[go: up one dir, main page]

DE60121483T2 - Sicherheitkommunikationsverfahren, System und Vorrichtung welche erlauben den Sicherheitstyp zu wechseln - Google Patents

Sicherheitkommunikationsverfahren, System und Vorrichtung welche erlauben den Sicherheitstyp zu wechseln Download PDF

Info

Publication number
DE60121483T2
DE60121483T2 DE60121483T DE60121483T DE60121483T2 DE 60121483 T2 DE60121483 T2 DE 60121483T2 DE 60121483 T DE60121483 T DE 60121483T DE 60121483 T DE60121483 T DE 60121483T DE 60121483 T2 DE60121483 T2 DE 60121483T2
Authority
DE
Germany
Prior art keywords
security
communication
information
network interface
ipsec
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
DE60121483T
Other languages
English (en)
Other versions
DE60121483D1 (de
Inventor
Masashi Yamaguchi
Yutaka Tanaka
Hiroki Yamauchi
Yusaku Ota
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Corp
Original Assignee
Matsushita Electric Industrial Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co Ltd filed Critical Matsushita Electric Industrial Co Ltd
Publication of DE60121483D1 publication Critical patent/DE60121483D1/de
Application granted granted Critical
Publication of DE60121483T2 publication Critical patent/DE60121483T2/de
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/164—Implementing security features at a particular protocol layer at the network layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Description

