JPH07250058A

JPH07250058A - 安全保護装置及びデータ通信ネットワーク

Info

Publication number: JPH07250058A
Application number: JP6296236A
Authority: JP
Inventors: Paul Gover; ポール・ガヴアー; Mary Visser; メアリー・ヴィサー
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 1994-03-03
Filing date: 1994-11-30
Publication date: 1995-09-26
Also published as: EP0680187A2; GB2287619A; GB9404112D0

Abstract

(57)【要約】【目的】データ通信ネットワーク用の安全保護装置を
提供する。【構成】ウォーデンと呼ぶ安全保護装置はあるアソー
シエーション中に位置し、そのアソーシエーションの両
端で２つのＭＨＳ構成要素に接続され、安全でないＭＨ
Ｓ構成要素を保護しており、一方、安全な構成要素は、
安全でないが他のウォーデンによって保護されていても
よく、また安全保護機能を直接に実施する構成要素であ
ってもよい。ウォーデンは、それが他方の構成要素であ
るかのように、一方の構成要素と共に動作しそれに反応
する。このことは、ＭＨＳ構成要素が、ネットワーク内
に非Ｘ．４００構成要素があるのを通知しないことを意
味する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、データ通信ネットワー
クにおける安全保護に関する。

【０００２】

【従来の技術】データ通信ネットワークは、様々な位置
に分散され伝送リンクによって相互接続された多数のネ
ットワーク交換機またはノードからなる。これらのリン
クは、たとえば、ワイヤ、ケーブル、無線、衛星、また
は光ファイバ設備である。ネットワークは、交換機が処
理できる限界まで、多数のユーザを収容することができ
る。したがって、通信を望むユーザは、適切な経路指定
経路に沿って、ネットワーク・ノードによって経路指定
されたあるいは切り換えられる個々のトラフィックをも
たなければならない。

【０００３】多くの地理的に分散したネットワークは、
数百個さらに数千個ものノードからなる極めて大きなも
のであり、他のネットワークには、１つのローカル・エ
リア・ネットワークのように極めて小さなものもある。
したがって、データ・トラフィックがしばしば、いくつ
かのネットワークを横断しなければならないことがあ
る。各ネットワークは定義済みの通信プロトコルを使っ
て、そのユーザがネットワークを介して通信できるよう
にする標準的な方法を提供する。そのために、ネットワ
ークの各ノードが、そのようなデータ交換用の通信プロ
トコルを支援できる通信システムを備える必要がある。
しかし、異なるネットワークで使用される非互換性のネ
ットワーク制御プロトコルを支援する通信システムの数
が依然として多く、その結果、異なるネットワークが、
メッセージ・フォーマットが異なるだけでなくビット・
レートも異なる可能性のある異種のネットワーク間で必
要なプロトコル変換とインターフェースを提供する、い
わゆるゲートウェイを通じて相互接続される。

【０００４】その結果、通信規格を確立する必要が極め
て重要になった。異なるネットワーク制御プロトコルの
間の相互操作性の問題に対処するため、いくつかの団体
が規格の開発に貢献した。そのうち、国際標準化機構
（ＩＳＯ）および国際電信電話諮問委員会（ＣＣＩＴ
Ｔ）の規格は、開放型システム間相互接続（ＯＳＩ）モ
デルと呼ばれる共通のネットワーク・アーキテクチャに
発展した。もう１つの事実上の規格は、ＩＢＭシステム
・ネットワーク体系（ＳＮＡ）である。

【０００５】今日、電子メールがますます普及できたこ
とにより、一部の分野で電子的メッセージ伝送用のため
の安全保護手順が必要になってきた。たとえば、そのよ
うな通信では、許可されたユーザを装う無許可の部外者
がメール項目をインターセプトして読み取りまたは修正
できる危険を減らすため、送信者が送信された文書のソ
ースおよび元の内容を受信者に確認したいことがある。

【０００６】あいにく、既存のほとんどの標準プロトコ
ルはソフトウェアに必要な安全保護要素を任意選択とし
て定義しており、ネットワークのノードは、規格を十分
に守るように実施されてこなかった。固有の標準ネット
ワーク・プロトコルがないことに加えて、このために、
安全な通信ネットワークを提供する際の困難が増大す
る。実際に、多くの通信システムは、送信者の確認やメ
ッセージの内容を暗号化／解読する可能性など完全な１
組の安全保護機能をユーザに提供することができない。
さらに、安全なネットワークのユーザは、安全保護能力
を使って安全でないネットワークと通信することができ
ない。

【０００７】

【発明が解決しようとする課題】本発明は、安全保護機
能が必ずしも必須ではない所定の規格に従ってメッセー
ジを交換するデータ通信ネットワークにおいて、安全保
護を改善する問題を対象とする。

【０００８】この問題の１つの解決策は、サービスの安
全保護要素を提供するために必要な機能を実行するノー
ドへのユーザ・アクセスを制限することである。これ
は、ユーザが、より少ない組のネットワーク・ユーザと
しかメッセージを交換することができず、そのユーザの
電子メール・システムの有用性が低下することを意味す
る。

【０００９】もう１つの解決策は、ノード自体のソフト
ウェアを、サービスの安全保護要素を提供するのに必要
な機能を実行するように修正することである。しかしな
がら、この修正は複雑であり、そのようなソフトウェア
の多くの構成要素の変更を必要とすることがある。その
修正をソフトウェアの開発者が行わない場合は、他の当
事者がそれを行わなければならない。その結果、ソフト
ウェアが改良または変更されたときに修正を維持する問
題が生じ、ソフトウェアの動作における欠陥やエラーの
真の原因に関する論争が生じることがある。さらに、安
全なネットワークを構築するには、すべてのノードがサ
ービスの安全保護要素を支援する必要があるが、規格の
勧告は、サービス要素を提供するのに必要なすべてのプ
ロセスを詳細に定義していないことがしばしばである。
すなわち、詳細は勧告の範囲外でユーザによって選択さ
れる安全保護方針によって決定しなければならない。こ
のことは、いくつかのノードが他と同じ安全保護要素を
使用し、その結果、競合または不正確でしたがって安全
でない動作が生じる可能性があることを意味する。

