JP5047536B2 - プロトコル汎用の傍受用ネットワーク装置 - Google Patents

Description

本発明は、プロトコル汎用のネットワーク傍受に関する。

今日、通信網は広く使用されている。インターネットおよびその他の広域通信網（ＷＡＮ）、ローカルエリア通信網（ＬＡＮ）、電話通信網、無線通信網を含む（しかし限定されない）種々のタイプの通信網が存在している。さらに今日、多くの異なる通信プロトコルが存在する。情報はしばしば、ソース（送信元）から通信網を横断して１つまたは複数の宛先へ通信される。さらに、このような通信網に沿った通信をモニタリングするために、該通信網内にモニタリング装置を実装することができる。このようなモニタリング装置は、一般に、通信の当事者ではなく、通信網の性能モニタリングおよびテストのように、何らかの理由で通信をモニタリングしているので、「傍受装置(eavesdropping device)」と呼ばれることができる。たとえば、傍受装置は、通信網に沿って送られたパケットを捕捉して分析し、および／または、通信網の性能のモニタリングに使用するためのタイムスタンプをこれらパケット内に挿入する。

従来、傍受装置を含む特定のネットワーク装置にパケットを送信する時、所定の形態の通信アドレス指定が用いられる。該装置は、たとえばデータリンク層アドレス（たとえばイーサネットアドレス）、またはネットワーク層アドレス（たとえばＩＰアドレス）のいずれかによって明示的にアドレス指定されることができる。このような方式では、傍受ネットワーク装置を含む任意のネットワーク装置は、ネットワークアドレス指定可能でなければならない。ネットワークの或る位置から（たとえばデータソースから）能動的なテストが行われており、宛先が或る所定の位置になっている場合（たとえばデータ宛先）、該ソースは、その宛先に到達するのにデータリンク層またはネットワーク層のアドレスを使用する必要がある。従来の方式では、宛先が傍受装置である場合、該傍受装置は、ネットワークアドレスを有する必要がある。傍受装置の正確なアドレスがあらかじめわかっていない場合には、ソースは、例として、マルチキャストアドレスまたはブロードキャストアドレスを使用することができる。しかし、ブロードキャストアドレスおよびマルチキャストアドレスの使用が許可されない場合や、実用的でない場合が多いことに注意されたい。

場合によっては、傍受装置が、ソースから、該傍受装置以外の宛先に向けられた通信を受信することを所望する場合がある。すなわち、傍受装置が、該傍受装置自体にアドレス指定された通信ではなく、別の宛先にアドレス指定された通信を受信することを所望する場合がある。このような場合、パケットが傍受装置に向けられることは必要とされず、傍受装置は、ソースから所望の宛先に向かう経路に沿って通信されているパケットをモニタリングすることがある。場合によっては、傍受装置に、一意的なネットワークアドレスが割り当てられないことが望ましいこともある。たとえば、通信網上の装置に必要なＩＰアドレスの合計数を最小限にするために、一部の装置は、一意的なＩＰアドレスを割り当てられないことがある。たとえば、多数のポートを有するルータは、各ポートに別々のＩＰアドレスを割り当てるのではなく、単一のＩＰアドレスを割り当てる場合がある。

したがって、傍受装置が、目的とするパケットを識別できるようにするのが望ましい。たとえば、所定のパケットは、傍受装置が、自身の構成を分析、テストおよび変更等するための所望の情報を含むことができる。こうして、傍受装置が使用しようとする情報が、通信網全体で通信されるパケットに含めることができる。

従来、傍受装置は、パケットのヘッダに含まれる情報を評価し、傍受装置が目的とするパケットを識別する。このようなパケットは、たとえば、傍受装置のためのテスト情報、構成情報、および／または他の情報を含む。たとえば、パケットフィルタは、ＩＰ宛先アドレスを、装置ＩＰアドレスと一致させる。別の例として、イーサネット装置では、フレームフィルタが、捕捉されたフレーム内の宛先ＭＡＣアドレスが装置ＭＡＣアドレスに一致するかどうかをチェックすることができる。これらのアドレスは、対応するヘッダの特定の位置にあり、このことは当業界ではよく知られている。たとえばイーサネットでは、宛先ＭＡＣアドレスは、フレームの最初の６バイトである。これは、傍受装置が、捕捉するパケットによって使用されるプロトコルに関する知識を用いて実現されることを必要とする。すなわち傍受装置は、種々のプロトコルに従ってパケットに含まれるヘッダ情報を正確に評価することができるように、遭遇する通信プロトコルを理解する機能を有していなければならない。多くのプロトコルが存在し、プロトコルは不断に変化ないし開発されているので、そのことが、目的のパケットを識別するために、種々のプロトコルのうちの任意のプロトコルを介して通信されるパケットを評価する機能を有するよう傍受装置を実装／更新する際の重荷になっている。

