遠隔ＩＰＳＥＣセキュリティ関連性管理
本発明は、インターネット・プロトコル・セキュリティのセキュリティ関連性を、遠隔に、かつ透過的に管理するための方法、およびシステムに関する。このシステムは、セキュリティ関連性管理要求を発行するための少なくとも一つの管理クライアントをそれぞれが含む一つ以上のデバイスを含む。このシステムは、さらに一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段と、発行された前記セキュリティ関連性管理要求を受信し、前記インターネット・プロトコル・セキュリティ・サービス手段に関連して、受信される前記セキュリティ関連性管理要求に応答するための管理サーバとを含むサービスデバイスを含む。このシステムは、さらに、アプリケーションデバイスをサービスデバイスに安全に接続するための通信ネットワークを含む。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信技術に関連している。特に、インターネット・プロトコル・セキュリティーのセキュリティ接続を遠隔に、かつ透過的に管理するための新規、かつ改良された方法、およびシステムに関連する。
【背景技術】
【０００２】
ＩＰＳｅｃまたはＩＰｓｅｃとも言われるインターネット・プロトコル・セキュリティーはネットワーク層でのＩＰネットワーク内のセキュリティを提供するための骨組みである。ＩＰＳｅｃは、インターネット・エンジニアリング・タスク・フォース（ＩＥＴＦ）によって開発される。ＩＥＴＦによるＲＦＣ文書（Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ， ＲＦＣ）２４０１から２４０９がＩＰＳｅｃについて記述している。
【０００３】
ＩＰＳｅｃは機密性サービス、および認証サービスをＩＰトラヒックに提供する。これらのサービスは、本質的にデータの送信者の認証を可能とする認証ヘッダ（ＡＨ、 ＲＦＣ ２４０２に記述）、および送信者の認証およびデータの暗号化の両方に対応したエンカプスレーティング・セキュリティ・ペイロード（ＥＳＰ、 ＲＦＣ ２４０６に記述）と呼ばれるプロトコルによって提供される。
【０００４】
認証ヘッダ、およびエンカプスレーティング・セキュリティ・ペイロードは動作するためにセッションキーを要求する。セッションキーは、典型的には、インターネット・キー・エクスチェンジ（ＩＫＥ、 ＲＦＣ ２４０９に記述）のようなキー・マネージメント・プロトコルを経由して生成される。認証及びキー合致（ＡＫＡ）と呼ばれるキー・マネージメント・プロトコルもまた、特に３ＧＰＰ（３ｒｄ Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ）システムに基づいた通信ネットワークにおいて、使用され得る。使用され得るその他のキー・マネージメント・プロトコルが、さらに存在する。
【０００５】
前述のプロトコルに加えて、ＩＰＳｅｃは、セキュリティ接続を使用することで、そのサービスを提供する。ＩＰＳｅｃセキュリティ接続は、トラヒック・セレクタ、暗号変換、セッションキー、およびセッションキーのライフタイムのような情報を含んでいる。キー・マネージメント・アプリケーションは、ＩＰＳｅｃ接続の生成、および削除を取り決める責任を負っている。
【０００６】
典型的には、ＩＰＳｅｃサービスおよびキー・マネージメント・プロトコルは、例えば、専用のセキュリティ・ゲートウェイ、サーバ、デスクトップ・コンピュータ、および手持ち式の端末において発見される。先行技術において、ターゲットデバイスが何であれ、同じデバイス内に同一場所に配置されているという意味では、ＰＩＳｅｃサービスとキー・マネージメント・プロトコルは互いに結び付けられている。そしてまた、ＩＰＳｅｃサービスと関連付けられたキー・マネージメント・プロトコルの間の通信機構は、ローカルである。
【０００７】
しかし、分散コンピューティング環境において、ネットワーク要素機能性は、様々なアプリケーションが専用デバイスに配置されるアーキテクチャから利益を得る。例えば、暗号化動作を要求するアプリケーションは、典型的には特別な目的のためのデバイスであって、そのタスクのために適切なハードウェアおよびソフトウェアを含んだデバイスに配置される。その他のアプリケーションはよりいっそうのＣＰＵ処理能を要求するかもしれないし、したがって、異なるタイプの特別な目的のデバイスに配置されるかもしれない。さらに、分散コンピューティング環境において、アプリケーションは典型的にはお互いからサービスを要求することで、ネットワーク要素機能性を提供する。
【０００８】
ネットワーク層セキュリティにおいては、ＩＰＳｅｃ、およびその関連するキー・マネージメント・プロトコルは、お互いにサービスを要求するアプリケーションの例示である。ＩＰＳｅｃサービスを高速対称暗号の能力があるデバイス上に配置すること、およびその関連するキー・マネージメント・プロトコルをその他の高いＣＰＵパワー、および／または非対称暗号アクセレーション（ａｃｃｅｌｅｒａｔｉｏｎ）を有するデバイスに配置することは、有益であるかもしれない。さらに、上述のように、先行技術においては、ＩＰＳｅｃサービス、およびそれによって使用されるキー・マネージメント・プロトコルは、同じコンピューティングデバイスに設置される。多くの互いに異なる特徴を有するキー・マネージメント・プロトコルが存在する。先行技術と同様に、もし、すべてのこれら様々なキー・マネージメント・プロトコルがＩＰＳｅｃサービスと同じデバイスに設置されなければならないとすると、ネットワーク要素設計、実装、および配置が非効率的となり、ときには不可能にすらなる。
