JP2005223838A - 通信システムおよび中継装置 - Google Patents

Abstract

【課題】 中継装置におけるデータ処理の負担の軽減化が図られた通信システムおよびその中継装置を提供する。
【解決手段】 ＳＴＡ１１,ＳＴＡ１２および中継装置１３が共有鍵Ｋを持ち、ＳＴＡ１１が送信データを共有鍵Ｋで暗号化して中継装置１３に送信し、その中継装置１３が、その暗号化データを一旦復号化することなくそのままＳＴＡ１２に無線送信し、あるいは受信先が有線ＬＡＮ１４を介在させた先に存在するときはその暗号化データを共有鍵Ｋで復号化して送信する。
【選択図】 図１

Description

本発明は、データの通信を行なう通信システムおよび中継装置に関する。

従来より、無線通信を中継する中継装置と、その中継装置による無線通信の中継を受けて無線通信を行なう複数の端末とを備えた通信システムが知られている。このような通信システムでは、無線通信にあたり盗聴の恐れが存在するため、セキュリティの確保が重要である。無線通信におけるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の代表的な規格として、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃ Ｅｎｇｉｎｅｅｒｓ，Ｉｎｃ．）８０２．１１，８０２．１１ｉが知られている。これらＩＥＥＥ８０２．１１，８０２．１１ｉでは、ＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）と呼ばれる共有鍵方式による暗号化機能が規定されている。

図１３は、共有鍵方式による暗号化機能を有する通信システムを示す図である。

図１３に示す通信システム１００には、無線通信を中継する中継装置１０３と、その中継装置１０３による無線通信の中継を受けて無線通信を行なう２台の端末１０１，１０２が備えられている。中継装置１０３には、有線ＬＡＮ１０４が接続されている。

中継装置１０３は、いわゆるアクセスポイント（ＡＰ）と称される装置であり、この中継装置１０３は、端末１０１，１０２との間では暗号化データの無線通信を行なうとともに、有線ＬＡＮ１０４を介する通信では復号化されたデータの有線通信を行なう。また、中継装置１０３は、各端末１０１，１０２との間で暗号化データの無線通信を行なうための各共有鍵Ｋ１，Ｋ２を有する。

端末１０１，１０２は、いわゆるステーション（ＳＴＡ）と称される装置であり、ワークステーションまたはパーソナルコンピュータと呼ばれるコンピュータを用いることができる。各端末１０１，１０２は、中継装置１０３との間で暗号化データの無線通信を行なうための各共有鍵Ｋ１，Ｋ２を有する。

ここで、端末１０１から端末１０２にデータを送信する場合は、端末１０１が送信データを共有鍵Ｋ１で暗号化して中継装置１０３に暗号化データを無線で送信する。中継装置１０３では、端末１０１から無線送信されてきた暗号化データを共有鍵Ｋ１で復号化し、必要に応じて有線のネットワークを介して有線で通信するとともに共有鍵Ｋ２で暗号化して端末１０２に暗号化データを無線で送信する。端末１０２では、中継装置１０３から無線送信されてきた暗号化データを共有鍵Ｋ２で復号化する。このようにして、端末１０１からのデータが中継装置１０３を経由して端末１０２に送信される。端末１０２から端末１０１にデータを送信する場合も同様の手順で行なわれる。

暗号化機能を有する通信システムでは、データの暗号化および復号化を行なう必要があるため、そのシステムにおけるデータ処理の負担が大きいという問題がある。そこで、パケットの送信元や受信先あるいはシステム内部の状態に応じて暗号化処理の要否を判定し、暗号化処理が必要なパケットにのみ暗号化処理を施すことで、計算量を削減してデータ処理の負担の軽減化が図られた通信システムが提案されている（特許文献１参照）。
特開平１５−１６９０９７号公報

ここで、特許文献１に提案された通信システムにおいて、上述した共有鍵方式を採用して必要なパケットにのみ暗号化処理を施す場合、送信元端末で暗号化された暗号化データを中継装置で一旦復号化し、その復号化したデータをその中継装置で再度暗号化して受信先端末に送信するということが行なわれる。従って、中継装置におけるデータ処理の負担が大きいという間題がある。

