JP6705602B1 - 中継装置、中継方法、及び制御プログラム - Google Patents

Abstract

【課題】通信セキュリティを向上させることができる、中継装置、中継方法、及び制御プログラムを提供する。【解決手段】中継装置３０において変換部３２は、受信部３１にて受信された信号を、サーバ装置２０と中継装置３０との通信に要求されるセキュリティレベルを満たす「所望の信号形態」へ変換する。そして、送信部３３は、変換部３２にて変換された信号を、サーバ装置２０へ送信する。「所望の信号形態」は、例えば、暗号化方式の新バージョンによって暗号化された信号形態である。【選択図】図１

Description

本開示は、中継装置、中継方法、及び制御プログラムに関する。

中継器を介した通信装置と該通信装置のアクセス先との通信におけるセキュリティを確保するために、中継器の識別情報に基づいて、該通信装置が認証されているか否かを判定する技術が提案されている（例えば、特許文献１）。特許文献１に開示されている技術では、通信装置から送信されたＩＰパケットに含まれる中継局ＭＡＣアドレス及び該通信装置のＩＰアドレスに基づいて、該通信装置が認証されているか否かについての判定がなされる。そして、該通信装置が認証されていると判定された場合、該ＩＰパケットは、上記のアクセス先に向けて転送される。

特開２０１５−２０４０２７号公報

本発明者は、特許文献１に開示されている技術では、ＩＰパケットがそのまま転送されているため、ＩＰパケットが通信装置から送信されるときの信号形態によっては、転送されてからアクセス先に届くまでの間のセキュリティが確保できない可能性があることを見出した。

本開示の目的は、通信セキュリティを向上させることができる、中継装置、中継方法、及び制御プログラムを提供することにある。

第１の態様にかかる中継装置は、通信端末から送信され且つ前記通信端末のアクセス先であるサーバ装置へ向けた、信号を受信する受信部と、前記受信された信号を、前記サーバ装置との通信に要求されるセキュリティを満たす所望の信号形態へ変換する変換部と、前記変換された信号を前記サーバ装置へ送信する送信部と、を具備する。

第２の態様にかかる中継方法は、通信端末から送信され且つ前記通信端末のアクセス先であるサーバ装置へ向けた、信号を受信し、前記受信された信号を、前記サーバ装置との通信に要求されるセキュリティを満たす所望の信号形態へ変換し、前記変換された信号を前記サーバ装置へ送信する。

第３の態様にかかる制御プログラムは、通信端末から送信され且つ前記通信端末のアクセス先であるサーバ装置へ向けた、信号を受信し、前記受信された信号を、前記サーバ装置との通信に要求されるセキュリティを満たす所望の信号形態へ変換し、前記変換された信号を前記サーバ装置へ送信する、処理を、中継装置に実行させる。

本開示により、通信セキュリティを向上させることができる、中継装置、中継方法、及び制御プログラムを提供することができる。

第１実施形態における中継装置を含む通信システムの一例を示す図である。 第２実施形態における中継装置を含む通信システムの一例を示すブロック図である。 記憶部に記憶されている処理特定テーブルの一例を示す図である。 中継装置のハードウェア構成例を示す図である。

以下、図面を参照しつつ、実施形態について説明する。なお、実施形態において、同一又は同等の要素には、同一の符号を付し、重複する説明は省略される。

＜第１実施形態＞
図１は、第１実施形態における中継装置を含む通信システムの一例を示す図である。図１において通信システム１は、通信端末１０と、サーバ装置２０と、中継装置３０とを有している。例えば、通信端末１０と中継装置３０とは同一のネットワーク（例えば、ローカルエリアネットワーク（ＬＡＮ））内に配設される一方、サーバ装置２０は該ネットワークと異なるネットワーク（例えば、インターネット）に配設されている。通信端末１０と中継装置３０との間及びサーバ装置２０と中継装置３０との間は、それぞれ、無線によって接続されていてもよいし、有線によって接続されていてもよく、その接続形態は特に限定されない。また、図１に示す通信システム１では、通信端末１０及びサーバ装置２０の数をそれぞれ１つとしているが、数はこれに限定されない。

