WO2004012386A1 - 暗号システムおよび暗号装置 - Google Patents

暗号システムおよび暗号装置 Download PDF

Info

Publication number
WO2004012386A1
WO2004012386A1 PCT/JP2003/005267 JP0305267W WO2004012386A1 WO 2004012386 A1 WO2004012386 A1 WO 2004012386A1 JP 0305267 W JP0305267 W JP 0305267W WO 2004012386 A1 WO2004012386 A1 WO 2004012386A1
Authority
WO
WIPO (PCT)
Prior art keywords
encryption
terminal
network
data
decryption
Prior art date
Application number
PCT/JP2003/005267
Other languages
English (en)
French (fr)
Inventor
Makoto Izawa
Hiromitsu Narita
Akira Okamoto
Original Assignee
Niigata Seimitsu Co., Ltd.
Micro Research Laboratory, Inc.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Niigata Seimitsu Co., Ltd., Micro Research Laboratory, Inc. filed Critical Niigata Seimitsu Co., Ltd.
Publication of WO2004012386A1 publication Critical patent/WO2004012386A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Definitions

  • the present invention relates to a cryptographic system and a cryptographic device, and more particularly to a cryptographic system and a cryptographic device used for encrypting and decrypting information in order to reduce the risk of eavesdropping and falsification of information due to an external attack on a network. It is a good thing. Background art
  • Mechanisms to solve this problem include firewalls, antivirus, access control, information encryption, and VPN (Virtual Private Network).
  • VPN Virtual Private Network
  • systems that use encryption encrypt information and send it to the other party, decrypt it, and use it. In this way, even if the information is eavesdropped in the middle of the network, the possibility of seeing the information itself is reduced because the information is encrypted. Also, the risk of tampering is reduced.
  • VPNs deter unauthorized access from outside by using substantial leased lines.
  • Each of these security technologies can be used independently, but the security effect can be further enhanced by using them in any combination. For example, there is a system that performs encryption in a VPN network. This type of system can be classified into three types: 1 Site-To-Site type, 2 Remote-Access type, and 3 End-To-End type. Figure 1 is a diagram for explaining these three classifications of cryptosystems.
  • a plurality of desktop PCs 101A are connected to a base A network 100A connected by a LAN (Local Area Network), etc., and a plurality of desktop PCs.
  • a base B network 100 B to which 101 B is connected via a LAN or the like is connected via a network 200 forming a virtual leased line.
  • gateways 102 A and 102 B are provided at the entrance and exit of each base network 10 OA and 100 B, and the gateways 102 A and 102 B are provided.
  • the Remote-Access type performs information between the gateway and remote terminals by performing encryption / decryption processing between the gateways 102A and 102B and the remote terminals 103 and 104. To communicate encrypted.
  • Each of these types performs encryption communication only on the outside of the base network 100A, 100B, and has the disadvantage that the information in the base is not protected at all.
  • the LAN built in the base is connected to a network 200 such as the Internet, so that personal computers in the LAN can access the Internet and exchange information as needed. I'm familiar.
  • the gateways 102A and 102B which are the entrances and exits of the base networks 100A and 100B, are susceptible to external attacks and the load is concentrated.
  • each base network 100 OA, 100 B has the disadvantage that it is completely vulnerable to intrusion from entry points other than gateways (such as via wireless LAN). I have.
  • the end-to-end type performs encryption / decryption processing at each desktop PC 101A, 101B in the base network 100A, 100B.
  • This allows information to be encrypted and communicated between the target terminals.
  • information is completely protected both inside and outside the base, so that all the above-mentioned disadvantages of the Site-To-Site type and Remote-Access-type can be solved .
  • the end-to-end type was impractical due to the low processing power of terminals, but recently, with the progress of semiconductors (especially CPU processing power), realization has become possible.
  • cryptographic software such as printers and fax machines
  • extra software such as print servers and database servers
  • S operating system
  • the conventional end-to-end type cryptosystem performs cryptographic communication between terminals at multiple sites, and is used in a closed world of one site (for example, within site A network 100A).
  • site A network 100A Just could't use the encryption.
  • the base B network 100 B where encryption software can be installed, or if there is a huge number of terminals in the base B network 100 B
  • it is impractical to install a cryptographic software it will not be possible to use the End-To-End cryptosystem between sites A and B. In this case, even if there is a request to use the cipher at least in the base A network 100A at least, there has been no means to realize this in the past.
  • the present invention has been made to solve such a problem, and an unauthorized intrusion from the outside can be achieved by using encryption even in a corporate LAN having a terminal on which a dedicated encryption software cannot be installed.
  • the purpose is to reduce the risk that confidential information inside the LAN will be stolen or falsified by attacks or attacks.
  • Another object of the present invention is to make it possible to use encryption only in one closed base network when performing information communication between a plurality of bases. Disclosure of the invention
  • the cryptographic system of the present invention directly or indirectly connects a plurality of terminals that perform data communication via a network and a dedicated encryption device or a relay device equipped with an encryption processing function installed between the plurality of terminals.
  • Connected cipher A system wherein the encryption device or the relay device encrypts a data received from one terminal inside or outside a certain base network, and encrypts the data received from the other terminal inside the certain base network.
  • the terminal transmits the data to the terminal (including the terminal on which the encryption software is installed, as well as another encryption device or relay device), and decrypts the encryption of the data received from the other terminal to the one terminal.
  • the dedicated encryption device refers to a device that exclusively performs data encryption and decryption.
  • a relay device equipped with an encryption processing function refers to a device that may have other functions as long as it has a function of performing an encryption process and a decryption process. .
  • a plurality of terminals that perform data communication via a network and a dedicated encryption device or a relay device equipped with an encryption processing function installed between the plurality of terminals are directly or An indirectly connected encryption system, wherein the encryption device or the relay device encrypts data received from the network outside a certain base network, and encrypts the data received from the certain base network.
  • the encryption of data received from the terminal is decrypted and transmitted to the network.
  • a first terminal having a symbol processing function inside a certain base network and having no cryptographic processing function inside or outside the certain base network is provided.
  • the encryption device or the relay device is connected to the first terminal (including a terminal on which the encryption software is installed and another encryption device or a relay device).
  • Security by encryption between Encryption / decryption means for performing data encryption / decryption processing to terminate data encryption and decryption data input from one port and subjected to encryption / decryption processing by the encryption / decryption means.
  • data transfer means for outputting data to the port.
  • the encryption / decryption means communicates encrypted data with the first terminal, and transmits unencrypted data with the second terminal. Performing the above-mentioned encryption processing and the above-mentioned decryption processing in order to perform this communication.
  • the relay device includes a semiconductor chip in which the functions of the encryption / decryption means are integrated.
  • the semiconductor chip is provided between a signal transmitting / receiving unit and a baseband processing unit.
  • the encryption device of the present invention is connected directly or indirectly to a plurality of terminals performing data communication via a network, and receives data received from one terminal inside or outside a certain base network. It is characterized in that it is encrypted and transmitted to the other terminal inside the certain base network, and that the data received from the other terminal is decrypted and transmitted to the one terminal. I do.
  • the terminal between a terminal that performs data communication via a network and the network, the terminal is directly or indirectly connected to the terminal, and the terminal is outside a certain base network.
  • the data received from the network is encrypted and transmitted to the terminal inside the certain base network, and the encryption of the data received from the terminal is decrypted and transmitted to the network.
  • a plurality of terminals that perform data communication via a network and one terminal within a certain base network is connected directly to one terminal. Connected directly or indirectly to the terminal, decrypting the encryption of data received from the other terminal inside or outside the certain base network and transmitting it to the one terminal, and the one terminal The data received from the terminal is encrypted and transmitted to the other terminal.
  • a first terminal having a cryptographic processing function inside a certain base network and a first terminal having no cryptographic processing function inside or outside the certain base network are provided. It is connected to the second terminal via a wired or wireless network, and performs data encryption and decryption processing with the first terminal to terminate encryption security. And a data transfer means for outputting data input from one port and subjected to encryption or decryption processing by the encryption / decryption means to another port. I do.
  • the cipher Z decrypting means performs encrypted data communication with the first terminal and encrypts data with the second terminal. In order to perform communication of no data, the encryption processing and the decryption processing are performed.
  • Another embodiment of the present invention is characterized in that the functions of the encryption Z decryption means and the data transfer means are integrated on a semiconductor chip.
  • a first terminal having no cryptographic processing function inside a certain base network and having a cryptographic processing function inside or outside the certain base network is provided. It is connected to the second terminal via a wired or wireless network in the immediate vicinity of the first terminal, and is used to terminate encryption security with the first terminal.
  • An encryption / decryption unit for performing an encryption process and a decryption process overnight; and an encryption process or a decryption process that is input from one port and is performed by the encryption / decryption unit.
