暗号化情報通信装置、暗号化情報通信システム、暗号化情報通信方法及びプログラム
【課題】簡単な構成で、サーバを介することなく、Ｉｎｖｉｔｅメッセージの覗き見を防止して事前共有パラメータ情報を安全に保護することができる暗号化情報通信装置、暗号化情報通信システム、暗号化情報通信方法及びプログラムを提供すること。
【解決手段】ＩＰｓｅｃ通信を行うための暗号化情報通信装置間でＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｔｙ Ｅｘｔｅｎｔｉｏｎを用いて通信路を設定し、セキュリティアソシエーション事前共有パラメータ情報の交換を行うことによりＤＨＣＰ等で動的に決定される双方のＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓを登録するとともに、一時的なＩＰｖ６ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを用いてセキュリティアソシエーション事前共有パラメータ情報の交換を行う。また、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ上で暗号化を行ってセキュリティアソシエーション事前共有パラメータ情報の交換を行う。
【解決手段】ＩＰｓｅｃ通信を行うための暗号化情報通信装置間でＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｔｙ Ｅｘｔｅｎｔｉｏｎを用いて通信路を設定し、セキュリティアソシエーション事前共有パラメータ情報の交換を行うことによりＤＨＣＰ等で動的に決定される双方のＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓを登録するとともに、一時的なＩＰｖ６ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを用いてセキュリティアソシエーション事前共有パラメータ情報の交換を行う。また、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ上で暗号化を行ってセキュリティアソシエーション事前共有パラメータ情報の交換を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う暗号化情報通信装置、暗号化情報通信システム、暗号化情報通信方法及びプログラムに関する。
【背景技術】
【０００２】
ＩＰｖ６においては暗号化通信を行うＩＰｓｅｃが標準機能としてＲＦＣ（Request For Comment）にて規格化されている。このＩＰｓｅｃによる暗号化通信を行うにあたっては、どの通信装置とどの通信装置が、どのような暗号鍵により、どのような暗号アルゴリズムで暗号化通信を行うかあらかじめ折衝する必要がある。このような暗号化のための折衝パラメータをＩＫＥ（Internet Key Exchange）によるプロトコルによってセキュリティアソシエーションとして確立して共有することにより、ＩＰｓｅｃによる暗号化通信を行うことができる。しかし、インターネットの世界では、情報通信装置のＩＰアドレスは必ずしも、一定の値をとり続ける保証はなく、例えばＤＨＣＰ（Dynamic Host Configuration Protocol）によるＩＰアドレスの割り当てが行われていれば、毎回の起動ごとに違うＩＰアドレスが割り当てられる。セキュリティアソシエーションではＩＰアドレスとＩＰアドレスの対でパラメータを登録する必要があるため、このような動的にＩＰアドレスが変わる場合には、特定の暗号化通信を行う相手を特定することができず、セキュリティアソシエーションが確立できない。そこで、ＳＩＰ（Session Initiation Protocol）サーバに自分のＩＰアドレスや、暗号アルゴリズム、暗号鍵等の事前共有パラメータ情報を登録しておき、暗号化通信を開始するに先立って、相手の事前共有パラメータ情報をＳＩＰサーバを介して取得して、ＩＫＥプロトコルによるセキュリティアソシエーションを確立する方法がとられる。
【０００３】
このような暗号化情報通信システムとして、特許文献１に記載のセキュリティポリシー設定方法が挙げられる。
【０００４】
特許文献１に記載の暗号化情報通信システムでは、暗号通信を行いたい暗号化情報通信装置は自分のセキュリティアソシエーションの事前共有パラメータ情報をＳＩＰサーバに対してＳＤＰプロトコルにより登録する。また、通信相手の暗号化情報通信装置のセキュリティアソシエーションの事前共有パラメータ情報をＳＩＰのＩｎｖｉｔｅメッセージを用いて取得を行う。これによりＤＨＣＰ等で動的にＩＰアドレスが決定する暗号化情報通信装置間においても、お互いのＩＰアドレスとセキュリティアソシエーションの事前共有パラメータ情報を入手してＩＫＥによりセキュリティアソシエーションを確立することが可能となり、ＩＰｓｅｃによる通信を行うことができる。
【０００５】
従来の暗号化情報通信システムについて具体的に説明する。
【０００６】
図６は、従来の暗号化情報通信システムのセキュリティアソシエーションの事前共有パラメータ情報を交換するための処理を示すフローチャートである。送信側の暗号化情報通信装置１１では、ステップＳ１〜ステップＳ７を実行し、受信側の暗号化情報通信装置１２では、ステップＳ１１〜ステップＳ１６を実行する。メッセージの送受信は、ＳＩＰサーバ１０を介して行う。
【０００７】
図６において、送信側の暗号化情報通信装置１１は、ＩＰｓｅｃ通信の開始にあたり、ＲＦＣ２３２７で定義されている、Ｓｅｓｓｉｏｎ Ｄｅｓｃｒｉｐｔｉｏｎ Ｐｒｏｔｏｃｏｌ（ＳＤＰ）を用いて、自分のセキュリティアソシエーションに関する事前共有パラメータを設定する（ステップＳ１）。次いで、設定した事前共有パラメータをＲＦＣ３２６１で定義されているＳｅｓｓｔｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ（ＳＩＰ）のＩｎｖｉｔｅメッセージに添付して（ステップＳ２）、ＳＩＰサーバ１０に送信する（ステップＳ３）。
【０００８】
ＳＩＰサーバ１０は、宛先の暗号化情報通信装置を検索し、ＳＩＰのＩｎｖｉｔｅメッセージを転送する。
【０００９】
受信側の暗号化情報通信装置１２は、ＳＩＰのＩｎｖｉｔｅメッセージを受信すると（ステップＳ１１）、送信されたメッセージから送信元のＳＤＰの情報を取り出す（ステップＳ１２）。次いで、受信側の暗号化情報通信装置１２は、ＳＤＰを用いて、自分のセキュリティアソシエーションに関する事前共有パラメータを設定する（ステップＳ１３）。さらに、ＳＩＰのＯＫメッセージにＳＤＰ情報を添付して（ステップＳ１４）、ＳＩＰサーバ１０にＳＩＰのＯＫメッセージを送信する（ステップＳ１５）。送信を完了すると、受信側の暗号化情報通信装置は送信側のセキュリティアソシエーション事前共有パラメータ情報と自分のセキュリティアソシエーション事前共有パラメータ情報を対にして、ＳＡパラメータテーブルに設定して受信側のフローを終了する（ステップＳ１６）。
【００１０】
上記ステップＳ１５にて送信されたＳＩＰのＯＫメッセージを受信したＳＩＰサーバ１０は、最初にＳＩＰのＩｎｖｉｔｅメッセージを送信した送信元にＳＩＰのＯＫメッセージを転送する。送信元の暗号化情報通信装置１１は、ＳＩＰのＯＫメッセージを受信すると（ステップＳ４）、受信したメッセージから通信相手のＳＤＰの情報を取り出す（ステップＳ５）。さらに、ＳＤＰから相手のセキュリティアソシエーション事前共有パラメータ情報を取り出し（ステップＳ６）、受信側のセキュリティアソシエーション事前共有パラメータ情報と自分のセキュリティアソシエーション事前共有パラメータ情報を対にして、ＳＡパラメータテーブルに設定して送信側のフローを終了する（ステップＳ７）。
【００１１】
以上のように、従来の暗号化情報通信システムは、ＳＩＰサーバ１０のＩｎｖｉｔｅメッセージに通信相手の事前共有パラメータ情報を載せて通信を行うことにより、不特定なＩＰアドレスを持つ、情報通信装置との間でセキュリティアソシエーション確立のための事前共有パラメータ情報を交換することができ、ＩＫＥによりセキュリティアソシエーション確立を行うことが可能となり、ＩＰｓｅｃによる暗号化通信を行うことができる。
【特許文献１】特開２００６−５０４０７号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
しかしながら、このような従来の暗号化情報通信システムにあっては、ＳＩＰサーバを介することが前提であり、ＳＩＰサーバがダウンしてしまうと、セキュリティアソシエーションを確立するための、事前共有パラメータ情報を交換できない。事前共有パラメータ情報を交換できないと、機器間でＳＡを確立することができず、ＩＰｓｅｃ通信を行うことができなくなってしまう。
【００１３】
また、特定のＳＩＰサーバとの通信は暗号化されないため、本来暗号化通信を行うための事前共有パラメータ情報を交換する際に、やりとりする通信を覗き見されてしまい、ＩＰｓｅｃの安全性が保証されない。例えば、ＳＩＰサーバとの通信は、秘匿されないため、ＳＩＰのＩｎｖｉｔｅメッセージを覗き見して、ＳＡ確立のための事前設定情報を入手して詐称することが可能である。
【００１４】
本発明は、上記に鑑みてなされたものであり、簡単な構成で、サーバを介することなく、Ｉｎｖｉｔｅメッセージの覗き見を防止して事前共有パラメータ情報を安全に保護することができる暗号化情報通信装置、暗号化情報通信システム、暗号化情報通信方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
