暗号化情報をネゴシエートするための方法、デバイス、およびネットワークシステム
暗号化情報をネゴシエートするための方法、デバイス、およびネットワークシステムが提供される。暗号化情報をネゴシエートするための方法は、第1のデバイスによってサポートされる暗号化機能情報と、第2のデバイスによってサポートされる暗号化機能情報とを取得するステップと、前記第1及び第２のデバイスのそれぞれによってサポートされる暗号化機能情報に従って、第1のデバイスと第2のデバイスとに適用される暗号化情報を決定するステップと、前記の第1のデバイスおよび第2のデバイスに前記暗号化情報を送信するステップとを含み、前記暗号化情報は、前記の第1のデバイスと第2のデバイスとの間のデータフローを符号化および/または復号するために使用される。本発明によって、電話通信クライアント(TC)と、電話通信サーバ(TS)との間で送信されるデータフローのセキュリティを保証することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信技術の分野に関し、より詳細には、暗号化情報(encryption information)をネゴシエートするための(for negotiating)方法およびデバイスと、ネットワークシステムとに関する。
【０００２】
本出願は、2009年8月21日に中国専利局(Chinese Patent Office)に出願され、その全体が参照によって本明細書に組み込まれている「暗号化情報をネゴシエートするための方法およびデバイスと、ネットワークシステム(METHOD AND DEVICE FOR NEGOTIATING ENCRYPTION INFORMATION, AND NETWORK SYSTEM)」という名称の中国特許出願第200910167221.7号の優先権を主張するものである。
【背景技術】
【０００３】
通信技術の発達と共に、ユーザは、電話対応デバイスで電話サービスを使用するだけでなく、ホームネットワークにおいて電話サービスを共有することも期待する。ユニバーサルプラグアンドプレイ(UPnP)電話通信(telephony)規格においては、3つの機能エンティティ、すなわち電話通信サーバ(Telephony Server) (TS)、電話通信クライアント(Telephony Client) (TC)、および電話通信制御ポイント(Telephony Control Point) (TCP)が定義されている。TSは、ホームネットワークにおいて他のデバイスのための電話サービスを提供する。TCは、ホームネットワークにおいてTSからデータストリームを受信し、ユーザに対してデータストリーム情報を提示し、かつ/またはTSのためのデータストリームを提供する。TCPは、ホームネットワークにおいてTCとTSとの間の電話サービスの共有を実施するために制御を実行する。TCと、TSと、TCPとの間の接続関係は、図1に示されている。TCとTSとの間のデータストリームは、アウトバンドメカニズム(outband mechanism)を通して送信され、またTCとTSとの間で送信されるデータストリームは、メディアストリーム(media streams)および/またはショートメッセージを含んでいる。
【０００４】
従来技術においては、TCとTSとの間のデータストリームは、非合法のデバイスによって傍受され、または改ざんされることに対してぜい弱であり、安全ではない。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明の実施形態は、TCとTSとの間で送信されるデータストリームのセキュリティを保証するために暗号化情報をネゴシエートするための方法およびデバイスと、ネットワークシステムとを提供する。
【０００６】
そのような目的は、以下の技術的解決策を通して達成される。
【課題を解決するための手段】
【０００７】
暗号化情報をネゴシエートするための方法は、第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得するステップと、第1のデバイスの暗号化機能についての情報および第2のデバイスの暗号化機能についての情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定するステップと、第1のデバイスおよび第2のデバイスに暗号化情報を送信するステップとを含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０００８】
暗号化情報をネゴシエートするための方法は、第2のデバイスにより、制御ポイントから第1のデバイスの証明書情報を受信するステップと、第2のデバイスにより、第1のデバイスの証明書情報に従って第1のデバイスを認証するステップと、第2のデバイスにより、第1のデバイスを正常に認証した後に第1のデバイスと暗号化情報をネゴシエートするステップとを含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０００９】
暗号化情報をネゴシエートするためのデバイスは、第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得するように構成された取得ユニットと、第1のデバイスの暗号化機能についての情報および第2のデバイスの暗号化機能についての情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定するように構成された決定ユニットと、第1のデバイスおよび第2のデバイスにそれぞれ決定された暗号化情報を送信するように構成された送信ユニットと、を含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【００１０】
暗号化情報をネゴシエートするためのデバイスは、制御ポイントから第1のデバイスの証明書情報を受信するように構成された受信ユニットと、第1のデバイスの証明書情報に従って第1のデバイスを認証するように構成された認証ユニットと、第1のデバイスを正常に認証した後に第1のデバイスと暗号化情報をネゴシエートするように構成されたネゴシエートユニットとを含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【００１１】
ネットワークシステムは、暗号化機能についての第1の情報と、暗号化機能についての第2の情報とを受信し、暗号化機能についての第1の情報および暗号化機能についての第2の情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定し、暗号化情報を送信するように構成された制御ポイントを含み、第1のデバイスは、暗号化機能についての第1の情報を制御ポイントに送信し、制御ポイントによって送信される暗号化情報を受信するように構成されており、ここで暗号化機能についての第1の情報は、第1のデバイスの暗号化機能を示し、第2のデバイスは、暗号化機能についての第2の情報を制御ポイントに送信し、制御ポイントによって送信される暗号化情報を受信するように構成されており、ここで暗号化機能についての第2の情報は、第2のデバイスの暗号化機能を示し、また暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【００１２】
ネットワークシステムは、第1の証明書情報を取得し、送信するように構成された制御ポイントと、制御ポイントによって送信される第1の証明書情報を受信し、第1の証明書情報に対応するデバイスを認証し、デバイスを正常に認証した後に第1の証明書情報に対応するデバイスと暗号化情報をネゴシエートするように構成された第2のデバイスと、第2のデバイスと暗号化情報をネゴシエートするように構成された、第1の証明書情報に対応する第1のデバイスとを含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【発明の効果】
【００１３】
本発明の一実施形態においては、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報は、第1のデバイスおよび第2のデバイスの暗号化機能についての情報に従って決定され、また第1のデバイスおよび第2のデバイスにそれぞれ送信され、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【００１４】
本発明の別の実施形態においては、第2のデバイスは、制御ポイントを通して第1のデバイスの証明書情報を取得し、第1のデバイスを正常に認証した後に第1のデバイスと暗号化情報をネゴシエートし、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【００１５】
本発明の下の技術的解決策をより明確にするために、本発明の実施形態の説明に必要とされる添付図面が、以下で概説される。明らかに、以下で概説される添付図面は、網羅的なものではなく、当業者は、創造的などのような努力もなしに添付図面から他の図面を導き出すことができる。
【図面の簡単な説明】
【００１６】
【図１】従来技術におけるホームネットワークの構造図である。
【図２】本発明の第1の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図３】本発明の第2の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図４】本発明の第3の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図５】本発明の第4の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図６】本発明の第5の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図７】本発明の第6の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図８】本発明の第7の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図９】本発明の第8の実施形態による、暗号化情報をネゴシエートするためのデバイスの構造図である。
【図１０】本発明の第9の実施形態による、暗号化情報をネゴシエートするためのデバイスの構造図である。
【発明を実施するための形態】
【００１７】
［実施形態1］
【００１８】
図2に示されるように、本実施形態において暗号化情報をネゴシエートするための方法は、以下のステップを含んでいる。
【００１９】
201:第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得する。
【００２０】
このステップに続くステップ202およびステップ203は、制御ポイントによって実行される。
【００２１】
制御ポイントが、TCPである場合、第1のデバイスは、TCであり、また第2のデバイスは、TSであり、あるいは第1のデバイスは、TSであり、また第2のデバイスは、TCである。
【００２２】
このステップにおけるTCPは、TCおよびTSによって許可される制御ポイントであり、TCおよびTSにアクセスする資格がある。したがって、このステップの前に、TCPは、TSおよびTCによって許可を得る必要がある。TCが、TCPがTCにアクセスすることを許可するときに、TCは、TCのアクセス制御リスト(Access Control List) (ACL)にTCPの識別子(Identifier) (ID)を記憶し、ここでTCPのIDは、TCPの証明書のハッシュ値とすることができる。同様に、TSが、TCPがTSにアクセスすることを許可するときに、TSは、TSのACLにTCPのIDを記憶し、ここでTCPのIDは、TCPの証明書のハッシュ値とすることができる。その後に、TSおよびTCは、TCPの証明書と、それぞれ記憶されたACLとに基づいて、許可されたTCPにアクセス可能である。このステップにおいて、TCおよびTSによって許可されるTCPは、TCにアクセスすることによりTCの暗号化機能についての情報を取得し、TSにアクセスすることによりTSの暗号化機能についての情報を取得する。
【００２３】
制御ポイントが、入力制御ポイント(Input Control Point) (ICP)である場合、第1のデバイスは、入力クライアント(Input Client) (IC)であり、また第2のデバイスは、入力サーバ(IS)であり、あるいは第1のデバイスは、ISであり、また第2のデバイスは、ICである。
【００２４】
このステップにおけるICPは、ICおよびISによって許可される制御ポイントであり、ICおよびISにアクセスする資格がある。したがって、このステップの前に、ICPは、ISおよびICによって許可を得る必要がある。ICが、ICPがICにアクセスすることを許可するときに、ICは、ICのACLにICPの識別子IDを記憶し、ここでICPのIDは、ICPの証明書のハッシュ値とすることができる。同様に、ISが、ICPがISにアクセスすることを許可するときに、ISは、ISのACLにICPのIDを記憶し、ここでICPのIDは、ICPの証明書のハッシュ値とすることができる。その後に、ISおよびICは、ICPの証明書と、それぞれ記憶されたACLとに基づいて、許可されたICPにアクセス可能である。このステップにおいて、ICおよびISによって許可されるICPは、ICにアクセスすることによりICの暗号化機能についての情報を取得し、またISにアクセスすることによりISの暗号化機能についての情報を取得する。
【００２５】
このステップにおいて、第1のデバイスの暗号化機能についての情報は、トランスポートプロトコルと、暗号化プロトコルと、暗号化アルゴリズムと、最大パスワード長とを含むことができ、これらは、第1のデバイスによってサポートされ、また第2のデバイスの暗号化機能についての情報は、トランスポートプロトコルと、暗号化プロトコルと、暗号化アルゴリズムと、最大パスワード長とを含むことができ、これらは、TSによってサポートされる。
【００２６】
202:第1のデバイスの暗号化機能についての情報および第2のデバイスの暗号化機能についての情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定する。暗号化情報は、暗号化アルゴリズム(次世代標準暗号方式(Advanced Encryption Standard) (AES)やデータ暗号化規格(Data Encryption Standard) (DES)など)とキーとを含んでおり、または暗号化情報は、セキュアソケットレイヤ(Secure Socket Layer) (SSL)プロトコルなどの暗号化プロトコルを含んでいる。
【００２７】
暗号化情報が、暗号化プロトコルを含む場合、第1のデバイスおよび第2のデバイスは、その後に暗号化プロトコルに従って暗号化アルゴリズムおよびキーをネゴシエートし、また通信データストリームの暗号化された伝送を実施して、第1のデバイスと第2のデバイスとの間の通信のセキュリティを保証する。例えば、SSLプロトコルが適用される場合、第1のデバイスおよび第2のデバイスは、キー交換アルゴリズム、データ暗号化アルゴリズム、およびダイジェストアルゴリズムをハンドシェイクプロトコルを通してネゴシエートし、ネゴシエートされたキー交換アルゴリズムを使用することにより、第1のデバイスと第2のデバイスとだけに知られているキーを生成する。
【００２８】
203:第1のデバイスおよび第2のデバイスにそれぞれ決定された暗号化情報を送信し、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【００２９】
制御ポイントと第1のデバイス/第2のデバイスとの間の情報が、非合法のデバイスによって傍受されないようにするために、ステップ201の前に、第1のデバイスおよび第2のデバイスによって許可されるように、制御ポイントは、例えば、SSLプロトコルまたはトランスポートレイヤセキュリティ(Transport Layer Security) (TLS)プロトコルを通してそれぞれ第1のデバイスおよび第2のデバイスに対するセキュア伝送チャネル(secure transmission channel)をセットアップすることができる。制御ポイントは、第1のデバイスの暗号化機能についての情報を第1のデバイスに対するセキュア伝送チャネルを通して取得し、第2のデバイスの暗号化機能についての情報を第2のデバイスに対するセキュア伝送チャネルを通して取得し、第1のデバイスに対するセキュア伝送チャネルを通して第1のデバイスに暗号化情報を送信し、第2のデバイスに対するセキュア伝送チャネルを通して第2のデバイスに暗号化情報を送信する。
【００３０】
実施形態1においては、暗号化情報は、第1のデバイスおよび第2のデバイスの暗号化機能についての情報に従って決定され、第1のデバイスおよび第2のデバイスにそれぞれ送信され、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読し、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【００３１】
［実施形態2］
【００３２】
図3に示されるように、暗号化情報をネゴシエートするための方法が、この実施形態において提供される。この方法においては、TCとTSとの両方によって信頼されるTCPは、TCとTSとの両方によってサポートされる暗号化アルゴリズムを選択し、キーを生成し、またTCおよびTSに暗号化アルゴリズムおよびキーを通知する。本方法は、以下のステップを含んでいる。
【００３３】
301:TCPは、TCのメディア能力(media capabilities)についての情報をTCから取得する。メディア能力についての情報は、TCによってサポートされるトランスポートプロトコルについての情報と、TCの暗号化機能についての情報とを含む。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、TCによってサポートされるキー長(key length)についての情報とを含む。キー長についての情報は、TCによってサポートされる最大キー長とすることができる。
【００３４】
このステップにおいては、TCPは、GetMediaSessionCapability()コマンドを通してTCのメディア能力についての情報を取得することができる。
【００３５】
302:TCPは、TSからTSのメディア能力についての情報を取得する。メディア能力についての情報は、TSによってサポートされるトランスポートプロトコルについての情報と、TSの暗号化機能についての情報とを含む。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、TSによってサポートされるキー長についての情報とを含む。キー長についての情報は、TSによってサポートされる最大キー長とすることができる。
