JP2006196996A - 通信システム及び通信方法 - Google Patents

Abstract

【課題】 端末に複雑且つ多くの処理を行わせることなく、当該端末で送受信される通信データに暗号化及び復号化などのセキュリティ処理を行わせる通信システム及び通信方法を提供する。
【解決手段】 通信データの送受信を行う端末１と、端末１と接続され、端末１で送受信される通信データに対して暗号化処理又は復号化処理を施して、当該通信データを中継する通信装置２とを備え、通信装置２は、端末１に固有の端末情報を取得し、当該端末情報と、予め記憶しておいた暗号化又は復号化を行う端末情報の条件を記述したセキュリティ処理条件テーブルとを比較して、中継する通信データに暗号化又は復号化を施すか否かを判断する。
【選択図】 図１

Description

本発明は、端末で送受信される通信データに暗号化や認証等のセキュリティ処理を行うことによってセキュア通信を行わせる通信システム及び通信方法に関する。

従来より、例えばＩＰ（Internet Protocol）を利用した通信システムにおいて、通信データの盗聴や改ざんを防ぐために、パケットを暗号化すると共に認証データによって送受信間で認証処理を行って、通信データのセキュリティを高めた秘密通信を行うネットワークシステムが知られている。このようなネットワークシステムにおいては、例えば、ＲＦＣ（Request For Comments）２４０１〜２４１０で定義されたプロトコル群であるＩＰｓｅｃ（IP security protocol）などが知られている。

しかしながら、上述の技術では、データの暗号化処理及び復号化処理を含むセキュア通信を行うか否かを決定する際に、セキュア通信を行う通信相手先の識別子（ＩＰアドレス等）とセキュリティポリシーデータベース（ＳＰＤ）とを比較する判断処理を行う必要がある。そして、この判断処理によって、暗号化するものと判断した場合には、通信相手先の端末間でネゴシエーションを行って共通した暗号化設定を行う必要がある。したがって、従来では、端末間で、複雑且つ過負荷となるような処理量の制御を行う必要があった。

具体的には、例えばＩＰｓｅｃを利用したセキュア通信装置においては、端末又はゲートウェイ等によって、セキュア通信相手先に対するセキュリティポリシー情報を所定のサーバ（例えばセキュリティポリシーデータベース：ＳＰＤ）から取得する。その後、セキュア通信装置は、当該セキュア通信相手先となる通信機器との間でネゴシエーションを行って暗号キー等のセキュリティアソシエーション情報の折衝を行っていた。このように、従来では、セキュア通信を行うためには、セキュリティポリシー情報の取得、及び、セキュリティアソシエーション情報の折衝を行う必要があるので、当該処理が端末やゲートウェイにとって過負荷となることがあり、更には、当該端末やゲートウェイを扱うユーザにとっては高度且つ複雑な設定を行う必要があり、高度な知識が要求されていたのが現状である。

また、従来において、非セキュアな通信システムをセキュアな通信システムに変更する場合、例えば、設備系などの非セキュア端末が複数存在する非セキュアな通信システムをセキュアな通信システムに変更する場合には、各非セキュア端末について上述のセキュリティアソシエーション情報の折衝などを行う必要がある。したがって、従来では、システムの規模が大きくなるほど、ＳＰＤに対して大がかりな施工や設定が必要となってしまう。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、端末に複雑且つ多くの処理を行わせることなく、当該端末で送受信される通信データに暗号化及び復号化などのセキュリティ処理を行わせることができる通信システム及び通信方法を提供することを目的とする。

本発明は、端末と接続され、前記端末で送受信される通信データに対して暗号化処理又は復号化処理を施して、当該通信データを中継するに際して、上述の課題を解決するために、端末に固有の端末情報を取得し、当該端末情報と、予め記憶しておいた暗号化又は復号化を行う端末情報の条件を記述したセキュリティ処理条件テーブルとを比較して、中継する通信データに暗号化又は復号化を施すか否かを判断する。

