JP4594081B2 - 暗号化の一元集中管理システム - Google Patents

Description

本発明は暗号化の一元集中管理システムに関し、特に、ネットワーク上で外部から攻撃されることによる情報の盗聴や改ざん等のリスクを低減するために情報の暗号化／復号化を行うシステムに用いて好適なものである。

パーソナルコンピュータ（パソコン）をスタンドアロンで用いる場合は、パソコン内部の情報が盗み出されたり、改ざんされたり、破壊されたりする危険性は少ない。しかし、パソコンをインターネット等のネットワークに接続すると、やり取りされる情報は多くのネットワークをルーティングされていくことから、その途中において盗聴や改ざん等の行われる危険性が一気に増大する。

この問題を解決するための仕組みの１つとして、情報の暗号化がある。すなわち、送信側のパソコンで情報を暗号化して相手に送り、受信側のパソコンでこれを復号化して利用する。このようにすれば、ネットワークの途中で情報が盗聴されたとしても、情報が暗号化されているために、情報自体が見られる可能性が少なくなる。また、改ざんのリスクも低減される。

しかしながら、暗号を利用するためには、暗号通信しようとする端末の全てに専用の暗号ソフトをインストールし、様々な設定をしなければならない。例えば、ある端末とある端末との間では暗号通信を行うが、他の端末との間では暗号通信を行わないなどといった暗号処理の有無、暗号通信を行う場合における暗号化のレベル、暗号化を行う時間帯、暗号鍵など、非常に多くの情報を個々の端末ごとに設定しなければならない。そのため、暗号を利用するためのシステムを構築するのに多大な労力を要するという問題があった。

本発明は、このような問題を解決するために成されたものであり、暗号を利用するために必要な各端末に対する様々な情報設定を簡単に行うことができるようにすることを目的とする。

本発明の暗号化の一元集中管理システムは、通信を行う複数の通信端末と、上記複数の通信端末の間に接続された暗号装置であって、暗号処理機能を有する通信端末との間で暗号化によるセキュリティを終端するためにデータの暗号化処理および復号化処理を行う暗号／復号手段と、一のポートより入力され上記暗号／復号手段により暗号化処理または復号化処理が施されたデータを、ネットワーク層でルーティング処理をすることなく他のポートにそのまま出力するブリッジ手段であって上記ネットワーク層より下層に存在するブリッジ手段とを備えた暗号装置と、上記暗号通信を行うのに必要な種々の情報の設定を、ネットワークを介して遠隔から上記通信端末および上記暗号装置に対して行うマネージャ端末とを備え、上記複数の通信端末（上記暗号処理機能を有する通信端末は、暗号ソフトがインストールされた端末の他、上記暗号装置と同様の機能を有する他の暗号装置を含む）、上記マネージャ端末および上記暗号装置を有線または無線のネットワークにより接続して構成したことを特徴とする。

本発明の他の態様では、上記暗号／復号手段は、上記暗号処理機能を有する通信端末との間では暗号化されたデータの通信を行うとともに、暗号処理機能を有しない通信端末との間では暗号化されていないデータの通信を行うために上記暗号化処理および上記復号化処理を行うことを特徴とする。

本発明のその他の態様では、通信を行う複数の通信端末と、上記複数の通信端末の間に接続され、一のポートより入力され物理層およびデータリンク層を介して渡されたデータに対して暗号化処理または復号化処理を行い、これにより得られたデータを、ネットワーク層より下層に存在するブリッジ手段を介して、ネットワーク間のルーティング制御を行うネットワーク層に渡すことなくデータリンク層および物理層を介して他のポートより出力する暗号装置と、上記暗号通信を行うのに必要な種々の情報の設定を、ネットワークを介して遠隔から上記通信端末および上記暗号装置に対して行うマネージャ端末とを備え、上記複数の通信端末、上記マネージャ端末および上記暗号装置を有線または無線のネットワークにより接続して構成したことを特徴とする。

本発明のその他の態様では、上記暗号装置は、上記暗号化処理および上記復号化処理の制御に関して上記マネージャ端末から設定された情報を記憶する設定情報記憶手段を備え、上記設定情報記憶手段に記憶されている設定情報と、上記一のポートより入力されたパケットに付加されているヘッダ情報とを照合して上記暗号化処理および上記復号化処理の制御を行うことを特徴とする。

本発明は上述したように、例えば暗号処理機能が導入された端末との間で暗号化によるセキュリティを終端するために暗号化処理および暗号の復号化処理を行う暗号／復号手段を備えて暗号装置を構成し、この暗号装置と、暗号通信を行う複数の通信端末と、暗号通信を行うために必要な種々の情報の設定を遠隔から通信端末および暗号装置に対して行うマネージャ端末とを接続して暗号システムを構成するようにしたので、専用の暗号ソフトをインストールできない端末を有する企業内ＬＡＮの中でも暗号を利用することができるようになり、そのＬＡＮ内で終端された暗号化をマネージャ端末において一元的に集中管理することが可能となる。これにより、暗号システムの構築およびその後のメンテナンスにかかる労力を大幅に削減することができる。