  • Die Erfindung bezieht sich auf ein Sicherheitskommunikationsverfahren und im Einzelnen auf ein solches Verfahren, ein Sicherheitskommunikationssystem und zugehörige Geräte, welche falls notwendig eine Änderung des Sicherheitstyps erlauben.
  • Personalcomputer und Internettechnologie haben sich plötzlich weltweit ausgebreitet, so dass es leicht sein kann, Informationen auf billige Weise durch im Internet veröffentlichte Homepages zu beschaffen und zu sammeln. Die Verbreitung dieser Technologien hat sich nicht darauf beschränkt, sondern es ist üblich, dass der Austausch von E-Mails über Internet oder Intranet zwischen Firmen allgemein gebräuchlich geworden ist, ebenso wie e-commerce (elektronischer Handel) und das elektronische Geldverkehrssystem (EFTS = Electronic Funds Transfer System), welche solche Dienste nutzen. Bei der Benutzung solcher Dienste ist es von höchster Wichtigkeit, dass die Sicherheit der Kommunikation, welche speziell wichtige Informationen beinhaltet, ebenso gewährleistet sein muss wie diejenige der hierfür bestimmten Übertragungsleitung.
  • Als Technologie zur Gewährleistung der oben erwähnten Sicherheit beispielsweise hat die Sicherheitskommunikationstechnologie wie das virtuelle private Netzwerk (VPN) begonnen Aufmerksamkeit auf sich zu ziehen, wobei es sich um eine Technologie handelt, welche das Weitbereichsnetzwerk (Wide Area Network) als ein Virtuelles Privates Netzwerk betrachtet. Es gibt ein Tunneling-Protokoll, welches ein Verbindungsverfahren für die Sicherheitskommunikation zur Durchführung des VPN ist, d.h., L2F (Layer 2 Forwarding), PPTP (Point-to- Point Tunneling Protocol), L2TP (Layer 2 Tunneling Protocol), ATMP (Ascend Tunnel Management Protocol), BayDVS (Bay Stream Dial VPN Service) und IPSEC (Internet Protocol Security Protocol) können vorgeschlagen werden. Durch Verwendung dieser Protokolle für die Sicherheitskommunikation ist es möglich, die Sicherheit der Kommunikation und dergleichen auf dem Weitbereichsnetz zu gewährleisten, in welchem Dritte die Kommunikation anzapfen könnten.
  • Unter diesen Technologien ist das IPSEC ein Sicherheitsprotokoll, welches die Authentizierung und Verschlüsselung auf der Netzwerkschicht (der dritten Schicht des Open System Interconnection reference models) durchführt, und welches durch die Internet Engineering Task Force (IETF) genormt ist (RFC 2401–2412 und 2451). Eine Verbindung mit dem Internet über einen Computer oder einen Router eines Netzwerkinterfacegerätes mit IPSEC-Funktion kann das VPN konfigurieren. Mit anderen Worten, ein Benutzer kann das Internet sicher benutzen, ohne sich um einen Netzwerktyp zu kümmern. Wenn außerdem ein Benutzer eine Kommunikation unter Verwendung des IPSEC startet, muss er zuvor das Zusammenpassen bezüglich des Typs des Authentizierungs-Algorithmus oder Verschlüsselungs-Algorithmus bestätigen sowie den Typ des Verschlüsselungsschlüssels usw. zwischen Computern oder Netzwerkinterfacegeräten mit IPSEC-Funktion, und zwar sowohl sendeseitig wie empfangsseitig. Die Interkommunikation für das Zusammenpassen des Authentizierungs-Algorithmus oder Verschlüsselungs-Algorithmus wird die Verbindung für die Sicherheitskommunikation genannt. Im IPSEC kann die Sicherheitsassoziation (SA) die Verbindung durchführen. Die SA etabliert als Basis Framework, welches die Funktion sowohl der Authentizierung wie auch des Austauschs gesicherter Nachrichten durchführt, den Kontext der Kommunikation und definiert die einigen Aspekte der Sicherheit für die Kommunikation.
  • Das Verfahren, welche das übliche IPSEC als die Sicherheitskommunikation verwendet, ist im Folgenden anhand der 14, 15, 17 und 18 erläutert. Hierbei kann ein Kommunikationsterminal ein Netzwerkinterfacegerät und einen Computer enthalten.
  • 14 zeigt ein Blockdiagramm eines konventionellen Netzwerksystems, welches unter Verwendung von Routern mit IPSEC-Funktion als Sicherheitskommunikation das VPN-Netzwerk bildet. 15 ist ein Diagramm zur Veranschaulichung der Verbindungsverfahren für die Sicherheitskommunikation zwischen Netzwerkinterfacegeräten mit IPSEC-Funktion. 17 zeigt ein Beispiel einer Sicherheitspolitikdatenbank (SPD) beim Stande der Technik, welches die Sicherheitspolitik des IPSEC bestimmt. 18 zeigt ein Beispiel der Security Association Datenbank (SAD) im Stande der Technik. Die SPD ist eine Datenbank, welche die Sicherheitspolitik darstellt. Die Sicherheitspolitik bedeutet die Zugangsbestimmungen zu einem System, in welchem die Sicherheit gewährleistet ist, was allgemein Sicherheitserfordernisse, Risiken der Sicherheit und Sicherheitsmessmittel beinhaltet. Im Falle eines Systems, welches die Sicherheit zwischen Kommunikationsterminals gewährleistet, beinhaltet die SPD Informationen zur Unterscheidung des Bestimmungs-Kommunikationsterminals, welcher die Sicherheit benutzt, und zur Bestimmung, ob die Sicherheit auf die Kommunikation angewandt werden soll oder nicht. Beim IPSEC ist die Sicherheitspolitik auf der SPD beschrieben, während als Inhalt der SPD, etwa IP-Adresse des Kommunikationsterminals an einem Bestimmungsort, weiterhin, ob die IPSEC-Verarbeitung durchgeführt wurde oder nicht, ferner die Adresseninformation, welche eine Speicherposition der SA anzeigt, wo der Inhalt des Authentizierungs-Algorithmus oder des Verschlüsselungs-Algorithmus beschrieben sind, vorgesehen ist.
  • Ein Computer 1401 ist mit einem anderen Computer 1405 und einem Netzwerkinterfacegerät 1402 über ein örtliches Netz (LAN) 1407 verbunden, während die Verbindung mit einem externen Internet 1409 oder WAN, wie einem Intranet, durch das Netzwerkinterfacegerät 1402 erfolgt. Das Internet 1409 ist mit dem LAN 1408 verbunden, welches seinerseits über ein anderes Netzwerkinterfacegerät 1403 mit Computern 1404 und 1406 verbunden ist. Die Netzwerkinterfacegeräte 1402 und 1403 sind ein Firewall oder ein für VPN eingerichtetes Gerät, wie ein Router, ein Gateway oder ein Proxy Server. Der Computer 1401 kann in diesem System ein Terminal mit einer Kommunikationsfunktion wie ein PC, eine Workstation, ein Server, ein PC in Notebookgröße, ein IP-Telefon, ein IP-TV-Telefon oder ein IP-Mobiltelefon sein.
  • Es sei angenommen, dass die Netzwerkinterfacegeräte 1402 und 1403 eine IPSEC-Funktion beinhalten und die Kommunikation zwischen ihnen auf IPSEC-Basis erfolgt. Falls die Computer 1401 und 1404 die IPSEC-Funktion beinhalten, ist es ferner möglich, die Kommunikation zwischen ihnen auf IPSEC-Basis durchzuführen. Weiterhin kann man die Kommunikation auf IPSEC-Basis zwischen dem Computer 1401, der eine IPSEC-Funktion hat, und dem Netzwerkinterfacegerät 1402, welches ebenfalls die IPSEC-Funktion beinhaltet, erfolgen lassen.
  • Wenn der Computer 1401 Daten an den Computer 1404 über das Internet 1409 schickt, dann muss vorher die Verbindung zwischen den Netzwerkinterfacegeräten 1402 und 1403 für die Sicherheitskommunikation eingerichtet werden. Diese Sicherheitskommunikationsverbindung wird nachstehend erläutert.
  • Vor dem Beginn der IPSEC-Kommunikation wird ein Internetschlüsselaustausch (IKE = Internet Key Exchange) als Protokoll zum Austausch des Verschlüsselungsschlüssels des IPSEC vorgenommen. Die Kommunikation unter Verwendung von IKE lässt sich durch Aufteilung in eine IKE Phase 1 und eine IKE Phase 2 erläutern, welche zwischen den Netzwerkinterfacegeräten 1402 und 1403 durchgeführt wird. Man kann vorsehen, dass der geheime Schlüssel manuell ohne Benutzung des automatischen Schlüsselaustauschs des IKE ausgetauscht wird.
  • In der IKE Phase 1 (1501) kann ein gegenseitiger Austausch zur Etablierung des verfügbaren SA für die sichere Kommunikation des IKE selbst erfolgen. SA bedeutet hier eine Serie von Gruppen von Definitionsinformation einschließlich des Authentizierungs-Algorithmus, der Authentizierungsparameter des Verschlüsselungs-Algorithmus, der Verschlüsselungsparameter usw.
  • Als nächstes erfolgt in der IKE Phase 2 ein Austausch der Information über das SA für die IPSEC-Kommunikation gemäß dem SA, welches in der IKE Phase 1 etabliert wurde. Ein Beispiel für das SA für die IPSEC-Kommunikation ist in 18 gezeigt. SAD 1801 zeigt hier eine Mehrzahl von SA und enthält SA-1 (1802)–SA-M (1803). Jedes SA enthält Adresseninformation (1804), SPI (1805) als Indexinformation (Sicherheitsparameterindex) und SAP (1806) als Sicherheitsparameter. Die Adresseninformation (1804) enthält die IP-Bestimmungsadresse, die Bestimmungs-Portnummer, die sendeseitige IP-Adresse, die sendeseitige Portnummer, die Protokollnummer usw. Das SPI 1805 adoptiert die Pseudozufallszahlen. Das SAP 1806 speichert die direkte Information, welche dem Pegel der Sicherheitskommunikation zugeordnet ist, wie den Authentizitäts-Algorithmus, den Verschlüsselungs-Algorithmus und den Verschlüsselungsschlüssel. Beispielsweise enthält das SAP-1 HMAC-MD5 als Authentizierungs-Algorithmus, DES-CBC dagegen als Verschlüsselungs-Algorithmus.
  • Der Informationsaustausch über das SA für die IPSEC-Kommunikation erfolgt durch die IKE Phase 2 (1502), die hier konkret erläutert wird. Das Netzwerkinterfacegerät 1402 sendet an das Netzwerkinterfacegerät 1403 die Vorschlagskomponente des SA, welcher auf die IPSEC-Kommunikation angewendet wird, und als Antwort darauf sendet das Netzwerkinterfacegerät 1403 ein akzeptierbares SA aus den Vorschlägen zurück. Zu diesem Zeitpunkt wird die Vorschlagskomponente des SA etabliert unter Verwendung des Authentizierungs-Algorithmus oder des Verschlüsselungs-Algorithmus, welche zuvor im Datenspeicher 2103 des Netzwerkinterfacegerätes 1402 gespeichert worden sind. Der Datenspeicher 2103 wird später erläutert. Der Typ des im Netzwerkinterfacegerät 1402 enthaltenen Authentizierungs-Algorithmus oder Verschlüsselungs-Algorithmus hängt von der Art des Netzwerkinterfacegerätes ab. Außerdem kann das SA bestimmt werden, welches das Netzwerkinterfacegerät 1402 vorschlagen soll.
  • Entsprechend der oben beschriebenen Antwortverarbeitung des SA wird das auf die IPSEC-Kommunikation anzuwendende SA etabliert. Die Information des auf die IPSEC-Kommunikation angewendeten etablierten SA wird in SAD 1801 in 18 und SPD 1701 in 17 gespeichert. Das SPD 1701 hat die folgende Konfiguration: IP-Bestimmungsadresse 1702; ist die IPSEC-Verarbeitung durchgeführt oder nicht 1703; Adressenzeiger 1704, welcher die Position jedes SA im SAD 1801 angibt; und IP-Adresse 1705 des Bestimmungs-Kommunikationsterminals, an welches das IPSEC-Paket im Falle einer Datensendung an die IPSEC-Bestimmungsadresse 1702 gesendet wird. Zu diesem Zeitpunkt ist die IP-Adresse 1705 konkret die Adresse des Netzwerkinterfacegerätes 1403. Wenn das quellenseitige Kommunikationsterminal die IPSEC-Funktion beinhaltet, dann ist die IP-Adresse 1702 die gleiche wie die oben genannte IP-Adresse 1705. Außerdem kann man den Bereich bezüglich der IP-Bestimmungsadressen 1702 und 1705 bezeichnen.
  • Die Bereichsbezeichnung bedeutet die Bezeichnung von „192.168.1.1." bis „192.169.1.100" unter Verwendung der IP-Adressen, und auf diese Weise kann die einmalige Bereichsbestimmung die Instruktion geben an hundert Einheiten von Kommunikationsterminals zu senden. Weil die Ein-Richtungs-Kommunikation ein SA erfordert, sind in den Netzwerkinterfacegeräten 1402 bzw. 1403 im Fall von Zwei-Richtungs-Kommunikationunabhängige SA's registriert.
  • Nach Etablierung des auf die IPSEC-Kommunikation anzuwendenden SA fügt der Computer 1402 IP-Header zu den Daten hinzu, welche von dem sendeseitigen Computer 1401 zum Computer 1404 geschickt werden sollen und sendet diese dann als IP-Paket über das LAN 1407 an das Netzwerkinterfacegerät 1402. Dieses führt die IPSEC-Verarbeitung durch, die später noch beschrieben wird, und sendet dann das IP-Paket als IPSEC-Paket 1503 zum Netzwerkinterfacegerät 1403. Das Netzwerkinterfacegerät 1403, welches das IPSEC-Paket 1503 erhalten hat, wandelt es durch IPSEC-Verarbeitung in ein IP-Paket um, was über LAN 1408 zum Computer 1404 geschickt wird. Mit anderen Worten, kann bei der Kommunikation zwischen den Netzwerkinterfacegeräten 1402 und 1403, welche über das Internet 1409 miteinander verbunden sind, das IPSEC die Sicherheit der Daten gewährleisten, welche von dem sendeseitigen Computer 1401 zum Computer 1404 geschickt worden sind.
  • In den 14, 16, 19 und 20 wird die von den Netzwerkinterfacegeräten 1402 und 1403 durchgeführte IPSEC-Verarbeitung im Einzelnen erläutert. 16 zeigt eine Detailansicht des Authentizierungsheader(AH)-Formats und des Header-Formats der Encapsulation Security Payload (ESP). 19 ist ein Flussdiagramm der IPSEC-Verarbeitung, welche vom sendeseitigen Netzwerkinterfacegerät durchgeführt wird, während 20 ein Flussdiagramm der vom empfangsseitigen Netzwerkinterfacegerät durchgeführten IPSEC-Verarbeitung zeigt.
  • Die später noch zu erläuternden SPD und SAD werden im jeweiligen Datenspeicher 2103 des Netzwerkinterfacegerätes gespeichert. Das in den 19 und 20 zu findende „S" bedeutet einen Schritt der Verarbeitung.
  • Nach Empfang des vom sendeseitigen Computer 1401 gesendeten EP-Paketes liest das Netzwerkinterfacegerät 1402 die Bestimmungs-IP-Adresse des IP-Paketes (19, S1901). Weiterhin gewinnt das Netzwerkinterfacegerät 1402 entsprechend der IP-Bestimmungsadresse des IP-Pakets die dem empfangenen IP-Paket entsprechende Information aus dem Feld der IP-Bestimmungsadresse des SPD 1701, welches im Netzwerkinterfacegerät 1402 gespeichert ist. Die Information enthält die IP-Bestimmungsadresse 1705, ob die IPSEC-Verarbeitung durchgeführt wurde oder nicht 1703, und den die Position des SA anzeigenden Adressenzeigers 1704, dies bezüglich der Bestimmung, an welche das entsprechende IPSEC-Paket gesendet worden ist (19, S1902).
  • Bei einer Konfiguration, bei welcher keine IPSEC-Verarbeitung durchgeführt wird, wenn also „ob die IPSEC-Verarbeitung durchgeführt ist oder nicht" 1703 mit NEIN beantwortet wird, wird das empfangene IP-Paket ohne die Verarbeitung an das Netzwerkinterfacegerät 1403 geschickt (19, S1903 – NEIN).
  • Bei einer Konfiguration, bei welcher die IPSEC-Verarbeitung erfolgt, wenn also „ob die IPSEC-Verarbeitung durchgeführt ist oder nicht" 1703 mit JA beantwortet wird, liest nach Suchen des SAD 1801 gemäß dem die Position des SA angebenden Adresszeigers 1704 das Netzwerkinterfacegerät 1402 den Inhalt des entsprechenden SA (19, S1903 – JA bis S1905). Das SA ist durch die IKE Phase 2 (1502) etabliert worden. Als nächstes bereitet gemäß dem Inhalt des SA das Netzwerkinterfacegerät 1402 beispielsweise die Authentizierungs-Nerschlüsselungs-Daten aufgrund des IP-Paketes vor unter Verwendung von HAMAC-MD5 als Authentizierungs-Algorithmus und DES-CBC als Verschlüsselungs-Algorithmus (19, S1905). Außerdem fügt das Netzwerkinterfacegerät 1402 einen Authentizierungsheader AH oder einen Authentizierungs-Nerschlüsselungsheader ESP zu den authentizierten/verschlüsselten Daten hinzu, und diese Daten ändern sich in ein IP-Paket (IPSEC-Paket 1503), das von der IPSEC-Verarbeitung verarbeitet wird (19, S1906). Das AH und das ESP enthalten das SPI 1805, welche das SA bilden, das durch die IKE Phase 2 etabliert wurde. Anschließend wird das IPSEC-Paket 1503 an das Netzwerkinterfacegerät 1403 geschickt, das durch die IP-Adresse 1705 des SPD 1701 über das Internet 1409 bezeichnet ist. Es gibt nebenbei bemerkt zwei Arten der IPSEC-Verarbeitung, einen „Tunnel-Modus" und einen „Transport-Modus". Die vorstehende Beschreibung bezieht sich auf den Tunnel-Modus, wenn aber der Transport-Modus benutzt wird, dann erfolgt die Verschlüsselungsverarbeitung nicht auf die IP-Adresse des IP-Pakets. Weiterhin kann man den Transport-Modus oder den Tunnel-Modus willkürlich wählen. Die Detaildarstellung des AH-Formats und des ESP-Headerformats sind in den 16(a) und 16(b) gezeigt.
  • Beim nächsten Schritt bestimmt das Netzwerkinterfacegerät 1403, ob das empfangene IP-Paket ein IPSEC-Paket ist oder nicht (20, S2001).
  • Wenn nun das empfangene IP-Paket kein IPSEC-Paket ist, dann wird es ohne Verarbeitung über das LAN 1408 an den Computer 1404 geschickt (20, S2001 – NEIN).
  • Ist andererseits das empfangene IP-Paket ein IPSEC-Paket, dann wird die folgende Verarbeitung durchgeführt (20, S2001 – JA). D.h., dass das Netzwerkinterfacegerät 1403 zuerst den AH oder ESP-Header im IPSEC-Paket sucht und die in diesem Header enthaltene SPI liest (20, S2002). Danach sucht das Netzwerkinterfacegerät 1403 die in diesem Gerät gespeicherte SAD entsprechend dem SPI und liest dann entsprechend dem SPI den Inhalt SA, wobei SA das von der IKE Phase 2 etablierte SA ist (20, S2003). Hierdurch kann das von der IKE Phase 2 etablierte SA ausgelesen werden. Findet sich jedoch im Schritt S2002 kein entsprechendes SPI, dann wird dem Benutzer eine dies angebende Nachricht angezeigt, und dann endet die Verarbeitung (was in der Zeichnung nicht veranschaulicht ist).
  • Außerdem authentiziert/entschlüsselt das Netzwerkinterfacegerät 1403 die authentizierten/verschlüsselten Daten des IPSEC-Pakets gemäß dem Authentizierungs-Nerschlüsselungs-Algorithmus, welcher durch das ausgelesene SA angegeben wird (20, S2004). Falls nötig sucht das Netzwerkinterfacegerät 1403 das SPD 1701 gemäß der Adresseninformation 1804 des SA und bestätigt die sendeseitige IP-Adresse und ob dir IPSEC-Verarbeitung durchgeführt wurde oder nicht, wodurch es möglich ist, das entschlüsselte IP-Paket zu bilden (20, S2005–S2006). Danach sendet das Netzwerkinterfacegerät 1403 das gebildete IP-Paket an den Computer 1404.
  • Wie oben erläutert, werden die authentizierten/verschlüsselten Daten des authentizierten/verschlüsselten IPSEC-Pakets als ein IP-Paket über das LAN 1408 an den Computer 1404 geschickt. Bei der Kommunikation zwischen dem Netzwerkinterfacegeräten 1402 und 1403 ist es damit möglich, die Sicherheit durch IPSEC bezüglich der vom sendeseitigen Computer 1401 an den Computer 1403 geschickten Daten zu gewährleisten.
  • Gemäß 21 wird die Konfiguration des Netzwerkinterfacegerätes 1402 erläutert, mit dessen Konfiguration diejenige des Netzwerkinterfacegerätes 1403 übereinstimmt.
  • Die Netzwerkinterfacegeräte 1402 und 1403 sind generell so konfiguriert, wie es in 21 gezeigt ist, d.h., ein Prozessor 2101, ein temporärer Datenspeicher 2102, ein Datenspeicher 2103, ein Systemcontroller 2104, ein Netzwerkcontroller 2106 und ein Schaltungscontroller 2107 sind miteinander durch einen internen Bus oder einen Schalter 2105 jeweils verbunden. Der Netzwerkcontroller 2106 ist mit dem LAN 1407 verbunden, und der Schaltungscontroller 2107 ist mit dem Internet 1409 verbunden.
  • Die oben genannten SPD und SAD werden in dem Datenspeicher 2103 gespeichert, der durch einen nicht-flüchtigen Speicher wie ein Flashspeicher, eine Harddisk oder ein ROM konfiguriert ist. Der Prozessor 2101 liest die SPD und die SAD aus dem Datenspeicher 2103, welche den Systemcontroller 2104 beim Stromeinschalten passieren, und speichert sie in dem temporären Datenspeicher 2102, der als flüchtiger Speicher wie etwa ein DRAM oder ein SRAM konfiguriert ist, andernfalls liest der Prozessor 2101 die SPD und SAD auf Anforderung und speichert sie im temporären Datenspeicher 2102. Das Update der SPD und SAD erfolgt nur für diejenigen, die im Datenspeicher 2103 gespeichert sind.
  • Hinsichtlich jedes IP-Pakets (IPSEC-Paket), das vom LAN 1407 und dem Internet 1409 empfangen ist und den Netzwerkcontroller 2106 und den Schaltungscontroller 2107 durchlaufen hat, führt der Prozessor 2101 die IPSEC-Verarbeitung durch, d.h. der Prozessor 2101 liest die AH- oder ESP-Information jedes IPSEC-Pakets und sucht die erforderlichen, im temporären Datenspeicher 2101 gespeicherten SPD und SAD gemäß dem oben erwähnten Verarbeitungsfluss. Nach Durchführung der Authentizierung/Verschlüsselung und Authentizierung/Entschlüsselung für das IPSEC sendet der Prozessor 2101 es zur Bestimmungsadresse. Außerdem kann der Prozessor 2101 auch die anderen Funktionen durchführen (die Routing-Funktion usw.).
