JPH07502847A - ネットワーク秘密保護を行う装置および方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 ネットワーク秘密保護を行う装置および方法発明の技術的分野 本発明は一般に秘密保護および多レベル秘密保護（ＭＬＳ）ネットワーク、特に 非秘密保護ネットワークに秘密保護および多レベル秘密保護を提供する装置およ び方法に関する。

背景技術 多レベル秘密保Ｊ（ＭＬＳ）ネットワークは、同じ物理的ネットワークにわたっ て異なる区分レベル（すなわち、非秘密扱い、秘密、極秘および最高機密）のデ ータを伝送する手段を提供する。秘密保護のために、ネットワークは秘密保護機 能：データ完全性保護、データタイプの分離、アクセス制御、鑑定並びに利用者 識別およびアカリンクビリティを提供しなければならない。

データ完全性保護は、ターミナルに送られたデータが途中で修正されないことを 保証する。ヘッダ情報および秘密保護レベルはまた要求しない修正から保護され る。データ完全性保護は、私用キー暗号化および公共キー暗号化を含む検査集約 工程またはデータの変換によって実行されることができる。

データタイプの分離は、利用者があるタイプのデータを送信または受信する能力 を制御する。データタイプは音声、ビデオ、Ｅメイル等を含むことができる。例 えば、ホストはビデオデータを処理することができないとすると、分離機能がホ ストかビデオデータを受信することを妨げている。複数の利用者が実際の放出前 の放出を許可するためにデータを、また通常の利用者トラフィックから管理タイ プのデータを分離するためにデータタイプの使用を検査する場合、システムはデ ータ放出前に連続した検査を含んでいなければならない。

アクセス制御はホスト間の通信を制限する。規定ベースのアクセス制御において 、アクセスはシステム割当て秘密保護特性によって決定される。例えば、極秘ま たは最高機密秘密保護クリアランスを有する利用者だけが秘密区分された情報へ のアクセスを許される。アイデンティティベースのアクセス制御において、アク セスは利用者限定特性によって決定される。例えば、利用者が特定のプロジェク トに関して認承された関係者として識別されない場合、アクセスは拒否される。

ネットワーク資産の制御のために、利用者はネットワークのある素子へのアクセ スを拒否される。例えば、利用者はモデムまたはデータリンク或はあるアドレス から別のアドレスへの通路上の通信へのアクセスを拒否される。

利用者の識別は、特有の名前、パスワード、レティナ（ｒｅｔｉｎａ）走査、ス マートカードまたはホスト用のキーによってでも行われることができる。アカリ ンクビリティは、特定の利用者が特定の動作について料金を払うことを保証する 。利用者がネットワーク接続を設定すると、利用者の動作は“トレイル”が生成 されるように監査されることが望ましい。利用者の動作が１組の規準に一致しな （°１場合、接続は終了される。

現在、ネットワークに秘密保護を提供する３つの一般的な方法：信頼されるネッ トワーク、信頼されるプロトコールを備えた信頼されるホストおよび暗号化装置 がある。信頼されるネットワークは、ネットワークの構造内に秘密保護方法を配 置することによって秘密保護を行う。一般に、信頼されるネットワークは、既存 のプロトコールおよびいくつかの場合には物理的な素子が秘密保護システムと置 換される必要がある。例えばボーイングＭＬＳ　Ｌａｎにおいて、バックボーン ケーブルは光ファイバと置換され、バックボーンへのアクセスは全て秘密保護装 置によって達成される。バーディックス（Ｖｅｒｄｉｘ）　Ｖ　Ｓ　Ｌ　Ａ　Ｎ において、類似した秘密保護装置はネットワークにインターフェイスするために 使用され、ネットワークは装置間で伝送された情報の秘密保護を行うために光フ ァイバの代わりに暗号を使用する。ＶＳＬＡＮは、ボーイングＭＬＳ　Ｌａｎの ように局部エリアネットワーク（ＬＡＮ）に関する利用者に限定される。

信頼されるホストは、ネツ）・ワーク上における全てのデータの伝送を検査し制 御することによってネットワークに秘密保護を提供するホストコンピュータであ る。例えば、米国国際安全機構（Ｎ　Ｓ　Ａ）は、信頼されるホストに対して秘 密保護プロトコールを実行しようとする秘密保護データネットワークシステム（ ＳＤＮＳ）と呼ばれるプログラムを開始している。この方法を実行するために、 既存のホストコンピュータの設置されたベースは秘密保護プロトコールをランす るために性能を高められなければならない。このようなシステムは、開システム 相互接続（Ｏ３Ｉ）モデルのネットワークまたは移動層（層３または４）で動作 する。

暗号化装置は、情報の秘密性を保護するためにネットワーク環境において使用さ れる。それらはまたデータタイプの分離または秘密区分レベルのために使用され る。例えばパケット暗号器または端部間暗号（Ｅ　Ｅ　Ｅ）装置は、データの保 護を確実にするためにプロトコールヘッダにおいて異なるキーおよびラベルを使 用する。しかしながら、これらのプロトコールはホストのどの利用者がネットワ ークを使用しているかを識別せず、またそれらはある利用者がネットワークにア クセスすることを阻止できないため、それらは利用者アカリンタビリティを欠い ている。ＥＥＥ装置は、典型的にＯＳＩモデルのネットワーク層（層３）で動作 する。その他のプロトコール装置で動作する暗号プロトコールを発達させる統制 機関の努力かある。

非秘密保護環境において、すなわちネットワークおよびホストの両者が信用がな いため、既存のホストおよびネットワーク資産が信頼されるホストまたは秘密保 護ネットワーク資産によって置換される必要かなかった場合、多レベル秘密保護 を提供することが高度に望ましい。このようなＭＬＳシステムは、ネットワーク 内における動作の全位相中に利用者アカリンタビリティおよびデータ完全性を提 供しなければならない。

