JP4769877B2

JP4769877B2 - Ｉｐｓｅｃセキュリティ・アソシエーションを折衝するときのネットワーク・トポロジの検出

Info

Publication number: JP4769877B2
Application number: JP2008553715A
Authority: JP
Inventors: オバービィ、ジュニア、リンウッド、ヒュー; ウィアボウスキー、デービッド、ジョン; ポーター、ジョイス、アン; ジョング、ウーチー、ジェームズ
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2006-02-14
Filing date: 2007-01-29
Publication date: 2011-09-07
Anticipated expiration: 2027-01-29
Also published as: ATE485663T1; CA2636882C; US7962652B2; US20070192848A1; CN101385306B; TWI390927B; TW200810463A; EP1985089B1; CN101385306A; WO2007093493A1; EP1985089A1; CA2636882A1; JP2009527138A; DE602007009935D1

Description

本発明は、一般に、インターネット・ネットワーキングに関し、具体的には、セキュリティ・アソシエーションを折衝することに対するネットワーク・アドレス変換により引き起こされるネットワーク・トポロジにおける曖昧な状況に関する。

本発明により対処される問題及び解決法は、本明細書において、インターネット、及びインターネット通信の基礎を形成するＴＣＰ／ＩＰプロトコルにより説明される。しかしながら、本発明は、プロトコルの詳細に応じて、他の通信プロトコルにも適用することができる。

インターネット・ネットワーク・アドレス変換は、幾つかの理由のために用いられる。主な理由は、パブリック・アドレスを経済的に用いるためである。ネットワーク・アドレス変換機構（ＮＡＴ）のインターネット・プロトコル（ＩＰ）アドレスは、一般に、パブリック・アドレスである。すなわち、ＮＡＴＩＰアドレスは外部の世界に知られているが、ＮＡＴの後に位置するサーバ又はクライアントの全ては、ＮＡＴにより管理されるプライベート・アドレスであり、外部の世界に知られていない。こうした場合には、外部の世界はＮＡＴと通信し、ＮＡＴは、その後に位置する適切なサーバ及びクライアントとの通信を制御する。このことは、ＮＡＴの後に位置する装置のＩＰアドレスは、そのファミリー内で独特であればよいが、残りの世界における他のＩＰアドレスと重複することがある。ネットワーク・アドレス変換機構（ＮＡＴ）の基準は、「ＴｒａｄｉｔｉｏｎａｌＩＰＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ」という表題の非特許文献１に述べられている。

米国特許公開番号第２００６−０２２７８６７−Ａ１号米国特許公開番号第２００６−０２２７７７０−Ａ１号米国特許出願第１０／９０７６６１号米国特許出願第１０／９０７６５９号インターネット技術タスクフォース（ＩＥＴＦ）ＲＦＣ３０２２

元々のインターネットは、セキュリティが主たる要素として設計されていなかった。実際、インターネットは、科学的及び教育的な通信を助けるものとして、故意に、比較的オープンに作られた。しかしながら、ウェブの出現及びその商業的使用は、セキュリティ保護されたインターネット通信に対する必要性を増加させた。一般にＩＰｓｅｃとして知られるインターネット・セキュリティ・プロトコルは、これらの課題に対処するように定義された。例えば、ＩＰｓｅｃは、ネットワーク・ユーザの認証、及び／又は、伝送データの暗号化を提供する。ソース・アドレスと宛先アドレスとの間のＩＰｓｅｃ通信は、通信に適用されるＩＰｓｅｃ処理を定義する１つ又は複数の規則である、セキュリティ・アソシエーション（ＳＡ）により管理される。ＩＰｓｅｃは、ＲＦＣ２４０１及び他のＲＦＣに定義される。

ネットワーク・アドレス又はポート変換とＩＰｓｅｃ処理との間には、固有の不適合がある。これらの不適合は、ＩＰｓｅｃの配置に対する障壁となる。ＲＦＣ３７１５は、これらの不適合の幾つかを認識し論じるが、一般的な解決法は与えない。ＩＢＭ社に譲渡された２つの特許出願は、ネットワーク・アドレス・ポート変換（ＮＡＰＴ）を含む環境におけるパケット・ソースの重複に関するこれらの不適合の幾つかを解決する。第１のものは、「ＮｅｇｏｔｉａｔｉｎｇＩＰｓｅｃＳｅｃｕｒｉｔｙＡｓｓｏｃｉａｔｉｏｎｓａｎｄＰｒｅｖｅｎｔｉｎｇＤｕｐｌｉｃａｔｅＳｏｕｒｃｅｓｉｎＮｅｔｗｏｒｋｓｔｈａｔＩｎｖｏｌｖｅＮｅｔｗｏｒｋｄＡｄｄｒｅｓｓＮｅｔｗｏｒｋＴｒａｎｓｌａｔｉｏｎ」と題する特許文献１である。第２のものは、特許文献１を改良した、特許文献２である。これらの出願は、全体が引用により本明細書に組み入れられる。

