ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法及びそのシステム
【課題】 正当にＩＰｖ４アドレス割り当てを要請するＤＳＴＭノードにのみＩＰＶ４アドレスを割り当てることができる、ＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４（Internet Protocol version 6-IP version 4）ネットワークにおけるＩＰｖ６パケットの偽造防止方法及びシステムを提供する。
【解決手段】ＩＰｖ６ネットワークとＩＰｖ４ネットワークが共存するＩＰｖ６−ＩＰｖ４ネットワークにおいて、ＤＳＴＭノードによりＩＰｖ４アドレスの割り当てを要請されたＤＳＴＭサーバー(110)が動的アドレステーブルを使用して該要請の正当性を判断し、正当な要請のみに対してＩＰｖ４アドレスを割り当て、該サーバーの動的アドレステーブルとＤＳＴＭ境界ルータ(120)の動的アドレステーブルを同期化させて、正当にＩＰｖ４アドレスを割り当てられたパケットだけをルーティングすることによって、ＩＰｖ６パケットの偽造を防止する。
【解決手段】ＩＰｖ６ネットワークとＩＰｖ４ネットワークが共存するＩＰｖ６−ＩＰｖ４ネットワークにおいて、ＤＳＴＭノードによりＩＰｖ４アドレスの割り当てを要請されたＤＳＴＭサーバー(110)が動的アドレステーブルを使用して該要請の正当性を判断し、正当な要請のみに対してＩＰｖ４アドレスを割り当て、該サーバーの動的アドレステーブルとＤＳＴＭ境界ルータ(120)の動的アドレステーブルを同期化させて、正当にＩＰｖ４アドレスを割り当てられたパケットだけをルーティングすることによって、ＩＰｖ６パケットの偽造を防止する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケットの偽造を防止するための方法及びシステムに関する。
【背景技術】
【０００２】
ＩＰｖ６（Internet Protocol version 6）−ＩＰｖ４（IP version 4）ネットワークは、ＩＰｖ６ネットワークとＩＰｖ４ネットワークとが共存するネットワークを意味する。ＩＰｖ６ネットワークは、以前に使われたＩＰｖ４のアドレス不足問題などを解決するために提案されたものである。この新たに提案されたＩＰｖ６ネットワークの導入以後は、既存のＩＰｖ４ネットワークと新たなＩＰｖ６ネットワークとが共存している。ＩＰｖ４ネットワークとＩＰｖ６ネットワークの共存は、既存のＩＰｖ４がＩＰｖ６ネットワークに完全に代替されるまで続くものと考えられる。このようなＩＰｖ４ネットワークとＩＰｖ６ネットワークの共存により、ＩＰｖ４ネットワークとＩＰｖ６ネットワークとの間のデータ通信のための技術が必要とされる。
【０００３】
ＩＰｖ６ネットワークとＩＰｖ４ネットワークとの間の通信のための技術は、ＩＰｖ６／ＩＰｖ４デュアルスタック、トンネリング技術、変換技術などの様々な分野において研究がなされている。ＩＰｖ６／ＩＰｖ４トンネリング技術には、６ｔｏ４、ＤＳＴＭ（Dual Stack Transition Mechanism）、ＩＳＡＴＡＰ（Intra Site Automatic Tunnel Addressing Protocol）、ＴＥＲＥＤＯ、トンネルブローカー（Tunnel Broker）などの方法がある。また、変換技術には、ＮＡＴ−ＰＴ（Network Address Transition Protocol Transition）、ＳＩＩＴ（Stateless IPv6-IPv4 Translator）、ＢＩＡ（Bump-in-the-API）などの方法がある。このようなＩＰｖ６／ＩＰｖ４の変換ないし転換、転移（transition）のための技術は、ＩＥＴＦ（Internet Engineering Task Force）ｖ６ｏｐｓＷＧ（Work Group）で研究されている。
【０００４】
これらのうち、ＤＳＴＭ技術は、既存のＩＰｖ４システムのうちアップグレードが可能なノードを、ＩＰｖ４とＩＰｖ６を共に支援するデュアルスタック構造で製作し、当該ノードにＩＰｖ６アドレスを割り当ててＩＰｖ６ノードとして動作できるようにし、かつ、当該ノードが必要とする時毎にＩＰｖ４アドレスを動的に割り当てて（他のいわゆる純粋な）ＩＰｖ４ノードと通信できるようにする技術である。このＤＳＴＭ技術は、全てのネットワークがＩＰｖ６ネットワークに代替される最後の段階において適用できる技術である。
【０００５】
ＤＳＴＭの環境下では、ＩＰｖ４ネットワークと通信しようとするＩＰｖ６ネットワーク側ノード（以下、「ＤＳＴＭノード」と言う。）は、ＤＳＴＭサーバーからＩＰｖ４アドレスを（動的に）割り当てられ、その割り当てられたＩＰｖ４アドレスを使用してＩＰｖ４ネットワークと通信する。
【０００６】
しかしながら、ＤＳＴＭノードに対するＩＰｖ４アドレス割り当てに際して、以下のような問題が発生することが考えられる。
【０００７】
すなわち、ＩＰｖ４ネットワークとの円滑な通信を行うために、ＤＳＴＭサーバーは、ＩＰｖ４アドレスを割り当てることを要請される。ところが、このとき、悪意的なノードからの不法（illegal）で且つ反復的なＩＰｖ４アドレス割り当て要請により、ＤＳＴＭサーバーでＩＰｖ４アドレスが不足する事態が発生し得る。その理由は、偽造されたマック（ＭＡＣ）アドレスまたは偽造されたＩＰｖ６アドレスを使用して、不法なＩＰｖ４アドレス割り当て要請を繰り返し行うことができるからである。したがって、ＤＳＴＭ環境では、偽造されたＩＰｖ６パケットを使用した不法で且つ反復的なＩＰｖ４アドレス割り当て要請によるＤｏＳ（Denial-of-Service）攻撃の問題が発生することが考えられる。また、ＤＳＴＭノードからＴＥＰ（Tunnel End Point）を通過してＩＰｖ４ネットワークに向かうＩＰｖ６パケットの偽造の問題が発生することも考えられる。言い換えると、ＤＳＴＭノードは、ＤＳＴＭサーバーへのＩＰｖ４アドレス割り当て要請を通じて正常でなく（abnormally）割り当てられた不法なＩＰｖ４アドレスを使用して、ＩＰｖ４ネットワークと通信できるものである。
【０００８】
ＤＳＴＭ環境では、ＩＰｖ４アドレス割り当て過程及びＩＰｖ４ネットワークとの通信過程で発生し得るこのような問題を解決するために、ＤＳＴＭサーバーとしてＤＮＳＳＥＣ（Domain Name System SECurity Extension）、ＤＨＣＰｖ６サーバーを使用する場合には、ＤＨＣＰｖ６の認証メッセージを使用することがＤＮＳ（Domain Name Server）側に勧告されている。しかしながら、これらの技術は、保安（セキュリティ）プロトコルや暗号学的技法を、ＤＳＴＭ構造自体に付加的に使用しなければならない、という点で短所を有している。
【特許文献１】大韓民国出願第１０−２００２−００２９９５４号明細書
【発明の開示】
【発明が解決しようとする課題】
【０００９】
従って、本発明の目的は、正当にＩＰｖ４アドレス割り当てを要請するＤＳＴＭノードにのみＩＰＶ４アドレスを割り当てることができる、ＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４（Internet Protocol version 6-IP version 4）ネットワークにおけるＩＰｖ６パケットの偽造防止方法及びシステムを提供することにある。
【００１０】
また、本発明の他の目的は、ＩＰｖ４アドレスの消耗を防止できる、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケットの偽造防止方法及びシステムを提供することにある。
【００１１】
また、本発明のさらに他の目的は、ＤＳＴＭ構造を変更することなく、ＩＰｖ６パケットの偽造を防止することによって、light-weight securityサービスを提供できる、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケットの偽造防止方法及びそのシステムを提供することにある。
【課題を解決するための手段】
【００１２】
前記目的を達成するために、本発明の一側面によるＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４（Internet Protocol version 4-IP version 6）ネットワークにおけるＩＰｖ６パケット偽造防止方法は、ＤＳＴＭサーバーがＤＳＴＭノードからＩＰｖ４アドレス割り当て要請を受信する過程と、前記ＤＳＴＭサーバーが、予め格納された自機の動的アドレステーブルを使用して前記要請が正当な要請であるか否かを判断する過程と、前記要請が正当であると判断された場合に、前記ＤＳＴＭサーバーが前記ＤＳＴＭノードにＩＰｖ４アドレスを割り当て、前記ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報とを含むように、前記動的アドレステーブルを更新する過程と、前記ＤＳＴＭサーバーが、前記割り当てられたＩＰｖ４アドレスを前記ＤＳＴＭノードに送信する過程と、前記ＤＳＴＭサーバーが、前記更新された動的アドレステーブルをＤＳＴＭ境界ルータに送信し、自機の動的アドレステーブルと前記ＤＳＴＭ境界ルータの動的アドレステーブルとを同期化する過程と、を備えることができる。
【００１３】
前記ＤＳＴＭノードの情報は、少なくとも前記ＤＳＴＭノードのマック（Media Access Control；ＭＡＣ）アドレス及びＩＰｖ６アドレスを含むことができる。
【００１４】
前記ＤＳＴＭサーバーが前記ＤＳＴＭノードの要請が正当な要請であるか否かを判断する過程は、前記ＤＳＴＭサーバーが、前記ＤＳＴＭノードのマックアドレスと同じマックアドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードのＩＰｖ６アドレスと、自機の動的アドレステーブルに含まれた、当該マックアドレスに対応するＩＰｖ６アドレスとを比較する過程と、当該比較の結果、前記ＤＳＴＭノードのＩＰｖ６アドレスと自機の動的アドレステーブルに含まれたＩＰｖ６アドレスとが同一でない場合には、前記ＤＳＴＭノードのＩＰｖ４アドレス割り当て要請は、不当な要請であると判断する過程と、を備えることができる。
【００１５】
また、前記ＤＳＴＭサーバーが前記ＤＳＴＭノードの要請が正当な要請であるか否かを判断する過程は、前記ＤＳＴＭサーバーが、前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれていないと判断された場合に、前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードのＩＰｖ４アドレス割り当て要請は不当な要請であると判断する過程と、を備えることができる。
【００１６】
本発明の方法では、前記ＤＳＴＭ境界ルータが、前記ＤＳＴＭサーバーの動的アドレステーブルに同期化された自機の動的アドレステーブルを使用して、受信されるパケットが正当なパケットであるか否かを判断する過程と、前記ＤＳＴＭ境界ルータが、前記正当であると判断されたパケットをフォワーディングする過程と、をさらに備えることができる。
【００１７】
前記受信パケットが正当であるか否かをＤＳＴＭ境界ルータで判断する過程は、前記受信パケットの情報が前記自機の動的アドレステーブルに含まれている場合に、当該パケットを正当であると判断する過程を備えることができる。
【００１８】
前記ＤＳＴＭ境界ルータの動的アドレステーブル及び前記ＤＳＴＭノードの動的アドレステーブルは、タイムアウト項目、マーカー項目をさらに含むことができる。
【００１９】
また、本発明方法では、前記ＤＳＴＭ境界ルータが自機の動的アドレステーブルに含まれたＤＳＴＭノードからのパケット受信が当該ノードに割り当てられたタイムアウト時間内になされない場合に、当該ＤＳＴＭノードを不当なノードであると判断する過程をさらに備えることができる。
【００２０】
さらに、本発明方法では、前記ＤＳＴＭ境界ルータが前記タイムアウトチェックにより不当と判断されたＤＳＴＭノードの情報を自機の動的アドレステーブルから削除し、自機の動的アドレステーブルと前記ＤＳＴＭサーバーの動的アドレステーブルを同期化させるために、前記削除されたＤＳＴＭノードの情報を前記ＤＳＴＭサーバーに送信する過程をさらに備えることができる。
【００２１】
また、本発明方法では、当該ＤＳＴＭノードに割り当てられたタイムアウト時間内に当該ＤＳＴＭノードが送信したパケットが受信される場合に、前記ＤＳＴＭ境界ルータが自機の動的アドレステーブルの、当該ＤＳＴＭノードに対応するマーカー項目に所定の値を設定する過程をさらに備えることができる。
【００２２】
本発明の方法において、前記ＤＳＴＭサーバーは、ＩＰｖ４アドレスを割り当てられたＤＳＴＭノードから自機がＩＰｖ４アドレスの割り当てを要請しなかったことを通知される場合に、当該ＩＰｖ４アドレスの割り当てを取り消す過程をさらに備えることができる。
【００２３】