従って、従来の傍受装置は、遭遇しうるプロトコルに関する知識を有するように実現されなければならない。このため装置の複雑さが増し、大きさも大きくなり処理時間も増えるので、望ましくない。さらに、このような複雑さは、傍受装置の製造に必要な時間およびリソースを増加させる。

本発明の実施形態は、通信網上で通信されるトラフィックをモニタリングし、該トラフィック内で、傍受装置が目的とするパケットを識別することができる、プロトコル汎用（すなわち「プロトコルを意識しない」）の傍受装置を提供する。さらに、本明細書に説明するように、パケット識別およびパケット認証を可能にする手法も提供される。さらに、本明細書に説明するように、所定の実施形態では、このような「パケット認証」は、パケット全体を認証するのではなく、傍受装置のためのＩＤおよび内容（コンテンツ）だけを認証する。こうして、傍受装置は、目的とする（of interest）パケットを識別して、識別情報および該傍受装置が目的とする情報を認証することができる。本発明の実施形態は、プロトコル汎用であり、傍受装置が目的とするパケットを識別して認証するために、傍受装置は、使用されている通信プロトコルに関して事前の知識を有する必要がない。したがって、傍受装置を変更することなく、プロトコル汎用の該傍受装置を使用して、該傍受装置を、通信網上で使用されている任意の通信プロトコルに対して動的に適応させることができる。

さらに詳述するように、パケットを、傍受装置が目的とするパケットとして識別するために、プロトコルに固有の方式でパケット内に情報（たとえばパケットのヘッダ）を含めるのではなく、本発明の実施形態は、プロトコル汎用の方式で、識別子を含める。たとえば、識別子は、パケットのペイロード(payload)に含めることができる。一部の実施形態では、傍受装置は、捕捉したパケットのペイロードを識別子に関してスキャンし、該識別子を認識する際に、該パケットを認証するための技術を使用することができる。

一実施形態では、本方法は、通信網上で通信されたパケットを傍受装置が捕捉することを含む。傍受装置は、パケットのペイロードをスキャンし、傍受装置が目的とする内容をパケットが含むことを識別する識別子を、該パケットのペイロードが含むかどうかを判断する。少なくとも一部の手法では、パケットのペイロードがこのような識別子を含むとの判断に基づいて、傍受装置は、該パケットのペイロード内に含まれる内容を使用する。

一実施形態では、本方法は、傍受装置のための内容（コンテンツ）を含むパケットを形成することを含む。ここで、パケットは、ヘッダ部分およびペイロード部分を含む。ペイロード部分は、ａ）傍受装置のための内容（コンテンツ）をパケットが含むことを識別する所定の識別子と、ｂ）該傍受装置のための該内容と、ｃ）該所定の識別子および該傍受装置のための該内容を認証する認証トークンと、を含む。本方法はさらに、通信網を介してパケットを宛先に転送することを含む。一部の実施形態では、パケットを転送する宛先は、傍受装置以外の宛先である。ここで、傍受装置は、このパケットを傍受し、このパケットが該傍受装置のための内容を含むことを認識する。

上記は、次の本発明の詳細な説明をよりよく理解するために、本発明の特徴の概要を示したものである。次に、本発明の請求項の主題を形成する、本発明の別の特徴および利点を記述する。開示された概念および特定の実施形態は、本発明と同じ目的を実行するように他の構成を修正または設計する基礎としても容易に使用できることが理解されるであろう。また、このような等価の構成も、請求項に示す本発明から離れるものではないことを理解されたい。本発明の構成と方法の両方について、本発明に特徴的と考えられる新規な特徴、および、別の目的と利点は、図面と共に次の説明を読めばよりよく理解されるであろう。各図は図示と説明のために提供されたものに過ぎず、本発明の限定を定義することを目的としているわけではなことを理解されたい。

本発明をよりよく理解するために、図面と共に説明する。

本発明の実施形態は、通信網上で通信されるトラフィックをモニタリングし、このトラフィック内で、傍受装置が目的とするパケットを識別する機能を有するプロトコル汎用（protocol-generic, すなわち「プロトコルを意識しない(protocol-unaware)」）な傍受装置を提供する。さらに、本明細書に説明するように、パケット識別およびパケット認証を可能にする手法が提供される。すなわち、傍受装置は、目的とするパケットを識別し、このパケットを認証することができる。本発明の実施形態は、プロトコル汎用であるので、目的のパケットを識別して該パケットを認証するために、使用される通信プロトコルに関する知識を傍受装置があらかじめ有する必要がない。したがって、傍受装置を変更する必要なくして、プロトコル汎用な該傍受装置を使用して、該傍受装置を、通信網上で使用することのできる任意の通信プロトコルに対して動的に適応させることができる。

