JPH11243388A - 暗号通信システム - Google Patents

Abstract

(57)【要約】 【課題】 暗号通信システムにおける暗号装置が使用す
る暗号鍵、暗号装置間の物理的配置構成などの情報を鍵
探索で収集し、収集した情報に基づいて暗号通信を行う
システムにおいてセキュリティ強度を上げる。 【解決手段】 受信したデータを暗号化／復号する暗号
装置において、暗号装置自身が受信データに対して使用
する暗号鍵の情報や暗号鍵と組みを成すサーバクライア
ントモードを自動的に収集し、収集した情報に基づいて
暗号鍵テーブルに学習し、学習登録した暗号鍵テーブル
から暗号鍵を選択しデータを暗号化／復号し、大規模か
つ複雑な暗号通信システムに対応する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】通信ネットワークに収容され
た通信端末間を中継する各暗号装置が互いに持つ暗号鍵
を学習してから暗号通信を行う暗号通信システムに関す
る。

【０００２】

【従来の技術】図２２は例えば従来の暗号通信システム
の端末Ａ、Ｂ，Ｃを収容するネットワークの構成例を示
すもので、図において、１１〜１５は暗号装置、暗号装
置１１はＩＤが１の、暗号装置１２はＩＤが３の、暗号
装置１３はＩＤが１と２の、暗号装置１４はＩＤが３
の、暗号装置１５はＩＤが２の暗号鍵を保有しており、
暗号復号時にはそれぞれのＩＤに対応した暗号鍵を使用
する。即ち、各暗号装置に割り当てる暗号鍵は、あらか
じめ配送して登録されており、各暗号装置は、自身の持
つ暗号鍵の暗号鍵ＩＤを内部に一つまたは複数個保持す
る。また初期の時点では各装置内の暗号鍵テーブルに
は、鍵情報がなにも登録されていないものとする。な
お、図中のＬポートは、ローカルポート、Ｐポートはパ
ブリックポートを示す。また、図２２の暗号装置１１の
パブリックポート、暗号装置１２のパブリックポート、
暗号装置１４のパブリックポートが接続されている。他
は、ローカルポートに対しパブリックポートが接続され
ている。

【０００３】図９は、鍵探索パケットおよび鍵探索応答
パケットのフォーマットである。鍵探索パケットと鍵探
索応答パケットは、ＥＣＨＯパケット、つまり、要求パ
ケットを受信した通信端末が、データ部をコピーした応
答パケットを、要求パケットの送信元の通信端末へ返す
特徴を持つものであり、 例えばＴＣＰ／ＩＰプロトコ
ルにおけるＩＣＭＰ ＥＣＨＯを適用し、ＩＣＭＰ ＥＣ
ＨＯ ＲＥＱＵＥＳＴを鍵探索パケット、ＩＣＭＰ ＥＣ
ＨＯ ＲＥＰＬＹを鍵探索応答パケットとすることが考
えられる。図９において、２１はヘッダで、パケット種
別、パケットの宛先アドレス、送信元アドレス、などを
含む。２２は暗号装置が受信した通信データの送信元端
末アドレス、２３は暗号装置が受信した通信データの宛
先端末アドレスである。２７は暗号鍵情報ブロックで、
１暗号装置分の情報が格納され、暗号装置アドレス２
８、暗号鍵ＩＤ設定個数３４、暗号鍵ＩＤ情報３５から
構成され、暗号鍵ＩＤ情報３５は暗号鍵ＩＤ３２から構
成される。２４はローカルポート暗号鍵情報で、１個又
は複数個の暗号鍵情報ブロック２７から構成される。鍵
探索パケットをローカルポートから受信した暗号装置
は、自身のアドレスを暗号装置アドレス２８に、自身の
持つ暗号鍵のＩＤを暗号鍵ＩＤ情報３５に、暗号鍵ＩＤ
の個数を暗号鍵ＩＤ設定個数３４に設定した暗号鍵情報
ブロック２７を作成し、それをローカルポート暗号鍵情
報２４に設定する。

【０００４】２５はパブリックポート暗号鍵情報で、ロ
ーカル暗号鍵情報２４と同様に、１個又は複数個の暗号
鍵情報ブロック２７から構成される。鍵探索パケットを
パブリックポートから受信した暗号装置は、自身のアド
レスを暗号装置アドレス２８に、自身の持つ暗号鍵のＩ
Ｄを暗号鍵ＩＤ情報３５に、暗号鍵ＩＤの個数を暗号鍵
ＩＤ設定個数３４に設定した暗号鍵情報ブロック２７を
作成し、それをパブリックポート暗号鍵情報２５に設定
する。尚、ローカルポート暗号鍵情報２４、パブリック
ポート暗号鍵情報２５へは、鍵探索パケットを受信した
暗号装置の順に、前へつめて暗号鍵情報ブロック２７が
設定される。２６は鍵探索パケットおよび鍵探索応答パ
ケットのデ−タ部で、送信元端末アドレス２２、宛先端
末アドレス２３、ローカルポート暗号鍵情報２４および
パブリックポート暗号鍵情報２５から構成される。

【０００５】図１３は、図２２における端末Ａから端末
Ｂへの通信が実施される際に、暗号鍵テーブルを学習す
るために実施される鍵探索パケットのシーケンスを示し
たものである。６１は、端末Ｂから送信された平文の通
信データ、５１〜５３は、暗号装置１１から送信される
鍵探索パケット、５５は、端末Ｂから送信される鍵探索
応答パケット、６２は、暗号化された端末Ａ−端末Ｂ間
の通信データ、６３は端末Ｂから端末Ａへの通信データ
である。８１は暗号装置１１の暗号鍵テーブルで、通信
端末Ａ−端末Ｂは処理方法が暗号／復号で暗号鍵のＩＤ
が１であることを示す。８２は暗号装置１２の暗号鍵テ
ーブルで、通信端末Ａ−端末Ｂは処理方法が暗号／復号
で透過中継であることを示す。８３は暗号装置１３の暗
号鍵テーブルで、通信端末Ａ−端末Ｂは処理方法が暗号
／復号で暗号鍵のＩＤが１であることを示す。図１４は
暗号装置が鍵探索応答パケットを受信したときの処理フ
ローチャートである。

【０００６】次に端末Ａから端末Ｂへ通信する際の、暗
号鍵テーブルの学習処理について示す。暗号鍵テーブル
８１〜８３に処理方法が何も登録されていないものとす
る。端末Ａが通信データ６１を送信すると、通信データ
６１を受信した暗号装置１１は、自身の暗号鍵テーブル
８１に端末Ａ−端末Ｂ間のデータの処理方法が登録され
ているか調べ登録されていないので、鍵探索パケットの
ローカルポート暗号鍵情報２４に自身の暗号鍵のＩＤ１
を設定した鍵探索パケット５１を送信する。ただし、鍵
探索パケット５１のヘッダ２１にはパケット種別に鍵探
索パケットを、鍵探索パケットの送信元に暗号装置１１
のアドレスを、宛先に端末Ｂのアドレスを設定し、暗号
装置１２経由端末Ｂに送信する。

【０００７】探索パケット５１をパブリックポートから
受信した暗号装置１２は、鍵探索パケット５１のパブリ
ックポート暗号鍵情報２５に自身の持つ暗号鍵のＩＤ３
を追加した鍵探索パケット５２を送信する。暗号装置１
３は、パブリックポートから受信した鍵探索パケット５
２のパブリックポート暗号鍵情報２５に自身の持つ暗号
鍵のＩＤ１と２を追加した鍵探索パケット５３を送信す
る。次に、暗号装置１３から自端末宛の鍵探索パケット
５３を受信した端末Ｂは、鍵探索パケット５３のデータ
部２６を鍵探索応答パケット５５のデータ部２６にコピ
ーする。そして、図１６に示す鍵探索応答パケット５５
を暗号装置１３経由暗号装置１１宛てに送信する。ただ
し、鍵探索応答パケット５５のヘッダ２１にはパケット
種別に鍵探索応答パケットを、送信元に端末Ｂのアドレ
ス、宛先に暗号装置１１のアドレスを設定し送信する。

【０００８】暗号装置１３は、ローカルポートから鍵探
索応答パケット５５を受信すると（図１４のステップＳ
１）、自分自身の暗号鍵のＩＤである１または２と同じ
暗号鍵ＩＤが鍵探索応答パケット５５のローカルポート
暗号鍵情報２４に設定されているかどうか検索する（ス
テップＳ２）。本例の場合、暗号装置１３の設定したＩ
Ｄである１が鍵探索応答パケット５５のローカルポート
暗号鍵情報２４に設定されているので、暗号装置１３
は、図１３の暗号鍵テーブル８３に端末Ａ−端末Ｂ間の
通信データ６１をＩＤが１の暗号鍵で暗号／復号するこ
とを登録し（ステップＳ３）、通信データバッファに送
信すべき送信データ６１がなく（ステップＳ４）、鍵探
索応答パケット５５のヘッダ２１の宛先アドレスが自暗
号装置１３ではないので（ステップＳ６）、受信した鍵
探索応答パケット５５を暗号装置１２に中継する。（ス
テップＳ８）。

【０００９】以下、同様に図１４のフローチャートに従
うと暗号装置１２は、ローカルポートから鍵探索応答パ
ケット５５を受信すると、鍵探索応答パケット５５のロ
ーカルポート暗号鍵情報２４に設定されている暗号鍵の
ＩＤを検索し（ステップＳ２）、暗号装置１２が保有す
る鍵ＩＤ３と一致する鍵ＩＤがないので、ローカルポー
ト暗号鍵情報２４とパブリックポート暗号鍵情報２５に
一致する鍵ＩＤが存在するか探し（ステップＳ１３）、
鍵ＩＤ１が存在するので自身の暗号鍵テーブル８２に、
端末Ａ−端末Ｂ間の通信データを、透過中継することを
登録し、鍵探索応答パケット５５を暗号装置１１に中継
する。

【００１０】暗号装置１１は、パブリックポートから鍵
探索応答パケット５５を受信すると、自分自身の暗号鍵
のＩＤである１と同じ暗号鍵ＩＤが鍵探索応答パケット
５５のパブリックポート暗号鍵情報２５に設定されてい
る暗号鍵のＩＤを検索し、ＩＤ１の鍵が同一なので、自
身の暗号鍵テーブル８１に、端末Ａ−端末Ｂ間の通信デ
ータを、ＩＤが１の暗号鍵で暗号／復号することを登録
する。続いて、暗号装置１１は、通信データバッファ
（図示せず）に格納しておいたローカルポートからの通
信データ６１を暗号鍵テーブル８１の内容に従い、暗号
鍵１を用いて暗号化し、その暗号化した通信データ６２
をパブリックポートから暗号装置１２経由端末Ｂ宛てに
送信する。また、鍵探索応答パケット５５のヘッダ２１
内の宛先アドレスは暗号装置１１であるので、鍵探索応
答パケット５５は廃棄される。

【００１１】暗号装置１１で暗号化された通信データ６
２を、パブリックポートから受信した暗号装置１２は暗
号鍵テーブル８２の内容に従い、透過中継し、暗号装置
１３では暗号鍵テーブル８３の内容に従い、パブリック
ポートからの通信データを暗号鍵１により復号し、ロー
カルポート経由端末Ｂへ達する。

【００１２】端末Ｂから端末Ａへの通信データ６３は、
暗号装置１３で暗号鍵テーブル８３の内容に従い、ロー
カルポートからの通信データ６３を暗号鍵１により暗号
化され、暗号装置１２で暗号鍵テーブル８２の内容に従
い、ローカルポートからの通信データ６３を透過中継さ
れ、暗号装置１１では暗号鍵テーブル８１の内容に従
い、パブリックポートからの通信データ６３を暗号鍵１
により復号されてローカルポート経由端末Ａへ達する。

【００１３】図１７は、図２２における端末Ｂから端末
Ｃへの通信が実施される際に、暗号鍵テーブルを学習す
るために実施される鍵探索パケットのシーケンスを示し
たものである。６１は、端末Ｂから送信された平文の通
信データ、５１〜５４は、暗号装置１３から送信される
鍵探索パケット、５５は、端末Ｃから送信される鍵探索
応答パケット、６２は、暗号化された端末Ｂ−端末Ｃ間
の通信データ、６３は端末Ｃから端末Ｂへの通信データ
である。

【００１４】８２は暗号装置１２の暗号鍵テーブルで、
通信端末Ｂ−端末Ｃは処理方法が暗号／復号で暗号鍵の
ＩＤが３であることを示す。８３は暗号装置１３の暗号
鍵テーブルで、通信端末Ｂ−端末Ｃは処理方法が暗号／
復号で暗号鍵のＩＤが２であることを示す。８４は暗号
装置１４の暗号鍵テーブルで、通信端末Ｂ−端末Ｃは処
理方法が暗号／復号で暗号鍵のＩＤが３であることを示
す。８５は暗号装置１５の暗号鍵テーブルで、通信端末
Ｂ−端末Ｃは処理方法が暗号／復号で暗号鍵のＩＤが２
であることを示す。図１４は暗号装置が鍵探索応答パケ
ットを受信したときの処理フローチャートである。

