少なくとも一部ノード間で実行される暗号化通信を少なくとも一部試験することを可能とするノード間のセキュアな通信チャネルを少なくとも一部確立する方法
一実施形態は、少なくとも部分的に、第１ドメインのクライアントと第２ドメインのサーバとの間の少なくとも部分的にセキュアな通信を確立する回路を含んでもよい。チャネルは、第１及び第２ドメインにおける第１ドメインセッション及び第２ドメインセッションを含んでもよい。回路は、少なくとも部分的に、第１ドメインセッション及び第２ドメインセッションをそれぞれ暗号化してもよい第１ドメインセッションキー及び第２ドメインセッションキーを生成してもよい。第１ドメインセッションキーは、第１ドメインに割り当てられる第１ドメインキー及び第１ドメインセッションに関連付けられる第１データセットに基づいて生成されてもよい。第２ドメインセッションキーは、第２ドメインに割り当てられる第２ドメインキー及び第２ドメインセッションに関連付けられる第２データセットに基づいて生成されてもよい。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、少なくとも一部ノード間で実行される暗号化通信を少なくとも一部試験することを可能とするノード間のセキュアな通信チャネルを少なくとも一部確立する方法に関する。
【背景技術】
【０００２】
従来の構成において、企業のネットワークが、第２ネットワークノードに接続される第１ネットワークノードを含む場合を考える。第２ネットワークノードは、企業ネットワークを、第３ネットワークノードを含む外部ネットワークに接続してもよい。第２ネットワークノードは、企業ネットワークから外部ネットワークへと渡されるパケット及び外部ネットワークから企業ネットワークへと渡されるパケットの試験及び／又は解析を伴う、企業ネットワークのためのセキュリティ機能を提供してもよい。
【０００３】
従来のネットワーク配置では、第１ネットワークノード及び第３ネットワークノードは、互いに暗号化された通信を交換してもよい。第１ネットワークノードと第３ネットワークノードとの間では交換されるが第２ネットワークへは開示されない暗号化キーに基づいて、この通信が実行されてもよい。これにより、第２ネットワークノードが、第１ネットワークノードと第３ネットワークノードとの間で暗号化された通信の内容を試験及び／又は分析することを不可能にしている。しかしながら、この構成は、企業のセキュリティを危険に晒す可能性があり、企業ネットワークに悪影響を与える可能性がある（例えば、企業ネットワークにウイルスの侵入を許す等）。
【０００４】
更に、相対的に多数のセキュアな接続が、第２ネットワークノードを横断している場合がある。この従来の配置では、意味のある試験及び／又はその他の分析を実行するために、第２ネットワークノードは、多数の接続のそれぞれを、それぞれの暗号キー及び／又はその他の情報と関連付ける。処理可能な接続の数が大幅に限られ、このような関連付け処理のスピードが制限される従来の配置では、接続の拡張性の問題が生じる。
【０００５】
また、従来の配置では、これらセキュアな接続の数及び特徴は、時間軸上で一定ではなく、相対的に短期間で大きく変化する場合が多い。接続が大幅に変化することを考慮して、意味のある試験及び／又はその他の分析を実行するためには、接続同期処理の大きなオーバーヘッドを第２ネットワークノードに課すことになる。
【０００６】
また、従来の配置では、第１ノードと第３ノードとの間のセキュアな接続はそれぞれ、第２ノードと第３ノードとの間の対応する接続と関係している場合がある。第２ネットワークノードと第３ネットワークノードとの間のセキュアな接続それぞれについて、第２ネットワークは、それぞれのセキュアな接続を確立するのに使用されてもよい第３ネットワークとの暗号化キーをそれぞれ交渉してもよい。従来の配置では相対的に多数の接続が存在することから、暗号化キーの交渉及びそれに関連して多数のハンドシェイクが望ましくないほど多数発生し、第２ノードと第３ノードとの間で多数のキーについての交渉が行われることになる。また、この従来の配置では、多量のキーを記憶及び処理しなくてはならない。
【０００７】
実施形態の特徴及び利点が、以下の詳細な説明及び図面を参照することにより明らかとなるであろう。図面間において、同様な構成要素には同様な参照番号が付与されている。
【図面の簡単な説明】
【０００８】
【図１】システムの実施形態を示した図である。
【図２】一実施形態における特徴を示した図である。
【図３】一実施形態における特徴を示した図である。
【図４】一実施形態における特徴を示した図である。
【図５】一実施形態におけるオペレーションを示した図である。
【発明を実施するための形態】
【０００９】
以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
【００１０】
図１には、システムの実施形態１００が示されている。システム１００は、別のドメイン７０と通信可能に接続されてもよい企業ドメイン５１を含んでもよい。ドメイン７０は、少なくとも一部、企業ドメイン５１の外側であってもよく、少なくとも一部インターネットドメインを含む及び／又は利用してもよい。企業ネットワーク５１は、１以上のゲートウェイ及び／又はネットワークアプライアンスノード１２０に通信可能に接続されてもよい１以上のクライアントネットワークノード１０を含んでもよい。１以上のノード１２０は、ドメイン７０に含まれていてもよい１以上のサーバノード３０及び／又はドメイン７０に通信可能に接続されていてもよい。
【００１１】
本実施形態において、"ノード"という言葉は、例えば、終端局、家電、マスストレージ、中間局、ネットワークインターフェース、クライアント、サーバ、スマートフォン、その他の通信デバイス及び／又はその部分のような、ネットワークに通信可能に接続されるエンティティを指す。本実施形態において、"クライアント"及び／又は"クライントノード"という言葉は、必ずしもこれが必要というわけではないが終端局を含むノードという意味に交換可能に使用される場合がある。本実施形態において、終端局は、スマートフォン又はその他の通信デバイスであってもよい。また、本実施形態において、"中間ノード"、"ゲートウェイ"、"ゲートウェイノード"、"ネットワークアプライアンス"、及び／又は、"ネットワークアプライアンスノード"という言葉は、複数のその他のノードに通信可能に接続されてもよいノードを意味するように交換可能に使用される場合があり、例えば、ファイヤーウォール、スイッチング、フォワーディング、ゲートウェイ、侵入検出、負荷バランシング、及び／又は、ルーティングサービス及び／又は機能のような１以上のサービス及び／又は機能を提供、促進及び／又は実装してもよい（必ずしも、提供することが必要であるわけではないが）。本実施形態において、"サーバ"及び／又は"サーバノード"という言葉は、例えば、データ格納、読み出し及び／又は処理機能のような１以上のサービス及び／又は機能を１以上のクライアントに提供、促進及び／又は実装するノードを意味する言葉として交換可能に使用される場合がある。本実施形態において、"ネットワーク"は、互いに通信可能に接続される２つ以上のノードであってもよい、又は、この２つ以上のノードを含んでもよい。また、本実施形態において、一方のノードが、例えば、１以上の有線及び／又は無線通信リンクを介して、１以上のコマンド及び／又はデータを他方のノードから送信及び受信可能である場合、一のノードは他のノードに"通信可能に接続"されてもよい。本実施形態において、"無線通信リンク"は、少なくとも２つのノードが少なくとも部分的に無線通信接続されることを可能にする様式及び／又は部分を意味してもよい。本実施形態において、"有線通信リンク"とは、少なくとも２つのノードが少なくとも部分的に非無線手段を介して少なくとも部分的に通信接続されることを可能にする様式及び／又は部分を意味してもよい。また、本実施形態で使用されている、データという言葉は、１以上のコマンドである又は１以上のコマンドを含んでもよく、１以上のコマンドはデーアであってもよい又はデータを含んでもよい。
【００１２】
１以上のノード１２０は、回路基板（ＣＢ）１４を含んでもよい。ＣＢ１４は、１以上のホストプロセッサ、及び／又は、チップセット集積回路１２及びコンピュータ読み出し／書き込み可能メモリ２１を備えるシステムマザーボードであってもよい、又は、そのようなシステムマザーボードを含んでもよい。ＣＢ１４は、ＣＢ１４の構成要素（例えば、１以上の集積回路１２及び／又はメモリ２１）及びＣＣ２２の構成要素（例えば、Ｃ２２に含まれる演算可能回路１１８）が、互いに通信可能に接続されるような態様で、回路カード（ＣＣ）２２がＣＢ１４と電気的及び機械的に結合することを可能とする１以上のコネクタ（図示せず）を備えてもよい。
【００１３】
これに替えて又は加えて、本実施形態の範囲において、１以上の集積回路１２及び／又はメモリ２１に含まれる回路の一部又は全てが、回路１１８に含まれていてもよく、及び／又は、回路１１８の一部又は／全てが、１以上の集積回路１２及び／又はメモリ２１に含まれていてもよい。
【００１４】
また、本実施形態において"回路"は、例えば、アナログ回路、デジタル回路、有線接続された回路、ブログラム可能回路、状態機械回路、及び／又は、プログラマブル回路によって実行されてもよいプログラム命令を含むメモリを単体で、又は、これらの組み合わせを含んでもよい。本実施形態では、"集積回路"とは、例えば、半導体集積回路チップのような、半導体デバイス及び／又はマイクロ電子デバイスを意味してもよい。更に、本実施形態では、"ホストプロセッサ"、"プロセッサ"、"プロセッサコア"、"コア"及び／又は"コントローラ"という言葉は、少なくとも部分的に１以上の算術及び／又は論理演算を実行する能力を有する回路を意味するべく交換可能に使用される場合がある。また、本実施形態では、"チップセット"とは、少なくとも部分的に、１以上のプロセッサ、メモリ及び／又はその他の回路に通信可能に接続できる回路を含んでもよい。
【００１５】
ノード１０、１２０及び／又は３０はそれぞれ、図示しないユーザインターフェースを備えてもよく、ユーザインターフェースは、例えば、キーボードポインティングデバイス及び人間がコマンドを入力可能な表示システムを備え、各ノード及び／又はシステム１００のオペレーションを監視する。演算可能回路１１８は、１以上のクライアント１０及び／又は１以上のサーバ３０と通信可能に接続されていてもよい。
【００１６】
回路１１８は、１以上の集積回路１５を含んでもよい。１以上の集積回路１５は、１以上のプロセッサコア１２４及び／又は暗号化回路１２６を含んでもよい。この実施形態において、回路１１８、１以上の集積回路１５、１以上のコア１２４及び／又は回路１２６は、少なくとも部分的に、本明細書に記載される回路１１８によって実行される暗号化及び／又は関連オペレーションを実行可能であってもよい。
【００１７】
１以上の機械可読プログラム命令は、コンピュータ可読／書き込み可能メモリ２１に格納されてもよい。１以上のノード１２０のオペレーションにおいて、これら命令は、１以上の集積回路１２、回路１１８、１以上の集積回路１５、１以上のプロセッサコア１２４及び／又は回路１２６によって実行及び／又はアクセスされてもよい。１以上の命令が実行されると、１以上の集積回路１２、回路１１８、１以上の集積回路１５、１以上のプロセッサコア１２４及び／又は回路１２６は、本明細書に記載されるように１以上の集積回路１２、回路１１８、１以上の集積回路１５、１以上のプロセッサコア１２４及び／又は回路１２６によって実行されるオペレーションを実行する。メモリ２１は、半導体ファームウェアメモリ、プログラマブルメモリ、不揮発性メモリ、リードオンリーメモリ、電気的プログラマブルメモリ、ランダムアクセスメモリ、フラッシュメモリ、磁気ディスクメモリ、光ディスクメモリ、及び／又は、その他の又は後に開発されるコンピュータ可読及び／又は書き込み可能メモリのうちの１以上の種類のメモリを含んでもよい。
【００１８】
本実施形態において、"ドメイン"は、１以上のノード及び（図示しない）ドメインオーソリティを含む。本実施形態において、"ドメインオーソリティ"は、一部又は全部が、認証、特定及び／又はセキュリティを伴う及び／又は関係する１以上の機能、特徴、プロトコル及び／又はオペレーションを少なくとも部分的に、提供、実装及び／又は促進可能な１以上のエンティティを含んでもよい。例えば、ドメイン５１及び／又は７０はそれぞれ、１以上のノード１０、１２０及び／又は３０に通信可能に接続されてもよい１以上の対応するドメインオーソリティ（図示せず）を含んでもよい。これに替えて又は加えて、システム１００における１以上のドメインオーソリティの機能及び／又はオペレーションの全て又は一部は、少なくとも部分的に、１以上のノード１２０及び／又は３０によって実行されてもよい。
【００１９】
回路１１８は、データ及びコマンドを１以上の通信プロトコルに従って、１以上のクライアント１０と及び／又は１以上のサーバ３０と交換してもよい。例えば、本実施形態では、これら１以上のプロトコルは、例えば、イーサーネットプロトコル、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）プロトコル、セキュリティアーキテクチャｆｏｒＩＰ（ＩＰｓｅｃ）及び／又はトランスポートレイヤセキュリティ（ＴＬＳ）プロトコルに準拠してもよい。
【００２０】
