JP2005051458A - 通信ネットワークシステム及びそのセキュリティ自動設定方法 - Google Patents

Abstract

【課題】 モバイルノードが接続されるサブネットワークに応じてそのセキュリティ方法を自動設定する。
【解決手段】 複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノード２０を取り扱う通信ネットワークシステムにおいて、サブネットワークとセキュリティ方法との対応関係を保持するセキュリティ適用管理テーブル２４、１１を備え、モバイルノード２０の接続するサブネットワークが変わった時、モバイルノード２０とそのホームエージェント１０との間でやりとりされるユーザデータのセキュリティを確保する方法を、セキュリティ適用管理テーブル２４、１１に基づいて自動設定する。
【選択図】 図１

Description

本発明は、不正行為を防止するセキュリティ対策が施された通信ネットワークシステム及びセキュリティ自動設定方法に関する。

不正行為を防止するセキュリティ対策が施された通信ネットワークシステムの一例が特許文献１に記載されている。この従来技術では、伝送路に接続されるネットワーク回線制御装置と計算機の間に、暗号化指定テーブルを参照し送信先別に暗号化の要否を判定する送信先識別部と、暗号化方法を外部記憶装置から読み込み送信データの暗号化を行うデータ暗号化部と、外部記憶装置から解読方法を読み込み暗号化されたデータを解読する暗号化データ解読部と、受信データの送信元を識別し暗号化指定テーブルを参照して暗号解読の要否を判定する送信元識別部と、暗号化方法の登録および変更を行うための暗号化方法制御部とを備え、指定した任意の計算機間で転送データの暗号化が行え、かつ、その暗号化方法の変更も容易に行えるようにしている。

不正行為を防止するセキュリティ対策が施された通信ネットワークシステムの他の例が特許文献２に記載されている。この従来技術では、ネットワーク上で送信側サーバおよび受信側サーバを経由してノード対間で電子メールの送受信を行う際、送信側サーバは送信側ノードから送信された電子メールデータを所定の暗号化方式に従って暗号化して転送する暗号化手段を有し、受信側サーバは受信した暗号化データを復号して受信側ノードに転送する復号化手段を有し、前記所定の暗号化方式をノード対のそれぞれについて個別に設定でき且つ任意に変更できるようにしている。

不正行為を防止するセキュリティ対策が施された通信ネットワークシステムの別の例に、ＩＰｖ６プロトコルに準拠したネットワークシステムがある。ＩＰｖ６では、暗号化、認証などのセキュリティ機能がプロトコル自体に組み込まれており、ＩＰｖ４の弱点であったセキュリティ面が強化されている。ＩＰｖ６で用いられるセキュリティ機能は、ＩＰ Ｓｅｃｕｒｉｔｙ（Ｉｎｔｅｒｎｅｔ Ｓｅｃｕｒｉｔｙ）と呼ばれ、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｅｄ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）による暗号化、ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ）による認証などの機能が含まれる。これらＥＳＰ、ＡＨによる暗号化と認証は、実装によって用意されたものの中から利用者が選択できるようになっている。ＥＳＰで利用可能な暗号化アルゴリズムはＤＥＳ、３ＤＥＳ、ＡＥＳ、ＲＣ５、ＩＤＥＡなどがある。ＥＳＰで暗号化を利用しない場合は、ＮＵＬＬ暗号化アルゴリズムを選択する。ＡＨもＥＳＰも認証アルゴリズムには、ＭＤ５とＳＨＡ１があり、利用者が選択して利用する。利用する暗号化アルゴリズムや認証アルゴリズムを変更するためには、手動による設定変更が必要である。
特開平４−２７４６３６号公報 特開２０００−３１９５７号公報

暗号化や認証といったセキュリティ機能は、第三者による盗聴や改ざんなどの不正行為を防止する技術であるため、そもそもそのような不正行為の心配がない信頼できるネットワーク（例えば同一企業内ネットワークなど）だけを利用する通信には必要でなく、利用すると通信効率が低下するなど悪影響がでる。他方、インターネットなど誰でも自由にアクセスできる公開されたネットワークを経由する通信の場合、セキュリティ機能は必須である。従来の通信ネットワークシステムでは、送信先別に暗号化や認証の要否を制御することは可能であったが、同じ通信相手であってもそれが接続されるサブネットワークに応じて暗号化や認証の要否を制御することはできなかった。このため、携帯情報端末など頻繁に動き回って接続サブネットワークが変わるモバイルノード（移動端末）を扱うＩＰｖ６プロトコルの通信ネットワークシステムにおいて、モバイルノードが接続されるサブネットワークに応じてそのセキュリティ方法を自動設定する技術が望まれている。

