JP4473851B2

JP4473851B2 - 電話システムとその暗号化処理方法、通信端末、および接続装置

Info

Publication number: JP4473851B2
Application number: JP2006297161A
Authority: JP
Inventors: 勉柴田
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2006-10-31
Filing date: 2006-10-31
Publication date: 2010-06-02
Anticipated expiration: 2026-10-31
Also published as: CA2606629A1; US20080101346A1; JP2008118224A; CN101174971A

Description

この発明は、電話端末やソフトフォンなどがＩＰ（Internet Protocol）ネットワークなどの通信網を介して音声通話を実現する電話システムに関する。特にこの発明は、この種の電話システムにおける暗号化方式の改良に関する。

近年の電話システムはＩＰネットワークを利用して音声通話を行う、いわゆるＶｏＩＰ（Voice over IP）が主流となってきている。この種のシステムには、例えば帯域幅を効率的に使用するために通話データを暗号化して送受できるものがある（特許文献１を参照）。
特開２００６−１１５５０７号公報

この種のシステムにおいて、電話端末はルータなどのＶＰＮ（Virtual Private Network)装置を介してＩＰネットワークに接続される。暗号化機能は最新の電話端末、あるいはＶＰＮ装置であれば備えていることが多いが、現状ではその機能を持つものとそうでないものとが混在する状況にある。ここに、メディアデータが二重に暗号化される可能性が生まれる。すなわち電話端末において暗号化された伝送パケットが、ＩＰネットワークに送り出される前にＶＰＮ装置において再度暗号化されてしまう可能性がある。このような事態に対して上位レイヤにおける処理により音声を再生することは可能ではあるものの、通信リソースを無用に消費したり、ＱｏＳ（Quality of Service）が劣化するなどといった不具合がある。
この発明は上記事情によりなされたもので、その目的は、不要な暗号化処理を防止できるようにした電話システムとその暗号化処理方法、通信端末、および接続装置を提供することにある。

上記目的を達成するためにこの発明の一態様によれば、呼接続処理シーケンスにより形成されるコネクションを介して互いにメディアデータを授受する複数の通信端末と、前記呼接続処理シーケンスにおいて発側端末および着側端末から互いに提示されるポート番号に基づき前記コネクションを形成する複数の接続装置とを具備し、前記複数の通信端末は、前記メディアデータを暗号化する暗号化機能のサポートの有無に応じて、前記呼接続処理シーケンスにおいて提示するポート番号を変化させる通知処理部を備え、前記複数の接続装置は、前記呼接続処理シーケンスにおいて前記提示されるポート番号から、この呼接続処理シーケンスにより形成されるコネクションにおける通信端末間でのメディアデータの暗号化の無いことが示される場合にのみ、当該メディアデータを暗号化する暗号化処理部を備えることを特徴とする電話システムが提供される。

このような手段を講じることにより、通信端末における暗号化処理がなされていない場合にのみ、接続装置における暗号化処理が実施される。すなわち通信端末において暗号化処理がなされた場合には接続装置における暗号化処理がバイパスされる。これにより暗号化処理が二重に実施されることが無くなり、不要な暗号化処理を防止できるようになる。

この発明によれば、不要な暗号化処理を防止できるようにした電話システムとその暗号化処理方法、通信端末、および接続装置を提供することができる。

図１は、この発明に係る電話システムの実施の形態を示すシステム図である。このシステムはローカルネットワーク１０，２０をＩＰネットワーク１を介して接続し、各ネットワーク１０，２０間の相互通信を実現するものである。
ローカルネットワーク１０は端末３ａ，３ｂ、ＶＰＮ装置２ａ、および交換サーバ４を備え、これらは互いにＬＡＮ（Local Area Network）で接続される。このうちＶＰＮ装置２ａはＩＰネットワーク１に接続され、ＩＰネットワーク１と端末３ａ，３ｂ、交換サーバ４とのメディアデータやＩＰパケットの授受を仲介する。すなわちＶＰＮ装置２ａは端末３ａ，３ｂ、交換サーバ４をＩＰネットワーク１に接続する。

ローカルネットワーク２０は互いにＬＡＮで接続される端末３ｃ，３ｄ、およびＶＰＮ装置２ｂを備える。このうちＶＰＮ装置２ｂはＩＰネットワーク１に接続され、ＩＰネットワーク１と端末３ｃ，３ｄとのメディアデータやＩＰパケットの授受を仲介する。すなわちＶＰＮ装置２ｂは端末３ｃ，３ｄをＩＰネットワーク１に接続する。
端末３ａ〜３ｄは、例えばＩＰ電話機やＩＰソフトホンなどといった、ＶｏＩＰによる電話通信機能を有する。このほか、端末３ａ〜３ｄは映像通信交換機能やテキストチャット機能などの通信機能を備える場合もある。

