TWI274487B - Password device and method, password system - Google Patents

Description

1274487 (1) 玖、發明說明 【發明所屬之技術領域】 本發明有關於密碼裝置及方法，以及密碼系統。特別 是使用於，爲了減低在於網路網路上之由外部所攻擊所致 之資訊之盜取或塗改等之情形而實施資訊之密碼化/解碼 之裝置及方法而很合宜者。 【先前技術】 如果在於獨立台單獨使用個人電腦時，個人電腦之內 部之資訊之被盜取，或被塗改，被破壞之危險性不多。惟 將個人電腦連接於網路等之網路時，即由於該交換（接· 送）之資訊係由於在於很多之網路中被發送，所以在其中 被盜取或塗改等之危險性即一下子增加。 爲了解決此問題之一措致，而有資訊之密碼化，詳述 之，在於送訊側之個人電腦將資訊密碼化之後送至對方， 而在於受訊（接受）側之個人電腦予以解碼利用，採用此 方式時，就在於網路之中途被盜聽之時，由於資訊被密碼 化，所以資訊之內容本身之被盜取之可能性變少，又被塗 改之缺點也會減低。 惟’爲了利用密碼，須要將該欲密碼通訊之終端機之 全部地安裝密碼軟體，並且須做種種設定。惟將被連接各 種終端機之網路係，除了網路之外也存在企業內之LAN ( Local Area Net Work)(區域網路）。在該LAN內即存在 有：印表機或傳真等等物理的不能安裝密碼軟體之終端機 -5- (2) 1274487 ，或印表機伺服器或資料庫伺服器等等爲了動作之安定上 等之問題，不適合安裝多餘之軟體之終端機，不具備0S (作業系統），而做爲單純之網路終端機之功能之終端機 。因此通常在於企業內區域網路（下面稱企業內LAN )中 欲利用密碼係有困難。 惟很多之LAN係連接於網路上，以資視其必要，從 LAN內之個人電腦對於網路存取，實施資訊之取得•送出 ，惟如此將LAN連接於網際網路（Inter Net)時，就會發 生由外部之不正當侵入或攻擊而被偷取LAN內部之機密資 訊或被塗改之危險性。 於是，爲了防止不具有存取權（進入權）之第三者之 不正當的侵入於LAN起見，可以利用防火牆（Fire wali) 。按防火牆係通常將一台之伺服器使用於L AN與網路之連 接部，而在該處使專用之軟體動作而可發揮其功用。惟雖 然設置有防火牆’如果攻擊存在於網路上之保全死點而被 不正當侵入之情形仍然不少，而如被不正當侵入，由於內 部之資訊係沒有密碼化，所以會發生很容易被盜取或被塗 改之問題。 再者，以往該實施發送通流於網路之資訊之中繼機之 路由器，有很多不具備有密碼功能者，例如VPN ( Virtual Private Network )路由器係其一例。使用此VPN路由器時 ，就在於終端機上不安裝專用之密碼軟體之情形下，仍然 在於各VPN路由器之間可以實施密碼通訊。 惟，此VPN路由器乃使用於，利用網路連接複數之 - 6 - (3) 1274487 LAN而設置之，使用假想專用線上之中繼機，因此在於中 途之網路上可以將各LAN互相接•送之資訊予以密碼化， 但是具有在於LAN內無法將資訊密碼化之問題。 再者，爲了在於VPN路由器上實施密碼化起見，路由 器須要具備通訊用之IP地址。 下面使用第1圖說明此情形。 第1圖係說明表示先前之VPN路由器，以及連接於它 之個人電腦之通訊規約之階層構造之圖。 如第1圖所示，欲通訊之二台個人電腦101，102係分 別備有一個璋105，106。而做爲其中繼機之VPN路由器 103，104係分別備有二個埠（107，108) ，（109，110) 。對於VPN路由器103之各埠107，108而個別的設置有OSI 參照模式之物理層，MAC層（資料鏈層），IP-Sec。做爲 對於各埠107，108共同物而設有IP層（網路層）， TCP/UDP層（傳遞層）。對於VPN路由器104之各埠109, 1 1 〇，也是同樣。 層之愈深離開使用者愈遠，相反的層愈淺愈靠近使用 者。在於各個人電腦101，102之比IP層之上位層有 TCP/UDP層及應用層（皆未圖示），以資橋接使用者所使 用之應用層與下層。 在於資料之送訊側係自上位層朝向下位層，每通過各 層地實施資料之變換，同時在於各層間附加可以使資料傳 送之用之標題。相反的在於資料之受訊側即對照對於各層 收訊地址之標題，而在於各層分別抽出必要之資料。並且 -7- (4) 1274487 被抽出之資料係交付於上位層，最後介著應用層送交至使 用者。 下面分別說明各層之功能。

