JPH09252323A - 通信システムおよび通信装置 - Google Patents
通信システムおよび通信装置Info
- Publication number
- JPH09252323A JPH09252323A JP8344862A JP34486296A JPH09252323A JP H09252323 A JPH09252323 A JP H09252323A JP 8344862 A JP8344862 A JP 8344862A JP 34486296 A JP34486296 A JP 34486296A JP H09252323 A JPH09252323 A JP H09252323A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- information
- network
- header
- communication device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/12—Applying verification of the received information
- H04L63/126—Applying verification of the received information the source of the received data
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y10—TECHNICAL SUBJECTS COVERED BY FORMER USPC
- Y10S—TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y10S707/00—Data processing: database and file management or data structures
- Y10S707/99931—Database or file accessing
- Y10S707/99939—Privileged access
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
(57)【要約】
【課題】 仮想インターネットプロトコルに基づいた通
信において、自組織に属する移動ホストだけが外部から
自組織内にアクセスすることができるようにし、セキュ
リティを向上させる。 【解決手段】 ファイアウォール３００と移動ホスト２
４は、同一の鍵情報と演算方法をそれぞれ記憶し、移動
ホスト２４がネットワーク２１から移動し、広域ネット
ワーク２３に接続し、ホスト２５にパケットの送信を行
うとき、鍵情報とパケットのヘッダに含まれる情報に基
づいて認証情報を演算し、パケットのヘッダ情報に含ま
せて送信する。ファイアウォール３００は、鍵情報と移
動ホスト２４からのパケットのヘッダ情報から同様にし
て演算した認証情報と、ヘッダ情報に含まれる認証情報
とが一致する場合、そのパケットを中継する。
信において、自組織に属する移動ホストだけが外部から
自組織内にアクセスすることができるようにし、セキュ
リティを向上させる。 【解決手段】 ファイアウォール３００と移動ホスト２
４は、同一の鍵情報と演算方法をそれぞれ記憶し、移動
ホスト２４がネットワーク２１から移動し、広域ネット
ワーク２３に接続し、ホスト２５にパケットの送信を行
うとき、鍵情報とパケットのヘッダに含まれる情報に基
づいて認証情報を演算し、パケットのヘッダ情報に含ま
せて送信する。ファイアウォール３００は、鍵情報と移
動ホスト２４からのパケットのヘッダ情報から同様にし
て演算した認証情報と、ヘッダ情報に含まれる認証情報
とが一致する場合、そのパケットを中継する。
Description
【０００１】
【発明の属する技術分野】本発明は、通信システムおよ
び通信装置に関し、例えば、パケットのヘッダ情報に基
づく認証機能を有し、通信のセキュリティを向上させ、
外部から自組織内にアクセスすることができるようにし
た通信システムおよび通信装置に関する。
び通信装置に関し、例えば、パケットのヘッダ情報に基
づく認証機能を有し、通信のセキュリティを向上させ、
外部から自組織内にアクセスすることができるようにし
た通信システムおよび通信装置に関する。
【０００２】
【従来の技術】ルータは複数のネットワークインタフェ
ースを有する装置であり、パケットの中継を行う。図９
は、ルータの構成例を示すブロック図である。このルー
タ１００においては、所定のネットワークインタフェー
ス（network i/f）１ａ乃至１ｃのいずれかより受信し
たパケットは、送信ネットワークインタフェース決定器
（output network i/f selector）２によって決定され
たネットワークインタフェース１ａ乃至１ｃのいずれか
より送信される。このネットワークインタフェースを決
定する際には、経路表（routing table）３が利用され
る。
ースを有する装置であり、パケットの中継を行う。図９
は、ルータの構成例を示すブロック図である。このルー
タ１００においては、所定のネットワークインタフェー
ス（network i/f）１ａ乃至１ｃのいずれかより受信し
たパケットは、送信ネットワークインタフェース決定器
（output network i/f selector）２によって決定され
たネットワークインタフェース１ａ乃至１ｃのいずれか
より送信される。このネットワークインタフェースを決
定する際には、経路表（routing table）３が利用され
る。
【０００３】また、外部と接続しているルータであっ
て、所定の組織内のネットワークを守るために、外部か
らのパケットを選択的にこの組織に中継するルータを特
にファイアウォールと呼ぶ。図１０は、ファイアウォー
ル２００の構成例を示すブロック図である。上述したよ
うに、ファイアウォール２００は、選択的にパケットの
中継を行うルータであり、図９に示したルータ１００
に、パケットの選別を行う機能を有するパケット選別器
１１が付加されている。
て、所定の組織内のネットワークを守るために、外部か
らのパケットを選択的にこの組織に中継するルータを特
にファイアウォールと呼ぶ。図１０は、ファイアウォー
ル２００の構成例を示すブロック図である。上述したよ
うに、ファイアウォール２００は、選択的にパケットの
中継を行うルータであり、図９に示したルータ１００
に、パケットの選別を行う機能を有するパケット選別器
１１が付加されている。
【０００４】パケット選別器１１は、パケットヘッダに
含まれている送信ホストアドレス、受信ホストアドレ
ス、およびプロトコルの種別等のヘッダ情報を用いてパ
ケットの選別を行う。従って、所定のホストからのパケ
ットだけを選択的にこの組織内に中継するようにするこ
とができる。
含まれている送信ホストアドレス、受信ホストアドレ
ス、およびプロトコルの種別等のヘッダ情報を用いてパ
ケットの選別を行う。従って、所定のホストからのパケ
ットだけを選択的にこの組織内に中継するようにするこ
とができる。
【０００５】
【発明が解決しようとする課題】しかしながら、これら
のヘッダ情報の内容は正しいとは限らない。不正なユー
ザが、偽りのヘッダ情報を使用していることも考えられ
る。従って、不正なユーザがこの組織内にアクセスする
可能性があり、通信のセキュリティが確保できない場合
がある課題があった。
のヘッダ情報の内容は正しいとは限らない。不正なユー
ザが、偽りのヘッダ情報を使用していることも考えられ
る。従って、不正なユーザがこの組織内にアクセスする
可能性があり、通信のセキュリティが確保できない場合
がある課題があった。
【０００６】本発明はこのような状況に鑑みてなされた
ものであり、不正なユーザからのパケットを中継しない
ようにすることにより、ネットワークのセキュリティを
向上させることができるようにするものである。
ものであり、不正なユーザからのパケットを中継しない
ようにすることにより、ネットワークのセキュリティを
向上させることができるようにするものである。
【０００７】
【課題を解決するための手段】請求項１に記載の通信シ
ステムは、送信局は、所定の鍵情報を記憶する第１の記
憶手段と、所定の演算方法を記憶し、第１の記憶手段に
記憶された鍵情報と、受信局に送信すべきパケットのヘ
ッダ情報に基づいて、この演算方法に従って第１の認証
情報を演算する第１の演算手段と、第１の演算手段によ
って演算された第１の認証情報をパケットのヘッダ情報
に含めて送信する送信手段とを備え、通信装置は、鍵情
報を記憶する第２の記憶手段と、演算方法を記憶し、第
２の記憶手段に記憶された鍵情報と、送信局からのパケ
ットのヘッダ情報に基づいて、この演算方法に従って第
２の認証情報を演算する第２の演算手段と、送信局から
のパケットのヘッダ情報に含まれる第１の認証情報と、
第２の認証情報とを比較する比較手段と、比較手段によ
る比較結果に基づいて、パケットを第２のネットワーク
に中継するか否かを決定する決定手段とを備えることを
特徴とする。
ステムは、送信局は、所定の鍵情報を記憶する第１の記
憶手段と、所定の演算方法を記憶し、第１の記憶手段に
記憶された鍵情報と、受信局に送信すべきパケットのヘ
ッダ情報に基づいて、この演算方法に従って第１の認証
情報を演算する第１の演算手段と、第１の演算手段によ
って演算された第１の認証情報をパケットのヘッダ情報
に含めて送信する送信手段とを備え、通信装置は、鍵情
報を記憶する第２の記憶手段と、演算方法を記憶し、第
２の記憶手段に記憶された鍵情報と、送信局からのパケ
ットのヘッダ情報に基づいて、この演算方法に従って第
２の認証情報を演算する第２の演算手段と、送信局から
のパケットのヘッダ情報に含まれる第１の認証情報と、
第２の認証情報とを比較する比較手段と、比較手段によ
る比較結果に基づいて、パケットを第２のネットワーク
に中継するか否かを決定する決定手段とを備えることを
特徴とする。
【０００８】請求項６に記載の通信装置は、ネットワー
クインタフェースを介して受信した送信局からのパケッ
トに含まれるヘッダ情報が本物であるか否かを認証する
認証手段と、認証手段により、パケットに含まれるヘッ
ダ情報が本物であると認証されたとき、パケットが中継
されるよう制御する制御手段とを備えることを特徴とす
る。
クインタフェースを介して受信した送信局からのパケッ
トに含まれるヘッダ情報が本物であるか否かを認証する
認証手段と、認証手段により、パケットに含まれるヘッ
ダ情報が本物であると認証されたとき、パケットが中継
されるよう制御する制御手段とを備えることを特徴とす
る。
【０００９】請求項１に記載の通信システムにおいて
は、送信局において、第１の演算手段により、第１の記
憶手段に記憶された鍵情報と、受信局に送信すべきパケ
ットのヘッダ情報に基づいて、記憶している演算方法に
従って第１の認証情報が演算され、送信手段により、第
１の演算手段によって演算された第１の認証情報がパケ
ットのヘッダ情報に含められて送信される。また、通信
装置において、第２の演算手段により、第２の記憶手段
に記憶された鍵情報と、送信局からのパケットのヘッダ
情報に基づいて、記憶している演算方法に従って第２の
認証情報が演算され、比較手段により、送信局からのパ
ケットのヘッダ情報に含まれる第１の認証情報と、第２
の認証情報とが比較され、この比較結果に基づいて、決
定手段により、パケットを第２のネットワークに中継す
るか否かが決定される。従って、通信装置が記憶してい
る鍵情報および演算方法と同一のものを記憶している送
信局からのパケットのみを、選択的に中継するようにす
ることができる。
は、送信局において、第１の演算手段により、第１の記
憶手段に記憶された鍵情報と、受信局に送信すべきパケ
ットのヘッダ情報に基づいて、記憶している演算方法に
従って第１の認証情報が演算され、送信手段により、第
１の演算手段によって演算された第１の認証情報がパケ
ットのヘッダ情報に含められて送信される。また、通信
装置において、第２の演算手段により、第２の記憶手段
に記憶された鍵情報と、送信局からのパケットのヘッダ
情報に基づいて、記憶している演算方法に従って第２の
認証情報が演算され、比較手段により、送信局からのパ
ケットのヘッダ情報に含まれる第１の認証情報と、第２
の認証情報とが比較され、この比較結果に基づいて、決
定手段により、パケットを第２のネットワークに中継す
るか否かが決定される。従って、通信装置が記憶してい
る鍵情報および演算方法と同一のものを記憶している送
信局からのパケットのみを、選択的に中継するようにす
ることができる。
【００１０】請求項６に記載の通信装置においては、認
証手段により、ネットワークインタフェースを介して受
信した送信局からのパケットに含まれるヘッダ情報が本
物であるか否かが認証され、制御手段により、認証手段
によってパケットに含まれるヘッダ情報が本物であると
認証されたとき、パケットが中継されるよう制御され
る。従って、ヘッダ情報が本物である場合にだけ、その
パケットを中継するようにすることができる。
証手段により、ネットワークインタフェースを介して受
