ネットワーク装置の空き回線不正使用防止方法及び回線施錠装置

【課題】解決しようとする課題は、ネットワーク装置の空き回線を使用したＤＯＳ攻撃等、誤接続によるシステムダウンなどのセキュリティが脅かされる問題に対し、回線を治具等で遮断する方法では封止具の突起物などによる実装上の問題、あるいは遠隔での回線状態の確認ができない問題である。
【解決手段】通信ネットワークの回線毎の回線設定を行う機能を備えたネットワーク装置に回線設定を指示する回線施錠装置を接続して、回線毎に回線のロックあるいはアンロックの回線設定の制御情報の設定を行い、ネットワーク装置は指定された回線設定の制御情報の正当性の確認を行って、指示された回線のロックあるいはアンロックの回線設定を行う。

【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークを構成するネットワーク装置のセキュリティに係わり、特にネットワーク装置の回線接続部に回線のロック、アンロックの制御を行なう回線施錠装置を接続してネットワーク装置の回線の不正使用、誤接続を防止するネットワーク装置の空き回線不正使用防止方法及び回線施錠装置に関するものである。
【背景技術】
【０００２】
近年、拡大する通信ネットワークのセキュリティーを確保することは重要な課題である。ネットワークには数多くのネットワーク装置が接続されている。これらのネットワークを構成するネットワーク装置の空き回線を使用し、ＤＯＳ攻撃やスヌーピングといった行為が行われる状況がある。また、ネットワーク装置の空き回線に不用意にケーブルを接続してしまいネットワーク構成のループによるシステムダウンという問題も発生している。このため、ネットワーク装置の空き回線が不用意に使用されることを防止することが重要となっている。
【０００３】
ネットワーク装置への不正接続・誤接続の解決方法として、物理的にネットワーク装置のコネクタ部を塞いでしまう封止具も知られている。（例えば、
【特許文献１】）しかしながら、この場合、使用したい回線数分の封止具の購入する必要があり、その数だけの鍵も添付されるため鍵管理に負担が生じる。またこの封止具を取り付けることにより、ネットワーク製品から数センチの突起が生ずる。このため、封止具への接触によるコネクタ部の損傷、さらには、ラック搭載時にラックの全面扉が閉まらないという問題もある。
【０００４】
また、コネクタ部に開閉式遮蔽カバーを設け物理的に使用できなくする方法も知られている（例えば、
【特許文献２】）が、遮蔽カバーを収納するスペースがネットワーク装置本体部に必要となり、小型化、高い回線収容数が求められる現在のネットワーク装置への実装は難しい。さらに本方法は、ネットワークのコンフィグレーション情報とはリンクしない物理的な手段であるため、コンフィグレーション情報を有しているネットワーク装置の場合、管理コンソールを使用した遠隔操作、遠隔状態確認ができないという、保守・管理面の問題もある。
【特許文献１】特開２００７−６６５９３号公報
【特許文献２】特開平１１−１５４５６６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ネットワーク装置の空き回線を使用したＤＯＳ攻撃などへの外部からの侵入、誤接続によるシステムダウンなどのセキュリティが脅かされる問題に対し、封止具などによる物理的遮蔽では突起物などによる実装上の問題が解決できず、また、遠隔での回線状態の確認ができない。
【０００６】
本発明は、ネットワーク装置の回線接続コネクタ部に回線施錠装置を接続して回線のロック／アンロックの回線設定を行って、ネットワーク装置の空き回線の不正使用・誤接続等のセキュリティー問題の解決を図ることを目的とする
【課題を解決するための手段】
【０００７】
