通信システム、情報処理装置および情報処理方法
【課題】既存のネットワークにおいて、通信の無瞬断および低遅延を可能にした通信システムを提供する。
【解決手段】複数のネットワークで並列に接続される送信装置および受信装置を有し、送信装置は、ＩＰｓｅｃパケットを生成するＩＰｓｅｃ処理部と、ＩＰｓｅｃパケットを複製するパケット複製部と、ＩＰｓｅｃパケットを受信装置に送信する複数の送信部とを有し、受信装置は、ＩＰｓｅｃパケットを受信する複数の受信部と、ＩＰｓｅｃパケットのシーケンス番号を記憶する番号記憶部と、シーケンス番号を受信部毎に記憶する複数の受信部対応記憶部と、受信するＩＰｓｅｃパケットのシーケンス番号を受信部に対応する受信部対応記憶部に記録し、その番号が番号記憶部に記録されていると、ＩＰｓｅｃパケットを廃棄し、その番号が番号記憶部に記録されていないと、その番号を番号記憶部に記録し、ＩＰｓｅｃパケットを元のＩＰパケットに戻すＩＰｓｅｃ処理部とを有する。
【解決手段】複数のネットワークで並列に接続される送信装置および受信装置を有し、送信装置は、ＩＰｓｅｃパケットを生成するＩＰｓｅｃ処理部と、ＩＰｓｅｃパケットを複製するパケット複製部と、ＩＰｓｅｃパケットを受信装置に送信する複数の送信部とを有し、受信装置は、ＩＰｓｅｃパケットを受信する複数の受信部と、ＩＰｓｅｃパケットのシーケンス番号を記憶する番号記憶部と、シーケンス番号を受信部毎に記憶する複数の受信部対応記憶部と、受信するＩＰｓｅｃパケットのシーケンス番号を受信部に対応する受信部対応記憶部に記録し、その番号が番号記憶部に記録されていると、ＩＰｓｅｃパケットを廃棄し、その番号が番号記憶部に記録されていないと、その番号を番号記憶部に記録し、ＩＰｓｅｃパケットを元のＩＰパケットに戻すＩＰｓｅｃ処理部とを有する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを介してデータを送受信する通信システム、情報処理装置および情報処理方法に関する。
【背景技術】
【０００２】
通信経路の冗長化を行っている通信システムには、メイン側の回線に障害が発生すると、その障害を検出して通信経路をバックアップ回線に切り替えるものがある。しかし、このようにして、通信経路を確保しても、障害発生から障害検出までの間にパケットロスが発生してしまうという問題がある。また、メイン側の回線がバックアップ回線よりも通信遅延が大きくなっても、メイン側の回線に障害の発生が検出されない限り、通信遅延の小さいバックアップ回線を利用できないという問題がある。
【０００３】
これらの問題に対する対策の一例が特許文献１に開示されている。特許文献１に開示された方法では、複数の通信経路に優先度を定義し、既存のシーケンス番号とは別の順序識別子や通信経路の優先度の情報をパケットに付与する通信プロトコルを用いている。
【０００４】
２つの装置間で通信経路を介してデータを送受信する際、上記のように、いかにして通信遅延を小さくして相手先にデータを送るかということは重要な要素の１つであるが、データの信頼性や秘匿性など安全性を向上させることも重要である。近年、ネットワーク通信において、インターネットプロトコル（ＩＰ）を拡張してセキュリティ機能を持たせたＩＰｓｅｃ（Security Architecture for Internet Protocol）という通信プロトコルが用いられるようになった。ＩＰｓｅｃでは、既存のＩＰに対して、暗号ペイロードや認証ヘッダなどの複数のプロトコルを追加することで、暗号化や認証の機能を実行可能にしている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−０７８７７０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ＩＰｓｅｃを用いてデータの安全性を向上させたパケット通信に、特許文献１に開示された方法を適用して、通信遅延を小さくしようとすると、別の順序識別子を含むヘッダをパケットに付与することになる。この場合、ネットワークに接続されたデータ転送装置を含むネットワーク全体が新たなヘッダに対応できる構成でなければならない。通信プロトコルがＩＰｓｅｃとは異なるものとなるため、既存のネットワーク環境で新たな通信プロトコルでパケット通信を可能にするには、ネットワークの設計の見直しが必要になってしまう。
【０００７】
また、特許文献１に開示された方法のように、別の順序識別子を新たにパケットに追加すると、その順序識別子の分の容量をパケット毎に確保しなければならないので、１つのパケットで送信可能なデータのサイズが小さくなってしまう。
【０００８】
本発明は上述したような技術が有する問題点を解決するためになされたものであり、データの容量および安全性を確保し、既存のネットワークに影響を与えることなく、通信の無瞬断および低遅延を可能にした通信システム、情報処理装置および情報処理方法を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するための本発明の通信システムは、並列に設けられた複数のネットワークのそれぞれを介して、ＩＰｓｅｃパケットを送受信する送信装置および受信装置を有する通信システムであって、
前記送信装置は、
ＩＰパケットから前記ＩＰｓｅｃパケットを生成する第１のＩＰｓｅｃ処理部と、
前記第１のＩＰｓｅｃ処理部で生成されたＩＰｓｅｃパケットの数が前記複数のネットワークの数と同じになるように該ＩＰｓｅｃパケットを複製するパケット複製部と、
前記複数のネットワークに対応して設けられ、前記ＩＰｓｅｃパケットおよび複製されたＩＰｓｅｃパケットから１つずつ該ネットワーク毎に前記受信装置に送信する複数の送信部とを有し、
前記受信装置は、
前記複数のネットワークに対応して設けられ、該ネットワーク毎に前記ＩＰｓｅｃパケットを受信する複数の受信部と、
前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、
前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、
前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻す第２のＩＰｓｅｃ処理部とを有する。
【００１０】
また、本発明の情報処理装置は、並列に設けられた複数のネットワークのそれぞれを介して、ＩＰｓｅｃパケットを通信相手から受信する情報処理装置であって、
前記複数のネットワークに対応して設けられ、該ネットワーク毎に前記ＩＰｓｅｃパケットを受信する複数の受信部と、
前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、
前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、
前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻すＩＰｓｅｃ処理部と、
を有する構成である。
【００１１】
さらに、本発明の情報処理方法は、並列に設けられた複数のネットワークのそれぞれを介して通信相手と接続され、該複数のネットワークに対応して、該通信相手からＩＰｓｅｃパケットを受信する複数の受信部と、前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、ＩＰｓｅｃ処理部とを有する情報処理装置による情報処理方法であって、
前記ＩＰｓｅｃ処理部は、前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、
前記ＩＰｓｅｃ処理部は、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されているか否かを判定し、