また、本発明の他の側面によるＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システムは、ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報を含む動的アドレステーブルを使用して、任意のＤＳＴＭノードから受信されるパケットを認証し、認証されたパケットをフォワーディングするＤＳＴＭ境界ルータと、ＤＳＴＭノードからのＩＰｖ４アドレス割り当て要請を受信した場合に、当該要請が正当な要請であるか否かを判断した後、正当であると判断された要請に応答して当該ＤＳＴＭノードにＩＰｖ４アドレスを割り当て、当該ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報を含むように、予め格納された自機の動的アドレステーブルを更新し、当該更新された動的アドレステーブルを前記ＤＳＴＭ境界ルータに提供して自機の動的アドレステーブルと前記ＤＳＴＭ境界ルータの動的アドレステーブルを同期化するＤＳＴＭサーバーと、を備える。
【００２４】
前記ＤＳＴＭサーバーは、前記ＤＳＴＭノードのマックアドレスと同じマックアドレスが自機の動的アドレステーブルに含まれていて、前記動的アドレステーブルに含まれた、前記マックアドレスに対応するＩＰｖ６アドレスが前記ＤＳＴＭノードのＩＰｖ６アドレスと同一でない場合には、前記ＤＳＴＭノードの要請は不当と判断することができる。
【００２５】
前記ＤＳＴＭサーバーは、前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれておらず、前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードの要請は不当な要請であると判断することができる。
【００２６】
前記ＤＳＴＭ境界ルータは、自機の動的アドレステーブルに含まれたＤＳＴＭノードの各々に対して、当該ＤＳＴＭノードが送信したパケットが当該ＤＳＴＭノードに割り当てられた所定のタイムアウト時間内に受信されるか否かを判断し、当該ＤＳＴＭノードが送信するパケットが前記タイムアウト時間内に受信されない場合に、当該ＤＳＴＭノードは不当なＤＳＴＭノードであると判断することができる。
【００２７】
前記ＤＳＴＭ境界ルータは、前記タイムアウトチェックの結果、不当と判断されたＤＳＴＭノードを前記自機の動的アドレステーブルから削除し、当該削除されたＤＳＴＭノードの情報を前記ＤＳＴＭサーバーに提供することができる。
【００２８】
前述したように、本発明に係るＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法及びそのシステムは、動的アドレステーブル（Dynamic Address Table；ＤＡＴ）を使用してＩＰｖ６パケットの偽造を防止することを特徴とする。
【００２９】
ＤＳＴＭ技術は、既存のＩＰｖ４システムのうちアップグレードが可能なノードを、ＩＰｖ４とＩＰｖ６を共に支援するデュアルスタック構造で製作し、ＩＰｖ６アドレスを割り当てて純粋なＩＰｖ４ノードと通信できるようにする方法である。ＤＳＴＭ技術は、全てのネットワークがＩＰｖ６に行く最後の段階に適用されることが好ましい。このような場合、ＤＳＴＭ技術は、ＩＰｖ６ネットワークのホストと孤立されたＩＰｖ４ネットワークのホスト間の通信のために使われることができる。
【発明の効果】
【００３０】
本発明によるＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法及びそのシステムは、動的アドレステーブルを使用して不法なＩＰｖ４アドレス割り当て要請を検出し、正当にＩＰｖ４アドレス割り当てを要請したＤＳＴＭノードのみにＩＰｖ４アドレスを割り当てることができる。したがって、本発明によれば、ＩＰｖ６パケットの偽造を防止することができ、ＤＳＴＭ環境で発生し得るＤｏＳ（Denial-of-Service）攻撃を防止することができる。また、本発明によれば、ＩＰｖ４アドレスの消耗ないし不足を防止することができる。さらに、本発明によれば、付加的なプロトコルまたは暗号学的技法を使用することなく、ＩＰｖ６パケットの偽造を防止することによって、動作等が重くならない（light-weight）セキュリティサービスを提供することができる。
【発明を実施するための最良の形態】
【００３１】
以下、添付の図面を参照して本発明を詳細に説明する。
【００３２】
図１は、本発明が適用される、ＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４（Internet Protocol version 4-IP version 6）ネットワークの一例を示す構成図である。
【００３３】
図１に示すように、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークは、少なくとも１つのＤＳＴＭノード（図では説明の便宜のため、１００−Ａ，１００−Ｂの２つのＤＳＴＭノードを示す。）と、ＤＳＴＭサーバー１１０と、ＤＳＴＭ境界ルータ（border router；ＢＲ）１２０と、少なくとも１つのＩＰｖ４ホスト１３０と、を備えて構成されることができる。なお、図１の形態は、本発明の理解を助けるために提示された一例に過ぎないものであって、本発明は、これ以外にも様々な形態のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークに適用されることができる。
【００３４】
ＩＰｖ６ネットワークドメインの構成要素であるＤＳＴＭノード１００−Ａ，１００−Ｂは、ＤＳＴＭサーバー１１０に対して、ＩＰｖ４ネットワークとの通信のためのＩＰｖ４アドレス割り当ての要請を行い、また、ＤＳＴＭサーバー１１０から割り当てられたＩＰｖ４アドレスを使用して、ＩＰｖ４ネットワークドメインのＩＰｖ４ホスト１３０と通信を行うことができる。
【００３５】
ＤＳＴＭサーバー１１０は、通信しようとする目的のＩＰｖ４ノードの位置情報を把握するためのＤＮＳ（Domain Name Server）機能、ＩＰｖ４ホストとの通信のために必要なＩＰｖ４アドレスの割り当てに関連するＤＨＣＰｖ６（Dynamic Host Configuration Protocol version 6）機能、ＩＰｖ４アドレスプール（pool）機能、などを遂行する。
【００３６】
ＤＳＴＭサーバー１１０は、ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）からＩＰｖ４アドレス割り当てが要請される場合に、当該要請に応答して当該ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）にＩＰｖ４アドレスを割り当てる。ＤＳＴＭサーバー１１０は、ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）からのＩＰｖ４アドレス割り当て要請に対して、当該要請が不当（ないし不法）な要請でなく正当な要請であるか、すなわち、当該ＤＳＴＭサーバー１１０のドメイン内に存在するＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）からの、正常な手続による要請であるか否か、を判断する。ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）からの要請が正当な要請であるか否かを判断したＤＳＴＭサーバー１１０は、当該要請が正当な要請であれば、ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）にＩＰｖ４アドレスを割り当て、当該要請が正当な要請でない場合には、ＩＰｖ４アドレスを割り当てない。
【００３７】
特に、本発明に従うＤＳＴＭサーバー１１０は、ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）からのＩＰｖ４アドレス要請が正当な要請であるか否かを判断するために、動的アドレステーブルを使用する。かかる動的アドレステーブルは、現在のＤＳＴＭサーバー１１０のＩＰｖ４アドレス割り当ての状態情報を含むことができる。すなわち、動的アドレステーブルは、現在ＩＰｖ４アドレスを割り当てられているＤＳＴＭノードの情報と、各ノードに割り当てられたＩＰｖ４アドレスのマッピング関係についての情報などを含むことができる。
【００３８】
本発明の実施形態による、ＤＳＴＭサーバー１１０が使用する動的アドレステーブルを、下記の表１に示す例を参照して説明する。
【００３９】
【表１】
【００４０】
表１は、動的アドレステーブルの構成例を示している。表１の例のように、本発明に従う動的アドレステーブルは、ＤＳＴＭサーバー１１０からＩＰｖ４アドレスを割り当てられたＤＳＴＭノードの情報であるマック（Media Access Control；ＭＡＣ）アドレス、ＩＰｖ６アドレスなどの情報とともに、当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスの情報を含むことができる。また、動的アドレステーブルは、各々のＤＳＴＭノードに割り当てられたタイムアウト及びマーカー（marker）をさらに含むことができる。
【００４１】
このうち、タイムアウト及びマーカーは、ＤＳＴＭノードからのＩＰｖ４アドレス要請に対する正当性の有無を判断するために用いられる。タイムアウトは、ＩＰｖ４アドレスが割り当てられた後、所定の時間内に当該ＩＰｖ４アドレスを使用するパケットがＤＳＴＭ境界ルータ１２０を介してルーティングされない場合に、当該ＩＰｖ４アドレスが不当な要請により割り当てられたと判断するために、チェックされるものである。マーカーは、タイムアウトをチェックした（以下、「タイムアウトチェック」ともいう。）結果、正当だと判断されたことを表示するために用いられる。
【００４２】
タイムアウトチェックは、ＤＳＴＭ境界ルータ１２０で行われることができる。なお、タイムアウトチェックについては、後述するＤＳＴＭ境界ルータ１２０の説明の際に詳細に説明する。ＤＳＴＭサーバー１１０の動的アドレステーブルは、ＩＰｖ４割り当て過程で随時更新されることができ、ＤＳＴＭ境界ルータ１２０の動的アドレステーブルと同じ内容を有するように同期化される。
【００４３】
ＤＳＴＭサーバー１１０の動的アドレステーブルは、ＤＳＴＭサーバー１１０によって構成（構築）され更新される。下記では、ＤＳＴＭサーバー１１０による動的アドレステーブルの更新の例について説明する。また、ＤＳＴＭサーバー１１０が動的アドレステーブルを使用して行う、ＤＳＴＭノードからのＩＰｖ４アドレス割り当て要請の正当性判断についても説明する。説明の理解を助けるために、一例として、ＤＳＴＭノードＡ １００−ＡのＩＰｖ４アドレス割り当て要請に応じてＩＰｖ４アドレスが割り当てられるものと仮定して説明する。
【００４４】
まず、動的アドレステーブルの更新について説明する。
【００４５】
ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−ＡからＩＰｖ４アドレス割り当てを要請される場合に、当該要請が正当な要請であるか否かを判断する。すなわち、ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａの要請が正当な要請であるか否かを判断するために、動的アドレステーブルを使用する。
【００４６】
ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａの情報と、自機があらかじめ格納している動的アドレステーブルに含まれた情報とを比較し、ＤＳＴＭノード １００−Ａの要請が正当な要請であるか否かを判断できる。ここで、ＤＳＴＭサーバー１１０によって使用されるＤＳＴＭノードＡ １００−Ａの情報は、ＩＰｖ４アドレス割り当て要請と共に、ＤＳＴＭサーバー１１０に転送される。
【００４７】
ＤＳＴＭサーバー１１０による、ＩＰｖ４アドレス割り当て要請の正当性判断を具体的に説明すると、次の通りである。以下、ＤＳＴＭノードの情報としてマックアドレス及びＩＰｖ６アドレスが用いられる場合について説明する。
【００４８】
まず、偽造されたＩＰｖ６を使用してＩＰｖ４アドレス割り当てが要請された場合について説明する。
【００４９】