【０００９】
特に、分散コンピューティング環境において、異なるデバイスに配置されるべきＩＰＳｅｃサービス、およびその関連したキー・マネージメント・プロトコルを可能とするさらに洗練されたアプローチへの明らかな必要性が存在する。更に、ＩＰＳｅｃ、およびその関連するキー・マネージメントのこの分散を透過的に実行することを可能とすることは有益であろう。
【発明の開示】
【課題を解決するための手段】
【００１０】
本発明は、インターネット・プロトコル・セキュリティのセキュリティ関連性を遠隔に、かつ透過的に管理するための方法、およびシステムに関連する。
【００１１】
このシステムは、一つ以上のアプリケーションデバイスを含む。各アプリケーションデバイスは、セキュリティ関連性管理要求を発行するための少なくとも一つの管理クライアントを含む。
【００１２】
このシステムは、さらに、サービスデバイスを含む。サービスデバイスは、一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段を含む。サービスデバイスは、さらに、発行された要求を受信するため、およびインターネット・プロトコル・セキュリティ・サービスに関連して受信された要求に応答するための管理サーバを含んでいる。
【００１３】
このシステムは、さらに、アプリケーションデバイスをサービスデバイスに接続するための通信ネットワークを含む。
【００１４】
本発明の一実施形態において、少なくとも一つのアプリケーションデバイスは、さらに、インターフェイスであって、そのインターフェイスを経由して、アプリケーションデバイスに関連付けられた少なくとも一つの管理クライアント、および管理サーバがお互いに通信を行なうインターフェイスを提供するためのインターフェイス手段を含む。したがって、本発明によるこのインターフェイス手段、および本発明よる管理サーバは、ＩＰＳｅｃのそういった分散、およびその関連付けられたキー・マネージメントであって、管理クライアント、およびインターネット・プロトコル・セキュリティ・サービス手段には透過的であるキー・マネージメントを可能とする。言い換えると、前記インターネット・プロトコル・セキュリティ・サービス手段が、前記管理クライアントよりむしろ、その他のデバイス上に設置されるであろうが、当該管理クライアントは、インターネット・プロトコル・セキュリティ・サービス手段によって提供されるサービスを使用できるように、それらのために修正される必要はない。
【００１５】
本発明の一実施形態によれば、セキュリティ関連性管理要求は、セキュリティ関連性を追加するための要求、セキュリティ関連性を削除するための要求、および／またはセキュリティ関連性についての問い合わせをするための要求を含む。
【００１６】
本発明の一実施形態によれば、インターフェイス手段は、管理クライアントおよび管理サーバの間の通信において使用されるデータ構造を含み、そして、インターフェイス手段は、対応する管理クライアントおよび管理クライアントに、動的に、または統計的にリンクされたソフトウェアライブラリとして実装される。
【００１７】
本発明の一実施形態においては、インターフェイス手段は、管理サーバとの通信のためのソケットを使用するように構成される。
【００１８】
本発明の一実施形態において、インターネット・プロトコル・セキュリティ・サービス手段および管理サーバは、互いの通信のためのローカル通信チャネルを使用するように構成される。
【００１９】
本発明の一実施形態において、少なくとも一つのアプリケーションデバイスは、二つ以上の管理クライアントを含み、それら管理クライアントのうち少なくとも二つが互いに異なるセッション・キー・マネージメント・プロトコルを利用する。
【００２０】
本発明の一実施形態において、前記通信ネットワークは、ローカルエリア・ネットワークである。
【００２１】
本発明は、遠隔にＩＰＳｅｃセキュリティ関連性を管理することを可能とする。ＩＰＳｅｃおよびその関連付けられたキー・マネージメントは、分離したコンピューティングデバイスに透過的に分散される。したがって、各コンピューティングデバイスは、特定のアプリケーションを実行するように最適化され得る。言い換えると、これは性能と柔軟性とを向上させる。
【００２２】
さらに、有益であれば、標準的な先行技術の解決策を排除しない。例えば、より小さな構成において、ＩＰＳｅｃおよびその関連付けられたキー・マネージメントは、同じデバイスの中で同一場所に配置され得る。これは、遠隔通信チャネルを、ローカルのものへスイッチすることで実現され得る。このスイッチはアプリケーションには透過的であり、したがって、開発努力を少なくし、柔軟性を増加する。
【００２３】
本発明のよりよい理解を提供するために添付され、本願書類を構成する添付された図面は、本発明の実施形態を図示し、本発明の原理を説明することを助ける。
