティ処理部１３の処理、情報記憶部１４に記憶している各種情報の管理を行う。

情報記憶部１４は、セキュア通信装置１におけるＥＥＰＲＯＭやハードディスク装置等からなる設定記憶部２１及びテーブル記憶部２３と、制御部１２やセキュリティ処理部１３の作業領域となるＲＡＭからなるデータ記憶部２２とからなる。

設定記憶部２１には、セキュリティ処理部１３によるセキュリティ処理を行うための情報が記憶されている。この設定記憶部２１には、例えばセキュリティ処理部１３がセキュリティ処理として暗号化及び復号化を行うとした場合、当該暗号化及び復号化を行うためのＳＡ情報が記憶されている。

データ記憶部２２は、セキュリティ処理部１３及び制御部１２が処理を行うために一時的に通信データが記憶される。

テーブル記憶部２３には、制御部１２によって入力インターフェース部と出力インターフェース部との組み合わせによってセキュリティ処理を行うか否かを決定するために使用される暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルが記憶されている。この暗号化組み合わせ設定テーブルは、図３に示すように、入力インターフェース部と出力インターフェース部との組み合わせのうち、暗号化を行う必要がある通信データを入出力する入力インターフェース部と出力インターフェース部との組み合わせが記述されてなる。また、復号化組み合わせ設定テーブルは、図４に示すように、入力インターフェース部と出力インターフェース部との組み合わせのうち、復号化を行う必要がある通信データを入出力する入力インターフェース部と出力インターフェース部との組み合わせが記述されてなる。なお、本例において、暗号化組み合わせ設定テーブル、復号化組み合わせ設定テーブルを別個に示しているが、図３の暗号化組み合わせ設定テーブルと復号化組み合わせ設定テーブルとを組み合わせて、単一の設定テーブルで構成しても良い。

この図３に示す暗号化組み合わせ設定テーブルの例では、予め、通信インターフェース部１１−１から入力されて通信インターフェース部１１−ｎに出力される通信データに対してはセキュリティ処理部１３によって暗号化処理が施されるように構築されている。また、図４に示す復号化組み合わせ設定テーブルの例では、通信インターフェース部１１−ｎから入力されて通信インターフェース部１１−１に出力される通信データに対しては、復号化処理が施されるように構築されている。すなわち、入力された通信データに対して、暗号化処理又は復号化処理といったセキュア通信を行う組み合わせとして、暗号化と復号化とで２つ以上の通信インターフェース部１１の組み合わせが設定されている。

この暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルにおける通信インターフェース部１１の組み合わせは、必要に応じて予め設定しておくことが可能であり、復号化処理の組み合わせを設定せずに暗号化処理の設定しか行わないことや、暗号化処理の組み合わせを設定せずに復号化処理のみの設定しか行わないことも可能である。また、ある通信インターフェース部の組み合わせにおいて、一方の入力となる通信インターフェース部１１から別の出力となる通信インターフェース部１１への通信データの流れる方向に応じてセキュリティ処理を行うことも設定でき、また、通信データの内容に応じてセキュリティ処理を行うことも設定でき、更には、通信データの流れる方向及び通信データの内容の双方に応じてセキュリティ処理を行うことも設定できる。

セキュリティ処理部１３は、制御部１２の制御に従って、通信インターフェース部１１で入力した通信データに対してセキュリティ処理を施す。本例において、セキュリティ処理部１３は、セキュリティ処理として、ＩＰヘッダ以降のペイロード部のデータについて暗号化及び復号化を行う。このとき、セキュリティ処理部１３は、情報記憶部１４の設定記憶部２１に記憶された暗号キーや暗号化方式を含むセキュリティアソシエーション（以下ＳＡ情報）に従って暗号化及び復号化を行う。

このようなセキュア通信装置１は、何れかの通信インターフェース部１１で通信データを受信すると、一旦通信データをデータ記憶部２２に記憶させ、制御部１２によって、当該受信した通信データに含まれる送信先ＭＡＣアドレス等の識別子を参照して、出力インターフェース部となる通信インターフェース部１１を認識する。このとき、制御部１２は、予め記憶しておいた送信先ＭＡＣアドレス等と出力インターフェース部との対応関係を記述したアドレステーブルを参照して、入力インターフェース部に入力されたパケットのＭＡＣアドレス等から出力インターフェース部を選択する。そして、制御部１２は、テーブル記憶部２３の暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルを参照して、当該入力インターフェース部と出力インターフェース部との組み合わせで入出力される通信データに対して暗号化又は復号化を施すかを判定する。そして、制御部１２は、暗号化又は復号化を施す場合には、当該通信データについての暗号化又は復号化をセキュリティ処理部１３で行わせ、暗号化又は復号化を施さない場合には、入力したそのままのパケットを出力インターフェース部で出力させる。

