JPH10327193A

JPH10327193A - 暗号化方式

Info

Publication number: JPH10327193A
Application number: JP13545397A
Authority: JP
Inventors: Eiichi Arai; 栄一新井
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 1997-05-26
Filing date: 1997-05-26
Publication date: 1998-12-08

Abstract

(57)【要約】【課題】セキュリティがより強固となるとともに、暗号
化／非暗号化の選択により機密性の低い情報に対しては
暗号化作業が排除される暗号ゲートウェイを提供する。【解決手段】受信したパケットデータのヘッダを解析
し、暗号化、復号化、無処理のいずれかによってそのパ
ケットデータを送信手段２０に渡すかを選択するパケッ
ト解析手段４０と、暗号化の認証ヘッダ情報の解析及び
生成・付与を行うＡＨ処理手段５０と、暗号化情報であ
るＳＰＩ検出及び生成・付与を行うＳＰＩ処理手段６０
と、暗号化する情報数をカウントするカウンタ７０と、
暗号化／復号化手段８０とを設け、カウンタ７０の値に
応じて、暗号化の態様が決定するようにする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、イントラネットと
インターネットなどを接続するために使用されるゲート
ウェイ装置などの暗号化方式に関し、特に、広域に分散
した事業所などの特定のグループの端末間で暗号通信を
行う場合に、任意の複数台の端末が、共通の暗号化アル
ゴリズムや暗号化パラメータを認識するパケット通信シ
ステムにおける暗号化方式に関する。

【０００２】

【従来の技術】インターネットなどを介してデータを伝
送する際、データの秘匿性を保つために、暗号通信シス
テムが使用される。

【０００３】図６は、従来技術による暗号通信システム
を示す図である。端末７２０₁,７２０₂,…,７２０_nから
なるＡグループの端末に暗号ゲートウェイ装置７００が
外付けされ、端末７３０₁,７３０₂,…,７３０_nからなる
Ｂグループの端末に暗号ゲートウェイ装置７１０が外付
けされている。暗号ゲートウェイ７００,７１０は、ネ
ットワーク７４０を介して相互に接続している。Ａグル
ープの端末７２０₁,７２０₂,…,７２０_nとＢグループの
端末７３０₁,７３０₂,…,７３０_nとの間の通信におい
て、暗号ゲートウェイ７００,７１０を介して通信され
るパケットデータの暗号化アルゴリズムや暗号化に使用
する鍵などのパラメータは、暗号ゲートウェイ７００,
７１０間では固定されている。本来、このような暗号通
信システムでは、２つの暗号ゲートウェイ７００,７１
０を通過しないパケットは、復号化はされないはずであ
るが、途中のネットワーク７４０において、これら暗号
化されたパケットを傍受し、パケットの暗号化アルゴリ
ズムや鍵を解読され、重要な情報を盗聴されてしまうお
それがあるまた、特開平７−１０７０８２号公報には、
暗号化／非暗号化の選択や、セッション鍵の選択を、端
末の組み合わせごとあるいはセッションごとに設定でき
る暗号ゲートウェイ装置が開示されている。

【０００４】さらに、ＲＦＣ(request for comments)１
８２５〜１８２８には、ＩＰ（インターネットプロトコ
ル）におけるセキュリティを扱った"Security Architec
turefor Internet Protocol"（以下、ＩＰＳＥＣ）が規
定されている。図７は、ＩＰＳＥＣで規定されているＩ
Ｐ用セキュリティ認証ヘッダ（ＡＨ）を説明する図であ
る。セキュリティ認証ヘッダ（ＡＨ）には、このヘッダ
の後のヘッダ識別子やこのヘッダの長さ、ＳＰＩ（Secu
rity Parameter Index）、可変長の認証データが格納さ
れる。そして、各ＩＰパケットにおいて、ＩＰヘッダと
ＩＰデータグラムの間に挿入される。

