ゲートウェイ装置および認証処理方法
【課題】ゲートウェイ装置における認証処理のポリシーの設定を迅速に行うこと。
【解決手段】ゲートウェイ装置２と端末装置１ａ，１ｂとの間に介在する公衆網４に暗号化通信を行うための論理的な回線を確立させるとともに、認証サーバ３ａ，３ｂと専用網５を介して接続され、端末装置１ａ，１ｂと認証サーバ３ａ，３ｂとの間で複数の認証処理を行うゲートウェイ装置２において、ＶＰＮａ，ＶＰＮｂ毎に設けられたデータベース２４ａ，２４ｂに認証方式情報２４ａ１，２４ｂ１を、事業者ＩＤ情報２４ａ３，２４ｂ３に対応付けて記録する。
【解決手段】ゲートウェイ装置２と端末装置１ａ，１ｂとの間に介在する公衆網４に暗号化通信を行うための論理的な回線を確立させるとともに、認証サーバ３ａ，３ｂと専用網５を介して接続され、端末装置１ａ，１ｂと認証サーバ３ａ，３ｂとの間で複数の認証処理を行うゲートウェイ装置２において、ＶＰＮａ，ＶＰＮｂ毎に設けられたデータベース２４ａ，２４ｂに認証方式情報２４ａ１，２４ｂ１を、事業者ＩＤ情報２４ａ３，２４ｂ３に対応付けて記録する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号化通信を行うためのセッションが確立された端末装置と認証サーバとの間で認証処理のためのデータ中継を行うゲートウェイ装置および認証処理方法に関するものである。
【背景技術】
【０００２】
従来では、ユーザが端末装置を用いて公衆網を介して専用網内の網運用者である事業者の認証サーバにアクセスする場合、公衆網と専用網との間に介在するゲートウェイ装置と端末装置間で、ＩＫＥプロトコルを用いて論理的な回線を確立させてＩＰｓｅｃ通信を行い、ユーザと通信相手の事業者との間での暗号化通信を可能にしていた（たとえば特許文献１）。このＩＰｓｅｃ通信では、事業者毎にポリシーが違い、さらにユーザ毎の認証を行うための認証情報を個別に持つ必要がある。
【０００３】
【特許文献１】特開２００３−３２２８６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来の方法では、ユーザの認証を可能とするために、ゲートウェイ装置がこの認証処理のポリシーをユーザ毎に設定して記憶しなければならないので、ユーザが多くなればなるほど、認証処理のポリシーの設定に手間がかかっていた。また、従来の方法では、ユーザが多くなればなるほど、ユーザ毎に設定する認証処理のポリシーのデータ量も多くなり、大容量のデータベースが必要となっていた。
【０００５】
本発明は、上記に鑑みてなされたものであって、ユーザ数にかかわらずゲートウェイ装置における認証処理のポリシーの設定を迅速に行うことができるゲートウェイ装置および認証処理方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、本発明にかかるゲートウェイ装置は、網運用者毎の専用網を介して認証サーバとそれぞれ接続されるとともに、端末装置との間に介在する公衆網に暗号化通信を行うための論理的な回線を確立させ、前記端末装置と前記認証サーバとの間で認証処理のためのデータ中継を行うゲートウェイ装置において、前記専用網毎に設けられ、前記端末装置からの接続要求に対して該端末装置との間で行う認証処理手順を、各専用網を識別する識別情報に対応付けて記憶する記憶手段と、前記端末装置からの接続要求に含まれる前記専用網の識別情報に該当する識別情報を前記記憶手段から抽出し、該抽出した識別情報に対応する前記認証処理手順を実行して前記端末装置に認証要求を行う認証処理手段と、を備えたことを特徴とする。
【０００７】
また、本発明にかかるゲートウェイ装置は、上記発明において、前記専用網毎に取り扱う前記認証処理手順を設定して、前記専用網毎に設けられた記憶手段に記憶させる設定処理手段を備えたことを特徴とする。
【０００８】
また、本発明にかかるゲートウェイ装置は、上記発明において、前記認証処理手段は、前記端末装置との間に介在する公衆網に前記論理的な回線が確立されたことを契機に、前記記憶手段に記憶された認証処理手順を実行して前記端末装置に認証要求を行うことを特徴とする。
【０００９】
また、本発明にかかる認証処理方法は、ゲートウェイ装置が網運用者毎の専用網を介して複数の認証サーバと接続され、前記ゲートウェイ装置と端末装置との間に介在する公衆網に暗号化通信を行うための論理的な回線を確立させ、前記端末装置と前記認証サーバとの間で認証処理のためのデータ中継を行う認証処理方法において、前記専用網毎に設けられた記憶手段に、前記端末装置からの接続要求に対して該端末装置との間で行う認証処理手順を、各専用網を識別する識別情報に対応付けて記憶する記憶ステップと、前記端末装置からの接続要求に含まれる前記専用網の識別情報に該当する識別情報を前記記憶手段から抽出し、該抽出した識別情報に対応する前記認証処理手順を実行して前記端末装置に認証要求を行う認証処理ステップと、を含むことを特徴とする。
【００１０】
また、本発明にかかる認証処理方法は、上記発明において、前記専用網毎に取り扱う前記認証処理手順を設定して、前記専用網毎に設けられた記憶手段に記憶させる設定処理ステップを含むことを特徴とする。
【００１１】
また、本発明にかかる認証処理方法は、上記発明において、前記認証処理ステップは、前記端末装置との間に介在する公衆網に前記論理的な回線が確立されたことを契機に、前記記憶手段に記憶された認証処理手順を実行して前記端末装置に認証要求を行うことを特徴とする。
【発明の効果】
【００１２】
本発明にかかるゲートウェイ装置および認証処理方法は、専用網毎に設けられた記憶手段に、認証処理手順を、各専用網を識別する識別情報に対応付けて記憶するので、ユーザ毎ではなく、専用網毎に認証処理手順（認証処理のポリシー）を記憶手段に記憶して、設定することができ、これによりユーザ数にかかわらずゲートウェイ装置における認証処理のポリシーの設定を迅速に行うことができるという効果を奏する。
【発明を実施するための最良の形態】
【００１３】
以下に、本発明にかかるゲートウェイ装置および認証処理方法の実施の形態を図１〜図４の図面に基づいて詳細に説明する。なお、本発明は、これら実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲で種々の変更実施の形態が可能である。
【００１４】
（実施の形態）
図１は、本発明にかかる認証処理システムの実施の形態の構成を示すシステム構成図である。図において、認証処理システムは、ユーザの端末装置１ａ，１ｂと、ゲートウェイ装置２と、認証サーバ３ａ，３ｂとを備え、端末装置１ａ，１ｂとゲートウェイ装置２とは、公衆網４を介して接続され、ゲートウェイ装置２と認証サーバ３ａとは、網運用者である特定事業者の専用網であるＶＰＮａを介して接続され、ゲートウェイ装置２と認証サーバ３ｂとは、網運用者である特定事業者の専用網であるＶＰＮｂを介して接続される。
【００１５】
