JPH04168826A - トラフィックフローセキュリティ維持装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野〕 本発明はデータフローの隠ぺいに利用する。本発明はデ
ータフローを隠ぺいしダミーパケットと実際のデータパ
ケットとの識別が第三者により簡単に行われることを防
止するトラフィックフローセキュリティ維持装置に関す
る。

ここでデータフローの隠ぺいとは、データそのものを隠
ぺいすることではなく、データトラフィックの量を隠ぺ
いすることを意味する。例えば、首相官邸と防衛庁との
間ではデータの中身のほかにデータのトラフィック量そ
のものが第三者に知られてはならない情報であり、ダミ
ーパケットはこのような目的を達成するためにネットワ
ーク上に流されるものである。

〔概要〕

本発明は、逆暗号化装置と暗号化装置との間に配置され
、データフローの隠ぺいを行うトラフィックフローセキ
ュリティ維持装置において、データトラフィック量があ
らかじめ定められた量より少ないときには同一のパケッ
ト種別識別子を持つダミーパケットを取り出して送出し
、あらかじめ定められた量以上であればデータパケット
を取り出して送出することにより、 パケットが暗号化されていない場合、あるいは暗号化パ
ケットが解読されているような場合に、データフローの
隠ぺいが行われている事実の識別、およびダミーパケッ
トとデータパケットとの識別が第三者によって行われな
いようにするものである。

〔従来の技術〕

従来、この種の装置は第４図に示すように、通信回線５
からのパケットを逆暗号化装置４を介して受信し、暗号
化装置２を介して通信回線１にパケットを送信するパケ
ット送受信手段２１と、受信したデータパケットをダミ
ーパケットと区別して蓄積するデータパケット蓄積手段
８と、ダミーパケットを蓄積するダミーパケット記憶手
段２２と、パケットの種別ごとにトラフィックを算定す
る種別トラフィック算定手段６とを備え、トラフィック
量のみをみてダミーパケットを通信回線１上に送出し、
データフローの隠ぺいを行っていた。

〔発明が解決しようとする課題〕

上述した従来の方式では、パケットが暗号化されていな
い場合や暗号化パケットが解読されていた場合に、デー
タフローの隠ぺいが行われている事実およびダミーパケ
ットと実際のデータパケットの識別が第三者により簡単
に行われてしまう恐れがあった。

本発明はこのような問題を解決するもので、データフロ
ーの隠ぺいが行われている事実およびダミーパケットと
実際のデータパケットの識別が第三者に簡単になされる
ことを防止する装置を提供することを目的とする。

〔課題を解決するための手段〕

本発明は、通信回線からパケットを受信する受信手段と
、この受信手段で受信したデータパケットをダミーパケ
ットと区別して蓄積するデータパケット蓄積手段と、ダ
ミーパケットを蓄積するダミーパケット記憶手段と、通
信回線に、前記データパケット蓄積手段から取り出した
データパケットおよび前記ダミーパケット記憶手段から
取り出したダミーパケットを送信する送信手段と、パケ
ットの種別ごとにトラフィックを算定する種別トラフィ
ック算定手段とを備えたトラフィックフローセキュリテ
ィ維持装置において、前記ダミーパケット記憶手段は複
数の性質の異なるダミーパケットを個別に格納するよう
に構成され、このダミーパケット記憶手段に選択的にダ
ミーパケットを記憶させる種別ダミーパケット選択記憶
手段と、このダミーパケット選択記憶手段から選択的に
ダミーパケットを取り出して前記送信手段に与えるパケ
ット選択取り出し手段と、前記種別トラフィック算定手
段に前記性質の異なるダミーパケットの情報を与えるパ
ケット種別識別子取り出し手段とを備えたことを特徴と
する。