なお、入力インターフェース部で入力したパケットに含まれている送信先識別子であるＭＡＣアドレス等から出力インターフェース部を選択するためのアドレステーブルは、テーブル記憶部２３に記憶されていても良く、図示しない他のメモリに記憶されていても良い。

［セキュア通信装置１の処理手順］
つぎに、上述したように、入力インターフェース部と出力インターフェース部との組み合わせに応じてセキュリティ処理部１３によるセキュリティ処理を制御する処理手順について、図５のフローチャートを参照して説明する。

セキュア通信装置１は、先ず外部ネットワークＮＴ又はＬＡＮネットワークから何れかの通信インターフェース部１１に通信データを入力すると（ステップＳ１）、内部バス１ａを介して当該通信データをデータ記憶部２２に記憶させる。

次にセキュア通信装置１は、ステップＳ３において、制御部１２により、ステップＳ２でデータ記憶部２２に記憶した通信データから送信先識別子を取得し、アドレステーブルに従って、当該送信先識別子から通信データを出力すべき出力インターフェース部を決定する。

次にセキュア通信装置１は、ステップＳ４において、テーブル記憶部２３に記憶された暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルを参照して、ステップＳ１で入力した通信インターフェースである入力インターフェース部で入力した通信データが、セキュリティ処理の対象となっているか否かを判定する。ここで、制御部１２は、図３に示す暗号化すべき通信データを特定するための暗号化組み合わせ設定テーブルと図４に示す復号化すべき通信データを特定するための復号化組み合わせ設定テーブルとの双方を参照して、暗号化又は復号化の一方を行う必要があると判定した場合には、ステップＳ５に処理を進め、暗号化又は復号化の双方とも行う必要がないと判定した場合には、ステップＳ７に処理を進める。

また、セキュア通信装置１は、ステップＳ５において、テーブル記憶部２３に記憶された暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルを参照して、ステップＳ３で決定した出力インターフェース部から出力すべき通信データが、セキュリティ処理の対象となっているか否かを判定する。ここで、制御部１２は、図３に示す暗号化すべき通信データを特定するための暗号化組み合わせ設定テーブルと図４に示す復号化すべき通信データを特定するための復号化組み合わせ設定テーブルとの双方を参照して、暗号化又は復号化の一方を行う必要があると判定した場合には、ステップＳ６に処理を進め、暗号化又は復号化の双方とも行う必要がないと判定した場合には、ステップＳ７に処理を進める。

すなわち、ステップＳ４及びステップＳ５においては、入力インターフェース部と出力インターフェース部との組み合わせでセキュリティ処理を行う必要がある通信データと判定した場合に、ステップＳ６に処理を進める。

次にセキュア通信装置１は、ステップＳ６において、ステップＳ２でデータ記憶部２２に記憶した通信データをセキュリティ処理部１３に出力させて、当該セキュリティ処理部１３によって暗号化又は復号化の処理であるセキュリティ処理を行わせる。このとき、セキュア通信装置１３は、設定記憶部２１に記憶された暗号キーや暗号化方式を定義したＳＡ情報を用いて暗号化又は復号化を行う。

次にセキュア通信装置１は、ステップＳ７において、ステップＳ６でセキュリティ処理が施された通信データ、又は、ステップＳ４又はステップＳ５においてセキュリティ処理の対象外と判定されたそのままの通信データを、ステップＳ３で決定された出力インターフェース部である通信インターフェース部１１に転送する。これによって、セキュア通信装置１は、予め暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルで指定された通信データのみについてセキュリティ処理を施した通信データを、入力インターフェース部に対応した出力インターフェース部に転送する。

次にセキュア通信装置１は、ステップＳ８において、ステップＳ１で入力した通信データの出力先が複数存在する場合に、ステップＳ１で通信データを入力した入力インターフェース部に対応した全ての出力インターフェース部を決定して通信データを出力させたか否かを判定する。そして、セキュア通信装置１は、全ての出力インターフェース部から通信データを出力させていない場合には、ステップＳ３に処理を戻して、ステップＳ３〜ステップＳ８の処理を再度行う。すなわち、セキュア通信装置１は、通信データを出力すべき出力インターフェース部が複数存在する時には、出力インターフェース部ごとにステップＳ５の処理を行って、セキュリティ処理を施すか否かを判定して、出力インターフェース部への通信データの転送を制御することになる。