TCP/UDP層乃實施規定或控制跨越複數之網路之終端 機間之資料之轉送或資料之中繼之層。對於做爲通訊對手 之送訊側與受訊側之個人電腦101，102分別分派不同之IP 地址①，⑤。使這些明確而可決定end to end之邏輯的通 訊路徑。具有二個埠（107，108) ，（109，110)之VPN 路由器103，104時之IP地址係每埠以個別的予以分派。 MAC (Media Access Control)層乃，用於保證在於 鄰接機器之結點間之可靠性高之資料傳送之層。在於製造 階段就具備分派於各機器之物理的MAC地址。在於資料送 訊側，即在於IP層而知道了（查明了）通訊對手之IP地址 時，即於據於該下位位置之MAC層而依照查明之對手之IP 地址決定將經由之下一機器（物理的連接之鄰接結果）之 收訊地址。 另一方面在於資料受訊側即，依照MAC地址認識（判 斷）爲係欲送到自己之訊息包之後，在該上位層之IP層解 析IP地址，判斷將該訊息包對於其他機器發送（轉送）， 或取入於自己。 物理層係，將從上位層所交付之資料變換爲電氣訊號 或光訊號，而介著同軸電纜或光纖電纜等之傳送媒體111 實施實際之資料傳送，或在於上位層而將該經傳送媒體 111所送來之電氣訊號或光訊號變換成爲可能認識之資料 -8 - (5) 1274487 ，而將它交付於上位層之層。屬於物理層之上位層之mac 層乃依照物理層之通訊接口之方法，實施上述之處理。 IP-Sec係實施資料之密碼化處理及解碼處理之功能部 ，即，自MAC層取得將交付於IP層之資料，實施該資料之 密碼化處理，及實施例密碼之解碼處理。 使用具有此種階層構造之VPN路由器103，104而在於 個人電腦101，102間實施密碼通訊時，在於VPN路由器 103上，β卩例如在於第1之埠107受訊（接受）自一方之個 人電腦1 0 1寄送到另一方個人電腦之IP訊息包依序轉交到 IP層而予以分解。此時從訊息包中所抽出之資料乃在於 IP-Sec使之密碼化，並且依據包含於訊息包標頭中之收訊 者IP地址，參照路由器本身所具備之選路表（routing table)來決定下一個轉送結點。自IP層到分理層地再度組 合訊息包，從第2之璋108送出。 從VPN路由器103之第2之埠108輸出之密碼化訊息包 乃，由VPN路由器104之第1埠109所接受（受訊）。VPN 路由器1 04乃將所受訊之密碼化訊息包依序轉交到IP層而 予以分解。而在於IP-Sec將從訊息包中抽出之資料予以解 碼，並且依據包含於訊息包標頭之收訊者IP地址，參照路 由器本身所具備之選路表，決定下一個轉送結點，從IP層 到物理層地再度組合訊息包，經第2之埠1 1 0送出。 從此第2之埠1 1 〇所輸出之IP訊息包係由個人電腦1 〇2 所接受（受訊）。該被受訊之IP訊息包係介著物理層， MAC層，IP層，而依序轉交至上位層後被分解，最後介著 1274487 (6) 不圖示之應用層用將資料交付於使用者。由上述之程序， 雖然個人電腦101，102不具備密碼軟體，仍然在於VPN路 由器103，104實施密碼通訊。 第1圖所示之系統之情形時，在於VPN路由器1 03， 104之兩側有不同之網路之存在（具有個人電腦101之網路 A，及具有個人電腦102之網路B )。而這些之聚合而構成 網路。因此對於各網路別地分別分派不同之網路地址。所 以在這些不同之網路間執行選路（路徑之選擇，有時做訊 息包之廢棄，訊息包之分割成統合等等）之VPN路由器 103，104也必須具備不同之IP地址。因此具有須要實施煩 雜之地址設定作業之問題存在。 再者，在於VPN路由器103，104中，通常連接於第1 之埠107，109之網路與連接於第2之埠108，110之網路係 不同者。因而須要各埠別地設定IP地址。所以於VPN路由 器103，104上，輸出及輸入而IP地址將有所不同，所以欲 在於網路上之終端機間插入VPN發送器，或從終端機間卸 下VPN路由器時，不但需要設定VPN路由器之地址，連接 於該VPN路由器之終端機之地址之設定也須要變更，於具 有須要實施各種煩雜之作業之問題。 例如在於第1圖之例中，不連接VPN路由器103，104 之狀態地實施通訊時，由於個人電腦1 〇 1，1 〇2乃成爲存在 於同一網路內，所以網路地址都是同一地址’由而在於個 人電腦1 〇 1，1 02間可能直接通訊。此時從個人電腦1 01送 訊至個人電腦1 02之訊息包之IP地址即成爲如第2圖（a ) -10- (7) 1274487 所示者。換言之，對於送訊側之個人電腦1 Ο 1之送訊者IP 地址①，與受訊側之個人電腦1 02之收訊者IP地址⑥之網 路地址即設定同樣之網路地址A就可以。 相對的，在於個人電腦1 0 1與個人電腦1 02之間插入 VPN路由器103，104時，被送訊之訊息包之IP地址將爲如 第2圖（b )所示。換言之，個人電腦101，102係存在於不 同之網路，所以對於送訊者IP地址①及收訊者IP地址分別 設定不同之網路地址A，B才行。 