端末装置１ａは、ＶＰＮａにアクセスを行う装置で、端末装置１ｂは、ＶＰＮｂにアクセスを行う装置である。これら端末装置１ａ，１ｂは、ゲートウェイ装置２と認証処理を行う認証処理部１１ａ，１１ｂと、データの暗号化または復号化の処理を行う暗号化／復号化処理部１２ａ，１２ｂと、公衆網４を介してゲートウェイ装置２、認証サーバ３ａ，３ｂを含む他の通信装置と暗号化されたデータの送受信を行う送受信部１３ａ，１３ｂとを備える。認証処理部１１ａ，１１ｂは、ゲートウェイ装置２と所定の認証処理用のプロトコル、たとえばＣＨＡＰ（Ｃｈａｌｌｅｎｇｅ Ｈａｎｄｓｈａｋｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＰＡＰ（Ｐａｓｓｗｏｒｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を用いて、自装置を認証させる認証処理を行い、ＶＰＮａ，ＶＰＮｂへのアクセスを可能にする。暗号化／復号化処理部１２ａ，１２ｂは、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ） ＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）で作成した鍵とを用いて暗号化して送受信部１３ａ，１３ｂに出力し、また暗号化されたデータを送受信部１３ａ，１３ｂが受信すると、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。なお、この認証処理用のプロトコルは、認証サーバ３ａ，３ｂが認証処理に用いることが可能な複数のプロトコルのうちの少なくとも１つのプロトコルからなる。
【００１６】
ゲートウェイ装置２は、設定処理手段としての設定処理部２１と、認証処理手段としての認証処理部２２と、事業者ａ，ｂ毎のフェーズ情報を記憶するフェーズ用データベース２３ａ，２３ｂと、事業者ａ，ｂ毎のＩＰｓｅｃを適用するための手順、指示および認証処理を行うために必要な情報などを示すＳＰＤ情報を記憶する記憶手段としての事業者ａ用データベース２４ａおよび事業者ｂ用データベース２４ｂと、データの暗号化または復号化の処理を行う暗号化／復号化処理部２５と、データの中継処理を行う中継処理部２６と、端末装置１ａ，１ｂとデータの送受信を行う端末用送受信部２７と、認証サーバ３ａ，３ｂとデータの送受信を行うサーバ用送受信部２８とを備える。
【００１７】
設定処理部２１は、認証サーバ３ａ，３ｂが認証処理に用いる認証処理のポリシーを設定する。ここで、認証サーバ３ａは、ＣＨＡＰの認証処理を行うので、設定処理部２１は、認証サーバ３ａが認証処理に用いるＣＨＡＰの認証処理のポリシーを設定する。また、認証サーバ３ｂは、ＰＡＰの複数の認証処理を行うので、設定処理部２１は、認証サーバ３ｂが認証処理に用いるＰＡＰの認証処理のポリシーを設定する。
【００１８】
設定処理部２１によって設定されたＣＨＡＰ情報は、ＣＨＡＰの認証処理のポリシーに含まれて認証方式情報（ＣＨＡＰ方式情報２４ａ１）を構成する。事業者ａ用データベース２４ａは、このＣＨＡＰ方式情報２４ａ１を特定事業者（ＶＰＮａ）に対応して記録している。また、設定処理部２１によって設定されたＰＡＰ情報は、ＰＡＰの認証処理のポリシーに含まれて認証方式情報（ＰＡＰ方式情報２４ｂ１）を構成する。事業者ｂ用データベース２４ｂは、このＰＡＰ方式情報２４ｂ１を特定事業者（ＶＰＮｂ）に対応して記録している。
【００１９】
ＳＰＤ情報は、設定処理部２１の設定により予め作成されるデータであり、端末装置１ａ，１ｂに対してのたとえばＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎｅｇｅｍｅｔ Ｐｒｏｔｏｃｏｌ）の処理手順、指示および情報などを示すポリシーやＩＳＡＫＭＰに基づいてＩＰｓｅｃで用いるインターネット標準の鍵交換プロトコルであるＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈｅｎｇｅ）の処理手順、指示および情報などを示すポリシーである。なお、事業者ａ用データベース２４ａには、ＳＰＤ情報として、たとえば認証方式情報であるＣＨＡＰ方式情報２４ａ１と、ゲートウェイアドレス情報２４ａ２と、端末装置１ａがアクセスを行うＶＰＮａ事業者ＩＤ情報２４ａ３と、暗号化・ハッシュアルゴリズム情報２４ａ４と、認証サーバ３ａにアクセスを行うための認証サーバ情報２４ａ５とを特定事業者に対応させて記憶している。また、事業者ｂ用データベース２４ｂには、ＳＰＤ情報として、たとえば認証方式情報であるＰＡＰ方式情報２４ｂ１と、ゲートウェイアドレス情報２４ｂ２と、端末装置１ｂがアクセスを行うＶＰＮｂの事業者ＩＤ情報２４ｂ３と、暗号化・ハッシュアルゴリズム情報２４ｂ４と、認証サーバ３ｂにアクセスを行うための認証サーバ情報２４ｂ５とを特定事業者に対応させて記憶している。
【００２０】
認証処理部１１ａ，１１ｂ，２２は、端末装置１ａ，１ｂとゲートウェイ装置２との間、すなわち送受信部１１ａ，１１ｂと端末用送受信部２７との間に介在する公衆網４に、たとえばＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ）によるデータ通信を可能にするためトンネリング技術を利用してＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）と呼ばれる論理的なコネクション（回線）を確立させる処理を行う。なお、たとえばユーザ側に別の専用網があり、端末装置１ａ，１ｂがこの専用網に接続されている場合には、この専用網と公衆網との間にはデータの中継を行う図示しない中継装置（たとえばルータ）が接続されることとなり、ゲートウェイ装置２の認証処理部２２は、この中継装置とＳＡを確立させる処理を行うこととなる。
【００２１】
また、認証処理部１１ａ，１１ｂ，２２は、認証方式情報として設定されたＣＨＡＰまたはＰＡＰで認証処理を行う。すなわち、認証処理部２２は、認証要求開始時に認証処理部１１ａ，１１ｂからのＩＳＡＫＭＰのＩＰｓｅｃ Ｐｈａｓｅ１−１のパケットを受信後に、Ｐｈａｓｅ１情報を作成する。認証処理部２２は、このＰｈａｓｅ１−１内のＩＤペイロードに格納されている事業者ＩＤ情報を抽出し、この事業者ＩＤ情報がデータベース２４ａ，２４ｂ内に記憶されるＶＰＮａ事業者ＩＤ情報２４ａ３またはＶＰＮｂ事業者ＩＤ情報２４ｂ３のいずれかに該当するかチェックし、該当するデータベース内に記憶されている認証処理手順としての認証方式情報を抽出して、この認証方式情報による認証要求を行う。すなわち、認証処理部２２は、Ｐｈａｓｅ１−１内の事業者ＩＤ情報がデータベース２４ａ内のＶＰＮａ事業者ＩＤ情報２４ａ３に一致する場合、認証処理手順としてのＣＨＡＰ方式情報２４ａ１を抽出し、このＣＨＡＰ方式情報２４ａ１によるＣＨＡＰ認証要求を行う。また、認証処理部２２は、Ｐｈａｓｅ１−１内の事業者ＩＤ情報がデータベース２４ｂ内のＶＰＮｂ事業者ＩＤ情報２４ｂ３に一致する場合、認証処理手順としてのＰＡＰ方式情報２４ｂ１を抽出し、このＰＡＰ方式情報２４ｂ１によるＰＡＰ認証要求を行う。なお、本発明では、認証方式情報をより精度良く抽出できるように、認証処理部２２は、ＩＤペイロードとデータベース２４ａ，２４ｂ内の事業者ＩＤ情報の一致判断に加えて、たとえばＰｈａｓｅ１−１内の送信先アドレスであるゲートウェイ装置２のアドレス情報とデータベース２４ａ，２４ｂ内のゲートウェイアドレス情報２４ａ２，２４ｂ２の一致判断、ＳＡペイロードの暗号化・ハッシュアルゴリズム情報とデータベース２４ａ，２４ｂ内の暗号化・ハッシュアルゴリズム情報との一致判断をさらに行い、これらの情報が全て一致するデータベースから認証方式情報を抽出するように設定してもよい。