一方、ステップＳ８において、全ての出力インターフェース部から通信データを出力させたと判定した場合には、ステップＳ９に処理を進め、このステップＳ９において、ステップＳ１で入力した通信データを出力すべき全ての出力インターフェース部に、セキュリティ処理を施した通信データ又はそのままの通信データが転送済であるので、全ての出力インターフェース部から外部ネットワークＮＴ又はＬＡＮネットワークに通信データを送信させる。

［セキュア通信装置１の具体的な動作例］
つぎに、上述したように構成されたセキュア通信装置１の具体的な動作例について説明する。なお、以下の説明では、（１）セキュア通信を行うと設定された通信インターフェース部から通信データが入力された場合、（１−１）（１）の条件の下で通信データの出力先がセキュア通信を行うと設定された通信インターフェース部の場合、（１−２）（１）の条件の下で通信データの出力先がセキュア通信を行うと設定されていない通信インターフェース部の場合、（１−３）（１）の条件の下で通信データの出力先が複数の通信インターフェース部の場合のぞれぞれについて説明し、次いで、（２）セキュア通信を行うと設定されていない通信インターフェース部から通信データが入力された場合について説明する。

（１）セキュア通信を行うと暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルで設定された通信インターフェース部１１−１又は１１−ｎで通信データを入力した場合
外部ネットワークＮＴから入力されて、通信インターフェース部１１−１又は１１−ｎで受信された通信データは、データ記憶部２２に記憶される。制御部１２では、入力された通信データに含まれている送信先の識別子よりアドレステーブルを利用して、出力先が通信インターフェース部１１−１〜通信インターフェース部１１−ｎのいずれであるかを決定する。これによって通信データを出力する通信インターフェース部１１と、通信データを入力した通信インターフェース部１１−１又は１１−ｎとの組み合わせと、暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルの内容とから、制御部１２は、セキュリティ処理部１３において、暗号化処理を行うか否か、復号化処理を行うか否かを判定する。この判定によって、上記（１−１）、（１−２）、（１−３）の何れかのケースが考えられ、それぞれにおいてセキュア通信装置１は、以下で説明する処理を行う。

（１−１）通信データの出力先がセキュア通信を行うと設定された通信インターフェース部１１の場合
通信インターフェース部１１−１で入力され通信インターフェース部１１−ｎに転送されることが決定された通信データについては、図３に示すような暗号化組み合わせ設定テーブルによって、暗号化処理を行うことが決定される。したがって、制御部１２は、データ記憶部２２に記憶した通信データを、セキュリティ処理部１３によって暗号化処理を行わせた後に、通信インターフェース部１１−ｎに転送させ、外部ネットワークＮＴ−ｎに送り出させる。

一方、通信インターフェース部１１−ｎから入力され、通信インターフェース部１１−１に転送される場合には、図４に示すような復号化組み合わせ設定テーブルによって、通信データを復号化することが決定される。したがって、制御部１２は、データ記憶部２２に記憶した通信データを、セキュリティ処理部１３によって暗号化処理ではなく、復号化処理を行わせた後に、通信インターフェース部１１−１に転送させて、外部ネットワークＮＴ−１に送り出させる。なお、復号化組み合わせ設定テーブルによって復号化を行うと決定されても、通信インターフェース部１１−ｎで入力した通信データが平文である場合には、通信データの内容を制御部１２で判定し、平文のままの通信データを通信インターフェース部１１−１に転送して、外部ネットワークＮＴ−１に送信させることになる。

（１−２）通信データの出力先がセキュア通信を行うと設定されていない通信インターフェース部１１−２の場合
通信インターフェース部１１−１で入力され通信インターフェース部１１−２に転送されることが決定された通信データについては、図３及び図４に示すような暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルによって、暗号化処理及び復号化処理の双方を行う条件に該当しないために、そのまま１−２に転送させ、外部ネットワークＮＴ−２に送り出させる。

一方、通信インターフェース部１１−ｎから入力され、通信インターフェース部１１−２〜１１−ｎの何れかから出力される場合には、図４に示すような復号化組み合わせ設定テーブルによって、復号化処理の対象にならないため、復号化されずにそのまま外部ネットワークＮＴに送信させることになる。