発明の説明 本発明によると、ネットワーク用のネットワーク秘密保護装置および方法は、秘 密保護でなくてもよい各ホストまたは利用者コンピュータ装置と秘密保護でなく てもよいネットワークとの間に結合された秘密保護ネットワークインターフェイ ス装置（ＳＮＩＵ）と秘密保護管理（ＳＭ）手段とを含み、秘密保護管理（ＳＭ ）手段はネットワーク上でそれらの動作および構成を制御するために各５ＮＩＵ Ｓに接続された秘密保護管理装置（ＳＭ）を含んでいる。各５ＮＩＵはネットワ ーク上の利用者が識別されたときに発生する相互接続のセツション層で動作し、 通信セツションが開始する。５ＮＩＵがネットワーク上で秘密保護されるように 各コンピュータ装置で構成されたとき、各コンピュータ装置インターフェイスを 通る秘密保護ポリシイ強化、制御された通信解除、制御された通信流および秘密 保護セツションプロトコールを確保するための全体的な秘密保護周辺手段が与え られる。ＳＭ手段は、５ＮＩＵ間において利用者アカリンタビリティ、構成管理 、秘密保護アトミニストレージョンおよび暗号キー管理を保証するために構成さ れる。

好ましい実施例において、５ＮＩＵは利用者インターフェイスまたはサービスイ ンターフェイス、セツション管理装置、対話管理装置、関連管理装置、データタ イプおよびネットワークインターフェイスのコア機能を含む限定された信頼され るセツション層プロトコール（ＴＳＰ）を実行するように横用者が５ＮＩＵを通 ってネットワークにアクセスすることを可能にし、５ＮＩＵにおいて使用される フォーマットにデータを変換し、コンピュータ装置と５ＮＩＵとの間でデータ転 送し、５ＮＩＵを通って通信ポートにアクセスすることを含む。利用者／サービ スインターフェイス機能の重要な部分はＴＳＰの残りのものと同じレベルの信頼 を必要としない。これは、これらの部分がシステムの基本的な秘密保護を全体的 に行わずにＴＳＰの残りのものから論理的および物理的に分離されることを可能 にする。セツション管理装置機能は利用者識別および監査、セツション設定およ び終了を含み、利用者インターフェイスと対話管理装置との間に命令を出す。対 話管理装置機能は５ＮＩＵ中に設定されたデータ路を制御し、対話識別および監 査、対話要求許可、設定および終了を含む機能を制御し、送信されたデータ用の ブロックヘッダを適用して検査し、セツション管理装置と関連管理装置との間に 命令を出す。関連管理装置機能は遠隔５ＮＩＵによりデータ路上のデータの伝送 を制御し、５ＮＩＵ識別および監査、関連要求許可、設定および終了を含み、送 信されたデータを暗号化するシーラキーを呼出して管理し、対話管理装置とネッ トワークインターフェイスとの間に命令を出す。ネットワークインターフェイス 機能は、５ＮＩＵとネットワークとの間でデータおよび命令の送信を行わせる。

秘密保護管理装置（ＳＭ）はネットワーク秘密保護機能を実行し、５ＮＩＵのコ ア管理装置機能の秘密保護アトミニストレージョンを含む。好ましい実施例にお いて、３Ｍ機能は３つのプラットフォーム、すなわち５ＮＩＵホスト５ＮＩＵ秘 密保護エージエン）−（ＳＳＡ）、エリア秘密保護管理装置（Ａ　Ｓ　Ｍ）およ びネットワーク秘密保護管理装置（ＮＳＭ）にわたって分配される。ＳＳＡはそ の割当てられた５ＮＩＵとデータおよび命令を交換する。ＡＳＭは、限定された エリアにおいて一群の５ＮＩＵに対する秘密保護機能を管理する。

ＮＳＭは、ネットワークに対するＡＳＭの秘密保護機能を全体的に管理する。

図面の簡単な説明 図１は、本発明によるＭＬＳネットワークシステムの概略図である。

図２は、インターネットワークシステムに適用された本発明の概念の変形の概略 図である。

図３Ａ、３Ｂおよび３Ｃは、本発明による秘密保護ネットワークインターフェイ ス装置（ＳＮＩＵ）の概略図である。

図４Ａ乃至４Ｆは、５ＮＩＵ装置のデータおよび命令構造の概略図である。

図５Ａ乃至５Ｄは、本発明における秘密保護管理構造の概略図である。

図６Ａおよび６Ｂは、本発明のＭＬＳシステムによる通路設定のためのステップ を示す。

本発明を実行するための最良なモード 本発明において、秘密保護ネットワークインターフェイス装置（ＳＮＩＵ）は、 ネットワークの利用者が識別され、通信セツションが開始したときに発生する相 互接続の“セツション層”で各ホストまたは利用者コンピュータ装置とネットワ ークとの間の通信を制御するために使用される。例えば、工業水準間システム相 互接続（ＯＳＩ）モデルはネットワーク接続の７つの層、すなわち：　（１）物 理的；　（２）データリンク；　（３）ネットワーク；　（４）移送：　（５） セツション；　（６）表示；および（７）適用を限定する。本発明において、ネ ットワーク秘密保護方法はセツション層５で実施される。セツション層における 秘密保護の配置は、移送屓４において既存のネットワーク資産および既存のネッ トワークプロトコールを提供し、連続的に使用されるように減少され、それによ って多レベル秘密保護システムの構成のために設置されたネットワークベースを 置換することを不要にする。したがって、接続されたホストまたは利用者装置並 びにネットワークバックボーンは秘密保護（信頼）される必要がない。

通常、Ｏ３Ｉネットワーク適用は非秘密保護セツション層プロトコールであるＣ 　ＣＩ　ＴＴＸ、　２１５を使用する。従来の多レベル秘密保護システムは、セ ツション層においてここに示された秘密保護方法を使用しない。

