JP5640226B2 - 第１ドメインのクライアントと第２ドメインのサーバとの間でセキュアな通信チャネルを確立するための装置、方法およびプログラム - Google Patents

第１ドメインのクライアントと第２ドメインのサーバとの間でセキュアな通信チャネルを確立するための装置、方法およびプログラム Download PDF

Info

Publication number
JP5640226B2
JP5640226B2 JP2012551197A JP2012551197A JP5640226B2 JP 5640226 B2 JP5640226 B2 JP 5640226B2 JP 2012551197 A JP2012551197 A JP 2012551197A JP 2012551197 A JP2012551197 A JP 2012551197A JP 5640226 B2 JP5640226 B2 JP 5640226B2
Authority
JP
Japan
Prior art keywords
domain
session
partially
circuit
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2012551197A
Other languages
English (en)
Other versions
JP2013518522A (ja
Inventor
ロング、メン
エス． グレウォール、カランヴィア
エス． グレウォール、カランヴィア
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Intel Corp
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Publication of JP2013518522A publication Critical patent/JP2013518522A/ja
Application granted granted Critical
Publication of JP5640226B2 publication Critical patent/JP5640226B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/60—Digital content management, e.g. content distribution
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/76—Proxy, i.e. using intermediary entity to perform cryptographic operations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)