以下に詳細に説明するように、本発明の実施形態は、傍受装置が目的とするパケットを識別するために、プロトコルに固有の方式でパケット内に情報（たとえばパケットのヘッダ）を含めるのではなく、プロトコル汎用な方式で、識別子を含む。たとえば、識別子を、パケットのペイロードに含めることができる。一部の実施形態では、傍受装置は、捕捉したパケットのペイロードを識別子についてスキャンし、該識別子を認識する際、パケット認証技術を使用することができる。

一部の実施形態では、傍受装置のための（傍受装置用の）情報は、「パケット内のパケット(a packet within the packet)」と考えることができる。すなわち、傍受装置用に意図された、パケットのペイロードの部分を、１つのパケットとして考える。ここで、パケット全体は、「搬送パケット(carrying packet)」（または「パースパケット(purse packet)」）と呼ばれ、パケット全体中の傍受装置用のパケット部分は、「埋め込みパケット(embedded packet)」（または「ウォレットパケット(wallet packet)」）と呼ばれる。ハンドバッグ（パース）が財布（ウォレットであり、これ自体が所定のアイテムを含む）を入れることができるように、パースパケットは、傍受装置用の情報を含むウォレットパケットを運ぶことができる。搬送パケットのウォレット部分（すなわち傍受装置用の部分）は、この搬送パケットのペイロードに含まれる識別子によって識別されることができる。搬送パケットのウォレット部分は、テスト情報または構成情報などの、傍受装置のための情報を含むことができる。したがって、搬送パケットのウォレット部分は、識別子（ＩＤ）と、傍受装置用の内容（コンテンツ）を含む。さらに、搬送パケットのウォレット部分を認証するために、認証技術を使用することができる。したがって、搬送パケットはさらに、該搬送パケットのウォレット部分を認証するのに使用することのできる認証トークンを含むことができる。本明細書にさらに説明するように、このような認証により、安全な動作を促進することができるとともに、遭遇するかもしれないフォルスポジティブ（（false-positive）;不正なものと正しいと判断してしまうこと）を回避することができる。

図１は、本発明の一実施形態を使用する典型的な例としてのシステム１００を示す。システム１００は、通信網１０３を介して通信できるように結合されるデータソース装置１０１および宛先装置１０２を含む。通信網１０３は、現在既知の、または今後開発される任意のタイプの通信網であってよい。この中には、インターネットおよび／または他のＷＡＮ、ＬＡＮ、電話網、ワイヤレスネットワーク、およびこれらの任意の組み合わせが含まれるが、これらに限定されるものではない。好ましくは、通信網１０３は、パケット交換網である。この例では、２つの装置１０１および１０２が、通信網１０３を介して通信できるように結合されているが、任意の数の装置を接続できることを理解されたい。実際、通常では、この装置１０１および１０２の例について記述される手法で互いに通信できるように、多くの装置が通信網を介して通信できるように結合されている。さらにこの例では、装置１０１はソースとして示され、装置１０２は宛先として示されているが、他の例では、装置１０２がソースであり、装置１０１が宛先であるように、通信は双方向であってもよいことを理解されたい。プロトコル汎用の傍受装置１０４は、通信網１０３で使用され、この例では、ソース１０１から宛先１０２に送信されるパケット１０５のような、通信網１０３全体で伝送されるパケットをモニタリングする。

プロトコル汎用な傍受装置１０４は、ソース１０１から宛先１０２に進行するパケットを捕捉し（たとえば傍受し）、該捕捉したパケットが、テスト情報または構成(configuration)情報などの、傍受装置が目的とする情報を含むかどうかを判断する機能を有する。図１の例では、パケット１０５が、ソース１０１から宛先１０２に移動するテスト／構成パケットであると仮定する。パケット１０５は、宛先１０２に向かう途中で、プロトコル汎用傍受装置（または「プローブ(probe)」）１０４によって傍受される。プロトコル汎用傍受装置１０４は、パケットのペイロードに埋め込まれているＩＤをスキャンして発見することによって、パケット１０５が、特別なテスト／構成パケットであると認識する。このようなＩＤは、パケットのソースによって該パケットのペイロードに挿入されることができる。たとえば、ソース１０１（これは、傍受装置であってもよい）は、通過するパケットをクローン化（複製を作る）し、ＩＤと、傍受装置１０４用の他の情報とを挿入することによって、その内容（ペイロード）を変更することができる。

