JPH09252315A

JPH09252315A - 暗号通信システムおよび暗号装置

Info

Publication number: JPH09252315A
Application number: JP8057738A
Authority: JP
Inventors: Yoshimasa Baba; 義昌馬場; Yuji Atsui; 裕司厚井; Yukio Yokoyama; 幸雄横山; Teruko Fujii; 照子藤井; Toru Inada; 徹稲田; Akira Watanabe; 晃渡邊
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 1996-03-14
Filing date: 1996-03-14
Publication date: 1997-09-22

Abstract

(57)【要約】【課題】ルータを介して暗号通信が行える暗号装置を
提供する。【解決手段】暗号装置は、パケットに含まれる通信元
および通信相手のアドレスを除いてパケットを暗号処理
し、ルータは、暗号化していない通信元および通信相手
のアドレスを基に中継する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、通信網における
暗号通信に関するものである。

【０００２】

【従来の技術】従来より暗号方式には秘密鍵暗号と呼ば
れるものがあり、例えば６４ビットの鍵を用いたANSI
（アメリカ規格協会）の標準であるDES(Data Encryptio
n Standard)方式や日本電信電話株式会社の登録商標で
あるFEAL(Fast data EnciphermentALgorithm)などがあ
る。また、通信網における暗号通信に関する暗号装置や
暗号通信方式として、宛先の端末に対応した鍵を用いた
暗号通信について、特開昭61-81044、特開平4-86041、
特開平4-297155、特開平4-326222、特開平５−２４４１
５３などの数多くの例が考案されている。図１７は例え
ば特開平４−２９７１５５号公報に示された暗号装置の
従来例を示す構成図である。図１７において、１は端
末、３は暗号装置、７０２はアドレス情報を保持するア
ドレス保持部、７０３は第１分岐合成回路、７０４は変
調復調器、７０５は第２分岐合成回路、７０７はトラン
シーバ、９１ａは通信網である。

【０００３】次に動作について説明する。図１８、図１
９は従来の暗号装置の処理手順を示す図である。端末１
から暗号化の対象となるパケットの宛先アドレスとその
暗号系列を表す暗号鍵をアドレス保持部７０２に送り、
アドレス保持部７０２がその宛先アドレスと暗号鍵を対
応させてメモリに保持することによって初期設定を行
う。

【０００４】図１８は装置の処理手順を示し、ステップ
７１４で端末１が暗号装置３にパケットを送る。ステッ
プ７１５で、暗号装置３の第１分岐合成回路７０３がア
ドレス保持部７０２にそのパケットの宛先が保持されて
いるか参照し、ステップ７１６で、宛先アドレスが保持
されているならば、ステップ７１７に進み、第１分岐合
成回路７０３がパケットを変調復調器７０４に送る。ス
テップ７３５で変調復調器７０４がアドレス保持部７０
２からパケットの宛先アドレスの暗号鍵を受け取り、ス
テップ７３６で、変調復調器７０４が暗号鍵に従ってパ
ケットを暗号化し、ステップ７１９で、変調復調器７０
４がそのパケットを第２分岐合成回路７０５に送りステ
ップ７２１に進む。ステップ７１６で、アドレス保持部
７０２に宛先アドレスが保持されていなければステップ
７２０に進み、第１分岐合成回路７０３がパケットを第
２分岐構成回路７０５に送る。次に、ステップ７２１
で、第２分岐合成回路７０５がパケットを通信網９１ａ
に送る。

【０００５】図１９は受信の処理手順を示し、ステップ
７２４で、通信網９１ａから暗号装置３にパケットを送
られ、ステップ７２５で、暗号装置３の第２分岐合成回
路７０５がアドレス保持部７０２にパケットの送信元ア
ドレスが保持されているか参照し、ステップ７２６で、
送信元アドレスが保持されているならば、ステップ７２
７に進み、第２分岐合成回路７０５がパケットを変調復
調器７０４に送り、ステップ７３５で変調復調器７０４
がアドレス保持部７０２からパケットの送信元アドレス
の暗号鍵を受け取り、ステップ７３７で、暗号鍵に従っ
て暗号を復号し、ステップ７２９で、復号されたパケッ
トを第１分岐合成回路７０３に送り、ステップ７３１に
進む。ステップ７２６で、アドレス保持部７０２に送信
元アドレスが保持されていなければ７３０に進み、第２
分岐合成回路７０５がパケットを第１分岐合成回路７０
３に送り、ステップ７３１で、第１分岐合成回路７０３
がパケットを端末１に送る。

【０００６】通信網９１ａに接続された複数の端末１間
の通信で、暗号装置３のパケット送受信において共通の
暗号鍵を用いて前記暗号化・復号を行うことにより暗号
閉域通信が可能となる。

【０００７】

【発明が解決しようとする課題】従来の暗号装置は、以
上のように同一ネットワーク上での暗号通信を実現する
ために通信相手対応に暗号化するので、パケットを中継
するルータを介して接続された端末間で暗号通信を行う
場合は、ルータが使用するフィールドや、ルータが応答
すべきパケットまで暗号化されるためルータが正常に解
釈できずに暗号通信ができなかった。

【０００８】また、ルータにファイアウォール機能があ
る場合は、中継データの特定フィールドを参照して通信
の可否を判断するため、特定フィールドが暗号化されて
いると通信の可否が正常に行えずに暗号通信ができなか
った。また、暗号装置を設置しても、特定の通信は暗号
化せずに平文のまま転送（透過処理）したり、廃棄（廃
棄処理）したりすることが望まれていた。