信した送信局からのパケットに含まれるヘッダ情報が本
物であるか否かが認証され、制御手段により、認証手段
によってパケットに含まれるヘッダ情報が本物であると
認証されたとき、パケットが中継されるよう制御され
る。従って、ヘッダ情報が本物である場合にだけ、その
パケットを中継するようにすることができる。
【００１１】
【発明の実施の形態】以下に、本発明の実施の形態を説
明するが、その前に、特許請求の範囲に記載の発明の各
手段と以下の実施の形態との対応関係を明らかにするた
めに、各手段の後の括弧内に、対応する実施の形態（但
し、一例）を付加して、本発明の特徴を記述すると、次
のようになる。
明するが、その前に、特許請求の範囲に記載の発明の各
手段と以下の実施の形態との対応関係を明らかにするた
めに、各手段の後の括弧内に、対応する実施の形態（但
し、一例）を付加して、本発明の特徴を記述すると、次
のようになる。
【００１２】すなわち、請求項１に記載の通信システム
は、第１のネットワーク（例えば、図１の広域ネットワ
ーク２３）と第２のネットワーク（例えば、図１のある
組織のネットワーク２１）が通信装置（例えば、図１の
ファイアウォール３００）を介して接続され、第１のネ
ットワークの送信局（例えば、図１の移動ホスト２４）
から第２のネットワークの受信局（例えば、図１のホス
ト２５）に送信されたパケットが、通信装置によって選
択的に、第２のネットワークに中継される通信システム
において、送信局は、所定の鍵情報を記憶する第１の記
憶手段（例えば、図２の記憶部２４ａ）と、所定の演算
方法を記憶し、第１の記憶手段に記憶された鍵情報と、
受信局に送信すべきパケットのヘッダ情報に基づいて、
この演算方法に従って第１の認証情報を演算する第１の
演算手段（例えば、図２の演算部２４ｂ）と、第１の演
算手段によって演算された第１の認証情報をパケットの
ヘッダ情報に含めて送信する送信手段（例えば、図２の
送受信部２４ｃ）とを備え、通信装置は、鍵情報を記憶
する第２の記憶手段（例えば、図３の認証器３１）と、
演算方法を記憶し、第２の記憶手段に記憶された鍵情報
と、送信局からのパケットのヘッダ情報に基づいて、こ
の演算方法に従って第２の認証情報を演算する第２の演
算手段（例えば、図３の認証器３１）と、送信局からの
パケットのヘッダ情報に含まれる第１の認証情報と、第
２の認証情報とを比較する比較手段（例えば、図３の認
証器３１）と、比較手段による比較結果に基づいて、パ
ケットを第２のネットワークに中継するか否かを決定す
る決定手段（例えば、図３のパケット選別器１１）とを
備えることを特徴とする。
は、第１のネットワーク（例えば、図１の広域ネットワ
ーク２３）と第２のネットワーク（例えば、図１のある
組織のネットワーク２１）が通信装置（例えば、図１の
ファイアウォール３００）を介して接続され、第１のネ
ットワークの送信局（例えば、図１の移動ホスト２４）
から第２のネットワークの受信局（例えば、図１のホス
ト２５）に送信されたパケットが、通信装置によって選
択的に、第２のネットワークに中継される通信システム
において、送信局は、所定の鍵情報を記憶する第１の記
憶手段（例えば、図２の記憶部２４ａ）と、所定の演算
方法を記憶し、第１の記憶手段に記憶された鍵情報と、
受信局に送信すべきパケットのヘッダ情報に基づいて、
この演算方法に従って第１の認証情報を演算する第１の
演算手段（例えば、図２の演算部２４ｂ）と、第１の演
算手段によって演算された第１の認証情報をパケットの
ヘッダ情報に含めて送信する送信手段（例えば、図２の
送受信部２４ｃ）とを備え、通信装置は、鍵情報を記憶
する第２の記憶手段（例えば、図３の認証器３１）と、
演算方法を記憶し、第２の記憶手段に記憶された鍵情報
と、送信局からのパケットのヘッダ情報に基づいて、こ
の演算方法に従って第２の認証情報を演算する第２の演
算手段（例えば、図３の認証器３１）と、送信局からの
パケットのヘッダ情報に含まれる第１の認証情報と、第
２の認証情報とを比較する比較手段（例えば、図３の認
証器３１）と、比較手段による比較結果に基づいて、パ
ケットを第２のネットワークに中継するか否かを決定す
る決定手段（例えば、図３のパケット選別器１１）とを
備えることを特徴とする。
【００１３】請求項３に記載の通信システムは、通信装
置は、送信局の第２の情報を第１の情報に変換する変換
手段（例えば、図３の経路表３）をさらに備えることを
特徴とする。
置は、送信局の第２の情報を第１の情報に変換する変換
手段（例えば、図３の経路表３）をさらに備えることを
特徴とする。
【００１４】請求項６に記載の通信装置は、複数のネッ
トワークインタフェースを有し、ネットワークインタフ
ェースの所定のものを介して受信した送信局からのパケ
ットを、ネットワークインタフェースの他の所定のもの
を介して送信することにより、ネットワーク間でパケッ
トの中継を行う通信装置において、ネットワークインタ
フェースを介して受信した送信局からのパケットに含ま
れるヘッダ情報が本物であるか否かを認証する認証手段
（例えば、図３の認証器３１）と、認証手段により、パ
ケットに含まれるヘッダ情報が本物であると認証された
とき、パケットが中継されるよう制御する制御手段（例
えば、図３のパケット選別器１１および送信ネットワー
クインタフェース決定器２）とを備えることを特徴とす
る。
トワークインタフェースを有し、ネットワークインタフ
ェースの所定のものを介して受信した送信局からのパケ
ットを、ネットワークインタフェースの他の所定のもの
を介して送信することにより、ネットワーク間でパケッ
トの中継を行う通信装置において、ネットワークインタ
フェースを介して受信した送信局からのパケットに含ま
れるヘッダ情報が本物であるか否かを認証する認証手段
（例えば、図３の認証器３１）と、認証手段により、パ
ケットに含まれるヘッダ情報が本物であると認証された
とき、パケットが中継されるよう制御する制御手段（例
えば、図３のパケット選別器１１および送信ネットワー
クインタフェース決定器２）とを備えることを特徴とす
る。
【００１５】なお、勿論この記載は、各手段を上記した
ものに限定することを意味するものではない。
ものに限定することを意味するものではない。
【００１６】以下、本発明の通信システムを適用したネ
ットワークの一実施の形態について説明するが、その前
に、本発明を実現するための仮想インターネットプロト
コル（ＶＩＰ：Virtual Internet Protocol）について
簡単に説明する。
ットワークの一実施の形態について説明するが、その前
に、本発明を実現するための仮想インターネットプロト
コル（ＶＩＰ：Virtual Internet Protocol）について
簡単に説明する。
【００１７】ＶＩＰとは、位置指示子（アドレス）と識
別子とを明確に分離することにより、移動透過な通信
（移動透過性）を実現するものである。
別子とを明確に分離することにより、移動透過な通信
（移動透過性）を実現するものである。
【００１８】ここで、移動透過性とは、相手コンピュー
タの場所に拘らず、一定不変の識別子を用いて相手コン
ピュータと通信を行うことができ、例えばＴＣＰコネク
ションのような論理通信路を移動の前後で維持すること
ができることであると定義することができる。インター
ネットにおいて、移動透過な通信ができないのは、ＩＰ
アドレスが持つアドレスと識別子という二重性のためで
ある。
タの場所に拘らず、一定不変の識別子を用いて相手コン
ピュータと通信を行うことができ、例えばＴＣＰコネク
ションのような論理通信路を移動の前後で維持すること
ができることであると定義することができる。インター
ネットにおいて、移動透過な通信ができないのは、ＩＰ
アドレスが持つアドレスと識別子という二重性のためで
ある。
【００１９】上記移動透過性を実現するために、具体的
には、位置指示子であるＩＰアドレスに加えて、各ホス
トに固有の識別子としてＶＩＰアドレスを導入する。
には、位置指示子であるＩＰアドレスに加えて、各ホス
トに固有の識別子としてＶＩＰアドレスを導入する。
【００２０】ＶＩＰアドレスとＩＰアドレスは、同一の
フォーマットを有しており、それだけではどちらである
かを区別することができない。これは、オペレーティン
グシステムの仮想記憶システムにおける仮想アドレスと
物理アドレスの関係に対応づけることができる。
フォーマットを有しており、それだけではどちらである
かを区別することができない。これは、オペレーティン
グシステムの仮想記憶システムにおける仮想アドレスと
物理アドレスの関係に対応づけることができる。
【００２１】ＶＩＰアドレスからＩＰアドレスへのマッ
ピングを効率よく行うために、ＶＩＰ層でＡＭＴ（Addr
ess Mapping Table）と呼ばれるキャッシュを持つよう
にする。以下では、ＡＭＴを構成するデータ単位のこと
をＡＭＴエントリと呼ぶことにする。ＡＭＴエントリ
は、ＶＩＰアドレス、ＩＰアドレス、バージョン番号、
その他の管理情報から構成される。
ピングを効率よく行うために、ＶＩＰ層でＡＭＴ（Addr
ess Mapping Table）と呼ばれるキャッシュを持つよう
にする。以下では、ＡＭＴを構成するデータ単位のこと
をＡＭＴエントリと呼ぶことにする。ＡＭＴエントリ
は、ＶＩＰアドレス、ＩＰアドレス、バージョン番号、
その他の管理情報から構成される。
【００２２】移動コンピュータ（例えば、図１の移動ホ
スト２４）が送信するパケットのヘッダには、送信コン
ピュータのＶＩＰアドレス（図４の送信ホスト識別子に
対応する）と、ＩＰアドレス（図４の送信ホストアドレ
スに対応する）が含まれている。従って、移動コンピュ
ータから所定のネットワーク内の所定のコンピュータ
（受信コンピュータ）に向けてパケットが送信されたと
き、このパケットが受信コンピュータに到達するまでに
経由するルータ、および最終的には受信コンピュータに
より、そのパケットのヘッダに含まれる送信コンピュー
タのＶＩＰアドレスとＩＰアドレスが読み取られ、それ
に基づいてＡＭＴエントリが作成される。
スト２４）が送信するパケットのヘッダには、送信コン
ピュータのＶＩＰアドレス（図４の送信ホスト識別子に
対応する）と、ＩＰアドレス（図４の送信ホストアドレ
スに対応する）が含まれている。従って、移動コンピュ
ータから所定のネットワーク内の所定のコンピュータ
（受信コンピュータ）に向けてパケットが送信されたと
き、このパケットが受信コンピュータに到達するまでに
経由するルータ、および最終的には受信コンピュータに
より、そのパケットのヘッダに含まれる送信コンピュー
タのＶＩＰアドレスとＩＰアドレスが読み取られ、それ
に基づいてＡＭＴエントリが作成される。
【００２３】このようにして、原則として移動コンピュ
ータが送信したパケットの経路に沿って、ＡＭＴエント
リが拡散していく。
ータが送信したパケットの経路に沿って、ＡＭＴエント
リが拡散していく。
【００２４】ＶＩＰアドレスは、位置に依存しない番号
であるため、自分以外の他のコンピュータのＶＩＰアド
レスを偽ること（他のコンピュータになりすますこと）
は容易である。すなわち、送信ホスト識別子に他のコン
ピュータの識別子（ＶＩＰアドレス）を設定し、所定の
受信コンピュータにこのパケットを送信することは容易
である。これにより、受信コンピュータは、ＶＩＰアド
レスに対応する他のコンピュータからのパケットを受信
したものと認識する。
であるため、自分以外の他のコンピュータのＶＩＰアド
レスを偽ること（他のコンピュータになりすますこと）
は容易である。すなわち、送信ホスト識別子に他のコン
ピュータの識別子（ＶＩＰアドレス）を設定し、所定の
受信コンピュータにこのパケットを送信することは容易
である。これにより、受信コンピュータは、ＶＩＰアド
レスに対応する他のコンピュータからのパケットを受信
したものと認識する。
【００２５】そこで、このＶＩＰに新たに認証機構を導
入し、不正なコンピュータによる他のコンピュータへの
なりすましを防止することを考える。
入し、不正なコンピュータによる他のコンピュータへの
なりすましを防止することを考える。
【００２６】そのために、ここでは、Ｋｅｙｅｄ ＭＤ
（Message Digest）５と呼ばれる方式を用いるものとす
る。ＭＤ５とは、一種のチェックサム計算法であり、任
意長のデータから、１６オクテット（１２８ビット）の
データ（ＭＤ）を生成する。ＭＤ５による演算結果が特
定の値になるようなデータを生成することは非常に困難
であるとされるため、ＭＤ５は通常、改竄防止に使用さ
れる。
（Message Digest）５と呼ばれる方式を用いるものとす
る。ＭＤ５とは、一種のチェックサム計算法であり、任
意長のデータから、１６オクテット（１２８ビット）の
データ（ＭＤ）を生成する。ＭＤ５による演算結果が特
定の値になるようなデータを生成することは非常に困難
であるとされるため、ＭＤ５は通常、改竄防止に使用さ
れる。
【００２７】Ｋｅｙｅｄ ＭＤでは、送信側（送信コン
ピュータ）と受信側（受信コンピュータ）で秘密鍵（Se
cret Key）を共有する。送信側ではデータに秘密鍵を付
加したものについてＭＤ５を計算し、計算結果をデータ