図２には、一実施形態に従う、パケット１０５の典型的な構成が、パケット１０５_Ａとして示されている。パケット１０５_Ａは、通常のパケットに含まれるのと同様に、パケットヘッダ２０１を含む。パケット１０５_Ａはさらに、ＩＤ２０２と、それに続く、傍受装置１０４用の内容（コンテンツ）２０３を含む。上記のように、パケット１０５_Ａは、搬送パケットまたはパースパケットと呼ばれ、パケット１０５_Ａの部分２０２および２０３は、埋め込みパケットまたはウォレットパケットと呼ばれる。また、パケット１０５_Ａは、部分２０２および２０３を認証するための認証トークン２０４を含む。この例では、認証トークン２０４は、ＨＭＡＣ（ハッシュに基づくメッセージ認証コード）の認証トークンである。これは、後述するように、既知の認証技術を使用して生成される。当然ながら、他の実施形態では、現在既知の、または今後開発される任意の他の認証技術を使用することもできる。

本発明の実施形態は、既存の方法を無効にするものではなく、パケットのペイロードに埋め込まれた所定の形態のアイデンティティ(identity)によって識別されることのできる、傍受装置用の特別なパケットを定めることにより、既存の方法を拡張するものであることを理解されたい。たとえば、プロトコル汎用傍受装置１０４が、テスト／構成パケット１０５_Ａを特別なパケットとして認識できるようにするために、傍受装置１０４は、パケットを特別なものとして識別するためにソース１０１によって挿入されることのできるＩＤ（複数可）２０２を知っている（たとえば、既知のＩＤを傍受装置にローカルに記憶させ、受信したパケットに含まれるＩＤとの比較に使用することができる）。任意の適切なタイプの識別情報を、ＩＤ（複数可）２０２として使用することができる。たとえば、ＩＤ２０２は、特定のプローブの一意的なＭＡＣアドレスであってもよいし、または、プローブの集まり（community）をアドレス指定するマルチキャストＭＡＣアドレスであってもよい。この実施形態では、ソース１０１およびプローブ（複数可）は、パケット内のどこにＩＤ２０２が挿入されるかを知っており、かつそれを見つける方法を知っているように実現される。ＩＤは、パケットのペイロードに挿入されると共に既知のストリングで区別される、バイトのストリングまたは任意のパターン（これは「フィンガープリント(fingerprint)」と呼ばれることもある）でよい。たとえば、ＩＤは、「ＧＢＩＣ」で始まり「ＣＩＢＧ」で終わるストリングを含むことができる。同様に、一部の実施形態では、ＸＭＬ／ＨＴＭＬで使用されるタグと同様に、ＩＤは、内容２０３の前の部分と内容２０３の終わりの部分に、このようなＩＤの一部をそれぞれ含んでもよい。たとえば、「ＧＢＩＣ」は、内容２０３の開始を示すＩＤであり、「ＣＩＢＧ」は、内容２０３の終わりを示すことができる。ここで、開始ＩＤと終了ＩＤの両方がある場合にのみ、そのパケットを、目的とする「特別な」パケットとする。別の例として、ＩＤ２０２は、フレーム／パケットまたは特定のパケットのヘッダの始まりの部分から、既知のオフセットされた所、または該オフセットを超えた所に配置されるパターンであってもよい。このような実装では、ＩＤ２０２は、オフセットされた所に正確に挿入される必要はなく、該オフセットを超えた位置に挿入してもよい点を理解されたい。この場合、プロトコル汎用傍受装置１０４は、そのようなオフセットの後ろのパケット部分から検索を開始してＩＤ２０２を探すように、実装されることができる。言いかえれば、プロトコル汎用傍受装置１０４は、パケットのオフセットポイントから開始してパターンマッチングを行い、ＩＤ２０２を見つけられるかどうかを判断することができる。一部の実施形態では、ＩＤ２０２の大きさ（サイズ）は、特定のＩＤについて固定としてもよく、またはすべての起こりうるタイプのＩＤについて固定としてもよい。当然ながら、ＩＤの区画（境界、demarcation）を使用する一部の実施形態などでは、オフセット位置およびＩＤの大きさは、特別なものとして識別されるパケットについて、あらかじめ定めておく必要はない。

一実施形態の動作においては、傍受するプロトコル汎用傍受装置１０４は、捕捉したパケット１０５ＡのペイロードをスキャンしてＩＤ２０２を探し、最初の一致（マッチング）だけで停止するであろう。したがって一部の実施形態では、ＩＤ２０２をパケット１０５_Ａに挿入するとき、ソース１０１は、ＩＤ２０２とパケットスキャン領域の開始部分との間のスペースが、特別なＩＤと間違って識別される何らかの情報を含まないようにする。一実施形態では、ソース１０１は、間違ってＩＤと識別される可能性のあるスペースを、ヌル(null)のバイトで満たしてもよい。しかし、このようにパケットの一部を修正することは必ずしも可能でもないし望ましくもなく、このような技術を使用することが適切であるかどうかは、使用する認証技術にも依存しうる。一部の実施形態では、このようなオフセットのヌルバイトを使用する代わりに、またはこのような使用に加え、認証技術を使用して、間違ったＩＤを認識しようとしていることを傍受装置に通知する。すなわち、真のＩＤの前にパケット内にフォルスポジティブな（false-positive；不正なものを正しいと判断してしまう）ＩＤが存在する場合、該フォルスポジティブＩＤに続く内容（コンテンツ）は、トークン２０４によって認証されなくなってしまう。したがって、傍受装置は、フォルスポジティブＩＤが真ではないことを検出し、認証すべき真のＩＤに到達するまで、またはパケットの終わりに到達するまで、他のＩＤについてパケットスキャンを継続する。