本発明の目的は、モバイルノードが接続されるサブネットワークに応じてそのセキュリティ方法を自動設定することができる通信ネットワークシステム及びそのセキュリティ自動設定方法を提供することにある。

本発明の第１の通信ネットワークシステムは、複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおいて、サブネットワークとセキュリティ方法との対応関係を保持するセキュリティ適用管理テーブルを備え、前記モバイルノードの接続するサブネットワークが変わった時、前記モバイルノードとそのホームエージェントとの間でやりとりされるユーザデータのセキュリティを確保する方法を前記セキュリティ適用管理テーブルに基づいて自動設定する。

本発明の第２の通信ネットワークシステムは、複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおいて、前記モバイルノードは、サブネットワークとセキュリティ方法との対応関係を保持するノード側セキュリティ適用管理テーブルと、前記ノード側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自ノードのホームエージェントとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定するノード側セキュリティ制御手段と、自ノードが接続するサブネットワークを検出して前記ノード側セキュリティ制御手段に通知するとともにモバイルノードネットワーク信号にて前記ホームエージェントに通知するネットワーク検出手段とを備え、前記ホームエージェントは、自エージェントが管理する前記モバイルノードが接続されるサブネットワークとセキュリティ方法との対応関係を保持するエージェント側セキュリティ適用管理テーブルと、前記エージェント側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自エージェントが管理する前記モバイルノードとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定するエージェント側セキュリティ制御手段と、前記モバイルノードの前記ネットワーク検出手段から通知された前記モバイルノードネットワーク信号を受信して前記エージェント側セキュリティ制御手段に通知するモバイルノードネットワーク信号受信手段とを備えている。

本発明の第３の通信ネットワークシステムは、複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおいて、前記モバイルノードは、サブネットワークとセキュリティ方法との対応関係を保持するノード側セキュリティ適用管理テーブルと、前記ノード側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自ノードのホームエージェントとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定するノード側セキュリティ制御手段と、自ノードが接続するサブネットワークを検出して前記ノード側セキュリティ制御手段に通知するとともに、前記ノード側セキュリティ制御手段で決定されたセキュリティ方法をモバイルノードネットワーク信号にて前記ホームエージェントに通知するネットワーク検出手段とを備え、前記ホームエージェントは、前記モバイルノードの前記ネットワーク検出手段から通知された前記モバイルノードネットワーク信号を受信するモバイルノードネットワーク信号受信手段と、前記モバイルノードネットワーク信号受信手段で受信された前記モバイルノードネットワーク信号に基づいて自エージェントが管理する前記モバイルノードとの間でやりとりするユーザデータのセキュリティ方法を決定するエージェント側セキュリティ制御手段とを備えている。

本発明の第１の通信ネットワークシステムにおけるセキュリティ自動設定方法は、複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおけるセキュリティ自動設定方法であって、前記モバイルノードの接続するサブネットワークが変わった時、前記モバイルノードとそのホームエージェントとの間でやりとりされるユーザデータのセキュリティを確保する方法を、サブネットワークとセキュリティ方法との対応関係を保持するセキュリティ適用管理テーブルに基づいて自動設定する。

本発明の第２の通信ネットワークシステムにおけるセキュリティ自動設定方法は、複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおけるセキュリティ自動設定方法であって、前記モバイルノードが、自ノードの接続するサブネットワークを検出し、サブネットワークとセキュリティ方法との対応関係を保持するノード側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自ノードのホームエージェントとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定するとともに、自ノードが接続するサブネットワークをモバイルノードネットワーク信号にて前記ホームエージェントに通知する段階、前記ホームエージェントが、前記モバイルノードから通知された前記モバイルノードネットワーク信号に基づいて、自エージェントが管理する前記モバイルノードが接続されるサブネットワークとセキュリティ方法との対応関係を保持するエージェント側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自エージェントが管理する前記モバイルノードとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定する段階、を含んでいる。