【００３６】
このステップにおいて、TCPは、GetMediaSessionCapability()コマンドを通してTSからTSのメディア能力についての情報を取得することができる。
【００３７】
303:TCPは、TCのメディア能力についての情報およびTSのメディア能力についての情報に従ってTCとTSとの間のセッションを実行するために必要とされるセッションパラメータを決定する。セッションパラメータは、TCとTSとの両方に適用可能なトランスポートプロトコルと、暗号化アルゴリズムと、キーとを含む。
【００３８】
このステップにおいて、TCおよびTSに適用可能な暗号化アルゴリズムをTCPによって決定することは、TCとTSとの両方によってサポートされる暗号化アルゴリズムをTCPによって選択することを意味する。このステップにおいて、TCPは、TCの暗号化機能についての情報およびTSの暗号化機能についての情報に従ってキーを生成する。特に、TCPは、TCによってサポートされる最大キー長、およびTSによってサポートされる最大キー長に従ってキーを生成し、その結果、生成されたキーがTCおよびTSのキー長要件を満たすことが保証されるようになる。
【００３９】
304:TCPは、セッションパラメータに従ってTCとTSとの間のデータチャネルをセットアップする指示としてセッションパラメータをTCに送信し、そうするとすぐにTCは、応答メッセージをTCPに送信する。
【００４０】
このステップにおいて、TCPは、セッションパラメータをTCに送信し、したがって、TCは、セッションパラメータに従ってTSに対するデータチャネルをセットアップし、次いでセッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、TCとTSとの間で送信されるデータストリームを暗号化し、かつ/または解読する。
【００４１】
このステップにおいては、TCPは、SetMediaSession(MediaCapability,...)コマンドを使用して、セッションパラメータをTCに送信することができる。
【００４２】
SetMediaSession(MediaCapability,...)コマンド内の「MediaCapability」は、セッションパラメータを意味する。
【００４３】
305:TCPは、セッションパラメータをTSに送信し、したがって、TSは、セッションパラメータに従ってTCに対するデータチャネルをセットアップし、次いでセッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、TCとTSとの間で送信されるデータストリームを暗号化し、かつ/または解読する。
【００４４】
このステップにおいて、TCPは、SetMediaSession(MediaCapability,...)コマンドを使用して、セッションパラメータをTSに送信することができる。
【００４５】
306:TCPは、送信するデータストリームを開始する指示として通知メッセージをTSに送信する。
【００４６】
このステップにおいて、TCPは、アウトバンドモードにおいて送信するデータストリームを開始する指示としてStartMediaSession()コマンドをTSに送信する。
【００４７】
307:TSは、暗号化アルゴリズムおよびキーに従って送信されるべきデータストリームを暗号化し、次いでデータストリームを送信し、またTCは、暗号化アルゴリズムおよびキーに従ってTSから受信されるデータストリームを解読し、あるいはTCは、暗号化アルゴリズムおよびキーに従って送信されるべきデータストリームを暗号化し、次いでデータストリームを送信し、またTSは、暗号化アルゴリズムおよびキーに従ってTCから受信されたデータストリームを解読する。
【００４８】
308:セッションが終了しようとしているときに、TCPは、セッションを終了する指示として通知メッセージをTCに送信する。
【００４９】
このステップにおいては、TCPは、StopMediaSession()コマンドをTCに送信して、セッションを終了する。
【００５０】
309:セッションが終了しようとしているときに、TCPは、セッションを終了する指示として通知メッセージをTSに送信する。
【００５１】
このステップにおいては、TCPは、StopMediaSession()コマンドをTSに送信して、セッションを終了する。
【００５２】
ステップ301から309におけるメッセージは、セキュア伝送チャネルにおいて送信され、このセキュア伝送チャネルは、メッセージ内容が、非合法のデバイスによって傍受されないようにすることに留意されたい。したがって、非合法のデバイスは、キーを知ることができない。
【００５３】
実施形態2においては、TCおよびTSによって信頼されるTCPは、TCおよびTSの暗号化機能についての情報を取得し、TCとTSとの両方によってサポートされる暗号化アルゴリズムを選択し、またキーを生成する。TCPは、TCおよびTSにそれぞれ暗号化アルゴリズムおよびキーを送信する。それによって、データストリームの送信側(TCまたはTS)は、暗号化アルゴリズムおよびキーを使用して、送信されるべきデータストリームを暗号化し、またデータストリームの受信側(TSまたはTC)は、暗号化アルゴリズムおよびキーを使用して、受信されたデータストリームを解読し、これは、アウトバンドモードにおいてTCとTSとの間で送信されるデータストリームのセキュリティを保証する。
【００５４】
［実施形態3］
【００５５】
図4に示されるように、暗号化情報をネゴシエートするための方法が、この実施形態において提供される。この実施形態は、GetencryptCapability()コマンドを使用して、TCおよびTSの暗号化機能についての情報を取得し、Setencrypt()コマンドを使用して、暗号化アルゴリズムおよびキーをTCおよびTSに送信するという点において、第2の実施形態とは異なる。本方法は、以下のステップを含んでいる。
【００５６】
401:TCPは、TCのメディア能力についての情報をTCから取得する。メディア能力についての情報は、TCによってサポートされるトランスポートプロトコルについての情報を含んでいる。
【００５７】
このステップにおいては、TCPは、GetMediaSessionCapability()コマンドを通してTCのメディア能力についての情報を取得することができる。
【００５８】
402:TCPは、TSのメディア能力についての情報をTSから取得する。メディア能力についての情報は、TSによってサポートされるトランスポートプロトコルについての情報を含んでいる。
【００５９】
このステップにおいては、TCPは、GetMediaSessionCapability()コマンドを通してTSのメディア能力についての情報をTSから取得することができる。
【００６０】
403:TCPは、TCのメディア能力についての情報およびTSのメディア能力についての情報に従ってTCとTSとの間のセッションを実行するために必要とされるセッションパラメータを決定する。セッションパラメータは、TCとTSとの両方によってサポートされるトランスポートプロトコルを含んでいる。
【００６１】
404:TCPは、セッションパラメータに従ってTCとTSとの間のデータチャネルをセットアップする指示としてセッションパラメータをTCに送信し、そうするとすぐにTCは、応答メッセージをTCPに送信する。
【００６２】
このステップにおいては、TCPは、SetMediaSession(MediaCapability,...)コマンドを使用して、セッションパラメータをTCに送信することができる。
【００６３】
SetMediaSession(MediaCapability,...)コマンド内の「MediaCapability」は、セッションパラメータを意味する。
【００６４】
405:TCPは、セッションパラメータに従ってTSおよびTCの間のデータチャネルをセットアップする指示としてセッションパラメータをTSに送信する。
【００６５】
このステップにおいては、TCPは、SetMediaSession(MediaCapability,...)コマンドを使用して、セッションパラメータをTSに送信することができる。
【００６６】
406:TCPは、TCの暗号化機能についての情報をTCから取得する。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、TCによってサポートされるキー長についての情報とを含む。キー長についての情報は、TCによってサポートされる最大キー長とすることができる。
【００６７】
このステップにおいて、TCPは、GetencryptCapability()コマンドを通してTCの暗号化機能についての情報をTCから取得することができる。
【００６８】
407:TCPは、TSの暗号化機能についての情報をTSから取得する。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、TSによってサポートされるキー長についての情報とを含む。キー長についての情報は、TSによってサポートされる最大キー長とすることができる。
【００６９】
このステップにおいて、TCPは、GetencryptCapability()コマンドを通してTSの暗号化機能についての情報をTSから取得することができる。
【００７０】
408:TCPは、TCおよびTSの暗号化機能についての情報に従ってTCおよびTSに適用可能な暗号化アルゴリズムを決定し、キーを生成する。
【００７１】
409:TCPは、決定された暗号化アルゴリズムおよびキーをTCに通知し、したがって、TCは、その後に、セッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、TCとTSとの間で送信されるデータストリームを暗号化し、かつ/または解読することができる。
【００７２】
このステップにおいては、TCPは、暗号化アルゴリズムおよびキーを搬送するSetencrypt(encryptCapability,...)コマンドをTCに送信し、ここで「encryptCapability」は、暗号化アルゴリズムおよびキーを意味する。
【００７３】
410:TCPは、決定された暗号化アルゴリズムおよびキーをTSに通知し、したがって、TSは、その後に、セッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、TCとTSとの間で送信されるデータストリームを暗号化し、かつ/または解読することができる。
【００７４】
このステップにおいては、TCPは、暗号化アルゴリズムおよびキーを搬送するSetencrypt(encryptCapability,...)コマンドをTSに送信し、ここで「encryptCapability」は、暗号化アルゴリズムおよびキーを意味する。
【００７５】
ステップ411から414は、ステップ306から309と同じであり、その詳細は、本明細書においては再び説明されることはない。
【００７６】
ステップ401から415におけるメッセージは、セキュア伝送チャネルにおいて送信され、このセキュア伝送チャネルは、メッセージ内容が、非合法のデバイスによって傍受されないようにすることに留意されたい。したがって、非合法のデバイスは、キーを知ることができない。
【００７７】
実施形態3においては、TCおよびTSによって信頼されるTCPは、TCおよびTSの暗号化機能についての情報を取得し、TCとTSとの両方によってサポートされる暗号化アルゴリズムを選択し、またキーを生成する。TCPは、TCおよびTSにそれぞれ暗号化アルゴリズムおよびキーを送信する。それによって、データストリームの送信側(TCまたはTS)は、暗号化アルゴリズムおよびキーを使用して、送信されるべきデータストリームを暗号化し、またデータストリームの受信側(TSまたはTC)は、暗号化アルゴリズムおよびキーを使用して、受信されたデータストリームを解読し、これは、アウトバンドモードにおいてTCとTSとの間で送信されるデータストリームのセキュリティを保証する。
【００７８】
TSおよびTCからそれぞれTCPによって取得される暗号化機能についての情報は、暗号化プロトコルを含むことができることに留意されたい。TCPは、TSおよびTCに適用可能な暗号化プロトコルを決定し、また決定された暗号化プロトコルについての情報をTCおよびTSにそれぞれ送信する。その後に、TCおよびTSは、暗号化プロトコルに従って暗号化アルゴリズムおよびキーをネゴシエートし、これはまた、本発明の目的を達成する。
【００７９】
［実施形態4］
【００８０】
図5に示されるように、暗号化情報をネゴシエートするための方法が、この実施形態において提供される。この方法においては、ICとISとの両方によって信頼されるICPは、ICとISとの両方によってサポートされる暗号化アルゴリズムを選択し、キーを生成し、またICおよびISに暗号化アルゴリズムおよびキーを通知する。本方法は、以下のステップを含んでいる。
【００８１】
501:ICPは、ICの入力能力(input capabilities)についての情報をICから取得する。入力能力についての情報は、ICによってサポートされるトランスポートプロトコルについての情報と、ICの暗号化機能についての情報とを含む。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、ICによってサポートされるキー長についての情報とを含む。キー長についての情報は、ICによってサポートされる最大キー長とすることができる。
【００８２】
本発明の実施形態をより明確に説明するために、ICPと、ICと、ISとの機能が、以下で簡単に紹介される。ISは、ホームネットワークにおいて他のデバイスのための情報入力サービスを提供し、ICは、ホームネットワークにおいてISからの情報を受信し、またICPは、ホームネットワークにおいてICとISとの間の入力機能の共有を実施するために制御を実行する。
【００８３】
このステップにおいては、ICPは、GetInputCapability()コマンドを通してICの入力能力についての情報を取得することができる。
【００８４】
502:ICPは、ISの入力能力についての情報をISから取得する。入力能力についての情報は、ISによってサポートされるトランスポートプロトコルについての情報と、ISの暗号化機能についての情報とを含む。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、ISによってサポートされるキー長についての情報とを含む。キー長についての情報は、ISによってサポートされる最大キー長とすることができる。
【００８５】
このステップにおいては、ICPは、GetInputCapability()コマンドを通してISの入力能力についての情報をISから取得することができる。
【００８６】
503:ICPは、ICの入力能力についての情報、およびISの入力能力についての情報に従ってICとISとの間のセッションを実行するために必要とされるセッションパラメータを決定する。セッションパラメータは、ICとISとの両方に適用可能なトランスポートプロトコルと、暗号化アルゴリズムと、キーとを含む。
【００８７】
このステップにおいて、ICおよびISに適用可能な暗号化アルゴリズムをICPによって決定することは、ICとISとの両方によってサポートされる暗号化アルゴリズムをICPによって選択することを意味する。このステップにおいて、ICPは、ICの暗号化機能についての情報およびISの暗号化機能についての情報に従ってキーを生成する。特に、ICPは、ICによってサポートされる最大キー長、およびISによってサポートされる最大キー長に従ってキーを生成し、その結果、生成されたキーがICとISとのキー長要件を満たすことが保証されるようになる。
【００８８】
504:ICPは、セッションパラメータに従ってICとISとの間のデータチャネルをセットアップする指示としてセッションパラメータをICに送信し、そうするとすぐにICは、応答メッセージをICPに送信する。
【００８９】
このステップにおいて、ICPは、セッションパラメータをICに送信し、したがって、ICは、セッションパラメータに従ってISに対するデータチャネルをセットアップし、次いでセッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、ICとISとの間で送信されるデータストリームを暗号化し、かつ/または解読する。
【００９０】
このステップにおいては、ICPは、SetInputSession(Capability,...)コマンドを使用して、セッションパラメータをICに送信することができる。SetInputSession(Capability,...)コマンド内の「Capability」は、セッションパラメータを意味する。
【００９１】
505:ICPは、セッションパラメータをISに送信し、したがって、ISは、セッションパラメータに従ってICに対するデータチャネルをセットアップし、次いでセッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、ICとISとの間で送信されるデータストリームを暗号化し、かつ/または解読する。
【００９２】
このステップにおいては、ICPは、SetInputSession(Capability,...)コマンドを使用して、セッションパラメータをISに送信することができる。
【００９３】
506:ICPは、送信するデータストリームを開始する指示として通知メッセージをISに送信する。
【００９４】
このステップにおいては、ICPは、アウトバンドモードにおいて送信するデータストリームを開始する指示としてStartInputSession()コマンドをISに送信する。
【００９５】
507:ISは、暗号化アルゴリズムおよびキーに従って送信されるべきデータストリームを暗号化し、データストリームを送信し、またICは、暗号化アルゴリズムおよびキーに従ってISから受信されるデータストリームを解読する。
【００９６】
508:セッションが終了しようとしているときに、ICPは、セッションを終了する指示として通知メッセージをICに送信する。
【００９７】
このステップにおいては、ICPは、StopInputSession()コマンドをICに送信して、セッションを終了する。
【００９８】
509:セッションが終了しようとしているときに、ICPは、セッションを終了する指示として通知メッセージをISに送信する。
【００９９】
このステップにおいては、ICPは、StopInputSession()コマンドをISに送信して、セッションを終了する。
【０１００】