本発明は、上記事情に鑑み、中継装置におけるデータ処理の負担の軽減化が図られた通信システムおよびその中継装置を提供することを目的とする。

上記目的を達成する本発明の通信システムは、無線通信を中継する中継装置と、その中継装置による無線通信の中継を受けて無線通信を行なう複数の端末とを備え、上記中継装置が、上記端末との間では暗号化データの通信を行なうとともに、所定のネットワークに接続されてそのネットワークを介する通信では復号化されたデータの通信を行なう通信システムにおいて、
上記中継装置は、上記複数の端末のうちの送信元端末から無線送信されてきた暗号化データを、その暗号化データの受信先が上記複数の端末のうちのいずれかの端末であったときはその端末にその暗号化データを一旦復号化することなくそのまま無線通信するとともに、その暗号化データの受信先が上記ネットワークを介在させた先に存在するときはその暗号化データを復号化して送信するものであることを特徴とする。

本発明の通信システムは、中継装置が、送信元端末から無線送信されてきた暗号化データを一旦復号化することなくそのまま受信先端末に無線通信するものであるため、従来の、送信元端末から送信されてきた暗号化データを中継装置で一旦復号化し、再度暗号化して受信先端末に送信する技術と比較し、中継装置におけるデータ処理の負担が軽減される。また、暗号化データの受信先が、例えば有線のネットワークを介在させた先に存在するときは、無線通信の場合と比較し、盗聴の恐れも少ないため、その暗号化データを中継装置で復号化して送信することにより、そのネットワークにおけるデータ処理の簡素化が図られる。

ここで、上記複数の端末および上記中継装置は、第１の共有鍵を持ち、送信端末は、送信データをその第１の共有鍵で暗号化して暗号化データを送信し、上記中継装置では、上記複数の端末のうちの送信元端末から無線送信されてきた暗号化データを、その暗号化データの受信先が上記複数の端末のうちのいずれかの端末であったときはその端末にその暗号化データを一旦復号化することなくそのまま無線通信するとともに、その暗号化データの受信先が上記ネットワークを介在させた先に存在するときはその暗号化データを上記第１の共有鍵で復号化して送信し、受信端末は受信データをその第１の共有鍵で復号化するものであることが好ましい。

このように、複数の端末および中継装置が第１の共有鍵を持ち、送信端末が送信データを第１の共有鍵で暗号化して中継装置に送信し、その中継装置が、その暗号化データを一旦復号化することなくそのまま受信先端末に送信し、あるいは受信先が上記ネットワークを介在させた先に存在するときはその暗号化データを第１の共有鍵で復号化して送信すると、セキュリティを十分に確保したまま、上記中継装置および上記ネットワークにおけるデータ処理の簡素化を図ることができる。

また、上記複数の端末および上記中継装置は第１の共有鍵を持つとともに、上記複数の端末のうちの少なくとも２台の相互通信端末はその相互通信端末どうしで共有された第２の共有鍵を持ち、上記複数の端末は、上記ネットワークを介在させた先にデータを送信するときは上記第１の共有鍵で暗号化した暗号化データを送信し、上記相互通信端末が上記第２の共有鍵を共有している受信先の相互通信端末にデータを送信するときは、上記第２の共有鍵で暗号化した暗号化データを送信するものであることも好ましい態様である。

このように、上記複数の端末が上記ネットワークを介在させた先にデータを送信するときは上記第１の共有鍵で暗号化した暗号化データを送信するとともに、上記相互通信端末が上記第２の共有鍵を共有している受信先の相互通信端末にデータを送信するときは、上記第２の共有鍵で暗号化した暗号化データを送信すると、上記ネットワークにおいてはセキュリティを十分に確保したままデータ処理の簡素化を図ることができるとともに、上記中継装置においては自分の配下にある上記相互通信端末以外の他の端末により盗聴される恐れもなくデータ処理の簡素化を図ることができる。

