通信方法及び通信装置
【課題】IPsecを適用する通信ネットワークに接続される通信装置おける、記憶手段へのセキュリティポリシの格納を省略して、これに要する記憶容量を小さくすることができ、IPアドレスの動的割り当てによりIPアドレス付与を期待する通信装置へのIPsecを適用することができるようにする。
【解決手段】通信装置が、相手通信装置との間で交換する通信データにIPsecを適用するために、インターネット鍵交換プロトコルであるIKEを利用してIPsecSAを確立する場合、IKEフェーズ２により決定したIPsecSAの他に、IPsecSAを使用して通信データの交換を行う通信装置のIPアドレスまたはIPネットワークアドレス、通信相手装置のIPアドレスまたはIPネットワークアドレス、上位層プロトコル、送信元ポート、送信先ポートで構成するセレクタを特定し、IPsecSAと共にセレクタも動的に生成するようにする。
【解決手段】通信装置が、相手通信装置との間で交換する通信データにIPsecを適用するために、インターネット鍵交換プロトコルであるIKEを利用してIPsecSAを確立する場合、IKEフェーズ２により決定したIPsecSAの他に、IPsecSAを使用して通信データの交換を行う通信装置のIPアドレスまたはIPネットワークアドレス、通信相手装置のIPアドレスまたはIPネットワークアドレス、上位層プロトコル、送信元ポート、送信先ポートで構成するセレクタを特定し、IPsecSAと共にセレクタも動的に生成するようにする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信方法及び通信装置に係り、特に、信頼性を必要とするＩＰ通信ネットワークにＩＰｓｅｃを適用する際の、鍵交換プロトコルであるＩＫＥによるセキュリティポリシを動的に生成可能とした通信方法及び通信装置に関する。
【背景技術】
【０００２】
通信装置と、通信装置が接続されているＩＰ(Internet Protocol）通信ネットワークと、ＩＰ通信ネットワークと接続され、前述の通信装置と通信データを交換する通信相手の通信装置とで構成される通信システムは、一般に、安全な通信を実現するために、通信を行う通信装置相互間で、ＳＡ（Security Association）を確立した上で通信を行っている。ＳＡは、安全な通信路であり、ＳＡが保護対象とするデータを、他者からの盗み見や、改竄から守ることを可能にしている。
【０００３】
一方、通信を行う２つの通信装置相互間で暗号化や認証のための秘密鍵の生成・交換を自動で行うことが可能なプロトコルとして、非特許文献１等に記載されたＩＫＥ(Internet Key Exchange）が知られており、このＩＫＥで生成されるＳＡは、フェーズ１で生成されるＩＳＡＫＭＰＳＡ（Internet Security Association and Key Management Protocol Security Association）と、フェーズ２で生成されるＩＰｓｅｃＳＡ(IP security protocol Security Association）との２つにより構成される。そして、ＩＰｓｅｃＳＡの確立のために必要なデータは、ＩＳＡＫＭＰＳＡによって保護されて通信される。
【非特許文献１】ＩＥＴＦ(The Internet Engineering Task Force）、“The Internet Key Exchange（IKE）”、［online］、[平成１６年９月１日検索]、インターネット＜URL：http://www.ietf.org/rfc/rfc2409.txt＞
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来技術によるインターネット鍵交換プロトコルであるＩＫＥは、ＩＰｓｅｃＳＡを動的に生成することにより、同一の鍵を永続的に使用しないようにしてセキュリティを確保することを目的とし、生成したＩＰｓｅｃＳＡを適用するために、通信装置間の送信元ＩＰアドレスあるいは送信元ＩＰネットワークアドレス、送信先ＩＰアドレスあるいは送信先ＩＰネットワークアドレス、上位層プロトコル、送信元ポート、送信先ポートで構成するセキュリティポリシとしてのセレクタを、事前にＩＫＥを行う通信装置、及び、通信相手装置の記憶手段に格納しておくことが必要である。
【０００５】
このため、前述した従来技術によるＩＫＥを使用する通信システムは、ある通信装置が、不特定多数の通信相手となる通信装置との間で交換する通信データのそれぞれにＩＫＥにより生成したＩＰｓｅｃＳＡを適用する必要がある場合、通信データの交換が発生する可能性がある通信相手とのセレクタとなるセキュリティポリシを通信相手毎に記憶手段へ格納しておく必要があり、固定的に大量の記憶容量を必要とするという問題点を有し、また、実際にＩＫＥを含む通信データの交換が行われていない場合であっても、固定的に大量の記憶容量を必要としてしまうという問題点を生じる。また、ＩＰアドレスを動的に割り当てる通信装置が存在する通信ネットワークに接続され、割り当てられたＩＰアドレスの動的付与を行う通信装置は、セキュリティポリシを事前に記憶手段へ格納しておくことができないという問題点を有している。