（１−３）通信データの出力先が複数の通信インターフェース部１１−２〜１１−ｎの場合
通信インターフェース部１１−１で入力された通信データが通信インターフェース部１１−２〜１１−ｎの複数に転送されることが決定された場合、通信インターフェース部１１−１から入力された通信データであって、通信インターフェース部１１−２〜１１−（ｎ−１）に転送される通信データについては、図３の暗号化組み合わせ設定テーブルから、セキュリティ処理部１３での暗号化処理が行われず、それぞれ対応する通信インターフェース部１１−１〜１１−（ｎ−１）に転送されて、それぞれの外部ネットワークＮＴ−２〜ＮＴ−（ｎ−１）に送信される。これに対して、通信インターフェース部１１−ｎのように、図３の暗号化組み合わせ設定テーブルによってセキュリティ処理を行う通信インターフェース部として設定されている通信データについては、セキュリティ処理部１３で暗号化処理が行われた後に、通信インターフェース部１１−ｎに転送され、外部ネットワークＮＴ−ｎに送り出される。

一方、通信インターフェース部１１−ｎで入力された通信データが通信インターフェース部１１−２〜１１−ｎの複数に転送されることが決定された場合、通信インターフェース部１１−ｎから入力された通信データであって、通信インターフェース部１１−２〜１１−ｎに転送される通信データについては、図４の復号化組み合わせ設定テーブルから、セキュリティ処理部１３での復号化処理が行われず、それぞれ対応する通信インターフェース部１１−１〜１１−ｎに転送されて、それぞれの外部ネットワークＮＴ−２〜ＮＴ−ｎに送信される。これに対して、通信インターフェース部１１−１のように、図４の復号化組み合わせ設定テーブルによってセキュリティ処理を行う通信インターフェース部として設定されている通信データについては、セキュリティ処理部１３で復号化処理が行われた後に、通信インターフェース部１１−１に転送され、外部ネットワークＮＴ−１に送り出される。

（２）セキュア通信を行うと設定されていない通信インターフェース部から通信データが入力された場合
暗号化及び復号化の設定がされていない外部ネットワークＮＴ−２〜外部ネットワークＮＴ−ｎのいずれかから入力されて通信インターフェース部１１−２〜１１−ｎで受信された通信データは、データ記憶部２２に転送され、制御部１２では、入力された通信データの出力先が通信インターフェース部１１−１〜１１−ｎのいずれであるかを判断する。この場合、出力先を通信インターフェース部１１−２〜１１−ｎとしても、図３及び図４の暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルを参照しても、入力した通信インターフェース部が暗号化及び復号化の対象となる通信インターフェース部１１ではないため、セキュリティ処理部１３での暗号化処理が行われない。そのため、入力された通信データは、制御部１２によって決定された出力先となる通信インターフェース部１１に転送される。そして、各通信インターフェース部１１から対応する外部ネットワークＮＴ−１〜外部ネットワークＮＴ−ｎに送り出される。

［第１実施形態の効果］
以上詳細に説明したように、本発明を適用したセキュア通信装置１によれば、複数の通信インターフェース部１１のうち、通信データを入力した通信インターフェース部１１に対して出力インターフェース部となる通信インターフェース部１１を決定し、通信データを入出力する通信インターフェース部１１の組み合わせからセキュリティ処理を行うか否かを暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルの設定によって区別することができるので、セキュア通信装置１の特定の通信インターフェース部１１の接続関係を調整するのみで簡単に暗号化処理及び復号化処理を行わせた通信を実現することができる。したがって、セキュア通信装置１によれば、端末や中継機器等に対して複雑で一般ユーザにとっては分かりづらいな設定作業を行わせることなく、容易にセキュア通信を行わせることができる。

また、このセキュア通信装置１によれば、セキュリティ処理の対象となる通信データを入出力する通信インターフェース部１１を、視覚的に理解しやすい物理的な通信インターフェース部１１で区別することができ、当該視覚的に通信インターフェース部１１の接続を変更する作業のみで暗号化及び復号化の強度等も変更することができ、設定変更の間違いなども著しく少なくすることができる。

更に、このセキュア通信装置１によれば、任意の通信インターフェース部１１に端末等を接続し、通信データを入出力する通信インターフェース部１１の組み合わせと、当該通信データに施したい暗号化処理等のセキュリティ処理とを指定することによって簡単に暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルを構築することができる。

更にまた、このセキュア通信装置１によれば、セキュリティ処理部１３で記憶しているセキュリティ情報を使用することによって、端末自身でセキュリティ処理を行うために必要なＳＡ情報やＳＰ情報のネゴシエーション等を行う必要が無く、物理的に通信インターフェース部１１に接続するのみでセキュア通信を提供することができる。