また、本発明では、ブリッジ手段を備えて暗号装置を構成したので、データ通信時に暗号装置のＩＰアドレスを不要とすることができ、暗号装置の入力ポートと出力ポートとでＩＰアドレスが変わることがなくなる。これにより、ネットワーク上に暗号装置を接続したり、ネットワーク上から暗号装置を外したりする際に、当該暗号装置に接続される端末のアドレス設定も変更する必要がない。したがって、ネットワークシステムの導入時やメンテナンス時には、暗号装置を適当な箇所にただ挿入したり、あるいはただ取り外したりするだけ良くなり、煩雑なアドレス設定は行う必要がないので、作業負荷を大幅に削減することができる。

図１は、本実施形態による暗号化の一元集中管理システムの構成例を示す図である。
図２は、本実施形態による暗号化の一元集中管理システムの他の構成例を示す図である。
図３は、本実施形態による暗号化の一元集中管理システムの更に別の構成例を示す図である。
図４は、本実施形態による暗号化の一元集中管理システムの更に別の構成例を示す図である。
図５は、本実施形態による暗号装置およびこれに接続されるＤＢサーバおよびパソコンにおけるプロトコルの階層構造を示す図である。
図６は、本実施形態においてネットワーク上を流れるパケットのＩＰアドレスについて説明するための図である。
図７は、本実施形態の暗号装置を流れるパケットのＭＡＣアドレスについて説明するための図である。
図８は、従来のＶＰＮルータを流れるパケットのＭＡＣアドレスについて説明するための図である。

以下、本発明の一実施形態を図面に基づいて説明する。
図１は、本実施形態による暗号化の一元集中管理システムの全体構成例を示す図である。

図１において、１は暗号装置であり、２つのポートを有し、一方のポートにはネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのデバイスが接続され、他方のポートにはハブ５が接続されている。この暗号装置１は、ネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのデバイスと、ハブ５との間でデータの中継を行う。

ネットワークプリンタ２は、暗号ソフトを物理的にインストールできない端末である。ＤＢサーバ３は、動作安定上等の問題から余分な暗号ソフトをインストールすることが好ましくない端末である。ネットワークターミナル４は、ＯＳ（オペレーティングシステム）がなく暗号ソフトを動作させることができない端末である。したがって、これらの端末２〜４には暗号ソフトはインストールされていないものとする。

また、ハブ５は、ＯＳＩ参照モデルの物理層においてデータを中継する機器であり、上述した暗号装置１の他に、無線通信用のアクセスポイント６、デスクトップパソコン７、暗号化／復号化に関する種々の情報設定を行うためのマネージャ端末１２が接続されている。この場合のハブ５は、暗号装置１と、アクセスポイント６およびデスクトップパソコン７との間で暗号通信のためのデータ中継を行う。また、マネージャ端末１２と、その他の暗号装置１、アクセスポイント６およびデスクトップパソコン７との間で各種情報設定のためのデータ中継も行う。

さらに、上記アクセスポイント６には、デスクトップパソコン８とラップトップパソコン９とが無線により接続されている。デスクトップパソコン７，８およびラップトップパソコン９には、データの暗号化および復号化を行うための暗号ソフトがインストール可能であり、実際に、暗号／復号処理を行うためのエージェントソフトがインストールされているものとする。暗号装置１にも、これと同様の暗号エージェントソフトがインストールされている。

このように、本実施形態の暗号装置１は２つのポートを有し、一方のポートに対して暗号処理機能を有する通信端末であるパソコン７〜９が、ハブ５やアクセスポイント６を介して間接的に接続されている。また、他方のポートにはネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４が直接接続されている。そして、これらの暗号装置１、ネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４、ハブ５、アクセスポイント６、パソコン７〜９により１つの拠点ネットワークが構成されている。

このような構成により、暗号ソフトがインストールされていないネットワークプリンタ２、ＤＢサーバ３およびネットワークターミナル４と、暗号ソフトがインストールされているパソコン７〜９（これらのデバイス２〜４，７〜９は何れも本発明の通信端末に相当）との間で、暗号装置１、ハブ５およびアクセスポイント６を介してデータ通信が行われる。

その際、暗号装置１は、暗号ソフトがインストールされているパソコン７〜９との間では暗号化されたデータの通信を行うとともに、暗号ソフトがインストールされていない端末２〜４との間では暗号化されていないデータの通信を行うために暗号化処理および暗号の復号化処理を行う。

例えば、デスクトップパソコン７からネットワークプリンタ２にデータを送出してプリントアウトするときは、まずデスクトップパソコン７にインストールされている暗号ソフトを用いてデータを暗号化し、ハブ５を介して暗号装置１に供給する。次に暗号装置１は、受け取ったデータを復号化し、ネットワークプリンタ２に送出する。

また、例えばＤＢサーバ３にて管理されているデータをラップトップパソコン９に取り込むときは、ＤＢサーバ３は、与えられる要求に応じて該当するデータを暗号装置１に供給する。この暗号化されていないデータを受け取った暗号装置１は、そのデータを暗号化し、ハブ５およびアクセスポイント６を介してラップトップパソコン９に送信する。ラップトップパソコン９は、受け取ったデータを復号化し、所望の処理に利用する。