ＤＳＴＭサーバー１１０は、ＩＰｖ４アドレス割り当てを要請したＤＳＴＭノードＡ １００−Ａのマックアドレス、すなわちＤＳＴＭノードＡ １００−Ａのマックアドレスと同じマックアドレスが、自機の動的アドレステーブルに含まれているか否かを判断する。ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａのマックアドレスが自機の動的アドレステーブルに含まれている場合には、動的アドレステーブルに含まれた、当該マックアドレスに対応するＩＰｖ６アドレスがＤＳＴＭノードＡ １００−ＡのＩＰｖ６アドレスと同一か否かを判断する。この際、ＩＰｖ６アドレスが偽造されたアドレスならば、２つのＩＰｖ６アドレスは互いに異なる。この場合、ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａの要請は不当な要請であると判断する。一方、ＤＳＴＭサーバー１１０は、任意のマックアドレス−ＩＰｖ６アドレス対が動的アドレステーブルに含まれている状態で当該アドレス対と同じアドレス対を有するＤＳＴＭノードからＩＰｖ４アドレス割り当てが要請される場合に、当該要請を拒否する。その理由は、１つのマックアドレス−ＩＰｖ６アドレスの対には、１つのＩＰｖ４アドレスのみが割り当てられるからである。
【００５０】
次に、偽造されたマックアドレスを使用してＩＰｖ４アドレス割り当てが要請された場合について説明する。
【００５１】
ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａのマックアドレスが自機の動的アドレステーブルに含まれていない場合、自機の動的アドレステーブルを検索して、ＤＳＴＭノードＡ １００−ＡのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれているか否かを判断する。ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａのマックアドレスが動的アドレステーブルに含まれていない状態で、ＤＳＴＭノードＡ １００−ＡのＩＰｖ６アドレスだけが動的アドレステーブルに含まれている場合に、ＤＳＴＭノードＡ １００−Ａの要請は正当な要請でないと判断できる。
【００５２】
次に、偽造されたマックアドレス及び偽造されたＩＰｖ６アドレスを使用してＩＰｖ４アドレス割り当てが要請された場合について説明する。
【００５３】
ＤＳＴＭサーバー１１０は、ＤＳＴＭ Ａ １００−Ａのマックアドレス及びＩＰｖ６アドレスが共に自機の動的アドレステーブルに含まれていない場合、一旦は、ＤＳＴＭＡ １００−ＡによるＩＰｖ４アドレス割り当て要請が正当な要請であると判断する。この際に、ＤＳＴＭサーバー１１０は、ＤＳＴＭ Ａ １００−Ａに対してＩＰｖ４アドレスを割り当てる。そして、ＤＳＴＭサーバー１１０は、割り当てたＩＰｖ４アドレスをＤＳＴＭＡ １００−Ａに送信する。
【００５４】
ところが、仮にＤＳＴＭサーバー１１０がＤＳＴＭノードＡ １００−Ａから受けたと判断したＩＰｖ４アドレス割り当て要請が、本物のＤＳＴＭノードＡ １００−Ａからの正当なＩＰｖ４アドレス割り当て要請でない場合には、マックアドレス及びＩＰｖ６アドレスを偽造して不法的にＩＰｖ４アドレス割り当てを要請したノードは、割り当てられたＩＰｖ４アドレスを受信することができない。その理由は、ＩＰｖ６環境では、基本的にＭＡＣ ｃａｃｈｅ ｐｏｉｓｏｎｉｎｇ攻撃が不可能だからである。
【００５５】
偽造されたマックアドレスがＤＳＴＭサーバー１１０のドメイン内にないマックアドレスであれば、当該マックアドレスに割り当てられたＩＰｖ４アドレスは、当該マックアドレスに送信されることができない。また、たとえ偽造されたマックアドレスがＤＳＴＭサーバー１１０と同じドメイン内に在る場合であったとしても、ＤＳＴＭサーバー１１０が割り当てたＩＰｖ４アドレスは、ＩＰＳｅｃを通じて暗号化され転送されるので、他のノードが当該ＩＰｖ４アドレスを把握することはできない。
【００５６】
すなわち、偽造されたマックアドレス及び偽造されたＩＰｖ６アドレスを使用したＩＰｖ４アドレス割り当て要請に応答して割り当てられたＩＰｖ４アドレスは、当該要請をしたノードに転送されない。したがって、不当なＩＰｖ４アドレス割り当て要請により割り当てられたＩＰｖ４アドレスを通じてのパケットの転送は、遂行されない。言い換えると、ＩＰｖ４アドレスを割り当てられたＤＳＴＭノードが所定の時間内に当該ＩＰｖ４アドレスを使用してパケットを送信しない場合に、当該ＤＳＴＭノードからのＩＰｖ４アドレス割り当て要請は、不当な要請であると判断されることができる。
【００５７】
このような場合を判断するために使用されるものが、動的アドレステーブルのタイムアウト情報である。タイムアウト情報を使用したタイムアウトチェックは、ＤＳＴＭ境界ルータ１２０により実行される。
【００５８】
ＤＳＴＭ境界ルータ１２０は、パケットが受信される際に、当該パケットが正当なパケットなのか否かを判断する認証過程を行い、正当なパケットであると判断されたパケットをフォワーディング（すなわち目的地へ転送）する。ＤＳＴＭ境界ルータ１２０は、受信されたパケットを認証するために、自機の動的アドレステーブルを使用する。ＤＳＴＭ境界ルータ１２０は、パケットが受信される場合、自機の動的アドレステーブルを検索して、受信されたパケットを送信したＤＳＴＭノードの情報が自機の動的アドレステーブルに含まれているか否かを判断する。そして、ＤＳＴＭ境界ルータ１２０は、送信ＤＳＴＭノードの情報が自機の動的アドレステーブルに含まれている場合に、当該ＤＳＴＭノードから受信したパケットは正当なパケットであると判断する。
【００５９】
この際、ＤＳＴＭ境界ルータ１２０により正当なパケットであると判断されるパケットには、ＤＳＴＭサーバー１１０により割り当てられたＩＰｖ４アドレスを使用して転送されるパケットが含まれることができる。言い換えると、ＤＳＴＭ境界ルータ１２０は、受信されるパケットを認証するために、ＤＳＴＭサーバー１１０が割り当てたＩＰｖ４アドレス情報を把握していなければならない。ＤＳＴＭ境界ルータ１２０は、ＤＳＴＭ境界ルータ１２０（すなわち自機）の動的アドレステーブルとＤＳＴＭサーバー１１０の動的アドレステーブルとの同期化を通じて、ＤＳＴＭサーバー１１０が割り当てたＩＰｖ４アドレス情報を把握する。具体的には、２つの動的アドレステーブルの同期化のために、ＤＳＴＭサーバー１１０の動的アドレステーブルが更新される場合には、更新されたＤＳＴＭサーバー１１０の動的アドレステーブルがＤＳＴＭ境界ルータ１２０に提供され、一方、ＤＳＴＭ境界ルータ１２０の動的アドレステーブルが更新される場合には、更新されたＤＳＴＭ境界ルータ１２０の動的アドレステーブルがＤＳＴＭサーバー１１０に提供される。この際、２つの動的アドレステーブルの同期化のためには、ＤＳＴＭサーバー１１０とＤＳＴＭ境界ルータ１２０との間で、更新された動的アドレステーブル全体が交換されることよりは、削除された或いは追加された等の更新されたデータデータだけが交換されることが好ましい。
【００６０】
ＤＳＴＭ境界ルータ１２０は、受信されたパケットの情報（例えば、当該パケットを送信したＤＳＴＭノードの情報）が自機の動的アドレステーブルに含まれていない場合や、当該パケットの情報が自機の動的アドレステーブルの情報と一致しない場合には、当該パケットは不当なパケット（不法パケット）である、と判断する。ここで、不当なパケットとは、当該パケットがＤＳＴＭサーバー１１０から正当に割り当てられたＩＰｖ４パケットを使用して送信されたパケットではない、という意味である。この際、ＤＳＴＭ境界ルータ１２０は、正当なＩＰｖ４割り当て要請無しに発生したＩＰｖ４アドレス割り当てをＤＳＴＭサーバー１１０に通知し、ＤＳＴＭサーバー１１０のＩＰｖ４アドレス不足を防止する。
【００６１】
また、ＤＳＴＭ境界ルータ１２０は、前述したように、自機の動的アドレステーブルを用いてタイムアウトチェックを行う。ＤＳＴＭ境界ルータ１２０は、自機の動的アドレステーブルに含まれたＩＰｖ４アドレスのうち、割り当てられた後の所定時間が経過する前のパケット転送には使われないＩＰｖ４アドレスが在る場合、当該ＩＰｖ４アドレスは不当な要請に応答して割り当てられたアドレスである、と判断する。タイムアウト時間は、割り当て可能なＩＰｖ４アドレスの総量、現在割り当て可能なＩＰｖ４アドレスの残余量、などのシステム特性を考慮して設定されることができる。タイムアウト時間は、ＩＰｖ４アドレスを割り当てるＤＳＴＭサーバー１１０により設定されることが好ましい。
【００６２】
ＤＳＴＭ境界ルータ１２０は、タイムアウトチェックの結果、任意のＩＰｖ４アドレスが不当な要請に応答して割り当てられたアドレスであると判断された場合には、当該ＩＰｖ４アドレス及び当該ＩＰｖ４アドレスと対応する情報を、自機の動的アドレステーブルから削除する。また、ＤＳＴＭ境界ルータ１２０は、タイムアウトチェックの結果により自機の動的アドレステーブルが更新される場合には、更新された自機の動的アドレステーブルをＤＳＴＭサーバー１１０に提供し、これにより、自機の動的アドレステーブルとＤＳＴＭサーバー１１０の動的アドレステーブルとが同期化できるようにする。
【００６３】
図１には、本発明に従う過程が番号付き矢印によって示されている。
【００６４】
過程１は、ＤＳＴＭノード（例えば図１のノードＡ）がＤＳＴＭサーバー１１０にＩＰｖ４アドレスを要請する過程を示す。ここで、ＤＳＴＭノードは、特定のＤＳＴＭノードでなく、ＤＳＴＭサーバー１１０と同じドメインに含まれる任意のＤＳＴＭノードであるから、ＤＳＴＭノードに対しては参照符号を省略して説明する。
【００６５】
ＤＳＴＭノードからＩＰｖ４アドレス割り当てを要請されたＤＳＴＭサーバー１１０は、ＩＰｖ４アドレスを要請したＤＳＴＭノードのマックアドレス及びＩＰｖ６アドレスと、当該ＤＳＴＭノードに割り当てられるＩＰｖ４アドレスの対と、を全てマッピングできる動的アドレステーブルを構築する。この動的アドレステーブルは、ＩＰｖ４アドレスを要請するＤＳＴＭノードのＭＡＣアドレスに基づいた、動的な更新過程の対象となる。すなわち、ＤＳＴＭサーバー１１０は、ＤＳＴＭノードがＩＰｖ４アドレスを要請する場合毎に、自機の動的アドレステーブルにおける当該ＤＳＴＭノードのマックアドレスとＩＰｖ６アドレスの余剰（redundancy）を順に検査する。
【００６６】
動的アドレステーブルは、表１に示されたように、マック（ＭＡＣ）アドレス、ＩＰｖ６アドレス、ＩＰｖ４アドレス、タイムアウト（Timeout）情報及びマーカーを含むことができる。タイムアウト情報は、前述したように、タイムアウトチェックのために使われる。タイムアウト時間内にＤＳＴＭ境界ルータ１２０によってルーティングされたパケットに対しては、マーカーが設定され、タイムアウトは無視される。一般的に、タイムアウトチェックを通過する際に、マーカーは、“１”に設定されるが、その値は、システムの設定によって変更できる。
【００６７】
過程２は、ＤＳＴＭノードのＩＰｖ４アドレス要請により動的アドレステーブルを生成したＤＳＴＭサーバー１１０が、自機の動的アドレステーブルをＤＳＴＭ境界ルータ１２０の動的アドレステーブルと共有する過程である。この過程は、２つの動的アドレステーブルの同期化を通じて実行される。すなわち、ＤＳＴＭサーバー１１０及びＤＳＴＭ境界ルータ１２０は、自機の動的アドレステーブルにおける内容の削除、追加または変更などの更新が発生する場合に、当該更新情報を相手方に提供することによって、自機の動的アドレステーブルを相手方の動的アドレステーブルと同一に維持できる。
【００６８】
過程３は、ＤＳＴＭノードが要請したＩＰｖ４アドレスをＤＳＴＭサーバー１１０から割り当てられる過程である。
【００６９】
過程４と過程５は、割り当てられたＩＰｖ４アドレスを有するＤＳＴＭノードが、ＤＳＴＭ境界ルータ１２０を介してＩＰｖ４ネットワークに通信を試みる過程である。この際に、ＤＳＴＭ境界ルータ１２０は、ＤＳＴＭサーバー１１０と共有している動的アドレステーブルを使用して、現在自機を経由するＩＰｖ６パケットの正当性を検査する。
【００７０】
最後に、過程３−１及び３−２は、ＤＳＴＭサーバー１１０が、偽造されたマックアドレスを有する不当なＤＳＴＭノードのＩＰｖ４アドレス要請に応答して割り当てたＩＰｖ４アドレスを、実際のマックアドレスを有するＤＳＴＭノードに転送する場合である。この際、自機の要請無しにＩＰｖ４アドレスを割り当てられたＤＳＴＭノードＢ １００−Ｂは、ＩＰｖ４アドレス要請無しにアドレスが割り当てられたことをＤＳＴＭサーバー１１０に通知することによって、割り当てられたＩＰｖ４を取り消すことができる。ＤＳＴＭノードＢ １００−Ｂから自機が要請しなかったことを通知されたＤＳＴＭサーバー１１０は、ＤＳＴＭノードＢ １００−Ｂに割り当てられたＩＰＶ４アドレスを取り消す。
【００７１】
前述した、本発明を適用したＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止のための過程を、図２を参照して以下に説明する。
【００７２】
図２は、本発明の一実施形態による、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止過程を示すフローチャートである。
【００７３】
