[go: up one dir, main page]
More Web Proxy on the site http://driver.im/

WO2023175705A1 - 通信制御装置、通信装置、通信制御システム、通信制御方法およびプログラム - Google Patents

通信制御装置、通信装置、通信制御システム、通信制御方法およびプログラム Download PDF

Info

Publication number
WO2023175705A1
WO2023175705A1 PCT/JP2022/011516 JP2022011516W WO2023175705A1 WO 2023175705 A1 WO2023175705 A1 WO 2023175705A1 JP 2022011516 W JP2022011516 W JP 2022011516W WO 2023175705 A1 WO2023175705 A1 WO 2023175705A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication
target flow
encryption
information
encryption range
Prior art date
Application number
PCT/JP2022/011516
Other languages
English (en)
French (fr)
Inventor
優太 大塚
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to PCT/JP2022/011516 priority Critical patent/WO2023175705A1/ja
Priority to US18/843,750 priority patent/US20250193003A1/en
Priority to JP2024507239A priority patent/JPWO2023175705A1/ja
Publication of WO2023175705A1 publication Critical patent/WO2023175705A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/36—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols with means for detecting characters not meant for transmission

Definitions

  • the present invention relates to a communication control device, a communication device, a communication control system, a communication control method, and a program.
  • Patent Document 1 discloses that when an information processing device stores information consisting of a plurality of items with different security levels in an information management device, the encryption level of the information is varied according to a predetermined trustworthiness.
  • Patent Document 2 monitors the status of a communication unit, acquires quality information that specifies the current communication status, determines an encryption level based on the acquired quality information, and transmits based on the determined encryption level. Discloses that the data will be encrypted.
  • Patent Document 1 discloses that an information processing device varies the encryption level of information according to a predetermined trustworthiness. However, simply by making the encryption level variable, there is a possibility that information cannot be appropriately encrypted depending on the security level.
  • Patent Document 2 discloses that the encryption level is determined based on quality information that specifies the current communication state. However, as in Patent Document 1, simply changing the encryption level may not encrypt information appropriately according to the security level.
  • One aspect of the present invention has been made in view of the above problems, and one object thereof is to provide a technology that can suitably encrypt information depending on the security level.
  • a communication control device includes an acquisition unit that acquires communication path information, an encryption range that is determined according to the acquired communication path information, and uses an encryption range in a target flow to and instruction means for instructing at least one of encryption and decryption of the target flow.
  • a communication device includes an acquisition unit that acquires communication path information, and an encryption range that is determined according to the acquired communication path information, and uses an encryption range in a target flow to and execution means for encrypting and/or decrypting the flow.
  • a communication control system includes an acquisition unit that acquires communication path information, and an encryption range that is determined according to the acquired communication path information, and uses the encryption range in a target flow to An instruction means for instructing at least one of encryption and decryption of a target flow, and an execution means for executing at least one of encryption and decryption of the target flow using an encryption range in the target flow. ing.
  • a communication control method acquires communication path information, and uses an encryption range for a target flow, which is determined according to the acquired communication path information, to Instruct at least one of encryption and decryption.
  • a communication control method acquires communication path information, and uses an encryption range for a target flow, which is determined according to the acquired communication path information, to Executes at least one of encryption and decryption.
  • a program causes a computer to perform a process of acquiring communication path information, and an encryption range determined according to the acquired communication path information, using the encryption range in a target flow.
  • a process of instructing at least one of encryption and decryption of the target flow is executed.
  • a program causes a computer to perform a process of acquiring communication path information, and an encryption range determined according to the acquired communication path information, using the encryption range in a target flow.
  • a process of encrypting and/or decrypting the target flow is executed.
  • information can be suitably encrypted depending on the security level.
  • FIG. 1 is a block diagram showing a configuration example of a communication control device according to a first exemplary embodiment of the present invention.
  • FIG. FIG. 3 is a flowchart showing the flow of a communication control method for the communication control device according to the first exemplary embodiment of the present invention.
  • FIG. 1 is a block diagram illustrating a configuration example of a communication device according to a first exemplary embodiment of the present invention.
  • FIG. 2 is a flow diagram showing the flow of a communication control method for a communication device according to the first exemplary embodiment of the present invention.
  • 1 is a block diagram showing a configuration example of a communication control system according to a first exemplary embodiment of the present invention.
  • FIG. 2 is a block diagram showing a configuration example of a communication control device and a communication device according to a second exemplary embodiment of the present invention.
  • FIG. 7 is a diagram schematically showing a connection between a communication control device and a communication device according to a second exemplary embodiment of the present invention.
  • FIG. 3 is a diagram illustrating an example of a packet encryption range.
  • FIG. 2 is a diagram schematically showing trust scores between communication devices.
  • FIG. 3 is a diagram for explaining a method of calculating a risk score.
  • FIG. 3 is a diagram for explaining the relationship between a risk score and an encryption range.
  • FIG. 2 is a diagram for explaining the flow of processing (part 1) when newly connecting a terminal to a network.
  • FIG. 7 is a diagram for explaining the flow of processing (Part 2) when newly connecting a terminal to the network.
  • FIG. 7 is a diagram for explaining the flow of processing (part 3) when newly connecting a terminal to the network.
  • FIG. 3 is a diagram for explaining the flow of processing (part 1) when changing the encryption range of a packet.
  • FIG. 7 is a diagram for explaining the flow of processing (part 2) when changing the encryption range of a packet.
  • FIG. 3 is a block diagram illustrating a configuration example of a communication device according to a third exemplary embodiment of the present invention.
  • FIG. 2 is a block diagram showing the configuration of a computer functioning as a communication control device and a communication device according to each exemplary embodiment.
  • Headers of communication packets are added according to the layer, and mainly include MAC (Media Access Control) header, IP (Internet Protocol) header, and TCP/UDP (Transmission Control Protocol/User Datagram Protocol) header. There is.
  • MAC Media Access Control
  • IP Internet Protocol
  • TCP/UDP Transmission Control Protocol/User Datagram Protocol
  • the MAC header includes information such as a source MAC address and a destination MAC address, and may be used for spoofing, user identification, and the like.
  • the IP header includes information such as the source IP address and destination IP address, and may be used for spoofing, user identification, etc.
  • the TCP/UDP header includes information such as a source port number and a destination port number, and may be used to specify user information (server type, etc.).
  • the data section may lead to leakage of information being exchanged.
  • the security level can be raised by increasing the encryption range.
  • increasing the encryption range will reduce throughput.
  • destination information such as a MAC address or an IP address
  • it is necessary to perform the following processing in a relay device such as an access point, switch, or router.
  • a relay device such as an access point, switch, or router.
  • ⁇ It is necessary to add a new destination frame. If the destination is unknown, it is necessary to broadcast and have the terminal receive only packets addressed to itself.
  • the present invention appropriately controls the encryption range of communication packets according to the required security level while suppressing a decrease in throughput.
  • ⁇ Communication control device 1 A first exemplary embodiment of the invention will be described in detail with reference to the drawings.
  • This exemplary embodiment is a basic form of exemplary embodiments to be described later.
  • the drawing reference numerals added to this summary are added to each element for convenience as an example to aid understanding, and are not intended to limit the present invention to the illustrated embodiment.
  • connection lines between blocks in the drawings and the like referred to in the following description include both bidirectional and unidirectional connections.
  • the unidirectional arrows schematically indicate the main signal (data) flow, and do not exclude bidirectionality.
  • the input/output connection points of each block in the figure may be configured to include ports or interfaces, but illustration of these configurations is omitted.
  • FIG. 1 is a block diagram showing a configuration example of a communication control device 1 according to a first exemplary embodiment of the present invention.
  • the communication control device 1 according to this exemplary embodiment includes an acquisition means 11 and an instruction means 12, as shown in FIG.
  • the communication control device 1 is a controller etc. that controls relay devices such as access points, switches, and routers, and mainly acquires communication path information from each relay device and performs encryption and decryption for each relay device and each adapter. Give instructions, etc.
  • the acquisition means 11 acquires communication channel information.
  • the communication channel information is information regarding each communication channel in a communication flow, and is, for example, information in which the reliability of each communication channel is quantified as a trust score.
  • a communication flow is a communication path from a certain terminal (source) to a certain terminal (destination), and if there are multiple relay devices between the devices, the path between each relay device is one communication path. form. Furthermore, the path between the adapter connected to the terminal and the relay device also forms one communication path. Therefore, if there is a relay device between terminals, the communication flow will include multiple communication paths.
  • the trust score of a communication channel can be determined, for example, by the type of communication medium of the communication path; if the communication medium is wired, a high value is set as the trust score, and if the communication medium is wireless, a low value is set as the trust score. is set.
  • the trust score of a communication channel can also be determined based on information regarding the LAN (Local Area Network) to which the communication channel belongs. Furthermore, the trust score of a communication channel can also be determined by the presence or absence of suspicious traffic. At this time, a high value is set as the trust score for a communication path where no suspicious traffic exists, and a low value is set as the trust score for a communication path where suspicious traffic exists.
  • LAN Local Area Network
  • the instruction means 12 uses the encryption range of the target flow, which is determined according to the acquired communication path information, to instruct at least one of encryption and decryption of the target flow. Specifically, a risk score indicating the degree of risk of the target flow is calculated with reference to the credit score in each communication path of the target flow. Then, when the risk score is low (when the reliability is high), a narrow encryption range is set. Furthermore, when the risk score is high (when the reliability is low), a wide encryption range is set.
  • a packet includes data, a first header, a second header, and a third header
  • the encryption range is limited to the data and the first header
  • the encryption range is (3) Set the encryption range to data, the first header, the second header, and the third header, etc. to set different encryption ranges. can be set.
  • the instruction means 12 instructs the relay devices and adapters present in each communication path of the target flow to encrypt and/or decrypt the communication packet using the encryption range of the target flow. Therefore, if there are multiple communication flows from one terminal to another, different encryption ranges may be set for each communication flow.
  • the instruction means 12 performs at least the encryption and decryption of the target flow using the encryption range determined according to the communication path information. Since either one is instructed, encryption or decryption of information can be instructed appropriately depending on the security level.
  • FIG. 2 is a flow diagram showing the flow of the communication control method. As shown in FIG. 2, the communication control method includes steps S1 to S2.
  • the acquisition means 11 acquires communication channel information (S1).
  • the communication channel information is information regarding each communication channel in a communication flow, and is, for example, information in which the reliability of each communication channel is quantified as a trust score.
  • the instruction unit 12 instructs at least one of encryption and decryption of the target flow using the encryption range of the target flow, which is determined according to the acquired communication channel information ( S2). Specifically, the instructing means 12 instructs the relay devices present on each communication path of the target flow to encrypt and/or decrypt communication packets using the encryption range of the target flow.
  • the instruction means 12 performs at least one of the encryption and decryption of the target flow using the encryption range determined according to the communication path information. Therefore, it is possible to appropriately instruct the encryption or decryption of information depending on the security level.
  • FIG. 3 is a block diagram showing a configuration example of the communication device 2 according to the first exemplary embodiment of the present invention.
  • the communication device 2 according to this exemplary embodiment includes an acquisition means 21 and an execution means 22, as shown in FIG.
  • the communication device 2 is a relay device such as an access point, a switch, or a router, and mainly acquires communication path information for each communication path, encrypts and decrypts information within the encryption range instructed by the communication control device 1, etc. I do.
  • the acquisition means 21 acquires communication channel information.
  • the communication channel information is information regarding each communication channel in a communication flow, and is, for example, information in which the reliability of each communication channel is quantified as a trust score.
  • the execution unit 22 executes at least one of encryption and decryption of the target flow using the encryption range of the target flow, which is determined according to the acquired communication path information. Specifically, using the encryption range instructed by the communication control device 1, at least one of the encryption and decryption of the communication packet is executed.
  • the execution means 22 performs at least one of the encryption and decryption of the target flow using the encryption range determined according to the communication path information. Therefore, information can be suitably encrypted or decrypted depending on the security level.
  • FIG. 4 is a flow diagram showing the flow of the communication control method. As shown in FIG. 4, the communication control method includes steps S11 to S12.
  • the acquisition means 21 acquires communication channel information (S11).
