ネットワーク接続システム
【課題】 ＬＡＮに接続された端末の利用者が、インターネット上の認証基盤を、端末に変更を加えることなく利用でき、かつ、認証基盤や接続先においては、利用者を個別に認証することを可能にする。
【解決手段】 端末機器をＬＡＮに接続した際の利用者の内部認証に成功したことを契機として、利用者の代理で認証基盤による認証を受け、認証に成功すると、端末機器の識別情報と、認証基盤における利用者の識別情報とを、対応付けて保持する。ＬＡＮ内部から外部へのデータパケットを受信すると、その送信元の端末機器の識別情報から対応する利用者識別情報を取得して、利用者の代理で通信相手への接続要求を行い、接続が許可された後にデータパケットを宛先に転送する。
【解決手段】 端末機器をＬＡＮに接続した際の利用者の内部認証に成功したことを契機として、利用者の代理で認証基盤による認証を受け、認証に成功すると、端末機器の識別情報と、認証基盤における利用者の識別情報とを、対応付けて保持する。ＬＡＮ内部から外部へのデータパケットを受信すると、その送信元の端末機器の識別情報から対応する利用者識別情報を取得して、利用者の代理で通信相手への接続要求を行い、接続が許可された後にデータパケットを宛先に転送する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク接続システム、ネットワーク装置およびプログラムに関し、特に利用者の認証を行う機能を有するネットワークに対して、複数の端末機器を接続するためのシステム、装置およびプログラムに関する。
【背景技術】
【０００２】
近年、ネットワークにおける情報漏洩やコンピュータへの不正なアクセスなど、情報セキュリティに対する脅威が大きな問題となっている。これらの脅威に対し、従来では利用者自身が対策を行ってきたが、脅威の種類が増加し、また対策に高度な技術が求められるようになり、利用者自身による十分な対策は困難になりつつある。
【０００３】
これに対し、誰もが安全な通信を行うことができるよう、非特許文献１のような、ネットワークが安全な通信の確立を代行する機能を有する技術の開発が進められている。この技術は、ネットワーク上の認証基盤が、通信を行う二者を認証して各々の本人性を確認し、かつ各々の属性が相手の通信を許可する条件を満たしていると判断される場合にのみ、両者の通信を確立する、というものである。
【０００４】
ところで、上記の認証基盤を利用するためのクライアント機能（以下、認証基盤クライアント機能）を個別の端末が具備する場合、認証基盤クライアント機能を有するプログラムを端末に導入する作業、および利用者が所望のアプリケーションプログラムを用いて認証が必要なサービスを利用するときに認証基盤クライアント機能が正しく動作することを検証する作業が必要になる。
【０００５】
一方、ＬＡＮ (Local Area Network)が利用できる環境であれば、ＬＡＮ内部のコンピュータをインターネットに接続するためのゲートウェイ装置やルータ装置が、認証基盤クライアント機能を具備する方法も考えられる。例えば、家庭で用いられている既存のルータ装置は、インターネットに宛てて送信されたパケットを捕捉し、これを契機としてＩＳＰ(Internet Service Provider)からインターネットへの接続の許可を得るための認証を、利用者に代わって受ける機能を有する。これらの既存の装置では、認証のための通信プロトコルとしてＰＰＰ (Point-to-Point Protocol)を、また認証情報として装置内に設定された利用者の識別情報およびパスワードを用いているが、これらを認証基盤に準拠した通信プロトコルおよび認証情報に変更すれば、認証基盤クライアント機能を実現することができる。
【０００６】
この方式を用いれば、認証基盤クライアント機能の導入や動作検証に関わる作業が不要となり、端末装置に変更を加えることなく、認証基盤を利用することが可能になる。
また、特許文献１および特許文献２には、シングルサインオンシステムが開示されている。
【０００７】
【特許文献１】特開２０００−２５９５６６号公報
【特許文献２】特開２００５−０１１０９８号公報
【非特許文献１】鍛、外４名、”セキュアサービスプラットフォームにおけるセキュア通信確立モデル”情報処理学会研究報告、2005-CSEC-28、Vol.2005、No.33 PP151〜156
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかし、ルータ装置などが認証基盤クライアント機能を具備するシステムでは、認証基盤はルータ装置を認証することになり、ルータ装置の配下にあるアクセス元の個々の利用者を認証することができない。このことを悪用すると、ルータ装置の配下にあるＬＡＮに許可なく接続し、ルータ装置を介して認証基盤による認証を受けることが可能になり、情報セキュリティの観点からは大きな問題となる。
【０００９】
これに対し、アプリケーションレベルゲートウェイ（ＡＬＧ）と呼ばれる装置を用いれば、配下の利用者の内部認証を行った上で、インターネットに接続し、認証基盤による認証を受けることが可能になる。特許文献１または特許文献２にて開示されているシングルサインオンシステムも、本方式を利用して実現している。
【００１０】
しかし、ＡＬＧは特定のアプリケーションのパケットのみを一旦捕捉して外部のアプリケーションサーバ装置に転送するため、利用者が用いるアプリケーションの数だけＡＬＧを用意する必要がある。また、ＡＬＧが対応していないアプリケーションを利用して外部と通信を行う際には、利用者の内部認証を行うことができない。
【課題を解決するための手段】
【００１１】
ある利用者が端末をＬＡＮに接続した際のＬＡＮ内部での認証に成功したことを通知する内部認証パケットの受信を契機として、内部認証パケットに含まれる利用者の識別情報を基に、利用者が認証基盤に対して提示する認証情報を取得することにより、利用者が認証基盤による認証を受けるためのメッセージを、利用者の代理で認証基盤に送信し、認証基盤による認証に成功した場合に限り、内部認証パケットを受信した際に得られる、利用者が利用している端末機器の識別情報と、利用者が認証基盤に対して用いる利用者識別情報とを、対応付けて保持する。
【００１２】
ＬＡＮ内部の端末機器から外部の端末機器に向けて送信されるデータパケットの受信を契機として、データパケットを受信した際に得られる端末機器の識別情報から、認証基盤による認証に成功した際に対応付けられた利用者識別情報を取得することにより、利用者から通信相手への接続要求を、利用者の代理で認証基盤に送信し、接続が許可された後に、データパケットを宛先に転送する。
【００１３】
また、外部の端末機器からＬＡＮ内部の端末機器に向けた接続要求パケットの受信を契機として、接続要求パケットの宛先に指定された利用者識別情報が、認証基盤による認証に成功して端末機器の識別情報と対応付けた形で保持されているか否かを確認し、利用者識別情報が保持されている場合には、接続要求パケットの送信元に対して、接続を許可するパケットを、ＬＡＮ内部の端末機器の代理で送信する。一方、利用者識別情報が保持されていない場合には、接続要求パケットの送信元に対して、接続を拒否するパケットを、ＬＡＮ内部の端末機器の代理で送信する。
【発明の効果】
【００１４】
本発明によれば、利用者は、既存の端末がＬＡＮ内部での認証を受ける機能を有していれば、それに変更を加えることなく、またアプリケーションの種類に依存せずに認証基盤を利用することができる。また、認証基盤または接続先は、ルータ装置の配下にある利用者を個別に認証することが可能になる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の実施の形態について実施例を用いて図面を参照して説明する。
（実施例１）
図１は実施例１のシステム構成を示すブロック図である。図１において、ネットワーク１は、不特定多数の利用者が利用することができる通信網である。ネットワーク１には、通信機器としてルータ２ａ、端末７およびアプリケーションサーバ６が接続されている。また、ネットワーク１には、ネットワーク１の利用者の認証を行う認証基盤５が接続されている。ルータ２ａには、端末３および内部認証サーバ４ａが接続され、これらの機器によって特定の利用者のみに利用を許可するＬＡＮ１０ａを構成している。内部認証サーバ４ａは、ＩＤ・パスワードデータベース４０を保持している。
【００１６】
図２はルータの制御ブロック図である。図２において、ルータ２ａは、ＬＡＮポート２０、ＷＡＮポート２１、ポート制御部２２、ＩＰ処理部２３、認証基盤クライアント部２４ａ、ログイン済みユーザデータベース２５ａ、公開鍵暗号処理部２６ａ、ユーザＩＤデータベース２７ａにより構成される。
【００１７】
ＬＡＮポート２０は、１個以上の物理インタフェースにより構成され、各々の物理インタフェースには端末等の通信機器を接続することができる。ＷＡＮポート２１は、物理インタフェースであり、ネットワーク１に接続されている。ポート制御部２２は、ＬＡＮポート２０およびＷＡＮポート２１から入力されたパケットをＩＰ処理部２３に転送し、ＩＰ処理部２３からのパケットをＬＡＮポート２０あるいはＷＡＮポート２１に振り分けて送出する機能部分であり、パケットが入力されたＬＡＮポートの情報を取得する。
【００１８】
ＩＰ処理部２３は、ＣＰＵ等の演算部、メモリ等の記憶部およびそれらの上で動作するソフトウェアにより構成され、ルーティング処理部２３０、データパケット暗号化・復号処理部２３１、セキュリティポリシーデータベース（ＳＰＤ）２３２、セキュリティアソシエーションデータベース（ＳＡＤ）２３３、パケット保持部２３４を有する。ルーティング処理部２３０は、ＬＡＮポートまたはＷＡＮポートから受信したバケットの宛先のＩＰアドレスを参照し、当該パケットを次の転送先に送信する。データパケット暗号化・復号処理部２３１は、ＩＰｓｅｃ（Security Architecture for the Internet Protocol）に従って、ＬＡＮ１０aの端末から受信してネットワーク１に送信されるパケットの暗号化を行う。また、ネットワーク１から受信してＬＡＮ１０aの端末に送信されるパケットの復号を行う。
【００１９】
ＳＰＤ２３２は、セキュリティポリシー、すなわち、ＩＰパケットに対して、ＩＰｓｅｃを適用、バイパス（ＩＰｓｅｃを適用せずにパケットを転送）、またはパケット破棄のうち、どの処理を行うかを記述したデータベースである。ＳＰＤ２３２では、パケットを分類するための情報として、パケットの始点ＩＰアドレス、終点ＩＰアドレス、トランスポート層プロトコル、送信元ポート番号および宛先ポート番号を用い、各々の分類に対して適用すべき処理が記載されている。
【００２０】
ＳＡＤ２３３は、セキュリティアソシエーション（ＳＡ）と呼ばれる、２つの通信機器の間で設定されたＩＰｓｅｃによる通信に必要な一連のパラメータを記述したデータベースである。ＳＡは、終点ＩＰアドレス、セキュリティプロトコル、およびセキュリティパラメータインデックス（ＳＰＩ）と呼ばれる識別番号によって一意に識別される。また、ＳＡのパラメータとしては、カプセル化モード、暗号鍵、認証アルゴリズム、認証鍵、有効期間、などが挙げられる。
【００２１】
パケット保持部２３４は、メモリ等の記憶部により構成され、受信したパケットを一時的に保持する。
認証基盤クライアント部２４ａは、ＣＰＵ等の演算部、メモリ等の記憶部およびそれらの上で動作するソフトウェアにより構成され、認証基盤５に対してログインやログアウトを行うためのメッセージの生成、認証基盤５を介して通信相手に自身との接続を要求するメッセージの生成、および認証基盤５を介して通信相手から受信した自身への接続を要求するメッセージの解析とそれに対する応答メッセージの生成を行う。また、認証基盤クライアント部２４ａは、上記メッセージの生成や解析のため、ログイン済みユーザデータベース２５ａ、公開鍵暗号処理部２６ａおよびユーザＩＤデータベース２７ａと通信を行う。
【００２２】
ログイン済みユーザデータベース２５ａは、メモリ等の記憶部により構成され、認証基盤５に対するログインに成功したユーザが接続されているＬＡＮポート２０の物理インタフェースの識別番号（以下、ＬＡＮポート番号）と、認証基盤５において当該ユーザを一意に識別するために用いられるＳＩＰ−ＵＲＩとの対照表２５０ａと、対照表２５０ａの読み出しや書き換えを行うソフトウェアにより構成されている。
【００２３】
図３はこの対照表の内容を説明する図である。図３において、対照表２５０ａは、ＬＡＮポート番号を記録する領域２５１ａと、ＬＡＮ１０ａの利用者が認証基盤５に対して使用するＳＩＰ−ＵＲＩを記録する領域２５２と、認証基盤５へのログインの有効期限を記録する領域２５３を有する。
【００２４】
図２に戻って、公開鍵暗号処理部２６ａは、公開鍵暗号方式による暗号化の演算処理を行う論理回路およびメモリにより構成され秘密鍵を用いて電子書名を生成する電子署名生成処理部２６０と、ＬＡＮを使用する利用者の公開鍵証明書および公開鍵、秘密鍵の対を保持するためのメモリ等の記憶部により構成される公開鍵証明書・公開鍵・秘密鍵保管部２６１とを有する。
【００２５】
ユーザＩＤデータベース２７ａは、メモリ等の記憶部により構成され、ＬＡＮ１０ａの内部で個々のユーザを一意に識別するために用いられる利用者識別情報と、認証基盤５において個々のユーザを一意に識別するために用いられるＳＩＰ−ＵＲＩとの対照表２７０と、対照表２７０の読み出しや書き換えを行うソフトウェアにより構成されている。
【００２６】
図４はこの対照表を説明する図である。図４において、対照表２７０は、ＬＡＮ１０ａの内部で使用される利用者識別情報を記録する領域２７１と、ＬＡＮ１０ａの利用者が認証基盤５に対して使用するＳＩＰ−ＵＲＩを記録する領域２７２を有する。
【００２７】
図１に戻って、端末３は、ＣＰＵ、メモリ、磁気ディスク装置および入出力装置を有する計算機であり、アプリケーションサーバ６または端末７と通信を行うためのアプリケーションソフトウェアが動作する。
【００２８】
内部認証サーバ４ａは、ＣＰＵ、メモリ、磁気ディスク装置およびインタフェースを有する計算機であり、各種ソフトウェアが動作することによって、ＩＤ・パスワードデータベース４０を構成している。