図１を参照すると、本発明による秘密保護システムを具備したネットワークが示 されている。ターミナルサーバＴＳ。

ホスト装置Ｓ１ホストサーバ装置Ｓ−Ｕ、利用者装置Ｕまたはパーソナルコンピ ュータ（Ｐ　Ｃ）等の複数のホストまたは利用者コンピュータ装置は、各秘密保 護ネットワークインターフェイス装置（ＳＮＩＵ）を通ってネットワークに結合 さは影付けされた四角によって示され、一方単一利用者ターミナル、ホストパー ソナルコンピュータまたは利用者装置は白色の四角によって示されている。５Ｎ ＩＵは、任意的および強制的な両秘密保護ポリシイを施行する秘密保護装置のリ ングによりネットワークを包囲している。５ＮＩＵは、秘密保護ポリシイ強化、 利用者通信解放インターフェイス、他の非秘密ネットワークに相互接続された場 合の制御された通信流およびセツション秘密保護プロトコールを提供する。任意 の秘密保護ポリシイは、一般にある形態の任意の利用者アクセス制御を有する多 利用者コンピュータ装置に達するものとして示される。

５ＮＩＵは信頼されるセツションプロトコール（ＴＳＰ）に要求される全ての機 能を提供するようにデジタルデータ、音声およびビデオトラフィックを送ること ができる。ＴＳＰはネットワークに通ってデータを伝送するために低いレベルの プロトコールの設備を使用する。したかって、フレキシビリティを提供するため に、特定化されたネットワークインターフェイス５ＮＩＵは既存の（非秘密保護 ）装置および基本的なネットワークとのＴＳＰの結合を可能にするように設計さ れる。

ネットワークに結合された秘密保護管理装置ＳＭを含む秘密保護アトミニストレ ージョン構造は、利用者アカリンクビリティ、形態管理、秘密保護アトミニスト レージョンおよび警報処理並びにンーラ（暗号）キー管理を行う。ホスト装置は 、５ＮＩＵが目的地ではないホストではない任意のトラフィックがホストに達す ることを阻止するため信用される必要かない。ネットワークは、５ＮＩＵかネッ トワーク上の認承されていないデータかホストに達するか、またはそれから得ら れることを阻止するので、信用について判断される必要がない。

図２を参照すると、インターネットワーク接続のために５ＮＩＵを使用した変形 が示されている。ブリッジ５ＮＩＵは同じ秘密保護ラベル意味（ｓｅｍ＋＋ｎ１ ｉｃｓ　）を使用するが、２つの異なる保護レベルで動作する２つの私用ネット ワーク（彫付けされた楕円）間において使用される。ネットワークは単一のネッ トワーク秘密保護管理装置ＳＭによって制御されるか、或は各ネットワークはそ れ自身の秘密保護管理装置ＳＭを有していることができる。ゲート路５ＮＩＵは 異なる秘密保護ラベル意味を使用する２つのネットワーク間において使用され、 例えばタイプＡネットワークはラベル（極秘、秘密、信用、非区分）を使用し、 タイプＢネットワークはラベル（重大秘密、秘密、制限、信用、解除可能）を使 用する。ガード５ＮＩＵは、私用ネットワークと公共ネットワークとの間の通信 を支持するために使用される。

本発明のネットワーク秘密保護システムは、２つの主な機能エリア、すなわち： データ路およびデータの通過の管理を行う、５ＮＵＩによって主役にされる信頼 されるセツションプロトコール（ＴＳＰ）と；ネットワークの秘密保護管理を行 う、主に秘密保護管理装置（ＳＭ）から構成された秘密保護管理構造に分割され る。

ＴＰＳの構造は５ＮＩＵ環境によって変化する。図３Ａに示されているように、 多利用者ホスト用の５ＮＩＵはセッション管理装置モジュール、対話管理装置モ ジュール、関連管理装置＆テープモジュール、およびネットワークインターフェ イスを含む。利用者インターフェイスは、多利用者ポストを有している。図３Ｂ において、単一利用者ホストの５ＮＩＵはその他の機能を備えた利用者インター フェイスを含む。

図３０に概念的に示されているように、利用者との通信インターフェイスはセツ ション管理装置によって仲介される利用者と、インターフェイス関連管理装置に よってネットワークと、また対話管理装置によって２つの端部間の通信流とイン ターフェイスされる。

多利用者コンピュータに対して、ホストコンピュータとの利用者インターフェイ スを含むことによって全ての誇示された利用者にメツセージボックスを提供する ようにホストのメモリリソースが開かれる。メツセージボックスは、ホストの任 意的アクセス制御ポリシイによって保護される。パーソナルコンピュータ（Ｐ　 Ｃ）の特別な場合において、ＰＣが動作しているレベルより下の秘密保護レベル でのメツセージの送信を可能にする多レベル解除選択か与えられている。５ＮＩ Ｕへのインターフェイスは、オペレータが解除前にメツセージを検査することを 可能にするために必要とされる。

［秘密保護システムポリシイコ 本発明の秘密保護システムは、所定のネットワーク環境の状況に適した多数の秘 密保護ポリシイを実施する。主要なポリシイエリアは：任意的アクセス制御；強 制約なアクセス制御一対象再利用；ラベル付け；識別および鑑定；監査；サービ ス検出の拒否；データタイプ完全性；縦続制御；および変換チャンネル使用検出 である。

任意的アクセス制御は、利用者、プロセスおよび、または利用者が属しているグ ループの識別子（および知る必要性）に基づいて対象（データファイル）へのア クセスを制限する手段である。それは、利用者の識別子に基づいて利用者インタ ーフェイスポートへのアクセスを制御するために使用されてもよい。単一利用者 コンピュータ装置に対してこの機構は５ＮＩＵにおいて実施され、一方多利用者 ホストに対してはＤＡＣ制御はホスト装置で実施される。任意的アクセス制御は また利用者によって発振が始められた全ての通信のアドレシングが定められる任 意的対話アドレシングとして、および利用者が別の利用者からの通信の受信を拒 否することのできる利用者任意的アクセス拒否に対して実施されることができる 。

強制的アクセス制御は、対象に含まれる情報の感度（区分ラベルによって表され るような）およびこのような感度の情報にアクセスするための利用者の形式的誇 示（すなわちクリアランス）に基づいて対象へのアクセスを制限する手段である 。例えば、それはアクセスが正しい秘密区分レベル、完全性レベルおよびコンパ ートメント認承を必要とする対話格子へ一スアクセス制御、正しいデータタイプ 認承がアクセスのために必要とされる対話データタイプアクセス制御、およびネ ットワークにおいて利用者アクセスレベルを縦続接続することによって誇示され ないアクセスを阻止するための制御が提供される縦続保護として実施される。

