JP2008306418A - ネットワーク負荷軽減システム、ネットワーク負荷軽減方法およびプログラム - Google Patents

Abstract

【課題】アドホックネットワークにおいて、悪意のあるユーザによるＤｏＳ攻撃がなされた場合に、その接続要求がサーバに届く頻度を低減する。
【解決手段】ユーザ端末と、ユーザ端末にアドレス情報を配信するアドレス管理サーバと、ユーザ端末とアドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワークあるいはユーザ端末と、ユーザ端末にアドレス情報を配信するアドレス管理サーバとにより構築されたネットワークにおけるネットワーク負荷軽減システムにおいて、アドレス管理サーバが、ユーザ端末からの接続要求を中継端末を介して受信し、接続要求を受信してから、アドレス情報を接続応答として送信するまでの時間を遅延させる処理を実行した後に、ユーザ端末に接続応答を送信する。
【選択図】図３

Description

本発明は、いわゆるアドホックネットワーク上で用いられるネットワーク負荷軽減システム、ネットワーク負荷軽減方法およびプログラムに関する。

従来より、無線ネットワークの一形態として、基地局やアクセスポイント等の特定のインフラに頼ることなく、複数の通信端末が相互にネットワークを構築する、いわゆるアドホックネットワークが知られている。このアドホックネットワークにおいては、基地局等が近傍に存在していない場合であっても、隣接する通信端末が相互に接続されることによって、メッセージを次々に中継・転送して、遠方の通信端末との通信が実現されることになる。

しかし、通信経路として無線を利用し、更にメッセージの転送にネットワークに参加した一般ユーザの通信端末を利用するため、無線通信方式で通常懸念される盗聴の問題のみならず、中継するメッセージに対する改竄の問題等、いくつかのセキュリティ上の問題が発生する。これらのセキュリティに対する対策として、デジタル署名等をメッセージに付加し、それらを検証することによってセキュリティを確保するアドホックネットワーク用のセキュアなルーティングプロトコルが提案されている。ここで、こうしたセキュアなルーティングを実行するためには、事前に公開鍵証明書等のセキュリティに関する情報を入手しておく必要があることに加えて、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）上での通信を実現するために、ＩＰアドレスも事前に決定されていなければならない。

こうしたことから、従来、ネットワークに参加する通信端末がＩＰアドレスを取得するための技術として、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）やＺｅｒｏｃｏｎｆといった仕組みが知られている。ここで、ＤＨＣＰとは、ネットワーク内に存在するＤＨＣＰサーバが、通信端末からの要求に従ってネットワーク内で重複しないＩＰアドレスを提供する機能である。また、Ｚｅｒｏｃｏｎｆとは、ＤＨＣＰサーバのような特定のサーバが不要な方式であり、通信端末がアドレスプールから無作為にＩＰアドレスを選択して、そのアドレスが既に利用済みかどうかを他の通信端末に確認した上で、当該ＩＰアドレスを自分のアドレスとして決定するというものである（例えば、非特許文献１参照。）。
"Ｄｙｎａｍｉｃ Ｃｏｎｆｉｇｕｒａｔｉｏｎ ｏｆ ＩＰｖ４ Ｌｉｎｋ−Ｌｏｃａｌ Ａｄｄｒｅｓｓｅｓ"、［ｏｎｌｉｎｅ］、２００５年５月、〈ｈｔｔｐ：／／ｆｉｌｅｓ．ｚｅｒｏｃｏｎｆ．ｏｒｇ／ｒｆｃ３９２７．ｔｘｔ〉

一方で、ルーティングの実施にあたっては、正しく経路を設定するために、ルーティングメッセージを通信端末間で交換する必要があるが、このルーティングメッセージ自身もやはり改竄される可能性がある。このために、ルーティングメッセージを保護するための機能を盛り込んだセキュアなルーティングプロトコルが提案されている。こうしたプロトコルは、暗号技術に基づくものであり、メッセージ内容の暗号化や、電子的な署名を実施するために、公開鍵あるいは、共通鍵と秘密情報とを事前に取得・共有していることを前提としている。

また、こうした情報を事前に、かつ、安全に取得させる手段として、通信端末がアドホックネットワークに参加する際に、ＩＰアドレスと、ＩＰアドレスと紐づいた公開鍵証明書とを、ネットワーク内のサーバから安全に取得させる手段も提案されている。