【００１０】さらに、広域のネットワークを物理的に安
全にすることは困難である。実際に、装置のある部分を
物理的に保護することなしに、データ・システムを安全
にすることはできないかもしれない。具体的には、デー
タ通信を実行するには通常、ネットワークの最初または
最後のノードを構成し、かつしばしば安全保護要素をデ
ータに提供するのに必要な機能を含む、パーソナル・コ
ンピュータまたはワークステーションへのアクセスが通
常は必要である。したがって、一方では、装置自体を不
法な侵入から保護しなければならないが、他方では、ユ
ーザは、それを使用するために比較的容易なアクセスを
必要とするので、物理保護が強すぎてはならない。

【００１１】

【課題を解決するための手段】本発明によれば、単一の
規格を支援するデータ通信ネットワークにおいて、第１
のノードと第２のノードとの間の接続に適合された安全
保護装置であって、第１のノードと第２のノードとの間
で渡されるメッセージ中の制御データに応答して、第１
のノードのために第１および第２のノードのユーザの間
で同意された安全保護方針によって定義される安全保護
機能を実行し、その結果、装置と第１のノードの組み合
わせが、第２のノードには、その中で安全保護方針に従
って安全保護機能が実施されるネットワークのノードに
見えるようになる、安全保護装置が提供される。

【００１２】安全保護装置はいくつかの点でゲートウェ
イと類似している。しかし、ゲートウェイとは異なり、
この装置は同じネットワーク内の構成要素間に接続さ
れ、その結果、ある通信規格を別の通信規格に変換する
機能を必ずしも備える必要はない。この安全保護装置
は、サービスの安全保護要素を提供し、保護されたノー
ドを管理するソフトウェアに対する変更なしに、ノード
に、サービスの他の非安全保護要素を実行させる。詳細
には、安全保護要素は、ネットワークの２ユーザ、つま
り伝送データの発信元と受信先との双方によって合意さ
れた規約である安全保護方針に従って実施される。その
ような安全保護方針は、伝送中のデータを保護するため
に、両方のユーザが使用する１組の規則の選択を定義す
る。たとえば、ユーザは、相互暗号化アルゴリズムを選
択してもよく、また伝送データに付加されるデジタル署
名を作成するための何らかの規則を定義してもよい。

【００１３】安全保護装置は簡単にロックして保護し、
ノード自体からは分離したままにして、ネットワークの
物理的安全保護を改善することができるので、この構成
によって、ネットワークにおけるデータ伝送の安全保護
が改善される。

【００１４】この安全保護装置はユーザからの入力を必
要とするより強力で有用な安全保護方針を許容しないの
で、いくつかの困難が生じる。

【００１５】本発明のもう１つの実施例では、安全保護
装置は、受信メッセージを記憶し転送することに応答す
る手段を含む。

【００１６】この実施例では、安全保護装置が蓄積転送
ノードになることが可能であり、したがって、ユーザが
質問に答えることを必要とする安全保護方針に適合する
ことが可能である。このため、ネットワークの安全保護
が改善され、ユーザの答えを待つために安全保護装置の
通信処理を停止する必要がなくなる。

【００１７】一方、メッセージの送信者または受信者が
必要とする安全保護のレベルに応じて１組の安全保護要
素を提供する際に他の困難が生じる。

【００１８】本発明の１構成では、安全保護装置は、規
格で定義された安全保護機能の選択を含む安全保護方針
に従ってメッセージがその中で交換されるネットワーク
で使用される。

【００１９】このことは、送信者と受信者が、必要な安
全保護レベルの点で同じタイプの安全保護サービスを使
用し、ネットワーク全体の安全保護の低下を引き起こ
す、送信者と受信者間の交換情報における安全保護の非
互換性が避けられることを意味する。

【００２０】メッセージを交換するために送信者と受信
者によって使用されるネットワークのプロトコルが必要
とする異なる安全保護要件に従って、異なる組の安全保
護サービスを提供する際に他の困難が生じる。

【００２１】本発明の好ましい実施例では、安全保護装
置は、第１のノードと第２のノードの間で渡されるメッ
セージ中の制御データに応答して安全保護機能を実施す
るプログラマブル手段を含む。さらに、そのようなプロ
グラマブル手段は、規格の安全保護要素が記憶された制
御ファイルを含み、その規格に従って安全保護機能を実
施することができる。この安全保護装置はまた、ユーザ
が制御ファイルを編集して安全保護要素を修正できるよ
うにする手段を含み、異なる規格に従って安全保護機能
を実施することができる。

【００２２】このことは、異なるタイプのネットワーク
で異なる１組の安全保護要素を実施するために、制御フ
ァイルを単に修正するだけで同じ安全保護装置を使用す
ることができることを意味する。

【００２３】データ伝送の安全保護の問題は、後述の、
Ｘ．４００勧告を定義するＯＳＩモデルで記載されてい
るような、完全に決まっていない規格に従って動作する
ネットワーク・アーキテクチャにおいて一層明らかであ
る。この場合は、安全保護機能に関係するサービスの
Ｘ．４００の要素は、たいていが任意選択であり、規格
に適合するネットワークの多くは、安全保護機能を提供
するために必要な処理を実行しないことを選択する。

【００２４】Ｘ．４００ネットワークに伴う具体的な問
題を解決するために、本発明の好ましい形態において
は、この安全保護装置が、Ｘ．４００規格に従って定義
された安全保護機能の選択を含む安全保護方針に従って
メッセージがその中で交換されるネットワークにおいて
使用される。

