JP2008017055A - ゲートウェイサーバ - Google Patents

Abstract

【課題】共用ホスティングサーバ上に開設されたＷＥＢサイトがグローバルＩＰアドレスを与えられていない場合でも、当該ＷＥＢサイトが独自のドメインネームでＳＳＬ暗号化通信を行なうことができるゲートウェイサーバを提案すること。
【解決手段】ＳＳＬゲートウェイサーバ１には、グローバルＩＰアドレスが付与された通信カード６を備えている。通信カード６はＣＡ署名付き電子証明書が実装されているとともに、ＳＳＬ暗号化通信を行なう際に使用される秘密鍵を備えている。ユーザ３のＷＥＢブラウザ４から共用ホスティングサーバ２上のＷＥＢサイト５に対してＳＳＬ暗号化通信の要求があると、通信カード６がＷＥＢサイト５をプロシキして、ＷＥＢブラウザ４との間でＳＳＬ暗号化通信を行なう。また、ＳＳＬゲートウェイサーバ１がその通信を中継して、共用ホスティングサーバ２との間でＳＳＬ暗号化通信を行なう。
【選択図】 図１

Description

本発明は、共用ホスティングサーバ上に開設されたＷＥＢサイトにＳＳＬ暗号化通信を提供するゲートウェイサーバに関する。

インターネットを利用してユーザのＷＥＢブラウザとＷＥＢサイトとの間で個人情報や口座番号などの大切なデータの送受信を行なう場合には、なりすましや改ざんなどを防止するためにＳＳＬ（Secure Socket Layer）暗号化通信が利用される。ＳＳＬ暗号化通信では、ＷＥＢブラウザとＷＥＢサイトとの間で暗号鍵の交換を行なって暗号化通信のセッションを確立し、しかる後に暗号化通信を行なう。

暗号化通信のセッションを確立するために、ＷＥＢサイトは認証局（ＣＡ）で発行された署名付き電子証明書をユーザのＷＥＢブラウザに送信する。ＷＥＢブラウザでは受信した電子証明書を検証した上でＷＥＢサイトの公開鍵を取得して、暗号化通信のセッションを確立するための共通鍵を生成するためのデータを公開鍵で暗号化して送信する。ＷＥＢサイトは、このデータを自己の秘密鍵で復元することによって、暗号化通信のセッションを確立する（特許文献１参照）。

ここで、ＷＥＢサイトがＣＡ署名付き電子証明書を実装して秘密鍵を備えるためには、１ドメインに対して１個のグローバルＩＰアドレスを取得していることが必要になる。ＳＳＬ暗号化通信では、電子証明書を使用して接続するＷＥＢサイトが適切なサイトか否かを判断する処理が、ＷＥＢブラウザとＷＥＢサイトとの間で行なわれるＨＴＴＰ（Hyper Text Transfer Protocol）通信に先立って行なわれるからである。
特開２００３−３１８８８９

しかし、ＷＥＢサイトが共用ホスティングサーバ上に開設されている場合には、共用ホスティングサーバのみがグローバルＩＰアドレスを取得しており、各ＷＥＢサイトにはドメインネームだけが割り当てられていることがある。このような場合には、各ＷＥＢサイトは電子証明書を個別に実装して秘密鍵を備えることができないので、共用ホスティングサーバ上の複数のＷＥＢサイトがそれぞれに自己のドメインネームでＳＳＬ暗号化通信を行なうことはできなかった。

本発明の課題は、このような点に鑑みて、共用ホスティングサーバ上に開設されたＷＥＢサイトがグローバルＩＰアドレスを与えられていない場合でも、当該ＷＥＢサイトが独自のドメインネームでＳＳＬ暗号化通信を行なうことができるゲートウェイサーバを提案することにある。

上記課題を解決するために、本発明は、共用ホスティングサーバ上に開設されたグローバルＩＰアドレスが与えられていないＷＥＢサイトと、当該ＷＥＢサイトを閲覧するユーザのＷＥＢブラウザとの間に設置されて、前記ＷＥＢサイトと前記ＷＥＢブラウザとの間に前記ＷＥＢサイトのドメインネームでＳＳＬ暗号化通信を提供するゲートウェイサーバであって、前記ＷＥＢサイトを代理して、前記ＷＥＢブラウザとの間で前記ＷＥＢサイトのドメインネームでＳＳＬ暗号化通信を行なう代理通信手段と、前記代理通信手段によって行なわれたＳＳＬ暗号化通信を中継して、前記共用ホスティングサーバ上のＷＥＢサイトとの間で通信を行なう中継通信手段を備えていることを特徴とする。

