JP6612030B2 - ネットワークノード及びその動作方法 - Google Patents

Description

本発明は、ネットワークノード及びその動作方法に関する。

最近、スマートフォン、ボイスオーバーインターネットプロトコル、ＩＰテレビの大衆化によりインターネットの価値が社会の全ての分野において急速に増大している。このようなインターネットサービスの成長は、ＩＰレイヤの機能的な独立性に起因する。ＴＣＰ／ＩＰプロトコルスタックでＩＰレイヤは上位レイヤと下位レイヤとの間に透明性を提供する。

しかし、未来のインターネット環境は、ホスト中心の既存アーキテクチャーよりもコンテンツ中心の新しいアーキテクチャーを要求する。ホスト中心の既存アーキテクチャーは、コンテンツ探索及びアクセスを優先する未来のインターネット環境で最適の性能を保証することが難しい。

近年、コンテンツ中心の新しいインターネットアーキテクチャーが研究されている。コンテンツ中心のインターネットアーキテクチャーは、コンテンツ名に基づいてネットワークパケットが送信される構造を有する。

本発明は、上記従来の問題点に鑑みてなされたものであって、本発明の目的は、コンテンツ中心のインターネットアーキテクチャーでコンテンツに対するセキュリティを強化するネットワークノード及びその動作方法を提供することにある。

上記目的を達成するためになされた本発明の一態様によるネットワークノードの動作方法は、暗号化されたコンテンツ名を含む応答パケットを受信するステップと、前記応答パケットに含まれる暗号化されたコンテンツ名を復号化するステップと、前記復号化されたコンテンツ名に基づいて前記応答パケットを送信するステップと、を有する。

前記暗号化されたコンテンツ名は、予め設定された条件に基づいて暗号化され、前記予め設定された条件が満たされるネットワークノードで復号化され得る。
前記予め設定された条件は、前記応答パケットを生成したネットワークノードによって、前記応答パケットの送信が許容されるネットワーク範囲を限定するように設定され得る。
前記暗号化されたコンテンツ名は、少なくとも１つの属性を含む属性規則に基づいて暗号化され得る。
前記少なくとも１つの属性は、ドメイン情報及びインタフェース情報のうちの少なくとも１つを含み得る。
前記属性規則は、前記応答パケットに含まれるコンテンツに対するアクセス権限に関し得る。
前記暗号化されたコンテンツ名を復号化するステップは、前記ネットワークノードの属性に基づいて前記暗号化されたコンテンツ名を復号化するステップを含み得る。
前記ネットワークノードの属性に基づいて前記暗号化されたコンテンツ名を復号化するステップは、前記ネットワークノードの属性が前記暗号化されたコンテンツ名を暗号化するために用いられる属性規則を満たすことに応じて、前記暗号化されたコンテンツ名を復号化するステップを含み得る。
前記ネットワークノードの属性は、前記ネットワークノードのドメイン情報及び前記ネットワークノードのインタフェース情報のうちの少なくとも１つを含み得る。
前記暗号化されたコンテンツ名は、属性規則、公開キー、及びコンテンツ名を用いて暗号化され得る。
前記暗号化されたコンテンツ名を復号化するステップは、前記ネットワークノードの属性に対応する少なくとも１つの暗号キーを用いて前記暗号化されたコンテンツ名を復号化するステップを含み得る。

前記ネットワークノードの動作方法は、認証機関に認証を行うステップと、前記認証機関から前記ネットワークノードの属性に対応する少なくとも１つの暗号キーを受信するステップと、を更に含むことができ、前記少なくとも１つの暗号キーは、１つの公開キーに対応して前記認証機関によって生成された複数の暗号キーのうちから選択され得る。
前記応答パケットを送信するステップは、予め格納されたリクエスト情報のうちから前記復号化されたコンテンツ名に対応するリクエスト情報を抽出するステップと、前記抽出されたリクエスト情報に基づいて前記応答パケットを送信するステップと、を含み得る。

前記ネットワークノードの動作方法は、リクエストパケットを受信するステップと、予め格納された応答パケットに含まれる暗号化されたコンテンツ名のうちの少なくとも一部を復号化することによって、前記リクエストパケットに含まれるコンテンツ名に対応する応答パケットを抽出するステップと、前記復号化された少なくとも一部のコンテンツ名に基づいて、前記リクエストパケットに対する応答として、前記抽出された応答パケットを送信するステップと、を更に含むことができる。

前記ネットワークノードの動作方法は、リクエストパケットを受信するステップと、予め格納されたコンテンツのうちから前記リクエストパケットに含まれるコンテンツ名に対応するコンテンツを抽出するステップと、前記コンテンツ名を暗号化するステップと、前記暗号化されたコンテンツ名及び前記抽出されたコンテンツを含む応答パケットを生成するステップと、前記リクエストパケットに対する応答として、前記生成された応答パケットを送信するステップと、を更に含むことができる。
前記コンテンツ名を暗号化するステップは、属性規則、公開キー、及び前記コンテンツ名を用いて前記コンテンツ名を暗号化するステップを含み得る。
前記公開キーは複数の暗号キーに対応し、前記暗号化するステップで暗号化されたコンテンツ名は、前記属性規則を満たす属性に対応する少なくとも１つの暗号キーによって復号化され得る。

前記ネットワークノードの動作方法は、リクエストパケットを受信するステップと、予め格納されたコンテンツのうちから前記リクエストパケットに含まれるコンテンツ名に対応するコンテンツが存在するか否かを判断するステップと、予め格納された応答パケットに含まれる暗号化されたコンテンツ名のうちの少なくとも一部を復号化することによって、前記予め格納された応答パケットのうちから前記リクエストパケットに含まれるコンテンツ名に対応する応答パケットが存在するか否かを判断するステップと、前記コンテンツ名に対応するコンテンツ及び前記コンテンツ名に対応する応答パケットが存在しないとの判断に応じてリクエスト情報を格納するステップと、前記リクエストパケットをネットワークに送信するステップと、を更に含むことができる。

上記目的を達成するためになされた本発明の一態様によるネットワークノードは、暗号化されたコンテンツ名を含む応答パケットを受信する受信部と、前記応答パケットに含まれる暗号化されたコンテンツ名を復号化する復号化部と、前記復号化されたコンテンツ名に基づいて前記応答パケットを送信する送信部と、を備える。

上記目的を達成するためになされた本発明の他の態様によるネットワークノードの動作方法は、暗号化されたコンテンツ名を含む応答パケットを受信するステップと、前記応答パケットに含まれる暗号化されたコンテンツ名に基づいて他のネットワークノードが前記応答パケットを受信する権限があるか否かを判断するステップと、前記他のネットワークノードが前記応答パケットを受信する権限がないとの判断に応じて、前記他のネットワークノードに前記応答パケットを送信しないステップと、前記他のネットワークノードが前記応答パケットを受信する権限があるとの判断に応じて、前記他のネットワークノードに前記応答パケットを送信するステップと、を有する。

前記応答パケットを受信する権限があるか否かを判断するステップは、前記他のネットワークノードに関する情報に基づいて前記暗号化されたコンテンツ名の復号化を試みるステップと、前記コンテンツ名が復号化されない場合、前記他のネットワークノードが前記応答パケットを受信する権限がないと判断するステップと、前記コンテンツ名が復号化された場合、前記他のネットワークノードが前記応答パケットを受信する権限があると判断するステップと、を含み得る。
前記応答パケットを送信するステップは、前記復号化されたコンテンツ名に基づいて前記他のネットワークノードに前記応答パケットを送信するステップを含み得る。
前記他のネットワークノードに関する情報は、前記ネットワークノードのインタフェースに関する情報を含み、前記ネットワークノードのインタフェースを用いて前記応答パケットが前記他のネットワークノードに送信され得る。
前記他のネットワークノードに関する情報は、前記他のネットワークノードのネットワークドメイン情報を含み得る。

本発明によると、コンテンツ中心のインターネットアーキテクチャーでコンテンツに対するセキュリティを強化するための技術を提供することができる。

一実施形態によるネットワークシステムを説明する図である。 一実施形態によるリクエストパケットを説明する図である。 一実施形態による応答パケットを説明する図である。 他の実施形態によるネットワークシステムを説明する図である。 一実施形態によるコンテンツ中枢ネットワークシステムを説明する図である。 一実施形態によるコンテンツ中枢ネットワークシステムを説明する図である。 一実施形態によるコンテンツ中枢ネットワークシステムを説明する図である。 一実施形態によるネットワークシステムで用いられる暗号化／復号化アルゴリズムを説明する図である。 一実施形態による属性規則を説明する図である。 一実施形態による属性規則を説明する図である。 実施形態で具体的に適用されるシナリオを説明する図である。 実施形態で具体的に適用されるシナリオを説明する図である。 実施形態で具体的に適用されるシナリオを説明する図である。 実施形態で具体的に適用されるシナリオを説明する図である。 一実施形態によるキー配布システムを説明する図である。 一実施形態によるネットワークノードを示すブロック図である。 一実施形態によるネットワークノードの動作方法を示した動作フローチャートである。