本発明によれば、端末で送受信される通信データを中継するに際して、端末に固有の端末情報によって暗号化又は復号化を施すと判定するので、端末に複雑且つ多くの処理を行わせることなく、当該端末で送受信される通信データに暗号化及び復号化などのセキュリティ処理を行わせることができる。

以下、本発明の実施の形態について図面を参照して説明する。

［第１実施形態］
以下、本発明の実施の形態について図面を参照して説明する。

本発明を適用した通信システムは、ネットワークＮＴを介して端末１Ａ，１Ｂと端末１Ｃ，１Ｄ（以下、総称する場合には、単に「端末１」と呼ぶ。）が接続され、当該端末１とネットワークＮＴとの間に通信装置２Ａ，２Ｂ（以下、総称する場合には、単に「通信装置２」と呼ぶ。）が挿入されて構成されている。これら通信装置２は、ネットワークＮＴを介して接続されている。この通信システムは、通信装置２Ａに端末１Ａ，１Ｂが接続され、通信装置２Ｂに端末１Ｃ，１Ｄが接続されて構成されている。

このような通信システムは、ネットワークＮＴを介して端末１同士で通信データの送受信を行うためのシステムとなっている。そして、この通信システムにおいて、端末１Ａ，端末１Ｂ，端末１Ｃ，端末１Ｄは、ＯＳＩ（Open Systems Interconnection）参照モデルにおける第３階層であるＩＰ（Internet Protocol）アドレス（識別子）として、ＩＰ＿ａｄｄ＿Ａ，ＩＰ＿ａｄｄ＿Ｂ，ＩＰ＿ａｄｄ＿Ｃ，ＩＰ＿ａｄｄ＿Ｄがそれぞれ付与されていると共に、ＯＳＩ参照モデルにおける第２階層であるＭＡＣ（Media Access Control）アドレスとして、ＭＡＣ＿ａｄｄ＿ａ，ＭＡＣ＿ａｄｄ＿ｂ，ＭＡＣ＿ａｄｄ＿ｃ，ＭＡＣ＿ａｄｄ＿ｄがそれぞれ付与されている。また、端末１Ａ，端末１Ｂ，端末１Ｃ，端末１Ｄは、少なくともＯＳＩ参照モデルにおける第３階層において暗号化又は復号化処理を行うセキュリティ処理を行うことが設定されていない非セキュア端末（Non secure）である。

各端末１は、ＯＳＩ参照モデルにおける第３階層におけるプロトコルとして、例えばＩＰを使用し、自己のＩＰアドレスを送信元ＩＰアドレスとし、他の端末１のＩＰアドレスを送信先ＩＰアドレスとしたＩＰパケットにデータを格納して通信データのＩＰ通信を行う。なお、このＩＰパケットには、送信元の端末を識別するためのＭＡＣアドレス、宛先の端末を識別するためのＭＡＣアドレスも含まれている。

この端末１は、図２に示すように、内部バス１ａに、中央処理部１１，記憶部１２，通信Ｉ／Ｆ部１３，ネゴ通信処理部１４が接続されて構成されている。この端末１は、中央処理部１１によってアプリケーションデータ等の通信対象となるデータを取得すると、中央処理部１１により、通信Ｉ／Ｆ部１３でＩＰパケットに変換させて通信装置２に送出させる。

記憶部１２には、端末１自身にとっての固有の端末情報として、端末１を使用するユーザの会社又は端末１が設置されている会社を識別するための会社情報、端末１を使用するユーザの事業部又は端末１が設置されている事業部を識別するための事業部情報、端末１そのもの又は端末１の機種や用途を識別するための機器情報を記憶している。また、記憶部１２には、端末１が特定の用途に使用される場合の用途情報や、特定のアプリケーションを使用する場合のアプリケーション情報も記憶していても良い。このような記憶部１２に記憶されている端末情報は、自身のＭＡＣアドレスで特定することができる企業識別コード、事業部識別子、システム識別子、機器識別子、商品系列コード等とは別個の情報である。