本発明によれば、ゲートウェイサーバに設けられた代理通信手段がＷＥＢサイトを代理して、ユーザのＷＥＢブラウザとの間でＷＥＢサイトのドメインネームによるＳＳＬ暗号化通信を行なう。また、行なわれたＳＳＬ暗号化通信は中継通信手段によって中継されるので、ユーザのＷＥＢブラウザと共用ホスティングサーバ上のＷＥＢサイトとが交信することができる。従って、ＷＥＢサイトにグローバルＩＰアドレスが与えられておらず、ＷＥＢサイト自身がＣＡ署名付き電子証明書を実装して秘密鍵を備えることができない場合でも、ＷＥＢサイトのドメインネームによるＳＳＬ暗号化通信をユーザに提供できる。また、ＳＳＬ暗号化通信はＷＥＢサイトを代理する代理通信手段で行なわれるので、ＷＥＢサイトでは、顧客のＷＥＢブラウザとの間でＳＳＬ暗号化通信を行なうために、そのコンテンツに手を加える必要がない。

本発明において、前記代理通信手段は、前記共用ホスティングサーバ上でＳＳＬ暗号化通信を必要としているＷＥＢサイトに対応する数だけ通信カードを備えており、前記通信カードのそれぞれには、グローバルＩＰアドレスが与えられており、ＤＮＳ（Domain Name System）によって、前記共用ホスティングサーバ上でＳＳＬ暗号化通信を必要としているＷＥＢサイトに割り当てられているドメインネームと同一のドメインに属するホスト名が設定されており、前記通信カードの各々は、前記グローバルＩＰアドレスに基づいた署名付き電子証明書を実装するとともに、ＳＳＬ暗号化通信のための秘密鍵を備えることが好ましい。通信カードによって、共用ホスティングサーバ上でＳＳＬ暗号化通信を必要としているＷＥＢサイトを代理するので、ＳＳＬ暗号化通信を必要としているＷＥＢサイトの数が増減しても、柔軟に対応することができる。

また、本発明において前記代理通信手段は、前記共用ホスティングサーバ上でＳＳＬ暗号化通信を必要としているＷＥＢサイトに対応する数だけ通信プロセスを備えており、前記通信プロセスのそれぞれには、グローバルＩＰアドレスが与えられており、ＤＮＳによって、前記共用ホスティングサーバ上でＳＳＬ暗号化通信を必要としているＷＥＢサイトに割り当てられているドメインネームと同一のドメインに属するホスト名が設定されており、前記通信プロセスの各々は、前記グローバルＩＰアドレスに基づいた署名付き電子証明書を実装するとともに、ＳＳＬ暗号化通信のための秘密鍵を備えるようにしてもよい。ゲートウェイサーバが複数のグローバルＩＰアドレスを取得すれば、ソフトウェアによって、共用ホスティングサーバ上でＳＳＬ暗号化通信を必要としているＷＥＢサイトを代理することができる。

本発明において、前記中継通信手段は、前記共用ホスティングサーバとの間でＳＳＬ暗号化通信を行なうことが好ましい。ＷＥＢブラウザとゲートウェイサーバとの間の通信だけでなく、ゲートウェイサーバと共用ホスティングサーバとの間の通信もＳＳＬ暗号化通信を行なえば、ＷＥＢブラウザと共用ホスティングサーバ上に開設されたＷＥＢサイトとの間で情報の漏洩を防ぐことができる。

本発明において、前記共用ホスティングサーバとの間がＶＰＮ（Virtual Private Network）を介して接続されている場合には、前記中継通信手段は、ＶＰＮにおける暗号化通信のプロトコルとして標準化されているＩＰｓｅｃ（IP security protocol）等による暗号化通信を行なえばよい。

本発明によれば、ＷＥＢサイトにグローバルＩＰアドレスが与えられておらず、ＷＥＢサイト自身がＣＡ署名付き電子証明書を実装して秘密鍵を備えることができない場合でも、ＷＥＢサイトのドメインネームによるＳＳＬ暗号化通信をユーザに提供できる。また、ＳＳＬ暗号化通信はＷＥＢサイトを代理する代理通信手段で行なわれるので、ＷＥＢサイトでは、顧客のＷＥＢブラウザとの間でＳＳＬ暗号化通信を行なうために、そのコンテンツに手を加える必要がない。

以下に、図面を参照して、本発明を適用したＳＳＬゲートウェイサーバを説明する。図１はＳＳＬゲートウェイサーバの処理動作を示す遷移図である。図２は本発明の実施の形態に係るＳＳＬゲートウェイサーバのブロック図である。

