情報処理装置、通信制御方法及び通信制御プログラム
【課題】多重に暗号化された通信に対し、当該暗号化を単一化することが可能な情報処理装置、通信制御方法及び通信制御プログラムを提供する。
【解決手段】ＩＰＳｅｃとＳＳＬとにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定手段と、前記多重暗号判定手段によりＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御手段と、を備える。
【解決手段】ＩＰＳｅｃとＳＳＬとにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定手段と、前記多重暗号判定手段によりＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御手段と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上に接続された機器と暗号化通信を行う情報処理装置、当該情報処理装置の通信制御方法及び通信制御プログラムに関する。
【背景技術】
【０００２】
ネットワークの普及に伴いセキュリティへの関心が高まっている昨今において、通信の暗号化は重要な技術となっている。一般に用いられているＴＣＰ／ＩＰプロトコルでは、ＩＰＳｅｃやＳＳＬ等、各レイヤに応じた暗号技術が用いられているが、暗号／復号化にかかる処理はＣＰＵへの負荷が高く、複数の暗号化を多重に施すのは効率的ではない。そのため、従来、多重に暗号化が行われてしまうことを防止することが可能な種々の技術が提案されている。例えば、特許文献１には、平文での通信を受けたときにその通信をポートフォワードすることで、暗号化が多重に施されないよう回避する技術が開示されている。
【０００３】
【特許文献１】特開２００７−２５１５６８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記特許文献１に記載の技術では、平文での通信を受けた際には暗号化の多重化を回避することができるものの、既に多重に暗号化された通信を受け付けた際には、対応することができないという問題がある。
【０００５】
本発明は、上記に鑑みてなされたものであって、多重に暗号化された通信に対し、当該暗号化を単一化することが可能な情報処理装置、通信制御方法及び通信制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、請求項１にかかる発明は、ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置において、前記ＩＰＳｅｃとＳＳＬとにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定手段と、前記多重暗号判定手段によりＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御手段と、を備えたことを特徴とする。
【０００７】
また、請求項２にかかる発明は、請求項１にかかる発明において、前記外部装置にｗｅｂページを提供するｗｅｂサーバを更に備え、前記転送制御手段は、前記ＳＳＬにより暗号化されたｈｔｔｐｓによる前記ｗｅｂサーバ宛のアクセスを、当該ＳＳＬによる暗号化を伴わないｈｔｔｐによる前記ｗｅｂサーバ宛に転送させることを特徴とする。
【０００８】
また、請求項３にかかる発明は、請求項１にかかる発明において、前記転送制御手段は、前記ＩＰＳｅｃによる暗号化の対象となる自己の装置のＩＰｖ６アドレス宛のアクセスを、当該ＩＰＳｅｃによる暗号化を伴わない自己の装置の他のＩＰｖ６アドレス宛に転送させることを特徴とする。
【０００９】
また、請求項８にかかる発明は、ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置での通信制御方法であって、多重暗号判定手段が、前記ＩＰＳｅｃ及びＳＳＬにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定工程と、転送制御手段が、前記多重暗号判定工程でＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御工程と、を含むことを特徴とする。
【００１０】
また、請求項９にかかる発明は、請求項８にかかる発明において、前記情報処理装置は、前記情報処理装置は、前記外部装置にｗｅｂページを提供するｗｅｂサーバを備え、前記転送制御手段は、前記転送制御工程において、前記ＳＳＬにより暗号化されたｈｔｔｐｓによる前記ｗｅｂサーバ宛のアクセスを、当該ＳＳＬによる暗号化を伴わないｈｔｔｐによる前記ｗｅｂサーバ宛に転送させることを特徴とする。
【００１１】
また、請求項１０にかかる発明は、請求項８にかかる発明において、前記転送制御手段は、前記転送制御工程において、前記ＩＰＳｅｃによる暗号化の対象となる自己の装置のＩＰｖ６アドレス宛のアクセスを、当該ＩＰＳｅｃによる暗号化を伴わない自己の装置の他のＩＰｖ６アドレス宛に転送させることを特徴とする。
【００１２】
また、請求項１１にかかる発明は、ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置のコンピュータに、前記ＩＰＳｅｃとＳＳＬとにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定手段と、前記多重暗号判定手段によりＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御手段と、して機能させることを特徴とする。
【発明の効果】
【００１３】
請求項１、８、１１にかかる発明によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、外部装置のアクセス先をＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させることで暗号化を単一化することができるため、暗号化／複合化にかかる処理の負荷を低減することができる。
【００１４】
また、請求項２、９にかかる発明によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、ｈｔｔｐｓによるｗｅｂサーバ宛の通信をｈｔｔｐによるｗｅｂサーバ宛に転送させることで暗号化をＩＰＳｅｃのみに単一化することができるため、暗号化／複合化にかかる処理の負荷を低減することができる。
【００１５】
また、請求項３、１０にかかる発明によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、ＩＰＳｅｃによる暗号化を伴わない自己の装置の他のＩＰｖ６アドレス宛に転送させることで、暗号化をＳＳＬのみに単一化することができるため、暗号化／複合化にかかる処理の負荷を低減することができる。
【００１６】
また、請求項４にかかる発明によれば、ＩＰＳｅｃの対象となりにくいリンクローカルアドレス宛に転送させることができるため、暗号化をＳＳＬのみに単一化することができる。
【００１７】
また、請求項５、６、７にかかる発明によれば、ＩＰＳｅｃによる暗号化を伴わない、新たに生成されたＩＰｖ６アドレス宛に転送先させることができるため、暗号化をＳＳＬのみに単一化することができる。
【発明を実施するための最良の形態】
【００１８】
以下に添付図面を参照して、本発明にかかる情報処理装置、通信制御方法及び通信制御プログラムの最良な実施の形態を詳細に説明する。なお、本実施形態では、本発明にかかる情報処理装置、通信制御方法及び通信制御プログラムを、プリンタ機能や画像読取り（スキャナ）機能等を複合した所謂複合機に適用した例について説明するが、これに限らず、例えば、複写機やプリンタ等の画像形成装置、ＰＣ（Personal Computer）やサーバ装置等の情報処理装置に適用する態様としてもよい。
【００１９】
図１は、本実施形態にかかる通信システムの構成を示したブロック図である。同図に示したように、本通信システムは、ＭＦＰ１００とＰＣ２００とを有し、これら各機器がネットワークＮを介して通信可能に接続されている。なお、ネットワークＮに接続されるＭＦＰ１００やＰＣ２００の個数は、図１の例に限定されないものとする。
【００２０】
ネットワークＮ上において、ＭＦＰ１００と管理ステーション２００とは、ＩＰｖ６（Internet Protocol Version 6）で通信を行う。なお、ＭＦＰ１００には、２つのＩＰ（IPｖ６）アドレス“２００１：：１１”と、“２００１：：２２”とが予め割り当てられており、このうち“２００１：：１１”がＩＰＳｅｃ通信用のアドレス（以下、ＩＰＳｅｃ対象アドレスという）となっている。また、ＰＣ２００にはＩＰ（IPｖ６）アドレス“２００１：：３３”が予め割り当てられている。
【００２１】
次に、図２、３を参照してＭＦＰ１００について説明する。ＭＦＰ１００は、プリンタ機能、画像読取り（スキャナ）機能等を複合した複合機である。なお、本実施形態において、ＭＦＰ１００は、自己の装置を利用するユーザに対して自己の備える各機能（印刷やスキャン機能）を提供するとともに、自己の装置の設定を行うための管理画面（ＧＵＩ）を、ネットワークＮを介しｗｅｂベースで提供する。
【００２２】
図２は、ＭＦＰ１００のハードウェア構成の一例を示したブロック図である。同図に示したように、ＭＦＰ１００は、ＣＰＵ（Central Processing Unit）１１と、ＡＳＩＣ（Application Specific Integrated Circuit）１２と、システムメモリ１３と、記憶部１４と、操作表示部１５と、エンジン部１６と、スキャナ部１７と、インタフェース部１８とを備えている。
【００２３】
ＣＰＵ１１は、システムメモリ１３の後述するＲＡＭ１３２を作業領域として、ＲＯＭ１３１又は記憶部１４に予め記憶された各種制御プログラムとの協働により各種処理を実行し、ＭＦＰ１００全体の動作を統括的に制御する。
【００２４】
また、ＣＰＵ１１は、ＲＯＭ１３１又は記憶部１４に予め記憶された所定のプログラムとの協働により、後述する各機能部（ネットワーク通信部、アドレス生成部、ＩＰＳｅｃ処理部、ＩＰＳｅｃ設定保持部、ｈｔｔｐサーバ、転送先判定部、暗号／復号処理部、Ｗｅｂアプリ）の機能を実現する。
【００２５】
ＡＳＩＣ１２は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ（Integrated Circuit）であり、ＣＰＵ１１と各部を夫々接続するブリッジとしての機能を有する。
【００２６】
システムメモリ１３は、プログラムやデータの格納用メモリ、プログラムやデータの展開用メモリ、プリンタの描画用メモリ等として用いるシステムメモリであり、ＲＯＭ１３１、ＲＡＭ１３２等から構成される。ここで、ＲＯＭ１３１は、プログラムやデータの格納用メモリとして用いる読み出し専用のメモリであり、ＲＡＭ１３２は、プログラムやデータの展開用メモリ、プリンタの描画用メモリ等として用いる書き込み及び読み出し可能な揮発性のメモリである。
【００２７】
記憶部１４は、磁気的又は光学的に記録可能な記憶媒体を有し、ＭＦＰ１００の制御にかかるプログラムや各種設定情報等を書き換え可能に記憶する。また、記憶部１４は、スキャナ部１７やインタフェース部１８を介して入力される画像データ等を記憶する。
【００２８】
操作表示部１５は、ＭＦＰ１００とユーザとのインタフェースを行う部分であって、ＬＣＤ（液晶表示装置）等の表示デバイスと、キースイッチ等の入力デバイスとから構成される。操作表示部１５は、ＣＰＵ１１の制御の下、装置の各種状態や操作方法をＬＣＤに表示するとともに、ユーザからのタッチパネルやキースイッチ群を介した入力を検出し、ＣＰＵ１１に出力する。
【００２９】
エンジン部１６は、プリンタエンジンなどであり、例えば白黒プロッタ、１ドラムカラープロッタ、４ドラムカラープロッタ、スキャナまたはファックスユニットなどである。なお、このエンジン部１６には、プロッタなどのいわゆるエンジン部分に加えて、誤差拡散やガンマ変換などの画像処理部分が含まれる。
【００３０】
スキャナ部１７は、ＣＣＤ光電変換素子からなるラインセンサとＡ／Ｄコンバータとそれらの駆動回路等を具備し、セットされた原稿をスキャンすることで得る原稿の濃淡情報から、デジタルの画像データを生成し、ＣＰＵ１１に出力する。
【００３１】
インタフェース部１８は、ＭＦＰ１００と外部装置とを接続するためのインタフェースである。具体的にインタフェース部１８は、ネットワークＮに接続可能なネットワークインタフェースであって、ネットワークＮを介しＰＣ２００との間で授受される情報の送受信を制御する。
【００３２】
次に、図３を参照して、ＭＦＰ１００のＣＰＵ１１とＲＯＭ１３１又は記憶部１４に記憶されたプログラムとの協働により実現される各機能部について説明する。
【００３３】
図３は、ＭＦＰ１００の機能的構成（ソフトウェア構成）を示したブロック図である。同図に示したように、ＭＦＰ１００は、ネットワーク通信部２１と、アドレス生成部２２と、ＩＰＳｅｃ設定保持部２３と、ＩＰＳｅｃ処理部２４と、ｗｅｂサーバ２５と、転送先判定部２６と、暗号／復号処理部２７と、ｗｅｂアプリ２８とを備えている。なお、図３では、各機能部が属するレイヤ間の関係をその配置位置より表しており、図中上方に行くほど上位のレイヤであることを意味している（ネットワーク層〜アプリケーション層）。
【００３４】