  • the communication channel information is information regarding each communication channel in a communication flow, and is, for example, information in which the reliability of each communication channel is quantified as a trust score.
  • the execution unit 22 executes at least one of encryption and decryption of the target flow using the encryption range of the target flow, which is determined according to the acquired communication path information ( S12). Specifically, using the encryption range instructed by the communication control device 1, at least one of the encryption and decryption of the communication packet is executed.
  • the execution means 22 performs at least one of the encryption and decryption of the target flow using the encryption range determined according to the communication path information. Therefore, information can be suitably encrypted or decrypted depending on the security level.
  • the communication control system 100 includes an acquisition means 31, an instruction means 32, and an execution means 33, as shown in FIG.
  • the acquisition means 31, the instruction means 32, and the execution means 33 are configured to be able to communicate via the network N, for example.
  • the specific configuration of the network N does not limit the present exemplary embodiment, but as an example, it may be a wireless LAN, a wired LAN, a WAN, a public line network, a mobile data communication network, or one of these networks. Combinations can be used.
  • each function of the communication control system 100 may be implemented on the cloud.
  • the acquisition means 31 and the instruction means 32 may be one device, and the execution means 33 may be one device. These may be implemented in one device or in separate devices. For example, when the components are installed in separate devices, information from each component is transmitted and received via the network N, and processing proceeds.
  • the acquisition means 31 acquires communication channel information.
  • the communication channel information is information regarding each communication channel in a communication flow, and is, for example, information in which the reliability of each communication channel is quantified as a trust score.
  • the instruction means 32 uses the encryption range of the target flow, which is determined according to the acquired communication channel information, to instruct at least one of encryption and decryption of the target flow.
  • the execution unit 33 executes at least one of encryption and decryption of the target flow using the encryption range of the target flow, which is determined according to the acquired communication path information.
  • the instruction means 32 performs at least the encryption and decryption of the target flow using the encryption range determined according to the communication path information. Since either one is instructed, encryption or decryption of information can be instructed appropriately depending on the security level.
  • the execution means 33 executes at least one of encryption and decryption of the target flow using the encryption range determined according to the communication path information, the execution means 33 encrypts or decrypts the information suitably according to the security level. Can be decrypted.
  • Example Embodiment 2 A second exemplary embodiment of the invention will be described in detail with reference to the drawings. Note that components having the same functions as those described in the first exemplary embodiment are denoted by the same reference numerals, and the description thereof will be omitted as appropriate.
  • FIG. 6 is a diagram showing the configuration of a communication control system 100A including a communication control device 1A and a communication device 2A according to the second exemplary embodiment of the present invention.
  • a communication control system 100A according to this exemplary embodiment includes a communication control device 1A and communication devices 2A-1 to 2A-N.
  • the communication control device 1A includes a communication section 41, a control section 42, a storage section 43, and an input section 44, as shown in FIG.
  • the communication unit 41 transmits and receives information to and from the communication devices 2A-1 to 2A-N.
  • the communication unit 41 includes the acquisition unit 11.
  • the acquisition unit 11 is a configuration that realizes an acquisition means in this exemplary embodiment.
  • FIG. 7 is a diagram schematically showing the connection between the communication control device 1A and the communication device 2A according to the second exemplary embodiment of the present invention.
  • the communication devices 2A-1 to 2A-N shown in FIG. 6 correspond to the relay devices 2A-1 to 2A-3 such as access points, switches, and routers shown in FIG. 7, and the adapters 2A-4 to 2A-6. There is. Terminals 4-1 to 4-3 are connected to adapters 2A-4 to 2A-6, respectively.
  • FIG. 7 schematically shows that the communication control device 1A controls the relay devices 2A-1 to 2A-3 and the adapters 2A-4 to 2A-6, in reality, the communication control device 1A controls the relay devices 2A-1 to 2A-3 and the adapters 2A-4 to 2A-6.
  • 1A controls the relay devices 2A-1 to 2A-3 and the adapters 2A-4 to 2A-6 by transmitting and receiving information via the communication unit 41.
  • the adapters 2A-4 to 2A-6 encrypt the communication packets from the terminals 4-1 to 4-3 and transmit them to the relay device 2A-2 or 2A-3. Further, the adapters 2A-4 to 2A-6 decode communication packets received from the relay device 2A-2 or 2A-3 and output them to the terminals 4-1 to 4-3.
  • the relay devices 2A-1 to 2A-3 decrypt the received communication packets, confirm the destination, encrypt the communication packets again, and transmit the encrypted communication packets. Further, the relay devices 2A-1 to 2A-3 acquire communication path information of the communication paths and notify the communication control device 1A.
  • the acquisition unit 11 acquires communication channel information from the communication devices 2A-1 to 2A-N.
  • the communication channel information is information regarding each communication channel in a communication flow, and is, for example, information in which the reliability of each communication channel is quantified as a trust score.
  • the control unit 42 is a part that performs overall control of the communication control device 1A, and includes an instruction unit 12 and a determination unit 13.
  • the instruction unit 12 is configured to implement instruction means in this exemplary embodiment.
  • the determining unit 13 is configured to implement determining means in this exemplary embodiment.
  • the control unit 42 periodically causes the acquisition unit 11 to acquire communication channel information from the communication devices 2A-1 to 2A-N, and stores the acquired communication channel information in the storage unit 43.
  • the determining unit 13 refers to the communication path information of each communication path in the target flow stored in the storage unit 43 and determines the encryption range in the target flow.
  • the communication channel information is information in which the reliability of each communication channel in the target flow is quantified as a trust score, and the determining unit 13 determines the reliability of each communication channel in the target flow stored in the storage unit 43.
  • the risk score for the target flow is calculated from the score, and the encryption range for the target flow is determined according to the risk score.
  • FIG. 8 is a diagram showing an example of a packet encryption range.
  • (1) in FIG. 8 is a case where the risk score is less than or equal to the first threshold, and shows a case where only communication packet data and TCP/UDP headers are encrypted.
  • the entire data and TCP/UDP header are encrypted, but for example, only part of the data and the source port number of the TCP/UDP header may be encrypted. However, only part of the data and the destination port number of the TCP/UDP header may be encrypted.
  • the security level may be improved by setting part of the data and part of the TCP/UDP header as the encryption range and periodically changing the encryption range.
  • (2) in FIG. 8 is a case where the risk score is greater than or equal to the first threshold value and less than or equal to the second threshold value, and the data of the communication packet, the TCP/UDP header, and the IP header are encrypted. It shows. As with the TCP/UDP header, only the source IP address of the IP header may be the encryption range, or only the destination IP address may be the encryption range.
  • (3) in FIG. 8 is a case where the risk score is equal to or higher than the second threshold, and shows a case where communication packet data, TCP/UDP header, IP header, and MAC header are encrypted. There is. As with the TCP/UDP header and the IP header, only the source MAC address of the MAC header may be encrypted, or only the destination MAC address may be encrypted.
  • FIG. 9 is a diagram schematically showing trust scores between communication devices.
  • the relay device 2A-1 is an L3 switch and has a function of routing only layer 3 (network layer) TCP/IP.
  • the relay device 2A-2 is an L2 switch and has a function of routing multi-protocols including layer 2 (data link layer).
  • the relay device 2A-3 is an access point and communicates with the adapter 2A-6 wirelessly.
  • the trust score of the communication path between the access point 2A-3 and the adapter 2A-6 is low, and the trust score of the communication path between the L3 switch 2A-1 and the access point 2A-3 is medium. It shows that there is.
  • the trust scores of other communication channels are shown to be high.
  • the credit score is calculated. Since the risk score is low, the encryption range extends to the IP header corresponding to L3. In addition, in the communication flow from terminal 4-3 to adapter 2A-6 to access point 2A-3 to L3 switch 2A-1 to adapter 2A-7 to terminal 4-4, the risk score calculated from the credit score is high. , the encryption range extends to the MAC header corresponding to L2.
  • FIG. 10 is a diagram for explaining the method of calculating the risk score.
  • the reliability of each communication channel is evaluated as a trust score of 1 to 5.
  • the trust score is set to "5".
  • the trust score is set to "4".
  • the trust score is set to "2”.
  • the trust score is set to "1".
  • the trust score between the adapter 2A-7 and the L3 switch 2A-1 is "2"
  • the trust score between the L3 switch 2A-1 and the access point 2A-3 is "5".
  • the trust score between the access point 2A-3 and the adapter 2A-6 is “4”. If the total credit score of the communication channels included in a communication flow is calculated and the difference from the perfect score is taken as the risk score of the communication flow, the risk score will be as shown in the following formula (Formula 1).
  • the case where the number of communication channels is "3" is shown, but since the risk score tends to increase as the number of communication channels increases, it is normalized by dividing by the number of communication channels. Good too.
  • FIG. 11 is a diagram for explaining the relationship between risk score and encryption range. If the risk score is less than or equal to the first threshold, the determining unit 13 sets the encryption range to the data and first header of the packet transmitted in the target flow.
  • the first header is a TCP (/UDP) header.
  • the first header may be an IP header or a MAC header.
  • the determining unit 13 may set the encryption range to part of the data and first header of the packet transmitted in the target flow. For example, only part of the data and the source port number of the TCP/UDP header may be encrypted, or only part of the data and the destination port number of the TCP/UDP header may be encrypted. .
  • the determining unit 13 sets the encryption range to the data of the packet transmitted in the target flow, the first header, etc. and the second header.
  • the first header is a TCP/UDP header and the second header is an IP header.
  • the first header may be an IP header, and the second header may be a MAC header.
  • the combination of the first header and the second header is arbitrary.
  • the determining unit 13 sets the encryption range to the data, first header, second header, and third header of the packet transmitted in the target flow.
  • the first header is a TCP/UDP header
  • the second header is an IP header
  • the third header is a MAC header.
  • the communication channel information is information quantified according to the communication medium of each communication channel in the target flow. For example, if the communication medium of the communication path is wired, a high value is set as the trust score, which is the communication path information, and if the communication medium is wireless, a low value is set as the trust score, which is the communication path information.
  • the communication channel information is information quantified according to the presence of suspicious traffic on each communication channel in the target flow. For example, in the case of a communication channel where no suspicious traffic exists, a high value is set as the credit score which is communication channel information, and in the case where there is suspicious traffic, a low value is set as the credit score which is communication channel information. is set.
  • the instruction unit 12 instructs the relay devices and adapters present on each communication path of the target flow to encrypt and/or decrypt communication packets using the encryption range determined by the determination unit 13. .
  • the instruction unit 12 generates random numbers corresponding to each area of the encryption range, and transmits them to the relay devices and adapters existing on each communication path of the target flow.
  • the encryption range is data, TCP/UDP headers, and IP headers
  • a random number corresponding to the data a random number corresponding to the TCP/UDP header, and a random number corresponding to the IP header are generated, and Three random numbers are sent to the relay devices and adapters present on each communication path of the flow to instruct at least one of encryption and decryption of communication packets.
  • the instruction unit 12 In order to periodically update the random numbers, the instruction unit 12 generates random numbers corresponding to each area of the encryption range, and transmits the random numbers to the relay devices and adapters existing on each communication path of the target flow. It's okay.
  • the input unit 44 is composed of, for example, a switch, and is used for mode setting of the communication control device 1A.
  • the control unit 42 acquires the value set in the input unit 44 and sets or changes the operation mode and the like.
  • the communication device 2A-1 includes a communication section 51, a control section 52, a storage section 53, and an input section 54, as shown in FIG.
  • the communication unit 51 transmits and receives information to and from the communication control device 1A.
  • the communication unit 51 includes an acquisition unit 21 and a reception unit 23.
  • the acquisition unit 21 is a configuration that realizes an acquisition means in this exemplary embodiment.
  • the receiving unit 23 is configured to implement receiving means in this exemplary embodiment.
  • the acquisition unit 21 acquires communication channel information.
  • the communication unit 51 transmits the communication path information acquired by the acquisition unit 21 to the communication control device 1A.
  • the communication channel information is information regarding each communication channel in a communication flow, and is, for example, information in which the reliability of each communication channel is quantified as a trust score.
  • the receiving unit 23 receives the encryption range in the target flow from the communication control device 1A that controls the communication devices 2A-1 to 2A-N, and stores it in the storage unit 53. Further, the receiving unit 23 receives random numbers corresponding to each area of the encryption range from the communication control device 1A, and stores them in the storage unit 53.
  • the control unit 52 is a unit that performs overall control of the communication device 2A-1, and includes the execution unit 22.
  • the execution unit 22 is configured to implement execution means in this exemplary embodiment.
  • the execution unit 22 uses the encryption range of the target flow stored in the storage unit 53 to execute at least one of encryption and decryption of the target flow. At this time, random numbers corresponding to each area of the encryption range stored in the storage unit 53 are used.
  • the input unit 54 is composed of, for example, a switch, and is used to set the mode of the communication device 2A-1.
  • the control unit 52 acquires the value set in the input unit 54 and sets or changes the operation mode and the like.
