JP5460085B2 - 情報処理装置、通信システム、それらの制御方法、及びプログラム - Google Patents

Description

本発明は、ネットワークインターフェース装置を介してネットワークに接続され、当該ネットワーク上の外部装置との間で暗号化通信を実行可能な情報処理装置、または該ネットワークインターフェース装置と該情報処理装置とを含む通信システムに関する。

従来、待機時の消費電力を抑えるための省電力モードを備える情報処理システムが知られている。このような情報処理システムの一例として、メインＣＰＵを備える本体側の情報処理装置と、サブＣＰＵを備えるＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）装置とから構成される通信システムがある。このような通信システムでは、省電力モード中は本体側の情報処理装置を省電力モードに移行させ、消費電力が小さいＮＩＣ装置側の各モジュールには通常の電力供給を行ったままの状態で待機することが一般的である。

また、特許文献１には、省電力モードへ移行しメインＣＰＵに対する電力供給が停止されるときに、メインＣＰＵがサブＣＰＵに対して、応答すべきマルチキャストパケットのアドレスを通知しておくことが示されている。これにより、メインＣＰＵに対する電力供給が停止されている状態でマルチキャストパケットを受信したときに、メインＣＰＵの代わりにサブＣＰＵが応答することが可能となり、メインＣＰＵを起動させる必要がなくなる。つまり、メインＣＰＵに対する電力供給の停止をより長く継続させることができるため、省電力の効果が高まる。

ところで近年、機密情報を保護するために、ネットワーク経路を暗号化して通信するための技術として、ＩＰＳｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ）やＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）等が知られている。これらの技術を用いれば、データを暗号化された状態でネットワークを介して送受信することができ、情報の漏洩を防止することができる。

特開２００６−２５９９０６号公報

上述したように、本体側の情報処理装置が省電力モードに移行したときに、応答すべきパケットの情報をＮＩＣ装置に登録しておくことにより、ＮＩＣ装置が本体側の情報処理装置の代わりに受信パケットに対する応答を行うことができる。

しかしながら、ＮＩＣ装置が本体側の情報処理装置の代理で応答する場合に、ネットワーク介して送信されてくるパケットが暗号化されていると、ＮＩＣ装置による応答をうまく行うことができない場合がある。

つまり、本体側の情報処理装置の代わりとしてＮＩＣ装置に応答を行わせようとする場合、ＮＩＣ装置が応答すべきパケットのパターンと、そのパターンにマッチするパケットに対する応答として送信すべきパケットとを登録しておく。そして、登録されたパターンにマッチするパケットを受けたＮＩＣ装置がそのパターンに対応するパケットを送信することになる。このとき、ＮＩＣ装置が受けるパケットが暗号化されていると、たとえそのパケットの内容が登録されたパターンにマッチするものであったとしても、暗号化されたままのパケットと登録されたパターンとを比較すると、マッチしないものと判定してしまう。

この場合、本体側の情報処理装置を省電力モードから復帰させて、ＮＩＣ装置が受けたパケットを本体側の情報処理装置に転送する必要がある。従って、本体側の情報処理装置を通常電力モードに復帰させる回数が増加し、省電力の効果が小さくなってしまう。

また、ＮＩＣ装置にも本体側の情報処理装置と同一の暗号化／復号化の処理を行うための構成を備えさせることも考えられるが、一般的にＮＩＣ装置のハードウェア構成（ＣＰＵの処理能力やメモリ容量）は本体側の情報処理装置よりも乏しいことが多い。このため、例えば、暗号化通信を行うためのアルゴリズムが複数存在する場合に、本体側の情報処理装置が有する複数のアルゴリズムの全てをＮＩＣ装置にも備えさせることは困難な場合がある。

従って、本体側の情報処理装置とネットワーク上の外部装置との間で特定のアルゴリズムを使用する暗号化通信のためのセッションが確立されている状態で、本体側の情報処理装置が省電力モードに移行すると、同様の問題が発生する場合がある。即ち、ＮＩＣ装置が上記特定のアルゴリズムを有していなければ、ＮＩＣ装置が受けたパケットを復号化することができず、やはりＮＩＣ装置でのパターンマッチがうまく行えない。

本発明は、上記の問題点に鑑みなされたものである。即ち、情報処理装置が省電力モードに移行する際に、暗号化通信で使用されるアルゴリズムを、ネットワークインターフェース装置が有するアルゴリズムに変更する仕組みを提供することを目的とする。

上記の目的を達成するために本発明の情報処理装置は、ネットワークインターフェース装置を介してネットワークに接続され、当該ネットワーク上の外部装置との間で暗号化通信を実行可能な情報処理装置であって、前記情報処理装置が第１の電力モードから当該第１の電力モードよりも消費電力が小さい第２の電力モードに移行するための条件を満たしたことを検知する検知手段と、前記外部装置との間で実行している暗号化通信のアルゴリズムを前記ネットワークインターフェース装置がサポートしているか否かを判定する判定手段と、前記検知手段が前記第１の電力モードから前記第２の電力モードに移行するための条件を満たしたことを検知した場合であって、かつ、前記暗号化通信のアルゴリズムを前記ネットワークインターフェース装置がサポートしてないと前記判定手段が判定した場合に、前記暗号化通信のアルゴリズムを前記ネットワークインターフェース装置がサポートしているアルゴリズムに変更するように前記外部装置に対して要求する要求手段と、を備えることを特徴とする。

本発明によれば、情報処理装置が省電力モードに移行する際に、暗号化通信で使用されるアルゴリズムを、ネットワークインターフェース装置が有するアルゴリズムに変更する仕組みを提供することができる。

