JPH114249A - データ暗号化／復号化ｌａｎ間接続装置 - Google Patents

Abstract

(57)【要約】 【課題】ＬＡＮのパケットにおけるネットワーク層のア
ドレスによつて、ネットワーク層のデータ部を暗号化、
復号化するＬＡＮ間接続装置を提供する。 【解決手段】暗号化／復号化テーブル７とネットワーク
層のへッダにあるアドレスとを比較し、ネットワーク層
のデータ部を暗号化／復号化するか又はしないかを決定
するネットワーク層処理・暗号化／復号化決定部４を設
けると共に、ネットワーク層処理・暗号化／復号化決定
部４で決定した内容に合わせて暗号化／復号化を行なう
暗号化／復号化部３を備えるようにした。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データ暗号化／復
号化ＬＡＮ間接続装置に関し、特にＬＡＮ間を跨いで端
末間で通信されるデータの暗号化／復号化を行なう手段
の改良に関する。

【０００２】

【従来の技術】従来のこの種のＬＡＮ間接続装置とし
て、物理インタフェース毎に暗号化／復号化機能を有
し、これらの物理インタフェースにおいて、送受信する
全てのパケットテータに対し暗号化／復号化を行なうよ
うにしたものがある。たとえば特開平７−１９３５８９
号公報には、物埋インタフェース単位に暗号化回路を付
加する技術が開示されている。

【０００３】また、従来のこの種のＬＡＮ間接続装置と
して、ＬＡＮ端末間で特別な暗号化ソフトウェアを導入
し、当該端末間で暗号化する方式のものがある。たとえ
ば、特開平２−４０３７号公報には、ファイルサーバー
とユーザーとの間でユーザ識別子をパケットに付加して
暗号化する技術が開示されている。

【０００４】さらに従来のこの種のＬＡＮ間接続装置と
して、ＬＡＮ間接続を行なわない暗号化サーバー、復号
化サーバーを用意して、暗号化及び復号化を行なうよう
にしたものがある。たとえば特開平７−１７０２８０号
公報には、暗号化サーバー及び復号化サーバーを用いて
暗号通信、復号通信を行なうローカルエリアネットワー
ク方式が開示されている。

【０００５】

【発明が解決しようとする課題】上記した従来のＬＡＮ
間接続装置には以下のような解決すべき問題点がある。
第１の問題点は、物理インタフェース毎に暗号化／復号
化するものでは、ルーティングに用いられるアドレス部
分まで暗号化されるため、途中に暗号化／復号化を行な
わないＬＡＮ間接続装置を介在させることができない。
また暗号化／復号化する必要の無い宛先のデータも暗号
化／復号化されるため、データの送受信に余分な時間を
要する。

【０００６】第２の問題点は、ＬＡＮ端末間で特別な暗
号化ソフトウエアを導人するものでは、現在、一般に用
いられている通信ソフトウェアの他に、暗号化／復号化
ソフトウェアを付加するか、或いは別の通信ソフトウェ
アを導入する必要がある。

【０００７】第３の問題点は、暗号化サーバー、復号化
サーバーを用意し、暗号化を行なうものでは、端末から
サーバーに暗号化要求とデータとを送信し、サーバーが
暗号化後、サーバーからの暗号化データを端末が受信
し、その後、端末が実際のデータ転送先に送信する手続
きが発生し、同じ内容のデータが端末とサーバーとの間
で二度送受信されるという不具合がある。またサーバー
に負荷が集中するという問題もある。

【０００８】本発明の目的は下記の効果を奏するデータ
暗号化／復号化ＬＡＮ間接続装置を提供することにあ
る。

【０００９】

【課題を解決するための手段】前述の課題を解決するた
め、本発明による暗号化／復号化ＬＡＮ間接続装置は、
ＬＡＮパケットをネットワーク層で中継するＬＡＮ間接
続装置において、ネットワーク単位、ＬＡＮ端末単位毎
に暗号化または復号化を行なうために、ＬＡＮのネット
ワーク層のアドレス、暗号化、復号化の有無を登録する
暗号化／復号化テーブルと、受信したＬＡＮパケットの
ネットワーク層のアドレスを監視し、前記テーブルを参
照して暗号化／復号化の判定を行なう手段と、この手段
の判定に基づいて受信したＬＡＮパケットのネットワー
ク層のデータ部を暗号化／復号化を行なう手段とを備え
て構成される。