システム１００で利用可能なイーサーネットプロトコルは、２０００年１０月２０日発行の電気電子技術者協会（ＩＥＥＥ）規格、８０２．３、２０００年エディションに記載されたプロトコルに準拠してもよい。システム１００で利用可能なＴＣＰ／ＩＰプロトコルは、１９８１年発行のインターネット・エンジニアリング・タスクフォース（ＩＥＴＦ）のリクエストフォーコメンツ（ＲＦＣ）７９１及び７９３に記載されているプロトコルに準拠してもよい。システム１００で利用可能なＩＰｓｅｃプロトコルは、２００５年１２月に発行されたＩＥＴＦ ＲＦＣ４３０１に記載されているプロトコルに準拠してもよい。システム１００で利用可能なＴＬＳプロトコルは、２００６年４月に発行されたＩＥＴＦ ＲＦＣ４３４６"トランスポートレイヤセキュリティ（ＴＬＳ）プロトコルバージョン１．１"に記載されたプロトコルに準拠してもよい。無論、上記のプロトコル及び／又はその他のプロトコルの後に開発されるバージョンを含む、数多くの異なる、更なる及び／又はその他のプロトコル（例えば、セキュリティに関する及び／又は実装プロトコル）を、本実施形態の範囲内で、データ及び／又はコマンドの交換に使用してもよい。
【００２１】
図５に示すように、システム１００は、少なくとも部分的に、オペレーション５００を実行してもよい。例えば、システム１００のオペレーションでは、回路１１８は、データ及び／又はコマンドを、１以上のクライアント１０及び／又は１以上のサーバ３０とやりとりしてもよく、少なくとも部分的に、１以上のクライアント１０及び／又は１以上のサーバ３０との間の１以上のセキュアな通信チャネル５４を、回路１１８及び／又は１以上の図示しない非中間ノードを介して確立してもよい（オペレーション５０２参照）。本実施形態において、１以上のチャネル５４は、ドメイン５１における１以上のセッション９０及びドメイン７０における１以上のセッション９２を含んでもよい。１以上のセッション９０は、少なくとも部分的に、１以上のクライアント１０及び１以上のノード１２０（すなわち、１以上のノード１２０における回路１１８）を通信可能に接続してもよい、又は、これらの間に存在してもよいドメイン５１における、１以上のセキュアなセッションである、又は、１以上のセキュアなセッションを含む。１以上のセッション９２は、少なくとも部分的に、回路１１８及び１以上のサーバ３０を通信可能に接続してもよい、又は、これらの間に存在するドメイン７０における、１以上のセキュアなセッションである、又は、１以上のセキュアなセッションを含む。以下に説明するように、１以上のセッション９０及び１以上のセッション９２は、まとめて、１以上のチャネル５４を提供するように動作する。
【００２２】
本実施形態において、"セッション"及び"チャネル"という言葉は交換可能に使用される場合があり、少なくとも２つのエンティティの間でコマンド及び／又はデータを交換することを含む。また、本実施形態において、"セキュアなセッション"とは、少なくとも部分的に、データ及び／又はコマンドの少なくとも一部が暗号化されているセッションを含んでもよい。本実施形態において、"暗号化"及び／又は"暗号化する"とは、少なくとも部分的に、プレーンテキストから暗号文を生成すること及び／又はその生成を簡易にすることを含む１以上のオペレーションを含んでもよい。また、本実施形態において、"復号化（暗号解読）"及び／又は"復号化する"とは、少なくとも部分的に、暗号文からプレーンテキストを生成すること及び／又はその生成を簡易にすることを含む１以上のオペレーションを含んでもよい。また、本実施形態において、"プレーンテキスト"は、少なくとも部分的に暗号化されたデータ、及び／又は、暗号化及び／又は復号化がすでに行われた及び／又は暗号化及び／又は復号化の最中であるデータを含んでもよい。本実施形態において、"キー（鍵）"は、暗号化及び復号化で使用されてもよい１以上の符号及び／又は値を含んでもよい。
【００２３】
例えば、本実施形態において、１以上のクライアント１０は、１以上のクライアント１０と１以上のサーバ３０との間の１以上のセキュアなチャネル５４の確立を開始することを意図した１以上のパケットを、回路１１８に送信してもよい。これら１以上のパケットに応答して、少なくとも部分的に、回路１１８は、１以上のクライアント１０とデータ及び／又はコマンドをやりとりしてもよく、それにより１以上のセッション９０が確立されてもよい。本実施形態では、これと同時に、回路１１８は、１以上のサーバ３０とデータ及び／又はコマンドをやりとりしてもよく、それにより１以上のセッション９２が確立されてもよい。
【００２４】
回路１１８と１以上のクライアント１０との間のデータ及び／又はコマンドのやりとりの一部として、回路１１８は、セキュアな態様で（例えば、ＴＬＳ制御チャネルハンドシェイク、ＴＣＰ及び／又はＩＰオプションを伴うアウトバウンド技術、及び／又は、ＩＰｓｅｃインターネット鍵交換の一部として）、１以上のクライアントノード１０に、１以上のセッションキー（ＳＫ）８０を送信してもよい。１以上のキー８０を１以上のクライアント１０に送信する前に、１以上のノード１２０は、少なくとも部分的に１以上の暗号化オペレーションに基づいて（例えば、１以上の一方向ハッシング関数を含む）、少なくとも部分的に入力オペランドとして１以上のドメインキー（ＤＫ）７６及び１以上のデータセット（ＤＳ）７８を伴う１以上のキー８０を少なくとも部分的に生成してもよい。このように、少なくとも部分的に、１以上のノード１２０とドメイン５１内の１以上のクライアント１０との間の交渉の結果として、少なくとも部分的に、１以上のキー８０が生成されてもよい。
【００２５】
１以上のキー７６が、ドメイン５１内の図示しない１以上のドメインオーソリティによってドメイン５１に割り当てられてもよい。これら１以上のドメインオーソリティは、少なくとも部分的に、１以上のキー７６を生成して、これらを１以上のノード１２０に分配してもよい。しかしながら、１以上のドメインオーソリティ及び１以上のノード１２０は、１以上のクライアントノード１０及びその他のエンティティ（例えば、ドメイン５１内外のエンティティ）に対して、１以上のキー７６を秘密にしてもよい。１以上のデータセット７８は、少なくとも部分的に、回路１１８によって、１以上のクライアント１０から１以上のノード１２０へと送信された１以上のパケット２０４（図２参照）から抽出されてもよい（又は、取得されてもよい）。１以上のデータセット７８は、少なくとも部分的に、１以上のセッション９０と関連付けられていてもよい。例えば、１以上のデータセット７８は、少なくとも部分的に、１以上のセッション９０を特定できる１以上の値２０２を含んでもよい。この１以上の値２０２は、少なくとも部分的に、１以上のクライアント１０及び／又は１以上のノード１２０を特定する固有のＩＤを１以上連結したものであってもよい、又は、このようなものを含んでもよい。（少なくとも部分的に）これに替えて又はこれに加えて、１以上の値２０２は、少なくとも部分的に、１以上のサーバ３０のそれぞれのＩＤを１以上含んでもよい。これら固有のＩＤは、例えば、１以上のそれぞれのアドレス、ＩＰｓｅｃセキュリティパラメータインデックス、及び／又は、その他の値（例えば、セッションコンテキスト情報）であってもよい、又は、これらを含んでもよい。
【００２６】
本実施形態において、ドメイン５１の１以上の図示しないドメインオーソリティは、（１）１以上のキー７６がドメイン５１と一意的に関連付けられる、及び、（２）１以上のキー７６が１以上のキー８０から基本的に取得できない（例えば、現実的な暗号化の観点で）ような態様で、１以上のキー７６を生成してもよい。一実施形態において、１以上のキー７６は、暗号化法的に高度にランダムな１以上の番号であってもよい、又は、そのような番号を含んでもよい。
【００２７】
１以上のキー８０を使用して、クライアント１０の各々は、少なくとも部分的に、１以上のセッション９０を介して１以上のノード１２０に送信されるトラフィックのそれぞれを暗号化してもよく、また、少なくとも部分的に、１以上のセッション９０を介して１以上のノード１２０から受信されるトラフィックをそれぞれ復号化してもよい。本実施形態において、１以上のノード１２０へのトラフィックは、１以上の値２０２及び／又はデータセット７８がプレーンテキストとして送信される１以上のパケット（例えば、１以上のパケット２０４）を含んでもよい。１以上の値２０２及び／又は１以上のデータセット７８は、上記のような態様で１以上のキー７６と共に、１以上のキー８０を生成する１以上の暗号化オペレーションにおいて使用される場合に、１以上のキー８０の各々が、１以上のゲートウェイ１２０と１以上のクライアント１０との間の独立したそれぞれのセキュアなセッションを提供するのに使用可能な独立したセッションキーとなるように又はそのようなセッションキーを含むように、１以上の値２０２及び／又は１以上のデータセット７８が選択されてもよい。
【００２８】
回路１１８及び／又は１以上のサーバ３０との間でやりとりされるデータ及び／又はコマンドの一部として、回路１１８は、セキュアな態様で（例えば、ＴＬＳ制御チャネルハンドシェイク、ＴＣＰ及び／又はＩＰオプションを伴うアウトバウンド技術、及び／又は、ＩＰｓｅｃインターネット鍵交換の一部として）、１以上のサーバ３０に、１以上のセッションキー８２を送信してもよい。１以上のキー８２を１以上のサーバ３０に送信する前に、１以上のノード１２０は、少なくとも部分的に、１以上の暗号化オペレーションに基づいて（例えば、１以上の一方向ハッシング関数を含む）、少なくとも部分的に入力オペランドとして１以上のドメインキー７２及び１以上のデータセット７４を伴う１以上のキー８２を少なくとも部分的に生成してもよい。このように、少なくとも部分的に、ドメイン５１内の１以上のノード１２０とドメイン７０内の１以上のサーバ３０との間の交渉の結果として、少なくとも部分的に、１以上のキー８２が生成されてもよい。
【００２９】
１以上のキー７２が、ドメイン７０内の図示しない１以上のドメインオーソリティによってドメイン７０に割り当てられてもよい。これら１以上のドメインオーソリティは、少なくとも部分的に、１以上のキー７２を生成して、これらを１以上のノード１２０に分配してもよい。しかしながら、１以上のドメインオーソリティ及び１以上のノード１２０は、１以上のサーバ３０及びその他のエンティティ（例えば、ドメイン７０内外のエンティティ）に対して、１以上のキー７２を秘密にしてもよい。１以上のデータセット７４は、少なくとも部分的に、回路１１８によって、１以上のサーバ３０から１以上のノード１２０へと送信された１以上のパケット２０８（図２参照）から抽出されてもよい（又は、取得されてもよい）。１以上のデータセット７４は、少なくとも部分的に、１以上のセッション９２と関連付けられていてもよい。例えば、１以上のデータセット７４は、少なくとも部分的に、１以上のセッション９２を特定できる１以上の値２０６を含んでもよい。この１以上の値２０６は、少なくとも部分的に、１以上のサーバ３０及び／又は１以上のノード１２０を特定する固有のＩＤを１以上連結したものであってもよい、又は、このようなものを含んでもよい。（少なくとも部分的に）これに替えて又はこれに加えて、１以上の値２０６は、少なくとも部分的に、１以上のクライアント１０のそれぞれのＩＤを１以上含んでもよい。これら固有のＩＤは、例えば、１以上のそれぞれのアドレス、ＩＰｓｅｃセキュリティパラメータインデックス、及び／又は、その他の値（例えば、セッションコンテキスト情報）であってもよい、又は、これらを含んでもよい。
【００３０】
このように、本実施形態では、例えば、オペレーションのドメインに応じて、１以上の値２０６及び／又は１以上のデータセット７４は、少なくとも部分的に、１以上の値２０２及び／又は１以上のデータセット７８とそれぞれ同一であってもよい。これに替えて、本実施形態の範囲内において、例えば、オペレーションのドメインに応じて、１以上の値２０６及び／又は１以上のデータセット７４は、少なくとも部分的に、１以上の値２０２及び／又は１以上のデータセット７８とそれぞれ異なっていてもよい。
【００３１】
本実施形態において、ドメイン７０の１以上の図示しないドメインオーソリティは、（１）１以上のキー７２がドメイン７０と一意的に関連付けられる、及び、（２）１以上のキー７２が１以上のキー８２から基本的に取得できない（例えば、現実的な暗号化の観点で）ような態様で、１以上のキー７２を生成してもよい。一実施形態において、１以上のキー７２は、暗号化法的に高度にランダムな１以上の番号であってもよい、又は、そのような番号を含んでもよい。
【００３２】
１以上のキー８２を使用して、サーバ３０の各々は、少なくとも部分的に、１以上のセッション９２を介して１以上のノード１２０に送信されるトラフィックのそれぞれを暗号化してもよく、また、少なくとも部分的に、１以上のセッション９２を介して１以上のノード１２０から受信されるトラフィックをそれぞれ復号化してもよい。本実施形態において、１以上のノード１２０へのトラフィックは、１以上の値２０６及び／又はデータセット７４がプレーンテキストとして送信される１以上のパケット（例えば、１以上のパケット２０８）を含んでもよい。１以上の値２０６及び／又は１以上のデータセット７４は、上記のような態様で１以上のキー７２と共に、１以上のキー８２を生成する１以上の暗号化オペレーションにおいて使用される場合に、１以上のキー８２の各々が、１以上のゲートウェイ１２０と１以上のサーバ３０との間の独立したそれぞれのセキュアなセッションを提供するのに使用可能な独立したセッションキーとなるように又はそのようなセッションキーを含むように、１以上の値２０６及び／又は１以上のデータセット７４が選択されてもよい。本実施形態において、１以上のドメインキー７６は、少なくとも部分的に、１以上のドメインキー７２とは異なっていてもよい。
【００３３】