【００２９】
ＩＤ・パスワードデータベース４０は、ＬＡＮ１０ａで用いられる利用者識別情報と、各々の利用者が本人に相違ないことを確認するためのパスワードの対照表４００（図１には図示せず）と、対照表４００の情報の読み出しや書き換えを行うソフトウェアにより構成されている。
【００３０】
図５はこの対照表の内容を説明する図である。図５において、対照表４００は、ＬＡＮ１０ａで用いられる利用者識別情報を記録する領域４０１と、パスワードを記録する領域４０２とを有し、領域４０２の内容は、他人に知られることを防止するために、暗号化されている。
【００３１】
再び図１に戻って、認証基盤５は、ネットワーク１に接続され、１台以上の計算機によって構成されている。認証基盤５の詳細な機能については後述する。
アプリケーションサーバ６は、ＣＰＵ，メモリ、磁気ディスクおよび入出力装置からなる計算機であり、各種ソフトウェアが動作することにより、認証基盤５に対してログインおよびログアウトを行うためのメッセージの生成、認証基盤５を介して通信相手に自身との接続を要求するメッセージの生成および認証基盤５を介して通信相手から受信した自身への接続を要求するメッセージの解析とそれに対する応答メッセージの生成を行う認証基盤クライアントの機能を実現している。また、認証基盤５の利用者に対してサービスを提供するためのアプリケーションソフトウェアが動作する。
【００３２】
端末７は、ＣＰＵ，メモリ、磁気ディスクおよび入出力装置からなる計算機であり、各種ソフトウェアが動作することにより、アプリケーションサーバ６と同様の認証基盤クライアントの機能を実現している。また、端末３と通信を行うためのアプリケーションソフトウェアが動作する。
【００３３】
ＬＡＮ１０ａは、１台の端末は同時に１人の利用者しか利用できないこととし、また端末は集線装置を介さずに直接ルータ２ａに接続し、かつ端末がルータ２ａに接続されたときには必ず認証を受けるよう運用する。これにより、ルータ２ａでは、パケットが入力されたＬＡＮポートから、そのパケットを送信した利用者を特定することができる。
【００３４】
ここで、認証基盤５を利用した通信の手順を、端末７がアプリケーションサーバ６に接続して通信を行う場合を例にとって説明する。
端末７の利用者は、まず認証基盤５にログインする。具体的には、端末７が、認証基盤５に対して、利用者の公開鍵証明書および電子署名を含むＳＩＰメッセージを送信する。認証基盤５は、端末７から受信した公開鍵証明書および電子署名が、ログインを試みている利用者の本人のものであるか否かを検証する。
【００３５】
認証基盤５にて本人性が確認できた利用者は、ログインに成功し、他の認証基盤５の利用者との通信が可能な状態になる。なお、アプリケーションサーバ６においても、同様に認証基盤５へのログインを行っておく。
【００３６】
次に、端末７は、アプリケーションサーバ６に対して接続を要求するＳＩＰメッセージを、認証基盤５に送信する。認証基盤５は、接続要求メッセージを受信すると、アプリケーションサーバ６がログインしているか否かを判定し、さらに必要に応じて接続条件を満たしているか否かの判定を行う。認証基盤５は、通信を許可してよいと判断される場合には、接続要求メッセージをアプリケーションサーバ６に転送する。アプリケーションサーバ６は、接続要求メッセージを受信すると、端末７に対して接続を許可または拒否することを通知する応答メッセージを、認証基盤５に送信する。認証基盤５は、応答メッセージを受信すると、端末７に転送する。端末７は、接続を許可する内容の応答メッセージを受信すると、アプリケーションサーバ６との、認証基盤５を介さない通信を開始する。
【００３７】
なお、上記の接続要求メッセージおよび接続を許可する内容の応答メッセージには、ＩＰｓｅｃを用いた暗号化通信に必要なパラメータが含まれており、これらのメッセージの交換によって、端末７とアプリケーションサーバ６は、暗号化通信のパラメータを共有する。
【００３８】
次に、図１のシステムの動作を図６ないし図８を用いて説明する。ここで、図６は端末３をルータ２ａに接続したときの通信および動作を説明するシーケンス図である。なお、端末とルータとの接続に先立って、端末のユーザはユーザ登録を実施する。このときユーザＩＤとパスワードが内部認証サーバのＩＤ・パスワードＤＢに登録される。
【００３９】
図６において、端末３とルータ２ａの物理的な接続が確立されると、ＩＥＥＥ ８０２．１ｘで定められた手順に従って、ルータ２ａが端末３の使用者を認証する。具体的には、まず、ルータ２ａが端末３に対して、ＬＡＮ１０ａ内で用いられる利用者識別情報の入力を要求するパケット１０１を送信し、これに対し、端末３の利用者が自身の利用者識別情報（ユーザＩＤ）を入力する。入力された利用者識別情報は、ルータ２ａを経由して、内部認証サーバ４ａに伝送される（パケット１０２，１０３）。
【００４０】
内部認証サーバ４ａは、利用者識別情報を受信すると、チャレンジと呼ばれる乱数を、ルータ２ａを経由して端末３に送信する（パケット１０４，１０５）。チャレンジを受け取った端末３の利用者は、自身のパスワードを入力する。端末３は、内部認証サーバ４ａから受け取ったチャレンジと、利用者から入力されたパスワードを用いて、所定の計算方法に従ってレスポンスと呼ばれる値を計算し、それをルータ２ａ経由で内部認証サーバ４ａに送信する（パケット１０６，１０７）。
【００４１】
内部認証サーバ４ａでは、事前に登録されたＩＤ・パスワードデータベース４０を参照して、先に受け取った利用者識別情報に対応するパスワードを取得し、これと端末３に送信したチャレンジからレスポンスを計算する。次いで、計算したレスポンスと端末３から受信したレスポンスとを比較し、両者が一致していれば、パケット１０３にて通知された識別情報を使用する利用者本人に相違ないと判定し、接続を許可する旨を通知するパケット１０８を、ルータ２ａに送信する。
【００４２】
ルータ２ａは、内部認証サーバ４ａからパケット１０８を受信すると、それを端末３に転送する（パケット１０９）とともに、端末３の利用者に代わって、認証基盤５に対してログインを行う。まず、ルータ２ａの内部の認証基盤クライアント部２４ａが、パケット１０８に含まれる利用者識別情報を取得し、それに対応するＳＩＰ−ＵＲＩを、ユーザＩＤデータベース２７ａから取得する。次に、認証基盤クライアント部２４ａは、取得したＳＩＰ−ＵＲＩを用いて、ログインを要求する内容のＳＩＰメッセージを生成し、当該利用者の公開鍵証明書、および電子署名の生成を、公開鍵暗号処理部２６ａに対して要求する。公開鍵暗号処理部２６ａは、指定されたＳＩＰ−ＵＲＩに対応する公開鍵証明書と秘密鍵を取り出し、電子署名を生成したのち、公開鍵証明書および電子署名を認証基盤クライアント部２４ａに渡す。認証基盤クライアント部２４ａは、公開鍵暗号処理部２６ａから公開鍵証明書と電子署名を取得すると、それらを先に生成したログイン要求に付加したＳＩＰメッセージ１１０を、認証基盤５に送信する。
【００４３】
認証基盤５は、ログインを要求するＳＩＰパケット１１０を受信すると、メッセージに含まれる電子署名と公開鍵証明書の検証を行う。電子署名および公開鍵証明書の正当性が確認できた場合には、ログインを要求するＳＩＰメッセージ１１０に対する応答として、ログインに成功したことを通知するＳＩＰメッセージ１１１を、ルータ２ａに返送する。
ルータ２ａは、ＳＩＰメッセージ１１１を受信すると、端末３が接続されているＬＡＮポートの番号と、端末３の利用者のＳＩＰ−ＵＲＩとを対応付けて、ログイン済みユーザデータベース２５ａに登録する。
【００４４】
図７は端末がアプリケーションサーバに接続を要求するときの動作を表すシーケンス図である。図７において、端末３で動作するアプリケーションソフトウェアが、アプリケーションサーバ６を宛先とするデータパケット１１２を、ルータ２ａに対して送信する。
【００４５】
データパケット１１２を受信したルータ２ａは、データパケット１１２をパケット保持部２３４に保持した上で、ＳＰＤ２３２を検索し、データパケット１１２に対するＩＰｓｅｃの適用の要否を判定する。データパケット１１２にＩＰｓｅｃを適用する必要がある場合には、次にＳＡＤ２３３を検索し、データパケット１１２に対するＳＡを求める。この場合、必要なＳＡが存在しないので、ルータは、端末３の利用者に代わって、アプリケーションサーバ６に対して、接続を要求する。
【００４６】
具体的には、まず、認証基盤クライアント部２４ａが、ログイン済みユーザデータベース２５ａを検索し、データパケット１１２を受信したＬＡＮポートの番号に対応するＳＩＰ−ＵＲＩを取得する。次いで、取得したＳＩＰ−ＵＲＩを用いて、アプリケーションサーバ６への接続を要求するＳＩＰメッセージ１１３を生成し、認証基盤５に送信する。なお、ＳＩＰメッセージ１１３には、ルータ２ａがＩＰｓｅｃ用いてアプリケーションサーバ６にパケットを送信するときに使用するＳＡの情報が含まれる。
【００４７】
認証基盤５では、ルータ２ａから受信したＳＩＰメッセージ１１３の送信元と宛先のＳＩＰ−ＵＲＩを参照して、両者の接続の可否を判定し、接続可能と判定されれば、アプリケーションサーバ６に転送する（ＳＩＰメッセージ１１４）。
【００４８】
アプリケーションサーバ６は、ＳＩＰメッセージ１１４を受信すると、接続の可否を判定する。この場合、アプリケーションサーバ６は接続を許可し、ルータ２ａに対して接続を許可することを通知するＳＩＰメッセージ１１５を、認証基盤５に送信する。なお、ＳＩＰメッセージ１１５には、アプリケーションサーバ６がＩＰｓｅｃ用いてルータ２ａにパケットを送信するときに使用するＳＡの情報が含まれる。
認証基盤５は、アプリケーションサーバ６からＳＩＰメッセージ１１５を受信すると、それをルータ２ａに転送する（ＳＩＰメッセージ１１６）。
【００４９】
ルータ２ａは、認証基盤５からＳＩＰメッセージ１１６を受信すると、アプリケーションサーバ６にパケットを暗号化して送信するときに使用するＳＡ、およびアプリケーションサーバ６から暗号化されたパケットを受信するときに使用するＳＡを、ＳＡＤ２３３に登録する。ＳＡＤ２３３への登録が完了すると、ルータ２ａは、ＳＩＰのＡＣＫ（応答確認）メッセージ１１７を認証基盤に送信する。
認証基盤５は、ルータ２ａからＳＩＰメッセージ１１７を受信すると、それをアプリケーションサーバ６に転送する（ＳＩＰメッセージ１１８）。
【００５０】
ルータ２ａは、ＳＩＰメッセージ１１７を送信した後、パケット保持部２３４に保持されていたデータパケット１１２を暗号化してアプリケーションサーバ６に転送する（データパケット１１９）。このデータパケット１１９は、認証基盤５を経由せずに、アプリケーションサーバ６に直接伝送される。
【００５１】
図８はルータが発信端末からルータ配下の着信端末への接続要求を受信したときの動作を表すシーケンス図である。図８において、端末７は、ルータ２ａへの接続を要求するＳＩＰメッセージ１２０を、認証基盤５に送信する。なお、ＳＩＰメッセージ１２０には、端末７がＩＰｓｅｃ用いてルータ２ａにパケットを送信するときに使用するＳＡの情報が含まれる。
【００５２】
認証基盤５では、端末７から受信したＳＩＰメッセージ１２０の送信元と宛先のＳＩＰ−ＵＲＩを参照して、両者の接続の可否を判定し、接続可能と判定されれば、ルータ２ａに転送する（ＳＩＰメッセージ１２１）。
【００５３】
ルータ２ａは、ＳＩＰメッセージ１２１を受信すると、ＳＰＤ２３２を検索し、受信したＳＩＰメッセージ１２１のパケットが、ＩＰｓｅｃの適用対象となっていないことを確認する。次いで、ルータ２ａは、ＳＩＰメッセージ１２１の宛先のＳＩＰ−ＵＲＩを参照し、該当するＳＩＰ−ＵＲＩがログイン済みユーザデータベース２５ａに登録されているか否かを確認する。所定のＳＩＰ−ＵＲＩがログイン済みデータベース２５ａに登録されていることが確認できると、認証基盤クライアント部２４ａは、端末７に対して接続を許可する旨を通知するＳＩＰメッセージ１２２を生成し、認証基盤５に送信する。なお、ＳＩＰメッセージ１２２には、ルータ２ａがＩＰｓｅｃ用いて端末７にパケットを送信するときに使用するＳＡの情報が含まれる。
認証基盤５は、ルータ２ａからＳＩＰメッセージ１２２を受信すると、それを端末７に転送する（ＳＩＰメッセージ１２３）。
【００５４】
ルータ２ａは、認証基盤５にＳＩＰメッセージ１２２を送信した後、端末７にパケットを暗号化して送信するときに使用するＳＡ、および端末７から暗号化されたパケットを受信するときに使用するＳＡを、ＳＡＤ２３３に登録する。
【００５５】
端末７は、ＳＩＰメッセージ１２３を受信すると、ＳＩＰのＡＣＫメッセージ１２４を認証基盤に送信する。
認証基盤５は、ルータ２ａからＳＩＰメッセージ１２４を受信すると、それをルータ２ａに転送する（ＳＩＰメッセージ１２５）。
【００５６】
端末７は、ＳＩＰメッセージ１２４を送信した後、暗号化されたデータパケット１２６を送信する。このデータパケット１２６は、認証基盤５を経由せずに、ルータ２ａに直接伝送される。
【００５７】
ルータ２ａは、データパケット１２６を受信すると、ＳＡＤ２３３を検索して、データパケット１２６に対するＳＡを求め、そのＳＡに従ってデータパケット１２６を復号する。次いで、ルータ２ａは、ＳＰＤ２３２を検索して、データパケット１２６に対するセキュリティポリシーを求め、実際にデータパケット１２６に対して適用されていたセキュリティポリシーがＳＰＤ２３２に登録されているものと一致することを確認する。セキュリティポリシーが一致することが確認できれば、ルータ２ａは、データパケット１２６を復号したパケット１２７を、端末３に送信する。
【００５８】
以下、ルータの動作フローについて図９ないし図１６を用いて説明する。ここで、図９は、端末がルータに対して物理的な接続を確立したときの動作を表すフローチャートである。
【００５９】
待ち受け状態（Ｓ１０００）にあるルータ２ａは、端末３との間で、物理的な接続が確立されると、端末３に対して、内部認証に必要な情報を要求するパケットを送信し（Ｓ１００１）、端末３からの認証情報を含むパケットを待ち受ける。ルータ２ａは端末３から認証情報を含むパケットを受信すると（Ｓ１００２）、そのパケットを内部認証サーバ４ａに転送し（Ｓ１００３）、内部認証サーバ４ａからの応答を待ち受ける。ルータ２ａは内部認証サーバからの応答を受信し（Ｓ１００４）、応答内容を判定する（Ｓ１００５）。ステップ１００５で、その内容が接続を拒否する内容である場合には、その応答を端末３に転送し（Ｓ１０２１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００６０】
