通信装置、通信装置に適した通信ログ送信方法および通信システム
【課題】暗号通信されているネットワーク上の通信ログを管理する場合に、各通信装置に秘密鍵を配備することなく、安全かつ確実に通信ログを採取することを課題とする。
【解決手段】通信装置は、当該通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、抽出されたパラメタを鍵管理装置に通知し、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得し、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。
【解決手段】通信装置は、当該通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、抽出されたパラメタを鍵管理装置に通知し、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得し、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置とに接続される通信装置に関する。
【背景技術】
【０００２】
従来より、サーバ装置やクライアント装置などが適切に運用管理されて、各装置において通信された通信ログを採取するシステムがあり、この手法では、各装置を運用および管理するシステム管理者が必要不可欠である。そして、当該各装置が適切に運用管理されていない場合には、コンピュータウィルス感染や装置の不具合などで、装置において通信ログを採取することが出来ずに、特に、厳格な通信ログを必要とする分野においては、通信ログの信頼性に欠けてしまう。
【０００３】
そこで、ネットワークを介して通信された電子ファイルの情報やネットワークの情報を示す通信ログを、ネットワーク側で代行して保存および管理する技術がある。例えば、ネットワーク内に配備された各通信装置は、通信ログを採取して、通信ログを統合管理するログ収集装置に通知していた。ところが、この手法では、各通信装置でログを採取して通知するので、各通信装置側で通信ログの改ざんが容易にできてしまう。また、当該ネットワークが暗号通信である場合に、ログ収集装置は、通知された電子ファイルの情報が暗号化されており、解読することができないために、当該暗号通信の通信ログを管理することができなかった。
【０００４】
また、各通信装置間で暗号化するシステムにとしては、接続される複数の端末から暗号鍵を取得して保持し、保持された暗号鍵を用いて復号化および暗号化を行う情報通信中継装置がある（特許文献１参照）。具体的には、情報通信中継装置は、接続される複数の端末間で暗号通信によりデータがやり取りされる場合に、予め保持している送信元の端末の暗号鍵を用いてやり取りされた暗号通信を復号化する。そして、情報通信中継装置は、復号化された情報を予め保持している送信先の端末の暗号鍵を用いて暗号化し、送信先の端末に対して送信する。
【０００５】
この特許文献１の技術を用いることで、ログの改ざんを防止することもできる。具体的には、情報通信中継装置において復号化された場合に、やり取りされたデータの情報と暗号通信されたネットワークに関するネットワーク情報とを抽出し、抽出された情報をログとして管理する。なお、復号化されたデータは再び暗号化し、送信先の端末に対して送信する。
【０００６】
この上述した技術を用いて、暗号通信されているネットワーク上の通信ログを管理する場合に、各通信装置内に暗号通信の秘密鍵を配備し、配備された秘密鍵を用いて暗号通信を復号し、復号された通信ログを収集および管理することも行われている。
【０００７】
【特許文献１】特開２００１−２３７８２４号公報（第１０−１１頁、第１図）
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、上記した従来の技術は、各通信装置から秘密鍵が漏洩し、暗号通信による通信の秘匿性を保つことができないために、安全かつ確実に通信ログを採取することができないという課題があった。具体的には、ネットワーク内の各通信装置において秘密鍵を配備する場合に、適切に運用管理されていない通信装置から秘密鍵が漏洩し、暗号通信による通信の秘匿性を保つことができないために、安全かつ確実に通信ログを採取することができなかった。
【０００９】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、各通信装置に秘密鍵を配備することなく、安全かつ確実に通信ログを採取することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するため、本発明は、ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置とに接続される通信装置であって、当該通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出するパラメタ抽出手段と、前記パラメタ抽出手段により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知手段と、前記パラメタ通知手段により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得する復号鍵取得手段と、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出手段と、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信手段と、を備えたことを特徴とする。
【００１１】
また、本発明は、上記の発明において、前記パケットデータは、当該パケットデータを一意に識別する識別子を含んだものであって、前記パケットデータが通信装置を通過する場合に、当該パケットデータが当該通信装置を通過した通過順序であるシーケンス番号を付与するシーケンス番号付与手段をさらに備え、前記プロファイル情報抽出手段は、当該パケットデータを一意に識別する識別子を含んだプロファイル情報を抽出し、前記ログ送信手段は、前記プロファイル情報抽出手段により抽出された識別子を含んだプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報と、前記シーケンス番号付与手段により付与されたパケットデータが通信装置を通過した通過順序であるシーケンス番号とを、前記通信ログ装置に送信することを特徴とする。
【００１２】
また、本発明は、上記の発明において、前記パケットデータを送信先の装置に転送するか否かを示す転送可否ルールを保持する転送可否ルール保持手段と、前記転送可否ルール保持手段により保持されている転送可否ルールに基づいて、転送不可であると判定された場合に当該パケットデータを廃棄し、転送可能であると判定された場合に当該パケットデータを転送する転送可否判定手段とをさらに備え、前記ログ送信手段は、前記転送可否判定手段により転送不可であると判定された場合に、前記パケットデータが廃棄されたことを示す情報を含んだネットワーク情報と前記プロファイル情報とを通信ログとして前記通信ログ装置に送信し、前記転送可否判定手段により転送可能であると判定された場合に、前記パケットデータが転送されたことを示す情報を含んだネットワーク情報と前記プロファイル情報とを通信ログとして前記通信ログ装置に送信することを特徴とする。
【００１３】
また、本発明は、上記の発明において、当該通信装置に接続される端末の秘密鍵を保持する秘密鍵保持手段と、前記秘密鍵保持手段により保持された秘密鍵と、前記パラメタ抽出手段により抽出されたパラメタとを用いて、復号鍵を生成する復号鍵生成手段とをさらに備え、前記プロファイル情報抽出手段は、前記復号鍵生成手段により生成された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを、前記通信ログとして前記通信ログ装置に送信することを特徴とする。
【００１４】
また、本発明は、上記の発明において、前記パラメタ通知手段は、前記パラメタ抽出手段により抽出されたパラメタを、パケットデータの送信元である装置に通知し、前記復号鍵取得手段は、前記パラメタ通知手段により通知されたパラメタを用いて、前記パケットデータの送信元である装置によって生成された復号鍵を、前記パケットデータの送信元である装置から取得し、前記プロファイル情報抽出手段は、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信することを特徴とする。
【００１５】
また、本発明は、上記の発明において、前記パラメタ抽出手段は、当該通信装置の特定のポート番号を通過した暗号化されたパケットデータのみを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、前記パラメタ通知手段は、前記パラメタ抽出手段により抽出されたパラメタを当該通信装置の秘密鍵を保有する鍵管理装置に通知し、前記復号鍵取得手段は、前記パラメタ通知手段により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得し、前記プロファイル情報抽出手段は、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータのヘッダを取り除いて復号して、当該ヘッダに付与されたデータ情報からパケットデータ種別を解析し、解析されたパケットデータのプロファイル情報を抽出し、前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信することを特徴とする。
【００１６】
また、本発明は、上記の発明において、前記プロファイル情報抽出手段は、特定のポート番号のデータグラムを終端し、前記復号鍵取得手段により取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出することを特徴とする。
【００１７】
また、本発明は、上記の発明において、ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置とに接続される通信装置に適した通信ログ送信方法であって、当該通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出するパラメタ抽出工程と、前記パラメタ抽出工程により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知工程と、前記パラメタ通知工程により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得する復号鍵取得工程と、前記復号鍵取得工程により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出工程と、前記プロファイル情報抽出工程により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信工程と、を含んだことを特徴とする。
【００１８】
また、本発明は、上記の発明において、ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置と、前記通信ログ装置に対して通信ログを送信する通信装置とから構成される通信システムであって、前記鍵管理装置は、前記通信装置に接続される端末ごとに、当該端末で使用される秘密鍵を記憶する秘密鍵記憶手段と、前記復号鍵を生成するために必要となるパラメタを前記通信装置から受信した場合に、当該通信装置に接続される端末の秘密鍵を前記秘密鍵記憶手段から取得し、取得した秘密鍵と受信されたパラメタとから、前記通信装置において採取されたパケットデータを復号するのに必要となる復号鍵を生成して、前記通信装置に送信する復号鍵生成送信手段とを備え、前記通信装置は、当該通信装置を通過する暗号化されたパケットデータを採取し、当該パケットデータから前記パラメタを抽出するパラメタ抽出手段と、前記パラメタ抽出手段により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知手段と、前記パラメタ通知手段によりパラメタが鍵管理装置に通知されて、前記鍵管理装置から復号鍵を取得する復号鍵取得手段と、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出手段と、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信手段とを備え、前記通信ログ装置は、前記通信装置から通信ログを受信して所定の記憶部に格納する通信ログ格納手段を、備えたことを特徴とする。
【発明の効果】
【００１９】
本発明によれば、通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、抽出されたパラメタを鍵管理装置に通知し、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得し、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信することとしたので、安全かつ確実に暗号通信やネットワーク情報などのログを採取することが可能である。
【発明を実施するための最良の形態】
【００２０】
以下に添付図面を参照して、この発明に係る通信装置、通信装置に適した通信ログ送信方法および通信システムの実施例を詳細に説明する。なお、以下では、本発明に係る通信装置、通信装置に適した通信ログ送信方法および通信システムの概要および特徴、通信装置の構成および処理の流れを順に説明し、最後に本実施例による効果を説明する。
【実施例１】
【００２１】
［概要および特徴］
まず最初に、図１を用いて、実施例１に係る通信装置を含むシステム全体の概要および特徴を説明する。図１は、実施例１に係る通信装置を含むシステム全体の概要および特徴を示す図である。
【００２２】
図１に示すように、この通信装置を含むシステムは、通信装置Ａと通信装置Ｂと鍵管理装置と通信ログ装置とから構成される。また、通信装置Ａは、地点Ａの端末Ｘと接続され、通信装置Ｂは、地点Ｂの端末Ｙと接続される。また、端末Ｘと端末Ｙとは相互に暗号通信可能に接続される。
【００２３】
例えば、地点Ａにおける端末Ｘは、通信装置Ａおよび通信装置Ｂを介して、暗号化された電子ファイルなどのパケットデータを地点Ｂの端末Ｙに送信する前に、ＳＳＬ（Secure Socket Layer）ハンドシェイクを確立して、当該ＳＳＬハンドシェイクにより端末Ｘおよび端末Ｙ間における同一の公開鍵相当を保持する。そして、ＳＳＬハンドシェイクが確立されると、端末Ｘは、通信装置Ａおよび通信装置Ｂを介して、暗号化された電子ファイルなどのパケットデータを地点Ｂの端末Ｙに送信する。また、鍵管理装置は、地点Ａの端末Ｘの「秘密鍵＃Ａ」と地点Ｂの端末Ｙの「秘密鍵＃Ｂ」とを保持しており、それぞれの端末に対応した復号鍵を生成する。また、通信ログ装置は、端末Ｘおよび端末Ｙ間においてやり取りされた通信の通信ログを所定の記憶部に格納して統合管理する。なお、本実施例では、端末Ｘが端末Ｙに対してデータを送信する場合について説明する。
【００２４】
このような構成において、通信装置Ａは、ネットワークを介して通信ログ装置と鍵管理装置と相互に通信を行うことを概要とするものであり、特に、各通信装置に秘密鍵を配備することなく、安全かつ確実に暗号通信やネットワーク情報などのログを採取することが可能である点を主たる特徴とする。
【００２５】
この主たる特徴について説明すると、通信装置Ａは、地点Ａの端末Ｘから地点Ｂの端末Ｙに予め暗号化されている電子ファイルなどのパケットデータが送信される場合に、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（図１の（１）参照）。
【００２６】
具体的に説明すると、地点Ａの端末Ｘから地点Ｂの端末Ｙに対して、予め暗号化されている電子ファイルなどのパケットデータが送信される前に、端末Ｘおよび端末Ｙ間の通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。そして、通信装置Ａは、暗号化されたパケットデータが送信されると、当該暗号化されたパケットデータを採取するとともに、ＳＳＬハンドシェイクでやり取りされる平文の「Client Random」パラメタと、「Server Random」パラメタと、端末Ｘの公開鍵で暗号化された「PreMasterSecret」パラメタとを抽出する。
【００２７】
続いて、通信装置Ａは、抽出されたパラメタを鍵管理装置に通知する（図１の（２）参照）。上記した例で具体的に説明すると、通信装置Ａは、抽出された平文の「Client Random」パラメタと、「Server Random」パラメタと、端末Ｘの公開鍵で暗号化された「PreMasterSecret」パラメタとを、地点Ａの端末Ｘの「秘密鍵＃Ａ」を保有している鍵管理装置に通知する。
【００２８】
そして、通信装置Ａよりパラメタを通知された鍵管理装置は、通知されたパラメタと「秘密鍵＃Ａ」とを用いて復号鍵を生成する（図１の（３）参照）。上記した例で具体的に説明すると、鍵管理装置は、通知された「PreMasterSecret」パラメタを、保持している端末Ｘの「秘密鍵＃Ａ」を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って「復号鍵＃ＡＡ」を生成する。
【００２９】
続いて、通信装置Ａは、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得する（図１の（４）参照）。具体的に説明すると、通信装置Ａは、ＳＳＬやＩＰＳｅｃ（Security Architecture for Internet Protocol）などの暗号通信を用いて、鍵管理装置から生成された「復号鍵＃ＡＡ」を受け取る。なお、当該「復号鍵＃ＡＡ」は、通信装置Ａと鍵管理装置とのセッション中のみ有効な鍵であり、当該セッションが切れると無効な鍵となる。
【００３０】
その後、通信装置Ａは、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出する（図１の（５）参照）。具体的に説明すると、通信装置Ａは、鍵管理装置から受け取った復号鍵を用いて、採取されたパケットデータを復号して解析し、「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出する。
【００３１】
そして、通信装置Ａは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを、通信ログとして通信ログ装置に送信し、通信ログ装置は、送信された通信ログを所定の記憶部に格納する（図１の（６）と（７）参照）。
【００３２】
具体的に説明すると、通信装置Ａは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した際に採取された当該「パケットデータの送信元、送信先および通信装置Ａを通過した通過時刻」などのネットワーク情報とを、通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報およびネットワーク情報を、通信ログとして所定の記憶部に格納する。なお、通信装置Ｂにおいても通信装置Ａと同様の処理が行われ、通信装置Ｂは、採取されたプロファイル情報とネットワーク情報とを、通信ログとして通信ログ装置に送信する。
【００３３】
このように、実施例１に係る通信装置は、ネットワークを介して暗号通信がなされる場合に、暗号化されたパケットデータから抽出されたパラメタから生成された復号鍵を用いて、当該パケットデータを復号して解析し、プロファイル情報とネットワーク情報とを通信ログとして通信ログ装置に送信することができる結果、上記した主たる特徴のごとく、各通信装置に秘密鍵を配備することなく、安全かつ確実に暗号通信やネットワーク情報などのログを採取することが可能である。
【００３４】
［通信装置の構成］
次に、図２を用いて、図１に示した通信装置Ａの構成を示すブロック図を説明する。図２は、実施例１に係るシステムにおける通信装置Ａの構成を示すブロック図である。また、通信装置Ａと通信装置Ｂとは、同様の構成を有するので、ここでは、通信装置Ａについて説明する。図１に示すように、通信装置Ａ１０は、入力部１１、出力部１２、Ｉ／Ｆ部１３、記憶部１４および制御部１５から構成される。なお、以下の実施例１では、通信装置Ａ１０を介して、端末Ｘが端末Ｙに対してデータを送信する場合を説明することとする。
【００３５】
入力部１１および出力部１２は、外部からパラメタ設定および参照が可能なインタフェースである。例えば、ＴＥＬＮＥＴやＳＳＨ（Secure SHell）などのプロトコルを用いてリモートターミナルからＣＬＩを用いてパラメタの設定や設定値などの参照を行う。また、例えば、通信装置Ａが簡易的なＷｅｂサーバ機能を実装している場合に、Ｗｅｂブラウザを用いてパラメタ設定および参照が可能である。
【００３６】
Ｉ／Ｆ部１３は、ネットワークに接続されており、当該ネットワークを介して取得される各種情報に関する通信を制御する。例えば、Ｉ／Ｆ部１３は、通信装置Ａ１０を介してやり取りされるパケットデータを送受信したり、採取された通信ログを通信ログ装置に送信したりする。
【００３７】
記憶部１４は、制御部１５による各種処理に必要なデータや、制御部１５による各種処理結果を記憶し、特に本発明に密接に関連するものとしては、スヌープデータ記憶部１４ａおよびログ記憶部１４ｂを備える。
【００３８】
スヌープデータ記憶部１４ａは、後述する制御部１５により採取されたパケットデータを記憶する。ログ記憶部１４ｂは、後述する制御部１５により採取された通信ログを記憶する。なお、パケットデータおよび通信ログの記憶に関しては、一時的に記憶しておいて定期的に削除するようにしてもよい。
【００３９】
制御部１５は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、特に本発明に密接に関連するものとしては、スヌープ処理部１５ａ、パラメタ抽出部１５ｂ、パラメタ通知部１５ｃ、復号鍵取得部１５ｄ、データ復号部１５ｅ、プロファイル情報抽出部１５ｆおよびログ送信部１５ｇを備え、これらによって種々の処理を実行する。
【００４０】
スヌープ処理部１５ａは、通信装置を通過する暗号化されたパケットデータを採取する。具体的に例を挙げると、通信装置Ａと通信装置Ｂとの間で電子ファイルなどのパケットデータがやり取りされる前に、通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。そして、スヌープ処理部１５ａは、通信装置Ａ１０を介して予め暗号化された電子ファイルなどのパケットデータがやり取りされると、Ｉ／Ｆ部１３に入力された当該パケットデータを採取し、採取されたパケットデータをスヌープデータ記憶部１４ａに格納する。
【００４１】
パラメタ抽出部１５ｂは、スヌープ処理部１５ａにより採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する。具体的に例を挙げると、パラメタ抽出部１５ｂは、スヌープ処理部１５ａにより採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となる、ＳＳＬハンドシェイクにおいてやり取りされる平文の「Client Random」パラメタと、「Server Random」パラメタと、暗号化された「PreMasterSecret」パラメタとを抽出する。そして、パラメタ抽出部１５ｂは、後述するパラメタ通知部１５ｃに抽出したパラメタを通知する。なお、スヌープ処理部１５ａおよびパラメタ抽出部１５ｂは、特許請求の範囲に記載の「パラメタ抽出手段」に対応する。
【００４２】
パラメタ通知部１５ｃは、パラメタ抽出部１５ｂにより抽出されたパラメタを鍵管理装置に通知する。具体的に例を挙げると、パラメタ通知部１５ｃは、パラメタ抽出部１５ｂにより抽出されたパラメタである平文の「Client Random」パラメタと、「Server Random」パラメタと、暗号化された「PreMasterSecret」パラメタとが通知されると、これらの通知されたパラメタを、暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成する鍵管理装置に通知する。なお、鍵管理装置は、通知されたパラメタと、予め保持している「秘密鍵＃Ａ」とを用いて「復号鍵＃ＡＡ」を生成して通信装置Ａに送信する。なお、パラメタ通知部１５ｃは、特許請求の範囲に記載の「パラメタ通知手段」に対応する。
【００４３】
復号鍵取得部１５ｄは、パラメタ通知部１５ｃにより通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得する。具体的に例を挙げると、復号鍵取得部１５ｄは、鍵管理装置により生成された「復号鍵＃ＡＡ」を取得して、取得された「復号鍵＃ＡＡ」を後述するデータ復号部１５ｅに送信する。なお、復号鍵取得部１５ｄは、特許請求の範囲に記載の「復号鍵取得手段」に対応する。
【００４４】
データ復号部１５ｅは、復号鍵取得部１５ｄにより取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号する。具体的に例を挙げると、データ復号部１５ｅは、復号鍵取得部１５ｄから「復号鍵＃ＡＡ」が送信されると、送信された「復号鍵＃ＡＡ」を用いて、スヌープデータ記憶部１４ａに記憶されている暗号化されたパケットデータを復号する。そして、データ復号部１５ｅは、暗号化されたパケットデータを復号すると、後述するプロファイル情報抽出部１５ｆに対して、暗号化されたパケットデータを復号したことを通知する。
【００４５】