  • Data transfer means for outputting the data subjected to the processing to another port.
  • FIG. 1 is a diagram showing a configuration of a conventional encryption system.
  • FIG. 2 is a diagram illustrating a configuration example of the encryption system according to the first embodiment to which the encryption device of the present embodiment is applied.
  • FIG. 3 is a diagram showing another configuration example of the encryption system according to the first embodiment.
  • FIG. 4 is a diagram illustrating a configuration example of an encryption system according to a second embodiment to which the encryption device of the present embodiment is applied.
  • FIG. 5 is a diagram showing another configuration example of the encryption system according to the second embodiment.
  • FIG. 6 is a diagram showing still another configuration example of the encryption system according to the second embodiment.
  • FIG. 7 is a diagram illustrating a configuration example of an encryption system according to a third embodiment to which the encryption device of the present embodiment is applied.
  • FIG. 8 is a diagram illustrating a configuration example of an encryption device (relay device) according to the fourth embodiment, where (a) illustrates a configuration example of an encryption chip, and (b) illustrates a portable device on which the encryption chip is mounted.
  • FIG. 3 illustrates a configuration example of a telephone.
  • FIG. 2 is a diagram illustrating a configuration example of the encryption system according to the first embodiment to which the encryption device of the present embodiment is applied.
  • reference numeral 1 denotes an encryption device of the present embodiment (either a dedicated encryption device according to the present invention or a relay device equipped with an encryption processing function), which has two ports, and one port has a network.
  • Devices such as network printer 2, DB server 3, and network terminal 4 are connected, and hub 5 is connected to the other port.
  • the encryption device 1 relays data between devices such as a network printer 2, a DB server 3, and a network terminal 4, and a hub 5.
  • Network printer 2 is a terminal on which encryption software cannot be physically installed.
  • the DB server 3 is a terminal for which it is not preferable to install extra encryption software due to problems such as operational stability.
  • Network terminal 4 is a terminal that does not have OS and cannot operate cryptographic software. Therefore, it is assumed that encryption software is not installed in these terminals 2 to 4.
  • the hub 5 is a device that relays data at the physical layer of the OSI reference model.
  • an access point 6 for wireless communication and a desktop computer 7 are connected. . That is, the hub 5 in this case relays data between the encryption device 1 and the access point 6 and the desktop computer 7.
  • a desktop PC 8 and a laptop PC 9 are wirelessly connected to the access point 6. It is assumed that encryption software for encrypting and decrypting data can be installed in the desktop computers 7, 8 and the laptop personal computer 9, and that the software is actually installed.
  • the encryption device 1 has two ports, and the personal computers 7 to 9, which are terminals having an encryption processing function for one of the ports, are indirectly connected via the hub 5 and the access point 6. Connected. Also, other Network port 2, DB server 3, and network terminal 4 are directly connected to these ports.
  • the cryptographic device 1, the network printer 2, the DB server 3, the network terminal 4, the node 5, the access point 6, and the personal computers 7 to 9 form a single base network. I have.
  • the network printer 2, the DB server 3 and the network connector terminal 4 where the encryption software is not installed, and the personal computers 7 to 9 where the encryption software is installed (These devices 2 to 4 and 7 to 9 all correspond to the terminal of the present invention.)
  • Data communication is performed via the encryption device 1, the hub 5, and the access point 6.
  • the encryption device 1 communicates encrypted data with the personal computers 7 to 9 on which the encryption software is installed, and transmits data to the terminal on which the encryption software is not installed.
  • encryption and decryption are performed.
  • the data is encrypted using the encryption software installed on the desktop PC 7, and then the data is encrypted.
  • the encryption device 1 decrypts the received data and sends it to the network printer 2.
  • the DB server 3 supplies the corresponding data to the encryption device 1 in response to a given request.
  • the encryption device 1 Upon receiving the unencrypted data, the encryption device 1 encrypts the data and transmits it to the laptop computer 9 via the access point 5 and the access point 6.
  • the laptop computer 9 decrypts the received data and uses it for desired processing. Use.
  • encryption device 1 of the present embodiment encryption can be used even in a corporate LAN having terminals 2 to 4 in which dedicated encryption software cannot be installed. It becomes possible. As a result, it is possible to construct a secure network 10 with little risk of confidential information inside the LAN being stolen or falsified by an external intrusion or attack.
  • FIG. 3 is a diagram showing another configuration example of the encryption system according to the first embodiment.
  • components having the same functions as the components shown in FIG. 2 are denoted by the same reference numerals.
  • the encryption device 1 shown in FIG. 2 had a wired communication interface, and was connected to the hub 5 by wire.
  • the encryption device 1 ′ shown in FIG. 3 has a wireless communication interface and is wirelessly connected to the access point 6.
  • Desktop PC 7 is also connected to Access Point 6 wirelessly. Therefore, no hub is required in the example of Fig. 3.
  • one base network is composed of the No. 1 device, the access point 6, and the personal computers 7 to 9.
  • the other points are the same as in Fig. 2.
  • the function of the encryption device 1 may be integrated into a small IC, and the IC may be mounted in the hub 5.
  • the functions of the encryption devices 1 and 2 may be integrated in a small IC, and the IC may be mounted in the access point 6.
  • FIG. 4 is a diagram illustrating a configuration example of a cryptographic system according to a second embodiment to which the cryptographic device of the present embodiment is applied. Note that, in FIG. 4, components having the same functions as the components shown in FIG. 2 are denoted by the same reference numerals.
  • a network 20 of a virtual leased line using the Internet or the like is connected to one port, and a hub 5 is connected to the other port.
  • one base network is composed of the encryption device 21, the hub 5, the access point 6, and the personal computers 7 to 9.
  • another base network exists beyond the network 20, and a cryptographic software such as the network printer 2, the DB server 3, and the network terminal 4 shown in FIG. There are multiple terminals that cannot install the software, or multiple computers such as PCs 7 to 9 that have encryption software installed.
  • one device is connected to one encryption device 1, and one encryption device 1 is dedicated to performing decryption processing on one device. I was going. That is, the encryption device 1 shown in FIG. 2 is connected between the personal computers 7 to 9 on which the No. software is installed and one device on which the encryption software is not installed. The security by encryption was terminated for the device.
  • the encryption device 21 is a personal computer on which encryption software is installed. 9 and a plurality of devices (not shown) connected to the network 20.
  • the plurality of devices described above need not have encryption software installed, such as the network printer 2, DB server 3, and network terminal 4 shown in FIG. Encryption software may be installed like PCs 7-9.
  • the encryption device 21 of the present embodiment Terminates security by encryption for multiple devices (network 20). In this case, the encryption device 21 has the same number of data paths as the number of connected devices, and performs encryption / decryption processing using a different encryption key for each device.
  • the data is transmitted from the desktop PC 7 in the secure network 10 to an external device without encryption software in another base network via the network 20.
  • the data is encrypted using the encryption software installed in the desktop personal computer 7 and supplied to the encryption device 21 via the hub 5.
  • the encryption device 21 decrypts the received data and sends it out to a device in another base network via the network 20.
  • the other network when importing data managed by an external device without encryption software in another network to the laptop PC 9 in the secure network 10, the other network An external device in the network sends corresponding data to the network 20 in response to a given request.
  • the encryption device 21 Upon receiving the unencrypted data, the encryption device 21 encrypts the data and transmits it to the laptop computer 9 via the hub 5 and the access point 6.
  • the laptop computer 9 decrypts the received data and uses it for desired processing.
  • the base networks uses the protection by the symbol.
  • the encryption device 21 also in another site network, the protection by encryption can be used in the other site network.
  • a secure network can be constructed at both sites.
  • the gateways shown in FIG. 1 at the entrances and exits of each base, encryption can be used even on the network 20.
  • the encryption device 21 is set to have encryption Z decryption processing in the encryption device 21 so that encryption can be performed on the network 20. It can also be made available. For example, when communication is performed between terminals on which the encryption software is installed, the decryption process is not performed by the encryption device 21, but communication is performed with a terminal on which the encryption software is not installed. Sets information such as performing decryption processing in the encryption device 21 in the encryption device 21.
  • the data is transmitted from the desktop computer 7 in the secure network 10 to another external device having the encryption software in the base network via the network 20.
  • the data is encrypted using the encryption software installed on the desktop personal computer 7 and supplied to the encryption device 21 via the hub 5.
  • the encryption device 21 sends the received data to the external device via the network 20 without decrypting the data.
  • the external device decrypts the received data and uses it for desired processing.
  • the encryption device 21 when transmitting data encrypted by an external device in another network at another site beyond the network 20 to the desktop PC 7 in the secure network 10, the encryption device 21 is also used. Decrypts data received from external devices over network 20 without decrypting it. It is supplied to the desktop PC 7 via the hub 5 in the encrypted state.
  • the plurality of devices connected to the encryption device 21 need not necessarily be connected via the network 20 and may be connected directly to the encryption device 21 or via a hub. . In the case of direct connection, the encryption device 21 has two or more ports.
  • FIG. 5 is a diagram illustrating another configuration example of the encryption system according to the second embodiment.