【０００５】このセキュリティ認証ヘッダは、それを用
いることによりＩＰパケットデータの機密性を向上させ
るものであるが、本来、インターネット上におけるＶＰ
Ｎ（Virtual Private Network：仮想閉域ネットワー
ク）での利用を目的としたものであるため、セキュリテ
ィ認証ヘッダ内に格納されるＳＰＩ（Security paramet
er index）は、米国のＩＡＮＡ（Internet Assigned Nu
mber）が規定したものでなければならず、このヘッダに
よるセキュリティ機能を企業内のイントラネットに適用
する場合、ＳＰＩのイントラネット内における管理やセ
キュリティを必要としないデータトラフィックの妨げに
なる。

【０００６】

【発明が解決しようとする課題】上述した従来の暗号化
方式は、暗号ゲートウェイ間の暗号化アルゴリズムや使
用する鍵が固定化されているという問題点がある。いか
に強固な暗号化アルゴリズムといえども、いつも同じア
ルゴリズムによって暗号化を行なうことは、セキュリテ
ィ上、問題がある。

【０００７】また、従来の暗号ゲートウェイでは、ＲＦ
Ｃ１８２５〜１８２８（ＩＰＳＥＣ）で規定されている
ＩＰパケットのセキュリティ技術をイントラネットに対
応することが困難であるという問題点がある。ＩＰＳＥ
Ｃで規定されているＳＰＩは、グローバルネットワーク
に対してユニークであって、上述したように、米国のＩ
ＡＮＡが世界的規模でこのＳＰＩを管理しており、この
ようなＳＰＩを個々のイントラネットに割り振ること
は、現実的でないからである。

【０００８】本発明の目的は、従来の暗号ゲートウェイ
が用いる固定的な暗号化アルゴリズムの問題点に鑑み、
外部のネットワークに送信するパケットデータの中で、
暗号化を必要とするサービスを選択し、送出するパケッ
トデータごとに、ＩＰＳＥＣにおけるセキュリティ認証
ヘッダのＳＰＩを使用し、データパケットごとに暗号化
を変更し、かつＳＰＩの情報から復号化を行なう暗号化
方式を提供することにある。特に、事業所間のネットワ
ーク（イントラネット）において、暗号ゲートウェイ間
でＳＰＩを生成・解析し、インターネットなどのグロー
バルネットワークに対しては、ＩＡＮＡ指定のＳＰＩを
用いて暗号化を行なう暗号化方式を提供することにあ
る。

【０００９】

【課題を解決するための手段】本発明の暗号化方式は、
ネットワークとの接続を行うゲートウェイにおける暗号
化方式において、ゲートウェイが配置されるネットワー
ク内外へ送信する送信情報の組み立て及び送信を行う送
信手段と、ネットワーク内外から送信されてくる受信情
報を受信する受信手段と、受信手段で受信した受信情報
のヘッダ情報を解析し、その受信情報に対して暗号化、
復号化及び無処理のいずれかの処理を施してその受信情
報を送信手段から送信するかを判別するパケット解析手
段と、ヘッダ情報内の暗号化認証情報の解析及び暗号化
された受信情報に対する暗号化認証情報生成・付与を行
う暗号化認証処理手段と、暗号化する情報数をカウント
するカウンタと、暗号化認証処理手段から通知される解
析情報に従いデータの復号化を行って送信手段に復号化
された受信情報を渡し、カウンタから通知されるカウン
タ値から暗号化の態様を解析して受信情報の暗号化を行
ない暗号化認証処理手段に暗号化された受信情報を渡
し、暗号化された受信情報に付与する暗号化認証情報を
暗号化認証処理手段に対して通知する暗号化／復号化手
段とを有し、パケット解析手段において暗号化も復号化
も要しないと判別された受信情報は無処理のまま送信情
報として送信手段に渡されることを特徴とする。

【００１０】ここで暗号化の態様とは、暗号化パターン
とも呼ばれ、実際の暗号化の手順やパラメータを総称す
るものであり、具体的には、暗号化アルゴリズムと暗号
化に使用される鍵などのパターンとをまとめて指し示す
ものである。