通信システム１００のハードウェア構成を示すブロック図である。 通信システム１００のソフトウェア構成を示す図である。 通信システム１００を含むネットワークの全体図である。 情報処理装置１１０の動作を説明するためのフローチャートである。 情報処理装置１１０の動作を説明するためのフローチャートである。 ＮＩＣ１２０の動作を説明するためのフローチャートである。 代理応答パターンＤＢ２１４に登録される受信パケットパターンの一例を示す。 代理応答パターンＤＢ２１４に登録される送信パケットの一例を示す。 セキュリティポリシーＤＢ２０２に格納されたセキュリティポリシー情報を示す。 暗号鍵情報ＤＢ２１１に登録されたＳＡ情報を示す。 暗号化処理部２０９が送信するアルゴリズム変更要求パケットの一例を示す。 暗号化処理部２０９が送信するアルゴリズム変更要求パケットの一例を示す。

以下、図面を参照して本発明の実施の形態を詳しく説明する。尚、以下の実施の形態は特許請求の範囲に係る発明を限定するものでなく、また実施の形態で説明されている特徴の組み合わせの全てが発明の解決手段に必須のものとは限らない。

（第１の実施形態）
図１は、本発明の第１の実施形態における通信システムのハードウェア構成を示すブロック図である。通信システム１００は、情報処理装置１１０及びＮＩＣ１２０を含む。情報処理装置１１０は、ＮＩＣ１２０を介してＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）１６０に接続されている。

ＣＰＵ１１１は、情報処理装置１１０のソフトウェアプログラムを実行し、装置全体の制御を行う。ＲＡＭ１１２は、ランダムアクセスメモリであり、ＣＰＵ１１１が装置を制御する際に、一時的なデータの格納などに使用される。ＲＯＭ１１３は、リードオンリーメモリであり、装置のブートプログラムや固定パラメータ等が格納されている。

ＨＤＤ１１４は、ハードディスクドライブであり、様々なデータの格納に使用される。タイマ１１５は、経過時刻の管理を行う。ＮＶＲＡＭ１１６は、不揮発性のメモリであり、情報処理装置１１０の各種設定値を保存するためのものである。操作部Ｉ／Ｆ（インターフェース）１１７は、操作部１３０を制御し、操作部１３０に備えられた液晶パネルに各種操作画面を表示させるとともに、操作画面を介して入力されるユーザからの指示をＣＰＵ１１１に伝達する。

デバイスＩ／Ｆ１１８は、スキャナ１４０及びプリンタ１５０を制御する。スキャナ１４０は、原稿上の画像を読み取って画像データを生成する。プリンタ１５０は、画像データに基づく画像を記録媒体上に印刷する。拡張Ｉ／Ｆ１１９は、ＮＩＣ１２０側の拡張Ｉ／Ｆ１２４と接続され、ＮＩＣ１２０を介してＬＡＮ１６０上の外部装置とのデータ通信を制御する。

ＣＰＵ１２１は、ＮＩＣ１２０のソフトウェアプログラムを実行し、装置全体の制御を行う。ＲＡＭ１２２は、ランダムアクセスメモリであり、ＣＰＵ１２１が装置を制御する際に、一時的なデータの格納などに使用される。ＲＯＭ１２３は、リードオンリーメモリであり、装置のブートプログラムや固定パラメータ等が格納されている。

拡張Ｉ／Ｆ１２４は、情報処理装置１１０側の拡張Ｉ／Ｆ１１９と接続され、情報処理装置１１０とＮＩＣ１２０との間のデータ通信を制御する。ＮｅｔｗｏｒｋＩ／Ｆ１２５は、ＬＡＮ１６０に接続され、ＮＩＣ１２０（情報処理装置１１０、通信システム１００）とＬＡＮ１６０上の外部装置との間のデータ通信を制御する。

情報処理装置１１０は、通常電力モードと、通常電力モードよりも消費電力が小さい省電力モードのいずれかを切り替えて動作することができる。通常電力モードから省電力モードに移行する場合は、ＣＰＵ１１１、ＨＤＤ１１４、ＮＶＲＡＭ１１６などに対する電力供給が停止される。一方、ＮＩＣ１２０側は、情報処理装置１１０とは別のＡＣＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）で動作している。このため、情報処理装置１１０が省電力モードに移行した状態においてもＮＩＣ１２０に対しては電力供給が継続され、後述する代理応答機能を実現する。

図２は、通信システム１００のソフトウェア構成を示す図である。ソフトウェア構成も、情報処理装置１１０側とＮＩＣ１２０側とに分けて構成される。

ＮｅｔｗｏｒｋＩ／Ｆ部２２０は、ＬＡＮ１６０を介したネットワークパケットの送受信を制御する。パケット処理部２１６は、ＬＡＮ１６０を介して送受信するパケットの処理を行う。Ｉｎｐｕｔ／ＯｕｔｐｕｔＩ／Ｆ部２１３は、情報処理装置１１０との間のパケットおよびコマンドの送受信を行う。

ＮＩＣ制御部２１５は、ＮＩＣ１２０の起動や動作状態を管理する。代理応答パターンＤＢ２１４は、代理応答機能を実現するために必要な代理応答情報（例えば、パケットパターン）を登録する。暗号化処理部２１７は、送受信パケットを暗号化／復号化する。暗号化処理部２１７には、暗号化／復号化の処理を行うために必要な暗号アルゴリズムや認証アルゴリズムを格納する暗号化モジュール部２１８が含まれる。セキュリティ情報ＤＢ２１９には、暗号化／復号化の処理に必要な鍵情報などが格納される。

