JPWO2003096612A1 - 暗号装置および方法、暗号システム - Google Patents
暗号装置および方法、暗号システム Download PDFInfo
- Publication number
- JPWO2003096612A1 JPWO2003096612A1 JP2004504450A JP2004504450A JPWO2003096612A1 JP WO2003096612 A1 JPWO2003096612 A1 JP WO2003096612A1 JP 2004504450 A JP2004504450 A JP 2004504450A JP 2004504450 A JP2004504450 A JP 2004504450A JP WO2003096612 A1 JPWO2003096612 A1 JP WO2003096612A1
- Authority
- JP
- Japan
- Prior art keywords
- encryption
- data
- decryption
- terminal
- processing
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/10—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols with particular housing, physical features or manual controls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/02—Details
- H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L12/00—Data switching networks
- H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
- H04L12/46—Interconnection of networks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
- H04L63/0464—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload using hop-by-hop encryption, i.e. wherein an intermediate entity decrypts the information and re-encrypts it before forwarding it
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Small-Scale Networks (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
暗号ソフトがインストールされたパソコン７〜９との間で暗号化によるセキュリティを終端するために暗号化処理および暗号の復号化処理を行う暗号装置１を設け、例えば暗号ソフトがインストールされていない端末２〜４とパソコン７〜９との間に接続することにより、専用の暗号ソフトをインストールできない端末２〜４を有する企業内ＬＡＮの中でも暗号を利用することができるようにして、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれる危険性が少ないセキュアなネットワーク１０を構築することができるようにする。
Description
技術分野
本発明は暗号装置および方法、暗号システムに関し、特に、ネットワーク上で外部から攻撃されることによる情報の盗聴や改ざん等のリスクを低減するために情報の暗号化／復号化を行う装置および方法、これを適用したシステムに用いて好適なものである。
背景技術
パーソナルコンピュータ（パソコン）をスタンドアロンで用いる場合は、パソコン内部の情報が盗み出されたり、改ざんされたり、破壊されたりする危険性は少ない。しかし、パソコンをインターネット等のネットワークに接続すると、やり取りされる情報は多くのネットワークをルーティングされていくことから、その途中において盗聴や改ざん等の行われる危険性が一気に増大する。
この問題を解決するための仕組みの１つとして、情報の暗号化がある。すなわち、送信側のパソコンで情報を暗号化して相手に送り、受信側のパソコンでこれを復号化して利用する。このようにすれば、ネットワークの途中で情報が盗聴されたとしても、情報が暗号化されているために、情報自体が見られる可能性が少なくなる。また、改ざんのリスクも低減される。
しかしながら、暗号を利用するためには、暗号通信しようとする端末の全てに専用の暗号ソフトをインストールし、様々な設定をしなければならない。ところが、各種端末が接続されるネットワークは、インターネットの他に、企業内のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）なども存在する。そのＬＡＮ内には、プリンタやファクシミリなど物理的に暗号ソフトをインストールできない端末や、プリントサーバやデータベースサーバなど動作安定上等の問題から余分なソフトをインストールすることが好ましくない端末、ＯＳ（オペレーティングシステム）がなく単なるネットワークターミナルとして機能する端末なども存在する。そのため、一般的に企業内ＬＡＮの中では、暗号を利用することは難しかった。
ところが、ＬＡＮの多くはインターネットに接続されており、必要に応じてＬＡＮ内のパソコンからインターネットにアクセスして情報のやり取りを行うことができるようになっている。しかし、このようにＬＡＮがインターネットに接続されていると、外部からの不正侵入や攻撃によって、ＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性が出てくる。
そこで、アクセス権を持たない第三者がＬＡＮ内に不正に侵入するのを防ぐために、ファイアウォールが利用される。ファイアウォールは、一般的には１台のサーバをＬＡＮとインターネットとの接続部に用い、ここで専用のソフトウェアを動作させることによって機能する。しかし、ファイアウォールを設置しても、ネットワーク上に存在するセキュリティホールを攻撃することによって不正侵入が行われることが少なくない。一旦不正侵入が行われると、内部の情報は暗号化されていないため、盗聴や改ざんが容易にできてしまうという問題があった。
なお、従来、インターネット上に流れるデータをルーティングする中継機であるルータに暗号機能を持たせたものが存在する。例えばＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）ルータがそれである。このＶＰＮルータを用いれば、端末に専用の暗号ソフトをインストールしなくても、ＶＰＮルータ間で暗号通信を行うことが可能となる。
しかしながら、このＶＰＮルータは、インターネットを利用して複数のＬＡＮを接続するために設けられる仮想専用線上の中継機として用いられるものである。そのため、ＬＡＮどうしがやり取りする情報を途中のインターネット上において暗号化することはできるが、ＬＡＮ内において情報を暗号化することはできないという問題があった。
また、ＶＰＮルータにおいて暗号化を行うためには、ルータが必ず通信用のＩＰアドレスを持つことが必要となる。以下に、このことについて図１を用いて説明する。図１は、従来のＶＰＮルータおよびこれに接続されるパソコンにおけるプロトコルの階層構造を示す図である。
図１に示すように、通信しようとする２台のパソコン１０１，１０２はそれぞれ１つのポート１０５，１０６を有し、その中継機となるＶＰＮルータ１０３，１０４はそれぞれ２つのポート（１０７，１０８），（１０９，１１０）を有している。ＶＰＮルータ１０３の各ポート１０７，１０８に対してＯＳＩ参照モデルの物理層、ＭＡＣ層（データリンク層）、ＩＰ−Ｓｅｃが個別に設けられ、各ポート１０７，１０８に共通なものとしてＩＰ層（ネットワーク層）、ＴＣＰ／ＵＤＰ層（トランスポート層）が設けられている。ＶＰＮルータ１０４の各ポート１０９，１１０についても同様である。
層が深くなるほどユーザからは遠くなり、逆に層が浅くなるほどユーザに近くなる。各パソコン１０１，１０２のＩＰ層よりも上位層には、ＴＣＰ／ＵＤＰ層およびアプリケーション層（共に図示せず）が存在し、ユーザが使用するアプリケーションと下の層との橋渡しが行われる。
データの送信側では、上位層から下位層に向かって各層を通過するごとにデータが変換されるとともに、それぞれの層間でデータ伝送を可能にするためのヘッダが付加されていく。逆に、データの受信側では、各層宛てのヘッダを参照して各層で必要なデータが抽出される。そして、抽出されたデータは上位層へ引き渡され、最終的にアプリケーション層を介してユーザに届けられる。
以下に、それぞれの層の機能について説明する。ＴＣＰ／ＵＤＰ層は、データを渡すべきアプリケーションの特定や、パケットの状態の管理などを行うレイヤである。データ送信側においては、上位層（アプリケーション層）から渡されたデータを相手のどのアプリケーションに渡すべきかを認識し、宛先ポート番号をデータに付加して下位層（ネットワーク層）に渡す。一方、データ受信側においては、下位層から渡されたパケットについて、通信の状態等によって抜けが生じていないかどうかを監視する。
ＩＰ層は、複数のネットワークにまたがった端末間のデータ転送あるいはデータ中継に関する取り決めや制御を行うためのレイヤである。通信相手となる送信側と受信側のパソコン１０１，１０２にはそれぞれ異なるＩＰアドレス▲１▼，▲６▼が割り振られており、これらを明確にすることによって、ｅｎｄ ｔｏ ｅｎｄによる論理的な通信経路が決定する。２つのポート（１０７，１０８），（１０９，１１０）を有するＶＰＮルータ１０３，１０４の場合、ＩＰアドレスはポート毎に別個に割り振られる。
ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）層は、隣接機器のノード間で信頼性の高いデータ伝送を保証するためのレイヤであり、製造段階で各機器に割り当てられた物理的なＭＡＣアドレスを有する。データ送信側においては、ＩＰ層で通信相手のＩＰアドレスが明確になると、その下位に位置するＭＡＣ層において、確立された相手のＩＰアドレスをもとに、経由する次の機器（物理的に接続されている隣接ノード）の宛先を決定する。一方、データ受信側においては、ＭＡＣアドレスをもとに自分宛のパケットであることを認識した後、その上位層のＩＰ層でＩＰアドレスを解析し、そのパケットを他の機器に対して更にルーティングするか自分に取り込むかを判断する。
物理層は、上位層から渡されたデータを電気信号や光信号に変換し、同軸ケーブルや光ファイバケーブル等の伝送媒体１１１を介して実際のデータ伝送を行ったり、伝送媒体１１１から送られてきた電気信号や光信号を上位層で認識可能なデータに変換し、それを上位層に渡したりするためのレイヤである。物理層の上位層であるＭＡＣ層では、物理層の通信インタフェースに依存した手法に従って上述の処理を行う。
ＩＰ−Ｓｅｃは、データの暗号化処理および復号化処理を行う機能部である。すなわち、ＭＡＣ層からＩＰ層に渡されるデータを取得して、当該データの暗号化処理および暗号の復号化処理を行う。
このような階層構造を有するＶＰＮルータ１０３，１０４を用いてパソコン１０１，１０２間で暗号通信を行う場合、ＶＰＮルータ１０３では、例えば一方のパソコン１０１から他方のパソコン１０２宛てに送られてきたＩＰパケットを第１のポート１０７で受信し、ＩＰ層までパケットを順次引き渡して分解する。このとき、パケット中から抽出したデータをＩＰ−Ｓｅｃで暗号化する。そして、パケットヘッダ中に含まれている宛先ＩＰアドレスをもとに、ルータ自身が持つルーティングテーブルを参照して次の転送ノードを決定し、ＩＰ層から物理層へと再度パケットを組み立てて第２のポート１０８から送出する。
ＶＰＮルータ１０３の第２のポート１０８から出力された暗号化パケットは、ＶＰＮルータ１０４の第１のポート１０９で受信される。ＶＰＮルータ１０４は、受信した暗号化パケットをＩＰ層まで順次引き渡して分解し、パケット中から抽出したデータをＩＰ−Ｓｅｃで復号化する。そして、パケットヘッダ中に含まれている宛先ＩＰアドレスをもとに、ルータ自身が持つルーティングテーブルを参照して次の転送ノードを決定し、ＩＰ層から物理層へと再度パケットを組み立てて第２のポート１１０から送出する。
この第２のポート１１０から出力されたＩＰパケットは、パソコン１０２で受信される。この受信されたＩＰパケットは物理層、ＭＡＣ層、ＩＰ層を介して上位層へと順次引き渡されて分解され、最終的に図示しないアプリケーション層を介してユーザにデータが届けられる。以上の手順により、パソコン１０１，１０２が暗号ソフトを備えていなくても、ＶＰＮルータ１０３，１０４間で暗号通信をすることが可能となる。
図１に示したシステムの場合、ＶＰＮルータ１０３，１０４の両側に異なるネットワーク（パソコン１０１を有するネットワークＡとパソコン１０２を有するネットワークＢ）が存在し、これが集まってインターネットを構成している。そのため、それぞれのネットワーク毎に異なるネットワークアドレスが割り振られる。よって、これらの異なるネットワーク間をルーティング（経路選択、場合によってパケットの破棄、パケットの分割あるいは統合等）するＶＰＮルータ１０３，１０４も、異なるＩＰアドレスを持つことが必須であり、そのために煩雑なアドレス設定作業を行わなければならないという問題があった。
また、ＶＰＮルータ１０３，１０４では第１のポート１０７，１０９に接続されるネットワークと第２のポート１０８，１１０に接続されるネットワークは一般的に異なるものであり、そのためにポート毎に異なるＩＰアドレスを設定する必要がある。よって、ＶＰＮルータ１０３，１０４の入力と出力とでＩＰアドレスが変わってしまう。そのため、ネットワーク上にある端末間にＶＰＮルータを挿入したり、あるいは端末間からＶＰＮルータを外したりする際には、ＶＰＮルータ自身のアドレス設定を行うだけでなく、当該ＶＰＮルータに接続される端末のアドレス設定も変更する必要があり、各種の煩雑な作業を行わなければならないという問題があった。
例えば、図１の例においてＶＰＮルータ１０３，１０４を接続しない状態で通信を行う場合は、パソコン１０１，１０２は同一のネットワーク内に存在することになるので、ネットワークアドレスが共に同じとなり、パソコン１０１，１０２間で直接の通信が可能である。この場合、パソコン１０１からパソコン１０２に送信するパケットのＩＰアドレスは、図２（ａ）のようになる。すなわち、送信側であるパソコン１０１の送信元ＩＰアドレス▲１▼と、受信側であるパソコン１０２の宛先ＩＰアドレス▲６▼のネットワークアドレスには、同じネットワークアドレスＡを設定すれば良い。
これに対し、パソコン１０１とパソコン１０２との間にＶＰＮルータ１０３，１０４を挿入した場合は、送信されるパケットのＩＰアドレスは図２（ｂ）のようになる。すなわち、パソコン１０１，１０２は異なるネットワークに存在することになるので、送信元ＩＰアドレス▲１▼と宛先ＩＰアドレス▲６▼には、異なるネットワークアドレスＡ，Ｂを設定しなければならない。