【発明を実施するための最良の形態】
【００２４】
以下、本発明の実施形態について詳細に述べる。本発明の例が図面によって示される。
【００２５】
本発明の実施形態にしたがったインターネット・プロトコル・セキュリティのセキュリティ関連性を遠隔に、かつ透過的に管理するためのシステムを図１は図示する。図１に示された本発明の好適な実施形態においては、システムは二つのアプリケーションデバイスＡＰＰ＿ＤＥＶ＿１およびＡＰＰ＿ＤＥＶ＿２を含む。アプリケーションデバイスＡＰＰ＿ＤＥＶ＿１は一つの管理クライアントＭＮＧ＿ＣＬ＿１をセキュリティ関連性管理要求を発行するために含んでいるのに対して、アプリケーションデバイスＡＰＰ＿ＤＥＶ＿２は二つの管理クライアントＭＮＧ＿ＣＬ＿２およびＭＮＧ＿ＣＬ＿３を含んでいる。管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２およびＭＮＧ＿ＣＬ＿３によって発行されるセキュリティ関連性管理要求は、セキュリティ関連性を追加する要求、セキュリティ関連性を削除する要求、および／または、セキュリティ関連性についての問い合わせを行なう要求を含む。図１に図示された本発明の好適な実施形態においては、管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２、ＭＮＧ＿ＣＬ＿３のそれぞれは異なるセッション・キー・マネージメント・プロトコルを利用する。
【００２６】
インターネット・プロトコル・セキュリティは、典型的には、例えば、３ＧＰＰシステムによる通信ネットワークのＩＰ・マルチメディア・サブシステム（ＩＭＳ）によって利用される。このような場合には、ユーザ装置（図示せず）は、キー・マネージメント・プロトコルを利用することで、アプリケーションデバイスＡＰＰ＿ＤＥＶ＿１、またはＡＰＰ＿ＤＥＶ＿２と通信を行なうことが考えられる。そして、この通信の最終結果は、アプリケーションデバイスＡＰＰ＿ＤＥＶ＿１、またはＡＰＰ＿ＤＥＶ＿２によってサービスデバイスＳＲＶ＿ＤＥＶへ転送される。したがって、この場合、このアプリケーションデバイスＡＰＰ＿ＤＥＶ＿１、またはＡＰＰ＿ＤＥＶ＿２は、キー・マネージメント・プロトコルのサーバ部を動作させることが考えられる一方で、ユーザ装置は、キー・マネージメント・プロトコルのクライアント部を動作させることが考えられる。ユーザ装置はそれ自身のローカルメカニズムを使用し、最終結果をそれ自身のＩＰＳｅｃサービスへ通信する。
【００２７】
図１に図示された本発明の好適な実施形態において、システムはサービスデバイスＳＲＶ＿ＤＥＶをさらに含む。サービスデバイスＳＲＶ＿ＤＥＶは、一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段ＩＰＳＥＣを含む。サービスデバイスＳＲＶ＿ＤＥＶは、さらに、発行された要求を受信するため、かつインターネット・プロトコル・セキュリティサービス手段ＩＰＳＥＣに関連して、受信した要求に応答するための管理サーバＭＮＧ＿ＳＲＶを含む。システムは、さらに、アプリケーションデバイスをサービスデバイスに接続するための通信ネットワークＣＮを含む。
【００２８】
図１に図示された本発明の好適な実施形態において、アプリケーションデバイスＡＰＰ＿ＤＥＶおよびＡＰＰ＿ＤＥＶ＿２は、それぞれさらに、インターフェイスであって、そのインターフェイスを介して管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２、ＭＮＧ＿ＣＬ＿３、および管理サーバＭＮＧ＿ＳＲＶがお互いに通信を行なうインターフェイスを提供するインターフェイス手段ＩＦを含む。さらに、図１に図示された本発明の好適な実施形態において、インターフェイス手段ＩＦは、管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２、ＭＮＧ＿ＣＬ＿３および管理サーバＭＮＧ＿ＳＲＶの間での通信で使用されるデータ構造（図示せず）を含む。そして、インターフェイス手段ＩＦは、管理クライアントへ動的に、または統計的にリンクされ得るソフトウェアライブラリ（図示せず）としてそれぞれ実装される。
【００２９】
図１に図示された本発明の好適な実施形態において、さらに、インターフェイス手段ＩＦは、管理サーバＭＮＧ＿ＳＲＶと通信を行なうためのソケットを使用するようにそれぞれが構成され、そして、インターネット・プロトコル・セキュリティ・サービス手段ＩＰＳＥＣ、および管理サーバＭＮＧ＿ＳＲＶはお互いの通信のためにローカル通信チャネルを使用するように構成されている。
【００３０】
図１に図示されているように、さらに、システムに入る外部ＩＰトラヒックＥＸＴは、好ましくは、サービスデバイスＳＲＶ＿ＤＥＶを経由してルーティングされる。
【００３１】
図２は、本発明の実施形態にしたがって、遠隔に、かつ透過的にインターネット・プロトコル・セキュリティのセキュリティ関連性を管理するための方法を図示する。
【００３２】