実施形態4においては、ICおよびISによって信頼されるICPは、ICとISとの暗号化機能についての情報を取得し、ICとISとの両方によってサポートされる暗号化アルゴリズムを選択し、またキーを生成する。ICPは、ICおよびISにそれぞれ暗号化アルゴリズムおよびキーを送信する。データストリームの送信側(ICまたはIS)は、暗号化アルゴリズムおよびキーを使用して、送信されるべきデータストリームを暗号化し、またデータストリームの受信側(ISまたはIC)は、暗号化アルゴリズムおよびキーを使用して、受信されたデータストリームを解読し、これは、アウトバンドモードにおいてICとISとの間で送信されるデータストリームのセキュリティを保証する。
【０１０１】
［実施形態5］
【０１０２】
図6に示されるように、この実施形態において暗号化情報をネゴシエートするための方法は、以下のステップを含んでいる。
【０１０３】
601:第2のデバイスは、第1のデバイスの証明書情報を制御ポイントから受信する。
【０１０４】
例えば、制御ポイントが、TCPである場合、第1のデバイスは、TCであり、また第2のデバイスは、TSであり、あるいは第1のデバイスは、TSであり、また第2のデバイスは、TCである。
【０１０５】
このステップにおいては、TCPは、TCおよびTSによって許可される制御ポイントであり、TCおよびTSにアクセスする資格があり、例えば、SSLプロトコルまたはTLSプロトコルを通してそれぞれTCおよびTSに対するセキュア伝送チャネルをセットアップすることができる。したがって、このステップの前に、TCPは、TSおよびTCによって許可を得る必要がある。TCが、TCPがTCにアクセスすることを許可するときに、TCは、TCのACLにTCPのIDを記憶し、ここでTCPのIDは、TCPの証明書のハッシュ値とすることができる。同様に、TSが、TCPがTSにアクセスすることを許可するときに、TSは、TSのACLにTCPのIDを記憶し、ここでTCPのIDは、TCPの証明書のハッシュ値とすることができる。その後に、TSおよびTCは、TCPの証明書と、それぞれ記憶されたACLとに基づいて、許可されたTCPにアクセス可能である。
【０１０６】
代わりに、制御ポイントが、ICPである場合、第1のデバイスは、ICであり、また第2のデバイスは、ISであり、あるいは第1のデバイスは、ISであり、また第2のデバイスは、ICであってもよい。
【０１０７】
このステップにおいては、ICPは、ICおよびISによって許可される制御ポイントであり、ICおよびISにアクセスする資格があり、また例えば、SSLプロトコルまたはTLSプロトコルを通してそれぞれICおよびISに対するセキュア伝送チャネルをセットアップすることができる。したがって、このステップの前に、ICPは、ISおよびICによって許可を得る必要がある。ICが、ICPがICにアクセスすることを許可するときに、ICは、ICのACLにICPのIDを記憶し、ここでICPのIDは、ICPの証明書のハッシュ値とすることができる。同様に、ISが、ICPがISにアクセスすることを許可するときに、ISは、ISのACLにICPのIDを記憶し、ここでICPのIDは、ICPの証明書のハッシュ値とすることができる。その後に、ISおよびICは、ICPの証明書と、それぞれ記憶されたACLとに基づいて、許可されたICPにアクセス可能である。
【０１０８】
このステップにおいては、第2のデバイスが、第1のデバイスの証明書情報を制御ポイントから受信する前に、制御ポイントは、第1のデバイスの証明書情報を取得する必要がある。取得するモードは、それだけには限定されないが、制御ポイントが、第1のデバイスの証明書情報を第1のデバイスから取得すること、あるいは制御ポイントが、第1のデバイスについての証明書を生成し、それを第2のデバイスに送信し、証明書についての情報を第1のデバイスに送信することを含む。第1のデバイスの証明書情報は、第1のデバイスの証明書、または第1のデバイスの証明書のハッシュ値を含む。
【０１０９】
602:第2のデバイスは、第1のデバイスの証明書情報に従って第1のデバイスを認証する。
【０１１０】
603:第2のデバイスは、第1のデバイスを正常に認証した後に、第1のデバイスと暗号化情報をネゴシエートし、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０１１１】
本発明の実施形態5において、第2のデバイスは、制御ポイントを通して第1のデバイスの証明書情報を取得し、第1のデバイスを正常に認証した後に第1のデバイスと暗号化情報をネゴシエートし、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【０１１２】
［実施形態6］
【０１１３】
図7に示されるように、暗号化情報をネゴシエートするための方法が、この実施形態において提供される。この方法においては、TCとTSとの両方によって信頼されるTCPは、TCまたはTSのいずれかの証明書情報を取得し、その証明書情報をTSまたはTCに送信する。このようにして、TCおよびTSは、互いを認証し、暗号化アルゴリズムおよびキーをネゴシエートすることができる。本方法は、以下のステップを含んでいる。
【０１１４】
ステップ701から705は、第4の実施形態におけるステップ401から405と同じであり、その詳細は、本明細書において再び説明しない。
【０１１５】
706:TCPは、TCの証明書情報をTCから取得する。TCの証明書情報は、TCの証明書、またはTCの証明書のハッシュ値を含む。
【０１１６】
このステップにおいては、TCPは、GetDeiveAuthenticationInfo()コマンドを通してTCの証明書情報をTCから取得する。
【０１１７】
707:TCPは、TSの証明書情報をTSから取得する。TSの証明書情報は、TSの証明書、またはTSの証明書のハッシュ値を含む。
【０１１８】
このステップにおいては、TCPは、GetDeiveAuthenticationInfo()コマンドを通してTSの証明書情報をTSから取得する。
【０１１９】
708:TCPは、TSの証明書情報をTCに送信する。
【０１２０】
このステップにおいては、TCPは、SetDeiveAuthInfo(TSinfo,...)コマンドを通してTSの証明書情報をTCに送信することができ、ここで「TSinfo」は、TSの証明書情報を意味する。TSの証明書情報は、その後にTSを認証するためにTCによって使用される。
【０１２１】
709:TCPは、TCの証明書情報をTSに送信する。
【０１２２】
このステップにおいては、TCPは、SetDeiveAuthInfo(TSinfo,...)コマンドを通してTCの証明書情報をTSに送信することができ、ここで「TSinfo」は、TCの証明書情報を意味する。TCの証明書情報は、その後にTCを認証するためにTSによって使用される。
【０１２３】
710:TCPは、送信するデータストリームを開始する指示として通知メッセージをTSに送信する。
【０１２４】
このステップにおいては、TCPは、アウトバンドモードにおいて送信するデータストリームを開始する指示としてStartMediaSession()コマンドをTSに送信する。
【０１２５】
711:TSおよびTCは、相手方の証明書情報に従って互いを認証し、また認証が成功した後に暗号化アルゴリズムおよびキーをネゴシエートする。
【０１２６】
このステップにおいては、一方のパーティ(TSなど)は、他方のパーティ(TCなど)を以下のようにして認証することができる。TCは、その証明書の秘密キー(private key)を使用して、TCとTSとの両方に知られている情報セグメントを暗号化し、その情報セグメントに証明書を加え、また情報セグメントをTSに送信する。TSが、情報セグメントを受信した後に、ステップ709において取得されるTCの証明書情報が、TCの証明書のハッシュ値である場合、TSは、先ずTCの証明書についてのハッシュ演算を実行し、次いでその演算結果をステップ709において取得されるTCの証明書のハッシュ値と比較する。2つの値が同じである場合、TSは、TCの証明書内の公開キー(public key)を使用して、TCの秘密キーを通してTCによって暗号化される情報セグメントを解読し、解読された情報をあらかじめ知られている情報セグメントと比較し、また解読された情報が、知られている情報セグメントとマッチする場合に、TCを認証に合格するものと決定する。ステップ709において取得されるTCの証明書情報が、TCの証明書である場合、TSは、TCによって送信される証明書をステップ709において取得されるTCの証明書と直接に比較する。2つの証明書が同じである場合、TSは、TCの証明書内の公開キーを使用して、TCの秘密キーを通してTCによって暗号化される情報セグメントを解読し、その解読された情報をあらかじめ知られている情報セグメントと比較し、また解読された情報が、知られている情報セグメントとマッチする場合に、TCを認証に合格するものと決定する。TCは、TSを同じようにして認証し、その詳細は、本明細書において再び説明しない。
【０１２７】
暗号化アルゴリズムは、このようにしてTSおよびTCによってネゴシエートされることが可能であり、すなわち、TCは、TCによってサポートされる暗号化アルゴリズムをTSに報告し、またTSは、それに応じてTCとTSとの両方によってサポートされる暗号化アルゴリズムを選択する。
【０１２８】
TSおよびTCは、SSLプロトコルを使用して、キーをネゴシエートすることができる。例えば、TCおよびTSは、ハンドシェイクプロトコルを通して、キー交換アルゴリズムと、データ暗号化アルゴリズムと、ダイジェストアルゴリズムとをネゴシエートし、またネゴシエートされたキー交換アルゴリズムを使用して、TCおよびTSだけに知られているキーを生成する。
【０１２９】
712:TSは、暗号化アルゴリズムおよびキーに従って送信されるべきデータストリームを暗号化し、次いでデータストリームを送信し、またTCは、暗号化アルゴリズムおよびキーに従ってTSから受信されるデータストリームを解読し、あるいはTCは、暗号化アルゴリズムおよびキーに従って送信されるべきデータストリームを暗号化し、次いでデータストリームを送信し、またTSは、暗号化アルゴリズムおよびキーに従ってTCから受信されるデータストリームを解読する。
【０１３０】
713:セッションが終了しようとしているときに、TCPは、セッションを終了する指示として通知メッセージをTCに送信する。
【０１３１】
このステップにおいては、TCPは、StopMediaSession()コマンドをTCに送信して、セッションを終了する。
【０１３２】
714:セッションが終了しようとしているときに、TCPは、セッションを終了する指示として通知メッセージをTSに送信する。
【０１３３】
このステップにおいては、TCPは、StopMediaSession()コマンドをTSに送信して、セッションを終了する。
【０１３４】
本発明の実施形態6においては、TCおよびTSによって信頼されるTCPは、TCの証明書情報を取得し、それをTSに送信し、またTSの証明書情報を取得し、それをTCに送信する。TCおよびTSは、互いを正常に認証した後に暗号化アルゴリズムおよびキーをネゴシエートし、したがって、TCおよびTSは、暗号化アルゴリズムおよびキーを使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいてTCとTSとの間で送信されるデータストリームのセキュリティを保証する。
【０１３５】
［実施形態7］
【０１３６】
図8に示されるように、暗号化情報をネゴシエートするための方法が、この実施形態において提供される。この方法においては、TCとTSとの両方によって信頼されるTCPは、TCの証明書情報と、TSの証明書情報とを生成し、TSの証明書情報をTCに送信し、またTCの証明書情報をTSに送信する。このようにして、TCおよびTSは、互いを認証し、暗号化アルゴリズムおよびキーをネゴシエートすることができる。本方法は、以下のステップを含んでいる。
【０１３７】
ステップ801から805は、第4の実施形態におけるステップ401から405と同じであり、その詳細は、本明細書において再び説明しない。
【０１３８】
806:TCPは、TCの証明書を生成し、その証明書をTCに送信し、またTCの証明書情報をTSに送信する。証明書情報は、TCの証明書、またはTCの証明書のハッシュ値とすることができる。
【０１３９】
このステップにおいては、TCの証明書情報は、SetDeiveAuthInfo(TSinfo,...)コマンドを通してTSに送信されることが可能であり、ここで「TSinfo」は、TCの証明書情報を意味する。
【０１４０】
807:TCPは、TSの証明書を生成し、その証明書をTSに送信し、またTSの証明書情報をTCに送信する。証明書情報は、TSの証明書、またはTSの証明書のハッシュ値とすることができる。
【０１４１】
このステップにおいては、TSの証明書情報は、SetDeiveAuthInfo(TSinfo,...)コマンドを通してTCに送信されることが可能であり、ここで「TSinfo」は、TSの証明書情報を意味する。
【０１４２】
ステップ808から812は、ステップ710から714と同じであり、その詳細は、本明細書において再び説明しない。
【０１４３】
本発明の実施形態7においては、TCおよびTSによって信頼されるTCPは、TCの証明書を生成し、それをTCに送信し、TSの証明書を生成し、またそれをTSに送信し、TCの証明書のハッシュ値をTSに送信し、またTSの証明書のハッシュ値をTCに送信する。TCおよびTSは、互いを正常に認証した後に暗号化アルゴリズムおよびキーをネゴシエートし、したがって、TCおよびTSは、暗号化アルゴリズムおよびキーを使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいてTCとTSとの間で送信されるデータストリームのセキュリティを保証する。
【０１４４】
上記の実施形態6と実施形態7とにおいては、TCとTSとの両方によって信頼されるTCPは、TSの証明書情報をTCに送信し、TCの証明書情報をTSに送信する。このようにして、TCおよびTSは、互いを認証し、暗号化アルゴリズムおよびキーをネゴシエートすることができる。他の実施形態においては、ICとISとの両方によって信頼されるICPは、ISの証明書情報をICに送信することができ、またICの証明書情報をISに送信する。このようにして、ICおよびISは、互いを認証し、暗号化アルゴリズムおよびキーをネゴシエートすることができ、これはまた本発明の目的を達成する。
【０１４５】
［実施形態8］
【０１４６】
図9に示されるように、暗号化情報をネゴシエートするためのデバイスが、この実施形態において開示される。本デバイスは、TCおよびTSによって許可されるTCP、またはICおよびISによって許可されるICPとすることができ、本デバイスは、第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得するように構成された取得ユニット901と、第1のデバイスの暗号化機能についての情報および第2のデバイスの暗号化機能についての情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定するように構成された決定ユニット902と、第1のデバイスおよび第2のデバイスにそれぞれその決定された暗号化情報を送信するように構成された送信ユニット903と、を含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０１４７】
暗号化情報をネゴシエートするためのデバイスは、暗号化情報をネゴシエートするためのデバイスから第1のデバイスへの第1のセキュア伝送チャネルをセットアップし、暗号化情報をネゴシエートするためのデバイスから第2のデバイスへの第2のセキュア伝送チャネルをセットアップするように構成された通信ユニット904をさらに含んでいる。この場合に、取得ユニット901は、通信ユニット904によってセットアップされる第1のセキュア伝送チャネルを通して第1のデバイスの暗号化機能についての情報を取得し、通信ユニット904によってセットアップされる第2のセキュア伝送チャネルを通して第2のデバイスの暗号化機能についての情報を取得するように構成されている。送信ユニット903は、通信ユニット904によってセットアップされる第1のセキュア伝送チャネルを通して、決定された暗号化情報を第1のデバイスに送信し、通信ユニット904によってセットアップされる第2のセキュア伝送チャネルを通して、決定された暗号化情報を第2のデバイスに送信するように構成されている。
【０１４８】
暗号化情報は、暗号化アルゴリズムおよびキーを含み、または暗号化プロトコルを含むことができる。
【０１４９】
暗号化情報をネゴシエートするためのデバイスがTCPであるときに、第1のデバイスは、TCであり、また第2のデバイスは、TSであり、あるいは第1のデバイスは、TSであり、また第2のデバイスは、TCである。暗号化情報をネゴシエートするためのデバイスがICPであるときに、第1のデバイスは、ICであり、また第2のデバイスは、ISであり、あるいは第1のデバイスは、ISであり、また第2のデバイスは、ICである。
【０１５０】
実施形態8において、第1のデバイスおよび第2のデバイスによって信頼される暗号化情報をネゴシエートするためのデバイスは、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定し、また第1のデバイスおよび第2のデバイスにそれぞれ暗号化情報を通知し、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【０１５１】
［実施形態9］
【０１５２】
図10に示されるように、この実施形態において開示される暗号化情報をネゴシエートするためのデバイスは、第1のデバイスの証明書情報を制御ポイントから受信するように構成された受信ユニット1001であって、ここでTCPによって送信される第1のデバイスの証明書情報は、第1のデバイスからTCPによって取得され、または第1のデバイスについてのTCPによって生成される証明書についての情報である、受信ユニット1001と、第1のデバイスの証明書情報に従って第1のデバイスを認証するように構成された認証ユニット1002と、第1のデバイスを正常に認証した後に第1のデバイスと暗号化情報をネゴシエートするように構成されたネゴシエートユニット1003とを含み、ここで暗号化情報は、暗号化情報をネゴシエートするためのデバイスと第1のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０１５３】
制御ポイントが、TCPである場合、暗号化情報をネゴシエートするためのデバイスは、TCであり、また第1のデバイスは、TSであり、あるいは暗号化情報をネゴシエートするためのデバイスは、TSであり、また第1のデバイスは、TCである。代わりに、制御ポイントが、ICPである場合、暗号化情報をネゴシエートするためのデバイスは、ICであり、また第1のデバイスは、ISであり、あるいは暗号化情報をネゴシエートするためのデバイスは、ISであり、また第1のデバイスは、ICであってもよい。