まず、ＤＳＴＭノードがＤＳＴＭサーバーにＩＰｖ４アドレス割り当てを要請する（ステップＳ２００）。ＩＰｖ４アドレス割り当てを要請されたＤＳＴＭサーバー１１０は、当該要請が正当な要請であるか否かを判断し、正当な要請に対してＩＰｖ４アドレスを割り当て、割り当てられたＩＰｖ４アドレスのマッピング情報を含むように自機の動的アドレステーブルを更新する（ステップＳ２０２）。続いて、ＤＳＴＭサーバー１１０は、ＤＳＴＭ境界ルータ１２０との動的アドレステーブル同期化を行う（ステップＳ２０４）。そして、ＤＳＴＭサーバーは、ＩＰｖ４アドレス割り当てを要請したＤＳＴＭノードに、当該割り当てられたＩＰｖ４アドレスを通知する（ステップＳ２０６）。また、ＤＳＴＭ境界ルータ１２０は、自機の動的アドレステーブルを使用して、受信したパケットに対するタイムアウトチェック及び認証を行う（ステップＳ２０８）。そして、ＤＳＴＭ境界ルータ１２０は、パケットの認証が成功したか否かを判断し（ステップＳ２１０）、成功した場合には、当該認証されたパケットを該当するノードに転送（フォワーディング）する（ステップＳ２１２）。一方、ＤＳＴＭ境界ルータ１２０は、パケットの認証が成功しない場合には、当該パケットを送信したＤＳＴＭノードに割り当てられていたＩＰｖ４アドレスを取り消し、その取消結果を反映するように自機の動的アドレステーブルを更新した後に、ＤＳＴＭサーバー１１０の動的アドレステーブルと自機の動的アドレステーブルとを同期化する（ステップＳ２１４）。
【００７４】
前述したように、本発明を適用した実施形態によれば、動的アドレステーブルを使用することによって、別途の付加的な保安プロトコルや暗号化技法を用いずに、ＩＰｖ６パケットの偽造による不当なＩＰｖ４アドレスの割り当て要請を検出し、正当なＩＰｖ４アドレス割り当て要請のみに対してＩＰｖ４アドレスを割り当てることによって、ＩＰｖ４アドレスの消耗ないし不足を防止することができる。
【図面の簡単な説明】
【００７５】
【図１】本発明が適用されることができるＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４ネットワークの一実施形態によるネットワーク構成図である。
【図２】本発明の一実施形態による、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止過程を示すフローチャートである。
【符号の説明】
【００７６】
１１０ ＤＳＴＭサーバー
１００−Ａ ＤＳＴＭノード Ａ
１００−Ｂ ＤＳＴＭノード Ｂ
１２０ ＤＳＴＭ境界ルータ
１３０ ＩＰｖ４ホスト
【技術分野】
【０００１】
本発明は、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケットの偽造を防止するための方法及びシステムに関する。
【背景技術】
【０００２】
ＩＰｖ６（Internet Protocol version 6）−ＩＰｖ４（IP version 4）ネットワークは、ＩＰｖ６ネットワークとＩＰｖ４ネットワークとが共存するネットワークを意味する。ＩＰｖ６ネットワークは、以前に使われたＩＰｖ４のアドレス不足問題などを解決するために提案されたものである。この新たに提案されたＩＰｖ６ネットワークの導入以後は、既存のＩＰｖ４ネットワークと新たなＩＰｖ６ネットワークとが共存している。ＩＰｖ４ネットワークとＩＰｖ６ネットワークの共存は、既存のＩＰｖ４がＩＰｖ６ネットワークに完全に代替されるまで続くものと考えられる。このようなＩＰｖ４ネットワークとＩＰｖ６ネットワークの共存により、ＩＰｖ４ネットワークとＩＰｖ６ネットワークとの間のデータ通信のための技術が必要とされる。
【０００３】
ＩＰｖ６ネットワークとＩＰｖ４ネットワークとの間の通信のための技術は、ＩＰｖ６／ＩＰｖ４デュアルスタック、トンネリング技術、変換技術などの様々な分野において研究がなされている。ＩＰｖ６／ＩＰｖ４トンネリング技術には、６ｔｏ４、ＤＳＴＭ（Dual Stack Transition Mechanism）、ＩＳＡＴＡＰ（Intra Site Automatic Tunnel Addressing Protocol）、ＴＥＲＥＤＯ、トンネルブローカー（Tunnel Broker）などの方法がある。また、変換技術には、ＮＡＴ−ＰＴ（Network Address Transition Protocol Transition）、ＳＩＩＴ（Stateless IPv6-IPv4 Translator）、ＢＩＡ（Bump-in-the-API）などの方法がある。このようなＩＰｖ６／ＩＰｖ４の変換ないし転換、転移（transition）のための技術は、ＩＥＴＦ（Internet Engineering Task Force）ｖ６ｏｐｓＷＧ（Work Group）で研究されている。
【０００４】
これらのうち、ＤＳＴＭ技術は、既存のＩＰｖ４システムのうちアップグレードが可能なノードを、ＩＰｖ４とＩＰｖ６を共に支援するデュアルスタック構造で製作し、当該ノードにＩＰｖ６アドレスを割り当ててＩＰｖ６ノードとして動作できるようにし、かつ、当該ノードが必要とする時毎にＩＰｖ４アドレスを動的に割り当てて（他のいわゆる純粋な）ＩＰｖ４ノードと通信できるようにする技術である。このＤＳＴＭ技術は、全てのネットワークがＩＰｖ６ネットワークに代替される最後の段階において適用できる技術である。
【０００５】
ＤＳＴＭの環境下では、ＩＰｖ４ネットワークと通信しようとするＩＰｖ６ネットワーク側ノード（以下、「ＤＳＴＭノード」と言う。）は、ＤＳＴＭサーバーからＩＰｖ４アドレスを（動的に）割り当てられ、その割り当てられたＩＰｖ４アドレスを使用してＩＰｖ４ネットワークと通信する。
【０００６】
しかしながら、ＤＳＴＭノードに対するＩＰｖ４アドレス割り当てに際して、以下のような問題が発生することが考えられる。
【０００７】
すなわち、ＩＰｖ４ネットワークとの円滑な通信を行うために、ＤＳＴＭサーバーは、ＩＰｖ４アドレスを割り当てることを要請される。ところが、このとき、悪意的なノードからの不法（illegal）で且つ反復的なＩＰｖ４アドレス割り当て要請により、ＤＳＴＭサーバーでＩＰｖ４アドレスが不足する事態が発生し得る。その理由は、偽造されたマック（ＭＡＣ）アドレスまたは偽造されたＩＰｖ６アドレスを使用して、不法なＩＰｖ４アドレス割り当て要請を繰り返し行うことができるからである。したがって、ＤＳＴＭ環境では、偽造されたＩＰｖ６パケットを使用した不法で且つ反復的なＩＰｖ４アドレス割り当て要請によるＤｏＳ（Denial-of-Service）攻撃の問題が発生することが考えられる。また、ＤＳＴＭノードからＴＥＰ（Tunnel End Point）を通過してＩＰｖ４ネットワークに向かうＩＰｖ６パケットの偽造の問題が発生することも考えられる。言い換えると、ＤＳＴＭノードは、ＤＳＴＭサーバーへのＩＰｖ４アドレス割り当て要請を通じて正常でなく（abnormally）割り当てられた不法なＩＰｖ４アドレスを使用して、ＩＰｖ４ネットワークと通信できるものである。
【０００８】
ＤＳＴＭ環境では、ＩＰｖ４アドレス割り当て過程及びＩＰｖ４ネットワークとの通信過程で発生し得るこのような問題を解決するために、ＤＳＴＭサーバーとしてＤＮＳＳＥＣ（Domain Name System SECurity Extension）、ＤＨＣＰｖ６サーバーを使用する場合には、ＤＨＣＰｖ６の認証メッセージを使用することがＤＮＳ（Domain Name Server）側に勧告されている。しかしながら、これらの技術は、保安（セキュリティ）プロトコルや暗号学的技法を、ＤＳＴＭ構造自体に付加的に使用しなければならない、という点で短所を有している。
【特許文献１】大韓民国出願第１０−２００２−００２９９５４号明細書
【発明の開示】
【発明が解決しようとする課題】
【０００９】
従って、本発明の目的は、正当にＩＰｖ４アドレス割り当てを要請するＤＳＴＭノードにのみＩＰＶ４アドレスを割り当てることができる、ＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４（Internet Protocol version 6-IP version 4）ネットワークにおけるＩＰｖ６パケットの偽造防止方法及びシステムを提供することにある。
【００１０】
また、本発明の他の目的は、ＩＰｖ４アドレスの消耗を防止できる、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケットの偽造防止方法及びシステムを提供することにある。
【００１１】
また、本発明のさらに他の目的は、ＤＳＴＭ構造を変更することなく、ＩＰｖ６パケットの偽造を防止することによって、light-weight securityサービスを提供できる、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケットの偽造防止方法及びそのシステムを提供することにある。
【課題を解決するための手段】
【００１２】
前記目的を達成するために、本発明の一側面によるＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４（Internet Protocol version 4-IP version 6）ネットワークにおけるＩＰｖ６パケット偽造防止方法は、ＤＳＴＭサーバーがＤＳＴＭノードからＩＰｖ４アドレス割り当て要請を受信する過程と、前記ＤＳＴＭサーバーが、予め格納された自機の動的アドレステーブルを使用して前記要請が正当な要請であるか否かを判断する過程と、前記要請が正当であると判断された場合に、前記ＤＳＴＭサーバーが前記ＤＳＴＭノードにＩＰｖ４アドレスを割り当て、前記ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報とを含むように、前記動的アドレステーブルを更新する過程と、前記ＤＳＴＭサーバーが、前記割り当てられたＩＰｖ４アドレスを前記ＤＳＴＭノードに送信する過程と、前記ＤＳＴＭサーバーが、前記更新された動的アドレステーブルをＤＳＴＭ境界ルータに送信し、自機の動的アドレステーブルと前記ＤＳＴＭ境界ルータの動的アドレステーブルとを同期化する過程と、を備えることができる。
【００１３】
前記ＤＳＴＭノードの情報は、少なくとも前記ＤＳＴＭノードのマック（Media Access Control；ＭＡＣ）アドレス及びＩＰｖ６アドレスを含むことができる。
【００１４】
前記ＤＳＴＭサーバーが前記ＤＳＴＭノードの要請が正当な要請であるか否かを判断する過程は、前記ＤＳＴＭサーバーが、前記ＤＳＴＭノードのマックアドレスと同じマックアドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードのＩＰｖ６アドレスと、自機の動的アドレステーブルに含まれた、当該マックアドレスに対応するＩＰｖ６アドレスとを比較する過程と、当該比較の結果、前記ＤＳＴＭノードのＩＰｖ６アドレスと自機の動的アドレステーブルに含まれたＩＰｖ６アドレスとが同一でない場合には、前記ＤＳＴＭノードのＩＰｖ４アドレス割り当て要請は、不当な要請であると判断する過程と、を備えることができる。
【００１５】
また、前記ＤＳＴＭサーバーが前記ＤＳＴＭノードの要請が正当な要請であるか否かを判断する過程は、前記ＤＳＴＭサーバーが、前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれていないと判断された場合に、前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードのＩＰｖ４アドレス割り当て要請は不当な要請であると判断する過程と、を備えることができる。
【００１６】
本発明の方法では、前記ＤＳＴＭ境界ルータが、前記ＤＳＴＭサーバーの動的アドレステーブルに同期化された自機の動的アドレステーブルを使用して、受信されるパケットが正当なパケットであるか否かを判断する過程と、前記ＤＳＴＭ境界ルータが、前記正当であると判断されたパケットをフォワーディングする過程と、をさらに備えることができる。
【００１７】
前記受信パケットが正当であるか否かをＤＳＴＭ境界ルータで判断する過程は、前記受信パケットの情報が前記自機の動的アドレステーブルに含まれている場合に、当該パケットを正当であると判断する過程を備えることができる。
【００１８】
前記ＤＳＴＭ境界ルータの動的アドレステーブル及び前記ＤＳＴＭノードの動的アドレステーブルは、タイムアウト項目、マーカー項目をさらに含むことができる。
【００１９】
また、本発明方法では、前記ＤＳＴＭ境界ルータが自機の動的アドレステーブルに含まれたＤＳＴＭノードからのパケット受信が当該ノードに割り当てられたタイムアウト時間内になされない場合に、当該ＤＳＴＭノードを不当なノードであると判断する過程をさらに備えることができる。
【００２０】
さらに、本発明方法では、前記ＤＳＴＭ境界ルータが前記タイムアウトチェックにより不当と判断されたＤＳＴＭノードの情報を自機の動的アドレステーブルから削除し、自機の動的アドレステーブルと前記ＤＳＴＭサーバーの動的アドレステーブルを同期化させるために、前記削除されたＤＳＴＭノードの情報を前記ＤＳＴＭサーバーに送信する過程をさらに備えることができる。
【００２１】