Description

本開示は、少なくとも一部ノード間で実行される暗号化通信を少なくとも一部試験することを可能とするノード間のセキュアな通信チャネルを少なくとも一部確立する方法に関する。
従来の構成において、企業のネットワークが、第２ネットワークノードに接続される第１ネットワークノードを含む場合を考える。第２ネットワークノードは、企業ネットワークを、第３ネットワークノードを含む外部ネットワークに接続してもよい。第２ネットワークノードは、企業ネットワークから外部ネットワークへと渡されるパケット及び外部ネットワークから企業ネットワークへと渡されるパケットの試験及び／又は解析を伴う、企業ネットワークのためのセキュリティ機能を提供してもよい。
従来のネットワーク配置では、第１ネットワークノード及び第３ネットワークノードは、互いに暗号化された通信を交換してもよい。第１ネットワークノードと第３ネットワークノードとの間では交換されるが第２ネットワークへは開示されない暗号化キーに基づいて、この通信が実行されてもよい。これにより、第２ネットワークノードが、第１ネットワークノードと第３ネットワークノードとの間で暗号化された通信の内容を試験及び／又は分析することを不可能にしている。しかしながら、この構成は、企業のセキュリティを危険に晒す可能性があり、企業ネットワークに悪影響を与える可能性がある（例えば、企業ネットワークにウイルスの侵入を許す等）。
更に、相対的に多数のセキュアな接続が、第２ネットワークノードを横断している場合がある。この従来の配置では、意味のある試験及び／又はその他の分析を実行するために、第２ネットワークノードは、多数の接続のそれぞれを、それぞれの暗号キー及び／又はその他の情報と関連付ける。処理可能な接続の数が大幅に限られ、このような関連付け処理のスピードが制限される従来の配置では、接続の拡張性の問題が生じる。
また、従来の配置では、これらセキュアな接続の数及び特徴は、時間軸上で一定ではなく、相対的に短期間で大きく変化する場合が多い。接続が大幅に変化することを考慮して、意味のある試験及び／又はその他の分析を実行するためには、接続同期処理の大きなオーバーヘッドを第２ネットワークノードに課すことになる。
また、従来の配置では、第１ノードと第３ノードとの間のセキュアな接続はそれぞれ、第２ノードと第３ノードとの間の対応する接続と関係している場合がある。第２ネットワークノードと第３ネットワークノードとの間のセキュアな接続それぞれについて、第２ネットワークは、それぞれのセキュアな接続を確立するのに使用されてもよい第３ネットワークとの暗号化キーをそれぞれ交渉してもよい。従来の配置では相対的に多数の接続が存在することから、暗号化キーの交渉及びそれに関連して多数のハンドシェイクが望ましくないほど多数発生し、第２ノードと第３ノードとの間で多数のキーについての交渉が行われることになる。また、この従来の配置では、多量のキーを記憶及び処理しなくてはならない。
実施形態の特徴及び利点が、以下の詳細な説明及び図面を参照することにより明らかとなるであろう。図面間において、同様な構成要素には同様な参照番号が付与されている。
システムの実施形態を示した図である。 一実施形態における特徴を示した図である。 一実施形態における特徴を示した図である。 一実施形態における特徴を示した図である。 一実施形態におけるオペレーションを示した図である。
以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
図１には、システムの実施形態１００が示されている。システム１００は、別のドメイン７０と通信可能に接続されてもよい企業ドメイン５１を含んでもよい。ドメイン７０は、少なくとも一部、企業ドメイン５１の外側であってもよく、少なくとも一部インターネットドメインを含む及び／又は利用してもよい。企業ネットワーク５１は、１以上のゲートウェイ及び／又はネットワークアプライアンスノード１２０に通信可能に接続されてもよい１以上のクライアントネットワークノード１０を含んでもよい。１以上のノード１２０は、ドメイン７０に含まれていてもよい１以上のサーバノード３０及び／又はドメイン７０に通信可能に接続されていてもよい。
本実施形態において、"ノード"という言葉は、例えば、終端局、家電、マスストレージ、中間局、ネットワークインターフェース、クライアント、サーバ、スマートフォン、その他の通信デバイス及び／又はその部分のような、ネットワークに通信可能に接続されるエンティティを指す。本実施形態において、"クライアント"及び／又は"クライントノード"という言葉は、必ずしもこれが必要というわけではないが終端局を含むノードという意味に交換可能に使用される場合がある。本実施形態において、終端局は、スマートフォン又はその他の通信デバイスであってもよい。また、本実施形態において、"中間ノード"、"ゲートウェイ"、"ゲートウェイノード"、"ネットワークアプライアンス"、及び／又は、"ネットワークアプライアンスノード"という言葉は、複数のその他のノードに通信可能に接続されてもよいノードを意味するように交換可能に使用される場合があり、例えば、ファイヤーウォール、スイッチング、フォワーディング、ゲートウェイ、侵入検出、負荷バランシング、及び／又は、ルーティングサービス及び／又は機能のような１以上のサービス及び／又は機能を提供、促進及び／又は実装してもよい（必ずしも、提供することが必要であるわけではないが）。本実施形態において、"サーバ"及び／又は"サーバノード"という言葉は、例えば、データ格納、読み出し及び／又は処理機能のような１以上のサービス及び／又は機能を１以上のクライアントに提供、促進及び／又は実装するノードを意味する言葉として交換可能に使用される場合がある。本実施形態において、"ネットワーク"は、互いに通信可能に接続される２つ以上のノードであってもよい、又は、この２つ以上のノードを含んでもよい。また、本実施形態において、一方のノードが、例えば、１以上の有線及び／又は無線通信リンクを介して、１以上のコマンド及び／又はデータを他方のノードから送信及び受信可能である場合、一のノードは他のノードに"通信可能に接続"されてもよい。本実施形態において、"無線通信リンク"は、少なくとも２つのノードが少なくとも部分的に無線通信接続されることを可能にする様式及び／又は部分を意味してもよい。本実施形態において、"有線通信リンク"とは、少なくとも２つのノードが少なくとも部分的に非無線手段を介して少なくとも部分的に通信接続されることを可能にする様式及び／又は部分を意味してもよい。また、本実施形態で使用されている、データという言葉は、１以上のコマンドである又は１以上のコマンドを含んでもよく、１以上のコマンドはデーアであってもよい又はデータを含んでもよい。
１以上のノード１２０は、回路基板（ＣＢ）１４を含んでもよい。ＣＢ１４は、１以上のホストプロセッサ、及び／又は、チップセット集積回路１２及びコンピュータ読み出し／書き込み可能メモリ２１を備えるシステムマザーボードであってもよい、又は、そのようなシステムマザーボードを含んでもよい。ＣＢ１４は、ＣＢ１４の構成要素（例えば、１以上の集積回路１２及び／又はメモリ２１）及びＣＣ２２の構成要素（例えば、Ｃ２２に含まれる演算可能回路１１８）が、互いに通信可能に接続されるような態様で、回路カード（ＣＣ）２２がＣＢ１４と電気的及び機械的に結合することを可能とする１以上のコネクタ（図示せず）を備えてもよい。
これに替えて又は加えて、本実施形態の範囲において、１以上の集積回路１２及び／又はメモリ２１に含まれる回路の一部又は全てが、回路１１８に含まれていてもよく、及び／又は、回路１１８の一部又は／全てが、１以上の集積回路１２及び／又はメモリ２１に含まれていてもよい。