対象再利用は、誇示されないアクセスから保護されるように１以上の対象に一度 含まれた蓄積媒体（例えばページフレーム、ディスクセクタ、磁気テープ）の再 割当ておよび再利用である。秘密保護され、再利用され、新しい主題に再度割当 てられるために、蓄積媒体はそれに前に含まれていた対象からの残留データを含 んでいてはならない。対象再利用保護は、ポート再利用保護、セツション再利用 保護、対話再利用保護およびまたは関連再利用保護によって実施される。

ラベル付けは、ネットワーク内の各対象がその現在の動作レベル、秘密区分また は信用範囲に関してラベル付けされることを必要とする。ラベル付けは以下の方 法、すなわち：各利用者セツションがそれを通過している情報の秘密区分に関し てラベル付けされる利用者セツションの秘密保護ラベル付け：各対話か秘密区分 およびそれを通過している情報のタイプに関してラベル付けされる対話ラベル付 け；秘密保護ネットワークへのアクセスを持つ各ホストが信用範囲を与えられ、 ポストとの間で転送される情報が信用範囲内でラベル付けされなければならない ホスト信用範囲で行われる。

識別は、システムによる、一般には特有の利用者名の使用によるエンティティの 認詭を可能にするプロセスである。鑑定は、利用者の識別子、装置またはネット ワーク中のその他のエンティティを確認するプロセスである。これらのプロセス は、以Ｆの方法、すなわち二利用者識別：利用者鑑定：通ＮＩＵで承認される対 話ソース鑑定；データが伝送を許可される前にソース５ＮＩＵが鑑定される５Ｎ ｒＵソース鑑定；および秘密保護管理装置機能へのアクセスを許可される前にア トミニストレータか鑑定されるアトミニストレータ鑑定で実施される。

監査トレイルは動作、手順または事象の検査を可能にするのに十分であるシステ ム動作の時間順の記録を提供する。監査トレイルは利用者セツション監査、対話 監査、関連監査、アトミニストレータ監査および、または監査トレイルが通常工 程からの変化に対して解析される変化検出を介して実施される。

サービスの拒否は、システムの任意の部分がその意図された目的にしたがって機 能することを阻止する任意の動作または一連の動作として定められる。これは、 誇示されないサービスの破壊、変更または遅延を生じさせる任意の動作を含む。

サービスの拒否の検出は、以下の状態、すなわち：誇示されないアクセスが試み られた時のような利用者セツション自動終了；利用者装置上の動作の欠如の検出 等の利用者装置のサービスの拒否検出；サービスの対話拒否検出、５ＮＩＵ間の 動作の欠如の検出等のサービスの関連拒否検出；および、または正しくない許容 レベルか越された時等のデータ崩壊検出に対して実施される。

潜伏チャンネル使用は、２つの共同したプロセスがシステムの秘密保護ポリシイ を妨害する方法で情報を伝送することを可能にする通信チャンネルである。潜伏 チャンネル使用の検出は、例えばメツセージ受信の異常な遅延の監視等のサービ スの遅延検出、或はメツセージブロックシーケンスエラーの監視等の対話シーケ ンスエラー検出によって実施される。

以下、秘密保護ネットワークインターフェイス装置（ＳＮＩＵ）および秘密保護 管理装置（ＳＭ）によって実行されるセツション層プロトコール（ＳＬＰ）の機 能を説明する。これらの機能は、上記の多数の秘密保護ポリシイを実施するよう に設計されている。これらの機能は、５ＮＩＵ／ＳＬＰおよびＳＭ構造を使用し て実施されることができる広範囲の秘密保護機能の一例に過ぎないことが理解さ れるべきである。

［セツション層プロトコール（ＳＬＰ）および５ＮＩＵＩＳＬＰの主機能は、デ ータ用の通路を設定し、データ用の通路を終了し、設置された通路にわたってデ ータを通過させ、ＳＭによって指導されるように秘密保護ポリシイを強化するこ とである。ＳＬＰの２次的機能は、利用者装置と相互動作し、利用者を識別して 、利用者装置と５ＮＩＵとの間にデータ路を設け、利用者プロセスを識別して、 局部および遠方の５ＮＩＵ間に秘密保護データ路を設け、データ路を伝送してい るデータを保護し、ネットワークと相互動作することである。

これらの機能を達成するために、ＳＬＰは６つのサブ層、すなわち：利用者イン ターフェイス、セツションサブ層（管理装置）；対話サブ層（管理装置）；関連 （管理装置）およびデータデータサブ層；およびネットワークインターフェイス に分割される。図４Ａ乃至４Ｆはこれらの各サブ層における動作を詳細に示す。

以下の説明のために、セツションは、対話を行う利用者が識別され、確認される 認承されたネットワーク利用の期間として定められる。対話は、１対のプロセス 間にデータ路を定める。関連は１対の５ＮＩＵ間にデータ路を定め、データの秘 密を保護する時に使用される任意のデータデータキーを含む。

図４Ａにおいて、利用者インターフェイスはネットワークにアクセスする手段を 利用者に提供する。多利用者ホストに対して利用者インターフェイスはホスト装 置内に存在し、一方単一利用者ホストに対しては利用者インターフェイスはネッ トワークに利用者装置を結合する５ＮＩＵ内に存在している。ネットワークとの 通信は、多数の命令ポート、単一受信および送信ポート、二重ポートおよびマル チキャスト送信ポートを介して行われる。多数のポートが各利用者のために設定 されることかできる。利用者インターフェイスは、セツション管理装置を通して のみ通信する。それは以下の機能、すなわち二利用者装置において使用されるフ ォーマットから５ＮＩＵにおいて使用されるフォーマットにデータを変換するこ と；利用者装置と５ＮＩＵとの間でデータを通過させること；利用者とネットワ ークとの間において５ＮＩＵを通る通信用のポートを設けること；セツション管 理装置に利用者情報を供給すること；多数の５ＮＩＵに接続されたときにデータ 負荷を等化すること；セツション管理装置からの命令についてのポート管理；お よび任意的アクセス制御を実行することができる。