ルータ２ａは、ステップ１００５で、内部認証サーバからの応答が、さらに認証情報を要求する内容である場合には、その応答を端末３に転送し（Ｓ１０３１）、端末３からの新たな認証情報を含むパケットを待ち受ける。ルータ２ａは、ステップ１００５で、内部認証サーバからの応答が端末３の接続を許可する内容である場合には、端末３が接続されたＬＡＮポートから他のポートへのパケット転送を有効化し（Ｓ１００６）、端末３に応答メッセージを転送する（Ｓ１００７）。
【００６１】
次いで、ルータ２ａは、ユーザＩＤデータベース２７ａを検索し（Ｓ１００８）、内部認証パケットから取得したＬＡＮ内部での利用者識別情報に対する、ＳＩＰ−ＵＲＩを求める（Ｓ１００９）。ステップ１００９で、ＳＩＰ−ＵＲＩが登録されていない場合には、その時点でログイン処理を中止し、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。ステップ１００９でＳＩＰ−ＵＲＩが登録されている場合には、ルータ２ａは公開鍵暗号処理部２６ａにて、所定のＳＩＰ−ＵＲＩに対応する公開鍵証明書を検索するとともに、電子署名を生成する（Ｓ１０１０）。
【００６２】
ルータ２ａは、公開鍵証明書検索・電子署名の生成を判定し（Ｓ１０１１）、所定の公開鍵証明書が存在しない、もしくは電子署名の生成に失敗した場合には、その時点でログイン処理を中止し、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。ステップ１０１１で所定の公開鍵証明書が存在し、かつ電子署名の生成も正常に完了した場合には、ルータ２ａは認証基盤５に対してログインを要求するメッセージを送信し（Ｓ１０１２）、認証基盤５からの応答メッセージを待ち受ける。
【００６３】
ルータ２ａは、認証基盤５からの応答を受信し（Ｓ１０１３）、ログインに成功したか判定する（Ｓ１０１４）。認証基盤５からの応答が、ログインに失敗したことを示すものである場合には、ルータ２ａはその時点でログイン処理を中止し、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００６４】
ルータ２ａは、ステップ１０１４で認証基盤５からの応答が、ログインに成功したことを示すものである場合には、ログイン済みユーザデータベース２５ａを更新し（Ｓ１０１５）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００６５】
図１０はルータが配下の端末からデータパケットを受信したときの動作を表すフローチャートである。図１０において、待ち受け状態（Ｓ１０００）にあるルータ２ａは、配下の端末３からデータパケットを受信すると、まずＳＰＤ２３２を検索し、受信したパケットに該当するセキュリティポリシーを取得する（Ｓ１１０１）。ルータ２ａは、セキュリティポリシーを参照する（Ｓ１１０２）。
【００６６】
ステップ１１０２でセキュリティポリシーがパケット破棄である場合には、ルータ２ａは、受信したデータパケットを破棄し（Ｓ１１２１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。ステップ１１０２でセキュリティポリシーがバイパスである場合には、ルータ２ａは、受信したデータパケットをそのまま宛先に転送する（Ｓ１１１２）。
【００６７】
ステップ１１０２でセキュリティポリシーがＩＰｓｅｃ適用である場合には、ルータ２ａは、ＳＡＤ２３３を検索し、受信したデータパケットに適用すべきＳＡを求める（Ｓ１１０３）。ルータ２ａはＳＡの存在を判定する（Ｓ１１０４）。ステップ１１０４で適用すべきＳＡが存在する場合には、ルータ２ａは、図１３を用いて後述する丸数字３から丸数字６のステップを経た後、データパケットを暗号化し（Ｓ１１１１）、宛先に転送（Ｓ１１１２）した後、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００６８】
ステップ１１０４で適用すべきＳＡが存在しない場合には、ルータ２ａは、ログイン済みユーザデータベース２５ａを検索し、データパケットの送信元の端末の利用者が使用するＳＩＰ−ＵＲＩを求める（Ｓ１１０５）。ルータ２ａはＳＩＰ−ＵＲＩの存在を判定する（Ｓ１１０６）。ステップ１１０６で所定のＳＩＰ−ＵＲＩが存在しない場合には、ルータ２ａは、受信したデータパケットを破棄し（Ｓ１１２１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００６９】
ステップ１１０６で所定のＳＩＰ−ＵＲＩが存在する場合には、ルータ２ａは、そのＳＩＰ−ＵＲＩを送信元に設定した接続要求のＳＩＰメッセージを認証基盤５に送信し（Ｓ１１０７）、認証基盤５からの応答メッセージを待ち受ける。ルータ２ａは認証基盤５からの応答を受信したとき（Ｓ１１０８）、接続が許可されたか判定する（Ｓ１１０９）。ステップ１１０９で、接続を拒否する内容のものである場合には、ルータ２ａは、受信したデータパケットを破棄し（Ｓ１１２１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７０】
ステップ１１０９で、認証基盤５からの応答が、接続を許可する内容のものである場合には、ルータ２ａは、接続要求およびその応答のＳＩＰメッセージによって交換されたＳＡを、ＳＡＤ２３３に設定する（Ｓ１１１０）。次いで、ルータ２ａは、そのＳＡを適用してデータパケットを暗号化し（Ｓ１１１１）、宛先に転送（Ｓ１１１２）した後、次のパケットを待ち受ける状態（Ｓ１０００）に戻る。
【００７１】
図１１は、認証基盤から接続要求のＳＩＰメッセージを受信したときのルータの動作を表すフローチャートである。図１１において、待ち受け状態（Ｓ１０００）にあるルータ２ａは、接続を要求するＳＩＰメッセージを認証基盤５から受信すると、ログイン済みユーザデータベース２５ａを検索し（Ｓ１２０１）、受信したＳＩＰメッセージの宛先に指定されているＳＩＰ−ＵＲＩが登録されているか否かを調べる（Ｓ１２０２）。ステップ１２０２で所定のＳＩＰ−ＵＲＩが登録されていない場合には、ルータ２ａは、認証基盤５にログインしていないＬＡＮ内の利用者への接続要求と判断し、接続要求の送信元に対して接続を拒否する応答メッセージを生成して（Ｓ１２１１）、認証基盤５に送信し（Ｓ１２０５）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７２】
ステップ１２０２で所定のＳＩＰ−ＵＲＩが登録されている場合には、ルータ２ａは、受信したＳＩＰメッセージに含まれるＳＡおよび応答メッセージに含めるＳＡを、ＳＡＤ２３３に設定する（Ｓ１２０３）。次いで、ルータ２ａは、接続要求の送信元に対して接続を許可する内容の応答メッセージを生成して（Ｓ１２０４）、認証基盤５に送信し（Ｓ１２０５）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７３】
図１２は、ネットワークからＩＰｓｅｃが適用されたデータパケットを受信したときのルータの動作を表すフローチャートである。図１２において、待ち受け状態（Ｓ１０００）にあるルータ２ａは、データパケットをネットワーク１から受信すると、まずＳＡＤ２３３を検索し（Ｓ１３０１）、受信したデータパケットに適用されているＳＡが登録されているか否かを調べる（Ｓ１３０２）。ステップ１３０２で、該当するＳＡが存在しない場合には、ルータ２ａは、受信したデータパケットを破棄し（Ｓ１３１１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７４】
ステップ１３０２でＳＡが存在する場合には、ルータ２ａはそのＳＡに従ってデータパケットの復号処理を行う（Ｓ１３０３）。次いで、ルータ２ａは、ＳＰＤ２３２を検索して、受信したパケットに該当するセキュリティポリシーを求め（Ｓ１３０４）、受信したパケットに実際に適用されていたＩＰｓｅｃのポリシーと一致しているかを比較する（Ｓ１３０５）。ステップ１３０５でＩＰｓｅｃのポリシーが一致していない場合には、ルータ２ａは、データパケットを破棄し（Ｓ１３１１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７５】
ステップ１３０５でＩＰｓｅｃのポリシーが一致している場合には、ルータ２ａは、データパケットを宛先に転送し（Ｓ１３０６）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７６】
図１３はＳＡを適用して暗号化または復号化する際に実施するソフト有効期間を判定するルータの動作を表すフローチャートである。なお、図１３は、図１０との関係で、暗号化する際として説明するが、復号化する際にも同様に適用できる。
【００７７】
ＳＡを適用するルータ２ａは、適用に先立ってＩＰｓｅｃ ＳＡのソフト有効期限が満了したか判定する（Ｓ１４０１）。ステップ１４０１でＮｏならば図１０のデータパケット暗号化のステップ１１１１に遷移する。
【００７８】
ステップ１４０１でＹｅｓならば、ルータ２ａは、通信相手に対して再接続を要求するＳＩＰメッセージを認証基盤５に送信し（Ｓ１４０２）、認証基盤５からの応答メッセージを待ち受ける。ルータ２ａは、認証基盤５からの応答メッセージを受信し（Ｓ１４０３）、再接続が許可されたか判定する（Ｓ１４０４）。ステップ１４０４で認証基盤５からの応答が、接続を拒否する内容のものである場合には、ルータ２ａは、受信したデータパケットを破棄し、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７９】
ステップ１４０４で認証基盤５からの応答が、接続を許可する内容のものである場合には、ルータ２ａは、再接続要求およびその応答のメッセージによって交換されたＳＡをＳＡＤ２３３に設定する（Ｓ１４０５）。図１０に戻って、そのＳＡを適用してデータパケットを暗号化し（Ｓ１１１１）、宛先に転送（Ｓ１１１２）した後、次のパケットを待ち受ける状態（Ｓ１０００）に戻る。
【００８０】
図１４はＩＰｓｅｃ ＳＡのハード有効期間が満了した際のルータの動作を説明するフローチャートである。図１４において、ルータ２ａは待ち受け状態に遷移する前に、一旦ハード有効期間を監視する。満了を検出すると（Ｓ１４１１）、ルータ２ａは、通信相手に対して通信終了を要求するＳＩＰメッセージを認証基盤５に送信し（Ｓ１４１２）、認証基盤５からの応答メッセージを待ち受ける。認証基盤５からの応答メッセージを受信すると（Ｓ１４１３）、ルータ２ａは、該当するＳＡをＳＡＤ２３３から削除し（Ｓ１４１４）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８１】
図１５は、認証基盤へのログインの有効期間が満了したときのルータの動作を表すフローチャートである。図１５において、ルータ２ａは待ち受け状態に遷移する前に、一旦認証基盤へのログインの有効期間を監視する。満了を検出すると（Ｓ１５００）、ルータ２ａは、公開鍵暗号処理部２６ａにて、所定のＳＩＰ−ＵＲＩに対応する公開鍵証明書を検索するとともに、電子署名を生成する（Ｓ１５０１）。ルータ２ａは、検索および電子署名の生成が正常に完了したか確認する（Ｓ１５０２）。ステップ１５０２で、所定の公開鍵証明書が存在しない、もしくは電子署名の生成に失敗した場合には、ルータ２ａは、ログイン済みユーザデータベース２５ａから、該当する利用者のエントリを削除し（Ｓ１５１１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８２】
ステップ１５０２で、所定の公開鍵証明書が存在し、かつ電子署名の生成も正常に完了した場合には、ルータ２ａは、認証基盤５に対して再ログインを要求するメッセージを送信し（Ｓ１５０３）、認証基盤５からの応答メッセージを待ち受ける。ルータ２ａは、認証基盤５からの応答メッセージを受信し（Ｓ１５０４）、再ログインに成功したか確認する（Ｓ１５０５）。ステップ１５０５で、認証基盤５からの応答が、再ログインに失敗したことを示すものである場合には、ルータ２ａは、ログイン済みユーザデータベース２５ａから、該当する利用者のエントリを削除し（Ｓ１５１１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８３】
ステップ１５０５で、認証基盤５からの応答が、ログインに成功したことを示すものである場合には、ルータ２ａは、ログイン済みユーザデータベース２５ａの、該当する利用者のエントリを更新し（Ｓ１５０６）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８４】
図１６は、端末との物理リンクが切断されたときのルータの動作を表すフローチャートである。図１６において、待ち受け状態（Ｓ１０００）にあるルータ２ａは、接続している端末との物理リンクが切断されると、ログイン済みユーザデータベース２５ａを検索し、物理リンクが切断されたＬＡＮポートに接続していた利用者のＳＩＰ−ＵＲＩを求める（Ｓ１６０１）。ログイン済みユーザデータベース２５ａに該当するエントリが存在するかどうか確認し（Ｓ１６０２）、存在しない場合には、ルータ２ａは、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８５】
ステップ１６０２で、ログイン済みユーザデータベース２５ａに該当するエントリが存在する場合には、ルータ２ａは、認証基盤５に対してログアウトを要求するＳＩＰメッセージを送信し（Ｓ１６０３）、認証基盤５からの応答メッセージを待ち受ける。認証基盤５からの応答を受信すると（Ｓ１６０４）、ルータ２ａは、ログイン済みユーザデータベース２５ａから、該当するエントリを削除し（Ｓ１６０５）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８６】