このように、パソコン１０１とパソコン１０２との間にＶＰＮルータ１０３，１０４を挿入したり、あるいはその逆にＶＰＮルータ１０３，１０４を取り外したりすると、パソコン１０１，１０２の属するネットワークが変わる。したがって、それに合わせて、パソコン１０１，１０２のデフォルトゲートウェイのアドレス（自分と異なるネットワークに対して通信をする場合の宛先ＩＰアドレス（ＶＰＮルータ１０３，１０４のポート１０７，１１０））や、パソコン１０１，１０２の何れかのＩＰアドレスの設定を変更する必要が生じる。
以上のように、従来のＶＰＮルータでは、その接続の有無によって透過性を保つことが困難であり、システムの導入時やメンテナンス時には多大な作業をしなければならないという問題があった。
本発明は、このような問題を解決するために成されたものであり、専用の暗号ソフトをインストールできない端末を有する企業内ＬＡＮの中でも暗号を利用して、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性を低減できるようにすることを目的とする。
また、本発明は、アドレス設定などの煩雑な作業を行うことなく、企業内ＬＡＮで暗号を利用できるようにすることを目的とする。
発明の開示
本発明の暗号装置は、複数のポートを有し、少なくとも１つのポートに暗号処理機能を有する端末（暗号ソフトがインストールされた端末の他、本発明の機能を有する他の暗号装置を含む）が直接または間接的に接続される暗号装置であって、上記暗号処理機能を有する端末との間で暗号化によるセキュリティを終端するためにデータの暗号化処理および復号化処理を行う暗号／復号手段と、上記複数のポートのうち一のポートより入力され上記暗号／復号手段により暗号化処理または復号化処理が施されたデータを、ルーティング処理をすることなく他のポートにそのまま出力するブリッジ手段とを備えたことを特徴とする。
本発明の他の態様では、上記暗号／復号手段は、上記暗号処理機能を有する端末との間では暗号化されたデータの通信を行うとともに、暗号処理機能を有しない端末との間では暗号化されていないデータの通信を行うために上記暗号化処理および上記復号化処理を行うことを特徴とする。
本発明のその他の態様では、複数のポートを有し、少なくとも１つのポートに暗号処理機能を有する端末が直接または間接的に接続される暗号装置であって、上記複数のポートのうち一のポートより入力され物理層およびデータリンク層を介して渡されたデータに対して暗号化処理または復号化処理を行う暗号／復号手段と、上記暗号／復号手段により暗号化処理または復号化処理が施されたデータを、ネットワーク間のルーティング制御を行うネットワーク層に渡すことなくデータリンク層および物理層を介して他のポートより出力するようにするブリッジ手段とを備えたことを特徴とする。
本発明の更に別の態様では、上記暗号化処理および上記復号化処理の制御に関する設定情報を記憶する設定情報記憶手段を備え、上記暗号／復号手段は、上記設定情報記憶手段に記憶されている設定情報と、上記一のポートより入力されたパケットに付加されているヘッダ情報とを照合して上記暗号化処理および上記復号化処理の制御を行うことを特徴とする。
また、本発明の暗号方法は、複数のポートを有し、少なくとも１つのポートに暗号処理機能を有する端末が直接または間接的に接続される暗号装置において暗号化処理または復号化処理を行う方法であって、上記複数のポートのうち一のポートより入力され物理層およびデータリンク層を介して渡されたデータに対して暗号化処理または復号化処理を行い、これにより得られたデータを、ネットワーク間のルーティング制御を行うネットワーク層に渡すことなくデータリンク層および物理層を介して他のポートより出力するようにしたことを特徴とする。
また、本発明の暗号システムは、暗号処理機能を有する端末と、請求の範囲第１項に記載の暗号装置とが無線または有線のネットワークを介して接続されて成ることを特徴とする。
本発明の他の態様では、暗号処理機能を有する端末と、暗号処理機能を有しない端末との間に、請求の範囲第２項に記載の暗号装置が無線または有線のネットワークを介して接続されて成ることを特徴とする。
発明を実施するための最良の形態
以下、本発明の一実施形態を図面に基づいて説明する。
図３は、本実施形態の暗号装置を適用した暗号システムの全体構成例を示す図である。
図３において、１は本実施形態の暗号装置であり、２つのポートを有し、一方のポートにはネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのデバイスが接続され、他方のポートにはハブ５が接続されている。この暗号装置１は、ネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのデバイスと、ハブ５との間でデータの中継を行う。
ネットワークプリンタ２は、暗号ソフトを物理的にインストールできない端末である。ＤＢサーバ３は、動作安定上等の問題から余分な暗号ソフトをインストールすることが好ましくない端末である。ネットワークターミナル４は、ＯＳがなく暗号ソフトを動作させることができない端末である。したがって、これらの端末２〜４には暗号ソフトはインストールされていないものとする。
また、ハブ５は、物理層においてデータを中継する機器であり、上述した暗号装置１の他に、無線通信用のアクセスポイント６とデスクトップパソコン７とが接続されている。すなわち、この場合のハブ５は、暗号装置１と、アクセスポイント６およびデスクトップパソコン７との間でデータの中継を行う。
さらに、上記アクセスポイント６には、デスクトップパソコン８とラップトップパソコン９とが無線により接続されている。デスクトップパソコン７，８およびラップトップパソコン９には、データの暗号化および復号化を行うための暗号ソフトがインストール可能であり、実際にインストールされているものとする。
このように、本実施形態の暗号装置１は２つのポートを有し、一方のポートに対して暗号処理機能を有する端末であるパソコン７〜９が、ハブ５やアクセスポイント６を介して間接的に接続されている。また、他方のポートにはネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４が直接接続されている。そして、これらの暗号装置１、ネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４、ハブ５、アクセスポイント６、パソコン７〜９により１つの拠点ネットワークが構成されている。
このような構成により、暗号ソフトがインストールされていないネットワークプリンタ２、ＤＢサーバ３およびネットワークターミナル４と、暗号ソフトがインストールされているパソコン７〜９（これらのデバイス２〜４，７〜９は何れも本発明の端末に相当）との間で、暗号装置１、ハブ５およびアクセスポイント６を介してデータ通信が行われる。
その際、暗号装置１は、暗号ソフトがインストールされているパソコン７〜９との間では暗号化されたデータの通信を行うとともに、暗号ソフトがインストールされていない端末２〜４との間では暗号化されていないデータの通信を行うために暗号化処理および暗号の復号化処理を行う。
例えば、デスクトップパソコン７からネットワークプリンタ２にデータを送出してプリントアウトするときは、まずデスクトップパソコン７にインストールされている暗号ソフトを用いてデータを暗号化し、ハブ５を介して暗号装置１に供給する。次に暗号装置１は、受け取ったデータを復号化し、ネットワークプリンタ２に送出する。
また、例えばＤＢサーバ３にて管理されているデータをラップトップパソコン９に取り込むときは、ＤＢサーバ３は、与えられる要求に応じて該当するデータを暗号装置１に供給する。この暗号化されていないデータを受け取った暗号装置１は、そのデータを暗号化し、ハブ５およびアクセスポイント６を介してラップトップパソコン９に送信する。ラップトップパソコン９は、受け取ったデータを復号化し、所望の処理に利用する。
以上の説明から明らかなように、本実施形態の暗号装置１を用いることによって、専用の暗号ソフトをインストールできない端末２〜４を有する企業内ＬＡＮの中でも、暗号を利用することが可能となる。これにより、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性が少ないセキュアなネットワーク１０を構築することができる。
なお、暗号装置１と各端末２〜４との間において暗号は利用できないが、これらを繋ぐケーブル１１は物理的に短い配線であり、この部分が外部アタックされることによって盗聴や改ざんが行われる可能性は極めて低いので、セキュリティ上で特に問題となることはない。
図４は、本実施形態の暗号装置を適用した暗号システムの他の構成例を示す図である。なお、この図４において、図３に示した構成要素と同一の機能を有する構成要素には同一の符号を付している。図４に示すように、本実施形態の暗号装置１は、一方のポートにインターネット２０が接続され、他方のポートにハブ５が接続されている。
図４の場合、暗号装置１、ハブ５、アクセスポイント６、パソコン７〜９により１つの拠点ネットワークが構成されている。また、インターネット２０の先には、図３に示したネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのように暗号ソフトをインストールできない端末、あるいは、パソコン７〜９のように暗号ソフトがインストールされた端末が複数台接続され、これらによって別の拠点ネットワークが構成されている。
図３に示した例では、１台の暗号装置１に対して１台のデバイスが接続されており、１台のデバイスに関する暗号／復号処理を１台の暗号装置１が専用で行っていた。すなわち、図３に示す暗号装置１は、暗号ソフトがインストールされたパソコン７〜９と、暗号ソフトがインストールされていない１台のデバイスとの間に接続され、当該１台のデバイスに対して暗号化によるセキュリティを終端していた。
これに対して、図４に示す例では、暗号装置１は、暗号ソフトがインストールされたパソコン７〜９と、インターネット２０に接続された複数台のデバイスとの間に接続されている。上記複数台のデバイスは、図３に示したネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのように暗号ソフトがインストールされていなくても良いし、パソコン７〜９のように暗号ソフトがインストールされていても良い。このように、本実施形態の暗号装置１は、複数台のデバイスに対して暗号化によるセキュリティを終端することも可能である。この場合、暗号装置１は、接続されているデバイスの数だけデータパスを有し、それぞれのデバイス毎に異なる暗号鍵で暗号／復号処理を行う。
例えば、セキュアネットワーク１０内のデスクトップパソコン７から、インターネット２０を介して暗号ソフトを持たない外部デバイスにデータを送出するようなときは、まずデスクトップパソコン７にインストールされている暗号ソフトを用いてデータを暗号化し、ハブ５を介して暗号装置１に供給する。次に暗号装置１は、受け取ったデータを復号化し、インターネット２０を介して外部デバイスに送出する。
また、例えばインターネット２０の先にある暗号ソフトを持たない外部デバイスにて管理されているデータをセキュアネットワーク１０内のラップトップパソコン９に取り込むときは、当該外部デバイスは、与えられる要求に応じて該当するデータをインターネット２０に送出する。この暗号化されていないデータを受け取った暗号装置１は、そのデータを暗号化し、ハブ５およびアクセスポイント６を介してラップトップパソコン９に送信する。ラップトップパソコン９は、受け取ったデータを復号化し、所望の処理に利用する。
一方、セキュアネットワーク１０内のデスクトップパソコン７から、インターネット２０を介して暗号ソフトを有する外部デバイスにデータを送出するようなときは、まずデスクトップパソコン７にインストールされている暗号ソフトを用いてデータを暗号化し、ハブ５を介して暗号装置１に供給する。次に暗号装置１は、受け取ったデータを復号化することなく、インターネット２０を介して外部デバイスに送出する。外部デバイスは、受け取ったデータを復号化し、所望の処理に利用する。
逆に、インターネット２０の先にある外部デバイスで暗号化されたデータをセキュアネットワーク１０内のデスクトップパソコン７に送出するときも、暗号装置１は、インターネット２０を介して外部デバイスより受け取ったデータを復号化することなく、暗号化された状態のままハブ５を介してデスクトップパソコン７に供給する。
このように、セキュアネットワーク１０内の端末７〜９とインターネット２０に接続された暗号ソフトを持たない外部デバイスとの間でデータ通信を行う場合でも、少なくともセキュアネットワーク１０の内部については暗号による保護を利用することができる。また、インターネット２０に接続された外部デバイスに暗号ソフトがインストールされている場合には、セキュアネットワーク１０の外部にあるインターネット２０上でも暗号を利用することができる。
なお、上記複数台のデバイスは、インターネット２０を介して接続されている必要は必ずしもなく、暗号装置１に直接あるいはハブを介して接続しても良い。直接接続する場合、暗号装置１は２つ以上のポートを有することになる。
図５は、本実施形態の暗号装置を適用した暗号システムの更に別の構成例を示す図である。なお、この図５において、図３に示した構成要素と同一の機能を有する構成要素には同一の符号を付している。図５に示す例も図４の例と同様に、１台の暗号装置１が複数台のデバイスに対して暗号化によるセキュリティを終端する例である。
図５に示す例では、セキュアネットワーク１０の内部は、３台のパソコン７〜９が全てアクセスポイント６に無線ＬＡＮにて接続されている。アクセスポイント６は、暗号装置１を介してインターネット２０に接続されている。
図６は、本実施形態の暗号装置を適用した暗号システムの更に別の構成例を示す図である。上記図３〜図５では、本発明の暗号処理機能を有する端末の例として、暗号ソフトがインストールされたパソコン７〜９を挙げ、暗号装置１とパソコン７〜９との間で暗号化によるセキュリティを終端する例について説明した。暗号処理機能を有する端末はこの例に限らず、暗号装置１と同様の機能を有する他の暗号装置も含む。この場合の構成例を示したのが図６である。
図６に示す例では、拠点Ａ，Ｂの２つの拠点ネットワーク３０Ａ，３０Ｂが、ルータ４０Ａ，４０Ｂおよびインターネット２０を介して接続されている。拠点Ａネットワーク３０Ａの中は、パソコン３１Ａ〜３３Ａと暗号装置１Ａ−１〜１Ａ−３とにより企業内ＬＡＮが構成されている。パソコン３１Ａ〜３３Ａは何れも暗号ソフトがインストールされていない端末である。また、暗号装置１Ａ−１〜１Ａ−３は何れも図３の暗号装置１と同様の機能を有するものであり、一方のポートにはパソコン３１Ａ〜３３Ａが接続され、他方のポートにはルータ４０Ａが接続されている。
拠点Ｂネットワーク３０Ｂの中も同様に、パソコン３１Ｂ〜３３Ｂと暗号装置１Ｂ−１〜１Ｂ−３とにより企業内ＬＡＮが構成されている。パソコン３１Ｂ〜３３Ｂは何れも暗号ソフトがインストールされていない端末である。また、暗号装置１Ｂ−１〜１Ｂ−３は何れも図３の暗号装置１と同様の機能を有するものであり、一方のポートにはパソコン３１Ｂ〜３３Ｂが接続され、他方のポートにはルータ４０Ｂが接続されている。
このような構成により、異なる拠点ネットワーク３０Ａ，３０Ｂに属するパソコンの間では、暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３を介してデータ通信が行われる。例えば、拠点Ａネットワーク３０Ａ内にあるパソコン３１Ａから拠点Ｂネットワーク３０Ｂ内にあるパソコン３３Ｂにデータを送信するとき、暗号装置１Ａ−１は、パソコン３１Ａから与えられたデータを暗号化し、ルータ４０Ａ、インターネット２０およびルータ４０Ｂを介して暗号装置１Ｂ−３に送信する。暗号装置１Ｂ−３は、受け取ったデータを復号化してパソコン３３Ｂに供給する。これにより、異なる拠点ネットワーク３０Ａ，３０Ｂ間で暗号を利用することができる。