に付加して送信する。一方、受信側では、受信したデー
タに秘密鍵を付加してＭＤ５を計算し、その計算結果を
受信したデータに付加された計算結果と比較する。両者
が一致すれば通信途中に改竄が行われていないことがわ
かると同時に、送信側と受信側が秘密鍵を共有している
こともわかる。従って、第３者が秘密鍵を知らないと仮
定すると、受信者は送信者が「本物」であると認証する
ことができる。
ピュータ）と受信側（受信コンピュータ）で秘密鍵（Se
cret Key）を共有する。送信側ではデータに秘密鍵を付
加したものについてＭＤ５を計算し、計算結果をデータ
に付加して送信する。一方、受信側では、受信したデー
タに秘密鍵を付加してＭＤ５を計算し、その計算結果を
受信したデータに付加された計算結果と比較する。両者
が一致すれば通信途中に改竄が行われていないことがわ
かると同時に、送信側と受信側が秘密鍵を共有している
こともわかる。従って、第３者が秘密鍵を知らないと仮
定すると、受信者は送信者が「本物」であると認証する
ことができる。
【００２８】例えば、送信コンピュータは自分のＶＩＰ
アドレス、ＩＰアドレス、アドレスバージョン、ＡＭＴ
エントリ保持時間、およびタイムスタンプ等の合計２０
オクテット（１６０ビット）のデータに、１２８ビット
（１６オクテット）の秘密鍵を付加してＭＤ５の計算を
行うようにすることができる。
アドレス、ＩＰアドレス、アドレスバージョン、ＡＭＴ
エントリ保持時間、およびタイムスタンプ等の合計２０
オクテット（１６０ビット）のデータに、１２８ビット
（１６オクテット）の秘密鍵を付加してＭＤ５の計算を
行うようにすることができる。
【００２９】また、移動コンピュータ（送信コンピュー
タ）と移動コンピュータの属するネットワークのファイ
アウォールで秘密鍵を共有するようにし、ファイアウォ
ールが移動コンピュータが本当に自組織に属していると
確認することができたときのみに、ファイアウォールが
移動コンピュータからのパケットを外側から内側へ中継
するようにすることができる。
タ）と移動コンピュータの属するネットワークのファイ
アウォールで秘密鍵を共有するようにし、ファイアウォ
ールが移動コンピュータが本当に自組織に属していると
確認することができたときのみに、ファイアウォールが
移動コンピュータからのパケットを外側から内側へ中継
するようにすることができる。
【００３０】図１は、本発明の通信システムを適用した
ネットワークの構成例を示している。この例の場合、あ
る組織のネットワーク（Local area networks in an or
ganization）２１は、ファイアウォール（ＦＷ）３００
を介して広域ネットワーク（Wide area network）（例
えばインターネット）２３に接続されている。また、ネ
ットワーク２１には、ホスト（Ｈ）２５が接続されてい
る。ここでは、各ホストは、仮想インターネットプロト
コル（ＶＩＰ：Virtual Internet Protocol）に基づい
て、通信を行うものとする。
ネットワークの構成例を示している。この例の場合、あ
る組織のネットワーク（Local area networks in an or
ganization）２１は、ファイアウォール（ＦＷ）３００
を介して広域ネットワーク（Wide area network）（例
えばインターネット）２３に接続されている。また、ネ
ットワーク２１には、ホスト（Ｈ）２５が接続されてい
る。ここでは、各ホストは、仮想インターネットプロト
コル（ＶＩＰ：Virtual Internet Protocol）に基づい
て、通信を行うものとする。
【００３１】図２は、図１に示した移動ホスト（ＭＨ：
Mobile Host）２４の構成例を示している。記憶部２４
ａは、秘密鍵（Secret Key）を記憶するようになされて
いる。演算部２４ｂは、例えば、一種のチェックサムの
演算方法（例えば、ＭＤ（Message-Digest）５）を記憶
し、記憶部２４ａに記憶された秘密鍵と、送信すべきパ
ケットのヘッダ内の情報に基づいて、ヘッダ内の情報が
本物であるか否かの認証をするためのチェックサム（送
信ホスト認証子）を演算するようになされている。ま
た、送受信部２４ｃは、演算部２４ｂによって演算され
た送信ホスト認証子をパケットのヘッダに含めて送信し
たり、送られてきたパケットを受信するようになされて
いる。
Mobile Host）２４の構成例を示している。記憶部２４
ａは、秘密鍵（Secret Key）を記憶するようになされて
いる。演算部２４ｂは、例えば、一種のチェックサムの
演算方法（例えば、ＭＤ（Message-Digest）５）を記憶
し、記憶部２４ａに記憶された秘密鍵と、送信すべきパ
ケットのヘッダ内の情報に基づいて、ヘッダ内の情報が
本物であるか否かの認証をするためのチェックサム（送
信ホスト認証子）を演算するようになされている。ま
た、送受信部２４ｃは、演算部２４ｂによって演算され
た送信ホスト認証子をパケットのヘッダに含めて送信し
たり、送られてきたパケットを受信するようになされて
いる。
【００３２】図３は、図１に示したファイアウォール３
００の構成例を示すブロック図である。このファイアウ
ォール３００においては、図１０に示した従来のファイ
アウォール２００において、受信したパケットのパケッ
トヘッダ内の情報が本物であるか否かを認証する認証器
（Authenticator）３１をさらに設けるようにしてい
る。
００の構成例を示すブロック図である。このファイアウ
ォール３００においては、図１０に示した従来のファイ
アウォール２００において、受信したパケットのパケッ
トヘッダ内の情報が本物であるか否かを認証する認証器
（Authenticator）３１をさらに設けるようにしてい
る。
【００３３】認証器３１は、移動ホスト２４が有するも
のと同一の秘密鍵（Secret Key）、および一種のチェッ
クサムの演算方法（例えば、ＭＤ５）を記憶し、後述す
るように、ネットワークインタフェース１ａ乃至１ｃの
所定のものを介して受信したパケットのパケットヘッダ
内の情報が本物であるか否かを認証するようになされて
いる。また、この場合、パケット選別器１１は、認証器
３１がパケットヘッダ内の情報が本物であると認証した
パケットだけを、経路表３に基づいて決定したネットワ
ークインタフェース１ａ乃至１ｃのいずれかを介して、
ネットワーク２１に中継するようになされている。
のと同一の秘密鍵（Secret Key）、および一種のチェッ
クサムの演算方法（例えば、ＭＤ５）を記憶し、後述す
るように、ネットワークインタフェース１ａ乃至１ｃの
所定のものを介して受信したパケットのパケットヘッダ
内の情報が本物であるか否かを認証するようになされて
いる。また、この場合、パケット選別器１１は、認証器
３１がパケットヘッダ内の情報が本物であると認証した
パケットだけを、経路表３に基づいて決定したネットワ
ークインタフェース１ａ乃至１ｃのいずれかを介して、
ネットワーク２１に中継するようになされている。
【００３４】その他の構成は、図１０を参照して上述し
た場合と同様であるので、ここではその説明は省略す
る。
た場合と同様であるので、ここではその説明は省略す
る。
【００３５】例えば、ある組織のネットワーク２１に属
している移動ホスト２４が、この組織のネットワーク２
１を出て、広域ネットワーク２３に接続し、移動ホスト
２４からこの移動ホスト２４が属しているネットワーク
２１内のホスト２５へパケットを送信した場合を考え
る。その際、移動ホスト２４は、送信ホスト認証子を演
算し、それをパケットのヘッダに含める。
している移動ホスト２４が、この組織のネットワーク２
１を出て、広域ネットワーク２３に接続し、移動ホスト
２４からこの移動ホスト２４が属しているネットワーク
２１内のホスト２５へパケットを送信した場合を考え
る。その際、移動ホスト２４は、送信ホスト認証子を演
算し、それをパケットのヘッダに含める。
【００３６】また、このとき、移動ホスト２４とファイ
アウォール３００は、予め所定の秘密鍵（Ｋｓ）をそれ
ぞれ記憶し、共有するようにする。この秘密鍵は、例え
ば１２８ビット程度のデータとすることができる。
アウォール３００は、予め所定の秘密鍵（Ｋｓ）をそれ
ぞれ記憶し、共有するようにする。この秘密鍵は、例え
ば１２８ビット程度のデータとすることができる。
【００３７】また、ここで送信されるパケットは、例え
ば図４に示したようなパケットフォーマットを有してい
る。すなわち、パケットヘッダ部とデータとからなり、
パケットヘッダ部はさらに、送信ホストアドレス（Sour
ce Address）（ＩＰアドレス）、送信ホスト識別子（So
urce Identifier）（ＶＩＰアドレス）、送信ホストア
ドレスバージョン（Source Address Version）、タイム
スタンプ（Timestamp）、送信ホスト認証子（Source Ho
st Authenticator）、受信ホストアドレス（Destinatio
n Address）（ＩＰアドレス）、受信ホスト識別子（Des
tination Identifier）（ＶＩＰアドレス）、および受
信ホストアドレスバージョン（Destination Address Ve
rsion）の各フィールドより構成されている。
ば図４に示したようなパケットフォーマットを有してい
る。すなわち、パケットヘッダ部とデータとからなり、
パケットヘッダ部はさらに、送信ホストアドレス（Sour
ce Address）（ＩＰアドレス）、送信ホスト識別子（So
urce Identifier）（ＶＩＰアドレス）、送信ホストア
ドレスバージョン（Source Address Version）、タイム
スタンプ（Timestamp）、送信ホスト認証子（Source Ho
st Authenticator）、受信ホストアドレス（Destinatio
n Address）（ＩＰアドレス）、受信ホスト識別子（Des
tination Identifier）（ＶＩＰアドレス）、および受
信ホストアドレスバージョン（Destination Address Ve
rsion）の各フィールドより構成されている。
【００３８】ここで、送信ホスト認証子は、例えば、次
のようにして計算することができる。すなわち、送信ホ
ストアドレス、送信ホスト識別子、送信ホストバージョ
ン、およびタイムスタンプの各フィールド内のデータに
秘密鍵（Ｋｓ）を連結して得られたデータに、例えば、
ＭＤ５（Message Digest 5）のようなアルゴリズムに基
づいて、一種のチェックサムを計算することにより得る
ことができる。このＭＤ５は、任意長のデータから、１
６バイトのチェックサムを生成するものである。
のようにして計算することができる。すなわち、送信ホ
ストアドレス、送信ホスト識別子、送信ホストバージョ
ン、およびタイムスタンプの各フィールド内のデータに
秘密鍵（Ｋｓ）を連結して得られたデータに、例えば、
ＭＤ５（Message Digest 5）のようなアルゴリズムに基
づいて、一種のチェックサムを計算することにより得る
ことができる。このＭＤ５は、任意長のデータから、１
６バイトのチェックサムを生成するものである。
【００３９】また、上記ＭＤ５の他に、次のようなアル
ゴリズム、例えば、ＤＥＳ（Data Encryption Standar
d）（National Bureau of Standards FIPS Publication
46,1977）、ＦＥＡＬ（Fast Encryption ALgorithm）
（S.Miyaguchi. The FEAL cipher family. Lecture Not
es in Computer Science, 537(1001), pp627-638. (Adv
ances in Cryptology - CRYPTO '90)）のような暗号化
アルゴリズム、あるいはＭＤ４（Message Digest algor
ithm）（R.L.Rivest. The MD4 message digest algorit
hm. Lecture Notes in Computer Science, 537(1001),
303-311. (Advances in Cryptology - CRYPTO '90)）や
ＳＨＳ（Secure Hash Standard）（SecureHash Standar
d. National Bureau of Standards FIPS Publication 1
80, 1993）のようなメッセージダイジェストアルゴリズ
ムを使用することができる。なお、ＤＥＳ、ＦＥＡＬに
関しては、「辻井、笠原、「暗号と情報セキュリテ
ィ」、１９９３年７月」に詳しい。
ゴリズム、例えば、ＤＥＳ（Data Encryption Standar
d）（National Bureau of Standards FIPS Publication
46,1977）、ＦＥＡＬ（Fast Encryption ALgorithm）
（S.Miyaguchi. The FEAL cipher family. Lecture Not