【００１０】換言すれば、暗号化／復号化テーブルとネ
ットワーク層のヘッダにあるアドレスとを比較し、ネッ
トワーク層のデータ部を暗号化／復号化するか否かを決
定するためのネットワーク層処理・暗号化／復号化決定
部を設けると共に、上記ネットワーク層処理・暗号化／
復号化決定部で決定した内容に合わせて暗号化／復号化
を行なう暗号化／復号化部を設けた。

【００１１】また、本発明による暗号化／復号化ＬＡＮ
間接続装置は、上記に記載した装置であって、かつＬＡ
Ｎパケットのネットワーク層のデータが暗号化済みまた
は復号化済みであることを検出し、暗号化済みのものは
前記テーブルで暗号化指定があっても暗号化せず、復号
化済みのものは前記テーブルで復号化指定があっても復
号化しないように二重処理を阻止する手段を備える。

【００１２】更に、本発明の他の態様による暗号化／復
号化ＬＡＮ間接続装置は、ルーティングプロトコルを処
理し、ルーティングテーブルを作成、受信したパケット
のネットワーク層のへッダにあるアドレスと前記ルーテ
ィングテーブルより、パケットを送信する物理インタフ
ェースを決定するルーティング処理部と、暗号化／復号
化テーブルと、送受信パケットのネットワーク層の誤り
確認、ネットワーク層のへッダ付替え、フラグメント処
埋などのネットワーク層の管理と、前記暗号化／復号化
テーブルとネットワーク層のヘッダにあるアドレスとを
比較し、ネットワーク層のデータ部を暗号化／復号化す
るか否かを決定するネットワーク層処理・暗号化／復号
化決定部と、前記ネットワーク層処理・暗号化／復号化
決定部で決定した内容に合わせて暗号化／復号化を行な
う暗号化／復号化部と、送受信パケットのデータリンク
層の誤り確認、フレームチェックシーケンスの生成、へ
ッダの付替えなどを行なうデータリンク層処理部と、そ
れぞれネットワークに接続されており、ＬＡＮパケット
データの送受信が行なわれる物理インタフェースと、Ｌ
ＡＮ間接続装置に接続されており、ネットワークを管理
するユーザーが、前記暗号化／復号化テーブルを設定す
るために用いられ、前記ルーティング処理部のルーティ
ングテーブルの設定を行なうコンソールとを備えて成
る。

【００１３】ここで、前記通常データと暗号化データと
の区別は、暗号化時にネットワーク層データの先頭また
は分散して暗号化識別子を付加し、これを検出すること
により区別する。また、暗号化済み、復号化済みである
か否かを検出し、暗号化されているデータについてさら
に暗号化したり、また復号化されているデータについて
さらに復号化する。更には、前記暗号化及び復号化済み
であるにも拘らず、前記ネットワーク層処理・暗号化／
復号化決定部で重複して暗号化／復号化の指示がなされ
ても、暗号化／復号化を行なわない。

【００１４】

【発明の実施の形態】図１は本発明の第１実施形態に係
るＬＡＮ間接続装置の構成を示すブロック図である。図
１に示すようにＬＡＮ間接続装置１は、ルーティング処
理部２、暗号化／復号化部３、ネットワーク層処理・暗
号化／復号化決定部４、データリンク層処理部５、物理
インタフェース６−１ないし６−ｎ、暗号化／復号化テ
ーブル７等を備えている。

【００１５】ルーティング処理部２は、ルーティングプ
ロトコルを処理し、ルーティングテーブルを作成、受信
したパケットのネットワーク層のへッダにあるアドレス
と上記ルーティングテーブルより、パケットを送信する
物理インタフェースを決定する。