しかしながら、上述したアドレス及び証明書の配布手法では、利用者のプライバシ保護のために、ネットワークへの参加を希望する端末の認証をサーバが実施する。このため、図７に示すように、ネットワークへの参加を希望する端末（図中のＲ）の参加希望のリクエストメッセージは、ルーティングによって中継端末（図中のＮ（ノード））を経由してサーバ（図中のＳ）まで必ず届けられることとなる。

このため、図８に示すように、悪意のあるユーザ（図中のＲ）（正しい認証情報を持っていないユーザ）が参加の要求メッセージを大量に中継端末（図中のＮ（ノード））を経由して送信した場合でも、全てのメッセージがサーバ（図中のＳ）まで転送されることとなり、サーバの負荷が増大するとともに、ネットワーク資源が消費されるという問題がある。すなわち、従来のシステムでは、ネットワークへの参加手順を悪用して、サーバ（図中のＳ）に対して、ＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃がなされる懸念があるといった問題があった。

そこで、本発明は、上記の課題に鑑みてなされたものであり、アドホックネットワークにおいて、悪意のあるユーザによるＤｏＳ攻撃がなされた場合に、その接続要求がサーバに届く頻度を低減するネットワーク負荷軽減システム、ネットワーク負荷軽減方法およびプログラムを提供することを目的とする。

本発明は、上記の課題を解決するために以下の事項を提案している。
（１）本発明は、ユーザ端末（例えば、図１のユーザ端末（Ｍ）１００に相当）と、該ユーザ端末にアドレス情報を配信するアドレス管理サーバ（例えば、図１のアドレス管理サーバ（Ｓ）３００に相当）と、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末（例えば、図１の中継端末（Ｎ）２００に相当）とにより構築されたネットワークあるいはユーザ端末と、該ユーザ端末にアドレス情報を配信するアドレス管理サーバとにより構築されたネットワークにおけるネットワーク負荷軽減システムであって、前記アドレス管理サーバが、前記ユーザ端末からの接続要求を前記中継端末を介してあるいは直接受信する接続要求受信手段（例えば、図２の接続要求受信部１０に相当）と、該受信した接続要求に対して、前記アドレス情報を接続応答として前記ユーザ端末に送信する接続応答送信手段と、前記接続要求を受信してから、前記接続応答を送信するまでの時間を遅延させる処理を実行した後に、前記接続応答送信手段を介して前記接続応答を送信する接続応答遅延手段（例えば、図２の接続処理遅延部２０に相当）と、を備えたことを特徴とするネットワーク負荷軽減システムを提案している。

この発明によれば、アドレス管理サーバの接続要求受信手段が、ユーザ端末からの接続要求を中継端末を介して受信し、接続応答送信手段が、受信した接続要求に対して、アドレス情報をユーザ端末に接続応答として送信する。そして、接続応答遅延手段が、接続要求を受信してから、接続応答を送信するまでの時間を遅延させる処理を実行した後に、接続応答送信手段を介して接続応答を送信する。したがって、接続応答遅延手段が、接続要求を受信してから、接続応答を送信するまでの時間を遅延させる処理を実行した後に、接続応答送信手段を介して接続応答を送信するため、ネットワーク上で交換されるメッセージ数を低減でき、ＤｏＳ攻撃のように、大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができる。

（２）本発明は、ユーザ端末（例えば、図４のユーザ端末（Ｍ）１００に相当）と、該ユーザ端末にアドレス情報を配信するアドレス管理サーバ（例えば、図４のアドレス管理サーバ（Ｓ）３００に相当）と、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末（例えば、図４の中継端末（Ｎ）２００に相当）とにより構築されたネットワークにおけるネットワーク負荷軽減システムであって、前記中継端末が、前記ユーザ端末からの接続要求を受信する接続要求受信手段（例えば、図５の接続要求受信部４０に相当）と、該受信した接続要求を前記アドレス管理サーバあるいは他の中継端末に転送する転送手段（例えば、図５の接続要求転送部６０に相当）と、前記接続要求を受信してから、前記接続要求を転送するまでの時間を遅延させる処理を実行した後に、前記転送手段に対して、前記接続要求の転送を許可する転送遅延手段（例えば、図５の転送処理遅延部５０に相当）と、を備えたことを特徴とするネットワーク負荷軽減システムを提案している。