（ＳＳＬゲートウェイサーバの構成）
図１、２に示すように、本形態のＳＳＬゲートウェイサーバ１は、複数のＷＥＢサイト５が開設されている複数の共用ホスティングサーバ２のゲートウェイとして設置されるものである。インターネットを介して接続してくるユーザ３のＷＥＢブラウザ４と共用ホスティングサーバ２上のＷＥＢサイト５との間に、ＷＥＢサイト５のドメインネームでＳＳＬ暗号化通信を提供する。

複数の共用ホスティングサーバ２では、共用ホスティングサーバ２のみにグローバルＩＰアドレスが与えられており、サーバ上に開設された各ＷＥＢサイト５にはドメインネームだけが割り当てられている。すなわち、ユーザ３が所望のＷＥＢサイト５にアクセスしようとしてＷＥＢブラウザ４にＵＲＬ（uniform resource locator）を入力した場合には、ＵＲＬから導き出されるＨＴＴＰ上のＨＯＳＴヘッダーに基づいて共用ホスティングサーバ２が該当するＷＥＢサイト５のコンテンツをユーザ３のＷＥＢブラウザ４に送信するようになっている。各ＷＥＢサイト５にはグローバルＩＰアドレスが与えられていないので、個々にＣＡ署名付き電子証明書を実装して、秘密鍵を備えることはできない。従って、通常は、各ＷＥＢサイト５が自己のドメインネームでＳＳＬ暗号化通信を行なうことはできない。なお、各共用ホスティングサーバ２は、それぞれグローバルＩＰアドレスを取得しているので、そのグローバルＩＰアドレスに基づいて１つのＣＡ書名付き電子証明書を実装するとともに、ＳＳＬ暗号化通信のための１つの秘密鍵を備えている。

ＳＳＬゲートウェイサーバ１は、共用ホスティングサーバ２上で電子証明書を必要としているＷＥＢサイト５のプロキシとして動作する通信カード６と、ＳＳＬゲートウェイサーバ１と共用ホスティングサーバ２との間で通信プロセス９を提供するオペレーティングシステム８を備えている。通信カード６はＤＮＳ７によって電子証明書を必要としているＷＥＢサイト５の情報と対応付けられている。

通信カード６は、複数の共用ホスティングサーバ２上で電子証明書を必要としているＷＥＢサイト５の数と対応する数だけ設けられており、それぞれにグローバルＩＰアドレスが与えられている。また、そのグローバルＩＰアドレスに基づいてＣＡ署名付き電子証明書が実装されているとともに、ＳＳＬ暗号化通信を行なう際に使用される秘密鍵を備えている。

ＤＮＳ７は、電子証明書を必要としているＷＥＢサイト５のドメインネームと通信カード６のグローバルＩＰアドレスとを対応付けている。ＤＮＳ７によって、各通信カード６とＷＥＢサイト５のドメインネームとが関連付けられているので、ユーザ３が共用ホスティングサーバ２上の所望のＷＥＢサイト５にアクセスしようとして、従来どおりにＷＥＢブラウザ４にＷＥＢサイト５のＵＲＬを入力すれば、ＷＥＢブラウザ４はＳＳＬゲートウェイサーバ１内にある所望のＷＥＢサイト５に対応する通信カード６にアクセスすることになる。

（ＳＳＬゲートウェイサーバ１を介したＳＳＬ暗号化通信の動作）
次に、図１を参照して、ＳＳＬゲートウェイサーバ１を介したＳＳＬ暗号化通信の動作を説明する。

ステップＳＴ１では、ユーザ３が、ＷＥＢブラウザ４から共用ホスティングサーバ２上のＷＥＢサイト５にＳＳＬ暗号化通信の要求を行う。すると、ステップＳＴ２において、要求したＷＥＢサイト５に対応する通信カード６は、実装しているＣＡ署名付き電子証明書をユーザ３のＷＥＢブラウザ４に送信する。ＷＥＢブラウザ４では、その電子証明書を検証して公開鍵を取得する。また、共通鍵の元となるデータを作成して公開鍵で暗号化して通信カード６に送信する。通信カード６は、このデータを自己の秘密鍵で復元することによってＷＥＢブラウザ４との間で暗号化通信のセッションを確立する。セッションが確立すると、ステップＳＴ３において、暗号化通信が行なわれる。すなわち、ユーザ３のＷＥＢブラウザ４とＳＳＬゲートウェイサーバ１との間では、ＷＥＢサイト５のドメインネームによるＳＳＬ暗号化通信が行なわれる。