【００２５】データ通信ネットワークは、ネットワーク
の第１のノードと第２のノードの間に接続された安全保
護装置を含み、前記第１のノードは、ユーザをネットワ
ークの他の部分から分離するノードであることが好まし
い。これにより、安全でないネットワークの送信者また
は受信者を保護することが可能になり、安全でないネッ
トワーク自体のあらゆる単一ノードを保護する必要がな
くなる。

【００２６】本発明の特に好ましい実施例では、データ
通信ネットワークは、第１のノードと第２のノードとの
間に接続された安全保護装置を含み、前記第１のノード
がゲートウェイである。これにより、ゲートウェイを通
じて安全でないネットワークと通信する異なる安全なネ
ットワークを丸ごと保護することが可能になる。実際
に、保護されていないゲートウェイは、安全なネットワ
ークに無許可の侵入を行うための良い経路となり得る。

【００２７】

【実施例】安全保護の侵害によって、しばしばデータ通
信ネットワークの存続が脅かされることがある。したが
って、データ・インターセプト、データ削除、メッセー
ジ順序の変更、メッセージの代用、無許可の接続などの
データ損失に対する保護への関心が次第に高まってきて
いる。一般に、ネットワーク全体にわたる安全保護の管
理構造は、以下のための適切な機構を備えなければなら
ない。

【００２８】−ユーザ識別および確認：ユーザ（または
サーバ）の要求識別を認識し検査する。 −資源アクセス制御：資源の利用を、許可された適切な
ものだけに許可する。 −機密性：安全な通信および暗号化用のキーの管理を含
む。 −データ保全性：無許可の変更からのデータの保存。 −安全保護管理

【００２９】現在、多数のネットワークが世界中で動作
しており、そのほとんどは、使用する伝送媒体、使用さ
れる命名アルゴリズムおよび経路指定アルゴリズム、使
用される伝送プロトコルなどの技術設計が異なる。本発
明の主な目的は、安全でないネットワークにおける安全
保護を改善することであり、したがって、このために、
本発明の実施例は、単に標準的なネットワーク・アーキ
テクチャで実施されるものとして記述し、ここではＯＳ
Ｉモデルを選ぶ。

【００３０】ここで、図１を参照すると、ＯＳＩモデル
では、処理ノードと接続線のネットワークからなるＸ．
４００メッセージ通信システム１００を定義する。ノー
ドには、ユーザ・エージェント１２０（ＵＡ）、メッセ
ージ記憶１４０（ＭＳ）およびメッセージ転送エージェ
ント１１０（ＭＴＡ）の３つのタイプがある。したがっ
て、メッセージ通信システム１００は、ネットワークを
介してメッセージを転送する、接続された１組のＭＴＡ
１１０からなる。メッセージ通信システムのユーザ１３
０は、ＵＡ１２０を操作する。１群のＵＡ１２０を１つ
のＭＴＡ１１０に接続することができる。これらの接続
は、アソーシエーションとして知られる。ＵＡ１２０に
おいてユーザ１３０はメッセージを作成し、接続された
ＭＴＡ１１０とのアソーシエーションを使って、そのメ
ッセージを提示するようＵＡ１２０に指令する。ＭＴＡ
１１０は、そのメッセージが完了するまでメッセージの
一部分を記憶し、その後受信確認をＵＡ１２０に戻す。
ＭＴＡ１１０は、少なくとも１つ、通常は複数の他のＭ
ＴＡ１１０に接続される。ＭＴＡ１１０は、どのアソー
シエーションがメッセージをその宛先に送る責任がある
かを決定し、それを使ってメッセージを他のＭＴＡ１１
０に送る（転送する）。受信側ＭＴＡ１１０は、メッセ
ージを記憶し、それが完了すると確認を戻す。この処理
は、蓄積転送動作として知られる。メッセージが受信側
ＵＡ１２０に接続されたＭＴＡ１１０に到着するまで、
これが繰り返される。次に、ＭＴＡ１１０は、このアソ
ーシエーションを使ってメッセージをＵＡ１２０に配布
する。ＵＡ１２０がＭＴＡ１１０に規則正しく接続され
ていない場合、システム制御装置は、メッセージ記憶１
４０（ＭＳ）をＭＴＡ１１０に追加するように決定する
ことができる。これはＵＡ１２０のために働き、ＭＴＡ
１１０は、メッセージをＭＳ１４０に配布してそこに記
憶する。後でＵＡ１２０がＭＳ１４０に接続されたと
き、ＭＳ１４０はメッセージをＵＡに転送する。ＭＴＡ
１１０とＵＡ１２０は、ＣＣＩＴＴ勧告Ｘ．４００〜
Ｘ．４２０、ならびにメッセージ通信システムのユーザ
１３０が利用できるサービスや、それらの要素が実行す
る機能や、サービスに伝える必要のあるデータ構造およ
び処理を定義するサービスの要素を指定する他の勧告で
指定されたプロトコルに従って動作する。これらの勧告
ではこれらのサービスの要素を、メッセージ通信システ
ムに対する任意の要件か必須の要件かに分類する。

【００３１】図２は、異なる通信プロトコルを使ってネ
ットワーク１７０に接続されたＸ．４００メッセージ通
信システム１００を示す。ＩＢＭオープン・ネットワー
ク配布サービス１５０（ＯＮＤＳ）ゲートウェイは、
Ｘ．４００ネットワークにおいて、自社独自の電子メー
ル・システムへの接続サービスを提供する専用ＭＴＡと
して動作する。ＯＮＤＳを有する分散処理オフィス支援
プログラム（ＤＩＳＯＳＳ）またはプロフェッショナル
・オフィス・システム（ＰＲＯＦＳ）接続１６０は、Ｄ
ＩＳＯＳＳおよびＰＲＯＦＳネットワーク・システム１
７０のユーザ１３１が、Ｘ．４００勧告に基づく公用お
よび私用電子メール設備のユーザ１３０とメッセージを
交換できるようにする、アプリケーション・レベルのゲ
ートウェイを提供する。