本発明の暗号化情報通信装置は、ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う暗号化情報通信装置であって、ＩＰｓｅｃのセキュリティアソシエーション（ＳＡ）情報をＩＫＥプロトコルにより確立するために必要となる事前共有パラメータ情報を交換するセキュリティアソシエーション事前共有パラメータ情報交換手段と、前記ＩＰｖ６ネットワークを介して接続された送信側と受信側で互いに割り当てを行うＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成／削除するＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除手段と、前記互いに割り当てられたＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間でセキュリティアソシエーション事前共有パラメータ情報交換のためのプロトコル手順を送受信する通信手段と、前記セキュリティアソシエーション事前共有パラメータ情報交換手段によって交換したセキュリティアソシエーション事前共有パラメータ情報によりＩＫＥ通信を行い、ＩＰｓｅｃのためのセキュリティアソシエーションを確立するセキュリティアソシエーション確立手段とを備える構成を採る。
【００１６】
本発明の暗号化情報通信システムは、ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う複数の暗号化情報通信装置から構成される暗号化情報通信システムであって、上記暗号化情報通信装置を用いる構成を採る。
【００１７】
本発明の暗号化情報通信方法は、ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う複数の暗号化情報通信装置から構成される暗号化情報通信方法であって、ＩＰｓｅｃのセキュリティアソシエーション（ＳＡ）情報をＩＫＥプロトコルにより確立するために必要となる事前共有パラメータ情報を交換するセキュリティアソシエーション事前共有パラメータ情報交換ステップと、前記ＩＰｖ６ネットワークを介して接続された送信側と受信側で互いに割り当てを行うＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成／削除するＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除ステップと、前記互いに割り当てられたＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間でセキュリティアソシエーション事前共有パラメータ情報交換のためのプロトコル手順を送受信する通信ステップと、前記セキュリティアソシエーション事前共有パラメータ情報交換手段によって交換したセキュリティアソシエーション事前共有パラメータ情報によりＩＫＥ通信を行い、ＩＰｓｅｃのためのセキュリティアソシエーションを確立するセキュリティアソシエーション確立ステップとを有する。
【００１８】
また他の観点から、本発明は、上記暗号化情報通信方法の各ステップをコンピュータに実行させるためのプログラムである。
【発明の効果】
【００１９】
本発明によれば、暗号通信を行う２つの暗号化情報通信装置の間でセキュリティアソシエーション事前共有パラメータ情報を交換するため、サーバが不要となり、サーバがダウンすると暗号化通信を行うことができないという事態を防ぐことができる。
【００２０】
また、セキュリティアソシエーション事前共有パラメータ情報をＩＰｖ６プロトコルのＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間で交換するため、毎回通信に利用するアドレスが異なり、覗き見を防止することができる。また、セキュリティアソシエーション事前共有パラメータ情報を暗号化して交換するため、仮に覗き見されても、セキュリティアソシエーション事前共有パラメータ情報を安全に保護することができる。
【００２１】
さらに、一時的に生成するＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間で通信を行うため、あらかじめデータをキャプチャしようとすることを未然に防ぐことができる。
【発明を実施するための最良の形態】
【００２２】
以下、本発明の実施の形態について図面を参照して詳細に説明する。
【００２３】
（実施の形態）
図１は、本発明の一実施の形態に係る暗号化情報通信システムの暗号化情報通信装置内部の概略構成を示すブロック図である。
【００２４】
図１において、暗号化情報通信システム１００は、暗号化情報通信装置１１０と、暗号化情報通信装置１１０と同一の構成を有する暗号化情報通信装置１２０と、暗号化情報通信装置１１０と暗号化情報通信装置１２０とを接続するＩＰｖ６ネットワーク１３０とを含んで構成される。
【００２５】
暗号化情報通信装置１１０は、送信側の暗号化情報通信装置、暗号化情報通信装置１２０は、受信側の暗号化情報通信装置として説明する。なお、暗号化情報通信装置１２０は、暗号化情報通信装置１１０と同一構成をとるため説明を省略する。
【００２６】
暗号化情報通信装置１１０は、セキュリティアソシエーション事前共有パラメータ格納部１１１、セキュリティアソシエーション事前共有パラメータ情報交換部１１２、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ交換部１１３、暗号鍵生成部１１４、暗号鍵格納部１１５、暗号路生成部１１６、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除部１１７、パラメータ送信部１１８、及びパラメータ受信部１１９を備えて構成される。
【００２７】
また、暗号化情報通信装置１１０は、起動時にＤＨＣＰプロトコルやＩＰｖ６のＲＡにより、動的に決定されるＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓ１２１が付与され、セキュリティアソシエーション事前共有パラメータ情報を交換するにあたって、一時的にＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ１２２が付与される。ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ１２２については、図２により後述する。
【００２８】
セキュリティアソシエーション事前共有パラメータ情報交換部１１２は、ＩＰｓｅｃのセキュリティアソシエーション（ＳＡ）情報をＩＫＥプロトコルにより確立するために必要となる事前共有パラメータ情報を交換する。また、セキュリティアソシエーション事前共有パラメータ情報交換部１１２は、生成された暗号鍵で前記セキュリティアソシエーション事前共有パラメータ情報を暗号化する。セキュリティアソシエーション事前共有パラメータ情報は、送信側もしくは受信側のＩＰｖ６ Ｇｌｏｂａｌ ＡｄｄｒｅｓｓとＩＫＥプロトコルで使用する事前共有鍵を含む。具体的には、セキュリティアソシエーション事前共有パラメータ情報交換部１１２は、ＩＰｓｅｃ通信のＩＫＥによる鍵交換時に必要となる、自分のＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓを含むセキュリティアソシエーション事前共有パラメータ情報をパラメータ送信部１１８及びパラメータ受信部１１９により交換して、セキュリティアソシエーション事前共有パラメータ格納部１１１に登録する。
【００２９】
ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ交換部１１３は、一時的なＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを用いて通信路を設定する。
【００３０】
暗号鍵生成部１１４は、パラメータの交換時、送信側及び受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ ＥｘｔｅｎｔｉｏｎのインタフェースＩＤを用いて、暗号鍵を生成する。
【００３１】
暗号鍵格納部１１５は、暗号鍵生成部１１４により生成された暗号鍵を格納する。
【００３２】
暗号路生成部１１６は、ＳＡ確立に必要な事前情報を交換するための暗号路を生成する。暗号路を確保するための鍵情報は、双方のＩＰｖ６ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ Ａｄｄｒｅｓｓから生成する。
【００３３】
ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除部１１７は、ＩＰｖ６ネットワーク１３０を介して接続された、送信側の暗号化情報通信装置１１０、及び受信側の暗号化情報通信装置１２０との間で互いに割り当てを行う。
【００３４】
パラメータ送信部１１８及びパラメータ受信部１１９は、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除機能と、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間でセキュリティアソシエーション事前共有パラメータ情報交換のためのプロトコル手順を送受信する通信手段を構成する。
【００３５】
図２は、セキュリティアソシエーション事前共有パラメータ情報を交換するための暗号鍵を生成する際のブロック図である。
【００３６】
図２において、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ１２２は、プレフィックス部１２２ａと、インタフェースＩＤ部１２２ｂとから構成される。
【００３７】
暗号鍵生成部１１４は、送信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ１２２のインタフェースＩＤ部１２２ｂと、受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ１２２のインタフェースＩＤ部１２２ｂが入力されると、暗号鍵を生成し、暗号鍵格納部１１５に保存する。暗号鍵生成部１１４がインタフェースＩＤから暗号鍵を生成するアルゴリズムは例えば、送信側のインタフェースＩＤを上位６４ビット、受信側のインタフェースＩＤを下位６４ビットに設定する方法や、それぞれのインタフェースＩＤのビットを１ビットずつ交互に配置する方法等が考えられる。
