JP4555025B2 - サーバ装置、クライアント装置および処理実行方法 - Google Patents

サーバ装置、クライアント装置および処理実行方法 Download PDF

Info

Publication number
JP4555025B2
JP4555025B2 JP2004245433A JP2004245433A JP4555025B2 JP 4555025 B2 JP4555025 B2 JP 4555025B2 JP 2004245433 A JP2004245433 A JP 2004245433A JP 2004245433 A JP2004245433 A JP 2004245433A JP 4555025 B2 JP4555025 B2 JP 4555025B2
Authority
JP
Japan
Prior art keywords
client
message
calculation
server device
written
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2004245433A
Other languages
English (en)
Other versions
JP2006065492A (ja
Inventor
基治 三宅
智尋 中川
浩 稲村
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Docomo Inc
Original Assignee
NTT Docomo Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NTT Docomo Inc filed Critical NTT Docomo Inc
Priority to JP2004245433A priority Critical patent/JP4555025B2/ja
Priority to CN200510091656.XA priority patent/CN1741530B/zh
Priority to EP05018258A priority patent/EP1635530B1/en
Priority to DE602005005753T priority patent/DE602005005753T2/de
Priority to US11/210,719 priority patent/US8001188B2/en
Publication of JP2006065492A publication Critical patent/JP2006065492A/ja
Application granted granted Critical
Publication of JP4555025B2 publication Critical patent/JP4555025B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service