ネゴ通信処理部１４は、ＯＳＩ参照モデルにおける第２階層における処理を行って、通信装置２との間でネゴシエーションを行う。このネゴ通信処理部１４は、通信装置２とのネゴシエーションによって、記憶部１２に記憶された端末１固有の情報を通信装置２に取得させるためのものである。なお、このネゴ通信処理部１４は、本例では中央処理部１１と別個に図示しているが、中央処理部１１に含まれていても良い。このネゴ通信処理部１４は、通信Ｉ／Ｆ部１３によって通信装置２からの端末１固有の情報の返信要求を受けた場合には、記憶部１２に記憶された端末１固有の情報を通信Ｉ／Ｆ部１３を介して通信装置２に送信させる。

通信装置２は、ネットワークＮＴ及び端末１と接続されているブリッジやスイッチなどからなる。この通信装置２は、端末１のようなＯＳＩ参照モデルにおける第３階層のＩＰアドレスが付与されておらず、ＯＳＩ参照モデルにおける第２階層のＭＡＣアドレスを有していても、有していなくても良いが、以下の説明では、ＭＡＣアドレス（ＭＡＣ＿ａｄｄ＿ｅ，ＭＡＣ＿ａｄｄ＿ｆ）が付与されている場合について説明する。換言すれば、通信装置２は、後述のセキュリティ処理を行う第３階層（ネットワーク層；ＩＰ層）における識別子（ＩＰアドレス）を有しておらず、当該セキュリティ処理を行う階層よりも下位層の第２階層（データリンク層）における識別子（ＭＡＣアドレス）を有していることになる。

この通信装置２は、接続された端末１宛のＩＰパケットを中継して端末１に送出すると共に、接続された端末１から受信したＩＰパケットをネットワークＮＴに送出する。このとき、通信装置２は、ネットワークＮＴからＩＰパケットを受信した場合には、当該ＩＰパケットに含まれる宛先のＭＡＣアドレスを参照し、自己に接続されている端末１のＭＡＣアドレスである場合には、端末１側に送出する。なお、通信装置２は、ＭＡＣアドレスを有しているものの、通常、ブリッジやスイッチとして動作している時には、当該ＭＡＣアドレスを使用しない。

このような通信装置２は、図３に示すように、内部バス２ａに、中央処理部２１，複数の通信Ｉ／Ｆ部２２，記憶部２３，暗号復号処理部２４が接続されて構成されている。この通信装置２は、何れかの通信Ｉ／Ｆ部２２でＩＰパケットを受信すると、当該ＩＰパケットに含まれる宛先のＭＡＣアドレスを参照して、出力させる通信Ｉ／Ｆ部２２を選択して、当該通信Ｉ／Ｆ部２２からＩＰパケットを送信させる。この通信装置２は、例えばネットワークＮＴからＩＰパケットを受信した場合には、自己に接続された端末１を宛先としたＭＡＣアドレスが格納されている場合には端末１側に中継し、端末１からＩＰパケットを受信した場合には、当該ＩＰパケットをネットワークＮＴに中継する。このとき、通信装置２は、必要に応じて、中継するＩＰパケットを暗号化又は復号化させるセキュリティ処理を行う。

記憶部２３には、暗号復号処理部２４によって暗号化又は復号化を行わせるか否かを判定する情報、又は、使用する暗号鍵情報や暗号化方式を選択させるための情報、又は、暗号復号処理部２４によって暗号化させる暗号化レベルを可変とするための情報等であって、暗号化又は復号化を行う端末１固有の情報の条件を記述したセキュリティ処理条件テーブルが記憶されている。このセキュリティ処理条件テーブルは、予め静的に設定されたり、図示しないサーバ等によってダウンロードされて記憶部２３に記憶される。