ネットワーク通信部２１は、インタフェース部１８を介して接続される外部機器（ＰＣ２００）との間の通信を制御する。アドレス生成部２２は、外部装置との通信や自己の装置内で使用するＩＰアドレス（例えば、ＩＰＳｅｃ対象ドレスや後述するＩＰＳｅｃ非対象アドレス等）を生成する。
【００３５】
ＩＰＳｅｃ設定保持部２３は、ＩＰＳｅｃでの暗号化通信にかかるＳＰＤ（Security Policy Database）等の設定情報を記憶部１４等のメモリ上に保持する。なお、設定情報には、自己の装置のＩＰＳｅｃ対象アドレス“２００１：：１１”や、ＩＰＳｅｃを適用しない自己のＩＰアドレス（以下、ＩＰＳｅｃ非対象アドレスという）“２００１：：２２”等が予め設定されているものとする。
【００３６】
ＩＰＳｅｃ処理部２４は、ＩＰＳｅｃ設定保持部２３が保持する設定情報に従い、ＩＰＳｅｃ通信の暗号化／復号化を行う。具体的に、ＩＰＳｅｃ処理部２４は、ＩＰＳｅｃ設定保持部２３が保持する設定情報に基づき、当該設定情報に設定されたＩＰＳｅｃ対象アドレスにかかる通信（パケット）についてはＩＰＳｅｃによる暗号化／復号化を施し、ＩＰＳｅｃ非対象アドレスについてはＩＰＳｅｃによる暗号化／復号化を行わないよう制御する。
【００３７】
ｗｅｂサーバ２５は、ｈｔｔｐ及びｈｔｔｐｓ（ＳＳＬ）通信用の機能部であって、ＰＣ２００が備えるｗｅｂブラウザ等のクライアントソフトウェア（以下、ｗｅｂブラウザという）からの要求に応じて、上述した自己の装置の設定用の管理画面等を提供する。
【００３８】
転送先判定部２６は、ＰＣ２００から送信される通信の暗号化の状況に応じて、ｗｅｂサーバ２５の通信の転送先を決定する。具体的に、転送先判定部２６は、ＰＣ２００から送信される通信がＩＰＳｅｃとＳＳＬとにより多重に暗号化されている場合に、“ｈｔｔｐｓ”による通信を“ｈｔｔｐ”とさせる転送レスポンスをＰＣ２００に返すことで、ＳＳＬによる暗号化が行われないよう制御する。なお、転送先判定部２６の詳細な動作については、後述する。
【００３９】
暗号／復号処理部２７は、ｗｅｂサーバ２５からの暗号化／復号化要求に応じて、ＳＳＬによる暗号化／復号化を行う。
【００４０】
ｗｅｂアプリ２８は、ｗｅｂサーバ２５からの要求に応じて、自己の装置の設定用の管理画面や、管理画面の表示の際に行うユーザ認証用のログイン画面等、種々のｗｅｂページを生成する。また、ｗｅｂアプリ２８は、記憶部１４等に予め記憶された自己の装置の管理者用のユーザ名及びパスワードと、ｗｅｂサーバ２５を介して通知されるＰＣ２００のユーザのユーザ名及びパスワードとを照合することで、ＰＣ２００のユーザが管理者権限を有するか否かの認証を行い、この認証結果に応じたｗｅｂページを生成する。
【００４１】
図１に戻り、ＰＣ２００は、本システムのユーザが操作する端末装置であって、ＣＰＵやＲＯＭ、ＲＡＭ、ＨＤＤ、ネットワークＮに接続するための通信インタフェース等のコンピュータ構成を備える（何れも図示せず）。また、ＰＣ２００は、ＣＰＵとＲＯＭ又はＨＤＤに記憶された所定のプログラムとの協働により、ｗｅｂブラウザとしての機能を実現し、このｗｅｂブラウザを用いてＭＦＰ１００のｗｅｂサーバ２５にアクセスを行う。なお、ＰＣ２００からＭＦＰ１００への通信は、デフォルトの状態ではＩＰアドレス“２００１：：１１”宛、即ちＩＰＳｅｃによる暗号化通信の下で行われるものとする。
【００４２】
以下、ＭＦＰ１００の動作について説明する。図４は、ＭＦＰ１００の各機能部により実行される通信制御処理の手順を示したシーケンス図である。
【００４３】
まず、ＰＣ２００のｗｅｂブラウザから、ＭＦＰ１００のＩＰＳｅｃ対象アドレスのＵＲＬ（http://2001::11/）宛にアクセスが行われ、ログイン画面が要求されたとする（ステップＳ１１）。このときアクセス先のＵＲＬは“ｈｔｔｐ”で始まるため、ＳＳＬによる暗号化は施されておらず、ＩＰＳｅｃによる暗号化のみが施されている。
【００４４】
一方、ＭＦＰ１００では、ネットワーク通信部２１がＰＣ２００からＩＰＳｅｃにより暗号化された通信（パケット）を受け付けると、このパケットに施されたＩＰＳｅｃの復号をＩＰＳｅｃ処理部２４に依頼する（ステップＳ１２）。ＩＰＳｅｃ処理部２４では、ネットワーク通信部２１からＩＰＳｅｃにより暗号化されたパケットを受け取ると、ＩＰＳｅｃ設定保持部２３が保持する設定情報に基づいてパケットを復号化し、ネットワーク通信部２１に出力する（ステップＳ１３）。
【００４５】
ネットワーク通信部２１は、ＩＰＳｅｃ処理部２４からＩＰＳｅｃ復号化済みのパケットを受け付けると、このパケットをｗｅｂサーバ２５に転送する（ステップＳ１４）。ｗｅｂサーバ２５では、ネットワーク通信部２１から受け付けたパケットの内容に応じ、ｗｅｂアプリ２８にログイン画面の生成を要求（ログイン画面要求）する（ステップＳ１５）。
【００４６】
続いて、ｗｅｂアプリ２８では、ｗｅｂサーバ２５からの要求に応じてログイン画面を生成すると、ログイン画面要求に対する応答としてｗｅｂサーバ２５に出力する（ステップＳ１６）。
【００４７】
ここで、図５は、ｗｅｂアプリ２８により生成されたログイン画面を表示するためのソース（ＨＴＭＬ）の一例を示した図である。また、図６は、図５のソースがｗｅｂブラウザにより表示された際の表示例を示した図である。
【００４８】
ログイン画面は、ユーザ名とパスワードとを入力する領域Ａ１、Ａ２から構成されており、図６に示したログインボタンＢ１が押下されることで、Ａ１、Ａ２に入力された文字列が、図５のＬ１に示したＵＲＬ（https://2001::11/login.cgi）宛に送信されるよう構成されている。
【００４９】
図４に戻り、ｗｅｂサーバ２５は、ｗｅｂアプリ２８からログイン画面（ソース）を受け取ると、このログイン画面をパケット化してネットワーク通信部２１に転送する（ステップＳ１７）。ネットワーク通信部２１は、ｗｅｂサーバ２５からパケットを受け付けると、このパケットをＩＰＳｅｃ処理部２４に転送することでＩＰＳｅｃによる暗号化を依頼する（ステップＳ１８）。
【００５０】
ＩＰＳｅｃ処理部２４は、ネットワーク通信部２１からパケットの暗号化が依頼されると、ＩＰＳｅｃ設定保持部２３により保持された設定情報に基づいて、このパケットにＩＰＳｅｃによる暗号化を施し、ネットワーク通信部２１に再び戻す（ステップＳ１９）。そして、ネットワーク通信部２１は、ＩＰＳｅｃ処理部２４からＩＰＳｅｃによる暗号化済みのパケットを受け取ると、ログイン画面要求に対する応答としてＰＣ２００に送信する（ステップＳ２０）。
【００５１】
ＰＣ２００では、図６に示したログイン画面の領域Ａ１、Ａ２に文字列がユーザにより入力された後、ログインボタンＢ１が押下されると、ｗｅｂブラウザの制御により、図５のＬ１に示したＵＲＬ（https://2001::11/login.cgi）宛に、各領域に入力された情報が送信される（ステップＳ２１）。このとき、アクセス先のＵＲＬは“ｈｔｔｐｓ”で始まるため、ＳＳＬによる暗号化が行われる。つまり、この時点でＩＰＳｅｃとＳＳＬとにより二重に暗号化された通信がＭＦＰ１００に送信されることになる。
【００５２】
ＭＦＰ１００では、ネットワーク通信部２１がＰＣ２００からの通信（パケット）を受け付けると、このパケットに施されたＩＰＳｅｃの復号をＩＰＳｅｃ処理部２４に依頼する（ステップＳ２２）。ＩＰＳｅｃ処理部２４では、ＩＰＳｅｃ設定保持部２３が保持する設定情報に基づいてパケットを復号化すると、ネットワーク通信部２１に再び戻す（ステップＳ２３）。
【００５３】
次いで、ネットワーク通信部２１は、ＩＰＳｅｃ処理部２４から復号化済みパケットを受け付けると、このパケットをｗｅｂサーバ２５に転送する（ステップＳ２４）。ｗｅｂサーバ２５では、ネットワーク通信部２１から受け付けたパケットがＳＳＬにより暗号化されていると判断するため、当該パケットの復号を暗号／復号処理部２７に依頼する（ステップＳ２５）。
【００５４】
暗号／復号処理部２７は、ｗｅｂサーバ２５からの依頼に応じ、ＳＳＬで暗号化されたパケットを復号化すると、このパケットをｗｅｂサーバ２５に再び戻す（ステップＳ２６）。このとき、転送先判定部２６は、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の動作状態に基づいて、ＰＣ２００から送信されたパケットが多重に暗号化されているか否かを判定する。
【００５５】
具体的に、転送先判定部２６は、パケットのヘッダ情報に含まれる各種の情報に基づき、同一のパケットや同一の通信（セッション）について、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の両機能部にて復号化が行われたか否かに応じて、ＰＣ２００から送信されたパケットが多重に暗号化されているか否かを判定する。
【００５６】
図４の場合、ステップＳ２２、Ｓ２５での処理に応じ、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７にて復号化が行われているため、転送先判定部２６は、パケットが多重に暗号化されていると判定する。この場合、転送先判定部２６は、当該パケットによりアクセスが要求されたＵＲＬ（https://2001::11/login.cgi）の“ｈｔｔｐｓ”を、“ｈｔｔｐ”としたＵＲＬ（http://2001::11/login.cgi）宛に転送させる転送レスポンスを生成し（ステップＳ２７）、ｗｅｂサーバ２５に引き渡す。
【００５７】
ここで、転送レスポンスは、ＨＴＴＰのステータスコード３ＸＸ（Redirection）を用いて生成されるものとする。例えば、ステータスコード３０７を用いた場合、転送先判定部２６は、図７に示すような転送レスポンスを生成する。なお、図７の転送レスポンスは、ｗｅｂブラウザに“http://2001::11/login.cgi”宛に転送することを指示するものである。このように、転送先判定部２６では、ＩＰＳｅｃ及びＳＳＬによりパケットが多重に暗号化されている場合に、ＳＳＬにより暗号化されたｈｔｔｐｓによるＵＲＬのアクセス先を、暗号化を伴わない“ｈｔｔｐ”によるＵＲＬのアクセス先に転送するよう制御する。
【００５８】
なお、本実施形態では、転送先判定部２６が転送レスポンスを生成する態様としたが、これに限らず、転送先判定部２６がｗｅｂアプリ２８に図７に示したような転送レスポンスの生成を指示することで、当該転送レスポンスがｗｅｂアプリ２８からｗｅｂサーバ２５に渡されるよう構成してもよい。また、本実施形態では、ＨＴＴＰのステータスコード３ＸＸを利用して転送させることとしたが、これに限らず、Ｊａｖａ（登録商標）等を用いた他の方法により転送させることとしてもよい。
【００５９】
また、本実施形態では、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の動作状態に基づいて暗号化が多重に施されているか否かを判定する態様としたが、これに限定されるものではない。例えば、ＰＣ２００から送信されるパケットのヘッダ情報やデータ構造から、多重に暗号化が施されていることを直接的に識別することが可能であれば、パケットに含まれたヘッダ情報やデータ構造等に基づいて暗号化が多重に施されているか否かを判定する態様としてもよい。
【００６０】
図４に戻り、ｗｅｂサーバ２５は、転送先判定部２６から転送レスポンスを受け付けると、この転送レスポンスをパケット化し、暗号／復号処理部２７に転送することでＳＳＬによる暗号化を依頼する（ステップＳ２８）。暗号／復号処理部２７は、ｗｅｂサーバ２５からパケットの暗号化が依頼されると、ＳＳＬによる暗号化を施し、ｗｅｂサーバ２５に再び戻す（ステップＳ２９）。そして、ｗｅｂサーバ２５は、暗号／復号処理部２７からＳＳＬによる暗号化済みのパケットを受け付けると、このパケットをネットワーク通信部２１に転送する（ステップＳ３０）。
【００６１】
ネットワーク通信部２１は、ｗｅｂサーバ２５からパケットを受け付けると、このパケットをＩＰＳｅｃ処理部２４に転送することでＩＰＳｅｃによる暗号化を依頼する（ステップＳ３１）。ＩＰＳｅｃ処理部２４は、ネットワーク通信部２１からパケットを受け付けると、ＩＰＳｅｃによる暗号化を施しネットワーク通信部２１に再び戻す（ステップＳ３２）。そして、ネットワーク通信部２１は、ＩＰＳｅｃ処理部２４からＩＰＳｅｃによる暗号化済みのパケットを受け付けると、このパケットをＰＣ２００に送信する（ステップＳ３３）。
【００６２】
一方、ＰＣ２００では、ステータスコード３ＸＸにより、“http://2001::11/login.cgi”への転送を指示した転送レスポンスを受信するため、ｗｅｂブラウザによる制御により、転送先のＵＲＬ宛にログイン要求を送信する（ステップＳ３４）。ここで、アクセス先のＵＲＬは“ｈｔｔｐ”で始まるため、ｈｔｔｐ通信によりアクセスが行われる。また、アクセス先のＵＲＬはＩＰＳｅｃ対象アドレスであるため、ＩＰＳｅｃによる暗号化が施されることは言うまでもない。つまり、この時点でＩＰＳｅｃのみによる暗号化通信に切り替わる。なお、転送先のＵＲＬへのアクセス時には、ｗｅｂブラウザが有するクッキーなどに機構により、ステップＳ２１の処理の際に入力されたユーザ名、パスワードなどの情報も同時に送信されるものとする。
【００６３】
一方、ＭＦＰ１００では、ネットワーク通信部２１がＰＣ２００からの通信（パケット）を受け付けると、このパケットに施されたＩＰＳｅｃの復号をＩＰＳｅｃ処理部２４に依頼する（ステップＳ３５）。ＩＰＳｅｃ処理部２４では、ネットワーク通信部２１からＩＰＳｅｃによる暗号化済みのパケットを受け付けると、このパケットを復号化しネットワーク通信部２１に再び戻す（ステップＳ３６）。
【００６４】