【０００６】
本発明の目的は、前述した従来技術の問題点を解決し、ＩＰｓｅｃを適用する通信ネットワークに接続される通信装置おける、記憶手段へのセキュリティポリシの格納を省略し、この省略に伴う事前設定を簡略化することができ、セレクタ情報として占有する記憶容量を小さくして記憶装置の効率的な使用を可能にし、さらに、ＩＰアドレスの動的割り当てによりＩＰアドレス付与を期待する通信装置へのＩＰｓｅｃを適用することができるようにした通信方法及び通信装置を提供することにある。
【課題を解決するための手段】
【０００７】
本発明によれば前記目的は、複数の通信装置が通信ネットワークに接続され、複数の通信装置の１つが通信主体となり、他の通信装置の１つが通信相手となって、通信装置相互間で通信データを交換する通信方法において、前記通信主体となる通信装置が、通信相手となる通信装置との間で交換する通信データにＩＰｓｅｃを適用するために、インターネット鍵交換プロトコルであるＩＫＥを利用してＩＰｓｅｃＳＡを確立する場合、前記通信主体となる通信装置が、ＩＫＥフェーズ２により決定したＩＰｓｅｃＳＡの他に、ＩＰｓｅｃＳＡを使用して通信データの交換を行う通信主体となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、通信相手となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、上位層プロトコルと、送信元ポートと、送信先ポートとの情報で構成されるセレクタを特定し、ＩＰｓｅｃＳＡとセレクタとを動的に生成することによりセキュリティポリシを動的に生成することにより達成される。
【０００８】
また、前記目的は、複数の通信装置が通信ネットワークに接続され、複数の通信装置の１つが通信主体となり、他の通信装置の１つが通信相手となって、通信装置相互間で通信データを交換する通信装置において、前記通信主体となる通信装置が、通信相手となる通信装置との間で交換する通信データにＩＰｓｅｃを適用し、インターネット鍵交換プロトコルであるＩＫＥを利用してＩＰｓｅｃＳＡを確立するために、ＩＫＥフェーズ２により決定したＩＰｓｅｃＳＡの他に、ＩＰｓｅｃＳＡを使用して通信データの交換を行う通信主体となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、通信相手となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、上位層プロトコルと、送信元ポートと、送信先ポートとの情報で構成されるセレクタを特定し、ＩＰｓｅｃＳＡとセレクタとを動的に生成することによりセキュリティポリシを動的に生成する手段を有することにより達成される。
【発明の効果】
【０００９】
本発明によれば、通信データの交換、あるいは、転送を行う通信装置相互間で、事前にＩＰｓｅｃ適用の有無を判定するためのセレクタであるセキュリティポリシを事前に通信装置の記憶手段への格納することなしに、ＩＫＥを使用したＩＰｓｅｃＳＡ生成とＩＰｓｅｃＳＡを使用した通信が可能である。
【発明を実施するための最良の形態】
【００１０】
以下、本発明による通信方法及び通信装置の実施形態を図面により詳細に説明する。
【００１１】
図１は本発明の一実施形態による通信装置を備えて構成された通信システムの構成を示すブロック図である。図１において、１は通信主体となる通信装置（以下、単に通信主体という）、２は通信相手となる通信装置（以下、単に通信相手という）、１０はＩＫＥ処理部、１１はＩＫＥフェーズ１処理部、１２はＩＫＥフェーズ２処理部、１３はセレクタ設定処理部、１４はＩＰｓｅｃＳＡ設定処理部、２０はセキュリティポリシ管理部、２１はセレクタ格納部、２２はＩＰｓｅｃＳＡ格納部、３０は通信インタフェース、４０は通信ネットワーク、９０は記憶手段である。セレクタ格納部を構成する要素として、送信元アドレス／送信元ネットワークアドレス２１−１、送信先アドレス／送信先ネットワークアドレス２１−２、上位層プロトコル２１−３、上位層プロトコル送信元ポート２１−４、上位層プロトコル送信先ポート２１−５で構成する。
【００１２】