  • components having the same functions as those shown in FIG. 4 are denoted by the same reference numerals.
  • the example shown in FIG. 5 is also an example in which one encryption device 21 terminates security by encrypting a plurality of devices.
  • all three computers 7 to 9 are connected to the access point 6 by wireless LAN. Further, the access point 6 is connected to the network 20 via the encryption device 21.
  • wireless LANs are more vulnerable to security than wired networks, and are more susceptible to external attacks.
  • SSID Service Set IDentifier
  • WEP Wired Equivalent Privacy
  • the encryption device 21 and the access point 6 may be connected wirelessly.
  • FIG. 6 is a diagram showing still another configuration example of the encryption system according to the second embodiment.
  • the other terminal inside a certain base network and one night and “the first terminal having a cryptographic processing function inside a certain base network” in the present invention
  • PCs 7 to 9 with encryption software installed were described, and an example of terminating security by encryption between encryption devices 1, 1,, 21 and PCs 7 to 9 was described.
  • the above-mentioned terminal of the present invention is not limited to this example, and includes other encryption devices having the same functions as the encryption devices 1, 1 ', 21.
  • Fig. 6 shows a configuration example in this case.
  • two base networks 30A and 30B of bases A and B are connected via networks 20 such as routers 4OA and 40B and the Internet.
  • Location A Network 30 A is no.
  • Seo Con 3 1 A ⁇ 3 3 A and an encryption device 2 1 A-, is constructed is the L AN enterprise by a ⁇ 2 1 A- 3.
  • Each of the personal computers 31A to 33A is a terminal on which encryption software is not installed.
  • the encryption device 2 1 eight - 1-2 1 eight - 3 are those having the same function as the encryption device 2 1 in FIG. 4 both, the one port one Bok PC 3 1 A to 3 3 A Is connected, and the other port is connected to router 40A.
  • each of the computers 31 B to 33 B is a terminal in which the encryption software is not installed.
  • Each of the encryption devices 21B- and 21B- 3 has the same function as the encryption device 21 shown in Fig. 4, and one of the ports is connected to a personal computer 31B to 33B.
  • a router 40B is connected to the other port.
  • the encryption devices 21A—, 21A.3, 21B., 21B. . data communication via a 3 is performed between the personal computers belonging to different base networks 3OA and 30B.
  • the encryption devices 21A—, 21A.3, 21B., 21B. . data communication via a 3 is performed.
  • the encryption device 21A- when transmitting data from a personal computer 31A in the base A network 30A to a personal computer 33B in the base B network 30B, the encryption device 21A-, The data given by A is encrypted and transmitted to the encryption device 21B- 3 via the router 40A, the network 20 and the router 40B.
  • Cryptographic device 2 1 B 3 supplies decodes the de one data received to the PC 3 3 B.
  • encryption can be used between different base networks 30A and 30B.
  • encryption soft is in is if the personal computer 3 1 A ⁇ 3 3 A that is not Instrument Name Ichiru, through the cryptographic device 2 1 A ⁇ 2 1 A_ 3 Data communication is performed.
  • the cryptographic device 2 1 A- encrypts data supplied from the personal computer 3 1 A
  • the cryptographic device 2 1 A- 3 Send to Encryptor 2 1 A_ 3 supplies the personal computer 3 3 A decrypts the received data.
  • the personal computers 31 B to 33 B without the encryption software installed use the encryption devices 21 B- and 21 B- 3 .
  • Overnight communication is performed.
  • the encryption device 21 B Encrypts the data given from the personal computer 3 IB and sends it to the encryption device 21 B- 3 .
  • Cryptographic device 2 1 B _ 3 is supplied to the personal computer 3 3 B decodes the received data.
  • the encryption devices 21 A to 21 A_3, 2 IB—, to 21 1—3 are all PCs 31 A to 33 A, 3 without the ⁇ -sign software installed. Unencrypted data is communicated between 1 B and 33 B, and cryptographic devices 21 A.
  • ⁇ 21 A- 3 , 21 B_ which are terminals having encryption processing functions ⁇ perform the decoding process of the encryption process and encryption for communication of Isseki de encrypted is between 2 1 B_ 3.
  • each site network 3 0 A, 3 0 B together terminals having an encryption processing function (encryptors ⁇ eight ⁇ :!?” Eight, SIB-, 2 1 B_ 3) the Although a plurality is provided, at least one of the base networks may be provided with only one terminal having a cryptographic processing function.
  • the base network 30A may be configured by connecting one personal computer 31A and one serial device 21A_ ,.
  • encryption can be used between different base networks 3OA and 30B.
  • the encryption device 2 in the base network 3 OA, the encryption device 2 :! To PC 3 1 A By connecting, the encryption can be used between the entrance / exit of the base network 3OA and the encryption device 21A.
  • the two base networks 30 A and 30 B are connected by the Internet 20, and the encryption devices 21 A—, to 2 are connected in the base networks 3 OA and 3 OB.
  • 1 A- 3, 2 1 B _ has been shown an example in which each comprise ⁇ 2 1 B_ 3 or PC 3 1 a ⁇ 3 3 a, 3 1 B ⁇ 3 3 B , but are not limited thereto.
  • the cryptographic device 2 1 A-, ⁇ 2 1 A - 3, 2 1 B-, in between ⁇ 2 1 B -3 can utilize encryption.
  • a personal computer on which the encryption software is not installed and the encryption device 1 may be connected to the hub 5.
  • a device such as a network printer 2, DB server 3, or network connector terminal 4 that cannot install the encryption software is connected to a personal computer that does not have the encryption software installed.
  • encrypted communication can be performed via the encryption device 1 that is connected most recently.
  • FIG. 7 is a diagram illustrating a configuration example of an encryption system according to a third embodiment to which the encryption device according to the present embodiment is applied.
  • FIG. 7 the configuration shown in FIG. 3 and FIG. Components having the same functions as the components are denoted by the same reference numerals.
  • a symbol system is constructed by combining the encryption device 1 'shown in FIG. 3 and the encryption device 21 shown in FIG.
  • the secure network 10 can be established inside the wireless LAN, and encryption can be used even for a device for which encryption software cannot be substantially installed.
  • FIG. 8 is a diagram illustrating a configuration example of an encryption device (a relay device equipped with an encryption processing function) according to the fourth embodiment.
  • FIG. 8A shows an example of the configuration of an IC chip 50 on which the function of the above-described cryptographic device 21 is mounted
  • FIG. 8B shows a mobile phone 60 on which the IC chip 50 is mounted. An example of the configuration will be described.
  • the IC chip 50 that realizes the function of the above-described encryption device 21 includes a CPU 51, a ROM 52, a RAM 53, an access controller 54, and an interface unit 55. And other functional blocks.
  • the CPU 51 accesses the ROM 52 and the RAM 53 by the access controller 54. Then, according to the program stored in the ROM 52, the RAM 53 operates as a work area, and performs data encryption / decryption processing.
  • the interface unit 55 exchanges the data processed by the CPU 51 or the processed data with the outside of the IC chip 50.
  • the transmission / reception unit includes a well-known antenna 61, an antenna switch 62, an RF unit (high frequency processing unit) 63, and an IF unit (intermediate frequency processing unit) 64.
  • This transmission / reception unit supports wireless LAN, Bluetooth, etc. It sends and receives data to and from external terminals such as the Socon and PDA (Personal Digital Assistants).
  • the mobile phone 60 thus configured can be used, for example, instead of the encryption device 21 shown in FIG.
  • the mobile phone 60 when data is sent from the desktop PC 7 in the secure network 10 to a device in another base network via the network 20, first the desktop PC 7 It encrypts the data using the encryption software installed in 7 and sends it to the mobile phone 60. Next, the mobile phone 60 decrypts the received data with the encryption chip 50 and transmits the decrypted data to a device in another base network via the network 20.
  • the device in the other site network when data managed by a device in another site network is taken into a laptop computer 9 in the secure network 10, the device in the other site network must be provided with The corresponding data is transmitted to the network 20 in response to the request.
  • the mobile phone 60 that has received the unencrypted data encrypts the data with the encryption chip 50 and sends it to the laptop 9.
  • the laptop computer 9 decodes the received data and uses it for desired processing.
  • the mobile phone 60 may be used instead of the encryption device 1 ′ in FIG.
  • the line between the network printer 2, the DB server 3, and the network terminal 4 is wireless, but as described above, Cannot use encryption. Therefore, it is necessary to use these devices 2 to 4 in a state where the physical distance between the mobile phone 60 and the mobile phone 60 is short.
  • the IC chip 50 is mounted on the mobile phone 60 has been described.
  • the present invention can be applied to any electronic device having a communication interface.
  • the first to fourth embodiments have been described above, but the encryption algorithm used in these embodiments is not particularly limited in the present invention. That is, any known encryption algorithm can be applied.
  • a dedicated encryption device or the like is connected between terminals that perform data communication via a network, and the encryption device or the like is connected to a terminal located inside or outside a certain base network.
  • the data received from one terminal is encrypted and transmitted to the other terminal inside a certain base network, and the data received from the other terminal is decrypted and transmitted to one terminal.
  • encryption can be used even on corporate LANs that have terminals for which dedicated encryption software cannot be installed, and confidential information inside the LAN is stolen or altered by external intrusions or attacks. Danger of being performed can be reduced.
  • a plurality of base networks connected by a virtual leased line are used.
  • cryptography can be used only in a closed world where one base network is closed. For example, if there is no terminal on which the encryption software can be installed in the other base network, or there is a huge number of terminals in the other base network, and the encryption software is installed in all of them. Even when it is not practical to do so, the encryption can be used within at least one site network. For example, cryptographic protection can be achieved using only the wireless LAN that makes up one site network. Industrial applicability
  • the present invention uses cryptography even within corporate LANs that have terminals that cannot install dedicated cryptographic software, so that confidential information inside the LAN is stolen or tampered with by unauthorized intrusions or attacks from the outside. It is useful to reduce the risk of
  • the present invention is useful for enabling encryption to be used only in one closed base network when performing information communication between a plurality of bases.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