Description

本発明は、クライアント装置からの要求に応じた処理をサーバ装置に実行させる技術に関する。
近年、インターネットを介して様々な通信サービスが提供されている。インターネットにおいて利用されている通信プロトコルの一例としては、ＴＣＰ（Transmission Control Protocol）が挙げられる。ＴＣＰは、いわゆるコネクション型の通信プロトコルであり、信頼性の高い通信を実現することが可能である。なお、コネクション型の通信プロトコルとは、データの送受信に先だって、そのデータの送り手側の通信装置（以下、サーバ装置）とその受け手側の通信装置（以下、クライアント装置）との両者に、そのデータの送受信に用いる通信路（以下、コネクション）を示すデータ（以下、コネクション識別子）を交換させ、コネクションの確立を行っておく通信プロトコルである。上記コネクション識別子の一例としては、サーバ装置やクライアント装置に割り当てられている通信アドレスや、各装置がそのデータの送受信に用いる通信ポートを表すデータ（例えば、通信ポート番号）およびシーケンス番号の初期値などが挙げられる。例えば、ＴＣＰにおいては、３ウェイハンドシェークと呼ばれる手順で上記コネクションの確立が行われる。以下では、まず、３ウェイハンドシェークの概要について説明する。
図１０は、ＴＣＰにしたがって通信する機能を有するサーバ装置４０Ａとクライアント装置５０Ａとが実行する３ウェイハンドシェークの概要を表す図である。例えば、サーバ装置４０Ａに記憶されているデータの取得を所望するユーザが、そのサーバ装置４０Ａの通信アドレスやそのデータの取得に用いる通信プロトコルを表すデータ（例えば、ＵＲＬなど）の入力など所定の操作を行うと、クライアント装置５０Ａは、図１０に示すように、ＳＹＮメッセージ１００をサーバ装置４０Ａへ送信する。このＳＹＮメッセージ１００は、サーバ装置４０Ａからクライアント装置５０Ａへデータを送信する際に用いられるコネクション（以下、下りのコネクション）の確立を要求する旨のメッセージであり、このＳＹＮメッセージ１００には、上記下りのコネクションのコネクション識別子が書き込まれている。
一方、サーバ装置４０Ａは、ＳＹＮメッセージ１００を受信すると、そのＳＹＮメッセージ１００の送信元であるクライアント装置５０Ａとの間の通信を継続しコネクションの確立を行うために、コンピュータ資源（以下、「リソース」ともいう）の割り当てを行う。具体的には、サーバ装置４０Ａは、その通信相手（すなわち、クライアント装置５０Ａ）を識別するデータ（例えば、上記コネクション識別子）をＲＡＭ（Random Access Memory）などの記憶部へ書き込み記憶する。次いで、サーバ装置４０Ａは、上記ＳＹＮメッセージ１００を受信したことを表すとともに逆方向のコネクション（以下、上りのコネクション）の確立を要求する旨のＳＹＮ／ＡＣＫメッセージ１１０をクライアント装置５０Ａへ送信する。このＳＹＮ／ＡＣＫメッセージ１１０には、クライアント装置５０Ａから送信されたデータを受信する際に用いるコネクション（すなわち、上記上りのコネクション）のコネクション識別子が書き込まれている。なお、サーバ装置４０Ａは、上記ＳＹＮ／ＡＣＫメッセージ１１０を送信してから所定の時間が経過しても上記ＳＹＮ／ＡＣＫメッセージを受信したことを表すメッセージ（以下、「ＡＣＫ」）が返信されてこない場合には、上記記憶部の格納内容を参照して上記ＳＹＮ／ＡＣＫメッセージ１００を再送信する。
クライアント装置５０Ａは、ＳＹＮ／ＡＣＫメッセージ１１０を受信すると、そのＳＹＮ／ＡＣＫメッセージ１１０に書き込まれているコネクション識別子を読み出しそのコネクション識別子の表すコネクション（すなわち、上記上りのコネクション）を確立する。そして、クライアント装置５０ＡはＳＹＮ／ＡＣＫメッセージ１１０を受信したことを表すＡＣＫ１２０をサーバ装置４０Ａへ送信する。このＡＣＫ１２０にも、上記下りのコネクションのコネクション識別子が書き込まれている。サーバ装置４０Ａは、このＡＣＫ１２０を受信すると、そのＡＣＫ１２０に書き込まれているコネクション識別子の表すコネクション（すなわち、上記下りのコネクション）を確立し、その通信相手を表すデータを上記記憶部から削除する。そして、サーバ装置４０Ａは、データの送信を要求する旨のメッセージ（例えば、ＨＴＴＰのＧＥＴメソッドを含むメッセージ）が上記下りのコネクションを介してクライアント装置５０Ａから送信されてくることを待ち受ける。
ところで、サーバ装置４０Ａの記憶部の記憶容量は有限であるため、その記憶部へ格納することができるコネクション識別子（すなわち、コネクションを確立中の通信相手を表すデータ）の数にも上限がある。つまり、サーバ装置４０Ａは、この上限を超える数のクライアント装置５０Ａとの通信を継続しＡＣＫ１２０が送信されてくることを待ち続けることはできない。このことを悪用してサーバ装置４０Ａを利用不能にし、通信サービスの提供を妨害することが企てられる虞がある。いわゆるＳＹＮＦｌｏｏｄ攻撃である。
より詳細に説明すると、ＳＹＮＦｌｏｏｄ攻撃とは、多量のＳＹＮメッセージ１００をサーバ装置４０Ａへ送信し続け、サーバ装置４０Ａから返信されてくるＳＹＮ／ＡＣＫメッセージ１１０を受信しても、意図的にＡＣＫ１２０を返信しないようにすることである。このようなことが為されると、サーバ装置４０Ａは、その通信相手との間でコネクションの確立が完了していないものとみなして、その通信相手を表すデータを記憶部に保持したまま、ＡＣＫ１２０が返信されてくることを待ち続ける。このため、上記ＳＹＮＦｌｏｏｄ攻撃が為されると、記憶部に格納されている上記データの数が急速に増加し、その上限へ達してしまう。このような状況下では、サーバ装置４０Ａは、他のクライアント装置からのコネクション確立要求を受け付けることができなくなり、それら他のクライアント装置に対して通信サービスを提供することができなくなってしまう。
このようなＳＹＮＦｌｏｏｄ攻撃に対する防御方法の一例としては、非特許文献１に開示されたクライアントパズルプロトコルや、非特許文献２に開示されたクライアントパズルオークションが挙げられる。以下、図面を参照しつつ、これらについて説明する。
図１１は、クライアントパズルプロトコルの概略を説明するための図である。なお、図１１において、サーバ装置４０Ｂとクライアント装置５０Ｂとはともにクライアントパズルプロトコルにしたがってコネクションを確立する通信装置である。サーバ装置４０Ｂが図１０のサーバ装置４０Ａと異なっている点は、以下の２つの点である。第１に、ＳＹＮメッセージ１００を受信しても、その送信元を示すデータを記憶しない点である。そして、第２に、ＳＹＮメッセージ１００を受信した場合に、ＳＹＮ／ＡＣＫメッセージ１１０に代えて、所定の演算の実行およびその演算結果の返信を要求する旨のメッセージ（図１１では、ＲＳＴ／ＡＣＫメッセージ）１０１を送信する点である。このＲＳＴ／ＡＣＫメッセージ１０１には、上記所定の演算を表すデータ（以下、クライアントパズル）が書き込まれている。
一方、クライアント装置５０Ｂは、ＲＳＴ／ＡＣＫメッセージ１０１を受信すると、そのＲＳＴ／ＡＣＫメッセージ１０１に書き込まれているクライアントパズルの表す演算を行い、その演算結果を書き込んだＳＹＮメッセージ１０２をサーバ装置４０Ｂへ送信する。以下では、上記クライアントパズルの表す演算を実行することを「クライアントパズルを解く」といい、その演算結果を「クライアントパズルの解」という。そして、サーバ装置４０Ｂは、ＳＹＮメッセージ１０２を受信すると、そのＳＹＮメッセージ１０２に書き込まれているクライアントパズルの解が正しいか否かを判定し、正しいと判定した場合にのみ、前述した３ウェイハンドシェークと同一の手順でクライアント装置５０Ｂとの間にコネクションを確立する。
このように、サーバ装置４０Ｂは、コネクションの確立を要求してきたクライアント装置５０Ｂに対してクライアントパズルを送信し、そのクライアントパズルの正しい解が送信されてくるまで、コネクションの確立を行わない。このため、多量のＳＹＮメッセージを送信しサーバ装置４０Ｂに対してＳＹＮＦｌｏｏｄ攻撃を行っているクライアント装置は、各ＳＹＮメッセージに対してサーバ装置４０Ｂから返信されてくるクライアントパズルを解かなければ、そのＳＹＮＦｌｏｏｄ攻撃を継続することができなくなる。つまり、サーバ装置４０Ｂに対してＳＹＮＦｌｏｏｄ攻撃を継続するには、多量のクライアントパズルを解かなければならないが、このようなことには多量のリソースが必要になり、結局、ＳＹＮメッセージを送信し続けることが困難になってしまう。このように、クライアントパズルプロトコルによれば、ＳＹＮＦｌｏｏｄ攻撃を効果的に防御することが可能になる。
ところで、上述したクライアントパズルプロトコルにおいては、クライアントパズルの表す演算の演算量（以下、「クライアントパズルの難易度」ともいう）が適切に設定されていることが重要である。その理由は、以下の通りである。上記難易度が低すぎる（すなわち、上記演算量が少なすぎる）と、少ないリソースでクライアントパズルの解を求めることが可能であり、ＳＹＮＦｌｏｏｄ攻撃を抑止することができなくなってしまうからである。逆に、上記難易度が高すぎる（すなわち、上記演算量が多すぎる）と、ＳＹＮＦｌｏｏｄ攻撃を行っていないクライアント装置がサーバ装置とコネクションを確立する場合であっても、１つのクライアントパズルを解くことに要する時間が長くなり、そのサーバ装置によって提供される通信サービスを利用しづらくなってしまうからである。
このように、上記クライアントパズルプロトコルにおいては、クライアントパズルの難易度を適切に設定しておくことが重要であるが、現実の通信システムにおいては困難である。その理由は、現実の通信システムにおいては、パーソナルコンピュータやＰＤＡ（Personal Digital Assistance）など処理能力の異なるクライアント装置が混在して利用されていることが一般的であり、各クライアント装置毎にクライアントパズルの適切な難易度が異なっているからである。上記非特許文献２に開示されたクライアントパズルオークションは、係るクライアントパズルプロトコルの問題点を改善することを目的としている。以下、クライアントパズルオークションについて説明する。
図１２は、クライアントパズルオークションの概要を説明するための図である。図１２のサーバ装置４０Ｃとクライアント装置５０Ｃとは、クライアントパズルオークションによってコネクションの確立を行う通信装置である。図１２のクライアント装置５０Ｃは、クライアントパズルの解を求めＳＹＮメッセージ１０２にその解を書き込んで送信する際に、自装置の処理能力に応じて以下の２種類のデータの何れかを書き込んで送信する。すなわち、クライアント装置５０Ｃは、更に難易度の高いクライアントパズルの送信を要求する旨の第１のデータか、そのようなクライアントパズルの送信を要求しない旨の第２のデータの何れかを書き込んでＳＹＮメッセージ１０２を送信する。
一方、サーバ装置４０Ｃは、クライアント装置５０Ｃから受信したＳＹＮメッセージ１０２に上記第１のデータが書き込まれていた場合には、より難易度の高いクライアントパズルを生成しそのクライアントパズルを書き込んだＲＳＴ／ＡＣＫメッセージ１０１を送信する。逆に、クライアント装置５０Ｃから受信したＳＹＮメッセージ１０２に上記第２のデータが書き込まれていた場合には、サーバ装置４０Ｃは、従来の３ウェイハンドシェークにしたがってコネクションの確立を開始する。
ここで注目すべき点は、図１２のサーバ装置４０Ｃは、複数のクライアント装置からＳＹＮメッセージ１０２を受信した場合に、難易度が高いクライアントパズルの解が書き込まれているＳＹＮメッセージ１０２ほど優先的に処理しコネクションの確立を行う点である。一般に、難易度の高いクライアントパズルを解くには、多量のリソースが必要になり、コネクション確立要求の送信頻度が低下してしまう。つまり、上記の如き優先順位付けを行うことは、高い負荷を負担しコネクション確立要求の送信頻度が低下することを受け入れたことに対する代償である。逆に、クライアント装置５０Ｃの立場から見れば、自装置から送信されたコネクション確立要求を優先的にサーバ装置４０Ｃに処理させるためには、高い負荷が掛かることを受け入れなけれならない。上述したように、高い負荷が掛かることは、ＳＹＮＦｌｏｏｄ攻撃を行う際の大きな障害になるのであるから、このクライアントパズルオークションによってＳＹＮＦｌｏｏｄ攻撃を効果的に防御することが可能になる。加えて、各クライアント装置５０Ｃは、各々の処理能力に見合ったクライアントパズルをサーバ装置４０Ｃから取得し解くことができるため、上述したクライアントパズルプロトコルの問題点も解消される。