【００３２】Ｘ．４００は多数のサービスを定義し、そ
れらのサービスを、すべてのＸ．４００ソフトウェアが
提供しなければならない基本サービスと、任意選択サー
ビスとの２つのクラスに分類する。国家政府などのユー
ザ・グループは、規格適合ソフトウェアが任意選択クラ
スのうちのあるサービスを提供しなければならないこと
を指定するプロファイルを定義した。そのような政府の
プロファイルは、政府ＯＳＩプロファイルからＧＯＳＩ
Ｐと呼ばれ、たとえば、ＵＫ（英国）ＧＯＳＩＰやＵＳ
（米国）ＧＯＳＩＰがある。通常、入手可能なソフトウ
ェアは、ある１組のプロファイルに適合するように選ば
れる。このことは、ソフトウェアが、基本クラスからの
サービスを提供し任意選択クラスからの選択を行わなけ
ればならないことを意味するが、安全保護に対する脅威
に対抗するためのサービスを含む入手可能なソフトウェ
アのプロファイルはない。ＮＡＴＯ規格協定ＳＴＡＮＡ
Ｇ４４０６は、これらのサービスを含む軍事プロファイ
ルを定義しているが、現在、これに適合する入手可能ソ
フトウェアはほとんどない。このことは、既存のソフト
ウェアを使って安全なメッセージ通信システムを簡単に
構築することができないことを意味する。したがって、
新しいソフトウェアが書かれるのを待つか、あるいは既
存の入手可能なソフトウェアを修正する必要がある。

【００３３】Ｘ．４００は、いくつかの安全保護に対す
る脅威、およびそれに対抗するためのサービスを定義す
る。また、そのサービスを提供するいくつかのメッセー
ジ通信システムの機能を定義する。Ｘ．４００により、
ユーザが、提出についてクリティカル、転送についてク
リティカル、配布についてクリティカル、あるいはこれ
らの他の組合せなど、サービスの要素に関連するデータ
をマークできるようになる。ノードが、それに必要な機
能を実施しないサービスの要素を受け取り、その要素が
進行中の動作についてクリティカルである場合、ノード
はその動作を拒否しなければならない。しかし、サービ
スを提供する方法が複数あることもある。３つの安全保
護プロファイルＳ０、Ｓ１、Ｓ２が、様々なレベルの安
全保護機能を定義する。定義される脅威とサービスに
は、以下のものがある。偽装：他のユーザのふりをすること、メールを送受する
ふりをすること、またはメッセージ通信システムの構成
要素であるふりをすること。提供されるサービスには、
発信元の確認（メール中の署名を含む）、提出または配
布の証明（提出または配布の署名付きレコードを作成す
る）、安全アクセス管理（構成要素間で最初の接続を行
う際に信任状を交換する）がある。メッセージ順序付け：メッセージを再生、遅延、または
再配列すること。提供されるサービスには、メッセージ
順序の保全性（署名済みメッセージの順序番号を含む）
がある。情報の修正：メッセージを修正または破壊すること、ア
ドレス指定および他の管理情報を変更すること。提供さ
れるサービスには、内容の保全性（メール用の署名付き
チェックサムを生成すること）がある。否認：発信元、提出または配布を否定すること。提供さ
れるサービスには、発信元、提出または配布の非否認
（発信元、提出または配布の署名付きレコードを作成す
ること）がある。情報の漏れ：機密性の喪失。提供されるサービスには、
内容の機密性（暗号化）がある。安全保護ラベル付け：提供されるサービスには、安全ア
クセス管理のメッセージ安全保護ラベル付け（許可され
た安全保護ラベルのコンテキストを設定すること）があ
る。

【００３４】プロファイル（ＧＯＳＩＰなど）は、ソフ
トウェアがどのサービスをユーザに提供しなければなら
ないかを選択するが、ユーザがどれを選択するかは制御
しない。具体的には、Ｘ．４００は、送信者と受信者が
共通の安全保護方針を共用することを期待する。これ
は、送信者と受信者が各サービスを選択する状況と、そ
のサービスを提供するためにメッセージ通信システムの
どの安全保護機能を使用するかを定義する。安全保護方
針は、電子メールにおける２つの参加プログラム間で合
意しなければならない。Ｘ．４００は、安全保護方針を
登録しそれに固有の識別子（名前）を割り当てることが
できるようにすることによって、これを簡略化する。送
信者はメッセージ中に安全保護方針の識別子を引用し、
その後、受信側は、この識別子を使って、送信者がどの
機能を使用したか、またその使用方法を理解することが
できる。たとえば、この方針は、送信者がその送信前に
メッセージを暗号化したことを示し、またそのメッセー
ジを解読するために受信側がどのようにキーを取り出す
かを示すこともできる。

【００３５】本明細書においてウォーデン（warden）と
呼ぶ安全保護装置は、メッセージ通信システムにおける
新しい構成要素である。これは、他のすべての構成要素
から独立している。その目的は、Ｘ．４００すべての安
全保護機能を実行し、一方、Ｘ．４００の他の機能は実
行しないことである。これにより、Ｘ．４００構成要素
は安全保護機能を提供しないが他の電子メール機能をす
べて提供し、一方、ウォーデンはすべての安全保護機能
を提供し電子メール機能をなにも提供しないように、メ
ッセージ通信システムを構成することができる。これに
は、以下の２つの利点がある。・安全保護機能を提供しないソフトウェアを使って、メ
ッセージ通信システムを構築することができる。このた
め、特別に書かれあるいは修正されたソフトウェアの使
用が回避できる。・安全保護機能が電子メール機能から分離される。

【００３６】表１に示すように、ＯＳＩは、通信ネット
ワークを作るために、ソフトウェアとハードウェアの７
つの層を定義する。

【００３７】

【表１】７：アプリケーション層Ｘ．４００６：プレゼンテーション層データのコーディング５：セッション層長期端末間通信経路４：トランスポート層端末間エラー検出および修
正３：ネットワーク層端末間経路指定２：データ・リンク層２地点間１：物理層