  • FIGS. 12 to 14 are diagrams for explaining the flow of processing when newly connecting a terminal to the network.
  • a packet of plain text data is transmitted from the terminal 4-4 to the adapter 2A-7 (S21).
  • the adapter 2A-7 confirms that there is no information on the encryption range of flow a (S22).
  • flow a is a communication flow from terminal 4-4 to adapter 2A-7 to L3 switch 2A-1 to access point 2A-3 to adapter 2A-6.
  • the adapter 2A-7 requests information on the encryption range of flow a from the communication control device 1A (S23).
  • the communication unit 41 of the communication control device 1A receives the encryption range request from the adapter 2A-7
  • the acquisition unit 11 of the communication control device 1A sends the request to the relay devices 2A-1 and 2A-3 through which the flow a passes.
  • a report of communication channel information is requested (S24).
  • the determination unit 13 of the communication control device 1A uses the reported communication channel information to determine the reliability of each communication channel. It is set as a score (S26). Then, the determining unit 13 of the communication control device 1A calculates the risk score of the flow a from the trust score of each communication channel, and determines the encryption range of the flow a based on the risk score (S27).
  • the communication unit 41 of the communication control device 1A transfers the encryption range of the flow a determined by the determination unit 13 to the adapter 2A-7, L3 switch 2A-1, access point 2A-3, and adapter 2A-6. Send (S28).
  • the adapter 2A-7 encrypts the packet within the encryption range specified by the communication control device 1A, and sends the packet to the L3 switch 2A-1 (S29).
  • the L3 switch 2A-1 receives a packet from the adapter 2A-7, if the encryption range extends to the MAC header or IP header, the L3 switch 2A-1 decrypts the packet within the encryption range instructed by the communication control device 1A and identifies the destination. After confirmation, the packet is encrypted again and sent to the access point 2A-3.
  • the access point 2A-3 receives a packet from the L3 switch 2A-1, if the encryption range extends to the MAC header or IP header, the access point 2A-3 decrypts the packet using the encryption range instructed by the communication control device 1A. to confirm the destination, encrypt the packet again, and send it to the adapter 2A-6 (S30).
  • the adapter 2A-6 decrypts the packet received from the access point 2A-3 within the encryption range instructed by the communication control device 1A and sends it to the terminal 4-3 (S31), and ends the process. .
  • FIGS. 15 and 16 are diagrams for explaining the flow of processing when changing the encryption range of a packet.
  • the communication control device 1A periodically requests communication path information from the L3 switch 2A-1 and the access point 2A-3 (S41).
  • the determination unit 13 of the communication control device 1A uses the reported communication path information to determine the reliability of each communication path. It is set as a score (S43).
  • the determining unit 13 of the communication control device 1A calculates the risk score of each flow from the credit score, and determines the encryption range of each flow based on the risk score (S44).
  • the determining unit 13 of the communication control device 1A compares the current encryption range of each flow stored in the storage unit 43 with the encryption range of each flow calculated in step S44.
  • the instruction unit 12 instructs the relay device and adapter through which the flows pass to change the encryption range (S45). For example, when changing the encryption range of flow a, the adapter 2A-7, L3 switch 2A-1, access point 2A-3, and adapter 2A-6 are instructed to change the encryption range.
  • the adapter 2A-7 encrypts the packet received from the terminal 4-4 within the encryption range specified in step S45, and sends the packet to the L3 switch 2A-1 (S46).
  • the L3 switch 2A-1 receives a packet from the adapter 2A-7, if the encryption range extends to the MAC header or IP header, the L3 switch 2A-1 decrypts the packet within the encryption range instructed by the communication control device 1A and identifies the destination. After confirmation, the packet is encrypted again and sent to the access point 2A-3.
  • the access point 2A-3 receives a packet from the L3 switch 2A-1, if the encryption range extends to the MAC header or IP header, the access point 2A-3 decrypts the packet using the encryption range instructed by the communication control device 1A. to confirm the destination, encrypt the packet again, and send it to the adapter 2A-6 (S47).
  • the adapter 2A-6 decrypts the packet received from the access point 2A-3 within the encryption range instructed by the communication control device 1A and sends it to the terminal 4-3 (S48), and ends the process. .
  • the determining unit 13 refers to the communication path information of each communication path in the target flow and determines the encryption range in the target flow. Therefore, the encryption range of the target flow can be suitably determined according to the security level.
  • the determining unit 13 of the communication control device 1A determines the encryption range in the target flow according to the risk score, it is possible to suitably determine the encryption range in the target flow according to the risk score.
  • the determining unit 13 of the communication control device 1A can encrypt only the data of the packet and the first header.
  • the determining unit 13 of the communication control device 1A can reduce the processing load on the communication device by encrypting only part of the data and header of the packet.
  • the determining unit 13 of the communication control device 1A can set the packet data, the first header, and the second header as the encryption range.
  • the determining unit 13 of the communication control device 1A can set the data of the packet, the first header, the second header, and the third header as the encryption range.
  • the determining unit 13 of the communication control device 1A determines the credit score, which is the communication channel information, in the case of wired communication. In the case of wireless communication, the credit score, which is communication channel information, can be lowered.
  • the determining unit 13 of the communication control device 1A determines whether the communication channel has no suspicious traffic or not. In the case of a communication channel where suspicious traffic exists, the credit score, which is communication channel information, can be lowered.
  • the execution unit 22 of the communication device 2A can encrypt or decrypt information according to the encryption range received from the communication control device 1A.
  • Example Embodiment 3 A third exemplary embodiment of the invention will be described in detail with reference to the drawings. Note that components having the same functions as those described in exemplary embodiments 1 and 2 are given the same reference numerals, and the description thereof will be omitted as appropriate. Note that in this exemplary embodiment, there is no communication control device, and the communication device itself determines the encryption range and encrypts and decrypts information.
  • FIG. 17 is a diagram showing the configuration of a communication control system 100B including a communication device 2B according to the third exemplary embodiment of the present invention.
  • Communication control system 100B according to this exemplary embodiment includes communication devices 2B-1 to 2B-N.
  • the communication device 2B-1 includes a communication section 51B, a control section 52B, a storage section 53, and an input section 54, as shown in FIG.
  • the communication unit 51B sends and receives information to and from the communication devices 2B-2 to 2B-N.
  • the communication section 51B includes an acquisition section 21.
  • the acquisition unit 21 is a configuration that realizes an acquisition means in this exemplary embodiment.
  • the acquisition unit 21 acquires communication channel information. Specifically, the acquisition unit 21 acquires communication path information on the communication path to which the communication device 2B-1 itself is connected, and communication path information on other communication paths of target flows received from the communication devices 2B-2 to 2B-N. information and is stored in the storage unit 53.
  • the determining unit 24 refers to the communication path information of each communication path in the target flow stored in the storage unit 53 and determines the encryption range in the target flow.
  • the communication channel information is information obtained by quantifying the reliability of each communication channel in the target flow as a trust score, and the determining unit 24 determines the reliability of each communication channel in the target flow stored in the storage unit 53.
  • the risk score for the target flow is calculated from the score, and the encryption range for the target flow is determined according to the risk score.
  • the execution unit 22 uses the encryption range determined by the determination unit 24 to execute at least one of encryption and decryption of the target flow.
  • the determining unit 24 refers to the communication path information of each communication path in the target flow and determines the encryption range in the target flow. Therefore, the encryption range of the target flow can be suitably determined according to the security level.
  • Some or all of the functions of the communication control devices 1, 1A, communication devices 2, 2A, 2B, and communication control systems 100, 100A, 100B may be realized by hardware such as an integrated circuit (IC chip), It may also be realized by software.
  • IC chip integrated circuit
  • the communication control devices 1, 1A, the communication devices 2, 2A, 2B, and the communication control systems 100, 100A, 100B are realized, for example, by a computer that executes instructions of a program that is software that realizes each function. .
  • An example of such a computer (hereinafter referred to as computer C) is shown in FIG.
  • Computer C includes at least one processor C1 and at least one memory C2.
  • a program P for operating the computer C as the communication control devices 1, 1A, communication devices 2, 2A, 2B, and communication control systems 100, 100A, 100B is recorded in the memory C2.
  • the processor C1 reads the program P from the memory C2 and executes it, thereby realizing the functions of the communication control devices 1, 1A, the communication devices 2, 2A, 2B, and the communication control systems 100, 100A, 100B. Ru.
  • Examples of the processor C1 include a CPU (Central Processing Unit), GPU (Graphic Processing Unit), DSP (Digital Signal Processor), MPU (Micro Processing Unit), FPU (Floating Point Number Processing Unit), and PPU (Physics Processing Unit). , a microcontroller, or a combination thereof.
  • a flash memory for example, a flash memory, an HDD (Hard Disk Drive), an SSD (Solid State Drive), or a combination thereof can be used.
  • the computer C may further include a RAM for expanding the program P during execution and temporarily storing various data. Further, the computer C may further include a communication interface for transmitting and receiving data with other devices. Further, the computer C may further include an input/output interface for connecting input/output devices such as a keyboard, a mouse, a display, and a printer.
  • the program P can be recorded on a non-temporary tangible recording medium M that is readable by the computer C.
  • a recording medium M for example, a tape, a disk, a card, a semiconductor memory, or a programmable logic circuit can be used.
  • Computer C can acquire program P via such recording medium M.
  • the program P can be transmitted via a transmission medium.
  • a transmission medium for example, a communication network or broadcast waves can be used.
  • Computer C can also obtain program P via such a transmission medium.
  • the communication channel information is information that quantifies the reliability of each communication channel in the target flow as a trust score
  • the determining means is Calculating a risk score for the target flow from the credit score of each communication channel in the target flow, determining the encryption range in the target flow according to the risk score;
  • the communication control device according to supplementary note 2.
  • the encryption range in the target flow can be suitably determined according to the risk score.
  • the determining means sets the encryption range to data and a first header of a packet transmitted through the target flow.
  • the determining means sets the encryption range to part of data and a first header of a packet transmitted through the target flow.
  • the communication control device according to appendix 4.
  • the processing load on the communication device can be reduced.
  • the determining means may determine the encryption range as data of packets transmitted through the target flow; a first header and a second header; The communication control device according to supplementary note 4 or 5.
  • the data of the packet, the first header, and the second header can be encrypted.
  • the determining means sets the encryption range to data, a first header, a second header, and a third header of a packet transmitted through the target flow. do, The communication control device according to appendix 6.
  • the data of the packet, the first header, the second header, and the third header can be encrypted.
  • the communication channel information is information quantified according to the communication medium of each communication channel in the target flow.
  • the communication control device according to any one of Supplementary Notes 1 to 7.
  • the communication channel information is information quantified according to the presence of suspicious traffic on each communication channel in the target flow.
  • the communication control device according to any one of Supplementary Notes 1 to 8.
  • the credit score which is communication channel information
  • the credit score which is communication channel information
  • information can be suitably encrypted or decrypted depending on the security level.
  • Appendix 11 further comprising determining means for determining the encryption range in the target flow by referring to the communication channel information of each communication channel in the target flow;
  • Appendix 12 further comprising receiving means for receiving the encryption range in the target flow from a communication control device that controls the communication device;
  • the communication device according to appendix 10.
  • information can be encrypted or decrypted according to the encryption range received from the communication control device.
  • Appendix 13 an acquisition means for acquiring communication channel information; an instruction means for instructing at least one of encryption and decryption of the target flow using an encryption range for the target flow, which is an encryption range determined according to the acquired communication path information; Execution means for executing at least one of encryption and decryption of the target flow using the encryption range in the target flow;
  • information can be suitably encrypted or decrypted depending on the security level.
  • information can be suitably encrypted or decrypted depending on the security level.
  • (Appendix 16) to the computer Processing to obtain communication channel information; A process of instructing at least one of encryption and decryption of the target flow using an encryption range of the target flow, which is an encryption range that is determined according to the acquired communication path information; A program to run.
  • information can be suitably encrypted or decrypted depending on the security level.
  • this communication control device may further include a memory, and this memory may store a program for causing the processor to execute the acquiring process and the instructing process. Further, this program may be recorded on a computer-readable non-transitory tangible recording medium.
  • At least one processor comprising: Processing to obtain communication channel information; a process of executing at least one of encryption and decryption of the target flow using an encryption range of the target flow, which is an encryption range that is determined according to the acquired communication path information; A communication device that performs
  • this communication device may further include a memory, and this memory may store a program for causing the processor to execute the acquisition process and the execution process. Further, this program may be recorded on a computer-readable non-transitory tangible recording medium.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