また、上記目的を達成する本発明の中継装置は、複数の端末どうしの暗号化通信を中継するとともに、所定のネットワークに接続されて該ネットワークを介する通信では復号化されたデータ通信を行なう中継装置において、
上記複数の端末のうちの送信元端末から無線送信されてきた暗号化データを、その暗号化データの受信先が上記複数の端末のうちのいずれかの端末であったときはその端末にその暗号化データを一旦復号化することなくそのまま無線通信するとともに、その暗号化データの受信先が上記ネットワークを介在させた先に存在するときはその暗号化データを復号化して送信するものであることを特徴とする。

本発明の中継装置は、送信元端末から受信先端末に無線送信する場合は、送信元端末から無線送信されてきた暗号化データを一旦復号化することなくそのまま受信先端末に無線通信するものであるため、従来の、送信元端末から送信されてきた暗号化データを一旦復号化し、再度暗号化して受信先端末に送信する技術と比較し、データ処理の負担を軽減することができる。また、暗号化データの受信先が、例えば有線のネットワークを介在させた先に存在するときは、盗聴の恐れも少ないため、その暗号化データを復号化して送信することにより、そのネットワークにおけるデータ処理の簡素化が図られる。

本発明の通信システムおよび中継装置によれば、中継装置が、送信元端末から無線送信されてきた暗号化データを一旦復号化することなくそのまま受信先端末に無線通信するものであるため、データ処理の負担を軽減することができる。

以下、図面を参照して本発明の実施の形態を説明する。

図１は、本発明の第１実施形態の通信システムを示す図である。

図１に示す通信システム１０には、無線通信を中継する中継装置１３と、その中継装置１３による無線通信の中継を受けて無線通信を行なう２台のＳＴＡ１１，１２（本発明にいう複数の端末の一例に相当）が備えられている。中継装置１３には、有線ＬＡＮ１４（本発明にいう所定のネットワークの一例に相当）が接続されている。

中継装置１３は、いわゆるアクセスポイント（ＡＰ）と称される装置であり、この中継装置１３は、ＳＴＡ１１，１２との間では暗号化データの無線通信を行なうとともに、有線ＬＡＮ１４を介する通信では復号化されたデータの通信を行なう。

この中継装置１３は、ＳＴＡ１１から暗号化データが無線送信されてきた場合、その暗号化データを、その暗号化データの受信先がＳＴＡ１２であったときはそのＳＴＡ１２にその暗号化データを一旦復号化することなくそのまま無線通信する。また、この中継装置１３は、暗号化データの受信先が有線ＬＡＮ１４を介在させた先に存在するときはその暗号化データを復号化して送信する。

さらに、詳細には、ＳＴＡ１１，１２および中継装置１３は、共有鍵Ｋ（本発明にいう第１の共有鍵の一例に相当）を持ち、ＳＴＡ１１は、送信データを共有鍵Ｋで暗号化して暗号化データを送信する。中継装置１３は、ＳＴＡ１１から無線送信されてきた暗号化データを、その暗号化データの受信先がＳＴＡ１２であったときはそのＳＴＡ１２にその暗号化データを一旦復号化することなくそのまま無線通信する。一方、中継装置１３は、その暗号化データの受信先が有線ＬＡＮ１４を介在させた先に存在するときはその暗号化データを共有鍵Ｋで復号化してその有線ＬＡＮ１４に送信する。有線ＬＡＮ１４では、復号化されたデータを図示しない受信端末で受け取る。