A.Juels and J.Brainard(RSA Labs), "A Cryptographic Defense Against Connection Depletion Attacks", インターネット ＜http://www.rsasecurity.com/rsalabs/ staff/bios/ajuels/publications/client-puzzles＞ XiaoFeng Wang, Michael K.Reiter, "Defending Against Denial-of-Service Attack With Puzzle Auctions", 2003 IEEE Symposium on Security and Privacy,2003 インターネット ＜http://www.cs.cornell.edu/People/ egs/syslunch-spring04/puzzleauctions.pdf＞
上述の如く、クライアントパズルオークションによれば、クライアント装置にその処理能力に応じた負荷を負担させることが可能になるとともに、各クライアント装置が負担した負荷に応じた優先順位でコネクションの確立が行われるようにすることが可能になる。しかしながら、上述したクライアントパズルオークションでは、従来の３ウェイハンドシェークやクライアントパズルプロトコルに比較して、サーバ装置とクライアント装置との間で送受信されるメッセージの数（以下、通信トラヒック）が増加してしまう（図１０、図１１および図１２参照）。このように、サーバ装置とクライアント装置との間の通信トラヒックが増加してしまうことは、両装置間の通信を仲介する通信網に輻輳が発生する原因となりかねず好ましくない。
本発明は上記課題に鑑みて為されたものであり、クライアント装置とサーバ装置との間の通信トラヒックが増加することを回避しつつ、クライアント装置にその処理能力に応じた負荷を負担させることを可能にするとともに、各クライアント装置から実行を要求された処理を各クライアント装置の負担した負荷に応じた優先順位でサーバ装置に実行させることを可能にする技術を提供することを目的としている。
上記課題を解決するために、本発明は、演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージであって、該複数の演算の各々を表すデータであるクライアントパズルを複数まとめて書き込んだ第１のメッセージを通信相手の各クライアント装置へ送信する送信手段と、所定の処理の実行を要求するとともに前記複数の演算の何れかの演算結果が書き込まれた第２のメッセージが前記各クライアント装置から送信されてきた場合に、該演算結果が正しい演算結果であるか否かを判定する判定手段と、前記判定手段により正しい演算結果であると判定された場合に、前記各クライアント装置にて実行された演算の演算量をその演算結果に基づいて特定し、特定された演算量が多い順に、または、特定された演算量が少ない順に、前記各クライアント装置に対応する前記所定の処理を実行する処理実行手段とを有するサーバ装置を提供する。
より好ましい態様の上記サーバ装置にあっては、前記送信手段は、前記所定の処理の実行を要求する旨のみの第３のメッセージが送信されてきたことを契機として、前記第１のメッセージを該第３のメッセージの送信元であるクライアント装置へ送信することを特徴としている。
また、別の好ましい態様の上記サーバ装置にあっては、前記第１のメッセージには、その送信元とその宛先とが通信を開始するときにだけデータが書き込まれる特定の領域であって、その送信元の通信態様の詳細をその宛先へ通知するための付加データが書き込まれる特定の領域が設けられており、前記送信手段は、前記付加データに代えて前記クライアントパズルを前記特定の領域に書き込んで前記第１のメッセージを送信することを特徴としており、更に、好ましい態様の上記サーバ装置にあっては、前記送信手段は、ＴＣＰにしたがって前記第１のメッセージを送信し、前記特定の領域は、オプション領域であることを特徴としている。
また、上記課題を解決するために本発明は、通信手段と、制御手段と、を備え、前記制御手段は、演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージであって、該複数の演算の各々を表すデータであるクライアントパズルを複数まとめて書き込んだ第１のメッセージを前記通信手段によって通信相手の各クライアント装置へ送信する第１の処理と、所定の処理の実行を要求するとともに前記複数の演算の何れかの演算結果が書き込まれた第２のメッセージを前記通信手段によって前記各クライアント装置から受信した場合に、該演算結果が正しいか否かを判定する第２の処理と、前記第２の処理にて正しい演算結果であると判定された場合に、前記各クライアント装置にて実行された演算の演算量をその演算結果に基づいて特定し、特定された演算量が多い順に、または、特定された演算量が少ない順に、前記各クライアント装置に対応する前記所定の処理を実行する第３の処理と、を行うことを特徴とするサーバ装置を提供する。
また、上記課題を解決するために本発明は、演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージであって、該複数の演算の各々を表すデータであるクライアントパズルが複数まとめて書き込まれた第１のメッセージが通信相手のサーバ装置から送信されてきた場合に、該複数の演算の各々の演算量を該クライアントパズルに基づいて特定し、特定された演算量と予め定められた閾値とに基づいて、実行するべき演算を選択する選択手段と、前記選択手段によって選択された演算を実行する演算実行手段と、所定の処理の実行を前記サーバ装置へ要求する場合に、該所定の処理の実行の要求と前記演算実行手段による演算結果とを書き込んだ第２のメッセージを前記サーバ装置へ送信する送信手段とを有するクライアント装置を提供する。
より好ましい態様の上記クライアント装置にあっては、前記第１のメッセージを受信していない状況下で前記所定の処理の実行を前記サーバ装置へ要求する場合には、前記送信手段は、その旨のみを書き込んだ第３のメッセージを前記サーバ装置へ送信することを特徴としている。
また、上記課題を解決するために本発明は、通信手段と、制御手段と、を備え、前記制御手段は、演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージであって、該複数の演算の各々を表すデータであるクライアントパズルが複数まとめて書き込まれた第１のメッセージを前記通信手段によって通信相手のサーバ装置から受信した場合に、該複数の演算の各々の演算量を該クライアントパズルに基づいて特定し、特定された演算量と予め定められた閾値とに基づいて、実行するべき演算を選択する第１の処理と、前記第１の処理にて選択した演算を実行する第２の処理と、所定の処理の実行を前記サーバ装置へ要求する場合に、該所定の処理の実行の要求と前記第２の処理にて得られた演算結果とを書き込んだ第２のメッセージを前記通信手段によって前記サーバ装置へ送信する第３の処理と、を行うことを特徴とするクライアント装置を提供する。
また、上記課題を解決するために本発明は、サーバ装置が、演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージであって、該複数の演算の各々を表すデータであるクライアントパズルを複数まとめて書き込んだ第１のメッセージを通信相手の各クライアント装置へ送信する第１のステップと、前記第１のメッセージを受信したクライアント装置が、前記複数の演算の各々についてその演算量を前記クライアントパズルに基づいて特定し、特定された演算量と予め定められた閾値とに基づいて、実行するべき演算を選択して実行し、その演算結果と所定の処理の実行を要求する旨とを書き込んだ第２のメッセージを前記サーバ装置へ送信する第２のステップと、前記第２のメッセージを受信したサーバ装置が、該第２のメッセージに書き込まれている演算結果が正しい演算結果であるか否かを判定し、正しい演算結果であると判定された場合に、該第２のメッセージの送信元であるクライアント装置にて実行された演算の演算量をその演算結果に基づいて特定し、特定された演算量が多い順に、または、特定された演算量が少ない順に、前記各クライアントに対応する前記所定の処理を実行する第３のステップとを有することを特徴とする処理実行方法を提供する。
このようなサーバ装置、クライアント装置および処理実行方法によれば、上記サーバ装置から送信された上記第１のメッセージに書き込まれている複数のクライアントパズルの何れかの表す演算が上記クライアント装置によって実行され、所定の実行を要求する旨の第２のメッセージにその演算結果が書き込まれて送信される。この第２のメッセージを受信したサーバ装置は、その第２のメッセージに正しい演算結果が書き込まれている場合に、その演算結果を得るために上記クライアント装置が実行した演算の演算量を特定し、その特定結果に応じた優先順位で各クライアント装置から実行を要求された処理を実行する。
本発明によれば、サーバ装置に対して処理の実行を要求するクライアント装置にその処理能力に応じた負荷を負担させることが可能になるとともに、各クライアント装置が負担した負荷に応じた優先順位でそのクライアント装置から実行を要求された処理をサーバ装置に実行させることが可能になる、といった効果を奏する。
また、本発明によれば、演算量の異なる複数の演算の各々を表すクライアントパズルが１つのメッセージで一括してクライアント装置へ送信されるため、クライアント装置とサーバ装置との間の通信トラヒックが増加することがない、といった効果も奏する。
以下、図面を参照しつつ本発明を実施するための最良の形態について説明する。
（Ａ：構成）
（Ａ−１：通信システムの構成）
図１は、本発明の１実施形態に係るサーバ装置２０とクライアント装置３０を有する通信システムの全体構成の一例を示す図である。図１に示すように、この通信システムは、例えばインターネットなどの通信網１０に接続されているサーバ装置２０とクライアント装置３０とを含んでいる。なお、図１では、１つのクライアント装置と１つのサーバ装置とが通信網１０に接続されている場合について例示されているが、多数のクライアント装置が通信網１０に接続されているとしても良く、多数のサーバ装置が通信網１０に接続されているとしても良い。また、以下では、クライアント装置とサーバ装置とを区別する必要がない場合には、「通信装置」と称する。
図１の通信網１０は、ルータやゲートウェイなどの中継装置を含んでおり、自網に接続されている通信装置から所定の通信プロトコル（本実施形態では、ＴＣＰ）にしたがってメッセージが送信されてきた場合に、そのメッセージを上記中継装置によってその宛先へ適宜ルーティングし送り届けるためのものである。本実施形態では、通信網１０がインターネットである場合について説明するが、ＬＡＮ（Local Area Network）であっても良く、また、移動パケット通信網や無線ＬＡＮのような無線通信網であっても良い。
図１のサーバ装置２０とクライアント装置３０とは、何れもパーソナルコンピュータ（以下、「ＰＣ」）であり、通信網１０を介してＴＣＰにしたがってコネクションを確立しデータを送受信する機能を備えている。具体的には、サーバ装置２０やクライアント装置３０は、図２に示すフォーマットを有するメッセージを生成し、そのヘッダ部の各領域に所定のデータを書き込んで送信し上記コネクションの確立およびそのコネクションを介したデータの送受信を行うものである。
図２は、ＴＣＰにしたがって送信されるメッセージのフォーマットを示す図である。なお、図２においては詳細な図示は省略したが、コントロールフラグ領域は、ＵＲＧ、ＡＣＫ、ＰＳＨ、ＲＳＴ、ＳＹＮおよびＦＩＮの６つのビットフラグを書き込むための領域である。サーバ装置２０やクライアント装置３０は、これら６つのビットフラグに“１”又は“０”を書き込んで送信することによって、上述した、ＳＹＮ、ＳＹＮ／ＡＣＫ、ＡＣＫおよびＲＳＴの各メッセージを送信することができる。例えば、クライアント装置３０からサーバ装置２０へ宛てて送信されるＳＹＮメッセージの各領域には、以下のデータが書き込まれている。