  • Der Grund, dass die im temporären Speicher 2102 gespeicherten SPD und SAD bei der Verarbeitung jedes IP-Pakets gesucht werden, liegt darin, dass man auf den temporären Speicher schneller zuzugreifen kann als auf den Datenspeicher 2103, und damit kann man die IPSEC-Verarbeitung schneller vonstatten gehen lassen.
  • Wie oben beschrieben, schreitet die IP-Paketverarbeitung bezüglich der im temporären Speicher 2102 gespeicherten SPD und SAD fort. Wenn also beispielsweise der Parameter der SA verändert wird, dann spiegelt sich der veränderte SA-Parameter in der Kommunikation unter Verwendung des IPSEC nur zur Zeit des Stromeinschaltens oder des Rücksetzens des Netzwerkinterfacegerätes 1402 wider, und zwar aus den folgenden Gründen: Es sei angenommen, dass das Netzwerkinterfacegerät 1402, etwa ein Router, jederzeit eingeschaltet und in Betrieb ist, selbst wenn es notwendig ist, die Anpassung der geänderten Parameter und der SA-Parameter, die im temporären Speicher 2102 gespeichert sind, durchzuführen; und es wird ferner angenommen, dass es nicht erforderlich ist, die SPD, die SAD und die anderen Konfigurationsparameter, die im Datenspeicher 2103 gespeichert sind, zu ändern, weil die Netzwerkkommunikation auf einer speziellen Leitung etabliert ist, beispielsweise etwa zwischen einem Hauptbüro und einem Zweigbüro.
  • Da das oben erwähnte Sicherheitsprotokoll auf der Netzwerkschicht die Sicherheit aller Kommunikationspakete gewährleisten kann, besteht keine Notwendigkeit, die Sicherheit pro Anmeldung zu gewährleisten. Daher hat das Sicherheitsprotokoll starke Eigenschaften als Sicherheitswächter für die LAN-Verbindung. Selbst obwohl mit steigendem Sicherheitspegel (Sicherheitsperformance) die „Undichtigkeit" der Kommunikation geringer wird, erhöht sich jedoch die Belastung jedes Computers und Netzwerkinterfacegerätes, weil die Verarbeitung der Authentizierung/Verschlüsselung für die Sicherheit ein großes Maß von computermäßiger Komplexität erfordert, und dies bedingt eine Verzögerung der Verarbeitung. Wenn andererseits der Sicherheitspegel sinkt, dann steigt die Möglichkeit von „Undichtigkeiten" der Kommunikation.
  • Weil der Pegel der Sicherheitskommunikation wie oben beim Stand der Technik nach dem empfangsseitigen Terminal bestimmt worden war, war es notwendig, einen spezifischen Sicherheitspegel den Daten selbst hinzuzufügen, ohne das Senden der Verschlüsselung von einem sendeseitigen Terminal, der von mehreren Benutzern benutzt wurde, anzufordern. Eine solche Kommunikation vergrößerte unnötige Belastungen jedes Computers oder Netzwerkinterfacegerätes, und dadurch verzögerte sich die Bearbeitung. Wenn man umgekehrt selbst Daten, welche einen höheren Sicherheitspegel erfordern, nur auf den niedrigeren Sicherheitspegel als erforderlich gesendet hatte, ergibt dies ein Problem.
  • Der Router, welcher die konventionelle IPSEC-Funktion enthält, die erforderlich ist zur Bestimmung einer verfügbaren SA entsprechend der IP-Adresse der Bestimmung der Kommunikation, wie oben beschrieben, und auch das Zuordnungsverfahren waren sehr schwierig. Daher ist es problematisch, den Pegel der Sicherheitskommunikation flexibel zu ändern, und es ist auch für einen Benutzer ohne spezielle Kenntnis schwierig, den Pegel der Sicherheitskommunikation selbst willkürlich zu ändern. Weil jedoch der Austausch von E-Mails über Internet oder Intranet von Firmen und der e-commerce unter Verwendung dieser Dienste stärker als je üblich werden, wird ein einfaches Konfigurationsverfahren benötigt, welches nicht nur einer großen Firma verfügbar ist, deren Administratoren eine spezielle Kenntnis über das Netzwerk besitzen, sondern auch für kleine Büros (Small Office Home Office = SOHO) und für zuhause, wo es keine solchen Personen gibt. Im Falle der Änderung des Sicherheitspegels in einen geeigneten für die spezielle Kommunikation, wie das Senden einer Kreditnummer für e-commerce oder entsprechend der Bestimmung, könnte im Stande der Technik außerdem ein Benutzer nicht wissen, ob der Sicherheitspegel der Verbindung geeignet ist oder nicht. Dies ist ein anderes Problem.
  • In der WO-A-00/10278 ist ein Sicherheitsnetzwerksystem mit mehreren Pegeln beschrieben. Ein Netzwerk hat einen dedizierten Netzwerksicherheitscontroller (NSC), Workstations und Server. Das Netzwerk erlaubt es einem Sicherheitsangestellten den Netzwerkbetrieb zu konfigurieren und zu überprüfen. Im Netzwerk sind ebenfalls Sicherheitseinrichtungen zwischen jedem Host (einer Workstation oder einem Server) und einem Ortsbereichsnetzwerkmedium zur Bildung eines LAN installiert. Mit einer Sicherheitseinrichtung installierter Hosts können mit gleichen Hosts kommunizieren, soweit es durch die Betriebsprofile erlaubt ist, und arbeiten mit Sicherheitspegeln, die vom NSC geladen worden sind. Die Sicherheitsmechanismen sind innerhalb der Einrichtung „eingebettet", und alle Netzwerkkommunikationen müssen die Sicherheitseinrichtung passieren, um zu dem Netzwerk zu gelangen. Nach Installation und Konfigurierung des Netzwerkes definiert der Sicherheitsangestellte Informationen über die Sicherheitseinrichtung, ihre Prinzipien und angeschlossene Hosts. Der Administrator fügt die Information für jede der Sicherheitseinrichtungen der bei dem NSC befindlichen Datenbank hinzu. Außerdem muss der Sicherheitsangestellte sich zu jeder der Sicherheitseinrichtungen begeben, um knotenspezifische Informationen dort zu installieren. Wenn ein Chef sich bei einer Sicherheitseinrichtung selbst authentiziert, dann sendet das NSC das geeignete Sicherheitsfenster und Zuordnungen an die Sicherheitseinrichtung. Diese vermittelt jedes gesandte Paket entsprechend dem Sicherheitsfenster und der autorisierten Zuordnung.
  • Die US-A-5940591 beschreibt ein Mehrpegel-Sicherheitsgerät und -verfahren für Netzwerksicherheitsbetrieb bei einer Sessionlayer. Die Netzwerksicherheitseinrichtung umfasst eine Sicherheitsnetzwerk-Interfaceeinheit (SNIU), welche zwischen jeden Host und ein Netzwerk geschaltet ist, und eine Sicherheitsmanagement(SM)-Architektur, die mit jeder SNIU zur Kontrolle ihres Betriebs und ihrer Konfiguration im Netzwerk verbunden ist. Die SNIU's sorgen für eine Verstärkung der Sicherheitspolitik. Die Sicherheitsmanagement-Architektur, die einen mit dem Netzwerk gekoppelten Sicherheitsmanager (SM) enthält, bietet Benutzer-Rechnungsstellung, Konfigurationsmanagement, Sicherheitsadministration und Alarmhandhabung sowie Verschlüsselungs(Kryptografie)schlüsselmanagement.
  • Cheng P.C. et al: "A security architecture for the Internet protocol" IBM Systems Journal, IBM Corp. Armonk, New York, US, Band 37, 1, 1998, Seiten 42–60, XP000737901 ISSN: 0018 8670 beschreibt Entwurf, Grundprinzip und Realisierung einer Sicherheitsarchitektur zum Schutz der Geheimhaltung und Integrität des Internetverkehrs bei der Internetprotokoll(IP)schicht. Drei Komponenten werden danach benötigt, um die IP-Schichtsicherheit durch kryptografische Mittel zu bilden, und zwar: eine Sicherheitspolitik zur Definierung der Eigenschaften der gewünschten Sicherheit; ein Schlüsselmanagementprotokoll zur Bildung und Erhaltung der nötigen Information, wie von der Sicherheitspolitik vorgeschrieben, und ein Protokoll für die Sicherheit bei der IP-Schicht. Ferner wird ein Konzept benötigt, um diese drei Komponenten miteinander zu verknüpfen. Dieses Konzept ist das Sicherheitstunnelkonzept.
  • Zur Lösung des oben genannten Problems schafft die Erfindung das Sicherheitskommunikationsverfahren, bei welchem der Pegel der Sicherheitskommunikation entsprechend der Kommunikation mit dem Bestimmungsort automatisch bestimmt wird.
  • Um dies zu erreichen sieht die Erfindung die folgenden Mittel vor.
  • Gemäß einem Gesichtspunkt der Erfindung ist eine Sicherheitsinformationseinrichtung vorgesehen mit Speichermitteln zum Speichern von Zuordndungsinformation, welcher ein Kommunikationsterminal bezeichnende, terminalspezifische Informationen einem empfehlbaren Sicherheitstyp zuordnet, welcher auf eine Kommunikation mit dem spezifizierten Kommunikationsterminal angewandt wird; ferner Managingmittel für den empfehlbaren Sicherheitstyp zur Auswahl des empfehlbaren Sicherheitstyps für die zugehörige Information entsprechend der terminalspezifizierenden Information als Antwort auf eine Anfrage von einem Kommunikationsterminal, welcher den empfehlbaren Sicherheitstyp anfordert, der auf eine Kommunikation mit dem spezifizierten Kommunikationsterminal anzuwenden ist, wobei die Kennzeichnung darin besteht, dass die Sicherheitsinformationseinrichtung weiterhin Anforderungsmittel umfasst, die dann, wenn in der zugeordneten Information keine terminalspezifizierende Information gefunden werden kann, von dem spezifizierten Kommunikationsterminal den empfehlbaren Sicherheitstyp anfordert, der auf eine Kommunikation mit dem spezifizierten Kommunikationsterminal anzuwenden ist, und Sende- und Empfangsmittel zum Senden des empfehlbaren Sicherheitstyps oder des erhaltenden Sicherheitstyps aus der Antwort auf die Anfrage an das die Anfrage stellende Terminal.
  • Weil die Erfindung so ausgebildet ist, dass der Sicherheitstyp von der Sicherheitsinformationseinrichtung abgefragt wird, kann der Pegel der Sicherheitskommunikation automatisch in Abhängigkeit vom Zielort bestimmt werden.
  • Es gibt Fälle, in denen der Sicherheitstyp aus einem Sicherheitsprotokoll oder einer Gruppe von Definitionsinformationen einschließlich des Authentizierungs-Algorithmus oder eines Verschlüsselungs-Algorithmus gebildet wird.
  • Gemäß einem anderen Gesichtspunkt der Erfindung ist eine Sicherheitskommunikationseinrichtung vorgesehen zur Gewährleistung der Sicherheit der Kommunikation, die von einem sendeseitigen Kommunikationsterminal zu einem empfangsseitigen Kommunikationsterminal über ein Netzwerk gesendet wird, wobei die Vorrichtung Anforderungsmittel enthält, um von einer spezifischen Sicherheitsinformationseinrichtung gemäß dem vorigen Gesichtspunkt der Erfindung einen Sicherheitstyp anzufordern, der zur Gewährleistung der Sicherheit benutzt werden soll, sowie Sicherheitstypwählmittel zum Auswählen des Sicherheitstyps entsprechend einer Antwort von der spezifischen Sicherheitsinformationseinrichtung auf die Anforderung hin.
  • Gemäß einem weiteren Gesichtspunkt der Erfindung ist ein Sicherheitskommunikationsverfahren in Verbindung mit einer Sicherheitskommunikationseinrichtung vorgesehen zur Gewährleistung der Sicherheit der Kommunikation zwischen über ein Netzwerk miteinander verbundenen Kommunikationsterminals, wobei das Verfahren die Schritte enthält: dass die Sicherheitskommunikationseinrichtung von der spezifischen Sicherheitsinformationseinrichtung den empfehlbaren Sicherheitstyp anfordert, der auf eine Kommunikation zwischen den Kommunikationsterminals anzuwenden ist, dass die spezifische Sicherheitsinformationseinrichtung den empfehlbaren Sicherheitstyp auf die Anforderung von der Sicherheitseinrichtung hin auswählt und ihn dann an das Kommunikationsgerät sendet; mit den kennzeichnenden Merkmalen, dass dann, wenn die terminalspezifische Information in der Sicherheitsinformation nicht zu finden ist, die spezifische Sicherheitsinformationseinrichtung von dem Kommunikationsterminal den empfehlbaren Sicherheitstyp anfordert, und dass die Sicherheitskommunikationseinrichtung den Sicherheitstyp entsprechend dem von der Sicherheitsinformationseinrichtung gesendeten empfehlbaren Sicherheitstyp bestimmt.
  • 1 zeigt ein Blockdiagramm eines Systems, bei welchem die erfindungsgemäße Sicherheitskommunikation Anwendung findet. 2 ist ein Beispiel für SPD und SAD für jeden jeweiligen Benutzer bei der ersten Ausführungsform.
  • 3 ist ein Flussdiagramm zur Veranschaulichung der IPSEC-Verarbeitung des Netzwerkprozessors bei der ersten Ausführungsform.
  • 4 ist ein Blockdiagramm der Konfiguration des Netzwerkinterfacegeräts bei der ersten Ausführungsform.
  • 5 ist ein SPD-Beispiel unter Verwendung der Internetadresse bei einer zweiten Ausführungsform.
  • 6 ist ein Blockdiagramm eines Kommunikationsterminal, etwa eines Computers, der als Netzwerkinterfacegerät konfiguriert ist und die IPSEC-Funktion hat, gemäß der zweiten Ausführungsform.
  • 7 ist ein Flussdiagramm zur Veranschaulichung der Verarbeitung der Bestätigung der Konfiguration des Netzwerkinterfacegerätes bei der zweiten Ausführungsform.
  • 8 ist ein SPD-Beispiel unter Verwendung der Internetadresse für jeden Benutzer bei der zweiten Ausführungsform.
  • 9 ist ein Blockschaltbild eines Systems unter Verwendung der Sicherheitsinformationseinrichtung bei einer dritten Ausführungsform.
  • 10 ist ein vereinfachtes Diagramm zur Veranschaulichung der Verarbeitung bei dem System, welches die Sicherheitsinformationseinrichtung verwendet.
  • 11 ist ein Beispiel einer ersten Datenbank der Sicherheitsinformationseinrichtung.
  • 12 ist ein Beispiel einer zweiten Datenbank der Sicherheitsinformationseinrichtung.
  • 13 ist ein Blockschaltbild zur Veranschaulichung des Prinzips jeder Einrichtung nach der dritten Ausführungsform.
  • 14 ist ein Blockschaltbild eines VPN-bildenden Netzwerksystems unter Verwendung eines Routers mit IPSEC-Funktion.
  • 15 ist ein Diagramm zur Veranschaulichung des Verbindungsverfahrens der Sicherheitskommunikation zwischen Netzwerkinterfacegerät mit IPSEC-Funktion.
  • 16 ist ein detailliertes Diagramm des AH-Formates und des ESP-Headerformates.
  • 17 ist ein SPD-Beispiel (Security Policy Database) als Datenbank, welche die Verarbeitungspolitik des IPSEC gemäß dem Stande der Technik bestimmt.
  • 18 ist ein SAD-Beispiel (Security Association Database) als SAD-Datenbank gemäß dem Stand der Technik.
  • 19 ist ein Flussdiagramm zur Veranschaulichung der IPSEC-Verarbeitung des Netzwerkinterfacegerätes auf der Senderseite beim Stand der Technik.
  • 20 ist ein Flussdiagramm zur Veranschaulichung der IPSEC-Verarbeitung des Netzwerkinterfacegerätes auf der Empfangsseite beim Stand der Technik und
  • 21 ist ein Blockschaltbild der Konfiguration des Netzwerkinterfacegerätes beim Stande der Technik.
  • Die hier anhand der Zeichnungen erläuterte Ausführung betrifft zum Verständnis der Erfindung Unterschiede zum Stande der Technik. Die folgenden Beispiele schränken jedoch den technischen Bereich nicht ein, sondern es handelt sich lediglich um konkrete Beispiele.
  • [Ausführung 1]
  • Zuerst wird das Prinzip des Sicherheitskommunikationsverfahrens, des Sicherheitskommunikationssystems und ein entsprechendes Gerät gemäß der ersten Ausführungsform der Erfindung anhand der 1, 2a, 2b und 4 erläutert.
  • 1 zeigt als Diagramm das Prinzip eines Systems, welches das erfindungsgemäße Sicherheitskommunikationsverfahren anwendet. Gemäß 1 ist ein Computer 101 mit einem anderen Computer 105 und einem Netzwerkinterfacegerät 102 über ein LAN 107 verbunden und ferner durch das Netzwerkinterfacegerät 102 mit einem externen Internet 109 oder WAN wie etwa einem Intranet. Das Internet 109 ist mit einem weiteren Netzwerkinterfacegerät 103 und LAN 108 verbunden, und das LAN 108 ist mit Computern 104 und 106 verbunden. Jedes Netzwerkinterfacegerät 102 und 103 ist eine Firewall- oder eine VPN-dedizierte Einrichtung wie etwa ein Router, ein Gateway oder ein Proxyserver. Die Computer 101 und 105 sind jeweils mit einer Benutzerauthentizierungseinrichtung 110 bzw. 111 verbunden. Der Computer 101 und die anderen können Terminals mit der Kommunikationsfunktion sein, wie etwa ein Personalcomputer, eine Workstation, ein Server, ein Personalcomputer von Notebookgröße, ein IP-Telefon, ein IP-TV-Telefon und ein IP-Mobiltelefon sein.
  • Unter der Annahme, dass die IPSEC-Verarbeitung auf die Kommunikation zwischen den Netzwerkinterfacegeräten 101 und 103 wie beim Stande der Technik angewandt wird, sei hier diese Ausführungsform erläutert. Die Aufgabe der IPSEC-Verarbeitung ist jedoch nicht auf die Kommunikation zwischen den Netzwerkinterfacegeräten 101 und 103 beschränkt, sondern dies kann auch für die Kommunikation zwischen dem sendeseitigen Computer 101 und einem Bestimmungscomputer 104 oder die Kommunikation zwischen dem Computer 101 und dem Netzwerkinterfacegerät 103 ebenso wie beim Stande der Technik der Fall sein. 2(a) ist ein SPD pro Benutzer, wie es bei dieser Ausführungsform angewandt wird. 2(b) ist ein Beispiel eines SAD pro Benutzer. Die Inhalte des SPD pro Benutzer und des SAD pro Benutzer werden im Einzelnen noch erläutert.
  • Gemäß dem Blockschaltbild der Konfiguration des Netzwerkinterfacegerätes 102 (103) in 4 (das Netzwerkinterfacegerät 103 hat die gleiche Konfiguration) wird die interne Verarbeitung der Netzwerkinterfacegeräte 102 und 103 noch erläutert.
  • Um beim Betrieb des Netzwerkinterfacegerätes gemäß der Erfindung die Bestimmung des Sicherheitspegels für den Benutzer vorzunehmen, werden zunächst der Benutzer und die Bestimmungs-IP-Adresse eingegeben, was später noch erläutert wird. Demgemäß lässt sich voraussehen, dass die Änderung wie die Hinzufügung des Benutzers und die Aktualisierung der Konfiguration mehr erforderlich ist als zuvor, selbst bei einem konventionellen Netzwerkinterfacegerät, welches mit dem LAN als dedizierte Schaltung zwischen einem Haupt- und einem Zweigbüro verbunden ist. Wenn immer die Konfiguration aktualisiert wird, muss ein solches konventionelles Gerät neu eingeschaltet oder rückgesetzt werden, wodurch die Kommunikation unterbrochen wird, selbst wenn es nur für kurze Zeit ist, was für einen Benutzer sehr unbequem ist. Daher kann durch Ausführung der internen Verarbeitung des Netzwerkinterfacegerätes wie folgt der ständige Betrieb ohne Stromunterbrechung oder Rücksetzen des Gerätes durchgeführt werden.
  • Gemäß 4 sind weiterhin die jeweiligen Netzwerkinterfacegeräte 101 und 103 mit einem Prozessor 401, einem temporären Datenspeicher 402, einem Datenspeicher 403, einem Systemcontroller 404, einem Netzwerkcontroller 406 und einem Schaltungscontroller 407 versehen, die miteinander über einen internen Bus oder einen Schalter 405 verbunden sind. Der Prozessor 401, der temporäre Datenspeicher 402 und der Systemcontroller 404 könnten für die nachstehend beschriebene Verarbeitung als Sicherheitstyp-Wählmittel 408 funktionieren. Weiterhin sind die SPD pro Benutzer 201 und die SAD pro Benutzer 207 jeweils in dem Datenspeicher 403 gespeichert, der als nicht-flüchtiger Speicher wie ein Flashmemory, eine Harddisk oder ein ROM ausgebildet ist. Wird das Netzwerkinterfacegerät 102 eingeschaltet, dann liest der Prozessor 401 die SPD per Benutzer 201 und die SAD per Benutzer 207 aus dem Datenspeicher 403, und nach Durchlauf des Systemcontrollers 404 werden sie in dem temporären Datenspeicher 402 abgelegt, der durch einen flüchtigen Speicher wie ein DRAM oder SDRAM gebildet ist. Danach führt der Prozessor 401 die IPSEC-Verarbeitung gemäß SPD per Benutzer 201 und SAD per Benutzer 207 durch, die in dem temporären Datenspeicher 402 abgespeichert sind. Immer wenn sich Konfiguration ändert, ist Gegenstand der Aktualisierung nur die SPD per Benutzer 201 und die SAD per Benutzer 207, die im Datenspeicher 403 gespeichert sind. Die Verarbeitung ist bis hierher die gleiche wie beim Stande der Technik mit Ausnahme der Konfigurierung der SPD per Benutzer 201 und der SAD per Benutzer 207.
  • Da jedoch die IPSEC-Verarbeitung beim Stande der Technik mit Bezug auf die dem temporären Datenspeicher 402 gespeicherten SPD und SAD fortschreitet, erfolgt das Lesen der SPD und der SAD aus dem Datenspeicher 403 wiederum nur, wenn das Gerät neu startet, nachdem es eingeschaltet oder rückgesetzt worden ist. Wenn also die SPD und die SAD geändert worden sind, dann zeigt sich die aktualisierte SA bei der IPSEC-Verarbeitung nach dem Einschalten oder Rücksetzen des Gerätes.