通信端末１０は、アクセス先であるサーバ装置２０に向けて信号（例えば、ＩＰパケット）を送信する。

図１において中継装置３０は、受信部３１と、変換部３２と、送信部３３とを有している。

受信部３１は、通信端末１０から送信され且つアクセス先であるサーバ装置２０へ向けた、信号を受信する。

変換部３２は、受信部３１にて受信された信号を、サーバ装置２０と中継装置３０との通信に要求されるセキュリティレベルを満たす「所望の信号形態」へ変換する。

送信部３３は、変換部３２にて変換された信号を、サーバ装置２０へ送信する。

ここで、例えば、サーバ装置２０と中継装置３０との通信において暗号化方式の新バージョンが用いられることが要求されている場合、上記「所望の信号形態」は、暗号化方式の新バージョンによって暗号化されている信号形態である。一方で、通信端末１０は、暗号化方式の旧バージョンで信号を暗号化して、該暗号化された信号を送信することが考えられる。このような状況が生じるのは、一般的に、サーバ装置に対しては暗号化方式のバージョンの更新がタイムリーに行われる一方で、通信端末に対してはその更新がサーバ装置に比べて遅くなる傾向がある、ことが一因として考えられる。仮に通信端末１０によって暗号化方式の旧バージョンによって暗号化されてサーバ装置２０へ向けて送信された信号が中継装置３０によってそのままの状態で転送された場合、中継装置３０とサーバ装置２０との間の通信路にてその信号が傍受されたり書き換えられたりする可能性がある。

これに対して、第１実施形態における中継装置３０では変換部３２が、受信部３１にて受信された信号を、サーバ装置２０と中継装置３０との通信に要求されるセキュリティレベルを満たす「所望の信号形態」へ変換する。そして、送信部３３は、変換部３２にて変換された信号を、サーバ装置２０へ送信する。

この中継装置３０の構成により、セキュリティレベルを満たす所望の信号形態（上記の例では、暗号化方式の新バージョンによって暗号化された信号形態）に変換された信号をサーバ装置２０へ転送することができるので、通信セキュリティを向上させることができる。

＜第２実施形態＞
第２実施形態は、より具体的な実施形態に関する。

図２は、第２実施形態における中継装置を含む通信システムの一例を示すブロック図である。図２において通信システム２は、通信端末１０−１〜１０−３と、サーバ装置２０と、中継装置４０とを有している。例えば、通信端末１０−１〜１０−３と中継装置４０とは同一のネットワーク（例えば、ローカルエリアネットワーク（ＬＡＮ））内に配設される一方、サーバ装置２０は該ネットワークと異なるネットワーク（例えば、インターネット）に配設されている。通信端末１０−１〜１０−３のそれぞれと中継装置４０との間及びサーバ装置２０と中継装置４０との間は、それぞれ、無線によって接続されていてもよいし、有線によって接続されていてもよく、その接続形態は特に限定されない。また、図２に示す通信システム２では、通信端末１０の数を３つ、サーバ装置２０の数を１つとしているが、数はこれに限定されない。以下では、通信端末１０−１〜１０−３を互いに区別しない場合、総称して通信端末１０と呼ぶことがある。

第２実施形態のサーバ装置２０は、例えば、ＳＩＰ（Session Initiation Protocol）サーバである。通信端末１０−１〜１０−３のそれぞれは、ＳＩＰクライアントである。また、第２実施形態では、通信端末１０−１は、ＳＳＬ（Secure Sockets Layer）／ＴＬＳ（Transport Layer Security）における新バージョンであるＴＬＳを用いて暗号化したパケットを送信する端末であるものとする。また、通信端末１０−２は、ＳＳＬ／ＴＬＳにおける旧バージョンであるＳＳＬを用いて暗号化したパケットを送信する端末であるものとする。また、通信端末１０−３は、ＳＳＬ／ＴＬＳによる暗号化を行わない端末であるものとする。

通信端末１０は、アクセス先であるサーバ装置２０に向けて信号を送信する。例えば、通信端末１０−１は、ＴＬＳを用いて暗号化したパケットをサーバ装置２０へ向けて送信する。一方、通信端末１０−２は、ＳＳＬを用いて暗号化したパケットをサーバ装置２０へ向けて送信し、通信端末１０−３は、ＳＳＬ／ＴＬＳによる暗号化を行わずに、パケットをサーバ装置２０へ向けて送信する。

図２において中継装置４０は、受信部３１と、送信部３３と、変換部４１と、記憶部４２とを有している。

受信部３１は、通信端末１０から送信され且つアクセス先であるサーバ装置２０へ向けた、パケットを受信する。

変換部４１は、受信部３１にて受信されたパケット（例えば、パケットのヘッダ部）に含まれる情報と記憶部４２に記憶されている「処理特定テーブル」とに基づいて、該パケットに対する処理内容を特定し、該特定された処理内容に対応する処理を該パケットに施す。

例えば、変換部４１は、情報抽出部４１Ａと、処理内容特定部４１Ｂと、指示部４１Ｃと、変換処理部４１Ｄとを有している。

情報抽出部４１Ａは、受信部３１にて受信されたパケットから、該パケットの送信元である通信端末１０の識別子（例えば、ＩＰアドレス）及び該通信端末１０のＳＳＬ／ＴＬＳのバージョンに関する情報を抽出する。

処理内容特定部４１Ｂは、情報抽出部４１Ａにて抽出された情報と記憶部４２に記憶されている「処理特定テーブル」とに基づいて、受信部３１にて受信されたパケットに対する処理内容を特定する。

