Nothing Special   »   [go: up one dir, main page]

JP2007295273A - Mail server apparatus - Google Patents

Mail server apparatus Download PDF

Info

Publication number
JP2007295273A
JP2007295273A JP2006120824A JP2006120824A JP2007295273A JP 2007295273 A JP2007295273 A JP 2007295273A JP 2006120824 A JP2006120824 A JP 2006120824A JP 2006120824 A JP2006120824 A JP 2006120824A JP 2007295273 A JP2007295273 A JP 2007295273A
Authority
JP
Japan
Prior art keywords
encryption
layer
communication
tcp
mail
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2006120824A
Other languages
Japanese (ja)
Other versions
JP4783665B2 (en
Inventor
Hirotsugu Ozaki
博嗣 尾崎
Keiko Ogawa
恵子 小川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
TTT KK
Original Assignee
TTT KK
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by TTT KK filed Critical TTT KK
Priority to JP2006120824A priority Critical patent/JP4783665B2/en
Publication of JP2007295273A publication Critical patent/JP2007295273A/en
Application granted granted Critical
Publication of JP4783665B2 publication Critical patent/JP4783665B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

<P>PROBLEM TO BE SOLVED: To prevent "leakage", "alteration", "spoofing", "intrusion", and "attack" of data on the Internet in communication between a personal computer and the external terminals. <P>SOLUTION: A mail server apparatus 600 is provided with NIC (Network Interface Card) drivers 1a, 1b connected to networks 200, 300, respectively. A network layer including an application analysis function 20 for defining a communication method for executing communication while routing between two arbitrary nodes, and a transport layer are provided on a physical layer including the NIC drivers 1a, 1b and a data link layer. A function of "TCP2" 30 previously proposed by the inventor is provided between the data link layer and the network layer. <P>COPYRIGHT: (C)2008,JPO&INPIT

Description

本発明は、例えばトランスポート層に位置するTCP又はUDPプロトコルに暗号化機能を追加して電子化情報の通信を行う際に使用して好適なメールサーバ装置に関する。詳しくは、通信におけるセキュリティシステム、特に、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐためのものである。   The present invention relates to a mail server device suitable for use when, for example, electronic information is communicated by adding an encryption function to a TCP or UDP protocol located in a transport layer. More specifically, it is intended to prevent a security system in communication, in particular, “leakage” and “tampering” of data on the Internet, as well as “spoofing”, “entry” or “attack”.

本発明者は、先に上位アプリケーションのプログラムを変更することなく、データの漏洩、改竄、なりすまし、進入、攻撃の防止機能を強化するため、送信側と受信側とで暗号化・復号化ロジックの取決めを行い、これをトランスポート層に存在するTCP又はUDPに該当するプロトコルのペイロードに適用する新規な暗号化システムTCP2を提供している(例えば、特許文献1参照。)。   In order to strengthen the function of preventing data leakage, tampering, impersonation, entry, and attack without changing the upper application program first, the present inventor has the encryption / decryption logic between the transmission side and the reception side. A new encryption system TCP2 that provides an agreement and applies it to the payload of a protocol corresponding to TCP or UDP existing in the transport layer is provided (see, for example, Patent Document 1).

近年、インターネットを利用した通信は、パソコンさえあれば、それをネットワークに接続するだけで、誰でもネットワーク上のコンピュータにアクセスできるため、社会の中で急速に普及拡大している。一方、このインターネット通信の普及拡大に伴って、ハッカー(hacker)やクラッカー(Cracker)が他人のコンピュータシステムに侵入して、ソフトウエアやデータを盗み見たり、改竄や破壊を行ったりするという社会問題も大きくなっている。   In recent years, communication using the Internet is rapidly spreading in society because anyone can access a computer on a network by connecting it to a network as long as it has a personal computer. On the other hand, along with the spread of Internet communication, there are social problems such as hackers and crackers intruding into other people's computer systems to steal software, data, and tamper and destroy them. It is getting bigger.

具体的な不正妨害のケースとしては、まず第1に、中心的なシステムが使えなくなるように、ネットワークから大量のメッセージを送りつけコンピュータシステムの運用を妨害するシステム妨害がある。この妨害によってホストが過負荷になるとシステムダウンに陥ってしまうことも起こりうる。   As a specific case of illegal interference, first of all, there is a system interference in which a large number of messages are sent from the network and the operation of the computer system is interrupted so that the central system cannot be used. If the host is overloaded due to this interference, the system may go down.

また、ホストのパスワードを不正に入手し、機密情報を盗んだり、情報の改竄や破壊を行ったりする「不正アクセスとなりすまし」の不正妨害がある。この妨害にはコンピュータが保有する情報を勝手に書き換え、人を陥れる卑劣のものもある。また、特定のパソコンに忍び込み、メールアドレスやパスワードなど個人の機密データを搾取するスパイウエアといわれる不正行為も発生している。このようにネットワークに接続したコンピュータが持つデータベースの内容を不正に盗み見る、いわゆる盗聴行為も頻繁に行われている可能性も否定できない。   In addition, there is an illegal interception of “illegal access and impersonation” that illegally obtains a host password, steals confidential information, or alters or destroys information. Some of these obstructions mean that the information held by the computer can be rewritten and the person can fall. In addition, fraudulent acts called spyware that sneak into specific computers and exploit personal sensitive data such as email addresses and passwords have also occurred. In this way, it is impossible to deny the possibility that so-called eavesdropping is frequently performed in which the contents of a database held by a computer connected to a network are illegally stolen.

また、サイト若しくはサーバの運営元で、意図的に個人情報を盗むといった行為や、社内に潜むスパイなどによるサイバーテロ(Cyber terrorism)といった危機も全くないとはいえない状況である。   In addition, there is no risk of cyber terrorism caused by intentional stealing of personal information or cyber terrorism lurking inside the company at the site or server operator.

さらに、他人のコンピュータにコンピュータ障害をもたらすプログラムである「ウイルス」を送り込むという不正妨害が最近多くなっている。この送り込まれたウイルスに、メールなどを自宅で使用したパソコンが感染し、それを社内に接続した瞬間に社内のパソコン全体が感染したり、ウイルスがコンピュータの中のファイルを破壊させたり、更には、ネットワーク全体をダウンさせたりするといった問題も生じている。   In addition, fraudulent disturbances such as sending "viruses" that are programs that cause computer problems to other people's computers have recently been increasing. This sent virus infects a computer that used e-mail at home, and when it is connected to the company, the entire company computer is infected, or the virus destroys files in the computer. There are also problems such as bringing down the entire network.

このため、従来のTCP/IP(Transmission Control Protocol/Internet Protocol)やUDP(User Datagram Protocol)を利用したインターネット上での通信において、データの「漏洩」、「改竄」等を防ぐ機能として、IPsec(アイピーセック:Security Architecture for Internet Protocol)やSSL(Secure Socket Layer)といわれる暗号化通信が利用されている。   For this reason, as a function for preventing data “leakage”, “tampering”, etc. in communication on the Internet using conventional Transmission Control Protocol / Internet Protocol (TCP / IP) or User Datagram Protocol (UDP), IPsec ( IPSEC: Encrypted communication called Security Architecture for Internet Protocol (SSL) or Secure Socket Layer (SSL) is used.

一般に、暗号化通信には、共通鍵(秘密鍵ともいう)暗号方式と公開鍵暗号方式があるが、IPsecは共通鍵暗号方式を用いたものが多い。共通鍵暗号方式の方が公開鍵暗号方式より暗号化・復号化の速度が速いという特徴がある。このIPsecに用いられる共通鍵暗号方式は、暗号化と復号化を同じ鍵で行う方式であり、鍵の生成は送信側又は受信側のいずれで生成してもよいが、受信側と送信側とで共通鍵を使うために、鍵の交換時に内容が外部に漏れないよう細心の注意を払わなければならない。   In general, encrypted communication includes a common key (also referred to as a secret key) encryption method and a public key encryption method, and IPsec often uses a common key encryption method. The common key cryptosystem has a feature that the encryption / decryption speed is faster than the public key cryptosystem. The common key encryption method used for IPsec is a method in which encryption and decryption are performed with the same key, and the key may be generated on either the transmission side or the reception side. In order to use a common key, it is necessary to pay close attention not to leak the contents to the outside when exchanging keys.

共通鍵暗号方式に用いられるアルゴリズムはDES(Data Encryption Standard:米国IBM社が開発した共通鍵(秘密鍵)暗号化アルゴリズム)が代表的である。IPsecもこのDESを暗号アルゴリズムの1つに採用している。IPsecは、IETF(Internet Engineer Task Force)が標準化を進めたものであり、この特徴は、単に特定のアプリケーションだけを暗号化するのではなく、ホストから送信されるあらゆる通信をIPレベルで暗号化する点にある。   A typical algorithm used in the common key cryptosystem is DES (Data Encryption Standard: a common key (secret key) encryption algorithm developed by IBM Corporation, USA). IPsec also uses this DES as one of the encryption algorithms. IPsec is standardized by the IETF (Internet Engineer Task Force), and this feature encrypts all communications sent from the host at the IP level, not just a specific application. In the point.

これによりユーザはアプリケーションを意識することなく安全な通信を可能とすることができる。また、IPsecは、将来にわたって使えるように、それ自体の仕組みを変えることなく使用する暗号アルゴリズムを変更することを可能としている。IPsecで用いられる共通暗号鍵としては、SPI(Security Pointer Index)と呼ばれる32ビット符合が用いられ、鍵交換プロトコルとしては、IKE(Internet Key Exchange)が用いられる。さらに、IPsecには、完全性認証のためのプロトコルAH(Authentication Header)が用意されている。   As a result, the user can perform secure communication without being aware of the application. In addition, IPsec can change the encryption algorithm to be used without changing its own mechanism so that it can be used in the future. A 32-bit code called SPI (Security Pointer Index) is used as a common encryption key used in IPsec, and IKE (Internet Key Exchange) is used as a key exchange protocol. Furthermore, in IPsec, a protocol AH (Authentication Header) for integrity authentication is prepared.

また、SSLは、米ネットスケープ社(現在AOLに吸収合併)の開発したセキュリティ機能付HTTPプロトコルであり、これを利用することによりクライアントとサーバがネットワーク上でお互いを認証できるようになり、クレジットカード情報などの機密性の高い情報を暗号化してやり取りすることが可能となる。これにより、データの盗聴、再送攻撃(ネットワーク上に流れたデータを盗聴して何度も繰り返して送ってくる攻撃)、なりすまし(本人の振りをして通信する)、データの改竄などを防止することができる。   SSL is an HTTP protocol with security function developed by Netscape Corporation (currently merged with AOL). By using this protocol, the client and server can authenticate each other on the network, and credit card information It is possible to exchange highly confidential information such as. This prevents data eavesdropping, replay attacks (attack of eavesdropping on data flowing over the network and repeatedly sending data), spoofing (communication by pretending to be the person), data tampering, etc. be able to.

図8のAは従来のIPsecを用いた暗号化通信を行う場合のプロトコルスタックの例を示し、図8のBは従来のSSLを用いた暗号化通信を行う場合のプロトコルスタックの例を示している。   FIG. 8A shows an example of a protocol stack when performing encrypted communication using conventional IPsec, and FIG. 8B shows an example of a protocol stack when performing encrypted communication using conventional SSL. Yes.

OSI参照モデルは、最下層(第1層)が物理層、第2層がデータリンク層、第3層がネットワーク層、第4層がトランスポート層、第5層がセッション層、第6層がプレゼンテーション層、最上層(第7層)がアプリケーション層になっている。このOSI参照モデルにおける7階層は、通信機能を7段階に分けたものであり、その階層毎に標準的な機能モジュールを定めている。図8のAでは、第5層のセッション層までが示されている。プロトコルスタックとは、ネットワークの各階層における機能を実現するためのプロトコルを選び、階層状に積み上げたソフトウエア群である。   In the OSI reference model, the lowest layer (first layer) is the physical layer, the second layer is the data link layer, the third layer is the network layer, the fourth layer is the transport layer, the fifth layer is the session layer, and the sixth layer is The presentation layer and the top layer (seventh layer) are application layers. Seven layers in the OSI reference model are obtained by dividing the communication function into seven stages, and standard function modules are defined for each layer. In FIG. 8A, up to the fifth session layer is shown. The protocol stack is a software group in which protocols for realizing functions in each layer of the network are selected and stacked in a hierarchical manner.

まず、OSI参照モデルについて概略を説明すると、第1層の物理層は、信号線の物理的な電気特性や符号の変調方法などを規定した層である。ただ、この層だけが単独で定義・実装されることは少なく、通常は、第2層のデータリンク層と共に、たとえばイーサネットの規格、などとして定義される。   First, an outline of the OSI reference model will be described. The physical layer of the first layer is a layer that defines physical electrical characteristics of a signal line, a code modulation method, and the like. However, this layer alone is rarely defined and implemented alone, and is usually defined as, for example, the Ethernet standard together with the data link layer of the second layer.

第2層のデータリンク層は、データのパケット化や物理的なノードアドレス、パケットの送受信方法などを規定する層である。この層は、物理的な通信媒体を通して、2つのノード間でパケットをやり取りするためのプロトコルを規定するものであり、各ノードに対して、何らかのアドレスを付け、そのアドレスに基づいてパケットの送信先を特定し、パケットを通信媒体上に送信する。   The data link layer of the second layer is a layer that defines data packetization, physical node address, packet transmission / reception method, and the like. This layer defines a protocol for exchanging packets between two nodes through a physical communication medium. Each node is assigned some address, and the packet destination is based on that address. And the packet is transmitted on the communication medium.