【０１５４】
第1のデバイスの証明書情報は、第1のデバイスの証明書、または第1のデバイスの証明書のハッシュ値を含むことができる。
【０１５５】
本発明の実施形態9において、暗号化情報をネゴシエートするためのデバイスは、第1のデバイスの証明書情報を制御ポイントを通して取得し、第1のデバイスを正常に認証した後に適用可能な暗号化アルゴリズムおよびキーを第1のデバイスとネゴシエートし、したがって、第1のデバイスおよび第2のデバイスは、暗号化アルゴリズムおよびキーを使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【０１５６】
［実施形態10］
【０１５７】
この実施形態において提供されるネットワークシステムは、暗号化機能についての第1の情報と、暗号化機能についての第2の情報とを受信し、暗号化機能についての第1の情報および暗号化機能についての第2の情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定し、暗号化情報を送信するように構成された制御ポイントを含み、第1のデバイスは、暗号化機能についての第1の情報を制御ポイントに送信し、制御ポイントによって送信される暗号化情報を受信するように構成されており、暗号化機能についての第1の情報は、第1のデバイスの暗号化機能を示し、第2のデバイスは、暗号化機能についての第2の情報を制御ポイントに送信し、制御ポイントによって送信される暗号化情報を受信するように構成されており、ここで暗号化機能についての第2の情報は、第2のデバイスの暗号化機能を示し、また暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０１５８】
暗号化情報は、暗号化アルゴリズムおよびキーを含み、または暗号化プロトコルを含むことができる。暗号化情報が、暗号化プロトコルを含むときに、第1のデバイスは、さらに、暗号化プロトコルを使用することにより、暗号化アルゴリズムおよびキーを第2のデバイスとネゴシエートするように構成されており、また第2のデバイスは、さらに、暗号化プロトコルを使用することにより暗号化アルゴリズムおよびキーを第1のデバイスとネゴシエートするように構成されている。
【０１５９】
制御ポイントが、TCPである場合、第1のデバイスは、TCであり、また第2のデバイスは、TSであり、あるいは第1のデバイスは、TSであり、また第2のデバイスは、TCである。制御ポイントが、ICPである場合、第1のデバイスは、ICであり、また第2のデバイスは、ISであり、あるいは第1のデバイスは、ISであり、また第2のデバイスは、ICである。
【０１６０】
実施形態10においては、第1のデバイスおよび第2のデバイスによって信頼される制御ポイントは、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定し、また暗号化情報を第1のデバイスおよび第2のデバイスにそれぞれ通知し、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【０１６１】
［実施形態11］
【０１６２】
この実施形態において提供されるネットワークシステムは、第1の証明書情報を取得し、送信するように構成された制御ポイントと、制御ポイントによって送信される第1の証明書情報を受信し、第1の証明書情報に対応するデバイスを認証し、そのデバイスを正常に認証した後に第1の証明書情報に対応するデバイスと暗号化情報をネゴシエートするように構成された第2のデバイスであって、ここで第1の証明書情報は、第1のデバイスの証明書情報である、第2のデバイスと、第2のデバイスと暗号化情報をネゴシエートするように構成された、第1の証明書情報に対応する第1のデバイスと、を含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０１６３】
制御ポイントが、TCPである場合、第1のデバイスは、TCであり、また第2のデバイスは、TSであり、あるいは第1のデバイスは、TSであり、また第2のデバイスは、TCである。制御ポイントが、ICPである場合、第1のデバイスは、ICであり、また第2のデバイスは、ISであり、あるいは第1のデバイスは、ISであり、また第2のデバイスは、ICである。
【０１６４】
制御ポイントは、さらに、第1のデバイスの証明書情報を取得するように構成されており、取得するモードは、それだけには限定されないが、制御ポイントが、第1のデバイスから第1のデバイスの証明書情報を取得すること、または制御ポイントが、第1のデバイスについての証明書を生成し、それを第2のデバイスに送信し、また証明書についての情報を第1のデバイスに送信することを含む。第1のデバイスの証明書情報は、第1のデバイスの証明書、または第1のデバイスの証明書のハッシュ値を含む。
【０１６５】
本発明の実施形態11において、第2のデバイスは、第1のデバイスおよび第2のデバイスによって信頼される制御ポイントを通して第1のデバイスの証明書情報を取得し、また第1のデバイスを正常に認証した後に適用可能な暗号化アルゴリズムおよびキーを第1のデバイスとネゴシエートし、したがって、第1のデバイスおよび第2のデバイスは、暗号化アルゴリズムおよびキーを使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【０１６６】
本発明の実施形態における方法のステップの全部または一部が、関連のあるハードウェアに指示するプログラムによって実施され得ることを、当業者なら理解するはずである。プログラムは、ROM、磁気ディスク、CD-ROMなどのコンピュータ読取り可能記憶媒体に記憶することができる。
【０１６７】
暗号化情報をネゴシエートするための方法およびデバイスと、ネットワークシステムとが、上記に開示される。本発明は、例示の実施形態を通して説明されるが、本発明は、そのような実施形態だけに限定されない。当業者には、本発明の精神および範囲を逸脱することなく、本発明に対する修正および変形を行うことができることが明らかである。本発明は、添付の特許請求の範囲または均等物によって定義される保護の範囲に含まれるという条件で修正および変形をカバーすることが意図されている。
【符号の説明】
【０１６８】
201〜203 ステップ
301〜309 ステップ
401〜414 ステップ
501〜509 ステップ
601〜603 ステップ
701〜714 ステップ
801〜812 ステップ
901 取得ユニット
902 決定ユニット
903 送信ユニット
904 通信ユニット
1001 受信ユニット
1002 認証ユニット
1003 ネゴシエートユニット
【技術分野】
【０００１】
本発明は、通信技術の分野に関し、より詳細には、暗号化情報(encryption information)をネゴシエートするための(for negotiating)方法およびデバイスと、ネットワークシステムとに関する。
【０００２】
本出願は、2009年8月21日に中国専利局(Chinese Patent Office)に出願され、その全体が参照によって本明細書に組み込まれている「暗号化情報をネゴシエートするための方法およびデバイスと、ネットワークシステム(METHOD AND DEVICE FOR NEGOTIATING ENCRYPTION INFORMATION, AND NETWORK SYSTEM)」という名称の中国特許出願第200910167221.7号の優先権を主張するものである。
【背景技術】
【０００３】
通信技術の発達と共に、ユーザは、電話対応デバイスで電話サービスを使用するだけでなく、ホームネットワークにおいて電話サービスを共有することも期待する。ユニバーサルプラグアンドプレイ(UPnP)電話通信(telephony)規格においては、3つの機能エンティティ、すなわち電話通信サーバ(Telephony Server) (TS)、電話通信クライアント(Telephony Client) (TC)、および電話通信制御ポイント(Telephony Control Point) (TCP)が定義されている。TSは、ホームネットワークにおいて他のデバイスのための電話サービスを提供する。TCは、ホームネットワークにおいてTSからデータストリームを受信し、ユーザに対してデータストリーム情報を提示し、かつ/またはTSのためのデータストリームを提供する。TCPは、ホームネットワークにおいてTCとTSとの間の電話サービスの共有を実施するために制御を実行する。TCと、TSと、TCPとの間の接続関係は、図1に示されている。TCとTSとの間のデータストリームは、アウトバンドメカニズム(outband mechanism)を通して送信され、またTCとTSとの間で送信されるデータストリームは、メディアストリーム(media streams)および/またはショートメッセージを含んでいる。
【０００４】
従来技術においては、TCとTSとの間のデータストリームは、非合法のデバイスによって傍受され、または改ざんされることに対してぜい弱であり、安全ではない。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明の実施形態は、TCとTSとの間で送信されるデータストリームのセキュリティを保証するために暗号化情報をネゴシエートするための方法およびデバイスと、ネットワークシステムとを提供する。
【０００６】
そのような目的は、以下の技術的解決策を通して達成される。
【課題を解決するための手段】
【０００７】
暗号化情報をネゴシエートするための方法は、第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得するステップと、第1のデバイスの暗号化機能についての情報および第2のデバイスの暗号化機能についての情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定するステップと、第1のデバイスおよび第2のデバイスに暗号化情報を送信するステップとを含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０００８】
暗号化情報をネゴシエートするための方法は、第2のデバイスにより、制御ポイントから第1のデバイスの証明書情報を受信するステップと、第2のデバイスにより、第1のデバイスの証明書情報に従って第1のデバイスを認証するステップと、第2のデバイスにより、第1のデバイスを正常に認証した後に第1のデバイスと暗号化情報をネゴシエートするステップとを含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０００９】
暗号化情報をネゴシエートするためのデバイスは、第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得するように構成された取得ユニットと、第1のデバイスの暗号化機能についての情報および第2のデバイスの暗号化機能についての情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定するように構成された決定ユニットと、第1のデバイスおよび第2のデバイスにそれぞれ決定された暗号化情報を送信するように構成された送信ユニットと、を含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【００１０】
暗号化情報をネゴシエートするためのデバイスは、制御ポイントから第1のデバイスの証明書情報を受信するように構成された受信ユニットと、第1のデバイスの証明書情報に従って第1のデバイスを認証するように構成された認証ユニットと、第1のデバイスを正常に認証した後に第1のデバイスと暗号化情報をネゴシエートするように構成されたネゴシエートユニットとを含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【００１１】
ネットワークシステムは、暗号化機能についての第1の情報と、暗号化機能についての第2の情報とを受信し、暗号化機能についての第1の情報および暗号化機能についての第2の情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定し、暗号化情報を送信するように構成された制御ポイントを含み、第1のデバイスは、暗号化機能についての第1の情報を制御ポイントに送信し、制御ポイントによって送信される暗号化情報を受信するように構成されており、ここで暗号化機能についての第1の情報は、第1のデバイスの暗号化機能を示し、第2のデバイスは、暗号化機能についての第2の情報を制御ポイントに送信し、制御ポイントによって送信される暗号化情報を受信するように構成されており、ここで暗号化機能についての第2の情報は、第2のデバイスの暗号化機能を示し、また暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【００１２】
ネットワークシステムは、第1の証明書情報を取得し、送信するように構成された制御ポイントと、制御ポイントによって送信される第1の証明書情報を受信し、第1の証明書情報に対応するデバイスを認証し、デバイスを正常に認証した後に第1の証明書情報に対応するデバイスと暗号化情報をネゴシエートするように構成された第2のデバイスと、第2のデバイスと暗号化情報をネゴシエートするように構成された、第1の証明書情報に対応する第1のデバイスとを含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【発明の効果】
【００１３】
本発明の一実施形態においては、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報は、第1のデバイスおよび第2のデバイスの暗号化機能についての情報に従って決定され、また第1のデバイスおよび第2のデバイスにそれぞれ送信され、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【００１４】
本発明の別の実施形態においては、第2のデバイスは、制御ポイントを通して第1のデバイスの証明書情報を取得し、第1のデバイスを正常に認証した後に第1のデバイスと暗号化情報をネゴシエートし、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【００１５】
本発明の下の技術的解決策をより明確にするために、本発明の実施形態の説明に必要とされる添付図面が、以下で概説される。明らかに、以下で概説される添付図面は、網羅的なものではなく、当業者は、創造的などのような努力もなしに添付図面から他の図面を導き出すことができる。
【図面の簡単な説明】
【００１６】
【図１】従来技術におけるホームネットワークの構造図である。
【図２】本発明の第1の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図３】本発明の第2の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図４】本発明の第3の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図５】本発明の第4の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図６】本発明の第5の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図７】本発明の第6の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図８】本発明の第7の実施形態による、暗号化情報をネゴシエートするための方法のフローチャートである。
【図９】本発明の第8の実施形態による、暗号化情報をネゴシエートするためのデバイスの構造図である。
【図１０】本発明の第9の実施形態による、暗号化情報をネゴシエートするためのデバイスの構造図である。
【発明を実施するための形態】
【００１７】
［実施形態1］
【００１８】
図2に示されるように、本実施形態において暗号化情報をネゴシエートするための方法は、以下のステップを含んでいる。
【００１９】
201:第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得する。
【００２０】
このステップに続くステップ202およびステップ203は、制御ポイントによって実行される。
【００２１】
制御ポイントが、TCPである場合、第1のデバイスは、TCであり、また第2のデバイスは、TSであり、あるいは第1のデバイスは、TSであり、また第2のデバイスは、TCである。
【００２２】
このステップにおけるTCPは、TCおよびTSによって許可される制御ポイントであり、TCおよびTSにアクセスする資格がある。したがって、このステップの前に、TCPは、TSおよびTCによって許可を得る必要がある。TCが、TCPがTCにアクセスすることを許可するときに、TCは、TCのアクセス制御リスト(Access Control List) (ACL)にTCPの識別子(Identifier) (ID)を記憶し、ここでTCPのIDは、TCPの証明書のハッシュ値とすることができる。同様に、TSが、TCPがTSにアクセスすることを許可するときに、TSは、TSのACLにTCPのIDを記憶し、ここでTCPのIDは、TCPの証明書のハッシュ値とすることができる。その後に、TSおよびTCは、TCPの証明書と、それぞれ記憶されたACLとに基づいて、許可されたTCPにアクセス可能である。このステップにおいて、TCおよびTSによって許可されるTCPは、TCにアクセスすることによりTCの暗号化機能についての情報を取得し、TSにアクセスすることによりTSの暗号化機能についての情報を取得する。
【００２３】
制御ポイントが、入力制御ポイント(Input Control Point) (ICP)である場合、第1のデバイスは、入力クライアント(Input Client) (IC)であり、また第2のデバイスは、入力サーバ(IS)であり、あるいは第1のデバイスは、ISであり、また第2のデバイスは、ICである。
【００２４】
このステップにおけるICPは、ICおよびISによって許可される制御ポイントであり、ICおよびISにアクセスする資格がある。したがって、このステップの前に、ICPは、ISおよびICによって許可を得る必要がある。ICが、ICPがICにアクセスすることを許可するときに、ICは、ICのACLにICPの識別子IDを記憶し、ここでICPのIDは、ICPの証明書のハッシュ値とすることができる。同様に、ISが、ICPがISにアクセスすることを許可するときに、ISは、ISのACLにICPのIDを記憶し、ここでICPのIDは、ICPの証明書のハッシュ値とすることができる。その後に、ISおよびICは、ICPの証明書と、それぞれ記憶されたACLとに基づいて、許可されたICPにアクセス可能である。このステップにおいて、ICおよびISによって許可されるICPは、ICにアクセスすることによりICの暗号化機能についての情報を取得し、またISにアクセスすることによりISの暗号化機能についての情報を取得する。