【００３８】
図３は、セキュリティアソシエーション事前共有パラメータ格納部１１１に格納されるセキュリティアソシエーション事前共有パラメータ情報の一例を示す図である。
【００３９】
図３において、セキュリティアソシエーション事前共有パラメータ情報２００は、識別ＩＤ２０１、通信相手のＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓ２０２、ＩＫＥの事前共有鍵２０３、ＩＰｓｅｃ通信を行うプロトコル２０４、ポート番号２０５、及び暗号タイプ２０６が格納されている。例えば、プロトコル２０４は、ＴＣＰ／ＵＤＰ／ＩＣＭＰやすべてを含むＡＮＹが設定される。ポート番号２０５は、指定したいポートやすべてのポート番号を示すＡＮＹが設定される。暗号タイプ２０６は、ＩＰｓｅｃの暗号タイプ２０６であるＡＨやＥＳＰ、ＡＨとＥＳＰ両方を行うＡＨ＋ＥＳＰ等が設定される。
【００４０】
以下、上述のように構成された暗号化情報通信システム１００の動作について説明する。
【００４１】
図４は、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間のアドレス情報交換を行う手順を示すフローチャートである。送信側の暗号化情報通信装置１１０では、ステップＳ２１〜ステップＳ２５を実行し、受信側の暗号化情報通信装置１２０では、ステップＳ３１〜ステップＳ３３を実行する。
【００４２】
図４において、送信側の暗号化情報通信装置１１０は、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ要求処理が起動されている（ステップＳ２０）。また、受信側の暗号化情報通信装置１２０は、Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ応答処理が起動されている（ステップＳ３０）。
【００４３】
送信側の暗号化情報通信装置１１０は、接続先である受信側の暗号化情報通信装置１２０に関するセキュリティアソシエーション（ＳＡ）事前共有パラメータ情報が、セキュリティアソシエーション事前共有パラメータ格納部１１１に存在するか否かチェックする（ステップＳ２１）。
【００４４】
パラメータ情報が存在しなければ、送信側の暗号化情報通信装置１１０は、接続先のＤＮＳ（Domain Name System）を参照してＩＰアドレスの解決を行う（ステップＳ２２）。次いで、送信側の暗号化情報通信装置１１０の、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除部１１７は、自分の送信アドレスとして、新しいＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成する（ステップＳ２３）。次いで、送信側の暗号化情報通信装置１１０の、ＩＰｖ６ Ｐｒｉｖａｃｙ Ａｄｄｒｅｓｓ交換部１１３は、パラメータ送信部１１８から、接続先にＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを要求する（ステップＳ２４）。
【００４５】
一方、受信側の暗号化情報通信装置１２０は、パケットを受信待ち状態にある（ステップＳ３１）。受信側の暗号化情報通信装置１２０は、パケットを受信すると、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除部１１７から、自分の応答アドレスとして、新しいＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成する（ステップＳ３２）。次いで、受信側の暗号化情報通信装置１２０は、ＩＰｖ６ Ｐｒｉｖａｃｙ Ａｄｄｒｅｓｓ交換部１１３により、応答するためのパケットを生成し、パラメータ送信部１１８から、要求元に自分のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを応答する（ステップＳ３３）。
【００４６】
送信側の暗号化情報通信装置１０は、接続先から応答メッセージを受信すると（ステップＳ２５）、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ要求処理を終了する。
【００４７】
次に、セキュリティアソシエーション（ＳＡ）事前共有パラメータ情報を交換する処理について説明する。
【００４８】
図５は、セキュリティアソシエーション（ＳＡ）事前共有パラメータ情報を交換する処理を示すフローチャートである。送信側の暗号化情報通信装置１１０では、ステップＳ４１〜ステップＳ４６を実行し、受信側の暗号化情報通信装置１２０では、ステップＳ５１〜ステップＳ５６を実行する。
【００４９】
前記図２に示すように、送信側の暗号化情報通信装置１１０の暗号鍵生成部１１４は、前記図４のステップＳ２５で取得した、送信側及び受信側双方のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎから、セキュリティアソシエーション事前共有パラメータ情報２００（図３参照）を交換するための暗号鍵を生成する（図５のステップＳ４１）。生成した暗号鍵は、暗号鍵格納部１１５に格納する。
【００５０】
次いで、送信側の暗号化情報通信装置１１０は、自分のＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓ及び、ＩＫＥの事前共有鍵を含むセキュリティアソシエーション事前共有パラメータ情報２００を生成し、暗号鍵格納部１１５に格納された暗号鍵を用いて暗号化を行う（ステップＳ４２）。その後、接続先にステップＳ４２で暗号化された、セキュリティアソシエーション事前共有パラメータ情報２００を送信する（ステップＳ４３）。
【００５１】
一方、受信側の暗号化情報通信装置１２０は、送信側の暗号化情報通信装置１１０の暗号鍵生成部１１４と同様の動作を行う。すなわち、受信側の暗号化情報通信装置１２０の暗号鍵生成部１１４は、前記図４のステップＳ３１及びステップＳ３２で取得した、送信側及び受信側双方のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎから、セキュリティアソシエーション事前共有パラメータ情報を交換するための暗号鍵を生成し（ステップＳ５１）する。生成した暗号鍵は、暗号鍵格納部１１５に格納する。
【００５２】
次いで、送信側の暗号化情報通信装置１１０から、暗号化された、セキュリティアソシエーション事前共有パラメータ情報を受信する（ステップＳ５２）。パラメータを受信すると、暗号鍵格納部１１５に格納された暗号鍵を用いて、受信したセキュリティアソシエーション事前共有パラメータ情報の復号化を行う（ステップＳ５３）。正常にセキュリティアソシエーション事前共有パラメータ情報の復号化が行えると応答メッセージを送信する（ステップＳ５４）。応答メッセージの送信が終了すると、受信側の暗号化情報通信装置１２０は、セキュリティアソシエーション事前共有パラメータ格納部１１１に、セキュリティアソシエーション事前共有パラメータ情報を格納する（ステップＳ５５）。次いで、通信路として使用したＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを削除して（ステップＳ５６）、受信側の暗号化情報通信装置１２０の事前共有パラメータ情報交換処理を終了する。
【００５３】
一方、送信側の暗号化情報通信装置１１０は、受信側の暗号化情報通信装置１２０から、応答メッセージを受信する（ステップＳ４４）。応答メッセージを受信すると、送信側の暗号化情報通信装置１１０は、セキュリティアソシエーション事前共有パラメータ格納部１１１に、セキュリティアソシエーション事前共有パラメータ情報を格納する（ステップＳ４５）。次いで、通信路として使用したＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを削除して（ステップＳ４６）、送信側の暗号化情報通信装置１１０の事前共有パラメータ情報交換処理を終了する。
【００５４】
以上詳細に説明したように、本実施の形態によれば、ＩＰｓｅｃ通信を行うための暗号化情報通信装置間でＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｔｙ Ｅｘｔｅｎｔｉｏｎを用いて通信路を設定し、セキュリティアソシエーション事前共有パラメータ情報の交換を行うことによりＤＨＣＰ等で動的に決定される双方のＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓを登録するとともに、一時的なＩＰｖ６ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを用いてセキュリティアソシエーション事前共有パラメータ情報の交換を行うため、パケットキャプチャによる覗き見を防止することができる。また、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ上で暗号化を行ってセキュリティアソシエーション事前共有パラメータ情報の交換を行うため、仮に覗き見が行われたとしても、パラメータ情報を安全に保護することができる。
【００５５】
以上の説明は本発明の好適な実施の形態の例証であり、本発明の範囲はこれに限定されることはない。例えば、ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う暗号化情報通信システムに適用した例であるが、ＩＰｖネットワークであればよく、ＩＰｖ６ネットワークの機能を含む上位バージョンが策定された場合はこれも包含するものである。
【００５６】
また、本実施の形態では暗号化情報通信装置、暗号化情報通信システム、暗号化情報通信方法という名称を用いたが、これは説明の便宜上であり、暗号化通信システム、セキュリティアソシエーション方法等であってもよいことは勿論である。