〔作用〕

パケットに含まれたパケット種別識別子により選択的に
パケットを取り比し、取り出されたパケット識別子から
パケット種別ごとの通信トラフィック量を算定する。算
定されたパケット種別のデータトラフィックがあらかじ
め定められた量より少ない場合には記憶されているダミ
ーパケットから同一のパケット種別識別子を持つダミー
パケットを取り出し、あらかじめ定島られたトラフィッ
り量以上であれば蓄積されているパケットからデータパ
ケットを取り出し暗号化装置に送出する。

またパケット種別識別子を取り出したパケットが記憶し
ておくためのものであればそのパケットを記憶する。

このように、パケット種別に応じたダミーパケットによ
りデータ種別ごとのデータフローの隠ぺいを行うことが
できるために、パケットが暗号化されていない場合や暗
号化パケットが解読されていた場合に、第三者にデータ
フローの隠ぺいが行われていることが知られることを防
止し、ダミーパケットと実際のデータパケットが識別さ
れることを困難にすることができる。

〔実施例〕

次に、本発明実施例を図面に基づいて説明する。

第１図は本発明実施例の全体構成を示すブロック図であ
る。

本発明実施例は、通信回線５からパケットを逆暗号化装
置４を経て受信する受信手段１２と、この受信手段１２
で受信したデータパケットをダミーパケットと区別して
蓄積するデータパケット蓄積手段８と、複数の性質の異
なるダミーパケットを個別に格納する種別ダミーパケッ
ト記憶手段１０と、通信回線１に暗号化装置２を経てデ
ータパケット蓄積手段８から取り出したデータパケット
および種別ダミーパケット記憶手段１０から取り出した
ダミーパケットを送信する送信手段１３と、パケットの
種別ごとにトラフィックを算定する種別トラフィック算
定手段６とを備え、さらに、種別ダミーパケット記憶手
段１０に選択的にダミーパケットを配憶させる種別ダミ
ーパケット選択記憶手段１１と、この種別ダミーパケッ
ト選択記憶手段１１から選択的にダミーパケットを取り
出して送信手段１３に与えるパケット選択取り出し手段
９と、種別トラフィック算定手段６に前記性質の異なる
ダミーパケットの情報を与えるパケット種別識別子取り
出し手段７とを備える。

次に、このように構成された本発明実施例の動作につい
て説明する。

通信回線５を介して伝送されてきた暗号化されたデータ
パケットは逆暗号化装置４で平文のパケットに復号され
る。復号されたデータパケットはトラフィックフローセ
キュリティ維持装置３のデータパケット蓄積手段８に蓄
積される。蓄積されたパケットのうち最も古いパケット
のパケット識別子がパケット種別識別子取り出し手段７
により取り出される。

種別ダミーパケット選択記憶手段１１は、パケット識別
子が取り出されたパケットが種別ダミーパケット言己憶
手段１０に記憶するためのパケットかどうかを判定し、
種別ダミーパケット記憶手段１０に記憶するためのパケ
ットであれば、種別ダミーパケット記憶手段１０に記憶
する。

記憶するパケットでなければ、種別トラフィック算定手
段６がパケット識別子で決まるパケット識別ごとにトラ
フィック量を求め、トラフィック量があらかじめ決めら
れた値以下になれば、パケット選択取り出し手段９が種
別ダミーパケット記憶手段１０に記憶されているパケッ
ト種別のダミーパケットを取り出し、暗号化装置２に送
出する。

ダミーパケットの送出によりトラフィック量が増加しあ
らかじめ決められた値以上になれば、パケット選択取り
出し手段９は、パケット識別子が取り出されたパケット
をデータパケット蓄積手段８から取り出し、暗号化装置
２に送出する。暗号化装置２はトラフィックフローセキ
ュリティ維持装置３から送出されたデータパケットを暗
号化し通信回線１に送出する。

網内をＡＳＢ、Ｃの３種類のパケットが伝送されている
例について説明する。第２図は網内の一つのトラフィッ
クフローセキュリティ維持装置３の種別ダミーパケット
記憶手段１０に記憶されているダミーパケットの例を示
す。また、表はダミーパケットを送出する基準となるパ
ケットごとのトラフィック量を示したものである。通信
回線５上を伝送されてきたパケットを逆暗号化装置４が
解読したところ、第３図（ａ）に示すパケットであった
とする。

