JP2007019633A - 中継コネクタ装置及び半導体回路装置 - Google Patents

Abstract

【課題】 パーソナルコンピュータに対してソフトウエア、若しくはハードウエアを実装するなどの負担を掛けることなく、外部との通信において、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐ。
【解決手段】 中継コネクタ装置１００には、ＰＣＭＩＣＡスロット２００からのＰＣＭＩＣＡバス２０に接続するための第１のＰＣＩインターフェイスコントローラ１と、モバイルデータカード３００からのＰＣＭＩＣＡバス３０に接続するための第２のＰＣＩインターフェイスコントローラ２とが設けられ、これらは内部バス３に接続されている。この内部バス３に対して、「ＴＣＰ２」の機能を実現するためのＣＰＵ４１と、フラッシュＲＯＭ４２、ＳＤＲＡＭ４３、ＥＥＰＲＯＭ４４などのメモリ手段を含む構成４が接続される。そしてこの構成４により「ＴＣＰ２」の機能が実現される。
【選択図】 図１

Description

本発明は、例えばトランスポート層に位置するＴＣＰ又はＵＤＰプロトコルに暗号化機能を追加して電子化情報の通信を行う際に使用して好適な中継コネクタ装置及び半導体回路装置に関する。詳しくは、通信におけるセキュリティシステム、特に、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐためのものである。

本願発明者は、先に上位アプリケーションのプログラムを変更することなく、データの漏洩、改竄、なりすまし、進入、攻撃の防止機能を強化するため、送信側と受信側とで暗号化・復号化ロジックの取決めを行い、これをトランスポート層に存在するＴＣＰ又はＵＤＰに該当するプロトコルのペイロードに適用する新規な暗号化システムＴＣＰ２を提供している（例えば、特許文献１参照。）。

近年、インターネットを利用した通信は、Windowsパソコンさえあれば、それをネットワークに接続するだけで、誰でもネットワーク上のコンピュータにアクセスできるため、社会の中で急速に普及拡大している。一方、このインターネット通信の普及拡大に伴って、ハッカー（hacker）やクラッカー（cracker）が他人のコンピュータシステムに侵入して、ソフトウエアやデータを盗み見たり、改竄や破壊を行ったりするという社会問題も大きくなっている。

具体的な不正妨害のケースとしては、まず第１に、中心的なシステムが使えなくなるように、ネットワークから大量のメッセージを送りつけコンピュータシステムの運用を妨害するシステム妨害がある。この妨害によってホストが過負荷になるとシステムダウンに陥ってしまうことも起こりうる。

また、ホストのパスワードを不正に入手し、機密情報を盗んだり、情報の改竄や破壊を行ったりする「不正アクセスとなりすまし」の不正妨害がある。この妨害にはコンピュータが保有する情報を勝手に書き換え、人を陥れる卑劣のものもある。また、特定のパソコンに忍び込み、メールアドレスやパスワードなど個人の機密データを搾取するスパイウエアといわれる不正行為も発生している。このようにネットワークに接続したコンピュータが持つデータベースの内容を不正に盗み見る、いわゆる盗聴行為も頻繁に行われている可能性も否定できない。

また、サイト若しくはサーバの運営元で、意図的に個人情報を盗むといった行為や、社内に潜むスパイなどによるサイバーテロ（cyber terrorism）といった危機も全くないとはいえない状況である。

さらに、他人のコンピュータにコンピュータ障害をもたらすプログラムである「ウイルス」を送り込むという不正妨害が最近多くなっている。この送り込まれたウイルスに、メールなどを自宅で使用したパソコンが感染し、それを社内に接続した瞬間に社内のパソコン全体が感染したり、ウイルスがコンピュータの中のファイルを破壊させたり、更には、ネットワーク全体をダウンさせたりするといった問題も生じている。

このため、従来のＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）やＵＤＰ（User Datagram Protocol）を利用したインターネット上での通信において、データの「漏洩」、「改竄」等を防ぐ機能として、ＩＰｓｅｃ（アイピーセック：Security Architecture for Internet Protocol）やＳＳＬ（Secure Socket Layer）といわれる暗号化通信が利用されている。

一般に、暗号化通信には、共通鍵（秘密鍵ともいう）暗号方式と公開鍵暗号方式があるが、ＩＰｓｅｃは共通鍵暗号方式を用いたものが多い。共通鍵暗号方式の方が公開鍵暗号方式より暗号化・復号化の速度が速いという特徴がある。このＩＰｓｅｃに用いられる共通鍵暗号方式は、暗号化と復号化を同じ鍵で行う方式であり、鍵の生成は送信側又は受信側のいずれで生成してもよいが、受信側と送信側とで共通鍵を使うために、鍵の交換時に内容が外部に漏れないよう細心の注意を払わなければならない。

共通鍵暗号方式に用いられるアルゴリズムはＤＥＳ（Data Encryption Standard：米国ＩＢＭ社が開発した共通鍵（秘密鍵）暗号化アルゴリズム）が代表的である。ＩＰｓｅｃもこのＤＥＳを暗号アルゴリズムの１つに採用している。ＩＰｓｅｃは、ＩＥＴＦ（Internet Engineer Task Force）が標準化を進めたものであり、この特徴は、単に特定のアプリケーションだけを暗号化するのではなく、ホストから送信されるあらゆる通信をＩＰレベルで暗号化する点にある。

これによりユーザはアプリケーションを意識することなく安全な通信を可能とすることができる。また、ＩＰｓｅｃは、将来にわたって使えるように、それ自体の仕組みを変えることなく使用する暗号アルゴリズムを変更することを可能としている。ＩＰｓｅｃで用いられる共通暗号鍵としては、ＳＰＩ（Security Pointer Index）と呼ばれる３２ビット符合が用いられ、鍵交換プロトコルとしては、ＩＫＥ（Internet Key Exchange）が用いられる。さらに、ＩＰｓｅｃには、完全性認証のためのプロトコルＡＨ（Authentication Header）が用意されている。

また、ＳＳＬは、米ネットスケープ社（現在ＡＯＬに吸収合併）の開発したセキュリティ機能付ＨＴＴＰプロトコルであり、これを利用することによりクライアントとサーバがネットワーク上でお互いを認証できるようになり、クレジットカード情報などの機密性の高い情報を暗号化してやり取りすることが可能となる。これにより、データの盗聴、再送攻撃（ネットワーク上に流れたデータを盗聴して何度も繰り返して送ってくる攻撃）、なりすまし（本人の振りをして通信する）、データの改竄などを防止することができる。

図６のＡは従来のＩＰｓｅｃを用いた暗号化通信を行う場合のプロトコルスタックの例を示し、図６のＢは従来のＳＳＬを用いた暗号化通信を行う場合のプロトコルスタックの例を示している。

ＯＳＩ参照モデルは、最下層（第１層）が物理層、第２層がデータリンク層、第３層がネットワーク層、第４層がトランスポート層、第５層がセッション層、第６層がプレゼンテーション層、最上層（第７層）がアプリケーション層になっている。このＯＳＩ参照モデルにおける７階層は、通信機能を７段階に分けたものであり、その階層毎に標準的な機能モジュールを定めている。図６のＡでは、第５層のセッション層までが示されている。プロトコルスタックとは、ネットワークの各階層における機能を実現するためのプロトコルを選び、階層状に積み上げたソフトウエア群である。

まず、ＯＳＩ参照モデルについて概略を説明すると、第１層の物理層は、信号線の物理的な電気特性や符号の変調方法などを規定した層である。ただ、この層だけが単独で定義・実装されることは少なく、通常は、第２層のデータリンク層と共に、例えばイーサネット（Ethernet）の規格、などとして定義される。

第２層のデータリンク層は、データのパケット化や物理的なノードアドレス、パケットの送受信方法などを規定する層である。この層は、物理的な通信媒体を通して、２つのノード間でパケットをやり取りするためのプロトコルを規定するものであり、各ノードに対して、何らかのアドレスを付け、そのアドレスに基づいてパケットの送信先を特定し、パケットを通信媒体上に送信する。

通信媒体としては、銅配線や無線、光ファイバなど、多様なものがある。また、接続形態（トポロジー）も、１対１の対向接続だけでなく、バス型やスター型、リング型など多くの種類がある。通信媒体上に送信されたパケットは、受信側ノードに到着した時点でそのノードに取り込まれ、さらに上位のプロトコル層へと渡される。