前記ＩＰｓｅｃ処理部は、判定の結果、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻すものである。
【発明の効果】
【００１２】
本発明によれば、既存のネットワークに影響を与えることなく、伝送するデータの容量および安全性を確保し、通信経路に障害が発生しても、通信経路の切り替え時のパケットロスを防ぎ、通信遅延を小さくすることができる。
【図面の簡単な説明】
【００１３】
【図１】本実施形態の通信システムの一構成例を示すブロック図である。
【図２】外部ネットワークにＩＰｓｅｃパケットを送出する側の情報処理装置の一構成例を示すブロック図である。
【図３】外部ネットワークからＩＰｓｅｃパケットを受信する側の情報処理装置の一構成例を示すブロック図である。
【図４】図３に示したＩＰｓｅｃ処理部の動作手順を示すフローチャートである。
【図５】図３に示した記憶部の他の構成例を示す図である。
【図６】本実施形態の通信システムの動作手順の一例を示すシーケンス図である。
【図７】図３に示したＩＰｓｅｃ処理部によるリプレイ攻撃判定方法を示すフローチャートである。
【発明を実施するための形態】
【００１４】
本実施形態の通信システムの構成を説明する。本実施形態では、ＩＰｓｅｃの通信プロトコルを用いてパケット通信を行う場合とする。
【００１５】
図１は本実施形態の通信システムの一構成例を示すブロック図である。
【００１６】
図１に示すように、通信システムは、情報処理装置１および情報処理装置２を有する。情報処理装置１および情報処理装置２は、外部ネットワーク３、４のそれぞれを介して並列に接続されている。本実施形態では、情報処理装置１、２を接続する外部ネットワークが２つの場合で説明するが、情報処理装置間を接続する外部ネットワークが２つ以上あればよい。
【００１７】
情報処理装置１は内部ネットワーク（不図示）と接続され、情報処理装置２は別の内部ネットワーク（不図示）と接続されている。情報処理装置１、２は、ＩＰｓｅｃにしたがってパケットを送受信することが可能なＩＰｓｅｃ装置である。ここでは、ＩＰｓｅｃの具体例として、情報処理装置１がＩＰパケットを暗号化する処理を行い、情報処理装置２は、暗号化されたＩＰパケットを元のＩＰパケットに復号する処理を行うものとする。以下では、ＩＰｓｅｃの通信プロトコルに準拠したＩＰパケットを「ＩＰｓｅｃパケット」と称する。
【００１８】
また、本実施形態では、説明を簡単にするために、情報処理装置１は情報処理装置２に対してデータの送信のみを行う送信装置であり、情報処理装置２は情報処理装置１からデータの受信のみを行う受信装置であるものとする。外部ネットワーク３を経由して実行されるデータ伝送と外部ネットワーク４を経由して実行されるデータ伝送は、同期している必要はなく、非同期でよい。情報処理装置１および情報処理装置２のそれぞれが、図２を参照して説明する情報処理装置１の構成と図３を参照して説明する情報処理装置２の構成の両方を備えるようにしてもよい。
【００１９】
次に、図１に示した情報処理装置１の構成を説明する。図２は図１に示した情報処理装置１の一構成例を示すブロック図である。
【００２０】
図２に示すように、情報処理装置１は、ＩＰｓｅｃ処理部５と、パケット複製部６と、送信部７、８とを有する。送信部７は外部ネットワーク３と接続され、送信部８は外部ネットワーク４と接続されている。情報処理装置１に設けられる送信部の数は、情報処理装置１に接続される外部ネットワークの数に対応している。本実施形態では、外部ネットワークの数が２つなので、送信部の数も２つである。
【００２１】
ＩＰｓｅｃ処理部５は、内部ネットワーク（不図示）からＩＰパケットを受信すると、ＩＰｓｅｃにしたがってＩＰパケットを暗号化し、生成したＩＰｓｅｃパケットをパケット複製部６に渡す。パケット複製部６は、ＩＰｓｅｃ処理部５から受け取ったＩＰｓｅｃパケットを複製し、元のＩＰｓｅｃパケットと複製したＩＰｓｅｃパケットのそれぞれを送信部７、８のそれぞれに渡す。本実施形態では、送信部の数が２つなので、パケット複製部６は、ＩＰｓｅｃ処理部５から受け取るＩＰｓｅｃパケットを１つ複製すればよい。
【００２２】
なお、本実施形態においては、ＩＰｓｅｃ処理部５、送信部７、８のそれぞれの構成と動作について、本発明の関連部分については詳細に説明するが、一般的な動作についての詳細な説明を省略する。
【００２３】
次に、図１に示した情報処理装置２の構成を説明する。図３は図１に示した情報処理装置２の一構成例を示すブロック図である。
【００２４】
図３に示すように、情報処理装置２は、受信部９、１０と、ＩＰｓｅｃ処理部１１と、記憶部１５とを有する。受信部９は外部ネットワーク３と接続され、受信部１０は外部ネットワーク４と接続されている。情報処理装置２に設けられる受信部の数は、情報処理装置２に接続される外部ネットワークの数に対応している。本実施形態では、外部ネットワークの数が２つなので、受信部の数も２つである。
【００２５】
記憶部１５には、シーケンス番号記憶部１２と、受信部単位にシーケンス番号を記録するための受信部対応記憶部１３ａ、１３ｂとが設けられている。シーケンス番号記憶部１２は、外部ネットワークから受けるリプレイ攻撃に対して、アンチリプレイ機能を有効にするために、受信するＩＰｓｅｃパケットのシーケンス番号を記録するためのメモリである。受信部対応記憶部１３ａには、受信部９を介して受信するＩＰｓｅｃパケットのシーケンス番号が記録され、受信部対応記憶部１３ｂには、受信部１０を介して受信するＩＰｓｅｃパケットのシーケンス番号が記録される。シーケンス番号は、パケット毎に異なる番号であって、パケットの送出順序を示す順序識別子に相当する。
【００２６】
ＩＰｓｅｃ処理部１１は、受信部９を介して受信するＩＰｓｅｃパケットのシーケンス番号を受信部対応記憶部１３ａに記録し、受信部１０を介して受信するＩＰｓｅｃパケットのシーケンス番号を受信部対応記憶部１３ｂに記録する。また、ＩＰｓｅｃ処理部１１は、新規に受信したＩＰｓｅｃパケットを元のＩＰパケットに復号し、ヘッダに記述された宛先にＩＰパケットを内部ネットワーク（不図示）を介して送信する。そして、ＩＰｓｅｃ処理部１１はアンチリプレイ機能を備えている。アンチリプレイ機能は、受信するＩＰｓｅｃパケットのシーケンス番号をシーケンス番号記憶部１２に記録することで、既に記録した番号と同じ番号のＩＰｓｅｃパケットを受信したことを認識すると、そのＩＰｓｅｃパケットをリプレイ攻撃と判断して廃棄するものである。なお、リプレイ攻撃およびアンチリプレイ機能についての詳細な説明は省略する。
【００２７】
続いて、ＩＰｓｅｃ処理部１１の動作を説明する。図４はＩＰｓｅｃ処理部１１の動作手順を示すフローチャートである。
【００２８】
ＩＰｓｅｃ処理部１１は、受信部９を介して受信するＩＰｓｅｃパケットのシーケンス番号を受信部対応記憶部１３ａに記録し、受信部１０を介して受信するＩＰｓｅｃパケットのシーケンス番号を受信部対応記憶部１３ｂに記録する（ステップ１０１）。続いて、ＩＰｓｅｃ処理部１１は、受信したＩＰｓｅｃパケットのシーケンス番号と同じ番号がシーケンス番号記憶部１２に記録されているか否かを判定する（ステップ１０２）。そのＩＰｓｅｃパケットのシーケンス番号がシーケンス番号記憶部１２に記録されていない場合、ＩＰｓｅｃ処理部１１は、そのＩＰｓｅｃパケットが新規に受け取ったパケットであると認識し、ＩＰｓｅｃパケットを元のＩＰパケットに復号して内部ネットワーク（不図示）に送出するとともに、そのシーケンス番号をシーケンス番号記憶部１２に記録する（ステップ１０３）。
【００２９】