【００１１】本発明の暗号化方式では、インターネット
などのグローバルなネットワークに対して接続する場合
は、暗号化／復号化手段がＩＰＳＥＣ仕様の処理を実行
するようにすることが好ましい。

【００１２】

【発明の実施の形態】次に、本発明の好ましい実施の形
態について、図面を参照して説明する。図１は、本発明
の実施の一形態の暗号化方式である暗号ゲートウェイの
構成を示すブロック図である。ここでは、暗号化認証情
報として、図７を用いて上述したセキュリティ認証ヘッ
ダ（ＡＨ）が使用されるものとする。

【００１３】この暗号ゲートウェイ１０は、(1)暗号ゲ
ートウェイ１０が配置されるネットワーク内外へ送信す
るパケットデータの組み立て及び送信を行う送信手段２
０、(2)暗号ゲートウェイ１０が配置されるネットワー
ク内外から送信されてくるパケットデータを受信する受
信手段３０、(3)受信手段３０において受信したパケッ
トデータに対して暗号化または復号化または無処理で送
信手段２０へ渡すかを、受信したパケットデータのヘッ
ダ情報から解析を行うパケット解析手段４０、(4)復号
化を要するデータに対してそのデータのセキュリティ認
証ヘッダ（ＡＨ）に含まれるヘッダ情報の解析及び暗号
化されたデータに対するセキュリティ認証ヘッダの生成
・付与を行うＡＨ処理手段５０、(5)復号化を要するデ
ータに対してそのデータのセキュリティ認証ヘッダへの
ＳＰＩの生成・付与を行うＳＰＩ処理手段６０、(6)パ
ケット解析手段４０において暗号化を要すると判定され
たパケットデータの数をカウントするカウンタ７０、及
び(7)ＳＰＩ処理手段６０から通知されるＳＰＩ値から
復号化の態様を解析し、データの復号化を行い、送信手
段２０に復号化されたデータを渡し、さらに、カウンタ
７０から通知されるカウンタ値から暗号化の態様を解析
し、データの暗号化を行い、ＡＨ処理手段５０に暗号化
されたデータを渡し、ＳＰＩ処理手段６０に対して暗号
化されたデータに付与するＳＰＩ値を通知する暗号化／
復号化手段８０と、から構成されている。パケット解析
手段４０において暗号化及び復号化も必要としない判別
されたパケットデータについては、受信手段３０で受信
したパケットデータをそのまま送信手段２０に受け渡す
ようになっている。また、インターネットなどのグロー
バルなネットワークに対して接続する場合は、通常のＩ
ＰＳＥＣで規定される処理（以下、ＩＰＳＥＣ処理）を
行う。

【００１４】この暗号ゲートウェイ１０において、ＡＨ
処理手段５０及びＳＰＩ処理手段６０は、暗号化認証処
理手段を構成する。

【００１５】次に、上述した暗号ゲートウェイを備えた
ネットワークについて、図２を用いて説明する。図２に
示すネットワーク構成において、企業などが運営してい
る独自のイントラネット４００に、暗号ゲートウェイ２
００,２１０,２２０が接続し、暗号ゲートウェイ２２０
は、インターネット等のグローバルなネットワーク５０
０を介して暗号ゲートウェイ２３０に接続している。暗
号ゲートウェイ２００の配下には、端末３００₁,３００
₂,…,３００_nが接続され、暗号ゲートウェイ２１０に配
下には、端末３１０₁,３１０₂,…,３１０_nが接続され、
暗号ゲートウェイ２３０に配下には、端末３２０₁,３２
０₂,…,３２０_nが接続されている。これら各暗号ゲート
ウェイ２００,２１０,２２０,２３０は、いずれも、上
述した暗号ゲートウェイ１０によって構成されている。

【００１６】ここで、端末３００₁と端末３１０₁の間の
通信セッションを、端末３１０₂と端末３２０₁との間
の通信セッションをとし、端末３００_nと端末３００₂
との間の通信セッションをとする。通信セッション
はネットワーク４００を経由するセッションであり、通
信セッションはネットワーク４００とインターネット
５００を経由するセッションであり、通信セッション
は、暗号ゲートウェイ２００の配下のサブネットに接続
された端末間でのセッションであって、暗号ゲートウェ
イ２００から外部のネットワークに出て行くことのない
セッションである。なお、通信セッションでは、イン
ターネット５００内はＶＰＮで接続されるものとする。