【００３８】物理層：ケーブル、プラグおよびソケッ
ト、ならびに信号伝送の電圧および周波数など。データ・リンク層：ネットワーク構成要素間の２地点間
リンク、および使用される信号伝送プロトコル。ネットワーク層：２地点間リンクを使った、同じリンク
の両端ではない２つのネットワーク構成要素間での端末
間リンクの構築、および使用される信号伝送プロトコ
ル。トランスポート層：ネットワークにおいて伝送エラーを
検出し、修正するために使用される端末間信号伝送。セッション層：ネットワークを介して、長期端末間通信
経路を開始、制御、操作および終了するプロトコル。た
とえば、ネットワークがいくつかの断片として転送しな
ければならないほど大きなデータ転送の始め、中間、終
りを信号伝送するための規則。プレゼンテーション層：伝送前にデータを符号化し、受
信時にそれを復号し、それによって送信者と受信者が異
なるコンピュータ・システムを私用している場合でもそ
の意味が維持されるようにする標準手段。たとえば、数
字と文字列を符号化する規則。アプリケーション層：標準のアプリケーション・サービ
スを提供するために符号化データを構築し解釈するため
のデータ構造。たとえば、電子メール・メッセージ中で
使用される文字列の定義。

【００３９】Ｘ．４００は、層７に関して電子メールを
定義する。下位の層は、他のソフトウェアのＯＳＩスタ
ックの一部として存在すると仮定する。Ｘ．４００アプ
リケーションは、下位の層を直接使用する必要はなく、
Ｘ．４００の層７定義に必要なデータ構造を構築し、符
号化データを作成するためにそれを層６に渡し、次い
で、セッション中そのデータを受信側に送るために層５
に渡す。この構造により、各層でソフトウェアの選択が
可能になる。具体的には、ユーザはしばしば、層４およ
びそれより上の層を変化させずに（つまり、ネットワー
クを変化させずに）、層１、２および３（つまり、使用
される転送機構）を変更することができる。たとえば、
セッション層がＵＮＩＸＸ／Ｏｐｅｎ転送インターフ
ェース（ＸＴＩ）を使用する場合は、これにより、ネッ
トワークが、ＵＮＩＸＴＣＰ／ＩＰ接続、ＯＳＩ
Ｘ．２５接続、またはＩＢＭＳＮＡ接続を介して動作
できるようになる。

【００４０】次に、図３を参照すると、Ｘ．４００で定
義されないウォーデン２００が、あるアソーシエーショ
ン（association）中に位置し、そのアソーシエーショ
ンの両端で２つのメッセージ通信システム構成要素２１
０、２２０に接続されている。ウォーデンは、まるでそ
れが他方のものであるかのように、一方の構成要素と共
に動作しそれに反応する。このことは、メッセージ通信
システムの構成要素が、ネットワーク内に非Ｘ．４００
の構成要素があるのを通知しないことを意味する。

【００４１】以下の説明では、ウォーデンが安全でない
メッセージ通信システム構成要素２１０を保護してお
り、他のメッセージ通信システム構成要素２２０は安全
であり、それは安全でないが別のウォーデンによって保
護されるものでも、安全保護機能を直接実施する構成要
素でもよいと仮定する。

【００４２】ウォーデン２００が動作を開始するとき、
接続されたメッセージ通信システム構成要素２１０、２
２０のどちらとの間にもアソーシエーションがない。一
方の構成要素が他方と通信する必要があり、セッション
層、層５を使って、ＯＳＩスタック構成要素と、他の構
成要素であるとそれが考えるものとのアソーシエーショ
ンを開始する。実際には、それは、他のメッセージ通信
システム構成要素とのアソーシエーションを開始するウ
ォーデンである。他方の構成要素は、確認またはエラー
のいずれかを戻し、ウォーデンはそれをアソーシエーシ
ョン開始側に返す。これ以後、ウォーデンは、２人の関
係当事者の一方からデータを受け取る。そのデータが、
そのウォーデンが保護する安全でない関係当事者からく
る場合、ウォーデンは、他方の関係当事者が適切な安全
保護機能を実施するのに必要なデータ要素を追加する。

【００４３】逆に、安全な関係当事者からのデータは安
全保護機能用の要素を含む。ウォーデンは必要な処理を
実行し、安全保護違反を検出した場合はそのデータを拒
否し、あるいはそのデータを安全でない関係当事者に渡
す。ウォーデンは、データ要素を変更し、安全保護要素
を取り除くかまたはクリティカルでないとマークする。
これは、データ要素が重要なサービスを提供しない場
合、メッセージ通信システムの構成要素がそのデータ要
素を無視できるという、Ｘ．４００の特徴である。ウォ
ーデンは、メッセージ流れの方向、およびそのウォーデ
ンが保護する安全でない構成要素がＵＡか、ＭＳか、Ｍ
ＴＡか、それともゲートウェイかに応じて、複数の役割
をもつことができる。ウォーデンがＵＡ、ＭＳまたはゲ
ートウェイを保護するときは、メッセージ転送の両端の
一方のために働き、したがって端末間安全保護機能を実
施し、一方ＭＴＡの場合は、ウォーデンはホップ間安全
保護機能だけを実施する。ウォーデンの処理は、その役
割に関係なく、どちらの関係当事者がメールを送るかに
応じて２つのパターンの一方に従う。

【００４４】次に、図４を参照して、ウォーデンのメッ
セージ処理について説明する。段階３１０で、ウォーデ
ンは２人の関係当事者の一方からデータを受け取る。そ
のような関係当事者は、ウォーデンによって保護された
安全でないノードでも、保護のない安全なノードでもよ
い。

