JP5744172B2 - 中間ストリーム再ネゴシエーションを介したプロキシｓｓｌハンドオフ - Google Patents

Description

（関連出願の相互参照）
本出願は、その利益が本明細書に請求項に記載され且つ引用により本明細書に組み入れられる、２０１０年３月１９日に出願された名称「中間ストリーム再ネゴシエーションを介したプロキシＳＳＬハンドオフ」の米国仮出願シリアル番号第６１／３１５，８５７号の利益を主張する。

本発明は、一般に、ネットワーク通信に関し、より詳細には、限定ではないが、クライアント／サーバ終端間暗号化接続内での再ネゴシエーションの管理に関する。

ハイパーテキスト転送プロトコル（ＨＴＴＰ）を通じて提供される企業内のアプリケーションの数が益々増えている。これらのアプリケーションの多くは、クライアント装置とホストされるウェブサイトとの間でセキュアな通信を提供する。これらのアプリケーションは、イントラネットポータル、ウェブメール、フロント−オフィス（顧客窓口部門）アプリケーション、バック−オフィス（事務管理部門）アプリケーション、及び同様のものを含む。これらのアプリケーションの多くはまた、仮想プライベートネットワーク（ＶＰＮ）トンネルを介して、又はパブリックネットワークを通じて直接、或いは同様のものの何れかによって、支店からアクセスすることができる。これらのアプリケーションは、例えば本部内部のサーバ装置上で利用することができる。本部及び支店は、ファイアウォールの後方又は同様のものなどのセキュリティ境界の後方で保護されたコンピュータ装置のネットワークを含む。

クライアント装置とサーバ装置との間のセキュア通信を提供する従来の方法は、暗号化セッションを設定するためにウェブブラウザ及びウェブサイトを利用する。暗号化セッションは、セキュアソケットレイヤ（ＳＳＬ）プロトコル、トランスポート・レイヤ・セキュリティ（ＴＬＳ）プロトコル、又は同様のものを含む多種多様なセキュア通信プロトコルを使用して実施することができる。このような暗号化セッションの管理は、特に、サーバ装置がクライアント装置によって必要とされる情報を持っていない場合、サーバ装置が故障した場合、或いはサーバ装置を異なるサーバ装置に置き換える必要がある場合に困難な場合がある。従って、本発明が実施することは、これらの考慮事項及びその他に関するものである。

以下の図面を参照しながら非限定的かつ非包括的な実施形態について説明する。図面では、特に指定しない限り様々な図を通じて同じ参照番号が同じ部分を示す。

ここで、本明細書で記載される実施形態をより良く理解するために、添付図面と関連して以下の詳細な説明を説明する。

種々の実施形態を実施するための環境を示す機能的ブロック図である。 種々の実施形態を実施するシステムに含むことができるネットワーク装置の１つの実施形態を示す図である。 種々の実施形態を実施するシステムに含むことができるサーバ装置の１つの実施形態を示す図である。 終端間暗号化接続においてエンドポイントを置き換えるための処理の概要の１つの実施形態を全体的に示す論理フロー図である。 終端間暗号化セッションに関連付けられるセッション鍵を生成するための処理の１つの実施形態を全体的に示す論理フロー図である。 終端間暗号化接続におけるエンドポイントを第２サーバ装置に置き換えるための処理の１つの実施形態を全体的に示す論理フロー図である。 暗号化接続を通じてクライアント側ＴＭＤとサーバ側ＴＭＤとの間で送信されたデータを拡張するための処理の１つの実施形態を全体的に示す論理フロー図である。 図４の処理によって全体的に使用可能な信号フロー図の１つの実施形態を示す図である。 ボーダー・ゲートウェイ・プロトコル（ＢＧＰ）を利用して、暗号化セッションのためのクライアント側トラフィック管理装置にトラフィックをルーティングする環境を示す機能的ブロック図である。

以下の例示的な実施形態の詳細な説明では、本明細書の一部を形成し、説明する実施形態を実施できる実施例を例証として示す添付図面を参照する。説明する実施形態を当業者が実施できるように十分な詳細を提供しているが、本発明の技術的思想又は範囲から逸脱することなく他の実施形態を利用し、他の変更を行うことができる点は理解されたい。更に、「１つの実施形態」への言及は、可能性はあるものの、同じ又は単一の実施形態に関連付ける必要はない。従って、以下の詳細な説明を限定的な意味で捉えるべきではなく、説明する実施形態の範囲は添付の特許請求の範囲によってのみ定義される。

本明細書及び特許請求の範囲を通じて、以下の用語は、文脈上特に指定しない限り、本明細書で明確に関連付ける意味になる。本明細書で使用される用語「ｏｒ（又は）」とは、包括的な論理和演算子であり、文脈上別途明確に指示されない限り、用語「ａｎｄ／ｏｒ（及び／又は）」に相当する。用語「ｂａｓｅｄ ｏｎ（に基づいて）」とは、包括的ではなく、文脈上別途明確に指示されない限り、説明されていない付加的な要因に基づくことを可能にする。加えて、本明細書全体を通して、「ａ」、「ａｎ」、及び「ｔｈｅ」の意味は、複数形の照応を含む。「ｉｎ」の意味は、「ｉｎ」及び「ｏｎ」を含む。

本明細書で使用されるアプリケーションレイヤは、ＩＳＯ−ＯＳＩ（国際標準化機構−開放型システム間相互接続）フレームワークによって定義される７レイヤプロトコルスタックのレイヤ５から７を示す。

用語「ネットワーク接続」とは、ネットワークを通じてコンピュータ装置が別のコンピュータ装置と通信できるようにするリンク及び／又はソフトウェア要素の集合を示す。１つのこのようなネットワーク接続は、ＴＣＰ接続とすることができる。ＴＣＰ接続は、２つのネットワークノード間の仮想接続であり、典型的にはＴＣＰハンドシェークプロトコルを介して確立される。ＴＣＰプロトコルは、インターネット・エンジニアリング・タスク・フォース（ＩＥＴＦ）から入手可能なリクエスト・フォー・コメント（ＲＦＣ）７９３においてより詳細に説明されており、その全体が引用により本明細書に組み入れられる。特定の経路又はリンクを「通じた」ネットワーク接続は、通信を確立及び／又は維持するために指定の経路又はリンクを利用するネットワーク接続を示す。「ノード」という用語は、典型的には１つ又はそれ以上の装置を相互接続するネットワーク要素、或いは複数のネットワークを示す。

特許請求の範囲を含む本明細書で使用される用語「ＳＳＬ」とは、ＳＳＬ、ＴＬＳ、ＤＴＬＳ、及びこれらから得られる全てのセキュア通信プロトコルを示す。ＳＳＬプロトコルは、Ｎｅｔｓｃａｐｅ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ社のセキュアソケットレイヤ（ＳＳＬ）バージョン３（１９９６年１１月）において説明されており、ＴＬＳプロトコルは、ＳＳＬから得られ、ＩＥＴＦから入手可能なＤｉｅｒｋｓ Ｔ．及びＡｌｌｅｎ Ｃ．による「ＴＬＳプロトコルバージョン１．０」ＲＦＣ２２４６（１９９９年１月）において説明されている。データグラム・トランスポート・レイヤ・セキュリティ（ＤＴＬＳ）プロトコルは、ＴＬＳプロトコルに基づき、ＩＥＴＦから入手可能なＲｅｓｃｏｒｌａ，Ｅ．及びＭｏｄａｄｕｇｕ，Ｎ．による「データグラムトランスポートレイヤセキュリティ」ＲＦＣ４３４７（２００６年４月）で説明されている。これらの文書の各々は、その全体が引用により組み入れられる。ＳＳＬ接続は、ＳＳＬプロトコルから得られる暗号情報によって保護されるネットワーク接続である。ＳＳＬプロトコルは、アプリケーションレイヤ（ＯＳＩレイヤ５−７の１つ又はそれ以上など）とトランスポートレイヤ（ＯＳＩレイヤ４など）との間で機能する。ＳＳＬプロトコルは、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、ライトウェイト・ディレクトリ・アクセス・プロトコル（ＬＤＡＰ）、インターネット・メッセージング・アクセス・プロトコル（ＩＭＡＰ）、又は同様のものなどのアプリケーションレイヤプロトコルのためのセキュリティを提供することができる。例えば、ＳＳＬを通じたＨＴＴＰ（ＨＴＴＰＳ）は、ＨＴＴＰデータを保護するためにＳＳＬプロトコルを利用する。ＳＳＬプロトコルは、セキュアデータを転送するために、アプリケーションレイヤプロトコルの代わりにＴＣＰ／ＩＰを利用することができる。ＳＳＬプロトコルはまた、証明書を利用することができる。１つの実施形態では、証明書は、ＩＥＴＦから入手可能なＲＦＣ２５４９で説明されたようなＸ．５０９証明書である。

特許請求の範囲を含む本明細書で使用される用語「サーバ装置」とは、物理的サーバ装置、或いは物理的サーバ装置上で実行される仮想サーバを示す。

ＳＳＬセッションは、２つのエンドポイント間のネットワークを通じたセキュア接続を設定する。ＳＳＬセッションは、ゼロ又はそれ以上のＳＳＬ接続に関連付けることができる。ＳＳＬプロトコルは、ＳＳＬセッション及び／又はＳＳＬ接続を開始するためにＳＳＬハンドシェークプロトコルを使用する。ＳＳＬセッションは、マスター鍵に関連付けられ、マスター鍵は、ＳＳＬハンドシェークプロトコルの１つの結果である。ＳＳＬハンドシェークプロトコルはまた、ＳＳＬ接続を再ネゴシエーションするためのＳＳＬ再ハンドシェークプロトコルを含む。再ネゴシエーションされたＳＳＬ接続は、現在のＳＳＬセッション又は別のＳＳＬセッションに関連付けることができる。

要約すると、ＳＳＬは、少なくとも４つのコンテンツのタイプ、すなわち、ａｐｐｌｉｃａｔｉｏｎ＿ｄａｔａ（アプリケーション＿データ）、ａｌｅｒｔ（警報）、ｈａｎｄｓｈａｋｅ（ハンドシェーク）、及びｃｈａｎｇｅ ｃｉｐｈｅｒ ｓｐｅｃ（変更＿暗号＿仕様）をサポートする。ａｌｅｒｔ、ｈａｎｄｓｈａｋｅ、及びｃｈａｎｇｅ ｃｉｐｈｅｒ ｓｐｅｃのコンテンツタイプは、ＳＳＬプロトコルを管理するためのメッセージに関連付けられる。例えば、ＳＳＬ警報は、警報コンテンツタイプであり、とりわけ、エラー条件を信号送信するのに使用される。ＳＳＬは、他のコンテンツタイプの規定を有するが、これらの機能は通常は使用されない。

ＳＳＬハンドシェークプロトコルは、警報、ハンドシェーク、及び／又はｃｈａｎｇｅ ｃｉｐｈｅｒ ｓｐｅｃのコンテンツタイプの１つとすることができる一連のメッセージの交換及び処理を含む。１つ又はそれ以上のＳＳＬハンドシェークメッセージは、ハンドシェークコンテンツタイプの１つ又はそれ以上のネットワーク記録内にカプセル化される。ＳＳＬハンドシェークメッセージはまた、関連するＳＳＬハンドシェークタイプ、及び１つ又はそれ以上のデータフィールドを含む。

ＳＳＬハンドシェークプロトコルは、通常、クライアント装置が、とりわけＣＬＩＥＮＴ−ＨＥＬＬＯ（クライアント−ハロー）メッセージ（例えば、「ＣＬＩＥＮＴ−ＨＥＬＬＯ（クライアント−ハロー）」の関連するＳＳＬハンドシェークタイプを備えたＳＳＬハンドシェークメッセージ）内でランダムに生成されたデータをサーバ装置に送信することから始まる。サーバ装置は、とりわけＳＥＲＶＥＲ−ＨＥＬＬＯ（サーバ−ハロー）メッセージ内でランダムに生成されたデータでＣＬＩＥＮＴ−ＨＥＬＬＯ（クライアント−ハロー）メッセージに応答する。加えて、サーバは、クライアントがサーバを認証するのに使用することができるサーバ証明書を提供することができる。更に、サーバは、サーバがクライアントを認証するのに使用することができるクライアント証明書を要求又は必要とすることができる。