ネットワーク通信部２１は、ＩＰＳｅｃ処理部２４から復号化済みのパケットを受け付けると、このパケットをｗｅｂサーバ２５に転送する（ステップＳ３７）。ｗｅｂサーバ２５では、ネットワーク通信部２１から受け付けたパケットの内容に応じ、ＰＣ２００から送信されたユーザ名とパスワードとをｗｅｂアプリ２８に引き渡すことで、ｗｅｂアプリ２８にログイン認証を要求する（ステップＳ３８）。
【００６５】
ｗｅｂアプリ２８は、ｗｅｂサーバ２５からの要求に応じ、ｗｅｂサーバ２５から渡されたユーザ名及びパスワードを、記憶部１４に記憶された照合用情報と照合することで認証を行い、この認証結果に応じて生成したｗｅｂページ（応答ページ）をｗｅｂサーバ２５に出力する（ステップＳ３９）。ここで、認証の結果、正当なユーザと判断した場合、ｗｅｂアプリ２８は、生成したＭＦＰ１００の設定画面とともに、セッション管理用のＩＤを含むクッキーを応答ページとしてｗｅｂサーバ２５に出力するものとする。
【００６６】
ｗｅｂサーバ２５は、ｗｅｂアプリ２８から応答ページを受け取ると、この応答ページをパケット化してネットワーク通信部２１に転送する（ステップＳ４０）。ネットワーク通信部２１は、ｗｅｂサーバ２５からパケットを受け付けると、このパケットをＩＰＳｅｃ処理部２４に転送することでＩＰＳｅｃによる暗号化を依頼する（ステップＳ４１）。
【００６７】
ＩＰＳｅｃ処理部２４は、ネットワーク通信部２１からパケットの暗号化が依頼されると、このパケットにＩＰＳｅｃにより暗号化を施し、ネットワーク通信部２１に再び戻す（ステップＳ４２）。そして、ネットワーク通信部２１では、ＩＰＳｅｃ処理部２４からＩＰＳｅｃによる暗号化済みのパケットを受け取ると、このパケットをログイン要求に対する応答として、ＰＣ２００に送信する（ステップＳ４３）。
【００６８】
以上のように、第１の実施形態によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、アクセス先となったｈｔｔｐｓによるＵＲＬを、ｈｔｔｐによるＵＲＬ宛に転送させることで、ＳＳＬによる暗号化を伴わない“ｈｔｔｐ”による通信に切り替えることができるため、ＩＰＳｅｃのみによる暗号化に単一化することが可能となる。これにより、暗号化／復号化にかかる負荷を軽減することが可能となり、ＭＦＰ１００とＰＣ２００との間の通信をより効率的に行うことができる。
【００６９】
なお、本実施形態では、転送先判定部２６による暗号化の多重判定を、ＰＣ２００からログイン要求（ステップＳ２１）がされた場合にのみについて説明したが、実際には、ＭＦＰ１００とＰＣ２００との間の通信を転送先判定部２６は常時監視する。そのため、図４で説明したログイン画面要求（ステップＳ１１）の際や、ステップＳ４３以降に行われる通信についても、暗号化の多重判定は行われることになる。
【００７０】
［第２の実施形態］
上記第１の実施形態では、ＩＰＳｅｃとＳＳＬとにより暗号化が多重に行われている場合に、“ｈｔｔｐｓ”による通信を“ｈｔｔｐ”とすることで、暗号の単一化を行う形態を説明した。第２の実施形態では、ＩＰＳｅｃとＳＳＬとにより暗号化が多重に行われている場合に、ＩＰＳｅｃによる暗号化が行われないよう制御することで、ＳＳＬによる暗号化のみに単一化を行う形態について説明する。なお、上記第１の実施形態と同様の構成要素については、同一の符号を付与し、本実施形態に特有の動作についてのみ説明を行う。
【００７１】
まず、図３を参照して、第２の実施形態にかかるＭＦＰ１０１の機能的構成について説明する。図３に示したように、ＭＦＰ１０１は、ネットワーク通信部２１と、アドレス生成部２２と、ＩＰＳｅｃ設定保持部２３と、ＩＰＳｅｃ処理部２４と、ｗｅｂサーバ２５と、転送先判定部２６１と、暗号／復号処理部２７と、ｗｅｂアプリ２８とを備えている。なお、ＭＦＰ１０２のハードウェア構成は、図２と同様であるため説明を省略する。また、通信システムの構成は図１と同様となるため説明を省略する。
【００７２】
ここで、転送先判定部２６１は、ＰＣ２００から送信される通信がＩＰＳｅｃとＳＳＬとにより多重に暗号化されている場合に、ＩＰＳｅｃ対象アドレス（２００１：：１１）宛に対する通信を、ＩＰＳｅｃ非対象アドレス“２００１：：２２”宛に転送させる転送レスポンスをＰＣ２００に返すことで、ＩＰＳｅｃによる暗号化が行われないよう制御する。
【００７３】
以下、本実施形態にかかるＭＦＰ１０１の動作について説明する。図８は、ＭＦＰ１０１の各機能部により実行される通信制御処理の手順を示したシーケンス図である。なお、ステップＳ５１〜Ｓ６６までの処理は、上述した図４でのステップＳ１１〜Ｓ２６の処理と同様であるため、説明を省略する。
【００７４】
ステップＳ６６において、暗号／復号処理部２７からｗｅｂサーバ２５に、ＳＳＬの復号化が行われたパケットが戻されると、転送先判定部２６１は、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の動作状態に基づいて、ＰＣ２００から送信されたパケットが多重に暗号化されているか否かを判定する。
【００７５】
具体的に、転送先判定部２６１は、上述した転送先判定部２６と同様、パケットのヘッダ情報に含まれる各種の情報に基づき、同一のパケットや同一の通信（セッション）について、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の両機能部にて復号化が行われたか否かに応じて、ＰＣ２００から送信されたパケットが多重に暗号化されているか否かを判定する。
【００７６】
図８の場合、ステップＳ６２、Ｓ６５の処理の際に、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７にて復号化が行われているため、転送先判定部２６１は、パケットが多重に暗号化されていると判定する。この場合、転送先判定部２６１は、当該パケットによりアクセスされたＵＲＬ（https://2001::11/login.cgi）のＩＰＳｅｃ対象アドレス部分“２００１：：１１”を、ＩＰＳｅｃ非対象アドレス“２００１：：２２”としたＵＲＬ（http://2001::22/login.cgi）に転送させる転送レスポンスを生成し（ステップＳ６７）、ｗｅｂサーバ２５に引き渡す。
【００７７】
ここで、転送レスポンスは、第１の実施形態と同様、ＨＴＴＰのステータスコード３ＸＸ（Redirection）を用いて生成されるものとする。例えば、ステータスコード３０７を用いた場合、転送先判定部２６１は、図９に示すような転送レスポンスを生成する。なお、図９の転送レスポンスは、ｗｅｂブラウザに“https://2001::22/login.cgi”宛に転送することを指示するものである。このように、転送先判定部２６では、ＩＰＳｅｃとＳＳＬによりパケットが多重に暗号化されている場合に、ＩＰＳｅｃ対象アドレス宛の通信を、ＩＰＳｅｃによる暗号化を伴わないＩＰＳｅｃ非対象アドレスとの通信に切り替える。
【００７８】
なお、本実施形態では、転送先判定部２６１が転送レスポンスを生成する態様としたが、これに限らず、転送先判定部２６１がｗｅｂアプリ２８に図９に示したような転送レスポンスの生成を指示することで、当該転送レスポンスがｗｅｂアプリ２８からｗｅｂサーバ２５に渡されるよう構成してもよい。また、本実施形態では、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の動作状態に基づいて暗号化が多重に施されているか否かを判定する態様としたが、これに限定されるものではない。例えば、ＰＣ２００から送信されるパケットのヘッダ情報やデータ構造から、多重に暗号化が施されていることを直接識別することが可能な状態であれば、このパケットのみに基づいて暗号化が多重に施されているか否かを判定する態様としてもよい。
【００７９】
図８に戻り、ｗｅｂサーバ２５は、転送先判定部２６１から転送レスポンスを受け付けると、この転送レスポンスをパケット化し、暗号／復号処理部２７に転送することでＳＳＬによる暗号化を依頼する（ステップＳ６８）。暗号／復号処理部２７は、ｗｅｂサーバ２５からパケットの暗号化が依頼されると、ＳＳＬによる暗号化を施しｗｅｂサーバ２５に再び戻す（ステップＳ６９）。そして、ｗｅｂサーバ２５は、暗号／復号処理部２７からＳＳＬによる暗号化済みのパケットを受け取ると、このパケットをネットワーク通信部２１に転送する（ステップＳ７０）。
【００８０】
ネットワーク通信部２１は、ｗｅｂサーバ２５からパケットを受け付けると、このパケットをＩＰＳｅｃ処理部２４に転送することでＩＰＳｅｃによる暗号化を依頼する（ステップＳ７１）。ＩＰＳｅｃ処理部２４は、ネットワーク通信部２１からパケットの暗号化が依頼されると、ＩＰＳｅｃ設定保持部２３により保持された設定情報に基づいてパケットに暗号化を施し、ネットワーク通信部２１に再び戻す（ステップＳ７２）。そして、ネットワーク通信部２１では、ＩＰＳｅｃ処理部２４からＩＰＳｅｃによる暗号化済みのパケットを受け取ると、ＰＣ２００に送信する（ステップＳ７３）。
【００８１】
一方、ＰＣ２００では、ステータスコード３ＸＸ（例えば、３０７）により、“https://2001::22/login.cgi”への転送が指示された転送レスポンスを受信するため、ｗｅｂブラウザによる制御により、転送先のＵＲＬ宛にログイン要求を送信する（ステップＳ７４）。ここで、アクセス先のＵＲＬはＩＰＳｅｃ非対象アドレスであるため、ＩＰＳｅｃにより暗号化を伴わない通常の通信によりアクセスが行われる。また、アクセス先のＵＲＬは“ｈｔｔｐｓ”で始まるため、ＳＳＬによる暗号化が施されていることは言うまでもない。つまり、この時点でＳＳＬのみによる暗号化通信に切り替わる。
【００８２】
一方、ＭＦＰ１００では、ネットワーク通信部２１がＰＣ２００からの通信（パケット）を受け付けると、このパケットをｗｅｂサーバ２５に転送する（ステップＳ７５）。ｗｅｂサーバ２５では、ネットワーク通信部２１から受け付けたパケットがＳＳＬにより暗号化されていると判断するため、当該パケットの復号を暗号／復号処理部２７に依頼する（ステップＳ７６）。
【００８３】
暗号／復号処理部２７は、ｗｅｂサーバ２５からの依頼に応じ、ＳＳＬで暗号化されたパケットを復号化すると、このパケットをｗｅｂサーバ２５に再び戻す（ステップＳ７７）。続いて、ｗｅｂサーバ２５では、復号処理部２７から受け付けたパケットの内容に応じ、ＰＣ２００から送信されたユーザ名とパスワードとをｗｅｂアプリ２８に引き渡すことで、ｗｅｂアプリ２８にログイン認証を要求する（ステップＳ７８）。
【００８４】
ｗｅｂアプリ２８は、ｗｅｂサーバ２５からの要求に応じ、ｗｅｂサーバ２５から渡されたユーザ名及びパスワードを、記憶部１４に記憶された照合用情報と照合することで認証を行い、この認証結果に応じて生成した応答ページをｗｅｂサーバ２５に出力する（ステップＳ７９）。
【００８５】
ｗｅｂサーバ２５は、ｗｅｂアプリ２８から応答ページを受け付けると、この応答ページをパケット化し、暗号／復号処理部２７に転送することでＳＳＬによる暗号化を依頼する（ステップＳ８０）。暗号／復号処理部２７は、ｗｅｂサーバ２５からパケットの暗号化が依頼されると、ＳＳＬによる暗号化を施し、ｗｅｂサーバ２５に再び戻す（ステップＳ８１）。そして、ｗｅｂサーバ２５は、暗号／復号処理部２７からＳＳＬによる暗号化済みのパケットを受け取ると、このパケットをネットワーク通信部２１に転送する（ステップＳ８２）。
【００８６】
続いて、ネットワーク通信部２１は、ｗｅｂサーバ２５からＳＳＬによる暗号化済みのパケットを受け付けると、このパケットをログイン要求に対する応答として、ＰＣ２００に送信する（ステップＳ８３）。
【００８７】
以上のように、第２の実施形態によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、ＩＰＳｅｃ非対象アドレス宛に転送させることで、ＩＰＳｅｃによる暗号化を伴わないＩＰＳｅｃ非対象アドレスよる通信に切り替えることができるため、ＳＳＬのみによる暗号化に単一化することが可能となる。これにより、暗号化／復号化にかかる負荷を軽減することが可能となり、ＭＦＰ１００とＰＣ２００との間の通信をより効率的に行うことができる。
【００８８】
なお、本実施形態では、転送先判定部２６１による暗号化の多重判定を、ＰＣ２００からログイン要求（ステップＳ２１）がされた場合にのみについて説明したが、実際には、ＭＦＰ１００とＰＣ２００との間の通信を転送先判定部２６は常時監視する。そのため、図８で説明したログイン画面要求（ステップＳ６１）の際や、ステップＳ８３以降に行われる通信についても、暗号化の多重判定は行われることになる。
【００８９】
［第３の実施形態］
上記第２の実施形態では、ＰＣ２００から送信される通信がＩＰＳｅｃとＳＳＬとにより多重に暗号化されている場合に、ＩＰＳｅｃ対象アドレス（２００１：：１１）宛に対する通信を、ＩＰＳｅｃ非対象アドレス“２００１：：２２”宛に転送させる転送レスポンスをＰＣ２００に返すことで、暗号の単一化を行う形態を説明した。
【００９０】
ＩＰＳｅｃ非対象アドレスがリンクローカルアドレスであるような場合、ＰＣ２００からアクセスされるＩＰアドレスと、当該ＰＣ２００のＩＰアドレスとのプレフィックスが等しいと、上記第２の実施形態の手法は有効となるが、両アドレスのプレフィックスが異なると、ＰＣ２００のプレフィックスに応じたＩＰＳｅｃ非対象アドレスを設ける必要があるため、固定的に設定された設定情報（ＳＰＤ）では有効に制御することができない。そこで、第３の実施形態では、自己の装置のＩＰアドレスとＰＣ２００のＩＰアドレスとのプレフィックスに応じ、ＩＰＳｅｃ非対象アドレスの生成を動的に行うことが可能な形態について説明する。なお、上記第１、２の実施形態と同様の構成要素については、同一の符号を付与し、本実施形態に特有の動作についてのみ説明を行う。