如上所述，在於個人電腦101與個人電腦102之間插入 VPN路由器103，104或相反的拆下VPN路由器103，104時 ，個人電腦1 〇 1，1 02所屬之網路會改變。而配合於它的須 要變更個人電腦101，102之預設閘道（default gate way ) 地址（對於與自己不同之網路實施通訊時之收訊者IP地址 (VPN路由器103，104之璋107，110)或個人電腦101， 102之任何之一之IP地址之設定。 如上所述，在於先前之VPN路由器係，由其有無連接 而保持其透過性很困難，所以具有在於導入系統或維修時 ，需要實施很多之作業之問題。 本發明係爲了解決此問題所創作，提供一種，在於具 有不能安裝專用之密碼軟體之終端機之企業內LAN之中也 可以利用密碼，以資減少由來自外部之不正當之侵入或攻 擊而機密資訊之被盜取或塗改之危險性爲目的。 又，本發明係提供一種不需要地址設定之煩雜之作業 之下，得在於企業內LAN而可以利用密碼爲目的。 -11 - (8) 1274487 【發明內容】 本發明之密碼裝置乃，在於備有複數之埠，對於至少 一個埠，直接或間接的連接具有密碼處理功能之終端機而 構成之密碼裝置中，具有： 在於與上述具有密碼處理功能之終端機之間，終端機 藉密碼機之保全而實施資料之密碼化處理及解碼處理之密 碼化/解碼手段，及 將由上述複數之埠中之一個埠所輸入而經上述密碼化 /解碼手段而被施行密碼化處理解碼或處理之資料，不施 予選路處理後，原狀輸出於其他埠之橋接手段爲其特徵。 本發明之其他態樣乃：上述密碼化/解碼手段係，在具 有上述密碼處理功能之終端機之間，實施被密碼化之資料 之通訊，同時對於與不具有密碼處理功能之終端機之間， 爲了實施未密碼化之資料之通訊起見，實施上述密碼化處 理及上述解碼處理爲其特徵。 本發明之其他態樣乃：在於備有複數之埠，對於至少 一個埠，直接或間接的連接具有密碼處理功能之終端機而 構成之密碼裝置中，具有：對於由上述複數之埠之中之一 個璋所輸入，介著物理層及資料鍵層（data link layer) 所交付之資料施予密碼化處理或解碼處理之密碼化/解碼 手段’及將由上述密碼化/解碼手段而被密碼化處理或解 碼處理之資料，不交付於實施網路間之選路控制之網路層 (network layer)地，介著資料鏈層及物理層地由其他之 (9) 1274487 ί阜輸出地構成之橋接手段，爲其特徵者。 本發明之又一別的態樣乃：具備用於記憶關於控制上 述密碼化處理及上述解碼處理之設定資訊之設定資訊記憶 手段， 上述密碼化/解碼手段，係對照記憶於上述設定資訊 記憶手段之設定資訊，及附加於由上述一個埠所輸入之訊 息包（packet)之標題（header)資訊，而實施上述密碼 化處理及解碼處理之控制爲其特徵。 又，本發明之密碼方法乃在於具有複數之埠，對於至 少一個璋，直接或間接的連接具有密碼處理功能之終端機 而構成之密碼裝置中實施密碼化處理或解碼處理之方法中 對於由上述複數之埠中之一個埠所輸入，介著物理層 及資料鏈層所交付之資料施予密碼化處理或解碼處理，而 將該由而獲得之資料不交付於實施網路間之選路控制之網 路層地’介著資料鏈層及物理層而使之由其他之埠而輸出 爲其特徵。 又’本發明之密碼系統，其特徵爲構成：具有密碼處 理功能之終端機與申請專利範圍第1項所述密碼裝置爲介 著無線或有線之網路連接。 在本發明之其他態樣中，其特徵爲構成：在於有密碼 處理功能之終端機與不具有密碼處理功能之終端機之間， 介著無線或有線之網路而連接申請專利範圍第2項所述之 您碼裝置。 1274487 (ίο) 【實施方式】 下面依據附圖說明本發明之一實施形態。 第3圖表示適用了本實施形態之密碼裝置之密碼系統 之全體構成之圖。 第3圖中，符號1係本實施形態之密碼裝置，備有二個 埠，在於一方之埠連接有：網路印表機2，DB伺服器3， 網路終端機4等等裝置。在另一方之埠連接有集線器5。本 密碼裝置1係在於網路印表機2，DB伺服器3，網路終端機 4等之裝置與集線器5之間實施資料之中繼。 網.路印表機2係，物理的未能安裝密碼軟體之終端機 。D B伺服器3係由動作安定性等之問題而不合宜於安裝多 餘之密碼軟體之終端機。網路終端機4係不具備〇s無法使 密碼軟體動作之終端機。所以在這些終端機2〜4設爲沒有 安裝密碼軟體。 又，集線器5係於物理層中繼資料之機器。除了上述 之密碼裝置1之外，也連接無線通訊用之存取點（站）6及 桌上型個人電腦7。換言之，此時之集線器5係實施密碼裝 置1，與存取點6及桌上型個人電腦7之間之資料之中繼。 再者，在於上述存取點（存取站）6上，以無線而連 接有桌上型個人電腦8及膝上型個人電腦9。