【００５７】
さらに、上記暗号化情報通信装置及び暗号化情報通信システムを構成する各部、例えば暗号鍵生成部の種類、その数及び接続方法などはどのようなものでもよい。
【００５８】
以上説明した暗号化情報通信方法は、この暗号化情報通信方法を機能させるためのプログラムでも実現される。このプログラムはコンピュータで読み取り可能な記録媒体に格納されている。
【産業上の利用可能性】
【００５９】
以上のように、本発明にかかる暗号化情報通信装置、暗号化情報通信システム、暗号化情報通信方法及びプログラムは、ＩＰｓｅｃ通信に必要となるセキュリティアソシエーション確立のためのセキュリティアソシエーション事前共有パラメータ情報を暗号化した上で、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ上の通信路で交換を行うため、安全にパラメータの交換を行うことができ、悪意のあるユーザが暗号鍵情報を覗き見することを防止できるという効果を有し、かつ、ＤＨＣＰ等の動的にＩＰアドレスが決定されるネットワーク環境においても、セキュリティアソシエーション確立を行うことができる、暗号化情報通信システムとして有用である。
【図面の簡単な説明】
【００６０】
【図１】本発明の実施の形態に係る暗号化情報通信システムの暗号化情報通信装置内部の概略構成を示すブロック図
【図２】本実施の形態に係る暗号化情報通信装置のセキュリティアソシエーション事前共有パラメータ情報を交換するための暗号鍵を生成する際のブロック図
【図３】本実施の形態に係る暗号化情報通信装置のセキュリティアソシエーション事前共有パラメータ格納部に格納されるセキュリティアソシエーション事前共有パラメータ情報の一例を示す図
【図４】本実施の形態に係る暗号化情報通信装置のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間のアドレス情報交換を行う手順を示すフロー図
【図５】本実施の形態に係る暗号化情報通信装置のセキュリティアソシエーション（ＳＡ）事前共有パラメータ情報を交換する処理を示すフロー図
【図６】従来の暗号化情報通信システムのセキュリティアソシエーションの事前共有パラメータ情報を交換するための処理を示すフロー図
【符号の説明】
【００６１】
１００ 暗号化情報通信システム
１１０，１２０ 暗号化情報通信装置
１３０ ＩＰｖ６ネットワーク
１１１ セキュリティアソシエーション事前共有パラメータ格納部
１１２ セキュリティアソシエーション事前共有パラメータ情報交換部
１１３ ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ交換部
１１４ 暗号鍵生成部
１１５ 暗号鍵格納部
１１６ 暗号路生成部
１１７ ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除部
１１８ パラメータ送信部
１１９ パラメータ受信部
【技術分野】
【０００１】
本発明は、ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う暗号化情報通信装置、暗号化情報通信システム、暗号化情報通信方法及びプログラムに関する。
【背景技術】
【０００２】
ＩＰｖ６においては暗号化通信を行うＩＰｓｅｃが標準機能としてＲＦＣ（Request For Comment）にて規格化されている。このＩＰｓｅｃによる暗号化通信を行うにあたっては、どの通信装置とどの通信装置が、どのような暗号鍵により、どのような暗号アルゴリズムで暗号化通信を行うかあらかじめ折衝する必要がある。このような暗号化のための折衝パラメータをＩＫＥ（Internet Key Exchange）によるプロトコルによってセキュリティアソシエーションとして確立して共有することにより、ＩＰｓｅｃによる暗号化通信を行うことができる。しかし、インターネットの世界では、情報通信装置のＩＰアドレスは必ずしも、一定の値をとり続ける保証はなく、例えばＤＨＣＰ（Dynamic Host Configuration Protocol）によるＩＰアドレスの割り当てが行われていれば、毎回の起動ごとに違うＩＰアドレスが割り当てられる。セキュリティアソシエーションではＩＰアドレスとＩＰアドレスの対でパラメータを登録する必要があるため、このような動的にＩＰアドレスが変わる場合には、特定の暗号化通信を行う相手を特定することができず、セキュリティアソシエーションが確立できない。そこで、ＳＩＰ（Session Initiation Protocol）サーバに自分のＩＰアドレスや、暗号アルゴリズム、暗号鍵等の事前共有パラメータ情報を登録しておき、暗号化通信を開始するに先立って、相手の事前共有パラメータ情報をＳＩＰサーバを介して取得して、ＩＫＥプロトコルによるセキュリティアソシエーションを確立する方法がとられる。
【０００３】
このような暗号化情報通信システムとして、特許文献１に記載のセキュリティポリシー設定方法が挙げられる。
【０００４】
特許文献１に記載の暗号化情報通信システムでは、暗号通信を行いたい暗号化情報通信装置は自分のセキュリティアソシエーションの事前共有パラメータ情報をＳＩＰサーバに対してＳＤＰプロトコルにより登録する。また、通信相手の暗号化情報通信装置のセキュリティアソシエーションの事前共有パラメータ情報をＳＩＰのＩｎｖｉｔｅメッセージを用いて取得を行う。これによりＤＨＣＰ等で動的にＩＰアドレスが決定する暗号化情報通信装置間においても、お互いのＩＰアドレスとセキュリティアソシエーションの事前共有パラメータ情報を入手してＩＫＥによりセキュリティアソシエーションを確立することが可能となり、ＩＰｓｅｃによる通信を行うことができる。
【０００５】
従来の暗号化情報通信システムについて具体的に説明する。
【０００６】
図６は、従来の暗号化情報通信システムのセキュリティアソシエーションの事前共有パラメータ情報を交換するための処理を示すフローチャートである。送信側の暗号化情報通信装置１１では、ステップＳ１〜ステップＳ７を実行し、受信側の暗号化情報通信装置１２では、ステップＳ１１〜ステップＳ１６を実行する。メッセージの送受信は、ＳＩＰサーバ１０を介して行う。
【０００７】
図６において、送信側の暗号化情報通信装置１１は、ＩＰｓｅｃ通信の開始にあたり、ＲＦＣ２３２７で定義されている、Ｓｅｓｓｉｏｎ Ｄｅｓｃｒｉｐｔｉｏｎ Ｐｒｏｔｏｃｏｌ（ＳＤＰ）を用いて、自分のセキュリティアソシエーションに関する事前共有パラメータを設定する（ステップＳ１）。次いで、設定した事前共有パラメータをＲＦＣ３２６１で定義されているＳｅｓｓｔｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ（ＳＩＰ）のＩｎｖｉｔｅメッセージに添付して（ステップＳ２）、ＳＩＰサーバ１０に送信する（ステップＳ３）。
【０００８】
ＳＩＰサーバ１０は、宛先の暗号化情報通信装置を検索し、ＳＩＰのＩｎｖｉｔｅメッセージを転送する。
【０００９】
受信側の暗号化情報通信装置１２は、ＳＩＰのＩｎｖｉｔｅメッセージを受信すると（ステップＳ１１）、送信されたメッセージから送信元のＳＤＰの情報を取り出す（ステップＳ１２）。次いで、受信側の暗号化情報通信装置１２は、ＳＤＰを用いて、自分のセキュリティアソシエーションに関する事前共有パラメータを設定する（ステップＳ１３）。さらに、ＳＩＰのＯＫメッセージにＳＤＰ情報を添付して（ステップＳ１４）、ＳＩＰサーバ１０にＳＩＰのＯＫメッセージを送信する（ステップＳ１５）。送信を完了すると、受信側の暗号化情報通信装置は送信側のセキュリティアソシエーション事前共有パラメータ情報と自分のセキュリティアソシエーション事前共有パラメータ情報を対にして、ＳＡパラメータテーブルに設定して受信側のフローを終了する（ステップＳ１６）。
【００１０】
上記ステップＳ１５にて送信されたＳＩＰのＯＫメッセージを受信したＳＩＰサーバ１０は、最初にＳＩＰのＩｎｖｉｔｅメッセージを送信した送信元にＳＩＰのＯＫメッセージを転送する。送信元の暗号化情報通信装置１１は、ＳＩＰのＯＫメッセージを受信すると（ステップＳ４）、受信したメッセージから通信相手のＳＤＰの情報を取り出す（ステップＳ５）。さらに、ＳＤＰから相手のセキュリティアソシエーション事前共有パラメータ情報を取り出し（ステップＳ６）、受信側のセキュリティアソシエーション事前共有パラメータ情報と自分のセキュリティアソシエーション事前共有パラメータ情報を対にして、ＳＡパラメータテーブルに設定して送信側のフローを終了する（ステップＳ７）。
【００１１】
以上のように、従来の暗号化情報通信システムは、ＳＩＰサーバ１０のＩｎｖｉｔｅメッセージに通信相手の事前共有パラメータ情報を載せて通信を行うことにより、不特定なＩＰアドレスを持つ、情報通信装置との間でセキュリティアソシエーション確立のための事前共有パラメータ情報を交換することができ、ＩＫＥによりセキュリティアソシエーション確立を行うことが可能となり、ＩＰｓｅｃによる暗号化通信を行うことができる。
【特許文献１】特開２００６−５０４０７号公報
【発明の開示】
【発明が解決しようとする課題】
【００１２】
しかしながら、このような従来の暗号化情報通信システムにあっては、ＳＩＰサーバを介することが前提であり、ＳＩＰサーバがダウンしてしまうと、セキュリティアソシエーションを確立するための、事前共有パラメータ情報を交換できない。事前共有パラメータ情報を交換できないと、機器間でＳＡを確立することができず、ＩＰｓｅｃ通信を行うことができなくなってしまう。
【００１３】
また、特定のＳＩＰサーバとの通信は暗号化されないため、本来暗号化通信を行うための事前共有パラメータ情報を交換する際に、やりとりする通信を覗き見されてしまい、ＩＰｓｅｃの安全性が保証されない。例えば、ＳＩＰサーバとの通信は、秘匿されないため、ＳＩＰのＩｎｖｉｔｅメッセージを覗き見して、ＳＡ確立のための事前設定情報を入手して詐称することが可能である。
【００１４】