一方、ステップ１０２において、受信したＩＰｓｅｃパケットのシーケンス番号がシーケンス番号記憶部１２に記録されている場合、ＩＰｓｅｃ処理部１１は、そのＩＰｓｅｃパケットと同じものを既に復号して宛先に送信しているものと認識し、そのＩＰｓｅｃパケットを廃棄する（ステップ１０４）。このステップ１０４の処理は、ＩＰｓｅｃに規定されたアンチリプレイ機能で実行され、通信プロトコルに変更を必要とするものではない。
【００３０】
なお、情報処理装置２の構成について、図３に示すブロック図では、シーケンス番号記憶部１２および受信部対応記憶部１３ａ、１３ｂのそれぞれを別の構成で示しているが、図５に示すように、１つのハードメモリを複数の記憶領域に分割し、分割した記憶領域毎に、シーケンス番号を記録するようにしてもよい。図５は図３に示した記憶部の別の構成例を示す図である。
【００３１】
図５に示す記憶部１５では、記憶領域が複数に分割され、記憶領域毎に記録される情報がＩＰｓｅｃ処理部１１によって管理される。シーケンス番号記憶領域１６は図３に示したシーケンス番号記憶部１２に対応し、受信部９対応記憶領域１７ａは図３に示した受信部対応記憶部１３ａに対応し、受信部１０対応記憶領域１７ｂは図３に示した受信部対応記憶部１３ｂに対応している。
【００３２】
また、図２および図３の機能ブロック図に示すＩＰｓｅｃ処理部５、パケット複製部６およびＩＰｓｅｃ処理部２２の各部は、それぞれの機能を実行する専用回路で構成されてもよく、ＣＰＵ（Central Processing Unit）がプログラムにしたがって処理を実行することで仮想的に構成されるものであってもよい。
【００３３】
次に、本実施形態の通信システムの動作手順を説明する。図６は本実施形態の通信システムの動作手順の一例を示すシーケンス図である。
【００３４】
ここでは、図１に示した、外部ネットワーク３または外部ネットワーク４のうち、いずれか一方のネットワークに障害が発生して、パケットの伝送経路が切断されても、パケットの伝送経路が無瞬断で他方のネットワークに切り替わることを説明する。また、情報処理装置１および情報処理装置２の間でＩＰｓｅｃパケットの送受信を開始した段階では、ＩＰｓｅｃパケットの伝送速度が、外部ネットワーク４よりも外部ネットワーク３の方が速いものとする。
【００３５】
情報処理装置１のＩＰｓｅｃ処理部５は、内部ネットワーク（不図示）からＩＰパケットを受信すると、そのＩＰパケットからＩＰｓｅｃパケットを生成してパケット複製部６に渡す。パケット複製部６は、ＩＰｓｅｃ処理部５から受け取ったＩＰｓｅｃパケットを（（送信部の数）−１）だけ複製する（ステップ２０１）。本実施形態では、送信部の数が２つなので、パケット複製部６はＩＰｓｅｃパケットを１つ複製する。
【００３６】
パケット複製部６は、元のＩＰｓｅｃパケットを送信部７および外部ネットワーク３を介して情報処理装置２に送信し、複製したＩＰｓｅｃパケットを送信部８および外部ネットワーク４を介して情報処理装置２に送信する（ステップ２０２）。ステップ２０２で送出されるＩＰｓｅｃパケットのシーケンス番号をＸ１とする。
【００３７】
情報処理装置２が外部ネットワーク３を介してＩＰｓｅｃパケットを情報処理装置１から受信すると（ステップ２０３）、ＩＰｓｅｃ処理部１１は、図４を参照して説明したように、シーケンス番号Ｘ１のＩＰｓｅｃパケットを復号して内部ネットワーク（不図示）に送出する。ステップ２０３の後、情報処理装置２が外部ネットワーク４を介してＩＰｓｅｃパケットを情報処理装置１から受信すると（ステップ２０４）、ＩＰｓｅｃ処理部１１は、図４を参照して説明したように、シーケンス番号Ｘ１のＩＰｓｅｃパケットを既に内部ネットワークに送出しているので、受信部１０を介して受信した、シーケンス番号Ｘ１のＩＰｓｅｃパケットを廃棄する。
【００３８】
続いて、情報処理装置１は、シーケンス番号Ｘ１の次のシーケンス番号Ｘ２のＩＰパケットを内部ネットワーク（不図示）から受信すると、シーケンス番号Ｘ２のＩＰｓｅｃパケットを複製し（ステップ２０５）、元のＩＰｓｅｃパケットと複製したＩＰｓｅｃパケットのそれぞれを送信部７および送信部８のそれぞれを介して情報処理装置２に送信する（ステップ２０６）。このとき、外部ネットワーク３に障害が発生していたとすると、外部ネットワーク３を介して送出されたＩＰｓｅｃパケットは情報処理装置２に到達できないが、外部ネットワーク４を介して送出されたＩＰｓｅｃパケットは情報処理装置２に到達する。その結果、情報処理装置２は、シーケンス番号Ｘ２のＩＰｓｅｃパケットを外部ネットワーク４を介して受信する（ステップ２０７）。この場合、ＩＰｓｅｃ処理部１１は、図４を参照して説明したように、シーケンス番号Ｘ２のＩＰｓｅｃパケットを復号して内部ネットワーク（不図示）に送出する。
【００３９】
図６を参照して説明したように、情報処理装置１が外部ネットワーク３、４のそれぞれに送出したパケットは、情報処理装置２において非同期でそれぞれ受信される。本実施形態では、情報処理装置１と情報処理装置２の間を結ぶ全ての通信経路が遮断されない限り、いずれかの通信経路で障害が発生しても、情報処理装置１から送出された、同一のパケットが必ず１つ以上情報処理装置２に到達することは明らかである。そのため、情報処理装置２が、同一のパケットを複数受信した場合、最初に受信したパケット以外の重複パケットを廃棄すれば、無瞬断で通信が成立することになる。また、この場合、複数の同一パケットのうち、常に最初に情報処理装置２に到達したものが有効に処理されるため、情報処理装置１と情報処理装置２を結ぶ通信経路のうち、最も通信遅延の小さい通信経路が常に選択されることになる。
【００４０】
次に、本実施形態の情報処理装置２がリプレイ攻撃を判定することが可能であることを説明する。
【００４１】
図４を参照して説明したように、情報処理装置２が受信部９および受信部１０のそれぞれを介して、同一のＩＰｓｅｃパケットを２つ受信すると、ＩＰｓｅｃ処理部１１は、順番として後に受信した方を廃棄する。この廃棄処理は、既存のＩＰｓｅｃにおけるアンチリプレイ機能により、リプレイ攻撃と判定されることで実行される。
【００４２】
本実施形態のように、情報処理装置１がリプレイ攻撃を意図せずに、ＩＰｓｅｃパケットを複製して情報処理装置２に送信する場合であっても、情報処理装置２のＩＰｓｅｃ処理部１１がリプレイ攻撃を受けていると判定して、重複して受信するパケットを廃棄することになる。この方法では、情報処理装置２は、本当にリプレイ攻撃を受けた際、リプレイ攻撃自体を防止できるが、リプレイ攻撃があったことを検出できなくなってしまう。
【００４３】
そこで、本実施形態では、情報処理装置１が定常的に行う、複数の同一パケットの送信を、情報処理装置２がリプレイ攻撃とは判定せず、本当のリプレイ攻撃があった場合にそれを検出できるようにしている。以下に、その仕組みを説明する。図７はＩＰｓｅｃ処理部１１によるリプレイ攻撃判定方法を示すフローチャートである。
【００４４】
ＩＰｓｅｃ処理部１１は、外部ネットワーク３から受信部９を介してＩＰｓｅｃパケットを受信すると、受信部対応記憶部１３ａを参照し（ステップ３０１）、受信したＩＰｓｅｃパケットのシーケンス番号と同じ番号が既に記録されているか否かを判定する（ステップ３０２）。
【００４５】
ステップ３０２において、ＩＰｓｅｃパケットのシーケンス番号が既に受信部対応記憶部１３ａに記録されている場合、ＩＰｓｅｃ処理部１１は、受信したＩＰｓｅｃパケットがリプレイ攻撃であると判定する（ステップ３０４）。これは、外部ネットワーク３において、悪意のある第三者がＩＰｓｅｃパケットを複製して情報処理装置２に送信したと考えられるからである。
【００４６】