【００１６】暗号化／復号化部３は、ネットワーク層処
理・暗号化／復号化決定部４で決定した内容に合わせて
暗号化／復号化を行なう。また暗号化済み、復号化済み
であるか否かを検出し、暗号化されているデータについ
てさらに暗号化したり、また復号化されているデータに
ついてさらに復号化したりしない様になっている。すな
わち、暗号化及び復号化済みであるにも拘らず、ネット
ワーク層処理・暗号化／復号化決定部４で重複して暗号
化／復号化の指示がなされても、暗号化／復号化を行な
わない機能を有している。

【００１７】通常データと暗号化データとの区別は、暗
号化時にネットワーク層データの先頭または分散して暗
号化識別子を付加し、これを検出することにより区別す
る。

【００１８】ネットワーク層処理・暗号化／復号化決定
部４は、送受信パケットのネットワーク層の誤り確認、
ネットワーク層のへッダ付替え、フラグメント処埋など
のネットワーク層の管理と、暗号化／復号化テーブル７
とネットワーク層のヘッダにあるアドレスとを比較し、
ネットワーク層のデータ部を暗号化／復号化するか否か
を決定する機能を有している。

【００１９】データリンク層処理部５は、送受信パケッ
トのデータリンク層の誤り確認、フレームチェックシー
ケンスの生成、へッダの付替えなどを行なう。

【００２０】各物理インタフェース６−１ないし６−ｎ
は、それぞれネットワーク１からｎに接続されており、
これらの物理インタフェース６−１ないし６−ｎを通し
て、ＬＡＮパケットデータの送受信が行なわれる。

【００２１】コンソール８は、ＬＡＮ間接続装置１に接
続されており、ネットワークＮＷを管理するユーザー
が、暗号化／復号化テーブル７を設定するために用いら
れる。またコンソール８は、ルーティング処理部２のル
ーティングテーブルの設定等、本実施形態におけるＬＡ
Ｎ間接続装置１のその他の設定を行なうためにも用いら
れる。

【００２２】次に、図２を参照して暗号化／復号化テー
ブルのテーブル要素について説明する。図２は暗号化／
復号化テーブルのテーブル要素９を示す図で、図示の如
く、事前に送信先アドレスＮ１、送信先ネットワークマ
スクＭ１．送信元アドレスＮ２、送信元ネットワークマ
スクＭ２、暗号化／復号化の有無Ｘ１、などを設定して
おく。テーブルの１ラインには、暗号化／復号化の有無
Ｘ１の項目を除く全ての項目を設定する必要はない。設
定されなかった項目は暗号化／復号化の決定に用いられ
ない。ネットワークマスクＭ１及びＭ２は、暗号化／復
号化で参照される送信先アドレスＮ１及び送信元アドレ
スＮ２の部位を決定するために用いられる。この組み合
わせによって、暗号化及び復号化を決定するネットワー
ク及びＬＡＮ端末が指定される。

【００２３】図３はＬＡＮのパケットフォーマット１０
を示す図である。図示の如くこのパケットフォーマット
１０は、データリンク層ヘッダ部１１、ネットワーク層
ヘッダ部１２、ネットワーク層データ部１３、データリ
ンク層フレームチェックシーケンス部１４から成る。こ
こで暗号化／復号化されるのはネットワーク層データ部
１３である。

【００２４】図４は本実施形態のＬＡＮ間接続装置１の
パケット処理の動作にかかるパケット処理フローを示す
図である。処理ステップ１５では、物理インタフェース
６−１ないし６−ｎにおいてパケットの受信が行なわれ
る。処理ステップ１６では、データリンクアドレスの確
認、フレームの誤り確認などデータリンク層の受信処理
が行なわれる。

【００２５】処理ステップ１７では、ネットワーク層処
理・暗号化／復号化決定部４においてネットワーク層の
誤り確認、フラグメント処理などネットワーク層の処理
が行なわれた後、暗号化／復号化テーブル７を参照し暗
号化または復号化の是非が判定される。暗号化／復号化
を行なうことが決定された場合には、暗号化／復号化部
３に対して暗号化／復号化指示が行なわれ、処理ステッ
プ１８に移る。暗号化／復号化は行なわないと決定され
た場合には、ルーティング処理部２に対しルーティング
要求が出され、処理ステップ２０に移る。