また、例えば拠点Ａネットワーク３０Ａの内部において、暗号ソフトがインストールされていないパソコン３１Ａ〜３３Ａどうしでは、暗号装置１Ａ−１〜１Ａ−３を介してデータ通信が行われる。例えば、あるパソコン３１Ａから他のパソコン３３Ａにデータを送るとき、暗号装置１Ａ−１は、パソコン３１Ａから与えられたデータを暗号化し、暗号装置１Ａ−３に送信する。暗号装置１Ａ−３は、受け取ったデータを復号化してパソコン３３Ａに供給する。
拠点Ｂネットワーク３０Ｂの内部においても同様に、暗号ソフトがインストールされていないパソコン３１Ｂ〜３３Ｂどうしでは、暗号装置１Ｂ−１〜１Ｂ−３を介してデータ通信が行われる。例えば、あるパソコン３１Ｂから他のパソコン３３Ｂにデータを送るとき、暗号装置１Ｂ−１は、パソコン３１Ｂから与えられたデータを暗号化し、暗号装置１Ｂ−３に送信する。暗号装置１Ｂ−３は、受け取ったデータを復号化してパソコン３３Ｂに供給する。
このように、暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３は何れも、暗号ソフトがインストールされていないパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂとの間では暗号化されていないデータの通信を行うとともに、暗号処理機能を有する端末である暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３との間では暗号化されたデータの通信を行うために暗号化処理および暗号の復号化処理を行う。
以上のような暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３をパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂの直近にそれぞれ接続することにより、異なる拠点ネットワーク３０Ａ，３０Ｂの間は当然として、暗号ソフトを有するパソコンが無い企業内ＬＡＮの中でも暗号を利用することが可能となる。これにより、各拠点ネットワーク３０Ａ，３０Ｂを、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性が少ないセキュアなネットワークとすることができる。
なお、上記図６の例では、各拠点ネットワーク３０Ａ，３０Ｂは共に、暗号処理機能を有する端末（暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３）を複数備えて構成されているが、少なくとも一方の拠点ネットワークが暗号処理機能を有する端末を１個だけ備える構成としても良い。例えば、拠点ネットワーク３０Ａの中を、１個のパソコン３１Ａと１個の暗号装置１Ａ−１とを接続して構成しても良い。
この場合は、図６に示した構成と同様に、異なる拠点ネットワーク３０Ａ，３０Ｂ間で暗号を利用することができる。また、拠点ネットワーク３０Ａの中に関しては、暗号装置１Ａ−１をパソコン３１Ａの直近に接続しておくことにより、当該拠点ネットワーク３０Ａの出入口と暗号装置１Ａ−１との間で暗号を利用することができる。
また、上記図６の例では、２つの拠点ネットワーク３０Ａ，３０Ｂをインターネット２０で結び、各拠点ネットワーク３０Ａ，３０Ｂ内に暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３やパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂをそれぞれ備える例について示したが、これに限定されない。
例えば、１つの拠点ネットワーク内に暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３およびパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂを備え、暗号ソフトがインストールされていないパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂの間におけるデータのやり取りを、暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３を介して行うようにしても良い。この場合は、１つの拠点ネットワーク内において、少なくとも暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３の間では暗号を利用することができる。
また、これ以外にも、例えば図３の構成において、暗号ソフトがインストールされているパソコン７の代わりに、暗号ソフトがインストールされていないパソコンと暗号装置１とを用い、暗号装置１をハブ５に接続する構成としても良い。この場合は、暗号ソフトをインストールできないネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのデバイスと、暗号ソフトがインストールされていないパソコンとの間では、両者の直近に接続された暗号装置１を介して暗号通信をすることができる。
図７は、図３に示した暗号システムにおいて、暗号装置１およびこれに直接および間接的に接続されるＤＢサーバ３およびラップトップパソコン９におけるプロトコルの階層構造を示す図である。図７に示す例では、ＤＢサーバ３には暗号ソフトがインストールされておらず（ＩＰ−Ｓｅｃがない）、ラップトップパソコン９には暗号ソフトがインストールされている（ＩＰ−Ｓｅｃを有する）。このＤＢサーバ３およびラップトップパソコン９の間に、本実施形態の暗号装置１が接続されている。ここでは、ＤＢサーバ３にて保存されているデータを暗号装置１に送り、ここでデータを暗号化してパソコン９に送るような利用形態を想定している。
図７に示すように、ＤＢサーバ３およびパソコン９はそれぞれ１つのポート３１，３２を有し、その中継機となる暗号装置１は２つのポート３３，３４を有している。暗号装置１の各ポート３３，３４に対して物理層およびＭＡＣ層（データリンク層）が個別に設けられ、各ポート３３，３４に共通なものとしてＩＰ−Ｓｅｃ（暗号／復号処理機能）、ＩＰ層（ネットワーク層）およびＴＣＰ／ＵＤＰ層（トランスポート層）が設けられている。このように、本実施形態の暗号装置１は、ＩＰ−Ｓｅｃにより２つのポート３３，３４間をブリッジさせているところに特徴がある。
ここで「ブリッジする」とは、一のポートより入力され暗号化処理または復号化処理が施されたデータを、ルーティング処理をすることなく他のポートにそのまま出力することを言う。図７の例では、第１のポート３３より入力されたデータに対してＩＰ−Ｓｅｃで暗号化処理を行い、それにより得られたデータを、ＩＰ層にてルーティングすることなく（ＩＰ層に渡すことなく）他方のポートにそのまま渡して出力することが、「ブリッジする」ということに相当する。このように、本実施形態の暗号装置１では、ＤＢサーバ３とパソコン９との間におけるデータ転送に関してはＩＰ層およびＴＣＰ／ＵＤＰ層は用いず、ＩＰ層よりも下位層で処理を行う。
すなわち、ＤＢサーバ３にて作成されたパケットデータは、当該ＤＢサーバ３のＭＡＣ層、物理層を通って送信され、暗号装置１の第１のポート３３より受信される。受信されたパケットデータは物理層、ＭＡＣ層を通ってＩＰ−Ｓｅｃに渡され、ここで暗号化処理が行われる。この暗号化されたパケットデータは、ＭＡＣ層および物理層を通って第２のポート３４より送信される。
第２のポート３４より送信されたパケットデータは、パソコン９で受信され、物理層、ＭＡＣ層を通ってＩＰ−Ｓｅｃに渡されて、暗号が復号化される。そして、復号化されたデータがＩＰ層を通って図示しないアプリケーション層に渡される。これにより、ＤＢサーバ３が暗号ソフトを備えていなくても、パソコン９に対して暗号化されたデータを送信することが可能となる。
なお、本実施形態においてＩＰ層およびＴＣＰ／ＵＤＰ層は、暗号装置１自身に暗号化／復号化に関する各種の情報を設定する際に利用される。例えば、ある端末とある端末との間では暗号通信を行うが、他の端末との間では暗号通信を行わないなどといった暗号／復号処理の有無、ある端末とある端末との間ではパケットを破棄するなどといった通信の可否、暗号通信を行う場合における暗号化のレベル、暗号化を行う時間帯、暗号鍵などに関する種々の情報を暗号装置１に設定する場合には、ＩＰ層およびＴＣＰ／ＵＤＰ層を使用する。
この種の設定情報は、ＩＰ−Ｓｅｃブリッジの機能によってメモリ上に保持される。ＩＰ−Ｓｅｃは、当該メモリに保持されている設定情報と、ポート３３，３４より入力されたパケットに付加されているヘッダ情報（例えば、送信元ＩＰアドレスおよび宛先ＩＰアドレス）とを照合して、暗号／復号処理の制御などを行う。
このように、本実施形態の暗号装置１では、一のポートから入力されたデータをＩＰ−Ｓｅｃで暗号化／復号化し、これにより得られたデータをＩＰ層に渡すことなく、ルーティング処理をせずにそのまま他のポートに転送するようにしているので、データ通信時に暗号装置１のＩＰアドレスを不要とすることができる。すなわち、ＩＰアドレスを持たずにＩＰ層の暗号／復号処理を行うことが可能である。そのため、暗号装置１自身に対する煩雑なＩＰアドレス設定の必要をなくすことができる。
また、暗号装置１の両側に接続される端末は同じネットワークに属することになり、暗号装置１の入力ポートと出力ポートとでＩＰアドレスが変わることがなくなる。これにより、暗号装置１のネットワーク上における接続の有無に関わりなく、ＩＰアドレスの透過性を保つことができる。すなわち、ネットワーク上に暗号装置１を接続したり、ネットワーク上から暗号装置１を外したりする際に、当該暗号装置１に接続される端末のアドレス設定も変更する必要がない。
例えば、図７のようにＤＢサーバ３とパソコン９との間に暗号装置１を挿入した場合も、暗号装置１を挿入せずにＤＢサーバ３とパソコン９との間で直接通信を行う場合も、ＤＢサーバ３とパソコン９との間を流れるパケットのＩＰアドレスは、図８に示す通りのままで不変である。したがって、暗号装置１の接続の有無によってアドレス設定を何ら変更する必要がない。
これにより、ネットワークシステムの導入時やメンテナンス時には、本実施形態の暗号装置１を適当な箇所にただ挿入したり、あるいはただ取り外したりするだけ良くなり、煩雑なアドレス設定は行う必要がないので、作業負荷を大幅に削減することができる。
さらに、本実施形態の場合、ＭＡＣアドレスについても透過性を保つことができる。図９は、ＤＢサーバ３からパソコン９にデータを送り、その間の暗号装置１でデータを暗号化する場合におけるパケットを示す図である。また、図１０は、本実施形態との比較のために、図１に示す従来のシステムにおいて一方のパソコン１０１から他方のパソコン１０２にデータを送り、その間のＶＰＮルータ１０３でデータを暗号化する場合におけるパケットを示す図である。
図９（ａ）および図１０（ａ）は第１のポート３３，１０７にて受信するパケットを示し、図９（ｂ）および図１０（ｂ）は第２のポート３４，１０８より送信するパケットを示す。なお、ＩＰ−Ｓｅｃには、データ部のみを暗号化するトランスポートモードと、パケット全てを暗号化して更に新しいヘッダを追加するトンネルモードとがある。送信パケットに関しては、これら２つのモードについてそれぞれ示している。
図９から明らかなように、本実施形態によれば、ＩＰアドレスだけでなく、ＭＡＣアドレスについても第１のポート３３と第２のポート３４とで異なることがなく、ＭＡＣアドレスの透過性を保つことができる。すなわち、本実施形態の暗号装置１は、ＩＰ−Ｓｅｃを有してデータの暗号／復号処理を行うことを除けば、一方のポートから入力されたデータを他方のポートにただ流すだけなので、データ通信時にはＭＡＣアドレスも不要とすることができる。
なお、上記実施形態ではＯＳＩ参照モデルの第３層に当たるネットワーク層の例としてＩＰ層を挙げたが、このＩＰ層は、ノベル社のネットワークＯＳが使用するプロトコルであるＩＰＸ（Ｉｎｔｅｒｎｅｔｗｏｒｋ Ｐａｃｋｅｔ ｅ Ｘｃｈａｎｇｅ）層であっても良い。また、ＩＰ−Ｓｅｃが利用可能なものであれば、他のプロトコルであっても良い。
その他、以上に説明した実施形態は、本発明を実施するにあたっての具体化の一例を示したものに過ぎず、これによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその精神、またはその主要な特徴から逸脱することなく、様々な形で実施することができる。
本発明は上述したように、暗号処理機能が導入された端末との間で暗号化によるセキュリティを終端するために暗号化処理および暗号の復号化処理を行う暗号／復号手段を備えて暗号装置を構成し、この暗号装置をネットワークを介して端末に接続するようにしたので、専用の暗号ソフトをインストールできない端末を有する企業内ＬＡＮの中でも暗号を利用することができるようになり、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性を低減することができる。
また、本発明では、暗号化処理または復号化処理が施されたデータを、ネットワーク間のルーティング制御を行うネットワーク層に渡すことなく出力するようにしたので、データ通信時に暗号装置のＩＰアドレスを不要とすることができる。また、暗号装置の入力ポートと出力ポートとでＩＰアドレスが変わることがなくなるので、暗号装置のネットワーク上における接続の有無に関わりなく、ＩＰアドレスの透過性を保つことができ、暗号装置に接続される端末のアドレス設定に関しても変更の必要をなくすことができる。これにより、アドレス設定などの煩雑な作業を行うことなく、企業内ＬＡＮで暗号を利用することができるようになる。
産業上の利用可能性
本発明は、専用の暗号ソフトをインストールできない端末を有する企業内ＬＡＮの中でも暗号を利用して、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性を低減できるようにするのに有用である。
また、本発明は、アドレス設定などの煩雑な作業を行うことなく、企業内ＬＡＮで暗号を利用できるようにするのに有用である。
【図面の簡単な説明】
図１は、従来のＶＰＮルータおよびこれに接続されるパソコンにおけるプロトコルの階層構造を示す図である。
図２は、従来システムにおいてネットワーク上を流れるパケットのＩＰアドレスについて説明するための図である。
図３は、本実施形態の暗号装置を適用した暗号システムの構成例を示す図である。
図４は、本実施形態の暗号装置を適用した暗号システムの他の構成例を示す図である。
図５は、本実施形態の暗号装置を適用した暗号システムの更に別の構成例を示す図である。
図６は、本実施形態の暗号装置を適用した暗号システムの更に別の構成例を示す図である。
図７は、本実施形態による暗号装置およびこれに接続されるＤＢサーバおよびパソコンにおけるプロトコルの階層構造を示す図である。
図８は、本実施形態においてネットワーク上を流れるパケットのＩＰアドレスについて説明するための図である。
図９は、本実施形態の暗号装置を流れるパケットのＭＡＣアドレスについて説明するための図である。
図１０は、従来のＶＰＮルータを流れるパケットのＭＡＣアドレスについて説明するための図である。