Ｉｎｐｕｔ／ＯｕｔｐｕｔＩ／Ｆ２１２は、ＮＩＣ１２０との間のパケットおよびコマンドの送受信を行う。プロトコルスタック２０８は、ネットワークパケットの送受信を制御する。プロトコルスタックの上位には様々なネットワークプロトコルおよびアプリケーションが存在する。ここでは一例としてＳＮＭＰ（Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）モジュール２０６及びＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）モジュール２０７を備える例を説明する。

暗号化処理部２０９は、プロトコルスタック２０８にフックして、送受信するパケットを暗号化／復号化する処理部であり、各種の暗号アルゴリズム及び認証アルゴリズムを暗号化モジュール２１０に格納する。暗号鍵情報ＤＢ２１１は、動的に生成されるセキュリティ情報を格納するＤＢである。例えば、外部装置とのネゴシエーションで決定した共有鍵情報や有効時間、暗号アルゴリズム、認証アルゴリズムなど動的に変化する情報を格納する。

一方、セキュリティポリシーＤＢ２０２には、どの外部装置とどのような暗号アルゴリズムで通信するかといった静的な設定情報（セキュリティポリシー情報）が格納される。セキュリティポリシー情報は、ＵｓｅｒＩ／Ｆ部２０１を介して、ユーザが任意の設定に変更することが可能である。セキュリティポリシー登録部２０３は、セキュリティポリシーＤＢ２０２から設定情報を読み込み、暗号化処理部２０９へ設定を反映させる制御部である。設定反映は起動時に一度だけ行ってもよいし、ＵｓｅｒＩ／Ｆ部２０１を介して設定変更の指示を受けるたびに設定反映を行ってもよい。

代理応答登録部２０４は、ＮＩＣ１２０が情報処理装置１１０の代わりに（情報処理装置１１０の代理として）応答すべきパケットを特定するための受信パケットのパターン、及び応答する送信パケットの内容をＮＩＣ１２０に通知して登録させる。通知するタイミングは起動時に一度だけ行ってもよいし、ＵｓｅｒＩ／Ｆ部２０１を介して設定変更の指示を受けるたびに行っても良い。

スリープ制御部２０５は、情報処理装置１１０の省電力モードへの移行及び通常電力モードへの復帰を制御する。また、スリープ制御部２０５は、情報処理装置１１０を省電力モードに移行させる直前に、ＮＩＣ１２０や暗号化処理部２０９に対して、省電力モードへ移行することを事前通知する。

図３は、通信システム１００を含むネットワークの全体図である。なお、本実施形態では、暗号化通信の一例として、ネットワーク上の各装置がＩＰｓｅｃを用いたデータ通信を実行可能である場合について以下に説明するが、暗号化方式はＩＰｓｅｃに限らず他の方式を採用しても構わない。

通信システム１００は、ＬＡＮ１６０を介して、ＰＣａ３０１、ＰＣｂ３０２、ＰＣｃ３０３、及びルーター３０４と通信可能に接続されている。なお、ここではルーター３０４配下の同一リンクに存在する装置のみを示しているが、通信システム１００が、ルーター３０４を介して通信システム１００に接続された外部装置と通信する場合にも、同様に適用可能である。

情報処理装置１１０とＮＩＣ１２０とが含まれる通信システム１００には、共通のＩＰアドレスとして、１９２．１６８．０．１００が設定されている。このＩＰアドレスはＩＰｖ４でもＩＰｖ６でもよい。情報処理装置１１０がサポートしている暗号アルゴリズムは３ＤＥＳ−ＣＢＣ、ＡＥＳ−ＣＢＣ、ＡＥＳ−ＧＣＭ、ＡＥＳ−ＣＴＲである。また、情報処理装置１１０がサポートしている認証アルゴリズムは、ＭＤ５、ＳＨＡ１、ＳＨＡ２５６、ＳＨＡ５１２である。

一方、ＮＩＣ１２０がサポートしている暗号アルゴリズムは３ＤＥＳ−ＣＢＣ、ＡＥＳ−ＣＢＣである。また、ＮＩＣ１２０がサポートしている認証アルゴリズムはＭＤ５、ＳＨＡ１である。

ＰＣａ３０１には、ＩＰアドレスとして１９２．１６８．０．１が設定されている。ＰＣａ３０１がサポートする暗号アルゴリズムは３ＤＥＳ−ＣＢＣ、ＡＥＳ−ＣＢＣであり、認証アルゴリズムはＭＤ５、ＳＨＡ１である。

ＰＣｂ３０２には、ＩＰアドレスとして１９２．１６８．０．２が設定されている。ＰＣｂ３０２がサポートする暗号アルゴリズムはＡＥＳ−ＧＣＭ、ＡＥＳ−ＣＢＣ、認証アルゴリズムはＳＨＡ２５６、ＳＨＡ５１２、ＳＨＡ１である。

ＰＣｃ３０３には、ＩＰアドレスとして１９２．１６８．０．５が設定されている。ＰＣｃ３０３がサポートする暗号アルゴリズムはＡＥＳ−ＣＢＣ、ＡＥＳ−ＣＴＲ、認証アルゴリズムはＳＨＡ２５６、ＳＨＡ１、ＭＤ５である。

図４乃至図６は、外部装置との間で暗号化通信を実行するためのセッションが確立されている状態で情報処理装置１１０が省電力モードに移行するときに、外部装置との暗号化通信で使用されるアルゴリズムを変更する処理を説明するフローチャートである。

図４及び図５のフローチャートに示す各動作（ステップ）は、情報処理装置１１０のＣＰＵ１１１が制御プログラムを実行することにより実現される。また、図６のフローチャートに示す各動作（ステップ）は、ＮＩＣ１２０のＣＰＵ１２１が制御プログラムを実行することにより実現される。