在於桌上型個 人電腦7，8及膝上型電腦9上可以安裝爲了實施資料之密 碼化及解碼化之密碼軟體，實際上以安裝有密碼軟體爲準 -14- (11) 1274487 如上所述，本實施形態之密碼裝置1係具有二個埠， 對於一方之埠而介著集線器5或存取點6而間接地連接有具 有密碼處理機能之終端機之個人電腦7〜9。又在於另一方 之埠直接連接有，網路印表機2，DB伺服器3，網路終端 機4，並且由這些密碼裝置1，網路印表機2，DB伺服器3 ，網路終端機4，集線器5，存取點6，個人電腦7〜9而構成 一個據點網路。 依上述之構成，在於沒有安裝密碼軟體之網路印表機 2，DB伺服器3及網路終端機4，及安裝有密碼軟體之個人 電腦7〜9 (這些裝置2〜4，7〜9均相當於本發明之終端機） 之間，介著密碼裝置1，集線器5及存取點6而實施資料通 訊。 此時密碼裝置1乃，在於無安裝密碼軟體之個人電腦 7〜9之間，實施被密碼化之資料之通訊，同時在於未安裝 密碼軟體之終端機2〜4之間即爲了實施沒有密碼化之資料 之通訊之用之密碼化處理及密碼之解碼處理。 例如，從桌上型電腦7對於網路印表機2送出資料而印 出時，首先使用安裝於桌上型電腦7之密碼軟體，將資料 密碼化，介著集線器5供給於密碼裝置1。接著密碼裝置j 係將接受之資料解碼之後送出網路印表機2。 又，例如，欲欲DB伺服器3所管理之資料取入於膝上 型電腦9時，DB伺服器3乃隨應於所給之要求，將該相當 之資料供給於密碼裝置1，接受此未密碼化之資料之密石馬 裝置1，乃’將該資料密碼化之後，介著集線器5及存取點 -15- (12) 1274487 6送訊至膝上型個人電腦9。膝上型個人電腦9即將所接受 之資料予以解碼，利用於所欲之處理上。 由上面之說明可以明瞭，由使用本實施形態之密碼裝 置1 ’而在於具備不能安裝專用之密碼軟體之終端機2〜4之 企業內LAN之中也可能利用密碼。 由而可以構築成爲，由來自外部之不正當侵入或攻擊 而LAN內部之機密資訊之被盜取或被塗改之危險性少之具 有安全性（保密性）之網路1 0。 再者，密碼裝置與各終端機2〜4之間雖然不能利用密 碼，惟連接這些之電纜1 1係物理的短的配線，而此部份之 由外部攻擊而實施盜取或塗改之可能性非常低，因此安全 上不會成爲問題。 第4圖表示適用了本實施形態之密碼裝置之密碼系統 之其他構成例之圖。又在此第4圖上，具有與第3圖所示之 構成要件同一之機能之構成要素係標上同一符號。 如第4圖所示，本實施形態之密碼裝置1乃，在於一方 之；t阜連接有網路（Inter Net) 20，另一'璋連接有集線益5 〇 第4圖之情形時，由密碼裝置1，集線器5，存取點6 ’ 個人電腦7〜9而構成一個據點網路。又在於網路2 0之前方 複數台連接有：第3圖所示之網路印表機2，DB伺服器3 ’ 網路終端機4等等不能安裝密碼軟體之終端機’或如個人 電腦7〜9一般之安裝有密碼軟體之個人電腦’由這些而構 成別的據點網路。 -16- (13) 1274487 第3圖所示之例乃，對於一台之密碼裝置丨連接一台裝 置，以一台之密碼裝置1專用的實施一台裝置之密碼化/解 碼處理。換言之第3圖所示之密碼裝置1係連接於安裝有密 碼軟體之個人電腦7〜9與沒有安裝密碼軟體之一台裝置之 間，對於該一台之處理終端了藉密碼化之保全（保密）。 相對的，第4圖所示之例乃，密碼裝置1係連接於安裝 有密碼軟體之個人電腦7〜9，與連接於網路20之複數台之 裝置之間。上述複數台之裝置係，如第3圖所示網路印表 機2，DB伺服器3，網路終端機等沒有安裝（載置）密碼 軟體亦可以’或如個人電腦7〜9安裝（載置）有密碼軟體 也可以，而如上述，本實施形態之密碼裝置1乃可能對於 複數台之裝置而終端該藉密碼化之保全（保密）。此時密 碼裝置1係具備有連接之裝置之數量之資料通路，對於每 一裝置分別以不同之密碼鍵來實施密碼化/解碼處理。 例如，從保全網路10內之桌上型個人電腦7而介著網 路20，對於不具備密碼軟體之外部裝置送出資料時，首先 使用載置於桌上型個人電腦7之密碼軟體將資料予以密碼 化，介著集線器5供給於密碼裝置1，接著密碼裝置1係將 接受之資料予以解碼，介著網路20送出於外部裝置。 再者，例如欲從由，於網路20之前端之不具備密碼軟 體之外部裝置所管理之資料，取入於保全網路1 〇內之膝上 型個人電腦9時，該外部裝置係將相當於隨應於要求之資 料送出於網路20。接受了此無密碼化之資料之密碼裝置1 係將該資料密碼化，介著集線器5及存取點6送訊至膝上型 -17- (14) 1274487 個人電腦9，膝上型個人電腦9係將所接受之資料予以解碼 ’利用於所欲之處理上。 另一方面，欲從保全網路1 〇內之桌上型個人電腦7而 介著網路20對於具有密碼軟體之外部裝置送出資料時，首 先使用載置於桌上型個人電腦將資料予以密碼化，介著集 線器5係給於密碼裝置丨。接著，密碼裝置丨乃，將所接受 之資料不解碼，介著網路20送出於外部裝置。