暗号通信装置および暗号通信方法
【課題】暗復号化処理およびＳＡ交換処理の両方のオーバヘッドを小さくし、且つ、ＮＡＴ越え問題を解決する。
【解決手段】アプリケーション層に実装された暗復号化モジュール１８は、アプリケーションのメッセージまたはストリームを単位として暗復号化処理を行う。また、アプリケーション層に実装されたＳＡ管理モジュール１７は、シグナリングモジュール１５を用いて、通信相手とＳＡ、ＳＰを交換する。そして、アプリケーションのトランザクションが終了し、その結果ソケットが削除された場合でも、所定時間（有効期限）内にトランザクションが発生している限り、つまりコネクションが継続している限り、ＳＡ、ＳＰを保持する。そして、新たにトランザクションが発生し、その結果新たにソケットが生成された場合には、この保持していたＳＡ、ＳＰを適用する。
【解決手段】アプリケーション層に実装された暗復号化モジュール１８は、アプリケーションのメッセージまたはストリームを単位として暗復号化処理を行う。また、アプリケーション層に実装されたＳＡ管理モジュール１７は、シグナリングモジュール１５を用いて、通信相手とＳＡ、ＳＰを交換する。そして、アプリケーションのトランザクションが終了し、その結果ソケットが削除された場合でも、所定時間（有効期限）内にトランザクションが発生している限り、つまりコネクションが継続している限り、ＳＡ、ＳＰを保持する。そして、新たにトランザクションが発生し、その結果新たにソケットが生成された場合には、この保持していたＳＡ、ＳＰを適用する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号通信技術に関する。
【背景技術】
【０００２】
暗号通信技術として、ＲＦＣ２４０１で規定されているＩＰｓｅｃ（Security Architecture for the Internet Protocol）、および、ＲＦＣ２２４６で規定されているＴＬＳ（Transport Layer Security）が知られている（非特許文献１、２）。
【０００３】
ＩＰｓｅｃは、ＴＣＰ/ＩＰのインターネット層において、データグラム毎に、当該データグラムに適用するＳＡ（Security Association）/ＳＰ（Security Policy）を検索し、検索したＳＡ/ＳＰを用いて暗復号化処理を行う。ＩＰｓｅｃにおけるＳＡ/ＳＰの交換は、ＩＫＥ（Internet Key Exchange）を用いて、通信相手との初回通信時およびＳＡ/ＳＰの有効期限経過時に実施される。
【０００４】
ＴＬＳは、ＴＣＰ（Transmission Control Protocol）/ＩＰ（Internet Protocol）のアプリケーション層において、メッセージまたはストリーム毎に、当該メッセージまたはストリームに適用するＳＡを検索し、検索したＳＡを用いて暗復号化処理を行う。ＴＬＳにおけるＳＡの交換は、ハンドシェイクプロトコルを用いて、アプリケーション層のトランザクション（ソケット）毎に実施される。なお、通常、ＴＬＳは、アプリケーションに組み込まれているためＳＰを用いない。通信相手のＩＰアドレスおよびＴＣＰポートまたはＵＤＰ（User Datagram Protocol）ポートは、アプリケーションで決定される。
【０００５】
【非特許文献１】RFC2401 "Security Architecture for the Internet Protocol"
【非特許文献２】RFC2246 "The TLS Protocol Version 1.0"
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ＩＰｓｅｃは、ＴＣＰ/ＩＰのインターネット層において、データグラム単位でＳＡ/ＳＰ検索が実施されるため、暗復号化処理のオーバヘッドが大きい。また、ＴＣＰ/ＩＰのインターネット層で暗復号化処理を行うため、いわゆるＮＡＴ（Network Address Translation）越え問題に対応することが困難である。なお、トンネルモードでは、ローカルアドレス宛のＩＰパケットをグローバルアドレス宛の別のＩＰパケットに格納して運ぶ。このため、ＩＰパケットのペイロードが暗号化されるＩＰｓｅｃでは、該ペイロードに格納されているＩＰパケットのＩＰヘッダも暗号化されるため、これを正しく届けることができない。また、トランスポートモードでは、ＩＰアドレスを含んだチェックサムがＴＣＰヘッダに格納される。このため、ＩＰパケットのペイロードが暗号化されるトランスポートモードでも、該ペイロードに格納されているチェックサムが正しく計算できないため、これを正しく届けることができない。
【０００７】
一方、ＴＬＳは、ＴＣＰ/ＩＰのアプリケーション層において、メッセージまたはストリーム単位でＳＡ検索が実施されるため、メッセージまたはストリームのデータサイズが大きくなっても、ＩＰフラグメント化による暗復号化処理のオーバヘッドは影響しない。また、ＴＣＰ/ＩＰのアプリケーション層で暗復号化処理を行うため、いわゆるＮＡＴ越え問題に対応することができる。しかし、ＴＬＳにおけるＳＡの交換は、ハンドシェイクプロトコルを用いて、アプリケーション層のトランザクション毎に実施されるため、例えばトランザクションが頻繁に発生するＨＴＴＰ１.０を利用したＷｅｂブラウザ等のアプリケーションでは、ＳＡ交換処理のオーバヘッドが大きくなる。
【０００８】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、暗復号化処理およびＳＡ交換処理の両方のオーバヘッドを小さくでき、且つ、ＮＡＴ越え問題を解決できる暗号通信技術を提供することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明では、暗復号化処理をアプリケーション層でメッセージまたはストリーム毎に行う。また、ＳＡ/ＳＰの交換は、ハンドシェイクプロトコルを用いて、アプリケーション層のコネクション毎に実施する。すなわち、アプリケーションのトランザクションが終了し、その結果ソケットが削除されても、所定時間が経過するまではＳＡ/ＳＰを保持する。そして、新たにトランザクションが発生し、その結果新たにソケットが生成された場合には、この保持していたＳＡ/ＳＰを適用する。
【００１０】
例えば、本発明の暗号通信装置は、ＴＣＰ/ＩＰのアプリケーション層に実装された暗復号化手段、ＳＡ（Security Association）管理手段、およびハンドシェイク手段、を有し、
前記ＳＡ管理手段は、
ＳＡパラメータがＩＰアドレスおよびポート番号に対応付けて登録されたＳＡまたはＳＰデータベースと、
前記暗復号化モジュールから受付けたＳＡ検索依頼で指定されているＩＰアドレスおよびポート番号に対応付けられている有効期限内のＳＡパラメータを前記ＳＡまたはＳＰデータベースから検索し、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されている場合は、当該ＳＡパラメータを前記暗復号化モジュールに通知し、一方、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されていない場合は、前記ハンドシェイク手段を利用して前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手して前記暗復号化モジュールに通知すると共に、当該ＳＡパラメータを前記通信相手のＩＰアドレスおよびポート番号に対応付けて前記ＳＡまたはＳＰデータベースに登録するＳＡ通知手段と、を有し、
前記暗復号化手段は、
前記アプリケーション層に実装されたアプリケーションが前記通信相手に送信するメッセージまたはストリーム毎に、および、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データ毎に、前記通信相手のＩＰアドレスおよびポート番号の指定を伴うＳＡ検索要求を生成して前記ＳＡ管理手段に通知し、前記ＳＡ管理手段からＳＡパラメータを入手するＳＡ検索要求手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手に送信するメッセージまたはストリームを暗号化する暗号化手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データを復号化する復号化手段と、を有し、
前記ＳＡ通知手段は、
前記暗復号化モジュールにＳＡパラメータを通知する毎に、前記ＳＡまたはＳＰデータベースに登録されている当該ＳＡパラメータの有効期限を更新する。
【発明の効果】
【００１１】
本発明によれば、暗復号化処理およびＳＡ交換処理の両方のオーバヘッドを小さくできる。また、ＮＡＴ越え問題を解決することができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の一実施形態を説明する。
【００１３】
図１は、本実施形態の一実施形態が適用された暗号通信装置１のソフトウエア構成図である。図示するように、暗号通信装置１は、ＴＣＰ/ＩＰのネットワークインターフェース層を処理するＮＩＣ（Network Interface Card）ドライバ１０と、ＴＣＰ/ＩＰのインターネット層を処理するＩＰプロトコルスタック１１と、ＴＣＰ/ＩＰのトランスポート層を処理するＴＣＰ（ＵＤＰ）プロトコルスタック１２と、ＴＣＰ/ＩＰのアプリケーション層を処理するアプリケーション１４、シグナリングモジュール１５、ＴＬＳモジュール１６、ＳＡ管理モジュール１７、および暗復号化モジュール１８と、を有する。
【００１４】
アプリケーション１４は、通信相手とメッセージまたはストリームを送受信するプログラムである。アプリケーション１４としては、アプリケーション層のプロトコルであるＨＴＴＰ（HyperText Transfer Protocol）、ＳＭＴＰ（Simple Mail Transfer Protocol）、ＲＴＰ（Real-time Transport Protocol）等を利用したアプリケーション、例えばＷｅｂブラウザ、電子メール、ＩＰ電話等がある。
【００１５】
シグナリングモジュール１５は、後述するＳＡ管理モジュール１７が通信相手とＳＡ、ＳＰを交換するために利用するハンドシェイクプロトコルを処理するプログラムである。シグナリングモジュール１５としては、ＳＩＰ（Session Initiation Protocol）、ＩＫＥ等を利用したプログラムがある。シグナリングモジュール１５は、後述するＳＡ管理モジュール１７より受信した、通信相手のＩＰアドレス、ポート番号およびプロトコルの指定を伴うＳＡ情報交換要求に従い、通信相手のシグナリングモジュール１５とＳＡ、ＳＰの情報を交換し、アプリケーション１４が通信相手のアプリケーション１４と暗号通信を行うために用いるＳＡ、ＳＰの情報を決定する。そして、決定したＳＡ、ＳＰの情報を、通信相手のアプリケーション１４のＩＰアドレスおよびポート番号と共に、ＳＡ管理モジュール１７に通知する。
【００１６】
ＴＬＳモジュール１６は、シグナリングモジュール１５が通信相手との間に確立したシグナリングチャネルを暗号化するためにＴＬＳを処理するプログラムである。シグナリングチャネルは、図１、図２、図４において点線で表した矢印が相当する。ＴＬＳモジュール１６は、シグナリングモジュール１５が通信相手へ送信するＳＡ、ＳＰの情報を暗号化してＴＣＰ（ＵＤＰ）プロトコルスタック１２に送信する。また、シグナリングモジュール１５が通信相手から入手するＳＡ、ＳＰの情報を、ＴＣＰ（ＵＤＰ）プロトコルスタック１２より受信して復号化し、これをシグナリングモジュール１５へ送信する。
【００１７】