［第２実施形態］
つぎに、本発明を適用した第２実施形態に係るセキュア通信装置１について説明する。なお、以下の説明において、第１実施形態と同様の部分については、同一符号及び名称を使用することによってその詳細な説明を省略する。

上述の第１実施形態に係るセキュア通信装置１では、通信インターフェース部１１−１で入力し、通信インターフェース部１１−ｎで出力される通信データには暗号化処理を施し、逆に、通信インターフェース部１１−ｎで入力し、通信インターフェース部１１−ｎで出力される通信データについては復号化処理を施していたが、この第２実施形態に係るセキュア通信装置１は、入力側の通信インターフェース部１１又は出力側の通信インターフェース部１１の一方について暗号化又は復号化を行うと定義した暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルを使用することを特徴とするものである。

すなわち、通信インターフェース部１１−１と通信インターフェース部１１−ｎで入出力される通信インターフェース部１１の組み合わせのみで暗号化処理及び復号化処理を行わせるのではなく、単一の通信インターフェース部１１で入力又は出力される通信データについて暗号化処理又は復号化処理を行わせる。

図１を例に挙げて説明すると、通信インターフェース部１１−１から入力され、通信インターフェース部１１−ｎで出力される通信データに対しては暗号化処理が施され、他のいずれの通信インターフェース部１１から入力された通信データ及び他のいずれの通信インターフェース部１１に出力される通信データには、復号化処理が行われる設定を行わないように復号化組み合わせ設定テーブルを設定する。これにより、暗号化処理については、図３の暗号化組み合わせ設定テーブルに従って処理を行うが、一切復号化処理を行わないようになる。

このような第２実施形態に係るセキュア通信装置１によれば、端末３が常に外部ネットワークＮＴを介して双方向通信を行う場合ではなく、通信データを一方的に送信するような場合には、図３の暗号化組み合わせ設定テーブルのみを設定するだけで、暗号化処理を施した通信データを送信させることができる。したがって、このセキュア通信装置１によれば、端末３の使用者に、外部ネットワークＮＴに送出させる通信データが暗号化できる特定の通信インターフェース部１１を通知すれば、当該通信インターフェース部１１に接続させるのみで、片方向のみの暗号化通信が可能になる。また、重要度の低い通信データに対しては、暗号化を行わない通信インターフェース部１１に接続して暗号化を行わせず、セキュリティ処理部１３の処理負荷を軽減することも実現することができる。

更にまた、このセキュア通信装置１によれば、入力元の通信インターフェース部１１、出力先の通信インターフェース部１１に関わらず暗号化処理を一切行わせず、予め復号化組み合わせ設定テーブルで設定を施した特定の通信インターフェース部１１の組み合わせを利用した通信データに対しては、復号化処理を行うといった設定も選択させることができる。

［第３実施形態］
つぎに、本発明を適用した第３実施形態に係るセキュア通信装置１について説明する。なお、以下の説明において、実施形態と同様の部分については、同一符号及び名称を使用することによってその詳細な説明を省略する。

この第３実施形態に係るセキュア通信装置１は、上述の第１実施形態及び第２実施形態で説明した機能に加えて、ユーザによってセキュア通信の対象となる通信データを入出力する通信インターフェース部１１を指定可能とすることを特徴とする。

この第３実施形態に係るセキュア通信装置１は、図６に示すように、筐体１００の側面に取付部品１２０が取り外しできる溝部１１０が設けられて構成されている。

すなわち、このセキュア通信装置１は、図６に示すように、セキュア通信装置１の筐体１００の側面に、各通信インターフェース部１１に相当するインターフェーススロット１０１−１，１０１−２，１０１−３，１０１−４，１０１−５（以下、総称する場合には、単に「インターフェーススロット１０１」と呼ぶ。）が設けられている。各インターフェーススロット１０１は、外部ネットワークＮＴが接続される通信ケーブルが取り付け又は取り外しされたことを検出し、当該検出信号を物理的な位置として制御部１２で認識させる検出端子を備えている。

また、筐体１００には、インターフェーススロット１０１が設けられた側面に、それぞれのインターフェーススロット１０１間に繋がった溝部１１０が設けられている。この溝部１１０には、ユーザによって２つのインターフェーススロット１０１を繋げるように凹形に形成された取付部品１２０が取り付けられる。なお、取付部品１２０の幅方向長さ、すなわち、何れのインターフェーススロット１０１同士を繋げられるかは、任意であり、複数個の取付部品１２０が用意されていても良い。