本発明は暗号装置および方法、暗号システムに関し、特に、ネットワーク上で外部から攻撃されることによる情報の盗聴や改ざん等のリスクを低減するために情報の暗号化／復号化を行う装置および方法、これを適用したシステムに用いて好適なものである。
背景技術
パーソナルコンピュータ（パソコン）をスタンドアロンで用いる場合は、パソコン内部の情報が盗み出されたり、改ざんされたり、破壊されたりする危険性は少ない。しかし、パソコンをインターネット等のネットワークに接続すると、やり取りされる情報は多くのネットワークをルーティングされていくことから、その途中において盗聴や改ざん等の行われる危険性が一気に増大する。
この問題を解決するための仕組みの１つとして、情報の暗号化がある。すなわち、送信側のパソコンで情報を暗号化して相手に送り、受信側のパソコンでこれを復号化して利用する。このようにすれば、ネットワークの途中で情報が盗聴されたとしても、情報が暗号化されているために、情報自体が見られる可能性が少なくなる。また、改ざんのリスクも低減される。
しかしながら、暗号を利用するためには、暗号通信しようとする端末の全てに専用の暗号ソフトをインストールし、様々な設定をしなければならない。ところが、各種端末が接続されるネットワークは、インターネットの他に、企業内のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）なども存在する。そのＬＡＮ内には、プリンタやファクシミリなど物理的に暗号ソフトをインストールできない端末や、プリントサーバやデータベースサーバなど動作安定上等の問題から余分なソフトをインストールすることが好ましくない端末、ＯＳ（オペレーティングシステム）がなく単なるネットワークターミナルとして機能する端末なども存在する。そのため、一般的に企業内ＬＡＮの中では、暗号を利用することは難しかった。
ところが、ＬＡＮの多くはインターネットに接続されており、必要に応じてＬＡＮ内のパソコンからインターネットにアクセスして情報のやり取りを行うことができるようになっている。しかし、このようにＬＡＮがインターネットに接続されていると、外部からの不正侵入や攻撃によって、ＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性が出てくる。
そこで、アクセス権を持たない第三者がＬＡＮ内に不正に侵入するのを防ぐために、ファイアウォールが利用される。ファイアウォールは、一般的には１台のサーバをＬＡＮとインターネットとの接続部に用い、ここで専用のソフトウェアを動作させることによって機能する。しかし、ファイアウォールを設置しても、ネットワーク上に存在するセキュリティホールを攻撃することによって不正侵入が行われることが少なくない。一旦不正侵入が行われると、内部の情報は暗号化されていないため、盗聴や改ざんが容易にできてしまうという問題があった。
なお、従来、インターネット上に流れるデータをルーティングする中継機であるルータに暗号機能を持たせたものが存在する。例えばＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）ルータがそれである。このＶＰＮルータを用いれば、端末に専用の暗号ソフトをインストールしなくても、ＶＰＮルータ間で暗号通信を行うことが可能となる。
しかしながら、このＶＰＮルータは、インターネットを利用して複数のＬＡＮを接続するために設けられる仮想専用線上の中継機として用いられるものである。そのため、ＬＡＮどうしがやり取りする情報を途中のインターネット上において暗号化することはできるが、ＬＡＮ内において情報を暗号化することはできないという問題があった。
また、ＶＰＮルータにおいて暗号化を行うためには、ルータが必ず通信用のＩＰアドレスを持つことが必要となる。以下に、このことについて図１を用いて説明する。図１は、従来のＶＰＮルータおよびこれに接続されるパソコンにおけるプロトコルの階層構造を示す図である。
図１に示すように、通信しようとする２台のパソコン１０１，１０２はそれぞれ１つのポート１０５，１０６を有し、その中継機となるＶＰＮルータ１０３，１０４はそれぞれ２つのポート（１０７，１０８），（１０９，１１０）を有している。ＶＰＮルータ１０３の各ポート１０７，１０８に対してＯＳＩ参照モデルの物理層、ＭＡＣ層（データリンク層）、ＩＰ−Ｓｅｃが個別に設けられ、各ポート１０７，１０８に共通なものとしてＩＰ層（ネットワーク層）、ＴＣＰ／ＵＤＰ層（トランスポート層）が設けられている。ＶＰＮルータ１０４の各ポート１０９，１１０についても同様である。
層が深くなるほどユーザからは遠くなり、逆に層が浅くなるほどユーザに近くなる。各パソコン１０１，１０２のＩＰ層よりも上位層には、ＴＣＰ／ＵＤＰ層およびアプリケーション層（共に図示せず）が存在し、ユーザが使用するアプリケーションと下の層との橋渡しが行われる。
データの送信側では、上位層から下位層に向かって各層を通過するごとにデータが変換されるとともに、それぞれの層間でデータ伝送を可能にするためのヘッダが付加されていく。逆に、データの受信側では、各層宛てのヘッダを参照して各層で必要なデータが抽出される。そして、抽出されたデータは上位層へ引き渡され、最終的にアプリケーション層を介してユーザに届けられる。
以下に、それぞれの層の機能について説明する。ＴＣＰ／ＵＤＰ層は、データを渡すべきアプリケーションの特定や、パケットの状態の管理などを行うレイヤである。データ送信側においては、上位層（アプリケーション層）から渡されたデータを相手のどのアプリケーションに渡すべきかを認識し、宛先ポート番号をデータに付加して下位層（ネットワーク層）に渡す。一方、データ受信側においては、下位層から渡されたパケットについて、通信の状態等によって抜けが生じていないかどうかを監視する。
ＩＰ層は、複数のネットワークにまたがった端末間のデータ転送あるいはデータ中継に関する取り決めや制御を行うためのレイヤである。通信相手となる送信側と受信側のパソコン１０１，１０２にはそれぞれ異なるＩＰアドレス▲１▼，▲６▼が割り振られており、これらを明確にすることによって、ｅｎｄ ｔｏ ｅｎｄによる論理的な通信経路が決定する。２つのポート（１０７，１０８），（１０９，１１０）を有するＶＰＮルータ１０３，１０４の場合、ＩＰアドレスはポート毎に別個に割り振られる。
ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）層は、隣接機器のノード間で信頼性の高いデータ伝送を保証するためのレイヤであり、製造段階で各機器に割り当てられた物理的なＭＡＣアドレスを有する。データ送信側においては、ＩＰ層で通信相手のＩＰアドレスが明確になると、その下位に位置するＭＡＣ層において、確立された相手のＩＰアドレスをもとに、経由する次の機器（物理的に接続されている隣接ノード）の宛先を決定する。一方、データ受信側においては、ＭＡＣアドレスをもとに自分宛のパケットであることを認識した後、その上位層のＩＰ層でＩＰアドレスを解析し、そのパケットを他の機器に対して更にルーティングするか自分に取り込むかを判断する。
物理層は、上位層から渡されたデータを電気信号や光信号に変換し、同軸ケーブルや光ファイバケーブル等の伝送媒体１１１を介して実際のデータ伝送を行ったり、伝送媒体１１１から送られてきた電気信号や光信号を上位層で認識可能なデータに変換し、それを上位層に渡したりするためのレイヤである。物理層の上位層であるＭＡＣ層では、物理層の通信インタフェースに依存した手法に従って上述の処理を行う。
ＩＰ−Ｓｅｃは、データの暗号化処理および復号化処理を行う機能部である。すなわち、ＭＡＣ層からＩＰ層に渡されるデータを取得して、当該データの暗号化処理および暗号の復号化処理を行う。
このような階層構造を有するＶＰＮルータ１０３，１０４を用いてパソコン１０１，１０２間で暗号通信を行う場合、ＶＰＮルータ１０３では、例えば一方のパソコン１０１から他方のパソコン１０２宛てに送られてきたＩＰパケットを第１のポート１０７で受信し、ＩＰ層までパケットを順次引き渡して分解する。このとき、パケット中から抽出したデータをＩＰ−Ｓｅｃで暗号化する。そして、パケットヘッダ中に含まれている宛先ＩＰアドレスをもとに、ルータ自身が持つルーティングテーブルを参照して次の転送ノードを決定し、ＩＰ層から物理層へと再度パケットを組み立てて第２のポート１０８から送出する。
ＶＰＮルータ１０３の第２のポート１０８から出力された暗号化パケットは、ＶＰＮルータ１０４の第１のポート１０９で受信される。ＶＰＮルータ１０４は、受信した暗号化パケットをＩＰ層まで順次引き渡して分解し、パケット中から抽出したデータをＩＰ−Ｓｅｃで復号化する。そして、パケットヘッダ中に含まれている宛先ＩＰアドレスをもとに、ルータ自身が持つルーティングテーブルを参照して次の転送ノードを決定し、ＩＰ層から物理層へと再度パケットを組み立てて第２のポート１１０から送出する。
この第２のポート１１０から出力されたＩＰパケットは、パソコン１０２で受信される。この受信されたＩＰパケットは物理層、ＭＡＣ層、ＩＰ層を介して上位層へと順次引き渡されて分解され、最終的に図示しないアプリケーション層を介してユーザにデータが届けられる。以上の手順により、パソコン１０１，１０２が暗号ソフトを備えていなくても、ＶＰＮルータ１０３，１０４間で暗号通信をすることが可能となる。
図１に示したシステムの場合、ＶＰＮルータ１０３，１０４の両側に異なるネットワーク（パソコン１０１を有するネットワークＡとパソコン１０２を有するネットワークＢ）が存在し、これが集まってインターネットを構成している。そのため、それぞれのネットワーク毎に異なるネットワークアドレスが割り振られる。よって、これらの異なるネットワーク間をルーティング（経路選択、場合によってパケットの破棄、パケットの分割あるいは統合等）するＶＰＮルータ１０３，１０４も、異なるＩＰアドレスを持つことが必須であり、そのために煩雑なアドレス設定作業を行わなければならないという問題があった。
また、ＶＰＮルータ１０３，１０４では第１のポート１０７，１０９に接続されるネットワークと第２のポート１０８，１１０に接続されるネットワークは一般的に異なるものであり、そのためにポート毎に異なるＩＰアドレスを設定する必要がある。よって、ＶＰＮルータ１０３，１０４の入力と出力とでＩＰアドレスが変わってしまう。そのため、ネットワーク上にある端末間にＶＰＮルータを挿入したり、あるいは端末間からＶＰＮルータを外したりする際には、ＶＰＮルータ自身のアドレス設定を行うだけでなく、当該ＶＰＮルータに接続される端末のアドレス設定も変更する必要があり、各種の煩雑な作業を行わなければならないという問題があった。
例えば、図１の例においてＶＰＮルータ１０３，１０４を接続しない状態で通信を行う場合は、パソコン１０１，１０２は同一のネットワーク内に存在することになるので、ネットワークアドレスが共に同じとなり、パソコン１０１，１０２間で直接の通信が可能である。この場合、パソコン１０１からパソコン１０２に送信するパケットのＩＰアドレスは、図２（ａ）のようになる。すなわち、送信側であるパソコン１０１の送信元ＩＰアドレス▲１▼と、受信側であるパソコン１０２の宛先ＩＰアドレス▲６▼のネットワークアドレスには、同じネットワークアドレスＡを設定すれば良い。
これに対し、パソコン１０１とパソコン１０２との間にＶＰＮルータ１０３，１０４を挿入した場合は、送信されるパケットのＩＰアドレスは図２（ｂ）のようになる。すなわち、パソコン１０１，１０２は異なるネットワークに存在することになるので、送信元ＩＰアドレス▲１▼と宛先ＩＰアドレス▲６▼には、異なるネットワークアドレスＡ，Ｂを設定しなければならない。
このように、パソコン１０１とパソコン１０２との間にＶＰＮルータ１０３，１０４を挿入したり、あるいはその逆にＶＰＮルータ１０３，１０４を取り外したりすると、パソコン１０１，１０２の属するネットワークが変わる。したがって、それに合わせて、パソコン１０１，１０２のデフォルトゲートウェイのアドレス（自分と異なるネットワークに対して通信をする場合の宛先ＩＰアドレス（ＶＰＮルータ１０３，１０４のポート１０７，１１０））や、パソコン１０１，１０２の何れかのＩＰアドレスの設定を変更する必要が生じる。
以上のように、従来のＶＰＮルータでは、その接続の有無によって透過性を保つことが困難であり、システムの導入時やメンテナンス時には多大な作業をしなければならないという問題があった。
本発明は、このような問題を解決するために成されたものであり、専用の暗号ソフトをインストールできない端末を有する企業内ＬＡＮの中でも暗号を利用して、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性を低減できるようにすることを目的とする。
また、本発明は、アドレス設定などの煩雑な作業を行うことなく、企業内ＬＡＮで暗号を利用できるようにすることを目的とする。
発明の開示
本発明の暗号装置は、複数のポートを有し、少なくとも１つのポートに暗号処理機能を有する端末（暗号ソフトがインストールされた端末の他、本発明の機能を有する他の暗号装置を含む）が直接または間接的に接続される暗号装置であって、上記暗号処理機能を有する端末との間で暗号化によるセキュリティを終端するためにデータの暗号化処理および復号化処理を行う暗号／復号手段と、上記複数のポートのうち一のポートより入力され上記暗号／復号手段により暗号化処理または復号化処理が施されたデータを、ルーティング処理をすることなく他のポートにそのまま出力するブリッジ手段とを備えたことを特徴とする。
本発明の他の態様では、上記暗号／復号手段は、上記暗号処理機能を有する端末との間では暗号化されたデータの通信を行うとともに、暗号処理機能を有しない端末との間では暗号化されていないデータの通信を行うために上記暗号化処理および上記復号化処理を行うことを特徴とする。
本発明のその他の態様では、複数のポートを有し、少なくとも１つのポートに暗号処理機能を有する端末が直接または間接的に接続される暗号装置であって、上記複数のポートのうち一のポートより入力され物理層およびデータリンク層を介して渡されたデータに対して暗号化処理または復号化処理を行う暗号／復号手段と、上記暗号／復号手段により暗号化処理または復号化処理が施されたデータを、ネットワーク間のルーティング制御を行うネットワーク層に渡すことなくデータリンク層および物理層を介して他のポートより出力するようにするブリッジ手段とを備えたことを特徴とする。
本発明の更に別の態様では、上記暗号化処理および上記復号化処理の制御に関する設定情報を記憶する設定情報記憶手段を備え、上記暗号／復号手段は、上記設定情報記憶手段に記憶されている設定情報と、上記一のポートより入力されたパケットに付加されているヘッダ情報とを照合して上記暗号化処理および上記復号化処理の制御を行うことを特徴とする。
また、本発明の暗号方法は、複数のポートを有し、少なくとも１つのポートに暗号処理機能を有する端末が直接または間接的に接続される暗号装置において暗号化処理または復号化処理を行う方法であって、上記複数のポートのうち一のポートより入力され物理層およびデータリンク層を介して渡されたデータに対して暗号化処理または復号化処理を行い、これにより得られたデータを、ネットワーク間のルーティング制御を行うネットワーク層に渡すことなくデータリンク層および物理層を介して他のポートより出力するようにしたことを特徴とする。