このように、本実施形態の通信システム１０では、ＳＴＡ１１,ＳＴＡ１２および中継装置１３が共有鍵Ｋを持ち、中継装置１３が自分の配下に存在するＳＴＡ１１から無線送信されてきた暗号化データ（共有鍵Ｋで暗号化された暗号化データ）を一旦復号化することなくそのままＳＴＡ１２に無線送信し、あるいは受信先が有線ＬＡＮ１４を介在させた先に存在するときはその暗号化データを共有鍵Ｋで復号化して送信するものであるため、セキュリティを十分に確保したまま、中継装置１３におけるデータ処理の負担の軽減化および有線ＬＡＮ１４におけるデータ処理の簡素化が図られる。尚、ＩＥＥＥ８０２における共有鍵方式では、複数のＳＴＡおよび中継装置が同一の共有鍵を持ち、中継装置では、あるＳＴＡから無線で送信されてきた暗号化データをその共有鍵で一旦復号化し、さらにその共有鍵で暗号化して他のＳＴＡに無線で送信する構成となっている。

図２は、図１に示す中継装置が自分の配下にＳＴＡが存在するか否かを認識するための手順を示す図である。

中継装置１３では、ＳＴＡ１１，１２との無線通信に先立って、自分の配下にＳＴＡ１１，１２が存在する否かを認識するための手順が行なわれる。この手順により、ＳＴＡ１１，１２が中継装置１３の配下に登録される。即ち、中継装置１３は、配下のＳＴＡ１１，１２のリスト（ＳＴＡリスト）を保有することとなる。尚、ここでは、中継装置１３がＳＴＡ１１を認識するための手順について説明するが、中継装置１３がＳＴＡ１２を認識するための手順の場合も同様である。

先ず、ＳＴＡ１１は、中継装置１３に向けて認証要求信号ＡＵＲＥＱを送出する。中継装置１３では、この認証要求信号ＡＵＲＥＱを受けて、ＳＴＡ１１に対して、認証に必要なパスワードを送る旨の認証申込信号ＡＵＣＨＧを送出する。

ＳＴＡ１１では、認証申込信号ＡＵＣＨＧを受けて、認証に必要なパスワードである認証応答信号ＡＵＲＳＰを送出し、次いで、中継装置１３では、この認証応答信号ＡＵＲＳＰを受けて、認証された旨の認証許可信号ＡＵＳＵＣを送出する。

さらに、ＳＴＡ１１では、中継装置１３との接続要求信号ＡＳＲＥＱを送出し、中継装置１３では、これを受けて、接続を許可する旨の接続応答信号ＡＳＲＳＰを送出する。このようにして、ＳＴＡ１１が中継装置１３の配下に登録される。また、この手順を通じて、ＳＴＡ１１，１２および中継装置１３が共有鍵Ｋを共有していることも認識される。次に、中継装置１３が、ＳＴＡ１１から無線送信されてきた共有鍵Ｋによる暗号化データを一旦復号化することなくそのままＳＴＡ１２に無線送信する場合について、図３、図４を参照して説明する。

図３は、ＳＴＡ１１がデータを暗号化して中継装置１３に無線で送信する送信ルーチンを示す図である。

先ず、ステップＳ１において、ヘッダを生成して送信すべきデータに付加する。次いで、ステップＳ２において、送信すべきデータを暗号化するか否かが判定される。ここでは、暗号化する必要があるため、ステップＳ３に進む。ステップＳ３では、上記データを共有鍵Ｋで暗号化してステップＳ４に進む。ステップＳ４では、ヘッダおよび暗号化データを含む送信フレームを中継装置１３に向けて送信して、このルーチンを終了する。

図４は、中継装置１３におけるＡＰ処理ルーチンを示す図である。

中継装置１３では、先ず、ステップＳ１１において、上述したＳＴＡ１１からの送信フレームを受信する。次いで、ステップＳ１２において、フレームを構成するヘッダに設定されたアドレスを参照して受信先が配下のＳＴＡか否かを、上述したＳＴＡリストから検索する。ここで、ＳＴＡ１２は配下のリストに存在するため、ステップＳ１３に進む。ステップＳ１３では、復号化することなくそのままＳＴＡ１２に無線で送信を行なって、このルーチンを終了する。