以下、本発明を実施するための形態の具体例を、図面を参照しながら詳細に説明する。各図面に示した同一の参照符号は同一の部材を示す。下記で説明する実施形態は、ネットワークルーティング方式又はネットワークフォワーディング方式に適用される。

図１は、一実施形態によるネットワークシステムを説明する図である。図１を参照すると、本実施形態によるネットワークシステム１００は、ネットワーク１４０に接続された複数のネットワークノードを含む。ネットワークノードのそれぞれは、ネットワーク１４０を介してパケット送信に参加するネットワーク機器又はネットワーク装備であり、例えば、ルータなどを含む。以下、説明の便宜のために、それぞれのネットワークノードを「ノード」と称する。

ネットワークシステム１００で、ネットワークパケットは、コンテンツ名（ｃｏｎｔｅｎｔ ｎａｍｅ）に基づいてルーティング又はフォワーディングされる。ネットワークパケットは、リクエストパケット又は応答パケットを含む。リクエストパケットはコンテンツをリクエストするノードによって生成され、応答パケットはリクエストされたコンテンツを最初に提供するノードによって生成される。以下、コンテンツは、一般的なコンテンツファイルだけではなく、コンテンツ名リスト、コンテンツが格納されたネットワークドメイン名などで命名される全ての種類のデータを指す。

リクエストパケット及び応答パケットはコンテンツ名を含む。ネットワークシステム１００で、リクエストパケット及び応答パケットは、コンテンツ名に基づいてルーティング又はフォワーディングされる。以下、ルーティング又はフォワーディングを「送信」と称する。

ネットワークシステム１００は、第１ノード１１０、第２ノード１２０、及び第３ノード１３０を含む。第１ノード１１０を、コンテンツをリクエストするノードとして、「リクエストノード」と称する。第１ノード１１０は、コンテンツ名を用いてネットワーク１４０にコンテンツをリクエストする。例えば、第１ノード１１０は、コンテンツ名を含むリクエストパケットを生成する。図２Ａを参照すると、リクエストパケット２１０は、コンテンツ名２１１を含む。第１ノード１１０は、ネットワーク１４０にリクエストパケットを送信する。

第１ノード１１０によって送信されたリクエストパケットは、ネットワーク１４０を介して第２ノード１２０に送信される。第２ノード１２０は、ネットワーク１４０からリクエストパケットを受信し、リクエストパケットに含まれるコンテンツ名を識別する。第２ノード１２０は、コンテンツ名に対応するコンテンツを格納しているか否かを判断する。第２ノード１２０は、コンテンツ名に対応するコンテンツを格納していない場合がある。この場合、第２ノード１２０は、コンテンツ名に基づいてリクエストパケットをネットワーク１４０に送信する。第２ノード１２０を「中間ノード」と称する。

第２ノード１２０によって送信されたリクエストパケットは、ネットワーク１４０を介して第３ノード１３０に送信される。第３ノード１３０は、ネットワーク１４０からリクエストパケットを受信し、リクエストパケットに含まれるコンテンツ名を識別する。第３ノード１３０は、コンテンツ名に対応するコンテンツを格納しているか否かを判断する。第３ノード１３０は、コンテンツ名に対応するコンテンツを格納している。この場合、第３ノード１３０は、コンテンツ名に対応するコンテンツを用いて応答パケットを生成する。第３ノード１３０を「生成ノード」と称する。

第３ノード１３０は、コンテンツ名を暗号化し、暗号化されたコンテンツ名を応答パケットに含ませる。ネットワークシステム１００で、ネットワークパケットは、そのネットワークパケットに含まれるコンテンツ名に基づいてルーティング又はフォワーディングされるため、応答パケットに含まれるコンテンツ名が暗号化されることによって応答パケットのルーティング又はフォワーディングが制御される。

例えば、第３ノード１３０は、予め設定された条件に基づいてコンテンツ名を暗号化する。この場合、予め設定された条件が満たされるノードに限って暗号化されたコンテンツ名を復号化する。予め設定された条件は、第３ノード１３０によって設定される。予め設定された条件は、第３ノード１３０によって応答パケットの送信が許容されるネットワーク範囲を限定するように設定される。例えば、ネットワーク範囲は「ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ」のようなドメイン範囲を含む。

第３ノード１３０によって設定されたネットワーク範囲を越えて応答パケットを送信しようとするノードは、応答パケットに含まれる暗号化されたコンテンツ名を復号化することができない。例えば、「ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ」の範囲に属さない「ｓａｍｓｕｎｇ．ｃｏｍ／ｄｍｃ」又は「ｓａｍｓｕｎｇ．ｃｏｍ」に応答パケットを送信しようとするノードは、応答パケットに含まれる暗号化されたコンテンツ名を復号化することができない。一方、「ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ」の範囲内の「ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｉｐ＿ｇｒｏｕｐ」又は「ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｉｎｖｅｎｔｉｏｎ＿ｇｒｏｕｐ」に応答パケットを送信しようとするノードは、応答パケットに含まれる暗号化されたコンテンツ名を復号化することができる。暗号化されたコンテンツ名が復号化されなければコンテンツ名は識別されず、コンテンツ名が識別されなければネットワークシステム１００で応答パケットを送信することはできない。そのため、応答パケットのルーティング又はフォワーディングが制御される。

図２Ｂを参照すると、応答パケット２２０は、暗号化されたコンテンツ名２２１及びコンテンツ２２２を含む。暗号化されたコンテンツ名２２１と同様に、コンテンツ２２２も暗号化される。応答パケット２２０は、電子署名２２３を更に含む。電子署名２２３は、コンテンツ２２２を最初に提供する生成ノードを確認し、生成ノードがコンテンツ２２２に署名をしたことを示すための情報である。

第３ノード１３０は、リクエストパケットに対する応答として、応答パケットをネットワーク１４０に送信する。応答パケットは、リクエストパケットが送信された経路の逆順に送信される。第３ノード１３０によって送信された応答パケットは、ネットワーク１４０を介して第２ノード１２０に送信される。

第２ノード１２０は、ネットワーク１４０から応答パケットを受信し、応答パケットに含まれる暗号化されたコンテンツ名が復号化されるか否かを判断する。暗号化されたコンテンツ名が復号化されない場合、第２ノード１２０は応答パケットをこれ以上ネットワーク１４０に送信することができない。暗号化されたコンテンツ名が復号化された場合、第２ノード１２０は、復号化されたコンテンツ名に基づいて応答パケットをネットワーク１４０に送信する。第２ノード１２０によって送信された応答パケットは、ネットワーク１４０を介して第１ノード１１０に送信される。

図３は、他の実施形態によるネットワークシステムを説明する図である。図３を参照すると、図１に示すシナリオの後に新しいリクエストノードである第４ノード１５０がネットワーク１４０にリクエストパケットを送信する。第４ノード１５０は、図１に示すシナリオで生成ノードである第３ノード１３０によって最初に提供されたコンテンツをリクエストする。

第４ノード１５０によって送信されたリクエストパケットは、ネットワーク１４０を介して第２ノード１２０に送信される。第２ノード１２０は、ネットワーク１４０からリクエストパケットを受信し、リクエストパケットに含まれるコンテンツ名を識別する。第２ノード１２０は、コンテンツ名に対応するコンテンツを格納しているか否かを判断する。第２ノード１２０は、予め格納された応答パケットに含まれる暗号化されたコンテンツ名のうちの少なくとも一部を復号化する。第２ノード１２０は、復号化された少なくとも一部のコンテンツ名がリクエストパケットに含まれるコンテンツ名に対応するか否かを判断する。

第２ノード１２０は、図１に示すシナリオで受信した応答パケットを格納している。この場合、第２ノード１２０は、リクエストパケットに含まれるコンテンツ名に対応する応答パケットを検出する。第２ノード１２０は、リクエストパケットに対する応答として、検出された応答パケットをネットワーク１４０に送信する。第２ノード１２０によって送信された応答パケットはネットワーク１４０を介して第４ノード１５０に送信される。

図４Ａ〜図４Ｃは、一実施形態によるコンテンツ中枢ネットワーク（Ｃｏｎｔｅｎｔ Ｃｅｎｔｒｉｃ Ｎｅｔｗｏｒｋ：ＣＣＮ）システムを説明する図である。ＣＣＮシステムで用いられるノード、リクエストパケット、及び応答パケットは表１のように定義される。

インタレストパケットは、リクエストするコンテンツ名、コンテンツに対する選好、回答者フィルタリング情報などを指すセレクター、及びインタレストパケットの重複受信探知のための任意値を含む。コンテンツ名は、ＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）の形態で表示される。データパケットは、コンテンツ名、コンテンツの電子署名、署名アルゴリズム、生成者情報、キー格納ディレクトリサーバ、及びパケット満了情報を含む。