セキュリティレベルに応じて好適に情報の暗号化または復号を指示することが可能となるように、通信制御装置（１）は、通信路情報を取得する取得手段（１１）と、取得した通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する指示手段（１２）と、を備えている。

Description

通信制御装置、通信装置、通信制御システム、通信制御方法およびプログラム
　本発明は、通信制御装置、通信装置、通信制御システム、通信制御方法およびプログラムに関する。
　近年、複数の情報処理装置が中継装置を経由して接続されて、ネットワークが構築されることが多くなっている。そのため、各装置間におけるセキュリティリスクも高まってきている。これに関連する技術として、下記の特許文献１および特許文献２に開示された発明がある。
　特許文献１は、情報処理装置が、情報管理装置にセキュリティレベルの異なる複数の項目から成る情報を格納するとき、所定の信用度に応じて情報の暗号化レベルを可変することを開示している。
　特許文献２は、通信部の状態を監視し、現在の通信状態を特定する品質情報を取得し、取得した品質情報に基づいて暗号化レベルを決定し、決定された暗号化レベルに基づいて送信データを暗号化することを開示している。
日本国特開２００６－１５７８８３号 日本国特開２００４－０６４６５２号
　特許文献１には、情報処理装置が、所定の信用度に応じて情報の暗号化レベルを可変することが開示されている。しかしながら、暗号化レベルを可変にしただけでは、セキュリティレベルに応じて好適に情報を暗号化できていない可能性がある。
　また、特許文献２には、現在の通信状態を特定する品質情報に基づいて暗号化レベルを決定することが開示されている。しかしながら、特許文献１と同様に、暗号化レベルを変更するだけでは、セキュリティレベルに応じて好適に情報を暗号化できていない可能性がある。
　本発明の一態様は、上記の問題に鑑みてなされたものであり、セキュリティレベルに応じて好適に情報を暗号化することが可能な技術を提供することを一目的とする。
　本発明の一態様に係る通信制御装置は、通信路情報を取得する取得手段と、取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する指示手段と、を備えている。
　本発明の一態様に係る通信装置は、通信路情報を取得する取得手段と、取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する実行手段と、を備えている。
　本発明の一態様に係る通信制御システムは、通信路情報を取得する取得手段と、取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する指示手段と、前記対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する実行手段と、を備えている。
　本発明の一態様に係る通信制御方法は、通信路情報を取得し、取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する。
　本発明の一態様に係る通信制御方法は、通信路情報を取得し、取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する。
　本発明の一態様に係るプログラムは、コンピュータに、通信路情報を取得する処理と、取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する処理と、を実行させる。
　本発明の一態様に係るプログラムは、コンピュータに、通信路情報を取得する処理と、取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する処理と、を実行させる。
　本発明の一態様によれば、セキュリティレベルに応じて好適に情報を暗号化することができる。
本発明の第１の例示的実施形態に係る通信制御装置の構成例を示すブロック図である。 本発明の第１の例示的実施形態に係る通信制御装置の通信制御方法の流れを示すフロー図である。 本発明の第１の例示的実施形態に係る通信装置の構成例を示すブロック図である。 本発明の第１の例示的実施形態に係る通信装置の通信制御方法の流れを示すフロー図である。 本発明の第１の例示的実施形態に係る通信制御システムの構成例を示すブロック図である。 本発明の第２の例示的実施形態に係る通信制御装置および通信装置の構成例を示すブロック図である。 本発明の第２の例示的実施形態に係る通信制御装置と通信装置との接続を模式的に示す図である。 パケットの暗号化範囲の一例を示す図である。 通信装置間の信用スコアを模式的に示す図である。 リスクスコアの算出方法を説明するための図である。 リスクスコアと暗号化範囲との関係を説明するための図である。 新しく端末をネットワークに接続するときの処理の流れ（その１）を説明するための図である。 新しく端末をネットワークに接続するときの処理の流れ（その２）を説明するための図である。 新しく端末をネットワークに接続するときの処理の流れ（その３）を説明するための図である。 パケットの暗号化範囲を変更するときの処理の流れ（その１）を説明するための図である。 パケットの暗号化範囲を変更するときの処理の流れ（その２）を説明するための図である。 本発明の第３の例示的実施形態に係る通信装置の構成例を示すブロック図である。 各例示的実施形態に係る通信制御装置および通信装置として機能するコンピュータの構成を示すブロック図である。
　〔例示的実施形態１〕
　＜本発明の背景＞
　ＩＳＯ（国際標準化機構）によって策定された、コンピュータの通信機能を階層構造に分割したＯＳＩ（Open Systems Interconnection）参照モデルでは、通信機能（通信プロトコル）が７つの階層（レイヤ）に分けて定義されている。
　通信パケットのヘッダは、レイヤに対応して付加されており、主に、ＭＡＣ（Media Access Control）ヘッダ、ＩＰ（Internet Protocol）ヘッダ、ＴＣＰ／ＵＤＰ（Transmission Control Protocol/User Datagram Protocol）ヘッダを含んでいる。
　各レイヤは、セキュリティリスクを内在している。例えば、ＭＡＣヘッダは、送信元ＭＡＣアドレス、送信先ＭＡＣアドレス等の情報を含んでおり、なりすまし、利用者特定等に利用される可能性がある。
　また、ＩＰヘッダは、送信元ＩＰアドレス、送信先ＩＰアドレス等の情報を含んでおり、なりすまし、利用者特定等に利用される可能性がある。また、ＴＣＰ／ＵＤＰヘッダは、送信元ポート番号、送信先ポート番号等の情報を含んでおり、利用者情報（サーバの種類等）の特定に利用される可能性がある。また、データ部は、やり取りしている情報の漏洩に繋がる可能性がある。
　このように、通信パケットの各領域にはセキュリティリスクが存在するため、暗号化範囲を増やすことによってセキュリティレベルを上げることができる。しかしながら、暗号化範囲を増やすことによって、スループットが低下することになる。例えば、ＭＡＣアドレス、ＩＰアドレス等の宛先情報を暗号化する場合、アクセスポイント、スイッチ、ルータ等の中継装置において、以下のような処理を行う必要がある。
・パケットの宛先の確認のために、受信したパケットの暗号化された宛先を復号し、さらに宛先を暗号化してパケットを送信する必要がある
・新しく宛先のフレームを付加する必要がある
・パケットの宛先が不明な場合には、ブロードキャストして端末で自装置宛てのパケットのみ受け取る必要がある。
　また、通信パケットにおける暗号化範囲を増やした場合、各領域に対応して乱数を発生させる必要があるため、乱数の生成速度によってはスループットがさらに低下する原因となる。
　本発明は、スループットの低下を抑えつつ、必要となるセキュリティレベルに応じて通信パケットの暗号化範囲を適切に制御するものである。
　＜例示的実施形態１に係る通信制御装置１＞
　本発明の第１の例示的実施形態について、図面を参照して詳細に説明する。本例示的実施形態は、後述する例示的実施形態の基本となる形態である。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。また、図中の各ブロックの入出力の接続点には、ポート乃至インタフェースを備える構成としてもよいが、これらの構成については図示を省略する。
　図１は、本発明の第１の例示的実施形態に係る通信制御装置１の構成例を示すブロック図である。本例示的実施形態に係る通信制御装置１は、図１に示すように、取得手段１１と、指示手段１２とを備えている。
　通信制御装置１は、アクセスポイント、スイッチ、ルータ等の中継装置を制御するコントローラ等であり、主に、各中継装置からの通信路情報の取得、各中継装置及び各アダプタに対する暗号化および復号の指示等を行う。
　取得手段１１は、通信路情報を取得する。通信路情報とは、通信フローにおける各通信路に関する情報であり、例えば、各通信路の信頼度を信用スコアとして数値化した情報である。
　通信フローとは、ある端末（送信元）からある端末（送信先）までの通信経路であり、端末間に複数の中継装置がある場合には、それぞれの中継装置間の経路が１つの通信路を形成する。また、端末に接続されるアダプタと中継装置との間の経路も１つの通信路を形成する。したがって、端末間に中継装置がある場合には、通信フローに複数の通信路が含まれることになる。
　通信路の信用スコアは、例えば、通信路の通信媒体の種類によって決めることができ、通信媒体が有線であれば信用スコアとして高い値が設定され、通信媒体が無線であれば信用スコアとして低い値が設定される。
　また、通信路の信用スコアは、通信路が属するＬＡＮ（Local Area Network）に関する情報によっても決めることができる。さらに、通信路の信用スコアは、不審なトラフィックの有無によっても決めることもできる。このとき、不審なトラフィックが存在しない通信路の場合には信用スコアとして高い値が設定され、不審なトラフィックが存在する通信路の場合には信用スコアとして低い値が設定される。
　指示手段１２は、取得した通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する。具体的には、対象フローの各通信路における信用スコアを参照して、対象フローのリスク度合いを示すリスクスコアが算出される。そして、リスクスコアが低い場合（信頼度が高い場合）、狭い暗号化範囲が設定される。また、リスクスコアが高い場合（信頼度が低い場合）、広い暗号化範囲が設定される。
　例えば、パケットにデータ、第１のヘッダ、第２のヘッダおよび第３のヘッダが含まれている場合、（１）暗号化範囲をデータおよび第１のヘッダのみとする、（２）暗号化範囲をデータ、第１のヘッダおよび第２のヘッダとする、（３）暗号化範囲をデータ、第１のヘッダ、第２のヘッダおよび第３のヘッダとする、等のようにして異なる暗号化範囲を設定することができる。
　そして、指示手段１２は、対象フローの各通信路に存在する中継装置およびアダプタに対して、対象フローにおける暗号化範囲を用いて、通信パケットの暗号化および復号の少なくとも何れかを指示する。したがって、端末から端末までに複数の通信フローがある場合には、それぞれの通信フローに対して異なる暗号化範囲が設定されることもあり得る。
　＜通信制御装置１の効果＞
　以上説明したように、本例示的実施形態に係る通信制御装置１によれば、指示手段１２が、通信路情報に応じて定まる暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示するので、セキュリティレベルに応じて好適に情報の暗号化または復号を指示することができる。
　＜通信制御装置１による通信制御方法の流れ＞
　以上のように構成された通信制御装置１が実行する通信制御方法の流れについて、図２を参照して説明する。図２は、通信制御方法の流れを示すフロー図である。図２に示すように、通信制御方法は、ステップＳ１～Ｓ２を含む。
　まず、取得手段１１が、通信路情報を取得する（Ｓ１）。通信路情報とは、通信フローにおける各通信路に関する情報であり、例えば、各通信路の信頼度を信用スコアとして数値化した情報である。
　次に、指示手段１２が、取得した通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する（Ｓ２）。具体的には、指示手段１２は、対象フローの各通信路に存在する中継装置に対して、対象フローにおける暗号化範囲を用いて、通信パケットの暗号化および復号の少なくとも何れかを指示する。