また、本発明方法では、当該ＤＳＴＭノードに割り当てられたタイムアウト時間内に当該ＤＳＴＭノードが送信したパケットが受信される場合に、前記ＤＳＴＭ境界ルータが自機の動的アドレステーブルの、当該ＤＳＴＭノードに対応するマーカー項目に所定の値を設定する過程をさらに備えることができる。
【００２２】
本発明の方法において、前記ＤＳＴＭサーバーは、ＩＰｖ４アドレスを割り当てられたＤＳＴＭノードから自機がＩＰｖ４アドレスの割り当てを要請しなかったことを通知される場合に、当該ＩＰｖ４アドレスの割り当てを取り消す過程をさらに備えることができる。
【００２３】
また、本発明の他の側面によるＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システムは、ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報を含む動的アドレステーブルを使用して、任意のＤＳＴＭノードから受信されるパケットを認証し、認証されたパケットをフォワーディングするＤＳＴＭ境界ルータと、ＤＳＴＭノードからのＩＰｖ４アドレス割り当て要請を受信した場合に、当該要請が正当な要請であるか否かを判断した後、正当であると判断された要請に応答して当該ＤＳＴＭノードにＩＰｖ４アドレスを割り当て、当該ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報を含むように、予め格納された自機の動的アドレステーブルを更新し、当該更新された動的アドレステーブルを前記ＤＳＴＭ境界ルータに提供して自機の動的アドレステーブルと前記ＤＳＴＭ境界ルータの動的アドレステーブルを同期化するＤＳＴＭサーバーと、を備える。
【００２４】
前記ＤＳＴＭサーバーは、前記ＤＳＴＭノードのマックアドレスと同じマックアドレスが自機の動的アドレステーブルに含まれていて、前記動的アドレステーブルに含まれた、前記マックアドレスに対応するＩＰｖ６アドレスが前記ＤＳＴＭノードのＩＰｖ６アドレスと同一でない場合には、前記ＤＳＴＭノードの要請は不当と判断することができる。
【００２５】
前記ＤＳＴＭサーバーは、前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれておらず、前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードの要請は不当な要請であると判断することができる。
【００２６】
前記ＤＳＴＭ境界ルータは、自機の動的アドレステーブルに含まれたＤＳＴＭノードの各々に対して、当該ＤＳＴＭノードが送信したパケットが当該ＤＳＴＭノードに割り当てられた所定のタイムアウト時間内に受信されるか否かを判断し、当該ＤＳＴＭノードが送信するパケットが前記タイムアウト時間内に受信されない場合に、当該ＤＳＴＭノードは不当なＤＳＴＭノードであると判断することができる。
【００２７】
前記ＤＳＴＭ境界ルータは、前記タイムアウトチェックの結果、不当と判断されたＤＳＴＭノードを前記自機の動的アドレステーブルから削除し、当該削除されたＤＳＴＭノードの情報を前記ＤＳＴＭサーバーに提供することができる。
【００２８】
前述したように、本発明に係るＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法及びそのシステムは、動的アドレステーブル（Dynamic Address Table；ＤＡＴ）を使用してＩＰｖ６パケットの偽造を防止することを特徴とする。
【００２９】
ＤＳＴＭ技術は、既存のＩＰｖ４システムのうちアップグレードが可能なノードを、ＩＰｖ４とＩＰｖ６を共に支援するデュアルスタック構造で製作し、ＩＰｖ６アドレスを割り当てて純粋なＩＰｖ４ノードと通信できるようにする方法である。ＤＳＴＭ技術は、全てのネットワークがＩＰｖ６に行く最後の段階に適用されることが好ましい。このような場合、ＤＳＴＭ技術は、ＩＰｖ６ネットワークのホストと孤立されたＩＰｖ４ネットワークのホスト間の通信のために使われることができる。
【発明の効果】
【００３０】
本発明によるＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法及びそのシステムは、動的アドレステーブルを使用して不法なＩＰｖ４アドレス割り当て要請を検出し、正当にＩＰｖ４アドレス割り当てを要請したＤＳＴＭノードのみにＩＰｖ４アドレスを割り当てることができる。したがって、本発明によれば、ＩＰｖ６パケットの偽造を防止することができ、ＤＳＴＭ環境で発生し得るＤｏＳ（Denial-of-Service）攻撃を防止することができる。また、本発明によれば、ＩＰｖ４アドレスの消耗ないし不足を防止することができる。さらに、本発明によれば、付加的なプロトコルまたは暗号学的技法を使用することなく、ＩＰｖ６パケットの偽造を防止することによって、動作等が重くならない（light-weight）セキュリティサービスを提供することができる。
【発明を実施するための最良の形態】
【００３１】
以下、添付の図面を参照して本発明を詳細に説明する。
【００３２】
図１は、本発明が適用される、ＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４（Internet Protocol version 4-IP version 6）ネットワークの一例を示す構成図である。
【００３３】
図１に示すように、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークは、少なくとも１つのＤＳＴＭノード（図では説明の便宜のため、１００−Ａ，１００−Ｂの２つのＤＳＴＭノードを示す。）と、ＤＳＴＭサーバー１１０と、ＤＳＴＭ境界ルータ（border router；ＢＲ）１２０と、少なくとも１つのＩＰｖ４ホスト１３０と、を備えて構成されることができる。なお、図１の形態は、本発明の理解を助けるために提示された一例に過ぎないものであって、本発明は、これ以外にも様々な形態のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークに適用されることができる。
【００３４】
ＩＰｖ６ネットワークドメインの構成要素であるＤＳＴＭノード１００−Ａ，１００−Ｂは、ＤＳＴＭサーバー１１０に対して、ＩＰｖ４ネットワークとの通信のためのＩＰｖ４アドレス割り当ての要請を行い、また、ＤＳＴＭサーバー１１０から割り当てられたＩＰｖ４アドレスを使用して、ＩＰｖ４ネットワークドメインのＩＰｖ４ホスト１３０と通信を行うことができる。
【００３５】
ＤＳＴＭサーバー１１０は、通信しようとする目的のＩＰｖ４ノードの位置情報を把握するためのＤＮＳ（Domain Name Server）機能、ＩＰｖ４ホストとの通信のために必要なＩＰｖ４アドレスの割り当てに関連するＤＨＣＰｖ６（Dynamic Host Configuration Protocol version 6）機能、ＩＰｖ４アドレスプール（pool）機能、などを遂行する。
【００３６】
ＤＳＴＭサーバー１１０は、ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）からＩＰｖ４アドレス割り当てが要請される場合に、当該要請に応答して当該ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）にＩＰｖ４アドレスを割り当てる。ＤＳＴＭサーバー１１０は、ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）からのＩＰｖ４アドレス割り当て要請に対して、当該要請が不当（ないし不法）な要請でなく正当な要請であるか、すなわち、当該ＤＳＴＭサーバー１１０のドメイン内に存在するＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）からの、正常な手続による要請であるか否か、を判断する。ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）からの要請が正当な要請であるか否かを判断したＤＳＴＭサーバー１１０は、当該要請が正当な要請であれば、ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）にＩＰｖ４アドレスを割り当て、当該要請が正当な要請でない場合には、ＩＰｖ４アドレスを割り当てない。
【００３７】
特に、本発明に従うＤＳＴＭサーバー１１０は、ＤＳＴＭノード１００−Ａ（或いは１００−Ｂ）からのＩＰｖ４アドレス要請が正当な要請であるか否かを判断するために、動的アドレステーブルを使用する。かかる動的アドレステーブルは、現在のＤＳＴＭサーバー１１０のＩＰｖ４アドレス割り当ての状態情報を含むことができる。すなわち、動的アドレステーブルは、現在ＩＰｖ４アドレスを割り当てられているＤＳＴＭノードの情報と、各ノードに割り当てられたＩＰｖ４アドレスのマッピング関係についての情報などを含むことができる。
【００３８】
本発明の実施形態による、ＤＳＴＭサーバー１１０が使用する動的アドレステーブルを、下記の表１に示す例を参照して説明する。
【００３９】
【表１】
【００４０】
表１は、動的アドレステーブルの構成例を示している。表１の例のように、本発明に従う動的アドレステーブルは、ＤＳＴＭサーバー１１０からＩＰｖ４アドレスを割り当てられたＤＳＴＭノードの情報であるマック（Media Access Control；ＭＡＣ）アドレス、ＩＰｖ６アドレスなどの情報とともに、当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスの情報を含むことができる。また、動的アドレステーブルは、各々のＤＳＴＭノードに割り当てられたタイムアウト及びマーカー（marker）をさらに含むことができる。
【００４１】
このうち、タイムアウト及びマーカーは、ＤＳＴＭノードからのＩＰｖ４アドレス要請に対する正当性の有無を判断するために用いられる。タイムアウトは、ＩＰｖ４アドレスが割り当てられた後、所定の時間内に当該ＩＰｖ４アドレスを使用するパケットがＤＳＴＭ境界ルータ１２０を介してルーティングされない場合に、当該ＩＰｖ４アドレスが不当な要請により割り当てられたと判断するために、チェックされるものである。マーカーは、タイムアウトをチェックした（以下、「タイムアウトチェック」ともいう。）結果、正当だと判断されたことを表示するために用いられる。
【００４２】
タイムアウトチェックは、ＤＳＴＭ境界ルータ１２０で行われることができる。なお、タイムアウトチェックについては、後述するＤＳＴＭ境界ルータ１２０の説明の際に詳細に説明する。ＤＳＴＭサーバー１１０の動的アドレステーブルは、ＩＰｖ４割り当て過程で随時更新されることができ、ＤＳＴＭ境界ルータ１２０の動的アドレステーブルと同じ内容を有するように同期化される。
【００４３】
ＤＳＴＭサーバー１１０の動的アドレステーブルは、ＤＳＴＭサーバー１１０によって構成（構築）され更新される。下記では、ＤＳＴＭサーバー１１０による動的アドレステーブルの更新の例について説明する。また、ＤＳＴＭサーバー１１０が動的アドレステーブルを使用して行う、ＤＳＴＭノードからのＩＰｖ４アドレス割り当て要請の正当性判断についても説明する。説明の理解を助けるために、一例として、ＤＳＴＭノードＡ １００−ＡのＩＰｖ４アドレス割り当て要請に応じてＩＰｖ４アドレスが割り当てられるものと仮定して説明する。
【００４４】
まず、動的アドレステーブルの更新について説明する。
【００４５】
ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−ＡからＩＰｖ４アドレス割り当てを要請される場合に、当該要請が正当な要請であるか否かを判断する。すなわち、ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａの要請が正当な要請であるか否かを判断するために、動的アドレステーブルを使用する。
【００４６】
ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａの情報と、自機があらかじめ格納している動的アドレステーブルに含まれた情報とを比較し、ＤＳＴＭノード １００−Ａの要請が正当な要請であるか否かを判断できる。ここで、ＤＳＴＭサーバー１１０によって使用されるＤＳＴＭノードＡ １００−Ａの情報は、ＩＰｖ４アドレス割り当て要請と共に、ＤＳＴＭサーバー１１０に転送される。
【００４７】
ＤＳＴＭサーバー１１０による、ＩＰｖ４アドレス割り当て要請の正当性判断を具体的に説明すると、次の通りである。以下、ＤＳＴＭノードの情報としてマックアドレス及びＩＰｖ６アドレスが用いられる場合について説明する。
【００４８】
まず、偽造されたＩＰｖ６を使用してＩＰｖ４アドレス割り当てが要請された場合について説明する。
【００４９】