es in Computer Science, 537(1001), pp627-638. (Adv
ances in Cryptology - CRYPTO '90)）のような暗号化
アルゴリズム、あるいはＭＤ４（Message Digest algor
ithm）（R.L.Rivest. The MD4 message digest algorit
hm. Lecture Notes in Computer Science, 537(1001),
303-311. (Advances in Cryptology - CRYPTO '90)）や
ＳＨＳ（Secure Hash Standard）（SecureHash Standar
d. National Bureau of Standards FIPS Publication 1
80, 1993）のようなメッセージダイジェストアルゴリズ
ムを使用することができる。なお、ＤＥＳ、ＦＥＡＬに
関しては、「辻井、笠原、「暗号と情報セキュリテ
ィ」、１９９３年７月」に詳しい。
【００４０】次に、図５に示したフローチャートを参照
して、移動ホスト２４が、自組織のネットワーク２１か
ら出て、広域ネットワーク２３に接続し、ホスト２５に
対して所定のパケットの送信を行った場合のファイアウ
ォール３００の動作について説明する。
して、移動ホスト２４が、自組織のネットワーク２１か
ら出て、広域ネットワーク２３に接続し、ホスト２５に
対して所定のパケットの送信を行った場合のファイアウ
ォール３００の動作について説明する。
【００４１】移動ホスト２４より送信されたパケット
は、まずファイアウォール３００に到達し、ステップＳ
１においてこのパケットが、例えばネットワークインタ
フェース１ａ（図３）に入力される。すなわち、この場
合、ファイアウォール３００は、ネットワークインタフ
ェース１ａを介して広域ネットワーク２３と接続されて
いるものとする。
は、まずファイアウォール３００に到達し、ステップＳ
１においてこのパケットが、例えばネットワークインタ
フェース１ａ（図３）に入力される。すなわち、この場
合、ファイアウォール３００は、ネットワークインタフ
ェース１ａを介して広域ネットワーク２３と接続されて
いるものとする。
【００４２】ファイアウォール３００のネットワークイ
ンタフェース１ａに入力されたパケットは、ステップＳ
２において、経路表３により、中継可能なパケットであ
るか否かが判定される。例えば、ファイアウォール３０
０に接続されたネットワーク、この場合、ネットワーク
２１に、ネットワークインタフェース１ａを介して入力
したパケットのパケットヘッダに含まれる受信ホストア
ドレスに対応するホストが存在するか否かが判定され
る。
ンタフェース１ａに入力されたパケットは、ステップＳ
２において、経路表３により、中継可能なパケットであ
るか否かが判定される。例えば、ファイアウォール３０
０に接続されたネットワーク、この場合、ネットワーク
２１に、ネットワークインタフェース１ａを介して入力
したパケットのパケットヘッダに含まれる受信ホストア
ドレスに対応するホストが存在するか否かが判定され
る。
【００４３】その結果、ネットワーク２１内に、パケッ
トヘッダに含まれる受信ホストアドレスに対応するホス
トが存在しないと判定された場合、ステップＳ３に進
み、このパケットが廃棄される。その後、ステップＳ１
に戻り、ステップＳ１より以降の処理が繰り返し実行さ
れる。一方、パケットヘッダに含まれる受信ホストアド
レスに対応するホストが、ネットワーク２１内に存在す
ると判定された場合、ステップＳ４に進む。
トヘッダに含まれる受信ホストアドレスに対応するホス
トが存在しないと判定された場合、ステップＳ３に進
み、このパケットが廃棄される。その後、ステップＳ１
に戻り、ステップＳ１より以降の処理が繰り返し実行さ
れる。一方、パケットヘッダに含まれる受信ホストアド
レスに対応するホストが、ネットワーク２１内に存在す
ると判定された場合、ステップＳ４に進む。
【００４４】ステップＳ４においては、パケット選別器
１１により、中継してよいパケットであるか否かが判定
される。例えば、ある組織のネットワーク２１に属する
移動ホストからのパケットであるか否かが判定される。
中継してよいパケットではないと判定された場合、ステ
ップＳ５に進み、このパケットは廃棄される。その後、
ステップＳ１に戻り、ステップＳ１より以降の処理が繰
り返し実行される。一方、中継してよいパケットである
と判定された場合、ステップＳ６に進む。
１１により、中継してよいパケットであるか否かが判定
される。例えば、ある組織のネットワーク２１に属する
移動ホストからのパケットであるか否かが判定される。
中継してよいパケットではないと判定された場合、ステ
ップＳ５に進み、このパケットは廃棄される。その後、
ステップＳ１に戻り、ステップＳ１より以降の処理が繰
り返し実行される。一方、中継してよいパケットである
と判定された場合、ステップＳ６に進む。
【００４５】ステップＳ６においては、ファイアウォー
ル３００を構成する認証器３１により、ステップＳ１に
おいて入力されたパケットのパケットヘッダの情報が本
物であるか否かが判定される。すなわち、認証器３１
は、移動ホスト２４が有する秘密鍵および一種のチェッ
クサムの演算方法（例えばＭＤ５）と同一のものを有し
ており、この秘密鍵とパケットを構成するパケットヘッ
ダの内容から、上述した移動ホスト２４において行われ
た場合と同様にして、再度、送信ホスト認証子が独自に
計算される。
ル３００を構成する認証器３１により、ステップＳ１に
おいて入力されたパケットのパケットヘッダの情報が本
物であるか否かが判定される。すなわち、認証器３１
は、移動ホスト２４が有する秘密鍵および一種のチェッ
クサムの演算方法（例えばＭＤ５）と同一のものを有し
ており、この秘密鍵とパケットを構成するパケットヘッ
ダの内容から、上述した移動ホスト２４において行われ
た場合と同様にして、再度、送信ホスト認証子が独自に
計算される。
【００４６】そして、この計算によって得られたチェッ
クサムとしての送信ホスト認証子と、ネットワークイン
タフェース１ａを介して入力されたパケットのパケット
ヘッダの中に含まれる送信ホスト認証子が比較される。
そして、両者が一致するか否かを判定することによっ
て、入力されたパケットのパケットヘッダ内の情報が本
物であるか否かの認証が行われる。
クサムとしての送信ホスト認証子と、ネットワークイン
タフェース１ａを介して入力されたパケットのパケット
ヘッダの中に含まれる送信ホスト認証子が比較される。
そして、両者が一致するか否かを判定することによっ
て、入力されたパケットのパケットヘッダ内の情報が本
物であるか否かの認証が行われる。
【００４７】すなわち、この計算によって得られた送信
ホスト認証子と、入力されたパケットヘッダの中に含ま
れる送信ホスト認証子が一致しない場合、このパケット
のパケットヘッダ内の情報は本物ではないと認証され、
ステップＳ７に進み、このパケットは廃棄される。その
後、ステップＳ１に戻り、ステップＳ１以降の処理が繰
り返し実行される。
ホスト認証子と、入力されたパケットヘッダの中に含ま
れる送信ホスト認証子が一致しない場合、このパケット
のパケットヘッダ内の情報は本物ではないと認証され、
ステップＳ７に進み、このパケットは廃棄される。その
後、ステップＳ１に戻り、ステップＳ１以降の処理が繰
り返し実行される。
【００４８】一方、この計算によって得られた送信ホス
ト認証子と、入力されたパケットのパケットヘッダの中
に含まれる送信ホスト認証子が一致した場合、このパケ
ットのパケットヘッダの情報は本物である、すなわち、
移動ホスト２４から送信されてきたパケットであると認
証され、ステップＳ８に進む。
ト認証子と、入力されたパケットのパケットヘッダの中
に含まれる送信ホスト認証子が一致した場合、このパケ
ットのパケットヘッダの情報は本物である、すなわち、
移動ホスト２４から送信されてきたパケットであると認
証され、ステップＳ８に進む。
【００４９】ステップＳ８においては、このパケットを
中継するための処理が行われる。すなわち、経路表３に
基づいて、このパケットの受信ホストアドレスに対応す
るホストが存在するネットワークへのルート（経路）が
決定される。次に、それに基づいて、送信ネットワーク
インタフェース決定器２により、ネットワークインタフ
ェース１ａ乃至１ｃのうち、このパケットを送信すべき
ネットワークへの経路上にある、例えば、ネットワーク
インタフェース１ｂが決定される。すなわち、この場
合、ファイアウォール３００とネットワーク２１とは、
ネットワークインタフェース１ｂを介して接続されてい
るものとする。
中継するための処理が行われる。すなわち、経路表３に
基づいて、このパケットの受信ホストアドレスに対応す
るホストが存在するネットワークへのルート（経路）が
決定される。次に、それに基づいて、送信ネットワーク
インタフェース決定器２により、ネットワークインタフ
ェース１ａ乃至１ｃのうち、このパケットを送信すべき
ネットワークへの経路上にある、例えば、ネットワーク
インタフェース１ｂが決定される。すなわち、この場
合、ファイアウォール３００とネットワーク２１とは、
ネットワークインタフェース１ｂを介して接続されてい
るものとする。
【００５０】次に、ステップＳ９において、ネットワー
クインタフェース１ｂを介して、このパケットが出力さ
れ、ネットワーク２１に中継される。
クインタフェース１ｂを介して、このパケットが出力さ
れ、ネットワーク２１に中継される。
【００５１】その後、ステップＳ１に戻り、ステップＳ
１より以降の処理が繰り返し実行される。
１より以降の処理が繰り返し実行される。
【００５２】このように、ファイアウォール３００は、
自組織のネットワーク２１に属する移動ホスト２４から
のパケットだけを、自組織のネットワーク２１に選択的
に中継することができるので、通信におけるセキュリテ
ィの向上を図ることができる。
自組織のネットワーク２１に属する移動ホスト２４から
のパケットだけを、自組織のネットワーク２１に選択的
に中継することができるので、通信におけるセキュリテ
ィの向上を図ることができる。
【００５３】図６は、本発明の通信システムを適用した
ネットワークの他の実施の形態の構成例を示している。
同図に示すように、ある組織（自組織）４１は、メール
サーバ４２とＦＴＰ（File Transfer Protocol）サーバ
４３を有しており、ファイアウォール４５を介してイン
ターネット４６に接続されている。また、自組織４１に
属するノートＰＣ（パーソナルコンピュータ）４４は、
自組織４１を離れて、インターネット４６にモデムを介
して接続されている。
ネットワークの他の実施の形態の構成例を示している。
同図に示すように、ある組織（自組織）４１は、メール
サーバ４２とＦＴＰ（File Transfer Protocol）サーバ
４３を有しており、ファイアウォール４５を介してイン
ターネット４６に接続されている。また、自組織４１に
属するノートＰＣ（パーソナルコンピュータ）４４は、
自組織４１を離れて、インターネット４６にモデムを介
して接続されている。
【００５４】次に、図７および図８を参照して、図６に
示したように、自組織４１に属するノートＰＣ４４が、
この組織外でインターネット４６に接続し、自組織４１
内のメールサーバ４２にアクセスする場合について説明
する。なお、ＦＴＰサーバ４３にアクセスする場合も基
本的にメールサーバ４２にアクセスする場合と同様であ
る。
示したように、自組織４１に属するノートＰＣ４４が、
この組織外でインターネット４６に接続し、自組織４１
内のメールサーバ４２にアクセスする場合について説明
する。なお、ＦＴＰサーバ４３にアクセスする場合も基
本的にメールサーバ４２にアクセスする場合と同様であ
る。
【００５５】ここでは、ノートＰＣ４４には、ＶＩＰが
実装されており、ファイアウォール４５は、ノートＰＣ
４４のホームルータも兼ねているものとする。また、フ
ァイアウォール４５は、内側から外側へ送信されるパケ
ットに関しては無条件に中継するものとする。そして、
ファイアウォール４５とノートＰＣ４４は秘密鍵を共有
し、所定の計算方法（例えば、ＭＤ５）をそれぞれ記憶
しているものとする。
実装されており、ファイアウォール４５は、ノートＰＣ
４４のホームルータも兼ねているものとする。また、フ
ァイアウォール４５は、内側から外側へ送信されるパケ
ットに関しては無条件に中継するものとする。そして、
ファイアウォール４５とノートＰＣ４４は秘密鍵を共有
し、所定の計算方法（例えば、ＭＤ５）をそれぞれ記憶
しているものとする。
【００５６】図７は、ノートＰＣ４４の動作手順を表す
フローチャートであり、図８は、ファイアウォール４５
の動作手順を表すフローチャートである。
フローチャートであり、図８は、ファイアウォール４５
の動作手順を表すフローチャートである。
【００５７】まず、図７のステップＳ１１において、例
えば、ユーザはノートＰＣ４４を用いて、出張先のホテ
ルからモデムおよび電話回線を介してダイヤルアップに
より、インターネットプロバイダに接続する。次に、ス