【００４５】保護された安全でない関係当事者からメー
ルがきた場合は、段階３１５で、ウォーデンはＯＳＩプ
レゼンテーション層（層６）のサービスを使ってデータ
構造を復号する。次に、段階３２０で、その処理が、有
効な安全保護方針によって定義される。その方針は以下
のことを指定する。 −許可された安全保護分類を、マークされていないも
の、制限されていないもの、および制限されたものに限
定するなど、ある種のデータ要素が有する値の制限。 −発信元の確認を支援するためのデジタル署名の作成な
ど、ある種の安全保護サービスを支援するための符号化
オプションの選択。 −デジタル署名や暗号化など、そのような安全保護デー
タ要素を生成するためのアルゴリズムの選択。 −メッセージ全体を暗号化し、次いで異なる情報で新し
いデジタル・エンベロープを生成して二重エンベロープ
を支援するなど、ウォーデンが実行する処理。

【００４６】ウォーデンは、前に説明したように、様々
な異なるレベルの安全保護機能を定義する異なる安全保
護プロファイルを含む１組の制御ファイルを有する。ネ
ットワークの安全保護マネージャは、そのような制御フ
ァイルを編集して、記憶された安全保護プロファイル
を、新しい安全保護の制約に従って修正できることが好
ましい。

【００４７】段階３２５で、ウォーデンは、安全保護方
針に従ってある種のデータ要素を検査する。段階３３０
で、競合が検出された場合、制御は段階３３５に移り、
ウォーデンは、送信者に送られる、エラーを記述する１
つまたは複数の配布レポートを生成する。段階３４０
で、ウォーデンは、そのような報告書を待ち行列に入れ
る。次に、段階３４５で、メッセージの不良要素が削除
される。段階３３０で競合が検出されなかった場合、ウ
ォーデンは、段階３４０と３４５を省略し、配布レポー
トを作成せず待ち行列に入れない。段階３５０で、メッ
セージのすべてまたは一部分がまだ受入れ可能な場合
は、他方関係当事者が重要な安全保護機能を実施するの
に必要なデータ要素が追加される。したがって、段階３
５５で、ウォーデンはプレゼンテーション層のサービス
を使ってデータ・ストリームを再構築し、次に段階３６
０で、このデータ・ストリームを安全保護方針が必要と
なる変更と共に、アソシエーションの他方の関係当事者
に転送する。段階３６５で、関係当事者がエラー・レポ
ートによって回答した場合、段階３７０で、ウォーデン
は配布レポートを削除し、次に段階３７５で、保護され
た関係当事者にエラー表示を戻し、段階３９０で処理を
終了する。

【００４８】逆に、段階３６５で、関係当事者が成功の
指示によって回答した場合は、段階３７５で、ウォーデ
ンは保護された関係当事者にそれを戻す。次に段階３８
０で、成功指示の後に、待ち行列に入れられた配布レポ
ートがある場合にはそれが続き、段階３９０で処理を終
了する。このようにして、保護された関係当事者は、安
全な関係当事者からのものと期待する指示およびレポー
トをウォーデンから獲得し、同時に、安全な関係当事者
は、安全な関係当事者からのものと期待するメールをウ
ォーデンから受け取る。したがって、どちらも、その間
のリンクにウォーデンが存在することを検出できない。

【００４９】段階３１０に戻ると、保護されていない安
全な関係当事者からメールがきた場合は、段階３１５
で、ウォーデンはやはりデータ・ストリームを復号す
る。次に段階３２０で、メッセージのデータ構造を安全
保護方針と比較する。次に段階３２５で、安全保護方針
およびこれらのデータ要素のＸ．４００定義に従ってデ
ータ要素を検査する。段階３３０で、問題が見つかった
場合は、制御は段階３２５に移り、前記と同様に配布レ
ポートを構築し、好ましくは安全保護マネージャの表示
端末上に安全保護違反警報を生成する。段階３４０で、
ウォーデンは、そのようなレポートを待ち行列に入れ
る。したがって段階３４５で、問題を起こした要素を削
除し、したがって残りの部分は正しく処理される。問題
がない場合は、前記と同様に、ウォーデンは、段階３４
０と３４５を省略し、配送レポートを生成しない。段階
３５０で、ウォーデンはデータ・ストリームを修正し
て、すべての安全保護データ要素をどんな処理（配布、
転送など）が行われようとしてもクリティカルでないと
マークする。次に、段階３５５で、新しいデータを符号
化し、段階３６０で、このバージョンを、保護された安
全でない関係当事者に送る。その関係当事者は、クリテ
ィカルでない要素を無視し、そのメールを安全でないシ
ステムから来たかのように処理する。処理の残りの部分
は、保護された関係当事者からのメールの処理と同じで
ある。したがって、ウォーデンによって保護された構成
要素は、別の安全でない構成要素とアソーシエーション
を有すると考える。保護されていない安全な構成要素
は、安全な構成要素とアソーシエーションを有すると考
える。この場合も、どちらもウォーデンが存在すること
を検出できない。

【００５０】ここに開示したプロセスは、適切な汎用ハ
ードウェア上で走る適切なソフトウェア・プログラムに
よって実施される。ただし、専用ハードウェアを使用し
て同じプロセスを実施することもできる。

【００５１】次に、図５を参照すると、一連のＭＴＡ１
１０に直接接続され、安全でないがウォーデンに保護さ
れたＵＡ１２０を有する２ユーザの間の通信の例を説明
する。

【００５２】中間のＭＴＡ１１０はすべて安全であると
仮定する。そうでない場合、それらはウォーデンによっ
て保護できる。しかし、中間のＭＴＡ１１０での唯一の
安全保護サービスは、ネットワークを本質的に保護する
ホップ間の安全保護サービスなので、この違いは重要で
はない。端末間サービスはユーザを保護し、アソーシエ
ーションの両端でウォーデン２００によって提供され
る。この場合、送信側ＵＡ１２０は、それに接続された
ＭＴＡ１１０にメールを提出し、安全保護方針はウォー
デンに以下のことを命じる。１）メールの機密に安全保護ラベル・マークを加える。２）特定のキーと暗号化アルゴリズムを使って内容を暗
号化する。所期の受信側は、受信側が使用できるキーお
よび暗号化アルゴリズムの詳細を、送信側の安全保護マ
ネージャに伝える必要がある。３）やはり受信側が選んだキーとアルゴリズムを使っ
て、デジタル署名を追加する。任意選択で、安全保護方
針はその代りに容認できるアルゴリズムとキーを双方の
規約として制御することもできる。