要請者は、インタレストパケットに所望するコンテンツ名を明示してインタレストパケットをブロードキャストする。インタレストパケットを受信した保管者又は生成者は、インタレストパケット内のコンテンツ名を確認し、コンテンツ名に対応するコンテンツを格納している場合にデータパケットを応答する。

図４Ａを参照すると、第１ノード４１０が要請者であり、第３ノード４３０が生成者であり、リクエストパケットがインタレストパケットであり、応答パケットがデータパケットである。第２ノード４２０は、応答パケットを受信した後の保管者である。

ＣＣＮシステムで用いられるコンテンツ名の構造は、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの構造と同様に階層的構造である。ＩＰアドレスがネットワークアドレス及びＩＤアドレスで構成されるように、コンテンツ名は、サーバアドレス、コンテンツ名、コンテンツバージョン情報などの複数の構成要素を含む。

ＣＣＮシステムで、ネットワークパケットは、最も長いプリフィクスマッチング（ｌｏｎｇｅｓｔ ｐｒｅｆｉｘ ｍａｔｃｈｉｎｇ）方式によってルーティングされる。ＩＰネットワークシステムがＩＰアドレスを用いて最も長いプリフィクスマッチングを行うこととは異なり、ＣＣＮシステムではコンテンツ名を用いて最も長いプリフィクスマッチングが行われる。プリフィクスは、コンテンツが属するドメイン名である。プリフィクスは、ＵＲＩのように階層的な名前構造である。最も長いプリフィクスマッチングのために各ノードで表２のような格納領域を用いる。

第１ノード４１０は、コンテンツ名を含むリクエストパケットをネットワーク４４０に送信する。例えば、リクエストパケットは「Ｉｎｔｅｒｅｓｔ：／／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｓｅｃｕ．ｉｃｏｎ」である。第１ノード４１０によって送信されたリクエストパケットは、ネットワーク４４０を介して第２ノード４２０に送信される。

第２ノード４２０は、ネットワーク４４０を介してリクエストパケットを受信する。例えば、第２ノード４２０は、Ｆａｃｅ３の入力インタフェースを介してリクエストパケットを受信する。Ｆａｃｅは、ネットワークパケットの送信及び受信に用いられるインタフェースである。

第２ノード４２０は、リクエストパケットに含まれるコンテンツ名がＣＳに格納されているか否かを確認する。第２ノード４２０は、ＣＳに格納された暗号化されたコンテンツ名のうちの少なくとも一部を復号化することによって、リクエストパケットに含まれるコンテンツ名に対応する応答パケットが格納されているか否かを判断する。

また、第２ノード４２０は、リクエストパケットに含まれるコンテンツ名に対応するコンテンツがリポジトリに格納されているか否かを確認する。リポジトリは、格納装置であり、例えば、ハードディスクドライブ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ：ＨＤＤ）、固体ドライブ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ：ＳＳＤ）などである。

ＣＳに応答パケットが格納されておらず、リポジトリにコンテンツが格納されていない場合、第２ノード４２０は、ＰＩＴにリクエストパケットに含まれるコンテンツ名とリクエストパケットが受信されたインタフェースを格納する。例えば、第２ノード４２０は、「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｓｅｃｕ．ｉｃｏｎ」と「Ｆａｃｅ３」を格納する。以下で説明するが、ＰＩＴに格納された値は、リクエストパケットを送信した第１ノード４１０に応答パケットを送信するときに用いられる。

第２ノード４２０は、ＦＩＢを参照してリクエストパケットをフォワーディングするインタフェースを選択する。第２ノード４２０は、ＦＩＢに格納されたネットワークドメイン名のうち、リクエストパケットに含まれるコンテンツ名に最も長いプリフィクスマッチングされるネットワークドメイン名を検出し、検出されたネットワークドメイン名に対応するインタフェースを選択する。例えば、第２ノード４２０は、ＦＩＢに格納された「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ」、「ｋｏｒｅａ．ｇｏｖ／ｅｄｕｃａｔｉｏｎ」、及び「／ｓａｍｕｎｇ．ｃｏｍ」のうち、「ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｓｅｃｕ．ｉｃｏｎ」に最も長いプリフィクスマッチングされる「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ」を検出する。第２ノード４２０は、検出された「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ」に対応するインタフェースのＦａｃｅ１を選択する。

第２ノード４２０は、選択されたインタフェースを用いてリクエストパケットを送信する。例えば、第２ノード４２０は、選択されたＦａｃｅ１の出力インタフェースを用いてリクエストパケットを送信する。第２ノード４２０によって送信されたリクエストパケットは、ネットワーク４４０を介して第３ノード４３０に送信される。例えば、第２ノード４２０と第３ノード４３０との間の複数の中間ノードがリクエストパケットをフォワーディングする。複数の中間ノードは、第２ノード４２０の動作と実質的に同一に動作するため、より詳細な説明は省略する。

第３ノード４３０は、ネットワーク４４０からリクエストパケットを受信する。例えば、第３ノード４３０は、Ｆａｃｅ２の入力インタフェースを介してリクエストパケットを受信する。第３ノード４３０は、リクエストパケットに含まれるコンテンツ名がＣＳに格納されているか否かを確認する。第３ノード４３０は、ＣＳに格納された暗号化されたコンテンツ名のうちの少なくとも一部を復号化することによって、リクエストパケットに含まれるコンテンツ名に対応する応答パケットが格納されているか否かを判断する。また、第３ノード４３０は、リクエストパケットに含まれるコンテンツ名に対応するコンテンツがリポジトリに格納されているか否かを確認する。

一例として、リポジトリにコンテンツが格納されている場合、第３ノード４３０は応答パケットを生成する。第３ノード４３０はコンテンツ名を暗号化する。例えば、第３ノード４３０は、応答パケットの送信が許容されるネットワーク範囲を限定するように条件を設定し、設定された条件に基づいてコンテンツ名を暗号化する。第３ノード４３０は、暗号化されたコンテンツ名を応答パケットに含ませる。

また、第３ノード４３０は、コンテンツを応答パケットに含ませる。例えば、第３ノード４３０は、コンテンツをセグメント単位で分割された形態で応答パケットに含ませる。また、第３ノード４３０は電子署名を応答パケットに含ませる。

第３ノード４３０は、リクエストパケットが受信されたＦａｃｅの出力インタフェースを介して応答パケットを送信する。例えば、第３ノード４３０は、Ｆａｃｅ２の出力インタフェースを介して応答パケットを送信する。

図４Ｂを参照すると、第３ノード４３０によって送信された応答パケットは、ネットワーク４４０を介して第２ノード４２０に送信される。第２ノード４２０は、ネットワーク４４０から応答パケットを受信する。例えば、第２ノード４２０は、Ｆａｃｅ１の入力インタフェースを介して応答パケットを受信する。ここで、Ｆａｃｅ１は、第２ノード４２０がリクエストパケットをフォワーディングするために用いたＦａｃｅである。

第２ノード４２０は、受信した応答パケットを格納する。例えば、第２ノード４２０は、応答パケットに含まれる暗号化されたコンテンツ名及びコンテンツをＣＳに格納する。ＣＳに格納される形態は多様に変形される。

第２ノード４２０は、応答パケットに含まれる暗号化されたコンテンツ名を復号化する。第２ノード４２０は、ＰＩＴに格納された要素のうちから、復号化されたコンテンツ名に対応する要素を検出する。第２ノード４２０は、検出された要素のインタフェース情報を用いて応答パケットを送信する。例えば、第２ノード４２０は、応答パケットに含まれる暗号化されたコンテンツ名を復号化することによって、ＰＩＴに格納された「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｓｅｃｕ．ｉｃｏｎ」を検出する。この場合、第２ノード４２０は、「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｓｅｃｕ．ｉｃｏｎ」に対応して格納されたＦａｃｅ３を用いて応答パケットを送信する。

第２ノード４２０は、インタフェース情報に基づいて暗号化されたコンテンツ名を復号化する。一例として、第２ノード４２０は、インタフェースの種類を復号化アルゴリズムの入力として用いる。より具体的に、第２ノード４２０は、入力インタフェースを指すパラメータである「ｉｎ」を復号化アルゴリズムの入力として用いる。又は、第２ノード４２０は、出力インタフェースを指すパラメータである「ｏｕｔ」を復号化アルゴリズムの入力として用いる。

他の例として、第２ノード４２０は、Ｆａｃｅのインデックスとインタフェースの種類を復号化アルゴリズムの入力として用いる。より具体的に、第２ノード４２０は、Ｆａｃｅ１の入力インタフェースを指すパラメータである「ｆａｃｅ１、ｉｎ」を復号化アルゴリズムの入力として用いる。又は、第２ノード４２０は、Ｆａｃｅ３の出力インタフェースを指すパラメータである「ｆａｃｅ３、ｏｕｔ」を復号化アルゴリズムの入力として用いる。