　暗号ソフトを有するパソコン７～９との間で暗号化によるセキュリティを終端するために暗号化／復号化処理を行うように構成した暗号装置１を、当該パソコン７～９と暗号ソフトを持たない端末２～４との間に接続し、暗号装置１において、例えばＤＢサーバ３から受信したデータを暗号化してパソコン７に送信したり、パソコン８から受信したデータの暗号を復号化してネットワークプリンタ２に送出したりすることにより、専用の暗号ソフトをインストールできない端末２～４を有する企業内ＬＡＮの中でも暗号を利用できるようにして、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれる危険性が少ないセキュアなネットワーク１０を構築できるようにする。

Description

明 細 書 暗号システムおよび暗号装置 技術分野
本発明は暗号システムおよび暗号装置に関し、 特に、 ネッ トワーク上 で外部から攻撃されることによる情報の盗聴や改ざん等のリスクを低減 するために情報の暗号化 Z復号化を行うシステムおよび装置に用いて好 適なものである。 背景技術
パーソナルコンピュータ （パソコン） をスタンドアロンで用いる場合 は、 パソコン内部の情報が盗み出されたり、 改ざんされたり、 破壊され たりする危険性は少ない。 しかし、 パソコンをインターネッ ト等のネッ トワークに接続すると、 やり取りされる情報は多くのネッ トワークをル —ティ ングされていく ことから、 その途中において盗聴や改ざん等の行 われる危険性が一気に増大する。 また、 外部からの不正アクセスによつ て盗聴や改ざん等が行われることも多くなる。
この問題を解決するための仕組みとしては、 ファイアウォール、 アン チウィルス、 アクセス制御、 情報の暗号化、 V P N (Virtual Private N etwork) 等が存在する。 このうち、 暗号化を利用したシステムでは、 情 報を暗号化して相手に送り、 これを復号化して利用する。 このようにす れば、 ネッ トワークの途中で情報が盗聴されたとしても、 情報が暗号化 されているために、 情報自体が見られる可能性が少なくなる。 また、 改 ざんのリスクも低減される。 また、 V P Nでは、 実質的な専用線を用い ることによって、 外部からの不正アクセスを抑止する。 これらのセキュリティ技術はそれぞれ単独でも用いられるが、 任意に 組み合わせて用いることにより、 よりセキュリティ効果を高めることが できる。 例えば、 V P Nネッ トワークにおいて暗号化を行うシステムが 存在する。 この種のシステムを分類すると、 ① Si te- To- Si te型、 ② Remot e - Access型、 ③ End- To - End型の 3つに分けられる。 図 1 は、 これら 3つ の分類の暗号システムについて説明するための図である。
図 1 に示すように、 V P Nネッ トワークにおいては、 複数のデスク ト ップパソコン 1 0 1 Aが L A N (Local Area Network) 等により接続さ れた拠点 Aネッ トワーク 1 0 0 Aと、 複数のデスク トップパソコン 1 0 1 Bが L A N等により接続された拠点 Bネッ トワーク 1 0 0 Bとが、 仮 想専用線を構成するネッ トワーク 2 0 0 を介して接続されている。
Site-To- Site型の場合は、 各拠点ネッ トワーク 1 0 O A, 1 0 0 Bの 出入口にゲートウェイ 1 0 2 A， 1 0 2 Bを設け、 当該ゲ一トウエイ 1 0 2 A, 1 0 2 Bにおいて暗号化ノ復号化処理を行う ことにより、 ゲー トウエイ間のネッ トワーク 2 0 0において情報を暗号通信する。 Remote- Access型は、 ゲートウエイ 1 0 2 A， 1 0 2 Bとリモ一 ト端末 1 0 3 , 1 0 4とで暗号化/復号化処理を行う ことにより、 ゲートゥヱイ— リモ ート端末間において情報を暗号通信する。
これらの何れのタイプも、 拠点ネッ トワーク 1 0 0 A， 1 0 0 Bの外 部のみで暗号通信するものであり、 拠点内の情報は全く保護されないと いう欠点がある。 拠点内に構築される L A Nはインターネッ ト等のネッ トワーク 2 0 0 に接続されており、 必要に応じて L AN内のパソコンか らインターネッ トにアクセスして情報のやり取りを行うことができるよ うになつている。 しかし、 このように L A Nがインターネッ トに接続さ れていると、 外部からの不正侵入や攻撃によって、 L AN内部の機密情 報が盗まれたり改ざんされたりする危険性が出てくる。 . このとき、 拠点ネッ 卜ワーク 1 0 0 A， 1 0 0 Bの出入口であるゲ一 トウエイ 1 0 2 A, 1 0 2 Bは、 外部からの攻撃対象になりやすく、 負 荷も集中する。 そのため、 高価な機器が必要となり、 それぞれの機器ご とに難解な設定や管理を行わなければならないという欠点がある。 さら に、 各拠点ネッ トワーク 1 0 O A, 1 0 0 Bの内部は、 ゲートウェイ以 外の侵入口 （無線 L AN経由等） からの侵入に対して全くの無防備にな るという欠点も有している。
これに対して、 End- To- End型は、 拠点ネッ トワーク 1 0 0 A， 1 0 0 B内の各デスク トップパソコン 1 0 1 A , 1 0 1 Bにて暗号化/復号化 処理を行う ことにより、 対象とする端末間において情報を暗号通信する 。 このタイプによれば、 拠点内および拠点外を問わず情報が完全に保護 されるので、 Si te-To- Si te型、 Remo t e-Acce s s型の上述した欠点を全て 解決することができる。 従来は端末の処理能力が低かったために End- To - End型は非現実的であつたが、 半導体 （特に C P U処理能力） の進歩によ り、 最近では実現が可能となってきている。
しかしながら、 End-To- End型で暗号を利用するためには、 暗号通信し ようとする端末の全てに専用の暗号ソフ トをインス トールし、 様々な設 定をしなければならない。 ところが、 拠点ネッ トワーク 1 0 0 A， 1 0 0 B内の L AN等に接続される端末の中には、 暗号ソフ トをインス トー ル可能なデスク トップパソコン 1 0 1 A， 1 0 1 B以外の端末も存在す る。
例えば、 プリ ンタゃファクシミ リなど物理的に暗号ソフ トをイ ンス ト ールできない端末や、 プリ ン トサーバゃデータペースサーバなど動作安 定上等の問題から余分なソフ トをインス トールすることが好ましくない 端末、 〇 S (ォペレ一ティ ングシステム） がなく単なるネッ トワーク夕 一ミナルとして機能する端末なども存在する。 そのため、 End- To- End型 の暗号システムをもってしても、 これら特定の端末については暗号を利 用することができず、 情報を有効に保護することができないという問題 があった。
また、 従来の End- To-End型暗号システムは、 複数拠点内にある端末間 で暗号通信するものであり、 1つの拠点の閉じた世界の中 （例えば拠点 Aネッ トワーク 1 0 0 A内） だけで暗号を利用することはできなかった 。 例えば、 拠点 Bネッ トワーク 1 0 0 B内に暗号ソフ トをインス トール 可能な端末が存在しないような場合や、 拠点 Bネッ トワーク 1 0 0 B内 に膨大な数の端末があってこれら全てに暗号ソフ 卜をインス トールする ことが現実的でないような場合などには、 拠点 A， B間で End - T o-End型 暗号システムを利用することができなくなる。 この場合において、 少な く とも拠点 Aネッ トワーク 1 0 0 A内だけでも暗号を利用したいという 要望があっても、 従来これを実現する手段はなかった。
本発明は、 このような問題を解決するために成されたものであり、 専 用の暗号ソフ トをインス トールできない端末を有する企業内 L A Nの中 でも暗号を利用して、 外部からの不正侵入や攻撃によって L A N内部の 機密情報が盗まれたり改ざんされたりする危険性を低減できるようにす ることを目的とする。
また、 本発明は、 複数の拠点間で情報通信を行う場合において、 1つ の閉じた拠点ネッ トヮ一ク内だけでも暗号を利用できるようにすること を目的とする。 発明の開示
本発明の暗号システムは、 ネッ トワークを介してデータ通信を行う複 数の端末と、 上記複数の端末の間に設置される専用の暗号装置もしくは 暗号処理機能を搭載した中継装置とを直接または間接的に接続した暗号 システムであって、 上記暗号装置もしくは上記中継装置において、 或る 拠点ネッ トワークの内部または外部にある一方の端末から受信したデ一 夕を暗号化して上記或る拠点ネッ トワークの内部にある他方の端末 （暗 号ソフ 卜がインス トールされた端末の他、 他の暗号装置もしくは中継装 置を含む） に送信するとともに、 上記他方の端末から受信したデータの 暗号を復号化して上記一方の端末に送信するようにしたことを特徴とす る。 ここで、 専用の暗号装置とは、 データの暗号化処理および復号化処 理だけを専用に行う装置のことを言う。 また、 暗号処理機能を搭載した 中継装置とは、 デ一夕の暗号化処理およぴ復号化処理を行う機能を有し ていれば他の機能を有していても良い装置のことを言う。
本発明の他の態様では、 ネッ トワークを介してデータ通信を行う複数 の端末と、 上記複数の端末の間に設置される専用の暗号装置もしくは暗 号処理機能を搭載した中継装置とを直接または間接的に接続した暗号シ ステムであって、 上記暗号装置もしくは上記中継装置において、 或る拠 点ネッ トワークの外部にある上記ネッ トワークから受信したデータを暗 号化して上記或る拠点ネッ トワークの内部にある上記端末に送信すると ともに、 上記端末から受信したデータの暗号を復号化して上記ネッ トヮ —クに送信するようにしたことを特徴とする。
本発明の他の態様では、 或る拠点ネッ トワークの内部にあって喑号処 理機能を有する第 1 の端末と、 上記或る拠点ネッ トワークの内部または 外部にあって暗号処理機能を有しない第 2の端末と、 上記第 1 の端末と 上記第 2の端末との間に配置されデ一夕の暗号化処理および復号化処理 を行う暗号装置もしくは中継装置とを、 有線または無線のネッ トワーク を介して接続した暗号システムであって、 上記暗号装置もしくは中継装 置は、 上記第 1 の端末 （暗号ソフ トがインス トールされた端末の他、 他 の暗号装置もしくは中継装置を含む） との間で暗号化によるセキユリテ ィ を終端するためにデータの暗号化処理および復号化処理を行う暗号/ 復号手段と、 一のポートより入力され上記暗号 Z復号手段により暗号化 処理または複号化処理が施されたデータを他のポートに出力するデータ 転送手段とを備えたことを特徴とする。
本発明の他の態様では、 上記暗号 z復号手段は、 上記第 1 の端末との 間では暗号化されたデータの通信を行うとともに、 上記第 2の端末との 間では暗号化されていないデータの通信を行うために上記暗号化処理お よび上記復号化処理を行う ことを特徴とする。
本発明の他の態様では、 上記中継装置は、 上記暗号/復号手段の機能 を集積化した半導体チップを備えることを特徴とする。
本発明の他の態様では、 上記半導体チップは信号の送受信部とベース バンド処理部との間に備えられることを特徴とする。
