WO2006087819A1 - 通信装置 - Google Patents

通信装置 Download PDF

Info

Publication number
WO2006087819A1
WO2006087819A1 PCT/JP2005/002734 JP2005002734W WO2006087819A1 WO 2006087819 A1 WO2006087819 A1 WO 2006087819A1 JP 2005002734 W JP2005002734 W JP 2005002734W WO 2006087819 A1 WO2006087819 A1 WO 2006087819A1
Authority
WO
WIPO (PCT)
Prior art keywords
call
information
message
request
key information
Prior art date
Application number
PCT/JP2005/002734
Other languages
English (en)
French (fr)
Inventor
Natsuko Arai
Tatsuhiro Ando
Original Assignee
Fujitsu Limited
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Limited filed Critical Fujitsu Limited
Priority to PCT/JP2005/002734 priority Critical patent/WO2006087819A1/ja
Priority to JP2007503556A priority patent/JPWO2006087819A1/ja
Publication of WO2006087819A1 publication Critical patent/WO2006087819A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords

Definitions

  • the present embodiment relates to a communication device, a call control device, and a relay device that enable eavesdropping prevention in an IP telephone service and enable a caller to intercept a call.
  • VoIP Voice over Internet Protocol
  • IP network such as the Internet or an intranet.
  • VoIP telephones using the Internet are called Internet telephones.
  • a telephone service provided using VoIP technology on an IP network independent of the Internet is sometimes called an IP telephone.
  • VoIP technology a telephone service provided using VoIP technology on an IP network independent of the Internet
  • IP telephone By converting voice signals into data and using the Internet as part of the communication network, it is possible to provide a lower-priced telephone service than a fixed telephone regardless of the distance to the other party.
  • IP phone terminals are independently encrypted, encrypted between terminals of the same vendor (model), or for each network managed by a telecommunications carrier. A method of performing encryption for each is employed.
  • FIG. 15 is a diagram showing an overall configuration of a voice packet according to a conventional unique signal.
  • the communication system in Fig. 15 connects a call processing server 102 used to establish a call between a transmitting terminal and a receiving terminal, an IP telephone terminal 104 installed as a user terminal, and an IP telephone terminal 104. It consists of a possible home gateway 106, a firewall 108 installed in a corporate organization, and an edge router 110 installed in a carrier IP network that controls voice packets from each IP telephone terminal 104.
  • each IP telephone terminal 104 performs its own encryption and decryption, Key information used for encoding and decryption is managed by each IP telephone terminal 104. For this reason, voice packets can be encrypted only between a plurality of IP telephone terminals 104 that can execute the same encryption and decryption. In other words, calls using encryption cannot be made between IP telephone terminals 104 of different vendors (models).
  • Patent Document 1 discloses a system in which a gateway controller generates and holds an encryption key and makes a call using encryption.
  • the key number held by one gateway controller is sent to the other gateway controller with the key number information included in the signaling message.
  • the partner gateway controller sends and approves key information to the partner CTA (cable 'terminal' adapter). After approval, the voice packet is encrypted and decrypted by CTA using the key generated by the gateway controller.
  • Patent Document 1 does not describe in detail which network the gateway controller belongs to. However, when installed in an access network, it is not secure in the management of key information because it can be easily accessed by a third party. Also, when installed in a home (company), when a certain institution such as the police organization needs to intercept a specific user's call, the key information is obtained by intruding into the gateway controller installed in the home. There must be. Patent Document 1: Japanese Translation of Special Publication 2003-521834
  • the above conventional technology has a problem that calls using encryption cannot be performed between IP telephone terminals of different vendors (models).
  • the present invention realizes a communication device and a call control device for securely managing key information in an access network, and encryption capable of preventing eavesdropping and intercepting a call in an IP telephone service.
  • An object is to provide a communication device, a call control device, and a relay device.
  • the present invention provides a call request generation unit that generates a call request for establishing a telephone call with the callee, and the encryption performed on the caller is called
  • the key information processing unit that carries the key information for cancellation on the side and the information indicating the type of encryption algorithm used for encryption into the call request, and the call request with the information loaded
  • a call request transmission unit to be transmitted to the called party, and a response including key information for decryption performed on the called party and information indicating that the encryption algorithm is usable is received from the called party. It is characterized by including a receiving unit.
  • (i) key information for canceling encryption performed on the calling side and information indicating the type of encryption algorithm used for encryption are loaded.
  • a response including information indicating that the encryption algorithm used by the called party and the encryption algorithm can be used is sent to the called party. Since it is received from the called party, key information can be exchanged when establishing a call.
  • the present invention is analyzed by the analysis unit as being included in a reception unit that receives a message for establishing a call from a communication terminal, an analysis unit that analyzes the message, and a key information S message.
  • a storage unit for identifying the subscriber of the communication terminal and storing the key information in association with the subscriber identification information, and receiving an intercept setting request including the subscriber identification information from an external device
  • a setting request receiving unit that transmits a message including key information and subscriber identification information to an external device when the analysis unit analyzes that a message related to subscriber identification information included in the intercept setting request has been received. It is characterized by including.
  • the analysis unit analyzes that a message related to the subscriber identification information included in the intercept setting request is received, the message including the key information and the subscriber identification information is transmitted to the external device. Can do.
  • the present invention also provides a storage unit, a designation unit that specifies subscriber identification information that identifies a communication terminal of an intercept target, and a carrier to which the communication terminal belongs from the storage unit using the subscriber identification information as a search key.
  • Carrier search unit for searching for a relay device on the communication terminal side from the storage unit using the network configuration information and subscriber identification information of the searched carrier Communicating to the call control device that manages the request for establishing a call and the mirroring setting request unit for sending a mirroring setting request to the relay device for mirroring and receiving the voice packet related to the communication terminal from the relay device
  • a setting request unit that transmits an intercept setting request including subscriber identification information is included.
  • a call control device for managing a request for establishing a call by transmitting a mirroring setting request for mirroring and receiving a voice packet related to a communication terminal from the relay device to the relay device.
  • an intercept setting request including subscriber identification information can be transmitted.
  • the present invention provides a mirroring setting unit for setting a voice packet including an IP address included in the mirroring setting request as a mirroring target when receiving a mirroring setting request for requesting mirroring of the voice packet. It includes a search unit that determines whether or not a received voice packet includes an IP address, and a transmission unit that mirrors and transmits a voice packet when a voice packet including an IP address is received.
  • the voice packet including the IP address included in the mirroring setting request is set as a mirroring target, and when the voice packet including the IP address is received, the voice packet is mirrored and transmitted. Can do.
  • calls can be made using encryption between IP telephone terminals of different vendors (models).
  • the key organization can easily obtain the key information, and the key information can be safely managed in the access network.
  • FIG. 1 is a diagram showing an overall configuration of an encrypted communication system in the present embodiment.
  • FIG. 2 is a functional block diagram showing configurations of a home gateway and an IP telephone terminal in the present embodiment.
  • FIG. 3 is a functional block diagram showing a configuration of a call processing server in one embodiment of the present invention.
  • FIG. 4 is a flowchart for explaining key exchange between communication terminals in an embodiment of the present invention. It is.
  • FIG. 5 is a flowchart for explaining a negotiation procedure of key information exchange in an embodiment of the present invention.
  • FIG. 6] is a diagram showing an example of a key information management table in an embodiment of the present invention.
  • FIG. 7] is a diagram showing an example of a key information management procedure (key information acquisition sequence) in an embodiment of the present invention.
  • FIG. 8] is a diagram showing an example of a key information management procedure (key information deletion sequence) in an embodiment of the present invention.
  • FIG. 9 is a functional block diagram showing a configuration of a communication device dedicated to interception in an embodiment of the present invention.
  • FIG. 10 is a flowchart for explaining call intercept setting in an embodiment of the present invention.
  • FIG. 11 is a flowchart for explaining call intercept setting in one embodiment of the present invention.
  • 12 A flowchart for explaining a mirroring target device and a method for identifying a target packet in one embodiment of the present invention.
  • FIG. 13 is a diagram for explaining a mirroring target device and a method for specifying a target packet in an embodiment of the present invention.
  • FIG. 14 is a diagram illustrating a procedure for managing call interception of a plurality of communication terminals in an embodiment of the present invention.
  • Intercepted voice packet processor Decryption processor 70 Communication interception 'Key data processing unit
  • the configuration of the embodiment is an exemplification, and the present invention is not limited to the configuration of the embodiment.
  • this embodiment can be implemented by hardware and software.
  • software consisting of programs
  • various functions can be realized by installing the programs that make up the software into hardware such as a computer.
  • the program is installed in a computer or the like through a communication line or using a computer-readable storage medium.
  • the computer-readable storage medium is a storage medium that can store information such as data and programs by electrical, magnetic, optical, mechanical, or chemical action and can be read by a computer.
  • Examples of such a storage medium that can be removed from the computer include a flexible disk, a magneto-optical disk, a CD-ROM, a CD-R / W, a DVD, a DAT, an 8 mm tape, and a memory card.
  • hard disks and ROMs Read Only Memory
  • FIG. 1 is a diagram showing an example of the overall configuration of a cryptographic communication system in the present embodiment.
  • the communication system in 1 is an IP telephone terminal 2 or analog telephone terminal 4 installed as a user terminal, a home gateway 8 that can be connected to a computer 6, etc.
  • Call processing server 10 used to establish a call between the terminal and the receiving terminal 10, dedicated interception communication device 12 (dedicated device) installed in a dredging organization such as the police mechanism, installed in a corporate organization It consists of a firewall 14 and an edge router 16 placed in a carrier IP network that controls voice packets from each IP telephone terminal 2.
  • the VoIP GW18 (Voice over IP Gate Way) is provided with the encryption 'decryption function of this embodiment described in Fig. 2 so that calls to PSTN20 (public switched telephone network) can be made. .
  • the voice signal decoded by the VoIP GW 18 can be transmitted to the general telephone 24 through the exchange 22.
  • the voice signal from the general telephone 24 can be sent to the carrier IP network through the exchange 22 and VoIP GW18.
  • FIG. 1 shows an example in which the encryption and decryption of the present embodiment are performed by the home gateway 8, the firewall 14, and the VoIP GW 18.
  • the IP telephone terminal 2 may perform encryption and decryption.
  • the basic operation of this embodiment will be described using an example in which a call is made from an IP telephone terminal 2 in a general home to an IP telephone terminal 2 on the company side.
  • the call request SIP message
  • the general home IP phone terminal 2 is sent to the call processing server via the home gateway and the edge router 16. 1 Sent to 0.
  • the home gateway 8 embeds key information for decrypting the voice packet encrypted by the home gateway 8 in the call request and transmits it.
  • the call request is encrypted by an encryption method different from the encryption of the voice packet.
  • the encryption of the call request can be decrypted by the call processing server 10.
  • the call processing server 10 decrypts the received call request. Then, the call processing server 10 extracts the key information from the call request including the key information, and associates the key information with the user information (such as caller subscriber ID, caller location information, callee location information). Memorize temporarily.
  • the call processing server 10 manages the IP address of the IP telephone terminal 2.
  • the call processing server 10 functions as a call processing server for the IP telephone terminal 2.
  • the IP phone 2 that is the transmission source transmits a call request to the other IP telephone terminal 2 corresponding to the destination to the call processing server 10 in accordance with SIP that is a call control protocol of the application layer.
  • Call processing server 10 transfers the received call request to the destination.
  • the call processing server 10 when the call processing server 10 receives the call request transmitted from the IP telephone terminal 2, the call processing server 10 searches the IP address of the company-side IP telephone terminal 2 corresponding to the destination, and the searched IP address. The call request is forwarded to the address. Then, a call request is received via the firewall 14 to the IP telephone terminal 2 on the destination company side.
  • the firewall 14 extracts key information and temporarily stores the key information in association with user information (sender subscriber ID, sender location information, etc.).
  • the IP telephone terminal 2 on the company side Upon receiving the call request, the IP telephone terminal 2 on the company side transmits a response message (SIP message) in response to the call request.
  • SIP message response message
  • the firewall 14 receives the SIP message from the IP phone terminal 2 on the company side, the key information for decryption is embedded in the SIP message.
  • the key information embedded here is key information for decrypting the voice packet encrypted by the firewall 14 at the home gateway 8.
  • the firewall 14 transmits a SIP message to the call processing server 10 via the edge router 16.
  • the SIP message is encrypted by an encryption method different from the encryption of the voice packet.
  • the encryption of the response is an encryption that can be decrypted by the call processing server 10.
  • the call processing server 10 When the call processing server 10 receives the response including the key information for the call request, the call processing server 10 extracts the key information included in the SIP message, and the user information (caller subscriber ID, caller location information, etc.), etc. Temporarily stored in association with. As a result, the key information of both the transmission source and the reception destination is associated and temporarily stored.
  • the call processing server 10 transmits a SIP message to the home gateway 8 via the edge router 16.
  • the home gateway 8 extracts the key information from the SIP message received from the company and temporarily stores the key information.