　＜通信制御方法の効果＞
　以上説明したように、本例示的実施形態に係る通信制御方法によれば、指示手段１２が、通信路情報に応じて定まる暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示するので、セキュリティレベルに応じて好適に情報の暗号化または復号を指示することができる。
　＜通信装置２の構成＞
　図３は、本発明の第１の例示的実施形態に係る通信装置２の構成例を示すブロック図である。本例示的実施形態に係る通信装置２は、図３に示すように、取得手段２１と、実行手段２２とを備えている。
　通信装置２は、アクセスポイント、スイッチ、ルータ等の中継装置であり、主に、各通信路における通信路情報の取得、通信制御装置１から指示された暗号化範囲で情報の暗号化および復号等を行う。
　取得手段２１は、通信路情報を取得する。通信路情報とは、通信フローにおける各通信路に関する情報であり、例えば、各通信路の信頼度を信用スコアとして数値化した情報である。
　実行手段２２は、取得した通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する。具体的には、通信制御装置１から指示された暗号化範囲を用いて、通信パケットの暗号化および復号の少なくとも何れかを実行する。
　＜通信装置２の効果＞
　以上説明したように、本例示的実施形態に係る通信装置２によれば、実行手段２２が、通信路情報に応じて定まる暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行するので、セキュリティレベルに応じて好適に情報を暗号化または復号することができる。
　＜通信装置２による通信制御方法の流れ＞
　以上のように構成された通信装置２が実行する通信制御方法の流れについて、図４を参照して説明する。図４は、通信制御方法の流れを示すフロー図である。図４に示すように、通信制御方法は、ステップＳ１１～Ｓ１２を含む。
　まず、取得手段２１が、通信路情報を取得する（Ｓ１１）。通信路情報とは、通信フローにおける各通信路に関する情報であり、例えば、各通信路の信頼度を信用スコアとして数値化した情報である。
　次に、実行手段２２が、取得した通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する（Ｓ１２）。具体的には、通信制御装置１から指示された暗号化範囲を用いて、通信パケットの暗号化および復号の少なくとも何れかを実行する。
　＜通信装置２の通信制御方法の効果＞
　以上説明したように、本例示的実施形態に係る通信制御方法によれば、実行手段２２が、通信路情報に応じて定まる暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行するので、セキュリティレベルに応じて好適に情報を暗号化または復号することができる。
　＜通信制御システム１００の構成＞
　本例示的実施形態に係る通信制御システム１００は、図５に示すように、取得手段３１と、指示手段３２と、実行手段３３と、を備えている。取得手段３１、指示手段３２および実行手段３３は、一例として、ネットワークＮを介して通信可能に構成されている。ここで、当該ネットワークＮの具体的構成は本例示的実施形態を限定するものではないが、一例として、無線ＬＡＮ、有線ＬＡＮ、ＷＡＮ、公衆回線網、モバイルデータ通信網、又は、これらのネットワークの組み合わせを用いることができる。
　なお、通信制御システム１００の各機能がクラウド上で実装されてもよい。例えば、取得手段３１と指示手段３２とが１つの装置であってもよく、実行手段３３が１つの装置であってもよい。これらは、１つの装置内に実装されてもよいし、別々の装置に実装されてもよい。例えば、別々の装置に実装される場合、ネットワークＮを介して各部の情報が送受信されて処理が進められる。
　取得手段３１は、通信路情報を取得する。通信路情報とは、通信フローにおける各通信路に関する情報であり、例えば、各通信路の信頼度を信用スコアとして数値化した情報である。
　指示手段３２は、取得した通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する。
　実行手段３３は、取得した通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する。
　＜通信制御システム１００の効果＞
　以上説明したように、本例示的実施形態に係る通信制御システム１００によれば、指示手段３２が、通信路情報に応じて定まる暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示するので、セキュリティレベルに応じて好適に情報の暗号化または復号を指示することができる。
　また、実行手段３３が、通信路情報に応じて定まる暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行するので、セキュリティレベルに応じて好適に情報を暗号化または復号することができる。
　〔例示的実施形態２〕
　本発明の第２の例示的実施形態について、図面を参照して詳細に説明する。なお、例示的実施形態１において説明した構成要素と同じ機能を有する構成要素については、同じ符号を付し、その説明を適宜省略する。
　＜例示的実施形態２に係る通信制御装置１Ａの構成例＞
　図６は、本発明の第２の例示的実施形態に係る通信制御装置１Ａおよび通信装置２Ａを含んだ通信制御システム１００Ａの構成を示す図である。本例示的実施形態に係る通信制御システム１００Ａは、通信制御装置１Ａと、通信装置２Ａ－１～２Ａ－Ｎとを含む。通信制御装置１Ａは、図６に示すように、通信部４１と、制御部４２と、記憶部４３と、入力部４４と、を備えている。
　通信部４１は、通信装置２Ａ－１～２Ａ－Ｎとの間で情報の送受信を行う。通信部４１は、取得部１１を含む。取得部１１は、本例示的実施形態において取得手段を実現する構成である。
　図７は、本発明の第２の例示的実施形態に係る通信制御装置１Ａと通信装置２Ａとの接続を模式的に示す図である。図６に示す通信装置２Ａ－１～２Ａ－Ｎは、図７に示すアクセスポイント、スイッチ、ルータ等の中継装置２Ａ－１～２Ａ－３と、アダプタ２Ａ－４～２Ａ－６に対応している。端末４－１～４－３はそれぞれ、アダプタ２Ａ－４～２Ａ－６に接続されている。なお、図７においては、通信制御装置１Ａが、中継装置２Ａ－１～２Ａ－３およびアダプタ２Ａ－４～２Ａ－６を制御することを模式的に示しているが、実際には通信制御装置１Ａが通信部４１を介して情報を送受信することによって、中継装置２Ａ－１～２Ａ－３およびアダプタ２Ａ－４～２Ａ－６を制御する。
　アダプタ２Ａ－４～２Ａ－６は、端末４－１～４－３からの通信パケットを暗号化して、中継装置２Ａ－２または２Ａ－３に送信する。また、アダプタ２Ａ－４～２Ａ－６は、中継装置２Ａ－２または２Ａ－３から受信した通信パケットを復号し、端末４－１～４－３へ出力する。
　中継装置２Ａ－１～２Ａ－３は、受信した通信パケットを復号し、宛先を確認した上で、再度通信パケットを暗号化して送信する。また、中継装置２Ａ－１～２Ａ－３は、通信路の通信路情報を取得して、通信制御装置１Ａに通知する。
　取得部１１は、通信装置２Ａ－１～２Ａ－Ｎから、通信路情報を取得する。通信路情報とは、通信フローにおける各通信路に関する情報であり、例えば、各通信路の信頼度を信用スコアとして数値化した情報である。
　制御部４２は、通信制御装置１Ａの全体的な制御を行う部位であり、指示部１２と、決定部１３とを含む。指示部１２は、本例示的実施形態において指示手段を実現する構成である。決定部１３は、本例示的実施形態において決定手段を実現する構成である。
　制御部４２は、定期的に、取得部１１に通信装置２Ａ－１～２Ａ－Ｎから通信路情報を取得させ、取得した通信路情報を記憶部４３に記憶する。
　決定部１３は、記憶部４３に記憶される対象フローにおける各通信路の通信路情報を参照して、当該対象フローにおける暗号化範囲を決定する。具体的には、通信路情報は、対象フローにおける各通信路の信頼度を信用スコアとして数値化した情報であり、決定部１３は、記憶部４３に記憶される対象フローにおける各通信路の信用スコアから、当該対象フローにおけるリスクスコアを算出し、リスクスコアに応じて対象フローにおける暗号化範囲を決定する。
　図８は、パケットの暗号化範囲の一例を示す図である。図８の（１）は、リスクスコアが第１の閾値以下の場合であり、通信パケットのデータと、ＴＣＰ／ＵＤＰヘッダのみを暗号化範囲とした場合を示している。図８の（１）においては、データおよびＴＣＰ／ＵＤＰヘッダの全部を暗号化範囲としているが、例えば、データの一部と、ＴＣＰ／ＵＤＰヘッダの送信元ポート番号のみを暗号化範囲としてもよいし、データの一部と、ＴＣＰ／ＵＤＰヘッダの送信先ポート番号のみを暗号化範囲としてもよい。また、データの一部とＴＣＰ／ＵＤＰヘッダの一部とを暗号化範囲とし、定期的に暗号化範囲を変更することによって、セキュリティレベルを向上させるようにしてもよい。
　図８の（２）は、リスクスコアが第１の閾値以上、第２の閾値以下の場合であり、通信パケットのデータと、ＴＣＰ／ＵＤＰヘッダと、ＩＰヘッダとを暗号化範囲とした場合を示している。ＴＣＰ／ＵＤＰヘッダと同様に、ＩＰヘッダの送信元ＩＰアドレスのみを暗号範囲とするようにしてもよいし、送信先ＩＰアドレスのみを暗号化範囲とするようにしてもよい。
　図８の（３）は、リスクスコアが第２の閾値以上の場合であり、通信パケットのデータと、ＴＣＰ／ＵＤＰヘッダと、ＩＰヘッダと、ＭＡＣヘッダとを暗号化範囲とした場合を示している。ＴＣＰ／ＵＤＰヘッダおよびＩＰヘッダと同様に、ＭＡＣヘッダの送信元ＭＡＣアドレスのみを暗号化範囲とするようにしてもよいし、送信先ＭＡＣアドレスのみを暗号化範囲とするようにしてもよい。
　図９は、通信装置間の信用スコアを模式的に示す図である。中継装置２Ａ－１は、Ｌ３スイッチであり、レイヤ３（ネットワーク層）のＴＣＰ／ＩＰのみをルーティングする機能を有している。中継装置２Ａ－２は、Ｌ２スイッチであり、レイヤ２（データリンク層）を含むマルチプロトコルをルーティングする機能を有している。
　中継装置２Ａ－３は、アクセスポイントであり、無線によってアダプタ２Ａ－６との間の通信を行う。図９においては、アクセスポイント２Ａ－３とアダプタ２Ａ－６との間の通信路の信用スコアが低く、Ｌ３スイッチ２Ａ－１とアクセスポイント２Ａ－３との間の通信路の信用スコアが中であることを示している。それ以外の通信路の信用スコアは高いことを示している。
　図９に示すように、端末４－２～アダプタ２Ａ－５～Ｌ２スイッチ２Ａ－２～Ｌ３スイッチ２Ａ－１～アダプタ２Ａ－７～端末４－４の通信フローにおいては、信用スコアから算出されるリスクスコアが低いため、Ｌ３に対応するＩＰヘッダまでが暗号化範囲となる。また、端末４－３～アダプタ２Ａ－６～アクセスポイント２Ａ－３～Ｌ３スイッチ２Ａ－１～アダプタ２Ａ－７～端末４－４の通信フローにおいては、信用スコアから算出されるリスクスコアが高いため、Ｌ２に対応するＭＡＣヘッダまでが暗号化範囲となる。
　図１０は、リスクスコアの算出方法を説明するための図である。例えば、各通信路の信頼度を１～５の信用スコアとして評価する。通信路が、有線であり、不審なトラフィックが検出されていない場合の信用スコアを「５」とする。通信路が、無線であり、不審なトラフィックが検出されていない場合の信用スコアを「４」とする。通信路が、有線であり、不審なトラフィックが検出されている場合の信用スコアを「２」とする。通信路が、無線であり、不審なトラフィックが検出されている場合の信用スコアを「１」とする。
　図１０に示すように、アダプタ２Ａ－７とＬ３スイッチ２Ａ－１との間の信用スコアが「２」であり、Ｌ３スイッチ２Ａ－１とアクセスポイント２Ａ－３との間の信用スコアが「５」であり、アクセスポイント２Ａ－３とアダプタ２Ａ－６との間の信用スコアが「４」とする。通信フローに含まれる通信路の信用スコアの合計を計算し、満点からの差分をその通信フローのリスクスコアとすると、リスクスコアは次式（式１）の通りとなる。
　　リスクスコア＝５×３－（２＋５＋４）＝４　・・・（式１）
　図１０においては、通信路の数が「３」の場合についてであるが、通信路の数が多くなるとリスクスコアが大きくなる傾向にあるため、通信路の数で割って正規化するようにしてもよい。