図２に示すように、本実施形態では、ドメイン５１において、１以上のクライアント１０は、複数のクライアント２２０Ａ…２２０Ｎを含んでもよく、１以上のセッション９０は、クライアント２２０Ａ…２２０Ｎと１以上のゲートウェイノード１２０との間の複数のセッション２３０Ａ…２３０Ｎを含んでもよい。セッション２３０Ａ…２３０Ｎはそれぞれ、クライアント２２０Ａ…２２０Ｎと１以上のノード１２０とを通信可能に接続してもよい。上記したように、これらセキュアなセッション２３０Ａ…２３０Ｎは、少なくとも部分的に、１以上のセッションキー８０のうちの対応する１つに基づいて生成されてもよい。
【００３４】
図３に示すように、１以上のセッション９２は、１以上のゲートウェイ１２０を１以上のサーバ３０に通信可能に接続可能である１つのセキュアなセッション３０２を含んでもよい。この配置では、セッション３０２は、少なくとも部分的に、セッション２３０Ａ…２３０Ｎをカプセル化してもよい（図２参照）。本実施形態において、カプセル化は、少なくとも部分的に、第１エンティティを少なくとも部分的に第２エンティティに組み込むこと、及び／又は、第１エンティティの情報の少なくとも一部を少なくとも部分的に第２エンティティに組み込むことを含んでもよく、例えば、１以上のパケットを１以上のフレームにカプセル化することを含む。
【００３５】
例えば、ネットワークトラフィック３０４は、セッション２３０Ａ…２３０Ｎを介して、クライアント２２０Ａ…２２０Ｎから、１以上のゲートウェイ１２０における回路１１８へと送信されてもよい。セッション２３０Ａ…２３０Ｎを介して回路１１８に送信される場合に、トラフィック３０４は、少なくとも部分的に１以上のセッションキー８０に基づいて、少なくとも部分的に、暗号化されてもよい。しかしながら、トラフィック３０４において、１以上のデータセット７８及び／又は１以上の値２０２が、プレーンテキストとして送信されてもよい。
【００３６】
回路１１８は、少なくとも部分的に、トラフィック３０４から、１以上のデータセット７８及び／又は１以上の値２０２を抽出してもよい。抽出された１以上のデータセット７８及び／又は１以上の値２０２及び１以上のドメインキー７６に少なくとも部分的に基づいて、回路１１８は、セッション２３０Ａ…２３０Ｎのそれぞれについて、それぞれの１以上のセッションキー８０を動的に（例えば、パケット毎に）再構築して、少なくとも部分的に、トラフィック３０４を暗号化するのに使用してもよい。回路１１８は、少なくとも部分的に動的に再構築された１以上のセッションキー８０に基づいて、トラフィック３０４を復号化してもよい。回路１１８は、少なくとも部分的に、復号化したトラフィック３０４を試験してもよい。試験としては、例えば、パターンマッチング、署名、チェックサム、妥当性の確認、及び／又は、トラフィック３０４において、許可されていない及び／又は望ましくないデータ及び／又は命令が存在することを検出する及び／又はそれに適切に対処するためのその他の分析技術が含まれてもよい。
【００３７】
回路１１８は、少なくとも部分的に１以上のセッションキー８２に基づいて、少なくとも部分的に、暗号化されていないトラフィック３０４を暗号化して、暗号化したトラフィックを１つのセッション３０２を介して１以上のサーバ３０に送信してもよい。その前に、回路１１８は、少なくとも部分的に、１以上の値２０６及び／又は１以上のデータセット７４及び１以上のドメインキー７２に基づいて、動的に１以上のセッションキー８２を（上記の１以上のキー８０で説明したのと同様な態様で）再構築してもよい。
【００３８】
１以上のサーバ３０は、セッション３０２を介して、１以上のゲートウェイ１２０における回路１１８にトラフィック３０６を送信してもよい。１つのセッション３０２を介して回路１１８に送信される場合に、トラフィック３０６は、少なくとも部分的に１以上のセッションキー８２に基づいて、少なくとも部分的に、暗号化されてもよい。しかしながら、トラフィック３０６では、１以上のデータセット７４及び／又は１以上の値２０６が、プレーンテキストとして送信されてもよい。回路１１８は、１以上のデータセット７４及び／又は１以上の値２０６をトラフィック３０６から抽出してもよい。抽出された１以上のデータセット７４及び／又は１以上の値２０６及び１以上のドメインキー７２に少なくとも部分的に基づいて、回路１１８は、１以上のセッションキー８２を動的に再構築して、少なくとも部分的に、トラフィック３０６を暗号化するのに使用してもよい。回路１１８は、少なくとも部分的に動的に再構築された１以上のセッションキー８２に基づいて、トラフィック３０６を復号化してもよい。回路１１８は、少なくとも部分的に、復号化したトラフィック３０６を試験してもよい。試験としては、例えば、パターンマッチング、パターンマッチング、署名、チェックサム、妥当性の確認、及び／又は、トラフィック３０６において、許可されていない及び／又は望ましくないデータ及び／又は命令が存在することを検出する及び／又はそれに適切に対処するためのその他の分析技術が含まれてもよい。
【００３９】
回路１１８は、少なくとも部分的に１以上のセッションキー８０に基づいて、少なくとも部分的に、暗号化されていないトラフィック３０６を暗号化して、暗号化したトラフィックをセッション２３０Ａ…２３０Ｎを介してクライアント２２０Ａ…２２０Ｎに送信してもよい。その前に、回路１１８は、少なくとも部分的に、１以上の値２０２及び／又は１以上のデータセット７８及び１以上のドメインキー７６に基づいて、動的に１以上のセッションキー８０を再構築してもよい。
【００４０】
これに替えて、１以上のセッション９２は、ドメイン７０内の複数のセキュアなセッション４０２Ａ…４０２Ｎ（図４参照）を含んでもよく、これらは、１以上のゲートウェイ１２０と１以上のサーバ３０とを通信可能に接続してもよい。セキュアなセッション４０２Ａ…４０２Ｎはそれぞれ、セキュアなセッション２３０Ａ…２３０Ｎに対応していてもよい。本実施形態において、１以上のデータセット７８は、セッション２３０Ａ…２３０Ｎのそれぞれと関連付けられたデータセット４０４Ａ…４０４Ｎをそれぞれ含んでもよい。例えば、セッション２３０Ａ…２３０Ｎを暗号化するのに基本となる１以上のセッションキー８０のそれぞれは、少なくとも部分的に、データセット４０４Ａ…４０４Ｎ及び１以上のドメインキー７６に基づいて生成されてもよい。回路１１８は、少なくとも部分的に、セッション２３０Ａ…２３０Ｎを介してクライアント２２０Ａから回路へと送信されたトラフィック３０４からそれぞれ、データセット４０４Ａ…４０４Ｎを抽出してもよい（図５のオペレーション５０４を参照）。抽出されたデータセット４０４Ａ…４０４Ｎ及び１以上のドメインキー７６に少なくとも部分的に基づいて、回路１１８は、セッション２３０Ａ…２３０Ｎのそれぞれについて、それぞれの１以上のセッションキー８０を動的に（例えば、パケット毎に）再構築して、少なくとも部分的に、それぞれセッション２３０Ａ…２３０Ｎを介して送信されたトラフィック３０４を暗号化するのに使用してもよい。回路１１８は、少なくとも部分的に動的に再構築された１以上のセッションキー８０に基づいて、トラフィック３０４を復号化してもよい（図５のオペレーション５０６参照）。回路１１８は、少なくとも部分的に、復号化したトラフィックを上記のような態様で試験してもよい。
【００４１】
回路１１８は、少なくとも部分的に１以上のセッションキー８２に基づいて、少なくとも部分的に、暗号化されていないトラフィック３０４を暗号化して、暗号化したトラフィック４０６をセッション４０２Ａ…４０２Ｎを介して１以上のサーバ３０に送信してもよい（図５のオペレーション５０８参照）。その前に、回路１１８は、少なくとも部分的に、１以上の値２０６及び／又は１以上のデータセット７４及び１以上のドメインキー７２に基づいて、動的に１以上のセッションキー８２を（上記で説明したのと同様な態様で）再構築してもよい。
【００４２】
これに替えて、１以上のドメインキー７６は、１以上のキー７２と、少なくとも部分的に、同一であってもよい。更に、これに替えて又はこれに加えて、１以上のゲートウェイ１２０は、１以上のキー７６及び／又は１以上のキー７２を、１以上のセキュアなハンドシェイク及び／又はネゴシエーションオペレーションを介して、１以上のサーバ３０に提供してもよい。これにより、１以上のサーバ３０が１以上のセッションキー８２を動的に再構築することが可能になる、及び／又は、回路１１８に関して上記した態様で、復号化及び／又は暗号化オペレーションを実行することが可能となる。
【００４３】
本実施形態では、１以上のセッション９０に含まれる個々のセッションの数に関係なく、回路１１８は、１以上のサーバ３０と１つのキー（鍵）の交渉のトランザクションを実行してもよく（例えば、１つのセッションキー８２及び／又は１つのドメインキー７２の交換及び／又は交渉を行う）、１以上のサーバ３０は、（例えば、１つのセッションキー８２及び／又は１つのドメインキー７２に少なくとも部分的に基づいて）１以上のセッション９２の全てを確立することを許可してもよい。その結果、本実施形態では、１つのハンドシェイクオペレーションのみが、このようなトランザクションに含まれる。本実施形態では、上記のような構成により、キー交渉の数、交渉を行うキーの数、及び、１以上のセッション９２を確立するのに必要な回路１１８と１以上のサーバ３０との間のハンドシェイクの数を大幅に低減させることができる。更に、上記のような構成により、本実施形態で使用されるキーの格納量を大幅に低減させることができる。
【００４４】
本実施形態において、キー８０及び／又はキー８２の生成は、（１）２００７年３月３０日出願の米国特許出願第11/731,562号、及び、２００８年１０月２８日公開の米国特許出願公開第2008/0244268号公報、発明者Durham等、（２）２００９年３月２日出願の米国特許出願第12/396,125号に開示された原理に少なくとも部分的に基づいて実行されてもよい。無論、その他の、更なる及び／又は代替の技術を少なくとも部分的に使用して、１以上のキー８０及び／又は１以上のキー８２を生成してもよい。
【００４５】
一実施形態は、少なくとも部分的に、第１ドメインのクライアントと第２ドメインのサーバとの間の少なくとも部分的にセキュアな通信を確立する回路を含んでもよい。チャネルは、第１及び第２ドメインにおける第１ドメインセッション及び第２ドメインセッションを含んでもよい。回路は、少なくとも部分的に、第１ドメインセッション及び第２ドメインセッションをそれぞれ暗号化してもよい第１ドメインセッションキー及び第２ドメインセッションキーを生成してもよい。第１ドメインセッションキーは、第１ドメインに割り当てられる第１ドメインキー及び第１ドメインセッションに関連付けられる第１データセットに基づいて生成されてもよい。第２ドメインセッションキーは、第２ドメインに割り当てられる第２ドメインキー及び第２ドメインセッションに関連付けられる第２データセットに基づいて生成されてもよい。
【００４６】
本実施形態において、回路１１８は、少なくとも部分的に、１以上のパケット２０４及び／又は２０８から抽出される１以上のデータセット７８及び／又は７４に少なくとも部分的に基づいて、１以上のセッションキー８０及び／又は８２を動的に生成可能であってもよい。このような構成により、回路１１８が（１）このようなセッションキーに少なくとも部分的に基づいて生成されるセッションとセッションキー自体との間のメモリにおける関連付けを維持する必要がなくなる、（２）トランスポート層及び暗号化状態情報の大部分を常に格納する必要がなくなる及び対応するセッションをバッファする必要がなくなる、という利点を有する。また、このような構成により、本実施形態における、接続拡張性及び処理速度を大幅に改善させることができる。
【００４７】
また、少なくとも部分的に、上記のような態様で１以上のキー８０及び／又は８２を動的に生成することができることにより、回路１１８は、回路１１８から及び／又は回路１１８へと送信されるトラフィックを動的に復号化及び／又は暗号化することができる。このような構成により、回路１１８及び／又は１以上のノード１２０は、１以上のクライアント１０と１以上のサーバ３０（例えば、１以上のセキュアなチャネル５４を介して）との間の暗号化通信のコンテンツの試験及び／又は分析を実行することが可能となる。その結果、企業ドメイン５１及び／又はシステム１００のセキュリティを犠牲にすることなく、（例えば、ドメイン５１及び／又はシステム１００からのウイルスの侵入を防ぐ、又は、ウイルスを取り除くことにより）企業ドメイン５１及び／又はシステム１００の性能を改善させることができる。
【００４８】
このように、本実施形態の特徴により、セキュリティ、通信及び／又は暗号化処理によって消費される処理帯域の量を低減させることができると同時に、このような処理を実行する際の速度を改善させることができる。また、本実施形態の特徴により、特別なトランスポート層及び／又は暗号化オフロード及び／又は加速ハードウェアにより、このような処理をより容易に実装可能とする。
【技術分野】
【０００１】
本開示は、少なくとも一部ノード間で実行される暗号化通信を少なくとも一部試験することを可能とするノード間のセキュアな通信チャネルを少なくとも一部確立する方法に関する。
【背景技術】
【０００２】
従来の構成において、企業のネットワークが、第２ネットワークノードに接続される第１ネットワークノードを含む場合を考える。第２ネットワークノードは、企業ネットワークを、第３ネットワークノードを含む外部ネットワークに接続してもよい。第２ネットワークノードは、企業ネットワークから外部ネットワークへと渡されるパケット及び外部ネットワークから企業ネットワークへと渡されるパケットの試験及び／又は解析を伴う、企業ネットワークのためのセキュリティ機能を提供してもよい。
【０００３】