一方、ステップＳ１２において、受信先が配下のリストに存在しないＳＴＡ（ここでは、有線ＬＡＮ１４に接続された受信端末とする）の場合はステップＳ１４に進む。ステップＳ１４では、復号化してステップＳ１５に進む。ステップＳ１５では、有線ＬＡＮ１４への中継、即ち復号化されたデータを有線ＬＡＮ１４に接続された受信端末に送信して、このルーチンを終了する。

図５は、ＳＴＡ１２が中継装置１３からの暗号化データを受信する受信ルーチンを示す図である。

先ず、ステップＳ２１において、ヘッダを解析して除去する処理を行なう。次いで、ステップＳ２２において、復号化するか否かが判定される。ここでは、復号化する必要があるため、ステップＳ２３に進む。ステップＳ２３では、共有鍵Ｋで復号化してステップＳ２４に進む。ステップＳ２４では、復号化されたデータを受信して、このルーチンを終了する。

図６は、本発明の第２実施形態の通信システムを示す図である。

図６に示す通信システム２０には、無線通信を中継する中継装置２３と、その中継装置２３による無線通信の中継を受けて無線通信を行なう２台のＳＴＡ２１，２２が備えられている。中継装置２３には、有線ＬＡＮ２４が接続されている。尚、この図６には、便宜上、２台のＳＴＡ２１，２２が示されているが、実際にはｎ台のＳＴＡ（ＳＴＡ２１，２２，…，２ｎ）が備えられている。

図７は、ｎ台のＳＴＡそれぞれが持つ第１の共有鍵それぞれを示す図、図８は、ｎ台のＳＴＡのうちの２台のＳＴＡどうしで共有される第２の共有鍵を示す図である。

図７に示すように、１台目のＳＴＡ２１は、中継装置２３との間で無線通信するための第１の共有鍵Ｋ１を持っている。また、２台目のＳＴＡ２２は、中継装置２３との間で無線通信するための第１の共有鍵Ｋ２を持っている。以下、同様にして、ｎ台目のＳＴＡ２ｎは、中継装置２３との間で無線通信するための第１の共有鍵Ｋｎを持っている。尚、中継装置２３は、これらＳＴＡ２１，２２，…，２ｎとの間で通信を行なうための第１の共有鍵Ｋ１,Ｋ２，…，Ｋｎ全てを持っている。

また、ｎ台のＳＴＡ２１，２２，…，２ｎのうちの少なくとも２台のＳＴＡ（本発明にいう２台の相互通信端末の一例に相当）は、それらＳＴＡどうしで共有された第２の共有鍵を持っている。ここでは、一例として、図８に示すように、２台のＳＴＡ２１，２２が、それらＳＴＡ２１，２２どうしで共有された第２の共有鍵Ｋ１２を持っている。また、２台のＳＴＡ２２，２ｎも、それらＳＴＡ２２，２ｎどうしで共有された第２の共有鍵Ｋ２ｎを持っている。以下では、説明を簡単にするために、ＳＴＡ２１，２２どうしで共有された第２の共有鍵Ｋ１２について述べることとする。

ＳＴＡ２１，２２，…，２ｎは、有線ＬＡＮ２４を介在させた先にデータを送信するときは第１の共有鍵Ｋ１,Ｋ２，…，Ｋｎで暗号化したデータを中継装置２３に無線で送信する。中継装置２３では、その暗号化データを第１の共有鍵Ｋ１,Ｋ２，…，Ｋｎで復号化して有線ＬＡＮ２４に送信する。このようにすることにより、有線ＬＡＮ２４を介在させた先にデータを送信するにあたり、セキュリティを十分に確保することができる。

また、ＳＴＡ２１が第２の共有鍵Ｋ１２を共有している受信先のＳＴＡ２２にデータを送信するときは、第２の共有鍵Ｋ１２で暗号化した暗号化データがＳＴＡ２１から中継装置２３に無線で送信される。中継装置２３では、ＳＴＡ２１から無線送信されてきた暗号化データを一旦復号化することなくそのままＳＴＡ２２に無線で送信する。このようにすることにより、中継装置２３におけるデータ処理の負担の軽減化が図られるとともに、第２の共有鍵Ｋ１２を共有しているＳＴＡ２１，２２以外の他のＳＴＡによる盗聴を防止することができる。