一つ以上のインターネット・プロトコル・セキュリティ・サービスが、サービスデバイスにおいて提供される（段階２０）。セキュリティ関連性管理要求は、一つ以上のアプリケーションデバイスから発行される（段階２１）。アプリケーションデバイスは、通信ネットワークによって、サービスデバイスへ安全に接続される。発行された要求は、サービスデバイスにおいて受信される（段階２２）。提供されたインターネット・プロトコル・セキュリティ・サービスに関連したサービスにおいて、受信された要求が応答される（段階２３）。
【００３３】
本発明の基本的な着想は、技術の向上とともに、様々な方法で実装することができるであろうことが、当業者にとっては明らかである。したがって、本発明およびその実施形態は前述の例に制限されず、それどころか、それらは特許請求の範囲の範囲内で変化し得る。
【図面の簡単な説明】
【００３４】
【図１】図１は、本発明の一実施形態にしたがったシステムを表した構成図を示す。
【図２】図２は、本発明の一実施形態にしたがった方法を示す。
【技術分野】
【０００１】
本発明は、通信技術に関連している。特に、インターネット・プロトコル・セキュリティーのセキュリティ接続を遠隔に、かつ透過的に管理するための新規、かつ改良された方法、およびシステムに関連する。
【背景技術】
【０００２】
ＩＰＳｅｃまたはＩＰｓｅｃとも言われるインターネット・プロトコル・セキュリティーはネットワーク層でのＩＰネットワーク内のセキュリティを提供するための骨組みである。ＩＰＳｅｃは、インターネット・エンジニアリング・タスク・フォース（ＩＥＴＦ）によって開発される。ＩＥＴＦによるＲＦＣ文書（Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ， ＲＦＣ）２４０１から２４０９がＩＰＳｅｃについて記述している。
【０００３】
ＩＰＳｅｃは機密性サービス、および認証サービスをＩＰトラヒックに提供する。これらのサービスは、本質的にデータの送信者の認証を可能とする認証ヘッダ（ＡＨ、 ＲＦＣ ２４０２に記述）、および送信者の認証およびデータの暗号化の両方に対応したエンカプスレーティング・セキュリティ・ペイロード（ＥＳＰ、 ＲＦＣ ２４０６に記述）と呼ばれるプロトコルによって提供される。
【０００４】
認証ヘッダ、およびエンカプスレーティング・セキュリティ・ペイロードは動作するためにセッションキーを要求する。セッションキーは、典型的には、インターネット・キー・エクスチェンジ（ＩＫＥ、 ＲＦＣ ２４０９に記述）のようなキー・マネージメント・プロトコルを経由して生成される。認証及びキー合致（ＡＫＡ）と呼ばれるキー・マネージメント・プロトコルもまた、特に３ＧＰＰ（３ｒｄ Ｇｅｎｅｒａｔｉｏｎ Ｐａｒｔｎｅｒｓｈｉｐ Ｐｒｏｊｅｃｔ）システムに基づいた通信ネットワークにおいて、使用され得る。使用され得るその他のキー・マネージメント・プロトコルが、さらに存在する。
【０００５】
前述のプロトコルに加えて、ＩＰＳｅｃは、セキュリティ接続を使用することで、そのサービスを提供する。ＩＰＳｅｃセキュリティ接続は、トラヒック・セレクタ、暗号変換、セッションキー、およびセッションキーのライフタイムのような情報を含んでいる。キー・マネージメント・アプリケーションは、ＩＰＳｅｃ接続の生成、および削除を取り決める責任を負っている。
【０００６】
典型的には、ＩＰＳｅｃサービスおよびキー・マネージメント・プロトコルは、例えば、専用のセキュリティ・ゲートウェイ、サーバ、デスクトップ・コンピュータ、および手持ち式の端末において発見される。先行技術において、ターゲットデバイスが何であれ、同じデバイス内に同一場所に配置されているという意味では、ＰＩＳｅｃサービスとキー・マネージメント・プロトコルは互いに結び付けられている。そしてまた、ＩＰＳｅｃサービスと関連付けられたキー・マネージメント・プロトコルの間の通信機構は、ローカルである。
【０００７】
しかし、分散コンピューティング環境において、ネットワーク要素機能性は、様々なアプリケーションが専用デバイスに配置されるアーキテクチャから利益を得る。例えば、暗号化動作を要求するアプリケーションは、典型的には特別な目的のためのデバイスであって、そのタスクのために適切なハードウェアおよびソフトウェアを含んだデバイスに配置される。その他のアプリケーションはよりいっそうのＣＰＵ処理能を要求するかもしれないし、したがって、異なるタイプの特別な目的のデバイスに配置されるかもしれない。さらに、分散コンピューティング環境において、アプリケーションは典型的にはお互いからサービスを要求することで、ネットワーク要素機能性を提供する。
【０００８】
ネットワーク層セキュリティにおいては、ＩＰＳｅｃ、およびその関連するキー・マネージメント・プロトコルは、お互いにサービスを要求するアプリケーションの例示である。ＩＰＳｅｃサービスを高速対称暗号の能力があるデバイス上に配置すること、およびその関連するキー・マネージメント・プロトコルをその他の高いＣＰＵパワー、および／または非対称暗号アクセレーション（ａｃｃｅｌｅｒａｔｉｏｎ）を有するデバイスに配置することは、有益であるかもしれない。さらに、上述のように、先行技術においては、ＩＰＳｅｃサービス、およびそれによって使用されるキー・マネージメント・プロトコルは、同じコンピューティングデバイスに設置される。多くの互いに異なる特徴を有するキー・マネージメント・プロトコルが存在する。先行技術と同様に、もし、すべてのこれら様々なキー・マネージメント・プロトコルがＩＰＳｅｃサービスと同じデバイスに設置されなければならないとすると、ネットワーク要素設計、実装、および配置が非効率的となり、ときには不可能にすらなる。