【００９１】
まず、図３を参照して、第３の実施形態にかかるＭＦＰ１０２が備える機能的構成について説明する。図３に示したように、ＭＦＰ１０２は、ネットワーク通信部２１と、アドレス生成部２２１と、ＩＰＳｅｃ設定保持部２３１と、ＩＰＳｅｃ処理部２４と、ｗｅｂサーバ２５と、転送先判定部２６２、暗号／復号処理部２７、ｗｅｂアプリ２８とを備えている。なお、ＭＦＰ１０２のハードウェア構成は、図２と同様であるため説明を省略する。
【００９２】
転送先判定部２６２は、ＰＣ２００から送信される通信の暗号化の状態と、当該ＰＣ２００のＩＰアドレスのプレフィックスとに基づいて、ｗｅｂサーバ２５の通信の転送先を決定する。具体的に、転送先判定部２６２は、ＰＣ２００から送信される通信がＩＰＳｅｃとＳＳＬとにより多重に暗号化されている場合に、この通信のアクセス先となるＩＰアドレスと、ＰＣ２００のＩＰアドレスとのプレフィックスが等しいか否かを判定する。この判定により、両ＩＰアドレスのプレフィックスが異なると判断した場合、転送先判定部２６２は、アクセス先となったＩＰアドレスとプレフィックスが等しく、且つ、当該ＩＰアドレスとは異なる新たなＩＰアドレスをアドレス生成部２２１に生成させる。
【００９３】
また、転送先判定部２６２は、アドレス生成部２２１により生成された新たなＩＰアドレスが、ＩＰＳｅｃ設定保持部２３１が保持する設定情報にＩＰＳｅｃ対象アドレスとして設定されているか否を判定し、設定されていないと判断した場合には、この新たなＩＰアドレス（ＩＰＳｅｃ非対象アドレス）宛に転送させる転送レスポンスをＰＣ２００に返すことで、暗号の単一化を行う。なお、生成された新たなＩＰアドレスが、ＩＰＳｅｃ対象アドレスとして設定されていた場合、転送先判定部２６２は、ＩＰＳｅｃ設定保持部２３１を制御することで、この新たなＩＰアドレスをＩＰＳｅｃ対象アドレスから除外させるものとするが、アドレス生成部２２１を制御することで、前回生成されたＩＰアドレスとは異なる新たなＩＰアドレスを再度生成させる態様としてもよい。
【００９４】
ＩＰＳｅｃ設定保持部２３１は、転送先判定部２６２の制御の下、記憶部１４等に保持した設定情報の設定を変更する。また、アドレス生成部２２１は、転送先判定部２６２の制御の下、新たなＩＰアドレスを生成する。
【００９５】
以下、本実施形態にかかるＭＦＰ１０２の動作について説明する。図１０は、転送先判定部２６２、ＩＰＳｅｃ設定保持部２３１、アドレス生成部２２１により実行される転送先決定処理の手順を示したフローチャートである。なお、本処理はＰＣ２００との通信が行われる毎に実行されるものとするが、以下では、図８のステップＳ６７の処理時に行われることを想定して説明を行う。
【００９６】
まず、転送先判定部２６２は、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の動作状態に基づいて、ＰＣ２００から送信されたパケットが多重に暗号化されているか否かを判定する（ステップＳ９１）。ここで、転送先判定部２６２は、パケットは多重に暗号化されていないと判定すると（ステップＳ９１；Ｎｏ）、本処理を直ちに終了する。
【００９７】
一方、ステップＳ９１において、パケットが多重に暗号化されていると判定すると（ステップＳ９１；Ｙｅｓ）、転送先判定部２６２は、このパケットのアクセス先となるＩＰアドレスのプレフィックスと、当該パケットを送信したＰＣ２００のＩＰアドレスのプレフィックスとを比較し、両プレフィックスが等しいか否かを判定する（ステップＳ９２）。
【００９８】
ここで、両プレフィックスが等しいと判定した場合（ステップＳ９２；Ｙｅｓ）、転送先判定部２６２は、リンクローカルアドレス宛に転送させる転送レスポンスを生成し、この転送レスポンスをｗｅｂサーバ２５に引き渡した後（ステップＳ９３）、本処理を終了する。ここで、リンクローカルアドレスはＩＰＳｅｃ非対象アドレスであることを前提としているが、この前提は、自己の装置と同一のネットワークセグメント内の通信に対してはＩＰＳｅｃによる暗号化を施さないことが一般的であることを根拠としている。なお、この後の処理内容は、図８のステップＳ６８〜Ｓ８３と同様である。
【００９９】
一方、ステップＳ９２において、両プレフィックスが異なると判定した場合（ステップＳ９２；Ｎｏ）、転送先判定部２６２は、アドレス生成部２２１を制御することで、アクセス先となったＩＰアドレスとプレフィックスが等しく、且つ、当該アクセス先のＩＰアドレスとは異なる新たなＩＰアドレスを生成させる（ステップＳ９４）。
【０１００】
続いて、転送先判定部２６２は、ステップＳ９４で生成された新たなＩＰアドレスが、ＩＰＳｅｃ設定保持部２３１が保持する設定情報にＩＰＳｅｃ対象アドレスとして設定されているか否を判定する（ステップＳ９５）。ここで、ＩＰＳｅｃ対象アドレスとして設定されていないと判定した場合、即ち、新たなＩＰアドレスがＩＰＳｅｃ非対象アドレスである場合（ステップＳ９５；Ｎｏ）、ステップＳ９７の処理に直ちに移行する。
【０１０１】
また、ステップＳ９５において、新たなＩＰアドレスがＩＰＳｅｃ対象アドレスとして設定されていると判定した場合（ステップＳ９５；Ｙｅｓ）、転送先判定部２６２は、ＩＰＳｅｃ設定保持部２３１を制御することで、設定情報のＩＰＳｅｃ対象アドレス設定から新たなＩＰアドレスを除外した後（ステップＳ９６）、ステップＳ９７の処理に移行する。
【０１０２】
続くステップＳ９７において、転送先判定部２６２は、ステップＳ９４で生成された新たなＩＰアドレス宛に転送させる転送レスポンスを生成し、この転送レスポンスをｗｅｂサーバ２５に引き渡した後（ステップＳ９７）、本処理を終了する。なお、この後の処理内容は、図８のステップＳ６８〜Ｓ８３と同様である。
【０１０３】
以上のように、第３の実施形態によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、ＩＰＳｅｃによる暗号化を伴わない、新たに生成されたＩＰｖ６アドレス宛に転送先させることができるため、暗号化をＳＳＬのみに単一化することができる。
【０１０４】
なお、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施の形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施の形態にわたる構成要素を適宜組み合わせても良い。
【０１０５】
例えば、上述したＭＦＰで実行される各処理にかかるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成しても良い。また、上述したＭＦＰで実行される各処理にかかるプログラムを、インターネット等のネットワーク経由で提供または配布するように構成しても良い。
【０１０６】
また、上述したＭＦＰで実行される各処理にかかるプログラムを、ＲＯＭ等の記憶媒体に予め組み込んで提供するように構成してもよい。
【産業上の利用可能性】
【０１０７】
以上のように、本発明にかかる情報処理装置、通信制御方法及び通信制御プログラムは、ｗｅｂサーバを備え、且つ、当該ｗｅｂサーバへのアクセスが暗号化通信により行われる情報処理装置、当該情報処理装置の通信制御方法及び通信制御プログラムに有用であり、特に、多重に暗号化が施された暗号化通信でのアクセスを受け付ける情報処理装置、当該情報処理総理の通信制御方法及び通信制御プログラムに適している。
【図面の簡単な説明】
【０１０８】
【図１】通信システムの構成を示したブロック図である。
【図２】ＭＦＰのハードウェア構成の一例を示したブロック図である。
【図３】ＭＦＰの機能的構成を示したブロック図である。
【図４】第１の実施形態にかかる通信制御処理の手順を示したシーケンシャル図である。
【図５】ｗｅｂアプリにより生成されたログイン画面のソースの一例を示した図である。
【図６】図５のソースがｗｅｂブラウザにより表示された際の表示例を示した図である。
【図７】第１の実施形態にかかる転送先判定部により生成された転送レスポンスの一例を示した図である。
【図８】第２の実施形態にかかる通信制御処理の手順を示したシーケンシャル図である。
【図９】第２の実施形態にかかる転送先判定部により生成された転送レスポンスの一例を示した図である。
【図１０】第３の実施形態にかかる転送先決定処理の手順を示したフローチャートである。
【符号の説明】
【０１０９】
１００ ＭＦＰ
１０１ ＭＦＰ
１０２ ＭＦＰ
２００ ＰＣ
１１ ＣＰＵ
１２ ＡＳＩＣ
１３ システムメモリ
１３１ ＲＯＭ
１３２ ＲＡＭ
１４ 記憶部
１５ 操作表示部
１６ エンジン部
１７ スキャナ部
１８ インタフェース部
２１ ネットワーク通信部
２２ アドレス生成部
２２１ アドレス生成部
２３ ＩＰＳｅｃ設定保持部
２３１ ＩＰＳｅｃ設定保持部
２４ ＩＰＳｅｃ処理部
２５ ｗｅｂサーバ
２６ 転送先判定部
２６１ 転送先判定部
２６２ 転送先判定部
２７ 暗号／復号処理部
２８ ｗｅｂアプリ
【技術分野】
【０００１】
本発明は、ネットワーク上に接続された機器と暗号化通信を行う情報処理装置、当該情報処理装置の通信制御方法及び通信制御プログラムに関する。
【背景技術】
【０００２】
ネットワークの普及に伴いセキュリティへの関心が高まっている昨今において、通信の暗号化は重要な技術となっている。一般に用いられているＴＣＰ／ＩＰプロトコルでは、ＩＰＳｅｃやＳＳＬ等、各レイヤに応じた暗号技術が用いられているが、暗号／復号化にかかる処理はＣＰＵへの負荷が高く、複数の暗号化を多重に施すのは効率的ではない。そのため、従来、多重に暗号化が行われてしまうことを防止することが可能な種々の技術が提案されている。例えば、特許文献１には、平文での通信を受けたときにその通信をポートフォワードすることで、暗号化が多重に施されないよう回避する技術が開示されている。
【０００３】
【特許文献１】特開２００７−２５１５６８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記特許文献１に記載の技術では、平文での通信を受けた際には暗号化の多重化を回避することができるものの、既に多重に暗号化された通信を受け付けた際には、対応することができないという問題がある。
【０００５】
本発明は、上記に鑑みてなされたものであって、多重に暗号化された通信に対し、当該暗号化を単一化することが可能な情報処理装置、通信制御方法及び通信制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、請求項１にかかる発明は、ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置において、前記ＩＰＳｅｃとＳＳＬとにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定手段と、前記多重暗号判定手段によりＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御手段と、を備えたことを特徴とする。
【０００７】
また、請求項２にかかる発明は、請求項１にかかる発明において、前記外部装置にｗｅｂページを提供するｗｅｂサーバを更に備え、前記転送制御手段は、前記ＳＳＬにより暗号化されたｈｔｔｐｓによる前記ｗｅｂサーバ宛のアクセスを、当該ＳＳＬによる暗号化を伴わないｈｔｔｐによる前記ｗｅｂサーバ宛に転送させることを特徴とする。
【０００８】
また、請求項３にかかる発明は、請求項１にかかる発明において、前記転送制御手段は、前記ＩＰＳｅｃによる暗号化の対象となる自己の装置のＩＰｖ６アドレス宛のアクセスを、当該ＩＰＳｅｃによる暗号化を伴わない自己の装置の他のＩＰｖ６アドレス宛に転送させることを特徴とする。
【０００９】
また、請求項８にかかる発明は、ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置での通信制御方法であって、多重暗号判定手段が、前記ＩＰＳｅｃ及びＳＳＬにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定工程と、転送制御手段が、前記多重暗号判定工程でＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御工程と、を含むことを特徴とする。
【００１０】
また、請求項９にかかる発明は、請求項８にかかる発明において、前記情報処理装置は、前記情報処理装置は、前記外部装置にｗｅｂページを提供するｗｅｂサーバを備え、前記転送制御手段は、前記転送制御工程において、前記ＳＳＬにより暗号化されたｈｔｔｐｓによる前記ｗｅｂサーバ宛のアクセスを、当該ＳＳＬによる暗号化を伴わないｈｔｔｐによる前記ｗｅｂサーバ宛に転送させることを特徴とする。
【００１１】
また、請求項１０にかかる発明は、請求項８にかかる発明において、前記転送制御手段は、前記転送制御工程において、前記ＩＰＳｅｃによる暗号化の対象となる自己の装置のＩＰｖ６アドレス宛のアクセスを、当該ＩＰＳｅｃによる暗号化を伴わない自己の装置の他のＩＰｖ６アドレス宛に転送させることを特徴とする。
【００１２】