本発明の第３の通信ネットワークシステムにおけるセキュリティ自動設定方法は、複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおけるセキュリティ自動設定方法であって、前記モバイルノードが、自ノードの接続するサブネットワークを検出し、サブネットワークとセキュリティ方法との対応関係を保持するノード側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自ノードのホームエージェントとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定するとともに、前記決定したセキュリティ方法をモバイルノードネットワーク信号にて前記ホームエージェントに通知する段階、前記ホームエージェントが、前記モバイルノードから受信した前記モバイルノードネットワーク信号に基づいて自エージェントが管理する前記モバイルノードとの間でやりとりするユーザデータのセキュリティ方法を決定する段階、を含んでいる。

このように本発明にあっては、モバイルノードの接続するサブネットワークに応じて、モバイルノードとそのホームエージェントとの間でやりとりされるユーザデータのセキュリティを確保する方法を自動的に切り替えることができる。

図１を参照すると、本発明の第１の実施の形態にかかる通信ネットワークシステムは、モバイルノード２０とそのホームエージェント１０とがＩＰネットワーク３０を通じて相互に接続されている。

モバイルノード２０とそのホームエージェント１０とを接続するＩＰネットワーク３０は、モバイルノード２０の移動に応じて変化する。例えば、モバイルノード２０がホームリンクに接続されている場合、ＩＰネットワーク３０はホームリンクに対応する。また、モバイルノード２０が或るフォリンリンクに移動した場合、ＩＰネットワーク３０は、ホームリンクとそのフォリンリンクとの間に介在するインターネット等の１つあるいは複数のネットワークに対応する。

モバイルノード２０は、ＩＰネットワーク３０と物理的に接続するインタフェース２１を有している。ネットワーク検出部２２は、インタフェース２１によって接続された自モバイルノードが接続されているネットワークを検出し、その情報をセキュリティ制御部２３に通知するとともに、インタフェース２１を通じてホームエージェント１０のモバイルノードネットワーク信号受信部１２へモバイルノードネットワーク通知信号として送出する。モバイルノードネットワーク通知信号は、それ専用の信号を新たに定義してもよいし、モバイルノードが新たなネットワークに移動したことをホームエージェントに通知するためのメッセージ信号である、モバイルＩＰｖ６標準のBinding Update信号を用いてもよい。セキュリティ制御部２３は、受け取ったネットワーク情報と予め作成されているセキュリティ適用管理テーブル２４を照らし合わせることにより、ホームエージェント１０とのセキュリティ方法を決定する。

ホームエージェント１０はモバイルノード２０のホームエージェントであり、ＩＰネットワーク３０と物理的に接続するインタフェース１１を有している。モバイルノード２０から送出された前記モバイルノードネットワーク通知信号は、モバイルノードネットワーク信号受信部１２にて受信され、セキュリティ制御部１３へ送出される。セキュリティ制御部１３は、受け取ったその情報と予め作成されているセキュリティ適用管理テーブル１４を照らし合わせることにより、モバイルノード２０とのセキュリティ方法を決定する。

次に、図１のモバイルノード２０の動作を説明する。

図２を参照すると、モバイルノード２０は、新たなネットワークに移動すると、ネットワーク検出部２２において自モバイルノードが接続されているネットワークのネットワークアドレスを識別し（ステップ(1)）、その情報を自ノード２０のセキュリティ制御部２３へ送出するとともに（ステップ(2)）、モバイルノードネットワーク通知信号によってホームエージェント１０のモバイルノードネットワーク信号受信部１２へ送出する（ステップ(3)）。セキュリティ制御部２３は、そのネットワークアドレスでセキュリティ適用管理テーブル２４を検索し（ステップ(4)）、ホームエージェント１０とのユーザデータの通信に使用するセキュリティ方法を決定する（ステップ(5)）。つまり、暗号化を行うか否か、認証を行うか否か、暗号化を行う場合にどのような方法を用いるのか、認証を行う場合にどのような方法を用いるのかを決定する。