  • Wenn jedoch bei dieser Ausführung die SPD und SAD im Datenspeicher 403 entsprechend der Konfigurierungsänderung aktualisiert werden, dann wird der folgende Prozess ausgeführt. Wenn die Kommunikationsverarbeitung gemäß der im temporären Datenspeicher 402 gespeicherten SPD und SAD erfolgt, dann unterbricht der Prozessor 401 die Kommunikation sobald sie endet und liest dann die aktualisierten SPD und SAD aus dem Datenspeicher 403 und überschreibt mit ihnen die entsprechenden SPD und SAD, die im temporären Datenspeicher 402 gespeichert sind. Hier werden die aktualisierten SPD und die aktualisierten SAD durch den Prozessor überschrieben, aber die andere nicht aktualisierte SPD wird nicht überschrieben. Daher beeinflusst die Verarbeitung nicht die IPSEC-Kommunikation der Benutzer, welche die SPD und die SAD benutzen, ohne sich um die Aktualisierung zu kümmern.
  • Nach der Wiederetablierung der SA durch die IKE-Phase 2 gemäß dem gespeicherten SPD und SAD erfolgt ein Neustart der IPSEC-Verarbeitung gemäß der etablierten neuen SA.
  • Weil die Aktualisierungsverarbeitung von SPD und SAD wie oben beschrieben durchgeführt wird, selbst wenn der Pegel der Sicherheitskommunikation geändert wird, besteht keine Notwendigkeit für den Neustart des Gerätes, und man kann unmittelbar feststellen, dass die Aktualisierung zur Verfügung steht. Mit anderen Worten erlaubt die IKE-Phase 2 eine Neuetablierung der SA und Auswirkung der Aktualisierung auf die Kommunikation.
  • Das Verfahren der Neuetablierung der SA während der Kommunikation des IPSEC lässt sich folgendermaßen vorbestimmen: Sobald die Kommunikation unterbrochen wird, wird die Neuetablierung durchgeführt, oder sie wird durchgeführt, nachdem die Kommunikation beendet ist. Außerdem kann das Verfahren entsprechend dem zu verarbeitenden Pakettyp vorbestimmt werden.
  • Als nächstes sei hier das Detail des Verfahrens der Registrierung der Definitionsinformationsgruppe für die SPD per Benutzer und die SAD per Benutzer im Netzwerkinterfacegerät beschrieben, wie es 2 zeigt, ehe die Sicherheitskommunikation beginnt.
  • Zunächst gibt ein Administrator des Netzwerkinterfacegerätes 102 in den Prozessor 401 des Netzwerkinterfacegerätes 102 die IP-Adresse jedes Bestimmungsortes ein und ob die IPSEC-Verarbeitung bei der Kommunikation durchgeführt wird oder nicht, und diese Eingaben erfolgen für jeden Benutzer, welcher die Computer 101 und 105 benutzt, und auf diese Weise wird die SPD per Benutzer (SPD-1 bis SPD-N) registriert. Das Benutzerauthentizierungsverfahren wird später beschrieben. In diesem Fall, wo die IP-Adresse jedes Bestimmungsorts, beispielsweise diejenige des Computers 101 und 104 angibt, ist es das gleiche wie beim Stand der Technik. Und die Registrierung kann beispielsweise vom Webbrowser des Computers 101 und 105 durchgeführt werden, andernfalls vom Netzwerkinterfacegerät 102 unmittelbar. Weiterhin kann der Bereich der IP-Adresse jedes Bestimmungsorts gleichermaßen wie beim Stand der Technik spezifiziert werden.
  • Im Falle einer Einstellung, dass die IPSEC-Verarbeitung durchgeführt werden soll, ist es nötig, eine Reihe von Definitionsinformationsgruppen SAD (SAD-1 bis SAD-2) per Benutzer einzugeben, einschließlich des Authentizierungs-Algorithmus, der Authentizierungsparameter, des Verschlüsselungs-Algorithmus und der Verschlüsselungsparameter, welche die Inhalte der auf die IPSEC-Verarbeitung angewendeten SA sind. Gemäß der obigen Eingabe wird eine Mehrzahl von SPD per Benutzer 201 gemäß 2 (a) im Datenspeicher 403 des Netzwerkinterfacegerätes 102 registriert. Außerdem wird eine Serie der Definitionsinformationsgruppe einschließlich des Authentizierungs-Algorithmus, der Authentizierungsparameter, des Verschlüsselungs-Algorithmus und der Verschlüsselungsparameter, welche die Inhalte der SA bilden, als die SAD 207 per Benutzer registriert. Das in der registrierten SAD 207 enthaltene SA wird dem Netzwerkinterfacegerät 103 von der IKE-Phase 2 vorgeschlagen, wie noch beschrieben wird.
  • Die in 2(a) gezeigte SPD 201 enthält wie die SPD 1701 beim Stand der Technik die Adresse des Bestimmungsortes 202, ob die IPSEC-Verarbeitung durchgeführt wird oder nicht 203, und den Adressenzeiger 204, welcher die Position der SA angibt. Wenn die Daten zur IP-Adresse des Bestimmungsortes 202 geschickt werden, enthält die SPD 201 außerdem die IP-Adresse des Kommunikationsterminals 206, an welchen das IPSEC-Paket zu schicken ist. Die SPD kann bei dieser Ausführungsform von derjenigen des Standes der Technik durch den Namen des Benutzers 205 unterschieden werden. 2(a) zeigt ein Beispiel der Einstellung der SPD pro Benutzer, aber die Anordnung kann so getroffen sein, dass die SA per Benutzer spezifiziert wird durch Bildung einer Kennung für die Identifizierung jedes Benutzers in einer SPD.
  • Ebenso hat die in 2(b) gezeigte SAD per Benutzer 207 dieselbe Konfiguration wie die SAD 1801 beim Stande der Technik gemäß 18, und eine der SAD enthält mehrere SA. Beispielsweise enthält SAD-1 von SA-11 bis SA-1M (201), während SAD-N von SA-N1 bis SA-NM enthält. Jede SA enthält Adresseninformation 209, SPI 210 der Indexinformation und SAP 212 des Sicherheitsparameters. Die Adresseninformation 209 enthält die IP-Adresse des Bestimmungsorts, die Portnummer des Bestimmungsorts, die sendeseitige IP-Adresse, die sendeseitige Portnummer, die Protokollnummer usw., und diese Konfiguration ist dieselbe wie beim Stand der Technik. Jedoch kann die SAD 207 durch den Namen des Benutzers 208 unterschieden werden, welcher anders als beim Stande der Technik ist. 2(b) zeigt ein Beispiel der Registrierung der SAD per Benutzer, die SA per Benutzer kann jedoch gemanagt werden durch Bildung einer Kennung in einer SAD zur Identifizierung jedes Benutzers.
  • Nach Beendigung der obigen Registrierung tritt das Netzwerkinterfacegerät 102 durch die IKE-Phase 1 und Phase 2 in Kommunikation mit dem Netzwerkinterfacegerät 103 zur Bestätigung, dass die Registrierungsinhalte zur Verfügung stehen gemäß der Information des Benutzers, wie später noch beschrieben wird. Während der Bestätigung, ob es möglich ist, die IPSEC-Kommunikation entsprechend den Inhalten der Registrierung durchzuführen, falls möglich, etabliert das Netzwerkinterfacegerät 102 die SA. Es ist nicht immer nötig, die SA zu etablieren, wenn die Registrierung endet, und die Registrierung der SA kann erfolgen, wenn die Computer 101 und 104 mit der Kommunikation über die Netzwerkinterfacegeräte 102 und 103 beginnen.
  • Wie das Netzwerkinterfacegerät 102 ist die Benutzerauthentizierungseinrichtung mit den Computern 102 und 106 verbunden, und dann kann jede Konfiguration in dem Netzwerkinterfacegerät 103 über die IP-Adresse des Bestimmungsortes per Benutzer, der die Computer 104 und 106 benutzt, registriert werden.
  • Das Verfahren zur Identifizierung von Benutzern unter Verwendung des Computers 101 wird anschließend erläutert.
  • Ein Benutzer, der den Computer 101 benutzen möchte, gibt eine IC-Karte, in welcher eine inhärente Nummer gespeichert ist, die den Benutzer bei seiner Benutzung spezifizieren kann, in die Benutzerauthentizierungseinrichtung 110, wodurch die inhärente Nummer eingegeben wird. Als nächstes gibt der Benutzer ein der inhärenten Nummer entsprechendes Passwort von der Benutzerauthentizierungseinrichtung 110, ein und wenn die inhärente Nummer der IC-Karte von der Benutzerauthentizierungseinrichtung 110 eingegeben ist und das Passwort mit einem Vorbestimmten übereinstimmt, dann wird der Benutzer authentiziert, und der Computer 101 steht ihm zur Verfügung. Außerdem wird der bei der obigen Benutzerautentizierung ermittelte Name des Benutzers im Computer 101 gespeichert.
  • Die Benutzerauthentizierung erfolgt nicht immer mit Hilfe der IC-Karte, sondern kann auch von einer Einrichtung durchgeführt werden, welche eine Person durch Verwendung einer Magnetkarte, einem Einmalpasswort, einem Fingerabdruck, einer Handform, einem Handabdruck, einer Handschrift, einer Iris, einer Gesichtsform, einer Stimmenprobe oder DNA identifizieren kann. Anstelle der Installation einer Benutzerauthentizierungseinrichtung kann andererseits die Authentizierung auch durch Eingabe des Benutzernamens und des Passwortes in den Computer 101 erfolgen. Die Speicherung der vorbestimmten inhärenten Zahl und des Passwortes liegt nicht immer beim Computer 101, aber dieser kann so eingerichtet werden, dass er die inhärente Nummer und das Passwort für einen Computer anfordert, der separat zur Speicherung der inhärenten Nummer und des Passwortes vorgesehen ist, so dass diese zentralisiert gemanagt werden können.
  • Die folgende Beschreibung bezieht sich auf die Verarbeitung im Falle, dass der Computer 101 in Kommunikation mit dem über das Internet 109 verbundenen Computer 104 tritt, und gemäß den 1, 2 und 3 wird dies im Einzelnen erläutert. Die Sicherheitstyp-Wähleinrichtung 401 gemäß 4 führt die folgende Verarbeitung aus.
  • Nach Etablierung der durch die IPSEC-Kommunikation zu benutzenden SA addiert der Computer 101 einen IP-Header zu den vom Computer 101 zum Computer 104 zu sendenden Daten und schickt sie als ein IP-Paket über das LAN 107 zum Netzwerkinterfacegerät 102, wobei dieses Verfahren das gleiche wie beim Stande der Technik sein kann. Bei dieser Ausführungsform führt der Computer 101 zusätzlich eine weitere Verarbeitung durch, in dem der bei der Benutzerauthentizierung erhaltene Name des Benutzers in einen optionalen Teil des IP-Headers eingefügt wird. Dieser optionale Teil ist ein Datenbereich, welchen der Benutzer (ein Designer) willkürlich im IP-Header benutzen kann.
  • Nach Empfang des vom sendeseitigen Computer 101 geschickten IP-Paketes liest das Netzwerkinterfacegerät 102 zunächst den Namen des Benutzers und die Bestimmungs-IP-Adresse, welche in dem IP-Paket enthalten sind (3, S301) und wählt dann die SPD entsprechend dem Namen des Benutzers aus einer Mehrfach-SPD per Benutzer 201 und sucht weiterhin die Bestimmungs-IP-Adresse 202 aus der SPD entsprechend dem Namen des Benutzers gemäß der Bestimmungs-IP-Adresse (3, S302). Außerdem bestätigt das Netzwerkinterfacegerät 102, ob die entsprechende IPSEC-Verarbeitung durchgeführt ist oder nicht 203.
  • Wenn die Frage „ob die IPSEC-Verarbeitung durchgeführt ist oder nicht" 203 mit „NEIN" beantwortet wird, wenn also die Konfiguration so ist, dass keine IPSEC durchgeführt worden ist, dann schickt das Netzwerkinterfacegerät 102 das empfangene IP-Paket zum Netzwerkinterfacegerät 103 ohne die IPSEC-Verarbeitung durchzuführen (3, S303: NEIN).
  • Wird die Frage „ob die IPSEC-Verarbeitung durchgeführt ist oder nicht" 203 mit „JA" beantwortet, wenn also die Konfiguration so ist, dass die IPSEC durchgeführt worden ist, dann liest das Netzwerkinterfacegerät 102 die IP-Adresse 206 des Kommunikationsterminals, an welchen das IPSEC-Paket geschickt worden ist, und den Adressenzeiger 204, welcher die Position der SA angibt, zusammen mit dem Lesen der entsprechenden SA gemäß dem Adressenzeiger 204 (3, S304). Die obige SA wird durch die IKE-Phase 2 etabliert, wie es gleichermaßen beim Stande der Technik ist.
  • Gemäß dem Inhalt der SA bildet das Netzwerkinterfacegerät 102 als nächstes die authentizierten/verschlüsselten Daten aus dem IP-Paket unter Verwendung des spezifischen Authentizierungs-Algorithmus oder des spezifischen Verschlüsselungs-Algorithmus (3, S305). Ferner addiert das Netzwerkinterfacegerät 102 die authentizierten/verschlüsselten Daten mit dem AH des Authentizierungsheaders oder ESP des Authentizierungs-Nerschlüsselungsheaders, und ändert dann die Bestimmungsadresse in eine IP-Adresse des Kommunikationsterminals 206, an welchen das IPSEC-Paket geschickt worden ist, und sendet dies an das Netzwerkinterfacegerät 103 über das Internet 109 (3, S306).
  • Die nachfolgende Bearbeitung: Nachdem das Netzwerkinterfacegerät 103 bestimmt, ob das empfangene IP-Paket ein IPSEC-Paket ist oder nicht, wird das original IP-Paket gebildet, genauso wie beim Stand der Technik.
  • Da wie oben beschrieben die SPD im voraus vom Benutzer konfiguriert wird und die die Inhalte der Sicherheitskommunikation angebende SA aufgrund der Information der Benutzerauthentizierung bestimmt wird, ist es möglich, den Pegel der Sicherheitskommunikation geeignet zu demjenigen des Benutzers zu bestimmen, ohne die konventionellen Möglichkeiten einzuschränken.
  • Bei dieser Ausführungsform ist das Netzwerkinterfacegerät mit einer IPSEC-Funktion eingerichtet, jedoch tritt kein Problem auf, selbst wenn der Computer 101 oder 104 die IPSEC-Funktion hat und die Sicherheitskommunikation durchführt.
  • Wenn bei etablierter SA die dem Benutzernamen entsprechende SPD gesucht wird, zu diesem Zeitpunkt aber die entsprechende SPD oder die dieser entsprechende IP-Adresse nicht gefunden werden kann (was in der Zeichnung nicht gezeigt ist), dann kann die folgende Konfiguration akzeptabel sein, d.h., die Nachricht kann einschließlich dieser Bedeutung dargestellt werden, und dann kann das IP-Paket ohne Sicherheitsverarbeitung abgeschickt werden, andernfalls kann das Netzwerkinterfacegerät die Sicherheitskommunikation nicht durchführen. Ferner kann die Anordnung so getroffen werden, dass das Netzwerkinterfacegerät einen Benutzer fragt, ob die Datenübertragung erfolgt ist oder nicht. Wenn die Konfiguration auf der SPD so vorgesehen ist, dass keine IPSEC-Verarbeitung durchgeführt wird, dann wird das IP-Paket an die Bestimmungs-IP-Adresse geschickt, ohne dass die IPSEC-Verarbeitung erfolgt.
  • Weiterhin ist das Protokoll der Sicherheitskommunikation bei dieser Ausführungsform auf IPSEC beschränkt; installiert jedoch das Netzwerkinterfacegerät ein Mehrfachprotokoll der Sicherheitskommunikation, welches die Benutzerinformation dem Sicherheitskommunikationsprotokoll zuordnet, ermöglicht dies eine richtige Benutzung des Protokolls der Sicherheitskommunikation per Benutzer. Es ist somit möglich, verschiedene Typen von Sicherheitskommunikation durchzuführen.
  • Inzwischen ist es bei dieser Ausführungsform vorgesehen, dass die jedem Benutzer entsprechende SPD von dem IPSEC spezifiziert wird. Im Fall eines anderen Protokolls als IPSEC kann gleichermaßen die SA oder die ihr äquivalente Information spezifiziert werden durch Bezug auf die SPD, welche der Benutzerauthentizierungsinformation entspricht, oder die der SPD entsprechende Datenbank, wodurch eine Serie der Definitionsinformationsgruppe, wie der Authentizierungs-Algorithmus oder der Verschlüsselungs-Algorithmus, spezifiziert werden kann. Allgemein kann die SA direkt in Abhängigkeit vom Typ des Protokolls spezifiziert werden, ohne auf die SPD Bezug zu nehmen.
  • Die Anordnung kann auch so getroffen werden, dass im Falle mehrerer Benutzer anstatt einer Bildung der SPD per Benutzer jede Gruppe, zu welcher ein Benutzer gehört, gebildet wird, und der Pegel der Sicherheitskommunikation per Gruppe wird geändert. In diesem Fall wird die Gruppeninformation auch bei der Benutzerauthentizierung gemanagt, und eine Bezugnahme auf die Gruppeninformation kann die SPD spezifizieren.
  • Da diese Ausführungsform so konfiguriert ist, dass der durch die Benutzerauthentizierung erhaltene Name in den Optionsteil des IP-Headers eingefügt wird, kann jedes IP-Paket dem Benutzernamen entsprechen. Ferner kann die folgende Konfigurierung das IP-Paket den Benutzernamen zuordnen; wenn die Benutzerauthentizierung durchgeführt ist, informiert jeder Computer ein Netzwerkinterfacegerät vom Inhalt der Benutzerauthentizierung, und das Netzwerkinterfacegerät speichert die Datenbank, welche den Namen des Benutzers dem betreffenden Computer zuordnet.
  • [Ausführungsform 2]
  • Anhand der 5 und 6 zeigt die zweite Ausführungsform das Verfahren zur Zuordnung der Adresseninformation der Anwendungsschicht zu der SA. Die Anwendungsschicht zeigt die siebte Schicht des USI-Referenzmodells und bedeutet eine Anwendung, welche die Kommunikation betrifft. Die Internetadresseninformation der Anwendungsschicht enthalte einen Hostnamen oder eine Repräsentation des URL (Uniform Resource Locator), welcher einen Hostnamen und das Verbindungsprotokoll kombiniert. Das Netzwerkinterfacegerät, das später noch erläutert wird, soll in der Lage sein, selbst bei einer Änderung des Pegels der Sicherheitskommunikation die Änderung ohne Neustart des Gerätes wie bei der ersten Ausführungsform zu berücksichtigen.
  • Die SPD 501, welche in 5 eine Internetadresse benutzt, enthält mit einer Internetadresse 502 eine Bestimmungs-IP-Adresse 503, ob die IPSEC-Verarbeitung durchgeführt ist oder nicht 504, einen Adressenzeiger 505, welcher die Position der SA angibt. Für den Fall des Sendens von Daten an die Bestimmungs-IP-Adresse 503 enthält die SPD 501, ferner eine IP-Adresse des Kommunikationsterminals, an welches das IPSEC-Paket geschickt wird. Die SPD 501 ist dieselbe wie die SPD 1701 beim Stande der Technik mit der Ausnahme der Internetadresse 502. Die Konfiguration der SAD einschließlich der durch den Adressenzeiger 505 bezeichneten SA ist also dieselbe wie diejenige der SAD 1801 beim Stande der Technik. Außerdem speichert die Internetadresse 502 die folgenden Adressen, konkret URL wie http://abc.def.com, eine E-Mailadresse wie abs@def.com und andere POP Server Adressen (Post Office server) oder SMTP Server Adressen (Simple Mail Transfer Protocol server), welche beim Senden und Empfangen von E-Mails benutzt werden.
  • Gemäß 6 ist ein Kommunikationsterminal 608 mit Kontrollmitteln 609, einem Display 601, Netzwerkinterfacegerät-Managingmitteln 610, einer Eingangseinrichtung 611 und Zeigermitteln 612 versehen. Die später noch zu erläuternde betreffende Software wird durch die Kontrollmittel 609 oder die Netzwerkinterfacegerät-Managingmittel 610, welche die Steuermittel 609 bilden, ausgeführt. Die Darstellung der Information für den Benutzer, welcher das Kommunikationsterminal 608 benutzt, erfolgt auf dem Display 601 mit Hilfe der Displayfunktion der betreffenden Software.
  • Zuerst arbeitet der Benutzer die Webbrowsersoftware 602 ab, welche eine Anwendungssoftware ist und die URL 603 der Adresseninformation der Anwendungsschicht darstellt unter Verwendung der Steuereinrichtung 609 im Kommunikationsterminal 608.
  • Dann arbeitet der Benutzer die Netzwerkinterfacegerät-Managementsoftware 605 unter Verwendung der Netzwerkinterfacegerät-Managingmittel 610 ab. Die Netzwerkinterfacegerät-Managmentsoftware 605 ist mit einer Funktion zur Darstellung eines Parametereingabefenster 606 und eines Registrierbottons 607 versehen, wobei das Parametereingabefenster 606 eine Mehrzahl von SA zeigt, die durch das Netzwerkinterfacegerät unterstützt werden. Die mehreren SA unterscheiden sich voneinander bezüglich des Authentizierungs-Algorithmus und des Verschlüsselungs-Algorithmus, deren Unterschiede die Pegel der Sicherheitskommunikation bestimmen. Das direkt mit dem Display 601 verbundene Netzwerkinterfacegerät kann eine Funktion der Steuereinrichtung 609 und der Netzwerk-Interface-Managingmittel 610 enthalten, andernfalls kann ein Computer (beispielsweise der Computer 101), der mit dem Netzwerkinterfacegerät über das Netzwerk verbunden ist, eine Funktion der Steuereinrichtung 609 und der Netzwerkinterfacegerät-Managingmittel 610 übernehmen. In diesem Fall wird der Betrieb von dem Computer ausgeführt, und die Änderung des Betriebs wird auf dem Netzwerkinterfacegerät durch die Kommunikation berücksichtigt.