【００２５】
このステップにおいて、第1のデバイスの暗号化機能についての情報は、トランスポートプロトコルと、暗号化プロトコルと、暗号化アルゴリズムと、最大パスワード長とを含むことができ、これらは、第1のデバイスによってサポートされ、また第2のデバイスの暗号化機能についての情報は、トランスポートプロトコルと、暗号化プロトコルと、暗号化アルゴリズムと、最大パスワード長とを含むことができ、これらは、TSによってサポートされる。
【００２６】
202:第1のデバイスの暗号化機能についての情報および第2のデバイスの暗号化機能についての情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定する。暗号化情報は、暗号化アルゴリズム(次世代標準暗号方式(Advanced Encryption Standard) (AES)やデータ暗号化規格(Data Encryption Standard) (DES)など)とキーとを含んでおり、または暗号化情報は、セキュアソケットレイヤ(Secure Socket Layer) (SSL)プロトコルなどの暗号化プロトコルを含んでいる。
【００２７】
暗号化情報が、暗号化プロトコルを含む場合、第1のデバイスおよび第2のデバイスは、その後に暗号化プロトコルに従って暗号化アルゴリズムおよびキーをネゴシエートし、また通信データストリームの暗号化された伝送を実施して、第1のデバイスと第2のデバイスとの間の通信のセキュリティを保証する。例えば、SSLプロトコルが適用される場合、第1のデバイスおよび第2のデバイスは、キー交換アルゴリズム、データ暗号化アルゴリズム、およびダイジェストアルゴリズムをハンドシェイクプロトコルを通してネゴシエートし、ネゴシエートされたキー交換アルゴリズムを使用することにより、第1のデバイスと第2のデバイスとだけに知られているキーを生成する。
【００２８】
203:第1のデバイスおよび第2のデバイスにそれぞれ決定された暗号化情報を送信し、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【００２９】
制御ポイントと第1のデバイス/第2のデバイスとの間の情報が、非合法のデバイスによって傍受されないようにするために、ステップ201の前に、第1のデバイスおよび第2のデバイスによって許可されるように、制御ポイントは、例えば、SSLプロトコルまたはトランスポートレイヤセキュリティ(Transport Layer Security) (TLS)プロトコルを通してそれぞれ第1のデバイスおよび第2のデバイスに対するセキュア伝送チャネル(secure transmission channel)をセットアップすることができる。制御ポイントは、第1のデバイスの暗号化機能についての情報を第1のデバイスに対するセキュア伝送チャネルを通して取得し、第2のデバイスの暗号化機能についての情報を第2のデバイスに対するセキュア伝送チャネルを通して取得し、第1のデバイスに対するセキュア伝送チャネルを通して第1のデバイスに暗号化情報を送信し、第2のデバイスに対するセキュア伝送チャネルを通して第2のデバイスに暗号化情報を送信する。
【００３０】
実施形態1においては、暗号化情報は、第1のデバイスおよび第2のデバイスの暗号化機能についての情報に従って決定され、第1のデバイスおよび第2のデバイスにそれぞれ送信され、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読し、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【００３１】
［実施形態2］
【００３２】
図3に示されるように、暗号化情報をネゴシエートするための方法が、この実施形態において提供される。この方法においては、TCとTSとの両方によって信頼されるTCPは、TCとTSとの両方によってサポートされる暗号化アルゴリズムを選択し、キーを生成し、またTCおよびTSに暗号化アルゴリズムおよびキーを通知する。本方法は、以下のステップを含んでいる。
【００３３】
301:TCPは、TCのメディア能力(media capabilities)についての情報をTCから取得する。メディア能力についての情報は、TCによってサポートされるトランスポートプロトコルについての情報と、TCの暗号化機能についての情報とを含む。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、TCによってサポートされるキー長(key length)についての情報とを含む。キー長についての情報は、TCによってサポートされる最大キー長とすることができる。
【００３４】
このステップにおいては、TCPは、GetMediaSessionCapability()コマンドを通してTCのメディア能力についての情報を取得することができる。
【００３５】
302:TCPは、TSからTSのメディア能力についての情報を取得する。メディア能力についての情報は、TSによってサポートされるトランスポートプロトコルについての情報と、TSの暗号化機能についての情報とを含む。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、TSによってサポートされるキー長についての情報とを含む。キー長についての情報は、TSによってサポートされる最大キー長とすることができる。
【００３６】
このステップにおいて、TCPは、GetMediaSessionCapability()コマンドを通してTSからTSのメディア能力についての情報を取得することができる。
【００３７】
303:TCPは、TCのメディア能力についての情報およびTSのメディア能力についての情報に従ってTCとTSとの間のセッションを実行するために必要とされるセッションパラメータを決定する。セッションパラメータは、TCとTSとの両方に適用可能なトランスポートプロトコルと、暗号化アルゴリズムと、キーとを含む。
【００３８】
このステップにおいて、TCおよびTSに適用可能な暗号化アルゴリズムをTCPによって決定することは、TCとTSとの両方によってサポートされる暗号化アルゴリズムをTCPによって選択することを意味する。このステップにおいて、TCPは、TCの暗号化機能についての情報およびTSの暗号化機能についての情報に従ってキーを生成する。特に、TCPは、TCによってサポートされる最大キー長、およびTSによってサポートされる最大キー長に従ってキーを生成し、その結果、生成されたキーがTCおよびTSのキー長要件を満たすことが保証されるようになる。
【００３９】
304:TCPは、セッションパラメータに従ってTCとTSとの間のデータチャネルをセットアップする指示としてセッションパラメータをTCに送信し、そうするとすぐにTCは、応答メッセージをTCPに送信する。
【００４０】
このステップにおいて、TCPは、セッションパラメータをTCに送信し、したがって、TCは、セッションパラメータに従ってTSに対するデータチャネルをセットアップし、次いでセッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、TCとTSとの間で送信されるデータストリームを暗号化し、かつ/または解読する。
【００４１】
このステップにおいては、TCPは、SetMediaSession(MediaCapability,...)コマンドを使用して、セッションパラメータをTCに送信することができる。
【００４２】
SetMediaSession(MediaCapability,...)コマンド内の「MediaCapability」は、セッションパラメータを意味する。
【００４３】
305:TCPは、セッションパラメータをTSに送信し、したがって、TSは、セッションパラメータに従ってTCに対するデータチャネルをセットアップし、次いでセッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、TCとTSとの間で送信されるデータストリームを暗号化し、かつ/または解読する。
【００４４】
このステップにおいて、TCPは、SetMediaSession(MediaCapability,...)コマンドを使用して、セッションパラメータをTSに送信することができる。
【００４５】
306:TCPは、送信するデータストリームを開始する指示として通知メッセージをTSに送信する。
【００４６】
このステップにおいて、TCPは、アウトバンドモードにおいて送信するデータストリームを開始する指示としてStartMediaSession()コマンドをTSに送信する。
【００４７】
307:TSは、暗号化アルゴリズムおよびキーに従って送信されるべきデータストリームを暗号化し、次いでデータストリームを送信し、またTCは、暗号化アルゴリズムおよびキーに従ってTSから受信されるデータストリームを解読し、あるいはTCは、暗号化アルゴリズムおよびキーに従って送信されるべきデータストリームを暗号化し、次いでデータストリームを送信し、またTSは、暗号化アルゴリズムおよびキーに従ってTCから受信されたデータストリームを解読する。
【００４８】
308:セッションが終了しようとしているときに、TCPは、セッションを終了する指示として通知メッセージをTCに送信する。
【００４９】
このステップにおいては、TCPは、StopMediaSession()コマンドをTCに送信して、セッションを終了する。
【００５０】
309:セッションが終了しようとしているときに、TCPは、セッションを終了する指示として通知メッセージをTSに送信する。
【００５１】
このステップにおいては、TCPは、StopMediaSession()コマンドをTSに送信して、セッションを終了する。
【００５２】
ステップ301から309におけるメッセージは、セキュア伝送チャネルにおいて送信され、このセキュア伝送チャネルは、メッセージ内容が、非合法のデバイスによって傍受されないようにすることに留意されたい。したがって、非合法のデバイスは、キーを知ることができない。
【００５３】
実施形態2においては、TCおよびTSによって信頼されるTCPは、TCおよびTSの暗号化機能についての情報を取得し、TCとTSとの両方によってサポートされる暗号化アルゴリズムを選択し、またキーを生成する。TCPは、TCおよびTSにそれぞれ暗号化アルゴリズムおよびキーを送信する。それによって、データストリームの送信側(TCまたはTS)は、暗号化アルゴリズムおよびキーを使用して、送信されるべきデータストリームを暗号化し、またデータストリームの受信側(TSまたはTC)は、暗号化アルゴリズムおよびキーを使用して、受信されたデータストリームを解読し、これは、アウトバンドモードにおいてTCとTSとの間で送信されるデータストリームのセキュリティを保証する。
【００５４】
［実施形態3］
【００５５】
図4に示されるように、暗号化情報をネゴシエートするための方法が、この実施形態において提供される。この実施形態は、GetencryptCapability()コマンドを使用して、TCおよびTSの暗号化機能についての情報を取得し、Setencrypt()コマンドを使用して、暗号化アルゴリズムおよびキーをTCおよびTSに送信するという点において、第2の実施形態とは異なる。本方法は、以下のステップを含んでいる。
【００５６】
401:TCPは、TCのメディア能力についての情報をTCから取得する。メディア能力についての情報は、TCによってサポートされるトランスポートプロトコルについての情報を含んでいる。
【００５７】
このステップにおいては、TCPは、GetMediaSessionCapability()コマンドを通してTCのメディア能力についての情報を取得することができる。
【００５８】
402:TCPは、TSのメディア能力についての情報をTSから取得する。メディア能力についての情報は、TSによってサポートされるトランスポートプロトコルについての情報を含んでいる。
【００５９】
このステップにおいては、TCPは、GetMediaSessionCapability()コマンドを通してTSのメディア能力についての情報をTSから取得することができる。
【００６０】
403:TCPは、TCのメディア能力についての情報およびTSのメディア能力についての情報に従ってTCとTSとの間のセッションを実行するために必要とされるセッションパラメータを決定する。セッションパラメータは、TCとTSとの両方によってサポートされるトランスポートプロトコルを含んでいる。
【００６１】
404:TCPは、セッションパラメータに従ってTCとTSとの間のデータチャネルをセットアップする指示としてセッションパラメータをTCに送信し、そうするとすぐにTCは、応答メッセージをTCPに送信する。
【００６２】
このステップにおいては、TCPは、SetMediaSession(MediaCapability,...)コマンドを使用して、セッションパラメータをTCに送信することができる。
【００６３】
SetMediaSession(MediaCapability,...)コマンド内の「MediaCapability」は、セッションパラメータを意味する。
【００６４】
405:TCPは、セッションパラメータに従ってTSおよびTCの間のデータチャネルをセットアップする指示としてセッションパラメータをTSに送信する。
【００６５】
このステップにおいては、TCPは、SetMediaSession(MediaCapability,...)コマンドを使用して、セッションパラメータをTSに送信することができる。
【００６６】
406:TCPは、TCの暗号化機能についての情報をTCから取得する。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、TCによってサポートされるキー長についての情報とを含む。キー長についての情報は、TCによってサポートされる最大キー長とすることができる。
【００６７】
このステップにおいて、TCPは、GetencryptCapability()コマンドを通してTCの暗号化機能についての情報をTCから取得することができる。
【００６８】
407:TCPは、TSの暗号化機能についての情報をTSから取得する。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、TSによってサポートされるキー長についての情報とを含む。キー長についての情報は、TSによってサポートされる最大キー長とすることができる。
【００６９】
このステップにおいて、TCPは、GetencryptCapability()コマンドを通してTSの暗号化機能についての情報をTSから取得することができる。
【００７０】
408:TCPは、TCおよびTSの暗号化機能についての情報に従ってTCおよびTSに適用可能な暗号化アルゴリズムを決定し、キーを生成する。
【００７１】
409:TCPは、決定された暗号化アルゴリズムおよびキーをTCに通知し、したがって、TCは、その後に、セッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、TCとTSとの間で送信されるデータストリームを暗号化し、かつ/または解読することができる。
【００７２】
このステップにおいては、TCPは、暗号化アルゴリズムおよびキーを搬送するSetencrypt(encryptCapability,...)コマンドをTCに送信し、ここで「encryptCapability」は、暗号化アルゴリズムおよびキーを意味する。
【００７３】
410:TCPは、決定された暗号化アルゴリズムおよびキーをTSに通知し、したがって、TSは、その後に、セッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、TCとTSとの間で送信されるデータストリームを暗号化し、かつ/または解読することができる。
【００７４】
このステップにおいては、TCPは、暗号化アルゴリズムおよびキーを搬送するSetencrypt(encryptCapability,...)コマンドをTSに送信し、ここで「encryptCapability」は、暗号化アルゴリズムおよびキーを意味する。
【００７５】
ステップ411から414は、ステップ306から309と同じであり、その詳細は、本明細書においては再び説明されることはない。
【００７６】
ステップ401から415におけるメッセージは、セキュア伝送チャネルにおいて送信され、このセキュア伝送チャネルは、メッセージ内容が、非合法のデバイスによって傍受されないようにすることに留意されたい。したがって、非合法のデバイスは、キーを知ることができない。
【００７７】
実施形態3においては、TCおよびTSによって信頼されるTCPは、TCおよびTSの暗号化機能についての情報を取得し、TCとTSとの両方によってサポートされる暗号化アルゴリズムを選択し、またキーを生成する。TCPは、TCおよびTSにそれぞれ暗号化アルゴリズムおよびキーを送信する。それによって、データストリームの送信側(TCまたはTS)は、暗号化アルゴリズムおよびキーを使用して、送信されるべきデータストリームを暗号化し、またデータストリームの受信側(TSまたはTC)は、暗号化アルゴリズムおよびキーを使用して、受信されたデータストリームを解読し、これは、アウトバンドモードにおいてTCとTSとの間で送信されるデータストリームのセキュリティを保証する。
【００７８】
TSおよびTCからそれぞれTCPによって取得される暗号化機能についての情報は、暗号化プロトコルを含むことができることに留意されたい。TCPは、TSおよびTCに適用可能な暗号化プロトコルを決定し、また決定された暗号化プロトコルについての情報をTCおよびTSにそれぞれ送信する。その後に、TCおよびTSは、暗号化プロトコルに従って暗号化アルゴリズムおよびキーをネゴシエートし、これはまた、本発明の目的を達成する。
【００７９】
［実施形態4］
【００８０】
図5に示されるように、暗号化情報をネゴシエートするための方法が、この実施形態において提供される。この方法においては、ICとISとの両方によって信頼されるICPは、ICとISとの両方によってサポートされる暗号化アルゴリズムを選択し、キーを生成し、またICおよびISに暗号化アルゴリズムおよびキーを通知する。本方法は、以下のステップを含んでいる。
【００８１】