【００２２】
フェーズ用データベース２３ａ，２３ｂは、Ｐｈａｓｅ１情報を記憶する。このＰｈａｓｅ１情報は、Ｐｈａｓｅ１ネゴシエーション情報（どのＳＰＤ情報を使うかという、たとえば事業者用データベース２４ａ，２４ｂを示す情報やこのネゴシエーション情報を特定するクッキー値など）からなる。
【００２３】
暗号化／復号化処理部２５は、暗号化の対象となるデータが発生すると、そのデータを暗号化して中継処理部２６に出力して送受信部３４ａ，３４ｂからの送信を可能にし、また暗号化されたデータを中継処理部２６から取り込むと、そのデータを復号化する処理を行う。
【００２４】
認証サーバ３ａ，３ｂは、認証処理部３１ａ，３１ｂと、認証用データベース３２ａ，３２ｂと、データの暗号化または復号化の処理を行う暗号化／復号化処理部３３ａ，３３ｂと、データの送受信を行う送受信部３４ａ，３４ｂとを備える。認証処理部３１ａ，３１ｂは、ゲートウェイ装置２との間で認証応答があった端末装置１ａ，１ｂの認証処理を行うものである。すなわち、認証処理部３１ａは、ＣＨＡＰの認証処理のポリシーの設定を、認証処理部３１ｂは、ＰＡＰの認証処理のポリシーの設定を可能にする。
【００２５】
認証用データベース３２ａ，３２ｂは、端末装置１ａ．１ｂを認証するための識別情報や取り扱うすべての認証処理のポリシーなどを記憶する。暗号化／復号化処理部３３ａ，３３ｂは、暗号化の対象となるデータが発生すると、そのデータを暗号化して送受信部３４ａ，３４ｂに出力し、また暗号化されたデータを送受信部３４ａ，３４ｂが受信すると、そのデータを復号化する処理を行う。
【００２６】
次に、図２を用いて図１に示したゲートウェイ装置２が認証処理シーケンスを選択するための動作を説明するフローチャートである。ゲートウェイ装置２の認証処理部２２は、端末装置からＩＰｓｅｃ Ｐｈａｓｅ１−１のパケットを受信すると（ステップＳ１０１）、このパケット内のＩＤペイロードに格納されている事業者ＩＤ情報が、事業者ａ用データベース２４ａに記憶されているＶＰＮａの事業者ＩＤ情報に一致するか否か判断する（ステップＳ１０２）。
【００２７】
ここで、認証処理部２２は、ＩＤペイロードの事業者ＩＤ情報が、事業者ａ用データベース２４ａのＶＰＮａの事業者ＩＤ情報に一致する場合（ステップＳ１０２：Ｙｅｓ）、フェーズ情報（フェーズ用データベース２３ａのフェーズ情報）を作成し、このフェーズ情報に確定したＳＰＤ情報を関連づけ（ステップＳ１０３）、次のＰｈａｓｅ１−１のパケットの受信を待つ（ステップＳ１０１）。また、認証処理部２２は、ＩＤペイロードの事業者ＩＤ情報が、事業者ａ用データベース２４ａのＶＰＮａの事業者ＩＤ情報と一致しない場合（ステップＳ１０２：Ｎｏ）、次にＩＤペイロードの事業者ＩＤ情報が、事業者ｂ用データベース２４ｂのＶＰＮｂの事業者ＩＤ情報と一致するか否か判断する（ステップＳ１０４）。
【００２８】
ここで、ＩＤペイロードの事業者ＩＤ情報が、事業者ｂ用データベース２４ｂのＶＰＮｂの事業者ＩＤ情報と一致する場合（ステップＳ１０４：Ｙｅｓ）、フェーズ情報（フェーズ用データベース２３ｂのフェーズ情報）を作成し、このフェーズ情報に確定したＳＰＤ情報を関連づけ（ステップＳ１０５）、また事業者ｂ用データベース２４ｂのＶＰＮｂの事業者ＩＤ情報と一致しない場合（ステップＳ１０４：Ｎｏ）、Ｐｈａｓｅ１−１の正規のパケットではないと判断して、たとえばこのパケットの廃棄などの認証不可の処理を行って（ステップＳ１０６）、次のＰｈａｓｅ１−１のパケットの受信を待つ（ステップＳ１０１）。
【００２９】
次に、図１に示した認証処理システムの認証処理の動作を図３および図４のシーケンスの図に基づいて説明する。図３は、認証処理がＣＨＡＰ方式によって行われる場合を説明するためのシーケンスの図である。図３において、端末装置１ａの認証処理部１１ａは、ＩＰｓｅｃ Ｐｈａｓｅ１−１において、ＩＫＥプロトコルを用いて自己の保持するキー情報をゲートウェイ装置２に送信する（ステップＳ１１１）。ゲートウェイ装置２の認証処理部２２は、図２に示したＩＤペイロードの事業者ＩＤ情報が、事業者ａ用データベース２４ａのＶＰＮａの事業者ＩＤ情報に一致するか否か判断し（ステップＳ１０２参照）、一致する場合には以下に示すＣＨＡＰ方式の認証処理のシーケンスを実行する（ステップＳ１０３参照）。
【００３０】
すなわち、ゲートウェイ装置２の認証処理部２２は、端末装置１ａの認証処理部１１ａからキー情報が受信すると、ＩＰｓｅｃ Ｐｈａｓｅ１−２において、端末装置１ａを認識して、端末装置１ａに自己の保持するキー情報を送信してキー情報の交換を行う（ステップＳ１１２）。次に、認証処理部１１ａは、認証処理部２２からキー情報を受信すると、ＩＰｓｅｃ Ｐｈａｓｅ１−３において、ゲートウェイ装置２を認識した後に、端末装置１ａは、通信相手（ＩＫＥピア）であるゲートウェイ装置２との間でＳＡを確立することで、セキュアなデータ通信を可能にする（ステップ１１３）。なお、ＩＰｓｅｃ Ｐｈａｓｅ１−１、ＩＰｓｅｃ Ｐｈａｓｅ１−２およびＩＰｓｅｃ Ｐｈａｓｅ１−３は、ＩＰｓｅｃ通信での１回目、２回目および３回目のＰｈａｓｅ１パケットをそれぞれ示す。
【００３１】
次に、ゲートウェイ装置２の認証処理部２２は、設定処理部２１で設定されたＣＨＡＰによる認証要求のパケットを端末装置１ａに送信する（ステップＳ１１４）。端末装置１ａの認証処理部１１ａは、ＣＨＡＰによる認証処理が可能なプロトコルを有しており、ＣＨＡＰによる認証要求のパケットが受信されると、この要求に対するＣＨＡＰによる認証応答のパケットをゲートウェイ装置２に送信する（ステップＳ１１５）。この認証応答のパケットには、ユーザ名とパスワードとがユーザＩＤ内に含まれている。認証処理部２２は、ＣＨＡＰによる認証応答のパケットが受信されると、このパケット内のクッキー値からフェーズ情報（フェーズ用データベース２３ａのフェーズ情報）を特定し、さらにその特定したフェーズ情報から参照されるＳＰＤ情報内の認証サーバ情報２４ａ５を使用してＣＨＡＰ認証要求のパケットを作成し、このＣＨＡＰ認証要求のパケットを認証サーバ３ａに送信する（ステップＳ１１６）。
【００３２】
次に、認証サーバ３ａの認証処理部３１ａは、ゲートウェイ装置２からＣＨＡＰ認証要求のパケットが受信されると、このパケットをもとに端末装置１ａを認証するための認証処理を行い、この端末装置１ａを認証した場合、ＣＨＡＰによる認証成功のパケットをゲートウェイ装置２に送信する（ステップＳ１１７）。次に、ゲートウェイ装置２の認証処理部２２は、ＣＨＡＰ認証成功のパケットが受信されると、このＣＨＡＰ認証成功のパケットを端末装置１ａに送信して（ステップＳ１１８）、その後のＰｈａｓｅを完了した後にＩＰｓｅｃによる暗号化通信を可能にする。
【００３３】