通信媒体としては、銅配線や無線、光ファイバなど、多様なものがある。また、接続形態(トポロジー)も、1対1の対向接続だけでなく、バス型やスター型、リング型など多くの種類がある。通信媒体上に送信されたパケットは、受信側ノードに到着した時点でそのノードに取り込まれ、さらに上位のプロトコル層へと渡される。   There are various communication media such as copper wiring, radio, and optical fiber. Also, there are many types of connections (topologies) such as a bus type, a star type, and a ring type as well as a one-to-one facing connection. When the packet transmitted on the communication medium arrives at the receiving node, the packet is taken into that node and passed to a higher protocol layer.

物理層とデータリンク層に渡って配置されるNIC(Network Interface Card)ドライバは、パソコンやプリンタなどを構内ネットワーク(LAN)につなぐための拡張ボードである。単にネットワークカードという場合はイーサネットにつなぐ場合が多い。   A NIC (Network Interface Card) driver arranged across the physical layer and the data link layer is an expansion board for connecting a personal computer, a printer, and the like to a local area network (LAN). If it is simply a network card, it is often connected to Ethernet.

このNICドライバにより、データを送信したいノード(機器)がケーブルの空き状況を監視して、ケーブルが空くと送信を開始するようにしている。このとき、もし複数のノードが同時に送信を開始するとケーブル内でデータが衝突して破壊されるので、両者は送信を中止し、ランダムな時間を待って送信を再開するのである。これによって一本のケーブルを複数のノードが共有して互いに通信することができる。   With this NIC driver, a node (device) that wants to transmit data monitors the availability of the cable and starts transmission when the cable is available. At this time, if a plurality of nodes start transmission at the same time, data collides in the cable and is destroyed, so both stop transmission and wait for a random time to resume transmission. Thus, a plurality of nodes can share a single cable and communicate with each other.

第3層のネットワーク層は、任意の2つのノード間での通信方法を規定する層である。TCP/IPでいえばIP層に相当する。データリンク層では、同一ネットワーク媒体上のノード間での通信を行うことができるが、その機能を使って、ネットワーク上に存在する任意の2つのノード間で、ルーティング(routing)を行いながら通信するのがこのネットワーク層の役目である。   The network layer of the third layer is a layer that defines a communication method between any two nodes. TCP / IP corresponds to the IP layer. In the data link layer, communication between nodes on the same network medium can be performed, but communication is performed while performing routing between any two nodes existing on the network by using the function. This is the role of this network layer.

ここで、ルーティングとはTCP/IPネットワークにおいて目的のホストまでパケットを送信するときに、最適な経路を選択して送信することをいう。例えば、イーサネットでは、同一セグメント上のノード同士でしかお互いに通信できないが、ネットワーク層では、2つのイーサネットセグメント間でパケットをルーティングすることによって通信を行う。   Here, routing refers to selecting and transmitting an optimum route when transmitting a packet to a target host in a TCP / IP network. For example, in Ethernet, only nodes on the same segment can communicate with each other, but in the network layer, communication is performed by routing packets between two Ethernet segments.

また、電話回線を通じてコンピュータをネットワーク(イーサネット)に接続するダイヤルアップPPP(Point to Point Protocol)回線へのルーティング、また、光ファイバを使った専用線へのルーティングなど、物理的なネットワーク媒体によらずにパケットをルーティングすることができる。この目的のため、通常は、物理媒体に依存しないアドレス(TCP/IPならば、IPアドレス)を各ノードに割り当て、これに基づいてルーティングを行っている。   In addition, routing to a dial-up PPP (Point to Point Protocol) line that connects a computer to a network (Ethernet) through a telephone line, and routing to a dedicated line using optical fiber, regardless of the physical network medium. Packets can be routed to For this purpose, an address independent of a physical medium (IP address in the case of TCP / IP) is normally assigned to each node, and routing is performed based on this.

IPsecは、このネットワーク層で、つまりIPレベルでホストから送信されるあらゆる通信を暗号化するので、ユーザはアプリケーションを意識することなく安全な通信を可能とすることができるのである。   Since IPsec encrypts all communications transmitted from the host at this network layer, that is, at the IP level, the user can enable secure communications without being aware of the application.

第4層のトランスポート層は、各ノード上で実行されている2つのプロセス間で通信を行う機能を提供している層であり、プロトコル層である。TCP/IPでいえばTCPがこれに相当する。またネットワーク層では、2つのノード間での通信を行う機能を提供しているが、これを使って、2つのプロセス(アプリケーション)間で、エラーのない、仮想的な通信路を提供するのがTCPの役目である。   The transport layer of the fourth layer is a layer that provides a function of performing communication between two processes executed on each node, and is a protocol layer. TCP corresponds to TCP / IP. Also, the network layer provides a function to perform communication between two nodes. By using this function, a virtual communication path without error can be provided between two processes (applications). It is the role of TCP.

すなわち、ネットワーク層ではデータを送ることはできるが、そのデータが確実に相手に届くという保証はない。また、送信した順に正しくデータが届くという保証もない。そこで、アプリケーションにとって使いやすくするために、エラーのない通信路を提供するのがTCPである。必要ならばデータの再送・回復処理などを行う。   In other words, data can be sent at the network layer, but there is no guarantee that the data will reach the other party. There is no guarantee that the data will arrive correctly in the order of transmission. Therefore, in order to make it easy for applications to use, TCP provides an error-free communication path. If necessary, resend / restore data.

このトランスポート層にはTCPの他にUDPも配置されるが、このUDPとTCPの違いは、TCPがデータの補償がされているプロトコルである分、UDPより低速であるのに対して、UDPはデータ補償がない分、高速になっている点である。コンピュータ間の通信のように主としてデータを送る場合にはTCPが用いられ、IP電話のように音声や画像を送る場合にはUDPが多く用いられる。この通信システムは、本発明者が特許文献1において初めて提案したものである。   In addition to TCP, UDP is also placed in this transport layer. The difference between UDP and TCP is that TCP is slower than UDP because it is a protocol that compensates for data. Is faster because there is no data compensation. TCP is used when mainly sending data as in communication between computers, and UDP is often used when sending voice and images like IP telephones. This communication system was first proposed by the present inventor in Patent Document 1.

第5層のセッション層は、セッション(通信の開始から終了まで)の手順を規定する層であり、アプリケーション間でコネクションを開設して通信ができる状態にする層である。この層に配置されるソケット(socket)は、コンピュータが持つネットワーク内の住所に当たるIPアドレスと、IPアドレスのサブアドレスであるポート番号を組み合わせたネットワークアドレスを意味している。   The session layer of the fifth layer is a layer that defines the procedure of a session (from the start to the end of communication), and is a layer that establishes a connection between applications and enables communication. A socket arranged in this layer means a network address that combines an IP address corresponding to an address in the network of the computer and a port number that is a sub-address of the IP address.

コンピュータ同士を接続する場合は、必ずソケット(IPアドレスとポート番号の組)を指定して行う。図8のBに示すように、従来の代表的な暗号化通信技術であるSSLは、このセッション層で暗号化通信を実現している。   When connecting computers, be sure to specify a socket (a pair of IP address and port number). As shown in FIG. 8B, SSL, which is a typical conventional encrypted communication technology, realizes encrypted communication in this session layer.

第6層のプレゼンテーション層は、セッション(通信の開始から終了まで)でやり取りするデータの表現方法や符号化、暗号化などを規定する層である。TCP/IPプロトコルでは、この層に相当する部分はなく、通常はアプリケーション自身でストリームデータの処理をハンドリングしている。   The sixth presentation layer is a layer that prescribes a representation method, encoding, encryption, and the like of data exchanged in a session (from the start to the end of communication). In the TCP / IP protocol, there is no portion corresponding to this layer, and normally, the application itself handles stream data processing.

また、第7層のアプリケーション層は、アプリケーション間でのデータのやり取りを規定するための層であり、TCP/IPプロトコルではこの層に相当する部分はない。例えば、電子メールのフォーマットや、文書の内部構造など、アプリケーション間で相互にデータをやり取りする場合に必要な、共通のデータ構造などを規定する層である。   The application layer of the seventh layer is a layer for defining data exchange between applications, and there is no portion corresponding to this layer in the TCP / IP protocol. For example, it is a layer that defines a common data structure and the like necessary for exchanging data between applications such as an e-mail format and an internal structure of a document.

図8のAは、IPsecを搭載した標準プロトコルスタックであるが、まず、物理層(第1層)とデータリンク層(第2層)に、NIC(Network Interface Card)ドライバが設けられている。このドライバは、コンピュータなどのハードウエアをネットワークに接続するためのインターフェースカードのドライバであり、その内容はデータ送受信制御ソフトウエアである。例えばEthernetに接続するためのLANボードまたはLANカードがこれに相当する。   FIG. 8A shows a standard protocol stack equipped with IPsec. First, a NIC (Network Interface Card) driver is provided in the physical layer (first layer) and the data link layer (second layer). This driver is a driver for an interface card for connecting hardware such as a computer to a network, and its contents are data transmission / reception control software. For example, a LAN board or a LAN card for connecting to Ethernet corresponds to this.

第3層のネットワーク層は、一部がトランスポート層(第4層)まで伸びたIPエミュレータ(emulator)が存在している。このトランスポート層まで延びた部分には、トランスポートとしての機能は実装していない。セッション層に、ネットワーク層の機能を提供しているだけある。このIPエミュレータは、IPsecによる暗号化通信を行うプロトコルと、暗号化通信を行わないプロトコルであるIPを用途に応じて切り換えて使う働きをする。   In the third network layer, there is an IP emulator partially extending to the transport layer (fourth layer). A function as a transport is not mounted on the portion extending to the transport layer. It only provides network layer functionality to the session layer. This IP emulator functions to switch between a protocol that performs encrypted communication by IPsec and an IP that is a protocol that does not perform encrypted communication, depending on the application.

また、第3層のネットワーク層にはARP(Address Resolution Protocol)が配置されている。このARPは、IPアドレスからEthernetの物理アドレスであるMAC(Media Access Control)アドレスを求めるのに使われるプロトコルである。MACは、媒体アクセス制御と呼ばれる、LANなどで利用される伝送制御技術であり、データの送受信単位であるフレームの送受信方法やフレームの形式、誤り訂正などを規定する技術として利用されている。   An ARP (Address Resolution Protocol) is arranged in the third network layer. This ARP is a protocol used for obtaining a MAC (Media Access Control) address, which is an Ethernet physical address, from an IP address. The MAC is a transmission control technique used in a LAN or the like called medium access control, and is used as a technique for specifying a frame transmission / reception method, a frame format, error correction, and the like as a data transmission / reception unit.

また、このネットワーク層には、IPのエラーメッセージや制御メッセージを転送するプロトコルであるICMP(Internet Control Message Protocol)と、同一のデータを複数のホストに効率よく配送するための又は配送を受けるために構成されるホストのグループを制御するためのプロトコルであるIGMP(Internet Group Management Protocol)が設けられている。そして、ネットワーク層の上位層のトランスポート層には、TCPとUDPが、そしてその上位層であるセッション層にはソケット(Socket)インターフェイスが配列されている。   In addition, to this network layer, in order to efficiently deliver the same data to a plurality of hosts or to receive the delivery, there is ICMP (Internet Control Message Protocol) which is a protocol for transferring IP error messages and control messages. IGMP (Internet Group Management Protocol), which is a protocol for controlling a group of configured hosts, is provided. TCP and UDP are arranged in the transport layer above the network layer, and a socket interface is arranged in the session layer which is the upper layer.

図8のBは、暗号化処理プロトコルとしてSSLを具備した標準プロトコルの例であり、ネットワーク層にIPsecを搭載しない代わりにソケット(セッション層)にSSLが搭載されている。この他のプロトコルは図8のAに示したものと同じである。   B of FIG. 8 is an example of a standard protocol having SSL as an encryption processing protocol. SSL is mounted on a socket (session layer) instead of mounting IPsec on the network layer. Other protocols are the same as those shown in FIG.

従来の代表的な暗号化通信技術の中で、IPsecは、IPのパケットを暗号化して送受信するものであり、したがって、TCPやUDPなどの上位のプロトコルを利用するアプリケーションソフトはIPsecが使われていることを意識する必要がない。   Among typical encryption communication technologies in the past, IPsec is a method for encrypting and transmitting / receiving IP packets. Therefore, IPsec is used as application software that uses a higher-level protocol such as TCP or UDP. There is no need to be aware that

一方、SSLでは、互いの認証レベルではRSA(Rivest Shamir Adleman:公開鍵暗号方式を開発者3人の頭文字)公開鍵暗号技術を用いたデジタル証明書が用いられ、データの暗号化ではDESなどの共通鍵暗号技術が用いられている。このSSLは第5層のセッション層にあるため、特定のアプリケーションに依存することになる。   On the other hand, in SSL, digital certificates using RSA (Rivest Shamir Adleman: an acronym for three developers of public key cryptography) public key cryptography are used at the mutual authentication level, and DES is used for data encryption. Common key encryption technology is used. Since this SSL is in the session layer of the fifth layer, it depends on a specific application.