テップＳ１２において、ノートＰＣ４４は、インターネ
ットプロバイダからＩＰアドレスの割り当てを受ける。
すなわち、ノートＰＣ４４のＩＰアドレスは、ノートＰ
Ｃ４４が移動することによって変化することになる。し
かしながら、ノートＰＣ４４のＶＩＰアドレスは変化し
ない。このようにして、ある組織４１に属するノートＰ
Ｃ４４が、組織外の所定の地点でインターネット４６に
接続する。
えば、ユーザはノートＰＣ４４を用いて、出張先のホテ
ルからモデムおよび電話回線を介してダイヤルアップに
より、インターネットプロバイダに接続する。次に、ス
テップＳ１２において、ノートＰＣ４４は、インターネ
ットプロバイダからＩＰアドレスの割り当てを受ける。
すなわち、ノートＰＣ４４のＩＰアドレスは、ノートＰ
Ｃ４４が移動することによって変化することになる。し
かしながら、ノートＰＣ４４のＶＩＰアドレスは変化し
ない。このようにして、ある組織４１に属するノートＰ
Ｃ４４が、組織外の所定の地点でインターネット４６に
接続する。
【００５８】ステップＳ１３においては、ノートＰＣ４
４は、コントロールパケットにより、自分のＶＩＰアド
レスとＩＰアドレスをファイアウォール（ホームルー
タ）４５に送信する。
４は、コントロールパケットにより、自分のＶＩＰアド
レスとＩＰアドレスをファイアウォール（ホームルー
タ）４５に送信する。
【００５９】ノートＰＣ４４から送信されてきたこのコ
ントロールパケットのヘッダには、ノートＰＣ４４の認
証データ（図４の送信ホスト認証子に対応する）がヘッ
ダ情報として含まれているので、ファイアウォール４５
は、図１乃至図５を参照して上述した場合と同様にし
て、ノートＰＣ４４が本物であるか否かを認証すること
ができる。
ントロールパケットのヘッダには、ノートＰＣ４４の認
証データ（図４の送信ホスト認証子に対応する）がヘッ
ダ情報として含まれているので、ファイアウォール４５
は、図１乃至図５を参照して上述した場合と同様にし
て、ノートＰＣ４４が本物であるか否かを認証すること
ができる。
【００６０】ファイアウォール４５は、図８のステップ
Ｓ２１において、ノートＰＣ４４からのコントロールパ
ケットを受信すると、ステップＳ２２に進み、コントロ
ールパケットに含まれるヘッダの中の送信ホスト認証子
および他のヘッダ情報に基づいて、ノートＰＣ４４の認
証を行う。そして、ステップＳ２３において、ファイア
ウォール４５により、ステップＳ２２における認証の結
果に基づいて、ノートＰＣ４４が本物であるか否かが判
定される。すなわち、ノートＰＣ４４が本当に自組織４
１に属するコンピュータであるか否かが判定される。ノ
ートＰＣ４４が本物ではないと判定された場合、ステッ
プＳ２９において、このパケットが廃棄された後、処理
を終了する。一方、ノートＰＣ４４が本物であると判定
された場合、ステップＳ２４に進み、ノートＰＣ４４か
ら送信されてきたコントロールパケットのヘッダに含ま
れるノートＰＣ４４のＶＩＰアドレスとＩＰアドレスの
関係がＡＭＴに登録される。
Ｓ２１において、ノートＰＣ４４からのコントロールパ
ケットを受信すると、ステップＳ２２に進み、コントロ
ールパケットに含まれるヘッダの中の送信ホスト認証子
および他のヘッダ情報に基づいて、ノートＰＣ４４の認
証を行う。そして、ステップＳ２３において、ファイア
ウォール４５により、ステップＳ２２における認証の結
果に基づいて、ノートＰＣ４４が本物であるか否かが判
定される。すなわち、ノートＰＣ４４が本当に自組織４
１に属するコンピュータであるか否かが判定される。ノ
ートＰＣ４４が本物ではないと判定された場合、ステッ
プＳ２９において、このパケットが廃棄された後、処理
を終了する。一方、ノートＰＣ４４が本物であると判定
された場合、ステップＳ２４に進み、ノートＰＣ４４か
ら送信されてきたコントロールパケットのヘッダに含ま
れるノートＰＣ４４のＶＩＰアドレスとＩＰアドレスの
関係がＡＭＴに登録される。
【００６１】従って、それ以降、ファイアウォール４１
は、ＡＭＴによってノートＰＣ４４のＶＩＰアドレスを
ＩＰアドレスに変換することができるようになる。
は、ＡＭＴによってノートＰＣ４４のＶＩＰアドレスを
ＩＰアドレスに変換することができるようになる。
【００６２】次に、ユーザが自組織４１内のメールサー
バ４２にアクセスし、自分宛のメール（電子メール）を
読む場合、ノートＰＣ４４は、図７のステップＳ１４に
おいて、メールを読むために、自分宛のメールの送信を
要求する所定のＶＩＰパケットを自組織４１のメールサ
ーバ４２に向けて送信する。このパケットには、ノート
ＰＣ４４の認証データ（図４の送信ホスト認証子に対応
する）が含まれている。
バ４２にアクセスし、自分宛のメール（電子メール）を
読む場合、ノートＰＣ４４は、図７のステップＳ１４に
おいて、メールを読むために、自分宛のメールの送信を
要求する所定のＶＩＰパケットを自組織４１のメールサ
ーバ４２に向けて送信する。このパケットには、ノート
ＰＣ４４の認証データ（図４の送信ホスト認証子に対応
する）が含まれている。
【００６３】ファイアウォール４５は、図８のステップ
Ｓ２５において、ノートＰＣ４４からメールサーバ４２
に向けて送信されたＶＩＰパケットを受信すると、ステ
ップＳ２６に進み、ノートＰＣ４４からのＶＩＰパケッ
トのヘッダに含まれる送信ホスト認証子とその他のヘッ
ダ情報に基づいて、ノートＰＣ４４の認証を行う。次
に、その認証結果に基づいて、ステップＳ２７におい
て、ファイアウォール４５によりノートＰＣ４４が本物
であるか否かが判定される。すなわち、ノートＰＣ４４
が本当に自組織４１に属するコンピュータであるか否か
が判定される。ノートＰＣ４４が本物ではないと判定さ
れた場合、ステップＳ２９において、このパケットが廃
棄された後、処理を終了する。一方、ノートＰＣ４４が
本物であると判定された場合、ステップＳ２８に進み、
そのＶＩＰパケットが自組織４１に中継される。
Ｓ２５において、ノートＰＣ４４からメールサーバ４２
に向けて送信されたＶＩＰパケットを受信すると、ステ
ップＳ２６に進み、ノートＰＣ４４からのＶＩＰパケッ
トのヘッダに含まれる送信ホスト認証子とその他のヘッ
ダ情報に基づいて、ノートＰＣ４４の認証を行う。次
に、その認証結果に基づいて、ステップＳ２７におい
て、ファイアウォール４５によりノートＰＣ４４が本物
であるか否かが判定される。すなわち、ノートＰＣ４４
が本当に自組織４１に属するコンピュータであるか否か
が判定される。ノートＰＣ４４が本物ではないと判定さ
れた場合、ステップＳ２９において、このパケットが廃
棄された後、処理を終了する。一方、ノートＰＣ４４が
本物であると判定された場合、ステップＳ２８に進み、
そのＶＩＰパケットが自組織４１に中継される。
【００６４】これにより、ＶＩＰパケットは、メールサ
ーバ４２に到達し、メールサーバ４２により、ＶＩＰパ
ケットによるユーザからの要求が処理される。この場
合、ユーザ宛のメールがあればそれを含めた応答パケッ
トをノートＰＣ４４に送信する。ユーザ宛のメールがな
ければ、そのことを表す応答パケットをノートＰＣ４４
に送信する。このとき、上述したように、ＶＩＰが提供
する移動透過な通信機能（移動透過性）により、ノート
ＰＣ４４の位置に拘らず、この応答パケットは、ファイ
アウォール４５、インターネット４６を介して伝送さ
れ、ノートＰＣ４４に到達する。
ーバ４２に到達し、メールサーバ４２により、ＶＩＰパ
ケットによるユーザからの要求が処理される。この場
合、ユーザ宛のメールがあればそれを含めた応答パケッ
トをノートＰＣ４４に送信する。ユーザ宛のメールがな
ければ、そのことを表す応答パケットをノートＰＣ４４
に送信する。このとき、上述したように、ＶＩＰが提供
する移動透過な通信機能（移動透過性）により、ノート
ＰＣ４４の位置に拘らず、この応答パケットは、ファイ
アウォール４５、インターネット４６を介して伝送さ
れ、ノートＰＣ４４に到達する。
【００６５】すなわち、上記応答パケットには、ノート
ＰＣ４４のＶＩＰアドレスが含まれており、このＶＩＰ
アドレスは、ファイアウォール４５において、ＡＭＴに
基づいてＩＰアドレスに変換される。そして、応答パケ
ットは、このＩＰアドレスに基づいて、インターネット
４６を介してノートＰＣ４４に伝送される。
ＰＣ４４のＶＩＰアドレスが含まれており、このＶＩＰ
アドレスは、ファイアウォール４５において、ＡＭＴに
基づいてＩＰアドレスに変換される。そして、応答パケ
ットは、このＩＰアドレスに基づいて、インターネット
４６を介してノートＰＣ４４に伝送される。
【００６６】ノートＰＣ４４においては、図７のステッ
プＳ１５において、メールサーバ４２からの応答パケッ
トが受信される。そして、応答パケットにユーザ宛のメ
ールが含まれる場合、それが画面に表示される。また、
応答パケットにユーザ宛のメールが含まれていない場
合、ユーザ宛のメールがないことを示す所定のメッセー
ジが画面に表示される。
プＳ１５において、メールサーバ４２からの応答パケッ
トが受信される。そして、応答パケットにユーザ宛のメ
ールが含まれる場合、それが画面に表示される。また、
応答パケットにユーザ宛のメールが含まれていない場
合、ユーザ宛のメールがないことを示す所定のメッセー
ジが画面に表示される。
【００６７】このようにして、ユーザは、例えば出張先
のように任意の場所からファイアウォール４５を越えて
自組織４１の内部のメールサーバ４２にアクセスし、自
分宛のメールを読むことが可能となる。同様にして、ユ
ーザは、自組織４１内のメールサーバ４２にメールを送
信することができる。その場合、メールを含んだＶＩＰ
パケットをメールサーバ宛に送信することになる。
のように任意の場所からファイアウォール４５を越えて
自組織４１の内部のメールサーバ４２にアクセスし、自
分宛のメールを読むことが可能となる。同様にして、ユ
ーザは、自組織４１内のメールサーバ４２にメールを送
信することができる。その場合、メールを含んだＶＩＰ
パケットをメールサーバ宛に送信することになる。
【００６８】最近では、ノートブック型のコンピュータ
を持ち歩き、行く先々で自組織のメールサーバにアクセ
スし、メールの読み書きをしているユーザも多い。上述
したように、ＶＩＰではファイアウォールが移動コンピ
ュータからのパケットに基づいて移動コンピュータの認
証を行い、自組織に属する移動コンピュータからのパケ
ットを安全に自組織内へ中継することができる。これに
より、ユーザは、ファイアウォールの存在を意識するこ
となく、外部からインターネット等を介して、ファイア
ウォールを越えて自組織内のメールサーバにアクセス
し、メールの読み書きを行うことができる。
を持ち歩き、行く先々で自組織のメールサーバにアクセ
スし、メールの読み書きをしているユーザも多い。上述
したように、ＶＩＰではファイアウォールが移動コンピ
ュータからのパケットに基づいて移動コンピュータの認
証を行い、自組織に属する移動コンピュータからのパケ
ットを安全に自組織内へ中継することができる。これに
より、ユーザは、ファイアウォールの存在を意識するこ
となく、外部からインターネット等を介して、ファイア
ウォールを越えて自組織内のメールサーバにアクセス
し、メールの読み書きを行うことができる。
【００６９】なお、上記実施の形態においては、ユーザ
がノートＰＣ４４を用いてメールサーバ４２にアクセス
する場合について説明したが、メールサーバ４２にアク
セスする場合と基本的に同様の手順で、ユーザはノート
ＰＣ４４を用いてファイアウォール４５を越えて自組織
４１のＦＴＰサーバ４３にアクセスし、ＦＴＰサーバ４
３とノートＰＣ４４の間でファイルの転送を行うことが
できる。従って、ユーザは、例えば出張先のように任意
の場所からファイアウォール４５を越えて自組織４１の
ＦＴＰサーバ４３にアクセスし、所望のファイルを取り
寄せることが可能となる。
がノートＰＣ４４を用いてメールサーバ４２にアクセス
する場合について説明したが、メールサーバ４２にアク
セスする場合と基本的に同様の手順で、ユーザはノート
ＰＣ４４を用いてファイアウォール４５を越えて自組織
４１のＦＴＰサーバ４３にアクセスし、ＦＴＰサーバ４
３とノートＰＣ４４の間でファイルの転送を行うことが
できる。従って、ユーザは、例えば出張先のように任意
の場所からファイアウォール４５を越えて自組織４１の
ＦＴＰサーバ４３にアクセスし、所望のファイルを取り
寄せることが可能となる。
【００７０】また、上記実施の形態においては、送信ホ
スト認証子を求めるためにＭＤ５を用いるようにした
が、これに限定されるものではなく、他の方法を用いる
ようにすることも可能である。
スト認証子を求めるためにＭＤ５を用いるようにした
が、これに限定されるものではなく、他の方法を用いる
ようにすることも可能である。
【００７１】また、上記実施の形態においては、仮想イ
ンターネットプロトコルに基づいてパケットが送受信さ
れるネットワークに本発明を適用する場合について説明
したが、他のプロトコルに基づいたネットワークに本発
明を適用することも可能である。
ンターネットプロトコルに基づいてパケットが送受信さ
れるネットワークに本発明を適用する場合について説明