図３はセキュリティ適用管理テーブル２４の一例である。このセキュリティ適用管理テーブル２４の場合、モバイルノード２０がネットワークアドレスＡのネットワークに属していた場合、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｎｇ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ、ＲＦＣ２４０６参照）と呼ばれるＩＰパケットの暗号化を行う暗号化方式を用いて通信を行う。同様にネットワークアドレスＢのネットワークに属していた場合には、ＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ、ＲＦＣ２４０２参照）と呼ばれるパケット内のデータの改ざんを防止するための認証方式を用いて通信を行う。ネットワークアドレスＣのネットワークであった場合には、暗号化および認証を行わずに平文で通信を行う。なお、ＥＳＰで利用する暗号化アルゴリズムや、ＡＨで使用する認証アルゴリズムは予め定まっているものとする。

次に、ホームエージェント１０の動作を説明する。

図２を参照すると、ホームエージェント１０は、モバイルノード２０からのモバイルノードネットワーク通知信号をモバイルノードネットワーク信号受信部１２で受信すると（ステップ(3)）、そのモバイルノードネットワーク通知信号で通知されたモバイルノード２０が属するネットワークのネットワークアドレスをセキュリティ制御部１３へ送出する（ステップ(6)）。セキュリティ制御部１３は、モバイルノード２０のネットワークアドレスでセキュリティ適用管理テーブル１４を検索し（ステップ(7)）、モバイルノード２０とのユーザデータの通信に使用するセキュリティ方法を決定する（ステップ(8)）。つまり、暗号化を行うか否か、認証を行うか否か、暗号化を行う場合にどのような方法を用いるのか、認証を行う場合にどのような方法を用いるのかを決定する。ここで、ホームエージェント１０のセキュリティ適用管理テーブル１４とモバイルノード２０のセキュリティ適用管理テーブル２４とは同じ内容に設定されているため、セキュリティ制御部１３が決定するセキュリティ方法は、モバイルノード２０のセキュリティ制御部２３が決定したセキュリティ方法と同じになる。

以上説明したように、本実施の形態においては、以下に記載するような効果を奏する。

第１の効果は、モバイルノードの接続するネットワークに応じてセキュリティ設定、解除が自動的に行われ、必要のない暗号化通信等がなくなるため、ネットワークリソースの有効活用を図ることができるということである。

第２の効果は、手動でのセキュリティ設定が必要ないので、手間が省けるということである。

第３の効果は、手動でのセキュリティ設定が必要ないので、一回設定すれば設定ミスが発生しないということである。

第４の効果は、自動化によりすばやくセキュリティ設定の変更が行えるので、セキュリティ方式の変更を伴うようなネットワーク間の移動時も動作中のアプリケーションソフトが途切れることがないということである。

「発明の第２の実施の形態」
本発明の第２の実施の形態は、その基本的構成は第１の実施の形態とほぼ同じであるが、ホームエージェント１０でのセキュリティ設定についてさらに工夫している。その構成を図４に示す。図４を参照すると、本実施の形態におけるホームエージェント１０は、図１におけるホームエージェント１０と異なり、セキュリティ適用管理テーブル１４は有していない。この構成のときのシーケンスを図５に示す。この場合、モバイルノード２０が新たなネットワークに移動すると、ネットワーク検出部２２において自モバイルノードが接続されているネットワークアドレスを識別し（ステップ(11)）、その情報をセキュリティ制御部２３へ送出する（ステップ(12)）。セキュリティ制御部２３は、そのネットワークアドレスでセキュリティ適用管理テーブル２４を検索し（ステップ(13)）、ホームエージェント１０とのユーザデータの通信に使用するセキュリティ方法を決定する（ステップ(14)）。つまり、暗号化を行うか否か、認証を行うか否か、暗号化を行う場合にどのような方法を用いるのか、認証を行う場合にどのような方法を用いるのかを決定する。

次にセキュリティ制御部２３は、決定したセキュリティ方法に関する情報をネットワーク検出部２２へ通知する（ステップ(15)）。ネットワーク検出部２２は、通知されたセキュリティ方法に関する情報をモバイルノードネットワーク通知信号としてホームエージェント１０のモバイルノードネットワーク信号受信部１２へ送出する（ステップ(16)。モバイルノードネットワーク通知信号はどのようなセキュリティ方法を用いるかという情報も一緒に付加することが先の実施の形態と相違する。モバイルノードネットワーク信号受信部１２で受信されたモバイルノードネットワーク通知信号は、セキュリティ制御部１３へ送出される（ステップ(17)）。前述のとおりモバイルノードネットワーク信号にはセキュリティ方法の情報が入っているので、セキュリティ制御部１３は、このモバイルノードネットワーク信号に基づき、モバイルノード２０とのユーザデータの通信に使用するセキュリティ方法を決定する（ステップ(18)）。