IPsecは、OSIにおける第4層(トランスポート層)より下位の第3層(ネットワーク層)におけるデータの「漏洩」や「改竄」を防ぐ機能として実現したものである(非特許文献1を参照。)。これに対して、SSLは、第5層のセッション層における暗号化技術であり、現在インターネットで広く使われているWWW(World Wide Web)やFTP(File Transfer Protocol)などのデータを暗号化して、プライバシーに係る情報や企業秘密情報などを安全に送受信するためのものである。   IPsec is realized as a function for preventing data “leakage” and “tampering” in the third layer (network layer) lower than the fourth layer (transport layer) in OSI (see Non-Patent Document 1). ). On the other hand, SSL is an encryption technology in the session layer of the fifth layer, and encrypts data such as WWW (World Wide Web) and FTP (File Transfer Protocol) that are widely used in the Internet at present, It is for safely transmitting and receiving information related to privacy and confidential business information.

図9に示す表1は、IPsecとSSLの機能を比較して記載したものである。この表から見る限り、IPsecとSSLは互いに相反する利点と欠点がある。   Table 1 shown in FIG. 9 compares the functions of IPsec and SSL. As can be seen from this table, IPsec and SSL have advantages and disadvantages that conflict with each other.

例えば、クライアント−クライアント間の通信では、SSLの場合、そのコマンド体系と通信内容が主従の関係、つまりクライアント/サーバとなってしまうことから、サーバを介することなくクライアント−クライアント間の通信はできなかった。すなわち、端末Aから端末Bに秘密のデータをSSLにより暗号化して送る場合には、必ず間にサーバを介在する必要があった。これに対して、IPsecではこのような制約がないので直接通信が可能となる。   For example, in the communication between the client and the client, in the case of SSL, since the command system and the communication content become a master-slave relationship, that is, a client / server, communication between the client and the client cannot be performed without going through the server. It was. That is, when secret data is sent from terminal A to terminal B after being encrypted by SSL, a server must be interposed between them. On the other hand, since there is no such restriction in IPsec, direct communication is possible.

また、PPP(Point to Point Protocol)モバイル環境あるいはADSL(Asymmetric Digital Subscriber Line)環境においては、IPsecは、データの暗号化通信を開始する前に、暗号化方式の決定、鍵の交換、相互認証に使用するプロトコルであるIKE(Internet Key Exchange)プロトコルを使用した通信の中で、接続先相手の認証を行っている。   Also, in a PPP (Point to Point Protocol) mobile environment or ADSL (Asymmetric Digital Subscriber Line) environment, IPsec performs encryption determination, key exchange, and mutual authentication before starting encrypted data communication. In communication using the IKE (Internet Key Exchange) protocol, which is a protocol to be used, the other party is authenticated.

したがって、PPPモバイル環境(リモートクライアント)又は、ADSL環境の場合、IPアドレスが固定できないため、IPsecのゲートウェイ間で、最も使用しているIKEのMainモード、つまり認証の際に通信相手のIPアドレス情報を使用するモードを使用することができない。   Therefore, in the PPP mobile environment (remote client) or ADSL environment, since the IP address cannot be fixed, the IKE main mode most used between the IPsec gateways, that is, the IP address information of the communication partner at the time of authentication Cannot use the mode to use.

なお、解決策としては、Aggressiveモードを使用することで、ID情報にIPアドレスを使用しなくてもよく、ID情報に例えばユーザ情報を使用し、既知共有鍵にユーザのパスワードを使用することで相手を特定することができる。但し、Aggressiveモードでは鍵交換情報と同じメッセージの中で接続先相手のIDを送信するため、IDは暗号化されずに平文のまま送信することになる。   As a solution, by using the Aggressive mode, it is not necessary to use an IP address for ID information. For example, user information is used for ID information, and a user password is used for a known shared key. The partner can be specified. However, in the Aggressive mode, since the ID of the connection partner is transmitted in the same message as the key exchange information, the ID is transmitted as plain text without being encrypted.

また、XAUTH(Extended Authentication within IKE)を利用することにより、認証の問題を解決することができるが、ファイアウォールの設定で、リモートクライアントからのアクセスは、IPアドレスが不明であるため、IKE、IPsecを全て許可にする必要があり、セキュリティ上問題が残る。SSLは、この環境下であっても、通信することが可能である。   In addition, by using XAUTH (Extended Authentication within IKE), the problem of authentication can be solved. However, since the IP address is unknown for access from a remote client in the firewall setting, IKE and IPsec are not used. All must be allowed, leaving a security problem. SSL can communicate even in this environment.

また、IPsecは、NAT(Network Address Translation)やIPマスカレードに対応することができないという問題がある。これらに対応するためには、例えばUDPのペイロードに載せるといった他の機能と併用しなければならない。   Further, IPsec has a problem that it cannot cope with NAT (Network Address Translation) or IP masquerade. In order to deal with these, it must be used in combination with other functions such as loading on the UDP payload.

NATは、インターネットに接続された企業などが1つのグローバルなIPアドレスを複数のコンピュータで共有する技術であり、組織内でのみ通用するIPアドレス(ローカルアドレス)とインターネット上のアドレス(グローバルアドレス)を相互変換する技術である。NATに対応できないのは、IPヘッダがAH(Authentication Header)の認証範囲に入っているため、このローカルアドレスからグローバルアドレスの相互変換ができなくなり、サブネットの異なるローカルアドレス同士の通信ができなくなるからである。   NAT is a technology that allows companies connected to the Internet to share a single global IP address among multiple computers. An IP address (local address) that can be used only within an organization and an Internet address (global address) are used. It is a technology for mutual conversion. NAT cannot be supported because the IP header is within the authentication range of AH (Authentication Header), so it is not possible to convert global addresses from each other, and communication between local addresses in different subnets becomes impossible. is there.

また、IPマスカレードとは、LAN内のプライベートアドレスを持つ複数のクライアントからインターネットにアクセスすることを可能とするような仕組みであり、これを利用すると、外部(インターネット)からはIPマスカレードが動作している端末しか見えないのでセキュリティ上から見て望ましいといえるものである。IPsecがIPマスカレードに対応できない理由は、IPsecのESP(Encapsulating Security Payload:暗号ペイロード)ヘッダがIPヘッダのすぐ後にあるためである。   In addition, IP masquerade is a mechanism that allows a plurality of clients having private addresses in the LAN to access the Internet. When this is used, IP masquerade operates from the outside (Internet). It can be said that it is desirable from the viewpoint of security because only the terminal that is present can be seen. The reason why IPsec cannot cope with IP masquerading is that the IPsec ESP (Encapsulating Security Payload) header is immediately after the IP header.

IPマスカレードを実装している通常のルータは、IPヘッダのすぐ後ろには、TCP/UDPのポート番号があると判断している。したがって、IPマスカレードを実装しているルータを経由すると、このポート番号を変更してしまうため、IPsecは、改竄されたと判断して、ホストの認証ができないという問題が生じる。この問題は、UDPのペイロードに乗せるためのNAT−T(NAT-Traversal)をサポートする製品を利用することで回避することができる。   A normal router equipped with IP masquerading determines that there is a TCP / UDP port number immediately after the IP header. Therefore, since this port number is changed when passing through a router equipped with IP masquerade, IPsec determines that it has been tampered with, and there is a problem that the host cannot be authenticated. This problem can be avoided by using a product that supports NAT-T (NAT-Traversal) for mounting on the UDP payload.

但し、NAT−Tのドラフトバージョンが異なると、NAT−T対応製品同士でも接続することができない。SSLは、この環境下であっても、通信することが可能である。   However, if the draft version of NAT-T is different, even NAT-T compatible products cannot be connected. SSL can communicate even in this environment.

これに対し、ハッカーやクラッカーといわれるネットワークの不正侵入者によるTCP/IPへのさまざまな攻撃、いわゆるDoS攻撃(Denial of Service:サービスを停止させる攻撃)に対しては、SSLは無力である。TCP/IPプロトコルスタックへのDoS攻撃、例えば、TCP切断攻撃が行われると、TCPセッションが切れてしまいSSLのサービスは停止してしまうのである。   On the other hand, SSL is ineffective against various attacks on TCP / IP by unauthorized intruders of networks called hackers and crackers, so-called DoS attacks (Denial of Service). When a DoS attack to the TCP / IP protocol stack, for example, a TCP disconnection attack is performed, the TCP session is cut and the SSL service is stopped.

IPsecは第3層(IP層)に実装しているため、IP層にセキュリティ機能を持つので、TCP/IP(第4層、第3層)へのDoS攻撃を防ぐことができる。しかし、SSLは、TCP/IP(第4層、第3層)より上の層(第5層)に実装されている暗号化プロトコルであるため、TCP/IPへのDoS攻撃を防ぐことができない。   Since IPsec is implemented in the third layer (IP layer), since the IP layer has a security function, it is possible to prevent a DoS attack on TCP / IP (fourth layer, third layer). However, since SSL is an encryption protocol implemented in a layer (fifth layer) above TCP / IP (fourth layer, third layer), it cannot prevent a DoS attack on TCP / IP. .

さらに、物理ノイズが多く通信エラーが多発するような劣悪な通信環境化における通信に対しては、SSLの方がIPsecに比べて効果的である。すなわち、IPsecは、エラーの検出をした場合、再送動作を上位のTCPに任せることになる。TCPは、再送データをIPsecに送るが、IPsecはこの再送データであることが認識できず、再暗号を行ってしまうのである。SSLはTCPでエラー回復処理を行うので同じデータを再暗号化することはない。   Furthermore, SSL is more effective than IPsec for communication in a poor communication environment where there are many physical noises and many communication errors occur. In other words, when IPsec detects an error, it leaves the retransmission operation to the upper TCP. TCP sends retransmission data to IPsec, but IPsec cannot recognize that it is this retransmission data and re-encrypts it. Since SSL performs error recovery processing with TCP, the same data is not re-encrypted.

また、IPsecでは異なったLAN間の通信ができない。すなわち、LAN内のサブネットアドレスの配布管理は、LAN内にあるDHCP(Dynamic Host Configuration Protocol)サーバが管理しているため、LAN内では、同一のサブネットアドレスが割り振られることはないが、異なったLAN間の通信の場合、お互いのLAN内にあるDHCPサーバが個別にサブネットアドレスを割り振っているため、同一アドレスが割り振られる可能性がある。   Also, communication between different LANs is not possible with IPsec. That is, since distribution management of subnet addresses in the LAN is managed by a DHCP (Dynamic Host Configuration Protocol) server in the LAN, the same subnet address is not allocated in the LAN, but different LANs. In the case of communication between the two, the DHCP server in each other's LAN individually assigns a subnet address, so there is a possibility that the same address is assigned.

このように同一アドレスが割り振られた場合には、IPsecでは通信することができない。但し、別にIPsec−DHCPサーバを立てて、同一アドレスにならないように管理すれば、通信することができる。SSLは上述したようにOSI参照モデルの第5層(セッション層)に位置しているため、下位層のTCPでエラー回復処理を行うことができ、上記のような劣悪な環境下でも通信することが可能となる。   When the same address is assigned in this way, communication cannot be performed by IPsec. However, if an IPsec-DHCP server is set up separately and managed so as not to have the same address, communication is possible. Since SSL is located in the fifth layer (session layer) of the OSI reference model as described above, it is possible to perform error recovery processing with lower-layer TCP and communicate even in the above-mentioned poor environment. Is possible.

また、異なったネットワーク環境下における通信に対しては、IPsecは、経由するノード全てを管理し、IPsecが通過できるように設定変更しなければならないため、管理が大変であるが、SSLは、この環境下であっても、経由するノードの環境を意識せず通信することが可能である。   Also, for communication under different network environments, IPsec has to manage all the nodes through which it has to change settings so that IPsec can pass through. Even under the environment, it is possible to communicate without being aware of the environment of the node through which it passes.

また、SSLは、UDPの通信をサポートしていないため、UDPを暗号通信することができない。TCPも特定のポートしかサポートしていないため、TCP全てのポートを暗号通信することができない。これに対して、IPsecは、UDPでもTCPでも暗号通信することができる。   In addition, since SSL does not support UDP communication, it is not possible to perform encrypted communication of UDP. Since TCP also supports only a specific port, it is impossible to perform cryptographic communication on all TCP ports. On the other hand, IPsec can perform encrypted communication using either UDP or TCP.

さらに、SSLはアプリケーションに対する互換性を持たない点において問題がある。アプリケーションは、インターネット通信を行う際にソケット(第5層)をプログラムインターフェースとして使用する。このため、アプリケーションがSSL(第5層)を使用する場合には、このソケットインターフェースをSSLインターフェースに変更しなければならない。従って、SSLにアプリケーションの互換性はない。   Furthermore, SSL is problematic in that it is not compatible with applications. An application uses a socket (5th layer) as a program interface when performing Internet communication. For this reason, when an application uses SSL (5th layer), this socket interface must be changed to an SSL interface. Therefore, SSL does not have application compatibility.