この発明によれば、中継端末の接続要求受信手段が、ユーザ端末からの接続要求を受信し、転送手段が受信した接続要求をアドレス管理サーバあるいは他の中継端末に転送する。そして、転送遅延手段が、接続要求を受信してから、接続要求を転送するまでの時間を遅延させる処理を実行した後に、転送手段に対して、接続要求の転送を許可する。したがって、転送遅延手段が、接続要求を受信してから、接続要求を転送するまでの時間を遅延させる処理を実行した後に、転送手段に対して、接続要求の転送を許可するため、ネットワーク上で交換されるメッセージ数を低減でき、ＤｏＳ攻撃のように、大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができ、通信リソースが小さいネットワークにおける通信リソースを保護することができる。

（３）本発明は、（１）または（２）のネットワーク負荷軽減システムについて、前記接続応答遅延手段が、前記接続要求を受信してから、所定時間経過後に、前記接続応答送信手段を介して前記接続応答を送信することを特徴とするネットワーク負荷軽減システムを提案している。

この発明によれば、接続応答遅延手段が、接続要求を受信してから、所定時間経過後に、接続応答送信手段を介して接続応答を送信する。すなわち、接続要求を受信してから、所定のインターバルを設けてから接続応答を送信するため、ネットワーク上で交換されるメッセージ数を低減でき、ＤｏＳ攻撃のように、短時間に大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができる。

（４）本発明は、（１）または（２）のネットワーク負荷軽減システムについて、前記接続応答遅延手段が、前記接続要求を受信してから、前記ユーザ端末に対して、暗号学的な設問を送信し、該送信した設問に対して、適切な解答を受信したときに、前記接続応答送信手段を介して前記接続応答を送信することを特徴とするネットワーク負荷軽減システムを提案している。

この発明によれば、接続応答遅延手段が、接続要求を受信してから、ユーザ端末に対して、暗号学的な設問を送信し、送信した設問に対して、適切な解答を受信したときに、接続応答送信手段を介して前記接続応答を送信する。すなわち、接続応答を送信する条件として、ユーザ端末に対して、暗号学的な設問を送信し、送信した設問に対して、適切な解答を受信という処理を付加することにより、実質的に、接続要求を受信してから、所定のインターバルを設けてから接続応答を送信することになるため、ネットワーク上で交換されるメッセージ数を低減でき、ＤｏＳ攻撃のように、短時間に大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができる。

（５）本発明は、（１）または（２）のネットワーク負荷軽減システムについて、前記接続応答遅延手段が、前記接続要求を受信してから、前記ユーザ端末に対して、ハッシュ関数の出力から入力された値を求める設問を送信し、該送信した設問に対して、適切な解答を受信したときに、前記接続応答送信手段を介して前記接続応答を送信することを特徴とするネットワーク負荷軽減システムを提案している。

この発明によれば、接続応答遅延手段が、接続要求を受信してから、ユーザ端末に対して、ハッシュ関数の出力から入力された値を求める設問を送信し、送信した設問に対して、適切な解答を受信したときに、接続応答送信手段を介して接続応答を送信する。すなわち、接続応答を送信する条件として、ユーザ端末に対して、ハッシュ関数の出力から入力された値を求める設問を送信し、送信した設問に対して、適切な解答を受信という処理を付加することにより、実質的に、接続要求を受信してから、所定のインターバルを設けてから接続応答を送信することになるため、ネットワーク上で交換されるメッセージ数を低減でき、ＤｏＳ攻撃のように、短時間に大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができる。

（６）本発明は、（１）または（２）のネットワーク負荷軽減システムについて、前記接続応答遅延手段が、前記接続要求を受信してから、前記ユーザ端末に対して、大きな素数の積を素因数分解する設問を送信し、該送信した設問に対して、適切な解答を受信したときに、前記接続応答送信手段を介して前記接続応答を送信することを特徴とするネットワーク負荷軽減システムを提案している。

この発明によれば、接続応答遅延手段が、接続要求を受信してから、ユーザ端末に対して、大きな素数の積を素因数分解する設問を送信し、送信した設問に対して、適切な解答を受信したときに、接続応答送信手段を介して接続応答を送信する。すなわち、接続応答を送信する条件として、ユーザ端末に対して、大きな素数の積を素因数分解する設問を送信し、送信した設問に対して、適切な解答を受信という処理を付加することにより、実質的に、接続要求を受信してから、所定以上のインターバルを設けてから接続応答を送信することになるため、ネットワーク上で交換されるメッセージ数を低減でき、ＤｏＳ攻撃のように、短時間に大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができる。