また、 本発明の暗号装置は、 ネッ トワークを介してデータ通信を行う 複数の端末間に直接または間接的に接続され、 或る拠点ネッ トワークの 内部または外部にある一方の端末から受信したデータを暗号化して上記 或る拠点ネッ トワークの内部にある他方の端末に送信するとともに、 上 記他方の端末から受信したデータの暗号を復号化して上記一方の端末に 送信するようにしたことを特徴とする。
本発明の他の態様では、 ネッ トワークを介してデータ通信を行う端末 と当該ネッ トワークとの間において、 上記端末に対して直接または間接 的に接続され、 或る拠点ネッ トワークの外部にある上記ネッ トワークか ら受信したデータを暗号化して上記或る拠点ネッ トワークの内部にある 上記端末に送信するとともに、 上記端末から受信したデータの暗号を復 号化して上記ネッ トワークに送信するようにしたことを特徴とする。 本発明の他の態様では、 ネッ トワークを介してデータ通信を行う複数 の端末間であって、 或る拠点ネッ トワークの内部にある一方の端末の直 近に直接または間接的に接続され、 上記或る拠点ネッ トワークの内部ま たは外部にある他方の端末から受信したデータの暗号を復号化して上記 一方の端末に送信するとともに、 上記一方の端末から受信したデータを 暗号化して上記他方の端末に送信するようにしたことを特徴とする。 本発明の他の態様では、 或る拠点ネッ トワークの内部にあって暗号処 理機能を有する第 1 の端末と、 上記或る拠点ネッ トワークの内部または 外部にあって暗号処理機能を有しない第 2の端末との間に有線または無 線のネッ トワークを介して接続され、 上記第 1 の端末との間で暗号化に よるセキュリティ を終端するためにデータの暗号化処理および復号化処 理を行う暗号 Z復号手段と、 一のポートより入力され上記暗号ノ復号手 段により暗号化処理または復号化処理が施されたデータを他のポートに 出力するデータ転送手段とを備えたことを特徴とする。
本発明の他の態様では、 上記暗号 Z復号手段は、 上記第 1の端末との 間では暗号化されたデ一夕の通信を行うとともに、 上記第 2の端末との 間では暗号化されていないデータの通信を行うために上記暗号化処理お よび上記復号化処理を行う ことを特徴とする。
本発明の他の態様では、 上記暗号 Z復号手段および上記データ転送手 段の機能を半導体チップに集積化することによって構成したことを特徴 とする。
本発明の他の態様では、 或る拠点ネッ トワークの内部にあって暗号処 理機能を有しない第 1 の端末と、 上記或る拠点ネッ トワークの内部また は外部にあって暗号処理機能を有する第 2の端末との間であって、 上記 第 1 の端末の直近に有線または無線のネッ トワークを介して接続され、 上記第 1 の端末との間で暗号化によるセキュリティ を終端するためにデ 一夕の暗号化処理およぴ復号化処理を行う暗号/復号手段と、 一のポ一 卜より入力され上記暗号/復号手段により暗号化処理または復号化処理 が施されたデータを他のポー トに出力するデータ転送手段とを備えたこ とを特徴 する。 図面の簡単な説明
図 1は、 従来の暗号システムの構成を示す図である。
図 2は、 本実施形態の暗号装置を適用した第 1 の実施形態に係る暗号 システムの構成例を示す図である。
図 3は、 第 1 の実施形態による暗号システムの他の構成例を示す図で める。
図 4は、 本実施形態の暗号装置を適用した第 2の実施形態に係る暗号 システムの構成例を示す図である。
図 5は、 第 2の実施形態による暗号システムの他の構成例を示す図で める。
図 6は、 第 2の実施形態による暗号システムの更に別の構成例を示す 図である。
図 7は、 本実施形態の暗号装置を適用した第 3の実施形態に係る暗号 システムの構成例を示す図である。
図 8は、 第 4の実施形態に係る暗号装置 （中継装置） の構成例を示す 図であり、 （ a ) は暗号チップの構成例を示し、 （ b ) は当該暗号チッ プを搭載した携帯電話機の構成例を示す図である。 発明を実施するための最良の形態
(第 1の実施形態）
以下、 本発明の第 1 の実施形態を図面に基づいて説明する。
図 2は、 本実施形態の暗号装置を適用した第 1 の実施形態に係る暗号 システムの構成例を示す図である。 図 2 において、 1 は本実施形態の暗号装置 （本発明による専用の暗号 装置あるいは暗号処理機能を搭載した中継装置の何れでも良い） であり 、 2つのポートを有し、 一方のポートにはネッ トワークプリ ンタ 2、 D Bサーバ 3、 ネッ トワークターミナル 4などのデバイスが接続され、 他 方のポートにはハブ 5が接続されている。 この暗号装置 1 は、 ネッ トヮ ークプリ ンタ 2、 D Bサーバ 3、 ネッ トワークターミナル 4などのデバ イスと、 ハブ 5 との間でデータの中継を行う。
ネッ 卜ワークプリ ンタ 2は、 暗号ソフ トを物理的にインス トールでき ない端末である。 D Bサーバ 3は、 動作安定上等の問題から余分な暗号 ソフ トをインス トールすることが好ましくない端末である。 ネッ トヮ一 クターミナル 4は、 O Sがなく暗号ソフ トを動作させることができない 端末である。 したがって、 これらの端末 2〜 4には暗号ソフ トはインス トールされていないものとする。
また、 ハブ 5は、 O S I参照モデルの物理層においてデータを中継す る機器であり、 上述した暗号装置 1 の他に、 無線通信用のアクセスボイ ント 6 とデスク トップパソコン 7 とが接続されている。 すなわち、 この 場合のハブ 5は、 暗号装置 1 と、 アクセスポイント 6およびデスク トツ プパソコン 7 との間でデータの中継を行う。
さらに、 上記アクセスポイント 6 には、 デスク トップパソコン 8 とラ ップトップパソコン 9 とが無線により接続されている。 デスク トツプパ ソコン 7， 8およびラップトップパソコン 9 には、 データの暗号化およ ぴ複号化を行うための暗号ソフ トがインス トール可能であり、 実際にィ ンス トールされているものとする。
このように、 本実施形態の暗号装置 1 は 2つのポートを有し、 一方の ポートに対して暗号処理機能を有する端末であるパソコン 7〜 9が、 ハ ブ 5やアクセスポイント 6 を介して間接的に接続されている。 また、 他 方のポートにはネッ トワークプリ ン夕 2 、 D Bサーバ 3、 ネッ トワーク ターミナル 4が直接接続されている。 そして、 これらの暗号装置 1、 ネ ッ トワークプリ ンタ 2 、 D Bサーバ 3、 ネッ トワークターミナル 4、 ノヽ ブ 5、 アクセスポイン ト 6、 パソコン 7 〜 9 により 1つの拠点ネッ トヮ —クが構成されている。
このような構成により、 暗号ソフ トがインス トールされていないネッ トワークプリ ンタ 2 、 D Bサ一バ 3およびネッ トヮ一クタ一ミナル 4 と 、 暗号ソフ トがインス トールされているパソコン 7 〜 9 (これらのデバ イス 2 〜 4 , 7 〜 9は何れも本発明の端末に相当） との間で、 暗号装置 1、 ハブ 5およびアクセスポイント 6 を介してデータ通信が行われる。 その際、 暗号装置 1 は、 暗号ソフ トがインス ト一ルされているパソコ ン 7〜 9 との間では暗号化されたデータの通信を行う とともに、 暗号ソ フ トがィンス トールされていない端末 2 〜 4.との間では暗号化されてい ないデータの通信を行うために、 暗号化処理および暗号の復号化処理を 行う。
例えば、 デスク トップパソコン 7からネッ トヮ一クブリ ンタ 2にデ一 夕を送出してプリ ントアウトするときは、 まずデスク トップパソコン 7 にィンス トールされている暗号ソフ トを用いてデータを暗号化し、 ハブ 5 を介して暗号装置 1 に供給する。 次に暗号装置 1 は、 受け取ったデ一 タを復号化し、 ネッ トワークプリ ンタ 2 に送出する。
また、 例えば D Bサーバ 3 にて管理されているデータをラップトップ パソコン 9に取り込むときは、 D Bサーバ 3は、 与えられる要求に応じ て該当するデータを暗号装置 1 に供給する。 この暗号化されていないデ 一夕を受け取った暗号装置 1は、 そのデータを暗号化し、 八ブ 5および アクセスポイント 6 を介してラップトップパソコン 9に送信する。 ラッ プトップパソコン 9は、 受け取ったデータを復号化し、 所望の処理に利 用する。
以上の説明から明らかなように、 本実施形態の暗号装置 1 を用いるこ とによって、 専用の暗号ソフ トをインス ト一ルできない端末 2〜 4を有 する企業内 L A Nの中でも、 暗号を利用することが可能となる。 これに より、 外部からの不正侵入や攻撃によって L A N内部の機密情報が盗ま れたり改ざんされたりする危険性が少ないセキュアなネッ トヮ一ク 1 0 を構築することができる。
なお、 暗号装置 1 と各端末 2 〜 4 との間において暗号は利用できない が、 これらを繋ぐケーブル 1 1 は物理的に短い配線であり、 この部分が 外部アタックされることによって盗聴や改ざんが行われる可能性は極め て低いので、 セキュリティ上で特に問題となることはない。
図 3は、 第 1 の実施形態に係る暗号システムの他の構成例を示す図で ある。 なお、 この図 3において、 図 2に示した構成要素と同一の機能を 有する構成要素には同一の符号を付している。
図 2 に示した暗号装置 1は有線の通信インタフェースを持ち、 有線に よってハブ 5 と接続されていた。 これに対して図 3に示す暗号装置 1 ' は、 無線の通信インタフェースを持ち、 アクセスポイント 6 と無線で接 続されている。 デスク トップパソコン 7 もアクセスポイン ト 6に無線で 接続されている。 よって、 図 3 の例でハブは不要となる。 図 3の場合、 喑号装置 1 ， 、 アクセスポイン ト 6、 パソコン 7 〜 9 により 1つの拠点 ネッ トワークが構成されている。 その他の点は、 図 2 と同様である。 なお、 上記図 2の例において、 暗号装置 1 の機能を小型の I Cに集積 化し、 その I Cをハブ 5の中に実装するようにしても良い。 また、 図 3 の例においても同様に、 暗号装置 1 ， の機能を小型の I Cに集積化し、 その I Cをアクセスポイント 6 の中に実装するようにしても良い。
(第 2 の実施形態） 次に、 本発明の第 2の実施形態について説明する。 図 4は、 本実施形 態の暗号装置を適用した第 2の実施形態に係る暗号システムの構成例を 示す図である。 なお、 この図 4において、 図 2に示した構成要素と同一 の機能を有する構成要素には同一の符号を付している。
図 4に示すように、 本実施形態の暗号装置 2 1は、 イ ンターネッ ト等 を利用した仮想専用線のネッ トワーク 2 0がー方のポートに接続され、 他方のポートにハブ 5が接続されている。 この図 4の場合、 暗号装置 2 1、 ハブ 5、 アクセスポイン ト 6、 パソコン 7 〜 9により 1つの拠点ネ ッ トワークが構成されている。 また、 ネッ トワーク 2 0の先には他の拠 点ネッ トワーク （図示せず） が存在し、 図 2 に示したネッ トワークプリ ンタ 2 、 D Bサーバ 3、 ネッ トワークターミナル 4などのように暗号ソ フ トをインス ト一ルできない端末、 あるいは、 パソコン 7 〜 9のように 暗号ソフ トがイ ンスト一ルされた端末が複数台接続されている。