また、本発明の暗号システムは、暗号処理機能を有する端末と、請求の範囲第１項に記載の暗号装置とが無線または有線のネットワークを介して接続されて成ることを特徴とする。
本発明の他の態様では、暗号処理機能を有する端末と、暗号処理機能を有しない端末との間に、請求の範囲第２項に記載の暗号装置が無線または有線のネットワークを介して接続されて成ることを特徴とする。
発明を実施するための最良の形態
以下、本発明の一実施形態を図面に基づいて説明する。
図３は、本実施形態の暗号装置を適用した暗号システムの全体構成例を示す図である。
図３において、１は本実施形態の暗号装置であり、２つのポートを有し、一方のポートにはネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのデバイスが接続され、他方のポートにはハブ５が接続されている。この暗号装置１は、ネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのデバイスと、ハブ５との間でデータの中継を行う。
ネットワークプリンタ２は、暗号ソフトを物理的にインストールできない端末である。ＤＢサーバ３は、動作安定上等の問題から余分な暗号ソフトをインストールすることが好ましくない端末である。ネットワークターミナル４は、ＯＳがなく暗号ソフトを動作させることができない端末である。したがって、これらの端末２〜４には暗号ソフトはインストールされていないものとする。
また、ハブ５は、物理層においてデータを中継する機器であり、上述した暗号装置１の他に、無線通信用のアクセスポイント６とデスクトップパソコン７とが接続されている。すなわち、この場合のハブ５は、暗号装置１と、アクセスポイント６およびデスクトップパソコン７との間でデータの中継を行う。
さらに、上記アクセスポイント６には、デスクトップパソコン８とラップトップパソコン９とが無線により接続されている。デスクトップパソコン７，８およびラップトップパソコン９には、データの暗号化および復号化を行うための暗号ソフトがインストール可能であり、実際にインストールされているものとする。
このように、本実施形態の暗号装置１は２つのポートを有し、一方のポートに対して暗号処理機能を有する端末であるパソコン７〜９が、ハブ５やアクセスポイント６を介して間接的に接続されている。また、他方のポートにはネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４が直接接続されている。そして、これらの暗号装置１、ネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４、ハブ５、アクセスポイント６、パソコン７〜９により１つの拠点ネットワークが構成されている。
このような構成により、暗号ソフトがインストールされていないネットワークプリンタ２、ＤＢサーバ３およびネットワークターミナル４と、暗号ソフトがインストールされているパソコン７〜９（これらのデバイス２〜４，７〜９は何れも本発明の端末に相当）との間で、暗号装置１、ハブ５およびアクセスポイント６を介してデータ通信が行われる。
その際、暗号装置１は、暗号ソフトがインストールされているパソコン７〜９との間では暗号化されたデータの通信を行うとともに、暗号ソフトがインストールされていない端末２〜４との間では暗号化されていないデータの通信を行うために暗号化処理および暗号の復号化処理を行う。
例えば、デスクトップパソコン７からネットワークプリンタ２にデータを送出してプリントアウトするときは、まずデスクトップパソコン７にインストールされている暗号ソフトを用いてデータを暗号化し、ハブ５を介して暗号装置１に供給する。次に暗号装置１は、受け取ったデータを復号化し、ネットワークプリンタ２に送出する。
また、例えばＤＢサーバ３にて管理されているデータをラップトップパソコン９に取り込むときは、ＤＢサーバ３は、与えられる要求に応じて該当するデータを暗号装置１に供給する。この暗号化されていないデータを受け取った暗号装置１は、そのデータを暗号化し、ハブ５およびアクセスポイント６を介してラップトップパソコン９に送信する。ラップトップパソコン９は、受け取ったデータを復号化し、所望の処理に利用する。
以上の説明から明らかなように、本実施形態の暗号装置１を用いることによって、専用の暗号ソフトをインストールできない端末２〜４を有する企業内ＬＡＮの中でも、暗号を利用することが可能となる。これにより、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性が少ないセキュアなネットワーク１０を構築することができる。
なお、暗号装置１と各端末２〜４との間において暗号は利用できないが、これらを繋ぐケーブル１１は物理的に短い配線であり、この部分が外部アタックされることによって盗聴や改ざんが行われる可能性は極めて低いので、セキュリティ上で特に問題となることはない。
図４は、本実施形態の暗号装置を適用した暗号システムの他の構成例を示す図である。なお、この図４において、図３に示した構成要素と同一の機能を有する構成要素には同一の符号を付している。図４に示すように、本実施形態の暗号装置１は、一方のポートにインターネット２０が接続され、他方のポートにハブ５が接続されている。
図４の場合、暗号装置１、ハブ５、アクセスポイント６、パソコン７〜９により１つの拠点ネットワークが構成されている。また、インターネット２０の先には、図３に示したネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのように暗号ソフトをインストールできない端末、あるいは、パソコン７〜９のように暗号ソフトがインストールされた端末が複数台接続され、これらによって別の拠点ネットワークが構成されている。
図３に示した例では、１台の暗号装置１に対して１台のデバイスが接続されており、１台のデバイスに関する暗号／復号処理を１台の暗号装置１が専用で行っていた。すなわち、図３に示す暗号装置１は、暗号ソフトがインストールされたパソコン７〜９と、暗号ソフトがインストールされていない１台のデバイスとの間に接続され、当該１台のデバイスに対して暗号化によるセキュリティを終端していた。
これに対して、図４に示す例では、暗号装置１は、暗号ソフトがインストールされたパソコン７〜９と、インターネット２０に接続された複数台のデバイスとの間に接続されている。上記複数台のデバイスは、図３に示したネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのように暗号ソフトがインストールされていなくても良いし、パソコン７〜９のように暗号ソフトがインストールされていても良い。このように、本実施形態の暗号装置１は、複数台のデバイスに対して暗号化によるセキュリティを終端することも可能である。この場合、暗号装置１は、接続されているデバイスの数だけデータパスを有し、それぞれのデバイス毎に異なる暗号鍵で暗号／復号処理を行う。
例えば、セキュアネットワーク１０内のデスクトップパソコン７から、インターネット２０を介して暗号ソフトを持たない外部デバイスにデータを送出するようなときは、まずデスクトップパソコン７にインストールされている暗号ソフトを用いてデータを暗号化し、ハブ５を介して暗号装置１に供給する。次に暗号装置１は、受け取ったデータを復号化し、インターネット２０を介して外部デバイスに送出する。
また、例えばインターネット２０の先にある暗号ソフトを持たない外部デバイスにて管理されているデータをセキュアネットワーク１０内のラップトップパソコン９に取り込むときは、当該外部デバイスは、与えられる要求に応じて該当するデータをインターネット２０に送出する。この暗号化されていないデータを受け取った暗号装置１は、そのデータを暗号化し、ハブ５およびアクセスポイント６を介してラップトップパソコン９に送信する。ラップトップパソコン９は、受け取ったデータを復号化し、所望の処理に利用する。
一方、セキュアネットワーク１０内のデスクトップパソコン７から、インターネット２０を介して暗号ソフトを有する外部デバイスにデータを送出するようなときは、まずデスクトップパソコン７にインストールされている暗号ソフトを用いてデータを暗号化し、ハブ５を介して暗号装置１に供給する。次に暗号装置１は、受け取ったデータを復号化することなく、インターネット２０を介して外部デバイスに送出する。外部デバイスは、受け取ったデータを復号化し、所望の処理に利用する。
逆に、インターネット２０の先にある外部デバイスで暗号化されたデータをセキュアネットワーク１０内のデスクトップパソコン７に送出するときも、暗号装置１は、インターネット２０を介して外部デバイスより受け取ったデータを復号化することなく、暗号化された状態のままハブ５を介してデスクトップパソコン７に供給する。
このように、セキュアネットワーク１０内の端末７〜９とインターネット２０に接続された暗号ソフトを持たない外部デバイスとの間でデータ通信を行う場合でも、少なくともセキュアネットワーク１０の内部については暗号による保護を利用することができる。また、インターネット２０に接続された外部デバイスに暗号ソフトがインストールされている場合には、セキュアネットワーク１０の外部にあるインターネット２０上でも暗号を利用することができる。
なお、上記複数台のデバイスは、インターネット２０を介して接続されている必要は必ずしもなく、暗号装置１に直接あるいはハブを介して接続しても良い。直接接続する場合、暗号装置１は２つ以上のポートを有することになる。
図５は、本実施形態の暗号装置を適用した暗号システムの更に別の構成例を示す図である。なお、この図５において、図３に示した構成要素と同一の機能を有する構成要素には同一の符号を付している。図５に示す例も図４の例と同様に、１台の暗号装置１が複数台のデバイスに対して暗号化によるセキュリティを終端する例である。
図５に示す例では、セキュアネットワーク１０の内部は、３台のパソコン７〜９が全てアクセスポイント６に無線ＬＡＮにて接続されている。アクセスポイント６は、暗号装置１を介してインターネット２０に接続されている。
図６は、本実施形態の暗号装置を適用した暗号システムの更に別の構成例を示す図である。上記図３〜図５では、本発明の暗号処理機能を有する端末の例として、暗号ソフトがインストールされたパソコン７〜９を挙げ、暗号装置１とパソコン７〜９との間で暗号化によるセキュリティを終端する例について説明した。暗号処理機能を有する端末はこの例に限らず、暗号装置１と同様の機能を有する他の暗号装置も含む。この場合の構成例を示したのが図６である。
図６に示す例では、拠点Ａ，Ｂの２つの拠点ネットワーク３０Ａ，３０Ｂが、ルータ４０Ａ，４０Ｂおよびインターネット２０を介して接続されている。拠点Ａネットワーク３０Ａの中は、パソコン３１Ａ〜３３Ａと暗号装置１Ａ−１〜１Ａ−３とにより企業内ＬＡＮが構成されている。パソコン３１Ａ〜３３Ａは何れも暗号ソフトがインストールされていない端末である。また、暗号装置１Ａ−１〜１Ａ−３は何れも図３の暗号装置１と同様の機能を有するものであり、一方のポートにはパソコン３１Ａ〜３３Ａが接続され、他方のポートにはルータ４０Ａが接続されている。
拠点Ｂネットワーク３０Ｂの中も同様に、パソコン３１Ｂ〜３３Ｂと暗号装置１Ｂ−１〜１Ｂ−３とにより企業内ＬＡＮが構成されている。パソコン３１Ｂ〜３３Ｂは何れも暗号ソフトがインストールされていない端末である。また、暗号装置１Ｂ−１〜１Ｂ−３は何れも図３の暗号装置１と同様の機能を有するものであり、一方のポートにはパソコン３１Ｂ〜３３Ｂが接続され、他方のポートにはルータ４０Ｂが接続されている。
このような構成により、異なる拠点ネットワーク３０Ａ，３０Ｂに属するパソコンの間では、暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３を介してデータ通信が行われる。例えば、拠点Ａネットワーク３０Ａ内にあるパソコン３１Ａから拠点Ｂネットワーク３０Ｂ内にあるパソコン３３Ｂにデータを送信するとき、暗号装置１Ａ−１は、パソコン３１Ａから与えられたデータを暗号化し、ルータ４０Ａ、インターネット２０およびルータ４０Ｂを介して暗号装置１Ｂ−３に送信する。暗号装置１Ｂ−３は、受け取ったデータを復号化してパソコン３３Ｂに供給する。これにより、異なる拠点ネットワーク３０Ａ，３０Ｂ間で暗号を利用することができる。
また、例えば拠点Ａネットワーク３０Ａの内部において、暗号ソフトがインストールされていないパソコン３１Ａ〜３３Ａどうしでは、暗号装置１Ａ−１〜１Ａ−３を介してデータ通信が行われる。例えば、あるパソコン３１Ａから他のパソコン３３Ａにデータを送るとき、暗号装置１Ａ−１は、パソコン３１Ａから与えられたデータを暗号化し、暗号装置１Ａ−３に送信する。暗号装置１Ａ−３は、受け取ったデータを復号化してパソコン３３Ａに供給する。
拠点Ｂネットワーク３０Ｂの内部においても同様に、暗号ソフトがインストールされていないパソコン３１Ｂ〜３３Ｂどうしでは、暗号装置１Ｂ−１〜１Ｂ−３を介してデータ通信が行われる。例えば、あるパソコン３１Ｂから他のパソコン３３Ｂにデータを送るとき、暗号装置１Ｂ−１は、パソコン３１Ｂから与えられたデータを暗号化し、暗号装置１Ｂ−３に送信する。暗号装置１Ｂ−３は、受け取ったデータを復号化してパソコン３３Ｂに供給する。
このように、暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３は何れも、暗号ソフトがインストールされていないパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂとの間では暗号化されていないデータの通信を行うとともに、暗号処理機能を有する端末である暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３との間では暗号化されたデータの通信を行うために暗号化処理および暗号の復号化処理を行う。
以上のような暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３をパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂの直近にそれぞれ接続することにより、異なる拠点ネットワーク３０Ａ，３０Ｂの間は当然として、暗号ソフトを有するパソコンが無い企業内ＬＡＮの中でも暗号を利用することが可能となる。これにより、各拠点ネットワーク３０Ａ，３０Ｂを、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性が少ないセキュアなネットワークとすることができる。
なお、上記図６の例では、各拠点ネットワーク３０Ａ，３０Ｂは共に、暗号処理機能を有する端末（暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３）を複数備えて構成されているが、少なくとも一方の拠点ネットワークが暗号処理機能を有する端末を１個だけ備える構成としても良い。例えば、拠点ネットワーク３０Ａの中を、１個のパソコン３１Ａと１個の暗号装置１Ａ−１とを接続して構成しても良い。
この場合は、図６に示した構成と同様に、異なる拠点ネットワーク３０Ａ，３０Ｂ間で暗号を利用することができる。また、拠点ネットワーク３０Ａの中に関しては、暗号装置１Ａ−１をパソコン３１Ａの直近に接続しておくことにより、当該拠点ネットワーク３０Ａの出入口と暗号装置１Ａ−１との間で暗号を利用することができる。