【００１５】次に端末Ｂから端末Ｃへ通信する際の、暗
号鍵テーブルの学習処理について示す。暗号鍵テーブル
８２〜８５に処理方法が何も登録されていないものとす
る。端末Ｂが通信データ６１を送信すると、通信データ
６１を受信した暗号装置１３は、自身の暗号鍵テーブル
８３に端末Ｂ−端末Ｃ間のデータの処理方法が登録され
ているか調べ登録されていないので、鍵探索パケットの
ローカルポート暗号鍵情報２４に自身の暗号鍵のＩＤ
１、２を設定した鍵探索パケット５１を送信する。ただ
し、鍵探索パケット５１のヘッダ２１にはパケット種別
に鍵探索パケットを、鍵探索パケットの送信元に暗号装
置１３のアドレスを、宛先に端末Ｃのアドレスを設定
し、暗号装置１２経由端末Ｃに送信する。

【００１６】探索パケット５１をローカルポートから受
信した暗号装置１２は、鍵探索パケット５１のローカル
ポート暗号鍵情報２４に自身の持つ暗号鍵のＩＤ３を追
加した鍵探索パケット５２を送信する。暗号装置１４
は、パブリックポートから受信した鍵探索パケット５２
のパブリックポート暗号鍵情報２５に自身の持つ暗号鍵
のＩＤ３を追加した鍵探索パケット５３を送信する。暗
号装置１５は、パブリックポートから受信した鍵探索パ
ケット５３のパブリックポート暗号鍵情報２５に自身の
持つ暗号鍵のＩＤ２を追加した鍵探索パケット５４を送
信する。

【００１７】次に、暗号装置１５から自端末宛の鍵探索
パケット５４を受信した端末Ｃは、鍵探索パケット５４
のデータ部２６を鍵探索応答パケット５５のデータ部２
６にコピーする。そして、図１８に示す鍵探索応答パケ
ット５５を暗号装置１５経由暗号装置１３宛てに送信す
る。ただし、鍵探索応答パケット５５のヘッダ２１には
パケット種別に鍵探索応答パケットを、送信元に端末Ｃ
のアドレス、宛先に暗号装置１３のアドレスを設定し送
信する。

【００１８】暗号装置１５は、ローカルポートから鍵探
索応答パケット５５を受信すると（図１４のステップＳ
１）、自分自身の暗号鍵のＩＤである１と同じ暗号鍵Ｉ
Ｄが鍵探索応答パケット５５のローカルポート暗号鍵情
報２４に設定されているかどうか検索する（ステップＳ
２）。本例の場合、暗号装置１５の設定したＩＤである
２が鍵探索応答パケット５５のローカルポート暗号鍵情
報２４に設定されているので、暗号装置１５は、図１７
の暗号鍵テーブル８５に端末Ｂ−端末Ｃ間の通信データ
６１をＩＤが２の暗号鍵で暗号／復号することを登録し
（ステップＳ３）、通信データバッファに送信すべき送
信データ６１がなく（ステップＳ４）、鍵探索応答パケ
ット５５のヘッダ２１の宛先アドレスが自暗号装置１５
ではないので（ステップＳ６）、受信した鍵探索応答パ
ケット５５を暗号装置１４に中継する。（ステップＳ
８）。

【００１９】以下、同様に図１４のフローチャートに従
うと暗号装置１４は、ローカルポートから鍵探索応答パ
ケット５５を受信すると、鍵探索応答パケット５５のロ
ーカルポート暗号鍵情報２４に設定されている暗号鍵の
ＩＤを検索し、ＩＤが３の鍵を得て自身の暗号鍵テーブ
ル８４に、端末Ｂ−端末Ｃ間の通信データを、ＩＤが３
の暗号鍵で暗号／復号することを登録し、鍵探索応答パ
ケット５５を暗号装置１２に中継する。

【００２０】また、暗号装置１２は、パブリックポート
から鍵探索応答パケット５５を受信すると、自分自身の
暗号鍵のＩＤである３と同じ暗号鍵ＩＤが鍵探索応答パ
ケット５５のパブリックポート暗号鍵情報２５に設定さ
れているかどうか探索し、ＩＤ３の鍵が同一なので、自
身の暗号鍵テーブル８２に、端末Ｂ−端末Ｃ間の通信デ
ータを、ＩＤが３の暗号鍵で暗号／復号することを登録
し、暗号装置１３に中継する。暗号装置１３は、パブリ
ックポートから鍵探索応答パケット５５を受信すると、
自分自身の暗号鍵のＩＤである１または２と同じ暗号鍵
ＩＤが鍵探索応答パケット５５のパブリックポート暗号
鍵情報２５に設定されている暗号鍵のＩＤを検索し、Ｉ
Ｄ２の鍵が同一なので、自身の暗号鍵テーブル８３に、
端末Ｂ−端末Ｃ間の通信データを、ＩＤが２の暗号鍵で
暗号／復号することを登録する。

【００２１】続いて、暗号装置１３は、通信データバッ
ファ（図示せず）に格納しておいたローカルポートから
の通信データ６１を暗号鍵テーブル８３の内容に従い、
暗号鍵２を用いて暗号化し、その暗号化した通信データ
６２をパブリックポートから暗号装置１２経由端末Ｃ宛
てに送信する。また、鍵探索応答パケット５５のヘッダ
２１内の宛先アドレスは暗号装置１３であるので、鍵探
索応答パケット５５は廃棄される。

【００２２】暗号装置１３で暗号化された通信データ６
２を、ローカルポートから受信した暗号装置１２は暗号
鍵テーブル８２の内容に従い、暗号鍵３により暗号化
し、暗号装置１４で暗号鍵テーブル８４の内容に従い、
パブリックポート経由暗号鍵３により復号し、暗号装置
１５では暗号鍵テーブル８５の内容に従い、パブリック
ポートからの通信データを暗号鍵２により復号し、ロー
カルポート経由端末Ｃへ達する。

【００２３】端末Ｃから端末Ｂへの通信データ６３は、
暗号装置１５で暗号鍵テーブル８５の内容に従い、ロー
カルポートからの通信データ６３を暗号鍵２により暗号
化され、暗号装置１４で暗号鍵テーブル８４の内容に従
い、ローカルポートからの通信データ６３を暗号鍵３に
より暗号化され、暗号装置１２では暗号鍵テーブル８２
の内容に従い、パブリックポートからの通信データ６３
を暗号鍵３により復号されて、暗号装置１３では暗号鍵
テーブル８３の内容に従い、パブリックポートからの通
信データ６３を暗号鍵２により復号されてローカルポー
ト経由端末Ｂへ達する。

【００２４】

【発明が解決しようとする課題】従来の暗号通信システ
ムは以上のように構成されているので、暗号鍵テーブル
に登録された端末ペア間の暗号通信が可能になるが、同
一の暗号鍵による暗号通信でも特定の属性を持った端末
との通信を不許可にすることが容易でない。例えば、サ
ーバ／クライアントの構成では、サーバとクライアント
間の通信のみ許可し、それ以外のサーバとサーバ間、ク
ライアントとクライアント間の不必要な通信を禁止した
方がセキュリティ強度は高まる。また、不必要なアプリ
ケーションを含む全てのアプリケーションの通信が許可
されてしまい、セキュリティ強度を弱めていた。また、
アプリケーションの通信開始時のコネクション方向には
制限が無く、通信を実施する二つの端末の両方から通信
を開始可能であり、コネクション方向に制限を加えられ
ずセキュリティ強度を弱めていた。

【００２５】また、従来例の図２２の端末Ａ、Ｂ，Ｃを
収容するネットワークの構成例において、端末Ａから端
末Ｂへの正規の手続きでアクセスし、さらに端末Ａから
端末Ｂを経由して端末Ｃへアクセス可能となる。これら
の操作を可能とするアプリケーションの例としては、TC
P/IP上でのtelnetやrloginプロトコル等がある。端末Ｃ
へのアクセスに対しては、パスワードにより保護されて
いるが、端末Ａのユーザが不正な何らかの手段により端
末Ｃのパスワードを知り得ても、本来、端末Ａから端末
Ｃへのアクセスは、暗号装置１１の保持する暗号鍵１と
暗号装置１５が保持する暗号鍵２が異なりアクセスが禁
止されているが、端末Ｂを経由することにより可能とな
る。また、端末Ａのユーザが端末Ｃのパスワードを知ら
なくとも、端末Ｂを経由して端末Ｃへのパスワードを一
致するまで不正アクセスを試みることにより攻撃されセ
キュリティ上、不正アクセスを許しセキュリティを弱め
るという問題があった。

【００２６】この発明は上記のような問題点を解消する
ためになされたもので、鍵探索で登録した暗号鍵テーブ
ルを用いた暗号通信におけるセキュリティ強度を上げる
ことを目的とする。また、鍵探索の正規手順でアクセス
可能な端末を経由し、直接アクセスを禁止されている別
の端末へは暗号通信でアクセスを禁止にする不正アクセ
ス防止手段を実現することを目的にする。

【００２７】

【課題を解決するための手段】第１の発明に係わる暗号
通信システムは、通信ネットワークに収容された通信端
末間を暗号装置が中継して暗号通信を行う暗号通信シス
テムにおいて、通信データを中継する中継経路上の暗号
装置は、中継する通信データの送信元端末と宛先端末の
組み合わせ（以下端末ペアと称す）に対応する暗号鍵情
報が前記暗号装置の暗号鍵テーブルに登録されていない
場合、暗号鍵情報と前記暗号装置内での暗号鍵の属性を
示すサーバクライアントモードを収集するための鍵探索
パケットが前記中継経路上の各暗号装置自身の暗号情報
とサーバクライアントモードを収集し、その収集した暗
号情報とサーバクライアントモードを鍵探索応答パケッ
トが前記中継経路上の前記各暗号装置に通知し、通知を
受けた前記各暗号装置は、収集した前記暗号鍵情報とサ
ーバクライアントモードに基づいて、前記端末ペアとサ
ーバクライアントモードに対応して通信データを、暗号
化するか、復号するか、透過中継するか、廃棄するか、
いずれの処理を行うかを指定する暗号鍵情報を前記暗号
鍵テーブルに登録し、その端末ペアからの通信データを
中継する前記各暗号装置は前記暗号鍵テーブルの暗号鍵
情報に基づいて通信データを処理するものである。

【００２８】第２の発明に係わる暗号通信システムは、
通信ネットワークに収容された通信端末間を暗号装置が
中継して暗号通信を行う暗号通信システムにおいて、通
信データを中継する中継経路上の暗号装置は、中継する
通信データの送信元端末と宛先端末の組み合わせ（以下
端末ペアと称す）に対応する暗号鍵情報が前記暗号装置
の暗号鍵テーブルに登録されていない場合、暗号鍵情報
を収集するための鍵探索パケットが前記中継経路上の各
暗号装置自身の暗号情報を収集し、その収集した暗号情
報を鍵探索応答パケットが前記中継経路上の前記各暗号
装置に通知し、通知を受けた前記各暗号装置は、収集し
た前記暗号鍵情報に基づいて、前記端末ペアに対応して
通信データを、暗号化するか、復号するか、透過中継す
るか、廃棄するか、いずれの処理を行うかを指定する暗
号鍵情報を前記暗号鍵テーブルに登録し、その端末ペア
からの通信データを中継する前記各暗号装置は前記暗号
鍵テーブルの暗号鍵情報と通信データを処理し、前記暗
号鍵テーブルの暗号鍵情報より暗号化かまたは、復号な
らば、前記暗号装置内での暗号鍵と組みを成すアプリケ
ーション種別情報と通信データ内のアプリケーション種
別が一致すれば、通信データを暗号化かまたは、復号
し、前記暗号装置内での暗号鍵と組みを成すアプリケー
ション種別情報と通信データ内のアプリケーション種別
が一致しなければ、通信データを廃棄する。

【００２９】第３の発明に係わる暗号通信システムは、
通信ネットワークに収容された通信端末間を暗号装置が
中継して暗号通信を行う暗号通信システムにおいて、通
信データを中継する中継経路上の暗号装置は、中継する
通信データの送信元端末と宛先端末の組み合わせ（以下
端末ペアと称す）に対応する暗号鍵情報が前記暗号装置
の暗号鍵テーブルに登録されていない場合、暗号鍵情報
を収集するための鍵探索パケットが前記中継経路上の各
暗号装置自身の暗号情報を収集し、その収集した暗号情
報を鍵探索応答パケットが前記中継経路上の前記各暗号
装置に通知し、通知を受けた前記各暗号装置は、収集し
た前記暗号鍵情報に基づいて、前記端末ペアに対応して
通信データを、暗号化するか、復号するか、透過中継す
るか、廃棄するか、いずれの処理を行うかを指定する暗
号鍵情報を前記暗号鍵テーブルに登録し、その端末ペア
からの通信データを中継する前記各暗号装置は前記暗号
鍵テーブルの暗号鍵情報と通信データを処理し、前記暗
号鍵テーブルの暗号鍵情報より暗号化かまたは、復号な
らば、前記暗号装置内での暗号鍵と組みを成す方向情報
がBOTHならば、通信データを暗号化かまたは、復号し、
前記暗号装置内での暗号鍵と組みを成す方向情報がOUT
かつローカルポートから通信データを受信したならば、
通信データを暗号化し、前記暗号装置内での暗号鍵と組
みを成す方向情報がINかつクローバルポートから通信デ
ータを受信したならば、通信データを復号し、通信デー
タが上記どの場合にも合致しないならば、通信データを
廃棄するものである。

【００３０】

【発明の実施の形態】実施の形態１．本実施の形態は暗
号装置が通信相手の暗号鍵を登録していない場合、自暗
号装置と各中継暗号装置が通信に先立ち暗号鍵とサーバ
かクラウアントの識別子を学習し、同一暗号鍵を持つサ
ーバとクラウアントとのデータ通信を許可するものであ
る。図１は、この発明を構成する暗号装置の一例であ
る。図において、１は学習機能付き暗号装置、２は通信
データを暗号／復号する暗号／復号処理部、３は通信デ
ータを透過的に中継する透過中継処理部、４は通信デー
タを廃棄する廃棄処理部、８は通信データの処理方法を
示す暗号鍵テーブルで、通信データの宛先端末、送信元
端末のペア毎に通信データの処理方法を登録する。