【０００９】この発明は前記のような問題点を解消する
ためになされたもので、第一の目的は、ルータを介して
暗号通信が行える暗号装置を得ることを目的とする。

【００１０】第二の目的は、不正侵入を防止するファイ
アウォール機能を有するルータを介して暗号通信が行え
る暗号装置を得ることを目的とする。

【００１１】第三の目的は、階層化されたデータの種別
対応に暗号化、透過、廃棄を指定できる暗号装置を得る
ことを目的とする。

【００１２】

【課題を解決するための手段】第一の発明に係わる暗号
通信システムは、端末を暗号装置を介して構内通信網に
接続し、構内通信網間をルータが中継接続する暗号通信
システムにおいて、第１の暗号装置は、端末から受信し
たパケットを入力する入力手段と、入力したパケットに
含まれる通信元および通信相手のアドレスを除いてパケ
ットを暗号化する暗号手段と、暗号化したパケットを第
１の構内通信網に送出する送出手段とを有し、ルータ
は、第１の構内通信網から受信したパケットを入力する
入力手段と、入力したパケットに含まれる通信元および
通信相手のアドレスをもとに第２の構内通信網にパケッ
トを中継する中継手段とを有し、第２の暗号装置は、第
２の構内通信網から受信したパケットを入力する入力手
段と、入力したパケットに含まれる通信元および通信相
手のアドレスを除いてパケットを復号する復号手段と、
復号したパケットを端末に送出する送出手段とを有する
ものである。

【００１３】第二の発明に係わる暗号通信システムは、
第１の暗号装置の暗号手段が、入力したパケットに含ま
れる通信元および通信相手のアドレスと不正侵入をチェ
ックする不正侵入フィールドを除いてパケットを暗号化
し、ルータの中継手段が、入力したパケットに含まれる
通信元および通信相手のアドレスと不正侵入フィールド
のチェック結果とに基づいてパケットを中継し、第２の
暗号装置の復号手段が不正侵入フィールドを除いてパケ
ットを復号するものである。

【００１４】第三の発明に係わる暗号装置は、パケット
を入力する入力手段と、入力したパケットの所定フィー
ルドを暗号処理する暗号処理手段と、入力したパケット
を廃棄する廃棄処理手段と、入力したパケットになにも
処理せず出力する透過処理手段と、データ種別とデータ
処理種別の対応を記憶するデータ処理種別テーブルを指
すポインタ手段と、入力したパケットに含まれる各階層
のデータ種別対応に、暗号処理手段、廃棄処理手段、透
過処理手段、ポインタ手段のいずれの手段でパケットを
処理するかをデータ処理種別テーブルに登録するデータ
処理種別登録手段と、入力したパケットに含まれる各階
層のデータ種別に対応してデータ処理種別テーブルに登
録されているデータ処理種別が、ポインタ手段ならその
ポインタ手段が指すデータ処理種別テーブルに基づいて
入力したパケットを処理し、ポインタ手段以外ならデー
タ処理種別登録手段が登録したデータ処理種別に基づい
て、入力したパケットを処理する暗号処理手段と、暗号
処理したパケットを出力する出力手段とを有するもので
ある。

【００１５】

【発明の実施の形態】

実施の形態１．本実施の形態は、ルータで接続された複
数のネットワークを介して、暗号通信を行おうとするも
のである。図１〜８は本実施の形態を説明する図で、図
１は暗号装置の構成を示す。図において、１は端末、３
は暗号装置、３１は各種の演算制御を行う中央処理装
置、３２はプログラムおよびワーキング用のメモリとし
て使用するROM/RAM、３３はデータ処理部である。３６
は端末側送受信部、３７は網側送受信部、３８はデータ
格納メモリ、５は通信網である。

【００１６】図２は、暗号通信システムの構成例を示す
図であり、図において、1a〜1fは端末、3a〜3cは端末1d
〜1f対応に設けた暗号装置、5b、5dは構内通信網、5eは
広域通信網、6b、6dは通信網を相互接続するルータであ
る。図３は、たとえば構内通信網としてイーサネットと
呼ばれるLAN(Local Area Network)上でのフレームフォ
ーマットを示す図であり、図において、４１はフレーム
フォーマット、４２は宛先MACアドレス部、４３は送信
元MAC(Media AccessControl)アドレス部で、MACアドレ
スはEthernetにおける物理的なハードウエア・インタフ
ェースのアドレスである。４４はフレームタイプを設定
しておくフレームタイプ部で、IP、ARPなど上位ネット
ワーク層のプロトコルの種別を示す。４５はフレームデ
ータ部である。なお、IP（Internet Protocol）はTCP/I
Pのネットワークで通信を行うためのプロトコルで、ARP
（Address Resolution Protocol）は既知の通信相手のI
Pアドレス（TCP/IPの通信手順で端末を識別するために
用いるもの）を元に、その通信相手の未知のMACアドレ
スを求めるためのプロトコルである。

【００１７】図４は、ARPパケット７１の構成を示し、
図３におけるフレームタイプ部４４がARPパケットを示
している場合、フレームデータ部４５の内容はARPパケ
ット７１であり、その詳細を図４に示している。図にお
いて、７２はリクエストパケットかレスポンスパケット
かを示すオペレーション部、７３は送信元MACアドレス
部、７４は送信元IPアドレス部、７５は宛先MACアドレ
ス部、７６は宛先IPアドレス部である。

【００１８】図５は、IPパッケットの構成を示す図で、
図３のフレームタイプ部４４がIPパケットを示している
場合、フレ−ムデ−タ部４５の内容はIPパケットであ
り、その詳細を図５に示している。図５において、８１
はIPパケット、８２はIPヘッダ部、８６はIPデータ部、
８３はプロトコル部で、トランスポート層のプロトコル
種別を示す。８４は送信元IPアドレス部、８５は宛先IP
アドレス部である。