物理層とデータリンク層に渡って配置されるＮＩＣ（Network Interface Card）ドライバは、パソコンやプリンタなどを構内ネットワーク（ＬＡＮ）につなぐための拡張ボードである。単にネットワークカードという場合はイーサネットにつなぐ場合が多い。

このＮＩＣドライバにより、データを送信したいノード（機器）がケーブルの空き状況を監視して、ケーブルが空くと送信を開始するようにしている。このとき、もし複数のノードが同時に送信を開始するとケーブル内でデータが衝突して破壊されるので、両者は送信を中止し、ランダムな時間を待って送信を再開するのである。これによって一本のケーブルを複数のノードが共有して互いに通信することができる。

第３層のネットワーク層は、任意の２つのノード間での通信方法を規定する層である。ＴＣＰ／ＩＰでいえばＩＰ層に相当する。データリンク層では、同一ネットワーク媒体上のノード間での通信を行うことができるが、その機能を使って、ネットワーク上に存在する任意の２つのノード間で、ルーティング（routing）を行いながら通信するのがこのネットワーク層の役目である。

ここで、ルーティングとはＴＣＰ／ＩＰネットワークにおいて目的のホストまでパケットを送信するときに、最適な経路を選択して送信することをいう。例えばイーサネットでは、同一セグメント上のノード同士でしかお互いに通信できないが、ネットワーク層では、２つのイーサネットセグメント間でパケットをルーティングすることによって通信を行う。

また、電話回線を通じてコンピュータをネットワーク（イーサネット）に接続するダイヤルアップＰＰＰ（Point to Point Protocol）回線へのルーティング、また、光ファイバを使った専用線へのルーティングなど、物理的なネットワーク媒体によらずにパケットをルーティングすることができる。この目的のため、通常は、物理媒体に依存しないアドレス（ＴＣＰ／ＩＰならば、ＩＰアドレス）を各ノードに割り当て、これに基づいてルーティングを行っている。

ＩＰｓｅｃは、このネットワーク層で、つまりＩＰレベルでホストから送信されるあらゆる通信を暗号化するので、ユーザはアプリケーションを意識することなく安全な通信を可能とすることができるのである。

第４層のトランスポート層は、各ノード上で実行されている２つのプロセス間で通信を行う機能を提供している層であり、プロトコル層である。ＴＣＰ／ＩＰでいえばＴＣＰがこれに相当する。またネットワーク層では、２つのノード間での通信を行う機能を提供しているが、これを使って、２つのプロセス（アプリケーション）間で、エラーのない、仮想的な通信路を提供するのがＴＣＰの役目である。

すなわち、ネットワーク層ではデータを送ることはできるが、そのデータが確実に相手に届くという保証はない。また、送信した順に正しくデータが届くという保証もない。そこで、アプリケーションにとって使いやすくするために、エラーのない通信路を提供するのがＴＣＰである。必要ならばデータの再送・回復処理などを行う。

このトランスポート層にはＴＣＰの他にＵＤＰも配置されるが、このＵＤＰとＴＣＰの違いは、ＴＣＰがデータの補償がされているプロトコルである分、ＵＤＰより低速であるのに対して、ＵＤＰはデータ補償がない分、高速になっている点である。コンピュータ間の通信のように主としてデータを送る場合にはＴＣＰが用いられ、ＩＰ電話のように音声や画像を送る場合にはＵＤＰが多く用いられる。この通信システムは、本願発明者が特許文献１において初めて提案したものである。

第５層のセッション層は、セッション（通信の開始から終了まで）の手順を規定する層であり、アプリケーション間でコネクションを開設して通信ができる状態にする層である。この層に配置されるソケット（socket）は、コンピュータが持つネットワーク内の住所に当たるＩＰアドレスと、ＩＰアドレスのサブアドレスであるポート番号を組み合わせたネットワークアドレスを意味している。

コンピュータ同士を接続する場合は、必ずソケット（ＩＰアドレスとポート番号の組）を指定して行う。図６のＢに示すように、従来の代表的な暗号化通信技術であるＳＳＬは、このセッション層で暗号化通信を実現している。

第６層のプレゼンテーション層は、セッション（通信の開始から終了まで）でやり取りするデータの表現方法や符号化、暗号化などを規定する層である。ＴＣＰ／ＩＰプロトコルでは、この層に相当する部分はなく、通常はアプリケーション自身でストリームデータの処理をハンドリングしている。

また、第７層のアプリケーション層は、アプリケーション間でのデータのやり取りを規定するための層であり、ＴＣＰ／ＩＰプロトコルではこの層に相当する部分はない。例えば、電子メールのフォーマットや、文書の内部構造など、アプリケーション間で相互にデータをやり取りする場合に必要な、共通のデータ構造などを規定する層である。

図６のＡは、ＩＰｓｅｃを搭載した標準プロトコルスタックであるが、まず、物理層（第１層）とデータリンク層（第２層）に、ＮＩＣ（Network Interface Card）ドライバが設けられている。このドライバは、コンピュータなどのハードウエアをネットワークに接続するためのインターフェースカードのドライバであり、その内容はデータ送受信制御ソフトウエアである。例えばイーサネットに接続するためのＬＡＮボードまたはＬＡＮカードがこれに相当する。

第３層のネットワーク層は、一部がトランスポート層（第４層）まで伸びたＩＰエミュレータ（emulator）が存在している。このトランスポート層まで延びた部分には、トランスポートとしての機能は実装していない。セッション層に、ネットワーク層の機能を提供しているだけある。このＩＰエミュレータは、ＩＰｓｅｃによる暗号化通信を行うプロトコルと、暗号化通信を行わないプロトコルであるＩＰを用途に応じて切り換えて使う働きをする。

また、第３層のネットワーク層にはＡＲＰ（Address Resolution Protocol）が配置されている。このＡＲＰは、ＩＰアドレスからイーサネットの物理アドレスであるＭＡＣ（Media Access Control）アドレスを求めるのに使われるプロトコルである。ＭＡＣは、媒体アクセス制御と呼ばれる、ＬＡＮなどで利用される伝送制御技術であり、データの送受信単位であるフレームの送受信方法やフレームの形式、誤り訂正などを規定する技術として利用されている。

また、このネットワーク層には、ＩＰのエラーメッセージや制御メッセージを転送するプロトコルであるＩＣＭＰ（Internet Control Message Protocol）と、同一のデータを複数のホストに効率よく配送するための又は配送を受けるために構成されるホストのグループを制御するためのプロトコルであるＩＧＭＰ（Internet Group Management Protocol）が設けられている。そして、ネットワーク層の上位層のトランスポート層には、ＴＣＰとＵＤＰが、そしてその上位層であるセッション層にはソケット（socket）インターフェイスが配列されている。

図６のＢは、暗号化処理プロトコルとしてＳＳＬを具備した標準プロトコルの例であり、ネットワーク層にＩＰｓｅｃを搭載しない代わりにソケット（セッション層）にＳＳＬが搭載されている。この他のプロトコルは図６のＡに示したものと同じである。

従来の代表的な暗号化通信技術の中で、ＩＰｓｅｃは、ＩＰのパケットを暗号化して送受信するものであり、従って、ＴＣＰやＵＤＰなどの上位のプロトコルを利用するアプリケーションソフトはＩＰｓｅｃが使われていることを意識する必要がない。

一方、ＳＳＬでは、互いの認証レベルではＲＳＡ（Rivest Shamir Adleman：公開鍵暗号方式を開発者３人の頭文字）公開鍵暗号技術を用いたデジタル証明書が用いられ、データの暗号化ではＤＥＳなどの共通鍵暗号技術が用いられている。このＳＳＬは第５層のセッション層にあるため、特定のアプリケーションに依存することになる。

ＩＰｓｅｃは、ＯＳＩにおける第4層（トランスポート層）より下位の第3層（ネットワーク層）におけるデータの「漏洩」や「改竄」を防ぐ機能として実現したものである（非特許文献１を参照。）。これに対して、ＳＳＬは、第５層のセッション層における暗号化技術であり、現在インターネットで広く使われているＷＷＷ（World Wide Web）やＦＴＰ（File Transfer Protocol）などのデータを暗号化して、プライバシーに係る情報や企業秘密情報などを安全に送受信するためのものである。