これに対し、IPsecは、ソケット(第5層)の下に位置しているため、アプリケーションは、ソケット(第5層)をプログラムインターフェースとしてそのまま使用することができるのでアプリケーションの互換性がある。また、IPsecは、IPアドレス単位で制御することができるのに対し、SSLは、ソース単位(URL単位、フォルダー単位)で制御することになる。   On the other hand, since IPsec is located below the socket (5th layer), the application can use the socket (5th layer) as a program interface as it is, so that the application is compatible. In addition, IPsec can be controlled in units of IP addresses, whereas SSL is controlled in units of sources (URL units, folder units).

さらに、IPsecは最大セグメントサイズが小さくなるという問題がある。すなわち、IPsecでは、ESPヘッダ、ESPトレーラを使用するため、ペイロードが小さくなるため、フラグメント(パケットの分割)が発生し、スループットが低下する。また、TCPパケットでは、フラグメントが禁止であるため、エンドエンドで、IPsecの通過する環境を把握し、フラグメントが発生しない最大セグメントサイズを設定する必要がある。これに対し、SSLは、通過する環境を把握する必要がないため、最大セグメントサイズを設定する必要はない。   Further, IPsec has a problem that the maximum segment size becomes small. In other words, since the ESP header and ESP trailer are used in IPsec, the payload becomes small, so that fragments (packet division) occur and throughput decreases. In addition, since fragmentation is prohibited in a TCP packet, it is necessary to grasp the environment through which IPsec passes at the end end and set the maximum segment size at which no fragment occurs. On the other hand, since SSL does not need to grasp the environment through which it passes, it is not necessary to set the maximum segment size.

以上、表1(図9)にもとづいてIPsecとSSLの機能比較について説明したが、上述のようにIPsecとSSLには、互いに相反する長所と短所が混在しているものである。これに対して、本発明者は先に、これらIPsecとSSLのすべての長所を含み、さらに他にも多くのメリットを有する画期的な暗号通信プロトコルであるTCP2を提案した(特許文献1参照。)。   The function comparison between IPsec and SSL has been described with reference to Table 1 (FIG. 9). However, as described above, IPsec and SSL have mixed advantages and disadvantages. In contrast, the present inventor previously proposed TCP2, which is an epoch-making encryption communication protocol that includes all the advantages of IPsec and SSL and has many other merits (see Patent Document 1). .)

すなわち特許文献1に記載の発明においては、コンピュータ端末への不正侵入を防ぐための「暗号化の機能」をアプリケーション・プログラムそれぞれに実装する必要がなく、したがって、アプリケーション・プログラム自体を再作成する必要もなく、かつ上記暗号化機能に対応していない通信相手とも従来の平文による通信でき、さらにはIPsecが利用できない環境(あるいは利用したくない状況)でも暗号化や認証の恩恵を受けることができる。   That is, in the invention described in Patent Document 1, it is not necessary to implement an “encryption function” for preventing unauthorized entry into a computer terminal in each application program, and therefore it is necessary to recreate the application program itself. In addition, communication with a communication partner that does not support the above-mentioned encryption function can be performed in the conventional plaintext, and further, the benefits of encryption and authentication can be obtained even in an environment where IPsec cannot be used (or a situation where it is not desired to use). .

図10は、本発明者が先に特許文献1において提案した暗号化通信システムの一実施の形態に用いられるプロトコルスタックを示すものである。   FIG. 10 shows a protocol stack used in an embodiment of the encrypted communication system previously proposed by the present inventor in Patent Document 1. In FIG.

この特許文献1に記載の発明に用いられるプロトコルスタックは、図10に示すように、OSI7階層の物理層(第1層)とデータリンク層(第2層)に相当する階層に、NIC(Network Interface Card)ドライバ11が配列される。このドライバは、既に述べたように、コンピュータなどのハードウエアをネットワークに接続するためのインターフェースカードのドライバであり、その内容はデータ送受信制御ソフトウエアである。例えばEthernetに接続するためのLANボードまたはLANカードがこれに相当する。   As shown in FIG. 10, the protocol stack used in the invention described in Patent Document 1 includes a NIC (Network) in a layer corresponding to the physical layer (first layer) and the data link layer (second layer) of the OSI layer. Interface Card) driver 11 is arranged. As described above, this driver is a driver for an interface card for connecting hardware such as a computer to a network, and its contents are data transmission / reception control software. For example, a LAN board or a LAN card for connecting to Ethernet corresponds to this.

第3層のネットワーク層には、一部がトランスポート層(第4層)まで延びたIPエミュレータ(emulator)3が存在している。上記延びた部分には、トランスポートとしての機能は実装していない。セッション層に、ネットワーク層の機能を提供しているだけある。このIPエミュレータ3は、暗号化通信を行うプロトコルである「IPsec on CP」13bと、「IP on CP」13aを用途に応じて切り換えて使う働きをする。ここで、「on CP」とは、クラッキング・プロテクタ(CP)による、「進入」、「攻撃」の監視、破棄、切断ないし通過制限の対象となっていること、又は、設定によりなりうることを示している。   In the third network layer, there is an IP emulator 3 partially extending to the transport layer (fourth layer). A function as a transport is not mounted on the extended portion. It only provides network layer functionality to the session layer. The IP emulator 3 functions to switch between “IPsec on CP” 13b and “IP on CP” 13a, which are protocols for performing encrypted communication, depending on the application. Here, “on CP” means that it is subject to monitoring, destruction, disconnection or passage restriction of “entry” and “attack” by a cracking protector (CP), or that can be set. Show.

また、ネットワーク層には「ARP on CP(Address Resolution Protocol on Cracking Protector)」が配列されている。この「ARP on CP」は、クラッカー(Cracker)への保護対策を具備したIPアドレスからEthernetの物理アドレスであるMAC(Media Access Control)アドレスを求めるのに使われるプロトコルである。MACは、媒体アクセス制御と呼ばれる、LANなどで利用される伝送制御技術であり、データの送受信単位であるフレームの送受信方法やフレームの形式、誤り訂正などを規定する技術として利用されている。   In the network layer, “ARP on CP (Address Resolution Protocol on Cracking Protector)” is arranged. This “ARP on CP” is a protocol used to obtain a MAC (Media Access Control) address, which is an Ethernet physical address, from an IP address provided with protection measures against a cracker. The MAC is a transmission control technique used in a LAN or the like called medium access control, and is used as a technique for specifying a frame transmission / reception method, a frame format, error correction, and the like as a data transmission / reception unit.

ここで、IPエミュレータ13は、本発明による各種のセキュリティ機能を、従来のIP周辺のスタックに整合させるためのソフトウエア又はファームウエアである。すなわち、IPのエラーメッセージや制御メッセージを転送するプロトコルであるICMP(Internet Control Message Protocol)14a、同一のデータを複数のホストに効率よく配送するための又は配送を受けるために構成されるホストのグループを制御するためのプロトコルであるIGMP(Internet Group Management Protocol)14b、TCP15、UDP16さらにソケット(Socket)インターフェイス17に整合させるためのソフトウエア、又はファームウエア、ないしはハードウエア(電子回路、電子部品)である。このIPエミュレータ13により、IPsecの暗号化・復号化及び必要な認証情報付加・認証等の前後の適合処理を行うことができる。   Here, the IP emulator 13 is software or firmware for matching various security functions according to the present invention with a conventional IP peripheral stack. That is, ICMP (Internet Control Message Protocol) 14a, which is a protocol for transferring IP error messages and control messages, and a group of hosts configured to efficiently deliver or receive the same data to a plurality of hosts Software (IGMP) for controlling the Internet 14b, TCP15, UDP16, and software for matching with the socket interface 17, firmware, or hardware (electronic circuit, electronic component) is there. This IP emulator 13 can perform adaptation processing before and after IPsec encryption / decryption and addition / authentication of necessary authentication information.

このIPエミュレータ13の上層のトランスポート層(第4層)には、TCPエミュレータ15とUDPエミュレータ16が配置されている。TCPエミュレータ15は、暗号化通信を行うプロトコルである「TCPsec on CP」15bと、通常の通信プロトコルである「TCP on CP」15aを用途に応じて切り換えて使う働きをする。同様に、UDPエミュレータ16は、暗号化通信を行うプロトコルである「UDPsec on CP」16bと、通常の通信プロトコルである「UDP on CP」16aを用途に応じて切り換えて使う働きをする。   In the upper transport layer (fourth layer) of the IP emulator 13, a TCP emulator 15 and a UDP emulator 16 are arranged. The TCP emulator 15 functions to switch between “TCPsec on CP” 15b, which is a protocol for performing encrypted communication, and “TCP on CP” 15a, which is a normal communication protocol. Similarly, the UDP emulator 16 functions to switch between “UDPsec on CP” 16b, which is a protocol for performing encrypted communication, and “UDP on CP” 16a, which is a normal communication protocol.

この特許文献1の最も特徴とするべき点は、このトランスポート層(第4層)に、TCPsec15bと、UDPsec16bの暗号化通信プロトコルを搭載したことである。TCPsec15bとUDPsec16bについては後述する。   The most characteristic feature of Patent Document 1 is that the transport layer (fourth layer) is equipped with encrypted communication protocols of TCPsec 15b and UDPsec 16b. TCPsec15b and UDPsec16b will be described later.

このトランスポート層(第4層)の上層のセッション層(第5層)には、TCP及びUDP等のプロトコルとデータのやりとりを行うソケット(socket)インターフェイス17が設けられている。このソケットの意味は、既に述べたようにコンピュータが持つネットワーク内の住所に当たるIPアドレスと、IPアドレスのサブアドレスであるポート番号を組み合わせたネットワークアドレスを意味しており、実際には、一連のヘッダの追加ないし削除をまとめて行う、単一のソフトウエアプログラムモジュール(実行プログラム等)あるいは単一のハードウエアモジュール(電子回路、電子部品等)からなっている。   In the session layer (fifth layer), which is an upper layer of the transport layer (fourth layer), a socket interface 17 for exchanging data with protocols such as TCP and UDP is provided. The meaning of this socket is a network address that combines an IP address corresponding to an address in the network of a computer and a port number that is a sub-address of the IP address as described above. It consists of a single software program module (execution program, etc.) or a single hardware module (electronic circuit, electronic component, etc.) that is added or deleted collectively.

このソケットインターフェース17は、さらに上位のアプリケーションからの統一的なアクセス方式を提供するものであり、引数の種類や型など従来と同様のインターフェイスを保つようにしている。   The socket interface 17 provides a unified access method from a higher-level application, and maintains the same interface as in the past, such as the types and types of arguments.

TCPエミュレータ15は、トランスポート層において、データの漏洩・改竄の防止の機能、すなわち暗号化、完全性認証及び相手認証等の機能を持つTCPsec15bと、このような暗号化、完全性認証、及び相手認証等の機能を持たない通常のプロトコルTCP15aのいずれかにパケットを振り分ける働きをもっている。また、TCPsec15b及びTCP15aのいずれもクラッキング・プロテクタ(CP)を備えているため、そのいずれを選択した場合でも、クラッカーによる「進入」、「攻撃」に対して防御する機能を実現することができる。TCPエミュレータ15は上位層であるソケットとのインターフェイスの役割も果たしている。   The TCP emulator 15 has a function of preventing data leakage / falsification in the transport layer, that is, a TCPsec 15b having functions such as encryption, integrity authentication and partner authentication, and such encryption, integrity authentication, and partner It has a function of distributing packets to any one of the normal protocols TCP15a having no function such as authentication. Further, since both the TCPsec 15b and the TCP 15a are provided with a cracking protector (CP), it is possible to realize a function of protecting against “entrance” and “attack” by a cracker, regardless of which one is selected. The TCP emulator 15 also serves as an interface with a socket, which is an upper layer.

また、既に述べたようにTCPがエラー補償機能を有するのに対して、UDPはエラー補償機能を持たないが、その分転送速度が速く、かつブロードキャスト機能を備えているという特徴がある。UDPエミュレータ16は、TCPエミュレータ15と同様に、データの漏洩・改竄の防止の機能、すなわち暗号化、完全性認証及び相手認証等の機能を持つUDPsec16bと、このような暗号化、完全性認証、及び相手認証等の機能を持たない通常のプロトコルUDP16aのいずれかにパケットを振り分ける働きを持っている。   Further, as described above, TCP has an error compensation function, whereas UDP does not have an error compensation function, but has a feature that the transfer speed is correspondingly faster and a broadcast function is provided. As with the TCP emulator 15, the UDP emulator 16 has a function of preventing data leakage / falsification, that is, a UDPsec 16b having functions such as encryption, integrity authentication and counterpart authentication, and such encryption, integrity authentication, And has a function of distributing the packet to any one of the normal protocols UDP 16a having no function such as counterpart authentication.

図10に示すように、ソケット17、TCPエミュレータ15、UDPエミュレータ16、「TCPsec on CP」15b、「UDPsec on CP」16b、「TCP on CP」15a、「UDP on CP」16a、「ICMP on CP」14a、「IGMP on CP」14b、IPエミュレータ13、「IP on CP」13a、及び「ARP on CP」12からなるプロトコルスタックが本発明の暗号化処理を行うためのプロトコルスタックであり、以下、このプロトコルスタックを総称してTCP2と呼ぶことにする。   As shown in FIG. 10, socket 17, TCP emulator 15, UDP emulator 16, "TCPsec on CP" 15b, "UDPsec on CP" 16b, "TCP on CP" 15a, "UDP on CP" 16a, "ICMP on CP" ”14 a,“ IGMP on CP ”14 b, IP emulator 13,“ IP on CP ”13 a, and“ ARP on CP ”12 are protocol stacks for performing the encryption processing of the present invention. This protocol stack is generically called TCP2.