以上の説明から明らかなように、暗号装置１を用いることによって、専用の暗号ソフトをインストールできない端末２〜４を有する企業内ＬＡＮ（Local Area Network）の中でも、暗号を利用することが可能となる。これにより、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性が少ないセキュアなネットワーク１０を構築することができる。

なお、暗号装置１と各端末２〜４との間において暗号は利用できないが、これらを繋ぐケーブル１１は物理的に短い配線であり、この部分が外部アタックされることによって盗聴や改ざんが行われる可能性は極めて低いので、セキュリティ上で特に問題となることはない。

上記のような暗号システムにおいて、暗号装置１および各パソコン７〜９が備える暗号エージェントソフトに対して設定すべき種々の情報、例えば、暗号／復号処理の有無、ある端末とある端末との間ではパケットを破棄するなどといった通信の可否、暗号化のレベル、暗号化を行う時間帯、部門毎の暗号ポリシー、暗号鍵などの情報は、マネージャ端末１２からハブ５を介して暗号装置１および各パソコン７〜９に必要な情報をダウンロードして設定する。

これにより、暗号の利用に必要な種々の情報を端末ごとに個別に設定する必要がなくなり、マネージャ端末１２から暗号システムの全体を一元的に集中して管理することができる。したがって、各端末に対する様々な情報設定を簡単に行うことができ、暗号システムの構築およびその後のメンテナンスにかかる労力を大幅に削減することができる。

従来、プリンタやファクシミリなど物理的に暗号ソフトをインストールできない端末や、プリントサーバやデータベースサーバなど余分なソフトをインストールすることが好ましくない端末、ＯＳがなく単なるネットワークターミナルとして機能する端末などを備えた企業内ＬＡＮの中では、暗号ソフトを実質的にインストールできないため、暗号を利用することは難しかった。

そのため、従来の暗号システムは、インターネットに接続された端末どうしがやり取りする情報を途中のインターネット上において暗号化するものであった。この場合、暗号通信する端末はインターネット上に多数散在しているため、これら多数の端末について暗号化の一元集中管理をすることは非常に困難であった。これに対して、本実施形態によれば、企業内ＬＡＮの中で暗号を利用することができるようにしているので、そのＬＡＮ内で終端された暗号化を一元的に管理することが可能となる。

図２は、本実施形態による暗号化の一元集中管理システムの他の構成例を示す図である。なお、この図２において、図１に示した構成要素と同一の機能を有する構成要素には同一の符号を付している。図２において、暗号装置１は、一方のポートにインターネット２０が接続され、他方のポートにハブ５が接続されている。

図２の場合、暗号装置１、ハブ５、アクセスポイント６、パソコン７〜９により１つの拠点ネットワークが構成されている。また、インターネット２０の先には、図１に示したネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのように暗号ソフトをインストールできない端末、あるいは、パソコン７〜９のように暗号ソフトがインストールされた端末が複数台接続され、これらによって別の拠点ネットワークが構成されている。

図１に示した例では、１台の暗号装置１に対して１台のデバイスが接続されており、１台のデバイスに関する暗号／復号処理を１台の暗号装置１が専用で行っていた。すなわち、図１に示す暗号装置１は、暗号ソフトがインストールされたパソコン７〜９と、暗号ソフトがインストールされていない１台のデバイスとの間に接続され、当該１台のデバイスに対して暗号化によるセキュリティを終端していた。

これに対して、図２に示す例では、暗号装置１は、暗号ソフトがインストールされたパソコン７〜９と、インターネット２０に接続された複数台のデバイスとの間に接続されている。上記複数台のデバイスは、図１に示したネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのように暗号ソフトがインストールされていなくても良いし、パソコン７〜９のように暗号ソフトがインストールされていても良い。このように、暗号装置１は、複数台のデバイスに対して暗号化によるセキュリティを終端することも可能である。この場合、暗号装置１は、接続されているデバイスの数だけデータパスを有し、それぞれのデバイス毎に異なる暗号鍵で暗号／復号処理を行う。

例えば、セキュアネットワーク１０内のデスクトップパソコン７から、インターネット２０を介して暗号ソフトを持たない外部デバイスにデータを送出するようなときは、まずデスクトップパソコン７にインストールされている暗号ソフトを用いてデータを暗号化し、ハブ５を介して暗号装置１に供給する。次に暗号装置１は、受け取ったデータを復号化し、インターネット２０を介して外部デバイスに送出する。

また、例えばインターネット２０の先にある暗号ソフトを持たない外部デバイスにて管理されているデータをセキュアネットワーク１０内のラップトップパソコン９に取り込むときは、当該外部デバイスは、与えられる要求に応じて該当するデータをインターネット２０に送出する。この暗号化されていないデータを受け取った暗号装置１は、そのデータを暗号化し、ハブ５およびアクセスポイント６を介してラップトップパソコン９に送信する。ラップトップパソコン９は、受け取ったデータを復号化し、所望の処理に利用する。