交換サーバ４は、端末３ａ〜３ｄからの発信／呼出／応答／切断メッセージを受け付け、発呼者に対する接続先の決定や、接続先の決定後のメッセージの中継などを行う。このような呼接続処理のプロトコルには、例えばＳＩＰ（Session Initiation Protocol）が用いられる。交換サーバ４によるコネクションの確立後は、端末３ａ〜３ｄは互いに相手方と直接パケットデータを授受することにより、音声データなどのメディアストリームを通信する（ピア・ツー・ピア通信）。

端末３ａ〜３ｄのいずれかは、ＩＰネットワーク１に送出されるパケット（メディアデータ）を、例えば個人情報の流出や盗聴などを防ぐために暗号化する機能を有する。この実施形態では、端末３ａ，３ｄがこの暗号化機能をサポートしており、端末３ｂ，３ｃは暗号化機能をサポートしていないとする。

また端末３ａ〜３ｄは通知処理部２００を備える。通知処理部２００は、パケットを暗号化したか否かを、例えば暗号化識別情報を伝達することで直上のＶＰＮ装置に通知する、。この実施形態では暗号化識別情報としてポート番号を使用する。さらに、ＶＰＮ装置２ａ，２ｂは、上記同様の暗号化機能を実現するための暗号化処理部１００を備える。また、ＶＰＮ装置２ａ〜２ｂは図２に示すセキュリティポリシーテーブルを有する。

図２のセキュリティポリシーテーブルは、端的に言えば、発側ポート番号と着側ポート番号との対応関係と、暗号化の有無とを対応付けるテーブルである。このテーブルには、このほか発側ＩＰアドレス、着側ＩＰアドレス、および使用するプロトコル（ＵＤＰ）なども記載される。このセキュリティポリシーテーブルは、ＩＰｓｅｃなどの標準において勧告化されている。このセキュリティポリシーテーブルは端末３ａ〜３ｄにも記憶されており、この実施形態では各端末３ａ〜３ｄは自らの暗号化の有無に応じてポート番号を可変する。

図３は、暗号化がＶＰＮ装置間で実施される場合の呼接続処理シーケンスを示す図である。図３において、端末３ａのユーザが端末３ｃに接続するために発信操作を行うと、発信メッセージが端末３ａから交換サーバ４に送信される（ステップＳＴ１）。発信メッセージには、パケット通信に使用する発側ポート番号を含む提案パラメータが含まれる。この提案パラメータは例えばＳＩＰのＩＮＶＩＴＥメッセージに含まれる。ここでは発側ポート番号として、暗号化通信可能を示す値域内の値の例である５０００を使用する。

交換サーバ４は受信した発信メッセージに含まれる宛先パラメータから接続先（端末３ｃ）を決定し、この端末３ｃに向け発信メッセージを送信する（ステップＳＴ２）。発信メッセージを受信した端末３ｃは、自端末で暗号化が可能かどうかを判定する。この実施形態では暗号化が不可能と判定され、端末３ｃは着側ポート番号として暗号化不可能を示す値６０００を設定する（ステップＳＴ３）。

次に端末３ｃは、パケット通信に使用する着側ポート番号を含む応答パラメータを含む受付メッセージを交換サーバ４に返送する（ステップＳＴ４）。応答パラメータには着側ポート番号である６０００が含まれる。受付メッセージを受けた交換サーバ４は、この受付メッセージを端末３ａに中継する（ステップＳＴ５）。この受付メッセージが端末３ａに届いたのちは、端末３ａと端末３ｃは、発側ポート番号５０００、着側ポート番号６０００を使用して非暗号化パケットで通信を開始する（ステップＳＴ６）。

図４は、図３の場合の端末間通信を模式的に示す図である。図４において、端末３ａと端末３ｃとは非暗号化パケットで通信する（ステップＳＴ７）。ＶＰＮ装置２ａとＶＰＮ装置２ｂとは、端末３ａと端末３ｃ間のパケット通信を監視し、発側ポート番号５０００、着側ポート番号６０００を認識する。この結果とセキュリティポリシーテーブルの内容とから、ＶＰＮ装置２ａとＶＰＮ装置２ｂとはこのコネクションに関しては暗号化が必要であることを判定する。この結果、ＶＰＮ装置２ａとＶＰＮ装置２ｂとの間ではパケットの暗号化が実施される。