このときパケット種別がＣであり種別ダミーパケット記
憶手段１０への書き込みを指定する情報が／、ｓｌｌｌ
ｌケラト格納されているので、種別ダミーパケット記憶
手段１０に書き込まれ、その内容は第２図ら）に示すよ
うになる。

次に、通信回線５上を伝送されてきたパケットを逆暗号
化装置４が解読したところ第３図ら）に示すようなパケ
ットが得られたとすれば、パケット種別がＢであり、パ
ケット中に種別ダミーパケットへの書き込み指定情報が
格納されていないのでパケット受信時のトラフィック量
が表に示すＢのトラフィック量４パケット／秒より小さ
ければ、実際のトラフィック量が４パケット／秒より大
きくなるまで第２図（ａ）に示すパケットのうちパケッ
ト種別がＢであるものが暗号化装置２で暗号化されて通
信回線１に送出される。

実際のパケットはトラフィック量が４パケット／秒より
大きくなった時点で暗号化されて連続的に通信回線１上
に送出される。また、パケット受信時のトラフィック量
が４パケット／秒より大きければパケットはそのまま暗
号化されて通信回線１上に送出される。

〔発明の効果〕

以上説明したように本発明によれば、パケット種別に応
じたダミーパケットによりデータ種別ごとのデータフロ
ーの隠ぺいを行うことができるため、パケットが暗号化
されていない場合や暗号化パケットが解読されていた場
合に、第三者にデータフローの隠ぺいが行われている事
実の発見およびダミーパケットと実際のデータパケット
との識別を困難にすることができる効果がある。

【図面の簡単な説明】 第１図は本発明実施例の全体構成を示すブロック図。 第２図（ａ）、ら）は本発明実施例の種別ダミーパケッ
ト記憶手段に記憶されるダミーパケットの例を示す図。 第３図（ａ）、わ）は本発明実施例の通信回線上を伝送
されてくるデータパケットの例を示す図。 第４図は従来例の構成を示すブロック図。 １．５・・・通信回線、２・・・暗号化装置、３．３′
・・・トラフィックフローセキュリティ維持装置、４・
・・逆暗号化装置、６・・・種別トラフィック算定手段
、７・・・パケット種別識別子取り出し手段、８・・・
データパケット蓄積手段、９・・・パケット選択取り出
し手段、１０・・・種別ダミーパケット記憶手段、１１
・・・種別ダミーパケット選択記憶手段、１２・・・受
信手段、１３・・・送信手段、２１・・・パケット送受
信手段、２２・・・ダミーパケット記憶手段。

Claims (1)

1. 【特許請求の範囲】 １、通信回線からパケットを受信する受信手段と、この
   受信手段で受信したデータパケットをダミーパケットと
   区別して蓄積するデータパケット蓄積手段と、 ダミーパケットを蓄積するダミーパケット記憶手段と、 通信回線に、前記データパケット蓄積手段から取り出し
   たデータパケットおよび前記ダミーパケット記憶手段か
   ら取り出したダミーパケットを送信する送信手段と、 パケットの種別ごとにトラフィックを算定する種別トラ
   フィック算定手段と を備えたトラフィックフローセキュリティ維持装置にお
   いて、 前記ダミーパケット記憶手段は複数の性質の異なるダミ
   ーパケットを個別に格納するように構成され、 このダミーパケット記憶手段に選択的にダミーパケット
   を記憶させる種別ダミーパケット選択記憶手段と、 このダミーパケット選択記憶手段から選択的にダミーパ
   ケットを取り出して前記送信手段に与えるパケット選択
   取り出し手段と、 前記種別トラフィック算定手段に前記性質の異なるダミ
   ーパケットの情報を与えるパケット種別識別子取り出し
   手段と を備えたことを特徴とするトラフィックフローセキュリ
   ティ維持装置。