したが、他のプロトコルに基づいたネットワークに本発
明を適用することも可能である。
【００７２】
【発明の効果】請求項１に記載の通信システムによれ
ば、送信局において、第１の演算手段により、第１の記
憶手段に記憶された鍵情報と、受信局に送信すべきパケ
ットのヘッダ情報に基づいて、記憶している演算方法に
従って第１の認証情報が演算され、送信手段により、第
１の演算手段によって演算された第１の認証情報がパケ
ットのヘッダ情報に含められて送信される。また、通信
装置において、第２の演算手段により、第２の記憶手段
に記憶された鍵情報と、送信局からのパケットのヘッダ
情報に基づいて、記憶している演算方法に従って第２の
認証情報が演算され、比較手段により、送信局からのパ
ケットのヘッダ情報に含まれる第１の認証情報と、第２
の認証情報とが比較され、この比較結果に基づいて、決
定手段により、パケットを第２のネットワークに中継す
るか否かが決定されるようにしたので、通信装置が記憶
している鍵情報および演算方法と同一のものを記憶して
いる送信局からのパケットのみを選択的に中継するよう
にすることができ、通信のセキュリティを向上させるこ
とが可能となる。
ば、送信局において、第１の演算手段により、第１の記
憶手段に記憶された鍵情報と、受信局に送信すべきパケ
ットのヘッダ情報に基づいて、記憶している演算方法に
従って第１の認証情報が演算され、送信手段により、第
１の演算手段によって演算された第１の認証情報がパケ
ットのヘッダ情報に含められて送信される。また、通信
装置において、第２の演算手段により、第２の記憶手段
に記憶された鍵情報と、送信局からのパケットのヘッダ
情報に基づいて、記憶している演算方法に従って第２の
認証情報が演算され、比較手段により、送信局からのパ
ケットのヘッダ情報に含まれる第１の認証情報と、第２
の認証情報とが比較され、この比較結果に基づいて、決
定手段により、パケットを第２のネットワークに中継す
るか否かが決定されるようにしたので、通信装置が記憶
している鍵情報および演算方法と同一のものを記憶して
いる送信局からのパケットのみを選択的に中継するよう
にすることができ、通信のセキュリティを向上させるこ
とが可能となる。
【００７３】請求項６に記載の通信装置によれば、認証
手段により、ネットワークインタフェースを介して受信
した送信局からのパケットに含まれるヘッダ情報が本物
であるか否かが認証され、制御手段により、認証手段に
よってパケットに含まれるヘッダ情報が本物であると認
証されたとき、パケットが中継されるよう制御されるよ
うにしたので、ヘッダ情報が本物である場合にだけ、そ
のパケットを中継するようにすることができ、通信のセ
キュリティを向上させることができる。
手段により、ネットワークインタフェースを介して受信
した送信局からのパケットに含まれるヘッダ情報が本物
であるか否かが認証され、制御手段により、認証手段に
よってパケットに含まれるヘッダ情報が本物であると認
証されたとき、パケットが中継されるよう制御されるよ
うにしたので、ヘッダ情報が本物である場合にだけ、そ
のパケットを中継するようにすることができ、通信のセ
キュリティを向上させることができる。
【図１】本発明の通信システムを適用したネットワーク
の一実施の形態の構成例を示す図である。
の一実施の形態の構成例を示す図である。
【図２】図１の移動ホストの構成例を示すブロック図で
ある。
ある。
【図３】図１のファイアウォールの構成例を示すブロッ
ク図である。
ク図である。
【図４】パケットフォーマットおよび送信ホスト認証子
の演算方法を示す図である。
の演算方法を示す図である。
【図５】図３のファイアウォールの動作を説明するため
のフローチャートである。
のフローチャートである。
【図６】本発明の通信システムを適用したネットワーク
の他の実施の形態の構成例を示す図である。
の他の実施の形態の構成例を示す図である。
【図７】外部からメールサーバ４２にアクセスするとき
のノートＰＣ４４の動作手順を示すフローチャートであ
る。
のノートＰＣ４４の動作手順を示すフローチャートであ
る。
【図８】ノートＰＣ４４がメールサーバ４２にアクセス
するときのファイアウォール４５の動作手順を示すフロ
ーチャートである。
するときのファイアウォール４５の動作手順を示すフロ
ーチャートである。
【図９】従来のルータの構成例を示すブロック図であ
る。
る。
【図１０】従来のファイアウォールの構成例を示すブロ
ック図である。
ック図である。
１ａ，１ｂ，１ｃ ネットワークインタフェース，２
送信ネットワークインタフェース決定器，３ 経路表，
１１ パケット選別器，２１ ある組織のネットワー
ク，２３ 広域ネットワーク，２４ 移動ホスト，２４
ａ 記憶部，２４ｂ 演算部，２４ｃ 送受信部，２５
ホスト，４１ 自組織，４２ メールサーバ，４３
ＦＴＰサーバ，４４ ノートＰＣ，４５ ファイアウォ
ール（ホームルータ），４６ インターネット，１００
ルータ，２００，３００ ファイアウォール
送信ネットワークインタフェース決定器，３ 経路表，
１１ パケット選別器，２１ ある組織のネットワー
ク，２３ 広域ネットワーク，２４ 移動ホスト，２４
ａ 記憶部，２４ｂ 演算部，２４ｃ 送受信部，２５
ホスト，４１ 自組織，４２ メールサーバ，４３
ＦＴＰサーバ，４４ ノートＰＣ，４５ ファイアウォ
ール（ホームルータ），４６ インターネット，１００
ルータ，２００，３００ ファイアウォール
Claims (8)
- 【請求項１】 第１のネットワークと第２のネットワー
クが通信装置を介して接続され、前記第１のネットワー
クの送信局から前記第２のネットワークの受信局に送信
されたパケットが、前記通信装置によって選択的に、前
記第２のネットワークに中継される通信システムにおい
て、 前記送信局は、 所定の鍵情報を記憶する第１の記憶手段と、 所定の演算方法を記憶し、前記第１の記憶手段に記憶さ
れた前記鍵情報と、前記受信局に送信すべきパケットの
ヘッダ情報に基づいて、前記演算方法に従って第１の認
証情報を演算する第１の演算手段と、 前記第１の演算手段によって演算された前記第１の認証
情報を前記パケットのヘッダ情報に含めて送信する送信
手段とを備え、 前記通信装置は、 前記鍵情報を記憶する第２の記憶手段と、 前記演算方法を記憶し、前記第２の記憶手段に記憶され
た前記鍵情報と、前記送信局からの前記パケットのヘッ
ダ情報に基づいて、前記演算方法に従って第２の認証情
報を演算する第２の演算手段と、 前記送信局からの前記パケットのヘッダ情報に含まれる
前記第１の認証情報と、前記第２の認証情報とを比較す
る比較手段と、 前記比較手段による比較結果に基づいて、前記パケット
を前記第２のネットワークに中継するか否かを決定する
決定手段とを備えることを特徴とする通信システム。 - 【請求項２】 前記パケットのヘッダ情報には、少なく
とも前記送信局の位置を表す第１の情報と、前記送信局
の位置に依存しない前記送信局を識別するための第２の
情報とが含まれることを特徴とする請求項１に記載の通
信システム。 - 【請求項３】 前記通信装置は、前記送信局の前記第２
の情報を前記第１の情報に変換する変換手段をさらに備
えることを特徴とする請求項１に記載の通信システム。 - 【請求項４】 前記第２のネットワークには、１または
複数のサーバが接続され、 前記送信局から前記サーバに送信されたパケットは、前
記通信装置の前記決定手段により、前記第２のネットワ
ークへの中継が決定されたとき、前記第２のネットワー
クに接続された前記サーバに伝送されることを特徴とす
る請求項１に記載の通信システム。 - 【請求項５】 前記サーバは、メールサーバであること
を特徴とする請求項４に記載の通信システム。 - 【請求項６】 複数のネットワークインタフェースを有
し、前記ネットワークインタフェースの所定のものを介
して受信した送信局からのパケットを、前記ネットワー
クインタフェースの他の所定のものを介して送信するこ
とにより、ネットワーク間でパケットの中継を行う通信
装置において、 前記ネットワークインタフェースを介して受信した前記
送信局からの前記パケットに含まれるヘッダ情報が本物
であるか否かを認証する認証手段と、 前記認証手段により、前記パケットに含まれる前記ヘッ
ダ情報が本物であると認証されたとき、前記パケットが
中継されるよう制御する制御手段とを備えることを特徴
とする通信装置。 - 【請求項７】 前記認証手段は、所定の鍵情報および演
算方法を記憶し、 前記ネットワークインタフェースを介して受信した前記
送信局からの前記パケットに含まれる前記ヘッダ情報と
前記鍵情報に基づいて、前記演算方法に従った所定の演
算を行うことにより、所定の認証情報を演算し、前記認
証情報と同一のものが前記パケットのヘッダ情報の中に
含まれるか否かに基づいて、前記ヘッダ情報が本物であ
るか否かを認証することを特徴とする請求項６に記載の
通信装置。 - 【請求項８】 前記送信局は、前記認証手段が記憶する
前記鍵情報および演算方法と同一のものを記憶し、 前記パケットのヘッダ情報に基づいて前記認証情報を演
算し、前記認証情報を前記パケットのヘッダ情報に含め
ることを特徴とする請求項６に記載の通信装置。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP8344862A JPH09252323A (ja) | 1996-01-11 | 1996-12-25 | 通信システムおよび通信装置 |
| US08/778,209 US6009528A (en) | 1996-01-11 | 1996-12-30 | Communication system and communication apparatus |
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP8-3009 | 1996-01-11 | ||
| JP300996 | 1996-01-11 | ||
| JP8344862A JPH09252323A (ja) | 1996-01-11 | 1996-12-25 | 通信システムおよび通信装置 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPH09252323A true JPH09252323A (ja) | 1997-09-22 |
Family
ID=26336505
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP8344862A Pending JPH09252323A (ja) | 1996-01-11 | 1996-12-25 | 通信システムおよび通信装置 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US6009528A (ja) |
| JP (1) | JPH09252323A (ja) |
Cited By (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH10136014A (ja) * | 1996-10-25 | 1998-05-22 | Toshiba Corp | パケット検査装置、移動計算機装置及びパケット転送方法 |
| WO1999060749A1 (fr) * | 1998-05-18 | 1999-11-25 | Mitsubishi Materials Corporation | Systeme de partage d'informations |
| JP2001175551A (ja) * | 1999-12-10 | 2001-06-29 | Internatl Business Mach Corp <Ibm> | 保守管理システム、遠隔保守管理方法およびシート部材処理装置およびプリンタの遠隔保守管理方法 |
| US6307837B1 (en) | 1997-08-12 | 2001-10-23 | Nippon Telegraph And Telephone Corporation | Method and base station for packet transfer |
| US6680941B1 (en) | 1998-05-08 | 2004-01-20 | Alcatel | Process, software module, interface, terminal device, and server for the control of the forwarding of packets from completed packet sequences of packet-switched networks |
| JP2005072724A (ja) * | 2003-08-20 | 2005-03-17 | Toshiba Corp | 通信制御装置、通信制御システム、通信制御方法および通信制御プログラム |
| WO2006004102A1 (ja) * | 2004-07-06 | 2006-01-12 | Matsushita Electric Industrial Co., Ltd. | 移動ルータ、ホームエージェント、ルータ位置登録方法、及び移動ネットワークシステム |