なお、ルータ２ａのうち、ＬＡＮポート２０、ＷＡＮポート２１、ポート制御部２２を除いた部分の機能は、ＣＰＵおよびメモリにより構成し、その上で図９ないし図１６のフローチャートに示す手順を実行するプログラムを動作させることによっても実現可能であり、必ずしも図２に示す構成をとらなくても良い。
（実施例２）
図１７は実施例２のシステム構成を示すブロック図である。なお、前述した実施例１と同一の構成には同一の符号を付し、その詳細な説明は省略する。
ルータ２ｂには、端末３およびユーザＩＤデータベースサーバ２７ｂが、ＬＡＮスイッチ８を介して接続されている。また、内部認証サーバ４ｂおよびハードウェアセキュリティモジュール（ＨＳＭ）２６ｂが、ルータ２ｂに直接接続されている。これらの機器によって、ＬＡＮ１０ｂが構成されている。
【００８７】
図１８はルータの制御ブロック図である。図２において、ルータ２ｂは、ＬＡＮポート２０、ＷＡＮポート２１、ポート制御部２２、ＩＰ処理部２３、認証基盤クライアント部２４ｂ、ログイン済みユーザデータベース２５ｂ、により構成される。
【００８８】
認証基盤クライアント部２４ｂは、認証基盤５に対してログインおよびログアウトを行うためのメッセージの生成、認証基盤５を介して通信相手に自身との接続を要求するメッセージの生成、および認証基盤５を介して通信相手から受信した自身への接続を要求するメッセージの解析とそれに対する応答メッセージの生成を行う。また、認証基盤クライアント部２４ｂは、上述したメッセージの生成や解析のため、ログイン済みユーザデータベース２５ｂ、ＨＳＭ２６ｂ、ならびにユーザＩＤデータベースサーバ２７ｂと通信を行う機能を有する。
【００８９】
ログイン済みユーザデータベース２５ｂは、認証基盤５に対するログインに成功したユーザが収容されている仮想ＬＡＮ（ＶＬＡＮ）の識別情報と、当該ユーザが認証基盤５に対して使用するＳＩＰ−ＵＲＩとの対照表２５０ｂと、対照表２５０ｂの読み出しや書き換えを行うソフトウェアによって構成されている。
【００９０】
図１９は対照表の内容を説明する図である。図１９において、対照表２５０ｂは、ＶＬＡＮ識別情報を記録する領域２５１ｂと、ＬＡＮ１０ｂの利用者が認証基盤５に対して使用するＳＩＰ−ＵＲＩを記録する領域２５２と、認証基盤５へのログインの有効期限を記録する領域２５３を有する。
【００９１】
図１７に戻って、ＨＳＭ２６ｂは、実施例１における公開鍵暗号処理部２６ａと同一の内部構成および機能を有する、ルータとは独立した装置である。
ユーザＩＤデータベースサーバ２７ｂは、ＣＰＵ、メモリおよび入出力装置からなる計算機であり、実施例１におけるユーザＩＤデータベース２７ａと同一の機能を有する。
【００９２】
内部認証サーバ４ｂは、実施例１における内部認証サーバ４ａの機能に加え、認証に成功した各利用者に対して個別のＶＬＡＮを割り当てる機能を有する。
ＬＡＮスイッチ８は、ＭＡＣアドレスを参照してパケットの転送を行う装置で、端末機器を接続するポートを複数備える。さらに、ＬＡＮスイッチ８は、ポートに端末機器が接続されたときに、内部認証サーバ４ｂと連携して、接続された機器の利用者を認証し、認証に成功した場合には、当該端末機器を、内部認証サーバ４ｂによって割り当てられたＶＬＡＮに収容する機能を有する。
【００９３】
ＬＡＮ１０ｂは、１台の端末は同時に１人の利用者しか利用できないこととし、また端末は必ずＬＡＮスイッチ８に接続し、かつ端末がＬＡＮスイッチ８に接続されたときには必ず認証を受けるよう運用する。これにより、ルータ２ｂでは、ＬＡＮポートから入力されたパケットに付加されているＶＬＡＮ識別情報から、そのパケットを送信した利用者を特定することができる。
【００９４】
図２０は、端末がＬＡＮスイッチに接続されたときの各部位の動作を表すシーケンス図である。図２０において、端末３とＬＡＮスイッチ８の物理的な接続が確立されると、ＩＥＥＥ ８０２．１ｘで定められた手順に従って、ＬＡＮスイッチ８が端末３の使用者を認証する。具体的には、まず、ＬＡＮスイッチが端末３に対して、ＬＡＮ１０ｂ内で用いられる利用者識別情報の入力を要求するパケットを送信し（パケット１５１）、これに対し、端末３の利用者が自身の利用者識別情報を入力する。入力された利用者識別情報は、ＬＡＮスイッチ８およびルータ２ｂを経由して、内部認証サーバ４ｂに伝送される（パケット１５２、１５３、１５４）。
【００９５】
内部認証サーバ４ｂは、利用者識別情報を受信すると、チャレンジと呼ばれる乱数を、ルータ２ｂおよびＬＡＮスイッチ８を経由して端末３に送信する（パケット１５５、１５６、１５７）。
【００９６】
チャレンジを受け取った端末３の利用者は、自身のパスワードを入力する。端末３は、内部認証サーバ４ｂから受け取ったチャレンジと、利用者から入力されたパスワードを用いて、所定の計算方法に従ってレスポンスと呼ばれる値を計算し、それをＬＡＮスイッチ８およびルータ２ｂ経由で内部認証サーバ４ｂに送信する（パケット１５８、１５９、１６０）。
【００９７】
内部認証サーバ４ｂでは、事前に登録されたＩＤ・パスワードデータベース４０を参照して、先に受け取った利用者識別情報に対応するパスワードを取得し、これと端末３に送信したチャレンジからレスポンスを計算する。
【００９８】
次いで、計算したレスポンスと端末３から受信したレスポンスとを比較し、両者が一致していれば、パケット１５４にて通知された識別情報を使用する利用者本人に相違ないと判定し、接続を許可する旨を通知するパケット１６１を、ルータ２ｂに送信する。このパケット１６１には、内部認証サーバ４ｂが割り当てたＶＬＡＮの識別情報が含まれる。
【００９９】
ルータ２ｂは、内部認証サーバ４ｂからパケット１６１を受信すると、それをＬＡＮスイッチ８を経由して端末３に転送（パケット１６２、１６３）するとともに、認証基盤５に対して、ログインを行う。
【０１００】
まず、ルータ２ｂの内部の認証基盤クライアント部２４ｂが、パケット１６１に含まれる利用者識別情報を取得し、それに対応するＳＩＰ−ＵＲＩを、ユーザＩＤデータベースサーバ２７ｂから取得する（パケット１６４、１６５）。
次に、認証基盤クライアント部２４ｂは、取得したＳＩＰ−ＵＲＩを用いて、ログインを要求するＳＩＰメッセージを生成し、当該利用者の公開鍵証明書、および電子署名の生成を、ＨＳＭ２６ｂに対して要求する（パケット１６６）。
【０１０１】
ＨＳＭ２６ｂは、指定されたＳＩＰ−ＵＲＩに対応する公開鍵証明書と秘密鍵を取り出し、電子署名を生成したのち、公開鍵証明書および電子署名をルータ２ｂの認証基盤クライアント部２４ｂに渡す（パケット１６７）。
認証基盤クライアント部２４ｂは、ＨＳＭ２６ｂから公開鍵証明書と電子署名を取得すると、それらをログイン要求のＳＩＰメッセージに付加して、認証基盤５に送信する（パケット１６８）。
【０１０２】
ルータ２ｂは、認証基盤５から、ログインに成功したことを通知するＳＩＰメッセージ（パケット１６９）を受信すると、端末３が収容されているＶＬＡＮの識別情報と、端末３の利用者のＳＩＰ−ＵＲＩとを対応付けて、ログイン済みユーザデータベース２５ｂに登録する。
【０１０３】
認証基盤５へのログインに成功した端末３の利用者が、アプリケーションサーバ６や端末７と通信を行うときの動作シーケンスは、図７および図８に示す実施例１と同じである。ただし、ログイン済みユーザデータベースの検索のときに、ルータのＬＡＮポート番号の代わりに、ＶＬＡＮ識別情報を用いる点が異なる。
【０１０４】
ルータ２ｂの動作フローに関しては、実施例１におけるルータ２ａと比較して、ＳＩＰ−ＵＲＩの検索や、公開鍵証明書および電子署名を要求する対象が異なるが、動作フロー自体は、図９ないし図１６と同一である。
【０１０５】
本実施例では、端末を直接ルータに接続するのではなく、ＬＡＮスイッチを介して接続し、またＬＡＮの利用者全員の情報が記録されたデータベースおよび公開鍵証明書を、ルータの外部で保持することにより、実施例１と比較して、より多数の利用者が存在する場合に対応することが可能である。
【図面の簡単な説明】
【０１０６】
【図１】システム構成を示すブロック図である。
【図２】ルータの制御ブロック図である。
【図３】対照表の内容を説明する図である。
【図４】対照表を説明する図である。
【図５】対照表の内容を説明する図である。
【図６】端末３をルータ２ａに接続したときの通信および動作を説明するシーケンス図である。
【図７】端末がアプリケーションサーバに接続を要求するときの動作を表すシーケンス図である。
【図８】ルータが発信端末からルータ配下の着信端末への接続要求を受信したときの動作を表すシーケンス図である。
【図９】端末がルータに対して物理的な接続を確立したときの動作を表すフローチャートである。
【図１０】ルータが配下の端末からデータパケットを受信したときの動作を表すフローチャートである。
【図１１】認証基盤から接続要求のＳＩＰメッセージを受信したときのルータの動作を表すフローチャートである。
【図１２】ネットワークからＩＰｓｅｃが適用されたデータパケットを受信したときのルータの動作を表すフローチャートである。からデータパケットを受信したときのルータの動作手順を示すフローチャート。
【図１３】ＳＡを適用して暗号化または復号化する際に実施するソフト有効期間を判定するルータの動作を表すフローチャートである。
【図１４】ＩＰｓｅｃ ＳＡのハード有効期間が満了した際のルータの動作を説明するフローチャートである。
【図１５】認証基盤へのログインの有効期間が満了したときのルータの動作を表すフローチャートである。
【図１６】端末との物理リンクが切断されたときのルータの動作を表すフローチャートである。
【図１７】システム構成を示すブロック図である。
【図１８】ルータの制御ブロック図である。
【図１９】対照表の内容を説明する図である。
【図２０】端末がＬＡＮスイッチに接続されたときの各部位の動作を表すシーケンス図である。
【符号の説明】
【０１０７】
１…ネットワーク、２…ルータ、３…端末、４…内部認証サーバ、５…認証基盤、６…アプリケーションサーバ、７…端末、８…ＬＡＮスイッチ、１０…ＬＡＮ、２０…ＬＡＮポート、２１…ＷＡＮポート、２２…ポート制御部、２３…ＩＰ処理部、２４…認証基盤クライアント部、２５…ログイン済みユーザデータベース、２６ａ…公開鍵暗号処理部、２６ｂ…ＨＳＭ、２７ａ…ユーザＩＤデータベース、２７ｂ…ユーザＩＤデータベースサーバ、２３０…ルーティング処理部、２３１…パケット暗号化・復号処理部、２３２…ＳＰＤ、２３３…ＳＡＤ、２３４…パケット保持部、２５０ａ…ＬＡＮポート番号とＳＩＰ−ＵＲＩとの対照表、２５０ｂ…ＶＬＡＮ識別情報とＳＩＰ−ＵＲＩとの対照表、２６０…電子署名生成処理部、２６１…公開鍵証明書・公開鍵・秘密鍵保管部、２７０…ＬＡＮ内部で用いられる利用者識別情報とＳＩＰ−ＵＲＩとの対照表、４００…ＬＡＮ内部で用いられる利用者識別情報とパスワードとの対照表。
【技術分野】
【０００１】
本発明は、ネットワーク接続システム、ネットワーク装置およびプログラムに関し、特に利用者の認証を行う機能を有するネットワークに対して、複数の端末機器を接続するためのシステム、装置およびプログラムに関する。
【背景技術】
【０００２】
近年、ネットワークにおける情報漏洩やコンピュータへの不正なアクセスなど、情報セキュリティに対する脅威が大きな問題となっている。これらの脅威に対し、従来では利用者自身が対策を行ってきたが、脅威の種類が増加し、また対策に高度な技術が求められるようになり、利用者自身による十分な対策は困難になりつつある。
【０００３】
これに対し、誰もが安全な通信を行うことができるよう、非特許文献１のような、ネットワークが安全な通信の確立を代行する機能を有する技術の開発が進められている。この技術は、ネットワーク上の認証基盤が、通信を行う二者を認証して各々の本人性を確認し、かつ各々の属性が相手の通信を許可する条件を満たしていると判断される場合にのみ、両者の通信を確立する、というものである。
【０００４】
ところで、上記の認証基盤を利用するためのクライアント機能（以下、認証基盤クライアント機能）を個別の端末が具備する場合、認証基盤クライアント機能を有するプログラムを端末に導入する作業、および利用者が所望のアプリケーションプログラムを用いて認証が必要なサービスを利用するときに認証基盤クライアント機能が正しく動作することを検証する作業が必要になる。
【０００５】
一方、ＬＡＮ (Local Area Network)が利用できる環境であれば、ＬＡＮ内部のコンピュータをインターネットに接続するためのゲートウェイ装置やルータ装置が、認証基盤クライアント機能を具備する方法も考えられる。例えば、家庭で用いられている既存のルータ装置は、インターネットに宛てて送信されたパケットを捕捉し、これを契機としてＩＳＰ(Internet Service Provider)からインターネットへの接続の許可を得るための認証を、利用者に代わって受ける機能を有する。これらの既存の装置では、認証のための通信プロトコルとしてＰＰＰ (Point-to-Point Protocol)を、また認証情報として装置内に設定された利用者の識別情報およびパスワードを用いているが、これらを認証基盤に準拠した通信プロトコルおよび認証情報に変更すれば、認証基盤クライアント機能を実現することができる。
【０００６】
この方式を用いれば、認証基盤クライアント機能の導入や動作検証に関わる作業が不要となり、端末装置に変更を加えることなく、認証基盤を利用することが可能になる。
また、特許文献１および特許文献２には、シングルサインオンシステムが開示されている。
【０００７】
【特許文献１】特開２０００−２５９５６６号公報
【特許文献２】特開２００５−０１１０９８号公報
【非特許文献１】鍛、外４名、”セキュアサービスプラットフォームにおけるセキュア通信確立モデル”情報処理学会研究報告、2005-CSEC-28、Vol.2005、No.33 PP151〜156
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかし、ルータ装置などが認証基盤クライアント機能を具備するシステムでは、認証基盤はルータ装置を認証することになり、ルータ装置の配下にあるアクセス元の個々の利用者を認証することができない。このことを悪用すると、ルータ装置の配下にあるＬＡＮに許可なく接続し、ルータ装置を介して認証基盤による認証を受けることが可能になり、情報セキュリティの観点からは大きな問題となる。