　図１１は、リスクスコアと暗号化範囲との関係を説明するための図である。決定部１３は、リスクスコアが第１の閾値以下の場合、暗号化範囲を、対象フローを伝送されるパケットのデータおよび第１のヘッダとする。例えば、第１のヘッダは、ＴＣＰ（／ＵＤＰ）ヘッダである。また、第１のヘッダは、ＩＰヘッダであってもよいし、ＭＡＣヘッダであってもよい。
　決定部１３は、暗号化範囲を、対象フローを伝送されるパケットのデータおよび第１のヘッダの一部としてもよい。例えば、データの一部と、ＴＣＰ／ＵＤＰヘッダの送信元ポート番号のみを暗号化範囲としてもよいし、データの一部と、ＴＣＰ／ＵＤＰヘッダの送信先ポート番号のみを暗号化範囲としてもよい。
　決定部１３は、リスクスコアが第１の閾値以上であり、第１の閾値よりも大きい第２の閾値以下の場合、暗号化範囲を、対象フローを伝送されるパケットのデータ、第１のヘッダおよび第２のヘッダとする。例えば、第１のヘッダがＴＣＰ／ＵＤＰヘッダであり、第２のヘッダがＩＰヘッダである。また、第１のヘッダがＩＰヘッダであってもよいし、第２のヘッダがＭＡＣヘッダであってもよい。第１のヘッダおよび第２のヘッダの組み合わせは、任意である。
　決定部１３は、リスクスコアが第２の閾値以上の場合、暗号化範囲を、対象フローを伝送されるパケットのデータ、第１のヘッダ、第２のヘッダおよび第３のヘッダとする。例えば、第１のヘッダがＴＣＰ／ＵＤＰヘッダであり、第２のヘッダがＩＰヘッダであり、第３のヘッダがＭＡＣヘッダである。
　通信路情報は、対象フローにおける各通信路の通信媒体に応じて数値化された情報である。例えば、通信路の通信媒体が有線であれば通信路情報である信用スコアとして高い値が設定され、通信媒体が無線であれば通信路情報である信用スコアとして低い値が設定される。
　また、通信路情報は、対象フローにおける各通信路の不審なトラフィックの存在に応じて数値化された情報である。例えば、不審なトラフィックが存在しない通信路の場合には通信路情報である信用スコアとして高い値が設定され、不審なトラフィックが存在する通信路の場合には通信路情報である信用スコアとして低い値が設定される。
　再び、図６の説明に戻る。指示部１２は、対象フローの各通信路に存在する中継装置およびアダプタに対して、決定部１３によって決定された暗号化範囲を用いて、通信パケットの暗号化および復号の少なくとも何れかを指示する。このとき、指示部１２は、暗号化範囲の各領域に対応して乱数を発生させ、対象フローの各通信路に存在する中継装置およびアダプタに送信する。
　例えば、暗号化範囲が、データと、ＴＣＰ／ＵＤＰヘッダと、ＩＰヘッダとであれば、データに対応する乱数、ＴＣＰ／ＵＤＰヘッダに対応する乱数、およびＩＰヘッダに対応する乱数を発生させ、対象フローの各通信路に存在する中継装置およびアダプタに３つの乱数を送信して、通信パケットの暗号化および復号の少なくとも何れかを指示する。
　指示部１２は、定期的に乱数を更新するために、暗号化範囲の各領域に対応して乱数を発生させ、対象フローの各通信路に存在する中継装置およびアダプタに乱数を送信するようにしてもよい。
　入力部４４は、例えばスイッチ等によって構成され、通信制御装置１Ａのモード設定等に使用される。制御部４２は、入力部４４に設定された値を取得し、動作モード等の設定や変更を行う。
　＜例示的実施形態２に係る通信装置２Ａの構成例＞
　通信装置２Ａ－１は、図６に示すように、通信部５１と、制御部５２と、記憶部５３と、入力部５４と、を備えている。通信部５１は、通信制御装置１Ａとの間で情報の送受信を行う。通信部５１は、取得部２１と、受信部２３とを含む。取得部２１は、本例示的実施形態において取得手段を実現する構成である。受信部２３は、本例示的実施形態において受信手段を実現する構成である。
　取得部２１は、通信路情報を取得する。通信部５１は、取得部２１によって取得された通信路情報を通信制御装置１Ａに送信する。通信路情報とは、通信フローにおける各通信路に関する情報であり、例えば、各通信路の信頼度を信用スコアとして数値化した情報である。
　受信部２３は、通信装置２Ａ－１～２Ａ－Ｎを制御する通信制御装置１Ａから、対象フローにおける暗号化範囲を受信して、記憶部５３に記憶する。また、受信部２３は、通信制御装置１Ａから暗号化範囲の各領域に対応する乱数を受信して、記憶部５３に記憶する。
　制御部５２は、通信装置２Ａ－１の全体的な制御を行う部位であり、実行部２２を含む。実行部２２は、本例示的実施形態において実行手段を実現する構成である。実行部２２は、記憶部５３に記憶された対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する。このとき、記憶部５３に記憶される暗号化範囲の各領域に対応する乱数が使用される。
　入力部５４は、例えばスイッチ等によって構成され、通信装置２Ａ－１のモード設定等に使用される。制御部５２は、入力部５４に設定された値を取得し、動作モード等の設定や変更を行う。
　図１２～図１４は、新しく端末をネットワークに接続するときの処理の流れを説明するための図である。まず、端末４－４からアダプタ２Ａ－７に平文データのパケットを送信する（Ｓ２１）。次に、アダプタ２Ａ－７は、フローａの暗号化範囲の情報がないことを確認する（Ｓ２２）。なお、フローａは、端末４－４～アダプタ２Ａ－７～Ｌ３スイッチ２Ａ－１～アクセスポイント２Ａ－３～アダプタ２Ａ－６の通信フローである。
　次に、アダプタ２Ａ－７は、通信制御装置１Ａにフローａの暗号化範囲の情報を要求する（Ｓ２３）。通信制御装置１Ａの通信部４１が、アダプタ２Ａ－７から暗号化範囲の要求を受信すると、通信制御装置１Ａの取得部１１が、フローａが通る中継装置２Ａ－１および２Ａ－３に対して通信路情報の報告を要求する（Ｓ２４）。
　次に、中継装置２Ａ－１および２Ａ－３が通信路情報を通信制御装置１Ａに報告すると（Ｓ２５）、通信制御装置１Ａの決定部１３は、報告された通信路情報を各通信路の信用スコアとする（Ｓ２６）。そして、通信制御装置１Ａの決定部１３は、各通信路の信用スコアからフローａのリスクスコアを算出し、リスクスコアに基づいてフローａの暗号化範囲を決定する（Ｓ２７）。
　次に、通信制御装置１Ａの通信部４１は、決定部１３によって決定されたフローａの暗号化範囲を、アダプタ２Ａ－７、Ｌ３スイッチ２Ａ－１、アクセスポイント２Ａ－３およびアダプタ２Ａ－６に送信する（Ｓ２８）。
　アダプタ２Ａ－７は、通信制御装置１Ａから指定された暗号化範囲でパケットを暗号化し、パケットをＬ３スイッチ２Ａ－１に送信する（Ｓ２９）。Ｌ３スイッチ２Ａ－１は、アダプタ２Ａ－７からパケットを受信すると、暗号化範囲がＭＡＣヘッダまたはＩＰヘッダまでであれば、通信制御装置１Ａから指示された暗号化範囲でパケットを復号して宛先を確認し、再度パケットを暗号化してアクセスポイント２Ａ－３に送信する。
　同様に、アクセスポイント２Ａ－３は、Ｌ３スイッチ２Ａ－１からパケットを受信すると、暗号化範囲がＭＡＣヘッダまたはＩＰヘッダまでであれば、通信制御装置１Ａから指示された暗号化範囲でパケットを復号して宛先を確認し、再度パケットを暗号化してアダプタ２Ａ－６に送信する（Ｓ３０）。
　最後に、アダプタ２Ａ－６は、アクセスポイント２Ａ－３から受信したパケットを、通信制御装置１Ａから指示された暗号化範囲で復号して端末４－３に送信し（Ｓ３１）、処理を終了する。
　図１５～図１６は、パケットの暗号化範囲を変更するときの処理の流れを説明するための図である。通信制御装置１Ａは、定期的に、Ｌ３スイッチ２Ａ－１およびアクセスポイント２Ａ－３に対して通信路情報を要求する（Ｓ４１）。
　Ｌ３スイッチ２Ａ－１およびアクセスポイント２Ａ－３が、通信路情報を通信制御装置１Ａに報告すると（Ｓ４２）、通信制御装置１Ａの決定部１３は、報告された通信路情報を各通信路の信用スコアとする（Ｓ４３）。
　次に、通信制御装置１Ａの決定部１３は、信用スコアから各フローのリスクスコアを算出し、リスクスコアに基づいて各フローの暗号化範囲を決定する（Ｓ４４）。通信制御装置１Ａの決定部１３は、記憶部４３に格納されている各フローの現在の暗号化範囲と、ステップＳ４４で算出した各フローの暗号化範囲と比較する。そして、暗号化範囲が異なるフローについては、指示部１２が、そのフローが通る中継装置およびアダプタに対して暗号化範囲の変更を指示する（Ｓ４５）。例えば、フローａの暗号化範囲を変更する場合、アダプタ２Ａ－７、Ｌ３スイッチ２Ａ－１、アクセスポイント２Ａ－３、アダプタ２Ａ－６に対して暗号化範囲の変更を指示する。
　アダプタ２Ａ－７は、端末４－４から受信したパケットをステップＳ４５で指定された暗号化範囲で暗号化を行い、パケットをＬ３スイッチ２Ａ－１に送信する（Ｓ４６）。Ｌ３スイッチ２Ａ－１は、アダプタ２Ａ－７からパケットを受信すると、暗号化範囲がＭＡＣヘッダまたはＩＰヘッダまでであれば、通信制御装置１Ａから指示された暗号化範囲でパケットを復号して宛先を確認し、再度パケットを暗号化してアクセスポイント２Ａ－３に送信する。
　同様に、アクセスポイント２Ａ－３は、Ｌ３スイッチ２Ａ－１からパケットを受信すると、暗号化範囲がＭＡＣヘッダまたはＩＰヘッダまでであれば、通信制御装置１Ａから指示された暗号化範囲でパケットを復号して宛先を確認し、再度パケットを暗号化してアダプタ２Ａ－６に送信する（Ｓ４７）。
　最後に、アダプタ２Ａ－６は、アクセスポイント２Ａ－３から受信したパケットを、通信制御装置１Ａから指示された暗号化範囲で復号して端末４－３に送信し（Ｓ４８）、処理を終了する。
　＜通信制御システム１００Ａの効果＞
　以上説明したように、本例示的実施形態に係る通信制御装置１Ａによれば、決定部１３が、対象フローにおける各通信路の通信路情報を参照して、当該対象フローにおける暗号化範囲を決定するので、セキュリティレベルに応じて好適に対象フローにおける暗号化範囲を決定することができる。
　また、通信制御装置１Ａの決定部１３が、リスクスコアに応じて対象フローにおける暗号化範囲を決定するので、リスクスコアに応じて好適に対象フローにおける暗号化範囲を決定することができる。
　また、通信制御装置１Ａの決定部１３は、リスクスコアが低い場合には、パケットのデータおよび第１のヘッダのみを暗号化範囲とすることができる。
　また、通信制御装置１Ａの決定部１３は、パケットのデータおよびヘッダの一部のみを暗号化範囲とすることにより、通信装置の処理負荷を軽減することができる。
　また、通信制御装置１Ａの決定部１３は、リスクスコアが中位の場合には、パケットのデータ、第１のヘッダおよび第２のヘッダを暗号化範囲とすることができる。
　また、通信制御装置１Ａの決定部１３は、リスクスコアが高い場合には、パケットのデータ、第１のヘッダ、第２のヘッダおよび第３のヘッダを暗号化範囲とすることができる。
　また、通信路情報が対象フローにおける各通信路の通信媒体に応じて数値化された情報であるので、通信制御装置１Ａの決定部１３は、有線通信の場合には通信路情報である信用スコアを高くし、無線通信の場合には通信路情報である信用スコアを低くすることができる。
　また、通信路情報が対象フローにおける各通信路の不審なトラフィックの存在に応じて数値化された情報であるので、通信制御装置１Ａの決定部１３は、不審なトラフィックが存在しない通信路の場合には通信路情報である信用スコアを高くし、不審なトラフィックが存在する通信路の場合には通信路情報である信用スコアを低くすることができる。
　また、通信装置２Ａの実行部２２は、通信制御装置１Ａから受信した暗号化範囲に応じて、情報を暗号化または復号することができる。
　〔例示的実施形態３〕
　本発明の第３の例示的実施形態について、図面を参照して詳細に説明する。なお、例示的実施形態１および２において説明した構成要素と同じ機能を有する構成要素については、同じ符号を付し、その説明を適宜省略する。なお、本例示的実施形態においては、通信制御装置が存在せず、通信装置自身が暗号化範囲を決定して、情報の暗号化および復号を行うものである。
　＜例示的実施形態３に係る通信装置２Ｂの構成例＞
　図１７は、本発明の第３の例示的実施形態に係る通信装置２Ｂを含んだ通信制御システム１００Ｂの構成を示す図である。本例示的実施形態に係る通信制御システム１００Ｂは、通信装置２Ｂ－１～２Ｂ－Ｎを含む。通信装置２Ｂ－１は、図１７に示すように、通信部５１Ｂと、制御部５２Ｂと、記憶部５３と、入力部５４と、を備えている。
　通信部５１Ｂは、通信装置２Ｂ－２～２Ｂ－Ｎとの間で情報の送受信を行う。通信部５１Ｂは、取得部２１を含む。取得部２１は、本例示的実施形態において取得手段を実現する構成である。
　取得部２１は、通信路情報を取得する。具体的には、取得部２１は、通信装置２Ｂ－１自身が接続される通信路における通信路情報と、通信装置２Ｂ－２～２Ｂ－Ｎから受信した対象フローの他の通信路における通信路情報とを取得して、記憶部５３に記憶する。