  • FIG. 2 is a functional block diagram showing the configuration of the home gateway 8, the IP telephone terminal, etc. (corresponding to the “communication device” of the present invention) in this embodiment.
  • the home gateway 8 or the like includes (i) hardware 26 including a NIC (Network Interface Card) used to connect a computer to a network, (ii) an operating system 28 (operating system), and (iii) TCPZlP processing. Middleware function module 30 that performs encryption processing, etc., (iv) SIP control unit 36 including key information processing unit 32 and call processing signal processing unit 34, (V) Subscriber data and key information of destination and sender The subscriber data table 38 stores the data in association with each other, and (vi) a voice packet encryption / decryption processing unit 40 is included.
  • hardware 26 including a NIC (Network Interface Card) used to connect a computer to a network
  • an operating system 28 operating system
  • TCPZlP processing TCPZlP processing.
  • Middleware function module 30 that performs encryption processing, etc.
  • SIP control unit 36 including key information processing unit 32 and call processing signal processing unit 34
  • V Subscriber data and key information of destination and sender
  • the subscriber data table 38 stores
  • the SIP control units 36 of the home gateway 8 and the firewall 14 are IP phone terminals only need to provide conventional IP phone functions.
  • the SIP control unit 34 of the IP telephone terminal may function.
  • the hardware 26 receives an Ethernet (registered trademark) frame (
  • Ethernet (registered trademark) frame) is converted into an IP packet and passed to the operating system 28.
  • the hardware 26 converts the IP packet received from the operating system 28 into an Ethernet (registered trademark) frame and transmits it to the outside.
  • an IP packet is passed between the middleware function module 30 and the operating system 28. Further, SIP messages are passed between the middleware function module 30 and the call processing signal processing unit 34, and between the call processing signal processing unit 34 and the key information processing unit 32.
  • the call processing signal processing unit 34 generates a call processing signal (SIP message) for establishing a call (corresponding to the “call request generating unit” of the present invention), and passes it to the key information processing unit 32. Call processing communication When the signal processing unit 34 receives the response to the call request, it passes it to the key information processing unit 32.
  • SIP message a call processing signal for establishing a call
  • the key information processing unit 32 When the key information processing unit 32 receives the call request, it generates key information (corresponding to the “key information processing unit 32” of the present invention). The key information processing unit 32 uses time information and the like to generate different key information (encryption key and decryption key, or common key) each time a call is made. Next, the key information processing unit 32 associates key information (encryption key, common key) and the key information in association with information for specifying the call request (for example, “call-ID” shown in FIG. 6). The information indicating the type of the ⁇ signal hierarchy used to generate the password is registered in the subscriber data table 38.
  • the encryption algorithm is not limited to a specific encryption algorithm, and a general coding algorithm can also be used.
  • the ⁇ ⁇ ⁇ communication protocol is not limited to a specific protocol, and general-purpose algorithms such as IPsec and SRTP (Secure RTP) can be used.
  • the encryption key is used to encrypt the audio signal to be transmitted to the destination, and the decryption key is embedded in the call request and transmitted to the destination. Further, when receiving the response to the call request, the key information processing unit 32 extracts the destination key information (decryption key) from the SIP message and registers it in the subscriber data table 38 in association with the encryption key.
  • the key information processing unit 32 embeds the generated key information (decryption key, common key) in the SIP extension unit of the SIP message.
  • the key information processing unit 32 passes the SIP message to the middleware function module 30 through the call processing signal processing unit 34 for transmission to the call processing server 10.
  • the encryption processing unit of the middleware function module 30 encrypts the SIP message as an IP packet.
  • voice packet encryption 'decryption processing unit 40 stores the stored key information
  • the voice packet to be transmitted is encrypted using the (encryption key, common key), and the received voice packet is decrypted using the key information (decryption key, common key) received from the destination (the present invention Equivalent to “Encryption Processing Unit” and “Decryption Processing Unit”).
  • the key information processing unit 32 extracts key information (decryption key, common key) from the call request power.
  • the key information processing unit 32 associates the key information with the user information of the sender included in the call request (sending subscriber ID, caller location information, encryption algorithm, key information (decryption key), etc.). To the subscriber data table 38.
  • the key information processing unit 32 When the response message is generated, the key information processing unit 32 generates key information (encryption key and decryption key), associates the encryption key with the user data of the sender, and stores the subscriber data table 38. Register with The key information processing unit 32 embeds the decryption key in the response message and transmits it to the transmission source. For voice packet encryption and decryption, processing similar to that for sending a call request is performed.
  • FIG. 3 is a functional block diagram showing a configuration example of the call processing server 10 in one embodiment of the present invention.
  • the call processing server 10 includes (i) a NIC used to connect the computer to the network.
  • Hardware 26 including (Network Interface Card), (ii) Server operating system 42, (iii) Middleware function module 30 that performs TCP / IP processing and encryption processing, (iv) SIP register control unit 44, SIP call It includes a SIP software function module 54 including a control unit 46, a subscriber information table 48, a key information data processing unit 50, and a subscriber data cache table 52.
  • the hardware 26 receives an Ethernet (registered trademark) frame (
  • Ethernet (registered trademark) frame) is converted into an IP packet and passed to the server operating system 42.
  • the hardware 26 converts the IP packet received from the server operating system 42 into an Ethernet (registered trademark) frame and transmits it to the outside.
  • an IP packet is passed between the middleware function module 30 and the server operating system 42.
  • a SIP message is passed between the middleware function module 30 and the SIP call control unit 46.
  • a SIP register message is passed between the SIP call controller 46 and the SIP register controller 44.
  • the middleware function module 30 (i) controls basic TCPZIP termination processing and encryption with middleware, and (ii) delivers a SIP message or the like as application data to the SIP software function module.
  • the SIP call control unit 46 performs basic operations of SIP call control such as call establishment and call disconnection.
  • the SIP call control unit 46 receives the call request, it sends the SIP register control unit 44 to the SIP register control unit 44. Pass the message.
  • the SIP call control unit 46 receives an intercept setting request including information (such as a calling subscriber ID) for identifying the intercepted person from the interception-only communication device 12, the SIP call control unit 46 sends the key information and the intercepted person to the interception-only communication device 12. And a response message including information for specifying (corresponding to “analysis unit” and “transmission unit” of the present invention).
  • the SIP register control unit 44 transfers SIP subscriber terminal information (IP phone terminal information: calling party subscriber ID, called party ID, IP address port, etc.) from the SIP register message to the subscriber information table 48. sign up.
  • SIP subscriber terminal information IP phone terminal information: calling party subscriber ID, called party ID, IP address port, etc.
  • the key data processing unit analyzes and extracts the SIP message key information (corresponding to "analysis unit” and “extraction unit” of the present invention). Next, the key data processing unit registers the key information in the subscriber data cache table 52.
  • the subscriber data cache table 52 stores session information and key information of a call during a call (corresponding to the “storage unit” of the present invention).
  • FIG. 6 is a diagram showing an example of a key information management table in an embodiment of the present invention.
  • the Call-ID column is ro information for managing call session information, and is identification information assigned for each call request unit.
  • the calling subscriber ID (DN / SIP-URI) field is information for identifying the calling subscriber and corresponds to the telephone number of the general telephone 24.
  • Caller location information (IP address: port number) column is the location information of the calling subscriber, and is used to specify the address information.
  • Callee location information (IP address: port number) column is location information of the called subscriber and is information for identifying address information.
  • the ⁇ Signal algorithm column is information for identifying the type of the ⁇ sign algorithm used for the encryption of the voice packet.
  • the authentication method column is information for identifying the authentication method and the type of encryption key.
  • the types of authentication methods include pre-shared secret key (Pre-Shared-Key) and public key (Public
  • Fig. 6 “1” in the authentication method column indicates that the “pre-shared secret key” is used for authentication of the user terminal.
  • FIG. 4 is a flowchart for explaining key exchange between communication apparatuses (terminals ZHGW) according to an embodiment of the present invention.
  • Communication device A transmits a call request message (INVITE) to the other communication device.
  • the call processing server 10 obtains the caller side decryption key from the call request message and temporarily stores the key information.
  • the call processing server 10 specifies the destination of the communication apparatus B of the other party and transfers the call request message (INVITE).
  • Communication device B transmits a success response message (200 K) to communication device A.
  • the call processing server 10 obtains the called party decryption key from the success response message, and temporarily stores the key information.
  • the call processing server 10 identifies the destination of the communication device A and transfers a success response message.
  • RTP session telephone call
  • call processing server 10 When a call end message (BYE) is transmitted from communication terminal A, call processing server 10 deletes the record including the key information from the key information management table.
  • the 100s are provisional responses, indicating that a request (INVITE) has been received and is being processed (eg 100 Trying, 180 Ringing).
  • the 200 series is a successful response, indicating that the request has been understood and accepted (eg 200 OK, 202 Accepted).
  • ACK indicates that communication device A has received a response corresponding to INVITE.
  • FIG. 5 is a flowchart for explaining the negotiation procedure of key information exchange in one embodiment of the present invention.
  • FIG. 5 shows a SIP message as a call request message, which is one of the SIP messages transmitted by the communication device A as the transmission source, and a success response message transmitted by the communication device B.
  • the call request message 56 contains the identification information (SIP_URI: 044 777111 @ 10. 1. 1. 1: 5060) of the other party.
  • the call processing server 1 is used as the destination address. An IP address of 0 is set.
  • an encryption algorithm negotiation request is added to the SIP header portion of the call request message 56 as a SIP extention.
  • Communication device A embeds “keyl” as key information (decryption key or common key).
  • the second key information (decryption key or common key) is also loaded at the same time when the communication device 8 does not support the “1« ⁇ 1 ” ⁇ ⁇ ⁇ algorithm.
  • the type of encryption algorithm corresponding to the key information in the SIP header part is described.
  • the encryption algorithm type of “keyl” is “3DES”
  • the encryption algorithm type of “key2” is “DES”.
  • the communication device A transmits a call request message 56 in which the key information is embedded to the call processing server 10.
  • the call processing server 10 extracts and stores the key information of the communication device A in the call request message 56 and transfers the SIP message to the communication device B.
  • communication device B extracts and stores the key information and the like of communication device A from call request message 56, and determines the type of encryption algorithm transmitted by communication device A.
  • communication device B supports the encryption algorithm, communication device B generates a success response message 58.
  • the key information and the like of the communication device A are obtained from the call request message 56. You can retrieve and save it.
  • the success response message 58 in FIG. 5 indicates that the communication device 8 can use three types of encryption algorithms “1 ⁇ 1”, “key3”, and “key4”.
  • Communication device B is a success response message
  • the call processing server 10 extracts key information and the like from the success response message 58 and stores them, and forwards the SIP message to the communication device A.
  • the communication device A stores the key information and the like of the communication device B
  • communication with the encrypted voice packet is started between the communication device A and the communication device B.
  • FIG. 7 shows a key information management procedure (key information acquisition sequence) according to an embodiment of the present invention. It is a figure which shows an example.
  • FIG. 7 shows a key information management procedure in the call processing server 10.
  • the call processing server 10 is an INVIT for connecting a call from a calling terminal such as an IP telephone device.
  • the call processing server 10 acquires calling subscriber information (calling subscriber ID, IP address, port number) from the INVITE message (Sl l).
  • the call processing server 10 searches the subscriber table using the calling subscriber information as a search key, and acquires the called subscriber information (IP address, etc.) (S12).
  • Call processing server 10 is INVI
  • the call processing server 10 determines that the key information is included in the INVITE message, the key information is extracted (S14). Then, call session information and key information are written in the subscriber table (key management table) (S15).
  • the call processing server 10 determines that the key information is not included in the INVITE message, "1" is written in the subscriber table as "NULL” ("NO" in step S13). . Then, the call processing server 10 creates a signaling message in order to proceed with the call establishment process, and transfers the INVITE message to the receiving terminal (S16 to S18).
  • the call processing server 10 determines whether or not the key information is included in the message from the receiving terminal (S19 S20).
  • the call processing server 10 determines that the key information is included in the success response message 58, the key information is extracted (S21). Then, the subscriber table (key management table) writes the key information corresponding to the call session information (S22).
  • the receiving terminal regards that the receiving terminal does not support encryption and deletes all the key information corresponding to the call session information (S24). .
  • the call processing server 10 creates a signaling message to proceed with the call establishment process, and transfers a success response message 58 to the calling terminal (S23 S25).
  • FIG. 8 is a diagram showing an example of a key information management procedure (key information deletion sequence) in an embodiment of the present invention. An example when a BYE message is received from the calling terminal will be described.
  • the call processing server 10 receives the SIP BYE message for disconnecting the call from the calling terminal (S30).
  • the call processing server 10 acquires the calling subscriber information (calling subscriber ID, IP address, port number) from the BYE message (S31).
  • the call processing server 10 searches the subscriber table using the calling subscriber information as a search key, and acquires the called subscriber information (IP address, etc.) (S32).
  • the call processing server 10 creates a signaling message to proceed with the call disconnection process, and transfers the BYE message to the receiving terminal (S33, S35).
  • the call processing server 10 receives a 200 OK message for accepting the call disconnection from the receiving terminal (S36). Then, the call processing server 10 searches the subscriber table using the subscriber information as a search key, and deletes all the key information corresponding to the call session information in the subscriber table (key management table) (S37).
  • the call processing server 10 creates a signaling message to proceed with the call disconnection process, and transfers the BYE message to the calling terminal (S38, S39). The call between the calling terminal and the receiving terminal is terminated.
  • FIG. 9 is a functional block diagram showing the configuration of the interception-only communication device 12 in one embodiment of the present invention.
  • the interception-only communication device 12 is a device that obtains a voice packet so that it can be intercepted by decrypting the voice packet received from the edge router 16 with the key information.
  • the interception-only communication device 12 requests and obtains key information from the call processing server 10.
  • the interception-only communication device 12 includes (i) hardware 26 including a NIC (Network Interface Card) used to connect a computer to a network, (ii) an operating system 28 (operating system), (iii) TCPZlP Middleware function module 30 that performs processing, encryption processing, etc. (iv) Includes network monitoring unit 60 and mirroring setting processing unit 62 Interception setting unit 64, (V) voice interception target voice packet processing unit 66, decryption processing unit 68 that processes encrypted IP packets, etc., communication interception that processes decryption key 'key data processing unit 70 and decryption Including a communication intercept target call data unit 72 for managing the received voice packets.
  • NIC Network Interface Card
  • the hardware 26 receives the Ethernet (registered trademark) frame (
  • Ethernet (registered trademark) frame) is converted into an IP packet and passed to the operating system 28.
  • the Ethernet (registered trademark) frame is a mirrored IP voice packet received from the edge generator 16 or a key information packet received from the call processing server 10.
  • the hardware 26 converts the IP packet received from the operating system 28 into an Ethernet (registered trademark) frame and transmits it to the outside.
  • IP packet is passed between the middleware function module 30 and the operating system 28. Further, IP packets are transferred between the middleware function module 30 and the mirroring setting processing unit 62, and between the mirroring setting processing unit 62 and the network monitoring unit 60.
  • the network monitoring unit 60 monitors the network state of the intercept target, and obtains the IP address and port number from the call processing server 10 at the start of the intercept.
  • the mirroring setting processing unit 62 performs mirroring setting on the edge router 16 based on (1) subscriber information and (2) information on the network configuration obtained online or offline from the carrier.
  • the mirroring setting processing unit 62 instructs the edge router 16 on the mirroring target packet based on the information obtained from the network monitor unit 60.
  • As a type of mirroring port mirroring that acquires only voice data related to the call of the intercepted person is suitable.
  • the communication-intercepting voice packet processing unit receives the mirroring-target packet related to the call of the target user and passes it to the decoding processing unit 68. Further, the communication interception target voice packet processing unit may determine whether or not the received voice packet is encrypted, and may pass only the encrypted voice packet to the decryption processing unit 68.
  • a voice packet that is not encrypted by the communication interception target voice packet processing unit may be stored in the communication interception target call data unit 72.
  • the communication interception target voice packet processing unit determines whether or not the voice packet is encrypted. Information for identifying the packet number ⁇ packet is obtained from the call intercept data part 72 to be intercepted.
  • the decryption processing unit 68 decrypts the obtained encrypted packet based on the encryption algorithm and the key information.
  • the communication interception call data unit 72 manages the decrypted packet for each intercepted person.
  • Interception 'key data processing unit 70 receives the subscriber information and key information of the intercepted person from the middleware function module 30, and searches for the encryption algorithm.
  • FIG. 10 and FIG. 11 are flowcharts for explaining the call intercept setting in one embodiment of the present invention.
  • the procedure for intercepting a call between communication devices (terminal ZHGW) by the interception-only communication device 12 sending a setting request to the call processing server and the edge router 16 will be described below.
  • a description will be given of the case where the communication device A is a device on the subject side of the interception and the communication terminal A transmits the call request message 56.
  • the interception dedicated communication device 12 is connected to the call processing server 10 via a communication line capable of ensuring security such as encryption or a dedicated line.
  • the interception-only communication device 12 transmits a setting request message (SIP message) including information for identifying the person to be intercepted to the call processing server 10 (corresponding to the “setting request unit” of the present invention).
  • the call processing server 10 enters a call interception waiting state.
  • the SIP call control unit 46 manages information (such as the calling subscriber ID) that identifies the intercept target.
  • the communication device A transmits a call request message 56 to the communication device B in the call waiting state.
  • the call processing server 10 obtains the calling party decoding key from the call request message 56, and temporarily stores the key information.
  • the call processing server 10 specifies the destination of the communication apparatus B of the other party and transfers the call request message 56.
  • the call processing server 10 notifies the interception dedicated communication device 12 of the SIP message including the IP address of the subject person's port number.
  • the subject's IP address 'port number' is sent to the edge router to identify the mirroring target packet.
  • the interception-only communication device 12 Upon receiving the notification, the interception-only communication device 12 transmits a mirroring setting request including the IP address to the edge generator 16 based on (1) subscriber information and (2) information on the network configuration.
  • the edge router 16 transmits a setting confirmation response indicating that the mirroring setting is completed to the interception dedicated communication device 12.
  • Communication device B transmits success response message 58 to communication device A.
  • the call processing server 10 obtains the called party decryption key from the success response message 58, and temporarily stores the key information.
  • the call processing server 10 specifies the destination of the communication device A and transfers the success response message 58.
  • the call processing device When the call processing device receives the success response message 58, the call processing device transmits the obtained called-side key information to the interception-only communication device 12.
  • the interception-only communication device 12 manages the originating side key information and the terminating side key information together with the subscriber information.
  • a call RTP session
  • a call is started between communication devices.
  • the edge norator 16 duplicates the voice packet and transfers it to the interception-only communication device 12 (mirroring).
  • the interception-only communication device 12 decrypts the voice packet encrypted using the decryption key. This makes it possible to intercept calls.
  • call processing server 10 When a call end message (BYE) is transmitted from communication terminal A, call processing server 10 deletes the record including the key information from the key information management table. The call processing server 10 notifies the interception dedicated communication device 12 that the call has ended.
  • BYE call end message
  • the interception-only communication device 12 Upon receiving the notification, the interception-only communication device 12 transmits a mirroring setting cancellation request to the edge relay 16. The edge norator 16 transmits a cancellation confirmation response indicating that the mirroring setting has been canceled to the interception-only communication device 12.
  • the call interception standby state is entered.
  • the call processing server 10 receives a call request related to the communication device A of the person to be intercepted, the call interception is resumed.
  • the interception-only communication device 12 transmits an interception cancellation request to the call processing server 10.
  • the call processing server 10 transmits a cancellation confirmation response indicating that the interception setting has been canceled to the interception-only communication device 12.
  • the 100s are provisional responses, indicating that a request (INVITE) has been received and processed (eg, 100 Trying, 180 Ringing).
  • the 200 series is a success response, indicating that the request has been understood and accepted (eg 200 OK, 202 Accepted).
  • ACK indicates that a response corresponding to INVITE has been received from communication device B.
  • FIG. 12 is a flowchart for explaining a mirroring target device and a method for specifying a target packet in an embodiment of the present invention.
  • the interception-only communication device 12 is a device that is used by being connected to a single device or a plurality of terminals.
  • the interception-only communication device 12 receives the information of the person to be intercepted (such as the calling subscriber ID) by input using an input device such as a mouse or a keyboard or by searching using the user information (name, address, etc.) of the carrier. Designate (S40, (corresponds to “designating part” of the present invention)).
  • the interception-only communication device 12 analyzes the intercept target person (S41). For this purpose, the interception-only communication device 12 uses the interceptee information as a search key to (i) search for a carrier, and (ii) an edge router 16 to which a user is connected based on the network configuration information and user information that the carrier has. (Corresponding to “carrier search unit” and “relay device search unit” of the present invention). The edge router 16 close to the intercepted person is the search target.
  • the interception-only communication device 12 searches for a mirroring target device based on the network service information (Load balance, redundancy, etc.) possessed by the carrier (S42). Then, the interception-only communication device 12 identifies one or more mirroring target devices and performs mirroring settings (S43 (corresponding to “mirroring setting request unit” of the present invention)). Two or more mirroring target devices are specified when there is a possibility that load distribution is performed on voice packets.
  • the interception-only communication device 12 receives the IP address information and port number of the intercepted person from the call processing server 10 (SIP server). Information is received (S44).
  • the interception-only communication device 12 transmits a mirroring setting request including the IP address information to the mirroring target device (S45).
  • the mirroring target device When receiving the voice packet related to the received IP address information, the mirroring target device mirrors the voice packet and transmits it to the interception-only communication device 12.
  • the interception-only communication device 12 When the interception-only communication device 12 receives the mirroring packet, whether decryption is necessary or not Is determined (S46, S47). If decryption is necessary, the interception-only communication device 12 decrypts the voice packet using the key information obtained from the call processing server 10 (S48). The decrypted voice packet is stored in the communication interception target call data unit 72 and can be intercepted (S49).
  • FIG. 13 is a diagram for explaining a mirroring target device and a method for specifying a target packet in one embodiment of the present invention.
  • Interception-dedicated communication device 12 searches for connected edge router 16 based on subscriber information and network configuration information, and sets mirroring for that device. At this time, when load balancing or a redundant configuration service is provided, mirroring is set to all target edge routers 16.
  • the edge router 16 includes a mirroring setting unit ER74, a target packet search unit ER76, and a target packet sending unit ER78.
  • the mirroring setting unit ER74 manages mirroring setting and cancellation (corresponding to the “mirroring setting unit” of the present invention).
  • the mirroring setting request includes the IP address of the interceptee.
  • the target packet search unit ER76 holds the IP address of the subject of interception, and determines whether the received voice packet includes the IP address of the subject of interception (corresponding to the “search unit” of the present invention).
  • the target packet sending unit E R78 mirrors the target packet and transmits it to the interception-only communication device 12 (corresponding to the "transmitter" of the present invention). ).
  • the target packet search unit ER76 is in a standby state until it receives a mirroring setting release request from the interception-only communication device 12.
  • FIG. 14 is a diagram illustrating a procedure for managing call interception of a plurality of communication terminals in an embodiment of the present invention.
  • Fig. 14 shows the case where a plurality of eavesdropping users A to C are set in the eavesdropping communication device 12.
  • the interception-only communication device 12 identifies the edge generator A for the user A as the mirroring setting target device.
  • the interception-only communication device 12 specifies the edge router B as the mirroring setting target device for the user B and the user C.
  • User A and user B transmit and receive an encrypted audio signal.
  • user C sends and receives voice packets that are not signed.
  • the call processing server 10 receives the call request message 56
  • the interception-only communication device 12 receives and stores key information from the call processing server 10 (corresponding to the “storage unit” of the present invention).
  • the voice packet received from the edge norator 16 is signed, it is decoded by the decoding processing unit 68.
  • Decoded voice packets are distributed and stored for each user. For example, voice packets related to user A are stored and managed in order using the time information included in the voice packets. For voice packets related to user A, only the voice packets related to user A may be stored, or the voice packets of user A and the other party may be stored in one folder.
  • key information is carried in a SIP message and exchanged, and a voice packet is decrypted with the key information.
  • the encryption algorithm can minimize the development scale of each device by applying the existing algorithm.
  • the home gateway 8 with the sign key and decryption key functions, it is possible to reduce the load caused by the sign key process in the IP telephone terminal 2 or the like. Furthermore, the user can select the IP telephone terminal 2 freely. In addition, by performing encryption processing with a device that is as close to the user as possible, it is possible to prevent eavesdropping of voice packets that have been encrypted.
  • the key information can be centrally managed by the call processing server 10 by exchanging the key information with the SIP message. Moreover, by using SIP message INVITE and BYE as a trigger, security can be improved by temporarily managing data only during a call.
  • the key information data processing unit 50 may be provided in the SIP control unit 36 as shown in the figure on the home gateway 8, the firewall 14, and the IP telephone terminal.
  • the voice packet is encrypted even if it goes through the access network, core network, network used by an unspecified number of people, etc. Therefore, even if a packet is wiretapped, deciphering becomes extremely difficult. Therefore, the user can call with peace of mind. it can.
  • the inquiry destination is only the call processing server 10 at the time of communication interception. For this reason, the key information acquisition process can be reduced.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Telephonic Communication Services (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

　発呼要求を着呼側へ転送する呼制御装置へ発呼要求を送信する通信装置であって、通話呼を確立するための発呼要求を生成する発呼要求生成部、暗号化を解除するための鍵情報と前記暗号化に使用される暗号化アルゴリズムの種類を示す情報とを前記発呼要求へ埋め込み、前記情報が埋め込まれた発呼要求を着呼側へ送信する発呼要求送信部、着呼側の暗号化を解除するための鍵情報と前記暗号化アルゴリズムが使用可能であることを示す情報を含む応答を前記着呼側から受信する。

Description

明 細 書
通信装置
技術分野
[0001] 本実施形態は、 IP電話サービスにおける盗聴防止を可能にし、法的権限者による 通話傍受を可能にする通信装置、呼制御装置および中継装置に関する。
背景技術
[0002] 近年、ブロードバンドインターネットや VoIP (Voice over Internet Protocol)電話が 一般に普及してきた。 VoIPはインターネットやイントラネットなどの IPネットワークを使 用して音声データを送受信する技術である。インターネットを利用した VoIP電話は、 インターネット電話と呼ばれている。
[0003] また、インターネットから独立した IP網上で VoIP技術を使用して提供される電話サ 一ビスを IP電話と呼ぶこともある。音声信号をデータに変換し、通信網の一部にイン ターネットを利用することにより、相手先までの距離に関係なく固定電話より低価格な 電話サービスを提供できる。
[0004] しかし、現状の IP電話サービスは暗号化しない音声パケットをそのまま IPネットヮー ク上でやりとりしている。そのため、 IPの盗聴技術を利用可能な者であれば電話の技 術に精通していなくても盗聴が容易にできる。
[0005] 現在、音声パケットの盗聴防止としては、 IP電話端末同士で独自に暗号化を施し、 同じベンダー (機種）の端末間での暗号化、または、通信事業者の管理するネットヮ ーク毎にそれぞれ暗号化を行うという方法が採用されている。
[0006] 図 15は従来の独自の喑号ィ匕による音声パケットの全体構成を示す図である。図 15 における通信システムは、送信側の端末と受信側の端末の通話を確立するために使 用される呼処理サーバ 102、利用者端末として設置される IP電話端末 104、 IP電話 端末 104を接続可能なホームゲートウェイ 106、企業組織内に設置されるフアイヤー ウォール 108、各 IP電話端末 104からの音声パケットを制御するキャリア IP網に配置 されたエッジルーター 110など力 構成される。
[0007] ここで、 IP電話端末 104の各々で独自の暗号化および復号化を実行する場合、喑 号化および復号化に使用される鍵情報はそれぞれの IP電話端末 104で管理されて いる。このため、同じ暗号化および復号化を実行可能な複数の IP電話端末 104間の みでしか音声パケットを暗号化できなかった。つまり、異なるベンダー (機種）の IP電 話端末 104間で暗号化を利用した通話を行えない。
[0008] また、音声パケットを喑号ィ匕する既知の技術として、以下のようなものがある。
特許文献 1は、ゲートウェイコントローラが暗号鍵を生成及び保持して、暗号化を利 用した通話を行うシステムを開示する。一方のゲートウェイコントローラで保持された 喑号鍵は、相手のゲートウェイコントローラに喑号鍵の情報をシグナリングメッセージ に含ませ送付される。
[0009] 更に、相手のゲートウェイコントローラが相手の CTA (ケーブル 'ターミナル'ァダプ タ)に鍵情報を送付及び承認する。承認後、ゲートゥヱイコントローラで生成された鍵 を用いて CTAにて音声パケットを暗号化 ·複号化する。
[0010] 特許文献 1は、ゲートウェイコントローラがどのネットワークに属するのかを詳細に記 載していない。しかし、アクセス網に設置した場合、第 3者が容易にアクセス可能なた め鍵情報の管理において安全性に欠ける。また、家庭 (企業）内に設置される場合、 警察機構のような搜查機関が特定ユーザの通話を傍受する必要が生じたとき鍵情報 を家庭内に設置されたゲートウェイコントローラへ侵入して入手しなければならない。 特許文献 1：特表 2003 - 521834号公報
発明の開示
発明が解決しょうとする課題
[0011] 上記従来技術では、異なるベンダー (機種）の IP電話端末間で暗号化を利用した 通話を行えない問題があった。
また、 IP電話端末が本格的に固定電話から置き換えられるような場合、警察機構の ような捜査機関が特定ユーザの通話を傍受できるよう、法的に通話傍受が制定され ること力 S予想される。この時に、捜査機関が容易に鍵情報を入手し、且つ、アクセス網 において鍵情報を安全に管理できない問題あった。
[0012] 本発明は、アクセス網において鍵情報を安全に管理するための通信装置及び呼制 御装置、 IP電話サービスにおける盗聴防止かつ通話傍受可能な暗号化を実現する 通信装置、呼制御装置及び中継装置を提供することを目的とする。
課題を解決するための手段
[0013] 本発明は上記目的を達成するため、着呼側との間で通話呼を確立するための発呼 要求を生成する発呼要求生成部、発呼側でなされた暗号化を着呼側で解除するた めの鍵情報と暗号化に使用される暗号化アルゴリズムの種類を示す情報とを発呼要 求へ坦め込む鍵情報処理部、情報が坦め込まれた発呼要求を着呼側へ送信する発 呼要求送信部、着呼側でなされた暗号化を解除するための鍵情報と暗号化アルゴリ ズムが使用可能であることを示す情報を含む応答を着呼側から受信する受信部を含 むことを特徴とする。
[0014] 本発明によれば、（i)発呼側でなされた暗号化を着呼側で解除するための鍵情報と 暗号化に使用される暗号化アルゴリズムの種類を示す情報とが坦め込まれた発呼要 求を着呼側へ送信し、（ii)着呼側でなされた暗号化を解除するための鍵情報と暗号 化アルゴリズムが使用可能であることを示す情報を含む応答を着呼側から受信する ので、通話呼を確立する際に鍵情報を交換することができる。
[0015] また、本発明は、通信端末から通話呼を確立するためのメッセージを受信する受信 部、メッセージを解析する解析部、鍵情報力 Sメッセージに含まれていると解析部が解 析したとき、メッセージ力 鍵情報を抽出する抽出部、通信端末の加入者を特定する 加入者識別情報に鍵情報を対応させて記憶する記憶部、外部装置から加入者識別 情報を含む傍受設定要求を受信する設定要求受信部、傍受設定要求に含まれる加 入者識別情報に係わるメッセージを受信したと解析部が解析したとき、鍵情報と加入 者識別情報と含むメッセージを外部装置へ送信する送信部を含むことを特徴とする。
[0016] 本発明によれば、傍受設定要求に含まれる加入者識別情報に係わるメッセージを 受信したと解析部が解析したとき、鍵情報と加入者識別情報と含むメッセージを外部 装置へ送信することができる。
[0017] また、本発明は、記憶部、傍受対象者の通信端末を特定する加入者識別情報を指 定する指定部、加入者識別情報を検索キーとして通信端末が属するキャリアを記憶 部から検索するキャリア検索部、検索されたキャリアのネットワーク構成情報と加入者 識別情報を使用して記憶部から通信端末側の中継装置を検索する中継装置検索部 、通信端末に関する音声パケットを中継装置からミラーリングして受信するためのミラ 一リング設定要求を中継装置へ送信するミラーリング設定要求部、通話呼を確立す るための要求を管理する呼制御装置へ通信端末に関する情報を得るために加入者 識別情報を含む傍受設定要求を送信する設定要求部を含むことを特徴とする。
[0018] 本発明によれば、通信端末に関する音声パケットを中継装置からミラーリングして受 信するためのミラーリング設定要求を中継装置へ送信し、通話呼を確立するための 要求を管理する呼制御装置へ通信端末に関する情報を得るために加入者識別情報 を含む傍受設定要求を送信することができる。
[0019] また、本発明は、音声パケットのミラーリングを要求するミラーリング設定要求を外部 力 受信したとき、ミラーリング設定要求に含まれた IPアドレスを含む音声パケットをミ ラーリング対象と設定するミラーリング設定部、受信した音声パケットが IPアドレスを 含むかどうかを判断する検索部、 IPアドレスを含む音声パケットを受信したとき、音声 パケットをミラーリングして送信する送信部を含むことを特徴とする。
[0020] 本発明によれば、ミラーリング設定要求に含まれた IPアドレスを含む音声パケットを ミラーリング対象と設定し、 IPアドレスを含む音声パケットを受信したとき、音声バケツ トをミラーリングして送信することができる。
発明の効果
[0021] 本実施形態によれば、異なるベンダー (機種)の IP電話端末間で暗号化を利用し て通話できる。
また、本実施形態によれば、搜查機関等が容易に鍵情報を入手し、且つ、アクセス 網において鍵情報を安全に管理できる。
図面の簡単な説明
[0022] [図 1]本実施形態における暗号化通信システムの全体構成を示す図である。
[図 2]本実施形態におけるホームゲートウェイ、 IP電話端末の構成を示す機能ブロッ ク図である。
[図 3]本発明の一実施形態における呼処理サーバの構成を示す機能ブロック図であ る。
[図 4]本発明の一実施形態における通信端末間の鍵交換を説明するフローチャート である。
園 5]本発明の一実施形態における鍵情報交換のネゴシエーション手順を説明する フローチャートである。
園 6]本発明の一実施形態における鍵情報管理テーブルの一例を示す図である。 園 7]本発明の一実施形態における鍵情報管理手順 (鍵情報取得シーケンス）の一 例を示す図である。
園 8]本発明の一実施形態における鍵情報管理手順 (鍵情報削除シーケンス）の一 例を示す図である。
[図 9]本発明の一実施形態における傍受専用の通信装置の構成を示す機能ブロック 図である。
[図 10]本発明の一実施形態における通話傍受設定を説明するフローチャートである
[図 11]本発明の一実施形態における通話傍受設定を説明するフローチャートである 園 12]本発明の一実施形態におけるミラーリング対象装置および対象パケットを特定 する方法を説明するフローチャートである。
園 13]本発明の一実施形態におけるミラーリング対象装置および対象パケットを特定 する方法を説明する図である。
[図 14]本発明の一実施形態における複数の通信端末の通話傍受を管理する手順を 説明する図である。
園 15]従来の独自の暗号化による音声パケットの全体構成を示す図である。
符号の説明
2 IP電話端末
4 アナログ電話端末
6 コンピュータ
8 ホームゲートウェイ
10 呼処理サーバ
12 傍受専用通信装置 フアイヤーウォール
エッジノレーター
VoIP GW
PSTN
交換機
^ 'ηχ Θ占
ハードウェア
オペレーティングシステム ミドルウェア機能モジュール 鍵情報処理部
呼処理信号処理部
SIP制御部
加入者データテーブル
音声パケット暗号化 ·復号化処理部 サーバオペレーティングシステム
SIPレジスタ制御部
SIP呼制御部
加入者情報テーブル
鍵情データ処理部
加入者データキャッシュテーブル
SIPソフトウェア機能モジュール 発呼要求メッセージ
成功応答メッセージ
ネットワークモニター部
ミラーリング設定処理部
傍受設定部
通信傍受対象音声パケット処理部 複号化処理部 70 通信傍受 '鍵データ処理部
72 通信傍受対象通話データ部
74 ミラーリング設定部 ER
76 対象パケット検索部 ER
78 対象パケット送付部 ER
102 呼処理サーバ
104 IP電話端末
106 ホームゲートウェイ
108 フアイヤーウォール
110 エッジノレーター
発明を実施するための最良の形態
[0024] 以下、図面を参照して本発明の実施形態に係る通信システムについて説明する。
実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。尚、本実 施形態は、ハードウェア及びソフトウェアにより実施可能である。プログラムからなるソ フトウエアにより実行させる場合には、そのソフトウェアを構成するプログラムをコンビ ユータ等のハードウェアにインストールすることで、各種の機能を実現できる。また、プ ログラムは、通信回線を通じてまたはコンピュータ読み取り可能な記憶媒体を使用し てコンピュータ等へインストールされる。
[0025] ここで、コンピュータ読み取り可能な記憶媒体とは、データやプログラム等の情報を 電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ 力 読み取ることができる記憶媒体をいう。このような記憶媒体のうちコンピュータから 取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、 CD-RO M、 CD-R/W, DVD, DAT, 8mmテープ、メモリカード等がある。また、コンビュ ータに固定された記憶媒体としてハードディスクや ROM (リードオンリーメモリ）等が ある。
[0026] 図 1は本実施形態における暗号ィヒ通信システムの全体構成例を示す図である。図
1における通信システムは、利用者端末として設置される IP電話端末 2又はアナログ 電話端末 4、その他コンピュータ 6などを接続可能なホームゲートウェイ 8、送信側の 端末と受信側の端末の通話を確立するために使用される呼処理サーバ 10、警察機 構のような搜查機関に設置される傍受専用通信装置 12 (専用装置)、企業組織内に 設置されるフアイヤーウォール 14、各 IP電話端末 2からの音声パケットを制御するキ ャリア IP網に配置されたエッジルーター 16などから構成される。
[0027] また、図 2で説明する本実施形態の暗号化 '複号化機能を VoIP GW18 (Voice over IP Gate Way)に備えることにより、 PSTN20 (public switched telephone network )への通話も可能になる。 VoIP GW18で復号ィ匕された音声信号は、交換機 22を通 じて一般電話 24へ送信可能である。また、一般電話 24からの音声信号は、交換機 2 2及び VoIP GW18を通じてキャリア IP網へ喑号ィ匕した音声信号を送信可能である
[0028] 図 1は、ホームゲートウェイ 8、フアイヤーウォール 14、 VoIP GW18で本実施形態 の暗号ィヒ及び復号ィヒを行う例を示す。これに限らず、 IP電話端末 2が暗号化及び復 号化を行うようにしてもよい。次に、一般家庭の IP電話端末 2から企業側の IP電話端 末 2へ発呼する例で、本実施形態の基本動作を説明する。一般家庭の IP電話端末 2 が企業側の IP電話端末 2へ発呼する際、一般家庭の IP電話端末 2からの発呼要求（ SIPメッセージ）はホームゲートウェイ及びエッジルーター 16を介して呼処理サーバ 1 0へ送信される。
[0029] このとき、ホームゲートウェイ 8はホームゲートウェイ 8で暗号化した音声パケットを復 号化するための鍵情報を発呼要求へ埋め込み送信する。この際に、音声パケットの 暗号化と異なる暗号方法で発呼要求を暗号化する。発呼要求の暗号化は呼処理サ ーバ 10で復号可能な暗号化である。
[0030] 呼処理サーバ 10は、受信した発呼要求を復号化する。そして、呼処理サーバ 10は 、鍵情報を含んだ発呼要求から鍵情報を抽出し、ユーザ情報 (発信者加入者 ID、発 信者位置情報、着信者位置情報等）に対応付けて鍵情報を一時的に記憶する。
[0031] また、呼処理サーバ 10は、 IP電話端末 2の IPアドレスを管理している。そして、呼 処理サーバ 10は、 IP電話端末 2の呼処理サーバとして機能する。発信元となる IP電 話 2は、アプリケーション層の通話制御プロトコルである SIPに従って、着信先に相当 する他の IP電話端末 2への発呼要求を呼処理サーバ 10に送信する。呼処理サーバ 10は、受信した発呼要求を着信先へ転送する。
[0032] 即ち、呼処理サーバ 10は、 IP電話端末 2から送信された発呼要求を受信すると、 着信先に相当する企業側の IP電話端末 2の IPアドレスを検索し、検索された IPアド レス宛に発呼要求を転送する。そして、フアイヤーウォール 14を介して着信先の企業 側の IP電話端末 2へ発呼要求が着信する。フアイヤーウォール 14は鍵情報を抽出し 、ユーザ情報 (発信者加入者 ID、発信者位置情報等)等に対応付けて、鍵情報を一 時的に記憶する。
[0033] 企業側の IP電話端末 2は発呼要求を受信すると、発呼要求に対して応答メッセ一 ジ（SIPメッセージ）を送信する。フアイヤーウォール 14が企業側の IP電話端末 2から の SIPメッセージを受信すると復号化するための鍵情報を SIPメッセージへ坦め込む
[0034] ここで埋め込まれる鍵情報はフアイヤーウォール 14が暗号化する音声パケットをホ ームゲートウェイ 8にて復号化するための鍵情報である。次に、フアイヤーウォール 14 は、エッジルーター 16を介して SIPメッセージを呼処理サーバ 10へ送信する。この際 に、音声パケットの暗号化と異なる暗号方法で SIPメッセージを暗号化する。応答の 暗号化は呼処理サーバ 10で復号可能な暗号化である。
[0035] 呼処理サーバ 10は、発呼要求に対する鍵情報を含んだ応答を受信すると SIPメッ セージに含まれる鍵情報を抽出し、ユーザ情報 (発信者加入者 ID、発信者位置情報 等）等に対応付けて、一時的に記憶する。これにより、発信元と着信先の両方の鍵情 報が対応付けられて一時的に記憶される。
[0036] そして、呼処理サーバ 10は、エッジルーター 16を介してホームゲートウェイ 8へ SIP メッセージを送信する。ホームゲートウェイ 8は企業側から受信した SIPメッセージから 鍵情報を抽出して、鍵情報を一時的に記憶する。
[0037] このように、各 IP電話端末 2で暗号化された音声パケットを復号化するための鍵情 報を IP電話端末 2間に介在するホームゲートウェイ 8とフアイヤーウォール 14の間で 交換し暗号化された音声パケットの復号ィ匕が可能になる。そして、暗号化された音声 パケットはエッジノレーター 16を介して IP電話端末 2間の少なくとも公衆網上では暗号 化された状態で送受信される。 [0038] 尚、呼処理サーバ 10で記憶された鍵情報は、傍受専用通信装置 12からの要求に より、傍受専用通信装置 12へ送信される。傍受専用通信装置 12は鍵情報を使用し てエッジノレーター 16から受信した音声パケットを復号ィ匕することにより、傍受可能に 音声パケットを入手できる。エッジノレーター 16から音声パケットを入手する方法につ いては後述する。
[0039] <ホームゲートウェイ 8、 IP電話端末 2 >
図 2は本実施形態におけるホームゲートウェイ 8、 IP電話端末等（本発明の「通信装 置」に相当）の構成を示す機能ブロック図である。
[0040] ホームゲートウェイ 8等は、（i)コンピュータをネットワークに接続するために使用する NIC (Network Interface Card)を含むハードウェア 26、（ii)オペレーティングシステム 28 (operating system)、（iii) TCPZlP処理や暗号化処理等を行うミドルウェア機能 モジュール 30、 (iv)鍵情報処理部 32及び呼処理信号処理部 34を含む SIP制御部 36、（V)着信先や発信元の加入者データと鍵情報を対応付けて記憶する加入者デ ータテーブル 38、 （vi)音声パケット暗号化'復号ィ匕処理部 40を含む。
[0041] なお、図 1に示すように、 IP電話端末がホームゲートウェイ 8、フアイヤーウォール 14 を介して公衆網に接続される構成では、ホームゲートウェイ 8とフアイヤーウォール 14 の SIP制御部 36が機能し、 IP電話端末は従来の IP電話機能を提供すればよい。一 方、 IP電話端末がホームゲートウェイ 8、フアイヤーウォール 14等を介さずにキャリア I P網に接続される構成では、 IP電話端末の SIP制御部 34が機能すればよい。
[0042] ここで、ハードウェア 26は外部から受信したイーサネット（登録商標）フレーム（
Ethernet (登録商標） frame)を IPパケットに変換してオペレーティングシステム 28へ 渡す。また、ハードウェア 26はオペレーティングシステム 28から受信した IPパケットを イーサネット（登録商標）フレームに変換して外部へ送信する。
[0043] また、ミドルウェア機能モジュール 30とオペレーティングシステム 28間は IPパケット が受け渡しされる。更に、ミドルウェア機能モジュール 30と呼処理信号処理部 34間、 及び呼処理信号処理部 34と鍵情報処理部 32間は SIPメッセージが受け渡しされる。
[0044] 呼処理信号処理部 34は、呼を確立するための呼処理信号（SIPメッセージ）を生成 し (本発明の「発呼要求生成部」に相当）、鍵情報処理部 32へ渡す。また、呼処理信 号処理部 34が発呼要求の応答を受信すると、鍵情報処理部 32へ渡す。
[0045] 鍵情報処理部 32は、発呼要求を受け取ると鍵情報を生成する（本発明の「鍵情報 処理部 32」に相当）。鍵情報処理部 32は、時刻情報などを使用して、発呼する度に 異なる鍵情報（暗号鍵及び復号鍵、または共通鍵)を生成する。次に、鍵情報処理 部 32は、発呼要求を特定するための情報 (例えば、図 6に示す「call— ID」等）と関連 付けて鍵情報（暗号鍵、共通鍵)及びその鍵情報の生成に使用した喑号ィヒアルゴリ ズムの種類を示す情報を加入者データテーブル 38へ登録する。
[0046] 暗号化アルゴリズムは、特定の暗号化アルゴリズムに限定されず、汎用の喑号化ァ ルゴリズムも利用できる。また、喑号ィ匕通信プロトコルも特定のプロトコルに限定され ず、 IPsecや SRTP (Secure RTP)等の汎用アルゴリズムが利用可能である。
[0047] ここで、暗号鍵は着信先へ送信する音声信号を暗号化するために使用され、復号 鍵は発呼要求に埋め込まれて着信先へ送信される。また、鍵情報処理部 32は、発 呼要求の応答を受信すると、 SIPメッセージから着信先の鍵情報 (復号鍵）を抽出し て、暗号鍵と対応付けて加入者データテーブル 38へ登録する。
[0048] 鍵情報処理部 32は、 SIPメッセージの SIP拡張部へ生成した鍵情報 (復号鍵、共 通鍵）を埋め込む。そして、鍵情報処理部 32は、呼処理サーバ 10へ送信するために SIPメッセージを呼処理信号処理部 34を通じてミドルウェア機能モジュール 30へ渡 す。ミドルウェア機能モジュール 30の暗号化処理部は SIPメッセージを IPパケットィ匕 して暗号化する。
[0049] 通話が確立されると、音声パケット暗号化 '復号化処理部 40は、記憶された鍵情報
(暗号鍵、共通鍵)を使用して送信する音声パケットを暗号化し、着信先から受信した 鍵情報 (復号鍵、共通鍵)を使用して受信した音声パケットを復号ィ匕する (本発明の「 暗号化処理部」および「複号化処理部」に相当）。
[0050] また、外部から発呼要求（SIPメッセージ）を受信したとき、鍵情報処理部 32は、鍵 情報 (復号鍵、共通鍵)を発呼要求力、ら抽出する。そして、鍵情報処理部 32は、鍵情 報を発呼要求に含まれる発信元のユーザ情報 (発信加入者 ID、発信者位置情報、 暗号化アルゴリズム、鍵情報 (復号鍵)等）に対応付けて加入者データテーブル 38へ 登録する。 [0051] そして、応答メッセージを生成する際に、鍵情報処理部 32は、鍵情報（暗号鍵及び 復号鍵)を生成し、暗号鍵を発信元のユーザデータに対応付けて加入者データテー ブル 38へ登録する。鍵情報処理部 32は、応答メッセージに復号鍵を坦め込んで、 発信元へ送信する。音声パケットの暗号化及び複号化については発呼要求を送信 する場合と同様な処理が実行される。
[0052] <呼処理サーバ 10 >
次に、通話呼を確立するために使用される呼処理サーバ 10 (本発明の「呼制御装 置」に相当）について説明する。図 3は本発明の一実施形態における呼処理サーバ 1 0の構成例を示す機能ブロック図である。
[0053] 呼処理サーバ 10は、（i)コンピュータをネットワークに接続するために使用する NIC
(Network Interface Card)を含むハードウェア 26、（ii)サーバオペレーティングシステ ム 42、（iii) TCP/IP処理や暗号化処理等を行うミドルウェア機能モジュール 30、 (iv ) SIPレジスタ制御部 44、 SIP呼制御部 46、加入者情報テーブル 48、鍵情データ処 理部 50及び加入者データキャッシュテーブル 52を含む SIPソフトウェア機能モジュ 一ノレ 54を含む。
[0054] ここで、ハードウェア 26は外部から受信したイーサネット（登録商標）フレーム（
Ethernet (登録商標） frame)を IPパケットに変換してサーバオペレーティングシステム 42へ渡す。また、ハードウェア 26はサーバオペレーティングシステム 42から受信した IPパケットをイーサネット（登録商標）フレームに変換して外部へ送信する。
[0055] また、ミドルウェア機能モジュール 30とサーバオペレーティングシステム 42間は IP パケットが受け渡しされる。更に、ミドルウェア機能モジュール 30と SIP呼制御部 46間 は SIPメッセージが受け渡しされる。 SIP呼制御部 46と SIPレジスタ制御部 44間は SI Pレジスタメッセージ（SIP register message)が受け渡しされる。
[0056] ミドルウェア機能モジュール 30は、（i)基本的な TCPZIP終端処理及び暗号化をミ ドルウェアで制御し、 (ii) SIPメッセージ等をアプリケーションデータとして SIPソフトゥ エア機能モジュールへ引き渡す。
[0057] SIP呼制御部 46は、呼の確立や呼の切断など、 SIP呼制御の基本動作を実行する 。 SIP呼制御部 46は、発呼要求を受信すると SIPレジスタ制御部 44へ SIPレジスタメ ッセージを渡す。また、 SIP呼制御部 46は、傍受専用通信装置 12から傍受対象者を 特定する情報 (発信加入者 ID等)を含む傍受設定要求を受信すると、傍受専用通信 装置 12へ鍵情報と傍受対象者を特定する情報とを含む応答メッセージを送信する（ 本発明の「解析部」及び「送信部」に相当）。
[0058] SIPレジスタ制御部 44は、 SIPレジスタメッセージから SIP加入者端末情報（IP電話 端末情報:発信側加入者 ID、着呼側加入者 ID、 IPアドレスポート等）を加入者情報 テーブル 48へ登録する。
[0059] また、鍵データ処理部は SIPメッセージ力 鍵情報を解析及び抽出する（本発明の 「解析部」及び「抽出部」に相当）。次に、鍵データ処理部は鍵情報を加入者データ キャッシュテーブル 52へ登録する。加入者データキャッシュテーブル 52は通話中の 呼のセッション情報や鍵情報を記憶する（本発明の「記憶部」に相当）。
[0060] 図 6は本発明の一実施形態における鍵情報管理テーブルの一例を示す図である。
鍵情報管理テーブルの左上から順に説明する。 (i) Call-IDの欄は呼のセッション情 報管理するための ro情報であり、発呼要求単位で割り当てられる識別情報である。 （ ii)発信加入者 ID(DN/SIP-URI)の欄は発信側加入者を識別するための情報であり、 一般電話 24の電話番号に相当する。 （iii)発信者位置情報 (IPアドレス:ポート番号） の欄は発信加入者の位置情報であり、アドレス情報を特定するために使用される。 (i V)着信者位置情報 (IPアドレス：ポート番号）の欄は着信側加入者の位置情報であり 、アドレス情報を識別するための情報である。 （V)喑号ィ匕アルゴリズムの欄は音声パ ケットの暗号ィヒに使用される喑号ィヒアルゴリズムの種類を識別するための情報である 。 （vi)認証方法の欄は、認証の方法や暗号鍵の種類を識別するための情報である。
(vii)鍵情報 (Private Key)の欄において、プライベートキー (Pre-Shared- Key)方法を 使用する場合の暗号 *復号化鍵が記憶される。 （viii)鍵情報 (Public Key)の欄にお いて、パブリックキー（Public key)方法を使用する場合の暗号'複号化鍵が記憶され る。 （ix)呼発生時刻の欄において、呼が発生した時刻が記憶される。
[0061] 本実施形態における暗号化アルゴリズムの種類は、 NULL [暗号化非適用]、 DES 、 3DES、 AESである。これに限らず、他の喑号ィ匕方法も使用可能である。図 6にお いて、暗号化アルゴリズムの欄の「2」は、音声パケットの暗号化に「DES」が使用され ていることを示す。
[0062] また、認証方法の種類は、事前共有秘密鍵 (Pre-Shared-Key)、公開鍵 (Public
Key)などがある。これに限らず、他の認証方法も使用可能である。図 6において、認 証方法の欄の「1」は、利用者端末の認証に「事前共有秘密鍵」が使用されていること を示す。
[0063] 図 4は本発明の一実施形態における通信装置 (端末 ZHGW)間の鍵交換を説明 するフローチャートである。通信装置 Aは、発呼要求メッセージ (INVITE)を相手先 の通信装置へ送信する。呼処理サーバ 10は、発呼要求メッセージから発信側復号 鍵を入手し、一時的に鍵情報を記憶する。呼処理サーバ 10は、相手先の通信装置 Bの宛先を特定し、発呼要求メッセージ (INVITE)を転送する。
[0064] 通信装置 Bは、成功応答メッセージ（200 〇K)を通信装置 Aへ送信する。呼処理 サーバ 10は、成功応答メッセージから着信側復号鍵を入手し、一時的に鍵情報を記 憶する。呼処理サーバ 10は、通信装置 Aの宛先を特定し、成功応答メッセージを転 送する。そして、通話呼 (RTPセッション）が確立すると、電話端末間で通話が可能と なる。
[0065] 通信端末 Aから通話終了メッセージ (BYE)が送信されると、呼処理サーバ 10は鍵 情報を含むレコードを鍵情報管理テーブルから削除する。図 4において、 100番台は 暫定応答であり、リクエスト（INVITE)を受信し、処理中であることを示す（例： 100 Trying、 180 Ringing)。また、 200番台は成功応答であり、リクエストが理解され、受 け入れられたことを示す（例： 200 OK、 202 Accepted)。 ACKは INVITEに対応する 応答を通信装置 Aが受信したことを示す。
[0066] 図 5は本発明の一実施形態における鍵情報交換のネゴシエーション手順を説明す るフローチャートである。また、図 5は発信元の通信装置 Aが送信する SIPメッセージ の一つである発呼要求メッセージ及び通信装置 Bが送信する成功応答メッセージと しての SIPメッセージを示す。
[0067] 図 5に示すように、発呼要求メッセージ 56は、相手先の識別情報（SIP_URI : 044 777111 @ 10. 1. 1. 1 : 5060)を含んでレヽる。また、呼処理サーノ 10を介して木目手 先の通信装置 Bとの通話呼を確立する際には、送信先アドレスとして呼処理サーバ 1 0の IPアドレスが設定される。
[0068] 本実施形態において、発呼要求メッセージ 56の SIPヘッダ部に SIP extentionと して、暗号化アルゴリズムのネゴシエーション要求を追加する。通信装置 Aは鍵情報 (復号鍵または共通鍵）として、「keyl」を埋め込む。通信装置 8が「1«^1」の喑号ィ匕 アルゴリズムをサポートしていないときのために、第 2の鍵情報 (復号鍵または共通鍵 )も同時に坦め込む。
[0069] セッション記述プロトコル部には、 SIPヘッダ部の鍵情報に対応する暗号化アルゴリ ズムの種類を記述する。本実施形態において、「keyl」の暗号化アルゴリズムの種類 は「3DES」であり、「key2」の暗号化アルゴリズムの種類は「DES」であることが示さ れる。
[0070] 通信装置 Aはこれらの鍵情報が埋め込まれた発呼要求メッセージ 56を呼処理サー バ 10へ送信する。呼処理サーバ 10は発呼要求メッセージ 56中の通信装置 Aの鍵 情報を取り出し保存し、 SIPメッセージを通信装置 Bへ転送する。
[0071] 次に、通信装置 Bは、発呼要求メッセージ 56から通信装置 Aの鍵情報等を取り出し 保存し、通信装置 A力 送信された暗号ィヒアルゴリズムの種類を判断する。通信装 置 Bが暗号化アルゴリズムをサポートしているとき、通信装置 Bは成功応答メッセージ 58を生成する。
[0072] また、通信装置 Bが通信装置 Aから送信された喑号ィ匕アルゴリズムの種類をサポー トしてレ、ると判断したとき、発呼要求メッセージ 56から通信装置 Aの鍵情報等を取り 出し保存するようにしてもょレ、。
[0073] 図 5の成功応答メッセージ 58は、通信装置 8が「1^ 1」、「key3」、「key4」の 3種類 の暗号アルゴリズムを使用可能であることを示す。通信装置 Bは成功応答メッセージ
58 (200 〇K)を呼処理サーバ 10へ送信する。
[0074] 呼処理サーバ 10は、成功応答メッセージ 58から鍵情報等を取り出し保存し、 SIPメ ッセージを通信装置 Aへ転送する。通信装置 Aが通信装置 Bの鍵情報等を保存する と、暗号化された音声パケットでの通信が通信装置 A及び通信装置 B間で開始され る。
[0075] 図 7は本発明の一実施形態における鍵情報管理手順 (鍵情報取得シーケンス）の 一例を示す図である。図 7は呼処理サーバ 10における鍵情報の管理手順を示す。 呼処理サーバ 10は、 IP電話装置などの発信端末から呼を接続するための INVIT
Eメッセージを受信する（S 10)。呼処理サーバ 10は、 INVITEメッセージから、発信 加入者情報 (発信加入者 ID, IPアドレス、ポート番号)を取得する（Sl l)。
[0076] 次に、呼処理サーバ 10は、発信加入者情報を検索キーとして加入者テーブルを検 索し、着信加入者情報 (IPアドレス等)を取得する（S 12)。呼処理サーバ 10は、 INVI
TEメッセージ内に、鍵情報が含まれているかどうかを判断する（S 13)。
[0077] 呼処理サーバ 10が INVITEメッセージに鍵情報が含まれていると判断したとき、鍵 情報を取り出す（S14)。そして、加入者テーブル (鍵管理テーブル)に、呼セッション 情報、鍵情報を書込む（S 15)。
[0078] また、呼処理サーバ 10が INVITEメッセージに鍵情報が含まれていないと判断し たとき、 "NULL"として、加入者テーブルに「1」を書込む（ステップ S13の" N〇"）。そ して、呼処理サーバ 10は呼確立処理を進めるためにシグナリングメッセージを作成し INVITEメッセージを着信端末へ転送する（S 16から S 18)。
[0079] 呼処理サーバ 10は、着信端末から呼接続を了承する 200OKメッセージを受信す ると、着信端末からのメッセージ内に鍵情報が含まれているかどうかを判断する（S 19 S20)。
[0080] 呼処理サーバ 10が成功応答メッセージ 58に鍵情報が含まれていると判断したとき 、鍵情報を取り出す（S21)。そして、加入者テーブル (鍵管理テーブル) 呼セッシ ヨン情報に対応させて鍵情報を書込む（S22)
[0081] 呼処理サーバ 10が成功応答メッセージ 58に鍵情報が含まれていないと判断したと き、着信端末が暗号非対応とみなし、呼セッション情報に対応した鍵情報を全て削除 する（S24)。呼処理サーバ 10は、呼確立処理を進めるためにシグナリングメッセージ を作成し、成功応答メッセージ 58を発信端末へ転送する（S23 S25)。
[0082] 以上の手順で、呼処理サーバ 10が発信端末および着信端末の両方の鍵情報を記 憶した後に、発信端末および着信端末間で音声パケットを喑号ィ匕した通話が確立す る。着信端末が暗号化に対応してないとき、音声パケットを暗号化せずに通話が確 立する。 [0083] 図 8は本発明の一実施形態における鍵情報管理手順 (鍵情報削除シーケンス）の 一例を示す図である。発信端末から BYEメッセージを受信したときの例で説明する。 呼処理サーバ 10は、発信端末から呼を切断するための SIP— BYEメッセージを受 信する（S30)。呼処理サーバ 10は、 BYEメッセージから、発信加入者情報 (発信加 入者 ID, IPアドレス、ポート番号)を取得する（S31)。
[0084] 次に、呼処理サーバ 10は、発信加入者情報を検索キーとして加入者テーブルを検 索し、着信加入者情報 (IPアドレス等)を取得する（S32)。呼処理サーバ 10は呼切断 処理を進めるためにシグナリングメッセージを作成し、 BYEメッセージを着信端末へ 転送する（S33、 S35)。
[0085] 呼処理サーバ 10は、着信端末から呼切断を了承する 200OKメッセージを受信す る（S36)。そして、呼処理サーバ 10は、加入者情報を検索キーとして加入者テープ ルを検索し、加入者テーブル (鍵管理テーブル）において、呼セッション情報に対応 した鍵情報を全て削除する（S37)。
[0086] 最後に、呼処理サーバ 10は呼切断処理を進めるためにシグナリングメッセージを 作成し、 BYEメッセージを発信端末へ転送する（S38、 S39)。発信端末および着信 端末間の通話が終了する。
[0087] <傍受専用通信装置 12 (専用装置） >
次に、上述の手順で、呼処理サーバ 10に管理された鍵情報を利用して、傍受対象 者の通話を傍受する傍受専用通信装置 12 (本発明の「通信装置」に相当）について 説明する。図 9は本発明の一実施形態における傍受専用通信装置 12の構成を示す 機能ブロック図である。
[0088] 傍受専用通信装置 12は、エッジルーター 16から受信した音声パケットを鍵情報に より復号化することにより、傍受可能に音声パケットを入手する装置である。傍受専用 通信装置 12は呼処理サーバ 10に鍵情報を要求して入手する。
[0089] 傍受専用通信装置 12は、 （i)コンピュータをネットワークに接続するために使用する NIC (Network Interface Card)を含むハードウェア 26、 （ii)オペレーティングシステム 28 (operating system)、（iii) TCPZlP処理や暗号化処理等を行うミドルウェア機能 モジュール 30、 (iv)ネットワークモニター部 60及びミラーリング設定処理部 62を含む 傍受設定部 64、（V)通信傍受対象音声パケット処理部 66、暗号化された IPパケット 等を処理する復号化処理部 68、復号鍵を処理する通信傍受 '鍵データ処理部 70及 び復号化された音声パケットを管理する通信傍受対象通話データ部 72を含む。
[0090] ここで、ハードウェア 26は外部から受信したイーサネット（登録商標）フレーム（
Ethernet (登録商標） frame)を IPパケットに変換してオペレーティングシステム 28へ 渡す。イーサネット（登録商標）フレームは、エッジノレーター 16から受信するミラーリン グ IP音声パケットや呼処理サーバ 10から受信する鍵情報パケットである。また、ハー ドウエア 26はオペレーティングシステム 28から受信した IPパケットをイーサネット（登 録商標）フレームに変換して外部へ送信する。
[0091] また、ミドルウェア機能モジュール 30とオペレーティングシステム 28間は IPパケット が受け渡しされる。更に、ミドルウェア機能モジュール 30とミラーリング設定処理部 62 間、及びミラーリング設定処理部 62とネットワークモニター部 60間は IPパケットが受 け渡しされる。
[0092] ネットワークモニター部 60は、傍受対象者のネットワーク状態を監視し、傍受開始 時に IPアドレス、ポート番号を呼処理サーバ 10から入手する。ミラーリング設定処理 部 62は、キャリアからオンライン又はオフラインにて入手した（1)加入者情報、 （2)ネ ットワーク構成に関する情報に基づきエッジルーター 16にミラーリング設定を行う。ミ ラーリング設定処理部 62は、ネットワークモニター部 60から入手した情報に基づきミ ラーリング対象パケットをエッジルーター 16へ指示する。ミラーリングの種類としては、 傍受対象者の通話に関する音声データのみを取得するポートミラーリングが適してい る。
[0093] 通信傍受対象音声パケット処理部は傍受対象者の通話に関するミラーリング対象 パケットを受信して復号化処理部 68へ渡す。また、通信傍受対象音声パケット処理 部は受信した音声パケットが暗号化されているかどうかを判断し、暗号化されている 音声パケットのみを複号化処理部 68へ渡すようにしてもよい。
[0094] この際に、通信傍受対象音声パケット処理部が暗号化されていない音声パケットを 通信傍受対象通話データ部 72へ記憶するようにしてもよい。また、通信傍受対象音 声パケット処理部は、音声パケットが暗号化されているかどうかを判断するために、通 信傍受対象通話データ部 72から喑号ィ匕パケットを特定する情報を入手する。
[0095] 復号化処理部 68は、入手した暗号化パケットを暗号化アルゴリズムと鍵情報に基 づき復号化する。通信傍受対象通話データ部 72は、復号化されたパケットを傍受対 象者ごとに管理する。通信傍受'鍵データ処理部 70は、ミドルウェア機能モジュール 30から傍受対象者の加入者情報と鍵情報を受信し、暗号化アルゴリズムを検索する
[0096] 図 10及び図 11は本発明の一実施形態における通話傍受設定を説明するフローチ ヤートである。以下、傍受専用通信装置 12が呼処理サーバ及びエッジルーター 16 へ設定要求を送信し通信装置 (端末 ZHGW)間の通話を傍受する手順について説 明する。通信装置 Aが傍受対象者側の装置であり、通信端末 Aが発呼要求メッセ一 ジ 56を発信した場合にっレ、て説明する。
[0097] 傍受専用通信装置 12は、暗号化又は専用線などのセキュリティを確保できる通信 回線で呼処理サーバ 10へ接続されている。傍受専用通信装置 12は、傍受対象者を 特定する情報を含んだ設定要求メッセージ（SIPメッセージ）を呼処理サーバ 10へ送 信する（本発明の「設定要求部」に相当）。呼処理サーバ 10は、通話傍受待ち受け 状態になる。呼処理サーバ 10は、設定要求メッセージを受信すると、傍受対象者を 特定する情報 (発信加入者 ID等）を SIP呼制御部 46が管理する。
通話傍受待ち受け状態において通信装置 Aが発呼要求メッセージ 56を通信装置 Bへ送信する。このとき、呼処理サーバ 10は、発呼要求メッセージ 56から発信側復 号鍵を入手し、一時的に鍵情報を記憶する。
[0098] そして、呼処理サーバ 10は、相手先の通信装置 Bの宛先を特定し、発呼要求メッ セージ 56を転送する。呼処理サーバ 10は、対象者の IPアドレス 'ポート番号を含む SIPメッセージを傍受専用通信装置 12へ通知する。対象者の IPアドレス 'ポート番号 はミラーリング対象パケットを特定するためにエッジルータへ送信される。
[0099] 傍受専用通信装置 12は、通知を受け取ると、（1)加入者情報、（2)ネットワーク構 成に関する情報に基づきエッジノレーター 16に IPアドレスを含んだミラーリング設定要 求を送信する。エッジルーター 16は、ミラーリング設定が完了したことを示す設定確 認応答を傍受専用通信装置 12へ送信する。 [0100] 通信装置 Bは、成功応答メッセージ 58を通信装置 Aへ送信する。呼処理サーバ 10 は、成功応答メッセージ 58から着信側復号鍵を入手し、一時的に鍵情報を記憶する 。呼処理サーバ 10は、通信装置 Aの宛先を特定し、成功応答メッセージ 58を転送す る。
[0101] 呼処理装置は、成功応答メッセージ 58を受信すると、入手した着信側鍵情報を傍 受専用通信装置 12へ送信する。傍受専用通信装置 12は発信側鍵情報及び着信側 鍵情報を加入者情報と共に管理する。そして、通話呼 (RTPセッション)が確立すると 、通信装置間で通話が開始される。
[0102] エッジノレーター 16は傍受対象の音声パケットを受信すると、音声パケットを複製し、 傍受専用通信装置 12へ転送する (ミラーリング)。傍受専用通信装置 12は、復号鍵 を使用して暗号化された音声パケットを復号ィ匕する。これにより、通話の傍受が可能 になる。
[0103] 通信端末 Aから通話終了メッセージ (BYE)が送信されると、呼処理サーバ 10は鍵 情報を含むレコードを鍵情報管理テーブルから削除する。呼処理サーバ 10は傍受 専用通信装置 12へ通話が終了したことを通知する。
[0104] 傍受専用通信装置 12は、通知を受け取ると、ミラーリング設定解除要求をエッジノレ 一ター 16へ送信する。エッジノレーター 16は、ミラーリング設定を解除したことを示す 解除確認応答を傍受専用通信装置 12へ送信する。そして、傍受専用通信装置 12 が解除確認応答を受信すると、通話傍受待ち受け状態になる。ここで、傍受対象者 の通信装置 Aに関する発呼要求を呼処理サーバ 10が受信したとき、通話傍受が再 開される。
[0105] 最後に、通話傍受を終了するとき、傍受専用通信装置 12は、傍受解除要求を呼処 理サーバ 10へ送信する。呼処理サーバ 10は傍受設定を解除したことを示す解除確 認応答を傍受専用通信装置 12へ送信する。
[0106] 図 10及び図 11において、 100番台は暫定応答であり、リクエスト（INVITE)を受信 し、処理中であることを示す（例： 100 Trying、 180 Ringing)。また、 200番台は成功 応答であり、リクエストが理解され、受け入れられたことを示す（例： 200 OK、 202 Accepted)。 ACKは INVITEに対応する応答を通信装置 Bから受信したことを示す。 [0107] 次に、図 12及び図 13ミラーリング対象装置（エッジノレーター 16)および傍受対象パ ケットを特定する方法について説明する。図 12は本発明の一実施形態におけるミラ 一リング対象装置および対象パケットを特定する方法を説明するフローチャートであ る。傍受専用通信装置 12は、単体の装置又は複数の端末に接続されて利用される 装置である。
[0108] 傍受専用通信装置 12は、マウス、キーボードなどの入力装置による入力又はキヤリ ァのユーザ情報 (名前、住所など)を利用した検索等により傍受対象者情報 (発信加 入者 IDなど)を指定する（S40、（本発明の「指定部」に相当））。
[0109] 次に、傍受対象者側のエッジノレーター 16を特定するために、傍受専用通信装置 1 2は、傍受対象者の分析を行う（S41)。そのために、傍受専用通信装置 12は、傍受 対象者情報を検索キーとして、（i)キャリアを検索し、（ii)キャリアが有するネットワーク 構成情報とユーザ情報に基づきユーザが接続されているエッジルーター 16を検索 する (本発明の「キャリア検索部」及び「中継装置検索部」に相当）。傍受対象者側に 近いエッジルーター 16が検索対象である。
[0110] 更に、傍受専用通信装置 12は、キャリアが有するネットワークサービス情報 (Load balance,冗長化等）に基づきミラーリング対象装置を検索する（S42)。そして、傍受 専用通信装置 12は、 1つ又は 2以上のミラーリング対象装置を特定し、ミラーリング設 定を行う（S43、（本発明の「ミラーリング設定要求部」に相当））。 2以上のミラーリング 対象装置は、音声パケットに対して負荷分散等が行われる可能性がある場合に特定 される。
[0111] 傍受専用通信装置 12は、呼処理サーバ 10が傍受対象者に関する発呼要求メッセ ージ 56を受信すると、呼処理サーバ 10 (SIPサーバ）から傍受対象者の IPアドレス情 報とポート番号情報を受信する（S44)。
[0112] 傍受専用通信装置 12は、 IPアドレス情報を含むミラーリング設定要求をミラーリン グ対象装置へ送信する（S45)。ミラーリング対象装置は受信した IPアドレス情報に関 する音声パケットを受信すると、前記音声パケットをミラーリングして傍受専用通信装 置 12へ送信する。
[0113] 傍受専用通信装置 12は、ミラーリングパケットを受信すると、複号化が必要かどうか を判断する（S46、 S47)。復号化が必要な場合、傍受専用通信装置 12は、呼処理 サーバ 10から入手した鍵情報を使用して音声パケットを復号ィ匕する（S48)。復号ィ匕 した音声パケットは通信傍受対象通話データ部 72へ保存され、傍受が可能になる（ S49)。
[0114] 図 13は本発明の一実施形態におけるミラーリング対象装置および対象パケットを 特定する方法を説明する図である。傍受専用通信装置 12が加入者情報とネットヮー ク構成情報より接続されているエッジルーター 16を検索し、その装置に対してミラーリ ング設定を行う。このとき、負荷分散 (Load balance)や冗長構成サービスが提供され ているときには、対象となる全てのエッジルーター 16へミラーリング設定が行われる。
[0115] エッジルーター 16は、ミラーリング設定部 ER74、対象パケット検索部 ER76及び対 象パケット送付部 ER78を含む。ミラーリング設定部 ER74は、傍受専用通信装置 12 からミラーリング設定要求を受信したとき、ミラーリングの設定及び解除を管理する（本 発明の「ミラーリング設定部」に相当）。ミラーリング設定要求は傍受対象者の IPァドレ スが含まれている。対象パケット検索部 ER76は、傍受対象者の IPアドレスを保持し、 受信した音声パケットが傍受対象者の IPアドレスを含むかどうかを判断する（本発明 の「検索部」に相当）。
[0116] 傍受対象者の IPアドレスを含む音声パケットを受信したとき、対象パケット送付部 E R78は対象パケットをミラーリングして、傍受専用通信装置 12へ送信する（本発明の 「送信部」に相当）。対象パケット検索部 ER76は傍受専用通信装置 12からミラーリン グ設定解除要求を受信するまで、待機状態となる。
[0117] 図 14は本発明の一実施形態における複数の通信端末の通話傍受を管理する手 順を説明する図である。図 14は複数の傍受対象者 A - Cを傍受専用通信装置 12へ 設定した場合を示す。
[0118] 傍受専用通信装置 12は、ユーザ Aについてエッジノレーター Aをミラーリング設定対 象装置と特定する。傍受専用通信装置 12は、ユーザ B及びユーザ Cについてエッジ ルーター Bをミラーリング設定対象装置と特定する。
[0119] ユーザ A及びユーザ Bは暗号化された音声信号を送受信する。これに対して、ユー ザ Cは喑号ィ匕されていない音声パケットを送受信する。ユーザ A又はユーザ Bに関す る発呼要求メッセージ 56を呼処理サーバ 10が受信したとき、傍受専用通信装置 12 は呼処理サーバ 10から鍵情報を受信及び保存する（本発明の「記憶部」に相当）。
[0120] エッジノレーター 16から受信した音声パケットが喑号ィ匕されているとき、復号化処理 部 68にて復号化される。復号化された音声パケットはユーザ毎に分配及び保存され る。例えば、ユーザ Aに関する音声パケットは、音声パケットに含まれる時間情報を利 用して順に保存 '管理される。ユーザ Aに関する音声パケットはユーザ Aに関する音 声パケットのみを保存するようにしてもよいし、ユーザ Aとその相手側の音声パケット を 1つのフォルダに保存するようにしてもよい。
以上説明したように、本発明によれば、鍵情報は SIPメッセージに坦め込まれ交換 され、その鍵情報にて音声パケットは復号化される。暗号化アルゴリズムは、既存の アルゴリズムを適用することで、各装置の開発規模を最小限にできる。
[0121] 更に、ホームゲートウェイ 8に喑号ィ匕及び復号ィ匕機能を備えることで、 IP電話端末 2 等での喑号ィ匕処理による負荷を軽減できる。更に、ユーザは IP電話端末 2を自由に 選択すること力 Sできる。また、暗号化処理を限りなく利用者に近い装置で実施すること で、暗号化されてレ、なレ、音声パケットの盗聴を防止できる。
[0122] また、 SIPメッセージで鍵情報の交換を行うことで、呼処理サーバ 10で鍵情報を一 元管理できる。また、 SIPメッセージの INVITEと BYEをトリガーとすることで、通話中 のみ一時的なデータ管理をすることで、セキュリティを向上できる。
[0123] 更に、鍵情報を呼処理サーバ 10で一元管理することで、傍受の要請があった場合 に、鍵情報の入手処理を傍受専用通信装置 12と呼処理サーバ 10との間でのみ行う ことにより、処理が簡素化される。
[0124] 但し、傍受機能を提供しない場合には、呼処理サーバにて鍵情報を管理する機能 を設ける必要はない。その場合にはホームゲートウェイ 8、フアイヤーウォール 14、 IP 電話端末に図に示したような SIP制御部 36内に鍵情データ処理部 50を設ければよ レ、。
[0125] 利用者が IP電話端末 2を利用して通話を行った際に、アクセス網やコア網、不特定 多数の人が利用する網等を経由したとしても、音声パケットは暗号化されている為、 もレ ケット盗聴されても解読は極めて困難となる。そのため、ユーザは安心して通話 できる。
[0126] 更に、それぞれの網で暗号ィヒするのでは無ぐ利用者端末により近い装置で暗号 ィ匕/復号化処理を実行することで、復号化されたパケットが盗聴される危険性を低減 できる。また、暗号化処理で発生する遅延を最小限に抑えるというメリットがある。
[0127] 一方、鍵情報の保管を呼処理サーバ 10 (SIPサーバ）で一元管理するため、通信 傍受とき、問い合わせ先は呼処理サーバ 10のみである。このため、鍵情報入手の処 理が軽減できる。