また、上記図６の例では、２つの拠点ネットワーク３０Ａ，３０Ｂをインターネット２０で結び、各拠点ネットワーク３０Ａ，３０Ｂ内に暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３やパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂをそれぞれ備える例について示したが、これに限定されない。
例えば、１つの拠点ネットワーク内に暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３およびパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂを備え、暗号ソフトがインストールされていないパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂの間におけるデータのやり取りを、暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３を介して行うようにしても良い。この場合は、１つの拠点ネットワーク内において、少なくとも暗号装置１Ａ−１〜１Ａ−３，１Ｂ−１〜１Ｂ−３の間では暗号を利用することができる。
また、これ以外にも、例えば図３の構成において、暗号ソフトがインストールされているパソコン７の代わりに、暗号ソフトがインストールされていないパソコンと暗号装置１とを用い、暗号装置１をハブ５に接続する構成としても良い。この場合は、暗号ソフトをインストールできないネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのデバイスと、暗号ソフトがインストールされていないパソコンとの間では、両者の直近に接続された暗号装置１を介して暗号通信をすることができる。
図７は、図３に示した暗号システムにおいて、暗号装置１およびこれに直接および間接的に接続されるＤＢサーバ３およびラップトップパソコン９におけるプロトコルの階層構造を示す図である。図７に示す例では、ＤＢサーバ３には暗号ソフトがインストールされておらず（ＩＰ−Ｓｅｃがない）、ラップトップパソコン９には暗号ソフトがインストールされている（ＩＰ−Ｓｅｃを有する）。このＤＢサーバ３およびラップトップパソコン９の間に、本実施形態の暗号装置１が接続されている。ここでは、ＤＢサーバ３にて保存されているデータを暗号装置１に送り、ここでデータを暗号化してパソコン９に送るような利用形態を想定している。
図７に示すように、ＤＢサーバ３およびパソコン９はそれぞれ１つのポート３１，３２を有し、その中継機となる暗号装置１は２つのポート３３，３４を有している。暗号装置１の各ポート３３，３４に対して物理層およびＭＡＣ層（データリンク層）が個別に設けられ、各ポート３３，３４に共通なものとしてＩＰ−Ｓｅｃ（暗号／復号処理機能）、ＩＰ層（ネットワーク層）およびＴＣＰ／ＵＤＰ層（トランスポート層）が設けられている。このように、本実施形態の暗号装置１は、ＩＰ−Ｓｅｃにより２つのポート３３，３４間をブリッジさせているところに特徴がある。
ここで「ブリッジする」とは、一のポートより入力され暗号化処理または復号化処理が施されたデータを、ルーティング処理をすることなく他のポートにそのまま出力することを言う。図７の例では、第１のポート３３より入力されたデータに対してＩＰ−Ｓｅｃで暗号化処理を行い、それにより得られたデータを、ＩＰ層にてルーティングすることなく（ＩＰ層に渡すことなく）他方のポートにそのまま渡して出力することが、「ブリッジする」ということに相当する。このように、本実施形態の暗号装置１では、ＤＢサーバ３とパソコン９との間におけるデータ転送に関してはＩＰ層およびＴＣＰ／ＵＤＰ層は用いず、ＩＰ層よりも下位層で処理を行う。
すなわち、ＤＢサーバ３にて作成されたパケットデータは、当該ＤＢサーバ３のＭＡＣ層、物理層を通って送信され、暗号装置１の第１のポート３３より受信される。受信されたパケットデータは物理層、ＭＡＣ層を通ってＩＰ−Ｓｅｃに渡され、ここで暗号化処理が行われる。この暗号化されたパケットデータは、ＭＡＣ層および物理層を通って第２のポート３４より送信される。
第２のポート３４より送信されたパケットデータは、パソコン９で受信され、物理層、ＭＡＣ層を通ってＩＰ−Ｓｅｃに渡されて、暗号が復号化される。そして、復号化されたデータがＩＰ層を通って図示しないアプリケーション層に渡される。これにより、ＤＢサーバ３が暗号ソフトを備えていなくても、パソコン９に対して暗号化されたデータを送信することが可能となる。
なお、本実施形態においてＩＰ層およびＴＣＰ／ＵＤＰ層は、暗号装置１自身に暗号化／復号化に関する各種の情報を設定する際に利用される。例えば、ある端末とある端末との間では暗号通信を行うが、他の端末との間では暗号通信を行わないなどといった暗号／復号処理の有無、ある端末とある端末との間ではパケットを破棄するなどといった通信の可否、暗号通信を行う場合における暗号化のレベル、暗号化を行う時間帯、暗号鍵などに関する種々の情報を暗号装置１に設定する場合には、ＩＰ層およびＴＣＰ／ＵＤＰ層を使用する。
この種の設定情報は、ＩＰ−Ｓｅｃブリッジの機能によってメモリ上に保持される。ＩＰ−Ｓｅｃは、当該メモリに保持されている設定情報と、ポート３３，３４より入力されたパケットに付加されているヘッダ情報（例えば、送信元ＩＰアドレスおよび宛先ＩＰアドレス）とを照合して、暗号／復号処理の制御などを行う。
このように、本実施形態の暗号装置１では、一のポートから入力されたデータをＩＰ−Ｓｅｃで暗号化／復号化し、これにより得られたデータをＩＰ層に渡すことなく、ルーティング処理をせずにそのまま他のポートに転送するようにしているので、データ通信時に暗号装置１のＩＰアドレスを不要とすることができる。すなわち、ＩＰアドレスを持たずにＩＰ層の暗号／復号処理を行うことが可能である。そのため、暗号装置１自身に対する煩雑なＩＰアドレス設定の必要をなくすことができる。
また、暗号装置１の両側に接続される端末は同じネットワークに属することになり、暗号装置１の入力ポートと出力ポートとでＩＰアドレスが変わることがなくなる。これにより、暗号装置１のネットワーク上における接続の有無に関わりなく、ＩＰアドレスの透過性を保つことができる。すなわち、ネットワーク上に暗号装置１を接続したり、ネットワーク上から暗号装置１を外したりする際に、当該暗号装置１に接続される端末のアドレス設定も変更する必要がない。
例えば、図７のようにＤＢサーバ３とパソコン９との間に暗号装置１を挿入した場合も、暗号装置１を挿入せずにＤＢサーバ３とパソコン９との間で直接通信を行う場合も、ＤＢサーバ３とパソコン９との間を流れるパケットのＩＰアドレスは、図８に示す通りのままで不変である。したがって、暗号装置１の接続の有無によってアドレス設定を何ら変更する必要がない。
これにより、ネットワークシステムの導入時やメンテナンス時には、本実施形態の暗号装置１を適当な箇所にただ挿入したり、あるいはただ取り外したりするだけ良くなり、煩雑なアドレス設定は行う必要がないので、作業負荷を大幅に削減することができる。
さらに、本実施形態の場合、ＭＡＣアドレスについても透過性を保つことができる。図９は、ＤＢサーバ３からパソコン９にデータを送り、その間の暗号装置１でデータを暗号化する場合におけるパケットを示す図である。また、図１０は、本実施形態との比較のために、図１に示す従来のシステムにおいて一方のパソコン１０１から他方のパソコン１０２にデータを送り、その間のＶＰＮルータ１０３でデータを暗号化する場合におけるパケットを示す図である。
図９（ａ）および図１０（ａ）は第１のポート３３，１０７にて受信するパケットを示し、図９（ｂ）および図１０（ｂ）は第２のポート３４，１０８より送信するパケットを示す。なお、ＩＰ−Ｓｅｃには、データ部のみを暗号化するトランスポートモードと、パケット全てを暗号化して更に新しいヘッダを追加するトンネルモードとがある。送信パケットに関しては、これら２つのモードについてそれぞれ示している。
図９から明らかなように、本実施形態によれば、ＩＰアドレスだけでなく、ＭＡＣアドレスについても第１のポート３３と第２のポート３４とで異なることがなく、ＭＡＣアドレスの透過性を保つことができる。すなわち、本実施形態の暗号装置１は、ＩＰ−Ｓｅｃを有してデータの暗号／復号処理を行うことを除けば、一方のポートから入力されたデータを他方のポートにただ流すだけなので、データ通信時にはＭＡＣアドレスも不要とすることができる。
なお、上記実施形態ではＯＳＩ参照モデルの第３層に当たるネットワーク層の例としてＩＰ層を挙げたが、このＩＰ層は、ノベル社のネットワークＯＳが使用するプロトコルであるＩＰＸ（Ｉｎｔｅｒｎｅｔｗｏｒｋ Ｐａｃｋｅｔ ｅ Ｘｃｈａｎｇｅ）層であっても良い。また、ＩＰ−Ｓｅｃが利用可能なものであれば、他のプロトコルであっても良い。
その他、以上に説明した実施形態は、本発明を実施するにあたっての具体化の一例を示したものに過ぎず、これによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその精神、またはその主要な特徴から逸脱することなく、様々な形で実施することができる。
本発明は上述したように、暗号処理機能が導入された端末との間で暗号化によるセキュリティを終端するために暗号化処理および暗号の復号化処理を行う暗号／復号手段を備えて暗号装置を構成し、この暗号装置をネットワークを介して端末に接続するようにしたので、専用の暗号ソフトをインストールできない端末を有する企業内ＬＡＮの中でも暗号を利用することができるようになり、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性を低減することができる。
また、本発明では、暗号化処理または復号化処理が施されたデータを、ネットワーク間のルーティング制御を行うネットワーク層に渡すことなく出力するようにしたので、データ通信時に暗号装置のＩＰアドレスを不要とすることができる。また、暗号装置の入力ポートと出力ポートとでＩＰアドレスが変わることがなくなるので、暗号装置のネットワーク上における接続の有無に関わりなく、ＩＰアドレスの透過性を保つことができ、暗号装置に接続される端末のアドレス設定に関しても変更の必要をなくすことができる。これにより、アドレス設定などの煩雑な作業を行うことなく、企業内ＬＡＮで暗号を利用することができるようになる。
産業上の利用可能性
本発明は、専用の暗号ソフトをインストールできない端末を有する企業内ＬＡＮの中でも暗号を利用して、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性を低減できるようにするのに有用である。
また、本発明は、アドレス設定などの煩雑な作業を行うことなく、企業内ＬＡＮで暗号を利用できるようにするのに有用である。
【図面の簡単な説明】
図１は、従来のＶＰＮルータおよびこれに接続されるパソコンにおけるプロトコルの階層構造を示す図である。
図２は、従来システムにおいてネットワーク上を流れるパケットのＩＰアドレスについて説明するための図である。
図３は、本実施形態の暗号装置を適用した暗号システムの構成例を示す図である。
図４は、本実施形態の暗号装置を適用した暗号システムの他の構成例を示す図である。
図５は、本実施形態の暗号装置を適用した暗号システムの更に別の構成例を示す図である。
図６は、本実施形態の暗号装置を適用した暗号システムの更に別の構成例を示す図である。
図７は、本実施形態による暗号装置およびこれに接続されるＤＢサーバおよびパソコンにおけるプロトコルの階層構造を示す図である。
図８は、本実施形態においてネットワーク上を流れるパケットのＩＰアドレスについて説明するための図である。
図９は、本実施形態の暗号装置を流れるパケットのＭＡＣアドレスについて説明するための図である。
図１０は、従来のＶＰＮルータを流れるパケットのＭＡＣアドレスについて説明するための図である。
Claims (7)
- 複数のポートを有し、少なくとも１つのポートに暗号処理機能を有する端末が直接または間接的に接続される暗号装置であって、
上記暗号処理機能を有する端末との間で暗号化によるセキュリティを終端するためにデータの暗号化処理および復号化処理を行う暗号／復号手段と、
上記複数のポートのうち一のポートより入力され上記暗号／復号手段により暗号化処理または復号化処理が施されたデータを、ルーティング処理をすることなく他のポートにそのまま出力するブリッジ手段とを備えたことを特徴とする暗号装置。 - 上記暗号／復号手段は、上記暗号処理機能を有する端末との間では暗号化されたデータの通信を行うとともに、暗号処理機能を有しない端末との間では暗号化されていないデータの通信を行うために上記暗号化処理および上記復号化処理を行うことを特徴とする請求の範囲第１項に記載の暗号装置。
- 複数のポートを有し、少なくとも１つのポートに暗号処理機能を有する端末が直接または間接的に接続される暗号装置であって、
上記複数のポートのうち一のポートより入力され物理層およびデータリンク層を介して渡されたデータに対して暗号化処理または復号化処理を行う暗号／復号手段と、
上記暗号／復号手段により暗号化処理または復号化処理が施されたデータを、ネットワーク間のルーティング制御を行うネットワーク層に渡すことなくデータリンク層および物理層を介して他のポートより出力するようにするブリッジ手段とを備えたことを特徴とする暗号装置。 - 上記暗号化処理および上記復号化処理の制御に関する設定情報を記憶する設定情報記憶手段を備え、
上記暗号／復号手段は、上記設定情報記憶手段に記憶されている設定情報と、上記一のポートより入力されたパケットに付加されているヘッダ情報とを照合して上記暗号化処理および上記復号化処理の制御を行うことを特徴とする請求の範囲第３項に記載の暗号装置。 - 複数のポートを有し、少なくとも１つのポートに暗号処理機能を有する端末が直接または間接的に接続される暗号装置において暗号化処理または復号化処理を行う方法であって、
上記複数のポートのうち一のポートより入力され物理層およびデータリンク層を介して渡されたデータに対して暗号化処理または復号化処理を行い、これにより得られたデータを、ネットワーク間のルーティング制御を行うネットワーク層に渡すことなくデータリンク層および物理層を介して他のポートより出力するようにしたことを特徴とする暗号方法。 - 暗号処理機能を有する端末と、請求の範囲第１項に記載の暗号装置とが無線または有線のネットワークを介して接続されて成ることを特徴とする暗号システム。
- 暗号処理機能を有する端末と、暗号処理機能を有しない端末との間に、請求の範囲第２項に記載の暗号装置が無線または有線のネットワークを介して接続されて成ることを特徴とする暗号システム。
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002134680 | 2002-05-09 | ||
| JP2002134680 | 2002-05-09 | ||
| PCT/JP2003/005265 WO2003096612A1 (fr) | 2002-05-09 | 2003-04-24 | Dispositif, procede et systeme de cryptage |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPWO2003096612A1 true JPWO2003096612A1 (ja) | 2005-09-15 |
| JP4615308B2 JP4615308B2 (ja) | 2011-01-19 |