なお、TCP2には「IPsec on CP」13bは必須のものとして含まれていないが、「IPsec on CP」13bを含めてTCP2とすることもできる。   Note that “IPsec on CP” 13b is not included as essential in TCP2, but TCP2 including “IPsec on CP” 13b may be used.

特許文献1に開示されているTCP2には、上述した暗号化処理を行うためのプロトコルスタックの他に、TCP、UDP、IP、IPsec、ICMP、IGMP、ARPの標準プロトコルスタックも含んでいる。そして、これらの標準プロトコルにCP(クラッキング・プロテクト)を実装し、各プロトコルスタックに対する通信からの攻撃、及び、アプリケーション・プログラムからの攻撃(トロイの木馬、プログラムの改竄、正規ユーザの不正使用など)を防御することができるようにしている。   TCP2 disclosed in Patent Document 1 includes standard protocol stacks of TCP, UDP, IP, IPsec, ICMP, IGMP, and ARP, in addition to the protocol stack for performing the above-described encryption processing. And, CP (cracking protection) is implemented in these standard protocols, attacks from communication against each protocol stack, and attacks from application programs (Trojan horse, program tampering, unauthorized use by authorized users, etc.) To be able to defend.

また、TCP2では、TCPエミュレータ15を実装し、このTCPエミュレータ15は、セッション層にあるソケット(Socket)17、及びネットワーク層にあるIPエミュレータ13から見て、互換性を保つため、外向きには標準TCPと同じに見せることができる。実際は、TCP2の機能として、TCPとTCPsecを切り替えて実行する。TCPsecは、本発明であるトランスポート層での暗号化及び認証機能である。   Also, in TCP2, a TCP emulator 15 is mounted, and this TCP emulator 15 is outward-facing to maintain compatibility when viewed from the socket 17 in the session layer and the IP emulator 13 in the network layer. It can look the same as standard TCP. Actually, the TCP2 function is executed by switching between TCP and TCPsec. TCPsec is an encryption and authentication function in the transport layer according to the present invention.

また、同様に、TCP2では、UDPエミュレータ16を実装しており、UDPエミュレータ16は、セッション層であるソケット(Socket)17、及び、ネットワーク層であるIPエミュレータ13から見て、互換性を保つため、外部からは標準UDPとして見せることができる。実際は、TCP2の機能として、UDP、UDPsecを切り替えて実行する。UDPsecは、特許文献1に記載の発明であるトランスポート層での暗号化及び認証機能である。   Similarly, in TCP2, the UDP emulator 16 is mounted, and the UDP emulator 16 is compatible with the socket 17 that is a session layer and the IP emulator 13 that is a network layer in order to maintain compatibility. From the outside, it can be shown as standard UDP. Actually, as a function of TCP2, UDP and UDPsec are switched and executed. UDPsec is an encryption and authentication function in the transport layer, which is the invention described in Patent Document 1.

次に、TCP2において、特に重要な機能である「データ漏洩」を防ぐ機能であるTCPsec15b及びUDPsec16bについて説明する。   Next, TCPsec15b and UDPsec16b, which are functions that prevent “data leakage”, which is a particularly important function in TCP2, will be described.

TCPsec15b及びUDPsec16bのための暗号化・復号化の方法(アルゴリズム、ロジック(論理))としては、公知の秘密鍵(共通鍵)暗号アルゴリズムが用いられる。例えば、1960年代にIBM社によって開発された秘密鍵暗号アルゴリズムであるDES(Data Encryption Standard)や、その改良版としての3DESが用いられる。   As an encryption / decryption method (algorithm, logic (logic)) for TCPsec15b and UDPsec16b, a known secret key (common key) encryption algorithm is used. For example, DES (Data Encryption Standard), which is a secret key encryption algorithm developed by IBM in the 1960s, and 3DES as an improved version thereof are used.

また、その他の暗号アルゴリズムとしては、1992年にスイス工科大学のJames L.Massey氏とXuejia Lai氏によって発表されたIDEA(International Data Encryption Algorithm)も用いられる。この暗号アルゴリズムは、データを64ビットのブロックに区切って暗号化するもので暗号鍵の長さは128ビットである。秘密鍵暗号を効率よく解読する線形解読法や差分解読法に対しても十分な強度を持つように設計されている。   As another encryption algorithm, IDEA (International Data Encryption Algorithm) announced by James L. Massey and Xuejia Lai of Swiss Institute of Technology in 1992 is also used. In this encryption algorithm, data is divided into 64-bit blocks and encrypted, and the length of the encryption key is 128 bits. It is designed to have sufficient strength for linear cryptanalysis and differential cryptanalysis that efficiently decrypt private key cryptography.

また、特許文献1に記載の発明に用いられるTCPsec15b及びUDPsec16bの暗号方式として、FEAL(Fast data Encipherment Algorithm)、MISTY、AES(Advanced Encryption Standard)といった暗号方式も利用されるほか、また、独自に作成した秘密の暗号化・復号化アルゴリズムを利用することもできる。ここで、FEALは、日本電信電話株式会社(当時)が開発した暗号方式で、暗号化と復号化に同じ鍵をもちいる秘密鍵型の暗号方式である。このFEALは、DESに比べて高速に暗号化と復号化ができるという利点がある。   In addition, as encryption methods of TCPsec15b and UDPsec16b used in the invention described in Patent Document 1, encryption methods such as FEAL (Fast Data Encipherment Algorithm), MISTY, and AES (Advanced Encryption Standard) are also used, and they are also created independently. A secret encryption / decryption algorithm can be used. Here, FEAL is an encryption method developed by Nippon Telegraph and Telephone Corporation (at that time), and is a secret key type encryption method that uses the same key for encryption and decryption. This FEAL has an advantage that encryption and decryption can be performed at a higher speed than DES.

次に、同じく特許文献1に記載の発明に利用される暗号方式であるMISTYは、三菱電機株式会社が開発した秘密鍵型の暗号方式であり、IDEAと同様にデータを64ビットのブロックに区切って暗号化する。鍵の長さは128ビットである。暗号化と復号化には同じプログラムが使われる点はDESなどと同じである。この方式も秘密鍵暗号を効率よく解読する線形解読法や差分解読法に対しても十分な強度を持つように設計されている。   Next, MISTY, which is also an encryption method used in the invention described in Patent Document 1, is a secret key type encryption method developed by Mitsubishi Electric Corporation, and divides data into 64-bit blocks as in IDEA. To encrypt. The key length is 128 bits. The same program is used for encryption and decryption as in DES. This method is also designed to have sufficient strength against linear cryptanalysis and differential cryptanalysis that efficiently decrypt private key cryptography.

また、AESは、米国商務省標準技術局によって選定作業が行われている、米国政府の次世代標準暗号化方式であり、現在の標準的な暗号方式であるDESに代わる次世代の暗号標準として開発が進められたものである。世界に公募して集められて幾つかの暗号方式の中から、2000年10月に、ベルギーの暗号開発者Joan Daemen氏とVincent Rijmen氏が開発したRijndaelという方式が採用された。   AES is the next-generation standard encryption method of the US government, which is being selected by the US Department of Commerce's Standard Technology Bureau, as the next-generation encryption standard to replace DES, which is the current standard encryption method. Development has been advanced. Among a number of ciphers that were collected by public recruitment around the world, in October 2000, the Rijndael method developed by Belgian crypto developers Joan Daemen and Vincent Rijmen was adopted.

このように、特許文献1に記載の発明に適用されるTCPsec15b及びUDPsec16bの暗号方式としては、既に知られているさまざまな秘密鍵の暗号アルゴリズムを採用することができるほか、ユーザが独自に開発した秘密鍵(共通鍵)暗号方式も利用することが可能である。   As described above, as the TCPsec15b and UDPsec16b encryption methods applied to the invention described in Patent Document 1, various known secret key encryption algorithms can be adopted, and the user has independently developed the encryption methods. A secret key (common key) encryption method can also be used.

さらに、いわゆる「なりすまし」及び「データの改竄」などを防ぐための「相手認証」及び「完全性認証」の方法として、公開鍵や事前秘密共有(Pre-shared)を利用したアルゴリズム、例えば、MD5(Message Digest 5)、SHA1(Secure Hash Algorithm 1)などの認証アルゴリズムが用いられる。また、このような公知の認証アルゴリズムに代えて独自の一方向関数を利用したアルゴリズムを採用することもできる。   Furthermore, as a method of “party authentication” and “integrity authentication” to prevent so-called “spoofing” and “data falsification”, an algorithm using a public key or pre-shared, for example, MD5 Authentication algorithms such as (Message Digest 5) and SHA1 (Secure Hash Algorithm 1) are used. An algorithm using a unique one-way function may be employed instead of such a known authentication algorithm.

このMD5は、認証やデジタル署名に用いられるハッシュ関数(一方向要約関数)の一つであり、原文を元に固定長のハッシュ値を発生し、これを通信経路の両端で比較することにより、通信途中で原文が改竄されていないかを検出することができるものである。このハッシュ値は擬似的な乱数のような値をとり、これを基にしては原文を再生できないようになっている。また、同じハッシュ値を生成する別のメッセージを作成することも困難になっている。   This MD5 is one of hash functions (one-way summarization functions) used for authentication and digital signatures, generates a fixed-length hash value based on the original text, and compares it at both ends of the communication path. It is possible to detect whether the original text has been tampered with during communication. This hash value takes a value like a pseudo random number, and based on this value, the original text cannot be reproduced. It is also difficult to create another message that generates the same hash value.

SHA1も、認証やデジタル署名などに使われるハッシュ関数の一つであり、2の64乗ビット以下の原文から160ビットのハッシュ値を生成し、通信経路の両端で比較することにより、通信途上の原文の改竄を検出するものである。この認証アルゴリズムは従来のインターネットの暗号化通信の代表的なものであるIPsecにも採用されている。   SHA1 is also one of hash functions used for authentication, digital signatures, etc., and generates a 160-bit hash value from the original text of 2 <64> bits or less and compares it at both ends of the communication path. It detects the alteration of the original text. This authentication algorithm is also employed in IPsec, which is a typical example of conventional encrypted communication on the Internet.

なお、これらの認証アルゴリズムについては、DH(Diffie-Hellman)公開鍵配送法や、IPsecと同様のIKE(Internet Key Exchange)プロトコル(UDPの500番)などにより安全な鍵交換ができるように設計され、しかも、定期的に暗号化/完全性認証アルゴリズム(論理)自体やそのための鍵の集合/定義域が変更されるように、プロトコルドライバープログラム(TCPsec15b、UDPsec16bなど)によりスケジュールされている。
国際公開WO 2005/015827(A1)号公報 R.Atkinson,1995年8月「Security Architecture for the Internet Protocol」RFC1825
These authentication algorithms are designed to enable secure key exchange using the DH (Diffie-Hellman) public key distribution method or the IKE (Internet Key Exchange) protocol (UDP 500) similar to IPsec. Moreover, it is scheduled by a protocol driver program (TCPsec15b, UDPsec16b, etc.) so that the encryption / integrity authentication algorithm (logic) itself and the key set / domain for that purpose are changed periodically.
International Publication WO 2005/015825 (A1) Publication R. Atkinson, August 1995 `` Security Architecture for the Internet Protocol '' RFC1825

特許文献1に記載の発明は、本発明者が提案するTCP2を用いることによって、上位アプリケーションのプログラムを変更することなく、データの漏洩、改竄、なりすまし、進入、攻撃の防止機能を強化することを目的とした。そしてこの目的を達成するための手段として、送信側と受信側とで暗号化・復号化ロジックの取決めを行い、これをトランスポート層に存在するTCP又はUDPに該当するプロトコルのペイロードに適用する新規な暗号化システムを実現するものであった。   The invention described in Patent Document 1 uses the TCP2 proposed by the present inventor to enhance the function of preventing data leakage, tampering, spoofing, entry, and attack without changing the upper application program. It was aimed. As a means for achieving this purpose, a new encryption / decryption logic agreement is made between the transmission side and the reception side, and this is applied to the payload of the protocol corresponding to TCP or UDP existing in the transport layer. To realize a simple encryption system.

ところが上述した特許文献1に記載の発明においては、TCP2をトランスポート層に設けるために、そのペイロードには、いわゆる電子メール文書の送信を行う際のSMTPコマンドや、受信を行う際のPOPコマンドも含まれている。従って上述のトランスポート層で暗号化の行われた情報では、SMTPコマンドやPOPコマンドも暗号化されるために、外部からは当該情報を電子メール文書として認識することができなくなってしまう。   However, in the invention described in Patent Document 1 described above, in order to provide TCP2 in the transport layer, the payload also includes an SMTP command for sending a so-called e-mail document and a POP command for receiving. include. Therefore, in the information encrypted in the transport layer, the SMTP command and the POP command are also encrypted, so that the information cannot be recognized from the outside as an electronic mail document.