また、本実施形態において"回路"は、例えば、アナログ回路、デジタル回路、有線接続された回路、ブログラム可能回路、状態機械回路、及び／又は、プログラマブル回路によって実行されてもよいプログラム命令を含むメモリを単体で、又は、これらの組み合わせを含んでもよい。本実施形態では、"集積回路"とは、例えば、半導体集積回路チップのような、半導体デバイス及び／又はマイクロ電子デバイスを意味してもよい。更に、本実施形態では、"ホストプロセッサ"、"プロセッサ"、"プロセッサコア"、"コア"及び／又は"コントローラ"という言葉は、少なくとも部分的に１以上の算術及び／又は論理演算を実行する能力を有する回路を意味するべく交換可能に使用される場合がある。また、本実施形態では、"チップセット"とは、少なくとも部分的に、１以上のプロセッサ、メモリ及び／又はその他の回路に通信可能に接続できる回路を含んでもよい。
ノード１０、１２０及び／又は３０はそれぞれ、図示しないユーザインターフェースを備えてもよく、ユーザインターフェースは、例えば、キーボードポインティングデバイス及び人間がコマンドを入力可能な表示システムを備え、各ノード及び／又はシステム１００のオペレーションを監視する。演算可能回路１１８は、１以上のクライアント１０及び／又は１以上のサーバ３０と通信可能に接続されていてもよい。
回路１１８は、１以上の集積回路１５を含んでもよい。１以上の集積回路１５は、１以上のプロセッサコア１２４及び／又は暗号化回路１２６を含んでもよい。この実施形態において、回路１１８、１以上の集積回路１５、１以上のコア１２４及び／又は回路１２６は、少なくとも部分的に、本明細書に記載される回路１１８によって実行される暗号化及び／又は関連オペレーションを実行可能であってもよい。
１以上の機械可読プログラム命令は、コンピュータ可読／書き込み可能メモリ２１に格納されてもよい。１以上のノード１２０のオペレーションにおいて、これら命令は、１以上の集積回路１２、回路１１８、１以上の集積回路１５、１以上のプロセッサコア１２４及び／又は回路１２６によって実行及び／又はアクセスされてもよい。１以上の命令が実行されると、１以上の集積回路１２、回路１１８、１以上の集積回路１５、１以上のプロセッサコア１２４及び／又は回路１２６は、本明細書に記載されるように１以上の集積回路１２、回路１１８、１以上の集積回路１５、１以上のプロセッサコア１２４及び／又は回路１２６によって実行されるオペレーションを実行する。メモリ２１は、半導体ファームウェアメモリ、プログラマブルメモリ、不揮発性メモリ、リードオンリーメモリ、電気的プログラマブルメモリ、ランダムアクセスメモリ、フラッシュメモリ、磁気ディスクメモリ、光ディスクメモリ、及び／又は、その他の又は後に開発されるコンピュータ可読及び／又は書き込み可能メモリのうちの１以上の種類のメモリを含んでもよい。
本実施形態において、"ドメイン"は、１以上のノード及び（図示しない）ドメインオーソリティを含む。本実施形態において、"ドメインオーソリティ"は、一部又は全部が、認証、特定及び／又はセキュリティを伴う及び／又は関係する１以上の機能、特徴、プロトコル及び／又はオペレーションを少なくとも部分的に、提供、実装及び／又は促進可能な１以上のエンティティを含んでもよい。例えば、ドメイン５１及び／又は７０はそれぞれ、１以上のノード１０、１２０及び／又は３０に通信可能に接続されてもよい１以上の対応するドメインオーソリティ（図示せず）を含んでもよい。これに替えて又は加えて、システム１００における１以上のドメインオーソリティの機能及び／又はオペレーションの全て又は一部は、少なくとも部分的に、１以上のノード１２０及び／又は３０によって実行されてもよい。
回路１１８は、データ及びコマンドを１以上の通信プロトコルに従って、１以上のクライアント１０と及び／又は１以上のサーバ３０と交換してもよい。例えば、本実施形態では、これら１以上のプロトコルは、例えば、イーサーネットプロトコル、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）プロトコル、セキュリティアーキテクチャｆｏｒＩＰ（ＩＰｓｅｃ）及び／又はトランスポートレイヤセキュリティ（ＴＬＳ）プロトコルに準拠してもよい。
システム１００で利用可能なイーサーネットプロトコルは、２０００年１０月２０日発行の電気電子技術者協会（ＩＥＥＥ）規格、８０２．３、２０００年エディションに記載されたプロトコルに準拠してもよい。システム１００で利用可能なＴＣＰ／ＩＰプロトコルは、１９８１年発行のインターネット・エンジニアリング・タスクフォース（ＩＥＴＦ）のリクエストフォーコメンツ（ＲＦＣ）７９１及び７９３に記載されているプロトコルに準拠してもよい。システム１００で利用可能なＩＰｓｅｃプロトコルは、２００５年１２月に発行されたＩＥＴＦ ＲＦＣ４３０１に記載されているプロトコルに準拠してもよい。システム１００で利用可能なＴＬＳプロトコルは、２００６年４月に発行されたＩＥＴＦ ＲＦＣ４３４６"トランスポートレイヤセキュリティ（ＴＬＳ）プロトコルバージョン１．１"に記載されたプロトコルに準拠してもよい。無論、上記のプロトコル及び／又はその他のプロトコルの後に開発されるバージョンを含む、数多くの異なる、更なる及び／又はその他のプロトコル（例えば、セキュリティに関する及び／又は実装プロトコル）を、本実施形態の範囲内で、データ及び／又はコマンドの交換に使用してもよい。
図５に示すように、システム１００は、少なくとも部分的に、オペレーション５００を実行してもよい。例えば、システム１００のオペレーションでは、回路１１８は、データ及び／又はコマンドを、１以上のクライアント１０及び／又は１以上のサーバ３０とやりとりしてもよく、少なくとも部分的に、１以上のクライアント１０及び／又は１以上のサーバ３０との間の１以上のセキュアな通信チャネル５４を、回路１１８及び／又は１以上の図示しない非中間ノードを介して確立してもよい（オペレーション５０２参照）。本実施形態において、１以上のチャネル５４は、ドメイン５１における１以上のセッション９０及びドメイン７０における１以上のセッション９２を含んでもよい。１以上のセッション９０は、少なくとも部分的に、１以上のクライアント１０及び１以上のノード１２０（すなわち、１以上のノード１２０における回路１１８）を通信可能に接続してもよい、又は、これらの間に存在してもよいドメイン５１における、１以上のセキュアなセッションである、又は、１以上のセキュアなセッションを含む。１以上のセッション９２は、少なくとも部分的に、回路１１８及び１以上のサーバ３０を通信可能に接続してもよい、又は、これらの間に存在するドメイン７０における、１以上のセキュアなセッションである、又は、１以上のセキュアなセッションを含む。以下に説明するように、１以上のセッション９０及び１以上のセッション９２は、まとめて、１以上のチャネル５４を提供するように動作する。
本実施形態において、"セッション"及び"チャネル"という言葉は交換可能に使用される場合があり、少なくとも２つのエンティティの間でコマンド及び／又はデータを交換することを含む。また、本実施形態において、"セキュアなセッション"とは、少なくとも部分的に、データ及び／又はコマンドの少なくとも一部が暗号化されているセッションを含んでもよい。本実施形態において、"暗号化"及び／又は"暗号化する"とは、少なくとも部分的に、プレーンテキストから暗号文を生成すること及び／又はその生成を簡易にすることを含む１以上のオペレーションを含んでもよい。また、本実施形態において、"復号化（暗号解読）"及び／又は"復号化する"とは、少なくとも部分的に、暗号文からプレーンテキストを生成すること及び／又はその生成を簡易にすることを含む１以上のオペレーションを含んでもよい。また、本実施形態において、"プレーンテキスト"は、少なくとも部分的に暗号化されたデータ、及び／又は、暗号化及び／又は復号化がすでに行われた及び／又は暗号化及び／又は復号化の最中であるデータを含んでもよい。本実施形態において、"キー（鍵）"は、暗号化及び復号化で使用されてもよい１以上の符号及び／又は値を含んでもよい。