図１に示す通信システムは、ＩＫＥによりＩＰｓｅｃＳＡを確立する際の、確立要求を受ける側の装置である通信主体１と、確立要求を行う側の装置である通信相手２とが通信ネットワーク４０によって接続されて構成されている。なお、図１に示す通信システムは、通信主体１と通信相手２だけを通信ネットワーク４０に接続した構成として示しているが、本発明は、通信ネットワーク４０に多数の通信装置が接続され、ある１つの通信装置が通信主体となり、他の通信装置の任意の１つが通信相手となって相互にデータの交換を行うことができるものである。そして、複数の通信装置のそれぞれは、自通信装置のＩＰアドレスを動的に設定することができるものであってもよいし、固定的にＩＰアドレスが設定されているものであってもよい。また、通信主体１及び通信相手２を含む全ての通信装置は、それぞれ、少なくとも、演算処理を行う際に用いられる記憶手段としてのメモリと、前記演算処理を行う演算装置とを備えるコンピュータとして構成される。また、メモリは、ＲＡＭ（Rondom Access Memory）等により構成され、演算装置は、ＣＰＵ（Central Processing Unit）によって構成されればよく、本発明の実施形態は、演算装置が、メモリ上のプログラムを実行することにより実現される。
【００１３】
前述において、通信主体１は、通信相手２とのＩＫＥに関するデータを通信する通信インタフェース３０と、実際のＩＫＥの送受信を行うＩＫＥ処理部１０と、ＩＫＥにより生成した情報を格納するセキュリティポリシ管理部２０とを備えて構成される。
【００１４】
そして、ＩＫＥ処理部１０は、ＩＫＥフェーズ１のデータ送受信やデータ処理を行うＩＫＥフェーズ１処理部１１と、ＩＫＥフェーズ２のデータ送受信やデータ処理を行うＩＫＥフェーズ２処理部１２と、ＩＫＥフェーズ２により確立したＩＰｓｅｃＳＡ情報を設定するためのＩＰｓｅｃＳＡ設定処理部１４と、ＩＫＥフェーズ２により確立したＩＰｓｅｃＳＡ情報からセレクタ情報を設定するためのセレクタ設定処理部１３とを有する。
【００１５】
また、セキュリティポリシ管理部２０は、セレクタ設定処理部１３により生成された情報を格納するセレクタ格納部２１と、ＩＰｓｅｃＳＡ設定処理部１４により生成された情報を格納するＩＰｓｅｃＳＡ格納部２２とが記憶手段９０内に格納されて構成される。
【００１６】
また、通信相手２は、その構成の詳細を示していないが、通信主体１と全く同一に構成されていればよい。
【００１７】
図２はＩＫＥフェーズ２により生成したＩＰｓｅｃＳＡ及びセレクタをセキュリティポリシとして記憶手段に格納する処理を行う本発明の実施形態での処理動作を説明するシーケンスチャート及びフローチャートであり、次に、これについて説明する。図２は図の上段に、各装置内の構成要素を示して、どの構成要素で行われている処理かを判り易くして示している。なお、通信相手２は、ＩＫＥフェーズ１の処理により相手の認証が正常に行われた通信装置であるとする。
【００１８】
（１）ＩＫＥフェーズ２を開始する通信相手２は、まず、ＩＫＥ処理部１０が、ＩＰｓｅｃＳＡの提案のためにＩＫＥフェーズ２第１メッセージの送信を行う。なお、ＩＫＥフェーズ２第１メッセージには、ＩＰｓｅｃＳＡのセレクタとして不十分な場合のために、セレクタの送信元アドレスとなるＩＤペイロードと送信先アドレスとなるＩＤペイロードとが付与されている（ステップＳ１１）。
【００１９】
（２）通信主体１は、ＩＫＥフェーズ２第１メッセージを受け取ると、ＩＫＥフェーズ２処理部１２が、通信相手２から提案されたＩＰｓｅｃＳＡの内容を１つ選択し、ＩＰｓｅｃＳＡとセレクタの構成に必要な送信元ＩＰアドレスまたは送信元ＩＰネットワークアドレス、送信先ＩＰアドレスまたは送信先ＩＰネットワークアドレス、上位層プロトコル、送信元ポート、送信先ポートを退避し、選択された結果をＩＫＥフェーズ２第２メッセージとして、通信相手２に送信する（ステップＳ１２、Ｓ１３）。
【００２０】
（３）通信相手２は、ＩＫＥフェーズ２第２メッセージを受け取ると、応答確認として、ＩＫＥフェーズ２第３メッセージを送信する（ステップＳ１４）。
【００２１】
（４）通信主体１は、ＩＫＥフェーズ２第３メッセージを受け取り、その正常性を確認すると、セレクタ設定処理部１３が、セキュリティポリシ管理部２０に対して、退避していたセレクタ情報の設定要求を行う（ステップＳ１５）。
【００２２】
（５）セキュリティポリシ管理部２０は、要求されたセレクタの内容が記憶手段に既に存在しているか否かの判定を行う重複検証を行い、重複がなければ、セレクタ情報をセレクタ格納部２１に記憶する（ステップＳ１６、Ｓ１７）。
【００２３】
（６）ステップＳ１６での検証で、要求されたセレクタの内容が記憶手段に既に存在していた場合、重複するセレクタの生成を拒否して、セレクタ情報をセレクタ格納部には格納しない。この場合、ＩＰｓｅｃＳＡのみ動的に生成することも可能である。
【００２４】
（７）次に、通信主体１は、ＩＰｓｅｃＳＡ情報設定処理部１４が、セキュリティポリシ管理部２０に対して、退避していたＩＰｓｅｃＳＡ情報の設定要求を行う（ステップＳ１８）。
【００２５】
（８）セキュリティポリシ管理部２０は、要求されたＩＰｓｅｃＳＡの内容をＩＰｓｅｃＳＡ格納部２２に記憶する（ステップＳ１９）。
【００２６】
前述で説明した本発明の実施形態において、セレクタ情報となるＩＰアドレスの形式はＩＰｖ４（Internet Protocol version ４）、ＩＰｖ６（Internet Protocol version ６）のいずれでもよい。