このため従来は、電子メールに関しては別途にセキュリティ対策を講じる必要があり、そのための専門知識やセキュリティを管理するための特別な労力が要求されていた。特に電子メールを仲介するメールサーバ装置においては、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことが重要とされる。このようなメールサーバ装置の管理には、極めて高度な専門知識や多くの労力を要求されている。   For this reason, conventionally, it has been necessary to take separate security measures for e-mail, and special effort for managing the expertise and security has been required. In particular, in a mail server device that mediates electronic mail, it is important to prevent “leakage” and “tampering” of data on the Internet, as well as “spoofing”, “entrance”, and “attack”. Management of such a mail server device requires extremely high expertise and a lot of labor.

この発明はこのような問題点に鑑みて成されたものであって、本発明の目的は、TCP2の機能をメールシステムの全体において実現し、電子メール文書の送受信を良好、かつ安全に行うことのできるメールサーバ装置を実現するものである。   The present invention has been made in view of such problems, and an object of the present invention is to realize the TCP2 function in the entire mail system, and to send and receive electronic mail documents well and safely. The mail server apparatus which can do is implement | achieved.

上記の課題を解決し、本発明の目的を達成するため、請求項1に記載された発明は、送信装置から受信したメール情報を保存し、受信装置からの要求に応じて前記保存されたメール情報を送信するようにしたメールサーバ装置であって、送信装置及び受信装置でトランスポート層に位置するTCP又はUDPプロトコルに暗号化機能を追加して電子化情報の通信を行う際に、少なくとも送信装置及び/または受信装置との間で対応する暗号化及び復号化ロジックを取り決める取決め手段と、送信装置からのSMTPコマンドに応答して情報単位としてのパケットを受信し、取り決め手段で取り決めた復号化ロジックに従って復号化して保存する保存手段と、受信装置からのPOP3コマンドに応答して保存手段に保存された情報単位としてのパケットを、取り決め手段で取り決めた暗号化ロジックに従って暗号化して送信する通信手段とを有し、トランスポート層のTCP又はUDPプロトコルを用いて暗号化及び復号化ロジックに基づいた通信を行うことを特徴とするメールサーバ装置である。   In order to solve the above problems and achieve the object of the present invention, the invention described in claim 1 stores mail information received from a transmission device, and stores the stored mail in response to a request from the reception device. A mail server device configured to transmit information, at least when transmitting electronic information by adding an encryption function to the TCP or UDP protocol located in the transport layer in the transmission device and the reception device Arrangement means for negotiating corresponding encryption and decryption logic between the apparatus and / or the receiving apparatus, and receiving a packet as an information unit in response to an SMTP command from the transmission apparatus, and decryption negotiated by the arrangement means A storage unit for decoding and storing in accordance with the logic, and an information unit stored in the storage unit in response to the POP3 command from the receiving device. Communication means for encrypting and transmitting the packet according to the encryption logic negotiated by the agreement means, and performing communication based on the encryption and decryption logic using the TCP or UDP protocol of the transport layer Is a mail server device.

請求項2の記載によるメールサーバ装置においては、送信装置からのSMTPコマンドに応答して情報単位としてのパケットの相手装置への送信を行う第1の装置と、受信装置からのPOP3コマンドに応答して情報単位としてのパケットの相手装置からの受信を行う第2の装置とが独立に設けられていることを特徴とするものである。   In the mail server device according to claim 2, in response to the SMTP command from the transmitting device, the first device that transmits a packet as an information unit to the counterpart device, and in response to the POP3 command from the receiving device. The second device for receiving the packet as the information unit from the counterpart device is provided independently.

請求項3の記載によるメールサーバ装置においては、暗号化及び復号化ロジックの取決め手段による取決め候補となりうる暗号化及び復号化ロジックをメモリに記憶ないし回路に実装し、この記憶ないし実装した取決め候補となりうる暗号化及び復号化ロジックを定期的に変更するロジック変更手段をさらに備えたことを特徴とするものである。   In the mail server device according to claim 3, encryption and decryption logic that can be an agreement candidate by the means for determining the encryption and decryption logic is stored in a memory or a circuit, and becomes an agreement candidate that is stored or implemented. It further comprises logic changing means for periodically changing possible encryption and decryption logic.

請求項4の記載によるメールサーバ装置においては、暗号化及び復号化ロジックの取決め手段が、暗号化及び復号化ロジックに関連して、暗号化をしないで平文を取り扱う旨を取り決めることができるようにしたものである。   In the mail server device according to claim 4, the means for determining the encryption and decryption logic can determine that the plaintext is handled without encryption in relation to the encryption and decryption logic. It is a thing.

以上述べたように、本発明によれば、TCP2の機能をメールサーバ装置に装備するようにしたことによって、メールサーバ装置におけるインターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができるので、電子メール文書の送受信を安全にかつ良好に行うことができる。   As described above, according to the present invention, since the mail server apparatus is equipped with the TCP2 function, data “leakage” and “tampering” on the Internet in the mail server apparatus, and “spoofing” ”,“ Entry ”or“ attack ”can be prevented, and transmission and reception of electronic mail documents can be performed safely and satisfactorily.

以下、図面を参照して本発明を説明するに、図1は本発明を適用したメールサーバ装置の一実施形態例の構成を示すブロック図である。   Hereinafter, the present invention will be described with reference to the drawings. FIG. 1 is a block diagram showing the configuration of an embodiment of a mail server device to which the present invention is applied.

図1において、メールサーバ装置600は、それ自体がパーソナルコンピュータと同等の機能を有しているものである。そこでこのメールサーバ装置600には、それぞれネットワーク200、300と接続されるNIC(Network Interface Card)ドライバ1a、1bが設けられる。またこれらのNICドライバ1a、1bを含む物理層とデータリンク層に対して、ネットワーク200、300上に存在する任意の2つのノード間で、ルーティング(routing)を行いながら通信するための通信方法を規定するネットワーク層とトランスポート層が設けられる。   In FIG. 1, a mail server device 600 has a function equivalent to that of a personal computer. Therefore, the mail server apparatus 600 is provided with NIC (Network Interface Card) drivers 1a and 1b connected to the networks 200 and 300, respectively. In addition, a communication method for performing communication while routing between any two nodes existing on the networks 200 and 300 with respect to the physical layer and the data link layer including the NIC drivers 1a and 1b. A defining network layer and a transport layer are provided.

すなわち、このネットワーク層とトランスポート層には、電子メールにおけるSMTPコマンドやPOP3コマンドを解析するアプリケーション解析(Application Analysis)機能20が設けられ、この解析機能20によって解析されたコマンドに従って、記憶装置50に対する電子メールの保存や読み出しが行われる。また、解析されたSMTPコマンド及びPOP3コマンドに従って、電子メールの受信元、送信先の管理等が行われる。   That is, the network layer and the transport layer are provided with an application analysis function 20 for analyzing SMTP commands and POP3 commands in e-mails. According to the commands analyzed by the analysis function 20, E-mail is stored and retrieved. In addition, according to the analyzed SMTP command and POP3 command, management of the reception source and transmission destination of the electronic mail is performed.

そして、本発明者が先に提案した「TCP2」30の機能が、上述したデータリンク層とネットワーク層との間に設けられる。なお、この「TCP2」30には、旧来のTCP/IPを併設することもできる。さらに、この「TCP2」30の機能は、ソフトウエア、若しくはハードウエアとして設けることができるものであり、この「TCP2」30の機能を制御したり、暗号化及び復号化ロジックを定期的に変更したり、必要に応じて暗号化をしないで平文を取り扱う旨の取り決めをしたりするための手段として、外部機能(EXP.)40が設けられている。   The function of “TCP2” 30 previously proposed by the present inventor is provided between the data link layer and the network layer described above. The “TCP2” 30 can be provided with a conventional TCP / IP. Furthermore, the functions of the “TCP2” 30 can be provided as software or hardware. The functions of the “TCP2” 30 are controlled, and the encryption and decryption logic is changed periodically. An external function (EXP.) 40 is provided as a means for making an arrangement for handling plaintext without encryption as necessary.

このように、本実施形態例において、「TCP2」の機能をメールサーバ装置600に装備したことによって、例えばネットワーク200、300がインターネット等の公衆ネットワークであった場合にも、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。   As described above, in the present embodiment, the function of “TCP2” is provided in the mail server device 600, so that even when the networks 200 and 300 are public networks such as the Internet, for example, “Leakage” and “tampering”, as well as “spoofing”, “entry” or “attack” can be prevented.

図2は、上述のTCP2の機能を装備したメールサーバ装置600を用いて構築される通信ネットワークの具体的な実施形態例を示している。   FIG. 2 shows a specific embodiment of a communication network constructed using the mail server device 600 equipped with the above-described TCP2 function.

この図2において、クライアント装置(パーソナルコンピュータ)410には、MUA(Mail User Agent)411が設けられており、このMUR411によって電子メールの作成や表示が行われる。また、クライアント装置410には、上述のTCP2の機能を実現する暗号化アプリケーション412が設けられており、このTCP2が搭載された暗号化アプリケーション412によりMUA411で作成された平文の電子メールが暗号化される。なお、図中の◎は暗号化、●は復号化の機能を表している。   In FIG. 2, a client apparatus (personal computer) 410 is provided with a MUA (Mail User Agent) 411, and an e-mail is created and displayed by this MUR 411. In addition, the client apparatus 410 is provided with an encryption application 412 that realizes the above-described TCP2 function, and plain text e-mail created by the MUA 411 is encrypted by the encryption application 412 equipped with this TCP2. The In the figure, ◎ represents an encryption function, and ● represents a decryption function.

上述したMUA411には、電子メールの送受信のためのソフトウエアが搭載されており、このMUA411において、SMTPコマンドが生成されて、送信時に作成された電子メールに添付される。また、受信の際には、MUA411において受信パケットが形成されると共に、受信されたパケットに添付されたPOPコマンドの解析が行われる。そして、このPOPコマンドの解析によって受信が完了し、受信された電子メールを表示するなどの処理がなされる。   The MUA 411 described above is equipped with software for sending and receiving e-mails. In this MUA 411, an SMTP command is generated and attached to the e-mail created at the time of transmission. When receiving, the MUA 411 forms a received packet and analyzes a POP command attached to the received packet. Then, the reception is completed by the analysis of the POP command, and the received electronic mail is displayed.

これにより、クライアント装置410からはTCP2で暗号化された電子メール文書が中継装置100に送信される(◎印)。そこでこの中継装置100には、上述のTCP2の機能101が装備されており、予めクライアント装置410との間で対応する暗号化及び復号化ロジックの取り決めがIKE(鍵交換)等により行われている。そしてクライアント装置410から送信された情報を受信すると、受信した情報単位としてのパケットのうち、少なくともTCP又はUDPプロトコルのペイロードを予め取り決めた復号化ロジックに従って復号化する(●印)。   As a result, an e-mail document encrypted with TCP2 is transmitted from the client apparatus 410 to the relay apparatus 100 (◎). Therefore, this relay apparatus 100 is equipped with the above-described TCP2 function 101, and the corresponding encryption and decryption logic is negotiated with the client apparatus 410 in advance by IKE (key exchange) or the like. . When the information transmitted from the client device 410 is received, at least the payload of the TCP or UDP protocol is decoded according to a predetermined decoding logic (● mark) in the received packet as the information unit.

また、中継装置100には、アプリケーション解析(Application Analysis)の機能102が設けられ、このアプリケーション解析機能102によって、復号化したパケットのSMTPコマンドの解析が行われる。そして、この中継装置100は、解析されたSMTPコマンドを除くパケットを再度暗号化して(◎印)インターネット500等を通じて相手側の第1のメールサーバ装置600に送信する。なお、中継装置100における再度の暗号化には上述のTCP2の機能101が用いられる。この場合に、予め電子メール通信を行う相手側の第1のメールサーバ装置600との間で対応する暗号化及び復号化ロジックの取り決めをIKE(鍵交換)等により行う必要があることは言うまでもない。   Further, the relay apparatus 100 is provided with an application analysis function 102, and the application analysis function 102 analyzes the SMTP command of the decrypted packet. Then, the relay device 100 re-encrypts the packet excluding the analyzed SMTP command (marked with ◎) and transmits it to the first mail server device 600 on the partner side through the Internet 500 or the like. Note that the TCP 101 function 101 described above is used for re-encryption in the relay device 100. In this case, it is needless to say that it is necessary to make an agreement on encryption and decryption logic corresponding to the first mail server device 600 on the other party that performs e-mail communication in advance by IKE (key exchange) or the like. .

第1のメールサーバ装置600では、上述と同様のTCP2の機能601で復号化が行われ(●印)、アプリケーション解析の機能602により復号化したパケットのSMTPコマンドの解析が行われる。そして、解析されSMTPコマンドに基づいて電子メールが記憶装置(SMTP)603に保存される。また、記憶装置(SMTP)603に保存された電子メールは読み出されて、TCP2の機能601で再度暗号化して(◎印)インターネット500等を通じて同様の構成の相手側の第2のメールサーバ装置700に送信する。この場合に、予め相手側の第2のメールサーバ装置700との間で対応する暗号化及び復号化ロジックの取り決めをIKE(鍵交換)等により行う必要があることは言うまでもない。   In the first mail server device 600, decryption is performed by the TCP2 function 601 similar to that described above (● mark), and the SMTP command of the decrypted packet is analyzed by the application analysis function 602. Then, the e-mail is stored in the storage device (SMTP) 603 based on the analyzed SMTP command. Also, the e-mail stored in the storage device (SMTP) 603 is read out, encrypted again with the TCP2 function 601 (◎), and the second mail server device on the other side having the same configuration through the Internet 500 or the like. To 700. In this case, it is needless to say that the corresponding encryption and decryption logic must be negotiated with the second mail server device 700 on the other side in advance by IKE (key exchange) or the like.