図４に示すフローチャートは、情報処理装置１１０が起動したときに開始される。ステップＳ４０１では、暗号化処理部２０９がＮＩＣ１２０の暗号化処理部２１７に対して、ＮＩＣ１２０がサポートする暗号アルゴリズム及び認証アルゴリズムの情報を問い合わせ、それらの情報をＮＩＣ１２０から取得する。取得した情報は、情報処理装置１１０内のメモリ（例えばＲＡＭ１１２）に保存する。なお、図３に示した例の場合、ＮＩＣ１２０は、サポートする暗号アルゴリズムとして３ＤＥＳ−ＣＢＣとＡＥＳ−ＣＢＣを、また、サポートする認証アルゴリズムとしてＭＤ５とＳＨＡ１を返答する。

ステップＳ４０２では、情報処理装置１１０が通常電力モードから省電力モードに移行するための条件を満たしていることが、スリープ制御部２０５により検知されたか否かを判定する。省電力モードに移行するための条件とは、例えば一定時間外部装置から自機宛てのパケットを受信しなかったことや、一定時間ユーザ操作が行われなかったこと、或いは省電力モードに移行するためのボタンが押下されたことなどが挙げられる。

スリープ制御部２０５が、省電力モードに移行するための条件を満たしていることを検知した場合、スリープ制御部２０５は、省電力モードに移行することを暗号化処理部２０９、代理応答登録部２０４、及びＮＩＣ制御部２１５に通知する。

ステップＳ４０３では、省電力モードに移行することを通知された代理応答登録部２０４が、情報処理装置１１０の代わりにＮＩＣ１２０が応答すべきパケットを特定するための受信パケットパターンと、応答として送信する送信パケットを作成する。そして、代理応答登録部２０４は、作成した受信パケットパターンと送信パケットとを、代理応答パターンＤＢ２１４に登録する。

図７は、代理応答パターンＤＢ２１４に登録される受信パケットパターンの一例として、ＳＮＭＰリクエストを特定するためのパターンを示す。ＮＩＣ１２０のパケット処理部２１６は、この受信パケットパターンに基づいて、ＬＡＮ１６０から受信するパケットの中から代理応答すべきパケット（ＳＮＭＰリクエスト）を特定する。

図８は、代理応答パターンＤＢ２１４に登録される送信パケットの一例として、ＳＮＭＰリプライパケットを示す。ＮＩＣ１２０のパケット処理部２１６は、図７に示す受信パケットパターンに基づいてＳＮＭＰリクエストを受信したと判断した場合に、図８に示す内容のパケットを送信することにより代理応答を行う。

図４の説明に戻り、ステップＳ４０４では、省電力モードに移行することを通知された暗号化処理部２０９が、外部装置との間で暗号化通信を実行するためのセッションを確立しているかどうかを判断する。この判断は、暗号鍵情報ＤＢ２１１にＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）情報が登録されているかどうかに基づいて行われる。

通信システム１００には、図９に示すようなセキュリティポリシー情報が設定され、この情報がセキュリティポリシーＤＢ２０２に格納されている。セキュリティポリシー情報とは、通信システム１００に対して定められたセキュリティポリシーを示すものである。

通信システム１００では、暗号化処理部２０９がＬＡＮ１６０上の外部装置とネゴシエーションを行い、暗号化通信を実行するためのセッションを確立した場合に、図１０（ａ）に示すようなＳＡ情報が暗号鍵情報ＤＢ２１１に登録される。そして、時間が経過するにつれて、或いは暗号化通信を実行する度にＳＡ情報は動的に更新されていく。

図１０（ａ）には、通信システム１００が、外部装置であるＰＣａ３０１及びＰＣｂ３０２との間で暗号化通信を実行するためのセッションを確立している状態の例を示す。

ステップＳ４０４の判定の結果、外部装置との間で暗号化通信を実行するためのセッションが確立されていると判定した場合はステップＳ４０５に進み、そうでなければステップＳ４１０に進む。

ステップＳ４０５では、暗号化処理部２０９が、現在確立しているセッションに基づく暗号化通信で使用されるアルゴリズムをＮＩＣ１２０がサポートしているか否かを判定する。この判定は、図１０（ａ）のテーブルで管理されている情報と、ステップＳ４０１でＮＩＣ１２０から取得した情報とを比較することにより行う。

つまり、図１０（ａ）に示す例では、ＰＣａ３０１との間で確立したセッションで使用される暗号アルゴリズム／認証アルゴリズムは、それぞれ３ＤＥＳ−ＣＢＣ／ＳＨＡ１であり、これらのアルゴリズムはいずれもＮＩＣ１２０がサポートしているものである。一方、ＰＣｂ３０２との間で確立したセッションで使用される暗号アルゴリズム／認証アルゴリズムは、それぞれＡＥＳ−ＧＣＭ／ＳＨＡ２５６であり、これらのアルゴリズムはいずれもＮＩＣ１２０がサポートしていないものである。従って、この場合は、暗号化処理部２０９は、ＰＣｂ３０２との間で確立しているセッションで使用するアルゴリズムをＮＩＣ１２０がサポートしていないと判断する。

ステップＳ４０５の判定の結果、現在確立しているセッションで使用されるアルゴリズムをＮＩＣ１２０がサポートしていないと判定した場合はステップＳ４０６に進み、サポートしていると判定した場合はステップＳ４０９に進む。

ステップＳ４０６では、既に確立しているセッションに基づく暗号化通信で使用するアルゴリズムを変更する処理を行う。ステップＳ４０６での処理の詳細は図５に示す。

ステップＳ５０１では、暗号化処理部２０９が、暗号鍵情報ＤＢ２１１に格納されているＳＡ情報の中から、ステップＳ４０５でＮＩＣ１２０がサポートしていないと判断されたセッションに設定されている認証アルゴリズムを取得する。図１０（ａ）に示す例では、ＰＣｂ３０２との間で確立されているセッションで使用される認証アルゴリズムであるＳＨＡ２５６が取得される。