一方、セキュアネットワーク１０内のデスクトップパソコン７から、インターネット２０を介して暗号ソフトを有する外部デバイスにデータを送出するようなときは、まずデスクトップパソコン７にインストールされている暗号ソフトを用いてデータを暗号化し、ハブ５を介して暗号装置１に供給する。次に暗号装置１は、受け取ったデータを復号化することなく、インターネット２０を介して外部デバイスに送出する。外部デバイスは、受け取ったデータを復号化し、所望の処理に利用する。

逆に、インターネット２０の先にある外部デバイスで暗号化されたデータをセキュアネットワーク１０内のデスクトップパソコン７に送出するときも、暗号装置１は、インターネット２０を介して外部デバイスより受け取ったデータを復号化することなく、暗号化された状態のままハブ５を介してデスクトップパソコン７に供給する。

このように、セキュアネットワーク１０内の端末７〜９とインターネット２０に接続された暗号ソフトを持たない外部デバイスとの間でデータ通信を行う場合でも、少なくともセキュアネットワーク１０の内部については暗号による保護を利用することができる。また、インターネット２０に接続された外部デバイスに暗号ソフトがインストールされている場合には、セキュアネットワーク１０の外部にあるインターネット２０上でも暗号を利用することができる。

なお、上記複数台のデバイスは、インターネット２０を介して接続されている必要は必ずしもなく、暗号装置１に直接あるいはハブを介して接続しても良い。直接接続する場合、暗号装置１は２つ以上のポートを有することになる。

図３は、本実施形態による暗号化の一元集中管理システムの更に別の構成例を示す図である。なお、この図３において、図１に示した構成要素と同一の機能を有する構成要素には同一の符号を付している。図３に示す例も図２の例と同様に、１台の暗号装置１が複数台のデバイスに対して暗号化によるセキュリティを終端する例である。

図３に示す例では、セキュアネットワーク１０の内部は、３台のパソコン７〜９が全てアクセスポイント６_-1に無線ＬＡＮにて接続されている。アクセスポイント６_-1は、暗号装置１を介してインターネット２０に接続されている。また、複数のアクセスポイント６_-1，６_-2を備え、１台のアクセスポイント６_-1でカバーしきれない通信範囲を他のアクセスポイント６_-2がカバーすることにより、比較的広域な無線ＬＡＮ環境を提供している。暗号装置１は、アクセスポイント６_-1，６_-2毎に個別に接続されている。

このように構成された暗号システムにおいて、例えば一方のアクセスポイント６_-1に接続されているラップトップパソコン９がその通信可能範囲を超えて移動したときには、他方のアクセスポイント６_-2に切り替えて通信を継続するローミングを行うことができる。しかも、上述したように、暗号通信を行うパスの設定をマネージャ端末１２により一元管理しているので、複数のアクセスポイント６_-1，６_-2間でローミングを行っても、暗号通信を継続して行うことができる。

また、この図３に示す例においてマネージャ端末１２は、インターネット２０に接続されている。この場合のマネージャ端末１２は、暗号エージェントソフトに対して設定すべき種々の情報を、インターネット２０を介して暗号装置１および各パソコン７〜９にダウンロードして設定する。

なお、上記図１〜図３においては、１つのセキュアネットワーク１０とその中の暗号化を一元管理する１つのマネージャ端末１２とを備える例について説明している。これに対し、複数のセキュアネットワーク１０とその中の暗号化をそれぞれ一元管理する複数のマネージャ端末１２とを備え、各マネージャ端末１２がインターネット２０等を介して互いにデータ通信をして暗号化／復号化に関する種々の情報を適宜設定するようにすることにより、複数のセキュアネットワーク１０をまとめて全体として１つの暗号システムを構築することも可能である。

また、上記図１〜図３では、本発明の暗号処理機能を有する通信端末の例として、暗号ソフトがインストールされたパソコン７〜９を挙げ、暗号装置１とパソコン７〜９との間で暗号化によるセキュリティを終端する例について説明した。暗号処理機能を有する通信端末はこの例に限らず、暗号装置１と同様の機能を有する他の暗号装置も含む。図４に、この場合の暗号化の一元集中管理システムの構成例を示す。

図４に示す例では、拠点Ａ，Ｂの２つの拠点ネットワーク３０Ａ，３０Ｂが、ルータ４０Ａ，４０Ｂおよびインターネット２０を介して接続されている。拠点Ａネットワーク３０Ａの中は、パソコン３１Ａ〜３３Ａと暗号装置１Ａ_-1〜１Ａ_-3とにより企業内ＬＡＮが構成されている。パソコン３１Ａ〜３３Ａは何れも暗号ソフトがインストールされていない端末である。また、暗号装置１Ａ_-1〜１Ａ_-3は何れも図１の暗号装置１と同様の機能を有するものであり、一方のポートにはパソコン３１Ａ〜３３Ａが接続され、他方のポートにはルータ４０Ａが接続されている。