次に、認証処理システムの認証処理がＰＡＰ方式によって行われる場合を、図４のシーケンスの図を用いて説明する。図４において、端末装置１ｂの認証処理部１１ｂは、ＩＰｓｅｃ Ｐｈａｓｅ１−１において、ＩＫＥプロトコルを用いて自己の保持するキー情報をゲートウェイ装置２に送信する（ステップＳ２０１）。ゲートウェイ装置２の認証処理部２２は、図２に示したＩＤペイロードの事業者ＩＤ情報が、事業者ｂ用データベース２４ｂのＶＰＮｂの事業者ＩＤ情報に一致するか否か判断し（ステップＳ１０２，Ｓ１０４参照）、一致する場合には以下に示すＰＡＰ方式の認証処理のシーケンスを実行する（ステップＳ１０５参照）。
【００３４】
すなわち、ゲートウェイ装置２の認証処理部２２は、認証処理部１１ｂからキー情報を受信すると、ＩＰｓｅｃ Ｐｈａｓｅ１−２において、端末装置１ｂを認識して、端末装置１ｂに自己の保持するキー情報を送信してキー情報の交換を行う（ステップＳ２０２）。次に、認証処理部１１ｂは、認証処理部２２からキー情報を受信すると、ＩＰｓｅｃ Ｐｈａｓｅ１−３において、ゲートウェイ装置２を認識した後に、端末装置１ｂは、通信相手（ＩＫＥピア）であるゲートウェイ装置２との間でＳＡを確立することで、セキュアなデータ通信を可能にする（ステップ２０３）。
【００３５】
次に、ゲートウェイ装置２の認証処理部２２は、設定処理部２１で設定されたＰＡＰによる認証要求のパケットを端末装置１ｂに送信する（ステップＳ２０４）。端末装置１ｂの認証処理部１１ｂは、上記ＰＡＰによる認証処理が可能なプロトコルを有しており、ＰＡＰによる認証要求のパケットが受信されると、当該要求に対するＰＡＰによる認証応答のパケットをゲートウェイ装置２に送信する（ステップＳ２０５）。この認証応答のパケットには、ユーザ名とパスワードとがユーザＩＤ内に含まれている。認証処理部２２は、ＰＡＰによる認証応答のパケットが受信されると、このパケット内のクッキー値からフェーズ情報（フェーズ用データベース２３ｂのフェーズ情報）を特定し、さらにその特定したフェーズ情報から参照されるＳＰＤ情報内の認証サーバ情報２４ｂ５を使用してＰＡＰ認証要求のパケットを作成し、このＰＡＰ認証要求のパケットを認証サーバ３ｂに送信する（ステップＳ２０６）。
【００３６】
次に、認証サーバ３ｂの認証処理部３１ｂは、ゲートウェイ装置２からＰＡＰ認証要求のパケットが受信されると、このパケットをもとに端末装置１ｂを認証するための認証処理を行い、この端末装置１ｂを認証した場合、ＰＡＰによる認証成功のパケットをゲートウェイ装置２に送信する（ステップＳ２０７）。次に、ゲートウェイ装置２の認証処理部２２は、ＰＡＰ認証成功のパケットが受信されると、このＰＡＰ認証成功のパケットを端末装置１ｂに送信して（ステップＳ２０８）、その後のＰｈａｓｅを完了した後にＩＰｓｅｃによる暗号化通信を可能にする。
【００３７】
このように、本実施の形態では、事業者毎に設けられたデータベース２４ａ，２４ｂに、ＣＨＡＰやＰＡＰなどの認証処理手順を、各ＶＰＮの事業者ＩＤ情報に対応付けて記憶するので、ユーザ毎ではなく、ＶＰＮａ，ｂ毎に認証処理手順（認証処理のポリシー）をデータベース２４ａ，２４ｂに記憶して、設定することができ、これによりユーザ数にかかわらずゲートウェイ装置２における認証処理のポリシーの設定を迅速に行うことができる。
【００３８】
また、本実施の形態では、ゲートウェイ装置２が認証処理ポリシーを人数の多いユーザ毎ではなく、ＶＰＮ毎にデータベース２４ａ，２４ｂに記憶するので、ユーザ毎に記憶する場合に比べて小容量のデータベースを使用することが可能となり、製作コストを削減することができる。
【図面の簡単な説明】
【００３９】
【図１】本発明にかかる認証処理システムの実施の形態の構成を示すシステム構成図である。
【図２】図１に示したゲートウェイ装置が認証処理シーケンスを選択するための動作を説明するフローチャートである。
【図３】認証処理がＣＨＡＰによって行われる場合を説明するためのシーケンスの図である。
【図４】認証処理がＰＡＰによって行われる場合を説明するためのシーケンスの図である。
【符号の説明】
【００４０】
１ａ，１ｂ 端末装置
２ ゲートウェイ装置
３ａ，３ｂ 認証サーバ
４ 公衆網
１１ａ，１１ｂ，２２，３１ａ，３１ｂ 認証処理部
１２ａ，１２ｂ，２５，３３ａ，３３ｂ 暗号化／復号化処理部
１３ａ，１３ｂ，３４ａ，３４ｂ 送受信部
２１ 設定処理部
２３ａ，２３ｂ フェーズ用データベース
２４ａ 事業者ａ用データベース
２４ｂ 事業者ｂ用データベース
２４ａ１ ＣＨＡＰ方式情報
２４ｂ１ ＰＡＰ方式情報
２６ 中継処理部
２７ 端末用送受信部
２８ サーバ用送受信部
３２ａ，３２ｂ 認証用データベース
ＶＰＮａ，ＶＰＮｂ 専用網
【技術分野】
【０００１】
本発明は、暗号化通信を行うためのセッションが確立された端末装置と認証サーバとの間で認証処理のためのデータ中継を行うゲートウェイ装置および認証処理方法に関するものである。
【背景技術】
【０００２】
従来では、ユーザが端末装置を用いて公衆網を介して専用網内の網運用者である事業者の認証サーバにアクセスする場合、公衆網と専用網との間に介在するゲートウェイ装置と端末装置間で、ＩＫＥプロトコルを用いて論理的な回線を確立させてＩＰｓｅｃ通信を行い、ユーザと通信相手の事業者との間での暗号化通信を可能にしていた（たとえば特許文献１）。このＩＰｓｅｃ通信では、事業者毎にポリシーが違い、さらにユーザ毎の認証を行うための認証情報を個別に持つ必要がある。
【０００３】
【特許文献１】特開２００３−３２２８６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来の方法では、ユーザの認証を可能とするために、ゲートウェイ装置がこの認証処理のポリシーをユーザ毎に設定して記憶しなければならないので、ユーザが多くなればなるほど、認証処理のポリシーの設定に手間がかかっていた。また、従来の方法では、ユーザが多くなればなるほど、ユーザ毎に設定する認証処理のポリシーのデータ量も多くなり、大容量のデータベースが必要となっていた。
【０００５】
本発明は、上記に鑑みてなされたものであって、ユーザ数にかかわらずゲートウェイ装置における認証処理のポリシーの設定を迅速に行うことができるゲートウェイ装置および認証処理方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、本発明にかかるゲートウェイ装置は、網運用者毎の専用網を介して認証サーバとそれぞれ接続されるとともに、端末装置との間に介在する公衆網に暗号化通信を行うための論理的な回線を確立させ、前記端末装置と前記認証サーバとの間で認証処理のためのデータ中継を行うゲートウェイ装置において、前記専用網毎に設けられ、前記端末装置からの接続要求に対して該端末装置との間で行う認証処理手順を、各専用網を識別する識別情報に対応付けて記憶する記憶手段と、前記端末装置からの接続要求に含まれる前記専用網の識別情報に該当する識別情報を前記記憶手段から抽出し、該抽出した識別情報に対応する前記認証処理手順を実行して前記端末装置に認証要求を行う認証処理手段と、を備えたことを特徴とする。
【０００７】