このセキュリティ処理条件テーブルは、中央処理部２１が端末１との間でネゴシエーションを行って、端末１から取得した端末１固有の情報と比較される。そして、このセキュリティ処理条件テーブルは、通信Ｉ／Ｆ部２２でＩＰパケットを受信したときに、中央処理部２１で読み出され、当該ＩＰパケットに対してセキュリティ処理を施すか否かなどを判定するための情報として使用される。

セキュリティ処理条件テーブルは、端末１固有の情報として、端末１の記憶部１２に記憶されている「会社情報」、「事業部情報」、「機器情報」などが挙げられ、当該各情報にセキュリティ処理の可否情報が対応付けられて構築されている。また、端末１固有の情報としては、端末１の用途を特定するための用途情報、特定のアプリケーションを使用する場合のアプリケーション情報も記憶していても良い。このような記憶部２３に記憶されている端末１固有の情報は、自身のＭＡＣアドレスで特定することができる企業識別コード、事業部識別子、システム識別子、機器識別子、商品系列コード等とは別個の情報である。

また、記憶部２３には、暗号復号処理部２４によってＯＳＩ参照モデルにおける第３階層（ネットワーク層；ＩＰ層）において暗号化又は復号化を行うために必要な暗号鍵情報や暗号化方式を特定するセキュリティアソシエーション情報（ＳＡ情報）等の暗号設定情報が記憶されている。この暗号設定情報は、中央処理部２１によってセキュリティ処理条件テーブルによって暗号化又は復号化を行うことが決定された場合に、暗号復号処理部２４によって読み出される。

この暗号化設定情報は、暗号復号処理部２４の処理内容を、例えば一般的なＩＰｓｅｃの共通鍵、ＳＡのネゴシエーションフローを行わず固定された暗号化条件を使用するＩＰｓｅｃによる暗号化処理とするための情報である。したがって、この通信システムにおいて、端末１とネットワークＮＴとの間に通信装置２を設置するだけで、端末１で送受信するＩＰパケットに暗号化又は復号化を施すセキュア通信を導入させる。

このように構成された通信装置２において、中央処理部２１は、記憶部２３に記憶させるセキュリティ処理条件テーブルを設定又は更新するために、図４に示すようなネゴシエーションを自己に接続された端末１との間で行う。

この図４に示すネゴシエーションフローによれば、通信装置２は、先ず、端末１から送信されたＩＰパケットＳ１又は端末１に対する要求に応じた応答によって、端末１のＭＡＣアドレス等の端末１の識別子を取得する。

この通信装置２は、端末１から送信されたＩＰパケットＳ１の通過によってＭＡＣアドレスを取得する場合、通信装置２に接続された端末１から送信先ＩＰアドレス（ＩＰｄｓｔ）及び送信元ＩＰアドレス（ＩＰｓｒｃ）、平文のペイロード（Ｐａｙｌｏａｄ）を含むＩＰパケットＳ１を通信装置２で受信したことによって、通信装置２によってＩＰパケットＳ１に含まれる端末１のＭＡＣアドレスを取得する。

又は、通信装置２は、任意のプロトコルを使用したマルチキャスト又はブロードキャストによって自己に接続された端末１に要求Ｓ１ａを送信し、自己に接続されている端末１からの応答Ｓ１ｂを受信することによって、当該応答Ｓ１ｂに含まれるＭＡＣアドレスを取り出す。ここで、通信装置２は、要求Ｓ１ａに自己のＭＡＣアドレスを含め、端末１のネゴ通信処理部１４は、要求１ａに含まれた通信装置２のＭＡＣアドレスを宛先とし、自己のＭＡＣアドレスを送信元とした応答Ｓ１ｂを返信する。