また、請求項１１にかかる発明は、ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置のコンピュータに、前記ＩＰＳｅｃとＳＳＬとにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定手段と、前記多重暗号判定手段によりＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御手段と、して機能させることを特徴とする。
【発明の効果】
【００１３】
請求項１、８、１１にかかる発明によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、外部装置のアクセス先をＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させることで暗号化を単一化することができるため、暗号化／複合化にかかる処理の負荷を低減することができる。
【００１４】
また、請求項２、９にかかる発明によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、ｈｔｔｐｓによるｗｅｂサーバ宛の通信をｈｔｔｐによるｗｅｂサーバ宛に転送させることで暗号化をＩＰＳｅｃのみに単一化することができるため、暗号化／複合化にかかる処理の負荷を低減することができる。
【００１５】
また、請求項３、１０にかかる発明によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、ＩＰＳｅｃによる暗号化を伴わない自己の装置の他のＩＰｖ６アドレス宛に転送させることで、暗号化をＳＳＬのみに単一化することができるため、暗号化／複合化にかかる処理の負荷を低減することができる。
【００１６】
また、請求項４にかかる発明によれば、ＩＰＳｅｃの対象となりにくいリンクローカルアドレス宛に転送させることができるため、暗号化をＳＳＬのみに単一化することができる。
【００１７】
また、請求項５、６、７にかかる発明によれば、ＩＰＳｅｃによる暗号化を伴わない、新たに生成されたＩＰｖ６アドレス宛に転送先させることができるため、暗号化をＳＳＬのみに単一化することができる。
【発明を実施するための最良の形態】
【００１８】
以下に添付図面を参照して、本発明にかかる情報処理装置、通信制御方法及び通信制御プログラムの最良な実施の形態を詳細に説明する。なお、本実施形態では、本発明にかかる情報処理装置、通信制御方法及び通信制御プログラムを、プリンタ機能や画像読取り（スキャナ）機能等を複合した所謂複合機に適用した例について説明するが、これに限らず、例えば、複写機やプリンタ等の画像形成装置、ＰＣ（Personal Computer）やサーバ装置等の情報処理装置に適用する態様としてもよい。
【００１９】
図１は、本実施形態にかかる通信システムの構成を示したブロック図である。同図に示したように、本通信システムは、ＭＦＰ１００とＰＣ２００とを有し、これら各機器がネットワークＮを介して通信可能に接続されている。なお、ネットワークＮに接続されるＭＦＰ１００やＰＣ２００の個数は、図１の例に限定されないものとする。
【００２０】
ネットワークＮ上において、ＭＦＰ１００と管理ステーション２００とは、ＩＰｖ６（Internet Protocol Version 6）で通信を行う。なお、ＭＦＰ１００には、２つのＩＰ（IPｖ６）アドレス“２００１：：１１”と、“２００１：：２２”とが予め割り当てられており、このうち“２００１：：１１”がＩＰＳｅｃ通信用のアドレス（以下、ＩＰＳｅｃ対象アドレスという）となっている。また、ＰＣ２００にはＩＰ（IPｖ６）アドレス“２００１：：３３”が予め割り当てられている。
【００２１】
次に、図２、３を参照してＭＦＰ１００について説明する。ＭＦＰ１００は、プリンタ機能、画像読取り（スキャナ）機能等を複合した複合機である。なお、本実施形態において、ＭＦＰ１００は、自己の装置を利用するユーザに対して自己の備える各機能（印刷やスキャン機能）を提供するとともに、自己の装置の設定を行うための管理画面（ＧＵＩ）を、ネットワークＮを介しｗｅｂベースで提供する。
【００２２】
図２は、ＭＦＰ１００のハードウェア構成の一例を示したブロック図である。同図に示したように、ＭＦＰ１００は、ＣＰＵ（Central Processing Unit）１１と、ＡＳＩＣ（Application Specific Integrated Circuit）１２と、システムメモリ１３と、記憶部１４と、操作表示部１５と、エンジン部１６と、スキャナ部１７と、インタフェース部１８とを備えている。
【００２３】
ＣＰＵ１１は、システムメモリ１３の後述するＲＡＭ１３２を作業領域として、ＲＯＭ１３１又は記憶部１４に予め記憶された各種制御プログラムとの協働により各種処理を実行し、ＭＦＰ１００全体の動作を統括的に制御する。
【００２４】
また、ＣＰＵ１１は、ＲＯＭ１３１又は記憶部１４に予め記憶された所定のプログラムとの協働により、後述する各機能部（ネットワーク通信部、アドレス生成部、ＩＰＳｅｃ処理部、ＩＰＳｅｃ設定保持部、ｈｔｔｐサーバ、転送先判定部、暗号／復号処理部、Ｗｅｂアプリ）の機能を実現する。
【００２５】
ＡＳＩＣ１２は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ（Integrated Circuit）であり、ＣＰＵ１１と各部を夫々接続するブリッジとしての機能を有する。
【００２６】
システムメモリ１３は、プログラムやデータの格納用メモリ、プログラムやデータの展開用メモリ、プリンタの描画用メモリ等として用いるシステムメモリであり、ＲＯＭ１３１、ＲＡＭ１３２等から構成される。ここで、ＲＯＭ１３１は、プログラムやデータの格納用メモリとして用いる読み出し専用のメモリであり、ＲＡＭ１３２は、プログラムやデータの展開用メモリ、プリンタの描画用メモリ等として用いる書き込み及び読み出し可能な揮発性のメモリである。
【００２７】
記憶部１４は、磁気的又は光学的に記録可能な記憶媒体を有し、ＭＦＰ１００の制御にかかるプログラムや各種設定情報等を書き換え可能に記憶する。また、記憶部１４は、スキャナ部１７やインタフェース部１８を介して入力される画像データ等を記憶する。
【００２８】
操作表示部１５は、ＭＦＰ１００とユーザとのインタフェースを行う部分であって、ＬＣＤ（液晶表示装置）等の表示デバイスと、キースイッチ等の入力デバイスとから構成される。操作表示部１５は、ＣＰＵ１１の制御の下、装置の各種状態や操作方法をＬＣＤに表示するとともに、ユーザからのタッチパネルやキースイッチ群を介した入力を検出し、ＣＰＵ１１に出力する。
【００２９】
エンジン部１６は、プリンタエンジンなどであり、例えば白黒プロッタ、１ドラムカラープロッタ、４ドラムカラープロッタ、スキャナまたはファックスユニットなどである。なお、このエンジン部１６には、プロッタなどのいわゆるエンジン部分に加えて、誤差拡散やガンマ変換などの画像処理部分が含まれる。
【００３０】
スキャナ部１７は、ＣＣＤ光電変換素子からなるラインセンサとＡ／Ｄコンバータとそれらの駆動回路等を具備し、セットされた原稿をスキャンすることで得る原稿の濃淡情報から、デジタルの画像データを生成し、ＣＰＵ１１に出力する。
【００３１】
インタフェース部１８は、ＭＦＰ１００と外部装置とを接続するためのインタフェースである。具体的にインタフェース部１８は、ネットワークＮに接続可能なネットワークインタフェースであって、ネットワークＮを介しＰＣ２００との間で授受される情報の送受信を制御する。
【００３２】
次に、図３を参照して、ＭＦＰ１００のＣＰＵ１１とＲＯＭ１３１又は記憶部１４に記憶されたプログラムとの協働により実現される各機能部について説明する。
【００３３】
図３は、ＭＦＰ１００の機能的構成（ソフトウェア構成）を示したブロック図である。同図に示したように、ＭＦＰ１００は、ネットワーク通信部２１と、アドレス生成部２２と、ＩＰＳｅｃ設定保持部２３と、ＩＰＳｅｃ処理部２４と、ｗｅｂサーバ２５と、転送先判定部２６と、暗号／復号処理部２７と、ｗｅｂアプリ２８とを備えている。なお、図３では、各機能部が属するレイヤ間の関係をその配置位置より表しており、図中上方に行くほど上位のレイヤであることを意味している（ネットワーク層〜アプリケーション層）。
【００３４】
ネットワーク通信部２１は、インタフェース部１８を介して接続される外部機器（ＰＣ２００）との間の通信を制御する。アドレス生成部２２は、外部装置との通信や自己の装置内で使用するＩＰアドレス（例えば、ＩＰＳｅｃ対象ドレスや後述するＩＰＳｅｃ非対象アドレス等）を生成する。
【００３５】
ＩＰＳｅｃ設定保持部２３は、ＩＰＳｅｃでの暗号化通信にかかるＳＰＤ（Security Policy Database）等の設定情報を記憶部１４等のメモリ上に保持する。なお、設定情報には、自己の装置のＩＰＳｅｃ対象アドレス“２００１：：１１”や、ＩＰＳｅｃを適用しない自己のＩＰアドレス（以下、ＩＰＳｅｃ非対象アドレスという）“２００１：：２２”等が予め設定されているものとする。
【００３６】
ＩＰＳｅｃ処理部２４は、ＩＰＳｅｃ設定保持部２３が保持する設定情報に従い、ＩＰＳｅｃ通信の暗号化／復号化を行う。具体的に、ＩＰＳｅｃ処理部２４は、ＩＰＳｅｃ設定保持部２３が保持する設定情報に基づき、当該設定情報に設定されたＩＰＳｅｃ対象アドレスにかかる通信（パケット）についてはＩＰＳｅｃによる暗号化／復号化を施し、ＩＰＳｅｃ非対象アドレスについてはＩＰＳｅｃによる暗号化／復号化を行わないよう制御する。
【００３７】
ｗｅｂサーバ２５は、ｈｔｔｐ及びｈｔｔｐｓ（ＳＳＬ）通信用の機能部であって、ＰＣ２００が備えるｗｅｂブラウザ等のクライアントソフトウェア（以下、ｗｅｂブラウザという）からの要求に応じて、上述した自己の装置の設定用の管理画面等を提供する。
【００３８】
転送先判定部２６は、ＰＣ２００から送信される通信の暗号化の状況に応じて、ｗｅｂサーバ２５の通信の転送先を決定する。具体的に、転送先判定部２６は、ＰＣ２００から送信される通信がＩＰＳｅｃとＳＳＬとにより多重に暗号化されている場合に、“ｈｔｔｐｓ”による通信を“ｈｔｔｐ”とさせる転送レスポンスをＰＣ２００に返すことで、ＳＳＬによる暗号化が行われないよう制御する。なお、転送先判定部２６の詳細な動作については、後述する。
【００３９】
暗号／復号処理部２７は、ｗｅｂサーバ２５からの暗号化／復号化要求に応じて、ＳＳＬによる暗号化／復号化を行う。
【００４０】
ｗｅｂアプリ２８は、ｗｅｂサーバ２５からの要求に応じて、自己の装置の設定用の管理画面や、管理画面の表示の際に行うユーザ認証用のログイン画面等、種々のｗｅｂページを生成する。また、ｗｅｂアプリ２８は、記憶部１４等に予め記憶された自己の装置の管理者用のユーザ名及びパスワードと、ｗｅｂサーバ２５を介して通知されるＰＣ２００のユーザのユーザ名及びパスワードとを照合することで、ＰＣ２００のユーザが管理者権限を有するか否かの認証を行い、この認証結果に応じたｗｅｂページを生成する。
【００４１】
図１に戻り、ＰＣ２００は、本システムのユーザが操作する端末装置であって、ＣＰＵやＲＯＭ、ＲＡＭ、ＨＤＤ、ネットワークＮに接続するための通信インタフェース等のコンピュータ構成を備える（何れも図示せず）。また、ＰＣ２００は、ＣＰＵとＲＯＭ又はＨＤＤに記憶された所定のプログラムとの協働により、ｗｅｂブラウザとしての機能を実現し、このｗｅｂブラウザを用いてＭＦＰ１００のｗｅｂサーバ２５にアクセスを行う。なお、ＰＣ２００からＭＦＰ１００への通信は、デフォルトの状態ではＩＰアドレス“２００１：：１１”宛、即ちＩＰＳｅｃによる暗号化通信の下で行われるものとする。
【００４２】
以下、ＭＦＰ１００の動作について説明する。図４は、ＭＦＰ１００の各機能部により実行される通信制御処理の手順を示したシーケンス図である。
【００４３】
まず、ＰＣ２００のｗｅｂブラウザから、ＭＦＰ１００のＩＰＳｅｃ対象アドレスのＵＲＬ（http://2001::11/）宛にアクセスが行われ、ログイン画面が要求されたとする（ステップＳ１１）。このときアクセス先のＵＲＬは“ｈｔｔｐ”で始まるため、ＳＳＬによる暗号化は施されておらず、ＩＰＳｅｃによる暗号化のみが施されている。
【００４４】
一方、ＭＦＰ１００では、ネットワーク通信部２１がＰＣ２００からＩＰＳｅｃにより暗号化された通信（パケット）を受け付けると、このパケットに施されたＩＰＳｅｃの復号をＩＰＳｅｃ処理部２４に依頼する（ステップＳ１２）。ＩＰＳｅｃ処理部２４では、ネットワーク通信部２１からＩＰＳｅｃにより暗号化されたパケットを受け取ると、ＩＰＳｅｃ設定保持部２３が保持する設定情報に基づいてパケットを復号化し、ネットワーク通信部２１に出力する（ステップＳ１３）。
【００４５】
ネットワーク通信部２１は、ＩＰＳｅｃ処理部２４からＩＰＳｅｃ復号化済みのパケットを受け付けると、このパケットをｗｅｂサーバ２５に転送する（ステップＳ１４）。ｗｅｂサーバ２５では、ネットワーク通信部２１から受け付けたパケットの内容に応じ、ｗｅｂアプリ２８にログイン画面の生成を要求（ログイン画面要求）する（ステップＳ１５）。
【００４６】
続いて、ｗｅｂアプリ２８では、ｗｅｂサーバ２５からの要求に応じてログイン画面を生成すると、ログイン画面要求に対する応答としてｗｅｂサーバ２５に出力する（ステップＳ１６）。
【００４７】
ここで、図５は、ｗｅｂアプリ２８により生成されたログイン画面を表示するためのソース（ＨＴＭＬ）の一例を示した図である。また、図６は、図５のソースがｗｅｂブラウザにより表示された際の表示例を示した図である。
【００４８】
ログイン画面は、ユーザ名とパスワードとを入力する領域Ａ１、Ａ２から構成されており、図６に示したログインボタンＢ１が押下されることで、Ａ１、Ａ２に入力された文字列が、図５のＬ１に示したＵＲＬ（https://2001::11/login.cgi）宛に送信されるよう構成されている。