ＳＡ管理モジュール１７は、後述する暗復号化モジュール１８からのＳＡ/ＳＰ検索要求に従い、アプリケーション１４が通信相手のアプリケーション１４と暗号通信を行なうために用いるＳＡ、ＳＰの情報を自身のデータベースから検索して、暗復号化モジュール１８に通知する。自身のデータベースに該当するＳＡ、ＳＰの情報が登録されていない場合は、該通信相手の指定（ＩＰアドレスとＴＣＰ（ＵＤＰ）ポート）を伴うＳＡ/ＳＰ検索要求を生成して、シグナリングモジュール１５に送信する。そして、シグナリングモジュール１５からＳＡ、ＳＰの情報を取得する。また、ＳＡ管理モジュール１７は、自身のデータベースに登録されているＳＡ、ＳＰの情報の有効期限の管理を行う。
【００１８】
図２は、ＳＡ管理モジュール１７のソフトウエア構成図である。図示するように、ＳＡ管理モジュール１７は、ＳＡＤ１７１と、ＳＰＤ１７２と、ＳＡ/ＳＰ管理部１７３と、ＳＡ/ＳＰ検索要求受付部１７４と、ＳＡ情報交換要求部１７５と、を有する。
【００１９】
ＳＡＤ１７１は、送信用ＳＡＤ１７１Ａと、受信用ＳＡＤ１７１Ｂとを有する。送信用ＳＡＤ１７１Ａは、通信相手に送信するデータを暗号化するのに用いるＳＡパラメータを記憶するデータベースである。受信用ＳＡＤ１７１Ｂは、通信相手から受信したデータを復号化するのに用いるＳＡパラメータを記憶するデータベースである。ＳＡパラメータには、認証アルゴリズム、認証鍵、暗号化アルゴリズム、暗号化鍵、ＳＡの有効期間等が含まれる。ＳＡパラメータは、通信相手のアドレスおよびＴＣＰ（ＵＤＰ）ポートに対応付けられて、送信用ＳＡＤ１７１Ａおよび受信用ＳＡＤ１７１Ｂにそれぞれ登録される。
【００２０】
ＳＰＤ１７２は、送信用ＳＰＤ１７２Ａと、受信用ＳＰＤ１７２Ｂとを有する。送信用ＳＰＤ１７２Ａは、通信相手に送信するデータを暗号化するのに用いるＳＰを記憶するデータベースである。受信用ＳＰＤ１７２Ｂは、通信相手から受信したデータを復号化するのに用いるＳＰを記憶するデータベースである。ＳＰには、該当パケットの処理内容（Apply、Bypass、Discard）、ＳＰの有効期限等が含まれる。ＳＰは、通信相手のアドレスおよびＴＣＰ（ＵＤＰ）ポートに対応付けられて、送信用ＳＰＤ１７２Ａおよび受信用ＳＰＤ１７２Ｂにそれぞれ登録される。
【００２１】
ＳＡ/ＳＰ検索要求受付部１７４は、後述する暗復号化モジュール１８より通信相手のＩＰアドレス、ポート番号およびプロトコルの指定を伴うＳＡ/ＳＰ検索要求を受付け、これをＳＡ/ＳＰ管理部１７３に通知する。そして、ＳＡ/ＳＰ管理部１７３よりＳＡ、ＳＰを受信して暗復号化モジュール１８に通知する。
【００２２】
ＳＡ情報交換要求部１７５は、ＳＡ/ＳＰ管理部１７３より通信相手のＩＰアドレス、ポート番号およびプロトコルの指定を伴うＳＡ情報交換要求を受付け、これをシグナリングモジュール１５に通知する。そして、シグナリングモジュール１５よりＳＡ、ＳＰを受信してＳＡ/ＳＰ管理部１７３に通知する。また、ＳＡ情報交換要求部１７５は、シグナリングモジュール１５を介して通信相手より当該通信相手のＩＰアドレス、ポート番号およびプロトコルの指定と、予め登録されている暗復号化モジュール１８が使用可能なＳＡ情報のリストとを伴うＳＡ情報交換要求を受付けると、これをＳＡ/ＳＰ管理部１７３に通知する。そして、ＳＡ/ＳＰ管理部１７３よりＳＡ、ＳＰを受信し、シグナリングモジュール１５を介して通信相手に通知する。
【００２３】
ＳＡ/ＳＰ管理部１７３は、ＳＡ/ＳＰ検索要求受付部１７４よりＳＡ/ＳＰ検索要求を受付けると、該ＳＡ/ＳＰ検索要求で指定されている通信相手のＩＰアドレス、ポート番号およびプロトコルに対応付けられているＳＡ、ＳＰをＳＡＤ１７１、ＳＰＤ１７２から検索する。そして、検索したＳＡ、ＳＰをＳＡ/ＳＰ検索要求受付部１７４に通知する。なお、検索したＳＡ/ＳＰが有効期限を過ぎている場合、ＳＡ/ＳＰ管理部１７３は、自暗号通信装置１のＩＰアドレス、ポート番号およびプロトコルの指定と、予め登録されている暗復号化モジュール１８が使用可能なＳＡ情報のリストとを伴うＳＡ情報交換要求を生成し、ＳＡ情報交換要求部１７５に通知する。そして、ＳＡ情報交換要求部１７５よりＳＡ、ＳＰを受付けて、ＳＡ/ＳＰ検索要求受付部１７４に通知すると共にＳＡＤ１７１、ＳＰＤ１７２を更新する。また、ＳＡ/ＳＰ管理部１７３は、ＳＡ情報交換要求部１７５よりＳＡ情報交換要求を受付けると、該ＳＡ情報交換要求に付与されているＳＡ情報のリストの中から、予め登録されている暗復号化モジュール１８が使用可能なＳＡ情報のリストに含まれているＳＡ、ＳＰを選択し、これをＳＡ情報交換要求部１７５に通知すると共にＳＡＤ１７１、ＳＰＤ１７２を更新する。
【００２４】
図３は、ＳＡ管理モジュール１７の動作を説明するための図である。
【００２５】
ＳＡ/ＳＰ検索要求受付部１７４は、暗復号化モジュール１８より通信相手のＩＰアドレス、ポート番号およびプロトコルの指定を伴うＳＡ/ＳＰ検索要求（送信用ＳＡ/ＳＰ検索要求、受信用ＳＡ/ＳＰ検索要求）を受付けると（Ｓ１０１でＹＥＳ）、これをＳＡ/ＳＰ管理部１７３に通知する。これを受けて、ＳＡ/ＳＰ管理部１７３はＳＡＤ１７１、ＳＰＤ１７２からＳＡ、ＳＰを検索する（Ｓ１０２）。
【００２６】
具体的には、送信用ＳＡ/ＳＰ検索要求の場合は、送信用ＳＡＤ１７１Ａを検索し、該送信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＡを検索する。同様に、送信用ＳＰＤ１７２Ａを検索し、該送信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＰを検索する。一方、受信用ＳＡ/ＳＰ検索要求の場合は、受信用ＳＡＤ１７１Ｂを検索し、該ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＡを検索する。同様に、受信用ＳＰＤ１７２Ｂを検索し、該ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＰを検索する。
【００２７】
ＳＡ、ＳＰを検索できなかった場合（Ｓ１０３でＮＯ）、あるいは、ＳＡ、ＳＰを検索できたがＳＡ、ＳＰの有効期限が過ぎている場合（Ｓ１０４でＮＯ）、ＳＡ/ＳＰ管理部１７３は、自暗号通信装置１のＩＰアドレス、ポート番号およびプロトコルと、予め登録されている暗復号化モジュール１８が使用可能なＳＡ情報のリストとを伴うＳＡ情報交換要求を生成し（送信用ＳＡ/ＳＰ検索要求の場合は受信用ＳＡ情報交換要求を生成し、受信用ＳＡ/ＳＰ検索要求の場合は送信用ＳＡ情報交換要求を生成する）、ＳＡ情報交換要求部１７５に通知する。これを受けて、ＳＡ情報交換要求部１７５は、シグナリングモジュール１５を介して通信相手に、該ＳＡ情報交換要求（送信用ＳＡ情報交換要求、受信用ＳＡ情報交換要求）を送信する（Ｓ１１１）。
【００２８】
さて、ＳＡ情報交換要求部１７５は、シグナリングモジュール１５を介して通信相手から、ＳＡ情報交換要求に対する応答としてＳＡ情報を受信すると（Ｓ１１２でＹＥＳ）、これをＳＡ/ＳＰ管理部１７３に通知する。これを受けて、ＳＡ/ＳＰ管理部１７３は、ＳＡＤ１７１、ＳＰＤ１７２にＳＡ情報交換要求部１７５から受信したＳＡ情報を登録・更新する（Ｓ１１３）。
【００２９】
具体的には、送信用ＳＡ情報交換要求に対する応答として、ＳＡ情報交換要求部１７５から送信用ＳＡ情報を受信した場合、該送信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＡを、送信用ＳＡＤ１７１Ａから検索する。そして、検索した送信用ＳＡを、ＳＡ情報交換要求部１７５から受信した送信用ＳＡ情報に更新する。また、対応するＳＰを送信用ＳＰに更新する。この際、送信用ＳＡの有効期限を、所定時間後の日時に更新する。該送信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＡが、送信用ＳＡＤ１７１Ａに登録されていない場合は、ＳＡ情報交換要求部１７５から受信した送信用ＳＡ情報およびこれに対応するＳＰを、該送信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けて送信用ＳＡＤ１７１ＡおよびＳＰＤ１７２Ａに新たに登録する。この際、送信用ＳＡの有効期限を、所定時間後の日時に設定する。
【００３０】
また、受信用ＳＡ情報交換要求に対する応答として、ＳＡ情報交換要求部１７５から受信用ＳＡ情報を受信した場合、該受信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＡを、受信用ＳＡＤ１７１Ａから検索する。そして、検索した受信用ＳＡを、ＳＡ情報交換要求部１７５から受信した受信用ＳＡ情報に更新する。また、対応するＳＰを受信用ＳＰに更新する。この際、受信用ＳＡの有効期限を、所定時間後の日時に更新する。該受信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＡが、受信用ＳＡＤ１７１Ａに登録されていない場合は、ＳＡ情報交換要求部１７５から受信した受信用ＳＡ情報およびこれに対応するＳＰを、該受信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けて受信用ＳＡＤ１７１ＡおよびＳＰＤ１７２Ａに新たに登録する。この際、受信用ＳＡの有効期限を、所定時間後の日時に設定する。
【００３１】
次に、ＳＡ/ＳＰ管理部１７３は、ＳＡ情報交換要求部１７５から受信したＳＡ情報およびこれに対応するＳＰをＳＡ/ＳＰ検索要求受付部１７４に通知する。これを受けて、ＳＡ/ＳＰ検索要求受付部１７４は、このＳＡ情報およびこれに対応するＳＰを暗復号化モジュール１８に送信する（Ｓ１１４）。
【００３２】
一方、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられてＳＡＤ１７１、ＳＰＤ１７２にＳＡ、ＳＰが登録されており（Ｓ１０３でＹＥＳ）、且つ、該ＳＡ、ＳＰの有効期限が過ぎていない場合（Ｓ１０４でＹＥＳ）、ＳＡ/ＳＰ管理部１７３は、ＳＡＤ１７１、ＳＰＤ１７２に登録されている該ＳＡ、ＳＰの有効期限を更新する（Ｓ１０５）。
【００３３】
具体的には、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求が送信用ＳＡ/ＳＰ検索要求の場合は、当該送信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられて送信用ＳＡＤ１７１Ａに登録されている送信用ＳＡの有効期限を、所定時間後の日時に更新する。
【００３４】
また、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求が受信用ＳＡ/ＳＰ検索要求の場合は、当該受信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられて受信用ＳＡＤ１７１Ｂに登録されている受信用ＳＡの有効期限を、所定時間後の日時に更新する。
【００３５】
次に、ＳＡ/ＳＰ管理部１７３は、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられてＳＡＤ１７１、ＳＰＤ１７２に登録されているＳＡ、ＳＰを、ＳＡ/ＳＰ検索要求受付部１７４に通知する。具体的には、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求が送信用ＳＡ/ＳＰ検索要求の場合は、当該送信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられて送信用ＳＡＤ１７１Ａ、送信用ＳＰＤ１７２Ａに登録されている送信用ＳＡ、ＳＰを、ＳＡ/ＳＰ検索要求受付部１７４に通知する。また、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求が受信用ＳＡ/ＳＰ検索要求の場合は、当該受信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられて受信用ＳＡＤ１７１Ｂ、受信用ＳＰＤ１７２Ｂに登録されている受信用ＳＡ、ＳＰを、ＳＡ/ＳＰ検索要求受付部１７４に通知する。これを受けて、ＳＡ/ＳＰ検索要求受付部１７４は、このＳＡ、ＳＰを暗復号化モジュール１８に送信する（Ｓ１０６）。