図３は、記憶部に記憶されている処理特定テーブルの一例を示す図である。図３の処理特定テーブルにおける各エントリは、項目として、「判定情報」及び「制御内容」を含んでいる。また、項目「判定情報」には、項目として、「通信方式」、「送信元ＩＰアドレス」、「ＳＳＬ／ＴＬＳバージョン」が含まれ、項目「制御内容」には、項目として、「制御１」及び「制御２」が含まれている。すなわち、記憶部４２に記憶されている「処理特定テーブル」は、通信端末１０の端末識別子と暗号化方式のバージョンに応じた処理内容に関する情報とを対応づけて保持している。なお、図３では、ＴＬＳで暗号化されたＳＩＰを「ＳＩＰＳ」と記載している。

すなわち、情報抽出部４１Ａは、受信部３１にて受信されたパケットが通信端末１０−１から送信されたパケットである場合、通信端末１０−１のＩＰアドレス及びＳＳＬ／ＴＬＳのバージョンに関する情報として「ＴＬＳ」を抽出する。そして、処理内容特定部４１Ｂは、情報抽出部４１Ａで抽出された通信端末１０−１のＩＰアドレス及び「ＴＬＳ」をキーとして、処理特定テーブルを検索する。そして、処理内容特定部４１Ｂは、処理特定テーブルにおいて、情報抽出部４１Ａで抽出された通信端末１０−１のＩＰアドレス及び「ＴＬＳ」と一致する「処理内容」を特定する。図３の処理特定テーブルでは、通信端末１０−１のＩＰアドレス「１７２．１６．１．２１」及びＳＳＬ／ＴＬＳバージョン「最新」に対応する、処理内容「導通」が特定されることになる。この処理内容「導通」は、パケットがサーバ装置２０へ転送されることを意味する。これと同様にして、受信部３１にて受信されたパケットが通信端末１０−２から送信されたパケットである場合、処理内容特定部４１Ｂは、処理特定テーブルにおいて、情報抽出部４１Ａで抽出された通信端末１０−２のＩＰアドレス及び「ＳＳＬ」と一致する「処理内容」を特定する。図３の処理特定テーブルでは、通信端末１０−２のＩＰアドレス「１７２．１６．１．２２」及びＳＳＬ／ＴＬＳバージョン「上記以外（つまり、旧バージョン）」に対応する、処理内容「導通」、「最新バージョンＴＬＳによる通信内容の暗号化」が特定されることになる。

指示部４１Ｃは、処理内容特定部４１Ｂにて特定された処理内容を示す指示信号を生成し、生成した指示信号を変換処理部４１Ｄへ出力する。

変換処理部４１Ｄは、指示部４１Ｃから受け取る指示信号が示す処理を、受信部３１にて受信されたパケットに施して送信部３３へ出力する。

例えば、受信部３１にて受信されたパケットが通信端末１０−１から送信されたパケットである場合、変換処理部４１Ｄは、受信部３１にて受信されたパケットをそのままの状態で送信部３３へ出力する。

また、受信部３１にて受信されたパケットが通信端末１０−２から送信されたパケットである場合、変換処理部４１Ｄは、受信部３１にて受信されたパケットを、サーバ装置２０が持つものと同一の秘密鍵（つまり、最新バージョンに対応する復号鍵）を用いて復号する。そして、変換処理部４１Ｄは、復号されたパケットを、サーバ装置２０が持つものと同一の共通鍵（つまり、最新バージョンに対応する暗号鍵）を用いて、暗号化する。そして、該暗号化後のパケットを、変換処理部４１Ｄは、送信部３３へ出力する。

また、受信部３１にて受信されたパケットが通信端末１０−３から送信されたパケットである場合、変換処理部４１Ｄは、該パケットを、サーバ装置２０が持つものと同一の共通鍵（つまり、最新バージョンに対応する暗号鍵）を用いて、暗号化する。そして、該暗号化後のパケットを、変換処理部４１Ｄは、送信部３３へ出力する。

ここで、中継装置４０は、サーバ装置２０と同一の秘密鍵（復号鍵）を記憶部４２に記憶している。また、中継装置４０とサーバ装置２０とは、事前にＳＳＬ／ＴＬＳ最新バージョンでのセッションを既に確立しており（つまり、ハンドシェイク済みであり）、暗号化に使用される共通鍵（暗号鍵）も記憶部４２に記憶されている。

送信部３３は、変換処理部４１Ｄから受け取ったパケットを、サーバ装置２０へ送信する。

以上のように第２実施形態によれば、中継装置４０において変換部４１は、受信部３１にて受信されたパケットに施されている暗号化方式のバージョンが旧バージョンである場合、暗号化方式の新バーションによって該パケットを暗号化することにより、該パケットを所望の信号形態（つまり、最新バージョンによって暗号化されたパケット）へ変換する。そして、送信部３３は、変換されたパケットをサーバ装置２０へ送信する。