従来のネットワーク配置では、第１ネットワークノード及び第３ネットワークノードは、互いに暗号化された通信を交換してもよい。第１ネットワークノードと第３ネットワークノードとの間では交換されるが第２ネットワークへは開示されない暗号化キーに基づいて、この通信が実行されてもよい。これにより、第２ネットワークノードが、第１ネットワークノードと第３ネットワークノードとの間で暗号化された通信の内容を試験及び／又は分析することを不可能にしている。しかしながら、この構成は、企業のセキュリティを危険に晒す可能性があり、企業ネットワークに悪影響を与える可能性がある（例えば、企業ネットワークにウイルスの侵入を許す等）。
【０００４】
更に、相対的に多数のセキュアな接続が、第２ネットワークノードを横断している場合がある。この従来の配置では、意味のある試験及び／又はその他の分析を実行するために、第２ネットワークノードは、多数の接続のそれぞれを、それぞれの暗号キー及び／又はその他の情報と関連付ける。処理可能な接続の数が大幅に限られ、このような関連付け処理のスピードが制限される従来の配置では、接続の拡張性の問題が生じる。
【０００５】
また、従来の配置では、これらセキュアな接続の数及び特徴は、時間軸上で一定ではなく、相対的に短期間で大きく変化する場合が多い。接続が大幅に変化することを考慮して、意味のある試験及び／又はその他の分析を実行するためには、接続同期処理の大きなオーバーヘッドを第２ネットワークノードに課すことになる。
【０００６】
また、従来の配置では、第１ノードと第３ノードとの間のセキュアな接続はそれぞれ、第２ノードと第３ノードとの間の対応する接続と関係している場合がある。第２ネットワークノードと第３ネットワークノードとの間のセキュアな接続それぞれについて、第２ネットワークは、それぞれのセキュアな接続を確立するのに使用されてもよい第３ネットワークとの暗号化キーをそれぞれ交渉してもよい。従来の配置では相対的に多数の接続が存在することから、暗号化キーの交渉及びそれに関連して多数のハンドシェイクが望ましくないほど多数発生し、第２ノードと第３ノードとの間で多数のキーについての交渉が行われることになる。また、この従来の配置では、多量のキーを記憶及び処理しなくてはならない。
【０００７】
実施形態の特徴及び利点が、以下の詳細な説明及び図面を参照することにより明らかとなるであろう。図面間において、同様な構成要素には同様な参照番号が付与されている。
【図面の簡単な説明】
【０００８】
【図１】システムの実施形態を示した図である。
【図２】一実施形態における特徴を示した図である。
【図３】一実施形態における特徴を示した図である。
【図４】一実施形態における特徴を示した図である。
【図５】一実施形態におけるオペレーションを示した図である。
【発明を実施するための形態】
【０００９】
以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
【００１０】
図１には、システムの実施形態１００が示されている。システム１００は、別のドメイン７０と通信可能に接続されてもよい企業ドメイン５１を含んでもよい。ドメイン７０は、少なくとも一部、企業ドメイン５１の外側であってもよく、少なくとも一部インターネットドメインを含む及び／又は利用してもよい。企業ネットワーク５１は、１以上のゲートウェイ及び／又はネットワークアプライアンスノード１２０に通信可能に接続されてもよい１以上のクライアントネットワークノード１０を含んでもよい。１以上のノード１２０は、ドメイン７０に含まれていてもよい１以上のサーバノード３０及び／又はドメイン７０に通信可能に接続されていてもよい。
【００１１】
本実施形態において、"ノード"という言葉は、例えば、終端局、家電、マスストレージ、中間局、ネットワークインターフェース、クライアント、サーバ、スマートフォン、その他の通信デバイス及び／又はその部分のような、ネットワークに通信可能に接続されるエンティティを指す。本実施形態において、"クライアント"及び／又は"クライントノード"という言葉は、必ずしもこれが必要というわけではないが終端局を含むノードという意味に交換可能に使用される場合がある。本実施形態において、終端局は、スマートフォン又はその他の通信デバイスであってもよい。また、本実施形態において、"中間ノード"、"ゲートウェイ"、"ゲートウェイノード"、"ネットワークアプライアンス"、及び／又は、"ネットワークアプライアンスノード"という言葉は、複数のその他のノードに通信可能に接続されてもよいノードを意味するように交換可能に使用される場合があり、例えば、ファイヤーウォール、スイッチング、フォワーディング、ゲートウェイ、侵入検出、負荷バランシング、及び／又は、ルーティングサービス及び／又は機能のような１以上のサービス及び／又は機能を提供、促進及び／又は実装してもよい（必ずしも、提供することが必要であるわけではないが）。本実施形態において、"サーバ"及び／又は"サーバノード"という言葉は、例えば、データ格納、読み出し及び／又は処理機能のような１以上のサービス及び／又は機能を１以上のクライアントに提供、促進及び／又は実装するノードを意味する言葉として交換可能に使用される場合がある。本実施形態において、"ネットワーク"は、互いに通信可能に接続される２つ以上のノードであってもよい、又は、この２つ以上のノードを含んでもよい。また、本実施形態において、一方のノードが、例えば、１以上の有線及び／又は無線通信リンクを介して、１以上のコマンド及び／又はデータを他方のノードから送信及び受信可能である場合、一のノードは他のノードに"通信可能に接続"されてもよい。本実施形態において、"無線通信リンク"は、少なくとも２つのノードが少なくとも部分的に無線通信接続されることを可能にする様式及び／又は部分を意味してもよい。本実施形態において、"有線通信リンク"とは、少なくとも２つのノードが少なくとも部分的に非無線手段を介して少なくとも部分的に通信接続されることを可能にする様式及び／又は部分を意味してもよい。また、本実施形態で使用されている、データという言葉は、１以上のコマンドである又は１以上のコマンドを含んでもよく、１以上のコマンドはデーアであってもよい又はデータを含んでもよい。
【００１２】
１以上のノード１２０は、回路基板（ＣＢ）１４を含んでもよい。ＣＢ１４は、１以上のホストプロセッサ、及び／又は、チップセット集積回路１２及びコンピュータ読み出し／書き込み可能メモリ２１を備えるシステムマザーボードであってもよい、又は、そのようなシステムマザーボードを含んでもよい。ＣＢ１４は、ＣＢ１４の構成要素（例えば、１以上の集積回路１２及び／又はメモリ２１）及びＣＣ２２の構成要素（例えば、Ｃ２２に含まれる演算可能回路１１８）が、互いに通信可能に接続されるような態様で、回路カード（ＣＣ）２２がＣＢ１４と電気的及び機械的に結合することを可能とする１以上のコネクタ（図示せず）を備えてもよい。
【００１３】
これに替えて又は加えて、本実施形態の範囲において、１以上の集積回路１２及び／又はメモリ２１に含まれる回路の一部又は全てが、回路１１８に含まれていてもよく、及び／又は、回路１１８の一部又は／全てが、１以上の集積回路１２及び／又はメモリ２１に含まれていてもよい。
【００１４】
また、本実施形態において"回路"は、例えば、アナログ回路、デジタル回路、有線接続された回路、ブログラム可能回路、状態機械回路、及び／又は、プログラマブル回路によって実行されてもよいプログラム命令を含むメモリを単体で、又は、これらの組み合わせを含んでもよい。本実施形態では、"集積回路"とは、例えば、半導体集積回路チップのような、半導体デバイス及び／又はマイクロ電子デバイスを意味してもよい。更に、本実施形態では、"ホストプロセッサ"、"プロセッサ"、"プロセッサコア"、"コア"及び／又は"コントローラ"という言葉は、少なくとも部分的に１以上の算術及び／又は論理演算を実行する能力を有する回路を意味するべく交換可能に使用される場合がある。また、本実施形態では、"チップセット"とは、少なくとも部分的に、１以上のプロセッサ、メモリ及び／又はその他の回路に通信可能に接続できる回路を含んでもよい。
【００１５】
ノード１０、１２０及び／又は３０はそれぞれ、図示しないユーザインターフェースを備えてもよく、ユーザインターフェースは、例えば、キーボードポインティングデバイス及び人間がコマンドを入力可能な表示システムを備え、各ノード及び／又はシステム１００のオペレーションを監視する。演算可能回路１１８は、１以上のクライアント１０及び／又は１以上のサーバ３０と通信可能に接続されていてもよい。
【００１６】
回路１１８は、１以上の集積回路１５を含んでもよい。１以上の集積回路１５は、１以上のプロセッサコア１２４及び／又は暗号化回路１２６を含んでもよい。この実施形態において、回路１１８、１以上の集積回路１５、１以上のコア１２４及び／又は回路１２６は、少なくとも部分的に、本明細書に記載される回路１１８によって実行される暗号化及び／又は関連オペレーションを実行可能であってもよい。
【００１７】
１以上の機械可読プログラム命令は、コンピュータ可読／書き込み可能メモリ２１に格納されてもよい。１以上のノード１２０のオペレーションにおいて、これら命令は、１以上の集積回路１２、回路１１８、１以上の集積回路１５、１以上のプロセッサコア１２４及び／又は回路１２６によって実行及び／又はアクセスされてもよい。１以上の命令が実行されると、１以上の集積回路１２、回路１１８、１以上の集積回路１５、１以上のプロセッサコア１２４及び／又は回路１２６は、本明細書に記載されるように１以上の集積回路１２、回路１１８、１以上の集積回路１５、１以上のプロセッサコア１２４及び／又は回路１２６によって実行されるオペレーションを実行する。メモリ２１は、半導体ファームウェアメモリ、プログラマブルメモリ、不揮発性メモリ、リードオンリーメモリ、電気的プログラマブルメモリ、ランダムアクセスメモリ、フラッシュメモリ、磁気ディスクメモリ、光ディスクメモリ、及び／又は、その他の又は後に開発されるコンピュータ可読及び／又は書き込み可能メモリのうちの１以上の種類のメモリを含んでもよい。
【００１８】
本実施形態において、"ドメイン"は、１以上のノード及び（図示しない）ドメインオーソリティを含む。本実施形態において、"ドメインオーソリティ"は、一部又は全部が、認証、特定及び／又はセキュリティを伴う及び／又は関係する１以上の機能、特徴、プロトコル及び／又はオペレーションを少なくとも部分的に、提供、実装及び／又は促進可能な１以上のエンティティを含んでもよい。例えば、ドメイン５１及び／又は７０はそれぞれ、１以上のノード１０、１２０及び／又は３０に通信可能に接続されてもよい１以上の対応するドメインオーソリティ（図示せず）を含んでもよい。これに替えて又は加えて、システム１００における１以上のドメインオーソリティの機能及び／又はオペレーションの全て又は一部は、少なくとも部分的に、１以上のノード１２０及び／又は３０によって実行されてもよい。
【００１９】
回路１１８は、データ及びコマンドを１以上の通信プロトコルに従って、１以上のクライアント１０と及び／又は１以上のサーバ３０と交換してもよい。例えば、本実施形態では、これら１以上のプロトコルは、例えば、イーサーネットプロトコル、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）プロトコル、セキュリティアーキテクチャｆｏｒＩＰ（ＩＰｓｅｃ）及び／又はトランスポートレイヤセキュリティ（ＴＬＳ）プロトコルに準拠してもよい。
【００２０】
システム１００で利用可能なイーサーネットプロトコルは、２０００年１０月２０日発行の電気電子技術者協会（ＩＥＥＥ）規格、８０２．３、２０００年エディションに記載されたプロトコルに準拠してもよい。システム１００で利用可能なＴＣＰ／ＩＰプロトコルは、１９８１年発行のインターネット・エンジニアリング・タスクフォース（ＩＥＴＦ）のリクエストフォーコメンツ（ＲＦＣ）７９１及び７９３に記載されているプロトコルに準拠してもよい。システム１００で利用可能なＩＰｓｅｃプロトコルは、２００５年１２月に発行されたＩＥＴＦ ＲＦＣ４３０１に記載されているプロトコルに準拠してもよい。システム１００で利用可能なＴＬＳプロトコルは、２００６年４月に発行されたＩＥＴＦ ＲＦＣ４３４６"トランスポートレイヤセキュリティ（ＴＬＳ）プロトコルバージョン１．１"に記載されたプロトコルに準拠してもよい。無論、上記のプロトコル及び／又はその他のプロトコルの後に開発されるバージョンを含む、数多くの異なる、更なる及び／又はその他のプロトコル（例えば、セキュリティに関する及び／又は実装プロトコル）を、本実施形態の範囲内で、データ及び／又はコマンドの交換に使用してもよい。
【００２１】
図５に示すように、システム１００は、少なくとも部分的に、オペレーション５００を実行してもよい。例えば、システム１００のオペレーションでは、回路１１８は、データ及び／又はコマンドを、１以上のクライアント１０及び／又は１以上のサーバ３０とやりとりしてもよく、少なくとも部分的に、１以上のクライアント１０及び／又は１以上のサーバ３０との間の１以上のセキュアな通信チャネル５４を、回路１１８及び／又は１以上の図示しない非中間ノードを介して確立してもよい（オペレーション５０２参照）。本実施形態において、１以上のチャネル５４は、ドメイン５１における１以上のセッション９０及びドメイン７０における１以上のセッション９２を含んでもよい。１以上のセッション９０は、少なくとも部分的に、１以上のクライアント１０及び１以上のノード１２０（すなわち、１以上のノード１２０における回路１１８）を通信可能に接続してもよい、又は、これらの間に存在してもよいドメイン５１における、１以上のセキュアなセッションである、又は、１以上のセキュアなセッションを含む。１以上のセッション９２は、少なくとも部分的に、回路１１８及び１以上のサーバ３０を通信可能に接続してもよい、又は、これらの間に存在するドメイン７０における、１以上のセキュアなセッションである、又は、１以上のセキュアなセッションを含む。以下に説明するように、１以上のセッション９０及び１以上のセッション９２は、まとめて、１以上のチャネル５４を提供するように動作する。