また、本発明にかかるゲートウェイ装置は、上記発明において、前記専用網毎に取り扱う前記認証処理手順を設定して、前記専用網毎に設けられた記憶手段に記憶させる設定処理手段を備えたことを特徴とする。
【０００８】
また、本発明にかかるゲートウェイ装置は、上記発明において、前記認証処理手段は、前記端末装置との間に介在する公衆網に前記論理的な回線が確立されたことを契機に、前記記憶手段に記憶された認証処理手順を実行して前記端末装置に認証要求を行うことを特徴とする。
【０００９】
また、本発明にかかる認証処理方法は、ゲートウェイ装置が網運用者毎の専用網を介して複数の認証サーバと接続され、前記ゲートウェイ装置と端末装置との間に介在する公衆網に暗号化通信を行うための論理的な回線を確立させ、前記端末装置と前記認証サーバとの間で認証処理のためのデータ中継を行う認証処理方法において、前記専用網毎に設けられた記憶手段に、前記端末装置からの接続要求に対して該端末装置との間で行う認証処理手順を、各専用網を識別する識別情報に対応付けて記憶する記憶ステップと、前記端末装置からの接続要求に含まれる前記専用網の識別情報に該当する識別情報を前記記憶手段から抽出し、該抽出した識別情報に対応する前記認証処理手順を実行して前記端末装置に認証要求を行う認証処理ステップと、を含むことを特徴とする。
【００１０】
また、本発明にかかる認証処理方法は、上記発明において、前記専用網毎に取り扱う前記認証処理手順を設定して、前記専用網毎に設けられた記憶手段に記憶させる設定処理ステップを含むことを特徴とする。
【００１１】
また、本発明にかかる認証処理方法は、上記発明において、前記認証処理ステップは、前記端末装置との間に介在する公衆網に前記論理的な回線が確立されたことを契機に、前記記憶手段に記憶された認証処理手順を実行して前記端末装置に認証要求を行うことを特徴とする。
【発明の効果】
【００１２】
本発明にかかるゲートウェイ装置および認証処理方法は、専用網毎に設けられた記憶手段に、認証処理手順を、各専用網を識別する識別情報に対応付けて記憶するので、ユーザ毎ではなく、専用網毎に認証処理手順（認証処理のポリシー）を記憶手段に記憶して、設定することができ、これによりユーザ数にかかわらずゲートウェイ装置における認証処理のポリシーの設定を迅速に行うことができるという効果を奏する。
【発明を実施するための最良の形態】
【００１３】
以下に、本発明にかかるゲートウェイ装置および認証処理方法の実施の形態を図１〜図４の図面に基づいて詳細に説明する。なお、本発明は、これら実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲で種々の変更実施の形態が可能である。
【００１４】
（実施の形態）
図１は、本発明にかかる認証処理システムの実施の形態の構成を示すシステム構成図である。図において、認証処理システムは、ユーザの端末装置１ａ，１ｂと、ゲートウェイ装置２と、認証サーバ３ａ，３ｂとを備え、端末装置１ａ，１ｂとゲートウェイ装置２とは、公衆網４を介して接続され、ゲートウェイ装置２と認証サーバ３ａとは、網運用者である特定事業者の専用網であるＶＰＮａを介して接続され、ゲートウェイ装置２と認証サーバ３ｂとは、網運用者である特定事業者の専用網であるＶＰＮｂを介して接続される。
【００１５】
端末装置１ａは、ＶＰＮａにアクセスを行う装置で、端末装置１ｂは、ＶＰＮｂにアクセスを行う装置である。これら端末装置１ａ，１ｂは、ゲートウェイ装置２と認証処理を行う認証処理部１１ａ，１１ｂと、データの暗号化または復号化の処理を行う暗号化／復号化処理部１２ａ，１２ｂと、公衆網４を介してゲートウェイ装置２、認証サーバ３ａ，３ｂを含む他の通信装置と暗号化されたデータの送受信を行う送受信部１３ａ，１３ｂとを備える。認証処理部１１ａ，１１ｂは、ゲートウェイ装置２と所定の認証処理用のプロトコル、たとえばＣＨＡＰ（Ｃｈａｌｌｅｎｇｅ Ｈａｎｄｓｈａｋｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＰＡＰ（Ｐａｓｓｗｏｒｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を用いて、自装置を認証させる認証処理を行い、ＶＰＮａ，ＶＰＮｂへのアクセスを可能にする。暗号化／復号化処理部１２ａ，１２ｂは、暗号化の対象となるデータが発生すると、そのデータを暗号アルゴリズムとＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ） ＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）で作成した鍵とを用いて暗号化して送受信部１３ａ，１３ｂに出力し、また暗号化されたデータを送受信部１３ａ，１３ｂが受信すると、そのデータを暗号アルゴリズムと上記鍵とで復号化する処理を行う。なお、この認証処理用のプロトコルは、認証サーバ３ａ，３ｂが認証処理に用いることが可能な複数のプロトコルのうちの少なくとも１つのプロトコルからなる。
【００１６】
ゲートウェイ装置２は、設定処理手段としての設定処理部２１と、認証処理手段としての認証処理部２２と、事業者ａ，ｂ毎のフェーズ情報を記憶するフェーズ用データベース２３ａ，２３ｂと、事業者ａ，ｂ毎のＩＰｓｅｃを適用するための手順、指示および認証処理を行うために必要な情報などを示すＳＰＤ情報を記憶する記憶手段としての事業者ａ用データベース２４ａおよび事業者ｂ用データベース２４ｂと、データの暗号化または復号化の処理を行う暗号化／復号化処理部２５と、データの中継処理を行う中継処理部２６と、端末装置１ａ，１ｂとデータの送受信を行う端末用送受信部２７と、認証サーバ３ａ，３ｂとデータの送受信を行うサーバ用送受信部２８とを備える。
【００１７】
設定処理部２１は、認証サーバ３ａ，３ｂが認証処理に用いる認証処理のポリシーを設定する。ここで、認証サーバ３ａは、ＣＨＡＰの認証処理を行うので、設定処理部２１は、認証サーバ３ａが認証処理に用いるＣＨＡＰの認証処理のポリシーを設定する。また、認証サーバ３ｂは、ＰＡＰの複数の認証処理を行うので、設定処理部２１は、認証サーバ３ｂが認証処理に用いるＰＡＰの認証処理のポリシーを設定する。
【００１８】
設定処理部２１によって設定されたＣＨＡＰ情報は、ＣＨＡＰの認証処理のポリシーに含まれて認証方式情報（ＣＨＡＰ方式情報２４ａ１）を構成する。事業者ａ用データベース２４ａは、このＣＨＡＰ方式情報２４ａ１を特定事業者（ＶＰＮａ）に対応して記録している。また、設定処理部２１によって設定されたＰＡＰ情報は、ＰＡＰの認証処理のポリシーに含まれて認証方式情報（ＰＡＰ方式情報２４ｂ１）を構成する。事業者ｂ用データベース２４ｂは、このＰＡＰ方式情報２４ｂ１を特定事業者（ＶＰＮｂ）に対応して記録している。
【００１９】