不適当な又は異常な結果を避けるために、特定のネットワーク・トポロジの認識を必要とする、ＩＰｓｅｃセキュリティ・アソシエーションの折衝中に生じる特定の状況がある。例えば、接続がネットワーク・アドレス変換機構（ＮＡＴ）を含むときに、サーバが中間ルータ又はセキュリティ保護されたゲートウェイにおいて終了するトンネル・モードＳＡを開始しようとする場合には、ホストはＳＡ折衝を拒否しなければならないことがある。こうした場合、含まれるＩＰアドレスはプライベートなものとすることができ、これはホストが適当にパケットをルーティングするのは不可能であるとすることができることを意味する。ネットワーク・アドレス・ポート変換機構（ＮＡＴ）を含む他の状況は、重複するＩＰソースの問題をもたらすことがある。これは、同一のソースＩＰアドレスを含む異なるソースからパケットを受信することが可能であることを意味する。重複するソースの問題に対する解決法は、上述の特許文献１及び特許文献２において対処される。ＳＡ折衝中に、サーバが、これらの特許出願の解決法を適用できる状況を識別する場合には、さらに有利である。

本発明は、請求項１及び請求項７に特許請求される方法、及び対応するシステム及びコンピュータ・プログラムを提供する。

図１は、折衝ＳＡがクライアントとサーバとの間のＮＡＴを通ってエンドツーエンドに延びるネットワーク構成を示す。セキュリティ・アソシエーションの折衝において、この構成により導入されるネットワークの曖昧さはない。セキュリティ・アソシエーションの範囲は、この図、さらに図２及び図３において、太い黒線により示される。

図２は、折衝ＳＡがサーバと複数のクライアントの前にあるゲートウェイとの間のＮＡＴを通って延びるネットワーク構成を示す。この構成は、セキュリティ・アソシエーションがエンドツーエンドに延びず、ゲートウェイで終わるため、特別な処置を必要とすることがある。

図３は、図２と同様なネットワーク構成を示すが、セキュリティ・アソシエーションは宛先サーバへのゲートウェイ（ＧＡＴＥＷＡＹ２）で終了する。この構成におけるＩＰＳｓｅｃは、ＧＡＴＥＷＡＹ２は、ＧＡＴＥＷＡＹ２によりルーティング可能でないことがあるプライベートＩＰアドレスをもつパケットを受信することがある可能性のために、許可されないことがある。

本発明は、これらの構成のうちのどれが特定のＳＡ折衝に適用されるかを判断し、セキュリティ・アソシエーションを受け入れる又は拒否することにより、又は、特定の状況においては、特許文献３及び特許文献４の特許出願の重複ソース解決法を適用することにより、どのようなネットワークの曖昧さも解決する処置を取る。

図４は、段階２のＳＡ折衝中に本発明により用いるのに必要な情報を保存するためにＳＡ折衝の段階１中に取られるステップを示す。図４のステップは、ＳＡの段階１を開始するノード及び段階１の開始に応答するノードの両方で行われる。具体的には、ＮＡＴ発見ペイロードＮＡＴ−Ｄがステップ４０２において保存される。ＲＦＣ３９４７により、ＮＡＴ−Ｄペイロードは、２つのインターネット・キー・エクスチェンジ（ＩＫＥ）ピア間のＮＡＴの存在を検出するように用いることができる。ＮＡＴ−Ｄペイロードは、後で、幾つかの場合において、段階２のＳＡ折衝中に本発明により再計算され、４０２において保存された値と比較されて、問題の構成が存在するかどうか判断する。ステップ４０４は、段階１のＳＡ折衝中にＮＡＴ−Ｄペイロードの後の再計算を可能にする情報を保存する。具体的には、この情報は、ＩＫＥポート値のリモート・ピアのビュー、段階１のパケットが受信されたローカル・ポート値、及びイニシエータ・クッキーＣＫＹ−Ｉ及びレスポンダ・クッキーＣＫＹ−Ｒである。ローカルＩＫＥポート値のリモート・ピアのビューは、以下の表からの予測される変換されていない値である。