操作者からの指示に従い、通信ネットワークの回線毎の回線設定を行う機能を備えたネットワーク装置と前記ネットワーク装置に回線設定を指示する回線施錠装置によるネットワークの回線不正使用の防止方法である。
【０００８】
ネットワーク装置の回線コネクタ部に接続した回線施錠装置より指定した回線のロックあるいはアンロックの回線設定の指示を制御情報により行う。ネットワーク装置は制御情報の正当性の確認を行い、指定された回線に指定のロックあるいはアンロックの回線設定を行う。
【発明の効果】
【０００９】
本発明により、ネットワークの管理コンソールによる制御を行うことなく、また、封止具を必要とせず、ネットワーク装置の空き回線への不正アクセス・誤接続を防止した強固なセキュリティー機能を実現できる。さらに、回線施錠装置を常時接続する必要が無いので、突起物などによる実装上の問題が無く、また、ネットワーク装置の回線コンフィグレーションの設定変更、設定確認ができ、管理の容易さ、設定変更に係わる工数の削減ができる。
【発明を実施するための最良の形態】
【００１０】
（実施例１）
図１はネットワーク構成例と回線施錠装置の接続を示す図である。構内ネットワーク１と外部ネットワーク２がネットワーク装置（ゲートウエイ）３を介して接続されたネットワーク構成例への回線施錠装置５の接続を示している。ネットワーク装置（ゲートウエイ）３以外のネットワーク装置として、ここではＬＡＮノード４−ｉ（ｉ＝１〜３）がある。。
【００１１】
操作者は、回線施錠装置５を各ネットワーク装置（ネットワーク装置３、ネットワーク装置４）に順次接続する。回線施錠装置５は操作者により設定された回線毎の回線設定（ロック、アンロック）を各ネットワーク装置３、ネットワーク装置４に備える回線設定制御部と連携して行う。各回線は設定された後は回線状態を保持するため、回線施錠装置５は各ネットワーク装置３、４より取り外す。すなわち、回線施錠装置５はネットワーク装置３、４に常時接続しておく必要はない。また、同一のネットワーク装置について複数回線の設定を行う場合は回線施錠装置を１つのポートより行う。
【００１２】
図２はネットワーク装置（ＬＡＮノード）ブロック構成を示す図である。ネットワーク装置一般の代表としてネットワーク装置（ＬＡＮノード）４を示している。
【００１３】
ネットワーク装置（ＬＡＮノード）４をＬＡＮノード本体部６、回線設定制御部７、ポートコネクタ部８−ｉ（ｉ＝１〜ｎ）で表す。本発明に係わる回線設定制御部７の動作は図１のゲートウエイ装置３等他のネットワーク装置の場合も同一である。
【００１４】
ネットワーク装置（ＬＡＮノード）４はＬＡＮノード本体部６、回線設定制御部７、ポートコネクタ部８で構成し、回線設定制御部７は通信管理部１０、暗号／復号化処理部１１、施錠制御部１２、回線状態表示部１３、電子鍵内蔵部１４で構成する。また、通信管理部１０は通信処理部１５とポート管理部１６で構成する。ＬＡＮノード本体部６は通常のＬＡＮノードとして知られているノードをＬＡＮノード本体部６（除くポートのコネクタ部）として代表する。説明は省略する。
【００１５】
操作者は回線施錠装置５をポートコネク部８に接続し、接続したポートの回線毎の回線設定、あるいは回線状態確認の設定のための制御情報の設定を行う。
【００１６】
操作者による制御情報の設定に対し、ネットワーク装置４は以下の処理を行う。なお、制御情報については図４で説明する。
１）通信処理部１０は、ポートコネクタ部８を介して受信した制御情報を確認後、チェックサムを外し、回線情報を暗号／復号化処理部１１に送り、メッセージ情報は施錠制御部１２に送る。暗号／復号化処理部１１は電子鍵内蔵部１４の電子鍵を使い復号する。復号された回線情報は施錠制御部１２に送られる。
２）施錠制御部１２は、メッセージ情報の指示に従い、回線情報をポート管理部１６に送り、ポート管理部１６は対象の回線の回線設定をＬＡＮノード本体部６と連携してソフト制御で行う。あるいは回線状態（ロック、アンロック）の確認を行う。ポート管理部１６は常時ポート番号毎の回線状態を保持し、更新された場合も更新情報を保持する。
