[发明专利]与计算机系统的加密通信方法及系统

说明书

技术领域

本发明涉及经由因特网等通信网络进行加密通信的技术，特别涉及从连接到因特网等通信网络上的装置来使用经由网络使用硬盘装置等存储装置的计算机系统的技术。

背景技术

在日本特开2005-327233号公报(第13页、图9、所谓文献1)中记载着如下技术：在经由因特网连接了存储装置和刀片计算机(blade computer)的构成中，用户使用被连接到网络上的任意终端装置来接入刀片计算机，用作用户每个人可以自由地设定环境或应用的计算机。所谓刀片计算机就是指以在机架中容纳多枚并利用为前提的一枚计算机基板，在电子基板上搭载CPU和存储器等构成计算机的装置(以下简称为“刀片”)。

连接在因特网等外部网络上的外部终端装置，接入被连接在公司等组织内的内部网络上的刀片时，在外部网络和内部网络的边界，设置防火墙，判别外部终端装置的用户是否正确，若是正确的用户则可以接入被连接在内部网络上的刀片。但是，在文献1中，没有记载将外部终端装置和刀片间的通信加密的方法。

而另一方面，作为进行外部终端装置的认证及通信的加密的技术，有像NORTEL NETWORKS，“Alteon SSL VPN”，NORTEL NETWORKS，p2-3，<http://www.nortel.com/products/01/alteon/sslvpn/collateral/nn102960-073103.pdf>(文献2)中所例示的VPN(VirtualPrivate Network：虚拟个人网络)技术。例如，对连接到因特网等外部网络上的外部终端装置与连接在公司等组织内网络上的内部终端装置进行加密通信的情况进行了说明。

首先，外部终端装置从因特网对位于组织内网络的入口的VPN装置，发送连接到内部终端装置的请求。在此，VPN装置使用公开秘钥证书(以下记作“证书”)等，进行外部终端装置的认证，确认是能接入内部终端装置的终端装置。而且，外部终端装置使用证书等进行VPN装置的认证。

若外部终端装置和VPN装置相互能够认证，则在外部终端装置和VPN装置共用加密秘钥，在两者之间交换的数据使用加密秘钥进行加密。而且，VPN装置连接至内部终端装置，对外部终端装置和内部终端装置交换的数据进行中继。

这样一来，外部终端装置可以经由VPN装置与内部终端装置进行通信。而且，由于在外部终端装置和VPN装置之间交换的数据被加密，所以可以进行安全的通信。

在文献2中，公开了提供这样的VPN技术的设备的功能说明。

在文献1记载的计算机系统中，为了使终端装置和刀片之间的通信为安全的通信，可以考虑使用文献2所记载的VPN技术。但是，在使用了现有的VPN技术的安全通信方法中，由于VPN装置中继所交换的全部数据，所以在存在多个终端装置和多个刀片的情况下，VPN装置的负荷有可能变大。

而且，使用了文献2的VPN技术的加密通信方法，是将终端装置和VPN装置之间的通信加密的方法，没有公开有关VPN装置和刀片间的加密通信。因此，在VPN装置和刀片间的通信中，存在交换平文的数据的问题。

发明内容

本发明是鉴于上述事情而提出的，其提供一种在安全地进行连接在外部网络上的装置和连接在组织内网络上的装置之间的通信的情况下使通信的负荷分散的技术、及/或通过将从终端装置到刀片之间的通信加密，能够更加确保安全的技术。

也就是说，本发明提供配置了管理终端装置和刀片的管理服务器的通信系统。

本发明的通信系统通过以下步骤在终端装置和刀片之间进行安全通信。

首先，终端装置连接至被连接在组织内网络的入口上的管理服务器，终端装置和管理服务器相互进行使用了证书的认证。若相互认证成功，则共用用于对在终端装置和管理服务器之间交换的数据进行加密的加密秘钥，建立终端装置和管理服务器间的加密通信路径。

管理服务器参照记录了刀片的使用状况的刀片使用状况表，选择成为该终端装置的通信对方的刀片。然后，对所选择的刀片，发送根据用户ID从保存器读入该刀片的电源接通、启动、及该外部通信终端的用户使用的信息的意思的指令。此时的刀片即使为电源断开的状态，也根据来自管理服务器的指令，使接受电源导通和启动指示的部分通电，变为等待接受指示的状态。

若电源导通，则该刀片进行启动处理，从连接在组织内网络上的保存器读入该外部终端使用的信息。然后，刀片通过与在上述终端装置和管理服务器实施的加密通信路径建立步骤相同的步骤，在刀片和管理服务器之间进行加密通信路径的建立。