図５及び図６は、ＳＡを開始するサーバ又はゲートウェイにおいてＳＡ段階中に取られるステップを示す。ＳＡイニシエータがサーバである場合には、図５は、図１に示すようにＳＡが接続のリモート・クライアントまで延びるか（エンドツーエンド）、又は、図２に示すようにゲートウェイにおいて終了するか判断しようとする。図２に示すように、イニシエータがゲートウェイである場合には、図５のステップは、図２に示すようにＳＡがサーバまで延びるか、又は、図３に示すようにＧＡＴＥＷＡＹ２のようなゲートウェイまで延びるか判断する。同様に、図６は、イニシエータがゲートウェイであるかどうか判断しようとする。ここでも、ゲートウェイで終了するＳＡは、好ましい実施形態においては許可されない。

段階２のＳＡメッセージは、図５及び図６の判断に用いられる２つのペイロード、ＩＤｃｉ及びＩＤｃｒを含むことができる。存在する場合には、これらのペイロードは、ＳＡ開始ピア及び応答ピアそれぞれのＩＰアドレスを含む。ＳＡイニシエータにおけるステップ５０２は、ＩＤｃｒが存在するかどうか判断する。存在しない場合には、ＳＡは、図１のようにエンドツーエンドに延びることがすぐに知られる。この場合、実行は５０９に進み、図６に示すローカル・ゲートウェイのチェックを始める。ＩＤｃｒが存在すると仮定すると、ステップ５０４は、これがＩＰアドレスを含むかどうか判断する。アドレスを含まない場合には、ピア間のＳＡ構成を確認することはできず、ＳＡはステップ５１２で異常終了される。ＩＤｃｒが実際にＩＰアドレスを含む場合には、ステップ５０６は、ＩＤｃｒアドレスを、段階２のメッセージを含むＩＰパケットのＩＰヘッダから取得されたリモートＳＡエンドポイントのＩＰアドレスと比較する。ＳＡがエンドツーエンドに延びるように適合が満足いくものである場合には、実行は再びステップ５０９に進み、ローカル・ゲートウェイのチェックを行う。５０６での比較が期待を裏切るものである場合には、ＮＡＴ−Ｄペイロードを再計算し、これを図４の４０２で保存した値と比較して、エンドツーエンドのステータスを判断しなければならなくなる。ステップ５０８は、ＮＡＴ−Ｄペイロードを再計算する。ステップ５１０は、比較をする。比較が満足いくものである場合には、５０９で始まるローカル・ゲートウェイのチェックが行われる。比較が期待を裏切るものである場合には、ＳＡのリモート・エンドは、図２に示すように、ゲートウェイにおいて終了することを意味する。

クライアントに対する曖昧さに対処するために、ＳＡは、ステップ５１２で拒否される。ＮＡＴ−Ｄペイロードの計算方法は、ＲＦＣ３９４７のセクション３．２において規定される。

図３の構成においては、ゲートウェイ、ＧＡＴＥＷＡＹ２は、パケットを宛先サーバにルーティングする。ＳＡのローカル・エンドがＧＡＴＥＷＡＹ２のようなゲートウェイで終了したときには、これは、ゲートウェイによりルーティング可能ではないことがあるプライベートＩＰアドレスの可能性のために、好ましい実施形態においては可能にならない構成である。この構成が可能でない場合には、ＳＡはこの状況において確立されてはならない。これらのステップは、図５のエンドツーエンドのチェックのステップと非常に似ている。しかしながら、このチェックは別の宛先ノードへのＳＡイニシエータのゲートウェイのステータスに対するものであるため、試験は、イニシエータのＩＰアドレスとＮＡＴ−ＤペイロードのＩＤｃｉフィールドのＩＰアドレスとの等しさを主たる対象とする。ステップ６０２にＩＤｃｉフィールドがない場合には、このサーバは別の宛先サーバへのゲートウェイではなく、通常のＳＡ処理が、ステップ６０９において継続することが可能にされる。ＩＤｃｉフィールドが６０２で存在するが、ステップ６０４でＩＰアドレスを含まない場合には、重複するソースが検出可能であるかどうか判断することができず、この場合、ＳＡ折衝は６１２において終了する。ＩＤｃｉが６０４においてＩＰアドレスを含む場合には、ステップ６０６は、パケットにおけるソースＩＰアドレスの値をＩＤｃｉにおける値と比較する。これらが適合する場合には、直のサーバはゲートウェイではないことが判断され、通常処理が６０９で継続する。６０６の比較が期待を裏切るものである場合には、ＮＡＴ−Ｄペイロードの再計算、及び、これをステップ４０２から保存された値と比較することが必要になる。ステップ６０８は再計算を行い、ステップ６１０は比較をする。これが満足いくものである場合には、通常の処理が継続する。或いは別の場合には、ＳＡ折衝が６１２で終了する。