501:ICPは、ICの入力能力(input capabilities)についての情報をICから取得する。入力能力についての情報は、ICによってサポートされるトランスポートプロトコルについての情報と、ICの暗号化機能についての情報とを含む。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、ICによってサポートされるキー長についての情報とを含む。キー長についての情報は、ICによってサポートされる最大キー長とすることができる。
【００８２】
本発明の実施形態をより明確に説明するために、ICPと、ICと、ISとの機能が、以下で簡単に紹介される。ISは、ホームネットワークにおいて他のデバイスのための情報入力サービスを提供し、ICは、ホームネットワークにおいてISからの情報を受信し、またICPは、ホームネットワークにおいてICとISとの間の入力機能の共有を実施するために制御を実行する。
【００８３】
このステップにおいては、ICPは、GetInputCapability()コマンドを通してICの入力能力についての情報を取得することができる。
【００８４】
502:ICPは、ISの入力能力についての情報をISから取得する。入力能力についての情報は、ISによってサポートされるトランスポートプロトコルについての情報と、ISの暗号化機能についての情報とを含む。暗号化機能についての情報は、暗号化アルゴリズムについての情報と、ISによってサポートされるキー長についての情報とを含む。キー長についての情報は、ISによってサポートされる最大キー長とすることができる。
【００８５】
このステップにおいては、ICPは、GetInputCapability()コマンドを通してISの入力能力についての情報をISから取得することができる。
【００８６】
503:ICPは、ICの入力能力についての情報、およびISの入力能力についての情報に従ってICとISとの間のセッションを実行するために必要とされるセッションパラメータを決定する。セッションパラメータは、ICとISとの両方に適用可能なトランスポートプロトコルと、暗号化アルゴリズムと、キーとを含む。
【００８７】
このステップにおいて、ICおよびISに適用可能な暗号化アルゴリズムをICPによって決定することは、ICとISとの両方によってサポートされる暗号化アルゴリズムをICPによって選択することを意味する。このステップにおいて、ICPは、ICの暗号化機能についての情報およびISの暗号化機能についての情報に従ってキーを生成する。特に、ICPは、ICによってサポートされる最大キー長、およびISによってサポートされる最大キー長に従ってキーを生成し、その結果、生成されたキーがICとISとのキー長要件を満たすことが保証されるようになる。
【００８８】
504:ICPは、セッションパラメータに従ってICとISとの間のデータチャネルをセットアップする指示としてセッションパラメータをICに送信し、そうするとすぐにICは、応答メッセージをICPに送信する。
【００８９】
このステップにおいて、ICPは、セッションパラメータをICに送信し、したがって、ICは、セッションパラメータに従ってISに対するデータチャネルをセットアップし、次いでセッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、ICとISとの間で送信されるデータストリームを暗号化し、かつ/または解読する。
【００９０】
このステップにおいては、ICPは、SetInputSession(Capability,...)コマンドを使用して、セッションパラメータをICに送信することができる。SetInputSession(Capability,...)コマンド内の「Capability」は、セッションパラメータを意味する。
【００９１】
505:ICPは、セッションパラメータをISに送信し、したがって、ISは、セッションパラメータに従ってICに対するデータチャネルをセットアップし、次いでセッションパラメータ内に示される暗号化アルゴリズムおよびキーを使用することにより、ICとISとの間で送信されるデータストリームを暗号化し、かつ/または解読する。
【００９２】
このステップにおいては、ICPは、SetInputSession(Capability,...)コマンドを使用して、セッションパラメータをISに送信することができる。
【００９３】
506:ICPは、送信するデータストリームを開始する指示として通知メッセージをISに送信する。
【００９４】
このステップにおいては、ICPは、アウトバンドモードにおいて送信するデータストリームを開始する指示としてStartInputSession()コマンドをISに送信する。
【００９５】
507:ISは、暗号化アルゴリズムおよびキーに従って送信されるべきデータストリームを暗号化し、データストリームを送信し、またICは、暗号化アルゴリズムおよびキーに従ってISから受信されるデータストリームを解読する。
【００９６】
508:セッションが終了しようとしているときに、ICPは、セッションを終了する指示として通知メッセージをICに送信する。
【００９７】
このステップにおいては、ICPは、StopInputSession()コマンドをICに送信して、セッションを終了する。
【００９８】
509:セッションが終了しようとしているときに、ICPは、セッションを終了する指示として通知メッセージをISに送信する。
【００９９】
このステップにおいては、ICPは、StopInputSession()コマンドをISに送信して、セッションを終了する。
【０１００】
実施形態4においては、ICおよびISによって信頼されるICPは、ICとISとの暗号化機能についての情報を取得し、ICとISとの両方によってサポートされる暗号化アルゴリズムを選択し、またキーを生成する。ICPは、ICおよびISにそれぞれ暗号化アルゴリズムおよびキーを送信する。データストリームの送信側(ICまたはIS)は、暗号化アルゴリズムおよびキーを使用して、送信されるべきデータストリームを暗号化し、またデータストリームの受信側(ISまたはIC)は、暗号化アルゴリズムおよびキーを使用して、受信されたデータストリームを解読し、これは、アウトバンドモードにおいてICとISとの間で送信されるデータストリームのセキュリティを保証する。
【０１０１】
［実施形態5］
【０１０２】
図6に示されるように、この実施形態において暗号化情報をネゴシエートするための方法は、以下のステップを含んでいる。
【０１０３】
601:第2のデバイスは、第1のデバイスの証明書情報を制御ポイントから受信する。
【０１０４】
例えば、制御ポイントが、TCPである場合、第1のデバイスは、TCであり、また第2のデバイスは、TSであり、あるいは第1のデバイスは、TSであり、また第2のデバイスは、TCである。
【０１０５】
このステップにおいては、TCPは、TCおよびTSによって許可される制御ポイントであり、TCおよびTSにアクセスする資格があり、例えば、SSLプロトコルまたはTLSプロトコルを通してそれぞれTCおよびTSに対するセキュア伝送チャネルをセットアップすることができる。したがって、このステップの前に、TCPは、TSおよびTCによって許可を得る必要がある。TCが、TCPがTCにアクセスすることを許可するときに、TCは、TCのACLにTCPのIDを記憶し、ここでTCPのIDは、TCPの証明書のハッシュ値とすることができる。同様に、TSが、TCPがTSにアクセスすることを許可するときに、TSは、TSのACLにTCPのIDを記憶し、ここでTCPのIDは、TCPの証明書のハッシュ値とすることができる。その後に、TSおよびTCは、TCPの証明書と、それぞれ記憶されたACLとに基づいて、許可されたTCPにアクセス可能である。
【０１０６】
代わりに、制御ポイントが、ICPである場合、第1のデバイスは、ICであり、また第2のデバイスは、ISであり、あるいは第1のデバイスは、ISであり、また第2のデバイスは、ICであってもよい。
【０１０７】
このステップにおいては、ICPは、ICおよびISによって許可される制御ポイントであり、ICおよびISにアクセスする資格があり、また例えば、SSLプロトコルまたはTLSプロトコルを通してそれぞれICおよびISに対するセキュア伝送チャネルをセットアップすることができる。したがって、このステップの前に、ICPは、ISおよびICによって許可を得る必要がある。ICが、ICPがICにアクセスすることを許可するときに、ICは、ICのACLにICPのIDを記憶し、ここでICPのIDは、ICPの証明書のハッシュ値とすることができる。同様に、ISが、ICPがISにアクセスすることを許可するときに、ISは、ISのACLにICPのIDを記憶し、ここでICPのIDは、ICPの証明書のハッシュ値とすることができる。その後に、ISおよびICは、ICPの証明書と、それぞれ記憶されたACLとに基づいて、許可されたICPにアクセス可能である。
【０１０８】
このステップにおいては、第2のデバイスが、第1のデバイスの証明書情報を制御ポイントから受信する前に、制御ポイントは、第1のデバイスの証明書情報を取得する必要がある。取得するモードは、それだけには限定されないが、制御ポイントが、第1のデバイスの証明書情報を第1のデバイスから取得すること、あるいは制御ポイントが、第1のデバイスについての証明書を生成し、それを第2のデバイスに送信し、証明書についての情報を第1のデバイスに送信することを含む。第1のデバイスの証明書情報は、第1のデバイスの証明書、または第1のデバイスの証明書のハッシュ値を含む。
【０１０９】
602:第2のデバイスは、第1のデバイスの証明書情報に従って第1のデバイスを認証する。
【０１１０】
603:第2のデバイスは、第1のデバイスを正常に認証した後に、第1のデバイスと暗号化情報をネゴシエートし、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０１１１】
本発明の実施形態5において、第2のデバイスは、制御ポイントを通して第1のデバイスの証明書情報を取得し、第1のデバイスを正常に認証した後に第1のデバイスと暗号化情報をネゴシエートし、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【０１１２】
［実施形態6］
【０１１３】
図7に示されるように、暗号化情報をネゴシエートするための方法が、この実施形態において提供される。この方法においては、TCとTSとの両方によって信頼されるTCPは、TCまたはTSのいずれかの証明書情報を取得し、その証明書情報をTSまたはTCに送信する。このようにして、TCおよびTSは、互いを認証し、暗号化アルゴリズムおよびキーをネゴシエートすることができる。本方法は、以下のステップを含んでいる。
【０１１４】
ステップ701から705は、第4の実施形態におけるステップ401から405と同じであり、その詳細は、本明細書において再び説明しない。
【０１１５】
706:TCPは、TCの証明書情報をTCから取得する。TCの証明書情報は、TCの証明書、またはTCの証明書のハッシュ値を含む。
【０１１６】
このステップにおいては、TCPは、GetDeiveAuthenticationInfo()コマンドを通してTCの証明書情報をTCから取得する。
【０１１７】
707:TCPは、TSの証明書情報をTSから取得する。TSの証明書情報は、TSの証明書、またはTSの証明書のハッシュ値を含む。
【０１１８】
このステップにおいては、TCPは、GetDeiveAuthenticationInfo()コマンドを通してTSの証明書情報をTSから取得する。
【０１１９】
708:TCPは、TSの証明書情報をTCに送信する。
【０１２０】
このステップにおいては、TCPは、SetDeiveAuthInfo(TSinfo,...)コマンドを通してTSの証明書情報をTCに送信することができ、ここで「TSinfo」は、TSの証明書情報を意味する。TSの証明書情報は、その後にTSを認証するためにTCによって使用される。
【０１２１】
709:TCPは、TCの証明書情報をTSに送信する。
【０１２２】
このステップにおいては、TCPは、SetDeiveAuthInfo(TSinfo,...)コマンドを通してTCの証明書情報をTSに送信することができ、ここで「TSinfo」は、TCの証明書情報を意味する。TCの証明書情報は、その後にTCを認証するためにTSによって使用される。
【０１２３】
710:TCPは、送信するデータストリームを開始する指示として通知メッセージをTSに送信する。
【０１２４】
このステップにおいては、TCPは、アウトバンドモードにおいて送信するデータストリームを開始する指示としてStartMediaSession()コマンドをTSに送信する。
【０１２５】
711:TSおよびTCは、相手方の証明書情報に従って互いを認証し、また認証が成功した後に暗号化アルゴリズムおよびキーをネゴシエートする。
【０１２６】
このステップにおいては、一方のパーティ(TSなど)は、他方のパーティ(TCなど)を以下のようにして認証することができる。TCは、その証明書の秘密キー(private key)を使用して、TCとTSとの両方に知られている情報セグメントを暗号化し、その情報セグメントに証明書を加え、また情報セグメントをTSに送信する。TSが、情報セグメントを受信した後に、ステップ709において取得されるTCの証明書情報が、TCの証明書のハッシュ値である場合、TSは、先ずTCの証明書についてのハッシュ演算を実行し、次いでその演算結果をステップ709において取得されるTCの証明書のハッシュ値と比較する。2つの値が同じである場合、TSは、TCの証明書内の公開キー(public key)を使用して、TCの秘密キーを通してTCによって暗号化される情報セグメントを解読し、解読された情報をあらかじめ知られている情報セグメントと比較し、また解読された情報が、知られている情報セグメントとマッチする場合に、TCを認証に合格するものと決定する。ステップ709において取得されるTCの証明書情報が、TCの証明書である場合、TSは、TCによって送信される証明書をステップ709において取得されるTCの証明書と直接に比較する。2つの証明書が同じである場合、TSは、TCの証明書内の公開キーを使用して、TCの秘密キーを通してTCによって暗号化される情報セグメントを解読し、その解読された情報をあらかじめ知られている情報セグメントと比較し、また解読された情報が、知られている情報セグメントとマッチする場合に、TCを認証に合格するものと決定する。TCは、TSを同じようにして認証し、その詳細は、本明細書において再び説明しない。
【０１２７】
暗号化アルゴリズムは、このようにしてTSおよびTCによってネゴシエートされることが可能であり、すなわち、TCは、TCによってサポートされる暗号化アルゴリズムをTSに報告し、またTSは、それに応じてTCとTSとの両方によってサポートされる暗号化アルゴリズムを選択する。
【０１２８】
TSおよびTCは、SSLプロトコルを使用して、キーをネゴシエートすることができる。例えば、TCおよびTSは、ハンドシェイクプロトコルを通して、キー交換アルゴリズムと、データ暗号化アルゴリズムと、ダイジェストアルゴリズムとをネゴシエートし、またネゴシエートされたキー交換アルゴリズムを使用して、TCおよびTSだけに知られているキーを生成する。
【０１２９】
712:TSは、暗号化アルゴリズムおよびキーに従って送信されるべきデータストリームを暗号化し、次いでデータストリームを送信し、またTCは、暗号化アルゴリズムおよびキーに従ってTSから受信されるデータストリームを解読し、あるいはTCは、暗号化アルゴリズムおよびキーに従って送信されるべきデータストリームを暗号化し、次いでデータストリームを送信し、またTSは、暗号化アルゴリズムおよびキーに従ってTCから受信されるデータストリームを解読する。
【０１３０】
713:セッションが終了しようとしているときに、TCPは、セッションを終了する指示として通知メッセージをTCに送信する。
【０１３１】
このステップにおいては、TCPは、StopMediaSession()コマンドをTCに送信して、セッションを終了する。
【０１３２】
714:セッションが終了しようとしているときに、TCPは、セッションを終了する指示として通知メッセージをTSに送信する。
【０１３３】
このステップにおいては、TCPは、StopMediaSession()コマンドをTSに送信して、セッションを終了する。
【０１３４】
本発明の実施形態6においては、TCおよびTSによって信頼されるTCPは、TCの証明書情報を取得し、それをTSに送信し、またTSの証明書情報を取得し、それをTCに送信する。TCおよびTSは、互いを正常に認証した後に暗号化アルゴリズムおよびキーをネゴシエートし、したがって、TCおよびTSは、暗号化アルゴリズムおよびキーを使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいてTCとTSとの間で送信されるデータストリームのセキュリティを保証する。
【０１３５】
［実施形態7］
【０１３６】
図8に示されるように、暗号化情報をネゴシエートするための方法が、この実施形態において提供される。この方法においては、TCとTSとの両方によって信頼されるTCPは、TCの証明書情報と、TSの証明書情報とを生成し、TSの証明書情報をTCに送信し、またTCの証明書情報をTSに送信する。このようにして、TCおよびTSは、互いを認証し、暗号化アルゴリズムおよびキーをネゴシエートすることができる。本方法は、以下のステップを含んでいる。
【０１３７】
ステップ801から805は、第4の実施形態におけるステップ401から405と同じであり、その詳細は、本明細書において再び説明しない。
【０１３８】
806:TCPは、TCの証明書を生成し、その証明書をTCに送信し、またTCの証明書情報をTSに送信する。証明書情報は、TCの証明書、またはTCの証明書のハッシュ値とすることができる。
【０１３９】
このステップにおいては、TCの証明書情報は、SetDeiveAuthInfo(TSinfo,...)コマンドを通してTSに送信されることが可能であり、ここで「TSinfo」は、TCの証明書情報を意味する。
【０１４０】
807:TCPは、TSの証明書を生成し、その証明書をTSに送信し、またTSの証明書情報をTCに送信する。証明書情報は、TSの証明書、またはTSの証明書のハッシュ値とすることができる。
【０１４１】
このステップにおいては、TSの証明書情報は、SetDeiveAuthInfo(TSinfo,...)コマンドを通してTCに送信されることが可能であり、ここで「TSinfo」は、TSの証明書情報を意味する。
【０１４２】
ステップ808から812は、ステップ710から714と同じであり、その詳細は、本明細書において再び説明しない。
【０１４３】