【００２７】
前述した本発明の実施形態での処理は、プログラムとして構成することができ、そのプログラムは、ＦＤ、ＣＤ、ＭＯ、ＤＶＤＲＯＭ等の記録媒体に格納して提供することができる。
【００２８】
前述した本発明の実施形態によれば、通信装置相互間での通信の都度ＩＫＥの処理により動的にセキュリティポリシを生成しているので、通信装置及び相手通信装置の記憶手段にセレクタを伴うセキュリティポリシを事前に格納しておく必要をなくすことができ、記憶装置の負荷、例えば、セキュリティポリシ検索負荷を軽減することができる。
【００２９】
また、前述した本発明の実施形態によれば、通信装置相互間での通信の都度ＩＫＥの処理により動的にセキュリティポリシを生成しているので、不特定多数の通信相手との間でデータの交換を行うような場合にも、通信の都度、動的に個々にＩＫＥにより生成したＩＰｓｅｃＳＡを適用して通信を行うことが可能となる。また、通信装置が、そのＩＰアドレスが動的に割り当てられる装置であっても、セレクタを伴うセキュリティポリシを事前に記憶手段へ格納しておく必要がなく、通信の都度、セキュリティポリシを動的に生成して、ＩＰｓｅｃＳＡを適用した通信を行うことができる。
【００３０】
さらに、前述した本発明の実施形態によれば、動的にセキュリティポリシを生成する際、前記セレクタと同一のセレクタが既に通信装置の記憶手段に存在している場合、重複したセレクタの生成を拒否することができるので、同一のセレクタとなるセキュリティポリシが生成され、格納先の記憶容量を圧迫してしまうようなことを防止することができる。
【００３１】
なお、実施形態として、ＭｏｂｉｌｅＩＰｖ６用いたホームエージェントとモバイルノード間での通信データにＩＫＥを適用する場合、本発明を適用し、相手毎に事前にセキュリティポリシを設定することなしにＩＫＥによるＩＰｓｅｃＳＡ生成を実現できる。
【図面の簡単な説明】
【００３２】
【図１】本発明の一実施形態による通信装置を備えて構成された通信システムの構成を示すブロック図である。
【図２】ＩＫＥフェーズ２により生成したＩＰｓｅｃＳＡ及びセレクタをセキュリティポリシとして記憶手段に格納する処理を行う本発明の実施形態での処理動作を説明するシーケンスチャート及びフローチャートである。
【符号の説明】
【００３３】
１ 通信主体となる通信装置
２ 通信相手となる通信装置
１０ ＩＫＥ処理部
１１ ＩＫＥフェーズ１処理部
１２ ＩＫＥフェーズ２処理部
１３ セレクタ設定処理部
１４ ＩＰｓｅｃＳＡ設定処理部
２０ セキュリティポリシ管理部
２１ セレクタ格納部
２２ ＩＰｓｅｃＳＡ格納部
３０ 通信インタフェース
４０ 通信ネットワーク、
９０ 記憶手段
【技術分野】
【０００１】
本発明は、通信方法及び通信装置に係り、特に、信頼性を必要とするＩＰ通信ネットワークにＩＰｓｅｃを適用する際の、鍵交換プロトコルであるＩＫＥによるセキュリティポリシを動的に生成可能とした通信方法及び通信装置に関する。
【背景技術】
【０００２】
通信装置と、通信装置が接続されているＩＰ(Internet Protocol）通信ネットワークと、ＩＰ通信ネットワークと接続され、前述の通信装置と通信データを交換する通信相手の通信装置とで構成される通信システムは、一般に、安全な通信を実現するために、通信を行う通信装置相互間で、ＳＡ（Security Association）を確立した上で通信を行っている。ＳＡは、安全な通信路であり、ＳＡが保護対象とするデータを、他者からの盗み見や、改竄から守ることを可能にしている。
【０００３】
一方、通信を行う２つの通信装置相互間で暗号化や認証のための秘密鍵の生成・交換を自動で行うことが可能なプロトコルとして、非特許文献１等に記載されたＩＫＥ(Internet Key Exchange）が知られており、このＩＫＥで生成されるＳＡは、フェーズ１で生成されるＩＳＡＫＭＰＳＡ（Internet Security Association and Key Management Protocol Security Association）と、フェーズ２で生成されるＩＰｓｅｃＳＡ(IP security protocol Security Association）との２つにより構成される。そして、ＩＰｓｅｃＳＡの確立のために必要なデータは、ＩＳＡＫＭＰＳＡによって保護されて通信される。
【非特許文献１】ＩＥＴＦ(The Internet Engineering Task Force）、“The Internet Key Exchange（IKE）”、［online］、[平成１６年９月１日検索]、インターネット＜URL：http://www.ietf.org/rfc/rfc2409.txt＞