３）施錠制御部１２が受信した制御情報が回線状態確認情報の場合はポート管理部１６から受信した指定回線の回線状態を回線状態表示部１３に送り、回線状態表示部１３は受信した回線状態を表示する。また、ポート管理部１６で確認した対象回線の回線状態は電子鍵内蔵部１４の電子鍵を使い暗号化し、通信処理部１５へ送られる。
【００１７】
なお、制御情報は複数回線の回線情報をも構成しているため、ポート管理部１６は回線設定あるいは、回線状態の確認が複数回線の場合も回線施錠装置を付け替えることなく、指示された全てのポートの回線設定、あるいは回線状態の確認機能を持たせることができる。また回線設定は、ＬＡＮノード本体部６と連携して行う。これは、通信装置一般で通常可能なソフト機能、ポート閉塞（ロック）、ポート開放（アンロック）であるので説明は省略する。
４）通信処理部１５は回線施錠装置への返答のため、返信メッセージ情報と暗号化された回線情報を通信用コードに変換し、チェックサムを行い、チェックサムのビットを付加した制御情報のデータフォーマットを生成し、ポートコネクタ部８を介して回線施錠装置５に送信する。
【００１８】
なお、電子鍵内蔵部１４で保持する電子鍵は予め操作者が設定してメモリに記録し電子鍵内蔵部１４に保持する。回線施錠装置５の電子鍵と対の暗号化鍵、復号化鍵である。データの受信時は復号化鍵で復号解読し、送信時は暗号化鍵で暗号化を行う。電子鍵は該当のネットワークのセキュリィティの度合いに応じて選択する。多くの電子鍵が知られているので説明は省略する。
【００１９】
図３は回線施錠装置ブロック構成を示す図である。ネットワーク装置接続コネクタ部２０、通信処理部２１、暗号／復号化処理部２２、施錠制御部２３、電子鍵内蔵部２４、回線状態表示部２５、設定操作部（設定スィッチ）２６で構成する。
【００２０】
操作者は回線施錠装置５をポートコネク部８に接続し、接続したポートの回線毎の回線設定あるいは、回線状態確認の設定を設定操作部２６の設定スイッチで行う。
【００２１】
操作者による制御情報の設定に対し、回線施錠装置５は以下の処理を行う。
１）施錠制御部２３は設定された制御情報の回線情報を暗号／復号化処理部２２に送り、暗号／復号化処理部２２は電子鍵内蔵部の暗号化鍵により暗号化する。通信処理部２１はメッセージ情報、暗号化された回線情報を通信用のコードに変換しチェックサムを行い、チェックサムのビットを付加した制御情報のデータフォーマットを生成し、ネットワーク装置接続コネクタ部２０を介してネットワーク装置４に送る。
２）一方、ネットワーク装置４からの返信制御情報はネットワーク装置接続コネクタ部２０を介して通信処理部２１が受信する。通信処理部２１はチェックサムによる誤りが無いことを確認し、メッセージ情報から返信制御情報を確認して、メッセージ情報、回線情報を暗号／復号化処理部２２に送る。暗号／復号化処理部２２は回線情報を電子鍵内蔵部２４から復号化鍵を取得し、回線情報を復号し、復号した回線情報とメッセージ情報を施錠制御部に送る。施錠制御部２３は受信した回線状態確認信号を回線状態表示部２５に送り、回線状態表示部２５は受信した回線状態を表示する。
【００２２】
なお、設定操作部（設定スィッチ）２６は、ネットワーク装置４の回線を設定するスィッチによる設定操作部である。設定は回線毎のロック／アンロック設定、一括のロック／アンロック設定がある。本設定によるネットワーク装置への制御情報の通信データフォーマットは図４で説明する。設定スィッチはマニュアル設定で設定する。
【００２３】
図４はネットワーク装置と回線施錠装置間通信の制御情報の通信データフォーマットを示す図である。ネットワーク装置と回線施錠装置間に通信される制御情報は、メッセージ情報、回線情報及びチェックサムで構成する。ネットワーク装置と回線施錠装置間で制御情報（メッセージ情報、回線情報）は通信用コードに変換され、チェックサムによるエラーチェックのコードが付加され通信される。