本発明の実施形態7においては、TCおよびTSによって信頼されるTCPは、TCの証明書を生成し、それをTCに送信し、TSの証明書を生成し、またそれをTSに送信し、TCの証明書のハッシュ値をTSに送信し、またTSの証明書のハッシュ値をTCに送信する。TCおよびTSは、互いを正常に認証した後に暗号化アルゴリズムおよびキーをネゴシエートし、したがって、TCおよびTSは、暗号化アルゴリズムおよびキーを使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいてTCとTSとの間で送信されるデータストリームのセキュリティを保証する。
【０１４４】
上記の実施形態6と実施形態7とにおいては、TCとTSとの両方によって信頼されるTCPは、TSの証明書情報をTCに送信し、TCの証明書情報をTSに送信する。このようにして、TCおよびTSは、互いを認証し、暗号化アルゴリズムおよびキーをネゴシエートすることができる。他の実施形態においては、ICとISとの両方によって信頼されるICPは、ISの証明書情報をICに送信することができ、またICの証明書情報をISに送信する。このようにして、ICおよびISは、互いを認証し、暗号化アルゴリズムおよびキーをネゴシエートすることができ、これはまた本発明の目的を達成する。
【０１４５】
［実施形態8］
【０１４６】
図9に示されるように、暗号化情報をネゴシエートするためのデバイスが、この実施形態において開示される。本デバイスは、TCおよびTSによって許可されるTCP、またはICおよびISによって許可されるICPとすることができ、本デバイスは、第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得するように構成された取得ユニット901と、第1のデバイスの暗号化機能についての情報および第2のデバイスの暗号化機能についての情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定するように構成された決定ユニット902と、第1のデバイスおよび第2のデバイスにそれぞれその決定された暗号化情報を送信するように構成された送信ユニット903と、を含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０１４７】
暗号化情報をネゴシエートするためのデバイスは、暗号化情報をネゴシエートするためのデバイスから第1のデバイスへの第1のセキュア伝送チャネルをセットアップし、暗号化情報をネゴシエートするためのデバイスから第2のデバイスへの第2のセキュア伝送チャネルをセットアップするように構成された通信ユニット904をさらに含んでいる。この場合に、取得ユニット901は、通信ユニット904によってセットアップされる第1のセキュア伝送チャネルを通して第1のデバイスの暗号化機能についての情報を取得し、通信ユニット904によってセットアップされる第2のセキュア伝送チャネルを通して第2のデバイスの暗号化機能についての情報を取得するように構成されている。送信ユニット903は、通信ユニット904によってセットアップされる第1のセキュア伝送チャネルを通して、決定された暗号化情報を第1のデバイスに送信し、通信ユニット904によってセットアップされる第2のセキュア伝送チャネルを通して、決定された暗号化情報を第2のデバイスに送信するように構成されている。
【０１４８】
暗号化情報は、暗号化アルゴリズムおよびキーを含み、または暗号化プロトコルを含むことができる。
【０１４９】
暗号化情報をネゴシエートするためのデバイスがTCPであるときに、第1のデバイスは、TCであり、また第2のデバイスは、TSであり、あるいは第1のデバイスは、TSであり、また第2のデバイスは、TCである。暗号化情報をネゴシエートするためのデバイスがICPであるときに、第1のデバイスは、ICであり、また第2のデバイスは、ISであり、あるいは第1のデバイスは、ISであり、また第2のデバイスは、ICである。
【０１５０】
実施形態8において、第1のデバイスおよび第2のデバイスによって信頼される暗号化情報をネゴシエートするためのデバイスは、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定し、また第1のデバイスおよび第2のデバイスにそれぞれ暗号化情報を通知し、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【０１５１】
［実施形態9］
【０１５２】
図10に示されるように、この実施形態において開示される暗号化情報をネゴシエートするためのデバイスは、第1のデバイスの証明書情報を制御ポイントから受信するように構成された受信ユニット1001であって、ここでTCPによって送信される第1のデバイスの証明書情報は、第1のデバイスからTCPによって取得され、または第1のデバイスについてのTCPによって生成される証明書についての情報である、受信ユニット1001と、第1のデバイスの証明書情報に従って第1のデバイスを認証するように構成された認証ユニット1002と、第1のデバイスを正常に認証した後に第1のデバイスと暗号化情報をネゴシエートするように構成されたネゴシエートユニット1003とを含み、ここで暗号化情報は、暗号化情報をネゴシエートするためのデバイスと第1のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０１５３】
制御ポイントが、TCPである場合、暗号化情報をネゴシエートするためのデバイスは、TCであり、また第1のデバイスは、TSであり、あるいは暗号化情報をネゴシエートするためのデバイスは、TSであり、また第1のデバイスは、TCである。代わりに、制御ポイントが、ICPである場合、暗号化情報をネゴシエートするためのデバイスは、ICであり、また第1のデバイスは、ISであり、あるいは暗号化情報をネゴシエートするためのデバイスは、ISであり、また第1のデバイスは、ICであってもよい。
【０１５４】
第1のデバイスの証明書情報は、第1のデバイスの証明書、または第1のデバイスの証明書のハッシュ値を含むことができる。
【０１５５】
本発明の実施形態9において、暗号化情報をネゴシエートするためのデバイスは、第1のデバイスの証明書情報を制御ポイントを通して取得し、第1のデバイスを正常に認証した後に適用可能な暗号化アルゴリズムおよびキーを第1のデバイスとネゴシエートし、したがって、第1のデバイスおよび第2のデバイスは、暗号化アルゴリズムおよびキーを使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【０１５６】
［実施形態10］
【０１５７】
この実施形態において提供されるネットワークシステムは、暗号化機能についての第1の情報と、暗号化機能についての第2の情報とを受信し、暗号化機能についての第1の情報および暗号化機能についての第2の情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定し、暗号化情報を送信するように構成された制御ポイントを含み、第1のデバイスは、暗号化機能についての第1の情報を制御ポイントに送信し、制御ポイントによって送信される暗号化情報を受信するように構成されており、暗号化機能についての第1の情報は、第1のデバイスの暗号化機能を示し、第2のデバイスは、暗号化機能についての第2の情報を制御ポイントに送信し、制御ポイントによって送信される暗号化情報を受信するように構成されており、ここで暗号化機能についての第2の情報は、第2のデバイスの暗号化機能を示し、また暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０１５８】
暗号化情報は、暗号化アルゴリズムおよびキーを含み、または暗号化プロトコルを含むことができる。暗号化情報が、暗号化プロトコルを含むときに、第1のデバイスは、さらに、暗号化プロトコルを使用することにより、暗号化アルゴリズムおよびキーを第2のデバイスとネゴシエートするように構成されており、また第2のデバイスは、さらに、暗号化プロトコルを使用することにより暗号化アルゴリズムおよびキーを第1のデバイスとネゴシエートするように構成されている。
【０１５９】
制御ポイントが、TCPである場合、第1のデバイスは、TCであり、また第2のデバイスは、TSであり、あるいは第1のデバイスは、TSであり、また第2のデバイスは、TCである。制御ポイントが、ICPである場合、第1のデバイスは、ICであり、また第2のデバイスは、ISであり、あるいは第1のデバイスは、ISであり、また第2のデバイスは、ICである。
【０１６０】
実施形態10においては、第1のデバイスおよび第2のデバイスによって信頼される制御ポイントは、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定し、また暗号化情報を第1のデバイスおよび第2のデバイスにそれぞれ通知し、したがって、第1のデバイスおよび第2のデバイスは、暗号化情報を使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【０１６１】
［実施形態11］
【０１６２】
この実施形態において提供されるネットワークシステムは、第1の証明書情報を取得し、送信するように構成された制御ポイントと、制御ポイントによって送信される第1の証明書情報を受信し、第1の証明書情報に対応するデバイスを認証し、そのデバイスを正常に認証した後に第1の証明書情報に対応するデバイスと暗号化情報をネゴシエートするように構成された第2のデバイスであって、ここで第1の証明書情報は、第1のデバイスの証明書情報である、第2のデバイスと、第2のデバイスと暗号化情報をネゴシエートするように構成された、第1の証明書情報に対応する第1のデバイスと、を含み、ここで暗号化情報は、第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働く。
【０１６３】
制御ポイントが、TCPである場合、第1のデバイスは、TCであり、また第2のデバイスは、TSであり、あるいは第1のデバイスは、TSであり、また第2のデバイスは、TCである。制御ポイントが、ICPである場合、第1のデバイスは、ICであり、また第2のデバイスは、ISであり、あるいは第1のデバイスは、ISであり、また第2のデバイスは、ICである。
【０１６４】
制御ポイントは、さらに、第1のデバイスの証明書情報を取得するように構成されており、取得するモードは、それだけには限定されないが、制御ポイントが、第1のデバイスから第1のデバイスの証明書情報を取得すること、または制御ポイントが、第1のデバイスについての証明書を生成し、それを第2のデバイスに送信し、また証明書についての情報を第1のデバイスに送信することを含む。第1のデバイスの証明書情報は、第1のデバイスの証明書、または第1のデバイスの証明書のハッシュ値を含む。
【０１６５】
本発明の実施形態11において、第2のデバイスは、第1のデバイスおよび第2のデバイスによって信頼される制御ポイントを通して第1のデバイスの証明書情報を取得し、また第1のデバイスを正常に認証した後に適用可能な暗号化アルゴリズムおよびキーを第1のデバイスとネゴシエートし、したがって、第1のデバイスおよび第2のデバイスは、暗号化アルゴリズムおよびキーを使用して、それらの間で送信されるデータストリームを暗号化し、かつ/または解読することができ、これは、アウトバンドモードにおいて第1のデバイスと第2のデバイスとの間で送信されるデータストリームのセキュリティを保証する。
【０１６６】
本発明の実施形態における方法のステップの全部または一部が、関連のあるハードウェアに指示するプログラムによって実施され得ることを、当業者なら理解するはずである。プログラムは、ROM、磁気ディスク、CD-ROMなどのコンピュータ読取り可能記憶媒体に記憶することができる。
【０１６７】
暗号化情報をネゴシエートするための方法およびデバイスと、ネットワークシステムとが、上記に開示される。本発明は、例示の実施形態を通して説明されるが、本発明は、そのような実施形態だけに限定されない。当業者には、本発明の精神および範囲を逸脱することなく、本発明に対する修正および変形を行うことができることが明らかである。本発明は、添付の特許請求の範囲または均等物によって定義される保護の範囲に含まれるという条件で修正および変形をカバーすることが意図されている。
【符号の説明】
【０１６８】
201〜203 ステップ
301〜309 ステップ
401〜414 ステップ
501〜509 ステップ
601〜603 ステップ
701〜714 ステップ
801〜812 ステップ
901 取得ユニット
902 決定ユニット
903 送信ユニット
904 通信ユニット
1001 受信ユニット
1002 認証ユニット
1003 ネゴシエートユニット
【特許請求の範囲】
【請求項１】
暗号化情報をネゴシエートするための方法であって、
第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得するステップと、
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報に従って、前記第1のデバイスおよび前記第2のデバイスに適用可能な暗号化情報を決定するステップと、
前記第1のデバイスおよび前記第2のデバイスに前記暗号化情報を送信するステップと、
を含み、
前記暗号化情報は、前記第1のデバイスと前記第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とする方法。
【請求項２】
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報を取得する前に、前記方法は、
前記第1のデバイスに対するセキュア伝送チャネルと、前記第2のデバイスに対するセキュア伝送チャネルとをそれぞれセットアップするステップと、
をさらに含み、
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報を取得する前記ステップは、特に、
前記第1のデバイスに対する前記セキュア伝送チャネルを使用することにより、前記第1のデバイスの暗号化機能についての前記情報を取得するステップと、
前記第2のデバイスに対する前記セキュア伝送チャネルを使用することにより、前記第2のデバイスの暗号化機能についての前記情報を取得するステップと、
を含み、
前記第1のデバイスおよび前記第2のデバイスに前記暗号化情報を送信する前記ステップは、特に、
前記第1のデバイスに対する前記セキュア伝送チャネルを使用することにより前記暗号化情報を前記第1のデバイスに送信するステップと、
前記第2のデバイスに対する前記セキュア伝送チャネルを使用することにより前記暗号化情報を前記第2のデバイスに送信するステップと、
を含むことを特徴とする請求項1に記載の方法。
【請求項３】
前記暗号化情報は、暗号化アルゴリズムおよびキーを含み、
前記暗号化アルゴリズムおよび前記キーは、データストリームの送信側が送信されるべき前記データストリームを暗号化するための基礎として働き、また前記データストリームの受信側が前記受信されたデータストリームを解読するための基礎として働き、
前記送信側は、前記第1のデバイスであり、また前記受信側は、前記第2のデバイスであり、あるいは前記送信側は、前記第2のデバイスであり、また前記受信側は、前記第1のデバイスであることを特徴とする請求項1に記載の方法。
【請求項４】
前記第1のデバイスの暗号化機能についての前記情報は、前記第1のデバイスによってサポートされる暗号化アルゴリズムについての情報と、前記第1のデバイスによってサポートされるキー長についての情報と、
を含み、
前記第2のデバイスの暗号化機能についての前記情報は、前記第2のデバイスによってサポートされる暗号化アルゴリズムについての情報と、前記第2のデバイスによってサポートされるキー長についての情報と、
を含み、また
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報に従って、前記第1のデバイスおよび前記第2のデバイスに適用可能な前記暗号化情報を決定する前記ステップは、特に、
前記第1のデバイスによってサポートされる前記暗号化アルゴリズムについての前記情報および前記第2のデバイスによってサポートされる前記暗号化アルゴリズムについての前記情報に従って、前記第1のデバイスと前記第2のデバイスとの両方によってサポートされる暗号化アルゴリズムを選択するステップと、前記第1のデバイスによってサポートされる前記キー長についての前記情報および前記第2のデバイスによってサポートされる前記キー長についての前記情報に従って、前記第1のデバイスおよび前記第2のデバイスの長さ要件に準拠したキーを生成するステップと、を含むことを特徴とする請求項1から3のいずれか一項に記載の方法。
【請求項５】
前記暗号化情報は、暗号化プロトコルを含み、
前記暗号化プロトコルは、前記第1のデバイスおよび前記第2のデバイスが、暗号化アルゴリズムおよびキーをネゴシエートするための基礎として働き、また
前記暗号化アルゴリズムおよび前記キーは、データストリームの送信側が送信されるべき前記データストリームを暗号化するための基礎として働き、また前記データストリームの受信側が前記受信されたデータストリームを解読するための基礎として働き、
前記送信側は、前記第1のデバイスであり、また前記受信側は、前記第2のデバイスであり、あるいは前記送信側は、前記第2のデバイスであり、また前記受信側は、前記第1のデバイスであることを特徴とする請求項1に記載の方法。
【請求項６】
前記第1のデバイスの暗号化機能についての前記情報は、前記第1のデバイスによってサポートされる前記暗号化プロトコルについての情報を含み、
前記第2のデバイスの暗号化機能についての前記情報は、前記第2のデバイスによってサポートされる前記暗号化プロトコルについての情報を含み、また
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報に従って、前記第1のデバイスおよび前記第2のデバイスに適用可能な前記暗号化情報を決定する前記ステップは、特に、
前記第1のデバイスによってサポートされる前記暗号化プロトコルについての前記情報および前記第2のデバイスによってサポートされる前記暗号化プロトコルについての前記情報に従って、前記第1のデバイスと前記第2のデバイスとの両方によってサポートされる前記暗号化プロトコルを選択するステップを含むことを特徴とする請求項1、2、または5に記載の方法。
【請求項７】
暗号化情報をネゴシエートするための方法であって、
第2のデバイスにより、第1のデバイスの証明書情報を制御ポイントから受信するステップと、
前記第2のデバイスにより、前記第1のデバイスの前記証明書情報に従って前記第1のデバイスを認証するステップと、
前記第2のデバイスにより、前記第1のデバイスを正常に認証した後に前記第1のデバイスと暗号化情報をネゴシエートするステップと、
を含み、