本発明は、上記に鑑みてなされたものであり、簡単な構成で、サーバを介することなく、Ｉｎｖｉｔｅメッセージの覗き見を防止して事前共有パラメータ情報を安全に保護することができる暗号化情報通信装置、暗号化情報通信システム、暗号化情報通信方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１５】
本発明の暗号化情報通信装置は、ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う暗号化情報通信装置であって、ＩＰｓｅｃのセキュリティアソシエーション（ＳＡ）情報をＩＫＥプロトコルにより確立するために必要となる事前共有パラメータ情報を交換するセキュリティアソシエーション事前共有パラメータ情報交換手段と、前記ＩＰｖ６ネットワークを介して接続された送信側と受信側で互いに割り当てを行うＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成／削除するＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除手段と、前記互いに割り当てられたＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間でセキュリティアソシエーション事前共有パラメータ情報交換のためのプロトコル手順を送受信する通信手段と、前記セキュリティアソシエーション事前共有パラメータ情報交換手段によって交換したセキュリティアソシエーション事前共有パラメータ情報によりＩＫＥ通信を行い、ＩＰｓｅｃのためのセキュリティアソシエーションを確立するセキュリティアソシエーション確立手段とを備える構成を採る。
【００１６】
本発明の暗号化情報通信システムは、ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う複数の暗号化情報通信装置から構成される暗号化情報通信システムであって、上記暗号化情報通信装置を用いる構成を採る。
【００１７】
本発明の暗号化情報通信方法は、ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う複数の暗号化情報通信装置から構成される暗号化情報通信方法であって、ＩＰｓｅｃのセキュリティアソシエーション（ＳＡ）情報をＩＫＥプロトコルにより確立するために必要となる事前共有パラメータ情報を交換するセキュリティアソシエーション事前共有パラメータ情報交換ステップと、前記ＩＰｖ６ネットワークを介して接続された送信側と受信側で互いに割り当てを行うＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成／削除するＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除ステップと、前記互いに割り当てられたＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間でセキュリティアソシエーション事前共有パラメータ情報交換のためのプロトコル手順を送受信する通信ステップと、前記セキュリティアソシエーション事前共有パラメータ情報交換手段によって交換したセキュリティアソシエーション事前共有パラメータ情報によりＩＫＥ通信を行い、ＩＰｓｅｃのためのセキュリティアソシエーションを確立するセキュリティアソシエーション確立ステップとを有する。
【００１８】
また他の観点から、本発明は、上記暗号化情報通信方法の各ステップをコンピュータに実行させるためのプログラムである。
【発明の効果】
【００１９】
本発明によれば、暗号通信を行う２つの暗号化情報通信装置の間でセキュリティアソシエーション事前共有パラメータ情報を交換するため、サーバが不要となり、サーバがダウンすると暗号化通信を行うことができないという事態を防ぐことができる。
【００２０】
また、セキュリティアソシエーション事前共有パラメータ情報をＩＰｖ６プロトコルのＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間で交換するため、毎回通信に利用するアドレスが異なり、覗き見を防止することができる。また、セキュリティアソシエーション事前共有パラメータ情報を暗号化して交換するため、仮に覗き見されても、セキュリティアソシエーション事前共有パラメータ情報を安全に保護することができる。
【００２１】
さらに、一時的に生成するＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間で通信を行うため、あらかじめデータをキャプチャしようとすることを未然に防ぐことができる。
【発明を実施するための最良の形態】
【００２２】
以下、本発明の実施の形態について図面を参照して詳細に説明する。
【００２３】
（実施の形態）
図１は、本発明の一実施の形態に係る暗号化情報通信システムの暗号化情報通信装置内部の概略構成を示すブロック図である。
【００２４】
図１において、暗号化情報通信システム１００は、暗号化情報通信装置１１０と、暗号化情報通信装置１１０と同一の構成を有する暗号化情報通信装置１２０と、暗号化情報通信装置１１０と暗号化情報通信装置１２０とを接続するＩＰｖ６ネットワーク１３０とを含んで構成される。
【００２５】
暗号化情報通信装置１１０は、送信側の暗号化情報通信装置、暗号化情報通信装置１２０は、受信側の暗号化情報通信装置として説明する。なお、暗号化情報通信装置１２０は、暗号化情報通信装置１１０と同一構成をとるため説明を省略する。
【００２６】
暗号化情報通信装置１１０は、セキュリティアソシエーション事前共有パラメータ格納部１１１、セキュリティアソシエーション事前共有パラメータ情報交換部１１２、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ交換部１１３、暗号鍵生成部１１４、暗号鍵格納部１１５、暗号路生成部１１６、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除部１１７、パラメータ送信部１１８、及びパラメータ受信部１１９を備えて構成される。
【００２７】
また、暗号化情報通信装置１１０は、起動時にＤＨＣＰプロトコルやＩＰｖ６のＲＡにより、動的に決定されるＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓ１２１が付与され、セキュリティアソシエーション事前共有パラメータ情報を交換するにあたって、一時的にＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ１２２が付与される。ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ１２２については、図２により後述する。
【００２８】
セキュリティアソシエーション事前共有パラメータ情報交換部１１２は、ＩＰｓｅｃのセキュリティアソシエーション（ＳＡ）情報をＩＫＥプロトコルにより確立するために必要となる事前共有パラメータ情報を交換する。また、セキュリティアソシエーション事前共有パラメータ情報交換部１１２は、生成された暗号鍵で前記セキュリティアソシエーション事前共有パラメータ情報を暗号化する。セキュリティアソシエーション事前共有パラメータ情報は、送信側もしくは受信側のＩＰｖ６ Ｇｌｏｂａｌ ＡｄｄｒｅｓｓとＩＫＥプロトコルで使用する事前共有鍵を含む。具体的には、セキュリティアソシエーション事前共有パラメータ情報交換部１１２は、ＩＰｓｅｃ通信のＩＫＥによる鍵交換時に必要となる、自分のＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓを含むセキュリティアソシエーション事前共有パラメータ情報をパラメータ送信部１１８及びパラメータ受信部１１９により交換して、セキュリティアソシエーション事前共有パラメータ格納部１１１に登録する。
【００２９】
ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ交換部１１３は、一時的なＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを用いて通信路を設定する。
【００３０】
暗号鍵生成部１１４は、パラメータの交換時、送信側及び受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ ＥｘｔｅｎｔｉｏｎのインタフェースＩＤを用いて、暗号鍵を生成する。
【００３１】
暗号鍵格納部１１５は、暗号鍵生成部１１４により生成された暗号鍵を格納する。
【００３２】
暗号路生成部１１６は、ＳＡ確立に必要な事前情報を交換するための暗号路を生成する。暗号路を確保するための鍵情報は、双方のＩＰｖ６ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ Ａｄｄｒｅｓｓから生成する。
【００３３】
ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除部１１７は、ＩＰｖ６ネットワーク１３０を介して接続された、送信側の暗号化情報通信装置１１０、及び受信側の暗号化情報通信装置１２０との間で互いに割り当てを行う。
【００３４】
パラメータ送信部１１８及びパラメータ受信部１１９は、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除機能と、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間でセキュリティアソシエーション事前共有パラメータ情報交換のためのプロトコル手順を送受信する通信手段を構成する。
【００３５】
図２は、セキュリティアソシエーション事前共有パラメータ情報を交換するための暗号鍵を生成する際のブロック図である。
【００３６】
図２において、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ１２２は、プレフィックス部１２２ａと、インタフェースＩＤ部１２２ｂとから構成される。