【００１９】次に、図６および図７を用いて暗号装置3a
における端末1dからのデータ送信動作、および端末1dへ
のデータ受信動作を説明し、そのあと図８を用いて、ル
ータを介して端末1dから端末１fへデータ伝送する例を
示す。

【００２０】次に、図６により端末1dからのデータ送信
の動作を例に説明する。ステップ７０２で暗号装置3aが
端末1dからフレーム４１を受け取る。ステップ７０３
で、図１の暗号装置3aの端末側送受信部３６は、前記の
フレーム４１を受け取りデータ格納メモリ３８に書き込
み、中央処理装置３１にフレーム４１を受け取ったこと
を伝える。ステップ７０４に進み、中央処理装置３１
は、データ格納メモリ３８から受信したフレームを読み
取り、フレームタイプ部４４に設定されているフレーム
タイプを判別し、フレームタイプがARPであれば暗号化
せずにステップ７０８に進み、そうでなければステップ
７０５に進む。

【００２１】そして、ステップ７０５で、中央処理装置
３１は、データ処理部３３に対しフレーム４１のデ−タ
の処理を指示する。次にステップ７０６に進み、デ−タ
処理部３３はIPパケット８１のIPデータ部８６を暗号化
し、ステップ７０７に進む。ステップ７０７で、デ−タ
処理部３３は処理が終了したことを中央処理装置３１に
伝え、ステップ７０８に進む。ステップ７０８で中央処
理装置３１は、フレーム４１を構内通信網5bに送信する
ように網側送受信部３７に指示する。そして、ステップ
７０９で網側送受信部３７は、データ格納メモリ３８か
らフレーム４１を読み取り、構内通信網5bへ送る。

【００２２】次に、図７により構内通信網5bから端末1d
へのデータ受信の動作を例に説明する。ステップ８０２
で自端末1dの暗号装置3aは、フレーム４１を構内通信網
5bから受け取る。ステップ８０３で、暗号装置3aの網側
送受信部３７は、前記のフレーム４１を受け取りデータ
格納メモリ３８に書き込み、中央処理装置３１にフレー
ム４１を受け取ったことを伝える。ステップ８０４に進
み、中央処理装置３１は、データ格納メモリ３８から受
信したフレームを読み取り、フレームタイプ部４４に設
定されているフレームタイプを判別し、フレームタイプ
がARPパケットなら復号せずにステップ８０８に進む。
そうでなければステップ８０５に進む。

【００２３】そして、ステップ８０５で、中央処理装置
３１はデータ処理部３３に対し、フレーム４１の処理を
指示する。そして、ステップ８０６に進み、データ処理
部３３はIPパケット８１のIPデ−タ部８６を復号し、ス
テップ８０７に進む。ステップ８０７で、データ処理部
３３は処理が終了したことを中央処理装置３１に伝え、
ステップ８０８に進む。ステップ８０８で中央処理装置
３１は、フレーム４１を端末1dに送信するように端末側
送受信部３６に指示する。そして、ステップ８０９で端
末側送受信部３６は、データ格納メモリ３８からフレー
ム４１を読み取り、端末1dへ送る。

【００２４】次に、図８を用いて端末1dから端末1fへＩ
Ｐ（Iternet Protocol ）通信する例を説明する。端末1
dは、端末1fとのIP通信に先立ち、フレ−ムタイプ部４
４にARP(AddressResolution Protocol)パケットを示す
値を、オペレ−ション部７２にリクエストパケットを示
す値を、フレ−ムの宛先MACアドレス部４２にはブロ−
ドキャストアドレスを、送信元MACアドレス部４３には
自端末1dのMACアドレスを、ARPパケットの送信元MACア
ドレス部７３には自端末1dのMACアドレスを、送信元IP
アドレス部７４には自端末1dのIPアドレスを、そして宛
先IPアドレス部７６には宛先端末1fのIPアドレスを設定
したARPリクエストパケットを送信する（ステップ１０
１）。ARPリクエストパケットを送信するのは、宛先端
末1fにIPパケットを送信するのに必要な宛先MACアドレ
スをもとめるためである。

【００２５】端末1dからのARPリクエストパケットを受
信した暗号装置3aは、図６で説明したようにフレ−ムタ
イプ部４４がARPパケットを示すので、暗号化せずに構
内通信網5bへ転送する（ステップ１０２）。構内通信網
5bに接続されたル−タ６ｂは、宛先MACアドレスがブロ
ードキヤストのARPリクエストパケットを受信し、宛先I
Pアドレス部７６に設定されているIPアドレスを参照し
て中継可能であることを知る。そして、ル−タ６ｂは、
自身のMACアドレスを端末1fに通知するためにARPレスポ
ンスパケットを構内通信網5bへ送信する（ステップ１０
３）。

【００２６】ただし、ル−タ６ｂは、送信に先立ちARP
レスポンスパケットを編集する。すなわち、フレ−ムの
宛先MACアドレス部４２に端末1dのMACアドレスを、送信
元MACアドレス部４３にル−タ自身のMACアドレスを、フ
レ−ムタイプ部４４にARPパケットを示す値を、オペレ
−ション部７２にレスポンスパケットを示す値を、送信
元MACアドレス部７３にル−タ自身のMACアドレスを、送
信元IPアドレス部７４にル−タ自身のIPアドレスを、宛
先MACアドレス部７５に端末1dのMACアドレスを、宛先IP
アドレス部７６に端末1dのIPアドレスを設定する。