  • Ein Benutzer, welche die Konfiguration des Netzwerkinterfacegerätes vornehmen will, zieht das URL 603 als die Adresseninformation, welche auf dem Display 601 des Kommunikationsterminals 608 angezeigt wird, unter Verwendung der Zeigermittel 6012 und setzt sie an einer gewünschten Position der mehreren SA ab, welche auf dem Parametereingabefenster 606 gezeigt werden. Das Zeigermittel ist ein Gerät wie eine Maus, ein Trackball, ein Joystick, ein Touch-Pen oder ein Finger, wie sie allgemein bei einem Computer benutzt werden. Die Position auf dem Display 601, die von dem Zeigermittel 6012 angegeben wird, wird als Zeiger 604 dargestellt. Damit kann diese Operation die Adresseninformation der Anwendungsschicht der SA zuordnen. Danach klickt ein Benutzer den Registrierbutton 607 an, und dadurch wird die Registrierverarbeitung des Netzwerkinterfacegerätes ausgeführt; die Registrierverarbeitung wird später noch erläutert. Beim Anklicken des Registrierbuttons 607 kann jedoch die Ausführung der Konfiguration und der Aktualisierungsprozess als einer der folgenden gewählt werden: Der Prozess wird durchgeführt unter Unterbrechung der Kommunikation, selbst wenn diese weiterläuft; der Prozess wird unmittelbar nach Ende der Kommunikation durchgeführt. Bezüglich der Bestätigung der Verbindung für die Sicherheitskommunikation kann ferner bestätigt werden, dass die Verbindung mit dem Bestimmungsort die Aktualisierungskonfiguration beim Beginn der Kommunikation hat, oder die Bestätigung der Verbindung kann unmittelbar durchgeführt werden, welcher Weg auch gewählt werden kann.
  • Als nächstes wird gemäß den 4, 5 und 6 die Registrierverarbeitung des Netzwerkinterfacegerätes, die nach Beendigung der Benutzeroperation durchgeführt wird, nun erläutert. Nachdem der Benutzer, welcher die Konfiguration des Netzwerkinterfacegerätes durchführen will, die SA und die Adresseninformation der Anwendungsschicht einander zugeordnet hat, speichert zunächst der Prozessor 401 des Netzwerkinterfacegerätes die Adresseninformation der Anwendungsschicht in der Internetadresse 502 der SPD 501 im Datenspeicher 403 (7, S701 bis 702).
  • Danach wandelt der Prozessor 401 die Adresseninformation durch den DNS-Server (Domain Name System server) in die IP-Adresse um (7, S703). Der DNS-Server ist unter der mit dem Internet verbundenen Konfiguration generell in allgemeinem Gebrauch, und als Antwort auf die Anfrage bezüglich der Adresseninformation, beispielsweise als Antwort auf die Zeichenfolge von „abs.def.com" antwortet der Server mit der IP-Adresse, welche „abs.def.com" entspricht. Dann speichert der Prozessor 401 die umgewandelte IP-Adresse in die Bestimmungs-IP-Adresse 503 auf der SPD 501 und speichert weiter in der SAD die Bestimmungs-IP-Adresse, die Bestimmungs-Port-Nummer, die senderseitige IP-Adresse, die senderseitige Port-Nummer bzw. Protokollnummer; diese werden für die Adresseninformation 1804 benötigt, welche die im Datenspeicher 403 gespeicherte SAD 1801 bildet (7, S704). Die Port-Nummer, sowohl senderseitig als auch bestimmungsseitig, und die Protokollnummer können durch „http" bestimmt werden, was beispielsweise ein Teil der Adresseninformation ist.
  • Nach Bildung der notwendigen Information für die SPD 501 und SAD 1801 fordern die Sicherheitswählmittel 408 des Netzwerkinterfacegerätes einen Benutzer auf die Verbindungsbestätigung unter der Konfiguration durchzuführen oder nicht (7, S705). Anstatt den Benutzer zu fragen, ob die Verbindungsbestätigung durchgeführt werden soll oder nicht, kann außerdem vorgesehen werden, separat zu bestimmen, ob die Bestätigung der Verbindung automatisch durchgeführt wird oder nicht. Andernfalls kann vorgesehen werden, dass die Bestätigung der Verbindung durchgeführt werden soll, wenn das Item oder Botton für OK gedrückt wird, welche für die Bestätigung der Verbindung vorgesehen sind.
  • Das Verfahren der Bestätigung der Verbindung mit der Bestimmungs-IP-Adresse wird gemäß der IKE-Phase 1, der IKE-Phase 2 und der Information der SPD 501 und der SAD 1801 durchgeführt, welche neu registriert worden sind, wie beim Stand der Technik, und der Benutzer wird vom Ergebnis informiert (7, S705: JA – S707). Diese Verfahren beenden das Prozedere der gegenseitigen Zuordnung der Adresseninformation der Anwendungsschicht und der SA. Nach der Registrierung wird die Sicherheitskommunikation entsprechend den registrierten SPD 501 und SAD 1801 durchgeführt.
  • Es ist jedoch nicht immer notwendig, den Benutzer im Einzelnen zu fragen, ob die Bestätigung der Verbindung durchgeführt ist oder nicht, sondern dies kann automatisch geschehen. Und falls eine Sicherheitsinformationseinrichtung (die später noch beschrieben wird) zwischen den Kommunikationsterminals vorgesehen ist, ist es möglich, die IP-Adresse des Kommunikationsterminals, welcher die IPSEC-Funktion hat, automatisch einzugeben.
  • Da die SA gemäß der Adresseninformation registriert werden kann, die durch die Anwendung spezifiziert wird, welche allgemein benutzt wird, kann selbst ein Benutzer ohne Spezialkenntnisse die SA leicht spezifizieren.
  • Das Parametereingabefenster 606 kann beispielsweise darstellen „hohe Sicherheit", „mittlere Sicherheit", „niedrige Sicherheit" und „keine Sicherheit", anstatt eine Mehrzahl von SA anzuzeigen, so dass es für einen Benutzer einfach wird, die Zuordnung der Adresseninformation zur SA zu verstehen.
  • Die zweite Ausführungsform veranschaulicht die Verarbeitung für die Zuordnung der Adresseninformation zur SA im Falle von IPSEC, jedoch braucht nicht gesagt zu werden, dass das selbe Verfahren im Falle eines anderen Protokolls als IPSEC durchgeführt wird.
  • Falls der Zuordnungsprozess zur gleichen Zeit wie die Sicherheitskommunikation per Benutzer durchgeführt wird, wie es bei der ersten Ausführungsform beschrieben ist, ergibt sich kein Problem. Das Beispiel der SPD ist in diesem Falle als SPD 801 in 8 dargestellt.
  • [Ausführungsform 3]
  • Anhand der 9, 10, 11, 12 und 13 sei nun die Funktion der Sicherheitsinformationseinrichtung bei der dritten Ausführungsform beschrieben. Die jeweiligen Geräte 101 bis 111 gemäß 9 sind dieselben wie in 1, zusätzlich zu dieser Konfiguration ist eine Sicherheitsinformationseinrichtung 901 mit dem Internet 109 über das Netzwerkinterfacegerät 902 verbunden. Jedoch muss das Netzwerkinterfacegerät 902 nicht immer speziell die IPSEC-Funktion beinhalten, sondern kann auch nur ein Gerät sein, welches in der Lage ist, einen illegalen Zugang von außen zu der Sicherheitsinformationseinrichtung 901 zu verhindern.
  • Die Sicherheitsinformationseinrichtung 901 hat eine Konfiguration, wie sie 13(a) zeigt. D.h., sie ist mit empfehlbaren SA-Managingmitteln 1301 und Speichermitteln 1302 versehen. Die empfehlbaren SA-Managingmittel 1301 sind mit dem Netzwerkinterfacegerät 902 über Sende- und Empfangsmittel 1304 verbunden. Die Speichermittel 1302 speichern eine erste Datenbank 1101 zum Suchen einer empfehlbaren SA, wie es 11 zeigt, und eine zweite Datenbank 1201 zum Suchen einer empfehlbaren SA, wie es 12 zeigt, falls notwendig, und die empfehlbare SA-Managingmittel können diese lesen.
  • Wie in 13(b) gezeigt ist, sind die Netzwerkinterfacegeräte 102 und 103 mit Sende- und Empfangsmitteln 1308, Speichermitteln 1309 und Kontrollmitteln 1305 versehen. Die Kontrollmittel 1305 sind ferner mit Anfragemitteln 1306 und Antwortmitteln 1307 versehen.
  • Der Computer 104 ist mit Sende- und Empfangsmitteln 1312 sowie Antwortmitteln 1311 gemäß 13(c) versehen. Die Funktion jedes dieser Mittel wird zu gegebener Zeit beschrieben.
  • Die erste Datenbank umfasst die Bestimmungs-IP-Adresse 1102, die IP-Adresse des Kommunikationsterminals 1103, an welchen das IPSEC-Paket gesendet werden soll, ob die IPSEC-Verarbeitung durchgeführt ist oder nicht 1104, und einen Adressenzeiger 1105, der die Position des SA angibt. Bezüglich der Bestimmungs-IP-Adresse 1102 und der IP-Adresse des Kommunikationsterminals 1103, an welchen das IPSEC-Paket gesendet werden soll, kann die IP-Adresse registriert werden. Die IP-Adresse des Kommunikationsterminals 1103, an welchen das IPSEC-Paket geschickt werden soll, ist diejenige des Kommunikationsterminals mit der IPSEC-Funktion, welche die IPSEC-Verarbeitung auf die IP-Adresse 1102 durchführt.
  • 12 zeigt die zweite Datenbank 1201, welche eine Mehrzahl empfehlbarer SA speichert. Die empfehlbare SA ist eine, welche von dem Bestimmungs-Kommunikationsterminal mit der IPSEC-Funktion empfohlen wird, oder welche von der dritten Partei eingestellt wird, wobei der Pegel der Sicherheitskommunikation sich in Abhängigkeit von den Diensten unterscheidet, welche durch den Bestimmungsort gegeben werden. 10 ist ein vereinfachtes Diagramm zur Veranschaulichung des Kommunikationssystem, wobei von den Einrichtungen gemäß 9 zur Erläuterung der dritten Ausführungsform unnötige Einrichtungen weggelassen sind. Vor Bildung der SA mit dem Netzwerkinterfacegerät 103, welches mit der IPSEC-Kommunikation beginnen soll, fragt gemäß 9 das Netzwerkinterfacegerät 102 bei der dritten Ausführungsform die Sicherheitsinformationseinrichtung 901 nach der empfehlbaren SA für die IPSEC-Kommunikation. Die Bildung der SA für die Netzwerkinterfacegeräte 102 und 103 wird beispielsweise durchgeführt, wenn ein Benutzer die Netzwerkinterfacegeräte 102 und 103 initialisiert, wenn die Computer 101 und 104 mit der Kommunikation über die Netzwerkinterfacegeräte 102 und 103 beginnen usw. Wenn jedoch die gewünschte empfehlbare SA trotz Versuchen die SA zu etablieren, diese nicht etablieren kann, dann kommen die folgenden Wege in betracht: Unterbrechen des Senders, Fragen des Benutzers nach dem Grund, Durchführung der IPSEC-Kommunikation nach Etablierung der SA durch eine andere als die empfehlbare SA.
  • Wenn die Computer 101 und 104 die Kommunikation über die Netzwerkinterfacegeräte 102 und 103 beginnen, dann erfolgt die Frage nach der empfehlbaren SA folgendermaßen.
  • Das Netzwerkinterfacegerät 102 erhält das IP-Paket, welches vom Computer 1 über die Sende- und Empfangsmittel 1308 zum Computer 104 gesendet werden soll, und dann lesen die Controllmittel 1305 die in den Speichermitteln 1309 des Netzwerkinterfacegerätes 102 gespeicherte SPD.
  • Wenn zu diesem Zeitpunkt die SPD nicht die Information des Computers 104 enthält, dann fragt das Netzwerkinterfacegerät 102 die Sicherheitsinformationseinrichtung 901 nach der empfehlbaren SA für die IPSEC-Kommunikation unter Verwendung der Abfragemittel 1306 (10, S1001). Es sei angenommen, dass die Adresse der Sicherheitsinformationseinrichtung 901 in den Speichermitteln 1309 des Netzwerkinterfacegerätes 102 zuvor gespeichert worden ist.
  • Bei der Durchführung der Anfrage nach der empfehlbaren SA sendet das Netzwerkinterfacegerät 102 die IP-Adresse des Computers 104 am Bestimmungsort an die Sicherheitsinformationseinrichtung 901. Nach Empfang der IP-Adresse des Computers 104 durch die Sende- und Empfangsmittel 1304 lesen die empfehlbare SA-Managingmittel 1301 der Sicherheitsinformationseinrichtung 901 die Bestimmungs-IP-Adresse 102 in der ersten Datenbank 1101, die in den Speichermitteln 1302 gemäß der IP-Adresse des Computers 104 gespeichert ist, und erhalten dann die IP-Adresse des Kommunikationsterminals 1103, an welchen das entsprechende IPSEC-Paket gesendet werden soll, ferner ob die IPSEC-Verarbeitung durchgeführt worden ist oder nicht 104, und den Adressenzeiger 1105, welcher die Position der SA anzeigt.
  • Die empfehlbare SA-Managingmittel 1301 erhalten die empfehlbare SA von der in den Speichermitteln 1302 gespeicherten zweiten Datenbank 1201 gemäß dem Adressenzeiger 1105 und senden dann dem Netzwerkinterfacegerät 102 die empfehlbare SA zusammen mit der IP-Adresse des Kommunikationsterminals 1103, an welchen das IPSEC-Paket geschickt werden soll, und ob die IPSEC-Verarbeitung durchgeführt ist oder nicht 1104 (10, S1002).
  • Die IP-Adresse des Kommunikationsterminals 1103, an welche das IPSEC-Paket zu senden ist, speichert die IP-Adresse des Netzwerkinterfacegerätes 103, die zuvor registriert worden war. Es brauch nicht gesagt zu werden, dass die Anzahl der zurückzusendenden empfehlbaren SA eine Mehrzahl sein kann.
  • Nach Empfang der empfehlbaren SA, der IP-Adresse des Kommunikationsterminals 1103, an welche das empfangene IPSEC-Paket gesendet wird, und ob die IPSEC-Verarbeitung durchgeführt ist oder nicht 1104, etabliert als nächstes die Steuereinrichtung 1305 des Netzwerkinterfacegerätes 102 die SA am Netzwerkinterfacegerät 103, wie beim Stande der Technik beschrieben, gemäß der IP-Adresse des Kommunikationsterminals 1103, an welches des empfangene IPSEC-Paket zu senden ist, und schlägt dann die empfehlbare SA als eine mögliche SA durch die IKE-Phase 2 vor (10, S1003).
  • Wenn die empfangene empfehlbare SA die IPSEC-Kommunikation etablieren kann, dann schickt das Netzwerkinterfacegerät 103 die empfehlbare SA an das Netzwerkinterfacegerät 102 zurück, und damit wird die Etablierung der Kommunikation vervollständigt (10, S1004).
  • Weil das Netzwerkinterfacegerät 102 die Sicherheitsinformationseinrichtung 901 nach der empfehlbaren SA fragt, ist es so möglich, die SA zu erhalten, die mit einem Gegenüber in Sicherheit kommunizieren kann, und die IPSEC-Kommunikation mit der empfehlbaren SA durchzuführen.
  • Nebenbei ist zu betrachten, dass obwohl das Netzwerkinterfacegerät 102 nach der empfehlbaren SA für das IPSEC anfragt, die erste Datenbank der Sicherheitsinformationseinrichtung die entsprechende IP-Adresse nicht registriert hat (10, S1001).
  • In diesem Fall fragen die empfehlbare SA-Managingmittel 1301 der Sicherheitsinformationseinrichtung 901 den entsprechenden Computer 104 nach einer möglichen SA, welche für die Sicherheitskommunikation nötig ist (10, S1005).
  • Der die Anforderung erhaltende Computer 104 gibt an die Sicherheitsinformationseinrichtung 901 unter Verwendung der Antworteinrichtung 1311 die IP-Adresse des Netzwerkinterfacegerätes 308 mit der IPSEC-Funktion zurück, welche zuvor im Computer 104 registriert worden war (11, S1006).
  • Die empfehlbare SA-Managingmittel der Sicherheitsinformationseinrichtung 901, welche die IP-Adresse des Netzwerkinterfacegerätes 103 mit der IPSEC-Funktion erhalten hat, bittet dann das Netzwerkinterfacegerät 103 um die Kandidaten-SA (10, S1007). Die Steuermittel 1305 des Netzwerkinterfacegeräts 103, welche die Anforderung erhalten haben, senden die in den Speichermitteln 1309 des Netzwerkinterfacegerätes 103 gespeicherte Kandidaten-SA an Sicherheitsinformationseinrichtung 901 unter Verwendung der Antwortmittel 1307 (10, S1008).
  • Die empfehlbare SA-Managingmittel 1301 der Sicherheitsinformationseinrichtung 901, welche die Kandidaten-SA erhalten hat, registriert diese in einer zweiten Datenbank und registriert zur selben Zeit in der ersten Datenbank 1101 die für die Anforderung des Netzwerkinterfacegerätes 102 benutzte Adresse, ferner den die Position der Kandidaten-SA angebenden Adressenzeiger 1105, sowie die IP-Adresse des Kommunikationsterminals 1103, an welchen das IPSEC-Paket gesendet wird, und ob die IPSEC-Verarbeitung durchgeführt ist 1104. Die empfehlbare SA wird zurück zum Netzwerkinterfacegerät 112 durch die Sende- und Empfangsmittel 1304 zusammen mit der IP-Adresse des Kommunikationsterminals 1103, an welchen das IPSEC-Paket geschickt ist, sowie, ob die IPSEC-Verarbeitung durchgeführt ist oder nicht 1104, zurückgeschickt (10, S1002).
  • Wenn jedoch der die Anforderung erhaltende Computer 104 die IP-Adresse des Netzwerkinterfacegerätes 103 nicht registriert hat, oder wenn das System kein Kommunikationsterminal mit IPSEC-Funktion hat, oder wenn das System keine Antwortmittel 1311 hat, dann schickt der Computer 104 die Bedeutung zurück oder antwortet nichts an die Sicherheitsinformationseinrichtung 901. Die Sicherheitsinformationseinrichtung 901, welche die Antwort oder nichts erhalten hat, informiert das Netzwerkinterfacegerät 102 über die Bedeutung und registriert inzwischen die IP-Adresse des Computers 104 in der Bestimmungs-IP-Adresse 1102 der ersten Datenbank 1101 und ändert dann „ob die IPSEC-Verarbeitung durchgeführt ist oder nicht" 1104 in „NEIN". In diesem Fall kann die Steuereinrichtung 1305 des Netzwerkinterfacegerätes 102 den Benutzer, welcher mit dem Computer 101 arbeitet, darüber informieren, dass die Sicherheitskommunikation nicht beginnen kann oder dass die Kommunikation nicht durchgeführt wird.
  • Im Falle der Zwei-Richtungs-Kommunikation werden zwei der unabhängigen SA durch die IKE-Phase 2 wie beim Stande der Technik registriert. Wenn die IKE-Phase 2 die SA aufgrund der Anforderung des Netzwerkinterfacegerätes 102 etabliert, kann also die Steuereinrichtung 1305 des Netzwerkinterfacegerätes 103 die Sicherheitsinformationseinrichtung 901 um die empfehlbare SA für das Netzwerkinterfacegerät 102 bitten (10, S1009).
  • Wenn die erste Datenbank 1101 der Sicherheitsinformationseinrichtung 901 die empfehlbare SA für das Netzwerkinterfacegerät 102 nicht registriert hat, dann fordern die empfehlbare SA-Managingmittel 1301 des Sicherheitsinformationsgerätes 901 von dem Netzwerkinformationsgerät 102 die Kandidaten-SA an (10, S1010 bis S1011). Darauf wird die Antwort auf die Anforderung zum Netzwerkinterfacegerät 103 geschickt (10, S1012). Da diese Abfolge dieselbe ist wie die oben genannten Schritte von S1001 bis S1002 und von S1007 bis S1008, erfolgt hier keine weitere Erläuterung.
  • Weil wie oben beschrieben das System mit einer Sicherheitsinformationseinrichtung ausgestattet ist, kann ein Benutzer die geeignete SA bestimmen, ohne den Pegel der Sicherheitskommunikation des Bestimmungsortes in Betracht zu ziehen. Außerdem, wenn beispielsweise die dritte Partei die Sicherheitsinformationseinrichtung managt, ist es möglich, den Pegel der Sicherheitskommunikation per vom Bestimmungsort gelieferten Serviceinhalte oder per Adresse des Bestimmungsorts zu optimieren. Weiterhin kann die Sicherheitsinformationseinrichtung die empfehlbare SA zentralisiert managen durch automatisches Anfordern der Kandidaten-SA von dem betreffenden Kommunikationsterminal und anschließendes Sammeln der Inhalte, wodurch jedes Kommunikationsterminal mit IPSEC-Funktion Kandidaten der empfehlbaren SA lediglich durch Anforderung bei der Sicherheitsinformationseinrichtung erhalten kann. Insbesondere im Falle des weiträumigen Netzwerkes, welches die IPSEC-Funktion benutzt, wie bei einer weiträumigen Firma, deren Standorte über einen Router mit IPSEC-Funktion miteinander verbunden sind, ist es bei diesem System einfach für einen Benutzer, das Kommunikationsterminal für die Sicherheitskommunikation zu konfigurieren, und damit lässt sich die Verantwortlichkeit des Administrator oder Benutzers effektiv reduzieren.
  • Die von der Sicherheitseinrichtung gemäß der Erfindung gespeicherte Datenbank ist in zwei Teile unterteilt, aber es ist nicht immer notwendig, die Datenbank speziell zu unterteilen. Die Sicherheitsinformationseinrichtung kann so eingerichtet werden, dass sie eine Datenbank hat, wenn sich die Funktion ausführen lässt. Außerdem kann die Datenbank nicht nur die oben genannten Größen speichern, sondern auch die für die andere SA erforderliche Information.
  • Die Sicherheitsinformationseinrichtung kann zusätzlich mit der Funktion des RADIUS-Servers (Remote Authentication Dial-In User server) erhalten, so dass die Sicherheitsinformationseinrichtung dadurch die vom IKE ausgetauschte Schlüsselinformation und die der SA entsprechende SPI-Information mitsammen managen kann und dann diese Information liefern kann.
  • Im Falle, dass jeder Computer mit IPSEC-Funktion ausgestattet ist, kann der Computer die Sicherheitsinformationseinrichtung gleichermaßen wie das Netzwerkinterfacegerät anfordern.
  • Als Bestimmungs-IP-Adresse und IP-Adresse des Kommunikationsterminals, an welchen das IPSEC-Paket gesendet wird, wird die IP-Adresse benutzt, jedoch besteht keine Beschränkung hierauf. Die Adresse kann die Information sein, welche das Bestimmungs-Kommunikationsterminal angibt, beispielsweise ein Computername, eine MAC-Adresse (Media Access Control Address), eine Telefonnummer usw.
  • Die dritte Ausführungsform kann in Verbindung mit der ersten Ausführungsform benutzt werden, und in diesem Fall können die Steuermittel 1305 und die Speichermittel 1309 die Sicherheitstypwähleinrichtung 408 bilden, und die Sende- und Empfangsmittel 1308 können den Netzwerkcontroller 406 und den Schaltungscontroller 407 bilden.