（７）本発明は、ユーザ端末と、該ユーザ端末にアドレス情報等を配信するアドレス管理サーバと、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワークにおけるネットワーク負荷軽減システムにおけるネットワーク負荷軽減方法であって、前記アドレス管理サーバが、前記ユーザ端末からの接続要求を前記中継端末を介して受信する第１のステップ（例えば、図３のステップＳ１０１に相当）と、前記接続要求を受信してから、前記アドレス情報を接続応答として送信するまでの時間を遅延させる処理を実行した後に、前記ユーザ端末に前記接続応答を送信する第２のステップ（例えば、図３のステップＳ１０２からステップＳ１０９に相当）と、を備えたことを特徴とするネットワーク負荷軽減方法を提案している。

この発明によれば、アドレス管理サーバが、ユーザ端末からの接続要求を中継端末を介して受信し、接続要求を受信してから、アドレス情報を接続応答として送信するまでの時間を遅延させる処理を実行した後に、ユーザ端末に接続応答を送信する。したがって、接続要求を受信してから、接続応答を送信するまでの時間を遅延させる処理を実行した後に、接続応答送信手段を介して接続応答を送信するため、ネットワーク上で交換されるメッセージ数を低減でき、ＤｏＳ攻撃のように、大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができる。

（８）本発明は、ユーザ端末と、該ユーザ端末にアドレス情報を配信するアドレス管理サーバと、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワークにおけるネットワーク負荷軽減方法であって、前記中継端末が、前記ユーザ端末からの接続要求を受信する第１のステップ（例えば、図６のステップＳ２０１に相当）と、前記接続要求を受信してから、前記接続要求を転送するまでの時間を遅延させる処理を実行した後に、前記接続要求の転送を許可する第２のステップ（例えば、図６のステップＳ２０２からステップＳ２０７に相当）と、を備えたことを特徴とするネットワーク負荷方法を提案している。

この発明によれば、中継端末が、ユーザ端末からの接続要求を受信し、接続要求を受信してから、接続要求を転送するまでの時間を遅延させる処理を実行した後に、接続要求の転送を許可する。したがって、転送遅延手段が、接続要求を受信してから、接続要求を転送するまでの時間を遅延させる処理を実行した後に、転送手段に対して、接続要求の転送を許可するため、ネットワーク上で交換されるメッセージ数を低減でき、ＤｏＳ攻撃のように、大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができ、通信リソースが小さいネットワークにおける通信リソースを保護することができる。

（９）本発明は、ユーザ端末と、該ユーザ端末にアドレス情報等を配信するアドレス管理サーバと、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワークにおけるネットワーク負荷軽減システムにおけるネットワーク負荷軽減方法をコンピュータに実行させるためのプログラムであって、前記アドレス管理サーバが、前記ユーザ端末からの接続要求を前記中継端末を介して受信する第１のステップ（例えば、図３のステップＳ１０１に相当）と、前記接続要求を受信してから、前記アドレス情報を接続応答として送信するまでの時間を遅延させる処理を実行した後に、前記接続応答を前記ユーザ端末に送信する第２のステップ（例えば、図３のステップＳ１０２からステップＳ１０９に相当）と、をコンピュータに実行させるためのプログラムを提案している。

この発明によれば、アドレス管理サーバが、ユーザ端末からの接続要求を中継端末を介して受信し、接続要求を受信してから、アドレス情報を接続応答として送信するまでの時間を遅延させる処理を実行した後に、ユーザ端末に接続応答を送信する。したがって、接続要求を受信してから、接続応答を送信するまでの時間を遅延させる処理を実行した後に、接続応答送信手段を介して接続応答を送信するため、ネットワーク上で交換されるメッセージ数を低減でき、ＤｏＳ攻撃のように、大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができる。

（１０）本発明は、ユーザ端末と、該ユーザ端末にアドレス情報等を配信するアドレス管理サーバと、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワークにおけるネットワーク負荷軽減システムにおけるネットワーク負荷軽減方法をコンピュータに実行させるためのプログラムであって、前記中継端末が、前記ユーザ端末からの接続要求を受信する第１のステップ（例えば、図６のステップＳ２０１に相当）と、前記接続要求を受信してから、前記接続要求を転送するまでの時間を遅延させる処理を実行した後に、前記接続要求の転送を許可する第２のステップ（例えば、図６のステップＳ２０２からステップＳ２０７に相当）と、をコンピュータに実行させるためのプログラムを提案している。