例えば、本実施形態において、１以上のクライアント１０は、１以上のクライアント１０と１以上のサーバ３０との間の１以上のセキュアなチャネル５４の確立を開始することを意図した１以上のパケットを、回路１１８に送信してもよい。これら１以上のパケットに応答して、少なくとも部分的に、回路１１８は、１以上のクライアント１０とデータ及び／又はコマンドをやりとりしてもよく、それにより１以上のセッション９０が確立されてもよい。本実施形態では、これと同時に、回路１１８は、１以上のサーバ３０とデータ及び／又はコマンドをやりとりしてもよく、それにより１以上のセッション９２が確立されてもよい。
回路１１８と１以上のクライアント１０との間のデータ及び／又はコマンドのやりとりの一部として、回路１１８は、セキュアな態様で（例えば、ＴＬＳ制御チャネルハンドシェイク、ＴＣＰ及び／又はＩＰオプションを伴うアウトバウンド技術、及び／又は、ＩＰｓｅｃインターネット鍵交換の一部として）、１以上のクライアントノード１０に、１以上のセッションキー（ＳＫ）８０を送信してもよい。１以上のキー８０を１以上のクライアント１０に送信する前に、１以上のノード１２０は、少なくとも部分的に１以上の暗号化オペレーションに基づいて（例えば、１以上の一方向ハッシング関数を含む）、少なくとも部分的に入力オペランドとして１以上のドメインキー（ＤＫ）７６及び１以上のデータセット（ＤＳ）７８を伴う１以上のキー８０を少なくとも部分的に生成してもよい。このように、少なくとも部分的に、１以上のノード１２０とドメイン５１内の１以上のクライアント１０との間の交渉の結果として、少なくとも部分的に、１以上のキー８０が生成されてもよい。
１以上のキー７６が、ドメイン５１内の図示しない１以上のドメインオーソリティによってドメイン５１に割り当てられてもよい。これら１以上のドメインオーソリティは、少なくとも部分的に、１以上のキー７６を生成して、これらを１以上のノード１２０に分配してもよい。しかしながら、１以上のドメインオーソリティ及び１以上のノード１２０は、１以上のクライアントノード１０及びその他のエンティティ（例えば、ドメイン５１内外のエンティティ）に対して、１以上のキー７６を秘密にしてもよい。１以上のデータセット７８は、少なくとも部分的に、回路１１８によって、１以上のクライアント１０から１以上のノード１２０へと送信された１以上のパケット２０４（図２参照）から抽出されてもよい（又は、取得されてもよい）。１以上のデータセット７８は、少なくとも部分的に、１以上のセッション９０と関連付けられていてもよい。例えば、１以上のデータセット７８は、少なくとも部分的に、１以上のセッション９０を特定できる１以上の値２０２を含んでもよい。この１以上の値２０２は、少なくとも部分的に、１以上のクライアント１０及び／又は１以上のノード１２０を特定する固有のＩＤを１以上連結したものであってもよい、又は、このようなものを含んでもよい。（少なくとも部分的に）これに替えて又はこれに加えて、１以上の値２０２は、少なくとも部分的に、１以上のサーバ３０のそれぞれのＩＤを１以上含んでもよい。これら固有のＩＤは、例えば、１以上のそれぞれのアドレス、ＩＰｓｅｃセキュリティパラメータインデックス、及び／又は、その他の値（例えば、セッションコンテキスト情報）であってもよい、又は、これらを含んでもよい。
本実施形態において、ドメイン５１の１以上の図示しないドメインオーソリティは、（１）１以上のキー７６がドメイン５１と一意的に関連付けられる、及び、（２）１以上のキー７６が１以上のキー８０から基本的に取得できない（例えば、現実的な暗号化の観点で）ような態様で、１以上のキー７６を生成してもよい。一実施形態において、１以上のキー７６は、暗号化法的に高度にランダムな１以上の番号であってもよい、又は、そのような番号を含んでもよい。
１以上のキー８０を使用して、クライアント１０の各々は、少なくとも部分的に、１以上のセッション９０を介して１以上のノード１２０に送信されるトラフィックのそれぞれを暗号化してもよく、また、少なくとも部分的に、１以上のセッション９０を介して１以上のノード１２０から受信されるトラフィックをそれぞれ復号化してもよい。本実施形態において、１以上のノード１２０へのトラフィックは、１以上の値２０２及び／又はデータセット７８がプレーンテキストとして送信される１以上のパケット（例えば、１以上のパケット２０４）を含んでもよい。１以上の値２０２及び／又は１以上のデータセット７８は、上記のような態様で１以上のキー７６と共に、１以上のキー８０を生成する１以上の暗号化オペレーションにおいて使用される場合に、１以上のキー８０の各々が、１以上のゲートウェイ１２０と１以上のクライアント１０との間の独立したそれぞれのセキュアなセッションを提供するのに使用可能な独立したセッションキーとなるように又はそのようなセッションキーを含むように、１以上の値２０２及び／又は１以上のデータセット７８が選択されてもよい。
回路１１８及び／又は１以上のサーバ３０との間でやりとりされるデータ及び／又はコマンドの一部として、回路１１８は、セキュアな態様で（例えば、ＴＬＳ制御チャネルハンドシェイク、ＴＣＰ及び／又はＩＰオプションを伴うアウトバウンド技術、及び／又は、ＩＰｓｅｃインターネット鍵交換の一部として）、１以上のサーバ３０に、１以上のセッションキー８２を送信してもよい。１以上のキー８２を１以上のサーバ３０に送信する前に、１以上のノード１２０は、少なくとも部分的に、１以上の暗号化オペレーションに基づいて（例えば、１以上の一方向ハッシング関数を含む）、少なくとも部分的に入力オペランドとして１以上のドメインキー７２及び１以上のデータセット７４を伴う１以上のキー８２を少なくとも部分的に生成してもよい。このように、少なくとも部分的に、ドメイン５１内の１以上のノード１２０とドメイン７０内の１以上のサーバ３０との間の交渉の結果として、少なくとも部分的に、１以上のキー８２が生成されてもよい。
１以上のキー７２が、ドメイン７０内の図示しない１以上のドメインオーソリティによってドメイン７０に割り当てられてもよい。これら１以上のドメインオーソリティは、少なくとも部分的に、１以上のキー７２を生成して、これらを１以上のノード１２０に分配してもよい。しかしながら、１以上のドメインオーソリティ及び１以上のノード１２０は、１以上のサーバ３０及びその他のエンティティ（例えば、ドメイン７０内外のエンティティ）に対して、１以上のキー７２を秘密にしてもよい。１以上のデータセット７４は、少なくとも部分的に、回路１１８によって、１以上のサーバ３０から１以上のノード１２０へと送信された１以上のパケット２０８（図２参照）から抽出されてもよい（又は、取得されてもよい）。１以上のデータセット７４は、少なくとも部分的に、１以上のセッション９２と関連付けられていてもよい。例えば、１以上のデータセット７４は、少なくとも部分的に、１以上のセッション９２を特定できる１以上の値２０６を含んでもよい。この１以上の値２０６は、少なくとも部分的に、１以上のサーバ３０及び／又は１以上のノード１２０を特定する固有のＩＤを１以上連結したものであってもよい、又は、このようなものを含んでもよい。（少なくとも部分的に）これに替えて又はこれに加えて、１以上の値２０６は、少なくとも部分的に、１以上のクライアント１０のそれぞれのＩＤを１以上含んでもよい。これら固有のＩＤは、例えば、１以上のそれぞれのアドレス、ＩＰｓｅｃセキュリティパラメータインデックス、及び／又は、その他の値（例えば、セッションコンテキスト情報）であってもよい、又は、これらを含んでもよい。