Claims (10)

  1. Sicherheitsinformationseinrichtung (901) mit: Speichermitteln (1302) zum Speichern von Zuordnungsinformation (1101), die geeignet ist, terminalspezifizierende Informationen (1102), welche ein Kommunikationsterminal (104) spezifiziert, einem empfehlbaren Sicherheitstyp (1105) zuzuordnen, welcher auf eine Kommunikation mit dem spezifizierten Kommunikationstermin (104) angewandt wird, Managingmitteln (1301) für den empfehlbaren Sicherheitstyp zum Auswählen des empfehlbaren Sicherheitstyps (1105) aus der Zuordnungsinformation (1101) gemäß der Terminalspezifizierungsinformation (1102) auf eine Anforderung von dem Kommunikationsterminal (101) hin, welcher den empfehlbaren Sicherheitstyp (1105) anfordert, der auf eine Kommunikation mit dem spezifizierten Kommunikationsterminal (104) anzuwenden ist, dadurch gekennzeichnet, dass die Sicherheitsinformationseinrichtung (901) ferner Anforderungsmittel aufweist, welche dann, wenn die terminalspezifizierende Information (1102) in der Zuordnungsinformation (1101) nicht zu finden ist, geeignet sind, von dem spezifizierten Kommunikationsterminal (104) den empfehlbaren Sicherheitstyp anzufordern, welcher auf eine Kommunikation mit dem spezifizierten Kommunikationsterminal (104) anzuwenden ist, und Sende- und Empfangsmittel (1304) zum Senden des ausgewählten empfehlbaren Sicherheitstyps oder des von der Antwort auf die Anforderung erhaltenen Sicherheitstyps an das die Anforderung (101) stellende Terminal.
  2. Sicherheitsinformationseinrichtung (901) nach Anspruch 1, bei welcher der Sicherheitstyp (1105) ein Sicherheitsprotokoll ist.
  3. Sicherheitsinformationseinrichtung (901) nach Anspruch 2, bei welcher das Sicherheitsprotokoll ein IPSEC (Internet Protocol Security Protocol) ist.
  4. Sicherheitsinformationseinrichtung (901) nach Anspruch 1, bei welcher der Sicherheitstyp (1105) eine Gruppe der für die Sicherheitskommunikation verwendeten Definitionsinformation ist.
  5. Sicherheitsinformationseinrichtung (901) nach Anspruch 4, bei welcher die Gruppe der Definitionsinformation eine Sicherheitsregel (policy) ist.
  6. Sicherheitsinformationseinrichtung (901) nach Anspruch 4, bei welcher die Gruppe der Definitionsinformation mindestens entweder einen Authentizierungs-Algorithmus oder einen Verschlüsselungs-Algorithmus enthält.
  7. Sicherheitskommunikationseinrichtung (102) zur Gewährleistung der Sicherheit einer Kommunikation, die von einem sendeseitigen Kommunikationsterminal (101) über ein Netzwerk (109) zu einem empfangsseitigen Kommunikationsterminal (104) gesendet wird, mit Anforderungsmitteln (1306), welche von einer spezifischen Sicherheitsinformationseinrichtung (901) nach einem der vorstehenden Ansprüche einen Sicherheitstyp (1105) anfordert, der zur Gewährleistung der Sicherheit benutzt werden soll, und mit Sicherheitstypauswahlmitteln (408) zum Auswählen des Sicherheitstyps gemäß einer Antwort von der spezifischen Sicherheitsinformationseinrichtung (901) auf die Anforderung hin.
  8. Sicherheitskommunikationseinrichtung (102) nach Anspruch 7, bei welcher die Antwort ein oder mehrere Sicherheitstypen enthält.
  9. Sicherheitskommunikationssystem mit einer Sicherheitskommunikationseinrichtung (102) nach Anspruch 7 oder 8 zur Gewährleistung der Sicherheit der von einem sendeseitigen Kommunikationsterminal (101) über ein Netzwerk (109) an ein empfangsseitiges Kommunikationsterminal (104) gesendeten Information.
  10. Sicherheitskommunikationsverfahren das eine Sicherheitskommunikationsvorrichtung (102) beinhaltet zur Gewährleistung der Sicherheit der Kommunikation zwischen über ein Netzwerk (109) miteinander verbundenen Kommunikationsterminals (101, 104), mit den Schritten: die Sicherheitskommunikationseinrichtung (102) fordert von der spezifischen Sicherheitsinformationseinrichtung (901) den empfehlbaren Sicherheitstyp an, der auf eine Kommunikation zwischen den Kommunikationsterminals (101, 104) anzuwenden ist, die spezifische Sicherheitsinformationseinrichtung (901) wählt den empfehlbaren Sicherheitstyp auf eine Anforderung von der Kommunikationseinrichtung (102) hin und sendet ihn an die Kommunikationseinrichtung (102), dadurch gekennzeichnet, dass dann, wenn die terminalspezifizierende Information (1202) nicht in der Sicherheitsinformationseinrichtung (901) gefunden werden kann, die spezifische Sicherheitsinformationseinrichtung (901) den empfehlbaren Sicherheitstyp von dem Kommunikationsterminal (104) anfordert, und dass die Sicherheitskommunikationseinrichtung (102) den Sicherheitstyp bestimmt entsprechend dem von der Sicherheitsinformationseinrichtung (901) gesendeten empfehlbaren Sicherheitstyp.
DE60121483T 2000-04-12 2001-04-11 Sicherheitkommunikationsverfahren, System und Vorrichtung welche erlauben den Sicherheitstyp zu wechseln Expired - Fee Related DE60121483T2 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2000110651A JP2001298449A (ja) 2000-04-12 2000-04-12 セキュリティ通信方法、通信システム及びその装置
JP2000110651 2000-04-12