この発明によれば、中継端末が、ユーザ端末からの接続要求を受信し、接続要求を受信してから、接続要求を転送するまでの時間を遅延させる処理を実行した後に、接続要求の転送を許可する。したがって、転送遅延手段が、接続要求を受信してから、接続要求を転送するまでの時間を遅延させる処理を実行した後に、転送手段に対して、接続要求の転送を許可するため、ＤｏＳ攻撃のように、大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができ、通信リソースが小さいネットワークにおける通信リソースを保護することができる。

本発明によれば、アドホックネットワーク上でのサーバに対するＤｏＳ攻撃を低減することができるという効果がある。また、本発明によれば、遅延処理による負荷低減をサーバ自身だけでなく、接続要求を発したユーザ端末からメッセージを取得する最初の中継端末でも実現できるため、この中継端末−サーバ間のメッセージ量を低減することができ、結果としてアドホックネットワーク内の通信リソースの消費を抑えることができるという効果がある。

さらに、本発明によれば、遅延処理に伴う設問の解答導出処理を実施するユーザ端末は、接続要求メッセージを発したユーザ端末を認証することはないため、ネットワークへの参加を希望するユーザ端末およびそのユーザに固有な情報が、実際に認証を実施するサーバ以外の第三者に漏洩することがないという効果がある。

以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

＜第１の実施形態＞
図１から図３を用いて、本発明の第１の実施形態について説明する。

＜ネットワークの構成＞
本実施形態において想定するネットワークモデルの一例として、図１に、アドホックネットワークの形態を利用するネットワークモデルを示す。図１に示すように、このネットワークモデルは、ユーザ端末（Ｍ）１００と、中継端末（Ｎ）２００と、アドレス管理サーバ（Ｓ）３００とから構成されている。

ユーザ端末（Ｍ）１００は、中継端末（Ｎ）２００を介して、アドレス管理サーバ（Ｓ）３００に対して、接続要求を送信する。また、例えば、中継端末（Ｎ）２００を介して、アドレス管理サーバ（Ｓ）３００から「クライアントパズル」を受信し、その回答を中継端末（Ｎ）２００を介して、アドレス管理サーバ（Ｓ）３００に送信することにより、アドレス管理サーバ（Ｓ）３００から接続応答を受信する。

中継端末（Ｎ）２００は、通信可能なエリアに存在する他のユーザの端末であり、ユーザ端末（Ｍ）１００とアドレス管理サーバ（Ｓ）３００との間で、接続要求や「クライアントパズル」あるいは接続応答等のやりとりを仲介する。

アドレス管理サーバ（Ｓ）３００は、中継端末（Ｎ）２００を介して、ユーザ端末（Ｍ）１００から接続要求があったときに、「クライアントパズル」を作成してこれを中継端末（Ｎ）２００を介して、ユーザ端末（Ｍ）１００に送信し、ユーザ端末（Ｍ）１００からの回答送付に対して、その回答内容を検証し、回答内容が適切であるときに、ユーザ端末（Ｍ）１００に対して、接続応答を送信する。

＜アドレス管理サーバの機能ブロック＞
アドレス管理サーバの機能ブロックは、図２に示すように、接続要求受信部１０と、接続処理遅延部２０と、接続処理部３０とから構成されている。

接続要求受信部１０は、中継端末（Ｎ）２００を介して、ユーザ端末（Ｍ）１００から送信された接続要求を受信し、接続要求を受信した旨を接続処理遅延部２０に出力する。

接続処理遅延部２０は、接続要求受信部１０において、接続要求を受信してから、接続応答を送信するまでの時間を遅延させる処理を実行した後に、図示しない接続応答送信部を介して接続応答を送信する。遅延処理の具体的な例としては、インターネット上でサーバに対するＤｏＳ攻撃への対策法の一つとして知られている「クライアントパズル」を生成し、これに対する回答応答をユーザ端末（Ｍ）１００に求め、回答の検証を行って、回答が適切な場合にのみ、接続処理を行うような方法が考えられる。

この「クライアントパズル」の具体例としては、暗号学的な設問やハッシュ関数の出力から入力を求めるような設問、大きな素数の積を素因数分解させるような設問が挙げられる。なお、本実施形態においては、遅延処理として、「クライアントパズル」を例示したが、接続要求を受信してから、所定時間経過後に、接続処理を行うような単純な処理でもよい。

接続処理部３０は、接続処理遅延部２０において、ユーザ端末（Ｍ）１００からの回答が適切である場合に、ユーザ端末（Ｍ）１００の接続処理を実行し、接続応答をユーザ端末（Ｍ）１００に送信する。