図７に示す表１は、ＩＰｓｅｃとＳＳＬの機能を比較して記載したものである。この表から見る限り、ＩＰｓｅｃとＳＳＬは互いに相反する利点と欠点がある。

例えば、クライアント−クライアント間の通信では、ＳＳＬの場合、そのコマンド体系と通信内容が主従の関係、つまりクライアント／サーバとなってしまうことから、サーバを介することなくクライアント−クライアント間の通信はできなかった。すなわち、端末Ａから端末Ｂに秘密のデータをＳＳＬにより暗号化して送る場合には、必ず間にサーバを介在する必要があった。これに対して、ＩＰｓｅｃではこのような制約がないので直接通信が可能となる。

また、ＰＰＰ（Point to Point Protocol）モバイル環境あるいはＡＤＳＬ（Asymmetric Digital Subscriber Line）環境においては、ＩＰｓｅｃは、データの暗号化通信を開始する前に、暗号化方式の決定、鍵の交換、相互認証に使用するプロトコルであるＩＫＥ（Internet Key Exchange）プロトコルを使用した通信の中で、接続先相手の認証を行っている。

従って、ＰＰＰモバイル環境（リモートクライアント）又は、ＡＤＳＬ環境の場合、ＩＰアドレスが固定できないため、ＩＰｓｅｃのゲートウェイ間で、最も使用しているＩＫＥのＭａｉｎモード、つまり認証の際に通信相手のＩＰアドレス情報を使用するモードを使用することができない。

なお、解決策としては、Aggressiveモードを使用することで、ＩＤ情報にＩＰアドレスを使用しなくてもよく、ＩＤ情報に例えばユーザ情報を使用し、既知共有鍵にユーザのパスワードを使用することで相手を特定することができる。但し、Aggressiveモードでは鍵交換情報と同じメッセージの中で接続先相手のＩＤを送信するため、ＩＤは暗号化されずに平文のまま送信することになる。

また、ＸＡＵＴＨ（Extended Authentication within IKE）を利用することにより、認証の問題を解決することができるが、ファイアウォールの設定で、リモートクライアントからのアクセスは、ＩＰアドレスが不明であるため、ＩＫＥ、ＩＰｓｅｃを全て許可にする必要があり、セキュリティ上問題が残る。ＳＳＬは、この環境下であっても、通信することが可能である。

また、ＩＰｓｅｃは、ＮＡＴ（Network Address Translation）やＩＰマスカレードに対応することができないという問題がある。これらに対応するためには、例えばＵＤＰのペイロードに載せるといった他の機能と併用しなければならない。

ＮＡＴは、インターネットに接続された企業などが１つのグローバルなＩＰアドレスを複数のコンピュータで共有する技術であり、組織内でのみ通用するＩＰアドレス（ローカルアドレス）とインターネット上のアドレス（グローバルアドレス）を相互変換する技術である。ＮＡＴに対応できないのは、ＩＰヘッダがＡＨ（Authentication Header）の認証範囲に入っているため、このローカルアドレスからグローバルアドレスの相互変換ができなくなり、サブネットの異なるローカルアドレス同士の通信ができなくなるからである。

また、ＩＰマスカレードとは、ＬＡＮ内のプライベートアドレスを持つ複数のクライアントからインターネットにアクセスすることを可能とするような仕組みであり、これを利用すると、外部（インターネット）からはＩＰマスカレードが動作している端末しか見えないのでセキュリティ上から見て望ましいといえるものである。ＩＰｓｅｃがＩＰマスカレードに対応できない理由は、ＩＰｓｅｃのＥＳＰ（Encapsulating Security Payload：暗号ペイロード）ヘッダがＩＰヘッダのすぐ後にあるためである。

ＩＰマスカレードを実装している通常のルータは、ＩＰヘッダのすぐ後ろには、ＴＣＰ／ＵＤＰのポート番号があると判断している。従って、ＩＰマスカレードを実装しているルータを経由すると、このポート番号を変更してしまうため、ＩＰｓｅｃは、改竄されたと判断して、ホストの認証ができないという問題が生じる。この問題は、ＵＤＰのペイロードに乗せるためのＮＡＴ−Ｔ（NAT-Traversal）をサポートする製品を利用することで回避することができる。

但し、ＮＡＴ−Ｔのドラフトバージョンが異なると、ＮＡＴ−Ｔ対応製品同士でも接続することができない。ＳＳＬは、この環境下であっても、通信することが可能である。

これに対し、ハッカーやクラッカーといわれるネットワークの不正侵入者によるＴＣＰ／ＩＰへのさまざまな攻撃、いわゆるＤｏＳ攻撃（Denial of Service：サービスを停止させる攻撃）に対しては、ＳＳＬは無力である。ＴＣＰ／ＩＰプロトコルスタックへのＤｏＳ攻撃、例えば、ＴＣＰ切断攻撃が行われると、ＴＣＰセッションが切れてしまいＳＳＬのサービスは停止してしまうのである。

ＩＰｓｅｃは第３層（ＩＰ層）に実装しているため、ＩＰ層にセキュリティ機能を持つので、ＴＣＰ／ＩＰ（第４層、第３層）へのＤｏＳ攻撃を防ぐことができる。しかし、ＳＳＬは、ＴＣＰ／ＩＰ（第４層、第３層）より上の層（第５層）に実装されている暗号化プロトコルであるため、ＴＣＰ／ＩＰへのＤｏＳ攻撃を防ぐことができない。

さらに、物理ノイズが多く通信エラーが多発するような劣悪な通信環境化における通信に対しては、ＳＳＬの方がＩＰｓｅｃに比べて効果的である。すなわち、ＩＰｓｅｃは、エラーの検出をした場合、再送動作を上位のＴＣＰに任せることになる。ＴＣＰは、再送データをＩＰｓｅｃに送るが、ＩＰｓｅｃはこの再送データであることが認識できず、再暗号を行ってしまうのである。ＳＳＬはＴＣＰでエラー回復処理を行うので同じデータを再暗号化することはない。

また、ＩＰｓｅｃでは異なったＬＡＮ間の通信ができない。すなわち、ＬＡＮ内のサブネットアドレスの配布管理は、ＬＡＮ内にあるＤＨＣＰ（Dynamic Host Configuration Protocol）サーバが管理しているため、ＬＡＮ内では、同一のサブネットアドレスが割り振られることはないが、異なったＬＡＮ間の通信の場合、お互いのＬＡＮ内にあるＤＨＣＰサーバが個別にサブネットアドレスを割り振っているため、同一アドレスが割り振られる可能性がある。

このように同一アドレスが割り振られた場合には、ＩＰｓｅｃでは通信することができない。但し、別にＩＰｓｅｃ−ＤＨＣＰサーバを立てて、同一アドレスにならないように管理すれば、通信することができる。ＳＬＬは上述したようにＯＳＩ参照モデルの第５層（セッション層）に位置しているため、下位層のＴＣＰでエラー回復処理を行うことができ、上記のような劣悪な環境下でも通信することが可能となる。

また、異なったネットワーク環境下における通信に対しては、ＩＰｓｅｃは、経由するノード全てを管理し、ＩＰｓｅｃが通過できるように設定変更しなければならないため、管理が大変であるが、ＳＳＬは、この環境下であっても、経由するノードの環境を意識せず通信することが可能である。

また、ＳＳＬは、ＵＤＰの通信をサポートしていないため、ＵＤＰを暗号通信することができない。ＴＣＰも特定のポートしかサポートしていないため、ＴＣＰ全てのポートを暗号通信することができない。これに対して、ＩＰｓｅｃは、ＵＤＰでもＴＣＰでも暗号通信することができる。

さらに、ＳＳＬはアプリケーションに対する互換性を持たない点において問題がある。アプリケーションは、インターネット通信を行う際にソケット（第５層）をプログラムインターフェースとして使用する。このため、アプリケーションがＳＳＬ（第５層）を使用する場合には、このソケットインターフェースをＳＳＬインターフェースに変更しなければならない。従って、ＳＳＬにアプリケーションの互換性はない。

これに対し、ＩＰｓｅｃは、ソケット（第５層）の下に位置しているため、アプリケーションは、ソケット（第５層）をプログラムインターフェースとしてそのまま使用することができるのでアプリケーションの互換性がある。また、ＩＰｓｅｃは、ＩＰアドレス単位で制御することができるのに対し、ＳＳＬは、ソース単位（ＵＲＬ単位、フォルダー単位）で制御することになる。