【０００９】
これに対し、アプリケーションレベルゲートウェイ（ＡＬＧ）と呼ばれる装置を用いれば、配下の利用者の内部認証を行った上で、インターネットに接続し、認証基盤による認証を受けることが可能になる。特許文献１または特許文献２にて開示されているシングルサインオンシステムも、本方式を利用して実現している。
【００１０】
しかし、ＡＬＧは特定のアプリケーションのパケットのみを一旦捕捉して外部のアプリケーションサーバ装置に転送するため、利用者が用いるアプリケーションの数だけＡＬＧを用意する必要がある。また、ＡＬＧが対応していないアプリケーションを利用して外部と通信を行う際には、利用者の内部認証を行うことができない。
【課題を解決するための手段】
【００１１】
ある利用者が端末をＬＡＮに接続した際のＬＡＮ内部での認証に成功したことを通知する内部認証パケットの受信を契機として、内部認証パケットに含まれる利用者の識別情報を基に、利用者が認証基盤に対して提示する認証情報を取得することにより、利用者が認証基盤による認証を受けるためのメッセージを、利用者の代理で認証基盤に送信し、認証基盤による認証に成功した場合に限り、内部認証パケットを受信した際に得られる、利用者が利用している端末機器の識別情報と、利用者が認証基盤に対して用いる利用者識別情報とを、対応付けて保持する。
【００１２】
ＬＡＮ内部の端末機器から外部の端末機器に向けて送信されるデータパケットの受信を契機として、データパケットを受信した際に得られる端末機器の識別情報から、認証基盤による認証に成功した際に対応付けられた利用者識別情報を取得することにより、利用者から通信相手への接続要求を、利用者の代理で認証基盤に送信し、接続が許可された後に、データパケットを宛先に転送する。
【００１３】
また、外部の端末機器からＬＡＮ内部の端末機器に向けた接続要求パケットの受信を契機として、接続要求パケットの宛先に指定された利用者識別情報が、認証基盤による認証に成功して端末機器の識別情報と対応付けた形で保持されているか否かを確認し、利用者識別情報が保持されている場合には、接続要求パケットの送信元に対して、接続を許可するパケットを、ＬＡＮ内部の端末機器の代理で送信する。一方、利用者識別情報が保持されていない場合には、接続要求パケットの送信元に対して、接続を拒否するパケットを、ＬＡＮ内部の端末機器の代理で送信する。
【発明の効果】
【００１４】
本発明によれば、利用者は、既存の端末がＬＡＮ内部での認証を受ける機能を有していれば、それに変更を加えることなく、またアプリケーションの種類に依存せずに認証基盤を利用することができる。また、認証基盤または接続先は、ルータ装置の配下にある利用者を個別に認証することが可能になる。
【発明を実施するための最良の形態】
【００１５】
以下、本発明の実施の形態について実施例を用いて図面を参照して説明する。
（実施例１）
図１は実施例１のシステム構成を示すブロック図である。図１において、ネットワーク１は、不特定多数の利用者が利用することができる通信網である。ネットワーク１には、通信機器としてルータ２ａ、端末７およびアプリケーションサーバ６が接続されている。また、ネットワーク１には、ネットワーク１の利用者の認証を行う認証基盤５が接続されている。ルータ２ａには、端末３および内部認証サーバ４ａが接続され、これらの機器によって特定の利用者のみに利用を許可するＬＡＮ１０ａを構成している。内部認証サーバ４ａは、ＩＤ・パスワードデータベース４０を保持している。
【００１６】
図２はルータの制御ブロック図である。図２において、ルータ２ａは、ＬＡＮポート２０、ＷＡＮポート２１、ポート制御部２２、ＩＰ処理部２３、認証基盤クライアント部２４ａ、ログイン済みユーザデータベース２５ａ、公開鍵暗号処理部２６ａ、ユーザＩＤデータベース２７ａにより構成される。
【００１７】
ＬＡＮポート２０は、１個以上の物理インタフェースにより構成され、各々の物理インタフェースには端末等の通信機器を接続することができる。ＷＡＮポート２１は、物理インタフェースであり、ネットワーク１に接続されている。ポート制御部２２は、ＬＡＮポート２０およびＷＡＮポート２１から入力されたパケットをＩＰ処理部２３に転送し、ＩＰ処理部２３からのパケットをＬＡＮポート２０あるいはＷＡＮポート２１に振り分けて送出する機能部分であり、パケットが入力されたＬＡＮポートの情報を取得する。
【００１８】
ＩＰ処理部２３は、ＣＰＵ等の演算部、メモリ等の記憶部およびそれらの上で動作するソフトウェアにより構成され、ルーティング処理部２３０、データパケット暗号化・復号処理部２３１、セキュリティポリシーデータベース（ＳＰＤ）２３２、セキュリティアソシエーションデータベース（ＳＡＤ）２３３、パケット保持部２３４を有する。ルーティング処理部２３０は、ＬＡＮポートまたはＷＡＮポートから受信したバケットの宛先のＩＰアドレスを参照し、当該パケットを次の転送先に送信する。データパケット暗号化・復号処理部２３１は、ＩＰｓｅｃ（Security Architecture for the Internet Protocol）に従って、ＬＡＮ１０aの端末から受信してネットワーク１に送信されるパケットの暗号化を行う。また、ネットワーク１から受信してＬＡＮ１０aの端末に送信されるパケットの復号を行う。
【００１９】
ＳＰＤ２３２は、セキュリティポリシー、すなわち、ＩＰパケットに対して、ＩＰｓｅｃを適用、バイパス（ＩＰｓｅｃを適用せずにパケットを転送）、またはパケット破棄のうち、どの処理を行うかを記述したデータベースである。ＳＰＤ２３２では、パケットを分類するための情報として、パケットの始点ＩＰアドレス、終点ＩＰアドレス、トランスポート層プロトコル、送信元ポート番号および宛先ポート番号を用い、各々の分類に対して適用すべき処理が記載されている。
【００２０】
ＳＡＤ２３３は、セキュリティアソシエーション（ＳＡ）と呼ばれる、２つの通信機器の間で設定されたＩＰｓｅｃによる通信に必要な一連のパラメータを記述したデータベースである。ＳＡは、終点ＩＰアドレス、セキュリティプロトコル、およびセキュリティパラメータインデックス（ＳＰＩ）と呼ばれる識別番号によって一意に識別される。また、ＳＡのパラメータとしては、カプセル化モード、暗号鍵、認証アルゴリズム、認証鍵、有効期間、などが挙げられる。
【００２１】
パケット保持部２３４は、メモリ等の記憶部により構成され、受信したパケットを一時的に保持する。
認証基盤クライアント部２４ａは、ＣＰＵ等の演算部、メモリ等の記憶部およびそれらの上で動作するソフトウェアにより構成され、認証基盤５に対してログインやログアウトを行うためのメッセージの生成、認証基盤５を介して通信相手に自身との接続を要求するメッセージの生成、および認証基盤５を介して通信相手から受信した自身への接続を要求するメッセージの解析とそれに対する応答メッセージの生成を行う。また、認証基盤クライアント部２４ａは、上記メッセージの生成や解析のため、ログイン済みユーザデータベース２５ａ、公開鍵暗号処理部２６ａおよびユーザＩＤデータベース２７ａと通信を行う。
【００２２】
ログイン済みユーザデータベース２５ａは、メモリ等の記憶部により構成され、認証基盤５に対するログインに成功したユーザが接続されているＬＡＮポート２０の物理インタフェースの識別番号（以下、ＬＡＮポート番号）と、認証基盤５において当該ユーザを一意に識別するために用いられるＳＩＰ−ＵＲＩとの対照表２５０ａと、対照表２５０ａの読み出しや書き換えを行うソフトウェアにより構成されている。
【００２３】
図３はこの対照表の内容を説明する図である。図３において、対照表２５０ａは、ＬＡＮポート番号を記録する領域２５１ａと、ＬＡＮ１０ａの利用者が認証基盤５に対して使用するＳＩＰ−ＵＲＩを記録する領域２５２と、認証基盤５へのログインの有効期限を記録する領域２５３を有する。
【００２４】
図２に戻って、公開鍵暗号処理部２６ａは、公開鍵暗号方式による暗号化の演算処理を行う論理回路およびメモリにより構成され秘密鍵を用いて電子書名を生成する電子署名生成処理部２６０と、ＬＡＮを使用する利用者の公開鍵証明書および公開鍵、秘密鍵の対を保持するためのメモリ等の記憶部により構成される公開鍵証明書・公開鍵・秘密鍵保管部２６１とを有する。
【００２５】
ユーザＩＤデータベース２７ａは、メモリ等の記憶部により構成され、ＬＡＮ１０ａの内部で個々のユーザを一意に識別するために用いられる利用者識別情報と、認証基盤５において個々のユーザを一意に識別するために用いられるＳＩＰ−ＵＲＩとの対照表２７０と、対照表２７０の読み出しや書き換えを行うソフトウェアにより構成されている。
【００２６】
図４はこの対照表を説明する図である。図４において、対照表２７０は、ＬＡＮ１０ａの内部で使用される利用者識別情報を記録する領域２７１と、ＬＡＮ１０ａの利用者が認証基盤５に対して使用するＳＩＰ−ＵＲＩを記録する領域２７２を有する。
【００２７】
図１に戻って、端末３は、ＣＰＵ、メモリ、磁気ディスク装置および入出力装置を有する計算機であり、アプリケーションサーバ６または端末７と通信を行うためのアプリケーションソフトウェアが動作する。
【００２８】
内部認証サーバ４ａは、ＣＰＵ、メモリ、磁気ディスク装置およびインタフェースを有する計算機であり、各種ソフトウェアが動作することによって、ＩＤ・パスワードデータベース４０を構成している。
【００２９】
ＩＤ・パスワードデータベース４０は、ＬＡＮ１０ａで用いられる利用者識別情報と、各々の利用者が本人に相違ないことを確認するためのパスワードの対照表４００（図１には図示せず）と、対照表４００の情報の読み出しや書き換えを行うソフトウェアにより構成されている。
【００３０】
図５はこの対照表の内容を説明する図である。図５において、対照表４００は、ＬＡＮ１０ａで用いられる利用者識別情報を記録する領域４０１と、パスワードを記録する領域４０２とを有し、領域４０２の内容は、他人に知られることを防止するために、暗号化されている。
【００３１】
再び図１に戻って、認証基盤５は、ネットワーク１に接続され、１台以上の計算機によって構成されている。認証基盤５の詳細な機能については後述する。
アプリケーションサーバ６は、ＣＰＵ，メモリ、磁気ディスクおよび入出力装置からなる計算機であり、各種ソフトウェアが動作することにより、認証基盤５に対してログインおよびログアウトを行うためのメッセージの生成、認証基盤５を介して通信相手に自身との接続を要求するメッセージの生成および認証基盤５を介して通信相手から受信した自身への接続を要求するメッセージの解析とそれに対する応答メッセージの生成を行う認証基盤クライアントの機能を実現している。また、認証基盤５の利用者に対してサービスを提供するためのアプリケーションソフトウェアが動作する。
【００３２】
端末７は、ＣＰＵ，メモリ、磁気ディスクおよび入出力装置からなる計算機であり、各種ソフトウェアが動作することにより、アプリケーションサーバ６と同様の認証基盤クライアントの機能を実現している。また、端末３と通信を行うためのアプリケーションソフトウェアが動作する。
【００３３】
ＬＡＮ１０ａは、１台の端末は同時に１人の利用者しか利用できないこととし、また端末は集線装置を介さずに直接ルータ２ａに接続し、かつ端末がルータ２ａに接続されたときには必ず認証を受けるよう運用する。これにより、ルータ２ａでは、パケットが入力されたＬＡＮポートから、そのパケットを送信した利用者を特定することができる。
【００３４】
ここで、認証基盤５を利用した通信の手順を、端末７がアプリケーションサーバ６に接続して通信を行う場合を例にとって説明する。
端末７の利用者は、まず認証基盤５にログインする。具体的には、端末７が、認証基盤５に対して、利用者の公開鍵証明書および電子署名を含むＳＩＰメッセージを送信する。認証基盤５は、端末７から受信した公開鍵証明書および電子署名が、ログインを試みている利用者の本人のものであるか否かを検証する。
【００３５】
認証基盤５にて本人性が確認できた利用者は、ログインに成功し、他の認証基盤５の利用者との通信が可能な状態になる。なお、アプリケーションサーバ６においても、同様に認証基盤５へのログインを行っておく。
【００３６】
次に、端末７は、アプリケーションサーバ６に対して接続を要求するＳＩＰメッセージを、認証基盤５に送信する。認証基盤５は、接続要求メッセージを受信すると、アプリケーションサーバ６がログインしているか否かを判定し、さらに必要に応じて接続条件を満たしているか否かの判定を行う。認証基盤５は、通信を許可してよいと判断される場合には、接続要求メッセージをアプリケーションサーバ６に転送する。アプリケーションサーバ６は、接続要求メッセージを受信すると、端末７に対して接続を許可または拒否することを通知する応答メッセージを、認証基盤５に送信する。認証基盤５は、応答メッセージを受信すると、端末７に転送する。端末７は、接続を許可する内容の応答メッセージを受信すると、アプリケーションサーバ６との、認証基盤５を介さない通信を開始する。
【００３７】
なお、上記の接続要求メッセージおよび接続を許可する内容の応答メッセージには、ＩＰｓｅｃを用いた暗号化通信に必要なパラメータが含まれており、これらのメッセージの交換によって、端末７とアプリケーションサーバ６は、暗号化通信のパラメータを共有する。
【００３８】
次に、図１のシステムの動作を図６ないし図８を用いて説明する。ここで、図６は端末３をルータ２ａに接続したときの通信および動作を説明するシーケンス図である。なお、端末とルータとの接続に先立って、端末のユーザはユーザ登録を実施する。このときユーザＩＤとパスワードが内部認証サーバのＩＤ・パスワードＤＢに登録される。
【００３９】
図６において、端末３とルータ２ａの物理的な接続が確立されると、ＩＥＥＥ ８０２．１ｘで定められた手順に従って、ルータ２ａが端末３の使用者を認証する。具体的には、まず、ルータ２ａが端末３に対して、ＬＡＮ１０ａ内で用いられる利用者識別情報の入力を要求するパケット１０１を送信し、これに対し、端末３の利用者が自身の利用者識別情報（ユーザＩＤ）を入力する。入力された利用者識別情報は、ルータ２ａを経由して、内部認証サーバ４ａに伝送される（パケット１０２，１０３）。