テスト／構成パケット１０５_Ａについては、パケットヘッダ２０１が、パケットが通るルータまたはネットワーク装置のＩＰアドレスを含むことがある点に注意されたい。プロトコル汎用傍受装置１０４がパケットを傍受したとき、該傍受装置１０４は、ペイロードをスキャンしてＩＤ２０２を探す。パケット１０５_Ａ内のＩＤが、傍受装置１０４に既知のＩＤ（複数可）と一致することにより、傍受装置１０４は、このパケットを特別なテスト／構成パケットとして認識し、ＩＤ２０２に続くテスト／構成内容に対して作用することができる。ＩＤフィールド２０２は、この場合も、任意のタイプの識別子として実装されることができる。一例として、ＩＤ２０２は、ＭＡＣアドレスとＶＬＡＮ ＩＤの組合せであってもよい。たとえばＭＡＣアドレスがブロードキャストであり、ＶＬＡＮ ＩＤが傍受装置のＶＬＡＮ ＩＤと一致する場合、同じＶＬＡＮに属する傍受装置によって処理されることのできる特別なテスト／構成パケットとして、該パケットを認識することができる。

ＩＤ２０２に続くパケットペイロード内には、傍受装置に既知のフォーマットを有するテスト／構成の内容（コンテンツ）などの、傍受装置用の情報２０３（すなわち、傍受装置が目的とする情報）がある。たとえば、このような内容２０３は、テスト／構成の内容の大きさ（サイズ）、それに続く動作コード、シーケンス番号、タイムスタンプ、アクティブなテストパケットの測定遅延に関する他の属性であることができる。内容２０３に続く認証トークン（たとえばＨＭＡＣ認証トークン）２０４は、少なくとも部分的に、フォルスポジティブを除くために使用される。これについては後述する。

パケットのペイロードのスキャン中に、偶然、通常のパケットの内容が、プロトコル汎用傍受装置１０４に既知のＩＤのうちの１つと一致する場合がある。これにより、傍受装置１０４は、一致した値に続くデータが、目的の情報（たとえばテストまたは構成データ）を表すと考えてしまう。このようなフォルスポジティブを防ぐために、パケットペイロードは、さらに、認証トークン２０４を含むことができる。一実施形態では、よく知られた認証技術であるパケットのＨＭＡＣ認証を使用する。一実施形態では、この認証は、パケット１０５Ａの「ウォレット」部分だけについて行われる。すなわち、パケット１０５_ＡのＩＤ２０２および内容２０３部分を認証する。この認証は、パケットペイロードと共にハッシュ(hash)された共有シークレット(shared secret)に基づいてもよい。一実施形態では、ＨＭＡＣ認証は、パケットをテスト／構成パケットとしてポジティブに識別するだけでなく、これらが正当なソース１０１から来たことを識別する。一実施形態では、共有シークレットが、テスト／構成パケット１０５Ａのソース（図１のソース１０１）と、プロトコル汎用傍受装置１０４との間で共有されることに注意されたい。パケットを特別なものとして識別するために、ＨＭＡＣ認証ハッシュは、ルーティングの最中に変化しないパケットヘッダ情報を含むことができるが、ＨＭＡＣ認証トークンに続くパケットペイロードは含まない。これは、たとえば、ＩＰヘッダＴＴＬ（存続時間(time to live）は、ホップ(hop)からホップで変化するので、この例ではハッシュ内に含まれない、ということを意味する。実現を簡単にするために、すなわち、すべてのフィールドに注意を払う必要をなくすために、ソース１０１は、パケットヘッダをペイロードにコピーするだけでよい。その後、傍受装置１０４は、ＨＭＡＣ認証だけでなく、ペイロード内のパケットヘッダが実際のパケットヘッダの部分と一致するかどうかを検証してもよい。この保護形態は、攻撃者が自分のパケットを使用して内容をカットアンドペーストする偽装攻撃に対する保護である。

データパケットの内容は、多くの方法で認証されることができることを理解されたい。ＨＭＡＣは一例としての技術であり、基本的には、何らかの共有シークレットでデータペイロードをハッシュすることである。ここでも同様に、本発明の実施形態は、このようなＨＭＡＣ認証技術に制限されるものではない。