さらに、ＩＰｓｅｃは最大セグメントサイズが小さくなるという問題がある。すなわち、ＩＰｓｅｃでは、ＥＳＰヘッダ、ＥＳＰトレーラを使用するため、ペイロードが小さくなるため、フラグメント（パケットの分割）が発生し、スループットが低下する。また、ＴＣＰパケットでは、フラグメントが禁止であるため、エンドエンドで、ＩＰｓｅｃの通過する環境を把握し、フラグメントが発生しない最大セグメントサイズを設定する必要がある。これに対し、ＳＳＬは、通過する環境を把握する必要がないため、最大セグメントサイズを設定する必要はない。

以上、表１（図７）にもとづいてＩＰｓｅｃとＳＳＬの機能比較について説明したが、上述のようにＩＰｓｅｃとＳＳＬには、互いに相反する長所と短所が混在しているものである。これに対して、本願発明者は先に、これらＩＰｓｅｃとＳＳＬのすべての長所を含み、さらに他にも多くのメリットを有する画期的な暗号通信プロトコルであるＴＣＰ２を提案した（特許文献１参照。）。

すなわち特許文献１に記載の発明においては、コンピュータ端末への不正侵入を防ぐための「暗号化の機能」をアプリケーション・プログラムそれぞれに実装する必要がなく、従って、アプリケーション・プログラム自体を再作成する必要もなく、かつ上記暗号化機能に対応していない通信相手とも従来の平文による通信でき、さらにはＩＰｓｅｃが利用できない環境（あるいは利用したくない状況）でも暗号化や認証の恩恵を受けることができる。

図８は、本願発明者が先に特許文献１において提案した暗号化通信システムの一実施の形態に用いられるプロトコルスタックを示すものである。

この特許文献１に記載の発明に用いられるプロトコルスタックは、図８に示すように、ＯＳＩ７階層の物理層（第１層）とデータリンク層（第２層）に相当する階層に、ＮＩＣ（Network Interface Card）ドライバ１１が配列される。このドライバは、既に述べたように、コンピュータなどのハードウエアをネットワークに接続するためのインターフェースカードのドライバであり、その内容はデータ送受信制御ソフトウエアである。例えばイーサネットに接続するためのＬＡＮボードまたはＬＡＮカードがこれに相当するものである。

第３層のネットワーク層には、一部がトランスポート層（第４層）まで延びたＩＰエミュレータ（emulator）３が存在している。上記延びた部分には、トランスポートとしての機能は実装していない。セッション層に、ネットワーク層の機能を提供しているだけである。このＩＰエミュレータ３は、暗号化通信を行うプロトコルである「ＩＰｓｅｃ ｏｎ ＣＰ」１３ｂと、「ＩＰ ｏｎ ＣＰ」１３ａを用途に応じて切り換えて使う働きをするものである。ここで、「ｏｎ ＣＰ」とは、クラッキング・プロテクタ（ＣＰ）による、「進入」、「攻撃」の監視、破棄、切断ないし通過制限の対象となっていること、又は、設定によりなりうることを示している。

また、ネットワーク層には「ＡＲＰ ｏｎ ＣＰ（Address Resolution Protocol on Cracking Protector）」が配列されている。この「ＡＲＰ ｏｎ ＣＰ」は、クラッカー（cracker）への保護対策を具備したＩＰアドレスからイーサネットの物理アドレスであるＭＡＣ（Media Access Control）アドレスを求めるのに使われるプロトコルである。ＭＡＣは、媒体アクセス制御と呼ばれる、ＬＡＮなどで利用される伝送制御技術であり、データの送受信単位であるフレームの送受信方法やフレームの形式、誤り訂正などを規定する技術として利用されている。

ここで、ＩＰエミュレータ１３は、本発明による各種のセキュリティ機能を、従来のＩＰ周辺のスタックに整合させるためのソフトウエア又はファームウエアである。すなわち、ＩＰのエラーメッセージや制御メッセージを転送するプロトコルであるＩＣＭＰ（Internet Control Message Protocol）１４ａ、同一のデータを複数のホストに効率よく配送するための又は配送を受けるために構成されるホストのグループを制御するためのプロトコルであるＩＧＭＰ（Internet Group Management Protocol）１４ｂ、ＴＣＰ１５、ＵＤＰ１６さらにソケット（socket）インターフェイス１７に整合させるためのソフトウエア、又はファームウエア、ないしはハードウエア（電子回路、電子部品）である。このＩＰエミュレータ１３により、ＩＰｓｅｃの暗号化・復号化及び必要な認証情報付加・認証等の前後の適合処理を行うことができる。

このＩＰエミュレータ１３の上層のトランスポート層（第４層）には、ＴＣＰエミュレータ１５とＵＤＰエミュレータ１６が配置されている。ＴＣＰエミュレータ１５は、暗号化通信を行うプロトコルである「ＴＣＰｓｅｃ ｏｎ ＣＰ」１５ｂと、通常の通信プロトコルである「ＴＣＰ ｏｎ ＣＰ」１５ａを用途に応じて切り換えて使う働きをする。同様に、ＵＤＰエミュレータ１６は、暗号化通信を行うプロトコルである「ＵＤＰｓｅｃ ｏｎ ＣＰ」１６ｂと、通常の通信プロトコルである「ＵＤＰ ｏｎ ＣＰ」１６ａを用途に応じて切り換えて使う働きをする。

この特許文献１の最も特徴とするべき点は、このトランスポート層（第４層）に、ＴＣＰｓｅｃ１５ｂと、ＵＤＰｓｅｃ１６ｂの暗号化通信プロトコルを搭載したことである。ＴＣＰｓｅｃ１５ｂとＵＤＰｓｅｃ１６ｂについては後述する。

このトランスポート層（第４層）の上層のセッション層（第５層）には、ＴＣＰ及びＵＤＰ等のプロトコルとデータのやりとりを行うソケット（socket）インターフェイス１７が設けられている。このソケットの意味は、既に述べたようにコンピュータが持つネットワーク内の住所に当たるＩＰアドレスと、ＩＰアドレスのサブアドレスであるポート番号を組み合わせたネットワークアドレスを意味しており、実際には、一連のヘッダの追加ないし削除をまとめて行う、単一のソフトウエアプログラムモジュール（実行プログラム等）あるいは単一のハードウエアモジュール（電子回路、電子部品等）からなっている。

このソケットインターフェース１７は、さらに上位のアプリケーションからの統一的なアクセス方式を提供するものであり、引数の種類や型など従来と同様のインターフェイスを保つようにしている。

ＴＣＰエミュレータ１５は、トランスポート層において、データの漏洩・改竄の防止の機能、すなわち暗号化、完全性認証及び相手認証等の機能を持つＴＣＰｓｅｃ１５ｂと、このような暗号化、完全性認証、及び相手認証等の機能を持たない通常のプロトコルＴＣＰ１５ａのいずれかにパケットを振り分ける働きをもっている。また、ＴＣＰｓｅｃ１５ｂ及びＴＣＰ１５ａのいずれもクラッキング・プロテクタ（ＣＰ）を備えているため、そのいずれを選択した場合でも、クラッカーによる「進入」、「攻撃」に対して防御する機能を実現することができる。ＴＣＰエミュレータ１５は上位層であるソケットとのインターフェイスの役割も果たしている。

また、既に述べたようにＴＣＰがエラー補償機能を有するのに対して、ＵＤＰはエラー補償機能を持たないが、その分転送速度が速く、かつブロードキャスト機能を備えているという特徴がある。ＵＤＰエミュレータ１６は、ＴＣＰエミュレータ１５と同様に、データの漏洩・改竄の防止の機能、すなわち暗号化、完全性認証及び相手認証等の機能を持つＵＤＰｓｅｃ１６ｂと、このような暗号化、完全性認証、及び相手認証等の機能を持たない通常のプロトコルＵＤＰ１６ａのいずれかにパケットを振り分ける働きを持っている。

図８に示すように、ソケット１７、ＴＣＰエミュレータ１５、ＵＤＰエミュレータ１６、「ＴＣＰｓｅｃ ｏｎ ＣＰ」１５ｂ、「ＵＤＰｓｅｃ ｏｎ ＣＰ」１６ｂ、「ＴＣＰ ｏｎ ＣＰ」１５ａ、「ＵＤＰ ｏｎ ＣＰ」１６ａ、「ＩＣＭＰ ｏｎ ＣＰ」１４ａ、「ＩＧＭＰ ｏｎ ＣＰ」１４ｂ、ＩＰエミュレータ１３、「ＩＰ ｏｎ ＣＰ」１３ａ、及び「ＡＲＰ ｏｎ ＣＰ」１２からなるプロトコルスタックが本発明の暗号化処理を行うためのプロトコルスタックであり、以下、このプロトコルスタックを総称してＴＣＰ２と呼ぶことにする。