＜接続処理＞
次に、図３を用いて、接続処理について説明する。
図３において、図３（ａ）は、従来の接続処理を示している。つまり、従来は、ユーザ端末１００（クライアント）からアドレス管理サーバ（サーバ）３００に対して、中継端末２００を介して、接続要求が送信されると、アドレス管理サーバ（サーバ）３００は直ちに、接続処理を行い、接続応答をユーザ端末１００（クライアント）に送信して、接続を行っていた。このため、上述したように、悪意のあるユーザによるＤｏＳ攻撃がなされた場合に、ネットワーク資源が消費されるという問題があった。本実施形態では、こうした問題に鑑みて、ユーザ端末１００（クライアント）からの接続要求受信から接続応答の送信までの間に、アドレス管理サーバ（サーバ）３００が、図３（ｂ）に示すような遅延処理を行うことを特徴としている。以下、接続処理について詳細に説明する。

まず、ユーザ端末１００（クライアント）からアドレス管理サーバ（サーバ）３００に対して、中継端末２００を介して、接続要求が送信され、アドレス管理サーバ（サーバ）３００の接続要求受信部１０がこの接続要求を受信する（ステップＳ１０１）。アドレス管理サーバ（サーバ）３００の接続要求受信部１０が接続要求を受信すると、接続処理遅延部２０が、クライアントパズルを作成し（ステップＳ１０２）、作成したクライアントパズルをユーザ端末１００（クライアント）に送信する（ステップＳ１０３）。

クライアントパズルを受信したユーザ端末１００（クライアント）は、このクライアントパズルの回答を作成して（ステップＳ１０４）、回答をアドレス管理サーバ（サーバ）３００の接続処理遅延部２０に送信する（ステップＳ１０５）。

ユーザ端末１００（クライアント）からクライアントパズルの回答を受け取った接続処理遅延部２０は、この回答内容を検証し（ステップＳ１０６）、適切な回答であると判断した場合には、接続処理部３０に対して、接続処理を促す（ステップＳ１０７）。

接続処理部３０は、接続処理を実行し、接続応答をユーザ端末１００（クライアント）に対して送信するとともに（ステップＳ１０８）、ユーザ端末１００（クライアント）とアドレス管理サーバ（サーバ）３００との接続を確立する（ステップＳ１０９）。

したがって、本実施形態によれば、接続処理遅延部２０が、接続要求を受信してから、接続応答を送信するまでの時間を、例えば、ユーザ端末１００（クライアント）に対してクライアントパズルの回答を要求するなどして遅延させる処理を実行した後に、接続処理部３０を介して接続応答を送信するため、ＤｏＳ攻撃のように、大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができる。また、クライアントパズルの正解を得るためには、ユーザ端末１００（クライアント）のＣＰＵリソースを必要とするため、通常の接続要求を実施する場合には、多少の遅延を生じるだけであるが、ＤｏＳ攻撃のように、大量の要求をアドレス管理サーバ（サーバ）３００に対して送りつける場合には、ユーザ端末１００（クライアント）側に多くのリソースが必要となり、結果として、アドレス管理サーバ（サーバ）３００に対する負荷を低減することができる。

＜第２の実施形態＞
図４から図６を用いて、第２の実施形態について説明する。なお、図４に示すように、ネットワークの主たる構成は、第１の実施形態と同様であるため、その詳細な説明は省略する。

本実施形態は、第１の実施形態において、アドレス管理サーバ３００が接続要求を受信してから、接続応答を送信するまでの時間を遅延させる処理を行っていたのに対して、図４に示すように、中継端末（Ｎ）２００が、接続要求を受信してから、この接続要求を他の中継端末（Ｎ）２００あるいはアドレス管理サーバ（Ｓ）３００に転送するまでの時間を遅延させる処理を行う。