プロファイル情報抽出部１５ｆは、データ復号部１５ｅにより復号されたパケットデータを解析し、解析されたパケットデータのプロファイル情報を抽出する。具体的に例を挙げると、プロファイル情報抽出部１５ｆは、データ復号部１５ｅにより暗号化されたパケットデータの復号が行われた旨が通知された場合に、データ復号部１５ｅにより復号されたパケットデータを解析し、解析された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出し、抽出されたプロファイル情報を通信ログとしてログ記憶部１４ｂに格納する。なお、データ復号部１５ｅおよびプロファイル情報抽出部１５ｆは、特許請求の範囲に記載の「プロファイル情報抽出手段」に対応する。
【００４６】
ログ送信部１５ｇは、プロファイル情報抽出部１５ｆにより抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。具体的に例を挙げると、ログ送信部１５ｇは、プロファイル情報抽出部１５ｆによってログ記憶部１４ｂに格納された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａ１０を通過した際に取得された「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。なお、ログ送信部１５ｇは、特許請求の範囲に記載の「ログ送信手段」に対応する。
【００４７】
例えば、通信装置Ａ１０は、通信装置ＢにＨＴＴＰプロトコルにより電子ファイルを送信する場合には、図３に示すようなデータフォーマットで送信する。図３によると、プロファイル情報は、ＨＴＴＰプロトコルのＨＴＴＰヘッダ領域に格納されている。また、例えば、通信装置Ａ１０は、通信装置ＢにＨＴＴＰ／ＦＴＰプロトコルにより電子ファイルを送信する場合には、図４に示すようなデータフォーマットで送信する。図４によると、プロファイル情報は、電子ファイルデータと一体化されている。また、例えば、通信装置Ａ１０は、通信ログ装置に通信ログを送信する場合には、図５に示すようなデータフォーマットで送信する。このように、通信装置Ａは、ＨＴＴＰやＦＴＰなど通信方法が異なる場合においても、必要なデータを送信することができる。なお、図３は、実施例１に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰプロトコルによるデータフォーマットの一例を示す図であり、図４は、実施例１に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰ／ＦＴＰプロトコルによるデータフォーマットの一例を示す図であり、図５は、実施例１に係る通信装置から通信ログ装置に送信される通信ログのデータフォーマットの一例を示す図である。
【００４８】
また、通信ログ装置は、図６に示すようなプロファイル情報とネットワーク情報とを受信すると、受信されたプロファイル情報とネットワーク情報とを、通信装置Ａ１０をパケットデータが通過した通過時刻順にログ管理テーブルなどの所定の記憶部に格納する。なお、図６は、実施例１に係る通信装置を含むシステムにおける通信ログ装置のログ管理テーブルの一例を示す図である。
【００４９】
［通信装置による通信ログ送信処理］
次に、図７を用いて、図２に示した通信装置Ａ１０による通信ログ送信処理を示すフローチャートを説明する。図７は、実施例１に係るシステムにおける通信装置Ａ１０による通信ログ送信処理を示すフローチャートである。
【００５０】
図７に示すように、通信装置Ａ１０を介して予め暗号化された電子ファイルなどのパケットデータがやり取りされる場合に、通信装置Ａ１０を通過する新たなＳＳＬハンドシェイクが確立されると（ステップＳ７０１肯定）、通信装置Ａ１０は、通過する暗号化されたパケットデータを採取する（ステップＳ７０２）。
【００５１】
具体的には、地点Ａの端末Ｘから地点Ｂの端末Ｙに対して、予め暗号化されている電子ファイルなどのパケットデータがやり取りされる前に、端末Ｘおよび端末Ｙ間の通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。そして、通信装置Ａ１０のスヌープ処理部１５ａは、当該通信装置Ａ１０を通過する暗号化された電子ファイルなどのパケットデータを採取し、採取された暗号化されたパケットデータをスヌープデータ記憶部１４ａに格納する。
【００５２】
続いて、通信装置Ａ１０のパラメタ抽出部１５ｂは、スヌープ処理部１５ａにより採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（ステップＳ７０３）。
【００５３】
具体的には、通信装置Ａ１０のパラメタ抽出部１５ｂは、スヌープ処理部１５ａにより採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となる、ＳＳＬハンドシェイクにおいてやり取りされる平文の「Client Random」パラメタと、「Server Random」パラメタと、暗号化された「PreMasterSecret」パラメタとを抽出する。そして、通信装置Ａ１０のパラメタ抽出部１５ｂは、パラメタ通知部１５ｃに対して、抽出したパラメタを通知する。
【００５４】
その後、通信装置Ａ１０のパラメタ通知部１５ｃは、パラメタ抽出部１５ｂにより抽出されたパラメタを鍵管理装置に通知する（ステップＳ７０４）。具体的には、通信装置Ａ１０のパラメタ通知部１５ｃは、パラメタ抽出部１５ｂによりパラメタが通知されると、平文の「Client Random」パラメタと、「Server Random」パラメタと、暗号化された「PreMasterSecret」パラメタとを鍵管理装置に通知する。なお、鍵管理装置は、パラメタ通知部１５ｃにより通知されたパラメタと、予め保持している秘密鍵とを用いて、採取されたパケットデータを復号する場合に用いられる「復号鍵＃ＡＡ」を生成して、復号鍵取得部１５ｄに対して生成された「復号鍵＃ＡＡ」を送信する。
【００５５】
そして、通信装置Ａ１０の復号鍵取得部１５ｄは、パラメタ通知部１５ｃにより通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得する（ステップＳ７０５肯定）。具体的には、通信装置Ａ１０の復号鍵取得部１５ｄは、パラメタ通知部１５ｃにより通知されたパラメタと秘密鍵とを用いて鍵管理装置により生成された「復号鍵＃ＡＡ」を鍵管理装置から取得し、取得された「復号鍵＃ＡＡ」をデータ復号部１５ｅに送信する。
【００５６】
続いて、通信装置Ａ１０のデータ復号部１５ｅは、復号鍵取得部１５ｄにより取得された復号鍵を用いて、採取されたパケットデータを復号する（ステップＳ７０６）。具体的には、通信装置Ａ１０のデータ復号部１５ｅは、復号鍵取得部１５ｄにより取得された復号鍵を用いて、スヌープデータ記憶部１４ａに記憶されている暗号化されたパケットデータを復号する。そして、通信装置Ａ１０のデータ復号部１５ｅは、プロファイル情報抽出部１５ｆに対して暗号化されたパケットデータを復号したことを通知する。
【００５７】
そして、通信装置Ａ１０のプロファイル情報抽出部１５ｆは、復号されたパケットデータを解析し、解析されたパケットデータのプロファイル情報を抽出し（ステップＳ７０７）、抽出されたプロファイル情報をログ記憶部１４ｂに格納する（ステップＳ７０８）。
【００５８】
具体的には、通信装置Ａ１０のプロファイル情報抽出部１５ｆは、データ復号部１５ｅにより復号されたパケットデータを解析し、解析された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出し、抽出されたプロファイル情報を通信ログとしてログ記憶部１４ｂに格納する。
【００５９】
さらに、通信装置Ａ１０のログ送信部１５ｇは、ログ記憶部１４ｂに記憶されているプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する（ステップＳ７０９）。
【００６０】
具体的には、通信装置Ａ１０のログ送信部１５ｇは、ログ記憶部１４ｂに記憶されている「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａ１０を通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。なお、通信ログ装置は、通信装置Ａ１０のログ送信部１５ｇにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納する。
【００６１】
［通信装置を含むシステム間における通信ログ送信処理シーケンス］
次に、図８を用いて、図１に示した端末Ｘ、通信装置Ａ、通信装置Ｂ、端末Ｙ、鍵管理装置および通信ログ装置間における通信ログ送信処理を示す制御シーケンスを説明する。図８は、実施例１に係る通信装置を含むシステム全体における通信ログ送信処理の制御シーケンスを示す図である。
【００６２】
図８に示すように、端末Ｘから端末Ｙに対して、予め暗号化されている電子ファイルなどのパケットデータが送信される前に、端末Ｘおよび端末Ｙ間の通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。
【００６３】
具体的に例を挙げて説明すると、このＳＳＬハンドシェイクにより端末Ｙから端末Ｘに対して、端末ＹのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＸがＳＳＬを利用して端末Ｙと通信するために必要な制御情報とともに、平文の「Client Random」パラメタが送信される（図８の（１）参照）。そして、端末Ｘから端末Ｙに対して、端末ＸのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＹがＳＳＬを利用して端末Ｘと通信するために必要な制御情報とともに、平文の「Server Random」パラメタが送信される（図８の（２）参照）。さらに、端末Ｙは、ＳＳＬハンドシェイクにおいて生成された全てのデータを用いて、セッションの「PreMasterSecret」を作成し、端末Ｘから送信された情報から取得した端末Ｘの公開鍵で暗号化して、暗号化された「PreMasterSecret」を端末Ｘに送信する（図８の（３）参照）。
【００６４】
続いて、通信装置Ａおよび通信装置Ｂは、ＳＳＬハンドシェイクの確立を認識すると、端末Ｘから端末Ｙに対して予め暗号化されている電子ファイルなどのパケットデータが送信されると、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（ステップＳ８０１とステップＳ８０２）。
【００６５】
具体的には、通信装置Ａおよび通信装置Ｂは、端末Ｘおよび端末Ｙ間においてＳＳＬハンドシェイクの確立を認識すると、当該通信装置Ａおよび通信装置Ｂを通過する暗号化されたパケットデータを採取して、採取されたパケットデータを所定の記憶部に格納する。そして、通信装置Ａおよび通信装置Ｂは、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となる「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを抽出する。
【００６６】
その後、通信装置Ａは、抽出されたパラメタを鍵管理装置に通知する（ステップＳ８０３）。具体的には、通信装置Ａは、抽出された「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを鍵管理装置に通知する。
【００６７】
そして、鍵管理装置は、通知されたパラメタと、予め保持している秘密鍵とを用いて復号鍵を生成して通信装置Ａに送信する（ステップＳ８０４）。具体的には、鍵管理装置は、通信装置Ａにより通知された「PreMasterSecret」パラメタを、予め保持している端末Ｘのサーバ秘密鍵を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って復号鍵を生成し、生成された復号鍵を通信装置Ａに対して送信する。
【００６８】
続いて、通信装置Ａは、取得された復号鍵を用いて、採取されたパケットデータを復号し（ステップＳ８０５）、復号して解析されたパケットデータのプロファイル情報を抽出する（ステップＳ８０６）。
【００６９】
具体的には、通信装置Ａは、取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号して解析し、解析された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出し、抽出されたプロファイル情報を通信ログとして所定の記憶部に格納する。
【００７０】
ここで、通信装置Ｂおよび鍵管理装置においても上述した通信装置Ａおよび鍵管理装置と同様の処理が行われることとなる（ステップＳ８０７〜ステップＳ８１０）。
【００７１】
そして、通信装置Ａは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する（ステップＳ８１１）。
【００７２】
具体的には、通信装置Ａは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。
【００７３】
さらに、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納する（ステップＳ８１２）。具体的には、通信ログ装置は、通信装置Ａにより送信された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして、通過時刻順に所定の記憶部に格納する。
【００７４】
ここで、通信装置Ｂおよび通信ログ装置においても上述した通信装置Ａおよび通信ログ装置と同様の処理が行われることとなる（ステップＳ８１３〜ステップＳ８１４）。
【００７５】
［実施例１の効果］
このようにして、実施例１によれば、通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、抽出されたパラメタを鍵管理装置に通知し、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得し、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信するので、安全かつ確実に暗号通信やネットワーク情報などのログを採取することが可能である。
【００７６】
例えば、通信装置Ａと通信装置Ｂとがネットワークを介して接続され、通信装置Ａに接続される端末から暗号化されたパケットデータが送信される場合に、通信装置Ａは、暗号化されたパケットデータからパラメタを抽出して鍵管理装置に通知する。続いて、鍵管理装置は、通信装置Ａにより通知されたパラメタから復号鍵を生成して通信装置Ａに送信する。そして、通信装置Ａは、鍵管理装置により送信された復号鍵を用いて、暗号化されたパケットデータを復号および解析してプロファイル情報を抽出し、抽出されたプロファイル情報と、ネットワークに関するネットワーク情報とを通信ログ装置に送信する。
【実施例２】
【００７７】
ところで、実施例１では、ネットワークを介した暗号通信の通信ログを通信ログ装置に送信する場合に、「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を送信する場合を説明したが、本発明はこれに限定されるものではなく、「パケットデータの名前、重要度、種別および利用者情報」と、さらに、当該「パケットデータの識別子」と「シーケンス番号」とを送信することもできる。
【００７８】
そこで、以下の実施例２では、「パケットデータを一意に識別する識別子」を含んだプロファイル情報と、パケットデータが通信装置を通過した通過順序である「シーケンス番号」とを通信ログとして通信ログ装置に送信する場合について説明する。図９は、実施例２に係る通信装置を含むシステムの全体構成を示す図である。
【００７９】
［通信装置による識別子およびシーケンス番号付与処理］
図９に示すように、この通信装置を含むシステムは、実施例１と同様、通信装置Ａと通信装置Ｂと鍵管理装置と通信ログ装置とから構成される。また、通信装置Ａは、地点Ａの端末Ｘと接続され、通信装置Ｂは、地点Ｂの端末Ｙと接続される。また、端末Ｘと端末Ｙとは相互に暗号通信可能に接続される。
【００８０】
ここで、実施例１と異なる点は、地点Ａの端末Ｘから地点Ｂの端末Ｙに対して送信する電子ファイルなどのパケットデータに、当該「パケットデータを一意に識別する識別子」が予め付与されている点と、地点Ａの端末Ｘから地点Ｂの端末Ｙに対してパケットデータが送信される場合に、通過する通信装置Ａおよび通信装置Ｂにおいて、パケットデータが通信装置を通過した通過順序を示す「シーケンス番号」を付与する点である。
【００８１】
ここで、識別子が付与されているパケットデータを受信し、シーケンス番号を付与する処理の流れについて具体的に説明する。このシステムは、実施例１と同様、通信装置Ａは、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、抽出されたパラメタを鍵管理装置に通知し、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を鍵管理装置から取得する（図９の（１）〜（４）参照）。
【００８２】
その後、通信装置Ａは、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析された「パケットデータを一意に識別する識別子」を含んだプロファイル情報を抽出するとともに、「シーケンス番号」を付与する（図９の（５）参照）。具体的に説明すると、通信装置Ａは、鍵管理装置から受け取った復号鍵を用いて、採取されたパケットデータを復号して解析し、「パケットデータの名前、重要度、種別、利用者情報および当該パケットデータを一意に識別する識別子」（例えば、識別子ＩＤ：「００００ＡＢＣ」）などを含んだプロファイル情報を抽出するとともに、「シーケンス番号」を付与する（例えば、シーケンス番号ＳＮ：「０」）。なお、本実施例では、端末Ｘにおいて「識別子」が付与されたパケットデータを通信装置Ａにおいて受信した場合について説明したが、通信装置Ａにおいて受信された際に「識別子」が付与されていない場合は、通信装置Ａは、「識別子」および「シーケンス番号」を付与することとなる。
【００８３】
そして、通信装置Ａは、抽出された「識別子」を含んだプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報と、付与された「シーケンス番号」とを通信ログとして通信ログ装置に送信し、通信ログ装置は、送信された通信ログを所定の記憶部に格納する（図９の（６）と（７）参照）。
【００８４】
具体的に説明すると、通信装置Ａは、抽出された識別子を含んだプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した「通過時刻」などのネットワーク情報と、付与された「シーケンス番号」とを通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報、ネットワーク情報およびシーケンス番号を、通信ログとして所定の記憶部に格納する。一方、通信装置Ｂにおいても通信装置Ａと同様の処理が行われ、通信装置Ｂは、通信装置Ａにおいて付与された「シーケンス番号」のインクリメントを行い、採取されたプロファイル情報と、ネットワーク情報と、インクリメントされた「シーケンス番号」とを通信ログとして通信ログ装置に送信する。
【００８５】
例えば、通信装置Ａは、通信装置ＢにＨＴＴＰプロトコルによる電子ファイルを送信する場合には、図１０に示すようなデータフォーマットで送信する。図１０によると、プロファイル情報は、ＨＴＴＰプロトコルのＨＴＴＰヘッダ領域に格納されている。また、例えば、通信装置Ａは、通信装置ＢにＨＴＴＰ／ＦＴＰプロトコルにより電子ファイルを送信する場合には、図１１に示すようなデータフォーマットで送信する。図１１によると、プロファイル情報は、電子ファイルデータと一体化されている。また、例えば、通信装置Ａは、通信ログ装置に通信ログを送信する場合には、図１２に示すようなデータフォーマットで送信する。図１２によると、通信ログのデータフォーマットには、識別子「ＩＤ：００００ＡＢＣ」やシーケンス番号「ＳＮ：０」などが含まれる。このように、通信装置Ａは、ＨＴＴＰやＦＴＰなど通信方法が異なる場合においても、必要なデータを送信することができる。なお、図１０は、実施例２に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰプロトコルによるデータフォーマットの一例を示す図であり、図１１は、実施例２に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰ／ＦＴＰプロトコルによるデータフォーマットの一例を示す図であり、図１２は、実施例２に係る通信装置から通信ログ装置に送信される通信ログのデータフォーマットの一例を示す図である。
【００８６】
また、通信ログ装置は、図１３に示すようなプロファイル情報とネットワーク情報と「シーケンス番号」とを受信すると、受信されたプロファイル情報とネットワーク情報と「シーケンス番号」とを、当該プロファイル情報に含まれる「パケットデータを一意に識別する識別子」ごとにまとめて、「シーケンス番号」順にログ管理テーブルなどの所定の記憶部に格納する。なお、図１３は、実施例２に係る通信装置を含むシステムにおける通信ログ装置のログ管理テーブルの一例を示す図である。
【００８７】
［実施例２の効果］
実施例２に係る通信装置は、パケットデータが通信装置を通過する場合に、当該パケットデータが当該通信装置を通過した通過順序であるシーケンス番号を付与し、当該パケットデータを一意に識別する識別子を含んだプロファイル情報を抽出し、抽出された識別子を含んだプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報と、付与されたパケットデータが通信装置を通過した通過順序であるシーケンス番号とを、通信ログ装置に送信する。この結果、通信ログ装置は、通信ログを「時刻情報」ごとに管理していたが、「パケットデータを一意に識別する識別子」を用いることによって、同じ識別子を有する通信ログが複数ある場合に、複数の通信ログを対応付けてひとまとまりの通信ログとして管理することが可能である。さらに、各通信装置の時刻が正確でない場合でも、「シーケンス番号」を用いることによって、通信ログの時系列を判断することが可能である。また、パケットデータを送信する送信元の端末において、当該「パケットデータを一意に識別する識別子」を付与するなどの機能を不要にすることが可能である。
【００８８】
また、通信装置は、暗号化されたパケットデータから抽出されたパラメタから生成された復号鍵を用いて、当該パケットデータを復号して解析し、パケットデータを一意に識別する識別子を含んだ「プロファイル情報」と、「ネットワーク情報」と、「シーケンス番号」とを通信ログとして通信ログ装置に送信する。
【実施例３】
【００８９】
ところで、上記実施例１および２では、各端末間においてパケットデータが送信される場合に、各通信装置に入力されたパケットデータが全て送信先の端末に送信される場合を説明したが、本発明はこれに限定されるものではなく、ネットワークを介して暗号化されたパケットデータが通信装置に入力される場合に、入力されたパケットデータを転送可否ルールに基づいて転送可否判定を行うこともできる。
【００９０】
そこで、以下の実施例３では、パケットデータの転送可否ルールに基づいて転送可否判定を行う場合について説明する。図１４は、実施例３に係る通信装置を含むシステムの全体構成を示す図である。
【００９１】
［実施例３に係るシステムの全体構成］
図１４に示すように、この通信装置を含むシステムは、実施例１および２と同様、通信装置Ａと通信装置Ｂと鍵管理装置と通信ログ装置とから構成される。また、通信装置Ａは、地点Ａの端末Ｘと接続され、通信装置Ｂは、地点Ｂの端末Ｙと接続される。また、端末Ｘと端末Ｙとは相互に通信可能に接続される。
【００９２】
ここで、実施例１および２と異なる点は、通信装置Ａは、パケットデータの種別が「karte」および重要度「２」以下であれば、パケットデータ転送を許可するなどの転送可否ルールを保持している点である。なお、通信装置Ａは、入力されたパケットデータの転送可否を判定するため、一旦、通信の終端処理を行う。
【００９３】
このような構成において、実施例１と同様、通信装置Ａは、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、抽出されたパラメタを鍵管理装置に通知し、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を鍵管理装置から取得する（図１４の（１）〜（４）参照）。
【００９４】
その後、通信装置Ａは、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出して、抽出されたプロファイル情報と保持されている通過ルールとに基づいて、転送不可であると判定された場合に当該パケットデータを廃棄し、転送可能であると判定された場合に当該パケットデータを転送する（図１４の（５）参照）。
【００９５】
具体的に説明すると、通信装置Ａは、鍵管理装置から受け取った「復号鍵＃ＡＡ」を用いて、採取されたパケットデータを復号して解析し、「パケットデータの名前、重要度、種別および利用者情報」などを含んだプロファイル情報を抽出する。そして、通信装置Ａは、抽出されたプロファイル情報の「重要度および種別」と保持されている通過ルールとに基づいて、転送不可であると判定された場合にパケットデータを廃棄し、転送可能であると判定された場合にパケットデータを転送する。
【００９６】
例えば、通信装置Ａは、種別が「karte」および重要度が「４」のパケットデータを採取した場合に、当該パケットデータの転送可否を転送不可と判定してパケットデータを廃棄する。また、通信装置Ａは、種別が「karte」および重要度「２」のパケットデータを採取した場合に、当該パケットデータの転送可否を転送可能と判定してパケットデータを転送する。
【００９７】