【００４９】
図４に戻り、ｗｅｂサーバ２５は、ｗｅｂアプリ２８からログイン画面（ソース）を受け取ると、このログイン画面をパケット化してネットワーク通信部２１に転送する（ステップＳ１７）。ネットワーク通信部２１は、ｗｅｂサーバ２５からパケットを受け付けると、このパケットをＩＰＳｅｃ処理部２４に転送することでＩＰＳｅｃによる暗号化を依頼する（ステップＳ１８）。
【００５０】
ＩＰＳｅｃ処理部２４は、ネットワーク通信部２１からパケットの暗号化が依頼されると、ＩＰＳｅｃ設定保持部２３により保持された設定情報に基づいて、このパケットにＩＰＳｅｃによる暗号化を施し、ネットワーク通信部２１に再び戻す（ステップＳ１９）。そして、ネットワーク通信部２１は、ＩＰＳｅｃ処理部２４からＩＰＳｅｃによる暗号化済みのパケットを受け取ると、ログイン画面要求に対する応答としてＰＣ２００に送信する（ステップＳ２０）。
【００５１】
ＰＣ２００では、図６に示したログイン画面の領域Ａ１、Ａ２に文字列がユーザにより入力された後、ログインボタンＢ１が押下されると、ｗｅｂブラウザの制御により、図５のＬ１に示したＵＲＬ（https://2001::11/login.cgi）宛に、各領域に入力された情報が送信される（ステップＳ２１）。このとき、アクセス先のＵＲＬは“ｈｔｔｐｓ”で始まるため、ＳＳＬによる暗号化が行われる。つまり、この時点でＩＰＳｅｃとＳＳＬとにより二重に暗号化された通信がＭＦＰ１００に送信されることになる。
【００５２】
ＭＦＰ１００では、ネットワーク通信部２１がＰＣ２００からの通信（パケット）を受け付けると、このパケットに施されたＩＰＳｅｃの復号をＩＰＳｅｃ処理部２４に依頼する（ステップＳ２２）。ＩＰＳｅｃ処理部２４では、ＩＰＳｅｃ設定保持部２３が保持する設定情報に基づいてパケットを復号化すると、ネットワーク通信部２１に再び戻す（ステップＳ２３）。
【００５３】
次いで、ネットワーク通信部２１は、ＩＰＳｅｃ処理部２４から復号化済みパケットを受け付けると、このパケットをｗｅｂサーバ２５に転送する（ステップＳ２４）。ｗｅｂサーバ２５では、ネットワーク通信部２１から受け付けたパケットがＳＳＬにより暗号化されていると判断するため、当該パケットの復号を暗号／復号処理部２７に依頼する（ステップＳ２５）。
【００５４】
暗号／復号処理部２７は、ｗｅｂサーバ２５からの依頼に応じ、ＳＳＬで暗号化されたパケットを復号化すると、このパケットをｗｅｂサーバ２５に再び戻す（ステップＳ２６）。このとき、転送先判定部２６は、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の動作状態に基づいて、ＰＣ２００から送信されたパケットが多重に暗号化されているか否かを判定する。
【００５５】
具体的に、転送先判定部２６は、パケットのヘッダ情報に含まれる各種の情報に基づき、同一のパケットや同一の通信（セッション）について、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の両機能部にて復号化が行われたか否かに応じて、ＰＣ２００から送信されたパケットが多重に暗号化されているか否かを判定する。
【００５６】
図４の場合、ステップＳ２２、Ｓ２５での処理に応じ、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７にて復号化が行われているため、転送先判定部２６は、パケットが多重に暗号化されていると判定する。この場合、転送先判定部２６は、当該パケットによりアクセスが要求されたＵＲＬ（https://2001::11/login.cgi）の“ｈｔｔｐｓ”を、“ｈｔｔｐ”としたＵＲＬ（http://2001::11/login.cgi）宛に転送させる転送レスポンスを生成し（ステップＳ２７）、ｗｅｂサーバ２５に引き渡す。
【００５７】
ここで、転送レスポンスは、ＨＴＴＰのステータスコード３ＸＸ（Redirection）を用いて生成されるものとする。例えば、ステータスコード３０７を用いた場合、転送先判定部２６は、図７に示すような転送レスポンスを生成する。なお、図７の転送レスポンスは、ｗｅｂブラウザに“http://2001::11/login.cgi”宛に転送することを指示するものである。このように、転送先判定部２６では、ＩＰＳｅｃ及びＳＳＬによりパケットが多重に暗号化されている場合に、ＳＳＬにより暗号化されたｈｔｔｐｓによるＵＲＬのアクセス先を、暗号化を伴わない“ｈｔｔｐ”によるＵＲＬのアクセス先に転送するよう制御する。
【００５８】
なお、本実施形態では、転送先判定部２６が転送レスポンスを生成する態様としたが、これに限らず、転送先判定部２６がｗｅｂアプリ２８に図７に示したような転送レスポンスの生成を指示することで、当該転送レスポンスがｗｅｂアプリ２８からｗｅｂサーバ２５に渡されるよう構成してもよい。また、本実施形態では、ＨＴＴＰのステータスコード３ＸＸを利用して転送させることとしたが、これに限らず、Ｊａｖａ（登録商標）等を用いた他の方法により転送させることとしてもよい。
【００５９】
また、本実施形態では、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の動作状態に基づいて暗号化が多重に施されているか否かを判定する態様としたが、これに限定されるものではない。例えば、ＰＣ２００から送信されるパケットのヘッダ情報やデータ構造から、多重に暗号化が施されていることを直接的に識別することが可能であれば、パケットに含まれたヘッダ情報やデータ構造等に基づいて暗号化が多重に施されているか否かを判定する態様としてもよい。
【００６０】
図４に戻り、ｗｅｂサーバ２５は、転送先判定部２６から転送レスポンスを受け付けると、この転送レスポンスをパケット化し、暗号／復号処理部２７に転送することでＳＳＬによる暗号化を依頼する（ステップＳ２８）。暗号／復号処理部２７は、ｗｅｂサーバ２５からパケットの暗号化が依頼されると、ＳＳＬによる暗号化を施し、ｗｅｂサーバ２５に再び戻す（ステップＳ２９）。そして、ｗｅｂサーバ２５は、暗号／復号処理部２７からＳＳＬによる暗号化済みのパケットを受け付けると、このパケットをネットワーク通信部２１に転送する（ステップＳ３０）。
【００６１】
ネットワーク通信部２１は、ｗｅｂサーバ２５からパケットを受け付けると、このパケットをＩＰＳｅｃ処理部２４に転送することでＩＰＳｅｃによる暗号化を依頼する（ステップＳ３１）。ＩＰＳｅｃ処理部２４は、ネットワーク通信部２１からパケットを受け付けると、ＩＰＳｅｃによる暗号化を施しネットワーク通信部２１に再び戻す（ステップＳ３２）。そして、ネットワーク通信部２１は、ＩＰＳｅｃ処理部２４からＩＰＳｅｃによる暗号化済みのパケットを受け付けると、このパケットをＰＣ２００に送信する（ステップＳ３３）。
【００６２】
一方、ＰＣ２００では、ステータスコード３ＸＸにより、“http://2001::11/login.cgi”への転送を指示した転送レスポンスを受信するため、ｗｅｂブラウザによる制御により、転送先のＵＲＬ宛にログイン要求を送信する（ステップＳ３４）。ここで、アクセス先のＵＲＬは“ｈｔｔｐ”で始まるため、ｈｔｔｐ通信によりアクセスが行われる。また、アクセス先のＵＲＬはＩＰＳｅｃ対象アドレスであるため、ＩＰＳｅｃによる暗号化が施されることは言うまでもない。つまり、この時点でＩＰＳｅｃのみによる暗号化通信に切り替わる。なお、転送先のＵＲＬへのアクセス時には、ｗｅｂブラウザが有するクッキーなどに機構により、ステップＳ２１の処理の際に入力されたユーザ名、パスワードなどの情報も同時に送信されるものとする。
【００６３】
一方、ＭＦＰ１００では、ネットワーク通信部２１がＰＣ２００からの通信（パケット）を受け付けると、このパケットに施されたＩＰＳｅｃの復号をＩＰＳｅｃ処理部２４に依頼する（ステップＳ３５）。ＩＰＳｅｃ処理部２４では、ネットワーク通信部２１からＩＰＳｅｃによる暗号化済みのパケットを受け付けると、このパケットを復号化しネットワーク通信部２１に再び戻す（ステップＳ３６）。
【００６４】
ネットワーク通信部２１は、ＩＰＳｅｃ処理部２４から復号化済みのパケットを受け付けると、このパケットをｗｅｂサーバ２５に転送する（ステップＳ３７）。ｗｅｂサーバ２５では、ネットワーク通信部２１から受け付けたパケットの内容に応じ、ＰＣ２００から送信されたユーザ名とパスワードとをｗｅｂアプリ２８に引き渡すことで、ｗｅｂアプリ２８にログイン認証を要求する（ステップＳ３８）。
【００６５】
ｗｅｂアプリ２８は、ｗｅｂサーバ２５からの要求に応じ、ｗｅｂサーバ２５から渡されたユーザ名及びパスワードを、記憶部１４に記憶された照合用情報と照合することで認証を行い、この認証結果に応じて生成したｗｅｂページ（応答ページ）をｗｅｂサーバ２５に出力する（ステップＳ３９）。ここで、認証の結果、正当なユーザと判断した場合、ｗｅｂアプリ２８は、生成したＭＦＰ１００の設定画面とともに、セッション管理用のＩＤを含むクッキーを応答ページとしてｗｅｂサーバ２５に出力するものとする。
【００６６】
ｗｅｂサーバ２５は、ｗｅｂアプリ２８から応答ページを受け取ると、この応答ページをパケット化してネットワーク通信部２１に転送する（ステップＳ４０）。ネットワーク通信部２１は、ｗｅｂサーバ２５からパケットを受け付けると、このパケットをＩＰＳｅｃ処理部２４に転送することでＩＰＳｅｃによる暗号化を依頼する（ステップＳ４１）。
【００６７】
ＩＰＳｅｃ処理部２４は、ネットワーク通信部２１からパケットの暗号化が依頼されると、このパケットにＩＰＳｅｃにより暗号化を施し、ネットワーク通信部２１に再び戻す（ステップＳ４２）。そして、ネットワーク通信部２１では、ＩＰＳｅｃ処理部２４からＩＰＳｅｃによる暗号化済みのパケットを受け取ると、このパケットをログイン要求に対する応答として、ＰＣ２００に送信する（ステップＳ４３）。
【００６８】
以上のように、第１の実施形態によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、アクセス先となったｈｔｔｐｓによるＵＲＬを、ｈｔｔｐによるＵＲＬ宛に転送させることで、ＳＳＬによる暗号化を伴わない“ｈｔｔｐ”による通信に切り替えることができるため、ＩＰＳｅｃのみによる暗号化に単一化することが可能となる。これにより、暗号化／復号化にかかる負荷を軽減することが可能となり、ＭＦＰ１００とＰＣ２００との間の通信をより効率的に行うことができる。
【００６９】
なお、本実施形態では、転送先判定部２６による暗号化の多重判定を、ＰＣ２００からログイン要求（ステップＳ２１）がされた場合にのみについて説明したが、実際には、ＭＦＰ１００とＰＣ２００との間の通信を転送先判定部２６は常時監視する。そのため、図４で説明したログイン画面要求（ステップＳ１１）の際や、ステップＳ４３以降に行われる通信についても、暗号化の多重判定は行われることになる。
【００７０】
［第２の実施形態］
上記第１の実施形態では、ＩＰＳｅｃとＳＳＬとにより暗号化が多重に行われている場合に、“ｈｔｔｐｓ”による通信を“ｈｔｔｐ”とすることで、暗号の単一化を行う形態を説明した。第２の実施形態では、ＩＰＳｅｃとＳＳＬとにより暗号化が多重に行われている場合に、ＩＰＳｅｃによる暗号化が行われないよう制御することで、ＳＳＬによる暗号化のみに単一化を行う形態について説明する。なお、上記第１の実施形態と同様の構成要素については、同一の符号を付与し、本実施形態に特有の動作についてのみ説明を行う。
【００７１】
まず、図３を参照して、第２の実施形態にかかるＭＦＰ１０１の機能的構成について説明する。図３に示したように、ＭＦＰ１０１は、ネットワーク通信部２１と、アドレス生成部２２と、ＩＰＳｅｃ設定保持部２３と、ＩＰＳｅｃ処理部２４と、ｗｅｂサーバ２５と、転送先判定部２６１と、暗号／復号処理部２７と、ｗｅｂアプリ２８とを備えている。なお、ＭＦＰ１０２のハードウェア構成は、図２と同様であるため説明を省略する。また、通信システムの構成は図１と同様となるため説明を省略する。
【００７２】
ここで、転送先判定部２６１は、ＰＣ２００から送信される通信がＩＰＳｅｃとＳＳＬとにより多重に暗号化されている場合に、ＩＰＳｅｃ対象アドレス（２００１：：１１）宛に対する通信を、ＩＰＳｅｃ非対象アドレス“２００１：：２２”宛に転送させる転送レスポンスをＰＣ２００に返すことで、ＩＰＳｅｃによる暗号化が行われないよう制御する。
【００７３】
以下、本実施形態にかかるＭＦＰ１０１の動作について説明する。図８は、ＭＦＰ１０１の各機能部により実行される通信制御処理の手順を示したシーケンス図である。なお、ステップＳ５１〜Ｓ６６までの処理は、上述した図４でのステップＳ１１〜Ｓ２６の処理と同様であるため、説明を省略する。
【００７４】
ステップＳ６６において、暗号／復号処理部２７からｗｅｂサーバ２５に、ＳＳＬの復号化が行われたパケットが戻されると、転送先判定部２６１は、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の動作状態に基づいて、ＰＣ２００から送信されたパケットが多重に暗号化されているか否かを判定する。
【００７５】
具体的に、転送先判定部２６１は、上述した転送先判定部２６と同様、パケットのヘッダ情報に含まれる各種の情報に基づき、同一のパケットや同一の通信（セッション）について、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の両機能部にて復号化が行われたか否かに応じて、ＰＣ２００から送信されたパケットが多重に暗号化されているか否かを判定する。