【００４０】
内部認証サーバ４ａは、利用者識別情報を受信すると、チャレンジと呼ばれる乱数を、ルータ２ａを経由して端末３に送信する（パケット１０４，１０５）。チャレンジを受け取った端末３の利用者は、自身のパスワードを入力する。端末３は、内部認証サーバ４ａから受け取ったチャレンジと、利用者から入力されたパスワードを用いて、所定の計算方法に従ってレスポンスと呼ばれる値を計算し、それをルータ２ａ経由で内部認証サーバ４ａに送信する（パケット１０６，１０７）。
【００４１】
内部認証サーバ４ａでは、事前に登録されたＩＤ・パスワードデータベース４０を参照して、先に受け取った利用者識別情報に対応するパスワードを取得し、これと端末３に送信したチャレンジからレスポンスを計算する。次いで、計算したレスポンスと端末３から受信したレスポンスとを比較し、両者が一致していれば、パケット１０３にて通知された識別情報を使用する利用者本人に相違ないと判定し、接続を許可する旨を通知するパケット１０８を、ルータ２ａに送信する。
【００４２】
ルータ２ａは、内部認証サーバ４ａからパケット１０８を受信すると、それを端末３に転送する（パケット１０９）とともに、端末３の利用者に代わって、認証基盤５に対してログインを行う。まず、ルータ２ａの内部の認証基盤クライアント部２４ａが、パケット１０８に含まれる利用者識別情報を取得し、それに対応するＳＩＰ−ＵＲＩを、ユーザＩＤデータベース２７ａから取得する。次に、認証基盤クライアント部２４ａは、取得したＳＩＰ−ＵＲＩを用いて、ログインを要求する内容のＳＩＰメッセージを生成し、当該利用者の公開鍵証明書、および電子署名の生成を、公開鍵暗号処理部２６ａに対して要求する。公開鍵暗号処理部２６ａは、指定されたＳＩＰ−ＵＲＩに対応する公開鍵証明書と秘密鍵を取り出し、電子署名を生成したのち、公開鍵証明書および電子署名を認証基盤クライアント部２４ａに渡す。認証基盤クライアント部２４ａは、公開鍵暗号処理部２６ａから公開鍵証明書と電子署名を取得すると、それらを先に生成したログイン要求に付加したＳＩＰメッセージ１１０を、認証基盤５に送信する。
【００４３】
認証基盤５は、ログインを要求するＳＩＰパケット１１０を受信すると、メッセージに含まれる電子署名と公開鍵証明書の検証を行う。電子署名および公開鍵証明書の正当性が確認できた場合には、ログインを要求するＳＩＰメッセージ１１０に対する応答として、ログインに成功したことを通知するＳＩＰメッセージ１１１を、ルータ２ａに返送する。
ルータ２ａは、ＳＩＰメッセージ１１１を受信すると、端末３が接続されているＬＡＮポートの番号と、端末３の利用者のＳＩＰ−ＵＲＩとを対応付けて、ログイン済みユーザデータベース２５ａに登録する。
【００４４】
図７は端末がアプリケーションサーバに接続を要求するときの動作を表すシーケンス図である。図７において、端末３で動作するアプリケーションソフトウェアが、アプリケーションサーバ６を宛先とするデータパケット１１２を、ルータ２ａに対して送信する。
【００４５】
データパケット１１２を受信したルータ２ａは、データパケット１１２をパケット保持部２３４に保持した上で、ＳＰＤ２３２を検索し、データパケット１１２に対するＩＰｓｅｃの適用の要否を判定する。データパケット１１２にＩＰｓｅｃを適用する必要がある場合には、次にＳＡＤ２３３を検索し、データパケット１１２に対するＳＡを求める。この場合、必要なＳＡが存在しないので、ルータは、端末３の利用者に代わって、アプリケーションサーバ６に対して、接続を要求する。
【００４６】
具体的には、まず、認証基盤クライアント部２４ａが、ログイン済みユーザデータベース２５ａを検索し、データパケット１１２を受信したＬＡＮポートの番号に対応するＳＩＰ−ＵＲＩを取得する。次いで、取得したＳＩＰ−ＵＲＩを用いて、アプリケーションサーバ６への接続を要求するＳＩＰメッセージ１１３を生成し、認証基盤５に送信する。なお、ＳＩＰメッセージ１１３には、ルータ２ａがＩＰｓｅｃ用いてアプリケーションサーバ６にパケットを送信するときに使用するＳＡの情報が含まれる。
【００４７】
認証基盤５では、ルータ２ａから受信したＳＩＰメッセージ１１３の送信元と宛先のＳＩＰ−ＵＲＩを参照して、両者の接続の可否を判定し、接続可能と判定されれば、アプリケーションサーバ６に転送する（ＳＩＰメッセージ１１４）。
【００４８】
アプリケーションサーバ６は、ＳＩＰメッセージ１１４を受信すると、接続の可否を判定する。この場合、アプリケーションサーバ６は接続を許可し、ルータ２ａに対して接続を許可することを通知するＳＩＰメッセージ１１５を、認証基盤５に送信する。なお、ＳＩＰメッセージ１１５には、アプリケーションサーバ６がＩＰｓｅｃ用いてルータ２ａにパケットを送信するときに使用するＳＡの情報が含まれる。
認証基盤５は、アプリケーションサーバ６からＳＩＰメッセージ１１５を受信すると、それをルータ２ａに転送する（ＳＩＰメッセージ１１６）。
【００４９】
ルータ２ａは、認証基盤５からＳＩＰメッセージ１１６を受信すると、アプリケーションサーバ６にパケットを暗号化して送信するときに使用するＳＡ、およびアプリケーションサーバ６から暗号化されたパケットを受信するときに使用するＳＡを、ＳＡＤ２３３に登録する。ＳＡＤ２３３への登録が完了すると、ルータ２ａは、ＳＩＰのＡＣＫ（応答確認）メッセージ１１７を認証基盤に送信する。
認証基盤５は、ルータ２ａからＳＩＰメッセージ１１７を受信すると、それをアプリケーションサーバ６に転送する（ＳＩＰメッセージ１１８）。
【００５０】
ルータ２ａは、ＳＩＰメッセージ１１７を送信した後、パケット保持部２３４に保持されていたデータパケット１１２を暗号化してアプリケーションサーバ６に転送する（データパケット１１９）。このデータパケット１１９は、認証基盤５を経由せずに、アプリケーションサーバ６に直接伝送される。
【００５１】
図８はルータが発信端末からルータ配下の着信端末への接続要求を受信したときの動作を表すシーケンス図である。図８において、端末７は、ルータ２ａへの接続を要求するＳＩＰメッセージ１２０を、認証基盤５に送信する。なお、ＳＩＰメッセージ１２０には、端末７がＩＰｓｅｃ用いてルータ２ａにパケットを送信するときに使用するＳＡの情報が含まれる。
【００５２】
認証基盤５では、端末７から受信したＳＩＰメッセージ１２０の送信元と宛先のＳＩＰ−ＵＲＩを参照して、両者の接続の可否を判定し、接続可能と判定されれば、ルータ２ａに転送する（ＳＩＰメッセージ１２１）。
【００５３】
ルータ２ａは、ＳＩＰメッセージ１２１を受信すると、ＳＰＤ２３２を検索し、受信したＳＩＰメッセージ１２１のパケットが、ＩＰｓｅｃの適用対象となっていないことを確認する。次いで、ルータ２ａは、ＳＩＰメッセージ１２１の宛先のＳＩＰ−ＵＲＩを参照し、該当するＳＩＰ−ＵＲＩがログイン済みユーザデータベース２５ａに登録されているか否かを確認する。所定のＳＩＰ−ＵＲＩがログイン済みデータベース２５ａに登録されていることが確認できると、認証基盤クライアント部２４ａは、端末７に対して接続を許可する旨を通知するＳＩＰメッセージ１２２を生成し、認証基盤５に送信する。なお、ＳＩＰメッセージ１２２には、ルータ２ａがＩＰｓｅｃ用いて端末７にパケットを送信するときに使用するＳＡの情報が含まれる。
認証基盤５は、ルータ２ａからＳＩＰメッセージ１２２を受信すると、それを端末７に転送する（ＳＩＰメッセージ１２３）。
【００５４】
ルータ２ａは、認証基盤５にＳＩＰメッセージ１２２を送信した後、端末７にパケットを暗号化して送信するときに使用するＳＡ、および端末７から暗号化されたパケットを受信するときに使用するＳＡを、ＳＡＤ２３３に登録する。
【００５５】
端末７は、ＳＩＰメッセージ１２３を受信すると、ＳＩＰのＡＣＫメッセージ１２４を認証基盤に送信する。
認証基盤５は、ルータ２ａからＳＩＰメッセージ１２４を受信すると、それをルータ２ａに転送する（ＳＩＰメッセージ１２５）。
【００５６】
端末７は、ＳＩＰメッセージ１２４を送信した後、暗号化されたデータパケット１２６を送信する。このデータパケット１２６は、認証基盤５を経由せずに、ルータ２ａに直接伝送される。
【００５７】
ルータ２ａは、データパケット１２６を受信すると、ＳＡＤ２３３を検索して、データパケット１２６に対するＳＡを求め、そのＳＡに従ってデータパケット１２６を復号する。次いで、ルータ２ａは、ＳＰＤ２３２を検索して、データパケット１２６に対するセキュリティポリシーを求め、実際にデータパケット１２６に対して適用されていたセキュリティポリシーがＳＰＤ２３２に登録されているものと一致することを確認する。セキュリティポリシーが一致することが確認できれば、ルータ２ａは、データパケット１２６を復号したパケット１２７を、端末３に送信する。
【００５８】
以下、ルータの動作フローについて図９ないし図１６を用いて説明する。ここで、図９は、端末がルータに対して物理的な接続を確立したときの動作を表すフローチャートである。
【００５９】
待ち受け状態（Ｓ１０００）にあるルータ２ａは、端末３との間で、物理的な接続が確立されると、端末３に対して、内部認証に必要な情報を要求するパケットを送信し（Ｓ１００１）、端末３からの認証情報を含むパケットを待ち受ける。ルータ２ａは端末３から認証情報を含むパケットを受信すると（Ｓ１００２）、そのパケットを内部認証サーバ４ａに転送し（Ｓ１００３）、内部認証サーバ４ａからの応答を待ち受ける。ルータ２ａは内部認証サーバからの応答を受信し（Ｓ１００４）、応答内容を判定する（Ｓ１００５）。ステップ１００５で、その内容が接続を拒否する内容である場合には、その応答を端末３に転送し（Ｓ１０２１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００６０】
ルータ２ａは、ステップ１００５で、内部認証サーバからの応答が、さらに認証情報を要求する内容である場合には、その応答を端末３に転送し（Ｓ１０３１）、端末３からの新たな認証情報を含むパケットを待ち受ける。ルータ２ａは、ステップ１００５で、内部認証サーバからの応答が端末３の接続を許可する内容である場合には、端末３が接続されたＬＡＮポートから他のポートへのパケット転送を有効化し（Ｓ１００６）、端末３に応答メッセージを転送する（Ｓ１００７）。
【００６１】
次いで、ルータ２ａは、ユーザＩＤデータベース２７ａを検索し（Ｓ１００８）、内部認証パケットから取得したＬＡＮ内部での利用者識別情報に対する、ＳＩＰ−ＵＲＩを求める（Ｓ１００９）。ステップ１００９で、ＳＩＰ−ＵＲＩが登録されていない場合には、その時点でログイン処理を中止し、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。ステップ１００９でＳＩＰ−ＵＲＩが登録されている場合には、ルータ２ａは公開鍵暗号処理部２６ａにて、所定のＳＩＰ−ＵＲＩに対応する公開鍵証明書を検索するとともに、電子署名を生成する（Ｓ１０１０）。
【００６２】
ルータ２ａは、公開鍵証明書検索・電子署名の生成を判定し（Ｓ１０１１）、所定の公開鍵証明書が存在しない、もしくは電子署名の生成に失敗した場合には、その時点でログイン処理を中止し、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。ステップ１０１１で所定の公開鍵証明書が存在し、かつ電子署名の生成も正常に完了した場合には、ルータ２ａは認証基盤５に対してログインを要求するメッセージを送信し（Ｓ１０１２）、認証基盤５からの応答メッセージを待ち受ける。
【００６３】
ルータ２ａは、認証基盤５からの応答を受信し（Ｓ１０１３）、ログインに成功したか判定する（Ｓ１０１４）。認証基盤５からの応答が、ログインに失敗したことを示すものである場合には、ルータ２ａはその時点でログイン処理を中止し、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００６４】
ルータ２ａは、ステップ１０１４で認証基盤５からの応答が、ログインに成功したことを示すものである場合には、ログイン済みユーザデータベース２５ａを更新し（Ｓ１０１５）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００６５】
図１０はルータが配下の端末からデータパケットを受信したときの動作を表すフローチャートである。図１０において、待ち受け状態（Ｓ１０００）にあるルータ２ａは、配下の端末３からデータパケットを受信すると、まずＳＰＤ２３２を検索し、受信したパケットに該当するセキュリティポリシーを取得する（Ｓ１１０１）。ルータ２ａは、セキュリティポリシーを参照する（Ｓ１１０２）。
【００６６】
ステップ１１０２でセキュリティポリシーがパケット破棄である場合には、ルータ２ａは、受信したデータパケットを破棄し（Ｓ１１２１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。ステップ１１０２でセキュリティポリシーがバイパスである場合には、ルータ２ａは、受信したデータパケットをそのまま宛先に転送する（Ｓ１１１２）。
【００６７】
ステップ１１０２でセキュリティポリシーがＩＰｓｅｃ適用である場合には、ルータ２ａは、ＳＡＤ２３３を検索し、受信したデータパケットに適用すべきＳＡを求める（Ｓ１１０３）。ルータ２ａはＳＡの存在を判定する（Ｓ１１０４）。ステップ１１０４で適用すべきＳＡが存在する場合には、ルータ２ａは、図１３を用いて後述する丸数字３から丸数字６のステップを経た後、データパケットを暗号化し（Ｓ１１１１）、宛先に転送（Ｓ１１１２）した後、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００６８】
ステップ１１０４で適用すべきＳＡが存在しない場合には、ルータ２ａは、ログイン済みユーザデータベース２５ａを検索し、データパケットの送信元の端末の利用者が使用するＳＩＰ−ＵＲＩを求める（Ｓ１１０５）。ルータ２ａはＳＩＰ−ＵＲＩの存在を判定する（Ｓ１１０６）。ステップ１１０６で所定のＳＩＰ−ＵＲＩが存在しない場合には、ルータ２ａは、受信したデータパケットを破棄し（Ｓ１１２１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００６９】