このように、本実施形態では、例えば、オペレーションのドメインに応じて、１以上の値２０６及び／又は１以上のデータセット７４は、少なくとも部分的に、１以上の値２０２及び／又は１以上のデータセット７８とそれぞれ同一であってもよい。これに替えて、本実施形態の範囲内において、例えば、オペレーションのドメインに応じて、１以上の値２０６及び／又は１以上のデータセット７４は、少なくとも部分的に、１以上の値２０２及び／又は１以上のデータセット７８とそれぞれ異なっていてもよい。
本実施形態において、ドメイン７０の１以上の図示しないドメインオーソリティは、（１）１以上のキー７２がドメイン７０と一意的に関連付けられる、及び、（２）１以上のキー７２が１以上のキー８２から基本的に取得できない（例えば、現実的な暗号化の観点で）ような態様で、１以上のキー７２を生成してもよい。一実施形態において、１以上のキー７２は、暗号化法的に高度にランダムな１以上の番号であってもよい、又は、そのような番号を含んでもよい。
１以上のキー８２を使用して、サーバ３０の各々は、少なくとも部分的に、１以上のセッション９２を介して１以上のノード１２０に送信されるトラフィックのそれぞれを暗号化してもよく、また、少なくとも部分的に、１以上のセッション９２を介して１以上のノード１２０から受信されるトラフィックをそれぞれ復号化してもよい。本実施形態において、１以上のノード１２０へのトラフィックは、１以上の値２０６及び／又はデータセット７４がプレーンテキストとして送信される１以上のパケット（例えば、１以上のパケット２０８）を含んでもよい。１以上の値２０６及び／又は１以上のデータセット７４は、上記のような態様で１以上のキー７２と共に、１以上のキー８２を生成する１以上の暗号化オペレーションにおいて使用される場合に、１以上のキー８２の各々が、１以上のゲートウェイ１２０と１以上のサーバ３０との間の独立したそれぞれのセキュアなセッションを提供するのに使用可能な独立したセッションキーとなるように又はそのようなセッションキーを含むように、１以上の値２０６及び／又は１以上のデータセット７４が選択されてもよい。本実施形態において、１以上のドメインキー７６は、少なくとも部分的に、１以上のドメインキー７２とは異なっていてもよい。
図２に示すように、本実施形態では、ドメイン５１において、１以上のクライアント１０は、複数のクライアント２２０Ａ…２２０Ｎを含んでもよく、１以上のセッション９０は、クライアント２２０Ａ…２２０Ｎと１以上のゲートウェイノード１２０との間の複数のセッション２３０Ａ…２３０Ｎを含んでもよい。セッション２３０Ａ…２３０Ｎはそれぞれ、クライアント２２０Ａ…２２０Ｎと１以上のノード１２０とを通信可能に接続してもよい。上記したように、これらセキュアなセッション２３０Ａ…２３０Ｎは、少なくとも部分的に、１以上のセッションキー８０のうちの対応する１つに基づいて生成されてもよい。
図３に示すように、１以上のセッション９２は、１以上のゲートウェイ１２０を１以上のサーバ３０に通信可能に接続可能である１つのセキュアなセッション３０２を含んでもよい。この配置では、セッション３０２は、少なくとも部分的に、セッション２３０Ａ…２３０Ｎをカプセル化してもよい（図２参照）。本実施形態において、カプセル化は、少なくとも部分的に、第１エンティティを少なくとも部分的に第２エンティティに組み込むこと、及び／又は、第１エンティティの情報の少なくとも一部を少なくとも部分的に第２エンティティに組み込むことを含んでもよく、例えば、１以上のパケットを１以上のフレームにカプセル化することを含む。
例えば、ネットワークトラフィック３０４は、セッション２３０Ａ…２３０Ｎを介して、クライアント２２０Ａ…２２０Ｎから、１以上のゲートウェイ１２０における回路１１８へと送信されてもよい。セッション２３０Ａ…２３０Ｎを介して回路１１８に送信される場合に、トラフィック３０４は、少なくとも部分的に１以上のセッションキー８０に基づいて、少なくとも部分的に、暗号化されてもよい。しかしながら、トラフィック３０４において、１以上のデータセット７８及び／又は１以上の値２０２が、プレーンテキストとして送信されてもよい。
回路１１８は、少なくとも部分的に、トラフィック３０４から、１以上のデータセット７８及び／又は１以上の値２０２を抽出してもよい。抽出された１以上のデータセット７８及び／又は１以上の値２０２及び１以上のドメインキー７６に少なくとも部分的に基づいて、回路１１８は、セッション２３０Ａ…２３０Ｎのそれぞれについて、それぞれの１以上のセッションキー８０を動的に（例えば、パケット毎に）再構築して、少なくとも部分的に、トラフィック３０４を暗号化するのに使用してもよい。回路１１８は、少なくとも部分的に動的に再構築された１以上のセッションキー８０に基づいて、トラフィック３０４を復号化してもよい。回路１１８は、少なくとも部分的に、復号化したトラフィック３０４を試験してもよい。試験としては、例えば、パターンマッチング、署名、チェックサム、妥当性の確認、及び／又は、トラフィック３０４において、許可されていない及び／又は望ましくないデータ及び／又は命令が存在することを検出する及び／又はそれに適切に対処するためのその他の分析技術が含まれてもよい。
回路１１８は、少なくとも部分的に１以上のセッションキー８２に基づいて、少なくとも部分的に、暗号化されていないトラフィック３０４を暗号化して、暗号化したトラフィックを１つのセッション３０２を介して１以上のサーバ３０に送信してもよい。その前に、回路１１８は、少なくとも部分的に、１以上の値２０６及び／又は１以上のデータセット７４及び１以上のドメインキー７２に基づいて、動的に１以上のセッションキー８２を（上記の１以上のキー８０で説明したのと同様な態様で）再構築してもよい。
１以上のサーバ３０は、セッション３０２を介して、１以上のゲートウェイ１２０における回路１１８にトラフィック３０６を送信してもよい。１つのセッション３０２を介して回路１１８に送信される場合に、トラフィック３０６は、少なくとも部分的に１以上のセッションキー８２に基づいて、少なくとも部分的に、暗号化されてもよい。しかしながら、トラフィック３０６では、１以上のデータセット７４及び／又は１以上の値２０６が、プレーンテキストとして送信されてもよい。回路１１８は、１以上のデータセット７４及び／又は１以上の値２０６をトラフィック３０６から抽出してもよい。抽出された１以上のデータセット７４及び／又は１以上の値２０６及び１以上のドメインキー７２に少なくとも部分的に基づいて、回路１１８は、１以上のセッションキー８２を動的に再構築して、少なくとも部分的に、トラフィック３０６を暗号化するのに使用してもよい。回路１１８は、少なくとも部分的に動的に再構築された１以上のセッションキー８２に基づいて、トラフィック３０６を復号化してもよい。回路１１８は、少なくとも部分的に、復号化したトラフィック３０６を試験してもよい。試験としては、例えば、パターンマッチング、パターンマッチング、署名、チェックサム、妥当性の確認、及び／又は、トラフィック３０６において、許可されていない及び／又は望ましくないデータ及び／又は命令が存在することを検出する及び／又はそれに適切に対処するためのその他の分析技術が含まれてもよい。