図３は、本発明の一実施形態に従う動作フロー図を示す。動作ブロック３０１では、傍受装置１０４は、ソース１０１から、傍受装置以外の宛先１０２に向けて、通信網１０３上で通信されるパケット１０５を捕捉する。動作ブロック３０２では、傍受装置１０４は、該捕捉したパケットのペイロードをスキャンし、所定の識別子２０２を検索する。動作ブロック３０３では、傍受装置１０４は、該所定の識別子２０２がパケットのペイロードで発見されるかどうかを判断する。このような所定の識別子２０２が見つからない場合、動作はブロック３０４に進んで、パケットの終わりに達したかどうかを判断する。まだパケットの終わりに達していない場合、動作はブロック３０２に戻り、傍受装置は、パケットのスキャンを続ける。パケットの終わりに達している場合、パケットが、傍受装置の目的とする情報を含んでいなかったと考えられ、動作はブロック３０２に戻って、次のパケットを捕捉する。

一実施形態によれば、傍受装置は、見つけたハッシュＩＤ２０２に続く内容２０３の読み取りを開始し、認証トークン２０４に到着するまでこれを継続する。傍受装置が、各ハッシュバイトに関して認証トークン２０４が存在する場所をあらかじめ知らない場合、続いているバイトが認証トークンを表すかどうかをチェックする。この場合、該装置は、新しいバイトが読まれるたびに、共有シークレットによる生成物(product)をハッシュして、それを、その後に続くバイトと比較しなければならないため、非常に時間のかかるプロセスになる。本発明のこの実施形態の典型的な応用では、ＩＤ２０２は、内容２０３の大きさ（サイズ）および認証トークン２０４を探す場所を示す。したがって、ＩＤ２０２は、傍受装置の目的である内容を含んでいることを識別する情報を含むだけではなく、内容２０３の長さを指定すると共に認証トークン２０４を見つける場所を指定するものとして傍受装置が理解できる情報の所定の可変フィールドを含む。所定の識別子２０２がパケットのペイロード内に見つかった場合、動作は、ブロック３０３からブロック３０５に進む。ブロック３０５では、傍受装置は、パケットのペイロードに含まれる認証トークン２０４を使用してパケットを認証する。動作ブロック３０５では、傍受装置は、パケットのＩＤおよび内容が正常に認証されたかどうかを判断する。認証されていなければ、動作はブロック３０２に戻り、パケット内で前のＩＤが見つかった位置の後ろからスキャンを続け、別の（真の）ＩＤが含まれているかどうかを判断する。ＦＰＧＡまたはＡＳＩＣ実装では、ＩＤが見つかるたびに並列ハッシュを行うことができる。

ＩＤおよびパケットの内容が正常に認証されると、動作はブロック３０６から３０７に進む。ブロック３０７では、傍受装置は、パケットのペイロードが、傍受装置の目的である内容２０３を含むかどうかを判断する。これに応答して、何らかの方法で該目的の内容に対して操作（作用）する、または該目的の内容を使用するなどの、さらなる動作を行うよう、傍受装置をトリガしてもよい。たとえば、該内容を構成情報として使用してもよいし、および／または、それよりも前にノードによって挿入されたタイムスタンプを抽出し、１方向遅延を求めてもよい。たとえば、送信側プローブは、パケットペイロード内にシーケンス番号およびタイムスタンプを挿入することができ、シンク（下流）側プローブに知らせる動作コードを挿入することもできる。このような動作コードにより、シンクプローブは、パケットの最初の１２８バイトを得て、この情報を、該パケットがシンクプローブに到着したときのタイムスタンプと共に、或るデータ収集装置に送ることができる。該パケットの１２８バイトは、データ収集装置により分析され、このパケットが、何に関するものかを判断することができる。また、捕捉され分析された同じ種類の多くのパケットがデータ収集装置にある場合、データ収集装置は、シーケンス番号およびタイムスタンプから、パケット遅延、パケット遅延の変動およびパケット損失を判断することができる。プローブは、パケットが何についてのものかまったく知らなくてよい。動作はその後、ブロック３０１に戻り、ここで、傍受装置は、別のパケットを捕捉し、上記のプロセスが繰り返される。