ステップＳ５０２では、暗号化処理部２０９が、取得したＳＨＡ２５６が、ＮＩＣ１２０がサポートするアルゴリズムであるかどうかを判断する。なお、図１０（ａ）に示す例では、上述した通り、ＰＣｂ３０２との間で確立されているセッションは、暗号アルゴリズム及び認証アルゴリズムの両方が、ＮＩＣ１２０がサポートしていないものとなっている。しかしながら、暗号アルゴリズム及び認証アルゴリズムのいずれか一方でもＮＩＣ１２０がサポートしていない場合は、ステップＳ４０５で否定判定となり、ステップＳ４０６（ステップＳ５０１）に進むことになる。このため、ステップＳ５０２では、取得した認証アルゴリズムについて、改めてＮＩＣ１２０がサポートしているものであるかどうかを判断する。

通信システム１００の場合、ＮＩＣ１２０がサポートする認証アルゴリズムはＭＤ５及びＳＨＡ１であるため、ＮＩＣ１２０はＳＨＡ２５６をサポートしていない。そこで、この場合は、ステップＳ５０４に進み、暗号化処理部２０９は、ＰＣｂ３０２に対して提案する認証アルゴリズムをＮＩＣ１２０がサポートする認証アルゴリズムであるＭＤ５及びＳＨＡ１と決定する。仮にここで、ＮＩＣ１２０がＳＨＡ２５６をサポートしていれば、ステップＳ５０３に進み、ＰＣｂ３０２に対して提案する認証アルゴリズムをＳＡ情報に設定されているＳＨＡ２５６と決定する。

ステップＳ５０５乃至Ｓ５０８では、ステップＳ５０２乃至Ｓ５０４で行ったものと同様の処理を、暗号アルゴリズムについて行う。

ステップＳ５０５では、暗号化処理部２０９が、暗号鍵情報ＤＢ２１１に格納されているＳＡ情報の中から、ステップＳ４０５でＮＩＣ１２０がサポートしていないと判断されたセッションに設定されている暗号アルゴリズムを取得する。図１０（ａ）に示す例では、ＰＣｂ３０２との間で確立されているセッションで使用される暗号アルゴリズムであるＡＥＳ−ＧＣＭが取得される。

ステップＳ５０６では、暗号化処理部２０９が、取得したＡＥＳ−ＧＣＭが、ＮＩＣ１２０がサポートするアルゴリズムであるかどうかを判断する。通信システム１００の場合、ＮＩＣ１２０がサポートする暗号アルゴリズムは３ＤＥＳ−ＣＢＣ及びＡＥＳ−ＣＢＣであるため、ＮＩＣ１２０はＡＥＳ−ＧＣＭをサポートしていない。そこで、この場合は、ステップＳ５０８に進み、暗号化処理部２０９は、ＰＣｂ３０２に対して提案する暗号アルゴリズムをＮＩＣ１２０がサポートする暗号アルゴリズムである３ＤＥＳ−ＣＢＣ及びＡＥＳ−ＣＢＣと決定する。仮にここで、ＮＩＣ１２０がＡＥＳ−ＧＣＭをサポートしていれば、ステップＳ５０７に進み、ＰＣｂ３０２に対して提案する暗号アルゴリズムをＳＡ情報に設定されているＡＥＳ−ＧＣＭと決定する。

外部装置（ＰＣｂ３０２）に対して提案するアルゴリズムが決定したら、ステップＳ２５０９において、暗号化処理部２０９は図１１に示すアルゴリズム変更要求パケットを外部装置に対して送信する。ここでは、ＮＩＣ１２０がサポートする認証アルゴリズムと暗号アルゴリズムの全ての組み合わせを提案するものとする。

ＡＥＳ−ＣＢＣの鍵長は１２８ビット固定としているが、１９２ビットや２５６ビットを選択肢に入れてもよい。また、組み合わせの優先順位も図１１ではＡＥＳ−ＣＢＣとＳＨＡ１のペアが一番上位にあるが、システムが任意の順序で入れ替えてもよいし、ユーザが選択できるようにしてもよい。この例ではセキュリティ強度が高い順に、優先順位を高くしてある。

外部装置（ＰＣｂ３０２）は、提案された組み合わせの中から任意の組み合わせを選択することができるが、ここではＡＥＳ−ＣＢＣ及びＳＨＡ１の組み合わせが選択されるものとする。この結果、変更されたアルゴリズムで新しいセッションが確立され、図１０（ｂ）に示すようにＳＡ情報が更新される。

また、仮に暗号化処理部２０９がＡＥＳ−ＣＢＣ及びＳＨＡ２５６を使用して外部装置（ＰＣｂ３０２）と暗号化通信を実行するためのセッションを確立していたとすると、図１２に示すアルゴリズム変更パケットを送信する。つまり、ＳＡ情報にセットされている暗号アルゴリズムＡＥＳ−ＣＢＣはＮＩＣ１２０がサポートしているものであるため変更する必要がなく、認証アルゴリズムのみを変更することを要求するものである。なお、暗号アルゴリズム及び認証アルゴリズムのうちいずれか一方のみがＮＩＣ１２０がサポートしていないものである場合でも、図１１に示すようにＮＩＣ１２０がサポートするアルゴリズムの全ての組み合わせを提案するようにしても構わない。