ステップＳＴ３でＷＥＢブラウザ４からＳＳＬ暗号化通信によって暗号化されて送信されてきた通信データは、ステップＳＴ４において、通信カード６で一旦終端される。したがって、ＳＳＬゲートウェイサーバ１の内部では、通信データは平文化されて、オペレーティングシステム８の通信プロセス９に受け渡される。

一方、ステップＳＴ３において、ユーザ３のＷＥＢブラウザ４とＳＳＬゲートウェイサーバ１との間でＳＳＬ暗号化通信が始まると、ＳＳＬゲートウェイサーバ１は、オペレーティングシステム８が提供する通信プロセス９によって、共用ホスティングサーバ２との間で暗号化通信のセッションを確立する。すなわち、ステップＳＴ５において、オペレーティングシステム８の通信プロセス９が共用ホスティングサーバ２にＳＳＬ暗号化通信を要求する。要求された共用ホスティングサーバ２は、ステップＳＴ６において、実装されているＣＡ署名付き電子証明書をオペレーティングシステム８の通信プロセス９に送信する。通信プロセス９では、その電子証明書を検証して公開鍵を取得する。また、共通鍵の元となるデータを作成して公開鍵で暗号化して共用ホスティングサーバ２に送信する。共用ホスティングサーバ２は、このデータを自己の秘密鍵で復元することによって、通信プロセス９との間で暗号化通信のセッションを確立する。

セッションが確立すると、ステップＳＴ７において、ＳＳＬゲートウェイサーバ１と共用ホスティングサーバ２との間でＳＳＬ暗号化通信が行なわれる。すなわち、ステップＳＴ４においてＳＳＬゲートウェイサーバ１で一旦平文化された通信データは、再び暗号化されて、共用ホスティングサーバ２に送信される。

次に、ユーザ３のＷＥＢブラウサから通信データを受信したＷＥＢサイト５が自己のコンテンツをユーザ３のＷＥＢブラウザ４に送信する動作を説明する。

ステップＳＴ７において、ＳＳＬゲートウェイサーバ１と共用ホスティングサーバ２との間ではＳＳＬ暗号化通信が行なわれているので、ステップＳＴ８では、オペレーティングシステム８の通信プロセス９が、ＷＥＢサイト５から送信されたコンテンツをＨＴＴＰによって取得する。ＳＴ７のＳＳＬ暗号化通信は通信プロセス９で終端され、通信データは平文化される。平文化された通信データは、ステップＳＴ９において、通信プロセス９によってユーザ３のＷＥＢブラウザ４にフォワードされる。

ステップＳＴ９でフォワードされた通信データは、ステップＳＴ３のＳＳＬ暗号化通信を介して送信されるので、ユーザ３のＷＥＢブラウザ４は、フォワードされた通信データをＨＴＴＰで取得する。従って、ユーザ３のＷＥＢブラウザ４は、ＷＥＢサイト５のドメインネームによるＳＳＬ暗号化通信によって、ＷＥＢサイト５から送信されたコンテンツを取得することになる。

以上、本形態のＳＳＬゲートウェイサーバ１によれば、共用ホスティングサーバ２上に開設されたＷＥＢサイト５がグローバルＩＰアドレスを与えられていない場合でも、当該ＷＥＢサイト５のドメインネームでユーザ３のＷＥＢブラウザ４との間でＳＳＬ暗号化通信を行なうことができる。また、共用ホスティングサーバ２上に開設されたＷＥＢサイト５のコンテンツに変更を加えることなく、ＳＳＬ暗号化通信を行なうことができる。

また、本形態では、ＳＳＬゲートウェイサーバ１に設けられる通信カード６にグローバルＩＰアドレスと秘密鍵を備えるようにしているので、ＳＳＬゲートウェイサーバ１が接続された複数の共用ホスティングサーバ２上で電子証明書を必要とするＷＥＢサイト５が増加した場合には、通信カード６を増設して、ＤＮＳ７を設定することによって、新たなＷＥＢサイト５に対してＳＳＬ暗号化通信を提供することができる。

（その他の実施の形態）
前記実施の形態では、ＳＳＬゲートウェイサーバ１と複数の共用ホスティングサーバ２との間の通信はＳＳＬ暗号化通信によって行なわれているが、ＳＳＬゲートウェイサーバ１と複数の共用ホスティングサーバ２とが同一の構内においてケーブルで接続されていれば、暗号化通信を行なう必要がない場合がある。また、ＳＳＬゲートウェイサーバ１と複数の共用ホスティングサーバ２との間を閉じた通信網であるＶＰＮを介して接続している場合には、ＶＰＮにおける暗号化通信のプロトコルとして標準化されているＩＰｓｅｃ等の暗号化通信を行なうことができる。