【００３７】
暗号鍵生成部１１４は、送信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ１２２のインタフェースＩＤ部１２２ｂと、受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ１２２のインタフェースＩＤ部１２２ｂが入力されると、暗号鍵を生成し、暗号鍵格納部１１５に保存する。暗号鍵生成部１１４がインタフェースＩＤから暗号鍵を生成するアルゴリズムは例えば、送信側のインタフェースＩＤを上位６４ビット、受信側のインタフェースＩＤを下位６４ビットに設定する方法や、それぞれのインタフェースＩＤのビットを１ビットずつ交互に配置する方法等が考えられる。
【００３８】
図３は、セキュリティアソシエーション事前共有パラメータ格納部１１１に格納されるセキュリティアソシエーション事前共有パラメータ情報の一例を示す図である。
【００３９】
図３において、セキュリティアソシエーション事前共有パラメータ情報２００は、識別ＩＤ２０１、通信相手のＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓ２０２、ＩＫＥの事前共有鍵２０３、ＩＰｓｅｃ通信を行うプロトコル２０４、ポート番号２０５、及び暗号タイプ２０６が格納されている。例えば、プロトコル２０４は、ＴＣＰ／ＵＤＰ／ＩＣＭＰやすべてを含むＡＮＹが設定される。ポート番号２０５は、指定したいポートやすべてのポート番号を示すＡＮＹが設定される。暗号タイプ２０６は、ＩＰｓｅｃの暗号タイプ２０６であるＡＨやＥＳＰ、ＡＨとＥＳＰ両方を行うＡＨ＋ＥＳＰ等が設定される。
【００４０】
以下、上述のように構成された暗号化情報通信システム１００の動作について説明する。
【００４１】
図４は、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間のアドレス情報交換を行う手順を示すフローチャートである。送信側の暗号化情報通信装置１１０では、ステップＳ２１〜ステップＳ２５を実行し、受信側の暗号化情報通信装置１２０では、ステップＳ３１〜ステップＳ３３を実行する。
【００４２】
図４において、送信側の暗号化情報通信装置１１０は、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ要求処理が起動されている（ステップＳ２０）。また、受信側の暗号化情報通信装置１２０は、Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ応答処理が起動されている（ステップＳ３０）。
【００４３】
送信側の暗号化情報通信装置１１０は、接続先である受信側の暗号化情報通信装置１２０に関するセキュリティアソシエーション（ＳＡ）事前共有パラメータ情報が、セキュリティアソシエーション事前共有パラメータ格納部１１１に存在するか否かチェックする（ステップＳ２１）。
【００４４】
パラメータ情報が存在しなければ、送信側の暗号化情報通信装置１１０は、接続先のＤＮＳ（Domain Name System）を参照してＩＰアドレスの解決を行う（ステップＳ２２）。次いで、送信側の暗号化情報通信装置１１０の、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除部１１７は、自分の送信アドレスとして、新しいＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成する（ステップＳ２３）。次いで、送信側の暗号化情報通信装置１１０の、ＩＰｖ６ Ｐｒｉｖａｃｙ Ａｄｄｒｅｓｓ交換部１１３は、パラメータ送信部１１８から、接続先にＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを要求する（ステップＳ２４）。
【００４５】
一方、受信側の暗号化情報通信装置１２０は、パケットを受信待ち状態にある（ステップＳ３１）。受信側の暗号化情報通信装置１２０は、パケットを受信すると、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除部１１７から、自分の応答アドレスとして、新しいＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成する（ステップＳ３２）。次いで、受信側の暗号化情報通信装置１２０は、ＩＰｖ６ Ｐｒｉｖａｃｙ Ａｄｄｒｅｓｓ交換部１１３により、応答するためのパケットを生成し、パラメータ送信部１１８から、要求元に自分のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを応答する（ステップＳ３３）。
【００４６】
送信側の暗号化情報通信装置１０は、接続先から応答メッセージを受信すると（ステップＳ２５）、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ要求処理を終了する。
【００４７】
次に、セキュリティアソシエーション（ＳＡ）事前共有パラメータ情報を交換する処理について説明する。
【００４８】
図５は、セキュリティアソシエーション（ＳＡ）事前共有パラメータ情報を交換する処理を示すフローチャートである。送信側の暗号化情報通信装置１１０では、ステップＳ４１〜ステップＳ４６を実行し、受信側の暗号化情報通信装置１２０では、ステップＳ５１〜ステップＳ５６を実行する。
【００４９】
前記図２に示すように、送信側の暗号化情報通信装置１１０の暗号鍵生成部１１４は、前記図４のステップＳ２５で取得した、送信側及び受信側双方のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎから、セキュリティアソシエーション事前共有パラメータ情報２００（図３参照）を交換するための暗号鍵を生成する（図５のステップＳ４１）。生成した暗号鍵は、暗号鍵格納部１１５に格納する。
【００５０】
次いで、送信側の暗号化情報通信装置１１０は、自分のＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓ及び、ＩＫＥの事前共有鍵を含むセキュリティアソシエーション事前共有パラメータ情報２００を生成し、暗号鍵格納部１１５に格納された暗号鍵を用いて暗号化を行う（ステップＳ４２）。その後、接続先にステップＳ４２で暗号化された、セキュリティアソシエーション事前共有パラメータ情報２００を送信する（ステップＳ４３）。
【００５１】
一方、受信側の暗号化情報通信装置１２０は、送信側の暗号化情報通信装置１１０の暗号鍵生成部１１４と同様の動作を行う。すなわち、受信側の暗号化情報通信装置１２０の暗号鍵生成部１１４は、前記図４のステップＳ３１及びステップＳ３２で取得した、送信側及び受信側双方のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎから、セキュリティアソシエーション事前共有パラメータ情報を交換するための暗号鍵を生成し（ステップＳ５１）する。生成した暗号鍵は、暗号鍵格納部１１５に格納する。
【００５２】
次いで、送信側の暗号化情報通信装置１１０から、暗号化された、セキュリティアソシエーション事前共有パラメータ情報を受信する（ステップＳ５２）。パラメータを受信すると、暗号鍵格納部１１５に格納された暗号鍵を用いて、受信したセキュリティアソシエーション事前共有パラメータ情報の復号化を行う（ステップＳ５３）。正常にセキュリティアソシエーション事前共有パラメータ情報の復号化が行えると応答メッセージを送信する（ステップＳ５４）。応答メッセージの送信が終了すると、受信側の暗号化情報通信装置１２０は、セキュリティアソシエーション事前共有パラメータ格納部１１１に、セキュリティアソシエーション事前共有パラメータ情報を格納する（ステップＳ５５）。次いで、通信路として使用したＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを削除して（ステップＳ５６）、受信側の暗号化情報通信装置１２０の事前共有パラメータ情報交換処理を終了する。
【００５３】
一方、送信側の暗号化情報通信装置１１０は、受信側の暗号化情報通信装置１２０から、応答メッセージを受信する（ステップＳ４４）。応答メッセージを受信すると、送信側の暗号化情報通信装置１１０は、セキュリティアソシエーション事前共有パラメータ格納部１１１に、セキュリティアソシエーション事前共有パラメータ情報を格納する（ステップＳ４５）。次いで、通信路として使用したＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを削除して（ステップＳ４６）、送信側の暗号化情報通信装置１１０の事前共有パラメータ情報交換処理を終了する。
【００５４】
以上詳細に説明したように、本実施の形態によれば、ＩＰｓｅｃ通信を行うための暗号化情報通信装置間でＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｔｙ Ｅｘｔｅｎｔｉｏｎを用いて通信路を設定し、セキュリティアソシエーション事前共有パラメータ情報の交換を行うことによりＤＨＣＰ等で動的に決定される双方のＩＰｖ６ Ｇｌｏｂａｌ Ａｄｄｒｅｓｓを登録するとともに、一時的なＩＰｖ６ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを用いてセキュリティアソシエーション事前共有パラメータ情報の交換を行うため、パケットキャプチャによる覗き見を防止することができる。また、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ上で暗号化を行ってセキュリティアソシエーション事前共有パラメータ情報の交換を行うため、仮に覗き見が行われたとしても、パラメータ情報を安全に保護することができる。
【００５５】