そして、通信装置Ａは、抽出されたプロファイル情報と、転送不可であると判定された場合にパケットデータが廃棄されたことを示す情報を含んだネットワーク情報と、または、転送可能であると判定された場合にパケットデータが転送されたことを示す情報を含んだネットワーク情報とを、通信ログとして通信ログ装置に送信し、通信ログ装置は、送信された通信ログを所定の記憶部に格納する（図１４の（６）と（７）参照）。
【００９８】
上記した例で具体的に説明すると、通信装置Ａは、パケットデータの転送可否を転送不可と判定した場合に、当該パケットデータを廃棄し、プロファイル情報およびパケットデータが廃棄されたことを示す情報「state：scrap」を含んだネットワーク情報を通信ログ装置に送信する。また、通信装置Ａは、パケットデータの転送可否を転送可能と判定した場合に、当該パケットデータを転送し、プロファイル情報およびパケットデータが転送されたことを示す情報「state：pass」を含んだネットワーク情報を通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報およびネットワーク情報を、通信ログとして所定の記憶部に格納する。なお、地点Ｂの端末Ｙから地点Ａの端末Ｘにパケットデータが送信される場合も、通信装置Ｂにおいて通信装置Ａと同様の処理が行われる。
【００９９】
［通信装置による転送可否判定処理における終端処理］
ここで、実施例３では、パケット転送の可否を判定するために、入力されたパケットデータを一度受信している。そのため、端末間では、パケット転送の終端処理が実施される。そこで、図１５を用いて、転送可否判定処理における終端処理について説明する。図１５は、実施例３に係る通信装置を含むシステムにおける転送可否判定処理における終端処理の制御シーケンスを示す図である。
【０１００】
図１５に示すように、通信装置Ａおよび通信装置Ｂは、特定のポート番号の通信を発見すると、通信装置Ａまたは通信装置Ｂが端末Ｘに代わってＴＣＰ通信の終端処理を行う。例えば、地点Ａの端末Ｘは、端末Ｙに対して電子ファイルなどのパケットデータを送信すると、通信装置ＡがＴＣＰ通信を終端し、その応答である「ＴＣＰ−ＡＣＫ」を端末Ｘに対して送信する。そして、通信装置Ａは、パケットデータの解析、復号およびログ記憶などが完了すると、当該パケットデータを受信したときの送信元である端末ＸのＩＰ／Ｐｏｒｔ番号とともに送信することによって、送信先である端末Ｙからは各通信装置が透過になるため、端末Ｘおよび端末Ｙ間における通信断の影響を回避することが可能である。なお、各通信装置において通信の応答処理を行わずに通信装置において端末間の通信プロトコルを終端すると、送信先の端末において通信が切断されることになってしまう。
【０１０１】
また、通信装置においてプロトコルを終端し、パケットデータを再構築すると、当該パケットデータのデータ容量により通信装置が備えるバッファメモリが不足することが考えられる。この問題を解消するために、通信装置は、パケットデータ全ての受信が完了されていなくても、転送可否の判定がなされた時点で、当該パケットデータの転送を開始する。この結果、大容量のパケットデータが送信される場合に、通信装置が備えるバッファメモリが不足してバッファ溢れを回避することが可能である。また、通信装置は、当該通信装置が備えるバッファメモリが溢れそうになった場合に、端末などに応答するＴＣＰウィンドウサイズを小さくする。この結果、通信装置は、送信元の端末から送信されるパケットデータ容量を制御して、当該通信装置のバッファ溢れを事前に回避することが可能である。
【０１０２】
［通信装置による転送可否判定処理の流れ］
次に、図１６を用いて、図１４に示した通信装置による転送可否判定処理を示すフローチャートを説明する。図１６は、実施例３に係るシステムにおける通信装置による転送可否判定処理を示すフローチャートである。なお、図１６に示すステップＳ１６０１〜ステップＳ１６０７については、図７のステップＳ７０１〜ステップＳ７０７と同様の処理となるので、具体的な説明を割愛する。
【０１０３】
図１６に示すように、通信装置を介して予め暗号化された電子ファイルなどのパケットデータがやり取りされる場合に、通信装置は、当該通信装置を通過する新たなＳＳＬハンドシェイクの確立を認識したならば（ステップＳ１６０１肯定）、通過する暗号化されたパケットデータを採取する（ステップＳ１６０２）。
【０１０４】
続いて、通信装置は、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（ステップＳ１６０３）。その後、通信装置は、抽出されたパラメタを鍵管理装置に通知する（ステップＳ１６０４）。
【０１０５】
そして、通信装置は、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得する（ステップＳ１６０５肯定）。続いて、通信装置は、取得された復号鍵を用いて、採取されたパケットデータを復号する（ステップＳ１６０６）。そして、通信装置は、復号されたパケットデータを解析し、解析されたパケットデータのプロファイル情報を抽出する（ステップＳ１６０７）。
【０１０６】
その後、通信装置は、抽出されたプロファイル情報の有無により、当該パケットデータが転送可否の制御対象であるか否かを判定し（ステップＳ１６０８）、パケットデータが転送可否の制御対象である場合に（ステップＳ１６０８肯定）、転送可否ルールがあるか否かの判定を行う（ステップＳ１６０９）。
【０１０７】
具体的には、通信装置は、抽出されたプロファイル情報がある場合に、転送可否ルールがあるか否かの判定を行う。ここで、通信装置は、ステップＳ１６０８において、パケットデータが転送可否の制御対象でない場合に（ステップＳ１６０８否定）、当該パケットデータを送信先の端末に転送することとなる（ステップＳ１６２９）。なお、図１６のステップＳ１６３０およびステップＳ１６３１は、図７に示したステップＳ７０８およびステップＳ７０９と同様の処理となるので説明を割愛する。
【０１０８】
続いて、通信装置は、転送可否ルールがある場合に（ステップＳ１６０９肯定）、転送可否ルールの有効期限が切れているか否かの判定を行い（ステップＳ１６１０）、転送可否ルールの有効期限が切れていないと判定された場合に（ステップＳ１６１０否定）、転送可否ルールと一致するか否かの判定を行う（ステップＳ１６１１）。
【０１０９】
具体的には、通信装置は、所定の記憶部に記憶されている転送可否ルールがある場合に、当該転送可否ルールの有効期限が切れているか否かの判定を行い、転送可否ルールの有効期限が有効であると判定された場合に、抽出されたプロファイル情報に含まれる「重要度」や「種別」などを用いて、転送可否ルールと一致するか否かの判定を行う。
【０１１０】
そして、通信装置は、抽出されたプロファイル情報を用いて転送可否ルールと一致した場合に（ステップＳ１６１１肯定）、パケットデータを廃棄するか否かの判定を行い（ステップＳ１６１２）、パケットデータを廃棄すると判定された場合に（ステップＳ１６１２肯定）、当該パケットデータを廃棄する（ステップＳ１６１３）。また、通信装置は、ステップＳ１６１２において、パケットデータを廃棄しないと判定された場合に（ステップＳ１６１２否定）、当該パケットデータを転送する（ステップＳ１６１６）。
【０１１１】
具体的には、通信装置は、抽出されたプロファイル情報に含まれる「重要度」や「種別」が転送可否ルールの条件と一致した場合に、パケットデータを廃棄するか否かの判定を行い、パケットデータを廃棄すると判定された場合に、当該パケットデータの廃棄を行う。また、通信装置は、パケットデータを廃棄しないと判定された場合に、当該パケットデータを送信先の端末に転送することとなる。ここで、図１６のステップＳ１６１４〜ステップＳ１６１５およびステップＳ１６１７〜ステップＳ１６１８は、図７に示したステップＳ７０８およびステップＳ７０９と同様の処理となるので説明を割愛する。
【０１１２】
一方、通信装置は、転送可否ルールが有効期限切れである場合（ステップＳ１６１０肯定）、または、転送可否ルールと一致しなかった場合（ステップＳ１６１１否定）に、所定の記憶部に記憶されている次の転送可否ルールがあるか否かの判定を行う（ステップＳ１６１９）。
【０１１３】
具体的には、通信装置は、ステップＳ１６１０において、転送可否ルールの有効期限が切れている場合、または、ステップＳ１６１１において、抽出されたプロファイル情報に含まれる「重要度」や「種別」が転送可否ルールの条件と一致しなかった場合に、所定の記憶部に記憶されている他の転送可否ルールがあるか否かの判定を行う。
【０１１４】
そして、通信装置は、次の転送可否ルールがあると判定された場合に（ステップＳ１６１９肯定）、転送可否ルールの有効期限が切れているか否かの判定を行い（ステップＳ１６２０）、転送可否ルールの有効期限が切れていないと判定された場合に（ステップＳ１６２０否定）、転送可否ルールと一致するか否かの判定を行う（ステップＳ１６２１）。
【０１１５】
具体的には、通信装置は、所定の記憶部に記憶されている他の転送ルールがあると判定された場合に、転送可否ルールの有効期限が切れているか否かの判定を行い、転送可否ルールの有効期限が切れていないと判定された場合に、抽出されたプロファイル情報に含まれる「重要度」や「種別」が転送可否ルールの条件と一致するか否かの判定を行う。
【０１１６】
続いて、通信装置は、転送可否ルールと一致すると判定された場合に（ステップＳ１６２１肯定）、パケットデータを廃棄するか否かの判定を行い（ステップＳ１６２２）、パケットデータを廃棄すると判定された場合に（ステップＳ１６２２肯定）、当該パケットデータを廃棄する（ステップＳ１６２３）。また、通信装置は、ステップＳ１６２２において、パケットデータを廃棄しないと判定された場合に（ステップＳ１６２２否定）、当該パケットデータを転送する（ステップＳ１６２６）。
【０１１７】
具体的には、通信装置は、抽出されたプロファイル情報に含まれる「重要度」や「種別」が転送可否ルールの条件と一致した場合に、パケットデータを廃棄するか否かの判定を行い、パケットデータを廃棄すると判定された場合に、当該パケットデータの廃棄を行う。また、通信装置は、パケットデータを廃棄しないと判定された場合に、当該パケットデータを送信先の端末に転送することとなる。ここで、図１６のステップＳ１６２４〜ステップＳ１６２５およびステップＳ１６２７〜ステップＳ１６２８は、図７に示したステップＳ７０８およびステップＳ７０９と同様の処理となるので説明を割愛する。なお、通信装置は、ステップＳ１６２０において、転送可否ルールの有効期限が切れている場合（ステップＳ１６２０肯定）、または、ステップＳ１６２１において、抽出されたプロファイル情報に含まれる「重要度」や「種別」が転送可否ルールの条件と一致しなかった場合（ステップＳ１６２１否定）に、ステップＳ１６１９からの処理を繰り返すこととなる。そして、通信装置は、ステップＳ１６１９において、次の転送可否ルールがない場合に（ステップＳ１６１９否定）、当該パケットデータを廃棄することとなる（ステップＳ１６２３）。
【０１１８】
［実施例３の効果］
このようにして、実施例３によれば、通信装置は、パケットデータを送信先の装置に転送するか否かを示す転送可否ルールを保持し、保持されている転送可否ルールに基づいて、転送不可であると判定された場合に当該パケットデータを廃棄し、転送可能であると判定された場合に当該パケットデータを転送し、転送不可であると判定された場合に、パケットデータが廃棄されたことを示す情報を含んだネットワーク情報とプロファイル情報とを通信ログとして通信ログ装置に送信し、転送可能であると判定された場合に、パケットデータが転送されたことを示す情報を含んだネットワーク情報とプロファイル情報とを通信ログとして通信ログ装置に送信することとしたので、通信装置において、パケットデータの転送制限を行うことが可能である。
【０１１９】
例えば、通信装置Ａは、通信装置Ａが含まれる地点Ａから通信装置Ｂが含まれる地点Ｂにパケットデータの転送が行われる場合に、パケットデータの種別が「karte」および重要度「２」以下のパケットデータ転送を許可するという転送可否ルールを保持していることとする。この転送可否ルールに基づいて、通信装置Ａは、重要度が「４」および種別が「karte」のパケットデータを採取した場合に、当該パケットデータの転送可否を転送不可と判定してパケットデータを廃棄し、プロファイル情報およびパケットデータが廃棄されたことを示す情報を含んだネットワーク情報を通信ログ装置に送信する。また、通信装置Ａは、重要度が「２」および種別が「karte」のパケットデータを採取した場合に、当該パケットデータの転送可否を転送可能と判定してパケットデータを転送し、プロファイル情報およびパケットデータが転送されたことを示す情報を含んだネットワーク情報を通信ログ装置に送信することが可能である。
【実施例４】
【０１２０】
ところで、上記実施例１〜３では、通信装置は、鍵管理装置にパラメタを通知し、鍵管理装置により生成された復号鍵を取得する場合を説明したが、本発明はこれに限定されるものではなく、通信装置は、鍵管理装置にパラメタを通知することなく、自装置において復号鍵を生成することもできる。
【０１２１】
そこで、以下の実施例４では、ネットワークを介した暗号通信の復号に用いる復号鍵を通信装置において生成する場合について説明する。図１７は、実施例４に係る通信装置を含むシステムの全体構成を示す図である。
【０１２２】
図１７に示すように、この通信装置を含むシステムは、通信装置Ａと通信装置Ｂと通信ログ装置とから構成される。また、通信装置Ａは、地点Ａの端末Ｘと接続され、通信装置Ｂは、地点Ｂの端末Ｙと接続される。また、端末Ｘと端末Ｙとは相互に暗号通信可能に接続される。
【０１２３】
ここで、実施例１〜３と異なる点は、通信装置Ａは、当該通信装置に接続される端末の秘密鍵を保持している点である。なお、実施例４では、通信装置Ｂが復号鍵を取得する場合について説明する。
【０１２４】
［通信装置において復号鍵を生成］
また、暗号化されたパケットデータを復号する場合に用いられる復号鍵の生成が、鍵管理装置ではなく、通信装置によって行われる。このような構成において、実施例１と同様、通信装置Ｂは、地点Ａの端末Ｘから地点Ｂの端末Ｙに予め暗号化されている電子ファイルなどのパケットデータが送信される場合に、当該通信装置Ｂを通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（図１７の（１）参照）。
【０１２５】
続いて、通信装置Ｂは、抽出されたパラメタを通信装置Ａに通知する（図１７の（２）参照）。上記した例で具体的に説明すると、通信装置Ｂは、抽出された平文の「Client Random」パラメタと、「Server Random」パラメタと、端末Ｘの公開鍵で暗号化された「PreMasterSecret」パラメタとを、地点Ａの端末Ｘの「秘密鍵＃Ａ」を保有している通信装置Ａに通知する。
【０１２６】
そして、通信装置Ｂよりパラメタを通知された通信装置Ａは、通知されたパラメタと「秘密鍵＃Ａ」とを用いて復号鍵を生成する（図１７の（３）参照）。上記した例で具体的に説明すると、通信装置Ａは、通知された「PreMasterSecret」パラメタを、保持している端末Ｘの「秘密鍵＃Ａ」を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って復号鍵を生成する。
【０１２７】
続いて、通信装置Ｂは、通知されたパラメタを用いて、通信装置Ａによって生成された復号鍵を、通信装置Ａから取得する（図１７の（４）参照）。具体的に説明すると、通信装置Ｂは、ＳＳＬやＩＰＳｅｃなどの暗号通信を用いて、通信装置Ａから生成された「復号鍵＃ＡＡ」を受け取る。なお、当該「復号鍵＃ＡＡ」は、通信装置Ｂと通信装置Ａとのセッション中のみ有効な鍵であり、当該セッションが切れると無効な鍵となる。
【０１２８】
その後、通信装置Ｂは、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出する（図１７の（５）参照）。具体的に説明すると、通信装置Ｂは、通信装置Ａから受け取った「復号鍵＃ＡＡ」を用いて、採取されたパケットデータを復号して解析し、「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出する。
【０１２９】
そして、通信装置Ｂは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを、通信ログとして通信ログ装置に送信し、通信ログ装置は、送信された通信ログを所定の記憶部に格納する（図１７の（６）と（７）参照）。
【０１３０】
具体的に説明すると、通信装置Ｂは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ｂを通過した際に採取された当該「パケットデータの送信元、送信先および通信装置Ｂを通過した通過時刻」などのネットワーク情報とを、通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ｂにより送信されたプロファイル情報およびネットワーク情報を、通信ログとして所定の記憶部に格納する。なお、通信装置Ａにおいては、復号鍵生成を自身で行い、通信装置Ｂと同様の処理が行われ、通信装置Ａは、採取されたプロファイル情報とネットワーク情報とを、通信ログとして通信ログ装置に送信する。
【０１３１】
［実施例４に係る通信ログ送信処理］
次に、図１８を用いて、図１７に示した端末Ｙ、通信装置Ｂ、通信装置Ａ、端末Ｘおよび通信ログ装置間における通信ログ送信処理を示す制御シーケンスを説明する。図１８は、実施例４に係る通信装置を含むシステムにおける通信ログ送信処理の制御シーケンスを示す図である。
【０１３２】
図１６に示すように、端末Ｘから端末Ｙに対して、予め暗号化されている電子ファイルなどのパケットデータが送信される前に、端末Ｘおよび端末Ｙ間の通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。
【０１３３】
具体的に例を挙げて説明すると、このＳＳＬハンドシェイクにより端末Ｙから端末Ｘに対して、端末ＹのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＸがＳＳＬを利用して端末Ｙと通信するために必要な制御情報とともに、平文の「Client Random」パラメタが送信される（図１８の（１）参照）。そして、端末Ｘから端末Ｙに対して、端末ＸのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＹがＳＳＬを利用して端末Ｘと通信するために必要な制御情報とともに、平文の「Server Random」パラメタが送信される（図１８の（２）参照）。さらに、端末Ｙは、ＳＳＬハンドシェイクにおいて生成された全てのデータを用いて、セッションの「PreMasterSecret」を作成し、端末Ｘから送信された情報から取得した端末Ｘの公開鍵で暗号化して、暗号化された「PreMasterSecret」を端末Ｘに送信する（図１８の（３）参照）。
【０１３４】
続いて、通信装置Ａおよび通信装置Ｂは、ＳＳＬハンドシェイクの確立を認識すると、端末Ｘから端末Ｙに対して予め暗号化されている電子ファイルなどのパケットデータが送信されると、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（ステップＳ１８０１とステップＳ１８０２）。
【０１３５】
具体的には、通信装置Ａおよび通信装置Ｂは、端末Ｘおよび端末Ｙ間においてＳＳＬハンドシェイクの確立を認識すると、当該通信装置Ａおよび通信装置Ｂを通過する暗号化されたパケットデータを採取して、採取されたパケットデータを所定の記憶部に格納する。そして、通信装置Ａおよび通信装置Ｂは、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となる「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを抽出する。
【０１３６】
その後、通信装置Ｂは、抽出されたパラメタを通信装置Ａに通知する（ステップＳ１８０６）。具体的には、通信装置Ｂは、抽出された「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを通信装置Ａに通知する。
【０１３７】
そして、通信装置Ａは、通知されたパラメタと、予め保持している秘密鍵とを用いて復号鍵を生成して通信装置Ｂに送信する（ステップＳ１８０７）。具体的には、通信装置Ａは、通信装置Ｂにより通知された「PreMasterSecret」パラメタを、予め保持している端末Ｘのサーバ秘密鍵を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って復号鍵を生成し、生成された復号鍵を通信装置Ｂに対して送信する。
【０１３８】
続いて、通信装置Ｂは、取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号し（ステップＳ１８０８）、復号して解析されたパケットデータのプロファイル情報を抽出する（ステップＳ１８１０）。
【０１３９】
具体的には、通信装置Ｂは、取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号して解析し、解析された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出し、抽出されたプロファイル情報を通信ログとして所定の記憶部に格納する。
【０１４０】
そして、通信装置Ｂは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する（ステップＳ１８１３）。
【０１４１】
具体的には、通信装置Ｂは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ｂを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。
【０１４２】
さらに、通信ログ装置は、通信装置Ｂにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納する（ステップＳ１８１４）。具体的には、通信ログ装置は、通信装置Ｂにより送信された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ｂを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして、通過時刻順に所定の記憶部に格納する。
【０１４３】
ここで、通信装置Ａにおいては、当該通信装置Ａの復号鍵を生成する制御部に対してパラメタを通知するとともに、復号鍵を生成し、同様にプロファイル情報を抽出して、抽出されたプロファイル情報とネットワーク情報とを通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納することとなる（ステップＳ１８０３〜ステップＳ１８０５、ステップＳ１８０７、ステップＳ１８０９、ステップＳ１８１１およびステップＳ１８１２）。
【０１４４】
［実施例４の効果］
このようにして、実施例４によれば、通信装置は、当該通信装置に接続される端末の秘密鍵を保持し、保持された秘密鍵と、抽出されたパラメタとを用いて、復号鍵を生成し、生成された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信することとしたので、秘密鍵の配布範囲を自拠点内に留めることで、安全に暗号通信を復号することが可能である。
【０１４５】
例えば、通信装置は、当該通信装置に接続される端末の秘密鍵を保持し、保持された秘密鍵と、抽出されたパラメタとを用いて復号鍵を生成する。続いて、通信装置は、生成された復号鍵を用いて暗号化されたパケットデータを復号および解析してプロファイル情報を抽出する。そして、通信装置は、抽出されたプロファイル情報と、ネットワークに関するネットワーク情報とを、通信ログ装置に送信する。この結果、秘密鍵の配布範囲を自拠点内に留めることで、安全に暗号通信を復号することが可能である。
【実施例５】
【０１４６】
ところで、上記実施例１〜３では、通信装置は、鍵管理装置にパラメタを通知し、鍵管理装置により生成された復号鍵を取得する場合を説明したが、本発明はこれに限定されるものではなく、通信装置は、鍵管理装置にパラメタを通知することなく、当該通信装置に接続される端末において復号鍵を生成することもできる。
【０１４７】
そこで、以下の実施例５では、ネットワークを介した暗号通信の復号に用いる復号鍵を通信装置に接続される端末によって生成された復号鍵を、端末から取得する場合について説明する。図１９は、実施例５に係る通信装置を含むシステムの全体構成を示す図である。
【０１４８】
［端末における復号鍵生成処理］
図１９に示すように、この通信装置を含むシステムは、通信装置Ａと通信装置Ｂと通信ログ装置とから構成される。また、通信装置Ａは、地点Ａの端末Ｘと接続され、通信装置Ｂは、地点Ｂの端末Ｙと接続される。また、端末Ｘと端末Ｙとは相互に暗号通信可能に接続される。
【０１４９】
ここで、実施例１〜３と異なる点は、暗号化されたパケットデータを復号する場合に用いられる復号鍵の生成が、鍵管理装置ではなく、通信装置に接続される端末によって行われる点である。なお、実施例５では、通信装置Ａが復号鍵を取得する場合について説明する。
【０１５０】
［端末において復号鍵を生成］
このような構成において、実施例１と同様、通信装置Ａは、地点Ａの端末Ｘから地点Ｂの端末Ｙに予め暗号化されている電子ファイルなどのパケットデータが送信される場合に、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（図１９の（１）参照）。
【０１５１】
続いて、通信装置Ａは、抽出されたパラメタを端末Ｘに通知する（図１９の（２）参照）。上記した例で具体的に説明すると、通信装置Ａは、抽出された平文の「Client Random」パラメタと、「Server Random」パラメタと、端末Ｘの公開鍵で暗号化された「PreMasterSecret」パラメタとを、地点Ａの端末Ｘの「秘密鍵＃Ａ」を保有している端末Ｘに通知する。