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来技術によるインターネット鍵交換プロトコルであるＩＫＥは、ＩＰｓｅｃＳＡを動的に生成することにより、同一の鍵を永続的に使用しないようにしてセキュリティを確保することを目的とし、生成したＩＰｓｅｃＳＡを適用するために、通信装置間の送信元ＩＰアドレスあるいは送信元ＩＰネットワークアドレス、送信先ＩＰアドレスあるいは送信先ＩＰネットワークアドレス、上位層プロトコル、送信元ポート、送信先ポートで構成するセキュリティポリシとしてのセレクタを、事前にＩＫＥを行う通信装置、及び、通信相手装置の記憶手段に格納しておくことが必要である。
【０００５】
このため、前述した従来技術によるＩＫＥを使用する通信システムは、ある通信装置が、不特定多数の通信相手となる通信装置との間で交換する通信データのそれぞれにＩＫＥにより生成したＩＰｓｅｃＳＡを適用する必要がある場合、通信データの交換が発生する可能性がある通信相手とのセレクタとなるセキュリティポリシを通信相手毎に記憶手段へ格納しておく必要があり、固定的に大量の記憶容量を必要とするという問題点を有し、また、実際にＩＫＥを含む通信データの交換が行われていない場合であっても、固定的に大量の記憶容量を必要としてしまうという問題点を生じる。また、ＩＰアドレスを動的に割り当てる通信装置が存在する通信ネットワークに接続され、割り当てられたＩＰアドレスの動的付与を行う通信装置は、セキュリティポリシを事前に記憶手段へ格納しておくことができないという問題点を有している。
【０００６】
本発明の目的は、前述した従来技術の問題点を解決し、ＩＰｓｅｃを適用する通信ネットワークに接続される通信装置おける、記憶手段へのセキュリティポリシの格納を省略し、この省略に伴う事前設定を簡略化することができ、セレクタ情報として占有する記憶容量を小さくして記憶装置の効率的な使用を可能にし、さらに、ＩＰアドレスの動的割り当てによりＩＰアドレス付与を期待する通信装置へのＩＰｓｅｃを適用することができるようにした通信方法及び通信装置を提供することにある。
【課題を解決するための手段】
【０００７】
本発明によれば前記目的は、複数の通信装置が通信ネットワークに接続され、複数の通信装置の１つが通信主体となり、他の通信装置の１つが通信相手となって、通信装置相互間で通信データを交換する通信方法において、前記通信主体となる通信装置が、通信相手となる通信装置との間で交換する通信データにＩＰｓｅｃを適用するために、インターネット鍵交換プロトコルであるＩＫＥを利用してＩＰｓｅｃＳＡを確立する場合、前記通信主体となる通信装置が、ＩＫＥフェーズ２により決定したＩＰｓｅｃＳＡの他に、ＩＰｓｅｃＳＡを使用して通信データの交換を行う通信主体となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、通信相手となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、上位層プロトコルと、送信元ポートと、送信先ポートとの情報で構成されるセレクタを特定し、ＩＰｓｅｃＳＡとセレクタとを動的に生成することによりセキュリティポリシを動的に生成することにより達成される。
【０００８】
また、前記目的は、複数の通信装置が通信ネットワークに接続され、複数の通信装置の１つが通信主体となり、他の通信装置の１つが通信相手となって、通信装置相互間で通信データを交換する通信装置において、前記通信主体となる通信装置が、通信相手となる通信装置との間で交換する通信データにＩＰｓｅｃを適用し、インターネット鍵交換プロトコルであるＩＫＥを利用してＩＰｓｅｃＳＡを確立するために、ＩＫＥフェーズ２により決定したＩＰｓｅｃＳＡの他に、ＩＰｓｅｃＳＡを使用して通信データの交換を行う通信主体となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、通信相手となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、上位層プロトコルと、送信元ポートと、送信先ポートとの情報で構成されるセレクタを特定し、ＩＰｓｅｃＳＡとセレクタとを動的に生成することによりセキュリティポリシを動的に生成する手段を有することにより達成される。
【発明の効果】
【０００９】
本発明によれば、通信データの交換、あるいは、転送を行う通信装置相互間で、事前にＩＰｓｅｃ適用の有無を判定するためのセレクタであるセキュリティポリシを事前に通信装置の記憶手段への格納することなしに、ＩＫＥを使用したＩＰｓｅｃＳＡ生成とＩＰｓｅｃＳＡを使用した通信が可能である。
【発明を実施するための最良の形態】
【００１０】
以下、本発明による通信方法及び通信装置の実施形態を図面により詳細に説明する。
【００１１】