【００３１】通信データの処理方法には、暗号／復号処
理、透過中継処理、廃棄処理の３種類があり、暗号／復
号の場合は、暗号／復号に使用する暗号鍵のＩＤが暗号
鍵テーブル８に設定され、透過中継処理、廃棄処理の場
合は、それぞれの処理方法が暗号鍵テーブル８に登録さ
れる。６は暗号鍵テーブル８の自動学習処理部で、受信
した通信データの送信元端末と宛先端末のペアに対応し
て暗号鍵テーブル８に処理方法が登録していなかった場
合に自動学習処理が起動される。５はパブリックポート
で、７はローカルポートである。これらのポートは暗号
装置が通信データを暗号化するのか復号するのかを識別
するもので、暗号／復号処理の指定があった場合、暗号
装置は、パブリックポート５から受信した通信データを
復号し、ローカルポート７に送信する。また、ローカル
ポート７から受信した通信データを暗号化し、パブリッ
クポート５に送信する。９、１０は送受信処理部で、通
信データの受信処理、送信処理を実施する。

【００３２】次に、本発明の上記暗号装置を用いた暗号
鍵学習機能を持つ暗号通信システムについて説明する。
図２は、鍵探索パケットおよび鍵探索応答パケットのフ
ォーマットで、鍵探索パケットと鍵探索応答パケット
は、ＥＣＨＯパケット、つまり、要求パケットを受信し
た通信端末が、データ部をコピーした応答パケットを、
要求パケットの送信元の通信端末へ返す特徴を持つもの
であり、 例えばＴＣＰ／ＩＰプロトコルにおけるＩＣ
ＭＰ ＥＣＨＯを適用し、ＩＣＭＰ ＥＣＨＯ ＲＥＱＵ
ＥＳＴを鍵探索パケット、ＩＣＭＰ ＥＣＨＯ ＲＥＰＬ
Ｙを鍵探索応答パケットとすることが考えられる。

【００３３】図２において、２１はヘッダで、パケット
種別、パケットの宛先アドレス、送信元アドレス、など
を含む。２２は暗号装置１が受信した通信データの送信
元端末アドレス、２３は暗号装置１が受信した通信デー
タの宛先端末アドレスである。２７は暗号鍵情報ブロッ
クで、１暗号装置分の情報が格納され、暗号装置アドレ
ス２８、暗号鍵ＩＤ−ＳＣモード設定個数２９、暗号鍵
ＩＤ−ＳＣモード情報３０から構成される。３１は暗号
鍵ＩＤ−ＳＣモードで、暗号鍵ＩＤ−ＳＣモード情報３
０は複数の暗号鍵ＩＤ−ＳＣモード３１から構成され
る。３２は暗号鍵ＩＤ、３３はサーバクライアントモー
ドで、暗号鍵ＩＤ−ＳＣモード３１は暗号鍵ＩＤ３２と
サーバクライアントモード３３から構成される。２４は
ローカルポート暗号鍵情報で、１個又は複数個の暗号鍵
情報ブロック２７から構成される。

【００３４】鍵探索パケットをローカルポート７から受
信した暗号装置１は、自身のアドレスを暗号装置アドレ
ス２８に、自身の持つ暗号鍵のＩＤとサーバクライアン
トモードを暗号鍵ＩＤ−ＳＣモード情報３０に、暗号鍵
ＩＤ−ＳＣモード３１の個数を暗号鍵ＩＤ−ＳＣモード
設定個数２９に設定した暗号鍵情報ブロック２７を作成
し、それをローカルポート暗号鍵情報２４に設定する。
２５はパブリックポート暗号鍵情報で、ローカル暗号鍵
情報２４と同様に、１個又は複数個の暗号鍵情報ブロッ
ク２７から構成される。鍵探索パケットをパブリックポ
ート５から受信した暗号装置１は、自身のアドレスを暗
号装置アドレス２８に、自身の持つ暗号鍵のＩＤとサー
バクライアントモードを暗号鍵ＩＤ−ＳＣモード情報３
０に、暗号鍵ＩＤ−ＳＣモード３１の個数を暗号鍵ＩＤ
−ＳＣモード設定個数２９に設定した暗号鍵情報ブロッ
ク２７を作成し、それをパブリックポート暗号鍵情報２
５に設定する。

【００３５】尚、ローカルポート暗号鍵情報２４、パブ
リックポート暗号鍵情報２５へは、鍵探索パケットを受
信した暗号装置の順に、前へつめて暗号鍵情報ブロック
２７が設定される。２６は鍵探索パケットおよび鍵探索
応答パケットのデ−タ部で、送信元端末アドレス２２、
宛先端末アドレス２３、ローカルポート暗号鍵情報２４
およびパブリックポート暗号鍵情報２５から構成され
る。

【００３６】図３は端末Ａ、Ｂ，Ｃ，Ｄを収容するネッ
トワークの構成例を示すもので、暗号装置１１はＩＤが
１の、暗号装置１２はＩＤが３の、暗号装置１３はＩＤ
が１と２の、暗号装置１４はＩＤが３の、暗号装置１５
はＩＤが２の、暗号装置１６はＩＤが２の暗号鍵を保有
しており、暗号復号時にはそれぞれのＩＤに対応した暗
号鍵を使用する。即ち、各暗号装置に割り当てる暗号鍵
は、あらかじめ配送して登録されており、各暗号装置
は、自身の持つ暗号鍵の暗号鍵ＩＤを内部に一つまたは
複数個保持する。さらに、暗号装置１１はＩＤ１に対し
てサーバクライアントモードがクライアントの設定、暗
号装置１２はＩＤ３に対してサーバクライアントモード
がサーバの設定、暗号装置１３はＩＤ１に対してサーバ
クライアントモードがサーバ、ＩＤ２に対してサーバク
ライアントモードがクライアントの設定、暗号装置１４
はＩＤ３に対してサーバクライアントモードがクライア
ントの設定、暗号装置１５はＩＤ２に対してサーバクラ
イアントモードがクライアントの設定、暗号装置１６は
ＩＤ２に対してサーバクライアントモードがサーバの設
定を保持している。

【００３７】図中の暗号鍵の末尾の−Ｓはサーバ、−Ｃ
はクライアントを示す。なお、各暗号装置はサーバとク
ライアントまたはクライアントとサーバ間は通信を許可
し、サーバ相互またはクライアント相互は通信を許可し
ない。即ち、サーバクライアントモードが不一致なら通
信を許可し、一致したら通信を許可しない。また初期の
時点では各装置内の暗号鍵テーブル８には、鍵情報がな
にも登録されていないものとする。なお、図３中のＬポ
ートは、ローカルポート、Ｐポートはパブリックポート
を示す。また、図３の暗号装置１１のパブリックポート
５、暗号装置１２のパブリックポート５、暗号装置１４
のパブリックポート５と暗号装置１６のパブリックポー
ト５が接続されている。他は、ローカルポート７に対し
パブリックポート５が接続されている。

【００３８】図４は、図３における端末Ａから端末Ｂへ
の通信が実施される際に、暗号鍵テーブルを学習するた
めに実施される鍵探索パケットのシーケンスを示したも
のである。５１〜５３は、暗号装置１１から送信される
鍵探索パケット、５５は、端末Ｂから送信される鍵探索
応答パケット、６１は、端末Ａから送信された平文の通
信データ、６２は通信データ６１のデータ部を暗号化し
た通信データである。８１は暗号装置１１の暗号鍵テー
ブルで、通信端末Ａ−端末Ｂは処理方法が暗号／復号で
暗号鍵ＩＤが１であることを示す。８２は暗号装置１２
の暗号鍵テーブルで、通信端末Ａ−端末Ｂは処理方法が
透過であることを示す。８３は暗号装置１３の暗号鍵テ
ーブルで、通信端末Ａ−端末Ｂは処理方法が暗号／復号
で暗号鍵ＩＤが１であることを示す。図５は暗号装置が
鍵探索応答パケットを受信したときの処理フローチャー
トである。

【００３９】次に端末Ａから端末Ｂへ通信する際の、暗
号鍵テーブルの学習処理について示す。暗号鍵テーブル
８１〜８３に処理方法が何も登録されていないものとす
る。図４において、端末Ａが通信データ６１を送信する
と、通信データ６１を受信した暗号装置１１は、自身の
暗号鍵テーブル８１に端末Ａ−端末Ｂ間のデータの処理
方法が登録されているか調べ登録されていないので、鍵
探索パケットのローカルポート暗号鍵情報２４に自身の
暗号鍵のＩＤとサーバクライアントモード１−Ｃを設定
した鍵探索パケット５１を送信する。ただし、鍵探索パ
ケット５１のヘッダ２１にはパケット種別に鍵探索パケ
ットを、鍵探索パケットの送信元に暗号装置１１のアド
レスを、宛先に端末Ｂのアドレスを設定し、暗号装置１
２経由端末Ｂに送信する。

【００４０】探索パケット５１をパブリックポートから
受信した暗号装置１２は、鍵探索パケット５１のパブリ
ックポート暗号鍵情報２５に自身の持つ暗号鍵のＩＤと
サーバクライアントモード３−Ｓを追加した鍵探索パケ
ット５２を送信する。暗号装置１３は、パブリックポー
トから受信した鍵探索パケット５２のパブリックポート
暗号鍵情報２５に自身の持つ暗号鍵のＩＤとサーバクラ
イアントモード１−Ｓと２−Ｃを追加した鍵探索パケッ
ト５３を送信する。

【００４１】次に、暗号装置１３から自端末宛の鍵探索
パケット５３を受信した端末Ｂは、鍵探索パケット５３
のデータ部２６を鍵探索応答パケット５５のデータ部２
６にコピーする。そして、図６に示す鍵探索応答パケッ
ト５５を暗号装置１３経由暗号装置１１宛てに送信す
る。ただし、鍵探索応答パケット５５のヘッダ２１には
パケット種別に鍵探索応答パケットを、送信元に端末Ｂ
のアドレス、宛先に暗号装置１１のアドレスを設定し送
信する。

【００４２】暗号装置１３は、ローカルポート７から鍵
探索応答パケット５５を受信すると（図５のステップＳ
１）、自分自身の暗号鍵のＩＤである１と同じ暗号鍵Ｉ
Ｄが鍵探索応答パケット５５のローカルポート暗号鍵情
報２４に設定されているかどうか検索する（ステップＳ
２）。本例の場合、暗号装置１３の設定したＩＤである
１が鍵探索応答パケット５５のローカルポート暗号鍵情
報２４に設定されているので、設定されていたＩＤ１の
サーバクライアントモードが自分自身の暗号鍵のＩＤに
対応したサーバクライアントモードと一致するか調べ
（ステップＳ１７）、調べた結果は不一致で通信が許可
され、暗号装置１３は、図４の暗号鍵テーブル８３に端
末Ａ−端末Ｂ間の通信データをＩＤが１の暗号鍵で暗号
／復号することを登録し（ステップＳ３）、通信データ
バッファに送信すべき送信データ６１がなく（ステップ
Ｓ４）、鍵探索応答パケット５５のヘッダ２１の宛先ア
ドレスが自暗号装置１３ではないので（ステップＳ
６）、受信した鍵探索応答パケット５５を暗号装置１２
に中継する。（ステップＳ８）。

【００４３】以下、同様に図５のフローチャートに従う
と暗号装置１２は、ローカルポート７から鍵探索応答パ
ケット５５を受信すると、鍵探索応答パケット５５のロ
ーカルポート暗号鍵情報２４に設定されている暗号鍵の
ＩＤを検索し、暗号装置１２が保持する暗号鍵ＩＤがな
いので、ローカルポート暗号鍵情報２４とパブリックポ
ート暗号鍵情報２５に一致する鍵ＩＤがあるか調べ、暗
号鍵ＩＤ１が一致するので、自身の暗号鍵テーブル８２
に、端末Ａ−端末Ｂ間の通信データを透過することを登
録し、鍵探索応答パケット５５を暗号装置１１に中継す
る。

【００４４】暗号装置１１は、パブリックポート５から
鍵探索応答パケット５５を受信すると、自分自身の暗号
鍵のＩＤである１と同じ暗号鍵ＩＤが鍵探索応答パケッ
ト５５のパブリックポート暗号鍵情報２５に設定されて
いる暗号鍵のＩＤを検索し、ＩＤが１で一致しサーバク
ライアントモードが不一致で通信が許可され、自身の暗
号鍵テーブル８１に、端末Ａ−端末Ｂ間の通信データ
を、ＩＤが１の暗号鍵で暗号／復号することを登録す
る。

【００４５】続いて、暗号装置１１は、通信データバッ
ファ（図示せず）に格納しておいたローカルポート７か
らの通信データ６１を暗号鍵テーブル８１の内容に従
い、暗号／復号処理部２で、暗号鍵１を用いて暗号化
し、その暗号化した通信データ６２をパブリックポート
５から暗号装置１２、暗号装置１３経由端末Ｂ宛てに送
信する。また、鍵探索応答パケット５５のヘッダ２１内
の宛先アドレスは、暗号装置１１であるので、鍵探索応
答パケット５５を廃棄する。