回路１１８は、少なくとも部分的に１以上のセッションキー８０に基づいて、少なくとも部分的に、暗号化されていないトラフィック３０６を暗号化して、暗号化したトラフィックをセッション２３０Ａ…２３０Ｎを介してクライアント２２０Ａ…２２０Ｎに送信してもよい。その前に、回路１１８は、少なくとも部分的に、１以上の値２０２及び／又は１以上のデータセット７８及び１以上のドメインキー７６に基づいて、動的に１以上のセッションキー８０を再構築してもよい。
これに替えて、１以上のセッション９２は、ドメイン７０内の複数のセキュアなセッション４０２Ａ…４０２Ｎ（図４参照）を含んでもよく、これらは、１以上のゲートウェイ１２０と１以上のサーバ３０とを通信可能に接続してもよい。セキュアなセッション４０２Ａ…４０２Ｎはそれぞれ、セキュアなセッション２３０Ａ…２３０Ｎに対応していてもよい。本実施形態において、１以上のデータセット７８は、セッション２３０Ａ…２３０Ｎのそれぞれと関連付けられたデータセット４０４Ａ…４０４Ｎをそれぞれ含んでもよい。例えば、セッション２３０Ａ…２３０Ｎを暗号化するのに基本となる１以上のセッションキー８０のそれぞれは、少なくとも部分的に、データセット４０４Ａ…４０４Ｎ及び１以上のドメインキー７６に基づいて生成されてもよい。回路１１８は、少なくとも部分的に、セッション２３０Ａ…２３０Ｎを介してクライアント２２０Ａから回路へと送信されたトラフィック３０４からそれぞれ、データセット４０４Ａ…４０４Ｎを抽出してもよい（図５のオペレーション５０４を参照）。抽出されたデータセット４０４Ａ…４０４Ｎ及び１以上のドメインキー７６に少なくとも部分的に基づいて、回路１１８は、セッション２３０Ａ…２３０Ｎのそれぞれについて、それぞれの１以上のセッションキー８０を動的に（例えば、パケット毎に）再構築して、少なくとも部分的に、それぞれセッション２３０Ａ…２３０Ｎを介して送信されたトラフィック３０４を暗号化するのに使用してもよい。回路１１８は、少なくとも部分的に動的に再構築された１以上のセッションキー８０に基づいて、トラフィック３０４を復号化してもよい（図５のオペレーション５０６参照）。回路１１８は、少なくとも部分的に、復号化したトラフィックを上記のような態様で試験してもよい。
回路１１８は、少なくとも部分的に１以上のセッションキー８２に基づいて、少なくとも部分的に、暗号化されていないトラフィック３０４を暗号化して、暗号化したトラフィック４０６をセッション４０２Ａ…４０２Ｎを介して１以上のサーバ３０に送信してもよい（図５のオペレーション５０８参照）。その前に、回路１１８は、少なくとも部分的に、１以上の値２０６及び／又は１以上のデータセット７４及び１以上のドメインキー７２に基づいて、動的に１以上のセッションキー８２を（上記で説明したのと同様な態様で）再構築してもよい。
これに替えて、１以上のドメインキー７６は、１以上のキー７２と、少なくとも部分的に、同一であってもよい。更に、これに替えて又はこれに加えて、１以上のゲートウェイ１２０は、１以上のキー７６及び／又は１以上のキー７２を、１以上のセキュアなハンドシェイク及び／又はネゴシエーションオペレーションを介して、１以上のサーバ３０に提供してもよい。これにより、１以上のサーバ３０が１以上のセッションキー８２を動的に再構築することが可能になる、及び／又は、回路１１８に関して上記した態様で、復号化及び／又は暗号化オペレーションを実行することが可能となる。
本実施形態では、１以上のセッション９０に含まれる個々のセッションの数に関係なく、回路１１８は、１以上のサーバ３０と１つのキー（鍵）の交渉のトランザクションを実行してもよく（例えば、１つのセッションキー８２及び／又は１つのドメインキー７２の交換及び／又は交渉を行う）、１以上のサーバ３０は、（例えば、１つのセッションキー８２及び／又は１つのドメインキー７２に少なくとも部分的に基づいて）１以上のセッション９２の全てを確立することを許可してもよい。その結果、本実施形態では、１つのハンドシェイクオペレーションのみが、このようなトランザクションに含まれる。本実施形態では、上記のような構成により、キー交渉の数、交渉を行うキーの数、及び、１以上のセッション９２を確立するのに必要な回路１１８と１以上のサーバ３０との間のハンドシェイクの数を大幅に低減させることができる。更に、上記のような構成により、本実施形態で使用されるキーの格納量を大幅に低減させることができる。
本実施形態において、キー８０及び／又はキー８２の生成は、（１）２００７年３月３０日出願の米国特許出願第11/731,562号、及び、２００８年１０月２８日公開の米国特許出願公開第2008/0244268号公報、発明者Durham等、（２）２００９年３月２日出願の米国特許出願第12/396,125号に開示された原理に少なくとも部分的に基づいて実行されてもよい。無論、その他の、更なる及び／又は代替の技術を少なくとも部分的に使用して、１以上のキー８０及び／又は１以上のキー８２を生成してもよい。
一実施形態は、少なくとも部分的に、第１ドメインのクライアントと第２ドメインのサーバとの間の少なくとも部分的にセキュアな通信を確立する回路を含んでもよい。チャネルは、第１及び第２ドメインにおける第１ドメインセッション及び第２ドメインセッションを含んでもよい。回路は、少なくとも部分的に、第１ドメインセッション及び第２ドメインセッションをそれぞれ暗号化してもよい第１ドメインセッションキー及び第２ドメインセッションキーを生成してもよい。第１ドメインセッションキーは、第１ドメインに割り当てられる第１ドメインキー及び第１ドメインセッションに関連付けられる第１データセットに基づいて生成されてもよい。第２ドメインセッションキーは、第２ドメインに割り当てられる第２ドメインキー及び第２ドメインセッションに関連付けられる第２データセットに基づいて生成されてもよい。
本実施形態において、回路１１８は、少なくとも部分的に、１以上のパケット２０４及び／又は２０８から抽出される１以上のデータセット７８及び／又は７４に少なくとも部分的に基づいて、１以上のセッションキー８０及び／又は８２を動的に生成可能であってもよい。このような構成により、回路１１８が（１）このようなセッションキーに少なくとも部分的に基づいて生成されるセッションとセッションキー自体との間のメモリにおける関連付けを維持する必要がなくなる、（２）トランスポート層及び暗号化状態情報の大部分を常に格納する必要がなくなる及び対応するセッションをバッファする必要がなくなる、という利点を有する。また、このような構成により、本実施形態における、接続拡張性及び処理速度を大幅に改善させることができる。
また、少なくとも部分的に、上記のような態様で１以上のキー８０及び／又は８２を動的に生成することができることにより、回路１１８は、回路１１８から及び／又は回路１１８へと送信されるトラフィックを動的に復号化及び／又は暗号化することができる。このような構成により、回路１１８及び／又は１以上のノード１２０は、１以上のクライアント１０と１以上のサーバ３０（例えば、１以上のセキュアなチャネル５４を介して）との間の暗号化通信のコンテンツの試験及び／又は分析を実行することが可能となる。その結果、企業ドメイン５１及び／又はシステム１００のセキュリティを犠牲にすることなく、（例えば、ドメイン５１及び／又はシステム１００からのウイルスの侵入を防ぐ、又は、ウイルスを取り除くことにより）企業ドメイン５１及び／又はシステム１００の性能を改善させることができる。
このように、本実施形態の特徴により、セキュリティ、通信及び／又は暗号化処理によって消費される処理帯域の量を低減させることができると同時に、このような処理を実行する際の速度を改善させることができる。また、本実施形態の特徴により、特別なトランスポート層及び／又は暗号化オフロード及び／又は加速ハードウェアにより、このような処理をより容易に実装可能とする。