ステップＳ４０７では、暗号化処理部２０９が、外部装置（ＰＣｂ３０２）に対するアルゴリズムの変更要求が成功したかどうかを判断する。外部装置（ＰＣｂ３０２）にアルゴリズム変更要求が拒否された場合は、アルゴリズムを変更せずにそのまま処理を進めるか、あるいは暗号化通信を実行するためのセッションを破棄する要求を送信し、平文通信をするようにしてもよい。

ステップＳ４０８では、暗号化処理部２０９は変更前のＳＡ情報（図１０（ａ））をＲＡＭ１１２またはＮＶＲＡＭ１１６に保持する。これは省電力モードから通常電力モードに復帰した後に、変更前のアルゴリズムに戻す変更要求を行うためである。

ステップＳ４０９では、暗号化処理部２０９は、その時点での暗号鍵情報ＤＢ２１１のＳＡ情報を取得し、セキュリティ情報ＤＢ２１９へ送信する。

移行準備処理（上述したアルゴリズム変更処理）を完了させた暗号化処理部２０９及び代理応答登録部２０４は、一連の移行準備処理が終了した旨をスリープ制御部２０５に通知する。そして、ステップＳ４１０において、スリープ制御部２０４は、スリープに移行したことをＮＩＣ制御部２１５に通知するとともに、ＣＰＵ１１１、ＨＤＤ１１４、ＮＶＲＡＭ１１６などへの通電を停止する命令を発行し、省電力モードに移行させる。

ステップＳ４１１では、スリープ制御部２０５が、情報処理装置１１０が省電力モードから復帰するための条件を満たしたか否かを判断する。この復帰条件は、例えば、ネットワーク経由でＷＯＬ（Ｗａｋｅ Ｏｎ ＬＡＮ）パケットを受信したことや、操作部１３０のスリープ復帰ボタンを押下されたことなどが挙げられる。

情報処理装置１１０が省電力モードから復帰するための条件を満たした場合は、ステップＳ４１２において、情報処理装置１１０を通常電力モードに復帰させる。つまり、ＣＰＵ１１１、ＨＤＤ１１４、ＮＶＲＡＭ１１６などに対する電力供給を再開する。

ステップＳ４１３では、暗号化処理部２０９は、省電力モードに移行する前に外部装置との間で暗号化通信を実行するためのセッションを確立していたかどうかを判断する。この判断は、暗号鍵情報ＤＢ２１１のＳＡ情報に基づいて行う。なお、このときＳＡ情報は図１０（ｂ）のような登録内容となっているため、暗号化処理部２０９はセッションを確立していたと判断する。ステップＳ４１３の判定の結果、セッションを確立していたと判定した場合はステップＳ４１４に進み、そうでなければそのまま処理を終了する。

ステップＳ４１４では、暗号化処理部２０９が、ＮＩＣ１２０のセキュリティ情報ＤＢ２１９からＳＡ情報を取得する。このとき取得したＳＡ情報は図１０（ｃ）のような登録内容であるものとする。省電力モードに以降していた時間が１時間、その間にＩＰｓｅｃによるＳＮＭＰ通信が何回か発生したとすると、ＳＡ情報のうち経過時間、経過バイト、シーケンス番号などが更新されている。

暗号化処理部２０９は、暗号鍵情報ＤＢ２１１に保存されている図１０（ｂ）のＳＡ情報を、取得した図１０（ｃ）のＳＡ情報に更新する。

ステップＳ４１５では、暗号化処理部２０９が、ステップＳ４０８で保持した省電力モードに移行する前（アルゴリズム変更前）のＳＡ情報と、図１０（ｃ）の最新のＳＡ情報とを比較する。そして、省電力モードに移行する際にアルゴリズムを変更したかどうかを判断し、変更していればステップＳ４１６に進み、変更していなければそのまま処理を終了する。

ステップＳ４１６では、暗号化処理部２０９が、ステップＳ４０８で保持した省電力モードに移行する前（アルゴリズム変更前）のＳＡ情報を基に、外部装置（ＰＣｂ３０２）に対して使用するアルゴリズムの変更要求パケットを送信する。このとき提案する暗号アルゴリズムはＡＥＳ−ＧＣＭ、認証アルゴリズムはＳＨＡ２５６を提案する。外部装置（ＰＣｂ３０２）は提案されたアルゴリズムをサポートしているため、アルゴリズムの変更は成功し、図１０（ｄ）の通りＳＡ情報が更新される。

次に、ＮＩＣ１２０側の動作について図６に示すフローチャートを用いて説明する。ステップＳ６０１では、ＮＩＣ制御部２１５が、情報処理装置１１０の代理応答登録部２０４から代理応答情報を受信したかどうかを判断する。代理応答情報を受信した場合は、ステップＳ６０２に進み、受信した代理応答情報を代理応答パターンＤＢ２１４に格納する。

ステップＳ６０３では、情報処理装置１１０装置の暗号化処理部２０９からＳＡ情報が送信されてきたかどうかを判断し、送信されてきた場合は受信したＳＡ情報をセキュリティ情報ＤＢ２１９に格納する（ステップＳ６０４）。情報処理装置１１０が外部装置との間で暗号化通信を実行するためのセッションを確立していない場合はＳＡ情報が送信されてこないため、ステップＳ６０４の処理を省略してステップＳ６０５に進む。

ステップＳ６０５では、ＮＩＣ制御部２１５は、スリープ制御部２０５から省電力モードに移行したことを通知されたかどうかを判断する。通知を受けた場合は、ステップＳ６０６に進み、ＮＩＣ１２０の代理応答機能を有効（オン）にする。代理応答機能を無効（オフ）にしている状態の場合、ＮＩＣ１２０のパケット処理部２１６はＬＡＮ１６０から受信するパケットの全てを情報処理装置１１０に転送する。一方、代理応答機能を有効にしている状態の場合は、パケット処理部２１６は、受信パケットに対してパターンマッチングを行うとともに、代理応答すべきパケットかどうか、暗号化および復号化すべきパケットかどうかを判断する。