【０１５２】
そして、通信装置Ａよりパラメタを通知された端末Ｘは、通知されたパラメタと「秘密鍵＃Ａ」とを用いて復号鍵を生成する（図１９の（３）参照）。上記した例で具体的に説明すると、端末Ｘは、通知された「PreMasterSecret」パラメタを、保持している「秘密鍵＃Ａ」を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って復号鍵を生成する。
【０１５３】
続いて、通信装置Ａは、通知されたパラメタを用いて、端末Ｘによって生成された復号鍵を、端末Ｘから取得する（図１９の（４）参照）。具体的に説明すると、通信装置Ａは、ＳＳＬやＩＰＳｅｃなどの暗号通信を用いて、端末Ｘから生成された「復号鍵＃ＡＡ」を受け取る。なお、当該「復号鍵＃ＡＡ」は、端末Ｘと通信装置Ａとのセッション中のみ有効な鍵であり、当該セッションが切れると無効な鍵となる。
【０１５４】
その後、通信装置Ａは、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出する（図１９の（５）参照）。具体的に説明すると、通信装置Ａは、端末Ｘから受け取った「復号鍵＃ＡＡ」を用いて、採取されたパケットデータを復号して解析し、「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出する。
【０１５５】
そして、通信装置Ａは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを、通信ログとして通信ログ装置に送信し、通信ログ装置は、送信された通信ログを所定の記憶部に格納する（図１９の（６）と（７）参照）。
【０１５６】
具体的に説明すると、通信装置Ａは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した際に採取された当該「パケットデータの送信元、送信先および通信装置Ａを通過した通過時刻」などのネットワーク情報とを、通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報およびネットワーク情報を、通信ログとして所定の記憶部に格納する。なお、通信装置Ｂにおいても通信装置Ａと同様に、端末Ｘにパラメタを通知して、端末Ｘから復号鍵を取得する。
【０１５７】
次に図２０を用いて、図１９に示した端末Ｙ、通信装置Ｂ、通信装置Ａ、端末Ｘおよび通信ログ装置間における通信ログ送信処理を示す制御シーケンスを説明する。図２０は、実施例５に係る通信装置を含むシステム全体における通信ログ送信処理の制御シーケンスを示す図である。
【０１５８】
図２０に示すように、端末Ｘから端末Ｙに対して、予め暗号化されている電子ファイルなどのパケットデータが送信される前に、端末Ｘおよび端末Ｙ間の通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。
【０１５９】
具体的に例を挙げて説明すると、このＳＳＬハンドシェイクにより端末Ｙから端末Ｘに対して、端末ＹのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＸがＳＳＬを利用して端末Ｙと通信するために必要な制御情報とともに、平文の「Client Random」パラメタが送信される（図２０の（１）参照）。そして、端末Ｘから端末Ｙに対して、端末ＸのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＹがＳＳＬを利用して端末Ｘと通信するために必要な制御情報とともに、平文の「Server Random」パラメタが送信される（図２０の（２）参照）。さらに、端末Ｙは、ＳＳＬハンドシェイクにおいて生成された全てのデータを用いて、セッションの「PreMasterSecret」を作成し、端末Ｘから送信された情報から取得した端末Ｘの公開鍵で暗号化して、暗号化された「PreMasterSecret」を端末Ｘに送信する（図２０の（３）参照）。
【０１６０】
続いて、通信装置Ａおよび通信装置Ｂは、ＳＳＬハンドシェイクの確立を認識すると、端末Ｘから端末Ｙに対して予め暗号化されている電子ファイルなどのパケットデータが送信されると、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（ステップＳ２００１とステップＳ２００２）。
【０１６１】
具体的には、通信装置Ａおよび通信装置Ｂは、端末Ｘおよび端末Ｙ間においてＳＳＬハンドシェイクの確立を認識すると、当該通信装置Ａおよび通信装置Ｂを通過する暗号化されたパケットデータを採取して、採取されたパケットデータを所定の記憶部に格納する。そして、通信装置Ａおよび通信装置Ｂは、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となる「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを抽出する。
【０１６２】
その後、通信装置Ａは、抽出されたパラメタを端末Ｘに通知する（ステップＳ２００３）。具体的には、通信装置Ａは、抽出された「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを端末Ｘに通知する。
【０１６３】
そして、端末Ｘは、通知されたパラメタと、保持している秘密鍵とを用いて復号鍵を生成して通信装置Ａに送信する（ステップＳ２００４）。具体的には、端末Ｘは、通信装置Ａにより通知された「PreMasterSecret」パラメタを、保持している秘密鍵を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って復号鍵を生成し、生成された復号鍵を通信装置Ａに対して送信する。
【０１６４】
続いて、通信装置Ａは、取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号し（ステップＳ２００５）、復号して解析されたパケットデータのプロファイル情報を抽出する（ステップＳ２００９）。
【０１６５】
具体的には、通信装置Ａは、取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号して解析し、解析された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出し、抽出されたプロファイル情報を通信ログとして所定の記憶部に格納する。
【０１６６】
そして、通信装置Ａは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する（ステップＳ２０１１）。
【０１６７】
具体的には、通信装置Ａは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。
【０１６８】
さらに、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納する（ステップＳ２０１２）。具体的には、通信ログ装置は、通信装置Ａにより送信された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして、通過時刻順に所定の記憶部に格納する。
【０１６９】
ここで、通信装置Ｂにおいても通信装置Ａと同様に端末Ｘにパラメタを通知するとともに、端末Ｘから復号鍵を取得して、プロファイル情報とネットワーク情報とを通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ｂにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納することとなる（ステップＳ２００６〜ステップＳ２００８、ステップＳ２０１０、ステップＳ２０１３およびステップＳ２０１４）。
【０１７０】
［実施例５の効果］
このようにして、実施例５によれば、通信装置は、抽出されたパラメタを、パケットデータの送信元である装置に通知し、通知されたパラメタを用いて、パケットデータの送信元である装置によって生成された復号鍵を、パケットデータの送信元である装置から取得し、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信することとしたので、元々、秘密鍵を保有している装置以外に秘密鍵を配布する必要がないので、安全に暗号通信を復号することが可能である。
【０１７１】
例えば、通信装置は、抽出されたパラメタをパケットデータの送信元である装置に通知する。続いて、パケットデータの送信元である装置は、通知されたパラメタを用いて復号鍵を生成し、通信装置に送信する。そして、通信装置は、パケットデータの送信元である装置から復号鍵を受け取って、パケットデータを復号および解析して、解析されたパケットデータのプロファイル情報を抽出する。さらに、通信装置は、抽出されたプロファイル情報と、ネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。このようにして、元々、秘密鍵を保有している装置以外に秘密鍵を配布する必要がないので、安全に暗号通信を復号することが可能である。
【実施例６】
【０１７２】
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、（１）通信装置の構成、（２）システム構成、（３）プログラムにそれぞれ区分けして異なる実施例を説明する。
【０１７３】
（１）通信装置の構成
上記の実施例３では、各通信装置において、転送可否ルールを保持し、保持された転送可否ルールを用いてパケットデータの転送可否を判定することとして説明したが、本発明はこれに限定されるものではなく、例えば、転送可否ルール管理装置を用いて、転送可否ルールを保持させ、各通信装置は、当該転送可否ルールを転送可否ルール管理装置から取得して、転送可否を判定するようにしてもよい。
【０１７４】
また、実施例３において、通信装置において抽出されたプロファイル情報に含まれる「重要度」および「種別」を用いて、転送可否を判定することとして説明したが、本発明はこれに限定されるものではなく、例えば、転送可否を判定する属性を、「重要度」のみにしてもよいし、「種別」のみにしてもよい。さらに、これらや他のプロファイル情報との組合せを用いて転送可否を判定するようにしてもよいし、重要なデータは転送させないなど多種の転送可否ルールを設けるようにしてもよい。
【０１７５】
（２）システム構成
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、例えば、パラメタ通知部１５ｃを、パラメタ通知Ｉ／Ｆ部とするなど、その全部または一部を、各種の負担や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１７６】
（３）プログラム
ところで、上記の実施例では、ハードウェアロジックによって各種の処理を実現する場合を説明したが、本発明はこれに限定されるものではなく、あらかじめ用意されたプログラムをコンピュータで実行することによって実現するようにしてもよい。そこで、以下では、図１９を用いて、上記の実施例に示した通信装置と同様の機能を有する通信ログ送信プログラムを実行するコンピュータの一例を説明する。図２１は、通信ログ送信プログラムを実行するコンピュータを示す図である。
【０１７７】
図２１に示すように、携帯端末としてのコンピュータ１１０は、キーボード１２０、ＨＤＤ１３０、ＣＰＵ１４０、ＲＯＭ１５０、ＲＡＭ１６０およびディスプレイ１７０をバス１８０などで接続して構成される。
【０１７８】
ＲＯＭ１５０には、上記の実施例１に示した通信装置１０と同様の機能を発揮する通信ログ送信プログラム、つまり、図２１に示すようにパラメタ抽出プログラム１５０ａと、パラメタ通知プログラム１５０ｂと、復号鍵取得プログラム１５０ｃと、プロファイル情報抽出プログラム１５０ｄと、ログ送信プログラム１５０ｅとが、あらかじめ記憶されている。なお、これらのプログラム１５０ａ〜１５０ｅについては、図２に示した通信装置Ａの各構成要素と同様、適宜統合または、分散してもよい。
【０１７９】
そして、ＣＰＵ１４０がこれらのプログラム１５０ａ〜プログラム１５０ｅをＲＯＭ１５０から読み出して実行することで、図２１に示すように、プログラム１５０ａ〜プログラム１５０ｅは、パラメタ抽出プロセス１４０ａと、パラメタ通知プロセス１４０ｂと、復号鍵取得プロセス１４０ｃと、プロファイル情報抽出プロセス１４０ｄと、ログ送信プロセス１４０ｅとして機能するようになる。なお、プロセス１４０ａ〜プロセス１４０ｅは、図２に示した、パラメタ抽出部１５ｂと、パラメタ通知部１５ｃと、復号鍵取得部１５ｄと、プロファイル情報抽出部１５ｆと、ログ送信部１５ｇとにそれぞれ対応する。
【０１８０】
そして、ＣＰＵ１４０はＲＡＭ１６０に記録された、スヌープしたパケットデータを記憶するスヌープデータ記憶データ１６０ａと、通信ログ装置に送信する通信ログを記憶するログ記憶データ１６０ｂとに基づいて通信ログ送信プログラムを実行する。
【０１８１】
なお、上記した各プログラム１５０ａ〜１５０ｅについては、必ずしも最初からＲＯＭ１５０に記憶させておく必要はなく、例えば、コンピュータ１１０に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、またはコンピュータ１１０の内外に備えられるＨＤＤなどの「固定用の物理媒体」、さらには公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ１１０に接続される「他のコンピュータ（またはサーバ）」などに各プログラムを記憶させておき、コンピュータ１１０がこれから各プログラムを読み出して実行するようにしてもよい。
【産業上の利用可能性】
【０１８２】
以上のように、本発明に係る通信装置、通信装置に適した通信ログ送信方法および通信システムは、当該通信装置を介して暗号化されたパケットデータがやり取りされる場合に有用であり、特に、各通信装置に秘密鍵を配備することなく、安全かつ確実に通信ログを採取することに適する。
【図面の簡単な説明】
【０１８３】
【図１】実施例１に係る通信装置を含むシステム全体の概要および特徴を示す図である。
【図２】実施例１に係るシステムにおける通信装置Ａの構成を示すブロック図である。
【図３】実施例１に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰプロトコルによるデータフォーマットの一例を示す図である。
【図４】実施例１に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰ／ＦＴＰプロトコルによるデータフォーマットの一例を示す図である。
【図５】実施例１に係る通信装置から通信ログ装置に送信される通信ログのデータフォーマットの一例を示す図である。
【図６】実施例１に係る通信装置を含むシステムにおける通信ログ装置のログ管理テーブルの一例を示す図である。
【図７】実施例１に係るシステムにおける通信装置Ａによる通信ログ送信処理を示すフローチャートである。
【図８】実施例１に係る通信装置を含むシステム全体における通信ログ送信処理の制御シーケンスを示す図である。
【図９】実施例２に係る通信装置を含むシステムの全体構成を示す図である。
【図１０】実施例２に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰプロトコルによるデータフォーマットの一例を示す図である。
【図１１】実施例２に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰ／ＦＴＰプロトコルによるデータフォーマットの一例を示す図である。
【図１２】実施例２に係る通信装置から通信ログ装置に送信される通信ログのデータフォーマットの一例を示す図である。
【図１３】実施例２に係る通信装置を含むシステムにおける通信ログ装置のログ管理テーブルの一例を示す図である。
【図１４】実施例３に係る通信装置を含むシステムの全体構成を示す図である。
【図１５】実施例３に係る通信装置を含むシステムにおける転送可否判定処理における終端処理の制御シーケンスを示す図である。
【図１６】実施例３に係るシステムにおける通信装置による転送可否判定処理を示すフローチャートである。
【図１７】実施例４に係る通信装置を含むシステムの全体構成を示す図である。
【図１８】実施例４に係る通信装置を含むシステムにおける通信ログ送信処理の制御シーケンスを示す図である。
【図１９】実施例５に係る通信装置を含むシステムの全体構成を示す図である。
【図２０】実施例５に係る通信装置を含むシステム全体における通信ログ送信処理の制御シーケンスを示す図である。
【図２１】通信ログ送信プログラムを実行するコンピュータを示す図である。
【符号の説明】
【０１８４】
１０ 通信装置Ａ
１１ 入力部
１２ 表示部
１３ Ｉ／Ｆ部
１４ 記憶部
１４ａ スヌープデータ記憶部
１４ｂ ログ記憶部
１５ 制御部
１５ａ スヌープ処理部
１５ｂ パラメタ抽出部
１５ｃ パラメタ通知部
１５ｄ 復号鍵取得部
１５ｅ データ復号部
１５ｆ プロファイル情報抽出部
１５ｇ ログ送信部
【技術分野】
【０００１】
この発明は、ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置とに接続される通信装置に関する。
【背景技術】
【０００２】
従来より、サーバ装置やクライアント装置などが適切に運用管理されて、各装置において通信された通信ログを採取するシステムがあり、この手法では、各装置を運用および管理するシステム管理者が必要不可欠である。そして、当該各装置が適切に運用管理されていない場合には、コンピュータウィルス感染や装置の不具合などで、装置において通信ログを採取することが出来ずに、特に、厳格な通信ログを必要とする分野においては、通信ログの信頼性に欠けてしまう。
【０００３】
そこで、ネットワークを介して通信された電子ファイルの情報やネットワークの情報を示す通信ログを、ネットワーク側で代行して保存および管理する技術がある。例えば、ネットワーク内に配備された各通信装置は、通信ログを採取して、通信ログを統合管理するログ収集装置に通知していた。ところが、この手法では、各通信装置でログを採取して通知するので、各通信装置側で通信ログの改ざんが容易にできてしまう。また、当該ネットワークが暗号通信である場合に、ログ収集装置は、通知された電子ファイルの情報が暗号化されており、解読することができないために、当該暗号通信の通信ログを管理することができなかった。
【０００４】
また、各通信装置間で暗号化するシステムにとしては、接続される複数の端末から暗号鍵を取得して保持し、保持された暗号鍵を用いて復号化および暗号化を行う情報通信中継装置がある（特許文献１参照）。具体的には、情報通信中継装置は、接続される複数の端末間で暗号通信によりデータがやり取りされる場合に、予め保持している送信元の端末の暗号鍵を用いてやり取りされた暗号通信を復号化する。そして、情報通信中継装置は、復号化された情報を予め保持している送信先の端末の暗号鍵を用いて暗号化し、送信先の端末に対して送信する。
【０００５】
この特許文献１の技術を用いることで、ログの改ざんを防止することもできる。具体的には、情報通信中継装置において復号化された場合に、やり取りされたデータの情報と暗号通信されたネットワークに関するネットワーク情報とを抽出し、抽出された情報をログとして管理する。なお、復号化されたデータは再び暗号化し、送信先の端末に対して送信する。
【０００６】
この上述した技術を用いて、暗号通信されているネットワーク上の通信ログを管理する場合に、各通信装置内に暗号通信の秘密鍵を配備し、配備された秘密鍵を用いて暗号通信を復号し、復号された通信ログを収集および管理することも行われている。
【０００７】
【特許文献１】特開２００１−２３７８２４号公報（第１０−１１頁、第１図）
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、上記した従来の技術は、各通信装置から秘密鍵が漏洩し、暗号通信による通信の秘匿性を保つことができないために、安全かつ確実に通信ログを採取することができないという課題があった。具体的には、ネットワーク内の各通信装置において秘密鍵を配備する場合に、適切に運用管理されていない通信装置から秘密鍵が漏洩し、暗号通信による通信の秘匿性を保つことができないために、安全かつ確実に通信ログを採取することができなかった。
【０００９】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、各通信装置に秘密鍵を配備することなく、安全かつ確実に通信ログを採取することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するため、本発明は、ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置とに接続される通信装置であって、当該通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出するパラメタ抽出手段と、前記パラメタ抽出手段により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知手段と、前記パラメタ通知手段により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得する復号鍵取得手段と、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出手段と、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信手段と、を備えたことを特徴とする。
【００１１】
また、本発明は、上記の発明において、前記パケットデータは、当該パケットデータを一意に識別する識別子を含んだものであって、前記パケットデータが通信装置を通過する場合に、当該パケットデータが当該通信装置を通過した通過順序であるシーケンス番号を付与するシーケンス番号付与手段をさらに備え、前記プロファイル情報抽出手段は、当該パケットデータを一意に識別する識別子を含んだプロファイル情報を抽出し、前記ログ送信手段は、前記プロファイル情報抽出手段により抽出された識別子を含んだプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報と、前記シーケンス番号付与手段により付与されたパケットデータが通信装置を通過した通過順序であるシーケンス番号とを、前記通信ログ装置に送信することを特徴とする。
【００１２】
また、本発明は、上記の発明において、前記パケットデータを送信先の装置に転送するか否かを示す転送可否ルールを保持する転送可否ルール保持手段と、前記転送可否ルール保持手段により保持されている転送可否ルールに基づいて、転送不可であると判定された場合に当該パケットデータを廃棄し、転送可能であると判定された場合に当該パケットデータを転送する転送可否判定手段とをさらに備え、前記ログ送信手段は、前記転送可否判定手段により転送不可であると判定された場合に、前記パケットデータが廃棄されたことを示す情報を含んだネットワーク情報と前記プロファイル情報とを通信ログとして前記通信ログ装置に送信し、前記転送可否判定手段により転送可能であると判定された場合に、前記パケットデータが転送されたことを示す情報を含んだネットワーク情報と前記プロファイル情報とを通信ログとして前記通信ログ装置に送信することを特徴とする。
【００１３】
また、本発明は、上記の発明において、当該通信装置に接続される端末の秘密鍵を保持する秘密鍵保持手段と、前記秘密鍵保持手段により保持された秘密鍵と、前記パラメタ抽出手段により抽出されたパラメタとを用いて、復号鍵を生成する復号鍵生成手段とをさらに備え、前記プロファイル情報抽出手段は、前記復号鍵生成手段により生成された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを、前記通信ログとして前記通信ログ装置に送信することを特徴とする。
【００１４】
また、本発明は、上記の発明において、前記パラメタ通知手段は、前記パラメタ抽出手段により抽出されたパラメタを、パケットデータの送信元である装置に通知し、前記復号鍵取得手段は、前記パラメタ通知手段により通知されたパラメタを用いて、前記パケットデータの送信元である装置によって生成された復号鍵を、前記パケットデータの送信元である装置から取得し、前記プロファイル情報抽出手段は、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信することを特徴とする。
【００１５】
また、本発明は、上記の発明において、前記パラメタ抽出手段は、当該通信装置の特定のポート番号を通過した暗号化されたパケットデータのみを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、前記パラメタ通知手段は、前記パラメタ抽出手段により抽出されたパラメタを当該通信装置の秘密鍵を保有する鍵管理装置に通知し、前記復号鍵取得手段は、前記パラメタ通知手段により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得し、前記プロファイル情報抽出手段は、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータのヘッダを取り除いて復号して、当該ヘッダに付与されたデータ情報からパケットデータ種別を解析し、解析されたパケットデータのプロファイル情報を抽出し、前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信することを特徴とする。
【００１６】