【０００９】
特に、分散コンピューティング環境において、異なるデバイスに配置されるべきＩＰＳｅｃサービス、およびその関連したキー・マネージメント・プロトコルを可能とするさらに洗練されたアプローチへの明らかな必要性が存在する。更に、ＩＰＳｅｃ、およびその関連するキー・マネージメントのこの分散を透過的に実行することを可能とすることは有益であろう。
【発明の開示】
【課題を解決するための手段】
【００１０】
本発明は、インターネット・プロトコル・セキュリティのセキュリティ関連性を遠隔に、かつ透過的に管理するための方法、およびシステムに関連する。
【００１１】
このシステムは、一つ以上のアプリケーションデバイスを含む。各アプリケーションデバイスは、セキュリティ関連性管理要求を発行するための少なくとも一つの管理クライアントを含む。
【００１２】
このシステムは、さらに、サービスデバイスを含む。サービスデバイスは、一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段を含む。サービスデバイスは、さらに、発行された要求を受信するため、およびインターネット・プロトコル・セキュリティ・サービスに関連して受信された要求に応答するための管理サーバを含んでいる。
【００１３】
このシステムは、さらに、アプリケーションデバイスをサービスデバイスに接続するための通信ネットワークを含む。
【００１４】
本発明の一実施形態において、少なくとも一つのアプリケーションデバイスは、さらに、インターフェイスであって、そのインターフェイスを経由して、アプリケーションデバイスに関連付けられた少なくとも一つの管理クライアント、および管理サーバがお互いに通信を行なうインターフェイスを提供するためのインターフェイス手段を含む。したがって、本発明によるこのインターフェイス手段、および本発明よる管理サーバは、ＩＰＳｅｃのそういった分散、およびその関連付けられたキー・マネージメントであって、管理クライアント、およびインターネット・プロトコル・セキュリティ・サービス手段には透過的であるキー・マネージメントを可能とする。言い換えると、前記インターネット・プロトコル・セキュリティ・サービス手段が、前記管理クライアントよりむしろ、その他のデバイス上に設置されるであろうが、当該管理クライアントは、インターネット・プロトコル・セキュリティ・サービス手段によって提供されるサービスを使用できるように、それらのために修正される必要はない。
【００１５】
本発明の一実施形態によれば、セキュリティ関連性管理要求は、セキュリティ関連性を追加するための要求、セキュリティ関連性を削除するための要求、および／またはセキュリティ関連性についての問い合わせをするための要求を含む。
【００１６】
本発明の一実施形態によれば、インターフェイス手段は、管理クライアントおよび管理サーバの間の通信において使用されるデータ構造を含み、そして、インターフェイス手段は、対応する管理クライアントおよび管理クライアントに、動的に、または統計的にリンクされたソフトウェアライブラリとして実装される。
【００１７】
本発明の一実施形態においては、インターフェイス手段は、管理サーバとの通信のためのソケットを使用するように構成される。
【００１８】
本発明の一実施形態において、インターネット・プロトコル・セキュリティ・サービス手段および管理サーバは、互いの通信のためのローカル通信チャネルを使用するように構成される。
【００１９】
本発明の一実施形態において、少なくとも一つのアプリケーションデバイスは、二つ以上の管理クライアントを含み、それら管理クライアントのうち少なくとも二つが互いに異なるセッション・キー・マネージメント・プロトコルを利用する。
【００２０】
本発明の一実施形態において、前記通信ネットワークは、ローカルエリア・ネットワークである。
【００２１】
本発明は、遠隔にＩＰＳｅｃセキュリティ関連性を管理することを可能とする。ＩＰＳｅｃおよびその関連付けられたキー・マネージメントは、分離したコンピューティングデバイスに透過的に分散される。したがって、各コンピューティングデバイスは、特定のアプリケーションを実行するように最適化され得る。言い換えると、これは性能と柔軟性とを向上させる。
【００２２】
さらに、有益であれば、標準的な先行技術の解決策を排除しない。例えば、より小さな構成において、ＩＰＳｅｃおよびその関連付けられたキー・マネージメントは、同じデバイスの中で同一場所に配置され得る。これは、遠隔通信チャネルを、ローカルのものへスイッチすることで実現され得る。このスイッチはアプリケーションには透過的であり、したがって、開発努力を少なくし、柔軟性を増加する。
【００２３】
本発明のよりよい理解を提供するために添付され、本願書類を構成する添付された図面は、本発明の実施形態を図示し、本発明の原理を説明することを助ける。
【発明を実施するための最良の形態】
【００２４】