図１は本発明の一実施形態による通信装置を備えて構成された通信システムの構成を示すブロック図である。図１において、１は通信主体となる通信装置（以下、単に通信主体という）、２は通信相手となる通信装置（以下、単に通信相手という）、１０はＩＫＥ処理部、１１はＩＫＥフェーズ１処理部、１２はＩＫＥフェーズ２処理部、１３はセレクタ設定処理部、１４はＩＰｓｅｃＳＡ設定処理部、２０はセキュリティポリシ管理部、２１はセレクタ格納部、２２はＩＰｓｅｃＳＡ格納部、３０は通信インタフェース、４０は通信ネットワーク、９０は記憶手段である。セレクタ格納部を構成する要素として、送信元アドレス／送信元ネットワークアドレス２１−１、送信先アドレス／送信先ネットワークアドレス２１−２、上位層プロトコル２１−３、上位層プロトコル送信元ポート２１−４、上位層プロトコル送信先ポート２１−５で構成する。
【００１２】
図１に示す通信システムは、ＩＫＥによりＩＰｓｅｃＳＡを確立する際の、確立要求を受ける側の装置である通信主体１と、確立要求を行う側の装置である通信相手２とが通信ネットワーク４０によって接続されて構成されている。なお、図１に示す通信システムは、通信主体１と通信相手２だけを通信ネットワーク４０に接続した構成として示しているが、本発明は、通信ネットワーク４０に多数の通信装置が接続され、ある１つの通信装置が通信主体となり、他の通信装置の任意の１つが通信相手となって相互にデータの交換を行うことができるものである。そして、複数の通信装置のそれぞれは、自通信装置のＩＰアドレスを動的に設定することができるものであってもよいし、固定的にＩＰアドレスが設定されているものであってもよい。また、通信主体１及び通信相手２を含む全ての通信装置は、それぞれ、少なくとも、演算処理を行う際に用いられる記憶手段としてのメモリと、前記演算処理を行う演算装置とを備えるコンピュータとして構成される。また、メモリは、ＲＡＭ（Rondom Access Memory）等により構成され、演算装置は、ＣＰＵ（Central Processing Unit）によって構成されればよく、本発明の実施形態は、演算装置が、メモリ上のプログラムを実行することにより実現される。
【００１３】
前述において、通信主体１は、通信相手２とのＩＫＥに関するデータを通信する通信インタフェース３０と、実際のＩＫＥの送受信を行うＩＫＥ処理部１０と、ＩＫＥにより生成した情報を格納するセキュリティポリシ管理部２０とを備えて構成される。
【００１４】
そして、ＩＫＥ処理部１０は、ＩＫＥフェーズ１のデータ送受信やデータ処理を行うＩＫＥフェーズ１処理部１１と、ＩＫＥフェーズ２のデータ送受信やデータ処理を行うＩＫＥフェーズ２処理部１２と、ＩＫＥフェーズ２により確立したＩＰｓｅｃＳＡ情報を設定するためのＩＰｓｅｃＳＡ設定処理部１４と、ＩＫＥフェーズ２により確立したＩＰｓｅｃＳＡ情報からセレクタ情報を設定するためのセレクタ設定処理部１３とを有する。
【００１５】
また、セキュリティポリシ管理部２０は、セレクタ設定処理部１３により生成された情報を格納するセレクタ格納部２１と、ＩＰｓｅｃＳＡ設定処理部１４により生成された情報を格納するＩＰｓｅｃＳＡ格納部２２とが記憶手段９０内に格納されて構成される。
【００１６】
また、通信相手２は、その構成の詳細を示していないが、通信主体１と全く同一に構成されていればよい。
【００１７】
図２はＩＫＥフェーズ２により生成したＩＰｓｅｃＳＡ及びセレクタをセキュリティポリシとして記憶手段に格納する処理を行う本発明の実施形態での処理動作を説明するシーケンスチャート及びフローチャートであり、次に、これについて説明する。図２は図の上段に、各装置内の構成要素を示して、どの構成要素で行われている処理かを判り易くして示している。なお、通信相手２は、ＩＫＥフェーズ１の処理により相手の認証が正常に行われた通信装置であるとする。
【００１８】
（１）ＩＫＥフェーズ２を開始する通信相手２は、まず、ＩＫＥ処理部１０が、ＩＰｓｅｃＳＡの提案のためにＩＫＥフェーズ２第１メッセージの送信を行う。なお、ＩＫＥフェーズ２第１メッセージには、ＩＰｓｅｃＳＡのセレクタとして不十分な場合のために、セレクタの送信元アドレスとなるＩＤペイロードと送信先アドレスとなるＩＤペイロードとが付与されている（ステップＳ１１）。
【００１９】
（２）通信主体１は、ＩＫＥフェーズ２第１メッセージを受け取ると、ＩＫＥフェーズ２処理部１２が、通信相手２から提案されたＩＰｓｅｃＳＡの内容を１つ選択し、ＩＰｓｅｃＳＡとセレクタの構成に必要な送信元ＩＰアドレスまたは送信元ＩＰネットワークアドレス、送信先ＩＰアドレスまたは送信先ＩＰネットワークアドレス、上位層プロトコル、送信元ポート、送信先ポートを退避し、選択された結果をＩＫＥフェーズ２第２メッセージとして、通信相手２に送信する（ステップＳ１２、Ｓ１３）。
【００２０】
（３）通信相手２は、ＩＫＥフェーズ２第２メッセージを受け取ると、応答確認として、ＩＫＥフェーズ２第３メッセージを送信する（ステップＳ１４）。
【００２１】
（４）通信主体１は、ＩＫＥフェーズ２第３メッセージを受け取り、その正常性を確認すると、セレクタ設定処理部１３が、セキュリティポリシ管理部２０に対して、退避していたセレクタ情報の設定要求を行う（ステップＳ１５）。
【００２２】