すなわち、図２の送信元ポート番号には、通信の開始を要求したアプリケーション（例えば、ブラウザなど）の通信ポート番号が書き込まれる。図２の送信先ポート番号には、その通信相手のアプリケーション（例えば、ＨＴＴＰＤ）の通信ポート番号が書き込まれる。図２のシーケンス番号には、上記通信を行う際にサーバ装置２０が用いるシーケンス番号の初期値が書き込まれる。そして、コントロールフラグについてはＳＹＮフラグにのみ“１”が書き込まれ、他のフラグには“０”が書き込まれる。なお、図２においては省略したが、サーバ装置２０とクライアント装置３０との間で送受信されるメッセージには、ＴＣＰよりも下層の通信プロトコル（例えば、Internet Protocol：以下、「ＩＰ」）によってそのメッセージの送信元や宛先である通信装置を表すデータ（例えば、各装置に割り当てられているＩＰアドレスなどの通信アドレス）が書き込まれたヘッダが更に付加されて送信される。つまり、クライアント装置３０からサーバ装置２０へ送信されるＳＹＮメッセージには、サーバ装置２０からクライアント装置３０へデータを送信する際に用いられる下りのコネクションのコネクション識別子が書き込まれている。
さて、図１のサーバ装置２０とクライアント装置３０とは、本発明に係る処理実行方法にしたがってコネクションの確立を行うために、前述した３ウェイハンドシェーク（図１０参照）やクライアントパズルプロトコル（図１１）、クライアントパズルオークション（図１２参照）の通信シーケンスとは異なる通信シーケンス（図３参照）でコネクションの確立を行う機能を備えている。以下、サーバ装置２０とクライアント装置３０とについて詳細に説明する。
（Ａ−２：サーバ装置２０の構成）
まず、図４を参照しつつサーバ装置２０の構成を説明する。図４に示されているように、サーバ装置２０は、制御部２００と、通信インターフェイス（以下、「ＩＦ」と表記する）部２１０と、記憶部２２０と、これら各構成要素間のデータ授受を仲介するバス２３０とを有している。
制御部２００は、例えばＣＰＵ（Central Processing Unit）であり、記憶部２２０に格納されているソフトウェアを読み出して実行することにより、サーバ装置２０の各部を制御することができる。通信ＩＦ部２１０は、通信網１０に接続されており、通信網１０を介して送くられてくるメッセージを受信し制御部２００へ引渡すとともに、制御部２００から引渡されたメッセージを通信網１０へ送り出すためのものである。
記憶部２２０は、図４に示されているように、揮発性記憶部２２０ａと不揮発性記憶部２２０ｂとを有している。揮発性記憶部２２０ａは、例えばＲＡＭであり、ソフトウェアにしたがって作動している制御部２００によってワークエリアとして利用される。一方、不揮発性記憶部２２０ｂは、例えば、ハードディスクであり、各種データおよび各種ソフトウェアが格納されている。
不揮発性記憶部２２０ｂに記憶されているデータの一例としては、クライアント装置３０からの要求に応じてそのクライアント装置３０へ送信するデータや、難易度の異なる複数のクライアントパズルの各々を生成する際に用いられる複数のデータ（以下、サーバシークレット）などが挙げられる。なお、本実施形態では、不揮発性記憶部２２０ｂに複数のサーバシークレットが格納されている場合について説明するが、クライアント装置３０からコネクションの確立を要求される度（すなわち、図３のＳＹＮメッセージ１００を受信する度）に、所定の擬似乱数生成アルゴリズム（例えば、Ｍ系列や混合合同法など）にしたがって生成した擬似乱数を上記サーバシークレットとして用いるようにしても勿論良く、また、係る擬似乱数に所定の値を加算してサーバシークレットを生成するとしても良い。
不揮発性記憶部２２０ｂに格納されているソフトウェアの一例としては、オペレーティングシステム（Operating System：以下、「ＯＳ」）を制御部２００に実現させるためのＯＳソフトウェアや、ＯＳの制御下で、図３に示す通信シーケンスでコネクションを確立する処理を制御部２００に実行させるためのサーバソフトウェアが挙げられる。以下、これらソフトウェアを実行することによって制御部２００に付与される機能について説明する。
サーバ装置２０の電源（図示省略）が投入されると、制御部２００は、まず、ＯＳソフトウェアを不揮発性記憶部２２０ｂから読み出し実行する。ＯＳソフトウェアにしたがって作動している制御部２００には、サーバ装置２０の各部を制御する機能や他のソフトウェアを不揮発性記憶部２２０ｂから読み出し実行する機能が付与される。例えば、ＯＳソフトウェアの実行を完了し、ＯＳを実現している状態の制御部２００は、即座に、上記サーバソフトウェアを不揮発性記憶部２２０ｂから読み出し実行する。
そして、上記サーバソフトウェアにしたがって作動している制御部２００には、下りのコネクションの確立を要求する旨のメッセージ（図３：ＳＹＮメッセージ１００）を通信ＩＦ部２１０を介してクライアント装置３０から受信した場合に、図５に示すフローチャートにしたがって、そのクライアント装置３０との間に下りのコネクションを確立するための３つの機能が付与される。
すなわち、上記サーバソフトウェアにしたがって作動している制御部２００に付与される第１の機能は、演算量の異なる複数の演算の何れかを実行しその演算結果を返信することを要求する旨のメッセージを通信ＩＦ部２１０を介してクライアント装置３０へ送信する処理（以下、送信処理）を行う機能が付与される。本実施形態では、上記メッセージとしてＳＹＮメッセージ１０９（図３参照）が用いられている。このＳＹＮメッセージ１０９には、クライアント装置３０との間の上りのコネクションを表すコネクション識別子が書き込まれており、その上りのコネクションの確立をクライアント装置３０へ要求する、といった役割も担っている。
より詳細に説明すると、制御部２００は、上記第１の機能によって、ＳＹＮメッセージ１００に書き込まれていたコネクション識別子と、そのＳＹＮメッセージ１００を受信した時刻（図示せぬ計時部により取得）を表す受信時刻データと、上記複数のサーバシークレットとに基づいて、難易度の異なる複数のクライアントパズルを生成し、それら複数のクライアントパズルの各々をＳＹＮメッセージ１０９の特定の領域（本実施形態では、図２のオプション領域）へ書き込んで送信する。なお、本実施形態では、制御部２００は、ＳＹＮメッセージ１０９を送信するとともに、上記複数のクライアントパズルの解とＳＹＮメッセージ１０９の宛先とを対応付けて揮発性記憶部２２０ａに書き込んでおく。これは、各クライアント装置３０から送信されてくる解が正しいか否かを判定するためである。また、本実施形態では、上記コネクション識別子、上記受信時刻データおよびサーバシークレットに基づいて、クライアントパズルを生成する場合について説明するが、これらのデータのうちの何れかのみを用いて上記クライアントパズルを生成するとしても良く、また、これらのデータに他のデータを加えてクライアントパズルを生成するとしても勿論良い。
ここで、上記複数のクライアントパズルを書き込む特定の領域として、図２のオプション領域を用いる理由は、以下の通りである。非特許文献１や非特許文献２に開示された従来の技術では、図２のシーケンス番号、緊急ポインタおよびウィンドウサイズの各領域にクライアントパズルを書き込むようにしていた。これら３つの領域は、その合計の領域サイズが６４ビット（すなわち、８バイト）しかないため、１つのメッセージに１つのクライアントパズルしか書き込むことができず、図１２に示すように複数回のメッセージの送信が必要になっていた。
これに対して、図２のオプション領域は、本来、ＳＡＣＫオプションやタイムスタンプオプションの利用の可否を通信相手に通知するためにデータ（以下、付加データ）を書き込むための領域であり、最大で４０バイトのデータを格納することができる。このように、本実施形態においては、図２のオプション領域にクライアントパズルを書き込むようにしたため、難易度の異なる複数のクライアントパズルを１つのＳＹＮメッセージ１０９に書き込んで送信すること、すなわち、演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを１つのメッセージで要求することが可能になる。
図５に戻って、上記サーバソフトウェアにしたがって作動している制御部２００に付与される第２の機能は、所定の処理の実行を要求する旨のメッセージであって、上記複数のクライアントパズルの何れかの解を表す演算結果データがオプション領域に書き込まれたメッセージを通信ＩＦ部２１０を介してクライアント装置３０から受信した場合に、その演算結果データの表す解が正しいか否かを判定する処理（以下、判定処理）を行う機能である。本実施形態では、上記メッセージとしてＳＹＮ／ＡＣＫメッセージ１１０（図３参照）が用いられている。このＳＹＮ／ＡＣＫメッセージ１１０は、上記ＳＹＮメッセージ１０９をクライアント装置３０が受信したことを表すとともに、上記下りのコネクションを確立する処理を実行することを要求する旨のメッセージである。
そして、上記サーバソフトウェアにしたがって作動している制御部２００に付与される第３の機能は、クライアント装置３０から返信されたクライアントパズルの解が正しい解であると判定した場合に、そのクライアント装置３０にて実行された演算の演算量を上記演算結果データに基づいて特定し、その特定結果に応じた優先順位で上記所定の処理（本実施形態では、下りのコネクションを確立する処理）を実行する機能である。
具体的には、制御部２００は、難易度の高いクライアントパズルを解いた（すなわち、演算量の多い演算を行った）クライアント装置からのコネクション確立要求ほど優先的に処理する。なお、本実施形態では、難易度の高いクライアントパズルを解いたクライアント装置から要求された処理を優先的に実行する場合について説明するが、逆に、難易度の低いクライアントパズルを解いたクライアント装置から要求された処理を優先的に実行するとしても勿論良い。要は、処理の実行を要求してきたクライアント装置にて行われた演算の演算量に応じた優先順位でその処理を実行する態様であれば、何れの態様であっても良い。
以上に説明したように、サーバ装置２０のハードウェア構成は一般的なコンピュータ装置のハードウェア構成と同一である。本実施形態に係るサーバ装置２０においては、不揮発性記憶部２２０ｂに格納されている各種ソフトウェアにしたがって制御部２００を作動させることによって、本発明に係るサーバ装置に特有な３つの機能が実現される。換言すれば、上記サーバソフトウェアは、制御部２００を、上記送信処理を行う送信手段と、上記判定処理を行う判定手段と、クライアント装置から実行を要求された処理をそのクライアント装置が行った演算の演算量に応じた優先順位で実行する処理実行手段として機能させるソフトウェアである。このように、本実施形態では、本発明に係るサーバ装置に特有な機能をソフトウェアモジュールで実現する場合について説明したが、これらソフトウェアモジュールと同一の機能を担っているハードウェアモジュールを用いてサーバ装置２０を構成しても良いことは勿論である。すなわち、上記送信手段、判定手段および処理実行手段の各々をハードウェアモジュールで実現し、これら各手段を図５に示すフローチャートにしたがって作動させるように構成して本発明に係るサーバ装置を実現するとしても勿論良い。
（Ａ−３：クライアント装置３０の構成）
次いで、図６を参照しつつクライアント装置３０の構成を説明する。図６に示されているように、クライアント装置３０のハードウェア構成がサーバ装置２０のハードウェア構成と異なっている点は、制御部２００、通信ＩＦ部２１０、記憶部２２０およびバス２３０に代えて、制御部３００、通信ＩＦ部３１０、記憶部３２０およびバス３３０を設けた点である。なお、記憶部３２０の内部には、揮発性記憶部２２０ａおよび不揮発性記憶部２２０ｂに代えて揮発性記憶部３２０ａおよび不揮発性記憶部３２０ｂが設けられている。つまり、クライアント装置３０も、サーバ装置２０と同様に一般的なコンピュータ装置と同一のハードウェア構成を有している。
さて、不揮発性記憶部３２０ｂには、クライアント装置３０に固有のデータおよびソフトウェアが格納されている。具体的には、不揮発性記憶部３２０ｂには上記複数のサーバシークレットに代えて、このクライアント装置３０の処理能力を表す閾値データが格納されている。詳細については後述するが、この閾値データは、サーバ装置２０から送信された複数のクライアントパズルのうち、その何れを解くかを選択する際に用いられるデータである。また、不揮発性記憶部３２０ｂには、上述したＯＳソフトウェアの他に、本発明に係るクライアント装置に特有な機能を制御部３００に実現させるためのクライアントソフトウェアが上記サーバソフトウェアに代えて格納されている。以下、これらのソフトウェアを実行することによって制御部３００に付与される機能について説明する。