ＤＳＴＭサーバー１１０は、ＩＰｖ４アドレス割り当てを要請したＤＳＴＭノードＡ １００−Ａのマックアドレス、すなわちＤＳＴＭノードＡ １００−Ａのマックアドレスと同じマックアドレスが、自機の動的アドレステーブルに含まれているか否かを判断する。ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａのマックアドレスが自機の動的アドレステーブルに含まれている場合には、動的アドレステーブルに含まれた、当該マックアドレスに対応するＩＰｖ６アドレスがＤＳＴＭノードＡ １００−ＡのＩＰｖ６アドレスと同一か否かを判断する。この際、ＩＰｖ６アドレスが偽造されたアドレスならば、２つのＩＰｖ６アドレスは互いに異なる。この場合、ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａの要請は不当な要請であると判断する。一方、ＤＳＴＭサーバー１１０は、任意のマックアドレス−ＩＰｖ６アドレス対が動的アドレステーブルに含まれている状態で当該アドレス対と同じアドレス対を有するＤＳＴＭノードからＩＰｖ４アドレス割り当てが要請される場合に、当該要請を拒否する。その理由は、１つのマックアドレス−ＩＰｖ６アドレスの対には、１つのＩＰｖ４アドレスのみが割り当てられるからである。
【００５０】
次に、偽造されたマックアドレスを使用してＩＰｖ４アドレス割り当てが要請された場合について説明する。
【００５１】
ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａのマックアドレスが自機の動的アドレステーブルに含まれていない場合、自機の動的アドレステーブルを検索して、ＤＳＴＭノードＡ １００−ＡのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれているか否かを判断する。ＤＳＴＭサーバー１１０は、ＤＳＴＭノードＡ １００−Ａのマックアドレスが動的アドレステーブルに含まれていない状態で、ＤＳＴＭノードＡ １００−ＡのＩＰｖ６アドレスだけが動的アドレステーブルに含まれている場合に、ＤＳＴＭノードＡ １００−Ａの要請は正当な要請でないと判断できる。
【００５２】
次に、偽造されたマックアドレス及び偽造されたＩＰｖ６アドレスを使用してＩＰｖ４アドレス割り当てが要請された場合について説明する。
【００５３】
ＤＳＴＭサーバー１１０は、ＤＳＴＭ Ａ １００−Ａのマックアドレス及びＩＰｖ６アドレスが共に自機の動的アドレステーブルに含まれていない場合、一旦は、ＤＳＴＭＡ １００−ＡによるＩＰｖ４アドレス割り当て要請が正当な要請であると判断する。この際に、ＤＳＴＭサーバー１１０は、ＤＳＴＭ Ａ １００−Ａに対してＩＰｖ４アドレスを割り当てる。そして、ＤＳＴＭサーバー１１０は、割り当てたＩＰｖ４アドレスをＤＳＴＭＡ １００−Ａに送信する。
【００５４】
ところが、仮にＤＳＴＭサーバー１１０がＤＳＴＭノードＡ １００−Ａから受けたと判断したＩＰｖ４アドレス割り当て要請が、本物のＤＳＴＭノードＡ １００−Ａからの正当なＩＰｖ４アドレス割り当て要請でない場合には、マックアドレス及びＩＰｖ６アドレスを偽造して不法的にＩＰｖ４アドレス割り当てを要請したノードは、割り当てられたＩＰｖ４アドレスを受信することができない。その理由は、ＩＰｖ６環境では、基本的にＭＡＣ ｃａｃｈｅ ｐｏｉｓｏｎｉｎｇ攻撃が不可能だからである。
【００５５】
偽造されたマックアドレスがＤＳＴＭサーバー１１０のドメイン内にないマックアドレスであれば、当該マックアドレスに割り当てられたＩＰｖ４アドレスは、当該マックアドレスに送信されることができない。また、たとえ偽造されたマックアドレスがＤＳＴＭサーバー１１０と同じドメイン内に在る場合であったとしても、ＤＳＴＭサーバー１１０が割り当てたＩＰｖ４アドレスは、ＩＰＳｅｃを通じて暗号化され転送されるので、他のノードが当該ＩＰｖ４アドレスを把握することはできない。
【００５６】
すなわち、偽造されたマックアドレス及び偽造されたＩＰｖ６アドレスを使用したＩＰｖ４アドレス割り当て要請に応答して割り当てられたＩＰｖ４アドレスは、当該要請をしたノードに転送されない。したがって、不当なＩＰｖ４アドレス割り当て要請により割り当てられたＩＰｖ４アドレスを通じてのパケットの転送は、遂行されない。言い換えると、ＩＰｖ４アドレスを割り当てられたＤＳＴＭノードが所定の時間内に当該ＩＰｖ４アドレスを使用してパケットを送信しない場合に、当該ＤＳＴＭノードからのＩＰｖ４アドレス割り当て要請は、不当な要請であると判断されることができる。
【００５７】
このような場合を判断するために使用されるものが、動的アドレステーブルのタイムアウト情報である。タイムアウト情報を使用したタイムアウトチェックは、ＤＳＴＭ境界ルータ１２０により実行される。
【００５８】
ＤＳＴＭ境界ルータ１２０は、パケットが受信される際に、当該パケットが正当なパケットなのか否かを判断する認証過程を行い、正当なパケットであると判断されたパケットをフォワーディング（すなわち目的地へ転送）する。ＤＳＴＭ境界ルータ１２０は、受信されたパケットを認証するために、自機の動的アドレステーブルを使用する。ＤＳＴＭ境界ルータ１２０は、パケットが受信される場合、自機の動的アドレステーブルを検索して、受信されたパケットを送信したＤＳＴＭノードの情報が自機の動的アドレステーブルに含まれているか否かを判断する。そして、ＤＳＴＭ境界ルータ１２０は、送信ＤＳＴＭノードの情報が自機の動的アドレステーブルに含まれている場合に、当該ＤＳＴＭノードから受信したパケットは正当なパケットであると判断する。
【００５９】
この際、ＤＳＴＭ境界ルータ１２０により正当なパケットであると判断されるパケットには、ＤＳＴＭサーバー１１０により割り当てられたＩＰｖ４アドレスを使用して転送されるパケットが含まれることができる。言い換えると、ＤＳＴＭ境界ルータ１２０は、受信されるパケットを認証するために、ＤＳＴＭサーバー１１０が割り当てたＩＰｖ４アドレス情報を把握していなければならない。ＤＳＴＭ境界ルータ１２０は、ＤＳＴＭ境界ルータ１２０（すなわち自機）の動的アドレステーブルとＤＳＴＭサーバー１１０の動的アドレステーブルとの同期化を通じて、ＤＳＴＭサーバー１１０が割り当てたＩＰｖ４アドレス情報を把握する。具体的には、２つの動的アドレステーブルの同期化のために、ＤＳＴＭサーバー１１０の動的アドレステーブルが更新される場合には、更新されたＤＳＴＭサーバー１１０の動的アドレステーブルがＤＳＴＭ境界ルータ１２０に提供され、一方、ＤＳＴＭ境界ルータ１２０の動的アドレステーブルが更新される場合には、更新されたＤＳＴＭ境界ルータ１２０の動的アドレステーブルがＤＳＴＭサーバー１１０に提供される。この際、２つの動的アドレステーブルの同期化のためには、ＤＳＴＭサーバー１１０とＤＳＴＭ境界ルータ１２０との間で、更新された動的アドレステーブル全体が交換されることよりは、削除された或いは追加された等の更新されたデータデータだけが交換されることが好ましい。
【００６０】
ＤＳＴＭ境界ルータ１２０は、受信されたパケットの情報（例えば、当該パケットを送信したＤＳＴＭノードの情報）が自機の動的アドレステーブルに含まれていない場合や、当該パケットの情報が自機の動的アドレステーブルの情報と一致しない場合には、当該パケットは不当なパケット（不法パケット）である、と判断する。ここで、不当なパケットとは、当該パケットがＤＳＴＭサーバー１１０から正当に割り当てられたＩＰｖ４パケットを使用して送信されたパケットではない、という意味である。この際、ＤＳＴＭ境界ルータ１２０は、正当なＩＰｖ４割り当て要請無しに発生したＩＰｖ４アドレス割り当てをＤＳＴＭサーバー１１０に通知し、ＤＳＴＭサーバー１１０のＩＰｖ４アドレス不足を防止する。
【００６１】
また、ＤＳＴＭ境界ルータ１２０は、前述したように、自機の動的アドレステーブルを用いてタイムアウトチェックを行う。ＤＳＴＭ境界ルータ１２０は、自機の動的アドレステーブルに含まれたＩＰｖ４アドレスのうち、割り当てられた後の所定時間が経過する前のパケット転送には使われないＩＰｖ４アドレスが在る場合、当該ＩＰｖ４アドレスは不当な要請に応答して割り当てられたアドレスである、と判断する。タイムアウト時間は、割り当て可能なＩＰｖ４アドレスの総量、現在割り当て可能なＩＰｖ４アドレスの残余量、などのシステム特性を考慮して設定されることができる。タイムアウト時間は、ＩＰｖ４アドレスを割り当てるＤＳＴＭサーバー１１０により設定されることが好ましい。
【００６２】
ＤＳＴＭ境界ルータ１２０は、タイムアウトチェックの結果、任意のＩＰｖ４アドレスが不当な要請に応答して割り当てられたアドレスであると判断された場合には、当該ＩＰｖ４アドレス及び当該ＩＰｖ４アドレスと対応する情報を、自機の動的アドレステーブルから削除する。また、ＤＳＴＭ境界ルータ１２０は、タイムアウトチェックの結果により自機の動的アドレステーブルが更新される場合には、更新された自機の動的アドレステーブルをＤＳＴＭサーバー１１０に提供し、これにより、自機の動的アドレステーブルとＤＳＴＭサーバー１１０の動的アドレステーブルとが同期化できるようにする。
【００６３】
図１には、本発明に従う過程が番号付き矢印によって示されている。
【００６４】
過程１は、ＤＳＴＭノード（例えば図１のノードＡ）がＤＳＴＭサーバー１１０にＩＰｖ４アドレスを要請する過程を示す。ここで、ＤＳＴＭノードは、特定のＤＳＴＭノードでなく、ＤＳＴＭサーバー１１０と同じドメインに含まれる任意のＤＳＴＭノードであるから、ＤＳＴＭノードに対しては参照符号を省略して説明する。
【００６５】
ＤＳＴＭノードからＩＰｖ４アドレス割り当てを要請されたＤＳＴＭサーバー１１０は、ＩＰｖ４アドレスを要請したＤＳＴＭノードのマックアドレス及びＩＰｖ６アドレスと、当該ＤＳＴＭノードに割り当てられるＩＰｖ４アドレスの対と、を全てマッピングできる動的アドレステーブルを構築する。この動的アドレステーブルは、ＩＰｖ４アドレスを要請するＤＳＴＭノードのＭＡＣアドレスに基づいた、動的な更新過程の対象となる。すなわち、ＤＳＴＭサーバー１１０は、ＤＳＴＭノードがＩＰｖ４アドレスを要請する場合毎に、自機の動的アドレステーブルにおける当該ＤＳＴＭノードのマックアドレスとＩＰｖ６アドレスの余剰（redundancy）を順に検査する。
【００６６】
動的アドレステーブルは、表１に示されたように、マック（ＭＡＣ）アドレス、ＩＰｖ６アドレス、ＩＰｖ４アドレス、タイムアウト（Timeout）情報及びマーカーを含むことができる。タイムアウト情報は、前述したように、タイムアウトチェックのために使われる。タイムアウト時間内にＤＳＴＭ境界ルータ１２０によってルーティングされたパケットに対しては、マーカーが設定され、タイムアウトは無視される。一般的に、タイムアウトチェックを通過する際に、マーカーは、“１”に設定されるが、その値は、システムの設定によって変更できる。
【００６７】
過程２は、ＤＳＴＭノードのＩＰｖ４アドレス要請により動的アドレステーブルを生成したＤＳＴＭサーバー１１０が、自機の動的アドレステーブルをＤＳＴＭ境界ルータ１２０の動的アドレステーブルと共有する過程である。この過程は、２つの動的アドレステーブルの同期化を通じて実行される。すなわち、ＤＳＴＭサーバー１１０及びＤＳＴＭ境界ルータ１２０は、自機の動的アドレステーブルにおける内容の削除、追加または変更などの更新が発生する場合に、当該更新情報を相手方に提供することによって、自機の動的アドレステーブルを相手方の動的アドレステーブルと同一に維持できる。
【００６８】
過程３は、ＤＳＴＭノードが要請したＩＰｖ４アドレスをＤＳＴＭサーバー１１０から割り当てられる過程である。
【００６９】
過程４と過程５は、割り当てられたＩＰｖ４アドレスを有するＤＳＴＭノードが、ＤＳＴＭ境界ルータ１２０を介してＩＰｖ４ネットワークに通信を試みる過程である。この際に、ＤＳＴＭ境界ルータ１２０は、ＤＳＴＭサーバー１１０と共有している動的アドレステーブルを使用して、現在自機を経由するＩＰｖ６パケットの正当性を検査する。
【００７０】
最後に、過程３−１及び３−２は、ＤＳＴＭサーバー１１０が、偽造されたマックアドレスを有する不当なＤＳＴＭノードのＩＰｖ４アドレス要請に応答して割り当てたＩＰｖ４アドレスを、実際のマックアドレスを有するＤＳＴＭノードに転送する場合である。この際、自機の要請無しにＩＰｖ４アドレスを割り当てられたＤＳＴＭノードＢ １００−Ｂは、ＩＰｖ４アドレス要請無しにアドレスが割り当てられたことをＤＳＴＭサーバー１１０に通知することによって、割り当てられたＩＰｖ４を取り消すことができる。ＤＳＴＭノードＢ １００−Ｂから自機が要請しなかったことを通知されたＤＳＴＭサーバー１１０は、ＤＳＴＭノードＢ １００−Ｂに割り当てられたＩＰＶ４アドレスを取り消す。
【００７１】
前述した、本発明を適用したＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止のための過程を、図２を参照して以下に説明する。
【００７２】
図２は、本発明の一実施形態による、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止過程を示すフローチャートである。