| JP2007074761A (ja) * | 2006-12-18 | 2007-03-22 | Trinity Security Systems Inc | データ暗号化方法、データ復号化方法、不正アクセス防止機能を有するｌａｎ制御装置、及び情報処理装置 |
| US7444511B2 (en) | 2000-10-05 | 2008-10-28 | Nec Corporation | LAN that allows non-authenticated external terminal station to access a predetermined device in LAN |
| JP2010283612A (ja) * | 2009-06-04 | 2010-12-16 | Mitsubishi Electric Corp | ネットワーク通信方法、通信端末装置、および、通信中継装置 |
| JP2013504821A (ja) * | 2009-09-15 | 2013-02-07 | シマンテック コーポレーション | 評判システムにおける調整されただまし行為を防ぐためのセキュリティトークン内のメタデータの使用 |
| US10812525B2 (en) | 2015-12-30 | 2020-10-20 | NSFOCUS Information Technology Co., Ltd. | Method and system for defending distributed denial of service attack |
Families Citing this family (28)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20060195595A1 (en) | 2003-12-19 | 2006-08-31 | Mendez Daniel J | System and method for globally and securely accessing unified information in a computer network |
| JPH10224719A (ja) * | 1997-01-31 | 1998-08-21 | Canon Inc | 電子機器、像形成システム、ビデオプリントシステム及びカメラ一体型記録再生装置 |
| US6658565B1 (en) * | 1998-06-01 | 2003-12-02 | Sun Microsystems, Inc. | Distributed filtering and monitoring system for a computer internetwork |
| US6678838B1 (en) * | 1999-08-23 | 2004-01-13 | Advanced Micro Devices, Inc. | Method to track master contribution information in a write buffer |
| US6604147B1 (en) * | 2000-05-09 | 2003-08-05 | Lucent Technologies Inc. | Scalable IP edge router |
| JP2002063084A (ja) * | 2000-08-21 | 2002-02-28 | Toshiba Corp | パケット転送装置、パケット転送方法、及びそのプログラムが格納された記憶媒体 |
| AU2001290559A1 (en) * | 2000-08-23 | 2002-03-04 | Motorola, Inc. | Cellular phone ethernet interface with routing capability |
| US6820562B2 (en) * | 2000-11-29 | 2004-11-23 | Accelerated Performance, Inc. | Plastic desk with integral computer |
| US20020104009A1 (en) * | 2001-01-29 | 2002-08-01 | Richard Zodnik | Portable computer that can be plugged into a backplane |
| US6868265B2 (en) * | 2001-01-29 | 2005-03-15 | Accelerated Performance, Inc. | Locator for physically locating an electronic device in a communication network |
| GB2367986B (en) * | 2001-03-16 | 2002-10-09 | Ericsson Telefon Ab L M | Address mechanisms in internet protocol |
| US7165100B2 (en) * | 2001-07-24 | 2007-01-16 | At&T Corp. | Method and apparatus for packet analysis in a network |
| US20030187977A1 (en) * | 2001-07-24 | 2003-10-02 | At&T Corp. | System and method for monitoring a network |
| US7389536B2 (en) * | 2001-11-14 | 2008-06-17 | Lenovo Singapore Pte Ltd. | System and apparatus for limiting access to secure data through a portable computer to a time set with the portable computer connected to a base computer |
| US8108687B2 (en) | 2001-12-12 | 2012-01-31 | Valve Corporation | Method and system for granting access to system and content |
| US7243226B2 (en) | 2001-12-12 | 2007-07-10 | Valve Corporation | Method and system for enabling content security in a distributed system |
| US7392390B2 (en) * | 2001-12-12 | 2008-06-24 | Valve Corporation | Method and system for binding kerberos-style authenticators to single clients |
| US7290040B2 (en) | 2001-12-12 | 2007-10-30 | Valve Corporation | Method and system for load balancing an authentication system |
| US7373406B2 (en) | 2001-12-12 | 2008-05-13 | Valve Corporation | Method and system for effectively communicating file properties and directory structures in a distributed file system |
| US8161539B2 (en) * | 2002-04-19 | 2012-04-17 | International Business Machines Corporation | IPSec network adapter verifier |
| AU2003240171A1 (en) * | 2002-07-15 | 2004-02-02 | Nokia Corporation | An ipv6 address ownership authentification based on zero-knowledge identification protocols or based on one time password |
| JP2004128894A (ja) * | 2002-10-02 | 2004-04-22 | Nec Corp | 電子データ送受信システム |
| KR100577390B1 (ko) * | 2003-04-16 | 2006-05-10 | 삼성전자주식회사 | 인증을 위한 네트워크 장치와 시스템 및 상기 장치를이용한 네트워크 장치 인증방법 |
| CN101425897B (zh) * | 2007-10-29 | 2011-05-18 | 上海交通大学 | 一种用户认证方法、系统、服务器和用户节点 |
| US11263124B2 (en) | 2018-08-03 | 2022-03-01 | Micron Technology, Inc. | Host-resident translation layer validity check |
| US10852964B2 (en) * | 2018-09-25 | 2020-12-01 | Micron Technology, Inc. | Host-resident translation layer validity check techniques |
| US11226907B2 (en) | 2018-12-19 | 2022-01-18 | Micron Technology, Inc. | Host-resident translation layer validity check techniques |
| US11226894B2 (en) | 2018-12-21 | 2022-01-18 | Micron Technology, Inc. | Host-based flash memory maintenance techniques |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH01126793A (ja) * | 1987-11-12 | 1989-05-18 | Toshiba Corp | 携帯可能電子装置および相互認証方法 |
| JPH09214556A (ja) * | 1995-11-30 | 1997-08-15 | Toshiba Corp | パケット転送方法、パケット処理装置、パケット暗号化方法、パケット復号化方法及びパケット暗号処理方法 |
Family Cites Families (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5001755A (en) * | 1988-04-19 | 1991-03-19 | Vindicator Corporation | Security system network |
| US4919545A (en) * | 1988-12-22 | 1990-04-24 | Gte Laboratories Incorporated | Distributed security procedure for intelligent networks |
| EP0464562B1 (en) * | 1990-06-29 | 1997-04-23 | Digital Equipment Corporation | Method and apparatus for decryption of an information packet having a format subject to modification |
| DE69022424T2 (de) * | 1990-11-09 | 1996-03-28 | Ibm | Nichtablehnung in Rechnernetzwerken. |
| US5233655A (en) * | 1991-02-19 | 1993-08-03 | Shapiro Sanford S | Data access verification system |
| DE59305159D1 (de) * | 1992-04-09 | 1997-02-27 | Siemens Ag | Verfahren zum erkennen einer unberechtigten wiedereinspielung beliebiger von einem sender zu einem empfänger übertragener daten |