以上の説明は本発明の好適な実施の形態の例証であり、本発明の範囲はこれに限定されることはない。例えば、ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う暗号化情報通信システムに適用した例であるが、ＩＰｖネットワークであればよく、ＩＰｖ６ネットワークの機能を含む上位バージョンが策定された場合はこれも包含するものである。
【００５６】
また、本実施の形態では暗号化情報通信装置、暗号化情報通信システム、暗号化情報通信方法という名称を用いたが、これは説明の便宜上であり、暗号化通信システム、セキュリティアソシエーション方法等であってもよいことは勿論である。
【００５７】
さらに、上記暗号化情報通信装置及び暗号化情報通信システムを構成する各部、例えば暗号鍵生成部の種類、その数及び接続方法などはどのようなものでもよい。
【００５８】
以上説明した暗号化情報通信方法は、この暗号化情報通信方法を機能させるためのプログラムでも実現される。このプログラムはコンピュータで読み取り可能な記録媒体に格納されている。
【産業上の利用可能性】
【００５９】
以上のように、本発明にかかる暗号化情報通信装置、暗号化情報通信システム、暗号化情報通信方法及びプログラムは、ＩＰｓｅｃ通信に必要となるセキュリティアソシエーション確立のためのセキュリティアソシエーション事前共有パラメータ情報を暗号化した上で、ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ上の通信路で交換を行うため、安全にパラメータの交換を行うことができ、悪意のあるユーザが暗号鍵情報を覗き見することを防止できるという効果を有し、かつ、ＤＨＣＰ等の動的にＩＰアドレスが決定されるネットワーク環境においても、セキュリティアソシエーション確立を行うことができる、暗号化情報通信システムとして有用である。
【図面の簡単な説明】
【００６０】
【図１】本発明の実施の形態に係る暗号化情報通信システムの暗号化情報通信装置内部の概略構成を示すブロック図
【図２】本実施の形態に係る暗号化情報通信装置のセキュリティアソシエーション事前共有パラメータ情報を交換するための暗号鍵を生成する際のブロック図
【図３】本実施の形態に係る暗号化情報通信装置のセキュリティアソシエーション事前共有パラメータ格納部に格納されるセキュリティアソシエーション事前共有パラメータ情報の一例を示す図
【図４】本実施の形態に係る暗号化情報通信装置のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間のアドレス情報交換を行う手順を示すフロー図
【図５】本実施の形態に係る暗号化情報通信装置のセキュリティアソシエーション（ＳＡ）事前共有パラメータ情報を交換する処理を示すフロー図
【図６】従来の暗号化情報通信システムのセキュリティアソシエーションの事前共有パラメータ情報を交換するための処理を示すフロー図
【符号の説明】
【００６１】
１００ 暗号化情報通信システム
１１０，１２０ 暗号化情報通信装置
１３０ ＩＰｖ６ネットワーク
１１１ セキュリティアソシエーション事前共有パラメータ格納部
１１２ セキュリティアソシエーション事前共有パラメータ情報交換部
１１３ ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ交換部
１１４ 暗号鍵生成部
１１５ 暗号鍵格納部
１１６ 暗号路生成部
１１７ ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除部
１１８ パラメータ送信部
１１９ パラメータ受信部
【特許請求の範囲】
【請求項１】
ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う暗号化情報通信装置であって、
ＩＰｓｅｃのセキュリティアソシエーション（ＳＡ）情報をＩＫＥプロトコルにより確立するために必要となる事前共有パラメータ情報を交換するセキュリティアソシエーション事前共有パラメータ情報交換手段と、
前記ＩＰｖ６ネットワークを介して接続された送信側と受信側で互いに割り当てを行うＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成／削除するＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除手段と、
前記互いに割り当てられたＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間でセキュリティアソシエーション事前共有パラメータ情報交換のためのプロトコル手順を送受信する通信手段とを備え、
前記セキュリティアソシエーション事前共有パラメータ情報交換手段によって交換したセキュリティアソシエーション事前共有パラメータ情報によりＩＫＥ通信を行い、ＩＰｓｅｃのためのセキュリティアソシエーションを確立する暗号化情報通信装置。
【請求項２】
前記ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除手段は、送信側と受信側で前記セキュリティアソシエーション事前共有パラメータ情報交換を行うにあたり、各々ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成し、
前記通信手段は、生成した送信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎと受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間で通信路を設定し、
前記セキュリティアソシエーション事前共有パラメータ情報交換手段は、前記セキュリティアソシエーション事前共有パラメータ情報交換を行い、
前記ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除手段は、前記セキュリティアソシエーション事前共有パラメータ情報交換手段によるセキュリティアソシエーション事前共有パラメータ情報交換が終了すると、各々のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを削除する請求項１記載の暗号化情報通信装置。
【請求項３】
送信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎの下位６４ビットのインタフェースＩＤと、受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎの下位６４ビットのインタフェースＩＤから、暗号鍵を生成する暗号鍵生成手段と、
生成した暗号鍵を格納する暗号鍵格納手段と
をさらに備える請求項１記載の暗号化情報通信装置。
【請求項４】
前記セキュリティアソシエーション事前共有パラメータ情報交換手段は、前記暗号鍵生成手段により生成された暗号鍵を基に前記セキュリティアソシエーション事前共有パラメータ情報を暗号化する請求項３記載の暗号化情報通信装置。
【請求項５】
前記セキュリティアソシエーション事前共有パラメータ情報は、送信側もしくは受信側のＩＰｖ６ Ｇｌｏｂａｌ ＡｄｄｒｅｓｓとＩＫＥプロトコルで使用する事前共有鍵を含む請求項１記載の暗号化情報通信装置。
【請求項６】
ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う複数の暗号化情報通信装置から構成される暗号化情報通信システムであって、
請求項１乃至請求項５のいずれかに記載の暗号化情報通信装置を用いる暗号化情報通信システム。
【請求項７】
ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う複数の暗号化情報通信装置から構成される暗号化情報通信方法であって、
ＩＰｓｅｃのセキュリティアソシエーション（ＳＡ）情報をＩＫＥプロトコルにより確立するために必要となる事前共有パラメータ情報を交換するセキュリティアソシエーション事前共有パラメータ情報交換ステップと、
前記ＩＰｖ６ネットワークを介して接続された送信側と受信側で互いに割り当てを行うＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成／削除するＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除ステップと、
前記互いに割り当てられたＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間でセキュリティアソシエーション事前共有パラメータ情報交換のためのプロトコル手順を送受信する通信ステップと、
前記セキュリティアソシエーション事前共有パラメータ情報交換手段によって交換したセキュリティアソシエーション事前共有パラメータ情報によりＩＫＥ通信を行い、ＩＰｓｅｃのためのセキュリティアソシエーションを確立するセキュリティアソシエーション確立ステップと
を有する暗号化情報通信方法。
【請求項８】
前記ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除ステップでは、送信側と受信側で前記セキュリティアソシエーション事前共有パラメータ情報交換を行うにあたり、各々ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成し、
前記通信ステップでは、生成した送信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎと受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間で通信路を設定し、
前記セキュリティアソシエーション事前共有パラメータ情報交換ステップでは、前記セキュリティアソシエーション事前共有パラメータ情報交換を行い、