クライアント装置３０の電源（図示省略）が投入されると、制御部３００は、まず、ＯＳソフトウェアを不揮発性記憶部３２０ｂから読み出し実行する。ＯＳソフトウェアにしたがって作動しＯＳを実現している状態の制御部３００には、クライアント装置３０の各部を制御する機能やユーザの指示に応じて他のソフトウェアを不揮発性記憶部３２０ｂから読み出し実行する機能が付与される。例えば、上記クライアントソフトウェアの実行を指示されると、制御部３００は、上記クライアントソフトウェアを不揮発性記憶部３２０ｂから読み出し、これを実行する。そして、ＯＳの制御下で、このクライアントソフトウェアにしたがって作動している制御部３００には、図７に示すフローチャートにしたがってサーバ装置２０とコネクションを確立する機能が付与される。以下、クライアントソフトウェアにしたがって作動している制御部３００に付与される３つの機能について説明する。
上記クライアントソフトウェアにしたがって作動している制御部３００に付与される第１の機能は、演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージ（本実施形態では、図３のＳＹＮメッセージ１０９）を受信した場合に、それら複数の演算の各々の演算量を特定し、実行するべき演算をその特定結果に応じて選択する処理（以下、選択処理）を行う機能である。具体的には、制御部３００は、サーバ装置２０から送信されたＳＹＮメッセージ１０９を受信した場合に、そのＳＹＮメッセージ１０９に書き込まれている複数のクライアントパズルと上記閾値データとに基づいて、これら複数のクライアントパズルのうちから、解くべきクライアントパズルを１つ選択する。
上記クライアントソフトウェアにしたがって作動している制御部３００に付与される第２の機能は、上記選択処理にて選択した演算を実行する機能である。すなわち、本実施形態では、制御部３００は、上記選択処理にて選択したクライアントパズルを解き、その解を取得する。そして、第３に、所定の処理の実行を要求する旨のメッセージに、上記演算結果（すなわち、上記クライアントパズルの解）を表す演算結果データを書き込んで送信する機能である。本実施形態では、制御部３００は、ＳＹＮメッセージ１０９を受信したことを表すとともに下りのコネクションの確立を要求する旨のＳＹＮ／ＡＣＫメッセージ１１０のオプション領域（図２参照）に上記演算結果データを書き込んで送信する。
以上に説明したように、本実施形態に係るクライアント装置３０においては、不揮発性記憶部３２０ｂに格納されている各種ソフトウェアにしたがって制御部３００を作動させることによって、本発明に係るクライアント装置に特有な３つの機能が実現される。換言すれば、上記クライアントソフトウェアは、制御部３００を、上記選択処理を行う選択手段と、その選択手段により選択された演算を行う演算実行手段と、所定の処理の実行を要求する旨のメッセージにその演算実行手段の演算結果を書き込んで返信する返信手段として機能させるソフトウェアである。このように、本実施形態では、本発明に係るクライアント装置に特有な機能をソフトウェアモジュールで実現する場合について説明したが、これらソフトウェアモジュールと同一の機能を担っているハードウェアモジュールを用いてクライアント装置を構成しても良いことは勿論である。すなわち、上述した選択手段、演算実行手段および返信手段の各々をハードウェアモジュールで実現し、これら各手段を図７に示すフローチャートにしたがって作動させるように構成して本発明に係るクライアント装置を実現するとしても勿論良い。
（Ｂ：動作）
次いで、サーバ装置２０とクライアント装置３０が行う動作のうち、その特徴を顕著に示す動作について図面を参照しつつ説明する。
クライアント装置３０の操作部（図示省略）を介してユーザが所定の操作（サーバ装置２０のＵＲＬの入力など）を行うと、クライアント装置３０の制御部３００は、図３に示すようにＳＹＮメッセージ１００をサーバ装置２０へ送信する。以下、このＳＹＮメッセージ１００を受信した場合に、サーバ装置２０の制御部２００が行う動作について図５を参照しつつ説明する。
制御部２００は、図５に示すように、通信ＩＦ部２１０を介してメッセージを受信（ステップＳＡ１）すると、そのメッセージがＳＹＮメッセージであるか、それとも、ＳＹＮ／ＡＣＫメッセージであるか、をそのメッセージの内容に基づいて判定する（ステップＳＡ２）。より詳細に説明すると、制御部２００は、そのメッセージのコントロールフラグ（図２参照）にてＳＹＮフラグのみに“１”がセットされている場合には、そのメッセージをＳＹＮメッセージである判定し、ＳＹＮフラグの他にＡＣＫフラグにも“１”がセットされている場合には、ＳＹＮ／ＡＣＫメッセージと判定する。そして、制御部２００は、ステップＳＡ２にてＳＹＮメッセージであると判定した場合には、図５のステップＳＡ３およびステップＳＡ４の処理を行い、逆に、ステップＳＡ２にてＳＹＮ／ＡＣＫメッセージであると判定した場合には、図５のステップＳＡ５以降の処理を行う。
本動作例では、クライアント装置３０からＳＹＮメッセージ１００が送信されてくるのであるから、上記ステップＳＡ１で受信したメッセージはＳＹＮメッセージであると上記ステップＳＡ２にて判定され、上記ステップＳＡ３の処理が行われる。このステップＳＡ３においては、制御部２００は、難易度の異なる複数のクライアントパズルを生成する。
図８は、制御部２００が生成するクライアントパズルを説明するための図である。上記ステップＳＡ３において、制御部２００は、まず、ステップＳＡ１にて受信したＳＹＮメッセージ１００に書き込まれているコネクション識別子と、そのＳＹＮメッセージを受信した時刻を表す受信時刻データと、不揮発性記憶部２２０ｂに格納されている複数のサーバシークレットのうちの何れか１つとを所定のハッシュ関数Ｈへ入力し、Ｌビットのハッシュ値Ｘを得る。次いで、制御部２００は、上記ハッシュ値Ｘを再度ハッシュ関数Ｈへ入力し、同じくＬビットのハッシュ値Ｙを得る。なお、本実施形態では、ハッシュ値Ｘとハッシュ値Ｙとが同一のビット長を有している場合について説明するが両者が異なるビット長を有しているとしても勿論良い。
そして、制御部２００は、上記ハッシュ値Ｘの先頭からｋビット（但し、１≦ｋ＜Ｌ）の部分（以下、Ｘ＜１、ｋ＞と表記する）と上記ハッシュ値Ｙとの組を１つのクライアントパズルとして生成する。このクライアントパズルは、上記所定のハッシュ関数（本実施形態では、ハッシュ関数Ｈ）を用いて上記ハッシュ値Ｙを得ることができる入力データであって、その先頭からｋビット目までは上記Ｘ＜１、ｋ＞に一致する入力データを求める演算を表している。詳細については後述するが、上記クライアントパズルは、Ｘ＜１、ｋ＞のビット長が長い（すなわち、ｋがＬに近い）ほどそのクライアントパズルの解（すなわち、Ｘ＜ｋ＋１、Ｌ＞）を算出するための演算量は少なくなる。このため、制御部２００は、上記ｋの値を適宜変えて複数のクライアントパズルを生成することによって、難易度の異なる複数のクライアントパズルを生成することができる。また、上記複数のクライアントパズルの各々を生成する際には、各クライアントパズル毎に異なるサーバシークレットを用いるようにしても勿論良い。
図５に戻って、制御部２００は、クライアント装置３０に対して上りのコネクションの確立を要求する旨のＳＹＮメッセージ１０９を生成し、上記複数のクライアントパズルの解（本実施形態では、Ｘ＜ｋ＋１、Ｌ＞）とＳＹＮメッセージ１０９の宛先とを対応付けて揮発性記憶部２２０ａへ書き込む一方、ＳＹＮメッセージ１０９のオプション領域（図２参照）に上記複数のクライアントパズルを書き込んで送信する（ステップＳＡ４）。その結果、図３に示すように、サーバ装置２０からクライアント装置３０へＳＹＮメッセージ１０９が送信されることになる。以下、このＳＹＮメッセージ１０９を受信した場合に、クライアント装置３０の制御部３００が行う動作について図７を参照しつつ説明する。
制御部３００は、ＳＹＮメッセージ１０９を受信（ステップＳＢ１）すると、そのＳＹＮメッセージ１０９から、上記複数のクライアントパズルを読み出し、各クライアントパズルの表す演算の演算量と不揮発性記憶部３２０ｂに格納されている閾値データとに基づいて、解くべきクライアントパズル（すなわち、実行するべき演算）を選択する（ステップＳＢ２）。本実施形態では、上記複数のクライアントパズルに含まれているＸ＜１、ｋ＞およびＹのうち、Ｘ＜１、ｋ＞のデータ長（すなわち、ｋ）がそのクライアントパズルの難易度を表している。本実施形態では、制御部３００は、上記閾値データの表す値を超えないビット長を有するＸ＜１、ｋ＞のうち、最長のビット長を有するＸ＜１、ｋ＞を含んでいるクライアントパズルを解くべきクライアントパズルとして特定する。
次いで、制御部３００は、ステップＳＢ２にて選択した演算を実行し、その演算結果（すなわち、ステップＳＢ２にて選択したクライアントパズルの解）を取得する（ステップＳＢ３）。具体的には、制御部３００は、以下のようにしてクライアントパズルの解を取得する。まず、制御部３００は、上記ステップＳＢ２にて選択したクライアントパズルに含まれているＸ＜１、ｋ＞に、全てのビットをオフ（すなわち、“０”）にした（Ｌ−ｋ）ビットのビット列Ｗを付加して上記所定のハッシュ関数Ｈへ入力し、その出力ハッシュ値が上記クライアントパズルのＹと一致するか否かを判定する。そして、両者が一致しない場合には、制御部３００は、上記ビット列Ｗの各ビットを１ビットずつオン（すなわち、“１”）にして再度ハッシュ関数Ｈへ入力し、その出力ハッシュ値と上記Ｙとが一致するまでこの処理を繰り返し実行する。そして、制御部３００は、両者が一致した時点のビット列Ｗを上記クライアントパズルの解として取得する。
そして、制御部３００は、ＳＹＮメッセージ１０９を受信したことを表すとともに、上記下りのコネクションの確立を要求する旨のＳＹＮ／ＡＣＫメッセージ１１０を生成し、そのオプション領域に上記演算結果を表す演算結果データ（本実施形態では、上記Ｗ）を書き込んでサーバ装置２０へ送信する（ステップＳＢ４）。その結果、図５に示すように、上記ＳＹＮ／ＡＣＫメッセージ１１０がクライアント装置３０からサーバ装置２０へ送信されることになる。以下、図５に戻って、ＳＹＮ／ＡＣＫメッセージ１１０を受信した場合に、制御部２００が行う動作について説明する。
制御部２００、ＳＹＮ／ＡＣＫメッセージ１１０を通信ＩＦ部２１０を介して受信（ステップＳＡ１）すると、上述したようにステップＳＡ５以降の処理を行う。より詳細に説明すると、制御部２００は、まず、クライアント装置３０から受信したＳＹＮ／ＡＣＫメッセージ１１０のオプション領域に書き込まれている演算結果データの表す演算結果が正しいかい否かを判定する（ステップＳＡ５）。具体的には、制御部２００は、ＳＹＮ／ＡＣＫメッセージ１１０の送信元（すなわち、本実施形態ではＳＹＮメッセージ１０９）の宛先に対応づけて揮発性記憶部２２０ａに格納されているＸ＜ｋ＋１、Ｌ＞の何れかと上記演算結果データＷとが一致するか否かを判定し、一致するＸ＜ｋ＋１、Ｌ＞があった場合に正しい演算結果であると判定する。
そして、制御部２００は、ステップＳＡ５の判定結果が“Ｎｏ”である場合には、クライアント装置３０からの要求を拒絶することを表すメッセージ（例えば、ＲＳＴメッセージ）を送信し（ステップＳＡ８）、本動作を終了する。逆に、ステップＳＡ５の判定結果が“Ｙｅｓ”である場合には、制御部３００は、上記演算結果データに基づいて、クライアント装置３０にて実行された演算の演算量を特定する（ステップＳＡ６）。本実施形態では、制御部２００は、上記演算結果データＷのビット長が長い程、演算量が多いと特定する。
そして、制御部２００は、ステップＳＡ６にて特定した演算量が多い順に、ステップＳＡ１にて受信したＳＹＮ／ＡＣＫメッセージに書き込まれているコネクション識別子に基づいて、上記下りのコネクションを確立する（ステップＳＡ７）。その後、制御部２００は、上記ステップＳＡ７が完了した後に、上記ＳＹＮ／ＡＣＫメッセージを受信し下りのコネクションを確立したことを表すＡＣＫ１２０を送信して本動作を終了する。その結果、図５に示すように、サーバ装置２０からクライアント装置３０へＡＣＫ１２０が送信されることになる。
以降、制御部３００は、ＡＣＫ１２０を受信すると、そのＡＣＫ１２０から上りのコネクションを表すコネクション識別子を読み出し、そのコネクション識別子に基づいて上記上りのコネクションを確立する。これにより、サーバ装置２０とクライアント装置３０との間に下りおよび上りのコネクションが確立されることになる。