外部裝置係 將接受（受訊）之資料解碼後，利用於所欲之處理。 相反的，將由網路20前方之外部裝置所密碼化之資料 ，送出於保全網路1 0內之桌上型個人電腦7時，密碼裝置1 也是將介著網路20從外部裝置所接受之資料，不解碼維持 密碼化之狀態介著集線器5供給於桌上型個人電腦7。 如上所述，在於，保全網路1 〇內之終端機7〜9，與連 接於網路20之，不具有密碼軟體之外部裝置之間，實施資 料通訊時，也至少在於保全網路1 〇之內部可以利用藉密碼 之保護。 又連接於網路20之外部裝置係載置有密碼軟體時，即 在於保全網路10之外部之網路20上也可以利用密碼。 再者，上述複數台之裝置係不一定必須介著網路2 0所 連接。直接或介著集線器連接於密碼裝置1亦可行。實施 直接連接時，該密碼裝置1即須具有二個以上之埠。 第5圖表示，適用本實施形態之密碼裝置之密碼系統 之別的構成例之圖。又在此第5圖中，具有與第3圖所示之 構成要件之同一功能之構成要件即標上了同一符號。 -18- (15) 1274487 第5圖所示之例也與第4圖之例同樣，以一台之密碼裝 置來對於複數台之裝置終端該藉密碼化之保全之例。 第5圖所示之例係，保全網路1 〇之內部之三台個人電 腦7〜9均以無線LAN連接於存取點6。存取點6係介著密碼 裝置1連接於網路20。 第6圖表示適用本實施形態之密碼裝置之密碼系統之 又一別的構成例之圖。在於上述第3圖〜第5圖乃說明，做 爲本發明之具有密碼處理功能之終端機之例子，舉出載置 有密碼軟體之個人電腦7〜9，而在於密碼裝置1與個人電腦 7〜9之間終端藉密碼化之保全之例。具有處理密碼功能之 終端機不限於此例，包含具有與密碼裝置1同樣之功能之 其他密碼裝置，表示此種情形之構成例者爲第6圖。 第6圖所示之例乃，介著路由器40A，40B及網路20連 接擬點A，B之二個擬點網路30A，30B。擬點A網路30A之 內係，由個人電腦31 A〜3 3 A及密碼裝置lA^-lAd而構成企 業內LAN。個人電腦3 1 A〜3 3 A均未安裝（載置）密碼軟體 之終端機。又密碼裝置均具有與第3圖之密碼裝 置1同樣之功能。一方之埠連接個人電腦3 1 A〜3 3 A，另一 方之埠連接路由器40A。 擬點B網路3 0B之中也同樣由個人電腦3 1B〜3 3B及密碼 裝置ΙΒ-πΙΒ^而構成企業內LAN。個人電腦31B〜33B係均 未載置密碼軟體之終端機。密碼裝置18^〜18_3均具有與 第3圖之密碼裝置1同樣之功能，一方之埠連接有個人電腦 31B〜33B。另一方之埠連接路由器40B。 -19- (16) 1274487 依上述之構成，屬於不同之擬點網路30A，30B之個 人電腦之間係介著密碼裝置1 A」，lB-rlBj實施資 料通訊。例如從在於擬點A網路3 Ο A內之個人電腦3 1 A而對 於擬點B網路3 0B內之個人電腦33 B卻送訊資料時，密碼裝 置丨人^係將由個人電腦31 A所提供之資料密碼化，而介著 路由器40A，網路20及路由器40B送訊到密碼裝置1B.3。密 碼裝置1B」係將接受之資料解碼後供給至個人電腦33B。 由而在於不同之擬點網路3 0 A，3 0B間可以利用密碼。 又，例如在於擬點網路3 0 A之內部之未載置密碼軟體 之各個人電腦31八〜33八之間係介著密碼裝置1八_1〜1八-3實施 資料通訊。例如從某一個人電腦3 1 A送資料至某一個人電 腦33A時，密碼裝置“^係將由個人電腦31A所供給之資 料密碼化，送訊至密碼裝置1 A_3，密碼裝置1八_3即將接受 之資料予以解碼供給於個人電腦3 3 A。 於據點B網路3 0B之內部也同樣，在於未載置密碼軟 體之各個人電腦31B〜33B間，係介著密碼裝置IB-^IBj實 施資料通訊。例如從某一個人電腦3 1 B對於某一個人電腦 3 3 B达貨料日寸’拾碼裝置1 B · 1係將從個人電腦3 1 B所提供之 資料密碼化，送至密碼裝置1B.3。密碼裝置IB」係將接受 之資料解碼後供給於個人電腦3 3 B。 如上所述，密碼裝置1 A-^l A_3，ΙΒ-^ΙΒο均乃，在 於未載置密碼軟體之個人電腦3 1 A〜33 A，3 1B〜3 3B之間係 實施未經密碼化之資料之通訊，同時在於具有密碼處理功 能之終端機之密碼裝置1 ，IB.^IB.3之間係爲了 -20- (17) 1274487 實施被密碼化之資料之通訊起見實施密碼化處理以及密碼 之解碼處理。 將上述之密碼裝置1 A·】〜1 A·3 ’ i38·1〜1Β·3分別連接於 個人電腦31Α〜33Α，31Β〜33Β之近傍’由而當然不同之擬 點網路30A，30Β之間，在於具有不具備密碼軟體之個人 電腦之企業內L AN之中也可能密碼。