【００５３】メールがＭＴＡ１１０間のアソーシエーシ
ョンを通過するとき、そのＭＴＡ１１０は、その安全保
護ラベルが、安全保護文脈において許容されるか検査す
る。最後のＭＴＡ１１０がメールを配布するとき、受信
側のウォーデン２００は、そのメールをインターセプト
する。受信側ウォーデン２００は、次のことを行う。１）再び、安全保護ラベルを検査する。２）デジタル署名を検査する。それが正しくない場合
は、安全保護マネージャに警報を出す。３）合意したキーを使って内容を解読する。４）すべてが良好な場合は、安全保護ラベルとデジタル
署名を取り除き、メールをＵＡ１２０に配布する。そう
でない場合は、適切なエラー条件を生成し、それがＵＡ
１２０から来たかのようにＭＴＡ１１０に戻す。

【００５４】次に、図６に、Ｘ．４００ゲートウェイを
通じて接続された自社独自のネットワーク・ユーザ間の
通信の例を示す。

【００５５】メッセージ通信システムには、ゲートウェ
イ１８０は、複数のＵＡ１６０が接続されたＭＴＡ１５
０であるかのように見える。ＵＡ１６０とＭＴＡ１５０
の間の通信には、Ｘ．４００とは異なるネットワーク・
プロトコルを使用するので、それらの間にウォーデン２
００を配置することは不可能である。したがって、ウォ
ーデンは、ゲートウェイ１８０と次のＭＴＡ１１０との
間に置かなければならない。したがって、ウォーデン２
００は、ＭＴＡ１５０とＵＡ１６０の両方のために働
く。ユーザ１３１ａがメールを提出するとき、ゲートウ
ェイ１８０ａはそれをＸ．４００に変換し、それをＭＴ
Ａ１５０ａからウォーデン２００ａへアソーシエーショ
ンを介して転送する。ウォーデン２００ａはまず、ＵＡ
１６０のために働き、前と同様にデータを暗号化し安全
保護データ要素を加える。次に、ＭＴＡ１５０ａのため
に働き、安全保護ラベルを検査してから結果を次のＭＴ
Ａ１１０に転送する。最後のＭＴＡ１１０は、メール
を、配布ゲートウェイ１８０ｂに隣接するウォーデン２
００ｂに転送する。ウォーデン２００ｂは、まずＵＡ１
５０ｂのために働き、安全保護ラベルを検査する。ウォ
ーデン２００ｂは次に、ＵＡ１６０ｂのために働き、上
記と同様に署名を検査し内容を解読する。すべてが良好
な場合は、その結果をゲートウェイ１８０ｂに転送し、
ゲートウェイ１８０ｂはユーザ１３１ｂにメールを配布
する。ウォーデン２００ｂがエラーを検出した場合は、
ウォーデン２００ｂは、ＭＴＡ１５０ｂに接続されたＵ
Ａ１６０ｂによってエラーが検出された場合にＭＴＡ１
５０ｂが生成するはずの配布レポートを生成する。ウォ
ーデン２００ｂはこの配布レポートを生成するが、ＵＡ
１６０ｂからのエラー指示に応答する場合はＸ．４００
の必要に応じてそれ自体生成したはずのゲートウェイ１
８０ｂによって生成されるように見える。

【００５６】第２の実施例では、ウォーデンは、安全で
ないＭＴＡを保護する代りに、ＭＴＡ構成要素を含む。
この場合、ウォーデンは、ＭＴＡまたはＭＴＡとＭＳを
保護するだけでなく、ＵＡをも保護するように働くこと
ができる。したがって、ＭＴＡを含むウォーデンは、安
全なＭＴＡまたは安全でないＭＴＡに取って代わり、そ
れによって接続されたＵＡに保護を提供するが、安全な
ＭＴＡはそうすることができない。この実施例では、Ｕ
Ａにおいてユーザからの入力を必要とする安全保護方針
が使用できるようになり、ＭＴＡがウォーデンに含まれ
るので、それが蓄積転送ノードになってウォーデンが何
か質問をする前に通信を完了することができる。これに
よって、より強力で有用な安全保護方針の使用が可能に
なる。

【００５７】以上、データ通信ネットワーク用の安全保
護装置（ウォーデン）について記述した。これは、メッ
セージ通信システム（ＭＨＳ）において、すべてのＸ．
４００安全保護機能を実行するが他のＸ．４００機能は
実行しない、新しい構成要素である。これにより、安全
保護を除く電子メール機能はすべてＸ．４００構成要素
が提供し、安全保護機能はすべてウォーデンが提供す
る、ＭＨＳが構築できるようになる。ウォーデン（２０
０）はあるアソーシエーション中に位置し、そのアソー
シエーションの両端で２つのＭＨＳ構成要素（２１０、
２２０）に接続され、安全でないＭＨＳ構成要素（２１
０）を保護しており、一方、安全な構成要素（２２０）
は、安全でないが他のウォーデンによって保護されてい
てもよく、また安全保護機能を直接に実施する構成要素
であってもよい。ウォーデンは、それが他方の構成要素
であるかのように、一方の構成要素と共に動作しそれに
反応する。このことは、ＭＨＳ構成要素が、ネットワー
ク内に非Ｘ．４００構成要素があるのを通知しないこと
を意味する。