【００２２】
本実施形態において、"セッション"及び"チャネル"という言葉は交換可能に使用される場合があり、少なくとも２つのエンティティの間でコマンド及び／又はデータを交換することを含む。また、本実施形態において、"セキュアなセッション"とは、少なくとも部分的に、データ及び／又はコマンドの少なくとも一部が暗号化されているセッションを含んでもよい。本実施形態において、"暗号化"及び／又は"暗号化する"とは、少なくとも部分的に、プレーンテキストから暗号文を生成すること及び／又はその生成を簡易にすることを含む１以上のオペレーションを含んでもよい。また、本実施形態において、"復号化（暗号解読）"及び／又は"復号化する"とは、少なくとも部分的に、暗号文からプレーンテキストを生成すること及び／又はその生成を簡易にすることを含む１以上のオペレーションを含んでもよい。また、本実施形態において、"プレーンテキスト"は、少なくとも部分的に暗号化されたデータ、及び／又は、暗号化及び／又は復号化がすでに行われた及び／又は暗号化及び／又は復号化の最中であるデータを含んでもよい。本実施形態において、"キー（鍵）"は、暗号化及び復号化で使用されてもよい１以上の符号及び／又は値を含んでもよい。
【００２３】
例えば、本実施形態において、１以上のクライアント１０は、１以上のクライアント１０と１以上のサーバ３０との間の１以上のセキュアなチャネル５４の確立を開始することを意図した１以上のパケットを、回路１１８に送信してもよい。これら１以上のパケットに応答して、少なくとも部分的に、回路１１８は、１以上のクライアント１０とデータ及び／又はコマンドをやりとりしてもよく、それにより１以上のセッション９０が確立されてもよい。本実施形態では、これと同時に、回路１１８は、１以上のサーバ３０とデータ及び／又はコマンドをやりとりしてもよく、それにより１以上のセッション９２が確立されてもよい。
【００２４】
回路１１８と１以上のクライアント１０との間のデータ及び／又はコマンドのやりとりの一部として、回路１１８は、セキュアな態様で（例えば、ＴＬＳ制御チャネルハンドシェイク、ＴＣＰ及び／又はＩＰオプションを伴うアウトバウンド技術、及び／又は、ＩＰｓｅｃインターネット鍵交換の一部として）、１以上のクライアントノード１０に、１以上のセッションキー（ＳＫ）８０を送信してもよい。１以上のキー８０を１以上のクライアント１０に送信する前に、１以上のノード１２０は、少なくとも部分的に１以上の暗号化オペレーションに基づいて（例えば、１以上の一方向ハッシング関数を含む）、少なくとも部分的に入力オペランドとして１以上のドメインキー（ＤＫ）７６及び１以上のデータセット（ＤＳ）７８を伴う１以上のキー８０を少なくとも部分的に生成してもよい。このように、少なくとも部分的に、１以上のノード１２０とドメイン５１内の１以上のクライアント１０との間の交渉の結果として、少なくとも部分的に、１以上のキー８０が生成されてもよい。
【００２５】
１以上のキー７６が、ドメイン５１内の図示しない１以上のドメインオーソリティによってドメイン５１に割り当てられてもよい。これら１以上のドメインオーソリティは、少なくとも部分的に、１以上のキー７６を生成して、これらを１以上のノード１２０に分配してもよい。しかしながら、１以上のドメインオーソリティ及び１以上のノード１２０は、１以上のクライアントノード１０及びその他のエンティティ（例えば、ドメイン５１内外のエンティティ）に対して、１以上のキー７６を秘密にしてもよい。１以上のデータセット７８は、少なくとも部分的に、回路１１８によって、１以上のクライアント１０から１以上のノード１２０へと送信された１以上のパケット２０４（図２参照）から抽出されてもよい（又は、取得されてもよい）。１以上のデータセット７８は、少なくとも部分的に、１以上のセッション９０と関連付けられていてもよい。例えば、１以上のデータセット７８は、少なくとも部分的に、１以上のセッション９０を特定できる１以上の値２０２を含んでもよい。この１以上の値２０２は、少なくとも部分的に、１以上のクライアント１０及び／又は１以上のノード１２０を特定する固有のＩＤを１以上連結したものであってもよい、又は、このようなものを含んでもよい。（少なくとも部分的に）これに替えて又はこれに加えて、１以上の値２０２は、少なくとも部分的に、１以上のサーバ３０のそれぞれのＩＤを１以上含んでもよい。これら固有のＩＤは、例えば、１以上のそれぞれのアドレス、ＩＰｓｅｃセキュリティパラメータインデックス、及び／又は、その他の値（例えば、セッションコンテキスト情報）であってもよい、又は、これらを含んでもよい。
【００２６】
本実施形態において、ドメイン５１の１以上の図示しないドメインオーソリティは、（１）１以上のキー７６がドメイン５１と一意的に関連付けられる、及び、（２）１以上のキー７６が１以上のキー８０から基本的に取得できない（例えば、現実的な暗号化の観点で）ような態様で、１以上のキー７６を生成してもよい。一実施形態において、１以上のキー７６は、暗号化法的に高度にランダムな１以上の番号であってもよい、又は、そのような番号を含んでもよい。
【００２７】
１以上のキー８０を使用して、クライアント１０の各々は、少なくとも部分的に、１以上のセッション９０を介して１以上のノード１２０に送信されるトラフィックのそれぞれを暗号化してもよく、また、少なくとも部分的に、１以上のセッション９０を介して１以上のノード１２０から受信されるトラフィックをそれぞれ復号化してもよい。本実施形態において、１以上のノード１２０へのトラフィックは、１以上の値２０２及び／又はデータセット７８がプレーンテキストとして送信される１以上のパケット（例えば、１以上のパケット２０４）を含んでもよい。１以上の値２０２及び／又は１以上のデータセット７８は、上記のような態様で１以上のキー７６と共に、１以上のキー８０を生成する１以上の暗号化オペレーションにおいて使用される場合に、１以上のキー８０の各々が、１以上のゲートウェイ１２０と１以上のクライアント１０との間の独立したそれぞれのセキュアなセッションを提供するのに使用可能な独立したセッションキーとなるように又はそのようなセッションキーを含むように、１以上の値２０２及び／又は１以上のデータセット７８が選択されてもよい。
【００２８】
回路１１８及び／又は１以上のサーバ３０との間でやりとりされるデータ及び／又はコマンドの一部として、回路１１８は、セキュアな態様で（例えば、ＴＬＳ制御チャネルハンドシェイク、ＴＣＰ及び／又はＩＰオプションを伴うアウトバウンド技術、及び／又は、ＩＰｓｅｃインターネット鍵交換の一部として）、１以上のサーバ３０に、１以上のセッションキー８２を送信してもよい。１以上のキー８２を１以上のサーバ３０に送信する前に、１以上のノード１２０は、少なくとも部分的に、１以上の暗号化オペレーションに基づいて（例えば、１以上の一方向ハッシング関数を含む）、少なくとも部分的に入力オペランドとして１以上のドメインキー７２及び１以上のデータセット７４を伴う１以上のキー８２を少なくとも部分的に生成してもよい。このように、少なくとも部分的に、ドメイン５１内の１以上のノード１２０とドメイン７０内の１以上のサーバ３０との間の交渉の結果として、少なくとも部分的に、１以上のキー８２が生成されてもよい。
【００２９】
１以上のキー７２が、ドメイン７０内の図示しない１以上のドメインオーソリティによってドメイン７０に割り当てられてもよい。これら１以上のドメインオーソリティは、少なくとも部分的に、１以上のキー７２を生成して、これらを１以上のノード１２０に分配してもよい。しかしながら、１以上のドメインオーソリティ及び１以上のノード１２０は、１以上のサーバ３０及びその他のエンティティ（例えば、ドメイン７０内外のエンティティ）に対して、１以上のキー７２を秘密にしてもよい。１以上のデータセット７４は、少なくとも部分的に、回路１１８によって、１以上のサーバ３０から１以上のノード１２０へと送信された１以上のパケット２０８（図２参照）から抽出されてもよい（又は、取得されてもよい）。１以上のデータセット７４は、少なくとも部分的に、１以上のセッション９２と関連付けられていてもよい。例えば、１以上のデータセット７４は、少なくとも部分的に、１以上のセッション９２を特定できる１以上の値２０６を含んでもよい。この１以上の値２０６は、少なくとも部分的に、１以上のサーバ３０及び／又は１以上のノード１２０を特定する固有のＩＤを１以上連結したものであってもよい、又は、このようなものを含んでもよい。（少なくとも部分的に）これに替えて又はこれに加えて、１以上の値２０６は、少なくとも部分的に、１以上のクライアント１０のそれぞれのＩＤを１以上含んでもよい。これら固有のＩＤは、例えば、１以上のそれぞれのアドレス、ＩＰｓｅｃセキュリティパラメータインデックス、及び／又は、その他の値（例えば、セッションコンテキスト情報）であってもよい、又は、これらを含んでもよい。
【００３０】
このように、本実施形態では、例えば、オペレーションのドメインに応じて、１以上の値２０６及び／又は１以上のデータセット７４は、少なくとも部分的に、１以上の値２０２及び／又は１以上のデータセット７８とそれぞれ同一であってもよい。これに替えて、本実施形態の範囲内において、例えば、オペレーションのドメインに応じて、１以上の値２０６及び／又は１以上のデータセット７４は、少なくとも部分的に、１以上の値２０２及び／又は１以上のデータセット７８とそれぞれ異なっていてもよい。
【００３１】
本実施形態において、ドメイン７０の１以上の図示しないドメインオーソリティは、（１）１以上のキー７２がドメイン７０と一意的に関連付けられる、及び、（２）１以上のキー７２が１以上のキー８２から基本的に取得できない（例えば、現実的な暗号化の観点で）ような態様で、１以上のキー７２を生成してもよい。一実施形態において、１以上のキー７２は、暗号化法的に高度にランダムな１以上の番号であってもよい、又は、そのような番号を含んでもよい。
【００３２】
１以上のキー８２を使用して、サーバ３０の各々は、少なくとも部分的に、１以上のセッション９２を介して１以上のノード１２０に送信されるトラフィックのそれぞれを暗号化してもよく、また、少なくとも部分的に、１以上のセッション９２を介して１以上のノード１２０から受信されるトラフィックをそれぞれ復号化してもよい。本実施形態において、１以上のノード１２０へのトラフィックは、１以上の値２０６及び／又はデータセット７４がプレーンテキストとして送信される１以上のパケット（例えば、１以上のパケット２０８）を含んでもよい。１以上の値２０６及び／又は１以上のデータセット７４は、上記のような態様で１以上のキー７２と共に、１以上のキー８２を生成する１以上の暗号化オペレーションにおいて使用される場合に、１以上のキー８２の各々が、１以上のゲートウェイ１２０と１以上のサーバ３０との間の独立したそれぞれのセキュアなセッションを提供するのに使用可能な独立したセッションキーとなるように又はそのようなセッションキーを含むように、１以上の値２０６及び／又は１以上のデータセット７４が選択されてもよい。本実施形態において、１以上のドメインキー７６は、少なくとも部分的に、１以上のドメインキー７２とは異なっていてもよい。
【００３３】
図２に示すように、本実施形態では、ドメイン５１において、１以上のクライアント１０は、複数のクライアント２２０Ａ…２２０Ｎを含んでもよく、１以上のセッション９０は、クライアント２２０Ａ…２２０Ｎと１以上のゲートウェイノード１２０との間の複数のセッション２３０Ａ…２３０Ｎを含んでもよい。セッション２３０Ａ…２３０Ｎはそれぞれ、クライアント２２０Ａ…２２０Ｎと１以上のノード１２０とを通信可能に接続してもよい。上記したように、これらセキュアなセッション２３０Ａ…２３０Ｎは、少なくとも部分的に、１以上のセッションキー８０のうちの対応する１つに基づいて生成されてもよい。
【００３４】
図３に示すように、１以上のセッション９２は、１以上のゲートウェイ１２０を１以上のサーバ３０に通信可能に接続可能である１つのセキュアなセッション３０２を含んでもよい。この配置では、セッション３０２は、少なくとも部分的に、セッション２３０Ａ…２３０Ｎをカプセル化してもよい（図２参照）。本実施形態において、カプセル化は、少なくとも部分的に、第１エンティティを少なくとも部分的に第２エンティティに組み込むこと、及び／又は、第１エンティティの情報の少なくとも一部を少なくとも部分的に第２エンティティに組み込むことを含んでもよく、例えば、１以上のパケットを１以上のフレームにカプセル化することを含む。
【００３５】
例えば、ネットワークトラフィック３０４は、セッション２３０Ａ…２３０Ｎを介して、クライアント２２０Ａ…２２０Ｎから、１以上のゲートウェイ１２０における回路１１８へと送信されてもよい。セッション２３０Ａ…２３０Ｎを介して回路１１８に送信される場合に、トラフィック３０４は、少なくとも部分的に１以上のセッションキー８０に基づいて、少なくとも部分的に、暗号化されてもよい。しかしながら、トラフィック３０４において、１以上のデータセット７８及び／又は１以上の値２０２が、プレーンテキストとして送信されてもよい。
【００３６】