【００７６】
図８の場合、ステップＳ６２、Ｓ６５の処理の際に、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７にて復号化が行われているため、転送先判定部２６１は、パケットが多重に暗号化されていると判定する。この場合、転送先判定部２６１は、当該パケットによりアクセスされたＵＲＬ（https://2001::11/login.cgi）のＩＰＳｅｃ対象アドレス部分“２００１：：１１”を、ＩＰＳｅｃ非対象アドレス“２００１：：２２”としたＵＲＬ（http://2001::22/login.cgi）に転送させる転送レスポンスを生成し（ステップＳ６７）、ｗｅｂサーバ２５に引き渡す。
【００７７】
ここで、転送レスポンスは、第１の実施形態と同様、ＨＴＴＰのステータスコード３ＸＸ（Redirection）を用いて生成されるものとする。例えば、ステータスコード３０７を用いた場合、転送先判定部２６１は、図９に示すような転送レスポンスを生成する。なお、図９の転送レスポンスは、ｗｅｂブラウザに“https://2001::22/login.cgi”宛に転送することを指示するものである。このように、転送先判定部２６では、ＩＰＳｅｃとＳＳＬによりパケットが多重に暗号化されている場合に、ＩＰＳｅｃ対象アドレス宛の通信を、ＩＰＳｅｃによる暗号化を伴わないＩＰＳｅｃ非対象アドレスとの通信に切り替える。
【００７８】
なお、本実施形態では、転送先判定部２６１が転送レスポンスを生成する態様としたが、これに限らず、転送先判定部２６１がｗｅｂアプリ２８に図９に示したような転送レスポンスの生成を指示することで、当該転送レスポンスがｗｅｂアプリ２８からｗｅｂサーバ２５に渡されるよう構成してもよい。また、本実施形態では、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の動作状態に基づいて暗号化が多重に施されているか否かを判定する態様としたが、これに限定されるものではない。例えば、ＰＣ２００から送信されるパケットのヘッダ情報やデータ構造から、多重に暗号化が施されていることを直接識別することが可能な状態であれば、このパケットのみに基づいて暗号化が多重に施されているか否かを判定する態様としてもよい。
【００７９】
図８に戻り、ｗｅｂサーバ２５は、転送先判定部２６１から転送レスポンスを受け付けると、この転送レスポンスをパケット化し、暗号／復号処理部２７に転送することでＳＳＬによる暗号化を依頼する（ステップＳ６８）。暗号／復号処理部２７は、ｗｅｂサーバ２５からパケットの暗号化が依頼されると、ＳＳＬによる暗号化を施しｗｅｂサーバ２５に再び戻す（ステップＳ６９）。そして、ｗｅｂサーバ２５は、暗号／復号処理部２７からＳＳＬによる暗号化済みのパケットを受け取ると、このパケットをネットワーク通信部２１に転送する（ステップＳ７０）。
【００８０】
ネットワーク通信部２１は、ｗｅｂサーバ２５からパケットを受け付けると、このパケットをＩＰＳｅｃ処理部２４に転送することでＩＰＳｅｃによる暗号化を依頼する（ステップＳ７１）。ＩＰＳｅｃ処理部２４は、ネットワーク通信部２１からパケットの暗号化が依頼されると、ＩＰＳｅｃ設定保持部２３により保持された設定情報に基づいてパケットに暗号化を施し、ネットワーク通信部２１に再び戻す（ステップＳ７２）。そして、ネットワーク通信部２１では、ＩＰＳｅｃ処理部２４からＩＰＳｅｃによる暗号化済みのパケットを受け取ると、ＰＣ２００に送信する（ステップＳ７３）。
【００８１】
一方、ＰＣ２００では、ステータスコード３ＸＸ（例えば、３０７）により、“https://2001::22/login.cgi”への転送が指示された転送レスポンスを受信するため、ｗｅｂブラウザによる制御により、転送先のＵＲＬ宛にログイン要求を送信する（ステップＳ７４）。ここで、アクセス先のＵＲＬはＩＰＳｅｃ非対象アドレスであるため、ＩＰＳｅｃにより暗号化を伴わない通常の通信によりアクセスが行われる。また、アクセス先のＵＲＬは“ｈｔｔｐｓ”で始まるため、ＳＳＬによる暗号化が施されていることは言うまでもない。つまり、この時点でＳＳＬのみによる暗号化通信に切り替わる。
【００８２】
一方、ＭＦＰ１００では、ネットワーク通信部２１がＰＣ２００からの通信（パケット）を受け付けると、このパケットをｗｅｂサーバ２５に転送する（ステップＳ７５）。ｗｅｂサーバ２５では、ネットワーク通信部２１から受け付けたパケットがＳＳＬにより暗号化されていると判断するため、当該パケットの復号を暗号／復号処理部２７に依頼する（ステップＳ７６）。
【００８３】
暗号／復号処理部２７は、ｗｅｂサーバ２５からの依頼に応じ、ＳＳＬで暗号化されたパケットを復号化すると、このパケットをｗｅｂサーバ２５に再び戻す（ステップＳ７７）。続いて、ｗｅｂサーバ２５では、復号処理部２７から受け付けたパケットの内容に応じ、ＰＣ２００から送信されたユーザ名とパスワードとをｗｅｂアプリ２８に引き渡すことで、ｗｅｂアプリ２８にログイン認証を要求する（ステップＳ７８）。
【００８４】
ｗｅｂアプリ２８は、ｗｅｂサーバ２５からの要求に応じ、ｗｅｂサーバ２５から渡されたユーザ名及びパスワードを、記憶部１４に記憶された照合用情報と照合することで認証を行い、この認証結果に応じて生成した応答ページをｗｅｂサーバ２５に出力する（ステップＳ７９）。
【００８５】
ｗｅｂサーバ２５は、ｗｅｂアプリ２８から応答ページを受け付けると、この応答ページをパケット化し、暗号／復号処理部２７に転送することでＳＳＬによる暗号化を依頼する（ステップＳ８０）。暗号／復号処理部２７は、ｗｅｂサーバ２５からパケットの暗号化が依頼されると、ＳＳＬによる暗号化を施し、ｗｅｂサーバ２５に再び戻す（ステップＳ８１）。そして、ｗｅｂサーバ２５は、暗号／復号処理部２７からＳＳＬによる暗号化済みのパケットを受け取ると、このパケットをネットワーク通信部２１に転送する（ステップＳ８２）。
【００８６】
続いて、ネットワーク通信部２１は、ｗｅｂサーバ２５からＳＳＬによる暗号化済みのパケットを受け付けると、このパケットをログイン要求に対する応答として、ＰＣ２００に送信する（ステップＳ８３）。
【００８７】
以上のように、第２の実施形態によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、ＩＰＳｅｃ非対象アドレス宛に転送させることで、ＩＰＳｅｃによる暗号化を伴わないＩＰＳｅｃ非対象アドレスよる通信に切り替えることができるため、ＳＳＬのみによる暗号化に単一化することが可能となる。これにより、暗号化／復号化にかかる負荷を軽減することが可能となり、ＭＦＰ１００とＰＣ２００との間の通信をより効率的に行うことができる。
【００８８】
なお、本実施形態では、転送先判定部２６１による暗号化の多重判定を、ＰＣ２００からログイン要求（ステップＳ２１）がされた場合にのみについて説明したが、実際には、ＭＦＰ１００とＰＣ２００との間の通信を転送先判定部２６は常時監視する。そのため、図８で説明したログイン画面要求（ステップＳ６１）の際や、ステップＳ８３以降に行われる通信についても、暗号化の多重判定は行われることになる。
【００８９】
［第３の実施形態］
上記第２の実施形態では、ＰＣ２００から送信される通信がＩＰＳｅｃとＳＳＬとにより多重に暗号化されている場合に、ＩＰＳｅｃ対象アドレス（２００１：：１１）宛に対する通信を、ＩＰＳｅｃ非対象アドレス“２００１：：２２”宛に転送させる転送レスポンスをＰＣ２００に返すことで、暗号の単一化を行う形態を説明した。
【００９０】
ＩＰＳｅｃ非対象アドレスがリンクローカルアドレスであるような場合、ＰＣ２００からアクセスされるＩＰアドレスと、当該ＰＣ２００のＩＰアドレスとのプレフィックスが等しいと、上記第２の実施形態の手法は有効となるが、両アドレスのプレフィックスが異なると、ＰＣ２００のプレフィックスに応じたＩＰＳｅｃ非対象アドレスを設ける必要があるため、固定的に設定された設定情報（ＳＰＤ）では有効に制御することができない。そこで、第３の実施形態では、自己の装置のＩＰアドレスとＰＣ２００のＩＰアドレスとのプレフィックスに応じ、ＩＰＳｅｃ非対象アドレスの生成を動的に行うことが可能な形態について説明する。なお、上記第１、２の実施形態と同様の構成要素については、同一の符号を付与し、本実施形態に特有の動作についてのみ説明を行う。
【００９１】
まず、図３を参照して、第３の実施形態にかかるＭＦＰ１０２が備える機能的構成について説明する。図３に示したように、ＭＦＰ１０２は、ネットワーク通信部２１と、アドレス生成部２２１と、ＩＰＳｅｃ設定保持部２３１と、ＩＰＳｅｃ処理部２４と、ｗｅｂサーバ２５と、転送先判定部２６２、暗号／復号処理部２７、ｗｅｂアプリ２８とを備えている。なお、ＭＦＰ１０２のハードウェア構成は、図２と同様であるため説明を省略する。
【００９２】
転送先判定部２６２は、ＰＣ２００から送信される通信の暗号化の状態と、当該ＰＣ２００のＩＰアドレスのプレフィックスとに基づいて、ｗｅｂサーバ２５の通信の転送先を決定する。具体的に、転送先判定部２６２は、ＰＣ２００から送信される通信がＩＰＳｅｃとＳＳＬとにより多重に暗号化されている場合に、この通信のアクセス先となるＩＰアドレスと、ＰＣ２００のＩＰアドレスとのプレフィックスが等しいか否かを判定する。この判定により、両ＩＰアドレスのプレフィックスが異なると判断した場合、転送先判定部２６２は、アクセス先となったＩＰアドレスとプレフィックスが等しく、且つ、当該ＩＰアドレスとは異なる新たなＩＰアドレスをアドレス生成部２２１に生成させる。
【００９３】
また、転送先判定部２６２は、アドレス生成部２２１により生成された新たなＩＰアドレスが、ＩＰＳｅｃ設定保持部２３１が保持する設定情報にＩＰＳｅｃ対象アドレスとして設定されているか否を判定し、設定されていないと判断した場合には、この新たなＩＰアドレス（ＩＰＳｅｃ非対象アドレス）宛に転送させる転送レスポンスをＰＣ２００に返すことで、暗号の単一化を行う。なお、生成された新たなＩＰアドレスが、ＩＰＳｅｃ対象アドレスとして設定されていた場合、転送先判定部２６２は、ＩＰＳｅｃ設定保持部２３１を制御することで、この新たなＩＰアドレスをＩＰＳｅｃ対象アドレスから除外させるものとするが、アドレス生成部２２１を制御することで、前回生成されたＩＰアドレスとは異なる新たなＩＰアドレスを再度生成させる態様としてもよい。
【００９４】
ＩＰＳｅｃ設定保持部２３１は、転送先判定部２６２の制御の下、記憶部１４等に保持した設定情報の設定を変更する。また、アドレス生成部２２１は、転送先判定部２６２の制御の下、新たなＩＰアドレスを生成する。
【００９５】
以下、本実施形態にかかるＭＦＰ１０２の動作について説明する。図１０は、転送先判定部２６２、ＩＰＳｅｃ設定保持部２３１、アドレス生成部２２１により実行される転送先決定処理の手順を示したフローチャートである。なお、本処理はＰＣ２００との通信が行われる毎に実行されるものとするが、以下では、図８のステップＳ６７の処理時に行われることを想定して説明を行う。
【００９６】
まず、転送先判定部２６２は、ＩＰＳｅｃ処理部２４及び暗号／復号処理部２７の動作状態に基づいて、ＰＣ２００から送信されたパケットが多重に暗号化されているか否かを判定する（ステップＳ９１）。ここで、転送先判定部２６２は、パケットは多重に暗号化されていないと判定すると（ステップＳ９１；Ｎｏ）、本処理を直ちに終了する。
【００９７】
一方、ステップＳ９１において、パケットが多重に暗号化されていると判定すると（ステップＳ９１；Ｙｅｓ）、転送先判定部２６２は、このパケットのアクセス先となるＩＰアドレスのプレフィックスと、当該パケットを送信したＰＣ２００のＩＰアドレスのプレフィックスとを比較し、両プレフィックスが等しいか否かを判定する（ステップＳ９２）。
【００９８】
ここで、両プレフィックスが等しいと判定した場合（ステップＳ９２；Ｙｅｓ）、転送先判定部２６２は、リンクローカルアドレス宛に転送させる転送レスポンスを生成し、この転送レスポンスをｗｅｂサーバ２５に引き渡した後（ステップＳ９３）、本処理を終了する。ここで、リンクローカルアドレスはＩＰＳｅｃ非対象アドレスであることを前提としているが、この前提は、自己の装置と同一のネットワークセグメント内の通信に対してはＩＰＳｅｃによる暗号化を施さないことが一般的であることを根拠としている。なお、この後の処理内容は、図８のステップＳ６８〜Ｓ８３と同様である。
【００９９】
一方、ステップＳ９２において、両プレフィックスが異なると判定した場合（ステップＳ９２；Ｎｏ）、転送先判定部２６２は、アドレス生成部２２１を制御することで、アクセス先となったＩＰアドレスとプレフィックスが等しく、且つ、当該アクセス先のＩＰアドレスとは異なる新たなＩＰアドレスを生成させる（ステップＳ９４）。
【０１００】
続いて、転送先判定部２６２は、ステップＳ９４で生成された新たなＩＰアドレスが、ＩＰＳｅｃ設定保持部２３１が保持する設定情報にＩＰＳｅｃ対象アドレスとして設定されているか否を判定する（ステップＳ９５）。ここで、ＩＰＳｅｃ対象アドレスとして設定されていないと判定した場合、即ち、新たなＩＰアドレスがＩＰＳｅｃ非対象アドレスである場合（ステップＳ９５；Ｎｏ）、ステップＳ９７の処理に直ちに移行する。
【０１０１】
また、ステップＳ９５において、新たなＩＰアドレスがＩＰＳｅｃ対象アドレスとして設定されていると判定した場合（ステップＳ９５；Ｙｅｓ）、転送先判定部２６２は、ＩＰＳｅｃ設定保持部２３１を制御することで、設定情報のＩＰＳｅｃ対象アドレス設定から新たなＩＰアドレスを除外した後（ステップＳ９６）、ステップＳ９７の処理に移行する。