＜中継端末の機能ブロック＞
中継端末の機能ブロックは、図５に示すように、接続要求受信部４０と、転送処理遅延部５０と、接続要求転送部６０とから構成されている。

接続要求受信部４０は、ユーザ端末（Ｍ）１００から送信された接続要求を受信し、接続要求を受信した旨を転送処理遅延部５０に出力する。

転送処理遅延部５０は、接続要求受信部４０において、接続要求を受信してから、この接続要求を他の中継端末（Ｎ）２００あるいはアドレス管理サーバ（Ｓ）３００に転送するまでの時間を遅延させる処理を実行した後に、接続要求転送部６０を介して接続要求を送信する。遅延処理の具体的な例としては、第１の実施形態と同様に、インターネット上でサーバに対するＤｏＳ攻撃への対策法の一つとして知られている「クライアントパズル」を生成し、これに対する回答応答をユーザ端末（Ｍ）１００に求め、回答の検証を行って、回答が適切な場合にのみ、接続要求を他の中継端末（Ｎ）２００あるいはアドレス管理サーバ（Ｓ）３００に転送するような方法が考えられる。

接続要求転送部６０は、転送処理遅延部５０において、ユーザ端末（Ｍ）１００からの回答が適切である場合に、ユーザ端末（Ｍ）１００の接続要求を他の中継端末（Ｎ）２００あるいはアドレス管理サーバ（Ｓ）３００に転送する。

＜接続要求の転送処理＞
次に、図６を用いて、接続要求の転送処理について説明する。
本実施形態では、ユーザ端末１００（クライアント）からの接続要求を受信してから、この接続要求を他の中継端末（Ｎ）２００あるいはアドレス管理サーバ（Ｓ）３００に転送するまでの時間を、図６に示すように、遅延させる処理を行うことを特徴としている。以下、接続処理について詳細に説明する。

まず、ユーザ端末１００（クライアント）から中継端末２００に対して、接続要求が送信され、中継端末２００の接続要求受信部４０がこの接続要求を受信する（ステップＳ２０１）。中継端末２００の接続要求受信部４０が接続要求を受信すると、転送処理遅延部５０が、クライアントパズルを作成し（ステップＳ２０２）、作成したクライアントパズルをユーザ端末１００（クライアント）に送信する（ステップＳ２０３）。

クライアントパズルを受信したユーザ端末１００（クライアント）は、このクライアントパズルの回答を作成して（ステップＳ２０４）、回答を中継端末２００の転送処理遅延部５０に送信する（ステップＳ２０５）。

ユーザ端末１００（クライアント）からクライアントパズルの回答を受け取った転送処理遅延部５０は、この回答内容を検証し（ステップＳ２０６）、適切な回答であると判断した場合には、接続要求転送部６０に対して、転送処理を促す（ステップＳ２０７）。

したがって、本実施形態によれば、転送処理遅延部５０が、接続要求を受信してから、接続要求を転送するまでの時間を遅延させる処理を実行した後に、接続要求転送部６０に対して、接続要求の転送を許可するため、ＤｏＳ攻撃のように、大量の接続要求をアドレス管理サーバに対して送りつける不正な攻撃を防止することができ、通信リソースが小さいネットワークにおける通信リソースを保護することができる。

なお、アドレス管理サーバおよび中継端末のそれぞれの処理をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをアドレス管理サーバおよび中継端末に読み込ませ、実行することによって本発明のネットワーク負荷軽減システムを実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されても良い。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。更に、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

第１の実施形態に係るネットワーク構成を示す図である。 第１の実施形態に係るアドレス管理サーバの機能ブロックを示す図である。 第１の実施形態に係る接続処理を示すフローである。 第２の実施形態に係るネットワーク構成を示す図である。 第２の実施形態に係るアドレス管理サーバの機能ブロックを示す図である。 第２の実施形態に係る接続処理を示すフローである。 従来の接続処理を示す図である。 従来の接続処理において、ＤｏＳ攻撃がなされた場合を例示する図である。

符号の説明

１０、４０・・・接続要求受信部、２０・・・接続処理遅延部、３０・・・接続処理部、５０・・・転送処理遅延部、６０・・・接続要求転送部、１００・・・ユーザ端末（Ｍ）、２００・・・中継端末（Ｎ）、３００・・・アドレス管理サーバ（Ｓ）

Claims (10)