回路１１８は、少なくとも部分的に、トラフィック３０４から、１以上のデータセット７８及び／又は１以上の値２０２を抽出してもよい。抽出された１以上のデータセット７８及び／又は１以上の値２０２及び１以上のドメインキー７６に少なくとも部分的に基づいて、回路１１８は、セッション２３０Ａ…２３０Ｎのそれぞれについて、それぞれの１以上のセッションキー８０を動的に（例えば、パケット毎に）再構築して、少なくとも部分的に、トラフィック３０４を暗号化するのに使用してもよい。回路１１８は、少なくとも部分的に動的に再構築された１以上のセッションキー８０に基づいて、トラフィック３０４を復号化してもよい。回路１１８は、少なくとも部分的に、復号化したトラフィック３０４を試験してもよい。試験としては、例えば、パターンマッチング、署名、チェックサム、妥当性の確認、及び／又は、トラフィック３０４において、許可されていない及び／又は望ましくないデータ及び／又は命令が存在することを検出する及び／又はそれに適切に対処するためのその他の分析技術が含まれてもよい。
【００３７】
回路１１８は、少なくとも部分的に１以上のセッションキー８２に基づいて、少なくとも部分的に、暗号化されていないトラフィック３０４を暗号化して、暗号化したトラフィックを１つのセッション３０２を介して１以上のサーバ３０に送信してもよい。その前に、回路１１８は、少なくとも部分的に、１以上の値２０６及び／又は１以上のデータセット７４及び１以上のドメインキー７２に基づいて、動的に１以上のセッションキー８２を（上記の１以上のキー８０で説明したのと同様な態様で）再構築してもよい。
【００３８】
１以上のサーバ３０は、セッション３０２を介して、１以上のゲートウェイ１２０における回路１１８にトラフィック３０６を送信してもよい。１つのセッション３０２を介して回路１１８に送信される場合に、トラフィック３０６は、少なくとも部分的に１以上のセッションキー８２に基づいて、少なくとも部分的に、暗号化されてもよい。しかしながら、トラフィック３０６では、１以上のデータセット７４及び／又は１以上の値２０６が、プレーンテキストとして送信されてもよい。回路１１８は、１以上のデータセット７４及び／又は１以上の値２０６をトラフィック３０６から抽出してもよい。抽出された１以上のデータセット７４及び／又は１以上の値２０６及び１以上のドメインキー７２に少なくとも部分的に基づいて、回路１１８は、１以上のセッションキー８２を動的に再構築して、少なくとも部分的に、トラフィック３０６を暗号化するのに使用してもよい。回路１１８は、少なくとも部分的に動的に再構築された１以上のセッションキー８２に基づいて、トラフィック３０６を復号化してもよい。回路１１８は、少なくとも部分的に、復号化したトラフィック３０６を試験してもよい。試験としては、例えば、パターンマッチング、パターンマッチング、署名、チェックサム、妥当性の確認、及び／又は、トラフィック３０６において、許可されていない及び／又は望ましくないデータ及び／又は命令が存在することを検出する及び／又はそれに適切に対処するためのその他の分析技術が含まれてもよい。
【００３９】
回路１１８は、少なくとも部分的に１以上のセッションキー８０に基づいて、少なくとも部分的に、暗号化されていないトラフィック３０６を暗号化して、暗号化したトラフィックをセッション２３０Ａ…２３０Ｎを介してクライアント２２０Ａ…２２０Ｎに送信してもよい。その前に、回路１１８は、少なくとも部分的に、１以上の値２０２及び／又は１以上のデータセット７８及び１以上のドメインキー７６に基づいて、動的に１以上のセッションキー８０を再構築してもよい。
【００４０】
これに替えて、１以上のセッション９２は、ドメイン７０内の複数のセキュアなセッション４０２Ａ…４０２Ｎ（図４参照）を含んでもよく、これらは、１以上のゲートウェイ１２０と１以上のサーバ３０とを通信可能に接続してもよい。セキュアなセッション４０２Ａ…４０２Ｎはそれぞれ、セキュアなセッション２３０Ａ…２３０Ｎに対応していてもよい。本実施形態において、１以上のデータセット７８は、セッション２３０Ａ…２３０Ｎのそれぞれと関連付けられたデータセット４０４Ａ…４０４Ｎをそれぞれ含んでもよい。例えば、セッション２３０Ａ…２３０Ｎを暗号化するのに基本となる１以上のセッションキー８０のそれぞれは、少なくとも部分的に、データセット４０４Ａ…４０４Ｎ及び１以上のドメインキー７６に基づいて生成されてもよい。回路１１８は、少なくとも部分的に、セッション２３０Ａ…２３０Ｎを介してクライアント２２０Ａから回路へと送信されたトラフィック３０４からそれぞれ、データセット４０４Ａ…４０４Ｎを抽出してもよい（図５のオペレーション５０４を参照）。抽出されたデータセット４０４Ａ…４０４Ｎ及び１以上のドメインキー７６に少なくとも部分的に基づいて、回路１１８は、セッション２３０Ａ…２３０Ｎのそれぞれについて、それぞれの１以上のセッションキー８０を動的に（例えば、パケット毎に）再構築して、少なくとも部分的に、それぞれセッション２３０Ａ…２３０Ｎを介して送信されたトラフィック３０４を暗号化するのに使用してもよい。回路１１８は、少なくとも部分的に動的に再構築された１以上のセッションキー８０に基づいて、トラフィック３０４を復号化してもよい（図５のオペレーション５０６参照）。回路１１８は、少なくとも部分的に、復号化したトラフィックを上記のような態様で試験してもよい。
【００４１】
回路１１８は、少なくとも部分的に１以上のセッションキー８２に基づいて、少なくとも部分的に、暗号化されていないトラフィック３０４を暗号化して、暗号化したトラフィック４０６をセッション４０２Ａ…４０２Ｎを介して１以上のサーバ３０に送信してもよい（図５のオペレーション５０８参照）。その前に、回路１１８は、少なくとも部分的に、１以上の値２０６及び／又は１以上のデータセット７４及び１以上のドメインキー７２に基づいて、動的に１以上のセッションキー８２を（上記で説明したのと同様な態様で）再構築してもよい。
【００４２】
これに替えて、１以上のドメインキー７６は、１以上のキー７２と、少なくとも部分的に、同一であってもよい。更に、これに替えて又はこれに加えて、１以上のゲートウェイ１２０は、１以上のキー７６及び／又は１以上のキー７２を、１以上のセキュアなハンドシェイク及び／又はネゴシエーションオペレーションを介して、１以上のサーバ３０に提供してもよい。これにより、１以上のサーバ３０が１以上のセッションキー８２を動的に再構築することが可能になる、及び／又は、回路１１８に関して上記した態様で、復号化及び／又は暗号化オペレーションを実行することが可能となる。
【００４３】
本実施形態では、１以上のセッション９０に含まれる個々のセッションの数に関係なく、回路１１８は、１以上のサーバ３０と１つのキー（鍵）の交渉のトランザクションを実行してもよく（例えば、１つのセッションキー８２及び／又は１つのドメインキー７２の交換及び／又は交渉を行う）、１以上のサーバ３０は、（例えば、１つのセッションキー８２及び／又は１つのドメインキー７２に少なくとも部分的に基づいて）１以上のセッション９２の全てを確立することを許可してもよい。その結果、本実施形態では、１つのハンドシェイクオペレーションのみが、このようなトランザクションに含まれる。本実施形態では、上記のような構成により、キー交渉の数、交渉を行うキーの数、及び、１以上のセッション９２を確立するのに必要な回路１１８と１以上のサーバ３０との間のハンドシェイクの数を大幅に低減させることができる。更に、上記のような構成により、本実施形態で使用されるキーの格納量を大幅に低減させることができる。
【００４４】
本実施形態において、キー８０及び／又はキー８２の生成は、（１）２００７年３月３０日出願の米国特許出願第11/731,562号、及び、２００８年１０月２８日公開の米国特許出願公開第2008/0244268号公報、発明者Durham等、（２）２００９年３月２日出願の米国特許出願第12/396,125号に開示された原理に少なくとも部分的に基づいて実行されてもよい。無論、その他の、更なる及び／又は代替の技術を少なくとも部分的に使用して、１以上のキー８０及び／又は１以上のキー８２を生成してもよい。
【００４５】
一実施形態は、少なくとも部分的に、第１ドメインのクライアントと第２ドメインのサーバとの間の少なくとも部分的にセキュアな通信を確立する回路を含んでもよい。チャネルは、第１及び第２ドメインにおける第１ドメインセッション及び第２ドメインセッションを含んでもよい。回路は、少なくとも部分的に、第１ドメインセッション及び第２ドメインセッションをそれぞれ暗号化してもよい第１ドメインセッションキー及び第２ドメインセッションキーを生成してもよい。第１ドメインセッションキーは、第１ドメインに割り当てられる第１ドメインキー及び第１ドメインセッションに関連付けられる第１データセットに基づいて生成されてもよい。第２ドメインセッションキーは、第２ドメインに割り当てられる第２ドメインキー及び第２ドメインセッションに関連付けられる第２データセットに基づいて生成されてもよい。
【００４６】
本実施形態において、回路１１８は、少なくとも部分的に、１以上のパケット２０４及び／又は２０８から抽出される１以上のデータセット７８及び／又は７４に少なくとも部分的に基づいて、１以上のセッションキー８０及び／又は８２を動的に生成可能であってもよい。このような構成により、回路１１８が（１）このようなセッションキーに少なくとも部分的に基づいて生成されるセッションとセッションキー自体との間のメモリにおける関連付けを維持する必要がなくなる、（２）トランスポート層及び暗号化状態情報の大部分を常に格納する必要がなくなる及び対応するセッションをバッファする必要がなくなる、という利点を有する。また、このような構成により、本実施形態における、接続拡張性及び処理速度を大幅に改善させることができる。
【００４７】
また、少なくとも部分的に、上記のような態様で１以上のキー８０及び／又は８２を動的に生成することができることにより、回路１１８は、回路１１８から及び／又は回路１１８へと送信されるトラフィックを動的に復号化及び／又は暗号化することができる。このような構成により、回路１１８及び／又は１以上のノード１２０は、１以上のクライアント１０と１以上のサーバ３０（例えば、１以上のセキュアなチャネル５４を介して）との間の暗号化通信のコンテンツの試験及び／又は分析を実行することが可能となる。その結果、企業ドメイン５１及び／又はシステム１００のセキュリティを犠牲にすることなく、（例えば、ドメイン５１及び／又はシステム１００からのウイルスの侵入を防ぐ、又は、ウイルスを取り除くことにより）企業ドメイン５１及び／又はシステム１００の性能を改善させることができる。
【００４８】
このように、本実施形態の特徴により、セキュリティ、通信及び／又は暗号化処理によって消費される処理帯域の量を低減させることができると同時に、このような処理を実行する際の速度を改善させることができる。また、本実施形態の特徴により、特別なトランスポート層及び／又は暗号化オフロード及び／又は加速ハードウェアにより、このような処理をより容易に実装可能とする。
【特許請求の範囲】
【請求項１】
第１ドメインの少なくとも１つのクライアントと第２ドメインの少なくとも１つのサーバとの間の少なくとも１つのセキュアな通信チャネルを少なくとも部分的に確立させる回路を備える装置であって、
前記少なくとも１つのチャネルは、前記第１ドメインの少なくとも１つの第１ドメインセッション及び前記第２ドメインの少なくとも１つの第２ドメインセッションを含み、
前記回路は、少なくとも１つの第１ドメインセッションキー及び少なくとも１つの第２ドメインセッションキーを少なくとも部分的に生成し、
前記少なくとも１つの第１ドメインセッションキー及び前記少なくとも１つの第２ドメインセッションキーはそれぞれ、前記少なくとも１つの第１ドメインセッション及び前記少なくとも１つの第２ドメインセッションを少なくとも部分的に暗号化するためのキーであり、
前記第１ドメインに割り当てられた第１ドメインキー、及び、前記少なくとも１つの第１ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第１データセットに少なくとも部分的に基づいて、前記少なくとも１つの第１ドメインセッションキーが生成され、
前記第２ドメインに割り当てられた第２ドメインキー、及び、前記少なくとも１つの第２ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第２データセットに少なくとも部分的に基づいて、前記少なくとも１つの第２ドメインセッションキーが生成される装置。
【請求項２】
前記第１ドメインは、前記第２ドメインとは少なくとも部分的に区別され、
前記第１ドメインに割り当てられる前記第１ドメインキーは、前記第２ドメインキーとは少なくとも部分的に異なり、
前記少なくとも１つの第１データセットは、前記少なくとも１つの第１ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第１ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含み、
前記少なくとも１つの第２データセットは、前記少なくとも１つの第２ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第２ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含む請求項１に記載の装置。
【請求項３】
前記少なくとも１つのクライアントは、前記第１ドメインの複数のクライアントを含み、
前記少なくとも１つの第１ドメインセッションは、少なくとも１つのゲートウェイと前記複数のクライアントとの間の前記第１ドメインの複数の第１セッションを含み、