【００２７】構内通信網5bに接続されたル−タ６ｂから
のARPレスポンスパケットを受信した暗号装置3aは、ARP
レスポンスパケットのフレ−ムタイプ部４４がARPパケ
ットを示すため、暗号化せずに端末1dへARPレスポンス
パケットを転送する（ステップ１０４）。端末1dは、受
信したARPレスポンスパケットの送信元IPアドレス部７
４と送信元MACアドレス部７３により、宛先端末1fにIP
データを送信する場合の宛先MACアドレスを知り、フレ
ームの宛先MACアドレス部４２にル−タ6bのMACアドレス
を、フレ−ムの送信元MACアドレス部４３に自端末1dのM
ACアドレスを、そしてフレ−ムタイプ部４４にIPパケッ
トを示す値を設定し、IPヘッダ部８２のプロトコル部８
３には所望のプロトコル種別を、送信元IPアドレス部８
４に端末1dのIPアドレスを、宛先IPアドレス部８５に端
末1ｆのIPアドレスを設定したIPパケットを送信する
（ステップ１０５）。

【００２８】端末1dからのIPパケットを受信した暗号装
置3aは図６で説明したようにIPヘッダ部８２は暗号化せ
ずにIPデータ部８６を暗号化して構内通信網5bへ転送す
る（ステップ１０６）。暗号装置3aにより暗号化された
IPパケットは構内通信網5bに接続されたルータ6bに受信
され、広域通信網5e経由ル−タ6dへ中継される（ステッ
プ１０７）。

【００２９】広域通信網5eからIPパケットを受信したル
−タ6dは、IPヘッダ８２の宛先IPアドレス部８５の内容
を参照して、構内通信網5dに属することを知り、宛先MA
Cアドレスを求めるためにARPリクエストを構内通信網5d
に送信する（ステップ１０８）。ただし、ARPリクエス
トパケットを以下のように編集して送出する。フレ−ム
の宛先MACアドレス部４２にはブロ−ドキャストアドレ
スを、送信元MACアドレス部４３にはルータ6d自身のMAC
アドレスを、フレ−ムタイプ部４４にARPパケットを示
す値を、オペレ−ション部７２にリクエストパケットを
示す値を、送信元MACアドレス部７３にはルータ6d自身
のMACアドレスを、送信元IPアドレス部７４にはルータ6
d自身のIPアドレスを、そして宛先IPアドレス部７６に
は宛先端末1fのIPアドレスを設定する。

【００３０】構内通信網5dに接続されたル−タ6dからの
ARPリクエストを受信した暗号装置3cはフレ−ムタイプ
部４４の内容がARPパケットを示すので、暗号化せずに
端末1fへARPリクエストを転送する（ステップ１０
９）。暗号装置3cからARPリクエストを受信した端末1f
は、ARPリクエストの宛先IPアドレス部７６に設定され
ているIPアドレスを元に、自端末1f宛てのIPパケットで
あることを知り、自身のMACアドレスを知らせるARPレス
ポンスパケットを暗号装置3cに送信する（ステップ１１
０）。端末1fからARPレスポンスパケットを受信した暗
号装置3cはARPレスポンスパケットのフレ−ムタイプ部
４４がARPパケットを示すため、暗号化せずに構内通信
網5dへ転送する（ステップ１１１）。

【００３１】構内通信網5dに接続されたル−タ6dは、暗
号装置3cから受信したARPレスポンスパケットから宛先M
ACアドレスを求め、ステップ１０７で受信したIPパケッ
トの宛先MACアドレス部４２に設定し、また送信元MACア
ドレス部４３にルータ6d自身のMACアドレスを設定し、
そのIPパケットを構内通信網5dに送信する（ステップ１
１２）。構内通信網5dに接続された暗号装置3cはル−タ
6dにより送信されたIPパケットを受信し、暗号化された
IPデータ部８６を復号して端末1fへ転送する（ステップ
１１３）。端末1fは暗号装置3cにより復号されたIPパケ
ットを受信し、端末1dからのIPデ−タを受信する。以
後、ル−タ6dは端末1ｆのIPアドレスとMACアドレスを知
っているので、端末1dからのIPパッケットはステップ１
１４〜１１８の手順で端末1fに送られる。以上のよう
に、暗号装置においてARPパケットは暗号化せず、IPパ
ケットはIPデータ部を暗号化するので、ルータに暗号機
能を持たせずに、端末1dを収容する暗号装置3aと端末1f
を収容する暗号装置3c間でル−タを介して暗号通信がで
きる。また、暗号装置に暗号機能を持たせるので、端末
はアプリケーションを変更することなく暗号機能を利用
できる。

【００３２】実施の形態２．本実施の形態は、外部の広
域通信網から不正侵入を防ぐためのファイアウォール機
能を持つルータを介して暗号通信するものである。図１
〜４、図８〜１２は本実施の形態を説明するための図
で、図１〜４、図８は実施の形態１と同様で説明を省
く。図９は、図３のフレ−ムタイプ部４４がIPパケット
を示している場合、フレ−ムデ−タ部４５の内容はIPパ
ケットで、その詳細は図９（a）、（b）、（c）に示す
とおりである。図９（a）において、８３はプロトコル
部で、トランスポート層のプロトコル種別TCP，UDPなど
を格納する。他は図５と同一で説明を省く。なお、TCP
（Transmission Control Protocol）はコネクションオ
リエンテッドで通信するためのプロトコルで、UDP（Use
r Datagram Protocol ）はコネクションレスで通信する
ためのプロトコルである。図９（b）は、プロトコル部
８３がTCPを示している場合、IPデ−タ部８６の詳細を
示しており、８７はTCPヘッダ部、８８は送信元ポート
部で、８９は宛先ポート部で、それぞれアプリケーショ
ン層のプロトコル種別を示す。９０はパケットの伝送方
向を示すコードビット部、９１はTCPデータ部である。
図９（c）は、プロトコル部８３がUDPを示している場
合、IPデ−タ部８６の詳細を示しており、９２はUDPヘ
ッダ部、９３は送信元ポート部、９４は宛先ポート部、
９５はUDPデ−タ部である。