図 2に示した第 1の実施形態では、 1台の暗号装置 1 に対して 1台の デバイスが接続されており、 1台のデバイスに関する暗号ノ復号処理を 1台の暗号装置 1が専用で行っていた。 すなわち、 図 2 に示す暗号装置 1 は、 喑号ソフ トがインス トールされたパソコン 7 〜 9 と、 暗号ソフ ト がィンス トールされていない 1台のデバィスとの間に接続され、 当該 1 台のデバイスに対して暗号化によるセキュリティを終端していた。
これに対して、 図 4に示す第 2の実施形態では、 暗号装置 2 1 は、 暗 号ソフ トがインス トールされたパソコン？〜 9 と、 ネッ トワーク 2 0 に 接続された複数台のデバイス （図示せず） との間に接続されている。 上 記複数台のデバイスは、 図 2 に示したネッ トワークプリ ン夕 2 、 D Bサ —バ 3、 ネッ トワークターミナル 4などのように暗号ソフ トがインス ト —ルされていなくても良いし、 パソコン 7 〜 9のように暗号ソフ トがィ ンス トールされていても良い。 このように、 本実施形態の暗号装置 2 1 は、 複数台のデバイス （ネッ トワーク 2 0 ) に対して暗号化によるセキ ユリティ を終端している。 この場合、 暗号装置 2 1 は、 接続されている デバイスの数だけデータパスを有し、 それぞれのデバイス毎に異なる暗 号鍵で暗号/復号処理を行う。
例えば、 セキュアネッ トワーク 1 0内のデスク トップパソコン 7から 、 ネッ トワーク 2 0 を介して他の拠点ネッ トヮ一ク内にある暗号ソフ ト を持たない外部デバイスにデータを送出するようなときは、 まずデスク トップパソコン 7 にインス トールされている暗号ソフ トを用いてデータ を暗号化し、 ハブ 5 を介して暗号装置 2 1 に供給する。 次に暗号装置 2 1 は、 受け取ったデータを復号化し、 ネッ トワーク 2 0を介して他の拠 点ネッ トワーク内のデバイスに送出する。
また、 例えば他の拠点ネッ トワーク内の暗号ソフ トを持たない外部デ バイスにて管理されているデ一夕をセキュアネッ トワーク 1 0内のラッ プトップパソコン 9 に取り込むときは、 当該他の拠点ネッ トワーク内の 外部デバイスは、 与えられる要求に応じて該当するデータをネッ トヮ一 ク 2 0に送出する。 この暗号化されていないデータを受け取った暗号装 置 2 1 は、 そのデータを暗号化し、 ハブ 5およびアクセスポイン ト 6 を 介してラップトップパソコン 9 に送信する。 ラップトップパソコン 9は 、 受け取ったデータを復号化し、 所望の処理に利用する。
このように、 ネッ トワーク 2 0に接続された他の拠点ネッ トワーク内 に、 暗号ソフ トがィンス トールされていてないデバイスが存在するよう な場合において、 そのようなデバイスとの間でデータ通信を行う場合に は、 従来の End-To- End型暗号システムは利用できない。 よって、 データ 通信を行うそれぞれの拠点ネッ トワーク内は全くの無防備となる。 これ に対して、 本実施形態によれば、 少なくとも一方の拠点ネッ トワーク （ 図 4のセキュアネッ トワーク 1 0 ) については喑号による保護を利用す ることができる。
ここで、 他の拠点ネッ トワークにおいても暗号装置 2 1 を設けること により、 当該他の拠点ネッ トワーク内でも暗号による保護を利用するこ とができる。 すなわち、 双方の拠点内でセキュアなネッ トワークを構築 することができる。 さらに、 図 1 に示したゲートウェイを各拠点の出入 口に設けることにより、 ネッ トワーク 2 0上でも暗号を利用することが できる。
図 1 に示したゲートウエイを各拠点の出入口に設ける代わりに、 暗号 装置 2 1 における暗号 Z復号処理の有無を当該暗号装置 2 1 に設定する ことによって、 ネッ トヮ一ク 2 0上で暗号を利用できるようにすること も可能である。 例えば、 暗号ソフ トがインス ト一ルされた端末どうしで 通信を行う場合は暗号装置 2 1で復号処理を行わないが、 暗号ソフ トが インス トールされていない端末との間で通信を行う場合は暗号装置 2 1 で復号処理を行う といった情報を暗号装置 2 1 に設定する。
この場合、 例えばセキユアネッ トワーク 1 0内のデスク トツプパソコ ン 7からネッ トワーク 2 0 を介して他の.拠点ネッ トヮ一ク内にある暗号 ソフ トを有する外部デバィスにデータを送出するようなときは、 まずデ スク トップパソコン 7にインス トールされている暗号ソフ トを用いてデ —夕を暗号化し、 ハブ 5 を介して暗号装置 2 1 に供給する。 次に暗号装 置 2 1 は、 受け取ったデータを復号化することなく、 ネッ トワーク 2 0 を介して外部デバイスに送出する。 当該外部デバイスは、 受け取ったデ 一夕を復号化し、 所望の処理に利用する。
逆に、 ネッ トワーク 2 0の先にある他の拠点ネッ トワーク内の外部デ バイスで暗号化されたデータをセキュアネッ 卜ワーク 1 0内のデスク ト ップパソコン 7 に送出するときも、 暗号装置 2 1 は、 ネッ トワーク 2 0 を介して外部デバイスより受け取ったデータを復号化することなく、 暗 号化された状態のままハブ 5 を介してデスク トップパソコン 7に供給す る。
なお、 暗号装置 2 1 に接続される複数台のデバイスは、 ネッ トワーク 2 0を介して接続されている必要は必ずしもなく、 暗号装置 2 1 に対し て直接あるいはハブを介して接続しても良い。 直接接続する場合、 暗号 装置 2 1は 2つ以上のポー卜を有することになる。
図 5は、 第 2の実施形態に係る暗号システムの他の構成例を示す図で ある。 なお、 この図 5 において、 図 4に示した構成要素と同一の機能を 有する構成要素には同一の符号を付している。 図 5に示す例も図 4に示 した例と同様に、 1台の暗号装置 2 1が複数台のデバイスに対して暗号 化によるセキュリティ を終端する例である。
図 5に示す例では、 セキュアネッ トワーク 1 0の内部は、 3台のパソ コン 7 ~ 9が全てアクセスボイント 6 に無線 L ANにて接続されている 。 さらにアクセスポイント 6は、 暗号装置 2 1 を介してネッ トワーク 2 0 に接続されている。
一般に、 有線のネッ トワークに比べて、 無線 L A Nはセキュリティ に 脆弱であり、 外部からのアタックを受けやすい。 無線 L ANに標準のセ キユリティ機能として、 S S I D (Service Set IDentif ier) と WE P (Wired Equivalent Privacy) を利用することが可能であるが、 これだ けを利用した標準無線 L A N環境では、 データの盗聴、 漏洩、 改ざん等 の恐れが高い。 また、 盗聴や漏洩に関しては、 被害にあっても検知しに くい。
これに対して、 本実施形態によれば、 拠点ネッ トワークの出入口に 1 つの暗号装置 2 1 を設置するだけで、 無線 L ANの内部で暗号化による セキュリティ を確保することができる。 よって、 データの盗聴、 漏洩、 改ざん等を有効に防ぐことができる。 なお、 図 5の例において、 暗号装置 2 1 とアクセスポイント 6 との間 を無線により接続するようにしても良い。
また、 上記図 4の例において、 暗号装置 2 1 の機能を小型の I Cに集 積化し、 その I Cをハブ 5の中に実装するようにしても良い。 また、 図 5の例においても同様に、 暗号装置 2 1 の機能を小型の I Cに集積化し 、 その I Cをアクセスポイント 6の中に実装するようにしても良い。 図 6は、 第 2の実施形態に係る暗号システムの更に別の構成例を示す 図である。 上記図 2〜図 5では、 本発明における 「或る拠点ネッ トヮ一 夕の内部にある他方の端末」 あるいは 「或る拠点ネッ トワークの内部に あって暗号処理機能を有する第 1 の端末」 の例として、 暗号ソフ トがィ ンス トールされたパソコン 7〜 9を挙げ、 暗号装置 1 , 1， ， 2 1 とパ ソコン 7〜 9 との間で暗号化によるセキュリティ を終端する例について 説明した。 ただし、 本発明の上記端末はこの例に限らず、 暗号装置 1， 1 ' , 2 1 と同様の機能を有する他の暗号装置も含む。 この場合の構成 例を示したのが図 6である。
図 6に示す例では、 拠点 A , Bの 2つの拠点ネッ トワーク 3 0 A , 3 0 Bが、 ルータ 4 O A， 4 0 Bおよびインターネッ ト等のネッ トワーク 2 0 を介して接続されている。 拠点 Aネッ トワーク 3 0 Aの中は、 ノ、。ソ コン 3 1 A〜 3 3 Aと暗号装置 2 1 A— ,〜 2 1 A— 3とにより企業内 L AN が構成されている。 パソコン 3 1 A〜 3 3 Aは何れも暗号ソフ トがイン ス トールされていない端末である。 また、 暗号装置 2 1八-1〜 2 1 八—3は 何れも図 4の暗号装置 2 1 と同様の機能を有するものであり、 一方のポ 一卜にはパソコン 3 1 A〜 3 3 Aが接続され、 他方のポートにはルータ 4 0 Aが接続されている。
拠点 Bネッ トワーク 3 0 Bの中も同様に、 ゾ°ソコン 3 1 B〜 3 3 Bと 暗号装置 2 1 B _,〜 2 1 B 3とにより企業内 L A Nが構成されている。 パ ソコン 3 1 B〜 3 3 Bは何れも暗号ソフ 卜がインス トールされていない 端末である。 また、 暗号装置 2 1 B— ,〜 2 1 B-3は何れも図 4の暗号装置 2 1 と同様の機能を有するものであり、 一方のポートにはパソコン 3 1 B〜 3 3 Bが接続され、 他方のポー卜にはルータ 4 0 Bが接続されてい る。
このような構成により、 異なる拠点ネッ トヮ一ク 3 O A, 3 0 Bに属 するパソコンの間では、 暗号装置 2 1 A— ,〜 2 1 A.3, 2 1 B .,~ 2 1 B .3 を介してデータ通信が行われる。 例えば、 拠点 Aネッ トワーク 3 0 A内 にあるパソコン 3 1 Aから拠点 Bネッ トワーク 3 0 B内にあるパソコン 3 3 Bにデータを送信するとき、 暗号装置 2 1 A-,は、 パソコン 3 1 A から与えられたデータを暗号化し、 ルータ 4 O A、 ネッ トワーク 2 0お よびルータ 4 0 Bを介して暗号装置 2 1 B— 3に送信する。 暗号装置 2 1 B 3は、 受け取ったデ一タを復号化してパソコン 3 3 Bに供給する。 こ れにより、 異なる拠点ネッ 卜ワーク 3 0 A， 3 0 B間で暗号を利用する ことができる。
また、 例えば拠点 Aネッ トワーク 3 0 Aの内部において、 暗号ソフ ト がインス ト一ルされていないパソコン 3 1 A ~ 3 3 Aどう しでは、 暗号 装置 2 1 A 〜 2 1 A_3を介してデータ通信が行われる。 例えば、 あるパ ソコン 3 1 Aから他のパソコン 3 3 Aにデータを送るとき、 暗号装置 2 1 A-,は、 パソコン 3 1 Aから与えられたデータを暗号化し、 暗号装置 2 1 A— 3に送信する。 暗号装置 2 1 A_3は、 受け取ったデータを復号化し てパソコン 3 3 Aに供給する。
拠点 Bネッ トワーク 3 0 Bの内部においても同様に、 暗号ソフ トがィ ンス トールされていないパソコン 3 1 B〜 3 3 Bどう しでは、 暗号装置 2 1 B―,〜 2 1 B— 3を介してデ一夕通信が行われる。 例えば、 あるバソコ ン 3 1 Bから他のパソコン 3 3 Bにデータを送るとき、 暗号装置 2 1 B は、 パソコン 3 I Bから与えられたデータを暗号化し、 暗号装置 2 1 B-3 に送信する。 暗号装置 2 1 B _3は、 受け取ったデータを復号化してパソ コン 3 3 Bに供給する。