以下、本発明の実施形態について詳細に述べる。本発明の例が図面によって示される。
【００２５】
本発明の実施形態にしたがったインターネット・プロトコル・セキュリティのセキュリティ関連性を遠隔に、かつ透過的に管理するためのシステムを図１は図示する。図１に示された本発明の好適な実施形態においては、システムは二つのアプリケーションデバイスＡＰＰ＿ＤＥＶ＿１およびＡＰＰ＿ＤＥＶ＿２を含む。アプリケーションデバイスＡＰＰ＿ＤＥＶ＿１は一つの管理クライアントＭＮＧ＿ＣＬ＿１をセキュリティ関連性管理要求を発行するために含んでいるのに対して、アプリケーションデバイスＡＰＰ＿ＤＥＶ＿２は二つの管理クライアントＭＮＧ＿ＣＬ＿２およびＭＮＧ＿ＣＬ＿３を含んでいる。管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２およびＭＮＧ＿ＣＬ＿３によって発行されるセキュリティ関連性管理要求は、セキュリティ関連性を追加する要求、セキュリティ関連性を削除する要求、および／または、セキュリティ関連性についての問い合わせを行なう要求を含む。図１に図示された本発明の好適な実施形態においては、管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２、ＭＮＧ＿ＣＬ＿３のそれぞれは異なるセッション・キー・マネージメント・プロトコルを利用する。
【００２６】
インターネット・プロトコル・セキュリティは、典型的には、例えば、３ＧＰＰシステムによる通信ネットワークのＩＰ・マルチメディア・サブシステム（ＩＭＳ）によって利用される。このような場合には、ユーザ装置（図示せず）は、キー・マネージメント・プロトコルを利用することで、アプリケーションデバイスＡＰＰ＿ＤＥＶ＿１、またはＡＰＰ＿ＤＥＶ＿２と通信を行なうことが考えられる。そして、この通信の最終結果は、アプリケーションデバイスＡＰＰ＿ＤＥＶ＿１、またはＡＰＰ＿ＤＥＶ＿２によってサービスデバイスＳＲＶ＿ＤＥＶへ転送される。したがって、この場合、このアプリケーションデバイスＡＰＰ＿ＤＥＶ＿１、またはＡＰＰ＿ＤＥＶ＿２は、キー・マネージメント・プロトコルのサーバ部を動作させることが考えられる一方で、ユーザ装置は、キー・マネージメント・プロトコルのクライアント部を動作させることが考えられる。ユーザ装置はそれ自身のローカルメカニズムを使用し、最終結果をそれ自身のＩＰＳｅｃサービスへ通信する。
【００２７】
図１に図示された本発明の好適な実施形態において、システムはサービスデバイスＳＲＶ＿ＤＥＶをさらに含む。サービスデバイスＳＲＶ＿ＤＥＶは、一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段ＩＰＳＥＣを含む。サービスデバイスＳＲＶ＿ＤＥＶは、さらに、発行された要求を受信するため、かつインターネット・プロトコル・セキュリティサービス手段ＩＰＳＥＣに関連して、受信した要求に応答するための管理サーバＭＮＧ＿ＳＲＶを含む。システムは、さらに、アプリケーションデバイスをサービスデバイスに接続するための通信ネットワークＣＮを含む。
【００２８】
図１に図示された本発明の好適な実施形態において、アプリケーションデバイスＡＰＰ＿ＤＥＶおよびＡＰＰ＿ＤＥＶ＿２は、それぞれさらに、インターフェイスであって、そのインターフェイスを介して管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２、ＭＮＧ＿ＣＬ＿３、および管理サーバＭＮＧ＿ＳＲＶがお互いに通信を行なうインターフェイスを提供するインターフェイス手段ＩＦを含む。さらに、図１に図示された本発明の好適な実施形態において、インターフェイス手段ＩＦは、管理クライアントＭＮＧ＿ＣＬ＿１、ＭＮＧ＿ＣＬ＿２、ＭＮＧ＿ＣＬ＿３および管理サーバＭＮＧ＿ＳＲＶの間での通信で使用されるデータ構造（図示せず）を含む。そして、インターフェイス手段ＩＦは、管理クライアントへ動的に、または統計的にリンクされ得るソフトウェアライブラリ（図示せず）としてそれぞれ実装される。
【００２９】
図１に図示された本発明の好適な実施形態において、さらに、インターフェイス手段ＩＦは、管理サーバＭＮＧ＿ＳＲＶと通信を行なうためのソケットを使用するようにそれぞれが構成され、そして、インターネット・プロトコル・セキュリティ・サービス手段ＩＰＳＥＣ、および管理サーバＭＮＧ＿ＳＲＶはお互いの通信のためにローカル通信チャネルを使用するように構成されている。
【００３０】
図１に図示されているように、さらに、システムに入る外部ＩＰトラヒックＥＸＴは、好ましくは、サービスデバイスＳＲＶ＿ＤＥＶを経由してルーティングされる。
【００３１】
図２は、本発明の実施形態にしたがって、遠隔に、かつ透過的にインターネット・プロトコル・セキュリティのセキュリティ関連性を管理するための方法を図示する。
【００３２】
一つ以上のインターネット・プロトコル・セキュリティ・サービスが、サービスデバイスにおいて提供される（段階２０）。セキュリティ関連性管理要求は、一つ以上のアプリケーションデバイスから発行される（段階２１）。アプリケーションデバイスは、通信ネットワークによって、サービスデバイスへ安全に接続される。発行された要求は、サービスデバイスにおいて受信される（段階２２）。提供されたインターネット・プロトコル・セキュリティ・サービスに関連したサービスにおいて、受信された要求が応答される（段階２３）。