この中継装置４０の構成により、セキュリティレベルを満たす所望の信号形態（暗号化方式の新バージョンによって暗号化された信号形態）に変換された信号をサーバ装置２０へ転送することができるので、通信セキュリティを向上させることができる。

＜他の実施形態＞
図４は、中継装置のハードウェア構成例を示す図である。図４において中継装置１００は、プロセッサ１０１と、メモリ１０２と、レシーバ（受信回路）１０３と、トランスミッタ（送信回路）１０４とを有している。第１実施形態及び第２実施形態の中継装置３０，４０の変換部３２，４１は、プロセッサ１０１がメモリ１０２に記憶されたプログラムを読み込んで実行することにより実現されてもよい。また、第２実施形態の中継装置４０の記憶部４２は、メモリ１０２によって実現されてもよい。また、第１実施形態及び第２実施形態の中継装置３０，４０の受信部３１及び送信部３３は、それぞれ、レシーバ（受信回路）１０３及びトランスミッタ（送信回路）１０４によって実現されてもよい。プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、中継装置３０，４０に供給することができる。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によって中継装置３０，４０に供給されてもよい。

以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

１ 通信システム
２ 通信システム
１０ 通信端末
２０ サーバ装置
３０ 中継装置
３１ 受信部
３２ 変換部
３３ 送信部
４０ 中継装置
４１ 変換部
４１Ａ 情報抽出部
４１Ｂ 処理内容特定部
４１Ｃ 指示部
４１Ｄ 変換処理部
４２ 記憶部

Claims (6)

1. 通信端末から送信され且つ前記通信端末のアクセス先であるサーバ装置へ向けた、信号を受信する受信部と、
   前記受信された信号を、前記サーバ装置との通信に要求されるセキュリティを満たす所望の信号形態へ変換する変換部と、
   前記変換された信号を前記サーバ装置へ送信する送信部と、
   を具備し、
   前記変換部は、前記受信された信号に施されている暗号化方式のバージョンが旧バージョンである場合、前記暗号化方式の新バーションによって前記受信された信号を暗号化することにより、前記受信された信号を前記所望の信号形態へ変換する、
   中継装置。
2. 前記通信端末の端末識別子と前記暗号化方式のバージョンに応じた処理内容に関する情報とが対応づけられて保持されたテーブルを記憶する記憶部をさらに具備し、
   前記変換部は、前記受信された信号に含まれる前記通信端末の端末識別子と前記受信された信号に施されている前記暗号化方式のバージョンとの組み合わせに対して前記テーブルにおいて対応づけられている処理内容を特定し、前記特定された処理内容に基づいて、前記受信された信号を前記所望の信号形態へ変換する、
   請求項１記載の中継装置。
3. 前記記憶部は、前記サーバ装置の前記暗号化方式の新バージョンに対応する復号鍵及び暗号鍵を記憶し、
   前記変換部は、前記受信された信号を前記復号鍵を用いて復号し、前記復号された後の信号を前記暗号鍵を用いて暗号化することにより、前記受信された信号を前記所望の信号形態へ変換する、
   請求項２記載の中継装置。
4. 前記変換部は、前記受信された信号に暗号化が施されていない場合、前記暗号化方式の新バーションによって前記受信された信号を暗号化することにより、前記受信された信号を前記所望の信号形態へ変換する、
   請求項１記載の中継装置。
5. 通信端末から送信され且つ前記通信端末のアクセス先であるサーバ装置へ向けた、信号を受信すること、
   前記受信された信号を、前記サーバ装置との通信に要求されるセキュリティを満たす所望の信号形態へ変換すること、及び
   前記変換された信号を前記サーバ装置へ送信すること、
   を含み、
   前記変換することは、前記受信された信号に施されている暗号化方式のバージョンが旧バージョンである場合、前記暗号化方式の新バーションによって前記受信された信号を暗号化することにより、前記受信された信号を前記所望の信号形態へ変換することを含む、
   中継方法。
6. 通信端末から送信され且つ前記通信端末のアクセス先であるサーバ装置へ向けた、信号を受信すること、
   前記受信された信号を、前記サーバ装置との通信に要求されるセキュリティを満たす所望の信号形態へ変換すること、及び
   前記変換された信号を前記サーバ装置へ送信すること、
   を含む処理を、中継装置に実行させ、
   前記変換することは、前記受信された信号に施されている暗号化方式のバージョンが旧バージョンである場合、前記暗号化方式の新バーションによって前記受信された信号を暗号化することにより、前記受信された信号を前記所望の信号形態へ変換することを含む、
   制御プログラム。

Images