一方、ステップ３０２において、ＩＰｓｅｃパケットのシーケンス番号が受信部対応記憶部１３ａに記録されていない場合、ＩＰｓｅｃ処理部１１は、受信したＩＰｓｅｃパケットが外部ネットワーク３を経由して受け取るパケットとしては新規のパケットであると認識し、リプレイ攻撃ではないと判定する（ステップ３０４）。
【００４７】
なお、外部ネットワーク４から受信部１０を介してＩＰｓｅｃパケットを受信する場合には、ＩＰｓｅｃ処理部１１がそのＩＰｓｅｃパケットに対してステップ３０１〜３０４の処理を行うが、説明の重複を避けるため、その詳細な説明を省略する。
【００４８】
上述のようにして、情報処理装置２が受信部単位でシーケンス番号を記録するための受信部対応記憶部１３ａ、１３ｂを予め備え、受信部９および受信部１０のそれぞれを介して受信するＩＰｓｅｃパケットのシーケンス番号を受信部単位で記録し、それらの記録を参照することで、それぞれの外部ネットワークに対して、リプレイ攻撃を受けているのか否かを確認することが可能となる。これは、情報処理装置１は、同一のパケットを１つの外部ネットワークには１つしか送信しないため、情報処理装置２は、同一の受信部で同一のシーケンス番号のパケットを受信した場合に、リプレイ攻撃を受けたと判定できるからである。
【００４９】
受信部対応記憶部１３ａ、１３ｂは、１つの受信部に複数の同一のパケットが到達することを検出可能にしている。シーケンス番号記憶部１２は、受信部９および受信部１０で同じパケットを受信しても、そのうちの１つだけをＩＰｓｅｃ処理部１１で処理させるために、シーケンス番号を管理する役目を果たしている。
【００５０】
このようにして、送信側のＩＰｓｅｃ装置で暗号化された複数の同一パケットのうち、受信側のＩＰｓｅｃ装置に最も早く到達した、１つのパケットだけ復号されるだけでなく、リプレイ攻撃を検出することも可能である。
【００５１】
上述したように、本実施形態によれば、ネットワークを冗長構成にしたＩＰｓｅｃ装置間において、送信側ではＩＰｓｅｃのパケットを複製して複数のネットワークを介して送信し、受信側では受信部単位にシーケンス番号記憶部を設け、シーケンス番号の記録を参照して、最初に到達したパケットのみを処理している。そのため、複数の通信経路のうち、正常な通信経路が１つでもあれば、正常な通信経路を介してＩＰｓｅｃパケットが伝送されるため、通信断が発生しない。その結果、通信経路の切り替えによるパケットの消失を防げる。また、複数の正常な通信経路のうち、最も遅延の小さい通信経路がパケット通信経路として常に選択されるため、通信遅延を最も小さくすることが可能となる。
【００５２】
また、ＩＰｓｅｃパケットに別の順序識別子を新たに付加するなど、ＩＰｓｅｃパケットを加工する必要がないので、ペイロードのサイズも変化せず、既存のＩＰｓｅｃネットワークに影響を与えることがない。そのため、伝送するデータのサイズが小さくなることを抑制でき、ＩＰｓｅｃによりデータやシーケンス番号を暗号化して安全性を確保することが可能となる。
【００５３】
なお、リプレイ攻撃を検出する必要がなく、受信方向のみ無瞬断で冗長化できればよい場合、受信側ＩＰｓｅｃ装置は、複数の受信部を備えていれば、他の構成については既存のＩＰｓｅｃ装置と同様な構成でよい。
【符号の説明】
【００５４】
１、２ 情報処理装置
３、４ 外部ネットワーク
５、１１ ＩＰｓｅｃ処理部
６ パケット複製部
７、８ 送信部
９、１０ 受信部
１２ シーケンス番号記憶部
１３ａ、１３ｂ 受信部対応記憶部
１５ 記憶部
【技術分野】
【０００１】
本発明は、ネットワークを介してデータを送受信する通信システム、情報処理装置および情報処理方法に関する。
【背景技術】
【０００２】
通信経路の冗長化を行っている通信システムには、メイン側の回線に障害が発生すると、その障害を検出して通信経路をバックアップ回線に切り替えるものがある。しかし、このようにして、通信経路を確保しても、障害発生から障害検出までの間にパケットロスが発生してしまうという問題がある。また、メイン側の回線がバックアップ回線よりも通信遅延が大きくなっても、メイン側の回線に障害の発生が検出されない限り、通信遅延の小さいバックアップ回線を利用できないという問題がある。
【０００３】
これらの問題に対する対策の一例が特許文献１に開示されている。特許文献１に開示された方法では、複数の通信経路に優先度を定義し、既存のシーケンス番号とは別の順序識別子や通信経路の優先度の情報をパケットに付与する通信プロトコルを用いている。
【０００４】
２つの装置間で通信経路を介してデータを送受信する際、上記のように、いかにして通信遅延を小さくして相手先にデータを送るかということは重要な要素の１つであるが、データの信頼性や秘匿性など安全性を向上させることも重要である。近年、ネットワーク通信において、インターネットプロトコル（ＩＰ）を拡張してセキュリティ機能を持たせたＩＰｓｅｃ（Security Architecture for Internet Protocol）という通信プロトコルが用いられるようになった。ＩＰｓｅｃでは、既存のＩＰに対して、暗号ペイロードや認証ヘッダなどの複数のプロトコルを追加することで、暗号化や認証の機能を実行可能にしている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−０７８７７０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ＩＰｓｅｃを用いてデータの安全性を向上させたパケット通信に、特許文献１に開示された方法を適用して、通信遅延を小さくしようとすると、別の順序識別子を含むヘッダをパケットに付与することになる。この場合、ネットワークに接続されたデータ転送装置を含むネットワーク全体が新たなヘッダに対応できる構成でなければならない。通信プロトコルがＩＰｓｅｃとは異なるものとなるため、既存のネットワーク環境で新たな通信プロトコルでパケット通信を可能にするには、ネットワークの設計の見直しが必要になってしまう。
【０００７】
また、特許文献１に開示された方法のように、別の順序識別子を新たにパケットに追加すると、その順序識別子の分の容量をパケット毎に確保しなければならないので、１つのパケットで送信可能なデータのサイズが小さくなってしまう。
【０００８】
本発明は上述したような技術が有する問題点を解決するためになされたものであり、データの容量および安全性を確保し、既存のネットワークに影響を与えることなく、通信の無瞬断および低遅延を可能にした通信システム、情報処理装置および情報処理方法を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するための本発明の通信システムは、並列に設けられた複数のネットワークのそれぞれを介して、ＩＰｓｅｃパケットを送受信する送信装置および受信装置を有する通信システムであって、
前記送信装置は、
ＩＰパケットから前記ＩＰｓｅｃパケットを生成する第１のＩＰｓｅｃ処理部と、
前記第１のＩＰｓｅｃ処理部で生成されたＩＰｓｅｃパケットの数が前記複数のネットワークの数と同じになるように該ＩＰｓｅｃパケットを複製するパケット複製部と、
前記複数のネットワークに対応して設けられ、前記ＩＰｓｅｃパケットおよび複製されたＩＰｓｅｃパケットから１つずつ該ネットワーク毎に前記受信装置に送信する複数の送信部とを有し、
前記受信装置は、
前記複数のネットワークに対応して設けられ、該ネットワーク毎に前記ＩＰｓｅｃパケットを受信する複数の受信部と、
前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、
前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、
前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻す第２のＩＰｓｅｃ処理部とを有する。