クライアント装置は、ＣＬＩＥＮＴ−ＨＥＬＬＯ（クライアント−ハロー）及びＳＥＲＶＥＲ−ＨＥＬＬＯ（サーバ−ハロー）メッセージにおいて交換されるランダムに生成されたデータを使用して、ＳＳＬセッションのためのプレマスターシークレット（ｐｒｅ−ｍａｓｔｅｒ ｓｅｃｒｅｔ）を生成する。１つの実施形態では、クライアント装置はまた、プレマスターシークレットに別の乱数を含むことができ、これは典型的にはパブリックネットワークを通じて平文では送信されない。次に、クライアント装置は、プレマスターシークレットをＳＳＬハンドシェークメッセージでサーバ装置に送信する。１つの実施形態では、プレマスターシークレットは、サーバに関連付けられる公開鍵（サーバのＳＥＲＶＥＲ−ＨＥＬＬＯ（サーバ−ハロー）メッセージから取得される）を使用して暗号化することができる。典型的には、プレマスターシークレットを含むＳＳＬハンドシェークメッセージは、ＣＬＩＥＮＴ−ＫＥＹ−ＥＸＣＨＡＮＧＥ（クライアント−鍵−交換）ハンドシェークメッセージである。クライアント装置及びサーバ装置の各々は、別々に、プレマスターシークレットを使用してマスターシークレットを生成する一連のステップを実行する。このマスターシークレットは、ＳＳＬセッションに関連付けられる。次に、クライアント装置及びサーバ装置の各々は別々に、マスターシークレットを使用して接続鍵を生成し、該接続鍵には、限定ではないが、関連するＳＳＬ接続を通じて伝送されるデータを暗号化及び解読するのに使用される暗号鍵及び／又は関連するＳＳＬ接続を通じて受信されたメッセージを検証するのに使用される認証鍵を含むことができる。次にクライアント装置及びサーバ装置は、接続鍵のそれぞれのインスタンスを使用して、互いに対して暗号化されたペイロードを含むメッセージを生成及び送信することができる。

特許請求の範囲を含む本明細書で使用される用語「暗号化セッション」とは、２つのエンドポイント装置間のゼロ又はそれ以上の暗号化接続を示す。例示的な暗号化セッションは、ＳＳＬ、ＴＬＳ、及びＤＴＬＳセッションを含む。本明細書で使用される用語「暗号化接続」とは、ＳＳＬ、ＴＬＳ、及びＤＴＬＳ接続などの暗号情報によって保護された何らかのネットワーク接続も示すが、他の暗号化接続も同様に企図される。暗号化接続は、暗号化接続を通じて伝送されたデータを暗号化及び解読するのに使用される暗号鍵、並びにＴＣＰインターフェイスなどの下位レイヤにあるトランスポートプロトコルインターフェイスの参照を含む。

本明細書で使用される語句「暗号化セッション／接続」とは、暗号化セッション又は暗号化接続の何れかを示す。

本明細書で使用される語句「終端間暗号化セッション／接続」とは、両方のエンドポイント装置が暗号化セッション／接続を設定したときに他方のエンドポイント装置のアイデンティティを知っている場合の２つのエンドポイント装置間のセッション／接続を示す。

本明細書で使用される語句「暗号化セッションを終了する」とは、暗号化セッションの２つのエンドポイントの１つであることを示す。同様に、語句「暗号化接続を終了する」とは、暗号化接続の２つのエンドポイントの１つであることを示す。暗号化セッション／接続のエンドポイントは、通常は暗号化データをその間で送信することができるクライアント装置及びサーバ装置と呼ばれる装置である。クライアント装置及びサーバ装置の実施例は、ＳＳＬクライアント及びＳＳＬサーバである。本明細書で使用される語句「暗号化セッション／接続クライアント」とは、クライアント装置を示し、語句「暗号化セッション／接続サーバ」とは、サーバ装置を示す。

本明細書で使用される語句「暗号化セッションを設定する」とは、暗号化セッションハンドシェークプロトコルに参加することを示す。語句「暗号化接続を設定する」とは、暗号化セッションのセッション鍵（暗号化セッションのマスター鍵としても知られる）に基づいて暗号化セッション内で暗号化接続を生成することを示す。１つの実施形態では、２つの装置が暗号化セッション／接続を設定し、暗号化セッション／接続のエンドポイントになる。付加的な装置はまた、任意選択的に、エンドポイントの一方又は両方と共に、或いは一方又は両方のエンドポイントの知識なしで、暗号化セッション／接続の設定に参加することができる。暗号化セッションハンドシェークプロトコルの１つの実施例はＳＳＬハンドシェークプロトコルである。

本明細書で使用される語句「帯域外」とは、クライアント装置とサーバ装置との間に設定された終端間暗号化セッション／接続とは別個の接続を通じてデータを送信するなどの現在の暗号化セッション／接続の外側でデータを送信することを示す。

本明細書で使用される語句「秘密データ」とは、２つの装置間の暗号化セッションハンドシェークを可能にするデータを示す。秘密データは、例えば、上記に引用されたＲＦＣ２２４６で説明されるマスターシークレット及びプレマスターシークレットを含む。

本明細書で使用される用語「ペイロード」とは、パケット内に含まれ且つパケットのパケットヘッダとは別個のデータを示す。

この開示内容全体を通して、「ＣＬＩＥＮＴ−ＨＥＬＬＯ（クライアント−ハロー）」などの特定のメッセージタイプが記載される場合、これらは、メッセージのタイプを例証するのに使用される実施例である点を理解されたい。これらの特定のメッセージは、１つの実施形態であるが、暗号化セッション／接続を設定及び／又は維持するのに使用される他の類似のメッセージも同様に考えられる。

クライアント装置及び第１サーバ装置で終了された暗号化接続をクライアント装置及び第２サーバ装置で終了させる、暗号化接続を再設定するための機構を簡潔に説明する。当業者であれば、ＳＳＬセッションなどの暗号化セッション、及び暗号化セッション内に含まれるいずれの暗号化接続は、セッション／接続の持続時間において各エンドポイントのアイデンティティを保護するよう設計されていることは理解されるであろう。従って、設定された暗号化接続のエンドポイントを置き換えることができる開示された実施形態はこれまでのところ予期されていない。

説明されるように、トラフィック管理装置（ＴＭＤ）がクライアント装置と第１サーバ装置の間に配置される。クライアント装置と第１サーバ装置との間の終端間暗号化セッション／接続の設定の間、間に配置されたＴＭＤが、暗号化セッション／接続に関する秘密情報にアクセスする。このような情報は、例えば、終端端暗号化セッション内の暗号化接続両端に亘って送信されるデータを暗号化及び解読するための接続鍵を決定するのに使用可能なプレマスターシークレットを含む。終端間暗号化セッション／接続のための秘密情報にアクセスすることによって、ＴＭＤは、暗号化接続を通じて送信されたデータの読み取り、傍受、増補、削除、遅延、切り取り、圧縮、拡張、加速、置き換え、或いは修正を行うことができる。

幾つかの実施形態では、ＴＭＤは、終端間暗号化接続を再ネゴシエーションするための要求をクライアント装置に送信することができる。再ネゴシエーション要求は、例えばＳＳＬ ＨＥＬＬＯ ＲＥＱＵＥＳＴ（ＳＳＬハロー要求）メッセージを含むことができる。クライアント装置の観点から、第１サーバ装置が既存の暗号化接続を再ネゴシエーションするようクライアント装置に要求しても、クライアント装置は通常、ＴＭＤが再ネゴシエーションを開始したことに気付いていないように見える。再ネゴシエーション要求に応答して、クライアント装置は、暗号化接続を通じて第１サーバ装置にアドレス指定されたＣＬＩＥＮＴ ＨＥＬＬＯ（クライアント ハロー）メッセージを送信することができる。１つの実施形態では、ＴＭＤは、ＣＬＩＥＮＴ ＨＥＬＬＯ（クライアント ハロー）メッセージを傍受し、これを解読し、第２サーバ装置に向けてリダイレクトすることができる。同様に、クライアント装置によって送信された次のメッセージも第２サーバ装置に向けてリダイレクトすることができる。この結果、クライアント装置の観点からは、オリジナルの暗号化接続が第２サーバ装置と再設定されている。第１サーバ装置の観点からは、クライアント装置とのその暗号化接続は終了している。ＴＭＤの観点からは、クライアント装置と第１サーバ装置との間の既存の暗号化接続は、クライアント装置と第２サーバ装置との間の新しい暗号化接続に置き換えられている。１つの実施形態では、クライアント装置は、異なるサーバと暗号化接続を共有していることに気付いていない。これに加えて、或いは代替として、１つ又はそれ以上のクライアント証明書又はサーバ証明書が暗号化セッションハンドシェークメッセージ内に含まれるか、或いはこれが備えられている場合、これらの証明書は、互いのアイデンティティを認証するためにクライアント及びサーバによって使用することができ、従って、ＴＭＤがクライアントとサーバとの間に挿入されていない場合に存在するはずの信頼関係を維持する。

１つの実施形態では、上述のＴＭＤは、サーバ側ＴＭＤであり、サーバ側ＴＭＤは、クライアント側ＴＭＤと共に使用して、１つ又はそれ以上のクライアント装置と１つ又はそれ以上のサーバ装置との間で送信されたデータを拡張又は他の方法で修正することができる。１つの実施形態では、クライアント側ＴＭＤは、クライアント装置とサーバ装置との間に直接配置されず、最適化が困難になる可能性がある。この実施形態では、クライアント側ＴＭＤは、ボーダー・ゲートウェイ・プロトコル（ＢＧＰ）を利用して、インターネットルータにクライアント側ＴＭＤを介してサーバ装置にアドレス指定されたトラフィックをルーティングさせることができる。このようにして、クライアント側ＴＭＤは、クライアント装置とサーバ装置との間に挿入することが可能になり、これによってクライアント装置とサーバ装置との間で転送されたデータを拡張又は他の方法で修正することができる。

１つの実施形態では、ＴＭＤは、ＨＴＴＰ要求のタイプ、時刻、アクセスポリシー情報、又は他の基準に基づいて、複数のサーバ装置間の暗号化接続のサーバ側エンドポイントを切り換えることによって、クライアント装置と複数のサーバ装置との間の１つ又はそれ以上の暗号化接続をプロキシすることができる。１つの実施形態では、ＴＭＤは、クライアント装置に地理的に近接して位置付けることができ、別の実施形態では、ＴＭＤをサーバ装置に地理的に近接して位置付けることができる。これに加えて、或いは代替として、ＴＭＤは、同様に、ＨＴＴＰ要求のタイプ、時刻、アクセスポリシー情報、又は他の基準に基づいて、サーバ装置と複数のクライアント装置との間の接続をプロキシすることができる。

例示的な動作環境
図１は、記載の実施形態を実施できる例示的な環境１００の構成要素を示す。記載の実施形態を実施するために必ずしも構成要素の全てが必要である訳ではなく、記載の実施形態の技術的思想又は範囲から逸脱することなく、構成要素の構成及びタイプの変形を行うことができる。図１は、クライアント装置１０２〜１０４、クライアント側トラフィック管理装置（ＴＭＤ）１０６、支店１０７、ネットワーク１０８、サーバ側トラフィック管理装置１１０、終端間暗号化セッション（Ａ）、ネットワーク１０８を介したセキュアトンネル（Ｂ）、秘密鍵１１１（ｌ）〜１１１（ｎ）、サーバ装置１１２〜１１４、認証サーバ装置１１５、秘密データ１１６、サードパーティコンテンツプロバイダ１１８、及び本部１２０を示す。サーバ装置１１２〜１１４（サーバ装置１１３は図示せず）及び認証サーバ装置１１５は、本明細書では総称してサーバ装置１１２〜１１５と呼ばれる。