【００３３】
本発明の基本的な着想は、技術の向上とともに、様々な方法で実装することができるであろうことが、当業者にとっては明らかである。したがって、本発明およびその実施形態は前述の例に制限されず、それどころか、それらは特許請求の範囲の範囲内で変化し得る。
【図面の簡単な説明】
【００３４】
【図１】図１は、本発明の一実施形態にしたがったシステムを表した構成図を示す。
【図２】図２は、本発明の一実施形態にしたがった方法を示す。
【特許請求の範囲】
【請求項１】
インターネット・プロトコル・セキュリティのセキュリティ関連性を遠隔に、かつ透過的に管理するためのシステムであって、
セキュリティ関連性管理要求を発行するための少なくとも一つの管理クライアントを含むアプリケーションデバイスと、
一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段と、前記少なくとも一つの管理クライアントから発行された前記セキュリティ関連性管理要求を受信し、前記インターネット・プロトコル・セキュリティ・サービス手段に関連して、前記管理サーバにおいて受信される前記セキュリティ関連性管理要求に応答するための管理サーバとを含むサービスデバイスと、
前記アプリケーションデバイスを前記サービスデバイスに接続するための通信ネットワークと、
を備えることを特徴とするシステム。
【請求項２】
請求項１に記載のシステムにおいて、前記アプリケーションデバイスがさらに前記アプリケーションデバイスに関連付けられた前記少なくとも一つの管理クライアントと前記管理サーバとの間の通信のためのインターフェイスを提供するためのインターフェイス手段を含むことを特徴とするシステム。
【請求項３】
請求項１に記載のシステムにおいて、前記セキュリティ関連性管理要求が、セキュリティ関連性を追加する追加要求、セキュリティ関連性を削除する削除要求、セキュリティ関連性について問い合わせをする問い合わせ要求のうち少なくともひとつを含むことを特徴とするシステム。
【請求項４】
請求項２に記載のシステムにおいて、前記インターフェイス手段が前記管理サーバとの通信のためのソケットを使用するように構成されていることを特徴とするシステム。
【請求項５】
請求項２に記載のシステムにおいて、前記インターフェイス手段が前記管理クライアントと、前記管理サーバとの間の通信において使用されるデータ構造を含むことを特徴とするシステム。
【請求項６】
請求項２に記載のシステムにおいて、前記インターフェイス手段は、動的に、または統計的に対応する管理クライアントにリンクされるソフトウェアライブラリとして実装されることを特徴とするシステム。
【請求項７】
請求項１に記載のシステムにおいて、前記インターネット・プロトコル・セキュリティ・サービス手段と、前記管理サーバとが、前記インターネット・プロトコル・セキュリティ・サービス手段と、前記管理サーバとの間の通信のためのローカル通信チャネルを使用するように構成されていることを特徴とするシステム。
【請求項８】
請求項１に記載のシステムにおいて、少なくとも一つのアプリケーションデバイスが二つ以上の管理クライアントを含み、少なくとも二つの前記管理クライアントが異なるセッション・キー・マネージメント・プロトコルを使用することを特徴とするシステム。
【請求項９】
請求項１に記載のシステムにおいて、前記通信ネットワークはローカルエリア・ネットワークを含むことを特徴とするシステム。
【請求項１０】
インターネット・プロトコル・セキュリティのセキュリティ関連性を遠隔に、かつ透過的に管理するための方法であって、
サービスデバイスにおいて一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供する段階と、
通信ネットワークによって前記サービスデバイスに接続されるアプリケーションデバイスからセキュリティ関連性管理要求を発行する段階と、
前記サービスデバイスにおいて、前記アプリケーションデバイスから発行された前記セキュリティ関連性管理要求を受信する段階と、
インターネット・プロトコル・セキュリティ・サービスと関連して、前記サービスデバイスにおいて受信された前記セキュリティ関連性管理要求に応答する段階と、
を含むことを特徴とする方法。
【請求項１１】
請求項１０に記載の方法において、アプリケーションデバイスから発行された少なくとも一つの前記セキュリティ関連性管理要求と、対応する応答とが、前記アプリケーションデバイスと関連付けられたインターフェイスを経由して通信されることを特徴とする方法。
【請求項１２】
請求項１０に記載の方法であって、前記セキュリティ関連性管理要求が、セキュリティ関連性を追加するための追加要求、セキュリティ関連性を削除する削除要求、セキュリティ関連性について問い合わせる問い合わせ要求のうち少なくとも一つを含むことを特徴とする方法。
【請求項１】
インターネット・プロトコル・セキュリティのセキュリティ関連性を遠隔に、かつ透過的に管理するためのシステムであって、
セキュリティ関連性管理要求を発行するための少なくとも一つの管理クライアントを含むアプリケーションデバイスと、