図７及び図８は、当該サーバが、リモート・ピアにより開始されたＳＡ折衝に応答する状況に対する図５及び図６のそれぞれに対応するフローチャートである。図７は、この応答状況に対するエンドツーエンドのチェックである。図８は、この状況に対するローカル・ゲートウェイのチェックである。図５及び図６で行われたように、これらのフローチャートを詳細に論じる必要はない。フローチャートは、この明細書の完全性のために与えられる。対応する図は、殆どの点で互いに同一であり、ＩＤｃｒ又はＩＤｃｉのいずれがステップで用いられるか、及びどのＩＰアドレスが関連するか、段階２のパケットにおけるソース又は宛先ＩＰアドレスだけが異なっている。応答状況におけるエンドツーエンドのチェック（図７）は、ＩＤｃｉ及びリモート・イニシエータのＩＰアドレスを用いる。ステップ７１２においては、応答ノードにおける段階２のＳＡ折衝は終了せず、むしろエンドツーエンドではないとマークされる。この場合、特許出願公開番号の特許文献１及び特許文献２に説明されるソースポート変換をレスポンダにおいて用いて、クライアント・ホストの重複するソースの曖昧さを避けるようにすることができる。この応答状況における図８のローカル・ゲートウェイのチェックは、ＩＤｃｒ及び段階２のパケットにおける宛先ＩＰアドレスを用いる。

折衝ＳＡが、この図に示されるサーバ及びクライアントのような２つのネットワーク・ピア間のＮＡＴを通ってエンドツーエンドに延びるネットワーク構成を示す。この構成においては、折衝ＳＡの問題はない。リモート・ピアがゲートウェイ・ノードである、折衝ＳＡが２つのネットワーク・ピア間のＮＡＴを通って延びるネットワーク構成を示す。ＳＥＲＶＥＲにおけるＩＰＳｅｃ実施は、特別な処置を必要とするＩＰアドレスの曖昧さの問題を避けるために、この構成におけるＳＡの折衝を制限することがある。ＳＡが終了するローカル・ピアが別の宛先サーバへのサーバ・ゲートウェイ（ＧＡＴＥＷＡＹ２）として作用する、図２と同様なネットワーク構成を示す。ＧＡＴＥＷＡＹ２におけるＩＰＳｅｃの実施は、プライベートＩＰアドレスをもつパケットのルーティング問題を避けるために、この構成におけるＳＡの折衝を制限することがある。サーバからのＳＡがエンドツーエンドまで延びるか（図１）、又はリモート・ゲートウェイまで延びるか（図２）を判断するために、段階２の間に後で必要になる情報を保存する、ＳＡ折衝の段階１の間にサーバで行われるステップを示すフローチャートである。図１から図３のうちのどの構成が適用されるかを判断することが目的である、サーバが折衝のイニシエータであるときのＳＡ折衝の段階２中にサーバで実行されるフローチャートを含む。図１から図３のうちのどの構成が適用されるかを判断することが目的である、サーバが折衝のイニシエータであるときのＳＡ折衝の段階２中にサーバで実行されるフローチャートを含む。図１から図３のうちのどの構成が適用されるかを判断することが目的である、サーバがリモート・エンドで開始される折衝に応答するときにＳＡ折衝の段階２中にサーバで実行されるフローチャートを含む。図１から図３のうちのどの構成が適用されるかを判断することが目的である、サーバがリモート・エンドで開始される折衝に応答するときにＳＡ折衝の段階２中にサーバで実行されるフローチャートを含む。