【００５８】まとめとして、本発明の構成に関して以下
の事項を開示する。

【００５９】（１）単一の通信規格を支援するデータ通
信ネットワークにおいて、第１のノード（２１０）と第
２のノード（２２０）との間の接続に適合され、装置
（２００）が、第１のノード（２１０）と第２のノード
（２２０）との間で渡されるメッセージ中の制御データ
に応答して、第２のノードに装置（２００）と第１のノ
ード（２１０）の組合せが安全保護方針に従って安全保
護機能がその中で実施されるネットワーク中のノードに
見えるように、第１のノード（２１０）のために第１お
よび第２のノードのユーザの間で同意された安全保護方
針によって定義される安全保護機能を実行する、安全保
護装置。（２）受信メッセージの蓄積転送に応答する手段（１１
０）を備えることを特徴とする、上記（１）に記載の安
全保護装置。（３）通信規格で定義される安全保護機能の選択を含む
安全保護方針に従ってメッセージが交換されるネットワ
ークで使用される、上記（１）に記載の安全保護装置。（４）第１のノード（２１０）と第２のノード（２２
０）の間で渡されるメッセージ中の制御データに応答し
て安全保護機能を実施する第一の手段を備える、上記
（１）に記載の安全保護装置。（５）第一の手段が、安全保護データを記憶する制御フ
ァイルを含み、安全保護方針に従って安全保護機能を実
施することを特徴とする、上記（３）または（４）に記
載の安全保護装置。（６）異なる安全保護方針に従って安全保護機能を実施
するために、ユーザが制御ファイルを編集して安全保護
データを修正できるようにする手段を含む、上記（５）
に記載の安全保護装置。（７）Ｘ．４００通信規格に従って定義された安全保護
機能の選択を含む安全保護方針に従ってメッセージが交
換されるネットワークにおいて使用される、上記（３）
に記載の安全保護装置。（８）ネットワークの第１のノード（２１０）と第２の
ノード（２２０）の間に接続され、前記第１のノード
（２１０）が、ユーザをネットワークの残りの部分から
分離するノード（１２０）である、上記（１）ないし
（７）のいずれかに記載の安全保護装置を備えるデータ
通信ネットワーク。（９）第１のノード（２１０）と第２のノード（２２
０）の間に接続され、前記第１のノードがゲートウェイ
（１８０）である、上記（１）ないし（７）のいずれか
に記載の安全保護装置を含む、データ通信ネットワー
ク。

【図面の簡単な説明】

【図１】メッセージ通信システムを表すブロック図であ
る。

【図２】メッセージ通信システムを表すブロック図であ
る。

【図３】安全保護装置によって保護されたノードを表す
ブロック図である。

【図４】安全保護装置におけるメッセージ通信を表すブ
ロック図である。

【図５】ユーザ・エージェントに直接に接続された安全
保護装置を表すブロック図である。

【図６】自社独自ネットワークのユーザを保護するゲー
トウェイに接続されたウォーデンを表すブロック図であ
る。

【符号の説明】

１００Ｘ．４００メッセージ通信システム１１０メッセージ転送エージェント（ＭＴＡ）１２０ユーザ・エージェント（ＵＡ）１３０ユーザ１４０メッセージ記憶（ＭＳ）

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号庁内整理番号ＦＩ技術表示箇所Ｈ０４Ｌ 12/54 12/58 12/22 9466−5ＫＨ０４Ｌ 11/26 (72)発明者ポール・ガヴアーイギリスオー・エックス17 ２ピー・ダブリューオックスフォードシャーバンベリーミドルトン・チェニーメイン・ロード131 (72)発明者メアリー・ヴィサーイギリスシー・ヴィー31 １イー・ゼットワーウィックシャーレミントン・スパーラッセル・テラス 34

Claims

【特許請求の範囲】

【請求項１】単一の通信規格を支援するデータ通信ネッ
トワークにおいて、第１のノード（２１０）と第２のノ
ード（２２０）との間の接続に適合され、装置（２０
０）が、第１のノード（２１０）と第２のノード（２２
０）との間で渡されるメッセージ中の制御データに応答
して、第２のノードに装置（２００）と第１のノード
（２１０）の組合せが安全保護方針に従って安全保護機
能がその中で実施されるネットワーク中のノードに見え
るように、第１のノード（２１０）のために第１および
第２のノードのユーザの間で同意された安全保護方針に
よって定義される安全保護機能を実行する、安全保護装
置。
【請求項２】受信メッセージの蓄積転送に応答する手段
（１１０）を備えることを特徴とする、請求項１に記載
の安全保護装置。
【請求項３】通信規格で定義される安全保護機能の選択
を含む安全保護方針に従ってメッセージが交換されるネ
ットワークで使用される、請求項１に記載の安全保護装
置。
【請求項４】第１のノード（２１０）と第２のノード
（２２０）の間で渡されるメッセージ中の制御データに
応答して安全保護機能を実施する第一の手段を備える、
請求項１に記載の安全保護装置。
【請求項５】第一の手段が、安全保護データを記憶する
制御ファイルを含み、安全保護方針に従って安全保護機
能を実施することを特徴とする、請求項３または４に記
載の安全保護装置。
【請求項６】異なる安全保護方針に従って安全保護機能
を実施するために、ユーザが制御ファイルを編集して安
全保護データを修正できるようにする手段を含む、請求
項５に記載の安全保護装置。
【請求項７】Ｘ．４００通信規格に従って定義された安
全保護機能の選択を含む安全保護方針に従ってメッセー
ジが交換されるネットワークにおいて使用される、請求
項３に記載の安全保護装置。
【請求項８】ネットワークの第１のノード（２１０）と
第２のノード（２２０）の間に接続され、前記第１のノ
ード（２１０）が、ユーザをネットワークの残りの部分
から分離するノード（１２０）である、請求項１ないし
７のいずれかに記載の安全保護装置を備えるデータ通信
ネットワーク。
【請求項９】第１のノード（２１０）と第２のノード
（２２０）の間に接続され、前記第１のノードがゲート
ウェイ（１８０）である、請求項１ないし７のいずれか
に記載の安全保護装置を含む、データ通信ネットワー
ク。