図５は、暗号化が端末間で実施される場合の呼接続処理シーケンスを示す図である。図５において、端末３ａのユーザが端末３ｄに接続するために発信操作を行うと、発信メッセージが端末３ａから交換サーバ４に送信される（ステップＳＴ１０）。この発信メッセージには発側ポート番号として５０００が含まれる。

交換サーバ４は受信した発信メッセージに含まれる宛先パラメータから接続先（端末３ｄ）を決定し、この端末３ｄに向け発信メッセージを送信する（ステップＳＴ２０）。発信メッセージを受信した端末３ｄは、自端末で暗号化が可能かどうかを判定する。この実施形態では暗号化が可能と判定され、端末３ｄは着側ポート番号として暗号化可能を示す値５００１を設定する（ステップＳＴ３０）。

次に端末３ｄは、パケット通信に使用する着側ポート番号を含む応答パラメータを含む受付メッセージを交換サーバ４に返送する（ステップＳＴ４０）。応答パラメータには着側ポート番号である５００１が含まれる。受付メッセージを受けた交換サーバ４は、この受付メッセージを端末３ａに中継する（ステップＳＴ５０）。この受付メッセージが端末３ａに届いたのちは、端末３ａと端末３ｄは、発側ポート番号５０００、着側ポート番号５００１を使用して暗号化パケットで通信を開始する（ステップＳＴ６０）。

図６は、図５の場合の端末間通信を模式的に示す図である。図６において、端末３ａと端末３ｄとは暗号化パケットで通信する（ステップＳＴ７０）。ＶＰＮ装置２ａとＶＰＮ装置２ｂとは、端末３ａと端末３ｄ間のパケット通信を監視し、発側ポート番号５０００、着側ポート番号５００１を認識する。この結果とセキュリティポリシーテーブルの内容とから、ＶＰＮ装置２ａとＶＰＮ装置２ｂとはこのコネクションに関しては暗号化を行わないことを決定する。その結果、ＶＰＮ装置２ａとＶＰＮ装置２ｂとの間ではパケットの暗号化は実施されない。

以上説明したようにこの実施形態では、自端末における暗号化機能の有無に応じて、端末３ａ〜３ｄは発側ポート番号、着側ポート番号を可変して呼接続処理シーケンスを実施する。暗号化機能の有無とポート番号との関係は予め用意されたセキュリティポリシーテーブルに対応付けられている。ＶＰＮ装置２ａ，２ｂはコネクションを張った端末間のポート番号をチェックし、その結果とセキュリティポリシーテーブルの内容とから、自装置における暗号化の実施／非実施を決定するようにしている。

このようにしたので、ＶＰＮ装置２ａ，２ｂにおいて盲目的に暗号化を行うのではなく、端末装置における暗号化の有無に応じて、必要な場合にのみＶＰＮ装置２ａ，２ｂでの暗号化を行うことが可能になる。よって端末がメディアデータを暗号化したのちＶＰＮ装置がさらに暗号化するといったリソースの浪費を防止でき、ＶＰＮ装置の暗号化リソースを有効に活用することが可能となり、ひいては設備の有効利用およびコストダウンが可能となる。また、ＶｏＩＰ通信において、通信ごとのセキュリティレベルをユーザが容易に判断できるようになり、利便性が大幅に向上する。これらのことから、不要な暗号化処理を防止できるようにした電話システムとその暗号化処理方法、通信端末、および接続装置を提供することが可能となる。

なお、この発明は上記実施形態そのままに限定されるものではない。例えば暗号化識別情報として発着ポート番号に限らず、ユーザが独自に規定した情報を用いるようにしても良い。またメディアデータに限らず、発信メッセージ、応答メッセージなどの制御情報を暗号化の対象としても良い。

またこの発明は、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。

この発明に係る電話システムの実施の形態を示すシステム図。図１のシステムで用いられるセキュリティポリシーテーブルを示す図。暗号化がＶＰＮ装置間で実施される場合の呼接続処理シーケンスを示す図。図３の場合の端末間通信を模式的に示す図。暗号化が端末間で実施される場合の呼接続処理シーケンスを示す図。図５の場合の端末間通信を模式的に示す図。