【００１０】
また、本発明の情報処理装置は、並列に設けられた複数のネットワークのそれぞれを介して、ＩＰｓｅｃパケットを通信相手から受信する情報処理装置であって、
前記複数のネットワークに対応して設けられ、該ネットワーク毎に前記ＩＰｓｅｃパケットを受信する複数の受信部と、
前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、
前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、
前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻すＩＰｓｅｃ処理部と、
を有する構成である。
【００１１】
さらに、本発明の情報処理方法は、並列に設けられた複数のネットワークのそれぞれを介して通信相手と接続され、該複数のネットワークに対応して、該通信相手からＩＰｓｅｃパケットを受信する複数の受信部と、前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、ＩＰｓｅｃ処理部とを有する情報処理装置による情報処理方法であって、
前記ＩＰｓｅｃ処理部は、前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、
前記ＩＰｓｅｃ処理部は、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されているか否かを判定し、
前記ＩＰｓｅｃ処理部は、判定の結果、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻すものである。
【発明の効果】
【００１２】
本発明によれば、既存のネットワークに影響を与えることなく、伝送するデータの容量および安全性を確保し、通信経路に障害が発生しても、通信経路の切り替え時のパケットロスを防ぎ、通信遅延を小さくすることができる。
【図面の簡単な説明】
【００１３】
【図１】本実施形態の通信システムの一構成例を示すブロック図である。
【図２】外部ネットワークにＩＰｓｅｃパケットを送出する側の情報処理装置の一構成例を示すブロック図である。
【図３】外部ネットワークからＩＰｓｅｃパケットを受信する側の情報処理装置の一構成例を示すブロック図である。
【図４】図３に示したＩＰｓｅｃ処理部の動作手順を示すフローチャートである。
【図５】図３に示した記憶部の他の構成例を示す図である。
【図６】本実施形態の通信システムの動作手順の一例を示すシーケンス図である。
【図７】図３に示したＩＰｓｅｃ処理部によるリプレイ攻撃判定方法を示すフローチャートである。
【発明を実施するための形態】
【００１４】
本実施形態の通信システムの構成を説明する。本実施形態では、ＩＰｓｅｃの通信プロトコルを用いてパケット通信を行う場合とする。
【００１５】
図１は本実施形態の通信システムの一構成例を示すブロック図である。
【００１６】
図１に示すように、通信システムは、情報処理装置１および情報処理装置２を有する。情報処理装置１および情報処理装置２は、外部ネットワーク３、４のそれぞれを介して並列に接続されている。本実施形態では、情報処理装置１、２を接続する外部ネットワークが２つの場合で説明するが、情報処理装置間を接続する外部ネットワークが２つ以上あればよい。
【００１７】
情報処理装置１は内部ネットワーク（不図示）と接続され、情報処理装置２は別の内部ネットワーク（不図示）と接続されている。情報処理装置１、２は、ＩＰｓｅｃにしたがってパケットを送受信することが可能なＩＰｓｅｃ装置である。ここでは、ＩＰｓｅｃの具体例として、情報処理装置１がＩＰパケットを暗号化する処理を行い、情報処理装置２は、暗号化されたＩＰパケットを元のＩＰパケットに復号する処理を行うものとする。以下では、ＩＰｓｅｃの通信プロトコルに準拠したＩＰパケットを「ＩＰｓｅｃパケット」と称する。
【００１８】
また、本実施形態では、説明を簡単にするために、情報処理装置１は情報処理装置２に対してデータの送信のみを行う送信装置であり、情報処理装置２は情報処理装置１からデータの受信のみを行う受信装置であるものとする。外部ネットワーク３を経由して実行されるデータ伝送と外部ネットワーク４を経由して実行されるデータ伝送は、同期している必要はなく、非同期でよい。情報処理装置１および情報処理装置２のそれぞれが、図２を参照して説明する情報処理装置１の構成と図３を参照して説明する情報処理装置２の構成の両方を備えるようにしてもよい。
【００１９】
次に、図１に示した情報処理装置１の構成を説明する。図２は図１に示した情報処理装置１の一構成例を示すブロック図である。
【００２０】
図２に示すように、情報処理装置１は、ＩＰｓｅｃ処理部５と、パケット複製部６と、送信部７、８とを有する。送信部７は外部ネットワーク３と接続され、送信部８は外部ネットワーク４と接続されている。情報処理装置１に設けられる送信部の数は、情報処理装置１に接続される外部ネットワークの数に対応している。本実施形態では、外部ネットワークの数が２つなので、送信部の数も２つである。
【００２１】
ＩＰｓｅｃ処理部５は、内部ネットワーク（不図示）からＩＰパケットを受信すると、ＩＰｓｅｃにしたがってＩＰパケットを暗号化し、生成したＩＰｓｅｃパケットをパケット複製部６に渡す。パケット複製部６は、ＩＰｓｅｃ処理部５から受け取ったＩＰｓｅｃパケットを複製し、元のＩＰｓｅｃパケットと複製したＩＰｓｅｃパケットのそれぞれを送信部７、８のそれぞれに渡す。本実施形態では、送信部の数が２つなので、パケット複製部６は、ＩＰｓｅｃ処理部５から受け取るＩＰｓｅｃパケットを１つ複製すればよい。
【００２２】
なお、本実施形態においては、ＩＰｓｅｃ処理部５、送信部７、８のそれぞれの構成と動作について、本発明の関連部分については詳細に説明するが、一般的な動作についての詳細な説明を省略する。
【００２３】
次に、図１に示した情報処理装置２の構成を説明する。図３は図１に示した情報処理装置２の一構成例を示すブロック図である。
【００２４】
図３に示すように、情報処理装置２は、受信部９、１０と、ＩＰｓｅｃ処理部１１と、記憶部１５とを有する。受信部９は外部ネットワーク３と接続され、受信部１０は外部ネットワーク４と接続されている。情報処理装置２に設けられる受信部の数は、情報処理装置２に接続される外部ネットワークの数に対応している。本実施形態では、外部ネットワークの数が２つなので、受信部の数も２つである。
【００２５】
記憶部１５には、シーケンス番号記憶部１２と、受信部単位にシーケンス番号を記録するための受信部対応記憶部１３ａ、１３ｂとが設けられている。シーケンス番号記憶部１２は、外部ネットワークから受けるリプレイ攻撃に対して、アンチリプレイ機能を有効にするために、受信するＩＰｓｅｃパケットのシーケンス番号を記録するためのメモリである。受信部対応記憶部１３ａには、受信部９を介して受信するＩＰｓｅｃパケットのシーケンス番号が記録され、受信部対応記憶部１３ｂには、受信部１０を介して受信するＩＰｓｅｃパケットのシーケンス番号が記録される。シーケンス番号は、パケット毎に異なる番号であって、パケットの送出順序を示す順序識別子に相当する。
【００２６】
ＩＰｓｅｃ処理部１１は、受信部９を介して受信するＩＰｓｅｃパケットのシーケンス番号を受信部対応記憶部１３ａに記録し、受信部１０を介して受信するＩＰｓｅｃパケットのシーケンス番号を受信部対応記憶部１３ｂに記録する。また、ＩＰｓｅｃ処理部１１は、新規に受信したＩＰｓｅｃパケットを元のＩＰパケットに復号し、ヘッダに記述された宛先にＩＰパケットを内部ネットワーク（不図示）を介して送信する。そして、ＩＰｓｅｃ処理部１１はアンチリプレイ機能を備えている。アンチリプレイ機能は、受信するＩＰｓｅｃパケットのシーケンス番号をシーケンス番号記憶部１２に記録することで、既に記録した番号と同じ番号のＩＰｓｅｃパケットを受信したことを認識すると、そのＩＰｓｅｃパケットをリプレイ攻撃と判断して廃棄するものである。なお、リプレイ攻撃およびアンチリプレイ機能についての詳細な説明は省略する。