このように、本実施の形態では、セキュリティ適用管理テーブルを一元化しているので、ホームエージェント１０にセキュリティ適用管理テーブルの設定が必要なく、またホームエージェント１０とモバイルノード２０にそれぞれ保持されているセキュリティ適用管理テーブルの設定ミスによる通信不能を防ぐという効果が得られる。

図６を参照すると、本発明の一実施例にかかる通信ネットワークシステムは、モバイルＩＰｖ６プロトコルのネットワークをベースに改良を加えたものであり、インターネット等のＩＰコアネットワーク１００を通じて企業内ネットワーク１０１と他のネットワーク１０２が相互に接続されており、企業内ネットワーク１０１はルータ１０７を通じて他の企業内ネットワーク１０６にも接続されている。企業内ネットワーク１０１には、モバイルノード１０３とそのホームエージェント１０４およびモバイルノード１０３の通信相手１０５が接続されている。つまり、モバイルノード１０３にとって、企業内ネットワーク１０１はホームリンク、ネットワーク１０２、１０６はフォリンリンクであり、図６の状態はモバイルノード１０３がホームリンクに接続されている状態を示す。ここで、企業内ネットワーク１０１および企業内ネットワーク１０６は安全なネットワーク、つまり盗聴や改ざんの危険性のないネットワーク、ＩＰネットワーク１００およびネットワーク１０２は安全でないネットワークとする。

モバイルノード１０３が、図６の破線１０３−１に示すようにホームリンクである企業内ネットワーク１０１からフォリンリンクであるネットワーク１０２へ移動したとき、ネットワーク検出部２２はルータ広告からフォリンリンクに移動したことを認識し、新たな気付アドレスを獲得する。今、モバイルノード１０３が新たに獲得した気付アドレスをＸ：ａとする。ここで、Ｘ：ａは１２８ビット長のＩＰｖ６のアドレスを示し、Ｘはネットワーク１０２のネットワークプリフェックス、ａはモバイルノード１０３のインタフェースＩＤを示す。セキュリティ適用管理テーブル２４に、Ｘに対応して、例えば「暗号化あり（ＥＳＰ）」なるセキュリティ方法が設定されているものとすると、セキュリティ制御部２３は、ホームエージェント１０４との間のセキュリティ方法をＥＳＰを使って暗号化する方法に決定する。

他方、モバイルノード１０３からホームエージェント１０４に対し、第１の実施の形態の場合は、Binding Update信号によって、モバイルノード１０３が新たに接続したネットワーク１０２で得た気付アドレスＸ：ａが通知され、第２の実施の形態の場合は、Binding Update信号によって、モバイルノード１０３が新たに接続したネットワーク１０２で得た気付アドレスＸ：ａと前記決定したセキュリティ方法とが通知される。ホームエージェント１０４は、受信した気付アドレスＸ：ａをモバイルノード１０３のホームアドレスに対応付けて内部のバインディングキャッシュに登録し、更に第１の実施の形態の場合にはセキュリティ適用管理テーブル１４を参照してモバイルノード１０３側と同じセキュリティ方法（ＥＳＰを使って暗号化する方法）をモバイルノード１０３との間のセキュリティ方法として決定し、第２の実施の形態の場合には、モバイルノード１０３から通知されたセキュリティ方法（ＥＳＰ）をモバイルノード１０３との間のセキュリティ方法として決定する。