【００３６】
また、ＳＡ情報交換要求部１７５は、シグナリングモジュール１５を介して通信相手から当該通信相手のＩＰアドレス、ポート番号およびプロトコルと、当該通信相手が利用可能なＳＡ情報のリストとを伴うＳＡ情報交換要求（送信用ＳＡ情報交換要求、受信用ＳＡ情報交換要求）を受付けると（Ｓ１２１でＹＥＳ）、これをＳＡ/ＳＰ管理部１７３に通知する。これを受けて、ＳＡ/ＳＰ管理部１７３は、予め登録されている自暗号通信装置１が利用可能なＳＡ情報のリストと、該ＳＡ情報交換要求に付加されているＳＡ情報のリストとを比較し、両リストに掲載されているＳＡ、ＳＰ、つまり、両装置で利用可能なＳＡ、ＳＰの中から、今回の暗号通信に利用するＳＡ、ＳＰを決定する（Ｓ１２２）。そして、決定したＳＡ、ＳＰをＳＡＤ１７１、ＳＰＤ１７２に登録・更新する（Ｓ１２３）。
【００３７】
具体的には、シグナリングモジュール１５を介して通信相手から受信したＳＡ情報交換要求が送信用ＳＡ情報交換要求の場合、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＡを、送信用ＳＡＤ１７１Ａから検索する。そして、検索した送信用ＳＡを、該決定したＳＡに更新する。この際、送信用ＳＡの有効期限を、所定時間後の日時に更新する。なお、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＡが、送信用ＳＡＤ１７１Ａに登録されていない場合は、該決定したＳＡを、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けて送信用ＳＡＤ１７１Ａに新たに登録する。この際、送信用ＳＡの有効期限を、所定時間後の日時に設定する。
【００３８】
同様に、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＰを、送信用ＳＰＤ１７２Ａから検索する。そして、検索した送信用ＳＰを、該決定したＳＰに更新する。この際、送信用ＳＰの有効期限を、所定時間後の日時に更新する。なお、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＰが、送信用ＳＰＤ１７２Ａに登録されていない場合は、該決定したＳＰを、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けて送信用ＳＰＤ１７２Ａに新たに登録する。この際、送信用ＳＰの有効期限を、所定時間後の日時に設定する。
【００３９】
また、シグナリングモジュール１５を介して通信相手から受信したＳＡ情報交換要求が受信用ＳＡ情報交換要求の場合、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＡを、受信用ＳＡＤ１７１Ｂから検索する。そして、検索した受信用ＳＢを、該決定したＳＢに更新する。この際、受信用ＳＢの有効期限を、所定時間後の日時に更新する。なお、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＡが、受信用ＳＡＤ１７１Ｂに登録されていない場合は、該決定したＳＡを、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けて受信用ＳＡＤ１７１Ｂに新たに登録する。この際、受信用ＳＡの有効期限を、所定時間後の日時に設定する。
【００４０】
同様に、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＰを、受信用ＳＰＤ１７２Ｂから検索する。そして、検索した受信用ＳＰを、該決定したＳＰに更新する。この際、受信用ＳＰの有効期限を、所定時間後の日時に更新する。なお、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＰが、受信用ＳＰＤ１７２Ａに登録されていない場合は、該決定したＳＰを、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けて受信用ＳＰＤ１７２Ｂに新たに登録する。この際、受信用ＳＰの有効期限を、所定時間後の日時に設定する。
【００４１】
次に、ＳＡ/ＳＰ管理部１７３は、該決定したＳＡ、ＳＰをＳＡ/ＳＰ検索要求部１７５に通知する。これを受けて、ＳＡ/ＳＰ検索要求部１７５は、このＳＡ、ＳＰをシグナリングモジュール１５を介して、該ＳＡ情報交換要求の送信元に送信する（Ｓ１２４）。
【００４２】
図１に戻って説明を続ける。暗復号化モジュール１８は、アプリケーション１４から出力されたメッセージまたはストリームを、ＳＡ管理モジュール１７より取得した送信用ＳＡ、送信用ＳＰを用いて暗号化し、ＴＣＰ（ＵＤＰ）プロトコルスタック１２に出力する。また、ＴＣＰ（ＵＤＰ）プロトコルスタック１２より出力された暗号化データを、ＳＡ管理モジュール１７より取得した受信用ＳＡ、受信用ＳＰを用いてメッセージまたはストリームに復号化し、アプリケーション１４に出力する。
【００４３】
図４は、暗復号化モジュール１８のソフトウエア構成図である。図示するように、暗復号化モジュール１８は、アプリケーション用受信バッファ１８１と、暗号化部１８２と、ＴＣＰ（ＵＤＰ）プロトコルスタック用送信バッファ１８３と、ＴＣＰ（ＵＤＰ）スタック用受信バッファ１８４と、復号化部１８５と、アプリケーション用送信バッファ１８６と、ＳＡ/ＳＰ検索要求部１８７と、を有する。
【００４４】
アプリケーション用受信バッファ１８１は、ソケットバッファを介してアプリケーション１４から送られてきたメッセージまたはストリームを格納する。
【００４５】
暗号化部１８２は、アプリケーション用受信バッファ１８１に格納されたメッセージまたはストリームを、後述するＳＡ/ＳＰ検索要求部１８７により設定された送信用ＳＡ、ＳＰの情報を用いて暗号化して出力する。なお、メッセージまたはストリームのデータサイズが所定サイズ（例えば２１４byte）を超えている場合、メッセージまたはストリームを該所定サイズにフラグメントし、フラグメントされたデータ単位で暗号化し出力する。
【００４６】
ＴＣＰ（ＵＤＰ）プロトコルスタック用送信バッファ１８３は、暗号化部１７２より出力された暗号化データを格納する。そして、この暗号化データをＴＣＰ（ＵＤＰ）プロトコルスタック１２に出力する。
【００４７】
ＴＣＰ（ＵＤＰ）プロトコルスタック用受信バッファ８７４は、ＴＣＰ（ＵＤＰ）プロトコルスタック１２から送られてきた暗号化データを格納する。
【００４８】
復号化部１８５は、ＴＣＰ（ＵＤＰ）プロトコルスタック用受信バッファ１８４に格納された暗号化データを、後述するＳＡ/ＳＰ検索要求部１８７により設定された受信用ＳＡ、ＳＰの情報を用いて復号化して出力する。
【００４９】
アプリケーション用送信バッファ１８６は、復号化部１８５より出力された復号化データを格納する。そして、この復号化データ（メッセージまたはストリーム）は、ソケットバッファを介して、アプリケーション１４に出力する。なお、アプリケーション用送信バッファ１８６に格納された復号化データがメッセージまたはストリームのフラグメントデータである場合、アプリケーション用送信バッファ１８６は、連続する複数のフラグメントデータからメッセージまたはストリームを復元し、ソケットバッファを介して、アプリケーション１４に出力する。
【００５０】
ＳＡ/ＳＰ検索要求部１８７は、アプリケーション用受信バッファ１８１にメッセージまたはストリームが格納されると、該メッセージまたはストリームの宛先のＩＰアドレス、ポート番号およびプロトコルの指定を伴う送信用ＳＡ/ＳＰ検索要求を生成し、これをＳＡ管理モジュール１７に通知する。そして、ＳＡ管理モジュール１７から受け取った送信用ＳＡ、送信用ＳＰを暗号化部１７２に設定する。また、ＳＡ/ＳＰ検査要求部１８７は、ＴＣＰ（ＵＤＰ）スタック用受信バッファ１８４に暗号化データが格納されると、該暗号化データの送信元のＩＰアドレス、ポート番号およびプロトコルの指定を伴う受信用ＳＡ/ＳＰ検索要求を生成し、これをＳＡ管理モジュール１７に通知する。そして、ＳＡ管理モジュール１７から受け取った受信用ＳＡ、受信用ＳＰを復号化部１７５に設定する。
【００５１】
図５は、暗復号化モジュール１７の動作を説明するための図である。
【００５２】
アプリケーション用受信バッファ１８１に、アプリケーション１４のメッセージまたはストリームが格納されると（Ｓ２０１でＹＥＳ）、ＳＡ/ＳＰ検索要求部１８７は、当該メッセージまたはストリームの宛先のＩＰアドレス、ポート番号およびプロトコルを伴う送信用ＳＡ/ＳＰ検索要求を生成して、ＳＡ管理モジュール１７に通知する（Ｓ２０２）。次に、ＳＡ/ＳＰ検索要求部１８７は、ＳＡ管理モジュール１７から送信用ＳＡ、ＳＰを受信したならば（Ｓ２０３でＹＥＳ）、これらを暗号化部１８２に設定する。暗号化部１８２は、送信用ＳＡ、ＳＰが設定されたならば、アプリケーション用受信バッファ１８１からメッセージまたはストリームを読み出し、これを設定されている送信用ＳＡ、ＳＰに従って暗号化する（Ｓ２０５）。なお、アプリケーション用受信バッファ１８１から読みだしたメッセージまたはストリームのデータサイズが所定サイズを超えている場合は、当該メッセージまたはストリームを所定サイズにフラグメントしてから（Ｓ２０４）、暗号化する（Ｓ２０５）。暗号化終了後、暗号化部１８２は、設定されている送信用ＳＡ、ＳＰを保持したまま、暗号化データをＴＣＰ（ＵＤＰ）プロトコルスタック用送信バッファ１８３を介してＴＣＰ（ＵＤＰ）プロトコルスタック１２に出力する（Ｓ２０６）。
【００５３】
また、ＴＣＰプロトコルスタック用受信バッファ１８４に、暗号化データが格納されると（Ｓ２１１でＹＥＳ）、ＳＡ/ＳＰ検索要求部１８７は、当該暗号化データの送信元のＩＰアドレス、ポート番号およびプロトコルを伴う受信用ＳＡ/ＳＰ検索要求を生成して、ＳＡ管理モジュール１７に通知する（Ｓ２１２）。次に、ＳＡ/ＳＰ検索要求部１８７は、ＳＡ管理モジュール１７から受信用ＳＡ、ＳＰを受信したならば（Ｓ２１３でＹＥＳ）、これらを復号化部１８５に設定する。復号化部１８５は、受信用ＳＡ、ＳＰが設定されたならば、ＴＣＰプロトコルスタック用受信バッファ１８４から暗号化データを読み出し、これを設定されている受信用ＳＡ、ＳＰに従って復号化する（Ｓ２１４）。これにより、通信相手のメッセージまたはストリームを復元する（Ｓ２１５）。なお、復号化したデータがフラグメントされたデータである場合、複数のフラグメントされたデータを繋ぎ合わせて通信相手のメッセージまたはストリームを復元する（Ｓ２１５）。メッセージまたはストリームの復元終了後、復号化部１８５は、設定されている受信用ＳＡ、ＳＰを保持したまま、復元したメッセージまたはストリームをアプリケーション用送信バッファ１８６を介してアプリケーション１４に出力する（Ｓ２１６）。
【００５４】