由而可以使各擬點網 路3 0A，30B成爲由外部之不正當侵入或攻擊而被盜取或 被塗改LAN內部之機密資訊之危險性少之安全之網路也。 又，上述第6圖之例係，各擬點網路3 0 A，3 0B均分別 複數的具備具有密碼處理功能之終端機（密碼裝置 lA〇〜lA_3，ΙΒ-^ΙΒο)而構成，惟構成爲，至少一方之 擬點網路係只備有一個密碼處理功能之終端機亦可以。例 如擬點網路3 0 A之內，連接一個個人電腦3 1 A及一個密碼 裝置1八_1來構成亦可行。 此時乃與第6圖所示之構成同樣的，在於不同之擬點 網路30A，30B間可以利用密碼。再者，關於擬點網路30A 之內乃藉將密碼裝置1 A_ i連接於個人電腦3 1 A之直近傍， 由而在於該擬點網路30 A之出入口與密碼裝置ΙΑ」之間， 可以利用密碼也。 再者，上述第6圖係舉：以網路2 0連接二個擬點網路 30A ’ 30B而在於各擬點網路3〇a，30B內分別具備了密碼 裝置 ΙΑ.^ΙΑ.3，ΙΒ.γΙΒ.3 及個人電腦 31A 〜33A，31B 〜33B 之例，惟本案並不侷限於此例。 例如在於一個擬點網路內具備··密碼裝置1 A - i〜1 A _3 -21 - (18) 1274487 ，lB-i〜1Β·3及個人電腦31A〜33A，31B〜33B。介者密碼裝 置1 A_3，IB.^IB.3實施未載置密碼軟體之個人電腦 3 1八〜33八，3 18〜338之間之資料之互相發，接也可以。此 時在於一個擬點網路內。至少在於密碼裝置， lBq〜1B_3之間可以利用密碼。 再者，除了上述以外，採取例如第3圖之構成中，替 代於載置有密碼軟體之個人電腦7，而使用未載置密碼軟 體及密碼裝置1，又將密碼裝置1連接於集線器5之構成亦 可以。此時，在於不能載置密碼軟體之網路印表機2，DB 伺服器3，網路終端機4等之裝置與未安裝密碼軟體之個人 電腦之間，乃可以介著連接於兩者之直近傍之密碼裝置1 而可以實施密碼通訊也。 第7圖表示在於第3圖所示之密碼系統中，在於密碼裝 置1及直接或間接地連接於密碼裝置1之DB伺服器3以及膝 上型個人電腦9之通訊規約之階層構造之圖。 第7圖所示之例乃，在於DB伺服器3未載置密碼軟體 (沒有IP-Sec )，而在於膝上型個人電腦9即載置有密碼 軟體（有IP-Sec )。在此DB伺服器3與膝上型個人電腦9之 間，連接有本實施形態之密碼裝置1。本例中假定，將由 DB伺服器3所保存之資料送至密碼裝置1，在此將資料密 碼化送至個人電腦9之利用形態者。 如第7圖所示，DB伺服器3及個人電腦9乃分別備有一 個璋31，32，而擔任中繼機之密碼裝置1係備有二個埠33 ，3 4。對於密碼裝置1之各埠3 3，3 4，個別的設有物理層 -22- (19) 1274487 及MAC層（資料鏈層），對於各埠33，34之共同之物件而 設有][P-Sec (密碼化/解碼處理功能）’ IP層（網路層）以 及TCP/UDP層（傳遞層）。如上所述地本實施形態之密碼 裝置1乃藉由IP-Sec而橋接二個埠之處具有特徵。 本案中所謂「橋接」係指該由一個埠所輸入被施行密 碼化處理或密碼處理之資料之不經過選路處理之狀況直接 原狀輸出於另一埠而言。第7圖之例係，對於從第1之埠輸 入之資料在於IP-Sec實施密碼化，而所獲得之資料在於 IP層不做選路處理（不交付於IP層）直接交付於其他埠直 接輸入乃相當於「橋接」。 如上所述，在本實施形態之密碼裝置1中，關於DB伺 服器3與個人電腦9之間之資料傳送係通過該DB伺服器3之 MAC層，物理層所送訊，由密碼裝置1之第1埠33所受訊。 被受訊之訊息包資料乃通過物理層MAC層交付於IP-Sec。 在此處施予密碼化處理。此被密碼化之訊息包資料係 通過MAC層及物理層而由第2之埠送訊而出。 由第2之璋3 4所送訊之訊息包資料係由個人電腦9所受 訊，通過物理層，MAC層而交付於IP-Sec，密碼即被解碼 ’於是被解碼之資料係通經IP層交付於不圖示之應用層。 由而雖然DB伺服器3不具備密碼軟體，仍然對於個人 電腦9可能發送（送訊）被密碼化之資料。 又，本實施形態中，IP層及TCP/UDP層乃利用於對於 密碼裝置1本身設定關於密碼化/解碼之各種資訊。例如對 於密碼裝置1設定：雖然在某終端機與某終端機之間實施 -23- (20) 1274487 密碼通訊，惟其他之終端機之間即不實施密碼通訊等之有 無密碼化/解碼處理。在於某終端機與某終端機之間廢棄 訊息包等通訊之可否。實施密碼通訊時之密碼化之水平’ 實施密碼化之時間帶，關於密碼鍵等等資訊等等時使用IP 層及TCP/CDP層。 此種設定資訊係藉IP-Sec橋接之功能而保持於記憶體 上。IP-Sec係對照保持於該記憶體之設定資訊及從埠33， 3 4所輸入之附加於訊息包之標題資訊（例如送訊者IP地址 ，收訊者IP地址）而實施密碼化/解碼處理之控制。 