更なる例として、第２ノード４２０は、それぞれのＦａｃｅが接続されたネットワークドメイン情報を管理する。例えば、第２ノード４２０は、Ｆａｃｅ１に接続されたネットワークドメイン情報、Ｆａｃｅ２に接続されたネットワークドメイン情報などを管理する。第２ノード４２０は、Ｆａｃｅが接続されたネットワークドメイン情報及びインタフェースの種類を復号化アルゴリズムの入力として用いる。より具体的に、第２ノード４２０は、「Ｆａｃｅ１に接続されたネットワークドメインから入力」を指す「ｎｅｔｗｏｒｋ ｄｏｍａｉｎ ｉｎｆｏｒｍａｔｉｏｎ ｏｆ ｆａｃｅ１、ｉｎ」を復号化アルゴリズムの入力として用いる。又は、第２ノード４２０は、「Ｆａｃｅ３に接続されたネットワークドメインに出力」を指す「ｎｅｔｗｏｒｋ ｄｏｍａｉｎ ｉｎｆｏｒｍａｔｉｏｎ ｏｆ ｆａｃｅ３、ｏｕｔ」を復号化アルゴリズムの入力として用いる。

入力されたインタフェース情報に応じて暗号化されたコンテンツ名は、復号化されるか、又は復号化されない。入力されたインタフェース情報によって暗号化されたコンテンツ名が復号化される場合、第２ノード４２０は、該当するインタフェースを介して応答パケットを処理する。入力されたインタフェース情報によって暗号化されたコンテンツ名が復号化されない場合、第２ノード４２０は、該当するインタフェースを介して応答パケットを処理することができない。

応答パケットに含まれる暗号化されたコンテンツ名が第２ノード４２０によって成功的に復号化される場合、応答パケットはネットワーク４４０に送信される。第２ノード４２０によって送信された応答パケットは、ネットワーク４４０を介して第１ノード４１０に送信される。

図４Ｃを参照すると、第４ノード４５０は新しい要請者である。第４ノード４５０は、コンテンツ名を含むリクエストパケットをネットワーク４４０に送信する。例えば、リクエストパケットは、「Ｉｎｔｅｒｅｓｔ：／／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｓｅｃｕ．ｉｃｏｎ」である。第４ノード４５０によって送信されたリクエストパケットは、ネットワーク４４０を介して第２ノード４２０に送信される。

第２ノード４２０は、ネットワーク４４０を介してリクエストパケットを受信する。例えば、第２ノード４２０は、Ｆａｃｅ２の入力インタフェースを介してリクエストパケットを受信する。第２ノード４２０は、リクエストパケットに含まれるコンテンツ名がＣＳに格納されているか否かを確認する。第２ノード４２０は、ＣＳに格納された暗号化されたコンテンツ名のうちの少なくとも一部を復号化することによって、リクエストパケットに含まれるコンテンツ名に対応する応答パケットが格納されているか否かを判断する。

第２ノード４２０は、ＣＳに格納された暗号化されたコンテンツ名を復号化する。第２ノード４２０は、ＣＳに格納された要素のうちから、リクエストパケットに含まれるコンテンツ名に対応する要素を検出する。例えば、第２ノード４２０は、ＣＳからリクエストパケットに含まれるコンテンツ名に対応する「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｓｅｃｕ．ｉｃｏｎ（ｅｎｃｒｙｐｔｅｄ）」を検出する。この場合、第２ノード４２０は、リクエストパケットに応答し、検出された「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｓｅｃｕ．ｉｃｏｎ（ｅｎｃｒｙｐｔｅｄ）」に対応する応答パケットを送信する。

第２ノード４２０は、インタフェース情報に基づいて暗号化されたコンテンツ名を復号化する。一例として、第２ノード４２０は、インタフェースの種類を復号化アルゴリズムの入力として用いる。より具体的に、第２ノード４２０は、入力インタフェースを指すパラメータである「ｉｎ」を復号化アルゴリズムの入力として用いる。又は、第２ノード４２０は、出力インタフェースを指すパラメータである「ｏｕｔ」を復号化アルゴリズムの入力として用いる。

他の例として、第２ノード４２０は、Ｆａｃｅのインデックスとインタフェースの種類を復号化アルゴリズムの入力として用いる。より具体的に、第２ノード４２０は、Ｆａｃｅ１の入力インタフェースを指すパラメータである「ｆａｃｅ１、ｉｎ」を復号化アルゴリズムの入力として用いる。又は、第２ノード４２０は、Ｆａｃｅ３の出力インタフェースを指すパラメータである「ｆａｃｅ３、ｏｕｔ」を復号化アルゴリズムの入力として用いる。

更なる例として、第２ノード４２０は、それぞれのＦａｃｅが接続されたネットワークドメイン情報を管理する。例えば、第２ノード４２０は、Ｆａｃｅ１に接続されたネットワークドメイン情報、Ｆａｃｅ２に接続されたネットワークドメイン情報などを管理する。第２ノード４２０は、Ｆａｃｅが接続されたネットワークドメイン情報及びインタフェースの種類を復号化アルゴリズムの入力として用いる。より具体的に、第２ノード４２０は、「Ｆａｃｅ１に接続されたネットワークドメインから入力」を指す「ｎｅｔｗｏｒｋ ｄｏｍａｉｎ ｉｎｆｏｒｍａｔｉｏｎ ｏｆ ｆａｃｅ１、ｉｎ」を復号化アルゴリズムの入力として用いる。又は、第２ノード４２０は、「Ｆａｃｅ３に接続されたネットワークドメインに出力」を指す「ｎｅｔｗｏｒｋ ｄｏｍａｉｎ ｉｎｆｏｒｍａｔｉｏｎ ｏｆ ｆａｃｅ３、ｏｕｔ」を復号化アルゴリズムの入力として用いる。

入力されたインタフェース情報に応じて暗号化されたコンテンツ名は、復号化されるか、又は復号化されない。入力されたインタフェース情報によって暗号化されたコンテンツ名が復号化される場合、第２ノード４２０は、ＣＳから該当する要素を検出し、該当するインタフェースを介して応答パケットを処理する。入力されたインタフェース情報によって暗号化されたコンテンツ名が復号化されない場合、第２ノード４２０は、ＣＳから該当する要素を検出せず、該当するインタフェースを用いて応答パケットを処理することができない。

ＣＳに含まれる要素のうち、リクエストパケットに含まれるコンテンツ名に対応する要素が第２ノード４２０によって成功的に検出される場合、検出された要素に対応する応答パケットはネットワーク４４０に送信される。第２ノード４２０によって送信された応答パケットは、ネットワーク４４０を介して第４ノード４５０に送信される。

図５は、一実施形態によるネットワークシステムで用いられる暗号化／復号化アルゴリズムを説明する図である。図５を参照すると、本実施形態によるネットワークシステム５００は、ネットワーク５４０に接続された複数のノードを含む。ノード５１０は、属性規則に基づいてコンテンツ名を暗号化する。属性規則は、個体の属性情報集合及び属性のアクセス構造に基づいて生成される。アクセス構造は、与えられた属性集合に対してアクセスを許可するか否かを決定する。ノード５１０は属性規則を生成する。例えば、ノード５１０は、属性情報集合及びアクセス構造を設定する。

属性規則は、ツリー状で生成される。例えば、図６Ａを参照すると、属性規則はツリー６００のように生成される。ツリー６００のリーフノードは属性で構成される。属性は、ネットワークノードに関する。例えば、属性は、ネットワークノードに関するドメイン情報、ネットワークノードに関するインタフェース情報、ネットワークノードに関する部門、ネットワークノードに関する地域、ネットワークノードに関する管理等級、ネットワークノードに関する名前、ネットワークノードに関する時間などを含む。或いは、属性はコンテンツに関する。例えば、属性はコンテンツの有効期間などを含む。

ツリー６００の中間ノードは、リーフノードの論理演算や条件などを表現するためのものである。例えば、ツリー６００の中間ノードは、ＡＮＤ演算、ＯＲ演算、ｎ個のうちのｋ個以上の満足などに対応する。

場合によって、可変長を有する属性が属性規則に含まれる。この場合、属性規則も可変長を有する。例えば、ドメイン情報は「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ」、「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ」、「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ／ｋｉｍ」などの可変長を有する。

属性規則を固定長にするため、可変長の属性は固定長に変換される。例えば、ドメイン情報はハッシュを用いて固定長に変換される。この場合、ハッシュの結果は固定長を有し、属性規則は可変長のドメイン情報の代わりに固定長のハッシュ結果を含む。

属性規則に基づいて暗号化されたコンテンツ名は、ネットワーク５４０を介してノード５２０及び／又はノード５３０に送信される。ノード５２０及び／又はノード５３０は、自身の属性に基づいて暗号化されたコンテンツ名を復号化する。ノード５２０及び／又はノード５３０のそれぞれの属性は属性集合である。ノード５２０及び／又はノード５３０のそれぞれの属性が暗号化されたコンテンツ名の暗号化に用いられた属性規則を満たす場合、暗号化されたコンテンツ名は復号化される。ノード５２０及び／又はノード５３０のそれぞれの属性が暗号化されたコンテンツ名の暗号化に用いられた属性規則を満たさない場合、暗号化されたコンテンツ名は復号化されない。