【００２６】処埋ステップ１８では、暗号化済み／復号
化済みの判定が行なわれ、未暗号化／未復号化の場合に
は、暗号化／復号化したのち処理ステップ２０に移る。
暗号化／復号化済みである場合には、そのまま処理ステ
ップ２０に移る。

【００２７】処理ステップ２０では、受信パケットの宛
先アドレスとネットワーク層のルーティングテーブルよ
り物理インタフェース６−１ないし６−ｎのいずれにパ
ケットを出力するかが決定され、処理ステップ２１に移
る。

【００２８】処埋ステップ２１では、へッダの付替え、
フラグメン卜の処理などのネットワーク層の処理が行な
われ、処理ステップ２２に移る。

【００２９】処理ステップ２２では、データリンク層の
フレームチェックシーケンスの生成、へッダの付替えな
どデータリンク層の出力処理が行なわれる。そして処理
ステップ２３では処理ステップ２０で決定した物理イン
タフェース６−１ないし６−ｎにパケットが出力され
る。

【００３０】以上の動作により、通常データの暗号化ま
たは暗号化データの復号化とその後の中継または通常デ
通常データが中継される。

【００３１】図５は、本発明の第２実施形態に係る「複
数の本発明装置を用いたＬＡＮ間接続ネットワーク」の
構成例を示す図である。一つの装置（Ｘ）２４にはネッ
トワーク（Ａ）２６、ネットワーク（Ｂ）２７、ネット
ワーク（Ｃ）２８が接続されている。ネットワーク
（Ａ）２６には端末（ａ）３０が接続され、ネットワー
ク（Ｂ）２７には別の装置（Ｙ）２５が接続されてい
る。そして装置（Ｙ）２５にはネットワーク（Ｄ）２９
が接続され、更にその先に端末（ｄ）３１が接続されて
いる。装置（Ｘ）２４及び装置（Ｙ）２５には、暗号化
／復号化テーブルが設定されている。

【００３２】図６及び図７は、装置（Ｘ）２４及び装置
（Ｙ）２５において、ネットワーク（Ａ）２６及びネッ
トワーク（Ｄ）２９で暗号化／復号化通信を行なう場合
のテーブル設定例を示す図である。

【００３３】端末（ａ）３０は、端末（ｄ）３１向けに
パケットを送信を行なうべく、装置（Ｘ）２４にデータ
を送る。

【００３４】装置（Ｘ）２４は，図６に示す暗号化／復
号化テーブルを参照し、ネットワーク（Ｄ）２９向けで
あって、かつ暗号化すべきデータである事を判定して暗
号化し、ルーティング処理した結果、ネットワーク
（Ｂ）２７に接続されている装置（Ｙ）２５に暗号化パ
ケットを送信する。

【００３５】装置（Ｙ）２５は，装置（Ｘ）２４からの
暗号化データを受信後において、図７に示す暗号化／復
号化テーブルを参照し、ネットワークアドレスより復号
化すべきデータである事を判定して復号化し、ルーティ
ング処理した結果、ネットワーク（Ｄ）２９に接続され
ている端末（ｄ）３１に復号化データを送信する。

【００３６】端末（ｄ）３１から端末（ａ）３０へのデ
ータも同様に暗号化／復号化され、端末（ａ）３０では
復号化された端末（ｄ）３１のデータが受信される。

【００３７】一方、端末（ａ）３０から装置（Ｘ）２４
経由でネットワーク（Ｄ）２９以外のネットワーク向け
にパケットが送信された場合は、図６に示す装置（Ｘ）
２４の暗号化／復号化テーブルには暗号化／復号化指示
が設定されていないので、そのまま暗号化されずに送信
される。

【００３８】本実施形態において、装置（Ｘ）２４と装
置（Ｙ）２５との間に暗号化／復号化機能を持たないＬ
ＡＮ間接続装置を接続した場合、ネットワーク層のデー
タ部は暗号化されるが、データリンク層、ネットワーク
層のへッダは暗号化されていないので、問題なく上記と
同様に端末（ａ）３０と端末（ｄ）３１とで暗号化／復
号化通信を行なうことができる。