なお、ＴＣＰ２には「ＩＰｓｅｃ ｏｎ ＣＰ」１３ｂは必須のものとして含まれていないが、「ＩＰｓｅｃ ｏｎ ＣＰ」１３ｂを含めてＴＣＰ２とすることもできる。

特許文献１に開示されているＴＣＰ２には、上述した暗号化処理を行うためのプロトコルスタックの他に、ＴＣＰ、ＵＤＰ、ＩＰ、ＩＰｓｅｃ、ＩＣＭＰ、ＩＧＭＰ、ＡＲＰの標準プロトコルスタックも含んでいる。そして、これらの標準プロトコルにＣＰ（クラッキング・プロテクト）を実装し、各プロトコルスタックに対する通信からの攻撃、及び、アプリケーション・プログラムからの攻撃（トロイの木馬、プログラムの改竄、正規ユーザの不正使用など）を防御することができるようにしている。

また、ＴＣＰ２では、ＴＣＰエミュレータ１５を実装し、このＴＣＰエミュレータ１５は、セッション層にあるソケット（socket）１７、及びネットワーク層にあるＩＰエミュレータ１３から見て、互換性を保つため、外向きには標準ＴＣＰと同じに見せることができる。実際は、ＴＣＰ２の機能として、ＴＣＰとＴＣＰｓｅｃを切り替えて実行する。ＴＣＰｓｅｃは、本発明であるトランスポート層での暗号化及び認証機能である。

また、同様に、ＴＣＰ２では、ＵＤＰエミュレータ１６を実装しており、ＵＤＰエミュレータ１６は、セッション層であるソケット（socket）１７、及び、ネットワーク層であるＩＰエミュレータ１３から見て、互換性を保つため、外部からは標準ＵＤＰとして見せることができる。実際は、ＴＣＰ２の機能として、ＵＤＰ、ＵＤＰｓｅｃを切り替えて実行する。ＵＤＰｓｅｃは、特許文献１に記載の発明であるトランスポート層での暗号化及び認証機能である。

次に、ＴＣＰ２において、特に重要な機能である「データ漏洩」を防ぐ機能であるＴＣＰｓｅｃ１５ｂ及びＵＤＰｓｅｃ１６ｂについて説明する。

ＴＣＰｓｅｃ１５ｂ及びＵＤＰｓｅｃ１６ｂのための暗号化・復号化の方法（アルゴリズム、ロジック（論理））としては、公知の秘密鍵（共通鍵）暗号アルゴリズムが用いられる。例えば、１９６０年代にＩＢＭ社によって開発された秘密鍵暗号アルゴリズムであるＤＥＳ（Data Encryption Standard）や、その改良版としての３ＤＥＳが用いられる。

また、その他の暗号アルゴリズムとしては、1992年にスイス工科大学のJames L.Massey氏とXuejia Lai氏によって発表されたＩＤＥＡ（International Data Encryption Algorithm）も用いられる。この暗号アルゴリズムは、データを６４ビットのブロックに区切って暗号化するもので暗号鍵の長さは１２８ビットである。秘密鍵暗号を効率よく解読する線形解読法や差分解読法に対しても十分な強度を持つように設計されている。

また、特許文献１に記載の発明に用いられるＴＣＰｓｅｃ１５ｂ及びＵＤＰｓｅｃ１６ｂの暗号方式として、ＦＥＡＬ（Fast data Encipherment Algorithm）、ＭＩＳＴＹ、ＡＥＳ（Advanced Encryption Standard）といった暗号方式も利用されるほか、また、独自に作成した秘密の暗号化・復号化アルゴリズムを利用することもできる。ここで、ＦＥＡＬは、日本電信電話株式会社（当時）が開発した暗号方式で、暗号化と復号化に同じ鍵をもちいる秘密鍵型の暗号方式である。このＦＥＡＬは、ＤＥＳに比べて高速に暗号化と復号化ができるという利点がある。

次に、同じく特許文献１に記載の発明に利用される暗号方式であるＭＩＳＴＹは、三菱電機株式会社が開発した秘密鍵型の暗号方式であり、ＩＤＥＡと同様にデータを６４ビットのブロックに区切って暗号化する。鍵の長さは１２８ビットである。暗号化と復号化には同じプログラムが使われる点はＤＥＳなどと同じである。この方式も秘密鍵暗号を効率よく解読する線形解読法や差分解読法に対しても十分な強度を持つように設計されている。

また、ＡＥＳは、米国商務省標準技術局によって選定作業が行われている、米国政府の次世代標準暗号化方式であり、現在の標準的な暗号方式であるＤＥＳに代わる次世代の暗号標準として開発が進められたものである。世界に公募して集められて幾つかの暗号方式の中から、2000年10月に、ベルギーの暗号開発者Joan Daemen氏とVincent Rijmen氏が開発したRijndaelという方式が採用された。

このように、特許文献１に記載の発明に適用されるＴＣＰｓｅｃ１５ｂ及びＵＤＰｓｅｃ１６ｂの暗号方式としては、既に知られているさまざまな秘密鍵の暗号アルゴリズムを採用することができるほか、ユーザが独自に開発した秘密鍵（共通鍵）暗号方式も利用することが可能である。

さらに、いわゆる「なりすまし」及び「データの改竄」などを防ぐための「相手認証」及び「完全性認証」の方法として、公開鍵や事前秘密共有（pre-shared）を利用したアルゴリズム、例えば、ＭＤ５（Message Digest 5）、ＳＨＡ１（Secure Hash Algorithm 1）などの認証アルゴリズムが用いられる。また、このような公知の認証アルゴリズムに代えて独自の一方向関数を利用したアルゴリズムを採用することもできる。

このＭＤ５は、認証やデジタル署名に用いられるハッシュ関数（一方向要約関数）の一つであり、原文を元に固定長のハッシュ値を発生し、これを通信経路の両端で比較することにより、通信途中で原文が改竄されていないかを検出することができるものである。このハッシュ値は擬似的な乱数のような値をとり、これを基にしては原文を再生できないようになっている。また、同じハッシュ値を生成する別のメッセージを作成することも困難になっている。

ＳＨＡ１も、認証やデジタル署名などに使われるハッシュ関数の一つであり、２の６４乗ビット以下の原文から１６０ビットのハッシュ値を生成し、通信経路の両端で比較することにより、通信途上の原文の改竄を検出するものである。この認証アルゴリズムは従来のインターネットの暗号化通信の代表的なものであるＩＰｓｅｃにも採用されている。

なお、これらの認証アルゴリズムについては、ＤＨ（Diffie-Hellman）公開鍵配送法や、ＩＰｓｅｃと同様のＩＫＥ（Internet Key Exchange）プロトコル（ＵＤＰの５００番）などにより安全な鍵交換ができるように設計され、しかも、定期的に暗号化／完全性認証アルゴリズム（論理）自体やそのための鍵の集合／定義域が変更されるように、プロトコルドライバープログラム（ＴＣＰｓｅｃ１５ｂ、ＵＤＰｓｅｃ１６ｂなど）によりスケジュールされている。
国際公開ＷＯ ２００５／０１５８２７ Ａ１号公報 R.Atkinson,1995年8月「Security Architecture for the Internet Protocol」RFC1825

上述したように特許文献１に記載の発明においては、本願発明者が提案するＴＣＰ２を用いることによって、上位アプリケーションのプログラムを変更することなく、データの漏洩、改竄、なりすまし、進入、攻撃の防止機能を強化するため、送信側と受信側とで暗号化・復号化ロジックの取決めを行い、これをトランスポート層に存在するＴＣＰ又はＵＤＰに該当するプロトコルのペイロードに適用する新規な暗号化システムを実現することができる。

ところが上述した特許文献１に記載の発明においては、本願発明者が提案するＴＣＰ２をパーソナルコンピュータ上にソフトウエア、若しくはハードウエアの形で実装している。しかしながらこのようなソフトウエア、若しくはハードウエアをパーソナルコンピュータ上に実装するためには、その実装のための作業が必要であり、またこのようなソフトウエア、若しくはハードウエアの実装によって、パーソナルコンピュータ自体の負担も増大してしまう。

すなわち、ソフトウエア、若しくはハードウエアをパーソナルコンピュータ上に実装するには、上述のようにその実装のための作業が必要であり、またパーソナルコンピュータ自体の負担も増大してしまうものである。一方、上述のＴＣＰ２を用いる暗号化システムは、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐためのものであって、専らパーソナルコンピュータと外部との通信において利用されるものである。