Publications (2)

Publication Number Publication Date
DE60121483D1 DE60121483D1 (de) 2006-08-24
DE60121483T2 true DE60121483T2 (de) 2007-07-19

Family

ID=18623129

Family Applications (2)

Application Number Title Priority Date Filing Date
DE60121483T Expired - Fee Related DE60121483T2 (de) 2000-04-12 2001-04-11 Sicherheitkommunikationsverfahren, System und Vorrichtung welche erlauben den Sicherheitstyp zu wechseln
DE60121101T Expired - Fee Related DE60121101T2 (de) 2000-04-12 2001-04-11 Gesichtertes Kommunikationsverfahren, gesichtertes Kommunikationssystem und Gerät

Family Applications After (1)

Application Number Title Priority Date Filing Date
DE60121101T Expired - Fee Related DE60121101T2 (de) 2000-04-12 2001-04-11 Gesichtertes Kommunikationsverfahren, gesichtertes Kommunikationssystem und Gerät

Country Status (6)

Country Link
US (1) US20010042201A1 (de)
EP (2) EP1418728B1 (de)
JP (1) JP2001298449A (de)
KR (1) KR20010098513A (de)
CN (1) CN1317899A (de)
DE (2) DE60121483T2 (de)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102008057934A1 (de) * 2008-11-19 2010-05-20 Nordex Energy Gmbh Windenergieanlage mit einer zentralen Steuerungseinrichtung und einer Steuerungseinheit im Rotor sowie Verfahren zum Betreiben einer derartigen Windenergieanlage