【００３３】図１０は図９のTCPヘッダ部８７にあるコ
ードビット部９０のフォーマットを示し、９６はACKビ
ット部、９７はSYNビット部である。ACKビット部９６と
SYNビット部９７とでTCPコネクション確立方向が許可さ
れている方向か否かを判定するのに用いる。

【００３４】次に、図１１および図１２を用いて暗号装
置3aにおける端末1dからのデータ送信動作、および端末
1dへのデータ受信動作を説明し、そのあとルータ6b、6d
を介して端末1dから端末１fへデータ伝送する例を図８
を用いて説明する。図１１は、暗号装置3aの端末1dから
のデータ送信動作を示すが、図１１は図６と比較しステ
ップ７０６をステップ７６１〜７６４に置き換えたもの
でステップ７６１でIPヘッダ部８２のプロトコル部８３
がTCPであればステップ７６４へ進み、TCPヘッダ部８７
の送信ポート部８８、宛先ポート部８９、ACKビット部
９６、SYNビット部９７を除くIPデータ部８６を暗号化
する。ステップ７６１でIPヘッダ部８２のプロトコル部
８３がUDPであればステップ７６３に進み、UDPヘッダ部
９２の送信元ポート部９３、宛先ポート部９４を除くIP
データ部８６を暗号化する。ステップ７６１でIPヘッダ
部８２のプロトコル部８３がTCPまたはUDPでなければス
テップ７６２へ進み、すべてのIPデータ部８６を暗号化
する。他の動作は図６と同じで説明を省略する。

【００３５】図１２は、暗号装置3aの構内通信網5bから
のデータ受信動作を説明するが、図１２は図７と比較し
てステップ８０６をステップ８６１〜８６４に置き換え
たもので、ステップ８６１でIPヘッダ部８２のプロトコ
ル部８３がTCPであればステップ８６４へ進み、TCPヘッ
ダ部９７の送信元ポート部８８、宛先ポート部８９、AC
Kビット部９６、SYNビット部９７を除くIPデータ部８６
を復号する。ステップ８６１でIPヘッダ部８２のプロト
コル部８３がUDPであればステップ８６３へ進み、UDPヘ
ッダ部９２の送信元ポート部９３、宛先ポート部９４を
除くIPデータ部８６を復号する。ステップ８６１でIPヘ
ッダ部８２のプロトコル部８３がTCPまたはUDPでなけれ
ばステップ８６２へ進み、すべてのIPデータ部８６を復
号する。他の動作は図７と同じで説明を省略する。

【００３６】次に、端末1dからTCPパケットを暗号装
置、ルータ6b、6dを介して端末1fへ伝送する例を図８に
従い説明する。ただし実施形態１と同一部分は説明を省
略する。なお、ルータ6bは構内通信網5bへの不正侵入を
防ぐためのファイアウォール機能を持つものとし、ルー
タ6dは不正侵入防止をしないものとする。そして、ルー
タ6bはIPヘッダ部のプロトコル部がTCP示している場
合、TCPヘッダ部８７の送信元ポート部８８、宛先ポー
ト部８９、ACKビット部９６、SYNビット部９７を参照
し、プロトコル部がUDPを示している場合、UDPヘッダ部
９２の送信元ポート部９３、宛先ポート部９４を参照し
て不正侵入を判定する。

【００３７】図８において、暗号装置3aは図１１で説明
したように、端末1dからのIPパケット８１の、TCPヘッ
ダ部８７の送信元ポート部８８、宛先ポート部８９、AC
Kビット部９６、SYNビット部９７を除くIPデータ部８６
を暗号化し構内通信網5bに送出する（ステップ１０
６）。構内通信網5bに接続されたルータ6bは暗号装置3a
からのIPパケット８１の、TCPヘッダ部８７の送信元ポ
ート部８８、宛先ポート部８９、ACKビット部９６、SYN
ビット部９７を参照して中継するか否かを判定し、中継
許可されていないなら、そのIPパケット８１を廃棄す
る。中継許可されているなら中継し（ステップ１０
７）、ステップ１０８〜１１３に従って端末1fに送られ
る。ただし、ステップ１１２では図１２で示したように
IPパケット８１のTCPヘッダ部８７の送信元ポート部８
８、宛先ポート部８９、ACKビット部９６、SYNビット部
９７を除くIPデータ部８６を復号して端末1fに渡す。

【００３８】次に、端末1dからUDPパケットを暗号装
置、ルータを介して端末1fへ伝送する例を図８に従い説
明する。ただし、実施形態１と同一部分は説明を省略す
る。暗号装置3aは図１１で説明したように、端末1dから
のIPパケット８１の、UDPヘッダ部９２の送信元ポート
部９３、宛先ポート部９４を除くIPデータ部８６を暗号
化し構内通信網5bに送出す（ステップ１０６）。構内通
信網5bに接続されたルータ6bは、暗号装置3aからのIPパ
ケット８１の、UDPヘッダ部９２の送信元ポート部９
３、宛先ポート部９４を参照して中継するか否かを判定
し、中継許可されていないなら、そのIPパケット８１を
廃棄する。中継許可されているなら中継し（ステップ１
０７）、ステップ１０８〜１１３に従って端末1fに送ら
れる。ただし、ステップ１１３において暗号装置3cは図
１２で示したようにIPパケット８１のUDPヘッダ部９２
の送信元ポート部９３、宛先ポート部９４を除くIPデー
タ部８６を復号して端末1fに渡す。以上のように、暗号
装置はファイアウォール機能が参照するフィールドを除
いてIPパケットを暗号化するので、ファイアウォール機
能を持つルータを介して暗号通信ができる。