前記少なくとも１つの第２ドメインセッションは、少なくとも１つのゲートウェイと前記少なくとも１つのサーバとの間のセッションであり、
前記第１ドメインは、企業ドメインを含み、
前記第２ドメインキーは、前記企業ドメインと前記少なくとも１つのサーバとの間で少なくとも部分的に交渉される請求項１に記載の装置。
【請求項４】
前記少なくとも１つの第２ドメインセッションは、前記複数の第１セッションを少なくとも部分的にカプセル化する１つのセッションを含み、
前記回路は、前記複数の第１セッションを介して通信される第１トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験し、
前記回路は、前記１つのセッションを介して通信される第２トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験する請求項３に記載の装置。
【請求項５】
前記少なくとも１つの第２ドメインセッションは、前記第２ドメインの複数の第２セッションを含み、
前記少なくとも１つの第１データセットは、前記複数の第１セッションとそれぞれ関連付けられたデータセットを含み、
前記回路は、前記複数の第１セッションを介して通信される第１トラフィックから前記データセットをそれぞれ少なくとも部分的に抽出し、
前記回路は、前記データセットにそれぞれ少なくとも部分的に基づいて前記第１トラフィックを少なくとも部分的に復号化し、
前記回路は、前記データセットのそれぞれに少なくとも部分的に基づいて、前記複数の第２セッションを介して通信される第２トラフィックを少なくとも部分的に暗号化する請求項３に記載の装置。
【請求項６】
前記回路は、
回路基板に接続された回路カード、ネットワークアプライアンス、及び、１以上の暗号化オペレーションを実行する１以上のプロセッサ及び回路を含む１以上の集積回路のうちの１以上を少なくとも部分的に含む請求項１に記載の装置。
【請求項７】
少なくとも部分的に回路によって実行される方法であって、
前記回路によって、第１ドメインの少なくとも１つのクライアントと第２ドメインの少なくとも１つのサーバとの間の少なくとも１つのセキュアな通信チャネルを少なくとも部分的に確立する段階を備え、
前記少なくとも１つのチャネルは、前記第１ドメインの少なくとも１つの第１ドメインセッション及び前記第２ドメインの少なくとも１つの第２ドメインセッションを含み、
前記回路は、少なくとも１つの第１ドメインセッションキー及び少なくとも１つの第２ドメインセッションキーを少なくとも部分的に生成し、
前記少なくとも１つの第１ドメインセッションキー及び前記少なくとも１つの第２ドメインセッションキーはそれぞれ、前記少なくとも１つの第１ドメインセッション及び前記少なくとも１つの第２ドメインセッションを少なくとも部分的に暗号化するためのキーであり、
前記第１ドメインに割り当てられた第１ドメインキー、及び、前記少なくとも１つの第１ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第１データセットに少なくとも部分的に基づいて、前記少なくとも１つの第１ドメインセッションキーが生成され、
前記第２ドメインに割り当てられた第２ドメインキー、及び、前記少なくとも１つの第２ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第２データセットに少なくとも部分的に基づいて、前記少なくとも１つの第２ドメインセッションキーが生成される方法。
【請求項８】
前記第１ドメインは、前記第２ドメインとは少なくとも部分的に区別され、
前記第１ドメインに割り当てられる前記第１ドメインキーは、前記第２ドメインキーとは少なくとも部分的に異なり、
前記少なくとも１つの第１データセットは、前記少なくとも１つの第１ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第１ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含み、
前記少なくとも１つの第２データセットは、前記少なくとも１つの第２ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第２ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含む請求項７に記載の方法。
【請求項９】
前記少なくとも１つのクライアントは、前記第１ドメインの複数のクライアントを含み、
前記少なくとも１つの第１ドメインセッションは、少なくとも１つのゲートウェイと前記複数のクライアントとの間の前記第１ドメインの複数の第１セッションを含み、
前記少なくとも１つの第２ドメインセッションは、前記少なくとも１つのゲートウェイと前記少なくとも１つのサーバとの間のセッションであり、
前記第１ドメインは、企業ドメインを含み、
前記第２ドメインキーは、前記企業ドメインと前記少なくとも１つのサーバとの間で少なくとも部分的に交渉される請求項７に記載の方法。
【請求項１０】
前記少なくとも１つの第２ドメインセッションは、前記複数の第１セッションを少なくとも部分的にカプセル化する１つのセッションを含み、
前記回路は、前記複数の第１セッションを介して通信される第１トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験し、
前記回路は、前記１つのセッションを介して通信される第２トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験する請求項９に記載の方法。
【請求項１１】
前記少なくとも１つの第２ドメインセッションは、前記第２ドメインの複数の第２セッションを含み、
前記少なくとも１つの第１データセットは、前記複数の第１セッションとそれぞれ関連付けられたデータセットを含み、
前記方法は、前記複数の第１セッションを介して通信される第１トラフィックから前記データセットを、前記回路によりそれぞれ少なくとも部分的に抽出する段階と、
前記データセットにそれぞれ少なくとも部分的に基づいて前記回路により前記第１トラフィックを少なくとも部分的に復号化する段階と、
前記データセットのそれぞれに少なくとも部分的に基づいて、前記複数の第２セッションを介して通信される第２トラフィックを前記回路により少なくとも部分的に暗号化する段階とを備える請求項９に記載の方法。
【請求項１２】
前記回路は、
回路基板に接続された回路カード、ネットワークアプライアンス、及び、１以上の暗号化オペレーションを実行する１以上のプロセッサ及び回路を含む１以上の集積回路のうちの１以上を少なくとも部分的に含む請求項７に記載の方法。
【請求項１３】
１以上の命令を格納するコンピュータ可読メモリであって、前記１以上の命令が機械によって実行されると、
第１ドメインの少なくとも１つのクライアントと第２ドメインの少なくとも１つのサーバとの間の少なくとも１つのセキュアな通信チャネルが少なくとも部分的に回路によって確立され、
前記少なくとも１つのチャネルは、前記第１ドメインの少なくとも１つの第１ドメインセッション及び前記第２ドメインの少なくとも１つの第２ドメインセッションを含み、
前記回路は、少なくとも１つの第１ドメインセッションキー及び少なくとも１つの第２ドメインセッションキーを少なくとも部分的に生成し、
前記少なくとも１つの第１ドメインセッションキー及び前記少なくとも１つの第２ドメインセッションキーはそれぞれ、前記少なくとも１つの第１ドメインセッション及び前記少なくとも１つの第２ドメインセッションを少なくとも部分的に暗号化するためのキーであり、
前記第１ドメインに割り当てられた第１ドメインキー、及び、前記少なくとも１つの第１ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第１データセットに少なくとも部分的に基づいて、前記少なくとも１つの第１ドメインセッションキーが生成され、
前記第２ドメインに割り当てられた第２ドメインキー、及び、前記少なくとも１つの第２ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第２データセットに少なくとも部分的に基づいて、前記少なくとも１つの第２ドメインセッションキーが生成されるコンピュータ可読メモリ。
【請求項１４】
前記第１ドメインは、前記第２ドメインとは少なくとも部分的に区別され、
前記第１ドメインに割り当てられる前記第１ドメインキーは、前記第２ドメインキーとは少なくとも部分的に異なり、
前記少なくとも１つの第１データセットは、前記少なくとも１つの第１ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第１ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含み、
前記少なくとも１つの第２データセットは、前記少なくとも１つの第２ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第２ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含む請求項１３に記載のコンピュータ可読メモリ。
【請求項１５】
前記少なくとも１つのクライアントは、前記第１ドメインの複数のクライアントを含み、
前記少なくとも１つの第１ドメインセッションは、少なくとも１つのゲートウェイと前記複数のクライアントとの間の前記第１ドメインの複数の第１セッションを含み、
前記少なくとも１つの第２ドメインセッションは、前記少なくとも１つのゲートウェイと前記少なくとも１つのサーバとの間のセッションであり、
前記第１ドメインは、企業ドメインを含み、
前記第２ドメインキーは、前記企業ドメインと前記少なくとも１つのサーバとの間で少なくとも部分的に交渉される請求項１３に記載のメモリ。
【請求項１６】
前記少なくとも１つの第２ドメインセッションは、前記複数の第１セッションを少なくとも部分的にカプセル化する１つのセッションを含み、
前記回路は、前記複数の第１セッションを介して通信される第１トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験し、
前記回路は、前記１つのセッションを介して通信される第２トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験する請求項１５に記載のメモリ。
【請求項１７】
前記少なくとも１つの第２ドメインセッションは、前記第２ドメインの複数の第２セッションを含み、
前記少なくとも１つの第１データセットは、前記複数の第１セッションとそれぞれ関連付けられたデータセットを含み、
前記回路は、前記複数の第１セッションを介して通信される第１トラフィックから前記データセットをそれぞれ少なくとも部分的に抽出し、
前記回路は、前記データセットにそれぞれ少なくとも部分的に基づいて前記第１トラフィックを少なくとも部分的に復号化し、
前記回路は、前記データセットのそれぞれに少なくとも部分的に基づいて、前記複数の第２セッションを介して通信される第２トラフィックを少なくとも部分的に暗号化する請求項１５に記載のメモリ。
【請求項１８】
前記回路は、
回路基板に接続された回路カード、ネットワークアプライアンス、及び、１以上の暗号化オペレーションを実行する１以上のプロセッサ及び回路を含む１以上の集積回路のうちの１以上を少なくとも部分的に含む請求項１３に記載のメモリ。
【請求項１９】
前記少なくとも１つの第１ドメインセッションは、複数のセッションを含み、
前記回路は、前記少なくとも１つの第２ドメインセッションを確立するのに使用される１つのキーを交渉するべく、前記少なくとも１つのサーバと前記１つのキーの交渉トランザクションを実行し、
前記トランザクションは、前記回路と前記少なくとも１つのサーバとの間の１つのハンドシェイクを含む請求項１に記載の装置。
【請求項１】
第１ドメインの少なくとも１つのクライアントと第２ドメインの少なくとも１つのサーバとの間の少なくとも１つのセキュアな通信チャネルを少なくとも部分的に確立させる回路を備える装置であって、
前記少なくとも１つのチャネルは、前記第１ドメインの少なくとも１つの第１ドメインセッション及び前記第２ドメインの少なくとも１つの第２ドメインセッションを含み、
前記回路は、少なくとも１つの第１ドメインセッションキー及び少なくとも１つの第２ドメインセッションキーを少なくとも部分的に生成し、
前記少なくとも１つの第１ドメインセッションキー及び前記少なくとも１つの第２ドメインセッションキーはそれぞれ、前記少なくとも１つの第１ドメインセッション及び前記少なくとも１つの第２ドメインセッションを少なくとも部分的に暗号化するためのキーであり、
前記第１ドメインに割り当てられた第１ドメインキー、及び、前記少なくとも１つの第１ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第１データセットに少なくとも部分的に基づいて、前記少なくとも１つの第１ドメインセッションキーが生成され、
前記第２ドメインに割り当てられた第２ドメインキー、及び、前記少なくとも１つの第２ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第２データセットに少なくとも部分的に基づいて、前記少なくとも１つの第２ドメインセッションキーが生成される装置。
【請求項２】
前記第１ドメインは、前記第２ドメインとは少なくとも部分的に区別され、
前記第１ドメインに割り当てられる前記第１ドメインキーは、前記第２ドメインキーとは少なくとも部分的に異なり、