拠点Ｂネットワーク３０Ｂの中も同様に、パソコン３１Ｂ〜３３Ｂと暗号装置１Ｂ_-1〜１Ｂ_-3とにより企業内ＬＡＮが構成されている。パソコン３１Ｂ〜３３Ｂは何れも暗号ソフトがインストールされていない端末である。また、暗号装置１Ｂ_-1〜１Ｂ_-3は何れも図１の暗号装置１と同様の機能を有するものであり、一方のポートにはパソコン３１Ｂ〜３３Ｂが接続され、他方のポートにはルータ４０Ｂが接続されている。

このような構成により、異なる拠点ネットワーク３０Ａ，３０Ｂに属するパソコンの間では、暗号装置１Ａ_-1〜１Ａ_-3，１Ｂ_-1〜１Ｂ_-3を介してデータ通信が行われる。例えば、拠点Ａネットワーク３０Ａ内にあるパソコン３１Ａから拠点Ｂネットワーク３０Ｂ内にあるパソコン３３Ｂにデータを送信するとき、暗号装置１Ａ_-1は、パソコン３１Ａから与えられたデータを暗号化し、ルータ４０Ａ、インターネット２０およびルータ４０Ｂを介して暗号装置１Ｂ_-3に送信する。暗号装置１Ｂ_-3は、受け取ったデータを復号化してパソコン３３Ｂに供給する。これにより、異なる拠点ネットワーク３０Ａ，３０Ｂ間で暗号を利用することができる。

また、例えば拠点Ａネットワーク３０Ａの内部において、暗号ソフトがインストールされていないパソコン３１Ａ〜３３Ａどうしでは、暗号装置１Ａ_-1〜１Ａ_-3を介してデータ通信が行われる。例えば、あるパソコン３１Ａから他のパソコン３３Ａにデータを送るとき、暗号装置１Ａ_-1は、パソコン３１Ａから与えられたデータを暗号化し、暗号装置１Ａ_-3に送信する。暗号装置１Ａ_-3は、受け取ったデータを復号化してパソコン３３Ａに供給する。

拠点Ｂネットワーク３０Ｂの内部においても同様に、暗号ソフトがインストールされていないパソコン３１Ｂ〜３３Ｂどうしでは、暗号装置１Ｂ_-1〜１Ｂ_-3を介してデータ通信が行われる。例えば、あるパソコン３１Ｂから他のパソコン３３Ｂにデータを送るとき、暗号装置１Ｂ_-1は、パソコン３１Ｂから与えられたデータを暗号化し、暗号装置１Ｂ_-3に送信する。暗号装置１Ｂ_-3は、受け取ったデータを復号化してパソコン３３Ｂに供給する。

このように、暗号装置１Ａ_-1〜１Ａ_-3，１Ｂ_-1〜１Ｂ_-3は何れも、暗号ソフトがインストールされていないパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂとの間では暗号化されていないデータの通信を行うとともに、暗号処理機能を有する通信端末である暗号装置１Ａ_-1〜１Ａ_-3，１Ｂ_-1〜１Ｂ_-3との間では暗号化されたデータの通信を行うために暗号化処理および暗号の復号化処理を行う。

以上のような暗号装置１Ａ_-1〜１Ａ_-3，１Ｂ_-1〜１Ｂ_-3をパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂの直近にそれぞれ接続することにより、異なる拠点ネットワーク３０Ａ，３０Ｂの間は当然として、暗号ソフトを有するパソコンが無い企業内ＬＡＮの中でも暗号を利用することが可能となる。これにより、各拠点ネットワーク３０Ａ，３０Ｂを、外部からの不正侵入や攻撃によってＬＡＮ内部の機密情報が盗まれたり改ざんされたりする危険性が少ないセキュアなネットワークとすることができる。

また、図４の例では、各拠点ネットワーク３０Ａ，３０Ｂの中の暗号化をそれぞれ一元管理する複数のマネージャ端末１２Ａ，１２Ｂをインターネット２０に接続している。各マネージャ端末１２Ａ，１２Ｂは、インターネット２０を介して互いにデータ通信をして、暗号化／復号化に関する種々の情報を適宜設定する。これにより、複数の拠点ネットワーク３０Ａ，３０Ｂをまとめて全体として１つの暗号システムを構築することも可能である。

なお、上記図４の例では、各拠点ネットワーク３０Ａ，３０Ｂは共に、暗号処理機能を有する端末（暗号装置１Ａ_-1〜１Ａ_-3，１Ｂ_-1〜１Ｂ_-3）を複数備えて構成されているが、少なくとも一方の拠点ネットワークが暗号処理機能を有する端末を１個だけ備える構成としても良い。例えば、拠点ネットワーク３０Ａの中を、１個のパソコン３１Ａと１個の暗号装置１Ａ_-1とを接続して構成しても良い。

この場合は、図４に示した構成と同様に、異なる拠点ネットワーク３０Ａ，３０Ｂ間で暗号を利用することができる。また、拠点ネットワーク３０Ａの中に関しては、暗号装置１Ａ_-1をパソコン３１Ａの直近に接続しておくことにより、当該拠点ネットワーク３０Ａの出入口と暗号装置１Ａ_-1との間で暗号を利用することができる。