モバイルノード１０３がネットワーク１０２に接続されているときに、通信相手１０５がモバイルノード１０３へパケットを送信したとする。通信相手１０５の上位プロトコルやアプリケーションはモバイルノード１０３のアドレスとしてホームアドレスを利用する。通信相手１０５のＩＰ層は、モバイルノード１０３のホームアドレスが受信先として指定されたパケットを上位層から受け取ると、通信相手１０５内のバインディングキャッシュにそのホームアドレスに対応する気付アドレスが存在しない場合、ホームアドレスを受信先に指定したままにしてパケットを送信する。このパケットはホームエージェント１０４により捕獲され、ホームエージェント１０４内のバインディングキャッシュに登録されているモバイルノード１０３の気付アドレスＸ：ａに基づいて、発信元アドレスがホームエージェント１０４のアドレス、受信先がモバイルノード１０３の気付アドレスＸ：ａであるようなＩＰｖ６ヘッダ（トンネル用ヘッダ）を、捕獲したパケットの先頭に付加して送出する。このとき、前記決定されたセキュリティ方法に従い、ＥＰＳによってパケット全体を暗号化して送出する。トンネリングされてきたパケットはトンネル用ヘッダを除去した後、通常のＩＰｖ６パケットとして処理される。このとき、モバイルノード１０３は前記決定したセキュリティ方法に従い、暗号化されたパケットを復号化する。

このようにモバイルノード１０３が安全でないネットワーク１０２に移動している状態において、通信相手１０５から出力されたモバイルノード１０３宛のパケットは、企業内ネットワーク１０１を通じてホームエージェント１０４で捕獲され、ここで予め定められたセキュリティ方法に従って暗号化されて、ＩＰネットワーク１００およびネットワーク１０２経由でモバイルノード１０３に届けられるため、パケットデータのセキュリティを確保することが可能となる。

なお、ＩＰｖ６プロトコルでは、モバイルノード１０３は、通信相手１０５にバインディング更新オプションを送信して、通信相手１０５のバインディングキャッシュにモバイルノード１０３のホームアドレスと気付アドレスＸ：ａのペアを登録させることができ、通信相手１０５は、以降、その気付アドレスを使ってモバイルノード１０３に直接パケットを送信することができるようになっている。このとき、モバイルノード１０３が、バインディング更新オプションで前記決定したセキュリティ方法をあわせて通知し、通信相手１０５が通知されたセキュリティ方法を使って暗号化を行うようにすることにより、ホームエージェント１０４が介在しない以降の通信時にもセキュリティの確保が可能となる。

次に、モバイルノード１０３が、図６の破線１０３−２に示すようにホームリンクである企業内ネットワーク１０１に接続された別の企業内ネットワーク１０６へ移動したものとする。このとき、ネットワーク検出部２２はルータ広告からネットワーク１０６に移動したことを認識し、新たな気付アドレスを獲得する。今、モバイルノード１０３が新たに獲得した気付アドレスをＹ：ａとする。ここで、Ｙ：ａは１２８ビット長のＩＰｖ６のアドレスを示し、Ｙはネットワーク１０６のネットワークプリフェックス、ａはモバイルノード１０３のインタフェースＩＤを示す。セキュリティ適用管理テーブル２４に、Ｙに対応して、例えば「暗号化および認証なし」なるセキュリティ方法が設定されているものとすると、セキュリティ制御部２３は、ホームエージェント１０４との間のセキュリティ方法を暗号化および認証を行わない方法に決定する。

他方、モバイルノード１０３からホームエージェント１０４に対し、第１の実施の形態の場合は、Binding Update信号によって、モバイルノード１０３が新たに接続したネットワーク１０６で得た気付アドレスＹ：ａが通知され、第２の実施の形態の場合は、Binding Update信号によって、モバイルノード１０３が新たに接続したネットワーク１０６で得た気付アドレスＹ：ａと前記決定したセキュリティ方法とが通知される。ホームエージェント１０４は、受信した気付アドレスＹ：ａをモバイルノード１０３のホームアドレスに対応付けて内部のバインディングキャッシュに登録し、更に第１の実施の形態の場合にはセキュリティ適用管理テーブル１４を参照してモバイルノード１０３側と同じセキュリティ方法（暗号化および認証を行わない方法）をモバイルノード１０３との間のセキュリティ方法として決定し、第２の実施の形態の場合には、モバイルノード１０３から通知されたセキュリティ方法（暗号化および認証を行わない方法）をモバイルノード１０３との間のセキュリティ方法として決定する。