また、本発明は、上記の発明において、前記プロファイル情報抽出手段は、特定のポート番号のデータグラムを終端し、前記復号鍵取得手段により取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出することを特徴とする。
【００１７】
また、本発明は、上記の発明において、ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置とに接続される通信装置に適した通信ログ送信方法であって、当該通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出するパラメタ抽出工程と、前記パラメタ抽出工程により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知工程と、前記パラメタ通知工程により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得する復号鍵取得工程と、前記復号鍵取得工程により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出工程と、前記プロファイル情報抽出工程により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信工程と、を含んだことを特徴とする。
【００１８】
また、本発明は、上記の発明において、ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置と、前記通信ログ装置に対して通信ログを送信する通信装置とから構成される通信システムであって、前記鍵管理装置は、前記通信装置に接続される端末ごとに、当該端末で使用される秘密鍵を記憶する秘密鍵記憶手段と、前記復号鍵を生成するために必要となるパラメタを前記通信装置から受信した場合に、当該通信装置に接続される端末の秘密鍵を前記秘密鍵記憶手段から取得し、取得した秘密鍵と受信されたパラメタとから、前記通信装置において採取されたパケットデータを復号するのに必要となる復号鍵を生成して、前記通信装置に送信する復号鍵生成送信手段とを備え、前記通信装置は、当該通信装置を通過する暗号化されたパケットデータを採取し、当該パケットデータから前記パラメタを抽出するパラメタ抽出手段と、前記パラメタ抽出手段により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知手段と、前記パラメタ通知手段によりパラメタが鍵管理装置に通知されて、前記鍵管理装置から復号鍵を取得する復号鍵取得手段と、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出手段と、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信手段とを備え、前記通信ログ装置は、前記通信装置から通信ログを受信して所定の記憶部に格納する通信ログ格納手段を、備えたことを特徴とする。
【発明の効果】
【００１９】
本発明によれば、通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、抽出されたパラメタを鍵管理装置に通知し、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得し、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信することとしたので、安全かつ確実に暗号通信やネットワーク情報などのログを採取することが可能である。
【発明を実施するための最良の形態】
【００２０】
以下に添付図面を参照して、この発明に係る通信装置、通信装置に適した通信ログ送信方法および通信システムの実施例を詳細に説明する。なお、以下では、本発明に係る通信装置、通信装置に適した通信ログ送信方法および通信システムの概要および特徴、通信装置の構成および処理の流れを順に説明し、最後に本実施例による効果を説明する。
【実施例１】
【００２１】
［概要および特徴］
まず最初に、図１を用いて、実施例１に係る通信装置を含むシステム全体の概要および特徴を説明する。図１は、実施例１に係る通信装置を含むシステム全体の概要および特徴を示す図である。
【００２２】
図１に示すように、この通信装置を含むシステムは、通信装置Ａと通信装置Ｂと鍵管理装置と通信ログ装置とから構成される。また、通信装置Ａは、地点Ａの端末Ｘと接続され、通信装置Ｂは、地点Ｂの端末Ｙと接続される。また、端末Ｘと端末Ｙとは相互に暗号通信可能に接続される。
【００２３】
例えば、地点Ａにおける端末Ｘは、通信装置Ａおよび通信装置Ｂを介して、暗号化された電子ファイルなどのパケットデータを地点Ｂの端末Ｙに送信する前に、ＳＳＬ（Secure Socket Layer）ハンドシェイクを確立して、当該ＳＳＬハンドシェイクにより端末Ｘおよび端末Ｙ間における同一の公開鍵相当を保持する。そして、ＳＳＬハンドシェイクが確立されると、端末Ｘは、通信装置Ａおよび通信装置Ｂを介して、暗号化された電子ファイルなどのパケットデータを地点Ｂの端末Ｙに送信する。また、鍵管理装置は、地点Ａの端末Ｘの「秘密鍵＃Ａ」と地点Ｂの端末Ｙの「秘密鍵＃Ｂ」とを保持しており、それぞれの端末に対応した復号鍵を生成する。また、通信ログ装置は、端末Ｘおよび端末Ｙ間においてやり取りされた通信の通信ログを所定の記憶部に格納して統合管理する。なお、本実施例では、端末Ｘが端末Ｙに対してデータを送信する場合について説明する。
【００２４】
このような構成において、通信装置Ａは、ネットワークを介して通信ログ装置と鍵管理装置と相互に通信を行うことを概要とするものであり、特に、各通信装置に秘密鍵を配備することなく、安全かつ確実に暗号通信やネットワーク情報などのログを採取することが可能である点を主たる特徴とする。
【００２５】
この主たる特徴について説明すると、通信装置Ａは、地点Ａの端末Ｘから地点Ｂの端末Ｙに予め暗号化されている電子ファイルなどのパケットデータが送信される場合に、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（図１の（１）参照）。
【００２６】
具体的に説明すると、地点Ａの端末Ｘから地点Ｂの端末Ｙに対して、予め暗号化されている電子ファイルなどのパケットデータが送信される前に、端末Ｘおよび端末Ｙ間の通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。そして、通信装置Ａは、暗号化されたパケットデータが送信されると、当該暗号化されたパケットデータを採取するとともに、ＳＳＬハンドシェイクでやり取りされる平文の「Client Random」パラメタと、「Server Random」パラメタと、端末Ｘの公開鍵で暗号化された「PreMasterSecret」パラメタとを抽出する。
【００２７】
続いて、通信装置Ａは、抽出されたパラメタを鍵管理装置に通知する（図１の（２）参照）。上記した例で具体的に説明すると、通信装置Ａは、抽出された平文の「Client Random」パラメタと、「Server Random」パラメタと、端末Ｘの公開鍵で暗号化された「PreMasterSecret」パラメタとを、地点Ａの端末Ｘの「秘密鍵＃Ａ」を保有している鍵管理装置に通知する。
【００２８】
そして、通信装置Ａよりパラメタを通知された鍵管理装置は、通知されたパラメタと「秘密鍵＃Ａ」とを用いて復号鍵を生成する（図１の（３）参照）。上記した例で具体的に説明すると、鍵管理装置は、通知された「PreMasterSecret」パラメタを、保持している端末Ｘの「秘密鍵＃Ａ」を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って「復号鍵＃ＡＡ」を生成する。
【００２９】
続いて、通信装置Ａは、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得する（図１の（４）参照）。具体的に説明すると、通信装置Ａは、ＳＳＬやＩＰＳｅｃ（Security Architecture for Internet Protocol）などの暗号通信を用いて、鍵管理装置から生成された「復号鍵＃ＡＡ」を受け取る。なお、当該「復号鍵＃ＡＡ」は、通信装置Ａと鍵管理装置とのセッション中のみ有効な鍵であり、当該セッションが切れると無効な鍵となる。
【００３０】
その後、通信装置Ａは、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出する（図１の（５）参照）。具体的に説明すると、通信装置Ａは、鍵管理装置から受け取った復号鍵を用いて、採取されたパケットデータを復号して解析し、「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出する。
【００３１】
そして、通信装置Ａは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを、通信ログとして通信ログ装置に送信し、通信ログ装置は、送信された通信ログを所定の記憶部に格納する（図１の（６）と（７）参照）。
【００３２】
具体的に説明すると、通信装置Ａは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した際に採取された当該「パケットデータの送信元、送信先および通信装置Ａを通過した通過時刻」などのネットワーク情報とを、通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報およびネットワーク情報を、通信ログとして所定の記憶部に格納する。なお、通信装置Ｂにおいても通信装置Ａと同様の処理が行われ、通信装置Ｂは、採取されたプロファイル情報とネットワーク情報とを、通信ログとして通信ログ装置に送信する。
【００３３】
このように、実施例１に係る通信装置は、ネットワークを介して暗号通信がなされる場合に、暗号化されたパケットデータから抽出されたパラメタから生成された復号鍵を用いて、当該パケットデータを復号して解析し、プロファイル情報とネットワーク情報とを通信ログとして通信ログ装置に送信することができる結果、上記した主たる特徴のごとく、各通信装置に秘密鍵を配備することなく、安全かつ確実に暗号通信やネットワーク情報などのログを採取することが可能である。
【００３４】
［通信装置の構成］
次に、図２を用いて、図１に示した通信装置Ａの構成を示すブロック図を説明する。図２は、実施例１に係るシステムにおける通信装置Ａの構成を示すブロック図である。また、通信装置Ａと通信装置Ｂとは、同様の構成を有するので、ここでは、通信装置Ａについて説明する。図１に示すように、通信装置Ａ１０は、入力部１１、出力部１２、Ｉ／Ｆ部１３、記憶部１４および制御部１５から構成される。なお、以下の実施例１では、通信装置Ａ１０を介して、端末Ｘが端末Ｙに対してデータを送信する場合を説明することとする。
【００３５】
入力部１１および出力部１２は、外部からパラメタ設定および参照が可能なインタフェースである。例えば、ＴＥＬＮＥＴやＳＳＨ（Secure SHell）などのプロトコルを用いてリモートターミナルからＣＬＩを用いてパラメタの設定や設定値などの参照を行う。また、例えば、通信装置Ａが簡易的なＷｅｂサーバ機能を実装している場合に、Ｗｅｂブラウザを用いてパラメタ設定および参照が可能である。
【００３６】
Ｉ／Ｆ部１３は、ネットワークに接続されており、当該ネットワークを介して取得される各種情報に関する通信を制御する。例えば、Ｉ／Ｆ部１３は、通信装置Ａ１０を介してやり取りされるパケットデータを送受信したり、採取された通信ログを通信ログ装置に送信したりする。
【００３７】
記憶部１４は、制御部１５による各種処理に必要なデータや、制御部１５による各種処理結果を記憶し、特に本発明に密接に関連するものとしては、スヌープデータ記憶部１４ａおよびログ記憶部１４ｂを備える。
【００３８】
スヌープデータ記憶部１４ａは、後述する制御部１５により採取されたパケットデータを記憶する。ログ記憶部１４ｂは、後述する制御部１５により採取された通信ログを記憶する。なお、パケットデータおよび通信ログの記憶に関しては、一時的に記憶しておいて定期的に削除するようにしてもよい。
【００３９】
制御部１５は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、特に本発明に密接に関連するものとしては、スヌープ処理部１５ａ、パラメタ抽出部１５ｂ、パラメタ通知部１５ｃ、復号鍵取得部１５ｄ、データ復号部１５ｅ、プロファイル情報抽出部１５ｆおよびログ送信部１５ｇを備え、これらによって種々の処理を実行する。
【００４０】
スヌープ処理部１５ａは、通信装置を通過する暗号化されたパケットデータを採取する。具体的に例を挙げると、通信装置Ａと通信装置Ｂとの間で電子ファイルなどのパケットデータがやり取りされる前に、通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。そして、スヌープ処理部１５ａは、通信装置Ａ１０を介して予め暗号化された電子ファイルなどのパケットデータがやり取りされると、Ｉ／Ｆ部１３に入力された当該パケットデータを採取し、採取されたパケットデータをスヌープデータ記憶部１４ａに格納する。
【００４１】
パラメタ抽出部１５ｂは、スヌープ処理部１５ａにより採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する。具体的に例を挙げると、パラメタ抽出部１５ｂは、スヌープ処理部１５ａにより採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となる、ＳＳＬハンドシェイクにおいてやり取りされる平文の「Client Random」パラメタと、「Server Random」パラメタと、暗号化された「PreMasterSecret」パラメタとを抽出する。そして、パラメタ抽出部１５ｂは、後述するパラメタ通知部１５ｃに抽出したパラメタを通知する。なお、スヌープ処理部１５ａおよびパラメタ抽出部１５ｂは、特許請求の範囲に記載の「パラメタ抽出手段」に対応する。
【００４２】
パラメタ通知部１５ｃは、パラメタ抽出部１５ｂにより抽出されたパラメタを鍵管理装置に通知する。具体的に例を挙げると、パラメタ通知部１５ｃは、パラメタ抽出部１５ｂにより抽出されたパラメタである平文の「Client Random」パラメタと、「Server Random」パラメタと、暗号化された「PreMasterSecret」パラメタとが通知されると、これらの通知されたパラメタを、暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成する鍵管理装置に通知する。なお、鍵管理装置は、通知されたパラメタと、予め保持している「秘密鍵＃Ａ」とを用いて「復号鍵＃ＡＡ」を生成して通信装置Ａに送信する。なお、パラメタ通知部１５ｃは、特許請求の範囲に記載の「パラメタ通知手段」に対応する。
【００４３】
復号鍵取得部１５ｄは、パラメタ通知部１５ｃにより通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得する。具体的に例を挙げると、復号鍵取得部１５ｄは、鍵管理装置により生成された「復号鍵＃ＡＡ」を取得して、取得された「復号鍵＃ＡＡ」を後述するデータ復号部１５ｅに送信する。なお、復号鍵取得部１５ｄは、特許請求の範囲に記載の「復号鍵取得手段」に対応する。
【００４４】
データ復号部１５ｅは、復号鍵取得部１５ｄにより取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号する。具体的に例を挙げると、データ復号部１５ｅは、復号鍵取得部１５ｄから「復号鍵＃ＡＡ」が送信されると、送信された「復号鍵＃ＡＡ」を用いて、スヌープデータ記憶部１４ａに記憶されている暗号化されたパケットデータを復号する。そして、データ復号部１５ｅは、暗号化されたパケットデータを復号すると、後述するプロファイル情報抽出部１５ｆに対して、暗号化されたパケットデータを復号したことを通知する。
【００４５】
プロファイル情報抽出部１５ｆは、データ復号部１５ｅにより復号されたパケットデータを解析し、解析されたパケットデータのプロファイル情報を抽出する。具体的に例を挙げると、プロファイル情報抽出部１５ｆは、データ復号部１５ｅにより暗号化されたパケットデータの復号が行われた旨が通知された場合に、データ復号部１５ｅにより復号されたパケットデータを解析し、解析された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出し、抽出されたプロファイル情報を通信ログとしてログ記憶部１４ｂに格納する。なお、データ復号部１５ｅおよびプロファイル情報抽出部１５ｆは、特許請求の範囲に記載の「プロファイル情報抽出手段」に対応する。
【００４６】
ログ送信部１５ｇは、プロファイル情報抽出部１５ｆにより抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。具体的に例を挙げると、ログ送信部１５ｇは、プロファイル情報抽出部１５ｆによってログ記憶部１４ｂに格納された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａ１０を通過した際に取得された「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。なお、ログ送信部１５ｇは、特許請求の範囲に記載の「ログ送信手段」に対応する。
【００４７】
例えば、通信装置Ａ１０は、通信装置ＢにＨＴＴＰプロトコルにより電子ファイルを送信する場合には、図３に示すようなデータフォーマットで送信する。図３によると、プロファイル情報は、ＨＴＴＰプロトコルのＨＴＴＰヘッダ領域に格納されている。また、例えば、通信装置Ａ１０は、通信装置ＢにＨＴＴＰ／ＦＴＰプロトコルにより電子ファイルを送信する場合には、図４に示すようなデータフォーマットで送信する。図４によると、プロファイル情報は、電子ファイルデータと一体化されている。また、例えば、通信装置Ａ１０は、通信ログ装置に通信ログを送信する場合には、図５に示すようなデータフォーマットで送信する。このように、通信装置Ａは、ＨＴＴＰやＦＴＰなど通信方法が異なる場合においても、必要なデータを送信することができる。なお、図３は、実施例１に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰプロトコルによるデータフォーマットの一例を示す図であり、図４は、実施例１に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰ／ＦＴＰプロトコルによるデータフォーマットの一例を示す図であり、図５は、実施例１に係る通信装置から通信ログ装置に送信される通信ログのデータフォーマットの一例を示す図である。
【００４８】
また、通信ログ装置は、図６に示すようなプロファイル情報とネットワーク情報とを受信すると、受信されたプロファイル情報とネットワーク情報とを、通信装置Ａ１０をパケットデータが通過した通過時刻順にログ管理テーブルなどの所定の記憶部に格納する。なお、図６は、実施例１に係る通信装置を含むシステムにおける通信ログ装置のログ管理テーブルの一例を示す図である。
【００４９】
［通信装置による通信ログ送信処理］
次に、図７を用いて、図２に示した通信装置Ａ１０による通信ログ送信処理を示すフローチャートを説明する。図７は、実施例１に係るシステムにおける通信装置Ａ１０による通信ログ送信処理を示すフローチャートである。
【００５０】
図７に示すように、通信装置Ａ１０を介して予め暗号化された電子ファイルなどのパケットデータがやり取りされる場合に、通信装置Ａ１０を通過する新たなＳＳＬハンドシェイクが確立されると（ステップＳ７０１肯定）、通信装置Ａ１０は、通過する暗号化されたパケットデータを採取する（ステップＳ７０２）。
【００５１】
具体的には、地点Ａの端末Ｘから地点Ｂの端末Ｙに対して、予め暗号化されている電子ファイルなどのパケットデータがやり取りされる前に、端末Ｘおよび端末Ｙ間の通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。そして、通信装置Ａ１０のスヌープ処理部１５ａは、当該通信装置Ａ１０を通過する暗号化された電子ファイルなどのパケットデータを採取し、採取された暗号化されたパケットデータをスヌープデータ記憶部１４ａに格納する。
【００５２】
続いて、通信装置Ａ１０のパラメタ抽出部１５ｂは、スヌープ処理部１５ａにより採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（ステップＳ７０３）。
【００５３】
具体的には、通信装置Ａ１０のパラメタ抽出部１５ｂは、スヌープ処理部１５ａにより採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となる、ＳＳＬハンドシェイクにおいてやり取りされる平文の「Client Random」パラメタと、「Server Random」パラメタと、暗号化された「PreMasterSecret」パラメタとを抽出する。そして、通信装置Ａ１０のパラメタ抽出部１５ｂは、パラメタ通知部１５ｃに対して、抽出したパラメタを通知する。
【００５４】
その後、通信装置Ａ１０のパラメタ通知部１５ｃは、パラメタ抽出部１５ｂにより抽出されたパラメタを鍵管理装置に通知する（ステップＳ７０４）。具体的には、通信装置Ａ１０のパラメタ通知部１５ｃは、パラメタ抽出部１５ｂによりパラメタが通知されると、平文の「Client Random」パラメタと、「Server Random」パラメタと、暗号化された「PreMasterSecret」パラメタとを鍵管理装置に通知する。なお、鍵管理装置は、パラメタ通知部１５ｃにより通知されたパラメタと、予め保持している秘密鍵とを用いて、採取されたパケットデータを復号する場合に用いられる「復号鍵＃ＡＡ」を生成して、復号鍵取得部１５ｄに対して生成された「復号鍵＃ＡＡ」を送信する。
【００５５】
そして、通信装置Ａ１０の復号鍵取得部１５ｄは、パラメタ通知部１５ｃにより通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得する（ステップＳ７０５肯定）。具体的には、通信装置Ａ１０の復号鍵取得部１５ｄは、パラメタ通知部１５ｃにより通知されたパラメタと秘密鍵とを用いて鍵管理装置により生成された「復号鍵＃ＡＡ」を鍵管理装置から取得し、取得された「復号鍵＃ＡＡ」をデータ復号部１５ｅに送信する。
【００５６】
続いて、通信装置Ａ１０のデータ復号部１５ｅは、復号鍵取得部１５ｄにより取得された復号鍵を用いて、採取されたパケットデータを復号する（ステップＳ７０６）。具体的には、通信装置Ａ１０のデータ復号部１５ｅは、復号鍵取得部１５ｄにより取得された復号鍵を用いて、スヌープデータ記憶部１４ａに記憶されている暗号化されたパケットデータを復号する。そして、通信装置Ａ１０のデータ復号部１５ｅは、プロファイル情報抽出部１５ｆに対して暗号化されたパケットデータを復号したことを通知する。
【００５７】
そして、通信装置Ａ１０のプロファイル情報抽出部１５ｆは、復号されたパケットデータを解析し、解析されたパケットデータのプロファイル情報を抽出し（ステップＳ７０７）、抽出されたプロファイル情報をログ記憶部１４ｂに格納する（ステップＳ７０８）。
【００５８】
具体的には、通信装置Ａ１０のプロファイル情報抽出部１５ｆは、データ復号部１５ｅにより復号されたパケットデータを解析し、解析された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出し、抽出されたプロファイル情報を通信ログとしてログ記憶部１４ｂに格納する。
【００５９】
さらに、通信装置Ａ１０のログ送信部１５ｇは、ログ記憶部１４ｂに記憶されているプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する（ステップＳ７０９）。
【００６０】
具体的には、通信装置Ａ１０のログ送信部１５ｇは、ログ記憶部１４ｂに記憶されている「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａ１０を通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。なお、通信ログ装置は、通信装置Ａ１０のログ送信部１５ｇにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納する。
【００６１】
［通信装置を含むシステム間における通信ログ送信処理シーケンス］
次に、図８を用いて、図１に示した端末Ｘ、通信装置Ａ、通信装置Ｂ、端末Ｙ、鍵管理装置および通信ログ装置間における通信ログ送信処理を示す制御シーケンスを説明する。図８は、実施例１に係る通信装置を含むシステム全体における通信ログ送信処理の制御シーケンスを示す図である。
【００６２】
図８に示すように、端末Ｘから端末Ｙに対して、予め暗号化されている電子ファイルなどのパケットデータが送信される前に、端末Ｘおよび端末Ｙ間の通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。
【００６３】
具体的に例を挙げて説明すると、このＳＳＬハンドシェイクにより端末Ｙから端末Ｘに対して、端末ＹのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＸがＳＳＬを利用して端末Ｙと通信するために必要な制御情報とともに、平文の「Client Random」パラメタが送信される（図８の（１）参照）。そして、端末Ｘから端末Ｙに対して、端末ＸのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＹがＳＳＬを利用して端末Ｘと通信するために必要な制御情報とともに、平文の「Server Random」パラメタが送信される（図８の（２）参照）。さらに、端末Ｙは、ＳＳＬハンドシェイクにおいて生成された全てのデータを用いて、セッションの「PreMasterSecret」を作成し、端末Ｘから送信された情報から取得した端末Ｘの公開鍵で暗号化して、暗号化された「PreMasterSecret」を端末Ｘに送信する（図８の（３）参照）。