このようなセキュア通信装置１は、取付部品１２０が溝部１１０が取り付けられた場合に、当該取付部品１２０が嵌め込まれたことを検出し、当該検出信号を物理的な位置として制御部１２で認識させる検出端子がそれぞれのインターフェーススロット１０１に付設されている。これによって、制御部１２は、取付部品１２０が嵌め込まれた場合に、何れかの組み合わせのインターフェーススロット１０１が取付部品１２０の嵌め込み作業によって指定されたかを識別することができ、通信データの入出力を識別する通信インターフェース部１１の番号と同様に、通信インターフェース部１１の組み合わせを識別することができる。

また、セキュア通信装置１は、取付部品１２０が取り付けられたインターフェーススロット１０１に対応した通信インターフェース部１１で入力又は出力される通信データについてセキュリティ処理を施すためのセキュリティ情報が設定記憶部２１に記憶されており、制御部１２は、取付部品１２０が取り付けられたインターフェーススロット１０１の組み合わせに対応した通信インターフェース部１１の組み合わせで入出力される通信データに対して暗号化又は復号化のセキュリティ処理を施すように設定されている。

具体的には、セキュア通信装置１において、取付部品１２０が、インターフェーススロット１０１−１とインターフェーススロット１０１−３とを繋げるように溝部１１０に嵌め込まれるとし、インターフェーススロット１０１−１は通信インターフェース部１１−１であり、インターフェーススロット１０１−３は通信インターフェース部１１−３であるとする。この場合、取付部品１２０が嵌め込まれたことが、インターフェーススロット１０１−１及びインターフェーススロット１０１−３の取付部品検知用の検出端子で検知され、当該インターフェーススロット１０１−１，１０１−３に対応した通信インターフェース部１１−１，１１−３の組み合わせが制御部１２で識別される。

そして、制御部１２は、通信インターフェース部１１−１で通信データを入力し、通信インターフェース部１１−３で通信データを出力する場合には、通信インターフェース部１１−３に転送する前に通信データに暗号化を施し、逆に、通信インターフェース部１１−３で通信データを入力し、通信インターフェース部１１−１で通信データを出力する場合には、通信インターフェース部１１−１に転送する前に通信データに復号化を施すことを設定する。この暗号化及び復号化の設定は、予めテーブル記憶部２３に記憶されている暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルとは独立した設定であり、セキュア通信装置１で通信データを入出力するに際して制御部１２によって双方の設定について暗号化及び復号化の判定が行われる。

すなわち、この第３実施形態に係るセキュア通信装置１によれば、テーブル記憶部２３に記憶しておいた暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルによる入出力の通信インターフェース部１１の組み合わせに応じた暗号化及び復号化の設定に加えて、取付部品１２０が嵌め込まれたことによる設定を追加させることができる。また、テーブル記憶部２３に暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルが設定されていない場合においても、取付部品１２０を嵌め込まれたことによって、入出力する通信インターフェース部１１の組み合わせに応じた暗号化及び復号化を行うことを設定することができる。

また、この第３実施形態に係るセキュア通信装置１によれば、出荷時等に記憶させている暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルによって設定された通信インターフェース部１１の組み合わせに応じた暗号化及び復号化を行うことの設定に加えて、取付部品１２０と取り付け又は取り外しすることによって、新たな暗号化及び復号化を行うことの設定を行わせることができる。また、逆に、出荷時に設定された暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルに従った暗号化及び復号化を行うことの設定を、取付部品１２０を取り付けることによって無効化して、新たな暗号化及び復号化を行うことの設定に変更することにしても良い。

更に、図６に示した溝部１１０及び取付部品１２０を使用するセキュア通信装置１によれば、セキュリティ処理の対象となる通信データを入出力しない通信インターフェース部１１には取付部品１２０を嵌め込むことができないように、取付部品１２０の形状や溝部１１０の形状とすることによって、設定の間違いを起こすことなく、簡単な作業でセキュリティ処理の設定や柔軟な変更を行うことができる。