【００４６】暗号装置１１で暗号化された通信データ６
２を、パブリックポート５から受信した暗号装置１２は
暗号鍵テーブル８２の内容に従い、透過中継し、暗号装
置１３では暗号鍵テーブル８３の内容に従い、パブリッ
クポート５から受信した通信データを暗号鍵１により復
号し、ローカルポート７経由端末Ｂへ達する。

【００４７】端末Ｂから端末Ａへの通信データ６３は、
暗号装置１３で暗号鍵テーブル８３の内容に従い、ロー
カルポート７からの通信データ６３を暗号鍵１により暗
号化され、暗号装置１２で暗号鍵テーブル８２の内容に
従い、ローカルポート７からの通信データ６３を透過中
継し、暗号装置１１では暗号鍵テーブル８１の内容に従
い、パブリックポート５からの通信データ６３を暗号鍵
１により復号されてローカルポート７経由端末Ａへ達す
る。

【００４８】図７は、図３における端末Ｂから端末Ｃへ
の通信が実施される際に、暗号鍵テーブルを学習するた
めに実施される鍵探索パケットのシーケンスを示したも
のである。６１は、端末Ｂから送信された平文の通信デ
ータ、５１〜５４は、暗号装置１３から送信される鍵探
索パケット、５５は、端末Ｃから送信される鍵探索応答
パケットである。８２は暗号装置１２の暗号鍵テーブル
で、通信端末Ｂ−端末Ｃは処理方法が暗号／復号で暗号
鍵のＩＤが３であることを示す。８３は暗号装置１３の
暗号鍵テーブルで、通信端末Ｂ−端末Ｃは処理方法が廃
棄であることを示す。８４は暗号装置１４の暗号鍵テー
ブルで、通信端末Ｂ−端末Ｃは処理方法が暗号／復号で
暗号鍵のＩＤが３であることを示す。８５は暗号装置１
５の暗号鍵テーブルで、通信端末Ｂ−端末Ｃは処理方法
が廃棄であることを示す。

【００４９】次に端末Ｂから端末Ｃへ通信する際の、暗
号鍵テーブルの学習処理について示す。暗号鍵テーブル
８２〜８５に処理方法が何も登録されていないものとす
る。

【００５０】端末Ｂが通信データ６１を送信すると、通
信データ６１を受信した暗号装置１３は、自身の暗号鍵
テーブル８３に端末Ｂ−端末Ｃ間のデータの処理方法が
登録されているか調べ登録されていないので、鍵探索パ
ケットのローカルポート暗号鍵情報２４に自身の暗号鍵
のＩＤとサーバクライアントモード１−Ｓと２−Ｃを設
定した鍵探索パケット５１を送信する。ただし、鍵探索
パケット５１のヘッダ２１にはパケット種別に鍵探索パ
ケットを、鍵探索パケットの送信元に暗号装置１３のア
ドレスを、宛先に端末Ｃのアドレスを設定し、暗号装置
１２経由端末Ｃに送信する。

【００５１】探索パケット５１をローカルポートから受
信した暗号装置１２は、鍵探索パケット５１のローカル
ポート暗号鍵情報２４に自身の持つ暗号鍵のＩＤとサー
バクライアントモード３−Ｓを追加した鍵探索パケット
５２を送信する。暗号装置１４は、パブリックポートか
ら受信した鍵探索パケット５２のパブリックポート暗号
鍵情報２５に自身の持つ暗号鍵のＩＤとサーバクライア
ントモード３−Ｃを追加した鍵探索パケット５３を送信
する。暗号装置１５は、パブリックポートから受信した
鍵探索パケット５３のパブリックポート暗号鍵情報２５
に自身の持つ暗号鍵のＩＤとサーバクライアントモード
２−Ｃを追加した鍵探索パケット５４を送信する。

【００５２】次に、暗号装置１５から自端末宛の鍵探索
パケット５４を受信した端末Ｃは、鍵探索パケット５４
のデータ部２６を鍵探索応答パケット５５のデータ部２
６にコピーする。そして、図８に示す鍵探索応答パケッ
ト５５を暗号装置１５経由暗号装置１３宛てに送信す
る。ただし、鍵探索応答パケット５５のヘッダ２１には
パケット種別に鍵探索応答パケットを、送信元に端末Ｃ
のアドレス、宛先に暗号装置１３のアドレスを設定し送
信する。

【００５３】暗号装置１５は、ローカルポート７から鍵
探索応答パケット５５を受信すると（図５のステップＳ
１）、自分自身の暗号鍵のＩＤである１と３と同じ暗号
鍵ＩＤが鍵探索応答パケット５５のローカルポート暗号
鍵情報２４に設定されているかどうか検索する（ステッ
プＳ２）。本例の場合、暗号装置１５の設定したＩＤで
ある２が鍵探索応答パケット５５のローカルポート暗号
鍵情報２４に設定されているので、設定されていたＩＤ
２のサーバクライアントモードが自分自身の暗号鍵のＩ
Ｄに対応したサーバクライアントモードと一致するか調
べ（ステップＳ１７）、調べた結果は共にクライアント
モードで一致するので通信が許可されず暗号装置１５
は、図７の暗号鍵テーブル８５に端末Ｂ−端末Ｃ間の通
信データを廃棄することを登録し（ステップＳ１８）、
通信データバッファに送信すべき送信データ６１がなく
（ステップＳ４）、鍵探索応答パケット５５のヘッダ２
１の宛先アドレスが自暗号装置１５ではないので（ステ
ップＳ６）、受信した鍵探索応答パケット５５を暗号装
置１４に中継する。（ステップＳ８）。

【００５４】以下、同様に図５のフローチャートに従う
と暗号装置１４は、ローカルポート７から鍵探索応答パ
ケット５５を受信すると、鍵探索応答パケット５５のロ
ーカルポート暗号鍵情報２４に設定されている暗号鍵の
ＩＤを検索し、ＩＤが３で一致しサーバクライアントモ
ードが不一致なので通信が許可され、自身の暗号鍵テー
ブル８４に、端末Ｂ−端末Ｃ間の通信データを、ＩＤが
３の暗号鍵で暗号／復号することを登録し、鍵探索応答
パケット５５を暗号装置１２に中継する。

【００５５】また、暗号装置１２は、パブリックポート
５から鍵探索応答パケット５５を受信すると、自分自身
の暗号鍵のＩＤである３と同じ暗号鍵ＩＤが鍵探索応答
パケット５５のパブリックポート暗号鍵情報２５に設定
されているかどうか探索し、ＩＤが３で一致しサーバク
ライアントモードが不一致なので通信が許可され、自身
の暗号鍵テーブル８２に、端末Ｂ−端末Ｃ間の通信デー
タを、ＩＤが３の暗号鍵で暗号／復号することを登録
し、暗号装置１３に中継する。暗号装置１３は、パブリ
ックポート５から鍵探索応答パケット５５を受信する
と、自分自身の暗号鍵のＩＤである１、２と同じ暗号鍵
ＩＤが鍵探索応答パケット５５のパブリックポート暗号
鍵情報２５に設定されている暗号鍵のＩＤを検索し、Ｉ
Ｄが２で一致しサーバクライアントモードが一致するの
で通信は許可されず暗号装置１３は、図７の暗号鍵テー
ブル８３に端末Ｂ−端末Ｃ間の通信データを廃棄するこ
とを登録する。

【００５６】続いて、暗号装置１３は、通信データバッ
ファ（図示せず）に格納しておいたローカルポート７か
らの通信データ６１を暗号鍵テーブル８３の内容に従
い、暗号／復号処理部２で廃棄する。また、鍵探索応答
パケット５５のヘッダ２１内の宛先アドレスは、暗号装
置１３であるので、鍵探索応答パケット５５を廃棄す
る。

【００５７】端末Ｃから端末Ｂ宛てのデータについて
は、暗号装置１５はローカルポート７から受信した通信
データを暗号鍵テーブル８５の内容に従い、暗号／復号
処理部２で廃棄する。

【００５８】端末Ｂと端末Ｄ間の通信は、図３におい
て、暗号装置１３と暗号装置１６において暗号鍵ＩＤ２
に対応したサーバクライアントモードが、サーバとクラ
イアントの設定で不一致なので通信が許可され、端末Ａ
と端末Ｂ間の通信と同様に通信が可能である。

【００５９】端末Ｃと端末Ｄ間の通信は、暗号装置１５
と暗号装置１６において暗号鍵ＩＤ２に対応したサーバ
クライアントモードが、サーバとクライアントの設定で
不一致なので通信が許可され、端末Ａと端末Ｂ間の通信
と同様に通信が可能である。

【００６０】端末Ａから端末Ｂを経由して端末Ｃへアク
セスする際の処理方法について説明する。端末Ａから端
末Ｂへのアクセスは、図４で示したように、前記の各暗
号装置の暗号鍵テーブルの学習処理により、端末Ａから
端末Ｂへの通信データは、暗号装置１１で暗号鍵テーブ
ル８１の内容に従い、ローカルポート７からの通信デー
タを暗号鍵１により暗号化され、暗号装置１２で暗号鍵
テーブル８２の内容に従い、ローカルポート７からの通
信データ６３を透過中継し、暗号装置１３では暗号鍵テ
ーブル８３の内容に従い、パブリックポート５からの通
信データを暗号鍵１により復号されてローカルポート７
経由端末Ｂへ達する。端末Ａから端末Ｂにアクセス後、
さらに端末Ｂを経由して端末Ｃのアクセスは、図７で示
したように、前記の各暗号装置の暗号鍵テーブルの学習
処理により、暗号装置１３で暗号鍵テーブル８３の内容
に従い、端末Ｂから端末Ｃへの通信データは、暗号装置
１３で廃棄される。従って、端末Ａから端末Ｂを経由し
て端末Ｃへアクセスすることは、禁止される。

【００６１】実施の形態２．本実施の形態は暗号装置が
通信相手の暗号鍵を登録していない場合、暗号装置が通
信に先立ち暗号鍵を各中継暗号装置が学習し、同一暗号
鍵と同一のアプリケーションの識別子を持つ暗号装置間
でデータ通信を許可するものである。図１は、この発明
を構成する暗号装置の一例であり実施の形態１と同じで
説明を省く。

【００６２】図９は、鍵探索パケットおよび鍵探索応答
パケットのフォーマットである。鍵探索パケットと鍵探
索応答パケットは、ＥＣＨＯパケット、つまり、要求パ
ケットを受信した通信端末が、データ部をコピーした応
答パケットを、要求パケットの送信元の通信端末へ返す
特徴を持つものであり、 例えばＴＣＰ／ＩＰプロトコ
ルにおけるＩＣＭＰ ＥＣＨＯを適用し、ＩＣＭＰ ＥＣ
ＨＯ ＲＥＱＵＥＳＴを鍵探索パケット、ＩＣＭＰ ＥＣ
ＨＯ ＲＥＰＬＹを鍵探索応答パケットとすることが考
えられる。図９において、２１はヘッダで、パケット種
別、パケットの宛先アドレス、送信元アドレス、などを
含む。２２は暗号装置１が受信した通信データの送信元
端末アドレス、２３は暗号装置１が受信した通信データ
の宛先端末アドレスである。

【００６３】２７は暗号鍵情報ブロックで、１暗号装置
分の情報が格納され、暗号装置アドレス２８、暗号鍵Ｉ
Ｄ設定個数３４、暗号鍵ＩＤ情報３５から構成され、暗
号鍵ＩＤ情報３５は暗号鍵ＩＤ３２から構成される。２
４はローカルポート暗号鍵情報で、１個又は複数個の暗
号鍵情報ブロック２７から構成される。鍵探索パケット
をローカルポート７から受信した暗号装置１は、自身の
アドレスを暗号装置アドレス２８に、自身の持つ暗号鍵
のＩＤを暗号鍵ＩＤ情報３５に、暗号鍵ＩＤの個数を暗
号鍵ＩＤ設定個数３４に設定した暗号鍵情報ブロック２
７を作成し、それをローカルポート暗号鍵情報２４に設
定する。

【００６４】２５はパブリックポート暗号鍵情報で、ロ
ーカル暗号鍵情報２４と同様に、１個又は複数個の暗号
鍵情報ブロック２７から構成される。鍵探索パケットを
パブリックポート５から受信した暗号装置１は、自身の
アドレスを暗号装置アドレス２８に、自身の持つ暗号鍵
のＩＤを暗号鍵ＩＤ情報３５に、暗号鍵ＩＤの個数を暗
号鍵ＩＤ設定個数３４に設定した暗号鍵情報ブロック２
７を作成し、それをパブリックポート暗号鍵情報２５に
設定する。尚、ローカルポート暗号鍵情報２４、パブリ
ックポート暗号鍵情報２５へは、鍵探索パケットを受信
した暗号装置の順に、前へつめて暗号鍵情報ブロック２
７が設定される。２６は鍵探索パケットおよび鍵探索応
答パケットのデ−タ部で、送信元端末アドレス２２、宛
先端末アドレス２３、ローカルポート暗号鍵情報２４お
よびパブリックポート暗号鍵情報２５から構成される。