【００２７】
続いて、ＩＰｓｅｃ処理部１１の動作を説明する。図４はＩＰｓｅｃ処理部１１の動作手順を示すフローチャートである。
【００２８】
ＩＰｓｅｃ処理部１１は、受信部９を介して受信するＩＰｓｅｃパケットのシーケンス番号を受信部対応記憶部１３ａに記録し、受信部１０を介して受信するＩＰｓｅｃパケットのシーケンス番号を受信部対応記憶部１３ｂに記録する（ステップ１０１）。続いて、ＩＰｓｅｃ処理部１１は、受信したＩＰｓｅｃパケットのシーケンス番号と同じ番号がシーケンス番号記憶部１２に記録されているか否かを判定する（ステップ１０２）。そのＩＰｓｅｃパケットのシーケンス番号がシーケンス番号記憶部１２に記録されていない場合、ＩＰｓｅｃ処理部１１は、そのＩＰｓｅｃパケットが新規に受け取ったパケットであると認識し、ＩＰｓｅｃパケットを元のＩＰパケットに復号して内部ネットワーク（不図示）に送出するとともに、そのシーケンス番号をシーケンス番号記憶部１２に記録する（ステップ１０３）。
【００２９】
一方、ステップ１０２において、受信したＩＰｓｅｃパケットのシーケンス番号がシーケンス番号記憶部１２に記録されている場合、ＩＰｓｅｃ処理部１１は、そのＩＰｓｅｃパケットと同じものを既に復号して宛先に送信しているものと認識し、そのＩＰｓｅｃパケットを廃棄する（ステップ１０４）。このステップ１０４の処理は、ＩＰｓｅｃに規定されたアンチリプレイ機能で実行され、通信プロトコルに変更を必要とするものではない。
【００３０】
なお、情報処理装置２の構成について、図３に示すブロック図では、シーケンス番号記憶部１２および受信部対応記憶部１３ａ、１３ｂのそれぞれを別の構成で示しているが、図５に示すように、１つのハードメモリを複数の記憶領域に分割し、分割した記憶領域毎に、シーケンス番号を記録するようにしてもよい。図５は図３に示した記憶部の別の構成例を示す図である。
【００３１】
図５に示す記憶部１５では、記憶領域が複数に分割され、記憶領域毎に記録される情報がＩＰｓｅｃ処理部１１によって管理される。シーケンス番号記憶領域１６は図３に示したシーケンス番号記憶部１２に対応し、受信部９対応記憶領域１７ａは図３に示した受信部対応記憶部１３ａに対応し、受信部１０対応記憶領域１７ｂは図３に示した受信部対応記憶部１３ｂに対応している。
【００３２】
また、図２および図３の機能ブロック図に示すＩＰｓｅｃ処理部５、パケット複製部６およびＩＰｓｅｃ処理部２２の各部は、それぞれの機能を実行する専用回路で構成されてもよく、ＣＰＵ（Central Processing Unit）がプログラムにしたがって処理を実行することで仮想的に構成されるものであってもよい。
【００３３】
次に、本実施形態の通信システムの動作手順を説明する。図６は本実施形態の通信システムの動作手順の一例を示すシーケンス図である。
【００３４】
ここでは、図１に示した、外部ネットワーク３または外部ネットワーク４のうち、いずれか一方のネットワークに障害が発生して、パケットの伝送経路が切断されても、パケットの伝送経路が無瞬断で他方のネットワークに切り替わることを説明する。また、情報処理装置１および情報処理装置２の間でＩＰｓｅｃパケットの送受信を開始した段階では、ＩＰｓｅｃパケットの伝送速度が、外部ネットワーク４よりも外部ネットワーク３の方が速いものとする。
【００３５】
情報処理装置１のＩＰｓｅｃ処理部５は、内部ネットワーク（不図示）からＩＰパケットを受信すると、そのＩＰパケットからＩＰｓｅｃパケットを生成してパケット複製部６に渡す。パケット複製部６は、ＩＰｓｅｃ処理部５から受け取ったＩＰｓｅｃパケットを（（送信部の数）−１）だけ複製する（ステップ２０１）。本実施形態では、送信部の数が２つなので、パケット複製部６はＩＰｓｅｃパケットを１つ複製する。
【００３６】
パケット複製部６は、元のＩＰｓｅｃパケットを送信部７および外部ネットワーク３を介して情報処理装置２に送信し、複製したＩＰｓｅｃパケットを送信部８および外部ネットワーク４を介して情報処理装置２に送信する（ステップ２０２）。ステップ２０２で送出されるＩＰｓｅｃパケットのシーケンス番号をＸ１とする。
【００３７】
情報処理装置２が外部ネットワーク３を介してＩＰｓｅｃパケットを情報処理装置１から受信すると（ステップ２０３）、ＩＰｓｅｃ処理部１１は、図４を参照して説明したように、シーケンス番号Ｘ１のＩＰｓｅｃパケットを復号して内部ネットワーク（不図示）に送出する。ステップ２０３の後、情報処理装置２が外部ネットワーク４を介してＩＰｓｅｃパケットを情報処理装置１から受信すると（ステップ２０４）、ＩＰｓｅｃ処理部１１は、図４を参照して説明したように、シーケンス番号Ｘ１のＩＰｓｅｃパケットを既に内部ネットワークに送出しているので、受信部１０を介して受信した、シーケンス番号Ｘ１のＩＰｓｅｃパケットを廃棄する。
【００３８】
続いて、情報処理装置１は、シーケンス番号Ｘ１の次のシーケンス番号Ｘ２のＩＰパケットを内部ネットワーク（不図示）から受信すると、シーケンス番号Ｘ２のＩＰｓｅｃパケットを複製し（ステップ２０５）、元のＩＰｓｅｃパケットと複製したＩＰｓｅｃパケットのそれぞれを送信部７および送信部８のそれぞれを介して情報処理装置２に送信する（ステップ２０６）。このとき、外部ネットワーク３に障害が発生していたとすると、外部ネットワーク３を介して送出されたＩＰｓｅｃパケットは情報処理装置２に到達できないが、外部ネットワーク４を介して送出されたＩＰｓｅｃパケットは情報処理装置２に到達する。その結果、情報処理装置２は、シーケンス番号Ｘ２のＩＰｓｅｃパケットを外部ネットワーク４を介して受信する（ステップ２０７）。この場合、ＩＰｓｅｃ処理部１１は、図４を参照して説明したように、シーケンス番号Ｘ２のＩＰｓｅｃパケットを復号して内部ネットワーク（不図示）に送出する。
【００３９】
図６を参照して説明したように、情報処理装置１が外部ネットワーク３、４のそれぞれに送出したパケットは、情報処理装置２において非同期でそれぞれ受信される。本実施形態では、情報処理装置１と情報処理装置２の間を結ぶ全ての通信経路が遮断されない限り、いずれかの通信経路で障害が発生しても、情報処理装置１から送出された、同一のパケットが必ず１つ以上情報処理装置２に到達することは明らかである。そのため、情報処理装置２が、同一のパケットを複数受信した場合、最初に受信したパケット以外の重複パケットを廃棄すれば、無瞬断で通信が成立することになる。また、この場合、複数の同一パケットのうち、常に最初に情報処理装置２に到達したものが有効に処理されるため、情報処理装置１と情報処理装置２を結ぶ通信経路のうち、最も通信遅延の小さい通信経路が常に選択されることになる。
【００４０】
次に、本実施形態の情報処理装置２がリプレイ攻撃を判定することが可能であることを説明する。
【００４１】
図４を参照して説明したように、情報処理装置２が受信部９および受信部１０のそれぞれを介して、同一のＩＰｓｅｃパケットを２つ受信すると、ＩＰｓｅｃ処理部１１は、順番として後に受信した方を廃棄する。この廃棄処理は、既存のＩＰｓｅｃにおけるアンチリプレイ機能により、リプレイ攻撃と判定されることで実行される。
【００４２】