上記のように、本発明の所定の実施形態は、テストまたは構成パケットとして傍受装置による処理を受けるパケットを識別するために、パケットヘッダ内にデータリンク層またはネットワーク層のアドレスを使用することを必要としない。テスト／構成パケットなどの目的のパケットを識別するために、傍受装置により使用されるプロトコル汎用技術が提供される。本発明の実施形態の一つの用途は、ソースからＩＰアドレスを介してネットワークアドレス指定できないネットワーク装置の構成について、である。たとえば、該装置は、ＩＰアドレスがまだ構成されておらず、または、該装置が位置するサブネット上に利用可能な十分なＩＰアドレスがない場合がある。本明細書で使用する「傍受装置」という用語は、ネットワークアドレス指定できない任意のこのようなネットワーク装置、および、ネットワークアドレス指定できるが別の宛先に向けられたパケットを傍受する任意のネットワーク装置を含む。すなわち、図１の装置１０４は、これらいずれかのタイプの装置であってよい。たとえば、２つのルータのみをリンクするサブネット上で、該サブネットが２つのＩＰアドレスだけを許容することはよくある。このような場合、ネットワークアドレス指定可能な第３の装置を追加することはできない。既存の通信網のサブネット構造を変更することは大変な仕事で、ＩＰアドレススペースは貴重なものであるので、可能でもなく望ましくもない場合がある。

例えば接続性、パケット遅延の変動、パケット損失を判断するのに使用することができる、今日行われる有効な性能テストは、特別なパケットヘッダを有するパケットを使用する場合がある。これらのパケットは、通信網を介して伝送される本当のパケットを表わさず、よって通信網のインフラストラクチャによって異なるように扱われることがある。たとえば、ｐｉｎｇ（ピング）ユーティリィティは、特定のＵＤＰパケットを使用する。ｔｒａｃｅｒｏｕｔｅ（トレースルート）ユーティリィティに関しても同じことが言える。しかしながら、本発明の実施形態では、実際のトラフィックを表すパケットヘッダも含め、任意のパケットヘッダの使用を可能にする。これは、アクティブなテストパケットが、実際の通常のトラフィックと同じ経路および同じルーティングルールに従うことを意味する。言いかえれば、本発明の実施形態により、パケットヘッダの内容とは関係なく、これらのパケットを、特別なテストパケットおよび構成パケットとして識別することを可能にする。さらに本発明の一部の実施形態によれば、特定の傍受装置で傍受されるための特別なパケットを送信する経路を、ソース１０１があらかじめ知る必要はない。これは、上記のように利用可能なＩＰアドレスがないために、ソース１０１が経路を知らない場合に有益である。従って、本発明の実施形態では、テストパケットが宛先に伝送され、これらのパケットが該経路上で種々のネットワーク装置（本明細書では「傍受装置」と呼んでいる）によって傍受され、該傍受装置によって該パケットがテストパケットと識別される、ことが可能となる。

本発明の一部の実施形態は、従来行われていたネットワーク装置のアドレス指定よりも柔軟な方法を有利に提供する。特別なテストパケットまたは構成パケットは、パケットヘッダにおいて、明示的に、データリンク層またはネットワーク層のアドレスを使用する必要がない。本発明の実施形態では、テストパケットは、パケットヘッダの視点から見ると、他の実際の通常のパケットのように見える。これは、このようなパケットが、実際の通常のトラフィック経路に従い、実際のトラフィックと同じルーティング規則に従うことを意味する。上述のように、本技術は、パケットを、傍受装置の目的とするパケットとして識別するプロトコル汎用方式を可能にする。
本発明の一実施形態では、上記の傍受装置の目的とする内容（コンテンツ）は、ソースによって該傍受装置宛てに送られるデータを含む。該データは、テストデータを含むことができる。また、該データは、該傍受装置を構成する構成データを含むことができる。

本発明および本発明の利点を詳細に説明したが、特許請求の範囲が定義する本発明から離れることなく、種々の変更、置換、変化が可能であることを理解されたい。さらに、本出願の範囲は、明細書に記述されたプロセス、機械、製造、組成、手段、方法、ステップの特定の実施形態に制限されることを意図するものではない。開示から容易に理解されるように、現在存在するかまたは今後開発され、本明細書に記述された対応する実施形態と実質的に同じ機能を行うかまたは実質的に同じ結果を達成するプロセス、機械、製造、組成、手段、方法、ステップも使用することができる。従って、特許請求の範囲は、このようなプロセス、機械、製造、組成、手段、方法、ステップも範囲内に含めることを意図するものである。

本発明の一実施形態を具体化する典型的なシステムを示す図。 本発明の一実施形態による通信パケットの典型的な構成を示す図。 本発明の一実施形態による動作フロー図。

符号の説明

１００ システム
１０１ データソース装置
１０２ 宛先装置
１０３ 通信網
１０４ プロトコル汎用の傍受装置
１０５ パケット
２０２ ＩＤ
２０３ 内容
２０４ トークン

Claims (22)