このように、 暗号装置 2 1 A 〜 2 1 A_3, 2 I B— ,〜 2 1 Β—3は何れ も、 喑号ソフ トがインス ト一ルされていないパソコン 3 1 A〜 3 3 A , 3 1 B ~ 3 3 Bとの間では暗号化されていないデータの通信を行うとと もに、 暗号処理機能を有する端末である暗号装置 2 1 A„,〜 2 1 A-3， 2 1 B_,〜 2 1 B_3との間では暗号化されたデ一夕の通信を行うために暗号 化処理および暗号の復号化処理を行う。
以上のような暗号装置 2 1 A_,~ 2 1 A-3, 2 I B―,〜 2 I B— 3をパソ コン 3 1 A〜 3 3 A, 3 1 B〜 3 3 Bの直近にそれぞれ接続することに より、 異なる拠点ネッ トワーク 3 0 A， 3 0 Bの間は当然として、 暗号 ソフ トを有するパソコンが無い企業内 L A Nの中でも暗号を利用するこ とが可能となる。 これにより、 各拠点ネッ トワーク 3 0 A， 3 0 Bを、 外部からの不正侵入や攻撃によって L A N内部の機密情報が盗まれたり 改ざんされたりする危険性が少ないセキュアなネッ トワークとすること ができる。
なお、 上記図 6の例では、 各拠点ネッ トワーク 3 0 A , 3 0 Bは共に 、 暗号処理機能を有する端末 （暗号装置 ！^八 〜 ？ ：！ 八 ， S I B—, 2 1 B_3) を複数備えて構成されているが、 少なく とも一方の拠点ネッ ト ワークが暗号処理機能を有する端末を 1個だけ備える構成としても良い 。 例えば、 拠点ネッ トワーク 3 0 Aの中を、 1個のパソコン 3 1 Aと 1 個の喑号装置 2 1 A_,とを接続して構成しても良い。
この場合は、 図 6に示した構成と同様に、 異なる拠点ネッ トワーク 3 O A, 3 0 B間で暗号を利用することができる。 また、 拠点ネッ トヮー ク 3 O Aの中に関しては、 暗号装置 2 ：！ をパソコン 3 1 Aの直近に 接続しておく ことにより、 当該拠点ネッ トワーク 3 O Aの出入口と暗号 装置 2 1 A との間で暗号を利用することができる。
また、 上記図 6の例では、 2つの拠点ネッ トワーク 3 0 A , 3 0 Bを インターネッ ト 2 0で結び、 各拠点ネッ トワーク 3 O A, 3 O B内に暗 号装置 2 1 A— ,〜 2 1 A— 3， 2 1 B _,~ 2 1 B_3やパソコン 3 1 A ~ 3 3 A , 3 1 B〜 3 3 Bをそれぞれ備える例について示したが、 これに限定 されない。
例えば、 1つの拠点ネッ トワーク内に暗号装置 2 1 A— ,〜 2 1 A-3, 2 I B— ,〜 2 I B— 3およびパソコン 3 1 A〜 3 3 A， 3 1 B〜 3 3 Bを備え 、 暗号ソフ トがインス トールされていないパソコン 3 1 A〜 3 3 A , 3 1 B〜 3 3 Bの間におけるデータのやり取りを、 暗号装置 2 1 A 〜 2 1 A_3, S l B S l B-sを介して行うようにしても良い。 この場合は、 1つの拠点ネッ トワーク内において、 少なく とも暗号装置 2 1 A— ,〜 2 1 A -3, 2 1 B— ,〜 2 1 B -3の間では暗号を利用することができる。
また、 これ以外にも、 例えば図 2の構成において、 暗号ソフ トがイン ス トールされているパソコン 7の代わりに、 暗号ソフ トがインス トール されていないパソコンと暗号装置 1 とを用い、 暗号装置 1 をハブ 5 に接 続する構成としても良い。 この場合は、 暗号ソフ トをインス ト一ルでき ないネッ 卜ワークプリ ンタ 2、 D Bサーバ 3、 ネッ トヮ一クタ一ミナル 4などのデバイスと、 暗号ソフ 卜がインス トールされていないパソコン との間では、 両者の直近に接続された暗号装置 1 を介して暗号通信をす ることができる。
(第 3の実施形態）
次に、 本発明の第 3の実施形態について説明する。 図 7 は、 本実施形 態の暗号装置を適用した第 3の実施形態に係る暗号システムの構成例を 示す図である。 なお、 この図 7 において、 図 3および図 5 に示した構成 要素と同一の機能を有する構成要素には同一の符号を付している。
図 7に示す第 3 の実施形態は、 図 3に示した暗号装置 1 ' と図 5 に示 した暗号装置 2 1 とを組み合わせて喑号システムを構築したものである 。 この例によれば、 無線 L A Nの内部でセキュアネッ トワーク 1 0 を確 立することができるとともに、 暗号ソフ トを実質的にインス トールでき ないデバイスに対しても暗号を利用することができる。
(第 4の実施形態）
次に、 本発明の第 4の実施形態について説明する。 図 8は、 第 4の実 施形態に係る暗号装置 （暗号処理機能を搭載した中継装置） の構成例を 示す図である。 このうち図 8 ( a ) は、 上述した暗号装置 2 1 の機能を 実装した I Cチップ 5 0の構成例を示し、 図 8 ( b ) は、 この I Cチッ プ 5 0を搭載した携帯電話機 6 0の構成例を示す。
図 8 ( a ) に示すように、 上述した暗号装置 2 1 の機能を実現する I Cチップ 5 0は、 C P U 5 1 、 R OM 5 2、 RAM 5 3、 アクセスコン トローラ 5 4およびインタフェース部 5 5などの機能ブロックを備えて いる。 C P U 5 1 は、 アクセスコントローラ 5 4により R OM 5 2や R AM 5 3にアクセスする。 そして、 R OM 5 2 に格納されたプログラム に従って、 R AM 5 3 をワークエリアとして動作し、 データの暗号化 復号化処理等を行う。 インタフエ一ス部 5 5は、 C P U 5 1 により処理 されるデータまたは処理されたデータを、 I Cチップ 5 0の外部とやり 取りする。
また、 図 8 ( b ) に示すように、 上述の I Cチップ （暗号チップ） 5 0は、 携帯電話機 6 0の送受信部とベースパンド処理部 6 5 との間に実 装される。 送受信部は、 何れも公知のアンテナ 6 1、 アンテナスィッチ 6 2、 R F部 （高周波処理部） 6 3、 I F部 （中間周波処理部） 6 4を 含む。 この送受信部は、 例えば無線 L ANや Bluetooth等に対応し、 パ ソコンや P D A (Personal Digital Assistants) 等の外部端末との間で データの送受信を行う。
このように構成した携帯電話機 6 0は、 例えば、 図 5 に示す暗号装置 2 1の代わりに用いることができる。 この場合において、 例えば、 セキ ユアネッ トワーク 1 0内のデスク トップパソコン 7から、 ネッ トワーク 2 0を介して他の拠点ネッ トワーク内にあるデバイスにデータを送出す るようなときは、 まずデスク トップパソコン 7 にインス ト一ルされてい る暗号ソフ トを用いてデータを暗号化し、 それを携帯電話機 6 0 に送信 する。 次に携帯電話機 6 0は、 受け取ったデータを暗号チップ 5 0にて 復号化し、 ネッ トワーク 2 0を介して他の拠点ネッ トヮ一ク内のデバィ スに送出する。
また、 例えば他の拠点ネッ トワーク内のデバイスにて管理されている データをセキュアネッ トワーク 1 0内のラップトップパソコン 9 に取り 込むときは、 当該他の拠点ネッ トワーク内のデバイスは、 与えられる要 求に応じて該当するデ一夕をネッ トヮ一ク 2 0に送出する。 この暗号化 されていないデータを受け取った携帯電話機 6 0は、 そのデータを暗号 チップ 5 0にて暗号化し、 ラップトップパソコン 9に送信する。 ラップ トップパソコン 9は、 受け取ったデータを複号化し、 所望の処理に利用 する。
このように、 暗号装置 2 1 の機能をチップ化し、 それを携帯電話機 6 0に組み込むことにより、 当該携帯電話機 6 0 を用いた無線 L AN環境 において暗号化によるセキュリティ を実現することができる。
なお、 ここでは携帯電話機 6 0を図 5の暗号装置 2 1 の代わりに用い る例について説明したが、 図 3の暗号装置 1 ' の代わりに用いても良い 。 この場合、 ネッ トワークプリ ンタ 2、 D Bサーバ 3、 ネッ トワーク夕 一ミナル 4との間を槃ぐ線は無線となるが、 その部分では上述したよう に暗号を利用できない。 したがって、 これらのデバイス 2〜 4と携帯電 話機 6 0 との物理的な距離が短い状態で使用することが条件となる。 また、 こ こでは携帯電話機 6 0 に I Cチップ 5 0 を実装する例につい て説明したが、 その他にも、 通信インタフエ一スを持つ電子機器であれ ば何れにも適用することが可能である。
以上、 第 1〜第 4の実施形態について説明したが、 これらの実施形態で用い る暗号化のアルゴリズムについては、 本発明では特に限定しない。 すなわち、 公知の何れの暗号アルゴリズムも適用することが可能である。
また、 上述の各実施形態では、 ネットワークとして仮想専用線を用いる例に ついて説明したが、 本実施形態の暗号装置が接続される回線は仮想専用線に限 定されるものではない。
その他、 以上に説明した各実施形態は、 何れも本発明を実施するにあ たっての具体化の一例を示したものに過ぎず、 これによつて本発明の技 術的範囲が限定的に解釈されてはならないものである。 すなわち、 本発 明はその精神、 またはその主要な特徴から逸脱することなく、 様々な形 で実施することができる。
本発明は上述したように、 ネッ トワークを介してデータ通信を行う端 末の間に専用の暗号装置等を接続し、 当該暗号装置等において、 或る拠 点ネッ トワークの内部または外部にある一方の端末から受信したデータ を暗号化して或る拠点ネッ トワークの内部にある他方の端末に送信する とともに、 他方の端末から受信したデータの暗号を復号化して一方の端 末に送信するようにしたので、 専用の暗号ソフ トをインス トールできな い端末を有する企業内 L A Nの中でも暗号を利用することができるよう になり、 外部からの不正侵入や攻撃によって L A N内部の機密情報が盗 まれたり改ざんされたりする危険性を低減することができる。
また、 本発明では、 例えば仮想専用線により接続される複数の拠点ネ ッ トワークのうち、 1つの拠点ネッ トワークの閉じた世界の中だけでも 暗号を利用することができる。 例えば、 他の拠点ネッ トワーク内に暗号 ソフ トをインス トール可能な端末が存在しないような場合や、 他の拠点 ネッ トワーク内に膨大な数の端末があってこれら全てに暗号ソフ トをィ ンス 卜一ルすることが現実的でないような場合などにも、 少なく とも 1 つの拠点ネッ トワーク内だけで暗号を利用することができる。 例えば、 1つの拠点ネッ トワークを構成する無線 L A Nだけでも暗号による保護 を図ることができる。 産業上の利用可能性
本発明は、 専用の暗号ソフ トをインス トールできない端末を有する企 業内 L A Nの中でも暗号を利用して、 外部からの不正侵入や攻撃によつ て L A N内部の機密情報が盗まれたり改ざんされたりする危険性を低減 できるようにするのに有用である。
また、 本発明は、 複数の拠点間で情報通信を行う場合において、 1つ の閉じた拠点ネッ トワーク内だけでも暗号を利用できるようにするのに 有用である。 ·