１）メッセージ情報
回線情報にリンクする要求／応答等のメッセージ種別である。暗号化はしない。
「ｄ１」：回線施錠装置から回線設定制御部への要求メッセージであり、「回線設定指示」、「回線状態確認指示」の情報である。
「ｄ２」：回線設定制御部から回線施錠装置への要求（「ｄ１」に対する応答の「指示への応答」情報である。
「ｄ３」：各メッセージのシーケンス番号である。
【００２４】
例えば、ポート毎に回線施錠装置からの送信時、「ｄ２」コードは「ｎｕｌｌビット」で表示し、ネットワーク装置が返信する場合は、ネットワーク装置の回線設定制御部は「ｄ１」コードを「要求メッセージの情報と同一指示内容にし」、受信したシーケンス番号をそのまま付加して返信する。
２）回線情報
回線番号情報、回線設定情報と回線状態確認情報で暗号化されるデータである。以下で構成する。
ア．「ｄ４ｉ」：回線番号情報を示すポート番号である。
イ．「ｄ５ｉ」：回線設定情報で「ロック指示」あるいは「アンロックの指示」の情報である。
ウ．「ｄ６ｉ」：回線状態確認情報で確認した「ロック」あるいは「アンロック」の情報である。
【００２５】
また、複数回線の回線情報の設定は、（「ｄ４ｉ」，「ｄ５ｉ」，「ｄ６ｉ」）を対にして、目的の回線の回線設定あるいは回線状態確認をこの対情報を繰り返し設定して行う。
３）チェックサム
誤り検出、訂正データのためのデータであり、メッセージ情報と回線情報を通信用のコードに変換しその数値合計にチェックサムとして付加する。誤り確認の付加情報としては他にはＣＲＣ方式、パリィティチェックが考えられる。
【００２６】
ネットワーク装置４と回線施錠装置間５で通信用コードに変換されたメッセージ情報と暗号化された回線情報に誤り訂正のチェックサムを付加された通信データフォーマットにより通信が行われる。
【００２７】
図５は回線施錠装置からネットワーク装置への制御情報の送信手順を示す図である。操作者が回線施錠装置の設定操作部から設定した制御情報を生成し、ネットワーク装置に送信する手順である。
１）操作者は回線施錠装置を対象のネットワーク装置の対象のポートコネクタ部に接続すし、設定操作部より、接続したポートに対する指示内容（メッセージ情報に対応）、回線情報をスイッチにより設定する。（Ｓ１、Ｓ２）
例えば、接続したポートの回線設定を行う場合、メッセージ情報として「ｄ１」として「回線設定指示」、「ｄ２＝ｎｕｌｌ」、「ｄ３＝１」（例えばシーケンス番号＝１）を設定する。
２）施錠制御部は設定された指示内容（メッセージ情報）と回線情報を判断し、回線情報は暗号／復号化処理部に送り、指示内容は通信処理部に送る。暗号化／復号化処理部は電子鍵内蔵部の暗号化鍵を使い回線情報を暗号化する。（Ｓ３、Ｓ４）
３）通信処理部はメッセージ情報と暗号化した回線情報の通信用コードを生成し、チェックサムによるパリテッィを付加した制御情報のデータフォーマット生成し、ネットワーク装置接続インタフェースを介してネットワーク装置に送信する。（Ｓ５）
図６はネットワーク装置の回線施錠装置からの指示内容の処理手順を示す図である。回線施錠装置から送信された制御情報を解読し、対応した処理を行う手順を示している。
１）通信処理部は受信したデータが制御情報であるか否かの確認をメッセージ情報で行う。制御情報である場合はＳ１２に進む。メッセージ情報で無い場合は通常のデータであるので、通信処理部では処理を行わず、ネットワーク装置のＬＡＮノード本体部で通常の処理が行われることになる。（Ｓ１０、Ｓ１１）
２）暗号／復号化処理部は電子鍵内蔵部より復号化鍵を取得し、制御情報の回線情報を復号する。制御情報が指定の暗号化鍵で暗号化されていて復号可能か確認し、復号可能な場合は回線情報の復号を行う。復号できない場合は誤りの信号、あるいは外部からの擬似制御情報であるので、制御情報の処理は行わない（廃棄扱い）。（Ｓ１２、Ｓ１３、Ｓ１４、Ｓ１５、）