図９は、中継装置２３が第２の共有鍵Ｋ１２を生成してＳＴＡ２１,２２に配付する様子を示す図である。

ＳＴＡ２１は、中継装置２３に対して、ＳＴＡ２２との間で共有するための第２の共有鍵Ｋ１２の生成要求を行なうために、第１の共有鍵Ｋ１で暗号化された暗号化データを中継装置２３に送信する。

中継装置２３は、これを受けて、ＳＴＡ２２に対して、第２の共有鍵Ｋ１２生成の確認を行なうために、第１の共有鍵Ｋ２で暗号化された暗号化データをＳＴＡ２２に送信する。

次いで、ＳＴＡ２２は、中継装置２３に対して、第２の共有鍵Ｋ１２の生成許可を行なうために、第１の共有鍵Ｋ２で暗号化された暗号化データを中継装置２３に送信する。

中継装置２３は、これを受けて、第２の共有鍵Ｋ１２を生成する。さらに、中継装置２３は、生成した第２の共有鍵Ｋ１２（ＳＴＡ２２との間での共有鍵）をＳＴＡ２１に配付するために、第１の共有鍵Ｋ１で暗号化してＳＴＡ２１に送信する。また、中継装置２３は、生成した第２の共有鍵Ｋ１２（ＳＴＡ２１との間での共有鍵）をＳＴＡ２２にも配付するために、第１の共有鍵Ｋ２で暗号化してＳＴＡ２２に送信する。このようにして、中継装置２３でＳＴＡ２１,２２に第２の共有鍵Ｋ１２を配付する。

尚、ここでは、中継装置２３が第２の共有鍵Ｋ１２を生成してＳＴＡ２１,２２に配付する例で説明したが、第２の共有鍵Ｋ１２の生成／配付は、例えば、事前に別の手段で決めたパスワードを利用してもよいし、ハードウェア・トークンを使用してもよい。この場合、第２の共有鍵Ｋｌ２を共有したＳＴＡ２ｌおよびＳＴＡ２２は、自身で鍵を共有した相手を覚えておくとともに、鍵を共有したという情報を中継装置２３に知らせておく必要がある。また、第２の共有鍵Ｋｌ２の生成／配付は、通常のＩＥＥＥ８０２.ｌｌｉを使用して中継装置２３と共有した第１の共有鍵Ｋ１／Ｋ２を使用した暗号化通信によってＳＴＡ２ｌとＳＴＡ２２で共有鍵を共有してもよい。この場合、ＳＴＡ２１およびＳＴＡ２２は、自身で鍵を共有した相手を覚えておくとともに、鍵を共有したという情報を中継装置２３に知らせてもよいし、共有鍵生成のための通信を中継装置２３が仲介する際にモニタし、鍵を共有したという情報を認識してもよい。あるいは、ＳＴＡ２１およびＳＴＡ２２ともに中継装置２３との間で第１の共有鍵Ｋｌ／Ｋ２を共有しその中継装置２３を信頼していることから、上述したように、中継装置２３が第２の共有鍵Ｋｌ２を生成しＳＴＡ２ｌおよびＳＴＡ２２に配布してもよい。この場合、中継装置２３自身がＳＴＡ２１とＳＴＡ２２で第２の共有鍵Ｋ１２を共有したことを覚えておく必要がある。

図１０は、ＳＴＡ２１がデータを暗号化して中継装置２３に無線で送信する送信ルーチンを示す図である。

先ず、ステップＳ３１において、ヘッダを生成して送信すべきデータに付加する。次いで、ステップＳ３２において、送信すべきデータを暗号化するか否かが判定される。ここでは、暗号化する必要があるため、ステップＳ３３に進む。