【００３９】また、装置（Ｘ）２４と装置（Ｙ）２５と
の間に、本発明装置が接続された場合、設定如何によっ
ては暗号化が二度発生する可能性がある。例えば装置
（Ｘ）２４と装置（Ｙ）２５との間に他の装置を追加
し、追加した装置にネットワーク（Ｄ）２９向けのパケ
ット全てを暗号化するように設定した場合、ネットワー
ク（Ａ）２６からネットワーク（Ｄ）２９向けに送信さ
れたパケットは装置（Ｘ）２４で暗号化され、さらに追
加された装置で、このネットワーク（Ｄ）２９向けのパ
ケットに対し暗号化指示が発生する。しかし暗号化／復
号化部３において暗号化済み、復号化済みの検出を行な
っているので、追加された装置内で暗号化が二度行なわ
れることはなく、装置（Ｙ）２５に転送される。よっ
て、この場合は上記の暗号化／復号化機能を持たないＬ
ＡＮ間接続装置を接続した場合と同様、端末（ａ）３０
と端末（ｄ）３１との間で暗号化／復号化通信を行なう
ことができる。

【００４０】

【発明の効果】本発明によれば、ネットワーク層のデー
タ部のみを暗号化するように構成されているため、装置
以外のネットワーク層をルーティングするＬＡＮ間接続
装置についてルーティングでき、ネットワーク層レベル
で標準的なパケットを出力することができる。かくし
て、インターネットや既に敷設されているＴＣＰ／ＩＰ
ネットワークなどにそのまま接続でき、必要なネットワ
ーク、ＬＡＮ端末間通信に対して暗号化／復号化を行な
うことができる。また、ネットワーク単位、ＬＡＮ端末
単位毎に暗号化／復号化の設定ができるため、暗号化／
復号化する必要のない宛先のデータについてまで暗号化
／復号化されるのを回避することができる。更に、ＬＡ
Ｎ間接続装置の間で暗号化／復号化が行なわれるため、
ＬＡＮ端末間で特別な暗号化ソフトウェアを導入した
り、暗号化サーバー、復号化サーバー等を用意したりす
る必要がない。

【図面の簡単な説明】

【図１】本発明の第１実施形態に係るデータ暗号化／復
号化ＬＡＮ間接続装置の構成を示すブロック図である。

【図２】本発明の第１実施形態に係るデータ暗号化／復
号化ＬＡＮ間接続装置のネットワーク層処理、暗号化／
復号化決定部において、暗号化／復号化を決定するため
に用いられる暗号化／復号化テーブルのテーブル要素を
示す図である。

【図３】本発明の第１実施形態に係るデータ暗号化／復
号化ＬＡＮ間接続装置が扱うＬＡＮのパケットフォーマ
ットを示す図である。

【図４】本発明の第１実施形態に係るデータ暗号化／復
号化ＬＡＮ間接続装置におけるＬＡＮのパケット受信か
ら送信までのパケット処埋フローを示す図である。

【図５】本発明の第２実施形態に係る「複数のデータ暗
号化／復号化ＬＡＮ間接続装置を用いたＬＡＮ間接続ネ
ットワーク」の構成例を示す図である。

【図６】本発明の第２実施形態に係るデータ暗号化／復
号化ＬＡＮ間接続装置で設定される装置（Ｘ）の暗号化
／復号化テーブルのパターン例を示す図である。

【図７】本発明の第１実施形態に係るデータ暗号化／復
号化ＬＡＮ間接続装置で設定される装置（Ｙ）の暗号化
／復号化テーブルのパターン例を示す図である。

【符号の説明】

１ データ暗号化／復号化ＬＡＮ間接続装置 ２ ルーティング処理部 ３ 暗号化／復号化部 ４ ネットワーク層処理・暗号化／復号化決定部 ５ データリンク層処理部 ６−１〜６−ｎ 物理インタフェース ７ 暗号化／復号化テーブル ８ コンソール ９ 暗号化／復号化テーブルのテーブル要素 １０ ＬＡＮパケットフォーマット １１ データリンク層へッダ部 １２ ネットワーク層へッダ部 １３ ネットワーク層データ部 １４ データリンク層フレームチェックシーケンス部 ２４ ＬＡＮ間接続装置（Ｘ） ２５ ＬＡＮ間接続装置（Ｙ） ２６ ネットワーク（Ａ） ２７ ネットワーク（Ｂ） ２８ ネットワーク（Ｃ） ２９ ネットワーク（Ｄ） ３０ 端末（ａ） ３１ 端末（ｄ） ３２ ＬＡＮ間接続装置（Ｘ）の暗号化／復号化テー
ブル ３３ ＬＡＮ間接続装置（Ｙ）の暗号化／復号化テー
ブル