【００１７】セッション上で暗号化通信を行う場合、
端末３００₁から送信されたパケットデータは、暗号ゲ
ートウェイ２００において、図１で示す受信手段３０で
受信され、パケット解析手段４０において暗号化するべ
き上位プロトコルであると解析され、カウンタ７０の値
をインクリメントし、暗号化／復号化手段８０において
カウンタ７０が通知する値に対応する態様の暗号化をパ
ケットデータに施し、暗号化／復号化手段８０は、この
暗号化の態様に対応するＳＰＩ値をＳＰＩ処理手段６０
に通知する。暗号化されたパケットデータは、ＡＨ処理
手段５０及びＳＰＩ処理手段６０においてセキュリティ
認証ヘッダを生成・付与され、送信手段２０において下
位レイヤのパケット組み立て処理がなされ、イントラネ
ット４００に送出される。イントラネット４００の内部
では、パケットデータの宛て先アドレスにしたがい、ル
ーティングされ暗号ゲートウェイ２１０に転送される。
このパケットデータは、暗号ゲートウェイ２１０におい
て、図１で示す受信手段３０で受信され、パケット解析
手段４０において復号化すべき上位プロトコルであると
解析され、ＡＨ処理手段５０においてセキュリティ認証
ヘッダ内の情報が解析され、ＳＰＩ処理手段においてセ
キュリティ認証ヘッダに付与されたＳＰＩ値が解析され
る。この解析されたＳＰＩ値は暗号化／復号化手段８０
に通知され、暗号化／復号化手段８０は、そのＳＰＩ値
に対応した態様の復号化をパケットデータに施し、送信
手段２０において、下位レイヤのパケット組み立て処理
がなされ、端末３１０₁に送出される。

【００１８】セッション上で暗号化通信を行う場合、
端末３１０₂から送信されたパケットデータは、暗号ゲ
ートウェイ２１０において、図１で示す受信手段３０で
受信され、パケット解析手段４０において暗号化すべき
上位プロトコルであると解析され、カウンタ７０の値を
インクリメントし、暗号化／復号化手段８０においてカ
ウンタ７０が通知する値に対応する態様で暗号化をパケ
ットデータに施し、暗号化／復号化手段８０は、この暗
号化の態様に対応するＳＰＩ値をＳＰＩ処理手段６０に
通知する。暗号化されたパケットデータは、ＡＨ処理手
段５０及びＳＰＩ処理手段６０においてセキュリティ認
証ヘッダを生成・付与され、送信手段２０において下位
レイヤのパケット組み立て処理がなされ、イントラネッ
ト４００に送出される。イントラネット４００の内部で
は、パケットデータの送信先アドレスにしたがい、ルー
ティングされ暗号ゲートウェイ２１０に転送される。

【００１９】このパケットデータは、暗号ゲートウェイ
２２０において、図１で示す受信手段３０で受信され、
パケット解析手段４０において復号化すべき上位プロト
コルであると解析される。このとき、パケット解析手段
４０は、宛て先アドレスがイントラネット４００に属さ
ないものであることを解析してその旨をＳＰＩ処理手段
６０に通知する。ＳＰＩ処理手段６０は、ＩＰＳＥＣ処
理の必要を暗号化／復号化手段８０に通知し、暗号化／
復号化手段８０は、ＩＰＳＥＣにしたがってパケットデ
ータの暗号化を行う。そして、暗号化されたパケットデ
ータは、ＡＨ処理手段５０及びＳＰＩ処理手段６０にお
いてセキュリティ認証ヘッダを生成・付与され、送信手
段２０において下位レイヤのパケット組み立て処理がな
され、グローバルネットワーク５００に送出される。