例えば、図６Ｂを参照すると、暗号化されたコンテンツ名の暗号化に用いられた属性規則はツリー６１０のように表される。ツリー６１０は｛「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ」ＡＮＤ（ＩＮ ＯＲ ＯＵＴ）｝ＯＲ｛「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ」ＡＮＤ ＩＮ｝で表現される。

ノード５２０の第１属性集合が｛「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ」、ＯＵＴ｝であり、ノード５３０の第２属性集合が｛「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ」、ＯＵＴ｝であると仮定すると、ノード５２０の第１属性集合はツリー６１０で表現される属性規則を満たす。ノード５２０は、第１属性集合に基づいて暗号化されたコンテンツ名を復号化する。一方、ノード５３０の第２属性集合は、ツリー６１０で表現される属性規則を満たさない。ノード５３０は、第２属性集合に基づいて暗号化されたコンテンツ名を復号化することができない。

以下、図７〜図１０を参照して上述した実施形態で具体的に適用されるシナリオを説明する。図７を参照すると、本実施形態によるコンテンツ名７００は、複数の構成要素を含む。例えば、コンテンツ名７００は、ドメイン名７１１、ファイル名７１２、ファイルバージョン情報及びセグメンテーション情報７１３を含む。ここで、ドメイン名７１１及びファイル名７１２は名前コンポーネント７２１に区分され、ファイルバージョン情報及びセグメンテーション情報７１３などは情報コンポーネント７２２に区分される。複数の構成要素は、コンテンツのリクエスト及び応答のためにルーティング情報として利用可能な階層構造を有する。例えば、コンテンツ名７００は、ＣＣＮ（Ｃｏｎｔｅｎｔ Ｃｅｎｔｒｉｃ Ｎｅｔｗｏｒｋ）システム又はＮＤＮ（Ｎａｍｅｄ Ｄａｔａ Ｎｅｔｗｏｒｋ）システムなどの名前基盤ネットワークシステムに適用される。

図８を参照すると、本実施形態によるインタレストパケット８１０は、上位ネットワークドメインから下位ネットワークドメインに送信される。ネットワークノードは、ネットワークドメイン間のパケット送信を担当するドメインルータで構成される。それぞれのノードは、自身のネットワークドメインを示す名前を有する。例えば、ノード８２２は／ｓａｍｓｕｎｇ．ｃｏｍに該当し、ノード８２３は／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔに該当し、ノード８２４は／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍに該当し、ノード８２５は／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ／ｋｉｍに該当する。

インタレストパケット８１０によってリクエストされるコンテンツ名は、「ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ／ｋｉｍ／ｋｅｙ．ｉｎｆｏ」である。例えば、インタレストパケット８１０は、コンテンツをリクエストするノードから送信され、インターネット８２１を介して／ｓａｍｓｕｎｇ．ｃｏｍに該当するノード８２２に送信される。

コンテンツ名である「ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ／ｋｉｍ／ｋｅｙ．ｉｎｆｏ」に対応するコンテンツがネットワークに配布されない場合、ノード８２２に送信されたインタレストパケット８１０は、ノード８２２の下位ネットワークドメインに該当するノードに順次送信される。例えば、インタレストパケット８１０は、／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔに該当するノード８２３、／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍに該当するノード８２４、及び／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ／ｋｉｍに該当するノード８２５に順次送信される。インタレストパケット８１０は、コンテンツ名である「ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ／ｋｉｍ／ｋｅｙ．ｉｎｆｏ」に基づいて送信されるため、インタレストパケット８１０は、／ｓａｍｓｕｎｇ．ｃｏｍ／ｄｍｃに該当するノード８２６に送信されない。

ノード８２５は、インタレストパケット８１０によってリクエストされるコンテンツを格納しているか否かを確認する。ノード８２５は、インタレストパケット８１０によってリクエストされるコンテンツを用いてデータパケット８３０を生成する。

データパケット８３０は、下位ネットワークドメインから上位ネットワークドメインに送信される。例えば、データパケット８３０は、／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ／ｋｉｍに該当するノード８２５から／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍに該当するノード８２４、／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔに該当するノード８２３、及び／ｓａｍｓｕｎｇ．ｃｏｍに該当するノード８２２を経てインターネット８２１に送信される。データパケット８３０は、インターネット８２１を経てコンテンツをリクエストしたノードに送信される。

図９を参照すると、ノード８２５は、データパケット８３０をルーティング又はフォワーディングするときに必要なコンテンツ名を暗号化する。信頼できないネットワークドメインにデータパケット８３０を送信するノードは、コンテンツ名を識別できないように、コンテンツ名を暗号化する。信頼できないネットワークドメインは、コンテンツの送信が許可されないネットワークドメインである。

信頼できないネットワークドメインでデータパケット８３０を送信するノードは、暗号化されたコンテンツ名を復号化することができない。これによって、許可されないノードにデータパケットが送信されないように制御する。

より具体的に、本実施形態は、任意ルータがコンテンツ名を用いてデータパケット８３０を送信することによって、コンテンツが意図しないネットワークドメインに送信されることを防止する。コンテンツ名は暗号化され、信頼できるネットワークドメインにデータパケットを送信するルータのみが暗号化されたコンテンツ名を復号化することができる。コンテンツは、制限されたネットワークドメイン内のみで共有される。

本実施形態は、コンテンツ名を暗号化することによって、信頼できるネットワークドメインの範囲を明示的又は暗示的に指定する。この場合、暗号化されたコンテンツ名を復号化し、コンテンツを含むデータパケットを送信するルータが１つ以上存在する。

本実施形態は、属性基盤暗号技術を用いる。例えば、コンテンツアクセス権限対象者に対する属性規則に基づいてコンテンツ名が暗号化される。任意ユーザが有する属性が暗号化されたコンテンツ名の暗号化のために用いられた属性規則を満たすとき、暗号化されたコンテンツ名が復号化される。

暗号化に用いられる属性として、ネットワークルータの名前、即ちネットワークルータが代表するネットワークドメイン名を用いる。本実施形態は、コンテンツ名を暗号化するとき、コンテンツが送信されるネットワークドメインを１つ以上指定する。そのため、コンテンツアクセス可能なユーザが複数である場合にも１つの暗号化されたコンテンツ名のみが生成され、コンテンツ名を権限のあるルータの個数分暗号化しなくてもよい。従って、拡張性（Ｓｃａｌａｂｉｌｉｔｙ）が向上する。

図１０を参照すると、各ネットワークドメインに対応するノードは、受信したパケットを上位又は外部ネットワークに伝達する外部ルータ１０１０と下位又は内部ネットワークに伝達する内部ルータ１０２０を含む。外部ルータ１０１０及び内部ルータ１０２０は物理的に分離してもよく、論理的に分離してもよい。

ルータ１０１０は外部に対応するインタフェース情報の属性を有し、ルータ１０２０は内部に対応するインタフェース情報の属性を有する。例えば、ルータ１０１０は「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ（ｉｎ）」の属性を有し、ルータ１０２０は「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ（ｏｕｔ）」の属性を有する。

ネットワークドメインのルータに付与されたインタフェース情報を用いてデータパケットの送信が制御される。例えば、上位又は外部ネットワークはコンテンツ送信が制限されたネットワークであり、下位又は内部ネットワークはコンテンツアクセスが許可されたネットワークである。この場合、コンテンツ名の暗号化のために用いられる属性規則は、上位又は外部ネットワークに該当するインタフェース情報を含まず、下位又は内部ネットワークに該当するインタフェース情報を含む。そのため、本実施形態は、データパケットが外部ネットワークに送信しないように防止する技術を提供する。

再び図９を参照すると、ノード８２５は、「／ｓａｍｓｕｎｇ．ｃｏｍ／ｓａｉｔ／ｃｏｍｍ／ｋｉｍ／ｋｅｙ．ｉｎｆｏ」をリクエストするインタレストパケットに対応して、コンテンツがｓａｉｔドメイン８３２に限定して公開されるようにコンテンツ名を暗号化する。例えば、ノード８２５は、ｓａｉｔドメイン８３２に限定される属性規則８３１を用いてコンテンツ名を暗号化する。

属性規則８３１は、（１）ｓａｉｔドメインルータのうちの内部ルータ、（２）ｃｏｍｍドメインルータのうちの内部ルータ及び外部ルータ、又は（３）ｋｉｍドメインルータのうちの内部ルータ及び外部ルータで指定される。暗号化されたコンテンツ名を含むデータパケット８３０は、上述したルータに限って送信される。そのため、データパケット８３０に含まれるコンテンツは、ｓａｉｔドメイン８３２内でのみ共有される。

図１１は、一実施形態によるキー配布システムを説明する図である。図１１を参照すると、本実施形態によるキー配布システム１１００は複数のノード及び認証機関１１４０を含む。