一般に、クライアント装置１０２〜１０４は、別のコンピュータ装置に接続し情報を受信することができる何らかのコンピュータ装置を事実上含むことができる。クライアント装置１０２〜１０４は支店１０７内に位置付けることができるが、クライアント装置１０２〜１０４は、代替として、支店１０７の外部に位置付けてもよい。このような装置は、パーソナルコンピュータ、マルチプロセッサシステム、マイクロプロセッサベース又はプログラム可能な民生用電子機器、ネットワーク装置、及び同様のものを含むことができる。クライアント装置１０２〜１０４はまた、セルラー電話、スマートフォン、ディスプレイページャ、無線周波数（ＲＦ）装置、赤外線（ＩＲ）装置、携帯情報端末（ＰＤＡ）、ハンドヘルドコンピュータ、ウェアラブルコンピュータ、タブレットコンピュータ、前述の装置の１つ又はそれ以上を組み合わせた統合装置、及び同様のものを含むことができる。従って、クライアント装置１０２〜１０４は、機能及び特徴の観点で広範囲に及ぶことができる。

クライアント装置１０２〜１０４は、種々の動作を管理するよう構成された１つ又はそれ以上のクライアントアプリケーションを更に含むことができる。その上、クライアント装置１０２〜１０４はまた、ネットワーク１０８を通じてエンドユーザが他の装置及びアプリケーションと対話できるようにするよう構成されたウェブブラウザアプリケーションを含むことができる。

ネットワーク１０８は、クライアント装置１０２〜１０４、ＴＭＤ１０６及び１１０、サーバ装置１１２〜１１４、認証サーバ装置１１５、及びサードパーティコンテンツプロバイダ１１８などのネットワーク対応装置を他のネットワーク対応装置に結合するよう構成されている。１つの実施形態では、クライアント装置１０２は、クライアント側ＴＭＤ１０６、ネットワーク１０８、及びサーバ側ＴＭＤ１１０を介して、サーバ装置１１２と通信することができる。これに加えて、或いは代替として、クライアント装置１０２、クライアント側ＴＭＤ１０６、サーバ側ＴＭＤ１１０、及びサーバ装置１１２は全てネットワーク１０８に直接接続することができる。１つの実施形態では、ネットワーク１０８は、クライアント装置１０２〜１０４とサーバ装置１１２〜１１５との間の終端間暗号化セッション（Ａ）などの暗号化セッションを可能にすることができる。

ネットワーク１０８は、１つの電子装置から別の電子装置に情報を伝送するためのコンピュータ可読媒体の何らかの形式を利用することができる。１つの実施形態では、ネットワーク１０８は、インターネットを含むことができ、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、ユニバーサルシリアルバス（ＵＳＢ）ポートなどを介した直接接続、コンピュータ可読媒体の他の形式、或いはこれらの何らかの組合せを含むことができる。種々のアーキテクチャ及びプロトコルに基づくものを含む、ＬＡＮの相互接続されたセットにおいては、ルータが、一方から他方にメッセージを送信することを可能にするために、ＬＡＮ間のリンクとして動作することができる。また、ＬＡＮ内の通信リンクは、通常、光ファイバ、ツイストペア線、又は同軸ケーブルを含み、ネットワーク間の通信リンクは、アナログ電話回線、Ｔ１、Ｔ２、Ｔ３、及びＴ４を含む全又は部分専用デジタル回線、総合デジタル通信網（ＩＳＤＮ）、デジタル加入者回線（ＤＳＬ）、衛星リンクを含む無線リンク、或いは当業者に公知の他の通信リンクを利用することができる。

ネットワーク１０８は更に、限定ではないが、セルラーシステム用の第２世代（２Ｇ）、第３世代（３Ｇ）、第４世代（４Ｇ）無線アクセス、無線ＬＡＮ、無線ルータ（ＷＲ）メッシュ、及び同様のものを含む、複数の無線アクセス技術を利用することができる。２Ｇ、３Ｇ、４Ｇ、及び将来のアクセスネットワークなどのアクセス技術は、様々な程度の移動性を備えたクライアント装置１０２〜１０４などのネットワーク装置、或いは同様のものに対する広範囲のサービスエリアを可能にすることができる。例えば、ネットワーク１０８は、移動体通信用グローバルシステム（ＧＳＭ）、汎用パケット無線サービス（ＧＰＲＳ）、拡張データＧＳＭ環境（ＥＤＧＥ）、広帯域符号分割多元接続（ＷＣＤＭＡ）、及び同様のものなどの無線ネットワークアクセスを介した無線接続を可能にすることができる。

更に、リモートコンピュータ及び他の関連の電子装置は、モデム及び一時電話リンク、ＤＳＬモデム、ケーブルモデム、光ファイバモデム、８０２．１１（Ｗｉ−Ｆｉ）受信機、及び同様のものを介してＬＡＮ又はＷＡＮの何れかに遠隔で接続することができる。本質的に、ネットワーク１０８は、１つのネットワーク装置と別のネットワーク装置との間で情報を移動させることができる何らかの通信方法を含む。

ネットワーク１０８を介したセキュアトンネル（Ｂ）は、ネットワーク装置間で情報を伝送するための何らかのトンネルを含む。典型的には、セキュアトンネル（Ｂ）は暗号化されている。本明細書で使用される「トンネル」又は「トンネル化接続」は、開放型システム間相互接続（ＯＳＩ）ネットワークスタックの同じレイヤ又は下位レイヤのプロトコルでネットワークパケット又はフレームのカプセル化を提供するネットワーク機構である。１つのネットワークシステムからパケット又はフレームを取り出して、これを別のネットワークシステムからのフレームの内部に入れる（例えば、カプセル化する）ためにトンネリングを利用することができる。トンネリングプロトコルの実施例は、限定ではないが、ＩＰトンネリング、レイヤ２トンネリングプロトコル（Ｌ２ＴＰ）、レイヤ２転送（Ｌ２Ｆ）、ＶＰＮ、ＩＰセキュリティ（ＩＰＳｅｃ）、ポイント・ツー・ポイントトンネリングプロトコル（ＰＰＴＰ）、ＧＲＥ、ＭＢｏｎｅ、及びＳＳＬ／ＴＬＳを含む。図示のように、セキュアトンネル（Ｂ）は、ネットワーク１０８を介したクライアント側ＴＭＤ１０６とサーバ側ＴＭＤ１１０との間のセキュア接続のために作成される。

クライアント側ＴＭＤ１０６又はサーバ側ＴＭＤ１１０として使用できるネットワーク装置の１つの実施形態を図２を参照して以下で更に詳細に説明する。しかしながら、簡潔にすれば、クライアント側ＴＭＤ１０６及びサーバ側ＴＭＤ１１０は各々、ネットワークトラフィックを管理する何らかのネットワーク装置を事実上含む。このような装置は、例えば、ルータ、プロキシ、ファイアウォール、ロードバランサ、キャッシュ装置、アプリケーション加速器、ネットワークアドレス変換を実行する装置、前述の装置の何らかの組合せ、又は同様のものを含む。このような装置は、ハードウェア単独で、或いはハードウェア及びソフトウェアで実施することができる。例えば、このような装置は、１つ又はそれ以上のマイクロプロセッサに結合された幾つかの特定用途向け集積回路（ＡＳＩＣ）を含むことができる。ＡＳＩＣは、高速スイッチファブリックを提供するのに使用することができ、マイクロプロセッサは、パケットのより高いレイヤの処理を実行することができる。

１つの実施形態では、サーバ側ＴＭＤ１１０は通常、本部１２０内に位置付けられ、このため、物理的に保護され中央アドミニストレータの直接管理の下にあると考えられる。従って、サーバ側ＴＭＤ１１０はまた、信頼されるＴＭＤとしても認識することができる。サーバ側ＴＭＤ１１０は、例えば、サーバ装置１１２〜１１５などのサーバ装置のアレイに配信され又はそこから転送されるデータパケットの流れを制御することができる。１つの実施形態では、サーバ側ＴＭＤ１１０とサーバ装置１１２〜１１５との間で送信されたメッセージは、クライアント装置１０２〜１０４の１つとサーバ装置１１２〜１１５の１つとの間に形成された終端間暗号化セッション（Ａ）などのセキュアチャネルの一部とすることができる。別の実施形態では、サーバ側ＴＭＤ１１０が、サーバ装置の代わりに暗号化接続を終了することができ、ＩＰＳｅｃなどの暗号化の別のタイプを利用して、サーバ装置にパケットを配信し、又はサーバ装置からパケットを転送することができる。代替として、サーバ側ＴＭＤ１１０がサーバ装置の代わりに暗号化接続を終了すると、サーバ装置へのパケットの配信又はサーバ装置からのパケットの転送は、暗号化なしで（或いは「平文で」）実行することができる。

１つの実施形態では、クライアント側ＴＭＤ１０６は通常、支店１０７に常駐し、物理的に中央アドミニストレータの制御の外側にあり、従って、物理的改竄の影響を受けやすい可能性がある。従って、クライアント側ＴＭＤ１０６は、信頼されないＴＭＤとして認識することができる。１つの実施形態では、クライアント側ＴＭＤ１０６は、発信元から宛先にデータを転送することができる。例えば、クライアント側ＴＭＤ１０６は、クライアント装置１０２〜１０４の１つとサーバ装置１１２〜１１５の１つとの間で１つ又はそれ以上の暗号化セッションハンドシェークメッセージを転送することができる。代替として、クライアント側ＴＭＤは、本部１２０に常駐することができる。代替として、クライアント側ＴＭＤは、単一の装置内にサーバ側ＴＭＤと共に含めることができ、単一の装置が、ＴＭＤを介してデータを送信する装置のタイプ及び位置に基づいて、クライアント側ＴＭＤとサーバ側ＴＭＤの両方のサービスを提供できるようにする。これに加えて、或いは代替として、ＴＭＤは、単一の接続に対してクライアント側ＴＭＤとサーバ側ＴＭＤの両方として動作することができる。例えば、ＴＭＤは、別のオフィスにあるサーバ側ＴＭＤに要求をルーティングすることによって、クライアント側ＴＭＤとして動作することができる。しかしながら、サーバ側ＴＭＤは、「クライアント側」ＴＭＤに地理的に近接して位置付けられたサーバ装置に要求を再ルーティングすることができる。この場合、「クライアント側」ＴＭＤは、クライアント装置をローカルサーバ装置に接続することになる。クライアント装置をローカルサーバ装置に接続すると、「クライアント側」ＴＭＤとして開始したＴＭＤは、「サーバ側」ＴＭＤの役割を実行することができる。

以下に更に詳細に説明されるように、クライアント側ＴＭＤ１０６は、通常はサーバ側ＴＭＤ１１０から秘密データ１１６を受信することができ、これによりクライアント装置１０２〜１０４の１つとサーバ装置１１２〜１１５の１つの間で送信された暗号化接続メッセージに対して種々の付加的な動作を実行できるようになる。例えば、クライアント側ＴＭＤ１０６は、暗号化接続メッセージ内のデータの読み取り、傍受、増補、削除、切り取り、圧縮、遅延、拡張、置き換え、或いは修正を行うことができる。

１つの実施形態では、サーバ装置の秘密鍵１１１は、本部１２０、連邦情報処理規格（ＦＩＰＳ）境界、又は同様のものの内部で一元管理することができる。サーバ側ＴＭＤ１１０は、様々な機構を介して秘密鍵１１１又は同様のものへのアクセスを可能にすることができる。

サーバ装置１１２〜１１５は、別のネットワーク装置にパケットを伝送することができる何らかのコンピュータ装置を含むことができる。各パケットは、１つの情報を運ぶことができる。パケットは、例えば、接続を設定するため、或いはデータの受け入れに確認応答するためのハンドシェーキングのために送信することができる。パケットは、要求、応答、又は同様のものなどの情報を含むことができる。一般的に、サーバ装置１１２〜１１５によって受信されたパケットは、ＴＣＰ／ＩＰに従ってフォーマット化されるが、これらはまた、ＳＣＴＰ、Ｘ．２５、ＮｅｔＢＥＵＩ、ＩＰＸ／ＳＰＸ、トークンリング、同様のＩＰｖ４／６プロトコル、及び同様のものなどの別のプロトコルを使用してフォーマット化することもできる。更に、パケットは、ＨＴＴＰ、ＨＴＴＰＳ、及び同様のものを利用して、サーバ装置１１２〜１１５、サーバ側ＴＭＤ１１０、及びクライアント装置１０２〜１０４の１つの間で伝送することができる。