ＳＰＤ情報は、設定処理部２１の設定により予め作成されるデータであり、端末装置１ａ，１ｂに対してのたとえばＩＳＡＫＭＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ ａｎｄ Ｋｅｙ Ｍａｎｅｇｅｍｅｔ Ｐｒｏｔｏｃｏｌ）の処理手順、指示および情報などを示すポリシーやＩＳＡＫＭＰに基づいてＩＰｓｅｃで用いるインターネット標準の鍵交換プロトコルであるＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈｅｎｇｅ）の処理手順、指示および情報などを示すポリシーである。なお、事業者ａ用データベース２４ａには、ＳＰＤ情報として、たとえば認証方式情報であるＣＨＡＰ方式情報２４ａ１と、ゲートウェイアドレス情報２４ａ２と、端末装置１ａがアクセスを行うＶＰＮａ事業者ＩＤ情報２４ａ３と、暗号化・ハッシュアルゴリズム情報２４ａ４と、認証サーバ３ａにアクセスを行うための認証サーバ情報２４ａ５とを特定事業者に対応させて記憶している。また、事業者ｂ用データベース２４ｂには、ＳＰＤ情報として、たとえば認証方式情報であるＰＡＰ方式情報２４ｂ１と、ゲートウェイアドレス情報２４ｂ２と、端末装置１ｂがアクセスを行うＶＰＮｂの事業者ＩＤ情報２４ｂ３と、暗号化・ハッシュアルゴリズム情報２４ｂ４と、認証サーバ３ｂにアクセスを行うための認証サーバ情報２４ｂ５とを特定事業者に対応させて記憶している。
【００２０】
認証処理部１１ａ，１１ｂ，２２は、端末装置１ａ，１ｂとゲートウェイ装置２との間、すなわち送受信部１１ａ，１１ｂと端末用送受信部２７との間に介在する公衆網４に、たとえばＩＰｓｅｃ（ＩＰ ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ）によるデータ通信を可能にするためトンネリング技術を利用してＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）と呼ばれる論理的なコネクション（回線）を確立させる処理を行う。なお、たとえばユーザ側に別の専用網があり、端末装置１ａ，１ｂがこの専用網に接続されている場合には、この専用網と公衆網との間にはデータの中継を行う図示しない中継装置（たとえばルータ）が接続されることとなり、ゲートウェイ装置２の認証処理部２２は、この中継装置とＳＡを確立させる処理を行うこととなる。
【００２１】
また、認証処理部１１ａ，１１ｂ，２２は、認証方式情報として設定されたＣＨＡＰまたはＰＡＰで認証処理を行う。すなわち、認証処理部２２は、認証要求開始時に認証処理部１１ａ，１１ｂからのＩＳＡＫＭＰのＩＰｓｅｃ Ｐｈａｓｅ１−１のパケットを受信後に、Ｐｈａｓｅ１情報を作成する。認証処理部２２は、このＰｈａｓｅ１−１内のＩＤペイロードに格納されている事業者ＩＤ情報を抽出し、この事業者ＩＤ情報がデータベース２４ａ，２４ｂ内に記憶されるＶＰＮａ事業者ＩＤ情報２４ａ３またはＶＰＮｂ事業者ＩＤ情報２４ｂ３のいずれかに該当するかチェックし、該当するデータベース内に記憶されている認証処理手順としての認証方式情報を抽出して、この認証方式情報による認証要求を行う。すなわち、認証処理部２２は、Ｐｈａｓｅ１−１内の事業者ＩＤ情報がデータベース２４ａ内のＶＰＮａ事業者ＩＤ情報２４ａ３に一致する場合、認証処理手順としてのＣＨＡＰ方式情報２４ａ１を抽出し、このＣＨＡＰ方式情報２４ａ１によるＣＨＡＰ認証要求を行う。また、認証処理部２２は、Ｐｈａｓｅ１−１内の事業者ＩＤ情報がデータベース２４ｂ内のＶＰＮｂ事業者ＩＤ情報２４ｂ３に一致する場合、認証処理手順としてのＰＡＰ方式情報２４ｂ１を抽出し、このＰＡＰ方式情報２４ｂ１によるＰＡＰ認証要求を行う。なお、本発明では、認証方式情報をより精度良く抽出できるように、認証処理部２２は、ＩＤペイロードとデータベース２４ａ，２４ｂ内の事業者ＩＤ情報の一致判断に加えて、たとえばＰｈａｓｅ１−１内の送信先アドレスであるゲートウェイ装置２のアドレス情報とデータベース２４ａ，２４ｂ内のゲートウェイアドレス情報２４ａ２，２４ｂ２の一致判断、ＳＡペイロードの暗号化・ハッシュアルゴリズム情報とデータベース２４ａ，２４ｂ内の暗号化・ハッシュアルゴリズム情報との一致判断をさらに行い、これらの情報が全て一致するデータベースから認証方式情報を抽出するように設定してもよい。
【００２２】
フェーズ用データベース２３ａ，２３ｂは、Ｐｈａｓｅ１情報を記憶する。このＰｈａｓｅ１情報は、Ｐｈａｓｅ１ネゴシエーション情報（どのＳＰＤ情報を使うかという、たとえば事業者用データベース２４ａ，２４ｂを示す情報やこのネゴシエーション情報を特定するクッキー値など）からなる。
【００２３】
暗号化／復号化処理部２５は、暗号化の対象となるデータが発生すると、そのデータを暗号化して中継処理部２６に出力して送受信部３４ａ，３４ｂからの送信を可能にし、また暗号化されたデータを中継処理部２６から取り込むと、そのデータを復号化する処理を行う。
【００２４】
認証サーバ３ａ，３ｂは、認証処理部３１ａ，３１ｂと、認証用データベース３２ａ，３２ｂと、データの暗号化または復号化の処理を行う暗号化／復号化処理部３３ａ，３３ｂと、データの送受信を行う送受信部３４ａ，３４ｂとを備える。認証処理部３１ａ，３１ｂは、ゲートウェイ装置２との間で認証応答があった端末装置１ａ，１ｂの認証処理を行うものである。すなわち、認証処理部３１ａは、ＣＨＡＰの認証処理のポリシーの設定を、認証処理部３１ｂは、ＰＡＰの認証処理のポリシーの設定を可能にする。
【００２５】
認証用データベース３２ａ，３２ｂは、端末装置１ａ．１ｂを認証するための識別情報や取り扱うすべての認証処理のポリシーなどを記憶する。暗号化／復号化処理部３３ａ，３３ｂは、暗号化の対象となるデータが発生すると、そのデータを暗号化して送受信部３４ａ，３４ｂに出力し、また暗号化されたデータを送受信部３４ａ，３４ｂが受信すると、そのデータを復号化する処理を行う。
【００２６】
次に、図２を用いて図１に示したゲートウェイ装置２が認証処理シーケンスを選択するための動作を説明するフローチャートである。ゲートウェイ装置２の認証処理部２２は、端末装置からＩＰｓｅｃ Ｐｈａｓｅ１−１のパケットを受信すると（ステップＳ１０１）、このパケット内のＩＤペイロードに格納されている事業者ＩＤ情報が、事業者ａ用データベース２４ａに記憶されているＶＰＮａの事業者ＩＤ情報に一致するか否か判断する（ステップＳ１０２）。
【００２７】
ここで、認証処理部２２は、ＩＤペイロードの事業者ＩＤ情報が、事業者ａ用データベース２４ａのＶＰＮａの事業者ＩＤ情報に一致する場合（ステップＳ１０２：Ｙｅｓ）、フェーズ情報（フェーズ用データベース２３ａのフェーズ情報）を作成し、このフェーズ情報に確定したＳＰＤ情報を関連づけ（ステップＳ１０３）、次のＰｈａｓｅ１−１のパケットの受信を待つ（ステップＳ１０１）。また、認証処理部２２は、ＩＤペイロードの事業者ＩＤ情報が、事業者ａ用データベース２４ａのＶＰＮａの事業者ＩＤ情報と一致しない場合（ステップＳ１０２：Ｎｏ）、次にＩＤペイロードの事業者ＩＤ情報が、事業者ｂ用データベース２４ｂのＶＰＮｂの事業者ＩＤ情報と一致するか否か判断する（ステップＳ１０４）。
【００２８】