　決定部２４は、記憶部５３に記憶される対象フローにおける各通信路の通信路情報を参照して、当該対象フローにおける暗号化範囲を決定する。具体的には、通信路情報は、対象フローにおける各通信路の信頼度を信用スコアとして数値化した情報であり、決定部２４は、記憶部５３に記憶される対象フローにおける各通信路の信用スコアから、当該対象フローにおけるリスクスコアを算出し、リスクスコアに応じて対象フローにおける暗号化範囲を決定する。
　実行部２２は、決定部２４によって決定された暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する。
　＜通信制御システム１００Ｂの効果＞
　以上説明したように、本例示的実施形態に係る通信装置２Ｂによれば、決定部２４が、対象フローにおける各通信路の通信路情報を参照して、当該対象フローにおける暗号化範囲を決定するので、セキュリティレベルに応じて好適に対象フローにおける暗号化範囲を決定することができる。
　〔ソフトウェアによる実現例〕
　通信制御装置１、１Ａ、通信装置２、２Ａ、２Ｂ、通信制御システム１００、１００Ａ、１００Ｂの一部又は全部の機能は、集積回路（ＩＣチップ）等のハードウェアによって実現してもよいし、ソフトウェアによって実現してもよい。
　後者の場合、通信制御装置１、１Ａ、通信装置２、２Ａ、２Ｂ、通信制御システム１００、１００Ａ、１００Ｂは、例えば、各機能を実現するソフトウェアであるプログラムの命令を実行するコンピュータによって実現される。このようなコンピュータの一例（以下、コンピュータＣと記載する）を図９に示す。コンピュータＣは、少なくとも１つのプロセッサＣ１と、少なくとも１つのメモリＣ２と、を備えている。メモリＣ２には、コンピュータＣを通信制御装置１、１Ａ、通信装置２、２Ａ、２Ｂ、通信制御システム１００、１００Ａ、１００Ｂとして動作させるためのプログラムＰが記録されている。コンピュータＣにおいて、プロセッサＣ１は、プログラムＰをメモリＣ２から読み取って実行することにより、通信制御装置１、１Ａ、通信装置２、２Ａ、２Ｂ、通信制御システム１００、１００Ａ、１００Ｂの各機能が実現される。
　プロセッサＣ１としては、例えば、ＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphic Processing Unit）、ＤＳＰ（Digital Signal Processor）、ＭＰＵ（Micro Processing Unit）、ＦＰＵ（Floating point number Processing Unit）、ＰＰＵ（Physics Processing Unit）、マイクロコントローラ、又は、これらの組み合わせなどを用いることができる。メモリＣ２としては、例えば、フラッシュメモリ、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、又は、これらの組み合わせなどを用いることができる。
　なお、コンピュータＣは、プログラムＰを実行時に展開したり、各種データを一時的に記憶したりするためのＲＡＭを更に備えていてもよい。また、コンピュータＣは、他の装置との間でデータを送受信するための通信インタフェースを更に備えていてもよい。また、コンピュータＣは、キーボードやマウス、ディスプレイやプリンタなどの入出力機器を接続するための入出力インタフェースを更に備えていてもよい。
　また、プログラムＰは、コンピュータＣが読み取り可能な、一時的でない有形の記録媒体Ｍに記録することができる。このような記録媒体Ｍとしては、例えば、テープ、ディスク、カード、半導体メモリ、又はプログラマブルな論理回路などを用いることができる。コンピュータＣは、このような記録媒体Ｍを介してプログラムＰを取得することができる。また、プログラムＰは、伝送媒体を介して伝送することができる。このような伝送媒体としては、例えば、通信ネットワーク、又は放送波などを用いることができる。コンピュータＣは、このような伝送媒体を介してプログラムＰを取得することもできる。
　〔付記事項１〕
　本発明は、上述した実施形態に限定されるものでなく、請求項に示した範囲で種々の変更が可能である。例えば、上述した実施形態に開示された技術的手段を適宜組み合わせて得られる実施形態についても、本発明の技術的範囲に含まれる。
　〔付記事項２〕
　上述した実施形態の一部又は全部は、以下のようにも記載され得る。ただし、本発明は、以下の記載する態様に限定されるものではない。
　（付記１）
　通信路情報を取得する取得手段と、
　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する指示手段と、
を備えている通信制御装置。
　上記の構成によれば、セキュリティレベルに応じて好適に情報の暗号化または復号を指示することができる。
　（付記２）
　前記対象フローにおける各通信路の前記通信路情報を参照して、当該対象フローにおける前記暗号化範囲を決定する決定手段を更に備える、
付記１に記載の通信制御装置。
　上記の構成によれば、セキュリティレベルに応じて好適に対象フローにおける暗号化範囲を決定することができる。
　（付記３）
　前記通信路情報は、前記対象フローにおける各通信路の信頼度を信用スコアとして数値化した情報であり、
　前記決定手段は、
　　前記対象フローにおける各通信路の信用スコアから、当該対象フローにおけるリスクスコアを算出し、
　　前記リスクスコアに応じて前記対象フローにおける前記暗号化範囲を決定する、
付記２に記載の通信制御装置。
　上記の構成によれば、リスクスコアに応じて好適に対象フローにおける暗号化範囲を決定することができる。
　（付記４）
　前記決定手段は、前記リスクスコアが第１の閾値以下の場合、前記暗号化範囲を、前記対象フローを伝送されるパケットのデータおよび第１のヘッダとする、
付記３に記載の通信制御装置。
　上記の構成によれば、リスクスコアが低い場合には、パケットのデータおよび第１のヘッダのみを暗号化範囲とすることができる。
　（付記５）
　前記決定手段は、前記暗号化範囲を、前記対象フローを伝送されるパケットのデータおよび第１のヘッダの一部とする、
付記４に記載の通信制御装置。
　上記の構成によれば、パケットのデータおよび第１のヘッダの一部のみを暗号化範囲とすることにより、通信装置の処理負荷を軽減することができる。
　（付記６）
　前記決定手段は、前記リスクスコアが第１の閾値以上であり、前記第１の閾値よりも大きい第２の閾値以下の場合、前記暗号化範囲を、前記対象フローを伝送されるパケットのデータ、第１のヘッダおよび第２のヘッダとする、
付記４または５に記載の通信制御装置。
　上記の構成によれば、リスクスコアが中位の場合には、パケットのデータ、第１のヘッダおよび第２のヘッダを暗号化範囲とすることができる。
　（付記７）
　前記決定手段は、前記リスクスコアが前記第２の閾値以上の場合、前記暗号化範囲を、前記対象フローを伝送されるパケットのデータ、第１のヘッダ、第２のヘッダおよび第３のヘッダとする、
付記６に記載の通信制御装置。
　上記の構成によれば、リスクスコアが高い場合には、パケットのデータ、第１のヘッダ、第２のヘッダおよび第３のヘッダを暗号化範囲とすることができる。
　（付記８）
　前記通信路情報は、前記対象フローにおける各通信路の通信媒体に応じて数値化された情報である、
付記１～７のいずれかに記載の通信制御装置。
　上記の構成によれば、有線通信の場合には通信路情報である信用スコアを高くし、無線通信の場合には通信路情報である信用スコアを低くすることができる。
　（付記９）
　前記通信路情報は、前記対象フローにおける各通信路の不審なトラフィックの存在に応じて数値化された情報である、
付記１～８のいずれかに記載の通信制御装置。
　上記の構成によれば、不審なトラフィックが存在しない通信路の場合には通信路情報である信用スコアを高くし、不審なトラフィックが存在する通信路の場合には通信路情報である信用スコアを低くすることができる。
　（付記１０）
　通信路情報を取得する取得手段と、
　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する実行手段と、
を備えている通信装置。
　上記の構成によれば、セキュリティレベルに応じて好適に情報を暗号化または復号することができる。
　（付記１１）
　前記対象フローにおける各通信路の前記通信路情報を参照して、当該対象フローにおける前記暗号化範囲を決定する決定手段を更に備える、
付記１０に記載の通信装置。
　上記の構成によれば、セキュリティレベルに応じて好適に対象フローにおける暗号化範囲を決定することができる。
　（付記１２）
　前記通信装置を制御する通信制御装置から、前記対象フローにおける前記暗号化範囲を受信する受信手段を更に備える、
付記１０に記載の通信装置。
　上記の構成によれば、通信制御装置から受信した暗号化範囲に応じて、情報を暗号化または復号することができる。
　（付記１３）
　通信路情報を取得する取得手段と、
　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する指示手段と、
　前記対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する実行手段と、
を備えている通信制御システム。
　上記の構成によれば、セキュリティレベルに応じて好適に情報を暗号化または復号することができる。
　（付記１４）
　通信路情報を取得し、
　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する、
通信制御方法。
　上記の構成によれば、セキュリティレベルに応じて好適に情報の暗号化または復号を指示することができる。
　（付記１５）
　通信路情報を取得し、
　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する、
通信制御方法。
　上記の構成によれば、セキュリティレベルに応じて好適に情報を暗号化または復号することができる。
　（付記１６）
　コンピュータに、
　通信路情報を取得する処理と、
　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する処理と、
を実行させるプログラム。
　上記の構成によれば、セキュリティレベルに応じて好適に情報の暗号化または復号を指示することができる。
　（付記１７）
　コンピュータに、
　通信路情報を取得する処理と、
　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する処理と、
を実行させるプログラム。
　上記の構成によれば、セキュリティレベルに応じて好適に情報を暗号化または復号することができる。
　（付記１８）
　少なくとも１つのプロセッサを備え、前記プロセッサは、
　通信路情報を取得する処理と、
　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する処理と、
を実行する通信制御装置。
　なお、この通信制御装置は、更にメモリを備えていてもよく、このメモリには、前記取得する処理と、前記指示する処理とを前記プロセッサに実行させるためのプログラムが記憶されていてもよい。また、このプログラムは、コンピュータ読み取り可能な一時的でない有形の記録媒体に記録されていてもよい。
　（付記１９）
　少なくとも１つのプロセッサを備え、前記プロセッサは、
　通信路情報を取得する処理と、
　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する処理と、
を実行する通信装置。
　なお、この通信装置は、更にメモリを備えていてもよく、このメモリには、前記取得する処理と、前記実行する処理とを前記プロセッサに実行させるためのプログラムが記憶されていてもよい。また、このプログラムは、コンピュータ読み取り可能な一時的でない有形の記録媒体に記録されていてもよい。
　１，１Ａ　通信制御装置
　２，２Ａ，２Ｂ　通信装置
　１１，２１　取得部（取得手段）
　１２　指示部（指示手段）
　１３，２４　決定部（決定手段）
　２２　実行部（実行手段）
　２３　受信部（受信手段）
　３１　取得手段
　３２　指示手段
　３３　実行手段
　４１，５１，５１Ｂ　通信部
　４２，５２，５２Ｂ　制御部
　４３，５３　記憶部
　４４，５４　入力部
　１００，１００Ａ，１００Ｂ　通信制御システム