以上、本実施形態によれば、クライアント装置３０にて実行された演算の演算量に応じた優先順位でそのクライアント装置との間にコネクションの確立が行われる。このため、以下の効果を奏する。本実施形態に係るサーバ装置２０に対して多量のＳＹＮメッセージを送信しＳＹＮＦｌｏｏｄ攻撃を行うクライアント装置は、送信したＳＹＮメッセージの数分だけクライアントパズルを解かねばならい。このため、上記クライアント装置は、クライアントパズルを解くことに多量のリソースを割り当てねばならず、サーバ装置２０から送信されてくるＳＹＮメッセージ１０９に対するＳＹＮ／ＡＣＫメッセージ１１０を短時間で返信することが困難になる。ＳＹＮ／ＡＣＫメッセージ１１０が送信されてこなければ、サーバ装置２０で下りのコネクションの確立が行われることはないので、上記ＳＹＮＦｌｏｏｄ攻撃を防御することが可能になる。
なお、上記クライアント装置が、実際にはクライアントパズルを解かずに、適当な値をクライアントパズルの解として書き込んだＳＹＮ／ＡＣＫメッセージを送信しても、そのような値がクライアントパズルの解と偶然に一致する確率は極めて低く、下りのコネクションの確立をサーバ装置２０に拒絶されてしまう。また、上記サーバ装置２０から送信された複数のクライアントパズルのうち、常にその難易度が最も低いものを解いてＳＹＮ／ＡＣＫメッセージを送信するようにしても、そのようなコネクション確立要求は常に低い優先順位で処理されるため、その確立が常に行われるとは限らない。このように、本実施形態によれば、ＳＹＮＦｌｏｏｄ攻撃を確実に防御することが可能になるといった効果を奏する。
また、本発明によれば、難易度の異なる複数のクライアントパズルが１つのメッセージで一括してクライアント装置３０へ送信されるため、クライアント装置３０とサーバ装置２０との間の通信トラヒックが増加することを回避することができる、といった効果も奏する。
（Ｃ：変形例）
以上、本発明を実施するための最良の形態について説明した。しかしながら、以下に述べるような変形を加えても良いことは勿論である。
（Ｃ−１：変形例１）
上述した本実施形態では、サーバ装置２０とクライアント装置３０とが、ＴＣＰにしたがって通信するＰＣである場合について説明したが、ＴＣＰにしたがって通信するＰＤＡや携帯電話機であっても良いことは勿論である。要は、ＴＣＰにしたがって通信する機能を有するコンピュータ装置であれば、何れであっても良い。また、上述した実施形態では、サーバ装置２０とクライアント装置３０とがＴＣＰにしたしたがって通信する場合について説明するが、他の通信プロトコルにしたがって通信するとしても良いことは勿論である。
（Ｃ−２：変形例２）
上述した実施形態では、ＳＹＮメッセージ１０９に書き込んだ各クライアントパズルの解をそのＳＹＮメッセージ１０９の宛先に対応付けてサーバ装置２０に記憶させておく場合について説明した。しかしながら、以下に説明するような態様のクライアントパズルを用いる場合には、その解をサーバ装置２０に記憶させておく必要はない。
図９は、本変形例に係るクライアントパズルを説明するための図である。図９に示されているように、このクライアントパズルは、まず、サーバシークレット、受信時刻データおよび送信元アドレス（すなわち、クライアント装置３０のＩＰアドレス）を所定のハッシュ関数Ｈへ入力して得られるハッシュ値Ｎｓと、送信先アドレス（すなわち、サーバ装置２０のＩＰアドレス）や送信元および送信先のポート番号と、シーケンス番号の初期値と、あるパラメータＺとを上記ハッシュ関数Ｈへ入力して、先頭から所定ビット長部分が全て０であるハッシュ値を算出することを表している。この場合、クライアント装置３０へ送信するべきクライアントパズルは、上記ハッシュ値Ｎｓと、上記所定ビット長を表すデータとの組であり、そのクライアントパズルの解は上記パラメータＺである。このぅライアントパズルにおいては、上記所定のビット長がそのクライアントパズルの難易度を表しており、そのビット長が長い程、高い難易度を表している。
図９に示すクライアントパズルを用いる場合には、サーバ装置２０は、上記ハッシュ値Ｎｓと上記所定のビット長を表すデータとをクライアントパズルとしてクライアント装置３０へ送信すれば良く、そのクライアント装置３０から上記クライアントパズルの解Ｚが送信されてきた時点で、図９に示す演算を実行し、その解が正しいか否かを判定すれば良い。したがって、図９に示すクライアントパズルを用いる場合には、サーバ装置２０は、図９に示す演算を予め実行してその解を算出しておく必要はない。要は、各クライアント装置３０へ送信したハッシュ値Ｎｓと上記所定のビット長を表すデータとをそのクライアント装置３０の通信アドレスに対応付けて記憶しておけば、そのクライアント装置３０から返信されてきた解が正しいか否かを判定することができる。このような態様にあっては、ＳＹＮメッセージ１０９を送信することに先立って、クライアントパズルを生成する演算を行う必要がないため、そのＳＹＮメッセージ１０９を速やかにクライアント装置３０へ返信することができるといった効果も奏する。
また、クライアントパズルが表す演算はハッシュ関数を用いた演算に限定されるものではない。例えば、ｎ（ｎ≧３）次方程式や多元１次の連立方程式などの代数方程式の解を求める演算であっても良い。このような場合には、クライアントパズルとして、上記ｎ次方程式や連立方程式を表すデータ（例えば、その代数方程式が３次方程式ａＸ3＋ｂＸ2＋ｃＸ＋ｄ＝０であれば、各係数ａ、ｂ、ｃおよびｄ）を用いれば良い。このような場合には、代数方程式を表す係数の個数がその演算の演算量を表している。
（Ｃ−３：変形例３）
上述した実施形態では、サーバ装置から送信された複数のクライアントパズルのうちの何れか１つをクライアント装置に選択させ解かせる場合について説明したが、２つ以上のクライアントパズルを解かせるようにしても勿論良い。そして、２つ以上のクライアントパズルを解いた場合には、それらの解を全てＳＹＮ／ＡＣＫメッセージ１１０に書き込んで送信するとしても勿論良い。そして、サーバ装置においては、ＳＹＮ／ＡＣＫメッセージ１１０に複数の解が書き込まれていた場合には、そのうちの何れか１つ（例えば、難易度が最も高い或いは低いクライアントパズルの解）に基づいて、クライアント装置が実行した演算の演算量を特定するとしても良く、また、それら複数の解に基づいて、クライアント装置が実行した演算の演算量を特定するとしても勿論良い。例えば、複数の解に基づいて上記演算量を特定する態様の一例としては、各解に対応するクライアントパズルの演算量の加算値に基づいて、クライアント装置が行った演算の演算量を特定する態様が挙げられる。
（Ｃ−４：変形例４）
上述した実施形態では、クライアント装置３０からコネクションの確立を要求された場合に、そのクライアント装置３０が解いたクライアントパズルの難易度に応じた優先順位でそのコネクションを確立する場合について説明した。しかしながら、クライアント装置からの要求に応じてサーバ装置が実行する処理は、コネクション確立処理に限定されるものではなく、所定のアルゴリズムにしたがってデータを生成したり、そのデータを記憶（例えば、データベースなどへの格納）したり、そのデータを所定の宛先へ転送したりする処理であっても良い。また、クライアント装置からの要求に応じて所定のデータをそのクライアント装置へ返信する処理であっても良い。
ところで、上述の如く、所定のアルゴリズムにしたがってデータを生成する処理などを行うサーバ装置に本発明を適用した場合には、あるクライアント装置から実行を要求された処理を行っている途中に、そのクライアント装置より演算量の多い演算を行ったクライアント装置から他の処理の実行を要求される場合が起こり得る。このような場合には、システムコール（例えば、Ｕｎｉｘ（登録商標）におけるｎｉｃｅシステムコール）などによって実行中の処理の優先順位を引き下げ、上記他の処理が優先的に実行されるようにすれば良い。また、上述の如く、コネクションの確立処理以外に本発明を適用する場合には、ＳＹＮメッセージ１０９に代えて、ＲＳＴメッセージなどに複数のクライアントパズルを書き込んで送信するようにすれば良い。このように変形することによって、ＳＹＮＦｌｏｏｄ攻撃に対する防御だけでなく、クライアント装置からの要求に応じて任意の処理を行うサーバ装置に、そのクライアント装置が負担した負荷に応じた優先順位でその処理を実行させることが可能になるといった効果をする。
（Ｃ−５：変形例５）
上述した実施形態では、クライアント装置３０からコネクションの確立を要求する旨のＳＹＮメッセージが送信されてきたことを契機として、難易度の異なる複数のクライアントパズルを一括してそのクライアント装置へ送信する場合について説明した。しかしながら、複数のクライアント装置との間で既にコネクションを確立し、各クライアント装置からの処理要求を待ち受けているサーバ装置に、複数のクライアントパズルを各クライアント装置へ送信させ、そのクライアントパズルの解とともに上記処理要求が送信されてきた場合にのみ、その処理を実行させるようにしても良い。このようにすると、クライアント装置がサーバ装置へ処理要求を行う頻度をそのサーバ装置に制御させることを可能になり、輻輳の発生を事前に回避することが可能になるといった効果を奏する。
これに対して、非特許文献１や非特許文献２に開示された技術では、ＴＣＰヘッダのシーケンス番号や緊急ポインタ、およびウィンドウサイズにクライアントパズルを書き込むようにしていたため、このようなことを実現することはできなかった。その理由は、上記シーケンス番号や緊急ポインタには、サーバ装置とクライアント装置とが確立したコネクションを介してデータの送受信を行う度毎に更新されるデータが書き込まれるため、係る領域をクライアントパズルの書き込みに流用することはできないからである。これに対して、ＴＣＰオプションフィールドは、コネクションの確立を行う際にのみ、前述した付加データが書き込まれるため、コネクションの確立が完了した後には、係る領域をクライアントパズルの書き込みに流用したとしても何ら問題が発生しないからである。
（Ｃ−６：変形例６）
上述した実施形態では、本発明に係るサーバ装置に特有な機能を制御部に実現させるためのソフトウェアを不揮発性記憶部２２０ｂに予め格納させておく場合について説明した。しかしながら、例えば、ＣＤ−ＲＯＭ（Compact Disk Read Only Memory）やＤＶＤ（Digital Versatile Disk）などのコンピュータ装置が読み取り可能な記録媒体に、上記ソフトウェアを記録しておき、このような記録媒体を用いて一般的なコンピュータ装置に上記ソフトウェアをインストールするとしても良いことは勿論である。このようにすると、既存の通信システムに含まれているサーバ装置を、本発明に係るサーバ装置として機能させることが可能になるといった効果を奏する。同様に、本発明に係るクライアント装置に特有な機能を制御部に実現させるためのソフトウェアを上述の如き記録媒体に記録しておき、この記録媒体を用いて一般的なコンピュータ装置に上記ソフトウェアをインストールするとしても勿論良い。
本発明の１実施形態に係るサーバ装置２０およびクライアント装置３０を有する通信システムの一例を示す図である。 ＴＣＰにしたがって送受信されるメッセージのフォーマットを示す図である。 同クライアント装置３０とサーバ装置２０とがコネクションを確立する際に行う通信の通信シーケンスの一例を示す図である。 同サーバ装置２０のハードウェア構成の一例を示す図である。 同サーバ装置２０の制御部２００がサーバソフトウェアにしたがって行うコネクション確立処理の流れを示すフローチャートである。 同クライアント装置３０のハードウェア構成の一例を示す図である。 同クライアント装置３０の制御部３００がクライアントソフトウェアにしたがって行うコネクション確立処理の流れを示すフローチャートである。 同サーバ装置２０が生成するクライアントパズルを説明するための図である。 変形例２に係るクライアントパズルを説明するための図である。 従来の３ウェイハンドシェークを説明するための図である。 非特許文献１に開示されたクライアントパズルプロトコルを説明するための図である。 非特許文献２に開示されたクライアントパズルオークションを説明するための図である。
符号の説明
１０…通信網、２０、４０Ａ、４０Ｂ、４０Ｃ…サーバ装置、３０、５０Ａ、５０Ｂ、５０Ｃ…クライアント装置、２００、３００…制御部、２１０、３１０…通信ＩＦ部、２２０、３２０…記憶部、２２０ａ、３２０ａ…揮発性記憶部、２２０ｂ、３２０ｂ…不揮発性記憶部、２３０、３３０…バス。