ここで、ＩＤペイロードの事業者ＩＤ情報が、事業者ｂ用データベース２４ｂのＶＰＮｂの事業者ＩＤ情報と一致する場合（ステップＳ１０４：Ｙｅｓ）、フェーズ情報（フェーズ用データベース２３ｂのフェーズ情報）を作成し、このフェーズ情報に確定したＳＰＤ情報を関連づけ（ステップＳ１０５）、また事業者ｂ用データベース２４ｂのＶＰＮｂの事業者ＩＤ情報と一致しない場合（ステップＳ１０４：Ｎｏ）、Ｐｈａｓｅ１−１の正規のパケットではないと判断して、たとえばこのパケットの廃棄などの認証不可の処理を行って（ステップＳ１０６）、次のＰｈａｓｅ１−１のパケットの受信を待つ（ステップＳ１０１）。
【００２９】
次に、図１に示した認証処理システムの認証処理の動作を図３および図４のシーケンスの図に基づいて説明する。図３は、認証処理がＣＨＡＰ方式によって行われる場合を説明するためのシーケンスの図である。図３において、端末装置１ａの認証処理部１１ａは、ＩＰｓｅｃ Ｐｈａｓｅ１−１において、ＩＫＥプロトコルを用いて自己の保持するキー情報をゲートウェイ装置２に送信する（ステップＳ１１１）。ゲートウェイ装置２の認証処理部２２は、図２に示したＩＤペイロードの事業者ＩＤ情報が、事業者ａ用データベース２４ａのＶＰＮａの事業者ＩＤ情報に一致するか否か判断し（ステップＳ１０２参照）、一致する場合には以下に示すＣＨＡＰ方式の認証処理のシーケンスを実行する（ステップＳ１０３参照）。
【００３０】
すなわち、ゲートウェイ装置２の認証処理部２２は、端末装置１ａの認証処理部１１ａからキー情報が受信すると、ＩＰｓｅｃ Ｐｈａｓｅ１−２において、端末装置１ａを認識して、端末装置１ａに自己の保持するキー情報を送信してキー情報の交換を行う（ステップＳ１１２）。次に、認証処理部１１ａは、認証処理部２２からキー情報を受信すると、ＩＰｓｅｃ Ｐｈａｓｅ１−３において、ゲートウェイ装置２を認識した後に、端末装置１ａは、通信相手（ＩＫＥピア）であるゲートウェイ装置２との間でＳＡを確立することで、セキュアなデータ通信を可能にする（ステップ１１３）。なお、ＩＰｓｅｃ Ｐｈａｓｅ１−１、ＩＰｓｅｃ Ｐｈａｓｅ１−２およびＩＰｓｅｃ Ｐｈａｓｅ１−３は、ＩＰｓｅｃ通信での１回目、２回目および３回目のＰｈａｓｅ１パケットをそれぞれ示す。
【００３１】
次に、ゲートウェイ装置２の認証処理部２２は、設定処理部２１で設定されたＣＨＡＰによる認証要求のパケットを端末装置１ａに送信する（ステップＳ１１４）。端末装置１ａの認証処理部１１ａは、ＣＨＡＰによる認証処理が可能なプロトコルを有しており、ＣＨＡＰによる認証要求のパケットが受信されると、この要求に対するＣＨＡＰによる認証応答のパケットをゲートウェイ装置２に送信する（ステップＳ１１５）。この認証応答のパケットには、ユーザ名とパスワードとがユーザＩＤ内に含まれている。認証処理部２２は、ＣＨＡＰによる認証応答のパケットが受信されると、このパケット内のクッキー値からフェーズ情報（フェーズ用データベース２３ａのフェーズ情報）を特定し、さらにその特定したフェーズ情報から参照されるＳＰＤ情報内の認証サーバ情報２４ａ５を使用してＣＨＡＰ認証要求のパケットを作成し、このＣＨＡＰ認証要求のパケットを認証サーバ３ａに送信する（ステップＳ１１６）。
【００３２】
次に、認証サーバ３ａの認証処理部３１ａは、ゲートウェイ装置２からＣＨＡＰ認証要求のパケットが受信されると、このパケットをもとに端末装置１ａを認証するための認証処理を行い、この端末装置１ａを認証した場合、ＣＨＡＰによる認証成功のパケットをゲートウェイ装置２に送信する（ステップＳ１１７）。次に、ゲートウェイ装置２の認証処理部２２は、ＣＨＡＰ認証成功のパケットが受信されると、このＣＨＡＰ認証成功のパケットを端末装置１ａに送信して（ステップＳ１１８）、その後のＰｈａｓｅを完了した後にＩＰｓｅｃによる暗号化通信を可能にする。
【００３３】
次に、認証処理システムの認証処理がＰＡＰ方式によって行われる場合を、図４のシーケンスの図を用いて説明する。図４において、端末装置１ｂの認証処理部１１ｂは、ＩＰｓｅｃ Ｐｈａｓｅ１−１において、ＩＫＥプロトコルを用いて自己の保持するキー情報をゲートウェイ装置２に送信する（ステップＳ２０１）。ゲートウェイ装置２の認証処理部２２は、図２に示したＩＤペイロードの事業者ＩＤ情報が、事業者ｂ用データベース２４ｂのＶＰＮｂの事業者ＩＤ情報に一致するか否か判断し（ステップＳ１０２，Ｓ１０４参照）、一致する場合には以下に示すＰＡＰ方式の認証処理のシーケンスを実行する（ステップＳ１０５参照）。
【００３４】
すなわち、ゲートウェイ装置２の認証処理部２２は、認証処理部１１ｂからキー情報を受信すると、ＩＰｓｅｃ Ｐｈａｓｅ１−２において、端末装置１ｂを認識して、端末装置１ｂに自己の保持するキー情報を送信してキー情報の交換を行う（ステップＳ２０２）。次に、認証処理部１１ｂは、認証処理部２２からキー情報を受信すると、ＩＰｓｅｃ Ｐｈａｓｅ１−３において、ゲートウェイ装置２を認識した後に、端末装置１ｂは、通信相手（ＩＫＥピア）であるゲートウェイ装置２との間でＳＡを確立することで、セキュアなデータ通信を可能にする（ステップ２０３）。
【００３５】
次に、ゲートウェイ装置２の認証処理部２２は、設定処理部２１で設定されたＰＡＰによる認証要求のパケットを端末装置１ｂに送信する（ステップＳ２０４）。端末装置１ｂの認証処理部１１ｂは、上記ＰＡＰによる認証処理が可能なプロトコルを有しており、ＰＡＰによる認証要求のパケットが受信されると、当該要求に対するＰＡＰによる認証応答のパケットをゲートウェイ装置２に送信する（ステップＳ２０５）。この認証応答のパケットには、ユーザ名とパスワードとがユーザＩＤ内に含まれている。認証処理部２２は、ＰＡＰによる認証応答のパケットが受信されると、このパケット内のクッキー値からフェーズ情報（フェーズ用データベース２３ｂのフェーズ情報）を特定し、さらにその特定したフェーズ情報から参照されるＳＰＤ情報内の認証サーバ情報２４ｂ５を使用してＰＡＰ認証要求のパケットを作成し、このＰＡＰ認証要求のパケットを認証サーバ３ｂに送信する（ステップＳ２０６）。
【００３６】
次に、認証サーバ３ｂの認証処理部３１ｂは、ゲートウェイ装置２からＰＡＰ認証要求のパケットが受信されると、このパケットをもとに端末装置１ｂを認証するための認証処理を行い、この端末装置１ｂを認証した場合、ＰＡＰによる認証成功のパケットをゲートウェイ装置２に送信する（ステップＳ２０７）。次に、ゲートウェイ装置２の認証処理部２２は、ＰＡＰ認証成功のパケットが受信されると、このＰＡＰ認証成功のパケットを端末装置１ｂに送信して（ステップＳ２０８）、その後のＰｈａｓｅを完了した後にＩＰｓｅｃによる暗号化通信を可能にする。
【００３７】
このように、本実施の形態では、事業者毎に設けられたデータベース２４ａ，２４ｂに、ＣＨＡＰやＰＡＰなどの認証処理手順を、各ＶＰＮの事業者ＩＤ情報に対応付けて記憶するので、ユーザ毎ではなく、ＶＰＮａ，ｂ毎に認証処理手順（認証処理のポリシー）をデータベース２４ａ，２４ｂに記憶して、設定することができ、これによりユーザ数にかかわらずゲートウェイ装置２における認証処理のポリシーの設定を迅速に行うことができる。
【００３８】
また、本実施の形態では、ゲートウェイ装置２が認証処理ポリシーを人数の多いユーザ毎ではなく、ＶＰＮ毎にデータベース２４ａ，２４ｂに記憶するので、ユーザ毎に記憶する場合に比べて小容量のデータベースを使用することが可能となり、製作コストを削減することができる。