【００２０】グローバルネットワーク５００において、
パケットデータは、その宛て先アドレスにしたがってル
ーティングされ、暗号ゲートウェイ２３０に転送され
る。暗号ゲートウェイ２３０に送信されたパケットデー
タは、暗号ゲートウェイ２３０において、図１で示す受
信手段３０で受信され、パケット解析手段４０において
復号化すべき上位プロトコルであると解析される。パケ
ット解析手段４０は、復号化すべき上位プロトコルであ
ることとグローバルネットワーク５００から受信したパ
ケットデータであることとをＳＰＩ処理手段６０に通知
し、ＳＰＩ処理手段６０は、暗号化／復号化手段８０に
対しＩＳＰＥＣにしたがって復号化する必要を通知す
る。暗号化／復号化手段８０は、ＩＰＳＥＣにしたがっ
てパケットデータの復号化を行い、復号化されたパケッ
トデータは、送信手段２０において下位レイヤのパケッ
ト組み立て処理がなされ、端末３２０₁に送出される。

【００２１】セッションでは、暗号ゲートウェイ２０
０から他の暗号ゲートウェイに向かってパケットデータ
が送出されることがないので、暗号化を行うことなく、
端末３００₂と３００_nの間でデータの送受が行われる。

【００２２】次に、本実施形態の暗号ゲートウェイにお
ける暗号化／復号化の処理の詳細を説明する。図３は暗
号化／復号化の処理を示すフローチャートである。ま
た、図４は、本実施形態で使用されるパケットデータの
ＩＰ（Internet Protocol:インターネットプロトコル）
ヘッダのフォーマットを説明する図であり、図５は本実
施形態でのパケットフォーマットを説明する図である。
図４に示すように、ＩＰヘッダの構成は、通常のＩＰヘ
ッダと同様のものであるが、本実施の形態では、オプシ
ョンフィールドをセキュリティ認証ヘッダの格納用フィ
ールドとして使用している。また、下位レイヤでのパケ
ット組み立てが行われた後のパケットデータは、図５に
示すように、先頭にＭＡＣ（メディアアクセス制御：Me
dia AccessControl）ヘッダ、続いてＩＰヘッダが配置
し、そのあとに暗号化領域が配置し、最後に、フレーム
チェックシーケンスが配置する構成である。

【００２３】図３のフローチャートに戻って、まず、受
信手段３０において、パケットデータの受信の有無を確
認し（ステップ１０１）、パケットデータを受信するま
で待機する。パケットデータを受信したら、受信手段３
０は、パケットデータをパケット解析手段４０に送出す
る。

【００２４】パケット解析手段４０は、受信手段３０か
らパケットデータを受信すると、ＩＰパケットかどう
か、すなわちそのパケットデータのＭＡＣヘッダを調べ
て上位プロトコルがＩＰかどうかを判断する（ステップ
１０２）。上位プロトコルがＩＰでない場合には、ステ
ップ１１４に移行し、そのパケットデータが送信手段２
０に渡されて送信される。一方、上位プロトコルがＩＰ
であった場合には、パケット解析手段４０は、パケット
データのＩＰヘッダ中のプロトコル（"protocol"）フィ
ールドの値から、上位のプロトコルを判別し、暗号化／
復号化を行う上位プロトコルかどうかを判定する（ステ
ップ１０３）。暗号化／復号化を行わない上位プロトコ
ルである場合には、ステップ１１４に移行し、そのパケ
ットデータが送信手段２０に渡されて送信される。

【００２５】ステップ１０３において、暗号化／復号化
を行う上位プロトコルであると判定した場合には、パケ
ット解析手段４０は、パケットデータのＩＰヘッダ中の
ＩＰヘッダ長（"IHL"）の値から、オプション（"optio
n"）フィールドがあることを判別し、ＩＰヘッダ内にセ
キュリティ認証ヘッダがあるかどうかを判別する（ステ
ップ１０４）。本実施形態の場合、上述したように、オ
プションフィールドがセキュリティ認証ヘッダを格納す
るために使用されているので、オプションフィールドの
有無によってセキュリティ認証ヘッダの有無を判別でき
る。