| US5586260A (en) * | 1993-02-12 | 1996-12-17 | Digital Equipment Corporation | Method and apparatus for authenticating a client to a server in computer systems which support different security mechanisms |
| US5548721A (en) * | 1994-04-28 | 1996-08-20 | Harris Corporation | Method of conducting secure operations on an uncontrolled network |
| US5511122A (en) * | 1994-06-03 | 1996-04-23 | The United States Of America As Represented By The Secretary Of The Navy | Intermediate network authentication |
| US5416842A (en) * | 1994-06-10 | 1995-05-16 | Sun Microsystems, Inc. | Method and apparatus for key-management scheme for use with internet protocols at site firewalls |
| US5623601A (en) * | 1994-11-18 | 1997-04-22 | Milkway Networks Corporation | Apparatus and method for providing a secure gateway for communication and data exchanges between networks |
| US5671283A (en) * | 1995-06-08 | 1997-09-23 | Wave Systems Corp. | Secure communication system with cross linked cryptographic codes |
| JPH09107389A (ja) * | 1995-10-11 | 1997-04-22 | Sony Corp | 通信装置および通信方法 |
| JP3555710B2 (ja) * | 1995-12-20 | 2004-08-18 | ソニー株式会社 | データ伝送方法および装置 |
| US5684951A (en) * | 1996-03-20 | 1997-11-04 | Synopsys, Inc. | Method and system for user authorization over a multi-user computer system |
-
1996
- 1996-12-25 JP JP8344862A patent/JPH09252323A/ja active Pending
- 1996-12-30 US US08/778,209 patent/US6009528A/en not_active Expired - Lifetime
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH01126793A (ja) * | 1987-11-12 | 1989-05-18 | Toshiba Corp | 携帯可能電子装置および相互認証方法 |
| JPH09214556A (ja) * | 1995-11-30 | 1997-08-15 | Toshiba Corp | パケット転送方法、パケット処理装置、パケット暗号化方法、パケット復号化方法及びパケット暗号処理方法 |
Cited By (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH10136014A (ja) * | 1996-10-25 | 1998-05-22 | Toshiba Corp | パケット検査装置、移動計算機装置及びパケット転送方法 |
| US6307837B1 (en) | 1997-08-12 | 2001-10-23 | Nippon Telegraph And Telephone Corporation | Method and base station for packet transfer |
| US6680941B1 (en) | 1998-05-08 | 2004-01-20 | Alcatel | Process, software module, interface, terminal device, and server for the control of the forwarding of packets from completed packet sequences of packet-switched networks |
| WO1999060749A1 (fr) * | 1998-05-18 | 1999-11-25 | Mitsubishi Materials Corporation | Systeme de partage d'informations |
| JP2001175551A (ja) * | 1999-12-10 | 2001-06-29 | Internatl Business Mach Corp <Ibm> | 保守管理システム、遠隔保守管理方法およびシート部材処理装置およびプリンタの遠隔保守管理方法 |
| US7444511B2 (en) | 2000-10-05 | 2008-10-28 | Nec Corporation | LAN that allows non-authenticated external terminal station to access a predetermined device in LAN |
| JP2005072724A (ja) * | 2003-08-20 | 2005-03-17 | Toshiba Corp | 通信制御装置、通信制御システム、通信制御方法および通信制御プログラム |
| WO2006004102A1 (ja) * | 2004-07-06 | 2006-01-12 | Matsushita Electric Industrial Co., Ltd. | 移動ルータ、ホームエージェント、ルータ位置登録方法、及び移動ネットワークシステム |
| US7911973B2 (en) | 2004-07-06 | 2011-03-22 | Panasonic Corporation | Moving router, home agent, router position registration method, and moving network system |
| JP2007074761A (ja) * | 2006-12-18 | 2007-03-22 | Trinity Security Systems Inc | データ暗号化方法、データ復号化方法、不正アクセス防止機能を有するｌａｎ制御装置、及び情報処理装置 |
| JP2010283612A (ja) * | 2009-06-04 | 2010-12-16 | Mitsubishi Electric Corp | ネットワーク通信方法、通信端末装置、および、通信中継装置 |
| JP2013504821A (ja) * | 2009-09-15 | 2013-02-07 | シマンテック コーポレーション | 評判システムにおける調整されただまし行為を防ぐためのセキュリティトークン内のメタデータの使用 |
| US10812525B2 (en) | 2015-12-30 | 2020-10-20 | NSFOCUS Information Technology Co., Ltd. | Method and system for defending distributed denial of service attack |
| US10812524B2 (en) | 2015-12-30 | 2020-10-20 | NSFOCUS Information Technology Co., Ltd. | Method, and devices for defending distributed denial of service attack |
Also Published As
| Publication number | Publication date |
|---|---|
| US6009528A (en) | 1999-12-28 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JPH09252323A (ja) | 通信システムおよび通信装置 | |
| EP1880525B1 (en) | Host identity protocol method and apparatus | |
| O'shea et al. | Child-proof authentication for MIPv6 (CAM) | |
| JP3343064B2 (ja) | フレームを捕獲、カプセル化及び暗号化するための擬似ネットワークアダプタ | |
| JP3992579B2 (ja) | 鍵交換代理ネットワークシステム | |
| US8335918B2 (en) | MAC frame provision method and apparatus capable of establishing security in IEEE 802.15.4 network | |
| JP3651721B2 (ja) | 移動計算機装置、パケット処理装置及び通信制御方法 | |
| CN101103593B (zh) | 鉴别多播消息的方法 | |
| US20030023845A1 (en) | Method and apparatus for providing secure streaming data transmission facilites using unreliable protocols | |
| EP2329621B1 (en) | Key distribution to a set of routers | |
| US9900178B2 (en) | Device arrangement and method for implementing a data transfer network used in remote control of properties | |
| US7233782B2 (en) | Method of generating an authentication | |
| US20060161667A1 (en) | Server apparatus, communication control method and program | |
| US20120300781A1 (en) | Packet Routing in a Network | |
| JP4490352B2 (ja) | Ｖｐｎサーバホスティングシステム、およびｖｐｎ構築方法 | |
| CN102027726B (zh) | 用于控制数据分组的路由的方法和设备 | |
| US20040243837A1 (en) | Process and communication equipment for encrypting e-mail traffic between mail domains of the internet | |
| JP2982727B2 (ja) | 認証方法 | |
| US8085797B2 (en) | Method and system for addressing and routing in coded communications relationships | |
| Richardson et al. | Opportunistic encryption using the internet key exchange (ike) | |
| JP3587633B2 (ja) | ネットワーク通信方法および装置 | |
| CN101616005A (zh) | 签名方法、装置以及签名验证方法、装置和系统 | |
| CN112437355A (zh) | 三层组播的实现方法及系统 | |
| RU2390959C2 (ru) | Способ и устройство протокола идентификации хост-узла | |
| JP4188253B2 (ja) | マルチキャスト通信システム、及び、パケット認証方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20040929 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20041001 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20041124 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20050421 |