【００３９】実施の形態３．本実施の形態は、階層化さ
れたデータの種別対応に暗号化／復号、透過、廃棄を指
定できるようにするものである。図２〜４、図８〜１
０、図１３〜１６は本実施の形態を説明する図で、実施
の形態１または２で用いた図２〜４、図８〜１０の説明
を省く。図１３は実施の形態３における暗号装置３の構
成を示す。図において、４はデータ処理情報等の設定を
行うために用いる保守端末、３４はデ−タ処理情報テー
ブルで、詳細は図１４で説明する。３５はデータ処理情
報等の設定を行う装置機能設定部、他は図１と同じで説
明を省く。図１４は、たとえばIP通信のみを行う端末1d
に対応する暗号装置3aに設けたデータ処理情報テーブル
３４の内容を例示するもので、図において、３４１はネ
ットワーク層に対応するデータ処理種別テーブル、３４
２はネットワーク層がIPであるトランスポート層に対応
するデータ処理種別テーブル、３４３はトランスポート
層がUDPであるアプリケーション層に対応するデータ処
理種別テーブル、３４４はトランスポート層がTCPであ
るアプリケーション層に対応するデータ処理種別テーブ
ルである。

【００４０】各テーブルには、各層におけるデータ種別
３４５〜３４８とデータ処理種別３４９〜３５２が関連
づけて登録されている。たとえば、ネットワーク層に対
応するデータ処理種別テーブル３４１では、データ種別
がARPの場合は暗号化を行わずに転送処理を行う透過処
理が登録されている。また、データ種別がIPの場合は、
さらに上位層のテーブルを参照するように上位層へのポ
インタが登録されており、本例ではトランスポート層に
対応するデータ処理種別テーブル３４２を指している。
また、ARP,IP以外のデータ種別については端末1dが使用
しないデータ種別であるため、構内通信網5bから受信す
ることがないように廃棄処理が登録されている。

【００４１】トランスポート層に対応するデータ処理種
別テーブル３４２では、データ種別がUDP、TCPの場合
は、さらに上位層のテーブルを参照するように上位層へ
のポインタが登録されており、それぞれアプリケーショ
ン層に対応するデータ処理種別テーブル３４３、３４４
を指している。また、データ種別がネットワークのエラ
ーや診断に使用されるICMPの場合は、透過処理として登
録されている。また、それ以外のデータ種別について
は、IPデータ部８６を暗号化するように暗号化処理が登
録されている。

【００４２】トランスポート層がUDPのアプリケーショ
ン層に対応するデータ処理種別テーブル３４３では、デ
−タ種別がネットワーク管理に使用するSNMPの場合は、
透過処理として登録されている。また、データ種別がル
ーティング情報を交換するために使用するRIPの場合
は、透過処理として登録されている。それ以外のデータ
種別については、UDPデータ部９５を暗号化するように
暗号化処理が登録されている。これによりUDPヘッダ部
９２が暗号化されないため、受信側暗号装置においてア
プリケーションのデータ種別が判定でき、正常に復号す
ることが可能となる。

【００４３】トランスポート層がTCPのアプリケーショ
ン層に対応するデータ処理種別テーブル３４４では、デ
ータ種別が仮想端末に使用されるTELNETの場合は、TCP
データ部を暗号化するように暗号化処理が登録されてい
る。また、データ種別が電子メイルの送受信に使用され
るPOPの場合は、暗号装置がついていないメイルサーバ
ーへのアクセスが可能なように透過処理が登録されてい
る。上記以外のデータ種別については、他の端末へアク
セスができないように廃棄処理が登録されている。デー
タ処理情報テーブル３４の内容は、図１３に示す保守端
末４から入力する。装置機能設定部３５は保守端末４か
らの入力情報を解析し、データ種別、データ処理種別を
データ処理部３３を介してデータ処理情報テーブル３４
に登録する。

【００４４】次に、図１５は暗号装置3aの端末1dからの
データ送信動作を示す。図１５は図６と比較し、ステッ
プ７０４〜７０６をステップ７８１〜７８９に置き換え
たもので、ステップ７８１で中央処理装置３１はデータ
処理部３３に対しデータの処理を指示し、ステップ７８
２でデータ処理部３３は受信したフレームのフレームタ
イプ部４４を参照しネットワーク層のデータ種別を求
め、ネットワーク層に対応するデータ処理種別テーブル
３４１を検索し、データ処理種別３４９が透過であれ
ば、ステップ７０７へ進み、データの暗号化をせずに転
送する。

【００４５】また、データ処理種別３４９が暗号であれ
ばステップ７８９へ進み、IPデータ部８６を暗号化して
転送する。また、データ処理種別３４９が廃棄であれば
ステップ７８５へ進み、データ処理部３３がデータを廃
棄処理することを中央処理装置３１に伝え、ステップ７
８６へ進む。そして、ステップ７８６で中央処理装置３
１はデータを廃棄し、ステップ７１０へ進む。また、デ
ータ処理種別３４９が上位層へのポインタであればステ
ップ７８３へ進み、データ処理部３３はIPヘッダのプロ
トコル部８３を参照しトランスポート層のデータ種別を
求め、トランスポート層に対応するデータ処理種別テー
ブル３４２を検索する。検索の結果、データ処理種別３
５０が透過であればステップ７０７へ進み、暗号であれ
ばステップ７８８へ進みIPデータ部８６を暗号化して転
送し、廃棄であればステップ７８５へ進み、上位層への
ポインタであればステップ７８４へ進む。