 

Claims (17)

  1. 　通信路情報を取得する取得手段と、
    　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する指示手段と、
    を備えている通信制御装置。
  2. 　前記対象フローにおける各通信路の前記通信路情報を参照して、当該対象フローにおける前記暗号化範囲を決定する決定手段を更に備える、
    請求項１に記載の通信制御装置。
  3. 　前記通信路情報は、前記対象フローにおける各通信路の信頼度を信用スコアとして数値化した情報であり、
    　前記決定手段は、
    　　前記対象フローにおける各通信路の信用スコアから、当該対象フローにおけるリスクスコアを算出し、
    　　前記リスクスコアに応じて前記対象フローにおける前記暗号化範囲を決定する、
    請求項２に記載の通信制御装置。
  4. 　前記決定手段は、前記リスクスコアが第１の閾値以下の場合、前記暗号化範囲を、前記対象フローを伝送されるパケットのデータおよび第１のヘッダとする、
    請求項３に記載の通信制御装置。
  5. 　前記決定手段は、前記暗号化範囲を、前記対象フローを伝送されるパケットのデータおよび第１のヘッダの一部とする、
    請求項４に記載の通信制御装置。
  6. 　前記決定手段は、前記リスクスコアが第１の閾値以上であり、前記第１の閾値よりも大きい第２の閾値以下の場合、前記暗号化範囲を、前記対象フローを伝送されるパケットのデータ、第１のヘッダおよび第２のヘッダとする、
    請求項４または５に記載の通信制御装置。
  7. 　前記決定手段は、前記リスクスコアが前記第２の閾値以上の場合、前記暗号化範囲を、前記対象フローを伝送されるパケットのデータ、第１のヘッダ、第２のヘッダおよび第３のヘッダとする、
    請求項６に記載の通信制御装置。
  8. 　前記通信路情報は、前記対象フローにおける各通信路の通信媒体に応じて数値化された情報である、
    請求項１～７のいずれか１項に記載の通信制御装置。
  9. 　前記通信路情報は、前記対象フローにおける各通信路の不審なトラフィックの存在に応じて数値化された情報である、
    請求項１～８のいずれか１項に記載の通信制御装置。
  10. 　通信路情報を取得する取得手段と、
    　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する実行手段と、
    を備えている通信装置。
  11. 　前記対象フローにおける各通信路の前記通信路情報を参照して、当該対象フローにおける前記暗号化範囲を決定する決定手段を更に備える、
    請求項１０に記載の通信装置。
  12. 　前記通信装置を制御する通信制御装置から、前記対象フローにおける前記暗号化範囲を受信する受信手段を更に備える、
    請求項１０に記載の通信装置。
  13. 　通信路情報を取得する取得手段と、
    　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する指示手段と、
    　前記対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する実行手段と、
    を備えている通信制御システム。
  14. 　通信路情報を取得し、
    　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する、
    通信制御方法。
  15. 　通信路情報を取得し、
    　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する、
    通信制御方法。
  16. 　コンピュータに、
    　通信路情報を取得する処理と、
    　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを指示する処理と、
    を実行させるプログラム。
  17. 　コンピュータに、
    　通信路情報を取得する処理と、
    　取得した前記通信路情報に応じて定まる暗号化範囲であって、対象フローにおける暗号化範囲を用いて、当該対象フローの暗号化および復号の少なくとも何れかを実行する処理と、
    を実行させるプログラム。

     
PCT/JP2022/011516 2022-03-15 2022-03-15 通信制御装置、通信装置、通信制御システム、通信制御方法およびプログラム WO2023175705A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2022/011516 WO2023175705A1 (ja) 2022-03-15 2022-03-15 通信制御装置、通信装置、通信制御システム、通信制御方法およびプログラム
US18/843,750 US20250193003A1 (en) 2022-03-15 2022-03-15 Communication control device, communication device, communication control system, communication control method, and program
JP2024507239A JPWO2023175705A1 (ja) 2022-03-15 2022-03-15

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/011516 WO2023175705A1 (ja) 2022-03-15 2022-03-15 通信制御装置、通信装置、通信制御システム、通信制御方法およびプログラム

Publications (1)

Publication Number Publication Date
WO2023175705A1 true WO2023175705A1 (ja) 2023-09-21

Family

ID=88022488

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/011516 WO2023175705A1 (ja) 2022-03-15 2022-03-15 通信制御装置、通信装置、通信制御システム、通信制御方法およびプログラム

Country Status (3)

Country Link
US (1) US20250193003A1 (ja)
JP (1) JPWO2023175705A1 (ja)
WO (1) WO2023175705A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090327695A1 (en) * 2008-04-23 2009-12-31 Dell Products L.P. Systems and methods for applying encryption to network traffic on the basis of policy
WO2013179551A1 (ja) * 2012-05-29 2013-12-05 パナソニック株式会社 送信装置、受信装置、通信システム、送信方法、及び受信方法
US9621575B1 (en) * 2014-12-29 2017-04-11 A10 Networks, Inc. Context aware threat protection

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090327695A1 (en) * 2008-04-23 2009-12-31 Dell Products L.P. Systems and methods for applying encryption to network traffic on the basis of policy
WO2013179551A1 (ja) * 2012-05-29 2013-12-05 パナソニック株式会社 送信装置、受信装置、通信システム、送信方法、及び受信方法
US9621575B1 (en) * 2014-12-29 2017-04-11 A10 Networks, Inc. Context aware threat protection

Also Published As

Publication number Publication date
US20250193003A1 (en) 2025-06-12
JPWO2023175705A1 (ja) 2023-09-21

Similar Documents

Publication Publication Date Title
US12341706B2 (en) System and method for virtual interfaces and advanced smart routing in a global virtual network
CN114402574B (zh) 用于提供多租户软件定义的广域网(sd-wan)节点的方法、系统和计算机可读介质
US10897509B2 (en) Dynamic detection of inactive virtual private network clients
TWI474667B (zh) 生成和分佈網路安全參數之系統及方法
EP1427162A1 (en) Security processor mirroring
US9054923B2 (en) Communication terminal, communication method, and program
JP7400814B2 (ja) 中間ノードにより行われる方法
Popovic et al. iPRP—The parallel redundancy protocol for IP networks: Protocol design and operation
JP2021040308A (ja) エンドツーエンドのセキュアな通信のための方法および装置
CN114500176A (zh) 用于vpn的多流负载均衡方法、装置、系统及存储介质
US12278826B2 (en) Methods and systems of operating software-defined networks
US10938877B2 (en) Optimizing data transmission parameters of a proprietary network
WO2023175705A1 (ja) 通信制御装置、通信装置、通信制御システム、通信制御方法およびプログラム
EP4409857B1 (en) Methods and systems of operating software-defined networks
KR101730403B1 (ko) 네트워크 경로를 관리하는 방법 및 이를 수행하는 네트워크 엔티티
CN114070636B (zh) 安全控制方法、装置，交换机，服务器及网络系统
US11979230B1 (en) Method and system for transmitting data over multiple paths
JP2017208718A (ja) 通信装置および通信方法
CN118519678B (zh) 远程运维方法、装置、设备、存储介质和计算机程序产品
JP5457972B2 (ja) トンネル終端システム、トンネル終端方法、トンネル終端制御装置、トンネル終端制御方法およびそのプログラム
CN120223652A (zh) 数据包发送方法、装置、终端设备及存储介质
CN119011273A (zh) 报文转发方法、装置、电子设备及存储介质
KR20170110416A (ko) 위치 정보를 이용한 통신 데이터 전송 방법
HK1232353B (zh) 用於通過聚合連接傳輸數據的方法及系統

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22931990

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2024507239

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 18843750

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 22931990

Country of ref document: EP

Kind code of ref document: A1

WWP Wipo information: published in national office

Ref document number: 18843750

Country of ref document: US