【００６５】図１０は端末Ａ、Ｂ，Ｃを収容するネット
ワークの構成例を示すもので、暗号装置１１はＩＤが１
の、暗号装置１２はＩＤが３の、暗号装置１３はＩＤが
１と２の、暗号装置１４はＩＤが３の、暗号装置１５は
ＩＤが２の暗号鍵を保有しており、暗号復号時にはそれ
ぞれのＩＤに対応した暗号鍵を使用する。即ち、各暗号
装置に割り当てる暗号鍵は、あらかじめ配送して登録さ
れており、各暗号装置は、自身の持つ暗号鍵の暗号鍵Ｉ
Ｄを内部に一つまたは複数個保持する。さらに、暗号装
置１１はＩＤ１に対してアプリケーション種別が１０と
２０の設定、暗号装置１２はＩＤ３に対してアプリケー
ション種別が１０と２０と３０の設定、暗号装置１３は
ＩＤ１に対してアプリケーション種別が１０と２０、Ｉ
Ｄ２に対してアプリケーション種別が３０、暗号装置１
４はＩＤ３に対してアプリケーション種別が１０と２０
と３０の設定、暗号装置１５はＩＤ２に対してアプリケ
ーション種別が３０の設定を保持している。また初期の
時点では各装置内の暗号鍵テーブル８には、鍵情報がな
にも登録されていないものとする。

【００６６】なお、図中のＬポートは、ローカルポー
ト、Ｐポートはパブリックポートを示す。また、図１０
の暗号装置１１のパブリックポート５、暗号装置１２の
パブリックポート５と暗号装置１４のパブリックポート
５が接続されている。他は、ローカルポート７に対しパ
ブリックポート５が接続されている。図１１は、図１０
における暗号装置１１〜１５が保有している暗号鍵ＩＤ
とアプリケーション種別の組み合わせを図示した表であ
る。

【００６７】図１２は、端末間で通信している通信デー
タのフレームフォーマットである。図において１４１は
ヘッダ、１４２はデータ部、１４３は宛先アドレス、１
４４は送信元アドレス、１４５はアプリケーション種別
である。アプリケーション種別は例えばＴＣＰ／ＩＰプ
ロトコルでは、ＴＣＰであればポート番号、ＵＤＰであ
ればポート番号に相当し、アプリケーションを識別する
ものである。次に、暗号装置が通信データを受信したと
きの動作を説明する。暗号装置は暗号鍵テーブルに端末
ペアに対する処理方法が登録されている場合、通信デー
タを受信したとき図１５に示す通信データ処理を行う。
また、端末ペアに対する処理方法が登録されていない場
合、通信データを受信した暗号装置はその通信データを
一時格納しておき、鍵探索パケットを送出し、その鍵探
索パケットに対する鍵探索応答パケットを得て、暗号鍵
テーブルに端末ペアに対する処理方法を図１４に従い登
録した後、図１４に示すステップＳ５において、図１５
の通信データ処理が一時格納しておいた通信データを登
録した処理方法に従って処理する。なお、図１４は鍵探
索応答パケットの受信処理で、図１５は通信データ処理
であり、これらの動作を順次以下に説明する。

【００６８】次に端末Ａから端末Ｂへアプリケーション
種別が２０である通信データが通信する際の、暗号鍵テ
ーブルの学習処理について示す。図１３は、図１０にお
ける端末Ａから端末Ｂへの通信が実施される際に、暗号
鍵テーブルを学習するために実施される鍵探索パケット
のシーケンスを示したものである。図１３において、６
１は、端末Ａから送信された平文の通信データ、５１〜
５３は、暗号装置１１から送信される鍵探索パケット、
５５は、端末Ｂから送信される鍵探索応答パケット、６
２は、暗号化された端末Ａ−端末Ｂ間の通信データ、６
３は端末Ｂから端末Ａへの通信データである。８１は暗
号装置１１の暗号鍵テーブルで、通信端末Ａ−端末Ｂは
処理方法が暗号／復号で暗号鍵のＩＤが１であることを
示す。８２は暗号装置１２の暗号鍵テーブルで、通信端
末Ａ−端末Ｂは処理方法が暗号／復号で透過中継である
ことを示す。８３は暗号装置１３の暗号鍵テーブルで、
通信端末Ａ−端末Ｂは処理方法が暗号／復号で暗号鍵の
ＩＤが１であることを示す。

【００６９】端末Ａが通信データ６１を送信すると、通
信データ６１を受信した暗号装置１１は、自身の暗号鍵
テーブル８１に端末Ａ−端末Ｂ間のデータの処理方法が
登録されているか調べ登録されていないので、鍵探索パ
ケットのローカルポート暗号鍵情報２４に自身の暗号鍵
のＩＤ１を設定した鍵探索パケット５１を送信する。た
だし、鍵探索パケット５１のヘッダ２１にはパケット種
別に鍵探索パケットを、鍵探索パケットの送信元に暗号
装置１１のアドレスを、宛先に端末Ｂのアドレスを設定
し、暗号装置１２経由端末Ｂに送信する。

【００７０】探索パケット５１をパブリックポートから
受信した暗号装置１２は、鍵探索パケット５１のパブリ
ックポート暗号鍵情報２５に自身の持つ暗号鍵のＩＤ３
を追加した鍵探索パケット５２を送信する。暗号装置１
３は、パブリックポートから受信した鍵探索パケット５
２のパブリックポート暗号鍵情報２５に自身の持つ暗号
鍵のＩＤ１と２を追加した鍵探索パケット５３を送信す
る。

【００７１】次に、暗号装置１３から自端末宛の鍵探索
パケット５３を受信した端末Ｂは、鍵探索パケット５３
のデータ部２６を鍵探索応答パケット５５のデータ部２
６にコピーする。そして、図１６に示す鍵探索応答パケ
ット５５を暗号装置１３経由暗号装置１１宛てに送信す
る。ただし、鍵探索応答パケット５５のヘッダ２１には
パケット種別に鍵探索応答パケットを、送信元に端末Ｂ
のアドレス、宛先に暗号装置１１のアドレスを設定し送
信する。

【００７２】暗号装置１３は、ローカルポート７から鍵
探索応答パケット５５を受信すると（図１４のステップ
Ｓ１）、自分自身の暗号鍵のＩＤである１または２と同
じ暗号鍵ＩＤが鍵探索応答パケット５５のローカルポー
ト暗号鍵情報２４に設定されているかどうか検索する
（ステップＳ２）。本例の場合、暗号装置１１の設定し
たＩＤである１が鍵探索応答パケット５５のローカルポ
ート暗号鍵情報２４に設定されているので、暗号装置１
３は、図１３の暗号鍵テーブル８３に端末Ａ−端末Ｂ間
の通信データ６１をＩＤが１の暗号鍵で暗号／復号する
ことを登録し（ステップＳ３）、通信データバッファに
送信すべき送信データ６１がなく（ステップＳ４）、鍵
探索応答パケット５５のヘッダ２１の宛先アドレスが自
暗号装置１３ではないので（ステップＳ６）、受信した
鍵探索応答パケット５５を暗号装置１２に中継する。
（ステップＳ８）。

【００７３】以下、同様に図１４のフローチャートに従
うと暗号装置１２は、ローカルポート７から鍵探索応答
パケット５５を受信すると、鍵探索応答パケット５５の
ローカルポート暗号鍵情報２４に設定されている暗号鍵
のＩＤを検索し（ステップＳ２）、暗号装置１２が保有
する鍵ＩＤ３と一致する鍵ＩＤがないので、ローカルポ
ート暗号鍵情報２４とパブリックポート暗号鍵情報２５
に一致する鍵ＩＤが存在するか探し（ステップＳ１
３）、鍵ＩＤ１が存在するので自身の暗号鍵テーブル８
２に、端末Ａ−端末Ｂ間の通信データを、透過中継する
ことを登録し、鍵探索応答パケット５５を暗号装置１１
に中継する。

【００７４】暗号装置１１は、パブリックポート５から
鍵探索応答パケット５５を受信すると、自分自身の暗号
鍵のＩＤである１と同じ暗号鍵ＩＤが鍵探索応答パケッ
ト５５のパブリックポート暗号鍵情報２５に設定されて
いる暗号鍵のＩＤを検索し、ＩＤ１の鍵が同一なので、
自身の暗号鍵テーブル８１に、端末Ａ−端末Ｂ間の通信
データを、ＩＤが１の暗号鍵で暗号／復号することを登
録する。

【００７５】続いて、暗号装置１１は、通信データバッ
ファ（図示せず）に格納しておいたローカルポート７か
らの通信データ６１があるので、図１４のステップ５に
おいて、図１５の通信データ処理が登録された処理方法
で、通信データを処理する。例えば、暗号装置１１は図
１４のステップ５即ち、図１５において、暗号鍵ＩＤが
暗号鍵テーブル８１に設定されているか調べる（ステッ
プＳ３１）。既に学習が終了しているので端末Ａから端
末Ｂへの通信データのアプリケーション種別１４５が、
暗号鍵ＩＤと対をなすアプリケーションと一致している
か調べる（ステップＳ３５）。本例ではアプリケーショ
ン種別が２０であるので一致していて、ローカルポート
から通信データを受信したか調べる（ステップＳ３
６）。端末Ａから送られローカルポートから受信した通
信データなのでＩＤが１の暗号鍵で暗号化し（ステップ
Ｓ３７）、パブリックポートから暗号化した通信データ
を送信する（ステップＳ３８）。また、鍵探索応答パケ
ット５５のヘッダ２１内の宛先アドレスは暗号装置１１
であるので、鍵探索応答パケット５５は廃棄される。

【００７６】図１３において、暗号装置１１のパブリッ
クポートから送信された通信データは、暗号装置１２、
暗号装置１３を経て端末Ｂへ届く。この処理では各暗号
装置は図１５に示したフローチャートに従い暗号鍵テー
ブルに登録された処理方法で通信データを処理する。本
例では通信データのアプリケーション種別が２０であ
り、暗号装置１２では透過中継し、暗号装置１３ではＩ
Ｄが１の暗号鍵と対を成すアプリケーション種別の２０
と一致するので、暗号装置１３では通信データを復号す
る。

【００７７】さらに暗号鍵テーブル８１〜８３に処理方
法が登録されている状態で端末Ｂから端末Ａへアプリケ
ーション種別が２０である通信データが通信する際の処
理について示す。端末Ｂから送信されたデータは、暗号
装置１３、暗号装置１２、暗号装置１１を経て端末Ａへ
届く。この処理では各暗号装置は図１５に示したフロー
チャートに従い暗号鍵テーブルに登録された処理方法で
通信データを処理する。本例では通信データのアプリケ
ーション種別が２０であり、暗号装置１３ではＩＤが１
の暗号鍵と対を成すアプリケーション種別の２０と一致
し、暗号装置１２では透過中継し、暗号装置１１ではＩ
Ｄが１の暗号鍵と対を成すアプリケーション種別の２０
と一致するので、暗号装置１３では通信データを暗号化
し、暗号装置１２では通信データを透過中継し、暗号装
置１１では通信データを復号する。

【００７８】次に端末Ｂから端末Ｃへアプリケーション
種別が３０である通信データが通信する際の、暗号鍵テ
ーブルの学習処理について示す。図１７は、図１０にお
ける端末Ｂから端末Ｃへの通信が実施される際に、暗号
鍵テーブルを学習するために実施される鍵探索パケット
のシーケンスを示したものである。図１７において、６
１は、端末Ｂから送信された平文の通信データ、５１〜
５４は、暗号装置１３から送信される鍵探索パケット、
５５は、端末Ｃから送信される鍵探索応答パケット、６
２は、暗号化された端末Ｂ−端末Ｃ間の通信データ、６
３は端末Ｃから端末Ｂへの通信データである。８２は暗
号装置１２の暗号鍵テーブルで、通信端末Ｂ−端末Ｃは
処理方法が暗号／復号で暗号鍵のＩＤが３であることを
示す。８３は暗号装置１３の暗号鍵テーブルで、通信端
末Ｂ−端末Ｃは処理方法が暗号／復号で暗号鍵のＩＤが
２であることを示す。８４は暗号装置１４の暗号鍵テー
ブルで、通信端末Ｂ−端末Ｃは処理方法が暗号／復号で
暗号鍵のＩＤが３であることを示す。８５は暗号装置１
５の暗号鍵テーブルで、通信端末Ｂ−端末Ｃは処理方法
が暗号／復号で暗号鍵のＩＤが２であることを示す。図
１４は暗号装置が鍵探索応答パケットを受信したときの
処理フローチャートである。

【００７９】次に端末Ｂから端末Ｃへ通信する際の、暗
号鍵テーブルの学習処理について示す。暗号鍵テーブル
８２〜８５に処理方法が何も登録されていないものとす
る。端末Ｂが通信データ６１を送信すると、通信データ
６１を受信した暗号装置１３は、自身の暗号鍵テーブル
８３に端末Ｂ−端末Ｃ間のデータの処理方法が登録され
ているか調べ登録されていないので、鍵探索パケットの
ローカルポート暗号鍵情報２４に自身の暗号鍵のＩＤ
１、２を設定した鍵探索パケット５１を送信する。ただ
し、鍵探索パケット５１のヘッダ２１にはパケット種別
に鍵探索パケットを、鍵探索パケットの送信元に暗号装
置１３のアドレスを、宛先に端末Ｃのアドレスを設定
し、暗号装置１２経由端末Ｃに送信する。

【００８０】探索パケット５１をローカルポートから受
信した暗号装置１２は、鍵探索パケット５１のローカル
ポート暗号鍵情報２４に自身の持つ暗号鍵のＩＤ３を追
加した鍵探索パケット５２を送信する。暗号装置１４
は、パブリックポートから受信した鍵探索パケット５２
のパブリックポート暗号鍵情報２５に自身の持つ暗号鍵
のＩＤ３を追加した鍵探索パケット５３を送信する。暗
号装置１５は、パブリックポートから受信した鍵探索パ
ケット５３のパブリックポート暗号鍵情報２５に自身の
持つ暗号鍵のＩＤ２を追加した鍵探索パケット５４を送
信する。