Claims

セキュリティ・アソシエーション（ＳＡ）折衝を開始するノードにおいて応答ノードとのＩＰＳｅｃセキュリティ・アソシエーションを折衝するための方法であって、
ＩＤｃｒペイロードを含むＳＡメッセージを前記応答ノードから受信するステップと、
前記ＩＤｃｒペイロードがアドレスを含むかどうかを判断するステップと、
前記ＩＤｃｒペイロードがアドレスを含むと判断した場合に前記アドレスを前記応答ノードのアドレスと比較するステップと、
前記アドレスが前記応答ノードのアドレスと一致しなかった場合にＮＡＴ−Ｄペイロードを再計算するステップと、
再計算したＮＡＴ−Ｄペイロードに応じて前記ＳＡ折衝を拒否するか継続するかを判断するステップと、
を含む方法。
前記ＳＡ折衝の段階１の間、ＮＡＴ−Ｄペイロード及び前記ＮＡＴ−Ｄペイロードを再計算するのに必要なデータを保存するステップをさらに含む、請求項１に記載の方法。
前記ＳＡ折衝を拒否するか継続するかを判断するステップが、前記再計算したＮＡＴ−Ｄペイロードを前記保存するステップで保存しておいたＮＡＴ−Ｄペイロードと比較するステップを含み、
前記再計算したＮＡＴ−Ｄペイロードが前記保存しておいたＮＡＴ−Ｄペイロードと一致した場合には前記ＳＡ折衝を継続し、
前記再計算したＮＡＴ−Ｄペイロードが前記保存しておいたＮＡＴ−Ｄペイロードと一致しなかった場合には前記ＳＡ折衝を拒否する、
請求項２に記載の方法。
前記ＳＡ折衝を継続すると判断した場合に、前記ＳＡメッセージに含まれるＩＤｃｉペイロードがアドレスを含むかどうかを判断するステップと、
前記ＩＤｃｉペイロードがアドレスを含むと判断した場合に前記アドレスを前記ＳＡ折衝を開始するノードのアドレスと比較するステップと、
をさらに含む、請求項３に記載の方法。
前記ＩＤｃｉペイロードのアドレスが前記ＳＡ折衝を開始するノードのアドレスと一致しなかった場合に、前記ＮＡＴ−Ｄペイロードを再計算するステップと、
再計算したＮＡＴ−Ｄペイロードに応じて前記ＳＡ折衝を拒否するか継続するかを判断するステップと、
をさらに含む、請求項４に記載の方法。
セキュリティ・アソシエーション（ＳＡ）折衝に応答するノードにおいてＩＰｓｅｃセキュリティ・アソシエーションを折衝するための方法であって、
ＩＤｃｉペイロードを含むＳＡメッセージを前記ＳＡ折衝を開始するノードから受信するステップと、
前記ＩＤｃｉペイロードがアドレスを含むかどうかを判断するステップと、
前記ＩＤｃｉペイロードがアドレスを含むと判断した場合に前記アドレスを前記ＳＡ折衝を開始するノードのアドレスと比較するステップと、
前記アドレスが前記ＳＡ折衝を開始するノードのアドレスと一致しなかった場合にＮＡＴ−Ｄペイロードを再計算するステップと、
再計算したＮＡＴ−Ｄペイロードに応じて、前記セキュリティ・アソシエーションがエンドツーエンドではないとマークするか、または前記ＳＡ折衝を継続するステップと、
を含む方法。
前記ＳＡ折衝の段階１の間、ＮＡＴ−Ｄペイロード及び前記ＮＡＴ−Ｄペイロードを再計算するのに必要なデータを保存するステップをさらに含む、請求項６に記載の方法。
前記継続するステップが、前記再計算したＮＡＴ−Ｄペイロードを前記保存するステップで保存しておいたＮＡＴ−Ｄペイロードと比較するステップを含み、
前記再計算したＮＡＴ−Ｄペイロードが前記保存しておいたＮＡＴ−Ｄペイロードと一致した場合には前記ＳＡ折衝を継続し、
前記再計算したＮＡＴ−Ｄペイロードが前記保存しておいたＮＡＴ−Ｄペイロードと一致しなかった場合には前記セキュリティ・アソシエーションがエンドツーエンドではないとマークする、
請求項７に記載の方法
前記ＳＡ折衝を継続すると判断した場合に、前記ＳＡメッセージに含まれるＩＤｃｒペイロードがアドレスを含むかどうかを判断するステップと、
前記ＩＤｃｒペイロードがアドレスを含むと判断した場合に前記アドレスを前記ＳＡ折衝に応答するノードのアドレスと比較するステップと、
をさらに含む、請求項８に記載の方法。
前記ＩＤｃｒペイロードのアドレスが前記ＳＡ折衝に応答するノードのアドレスと一致しなかった場合に、前記ＮＡＴ−Ｄペイロードを再計算するステップと、
再計算したＮＡＴ−Ｄペイロードに応じて前記ＳＡ折衝を拒否するか継続するかを判断するステップと、
をさらに含む、請求項９に記載の方法。