ステップＳ３３では、受信先のＳＴＡが第２の共有鍵Ｋ１２を持っているＳＴＡ２２であるか否かが判定される。受信先のＳＴＡが第２の共有鍵Ｋ１２を持っていないＳＴＡであると判定された場合は、ステップＳ３４において第１の共有鍵Ｋ１で暗号化してステップＳ３６に進む。一方、受信先のＳＴＡが第２の共有鍵Ｋ１２を持っているＳＴＡ２２であると判定された場合は、ステップＳ３５に進む。ステップＳ３５では、データを第２の共有鍵Ｋ１２で暗号化してステップＳ３６に進む。

ステップＳ３６では、ヘッダおよび暗号化データを含む送信フレームを中継装置２３に向けて送信して、このルーチンを終了する。

図１１は、中継装置２３におけるＡＰ処理ルーチンを示す図である。

中継装置２３では、ステップＳ４１において、送信フレームを受信する。次いで、ステップＳ４２において、フレームを構成するヘッダに設定されたアドレスを参照して、鍵共有ＳＴＡの組（第２の共有鍵Ｋ１２を持つＳＴＡ２２）であるか否かが判定される。鍵共有ＳＴＡの組であるＳＴＡ２２であると判定された場合は、ステップＳ４３に進む。ステップＳ４３では、復号化することなくそのままＳＴＡ２２に無線で送信を行なって、このルーチンを終了する。

一方、ステップＳ４２において、鍵共有ＳＴＡではないと判定された場合はステップＳ４４に進む。ステップＳ４４では、第１の共有鍵Ｋ１で復号化してステップＳ４５に進む。ステップＳ４５では、受信先が配下のＳＴＡか否かが判定される。ここで、配下のＳＴＡとは、ＳＴＡ２１，２２，…，ＳＴＡ２ｎである。尚、配下のＳＴＡか否かの判定にあたっては、上記鍵共有ＳＴＡ２１，２２は除外される。ここでは、受信先である配下のＳＴＡは、ＳＴＡ２ｎであると判定されるものとする。この場合は、ステップＳ４７において第１の共有鍵Ｋｎで暗号化し、さらにステップＳ４８において無線で送信を行なって、このルーチンを終了する。

また、ステップＳ４５において、受信先が配下のＳＴＡでないと判定された場合は有線ＬＡＮ２４への中継であると判定されてステップＳ４６に進む。ステップＳ４６では、前述したステップＳ４４で復号化されたデータを有線ＬＡＮ２４に接続された受信端末に送信して、このルーチンを終了する。

図１２は、中継装置２３からの暗号化データをＳＴＡが受信する受信ルーチンを示す図である。

先ず、ステップＳ５１において、ヘッダを解析して除去する処理を行なう。次いで、ステップＳ５２において、復号化するか否かが判定される。ここでは、復号化する必要があるため、ステップＳ５３に進む。

ステップＳ５３では、鍵共有ＳＴＡ（第２の共有鍵Ｋ１２を持っているＳＴＡ２１）からのものであるか否かが判定される。ＳＴＡ２１からのものでないと判定された場合は、ステップＳ５４に進む。ステップＳ５４では、第１の共有鍵Ｋ２で復号化してステップＳ５６に進む。一方、ＳＴＡ２１からのものであると判定された場合は、ステップＳ５５に進む。ステップＳ５５では、暗号化データを第２の共有鍵Ｋ１２で復号化してステップＳ５６に進む。

ステップＳ５６では、復号化されたデータを受信して、このルーチンを終了する。

このように、本実施形態の通信システム２０では、ＳＴＡ２１からの、第２の共有鍵Ｋ１２で暗号化された暗号化データが中継装置２３に無線で送信され、その中継装置２３で復号されることもなくそのままＳＴＡ２２に無線で送信される。さらに、ＳＴＡ２２で、その暗号化データが第２の共有鍵Ｋ１２で復号化される。このため、中継装置２３におけるデータ処理の負担が軽減されるとともに、第２の共有鍵Ｋ１２を共有しているＳＴＡ２１，２２以外の他のＳＴＡによる盗聴を防止することができる。