【００８１】次に、暗号装置１５から自端末宛の鍵探索
パケット５４を受信した端末Ｃは、鍵探索パケット５４
のデータ部２６を鍵探索応答パケット５５のデータ部２
６にコピーする。そして、図１８に示す鍵探索応答パケ
ット５５を暗号装置１５経由暗号装置１３宛てに送信す
る。ただし、鍵探索応答パケット５５のヘッダ２１には
パケット種別に鍵探索応答パケットを、送信元に端末Ｃ
のアドレス、宛先に暗号装置１３のアドレスを設定し送
信する。

【００８２】暗号装置１５は、ローカルポート７から鍵
探索応答パケット５５を受信すると（図１４のステップ
Ｓ１）、自分自身の暗号鍵のＩＤである１と同じ暗号鍵
ＩＤが鍵探索応答パケット５５のローカルポート暗号鍵
情報２４に設定されているかどうか検索する（ステップ
Ｓ２）。本例の場合、暗号装置１３の設定したＩＤであ
る２が鍵探索応答パケット５５のローカルポート暗号鍵
情報２４に設定されているので、暗号装置１５は、図１
７の暗号鍵テーブル８５に端末Ｂ−端末Ｃ間の通信デー
タ６１をＩＤが２の暗号鍵で暗号／復号することを登録
し（ステップＳ３）、通信データバッファに送信すべき
送信データ６１がなく（ステップＳ４）、鍵探索応答パ
ケット５５のヘッダ２１の宛先アドレスが自暗号装置１
５ではないので（ステップＳ６）、受信した鍵探索応答
パケット５５を暗号装置１４に中継する。（ステップＳ
８）。

【００８３】以下、同様に図１４のフローチャートに従
うと暗号装置１４は、ローカルポート７から鍵探索応答
パケット５５を受信すると、鍵探索応答パケット５５の
ローカルポート暗号鍵情報２４に設定されている暗号鍵
のＩＤを検索し、ＩＤが３の鍵を得て自身の暗号鍵テー
ブル８４に、端末Ｂ−端末Ｃ間の通信データを、ＩＤが
３の暗号鍵で暗号／復号することを登録し、鍵探索応答
パケット５５を暗号装置１２に中継する。

【００８４】また、暗号装置１２は、パブリックポート
５から鍵探索応答パケット５５を受信すると、自分自身
の暗号鍵のＩＤである３と同じ暗号鍵ＩＤが鍵探索応答
パケット５５のパブリックポート暗号鍵情報２５に設定
されているかどうか探索し、ＩＤ３の鍵が同一なので、
自身の暗号鍵テーブル８２に、端末Ｂ−端末Ｃ間の通信
データを、ＩＤが３の暗号鍵で暗号／復号することを登
録し、暗号装置１３に中継する。暗号装置１３は、パブ
リックポート５から鍵探索応答パケット５５を受信する
と、自分自身の暗号鍵のＩＤである１または２と同じ暗
号鍵ＩＤが鍵探索応答パケット５５のパブリックポート
暗号鍵情報２５に設定されている暗号鍵のＩＤを検索
し、ＩＤ２の鍵が同一なので、自身の暗号鍵テーブル８
３に、端末Ｂ−端末Ｃ間の通信データを、ＩＤが２の暗
号鍵で暗号／復号することを登録する。

【００８５】続いて、暗号装置１３は、通信データバッ
ファ（図示せず）に格納しておいたローカルポート７か
らの通信データ６１があるので、図１４のステップ５に
おいて図１５の通信データ処理が登録された処理方法
で、通信データを処理する。例えば、暗号装置１３は図
１４のステップ５即ち、図１５において、暗号鍵ＩＤが
暗号鍵テーブル８３に設定されているか調べる（ステッ
プＳ３１）。既に学習が終了しているので端末Ｂから端
末Ｃへの通信データのアプリケーション種別１４５が、
暗号鍵ＩＤと対をなすアプリケーションと一致している
か調べる（ステップＳ３５）。本例ではアプリケーショ
ン種別が３０であるので一致していて、ローカルポート
から通信データを受信したか調べる（ステップＳ３
６）。端末Ｂから送られローカルポートから受信したデ
ータなのでＩＤが２の暗号鍵で暗号化し（ステップＳ３
７）、パブリックポートから暗号化したデータを送信す
る（ステップＳ３８）。また、鍵探索応答パケット５５
のヘッダ２１内の宛先アドレスは暗号装置１３であるの
で、鍵探索応答パケット５５は廃棄される。

【００８６】暗号装置１３のパブリックポートから送信
された通信データは、暗号装置１２、暗号装置１４、暗
号装置１５を経て端末Ｃへ届く。この処理では各暗号装
置は図１５に示したフローチャートに従い暗号鍵テーブ
ルに登録された処理方法で通信データを処理する。本例
では通信データのアプリケーション種別が３０であり、
暗号装置１２ではＩＤが３の暗号鍵と対を成すアプリケ
ーション種別の３０と一致し、暗号装置１４ではＩＤが
３の暗号鍵と対を成すアプリケーション種別の３０と一
致し、暗号装置１５ではＩＤが２の暗号鍵と対を成すア
プリケーション種別の３０と一致するので、暗号装置１
２では通信データを暗号化し暗号装置１４と暗号装置１
５では通信データを復号する。

【００８７】さらに暗号鍵テーブル８２〜８５に処理方
法が登録されている状態で端末Ｃから端末Ｂへアプリケ
ーション種別が３０である通信データが通信する際の処
理について示す。端末Ｃから送信されたデータは、暗号
装置１５、暗号装置１４、暗号装置１３、暗号装置１２
を経て端末Ｂへ届く。この処理では各暗号装置は図１５
に示したフローチャートに従い暗号鍵テーブルに登録さ
れた処理方法で通信データを処理する。本例では通信デ
ータのアプリケーション種別が３０であり、暗号装置１
５ではＩＤが２の暗号鍵と対を成すアプリケーション種
別の３０と一致し、暗号装置１４ではＩＤが３の暗号鍵
と対を成すアプリケーション種別の３０と一致し、暗号
装置１２ではＩＤが３の暗号鍵と対を成すアプリケーシ
ョン種別の３０と一致し、暗号装置１３ではＩＤが２の
暗号鍵と対を成すアプリケーション種別の３０と一致す
るので、暗号装置１５と暗号装置１４では通信データを
暗号化し暗号装置１２と暗号装置１３では通信データを
復号する。

【００８８】さらに暗号鍵テーブル８２〜８５に処理方
法が登録されている状態で端末Ｂから端末Ｃへアプリケ
ーション種別が２０である通信データが通信する際の処
理について示す。暗号装置１３が通信データを受信した
時は暗号鍵テーブル８３に登録された処理方法で処理す
る。処理方法は図１５に示す。暗号装置１３は図１５に
おいて、端末Ｂから通信データを受信すると、 暗号鍵
ＩＤが暗号鍵テーブル８３に設定されているか調べる
（ステップＳ３１）。既に学習が終了しているので端末
Ｂから端末Ｃへの通信データのアプリケーション種別１
４５が、暗号鍵ＩＤと対をなすアプリケーションと一致
しているか調べる（ステップＳ３５）。本例ではアプリ
ケーション種別が２０であるので一致していないので通
信データを廃棄する（ステップＳ４１）。

【００８９】同様に端末Ｃから端末Ｂ宛てのアプリケー
ション種別が２０である通信データは、暗号装置１５の
暗号鍵テーブル８５に登録された処理方法で処理され
る。即ち、暗号装置１５は図１５において、端末Ｃから
通信データを受信すると、暗号鍵ＩＤが暗号鍵テーブル
８５に設定されているか調べる（ステップＳ３１）。既
に学習が終了しているので端末Ｃから端末Ｂへの通信デ
ータのアプリケーション種別１４５が、暗号鍵ＩＤと対
をなすアプリケーションと一致しているか調べる（ステ
ップＳ３５）。本例ではアプリケーション種別が２０で
あるので一致していないので通信データを廃棄する（ス
テップＳ４１）。

【００９０】実施の形態３．本実施の形態は、暗号装置
が通信に先立ち通信相手の暗号鍵を学習し、端末ペア対
応の暗号鍵が暗号鍵テーブルに登録されている場合、予
め自暗号鍵に対応して、登録しておいたＢＯＴＨの方
向、ＩＮの方向またはＯＵＴの方向情報をもとに、暗号
鍵学習済みの暗号装置から通信データを受信したなら、
通信データのヘッダ部のコネクション制御情報がコネク
ション要求（発呼）なら、指定された方向情報のみデー
タ通信を許可し、指定されない方向情報の不正アクセス
通信データを廃棄するものである。図１は、この発明を
構成する暗号装置の一例であり実施の形態１と同じで説
明を省く。図９は、鍵探索パケットおよび鍵探索応答パ
ケットのフォーマットであり実施の形態２と同じで説明
を省く。

【００９１】図１９は端末Ａ、Ｂ，Ｃを収容するネット
ワークの構成例と各暗号装置が持つ暗号鍵ＩＤごとの暗
号鍵ＩＤに対応する方向情報の例を示すものである。図
１９において、暗号装置１１は暗号鍵のＩＤが１で、方
向情報がＯＵＴを示し、暗号装置１２は暗号鍵のＩＤが
３で方向情報がＢＯＴＨを示し、暗号装置１３は暗号鍵
のＩＤが１と２で方向情報がＩＮを示し、暗号装置１４
は暗号鍵ＩＤが３で方向情報がＢＯＴＨを示し、暗号装
置１５は暗号鍵ＩＤが２で方向情報がＯＵＴが登録され
ており、暗号復号時にはそれぞれのＩＤに対応した暗号
鍵を使用する。即ち、各暗号装置に割り当てる暗号鍵
は、あらかじめ配送して登録されており、各暗号装置
は、自身の持つ暗号鍵の暗号鍵ＩＤを内部に一つまたは
複数個保持する。

【００９２】また、方向ＯＵＴとは、Ｐポートに通信デ
ータを送出することを許可し、方向ＩＮとは、Ｐポート
から通信データを受信することを許可し、方向ＢＯＴＨ
とは、Ｐポートに通信データを送出するかまたはＰポー
トから通信データを受信することを許可することであ
る。なお、図１９のＬポートは、ローカルポート、Ｐポ
ートはパブリックポートを示す。また、図１９の暗号装
置１１のパブリックポート５、暗号装置１２のパブリッ
クポート５と暗号装置１４のパブリックポート５が接続
されている。他は、ローカルポート７に対しパブリック
ポート５が接続されている。

【００９３】図２０は、端末間で通信している通信デー
タのフレームフォーマットである。図において１４１は
ヘッダ、１４２はデータ部、１４３は宛先アドレス、１
４４は送信元アドレス、１４６はコネクション制御情報
である。コネクション制御情報１４６はデータ通信の方
向情報に従って通信データを処理するか方向情報に関係
無く通信データを処理するかを制御する。

【００９４】次に、暗号装置が通信データを受信したと
きの動作を説明する。暗号装置は暗号鍵テーブルに端末
ペアに対する処理方法が登録されている場合、通信デー
タを受信したとき図２１に示す通信データ処理を行う。
また、端末ペアに対する処理方法が登録されていない場
合、通信データを受信した暗号装置はその通信データを
一時格納しておき、鍵探索パケットを送出し、その鍵探
索パケットに対する鍵探索応答パケットを得て、暗号鍵
テーブルに端末ペアに対する処理方法を図１４に従い登
録した後、図１４に示すステップＳ５において、図２１
の通信データ処理が一時格納しておいた通信データを登
録された処理方法に従って処理する。なお、図２１は通
信データ処理であり、この処理について順次以下に説明
する。ただし、暗号鍵ＩＤの鍵探索による学習シーケン
スは、実施の形態２の図１３と同じで説明を省略する。
また、図１４の鍵探索応答パケット受信処理も説明を省
く。

【００９５】次に、図１９のネットワーク構成で、端末
Ａから端末Ｂへの通信で、通信データのヘッダ部のコネ
クション制御情報１４６がコネクション要求する場合と
要求しない場合と、逆に端末Ｂから端末Ａへの通信でコ
ネクション制御情報１４６がコネクション要求する場合
と要求しない場合について動作を説明する。図１３は暗
号鍵テーブルに、暗号装置１１と１３においては通信端
末Ａ−Ｂの通信に用いる暗号鍵ＩＤ１を登録し、暗号装
置１２においては通信端末Ａ−Ｂは透過中継を登録して
いる例を示す。

【００９６】まず、端末Ａから端末Ｂへの通信で、コネ
クション制御情報１４６がコネクション要求する場合に
ついて図１３、図１９および図２１を用いて説明する。
暗号装置１１は図２１において、端末Ａからの通信デー
タをローカルポートから受信すると（図１３の暗号装置
１１参照）、暗号装置１１は暗号鍵ＩＤが暗号鍵テーブ
ル８１に登録されているか調べる（ステップＳ５１）。
既に学習が終了していて暗号鍵ＩＤ１が登録されている
ので端末Ａから端末Ｂへの通信データのコネクション制
御情報１４６がコネクション要求であるか調べる（ステ
ップＳ５５）。本例ではコネクション要求であり一致す
るので、暗号鍵テーブル８１に登録してある暗号鍵ＩＤ
と対を成す方向はBOTHと一致したか調べる（ステップＳ
５９）。暗号鍵テーブルに登録してある暗号鍵ＩＤ１と
対を成す方向はOUT（図１９の暗号装置１１参照）であ
るので暗号鍵ＩＤの方向がOUTかつローカルポートから
通信データを受信したか調べる（ステップＳ６０）。暗
号鍵ＩＤ１の方向がOUTかつローカルポートから通信デ
ータを受信しているので暗号鍵ＩＤ１の暗号鍵を用いて
暗号処理を実行し（ステップＳ５７）、パブリックポー
ト７から通信データを送信する（ステップＳ５８）。