【００６４】
続いて、通信装置Ａおよび通信装置Ｂは、ＳＳＬハンドシェイクの確立を認識すると、端末Ｘから端末Ｙに対して予め暗号化されている電子ファイルなどのパケットデータが送信されると、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（ステップＳ８０１とステップＳ８０２）。
【００６５】
具体的には、通信装置Ａおよび通信装置Ｂは、端末Ｘおよび端末Ｙ間においてＳＳＬハンドシェイクの確立を認識すると、当該通信装置Ａおよび通信装置Ｂを通過する暗号化されたパケットデータを採取して、採取されたパケットデータを所定の記憶部に格納する。そして、通信装置Ａおよび通信装置Ｂは、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となる「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを抽出する。
【００６６】
その後、通信装置Ａは、抽出されたパラメタを鍵管理装置に通知する（ステップＳ８０３）。具体的には、通信装置Ａは、抽出された「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを鍵管理装置に通知する。
【００６７】
そして、鍵管理装置は、通知されたパラメタと、予め保持している秘密鍵とを用いて復号鍵を生成して通信装置Ａに送信する（ステップＳ８０４）。具体的には、鍵管理装置は、通信装置Ａにより通知された「PreMasterSecret」パラメタを、予め保持している端末Ｘのサーバ秘密鍵を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って復号鍵を生成し、生成された復号鍵を通信装置Ａに対して送信する。
【００６８】
続いて、通信装置Ａは、取得された復号鍵を用いて、採取されたパケットデータを復号し（ステップＳ８０５）、復号して解析されたパケットデータのプロファイル情報を抽出する（ステップＳ８０６）。
【００６９】
具体的には、通信装置Ａは、取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号して解析し、解析された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出し、抽出されたプロファイル情報を通信ログとして所定の記憶部に格納する。
【００７０】
ここで、通信装置Ｂおよび鍵管理装置においても上述した通信装置Ａおよび鍵管理装置と同様の処理が行われることとなる（ステップＳ８０７〜ステップＳ８１０）。
【００７１】
そして、通信装置Ａは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する（ステップＳ８１１）。
【００７２】
具体的には、通信装置Ａは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。
【００７３】
さらに、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納する（ステップＳ８１２）。具体的には、通信ログ装置は、通信装置Ａにより送信された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして、通過時刻順に所定の記憶部に格納する。
【００７４】
ここで、通信装置Ｂおよび通信ログ装置においても上述した通信装置Ａおよび通信ログ装置と同様の処理が行われることとなる（ステップＳ８１３〜ステップＳ８１４）。
【００７５】
［実施例１の効果］
このようにして、実施例１によれば、通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、抽出されたパラメタを鍵管理装置に通知し、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得し、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信するので、安全かつ確実に暗号通信やネットワーク情報などのログを採取することが可能である。
【００７６】
例えば、通信装置Ａと通信装置Ｂとがネットワークを介して接続され、通信装置Ａに接続される端末から暗号化されたパケットデータが送信される場合に、通信装置Ａは、暗号化されたパケットデータからパラメタを抽出して鍵管理装置に通知する。続いて、鍵管理装置は、通信装置Ａにより通知されたパラメタから復号鍵を生成して通信装置Ａに送信する。そして、通信装置Ａは、鍵管理装置により送信された復号鍵を用いて、暗号化されたパケットデータを復号および解析してプロファイル情報を抽出し、抽出されたプロファイル情報と、ネットワークに関するネットワーク情報とを通信ログ装置に送信する。
【実施例２】
【００７７】
ところで、実施例１では、ネットワークを介した暗号通信の通信ログを通信ログ装置に送信する場合に、「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を送信する場合を説明したが、本発明はこれに限定されるものではなく、「パケットデータの名前、重要度、種別および利用者情報」と、さらに、当該「パケットデータの識別子」と「シーケンス番号」とを送信することもできる。
【００７８】
そこで、以下の実施例２では、「パケットデータを一意に識別する識別子」を含んだプロファイル情報と、パケットデータが通信装置を通過した通過順序である「シーケンス番号」とを通信ログとして通信ログ装置に送信する場合について説明する。図９は、実施例２に係る通信装置を含むシステムの全体構成を示す図である。
【００７９】
［通信装置による識別子およびシーケンス番号付与処理］
図９に示すように、この通信装置を含むシステムは、実施例１と同様、通信装置Ａと通信装置Ｂと鍵管理装置と通信ログ装置とから構成される。また、通信装置Ａは、地点Ａの端末Ｘと接続され、通信装置Ｂは、地点Ｂの端末Ｙと接続される。また、端末Ｘと端末Ｙとは相互に暗号通信可能に接続される。
【００８０】
ここで、実施例１と異なる点は、地点Ａの端末Ｘから地点Ｂの端末Ｙに対して送信する電子ファイルなどのパケットデータに、当該「パケットデータを一意に識別する識別子」が予め付与されている点と、地点Ａの端末Ｘから地点Ｂの端末Ｙに対してパケットデータが送信される場合に、通過する通信装置Ａおよび通信装置Ｂにおいて、パケットデータが通信装置を通過した通過順序を示す「シーケンス番号」を付与する点である。
【００８１】
ここで、識別子が付与されているパケットデータを受信し、シーケンス番号を付与する処理の流れについて具体的に説明する。このシステムは、実施例１と同様、通信装置Ａは、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、抽出されたパラメタを鍵管理装置に通知し、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を鍵管理装置から取得する（図９の（１）〜（４）参照）。
【００８２】
その後、通信装置Ａは、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析された「パケットデータを一意に識別する識別子」を含んだプロファイル情報を抽出するとともに、「シーケンス番号」を付与する（図９の（５）参照）。具体的に説明すると、通信装置Ａは、鍵管理装置から受け取った復号鍵を用いて、採取されたパケットデータを復号して解析し、「パケットデータの名前、重要度、種別、利用者情報および当該パケットデータを一意に識別する識別子」（例えば、識別子ＩＤ：「００００ＡＢＣ」）などを含んだプロファイル情報を抽出するとともに、「シーケンス番号」を付与する（例えば、シーケンス番号ＳＮ：「０」）。なお、本実施例では、端末Ｘにおいて「識別子」が付与されたパケットデータを通信装置Ａにおいて受信した場合について説明したが、通信装置Ａにおいて受信された際に「識別子」が付与されていない場合は、通信装置Ａは、「識別子」および「シーケンス番号」を付与することとなる。
【００８３】
そして、通信装置Ａは、抽出された「識別子」を含んだプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報と、付与された「シーケンス番号」とを通信ログとして通信ログ装置に送信し、通信ログ装置は、送信された通信ログを所定の記憶部に格納する（図９の（６）と（７）参照）。
【００８４】
具体的に説明すると、通信装置Ａは、抽出された識別子を含んだプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した「通過時刻」などのネットワーク情報と、付与された「シーケンス番号」とを通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報、ネットワーク情報およびシーケンス番号を、通信ログとして所定の記憶部に格納する。一方、通信装置Ｂにおいても通信装置Ａと同様の処理が行われ、通信装置Ｂは、通信装置Ａにおいて付与された「シーケンス番号」のインクリメントを行い、採取されたプロファイル情報と、ネットワーク情報と、インクリメントされた「シーケンス番号」とを通信ログとして通信ログ装置に送信する。
【００８５】
例えば、通信装置Ａは、通信装置ＢにＨＴＴＰプロトコルによる電子ファイルを送信する場合には、図１０に示すようなデータフォーマットで送信する。図１０によると、プロファイル情報は、ＨＴＴＰプロトコルのＨＴＴＰヘッダ領域に格納されている。また、例えば、通信装置Ａは、通信装置ＢにＨＴＴＰ／ＦＴＰプロトコルにより電子ファイルを送信する場合には、図１１に示すようなデータフォーマットで送信する。図１１によると、プロファイル情報は、電子ファイルデータと一体化されている。また、例えば、通信装置Ａは、通信ログ装置に通信ログを送信する場合には、図１２に示すようなデータフォーマットで送信する。図１２によると、通信ログのデータフォーマットには、識別子「ＩＤ：００００ＡＢＣ」やシーケンス番号「ＳＮ：０」などが含まれる。このように、通信装置Ａは、ＨＴＴＰやＦＴＰなど通信方法が異なる場合においても、必要なデータを送信することができる。なお、図１０は、実施例２に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰプロトコルによるデータフォーマットの一例を示す図であり、図１１は、実施例２に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰ／ＦＴＰプロトコルによるデータフォーマットの一例を示す図であり、図１２は、実施例２に係る通信装置から通信ログ装置に送信される通信ログのデータフォーマットの一例を示す図である。
【００８６】
また、通信ログ装置は、図１３に示すようなプロファイル情報とネットワーク情報と「シーケンス番号」とを受信すると、受信されたプロファイル情報とネットワーク情報と「シーケンス番号」とを、当該プロファイル情報に含まれる「パケットデータを一意に識別する識別子」ごとにまとめて、「シーケンス番号」順にログ管理テーブルなどの所定の記憶部に格納する。なお、図１３は、実施例２に係る通信装置を含むシステムにおける通信ログ装置のログ管理テーブルの一例を示す図である。
【００８７】
［実施例２の効果］
実施例２に係る通信装置は、パケットデータが通信装置を通過する場合に、当該パケットデータが当該通信装置を通過した通過順序であるシーケンス番号を付与し、当該パケットデータを一意に識別する識別子を含んだプロファイル情報を抽出し、抽出された識別子を含んだプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報と、付与されたパケットデータが通信装置を通過した通過順序であるシーケンス番号とを、通信ログ装置に送信する。この結果、通信ログ装置は、通信ログを「時刻情報」ごとに管理していたが、「パケットデータを一意に識別する識別子」を用いることによって、同じ識別子を有する通信ログが複数ある場合に、複数の通信ログを対応付けてひとまとまりの通信ログとして管理することが可能である。さらに、各通信装置の時刻が正確でない場合でも、「シーケンス番号」を用いることによって、通信ログの時系列を判断することが可能である。また、パケットデータを送信する送信元の端末において、当該「パケットデータを一意に識別する識別子」を付与するなどの機能を不要にすることが可能である。
【００８８】
また、通信装置は、暗号化されたパケットデータから抽出されたパラメタから生成された復号鍵を用いて、当該パケットデータを復号して解析し、パケットデータを一意に識別する識別子を含んだ「プロファイル情報」と、「ネットワーク情報」と、「シーケンス番号」とを通信ログとして通信ログ装置に送信する。
【実施例３】
【００８９】
ところで、上記実施例１および２では、各端末間においてパケットデータが送信される場合に、各通信装置に入力されたパケットデータが全て送信先の端末に送信される場合を説明したが、本発明はこれに限定されるものではなく、ネットワークを介して暗号化されたパケットデータが通信装置に入力される場合に、入力されたパケットデータを転送可否ルールに基づいて転送可否判定を行うこともできる。
【００９０】
そこで、以下の実施例３では、パケットデータの転送可否ルールに基づいて転送可否判定を行う場合について説明する。図１４は、実施例３に係る通信装置を含むシステムの全体構成を示す図である。
【００９１】
［実施例３に係るシステムの全体構成］
図１４に示すように、この通信装置を含むシステムは、実施例１および２と同様、通信装置Ａと通信装置Ｂと鍵管理装置と通信ログ装置とから構成される。また、通信装置Ａは、地点Ａの端末Ｘと接続され、通信装置Ｂは、地点Ｂの端末Ｙと接続される。また、端末Ｘと端末Ｙとは相互に通信可能に接続される。
【００９２】
ここで、実施例１および２と異なる点は、通信装置Ａは、パケットデータの種別が「karte」および重要度「２」以下であれば、パケットデータ転送を許可するなどの転送可否ルールを保持している点である。なお、通信装置Ａは、入力されたパケットデータの転送可否を判定するため、一旦、通信の終端処理を行う。
【００９３】
このような構成において、実施例１と同様、通信装置Ａは、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、抽出されたパラメタを鍵管理装置に通知し、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を鍵管理装置から取得する（図１４の（１）〜（４）参照）。
【００９４】
その後、通信装置Ａは、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出して、抽出されたプロファイル情報と保持されている通過ルールとに基づいて、転送不可であると判定された場合に当該パケットデータを廃棄し、転送可能であると判定された場合に当該パケットデータを転送する（図１４の（５）参照）。
【００９５】
具体的に説明すると、通信装置Ａは、鍵管理装置から受け取った「復号鍵＃ＡＡ」を用いて、採取されたパケットデータを復号して解析し、「パケットデータの名前、重要度、種別および利用者情報」などを含んだプロファイル情報を抽出する。そして、通信装置Ａは、抽出されたプロファイル情報の「重要度および種別」と保持されている通過ルールとに基づいて、転送不可であると判定された場合にパケットデータを廃棄し、転送可能であると判定された場合にパケットデータを転送する。
【００９６】
例えば、通信装置Ａは、種別が「karte」および重要度が「４」のパケットデータを採取した場合に、当該パケットデータの転送可否を転送不可と判定してパケットデータを廃棄する。また、通信装置Ａは、種別が「karte」および重要度「２」のパケットデータを採取した場合に、当該パケットデータの転送可否を転送可能と判定してパケットデータを転送する。
【００９７】
そして、通信装置Ａは、抽出されたプロファイル情報と、転送不可であると判定された場合にパケットデータが廃棄されたことを示す情報を含んだネットワーク情報と、または、転送可能であると判定された場合にパケットデータが転送されたことを示す情報を含んだネットワーク情報とを、通信ログとして通信ログ装置に送信し、通信ログ装置は、送信された通信ログを所定の記憶部に格納する（図１４の（６）と（７）参照）。
【００９８】
上記した例で具体的に説明すると、通信装置Ａは、パケットデータの転送可否を転送不可と判定した場合に、当該パケットデータを廃棄し、プロファイル情報およびパケットデータが廃棄されたことを示す情報「state：scrap」を含んだネットワーク情報を通信ログ装置に送信する。また、通信装置Ａは、パケットデータの転送可否を転送可能と判定した場合に、当該パケットデータを転送し、プロファイル情報およびパケットデータが転送されたことを示す情報「state：pass」を含んだネットワーク情報を通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報およびネットワーク情報を、通信ログとして所定の記憶部に格納する。なお、地点Ｂの端末Ｙから地点Ａの端末Ｘにパケットデータが送信される場合も、通信装置Ｂにおいて通信装置Ａと同様の処理が行われる。
【００９９】
［通信装置による転送可否判定処理における終端処理］
ここで、実施例３では、パケット転送の可否を判定するために、入力されたパケットデータを一度受信している。そのため、端末間では、パケット転送の終端処理が実施される。そこで、図１５を用いて、転送可否判定処理における終端処理について説明する。図１５は、実施例３に係る通信装置を含むシステムにおける転送可否判定処理における終端処理の制御シーケンスを示す図である。
【０１００】
図１５に示すように、通信装置Ａおよび通信装置Ｂは、特定のポート番号の通信を発見すると、通信装置Ａまたは通信装置Ｂが端末Ｘに代わってＴＣＰ通信の終端処理を行う。例えば、地点Ａの端末Ｘは、端末Ｙに対して電子ファイルなどのパケットデータを送信すると、通信装置ＡがＴＣＰ通信を終端し、その応答である「ＴＣＰ−ＡＣＫ」を端末Ｘに対して送信する。そして、通信装置Ａは、パケットデータの解析、復号およびログ記憶などが完了すると、当該パケットデータを受信したときの送信元である端末ＸのＩＰ／Ｐｏｒｔ番号とともに送信することによって、送信先である端末Ｙからは各通信装置が透過になるため、端末Ｘおよび端末Ｙ間における通信断の影響を回避することが可能である。なお、各通信装置において通信の応答処理を行わずに通信装置において端末間の通信プロトコルを終端すると、送信先の端末において通信が切断されることになってしまう。
【０１０１】
また、通信装置においてプロトコルを終端し、パケットデータを再構築すると、当該パケットデータのデータ容量により通信装置が備えるバッファメモリが不足することが考えられる。この問題を解消するために、通信装置は、パケットデータ全ての受信が完了されていなくても、転送可否の判定がなされた時点で、当該パケットデータの転送を開始する。この結果、大容量のパケットデータが送信される場合に、通信装置が備えるバッファメモリが不足してバッファ溢れを回避することが可能である。また、通信装置は、当該通信装置が備えるバッファメモリが溢れそうになった場合に、端末などに応答するＴＣＰウィンドウサイズを小さくする。この結果、通信装置は、送信元の端末から送信されるパケットデータ容量を制御して、当該通信装置のバッファ溢れを事前に回避することが可能である。
【０１０２】
［通信装置による転送可否判定処理の流れ］
次に、図１６を用いて、図１４に示した通信装置による転送可否判定処理を示すフローチャートを説明する。図１６は、実施例３に係るシステムにおける通信装置による転送可否判定処理を示すフローチャートである。なお、図１６に示すステップＳ１６０１〜ステップＳ１６０７については、図７のステップＳ７０１〜ステップＳ７０７と同様の処理となるので、具体的な説明を割愛する。
【０１０３】
図１６に示すように、通信装置を介して予め暗号化された電子ファイルなどのパケットデータがやり取りされる場合に、通信装置は、当該通信装置を通過する新たなＳＳＬハンドシェイクの確立を認識したならば（ステップＳ１６０１肯定）、通過する暗号化されたパケットデータを採取する（ステップＳ１６０２）。
【０１０４】
続いて、通信装置は、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（ステップＳ１６０３）。その後、通信装置は、抽出されたパラメタを鍵管理装置に通知する（ステップＳ１６０４）。
【０１０５】
そして、通信装置は、通知されたパラメタを用いて、鍵管理装置によって生成された復号鍵を、鍵管理装置から取得する（ステップＳ１６０５肯定）。続いて、通信装置は、取得された復号鍵を用いて、採取されたパケットデータを復号する（ステップＳ１６０６）。そして、通信装置は、復号されたパケットデータを解析し、解析されたパケットデータのプロファイル情報を抽出する（ステップＳ１６０７）。
【０１０６】
その後、通信装置は、抽出されたプロファイル情報の有無により、当該パケットデータが転送可否の制御対象であるか否かを判定し（ステップＳ１６０８）、パケットデータが転送可否の制御対象である場合に（ステップＳ１６０８肯定）、転送可否ルールがあるか否かの判定を行う（ステップＳ１６０９）。
【０１０７】
具体的には、通信装置は、抽出されたプロファイル情報がある場合に、転送可否ルールがあるか否かの判定を行う。ここで、通信装置は、ステップＳ１６０８において、パケットデータが転送可否の制御対象でない場合に（ステップＳ１６０８否定）、当該パケットデータを送信先の端末に転送することとなる（ステップＳ１６２９）。なお、図１６のステップＳ１６３０およびステップＳ１６３１は、図７に示したステップＳ７０８およびステップＳ７０９と同様の処理となるので説明を割愛する。
【０１０８】
続いて、通信装置は、転送可否ルールがある場合に（ステップＳ１６０９肯定）、転送可否ルールの有効期限が切れているか否かの判定を行い（ステップＳ１６１０）、転送可否ルールの有効期限が切れていないと判定された場合に（ステップＳ１６１０否定）、転送可否ルールと一致するか否かの判定を行う（ステップＳ１６１１）。
【０１０９】
具体的には、通信装置は、所定の記憶部に記憶されている転送可否ルールがある場合に、当該転送可否ルールの有効期限が切れているか否かの判定を行い、転送可否ルールの有効期限が有効であると判定された場合に、抽出されたプロファイル情報に含まれる「重要度」や「種別」などを用いて、転送可否ルールと一致するか否かの判定を行う。
【０１１０】
そして、通信装置は、抽出されたプロファイル情報を用いて転送可否ルールと一致した場合に（ステップＳ１６１１肯定）、パケットデータを廃棄するか否かの判定を行い（ステップＳ１６１２）、パケットデータを廃棄すると判定された場合に（ステップＳ１６１２肯定）、当該パケットデータを廃棄する（ステップＳ１６１３）。また、通信装置は、ステップＳ１６１２において、パケットデータを廃棄しないと判定された場合に（ステップＳ１６１２否定）、当該パケットデータを転送する（ステップＳ１６１６）。
【０１１１】
具体的には、通信装置は、抽出されたプロファイル情報に含まれる「重要度」や「種別」が転送可否ルールの条件と一致した場合に、パケットデータを廃棄するか否かの判定を行い、パケットデータを廃棄すると判定された場合に、当該パケットデータの廃棄を行う。また、通信装置は、パケットデータを廃棄しないと判定された場合に、当該パケットデータを送信先の端末に転送することとなる。ここで、図１６のステップＳ１６１４〜ステップＳ１６１５およびステップＳ１６１７〜ステップＳ１６１８は、図７に示したステップＳ７０８およびステップＳ７０９と同様の処理となるので説明を割愛する。
【０１１２】
一方、通信装置は、転送可否ルールが有効期限切れである場合（ステップＳ１６１０肯定）、または、転送可否ルールと一致しなかった場合（ステップＳ１６１１否定）に、所定の記憶部に記憶されている次の転送可否ルールがあるか否かの判定を行う（ステップＳ１６１９）。
【０１１３】
具体的には、通信装置は、ステップＳ１６１０において、転送可否ルールの有効期限が切れている場合、または、ステップＳ１６１１において、抽出されたプロファイル情報に含まれる「重要度」や「種別」が転送可否ルールの条件と一致しなかった場合に、所定の記憶部に記憶されている他の転送可否ルールがあるか否かの判定を行う。
【０１１４】
そして、通信装置は、次の転送可否ルールがあると判定された場合に（ステップＳ１６１９肯定）、転送可否ルールの有効期限が切れているか否かの判定を行い（ステップＳ１６２０）、転送可否ルールの有効期限が切れていないと判定された場合に（ステップＳ１６２０否定）、転送可否ルールと一致するか否かの判定を行う（ステップＳ１６２１）。
【０１１５】
具体的には、通信装置は、所定の記憶部に記憶されている他の転送ルールがあると判定された場合に、転送可否ルールの有効期限が切れているか否かの判定を行い、転送可否ルールの有効期限が切れていないと判定された場合に、抽出されたプロファイル情報に含まれる「重要度」や「種別」が転送可否ルールの条件と一致するか否かの判定を行う。
【０１１６】
続いて、通信装置は、転送可否ルールと一致すると判定された場合に（ステップＳ１６２１肯定）、パケットデータを廃棄するか否かの判定を行い（ステップＳ１６２２）、パケットデータを廃棄すると判定された場合に（ステップＳ１６２２肯定）、当該パケットデータを廃棄する（ステップＳ１６２３）。また、通信装置は、ステップＳ１６２２において、パケットデータを廃棄しないと判定された場合に（ステップＳ１６２２否定）、当該パケットデータを転送する（ステップＳ１６２６）。