上記構成の暗号通信装置１は、例えば図６に示すような、ＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、ＣＤ-ＲＯＭやＤＶＤ-ＲＯＭやＩＣカードなどの記憶媒体９０４からデータを読み取る読取装置９０５と、ネットワークに接続するためのＮＩＣ９０６と、キーボード、マウス、ディスプレイ等の入出力装置を接続するためのＩ/Ｏコネクタ９０７と、これらの各装置を接続するバス９０８と、を備えた一般的なコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされたプログラムを実行することで実現できる。このプログラムは、読取装置９０５を介して記憶媒体９０４から、あるいは、ＮＩＣ９０６を介してネットワークから、外部記憶装置９０３にダウンロードされ、それから、メモリ９０２上にロードされてＣＰＵ９０１により実行されるようにしてもよい。あるいは、外部記憶装置９０３を経由せずに、メモリ９０２上に直接ロードされ、ＣＰＵ９０１により実行されるようにしてもよい。
【００５５】
以上、本発明の一実施形態について説明した。
【００５６】
本実施形態では、アプリケーション層に実装された暗復号化モジュール１８が、メッセージまたはストリームを単位として暗復号化処理を行う。また、アプリケーション層に実装されたＳＡ管理モジュール１７が、シグナリングモジュール１５を用いて、通信相手とＳＡ、ＳＰを交換する。そして、アプリケーション１４のトランザクションが終了し、その結果ソケットが削除された場合でも、所定時間（有効期限）内にトランザクションが発生している限り、つまりコネクションが継続している限り、ＳＡ、ＳＰを保持する。したがって、本実施形態によれば、暗復号化処理およびＳＡ交換処理の両方のオーバヘッドを小さくできる。また、ＮＡＴ越え問題を解決することができる。
【００５７】
なお、本実施形態の上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、上記の実施形態では、シグナリングチャネルをＴＬＳモジュール１６で暗号化する場合を例にとり説明したが、シグナリングチャネルの暗号化方法はこれに限定されない。また、上記の実施形態では、ＳＡおよびＳＰの両方を扱う場合を例にとり説明したが、ＳＰを用いないものでよい。
【図面の簡単な説明】
【００５８】
【図１】図１は本実施形態の一実施形態が適用された暗号通信装置１のソフトウエア構成図である。
【図２】図２はＳＡ管理モジュール１７のソフトウエア構成図である。
【図３】図３はＳＡ管理モジュール１７の動作を説明するための図である。
【図４】図４は暗復号化モジュール１８のソフトウエア構成図である。
【図５】図５は暗復号化モジュール１７の動作を説明するための図である。
【図６】図６は暗号通信装置１のハードウエア構成例を示す図である。
【符号の説明】
【００５９】
１…暗号通信装置、１０…ＮＩＣドライバ、１１…ＩＰプロトコルスタック、１２…ＴＣＰ（ＵＤＰ）プロトコルスタック、１４…アプリケーション、１５…シグナリングモジュール、１６…ＴＬＳモジュール、１７…ＳＡ管理モジュール、１７１…ＳＡＤ、１７２…ＳＰＤ、１７３…ＳＡ/ＳＰ管理部、１７４…ＳＡ/ＳＰ検索要求受付部、１７５…ＳＡ情報交換要求部、１８１…アプリケーション用受信バッファ、１８２…暗号化部、１８３…ＴＣＰ（ＵＤＰ）プロトコルスタック用送信バッファ、１８４…ＴＣＰ（ＵＤＰ）プロトコルスタック用受信バッファ、１８５…復号化部、１８６…アプリケーション用送信バッファ、１８７…ＳＡ/ＳＰ検索要求部
【技術分野】
【０００１】
本発明は、暗号通信技術に関する。
【背景技術】
【０００２】
暗号通信技術として、ＲＦＣ２４０１で規定されているＩＰｓｅｃ（Security Architecture for the Internet Protocol）、および、ＲＦＣ２２４６で規定されているＴＬＳ（Transport Layer Security）が知られている（非特許文献１、２）。
【０００３】
ＩＰｓｅｃは、ＴＣＰ/ＩＰのインターネット層において、データグラム毎に、当該データグラムに適用するＳＡ（Security Association）/ＳＰ（Security Policy）を検索し、検索したＳＡ/ＳＰを用いて暗復号化処理を行う。ＩＰｓｅｃにおけるＳＡ/ＳＰの交換は、ＩＫＥ（Internet Key Exchange）を用いて、通信相手との初回通信時およびＳＡ/ＳＰの有効期限経過時に実施される。
【０００４】
ＴＬＳは、ＴＣＰ（Transmission Control Protocol）/ＩＰ（Internet Protocol）のアプリケーション層において、メッセージまたはストリーム毎に、当該メッセージまたはストリームに適用するＳＡを検索し、検索したＳＡを用いて暗復号化処理を行う。ＴＬＳにおけるＳＡの交換は、ハンドシェイクプロトコルを用いて、アプリケーション層のトランザクション（ソケット）毎に実施される。なお、通常、ＴＬＳは、アプリケーションに組み込まれているためＳＰを用いない。通信相手のＩＰアドレスおよびＴＣＰポートまたはＵＤＰ（User Datagram Protocol）ポートは、アプリケーションで決定される。
【０００５】
【非特許文献１】RFC2401 "Security Architecture for the Internet Protocol"
【非特許文献２】RFC2246 "The TLS Protocol Version 1.0"
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ＩＰｓｅｃは、ＴＣＰ/ＩＰのインターネット層において、データグラム単位でＳＡ/ＳＰ検索が実施されるため、暗復号化処理のオーバヘッドが大きい。また、ＴＣＰ/ＩＰのインターネット層で暗復号化処理を行うため、いわゆるＮＡＴ（Network Address Translation）越え問題に対応することが困難である。なお、トンネルモードでは、ローカルアドレス宛のＩＰパケットをグローバルアドレス宛の別のＩＰパケットに格納して運ぶ。このため、ＩＰパケットのペイロードが暗号化されるＩＰｓｅｃでは、該ペイロードに格納されているＩＰパケットのＩＰヘッダも暗号化されるため、これを正しく届けることができない。また、トランスポートモードでは、ＩＰアドレスを含んだチェックサムがＴＣＰヘッダに格納される。このため、ＩＰパケットのペイロードが暗号化されるトランスポートモードでも、該ペイロードに格納されているチェックサムが正しく計算できないため、これを正しく届けることができない。
【０００７】
一方、ＴＬＳは、ＴＣＰ/ＩＰのアプリケーション層において、メッセージまたはストリーム単位でＳＡ検索が実施されるため、メッセージまたはストリームのデータサイズが大きくなっても、ＩＰフラグメント化による暗復号化処理のオーバヘッドは影響しない。また、ＴＣＰ/ＩＰのアプリケーション層で暗復号化処理を行うため、いわゆるＮＡＴ越え問題に対応することができる。しかし、ＴＬＳにおけるＳＡの交換は、ハンドシェイクプロトコルを用いて、アプリケーション層のトランザクション毎に実施されるため、例えばトランザクションが頻繁に発生するＨＴＴＰ１.０を利用したＷｅｂブラウザ等のアプリケーションでは、ＳＡ交換処理のオーバヘッドが大きくなる。
【０００８】
本発明は上記事情に鑑みてなされたものであり、本発明の目的は、暗復号化処理およびＳＡ交換処理の両方のオーバヘッドを小さくでき、且つ、ＮＡＴ越え問題を解決できる暗号通信技術を提供することにある。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明では、暗復号化処理をアプリケーション層でメッセージまたはストリーム毎に行う。また、ＳＡ/ＳＰの交換は、ハンドシェイクプロトコルを用いて、アプリケーション層のコネクション毎に実施する。すなわち、アプリケーションのトランザクションが終了し、その結果ソケットが削除されても、所定時間が経過するまではＳＡ/ＳＰを保持する。そして、新たにトランザクションが発生し、その結果新たにソケットが生成された場合には、この保持していたＳＡ/ＳＰを適用する。
【００１０】
例えば、本発明の暗号通信装置は、ＴＣＰ/ＩＰのアプリケーション層に実装された暗復号化手段、ＳＡ（Security Association）管理手段、およびハンドシェイク手段、を有し、
前記ＳＡ管理手段は、
ＳＡパラメータがＩＰアドレスおよびポート番号に対応付けて登録されたＳＡまたはＳＰデータベースと、
前記暗復号化モジュールから受付けたＳＡ検索依頼で指定されているＩＰアドレスおよびポート番号に対応付けられている有効期限内のＳＡパラメータを前記ＳＡまたはＳＰデータベースから検索し、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されている場合は、当該ＳＡパラメータを前記暗復号化モジュールに通知し、一方、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されていない場合は、前記ハンドシェイク手段を利用して前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手して前記暗復号化モジュールに通知すると共に、当該ＳＡパラメータを前記通信相手のＩＰアドレスおよびポート番号に対応付けて前記ＳＡまたはＳＰデータベースに登録するＳＡ通知手段と、を有し、
前記暗復号化手段は、
前記アプリケーション層に実装されたアプリケーションが前記通信相手に送信するメッセージまたはストリーム毎に、および、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データ毎に、前記通信相手のＩＰアドレスおよびポート番号の指定を伴うＳＡ検索要求を生成して前記ＳＡ管理手段に通知し、前記ＳＡ管理手段からＳＡパラメータを入手するＳＡ検索要求手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手に送信するメッセージまたはストリームを暗号化する暗号化手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データを復号化する復号化手段と、を有し、
前記ＳＡ通知手段は、
前記暗復号化モジュールにＳＡパラメータを通知する毎に、前記ＳＡまたはＳＰデータベースに登録されている当該ＳＡパラメータの有効期限を更新する。
【発明の効果】
【００１１】
本発明によれば、暗復号化処理およびＳＡ交換処理の両方のオーバヘッドを小さくできる。また、ＮＡＴ越え問題を解決することができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の一実施形態を説明する。
【００１３】
図１は、本実施形態の一実施形態が適用された暗号通信装置１のソフトウエア構成図である。図示するように、暗号通信装置１は、ＴＣＰ/ＩＰのネットワークインターフェース層を処理するＮＩＣ（Network Interface Card）ドライバ１０と、ＴＣＰ/ＩＰのインターネット層を処理するＩＰプロトコルスタック１１と、ＴＣＰ/ＩＰのトランスポート層を処理するＴＣＰ（ＵＤＰ）プロトコルスタック１２と、ＴＣＰ/ＩＰのアプリケーション層を処理するアプリケーション１４、シグナリングモジュール１５、ＴＬＳモジュール１６、ＳＡ管理モジュール１７、および暗復号化モジュール１８と、を有する。
【００１４】
アプリケーション１４は、通信相手とメッセージまたはストリームを送受信するプログラムである。アプリケーション１４としては、アプリケーション層のプロトコルであるＨＴＴＰ（HyperText Transfer Protocol）、ＳＭＴＰ（Simple Mail Transfer Protocol）、ＲＴＰ（Real-time Transport Protocol）等を利用したアプリケーション、例えばＷｅｂブラウザ、電子メール、ＩＰ電話等がある。
【００１５】