【００７３】
まず、ＤＳＴＭノードがＤＳＴＭサーバーにＩＰｖ４アドレス割り当てを要請する（ステップＳ２００）。ＩＰｖ４アドレス割り当てを要請されたＤＳＴＭサーバー１１０は、当該要請が正当な要請であるか否かを判断し、正当な要請に対してＩＰｖ４アドレスを割り当て、割り当てられたＩＰｖ４アドレスのマッピング情報を含むように自機の動的アドレステーブルを更新する（ステップＳ２０２）。続いて、ＤＳＴＭサーバー１１０は、ＤＳＴＭ境界ルータ１２０との動的アドレステーブル同期化を行う（ステップＳ２０４）。そして、ＤＳＴＭサーバーは、ＩＰｖ４アドレス割り当てを要請したＤＳＴＭノードに、当該割り当てられたＩＰｖ４アドレスを通知する（ステップＳ２０６）。また、ＤＳＴＭ境界ルータ１２０は、自機の動的アドレステーブルを使用して、受信したパケットに対するタイムアウトチェック及び認証を行う（ステップＳ２０８）。そして、ＤＳＴＭ境界ルータ１２０は、パケットの認証が成功したか否かを判断し（ステップＳ２１０）、成功した場合には、当該認証されたパケットを該当するノードに転送（フォワーディング）する（ステップＳ２１２）。一方、ＤＳＴＭ境界ルータ１２０は、パケットの認証が成功しない場合には、当該パケットを送信したＤＳＴＭノードに割り当てられていたＩＰｖ４アドレスを取り消し、その取消結果を反映するように自機の動的アドレステーブルを更新した後に、ＤＳＴＭサーバー１１０の動的アドレステーブルと自機の動的アドレステーブルとを同期化する（ステップＳ２１４）。
【００７４】
前述したように、本発明を適用した実施形態によれば、動的アドレステーブルを使用することによって、別途の付加的な保安プロトコルや暗号化技法を用いずに、ＩＰｖ６パケットの偽造による不当なＩＰｖ４アドレスの割り当て要請を検出し、正当なＩＰｖ４アドレス割り当て要請のみに対してＩＰｖ４アドレスを割り当てることによって、ＩＰｖ４アドレスの消耗ないし不足を防止することができる。
【図面の簡単な説明】
【００７５】
【図１】本発明が適用されることができるＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４ネットワークの一実施形態によるネットワーク構成図である。
【図２】本発明の一実施形態による、ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止過程を示すフローチャートである。
【符号の説明】
【００７６】
１１０ ＤＳＴＭサーバー
１００−Ａ ＤＳＴＭノード Ａ
１００−Ｂ ＤＳＴＭノード Ｂ
１２０ ＤＳＴＭ境界ルータ
１３０ ＩＰｖ４ホスト
【特許請求の範囲】
【請求項１】
ＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４（Internet Protocol version 4-IP version 6）ネットワークにおけるＩＰｖ６パケット偽造防止方法であって、
ＤＳＴＭサーバーがＤＳＴＭノードからのＩＰｖ４アドレス割り当て要請を受信する過程と、
前記ＤＳＴＭサーバーが、予め格納された自機の動的アドレステーブルを使用して、前記要請が正当な要請であるか否かを判断する過程と、
前記要請が正当であると判断された場合に、前記ＤＳＴＭサーバーが前記ＤＳＴＭノードにＩＰｖ４アドレスを割り当て、前記ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報とを含むように、前記動的アドレステーブルを更新する過程と、
前記ＤＳＴＭサーバーが、前記割り当てられたＩＰｖ４アドレスを前記ＤＳＴＭノードに送信する過程と、
前記ＤＳＴＭサーバーが、前記更新された動的アドレステーブルをＤＳＴＭ境界ルータに送信し、自機の動的アドレステーブルと前記ＤＳＴＭ境界ルータの動的アドレステーブルとを同期化する過程と、
を備えることを特徴とするＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項２】
前記ＤＳＴＭノードの情報は、少なくとも前記ＤＳＴＭノードのマック（Media Access Control；ＭＡＣ）アドレス及びＩＰｖ６アドレスを含む
ことを特徴とする請求項１に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項３】
前記ＤＳＴＭノードの要請が正当な要請であるか否かを判断する過程は、
前記ＤＳＴＭサーバーが、
前記ＤＳＴＭノードのマックアドレスと同じマックアドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、
前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードのＩＰｖ６アドレスと、自機の動的アドレステーブルに含まれた、当該マックアドレスに対応するＩＰｖ６アドレスと、を比較する過程と、
前記比較の結果、前記ＤＳＴＭノードのＩＰｖ６アドレスと自機の動的アドレステーブルに含まれたＩＰｖ６アドレスとが同一でない場合には、前記ＤＳＴＭノードのＩＰｖ４アドレス割り当て要請は不当な要請であると判断する過程と、
を備えることを特徴とする請求項２に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項４】
前記ＤＳＴＭノードの要請が正当な要請であるか否かを判断する過程は、
前記ＤＳＴＭサーバーが、
前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、
前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれていないと判断された場合に、前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、
前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードのＩＰｖ４アドレス割り当て要請は不当な要請であると判断する過程と、
を備えることを特徴とする請求項２に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項５】
前記ＤＳＴＭ境界ルータが、前記ＤＳＴＭサーバーの動的アドレステーブルに同期化された自機の動的アドレステーブルを使用して、受信されるパケットが正当なパケットであるか否かを判断する過程と、
前記ＤＳＴＭ境界ルータが、前記正当であると判断されたパケットをフォワーディングする過程と、
をさらに備えることを特徴とする請求項２に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項６】
前記ＤＳＴＭ境界ルータが、前記受信パケットが正当であるか否かを判断する過程は、
前記受信パケットの情報が前記自機の動的アドレステーブルに含まれている場合に、当該パケットを正当であると判断する過程を備える
ことを特徴とする請求項５に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項７】
前記ＤＳＴＭ境界ルータの動的アドレステーブル及び前記ＤＳＴＭノードの動的アドレステーブルは、タイムアウト項目、マーカー項目をさらに含む
ことを特徴とする請求項１に記載のＤＳＴＭ環境のＩＰ−６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項８】
前記ＤＳＴＭ境界ルータが自機の動的アドレステーブルに含まれたＤＳＴＭノードからのパケット受信が当該ノードに割り当てられたタイムアウト時間内になされない場合に、当該ＤＳＴＭノードを不当なノードであると判断する過程をさらに備える
ことを特徴とする請求項７に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項９】
当該ＤＳＴＭノードに割り当てられたタイムアウト時間内に当該ＤＳＴＭノードが送信したパケットが受信される場合に、前記ＤＳＴＭ境界ルータが自機の動的アドレステーブルの、当該ＤＳＴＭノードに対応するマーカー項目に所定の値を設定する過程をさらに備える
ことを特徴とする請求項８に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項１０】
前記ＤＳＴＭ境界ルータが前記タイムアウトチェックにより不当と判断されたＤＳＴＭノードの情報を自機の動的アドレステーブルから削除し、自機の動的アドレステーブルと前記ＤＳＴＭサーバーの動的アドレステーブルを同期化させるために、前記削除されたＤＳＴＭノードの情報を前記ＤＳＴＭサーバーに送信する過程をさらに備える
ことを特徴とする請求項８に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項１１】
前記ＤＳＴＭサーバーは、ＩＰｖ４アドレスを割り当てられたＤＳＴＭノードから自機がＩＰｖ４アドレスの割り当てを要請しなかったことを通知される場合に、当該ＩＰｖ４アドレスの割り当てを取り消す過程をさらに備える
ことを特徴とする請求項１に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項１２】
ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システムであって、
ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報を含む動的アドレステーブルを使用して、任意のＤＳＴＭノードから受信されるパケットを認証し、認証されたパケットをフォワーディングするＤＳＴＭ境界ルータと、
ＤＳＴＭノードからのＩＰｖ４アドレス割り当て要請を受信した場合に、当該要請が正当な要請であるか否かを判断した後、正当であると判断された要請に応答して当該ＤＳＴＭノードにＩＰｖ４アドレスを割り当て、当該ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報を含むように、予め格納された自機の動的アドレステーブルを更新し、当該更新された動的アドレステーブルを前記ＤＳＴＭ境界ルータに提供して自機の動的アドレステーブルと前記ＤＳＴＭ境界ルータの動的アドレステーブルを同期化するＤＳＴＭサーバーと、
を備えることを特徴とするＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１３】
前記ＤＳＴＭノードの情報は、少なくとも前記ＤＳＴＭノードのマック（Media Access Control；ＭＡＣ）アドレス及びＩＰｖ６アドレスを含む
ことを特徴とする請求項１２に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１４】
前記ＤＳＴＭサーバーは、前記ＤＳＴＭノードのマックアドレスと同じマックアドレスが自機の動的アドレステーブルに含まれていて、前記動的アドレステーブルに含まれた、前記マックアドレスに対応するＩＰｖ６アドレスが前記ＤＳＴＭノードのＩＰｖ６アドレスと同一でない場合には、前記ＤＳＴＭノードの要請は不当と判断する
ことを特徴とする請求項１３に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１５】
前記ＤＳＴＭサーバーは、前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれておらず、前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードの要請は不当な要請であると判断する
ことを特徴とする請求項１３に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１６】
前記ＤＳＴＭ境界ルータの動的アドレステーブルと前記ＤＳＴＭノードの動的アドレステーブルは、タイムアウト項目、マーカー項目をさらに含む
ことを特徴とする請求項１３に記載のＤＳＴＭ環境のＩＰ−６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１７】
前記ＤＳＴＭ境界ルータは、自機の動的アドレステーブルに含まれたＤＳＴＭノードの各々に対して、当該ＤＳＴＭノードが送信したパケットが当該ＤＳＴＭノードに割り当てられた所定のタイムアウト時間内に受信されるか否かを判断し、当該ＤＳＴＭノードが送信するパケットが前記タイムアウト時間内に受信されない場合に、当該ＤＳＴＭノードは不当なＤＳＴＭノードであると判断する
ことを特徴とする請求項１６に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１８】
前記ＤＳＴＭ境界ルータは、前記タイムアウトチェックの結果、不当と判断されたＤＳＴＭノードを前記自機の動的アドレステーブルから削除し、当該削除されたＤＳＴＭノードの情報を前記ＤＳＴＭサーバーに提供する