また、上記図４の例では、２つの拠点ネットワーク３０Ａ，３０Ｂをインターネット２０で結び、各拠点ネットワーク３０Ａ，３０Ｂ内に暗号装置１Ａ_-1〜１Ａ_-3，１Ｂ_-1〜１Ｂ_-3やパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂをそれぞれ備える例について示したが、これに限定されない。

例えば、１つの拠点ネットワーク内に暗号装置１Ａ_-1〜１Ａ_-3，１Ｂ_-1〜１Ｂ_-3およびパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂを備え、暗号ソフトがインストールされていないパソコン３１Ａ〜３３Ａ，３１Ｂ〜３３Ｂの間におけるデータのやり取りを、暗号装置１Ａ_-1〜１Ａ_-3，１Ｂ_-1〜１Ｂ_-3を介して行うようにしても良い。この場合は、１つの拠点ネットワーク内において、少なくとも暗号装置１Ａ_-1〜１Ａ_-3，１Ｂ_-1〜１Ｂ_-3の間では暗号を利用することができる。

また、これ以外にも、例えば図１の構成において、暗号ソフトがインストールされているパソコン７の代わりに、暗号ソフトがインストールされていないパソコンと暗号装置１とを用い、暗号装置１をハブ５に接続する構成としても良い。この場合は、暗号ソフトをインストールできないネットワークプリンタ２、ＤＢサーバ３、ネットワークターミナル４などのデバイスと、暗号ソフトがインストールされていないパソコンとの間では、両者の直近に接続された暗号装置１を介して暗号通信をすることができる。

図５は、図１に示した暗号システムにおいて、暗号装置１およびこれに直接および間接的に接続されるＤＢサーバ３およびラップトップパソコン９におけるプロトコルの階層構造を示す図である。図５に示す例では、ＤＢサーバ３には暗号ソフトがインストールされておらず（ＩＰ−Ｓｅｃがない）、ラップトップパソコン９には暗号ソフトがインストールされている（ＩＰ−Ｓｅｃを有する）。このＤＢサーバ３およびラップトップパソコン９の間に、本実施形態の暗号装置１が接続されている。ここでは、ＤＢサーバ３にて保存されているデータを暗号装置１に送り、ここでデータを暗号化してパソコン９に送るような利用形態を想定している。

図５に示すように、ＤＢサーバ３およびパソコン９はそれぞれ１つのポート３１，３２を有し、その中継機となる暗号装置１は２つのポート３３，３４を有している。暗号装置１の各ポート３３，３４に対して物理層およびＭＡＣ層（データリンク層）が個別に設けられ、各ポート３３，３４に共通なものとしてＩＰ−Ｓｅｃ（暗号／復号処理機能）、ＩＰ層（ネットワーク層）およびＴＣＰ／ＵＤＰ層（トランスポート層）が設けられている。

層が深くなるほどユーザからは遠くなり、逆に層が浅くなるほどユーザに近くなる。ＤＢサーバ３およびパソコン９のＩＰ層よりも上位層には、ＴＣＰ／ＵＤＰ層およびアプリケーション層（共に図示せず）が存在し、ユーザが使用するアプリケーションと下の層との橋渡しが行われる。

データの送信側では、上位層から下位層に向かって各層を通過するごとにデータが変換されるとともに、それぞれの層間でデータ伝送を可能にするためのヘッダが付加されていく。逆に、データの受信側では、各層宛てのヘッダを参照して各層で必要なデータが抽出される。そして、抽出されたデータは上位層へ引き渡され、最終的にアプリケーション層を介してユーザに届けられる。

以下に、それぞれの層の機能について説明する。ＴＣＰ／ＵＤＰ層は、データを渡すべきアプリケーションの特定や、パケットの状態の管理などを行うレイヤである。データ送信側においては、上位層（アプリケーション層）から渡されたデータを相手のどのアプリケーションに渡すべきかを認識し、宛先ポート番号をデータに付加して下位層（ネットワーク層）に渡す。一方、データ受信側においては、下位層から渡されたパケットについて、通信の状態等によって抜けが生じていないかどうかを監視する。

ＩＰ層は、複数のネットワークにまたがった端末間のデータ転送あるいはデータ中継に関する取り決めや制御を行うためのレイヤである。通信相手となる送信側のＤＢサーバ３と受信側のパソコン９にはそれぞれ異なるＩＰアドレス（１），（４）が割り振られており、これらを明確にすることによって、end to endによる論理的な通信経路が決定する。

ＭＡＣ（Media Access Control）層は、隣接機器のノード間で信頼性の高いデータ伝送を保証するためのレイヤであり、製造段階で各機器に割り当てられた物理的なＭＡＣアドレスを有する。データ送信側においては、ＩＰ層で通信相手のＩＰアドレスが明確になると、その下位に位置するＭＡＣ層において、確立された相手のＩＰアドレスをもとに、経由する次の機器（物理的に接続されている隣接ノード）の宛先を決定する。一方、データ受信側においては、ＭＡＣアドレスをもとに自分宛のパケットであることを認識した後、その上位層のＩＰ層でＩＰアドレスを解析し、そのパケットを他の機器に対して更にルーティングするか自分に取り込むかを判断する。