（５）セキュリティポリシ管理部２０は、要求されたセレクタの内容が記憶手段に既に存在しているか否かの判定を行う重複検証を行い、重複がなければ、セレクタ情報をセレクタ格納部２１に記憶する（ステップＳ１６、Ｓ１７）。
【００２３】
（６）ステップＳ１６での検証で、要求されたセレクタの内容が記憶手段に既に存在していた場合、重複するセレクタの生成を拒否して、セレクタ情報をセレクタ格納部には格納しない。この場合、ＩＰｓｅｃＳＡのみ動的に生成することも可能である。
【００２４】
（７）次に、通信主体１は、ＩＰｓｅｃＳＡ情報設定処理部１４が、セキュリティポリシ管理部２０に対して、退避していたＩＰｓｅｃＳＡ情報の設定要求を行う（ステップＳ１８）。
【００２５】
（８）セキュリティポリシ管理部２０は、要求されたＩＰｓｅｃＳＡの内容をＩＰｓｅｃＳＡ格納部２２に記憶する（ステップＳ１９）。
【００２６】
前述で説明した本発明の実施形態において、セレクタ情報となるＩＰアドレスの形式はＩＰｖ４（Internet Protocol version ４）、ＩＰｖ６（Internet Protocol version ６）のいずれでもよい。
【００２７】
前述した本発明の実施形態での処理は、プログラムとして構成することができ、そのプログラムは、ＦＤ、ＣＤ、ＭＯ、ＤＶＤＲＯＭ等の記録媒体に格納して提供することができる。
【００２８】
前述した本発明の実施形態によれば、通信装置相互間での通信の都度ＩＫＥの処理により動的にセキュリティポリシを生成しているので、通信装置及び相手通信装置の記憶手段にセレクタを伴うセキュリティポリシを事前に格納しておく必要をなくすことができ、記憶装置の負荷、例えば、セキュリティポリシ検索負荷を軽減することができる。
【００２９】
また、前述した本発明の実施形態によれば、通信装置相互間での通信の都度ＩＫＥの処理により動的にセキュリティポリシを生成しているので、不特定多数の通信相手との間でデータの交換を行うような場合にも、通信の都度、動的に個々にＩＫＥにより生成したＩＰｓｅｃＳＡを適用して通信を行うことが可能となる。また、通信装置が、そのＩＰアドレスが動的に割り当てられる装置であっても、セレクタを伴うセキュリティポリシを事前に記憶手段へ格納しておく必要がなく、通信の都度、セキュリティポリシを動的に生成して、ＩＰｓｅｃＳＡを適用した通信を行うことができる。
【００３０】
さらに、前述した本発明の実施形態によれば、動的にセキュリティポリシを生成する際、前記セレクタと同一のセレクタが既に通信装置の記憶手段に存在している場合、重複したセレクタの生成を拒否することができるので、同一のセレクタとなるセキュリティポリシが生成され、格納先の記憶容量を圧迫してしまうようなことを防止することができる。
【００３１】
なお、実施形態として、ＭｏｂｉｌｅＩＰｖ６用いたホームエージェントとモバイルノード間での通信データにＩＫＥを適用する場合、本発明を適用し、相手毎に事前にセキュリティポリシを設定することなしにＩＫＥによるＩＰｓｅｃＳＡ生成を実現できる。
【図面の簡単な説明】
【００３２】
【図１】本発明の一実施形態による通信装置を備えて構成された通信システムの構成を示すブロック図である。
【図２】ＩＫＥフェーズ２により生成したＩＰｓｅｃＳＡ及びセレクタをセキュリティポリシとして記憶手段に格納する処理を行う本発明の実施形態での処理動作を説明するシーケンスチャート及びフローチャートである。
【符号の説明】
【００３３】
１ 通信主体となる通信装置
２ 通信相手となる通信装置
１０ ＩＫＥ処理部
１１ ＩＫＥフェーズ１処理部
１２ ＩＫＥフェーズ２処理部
１３ セレクタ設定処理部
１４ ＩＰｓｅｃＳＡ設定処理部
２０ セキュリティポリシ管理部
２１ セレクタ格納部
２２ ＩＰｓｅｃＳＡ格納部
３０ 通信インタフェース
４０ 通信ネットワーク、
９０ 記憶手段
【特許請求の範囲】
【請求項１】
複数の通信装置が通信ネットワークに接続され、複数の通信装置の１つが通信主体となり、他の通信装置の１つが通信相手となって、通信装置相互間で通信データを交換する通信方法において、
前記通信主体となる通信装置が、通信相手となる通信装置との間で交換する通信データにＩＰｓｅｃを適用するために、インターネット鍵交換プロトコルであるＩＫＥを利用してＩＰｓｅｃＳＡを確立する場合、前記通信主体となる通信装置は、ＩＫＥフェーズ２により決定したＩＰｓｅｃＳＡの他に、ＩＰｓｅｃＳＡを使用して通信データの交換を行う通信主体となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、通信相手となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、上位層プロトコルと、送信元ポートと、送信先ポートとの情報で構成されるセレクタを特定し、ＩＰｓｅｃＳＡとセレクタとを動的に生成することによりセキュリティポリシを動的に生成することを特徴とする通信方法。
【請求項２】