この発明はこのような問題点に鑑みて成されたものであって、本発明の目的は、パーソナルコンピュータに対してはソフトウエア、若しくはハードウエアを実装するなどの負担を掛けることなく、パーソナルコンピュータと外部との通信において、簡単な手段で本願発明者が先に提案したＴＣＰ２の機能を実現できるようにするものである。

上記の課題を解決し、本発明の目的を達成するため、請求項１に記載された発明は、トランスポート層に位置するＴＣＰ又はＵＤＰプロトコルに暗号化機能を追加して電子化情報の通信を行う際に用いられる中継コネクタ装置であって、コンピュータ本体のメディア接続手段に接続される第１の接続手段と、外付けメディアに接続される第２の接続手段とが設けられると共に、相対する相手装置との間で対応する暗号化及び復号化ロジックを取り決める取決め手段と、送受信する情報単位としてのパケットのうち、少なくともプロトコルのペイロードを取決め手段により取り決めた暗号化ロジックに従って暗号化して送信するプロトコル暗号化手段と、受信した暗号化されたＴＣＰ又はＵＤＰプロトコルのペイロードを取決め手段により取り決めた復号化ロジックに従って復号化するプロトコル復号化手段とを備え、トランスポート層のＴＣＰ又はＵＤＰプロトコルを用いて暗号化及び復号化ロジックに基づいた通信を行うことを特徴とする中継コネクタ装置である。

また、請求項２の記載による中継コネクタ装置においては、暗号化及び復号化ロジックの取決め手段による取決め候補となりうる暗号化及び復号化ロジックをメモリに記憶ないし回路に実装し、この記憶ないし実装した取決め候補となりうる暗号化及び復号化ロジックを定期的に変更するロジック変更手段をさらに備えたことを特徴とするものである。

請求項３の記載による中継コネクタ装置においては、暗号化及び復号化ロジックの取決め手段が、暗号化及び復号化ロジックに関連して、暗号化をしないで平文を取り扱う旨を取り決めることができるようにしたものである。

さらに、本発明の目的を達成するため、請求項４に記載された発明は、トランスポート層に位置するＴＣＰ又はＵＤＰプロトコルに暗号化機能を追加して電子化情報の通信を行う際に用いられる半導体回路装置であって、相対する相手装置との間で対応する暗号化及び復号化ロジックを取り決める取決め手段と、送受信する情報単位としてのパケットのうち、少なくともプロトコルのペイロードを取決め手段により取り決めた暗号化ロジックに従って暗号化して送信するプロトコル暗号化手段と、受信した暗号化されたＴＣＰ又はＵＤＰプロトコルのペイロードを取決め手段により取り決めた復号化ロジックに従って復号化するプロトコル復号化手段とを備え、トランスポート層のＴＣＰ又はＵＤＰプロトコルを用いて暗号化及び復号化ロジックに基づいた通信を行うことを特徴とする半導体回路装置である。

また、請求項５の記載による半導体回路装置においては、暗号化及び復号化ロジックの取決め手段による取決め候補となりうる暗号化及び復号化ロジックをメモリに記憶ないし回路に実装し、この記憶ないし実装した取決め候補となりうる暗号化及び復号化ロジックを定期的に変更するロジック変更手段をさらに備えたことを特徴とするものである。

請求項６の記載による半導体回路装置においては、暗号化及び復号化ロジックの取決め手段が、暗号化及び復号化ロジックに関連して、暗号化をしないで平文を取り扱う旨を取り決めることができるようにしたものである。

以上述べたように、本発明によれば、本願発明者が先に提案したＴＣＰ２の機能を中継コネクタ装置に装備、若しくは半導体回路装置として形成するようにしたことによって、パーソナルコンピュータに対してはソフトウエア、若しくはハードウエアを実装するなどの負担を掛けることなく、パーソナルコンピュータと外部との通信において、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。

以下、図面を参照して本発明の実施の形態例を説明する。図１のＡは、本発明を適用した中継コネクタ装置の一実施形態例の構成を示す。すなわち、図１のＡにおいて、本例の中継コネクタ装置１００は、例えばコンピュータのＰＣＭＩＣＡ（Personal Computer Memory Card International Association）スロット２００と、そこに接続される既存のモバイルデータカード３００の間に設けられるものであって、従来は図１のＢに示すように直結されていたコンピュータのＰＣＭＩＣＡスロット２００とモバイルデータカード３００との間に設けられるものである。

そこでこの中継コネクタ装置１００には、ＰＣＭＩＣＡスロット２００からのＰＣＭＩＣＡバス２０に接続するための第１のＰＣＩ（Peripheral Component Interconnect）インターフェイスコントローラ１と、モバイルデータカード３００からのＰＣＭＩＣＡバス３０に接続するための第２のＰＣＩインターフェイスコントローラ２とが設けられる。また、これらの第１及び第２のＰＣＩインターフェイスコントローラ１、２は内部バス３に接続される。

さらにこの内部バス３に対して、「ＴＣＰ２」の機能を実現するための構成４（破線で囲って示す）が設けられる。すなわちこの構成４には、ＣＰＵ４１と、フラッシュＲＯＭ４２、例えばＳＤＲＡＭ（Synchronous DRAM）４３、例えばＥＥＰＲＯＭ（Electrically Erasable Programmable ROM）４４などのメモリ手段が含まれており、これらの構成４が内部バス３に接続される。そしてこれらの構成４により、上述の「ＴＣＰ２」の機能が実現されるようになされている。

ここで中継コネクタ装置１００においては、「ＴＣＰ２」の機能を実現するための構成４が、モバイルデータカード３００をエミュレートしている。このため、コンピュータ本体の通信プログラムは、モバイルデータカード３００とインターフェイスを確立した際には、単にモバイルデータカード３００から例えばイーサネット経由で通信を行っているとだけ判断し、通信を開始することになる。

そしてこのとき、モバイルデータカード３００をエミュレートしている「ＴＣＰ２」の機能を実現するための構成４は、コンピュータ本体の通信プログラムからＰＣＭＩＣＡスロット２００及びＰＣＭＩＣＡバス２０経由で受け取った送信データを暗号化し、モバイルデータカード３００から例えばイーサネット経由で暗号データを送信する。

また、モバイルデータカード３００が、例えばイーサネットからの暗号化した通信データを受信した場合、「ＴＣＰ２」の機能を実現するための構成４で復号化し、ＰＣＭＩＣＡスロット２００及びＰＣＭＩＣＡバス２０経由でコンピュータ本体の通信プログラムへ受信データとして出力する。なお、通信を開始する際には、対向のＴＣＰ２とお互いを認証する機能があり、ここで認証できない場合は、通信を強制終了するか、繋ぐかを予め選択しておくことができる。

すなわち、この中継コネクタ装置１００においては、それ自体が「ＴＣＰ２」の機能を実現するパーソナルコンピュータと同等の機能を有するものである。そこでこの中継コネクタ装置１００には、それぞれがネットワークを形成するＰＣＭＩＣＡバス２０、３０と接続されるコントローラ１、２が設けられ、これらのコントローラ１、２を含む中継用のアプリケーション層に対して、ＰＣＭＩＣＡバス２０、３０の延長上に存在する任意の２つのノード間で、ルーティング（routing）を行いながら通信するための通信方法を規定する「ＴＣＰ／ＩＰ」を含むネットワーク層とトランスポート層が設けられる。

そしてこれらの中継用のアプリケーション層とネットワーク層との間に、本願発明者が先に提案した「ＴＣＰ２」の機能を設けることができる。すなわちこの場合に、「ＴＣＰ２」の機能は構成４に内蔵されるＣＰＵ４１のソフトウエア、若しくはハードウエアとして設けることができると共に、さらに、この「ＴＣＰ２」の機能を制御したり、暗号化及び復号化ロジックを定期的に変更したり、必要に応じて暗号化をしないで平文を取り扱う旨の取り決めをしたりするための手段を、メモリ４２〜４４として設けることができる。

従って、この実施形態において、本願発明者が先に提案した「ＴＣＰ２」の機能を中継コネクタ装置１００に装備することによって、パーソナルコンピュータ本体に対してはソフトウエア、若しくはハードウエアを実装するなどの負担を掛けることなく、パーソナルコンピュータと外部との通信において、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。