Family
ID=29416719
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2004504450A Expired - Fee Related JP4615308B2 (ja) | 2002-05-09 | 2003-04-24 | 暗号装置および方法、暗号システム |
Country Status (7)
| Country | Link |
|---|---|
| US (1) | US20050021949A1 (ja) |
| EP (1) | EP1503536A1 (ja) |
| JP (1) | JP4615308B2 (ja) |
| KR (1) | KR100976750B1 (ja) |
| CN (1) | CN100571131C (ja) |
| TW (1) | TWI274487B (ja) |
| WO (1) | WO2003096612A1 (ja) |
Families Citing this family (30)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2002084499A1 (en) * | 2001-04-11 | 2002-10-24 | Chelsio Communications, Inc. | Multi-purpose switching network interface controller |
| KR20060044049A (ko) * | 2004-11-11 | 2006-05-16 | 한국전자통신연구원 | 보안 라우터 시스템 및 그 시스템에 접속하는 사용자에대한 인증 방법 |
| US20060126520A1 (en) * | 2004-12-15 | 2006-06-15 | Cisco Technology, Inc. | Tape acceleration |
| US20060251255A1 (en) * | 2005-04-20 | 2006-11-09 | Puneet Batta | System and method for utilizing a wireless communication protocol in a communications network |
| US8190877B2 (en) * | 2005-07-05 | 2012-05-29 | Viasat, Inc. | Trusted cryptographic processor |
| US8527741B2 (en) * | 2005-07-05 | 2013-09-03 | Viasat, Inc. | System for selectively synchronizing high-assurance software tasks on multiple processors at a software routine level |
| US7715436B1 (en) | 2005-11-18 | 2010-05-11 | Chelsio Communications, Inc. | Method for UDP transmit protocol offload processing with traffic management |
| US8069270B1 (en) | 2005-09-06 | 2011-11-29 | Cisco Technology, Inc. | Accelerated tape backup restoration |
| US8250151B2 (en) * | 2005-10-12 | 2012-08-21 | Bloomberg Finance L.P. | System and method for providing secure data transmission |
| US8266431B2 (en) * | 2005-10-31 | 2012-09-11 | Cisco Technology, Inc. | Method and apparatus for performing encryption of data at rest at a port of a network device |
| US20100077203A1 (en) * | 2006-07-13 | 2010-03-25 | Keiko Ogawa | Relay device |
| US8312507B2 (en) | 2006-10-17 | 2012-11-13 | A10 Networks, Inc. | System and method to apply network traffic policy to an application session |
| US8584199B1 (en) | 2006-10-17 | 2013-11-12 | A10 Networks, Inc. | System and method to apply a packet routing policy to an application session |
| US8908700B2 (en) | 2007-09-07 | 2014-12-09 | Citrix Systems, Inc. | Systems and methods for bridging a WAN accelerator with a security gateway |
| JP5239502B2 (ja) * | 2007-11-07 | 2013-07-17 | 株式会社明電舎 | ブリッジングシステム、ブリッジおよびブリッジング方法 |
| US8464074B1 (en) | 2008-05-30 | 2013-06-11 | Cisco Technology, Inc. | Storage media encryption with write acceleration |
| US8726007B2 (en) * | 2009-03-31 | 2014-05-13 | Novell, Inc. | Techniques for packet processing with removal of IP layer routing dependencies |
| US20100278338A1 (en) * | 2009-05-04 | 2010-11-04 | Mediatek Singapore Pte. Ltd. | Coding device and method with reconfigurable and scalable encryption/decryption modules |
| CN101958791B (zh) * | 2009-07-16 | 2014-05-14 | 上海前沿计算机科技有限公司 | 模块加解密方法 |
| US8139277B2 (en) * | 2010-01-20 | 2012-03-20 | Palo Alto Research Center. Incorporated | Multiple-source multiple-beam polarized laser scanning system |
| JP5605197B2 (ja) * | 2010-12-09 | 2014-10-15 | ソニー株式会社 | 暗号処理装置、および暗号処理方法、並びにプログラム |
| US9118618B2 (en) | 2012-03-29 | 2015-08-25 | A10 Networks, Inc. | Hardware-based packet editor |
| US9338225B2 (en) | 2012-12-06 | 2016-05-10 | A10 Networks, Inc. | Forwarding policies on a virtual service network |
| US10038693B2 (en) | 2013-05-03 | 2018-07-31 | A10 Networks, Inc. | Facilitating secure network traffic by an application delivery controller |
| US9942152B2 (en) * | 2014-03-25 | 2018-04-10 | A10 Networks, Inc. | Forwarding data packets using a service-based forwarding policy |
| US10268467B2 (en) | 2014-11-11 | 2019-04-23 | A10 Networks, Inc. | Policy-driven management of application traffic for providing services to cloud-based applications |
| US10567347B2 (en) * | 2015-07-31 | 2020-02-18 | Nicira, Inc. | Distributed tunneling for VPN |
| US10044502B2 (en) | 2015-07-31 | 2018-08-07 | Nicira, Inc. | Distributed VPN service |
| KR102212859B1 (ko) * | 2020-01-28 | 2021-02-05 | (주)모니터랩 | 비동기 이중화 환경에서 프록시 기반 보안 시스템의 트래픽 처리 방법 |
| US11265296B1 (en) * | 2021-05-11 | 2022-03-01 | Roqos, Inc. | System and method to create and implement virtual private networks over internet for multiple internet access types |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH07107082A (ja) * | 1993-10-06 | 1995-04-21 | Nippon Telegr & Teleph Corp <Ntt> | 暗号ゲートウェイ装置 |
| JP2002134680A (ja) * | 2000-10-26 | 2002-05-10 | Sanyo Electric Co Ltd | 混成集積回路装置の製造方法 |
Family Cites Families (43)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4368357A (en) * | 1980-11-14 | 1983-01-11 | International Telephone And Telegraph Corporation | Bypass apparatus for use in secure communication systems |
| US5253293A (en) * | 1988-01-23 | 1993-10-12 | Secom Co., Ltd. | Adaptive data ciphering/deciphering apparatuses and data communication system using these apparatuses |
| DE3831215A1 (de) * | 1988-09-14 | 1990-03-22 | Standard Elektrik Lorenz Ag | Netzuebergangseinrichtung und fernmeldeendgeraet |
| JP3103850B2 (ja) * | 1989-03-07 | 2000-10-30 | アイシン精機株式会社 | 秘匿通信制御装置 |
| US5500860A (en) * | 1991-06-14 | 1996-03-19 | Digital Equipment Corporation | Router using multiple hop redirect messages to enable bridge like data forwarding |
| US5596718A (en) * | 1992-07-10 | 1997-01-21 | Secure Computing Corporation | Secure computer network using trusted path subsystem which encrypts/decrypts and communicates with user through local workstation user I/O devices without utilizing workstation processor |
| US5444782A (en) * | 1993-03-09 | 1995-08-22 | Uunet Technologies, Inc. | Computer network encryption/decryption device |
| US5442708A (en) * | 1993-03-09 | 1995-08-15 | Uunet Technologies, Inc. | Computer network encryption/decryption device |
| US5404394A (en) * | 1993-05-24 | 1995-04-04 | Comsat Corporation | Secure communication system |
| JPH07131450A (ja) * | 1993-10-28 | 1995-05-19 | Canon Inc | 通信コントローラ |
| US5386471A (en) * | 1994-01-25 | 1995-01-31 | Hughes Aircraft Company | Method and apparatus for securely conveying network control data across a cryptographic boundary |
| JPH07245606A (ja) * | 1994-03-02 | 1995-09-19 | Nec Corp | インタフェース変換装置 |
| US5548646A (en) * | 1994-09-15 | 1996-08-20 | Sun Microsystems, Inc. | System for signatureless transmission and reception of data packets between computer networks |
| US5548649A (en) * | 1995-03-28 | 1996-08-20 | Iowa State University Research Foundation | Network security bridge and associated method |
| US5684876A (en) * | 1995-11-15 | 1997-11-04 | Scientific-Atlanta, Inc. | Apparatus and method for cipher stealing when encrypting MPEG transport packets |