シグナリングモジュール１５は、後述するＳＡ管理モジュール１７が通信相手とＳＡ、ＳＰを交換するために利用するハンドシェイクプロトコルを処理するプログラムである。シグナリングモジュール１５としては、ＳＩＰ（Session Initiation Protocol）、ＩＫＥ等を利用したプログラムがある。シグナリングモジュール１５は、後述するＳＡ管理モジュール１７より受信した、通信相手のＩＰアドレス、ポート番号およびプロトコルの指定を伴うＳＡ情報交換要求に従い、通信相手のシグナリングモジュール１５とＳＡ、ＳＰの情報を交換し、アプリケーション１４が通信相手のアプリケーション１４と暗号通信を行うために用いるＳＡ、ＳＰの情報を決定する。そして、決定したＳＡ、ＳＰの情報を、通信相手のアプリケーション１４のＩＰアドレスおよびポート番号と共に、ＳＡ管理モジュール１７に通知する。
【００１６】
ＴＬＳモジュール１６は、シグナリングモジュール１５が通信相手との間に確立したシグナリングチャネルを暗号化するためにＴＬＳを処理するプログラムである。シグナリングチャネルは、図１、図２、図４において点線で表した矢印が相当する。ＴＬＳモジュール１６は、シグナリングモジュール１５が通信相手へ送信するＳＡ、ＳＰの情報を暗号化してＴＣＰ（ＵＤＰ）プロトコルスタック１２に送信する。また、シグナリングモジュール１５が通信相手から入手するＳＡ、ＳＰの情報を、ＴＣＰ（ＵＤＰ）プロトコルスタック１２より受信して復号化し、これをシグナリングモジュール１５へ送信する。
【００１７】
ＳＡ管理モジュール１７は、後述する暗復号化モジュール１８からのＳＡ/ＳＰ検索要求に従い、アプリケーション１４が通信相手のアプリケーション１４と暗号通信を行なうために用いるＳＡ、ＳＰの情報を自身のデータベースから検索して、暗復号化モジュール１８に通知する。自身のデータベースに該当するＳＡ、ＳＰの情報が登録されていない場合は、該通信相手の指定（ＩＰアドレスとＴＣＰ（ＵＤＰ）ポート）を伴うＳＡ/ＳＰ検索要求を生成して、シグナリングモジュール１５に送信する。そして、シグナリングモジュール１５からＳＡ、ＳＰの情報を取得する。また、ＳＡ管理モジュール１７は、自身のデータベースに登録されているＳＡ、ＳＰの情報の有効期限の管理を行う。
【００１８】
図２は、ＳＡ管理モジュール１７のソフトウエア構成図である。図示するように、ＳＡ管理モジュール１７は、ＳＡＤ１７１と、ＳＰＤ１７２と、ＳＡ/ＳＰ管理部１７３と、ＳＡ/ＳＰ検索要求受付部１７４と、ＳＡ情報交換要求部１７５と、を有する。
【００１９】
ＳＡＤ１７１は、送信用ＳＡＤ１７１Ａと、受信用ＳＡＤ１７１Ｂとを有する。送信用ＳＡＤ１７１Ａは、通信相手に送信するデータを暗号化するのに用いるＳＡパラメータを記憶するデータベースである。受信用ＳＡＤ１７１Ｂは、通信相手から受信したデータを復号化するのに用いるＳＡパラメータを記憶するデータベースである。ＳＡパラメータには、認証アルゴリズム、認証鍵、暗号化アルゴリズム、暗号化鍵、ＳＡの有効期間等が含まれる。ＳＡパラメータは、通信相手のアドレスおよびＴＣＰ（ＵＤＰ）ポートに対応付けられて、送信用ＳＡＤ１７１Ａおよび受信用ＳＡＤ１７１Ｂにそれぞれ登録される。
【００２０】
ＳＰＤ１７２は、送信用ＳＰＤ１７２Ａと、受信用ＳＰＤ１７２Ｂとを有する。送信用ＳＰＤ１７２Ａは、通信相手に送信するデータを暗号化するのに用いるＳＰを記憶するデータベースである。受信用ＳＰＤ１７２Ｂは、通信相手から受信したデータを復号化するのに用いるＳＰを記憶するデータベースである。ＳＰには、該当パケットの処理内容（Apply、Bypass、Discard）、ＳＰの有効期限等が含まれる。ＳＰは、通信相手のアドレスおよびＴＣＰ（ＵＤＰ）ポートに対応付けられて、送信用ＳＰＤ１７２Ａおよび受信用ＳＰＤ１７２Ｂにそれぞれ登録される。
【００２１】
ＳＡ/ＳＰ検索要求受付部１７４は、後述する暗復号化モジュール１８より通信相手のＩＰアドレス、ポート番号およびプロトコルの指定を伴うＳＡ/ＳＰ検索要求を受付け、これをＳＡ/ＳＰ管理部１７３に通知する。そして、ＳＡ/ＳＰ管理部１７３よりＳＡ、ＳＰを受信して暗復号化モジュール１８に通知する。
【００２２】
ＳＡ情報交換要求部１７５は、ＳＡ/ＳＰ管理部１７３より通信相手のＩＰアドレス、ポート番号およびプロトコルの指定を伴うＳＡ情報交換要求を受付け、これをシグナリングモジュール１５に通知する。そして、シグナリングモジュール１５よりＳＡ、ＳＰを受信してＳＡ/ＳＰ管理部１７３に通知する。また、ＳＡ情報交換要求部１７５は、シグナリングモジュール１５を介して通信相手より当該通信相手のＩＰアドレス、ポート番号およびプロトコルの指定と、予め登録されている暗復号化モジュール１８が使用可能なＳＡ情報のリストとを伴うＳＡ情報交換要求を受付けると、これをＳＡ/ＳＰ管理部１７３に通知する。そして、ＳＡ/ＳＰ管理部１７３よりＳＡ、ＳＰを受信し、シグナリングモジュール１５を介して通信相手に通知する。
【００２３】
ＳＡ/ＳＰ管理部１７３は、ＳＡ/ＳＰ検索要求受付部１７４よりＳＡ/ＳＰ検索要求を受付けると、該ＳＡ/ＳＰ検索要求で指定されている通信相手のＩＰアドレス、ポート番号およびプロトコルに対応付けられているＳＡ、ＳＰをＳＡＤ１７１、ＳＰＤ１７２から検索する。そして、検索したＳＡ、ＳＰをＳＡ/ＳＰ検索要求受付部１７４に通知する。なお、検索したＳＡ/ＳＰが有効期限を過ぎている場合、ＳＡ/ＳＰ管理部１７３は、自暗号通信装置１のＩＰアドレス、ポート番号およびプロトコルの指定と、予め登録されている暗復号化モジュール１８が使用可能なＳＡ情報のリストとを伴うＳＡ情報交換要求を生成し、ＳＡ情報交換要求部１７５に通知する。そして、ＳＡ情報交換要求部１７５よりＳＡ、ＳＰを受付けて、ＳＡ/ＳＰ検索要求受付部１７４に通知すると共にＳＡＤ１７１、ＳＰＤ１７２を更新する。また、ＳＡ/ＳＰ管理部１７３は、ＳＡ情報交換要求部１７５よりＳＡ情報交換要求を受付けると、該ＳＡ情報交換要求に付与されているＳＡ情報のリストの中から、予め登録されている暗復号化モジュール１８が使用可能なＳＡ情報のリストに含まれているＳＡ、ＳＰを選択し、これをＳＡ情報交換要求部１７５に通知すると共にＳＡＤ１７１、ＳＰＤ１７２を更新する。
【００２４】
図３は、ＳＡ管理モジュール１７の動作を説明するための図である。
【００２５】
ＳＡ/ＳＰ検索要求受付部１７４は、暗復号化モジュール１８より通信相手のＩＰアドレス、ポート番号およびプロトコルの指定を伴うＳＡ/ＳＰ検索要求（送信用ＳＡ/ＳＰ検索要求、受信用ＳＡ/ＳＰ検索要求）を受付けると（Ｓ１０１でＹＥＳ）、これをＳＡ/ＳＰ管理部１７３に通知する。これを受けて、ＳＡ/ＳＰ管理部１７３はＳＡＤ１７１、ＳＰＤ１７２からＳＡ、ＳＰを検索する（Ｓ１０２）。
【００２６】
具体的には、送信用ＳＡ/ＳＰ検索要求の場合は、送信用ＳＡＤ１７１Ａを検索し、該送信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＡを検索する。同様に、送信用ＳＰＤ１７２Ａを検索し、該送信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＰを検索する。一方、受信用ＳＡ/ＳＰ検索要求の場合は、受信用ＳＡＤ１７１Ｂを検索し、該ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＡを検索する。同様に、受信用ＳＰＤ１７２Ｂを検索し、該ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＰを検索する。
【００２７】
ＳＡ、ＳＰを検索できなかった場合（Ｓ１０３でＮＯ）、あるいは、ＳＡ、ＳＰを検索できたがＳＡ、ＳＰの有効期限が過ぎている場合（Ｓ１０４でＮＯ）、ＳＡ/ＳＰ管理部１７３は、自暗号通信装置１のＩＰアドレス、ポート番号およびプロトコルと、予め登録されている暗復号化モジュール１８が使用可能なＳＡ情報のリストとを伴うＳＡ情報交換要求を生成し（送信用ＳＡ/ＳＰ検索要求の場合は受信用ＳＡ情報交換要求を生成し、受信用ＳＡ/ＳＰ検索要求の場合は送信用ＳＡ情報交換要求を生成する）、ＳＡ情報交換要求部１７５に通知する。これを受けて、ＳＡ情報交換要求部１７５は、シグナリングモジュール１５を介して通信相手に、該ＳＡ情報交換要求（送信用ＳＡ情報交換要求、受信用ＳＡ情報交換要求）を送信する（Ｓ１１１）。
【００２８】
さて、ＳＡ情報交換要求部１７５は、シグナリングモジュール１５を介して通信相手から、ＳＡ情報交換要求に対する応答としてＳＡ情報を受信すると（Ｓ１１２でＹＥＳ）、これをＳＡ/ＳＰ管理部１７３に通知する。これを受けて、ＳＡ/ＳＰ管理部１７３は、ＳＡＤ１７１、ＳＰＤ１７２にＳＡ情報交換要求部１７５から受信したＳＡ情報を登録・更新する（Ｓ１１３）。
【００２９】
具体的には、送信用ＳＡ情報交換要求に対する応答として、ＳＡ情報交換要求部１７５から送信用ＳＡ情報を受信した場合、該送信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＡを、送信用ＳＡＤ１７１Ａから検索する。そして、検索した送信用ＳＡを、ＳＡ情報交換要求部１７５から受信した送信用ＳＡ情報に更新する。また、対応するＳＰを送信用ＳＰに更新する。この際、送信用ＳＡの有効期限を、所定時間後の日時に更新する。該送信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＡが、送信用ＳＡＤ１７１Ａに登録されていない場合は、ＳＡ情報交換要求部１７５から受信した送信用ＳＡ情報およびこれに対応するＳＰを、該送信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けて送信用ＳＡＤ１７１ＡおよびＳＰＤ１７２Ａに新たに登録する。この際、送信用ＳＡの有効期限を、所定時間後の日時に設定する。
【００３０】
また、受信用ＳＡ情報交換要求に対する応答として、ＳＡ情報交換要求部１７５から受信用ＳＡ情報を受信した場合、該受信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＡを、受信用ＳＡＤ１７１Ａから検索する。そして、検索した受信用ＳＡを、ＳＡ情報交換要求部１７５から受信した受信用ＳＡ情報に更新する。また、対応するＳＰを受信用ＳＰに更新する。この際、受信用ＳＡの有効期限を、所定時間後の日時に更新する。該受信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＡが、受信用ＳＡＤ１７１Ａに登録されていない場合は、ＳＡ情報交換要求部１７５から受信した受信用ＳＡ情報およびこれに対応するＳＰを、該受信用ＳＡ情報の送信元のＩＰアドレス、ポート番号およびプロトコルに対応付けて受信用ＳＡＤ１７１ＡおよびＳＰＤ１７２Ａに新たに登録する。この際、受信用ＳＡの有効期限を、所定時間後の日時に設定する。
【００３１】
次に、ＳＡ/ＳＰ管理部１７３は、ＳＡ情報交換要求部１７５から受信したＳＡ情報およびこれに対応するＳＰをＳＡ/ＳＰ検索要求受付部１７４に通知する。これを受けて、ＳＡ/ＳＰ検索要求受付部１７４は、このＳＡ情報およびこれに対応するＳＰを暗復号化モジュール１８に送信する（Ｓ１１４）。
【００３２】
一方、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられてＳＡＤ１７１、ＳＰＤ１７２にＳＡ、ＳＰが登録されており（Ｓ１０３でＹＥＳ）、且つ、該ＳＡ、ＳＰの有効期限が過ぎていない場合（Ｓ１０４でＹＥＳ）、ＳＡ/ＳＰ管理部１７３は、ＳＡＤ１７１、ＳＰＤ１７２に登録されている該ＳＡ、ＳＰの有効期限を更新する（Ｓ１０５）。
【００３３】
具体的には、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求が送信用ＳＡ/ＳＰ検索要求の場合は、当該送信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられて送信用ＳＡＤ１７１Ａに登録されている送信用ＳＡの有効期限を、所定時間後の日時に更新する。