１つの実施形態では、サーバ装置１１２〜１１５は、ウェブサイトサーバとして動作するよう構成されている。しかしながら、サーバ装置１１２〜１１５は、ウェブサーバ装置に限定されず、メッセージングサーバ、ファイル転送プロトコル（ＦＴＰ）サーバ、データベースサーバ、コンテンツサーバ、及び同様のものを動作させることができる。更に、サーバ装置１１２〜１１５の各々は、異なる動作を実行するよう構成することができる。従って、例えば、サーバ装置１１２をメッセージングサーバとして構成することができ、サーバ装置１１４は、データベースサーバとして構成される。その上、サーバ装置１１２〜１１５は、ウェブサイト以外のものとして動作することができ、ＨＴＴＰ通信を受信できるようにもすることができる。

サーバ装置１１２〜１１５として動作することができる装置は、パーソナルコンピュータ、デスクトップコンピュータ、マルチプロセッサシステム、マイクロプロセッサベース又はプログラム可能民生用電子機器、ネットワークＰＣ、サーバ装置、及び同様のものを含む。

上述のように、秘密データ１１６は通常、プレマスターシークレット及び／又はマスターシークレットを含む。１つの実施形態では、クライアント装置及びサーバ装置は、セッション鍵（マスター鍵としても知られる）を生成するのに使用されるそれぞれのＨＥＬＬＯ（ハロー）メッセージにおけるノンス（一度だけ使用される数字）を交換することができる。これに加えて、或いは代替として、秘密データ１１６は、クライアント装置によって生成されてサーバ装置の公開鍵を使用してクライアント装置によってデジタルで暗号化された別のノンス（ＨＥＬＬＯ（ハロー）メッセージに含まれるノンスとは別個のもの）を含むことができる。１つの実施形態では、秘密データ１１６は、セッション鍵を生成するために、クライアント装置、サーバ側ＴＭＤ１１０、及びサーバ装置の１つ又はそれ以上によって利用される。

サードパーティコンテンツプロバイダ１１８を用いて、サーバ側ＴＭＤ１１０又はクライアント側ＴＭＤ１０６によって暗号化接続に挿入されるコンテンツ（例えば、広告）を提供するために任意選択的に使用することができる。しかしながら、サードパーティコンテンツは、これに限定されず、アフィリエイトされたビジネスパートナー、企業ＩＴ部門、及び同様のものによって提供されるコンテンツを付加的に含むことができる。

クライアント及びサーバなどの用語は、装置内の機能を示すことができる点に更に留意されたい。このようにして、事実上、いずれの装置もクライアント又はサーバとして動作するか、或いはクライアント及びサーバ機能の両方を含むように構成することができる。更に、２つ又はそれ以上のピアが利用される場合、これらの何れか１つは、クライアント又はサーバとして指定することができ、本発明の教示に適合するよう構成することができる。

（例示的なネットワーク装置環境）
図２は、本発明の１つの実施形態による、ネットワーク装置の１つの実施形態を示す。ネットワーク装置２００は、図示されるものよりも多い又は少ない構成要素を含むことができる。しかしながら、図示される構成要素は、本発明を実施するための例示的な実施形態を開示するのに十分である。ネットワーク装置２００は、例えば、図１のサーバ側ＴＭＤ１１０及び／又はクライアント側ＴＭＤ１０６を表すことができる。

ネットワーク装置２００は、全てがバス２２２を介して互いに通信する、処理ユニット２１２、ビデオディスプレイアダプタ２１４、及び大容量メモリを含む。大容量メモリは、一般に、ＲＡＭ２１６、ＲＯＭ２３２、並びにハードディスクドライブ２２８、テープドライブ、ＣＤ−ＲＯＭ／ＤＶＤ−ＲＯＭドライブ２２６、及び／又はフロッピーディスクドライブなどの１つ又はそれ以上の永続大容量記憶装置を含む。大容量メモリは、ネットワーク装置２００の動作を制御するためのオペレーティングシステム２２０を記憶する。ネットワーク装置２００はまた、暗号化セッションマネージャ２５２、ボーダー・ゲートウェイ・プロトコル（ＢＧＰ）モジュール２５６、及び他のアプリケーション２５８を含む。

図２に示されるように、ネットワーク装置２００はまた、ＴＣＰ／ＩＰプロトコルを含む種々の通信プロトコルと共に使用するよう構成されているネットワークインターフェイスユニット２１０を介してインターネット又は他の何らかの通信ネットワークと通信することができる。ネットワークインターフェイスユニット２１０は、場合によっては、送受信機、送受信装置、或いはネットワークインターフェイスカード（ＮＩＣ）として知られている。

上述の大容量メモリは、コンピュータ可読媒体の別のタイプ、すなわちコンピュータ記憶媒体を示す。コンピュータ記憶媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、又は他のデータなどの情報の記憶のための何らかの方法又は技術で実装された、揮発性媒体、不揮発性媒体、取り外し可能媒体、及び取り外し不能媒体を含むことができる。コンピュータ記憶媒体の実施例は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリ又は他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多機能ディスク（ＤＶＤ）又は他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置又は他の磁気記憶装置、或いは所望の情報を記憶するのに使用でき且つコンピュータ装置によってアクセス可能な何らかの他の媒体を含む。

大容量メモリはまた、プログラムコード及びデータを記憶する。１つ又はそれ以上のアプリケーション２５８が大容量メモリにロードされ、オペレーティングシステム２００上で実行される。アプリケーションプログラムの実施例は、電子メールプログラム、ルーティングプログラム、スケジューラ、カレンダー、データベースプログラム、文書処理プログラム、ＨＴＴＰプログラム、トラフィック管理プログラム、セキュリティプログラムなどを含むことができる。

ネットワーク装置２００は、ＴＬＳ、ＴＴＬＳ、ＥＡＰ、ＳＳＬ、ＩＰＳｅｃ、及び同様のものを含む、事実上あらゆるセキュア接続をサポートするアプリケーションを更に含むことができる。このようなアプリケーションは、例えば、暗号化セッションマネージャ２５２及びＢＧＰプロトコルモジュール２５６を含むことができる。

１つの実施形態では、暗号化セッションマネージャ２５２は、暗号化セッションハンドシェークの管理、鍵、証明書、認証、許可、又は同様のものの管理を含む、暗号化セッション処理を実行することができる。その上、暗号化セッションマネージャ２５２は、１つの実施形態では、暗号化セッション及び／又は接続を設定する、暗号化セッション及び／又は接続を終了する、暗号化セッション及び／又は接続の介入者としてそれ自体を設定する、或いは同様のことを行うことができる。更に、暗号化セッションマネージャ２５２は、１つの実施形態では、暗号化セッションのサーバエンドポイントを別のサーバエンドポイントに置き換える目的のために、暗号化接続再ネゴシエーションを開始することができる。

加えて、ネットワーク装置２００は、ＶＰＮ、ＰＰＰ、Ｌ２ＴＰなどの多種多様なトンネリング機構をサポートするアプリケーションを含むことができる。

ネットワーク装置２００はまた、図２に示されていないマウス、キーボード、スキャナ、又は他の入力装置などの外部装置と通信するための入力／出力インターフェイス２２４を含むことができる。同様に、ネットワーク装置２００は、ＣＤ−ＲＯＭ／ＤＶＤ−ＲＯＭドライブ２２６及びハードディスクドライブ２２８などの付加的な大容量記憶機器を更に含むことができる。ハードディスクドライブ２２８は、とりわけ、アプリケーションプログラム、データベース、証明書、公開及び秘密鍵、秘密データ、及び同様のものを記憶するのに利用することができる。

１つの実施形態では、ネットワーク装置２００は、バス２２２に結合された少なくとも１つの特定用途向け集積回路（ＡＳＩＣ）チップ（図示せず）を含む。ＡＳＩＣチップは、ネットワーク装置２００の動作の一部を実行する論理回路を含むことができる。例えば、１つの実施形態では、ＡＳＩＣチップは、着信及び／又は発信パケットのための幾つかのパケット処理機能を実行することができる。１つの実施形態では、ＡＳＩＣチップは、暗号化セッションマネージャ２５２及び／又はＢＧＰモジュール２５６の動作を可能にするための論理回路の少なくとも一部分を実行することができる。

１つの実施形態では、ネットワーク装置２００は更に、ＡＳＩＣチップの代わりに、或いはこれに加えて、１つ又はそれ以上のフィールドプログラマブルゲートアレイ（ＦＰＧＡ）（図示せず）を含むことができる。ネットワーク装置の幾つかの機能は、ＡＳＩＣチップ、ＦＰＧＡによって、メモリ内に記憶された命令を備えたＣＰＵ２１２によって、或いはＡＳＩＣチップ、ＦＰＧＡ、及びＣＰＵの何らかの組合せによって実行することができる。

１つの実施形態では、クライアント装置１０２などの一部のクライアント装置は、ＬＡＮ又は他の直接接続を介してクライアント側ＴＭＤ１０６に接続することはできない。例えば、クライアント装置１０２は、クライアント側ＴＭＤを有する支店に位置付けられない可能性がある。これに加えて、或いは代替として、クライアント装置１０２は移動デバイスであってもよい。クライアント装置がクライアント側ＴＭＤに直接接続されないときには、クライアント装置は、暗号化セッションを設定するか、或いはデータを傍受及び処理するためにクライアント側ＴＭＤなしでサーバ１１２〜１１５の１つにデータを送信することができる。しかしながら、多くの場合、クライアント側ＴＭＤがこのような通信を傍受及び拡張することが有利である。

このような目的で、ボーダー・ゲートウェイ・プロトコル（ＢＧＰ）モジュール２５６は、１つの実施形態では、１つ又はそれ以上のクライアント装置から発信されたネットワークトラフィックをクライアント側ＴＭＤ１０６を介してルーティング可能にすることができる。１つの実施形態では、ＢＧＰモジュール２５６は、クライアント側ＴＭＤ１０６がサーバ装置１１２〜１１５にアドレス指定されたデータに対する最適ルートを知っていることを示すＢＧＰプロトコルメッセージをインターネット上のルータに一斉送信することによってこのルーティングを保証する。この結果、ＢＧＰプロトコルメッセージを受信したルータは通常、クライアント側ＴＭＤ１０６を介してサーバ装置１１２〜１１５の１つにアドレス指定されたネットワークトラフィックをルーティングすることになる。この結果、クライアント側ＴＭＤに直接接続されていないクライアント装置は、クライアント側ＴＭＤ１０６を介してルーティングされる暗号化セッションを含むサーバ装置１１２〜１１５への接続を有することができる。このようにして、クライアント側ＴＭＤ１０６は、例えば、データを圧縮する、加速する、或いは修正するなどの、ネットワークの効率を向上させる種々の動作を実行することができる。

（例示的なサーバ装置環境）
図３は、本発明の１つの実施形態による、サーバ装置の１つの実施形態を示す。サーバ装置３００は、図示されるものよりも多い構成要素を含むことができる。しかしながら、図示される構成要素は、本発明を実施するための例示的な実施形態を開示するのに十分である。サーバ装置３００は、例えば、図１のサーバ１１２〜１１４及び認証サーバ１１５を表すことができる。