如上所述，在於本實施形態之密碼裝置1乃，採取之 將由一個埠輸入之資料於IP-Sec施予密碼化/解碼，而所得 之資料係不交付於IP層不施予選路處理直接轉送於其他埠 ，所以在於資料通訊時可以使之不需要密碼裝置1之IP地 址。換言之不具備IP地址而可能實施IP層之密碼化/解碼 處理。因此可以不必要對於密碼裝置1本身之煩雜之IP地 址之設定也。 又，連接於密碼裝置1之兩側之終端機係成爲屬於同 一網路內，所以密碼裝置1之輸入埠及輸入埠而不會有ϊρ 地址之變更，由而密碼裝置1之有無連接網路上無關地可 以保持ip地址之透過性。換言之’當在於網路上連接密碼 裝置1，或從網路上卸下密碼裝置1時均不必要變更連接於 該密碼裝置1之終端機之地址之設定。例如如第7圖所示， 在於D B伺服器3與個人電腦9之間插入3密碼裝置之情形， 或不插入密碼裝置1而在於DB伺服器3與個人電腦9之間， -24- (21) 1274487 直接受訊之情形，該通流於DB伺服器3與個人電腦9之間 之訊息包之IP地址乃，如第8圖所示之原狀而不變也。所 以由連接密碼裝置之有無而有變更地址設定之必要。 由而當欲導入網路系統時，或實施維修時，只將本實 施形態之密碼裝置1插入於適當之處所或只拆下就可以， 不必要實施煩雜之地址設定，由而大幅度地可以削減作業 負荷。 再者，本實施形態時，關於MAC地址也可以保持透過 性。 第9圖表示，從DB伺服器3對於個人電腦9送資料，而 在其間之密碼裝置1對於資料密碼化時之訊息包之圖。 又，第1 〇圖係表示爲了與本實施形態比較起見，在於 第1圖所示之先前技術之系統中，從一方之個人電腦1 0 1對 於另一方之個人電腦102送資料，而以其間之VPN路由器 1 03將資料密碼化時之訊息包。 第9圖（a)及第10圖（a)表示於第1之埠33，107受 訊之訊息包。第9圖（b )及第1 0圖（b )係表示由第2之埠 送訊之訊息包。 又，在於IP-Sec乃具有··只將資料部密碼化之、傳遞 模式〃，以及將訊息包全部予以密碼化，再追加新標題、、 隧道模式〃。關於送訊訊息包即分別對於該二個模式表示 之。 由第9圖可以明瞭，依本實施形態時，不只是IP地址 ，關於MAC地址亦是，第1之埠33與第2之埠34而不會有所 -25- (22) 1274487 不同。可以保持MAC地址之透過性。換言之，本實施形態 之密碼裝置1乃除了具有IP-Sec而實施資料之密碼化/解碼 處理之外，只是將從一方之埠所輸入之資料轉至另一方之 璋而已，所以在實施資料通訊時可以做到M A C地址也不要 之情形。 再者，在於上述實施形態乃，相當於0 S I參照模式之 第3層之網路層之例而舉出IP層爲例，惟此IP層乃諾貝爾 公司之網路0S所使用之通訊規約之IPX ( Inter Network Packet exchange)層也可以。又如果能使用IPSec者即其 他之通訊規約也可以。 其他，如上所述之實施形態乃顯示爲實施本發明之具 體化之一例而已，本發明並不侷限於該實施形態，並非由 而限定本發明之技術範圍。本發明乃在不逸脫其技術精神 ，或其主要特徵之下仍然可以以種種之形態地實施者。 本發明乃如上所述，在於與被導入密碼處理功能之終 端機之間終端藉密碼化之保全（保密）起見，具備實施密 碼化處理及密碼之解碼之密碼化/解碼處理手段而構成密 碼裝置，介著網路將此密碼裝置連接於終端機，所以在於 備有不能安裝專用之密碼軟體之終端機之企業內L AN之中 ，也成爲可以利用密碼，可以減低由外部來之不正當侵入 或攻擊而LAN內部之機密資訊之被盜取或塗改之危險性。 再者，本發明乃，將該被施予密碼化處理或被解碼處 理之資料不交付於網路間之選路控制之網路層地可以輸出 。所以在於資料通訊時可以使之不要密碼裝置之IP地址。 -26- (23) 1274487 又在於密碼裝置之輸入埠與輸出端口而IP地址不會有 變更，於是密碼裝置之有無連接於網路上無關地可以保持 IP地址之透過性。所以關於連接於密碼裝置之終端機之地 址設定也可以使之不必要變更。由而不需要實施地址設定 等之煩雜的作業地，在於企業內LAN而可以利用密碼也。 (產業上之利用可能性） 本發明乃，在於具備無法安裝專用之密碼軟體之終端 機之企業內LAN之中也可以利用密碼，由而可以減低來自 外部之不正當侵入或攻擊而被盜取或塗改之LAN內部之機 密資訊之危險性，而很有用者。 又，本發明係不需要實施地址設定之煩雜之作業地， 使之在企業內LAN地利用密碼而有用。 【圖式簡單說明】 第1圖表示先前之VPN路由器及連接於它之個人電腦 之通訊規約之階層構造之圖。 第2圖表示說明在於先前系統之通流於網路上之訊息 包之IP地址之圖。 第3圖表示適用了本實施形態之密碼裝置之密碼系統 之構成例之圖。 