【００４６】ステップ７８４で、データ種別がTCPで上
位層へのポインタなら、データ処理部３３はTCPヘッダ
の宛先ポート部８９を参照しアプリケーション層のデー
タ種別を求め、アプリケーション層に対応するデータ処
理種別テーブル３４４を検索する。検索の結果、データ
処理種別３５２が透過であればステップ７０７へ進み、
暗号であればステップ７８７でTCPデータ部を暗号化し
てステップ７０７に進み、廃棄であればステップ７８６
へ進む。ステップ７８４で、データ種別がTCPで上位層
へのポインタなら、データ処理部３３はUDPヘッダの宛
先ポート部９４を参照しアプリケーション層のデータ種
別を求め、アプリケーション層に対応するデータ処理種
別テーブル３４３を検索する。検索の結果、データ処理
種別３５１透過であればステップ７０７へ進み、暗号で
あればステップ７８７でUDPデータ部９５を暗号化して
ステップ７０７に進み、廃棄であればステップ７８６へ
進む。他の動作は、図６と同じで説明を省略する。

【００４７】図１６は、暗号装置3aの構内通信網5bから
のデータ受信動作を説明するが、図１６は図７と比較
し、ステップ８０４〜８０６をステップ８８１〜８８９
に置き換えたもので、ステップ８８１で中央処理装置３
１はデータ処理部３３に対しデータの処理を指示し、ス
テップ８８２でデータ処理部３３は受信したフレームの
フレームタイプ部４４を参照しネットワーク層のデータ
種別を求め、ネットワーク層に対応するデータ処理種別
テーブル３４１を検索し、データ処理種別３４９が透過
であればステップ８０７へ進み、データの暗号化をせず
に転送する。

【００４８】また、データ処理種別３４９が暗号であれ
ばステップ８８９へ進み、IPデータ部８６を復号して転
送する。また、データ処理種別３４９が廃棄であればス
テップ８８５へ進み、データ処理部３３がデータを廃棄
処理することを中央処理装置３１に伝え、ステップ８８
６へ進む。そして、ステップ８８６で中央処理装置３１
はデータを廃棄し、ステップ８１０へ進む。

【００４９】また、データ処理種別３４９が上位層への
ポインタであればステップ８８３へ進み、データ処理部
３３はIPヘッダ部８２のプロトコル部８３を参照しトラ
ンスポート層のデータ種別を求め、トランスポート層に
対応するデータ処理種別テーブル３４２を検索する。検
索の結果、データ処理種別３５０が透過であればステッ
プ８０７へ進み、暗号であればステップ８８８へ進みIP
データ部８６を復号して転送し、廃棄であればステップ
８８５へ進み、上位層へのポインタであればステップ８
８４へ進む。

【００５０】ステップ８８４で、データ種別がTCPで上
位層へのポインタなら、データ処理部３３はTCPヘッダ
部８７の宛先ポート部８９を参照しアプリケーション層
のデータ種別を求め、アプリケーション層に対応するデ
ータ処理種別テーブル３４４を検索する。検索の結果、
データ処理種別３５２が透過であればステップ８０７へ
進み、暗号であればステップ８８７でTCPデータ部を復
号してステップ８０７に進み、廃棄であればステップ８
８６へ進む。ステップ８８４で、データ種別がUDPで上
位層へのポインタなら、データ処理部３３はUDPヘッダ
部９２の宛先ポート部９４を参照しアプリケーション層
のデータ種別を求め、アプリケーション層に対応するデ
ータ処理種別テーブル３４３を検索する。検索の結果、
データ処理種別３５１が透過であればステップ８０７へ
進み、暗号であればステップ８８７でUDPデータ部９５
を復号してステップ８０７に進み、廃棄であればステッ
プ８８６へ進む。他の動作は、図７と同じで説明を省略
する。なお、本暗号装置を用いて実施の形態１（図８）
のように構成すれば、ルータを介して暗号通信ができ
る。

【００５１】以上のように階層化されたデータ単位に暗
号化／復号、透過、廃棄を指定できれば、暗号装置を設
置するユーザが必要とするアプリケーションのみの暗号
化、あるいは透過が可能となり、ユーザのセキュリティ
ポリシーに沿った暗号通信が実現できる。また、廃棄を
指定することで、たとえば網側からの不正アクセスに対
しても、暗号装置で廃棄することが可能となる。

【００５２】上記例では、一つの暗号装置に一つの端末
を接続した例を示したが、一つの暗号装置に複数の端末
を接続する構成でもよい。また、ルータ間に本暗号装置
を接続して、データ種別対応に暗号範囲、透過、廃棄な
ど、きめ細かな通信制御ができる。データ処理情報テー
ブルを通信相手ごとに設け、階層化されたデータ単位に
暗号化／復号、透過、廃棄を指定してもよい。また、デ
ータ処理情報テーブルを送信用、受信用を別々に設けて
もよい。

【００５３】

【発明の効果】第一の発明において、暗号装置は、パケ
ットに含まれる通信元および通信相手のアドレスを除い
てパケットを暗号処理し、ルータは、暗号化していない
通信元および通信相手のアドレスを基に中継するので、
ルータを介して暗号通信が行える。

【００５４】第二の発明において、暗号装置は、パケッ
トに含まれる通信元および通信相手のアドレスと不正侵
入をチェックする不正侵入フィールドを除いてパケット
を暗号処理し、ルータは、暗号化していない通信元およ
び通信相手のアドレスと前記不正侵入フィールドを基に
中継するので、不正侵入を防止するファイアウォール機
能を有するルータを介して暗号通信が行える。