1. 傍受装置が、通信網上で伝送されるパケットを捕捉するステップと、
   前記傍受装置が、前記パケットのペイロードをスキャンするステップと、
   前記傍受装置が、前記パケットのペイロード内に、該傍受装置が目的とする内容を含むパケットであることを識別するための識別子が含まれているかどうかを判断するステップと、
   前記傍受装置が、前記パケットのペイロード内に含まれる認証トークンを使用して、該パケットのペイロードを認証するステップであって、該認証は、
   前記パケットのペイロードのうちの画定された少なくとも一部分を共有シークレットとともにハッシュすることと、
   前記ハッシュした結果が前記認証トークンに一致した場合に、前記パケットのペイロードを認証することと、
   を含む、認証するステップと、
   前記パケットのペイロードが前記識別子を含むとの判断と、前記パケットのペイロードの認証と、に基づいて、前記傍受装置が、前記パケットのペイロード内に含まれる前記目的とする内容を使用するステップと、
   を含む方法。
2. 前記パケットは、ソースから、前記傍受装置以外の宛先に送られる、請求項１に記載の方法。
3. 前記パケットのペイロードが前記識別子を含み、前記パケットのペイロードが認証されたと判断した場合に、前記傍受装置が、前記目的とする内容を使用する、請求項１に記載の方法。
4. 前記認証トークンが、前記パケット内の前記識別子および前記目的とする内容を認証する、請求項１に記載の方法。
5. 前記目的とする内容は、ソースによって前記傍受装置宛てに送られるデータを含む、請求項１に記載の方法。
6. 前記データは、テストデータを含む、請求項５に記載の方法。
7. 前記テストデータは、前記ソースから前記傍受装置への前記パケットの伝送遅延を測定するためのデータを含む、請求項６に記載の方法。
8. 前記データは、前記傍受装置を構成するための構成データを含む、請求項５に記載の方法。
9. 通信網上で、ソースから、傍受装置とは別の宛先に向かうよう伝送されるパケットを、前記傍受装置が捕捉するステップと、
   前記傍受装置が、所定の識別子を検索するために、捕捉したパケットのペイロードをスキャンするステップと、
   前記捕捉したパケットに前記識別子があるとき、前記傍受装置は、前記捕捉したパケットのペイロードのうちの画定された少なくとも一部分を共有シークレットとともにハッシュし、該ハッシュした結果が、前記パケットのペイロードに含まれる認証トークンに一致した場合に前記捕捉したパケットを認証するステップと、
   認証した場合、前記傍受装置は、対応する前記パケットのペイロードには前記傍受装置が目的とする内容が含まれる、と判断するステップと、
   を含む方法。
10. 認証され前記識別子が見出された前記パケットのペイロード内に含まれる前記目的とする内容を前記傍受装置が使用するステップをさらに含む、請求項９に記載の方法。
11. 前記使用するステップが、前記傍受装置を構成するために前記目的とする内容を使用するステップを含む、請求項１０に記載の方法。
12. 前記使用するステップが、前記目的とする内容をテスト用に使用するステップを含む、請求項１０に記載の方法。
13. 前記認証することが、前記認証トークンを使用して前記パケット内に含まれる前記所定の識別子および前記目的とする内容を認証することを含む、請求項９に記載の方法。
14. 前記パケットが、前記所定の識別子と前記目的とする内容とを含むウォレット部分を含み、前記認証トークンが、該ウォレット部分を認証する、請求項９に記載の方法。
15. 前記目的とする内容が、前記ソースによって前記傍受装置宛てに送られるデータを含む、請求項９に記載の方法。
16. 認証トークンを生成するステップと、
    傍受装置のための内容を含むパケットを形成するステップであって、該パケットは、ヘッダ部分およびペイロード部分を含み、該ペイロード部分は、
    （ａ）前記パケットが前記傍受装置のための内容を含むことを識別する所定の識別子と、
    （ｂ）前記傍受装置のための内容と、
    （ｃ）前記所定の識別子と前記傍受装置のための内容とを認証する前記認証トークンと、
    を含む、ステップと、
    通信網を介して前記パケットを宛先に送るステップと、
    を含み、
    前記認証トークンを生成するステップは、前記ペイロード部分の少なくとも一部分を共有シークレットとともにハッシュすることを含む、方法。
17. 前記宛先は、前記傍受装置以外の宛先を含む、請求項１６に記載の方法。
18. 前記傍受装置が前記パケットを傍受するステップをさらに含む、請求項１７に記載の方法。
19. 前記傍受装置のための内容がテストデータを含む、請求項１６に記載の方法。
20. 前記テストデータは、ソースから前記傍受装置への前記パケットの伝送遅延を測定するためのデータを含む、請求項１９に記載の方法。
21. 前記傍受装置のための内容が、該傍受装置を構成するための構成データを含む、請求項１６に記載の方法。
22. 認証され前記識別子が見出された前記パケットのペイロードに含まれる前記傍受装置のための内容を前記傍受装置が使用するステップをさらに含む、請求項１８に記載の方法。

Images