Claims (19)

  1. 第１ドメインの複数のクライアントと第２ドメインの複数のサーバとの間の複数のセキュアな通信チャネルを少なくとも部分的に確立させる回路を備える装置であって、
    前記複数のセキュアな通信チャネルのそれぞれは、前記第１ドメインの少なくとも１つの第１ドメインセッション及び前記第２ドメインの少なくとも１つの第２ドメインセッションを含み、
    前記回路は、複数の第１ドメインセッションキー及び単一の第２ドメインセッションキーを少なくとも部分的に生成し、
    前記複数の第１ドメインセッションキー及び前記単一の第２ドメインセッションキーはそれぞれ、前記少なくとも１つの第１ドメインセッション及び前記少なくとも１つの第２ドメインセッションを少なくとも部分的に暗号化するためのキーであり、
    前記第１ドメインに割り当てられた第１ドメインキー、及び、前記複数の第１ドメインセッションと少なくとも部分的に関連付けられた複数の第１データセットに少なくとも部分的に基づいて、前記複数の第１ドメインセッションキーがそれぞれ生成され、
    前記第２ドメインに割り当てられた第２ドメインキー、及び、前記少なくとも１つの第２ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第２データセットに少なくとも部分的に基づいて、前記単一の第２ドメインセッションキーが生成され、
    前記回路は、前記単一の第２ドメインセッションキーを用いて前記複数のサーバに対して単一のキー交渉トランザクションを実行することにより全ての前記第２ドメインセッションを確立し、
    前記第１ドメインは、前記第２ドメインとは少なくとも部分的に区別され、
    前記第１ドメインに割り当てられる前記第１ドメインキーは、前記第２ドメインキーとは少なくとも部分的に異なり、
    前記複数の第１データセットのそれぞれは、前記複数の第１ドメインセッションの対応するそれぞれを少なくとも部分的に特定し、対応するそれぞれの前記第１ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含み、
    前記第１ドメインキーは、前記第１ドメインにおける前記複数のクライアントに対する前記複数の第１のドメインセッションキーを生成するためのキーである、装置。
  2. 前記少なくとも１つの第２データセットは、前記少なくとも１つの第２ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第２ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含む請求項１に記載の装置。
  3. 前記少なくとも１つの第１ドメインセッションは、少なくとも１つのゲートウェイと前記複数のクライアントとの間の前記第１ドメインの複数の第１セッションを含み、
    前記少なくとも１つの第２ドメインセッションは、前記少なくとも１つのゲートウェイと前記少なくとも１つのサーバとの間のセッションであり、
    前記第１ドメインは、企業ドメインを含み、
    前記第２ドメインキーは、前記企業ドメインと前記少なくとも１つのサーバとの間で少なくとも部分的に交渉される請求項１または２に記載の装置。
  4. 前記少なくとも１つの第２ドメインセッションは、前記複数の第１セッションを少なくとも部分的にカプセル化する１つのセッションを含み、
    前記回路は、前記複数の第１セッションを介して通信される第１トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験し、
    前記回路は、前記１つのセッションを介して通信される第２トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験する請求項３に記載の装置。
  5. 前記少なくとも１つの第２ドメインセッションは、前記第２ドメインの複数の第２セッションを含み、
    前記複数の第１データセットのうちの少なくとも１つは、前記複数の第１セッションとそれぞれ関連付けられたデータセットを含み、
    前記回路は、前記複数の第１セッションを介して通信される第１トラフィックから前記データセットをそれぞれ少なくとも部分的に抽出し、
    前記回路は、前記データセットにそれぞれ少なくとも部分的に基づいて前記第１トラフィックを少なくとも部分的に復号化し、
    前記回路は、前記データセットのそれぞれに少なくとも部分的に基づいて、前記複数の第２セッションを介して通信される第２トラフィックを少なくとも部分的に暗号化する請求項３に記載の装置。
  6. 前記回路は、
    回路基板に接続された回路カード、ネットワークアプライアンス、及び、１以上の暗号化オペレーションを実行する１以上のプロセッサ及び回路を含む１以上の集積回路のうちの１以上を少なくとも部分的に含む請求項１から５のいずれか１項に記載の装置。
  7. 少なくとも部分的に回路によって実行される方法であって、
    前記回路によって、第１ドメインの複数のクライアントと第２ドメインの複数のサーバとの間の複数のセキュアな通信チャネルを少なくとも部分的に確立する段階を備え、
    前記複数のセキュアな通信チャネルのそれぞれは、前記第１ドメインの少なくとも１つの第１ドメインセッション及び前記第２ドメインの少なくとも１つの第２ドメインセッションを含み、
    前記回路は、複数の第１ドメインセッションキー及び単一の第２ドメインセッションキーを少なくとも部分的に生成し、
    前記複数の第１ドメインセッションキー及び前記単一の第２ドメインセッションキーはそれぞれ、前記少なくとも１つの第１ドメインセッション及び前記少なくとも１つの第２ドメインセッションを少なくとも部分的に暗号化するためのキーであり、
    前記第１ドメインに割り当てられた第１ドメインキー、及び、前記複数の第１ドメインセッションと少なくとも部分的に関連付けられた複数の第１データセットに少なくとも部分的に基づいて、前記複数の第１ドメインセッションキーがそれぞれ生成され、
    前記第２ドメインに割り当てられた第２ドメインキー、及び、前記少なくとも１つの第２ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第２データセットに少なくとも部分的に基づいて、前記単一の第２ドメインセッションキーが生成され、
    前記回路は、前記単一の第２ドメインセッションキーを用いて前記複数のサーバに対して単一のキー交渉トランザクションを実行することによって、全ての前記第２ドメインセッションを確立し、
    前記第１ドメインは、前記第２ドメインとは少なくとも部分的に区別され、
    前記第１ドメインに割り当てられる前記第１ドメインキーは、前記第２ドメインキーとは少なくとも部分的に異なり、
    前記複数の第１データセットのそれぞれは、前記複数の第１ドメインセッションの対応するそれぞれを少なくとも部分的に特定し、対応するそれぞれの前記第１ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含み、
    前記第１ドメインキーは、前記第１ドメインにおける前記複数のクライアントに対する前記複数の第１のドメインセッションキーを生成するためのキーである、方法。
  8. 前記少なくとも１つの第２データセットは、前記少なくとも１つの第２ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第２ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含む請求項７に記載の方法。
  9. 前記少なくとも１つの第１ドメインセッションは、少なくとも１つのゲートウェイと前記複数のクライアントとの間の前記第１ドメインの複数の第１セッションを含み、
    前記少なくとも１つの第２ドメインセッションは、前記少なくとも１つのゲートウェイと前記少なくとも１つのサーバとの間のセッションであり、
    前記第１ドメインは、企業ドメインを含み、
    前記第２ドメインキーは、前記企業ドメインと前記少なくとも１つのサーバとの間で少なくとも部分的に交渉される請求項７または８に記載の方法。
  10. 前記少なくとも１つの第２ドメインセッションは、前記複数の第１セッションを少なくとも部分的にカプセル化する１つのセッションを含み、
    前記回路は、前記複数の第１セッションを介して通信される第１トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験し、
    前記回路は、前記１つのセッションを介して通信される第２トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験する請求項９に記載の方法。
  11. 前記少なくとも１つの第２ドメインセッションは、前記第２ドメインの複数の第２セッションを含み、
    前記複数の第１データセットのうちの少なくとも１つは、前記複数の第１セッションとそれぞれ関連付けられたデータセットを含み、
    前記方法は、前記複数の第１セッションを介して通信される第１トラフィックから前記データセットを、前記回路によりそれぞれ少なくとも部分的に抽出する段階と、
    前記データセットにそれぞれ少なくとも部分的に基づいて前記回路により前記第１トラフィックを少なくとも部分的に復号化する段階と、
    前記データセットのそれぞれに少なくとも部分的に基づいて、前記複数の第２セッションを介して通信される第２トラフィックを前記回路により少なくとも部分的に暗号化する段階とを備える請求項９に記載の方法。
  12. 前記回路は、
    回路基板に接続された回路カード、ネットワークアプライアンス、及び、１以上の暗号化オペレーションを実行する１以上のプロセッサ及び回路を含む１以上の集積回路のうちの１以上を少なくとも部分的に含む請求項７から１１のいずれか１項に記載の方法。
  13. 機械に、
    第１ドメインの複数のクライアントと第２ドメインの複数のサーバとの間の複数のセキュアな通信チャネルを少なくとも部分的に回路によって確立させるプログラムであって、
    前記複数のセキュアな通信チャネルのそれぞれは、前記第１ドメインの少なくとも１つの第１ドメインセッション及び前記第２ドメインの少なくとも１つの第２ドメインセッションを含み、
    前記回路は、複数の第１ドメインセッションキー及び単一の第２ドメインセッションキーを少なくとも部分的に生成し、
    前記複数の第１ドメインセッションキー及び前記単一の第２ドメインセッションキーはそれぞれ、前記少なくとも１つの第１ドメインセッション及び前記少なくとも１つの第２ドメインセッションを少なくとも部分的に暗号化するためのキーであり、
    前記第１ドメインに割り当てられた第１ドメインキー、及び、前記複数の第１ドメインセッションと少なくとも部分的に関連付けられた複数の第１データセットに少なくとも部分的に基づいて、前記複数の第１ドメインセッションキーがそれぞれ生成され、
    前記第２ドメインに割り当てられた第２ドメインキー、及び、前記少なくとも１つの第２ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第２データセットに少なくとも部分的に基づいて、前記単一の第２ドメインセッションキーが生成され、
    前記回路は、前記単一の第２ドメインセッションキーを用いて前記複数のサーバに対して単一のキー交渉トランザクションを実行することにより全ての前記第２ドメインセッションを確立し、
    前記第１ドメインは、前記第２ドメインとは少なくとも部分的に区別され、
    前記第１ドメインに割り当てられる前記第１ドメインキーは、前記第２ドメインキーとは少なくとも部分的に異なり、
    前記複数の第１データセットのそれぞれは、前記複数の第１ドメインセッションの対応するそれぞれを少なくとも部分的に特定し、対応するそれぞれの前記第１ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含み、
    前記第１ドメインキーは、前記第１ドメインにおける前記複数のクライアントに対する前記複数の第１のドメインセッションキーを生成するためのキーである、
    プログラム。
  14. 前記少なくとも１つの第２データセットは、前記少なくとも１つの第２ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第２ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含む請求項１３に記載のプログラム。
  15. 前記少なくとも１つの第１ドメインセッションは、少なくとも１つのゲートウェイと前記複数のクライアントとの間の前記第１ドメインの複数の第１セッションを含み、
    前記少なくとも１つの第２ドメインセッションは、前記少なくとも１つのゲートウェイと前記少なくとも１つのサーバとの間のセッションであり、
    前記第１ドメインは、企業ドメインを含み、
    前記第２ドメインキーは、前記企業ドメインと前記少なくとも１つのサーバとの間で少なくとも部分的に交渉される請求項１３または１４に記載のプログラム。
  16. 前記少なくとも１つの第２ドメインセッションは、前記複数の第１セッションを少なくとも部分的にカプセル化する１つのセッションを含み、
    前記回路は、前記複数の第１セッションを介して通信される第１トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験し、
    前記回路は、前記１つのセッションを介して通信される第２トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験する請求項１５に記載のプログラム。
  17. 前記少なくとも１つの第２ドメインセッションは、前記第２ドメインの複数の第２セッションを含み、
    前記複数の第１データセットのうちの少なくとも１つは、前記複数の第１セッションとそれぞれ関連付けられたデータセットを含み、
    前記回路は、前記複数の第１セッションを介して通信される第１トラフィックから前記データセットをそれぞれ少なくとも部分的に抽出し、
    前記回路は、前記データセットにそれぞれ少なくとも部分的に基づいて前記第１トラフィックを少なくとも部分的に復号化し、
    前記回路は、前記データセットのそれぞれに少なくとも部分的に基づいて、前記複数の第２セッションを介して通信される第２トラフィックを少なくとも部分的に暗号化する請求項１５に記載のプログラム。
  18. 前記回路は、
    回路基板に接続された回路カード、ネットワークアプライアンス、及び、１以上の暗号化オペレーションを実行する１以上のプロセッサ及び回路を含む１以上の集積回路のうちの１以上を少なくとも部分的に含む請求項１３から１７のいずれか１項に記載のプログラム。
  19. 前記トランザクションは、前記回路と前記複数のサーバとの間の単一のハンドシェイクを含む請求項１から６のいずれか１項に記載の装置。
JP2012551197A 2010-01-28 2011-01-19 第１ドメインのクライアントと第２ドメインのサーバとの間でセキュアな通信チャネルを確立するための装置、方法およびプログラム Expired - Fee Related JP5640226B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US12/695,853 2010-01-28
US12/695,853 US8873746B2 (en) 2010-01-28 2010-01-28 Establishing, at least in part, secure communication channel between nodes so as to permit inspection, at least in part, of encrypted communication carried out, at least in part, between the nodes
PCT/US2011/021627 WO2011094096A2 (en) 2010-01-28 2011-01-19 Establishing, at least in part, secure communication channel between nodes so as to permit inspection, at least in part, of encrypted communication carried out, at least in part, between the nodes