次に、通信装置２は、自己のＭＡＣアドレスを送信元識別子ＳＡとし、ＩＰパケットＳ１又は応答Ｓ１ｂから取得した端末１のＭＡＣアドレスを送信先識別子ＤＡとし、且つ端末１のネゴ通信処理部１４との間でネゴシエーションを行うためのイーサネット（登録商標）パケットであることを示す制御コード（Code）、端末１固有の情報を返信させる要求等の情報要求データを含むイーサネットパケットＳ２を端末１に送信する。なお、本例では、端末１固有の情報を取得する手法として、イーサネットパケットを使用する場合について説明するが、任意のプロトコルを使用しても良い。

これに応じ、端末１では、イーサネットパケットＳ２を通信Ｉ／Ｆ部１３で受信すると、中央処理部１１によって、当該イーサネットパケットＳ２に制御コードが含まれているので、当該イーサネットパケットＳ２をネゴ通信処理部１４で取得する。そして、ネゴ通信処理部１４では、イーサネットパケットＳ２の情報要求データで要求された情報を取得する。このとき、ネゴ通信処理部１４は、情報要求データとして、例えば端末１の会社情報の返信が要求された場合には、記憶部１２に記憶された会社情報を取得する。次に、ネゴ通信処理部１４は、取得した会社情報を情報返信データとし、自己のＭＡＣアドレスを送信元識別子ＳＡとし、通信装置２のＭＡＣアドレスを送信先識別子ＤＡとし、且つ通信装置２との間でネゴシエーションを行うためのイーサネットパケットであることを示す制御コード（Code）を含めたイーサネットパケットＳ３を作成する。

これに応じ、通信装置２では、イーサネットパケットＳ３を通信Ｉ／Ｆ部２２で受信すると、中央処理部２１によって、当該イーサネットパケットＳ３に制御コードが含まれているので、当該イーサネットパケットＳ３をネットワークＮＴに中継させずに、イーサネットパケットＳ３の情報返信データを取得する。そして、中央処理部２１は、情報返信データとして端末１のネゴ通信処理部１４で取得した会社情報を取得すると、当該会社情報と、セキュリティ処理条件テーブルとを比較する。そして、中央処理部２１は、情報返信データとしての会社情報が暗号化又は復号化を実施すべきものであると判定した場合には、当該会社情報を返信した端末１で送受信されるＩＰパケットについて暗号化又は復号化のセキュリティ処理を施すことを決定する。

これにより、当該会社情報を返信した端末１でセキュア通信を行わせることを設定する。このとき、記憶部２３は、何れかの通信Ｉ／Ｆ部２２がセキュア通信を行わせる端末１のみに接続されている場合には、当該通信Ｉ／Ｆ部２２で入出力されるＩＰパケットについては全て暗号化又は復号化を行うと設定することや、ＩＰパケットを受信した際に、当該ＩＰパケットに含まれるＭＡＣアドレスで表現された送信元識別子及び送信先識別子を確認して、セキュア通信を行わせる端末１の識別子である場合には、暗号化又は復号化を行うと設定する。

また、上記の例では、会社情報とセキュリティ処理条件テーブルとを比較して暗号化又は復号化を行うか否かを判定したが、セキュリティ処理条件テーブルに機器種別がカメラである場合には暗号化又は復号化を行うことが設定されている場合には、端末１固有の情報として機器種別を要求することになり、ＯＡ（office automation）システムを構成する端末１である場合には暗号化又は復号化を行わないことがセキュリティ処理条件テーブルに設定されている場合には、端末１固有の情報としてシステム種別を要求することになる。

このように、通信システムでは、ネットワークＮＴを介して接続されたそれぞれの通信装置２Ａ，２Ｂにおいて、それぞれに接続された端末１固有の情報を取得して、端末１ごとにセキュア通信を行わせるかどうかを区別することができる。そして、セキュア通信をさせる端末１からＩＰパケットを受信した場合には、当該ＩＰパケットに暗号化処理を施して、ペイロード部が暗号化されたＩＰパケットに変換してネットワークＮＴに中継させ、他方の通信装置２でＩＰパケットを復号化して宛先の端末１に受信させることができる。一方、セキュア通信をさせない端末１からＩＰパケットを受信した場合には、そのままＩＰパケットをネットワークＮＴに送信させる。