一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供するためのインターネット・プロトコル・セキュリティ・サービス手段と、前記少なくとも一つの管理クライアントから発行された前記セキュリティ関連性管理要求を受信し、前記インターネット・プロトコル・セキュリティ・サービス手段に関連して、前記管理サーバにおいて受信される前記セキュリティ関連性管理要求に応答するための管理サーバとを含むサービスデバイスと、
前記アプリケーションデバイスを前記サービスデバイスに接続するための通信ネットワークと、
を備えることを特徴とするシステム。
【請求項２】
請求項１に記載のシステムにおいて、前記アプリケーションデバイスがさらに前記アプリケーションデバイスに関連付けられた前記少なくとも一つの管理クライアントと前記管理サーバとの間の通信のためのインターフェイスを提供するためのインターフェイス手段を含むことを特徴とするシステム。
【請求項３】
請求項１に記載のシステムにおいて、前記セキュリティ関連性管理要求が、セキュリティ関連性を追加する追加要求、セキュリティ関連性を削除する削除要求、セキュリティ関連性について問い合わせをする問い合わせ要求のうち少なくともひとつを含むことを特徴とするシステム。
【請求項４】
請求項２に記載のシステムにおいて、前記インターフェイス手段が前記管理サーバとの通信のためのソケットを使用するように構成されていることを特徴とするシステム。
【請求項５】
請求項２に記載のシステムにおいて、前記インターフェイス手段が前記管理クライアントと、前記管理サーバとの間の通信において使用されるデータ構造を含むことを特徴とするシステム。
【請求項６】
請求項２に記載のシステムにおいて、前記インターフェイス手段は、動的に、または統計的に対応する管理クライアントにリンクされるソフトウェアライブラリとして実装されることを特徴とするシステム。
【請求項７】
請求項１に記載のシステムにおいて、前記インターネット・プロトコル・セキュリティ・サービス手段と、前記管理サーバとが、前記インターネット・プロトコル・セキュリティ・サービス手段と、前記管理サーバとの間の通信のためのローカル通信チャネルを使用するように構成されていることを特徴とするシステム。
【請求項８】
請求項１に記載のシステムにおいて、少なくとも一つのアプリケーションデバイスが二つ以上の管理クライアントを含み、少なくとも二つの前記管理クライアントが異なるセッション・キー・マネージメント・プロトコルを使用することを特徴とするシステム。
【請求項９】
請求項１に記載のシステムにおいて、前記通信ネットワークはローカルエリア・ネットワークを含むことを特徴とするシステム。
【請求項１０】
インターネット・プロトコル・セキュリティのセキュリティ関連性を遠隔に、かつ透過的に管理するための方法であって、
サービスデバイスにおいて一つ以上のインターネット・プロトコル・セキュリティ・サービスを提供する段階と、
通信ネットワークによって前記サービスデバイスに接続されるアプリケーションデバイスからセキュリティ関連性管理要求を発行する段階と、
前記サービスデバイスにおいて、前記アプリケーションデバイスから発行された前記セキュリティ関連性管理要求を受信する段階と、
インターネット・プロトコル・セキュリティ・サービスと関連して、前記サービスデバイスにおいて受信された前記セキュリティ関連性管理要求に応答する段階と、
を含むことを特徴とする方法。
【請求項１１】
請求項１０に記載の方法において、アプリケーションデバイスから発行された少なくとも一つの前記セキュリティ関連性管理要求と、対応する応答とが、前記アプリケーションデバイスと関連付けられたインターフェイスを経由して通信されることを特徴とする方法。
【請求項１２】
請求項１０に記載の方法であって、前記セキュリティ関連性管理要求が、セキュリティ関連性を追加するための追加要求、セキュリティ関連性を削除する削除要求、セキュリティ関連性について問い合わせる問い合わせ要求のうち少なくとも一つを含むことを特徴とする方法。
【図１】
【図２】
【図２】
【公表番号】特表２００７−５０６２０２（Ｐ２００７−５０６２０２Ａ）
【公表日】平成１９年３月１５日（２００７．３．１５）
【国際特許分類】
【出願番号】特願２００６−５２７４３１（Ｐ２００６−５２７４３１）
【出願日】平成１６年８月１０日（２００４．８．１０）
【国際出願番号】ＰＣＴ／ＦＩ２００４／０００４７３
【国際公開番号】ＷＯ２００５／０２９８１１
【国際公開日】平成１７年３月３１日（２００５．３．３１）
【出願人】（３９８０１２６１６）ノキア コーポレイション (1,359)
【Ｆターム（参考）】
【公表日】平成１９年３月１５日（２００７．３．１５）
【国際特許分類】
【出願日】平成１６年８月１０日（２００４．８．１０）
【国際出願番号】ＰＣＴ／ＦＩ２００４／０００４７３
【国際公開番号】ＷＯ２００５／０２９８１１
【国際公開日】平成１７年３月３１日（２００５．３．３１）
【出願人】（３９８０１２６１６）ノキア コーポレイション (1,359)
【Ｆターム（参考）】
[ Back to top ]