ステップＳ６０７では、パケット処理部２１６が、ＬＡＮ１６０からパケットを受信したかどうかを判断する。パケットを受信した場合はステップＳ６０８に進み、そうでなければパケットを受信するまで待機する。

ステップＳ６０８では、パケット処理部２１６が、受信したパケットが暗号化されているかどうかを判断する。暗号化されているかどうかは、例えばＩＰｓｅｃ場合、ＩＰヘッダのプロトコルフィールドの値で判別することができる。ＥＳＰパケットの場合はこのフィールドにプロトコル番号５０（０ｘ３２）のＩＤが、ＡＨパケットの場合はプロトコル番号５１（０ｘ３３）のＩＤが格納されている。受信データが暗号化されていると判断した場合は、パケット処理部２１６は受信したパケットを暗号化処理部２１７に転送し、ステップＳ６０９に進む。

ステップＳ６０９では、暗号化処理部２１７が、暗号化されている受信パケットがセキュリティ情報ＤＢ２１９に格納されているＳＡ情報（図１０（ｂ））にマッチするかどうかを判断する。具体的には送信元アドレス、宛先アドレス、送信元ポート番号、宛先ポート番号を参照し、一致するＳＡ情報があれば、マッチしたと判断する。

ステップＳ６１０では、暗号化処理部２１７は。一致したＳＡ情報に設定されている鍵情報およびアルゴリズムを基にパケットデータを復号化する。復号化が完了したらパケット処理部２１６へ復号化した平文データを転送する。また、セキュリティ情報ＤＢ２１９に保存されているＳＡ情報のシーケンス番号や経過バイトなどが更新される。

ステップＳ６１１では、パケット処理部２１６が、受信したパケットが代理応答すべきパケットパターンに一致するかどうかを判断する。ここでは、受信パケットが代理応答パターンＤＢ２１４に登録されているいずれか一つのパケットパターンに一致した場合は、代理応答すべきであると判断する。代理応答すべきであると判断した場合は、代理応答で送信すべきパケットが対応付けて登録されているので、ステップＳ６１２に進み、そのパケットの送信準備を行うために、送信すべきパケットを暗号化処理部２１７に転送する。

ステップＳ６１２では、暗号化処理部２１７が、パケットを暗号化すべきかどうかを判断する。具体的には送信元アドレス、宛先アドレス、送信元ポート番号、宛先ポート番号を参照し、一致するＳＡ情報があれば、暗号化すべきであると判断する。

パケットを暗号化すべきであると判断した場合は、ステップＳ６１３に進み、一致したＳＡ情報の鍵情報やアルゴリズムを基にパケットの暗号化を行う。パケットの暗号化が完了したら、暗号化処理部２１７は、暗号化したパケットをパケット処理部２１６に転送する。なお、暗号化する必要がない場合はステップＳ６１３の処理を省略し、暗号化処理部２１７は、パケットを平文のままパケット処理部２１６に転送する。

ステップＳ６１４では、パケット処理部２１６が代理応答パケットデータを送信し、その後ステップＳ６０７に戻り、再びパケットデータ受信待ち状態となる。

一方、ステップＳ６１１で代理応答すべきでないと判断した場合は、ステップＳ６１５に進み、パケット処理部２１６は、受信したパケットがＷＯＬパケットに該当するかどうかを判断する。ＷＯＬパケットに該当するかどうかは、代理応答情報と同様にして予め登録されているパケットパターンに一致するかどうかに基づいて判断される。ＷＯＬパケットに該当しないと判断した場合、受信したパケットは破棄した後ステップＳ６０７に戻り、再びパケットデータ受信待ち状態となる。

ステップＳ６１５の判断の結果、ＷＯＬパケットに該当すると判断した場合は、パケット処理部２１６はその旨をＮＩＣ制御部２１５へ通知し、ＮＩＣ制御部２１５が情報処理装置１１０のスリープ制御部２０５に通常電力モードへの復帰を指示する。また、ステップＳ６１７では、ＮＩＣ１２０の代理応答機能を無効（オフ）にする。つまり、これより後にＬＡＮ１６０から受信したパケットは全て情報処理装置１１０に転送される。

ステップＳ６１８では、パケット処理部２１６が、受信したＷＯＬパケットを情報処理装置１１０へ転送し、処理を終了する。

以上により、外部装置との間で暗号化通信を実行するためのセッションが確立されている状態で省電力モードに移行する場合に、暗号化通信で使用されるアルゴリズムを、ネットワークインターフェース装置が有するアルゴリズムに変更することができる。

即ち、情報処理装置が省電力モードに移行した後、外部装置からはネットワークインターフェース装置が有するアルゴリズムを用いて暗号化されたパケットが送信されてくるため、ネットワークインターフェース装置がこのパケットを復号化することができる。そして、復号化したパケットを、代理応答情報として登録されているパターンと比較することにより、ネットワークインターフェース装置が情報処理装置の代わりに応答すべきかどうかを判断することが可能となる。つまり、暗号化されたパケットが外部装置から送信されてきた場合であっても、ネットワークインターフェース装置が代理応答することが可能となるため、情報処理装置を通常電力モードに復帰させる回数を減らすことができる。

なお、本実施例では、ＩＰｓｅｃを暗号化通信の例に挙げて説明したが、暗号通信技術はＳＳＬやＴＬＳ、ＩＥＥＥ８０２．１Ｘ、ＳＳＨ、ＭＡＣアドレスセキュリティなどプロトコルを限定せずに適用できる。また、特定の暗号アルゴリズム、認証アルゴリズムを限定せずに適用することができる。