ことを特徴とする請求項１７に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１９】
前記ＤＳＴＭ境界ルータは、前記タイムアウトチェックの結果、当該ＤＳＴＭノードに割り当てられたタイムアウト時間内に当該ＤＳＴＭノードが送信したパケットが受信される場合、動的アドレステーブルに含まれた、当該ＤＳＴＭノードに対応するマーカー項目に所定の値を記録する
ことを特徴とする請求項１７に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項２０】
前記ＤＳＴＭサーバーは、ＩＰｖ４アドレスを割り当てられたＤＳＴＭノードから自機がＩＰｖ４アドレスの割り当てを要請しなかったことを通知される場合、当該ＩＰｖ４アドレスの割り当てを取り消す
ことを特徴とする請求項１２に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１】
ＤＳＴＭ（Dual Stack Transition Mechanism）環境のＩＰｖ６−ＩＰｖ４（Internet Protocol version 4-IP version 6）ネットワークにおけるＩＰｖ６パケット偽造防止方法であって、
ＤＳＴＭサーバーがＤＳＴＭノードからのＩＰｖ４アドレス割り当て要請を受信する過程と、
前記ＤＳＴＭサーバーが、予め格納された自機の動的アドレステーブルを使用して、前記要請が正当な要請であるか否かを判断する過程と、
前記要請が正当であると判断された場合に、前記ＤＳＴＭサーバーが前記ＤＳＴＭノードにＩＰｖ４アドレスを割り当て、前記ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報とを含むように、前記動的アドレステーブルを更新する過程と、
前記ＤＳＴＭサーバーが、前記割り当てられたＩＰｖ４アドレスを前記ＤＳＴＭノードに送信する過程と、
前記ＤＳＴＭサーバーが、前記更新された動的アドレステーブルをＤＳＴＭ境界ルータに送信し、自機の動的アドレステーブルと前記ＤＳＴＭ境界ルータの動的アドレステーブルとを同期化する過程と、
を備えることを特徴とするＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項２】
前記ＤＳＴＭノードの情報は、少なくとも前記ＤＳＴＭノードのマック（Media Access Control；ＭＡＣ）アドレス及びＩＰｖ６アドレスを含む
ことを特徴とする請求項１に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項３】
前記ＤＳＴＭノードの要請が正当な要請であるか否かを判断する過程は、
前記ＤＳＴＭサーバーが、
前記ＤＳＴＭノードのマックアドレスと同じマックアドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、
前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードのＩＰｖ６アドレスと、自機の動的アドレステーブルに含まれた、当該マックアドレスに対応するＩＰｖ６アドレスと、を比較する過程と、
前記比較の結果、前記ＤＳＴＭノードのＩＰｖ６アドレスと自機の動的アドレステーブルに含まれたＩＰｖ６アドレスとが同一でない場合には、前記ＤＳＴＭノードのＩＰｖ４アドレス割り当て要請は不当な要請であると判断する過程と、
を備えることを特徴とする請求項２に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項４】
前記ＤＳＴＭノードの要請が正当な要請であるか否かを判断する過程は、
前記ＤＳＴＭサーバーが、
前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、
前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれていないと判断された場合に、前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれているか否かを判断する過程と、
前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードのＩＰｖ４アドレス割り当て要請は不当な要請であると判断する過程と、
を備えることを特徴とする請求項２に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項５】
前記ＤＳＴＭ境界ルータが、前記ＤＳＴＭサーバーの動的アドレステーブルに同期化された自機の動的アドレステーブルを使用して、受信されるパケットが正当なパケットであるか否かを判断する過程と、
前記ＤＳＴＭ境界ルータが、前記正当であると判断されたパケットをフォワーディングする過程と、
をさらに備えることを特徴とする請求項２に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項６】
前記ＤＳＴＭ境界ルータが、前記受信パケットが正当であるか否かを判断する過程は、
前記受信パケットの情報が前記自機の動的アドレステーブルに含まれている場合に、当該パケットを正当であると判断する過程を備える
ことを特徴とする請求項５に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項７】
前記ＤＳＴＭ境界ルータの動的アドレステーブル及び前記ＤＳＴＭノードの動的アドレステーブルは、タイムアウト項目、マーカー項目をさらに含む
ことを特徴とする請求項１に記載のＤＳＴＭ環境のＩＰ−６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項８】
前記ＤＳＴＭ境界ルータが自機の動的アドレステーブルに含まれたＤＳＴＭノードからのパケット受信が当該ノードに割り当てられたタイムアウト時間内になされない場合に、当該ＤＳＴＭノードを不当なノードであると判断する過程をさらに備える
ことを特徴とする請求項７に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項９】
当該ＤＳＴＭノードに割り当てられたタイムアウト時間内に当該ＤＳＴＭノードが送信したパケットが受信される場合に、前記ＤＳＴＭ境界ルータが自機の動的アドレステーブルの、当該ＤＳＴＭノードに対応するマーカー項目に所定の値を設定する過程をさらに備える
ことを特徴とする請求項８に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項１０】
前記ＤＳＴＭ境界ルータが前記タイムアウトチェックにより不当と判断されたＤＳＴＭノードの情報を自機の動的アドレステーブルから削除し、自機の動的アドレステーブルと前記ＤＳＴＭサーバーの動的アドレステーブルを同期化させるために、前記削除されたＤＳＴＭノードの情報を前記ＤＳＴＭサーバーに送信する過程をさらに備える
ことを特徴とする請求項８に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項１１】
前記ＤＳＴＭサーバーは、ＩＰｖ４アドレスを割り当てられたＤＳＴＭノードから自機がＩＰｖ４アドレスの割り当てを要請しなかったことを通知される場合に、当該ＩＰｖ４アドレスの割り当てを取り消す過程をさらに備える
ことを特徴とする請求項１に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止方法。
【請求項１２】
ＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システムであって、
ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報を含む動的アドレステーブルを使用して、任意のＤＳＴＭノードから受信されるパケットを認証し、認証されたパケットをフォワーディングするＤＳＴＭ境界ルータと、
ＤＳＴＭノードからのＩＰｖ４アドレス割り当て要請を受信した場合に、当該要請が正当な要請であるか否かを判断した後、正当であると判断された要請に応答して当該ＤＳＴＭノードにＩＰｖ４アドレスを割り当て、当該ＤＳＴＭノードの情報と当該ＤＳＴＭノードに割り当てられたＩＰｖ４アドレスのマッピング情報を含むように、予め格納された自機の動的アドレステーブルを更新し、当該更新された動的アドレステーブルを前記ＤＳＴＭ境界ルータに提供して自機の動的アドレステーブルと前記ＤＳＴＭ境界ルータの動的アドレステーブルを同期化するＤＳＴＭサーバーと、
を備えることを特徴とするＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１３】
前記ＤＳＴＭノードの情報は、少なくとも前記ＤＳＴＭノードのマック（Media Access Control；ＭＡＣ）アドレス及びＩＰｖ６アドレスを含む
ことを特徴とする請求項１２に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１４】
前記ＤＳＴＭサーバーは、前記ＤＳＴＭノードのマックアドレスと同じマックアドレスが自機の動的アドレステーブルに含まれていて、前記動的アドレステーブルに含まれた、前記マックアドレスに対応するＩＰｖ６アドレスが前記ＤＳＴＭノードのＩＰｖ６アドレスと同一でない場合には、前記ＤＳＴＭノードの要請は不当と判断する
ことを特徴とする請求項１３に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１５】
前記ＤＳＴＭサーバーは、前記ＤＳＴＭノードのマックアドレスが自機の動的アドレステーブルに含まれておらず、前記ＤＳＴＭノードのＩＰｖ６アドレスが自機の動的アドレステーブルに含まれていると判断された場合に、前記ＤＳＴＭノードの要請は不当な要請であると判断する
ことを特徴とする請求項１３に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１６】
前記ＤＳＴＭ境界ルータの動的アドレステーブルと前記ＤＳＴＭノードの動的アドレステーブルは、タイムアウト項目、マーカー項目をさらに含む
ことを特徴とする請求項１３に記載のＤＳＴＭ環境のＩＰ−６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１７】
前記ＤＳＴＭ境界ルータは、自機の動的アドレステーブルに含まれたＤＳＴＭノードの各々に対して、当該ＤＳＴＭノードが送信したパケットが当該ＤＳＴＭノードに割り当てられた所定のタイムアウト時間内に受信されるか否かを判断し、当該ＤＳＴＭノードが送信するパケットが前記タイムアウト時間内に受信されない場合に、当該ＤＳＴＭノードは不当なＤＳＴＭノードであると判断する
ことを特徴とする請求項１６に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１８】
前記ＤＳＴＭ境界ルータは、前記タイムアウトチェックの結果、不当と判断されたＤＳＴＭノードを前記自機の動的アドレステーブルから削除し、当該削除されたＤＳＴＭノードの情報を前記ＤＳＴＭサーバーに提供する
ことを特徴とする請求項１７に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項１９】
前記ＤＳＴＭ境界ルータは、前記タイムアウトチェックの結果、当該ＤＳＴＭノードに割り当てられたタイムアウト時間内に当該ＤＳＴＭノードが送信したパケットが受信される場合、動的アドレステーブルに含まれた、当該ＤＳＴＭノードに対応するマーカー項目に所定の値を記録する
ことを特徴とする請求項１７に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【請求項２０】
前記ＤＳＴＭサーバーは、ＩＰｖ４アドレスを割り当てられたＤＳＴＭノードから自機がＩＰｖ４アドレスの割り当てを要請しなかったことを通知される場合、当該ＩＰｖ４アドレスの割り当てを取り消す
ことを特徴とする請求項１２に記載のＤＳＴＭ環境のＩＰｖ６−ＩＰｖ４ネットワークにおけるＩＰｖ６パケット偽造防止システム。
【図１】
【図２】
【図２】
【公開番号】特開２００７−２２１７９２（Ｐ２００７−２２１７９２Ａ）
【公開日】平成１９年８月３０日（２００７．８．３０）
【国際特許分類】
【出願番号】特願２００７−３５６４９（Ｐ２００７−３５６４９）
【出願日】平成１９年２月１６日（２００７．２．１６）
【出願人】（３９００１９８３９）三星電子株式会社 (8,520)
【氏名又は名称原語表記】Ｓａｍｓｕｎｇ Ｅｌｅｃｔｒｏｎｉｃｓ Ｃｏ．，Ｌｔｄ．
【Ｆターム（参考）】
【公開日】平成１９年８月３０日（２００７．８．３０）
【国際特許分類】
【出願日】平成１９年２月１６日（２００７．２．１６）
【出願人】（３９００１９８３９）三星電子株式会社 (8,520)
【氏名又は名称原語表記】Ｓａｍｓｕｎｇ Ｅｌｅｃｔｒｏｎｉｃｓ Ｃｏ．，Ｌｔｄ．
【Ｆターム（参考）】
[ Back to top ]