【００２６】ステップ１０４においてセキュリティ認証
ヘッダフィールドが存在する場合には、暗号化されたパ
ケットデータであり、パケット解析手段４０は、パケッ
トデータのＩＰヘッダ中のＩＰヘッダ長（"IHL"）フィ
ールド及びＩＰデータグラム長（"TL"）フィールドの値
に基づいてＩＰヘッダ領域とＩＰデータグラム領域を分
離し、ＩＰデータグラムを取得し（ステップ１０５）、
ＩＰヘッダを取得する（ステップ１０６）。さらにパケ
ット解析手段４０は、ＩＰヘッダから、発信元アドレス
（"Source Address"）と送信先アドレス（"Destination
Address"）を取得する（ステップ１０７）。そしてパ
ケット解析手段４０は、取得した発信元アドレスから、
その発信元アドレスがイントラネット外のものであるか
を判別する（ステップ１０８）。発信元アドレスがイン
トラネット外である場合には、パケット解析手段４０が
ＳＰＩ処理手段６０にＩＰＳＥＣ処理を行うことを通知
し（ステップ１０９）、後述するステップ１１５に移行
する。

【００２７】一方、ステップ１０８において、発信元ア
ドレスがイントラネット内であった場合には、パケット
解析手段４０はパケットデータをＡＨ処理手段５０に渡
す。これにより、ＡＨ処理手段５０が、パケットデータ
のＩＰヘッダ内のセキュリティ認証ヘッダ中の"length"
フィールドから可変長の認証データを取得し（ステップ
１１０）、ＳＰＩ処理手段６０が、セキュリティ認証ヘ
ッダ中の"SPI"フィールドからＳＰＩ値を取得する（ス
テップ１１１）。そして、暗号化／復号化手段８０は、
ＳＰＩ処理手段６０から通知されるＳＰＩ値に対応する
復号化の態様（復号化パターン）を選択し、その復号化
の態様に応じてパケットデータを復号化し（ステップ１
１２）、ステップ１１３に移行する。

【００２８】ステップ１０４において、ＩＰヘッダにセ
キュリティ認証ヘッダフィールドがない場合には、パケ
ットデータが平文であると判断し、ステップ１１５に移
行する。ステップ１１５では、カウンタ７０の値に１を
加える、すなわち、カウンタ７０の値をインクリメント
する。カウンタ７０のインクリメントの後、パケット解
析手段４０は、パケットデータのＩＰヘッダ中のＩＰヘ
ッダ長（"IHL"）フィールド及びＩＰデータグラム長（"
TL"）フィールドの値に基づいてＩＰヘッダ領域とＩＰ
データグラム領域を分離し、ＩＰデータグラムを取得し
（ステップ１１６）、ＩＰヘッダを取得する（ステップ
１１７）。パケット解析手段４０は、ＩＰヘッダから、
発信元アドレス（"Source Address"）と送信先アドレス
（"Destination Address"）を取得する（ステップ１１
８）。そしてパケット解析手段４０は、取得した送信先
アドレスから、その送信先アドレスがイントラネット外
のものであるかを判別する（ステップ１１９）。発信元
アドレスがイントラネット外である場合には、パケット
解析手段４０がＳＰＩ処理手段６０にＩＰＳＥＣ処理を
行うことを通知し（ステップ１２０）、ステップ１１３
に移行する。

【００２９】一方、ステップ１１９において送信先アド
レスがイントラネット内である場合には、暗号化／復号
化手段８０が、カウンタ７０から通知されたカウンタ値
に対応する暗号化の態様（暗号化パターン）を選択し、
その暗号化の態様によってパケットデータを暗号化する
（ステップ１２１）。そして、ＡＨ処理手段５０が、暗
号化／復号化手段８０で暗号化されたパケットデータに
対してセキュリティ認証ヘッダを生成・付与し（ステッ
プ１２２）、ＳＰＩ処理手段６０が、暗号化／復号化手
段８０から暗号化／復号化手段８０で選択した暗号化の
態様を通知され、その暗号化の態様に対応するＳＰＩを
セキュリティ認証ヘッダに対して生成・付与し（ステッ
プ１２３）、ステップ１１３に移行する。