【０１１７】
具体的には、通信装置は、抽出されたプロファイル情報に含まれる「重要度」や「種別」が転送可否ルールの条件と一致した場合に、パケットデータを廃棄するか否かの判定を行い、パケットデータを廃棄すると判定された場合に、当該パケットデータの廃棄を行う。また、通信装置は、パケットデータを廃棄しないと判定された場合に、当該パケットデータを送信先の端末に転送することとなる。ここで、図１６のステップＳ１６２４〜ステップＳ１６２５およびステップＳ１６２７〜ステップＳ１６２８は、図７に示したステップＳ７０８およびステップＳ７０９と同様の処理となるので説明を割愛する。なお、通信装置は、ステップＳ１６２０において、転送可否ルールの有効期限が切れている場合（ステップＳ１６２０肯定）、または、ステップＳ１６２１において、抽出されたプロファイル情報に含まれる「重要度」や「種別」が転送可否ルールの条件と一致しなかった場合（ステップＳ１６２１否定）に、ステップＳ１６１９からの処理を繰り返すこととなる。そして、通信装置は、ステップＳ１６１９において、次の転送可否ルールがない場合に（ステップＳ１６１９否定）、当該パケットデータを廃棄することとなる（ステップＳ１６２３）。
【０１１８】
［実施例３の効果］
このようにして、実施例３によれば、通信装置は、パケットデータを送信先の装置に転送するか否かを示す転送可否ルールを保持し、保持されている転送可否ルールに基づいて、転送不可であると判定された場合に当該パケットデータを廃棄し、転送可能であると判定された場合に当該パケットデータを転送し、転送不可であると判定された場合に、パケットデータが廃棄されたことを示す情報を含んだネットワーク情報とプロファイル情報とを通信ログとして通信ログ装置に送信し、転送可能であると判定された場合に、パケットデータが転送されたことを示す情報を含んだネットワーク情報とプロファイル情報とを通信ログとして通信ログ装置に送信することとしたので、通信装置において、パケットデータの転送制限を行うことが可能である。
【０１１９】
例えば、通信装置Ａは、通信装置Ａが含まれる地点Ａから通信装置Ｂが含まれる地点Ｂにパケットデータの転送が行われる場合に、パケットデータの種別が「karte」および重要度「２」以下のパケットデータ転送を許可するという転送可否ルールを保持していることとする。この転送可否ルールに基づいて、通信装置Ａは、重要度が「４」および種別が「karte」のパケットデータを採取した場合に、当該パケットデータの転送可否を転送不可と判定してパケットデータを廃棄し、プロファイル情報およびパケットデータが廃棄されたことを示す情報を含んだネットワーク情報を通信ログ装置に送信する。また、通信装置Ａは、重要度が「２」および種別が「karte」のパケットデータを採取した場合に、当該パケットデータの転送可否を転送可能と判定してパケットデータを転送し、プロファイル情報およびパケットデータが転送されたことを示す情報を含んだネットワーク情報を通信ログ装置に送信することが可能である。
【実施例４】
【０１２０】
ところで、上記実施例１〜３では、通信装置は、鍵管理装置にパラメタを通知し、鍵管理装置により生成された復号鍵を取得する場合を説明したが、本発明はこれに限定されるものではなく、通信装置は、鍵管理装置にパラメタを通知することなく、自装置において復号鍵を生成することもできる。
【０１２１】
そこで、以下の実施例４では、ネットワークを介した暗号通信の復号に用いる復号鍵を通信装置において生成する場合について説明する。図１７は、実施例４に係る通信装置を含むシステムの全体構成を示す図である。
【０１２２】
図１７に示すように、この通信装置を含むシステムは、通信装置Ａと通信装置Ｂと通信ログ装置とから構成される。また、通信装置Ａは、地点Ａの端末Ｘと接続され、通信装置Ｂは、地点Ｂの端末Ｙと接続される。また、端末Ｘと端末Ｙとは相互に暗号通信可能に接続される。
【０１２３】
ここで、実施例１〜３と異なる点は、通信装置Ａは、当該通信装置に接続される端末の秘密鍵を保持している点である。なお、実施例４では、通信装置Ｂが復号鍵を取得する場合について説明する。
【０１２４】
［通信装置において復号鍵を生成］
また、暗号化されたパケットデータを復号する場合に用いられる復号鍵の生成が、鍵管理装置ではなく、通信装置によって行われる。このような構成において、実施例１と同様、通信装置Ｂは、地点Ａの端末Ｘから地点Ｂの端末Ｙに予め暗号化されている電子ファイルなどのパケットデータが送信される場合に、当該通信装置Ｂを通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（図１７の（１）参照）。
【０１２５】
続いて、通信装置Ｂは、抽出されたパラメタを通信装置Ａに通知する（図１７の（２）参照）。上記した例で具体的に説明すると、通信装置Ｂは、抽出された平文の「Client Random」パラメタと、「Server Random」パラメタと、端末Ｘの公開鍵で暗号化された「PreMasterSecret」パラメタとを、地点Ａの端末Ｘの「秘密鍵＃Ａ」を保有している通信装置Ａに通知する。
【０１２６】
そして、通信装置Ｂよりパラメタを通知された通信装置Ａは、通知されたパラメタと「秘密鍵＃Ａ」とを用いて復号鍵を生成する（図１７の（３）参照）。上記した例で具体的に説明すると、通信装置Ａは、通知された「PreMasterSecret」パラメタを、保持している端末Ｘの「秘密鍵＃Ａ」を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って復号鍵を生成する。
【０１２７】
続いて、通信装置Ｂは、通知されたパラメタを用いて、通信装置Ａによって生成された復号鍵を、通信装置Ａから取得する（図１７の（４）参照）。具体的に説明すると、通信装置Ｂは、ＳＳＬやＩＰＳｅｃなどの暗号通信を用いて、通信装置Ａから生成された「復号鍵＃ＡＡ」を受け取る。なお、当該「復号鍵＃ＡＡ」は、通信装置Ｂと通信装置Ａとのセッション中のみ有効な鍵であり、当該セッションが切れると無効な鍵となる。
【０１２８】
その後、通信装置Ｂは、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出する（図１７の（５）参照）。具体的に説明すると、通信装置Ｂは、通信装置Ａから受け取った「復号鍵＃ＡＡ」を用いて、採取されたパケットデータを復号して解析し、「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出する。
【０１２９】
そして、通信装置Ｂは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを、通信ログとして通信ログ装置に送信し、通信ログ装置は、送信された通信ログを所定の記憶部に格納する（図１７の（６）と（７）参照）。
【０１３０】
具体的に説明すると、通信装置Ｂは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ｂを通過した際に採取された当該「パケットデータの送信元、送信先および通信装置Ｂを通過した通過時刻」などのネットワーク情報とを、通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ｂにより送信されたプロファイル情報およびネットワーク情報を、通信ログとして所定の記憶部に格納する。なお、通信装置Ａにおいては、復号鍵生成を自身で行い、通信装置Ｂと同様の処理が行われ、通信装置Ａは、採取されたプロファイル情報とネットワーク情報とを、通信ログとして通信ログ装置に送信する。
【０１３１】
［実施例４に係る通信ログ送信処理］
次に、図１８を用いて、図１７に示した端末Ｙ、通信装置Ｂ、通信装置Ａ、端末Ｘおよび通信ログ装置間における通信ログ送信処理を示す制御シーケンスを説明する。図１８は、実施例４に係る通信装置を含むシステムにおける通信ログ送信処理の制御シーケンスを示す図である。
【０１３２】
図１６に示すように、端末Ｘから端末Ｙに対して、予め暗号化されている電子ファイルなどのパケットデータが送信される前に、端末Ｘおよび端末Ｙ間の通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。
【０１３３】
具体的に例を挙げて説明すると、このＳＳＬハンドシェイクにより端末Ｙから端末Ｘに対して、端末ＹのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＸがＳＳＬを利用して端末Ｙと通信するために必要な制御情報とともに、平文の「Client Random」パラメタが送信される（図１８の（１）参照）。そして、端末Ｘから端末Ｙに対して、端末ＸのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＹがＳＳＬを利用して端末Ｘと通信するために必要な制御情報とともに、平文の「Server Random」パラメタが送信される（図１８の（２）参照）。さらに、端末Ｙは、ＳＳＬハンドシェイクにおいて生成された全てのデータを用いて、セッションの「PreMasterSecret」を作成し、端末Ｘから送信された情報から取得した端末Ｘの公開鍵で暗号化して、暗号化された「PreMasterSecret」を端末Ｘに送信する（図１８の（３）参照）。
【０１３４】
続いて、通信装置Ａおよび通信装置Ｂは、ＳＳＬハンドシェイクの確立を認識すると、端末Ｘから端末Ｙに対して予め暗号化されている電子ファイルなどのパケットデータが送信されると、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（ステップＳ１８０１とステップＳ１８０２）。
【０１３５】
具体的には、通信装置Ａおよび通信装置Ｂは、端末Ｘおよび端末Ｙ間においてＳＳＬハンドシェイクの確立を認識すると、当該通信装置Ａおよび通信装置Ｂを通過する暗号化されたパケットデータを採取して、採取されたパケットデータを所定の記憶部に格納する。そして、通信装置Ａおよび通信装置Ｂは、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となる「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを抽出する。
【０１３６】
その後、通信装置Ｂは、抽出されたパラメタを通信装置Ａに通知する（ステップＳ１８０６）。具体的には、通信装置Ｂは、抽出された「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを通信装置Ａに通知する。
【０１３７】
そして、通信装置Ａは、通知されたパラメタと、予め保持している秘密鍵とを用いて復号鍵を生成して通信装置Ｂに送信する（ステップＳ１８０７）。具体的には、通信装置Ａは、通信装置Ｂにより通知された「PreMasterSecret」パラメタを、予め保持している端末Ｘのサーバ秘密鍵を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って復号鍵を生成し、生成された復号鍵を通信装置Ｂに対して送信する。
【０１３８】
続いて、通信装置Ｂは、取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号し（ステップＳ１８０８）、復号して解析されたパケットデータのプロファイル情報を抽出する（ステップＳ１８１０）。
【０１３９】
具体的には、通信装置Ｂは、取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号して解析し、解析された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出し、抽出されたプロファイル情報を通信ログとして所定の記憶部に格納する。
【０１４０】
そして、通信装置Ｂは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する（ステップＳ１８１３）。
【０１４１】
具体的には、通信装置Ｂは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ｂを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。
【０１４２】
さらに、通信ログ装置は、通信装置Ｂにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納する（ステップＳ１８１４）。具体的には、通信ログ装置は、通信装置Ｂにより送信された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ｂを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして、通過時刻順に所定の記憶部に格納する。
【０１４３】
ここで、通信装置Ａにおいては、当該通信装置Ａの復号鍵を生成する制御部に対してパラメタを通知するとともに、復号鍵を生成し、同様にプロファイル情報を抽出して、抽出されたプロファイル情報とネットワーク情報とを通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納することとなる（ステップＳ１８０３〜ステップＳ１８０５、ステップＳ１８０７、ステップＳ１８０９、ステップＳ１８１１およびステップＳ１８１２）。
【０１４４】
［実施例４の効果］
このようにして、実施例４によれば、通信装置は、当該通信装置に接続される端末の秘密鍵を保持し、保持された秘密鍵と、抽出されたパラメタとを用いて、復号鍵を生成し、生成された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信することとしたので、秘密鍵の配布範囲を自拠点内に留めることで、安全に暗号通信を復号することが可能である。
【０１４５】
例えば、通信装置は、当該通信装置に接続される端末の秘密鍵を保持し、保持された秘密鍵と、抽出されたパラメタとを用いて復号鍵を生成する。続いて、通信装置は、生成された復号鍵を用いて暗号化されたパケットデータを復号および解析してプロファイル情報を抽出する。そして、通信装置は、抽出されたプロファイル情報と、ネットワークに関するネットワーク情報とを、通信ログ装置に送信する。この結果、秘密鍵の配布範囲を自拠点内に留めることで、安全に暗号通信を復号することが可能である。
【実施例５】
【０１４６】
ところで、上記実施例１〜３では、通信装置は、鍵管理装置にパラメタを通知し、鍵管理装置により生成された復号鍵を取得する場合を説明したが、本発明はこれに限定されるものではなく、通信装置は、鍵管理装置にパラメタを通知することなく、当該通信装置に接続される端末において復号鍵を生成することもできる。
【０１４７】
そこで、以下の実施例５では、ネットワークを介した暗号通信の復号に用いる復号鍵を通信装置に接続される端末によって生成された復号鍵を、端末から取得する場合について説明する。図１９は、実施例５に係る通信装置を含むシステムの全体構成を示す図である。
【０１４８】
［端末における復号鍵生成処理］
図１９に示すように、この通信装置を含むシステムは、通信装置Ａと通信装置Ｂと通信ログ装置とから構成される。また、通信装置Ａは、地点Ａの端末Ｘと接続され、通信装置Ｂは、地点Ｂの端末Ｙと接続される。また、端末Ｘと端末Ｙとは相互に暗号通信可能に接続される。
【０１４９】
ここで、実施例１〜３と異なる点は、暗号化されたパケットデータを復号する場合に用いられる復号鍵の生成が、鍵管理装置ではなく、通信装置に接続される端末によって行われる点である。なお、実施例５では、通信装置Ａが復号鍵を取得する場合について説明する。
【０１５０】
［端末において復号鍵を生成］
このような構成において、実施例１と同様、通信装置Ａは、地点Ａの端末Ｘから地点Ｂの端末Ｙに予め暗号化されている電子ファイルなどのパケットデータが送信される場合に、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（図１９の（１）参照）。
【０１５１】
続いて、通信装置Ａは、抽出されたパラメタを端末Ｘに通知する（図１９の（２）参照）。上記した例で具体的に説明すると、通信装置Ａは、抽出された平文の「Client Random」パラメタと、「Server Random」パラメタと、端末Ｘの公開鍵で暗号化された「PreMasterSecret」パラメタとを、地点Ａの端末Ｘの「秘密鍵＃Ａ」を保有している端末Ｘに通知する。
【０１５２】
そして、通信装置Ａよりパラメタを通知された端末Ｘは、通知されたパラメタと「秘密鍵＃Ａ」とを用いて復号鍵を生成する（図１９の（３）参照）。上記した例で具体的に説明すると、端末Ｘは、通知された「PreMasterSecret」パラメタを、保持している「秘密鍵＃Ａ」を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って復号鍵を生成する。
【０１５３】
続いて、通信装置Ａは、通知されたパラメタを用いて、端末Ｘによって生成された復号鍵を、端末Ｘから取得する（図１９の（４）参照）。具体的に説明すると、通信装置Ａは、ＳＳＬやＩＰＳｅｃなどの暗号通信を用いて、端末Ｘから生成された「復号鍵＃ＡＡ」を受け取る。なお、当該「復号鍵＃ＡＡ」は、端末Ｘと通信装置Ａとのセッション中のみ有効な鍵であり、当該セッションが切れると無効な鍵となる。
【０１５４】
その後、通信装置Ａは、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出する（図１９の（５）参照）。具体的に説明すると、通信装置Ａは、端末Ｘから受け取った「復号鍵＃ＡＡ」を用いて、採取されたパケットデータを復号して解析し、「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出する。
【０１５５】
そして、通信装置Ａは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを、通信ログとして通信ログ装置に送信し、通信ログ装置は、送信された通信ログを所定の記憶部に格納する（図１９の（６）と（７）参照）。
【０１５６】
具体的に説明すると、通信装置Ａは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した際に採取された当該「パケットデータの送信元、送信先および通信装置Ａを通過した通過時刻」などのネットワーク情報とを、通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報およびネットワーク情報を、通信ログとして所定の記憶部に格納する。なお、通信装置Ｂにおいても通信装置Ａと同様に、端末Ｘにパラメタを通知して、端末Ｘから復号鍵を取得する。
【０１５７】
次に図２０を用いて、図１９に示した端末Ｙ、通信装置Ｂ、通信装置Ａ、端末Ｘおよび通信ログ装置間における通信ログ送信処理を示す制御シーケンスを説明する。図２０は、実施例５に係る通信装置を含むシステム全体における通信ログ送信処理の制御シーケンスを示す図である。
【０１５８】
図２０に示すように、端末Ｘから端末Ｙに対して、予め暗号化されている電子ファイルなどのパケットデータが送信される前に、端末Ｘおよび端末Ｙ間の通信方法やプロトコルなどの制御関連情報を事前にやり取りするＳＳＬハンドシェイクが確立される。
【０１５９】
具体的に例を挙げて説明すると、このＳＳＬハンドシェイクにより端末Ｙから端末Ｘに対して、端末ＹのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＸがＳＳＬを利用して端末Ｙと通信するために必要な制御情報とともに、平文の「Client Random」パラメタが送信される（図２０の（１）参照）。そして、端末Ｘから端末Ｙに対して、端末ＸのＳＳＬバージョン番号、暗号設定およびセッション固有のデータなどの端末ＹがＳＳＬを利用して端末Ｘと通信するために必要な制御情報とともに、平文の「Server Random」パラメタが送信される（図２０の（２）参照）。さらに、端末Ｙは、ＳＳＬハンドシェイクにおいて生成された全てのデータを用いて、セッションの「PreMasterSecret」を作成し、端末Ｘから送信された情報から取得した端末Ｘの公開鍵で暗号化して、暗号化された「PreMasterSecret」を端末Ｘに送信する（図２０の（３）参照）。
【０１６０】
続いて、通信装置Ａおよび通信装置Ｂは、ＳＳＬハンドシェイクの確立を認識すると、端末Ｘから端末Ｙに対して予め暗号化されている電子ファイルなどのパケットデータが送信されると、当該通信装置Ａを通過する暗号化されたパケットデータを採取し、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出する（ステップＳ２００１とステップＳ２００２）。
【０１６１】
具体的には、通信装置Ａおよび通信装置Ｂは、端末Ｘおよび端末Ｙ間においてＳＳＬハンドシェイクの確立を認識すると、当該通信装置Ａおよび通信装置Ｂを通過する暗号化されたパケットデータを採取して、採取されたパケットデータを所定の記憶部に格納する。そして、通信装置Ａおよび通信装置Ｂは、採取された暗号化されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となる「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを抽出する。
【０１６２】
その後、通信装置Ａは、抽出されたパラメタを端末Ｘに通知する（ステップＳ２００３）。具体的には、通信装置Ａは、抽出された「Client Random」パラメタ、「Server Random」パラメタおよび「PreMasterSecret」パラメタを端末Ｘに通知する。
【０１６３】
そして、端末Ｘは、通知されたパラメタと、保持している秘密鍵とを用いて復号鍵を生成して通信装置Ａに送信する（ステップＳ２００４）。具体的には、端末Ｘは、通信装置Ａにより通知された「PreMasterSecret」パラメタを、保持している秘密鍵を用いて復号し、当該復号された「PreMasterSecret」パラメタと、「Client Random」パラメタと、「Server Random」パラメタとの情報から計算式（ＲＦＣ２２４６−６．３章参照）に従って復号鍵を生成し、生成された復号鍵を通信装置Ａに対して送信する。
【０１６４】
続いて、通信装置Ａは、取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号し（ステップＳ２００５）、復号して解析されたパケットデータのプロファイル情報を抽出する（ステップＳ２００９）。
【０１６５】
具体的には、通信装置Ａは、取得された復号鍵を用いて、採取された暗号化されたパケットデータを復号して解析し、解析された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報を抽出し、抽出されたプロファイル情報を通信ログとして所定の記憶部に格納する。
【０１６６】
そして、通信装置Ａは、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する（ステップＳ２０１１）。
【０１６７】
具体的には、通信装置Ａは、抽出された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。
【０１６８】
さらに、通信ログ装置は、通信装置Ａにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納する（ステップＳ２０１２）。具体的には、通信ログ装置は、通信装置Ａにより送信された「パケットデータの名前、重要度、種別および利用者情報」などのプロファイル情報と、暗号化されたパケットデータが通信装置Ａを通過した「通過時刻、送信元および送信先」などのネットワークに関するネットワーク情報とを通信ログとして、通過時刻順に所定の記憶部に格納する。
【０１６９】
ここで、通信装置Ｂにおいても通信装置Ａと同様に端末Ｘにパラメタを通知するとともに、端末Ｘから復号鍵を取得して、プロファイル情報とネットワーク情報とを通信ログとして通信ログ装置に送信する。そして、通信ログ装置は、通信装置Ｂにより送信されたプロファイル情報とネットワーク情報とを通信ログとして所定の記憶部に格納することとなる（ステップＳ２００６〜ステップＳ２００８、ステップＳ２０１０、ステップＳ２０１３およびステップＳ２０１４）。
【０１７０】
［実施例５の効果］
このようにして、実施例５によれば、通信装置は、抽出されたパラメタを、パケットデータの送信元である装置に通知し、通知されたパラメタを用いて、パケットデータの送信元である装置によって生成された復号鍵を、パケットデータの送信元である装置から取得し、取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、抽出されたプロファイル情報と、暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信することとしたので、元々、秘密鍵を保有している装置以外に秘密鍵を配布する必要がないので、安全に暗号通信を復号することが可能である。
【０１７１】
例えば、通信装置は、抽出されたパラメタをパケットデータの送信元である装置に通知する。続いて、パケットデータの送信元である装置は、通知されたパラメタを用いて復号鍵を生成し、通信装置に送信する。そして、通信装置は、パケットデータの送信元である装置から復号鍵を受け取って、パケットデータを復号および解析して、解析されたパケットデータのプロファイル情報を抽出する。さらに、通信装置は、抽出されたプロファイル情報と、ネットワークに関するネットワーク情報とを通信ログとして通信ログ装置に送信する。このようにして、元々、秘密鍵を保有している装置以外に秘密鍵を配布する必要がないので、安全に暗号通信を復号することが可能である。
【実施例６】
【０１７２】