前記少なくとも１つの第１データセットは、前記少なくとも１つの第１ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第１ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含み、
前記少なくとも１つの第２データセットは、前記少なくとも１つの第２ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第２ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含む請求項１に記載の装置。
【請求項３】
前記少なくとも１つのクライアントは、前記第１ドメインの複数のクライアントを含み、
前記少なくとも１つの第１ドメインセッションは、少なくとも１つのゲートウェイと前記複数のクライアントとの間の前記第１ドメインの複数の第１セッションを含み、
前記少なくとも１つの第２ドメインセッションは、少なくとも１つのゲートウェイと前記少なくとも１つのサーバとの間のセッションであり、
前記第１ドメインは、企業ドメインを含み、
前記第２ドメインキーは、前記企業ドメインと前記少なくとも１つのサーバとの間で少なくとも部分的に交渉される請求項１に記載の装置。
【請求項４】
前記少なくとも１つの第２ドメインセッションは、前記複数の第１セッションを少なくとも部分的にカプセル化する１つのセッションを含み、
前記回路は、前記複数の第１セッションを介して通信される第１トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験し、
前記回路は、前記１つのセッションを介して通信される第２トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験する請求項３に記載の装置。
【請求項５】
前記少なくとも１つの第２ドメインセッションは、前記第２ドメインの複数の第２セッションを含み、
前記少なくとも１つの第１データセットは、前記複数の第１セッションとそれぞれ関連付けられたデータセットを含み、
前記回路は、前記複数の第１セッションを介して通信される第１トラフィックから前記データセットをそれぞれ少なくとも部分的に抽出し、
前記回路は、前記データセットにそれぞれ少なくとも部分的に基づいて前記第１トラフィックを少なくとも部分的に復号化し、
前記回路は、前記データセットのそれぞれに少なくとも部分的に基づいて、前記複数の第２セッションを介して通信される第２トラフィックを少なくとも部分的に暗号化する請求項３に記載の装置。
【請求項６】
前記回路は、
回路基板に接続された回路カード、ネットワークアプライアンス、及び、１以上の暗号化オペレーションを実行する１以上のプロセッサ及び回路を含む１以上の集積回路のうちの１以上を少なくとも部分的に含む請求項１に記載の装置。
【請求項７】
少なくとも部分的に回路によって実行される方法であって、
前記回路によって、第１ドメインの少なくとも１つのクライアントと第２ドメインの少なくとも１つのサーバとの間の少なくとも１つのセキュアな通信チャネルを少なくとも部分的に確立する段階を備え、
前記少なくとも１つのチャネルは、前記第１ドメインの少なくとも１つの第１ドメインセッション及び前記第２ドメインの少なくとも１つの第２ドメインセッションを含み、
前記回路は、少なくとも１つの第１ドメインセッションキー及び少なくとも１つの第２ドメインセッションキーを少なくとも部分的に生成し、
前記少なくとも１つの第１ドメインセッションキー及び前記少なくとも１つの第２ドメインセッションキーはそれぞれ、前記少なくとも１つの第１ドメインセッション及び前記少なくとも１つの第２ドメインセッションを少なくとも部分的に暗号化するためのキーであり、
前記第１ドメインに割り当てられた第１ドメインキー、及び、前記少なくとも１つの第１ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第１データセットに少なくとも部分的に基づいて、前記少なくとも１つの第１ドメインセッションキーが生成され、
前記第２ドメインに割り当てられた第２ドメインキー、及び、前記少なくとも１つの第２ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第２データセットに少なくとも部分的に基づいて、前記少なくとも１つの第２ドメインセッションキーが生成される方法。
【請求項８】
前記第１ドメインは、前記第２ドメインとは少なくとも部分的に区別され、
前記第１ドメインに割り当てられる前記第１ドメインキーは、前記第２ドメインキーとは少なくとも部分的に異なり、
前記少なくとも１つの第１データセットは、前記少なくとも１つの第１ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第１ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含み、
前記少なくとも１つの第２データセットは、前記少なくとも１つの第２ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第２ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含む請求項７に記載の方法。
【請求項９】
前記少なくとも１つのクライアントは、前記第１ドメインの複数のクライアントを含み、
前記少なくとも１つの第１ドメインセッションは、少なくとも１つのゲートウェイと前記複数のクライアントとの間の前記第１ドメインの複数の第１セッションを含み、
前記少なくとも１つの第２ドメインセッションは、前記少なくとも１つのゲートウェイと前記少なくとも１つのサーバとの間のセッションであり、
前記第１ドメインは、企業ドメインを含み、
前記第２ドメインキーは、前記企業ドメインと前記少なくとも１つのサーバとの間で少なくとも部分的に交渉される請求項７に記載の方法。
【請求項１０】
前記少なくとも１つの第２ドメインセッションは、前記複数の第１セッションを少なくとも部分的にカプセル化する１つのセッションを含み、
前記回路は、前記複数の第１セッションを介して通信される第１トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験し、
前記回路は、前記１つのセッションを介して通信される第２トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験する請求項９に記載の方法。
【請求項１１】
前記少なくとも１つの第２ドメインセッションは、前記第２ドメインの複数の第２セッションを含み、
前記少なくとも１つの第１データセットは、前記複数の第１セッションとそれぞれ関連付けられたデータセットを含み、
前記方法は、前記複数の第１セッションを介して通信される第１トラフィックから前記データセットを、前記回路によりそれぞれ少なくとも部分的に抽出する段階と、
前記データセットにそれぞれ少なくとも部分的に基づいて前記回路により前記第１トラフィックを少なくとも部分的に復号化する段階と、
前記データセットのそれぞれに少なくとも部分的に基づいて、前記複数の第２セッションを介して通信される第２トラフィックを前記回路により少なくとも部分的に暗号化する段階とを備える請求項９に記載の方法。
【請求項１２】
前記回路は、
回路基板に接続された回路カード、ネットワークアプライアンス、及び、１以上の暗号化オペレーションを実行する１以上のプロセッサ及び回路を含む１以上の集積回路のうちの１以上を少なくとも部分的に含む請求項７に記載の方法。
【請求項１３】
１以上の命令を格納するコンピュータ可読メモリであって、前記１以上の命令が機械によって実行されると、
第１ドメインの少なくとも１つのクライアントと第２ドメインの少なくとも１つのサーバとの間の少なくとも１つのセキュアな通信チャネルが少なくとも部分的に回路によって確立され、
前記少なくとも１つのチャネルは、前記第１ドメインの少なくとも１つの第１ドメインセッション及び前記第２ドメインの少なくとも１つの第２ドメインセッションを含み、
前記回路は、少なくとも１つの第１ドメインセッションキー及び少なくとも１つの第２ドメインセッションキーを少なくとも部分的に生成し、
前記少なくとも１つの第１ドメインセッションキー及び前記少なくとも１つの第２ドメインセッションキーはそれぞれ、前記少なくとも１つの第１ドメインセッション及び前記少なくとも１つの第２ドメインセッションを少なくとも部分的に暗号化するためのキーであり、
前記第１ドメインに割り当てられた第１ドメインキー、及び、前記少なくとも１つの第１ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第１データセットに少なくとも部分的に基づいて、前記少なくとも１つの第１ドメインセッションキーが生成され、
前記第２ドメインに割り当てられた第２ドメインキー、及び、前記少なくとも１つの第２ドメインセッションと少なくとも部分的に関連付けられた少なくとも１つの第２データセットに少なくとも部分的に基づいて、前記少なくとも１つの第２ドメインセッションキーが生成されるコンピュータ可読メモリ。
【請求項１４】
前記第１ドメインは、前記第２ドメインとは少なくとも部分的に区別され、
前記第１ドメインに割り当てられる前記第１ドメインキーは、前記第２ドメインキーとは少なくとも部分的に異なり、
前記少なくとも１つの第１データセットは、前記少なくとも１つの第１ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第１ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含み、
前記少なくとも１つの第２データセットは、前記少なくとも１つの第２ドメインセッションを少なくとも部分的に特定し、前記少なくとも１つの第２ドメインセッションを介して通信される１以上のパケットから少なくとも部分的に取得可能な１以上の値を含む請求項１３に記載のコンピュータ可読メモリ。
【請求項１５】
前記少なくとも１つのクライアントは、前記第１ドメインの複数のクライアントを含み、
前記少なくとも１つの第１ドメインセッションは、少なくとも１つのゲートウェイと前記複数のクライアントとの間の前記第１ドメインの複数の第１セッションを含み、
前記少なくとも１つの第２ドメインセッションは、前記少なくとも１つのゲートウェイと前記少なくとも１つのサーバとの間のセッションであり、
前記第１ドメインは、企業ドメインを含み、
前記第２ドメインキーは、前記企業ドメインと前記少なくとも１つのサーバとの間で少なくとも部分的に交渉される請求項１３に記載のメモリ。
【請求項１６】
前記少なくとも１つの第２ドメインセッションは、前記複数の第１セッションを少なくとも部分的にカプセル化する１つのセッションを含み、
前記回路は、前記複数の第１セッションを介して通信される第１トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験し、
前記回路は、前記１つのセッションを介して通信される第２トラフィックを少なくとも部分的に復号化し、少なくとも部分的に試験する請求項１５に記載のメモリ。
【請求項１７】
前記少なくとも１つの第２ドメインセッションは、前記第２ドメインの複数の第２セッションを含み、
前記少なくとも１つの第１データセットは、前記複数の第１セッションとそれぞれ関連付けられたデータセットを含み、
前記回路は、前記複数の第１セッションを介して通信される第１トラフィックから前記データセットをそれぞれ少なくとも部分的に抽出し、
前記回路は、前記データセットにそれぞれ少なくとも部分的に基づいて前記第１トラフィックを少なくとも部分的に復号化し、
前記回路は、前記データセットのそれぞれに少なくとも部分的に基づいて、前記複数の第２セッションを介して通信される第２トラフィックを少なくとも部分的に暗号化する請求項１５に記載のメモリ。
【請求項１８】
前記回路は、
回路基板に接続された回路カード、ネットワークアプライアンス、及び、１以上の暗号化オペレーションを実行する１以上のプロセッサ及び回路を含む１以上の集積回路のうちの１以上を少なくとも部分的に含む請求項１３に記載のメモリ。
【請求項１９】
前記少なくとも１つの第１ドメインセッションは、複数のセッションを含み、
前記回路は、前記少なくとも１つの第２ドメインセッションを確立するのに使用される１つのキーを交渉するべく、前記少なくとも１つのサーバと前記１つのキーの交渉トランザクションを実行し、
前記トランザクションは、前記回路と前記少なくとも１つのサーバとの間の１つのハンドシェイクを含む請求項１に記載の装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公表番号】特表２０１３−５１８５２２（Ｐ２０１３−５１８５２２Ａ）
【公表日】平成２５年５月２０日（２０１３．５．２０）
【国際特許分類】
【出願番号】特願２０１２−５５１１９７（Ｐ２０１２−５５１１９７）
【出願日】平成２３年１月１９日（２０１１．１．１９）
【国際出願番号】ＰＣＴ／ＵＳ２０１１／０２１６２７
【国際公開番号】ＷＯ２０１１／０９４０９６
【国際公開日】平成２３年８月４日（２０１１．８．４）
【出願人】（５９１００３９４３）インテル・コーポレーション (1,101)
【Ｆターム（参考）】
【公表日】平成２５年５月２０日（２０１３．５．２０）
【国際特許分類】
【出願日】平成２３年１月１９日（２０１１．１．１９）
【国際出願番号】ＰＣＴ／ＵＳ２０１１／０２１６２７
【国際公開番号】ＷＯ２０１１／０９４０９６
【国際公開日】平成２３年８月４日（２０１１．８．４）
【出願人】（５９１００３９４３）インテル・コーポレーション (1,101)
【Ｆターム（参考）】
[ Back to top ]