Claims

請 求 の 範 囲
1 . ネッ トワークを介してデータ通信を行う複数の端末と、 上記複数の 端末の間に設置される専用の暗号装置もしくは暗号処理機能を搭載した 中継装置とを直接または間接的に接続した暗号システムであって、 上記暗号装置もしくは上記中継装匱において、 或る拠点ネッ トワーク の内部または外部にある一方の端末から受信したデータを暗号化して上 記或る拠点ネッ トワークの内部にある他方の端末に送信するとともに、 上記他方の端末から受信したデータの暗号を復号化して上記一方の端末 に送信するようにしたことを特徴とする暗号システム。
2 . ネッ トワークを介してデータ通信を行う複数の端末と、 上記複数の 端末の間に設置される専用の暗号装置もしくは暗号処理機能を搭載した 中継装置とを直接または間接的に接続した暗号システムであって、 上記暗号装置もしくは上記中継装置において、 或る拠点ネッ トワーク の外部にある上記ネッ トワークから受信したデータを暗号化して上記或 る拠点ネッ トワークの内部にある上記端末に送信するとともに、 上記端 末から受信したデータの暗号を復号化して上記ネッ トワークに送信する ようにしたことを特徴とする暗号システム。
3 . 或る拠点ネッ トワークの内部にあって暗号処理機能を有する第 1 の 端末と、 上記或る拠点ネッ トワークの内部または外部にあって暗号処理 機能を有しない第 2の端末と、 上記第 1 の端末と上記第 2の端末との間 に配置されデ一夕の暗号化処理および復号化処理を行う暗号装置もしく は中継装置とを、 有線または無線のネッ トワークを介して接続した暗号 システムであって、
上記暗号装置もしくは中継装置は、 上記第 1の端末との間で暗号化に よるセキュリティ を終端するためにデ一夕の暗号化処理および復号化処 理を行う暗号/復号手段と、 '
一のポートより入力され上記暗号 復号手段により暗号化処理または 復号化処理が施されたデータを他のポートに出力するデータ転送手段と を備えたことを特徴とする暗号システム。
4 . 上記暗号/復号手段は、 上記第 1 の端末との間では暗号化されたデ —夕の通信を行うとともに、 上記第 2の端末との間では暗号化されてい ないデータの通信を行うために上記暗号化処理および上記復号化処理を 行う ことを特徴とする請求の範囲第 3項に記載の暗号システム。
5 . 上記中継装置は、 上記暗号 Z復号手段の機能を集積化した半導体チ ップを備えることを特徴とする請求の範囲第 3項に記載の暗号システム
6 . 上記半導体チップは信号の送受信部とベ一スパンド処理部との間に 備えられることを特徴とする請求の範囲第 5項に記載の暗号システム。
7 . ネッ トワークを介してデータ通信を行う複数の端末間に直接または 間接的に接続され、
或る拠点ネッ トワークの内部または外部にある一方の端末から受信し たデータを暗号化して上記或る拠点ネッ トワークの内部にある他方の端 末に送信するとともに、 上記他方の端末から受信したデータの暗号を復 号化して上記一方の端末に送信するようにしたことを特徴とする暗号装 置。
8 . ネッ トワークを介してデータ通信を行う端末と当該ネッ トワークと の間において、 上記端末に対して直接または間接的に接続され、 或る拠点ネッ トワークの外部にある上記ネッ トワークから受信したデ —夕を暗号化して上記或る拠点ネッ トワークの内部にある上記端末に送 信するとともに、 上記端末から受信したデータの暗号を復号化して上記 ネッ トワークに送信するようにしたことを特徴とする暗号装置。
9 . ネッ トワークを介してデータ通信を行う複数の端末間であって、 或 る拠点ネッ トワークの内部にある一方の端末の直近に直接または間接的 に接続され、
上記或る拠点ネッ トワークの内部または外部にある他方の端末から受 信したデータの暗号を復号化して上記一方の端末に送信するとともに、 上記一方の端末から受信したデータを暗号化して上記他方の端末に送信 するようにしたことを特徴とする暗号装置。
1 0 . 或る拠点ネッ トワークの内部にあって暗号処理機能を有する第 1 の端末と、 上記或る拠点ネッ トワークの内部または外部にあって暗号処 理機能を有しない第 2の端末との間に有線または無線のネッ トワークを 介して接続され、
上記第 1の端末との間で暗号化によるセキュリティ を終端するために データの暗号化処理および復号化処理を行う暗号/復号手段と、 一のポ一卜より入力され上記暗号/復号手段により暗号化処理または 復号化処理が施されたデータを他のボートに出力するデータ転送手段と を備えたことを特徴とする暗号装置。
1 1 . 上記暗号 Z復号手段は、 上記第 1 の端末との間では暗号化された データの通信を行う とともに、 上記第 2の端末との間では暗号化されて いないデータの通信を行うために上記暗号化処理および上記復号化処理 を行うことを特徴とする請求の範囲第 1 0項に記載の暗号装置。
1 2 . 上記暗号 Z復号手段および上記データ転送手段の機能を半導体チ ップに集積化することによって構成したことを特徴とする請求の範囲第 1 0項に記載の喑号装置。
1 3 . 或る拠点ネッ トワークの内部にあって暗号処理機能を有しない第 1 の端末と、 上記或る拠点ネッ トワークの内部または外部にあって暗号 処理機能を有する第 2の端末との間であって、 上記第 1 の端末の直近に 有線または無線のネッ トワークを介して接続され、
上記第 1 の端末との間で暗号化によるセキュ リティ を終端するために データの暗号化処理および復号化処理を行う暗号/復号手段と、 一のポートより入力され上記暗号 Z復号手段により暗号化処理または 復号化処理が施されたデータを他のポー トに出力するデータ転送手段と を備えたことを特徴とする暗号装置。
PCT/JP2003/005267 2002-07-26 2003-04-24 暗号システムおよび暗号装置 WO2004012386A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2002218590 2002-07-26
JP2002-218590 2002-07-26

Publications (1)

Publication Number Publication Date
WO2004012386A1 true WO2004012386A1 (ja) 2004-02-05

Family

ID=31184685

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2003/005267 WO2004012386A1 (ja) 2002-07-26 2003-04-24 暗号システムおよび暗号装置

Country Status (2)

Country Link
TW (1) TWI276018B (ja)
WO (1) WO2004012386A1 (ja)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07107083A (ja) * 1993-10-06 1995-04-21 Nippon Telegr & Teleph Corp <Ntt> 暗号通信システム

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH07107083A (ja) * 1993-10-06 1995-04-21 Nippon Telegr & Teleph Corp <Ntt> 暗号通信システム

Also Published As

Publication number Publication date
TWI276018B (en) 2007-03-11
TW200402010A (en) 2004-02-01

Similar Documents

Publication Publication Date Title
US7876897B2 (en) Data security in wireless network system
JP4615308B2 (ja) 暗号装置および方法、暗号システム
US7574737B1 (en) Systems and methods for secure communication over a wireless network
US20060031936A1 (en) Encryption security in a network system
WO2008007432A1 (en) Relay device
JP2005525047A (ja) セキュアな無線ローカルエリアネットワーク又は無線メトロポリタンエリアネットワーク、及び関連する方法
US20120272310A1 (en) Systems and methods for secure communication over a wireless network
WO2006118603A2 (en) Systems and methods for the application of cryptosystems to the data link layer of wireless packet networks
JP2006109449A (ja) 認証された無線局に暗号化キーを無線で提供するアクセスポイント
JP2007039166A (ja) エレベータの遠隔監視システム
US20080072033A1 (en) Re-encrypting policy enforcement point
JP4594081B2 (ja) 暗号化の一元集中管理システム
KR101784240B1 (ko) 넌어드레스 네트워크 장비를 이용한 통신 보안 시스템 및 방법
JP2007043566A (ja) 無線ｌａｎの暗号制御装置および暗号化システム
WO2004012386A1 (ja) 暗号システムおよび暗号装置
Li et al. Encryption as an effective tool in reducing wireless LAN vulnerabilities
Cisco Introduction to IPSec
WO2005091581A1 (ja) セキュリティゲートウェイ装置
Esfandi et al. Mobile agent security in multi agent environments using a multi agent-multi key approach
WO2005117373A1 (ja) Ｉｐ電話機を終端端末とした暗号システム
JP4757088B2 (ja) 中継装置
Singh Wireless Network Components &Security Protocol.
JP2006295401A (ja) 中継装置
JP4783665B2 (ja) メールサーバ装置
JP2007019633A (ja) 中継コネクタ装置及び半導体回路装置

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): CN JP KR US

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IT LU MC NL PT RO SE SI SK TR

DFPE Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed before 20040101)
121 Ep: the epo has been informed by wipo that ep was designated in this application
122 Ep: pct application non-entry in european phase
NENP Non-entry into the national phase

Ref country code: JP

WWW Wipo information: withdrawn in national office

Country of ref document: JP