物理層は、上位層から渡されたデータを電気信号や光信号に変換し、同軸ケーブルや光ファイバケーブル等の伝送媒体を介して実際のデータ伝送を行ったり、伝送媒体から送られてきた電気信号や光信号を上位層で認識可能なデータに変換し、それを上位層に渡したりするためのレイヤである。物理層の上位層であるＭＡＣ層では、物理層の通信インタフェースに依存した手法に従って上述の処理を行う。

ＩＰ−Ｓｅｃは、データの暗号化処理および復号化処理を行う機能部である。すなわち、ＭＡＣ層から渡されたデータを取得して、当該データの暗号化処理および暗号の復号化処理を行う。

本実施形態の暗号装置１は、ＩＰ−Ｓｅｃにより２つのポート３３，３４間をブリッジさせているところに特徴がある。「ブリッジする」とは、一のポートより入力され暗号化処理または復号化処理が施されたデータを、ルーティング処理をすることなく他のポートにそのまま出力することを言う。図５の例では、第１のポート３３より入力されたデータに対してＩＰ−Ｓｅｃで暗号化処理を行い、それにより得られたデータを、ＩＰ層にてルーティングすることなく（ＩＰ層に渡すことなく）他方のポートにそのまま渡して出力することが、「ブリッジする」ということに相当する。このように、本実施形態の暗号装置１では、ＤＢサーバ３とパソコン９との間におけるデータ転送に関してはＩＰ層およびＴＣＰ／ＵＤＰ層は用いず、ＩＰ層よりも下位層で処理を行う。

すなわち、ＤＢサーバ３にて作成されたパケットデータは、当該ＤＢサーバ３のＭＡＣ層、物理層を通って送信され、暗号装置１の第１のポート３３より受信される。受信されたパケットデータは物理層、ＭＡＣ層を通ってＩＰ−Ｓｅｃに渡され、ここで暗号化処理が行われる。この暗号化されたパケットデータは、ＭＡＣ層および物理層を通って第２のポート３４より送信される。

第２のポート３４より送信されたパケットデータは、パソコン９で受信され、物理層、ＭＡＣ層を通ってＩＰ−Ｓｅｃに渡されて、暗号が復号化される。そして、復号化されたデータがＩＰ層を通って図示しないアプリケーション層に渡される。これにより、ＤＢサーバ３が暗号ソフトを備えていなくても、パソコン９に対して暗号化されたデータを送信することが可能となる。

なお、暗号装置１のＩＰ層およびＴＣＰ／ＵＤＰ層は、上述したマネージャ端末１２から暗号装置１自身に暗号化／復号化に関する各種の情報を設定する際に利用される。この種の設定情報は、ＩＰ−Ｓｅｃブリッジの機能によってメモリ上に保持される。ＩＰ−Ｓｅｃは、当該メモリに保持されている設定情報と、ポート３３，３４より入力されたパケットに付加されているヘッダ情報（例えば、送信元ＩＰアドレスおよび宛先ＩＰアドレス）とを照合して、暗号／復号処理の制御などを行う。

このように、本実施形態の暗号装置１では、一のポートから入力されたデータをＩＰ−Ｓｅｃで暗号化／復号化し、これにより得られたデータをＩＰ層に渡すことなく、ルーティング処理をせずにそのまま他のポートに転送するようにしているので、データ通信時に暗号装置１のＩＰアドレスを不要とすることができる。すなわち、ＩＰアドレスを持たずにＩＰ層の暗号／復号処理を行うことが可能である。そのため、暗号装置１自身に対する煩雑なＩＰアドレス設定の必要をなくすことができる。

また、暗号装置１の両側に接続される端末は同じネットワークに属することになり、暗号装置１の入力ポートと出力ポートとでＩＰアドレスが変わることがなくなる。これにより、暗号装置１のネットワーク上における接続の有無に関わりなく、ＩＰアドレスの透過性を保つことができる。すなわち、ネットワーク上に暗号装置１を接続したり、ネットワーク上から暗号装置１を外したりする際に、当該暗号装置１に接続される端末のアドレス設定も変更する必要がない。

例えば、図５のようにＤＢサーバ３とパソコン９との間に暗号装置１を挿入した場合も、暗号装置１を挿入せずにＤＢサーバ３とパソコン９との間で直接通信を行う場合も、ＤＢサーバ３とパソコン９との間を流れるパケットのＩＰアドレスは、図６に示す通りのままで不変である。したがって、暗号装置１の接続の有無によってアドレス設定を何ら変更する必要がない。

これにより、ネットワークシステムの導入時やメンテナンス時には、本実施形態の暗号装置１を適当な箇所にただ挿入したり、あるいはただ取り外したりするだけ良くなり、煩雑なアドレス設定は行う必要がないので、作業負荷を大幅に削減することができる。