図４Ｂにおいて、セツション管理装置は利用者によるセツションを管理する。セ ツション管理装置は利用者インターフェイス、対話管理装置および５ＮＩＵ秘密 保護管理装置（ＳＳＭ）と通信する。セツション管理装置は以下の機能、すなわ ち；利用者識別；監査；警報；セツション設定および終了；所定員の時間後に非 動作セツションが終了されるセツション時間終了；遠方の５ＮＩＵからの既存の セツションに対するセツションアクセス要求の許可；対話管理装置への命令；利 用者アクセス設定（パスワード、アクセスリスト）の保守；利用者インターフェ イスと対話管理装置との間の既存の対話に対するデータの通過；およびポートの 再初期化、終了並びに生成および削除の命令を含む利用者インターフェイスの管 理の機能を何している。

図４０において、対話管理装置は両方向、単一受信、単一送信およびマルチキャ スト対話を支持する。対話管理装置は、セツション管理装置、関連管理装置およ びＳＳＭと通信する。

通信路の設置中、任意的および強制的な両アクセス制御機構は、秘密保護の妥協 かないことを保証するために使用される。

対話管理装置は以下の機能、すなわち二対話設定および終了；遠方の５ＮＩＵか らの対話を開始または終了する要求を許可すること：利用者アクセスリストおよ びプロセス区分を使用して対話要求を許可すること；監査；警報；局部対話番号 の割当ておよび遠方の５ＮＩＵからのネットワーク対話番号の獲ｉ８；対話に含 まれるプロセスの詭別；セ・ソション管理装置と関連管理装置との間の既存の関 連に対してデータを通過させること；送信されたデータ用のブロックヘッダを供 給し許可すること；関連管理装置に命令を出すこと、ＳＳＭが利用者データを許 可するように要求すること；割当てられたポート番号に対話番号をマツピングす ること；およびブロックデータ送信の受信を認承すること等の機能を含んでいる 。

図４Ｄにおいて、関連管理装置は二重、単一送信および遠方の５ＮＩＵとの単一 受信関連を支持する。関連管理装置は対話管理装置、データおよびＳＳＭと通信 する。それは以下の機能、すなわち：関連設定および終了；遠方の５ＮＩＵから の関連を開始または終了する要求の許可；秘密保護ポリシイにしたがって関連要 求を許可すること；監査；警報；遠方５ＮＩＵを識別すること；ネットワーク設 備上で別の５ＮＩＵに関するデータを通過させること；送信されたデータを暗号 化するためにデータおよび管理データキーを呼出すこと；およびネットワークイ ンターフェイスに命令を出すこと等の機能を有する。

図４Ｅにおいて、データは関連管理装置およびＳＳＭと通信し、以下の機能、す なわち；データをシールするのに使用された全てのキーを蓄積すること；関連管 理装置からの命令でデータブロック上においてシーリングおよびアンシーリング アルゴリズム（例えばキーの指数関数化）を実行すること；ＳＳＭからの命令で ５ＮＩＵ用の新しいキーを発生すること等の機能を有する。データと共に関連管 理装置は完全性保護を行い、データが正しい目的地に送られることを保証する。

データは、データブロック全体を変換する゛キーを使用する。

その代りとして、データの合計検査を実行し、技術的に知られているように合計 検査をシールすることができる。データブロックがその目的地に達した時にレー タまたはＭＤＣを通過された場合、ブロックはアンシールされる。残りのエラー は全て秘密保護事象と考えられる。

図４Ｆにおいて、ネットワークへのネットワークインターフェイスは関連管理装 置だけと通信し、以下の機能、すなわち：関連管理装置とネットワークとの間で データおよび情報を通過させること；および関連管理装置からネットワークに命 令を通過させること等の機能を有する。

［秘密保護管理装置およびＳＭ］ 秘密保護管理装置は、ネットワーク秘密保護機能を実行する秘密保護管理装置（ ＳＭ）を含む。図５Ａに示されているように、３Ｍ機能は３つのプラットフォー ム、すなわち：５ＮＩＵ秘密保護管理装置（ＳＳＭ）；エリア秘密保護管理装置 （ＡＳＭ）；およびネットワーク秘密保護管理装置（ＮＳＭ）に分配される。分 配されたプラットフォームは秘密保護システムの故障耐性を与える。３Ｍプラッ トフォームは、上記のＳＬＰを使用して互いに通信する。ＳＭの主機能は、シス テム初期化、ネットワーク回復、ネットワーク拡張／縮小、監査／警報、キー管 理、構成制御、アクセス制御、システムアドミニストレーション、指導サービス 、時間調整、およびインターネットワーク支持を含む。

システム初期化に対して、最初のキー、素子識別およびソフ）・ウェア負荷が発 生され、ネットワークシステムの従属素子に分配されなければならない。５ＮＩ Ｕは初期化されなければならない。最初のネットワーク位相幾何学情報は全てシ ステム中に入力されなければならない。ネットワークはそれらの主制御エージェ ントとの対話を設定する従属素子によって初期化される。この方法の下で、各５ ＮＩＵはパワーアップされてキーされ、その後その割当てられたＡＳＭとの対話 を設定しようとする。不成功の場合、５ＮＩＵは成功するまで主または別のＡＳ Ｍ装置との対話を設定することを周期的に試みる。成功的な設定後、動作的構成 情報は下流方向に各５ＮＩＵに負荷される。ＡＳＭはＮＳＭによって同じような 方法で初期化される。最下部からのシステム素子の初期化は不要なネットワーク オーバーヘッドを除去する。

単一のＡＳＭ故障の場合、ネットワークは実質的に影響を受けずに連続的に動作 することができる。自動手順は別のＡＳＭまたは故障したＡＳＭの再エントリイ への切替えのために行われる。影響を受けた５ＮＩＵは別のＡＳＭを探索し、新 しい関連を設定し、現在の構成データを上流へ負荷する。

ＡＳＭの再初期化に対して、ＡＳＭはラインに入り、その他の全てのＡＳＭとの ５ＮＩＵベアリングを遂行し、割当てられた５ＮＩＵとの関連を設定し、５ＮＩ Ｕに命令して新しい主エージェントに切換えるように試みる。類似した手順は、 ネットワーク拡張または縮小時の新しい割当てに対して使用される。