モバイルノード１０３がネットワーク１０６に接続されているときに、モバイルノード１０３のホームアドレスを受信先に指定したパケットを通信相手１０５が送信すると、そのパケットはホームエージェント１０４により捕獲され、ホームエージェント１０４内のバインディングキャッシュに登録されているモバイルノード１０３の気付アドレスＹ：ａに基づいて、発信元アドレスがホームエージェント１０４のアドレス、受信先がモバイルノード１０３の気付アドレスＹ：ａであるようなＩＰｖ６ヘッダ（トンネル用ヘッダ）を、捕獲したパケットの先頭に付加して送出する。このとき、前記決定されたセキュリティ方法に従い、パケットの暗号化および認証は行われない。トンネリングされてきたパケットはトンネル用ヘッダを除去した後、通常のＩＰｖ６パケットとして処理される。このとき、モバイルノード１０３は前記決定したセキュリティ方法に従い、復号化および認証は行わない。

このようにモバイルノード１０３が安全なネットワーク１０６に移動している状態において、通信相手１０５から出力されたモバイルノード１０３宛のパケットは、企業内ネットワーク１０１を通じてホームエージェント１０４で捕獲され、ここで予め定められたセキュリティ方法に従って暗号化および認証が実施されず、ＩＰネットワーク１００およびネットワーク１０６経由でモバイルノード１０３に届けられる。

次に、モバイルノード１０３がホームリンクである企業内ネットワーク１０１に戻ってくると、ネットワーク検出部２２はルータ広告からホームリンクに戻ったことを認識する。モバイルノード１０３がホームリンクに戻ってきた場合、Binding Update信号でその旨をホームエージェント１０４に通知し、さらに、自身のホームアドレス宛のパケットを自分で受信できるように、非要請近隣広告をホームリンクであるネットワーク１０１の全ノードにマルチキャストする。Binding Update信号を受信したホームエージェント１０４は、自身が保有するバインディングキャッシュを更新してモバイルノード１０３がホームリンクに居ることを登録し、モバイルノード１０３のパケットの捕獲および転送サービスを中止する。従って、通信相手１０５からモバイルノード１０３宛に送信されたパケットはモバイルノード１０２で直接受信される。

このようにモバイルノード１０３がホームリンクに居る場合、通信相手１０５から出力されたモバイルノード１０３宛のパケットは、ホームエージェント１０４を経由することなくモバイルノード１０３に届けられる。従って、ホームエージェント１０４が介在することによる暗号化、認証は行えないが、企業内ネットワーク１０１だけを経由してモバイルノード１０３に届けられるためパケットデータのセキュリティは確保されており、問題は生じない。

本発明の第１の実施の形態にかかる通信ネットワークシステムのブロック図である。 本発明の第１の実施の形態の動作例を示すシーケンスチャートである。 セキュリティ適用管理テーブルの一例を示す図である。 本発明の第２の実施の形態にかかる通信ネットワークシステムのブロック図である。 本発明の第２の実施の形態の動作例を示すシーケンスチャートである。 本発明の実施例にかかる通信ネットワークシステムのブロック図である。

符号の説明

１０…ホームエージェント
１１…インタフェース
１２…モバイルノードネットワーク信号受信部
１３…セキュリティ制御部
１４…セキュリティ適用管理テーブル
２０…モバイルノード
２１…インタフェース
２２…ネットワーク検出部
２３…セキュリティ制御部
２４…セキュリティ適用管理テーブル
３０…ＩＰネットワーク
１００…ＩＰネットワーク
１０１…企業内ネットワーク
１０２…ネットワーク
１０３、１０３−１、１０３−２…モバイルノード
１０４…ホームエージェント
１０５…通信相手
１０６…企業内ネットワーク
１０７…ルータ

Claims (6)