認証機関１１４０は、セキュリティパラメータｋを用いて公開キーＰＫ及びマスターキーＭＫを生成する。セキュリティパラメータは、公開キー及びマスターキーを生成するための数学的な算出に用いられるパラメータであって、例えば双線形集合（Ｂｉｌｉｎｅａｒ Ｇｒｏｕｐ）及び素数、ジェネレーター、ランダム数などを含む。公開キーは、コンテンツ名を暗号化するために用いられる。認証機関１１４０は、公開キーをキー配布システム１１００に含まれる複数のノードに配布する。

認証機関１１４０は複数の属性を管理する。例えば、認証機関１１４０は、キー配布システム１１００内の複数のノードの属性を含む属性集合を管理する。認証機関１１４０は、属性集合に含まれる複数の属性のための暗号キーを生成する。例えば、認証機関１１４０は、マスターキーを用いて複数の属性のそれぞれのための暗号キーを生成する。生成された複数の暗号キーは１つの公開キーに対応する。

暗号キーは、暗号化されたコンテンツ名を復号化するために用いられる。認証機関１１４０は、キー配布システム１１００に含まれるノードを認証し、認証されたノードの属性に対応する暗号キーを該当するノードに提供する。認証機関１１４０はキー生成信頼機関であることを指す。

キー配布システム１１００で、ユーザは、アクセス権限に対応する少なくとも１つの暗号キーが与えられる。キー配布システム１１００で、データパケットは、属性基盤で暗号化されるため、ユーザはアクセスが許容されたデータパケットの暗号化されたコンテンツ名のみを復号化する。

ノード１１１０がリクエストノードであり、ノード１１２０が中間ノードであり、ノード１１３０が生成ノードであると仮定すると、ノード１１１０はネットワークを介してリクエストパケットを送信する。リクエストパケットは、ノード１１２０を経てノード１１３０に送信される。

ノード１１３０は、認証機関１１４０から配布された公開キーを用いてコンテンツ名を暗号化する。例えば、ノード１１３０は、属性規則を指定し、指定された属性規則及び公開キーを用いてコンテンツ名を暗号化する。

暗号化されたコンテンツ名を含む応答パケットは、ネットワークを介してノード１１２０に送信される。ノード１１２０は、認証機関１１４０に認証を行った後、認証機関１１４０からノード１１２０の属性に対応する暗号キーが提供される。ノード１１２０は、認証により提供された暗号キーを用いて暗号化されたコンテンツ名を復号化する。ノード１１２０の暗号キーに対応する属性が暗号化されたコンテンツ名の暗号化に用いられた属性規則を満たす場合、暗号化されたコンテンツ名は復号化される。ノード１１２０の暗号キーに対応する属性が暗号化されたコンテンツ名の暗号化に用いられた属性規則を満たさない場合、暗号化されたコンテンツ名は復号化されない。

図１２は、一実施形態によるネットワークノードを示すブロック図である。図１２を参照すると、本実施形態によるネットワークノード１２００は、送信部１２１０、復号化部１２２０、及び受信部１２３０を含む。

受信部１２３０は、暗号化されたコンテンツ名を含む応答パケットを受信する。復号化部１２２０は暗号化されたコンテンツ名を復号化し、送信部１２１０は復号化されたコンテンツ名に基づいて応答パケットを送信する。

暗号化されたコンテンツ名は、予め設定された条件に基づいて暗号化され、予め設定された条件が満たされるネットワークノードで復号化される。予め設定された条件は、応答パケットを生成したネットワークノードによって設定される。予め設定された条件は、応答パケットの送信が許容されるネットワーク範囲を限定するように設定される。

暗号化されたコンテンツ名は、少なくとも１つの属性を含む属性規則に基づいて暗号化される。少なくとも１つの属性は、ドメイン情報及びインタフェース情報のうちの少なくとも１つを含む。属性規則は、応答パケットに含まれるコンテンツに対するアクセス権限に関する。属性規則は、少なくとも１つの属性に対する論理演算や条件などによって生成される。

復号化部１２２０は、ネットワークノードの属性に基づいて暗号化されたコンテンツ名を復号化する。ネットワークノードの属性が暗号化されたコンテンツ名を暗号化するために用いられた属性規則を満たす場合、暗号化されたコンテンツ名が復号化される。ネットワークノードの属性は、ネットワークノードのドメイン情報及びネットワークノードのインタフェース情報のうちの少なくとも１つを含む。暗号化されるコンテンツ名は、属性規則、公開キー、及びコンテンツ名を用いて暗号化される。

復号化部１２２０は、ネットワークノードの属性に対応する少なくとも１つの暗号キーを用いて暗号化されたコンテンツ名を復号化する。ネットワークノード１２００は、認証機関に認証を行う認証部を更に含むことができる。受信部１２３０は、認証機関から、１つの公開キーに対応して生成された複数の暗号キーのうちのネットワークノードの属性に対応する少なくとも１つの暗号キーを受信する。

送信部１２１０は、予め格納されたリクエスト情報のうちの復号化されたコンテンツ名に対応するリクエスト情報を抽出し、抽出されたリクエスト情報に基づいて応答パケットを送信する。ネットワークノード１２００は、予め格納された応答パケットに含まれる暗号化されたコンテンツ名のうちの少なくとも一部を復号化することによって、リクエストパケットに含まれるコンテンツ名に対応する応答パケットを抽出する抽出部を更に含むことができる。この場合、受信部１２３０はリクエストパケットを受信し、送信部１２１０はリクエストパケットに対する応答として応答パケットを送信する。

ネットワークノード１２００は、予め格納されたコンテンツのうち、リクエストパケットに含まれるコンテンツ名に対応するコンテンツを抽出する抽出部、コンテンツ名を暗号化する暗号化部、及び暗号化部によって暗号化されたコンテンツ名、及び抽出されたコンテンツを含む応答パケットを生成する生成部を更に含むことができる。この場合、受信部１２３０はリクエストパケットを受信し、送信部１２１０は、リクエストパケットに対する応答として応答パケットを送信する。

暗号化部は、属性規則、公開キー、及びコンテンツ名を用いてコンテンツ名を暗号化する。公開キーは複数の暗号キーに対応し、暗号化部によって暗号化されたコンテンツ名は、属性規則を満たす属性に対応する少なくとも１つの暗号キーによって復号化される。

ネットワークノード１２００は、予め格納されたコンテンツのうちのリクエストパケットに含まれるコンテンツ名に対応するコンテンツが存在するか否かを判断する第１判断部、予め格納された応答パケットに含まれる暗号化されたコンテンツ名のうち、少なくとも一部を復号化することによって、予め格納された応答パケットのうちのリクエストパケットに含まれるコンテンツ名に対応する応答パケットが存在するか否かを判断する第２判断部、及びコンテンツ名に対応するコンテンツ及びコンテンツ名に対応する応答パケットが存在しないとの判断に応じて、リクエスト情報を格納する格納部を更に含むことができる。この場合、受信部１２３０はリクエストパケットを受信し、送信部１２１０は、コンテンツ名に対応するコンテンツ及びコンテンツ名に対応する応答パケットが存在しないとの判断に応じてリクエストパケットをネットワークに送信する。

図１３は、一実施形態によるネットワークノードの動作方法を示した動作フローチャートである。図１３を参照すると、本実施形態によるネットワークノードの動作方法は、暗号化されたコンテンツ名を含む応答パケットを受信するステップＳ１３１０、暗号化されたコンテンツ名を解読して復号化するステップＳ１３２０、及び復号化されたコンテンツ名に基づいて応答パケットを送信するステップＳ１３３０を含む。

図１３に示した各ステップには、図１〜図１２を参照して上述した事項がそのまま適用されるため、より詳細な説明は省略する。

本実施形態は、コンテンツ名又はデータの名前に基づいてネットワークパケットをルーティング及び伝達する名前基盤ネットワークであり、信頼できないネットワークドメインにコンテンツ又はデータパケットを送信することを防止することができる。

本実施形態は、ＣＣＮのような名前基盤ネットワークで、応答するコンテンツを有するノードが無条件リクエストに応答する代わりに、特定条件に応じてコンテンツを送信しない技術を提供することができる。本実施形態は、コンテンツ保護のためにコンテンツ送信ステップでアクセス制御を可能にする技術を提供することができる。

本実施形態は、データパケットに含まれるコンテンツが権限のないユーザに送信されることを防止することによって、ネットワークリソースの無駄遣いを防止し、潜在的なコンテンツ表示の危険を減少させることができる。本実施形態は、コンテンツ生成者の情報を含むコンテンツ名が権限のないユーザで表示されることを防止することができる。

本実施形態は、コンテンツ名そのものに対する保護機能を提供することによって、ルーティングポリシー情報と関係なくコンテンツリクエストが発生したノードにコンテンツが送信されることを防止することができる。

本実施形態は、名前基盤ネットワークで、コンテンツ生成者の重要情報を含むコンテンツ名を保護し、信頼できないネットワークドメインにコンテンツが送信されないように暗号学的な方式を用いてルータの機能を制限することができる。