以上詳細に説明したように、本発明を適用した通信システムによれば、端末１で送受信される通信データを中継する通信装置２によって、端末１に固有の端末情報を取得し、当該端末情報と、予め記憶しておいた暗号化又は復号化を行う端末情報の条件を記述したセキュリティ処理条件テーブルとを比較して、中継する通信データに暗号化又は復号化を施すか否かを判断することができるので、端末１に複雑且つ多くの処理を行わせることなく、当該端末で送受信される通信データに暗号化及び復号化などのセキュリティ処理を行わせることができる。

また、この通信システムにおいて、通信装置２を、通信データに対して暗号化又は復号化を施す階層の第１の通信プロトコル（ネットワーク層）よりも下位層で通信データの処理を行うための第２の通信プロトコル（データリンク層）での識別子（ＭＡＣアドレス）を有したものとし、端末１を、第２のプロトコルに従って通信装置２との間で通信が可能とし、通信装置２の要求によって端末１の固有の情報を取得して、暗号化又は復号化を施すか否かを判断することができる。

更にまた、この通信システムによれば、通信装置２によって、キュリティ処理条件テーブルを、外部からダウンロードして記憶させるので、当該外部のサーバへの設定のみによって、複数の通信装置２でのセキュリティ処理条件テーブルを設定することができ、簡単に通信システムにセキュア通信を導入することができる。

更にまた、この通信システムによれば、各通信装置２のセキュリティ処理条件テーブルとして、端末１の製造元を識別する企業情報、端末１の製造元事業部を識別する事業部情報、端末１が構成するシステムの種別情報、端末１の機器種別情報、端末１の用途情報の何れかの端末情報と、当該端末情報について暗号化又は復号化を施すか否かの情報とが対応付けられて構成されているデータを使用しているので、ＭＡＣアドレス以外の端末１の固有の用途などによって、確実に端末１で送受信する通信データに暗号化又は復号化を施すことができる。

これにより、この通信システムによれば、各通信装置２に接続されている端末１が異なるメーカによって製造されたものであっても、システム種別や用途などによって暗号化又は復号化を施して通信データの中継を行うことができ、暗号化又は復号化についてメーカ互換性を持たせることができる。

［第２実施形態］
つぎに、本発明を適用した第２実施形態に係る通信システムについて説明する。なお、上述の第１実施形態と同様の部分は、同一符号を付することによってその詳細な説明を省略する。

第２実施形態に係る通信システムは、通信装置２同士でネゴシエーションを行って、それぞれに接続された端末１固有の情報を共有することを特徴とするものである。

ここで、第１実施形態において、通信装置２で暗号化されたＩＰパケットは、通信相手先が復号化機能を有する端末１やゲートウェイである場合には、復号されて所定の処理が行われる。また、それぞれの通信装置２において暗号化方式などが同一である場合には、一方の通信装置２で暗号化処理を施したＩＰパケットを、他方の通信装置２で復号化処理を施すことによって、非セキュア端末である端末１で受信させて所定の処理を行わせることができる。しかしながら、暗号化処理を施す通信装置２において、端末１固有の情報に応じて暗号化レベルを動的に変更させるセキュリティ処理条件テーブルを使用している場合には、他方の通信装置２において復号化処理が完了しないという事態を招来することになってしまう。

これに対し、第２実施形態に係る通信システムは、それぞれの通信装置２で同一のセキュリティ処理条件テーブルと、それぞれの通信装置２に接続された端末１固有の情報を記憶しておくために通信装置２の間でネゴシエーションを行う。

このネゴシエーションは、それぞれの通信装置２が有しているＭＡＣアドレスを使用して通信装置２間の通信を確立させ、イーサネットパケットに通信装置２間の通信であり自己に接続されている端末１には中継させない制御コードを含める。これにより、イーサネットパケットのペイロード部に自己に接続された端末１固有の情報やセキュリティ処理条件テーブルを格納して、他方の通信装置２に通知することができる。