| JP3446482B2 (ja) * | 1996-06-28 | 2003-09-16 | 三菱電機株式会社 | 暗号化装置 |
| JP3595145B2 (ja) * | 1997-06-02 | 2004-12-02 | 三菱電機株式会社 | 暗号通信システム |
| FI108827B (fi) * | 1998-01-08 | 2002-03-28 | Nokia Corp | Menetelmä yhteyden suojauksen toteuttamiseksi langattomassa verkossa |
| JPH11239184A (ja) * | 1998-02-23 | 1999-08-31 | Matsushita Electric Works Ltd | スイッチングハブ |
| US6640248B1 (en) * | 1998-07-10 | 2003-10-28 | Malibu Networks, Inc. | Application-aware, quality of service (QoS) sensitive, media access control (MAC) layer |
| US6490273B1 (en) * | 1998-08-05 | 2002-12-03 | Sprint Communications Company L.P. | Asynchronous transfer mode architecture migration |
| KR100282403B1 (ko) * | 1998-08-20 | 2001-02-15 | 서평원 | 이동통신 시스템에서 전파 회선 프로토콜의 프레임 전송 방법 |
| WO2000049755A2 (en) * | 1999-02-19 | 2000-08-24 | Nokia Networks Oy | Network arrangement for communication |
| US6862583B1 (en) * | 1999-10-04 | 2005-03-01 | Canon Kabushiki Kaisha | Authenticated secure printing |
| US6963982B1 (en) * | 1999-10-28 | 2005-11-08 | Lucent Technologies Inc. | Method and apparatus for application-independent end-to-end security in shared-link access networks |
| JP3259724B2 (ja) * | 1999-11-26 | 2002-02-25 | 三菱電機株式会社 | 暗号装置、暗号化器および復号器 |
| US6952780B2 (en) * | 2000-01-28 | 2005-10-04 | Safecom A/S | System and method for ensuring secure transfer of a document from a client of a network to a printer |
| US6631417B1 (en) * | 2000-03-29 | 2003-10-07 | Iona Technologies Plc | Methods and apparatus for securing access to a computer |
| US7076651B2 (en) * | 2000-05-01 | 2006-07-11 | Safenet, Inc. | System and method for highly secure data communications |
| US6708218B1 (en) * | 2000-06-05 | 2004-03-16 | International Business Machines Corporation | IpSec performance enhancement using a hardware-based parallel process |
| US7111163B1 (en) * | 2000-07-10 | 2006-09-19 | Alterwan, Inc. | Wide area network using internet with quality of service |
| US20020073212A1 (en) * | 2000-11-13 | 2002-06-13 | Sokol Daniel D. | Wireless web browsing terminal and hub |
| US20030058274A1 (en) * | 2000-11-17 | 2003-03-27 | Jake Hill | Interface device |
| US7080248B1 (en) * | 2001-04-23 | 2006-07-18 | At&T Corp. | System providing dynamic quality of service signaling messages in a cable telephony network |
| US7017042B1 (en) * | 2001-06-14 | 2006-03-21 | Syrus Ziai | Method and circuit to accelerate IPSec processing |
| US7853781B2 (en) * | 2001-07-06 | 2010-12-14 | Juniper Networks, Inc. | Load balancing secure sockets layer accelerator |
| JP2003101523A (ja) * | 2001-09-21 | 2003-04-04 | Fujitsu Ltd | 秘匿機能を有する通信ネットワーク・システムおよび通信方法 |
| EP1304844B1 (en) * | 2001-10-19 | 2007-04-04 | Sony Deutschland GmbH | Content protection and copy management system for a network |
| US20030106067A1 (en) * | 2001-11-30 | 2003-06-05 | Hoskins Steve J. | Integrated internet protocol (IP) gateway services in an RF cable network |
| US7181616B2 (en) * | 2001-12-12 | 2007-02-20 | Nortel Networks Limited | Method of and apparatus for data transmission |
| JP4368637B2 (ja) * | 2003-08-05 | 2009-11-18 | 株式会社リコー | 多機能複合機、サーバ、環境負荷低減方法、および、プログラム |
| US7769994B2 (en) * | 2003-08-13 | 2010-08-03 | Radware Ltd. | Content inspection in secure networks |
| JP3944182B2 (ja) * | 2004-03-31 | 2007-07-11 | キヤノン株式会社 | セキュリティ通信方法 |
-
2003
- 2003-04-24 KR KR1020047013925A patent/KR100976750B1/ko not_active IP Right Cessation
- 2003-04-24 JP JP2004504450A patent/JP4615308B2/ja not_active Expired - Fee Related
- 2003-04-24 EP EP03723195A patent/EP1503536A1/en not_active Withdrawn
- 2003-04-24 CN CNB038105101A patent/CN100571131C/zh not_active Expired - Fee Related
- 2003-04-24 WO PCT/JP2003/005265 patent/WO2003096612A1/ja not_active Application Discontinuation
- 2003-05-08 TW TW092112602A patent/TWI274487B/zh not_active IP Right Cessation
-
2004
- 2004-08-16 US US10/710,982 patent/US20050021949A1/en not_active Abandoned
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH07107082A (ja) * | 1993-10-06 | 1995-04-21 | Nippon Telegr & Teleph Corp <Ntt> | 暗号ゲートウェイ装置 |
| JP2002134680A (ja) * | 2000-10-26 | 2002-05-10 | Sanyo Electric Co Ltd | 混成集積回路装置の製造方法 |
Non-Patent Citations (1)
| Title |
|---|
| CSNB199900255001, 池野信一，小山謙二, "現代暗号理論", 19971115, 初版第６刷, ｐ．２６３−２６４, JP, 社団法人電子情報通信学会 * |
Also Published As
| Publication number | Publication date |
|---|---|
| TW200307423A (en) | 2003-12-01 |
| CN100571131C (zh) | 2009-12-16 |
| CN1653744A (zh) | 2005-08-10 |
| KR20040104486A (ko) | 2004-12-10 |
| KR100976750B1 (ko) | 2010-08-18 |
| TWI274487B (en) | 2007-02-21 |
| JP4615308B2 (ja) | 2011-01-19 |
| WO2003096612A1 (fr) | 2003-11-20 |
| US20050021949A1 (en) | 2005-01-27 |
| EP1503536A1 (en) | 2005-02-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4615308B2 (ja) | 暗号装置および方法、暗号システム | |
| US7536715B2 (en) | Distributed firewall system and method | |
| JP3783142B2 (ja) | 通信システム、通信装置、通信方法、及びそれを実現するための通信プログラム | |
| JP5060081B2 (ja) | フレームを暗号化して中継する中継装置 | |
| US8041824B1 (en) | System, device, method and software for providing a visitor access to a public network | |
| JP4407452B2 (ja) | サーバ、ｖｐｎクライアント、ｖｐｎシステム、及びソフトウェア | |
| US5757924A (en) | Network security device which performs MAC address translation without affecting the IP address | |
| US20100077203A1 (en) | Relay device | |
| US20020083344A1 (en) | Integrated intelligent inter/intra networking device | |
| US20050220091A1 (en) | Secure remote mirroring | |
| JP4594081B2 (ja) | 暗号化の一元集中管理システム | |
| US20070058654A1 (en) | Arrangement and coupling device for securing data access | |
| EP1290852A2 (en) | Distributed firewall system and method | |
| JP4757088B2 (ja) | 中継装置 | |
| JP4783665B2 (ja) | メールサーバ装置 | |
| JP2006295401A (ja) | 中継装置 | |
| JP2007019633A (ja) | 中継コネクタ装置及び半導体回路装置 | |
| KR20090032072A (ko) | 중계장치 | |
| JP2007019632A (ja) | 通信ボード装置及び通信方法 | |
| WO2004012386A1 (ja) | 暗号システムおよび暗号装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060419 |
|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20080515 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20080515 |
|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20081021 |
|
| RD02 | Notification of acceptance of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7422 Effective date: 20081021 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090908 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20091201 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20100223 |
|
| RD02 | Notification of acceptance of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7422 Effective date: 20100628 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20100928 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20101020 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131029 Year of fee payment: 3 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |