WO2018101243A1 - 通信装置、通信方法、プログラム - Google Patents

通信装置、通信方法、プログラム Download PDF

Info

Publication number
WO2018101243A1
WO2018101243A1 PCT/JP2017/042557 JP2017042557W WO2018101243A1 WO 2018101243 A1 WO2018101243 A1 WO 2018101243A1 JP 2017042557 W JP2017042557 W JP 2017042557W WO 2018101243 A1 WO2018101243 A1 WO 2018101243A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
server
domain name
data
information
Prior art date
Application number
PCT/JP2017/042557
Other languages
English (en)
French (fr)
Inventor
有 向谷地
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to CN201780072692.2A priority Critical patent/CN110036605A/zh
Priority to JP2018554151A priority patent/JP6743906B2/ja
Priority to US16/464,567 priority patent/US11290462B2/en
Priority to EP17876524.4A priority patent/EP3550771A4/en
Publication of WO2018101243A1 publication Critical patent/WO2018101243A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved

Definitions

  • the present invention relates to a communication device, a communication method, and a program.
  • Patent Document 1 discloses a technique using information of SSL (Secure Sockets Layer) communication that is encrypted communication.
  • an object of the present invention is to provide a communication device, a communication method, and a program that solve the above-described problems.
  • the communication device detects the server information from the request communication that is transmitted when the distribution destination device receives data from the server device and requests the start of communication encryption.
  • the communication device transmits the server information from the request communication requesting the start of communication encryption transmitted when the distribution destination device receives data from the server device. And detecting a domain name corresponding to the server information, and restricting data communication of the data transmitted from the server device to the delivery destination device based on the domain name.
  • the program sends the server information to the computer of the communication device from the request communication that is transmitted when the distribution destination device receives data from the server device and requests the start of communication encryption. Is detected, a domain name corresponding to the server information is detected, and data communication regulation of the data transmitted from the server device to the delivery destination device is performed based on the domain name.
  • FIG. 1 is a block diagram showing a configuration of a communication system including a communication apparatus according to the present embodiment.
  • the communication system 100 includes a communication device 1, a terminal 2 (distribution destination device), and a server device 3.
  • the communication device 1 and the terminal 2 are connected via a first network connected to the Internet network.
  • the communication device 1 and the server device 3 are connected via a second network connected to the Internet network.
  • the first network and the second network may be an indoor network in which the communication device 1 is arranged.
  • the first network and the second network are connected to the Internet network via a gateway device (not shown).
  • a network to which the communication device 1 and the terminal 2 are connected and a network to which the communication device and the server device 3 are connected are shown separately.
  • FIG. 2 is a hardware configuration diagram of the communication apparatus according to the present embodiment.
  • the communication apparatus 1 includes a CPU (Central Processing Unit) 11, a RAM (Random Access Memory) 12, a ROM (Read Only Memory) 13, an SSD (Solid State Drive) 14, a communication module 15, and the like.
  • the communication device 1 is a computer having such functions.
  • the communication device 1 may be a router, a relay server, or the like.
  • FIG. 3 is a functional block diagram of the communication apparatus according to the present embodiment.
  • the CPU 11 (FIG. 2) of the communication device 1 executes a transfer control program stored in the ROM 13 (FIG. 2) or the like when activated.
  • the communication device 1 includes the functions of the communication control unit 111, the buffering unit 112, the service management unit 113, the server information detection unit 114, the domain name detection unit 115, and the regulation unit 116.
  • the communication control unit 111 controls communication with other devices connected via the first network or the second network.
  • the communication control unit 111 outputs an SSL (Secure Sockets Layer) / TLS (Transport Layer Security) communication signal received from the terminal 2 to the buffering unit 112.
  • SSL Secure Sockets Layer
  • TLS Transport Layer Security
  • the communication control unit 111 has a proxy server function.
  • the communication control unit 111 is connected to the first network and the second network.
  • the buffering unit 112 stores data of each connection generated in the negotiation communication with another apparatus from the start of SSL / TLS communication until the server name indication (hereinafter referred to as Server Name Indication) information can be acquired. Is buffered.
  • the service management unit 113 is a processing unit that analyzes a received signal and makes a determination regarding subsequent processing control.
  • the service management unit 113 determines a requested service based on communication, analyzes SSL, and the like.
  • the server information detection unit 114 detects server information from the request communication that is transmitted when the terminal 2 receives data from the server device 3 and requests the start of communication encryption. Specifically, the server information detection unit 114 detects Server Name Indication information from the information buffered by the buffering unit 112.
  • the domain name detection unit 115 detects a domain name corresponding to the information of Server Name Indication.
  • the restricting unit 116 performs data communication restriction on data transmitted from the server device 3 to the terminal 2 based on the detected domain name. Specifically, the restriction unit 116 suppresses the data transfer amount per unit time when relaying data transmitted from the server device 3 to the terminal 2 based on SSL / TLS communication that is request communication.
  • the communication device 1 specifies a Client Hello message transmitted in plain text from the terminal 2 during the handshake of encrypted communication (SSL / TLS, etc.) transmitted from the terminal 2.
  • the communication device 1 acquires Server Name Indication included in the Client Hello message. Further, the communication device 1 acquires a domain name recorded in association with Server Name Indication.
  • the communication device 1 performs distribution amount control (paging control) of data transmitted from the server device 3 to the terminal 2 using a transfer amount per unit time set in advance for each domain name.
  • the SSL server certificate transmitted from the server apparatus 3 during the handshake of encrypted communication includes information called Common Name separately.
  • the communication device 1 can also specify the domain name corresponding to the IP address from this Common Name.
  • a domain name corresponding to the service which is a domain name different from the domain name corresponding to the IP address, is acquired from the Server Name Indication included in the Client Hello message.
  • Common Name has a one-to-one correspondence with the IP address.
  • Server Name Indication defined in RFC6066 as an extended specification of SSL / TLS can set SSL certificates of a plurality of domains for one IP address. For this reason, in this embodiment, it is possible to acquire a target domain more finely by using Server Name Indication instead of Common Name.
  • the target domain is a domain that distributes data to the terminal 2.
  • FIG. 4 is a diagram showing a processing flow of the communication apparatus according to the present embodiment.
  • the terminal 2 transmits a request communication requesting the start of communication encryption to the server device 3.
  • This request signal is a communication signal for SSL / TLS handshake.
  • the communication control unit 111 of the communication device 1 receives the SSL / TLS handshake communication signal transmitted from the terminal 2 (step S101).
  • the buffering unit 112 intercepts an SSL / TLS handshake communication signal.
  • the buffering unit 112 extracts data including Server Name Indication from the Client Hello message in the communication signal of the SSL / TLS handshake (step S102).
  • the buffering unit 112 accumulates data including Server Name Indication (step S103).
  • the communication control unit 111 relays an SSL / TLS handshake communication signal transmitted and received between the terminal 2 and the server device 3.
  • the service management unit 113 acquires the communication signal of the SSL / TLS handshake and the information of the communication signal after the completion of the handshake from the communication control unit 111.
  • the service management unit 113 analyzes the communication signal and makes a determination regarding subsequent process control (step S104).
  • the service management unit 113 determines (analyzes) the server device 3 based on the communication signal
  • the service management unit 113 instructs the communication control unit 111 to transmit a data distribution request to the server device 3.
  • the communication control unit 111 transmits a distribution request for data to be transmitted to the terminal 2 to the server device 3 (step S105).
  • the server device 3 transmits distribution data addressed to the terminal 2 to the communication device 1 having a proxy server function.
  • the service management unit 113 of the communication device 1 intercepts a communication signal including distribution data via the communication control unit 111, and determines whether the communication signal including SSL / TLS handshake or distribution data satisfies the SSL transfer condition. Determination is made (step S106).
  • the service management unit 113 makes a determination based on the analysis result in step S104. For example, when the service management unit 113 detects an SSL / TLS handshake communication signal, the service management unit 113 immediately determines that the communication between the terminal 2 and the server device 3 performing the handshake satisfies the SSL transfer condition. It's okay. Whether or not the SSL transfer condition is satisfied may be determined by another method.
  • the service management unit 113 requests the server information detection unit 114 to detect server information.
  • the server information is Server Name Indication included in the Client Hello message.
  • the server information detection unit 114 acquires data including Server Name Indication from the Client Hello message accumulated by the buffering unit 112.
  • the server information detection unit 114 extracts Server Name Indication from the data (step S107).
  • the server information detection unit 114 outputs Server Name Indication to the domain name detection unit 115.
  • the domain name detection unit 115 refers to the domain management table recorded in the storage unit such as the ROM 13 (FIG. 2) or the SSD 14 (FIG. 2), and acquires the domain name recorded in association with Server Name Indication. (Step S108).
  • the domain name detection unit 115 outputs the acquired domain name to the regulation unit 116.
  • the regulation unit 116 detects a regulation technique corresponding to the domain name. For example, the regulation unit 116 acquires the transfer amount of data per unit time in association with the domain name. The correspondence between the domain name and the transfer amount per unit time is recorded in a storage unit such as the ROM 13 or the SSD 14.
  • the regulation unit 116 controls the communication control unit 111 so that data is controlled to be transferred according to the acquired transfer amount (paging rate) per unit time. Based on the control of the regulation unit 116, the communication control unit 111 transfers the distribution data transmitted from the server device 3 to the terminal 2 by the function of the proxy server. At this time, the communication control unit 111 performs a transfer process so that the transfer amount of distribution data per unit time becomes the transfer amount per unit time acquired by the restriction unit 116 (step S109).
  • FIG. 5 is a diagram illustrating a correspondence relationship between Server Name Indication and Common Name included in the communication signal of the SSL / TLS handshake.
  • the SSL / TLS handshake communication signal includes Server Name Indication and Common Name. Both Server Name Indication and Common Name indicate the domain name, but the server name (service name) can be acquired as the domain name from Server Name Indication.
  • the common name is the same but the server name indication is different.
  • the information “xxx.com” having the same common name between the service “video” and the service “application program” is different, but the information of the server name indication is different.
  • the common name is the same information among a plurality of services (“moving image” and “application program”).
  • the communication apparatus 1 determines the transfer amount (transfer rate) per unit time based on the common name, not only the distribution of a desired video as a restriction target but also the download of an application program that is not to be restricted.
  • Server Name Indication is used as described above. Thereby, even if it is the some service delivered from the same server, the domain name contained in communication can differ among those services. Therefore, according to the present embodiment, the transfer amount of data per unit time can be set for each of a plurality of services distributed from the same server. That is, according to the example of FIG.
  • the terminal 2 described above may be any device as long as it sends a distribution data transmission request to the server device 3 and receives the distribution data transmitted as a result.
  • the terminal 2 may be a mobile phone including a smartphone, a tablet terminal, a personal computer, a television with a network connection function, or the like.
  • FIG. 6 is a diagram illustrating a minimum configuration of the communication apparatus according to the present embodiment.
  • the communication device 1 may include at least the server information detection unit 114, the domain name detection unit 115, and the regulation unit 116.
  • the communication device 1 may be configured by an electronic circuit included in the communication device 1, for example.
  • the above-described communication device 1 has a computer system inside.
  • Each process described above is stored in a computer-readable recording medium in the form of a program, and the above process is performed by the computer reading and executing the program.
  • the computer-readable recording medium means a magnetic disk, a magneto-optical disk, a CD-ROM, a DVD-ROM, a semiconductor memory, or the like.
  • the computer program may be distributed to the computer via a communication line, and the computer that has received the distribution may execute the program.
  • the program may be for realizing a part of the functions described above. Furthermore, what can implement

Abstract

配信先装置がサーバ装置からデータを受信する際に送信した、通信の暗号化の開始を要求する要求通信からサーバ情報を検出するサーバ情報検出部と、前記サーバ情報に対応するドメイン名を検出するドメイン名検出部と、前記ドメイン名に基づいて、前記サーバ装置から前記配信先装置へ送信される前記データのデータ通信規制を行う規制部と、を備える通信装置。

Description

通信装置、通信方法、プログラム
　本発明は、通信装置、通信方法、プログラムに関する。
　近年、サーバ装置と端末との間のデータ通信は暗号化されていることが多い。このような状況において、サーバ装置から端末へ送信されるデータのうち特定のデータについてのみ、単位時間当たりの転送量を制御することが求められている。なお関連する技術として、暗号化通信であるＳＳＬ（Secure Sockets Layer）通信の情報を用いる技術が特許文献１に開示されている。
特表２０１５－５１３８１０号公報
　そこでこの発明は、上述の課題を解決する通信装置、通信方法、プログラムを提供することを目的としている。
　本発明の第１の態様によれば、通信装置は、配信先装置がサーバ装置からデータを受信する際に送信した、通信の暗号化の開始を要求する要求通信からサーバ情報を検出するサーバ情報検出部と、前記サーバ情報に対応するドメイン名を検出するドメイン名検出部と、前記ドメイン名に基づいて、前記サーバ装置から前記配信先装置へ送信される前記データのデータ通信規制を行う規制部と、を備える。
　本発明の第２の態様によれば、通信方法は、通信装置が、配信先装置がサーバ装置からデータを受信する際に送信した、通信の暗号化の開始を要求する要求通信からサーバ情報を検出し、前記サーバ情報に対応するドメイン名を検出し、前記ドメイン名に基づいて、前記サーバ装置から前記配信先装置へ送信される前記データのデータ通信規制を行う。
　本発明の第３の態様によれば、プログラムは、通信装置のコンピュータに、配信先装置がサーバ装置からデータを受信する際に送信した、通信の暗号化の開始を要求する要求通信からサーバ情報を検出し、前記サーバ情報に対応するドメイン名を検出し、前記ドメイン名に基づいて、前記サーバ装置から前記配信先装置へ送信される前記データのデータ通信規制を行う、処理を実行させる。
　本発明によれば、暗号化されるデータ通信を用いて特定のデータを識別してそのデータ通信についての転送制御を行うことができる。
本実施形態による通信装置を含む通信システムの構成を示すブロック図である。 本実施形態による通信装置のハードウェア構成図である。 本実施形態による通信装置の機能ブロック図である。 本実施形態による通信装置の処理フローを示す図である。 Server Name IndicationとCommon Nameとの対応関係を示す図である。 本実施形態の通信装置の最少構成を示す図である。
　以下、本発明の一実施形態による通信装置を図面を参照して説明する。
　図１は本実施形態による通信装置を含む通信システムの構成を示すブロック図である。
　この図で示すように通信システム１００は、通信装置１、端末２（配信先装置）、サーバ装置３を含んで構成される。通信装置１と端末２とはインターネット網に繋がる第一ネットワークを介して接続される。通信装置１とサーバ装置３とはインターネット網に繋がる第二ネットワークを介して接続される。第一ネットワークと第二ネットワークとは通信装置１が配置された屋内ネットワークであってよい。第一ネットワークや第二ネットワークは図示しないゲートウェイ装置などを介してインターネット網に接続されている。図１においては説明の便宜上、通信装置１と端末２とが接続されるネットワークと、通信装置とサーバ装置３とが接続されるネットワークを分けて表記している。
　図２は本実施形態による通信装置のハードウェア構成図である。
　図２で示すように通信装置１は、ＣＰＵ（Central Processing Unit）１１，ＲＡＭ（Random Access Memory）１２、ＲＯＭ(Read Only Memory)１３、ＳＳＤ（Solid State Drive）１４、通信モジュール１５などを備えてよい。通信装置１はこのような各機能を備えたコンピュータである。例えば通信装置１はルータ、中継サーバなどであってよい。
　図３は本実施形態による通信装置の機能ブロック図である。
　通信装置１のＣＰＵ１１（図２）は起動することによりＲＯＭ１３（図２）等に格納されている転送制御プログラムを実行する。これにより通信装置１には、通信制御部１１１、バッファリング部１１２、サービス管理部１１３、サーバ情報検出部１１４、ドメイン名検出部１１５、及び、規制部１１６の各機能を備える。
　通信制御部１１１は、第一ネットワークまたは第二ネットワークを介して接続される他装置との通信を制御する。通信制御部１１１は、端末２から受信したＳＳＬ（Secure Sockets Layer）／ＴＬＳ（Transport Layer Security）の通信信号等をバッファリング部１１２へ出力する。また通信制御部１１１はプロキシサーバの機能を有する。通信制御部１１１は、第一ネットワーク及び第二ネットワークと接続する。
　バッファリング部１１２は、ＳＳＬ／ＴＬＳ通信の開始からサーバーネームインディケーション（以下、Server Name Indicationと称する）の情報を取得できるまでの間の他装置との間のネゴシエーション通信で発生する各コネクションのデータをバッファリングする。
　サービス管理部１１３は、受信した信号を解析して以降の処理制御に関する判定を行う処理部である。具体的にはサービス管理部１１３は通信に基づいて要求されているサービスの判定やＳＳＬの解析などを行う。
　サーバ情報検出部１１４は、端末２がサーバ装置３からデータを受信する際に送信した、通信の暗号化の開始を要求する要求通信からサーバ情報を検出する。具体的には、サーバ情報検出部１１４は、バッファリング部１１２によってバッファリングされた情報の中からServer Name Indicationの情報を検出する。
　ドメイン名検出部１１５は、Server Name Indicationの情報に対応するドメイン名を検出する。
　規制部１１６は、検出されたドメイン名に基づいて、サーバ装置３から端末２へ送信されるデータに対するデータ通信規制を行う。規制部１１６は、具体的には要求通信であるＳＳＬ／ＴＬＳ通信に基づいてサーバ装置３から端末２へ送信されたデータを中継する際の、単位時間当たりのデータの転送量を抑制する。
　本実施形態の通信装置１は、端末２から送信された暗号通信（ＳＳＬ／ＴＬＳなど)のハンドシェイク中に端末２から平文で送信されるClient Helloメッセージを特定する。通信装置１はそのClient Helloメッセージに含まれるServer Name Indicationを取得する。また通信装置１は、Server Name Indicationに対応付けられて記録されているドメイン名を取得する。通信装置１はドメイン名ごとに事前に設定した単位時間当たりの転送量を用いて、サーバ装置３から端末２へ送信されるデータの流通量制御（ページング制御）を行う。
　暗号通信のハンドシェイク中にサーバ装置３から送信されるＳＳＬサーバ証明書にはCommon Nameと呼ばれる情報が別途含まれる。通信装置１はこのCommon NameからもＩＰアドレスに対応したドメイン名を特定することが可能である。しかしながら、本実施形態においては、Client Helloメッセージに含まれるServer Name Indicationから、当該ＩＰアドレスに対応したドメイン名とは異なるドメイン名であって、サービスに対応したドメイン名を取得する。通常、ＳＳＬ証明書は、1つのＩＰアドレスに対して１つしか設定することが出来ない。このためCommon NameはＩＰアドレスと１対１で対応している。しかし、ＳＳＬ／ＴＬＳの拡張仕様としてＲＦＣ６０６６で定義されたServer Name Indicationは、１つのＩＰアドレスに対して複数ドメインのＳＳＬ証明書を設定可能である。そのため、本実施形態では、Common NameではなくServer Name Indicationを用いることで、ターゲットとするドメインをより細かく取得することが可能となる。例えば、ターゲットとするドメインは、端末２にデータを配信するドメインである。
　図４は本実施形態による通信装置の処理フローを示す図である。
　まず、端末２は、サーバ装置３からデータを受信する際に、通信の暗号化の開始を要求する要求通信をサーバ装置３へ送信する。この要求信号は、ＳＳＬ／ＴＬＳのハンドシェイクの通信信号である。通信装置１の通信制御部１１１は、端末２から送信されたＳＳＬ／ＴＬＳのハンドシェイクの通信信号を受信する（ステップＳ１０１）。バッファリング部１１２はＳＳＬ／ＴＬＳのハンドシェイクの通信信号を傍受する。バッファリング部１１２は、ＳＳＬ／ＴＬＳのハンドシェイクの通信信号におけるClient HelloメッセージからServer Name Indicationが含まれるデータを抽出する（ステップＳ１０２）。バッファリング部１１２はServer Name Indicationが含まれるデータを蓄積する（ステップＳ１０３）。通信制御部１１１は、端末２とサーバ装置３とで送受信されるＳＳＬ／ＴＬＳのハンドシェイクの通信信号を中継する。
　サービス管理部１１３はＳＳＬ／ＴＬＳのハンドシェイクの通信信号や、ハンドシェイク完了以降の通信信号の情報を通信制御部１１１から取得する。サービス管理部１１３は通信信号を解析して、以降の処理制御に関する判定を行う（ステップＳ１０４）。サービス管理部１１３は通信信号に基づいてサーバ装置３を判定（解析）すると、サーバ装置３へのデータの配信要求の送信を通信制御部１１１へ指示する。通信制御部１１１は、端末２へ送信するデータの配信要求をサーバ装置３へ送信する（ステップＳ１０５）。サーバ装置３はプロキシサーバの機能を有する通信装置１へ、端末２宛ての配信データを送信する。
　通信装置１のサービス管理部１１３は通信制御部１１１を介して配信データを含む通信信号を傍受し、ＳＳＬ／ＴＬＳのハンドシェイクや配信データ等を含む通信信号がＳＳＬ転送条件を満たすか否かを判定する（ステップＳ１０６）。サービス管理部１１３は、ステップＳ１０４の解析結果に基づいて判定する。例えばサービス管理部１１３はＳＳＬ／ＴＬＳのハンドシェイクの通信信号を検出した場合には、直ちにそのハンドシェイクを行っている端末２とサーバ装置３との間の通信がＳＳＬ転送条件を満たすと判定してよい。ＳＳＬ転送条件を満たすか否かは、他の手法によって判定されてもよい。ＳＳＬ転送条件を満たす場合、サービス管理部１１３はサーバ情報検出部１１４にサーバ情報の検出を要求する。本実施形態においてサーバ情報は、Client Helloメッセージに含まれるServer Name Indicationである。
　サーバ情報検出部１１４はバッファリング部１１２によって蓄積されているClient HelloメッセージからServer Name Indicationが含まれるデータを取得する。サーバ情報検出部１１４はそのデータからServer Name Indicationを抽出する（ステップＳ１０７）。またサーバ情報検出部１１４はServer Name Indicationをドメイン名検出部１１５へ出力する。ドメイン名検出部１１５はＲＯＭ１３（図２）やＳＳＤ１４（図２）等の記憶部に記録されているドメイン管理表を参照し、Server Name Indicationに対応付けられて記録されているドメイン名を取得する（ステップＳ１０８）。ドメイン名検出部１１５は取得したドメイン名を規制部１１６へ出力する。
　規制部１１６はドメイン名に対応する規制手法を検出する。規制部１１６は、例えばドメイン名に対応付けて、データの単位時間当たりの転送量を取得する。ドメイン名と単位時間当たりの転送量との対応関係はＲＯＭ１３やＳＳＤ１４等の記憶部に記録されている。規制部１１６は取得した単位時間たりの転送量（ページングレート）にしたがってデータが転送制御されるように、通信制御部１１１を制御する。通信制御部１１１は規制部１１６の制御に基づいて、プロキシサーバの機能によりサーバ装置３から送信された配信データの端末２への転送を行う。この時、通信制御部１１１は、配信データの単位時間の転送量が、規制部１１６が取得した単位時間当たりの転送量となるように転送処理を行う（ステップＳ１０９）。
　図５はＳＳＬ／ＴＬＳのハンドシェイクの通信信号に含まれるServer Name IndicationとCommon Nameとの対応関係を示す図である。
　ＳＳＬ／ＴＬＳのハンドシェイクの通信信号にはServer Name IndicationとCommon Nameとが含まれる。Server Name IndicationとCommon Nameのどちらもドメイン名を示すが、Server Name Indicationからはドメイン名としてサーバ名（サービス名）が取得できる。サーバ装置が送信する複数のサービス通信では、Common Nameが同じであるがServer Name Indicationが異なるケースがある。図５の例によると、サービス「動画」とサービス「アプリケーションプログラム」との間でCommon Nameが同一の情報「xxx.com」である一方で、Server Name Indicationの情報は異なる。言い換えると、Common Nameは、複数のサービス（「動画」「アプリケーションプログラム」）の間で同一の情報である。このため、通信装置１がCommon Nameを元に単位時間当たりの転送量（転送レート）を決定する場合、規制の対象として所望する動画の配信だけでなく、規制の対象外としたいアプリケーションプログラムのダウンロードも同様に規制対象としてしまう場合があった。
　そこで、本実施の形態では、上述のようにServer Name Indicationを使用する。これにより、同一のサーバから配信される複数のサービスであっても、それらのサービスの間で、通信に含まれるドメイン名を異ならせることができる。したがって、本実施の形態によると、同一サーバからの配信される複数のサービスのそれぞれに対して、データの単位時間当たりの転送量を設定可能とすることができる。つまり、図５の例によると、例えばアプリケーションプログラムの端末２へのダウンロードに対する転送レートは下げずに、動画配信サービスにおける動画データの端末２へのダウンロードに対する転送レートのみを下げることが可能になる。これにより、サービスのＱｏＥ（quality of experience）を低下させずに帯域の削減が可能となる。
　上述の端末２は、サーバ装置３に対して配信データの送信要求をし、その結果として送信される配信データを受信する装置であればどのような装置でもよい。例えば端末２は、スマートフォンを含む携帯電話、タブレット端末、パーソナルコンピュータ、ネットワーク接続機能付きテレビジョンなどであってよい。
　図６は、本実施形態の通信装置の最少構成を示す図である。
　通信装置１は、少なくとも、サーバ情報検出部１１４と、ドメイン名検出部１１５と、規制部１１６とを備えればよい。
　通信装置１は例えば、当該通信装置１に含まれる電子回路によって構成されるものであってよい。
　上述の通信装置１は内部に、コンピュータシステムを有している。そして、上述した各処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。
　また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。
さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
　この出願は、２０１６年１１月３０日に日本出願された特願２０１６－２３２０４７号を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　本発明によれば、暗号化されるデータ通信を用いて特定のデータを識別してそのデータ通信についての転送制御を行うことができる。
１・・・通信装置
２・・・端末
３・・・サーバ装置
１１・・・ＣＰＵ
１２・・・ＲＡＭ
１３・・・ＲＯＭ
１４・・・ＳＳＤ
１５・・・通信モジュール
１１１・・・通信制御部
１１２・・・バッファリング部
１１３・・・サービス管理部
１１４・・・サーバ情報検出部
１１５・・・ドメイン名検出部
１１６・・・規制部

Claims (6)

  1. 　配信先装置がサーバ装置からデータを受信する際に送信した、通信の暗号化の開始を要求する要求通信からサーバ情報を検出するサーバ情報検出部と、
    　前記サーバ情報に対応するドメイン名を検出するドメイン名検出部と、
    　前記ドメイン名に基づいて、前記サーバ装置から前記配信先装置へ送信される前記データのデータ通信規制を行う規制部と、
    　を備える通信装置。
  2. 　前記サーバ情報検出部は、前記要求通信であってＳＳＬ（Secure Sockets Layer）／ＴＬＳ（Transport Layer Security）通信に含まれる前記サーバ情報を示すServer Name Indicationの情報を検出し、
    　前記ドメイン名検出部は、前記Server Name Indicationの情報に対応する前記ドメイン名を検出する
    　請求項１に記載の通信装置。
  3. 　前記ＳＳＬ（Secure Sockets Layer）／ＴＬＳ（Transport Layer Security）通信の開始から前記Server Name Indicationの情報の取得までの間のネゴシエーションで発生した各コネクションの信号をバッファリングするバッファリング部と、
    　を備える請求項２に記載の通信装置。
  4. 　前記規制部は、前記要求通信に基づいて、前記サーバ装置から前記配信先装置へ送信されるデータを中継する際の前記データの単位時間当たりの転送量を抑制する
    　請求項１から請求項３の何れか一項に記載の通信装置。
  5. 　通信装置が、
    　配信先装置がサーバ装置からデータを受信する際に送信した、通信の暗号化の開始を要求する要求通信からサーバ情報を検出し、
    　前記サーバ情報に対応するドメイン名を検出し、
    　前記ドメイン名に基づいて、前記サーバ装置から前記配信先装置へ送信される前記データのデータ通信規制を行う
    　通信方法。
  6. 　通信装置のコンピュータに、
    　配信先装置がサーバ装置からデータを受信する際に送信した、通信の暗号化の開始を要求する要求通信からサーバ情報を検出し、
    　前記サーバ情報に対応するドメイン名を検出し、
    　前記ドメイン名に基づいて、前記サーバ装置から前記配信先装置へ送信される前記データのデータ通信規制を行う、
    　処理を実行させるプログラム。
PCT/JP2017/042557 2016-11-30 2017-11-28 通信装置、通信方法、プログラム WO2018101243A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201780072692.2A CN110036605A (zh) 2016-11-30 2017-11-28 通信设备、通信方法和程序
JP2018554151A JP6743906B2 (ja) 2016-11-30 2017-11-28 通信装置、通信方法、プログラム
US16/464,567 US11290462B2 (en) 2016-11-30 2017-11-28 Communication device, communication method, and program
EP17876524.4A EP3550771A4 (en) 2016-11-30 2017-11-28 COMMUNICATION DEVICE, COMMUNICATION METHOD, AND COMMUNICATION PROGRAM

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2016-232047 2016-11-30
JP2016232047 2016-11-30

Publications (1)

Publication Number Publication Date
WO2018101243A1 true WO2018101243A1 (ja) 2018-06-07

Family

ID=62242177

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/042557 WO2018101243A1 (ja) 2016-11-30 2017-11-28 通信装置、通信方法、プログラム

Country Status (6)

Country Link
US (1) US11290462B2 (ja)
EP (1) EP3550771A4 (ja)
JP (1) JP6743906B2 (ja)
CN (1) CN110036605A (ja)
TW (1) TWI692227B (ja)
WO (1) WO2018101243A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102363758B1 (ko) * 2020-12-01 2022-02-16 (주)모니터랩 프록시 장치 및 그 제어 방법

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015513810A (ja) 2012-01-27 2015-05-14 マイクロソフト コーポレーション サーバー・ネーム・インディケーション（ｓｎｉ）を伴わない暗黙的なｓｓｌ証明書管理
US20160028607A1 (en) * 2014-07-27 2016-01-28 Vasona Networks Inc. Identifying services provided over secured connections using dns caching
US20160094602A1 (en) * 2014-09-30 2016-03-31 Citrix Systems, Inc. Methods and systems for detection and classification of multimedia content in secured transactions

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ATE545261T1 (de) * 1998-03-12 2012-02-15 Whale Comm Ltd Verfahren zur absicherung von datenvermittlungsnetzwerken
US7533160B2 (en) 2003-02-18 2009-05-12 Qualcomm Incorporated Provisioning server information in a mobile station
JP2005332163A (ja) * 2004-05-19 2005-12-02 Oki Electric Ind Co Ltd 情報更新検知システム
US7502923B2 (en) * 2004-09-16 2009-03-10 Nokia Corporation Systems and methods for secured domain name system use based on pre-existing trust
JP3859667B2 (ja) 2004-10-26 2006-12-20 株式会社日立製作所 データ通信方法およびシステム
US20070214283A1 (en) * 2006-03-07 2007-09-13 Metke Anthony R Method and apparatus for automated infrastructure ad hoc mode and autonomous ad hoc mode selection
US7743094B2 (en) * 2006-03-07 2010-06-22 Motorola, Inc. Method and apparatus for redirection of domain name service (DNS) packets
JP4823015B2 (ja) * 2006-10-26 2011-11-24 富士通株式会社 遠隔制御プログラム、携帯端末装置およびゲートウェイ装置
CN101617239A (zh) 2006-11-13 2009-12-30 B-显著有限公司 选择性会话拦截方法
US8918867B1 (en) 2010-03-12 2014-12-23 8X8, Inc. Information security implementations with extended capabilities
EP2767110A4 (en) * 2011-10-12 2015-01-28 C Sam Inc PLATFORM FOR MULTI-STAGE SECURE MOBILE TRANSACTIONS
JP2013121039A (ja) * 2011-12-07 2013-06-17 Sharp Corp 通信システム
US20140089507A1 (en) * 2012-09-26 2014-03-27 Gyan Prakash Application independent content control
US10565394B2 (en) * 2012-10-25 2020-02-18 Verisign, Inc. Privacy—preserving data querying with authenticated denial of existence
US9363288B2 (en) * 2012-10-25 2016-06-07 Verisign, Inc. Privacy preserving registry browsing
US20160140355A1 (en) * 2014-11-19 2016-05-19 Salesforce.Com, Inc. User trust scores based on registration features
US20160255047A1 (en) * 2015-02-26 2016-09-01 Citrix Systems, Inc. Methods and systems for determining domain names and organization names associated with participants involved in secured sessions
US10079846B2 (en) * 2015-06-04 2018-09-18 Cisco Technology, Inc. Domain name system (DNS) based anomaly detection
US20170345063A1 (en) * 2016-05-26 2017-11-30 Mark Bauman Advertisement blocker circumvention system
US10469513B2 (en) * 2016-10-05 2019-11-05 Amazon Technologies, Inc. Encrypted network addresses
US10924456B1 (en) * 2020-07-14 2021-02-16 Centripetal Networks, Inc. Methods and systems for efficient encrypted SNI filtering for cybersecurity applications

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015513810A (ja) 2012-01-27 2015-05-14 マイクロソフト コーポレーション サーバー・ネーム・インディケーション（ｓｎｉ）を伴わない暗黙的なｓｓｌ証明書管理
US20160028607A1 (en) * 2014-07-27 2016-01-28 Vasona Networks Inc. Identifying services provided over secured connections using dns caching
US20160094602A1 (en) * 2014-09-30 2016-03-31 Citrix Systems, Inc. Methods and systems for detection and classification of multimedia content in secured transactions

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3550771A4

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102363758B1 (ko) * 2020-12-01 2022-02-16 (주)모니터랩 프록시 장치 및 그 제어 방법

Also Published As

Publication number Publication date
JP6743906B2 (ja) 2020-08-19
US20210105279A1 (en) 2021-04-08
US11290462B2 (en) 2022-03-29
TW201826769A (zh) 2018-07-16
JPWO2018101243A1 (ja) 2019-07-04
TWI692227B (zh) 2020-04-21
CN110036605A (zh) 2019-07-19
EP3550771A4 (en) 2019-12-18
EP3550771A1 (en) 2019-10-09

Similar Documents

Publication Publication Date Title
US11108570B2 (en) Method and apparatus for multimedia communication, and storage medium
KR100924692B1 (ko) 데이터 전송시스템, 정보처리장치 및 방법, 데이터중계장치 및 방법과, 기록매체
JP5230824B2 (ja) 無線通信装置および無線通信方法
KR102132266B1 (ko) 데이터 스트리밍에 대한 보조의 노드 타입 기반 제어
WO2016150169A1 (zh) 一种安全通信方法、网关、网络侧服务器及系统
JP7131673B2 (ja) データ通信装置、通信システム、データ中継方法及びプログラム
WO2006127168A1 (en) Push-to-transfer (ptx) content from remote site
JP2015525018A (ja) コール確立時間を短縮させるシステムおよび方法
US10931655B2 (en) Apparatus and method for supporting bidirectional communication using unidirectional communication
JP2008078878A (ja) セッション制御システム、セッション代行装置、通信方法、およびプログラム
JP7063985B2 (ja) 上りリンクストリーミング向けのネットワーク支援
WO2013189398A2 (zh) 应用数据推送方法、装置及系统
WO2018101243A1 (ja) 通信装置、通信方法、プログラム
US11540026B2 (en) Data relay apparatus, method, delivery system, and program
JP2008288763A (ja) エッジルータ装置およびセッション確立方法
US10715561B2 (en) Reanchoring devices on servers
KR101424503B1 (ko) 트래픽 제어 장치 및 방법
KR101528268B1 (ko) 콘텐츠를 원격 위치들에 스트리밍하기 위한 시스템과 방법
JP2010148046A (ja) 配信管理装置及びコンテンツ配信方法
JP2015146060A (ja) 情報処理装置、その制御方法、及びプログラム
JP5812443B2 (ja) 中継装置、中継装置の制御方法、プログラム、及びコンテンツ管理システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17876524

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018554151

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2019116016

Country of ref document: RU

ENP Entry into the national phase

Ref document number: 2017876524

Country of ref document: EP

Effective date: 20190701