秘匿通信フレームワーク

本フレームワークは平文データの入力を暗号化、認証情報を付加し、暗号文データの入 力を復号化・検証することを目的とする。図 27において左側が出力機器、右側が入力機器 になっているが、実機では一つの機器内に入力・出力が混在する。

OS からの入力はパケット制御機能に入り、そのパケットに対してどのような秘匿通信 機能を与えるのかを秘匿通信管理機能に問合せる。秘匿通信管理機能は認証フレームワー クに問合せて、そのパケットに対するセキュリティ・ポリシーを得る。そのポリシーに応 じて平文のまま送信するか暗号化・認証するかを決定する。暗号化・認証する場合は、

SA(Security Association)管理機能によって暗号化、認証の方法を問合せる。SA 管理機能 は認証フレームワークからそのパケットに該当するSAを得て返却する。SAが得られなか った場合は、パケット制御機能が該当パケットを破棄し、SA が得られないというエラー をログ出力機能に出力する。

送信データの SA にしたがって、データ暗号化機能でデータを暗号化し、データ認証機 能でデータの認証情報を付加し、データ送信機能に渡す。この一連の過程でエラーが発生 した場合は該当パケットを破棄し、エラーログをログ出力機能に出力する。最終的に、デ ータ送信機能が宛先機器アドレスにしたがってパケットを送信する。このとき発生した通 信エラーは秘匿通信機能のエラーではないため、下層の通信プロトコルによって処理され 本フレームワークは関知しない。また、コネクションレス指向のプロトコルを採用してい るため本フレームワークでの再送制御や輻輳制御は行わない。

データの受信側は、受け取ったデータに対応する SA にしたがって、データ検証機能で データの正当性を検証し、データ復号化機能でデータの復号化を行い、パケット制御機能 に渡す。パケット制御機能では、そのパケットに対するポリシーを適用して、データをOS に渡すか破棄するかを決定する。復号・検証の処理でエラーが発生した場合は該当パケッ トを破棄し、エラーログをログ出力機能に出力する。

72 72 72 72

OS OS

アプリケーション アプリケーション

パケット制御機能

SA管理機能 データ暗号化機能

データ認証機能

パケット制御機能

データ復号化機能

データ検証機能 SA管理機能

データ

データ

平文、SA

秘匿通信管理機能

暗号化後データ、SA

データ送信機能 データ受信機能

認証後データ 入力データ、SA

検証後データ、SA 復号化後データ

データ データ

秘匿通信管理機能

平文 平文

SA 問合せ

SA問合せ、

SA返却 管理情報

問合せ 管理情報問合せ、

管理情報返却

認証フレームワーク

SA問合せ、

SA返却

SA問合せ、

SA返却

ログ出力機能 ログ出力機能

セキュリティ 監視エージェント

ログ ログ

ログ出力機能には細破線中の全ての機能から入線がある。しかし、簡単のため省略。

秘匿通信ポリシー 問合せ

秘匿通信ポリシー 問合せ

通信路

図27 秘匿通信フレームワーク機能関連図

本機能は、以下の機能から構成される。

„ パケット制御機能

„ 秘匿通信管理機能

„ SA管理機能

„ データ暗号化機能

„ データ認証機能

„ データ送信機能

„ データ受信機能

„ データ検証機能

„ データ復号化機能

„ ログ出力機能

(i) パケット制御機能 パケット制御機能 パケット制御機能 パケット制御機能

Outbound データを扱う場合、セキュリティ機能を適用するなら SA を取得してデータ 暗号化機能に渡す。Inbound データの場合、セキュリティ・ポリシーに応じてパケットの 取捨選択をし、上位層に渡す。

(ii) 秘匿通信管理機能 秘匿通信管理機能 秘匿通信管理機能 秘匿通信管理機能

認証フレームワークと連携して、パケットに対する処理の内容を決定する。

73 73 73 73

(iii) SA 管理機能 管理機能 管理機能 管理機能

認証フレームワークと連携して、パケット単位で適用するセキュリティ機能を決定する。

(iv) データ暗号化機能 データ暗号化機能 データ暗号化機能 データ暗号化機能

Outboundデータの暗号化を行う。

(v) データ認証機能 データ認証機能 データ認証機能 データ認証機能

Outboundデータが改ざんされてないことを保証するための認証情報を生成する。

(vi) データ送信機能 データ送信機能 データ送信機能 データ送信機能

通信相手の機器のデータ受信機能にデータを送信する。

(vii) データ受信機能 データ受信機能 データ受信機能 データ受信機能

通信相手の機器のデータ送信機能からデータを受信し、データ検証機能またはパケット 制御機能に渡す。

74 74 74 74

(viii) データ検証機能 データ検証機能 データ検証機能 データ検証機能

Inboundデータが改ざんされていないことを検証する。

(ix) データ復号化機能 データ復号化機能 データ復号化機能 データ復号化機能

Inboundデータの復号化を行う。

(x) ログ出力機能 ログ出力機能 ログ出力機能 ログ出力機能

秘匿通信フレームワークにおいて発生する各種イベントをセキュリティ監視エージェン トに転送する。