３）施錠制御部は復号された回線情報の内容を判断する。（Ｓ１６）
ア．回線設定情報の場合：施錠制御部は、受信した回線番号情報を確認し、ポート管理部に回線設定を指示する。ポート管理部は指示を受けたポート番号のポートに指示の回線設定（ロック／アンロック）を行う。（Ｓ１７、Ｓ１８、Ｓ１９）
イ．回線状態確認情報の場合：施錠制御部は、受信した回線番号情報を確認し、ポート管理部に回線状態の確認を指示する。ポート管理部は指示のポート番号の回線状態を確認し、確認結果を保持すると共に施錠管理部に確認結果を通知する。施錠制御部は確認結果を暗号／復号化処理部に送り、暗号／復号化処理部は回線情報を暗号化鍵により暗号化し、通信処理部に送る。通信処理部はメッセージ情報、暗号化された回線情報を通信用コードに変換し、チェックサムを付加して回線施錠装置に返信する。（Ｓ２０、Ｓ２１、Ｓ２２、Ｓ２３、Ｓ２４）
ウ．回線設定情報、回線状態確認信号の両者でも無い場合はエラー情報として制御情報の処理は行わない（廃棄扱い）。（Ｓ２５）
図７は回線施錠装置の状態確認回線の状態表示手順を示す図である。ネットワーク装置に回線状態の要求を行った回線の状態を受信し、回線状態表示部に表示する手順を示している。
１）通信処理部はネットワーク装置より送信した情報に対する応答情報を受信する。受信情報のメッセージ情報の内容より応答メッセージ情報であるか確認し、応答情報である場合はＳ３２に進み、そうでない場合はＳ３４に進む。
【００２８】
なお、メッセージ情報で無い場合は通常のＬＡＮノードの通常のデータであるので、通信処理部では処理を行わない（廃棄扱い）。（Ｓ３０、Ｓ３１、Ｓ３４）
２）暗号／復号化処理部は受信した返信回線情報を復号し、要求のポート番号の回線状態（ロック／アンロック）の情報を得て、施錠制御部に通知する。施錠制御部はポート番号に対する回線状態の表示を回線状態表示部に指示し、回線状態表示部はポート番号とその回線状態を表示する。（Ｓ３２、Ｓ３３）
３）受信した情報が応答メッセージでない場合は、通常のＬＡＮノードのデータであるので、通信処理部では処理を行わない。（Ｓ３４）
図８は回線施錠装置接続外観を示す図である。ネットワーク装置５のポートコネクタ部８との接続箇所であるネットワーク装置接続コネクタ部２０、回線状態表示部２５、設定操作部（設定スィッチ）２６を示している。回線状態表示部にはロック、アンロックを示す表示が示される。（ここでは分かり易く「Ｌｏｃｋ」「Ｕｎｌｏｃｋ」で表示）
図９はネットワーク装置への回線施錠装置接続外観を示す図である。ネットワーク装置４のポートコネクタ部８に接続した状態を示している。接続した回線のロック／アンロック状態が回線状態表示部１４に表示される。
【００２９】
図１０はネットワーク装置及び回線施錠装置接続状態（その１）を示す図である。
【００３０】
１）の回線切換スィッチにより「回線ロック」設定に対し、２）に回線使用不可を示す「ＬＩＮＫＤＯＷＮ」の表示行う。
【００３１】
図１１はネットワーク装置及び回線施錠装置接続状態（その２）を示す図である。
【００３２】
１）の回線切換スィッチにより「回線アンロック」設定に対し、２）に回線使用可能表示を示す「ＬＩＮＫＵＰ」の表示を行う。
【００３３】
図１２はロック／アンロック設定後のネットワーク装置への回線接続を示す図である。
１）回線施錠装置の常時接続不要
ロック／アンロック設定後は回線コネクタ部がＬＡＮノード本体部と連携して、設定した状態をソフト的に維持するので、回線施錠装置は常時接続不要となる。すなわち、一度設定後は、回線施錠装置を接続不要であり、回線施錠装置を着脱した状態においても設定した回線状態を維持する。
２）回線接続ケーブル接続無効