本実施形態のように、情報処理装置１がリプレイ攻撃を意図せずに、ＩＰｓｅｃパケットを複製して情報処理装置２に送信する場合であっても、情報処理装置２のＩＰｓｅｃ処理部１１がリプレイ攻撃を受けていると判定して、重複して受信するパケットを廃棄することになる。この方法では、情報処理装置２は、本当にリプレイ攻撃を受けた際、リプレイ攻撃自体を防止できるが、リプレイ攻撃があったことを検出できなくなってしまう。
【００４３】
そこで、本実施形態では、情報処理装置１が定常的に行う、複数の同一パケットの送信を、情報処理装置２がリプレイ攻撃とは判定せず、本当のリプレイ攻撃があった場合にそれを検出できるようにしている。以下に、その仕組みを説明する。図７はＩＰｓｅｃ処理部１１によるリプレイ攻撃判定方法を示すフローチャートである。
【００４４】
ＩＰｓｅｃ処理部１１は、外部ネットワーク３から受信部９を介してＩＰｓｅｃパケットを受信すると、受信部対応記憶部１３ａを参照し（ステップ３０１）、受信したＩＰｓｅｃパケットのシーケンス番号と同じ番号が既に記録されているか否かを判定する（ステップ３０２）。
【００４５】
ステップ３０２において、ＩＰｓｅｃパケットのシーケンス番号が既に受信部対応記憶部１３ａに記録されている場合、ＩＰｓｅｃ処理部１１は、受信したＩＰｓｅｃパケットがリプレイ攻撃であると判定する（ステップ３０４）。これは、外部ネットワーク３において、悪意のある第三者がＩＰｓｅｃパケットを複製して情報処理装置２に送信したと考えられるからである。
【００４６】
一方、ステップ３０２において、ＩＰｓｅｃパケットのシーケンス番号が受信部対応記憶部１３ａに記録されていない場合、ＩＰｓｅｃ処理部１１は、受信したＩＰｓｅｃパケットが外部ネットワーク３を経由して受け取るパケットとしては新規のパケットであると認識し、リプレイ攻撃ではないと判定する（ステップ３０４）。
【００４７】
なお、外部ネットワーク４から受信部１０を介してＩＰｓｅｃパケットを受信する場合には、ＩＰｓｅｃ処理部１１がそのＩＰｓｅｃパケットに対してステップ３０１〜３０４の処理を行うが、説明の重複を避けるため、その詳細な説明を省略する。
【００４８】
上述のようにして、情報処理装置２が受信部単位でシーケンス番号を記録するための受信部対応記憶部１３ａ、１３ｂを予め備え、受信部９および受信部１０のそれぞれを介して受信するＩＰｓｅｃパケットのシーケンス番号を受信部単位で記録し、それらの記録を参照することで、それぞれの外部ネットワークに対して、リプレイ攻撃を受けているのか否かを確認することが可能となる。これは、情報処理装置１は、同一のパケットを１つの外部ネットワークには１つしか送信しないため、情報処理装置２は、同一の受信部で同一のシーケンス番号のパケットを受信した場合に、リプレイ攻撃を受けたと判定できるからである。
【００４９】
受信部対応記憶部１３ａ、１３ｂは、１つの受信部に複数の同一のパケットが到達することを検出可能にしている。シーケンス番号記憶部１２は、受信部９および受信部１０で同じパケットを受信しても、そのうちの１つだけをＩＰｓｅｃ処理部１１で処理させるために、シーケンス番号を管理する役目を果たしている。
【００５０】
このようにして、送信側のＩＰｓｅｃ装置で暗号化された複数の同一パケットのうち、受信側のＩＰｓｅｃ装置に最も早く到達した、１つのパケットだけ復号されるだけでなく、リプレイ攻撃を検出することも可能である。
【００５１】
上述したように、本実施形態によれば、ネットワークを冗長構成にしたＩＰｓｅｃ装置間において、送信側ではＩＰｓｅｃのパケットを複製して複数のネットワークを介して送信し、受信側では受信部単位にシーケンス番号記憶部を設け、シーケンス番号の記録を参照して、最初に到達したパケットのみを処理している。そのため、複数の通信経路のうち、正常な通信経路が１つでもあれば、正常な通信経路を介してＩＰｓｅｃパケットが伝送されるため、通信断が発生しない。その結果、通信経路の切り替えによるパケットの消失を防げる。また、複数の正常な通信経路のうち、最も遅延の小さい通信経路がパケット通信経路として常に選択されるため、通信遅延を最も小さくすることが可能となる。
【００５２】
また、ＩＰｓｅｃパケットに別の順序識別子を新たに付加するなど、ＩＰｓｅｃパケットを加工する必要がないので、ペイロードのサイズも変化せず、既存のＩＰｓｅｃネットワークに影響を与えることがない。そのため、伝送するデータのサイズが小さくなることを抑制でき、ＩＰｓｅｃによりデータやシーケンス番号を暗号化して安全性を確保することが可能となる。
【００５３】
なお、リプレイ攻撃を検出する必要がなく、受信方向のみ無瞬断で冗長化できればよい場合、受信側ＩＰｓｅｃ装置は、複数の受信部を備えていれば、他の構成については既存のＩＰｓｅｃ装置と同様な構成でよい。
【符号の説明】
【００５４】
１、２ 情報処理装置
３、４ 外部ネットワーク
５、１１ ＩＰｓｅｃ処理部
６ パケット複製部
７、８ 送信部
９、１０ 受信部
１２ シーケンス番号記憶部
１３ａ、１３ｂ 受信部対応記憶部
１５ 記憶部
【特許請求の範囲】
【請求項１】
並列に設けられた複数のネットワークのそれぞれを介して、ＩＰｓｅｃパケットを送受信する送信装置および受信装置を有する通信システムであって、
前記送信装置は、
ＩＰパケットから前記ＩＰｓｅｃパケットを生成する第１のＩＰｓｅｃ処理部と、
前記第１のＩＰｓｅｃ処理部で生成されたＩＰｓｅｃパケットの数が前記複数のネットワークの数と同じになるように該ＩＰｓｅｃパケットを複製するパケット複製部と、
前記複数のネットワークに対応して設けられ、前記ＩＰｓｅｃパケットおよび複製されたＩＰｓｅｃパケットから１つずつ該ネットワーク毎に前記受信装置に送信する複数の送信部とを有し、
前記受信装置は、
前記複数のネットワークに対応して設けられ、該ネットワーク毎に前記ＩＰｓｅｃパケットを受信する複数の受信部と、
前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、
前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、
前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻す第２のＩＰｓｅｃ処理部とを有する、通信システム。
【請求項２】
請求項１記載の通信システムにおいて、
前記第２のＩＰｓｅｃ処理部は、
前記複数の受信部のうち、いずれかの受信部でＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記録部を参照し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が該受信部対応記憶部に既に記録されていると、リプレイ攻撃を受けていると判定する、通信システム。
【請求項３】
並列に設けられた複数のネットワークのそれぞれを介して、ＩＰｓｅｃパケットを通信相手から受信する情報処理装置であって、
前記複数のネットワークに対応して設けられ、該ネットワーク毎に前記ＩＰｓｅｃパケットを受信する複数の受信部と、
前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、
前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、
前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻すＩＰｓｅｃ処理部と、
を有する情報処理装置。
【請求項４】
請求項３記載の情報処理装置において、
前記ＩＰｓｅｃ処理部は、
前記複数の受信部のうち、いずれかの受信部でＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記録部を参照し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が該受信部対応記憶部に既に記録されていると、リプレイ攻撃を受けていると判定する、情報処理装置。