【０１０２】
続くステップＳ９７において、転送先判定部２６２は、ステップＳ９４で生成された新たなＩＰアドレス宛に転送させる転送レスポンスを生成し、この転送レスポンスをｗｅｂサーバ２５に引き渡した後（ステップＳ９７）、本処理を終了する。なお、この後の処理内容は、図８のステップＳ６８〜Ｓ８３と同様である。
【０１０３】
以上のように、第３の実施形態によれば、ＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信した場合に、ＩＰＳｅｃによる暗号化を伴わない、新たに生成されたＩＰｖ６アドレス宛に転送先させることができるため、暗号化をＳＳＬのみに単一化することができる。
【０１０４】
なお、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施の形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施の形態にわたる構成要素を適宜組み合わせても良い。
【０１０５】
例えば、上述したＭＦＰで実行される各処理にかかるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成しても良い。また、上述したＭＦＰで実行される各処理にかかるプログラムを、インターネット等のネットワーク経由で提供または配布するように構成しても良い。
【０１０６】
また、上述したＭＦＰで実行される各処理にかかるプログラムを、ＲＯＭ等の記憶媒体に予め組み込んで提供するように構成してもよい。
【産業上の利用可能性】
【０１０７】
以上のように、本発明にかかる情報処理装置、通信制御方法及び通信制御プログラムは、ｗｅｂサーバを備え、且つ、当該ｗｅｂサーバへのアクセスが暗号化通信により行われる情報処理装置、当該情報処理装置の通信制御方法及び通信制御プログラムに有用であり、特に、多重に暗号化が施された暗号化通信でのアクセスを受け付ける情報処理装置、当該情報処理総理の通信制御方法及び通信制御プログラムに適している。
【図面の簡単な説明】
【０１０８】
【図１】通信システムの構成を示したブロック図である。
【図２】ＭＦＰのハードウェア構成の一例を示したブロック図である。
【図３】ＭＦＰの機能的構成を示したブロック図である。
【図４】第１の実施形態にかかる通信制御処理の手順を示したシーケンシャル図である。
【図５】ｗｅｂアプリにより生成されたログイン画面のソースの一例を示した図である。
【図６】図５のソースがｗｅｂブラウザにより表示された際の表示例を示した図である。
【図７】第１の実施形態にかかる転送先判定部により生成された転送レスポンスの一例を示した図である。
【図８】第２の実施形態にかかる通信制御処理の手順を示したシーケンシャル図である。
【図９】第２の実施形態にかかる転送先判定部により生成された転送レスポンスの一例を示した図である。
【図１０】第３の実施形態にかかる転送先決定処理の手順を示したフローチャートである。
【符号の説明】
【０１０９】
１００ ＭＦＰ
１０１ ＭＦＰ
１０２ ＭＦＰ
２００ ＰＣ
１１ ＣＰＵ
１２ ＡＳＩＣ
１３ システムメモリ
１３１ ＲＯＭ
１３２ ＲＡＭ
１４ 記憶部
１５ 操作表示部
１６ エンジン部
１７ スキャナ部
１８ インタフェース部
２１ ネットワーク通信部
２２ アドレス生成部
２２１ アドレス生成部
２３ ＩＰＳｅｃ設定保持部
２３１ ＩＰＳｅｃ設定保持部
２４ ＩＰＳｅｃ処理部
２５ ｗｅｂサーバ
２６ 転送先判定部
２６１ 転送先判定部
２６２ 転送先判定部
２７ 暗号／復号処理部
２８ ｗｅｂアプリ
【特許請求の範囲】
【請求項１】
ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置において、
前記ＩＰＳｅｃとＳＳＬとにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定手段と、
前記多重暗号判定手段によりＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御手段と、
を備えたことを特徴とする情報処理装置。
【請求項２】
前記外部装置にｗｅｂページを提供するｗｅｂサーバを更に備え、
前記転送制御手段は、前記ＳＳＬにより暗号化されたｈｔｔｐｓによる前記ｗｅｂサーバ宛のアクセスを、当該ＳＳＬによる暗号化を伴わないｈｔｔｐによる前記ｗｅｂサーバ宛に転送させることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記転送制御手段は、前記ＩＰＳｅｃによる暗号化の対象となる自己の装置のＩＰｖ６アドレス宛のアクセスを、当該ＩＰＳｅｃによる暗号化を伴わない自己の装置の他のＩＰｖ６アドレス宛に転送させることを特徴とする請求項１に記載の情報処理装置。
【請求項４】
前記転送制御手段は、前記転送先のＩＰｖ６アドレスをリンクローカルアドレスとすることを特徴とする請求項３に記載の情報処理装置。
【請求項５】
自己の装置のＩＰｖ６アドレスを新たに生成する生成手段を更に備え、
前記転送制御手段は、前記生成手段により生成される新たなＩＰｖ６アドレスを転送先とすることを特徴とする請求項３に記載の情報処理装置。
【請求項６】
前記ＩＰＳｅｃによる暗号化の対象となるＩＰｖ６アドレスを定めた設定情報を記憶する記憶手段と、
前記設定情報に定められたＩＰｖ６アドレスに基づいて、前記生成手段により生成された新たなＩＰｖ６アドレスが暗号化の対象か否かを判定する暗号化対象判定手段と、
前記暗号化対象判定手段により暗号化の対象と判定された場合に、前記生成された新たなＩＰｖ６アドレスを前記設定情報から除外する除外手段と、
を更に備えたことを特徴とする請求項５に記載の情報処理装置。
【請求項７】
前記ＩＰＳｅｃによる暗号化の対象となるＩＰｖ６アドレスを定めた設定情報を記憶する記憶手段と、
前記設定情報に定められたＩＰｖ６アドレスに基づいて、前記生成手段により生成された新たなＩＰｖ６アドレスが暗号化の対象か否かを判定する暗号化対象判定手段と、
を更に備え、
前記生成手段は、前記暗号化対象判定手段により暗号化の対象と判定された場合に、前回生成したＩＰｖ６アドレスとは異なる新たなＩＰｖ６アドレスを再度生成することを特徴とする請求項５に記載の情報処理装置。
【請求項８】
ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置での通信制御方法であって、
多重暗号判定手段が、前記ＩＰＳｅｃ及びＳＳＬにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定工程と、
転送制御手段が、前記多重暗号判定工程でＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御工程と、
を含むことを特徴とする通信制御方法。
【請求項９】
前記情報処理装置は、前記外部装置にｗｅｂページを提供するｗｅｂサーバを備え、
前記転送制御手段は、前記転送制御工程において、前記ＳＳＬにより暗号化されたｈｔｔｐｓによる前記ｗｅｂサーバ宛のアクセスを、当該ＳＳＬによる暗号化を伴わないｈｔｔｐによる前記ｗｅｂサーバ宛に転送させることを特徴とする請求項８に記載の通信制御方法。
【請求項１０】
前記転送制御手段は、前記転送制御工程において、前記ＩＰＳｅｃによる暗号化の対象となる自己の装置のＩＰｖ６アドレス宛のアクセスを、当該ＩＰＳｅｃによる暗号化を伴わない自己の装置の他のＩＰｖ６アドレス宛に転送させることを特徴とする請求項８に記載の通信制御方法。
【請求項１１】
ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置のコンピュータに、
前記ＩＰＳｅｃとＳＳＬとにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定手段と、
前記多重暗号判定手段によりＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる制御する転送制御手段と、
して機能させることを特徴とする通信制御プログラム。
【請求項１】
ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置において、
前記ＩＰＳｅｃとＳＳＬとにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定手段と、
前記多重暗号判定手段によりＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御手段と、
を備えたことを特徴とする情報処理装置。
【請求項２】
前記外部装置にｗｅｂページを提供するｗｅｂサーバを更に備え、
前記転送制御手段は、前記ＳＳＬにより暗号化されたｈｔｔｐｓによる前記ｗｅｂサーバ宛のアクセスを、当該ＳＳＬによる暗号化を伴わないｈｔｔｐによる前記ｗｅｂサーバ宛に転送させることを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記転送制御手段は、前記ＩＰＳｅｃによる暗号化の対象となる自己の装置のＩＰｖ６アドレス宛のアクセスを、当該ＩＰＳｅｃによる暗号化を伴わない自己の装置の他のＩＰｖ６アドレス宛に転送させることを特徴とする請求項１に記載の情報処理装置。
【請求項４】
前記転送制御手段は、前記転送先のＩＰｖ６アドレスをリンクローカルアドレスとすることを特徴とする請求項３に記載の情報処理装置。
【請求項５】
自己の装置のＩＰｖ６アドレスを新たに生成する生成手段を更に備え、
前記転送制御手段は、前記生成手段により生成される新たなＩＰｖ６アドレスを転送先とすることを特徴とする請求項３に記載の情報処理装置。
【請求項６】
前記ＩＰＳｅｃによる暗号化の対象となるＩＰｖ６アドレスを定めた設定情報を記憶する記憶手段と、
前記設定情報に定められたＩＰｖ６アドレスに基づいて、前記生成手段により生成された新たなＩＰｖ６アドレスが暗号化の対象か否かを判定する暗号化対象判定手段と、
前記暗号化対象判定手段により暗号化の対象と判定された場合に、前記生成された新たなＩＰｖ６アドレスを前記設定情報から除外する除外手段と、
を更に備えたことを特徴とする請求項５に記載の情報処理装置。
【請求項７】
前記ＩＰＳｅｃによる暗号化の対象となるＩＰｖ６アドレスを定めた設定情報を記憶する記憶手段と、
前記設定情報に定められたＩＰｖ６アドレスに基づいて、前記生成手段により生成された新たなＩＰｖ６アドレスが暗号化の対象か否かを判定する暗号化対象判定手段と、
を更に備え、
前記生成手段は、前記暗号化対象判定手段により暗号化の対象と判定された場合に、前回生成したＩＰｖ６アドレスとは異なる新たなＩＰｖ６アドレスを再度生成することを特徴とする請求項５に記載の情報処理装置。
【請求項８】
ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置での通信制御方法であって、
多重暗号判定手段が、前記ＩＰＳｅｃ及びＳＳＬにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定工程と、
転送制御手段が、前記多重暗号判定工程でＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる転送制御工程と、
を含むことを特徴とする通信制御方法。
【請求項９】
前記情報処理装置は、前記外部装置にｗｅｂページを提供するｗｅｂサーバを備え、
前記転送制御手段は、前記転送制御工程において、前記ＳＳＬにより暗号化されたｈｔｔｐｓによる前記ｗｅｂサーバ宛のアクセスを、当該ＳＳＬによる暗号化を伴わないｈｔｔｐによる前記ｗｅｂサーバ宛に転送させることを特徴とする請求項８に記載の通信制御方法。
【請求項１０】
前記転送制御手段は、前記転送制御工程において、前記ＩＰＳｅｃによる暗号化の対象となる自己の装置のＩＰｖ６アドレス宛のアクセスを、当該ＩＰＳｅｃによる暗号化を伴わない自己の装置の他のＩＰｖ６アドレス宛に転送させることを特徴とする請求項８に記載の通信制御方法。
【請求項１１】
ＩＰＳｅｃ及び／又はＳＳＬにより暗号化された通信を外部装置との間で行う情報処理装置のコンピュータに、
前記ＩＰＳｅｃとＳＳＬとにより暗号化された通信を、前記外部装置から受信したか否かを判定する多重暗号判定手段と、
前記多重暗号判定手段によりＩＰＳｅｃ及びＳＳＬで暗号化された通信を受信したと判定された場合に、前記外部装置のアクセス先を、前記ＩＰＳｅｃ又はＳＳＬによる暗号化を伴わない通信用のアクセス先に転送させる制御する転送制御手段と、
して機能させることを特徴とする通信制御プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２００９−２２５２７３（Ｐ２００９−２２５２７３Ａ）
【公開日】平成２１年１０月１日（２００９．１０．１）
【国際特許分類】
【出願番号】特願２００８−６９４１７（Ｐ２００８−６９４１７）
【出願日】平成２０年３月１８日（２００８．３．１８）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
【公開日】平成２１年１０月１日（２００９．１０．１）
【国際特許分類】
【出願日】平成２０年３月１８日（２００８．３．１８）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
[ Back to top ]