ＳＭはまたＳＭの基準に応答して５ＮＩＵによって発生された監査情報を収集し 、蓄積する。図５Ｂに示されたように、監査データは５ＮＩＵで局部的に捕捉さ れ、中間のＡＳＭで収集され、ＮＳＭで中央的に解析される。ＳＭはまた警報が 発生した時を検出し、問題を解決するために取るべき最も適切な動作を決定する 。自動化された解決が不可能な場合、ＳＭは解決のために秘密保護アトミニスト レータに問題を与える。

キー管理装置に対して、ＳＭはシステム完全性を保証するキー証明の発生、分配 、アカウンティングおよび破壊を行わせる。図５０に示されているように、ＮＳ Ｍは最初のＲ３Ａキ一対および証明を発生する。５ＮＩＵは、Ｎ８Ｍキー要求に 応答して公共キーを送信する。ＮＳＭは、公共キーが有効である場合に新しい証 明を戻す。さらに、ＮＳＭはキーが５ＮＩＵによって発生される時を指示する。

５ＮＩＵは、キ一対を発生するのに必要な全てのノ１−ドウエアおよびアルゴリ ズムを含んでいる。最初のキ一対を除いて、秘密キーは局部５ＮＩＵの外側で知 られていない。

構成制御に対して、全てのシステム素子は秘密保護通信を設定し、継続するため に必要な動作的な構成情報を維持するのに責任を持つ。特権の階級は維持され、 ホスト信頼範囲、５ＮＩＵアドレス、ホストの区分、ホスト名、およびデータタ イプ誇示等のホスト特権；利用者／利用誇示範囲、ホスト関連、データタイプ誇 示、利用者リスト、および利用者監査スイッチ等の利用者／利用特権；および５ ＮＩＵ　ＩＤ／タイプ、ネットワークアドレス、監査事象選択リスト、利用者リ スト、および信頼範囲等の５ＮＩＵ特権を含む。

ＳＭはネットワークへの全システムアドミニストレーション能力を支持すること が可能であり、健康および地位投票、特権管理、およびバックアップ管理を含む 。上記の監査の場合のように、地位データは５ＮＩＵによって局部的に捕捉され 、投票によりＡＳＭの中間レベル中に集められ、その後ＮＳＭにおける再割当て のために解析される。

ＳＭはまた図５Ｄに示されているように関連設定を支持しているＳＬＰに指示す −ビスを提供する。指示は所定の５ＮＩＵに対して主ＡＳＭ上に存在している。

５ＮＩＵが別の５ＮＩＵへのアクセスを必要とした場合、ＡＳＭは情報に対して 質問される。それがそのＡＭＳに存在しない場合、ＡＳＭはその健全てのＡＳＭ に情報要求を放送する。ＮＳＭはそれに従属するＡＳＭから更新された全指示を 維持する。各ＡＳＭは従属５ＮＩＵに対するマスター指示を維持し、小さい方の 接続紐に対する隠蔽指示がその従属５ＮＩＵによって要求される。各５ＮＩＵは 最も新しい接続に関連した指示エントリイの隠蔽されたものを維持する。

インターネットワーク支持に対して、ＳＭはインターネットワーク指示、インタ ーネットワークデジタルシグネチュア指示および秘密保護ポリシイ／意味の遂行 のようなサービスを提供する。ブリッジ５ＮＩＵにおいて、利用者が類似した秘 密保護意味の外部のネットワーク上に配置された後、全ての利用者は通信のため にブリッジＳ　Ｎ　１．　Ｕのアドレスを与えられる。ゲートウェイ５ＮＩＵは 、意味の等価なものを決定する要求を除いてブリッジ５ＮＩＵに類似している。

さらに、ゲートウェイ５ＮＩＵは初期化され、２つのＮＳＭにって制御される。

外部の（非秘密保護）ネットワークに通信した場合、ガード５ＮＩＵは大きいホ ストとして外部のネットワークを処理する。しかしながら、利用者の責任は外部 のネットワークに関して期待されない。ガード５ＮＩＵは遠方のホストではなく 、ネットワークに対してのみの秘密保護および接続を提供する。

［システム実施の例示〕 いずれも秘密保護されていない利用者またはホストコンピュータとネットワーク との間の５ＮＩＵの保護されたセツション層プロトコール（ＳＬＰ）を使用する 接続の設定を説明するために、ネットワークの通信用の通路設定の以下の例を階 段的に説明する。実際の実施において、利用者ホストはデジタルエクイソプメン ト社のＶ　Ｔ　３２０端末装置である。通信リンクは、９６００ビット／秒のラ イン速度のＲＳ−２３２直列ラインである。利用者インターフェイスは、５ＮＩ Ｕ内に位置している。ネットワークはＴＣＰ／ＩＰエターネットＬＡＮである。

ネットワークインターフェイスは５ＮＩＵ中に位置し、Ｒａｃａｌ／　Ｉ　ｎ１ ｅｒｌａｎ　Ｔ　ＣＰ／　Ｉ　Ｐエターネットカード（モデルＮＰ６２７）によ ってネットワークに接続される。

図６Ａにおいて、送信器による通路設定アップのステップが示されている。Ａ１ において、利用者はネットワークへのンターフェイスはＡ２でデータを変換し、 八３でセツション管理装置に利用者情報を提供する。セツション管理装置はＡ４ で秘密保護管理装置から利用者情報を要求し、秘密保護管理装置はＡ５で返送す る。セツション管理装置はＡ６で利用者を許可し、その後Ａ７でセツションを設 定する。利用者を許可できない場合、監査メツセージが発生され、利用者はアク セスを拒否される。セツション管理装置はＡ８で秘密保護管理装置にセツション 設定の監査メツセージを送る。