すなわち、本発明の中継コネクタ装置１００は、例えば概念図を図２に示すように、ＴＣＰ２を暗号通信、並びに、認証を行う通信回線上に接続する中継コネクタ装置１００として実現される。そしてこの図２において、ＴＣＰ２を含む中継コネクタ装置１００は、データリンク層以下のインターフェイスに依存しないため、様々なインターフェイスに接続することができる。

従って、コンピュータ本体の通信ソフト２０１からの内部バス２０であるインターフェイスＡと、モバイルデータカード３００などの通信モジュール３０１からの内部バス３０であるインターフェイスＢには、ＰＣＩ（Peripheral Component Interconnect）、ＩＳＡ（Industry Standard Architecture）、ＥＩＳＡ（Extended Industry Standard Architecture）、ＰＣＭＣＩＡ、ＵＳＢ（Universal Serial Bus）を含む様々な通信インターフェイスが用いられる。また、対向通信機器４００に接続される外部ネットワーク３００であるインターフェイスＣには、イーサネット、ＦＤＤＩ（Fiber Distributed Data Interface）、ＰＰＰ（Point-to-Point Protocol）、無線ＬＡＮ、ＩＥＥＥ１３９４を含む様々な通信インターフェイスが用いられる。

そして中継コネクタ装置１００は、インターフェイスＡからの既存の通信データを入力し、ＴＣＰ２で暗号化し、インターフェイスＢへ暗号データとして出力する。また、インターフェイスＢからの暗号化した通信データを入力し、ＴＣＰ２で復号化し、インターフェイスＡへ既存の通信データとして出力する。なお、中継コネクタ装置１００は、通信を開始する際に、対向通信機器４００との間で互いのＴＣＰ２を認証する機能があり、ここで認証できない場合は、通信を強制終了するか、繋ぐかを予め選択しておくことができる。

そこで、このような通信システムにおいて、既存の通信ソフト２０１と中継コネクタ装置１００の間は既存の通信データがやり取りされるが、中継コネクタ装置１００と対向通信機器４００の間は暗号通信データがやり取りされることになり、この部分でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。

このような通信ネットワークにおいては、内部バス２０の範囲は既存の通信データによるやり取りが行われ、内部バス３０及び外部ネットワーク４０の部分において、暗号通信データによるやり取りが行われることになる。このため、この外部ネットワーク４０の部分でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。なお、通信ネットワーク４０には、電力線、無線ＬＡＮ、有線ＬＡＮ、専用線などの種々の形態を採用することができる。

こうして本発明の中継コネクタ装置によれば、トランスポート層に位置するＴＣＰ又はＵＤＰプロトコルに暗号化機能を追加して電子化情報の通信を行う際に用いられるものであって、コンピュータ本体のメディア接続手段に接続される第１の接続手段と、外付けメディアに接続される第２の接続手段とが設けられると共に、相対する相手装置との間で対応する暗号化及び復号化ロジックを取り決める取決め手段と、送受信する情報単位としてのパケットのうち、少なくともプロトコルのペイロードを取決め手段により取り決めた暗号化ロジックに従って暗号化して送信するプロトコル暗号化手段と、受信した暗号化されたＴＣＰ又はＵＤＰプロトコルのペイロードを取決め手段により取り決めた復号化ロジックに従って復号化するプロトコル復号化手段とを備え、トランスポート層のＴＣＰ又はＵＤＰプロトコルを用いて暗号化及び復号化ロジックに基づいた通信を行うことにより、パーソナルコンピュータに対してはソフトウエア、若しくはハードウエアを実装するなどの負担を掛けることなく、パーソナルコンピュータと外部との通信において、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができるものである。

ところで上述した本発明の中継コネクタ装置において、この装置を構成する各回路ブロックは、全体を１個の半導体回路装置に形成することが可能である。そこで本発明は、このように全体を１個に形成した半導体回路装置も含むものである。すなわち上述の中継コネクタ装置は、トランスポート層に位置するＴＣＰ又はＵＤＰプロトコルに暗号化機能を追加して電子化情報の通信を行う際に用いられる半導体回路装置であって、相対する相手装置との間で対応する暗号化及び復号化ロジックを取り決める取決め手段と、送受信する情報単位としてのパケットのうち、少なくともプロトコルのペイロードを取決め手段により取り決めた暗号化ロジックに従って暗号化して送信するプロトコル暗号化手段と、受信した暗号化されたＴＣＰ又はＵＤＰプロトコルのペイロードを取決め手段により取り決めた復号化ロジックに従って復号化するプロトコル復号化手段とを備え、トランスポート層のＴＣＰ又はＵＤＰプロトコルを用いて暗号化及び復号化ロジックに基づいた通信を行うことを特徴とする半導体回路装置とすることができるものである。

このような本発明の半導体回路装置１０１は、例えば概念図を図３に示すように、ＴＣＰ２を暗号通信、並びに、認証を行う通信回線上に接続する半導体回路装置１０１として実現される。すなわち図３の概念図において、コンピュータ本体の通信ソフト２０１からの内部バス２０であるインターフェイスＡがＴＣＰ２を含む半導体回路装置１０１に接続され、この半導体回路装置１０１からの内部バス３１であるインターフェイスＢが通信物理層チップ３０２に接続される。そしてこの図３において、ＴＣＰ２を含む半導体回路装置１０１は、データリンク層以下のインターフェイスに依存しないため、様々なインターフェイスに接続することができる。

従って図３の概念図において、上述のインターフェイスＡにはＰＣＩ、ＩＳＡ、ＥＩＳＡ、ＰＣＭＣＩＡ、ＵＳＢを含む様々な通信インターフェイスが用いられる。また、インターフェイスＢにはＭＩＩ（Media Independent Interface）を含む様々な通信インターフェイスが用いられる。さらに対向通信機器４００に接続される外部ネットワーク３００であるインターフェイスＣには、イーサネット、ＦＤＤＩ、ＰＰＰ、無線ＬＡＮ、ＩＥＥＥ１３９４を含む様々な通信インターフェイスが用いられる。

ここでは、半導体回路装置１０１は、インターフェイスＡからの既存の通信データを入力し、ＴＣＰ２で暗号化し、インターフェイスＢへ暗号データとして出力する。また、インターフェイスＢからの暗号化した通信データを入力し、ＴＣＰ２で復号化し、インターフェイスＡへ既存の通信データとして出力する。また、インターフェイスＢに送られた暗号化データは、通信物理層チップ３０２、インターフェイスＣを介して対向通信機器４００に送られる。なお、半導体回路装置１０１は、対向通信機器４００との間で通信を開始する際に、互いのＴＣＰ２を認証する機能があり、ここで認証できない場合は、通信を強制終了するか、繋ぐかを予め選択しておくことができる。

そこで、このような通信システムにおいて、既存の通信ソフト２０１と半導体回路装置１０１の間は既存の通信データがやり取りされるが、半導体回路装置１０１と対向通信機器４００の間は暗号通信データがやり取りされることになり、この部分でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。

そして、このような通信ネットワークにおいては、内部バス２０の範囲は既存の通信データによるやり取りが行われ、内部バス３１及び外部ネットワーク４０の部分において、暗号通信データによるやり取りが行われることになる。そしてこの外部ネットワーク４０の部分でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。なお、通信ネットワーク４０には、電力線、無線ＬＡＮ、有線ＬＡＮ、専用線などの種々の形態を採用することができる。

こうして本発明の半導体回路装置によれば、トランスポート層に位置するＴＣＰ又はＵＤＰプロトコルに暗号化機能を追加して電子化情報の通信を行う際に用いられる半導体回路装置であって、相対する相手装置との間で対応する暗号化及び復号化ロジックを取り決める取決め手段と、送受信する情報単位としてのパケットのうち、少なくともプロトコルのペイロードを取決め手段により取り決めた暗号化ロジックに従って暗号化して送信するプロトコル暗号化手段と、受信した暗号化されたＴＣＰ又はＵＤＰプロトコルのペイロードを取決め手段により取り決めた復号化ロジックに従って復号化するプロトコル復号化手段とを備え、トランスポート層のＴＣＰ又はＵＤＰプロトコルを用いて暗号化及び復号化ロジックに基づいた通信を行うことにより、パーソナルコンピュータに対してはソフトウエア、若しくはハードウエアを実装するなどの負担を掛けることなく、パーソナルコンピュータと外部との通信において、インターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができるものである。