本発明の第１実施形態の通信システムを示す図である。 図１に示す中継装置が自分の配下にＳＴＡが存在するか否かを認識するための手順を示す図である。 ＳＴＡ１１がデータを暗号化して中継装置１３に無線で送信する送信ルーチンを示す図である。 中継装置１３におけるＡＰ処理ルーチンを示す図である。 ＳＴＡ１２が中継装置１３からの暗号化データを受信する受信ルーチンを示す図である。 本発明の第２実施形態の通信システムを示す図である。 ｎ台のＳＴＡそれぞれが持つ第１の共有鍵それぞれを示す図である。 ｎ台のＳＴＡのうちの２台のＳＴＡどうしで共有される第２の共有鍵を示す図である。 中継装置２３が第２の共有鍵Ｋ１２を生成してＳＴＡ２１,２２に配付する様子を示す図である。 ＳＴＡ２１がデータを暗号化して中継装置２３に無線で送信する送信ルーチンを示す図である。 中継装置２３におけるＡＰ処理ルーチンを示す図である。 中継装置２３からの暗号化データをＳＴＡが受信する受信ルーチンを示す図である。 共有鍵方式による暗号化機能を有する通信システムを示す図である。

符号の説明

１０，２０ 通信システム
１１，１２，２１，２２ ＳＴＡ（端末）
１３，２３ 中継装置
１４，２４ 有線ＬＡＮ

Claims (4)

1. 無線通信を中継する中継装置と、該中継装置による無線通信の中継を受けて無線通信を行なう複数の端末とを備え、前記中継装置が、前記端末との間では暗号化データの通信を行なうとともに、所定のネットワークに接続されて該ネットワークを介する通信では復号化されたデータの通信を行なう通信システムにおいて、
   前記中継装置は、前記複数の端末のうちの送信元端末から無線送信されてきた暗号化データを、該暗号化データの受信先が前記複数の端末のうちのいずれかの端末であったときは該端末に該暗号化データを一旦復号化することなくそのまま無線通信するとともに、該暗号化データの受信先が前記ネットワークを介在させた先に存在するときは該暗号化データを復号化して送信するものであることを特徴とする通信システム。
2. 前記複数の端末および前記中継装置は、第１の共有鍵を持ち、送信端末は、送信データを該第１の共有鍵で暗号化して暗号化データを送信し、前記中継装置では、前記複数の端末のうちの送信元端末から無線送信されてきた暗号化データを、該暗号化データの受信先が前記複数の端末のうちのいずれかの端末であったときは該端末に該暗号化データを一旦復号化することなくそのまま無線通信するとともに、該暗号化データの受信先が前記ネットワークを介在させた先に存在するときは該暗号化データを前記第１の共有鍵で復号化して送信し、受信端末は受信データを該第１の共有鍵で復号化するものであることを特徴とする請求項１記載の通信システム。
3. 前記複数の端末および前記中継装置は第１の共有鍵を持つとともに、前記複数の端末のうちの少なくとも２台の相互通信端末は該相互通信端末どうしで共有された第２の共有鍵を持ち、前記複数の端末は、前記ネットワークを介在させた先にデータを送信するときは前記第１の共有鍵で暗号化した暗号化データを送信し、前記相互通信端末が前記第２の共有鍵を共有している受信先の相互通信端末にデータを送信するときは、前記第２の共有鍵で暗号化した暗号化データを送信するものであることを特徴とする請求項１記載の通信システム。
4. 複数の端末どうしの暗号化通信を中継するとともに、所定のネットワークに接続されて該ネットワークを介する通信では復号化されたデータ通信を行なう中継装置において、
   前記複数の端末のうちの送信元端末から無線送信されてきた暗号化データを、該暗号化データの受信先が前記複数の端末のうちのいずれかの端末であったときは該端末に該暗号化データを一旦復号化することなくそのまま無線通信するとともに、該暗号化データの受信先が前記ネットワークを介在させた先に存在するときは該暗号化データを復号化して送信するものであることを特徴とする中継装置。

Images