この通信システムによれば、通信装置２同士で通信を行って、当該通信装置２同士で共通したセキュリティ処理条件テーブルを設定することができ、一方の通信装置２で暗号化しても、他方の通信装置２で確実に復号化を完了させることができる。

したがって、この第２実施形態に係る通信システムによれば、例えば端末１Ａから送信されたＩＰパケットを通信装置２Ａで暗号化して、ネットワークＮＴを介して通信装置２Ｂで受信した場合には、当該通信装置２Ｂにより暗号化レベルを認識することができ、復号化処理を完了させて、端末１Ｃや端末１Ｄに中継させることができる。

また、ネットワークＮＴが上位層でしか通信を行えないネットワークである場合、例えば下位層ではＭＡＣアドレスを使用してデータ伝送を行い、上位層ではＩＰアドレスを使用してデータ伝送を行うようなネットワークであって、ルータ越えやインターネット網越えを行う必要があるネットワークにおいて、通信装置２間の通信を行うに際して、それぞれの通信装置２にＩＰアドレスを与えて通信装置２間の通信を確立させてもよく、更には、それぞれの通信装置２を通過して他の通信装置２で受信されたＩＰパケットに含まれる端末１のＩＰアドレスを取得して端末１になりすまして通信装置２間での通信を確立させても良い。すなわち、通信装置２間で通信を行う場合には、データリンク層におけるＭＡＣアドレスや、ＩＰ層のＩＰアドレスを使用する必要がある。これに対し、それぞれの通信装置２は、一度通過させた自己に接続されたＩＰパケットの送信元ＩＰアドレスと、他方の通信装置２に接続された送信先ＩＰアドレスとのアドレスペアを利用して、通信装置２間の通信を実現する。換言すれば、通信装置２は、他の端末のＩＰアドレスを借り、あたかも当該端末になりすまして通信装置２間の通信を実現する。なお、ＭＡＣアドレスのアドレスペアを利用して通信装置２との間の通信を実現しても良い。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

本発明を適用した通信システムの構成を示すブロック図である。 本発明を適用した通信システムにおける端末の構成を示すブロック図である。 本発明を適用した通信システムにおける通信装置の構成を示すブロック図である。 本発明を適用した通信システムにおいて、端末固有の情報を通信装置で取得する時のネゴシエーションフローを示す図である。

符号の説明

１ 端末
２ 通信装置
１１，２１ 中央処理部
１２，２３ 記憶部
１３，２２ 通信Ｉ／Ｆ部
１４ ネゴ通信処理部
２４ 暗号復号処理部

Claims (10)