【図面の簡単な説明】
【００３９】
【図１】本発明にかかる認証処理システムの実施の形態の構成を示すシステム構成図である。
【図２】図１に示したゲートウェイ装置が認証処理シーケンスを選択するための動作を説明するフローチャートである。
【図３】認証処理がＣＨＡＰによって行われる場合を説明するためのシーケンスの図である。
【図４】認証処理がＰＡＰによって行われる場合を説明するためのシーケンスの図である。
【符号の説明】
【００４０】
１ａ，１ｂ 端末装置
２ ゲートウェイ装置
３ａ，３ｂ 認証サーバ
４ 公衆網
１１ａ，１１ｂ，２２，３１ａ，３１ｂ 認証処理部
１２ａ，１２ｂ，２５，３３ａ，３３ｂ 暗号化／復号化処理部
１３ａ，１３ｂ，３４ａ，３４ｂ 送受信部
２１ 設定処理部
２３ａ，２３ｂ フェーズ用データベース
２４ａ 事業者ａ用データベース
２４ｂ 事業者ｂ用データベース
２４ａ１ ＣＨＡＰ方式情報
２４ｂ１ ＰＡＰ方式情報
２６ 中継処理部
２７ 端末用送受信部
２８ サーバ用送受信部
３２ａ，３２ｂ 認証用データベース
ＶＰＮａ，ＶＰＮｂ 専用網
【特許請求の範囲】
【請求項１】
網運用者毎の専用網を介して認証サーバとそれぞれ接続されるとともに、端末装置との間に介在する公衆網に暗号化通信を行うための論理的な回線を確立させ、前記端末装置と前記認証サーバとの間で認証処理のためのデータ中継を行うゲートウェイ装置において、
前記専用網毎に設けられ、前記端末装置からの接続要求に対して該端末装置との間で行う認証処理手順を、各専用網を識別する識別情報に対応付けて記憶する記憶手段と、
前記端末装置からの接続要求に含まれる前記専用網の識別情報に該当する識別情報を前記記憶手段から抽出し、該抽出した識別情報に対応する前記認証処理手順を実行して前記端末装置に認証要求を行う認証処理手段と、
を備えたことを特徴とするゲートウェイ装置。
【請求項２】
前記専用網毎に取り扱う前記認証処理手順を設定して、前記専用網毎に設けられた記憶手段に記憶させる設定処理手段を備えたことを特徴とする請求項１に記載のゲートウェイ装置。
【請求項３】
前記認証処理手段は、前記端末装置との間に介在する公衆網に前記論理的な回線が確立されたことを契機に、前記記憶手段に記憶された認証処理手順を実行して前記端末装置に認証要求を行うことを特徴とする請求項１または２に記載のゲートウェイ装置。
【請求項４】
ゲートウェイ装置が網運用者毎の専用網を介して複数の認証サーバと接続され、前記ゲートウェイ装置と端末装置との間に介在する公衆網に暗号化通信を行うための論理的な回線を確立させ、前記端末装置と前記認証サーバとの間で認証処理のためのデータ中継を行う認証処理方法において、
前記専用網毎に設けられた記憶手段に、前記端末装置からの接続要求に対して該端末装置との間で行う認証処理手順を、各専用網を識別する識別情報に対応付けて記憶する記憶ステップと、
前記端末装置からの接続要求に含まれる前記専用網の識別情報に該当する識別情報を前記記憶手段から抽出し、該抽出した識別情報に対応する前記認証処理手順を実行して前記端末装置に認証要求を行う認証処理ステップと、
を含むことを特徴とする認証処理方法。
【請求項５】
前記専用網毎に取り扱う前記認証処理手順を設定して、前記専用網毎に設けられた記憶手段に記憶させる設定処理ステップを含むことを特徴とする請求項５に記載の認証処理方法。
【請求項６】
前記認証処理ステップは、前記端末装置との間に介在する公衆網に前記論理的な回線が確立されたことを契機に、前記記憶手段に記憶された認証処理手順を実行して前記端末装置に認証要求を行うことを特徴とする請求項５または６に記載の認証処理方法。
【請求項１】
網運用者毎の専用網を介して認証サーバとそれぞれ接続されるとともに、端末装置との間に介在する公衆網に暗号化通信を行うための論理的な回線を確立させ、前記端末装置と前記認証サーバとの間で認証処理のためのデータ中継を行うゲートウェイ装置において、
前記専用網毎に設けられ、前記端末装置からの接続要求に対して該端末装置との間で行う認証処理手順を、各専用網を識別する識別情報に対応付けて記憶する記憶手段と、
前記端末装置からの接続要求に含まれる前記専用網の識別情報に該当する識別情報を前記記憶手段から抽出し、該抽出した識別情報に対応する前記認証処理手順を実行して前記端末装置に認証要求を行う認証処理手段と、
を備えたことを特徴とするゲートウェイ装置。
【請求項２】
前記専用網毎に取り扱う前記認証処理手順を設定して、前記専用網毎に設けられた記憶手段に記憶させる設定処理手段を備えたことを特徴とする請求項１に記載のゲートウェイ装置。
【請求項３】
前記認証処理手段は、前記端末装置との間に介在する公衆網に前記論理的な回線が確立されたことを契機に、前記記憶手段に記憶された認証処理手順を実行して前記端末装置に認証要求を行うことを特徴とする請求項１または２に記載のゲートウェイ装置。
【請求項４】
ゲートウェイ装置が網運用者毎の専用網を介して複数の認証サーバと接続され、前記ゲートウェイ装置と端末装置との間に介在する公衆網に暗号化通信を行うための論理的な回線を確立させ、前記端末装置と前記認証サーバとの間で認証処理のためのデータ中継を行う認証処理方法において、
前記専用網毎に設けられた記憶手段に、前記端末装置からの接続要求に対して該端末装置との間で行う認証処理手順を、各専用網を識別する識別情報に対応付けて記憶する記憶ステップと、
前記端末装置からの接続要求に含まれる前記専用網の識別情報に該当する識別情報を前記記憶手段から抽出し、該抽出した識別情報に対応する前記認証処理手順を実行して前記端末装置に認証要求を行う認証処理ステップと、
を含むことを特徴とする認証処理方法。
【請求項５】
前記専用網毎に取り扱う前記認証処理手順を設定して、前記専用網毎に設けられた記憶手段に記憶させる設定処理ステップを含むことを特徴とする請求項５に記載の認証処理方法。
【請求項６】
前記認証処理ステップは、前記端末装置との間に介在する公衆網に前記論理的な回線が確立されたことを契機に、前記記憶手段に記憶された認証処理手順を実行して前記端末装置に認証要求を行うことを特徴とする請求項５または６に記載の認証処理方法。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２００８−１９９４２０（Ｐ２００８−１９９４２０Ａ）
【公開日】平成２０年８月２８日（２００８．８．２８）
【国際特許分類】
【出願番号】特願２００７−３４１１７（Ｐ２００７−３４１１７）
【出願日】平成１９年２月１４日（２００７．２．１４）
【出願人】（０００００５２９０）古河電気工業株式会社 (4,457)
【出願人】（５０５１７３２４５）古河ネットワークソリューション株式会社 (12)
【Ｆターム（参考）】
【公開日】平成２０年８月２８日（２００８．８．２８）
【国際特許分類】
【出願日】平成１９年２月１４日（２００７．２．１４）
【出願人】（０００００５２９０）古河電気工業株式会社 (4,457)
【出願人】（５０５１７３２４５）古河ネットワークソリューション株式会社 (12)
【Ｆターム（参考）】
[ Back to top ]