Families Citing this family (84)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6418324B1 (en) 1995-06-01 2002-07-09 Padcom, Incorporated Apparatus and method for transparent wireless communication between a remote device and host system
US7778260B2 (en) 1998-10-09 2010-08-17 Netmotion Wireless, Inc. Method and apparatus for providing mobile and other intermittent connectivity in a computing environment
US8078727B2 (en) 1998-10-09 2011-12-13 Netmotion Wireless, Inc. Method and apparatus for providing mobile and other intermittent connectivity in a computing environment
US6546425B1 (en) * 1998-10-09 2003-04-08 Netmotion Wireless, Inc. Method and apparatus for providing mobile and other intermittent connectivity in a computing environment
US8060656B2 (en) 1998-10-09 2011-11-15 Netmotion Wireless, Inc. Method and apparatus for providing mobile and other intermittent connectivity in a computing environment
US7136645B2 (en) 1998-10-09 2006-11-14 Netmotion Wireless, Inc. Method and apparatus for providing mobile and other intermittent connectivity in a computing environment
US7293107B1 (en) 1998-10-09 2007-11-06 Netmotion Wireless, Inc. Method and apparatus for providing mobile and other intermittent connectivity in a computing environment
US7882247B2 (en) 1999-06-11 2011-02-01 Netmotion Wireless, Inc. Method and apparatus for providing secure connectivity in mobile and other intermittent computing environments
FR2822318B1 (fr) * 2001-03-14 2003-05-30 Gemplus Card Int Dispositif portable pour securiser le trafic de paquets dans une plate-forme hote
GB0109299D0 (en) * 2001-04-12 2001-05-30 British Telecomm Hybrid network
US7061899B2 (en) * 2001-05-01 2006-06-13 Hewlett-Packard Development Company, L.P. Method and apparatus for providing network security
US7360076B2 (en) * 2001-06-13 2008-04-15 Itt Manufacturing Enterprises, Inc. Security association data cache and structure
US6982984B1 (en) * 2001-08-28 2006-01-03 Redback Networks Inc. Method and apparatus for virtual private networks
US7644171B2 (en) 2001-09-12 2010-01-05 Netmotion Wireless, Inc. Mobile networking system and method using IPv4 and IPv6
US20030056111A1 (en) * 2001-09-19 2003-03-20 Brizek John P. Dynamically variable security protocol
US7260650B1 (en) * 2001-11-28 2007-08-21 Cisco Technology, Inc. Method and apparatus for tunneling information
KR100449809B1 (ko) * 2001-12-27 2004-09-22 한국전자통신연구원 다중 보안 서비스를 제공하는 개선된 아이피 계층에서의패킷 보호 방법
JP2003204326A (ja) 2002-01-09 2003-07-18 Nec Corp 通信システムと暗号処理機能付きｌａｎ制御装置、及び通信制御プログラム
JP2005515700A (ja) * 2002-01-14 2005-05-26 ネットモーション ワイヤレス インコーポレイテッド モバイルコンピューティング環境および他の断続的なコンピューティング環境における安全な接続を提供するための方法およびデバイス
JP3764125B2 (ja) * 2002-04-26 2006-04-05 富士通株式会社 ゲートウェイ、通信端末装置、および通信制御プログラム
KR100888471B1 (ko) * 2002-07-05 2009-03-12 삼성전자주식회사 링크 접속권한을 등급화 한 암호화 키 차등분배방법 및이를 이용한 로밍방법
JP4563662B2 (ja) * 2002-07-17 2010-10-13 パナソニック株式会社 記録媒体不正使用防止システム
JP4159328B2 (ja) 2002-09-11 2008-10-01 Ｎｅｃインフロンティア株式会社 ネットワーク、ＩＰｓｅｃ設定サーバ装置、ＩＰｓｅｃ処理装置及びそれらに用いるＩＰｓｅｃ設定方法
JP2004112461A (ja) 2002-09-19 2004-04-08 Sony Corp データ処理方法、そのプログラムおよびその装置
WO2004071038A1 (ja) 2003-02-05 2004-08-19 Nippon Telegraph And Telephone Corporation ファイアウォール装置
JP4524996B2 (ja) * 2003-04-03 2010-08-18 パナソニック株式会社 テレビ電話機
GB0321335D0 (en) * 2003-09-11 2003-10-15 Rogers Paul J Method and apparatus for use in security
US7631181B2 (en) 2003-09-22 2009-12-08 Canon Kabushiki Kaisha Communication apparatus and method, and program for applying security policy
US7574603B2 (en) * 2003-11-14 2009-08-11 Microsoft Corporation Method of negotiating security parameters and authenticating users interconnected to a network
US8186026B2 (en) * 2004-03-03 2012-05-29 Rockstar Bidco, LP Technique for maintaining secure network connections
JP3944182B2 (ja) 2004-03-31 2007-07-11 キヤノン株式会社 セキュリティ通信方法
JP2005347789A (ja) * 2004-05-31 2005-12-15 Niigata Seimitsu Kk Ｉｐ電話機を終端端末とした暗号システム
JP4047303B2 (ja) * 2004-06-04 2008-02-13 キヤノン株式会社 提供装置、提供プログラム、及び、提供方法
US20050283441A1 (en) * 2004-06-21 2005-12-22 Ipolicy Networks, Inc., A Delaware Corporation Efficient policy change management in virtual private networks
US8438629B2 (en) 2005-02-21 2013-05-07 Samsung Electronics Co., Ltd. Packet security method and apparatus
WO2006087819A1 (ja) * 2005-02-21 2006-08-24 Fujitsu Limited 通信装置
US20070011448A1 (en) * 2005-07-06 2007-01-11 Microsoft Corporation Using non 5-tuple information with IPSec
GB2428317A (en) * 2005-07-13 2007-01-24 Hewlett Packard Development Co Data collation system
US8056124B2 (en) * 2005-07-15 2011-11-08 Microsoft Corporation Automatically generating rules for connection security
JP4890866B2 (ja) * 2006-01-17 2012-03-07 Ｎｅｃエンジニアリング株式会社 構内交換機
US7675854B2 (en) 2006-02-21 2010-03-09 A10 Networks, Inc. System and method for an adaptive TCP SYN cookie with time validation
JP4690918B2 (ja) * 2006-03-14 2011-06-01 株式会社リコー ネットワーク機器
JP4994683B2 (ja) * 2006-03-17 2012-08-08 株式会社リコー ネットワーク機器
JP2007323553A (ja) * 2006-06-05 2007-12-13 Hitachi Ltd ネットワーク上の暗号化通信を行うアダプタ装置及びｉｃカード
US20080005558A1 (en) * 2006-06-29 2008-01-03 Battelle Memorial Institute Methods and apparatuses for authentication and validation of computer-processable communications
US20100077203A1 (en) * 2006-07-13 2010-03-25 Keiko Ogawa Relay device
JP4874037B2 (ja) * 2006-09-12 2012-02-08 株式会社リコー ネットワーク機器
US20080072033A1 (en) * 2006-09-19 2008-03-20 Mcalister Donald Re-encrypting policy enforcement point
JP4916270B2 (ja) * 2006-10-04 2012-04-11 株式会社リコー 情報処理装置、通信方法およびプログラム
US8312507B2 (en) * 2006-10-17 2012-11-13 A10 Networks, Inc. System and method to apply network traffic policy to an application session
US8584199B1 (en) 2006-10-17 2013-11-12 A10 Networks, Inc. System and method to apply a packet routing policy to an application session
JP2008140295A (ja) * 2006-12-05 2008-06-19 Hitachi Ltd 計算機システム及び在席管理計算機
JP4774375B2 (ja) 2007-02-20 2011-09-14 株式会社リコー ネットワーク通信機器
KR100850362B1 (ko) * 2007-04-12 2008-08-04 한국전자통신연구원 개인 휴대 임베디드 단말에 대한 보안성 강화 방법 및 그시스템
JP4812123B2 (ja) * 2007-06-15 2011-11-09 株式会社リコー 情報処理装置およびプログラム
US8935748B2 (en) * 2007-10-31 2015-01-13 Microsoft Corporation Secure DNS query
JP5121494B2 (ja) * 2008-02-21 2013-01-16 株式会社リコー 画像形成装置、情報処理方法、及び情報処理プログラム
US9960967B2 (en) 2009-10-21 2018-05-01 A10 Networks, Inc. Determining an application delivery server based on geo-location information
US9215275B2 (en) 2010-09-30 2015-12-15 A10 Networks, Inc. System and method to balance servers based on server load status
US9609052B2 (en) 2010-12-02 2017-03-28 A10 Networks, Inc. Distributing application traffic to servers based on dynamic service response time
US8897154B2 (en) 2011-10-24 2014-11-25 A10 Networks, Inc. Combining stateless and stateful server load balancing
US9094364B2 (en) 2011-12-23 2015-07-28 A10 Networks, Inc. Methods to manage services over a service gateway
US10044582B2 (en) 2012-01-28 2018-08-07 A10 Networks, Inc. Generating secure name records
US9015798B1 (en) * 2012-02-16 2015-04-21 Google Inc. User authentication using pointing device
US9118618B2 (en) 2012-03-29 2015-08-25 A10 Networks, Inc. Hardware-based packet editor
US10021174B2 (en) 2012-09-25 2018-07-10 A10 Networks, Inc. Distributing service sessions
WO2014052099A2 (en) 2012-09-25 2014-04-03 A10 Networks, Inc. Load distribution in data networks
US9843484B2 (en) 2012-09-25 2017-12-12 A10 Networks, Inc. Graceful scaling in software driven networks
US9338225B2 (en) 2012-12-06 2016-05-10 A10 Networks, Inc. Forwarding policies on a virtual service network
US9531846B2 (en) 2013-01-23 2016-12-27 A10 Networks, Inc. Reducing buffer usage for TCP proxy session based on delayed acknowledgement
US9900252B2 (en) 2013-03-08 2018-02-20 A10 Networks, Inc. Application delivery controller and global server load balancer
US9992107B2 (en) 2013-03-15 2018-06-05 A10 Networks, Inc. Processing data packets using a policy based network path
US10038693B2 (en) 2013-05-03 2018-07-31 A10 Networks, Inc. Facilitating secure network traffic by an application delivery controller
US10230770B2 (en) 2013-12-02 2019-03-12 A10 Networks, Inc. Network proxy layer for policy-based application proxies
US9942152B2 (en) 2014-03-25 2018-04-10 A10 Networks, Inc. Forwarding data packets using a service-based forwarding policy
US9942162B2 (en) 2014-03-31 2018-04-10 A10 Networks, Inc. Active application response delay time
US9906422B2 (en) 2014-05-16 2018-02-27 A10 Networks, Inc. Distributed system to determine a server's health
US9986061B2 (en) 2014-06-03 2018-05-29 A10 Networks, Inc. Programming a data network device using user defined scripts
US9992229B2 (en) 2014-06-03 2018-06-05 A10 Networks, Inc. Programming a data network device using user defined scripts with licenses
US10129122B2 (en) 2014-06-03 2018-11-13 A10 Networks, Inc. User defined objects for network devices
JP2016063234A (ja) * 2014-09-12 2016-04-25 富士通株式会社 通信装置の通信制御方法，通信装置，通信制御システム
US10268467B2 (en) 2014-11-11 2019-04-23 A10 Networks, Inc. Policy-driven management of application traffic for providing services to cloud-based applications
US10581976B2 (en) 2015-08-12 2020-03-03 A10 Networks, Inc. Transmission control of protocol state exchange for dynamic stateful service insertion
US10243791B2 (en) 2015-08-13 2019-03-26 A10 Networks, Inc. Automated adjustment of subscriber policies

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5577209A (en) * 1991-07-11 1996-11-19 Itt Corporation Apparatus and method for providing multi-level security for communication among computers and terminals on a network
US6005939A (en) * 1996-12-06 1999-12-21 International Business Machines Corporation Method and apparatus for storing an internet user's identity and access rights to world wide web resources
US6253321B1 (en) * 1998-06-19 2001-06-26 Ssh Communications Security Ltd. Method and arrangement for implementing IPSEC policy management using filter code
US6304973B1 (en) * 1998-08-06 2001-10-16 Cryptek Secure Communications, Llc Multi-level security network system
US6438612B1 (en) * 1998-09-11 2002-08-20 Ssh Communications Security, Ltd. Method and arrangement for secure tunneling of data between virtual routers
US6330562B1 (en) * 1999-01-29 2001-12-11 International Business Machines Corporation System and method for managing security objects
US6708218B1 (en) * 2000-06-05 2004-03-16 International Business Machines Corporation IpSec performance enhancement using a hardware-based parallel process

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102008057934A1 (de) * 2008-11-19 2010-05-20 Nordex Energy Gmbh Windenergieanlage mit einer zentralen Steuerungseinrichtung und einer Steuerungseinheit im Rotor sowie Verfahren zum Betreiben einer derartigen Windenergieanlage
US8186948B2 (en) 2008-11-19 2012-05-29 Nordex Energy Gmbh Wind energy plant with a central control device and a control unit in the rotor and method for the operation of such a wind energy plant
DE102008057934B4 (de) * 2008-11-19 2014-04-30 Nordex Energy Gmbh Windenergieanlage mit einer zentralen Steuerungseinrichtung und einer Steuerungseinheit im Rotor sowie Verfahren zum Betreiben einer derartigen Windenergieanlage
DE102008057934C5 (de) * 2008-11-19 2020-09-17 Nordex Energy Gmbh Windenergieanlage mit einer zentralen Steuerungseinrichtung und einer Steuerungseinheit im Rotor sowie Verfahren zum Betreiben einer derartigen Windenergieanlage

Also Published As

Publication number Publication date
US20010042201A1 (en) 2001-11-15
DE60121101D1 (de) 2006-08-10
DE60121483D1 (de) 2006-08-24
EP1170927A2 (de) 2002-01-09
EP1170927B1 (de) 2006-06-28
JP2001298449A (ja) 2001-10-26
DE60121101T2 (de) 2006-12-07
EP1170927A3 (de) 2002-12-18
KR20010098513A (ko) 2001-11-08
EP1418728B1 (de) 2006-07-12
CN1317899A (zh) 2001-10-17
EP1418728A1 (de) 2004-05-12

Similar Documents

Publication Publication Date Title
DE60121483T2 (de) Sicherheitkommunikationsverfahren, System und Vorrichtung welche erlauben den Sicherheitstyp zu wechseln
DE10052312B4 (de) Automatische Sperre gegen unberechtigten Zugriff im Internet (Snoop Avoider) für virtuelle private Netze
DE69932003T2 (de) System und Verfahren zur Kontrolle einer Netzwerkverbindung
DE60130203T2 (de) Verfahren und sytem zur verwaltung von virtuellen addresen für virtuelle netze
DE19741246C2 (de) Vorrichtung und Verfahren zur Erhöhung der Sicherheit in Netzwerken
DE60019997T2 (de) Ggesicherte Kommunikation mit mobilen Rechnern
DE60200451T2 (de) Herstellung einer gesicherten Verbindung mit einem privaten Unternehmensnetz über ein öffentliches Netz
DE19741239C2 (de) Verallgemeinertes Sicherheitspolitik-Management-System und Verfahren
DE60212289T2 (de) Verwaltung privater virtueller Netze (VPN)
DE60130042T2 (de) Verteilte server-funktionalität für ein emuliertes lan
DE602004012870T2 (de) Verfahren und system zur benutzerauthentifizierung in einer benutzer-anbieterumgebung
DE602004002401T2 (de) Verfahren und vorrichtung zur erweiterung der netzwerksicherheit in einem verteilten dateisystem
DE19740547B4 (de) Vorrichtung und Verfahren zum Sicherstellen sicherer Kommunikation zwischen einer anfordernden Entität und einer bedienenden Entität
DE60226014T2 (de) Tragbares gerät zum sichern des paketenverkehrs in einem wirtsystem
DE602004010703T2 (de) Eine persistente und zuverlässige sitzung, die neztwerkkomponenten unter verwendung eines verkapselungsprotokolls sicher durchläuft
DE69731965T2 (de) Zugriff auf rechnerbetriebsmittel von aussen durch eine firewall
DE69838443T2 (de) Verteiltes Netzwerkrechnersystem
DE60117064T2 (de) Home-Gateway mit einem Datensicherungsdienst
DE60116610T2 (de) Netzwerkadressenübersetzungsgateway für lokale netzwerke unter verwendung lokaler ip-adressen und nicht übersetzbarer portadressen
DE60133241T2 (de) Mehranwendung-sicherheitsrelais
DE69918026T2 (de) Gesicherte "keep alive" Nachricht über das Internet
DE10052311A1 (de) Manuelles Verhindern des unerlaubten Mithörens in einem virtuellen privaten Netzwerk über das Internet
DE10393526T5 (de) System und Verfahren für IEEE 802.1X Benutzerauthentifizierung in einem Netzzutrittsgerät
DE202012013482U1 (de) Verteilung von Zugriffsinformationen auf Overlay-Netzwerken
DE10008519C1 (de) Verfahren und Kommunikationseinrichtungen zum Aufbau von gesicherten E-Mail-Verkehr zwischen Mail-Domains des Internet

Legal Events

Date Code Title Description
8364 No opposition during term of opposition
8327 Change in the person/name/address of the patent owner

Owner name: PANASONIC CORP., KADOMA, OSAKA, JP

8339 Ceased/non-payment of the annual fee