また、本発明の目的は、以下の処理を実行することによっても達成される。即ち、上述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）が記憶媒体に格納されたプログラムコードを読み出す処理である。

この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施の形態の機能を実現することになり、そのプログラムコード及び該プログラムコードを記憶した記憶媒体は本発明を構成することになる。

Claims (13)

1. ネットワークインターフェース装置を介してネットワークに接続され、当該ネットワーク上の外部装置との間で暗号化通信を実行可能な情報処理装置であって、
   前記情報処理装置が第１の電力モードから当該第１の電力モードよりも消費電力が小さい第２の電力モードに移行するための条件を満たしたことを検知する検知手段と、
   前記外部装置との間で実行している暗号化通信のアルゴリズムを前記ネットワークインターフェース装置がサポートしているか否かを判定する判定手段と、
   前記検知手段が前記第１の電力モードから前記第２の電力モードに移行するための条件を満たしたことを検知した場合であって、かつ、前記暗号化通信のアルゴリズムを前記ネットワークインターフェース装置がサポートしてないと前記判定手段が判定した場合に、前記暗号化通信のアルゴリズムを前記ネットワークインターフェース装置がサポートしているアルゴリズムに変更するように前記外部装置に対して要求する要求手段と、
   を備えることを特徴とする情報処理装置。
2. 前記暗号化通信のアルゴリズムを前記ネットワークインターフェース装置がサポートしていると前記判定手段が判定した場合、前記要求手段は、前記暗号化通信のアルゴリズムを変更するように前記外部装置に対して要求しないことを特徴とする請求項１に記載の情報処理装置。
3. 前記ネットワークインターフェース装置がサポートしているアルゴリズムを示す情報を、該ネットワークインターフェース装置から取得する取得手段を更に備え、
   前記判定手段は、前記取得手段が取得した情報に基づいて前記判定を行うことを特徴とする請求項１又は２に記載の情報処理装置。
4. 前記要求手段による要求の結果、前記暗号化通信のアルゴリズムが変更された場合に、変更前のアルゴリズムを示す情報を保持する保持手段を更に備え、
   前記情報処理装置が前記第２の電力モードから前記第１の電力モードに移行する場合に、前記要求手段が、前記保持手段により保持されている情報に基づいて、前記暗号化通信のアルゴリズムを前記変更前のアルゴリズムに変更するよう前記外部装置に要求することを特徴とする請求項１から３のいずれか１項に記載の情報処理装置。
5. 前記要求手段による要求の結果、前記暗号化通信のアルゴリズムが変更された後、前記外部装置との間で前記暗号化通信を実行するために確立されているセッションに関する情報を前記ネットワークインターフェース装置に通知する通知手段を更に備えることを特徴とする請求項１から４のいずれか１項に記載の情報処理装置。
6. 前記情報処理装置が前記第２の電力モードであるときに前記ネットワークインターフェース装置により実行された暗号化通信の結果に基づく情報を、該ネットワークインターフェース装置から受信する受信手段を更に備えることを特徴とする請求項１から５のいずれか１項に記載の情報処理装置。
7. 前記受信手段は、前記情報処理装置が前記第２の電力モードから前記第１の電力モードに移行したことに応じて、前記ネットワークインターフェース装置により実行された暗号化通信の結果に基づく情報を受信することを特徴とする請求項６に記載の情報処理装置。
8. 前記アルゴリズムは、少なくとも、前記暗号化通信を実行する際に使用される暗号アルゴリズム及び認証アルゴリズムのいずれか一方を含むことを特徴とする請求項１から７のいずれか１項に記載の情報処理装置。
9. 前記暗号化通信は、ＩＰｓｅｃを用いた通信であることを特徴とする請求項１から８のいずれか１項に記載の情報処理装置。
10. 前記ネットワークを介して送信されてくるデータに対する応答を、前記情報処理装置の代わりに前記ネットワークインターフェース装置に行わせるために必要な代理応答情報を、前記ネットワークインターフェース装置に登録する登録手段を更に備え、
    前記情報処理装置が前記第２の電力モードで動作する場合に、前記ネットワークインターフェース装置が前記代理応答情報に基づいて前記ネットワークを介して送信されてくるデータに対する応答を行うことを特徴とする請求項１から９のいずれか１項に記載の情報処理装置。
11. 前記検知手段が前記第１の電力モードから前記第２の電力モードに移行するための条件を満たしたことを検知した場合に、前記登録手段が前記代理応答情報を前記ネットワークインターフェース装置に登録することを特徴とする請求項１０に記載の情報処理装置。
12. ネットワークインターフェース装置を介してネットワークに接続され、当該ネットワーク上の外部装置との間で暗号化通信を実行可能な情報処理装置の制御方法であって、
    検知手段が、前記情報処理装置が第１の電力モードから当該第１の電力モードよりも消費電力が小さい第２の電力モードに移行するための条件を満たしたことを検知する検知工程と、
    判定手段が、前記外部装置との間で実行している暗号化通信のアルゴリズムを前記ネットワークインターフェース装置がサポートしているか否かを判定する判定工程と、
    検知手段が、前記検知工程で前記第１の電力モードから前記第２の電力モードに移行するための条件を満たしたことが検知された場合であって、かつ、前記暗号化通信のアルゴリズムを前記ネットワークインターフェース装置がサポートしていないと前記判定工程で判定された場合に、前記暗号化通信のアルゴリズムを前記ネットワークインターフェース装置がサポートしているアルゴリズムに変更するように前記外部装置に対して要求する要求工程と、
    を備えることを特徴とする情報処理装置の制御方法。
13. 請求項１２に記載の情報処理装置の制御方法をコンピュータに実行させるためのプログラム。