サーバ装置３００は、全てがバス３２２を介して互いに通信する、処理ユニット３１２、ビデオディスプレイアダプタ３１４、及び大容量メモリを含む。大容量メモリは、一般に、ＲＡＭ３１６、ＲＯＭ３３２、及びハードディスクドライブ３２８、テープドライブ、ＣＤ−ＲＯＭ／ＤＶＤ−ＲＯＭドライブ３２６、及び／又はフロッピーディスクドライブなどの１つ又はそれ以上の永続大容量記憶装置を含む。大容量メモリは、サーバ装置３００の動作を制御するためのオペレーティングシステム３２０を記憶する。あらゆる汎用オペレーティングシステムも利用することができる。また、サーバ装置３００の低レベル動作を制御するために基本入力／出力システム（「ＢＩＯＳ」）３１８も提供される。図３に示されるように、サーバ装置３００はまた、ＴＣＰ／ＩＰプロトコルを含む種々の通信プロトコルと共に使用するよう構成されているネットワークインターフェイスユニット３１０を介して、インターネット又は他の何らかの通信ネットワークと通信することができる。ネットワークインターフェイスユニット３１０は、場合によっては、送受信機、送受信装置、或いはネットワークインターフェイスカード（ＮＩＣ）として知られている。

上述の大容量メモリは、コンピュータ可読媒体の別のタイプ、すなわちコンピュータ記憶媒体を示す。コンピュータ可読記憶媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、或いは他のデータなどの情報の記憶のための何らかの方法又は技術で実装された、揮発性媒体、不揮発性媒体、取り外し可能媒体、及び取り外し不可媒体を含むことができる。コンピュータ可読記憶媒体の実施例は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリ又は他のメモリ技術、ＣＤ−ＲＯＭ、デジタル多機能ディスク（ＤＶＤ）又は他の光学記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置又は他の磁気記憶装置、或いは所望の情報を記憶するのに使用でき且つコンピュータ装置によってアクセス可能な何らかの他の物理媒体を含む。

１つ又はそれ以上のアプリケーション３５０が大容量メモリにロードされ、オペレーティングシステム３２０上で実行することができる。アプリケーションプログラムの実施例は、トランスコーダ、スケジューラ、カレンダー、データベースプログラム、文書処理プログラム、ＨＴＴＰプログラム、カスタマイズ可能なユーザインターフェイスプログラム、ＩＰＳｅｃアプリケーション、暗号化プログラム、セキュリティプログラム、ＶＰＮプログラム、ウェブサーバ、アカウント管理などを含むことができる。アプリケーション３５０は、暗号化セッションモジュール３６０を含むことができる。暗号化セッションモジュール３６０は、上述のネットワーク装置の何れかを含む他のネットワーク装置との暗号化セッション及び／又は接続を設定することができる。１つの実施形態では、暗号化セッションモジュール３６０は、図１のＴＭＤ１１０又はＴＭＤ１０６と協働して機能することができる。これに加えて、或いは代替として、暗号化セッションモジュール３６０は、いずれのＴＭＤにも関係なく他のネットワーク装置と通信することができる。

アプリケーション３５０はまた、メッセージを含むコンテンツを別のコンピュータ装置にネットワークを通じて提供するよう構成されている多種多様なウェブサービスを含むことができる。これらのウェブサービスは、例えば、ウェブサーバ、メッセージングサーバ、ファイル転送プロトコル（ＦＴＰ）サーバ、データベースサーバ、コンテンツサーバ、又は同様のものを含む。これらのウェブサービスは、限定ではないが、ＷＡＰ、ＨＤＭＬ、ＷＭＬ、ＳＭＧＬ、ＨＴＭＬ、ＸＭＬ、ｃＨＴＭＬ、ｘＨＴＭＬ、又は同様のものを含む多種多様なフォーマットの何れかを使用して、ネットワークを通じてメッセージを含むコンテンツを提供することができる。

（一般化動作）
特定の態様の動作を、図４−８に関して説明する。図４−７は、特定の態様を例示する論理フロー図を示し、図８は、信号フロー図を示す。図４は、終端間暗号化接続におけるエンドポイントを置き換える処理の１つの実施形態を全体的に図示した論理フロー図を示す。１つの実施形態では、処理４００はサーバ側ＴＭＤ１１０によって実行することができる。

処理４００は、クライアント装置と第１サーバ装置との間に配置されたサーバ側ＴＭＤによって開始ブロックの後のブロック４０２で始まる。１つの実施形態では、サーバ側ＴＭＤが、クライアント装置と第１サーバ装置との間の終端間暗号化セッションに関連付けられるセッション鍵を決定する。セッション鍵の決定は、図５に関して以下で更に詳細に説明する。

ブロック４０４において、サーバ側ＴＭＤが、終端間暗号化セッションに関連付けられた終端間接続におけるエンドポイントとして第１サーバ装置を置き換える基準を検出する。１つの実施形態では、この検出基準は、クライアント装置によって要求されるデータのタイプを検出する段階を含むことができる。これに加えて、或いは代替として、基準は、定期的なスケジュール、サーバ装置のシステムアップグレード、アドミニストレータによる要求、又は同様のものを含むことができる。

ブロック４０６において、サーバ側ＴＭＤは、暗号化接続におけるエンドポイントして第１サーバ装置を第２サーバ装置に置き換える。１つの実施形態では、サーバ側ＴＭＤは、暗号化接続の再ネゴシエーションを利用して、エンドポイントとして第２サーバ装置を設定する。サーバ装置と第２サーバ装置の置き換えは、図６に関して以下で更に詳細に説明する。

ブロック４０８において、サーバ側ＴＭＤは、暗号化接続を通じて送信されたデータの読み取り、傍受、遅延、増補、削除、切り取り、圧縮、拡張、加速、置き換え、或いは修正を行うことができる。１つの実施形態では、サーバ側ＴＭＤは、暗号化接続を通じて送信されたデータを更に拡張するために、クライアント側ＴＭＤと連動して動作することができる。暗号化接続を通じて送信されたデータの拡張は、図７に関して以下で更に詳細に説明する。次に処理は復帰ブロックで終了する。

図５は、終端間暗号化セッションに関連付けられるセッション鍵を生成するための処理の１つの実施形態を全体的に図示した論理フロー図を示す。１つの実施形態では、処理５００は、サーバ側ＴＭＤ１１０によって実行することができる。

処理５００は、開始ブロックの後、第１サーバ装置に関連付けられる秘密鍵を受信することによってブロック５０２で始まる。１つの実施形態では、第１サーバ装置は、図１に示されるサーバ装置１１２〜１１５の１つを含むことができる。１つの実施形態では、第１サーバ装置の秘密鍵は、システムアドミニストレータによって提供することができる。これに加えて、或いは代替として、秘密鍵は、ローカルドメインコントローラ、ＬＤＡＰサーバ、又は第２ネットワーク装置自体によって提供することができる。

ブロック５０４において、暗号化セッションに関連付けられるハンドシェークメッセージの第１セットが傍受される。１つの実施形態では、暗号化セッションの作成は、クライアント装置１０２〜１０４の１つなどのクライアント装置によって開始することができる。１つの実施形態では、ハンドシェークメッセージの第１セットは、第１サーバ装置に向けてクライアント装置によって送信された「ＣＬＩＥＮＴ ＨＥＬＬＯ（クライアント ハロー）」メッセージを含む。傍受及び記憶された後、「ＣＬＩＥＮＴ ＨＥＬＬＯ（クライアント ハロー）」メッセージは、第１サーバに転送することができる。１つの実施形態では、「ＣＬＩＥＮＴ ＨＥＬＬＯ（クライアント ハロー）」メッセージなどの傍受されたハンドシェークメッセージを記憶することによって、サーバ側ＴＭＤは、対応する暗号化セッションの寿命全体を通じて常に本明細書で説明される動作を実行することができる。

「ＣＬＩＥＮＴ ＨＥＬＬＯ（クライアント ハロー）」に応答して、第１サーバ装置は、「ＳＥＶＥＲ ＨＥＬＬＯ（サーバ ハロー）」メッセージ、クライアント装置が第１サーバ装置を識別できるようにする「ＳＥＲＶＥＲ ＣＥＲＴＩＦＩＣＡＴＥ（サーバ 証明書）」メッセージ、第１サーバ装置の公開鍵を含む「ＳＥＲＶＥＲ ＫＥＹ ＥＸＣＨＡＮＧＥ（サーバ 鍵 交換）」メッセージ、サーバ装置がクライアント装置を識別できるようにする証明書をクライアントに送信するよう要求する「ＣＥＲＴＩＦＩＣＡＴＥ ＲＥＱＵＥＳＴ（証明書 要求）」メッセージ、及び「ＳＥＲＶＥＲ ＨＥＬＬＯ ＤＯＮＥ（サーバ ハロー 実行）」メッセージを送信することができ、これらのメッセージの全ては、傍受されてハンドシェークメッセージの第１セットに記憶され、クライアント装置に転送することができる。

「ＳＥＲＶＥＲ ＨＥＬＬＯ ＤＯＮＥ（サーバ ハロー 実行）」メッセージに応答して、クライアント装置は、１つの実施形態において、クライアント装置によって生成され且つ第１サーバ装置の公開鍵で暗号化された乱数（例えば、ノンス）を含む、「ＣＬＩＥＮＴ ＫＥＹ ＥＸＣＨＡＮＧＥ（クライアント 鍵 交換）」メッセージを送信することができる。１つの実施形態では、「ＣＬＩＥＮＴ ＫＥＹ ＥＸＣＨＡＮＧＥ（クライアント 鍵 交換）」メッセージは、傍受され、ハンドシェークメッセージの第１セットに記憶され、第１サーバ装置に転送することができる。これに加えて、或いは代替として、ハンドシェークメッセージの第１セットは、暗号化セッションを設定したままクライアント装置と第１サーバ装置との間で交換されるあらゆる付加的なメッセージを含むことができ、例えばサーバ装置がクライアント装置を識別できるようにするクライアント装置の証明書を含む「ＣＥＲＴＩＦＩＣＡＴＥ（証明書）」メッセージを含む。１つの実施形態では、ハンドシェークメッセージのこの交換の完了時に、クライアント装置及び第１サーバ装置は、終端間暗号化セッションを設定している。

次に、処理はブロック５０６に進み、ここで、秘密データがハンドシェークメッセージの傍受された第１セットから抽出される。１つの実施形態では、第１サーバ装置の受信された秘密鍵を用いて、クライアント装置によって生成され第１サーバ装置の公開鍵で暗号化された乱数を含む「ＣＬＩＥＮＴ ＫＥＹ ＥＸＣＨＡＮＧＥ（クライアント 鍵 交換）」のペイロードを解読することによって秘密データを抽出することができる。これに加えて、或いは代替として、サーバ側ＴＭＤが「プレマスターシークレット」を抽出する。

次に、処理はブロック５０８に進み、ここで１つの実施形態において、解読された乱数がクライアント装置と第１サーバ装置との間で交換された１つ又はそれ以上の他の乱数と組み合わせて使用され、セッション鍵を生成する。１つの実施形態では、セッション鍵は「マスターシークレット」であってもよい。１つの実施形態では、セッション鍵は、暗号化セッションハンドシェークの間に交換された１つ又はそれ以上の他の乱数と組み合わされ、接続鍵を生成する。接続鍵を使用して、暗号化接続を通じて送信されたデータを暗号化及び解読することができる。

１つの実施形態において、クライアント装置及び第１サーバ装置はまた、交換されたハンドシェークメッセージに基づいてセッション鍵を別々に計算する。１つの実施形態では、クライアント装置及び第１サーバ装置はまた、接続鍵を別々に計算する。幾つかの実施形態では、サーバ側ＴＭＤは、傍受されたハンドシェークメッセージにおける情報に基づいてセッション鍵を計算することができる。或いは、セッション鍵を別々に計算する代わりに、サーバ側ＴＭＤが、第１サーバ、クライアント、別のネットワーク装置、或いはシステムアドミニストレータの１つからセッション鍵及び／又は接続鍵を受信することができる。

接続鍵が生成又は取得される方法に関わらず、接続鍵は、クライアント装置と第１サーバ装置との間に送信された暗号化データを解読できるようにする。１つの実施形態では、サーバ側ＴＭＤは、接続鍵を使用してデータを解読することができ、次いで、解読されたデータを増補、削除、拡張、或いは修正することができる。１つの実施形態では、サーバ側ＴＭＤは、接続鍵を使用して修正されたデータを再暗号化し、修正されたデータをクライアント装置及び第１サーバ装置の一方に送信することができる。次に処理は、復帰ブロックで終了する。