前記ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除ステップでは、前記セキュリティアソシエーション事前共有パラメータ情報交換手段によるセキュリティアソシエーション事前共有パラメータ情報交換が終了すると、各々のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを削除する請求項７記載の暗号化情報通信方法。
【請求項９】
送信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎの下位６４ビットのインタフェースＩＤと、受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎの下位６４ビットのインタフェースＩＤから、暗号鍵を生成する暗号鍵生成ステップと、
生成した暗号鍵を格納する暗号鍵格納ステップとをさらに備える請求項７記載の暗号化情報通信方法。
【請求項１０】
前記セキュリティアソシエーション事前共有パラメータ情報交換ステップでは、前記暗号鍵生成手段により生成された暗号鍵を基に前記セキュリティアソシエーション事前共有パラメータ情報を暗号化する請求項７記載の暗号化情報通信方法。
【請求項１１】
前記セキュリティアソシエーション事前共有パラメータ情報は、送信側もしくは受信側のＩＰｖ６ Ｇｌｏｂａｌ ＡｄｄｒｅｓｓとＩＫＥプロトコルで使用する事前共有鍵を含む請求項７記載の暗号化情報通信方法。
【請求項１２】
請求項７乃至請求項１１のいずれかに記載の暗号化情報通信方法の各ステップをコンピュータに実行させるためのプログラム。
【請求項１】
ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う暗号化情報通信装置であって、
ＩＰｓｅｃのセキュリティアソシエーション（ＳＡ）情報をＩＫＥプロトコルにより確立するために必要となる事前共有パラメータ情報を交換するセキュリティアソシエーション事前共有パラメータ情報交換手段と、
前記ＩＰｖ６ネットワークを介して接続された送信側と受信側で互いに割り当てを行うＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成／削除するＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除手段と、
前記互いに割り当てられたＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間でセキュリティアソシエーション事前共有パラメータ情報交換のためのプロトコル手順を送受信する通信手段とを備え、
前記セキュリティアソシエーション事前共有パラメータ情報交換手段によって交換したセキュリティアソシエーション事前共有パラメータ情報によりＩＫＥ通信を行い、ＩＰｓｅｃのためのセキュリティアソシエーションを確立する暗号化情報通信装置。
【請求項２】
前記ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除手段は、送信側と受信側で前記セキュリティアソシエーション事前共有パラメータ情報交換を行うにあたり、各々ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成し、
前記通信手段は、生成した送信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎと受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間で通信路を設定し、
前記セキュリティアソシエーション事前共有パラメータ情報交換手段は、前記セキュリティアソシエーション事前共有パラメータ情報交換を行い、
前記ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除手段は、前記セキュリティアソシエーション事前共有パラメータ情報交換手段によるセキュリティアソシエーション事前共有パラメータ情報交換が終了すると、各々のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを削除する請求項１記載の暗号化情報通信装置。
【請求項３】
送信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎの下位６４ビットのインタフェースＩＤと、受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎの下位６４ビットのインタフェースＩＤから、暗号鍵を生成する暗号鍵生成手段と、
生成した暗号鍵を格納する暗号鍵格納手段と
をさらに備える請求項１記載の暗号化情報通信装置。
【請求項４】
前記セキュリティアソシエーション事前共有パラメータ情報交換手段は、前記暗号鍵生成手段により生成された暗号鍵を基に前記セキュリティアソシエーション事前共有パラメータ情報を暗号化する請求項３記載の暗号化情報通信装置。
【請求項５】
前記セキュリティアソシエーション事前共有パラメータ情報は、送信側もしくは受信側のＩＰｖ６ Ｇｌｏｂａｌ ＡｄｄｒｅｓｓとＩＫＥプロトコルで使用する事前共有鍵を含む請求項１記載の暗号化情報通信装置。
【請求項６】
ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う複数の暗号化情報通信装置から構成される暗号化情報通信システムであって、
請求項１乃至請求項５のいずれかに記載の暗号化情報通信装置を用いる暗号化情報通信システム。
【請求項７】
ＩＰｖ６ネットワークを介してＩＰｓｅｃプロトコルにより暗号化通信を行う複数の暗号化情報通信装置から構成される暗号化情報通信方法であって、
ＩＰｓｅｃのセキュリティアソシエーション（ＳＡ）情報をＩＫＥプロトコルにより確立するために必要となる事前共有パラメータ情報を交換するセキュリティアソシエーション事前共有パラメータ情報交換ステップと、
前記ＩＰｖ６ネットワークを介して接続された送信側と受信側で互いに割り当てを行うＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成／削除するＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除ステップと、
前記互いに割り当てられたＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間でセキュリティアソシエーション事前共有パラメータ情報交換のためのプロトコル手順を送受信する通信ステップと、
前記セキュリティアソシエーション事前共有パラメータ情報交換手段によって交換したセキュリティアソシエーション事前共有パラメータ情報によりＩＫＥ通信を行い、ＩＰｓｅｃのためのセキュリティアソシエーションを確立するセキュリティアソシエーション確立ステップと
を有する暗号化情報通信方法。
【請求項８】
前記ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除ステップでは、送信側と受信側で前記セキュリティアソシエーション事前共有パラメータ情報交換を行うにあたり、各々ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを生成し、
前記通信ステップでは、生成した送信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎと受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ間で通信路を設定し、
前記セキュリティアソシエーション事前共有パラメータ情報交換ステップでは、前記セキュリティアソシエーション事前共有パラメータ情報交換を行い、
前記ＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎ生成・削除ステップでは、前記セキュリティアソシエーション事前共有パラメータ情報交換手段によるセキュリティアソシエーション事前共有パラメータ情報交換が終了すると、各々のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎを削除する請求項７記載の暗号化情報通信方法。
【請求項９】
送信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎの下位６４ビットのインタフェースＩＤと、受信側のＩＰｖ６ Ａｄｄｒｅｓｓ Ｐｒｉｖａｃｙ Ｅｘｔｅｎｔｉｏｎの下位６４ビットのインタフェースＩＤから、暗号鍵を生成する暗号鍵生成ステップと、
生成した暗号鍵を格納する暗号鍵格納ステップとをさらに備える請求項７記載の暗号化情報通信方法。
【請求項１０】
前記セキュリティアソシエーション事前共有パラメータ情報交換ステップでは、前記暗号鍵生成手段により生成された暗号鍵を基に前記セキュリティアソシエーション事前共有パラメータ情報を暗号化する請求項７記載の暗号化情報通信方法。
【請求項１１】
前記セキュリティアソシエーション事前共有パラメータ情報は、送信側もしくは受信側のＩＰｖ６ Ｇｌｏｂａｌ ＡｄｄｒｅｓｓとＩＫＥプロトコルで使用する事前共有鍵を含む請求項７記載の暗号化情報通信方法。
【請求項１２】
請求項７乃至請求項１１のいずれかに記載の暗号化情報通信方法の各ステップをコンピュータに実行させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２００９−３８５１２（Ｐ２００９−３８５１２Ａ）
【公開日】平成２１年２月１９日（２００９．２．１９）
【国際特許分類】
【出願番号】特願２００７−１９９７５４（Ｐ２００７−１９９７５４）
【出願日】平成１９年７月３１日（２００７．７．３１）
【出願人】（０００００５８２１）パナソニック株式会社 (73,050)
【Ｆターム（参考）】
【公開日】平成２１年２月１９日（２００９．２．１９）
【国際特許分類】
【出願日】平成１９年７月３１日（２００７．７．３１）
【出願人】（０００００５８２１）パナソニック株式会社 (73,050)
【Ｆターム（参考）】
[ Back to top ]