本実施形態は、コンテンツ名を暗号化し、ルーティング時にセキュリティポリシーを実行する技術を提供する。本実施形態は、コンテンツ名の暗号化のために属性基盤暗号技術を用い、属性の種類をネットワークドメイン名及びルータの役割として指定する技術を提供する。本実施形態は、ドメインルータで、コンテンツ名の復号化の有無に応じてデータパケットの送信有無を決定する技術を提供する。

以上で説明した実施形態は、ハードウェア構成要素、ソフトウェア構成要素、及び／又はハードウェア構成要素及びソフトウェア構成要素の組合せで具現される。例えば、プロセッサ、コントローラ、ＡＬＵ（ａｒｉｔｈｍｅｔｉｃ ｌｏｇｉｃ ｕｎｉｔ）、デジタル信号プロセッサ（ｄｉｇｉｔａｌ ｓｉｇｎａｌ ｐｒｏｃｅｓｓｏｒ）、マイクロコンピュータ、ＦＰＡ（ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ａｒｒａｙ）、ＰＬＵ（ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ｕｎｉｔ）、マイクロプロセッサー、又は命令（ｉｎｓｔｒｕｃｔｉｏｎ）を実行して応答する異なる装置のように、１つ以上の汎用コンピュータ又は特殊目的のコンピュータを用いて具現される。処理装置は、オペレーティングシステム（ＯＳ）及びＯＳ上で実行される１つ以上のソフトウェアアプリケーションを実行する。また、処理装置は、ソフトウェアの実行に応答して、データをアクセス、格納、操作、処理及び生成する。理解の便宜のために、処理装置は１つ使用されるものとして説明した場合もあるが、当該技術分野で通常の知識を有する者は、処理装置が複数の処理要素（ｐｒｏｃｅｓｓｉｎｇ ｅｌｅｍｅｎｔ）及び／又は複数類型の処理要素を含むことが分かる。例えば、処理装置は、複数のプロセッサ又は１つのプロセッサ及び１つのコントローラを含む。また、並列プロセッサ（ｐａｒａｌｌｅｌ ｐｒｏｃｅｓｓｏｒ）のような、他の処理構成も可能である。

ソフトウェアは、コンピュータプログラム、コード、命令、又はこれらのうちの１つ以上の組合せを含み、希望通りに動作するように処理装置を構成するか、或いは独立的又は結合的に処理装置に命令する。ソフトウェア及び／又はデータは、処理装置によって解釈されるか、或いは処理装置に命令又はデータを提供するためにあらゆる類型の機械、構成要素、物理的装置、仮想装置、コンピュータ格納媒体又は装置、送信信号波により永久的又は一時的に具体化される。ソフトウェアは、ネットワークに接続されたコンピュータシステム上に分散され、分散された方法で格納されるか又は実行される。ソフトウェア及びデータは１つ以上のコンピュータ読み取り可能な記録媒体に格納される。

本発明の実施形態による方法は、多様なコンピュータ手段を介して様々な処理を実行するプログラム命令の形態で具現され、コンピュータ読み取り可能な記録媒体に記録される。コンピュータ読み取り可能な媒体は、プログラム命令、データファイル、データ構造などのうちの１つ又はその組合せを含む。記録媒体に記録されるプログラム命令は、本発明の目的のために特別に設計されて構成されたものでもよく、コンピュータソフトウェア分野の技術を有する当業者にとって公知のものであり、使用可能なものであってもよい。コンピュータ読み取り可能な記録媒体の例としては、ハードディスク、フロッピー（登録商標）ディスク及び磁気テープのような磁気媒体、ＣＤ−ＲＯＭ、ＤＶＤのような光記録媒体、光ディスクのような光磁気媒体、及びＲＯＭ、ＲＡＭ、フラッシュメモリなどのようなプログラム命令を保存して実行するように特別に構成されたハードウェア装置が含まれる。プログラム命令の例には、コンパイラによって作られるような機械語コードだけでなく、インタープリタなどを用いてコンピュータによって実行される高級言語コードが含まれる。ハードウェア装置は、本発明の動作を行うために１つ以上のソフトウェアモジュールとして作動するように構成されてもよく、その逆も同様である。

以上、本発明の実施形態について図面を参照しながら詳細に説明したが、本発明は、上述の実施形態に限定されるものではなく、本発明の技術的範囲から逸脱しない範囲内で多様に変更実施することが可能である。

１００、５００ ネットワークシステム
１１０、４１０ 第１ノード
１２０、４２０ 第２ノード
１３０。４３０ 第３ノード
１４０、４４０、５４０ ネットワーク
１５０、４５０ 第４ノード
２１０ リクエストパケット
２１１、７００ コンテンツ名
２２０ 応答パケット
２２１ 暗号化されたコンテンツ名
２２２ コンテンツ
２２３ 電子署名
５１０、５２０、５３０、８２２、８２３、８２４、８２５、８２６、１１１０、１１２０、１１３０ ノード
６００、６１０ ツリー
７１１ ドメイン名
７１２ ファイル名
７１３ ファイルバージョン情報及びセグメンテーション情報
７２１ 名前コンポーネント
７２２ 情報コンポーネント
８１０ インタレストパケット
８２１ インターネット
８３０ データパケット
８３１ 属性規則
８３２ ｓａｉｔドメイン
１０１０ 外部ルータ
１０２０ 内部ルータ
１１００ キー配布システム
１１４０ 認証機関
１２００ ネットワークノード
１２１０ 送信部
１２２０ 復号化部
１２３０ 受信部

Claims (25)