第３実施形態に係るセキュア通信装置１は、図７に示すように、筐体１００の上面に行列型設定パネル１３０を設けて構成されていても良い。

すなわち、このセキュア通信装置１は、セキュア通信装置１の筐体１００の側面に、各通信インターフェース部１１に相当するインターフェーススロット１０１が設けられ、筐体１００の上面に、入力側の通信インターフェース部１１と出力側の通信インターフェース部１１の組み合わせごとのスイッチからなる行列状のスイッチである行列型設定パネル１３０が設けられている。この行列型設定パネル１３０は、行方向が出力側の通信インターフェース部１１の番号「１」〜「５」となり、列方向が入力側の通信インターフェース部１１の番号「１」〜「５」となっている。

この行列型設定パネル１３０は、入力側の通信インターフェース部１１と出力側の通信インターフェース部１１との交点部分に、当該組み合わせに対応したスイッチが設けられている。このスイッチは、ディップスイッチを始めとして、ユーザの押圧操作によって、１回目の動作時には内部に設けた機械的なロック機構により動作状態が保持され、２回目の押し操作でロックが解除され戻る動作を行うものや、オンオフ状態を光源などで通知するものが使用可能である。これらの各スイッチは、ユーザによるオン、オフ操作が、物理的な位置として制御部１２で認識させる検出端子を内蔵している。

これによって、制御部１２は、あるスイッチがオン操作された場合に、何れかの組み合わせの通信インターフェース部１１が指定されたかを識別することができ、セキュリティ処理の対象となる通信データの入出力を行う通信インターフェース部１１の組み合わせを識別することができる。

また、セキュア通信装置１は、オン操作されたスイッチに対応した通信インターフェース部１１の組み合わせで入出力される通信データについてセキュリティ処理を施すためのセキュリティ情報が設定記憶部２１に記憶されており、制御部１２は、通信インターフェース部１１の組み合わせで入出力される通信データに対して暗号化又は復号化のセキュリティ処理を施すように設定されている。

具体的には、セキュア通信装置１において、図７に示すように、入力側の通信インターフェース部１１の番号が「３」であって出力側の通信インターフェース部１１の番号が「５」のスイッチがオン操作され、また、入力側の通信インターフェース部１１の番号が「５」であって出力側の通信インターフェース部１１の番号が「３」のスイッチがオン操作された場合には、番号が「３」及び「５」の通信インターフェース部１１で入出力される通信データについては暗号化を施すことを設定することができる。また、復号化についても、行列型設定パネル１３０と同様の機構を設けることによって設定することができる。

この暗号化及び復号化の設定は、予めテーブル記憶部２３に記憶されている暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルとは独立した設定であり、セキュア通信装置１で通信データを入出力するに際して制御部１２によって双方の設定について暗号化及び復号化の判定が行われる。すなわち、暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルによる暗号化及び復号化の設定に加えて、スイッチ操作による設定を追加させることができる。また、暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルが設定されていない場合においても、スイッチ操作によって、入出力する通信インターフェース部１１の組み合わせに応じた暗号化及び復号化を行うことを設定することができる。

また、この行列型設定パネル１３０を備えたセキュア通信装置１によれば、出荷時等に記憶させている暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルによって設定された通信インターフェース部１１の組み合わせに応じた暗号化及び復号化を行うことの設定に加えて、行列型設定パネル１３０に対する操作を行うことによって、新たな暗号化及び復号化を行うことの設定を行わせることができる。また、逆に、出荷時に設定された暗号化組み合わせ設定テーブル，復号化組み合わせ設定テーブルに従った暗号化及び復号化を行うことの設定を、スイッチ操作によって無効化して、新たな暗号化及び復号化を行うことの設定に変更することにしても良い。

更に、行列型設定パネル１３０を用いた場合には、上述のように一方向の通信データにはセキュリティ処理を行い、逆方向の通信データにはセキュリティ処理を行わない場合においても、当該設定を一方のみの操作によって実現することができ、柔軟なセキュリティ処理の設定が実現できる。

更に、第３実施形態に係るセキュア通信装置１は、溝部１１０や行列型設定パネル１３０の他に、柔軟で細かな設定変更を実現するために、ダイヤル、ボタンの操作によってセキュリティ処理の対象となる通信データを入出力する通信インターフェース部１１の組み合わせを設定させても良い。

更にまた、第３実施形態に係るセキュア通信装置１は、一度、セキュリティ処理の対象となる通信データを入出力する通信インターフェース部１１の組み合わせの設定を行った後に、当該設定の変更を行うことができないような構造を有するものとして、設定後に取付部品１２０の一部を折る機構、行列型設定パネル１３０の動作が固定されて操作不能となる機構、行列型設定パネル１３０のスイッチに代えて部品を差し込むことにより設定できる機構が隠れて、当該差し込んだ部品がロックされるものを使用することができる。これにより、構造的に一度しか設定が行えないような設定部品にすることで、一度変更を行った後には、不正に設定を変更されることを無くすことができる。