なお、本発明の半導体回路装置によれば、この半導体回路装置を任意の通信物理層チップの前段に設けることによって、この通信物理層チップを通じて行われる通信におけるインターネット上でのデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。そこでこのような半導体回路装置は、例えば携帯電話やＩＰ電話、さらに画像配信や、ＦＡ（Factory Automation）における制御情報の通信などに使用して極めて有効となるものである。

すなわち、このような携帯電話やＩＰ電話、さらに画像配信や、ＦＡにおける制御情報の通信などに本発明の半導体回路装置を適用することによって、これらの通信におけるデータの「漏洩」及び「改竄」、さらには「なりすまし」、「進入」ないし「攻撃」を防ぐことができる。従って、これらの通信の安全性を高め、例えばインターネットを経由した通信であっても、通信の信頼性を極めて向上させることが可能になる。あるいはこのような信頼性の確保された通信を、簡易なインターネットを経由して行うことができるようになる。

最後に、本発明のＴＣＰ２が、従来のＩＰｓｅｃあるいはＳＳＬと比べて如何に優位であるかという点について、図４に示す表２及び図５に基づいて説明する。図４の表２は、上述した図７の表１のＩＰｓｅｃとＳＳＬの機能比較表にＴＣＰ２の機能を追加して示したものである。

この表２から明らかなように、ＩＰｓｅｃ及びＳＳＬが持っている様々な問題点（これらについては背景技術において示した）を、ＴＣＰ２を採用することによりことごとく解決していることが分かる。例えば、ＳＳＬでは対応が困難であった、クライアント−クライアント間の通信、ＴＣＰ／ＩＰプロトコルへのＤｏＳ攻撃、全てのＵＤＰポートあるいはＴＣＰポートのセキュアな通信、ソケットプログラムを変更しなければならなかったアプリケーションでの制限などに、ＴＣＰ２は完全に対応している。

また、ＩＰｓｅｃでは対応が困難であった、エラーが多発する劣悪な環境下での通信、異なったＬＡＮ間での通信、複数キャリア経由の接続、ＰＰＰモバイル環境、ＡＤＳＬ環境での通信に対しても、ＴＣＰ２は完全にサポートしている。さらに、モバイル環境下やＡＤＳＬ環境下でＶｏＩＰ（Voice over Internet Protocol）を使ったインターネットに対しては、ＩＰｓｅｃ及びＳＳＬとも表１及び表２に示すように問題があるが、本発明のＴＣＰ２によれば、どちらの環境下でも対応可能である。

また、異なったＬＡＮ間でＶｏＩＰを使ったインターネット電話に対しても、ＩＰｓｅｃとＳＳＬでは対応不可能であったが、本発明のＴＣＰ２によれば完全に対応することができる。

図５は、ＴＣＰ２の優位性を説明するための図であるが、セキュリティのないプロトコルスタック（ａ）に、従来のＳＳＬを適用したケース（ｂ）と、ＩＰｓｅｃを適用したケース（ｃ）と、本発明のＴＣＰ２（ＴＣＰｓｅｃ／ＵＤＰｓｅｃ）を適用したケース（ｄ）を比較して示している。

図５（ｂ）のＳＳＬは既に述べたように、セッション層（第５層）のソケットに設けられているので、上位のアプリケーションに対する互換性がないのである。このため、ＳＳＬ自体、上述のような問題を抱えることになっている。また図５（ｃ）のＩＰｓｅｃは、ネットワーク層（第３層）にあり、ＩＰ層での互換性がないため、ネットワークを構成する上で上述したような様々な制約を受けることになる。

これに対して、図５（ｄ）のＴＣＰ２（ＴＣＰｓｅｃ／ＵＤＰｓｅｃ）は、トランスポート層（第４層）に導入する暗号化技術であり、このためアプリケーションから見るとソケットをそのまま利用することができ、またネットワークから見るとＩＰもそのまま利用できるのでネットワークを構成する上での制約は受けない。

以上のように、本発明の通信ボード装置及び通信方法は、本願発明者が先に提案したＴＣＰ２を用いることによって、既存の暗号化処理システムに比べても、特にデータの漏洩、改ざん、なりすまし、進入そして攻撃に対して極めて高いセキュリティ機能を有するものである。

なお、本発明は、以上説明した実施の形態に限定されるものではなく、特許請求の範囲に記載した本発明の要旨を逸脱しない範囲において、さらに多くの実施形態を含むものであることは言うまでもない。

本発明を適用した通信ボード装置の一実施形態の構成を示すブロック図である。 ＴＣＰ２を暗号通信、並びに、認証を行う通信回線上に接続する中継コネクタ装置として実現する概念図である。 ＴＣＰ２を暗号通信、並びに、認証を行う通信回線上に接続する半導体回路装置として実現する概念図である。 従来の技術との比較の説明を行うための表図である。 従来の技術との比較の説明を行うための説明図である。 従来のＩＰｓｅｃ及びＳＳＬを用いた標準的な通信のプロトコルスタックを示す図である。 従来の技術の説明を行うための表図である。 本願発明者が先に提案したＴＣＰ２のプロトコルスタックを示す図である。

符号の説明

１００…中継コネクタ装置、２００…ＰＣＭＩＣＡスロット、３００…モバイルデータカード、１，２…ＰＣＩインターフェイスコントローラ、３…内部バス、４…「ＴＣＰ２」の機能を実現するための構成、４１…ＣＰＵ、４２…フラッシュＲＯＭ、４３…ＳＤＲＡＭ、４４…ＥＥＰＲＯＭ

Claims (6)

1. トランスポート層に位置するＴＣＰ又はＵＤＰプロトコルに暗号化機能を追加して電子化情報の通信を行う際に用いられる中継コネクタ装置であって、
   コンピュータ本体のメディア接続手段に接続される第１の接続手段と、
   外付けメディアに接続される第２の接続手段と、が設けられると共に、
   相対する相手装置との間で対応する暗号化及び復号化ロジックを取り決める取決め手段と、
   送受信する情報単位としてのパケットのうち、少なくとも前記プロトコルのペイロードを前記取決め手段により取り決めた暗号化ロジックに従って暗号化して送信するプロトコル暗号化手段と、
   受信した前記暗号化されたＴＣＰ又はＵＤＰプロトコルのペイロードを前記取決め手段により取り決めた復号化ロジックに従って復号化するプロトコル復号化手段と、を備え、
   前記トランスポート層のＴＣＰ又はＵＤＰプロトコルを用いて前記暗号化及び復号化ロジックに基づいた通信を行うことを特徴とする中継コネクタ装置。
2. 前記暗号化及び復号化ロジックの取決め手段による取決め候補となりうる暗号化及び復号化ロジックをメモリに記憶ないし回路に実装し、
   該記憶ないし実装した取決め候補となりうる暗号化及び復号化ロジックを定期的に変更するロジック変更手段をさらに備えた
   ことを特徴とする請求項１に記載の中継コネクタ装置。
3. 前記暗号化及び復号化ロジックの取決め手段が、前記暗号化及び復号化ロジックに関連して、暗号化をしないで平文を取り扱う旨を取り決める
   ことができるようにした請求項１または２に記載の中継コネクタ装置。
4. トランスポート層に位置するＴＣＰ又はＵＤＰプロトコルに暗号化機能を追加して電子化情報の通信を行う際に用いられる半導体回路装置であって、
   相対する相手装置との間で対応する暗号化及び復号化ロジックを取り決める取決め手段と、
   送受信する情報単位としてのパケットのうち、少なくとも前記プロトコルのペイロードを前記取決め手段により取り決めた暗号化ロジックに従って暗号化して送信するプロトコル暗号化手段と、
   受信した前記暗号化されたＴＣＰ又はＵＤＰプロトコルのペイロードを前記取決め手段により取り決めた復号化ロジックに従って復号化するプロトコル復号化手段と、を備え、
   前記トランスポート層のＴＣＰ又はＵＤＰプロトコルを用いて前記暗号化及び復号化ロジックに基づいた通信を行うことを特徴とする半導体回路装置。
5. 前記暗号化及び復号化ロジックの取決め手段による取決め候補となりうる暗号化及び復号化ロジックをメモリに記憶ないし回路に実装し、
   該記憶ないし実装した取決め候補となりうる暗号化及び復号化ロジックを定期的に変更するロジック変更手段をさらに備えた
   ことを特徴とする請求項４に記載の半導体回路装置。
6. 前記暗号化及び復号化ロジックの取決め手段が、前記暗号化及び復号化ロジックに関連して、暗号化をしないで平文を取り扱う旨を取り決める
   ことができるようにした請求項４または５に記載の半導体回路装置。

Images