図６は、終端間暗号化接続におけるエンドポイントを第２サーバ装置に置き換えるための処理の１つの実施形態を全体的に図示する論理フロー図を示す。１つの実施形態では、処理６００は、サーバ側ＴＭＤ１１０によって実施することができる。

処理６００は、開始ブロックの後、ブロック６０２で開始し、ここで１つの実施形態では、サーバ側ＴＭＤが再ネゴシエーション要求を終端間暗号化接続を通じてクライアント装置に送信する。１つの実施形態では、サーバ側ＴＭＤが、クライアント装置又は第１サーバ装置の何れかによって送信されたＨＴＴＰヘッダを抽出したこと、及びＨＴＴＰヘッダが第２サーバ装置に位置付けられたコンテンツに対する要求を含むことを判定したことに応答して、再ネゴシエーション要求メッセージを送信する。サーバ側ＴＭＤ１１０は、ネットワークトラフィック、ネットワークトポロジー、サーバ装置の容量、要求されるコンテンツ、及び他のトラフィック配信機構のホストに基づいて、特定のサーバ装置に資源に対する要求を送ることができる。また、サーバ側ＴＭＤ１１０は、同じ通信、フロー、及び／又はストリームの一部であるパケットを認識することができ、同じサーバ装置にこれらを送るなど、このようなパケットに対する特別な処理を実行することができる。

１つの実施形態では、サーバ側ＴＭＤが、「ＳＳＬ ＨＥＬＬＯ ＲＥＱＵＥＳＴ（ＳＳＬ ハロー 要求）」を発信して終端間暗号化接続を通じてクライアント装置に送信することによって、再ネゴシエーションを要求又は開始する。１つの実施形態では、サーバ側ＴＭＤは、終端間暗号化接続のエンドポイントとして第１サーバ装置を１つ又はそれ以上の第２サーバ装置に置き換えるために、暗号化接続再ネゴシエーションを利用する。上述のように、クライアント（又はサーバ）装置は、１つの実施形態では、異なるサーバ（又はクライアント）装置がエンドポイントになったことを認識していない可能性がある。このように、サーバ側ＴＭＤの機能は、クライアント（又はサーバ）装置に対して透明であるようにすることができる。

次に、処理はブロック６０４に進み、ここでサーバ側ＴＭＤが、「ＳＳＬ ＨＥＬＬＯ ＲＥＱＵＥＳＴ（ＳＳＬ ハロー 要求）」に応答して送信されたハンドシェークメッセージの第２セットを傍受する。１つの実施形態では、ハンドシェークメッセージの第２セットは、接続鍵を使用して暗号化され、終端間暗号化接続を通じてクライアント装置によって送信される。１つの実施形態では、ハンドシェークメッセージの第２セットが第１サーバ装置にアドレス指定される。

次に処理はブロック６０６に進み、ここでサーバ側ＴＭＤが接続鍵を使用してハンドシェークメッセージの第２セットを解読する。

次に処理はブロック６０８に進み、ここでサーバ側ＴＭＤが、解読されたハンドシェークメッセージの第２セットを第２サーバ装置にリダイレクトし、これによって第２サーバ装置を終端間暗号化接続におけるエンドポイントにすることができる。１つの実施形態では、ハンドシェークメッセージの第２セットを第２サーバ装置に送ることによって、終端間暗号化接続を通じてクライアント装置によって行われた要求は、サーバ側ＴＭＤによって１つよりも多いサーバ装置に再配信することができる。１つの実施形態では、サーバ側ＴＭＤと第１サーバ装置との間で設定されていた既存の接続が、サーバ側ＴＭＤによって正常に終了される。代替として、サーバ側ＴＭＤと第１サーバ装置との間の既存の接続は、将来の使用のためにキャッシュ、プール、又はその他の方法で維持することができる。

これに加えて、或いは代替として、エンドポイントとして第２サーバ装置を設定する代わりに、サーバ側ＴＭＤは、暗号化接続のエンドポイントになるために暗号化接続再ネゴシエーションを利用することができる。この実施形態では、サーバ側ＴＭＤが、暗号化接続加速器として動作することができ、すなわち、クライアント装置から暗号化コンテンツを受信し、受信されたコンテンツを解読し、解読されたコンテンツを処理のためにサーバ装置に転送し、更にサーバ装置の応答を暗号化する。このような事例では、ＴＭＤは、平文で第１サーバ装置と通信するか、或いは第１サーバ装置と別の接続を設定することができる。別の実施形態では、サーバ側ＴＭＤは、キャッシュされたデータ又は生成されたデータなどの別のサーバからのコンテンツを転送するのではなく、暗号化コンテンツ自体を生成することができる。別の実施形態では、クライアント側ＴＭＤは、同様に暗号化接続再ネゴシエーションを利用して、暗号化接続のエンドポイントになり、暗号化接続加速器として動作し、キャッシュされたデータなどのコンテンツを生成することができる。これに加えて、或いは代替として、サーバ側ＴＭＤは、クライアント装置と第１サーバ装置との間の次の再ネゴシエーションを無視することができ、これによって、サーバ側ＴＭＤは、終端間暗号化接続を通じて送信されたコンテンツの解読及び修正を中止する。代わりに、サーバ側ＴＭＤは、何らかの他のネットワーク接続のように再ネゴシエーションされた暗号化接続を通じて送信されたデータを第１サーバ装置にルーティングすることができる。同様に、他の実施形態では、クライアント側ＴＭＤはまた、暗号化接続再ネゴシエーションを利用して、暗号化接続から「外れた」次の再ネゴシエーションを無視することができる。

これに加えて、或いは代替として、サーバ側ＴＭＤは、クライアント装置への暗号化接続及びサーバ装置への別の暗号化接続を終了することができる。サーバ側ＴＭＤは、この暗号化接続のペアをクライアント装置とサーバ装置との間の単一の終端間暗号化接続に変換することができる。１つの実施形態では、サーバ側ＴＭＤは、暗号化接続再ネゴシエーションと、クライアント装置とサーバ装置との間で転送されるハンドシェークメッセージとを利用することによってこのような変換を実行することができる。このような実施形態では、次にＴＭＤは、終端間暗号化接続を通じて送信されたデータに対して本明細書で説明される動作の何れかを実行することができる。

次に、処理はブロック６１０に進み、ここで第２サーバ装置の秘密鍵がサーバ側ＴＭＤによって受信される。これに加えて、或いは代替として、サーバ側ＴＭＤは、再ネゴシエーション要求を送信する前に第２サーバ装置の秘密鍵を受信することができる。１つの実施形態では、サーバ側ＴＭＤが、第１サーバ装置の秘密鍵の受信に関して上述の方式の何れかで第２サーバ装置の秘密鍵を受信する。

次に、処理はブロック６１２に進み、ここで第２サーバ装置の秘密鍵を用いて、ハンドシェークメッセージの第２セットから秘密データを抽出する。１つの実施形態では、サーバ側ＴＭＤが、ブロック５０６に関して上述したように、ハンドシェークメッセージの第１セットからの秘密データの抽出に類似した方式でハンドシェークメッセージの第２セットから秘密データを抽出する。

次に、処理はブロック６１４に進み、ここでサーバ側ＴＭＤが、ハンドシェークメッセージの第２セットから抽出された秘密データに少なくとも基づいて、第２セッション鍵を生成する。１つの実施形態では、第２セッション鍵は、ブロック５０８に関して上述したように、第１セッション鍵の生成に類似した方式で生成される。１つの実施形態では、生成された第２セッション鍵は、接続鍵の第２セットを作成するのに利用され、クライアント装置と第２サーバ装置との間の終端間暗号化接続を定義する。

次に、処理はブロック６１６に進み、ここで再ネゴシエーションされた終端間暗号化セッションの終端間暗号化接続を通じて送信されたメッセージが傍受され、サーバ側ＴＭＤによって処理される。１つの実施形態では、第２ネットワーク装置が現在は再ネゴシエーションされた終端間暗号化セッションの他のエンドポイントであることにクライアント装置が気付いていない可能性があるので、傍受されたメッセージは、クライアント装置によって送信され、第１サーバ装置にアドレス指定される。これに加えて、或いは代替として、第２サーバ装置は、サーバ側ＴＭＤによって傍受及び処理されたメッセージを送信することができる。いずれの場合においても、サーバ側ＴＭＤは、任意選択的にクライアント側ＴＭＤ及び／又はサードパーティコンテンツプロバイダ１１８と共に付加的な処理を実行し、傍受されたメッセージの増補、削除、切り取り、拡張、遅延、加速、又は修正を行うことができる。例えば、第２サーバ装置とクライアント装置との間で送信されるデータに埋め込むことができる広告又は他のコンテンツをサードパーティコンテンツプロバイダ１１８によって提供することができる。

次に、処理はブロック６１８に進み、ここで、サーバ側ＴＭＤが、クライアント装置によって送信され且つ第１サーバ装置にアドレス指定されたメッセージを傍受する実施形態では、サーバ側ＴＭＤが、傍受されたメッセージを第２サーバ装置にリダイレクトする。次いで、処理は復帰ブロックで終了する。

１つの実施形態では、図６に示された処理によって、既存の終端間暗号化接続が新しいサーバ装置にハンドオフできるようになり、クライアント装置の観点からサーバのアイデンティティは変化しない。１つの実施形態では、再ネゴシエーションは、既存の暗号化セッショントンネル内で発生する。

図７は、暗号化接続を通じてクライアント側ＴＭＤとサーバ側ＴＭＤとの間で送信されたデータを拡張するための処理の１つの実施形態を全体的に図示する論理フロー図を示す。１つの実施形態では、処理７００は、サーバ側ＴＭＤ１１０によって実行することができる。

処理７００は、開始ブロックの後のブロック７０２で始まり、ここでサーバ側ＴＭＤ１１０が、接続鍵の第２セットをクライアント側ＴＭＤ１０６に送信する。１つの実施形態では、接続鍵の第２セットは、終端間暗号化セッションを通じて送信することができる。代替として、接続鍵の第２セットは、セキュアトンネル（Ｂ）などの別々の暗号化セッション／接続を通じて送信することができる。

次に、処理はブロック７０４に進み、ここで、クライアント側ＴＭＤ１０６は、１つの実施形態では、終端間暗号化接続を通じてクライアント装置から送信された暗号化データを傍受する。１つの実施形態では、第２サーバ装置が現在は終端間暗号化接続のエンドポイントであることにクライアント装置が気付いていないときには、通常は、クライアント装置によって送信された暗号化データを第１サーバ装置にアドレス指定することができる。これに加えて、或いは代替として、第２サーバ装置７０１が現在は終端間暗号化接続のエンドポイントであることにクライアント装置が気付いているときには、クライアント装置によって送信された暗号化データは、第２サーバ装置７０１にアドレス指定することができる。

次に、処理はブロック７０６に進み、ここで、クライアント側ＴＭＤ１０６は、１つの実施形態において、接続鍵の受信された第２セットを使用して傍受されたデータを解読する。

次に、処理はブロック７０８に進み、ここで、クライアント側ＴＭＤ１０６は、１つの実施形態において、解読されたデータを処理する。１つの実施形態では、解読されたデータは、増補、削除、圧縮、加速、又は修正を行うことができる。

次に、処理はブロック７１０に進み、ここで、クライアント側ＴＭＤ１０６は、１つの実施形態において、接続鍵の第２セットを使用して処理されたデータを再暗号化し、再暗号化された処理済みデータを第２サーバ装置７０１に向けて送信する。この実施形態では、処理はブロック７１２に進む。