【請求項５】
並列に設けられた複数のネットワークのそれぞれを介して通信相手と接続され、該複数のネットワークに対応して、該通信相手からＩＰｓｅｃパケットを受信する複数の受信部と、前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、ＩＰｓｅｃ処理部とを有する情報処理装置による情報処理方法であって、
前記ＩＰｓｅｃ処理部は、前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、
前記ＩＰｓｅｃ処理部は、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されているか否かを判定し、
前記ＩＰｓｅｃ処理部は、判定の結果、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻す、情報処理方法。
【請求項６】
請求項５記載の情報処理方法において、
前記ＩＰｓｅｃ処理部は、前記複数の受信部のうち、いずれかの受信部でＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記録部を参照し、
前記ＩＰｓｅｃ処理部は、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が参照した受信部対応記憶部に記録されているか否かを判定し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が該受信部対応記憶部に既に記録されている場合、リプレイ攻撃を受けていると判定する、情報処理方法。
【請求項１】
並列に設けられた複数のネットワークのそれぞれを介して、ＩＰｓｅｃパケットを送受信する送信装置および受信装置を有する通信システムであって、
前記送信装置は、
ＩＰパケットから前記ＩＰｓｅｃパケットを生成する第１のＩＰｓｅｃ処理部と、
前記第１のＩＰｓｅｃ処理部で生成されたＩＰｓｅｃパケットの数が前記複数のネットワークの数と同じになるように該ＩＰｓｅｃパケットを複製するパケット複製部と、
前記複数のネットワークに対応して設けられ、前記ＩＰｓｅｃパケットおよび複製されたＩＰｓｅｃパケットから１つずつ該ネットワーク毎に前記受信装置に送信する複数の送信部とを有し、
前記受信装置は、
前記複数のネットワークに対応して設けられ、該ネットワーク毎に前記ＩＰｓｅｃパケットを受信する複数の受信部と、
前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、
前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、
前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻す第２のＩＰｓｅｃ処理部とを有する、通信システム。
【請求項２】
請求項１記載の通信システムにおいて、
前記第２のＩＰｓｅｃ処理部は、
前記複数の受信部のうち、いずれかの受信部でＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記録部を参照し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が該受信部対応記憶部に既に記録されていると、リプレイ攻撃を受けていると判定する、通信システム。
【請求項３】
並列に設けられた複数のネットワークのそれぞれを介して、ＩＰｓｅｃパケットを通信相手から受信する情報処理装置であって、
前記複数のネットワークに対応して設けられ、該ネットワーク毎に前記ＩＰｓｅｃパケットを受信する複数の受信部と、
前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、
前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、
前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻すＩＰｓｅｃ処理部と、
を有する情報処理装置。
【請求項４】
請求項３記載の情報処理装置において、
前記ＩＰｓｅｃ処理部は、
前記複数の受信部のうち、いずれかの受信部でＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記録部を参照し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が該受信部対応記憶部に既に記録されていると、リプレイ攻撃を受けていると判定する、情報処理装置。
【請求項５】
並列に設けられた複数のネットワークのそれぞれを介して通信相手と接続され、該複数のネットワークに対応して、該通信相手からＩＰｓｅｃパケットを受信する複数の受信部と、前記ＩＰｓｅｃパケットの順序識別子であるシーケンス番号を記録するためのシーケンス番号記憶部と、前記複数の受信部に対応して設けられ、受信するＩＰｓｅｃパケットのシーケンス番号を受信部毎に記録するための複数の受信部対応記憶部と、ＩＰｓｅｃ処理部とを有する情報処理装置による情報処理方法であって、
前記ＩＰｓｅｃ処理部は、前記複数の受信部のうち、いずれかの受信部を介してＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記憶部に該ＩＰｓｅｃパケットのシーケンス番号を記録し、
前記ＩＰｓｅｃ処理部は、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されているか否かを判定し、
前記ＩＰｓｅｃ処理部は、判定の結果、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されている場合、該ＩＰｓｅｃパケットを廃棄し、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が前記シーケンス番号記憶部に記録されていない場合、該ＩＰｓｅｃパケットのシーケンス番号を前記シーケンス番号記憶部に記録するとともに、該ＩＰｓｅｃパケットを元のＩＰパケットに戻す、情報処理方法。
【請求項６】
請求項５記載の情報処理方法において、
前記ＩＰｓｅｃ処理部は、前記複数の受信部のうち、いずれかの受信部でＩＰｓｅｃパケットを受信すると、該受信部に対応する前記受信部対応記録部を参照し、
前記ＩＰｓｅｃ処理部は、受信したＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が参照した受信部対応記憶部に記録されているか否かを判定し、該ＩＰｓｅｃパケットのシーケンス番号と同じシーケンス番号が該受信部対応記憶部に既に記録されている場合、リプレイ攻撃を受けていると判定する、情報処理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１２−７００７７（Ｐ２０１２−７００７７Ａ）
【公開日】平成２４年４月５日（２０１２．４．５）
【国際特許分類】
【出願番号】特願２０１０−２１１１３１（Ｐ２０１０−２１１１３１）
【出願日】平成２２年９月２１日（２０１０．９．２１）
【出願人】（０００２２７２０５）ＮＥＣインフロンティア株式会社 (1,047)
【Ｆターム（参考）】
【公開日】平成２４年４月５日（２０１２．４．５）
【国際特許分類】
【出願日】平成２２年９月２１日（２０１０．９．２１）
【出願人】（０００２２７２０５）ＮＥＣインフロンティア株式会社 (1,047)
【Ｆターム（参考）】
[ Back to top ]