前記暗号化情報は、前記第1のデバイスと前記第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とする方法。
【請求項８】
前記第1のデバイスの前記証明書情報は、前記第1のデバイスから前記制御ポイントによって取得され、
または
前記第1のデバイスの前記証明書情報は、前記第1のデバイスについての前記制御ポイントによって生成される証明書についての情報であることを特徴とする請求項7に記載の方法。
【請求項９】
暗号化情報をネゴシエートするためのデバイスであって、
第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得するように構成された取得ユニットと、
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報に従って、前記第1のデバイスおよび前記第2のデバイスに適用可能な暗号化情報を決定するように構成された決定ユニットと、
前記第1のデバイスおよび前記第2のデバイスにそれぞれ前記決定された暗号化情報を送信するように構成された送信ユニットと、
を備え、
前記暗号化情報は、前記第1のデバイスと前記第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とするデバイス。
【請求項１０】
暗号化情報をネゴシエートするための前記デバイスから前記第1のデバイスへの第1のセキュア伝送チャネルをセットアップし、暗号化情報をネゴシエートするための前記デバイスから前記第2のデバイスへの第2のセキュア伝送チャネルをセットアップするように構成された通信ユニットをさらに備え、
前記取得ユニットは、特に、前記通信ユニットによってセットアップされる前記第1のセキュア伝送チャネルを通して前記第1のデバイスの暗号化機能についての情報を取得し、前記通信ユニットによってセットアップされる前記第2のセキュア伝送チャネルを通して前記第2のデバイスの暗号化機能についての情報を取得するように構成されており、また
前記送信ユニットは、特に、前記通信ユニットによってセットアップされる前記第1のセキュア伝送チャネルを通して前記決定された暗号化情報を前記第1のデバイスに送信し、前記通信ユニットによってセットアップされる前記第2のセキュア伝送チャネルを通して前記決定された暗号化情報を前記第2のデバイスに送信するように構成されていることを特徴とする請求項9に記載のデバイス。
【請求項１１】
暗号化情報をネゴシエートするためのデバイスであって、
第1のデバイスの証明書情報を制御ポイントから受信するように構成された受信ユニットと、
前記第1のデバイスの前記証明書情報に従って前記第1のデバイスを認証するように構成された認証ユニットと、
前記第1のデバイスを正常に認証した後に前記第1のデバイスと暗号化情報をネゴシエートするように構成されたネゴシエートユニットと、
を備え、前記暗号化情報は、前記第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とするデバイス。
【請求項１２】
前記制御ポイントによって送信される、前記第1のデバイスの前記証明書情報は、前記第1のデバイスから前記制御ポイントによって取得され、または
前記制御ポイントによって送信される、前記第1のデバイスの前記証明書情報は、前記第1のデバイスについての前記制御ポイントによって生成される証明書についての情報であることを特徴とする請求項11に記載のデバイス。
【請求項１３】
暗号化機能についての第1の情報と、暗号化機能についての第2の情報とを受信し、暗号化機能についての前記第1の情報および暗号化機能についての前記第2の情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定し、前記暗号化情報を送信するように構成された制御ポイントを備え、
前記第1のデバイスは、暗号化機能についての前記第1の情報を前記制御ポイントに送信し、前記制御ポイントによって送信される前記暗号化情報を受信するように構成されており、
前記第2のデバイスは、暗号化機能についての前記第2の情報を前記制御ポイントに送信し、前記制御ポイントによって送信される前記暗号化情報を受信するように構成されており、
暗号化機能についての前記第1の情報は、前記第1のデバイスの暗号化機能を示し、
暗号化機能についての前記第2の情報は、前記第2のデバイスの暗号化機能を示し、また前記暗号化情報は、前記第1のデバイスと前記第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とするネットワークシステム。
【請求項１４】
前記暗号化情報は、暗号化プロトコルを含み、
前記第1のデバイスは、さらに、前記暗号化プロトコルを使用することにより、暗号化アルゴリズムおよびキーを前記第2のデバイスとネゴシエートするように構成されており、また
前記第2のデバイスは、さらに、前記暗号化プロトコルを使用することにより、前記暗号化アルゴリズムおよび前記キーを前記第1のデバイスとネゴシエートするように構成されていることを特徴とする請求項13に記載のネットワークシステム。
【請求項１５】
第1の証明書情報を取得し、送信するように構成された制御ポイントと、
前記制御ポイントによって送信される前記第1の証明書情報を受信し、前記第1の証明書情報に対応するデバイスを認証し、前記デバイスを正常に認証した後に、前記第1の証明書情報に対応する前記デバイスと暗号化情報をネゴシエートするように構成された第2のデバイスと、
前記第2のデバイスと前記暗号化情報をネゴシエートするように構成された、前記第1の証明書情報に対応する第1のデバイスと、
を備え、
前記暗号化情報は、前記第1のデバイスと前記第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とするネットワークシステム。
【請求項１】
暗号化情報をネゴシエートするための方法であって、
第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得するステップと、
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報に従って、前記第1のデバイスおよび前記第2のデバイスに適用可能な暗号化情報を決定するステップと、
前記第1のデバイスおよび前記第2のデバイスに前記暗号化情報を送信するステップと、
を含み、
前記暗号化情報は、前記第1のデバイスと前記第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とする方法。
【請求項２】
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報を取得する前に、前記方法は、
前記第1のデバイスに対するセキュア伝送チャネルと、前記第2のデバイスに対するセキュア伝送チャネルとをそれぞれセットアップするステップと、
をさらに含み、
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報を取得する前記ステップは、特に、
前記第1のデバイスに対する前記セキュア伝送チャネルを使用することにより、前記第1のデバイスの暗号化機能についての前記情報を取得するステップと、
前記第2のデバイスに対する前記セキュア伝送チャネルを使用することにより、前記第2のデバイスの暗号化機能についての前記情報を取得するステップと、
を含み、
前記第1のデバイスおよび前記第2のデバイスに前記暗号化情報を送信する前記ステップは、特に、
前記第1のデバイスに対する前記セキュア伝送チャネルを使用することにより前記暗号化情報を前記第1のデバイスに送信するステップと、
前記第2のデバイスに対する前記セキュア伝送チャネルを使用することにより前記暗号化情報を前記第2のデバイスに送信するステップと、
を含むことを特徴とする請求項1に記載の方法。
【請求項３】
前記暗号化情報は、暗号化アルゴリズムおよびキーを含み、
前記暗号化アルゴリズムおよび前記キーは、データストリームの送信側が送信されるべき前記データストリームを暗号化するための基礎として働き、また前記データストリームの受信側が前記受信されたデータストリームを解読するための基礎として働き、
前記送信側は、前記第1のデバイスであり、また前記受信側は、前記第2のデバイスであり、あるいは前記送信側は、前記第2のデバイスであり、また前記受信側は、前記第1のデバイスであることを特徴とする請求項1に記載の方法。
【請求項４】
前記第1のデバイスの暗号化機能についての前記情報は、前記第1のデバイスによってサポートされる暗号化アルゴリズムについての情報と、前記第1のデバイスによってサポートされるキー長についての情報と、
を含み、
前記第2のデバイスの暗号化機能についての前記情報は、前記第2のデバイスによってサポートされる暗号化アルゴリズムについての情報と、前記第2のデバイスによってサポートされるキー長についての情報と、
を含み、また
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報に従って、前記第1のデバイスおよび前記第2のデバイスに適用可能な前記暗号化情報を決定する前記ステップは、特に、
前記第1のデバイスによってサポートされる前記暗号化アルゴリズムについての前記情報および前記第2のデバイスによってサポートされる前記暗号化アルゴリズムについての前記情報に従って、前記第1のデバイスと前記第2のデバイスとの両方によってサポートされる暗号化アルゴリズムを選択するステップと、前記第1のデバイスによってサポートされる前記キー長についての前記情報および前記第2のデバイスによってサポートされる前記キー長についての前記情報に従って、前記第1のデバイスおよび前記第2のデバイスの長さ要件に準拠したキーを生成するステップと、を含むことを特徴とする請求項1から3のいずれか一項に記載の方法。
【請求項５】
前記暗号化情報は、暗号化プロトコルを含み、
前記暗号化プロトコルは、前記第1のデバイスおよび前記第2のデバイスが、暗号化アルゴリズムおよびキーをネゴシエートするための基礎として働き、また
前記暗号化アルゴリズムおよび前記キーは、データストリームの送信側が送信されるべき前記データストリームを暗号化するための基礎として働き、また前記データストリームの受信側が前記受信されたデータストリームを解読するための基礎として働き、
前記送信側は、前記第1のデバイスであり、また前記受信側は、前記第2のデバイスであり、あるいは前記送信側は、前記第2のデバイスであり、また前記受信側は、前記第1のデバイスであることを特徴とする請求項1に記載の方法。
【請求項６】
前記第1のデバイスの暗号化機能についての前記情報は、前記第1のデバイスによってサポートされる前記暗号化プロトコルについての情報を含み、
前記第2のデバイスの暗号化機能についての前記情報は、前記第2のデバイスによってサポートされる前記暗号化プロトコルについての情報を含み、また
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報に従って、前記第1のデバイスおよび前記第2のデバイスに適用可能な前記暗号化情報を決定する前記ステップは、特に、
前記第1のデバイスによってサポートされる前記暗号化プロトコルについての前記情報および前記第2のデバイスによってサポートされる前記暗号化プロトコルについての前記情報に従って、前記第1のデバイスと前記第2のデバイスとの両方によってサポートされる前記暗号化プロトコルを選択するステップを含むことを特徴とする請求項1、2、または5に記載の方法。
【請求項７】
暗号化情報をネゴシエートするための方法であって、
第2のデバイスにより、第1のデバイスの証明書情報を制御ポイントから受信するステップと、
前記第2のデバイスにより、前記第1のデバイスの前記証明書情報に従って前記第1のデバイスを認証するステップと、
前記第2のデバイスにより、前記第1のデバイスを正常に認証した後に前記第1のデバイスと暗号化情報をネゴシエートするステップと、
を含み、
前記暗号化情報は、前記第1のデバイスと前記第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とする方法。
【請求項８】
前記第1のデバイスの前記証明書情報は、前記第1のデバイスから前記制御ポイントによって取得され、
または
前記第1のデバイスの前記証明書情報は、前記第1のデバイスについての前記制御ポイントによって生成される証明書についての情報であることを特徴とする請求項7に記載の方法。
【請求項９】
暗号化情報をネゴシエートするためのデバイスであって、
第1のデバイスの暗号化機能についての情報、および第2のデバイスの暗号化機能についての情報を取得するように構成された取得ユニットと、
前記第1のデバイスの暗号化機能についての前記情報および前記第2のデバイスの暗号化機能についての前記情報に従って、前記第1のデバイスおよび前記第2のデバイスに適用可能な暗号化情報を決定するように構成された決定ユニットと、
前記第1のデバイスおよび前記第2のデバイスにそれぞれ前記決定された暗号化情報を送信するように構成された送信ユニットと、
を備え、
前記暗号化情報は、前記第1のデバイスと前記第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とするデバイス。
【請求項１０】
暗号化情報をネゴシエートするための前記デバイスから前記第1のデバイスへの第1のセキュア伝送チャネルをセットアップし、暗号化情報をネゴシエートするための前記デバイスから前記第2のデバイスへの第2のセキュア伝送チャネルをセットアップするように構成された通信ユニットをさらに備え、
前記取得ユニットは、特に、前記通信ユニットによってセットアップされる前記第1のセキュア伝送チャネルを通して前記第1のデバイスの暗号化機能についての情報を取得し、前記通信ユニットによってセットアップされる前記第2のセキュア伝送チャネルを通して前記第2のデバイスの暗号化機能についての情報を取得するように構成されており、また
前記送信ユニットは、特に、前記通信ユニットによってセットアップされる前記第1のセキュア伝送チャネルを通して前記決定された暗号化情報を前記第1のデバイスに送信し、前記通信ユニットによってセットアップされる前記第2のセキュア伝送チャネルを通して前記決定された暗号化情報を前記第2のデバイスに送信するように構成されていることを特徴とする請求項9に記載のデバイス。
【請求項１１】
暗号化情報をネゴシエートするためのデバイスであって、
第1のデバイスの証明書情報を制御ポイントから受信するように構成された受信ユニットと、
前記第1のデバイスの前記証明書情報に従って前記第1のデバイスを認証するように構成された認証ユニットと、
前記第1のデバイスを正常に認証した後に前記第1のデバイスと暗号化情報をネゴシエートするように構成されたネゴシエートユニットと、
を備え、前記暗号化情報は、前記第1のデバイスと第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とするデバイス。
【請求項１２】
前記制御ポイントによって送信される、前記第1のデバイスの前記証明書情報は、前記第1のデバイスから前記制御ポイントによって取得され、または
前記制御ポイントによって送信される、前記第1のデバイスの前記証明書情報は、前記第1のデバイスについての前記制御ポイントによって生成される証明書についての情報であることを特徴とする請求項11に記載のデバイス。
【請求項１３】
暗号化機能についての第1の情報と、暗号化機能についての第2の情報とを受信し、暗号化機能についての前記第1の情報および暗号化機能についての前記第2の情報に従って、第1のデバイスおよび第2のデバイスに適用可能な暗号化情報を決定し、前記暗号化情報を送信するように構成された制御ポイントを備え、
前記第1のデバイスは、暗号化機能についての前記第1の情報を前記制御ポイントに送信し、前記制御ポイントによって送信される前記暗号化情報を受信するように構成されており、
前記第2のデバイスは、暗号化機能についての前記第2の情報を前記制御ポイントに送信し、前記制御ポイントによって送信される前記暗号化情報を受信するように構成されており、
暗号化機能についての前記第1の情報は、前記第1のデバイスの暗号化機能を示し、
暗号化機能についての前記第2の情報は、前記第2のデバイスの暗号化機能を示し、また前記暗号化情報は、前記第1のデバイスと前記第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とするネットワークシステム。
【請求項１４】
前記暗号化情報は、暗号化プロトコルを含み、
前記第1のデバイスは、さらに、前記暗号化プロトコルを使用することにより、暗号化アルゴリズムおよびキーを前記第2のデバイスとネゴシエートするように構成されており、また
前記第2のデバイスは、さらに、前記暗号化プロトコルを使用することにより、前記暗号化アルゴリズムおよび前記キーを前記第1のデバイスとネゴシエートするように構成されていることを特徴とする請求項13に記載のネットワークシステム。
【請求項１５】
第1の証明書情報を取得し、送信するように構成された制御ポイントと、
前記制御ポイントによって送信される前記第1の証明書情報を受信し、前記第1の証明書情報に対応するデバイスを認証し、前記デバイスを正常に認証した後に、前記第1の証明書情報に対応する前記デバイスと暗号化情報をネゴシエートするように構成された第2のデバイスと、
前記第2のデバイスと前記暗号化情報をネゴシエートするように構成された、前記第1の証明書情報に対応する第1のデバイスと、
を備え、
前記暗号化情報は、前記第1のデバイスと前記第2のデバイスとの間のデータストリームを暗号化し、かつ/または解読するための基礎として働くことを特徴とするネットワークシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公表番号】特表２０１３−５０２７８２（Ｐ２０１３−５０２７８２Ａ）
【公表日】平成２５年１月２４日（２０１３．１．２４）
【国際特許分類】
【出願番号】特願２０１２−５２５０４３（Ｐ２０１２−５２５０４３）
【出願日】平成２２年８月２３日（２０１０．８．２３）
【国際出願番号】ＰＣＴ／ＣＮ２０１０／０７６２２６
【国際公開番号】ＷＯ２０１１／０２３０８２
【国際公開日】平成２３年３月３日（２０１１．３．３）
【出願人】（５０９２９６３０６）▲華▼▲為▼▲終▼端有限公司 (44)
【Ｆターム（参考）】
【公表日】平成２５年１月２４日（２０１３．１．２４）
【国際特許分類】
【出願日】平成２２年８月２３日（２０１０．８．２３）
【国際出願番号】ＰＣＴ／ＣＮ２０１０／０７６２２６
【国際公開番号】ＷＯ２０１１／０２３０８２
【国際公開日】平成２３年３月３日（２０１１．３．３）
【出願人】（５０９２９６３０６）▲華▼▲為▼▲終▼端有限公司 (44)
【Ｆターム（参考）】
[ Back to top ]