さらに、本実施形態の場合、ＭＡＣアドレスについても透過性を保つことができる。図７は、ＤＢサーバ３からパソコン９にデータを送り、その間の暗号装置１でデータを暗号化する場合におけるパケットを示す図である。図７（ａ）は第１のポート３３にて受信するパケットを示し、図７（ｂ）は第２のポート３４より送信するパケットを示す。なお、ＩＰ−Ｓｅｃには、データ部のみを暗号化するトランスポートモードと、パケット全てを暗号化して更に新しいヘッダを追加するトンネルモードとがある。送信パケットに関しては、これら２つのモードについてそれぞれ示している。

また、図８は、本実施形態との比較のために、従来のＶＰＮルータを用いたシステムにおいて一方のパソコンから他方のパソコンにデータを送り、その間のＶＰＮルータでデータを暗号化する場合におけるパケットを示す図である。図８（ａ）はＶＰＮルータの第１のポートにて受信するパケットを示し、図８（ｂ）は第２のポートより送信するパケットを示す。この図８においても、送信パケットに関しては、２つのモードについてそれぞれ示している。

図７から明らかなように、本実施形態によれば、ＩＰアドレスだけでなく、ＭＡＣアドレスについても第１のポート３３と第２のポート３４とで異なることがなく、ＭＡＣアドレスの透過性を保つことができる。すなわち、本実施形態の暗号装置１は、ＩＰ−Ｓｅｃを有してデータの暗号／復号処理を行うことを除けば、一方のポートから入力されたデータを他方のポートにただ流すだけなので、データ通信時にはＭＡＣアドレスも不要とすることができる。

なお、上記実施形態ではＯＳＩ参照モデルの第３層に当たるネットワーク層の例としてＩＰ層を挙げたが、このＩＰ層は、ノベル社のネットワークＯＳが使用するプロトコルであるＩＰＸ（Internetwork Packet eXchange）層であっても良い。また、ＩＰ−Ｓｅｃが利用可能なものであれば、他のプロトコルであっても良い。

その他、以上に説明した実施形態は、本発明を実施するにあたっての具体化の一例を示したものに過ぎず、これによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその精神、またはその主要な特徴から逸脱することなく、様々な形で実施することができる。

本発明は、暗号を利用するために必要な各端末に対する様々な情報設定を簡単に行うことができるようにするのに有用である。

Claims (5)

1. 通信を行う複数の通信端末と、
   上記複数の通信端末の間に接続された暗号装置であって、暗号処理機能を有する通信端末との間で暗号化によるセキュリティを終端するためにデータの暗号化処理および復号化処理を行う暗号／復号手段と、一のポートより入力され上記暗号／復号手段により暗号化処理または復号化処理が施されたデータを、ネットワーク層でルーティング処理をすることなく他のポートにそのまま出力するブリッジ手段であって上記ネットワーク層より下層に存在するブリッジ手段とを備えた暗号装置と、
   上記暗号通信を行うのに必要な種々の情報の設定を、ネットワークを介して遠隔から上記通信端末および上記暗号装置に対して行うマネージャ端末とを備え、
   上記複数の通信端末、上記マネージャ端末および上記暗号装置を有線または無線のネットワークにより接続して構成したことを特徴とする暗号化の一元集中管理システム。
2. 上記暗号／復号手段は、上記暗号処理機能を有する通信端末との間では暗号化されたデータの通信を行うとともに、暗号処理機能を有しない通信端末との間では暗号化されていないデータの通信を行うために上記暗号化処理および上記復号化処理を行うことを特徴とする請求の範囲第１項に記載の暗号化の一元集中管理システム。
3. 上記暗号装置は、上記暗号化処理および上記復号化処理の制御に関して上記マネージャ端末から設定された情報を記憶する設定情報記憶手段を備え、
   上記設定情報記憶手段に記憶されている設定情報と、上記一のポートより入力されたパケットに付加されているヘッダ情報とを照合して上記暗号化処理および上記復号化処理の制御を行うことを特徴とする請求の範囲第１項に記載の暗号化の一元集中管理システム。
4. 通信を行う複数の通信端末と、
   上記複数の通信端末の間に接続され、一のポートより入力され物理層およびデータリンク層を介して渡されたデータに対して暗号化処理または復号化処理を行い、これにより得られたデータを、ネットワーク層より下層に存在するブリッジ手段を介して、ネットワーク間のルーティング制御を行うネットワーク層に渡すことなくデータリンク層および物理層を介して他のポートより出力する暗号装置と、
   上記暗号通信を行うのに必要な種々の情報の設定を、ネットワークを介して遠隔から上記通信端末および上記暗号装置に対して行うマネージャ端末とを備え、
   上記複数の通信端末、上記マネージャ端末および上記暗号装置を有線または無線のネットワークにより接続して構成したことを特徴とする暗号化の一元集中管理システム。
5. 上記暗号装置は、上記暗号化処理および上記復号化処理の制御に関して上記マネージャ端末から設定された情報を記憶する設定情報記憶手段を備え、
   上記設定情報記憶手段に記憶されている設定情報と、上記一のポートより入力されたパケットに付加されているヘッダ情報とを照合して上記暗号化処理および上記復号化処理の制御を行うことを特徴とする請求の範囲第４項に記載の暗号化の一元集中管理システム。

Images