その後、利用者はＡ９で対話要求を送る。対話管理装置はＡＩＯで送信プロセス を識別し、Ａｌｌで秘密保護管理装置から目的地情報を要求し、それはＡ１２で 秘密保護管理装置が供給する。その後、対話管理装置はＡｌ１で関連管理装置に 関連設定命令を出す。関連管理装置はＡ１４で証明を、またＡ１５で関連設定メ ツセージをネットワーク上の目的地に送る。その後、関連管理装置は、Ａ１６で 目的地アドレスの遠方の５ＮＩＵからの返送証明を、またＡｌ１で関連設定誇示 を受取る。関連管理装置はＡｌｇでレータに証明をアンシールすることを命令し 、Ａ１９でアンシールされた証明を許可する。関連管理装置はＡ２０でレータに 関連設定誇示をアンシールすることを命令し、Ａ２１で関連を設定する。その後 、関連管理装置はＡ２２で秘密保護管理装置に監査メツセージを送る。

対話管理装置は対話番号およびタイプを選択し、Ａ２３で遠方の５ＮＩＵに要求 を送り、Ａ２４で番号およびタイプの誇示を受ける。対話管理装置はＡ２５て対 話を許可し、その後Ａ２６で秘密保護管理装置に監査メツセージを送る。セツシ ョン管理装置はＡ２７で対話用のポートの生成を命令し、Ａ２８で秘密保護管理 装置に監査メツセージを送る。利用者インターフェイスはＡ２９で対話用のポー トを生成し、その時点で要求された通信の伝送が行われることができる。

図６Ｂにおいて、受取っている５ＮＩＵの通路設定のステップが示されている。

関連管理装置はＢ１で送信している５ＮＩＵの証明を受取り、Ｂ２でレータにそ れをアンシースすることを命令し、Ｂ３てそれを許可する。それはまたＢ４で関 連設定メツセージを受取り、Ｂ５でレータにそれをアンシースすることを命令し 、Ｂ６で関連を許可し、Ｂ７で関連を設定し、Ｂ８で送信している５ＮＩＵに返 送証明を送信し、Ｂ９てメツセージを誇示し、その後ＢＩＯで秘密保護管理装置 に監査メツセージを送信する。対話管理装置は、Ｂｌｌで関連管理装置から対話 設定要求を受取り、Ｂ１２で秘密保護管理装置から利用者情報を要求し、それは Ｂ１３で供給され、Ｂ１０で局部プロセスを識別し、Ｂ１０で対話要求を許可し 、Ｂ１６で対話を許容し、Ｂ１７で対話番号およびタイプ誇示を関連管理装置に 送り、Ｂ１０でメツセージを監査する。セツション管理装置はＢ１９てｉ＝ｆ話 用のポートに命令し、Ｂ２０で監査メツセージを送り、その時点て利用者インタ ーフェイスはＢ２１で応答し、Ｂ２２で利用者に対するデータの変換を開始する 。

５ＮＩＵは、ホスト装置とネットワークとの間にサーノくとして結合される汎用 コンピュータで実行されるソフトウェアプログラムの形態で構成されることかで きる。その代りとして、それはホスｌ−装置中に存在し、それから実行されるネ ツトワーク通化プログラムとしてプログラムされることもできる。しかしながら 、秘密保護のためには５ＮＩＵの好ましい形態の５ＮＩＵはＲＯＭ中に存在し、 専用マイクロプロセッサによって実行される秘密保護プログラム機能を有する閉 じたモジュールである。閉じたモジュールは、ネットワークへの通信リンクまた はモデムを含むことができる。

ＳＳＭはホスト位置に５ＮＩＵプログラムと共に存在するソフトウェアプログラ ムでもよく、或はネットワークを通して５ＮＩＵに接続された分離したコンピュ ータ装置上で実行されてもよい。ＡＳＭは大きいホスト位置にＳＳＭと共に存在 するソフトウェアプログラムでもよく、或はネットワークを通して割当てられた ＳＳＭに接続されたエリア用の分離したコンピュータ装置上で実行されてもよい 。ＮＳＭは、ネツトワークに接続された分離した秘密保護コンピュータ装置から 動作され、全体的な秘密保護アトミニストレータによって動作されることが好ま しい。５ＮＩＵおよびＳＭの分配されたプラットフォームのための構成の特定の 物理的な位置および形態は、ネットワーク構成、所望の秘密保護ポリシイ、およ び利用者群に応じて変化する。

ここに示された実施例は、本発明の原理の単なる例示であり、当業者は本発明の 技術的範囲を逸脱することなく多数の変化および修正を行ってもよいことが理解 されるであろう。

このような全ての変化および修正は、添付された請求の範囲内に含まれる。

ＦＩＧ、　１ 単一利用者 ｎＧ、　３８ ＦＩＣ，，３Ｃ 尿　巧 ＦＩＧ、　５Ｃ ＦＩＧ、　５Ｄ フロントページの続き （５１）　Ｉｎｔ、　Ｃ１，’　識別記号　庁内整理番号Ｈ０４Ｌ　９／１２ （７２）発明者　ボイル、ジョン・エムアメリカ合衆国、ニューシャーシー州 ０７０１６、クランフォード、コロンビア・アベニュー　２１１ Ｉ （７２）発明者　メイワルド、エリツク・ニスアメリカ合衆国、ニューヨーク州 　１０９７５、サウスフィールズ、オールド・ミル・ロード５０８

Claims (20)