ロック設定により回線接続ケーブルを接続しても、物理的な設定されたポートからの信号は無視するようソフト的に処理するので、回線接続は無効扱いとなる。すなわち、実効的に接続無効である。表示部には通信不可の表示が表示される。
【図面の簡単な説明】
【００３４】
【図１】図１はネットワーク構成例と回線施錠装置の接続を示す図である。
【図２】図２はネットワーク装置（ＬＡＮノード）ブロック構成を示す図である。
【図３】図３は回線施錠装置ブロック構成を示す図である。
【図４】図４はネットワーク装置と回線施錠装置間通信の制御情報の通信データフォーマットを示す図である。
【図５】図５は回線施錠装置からネットワーク装置への制御情報の送信手順を示す図である。
【図６】図６はネットワーク装置の回線施錠装置からの指示内容の処理手順を示す図である。
【図７】図７は回線施錠装置の状態確認回線の状態表示手順を示す図である。
【図８】図８は回線施錠装置接続外観を示す図である。
【図９】図９はネットワーク装置への回線施錠装置接続外観を示す図である。
【図１０】図１０はネットワーク装置及び回線施錠装置接続状態（その１）を示す図である。
【図１１】図１１はネットワーク装置及び回線施錠装置接続状態（その２）を示す図である。
【図１２】図１２はロック／アンロック設定後のネットワーク装置への回線接続を示す図である。
【符号の説明】
【００３５】
１構内ネットワーク
２外部ネットワーク
３ネットワーク装置（ゲートウエイ）
４ネットワーク装置（ＬＡＮノード）
５回線施錠装置
６ＬＡＮノード本体部
７回線設定制御部
８、８−１、８−ｉ、８−ｎポートコネクタ部
１０通信管理部
１１暗号／復号化処理部（ネットワーク装置）
１２施錠制御部（ネットワーク装置）
１３回線状態表示部（ネットワーク装置）
１４電子鍵内蔵部（ネットワーク装置）
１５通信処理部
１６ポート管理部
２０ネットワーク装置接続コネクタ部
２１通信処理部
２２暗号／復号化処理部（回線施錠装置）
２３施錠制御部（回線施錠装置）
２４電子鍵内蔵部（回線施錠装置）
２５回線状態表示部（ネットワーク装置）
２６操作設定部（設定スィッチ）

【特許請求の範囲】
【請求項１】
指示により通信ネットワークの回線毎の回線設定を行う機能を備えたネットワーク装置と前記ネットワーク装置に回線設定を指示する回線施錠装置によるネットワーク装置の空き回線不正使用の防止方法であって、
前記回線施錠装置を前記ネットワーク装置の回線コネクタ部に接続して、指定した回線への回線のロックあるいはアンロックの回線設定指示の制御情報の設定を行い、
前記ネットワーク装置は指示を受けた制御情報の正当性の確認を行い、
前記指示された回線に指定のロックあるいはアンロックの回線設定を行うことを特徴とするネットワーク装置の空き回線不正使用防止方法。
【請求項２】
請求項１記載の回線施錠装置はさらに、回線状態を確認する制御信号の設定を行い、
前記ネットワーク装置の回線状態情報の取得を行うことを特徴とする請求項１記載のネットワーク装置の空き回線不正使用防止方法。
【請求項３】
請求項１記載の制御情報は一括して前記ネットワーク装置の回線設定を行うことを特徴とする請求項１記載のネットワーク装置の空き回線不正使用防止方法。
【請求項４】
ネットワーク装置に回線設定を行う回線施錠装置であって、
前記回線施錠装置は、
回線毎に該回線のロックあるいはアンロックの回線設定情報と、前記ネットワーク装置に回線毎の回線状態の取得を問い合わせる回線状態確認信号の制御情報を生成する手段と、
前記制御情報を暗号化する手段と、
を備えて構成する回線施錠装置。
【請求項５】
請求項１記載の制御情報は回線名とその回線設定情報を暗号化して設定し、
前記ネットワーク装置は前記制御情報を指定の復号化方法で復号することを特徴とする請求項１記載のネットワーク装置の空き回線不正使用防止方法。

【図１】