ステップ１１０６で所定のＳＩＰ−ＵＲＩが存在する場合には、ルータ２ａは、そのＳＩＰ−ＵＲＩを送信元に設定した接続要求のＳＩＰメッセージを認証基盤５に送信し（Ｓ１１０７）、認証基盤５からの応答メッセージを待ち受ける。ルータ２ａは認証基盤５からの応答を受信したとき（Ｓ１１０８）、接続が許可されたか判定する（Ｓ１１０９）。ステップ１１０９で、接続を拒否する内容のものである場合には、ルータ２ａは、受信したデータパケットを破棄し（Ｓ１１２１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７０】
ステップ１１０９で、認証基盤５からの応答が、接続を許可する内容のものである場合には、ルータ２ａは、接続要求およびその応答のＳＩＰメッセージによって交換されたＳＡを、ＳＡＤ２３３に設定する（Ｓ１１１０）。次いで、ルータ２ａは、そのＳＡを適用してデータパケットを暗号化し（Ｓ１１１１）、宛先に転送（Ｓ１１１２）した後、次のパケットを待ち受ける状態（Ｓ１０００）に戻る。
【００７１】
図１１は、認証基盤から接続要求のＳＩＰメッセージを受信したときのルータの動作を表すフローチャートである。図１１において、待ち受け状態（Ｓ１０００）にあるルータ２ａは、接続を要求するＳＩＰメッセージを認証基盤５から受信すると、ログイン済みユーザデータベース２５ａを検索し（Ｓ１２０１）、受信したＳＩＰメッセージの宛先に指定されているＳＩＰ−ＵＲＩが登録されているか否かを調べる（Ｓ１２０２）。ステップ１２０２で所定のＳＩＰ−ＵＲＩが登録されていない場合には、ルータ２ａは、認証基盤５にログインしていないＬＡＮ内の利用者への接続要求と判断し、接続要求の送信元に対して接続を拒否する応答メッセージを生成して（Ｓ１２１１）、認証基盤５に送信し（Ｓ１２０５）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７２】
ステップ１２０２で所定のＳＩＰ−ＵＲＩが登録されている場合には、ルータ２ａは、受信したＳＩＰメッセージに含まれるＳＡおよび応答メッセージに含めるＳＡを、ＳＡＤ２３３に設定する（Ｓ１２０３）。次いで、ルータ２ａは、接続要求の送信元に対して接続を許可する内容の応答メッセージを生成して（Ｓ１２０４）、認証基盤５に送信し（Ｓ１２０５）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７３】
図１２は、ネットワークからＩＰｓｅｃが適用されたデータパケットを受信したときのルータの動作を表すフローチャートである。図１２において、待ち受け状態（Ｓ１０００）にあるルータ２ａは、データパケットをネットワーク１から受信すると、まずＳＡＤ２３３を検索し（Ｓ１３０１）、受信したデータパケットに適用されているＳＡが登録されているか否かを調べる（Ｓ１３０２）。ステップ１３０２で、該当するＳＡが存在しない場合には、ルータ２ａは、受信したデータパケットを破棄し（Ｓ１３１１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７４】
ステップ１３０２でＳＡが存在する場合には、ルータ２ａはそのＳＡに従ってデータパケットの復号処理を行う（Ｓ１３０３）。次いで、ルータ２ａは、ＳＰＤ２３２を検索して、受信したパケットに該当するセキュリティポリシーを求め（Ｓ１３０４）、受信したパケットに実際に適用されていたＩＰｓｅｃのポリシーと一致しているかを比較する（Ｓ１３０５）。ステップ１３０５でＩＰｓｅｃのポリシーが一致していない場合には、ルータ２ａは、データパケットを破棄し（Ｓ１３１１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７５】
ステップ１３０５でＩＰｓｅｃのポリシーが一致している場合には、ルータ２ａは、データパケットを宛先に転送し（Ｓ１３０６）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７６】
図１３はＳＡを適用して暗号化または復号化する際に実施するソフト有効期間を判定するルータの動作を表すフローチャートである。なお、図１３は、図１０との関係で、暗号化する際として説明するが、復号化する際にも同様に適用できる。
【００７７】
ＳＡを適用するルータ２ａは、適用に先立ってＩＰｓｅｃ ＳＡのソフト有効期限が満了したか判定する（Ｓ１４０１）。ステップ１４０１でＮｏならば図１０のデータパケット暗号化のステップ１１１１に遷移する。
【００７８】
ステップ１４０１でＹｅｓならば、ルータ２ａは、通信相手に対して再接続を要求するＳＩＰメッセージを認証基盤５に送信し（Ｓ１４０２）、認証基盤５からの応答メッセージを待ち受ける。ルータ２ａは、認証基盤５からの応答メッセージを受信し（Ｓ１４０３）、再接続が許可されたか判定する（Ｓ１４０４）。ステップ１４０４で認証基盤５からの応答が、接続を拒否する内容のものである場合には、ルータ２ａは、受信したデータパケットを破棄し、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００７９】
ステップ１４０４で認証基盤５からの応答が、接続を許可する内容のものである場合には、ルータ２ａは、再接続要求およびその応答のメッセージによって交換されたＳＡをＳＡＤ２３３に設定する（Ｓ１４０５）。図１０に戻って、そのＳＡを適用してデータパケットを暗号化し（Ｓ１１１１）、宛先に転送（Ｓ１１１２）した後、次のパケットを待ち受ける状態（Ｓ１０００）に戻る。
【００８０】
図１４はＩＰｓｅｃ ＳＡのハード有効期間が満了した際のルータの動作を説明するフローチャートである。図１４において、ルータ２ａは待ち受け状態に遷移する前に、一旦ハード有効期間を監視する。満了を検出すると（Ｓ１４１１）、ルータ２ａは、通信相手に対して通信終了を要求するＳＩＰメッセージを認証基盤５に送信し（Ｓ１４１２）、認証基盤５からの応答メッセージを待ち受ける。認証基盤５からの応答メッセージを受信すると（Ｓ１４１３）、ルータ２ａは、該当するＳＡをＳＡＤ２３３から削除し（Ｓ１４１４）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８１】
図１５は、認証基盤へのログインの有効期間が満了したときのルータの動作を表すフローチャートである。図１５において、ルータ２ａは待ち受け状態に遷移する前に、一旦認証基盤へのログインの有効期間を監視する。満了を検出すると（Ｓ１５００）、ルータ２ａは、公開鍵暗号処理部２６ａにて、所定のＳＩＰ−ＵＲＩに対応する公開鍵証明書を検索するとともに、電子署名を生成する（Ｓ１５０１）。ルータ２ａは、検索および電子署名の生成が正常に完了したか確認する（Ｓ１５０２）。ステップ１５０２で、所定の公開鍵証明書が存在しない、もしくは電子署名の生成に失敗した場合には、ルータ２ａは、ログイン済みユーザデータベース２５ａから、該当する利用者のエントリを削除し（Ｓ１５１１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８２】
ステップ１５０２で、所定の公開鍵証明書が存在し、かつ電子署名の生成も正常に完了した場合には、ルータ２ａは、認証基盤５に対して再ログインを要求するメッセージを送信し（Ｓ１５０３）、認証基盤５からの応答メッセージを待ち受ける。ルータ２ａは、認証基盤５からの応答メッセージを受信し（Ｓ１５０４）、再ログインに成功したか確認する（Ｓ１５０５）。ステップ１５０５で、認証基盤５からの応答が、再ログインに失敗したことを示すものである場合には、ルータ２ａは、ログイン済みユーザデータベース２５ａから、該当する利用者のエントリを削除し（Ｓ１５１１）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８３】
ステップ１５０５で、認証基盤５からの応答が、ログインに成功したことを示すものである場合には、ルータ２ａは、ログイン済みユーザデータベース２５ａの、該当する利用者のエントリを更新し（Ｓ１５０６）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８４】
図１６は、端末との物理リンクが切断されたときのルータの動作を表すフローチャートである。図１６において、待ち受け状態（Ｓ１０００）にあるルータ２ａは、接続している端末との物理リンクが切断されると、ログイン済みユーザデータベース２５ａを検索し、物理リンクが切断されたＬＡＮポートに接続していた利用者のＳＩＰ−ＵＲＩを求める（Ｓ１６０１）。ログイン済みユーザデータベース２５ａに該当するエントリが存在するかどうか確認し（Ｓ１６０２）、存在しない場合には、ルータ２ａは、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８５】
ステップ１６０２で、ログイン済みユーザデータベース２５ａに該当するエントリが存在する場合には、ルータ２ａは、認証基盤５に対してログアウトを要求するＳＩＰメッセージを送信し（Ｓ１６０３）、認証基盤５からの応答メッセージを待ち受ける。認証基盤５からの応答を受信すると（Ｓ１６０４）、ルータ２ａは、ログイン済みユーザデータベース２５ａから、該当するエントリを削除し（Ｓ１６０５）、次のパケットの到着を待ち受ける状態（Ｓ１０００）に戻る。
【００８６】
なお、ルータ２ａのうち、ＬＡＮポート２０、ＷＡＮポート２１、ポート制御部２２を除いた部分の機能は、ＣＰＵおよびメモリにより構成し、その上で図９ないし図１６のフローチャートに示す手順を実行するプログラムを動作させることによっても実現可能であり、必ずしも図２に示す構成をとらなくても良い。
（実施例２）
図１７は実施例２のシステム構成を示すブロック図である。なお、前述した実施例１と同一の構成には同一の符号を付し、その詳細な説明は省略する。
ルータ２ｂには、端末３およびユーザＩＤデータベースサーバ２７ｂが、ＬＡＮスイッチ８を介して接続されている。また、内部認証サーバ４ｂおよびハードウェアセキュリティモジュール（ＨＳＭ）２６ｂが、ルータ２ｂに直接接続されている。これらの機器によって、ＬＡＮ１０ｂが構成されている。
【００８７】
図１８はルータの制御ブロック図である。図２において、ルータ２ｂは、ＬＡＮポート２０、ＷＡＮポート２１、ポート制御部２２、ＩＰ処理部２３、認証基盤クライアント部２４ｂ、ログイン済みユーザデータベース２５ｂ、により構成される。
【００８８】
認証基盤クライアント部２４ｂは、認証基盤５に対してログインおよびログアウトを行うためのメッセージの生成、認証基盤５を介して通信相手に自身との接続を要求するメッセージの生成、および認証基盤５を介して通信相手から受信した自身への接続を要求するメッセージの解析とそれに対する応答メッセージの生成を行う。また、認証基盤クライアント部２４ｂは、上述したメッセージの生成や解析のため、ログイン済みユーザデータベース２５ｂ、ＨＳＭ２６ｂ、ならびにユーザＩＤデータベースサーバ２７ｂと通信を行う機能を有する。
【００８９】
ログイン済みユーザデータベース２５ｂは、認証基盤５に対するログインに成功したユーザが収容されている仮想ＬＡＮ（ＶＬＡＮ）の識別情報と、当該ユーザが認証基盤５に対して使用するＳＩＰ−ＵＲＩとの対照表２５０ｂと、対照表２５０ｂの読み出しや書き換えを行うソフトウェアによって構成されている。
【００９０】
図１９は対照表の内容を説明する図である。図１９において、対照表２５０ｂは、ＶＬＡＮ識別情報を記録する領域２５１ｂと、ＬＡＮ１０ｂの利用者が認証基盤５に対して使用するＳＩＰ−ＵＲＩを記録する領域２５２と、認証基盤５へのログインの有効期限を記録する領域２５３を有する。
【００９１】
図１７に戻って、ＨＳＭ２６ｂは、実施例１における公開鍵暗号処理部２６ａと同一の内部構成および機能を有する、ルータとは独立した装置である。
ユーザＩＤデータベースサーバ２７ｂは、ＣＰＵ、メモリおよび入出力装置からなる計算機であり、実施例１におけるユーザＩＤデータベース２７ａと同一の機能を有する。
【００９２】
内部認証サーバ４ｂは、実施例１における内部認証サーバ４ａの機能に加え、認証に成功した各利用者に対して個別のＶＬＡＮを割り当てる機能を有する。
ＬＡＮスイッチ８は、ＭＡＣアドレスを参照してパケットの転送を行う装置で、端末機器を接続するポートを複数備える。さらに、ＬＡＮスイッチ８は、ポートに端末機器が接続されたときに、内部認証サーバ４ｂと連携して、接続された機器の利用者を認証し、認証に成功した場合には、当該端末機器を、内部認証サーバ４ｂによって割り当てられたＶＬＡＮに収容する機能を有する。
【００９３】
ＬＡＮ１０ｂは、１台の端末は同時に１人の利用者しか利用できないこととし、また端末は必ずＬＡＮスイッチ８に接続し、かつ端末がＬＡＮスイッチ８に接続されたときには必ず認証を受けるよう運用する。これにより、ルータ２ｂでは、ＬＡＮポートから入力されたパケットに付加されているＶＬＡＮ識別情報から、そのパケットを送信した利用者を特定することができる。
【００９４】
図２０は、端末がＬＡＮスイッチに接続されたときの各部位の動作を表すシーケンス図である。図２０において、端末３とＬＡＮスイッチ８の物理的な接続が確立されると、ＩＥＥＥ ８０２．１ｘで定められた手順に従って、ＬＡＮスイッチ８が端末３の使用者を認証する。具体的には、まず、ＬＡＮスイッチが端末３に対して、ＬＡＮ１０ｂ内で用いられる利用者識別情報の入力を要求するパケットを送信し（パケット１５１）、これに対し、端末３の利用者が自身の利用者識別情報を入力する。入力された利用者識別情報は、ＬＡＮスイッチ８およびルータ２ｂを経由して、内部認証サーバ４ｂに伝送される（パケット１５２、１５３、１５４）。
【００９５】
内部認証サーバ４ｂは、利用者識別情報を受信すると、チャレンジと呼ばれる乱数を、ルータ２ｂおよびＬＡＮスイッチ８を経由して端末３に送信する（パケット１５５、１５６、１５７）。
【００９６】
チャレンジを受け取った端末３の利用者は、自身のパスワードを入力する。端末３は、内部認証サーバ４ｂから受け取ったチャレンジと、利用者から入力されたパスワードを用いて、所定の計算方法に従ってレスポンスと呼ばれる値を計算し、それをＬＡＮスイッチ８およびルータ２ｂ経由で内部認証サーバ４ｂに送信する（パケット１５８、１５９、１６０）。