【００９７】暗号装置１１のパブリックポートから送信
された通信データは、暗号装置１２のパブリックポート
から受信される（図１３、１９の暗号装置１１、１２参
照）。 暗号装置１２は図２１において、暗号鍵ＩＤが
暗号鍵テーブル８２に登録されているか調べる（ステッ
プＳ５１）。暗号鍵ＩＤは登録されていないので、暗号
鍵テーブル８２には透過中継が登録されていているかど
うか調べる（ステップＳ５２）。暗号鍵テーブル８２に
は透過中継が登録されているので通信データをローカル
ポートから送信する（ステップＳ５３）。

【００９８】暗号装置１２のローカルポートから送信さ
れた通信データは、暗号装置１３のパブリックポートか
ら受信される（図１３、１９の暗号装置１２、１３参
照）。暗号装置１３は図２１において、暗号鍵ＩＤが暗
号鍵テーブル８３に登録されているか調べる（ステップ
Ｓ５１）。既に学習が終了していて暗号鍵ＩＤ１が登録
されているので端末Ａから端末Ｂへの通信データのコネ
クション制御情報１４６がコネクション要求であるか調
べる（ステップＳ５５）。本例ではコネクション要求で
あり一致するので、暗号鍵テーブルに登録してある暗号
鍵ＩＤと対を成す方向はBOTHと一致したか調べる（ステ
ップＳ５９）。暗号鍵テーブルに登録してある暗号鍵Ｉ
Ｄ１と対を成す方向はIN（図１９の暗号装置１３参照）
であるので暗号鍵ＩＤの方向がOUTかつローカルポート
から通信データを受信したか調べる（ステップＳ６
０）、暗号鍵ＩＤの方向はINであるので暗号鍵ＩＤの方
向がINかつパブリックポートから通信データを受信した
か調べる（ステップＳ６１）、暗号鍵ＩＤの方向がINか
つパブリックポートから通信データを受信しているので
暗号鍵ＩＤ１の暗号鍵を用いて復号処理を実行し（ステ
ップＳ６２）、ローカルポートから通信データを送信す
る（ステップＳ６３）。そして、暗号装置１３のローカ
ルポートから送信された通信データは、元の平文として
端末Ｂに届く。

【００９９】次に、端末Ｂから端末Ａへの通信で、コネ
クション制御情報１４６がコネクション要求でない場合
について図１３、図１９おおび図２１を用いて説明す
る。暗号装置１３は図２１において、端末Ｂからの通信
データをローカルポートから受信すると（図１３の暗号
装置１３参照）、暗号鍵ＩＤが暗号鍵テーブル８３に登
録されているか調べる（ステップＳ５１）。既に学習が
終了していて暗号鍵ＩＤ１が登録されているので端末Ｂ
から端末Ａへの通信データのコネクション制御情報１４
６がコネクション要求であるか調べる（ステップＳ５
５）。本例ではがコネクション要求でないので、ローカ
ルポートから通信データを受信したか調べる（ステップ
Ｓ５６）。ローカルポートから通信データを受信してい
るので暗号鍵ＩＤ１の暗号鍵を用いて暗号処理を実行し
（ステップＳ５７）、パブリックポートから通信データ
を送信する（ステップＳ５８）。

【０１００】暗号装置１３のパブリックポートから送信
されたデータは、暗号装置１２、暗号装置１１を経て端
末Ａへ届く。これらの処理では各暗号装置は図２１に示
した暗号鍵テーブルに登録された処理方法で通信データ
を処理する。暗号装置１２では、端末Ｂから端末Ａへの
データは透過中継され、暗号装置１１では通信データの
コネクション制御情報１４６がコネクション要求でない
から、暗号鍵と対を成す方向とは無関係に、パブリック
ポートから通信データを受信している暗号装置１１では
ＩＤが１の暗号鍵を用いて通信データを復号しローカル
ポートから通信データを送信し、通信データは端末Ａに
届く。

【０１０１】さらに暗号鍵テーブル８１〜８３に処理方
法が登録されている状態で端末Ａから端末Ｂへコネクシ
ョン制御情報１４６がコネクション要求でない通信デー
タは、暗号装置１１においては、方向とは無関係にＩＤ
１の暗号鍵で暗号化され、暗号装置１２では透過中継さ
れ、暗号装置１３においてはＩＤ１の暗号鍵で復号され
る。逆に端末Ｂから端末Ａへの通信でコネクション制御
情報１４６がコネクション要求する場合について図１
３、図１９おおび図２１を用いて説明する。

【０１０２】暗号装置１３は図２１において、端末Ｂか
らの通信データをローカルポートから受信すると（図１
３の暗号装置１３参照）、暗号鍵ＩＤが暗号鍵テーブル
８３に登録されているか調べる（ステップＳ５１）。既
に学習が終了していて暗号鍵ＩＤ１が登録されているの
で端末Ｂから端末Ａへの通信データのコネクション制御
情報１４６がコネクション要求であるか調べる（ステッ
プＳ５５）。本例ではコネクション要求であり一致する
ので、暗号鍵テーブルに登録してある暗号鍵ＩＤと対を
成す方向はBOTHと一致したか調べる（ステップＳ５
９）。暗号鍵テーブルに登録してある暗号鍵ＩＤ１と対
を成す方向はIN（図１９の暗号装置１３参照）であるの
で暗号鍵ＩＤの方向がOUTかつローカルポートから通信
データを受信したか調べる（ステップＳ６０）、暗号鍵
ＩＤの方向はINであるので暗号鍵ＩＤの方向がINかつパ
ブリックポートから通信データを受信したか調べる（ス
テップＳ６１）、ローカルポートから通信データを受信
しているので廃棄処理を実行し（ステップＳ６４）、通
信データを廃棄する。

【０１０３】端末Ａから端末Ｂへコネクション要求を行
って通信を開始するアプリケーションは、コネクション
が成立し通信が可能となる。端末Ｂから端末Ａへコネク
ション要求するアプリケーションは、最初にコネクショ
ン要求が廃棄されるため、その後の通信は全て禁止され
る。次に端末Ｂから端末Ｃへコネクション制御情報１４
６がコネクション要求である通信データが通信する際の
処理について図１７、図１９および図２１を用いて説明
する。

【０１０４】なお、暗号鍵ＩＤの鍵探索による学習シー
ケンスは、実施の形態２の図１７と同じで説明を省略す
る。次に端末Ｂから端末Ｃへの通信でコネクション制御
情報１４６がコネクション要求する場合について図１
７、図１９おおび図２１を用いて説明する。暗号装置１
３は図２１において、端末Ｂからの通信データをローカ
ルポートから受信すると（図１７の暗号装置１３参
照）、暗号鍵ＩＤが暗号鍵テーブル８３に登録されてい
るか調べる（ステップＳ５１）。既に学習が終了してい
て暗号鍵ＩＤ２（図１７の暗号装置１３を参照）が登録
されているので端末Ｂから端末Ｃへの通信データのコネ
クション制御情報１４６がコネクション要求であるか調
べる（ステップＳ５５）。

【０１０５】本例ではコネクション要求であり一致する
ので、暗号鍵テーブルに登録してある暗号鍵ＩＤと対を
成す方向はBOTHと一致したか調べる（ステップＳ５
９）。暗号鍵テーブルに登録してある暗号鍵ＩＤ２と対
を成す方向はIN（図１９の暗号装置１３を参照）である
ので暗号鍵ＩＤの方向がOUTかつローカルポートから通
信データを受信したか調べる（ステップＳ６０）。暗号
鍵ＩＤ２の方向がINであるので暗号鍵ＩＤの方向がINか
つパブリックポートから通信データを受信したか調べる
（ステップＳ６１）。受信データをローカルポートから
受信しているのでデータを廃棄する（ステップＳ６
４）。

【０１０６】次に端末Ｃから端末Ｂへの通信でコネクシ
ョン制御情報１４６がコネクション要求する場合につい
て図１７、図１９おおび図２１を用いて説明する。暗号
装置１５は、図２１において、端末Ｃからの通信データ
をローカルポートから受信すると、暗号鍵ＩＤが暗号鍵
テーブル８５に登録されているか調べる（ステップＳ５
１）。既に学習が終了しているので端末Ｃから端末Ｂへ
の通信データのコネクション制御情報１４６がコネクシ
ョン要求であるか調べる（ステップＳ５５）。本例では
がコネクション要求であり一致するので、暗号鍵テーブ
ルに登録してある暗号鍵ＩＤと対を成す方向はBOTHと一
致したか調べる（ステップＳ５９）。暗号鍵テーブルに
登録してある暗号鍵ＩＤ２と対を成す方向はOUTである
ので暗号鍵ＩＤの方向がOUTかつローカルポートから通
信データを受信したか調べる（ステップＳ６０）。暗号
鍵ＩＤ２の方向がOUTかつローカルポートから通信デー
タを受信しているので暗号鍵ＩＤ２の暗号鍵を用いて暗
号処理を実行し（ステップＳ５７）、パブリックポート
から通信データを送信する（ステップＳ５８）。

【０１０７】暗号装置１５のパブリックポートから送信
されたデータは、暗号装置１４のローカルポートから受
信され暗号鍵テーブル８４に登録された処理方法で通信
データを処理する。暗号鍵ＩＤが暗号鍵テーブル８４に
登録されているか調べる（ステップＳ５１）。既に学習
が終了しているので端末Ｃから端末Ｂへの通信データの
コネクション制御情報１４６がコネクション要求である
か調べる（ステップＳ５５）。本例ではがコネクション
要求であり一致するので、暗号鍵テーブルに登録してあ
る暗号鍵ＩＤと対を成す方向はBOTHと一致したか調べる
（ステップＳ５９）。暗号鍵テーブルに登録してある暗
号鍵ＩＤ３と対を成す方向はBOTHであるのでローカルポ
ートから通信データを受信したか調べる（ステップＳ５
６）。ローカルポートから通信データを受信しているの
で暗号鍵ＩＤ３の暗号鍵を用いて暗号処理を実行し（ス
テップＳ５７）、パブリックポートから暗号装置１２に
通信データを送信する（ステップＳ５８）。

【０１０８】暗号装置１２は、図２１において、暗号装
置１４のパブリックポートから送信された通信データ
を、暗号装置１２のパブリックポートから受信すると、
暗号鍵ＩＤが暗号鍵テーブル８２に登録されているか調
べる（ステップＳ５１）。既に学習が終了しているので
端末Ｃから端末Ｂへの通信データのコネクション制御情
報１４６がコネクション要求であるか調べる（ステップ
Ｓ５５）。本例ではがコネクション要求であり一致する
ので、暗号鍵テーブルに登録してある暗号鍵ＩＤと対を
成す方向はBOTHと一致したか調べる（ステップＳ５
９）。暗号鍵テーブルに登録してある暗号鍵ＩＤ３と対
を成す方向はBOTHであるのでローカルポートから通信デ
ータを受信したか調べる（ステップＳ５６）。パブリッ
クポートから通信データを受信しているので暗号鍵ＩＤ
３の暗号鍵を用いて復号処理を実行し（ステップＳ６
２）、ローカルポートから暗号装置１３に通信データを
送信する（ステップＳ６３）。

【０１０９】暗号装置１３は、図２１において、パブリ
ックポートから通信データを受信すると、暗号鍵ＩＤが
暗号鍵テーブル８３に登録されているか調べる（ステッ
プＳ５１）。既に学習が終了しているので端末Ｃから端
末Ｂへの通信データのコネクション制御情報１４６がコ
ネクション要求であるか調べる（ステップＳ５５）。本
例ではがコネクション要求であり一致するので、暗号鍵
テーブルに登録してある暗号鍵ＩＤと対を成す方向はBO
THと一致したか調べる（ステップＳ５９）。暗号鍵テー
ブルに登録してある暗号鍵ＩＤ２と対を成す方向はINで
あるので暗号鍵ＩＤの方向がOUTかつローカルポートか
ら通信データを受信したか調べる（ステップＳ６０）、
暗号鍵ＩＤの方向はINであるので暗号鍵ＩＤの方向がIN
かつパブリックポートから通信データを受信したか調べ
る（ステップＳ６１）、暗号鍵ＩＤの方向がINかつパブ
リックポートから通信データを受信しているので暗号鍵
ＩＤ２の暗号鍵を用いて復号処理を実行し（ステップＳ
６２）、ローカルポートから通信データを送信する（ス
テップＳ６３）。暗号装置１３のローカルポートから送
信されたデータは、元の平文として端末Ｂに届く。

【０１１０】さらに端末Ｂから端末Ｃへコネクション制
御情報１４６がコネクション要求でない通信データが通
信する際の処理について図１７、図１９および図２１を
用いて説明する。暗号装置１３は図２１において、端末
Ｂからの通信データをローカルポートから受信すると、
暗号鍵ＩＤが暗号鍵テーブル８３に登録されているか調
べる（ステップＳ５１）。既に学習が終了していて暗号
鍵ＩＤ１が登録されているので端末Ｂから端末Ｃへの通
信データのコネクション制御情報１４６がコネクション
要求であるか調べる（ステップＳ５５）。本例ではがコ
ネクション要求でないので、ローカルポートから通信デ
ータを受信したか調べる（ステップＳ５６）。ローカル
ポートから通信データを受信しているので暗号鍵ＩＤ２
の暗号鍵を用いて暗号処理を実行し（ステップＳ５
７）、パブリックポートから通信データを送信する（ス
テップＳ５８）。