更にまた、第３実施形態に係るセキュア通信装置１において、任意にセキュリティ処理の対象となる通信データを入出力する通信インターフェース部１１を設定するためには、例えば、セキュア通信装置１にＲＦＩＤ受信部を設け、ユーザが保有するＲＦＩＤタグから、セキュリティ処理の対象となる通信データを入出力する通信インターフェース部１１の組み合わせ情報を受信する。これによって、ＲＦＩＤタグによって異なる暗号化及び復号化の対象となる通信データの設定を行うことができる。

更にまた、第３実施形態に係るセキュア通信装置１において、セキュリティ処理の対象となる通信データを入出力する通信インターフェース部１１の組み合わせの設定を変更させる時や当該設定状態でセキュリティ処理を実行させる時に、ユーザ認証処理を行うものとしては、カードリーダ型やアクティブ型のＲＦＩＤタグからの受信したユーザ情報によって認証を行うもの、ユーザの指紋認証を行うもの、パスワードの入力、虹彩認証、静脈認証等をセキュア通信装置１内で行うもの、指紋認証、パスワード認証、虹彩認証、静脈認証等を外部の認証サーバで行うものを使用できる。このように認証で許可を行うことによって、特定のユーザのみに設定変更を許可し、不正な設定変更を防止すると共に柔軟な設定変更を実現することが可能になる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

本発明を適用したセキュア通信装置を有するネットワークシステムを示すブロック図である。 本発明を適用したセキュア通信装置の機能的な構成を示すブロック図である。 本発明を適用したセキュア通信装置によって暗号化処理となる通信データを決定するための暗号化組み合わせ設定テーブルを示す図である。 本発明を適用したセキュア通信装置によって復号化処理となる通信データを決定するための復号化組み合わせ設定テーブルを示す図である。 本発明を適用したセキュア通信装置の処理手順を示すフローチャートである。 本発明を適用したセキュア通信装置において、物理的な取付部品によってセキュリティ処理となる通信データを入出力する通信インターフェース部を指定可能であることを説明するための図である。 本発明を適用したセキュア通信装置において、物理的な行列型設定パネルによってセキュリティ処理となる通信データを入出力する通信インターフェース部を指定可能であることを説明するための図である。

符号の説明

１ セキュア通信装置
２ ハブ
３ 端末
１１ 通信インターフェース部（入力インターフェース部、出力インターフェース部）
１２ 制御部（制御手段）
１３ セキュリティ処理部
１４ 情報記憶部
２１ 設定記憶部
２２ データ記憶部
２３ テーブル記憶部
１０１ インターフェーススロット
１１０ 溝部
１２０ 取付部品
１３０ 行列型設定パネル

Claims (2)

1. 通信機器が接続される複数の通信インターフェース部と、
   前記複数の通信インターフェース部のうち、通信データを入力した通信インターフェース部である入力インターフェース部に対して出力インターフェース部となる通信インターフェース部を決定する制御手段と、
   前記通信データにセキュリティ処理を施すセキュリティ情報と、前記セキュリティ処理を施す必要がある通信データを入出力する入力インターフェース部と出力インターフェース部との組を示す情報とが記憶されている設定記憶手段と、
   所定の入力インターフェース部と出力インターフェース部との組み合わせで入出力される通信データに対して、前記設定記憶手段に記憶されたセキュリティ情報を用いてセキュリティ処理を施すセキュリティ処理手段とを備え、
   何れかの通信インターフェース部から通信データを入力した場合に、前記制御手段によって当該入力インターフェース部に対する出力インターフェース部を決定し、決定した入力インターフェース部と出力インターフェース部との組が、前記設定記憶手段に記憶された入力インターフェース部と出力インターフェース部との組である場合には、前記セキュリティ処理手段によってセキュリティ処理を施した後に、当該出力インターフェース部から通信データを出力させること
   を特徴とする通信装置。
2. 前記セキュリティ処理を施す必要がある通信データを入出力する入力インターフェース部と出力インターフェース部との組を物理的に指定させる機構を有し、
   前記制御手段は、当該物理的に指定された入力インターフェース部で通信データを入力して出力インターフェース部で通信データを出力させる場合には、当該通信データに前記セキュリティ処理手段によってセキュリティ処理を行わせること
   を特徴とする請求項１に記載の通信装置。
   

Images