符号の説明

１…ＩＰネットワーク、３ａ〜３ｄ…端末、２ａ，２ｂ…ＶＰＮ装置、４…交換サーバ、１０，２０…ローカルネットワーク、１００…暗号化処理部、２００…通知処理部

Claims

呼接続処理シーケンスにより形成されるコネクションを介して互いにメディアデータを授受する複数の通信端末と、
前記呼接続処理シーケンスにおいて発側端末および着側端末から互いに提示されるポート番号に基づき前記コネクションを形成する複数の接続装置とを具備し、
前記複数の通信端末は、
前記メディアデータを暗号化する暗号化機能のサポートの有無に応じて、前記呼接続処理シーケンスにおいて提示するポート番号を変化させる通知処理部を備え、
前記複数の接続装置は、
前記呼接続処理シーケンスにおいて前記提示されるポート番号から、この呼接続処理シーケンスにより形成されるコネクションにおける通信端末間でのメディアデータの暗号化の無いことが示される場合にのみ、当該メディアデータを暗号化する暗号化処理部を備えることを特徴とする電話システム。
前記複数の通信端末および前記複数の接続装置は、さらに、
前記暗号化機能の前記通信端末におけるサポートの有無をポート番号に対応付けてテーブル化したセキュリティポリシーテーブルを備え、
前記通知処理部は、前記ポート番号を前記セキュリティポリシーテーブルに即して変化させ、
前記暗号化処理部は、前記提示されるポート番号と前記セキュリティポリシーテーブルの内容とから前記メディアデータの暗号化の実施／非実施を決定することを特徴とする請求項１に記載の電話システム。
呼接続処理シーケンスにより形成されるコネクションを介して互いにメディアデータを授受する複数の通信端末と、前記呼接続処理シーケンスにおいて発側端末および着側端末から互いに提示されるポート番号に基づき前記コネクションを形成する複数の接続装置とを具備する電話システムに用いられる暗号化処理方法であって、
前記複数の通信端末は、前記メディアデータを暗号化する暗号化機能のサポートの有無に応じて、前記呼接続処理シーケンスにおいて提示するポート番号を変化させ、
前記複数の接続装置は、前記呼接続処理シーケンスにおいて前記提示されるポート番号から、この呼接続処理シーケンスにより形成されるコネクションにおける通信端末間でのメディアデータの暗号化の無いことが示される場合にのみ、当該メディアデータを暗号化することを特徴とする暗号化処理方法。
前記複数の通信端末および前記複数の接続装置は、さらに、前記暗号化機能の前記通信端末におけるサポートの有無をポート番号に対応付けてテーブル化したセキュリティポリシーテーブルを備え、
前記複数の通信端末は、前記ポート番号を前記セキュリティポリシーテーブルに即して変化させ、
前記複数の接続装置は、前記提示されるポート番号と前記セキュリティポリシーテーブルの内容とから前記メディアデータの暗号化の実施／非実施を決定することを特徴とする請求項３に記載の暗号化処理方法。
呼接続処理シーケンスにより形成されるコネクションを介して相手方と互いにメディアデータを授受する通信端末において、
前記メディアデータを暗号化する暗号化機能のサポートの有無に応じて、前記呼接続処理シーケンスにおいて提示するポート番号を変化させる通知処理部を備えることを特徴とする通信端末。
さらに、前記暗号化機能のサポートの有無をポート番号に対応付けてテーブル化したセキュリティポリシーテーブルを備え、
前記通知処理部は、前記ポート番号を前記セキュリティポリシーテーブルに即して変化させることを特徴とする請求項５に記載の通信端末。
呼接続処理シーケンスにより形成されるコネクションを介して互いにメディアデータを授受する複数の通信端末を具備する電話システムに用いられ、前記呼接続処理シーケンスにおいて発側端末および着側端末から互いに提示されるポート番号に基づき前記コネクションを形成する接続装置において、
前記呼接続処理シーケンスにおいて前記提示されるポート番号から、この呼接続処理シーケンスにより形成されるコネクションにおける通信端末間でのメディアデータの暗号化の無いことが示される場合にのみ、当該メディアデータを暗号化する暗号化処理部を備えることを特徴とする接続装置。
さらに、前記メディアデータを暗号化する暗号化機能の前記通信端末におけるサポートの有無をポート番号に対応付けてテーブル化したセキュリティポリシーテーブルを備え、
前記暗号化処理部は、前記提示されるポート番号と前記セキュリティポリシーテーブルの内容とから前記メディアデータの暗号化の実施／非実施を決定することを特徴とする請求項７に記載の接続装置。