第4圖表示適用了本實施形態之密碼裝置之密碼系統 之其他構成例之圖。 第5圖表示適用了本實施形態之密碼裝置之密碼系統 -27- (24) 1274487 之又一其他構成例之圖。 第6圖表示適用了本實施形態之密碼裝置之密碼系統 之另一構成例之圖。 第7表示依本實施形態之密碼裝置，及連接於該裝置 之DB伺服器及個人電腦之通訊規約之階層構造之圖。 第8圖係說明，在於本實施形態之通流於網路上之訊 息包之IP地址之圖。 第9圖係說明在於本實施形態之通流於密碼裝置之訊 息包之MAC地址之圖。 第1 0圖係說明通流於先前之VPN路由器之訊息包之 MAC地址之圖。 [主要元件對照表] 1 密碼裝置 2 網路印表機 3 DB伺服器 4 網路終端機 5 集線器 6 存取點 7 桌上型電腦 8 桌上型電腦 9 膝上型電腦 10 安全網路 11 電纜 -28- 1274487 (25) 20 3 1 32 η勹

J J 34 1 A.i 1 Α·2 1 A_3

lB.i 1B_2 1B_3 3 1 A 3 1 B

32 A 32B 33 A 33B 30A 30B 40A 40B 101 102 103 網路 埠 埠 埠 埠 密碼裝置 密碼裝置 密碼裝置 密碼裝置 密碼裝置 密碼裝置 個人電腦 個人電腦 個人電腦 個人電腦 個人電腦 個人電腦 網路 網路 路由器 路由器 個人電腦 個人電腦 VPN路由器 (26) 1274487 (26)

104 VPN路由器 105 璋 106 埠 107 璋 108 埠 109 埠 110 璋 111 傳送媒體（電纜）

-30-

Claims (1)

1274487 拾、申請專利範圍 1. 一種密碼裝置，在於備有複數之埠，對於至少一 個埠，直接或間接的連接具有密碼處理功能之終端機而構 成之密碼裝置中，其特徵爲具有： 在於與上述具有密碼處理功能之終端機之間，終端該 藉密碼化之保全而實施資料之密碼化處理及解碼處理之密碼 化/解碼手段，及 將由上述複數之埠中之一個埠所輸入而經上述密碼化/ 解碼手段而被施予密碼化處理或解碼處理之資料，不施予選 路（routing )處理後，原狀輸出於其他埠之橋接手段。 2. 如申請專利範圍第1項所述之密碼裝置，其中·· 上述密碼化/解碼手段係，在具有上述密碼處理功能之 終端機之間，實施被密碼化之資料之通訊，同時對於與不具 有密碼處理功能之終端機之間，爲了實施未密碼化之資料之 通訊起見，實施上述密碼化處理及上述解碼處理者。 3. —種密碼裝置，在於備有複數之埠，對於至少一個 埠’直接或間接的連接具有密碼處理功能之終端機而構成之 密碼裝置中，其特徵爲，具有： ’ 對於由上述複數之埠之中之一個璋所輸入，介著物理 層及資料鏈層（data link layer)所交付之資料施予密碼化 處理或解碼處理之密碼化/解碼手段，及 將由上述密碼化/解碼手段而被密碼化處理或解碼處理 之資料，不交付於實施網路間選路控制之網路層（network layer )地，介著資料鏈層及物理層地由其他之埠輸出地構 -31 - 1274487 成之橋接手段。 4.如申請專利範圍第3項所述之密碼裝置，其中： 具備用於記憶關於控制上述密碼化處理及上述解碼處 理之設定資訊之設定資訊記憶手段， 上述密碼化/解碼手段，係對照記憶於上述設定資訊記 億手段之設定資訊，及附加於由上述一個埠所輸入之訊息包 (packet)之標題（header)資訊，而實施上述密碼化處理 及解碼處理之控制。 5 · —種密碼方法，在於具有複數之埠，對於至少一個 埠，直接或間接的連接具有密碼處理功能之終端機而構成之 密碼裝置中實施密碼化處理或解碼處理之方法中， 其特徵爲： 對於由上述複數之埠中之一個埠所輸入，介著物理層 及資料鏈層所交付之資料施予密碼化處理或解碼處理，而將 該由而獲得之資料不交付於實施網路間之選路控制之網路層 地，介著資料鏈層及物理層而使之由其他之埠而輸出。 6. —種密碼系統，其特徵爲： 具有密碼處理功能之終端機與申請專利範圍第1項所述 密碼裝置係介著無線或有線之網路連接構成。 7 · —種密碼系統，其特徵爲： 在於具有密碼處理功能之終端機與不具有密碼處理功 能之終端機之間，介著無線或有線之網路而連接申請專利範 圍第2項所述之密碼裝置而構成。 8 ·如申請專利範圍第2項之密碼裝置，其中 1274487 上述密碼/解碼手段乃將從具有密碼處理功能之終端機 送出之已密碼化的資料，送訊至不具有密碼處理功能之其 他終端機時，解碼上述密碼化之資料，送訊至不具上述密 碼處理功能之其他終端機；將從不具有密碼處理功能之終端 機送出之未密碼化的資料，送訊至具有密碼處理功能之其 他終端機時，密碼化上述未密碼化之資料，送訊至具有上 述密碼處理功能之其他終端機。

-33-