1. 通信データの送受信を行う端末と、
   前記端末と接続され、前記端末で送受信される通信データに対して暗号化処理又は復号化処理を施して、当該通信データを中継する通信装置とを備え、
   前記通信装置は、前記端末に固有の端末情報を取得し、当該端末情報と、予め記憶しておいた暗号化又は復号化を行う端末情報の条件を記述したセキュリティ処理条件テーブルとを比較して、中継する通信データに暗号化又は復号化を施すか否かを判断すること
   を特徴とする通信システム。
2. 前記通信装置は、通信データに対して暗号化又は復号化を施す階層の第１の通信プロトコルよりも下位層で通信データの処理を行うための第２の通信プロトコルでの識別子を有し、前記端末は、前記第２のプロトコルに従って前記通信装置との間で通信が可能となっており、
   前記通信装置は、前記端末に、当該端末に固有の端末情報の返信を要求する要求パケットを送信し、当該端末は、前記要求パケットに応じて端末情報を返信し、前記通信装置は、当該要求パケットに対して返信された端末情報と前記セキュリティ処理条件テーブルとを比較して、当該端末で送受信される通信データに暗号化又は復号化を施すか否かを判断すること
   を特徴とする請求項１に記載の通信システム。
3. 前記通信装置は、前記セキュリティ処理条件テーブルを、外部からダウンロードして記憶させることを特徴とする請求項１に記載の通信システム。
4. ネットワークを介して接続された前記通信装置を複数備え、当該各通信装置に前記端末が接続された通信システムであって、
   前記複数の通信装置の何れかの第１の通信装置は、他の第２の通信装置との間で前記ネットワークを介した通信を行い、自己に接続されている端末の端末情報を第２の通信装置に記憶させると共に、前記第２の通信装置は、前記第１の通信装置との間で前記ネットワークを介した通信を行い、自己に接続されている端末の端末情報を第１の通信装置に記憶させ、
   前記複数の通信装置の何れかの第１の通信装置は、他の第２の通信装置との間で前記ネットワークを介した通信を行い、前記第１通信装置と前記第２の通信装置とで同一のセキュリティ処理条件テーブルを記憶させること
   を特徴とする請求項１に記載の通信システム。
5. 前記セキュリティ処理条件テーブルは、前記端末の製造元を識別する企業情報、前記端末の製造元事業部を識別する事業部情報、前記端末が構成するシステムの種別情報、前記端末の機器種別情報、前記端末の用途情報の何れかの端末情報と、当該端末情報について暗号化又は復号化を施すか否かの情報とが対応付けられて構成されていることを特徴とする請求項１乃至請求項４の何れかに記載の通信システム。
6. 端末と接続され、前記端末で送受信される通信データに対して暗号化処理又は復号化処理を施して、当該通信データを中継する通信方法において、
   前記端末に固有の端末情報を取得し、当該端末情報と、予め記憶しておいた暗号化又は復号化を行う端末情報の条件を記述したセキュリティ処理条件テーブルとを比較して、中継する通信データに暗号化又は復号化を施すか否かを判断すること
   を特徴とする通信方法。
7. 通信データに対して暗号化又は復号化を施す階層の第１の通信プロトコルよりも下位層で通信データの処理を行うための第２の通信プロトコルでの識別子を使用して、前記第２のプロトコルに従って、前記端末との間で通信を行い、
   前記端末に、当該端末に固有の端末情報の返信を要求する要求パケットを送信し、当該端末からの前記要求パケットに応じた端末情報を受信し、当該要求パケットに対して返信された端末情報と前記セキュリティ処理条件テーブルとを比較して、当該端末で送受信される通信データに暗号化又は復号化を施すか否かを判断すること
   を特徴とする請求項６に記載の通信方法。
8. 前記セキュリティ処理条件テーブルを、外部からダウンロードして記憶させることを特徴とする請求項６に記載の通信方法。
9. ネットワークを介して接続された前記通信装置を複数備え、当該各通信装置に前記端末が接続された通信システムにおける通信方法であって、
   前記複数の通信装置の何れかの第１の通信装置は、他の第２の通信装置との間で前記ネットワークを介した通信を行い、自己に接続されている端末の端末情報を第２の通信装置に記憶させると共に、前記第２の通信装置は、前記第１の通信装置との間で前記ネットワークを介した通信を行い、自己に接続されている端末の端末情報を第１の通信装置に記憶させ、
   前記複数の通信装置の何れかの第１の通信装置は、他の第２の通信装置との間で前記ネットワークを介した通信を行い、前記第１の通信装置と前記第２の通信装置とで同一のセキュリティ処理条件テーブルを記憶させること
   を特徴とする請求項６に記載の通信方法。
10. 前記セキュリティ処理条件テーブルは、前記端末の製造元を識別する企業情報、前記端末の製造元事業部を識別する事業部情報、前記端末が構成するシステムの種別情報、前記端末の機器種別情報、前記端末の用途情報の何れかの端末情報と、当該端末情報について暗号化又は復号化を施すか否かの情報とが対応付けられて構成されていることを特徴とする請求項６乃至請求項９の何れかに記載の通信方法。
    

Images