1. 複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおいて、サブネットワークとセキュリティ方法との対応関係を保持するセキュリティ適用管理テーブルを備え、前記モバイルノードの接続するサブネットワークが変わった時、前記モバイルノードとそのホームエージェントとの間でやりとりされるユーザデータのセキュリティを確保する方法を前記セキュリティ適用管理テーブルに基づいて自動設定する通信ネットワークシステム。
2. 複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおいて、
   前記モバイルノードは、サブネットワークとセキュリティ方法との対応関係を保持するノード側セキュリティ適用管理テーブルと、前記ノード側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自ノードのホームエージェントとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定するノード側セキュリティ制御手段と、自ノードが接続するサブネットワークを検出して前記ノード側セキュリティ制御手段に通知するとともにモバイルノードネットワーク信号にて前記ホームエージェントに通知するネットワーク検出手段とを備え、
   前記ホームエージェントは、自エージェントが管理する前記モバイルノードが接続されるサブネットワークとセキュリティ方法との対応関係を保持するエージェント側セキュリティ適用管理テーブルと、前記エージェント側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自エージェントが管理する前記モバイルノードとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定するエージェント側セキュリティ制御手段と、前記モバイルノードの前記ネットワーク検出手段から通知された前記モバイルノードネットワーク信号を受信して前記エージェント側セキュリティ制御手段に通知するモバイルノードネットワーク信号受信手段とを備える、
   ことを特徴とする通信ネットワークシステム。
3. 複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおいて、
   前記モバイルノードは、サブネットワークとセキュリティ方法との対応関係を保持するノード側セキュリティ適用管理テーブルと、前記ノード側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自ノードのホームエージェントとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定するノード側セキュリティ制御手段と、自ノードが接続するサブネットワークを検出して前記ノード側セキュリティ制御手段に通知するとともに、前記ノード側セキュリティ制御手段で決定されたセキュリティ方法をモバイルノードネットワーク信号にて前記ホームエージェントに通知するネットワーク検出手段とを備え、
   前記ホームエージェントは、前記モバイルノードの前記ネットワーク検出手段から通知された前記モバイルノードネットワーク信号を受信するモバイルノードネットワーク信号受信手段と、前記モバイルノードネットワーク信号受信手段で受信された前記モバイルノードネットワーク信号に基づいて自エージェントが管理する前記モバイルノードとの間でやりとりするユーザデータのセキュリティ方法を決定するエージェント側セキュリティ制御手段とを備える、
   ことを特徴とする通信ネットワークシステム。
4. 複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおけるセキュリティ自動設定方法であって、前記モバイルノードの接続するサブネットワークが変わった時、前記モバイルノードとそのホームエージェントとの間でやりとりされるユーザデータのセキュリティを確保する方法を、サブネットワークとセキュリティ方法との対応関係を保持するセキュリティ適用管理テーブルに基づいて自動設定する通信ネットワークシステムにおけるセキュリティ自動設定方法。
5. 複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおけるセキュリティ自動設定方法であって、
   前記モバイルノードが、自ノードの接続するサブネットワークを検出し、サブネットワークとセキュリティ方法との対応関係を保持するノード側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自ノードのホームエージェントとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定するとともに、自ノードが接続するサブネットワークをモバイルノードネットワーク信号にて前記ホームエージェントに通知する段階、
   前記ホームエージェントが、前記モバイルノードから通知された前記モバイルノードネットワーク信号に基づいて、自エージェントが管理する前記モバイルノードが接続されるサブネットワークとセキュリティ方法との対応関係を保持するエージェント側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自エージェントが管理する前記モバイルノードとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定する段階、
   を含むことを特徴とする通信ネットワークシステムにおけるセキュリティ自動設定方法。
6. 複数の相互に接続されたサブネットワークを備え、現在接続しているサブネットワークに依存する気付アドレスと依存しないホームアドレスとを有するモバイルノードを取り扱う通信ネットワークシステムにおけるセキュリティ自動設定方法であって、
   前記モバイルノードが、自ノードの接続するサブネットワークを検出し、サブネットワークとセキュリティ方法との対応関係を保持するノード側セキュリティ適用管理テーブルに保持されたセキュリティ方法のうちから自ノードのホームエージェントとの間でやりとりするユーザデータのセキュリティを確保するために用いるセキュリティ方法を決定するとともに、前記決定したセキュリティ方法をモバイルノードネットワーク信号にて前記ホームエージェントに通知する段階、
   前記ホームエージェントが、前記モバイルノードから受信した前記モバイルノードネットワーク信号に基づいて自エージェントが管理する前記モバイルノードとの間でやりとりするユーザデータのセキュリティ方法を決定する段階、
   を含むことを特徴とする通信ネットワークシステムにおけるセキュリティ自動設定方法。

Images