Claims (9)

  1. 演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージであって、該複数の演算の各々を表すデータであるクライアントパズルを複数まとめて書き込んだ第１のメッセージを通信相手の各クライアント装置へ送信する送信手段と、
    所定の処理の実行を要求するとともに前記複数の演算の何れかの演算結果が書き込まれた第２のメッセージが前記各クライアント装置から送信されてきた場合に、該演算結果が正しい演算結果であるか否かを判定する判定手段と、
    前記判定手段により正しい演算結果であると判定された場合に、前記各クライアント装置にて実行された演算の演算量をその演算結果に基づいて特定し、特定された演算量が多い順に、または、特定された演算量が少ない順に、前記各クライアント装置に対応する前記所定の処理を実行する処理実行手段と
    を有するサーバ装置。
  2. 前記送信手段は、
    前記所定の処理の実行を要求する旨のみの第３のメッセージが送信されてきたことを契機として、前記第１のメッセージを該第３のメッセージの送信元であるクライアント装置へ送信する
    ことを特徴とする請求項１に記載のサーバ装置。
  3. 前記第１のメッセージには、その送信元とその宛先とが通信を開始するときにだけデータが書き込まれる特定の領域であって、その送信元の通信態様の詳細をその宛先へ通知するための付加データが書き込まれる特定の領域が設けられており、
    前記送信手段は、
    前記付加データに代えて前記クライアントパズルを前記特定の領域に書き込んで前記第１のメッセージを送信する
    ことを特徴とする請求項１に記載のサーバ装置。
  4. 前記送信手段は、ＴＣＰ(Transmission Control Protocol)にしたがって前記第１のメッセージを送信し、
    前記特定の領域は、オプション領域である
    ことを特徴とする請求項３に記載のサーバ装置。
  5. 通信手段と、
    制御手段と、
    を備え、
    前記制御手段は、
    演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージであって、該複数の演算の各々を表すデータであるクライアントパズルを複数まとめて書き込んだ第１のメッセージを前記通信手段によって通信相手の各クライアント装置へ送信する第１の処理と、
    所定の処理の実行を要求するとともに前記複数の演算の何れかの演算結果が書き込まれた第２のメッセージを前記通信手段によって前記各クライアント装置から受信した場合に、該演算結果が正しいか否かを判定する第２の処理と、
    前記第２の処理にて正しい演算結果であると判定された場合に、前記各クライアント装置にて実行された演算の演算量をその演算結果に基づいて特定し、特定された演算量が多い順に、または、特定された演算量が少ない順に、前記各クライアント装置に対応する前記所定の処理を実行する第３の処理と、を行う
    ことを特徴とするサーバ装置。
  6. 演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージであって、該複数の演算の各々を表すデータであるクライアントパズルが複数まとめて書き込まれた第１のメッセージが通信相手のサーバ装置から送信されてきた場合に、該複数の演算の各々の演算量を該クライアントパズルに基づいて特定し、特定された演算量と予め定められた閾値とに基づいて、実行するべき演算を選択する選択手段と、
    前記選択手段によって選択された演算を実行する演算実行手段と、
    所定の処理の実行を前記サーバ装置へ要求する場合に、該所定の処理の実行の要求と前記演算実行手段による演算結果とを書き込んだ第２のメッセージを前記サーバ装置へ送信する送信手段と
    を有するクライアント装置。
  7. 前記第１のメッセージを受信していない状況下で前記所定の処理の実行を前記サーバ装置へ要求する場合には、前記送信手段は、その旨のみを書き込んだ第３のメッセージを前記サーバ装置へ送信する
    ことを特徴とする請求項６に記載のクライアント装置。
  8. 通信手段と、
    制御手段と、
    を備え、
    前記制御手段は、
    演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージであって、該複数の演算の各々を表すデータであるクライアントパズルが複数まとめて書き込まれた第１のメッセージを前記通信手段によって通信相手のサーバ装置から受信した場合に、該複数の演算の各々の演算量を該クライアントパズルに基づいて特定し、特定された演算量と予め定められた閾値とに基づいて、実行するべき演算を選択する第１の処理と、
    前記第１の処理にて選択した演算を実行する第２の処理と、
    所定の処理の実行を前記サーバ装置へ要求する場合に、該所定の処理の実行の要求と前記第２の処理にて得られた演算結果とを書き込んだ第２のメッセージを前記通信手段によって前記サーバ装置へ送信する第３の処理と、を行う
    ことを特徴とするクライアント装置。
  9. サーバ装置が、演算量の異なる複数の演算の何れかの実行とその演算結果の返信とを要求する旨のメッセージであって、該複数の演算の各々を表すデータであるクライアントパズルを複数まとめて書き込んだ第１のメッセージを通信相手の各クライアント装置へ送信する第１のステップと、
    前記第１のメッセージを受信したクライアント装置が、前記複数の演算の各々についてその演算量を前記クライアントパズルに基づいて特定し、特定された演算量と予め定められた閾値とに基づいて、実行するべき演算を選択して実行し、その演算結果と所定の処理の実行を要求する旨とを書き込んだ第２のメッセージを前記サーバ装置へ送信する第２のステップと、
    前記第２のメッセージを受信したサーバ装置が、該第２のメッセージに書き込まれている演算結果が正しい演算結果であるか否かを判定し、正しい演算結果であると判定された場合に、該第２のメッセージの送信元であるクライアント装置にて実行された演算の演算量をその演算結果に基づいて特定し、特定された演算量が多い順に、または、特定された演算量が少ない順に、前記各クライアントに対応する前記所定の処理を実行する第３のステップと
    を有することを特徴とする処理実行方法。
JP2004245433A 2004-08-25 2004-08-25 サーバ装置、クライアント装置および処理実行方法 Expired - Fee Related JP4555025B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2004245433A JP4555025B2 (ja) 2004-08-25 2004-08-25 サーバ装置、クライアント装置および処理実行方法
CN200510091656.XA CN1741530B (zh) 2004-08-25 2005-08-11 服务器设备、客户机设备以及处理执行方法
EP05018258A EP1635530B1 (en) 2004-08-25 2005-08-23 Apparatus and method for mitigating DoS attacks in a service discovery system
DE602005005753T DE602005005753T2 (de) 2004-08-25 2005-08-23 Vorrichtung und Verfahren zur Entschärfung von DoS-Attacken in einem Diensterkennungssystem
US11/210,719 US8001188B2 (en) 2004-08-25 2005-08-24 Server device, client device, and process execution method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2004245433A JP4555025B2 (ja) 2004-08-25 2004-08-25 サーバ装置、クライアント装置および処理実行方法