第2のメールサーバ装置700では、上述と同様のTCP2の機能701で復号化が行われ(●印)、アプリケーション解析の機能702により復号化したパケットのSMTPコマンドの解析が行われる。そして、この解析されたSMTPコマンドに基づいて電子メールが記憶装置(POP3)703に保存される。クライアント装置410から中継装置100を通じて受信の要求があると、記憶装置(POP3)703から読み出された電子メールに対して、アプリケーション解析の機能702でPOP3コマンドが生成され、TCP2の機能701で暗号化されて(◎印)送信が行われる。この場合に、予め中継装置100との間で対応する暗号化及び復号化ロジックの取り決めをIKE(鍵交換)等により行う必要があることは言うまでもない。   In the second mail server device 700, decryption is performed by the TCP2 function 701 similar to that described above (● mark), and the SMTP command of the decrypted packet is analyzed by the application analysis function 702. Then, the e-mail is stored in the storage device (POP3) 703 based on the analyzed SMTP command. When there is a reception request from the client device 410 through the relay device 100, a POP3 command is generated by the application analysis function 702 for the e-mail read from the storage device (POP3) 703, and the TCP2 function 701 encrypts it. Is transmitted (marked with ◎). In this case, it is needless to say that the encryption and decryption logic corresponding to the relay apparatus 100 needs to be made in advance by IKE (key exchange) or the like.

第2のメールサーバ装置700からの暗号化され中継装置100で受信された電子メールは、中継装置100のTCP2機能101で復号化され(●印)、アプリケーション解析の機能102によって、この復号化したパケットのPOP3コマンドの解析が行われる。さらに解析されたPOP3コマンドを含むパケットに対してTCP2の機能101で暗号化が行われる(◎印)。   The encrypted electronic mail received from the second mail server device 700 and received by the relay device 100 is decrypted by the TCP2 function 101 of the relay device 100 (● mark) and decrypted by the application analysis function 102. Analysis of the POP3 command of the packet is performed. Further, the packet including the analyzed POP3 command is encrypted by the TCP2 function 101 (◎).

一方、クライアント装置410では、中継装置100からのパケットがTCP2の機能を実現する暗号化アプリケーション412で復号化される(●印)。そして、復号化された平文の電子メールがMUA411に供給され、受信された電子メールのPOP3コマンド等に基づき電子メール文書の表示等が行われる。なお、ここでは送信時と受信時のクライアント装置410を同じものとして説明したが、別のクライアント装置であってもよいことは言うまでもない。このようにして、トランスポート層のTCP又はUDPプロトコルを用いて暗号化及び復号化ロジックに基づいた電子メールの通信を行うことができる。   On the other hand, in the client device 410, the packet from the relay device 100 is decrypted by the encryption application 412 that realizes the function of TCP2 (● mark). Then, the decrypted plain text electronic mail is supplied to the MUA 411, and an electronic mail document is displayed based on the received POP3 command of the electronic mail. Although the client apparatus 410 at the time of transmission and reception is described as being the same here, it is needless to say that another client apparatus may be used. In this way, electronic mail communication based on encryption and decryption logic can be performed using the TCP or UDP protocol of the transport layer.

図2に示された通信ネットワークにおいては、クライアント装置410とメールサーバ装置600及び700との間の全ての区画でトランスポート層のプロトコルを用いて暗号化及び復号化ロジックに基づいた通信が行われる。そしてこのような通信が行われることにより、クライアント装置と外部との通信における全ての通信区画で、データの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。このことは、特にメールサーバ装置において、「攻撃」による障害の発生を防止し、またその際にTCP2を用いることによって、高度な専門知識や労力を要することなく、電子メール文書の送受信を良好、且つ安全に行うことができることを意味している。   In the communication network shown in FIG. 2, communication based on encryption and decryption logic is performed using a transport layer protocol in all sections between the client device 410 and the mail server devices 600 and 700. . This communication prevents data leakage and tampering, as well as “spoofing”, “entry”, and “attack” in all communication sections for communication between the client device and the outside. be able to. This is because, particularly in mail server devices, the occurrence of failures due to “attack” is prevented, and by using TCP2 at that time, it is possible to send and receive e-mail documents without requiring high-level specialized knowledge and labor. And it can be done safely.

図3は、本発明者が先に提案したTCP2のパケット構造を示した図である。この図3のAは、例えばEthernetのフレームを示したものであり、このフレームには先頭の同期用信号に続いて、開始信号と受信側MAC(Media Access Control)アドレス、送信側MACアドレスが設けられ、その後にフレーム長/タイプの領域とデータ領域、CRC(Cyclic Redundancy Check)等の誤り訂正符号が配置されている。そしてこのデータ領域には図3のBに示すように、IPパケットが設けられ、このIPパケットはIPヘッダとペイロードとからなる。   FIG. 3 shows a TCP2 packet structure previously proposed by the present inventor. FIG. 3A shows an Ethernet frame, for example. This frame is provided with a start signal, a reception side MAC (Media Access Control) address, and a transmission side MAC address following the head synchronization signal. After that, an error correction code such as a frame length / type area, a data area, and a CRC (Cyclic Redundancy Check) is arranged. In this data area, as shown in FIG. 3B, an IP packet is provided, and this IP packet includes an IP header and a payload.

また、IPパケットのペイロードには図3のCに示すTCPパケットが設けられ、このTCPパケットはTCPヘッダとペイロードとからなる。さらにTCPパケットのペイロードには図3のDに示すアプリケーションデータが設けられる。そして、電子メールの場合には、このアプリケーションデータはSMTPコマンドまたはPOP3コマンドと電子メール文書のデータとから構成されることになる。   Also, the TCP packet shown in FIG. 3C is provided in the payload of the IP packet, and this TCP packet is composed of a TCP header and a payload. Further, application data shown in FIG. 3D is provided in the payload of the TCP packet. In the case of electronic mail, this application data is composed of an SMTP command or POP3 command and electronic mail document data.

そしてこの場合に、本発明者が先に提案したTCP2による暗号化では、図3のCに示すTCPパケットのペイロードの全体が暗号化されるために、SMTPコマンドやPOP3コマンドも暗号化され、外部からは当該情報を電子メール文書として認識することができなくなってしまう。これに対して本発明は、アプリケーションデータのSMTPコマンドまたはPOP3コマンドを解析して、これらのコマンドを除いた部分のみ暗号化することで、外部からも電子メール文書として認識できるようにするものである。   In this case, in the encryption by TCP2 previously proposed by the present inventor, since the entire payload of the TCP packet shown in FIG. 3C is encrypted, the SMTP command and the POP3 command are also encrypted, and the external The information cannot be recognized as an e-mail document. On the other hand, the present invention analyzes the SMTP command or POP3 command of the application data and encrypts only the part excluding these commands so that it can be recognized as an e-mail document from the outside. .

図4は、送信時の処理を示したフローチャートである。
図4において、まず、MUA411において送信メールが作成され(ステップS11)、メールの送信処理が開始される(ステップS12)。その後、クライアント装置410内の暗復号アプリケーション412にパケットが送られると、クライアント装置410は中継装置100のTCP2と相互認証を行う(ステップS13)。ステップS13における認証がNGの場合、つまり認証に失敗した場合は、TCP2の設定の見直しが行われ(ステップS14)、再送信が行われる(ステップS15)。
FIG. 4 is a flowchart showing processing at the time of transmission.
In FIG. 4, first, a transmission mail is created in the MUA 411 (step S11), and a mail transmission process is started (step S12). Thereafter, when a packet is sent to the encryption / decryption application 412 in the client apparatus 410, the client apparatus 410 performs mutual authentication with TCP2 of the relay apparatus 100 (step S13). If the authentication in step S13 is NG, that is, if the authentication fails, the setting of TCP2 is reviewed (step S14), and retransmission is performed (step S15).

ステップS13において相互認証がOKの場合、つまり認証に成功した場合は、パケットは暗号化されて中継装置100に送られることになる(ステップS16)。続いて、中継装置100にてパケットが復号化され、アプリケーション解析機能101でSMTPコマンドの解析が行われる(ステップS17)。その後、中継装置100とメールサーバ装置600のTCP2で相互認証が行われ(ステップS18)、ここで認証がNG(失敗)の場合は、TCP2の設定の見直しが行われる(ステップS19)。そして、再送信が行われる(ステップS20)。   If the mutual authentication is OK in step S13, that is, if the authentication is successful, the packet is encrypted and sent to the relay device 100 (step S16). Subsequently, the packet is decrypted by the relay device 100, and the SMTP command is analyzed by the application analysis function 101 (step S17). Thereafter, mutual authentication is performed with TCP2 between the relay device 100 and the mail server device 600 (step S18). If the authentication is NG (failure), the setting of TCP2 is reviewed (step S19). Then, retransmission is performed (step S20).

ステップS18で認証がOK(成功)の場合は、送信されるパケットのSMTPコマンド以外が暗号化され、メールサーバ装置600に送られる(ステップS21)。そして、メールサーバ装置600にてパケットが復号化されて、アプリケーション解析機能602でSMTPコマンドの解析が行われる(ステップS22)。そして、平文に変換されたパケットがメールサーバ装置600内のSMTPサーバ(記憶装置)603に送られ(ステップS23)、送信が完了する(ステップS24)。以上が、電子メールの送信動作の説明である。   If the authentication is OK (success) in step S18, the other than the SMTP command of the packet to be transmitted is encrypted and sent to the mail server device 600 (step S21). Then, the mail server device 600 decrypts the packet, and the application analysis function 602 analyzes the SMTP command (step S22). Then, the packet converted into plain text is sent to the SMTP server (storage device) 603 in the mail server device 600 (step S23), and the transmission is completed (step S24). The above is the description of the e-mail transmission operation.

次に、電子メールの受信時の処理について説明する。図5は、受信時の処理を示すフローチャートである。
図5に示されるように、メール受信の処理が開始されると(ステップS31)、メールサーバ装置700内のPOP3サーバから受信メールをクライアントに送る(ステップS32)。このとき、この受信メールのパケットは、メールサーバ装置700の記憶装置703から読み出される(ステップS33)。そして、メールサーバ装置700におけるアプリケーション解析機能702によりPOPコマンドの解析が行われる(ステップS34)。続いて、メールサーバ装置700は中継装置100のTCP2と相互認証を行う(ステップS35)。このステップS35で相互認証がNG(失敗)であった場合は、TCP2の設定の見直しが行われ(ステップS36)、受信メールパケットの再送信が行われる(ステップS37)。
Next, processing upon receiving an e-mail will be described. FIG. 5 is a flowchart showing processing at the time of reception.
As shown in FIG. 5, when the mail reception process is started (step S31), the received mail is sent from the POP3 server in the mail server device 700 to the client (step S32). At this time, the received mail packet is read from the storage device 703 of the mail server device 700 (step S33). Then, the POP command is analyzed by the application analysis function 702 in the mail server device 700 (step S34). Subsequently, the mail server device 700 performs mutual authentication with the TCP2 of the relay device 100 (step S35). If the mutual authentication is NG (failure) in step S35, the setting of TCP2 is reviewed (step S36), and the received mail packet is retransmitted (step S37).

一方、ステップS35で認証がOK(成功)の場合は、電子メールのパケットのPOP3コマンド以外が暗号化され、中継装置100に送られる(ステップS38)。続いて中継装置100にて電子メールの受信パケットが復号化され、中継装置100のアプリケーション解析機能102でPOP3コマンドの解析が行われる(ステップS39)。
その後、中継装置100はクライアント装置410のTCP2と相互認証を行い(ステップS40)、このステップS40で認証がNG(失敗)の場合は、TCP2の設定の見直しが行われ(ステップS41)、受信メールの再送信が行われる(ステップS42)。
On the other hand, if the authentication is OK (successful) in step S35, other than the POP3 command in the email packet is encrypted and sent to the relay apparatus 100 (step S38). Subsequently, the received packet of the e-mail is decrypted by the relay device 100, and the POP3 command is analyzed by the application analysis function 102 of the relay device 100 (step S39).
Thereafter, the relay device 100 performs mutual authentication with the TCP2 of the client device 410 (step S40). If the authentication is NG (failure) in this step S40, the setting of TCP2 is reviewed (step S41), and the received mail Is retransmitted (step S42).

一方、ステップS40で認証がOK(成功)の場合は、受信メールのパケットが暗号化され、クライアント装置410に送られ、クライアント装置410内の暗復号アプリケーション機能412で復号化される(ステップS43)。そしてクライアント端末410のMUA411に受信メールパケットが送られ(ステップS44)、受信が完了する(ステップS45)。以上が、電子メールの受信処理の説明である。   On the other hand, if the authentication is OK (success) in step S40, the received mail packet is encrypted, sent to the client device 410, and decrypted by the encryption / decryption application function 412 in the client device 410 (step S43). . Then, the received mail packet is sent to the MUA 411 of the client terminal 410 (step S44), and the reception is completed (step S45). The above is the description of the e-mail reception process.