また、前記の実施の形態では、通信カード６にグローバルＩＰアドレスと秘密鍵を備えるようにしているが、図３に示すように、ＳＳＬゲートウェイサーバ１が複数のグローバルＩＰアドレスを取得するようにしてもよい。

この場合には、ＳＳＬゲートウェイサーバ１は、取得した複数のグローバルＩＰアドレスに基づいて複数のＣＡ署名付き電子証明書を実装し、対応する秘密鍵を複数備える。また、オペレーティングシステム８に共用ホスティングサーバ２上のＷＥＢサイト５を代理する複数のプロキシ通信プロセス１０を複数備えることにより、ＷＥＢブラウザ４とＷＥＢサイト５との間でＷＥＢサイト５のドメインネームによるＳＳＬ暗号化通信を実現する。

また、前記の実施の形態では、１つの通信カード６が１つのＷＥＢサイト５を代理しているが、１つの通信カードに複数のグローバルＩＰアドレスを与えることによって、複数のＷＥＢサイトを代理するようにしてもよい。

本発明の実施の形態に係るＳＳＬゲートウェイサーバの処理動作を示す状態遷移図である。 実施の形態に係るＳＳＬゲートウェイサーバのブロック図である。 その他の実施の形態に係るＳＳＬゲートウェイサーバのブロック図である。

符号の説明

１ ＳＳＬゲートウェイサーバ
２ 共用ホスティングサーバ
３ ユーザ
４ ＷＥＢブラウザ
５ ＷＥＢサイト
６ 通信カード
７ ＤＮＳ
８ オペレーティングシステム
９ 通信プロセス
１０ プロキシ通信プロセス

Claims (5)

1. 共用ホスティングサーバ上に開設されたグローバルＩＰアドレスが与えられていないＷＥＢサイトと、当該ＷＥＢサイトを閲覧するユーザのＷＥＢブラウザとの間に設置されて、前記ＷＥＢサイトと前記ＷＥＢブラウザとの間に前記ＷＥＢサイトのドメインネームでＳＳＬ暗号化通信を提供するゲートウェイサーバであって、
   前記ＷＥＢサイトを代理して、前記ＷＥＢブラウザとの間で前記ＷＥＢサイトのドメインネームでＳＳＬ暗号化通信を行なう代理通信手段と、
   前記代理通信手段によって行なわれたＳＳＬ暗号化通信を中継して、前記共用ホスティングサーバ上のＷＥＢサイトとの間で通信を行なう中継通信手段を備えていることを特徴とするゲートウェイサーバ。
2. 請求項１において、
   前記代理通信手段は、前記共用ホスティングサーバ上でＳＳＬ暗号化通信を必要としているＷＥＢサイトに対応する数だけ通信カードを備えており、
   前記通信カードのそれぞれには、グローバルＩＰアドレスが与えられており、ＤＮＳによって、前記共用ホスティングサーバ上でＳＳＬ暗号化通信を必要としているＷＥＢサイトに割り当てられているドメインネームと同一のドメインに属するホスト名が設定されており、
   前記通信カードの各々は、前記グローバルＩＰアドレスに基づいた署名付き電子証明書を実装するとともに、ＳＳＬ暗号化通信のための秘密鍵を備えることを特徴とするゲートウェイサーバ。
3. 請求項１において、
   前記代理通信手段は、前記共用ホスティングサーバ上でＳＳＬ暗号化通信を必要としているＷＥＢサイトに対応する数だけ通信プロセスを備えており、
   前記通信プロセスのそれぞれには、グローバルＩＰアドレスが与えられており、ＤＮＳによって、前記共用ホスティングサーバ上でＳＳＬ暗号化通信を必要としているＷＥＢサイトに割り当てられているドメインネームと同一のドメインに属するホスト名が設定されており、
   各通信プロセスの各々は、前記グローバルＩＰアドレスに基づいた署名付き電子証明書を実装するとともに、ＳＳＬ暗号化通信のための秘密鍵を備えることを特徴とするゲートウェイサーバ。
4. 請求項１ないし３のいずれかにおいて、
   前記中継通信手段は、前記共用ホスティングサーバとの間でＳＳＬ暗号化通信を行なうことを特徴とするゲートウェイサーバ。
5. 請求項１ないし３のいずれかにおいて、
   前記共用ホスティングサーバとの間はＶＰＮを介して接続されており、
   前記中継通信手段は、前記共用ホスティングサーバとの間でＩＰｓｅｃ等による暗号化通信を行なうことを特徴とするゲートウェイサーバ。

Images