これに加えて、或いは代替として、クライアント側ＴＭＤ１０６は、クライアント装置と第２サーバ装置７０１との間でデータを送信するために、サーバ側ＴＭＤ１１０と連動して明示的に動作することができる。この場合、クライアント側ＴＭＤ１０６は、ネットワーク１０８を介したセキュアトンネル（Ｂ）などの別々のトンネルを使用して、処理されたデータをサーバ側ＴＭＤ１１０に送信することができる。この実施形態では、セキュアトンネル（Ｂ）は、終端間暗号化接続とは別に及びこれから離れて暗号化接続を利用することができる。換言すると、クライアント側ＴＭＤ１０６は、接続鍵の別のセットを使用してサーバ側ＴＭＤ１１０と通信し、処理されたデータを暗号化するか、或いは全く別のタイプの暗号化を実行することができる。セキュアトンネル（Ｂ）を介して送信されたデータを受信すると、サーバ側ＴＭＤ１１０は通常、解読を行って解読されたデータに更なる処理を実行する。例えば、クライアント側ＴＭＤ１０６が送信時間を短縮するために処理されたデータを圧縮する場合、サーバ側ＴＭＤ１１０は通常、データを解凍し、本開示全体を通して説明されるように任意選択的に付加的な処理を実行する。次に、処理はブロック７１４に進む。

１つの実施形態では、クライアント側ＴＭＤ１０６及びサーバ側ＴＭＤ１１０は、暗号化の２つのレベル、すなわちクライアント装置と第２サーバ装置７０１との間に設定された終端間暗号化接続に使用される暗号化と、付加的にセキュアトンネル（Ｂ）によって使用される暗号化とを利用することができる。この実施形態は、インターネットなどのパブリックネットワークを通じて送信されるデータに対する２つのセキュリティのレイヤを提供し、送信されたデータのセキュリティを拡張する。

次に、処理はブロック７１２に進み、ここで、サーバ側ＴＭＤ１１０はクライアント側ＴＭＤ１０６によって送信された処理済みデータを傍受する。１つの実施形態では、サーバ側ＴＭＤ１１０は、接続鍵の第２セットを使用して傍受されたデータを解読する。

１つの実施形態では、サーバ側ＴＭＤ１１０は、傍受され解読されたデータに対して更なる処理を実行する。１つの実施形態では、サーバ側ＴＭＤ１１０は、傍受されて解読されたデータを増補、削除、解凍、又は修正を行う。

次に、処理はブロック７１４に進み、ここで、サーバ側ＴＭＤ１１０は、接続鍵の第２セットを使用して更なる処理済みデータを暗号化し、再暗号化されたデータを第２サーバ装置７０１に送信する。１つの実施形態では、データが傍受、解読、修正、再暗号化、転送、又は同様のことが行われたかどうかに関わらず、終端間暗号化接続（例えば、図１に示されるセキュアセッション（Ａ）に含まれる接続）は、クライアント装置及び第２サーバ装置７０１の観点から損なわれないままである。

次に、処理はブロック７１６に進み、ここで、第２サーバ装置７０１は、サーバ側ＴＭＤ１１０によって送信されたデータを受信し、解読し、更に処理する。次に、処理は復帰ブロックで終了する。

図８は、図４〜６の処理の１つの実施形態を全体的に図示する信号フロー図を示す。

処理８００は、ブロック５０４に関して上述したように、「ＣＬＩＥＮＴ ＨＥＬＬＯ（クライアント ハロー）」ハンドシェークメッセージを送信するクライアント装置によって８０２で始まる。処理は８０４に進み、ここで、サーバ側ＴＭＤ１１０が、ブロック５０４に関して上述したように、ハンドシェークメッセージを傍受し転送する。処理は８０６に進み、ここで、第１サーバが、ブロック５０４に関して上述したように、とりわけ「ＣＬＩＥＮＴ ＨＥＬＬＯ（クライアント ハロー）」ハンドシェークメッセージを受信する。

処理は８０８及び８１２に進み、ここで、ブロック５０４に関して上述したように、他のハンドシェークメッセージがクライアント装置と第１サーバ装置との間で交換される。

処理は８１０に進み、ここで、クライアント装置によって生成され且つ第１サーバ装置の公開鍵でクライアント装置によって暗号化された乱数などの秘密データが、ブロック５０８に関して上述したように、第１サーバ装置の秘密鍵を使用してサーバ側ＴＭＤ１１０によって他のハンドシェークメッセージから抽出される。

処理は、任意選択的に８１３に進み、ここで、８１０で生成された秘密データなどの秘密データが、クライアント側ＴＭＤ１０６によって受信される。１つの実施形態では、この秘密データを用いて、接続鍵を生成することができる。これに加えて、或いは代替として、接続鍵は、クライアント側ＴＭＤ１０６によって受信することができる。１つの実施形態では、秘密データ又は接続鍵の何れかをサーバ側ＴＭＤ１１０によってクライアント側ＴＭＤ１０６に送信することができる。クライアント側ＴＭＤ１０６が接続鍵を受信又は生成すると、クライアント側ＴＭＤ１０６は、接続を通じて送信されたときに暗号化データを傍受及び拡張することができる。

処理は８１４に進み、ここで、ブロック６０２に関して上述したように、再ネゴシエーション要求がサーバ側ＴＭＤ１１０によってクライアント装置に送信される。

処理は８１６及び８２０に進み、ここで、再ネゴシエーション要求の受信に応答して、ブロック４１２に関して上述したように、クライアント装置がハンドシェークメッセージの第２セットの交換を開始する。

処理は６１８に進み、ここで、ブロック６０４及び６０６に関して上述したように、サーバ側ＴＭＤ１１０が、ハンドシェークメッセージの第２セットを傍受し、解読し、第２サーバに向けてリダイレクトする。

処理は８２２に進み、ここで、図７に関して上述したように、サーバ側ＴＭＤ１１０が接続鍵の第２セットをクライアント側ＴＭＤ１０６に送信する。

処理は８２４及び８２６に進み、ここで、要求された再ネゴシエーションの結果としてクライアント装置と第１サーバ装置との間に最初に設定されていた終端間接続が変更されることにより、暗号化接続が、クライアント装置と第２サーバ装置との間に再設定される。

（ボーダー・ゲートウェイ・プロトコル（ＢＧＰ）一斉送信に基づくルーティングのための例示的な動作環境）
図９は、ボーダー・ゲートウェイ・プロトコル（ＢＧＰ）を利用して、クライアント側トラフィック管理装置９１０を介してクライアント装置９０２、９０４、及び９０６からトラフィックを送ることができる例示的な環境９００の構成要素を示す。１つの実施形態では、クライアント装置９０２、９０４、及び９０６は、遠隔領域９０１に地理的に位置付けられ、クライアント装置９０２、９０４、及び９０６は通常、クライアント側ＴＭＤを介してインターネットに接続されていない。その結果、クライアント装置９０２、９０４、及び９０６は通常、ネットワーク９２０を介して本部９０３と直接通信するルータ９１２、９１４、及び９１６をそれぞれ介してデータを送信する。この接続は、ルータ９１２とネットワーク９２０間の破線で示されている。

しかしながら、クライアント側ＴＭＤ９１０などの単一のクライアント側トラフィック管理装置を介して、クライアント装置９０２、９０４、及び９０６の１つ又は全てからのトラフィックを送ることが望ましい場合が多い。例えば、遠隔領域９０１における全ての支店に対してクライアント側ＴＭＤを配備することは費用効率が高くないが、遠隔領域９０１において一部の又は全ての支店に対して単一のクライアント側ＴＭＤを配備することは費用効率が高いとすることができる。幾つかの実施形態では、クライアント側ＴＭＤ９１０は、本部９０３から遠隔にある図９に示されるような遠隔ＴＭＤと考えることができる。

１つの実施形態では、クライアント側ＴＭＤ９１０は、ＢＧＰプロトコルを使用してメッセージを一斉送信するよう構成することができる。１つの実施形態では、クライアント側ＴＭＤ９１０は、本部９０３への最適ルートを知っていることを示すＢＧＰプロトコルメッセージを一斉送信することができる。このため、このＢＧＰメッセージがルータ９１２、９１４、及び９１６に伝播した後、これらのルータは、クライアント装置９０２、９０４、及び９０６による要求をネットワーク９０８を介してクライアント側ＴＭＤ９１０にルーティングする。クライアント側ＴＭＤ９１０によって受信されると、クライアント装置とサーバ装置との間の通信を図７に関して上述したように最適化することができる。

図面及びフローチャート様式の例図におけるステップの組合せは、コンピュータプログラム命令によって実施できることは理解されるであろう。これらのプログラム命令は、機械を製造するためにプロセッサに提供することができ、これによって、プロセッサで実行される命令が、フローチャートの１つ又は複数のブロックで指定された動作を実施するための手段を作成するようになる。コンピュータプログラム命令は、プロセッサによって実行されて、プロセッサによって実行される一連の動作ステップがコンピュータ実行処理を作成するようにし、これによってプロセッサ上で実行される命令が、フローチャートの１つ又は複数のブロックで指定される動作を実行するステップを提供するようにすることができる。これらのプログラム命令は、コンピュータ可読記憶媒体などのコンピュータ可読媒体又は機械可読媒体に記憶することができる。

従って、本例示は、指定の動作を実行する手段の組み合わせ、指定動作を実行するステップの組み合わせ、及び指定動作を実行するためのプログラム命令手段をサポートする。フローチャートによる例示の個々のブロック、及びフローチャートによる例示内のブロックの組み合わせは、指定動作又はステップを実行する特殊用途向けハードウェアベースのシステム、又は特殊用途向けハードウェア及びコンピュータ命令の組み合わせなどのモジュールにより実施できる点も理解されるであろう。

上記の明細書、実施例、及びデータは、製造物を完全に説明し、記載の実施形態の構成の使用を提供するものである。本説明の思想及び範囲から逸脱することなく多くの実施形態が可能であるので、これらの実施形態は以下に添付する特許請求の範囲に属する。

１００ 記載の実施形態を実施することができる例示的な環境の構成要素
１０２ クライアント装置
１０３ クライアント装置
１０４ クライアント装置
１０６ クライアント側トラフィック管理装置
１０７ 支店
１０８ ネットワーク
１１０ サーバ側トラフィック管理装置
１１１ サーバ装置秘密鍵
１１２ サーバ装置
１１４ サーバ装置
１１５ 認証サーバ装置
１１６ 秘密データ
１１８ サードパーティコンテンツプロバイダ
１２０ 本部

Claims (20)