以上説明した本発明の中継装置によれば、パーソナルコンピュータと外部との通信において、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。   According to the relay device of the present invention described above, in the communication between the personal computer and the outside, data “leakage” and “tampering” on the Internet, as well as “spoofing”, “entry” or “attack” are prevented. be able to.

最後に、本発明に用いられるTCP2が、従来のIPsecあるいはSSLと比べて如何に優位であるかという点について、図6及び図7に基づいて説明する。図6は、図9に示したIPsecとSSLの機能比較表にTCP2の機能を追加して示したものである。   Finally, how the TCP 2 used in the present invention is superior to the conventional IPsec or SSL will be described with reference to FIGS. 6 and 7. FIG. FIG. 6 shows the TCP2 function added to the IPsec and SSL function comparison table shown in FIG.

この図6から明らかなように、IPsec及びSSLが持っている様々な問題点(これらについては背景技術において示した)を、TCP2を採用することによりことごとく解決していることが分かる。例えば、SSLでは対応が困難であった、クライアント−クライアント間の通信、TCP/IPプロトコルへのDoS攻撃、全てのUDPポートあるいはTCPポートのセキュアな通信、ソケットプログラムを変更しなければならなかったアプリケーションでの制限などに、TCP2は完全に対応している。   As is clear from FIG. 6, it can be seen that various problems of IPsec and SSL (these are shown in the background art) are completely solved by adopting TCP2. For example, client-client communication, TCP / IP protocol DoS attack, secure communication of all UDP ports or TCP ports, and applications that had to change socket programs, which were difficult to handle with SSL TCP2 is fully compatible with the restrictions in the above.

また、IPsecでは対応が困難であった、エラーが多発する劣悪な環境下での通信、異なったLAN間での通信、複数キャリア経由の接続、PPPモバイル環境、ADSL環境での通信に対しても、TCP2は完全にサポートしている。さらに、モバイル環境下やADSL環境下でVoIP(Voice over Internet Protocol)を使ったインターネットに対しては、IPsec及びSSLとも表1及び表2に示すように問題があるが、本発明のTCP2によれば、どちらの環境下でも対応可能である。   Also, it is difficult to cope with IPsec, communication in a poor environment with frequent errors, communication between different LANs, connection via multiple carriers, communication in PPP mobile environment, ADSL environment TCP2 is fully supported. Furthermore, for the Internet using VoIP (Voice over Internet Protocol) in a mobile environment or an ADSL environment, both IPsec and SSL have problems as shown in Tables 1 and 2, but according to TCP2 of the present invention. Can be used in either environment.

また、異なったLAN間でVoIPを使ったインターネット電話に対しても、IPsecとSSLでは対応不可能であったが、本発明のTCP2によれば完全に対応することができる。   Also, Internet telephones using VoIP between different LANs cannot be handled by IPsec and SSL, but can be completely handled by TCP2 of the present invention.

図7は、TCP2の優位性を説明するための図であるが、セキュリティのないプロトコルスタック(a)に、従来のSSLを適用したケース(b)と、IPsecを適用したケース(c)と、本発明のTCP2(TCPsec/UDPsec)を適用したケース(d)を比較して示している。   FIG. 7 is a diagram for explaining the superiority of TCP2, but a case (b) in which conventional SSL is applied to a protocol stack (a) without security, a case (c) in which IPsec is applied, A case (d) in which TCP2 (TCPsec / UDPsec) of the present invention is applied is shown in comparison.

図7(b)のSSLは既に述べたように、セッション層(第5層)のソケットに設けられているので、上位のアプリケーションに対する互換性がない。このため、SSL自体、上述のような問題を抱えることになっている。また図7(c)のIPsecは、ネットワーク層(第3層)にあり、IP層での互換性がないため、ネットワークを構成する上で上述したような様々な制約を受けることになる。   As described above, the SSL of FIG. 7B is provided in the socket of the session layer (fifth layer), so that it is not compatible with the upper application. For this reason, SSL itself has the above-mentioned problems. 7C is in the network layer (third layer) and is not compatible with the IP layer, it is subject to various restrictions as described above in configuring the network.

これに対して、図7(d)のTCP2(TCPsec/UDPsec)は、トランスポート層(第4層)に導入する暗号化技術であり、このためアプリケーションから見るとソケットをそのまま利用することができ、またネットワークから見るとIPもそのまま利用できるのでネットワークを構成する上での制約は受けない。   On the other hand, TCP2 (TCPsec / UDPsec) in FIG. 7 (d) is an encryption technique introduced into the transport layer (fourth layer), so that the socket can be used as it is when viewed from the application. Also, when viewed from the network, the IP can be used as it is, so there are no restrictions on configuring the network.

以上のように、本発明の中継装置は、本発明者が先に提案したTCP2を用いることによって、既存の暗号化処理システムに比べても、特にデータの漏洩、改ざん、なりすまし、進入そして攻撃に対して極めて高いセキュリティ機能を有するものである。   As described above, the relay apparatus according to the present invention uses the TCP2 previously proposed by the present inventor, and is particularly suitable for data leakage, falsification, spoofing, entry, and attack compared with the existing encryption processing system. On the other hand, it has an extremely high security function.

なお、本発明は、以上説明した実施の形態例に限定されるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない範囲において、さらに多くの実施形態を含むものであることは言うまでもない。   It should be noted that the present invention is not limited to the embodiment described above, and it is needless to say that more embodiments are included without departing from the gist of the present invention described in the claims. .

本発明を適用したメールサーバ装置の一実施形態の構成を示すブロック図である。It is a block diagram which shows the structure of one Embodiment of the mail server apparatus to which this invention is applied. 本発明によるメールサーバ装置を適用した具体的な通信ネットワークの一実施形態を示す構成図である。It is a block diagram which shows one Embodiment of the concrete communication network to which the mail server apparatus by this invention is applied. その説明のための図である。It is a figure for the description. その送信時の動作を説明するためのフローチャート図である。It is a flowchart for demonstrating the operation | movement at the time of the transmission. その受信時の動作を説明するためのフローチャート図である。It is a flowchart for demonstrating the operation | movement at the time of the reception. 従来の技術との比較の説明を行うための表図である。It is a table | surface for demonstrating the comparison with a prior art. 従来の技術との比較の説明を行うための説明図である。It is explanatory drawing for demonstrating the comparison with a prior art. 従来のIPsec及びSSLを用いた標準的な通信のプロトコルスタックを示す図である。It is a figure which shows the protocol stack of the standard communication using the conventional IPsec and SSL. 従来の技術の説明を行うための表図である。It is a table | surface figure for demonstrating the prior art. 本発明者が先に提案したTCP2のプロトコルスタックを示す図である。It is a figure which shows the protocol stack of TCP2 which this inventor proposed previously.

符号の説明Explanation of symbols

600…メールサーバ装置、200,300…ネットワーク、1a,1b…NICドライバ、20…アプリケーション解析機能、30…TCP2、40…外部回路、50…記憶装置   600 ... mail server device, 200,300 ... network, 1a, 1b ... NIC driver, 20 ... application analysis function, 30 ... TCP2, 40 ... external circuit, 50 ... storage device

Claims (4)

送信装置から受信したメール情報を保存し、受信装置からの要求に応じて前記保存されたメール情報を送信するようにしたメールサーバ装置であって、
前記送信装置及び受信装置でトランスポート層に位置するTCP又はUDPプロトコルに暗号化機能を追加して電子化情報の通信を行う際に、
少なくとも前記送信装置及び/または受信装置との間で対応する暗号化及び復号化ロジックを取り決める取決め手段と、
前記送信装置からのSMTPコマンドに応答して情報単位としてのパケットを受信し、前記取り決め手段で取り決めた復号化ロジックに従って復号化して保存する保存手段と、
前記受信装置からのPOP3コマンドに応答して前記保存手段に保存された前記情報単位としてのパケットを、前記取り決め手段で取り決めた暗号化ロジックに従って暗号化して送信する通信手段と、を有し、
前記トランスポート層のTCP又はUDPプロトコルを用いて前記暗号化及び復号化ロジックに基づいた通信を行うことを特徴とするメールサーバ装置。
A mail server device that stores mail information received from a transmission device and transmits the stored mail information in response to a request from the reception device,
When communicating electronic information by adding an encryption function to the TCP or UDP protocol located in the transport layer in the transmission device and the reception device,
Means for negotiating corresponding encryption and decryption logic at least with said transmitter and / or receiver;
A storage unit that receives a packet as an information unit in response to an SMTP command from the transmission device, and that is decrypted and stored according to a decoding logic negotiated by the negotiating unit;
Communication means for encrypting and transmitting the packet as the information unit stored in the storage means in response to the POP3 command from the receiving device according to the encryption logic decided by the agreement means;
A mail server device that performs communication based on the encryption and decryption logic using a TCP or UDP protocol of the transport layer.
前記送信装置からのSMTPコマンドに応答して情報単位としてのパケットの相手装置への送信を行う第1の装置と、前記受信装置からのPOP3コマンドに応答して情報単位としてのパケットの前記相手装置からの受信を行う第2の装置とが独立に設けられていることを特徴とする請求項1記載のメールサーバ装置。   A first device that transmits a packet as an information unit to a counterpart device in response to an SMTP command from the transmission device; and a counterpart device of a packet as an information unit in response to a POP3 command from the reception device 2. The mail server device according to claim 1, wherein a second device that performs reception from the second device is provided independently. 前記暗号化及び復号化ロジックの取決め手段による取決め候補となりうる暗号化及び復号化ロジックをメモリに記憶ないし回路に実装し、
該記憶ないし実装した取決め候補となりうる暗号化及び復号化ロジックを定期的に変更するロジック変更手段をさらに備えた
ことを特徴とする請求項1または2に記載のメールサーバ装置。
The encryption and decryption logic that can be an agreement candidate by the encryption and decryption logic agreement means is stored in a memory or a circuit,
The mail server device according to claim 1, further comprising: a logic changing unit that periodically changes encryption and decryption logic that can be stored or implemented arrangement candidates.
前記暗号化及び復号化ロジックの取決め手段が、前記暗号化及び復号化ロジックに関連して、暗号化をしないで平文を取り扱う旨を取り決める
ことができるようにした請求項1〜3のいずれかに記載のメールサーバ装置。
The means for determining the encryption and decryption logic can determine that the plaintext is handled without encryption in relation to the encryption and decryption logic. The described mail server device.
JP2006120824A 2006-04-25 2006-04-25 Mail server device Active JP4783665B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2006120824A JP4783665B2 (en) 2006-04-25 2006-04-25 Mail server device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2006120824A JP4783665B2 (en) 2006-04-25 2006-04-25 Mail server device

Publications (2)

Publication Number Publication Date
JP2007295273A true JP2007295273A (en) 2007-11-08
JP4783665B2 JP4783665B2 (en) 2011-09-28

Family

ID=38765447

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2006120824A Active JP4783665B2 (en) 2006-04-25 2006-04-25 Mail server device

Country Status (1)

Country Link
JP (1) JP4783665B2 (en)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005015827A1 (en) * 2003-08-08 2005-02-17 T.T.T.Kabushikikaisha Communication system, communication device, communication method, and communication program for realizing the same

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005015827A1 (en) * 2003-08-08 2005-02-17 T.T.T.Kabushikikaisha Communication system, communication device, communication method, and communication program for realizing the same

Also Published As

Publication number Publication date
JP4783665B2 (en) 2011-09-28

Similar Documents

Publication Publication Date Title
JP3783142B2 (en) Communication system, communication device, communication method, and communication program for realizing the same
US20100077203A1 (en) Relay device
US7774594B2 (en) Method and system for providing strong security in insecure networks
US8886934B2 (en) Authorizing physical access-links for secure network connections
US20080141020A1 (en) Method and Apparatus for Providing Secure Streaming Data Transmission Facilities Using Unreliable Protocols
TW200307423A (en) Password device and method, password system
US8046820B2 (en) Transporting keys between security protocols
JP4757088B2 (en) Relay device
US20080059788A1 (en) Secure electronic communications pathway
JP4783665B2 (en) Mail server device
JP2006295401A (en) Relaying apparatus
JP2007019633A (en) Relay connector device and semiconductor circuit device
JP4866150B2 (en) FTP communication system, FTP communication program, FTP client device, and FTP server device
JP2007019632A (en) Communication board and communication method
KR20110087972A (en) Method for blocking abnormal traffic using session table
KR20090032072A (en) Relay device
JP2007329750A (en) Encrypted communication system
JP2008060817A (en) Communication system, web server device, client device, communication program for performing communication, and recording medium recording the program
Gabriel-Robez VPN and Firewall Traversal
JP2007324726A (en) File share server apparatus, client apparatus, printer, file share system, and file share program
JP2007329751A (en) Encrypted communication system

Legal Events

Date Code Title Description
A711 Notification of change in applicant

Free format text: JAPANESE INTERMEDIATE CODE: A711

Effective date: 20080313

RD02 Notification of acceptance of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7422

Effective date: 20090417

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20090421

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20090511

RD04 Notification of resignation of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7424

Effective date: 20090515

A711 Notification of change in applicant

Free format text: JAPANESE INTERMEDIATE CODE: A711

Effective date: 20101216

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110107

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20110126

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110208

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110329

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110526

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20110621

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20110711

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140715

Year of fee payment: 3

R150 Certificate of patent or registration of utility model

Ref document number: 4783665

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250