前記通信主体となる通信装置は、前記セレクタを動的に生成する際、前記セレクタと同一のセレクタが既に通信主体となる通信装置の記憶手段に存在している場合、重複したセレクタの生成を拒否し、ＩＰｓｅｃＳＡのみを動的に生成することを特徴とする請求項１記載の通信方法。
【請求項３】
前記通信ネットワークに接続された複数の通信装置のそれぞれが、自通信装置のＩＰアドレスを動的に付与する通信装置であることを特徴とする請求項１または２記載の通信方法。
【請求項４】
複数の通信装置が通信ネットワークに接続され、複数の通信装置の１つが通信主体となり、他の通信装置の１つが通信相手となって、通信装置相互間で通信データを交換する通信装置において、
前記通信主体となる通信装置は、通信相手となる通信装置との間で交換する通信データにＩＰｓｅｃを適用し、インターネット鍵交換プロトコルであるＩＫＥを利用してＩＰｓｅｃＳＡを確立するために、ＩＫＥフェーズ２により決定したＩＰｓｅｃＳＡの他に、ＩＰｓｅｃＳＡを使用して通信データの交換を行う通信主体となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、通信相手となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、上位層プロトコルと、送信元ポートと、送信先ポートとの情報で構成されるセレクタを特定し、ＩＰｓｅｃＳＡとセレクタとを動的に生成することによりセキュリティポリシを動的に生成する手段を有することを特徴とする通信装置。
【請求項１】
複数の通信装置が通信ネットワークに接続され、複数の通信装置の１つが通信主体となり、他の通信装置の１つが通信相手となって、通信装置相互間で通信データを交換する通信方法において、
前記通信主体となる通信装置が、通信相手となる通信装置との間で交換する通信データにＩＰｓｅｃを適用するために、インターネット鍵交換プロトコルであるＩＫＥを利用してＩＰｓｅｃＳＡを確立する場合、前記通信主体となる通信装置は、ＩＫＥフェーズ２により決定したＩＰｓｅｃＳＡの他に、ＩＰｓｅｃＳＡを使用して通信データの交換を行う通信主体となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、通信相手となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、上位層プロトコルと、送信元ポートと、送信先ポートとの情報で構成されるセレクタを特定し、ＩＰｓｅｃＳＡとセレクタとを動的に生成することによりセキュリティポリシを動的に生成することを特徴とする通信方法。
【請求項２】
前記通信主体となる通信装置は、前記セレクタを動的に生成する際、前記セレクタと同一のセレクタが既に通信主体となる通信装置の記憶手段に存在している場合、重複したセレクタの生成を拒否し、ＩＰｓｅｃＳＡのみを動的に生成することを特徴とする請求項１記載の通信方法。
【請求項３】
前記通信ネットワークに接続された複数の通信装置のそれぞれが、自通信装置のＩＰアドレスを動的に付与する通信装置であることを特徴とする請求項１または２記載の通信方法。
【請求項４】
複数の通信装置が通信ネットワークに接続され、複数の通信装置の１つが通信主体となり、他の通信装置の１つが通信相手となって、通信装置相互間で通信データを交換する通信装置において、
前記通信主体となる通信装置は、通信相手となる通信装置との間で交換する通信データにＩＰｓｅｃを適用し、インターネット鍵交換プロトコルであるＩＫＥを利用してＩＰｓｅｃＳＡを確立するために、ＩＫＥフェーズ２により決定したＩＰｓｅｃＳＡの他に、ＩＰｓｅｃＳＡを使用して通信データの交換を行う通信主体となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、通信相手となる通信装置のＩＰアドレスまたはＩＰネットワークアドレスと、上位層プロトコルと、送信元ポートと、送信先ポートとの情報で構成されるセレクタを特定し、ＩＰｓｅｃＳＡとセレクタとを動的に生成することによりセキュリティポリシを動的に生成する手段を有することを特徴とする通信装置。
【図１】
【図２】
【図２】
【公開番号】特開２００７−２７８４７（Ｐ２００７−２７８４７Ａ）
【公開日】平成１９年２月１日（２００７．２．１）
【国際特許分類】
【出願番号】特願２００５−２０３０３６（Ｐ２００５−２０３０３６）
【出願日】平成１７年７月１２日（２００５．７．１２）
【出願人】（０００１５３４６５）株式会社日立コミュニケーションテクノロジー (770)
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成１９年２月１日（２００７．２．１）
【国際特許分類】
【出願日】平成１７年７月１２日（２００５．７．１２）
【出願人】（０００１５３４６５）株式会社日立コミュニケーションテクノロジー (770)
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]