【００３０】ステップ１１３では、送信手段２０は、パ
ケット解析手段４０、ＡＨ処理手段５０及び暗号化／復
号化手段８０のいずれからパケットデータを受信し、下
位レイヤのフレーム組み立てを行い、その後、ステップ
１１４に移行して、送信先に応じてそのパケットデータ
を端末または他の暗号ゲートウェイに対して送信する。

【００３１】以上の処理を行なうことにより、暗号ゲー
トウェイがパケットデータを受信したことに伴う一連の
動作が終了する。

【００３２】

【発明の効果】以上説明したように、本発明による暗号
化方式を既存のゲートウェイに実装することにより、端
末間で通信されるパケットデータ等の情報を受信したと
きに、その情報の発信元、送信先、通信サービス及び暗
号化する情報数に応じて、受信したパケットデータに対
して暗号化もしくは復号化処理を行なって、あるいはこ
れらの処理を行わずに、情報が送信されることになり、
既存の暗号化方式に比べてセキュリティが強固な暗号通
信が可能になるというという効果がある。また、通信サ
ービスごとに暗号化／非暗号化を選択することで、機密
性の低い情報に対する暗号化作業を排除でき、処理負担
を軽減できる。

【図面の簡単な説明】

【図１】本発明の実施の一形態の暗号化方式である暗号
ゲートウェイの構成を示すブロック図である。

【図２】図１に示す暗号ゲートウェイを備えたネットワ
ーク構成の一例を示す図である。

【図３】暗号化／復号化の処理を示すフローチャートで
ある。

【図４】パケットデータのＩＰヘッダのフォーマットを
説明する図である。

【図５】本実施形態でのパケットフォーマットを説明す
る図である。

【図６】従来の暗号通信システムの構成を示すブロック
図である。

【図７】セキュリティ認証ヘッダの構成を説明する図で
ある。

【符号の説明】

１０,２００,２１０,２２０,２３０暗号ゲートウェ
イ２０送信手段３０受信手段４０パケット解析手段５０ＡＨ処理手段６０ＳＰＩ処理手段７０カウンタ８０暗号化／復号化手段１０１〜１２３ステップ３００₁〜３００_n,３１０₁〜３１０_n,３２０₁〜３２０_n
端末

Claims

【特許請求の範囲】

【請求項１】ネットワークとの接続を行うゲートウェ
イにおける暗号化方式において、前記ゲートウェイが配置されるネットワーク内外へ送信
する送信情報の組み立て及び送信を行う送信手段と、前記ネットワーク内外から送信されてくる受信情報を受
信する受信手段と、前記受信手段で受信した前記受信情報のヘッダ情報を解
析し、その受信情報に対して暗号化、復号化及び無処理
のいずれかの処理を施してその受信情報を前記送信手段
から送信するかを判別するパケット解析手段と、ヘッダ情報内の暗号化認証情報の解析及び暗号化された
受信情報に対する暗号化認証情報生成・付与を行う暗号
化認証処理手段と、暗号化する情報数をカウントするカウンタと、前記暗号化認証処理手段から通知される解析情報に従い
データの復号化を行って前記送信手段に復号化された受
信情報を渡し、前記カウンタから通知されるカウンタ値
から暗号化の態様を解析して受信情報の暗号化を行ない
前記暗号化認証処理手段に暗号化された受信情報を渡
し、暗号化された受信情報に付与する暗号化認証情報を
前記暗号化認証処理手段に対して通知する暗号化／復号
化手段とを有し、前記パケット解析手段において暗号化も復号化も要しな
いと判別された前記受信情報は無処理のまま送信情報と
して前記送信手段に渡されることを特徴とする暗号化方
式。
【請求項２】グローバルなネットワークに対して接続
する場合は、前記暗号化／復号化手段がＩＰＳＥＣ仕様
の処理を実行する、請求項１に記載の暗号化方式。