【００３４】
また、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求が受信用ＳＡ/ＳＰ検索要求の場合は、当該受信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられて受信用ＳＡＤ１７１Ｂに登録されている受信用ＳＡの有効期限を、所定時間後の日時に更新する。
【００３５】
次に、ＳＡ/ＳＰ管理部１７３は、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられてＳＡＤ１７１、ＳＰＤ１７２に登録されているＳＡ、ＳＰを、ＳＡ/ＳＰ検索要求受付部１７４に通知する。具体的には、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求が送信用ＳＡ/ＳＰ検索要求の場合は、当該送信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられて送信用ＳＡＤ１７１Ａ、送信用ＳＰＤ１７２Ａに登録されている送信用ＳＡ、ＳＰを、ＳＡ/ＳＰ検索要求受付部１７４に通知する。また、ＳＡ/ＳＰ検索要求受付部１７４より受け取ったＳＡ/ＳＰ検索要求が受信用ＳＡ/ＳＰ検索要求の場合は、当該受信用ＳＡ/ＳＰ検索要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられて受信用ＳＡＤ１７１Ｂ、受信用ＳＰＤ１７２Ｂに登録されている受信用ＳＡ、ＳＰを、ＳＡ/ＳＰ検索要求受付部１７４に通知する。これを受けて、ＳＡ/ＳＰ検索要求受付部１７４は、このＳＡ、ＳＰを暗復号化モジュール１８に送信する（Ｓ１０６）。
【００３６】
また、ＳＡ情報交換要求部１７５は、シグナリングモジュール１５を介して通信相手から当該通信相手のＩＰアドレス、ポート番号およびプロトコルと、当該通信相手が利用可能なＳＡ情報のリストとを伴うＳＡ情報交換要求（送信用ＳＡ情報交換要求、受信用ＳＡ情報交換要求）を受付けると（Ｓ１２１でＹＥＳ）、これをＳＡ/ＳＰ管理部１７３に通知する。これを受けて、ＳＡ/ＳＰ管理部１７３は、予め登録されている自暗号通信装置１が利用可能なＳＡ情報のリストと、該ＳＡ情報交換要求に付加されているＳＡ情報のリストとを比較し、両リストに掲載されているＳＡ、ＳＰ、つまり、両装置で利用可能なＳＡ、ＳＰの中から、今回の暗号通信に利用するＳＡ、ＳＰを決定する（Ｓ１２２）。そして、決定したＳＡ、ＳＰをＳＡＤ１７１、ＳＰＤ１７２に登録・更新する（Ｓ１２３）。
【００３７】
具体的には、シグナリングモジュール１５を介して通信相手から受信したＳＡ情報交換要求が送信用ＳＡ情報交換要求の場合、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＡを、送信用ＳＡＤ１７１Ａから検索する。そして、検索した送信用ＳＡを、該決定したＳＡに更新する。この際、送信用ＳＡの有効期限を、所定時間後の日時に更新する。なお、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＡが、送信用ＳＡＤ１７１Ａに登録されていない場合は、該決定したＳＡを、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けて送信用ＳＡＤ１７１Ａに新たに登録する。この際、送信用ＳＡの有効期限を、所定時間後の日時に設定する。
【００３８】
同様に、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＰを、送信用ＳＰＤ１７２Ａから検索する。そして、検索した送信用ＳＰを、該決定したＳＰに更新する。この際、送信用ＳＰの有効期限を、所定時間後の日時に更新する。なお、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている送信用ＳＰが、送信用ＳＰＤ１７２Ａに登録されていない場合は、該決定したＳＰを、当該送信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けて送信用ＳＰＤ１７２Ａに新たに登録する。この際、送信用ＳＰの有効期限を、所定時間後の日時に設定する。
【００３９】
また、シグナリングモジュール１５を介して通信相手から受信したＳＡ情報交換要求が受信用ＳＡ情報交換要求の場合、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＡを、受信用ＳＡＤ１７１Ｂから検索する。そして、検索した受信用ＳＢを、該決定したＳＢに更新する。この際、受信用ＳＢの有効期限を、所定時間後の日時に更新する。なお、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＡが、受信用ＳＡＤ１７１Ｂに登録されていない場合は、該決定したＳＡを、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けて受信用ＳＡＤ１７１Ｂに新たに登録する。この際、受信用ＳＡの有効期限を、所定時間後の日時に設定する。
【００４０】
同様に、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＰを、受信用ＳＰＤ１７２Ｂから検索する。そして、検索した受信用ＳＰを、該決定したＳＰに更新する。この際、受信用ＳＰの有効期限を、所定時間後の日時に更新する。なお、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けられている受信用ＳＰが、受信用ＳＰＤ１７２Ａに登録されていない場合は、該決定したＳＰを、当該受信用ＳＡ情報交換要求に付加されているＩＰアドレス、ポート番号およびプロトコルに対応付けて受信用ＳＰＤ１７２Ｂに新たに登録する。この際、受信用ＳＰの有効期限を、所定時間後の日時に設定する。
【００４１】
次に、ＳＡ/ＳＰ管理部１７３は、該決定したＳＡ、ＳＰをＳＡ/ＳＰ検索要求部１７５に通知する。これを受けて、ＳＡ/ＳＰ検索要求部１７５は、このＳＡ、ＳＰをシグナリングモジュール１５を介して、該ＳＡ情報交換要求の送信元に送信する（Ｓ１２４）。
【００４２】
図１に戻って説明を続ける。暗復号化モジュール１８は、アプリケーション１４から出力されたメッセージまたはストリームを、ＳＡ管理モジュール１７より取得した送信用ＳＡ、送信用ＳＰを用いて暗号化し、ＴＣＰ（ＵＤＰ）プロトコルスタック１２に出力する。また、ＴＣＰ（ＵＤＰ）プロトコルスタック１２より出力された暗号化データを、ＳＡ管理モジュール１７より取得した受信用ＳＡ、受信用ＳＰを用いてメッセージまたはストリームに復号化し、アプリケーション１４に出力する。
【００４３】
図４は、暗復号化モジュール１８のソフトウエア構成図である。図示するように、暗復号化モジュール１８は、アプリケーション用受信バッファ１８１と、暗号化部１８２と、ＴＣＰ（ＵＤＰ）プロトコルスタック用送信バッファ１８３と、ＴＣＰ（ＵＤＰ）スタック用受信バッファ１８４と、復号化部１８５と、アプリケーション用送信バッファ１８６と、ＳＡ/ＳＰ検索要求部１８７と、を有する。
【００４４】
アプリケーション用受信バッファ１８１は、ソケットバッファを介してアプリケーション１４から送られてきたメッセージまたはストリームを格納する。
【００４５】
暗号化部１８２は、アプリケーション用受信バッファ１８１に格納されたメッセージまたはストリームを、後述するＳＡ/ＳＰ検索要求部１８７により設定された送信用ＳＡ、ＳＰの情報を用いて暗号化して出力する。なお、メッセージまたはストリームのデータサイズが所定サイズ（例えば２１４byte）を超えている場合、メッセージまたはストリームを該所定サイズにフラグメントし、フラグメントされたデータ単位で暗号化し出力する。
【００４６】
ＴＣＰ（ＵＤＰ）プロトコルスタック用送信バッファ１８３は、暗号化部１７２より出力された暗号化データを格納する。そして、この暗号化データをＴＣＰ（ＵＤＰ）プロトコルスタック１２に出力する。
【００４７】
ＴＣＰ（ＵＤＰ）プロトコルスタック用受信バッファ８７４は、ＴＣＰ（ＵＤＰ）プロトコルスタック１２から送られてきた暗号化データを格納する。
【００４８】
復号化部１８５は、ＴＣＰ（ＵＤＰ）プロトコルスタック用受信バッファ１８４に格納された暗号化データを、後述するＳＡ/ＳＰ検索要求部１８７により設定された受信用ＳＡ、ＳＰの情報を用いて復号化して出力する。
【００４９】
アプリケーション用送信バッファ１８６は、復号化部１８５より出力された復号化データを格納する。そして、この復号化データ（メッセージまたはストリーム）は、ソケットバッファを介して、アプリケーション１４に出力する。なお、アプリケーション用送信バッファ１８６に格納された復号化データがメッセージまたはストリームのフラグメントデータである場合、アプリケーション用送信バッファ１８６は、連続する複数のフラグメントデータからメッセージまたはストリームを復元し、ソケットバッファを介して、アプリケーション１４に出力する。
【００５０】
ＳＡ/ＳＰ検索要求部１８７は、アプリケーション用受信バッファ１８１にメッセージまたはストリームが格納されると、該メッセージまたはストリームの宛先のＩＰアドレス、ポート番号およびプロトコルの指定を伴う送信用ＳＡ/ＳＰ検索要求を生成し、これをＳＡ管理モジュール１７に通知する。そして、ＳＡ管理モジュール１７から受け取った送信用ＳＡ、送信用ＳＰを暗号化部１７２に設定する。また、ＳＡ/ＳＰ検査要求部１８７は、ＴＣＰ（ＵＤＰ）スタック用受信バッファ１８４に暗号化データが格納されると、該暗号化データの送信元のＩＰアドレス、ポート番号およびプロトコルの指定を伴う受信用ＳＡ/ＳＰ検索要求を生成し、これをＳＡ管理モジュール１７に通知する。そして、ＳＡ管理モジュール１７から受け取った受信用ＳＡ、受信用ＳＰを復号化部１７５に設定する。
【００５１】
図５は、暗復号化モジュール１７の動作を説明するための図である。
【００５２】
アプリケーション用受信バッファ１８１に、アプリケーション１４のメッセージまたはストリームが格納されると（Ｓ２０１でＹＥＳ）、ＳＡ/ＳＰ検索要求部１８７は、当該メッセージまたはストリームの宛先のＩＰアドレス、ポート番号およびプロトコルを伴う送信用ＳＡ/ＳＰ検索要求を生成して、ＳＡ管理モジュール１７に通知する（Ｓ２０２）。次に、ＳＡ/ＳＰ検索要求部１８７は、ＳＡ管理モジュール１７から送信用ＳＡ、ＳＰを受信したならば（Ｓ２０３でＹＥＳ）、これらを暗号化部１８２に設定する。暗号化部１８２は、送信用ＳＡ、ＳＰが設定されたならば、アプリケーション用受信バッファ１８１からメッセージまたはストリームを読み出し、これを設定されている送信用ＳＡ、ＳＰに従って暗号化する（Ｓ２０５）。なお、アプリケーション用受信バッファ１８１から読みだしたメッセージまたはストリームのデータサイズが所定サイズを超えている場合は、当該メッセージまたはストリームを所定サイズにフラグメントしてから（Ｓ２０４）、暗号化する（Ｓ２０５）。暗号化終了後、暗号化部１８２は、設定されている送信用ＳＡ、ＳＰを保持したまま、暗号化データをＴＣＰ（ＵＤＰ）プロトコルスタック用送信バッファ１８３を介してＴＣＰ（ＵＤＰ）プロトコルスタック１２に出力する（Ｓ２０６）。
【００５３】