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、（１）通信装置の構成、（２）システム構成、（３）プログラムにそれぞれ区分けして異なる実施例を説明する。
【０１７３】
（１）通信装置の構成
上記の実施例３では、各通信装置において、転送可否ルールを保持し、保持された転送可否ルールを用いてパケットデータの転送可否を判定することとして説明したが、本発明はこれに限定されるものではなく、例えば、転送可否ルール管理装置を用いて、転送可否ルールを保持させ、各通信装置は、当該転送可否ルールを転送可否ルール管理装置から取得して、転送可否を判定するようにしてもよい。
【０１７４】
また、実施例３において、通信装置において抽出されたプロファイル情報に含まれる「重要度」および「種別」を用いて、転送可否を判定することとして説明したが、本発明はこれに限定されるものではなく、例えば、転送可否を判定する属性を、「重要度」のみにしてもよいし、「種別」のみにしてもよい。さらに、これらや他のプロファイル情報との組合せを用いて転送可否を判定するようにしてもよいし、重要なデータは転送させないなど多種の転送可否ルールを設けるようにしてもよい。
【０１７５】
（２）システム構成
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、例えば、パラメタ通知部１５ｃを、パラメタ通知Ｉ／Ｆ部とするなど、その全部または一部を、各種の負担や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１７６】
（３）プログラム
ところで、上記の実施例では、ハードウェアロジックによって各種の処理を実現する場合を説明したが、本発明はこれに限定されるものではなく、あらかじめ用意されたプログラムをコンピュータで実行することによって実現するようにしてもよい。そこで、以下では、図１９を用いて、上記の実施例に示した通信装置と同様の機能を有する通信ログ送信プログラムを実行するコンピュータの一例を説明する。図２１は、通信ログ送信プログラムを実行するコンピュータを示す図である。
【０１７７】
図２１に示すように、携帯端末としてのコンピュータ１１０は、キーボード１２０、ＨＤＤ１３０、ＣＰＵ１４０、ＲＯＭ１５０、ＲＡＭ１６０およびディスプレイ１７０をバス１８０などで接続して構成される。
【０１７８】
ＲＯＭ１５０には、上記の実施例１に示した通信装置１０と同様の機能を発揮する通信ログ送信プログラム、つまり、図２１に示すようにパラメタ抽出プログラム１５０ａと、パラメタ通知プログラム１５０ｂと、復号鍵取得プログラム１５０ｃと、プロファイル情報抽出プログラム１５０ｄと、ログ送信プログラム１５０ｅとが、あらかじめ記憶されている。なお、これらのプログラム１５０ａ〜１５０ｅについては、図２に示した通信装置Ａの各構成要素と同様、適宜統合または、分散してもよい。
【０１７９】
そして、ＣＰＵ１４０がこれらのプログラム１５０ａ〜プログラム１５０ｅをＲＯＭ１５０から読み出して実行することで、図２１に示すように、プログラム１５０ａ〜プログラム１５０ｅは、パラメタ抽出プロセス１４０ａと、パラメタ通知プロセス１４０ｂと、復号鍵取得プロセス１４０ｃと、プロファイル情報抽出プロセス１４０ｄと、ログ送信プロセス１４０ｅとして機能するようになる。なお、プロセス１４０ａ〜プロセス１４０ｅは、図２に示した、パラメタ抽出部１５ｂと、パラメタ通知部１５ｃと、復号鍵取得部１５ｄと、プロファイル情報抽出部１５ｆと、ログ送信部１５ｇとにそれぞれ対応する。
【０１８０】
そして、ＣＰＵ１４０はＲＡＭ１６０に記録された、スヌープしたパケットデータを記憶するスヌープデータ記憶データ１６０ａと、通信ログ装置に送信する通信ログを記憶するログ記憶データ１６０ｂとに基づいて通信ログ送信プログラムを実行する。
【０１８１】
なお、上記した各プログラム１５０ａ〜１５０ｅについては、必ずしも最初からＲＯＭ１５０に記憶させておく必要はなく、例えば、コンピュータ１１０に挿入されるフレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＤＶＤディスク、光磁気ディスク、ＩＣカードなどの「可搬用の物理媒体」、またはコンピュータ１１０の内外に備えられるＨＤＤなどの「固定用の物理媒体」、さらには公衆回線、インターネット、ＬＡＮ、ＷＡＮなどを介してコンピュータ１１０に接続される「他のコンピュータ（またはサーバ）」などに各プログラムを記憶させておき、コンピュータ１１０がこれから各プログラムを読み出して実行するようにしてもよい。
【産業上の利用可能性】
【０１８２】
以上のように、本発明に係る通信装置、通信装置に適した通信ログ送信方法および通信システムは、当該通信装置を介して暗号化されたパケットデータがやり取りされる場合に有用であり、特に、各通信装置に秘密鍵を配備することなく、安全かつ確実に通信ログを採取することに適する。
【図面の簡単な説明】
【０１８３】
【図１】実施例１に係る通信装置を含むシステム全体の概要および特徴を示す図である。
【図２】実施例１に係るシステムにおける通信装置Ａの構成を示すブロック図である。
【図３】実施例１に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰプロトコルによるデータフォーマットの一例を示す図である。
【図４】実施例１に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰ／ＦＴＰプロトコルによるデータフォーマットの一例を示す図である。
【図５】実施例１に係る通信装置から通信ログ装置に送信される通信ログのデータフォーマットの一例を示す図である。
【図６】実施例１に係る通信装置を含むシステムにおける通信ログ装置のログ管理テーブルの一例を示す図である。
【図７】実施例１に係るシステムにおける通信装置Ａによる通信ログ送信処理を示すフローチャートである。
【図８】実施例１に係る通信装置を含むシステム全体における通信ログ送信処理の制御シーケンスを示す図である。
【図９】実施例２に係る通信装置を含むシステムの全体構成を示す図である。
【図１０】実施例２に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰプロトコルによるデータフォーマットの一例を示す図である。
【図１１】実施例２に係るサーバからクライアント端末に送信されるコンテンツのＨＴＴＰ／ＦＴＰプロトコルによるデータフォーマットの一例を示す図である。
【図１２】実施例２に係る通信装置から通信ログ装置に送信される通信ログのデータフォーマットの一例を示す図である。
【図１３】実施例２に係る通信装置を含むシステムにおける通信ログ装置のログ管理テーブルの一例を示す図である。
【図１４】実施例３に係る通信装置を含むシステムの全体構成を示す図である。
【図１５】実施例３に係る通信装置を含むシステムにおける転送可否判定処理における終端処理の制御シーケンスを示す図である。
【図１６】実施例３に係るシステムにおける通信装置による転送可否判定処理を示すフローチャートである。
【図１７】実施例４に係る通信装置を含むシステムの全体構成を示す図である。
【図１８】実施例４に係る通信装置を含むシステムにおける通信ログ送信処理の制御シーケンスを示す図である。
【図１９】実施例５に係る通信装置を含むシステムの全体構成を示す図である。
【図２０】実施例５に係る通信装置を含むシステム全体における通信ログ送信処理の制御シーケンスを示す図である。
【図２１】通信ログ送信プログラムを実行するコンピュータを示す図である。
【符号の説明】
【０１８４】
１０ 通信装置Ａ
１１ 入力部
１２ 表示部
１３ Ｉ／Ｆ部
１４ 記憶部
１４ａ スヌープデータ記憶部
１４ｂ ログ記憶部
１５ 制御部
１５ａ スヌープ処理部
１５ｂ パラメタ抽出部
１５ｃ パラメタ通知部
１５ｄ 復号鍵取得部
１５ｅ データ復号部
１５ｆ プロファイル情報抽出部
１５ｇ ログ送信部
【特許請求の範囲】
【請求項１】
ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置とに接続される通信装置であって、
当該通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出するパラメタ抽出手段と、
前記パラメタ抽出手段により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知手段と、
前記パラメタ通知手段により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得する復号鍵取得手段と、
前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出手段と、
前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信手段と、
を備えたことを特徴とする通信装置。
【請求項２】
前記パケットデータは、当該パケットデータを一意に識別する識別子を含んだものであって、
前記パケットデータが通信装置を通過する場合に、当該パケットデータが当該通信装置を通過した通過順序であるシーケンス番号を付与するシーケンス番号付与手段をさらに備え、
前記プロファイル情報抽出手段は、当該パケットデータを一意に識別する識別子を含んだプロファイル情報を抽出し、
前記ログ送信手段は、前記プロファイル情報抽出手段により抽出された識別子を含んだプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報と、前記シーケンス番号付与手段により付与されたパケットデータが通信装置を通過した通過順序であるシーケンス番号とを、前記通信ログ装置に送信することを特徴とする請求項１に記載の通信装置。
【請求項３】
前記パケットデータを送信先の装置に転送するか否かを示す転送可否ルールを保持する転送可否ルール保持手段と、
前記転送可否ルール保持手段により保持されている転送可否ルールに基づいて、転送不可であると判定された場合に当該パケットデータを廃棄し、転送可能であると判定された場合に当該パケットデータを転送する転送可否判定手段とをさらに備え、
前記ログ送信手段は、前記転送可否判定手段により転送不可であると判定された場合に、前記パケットデータが廃棄されたことを示す情報を含んだネットワーク情報と前記プロファイル情報とを通信ログとして前記通信ログ装置に送信し、前記転送可否判定手段により転送可能であると判定された場合に、前記パケットデータが転送されたことを示す情報を含んだネットワーク情報と前記プロファイル情報とを通信ログとして前記通信ログ装置に送信することを特徴とする請求項１または２に記載の通信装置。
【請求項４】
当該通信装置に接続される端末の秘密鍵を保持する秘密鍵保持手段と、
前記秘密鍵保持手段により保持された秘密鍵と、前記パラメタ抽出手段により抽出されたパラメタとを用いて、復号鍵を生成する復号鍵生成手段とをさらに備え、
前記プロファイル情報抽出手段は、前記復号鍵生成手段により生成された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、
前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを、前記通信ログとして前記通信ログ装置に送信することを特徴とする請求項１〜３のいずれか一つに記載の通信装置。
【請求項５】
前記パラメタ通知手段は、前記パラメタ抽出手段により抽出されたパラメタを、パケットデータの送信元である装置に通知し、
前記復号鍵取得手段は、前記パラメタ通知手段により通知されたパラメタを用いて、前記パケットデータの送信元である装置によって生成された復号鍵を、前記パケットデータの送信元である装置から取得し、
前記プロファイル情報抽出手段は、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、
前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信することを特徴とする請求項１に記載の通信装置。
【請求項６】
前記パラメタ抽出手段は、当該通信装置の特定のポート番号を通過した暗号化されたパケットデータのみを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、
前記パラメタ通知手段は、前記パラメタ抽出手段により抽出されたパラメタを当該通信装置の秘密鍵を保有する鍵管理装置に通知し、
前記復号鍵取得手段は、前記パラメタ通知手段により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得し、
前記プロファイル情報抽出手段は、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータのヘッダを取り除いて復号して、当該ヘッダに付与されたデータ情報からパケットデータ種別を解析し、解析されたパケットデータのプロファイル情報を抽出し、
前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信することを特徴とする請求項１〜５のいずれか一つに記載の通信装置。
【請求項７】
前記プロファイル情報抽出手段は、特定のポート番号のデータグラムを終端し、前記復号鍵取得手段により取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出することを特徴とする請求項１〜５のいずれか一つに記載の通信装置。
【請求項８】
ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置とに接続される通信装置に適した通信ログ送信方法であって、
当該通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出するパラメタ抽出工程と、
前記パラメタ抽出工程により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知工程と、
前記パラメタ通知工程により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得する復号鍵取得工程と、
前記復号鍵取得工程により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出工程と、
前記プロファイル情報抽出工程により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信工程と、
を含んだことを特徴とする通信ログ送信方法。
【請求項９】
ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置と、前記通信ログ装置に対して通信ログを送信する通信装置とから構成される通信システムであって、
前記鍵管理装置は、
前記通信装置に接続される端末ごとに、当該端末で使用される秘密鍵を記憶する秘密鍵記憶手段と、
前記復号鍵を生成するために必要となるパラメタを前記通信装置から受信した場合に、当該通信装置に接続される端末の秘密鍵を前記秘密鍵記憶手段から取得し、取得した秘密鍵と受信されたパラメタとから、前記通信装置において採取されたパケットデータを復号するのに必要となる復号鍵を生成して、前記通信装置に送信する復号鍵生成送信手段とを備え、
前記通信装置は、
当該通信装置を通過する暗号化されたパケットデータを採取し、当該パケットデータから前記パラメタを抽出するパラメタ抽出手段と、
前記パラメタ抽出手段により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知手段と、
前記パラメタ通知手段によりパラメタが鍵管理装置に通知されて、前記鍵管理装置から復号鍵を取得する復号鍵取得手段と、
前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出手段と、
前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信手段とを備え、
前記通信ログ装置は、
前記通信装置から通信ログを受信して所定の記憶部に格納する通信ログ格納手段を、
備えたことを特徴とする通信システム。
【請求項１】
ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置とに接続される通信装置であって、
当該通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出するパラメタ抽出手段と、
前記パラメタ抽出手段により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知手段と、
前記パラメタ通知手段により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得する復号鍵取得手段と、
前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出手段と、
前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信手段と、
を備えたことを特徴とする通信装置。
【請求項２】
前記パケットデータは、当該パケットデータを一意に識別する識別子を含んだものであって、
前記パケットデータが通信装置を通過する場合に、当該パケットデータが当該通信装置を通過した通過順序であるシーケンス番号を付与するシーケンス番号付与手段をさらに備え、
前記プロファイル情報抽出手段は、当該パケットデータを一意に識別する識別子を含んだプロファイル情報を抽出し、
前記ログ送信手段は、前記プロファイル情報抽出手段により抽出された識別子を含んだプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報と、前記シーケンス番号付与手段により付与されたパケットデータが通信装置を通過した通過順序であるシーケンス番号とを、前記通信ログ装置に送信することを特徴とする請求項１に記載の通信装置。
【請求項３】
前記パケットデータを送信先の装置に転送するか否かを示す転送可否ルールを保持する転送可否ルール保持手段と、
前記転送可否ルール保持手段により保持されている転送可否ルールに基づいて、転送不可であると判定された場合に当該パケットデータを廃棄し、転送可能であると判定された場合に当該パケットデータを転送する転送可否判定手段とをさらに備え、
前記ログ送信手段は、前記転送可否判定手段により転送不可であると判定された場合に、前記パケットデータが廃棄されたことを示す情報を含んだネットワーク情報と前記プロファイル情報とを通信ログとして前記通信ログ装置に送信し、前記転送可否判定手段により転送可能であると判定された場合に、前記パケットデータが転送されたことを示す情報を含んだネットワーク情報と前記プロファイル情報とを通信ログとして前記通信ログ装置に送信することを特徴とする請求項１または２に記載の通信装置。
【請求項４】
当該通信装置に接続される端末の秘密鍵を保持する秘密鍵保持手段と、
前記秘密鍵保持手段により保持された秘密鍵と、前記パラメタ抽出手段により抽出されたパラメタとを用いて、復号鍵を生成する復号鍵生成手段とをさらに備え、
前記プロファイル情報抽出手段は、前記復号鍵生成手段により生成された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、
前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを、前記通信ログとして前記通信ログ装置に送信することを特徴とする請求項１〜３のいずれか一つに記載の通信装置。
【請求項５】
前記パラメタ通知手段は、前記パラメタ抽出手段により抽出されたパラメタを、パケットデータの送信元である装置に通知し、
前記復号鍵取得手段は、前記パラメタ通知手段により通知されたパラメタを用いて、前記パケットデータの送信元である装置によって生成された復号鍵を、前記パケットデータの送信元である装置から取得し、
前記プロファイル情報抽出手段は、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出し、
前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信することを特徴とする請求項１に記載の通信装置。
【請求項６】
前記パラメタ抽出手段は、当該通信装置の特定のポート番号を通過した暗号化されたパケットデータのみを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出し、
前記パラメタ通知手段は、前記パラメタ抽出手段により抽出されたパラメタを当該通信装置の秘密鍵を保有する鍵管理装置に通知し、
前記復号鍵取得手段は、前記パラメタ通知手段により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得し、
前記プロファイル情報抽出手段は、前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータのヘッダを取り除いて復号して、当該ヘッダに付与されたデータ情報からパケットデータ種別を解析し、解析されたパケットデータのプロファイル情報を抽出し、
前記ログ送信手段は、前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信することを特徴とする請求項１〜５のいずれか一つに記載の通信装置。
【請求項７】
前記プロファイル情報抽出手段は、特定のポート番号のデータグラムを終端し、前記復号鍵取得手段により取得された復号鍵を用いて、採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出することを特徴とする請求項１〜５のいずれか一つに記載の通信装置。
【請求項８】
ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置とに接続される通信装置に適した通信ログ送信方法であって、
当該通信装置を通過する暗号化されたパケットデータを採取し、採取されたパケットデータを復号する場合に用いられる復号鍵を生成するために必要となるパラメタを抽出するパラメタ抽出工程と、
前記パラメタ抽出工程により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知工程と、
前記パラメタ通知工程により通知されたパラメタを用いて、前記鍵管理装置によって生成された復号鍵を、前記鍵管理装置から取得する復号鍵取得工程と、
前記復号鍵取得工程により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出工程と、
前記プロファイル情報抽出工程により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信工程と、
を含んだことを特徴とする通信ログ送信方法。
【請求項９】
ネットワークを介して通信された情報の通信ログを管理する通信ログ装置と、暗号化されたデータの復号に用いる復号鍵を生成する鍵管理装置と、前記通信ログ装置に対して通信ログを送信する通信装置とから構成される通信システムであって、
前記鍵管理装置は、
前記通信装置に接続される端末ごとに、当該端末で使用される秘密鍵を記憶する秘密鍵記憶手段と、
前記復号鍵を生成するために必要となるパラメタを前記通信装置から受信した場合に、当該通信装置に接続される端末の秘密鍵を前記秘密鍵記憶手段から取得し、取得した秘密鍵と受信されたパラメタとから、前記通信装置において採取されたパケットデータを復号するのに必要となる復号鍵を生成して、前記通信装置に送信する復号鍵生成送信手段とを備え、
前記通信装置は、
当該通信装置を通過する暗号化されたパケットデータを採取し、当該パケットデータから前記パラメタを抽出するパラメタ抽出手段と、
前記パラメタ抽出手段により抽出されたパラメタを前記鍵管理装置に通知するパラメタ通知手段と、
前記パラメタ通知手段によりパラメタが鍵管理装置に通知されて、前記鍵管理装置から復号鍵を取得する復号鍵取得手段と、
前記復号鍵取得手段により取得された復号鍵を用いて、前記採取されたパケットデータを復号して解析し、解析されたパケットデータのプロファイル情報を抽出するプロファイル情報抽出手段と、
前記プロファイル情報抽出手段により抽出されたプロファイル情報と、前記暗号化されたパケットデータが通過するネットワークに関するネットワーク情報とを前記通信ログとして前記通信ログ装置に送信するログ送信手段とを備え、
前記通信ログ装置は、
前記通信装置から通信ログを受信して所定の記憶部に格納する通信ログ格納手段を、
備えたことを特徴とする通信システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【公開番号】特開２００９−１６９６１（Ｐ２００９−１６９６１Ａ）
【公開日】平成２１年１月２２日（２００９．１．２２）
【国際特許分類】
【出願番号】特願２００７−１７３４３９（Ｐ２００７−１７３４３９）
【出願日】平成１９年６月２９日（２００７．６．２９）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１８年度、独立行政法人情報通信研究機構、「ネットワーク認証型コンテンツアクセス制御技術の研究開発」委託研究、産業再生法第３０条の適用を受ける特許出願
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２１年１月２２日（２００９．１．２２）
【国際特許分類】
【出願日】平成１９年６月２９日（２００７．６．２９）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１８年度、独立行政法人情報通信研究機構、「ネットワーク認証型コンテンツアクセス制御技術の研究開発」委託研究、産業再生法第３０条の適用を受ける特許出願
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]