1. クライアント装置と複数のサーバ装置との間に配置されるトラフィック管理装置であって、
   ネットワークを通じてデータを送信及び受信する送受信機と、
   以下の動作を実行するよう作動するプロセッサと、
   を備え、前記動作が、
   前記クライアント装置と前記複数のサーバ装置の第１サーバ装置との間に設定された終端間暗号化セッションに関連付けられるセッション鍵を取得する段階と、
   前記終端間暗号化セッションの終端間暗号化接続を通じて前記クライアント装置に再ネゴシエーション要求を送信して、前記終端間暗号化接続の再ネゴシエーションを要求する段階と、
   前記終端間暗号化接続を通じて前記クライアント装置によって送信されたハンドシェークメッセージの第２セットを傍受する段階と、
   を含み、前記ハンドシェークメッセージの第２セットは、前記第１サーバ装置にアドレス指定されており、前記ハンドシェークメッセージの第２セットは、前記再ネゴシエーション要求に応答して送信され、
   前記動作が更に、
   前記セッション鍵に基づいて生成された１つ又はそれ以上の接続鍵を使用して、前記ハンドシェークメッセージの傍受された第２セットを解読する段階と、
   前記ハンドシェークメッセージの解読された第２セットを前記複数のサーバ装置の選択された第２サーバ装置にリダイレクトし、これによって前記選択された第２サーバ装置が、前記終端間暗号化接続におけるエンドポイントとして前記第１サーバ装置に置き換えられるようにする段階と、
   を含む、トラフィック管理装置。
2. 前記セッション鍵を取得する段階が、
   前記選択された第２サーバ装置に関連付けられる秘密鍵を受信する段階と、
   前記選択された第２サーバ装置に関連付けられる前記秘密鍵を使用して前記ハンドシェークメッセージの第２セットから前記暗号化セッションに関連付けられる秘密データを抽出する段階と、
   前記ハンドシェークメッセージの第２セットから抽出された前記秘密データに部分的に基づいて、前記暗号化セッションに関連付けられる第２セッション鍵を生成する段階と、
   を更に含む、請求項１に記載のトラフィック管理装置。
3. 前記動作が、
   前記クライアント装置によって前記終端間暗号化接続を通じて送信され且つ前記第１サーバ装置にアドレス指定されているメッセージを傍受する段階と、
   前記傍受されたメッセージを前記選択された第２サーバ装置にリダイレクトする段階と、
   を更に含む、請求項１に記載のトラフィック管理装置。
4. 前記動作が、
   前記クライアント装置によって前記終端間暗号化接続を通じて送信され且つ前記第１サーバ装置にアドレス指定されているメッセージを傍受する段階と、
   前記第２セッション鍵に基づいて生成された１つ又はそれ以上の接続鍵を使用して、前記傍受されたメッセージ内のペイロードを解読する段階と、
   前記解読されたペイロードを修正する段階と、
   前記第２セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵を使用して前記修正されたペイロードを暗号化する段階と、
   前記暗号化修正済みペイロードを前記終端間暗号化接続を通じて前記選択された第２サーバ装置に提供する段階と、
   を更に含む、請求項１に記載のトラフィック管理装置。
5. 前記第２サーバが、
   前記セッション鍵から生成された前記１つ又はそれ以上の接続鍵を使用して、傍受されたアプリケーションプロトコルレイヤメッセージからヘッダを抽出する段階と、
   前記ヘッダにおいて要求された前記コンテンツが前記第２サーバ装置に位置付けられることを決定する段階と、
   によって決定された基準に基づいて選択される、請求項１に記載のトラフィック管理装置。
6. 前記トラフィック管理装置が前記選択された第２サーバ装置に近接させてローカルに設置されたサーバ側トラフィック管理装置を含み、前記選択された第２サーバ装置から遠隔にクライアント側トラフィック管理装置が設置され且つ前記クライアント装置と前記サーバ側トラフィック管理装置との間に配置され、これによって前記終端間暗号化接続が、前記クライアント側トラフィック管理装置を介して通るようになり、
   前記クライアント側トラフィック管理装置が、
   前記サーバ側トラフィック管理装置から前記第２セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵を受信する段階と、
   前記終端間暗号化接続を通じて前記クライアント装置から前記第１サーバ装置に送信された暗号化データを傍受する段階と、
   前記第２セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵によって前記暗号化データを解読する段階と、
   前記解読されたデータを修正する段階と、
   前記第２セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵によって前記修正されたデータを再暗号化する段階と、
   前記再暗号化された修正済みデータを前記第１サーバ装置に向けて送信する段階と、を含む動作を実行し、前記サーバ側トラフィック管理装置は、前記修正済みデータを傍受し解読し、前記修正済みデータを前記選択された第２サーバ装置にリダイレクトする、請求項１に記載のトラフィック管理装置。
7. 前記終端間暗号化セッションが設定されたときに、前記クライアント側トラフィック管理装置が、ボーダー・ゲートウェイ・プロトコル（ＢＧＰ）を使用して前記クライアント装置と前記第１サーバ装置の間に前記クライアント側トラフィック管理装置自体を挿入する、請求項６に記載のトラフィック管理装置。
8. 複数のサーバ装置と、
   前記複数のサーバ装置に近接させてローカルに設置され、前記複数のサーバ装置と通信するトラフィック管理装置と、
   を備えるシステムであって、前記トラフィック管理装置が、ネットワークを通じてクライアント装置と通信し、前記トラフィック管理装置が、
   前記クライアント装置と前記複数のサーバ装置の第１サーバ装置との間に設定された終端間暗号化セッションに関連付けられるセッション鍵を取得する段階と、
   前記終端間暗号化セッションの終端間暗号化接続を通じて前記クライアント装置に再ネゴシエーション要求を送信して、前記終端間暗号化接続の再ネゴシエーションを要求する段階と、
   前記終端間暗号化接続を通じて前記クライアント装置によって送信されたハンドシェークメッセージの第２セットを傍受する段階と、
   を含み、前記ハンドシェークメッセージの第２セットは、前記第１サーバ装置にアドレス指定されており、前記ハンドシェークメッセージの第２セットは、前記再ネゴシエーション要求に応答して送信され、
   前記動作が更に、
   前記セッション鍵に基づいて生成された１つ又はそれ以上の接続鍵を使用して、前記ハンドシェークメッセージの傍受された第２セットを解読する段階と、
   前記ハンドシェークメッセージの解読された第２セットを前記複数のサーバ装置の選択された第２サーバ装置にリダイレクトし、これによって前記選択された第２サーバ装置が、前記終端間暗号化接続におけるエンドポイントとして前記第１サーバ装置に置き換えられるようにする段階と、
   を含む動作を実行するよう構成されている、システム。
9. 前記動作が、
   前記選択された第２サーバ装置に関連付けられる秘密鍵を受信する段階と、
   前記選択された第２サーバ装置に関連付けられる前記秘密鍵を使用して前記ハンドシェークメッセージの第２セットから前記暗号化セッションに関連付けられる秘密データを抽出する段階と、
   前記ハンドシェークメッセージの第２セットから抽出された前記秘密データに部分的に基づいて、前記暗号化セッションに関連付けられる第２セッション鍵を生成する段階と、
   を更に含む、請求項８に記載のシステム。
10. セッション鍵を取得する段階が、
    前記クライアント装置によって前記終端間暗号化接続を通じて送信され且つ前記第１サーバ装置にアドレス指定されているメッセージを傍受する段階と、
    前記傍受されたメッセージを前記選択された第２サーバ装置にリダイレクトする段階と、
    を更に含む、請求項９に記載のシステム。
11. 前記動作が、
    前記クライアント装置によって前記終端間暗号化接続を通じて送信され且つ前記第１サーバ装置にアドレス指定されているメッセージを傍受する段階と、
    前記第２セッション鍵に基づいて生成された１つ又はそれ以上の接続鍵を使用して、前記傍受されたメッセージ内のペイロードを解読する段階と、
    前記解読されたペイロードを修正する段階と、
    前記第２セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵を使用して前記修正されたペイロードを暗号化する段階と、
    前記暗号化修正済みペイロードを前記終端間暗号化接続を通じて前記選択された第２サーバ装置に提供する段階と、
    を更に含む、請求項９に記載のシステム。
12. 前記第２サーバが、
    前記セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵を使用して、傍受されたアプリケーションレイヤプロトコルメッセージからヘッダを抽出する段階と、
    前記ヘッダにおいて要求された前記コンテンツが前記第２サーバ装置に位置付けられることを決定する段階と、
    によって決定された基準に基づいて選択される、請求項８に記載のシステム。
13. 前記トラフィック管理装置が前記選択された第２サーバ装置に近接させてローカルに設置され、前記選択された第２サーバ装置から遠隔にクライアント側トラフィック管理装置が設置され且つ前記クライアント装置と前記トラフィック管理装置との間に配置され、これによって前記終端間暗号化接続が、前記クライアント側トラフィック管理装置を介して通るようになり、前記クライアント側トラフィック管理装置が、
    前記トラフィック管理装置から前記第２セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵を受信する段階と、
    前記終端間暗号化接続を通じて前記クライアント装置から前記選択された第２サーバ装置に送信された暗号化データを傍受する段階と、
    前記第２セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵によって前記暗号化データを解読する段階と、
    前記解読されたデータを増補する段階と、
    前記第２セッション鍵によって前記修正されたデータを再暗号化する段階と、
    前記再暗号化された修正済みデータを前記第１サーバ装置に向けて送信する段階と、含む動作を実行し、前記トラフィック管理装置は、前記修正済みデータを傍受し解読し、前記修正済みデータを前記選択された第２サーバ装置にリダイレクトする、請求項８に記載のシステム。
14. 前記終端間暗号化セッションが設定されたときに、前記クライアント側トラフィック管理装置が、ボーダー・ゲートウェイ・プロトコル（ＢＧＰ）を使用して前記クライアント装置と前記第１サーバ装置の間に前記クライアント側トラフィック管理装置自体を挿入する、請求項１３に記載のシステム。
15. 前記ハンドシェークメッセージが、前記サーバ装置に関連付けられる公開鍵によって暗号化された前記クライアント装置によって生成される乱数を少なくとも含む、請求項８に記載のシステム。
16. 前記トラフィック管理装置は、
    前記クライアント装置から前記選択された第２サーバ装置にアドレス指定されているコンテンツ要求を受信する段階と、
    前記コンテンツ要求を前記選択された第２サーバ装置に送信することなく前記コンテンツ要求に応答する段階と、
    を含む動作を更に実行する、請求項８に記載のシステム。
17. プロセッサ可読命令を記憶するプロセッサ可読記憶媒体であって、前記プロセッサ可読命令は、プロセッサによって実行されたときに、
    クライアント装置と複数のサーバ装置の第１サーバ装置との間に設定された終端間暗号化セッションに関連付けられるセッション鍵を取得する段階と、
    前記終端間暗号化セッションの終端間暗号化接続を通じて前記クライアント装置に再ネゴシエーション要求を送信して、前記終端間暗号化接続の再ネゴシエーションを要求する段階と、
    前記終端間暗号化接続を通じて前記クライアント装置によって送信されたハンドシェークメッセージの第２セットを傍受する段階と、
    を含み、前記ハンドシェークメッセージの第２セットは、前記第１サーバ装置にアドレス指定されており、前記ハンドシェークメッセージの第２セットは、前記再ネゴシエーション要求に応答して送信され、
    前記動作が更に、
    前記セッション鍵に基づいて生成された１つ又はそれ以上の接続鍵を使用して、前記ハンドシェークメッセージの傍受された第２セットを解読する段階と、
    前記ハンドシェークメッセージの解読された第２セットを前記複数のサーバ装置の選択された第２サーバ装置にリダイレクトし、これによって前記選択された第２サーバ装置が、前記終端間暗号化接続におけるエンドポイントとして前記第１サーバ装置に置き換えられるようにする段階と、
    を含む動作を実行する、プロセッサ可読記憶媒体。
18. 前記セッション鍵を取得する段階が、
    前記選択された第２サーバ装置に関連付けられる秘密鍵を受信する段階と、
    前記選択された第２サーバ装置に関連付けられる前記秘密鍵を使用して前記ハンドシェークメッセージの第２セットから前記暗号化セッションに関連付けられる秘密データを抽出する段階と、
    前記ハンドシェークメッセージの第２セットから抽出された前記秘密データに部分的に基づいて、前記暗号化セッションに関連付けられる第２セッション鍵を生成する段階と、
    を更に含む、請求項１７に記載のプロセッサ可読記憶媒体。
19. 前記プロセッサが前記選択された第２サーバ装置に近接させてローカルに設置され、前記選択された第２サーバ装置から遠隔にクライアント側トラフィック管理装置が設置され且つ前記クライアント装置と前記プロセッサとの間に配置され、これによって前記終端間暗号化接続が、前記クライアント側トラフィック管理装置を介して通るようになり、前記クライアント側トラフィック管理装置が、
    前記プロセッサから前記第２セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵を受信する段階と、
    前記終端間暗号化接続を通じて前記クライアント装置から前記第１サーバ装置に送信された暗号化データを傍受する段階と、
    前記第２セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵によって前記暗号化データを解読する段階と、
    前記解読されたデータを修正する段階と、
    前記修正されたデータを前記第２セッション鍵に基づいて生成された前記１つ又はそれ以上の接続鍵によって再暗号化する段階と、
    前記再暗号化された修正済みデータを前記第１サーバ装置に向けて送信する段階と、を含む動作を実行し、前記プロセッサは、前記修正されたデータを傍受し解読し、前記修正されたデータを前記選択された第２サーバ装置にリダイレクトする、請求項１７に記載のプロセッサ可読記憶媒体。
20. 前記終端間暗号化セッションが設定されたときに、前記クライアント側トラフィック管理装置が、ボーダー・ゲートウェイ・プロトコル（ＢＧＰ）を使用して前記クライアント装置と前記第１サーバ装置の間に前記クライアント側トラフィック管理装置自体を挿入する、請求項１７に記載のプロセッサ可読記憶媒体。

Images