また、ＴＣＰプロトコルスタック用受信バッファ１８４に、暗号化データが格納されると（Ｓ２１１でＹＥＳ）、ＳＡ/ＳＰ検索要求部１８７は、当該暗号化データの送信元のＩＰアドレス、ポート番号およびプロトコルを伴う受信用ＳＡ/ＳＰ検索要求を生成して、ＳＡ管理モジュール１７に通知する（Ｓ２１２）。次に、ＳＡ/ＳＰ検索要求部１８７は、ＳＡ管理モジュール１７から受信用ＳＡ、ＳＰを受信したならば（Ｓ２１３でＹＥＳ）、これらを復号化部１８５に設定する。復号化部１８５は、受信用ＳＡ、ＳＰが設定されたならば、ＴＣＰプロトコルスタック用受信バッファ１８４から暗号化データを読み出し、これを設定されている受信用ＳＡ、ＳＰに従って復号化する（Ｓ２１４）。これにより、通信相手のメッセージまたはストリームを復元する（Ｓ２１５）。なお、復号化したデータがフラグメントされたデータである場合、複数のフラグメントされたデータを繋ぎ合わせて通信相手のメッセージまたはストリームを復元する（Ｓ２１５）。メッセージまたはストリームの復元終了後、復号化部１８５は、設定されている受信用ＳＡ、ＳＰを保持したまま、復元したメッセージまたはストリームをアプリケーション用送信バッファ１８６を介してアプリケーション１４に出力する（Ｓ２１６）。
【００５４】
上記構成の暗号通信装置１は、例えば図６に示すような、ＣＰＵ９０１と、メモリ９０２と、ＨＤＤ等の外部記憶装置９０３と、ＣＤ-ＲＯＭやＤＶＤ-ＲＯＭやＩＣカードなどの記憶媒体９０４からデータを読み取る読取装置９０５と、ネットワークに接続するためのＮＩＣ９０６と、キーボード、マウス、ディスプレイ等の入出力装置を接続するためのＩ/Ｏコネクタ９０７と、これらの各装置を接続するバス９０８と、を備えた一般的なコンピュータシステムにおいて、ＣＰＵ９０１がメモリ９０２上にロードされたプログラムを実行することで実現できる。このプログラムは、読取装置９０５を介して記憶媒体９０４から、あるいは、ＮＩＣ９０６を介してネットワークから、外部記憶装置９０３にダウンロードされ、それから、メモリ９０２上にロードされてＣＰＵ９０１により実行されるようにしてもよい。あるいは、外部記憶装置９０３を経由せずに、メモリ９０２上に直接ロードされ、ＣＰＵ９０１により実行されるようにしてもよい。
【００５５】
以上、本発明の一実施形態について説明した。
【００５６】
本実施形態では、アプリケーション層に実装された暗復号化モジュール１８が、メッセージまたはストリームを単位として暗復号化処理を行う。また、アプリケーション層に実装されたＳＡ管理モジュール１７が、シグナリングモジュール１５を用いて、通信相手とＳＡ、ＳＰを交換する。そして、アプリケーション１４のトランザクションが終了し、その結果ソケットが削除された場合でも、所定時間（有効期限）内にトランザクションが発生している限り、つまりコネクションが継続している限り、ＳＡ、ＳＰを保持する。したがって、本実施形態によれば、暗復号化処理およびＳＡ交換処理の両方のオーバヘッドを小さくできる。また、ＮＡＴ越え問題を解決することができる。
【００５７】
なお、本実施形態の上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。例えば、上記の実施形態では、シグナリングチャネルをＴＬＳモジュール１６で暗号化する場合を例にとり説明したが、シグナリングチャネルの暗号化方法はこれに限定されない。また、上記の実施形態では、ＳＡおよびＳＰの両方を扱う場合を例にとり説明したが、ＳＰを用いないものでよい。
【図面の簡単な説明】
【００５８】
【図１】図１は本実施形態の一実施形態が適用された暗号通信装置１のソフトウエア構成図である。
【図２】図２はＳＡ管理モジュール１７のソフトウエア構成図である。
【図３】図３はＳＡ管理モジュール１７の動作を説明するための図である。
【図４】図４は暗復号化モジュール１８のソフトウエア構成図である。
【図５】図５は暗復号化モジュール１７の動作を説明するための図である。
【図６】図６は暗号通信装置１のハードウエア構成例を示す図である。
【符号の説明】
【００５９】
１…暗号通信装置、１０…ＮＩＣドライバ、１１…ＩＰプロトコルスタック、１２…ＴＣＰ（ＵＤＰ）プロトコルスタック、１４…アプリケーション、１５…シグナリングモジュール、１６…ＴＬＳモジュール、１７…ＳＡ管理モジュール、１７１…ＳＡＤ、１７２…ＳＰＤ、１７３…ＳＡ/ＳＰ管理部、１７４…ＳＡ/ＳＰ検索要求受付部、１７５…ＳＡ情報交換要求部、１８１…アプリケーション用受信バッファ、１８２…暗号化部、１８３…ＴＣＰ（ＵＤＰ）プロトコルスタック用送信バッファ、１８４…ＴＣＰ（ＵＤＰ）プロトコルスタック用受信バッファ、１８５…復号化部、１８６…アプリケーション用送信バッファ、１８７…ＳＡ/ＳＰ検索要求部
【特許請求の範囲】
【請求項１】
暗号通信装置であって、
ＴＣＰ/ＩＰのアプリケーション層に実装された暗復号化手段、ＳＡ（Security Association）管理手段、およびハンドシェイク手段、を有し、
前記ＳＡ管理手段は、
ＳＡパラメータがＩＰアドレスおよびポート番号に対応付けて登録されたＳＡまたはＳＰデータベースと、
前記暗復号化モジュールから受付けたＳＡ検索依頼で指定されているＩＰアドレスおよびポート番号に対応付けられている有効期限内のＳＡパラメータを前記ＳＡまたはＳＰデータベースから検索し、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されている場合は、当該ＳＡパラメータを前記暗復号化モジュールに通知し、一方、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されていない場合は、前記ハンドシェイク手段を利用して前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手して前記暗復号化モジュールに通知すると共に、当該ＳＡパラメータを前記通信相手のＩＰアドレスおよびポート番号に対応付けて前記ＳＡまたはＳＰデータベースに登録するＳＡ通知手段と、を有し、
前記暗復号化手段は、
前記アプリケーション層に実装されたアプリケーションが前記通信相手に送信するメッセージまたはストリーム毎に、および、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データ毎に、前記通信相手のＩＰアドレスおよびポート番号の指定を伴うＳＡ検索要求を生成して前記ＳＡ管理手段に通知し、前記ＳＡ管理手段からＳＡパラメータを入手するＳＡ検索要求手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手に送信するメッセージまたはストリームを暗号化する暗号化手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データを復号化する復号化手段と、を有し、
前記ＳＡ通知手段は、
前記暗復号化モジュールにＳＡパラメータを通知する毎に、前記ＳＡまたはＳＰデータベースに登録されている当該ＳＡパラメータの有効期限を更新すること
を特徴とする暗号通信装置。
【請求項２】
請求項１に記載の暗号通信装置であって、
前記暗号化手段は、
前記アプリケーションが前記通信相手に送信するメッセージまたはストリームが所定サイズより大きい場合に、当該メッセージまたはストリームを当該所定サイズにフラグメントしてから、各フラグメントデータを暗号化し、
前記復号化手段は、
前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データがフラグメントされている場合、フラグメントデータの復号結果を繋ぎ合わせて当該メッセージまたはストリームを復元すること
を特徴とする暗号通信装置。
【請求項３】
請求項１又は２に記載の暗号通信装置であって、
前記ＳＡ通知手段は、
前記ハンドシェイク手段を利用して、自暗号通信装置のＩＰアドレスおよびポート番号と、自暗号通信装置が利用可能なＳＡパラメータのリストとを伴うＳＡ交換要求を前記通信相手に送信して、前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手すること
を特徴とする暗号通信装置。
【請求項４】
請求項１乃至３のいずれか一項に記載の暗号通信装置であって、
前記ＳＡ通知手段は、
前記通信相手から、当該通信相手のＩＰアドレスおよびポート番号と、自暗号通信装置が利用可能なＳＡパラメータのリストとを伴うＳＡ交換要求を受信すると、当該ＳＡパラメータの中から自暗号通信装置が利用可能なＳＡパラメータを選択して、その選択結果を前記通信相手に送信すること
を特徴とする暗号通信装置。
【請求項５】
コンピュータで読取可能なプログラムであって、
前記プログラムは、前記コンピュータを、
ＴＣＰ/ＩＰのアプリケーション層に実装された暗復号化手段、ＳＡ（Security Association）管理手段、およびハンドシェイク手段として機能させ、
前記ＳＡ管理手段は、
ＳＡパラメータがＩＰアドレスおよびポート番号に対応付けて登録されたＳＡまたはＳＰデータベースと、
前記暗復号化モジュールから受付けたＳＡ検索依頼で指定されているＩＰアドレスおよびポート番号に対応付けられている有効期限内のＳＡパラメータを前記ＳＡまたはＳＰデータベースから検索し、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されている場合は、当該ＳＡパラメータを前記暗復号化モジュールに通知し、一方、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されていない場合は、前記ハンドシェイク手段を利用して前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手して前記暗復号化モジュールに通知すると共に、当該ＳＡパラメータを前記通信相手のＩＰアドレスおよびポート番号に対応付けて前記ＳＡまたはＳＰデータベースに登録するＳＡ通知手段と、を有し、
前記暗復号化手段は、
前記アプリケーション層に実装されたアプリケーションが前記通信相手に送信するメッセージまたはストリーム毎に、および、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データ毎に、前記通信相手のＩＰアドレスおよびポート番号の指定を伴うＳＡ検索要求を生成して前記ＳＡ管理手段に通知し、前記ＳＡ管理手段からＳＡパラメータを入手するＳＡ検索要求手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手に送信するメッセージまたはストリームを暗号化する暗号化手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データを復号化する復号化手段と、を有し、
前記ＳＡ通知手段は、
前記暗復号化モジュールにＳＡパラメータを通知する毎に、前記ＳＡまたはＳＰデータベースに登録されている当該ＳＡパラメータの有効期限を更新すること
を特徴とするコンピュータで読取可能なプログラム。
【請求項６】
暗号通信方法であって、
ＴＣＰ/ＩＰのアプリケーション層に実装されたアプリケーションによって通信相手に送信するメッセージまたはストリームが生成された場合に、ＳＡパラメータが通信相手のＩＰアドレスおよびポート番号に対応付けて登録されたＳＡまたはＳＰデータベースから、前記通信相手のＩＰアドレスおよびポート番号に対応付けられている有効期限内のＳＡパラメータを検索し、
当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されている場合は、当該ＳＡパラメータを読み出すと共に、当該ＳＡパラメータに有効期限を更新し、一方、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されていない場合は、前記アプリケーション層に実装されたハンドシェイクプロトコルを利用して前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手して有効期限と共に前記ＳＡまたはＳＰデータベースに登録し、