1. ネットワークノードの動作方法であって、
   暗号化されたコンテンツ名を含む応答パケットを受信するステップと、
   前記応答パケットを格納するステップと、
   前記ネットワークノードが予め設定された条件を満たすように、前記受信された応答パケットに含まれる暗号化されたコンテンツ名が復号化されるか否かを判断するステップと、
   前記応答パケットに含まれる暗号化されたコンテンツ名が復号化される場合、復号化アルゴリズムの入力として、前記ネットワークノードのインタフェースに連結されたドメインのドメイン情報、及び前記ネットワークノードのインタフェースのインタフェース情報を用い、前記復号化アルゴリズムを通して前記暗号化されたコンテンツ名を復号化するステップと、
   前記コンテンツ名を復号するために用いられるドメイン情報及びインタフェース情報のインタフェースを通して前記復号化されたコンテンツ名に基づいて前記応答パケットを送信するステップと、
   リクエストパケットを受信するステップと、
   予め格納された応答パケットに含まれる暗号化されたコンテンツ名のうちの少なくとも一部を復号化するステップと、
   前記復号化されたコンテンツ名に基づいて、前記予め格納された応答パケットのうちから、前記リクエストパケットに含まれるコンテンツ名に対応する予め格納された応答パケットが存在するか否かを判断するステップと、
   前記予め格納された応答パケットが存在することに応答して、前記予め格納された応答パケットを送信するステップと、を有し、
   前記暗号化されたコンテンツ名は、前記応答パケットの送信が許容されるネットワーク範囲を限定するように応答パケットを生成する他のネットワークノードによって設定された予め設定された条件に基づいて暗号化され、
   前記予め設定された条件は、少なくとも一つのドメイン情報、及び前記応答パケットの送信が許容される少なくとも一つのネットワークノードの少なくとも一つのインタフェース情報を含むことを特徴とするネットワークノードの動作方法。
2. 前記暗号化されたコンテンツ名は、予め設定された条件に基づいて暗号化され、前記予め設定された条件が満たされるネットワークノードで復号化されることを特徴とする請求項１に記載のネットワークノードの動作方法。
3. 前記予め設定された条件は、前記応答パケットを生成したネットワークノードによって、前記応答パケットの送信が許容されるネットワーク範囲を限定するように設定されることを特徴とする請求項２に記載のネットワークノードの動作方法。
4. 前記暗号化されたコンテンツ名は、少なくとも１つの属性を含む属性規則に基づいて暗号化されることを特徴とする請求項１に記載のネットワークノードの動作方法。
5. 前記少なくとも１つの属性は、ドメイン情報及びインタフェース情報のうちの少なくとも１つを含むことを特徴とする請求項４に記載のネットワークノードの動作方法。
6. 前記属性規則は、前記応答パケットに含まれるコンテンツに対するアクセス権限に関することを特徴とする請求項４に記載のネットワークノードの動作方法。
7. 前記暗号化されたコンテンツ名を復号化するステップは、前記ネットワークノードの属性に基づいて前記暗号化されたコンテンツ名を復号化するステップを含むことを特徴とする請求項１に記載のネットワークノードの動作方法。
8. 前記ネットワークノードの属性に基づいて前記暗号化されたコンテンツ名を復号化するステップは、前記ネットワークノードの属性が前記暗号化されたコンテンツ名を暗号化するために用いられる属性規則を満たすことに応じて、前記暗号化されたコンテンツ名を復号化するステップを含むことを特徴とする請求項７に記載のネットワークノードの動作方法。
9. 前記ネットワークノードの属性は、前記ネットワークノードのドメイン情報及び前記ネットワークノードのインタフェース情報のうちの少なくとも１つを含むことを特徴とする請求項７に記載のネットワークノードの動作方法。
10. 前記暗号化されたコンテンツ名は、属性規則、公開キー、及びコンテンツ名を用いて暗号化されることを特徴とする請求項１に記載のネットワークノードの動作方法。
11. 前記暗号化されたコンテンツ名を復号化するステップは、前記ネットワークノードの属性に対応する少なくとも１つの暗号キーを用いて前記暗号化されたコンテンツ名を復号化するステップを含むことを特徴とする請求項１に記載のネットワークノードの動作方法。
12. 認証機関に認証を行うステップと、
    前記認証機関から前記ネットワークノードの属性に対応する少なくとも１つの暗号キーを受信するステップと、を更に含み、
    前記少なくとも１つの暗号キーは、１つの公開キーに対応して前記認証機関によって生成された複数の暗号キーのうちから選択されることを特徴とする請求項１１に記載のネットワークノードの動作方法。
13. 前記応答パケットを送信するステップは、
    予め格納されたリクエスト情報のうちから前記復号化されたコンテンツ名に対応するリクエスト情報を抽出するステップと、
    前記抽出されたリクエスト情報に基づいて前記応答パケットを送信するステップと、を含むことを特徴とする請求項１に記載のネットワークノードの動作方法。
14. リクエストパケットを受信するステップと、
    予め格納された応答パケットに含まれる暗号化されたコンテンツ名のうちの少なくとも一部を復号化することによって、前記リクエストパケットに含まれるコンテンツ名に対応する応答パケットを抽出するステップと、
    前記復号化された少なくとも一部のコンテンツ名に基づいて、前記リクエストパケットに対する応答として、前記抽出された応答パケットを送信するステップと、を更に含むことを特徴とする請求項１に記載のネットワークノードの動作方法。
15. リクエストパケットを受信するステップと、
    予め格納されたコンテンツのうちから前記リクエストパケットに含まれるコンテンツ名に対応するコンテンツを抽出するステップと、
    前記コンテンツ名を暗号化するステップと、
    前記暗号化されたコンテンツ名及び前記抽出されたコンテンツを含む応答パケットを生成するステップと、
    前記リクエストパケットに対する応答として、前記生成された応答パケットを送信するステップと、を更に含むことを特徴とする請求項１に記載のネットワークノードの動作方法。
16. 前記コンテンツ名を暗号化するステップは、属性規則、公開キー、及び前記コンテンツ名を用いて前記コンテンツ名を暗号化するステップを含むことを特徴とする請求項１５に記載のネットワークノードの動作方法。
17. 前記公開キーは複数の暗号キーに対応し、前記暗号化するステップで暗号化されたコンテンツ名は、前記属性規則を満たす属性に対応する少なくとも１つの暗号キーによって復号化されることを特徴とする請求項１６に記載のネットワークノードの動作方法。
18. 予め格納されたコンテンツのうちから前記リクエストパケットに含まれるコンテンツ名に対応するコンテンツが存在するか否かを判断するステップと、
    前記コンテンツ名に対応するコンテンツ及び前記コンテンツ名に対応する応答パケットが存在しないとの判断に応じてリクエスト情報を格納するステップと、
    前記リクエストパケットをネットワークに送信するステップと、を更に含むことを特徴とする請求項１に記載のネットワークノードの動作方法。
19. 請求項１に記載のネットワークノードの動作方法を実行させるためのプログラムが記録されたコンピュータ読み取り可能な記録媒体。
20. ネットワークノードであって、
    暗号化されたコンテンツ名を含む応答パケットを受信する受信部と、
    前記応答パケットを格納し、前記ネットワークノードが予め設定された条件を満たすように、前記受信された応答パケットに含まれる暗号化されたコンテンツ名が復号化されるか否かを判断し、前記応答パケットに含まれる暗号化されたコンテンツ名が復号化される場合、復号化アルゴリズムの入力として、前記ネットワークノードのインタフェースに連結されたドメインのドメイン情報、及び前記ネットワークノードのインタフェースのインタフェース情報を用い、前記復号化アルゴリズムを通して前記暗号化されたコンテンツ名を復号化するプロセッサと、
    前記コンテンツ名を復号するために用いられるドメイン情報及びインタフェース情報のインタフェースを通して前記復号化されたコンテンツ名に基づいて前記応答パケットを送信する送信部と、を備え、
    前記受信部は、リクエストパケットを受信し、
    前記プロセッサは、予め格納された応答パケットに含まれる暗号化されたコンテンツ名のうちの少なくとも一部を復号化し、前記復号化されたコンテンツ名に基づいて、前記予め格納された応答パケットのうちから、前記リクエストパケットに含まれるコンテンツ名に対応する予め格納された応答パケットが存在するか否かを判断し、
    前記送信部は、前記予め格納された応答パケットが存在することに応答して、前記予め格納された応答パケットを送信し、
    前記暗号化されたコンテンツ名は、前記応答パケットの送信が許容されるネットワーク範囲を限定するように応答パケットを生成する他のネットワークノードによって設定された予め設定された条件に基づいて暗号化され、
    前記予め設定された条件は、少なくとも一つのドメイン情報、及び前記応答パケットの送信が許容される少なくとも一つのネットワークノードの少なくとも一つのインタフェース情報を含むことを特徴とするネットワークノード。
21. ネットワークノードの動作方法であって、
    暗号化されたコンテンツ名を含む応答パケットを受信するステップと、
    前記ネットワークノードが予め設定された条件を満たすように、前記受信された応答パケットに含まれる暗号化されたコンテンツ名が復号化されるか否かを判断することによって、前記応答パケットに含まれる暗号化されたコンテンツ名に基づいて他のネットワークノードが前記応答パケットを受信する権限があるか否かを判断するステップと、
    前記他のネットワークノードが前記応答パケットを受信する権限がないとの判断に応じて、前記他のネットワークノードに前記応答パケットを送信しないステップと、
    前記他のネットワークノードが前記応答パケットを受信する権限があるとの判断に応じて、復号化アルゴリズムの入力として、前記ネットワークノードのインタフェースに連結されたドメインのドメイン情報、及び前記ネットワークノードのインタフェースのインタフェース情報を用い、前記復号化アルゴリズムを通して前記暗号化されたコンテンツ名を復号化するステップと、
    前記コンテンツ名を復号するために用いられるドメイン情報及びインタフェース情報のインタフェースを通して前記他のネットワークノードに前記応答パケットを送信するステップと、
    リクエストパケットを受信するステップと、
    予め格納された応答パケットに含まれる暗号化されたコンテンツ名のうちの少なくとも一部を復号化するステップと、
    前記復号化されたコンテンツ名に基づいて、前記予め格納された応答パケットのうちから、前記リクエストパケットに含まれるコンテンツ名に対応する予め格納された応答パケットが存在するか否かを判断するステップと、
    前記予め格納された応答パケットが前記リクエストパケットに応答して送信されることが許可されているか否かを判断するステップと、
    前記予め格納された応答パケットが存在し許可されていることに応答して、前記予め格納された応答パケットを送信するステップと、を有し、
    前記暗号化されたコンテンツ名は、前記応答パケットの送信が許容されるネットワーク範囲を限定するように応答パケットを生成する他のネットワークノードによって設定された予め設定された条件に基づいて暗号化され、
    前記予め設定された条件は、少なくとも一つのドメイン情報、及び前記応答パケットの送信が許容される少なくとも一つのネットワークノードの少なくとも一つのインタフェース情報を含むことを特徴とするネットワークノードの動作方法。
22. 前記応答パケットを受信する権限があるか否かを判断するステップは、
    前記他のネットワークノードに関する情報に基づいて前記暗号化されたコンテンツ名の復号化を試みるステップと、
    前記コンテンツ名が復号化されない場合、前記他のネットワークノードが前記応答パケットを受信する権限がないと判断するステップと、
    前記コンテンツ名が復号化された場合、前記他のネットワークノードが前記応答パケットを受信する権限があると判断するステップと、を含むことを特徴とする請求項２１に記載のネットワークノードの動作方法。
23. 前記応答パケットを送信するステップは、前記復号化されたコンテンツ名に基づいて前記他のネットワークノードに前記応答パケットを送信するステップを含むことを特徴とする請求項２２に記載のネットワークノードの動作方法。
24. 前記他のネットワークノードに関する情報は、前記ネットワークノードのインタフェースに関する情報を含み、前記ネットワークノードのインタフェースを用いて前記応答パケットが前記他のネットワークノードに送信されることを特徴とする請求項２２に記載のネットワークノードの動作方法。
25. 前記他のネットワークノードに関する情報は、前記他のネットワークノードのネットワークドメイン情報を含むことを特徴とする請求項２２に記載のネットワークノードの動作方法。
    

Images