1. ユーザ端末と、該ユーザ端末にアドレス情報を配信するアドレス管理サーバと、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワークあるいはユーザ端末と、該ユーザ端末にアドレス情報を配信するアドレス管理サーバとにより構築されたネットワークにおけるネットワーク負荷軽減システムであって、
   前記アドレス管理サーバが、
   前記ユーザ端末からの接続要求を前記中継端末を介してあるいは直接受信する接続要求受信手段と、
   該受信した接続要求に対して、前記アドレス情報を接続応答として前記ユーザ端末に送信する接続応答送信手段と、
   前記接続要求を受信してから、前記接続応答を送信するまでの時間を遅延させる処理を実行した後に、前記接続応答送信手段を介して前記接続応答を送信する接続応答遅延手段と、
   を備えたことを特徴とするネットワーク負荷軽減システム。
2. ユーザ端末と、該ユーザ端末にアドレス情報を配信するアドレス管理サーバと、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワークにおけるネットワーク負荷軽減システムであって、
   前記中継端末が、
   前記ユーザ端末からの接続要求を受信する接続要求受信手段と、
   該受信した接続要求を前記アドレス管理サーバあるいは他の中継端末に転送する転送手段と、
   前記接続要求を受信してから、前記接続要求を転送するまでの時間を遅延させる処理を実行した後に、前記転送手段に対して、前記接続要求の転送を許可する転送遅延手段と、
   を備えたことを特徴とするネットワーク負荷軽減システム。
3. 前記接続応答遅延手段が、前記接続要求を受信してから、所定時間経過後に、前記接続応答送信手段を介して前記接続応答を送信することを特徴とする請求項１または２に記載のネットワーク負荷軽減システム。
4. 前記接続応答遅延手段が、前記接続要求を受信してから、前記ユーザ端末に対して、暗号学的な設問を送信し、該送信した設問に対して、適切な解答を受信したときに、前記接続応答送信手段を介して前記接続応答を送信することを特徴とする請求項１または２に記載のネットワーク負荷軽減システム。
5. 前記接続応答遅延手段が、前記接続要求を受信してから、前記ユーザ端末に対して、ハッシュ関数の出力から入力された値を求める設問を送信し、該送信した設問に対して、適切な解答を受信したときに、前記接続応答送信手段を介して前記接続応答を送信することを特徴とする請求項１または２に記載のネットワーク負荷軽減システム。
6. 前記接続応答遅延手段が、前記接続要求を受信してから、前記ユーザ端末に対して、大きな素数の積を素因数分解する設問を送信し、該送信した設問に対して、適切な解答を受信したときに、前記接続応答送信手段を介して前記接続応答を送信することを特徴とする請求項１または２に記載のネットワーク負荷軽減システム。
7. ユーザ端末と、該ユーザ端末にアドレス情報等を配信するアドレス管理サーバと、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワーク上のネットワーク負荷軽減システムによるネットワーク負荷軽減方法であって、
   前記アドレス管理サーバが、前記ユーザ端末からの接続要求を前記中継端末を介して受信する第１のステップと、
   前記接続要求を受信してから、前記アドレス情報を接続応答として送信するまでの時間を遅延させる処理を実行した後に、前記ユーザ端末に前記接続応答を送信する第２のステップと、
   を備えたことを特徴とするネットワーク負荷軽減方法。
8. ユーザ端末と、該ユーザ端末にアドレス情報を配信するアドレス管理サーバと、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワークにおけるネットワーク負荷軽減方法であって、
   前記中継端末が、前記ユーザ端末からの接続要求を受信する第１のステップと、
   前記接続要求を受信してから、前記接続要求を転送するまでの時間を遅延させる処理を実行した後に、前記接続要求の転送を許可する第２のステップと、
   を備えたことを特徴とするネットワーク負荷軽減方法。
9. ユーザ端末と、該ユーザ端末にアドレス情報等を配信するアドレス管理サーバと、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワーク上のネットワーク負荷軽減システムによるネットワーク負荷軽減方法をコンピュータに実行させるためのプログラムであって、
   前記アドレス管理サーバが、前記ユーザ端末からの接続要求を前記中継端末を介して受信する第１のステップと、
   前記接続要求を受信してから、前記アドレス情報を接続応答として送信するまでの時間を遅延させる処理を実行した後に、前記ユーザ端末に前記接続応答を送信する第２のステップと、
   をコンピュータに実行させるためのプログラム。
10. ユーザ端末と、該ユーザ端末にアドレス情報等を配信するアドレス管理サーバと、前記ユーザ端末と前記アドレス管理サーバとの通信を中継する中継端末とにより構築されたネットワーク上のネットワーク負荷軽減システムによるネットワーク負荷軽減方法をコンピュータに実行させるためのプログラムであって、
    前記中継端末が、前記ユーザ端末からの接続要求を受信する第１のステップと、
    前記接続要求を受信してから、前記接続要求を転送するまでの時間を遅延させる処理を実行した後に、前記接続要求の転送を許可する第２のステップと、
    をコンピュータに実行させるためのプログラム。

Images