【００５５】第三の発明において、各階層のデータ種別
対応に、暗号処理手段、廃棄処理手段、透過処理手段、
ポインタ手段のいずれの手段で前記パケットを処理する
かを登録するデータ処理種別テーブルを設け、データ処
理種別テーブルに登録されているデータ処理種別が示す
処理を行なう場合、データ処理種別がポインタ手段なら
そのポインタ手段が指すデータ処理種別テーブルに基づ
いて入力したパケットを処理するようにしたので、階層
化されたデータの種別対応に暗号化、透過、廃棄を指定
できる。

【００５６】

【図面の簡単な説明】

【図１】この発明の実施の形態１による暗号装置の構成
図である。

【図２】この発明の実施の形態１による暗号通信システ
ムを示す図である。

【図３】この発明の実施の形態１によるフレームのフォ
ーマットを示す図である。

【図４】この発明の実施の形態１によるARPパケットの
形式を示す図である。

【図５】この発明の実施の形態１によるIPパケットの形
式を示す図である。

【図６】この発明の実施の形態１による送信処理手順を
示す図である。

【図７】この発明の実施の形態１による受信処理手順を
示す図である。

【図８】この発明の実施の形態１によるルータを介して
暗号通信を行う手順を示す図である。

【図９】この発明の実施の形態２によるIPパケットの形
式を示す図である。

【図１０】この発明の実施の形態２によるコードビット
部の構成を示す図である。

【図１１】この発明の実施の形態２による送信処理手順
を示す図である。

【図１２】この発明の実施の形態２による受信処理手順
を示す図である。

【図１３】この発明の実施の形態３による暗号装置の構
成図である。

【図１４】この発明の実施の形態３によるデータ処理情
報テーブルを示す図である。

【図１５】この発明の実施の形態３による特定フィール
ドを除いて暗号化する送信処理手順を示す図である。

【図１６】この発明の実施の形態３による特定フィール
ドを除いて復号する受信処理手順を示す図である。

【図１７】従来の暗号装置を示す図である。

【図１８】従来の送信処理手順を示す図である。

【図１９】従来の受信処理手順を示す図である。

【符号の説明】

１端末 1a〜1f 端末３１中央処理装置３２ＲＯＭ／ＲＡＭ３３データ処理部３４データ処理情報テーブル３５装置機能設定部３６端末側送受信部３７網側送受信部３８データ格納メモリ３暗号装置３ａ〜３ｃ暗号装置４保守端末５通信網５ａ〜５ｄ構内通信網５ｅ広域通信網３４１〜３４４データ処理種別テーブル６ｂ、６ｄル−タ

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号庁内整理番号ＦＩ技術表示箇所Ｈ０４Ｌ 12/66 (72)発明者藤井照子東京都千代田区丸の内二丁目２番３号三菱電機株式会社内 (72)発明者稲田徹東京都千代田区丸の内二丁目２番３号三菱電機株式会社内 (72)発明者渡邊晃東京都千代田区丸の内二丁目２番３号三菱電機株式会社内

Claims

【特許請求の範囲】

【請求項１】端末を暗号装置を介して構内通信網に接
続し、前記構内通信網間をルータが中継接続する暗号通
信システムにおいて、第１の暗号装置は、ａ．端末から受信したパケットを入力する入力手段と、ｂ．前記入力したパケットに含まれる通信元および通信
相手のアドレスを除いて前記パケットを暗号化する暗号
手段と、ｃ．前記暗号化したパケットを第１の構内通信網に送出
する送出手段とを有し、前記ルータは、ａ．前記第１の構内通信網から受信したパケットを入力
する入力手段と、ｂ．前記入力したパケットに含まれる前記通信元および
通信相手のアドレスをもとに第２の構内通信網にパケッ
トを中継する中継手段とを有し、第２の暗号装置は、ａ．前記第２の構内通信網から受信したパケットを入力
する入力手段と、ｂ．前記入力したパケットに含まれる前記通信元および
通信相手のアドレスを除いて前記パケットを復号する復
号手段と、ｃ．前記復号したパケットを端末に送出する送出手段と
を有することを特徴とする暗号通信システム。
【請求項２】前記第１の暗号装置の暗号手段は、前記
入力したパケットに含まれる前記通信元および通信相手
のアドレスと不正侵入をチェックする不正侵入フィール
ドを除いて前記パケットを暗号化し、前記ルータの中継手段は、前記入力したパケットに含ま
れる前記通信元および通信相手のアドレスと前記不正侵
入フィールドのチェック結果とに基づいて前記パケット
を中継し、前記第２の暗号装置の復号手段は前記不正侵
入フィールドを除いて前記パケットを復号することを特
徴とする請求項１に記載の暗号通信システム。
【請求項３】以下の構成要素を有する暗号装置。ａ．パケットを入力する入力手段、ｂ．前記入力したパケットの所定フィールドを暗号処理
する暗号処理手段、ｃ．前記入力したパケットを廃棄する廃棄処理手段、ｄ．前記入力したパケットになにも処理せず出力する透
過処理手段、ｅ．データ種別とデータ処理種別の対応を記憶するデー
タ処理種別テーブルを指すポインタ手段、ｆ．前記入力したパケットに含まれる各階層のデータ種
別対応に、前記暗号処理手段、前記廃棄処理手段、前記
透過処理手段、前記ポインタ手段のいずれの手段で前記
パケットを処理するかを前記データ処理種別テーブルに
登録するデータ処理種別登録手段、ｇ．前記入力したパケットに含まれる各階層のデータ種
別に対応して前記データ処理種別テーブルに登録されて
いるデータ処理種別が、前記ポインタ手段ならそのポイ
ンタ手段が指すデータ処理種別テーブルに基づいて入力
したパケットを処理し、前記ポインタ手段以外ならデー
タ処理種別登録手段が登録したデータ処理種別に基づい
て、前記入力したパケットを処理する暗号処理手段、ｈ．前記暗号処理したパケットを出力する出力手段。