【００９７】
内部認証サーバ４ｂでは、事前に登録されたＩＤ・パスワードデータベース４０を参照して、先に受け取った利用者識別情報に対応するパスワードを取得し、これと端末３に送信したチャレンジからレスポンスを計算する。
【００９８】
次いで、計算したレスポンスと端末３から受信したレスポンスとを比較し、両者が一致していれば、パケット１５４にて通知された識別情報を使用する利用者本人に相違ないと判定し、接続を許可する旨を通知するパケット１６１を、ルータ２ｂに送信する。このパケット１６１には、内部認証サーバ４ｂが割り当てたＶＬＡＮの識別情報が含まれる。
【００９９】
ルータ２ｂは、内部認証サーバ４ｂからパケット１６１を受信すると、それをＬＡＮスイッチ８を経由して端末３に転送（パケット１６２、１６３）するとともに、認証基盤５に対して、ログインを行う。
【０１００】
まず、ルータ２ｂの内部の認証基盤クライアント部２４ｂが、パケット１６１に含まれる利用者識別情報を取得し、それに対応するＳＩＰ−ＵＲＩを、ユーザＩＤデータベースサーバ２７ｂから取得する（パケット１６４、１６５）。
次に、認証基盤クライアント部２４ｂは、取得したＳＩＰ−ＵＲＩを用いて、ログインを要求するＳＩＰメッセージを生成し、当該利用者の公開鍵証明書、および電子署名の生成を、ＨＳＭ２６ｂに対して要求する（パケット１６６）。
【０１０１】
ＨＳＭ２６ｂは、指定されたＳＩＰ−ＵＲＩに対応する公開鍵証明書と秘密鍵を取り出し、電子署名を生成したのち、公開鍵証明書および電子署名をルータ２ｂの認証基盤クライアント部２４ｂに渡す（パケット１６７）。
認証基盤クライアント部２４ｂは、ＨＳＭ２６ｂから公開鍵証明書と電子署名を取得すると、それらをログイン要求のＳＩＰメッセージに付加して、認証基盤５に送信する（パケット１６８）。
【０１０２】
ルータ２ｂは、認証基盤５から、ログインに成功したことを通知するＳＩＰメッセージ（パケット１６９）を受信すると、端末３が収容されているＶＬＡＮの識別情報と、端末３の利用者のＳＩＰ−ＵＲＩとを対応付けて、ログイン済みユーザデータベース２５ｂに登録する。
【０１０３】
認証基盤５へのログインに成功した端末３の利用者が、アプリケーションサーバ６や端末７と通信を行うときの動作シーケンスは、図７および図８に示す実施例１と同じである。ただし、ログイン済みユーザデータベースの検索のときに、ルータのＬＡＮポート番号の代わりに、ＶＬＡＮ識別情報を用いる点が異なる。
【０１０４】
ルータ２ｂの動作フローに関しては、実施例１におけるルータ２ａと比較して、ＳＩＰ−ＵＲＩの検索や、公開鍵証明書および電子署名を要求する対象が異なるが、動作フロー自体は、図９ないし図１６と同一である。
【０１０５】
本実施例では、端末を直接ルータに接続するのではなく、ＬＡＮスイッチを介して接続し、またＬＡＮの利用者全員の情報が記録されたデータベースおよび公開鍵証明書を、ルータの外部で保持することにより、実施例１と比較して、より多数の利用者が存在する場合に対応することが可能である。
【図面の簡単な説明】
【０１０６】
【図１】システム構成を示すブロック図である。
【図２】ルータの制御ブロック図である。
【図３】対照表の内容を説明する図である。
【図４】対照表を説明する図である。
【図５】対照表の内容を説明する図である。
【図６】端末３をルータ２ａに接続したときの通信および動作を説明するシーケンス図である。
【図７】端末がアプリケーションサーバに接続を要求するときの動作を表すシーケンス図である。
【図８】ルータが発信端末からルータ配下の着信端末への接続要求を受信したときの動作を表すシーケンス図である。
【図９】端末がルータに対して物理的な接続を確立したときの動作を表すフローチャートである。
【図１０】ルータが配下の端末からデータパケットを受信したときの動作を表すフローチャートである。
【図１１】認証基盤から接続要求のＳＩＰメッセージを受信したときのルータの動作を表すフローチャートである。
【図１２】ネットワークからＩＰｓｅｃが適用されたデータパケットを受信したときのルータの動作を表すフローチャートである。からデータパケットを受信したときのルータの動作手順を示すフローチャート。
【図１３】ＳＡを適用して暗号化または復号化する際に実施するソフト有効期間を判定するルータの動作を表すフローチャートである。
【図１４】ＩＰｓｅｃ ＳＡのハード有効期間が満了した際のルータの動作を説明するフローチャートである。
【図１５】認証基盤へのログインの有効期間が満了したときのルータの動作を表すフローチャートである。
【図１６】端末との物理リンクが切断されたときのルータの動作を表すフローチャートである。
【図１７】システム構成を示すブロック図である。
【図１８】ルータの制御ブロック図である。
【図１９】対照表の内容を説明する図である。
【図２０】端末がＬＡＮスイッチに接続されたときの各部位の動作を表すシーケンス図である。
【符号の説明】
【０１０７】
１…ネットワーク、２…ルータ、３…端末、４…内部認証サーバ、５…認証基盤、６…アプリケーションサーバ、７…端末、８…ＬＡＮスイッチ、１０…ＬＡＮ、２０…ＬＡＮポート、２１…ＷＡＮポート、２２…ポート制御部、２３…ＩＰ処理部、２４…認証基盤クライアント部、２５…ログイン済みユーザデータベース、２６ａ…公開鍵暗号処理部、２６ｂ…ＨＳＭ、２７ａ…ユーザＩＤデータベース、２７ｂ…ユーザＩＤデータベースサーバ、２３０…ルーティング処理部、２３１…パケット暗号化・復号処理部、２３２…ＳＰＤ、２３３…ＳＡＤ、２３４…パケット保持部、２５０ａ…ＬＡＮポート番号とＳＩＰ−ＵＲＩとの対照表、２５０ｂ…ＶＬＡＮ識別情報とＳＩＰ−ＵＲＩとの対照表、２６０…電子署名生成処理部、２６１…公開鍵証明書・公開鍵・秘密鍵保管部、２７０…ＬＡＮ内部で用いられる利用者識別情報とＳＩＰ−ＵＲＩとの対照表、４００…ＬＡＮ内部で用いられる利用者識別情報とパスワードとの対照表。
【特許請求の範囲】
【請求項１】
ネットワークに接続された第1の通信装置とネットワーク接続装置と認証基盤とから構成されたネットワーク接続システムであって、
前記ネットワーク接続装置は、第２の通信装置が接続され、該第２の通信装置に代わって前記認証基盤との間で前記第２の通信装置の利用者の認証を行い、前記第１の通信装置と前記第２の通信装置の通信を仲介することを特徴とするネットワーク接続システム。
【請求項２】
請求項１に記載のネットワーク接続システムであって、
前記ネットワーク接続装置が、前記第１の通信装置から前記認証基盤を介して前記第２の通信装置宛の接続要求を受け取ったとき、前記第２の通信装置の利用者が前記認証基盤において認証されていることを確認して、前記認証基盤を介して前記第１の通信装置宛の接続許可を送信することを特徴とするネットワーク接続システム。
【請求項３】
請求項１または請求項２に記載のネットワーク接続システムであって、
前記第１の通信装置と前記第２の通信装置の通信データは、前記第１の通信装置と前記ネットワーク接続装置との間で暗号化されていることを特徴とするネットワーク接続システム。
【請求項４】
第２の通信装置を接続され、ネットワークを介して認証基盤と第１の通信装置と接続され、前記第２の通信装置と前記第１の通信装置の通信を仲介するネットワーク接続装置であって、
前記第２の通信装置の利用者の内部認証を行う内部認証部と、パケットのルーティング処理と暗号化／復号化を行うＩＰ処理部と、前記認証基盤との通信を行う認証基盤クライアント部と、電子署名を生成する公開鍵暗号処理部とを含み、
前記内部認証部が前記第２の通信装置の利用者を認証したとき、該利用者の電子署名を添付したログイン要求を前記認証基盤に送信することを特徴とするネットワーク接続装置。
【請求項５】
請求項４に記載のネットワーク接続装置であって、
前記第１の通信装置から前記認証基盤を介して前記第２の通信装置宛の接続要求を受け取ったとき、前記第２の通信装置の利用者が前記認証基盤において認証されていることを確認して、前記認証基盤を介して前記第１の通信装置宛の接続許可を送信することを特徴とするネットワーク接続装置。
【請求項６】
請求項５に記載のネットワーク接続装置であって、
前記第１の通信装置から暗号化されたデータを受信したとき、復号化して前記第２の通信装置に転送することを特徴とするネットワーク接続装置。
【請求項７】
請求項５に記載のネットワーク接続装置であって、
前記第２の通信装置からデータを受信したとき、暗号化して前記第１の通信装置に転送することを特徴とするネットワーク接続装置。
【請求項８】
コンピュータを、通信装置の利用者の内部認証を行う内部認証手段と、パケットのルーティング処理と暗号化／復号化を行うＩＰ処理手段と、認証基盤との通信を行う認証基盤クライアント手段と、電子署名を生成する公開鍵暗号処理部手段と、前記内部認証手段が前記通信装置の利用者を認証したとき、該利用者の電子署名を添付したログイン要求を前記認証基盤に送信する送信手段として機能させるためのプログラム。
【請求項９】
請求項８に記載のプログラムであって、前記コンピュータを、
前記認証基盤クライアント手段が他の通信装置から認証基盤を介して前記通信装置宛の接続要求を受け取ったとき、前記通信装置の利用者が認証されていることを確認する確認手段と、前記認証基盤を介して前記他の通信装置宛の接続許可を送信する送信手段として、さらに機能させるためのプログラム。
【請求項１】
ネットワークに接続された第1の通信装置とネットワーク接続装置と認証基盤とから構成されたネットワーク接続システムであって、
前記ネットワーク接続装置は、第２の通信装置が接続され、該第２の通信装置に代わって前記認証基盤との間で前記第２の通信装置の利用者の認証を行い、前記第１の通信装置と前記第２の通信装置の通信を仲介することを特徴とするネットワーク接続システム。
【請求項２】
請求項１に記載のネットワーク接続システムであって、
前記ネットワーク接続装置が、前記第１の通信装置から前記認証基盤を介して前記第２の通信装置宛の接続要求を受け取ったとき、前記第２の通信装置の利用者が前記認証基盤において認証されていることを確認して、前記認証基盤を介して前記第１の通信装置宛の接続許可を送信することを特徴とするネットワーク接続システム。
【請求項３】
請求項１または請求項２に記載のネットワーク接続システムであって、
前記第１の通信装置と前記第２の通信装置の通信データは、前記第１の通信装置と前記ネットワーク接続装置との間で暗号化されていることを特徴とするネットワーク接続システム。
【請求項４】
第２の通信装置を接続され、ネットワークを介して認証基盤と第１の通信装置と接続され、前記第２の通信装置と前記第１の通信装置の通信を仲介するネットワーク接続装置であって、
前記第２の通信装置の利用者の内部認証を行う内部認証部と、パケットのルーティング処理と暗号化／復号化を行うＩＰ処理部と、前記認証基盤との通信を行う認証基盤クライアント部と、電子署名を生成する公開鍵暗号処理部とを含み、
前記内部認証部が前記第２の通信装置の利用者を認証したとき、該利用者の電子署名を添付したログイン要求を前記認証基盤に送信することを特徴とするネットワーク接続装置。
【請求項５】
請求項４に記載のネットワーク接続装置であって、
前記第１の通信装置から前記認証基盤を介して前記第２の通信装置宛の接続要求を受け取ったとき、前記第２の通信装置の利用者が前記認証基盤において認証されていることを確認して、前記認証基盤を介して前記第１の通信装置宛の接続許可を送信することを特徴とするネットワーク接続装置。
【請求項６】
請求項５に記載のネットワーク接続装置であって、
前記第１の通信装置から暗号化されたデータを受信したとき、復号化して前記第２の通信装置に転送することを特徴とするネットワーク接続装置。
【請求項７】
請求項５に記載のネットワーク接続装置であって、
前記第２の通信装置からデータを受信したとき、暗号化して前記第１の通信装置に転送することを特徴とするネットワーク接続装置。
【請求項８】
コンピュータを、通信装置の利用者の内部認証を行う内部認証手段と、パケットのルーティング処理と暗号化／復号化を行うＩＰ処理手段と、認証基盤との通信を行う認証基盤クライアント手段と、電子署名を生成する公開鍵暗号処理部手段と、前記内部認証手段が前記通信装置の利用者を認証したとき、該利用者の電子署名を添付したログイン要求を前記認証基盤に送信する送信手段として機能させるためのプログラム。
【請求項９】
請求項８に記載のプログラムであって、前記コンピュータを、
前記認証基盤クライアント手段が他の通信装置から認証基盤を介して前記通信装置宛の接続要求を受け取ったとき、前記通信装置の利用者が認証されていることを確認する確認手段と、前記認証基盤を介して前記他の通信装置宛の接続許可を送信する送信手段として、さらに機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【公開番号】特開２００６−３５２２２３（Ｐ２００６−３５２２２３Ａ）
【公開日】平成１８年１２月２８日（２００６．１２．２８）
【国際特許分類】
【出願番号】特願２００５−１７２１１８（Ｐ２００５−１７２１１８）
【出願日】平成１７年６月１３日（２００５．６．１３）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１６年度、総務省、「認証機能を具備するサービスプラットフォーム技術の研究開発」委託研究、産業再生法第３０条の適用を受ける特許出願
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成１８年１２月２８日（２００６．１２．２８）
【国際特許分類】
【出願日】平成１７年６月１３日（２００５．６．１３）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１６年度、総務省、「認証機能を具備するサービスプラットフォーム技術の研究開発」委託研究、産業再生法第３０条の適用を受ける特許出願
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]