前記ＳＡまたはＳＰデータベースから読み出した、あるいは前記ＳＡまたはＳＰデータベースに登録した、前記通信相手のＩＰアドレスおよびポート番号に対応するＳＡパラメータを用いて、前記アプリケーションが前記通信相手に送信するメッセージまたはストリームを暗号化すること
を特徴とする暗号通信方法。
【請求項７】
暗号通信方法であって、
ＴＣＰ/ＩＰのアプリケーション層に実装されたアプリケーションが通信相手から受信するメッセージまたはストリームの暗号化データを受信した場合に、ＳＡパラメータが通信相手のＩＰアドレスおよびポート番号に対応付けて登録されたＳＡまたはＳＰデータベースから、前記通信相手のＩＰアドレスおよびポート番号に対応付けられている有効期限内のＳＡパラメータを検索し、
当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されている場合は、当該ＳＡパラメータを読み出すと共に、当該ＳＡパラメータに有効期限を更新し、一方、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されていない場合は、前記アプリケーション層に実装されたハンドシェイクプロトコルを利用して前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手して有効期限と共に前記ＳＡまたはＳＰデータベースに登録し、
前記ＳＡまたはＳＰデータベースから読み出した、あるいは前記ＳＡまたはＳＰデータベースに登録した、前記通信相手のＩＰアドレスおよびポート番号に対応するＳＡパラメータを用いて、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データを復号化すること
を特徴とする暗号通信方法。
【請求項１】
暗号通信装置であって、
ＴＣＰ/ＩＰのアプリケーション層に実装された暗復号化手段、ＳＡ（Security Association）管理手段、およびハンドシェイク手段、を有し、
前記ＳＡ管理手段は、
ＳＡパラメータがＩＰアドレスおよびポート番号に対応付けて登録されたＳＡまたはＳＰデータベースと、
前記暗復号化モジュールから受付けたＳＡ検索依頼で指定されているＩＰアドレスおよびポート番号に対応付けられている有効期限内のＳＡパラメータを前記ＳＡまたはＳＰデータベースから検索し、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されている場合は、当該ＳＡパラメータを前記暗復号化モジュールに通知し、一方、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されていない場合は、前記ハンドシェイク手段を利用して前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手して前記暗復号化モジュールに通知すると共に、当該ＳＡパラメータを前記通信相手のＩＰアドレスおよびポート番号に対応付けて前記ＳＡまたはＳＰデータベースに登録するＳＡ通知手段と、を有し、
前記暗復号化手段は、
前記アプリケーション層に実装されたアプリケーションが前記通信相手に送信するメッセージまたはストリーム毎に、および、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データ毎に、前記通信相手のＩＰアドレスおよびポート番号の指定を伴うＳＡ検索要求を生成して前記ＳＡ管理手段に通知し、前記ＳＡ管理手段からＳＡパラメータを入手するＳＡ検索要求手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手に送信するメッセージまたはストリームを暗号化する暗号化手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データを復号化する復号化手段と、を有し、
前記ＳＡ通知手段は、
前記暗復号化モジュールにＳＡパラメータを通知する毎に、前記ＳＡまたはＳＰデータベースに登録されている当該ＳＡパラメータの有効期限を更新すること
を特徴とする暗号通信装置。
【請求項２】
請求項１に記載の暗号通信装置であって、
前記暗号化手段は、
前記アプリケーションが前記通信相手に送信するメッセージまたはストリームが所定サイズより大きい場合に、当該メッセージまたはストリームを当該所定サイズにフラグメントしてから、各フラグメントデータを暗号化し、
前記復号化手段は、
前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データがフラグメントされている場合、フラグメントデータの復号結果を繋ぎ合わせて当該メッセージまたはストリームを復元すること
を特徴とする暗号通信装置。
【請求項３】
請求項１又は２に記載の暗号通信装置であって、
前記ＳＡ通知手段は、
前記ハンドシェイク手段を利用して、自暗号通信装置のＩＰアドレスおよびポート番号と、自暗号通信装置が利用可能なＳＡパラメータのリストとを伴うＳＡ交換要求を前記通信相手に送信して、前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手すること
を特徴とする暗号通信装置。
【請求項４】
請求項１乃至３のいずれか一項に記載の暗号通信装置であって、
前記ＳＡ通知手段は、
前記通信相手から、当該通信相手のＩＰアドレスおよびポート番号と、自暗号通信装置が利用可能なＳＡパラメータのリストとを伴うＳＡ交換要求を受信すると、当該ＳＡパラメータの中から自暗号通信装置が利用可能なＳＡパラメータを選択して、その選択結果を前記通信相手に送信すること
を特徴とする暗号通信装置。
【請求項５】
コンピュータで読取可能なプログラムであって、
前記プログラムは、前記コンピュータを、
ＴＣＰ/ＩＰのアプリケーション層に実装された暗復号化手段、ＳＡ（Security Association）管理手段、およびハンドシェイク手段として機能させ、
前記ＳＡ管理手段は、
ＳＡパラメータがＩＰアドレスおよびポート番号に対応付けて登録されたＳＡまたはＳＰデータベースと、
前記暗復号化モジュールから受付けたＳＡ検索依頼で指定されているＩＰアドレスおよびポート番号に対応付けられている有効期限内のＳＡパラメータを前記ＳＡまたはＳＰデータベースから検索し、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されている場合は、当該ＳＡパラメータを前記暗復号化モジュールに通知し、一方、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されていない場合は、前記ハンドシェイク手段を利用して前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手して前記暗復号化モジュールに通知すると共に、当該ＳＡパラメータを前記通信相手のＩＰアドレスおよびポート番号に対応付けて前記ＳＡまたはＳＰデータベースに登録するＳＡ通知手段と、を有し、
前記暗復号化手段は、
前記アプリケーション層に実装されたアプリケーションが前記通信相手に送信するメッセージまたはストリーム毎に、および、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データ毎に、前記通信相手のＩＰアドレスおよびポート番号の指定を伴うＳＡ検索要求を生成して前記ＳＡ管理手段に通知し、前記ＳＡ管理手段からＳＡパラメータを入手するＳＡ検索要求手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手に送信するメッセージまたはストリームを暗号化する暗号化手段と、
前記ＳＡ検索要求手段が入手したＳＡパラメータを用いて、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データを復号化する復号化手段と、を有し、
前記ＳＡ通知手段は、
前記暗復号化モジュールにＳＡパラメータを通知する毎に、前記ＳＡまたはＳＰデータベースに登録されている当該ＳＡパラメータの有効期限を更新すること
を特徴とするコンピュータで読取可能なプログラム。
【請求項６】
暗号通信方法であって、
ＴＣＰ/ＩＰのアプリケーション層に実装されたアプリケーションによって通信相手に送信するメッセージまたはストリームが生成された場合に、ＳＡパラメータが通信相手のＩＰアドレスおよびポート番号に対応付けて登録されたＳＡまたはＳＰデータベースから、前記通信相手のＩＰアドレスおよびポート番号に対応付けられている有効期限内のＳＡパラメータを検索し、
当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されている場合は、当該ＳＡパラメータを読み出すと共に、当該ＳＡパラメータに有効期限を更新し、一方、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されていない場合は、前記アプリケーション層に実装されたハンドシェイクプロトコルを利用して前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手して有効期限と共に前記ＳＡまたはＳＰデータベースに登録し、
前記ＳＡまたはＳＰデータベースから読み出した、あるいは前記ＳＡまたはＳＰデータベースに登録した、前記通信相手のＩＰアドレスおよびポート番号に対応するＳＡパラメータを用いて、前記アプリケーションが前記通信相手に送信するメッセージまたはストリームを暗号化すること
を特徴とする暗号通信方法。
【請求項７】
暗号通信方法であって、
ＴＣＰ/ＩＰのアプリケーション層に実装されたアプリケーションが通信相手から受信するメッセージまたはストリームの暗号化データを受信した場合に、ＳＡパラメータが通信相手のＩＰアドレスおよびポート番号に対応付けて登録されたＳＡまたはＳＰデータベースから、前記通信相手のＩＰアドレスおよびポート番号に対応付けられている有効期限内のＳＡパラメータを検索し、
当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されている場合は、当該ＳＡパラメータを読み出すと共に、当該ＳＡパラメータに有効期限を更新し、一方、当該ＳＡパラメータが前記ＳＡまたはＳＰデータベースに登録されていない場合は、前記アプリケーション層に実装されたハンドシェイクプロトコルを利用して前記通信相手から当該通信相手との暗号通信に利用可能なＳＡパラメータを入手して有効期限と共に前記ＳＡまたはＳＰデータベースに登録し、
前記ＳＡまたはＳＰデータベースから読み出した、あるいは前記ＳＡまたはＳＰデータベースに登録した、前記通信相手のＩＰアドレスおよびポート番号に対応するＳＡパラメータを用いて、前記アプリケーションが前記通信相手から受信するメッセージまたはストリームの暗号化データを復号化すること
を特徴とする暗号通信方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２００７−９７０８１（Ｐ２００７−９７０８１Ａ）
【公開日】平成１９年４月１２日（２００７．４．１２）
【国際特許分類】
【出願番号】特願２００５−２８６８７９（Ｐ２００５−２８６８７９）
【出願日】平成１７年９月３０日（２００５．９．３０）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
【公開日】平成１９年４月１２日（２００７．４．１２）
【国際特許分類】
【出願日】平成１７年９月３０日（２００５．９．３０）
【出願人】（０００００５１０８）株式会社日立製作所 (27,607)
【Ｆターム（参考）】
[ Back to top ]