【０１１１】暗号装置１３のパブリックポートから送信
されたデータは、暗号装置１２、暗号装置１４、暗号装
置１５を経て端末Ｃへ届く（図１７を参照）。これらの
処理では各暗号装置は図２１に示した暗号鍵テーブルに
登録された処理方法で通信データを処理する。 暗号装
置では、通信データのコネクション制御情報１４６がコ
ネクション要求でないから、暗号鍵と対を成す方向とは
無関係に、ローカルポートから通信データを受信してい
る暗号装置１２ではＩＤ３の暗号鍵を用いて通信データ
を暗号化しパブリックポートから通信データを送信し、
パブリックポートから通信データを受信している暗号装
置１４ではＩＤ３の暗号鍵を用いて通信データを復号し
ローカルポートから通信データを送信し、パブリックポ
ートから通信データを受信している暗号装置１５ではＩ
Ｄ２の暗号鍵を用いて通信データを復号しローカルポー
トから通信データを送信し、通信データは端末Ｃに届
く。

【０１１２】さらに端末Ｃから端末Ｂへコネクション制
御情報１４６がコネクション要求でない通信データは、
暗号装置１２、暗号装置１３、暗号装置１４、暗号装置
１５においては、方向とは無関係に暗号装置１５ではＩ
Ｄ２の暗号鍵で暗号化され、暗号装置１４ではＩＤ３の
暗号鍵で暗号化され、暗号装置１２ではＩＤ３の暗号鍵
で復号され、暗号装置１３ではＩＤ２の暗号鍵で復号さ
れ、端末Ｂに届く。

【０１１３】端末Ｃから端末Ｂへコネクション要求を行
って通信を開始するアプリケーションは、コネクション
が成立し通信が可能となる。端末Ｂから端末Ｃへコネク
ション要求するアプリケーションは、最初にコネクショ
ン要求が廃棄されるため、その後の通信は全て禁止され
る。

【０１１４】

【発明の効果】第１の発明によれば、通信相手の暗号鍵
がわからない状態から鍵探索パケットを用いて、端末間
の通信経路上の暗号装置の鍵情報と暗号装置内での暗号
鍵の属性を示すサーバクライアントモードを収集し、収
集した鍵情報と暗号装置内での暗号鍵の属性を示すサー
バクライアントモードに基づいて、暗号鍵が一致し、さ
らにサーバクライアントモードがサーバとクライアント
で不一致ならば通信データの暗号化／復号を暗号鍵情報
に登録し、暗号鍵が一致し、さらにサーバクライアント
モードが一致したならば通信データの廃棄を暗号鍵情報
に登録し、端末間の通信データを各暗号装置が暗号化／
復号／廃棄／透過中継することにより、ある端末から他
の端末を経由してさらに別の端末にアクセスすることに
制限を加え、さらに同一の暗号鍵を用いた端末間の暗号
通信において、サーバクライアントモードがサーバとク
ライアント間の通信のみ実現し、サーバクライアントモ
ードがサーバからサーバ、クライアントからクライアン
トへの不正アクセス通信データを廃棄するので、機密性
の高い暗号通信システムを実現できる。また、ある端末
を経由して別の端末にアクセスすることに制限を加えら
れ機密性の高い暗号通信システムを実現できる。

【０１１５】第２の発明によれば、ある端末から他の端
末へ暗号通信でアクセスし、データの中継経路上の暗号
装置内で通信データの送信元端末と宛先端末（端末ペ
ア）に対応する暗号鍵を学習し、その学習した暗号鍵と
組みを成すアプリケーション種別情報と通信データ内の
アプリケーション種別が一致すれば、通信データを暗号
化かまたは、復号し、前記暗号装置内での暗号鍵と組み
を成すアプリケーション種別情報と通信データ内のアプ
リケーション種別が一致しなければ、通信データを廃棄
することにより、ある端末から他の端末を経由してさら
に別の端末にアクセスすることに対して通信データのア
プリケーション種別による制限を加え、さらに同一の暗
号鍵を用いた端末間の暗号通信において、指定されたア
プリケーションのみ許可し、指定されないアプリケーシ
ョンの不正アクセス通信データを廃棄するので、機密性
の高い暗号通信システムを実現できる。

【０１１６】第３の発明によれば、ある端末から他の端
末へ暗号通信でアクセスし、データの中継経路上の暗号
装置内で通信データの送信元端末と宛先端末（端末ペ
ア）に対応する暗号鍵学習し、その学習した暗号鍵と組
みを成す方向情報がBOTHならば、通信データを暗号化か
または、復号し、前記暗号装置内での暗号鍵と組みを成
す方向情報がOUTかつローカルポートから通信データを
受信したならば、通信データを暗号化し、前記暗号装置
内での暗号鍵と組みを成す方向情報がINかつクローバル
ポートから通信データを受信したならば、通信データを
復号し、通信データが上記どの場合にも合致しないなら
ば、通信データを廃棄することにより、ある端末から他
の端末を経由してさらに別の端末にアクセスすることに
対して通信データのコネクション制御情報による制限を
加え、さらに同一の暗号鍵を用いた端末間の暗号通信に
おいて、指定された方向情報のみ許可し、指定されない
方向情報の不正アクセス通信データを廃棄するので機密
性の高い暗号通信システムを実現できる。

【図面の簡単な説明】

【図１】 本発明の暗号装置の一例である。

【図２】 本発明の実施の形態１による鍵探索パケット
および鍵探索応答パケットのフォーマットである。

【図３】 本発明の実施の形態１によるネットワークの
構成例である。

【図４】 本発明の実施の形態１による鍵探索パケット
のシーケンスである。

【図５】 本発明の実施の形態１による暗号装置が処理
するフローチャートである。

【図６】 本発明の実施の形態１による鍵探索応答パケ
ットである。

【図７】 本発明の実施の形態１による鍵探索パケット
のシーケンスである。

【図８】 本発明の実施の形態１による鍵探索応答パケ
ットである。

【図９】 鍵探索パケットおよび鍵探索応答パケットの
フォーマット例である。

【図１０】 本発明の実施の形態２によるネットワーク
の構成例である。

【図１１】 本発明の実施の形態２による暗号鍵ＩＤと
アプリケーション種別の組み合わせを図示した表であ
る。

【図１２】 本発明の実施の形態２による端末間で通信
している通信データのフレームフォーマットである。

【図１３】 鍵探索パケットのシーケンス例である。

【図１４】 鍵探索応答パケット受信処理のフローチャ
ートである。

【図１５】 本発明の実施の形態２による通信データ処
理のフローチャートである。

【図１６】 鍵探索応答パケットである。

【図１７】 鍵探索パケットのシーケンスである。

【図１８】 鍵探索応答パケットである。

【図１９】 本発明の実施の形態３によるネットワーク
の構成例である。

【図２０】 本発明の実施の形態３による端末間で通信
している通信データのフレームフォーマットである。

【図２１】 本発明の実施の形態３による通信データ処
理のローチャートである。

【図２２】 従来の例におけるネットワークの構成であ
る。

【符号の説明】

１ 暗号装置 ２ 暗号／復号処理部 ３ 透過中継処理部 ４ 廃棄処理部 ５ パブリックポート ６ 自動学習処理部 ７ ローカルポート ８ 暗号鍵テーブル ９ 送受信処理部 １０ 送受信処理部 １１〜１６ 暗号装置 ２１ ヘッダ ２２ 送信元端末アドレス ２３ 宛先端末アドレス ２４ ローカルポート暗号鍵情報 ２５ パブリックポート暗号鍵情報 ２６ デ−タ部 ２７ 暗号鍵情報ブロック ２８ 暗号装置アドレス ２９ 暗号鍵ＩＤ−ＳＣモード設定個数 ３０ 暗号鍵ＩＤ−ＳＣモード情報 ３１ 暗号鍵ＩＤ−ＳＣモード ３２ 暗号鍵ＩＤ ３３ サーバクライアントモード ３４ 暗号鍵ＩＤ設定個数 ３５ 暗号鍵ＩＤ情報 ５１〜５４ 鍵探索パケット ５５ 鍵探索応答パケット ６１ 通信データ ６２ 通信データ ６３ 通信データ ８１〜８５ 暗号鍵テーブル １４１ ヘッダ １４２ データ部 １４３ 宛先アドレス １４４ 送信元アドレス １４５ アプリケーション種別 １４６ コネクション制御情報

───────────────────────────────────────────────────── フロントページの続き (72)発明者 渡邊 晃 東京都千代田区丸の内二丁目２番３号 三 菱電機株式会社内 (72)発明者 田口 卓哉 東京都千代田区丸の内二丁目２番３号 三 菱電機株式会社内 (72)発明者 谷本 茂明 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内

Claims (3)

【特許請求の範囲】
1. 【請求項１】 通信ネットワークに収容された通信端末
   間を暗号装置が中継して暗号通信を行う暗号通信システ
   ムにおいて、通信データを中継する中継経路上の暗号装
   置は、中継する通信データの送信元端末と宛先端末の組
   み合わせ（以下端末ペアと称す）に対応する暗号鍵情報
   が前記暗号装置の暗号鍵テーブルに登録されていない場
   合、暗号鍵情報と前記暗号装置内での暗号鍵の属性を示
   すサーバクライアントモードを収集するための鍵探索パ
   ケットが前記中継経路上の各暗号装置自身の暗号情報と
   サーバクライアントモードを収集し、その収集した暗号
   情報とサーバクライアントモードを鍵探索応答パケット
   が前記中継経路上の前記各暗号装置に通知し、通知を受
   けた前記各暗号装置は、収集した前記暗号鍵情報とサー
   バクライアントモードに基づいて、前記端末ペアとサー
   バクライアントモードに対応して通信データを、暗号化
   するか、復号するか、透過中継するか、廃棄するか、い
   ずれの処理を行うかを指定する暗号鍵情報を前記暗号鍵
   テーブルに登録し、その端末ペアからの通信データを中
   継する前記各暗号装置は前記暗号鍵テーブルの暗号鍵情
   報に基づいて通信データを処理することを特徴とする暗
   号通信システム。
2. 【請求項２】 通信ネットワークに収容された通信端末
   間を暗号装置が中継して暗号通信を行う暗号通信システ
   ムにおいて、通信データを中継する中継経路上の暗号装
   置は、中継する通信データの送信元端末と宛先端末の組
   み合わせ（以下端末ペアと称す）に対応する暗号鍵情報
   が前記暗号装置の暗号鍵テーブルに登録されていない場
   合、暗号鍵情報を収集するための鍵探索パケットが前記
   中継経路上の各暗号装置自身の暗号情報を収集し、その
   収集した暗号情報を鍵探索応答パケットが前記中継経路
   上の前記各暗号装置に通知し、 通知を受けた前記各暗号装置は、収集した前記暗号鍵情
   報に基づいて、前記端末ペアに対応して通信データを、
   暗号化するか、復号するか、透過中継するか、廃棄する
   か、いずれの処理を行うかを指定する暗号鍵情報を前記
   暗号鍵テーブルに登録し、その端末ペアからの通信デー
   タを中継する前記各暗号装置は前記暗号鍵テーブルの暗
   号鍵情報と通信データを処理し、前記暗号鍵テーブルの
   暗号鍵情報より暗号化かまたは、復号ならば、前記暗号
   装置内での暗号鍵と組みを成すアプリケーション種別情
   報と通信データ内のアプリケーション種別が一致すれ
   ば、通信データを暗号化かまたは、復号し、前記暗号装
   置内での暗号鍵と組みを成すアプリケーション種別情報
   と通信データ内のアプリケーション種別が一致しなけれ
   ば、通信データを廃棄することを特徴とする暗号通信シ
   ステム。
3. 【請求項３】 通信ネットワークに収容された通信端末
   間を暗号装置が中継して暗号通信を行う暗号通信システ
   ムにおいて、通信データを中継する中継経路上の暗号装
   置は、中継する通信データの送信元端末と宛先端末の組
   み合わせ（以下端末ペアと称す）に対応する暗号鍵情報
   が前記暗号装置の暗号鍵テーブルに登録されていない場
   合、暗号鍵情報を収集するための鍵探索パケットが前記
   中継経路上の各暗号装置自身の暗号情報を収集し、その
   収集した暗号情報を鍵探索応答パケットが前記中継経路
   上の前記各暗号装置に通知し、 通知を受けた前記各暗号装置は、収集した前記暗号鍵情
   報に基づいて、前記端末ペアに対応して通信データを、
   暗号化するか、復号するか、透過中継するか、廃棄する
   か、いずれの処理を行うかを指定する暗号鍵情報を前記
   暗号鍵テーブルに登録し、その端末ペアからの通信デー
   タを中継する前記各暗号装置は前記暗号鍵テーブルの暗
   号鍵情報と通信データを処理し、前記暗号鍵テーブルの
   暗号鍵情報より暗号化かまたは、復号ならば、前記暗号
   装置内での暗号鍵と組みを成す方向情報がBOTHならば、
   通信データを暗号化かまたは、復号し、前記暗号装置内
   での暗号鍵と組みを成す方向情報がOUTかつローカルポ
   ートから通信データを受信したならば、通信データを暗
   号化し、前記暗号装置内での暗号鍵と組みを成す方向情
   報がINかつパブリックポートから通信データを受信した
   ならば、通信データを復号し、通信データが上記どの場
   合にも合致しないならば、通信データを廃棄することを
   特徴とする暗号通信システム。