Publications (2)

Publication Number Publication Date
JP2006065492A JP2006065492A (ja) 2006-03-09
JP4555025B2 true JP4555025B2 (ja) 2010-09-29

Family

ID=35559486

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2004245433A Expired - Fee Related JP4555025B2 (ja) 2004-08-25 2004-08-25 サーバ装置、クライアント装置および処理実行方法

Country Status (5)

Country Link
US (1) US8001188B2 (ja)
EP (1) EP1635530B1 (ja)
JP (1) JP4555025B2 (ja)
CN (1) CN1741530B (ja)
DE (1) DE602005005753T2 (ja)

Families Citing this family (53)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7675854B2 (en) * 2006-02-21 2010-03-09 A10 Networks, Inc. System and method for an adaptive TCP SYN cookie with time validation
US8312507B2 (en) 2006-10-17 2012-11-13 A10 Networks, Inc. System and method to apply network traffic policy to an application session
US8584199B1 (en) 2006-10-17 2013-11-12 A10 Networks, Inc. System and method to apply a packet routing policy to an application session
US8412952B1 (en) * 2009-05-06 2013-04-02 Symantec Corporation Systems and methods for authenticating requests from a client running trialware through a proof of work protocol
US9960967B2 (en) 2009-10-21 2018-05-01 A10 Networks, Inc. Determining an application delivery server based on geo-location information
CN102281258B (zh) * 2010-06-09 2016-08-03 中兴通讯股份有限公司 基于密钥管理协议的防止拒绝服务攻击的方法和装置
US9215275B2 (en) 2010-09-30 2015-12-15 A10 Networks, Inc. System and method to balance servers based on server load status
US9609052B2 (en) 2010-12-02 2017-03-28 A10 Networks, Inc. Distributing application traffic to servers based on dynamic service response time
US8897154B2 (en) 2011-10-24 2014-11-25 A10 Networks, Inc. Combining stateless and stateful server load balancing
US9386088B2 (en) 2011-11-29 2016-07-05 A10 Networks, Inc. Accelerating service processing using fast path TCP
US9094364B2 (en) 2011-12-23 2015-07-28 A10 Networks, Inc. Methods to manage services over a service gateway
US10044582B2 (en) 2012-01-28 2018-08-07 A10 Networks, Inc. Generating secure name records
US9118618B2 (en) 2012-03-29 2015-08-25 A10 Networks, Inc. Hardware-based packet editor
US8887280B1 (en) * 2012-05-21 2014-11-11 Amazon Technologies, Inc. Distributed denial-of-service defense mechanism
US8782221B2 (en) 2012-07-05 2014-07-15 A10 Networks, Inc. Method to allocate buffer for TCP proxy session based on dynamic network conditions
US8856924B2 (en) 2012-08-07 2014-10-07 Cloudflare, Inc. Mitigating a denial-of-service attack in a cloud-based proxy service
US10021174B2 (en) 2012-09-25 2018-07-10 A10 Networks, Inc. Distributing service sessions
US10002141B2 (en) 2012-09-25 2018-06-19 A10 Networks, Inc. Distributed database in software driven networks
US9106561B2 (en) 2012-12-06 2015-08-11 A10 Networks, Inc. Configuration of a virtual service network
EP2901308B1 (en) 2012-09-25 2021-11-03 A10 Networks, Inc. Load distribution in data networks
US9843484B2 (en) 2012-09-25 2017-12-12 A10 Networks, Inc. Graceful scaling in software driven networks
US9338225B2 (en) 2012-12-06 2016-05-10 A10 Networks, Inc. Forwarding policies on a virtual service network
US9531846B2 (en) 2013-01-23 2016-12-27 A10 Networks, Inc. Reducing buffer usage for TCP proxy session based on delayed acknowledgement
US9906552B1 (en) * 2013-02-13 2018-02-27 Amazon Technologies, Inc. Managing system load
US9900252B2 (en) 2013-03-08 2018-02-20 A10 Networks, Inc. Application delivery controller and global server load balancer
WO2014144837A1 (en) 2013-03-15 2014-09-18 A10 Networks, Inc. Processing data packets using a policy based network path
EP2974118B1 (en) * 2013-03-15 2019-11-27 Robert Bosch GmbH System and method for mitigation of denial of service attacks in networked computing systems
US10027761B2 (en) 2013-05-03 2018-07-17 A10 Networks, Inc. Facilitating a secure 3 party network session by a network device
WO2014179753A2 (en) * 2013-05-03 2014-11-06 A10 Networks, Inc. Facilitating secure network traffic by an application delivery controller
US9392018B2 (en) * 2013-09-30 2016-07-12 Juniper Networks, Inc Limiting the efficacy of a denial of service attack by increasing client resource demands
US10230770B2 (en) 2013-12-02 2019-03-12 A10 Networks, Inc. Network proxy layer for policy-based application proxies
US8806011B1 (en) 2014-01-06 2014-08-12 Cloudflare, Inc. Transparent bridging of transmission control protocol (TCP) connections
US8984635B1 (en) * 2014-01-06 2015-03-17 Cloudflare, Inc. Authenticating the identity of initiators of TCP connections
DE102014205331A1 (de) * 2014-03-21 2015-09-24 Siemens Aktiengesellschaft Sender zum Senden einer Nachricht und Empfänger zum Empfangen einer Nachricht
US9942152B2 (en) 2014-03-25 2018-04-10 A10 Networks, Inc. Forwarding data packets using a service-based forwarding policy
US10020979B1 (en) 2014-03-25 2018-07-10 A10 Networks, Inc. Allocating resources in multi-core computing environments
US9942162B2 (en) 2014-03-31 2018-04-10 A10 Networks, Inc. Active application response delay time
US9806943B2 (en) 2014-04-24 2017-10-31 A10 Networks, Inc. Enabling planned upgrade/downgrade of network devices without impacting network sessions
US9906422B2 (en) 2014-05-16 2018-02-27 A10 Networks, Inc. Distributed system to determine a server's health
US9986061B2 (en) 2014-06-03 2018-05-29 A10 Networks, Inc. Programming a data network device using user defined scripts
US9992229B2 (en) 2014-06-03 2018-06-05 A10 Networks, Inc. Programming a data network device using user defined scripts with licenses
US10129122B2 (en) 2014-06-03 2018-11-13 A10 Networks, Inc. User defined objects for network devices
CN105634982B (zh) * 2014-11-05 2019-01-11 大唐软件技术股份有限公司 一种测速服务器的排队方法、测速服务器和客户端
US10268467B2 (en) 2014-11-11 2019-04-23 A10 Networks, Inc. Policy-driven management of application traffic for providing services to cloud-based applications
CN107534642B (zh) * 2015-04-16 2020-11-10 瑞典爱立信有限公司 用于对用在客户端和服务器之间的通信中的计算难题进行建立的方法和设备
US10284371B2 (en) 2015-05-19 2019-05-07 Workday, Inc. Brute force attack prevention system
US9787696B2 (en) * 2015-05-19 2017-10-10 Workday, Inc. Brute force attack prevention system
US10581976B2 (en) 2015-08-12 2020-03-03 A10 Networks, Inc. Transmission control of protocol state exchange for dynamic stateful service insertion
US10243791B2 (en) 2015-08-13 2019-03-26 A10 Networks, Inc. Automated adjustment of subscriber policies
US10318288B2 (en) 2016-01-13 2019-06-11 A10 Networks, Inc. System and method to process a chain of network applications
US10389835B2 (en) 2017-01-10 2019-08-20 A10 Networks, Inc. Application aware systems and methods to process user loadable network applications
CN107104852A (zh) * 2017-03-28 2017-08-29 深圳市神云科技有限公司 监控云平台虚拟网络环境的方法及装置
US10866822B2 (en) * 2017-11-28 2020-12-15 Bank Of America Corporation Computer architecture for emulating a synchronous correlithm object processing system

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6058418A (en) * 1997-02-18 2000-05-02 E-Parcel, Llc Marketing data delivery system
US7197639B1 (en) * 1999-02-05 2007-03-27 Rsa Security Inc. Cryptographic countermeasures against connection depletion attacks
US20020016835A1 (en) * 2000-05-25 2002-02-07 Gary Gamerman System and method for cascaded distribution of processing
US7143163B1 (en) * 2000-07-26 2006-11-28 Lucent Technologies Inc. System and method for exacting a system resource access cost
US6883095B2 (en) * 2000-12-19 2005-04-19 Singlesigon. Net Inc. System and method for password throttling
US20040136379A1 (en) * 2001-03-13 2004-07-15 Liao Raymond R Method and apparatus for allocation of resources
US6958998B2 (en) * 2001-07-09 2005-10-25 International Business Machines Corporation Traffic management in packet-based networks
US6944663B2 (en) * 2002-03-06 2005-09-13 Sun Microsystems, Inc. Method and apparatus for using client puzzles to protect against denial-of-service attacks
US20030187732A1 (en) * 2002-03-29 2003-10-02 Seta Joseph D. Method and system for presenting a sales incentive
US7269136B2 (en) * 2002-08-30 2007-09-11 Sun Microsystems, Inc. Methods and apparatus for avoidance of remote display packet buffer overflow
US7149801B2 (en) * 2002-11-08 2006-12-12 Microsoft Corporation Memory bound functions for spam deterrence and the like
KR100565896B1 (ko) * 2002-12-11 2006-03-31 한국전자통신연구원 양방향 위성 멀티미디어 시스템에서의 동적 자원 할당 장치 및 그 방법과 기록매체
US20070008884A1 (en) * 2003-10-08 2007-01-11 Bob Tang Immediate ready implementation of virtually congestion free guarantedd service capable network

Also Published As

Publication number Publication date
EP1635530B1 (en) 2008-04-02
DE602005005753T2 (de) 2009-04-16
US8001188B2 (en) 2011-08-16
JP2006065492A (ja) 2006-03-09
CN1741530B (zh) 2010-09-01
DE602005005753D1 (de) 2008-05-15
EP1635530A1 (en) 2006-03-15
US20060069804A1 (en) 2006-03-30
CN1741530A (zh) 2006-03-01

Similar Documents

Publication Publication Date Title
JP4555025B2 (ja) サーバ装置、クライアント装置および処理実行方法
EP1622334B1 (en) Server device, method for controlling a server device, and method for establishing a connection using the server device
US9100370B2 (en) Strong SSL proxy authentication with forced SSL renegotiation against a target server
US7089587B2 (en) ISCSI target offload administrator
US7882251B2 (en) Routing hints
US8200957B1 (en) Using SYN-ACK cookies within a TCP/IP protocol
US20080077788A1 (en) Secure Tunnel Over HTTPS Connection
JP2006279394A (ja) セッション中継装置、セッション中継方法およびプログラム
US20060161667A1 (en) Server apparatus, communication control method and program
TWI253825B (en) Dynamic configuration of IPSEC tunnels
WO2007052527A1 (ja) 無線通信システム、通信装置、及び中継装置
TWI337822B (en) Processor-accessible media, device, apparatus, network gateway, and method for routing hints
JP2006203537A (ja) ネットワーク伝送装置およびネットワーク伝送方法
US10868870B2 (en) System and method of providing secure data transfer
JP2016038881A (ja) 通信システム、方法及びプログラム
JP4013920B2 (ja) 通信システム、通信装置及びその動作制御方法並びにプログラム
JP3911697B2 (ja) ネットワーク接続機器、ネットワーク接続方法、ネットワーク接続用プログラムおよびそのプログラムを記憶した記憶媒体
Lever Bidirectional Remote Procedure Call on RPC-over-RDMA Transports
US20080289004A1 (en) Method and Module for Protecting Against Attacks in a High-Speed Network
US10432583B1 (en) Routing agent platform with a 3-tier architecture for diameter communication protocol in IP networks
JP3972335B2 (ja) ネットワーク接続機器、通信方法、プログラムおよびプログラムを記憶した記憶媒体
JP4418409B2 (ja) プレミアパケット識別装置、端末装置、プレミアパケット識別システムおよびプレミアパケット識別方法
JP2000278258A (ja) 共通鍵交換方法
JP2006246155A (ja) 通信装置、通信方法及びプログラム
Lever RFC 8167: Bidirectional Remote Procedure Call on RPC-over-RDMA Transports

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20070406

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20100427

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20100625

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20100713

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20100715

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130723

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Ref document number: 4555025

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

LAPS Cancellation because of no payment of annual fees