Claims

請求の範囲
[1] 着呼側との間で通話呼を確立するための発呼要求を生成する発呼要求生成部、 発呼側でなされた暗号ィヒを前記着呼側で解除するための鍵情報と前記暗号化に 使用される暗号化アルゴリズムの種類を示す情報とを前記発呼要求へ埋め込む鍵情 報処理部、
前記情報が埋め込まれた発呼要求を着呼側へ送信する発呼要求送信部、 着呼側でなされた暗号化を解除するための鍵情報と前記暗号化アルゴリズムが使 用可能であることを示す情報を含む応答を前記着呼側から受信する受信部 を含む通信装置。
[2] 通話呼が確立された後に前記暗号化アルゴリズムを使用して音声情報を暗号化す る暗号化処理部、前記暗号化された音声情報を着呼側へ送信する音声情報送信部 を更に含む請求項 1記載の通信装置。
[3] 前記受信部が暗号化された音声情報を前記着呼側から受信したとき、着呼側の喑 号化を解除するための鍵情報を使用して前記音声情報を復号化する復号化部を更 に含む請求項 1記載の通信装置。
[4] 前記暗号化アルゴリズムが使用可能であることを示す情報が前記応答に含まれな レ、とき、音声情報送信部は暗号化しない前記音声情報を送信する請求項 2記載の通 信装置。
[5] 前記通信装置は、 SIP (Session Initiation Protocol)に従って、 SIPサーバたる呼制 御装置を介して通話呼を確立する SIP端末またはホームゲートウェイであり、 前記発呼要求生成部は、発呼要求の SIPメッセージを用いて発呼要求メッセージ を生成する請求項 1記載の通信装置。
[6] 通信端末から通話呼を確立するためのメッセージを受信する受信部、
前記メッセージを解析する解析部、
鍵情報が前記メッセージに含まれてレ、ると前記解析部が解析したとき、前記メッセ ージ力 鍵情報を抽出する抽出部、
前記通信端末の加入者を特定する加入者識別情報に前記鍵情報を対応させて記 憶する記憶部、 外部装置から加入者識別情報を含む傍受設定要求を受信する設定要求受信部、 傍受設定要求に含まれる加入者識別情報に係わるメッセージを受信したと解析部 が解析したとき、前記鍵情報と加入者識別情報と含むメッセージを前記外部装置へ 送信する送信部
を含む呼制御装置。
[7] 通話呼を確立するための前記メッセージは、 SIPメッセージであり、発信側からの発 呼要求メッセージおよび前記発呼要求メッセージに対する応答メッセージである請求 項 6記載の呼制御装置。
[8] 前記受信部が前記通信端末から通話を終了する要求を受信した後、記憶部は前 記鍵情報を削除する請求項 6記載の呼制御装置。
[9] 記憶部、
傍受対象者の通信端末を特定する加入者識別情報を指定する指定部、 前記加入者識別情報を検索キーとして前記通信端末が属するキャリアを前記記憶 部から検索するキャリア検索部、
検索されたキャリアのネットワーク構成情報と前記加入者識別情報を使用して前記 記憶部から前記通信端末側の中継装置を検索する中継装置検索部、
前記通信端末に関する音声パケットを前記中継装置からミラーリングして受信する ためのミラーリング設定要求を前記中継装置へ送信するミラーリング設定要求部、 通話呼を確立するための要求を管理する呼制御装置へ前記通信端末に関する情 報を得るために加入者識別情報を含む傍受設定要求を送信する設定要求部 を含む通信装置。
[10] 前記呼制御装置からの鍵情報及び前記中継装置からのミラーリングされた音声パ ケットを受信する受信部、
前記音声パケットが暗号化されているとき、鍵情報を使用して前記音声パケットを復 号化する復号化部
を更に含む請求項 9記載の通信装置。
[11] 音声パケットのミラーリングを要求するミラーリング設定要求を外部から受信したとき 、ミラーリング設定要求に含まれた IPアドレスを含む音声パケットをミラーリング対象と 設定するミラーリング設定部、
受信した音声パケットが前記 IPアドレスを含むかどうかを判断する検索部、 前記 IPアドレスを含む音声パケットを受信したとき、音声パケットをミラーリングして 送信する送信部
を含む中継装置。
[12] 着呼側との間で通話呼を確立するための発呼要求を生成する発呼要求生成ステツ プ、
発呼側でなされた暗号ィヒを前記着呼側で解除するための鍵情報と前記暗号化に 使用される暗号化アルゴリズムの種類を示す情報とを前記発呼要求へ埋め込む鍵情 報処理ステップ、
前記情報が埋め込まれた発呼要求を着呼側へ送信する発呼要求送信ステップ、 着呼側でなされた暗号ィヒを解除するための鍵情報と前記暗号化アルゴリズムが使 用可能であることを示す情報を含む応答を前記着呼側から受信する受信ステップ を含む通信方法。
[13] 通話呼が確立された後に前記暗号化アルゴリズムを使用して音声情報を暗号化す る暗号化処理ステップ、前記暗号化された音声情報を着呼側へ送信する音声情報 送信ステップを更に含む請求項 12記載の通信方法。
[14] 前記受信ステップが暗号化された音声情報を前記着呼側から受信したとき、着呼 側の暗号化を解除するための鍵情報を使用して前記音声情報を復号化する復号化 ステップを更に含む請求項 12記載の通信方法。
[15] 前記暗号化アルゴリズムが使用可能であることを示す情報が前記応答に含まれな レ、とき、音声情報送信ステップは暗号化しない前記音声情報を送信する請求項 13 記載の通信方法。
[16] 前記通信方法は、 SIP (Session Initiation Protocol)に従って、 SIPサーバたる呼制 御装置を介して通話呼を確立する SIP端末またはホームゲートウェイで使用され、 前記発呼要求生成ステップは、発呼要求の SIPメッセージを用いて発呼要求メッセ ージを生成する請求項 12記載の通信方法。
[17] 通信端末から通話呼を確立するためのメッセージを受信する受信ステップ、 前記メッセージを解析する解析ステップ、
鍵情報が前記メッセージに含まれてレ、ると前記解析ステップが解析したとき、前記メ ッセージ力 鍵情報を抽出する抽出ステップ、
前記通信端末の加入者を特定する加入者識別情報に前記鍵情報を対応させて記 憶する記憶ステップ、
外部装置から加入者識別情報を含む傍受設定要求を受信する設定要求受信ステ ップ、
傍受設定要求に含まれる加入者識別情報に係わるメッセージを受信したと解析ス テツプが解析したとき、前記鍵情報と加入者識別情報と含むメッセージを前記外部装 置へ送信する送信ステップ
を含む呼制御方法。
[18] 通話呼を確立するための前記メッセージは、 SIPメッセージであり、発信側からの発 呼要求メッセージおよび前記発呼要求メッセージに対する応答メッセージである請求 項 17記載の呼制御方法。
[19] 前記受信ステップが前記通信端末から通話を終了する要求を受信した後、記憶ス テツプは前記鍵情報を削除する請求項 17記載の呼制御方法。
[20] 記憶部に情報を記憶する記憶ステップ、
傍受対象者の通信端末を特定する加入者識別情報を指定する指定ステップ、 前記加入者識別情報を検索キーとして前記通信端末が属するキャリアを前記記憶 部から検索するキャリア検索ステップ、
検索されたキャリアのネットワーク構成情報と前記加入者識別情報を使用して前記 記憶部から前記通信端末側の中継装置を検索する中継装置検索ステップ、 前記通信端末に関する音声パケットを前記中継装置からミラーリングして受信する ためのミラーリング設定要求を前記中継装置へ送信するミラーリング設定要求ステツ プ、
通話呼を確立するための要求を管理する呼制御装置へ前記通信端末に関する情 報を得るために加入者識別情報を含む傍受設定要求を送信する設定要求ステップ を含む通信方法。
[21] 前記呼制御装置からの鍵情報及び前記中継装置からのミラーリングされた音声パ ケットを受信する受信ステップ、
前記音声パケットが暗号化されているとき、鍵情報を使用して前記音声パケットを復 号化する復号化ステップ
を更に含む請求項 20記載の通信方法。
[22] 音声パケットのミラーリングを要求するミラーリング設定要求を外ステップから受信し たとき、ミラーリング設定要求に含まれた IPアドレスを含む音声パケットをミラーリング 対象と設定するミラーリング設定ステップ、
受信した音声パケットが前記 IPアドレスを含むかどうかを判断する検索ステップ、 前記 IPアドレスを含む音声パケットを受信したとき、音声パケットをミラーリングして 送信する送信ステップ
を含む中継方法。
PCT/JP2005/002734 2005-02-21 2005-02-21 通信装置 WO2006087819A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/JP2005/002734 WO2006087819A1 (ja) 2005-02-21 2005-02-21 通信装置
JP2007503556A JPWO2006087819A1 (ja) 2005-02-21 2005-02-21 通信装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2005/002734 WO2006087819A1 (ja) 2005-02-21 2005-02-21 通信装置

Publications (1)

Publication Number Publication Date
WO2006087819A1 true WO2006087819A1 (ja) 2006-08-24

Family

ID=36916235

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/002734 WO2006087819A1 (ja) 2005-02-21 2005-02-21 通信装置

Country Status (2)

Country Link
JP (1) JPWO2006087819A1 (ja)
WO (1) WO2006087819A1 (ja)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008131314A (ja) * 2006-11-20 2008-06-05 Konica Minolta Business Technologies Inc 通信システム
JP2008228309A (ja) * 2007-03-15 2008-09-25 Palo Alto Research Center Inc スローチャネル上の高速認証
WO2009044472A1 (ja) * 2007-10-04 2009-04-09 Fujitsu Limited 傍受システム、経路変更装置及びコンピュータプログラム
WO2011016450A1 (ja) * 2009-08-05 2011-02-10 独立行政法人情報通信研究機構 電子価格提示システム、電子価格提示装置、及び電子価格提示方法
JP2011505736A (ja) * 2007-11-29 2011-02-24 テレフオンアクチーボラゲット エル エム エリクソン（パブル） Ｉｍｓシステムにおけるエンド・ツー・エッジのメディア保護のための方法および装置
JP2011066468A (ja) * 2009-09-15 2011-03-31 Brother Industries Ltd 通信端末装置、通信端末装置の通信制御方法及び通信制御プログラム
JP2012129624A (ja) * 2010-12-13 2012-07-05 Fujitsu Ltd 通過制御装置、通過制御方法、及び通過制御プログラム
JP2014505387A (ja) * 2010-12-06 2014-02-27 ゼットティーイー コーポレイション Ｉｄ／ロケータ分離ネットワークのモニタリング方法及びシステム
JP2016181778A (ja) * 2015-03-24 2016-10-13 日本電気株式会社 Ｉｐ電話暗号化装置および暗号化方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001298449A (ja) * 2000-04-12 2001-10-26 Matsushita Electric Ind Co Ltd セキュリティ通信方法、通信システム及びその装置
JP2002539716A (ja) * 1999-03-12 2002-11-19 ノキア ネットワークス オサケ ユキチュア 傍受システム及び方法
JP2003521834A (ja) * 1999-01-29 2003-07-15 ジェネラル・インストルメント・コーポレーション Ｃｔａ間のシグナリングおよび呼び出しパケットを保護する電話呼び出しに関する鍵管理
JP2004173051A (ja) * 2002-11-21 2004-06-17 Nippon Telegr & Teleph Corp <Ntt> ＶｏＩＰパケット情報蓄積システム
JP2004235697A (ja) * 2003-01-28 2004-08-19 Mitsubishi Space Software Kk 外部一局型構内交換方式ｉｐ電話システム
JP2004336602A (ja) * 2003-05-12 2004-11-25 Nakayo Telecommun Inc ＶｏＩＰ通信装置

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004241954A (ja) * 2003-02-05 2004-08-26 Nippon Telegr & Teleph Corp <Ntt> 音声モニタ方法
JP2004248169A (ja) * 2003-02-17 2004-09-02 Nippon Telegr & Teleph Corp <Ntt> 通信制御システムと通信制御方法およびプログラムと通信端末装置
JP4047303B2 (ja) * 2004-06-04 2008-02-13 キヤノン株式会社 提供装置、提供プログラム、及び、提供方法
JP4710267B2 (ja) * 2004-07-12 2011-06-29 株式会社日立製作所 ネットワークシステム、データ中継装置、セッションモニタシステム、およびパケットモニタ中継装置
JP4101215B2 (ja) * 2004-08-06 2008-06-18 キヤノン株式会社 セキュリティポリシー設定方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003521834A (ja) * 1999-01-29 2003-07-15 ジェネラル・インストルメント・コーポレーション Ｃｔａ間のシグナリングおよび呼び出しパケットを保護する電話呼び出しに関する鍵管理
JP2002539716A (ja) * 1999-03-12 2002-11-19 ノキア ネットワークス オサケ ユキチュア 傍受システム及び方法
JP2001298449A (ja) * 2000-04-12 2001-10-26 Matsushita Electric Ind Co Ltd セキュリティ通信方法、通信システム及びその装置
JP2004173051A (ja) * 2002-11-21 2004-06-17 Nippon Telegr & Teleph Corp <Ntt> ＶｏＩＰパケット情報蓄積システム
JP2004235697A (ja) * 2003-01-28 2004-08-19 Mitsubishi Space Software Kk 外部一局型構内交換方式ｉｐ電話システム
JP2004336602A (ja) * 2003-05-12 2004-11-25 Nakayo Telecommun Inc ＶｏＩＰ通信装置

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008131314A (ja) * 2006-11-20 2008-06-05 Konica Minolta Business Technologies Inc 通信システム
JP2008228309A (ja) * 2007-03-15 2008-09-25 Palo Alto Research Center Inc スローチャネル上の高速認証
WO2009044472A1 (ja) * 2007-10-04 2009-04-09 Fujitsu Limited 傍受システム、経路変更装置及びコンピュータプログラム
JP5418227B2 (ja) * 2007-10-04 2014-02-19 富士通株式会社 傍受システム、経路変更装置及びコンピュータプログラム
KR101128971B1 (ko) * 2007-10-04 2012-03-28 후지쯔 가부시끼가이샤 방수 시스템, 경로 변경 장치 및 기억 매체
US8549615B2 (en) 2007-11-29 2013-10-01 Telefonaktiebolaget L M Ericsson Method and apparatuses for end-to-edge media protection in an IMS system
US8832821B2 (en) 2007-11-29 2014-09-09 Telefonaktiebolaget Lm Ericsson (Publ) Method and apparatuses for end-to-edge media protection in an IMS system
JP2011505736A (ja) * 2007-11-29 2011-02-24 テレフオンアクチーボラゲット エル エム エリクソン（パブル） Ｉｍｓシステムにおけるエンド・ツー・エッジのメディア保護のための方法および装置
WO2011016450A1 (ja) * 2009-08-05 2011-02-10 独立行政法人情報通信研究機構 電子価格提示システム、電子価格提示装置、及び電子価格提示方法
JP2011035800A (ja) * 2009-08-05 2011-02-17 National Institute Of Information & Communication Technology 電子価格提示システム、電子価格提示装置、及び電子価格提示方法
JP2011066468A (ja) * 2009-09-15 2011-03-31 Brother Industries Ltd 通信端末装置、通信端末装置の通信制御方法及び通信制御プログラム
JP2014505387A (ja) * 2010-12-06 2014-02-27 ゼットティーイー コーポレイション Ｉｄ／ロケータ分離ネットワークのモニタリング方法及びシステム
US9749201B2 (en) 2010-12-06 2017-08-29 Zte Corporation Method and system for monitoring locator/identifier separation network
JP2012129624A (ja) * 2010-12-13 2012-07-05 Fujitsu Ltd 通過制御装置、通過制御方法、及び通過制御プログラム
JP2016181778A (ja) * 2015-03-24 2016-10-13 日本電気株式会社 Ｉｐ電話暗号化装置および暗号化方法

Also Published As

Publication number Publication date
JPWO2006087819A1 (ja) 2008-07-03

Similar Documents

Publication Publication Date Title
US7769176B2 (en) Systems and methods for a secure recording environment
JP4710267B2 (ja) ネットワークシステム、データ中継装置、セッションモニタシステム、およびパケットモニタ中継装置
US7848524B2 (en) Systems and methods for a secure recording environment
US8526616B2 (en) Method for payload encryption of digital voice or data communications
WO2006087819A1 (ja) 通信装置
US8976968B2 (en) Intercepting a communication session in a telecommunication network
US7853800B2 (en) Systems and methods for a secure recording environment
US7827398B2 (en) Method for offloading encryption and decryption of a message received at a message server to remote end devices
US7986773B2 (en) Interactive voice response system security
US20110135093A1 (en) Secure telephone devices, systems and methods
US8693686B2 (en) Secure telephone devices, systems and methods
JP5979263B2 (ja) 秘話通信装置、方法及びプログラム
Garfinkel VoIP and Skype security
US8181013B2 (en) Method, media gateway and system for transmitting content in call established via media gateway control protocol
US20100128875A1 (en) Secure voicemail system and method
US10848471B2 (en) Communication apparatus, communication method, and program
JP2007013254A (ja) Ｉｐ電話通話における通話録音方法及びシステム
JP5163187B2 (ja) コールセンタシステム
KR20120087550A (ko) 암호 통신 방법 및 이를 이용한 암호 통신 시스템
US20050228997A1 (en) Methods and devices for providing secure communication sessions
JP2009088959A (ja) 傍受システム
EP2036244B1 (en) Systems and methods for a secure recording environment
KR101094631B1 (ko) 비디오뱅킹 서비스 시스템 및 그 방법
JP6554851B2 (ja) Ｉｐ電話暗号化装置および暗号化方法
JP2002300188A (ja) インターネット電話の接続方法及びインターネット電話用サーバ装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2007503556

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 05719353

Country of ref document: EP

Kind code of ref document: A1

WWW Wipo information: withdrawn in national office

Ref document number: 5719353

Country of ref document: EP