Claims (6)

【特許請求の範囲】
1. 【請求項１】ＬＡＮパケットをネットワーク層で中継す
   るＬＡＮ間接続装置において、 ネットワーク単位、ＬＡＮ端末単位毎に暗号化または復
   号化を行なうために、ＬＡＮのネットワーク層のアドレ
   ス、暗号化、復号化の有無を登録する暗号化／復号化テ
   ーブルと、 受信したＬＡＮパケットのネットワーク層のアドレスを
   監視し、前記テーブルを参照して暗号化／復号化の判定
   を行なう手段と、 この手段の判定に基づいて受信したＬＡＮパケットのネ
   ットワーク層のデータ部を暗号化／復号化を行なう手段
   と、を備えたことを特徴とするデータ暗号化／復号化Ｌ
   ＡＮ間接続装置。
2. 【請求項２】ＬＡＮパケットのネットワーク層のデータ
   が暗号化済みまたは復号化済みであることを検出し、暗
   号化済みのものは前記テーブルで暗号化指定があっても
   暗号化せず、復号化済みのものは前記テーブルで復号化
   指定があっても復号化しないように二重処理を阻止する
   手段を備えたことを特徴とする請求項１に記載のデータ
   暗号化／復号化ＬＡＮ間接続装置。
3. 【請求項３】ルーティングプロトコルを処理し、ルーテ
   ィングテーブルを作成、受信したパケットのネットワー
   ク層のへッダにあるアドレスと前記ルーティングテーブ
   ルより、パケットを送信する物理インタフェースを決定
   するルーティング処理部と、、 暗号化／復号化テーブ
   ルと、 送受信パケットのネットワーク層の誤り確認、ネットワ
   ーク層のへッダ付替え、フラグメント処埋などのネット
   ワーク層の管理と、前記暗号化／復号化テーブルとネッ
   トワーク層のヘッダにあるアドレスとを比較し、ネット
   ワーク層のデータ部を暗号化／復号化するか否かを決定
   するネットワーク層処理・暗号化／復号化決定部と、、 前記ネットワーク層処理・暗号化／復号化決定部で決定
   した内容に合わせて暗号化／復号化を行なう暗号化／復
   号化部と、 送受信パケットのデータリンク層の誤り確認、フレーム
   チェックシーケンスの生成、へッダの付替えなどを行な
   うデータリンク層処理部と、 それぞれネットワークに接続されており、ＬＡＮパケッ
   トデータの送受信が行なわれる物理インタフェースと、 ＬＡＮ間接続装置に接続されており、ネットワークを管
   理するユーザーが、前記暗号化／復号化テーブルを設定
   するために用いられ、前記ルーティング処理部のルーテ
   ィングテーブルの設定を行なうコンソールと、を備えて
   成ることを特徴とするデータ暗号化／復号化ＬＡＮ間接
   続装置。
4. 【請求項４】前記通常データと暗号化データとの区別
   は、暗号化時にネットワーク層データの先頭または分散
   して暗号化識別子を付加し、これを検出することにより
   区別する請求項３に記載のデータ暗号化／復号化ＬＡＮ
   間接続装置。
5. 【請求項５】暗号化済み、復号化済みであるか否かを検
   出し、暗号化されているデータについてさらに暗号化し
   たり、また復号化されているデータについてさらに復号
   化する請求項３に記載のデータ暗号化／復号化ＬＡＮ間
   接続装置。
6. 【請求項６】前記暗号化及び復号化済みであるにも拘ら
   ず、前記ネットワーク層処理・暗号化／復号化決定部で
   重複して暗号化／復号化の指示がなされても、暗号化／
   復号化を行なわない請求項３に記載のデータ暗号化／復
   号化ＬＡＮ間接続装置。