【特許請求の範囲】
1. １．それぞれネットワークとの間における利用者要求アクセスを識別する手段と 、識別された利用者がネットワークと間のアクセスを認承されたか否かを確認す る手段と、前記識別された利用者がアクセスを承認された場合に前記ＳＮＩＵを 通ってホストまたは利用者コンピュータとネットワークとの問の相互接続のセッ ション層において利用者セッションを設定する手段とを含む各ホストまたは利用 者コンピュータとネットワークとの間に結合された秘密保護ネットワークインタ ーフェイス装置（ＳＮＩＵ）と、 前記各秘密保護ネットワークインターフェイス装置（ＳＮＩＵ）に接続された秘 密保護管理装置（ＳＭ）を含み、ホストまたは利用者コンピュータ装置とネット ワークとの間で前記秘密保護ネットワークインターフェイス装置（ＳＮＩＵ）を 通って伝送される通信の秘密を保護するために前記各秘密保護ネットワークイン ターフェイス装置（ＳＮＩＵ）の動作および構成を制御する手段を有する秘密保 護管理（ＳＭ）手段とを具備しているネットワーク上のホストまた利用者コンピ ュータ装置用のネットワーク秘密保護装置。
2. ２．前記ＳＮＩＵは、定められたセッション層プロトコール（ＳＬＰ）を実行す る手段を含んでいる請求項１記載のネットワーク秘密保護装置。
3. ３．前記ＳＮＩＵは、前記ＳＮＩＵを通してネットワークと利用者の相互接続の セッションを制御するセッション管理装置と、前記ＳＮＩＵを通して前記セッシ ョンのために設定されたデータ路を制御する対話管理装置と、ネットワーク上の 遠方のＳＮＩＵと前記データ路上のデータの伝送を制御する関連管理装置とを含 んでいる請求項１記載のネットワーク秘密保護装置。
4. ４．前記ＳＮＩＵはＳＮＩＵによりネットワークヘの利用者アクセスを行う利用 者インターフェイスを含んでいる請求項１記載のネットワーク秘密保護装置。
5. ５．前記ＳＮＩＵは前記ＳＮＩＵを通って伝送された許可データ用のデータシー ラを含んでいる請求項１記載のネットワーク秘密保護装置。
6. ６．前記ＳＮＩＵはネットワークと前記ＳＮＩＵをインターフェイスするネット ワークインターフェイスを含んでいる請求項１記載のネットワーク秘密保護装置 。
7. ７．前記ＳＭは含み、そのＳＭが接続される１以上のＳＮＩｕの機能の秘密保護 アドミニストレーションを含むネットワーク秘密保護機能を実行する手段を含ん でいる請求項１記載のネットワーク秘密保護装置。
8. ８．前記ＳＭ機能を実行する前記手段は３つのプラットフォーム、すなわちＳＮ ＩＵ秘密保護管理装置（ＳＳＭ）、エリア秘密保護管理装置（ＡＳＭ）およびネ ットワーク秘密保護管理装置（ＮＳＭ）に対して分配されている請求項７記載の ネットワーク秘密保護装置。
9. ９．前記ＳＳＭの前記ＳＭ機能を実行する前記手段はＳＮＩＵとデータおよび命 令を交換し、初期化、構成制御、アクセス制御、シーラキー管理、監査／警報、 およびＳＮＩＵのためのその他のサービスを含んでいる請求項８記載のネットワ ーク秘密保護装置。
10. １０．前記ＡＳＭの前記ＳＭ機能を実行する前記手段は定められたエリアにおけ る１群のＳＮＩＵ用の秘密保護機能を管理する請求項８記載のネットワーク秘密 保護装置。
11. １１．前記ＮＳＭの前記ＳＭ機能を実行する前記手段は全体としてネットワーク に対してＡＳＭの秘密保護機能を管理する請求項８記載のネットワーク秘密保護 装置。
12. １２．各ホストまたは利用者コンピュータとネットワークとの間に秘密保護ネッ トワークインターフェイス装置（ＳＮＩＵ）を結合し、 ネットワークとの間の利用者要求アクセスを識別し、前記識別された利用者がア クセスを確認された場合に前記ＳＮＩＵを通してホストまたは利用者コンピュー タ装置とネットワークとの間の相互接続のセッション層において利用者セッショ ンを設定するために前記ＳＮＩＵを使用し、前記ＳＮＩＵを通してホストまたは 利用者コンピュータ装置とネットワークとの間を伝送された通信の秘密を保護す るために前記各ＳＮＩＵの動作および構成を制御する機能を実行するために前記 各ＳＮＩＵに接続された秘密保護管理装置（ＳＭ）を含む秘密保護管理（ＳＭ） 構成を提供するステップを含んでいるネットワーク上のホストまたは利用者コン ピュータ装置に対するネットワーク秘密保護を行わせる方法。
13. １３．前記ＳＮＩＵを使用するステップは、前記ＳＮＩＵを通して定められたセ ッション層プロトコール（ＳＬＰ）を実行する請求項１２記載の方法。
14. １４．前記ＳＮＩＵを使用するステップは、前記ＳＮＩＵを通してネットワーク と利用者との相互接続のセッションを制御するセッション管理装置を提供し、前 記セッションのために設定された前記ＳＮＩＵを通るデータ路を制御する対話管 理装置を提供し、ネットワーク上の遠方のＳＮＩＵにより前記データ路上のデー タの伝送を制御する関連管理装置を提供するサブステップを含んでいる請求項１ ２記載の方法。
15. １５．前記ＳＮＩＵを使用するステップは、前記ＳＮＩＵを通って伝送されたデ ータを暗号化し、復号化するためのデータシーラを提供するサブステップを含ん でいる請求項１２記載の方法。
16. １６．前記ＳＭ機能を行うステップは、前記ＳＭが接続されている１以上のＳＮ ＩＵの機能の秘密保護アドミニストレーションを行うサブステップを含んでいる 請求項１２記載の方法。
17. １７．前記ＳＭ機能を行うステップは３つのプラットフォーム、すなわちＳＮＩ Ｕ秘密保護管理装置（ＳＳＭ）、エリア秘密保護管理装置（ＡＳＭ）およびネッ トワーク秘密保護管理装置（ＮＳＭ）に対して前記ＳＭ機能を分配するサブステ ップを含んでいる請求項１６記載の方法。
18. １８．前記ＳＳＭの前記ＳＭ機能はＳＮＩＵとデータおよび命令を交換し、初期 化、構成制御、アクセス制御、シーラキー管理、監査／警報、およびＳＮＩＵに 対するその他のサービスを実行する請求項１７記載のネットワーク秘密保護装置 。
19. １９．前記ＡＳＭの前記ＳＭ機能は定められたエリアにおける１群のＳＮＩＵに 対する秘密保護機能を管理する請求項１７記載のネットワーク秘密保護装置。
20. ２０．前記ＮＳＭの前記ＳＭ機能は全体的なネットワークに対してＡＳＭの秘密 保護機能を管理する請求項１７記載のネットワーク秘密保護装置。