Publications (2)

Publication Number Publication Date
JP2013518522A JP2013518522A (ja) 2013-05-20
JP5640226B2 true JP5640226B2 (ja) 2014-12-17

Family

ID=44308939

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2012551197A Expired - Fee Related JP5640226B2 (ja) 2010-01-28 2011-01-19 第１ドメインのクライアントと第２ドメインのサーバとの間でセキュアな通信チャネルを確立するための装置、方法およびプログラム

Country Status (6)

Country Link
US (1) US8873746B2 (ja)
EP (1) EP2529505B1 (ja)
JP (1) JP5640226B2 (ja)
KR (1) KR101430851B1 (ja)
CN (2) CN104734844B (ja)
WO (1) WO2011094096A2 (ja)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101252549B1 (ko) * 2008-11-21 2013-04-08 한국전자통신연구원 보안 도메인 환경에서의 암/복호화 프로그램 및 대칭키의 안전 배포 방법 및 이를 위한 데이터 분할 및 주입 장치
US8873746B2 (en) * 2010-01-28 2014-10-28 Intel Corporation Establishing, at least in part, secure communication channel between nodes so as to permit inspection, at least in part, of encrypted communication carried out, at least in part, between the nodes
GB2519741A (en) * 2013-09-15 2015-05-06 Wedge It Com Ltd Internet repeater apparatus
US10244000B2 (en) * 2014-02-24 2019-03-26 Honeywell International Inc. Apparatus and method for establishing seamless secure communications between components in an industrial control and automation system
US10726162B2 (en) * 2014-12-19 2020-07-28 Intel Corporation Security plugin for a system-on-a-chip platform
US9923715B2 (en) 2015-06-09 2018-03-20 Intel Corporation System, apparatus and method for group key distribution for a network
US9674090B2 (en) * 2015-06-26 2017-06-06 Microsoft Technology Licensing, Llc In-line network accelerator
US10038552B2 (en) 2015-11-30 2018-07-31 Honeywell International Inc. Embedded security architecture for process control systems
US10855462B2 (en) 2016-06-14 2020-12-01 Honeywell International Inc. Secure in-band upgrade using key revocation lists and certificate-less asymmetric tertiary key pairs
CN106330968B (zh) * 2016-10-31 2021-02-26 杭州迪普科技股份有限公司 一种访问设备的身份认证方法及装置
US11700258B2 (en) * 2016-12-30 2023-07-11 Ssh Communications Security Oyj Access relationships in a computer system
US10389722B2 (en) 2016-12-30 2019-08-20 Ssh Communications Security Oyj Access relationships in a computer system
US10587421B2 (en) * 2017-01-12 2020-03-10 Honeywell International Inc. Techniques for genuine device assurance by establishing identity and trust using certificates
US10749692B2 (en) 2017-05-05 2020-08-18 Honeywell International Inc. Automated certificate enrollment for devices in industrial control systems or other systems
EP3483772A1 (en) * 2017-11-14 2019-05-15 Nagravision S.A. Integrated circuit personalisation with data encrypted with the output of a physically unclonable function

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4193131A (en) * 1977-12-05 1980-03-11 International Business Machines Corporation Cryptographic verification of operational keys used in communication networks
US7774484B1 (en) * 2002-12-19 2010-08-10 F5 Networks, Inc. Method and system for managing network traffic
US8234699B2 (en) * 2003-12-31 2012-07-31 Citrix Systems, Inc. Method and system for establishing the identity of an originator of computer transactions
WO2006130725A2 (en) * 2005-05-31 2006-12-07 Interdigital Technology Corporation Authentication and encryption methods using shared secret randomness in a joint channel
EP1784016A1 (fr) 2005-11-03 2007-05-09 Nagravision S.A. Méthode de sécurisation de données échangées entre un dispositif de traitement multimédia et un module de sécurité
KR20070115574A (ko) 2006-06-01 2007-12-06 엘지전자 주식회사 데이터 통신 방법
US20090119510A1 (en) 2007-11-06 2009-05-07 Men Long End-to-end network security with traffic visibility
US20080244268A1 (en) 2007-03-30 2008-10-02 David Durham End-to-end network security with traffic visibility
JP4892404B2 (ja) 2007-05-16 2012-03-07 日本電信電話株式会社 暗号化パケット転送方法、中継装置、そのプログラムおよび通信システム
CN101325486B (zh) 2007-06-11 2012-04-25 华为技术有限公司 域许可密钥的转移方法及设备
US20090199287A1 (en) * 2007-06-26 2009-08-06 Luc Vantalon Systems and methods for conditional access and digital rights management
KR101393012B1 (ko) 2007-07-03 2014-05-12 삼성전자주식회사 라이센스 관리 시스템 및 방법
NZ585054A (en) * 2007-11-30 2013-08-30 Ericsson Telefon Ab L M Key management for secure communication
KR100981419B1 (ko) * 2008-01-31 2010-09-10 주식회사 팬택 디지털 권한 관리를 위한 사용자 도메인 가입방법 및 그정보 교환 방법
CN101946536B (zh) * 2008-02-15 2015-07-15 艾利森电话股份有限公司 演进网络中的应用特定的主密钥选择
US8788805B2 (en) * 2008-02-29 2014-07-22 Cisco Technology, Inc. Application-level service access to encrypted data streams
US8873746B2 (en) 2010-01-28 2014-10-28 Intel Corporation Establishing, at least in part, secure communication channel between nodes so as to permit inspection, at least in part, of encrypted communication carried out, at least in part, between the nodes

Also Published As

Publication number Publication date
KR20120127625A (ko) 2012-11-22
JP2013518522A (ja) 2013-05-20
KR101430851B1 (ko) 2014-08-18
CN104734844B (zh) 2018-04-06
WO2011094096A3 (en) 2011-12-01
US20110182427A1 (en) 2011-07-28
WO2011094096A2 (en) 2011-08-04
CN102725995B (zh) 2015-02-25
EP2529505A4 (en) 2015-06-03
EP2529505A2 (en) 2012-12-05
US8873746B2 (en) 2014-10-28
EP2529505B1 (en) 2018-10-24
CN104734844A (zh) 2015-06-24
CN102725995A (zh) 2012-10-10

Similar Documents

Publication Publication Date Title
JP5640226B2 (ja) 第１ドメインのクライアントと第２ドメインのサーバとの間でセキュアな通信チャネルを確立するための装置、方法およびプログラム
US11792169B2 (en) Cloud storage using encryption gateway with certificate authority identification
CN110999248B (zh) 使用片上系统(SoC)体系结构的安全通信加速
EP3646553B1 (en) Introducing middleboxes into secure communications between a client and a server
EP3286896B1 (en) Scalable intermediate network device leveraging ssl session ticket extension
US9398026B1 (en) Method for authenticated communications incorporating intermediary appliances
US7539858B2 (en) Packet encryption substituting device, method thereof, and program recording medium
Zamfir et al. A security analysis on standard IoT protocols
JP2018534884A (ja) クライアント−クラウドまたはリモートサーバーの安全なデータまたはファイル・オブジェクト暗号化ゲートウェイ
EP3613195B1 (en) Cloud storage using encryption gateway with certificate authority identification
US8281122B2 (en) Generation and/or reception, at least in part, of packet including encrypted payload
KR101611944B1 (ko) 데이터 암호화 기능 선택적 적용 방법
KR101448866B1 (ko) 웹 보안 프로토콜에 따른 암호화 데이터를 복호화하는 보안 장치 및 그것의 동작 방법
CN118432894A (zh) 一种基于TCP的iOS系统远程服务受信的方法和装置

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20130924

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20131224

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20140304

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20140704

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A821

Effective date: 20140707

A911 Transfer to examiner for re-examination before appeal (zenchi)

Free format text: JAPANESE INTERMEDIATE CODE: A911

Effective date: 20140729

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20140930

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20141001

R150 Certificate of patent or registration of utility model

Ref document number: 5640226

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

LAPS Cancellation because of no payment of annual fees