知財求人 - 知財ポータルサイト「IP Force」
▶ 西安西▲電▼捷通▲無▼綫▲網▼絡通信股▲分▼有限公司の特許一覧
特許5785346リンク層セキュリティー伝送をサポートする交換設備およびデータ処理方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B1)
(11)【特許番号】5785346
(24)【登録日】2015年7月31日
(45)【発行日】2015年9月30日
(54)【発明の名称】リンク層セキュリティー伝送をサポートする交換設備およびデータ処理方法
(51)【国際特許分類】
H04L 9/36 20060101AFI20150910BHJP
【ＦＩ】
H04L9/00 685
【請求項の数】7
【全頁数】25
(21)【出願番号】特願2015-67586(P2015-67586)
(22)【出願日】2015年3月27日
(62)【分割の表示】特願2013-545016(P2013-545016)の分割
【原出願日】2011年6月17日
【審査請求日】2015年3月27日
(31)【優先権主張番号】201010596665.5
(32)【優先日】2010年12月20日
(33)【優先権主張国】CN
【早期審査対象出願】
(73)【特許権者】
【識別番号】505164405
【氏名又は名称】西安西▲電▼捷通▲無▼綫▲網▼絡通信股▲分▼有限公司
【氏名又は名称原語表記】ＣＨＩＮＡ ＩＷＮＣＯＭＭ ＣＯ．， ＬＴＤ．
(74)【代理人】
【識別番号】100111372
【弁理士】
【氏名又は名称】津野 孝
(74)【代理人】
【識別番号】100168538
【弁理士】
【氏名又は名称】加藤 来
(72)【発明者】
【氏名】▲鉄▼ ▲満▼霞
(72)【発明者】
【氏名】李 琴
(72)【発明者】
【氏名】杜 志▲強▼
【審査官】
打出 義尚
(56)【参考文献】
【文献】
特開２００８−０４２７１５（ＪＰ，Ａ）
【文献】
特開２００８−１０４０４０（ＪＰ，Ａ）
【文献】
米国特許出願公開第２００８／０１２３６５２（ＵＳ，Ａ１）
(58)【調査した分野】（Int.Cl.，ＤＢ名）
Ｈ０４Ｌ ９／３６
(57)【特許請求の範囲】
【請求項1】
リンク層セキュリティー伝送をサポートする交換設備は、交換モジュール、第１ポート（ＰｏｒｔＸ）モジュールと、第２ポート（ＰｏｒｔＹ）モジュールとを備え、
各ポートモジュールは、それぞれ交換モジュールと電気的に隣接し、
前記第１ポートモジュールと前記第２ポートモジュールは、アルゴリズムモジュールと、インターフェースモジュールと、セキュリティー処理モジュールと、キー管理モジュールとを備え、
前記キー管理モジュールは、共有キーをストレージ・管理し、
前記アルゴリズムモジュールは、暗号化・復号アルゴリズムおよび／または整合性検証アルゴリズムを実行し、ハードウェアまたはソフトウェアにより実現し、
前記交換設備の第１ポートモジュールのインターフェースモジュールは、第１フレームヘッドおよび第１ペイロードを備えるデータフレームであるＦｒａｍｅＡｌを受信して、ＰｏｒｔＸのセキュリティー処理モジュールへ送信し、
前記交換設備の第１ポートモジュールのセキュリティー処理モジュールは、ＦｒａｍｅＡｌの第１フレームヘッドの情報に基づいて、第１ポートモジュールのキー管理モジュールとアルゴリズムモジュールを結合してＦｒａｍｅＡ１を処理し、第２フレームヘッドおよび第２ペイロードを備えるＦｒａｍｅＡ２を構成して、交換設備の交換モジュールへ送信し、
前記交換設備の交換モジュールは、ＦｒａｍｅＡ２の第２フレームヘッドの情報を抽出し、もし、第２フレームヘッドにおけるＤＡフィールドと交換設備ＭＡＣアドレスが一致すれば、交換設備は、ＦｒａｍｅＡ２の第２ペイロードをリンク層の上位層へ渡して処理し、もし、一致しなければ、交換設備は、ローカルのＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス学習（ＭＡＣ ａｄｄｒｅｓｓ ｌｅａｒｎｉｎｇ）の情報に基づいて、正確に、ＦｒａｍｅＡ２を前記第２ポートモジュールのセキュリティー処理モジュールまで交換し、
交換設備ポートの前記第２ポートモジュールのセキュリティー処理モジュールは、第２フレームヘッドの情報に基づいて、前記第２ポートモジュールのキー管理モジュールとアルゴリズムモジュールを結合してＦｒａｍｅＡ２を処理し、ＦｒａｍｅＡ３を構成し、ＰｏｒｔＹのインターフェースモジュールにより第３フレームヘッドおよび第３ペイロードを備えるＦｒａｍｅＡ３を出力し、
ここで、前記第１ポートは、交換設備の第１ポートモジュールであって前記第１ポートをデータフレームであるＦｒａｍｅＡの入力ポートとし、
前記第２ポートは、交換設備の第２ポートモジュールであって前記第２ポートをデータフレームであるＦｒａｍｅＡの出力ポートとし、
前記ＦｒａｍｅＡ１は、前記第１ポートモジュールのインターフェースモジュールが受信するデータフレームを表し、
前記ＦｒａｍｅＡ２は、前記第１ポートモジュールのセキュリティー処理モジュールが交換モジュールへ送信するデータフレームを表し、
前記ＦｒａｍｅＡ３は、前記第２ポートモジュールのインターフェースモジュールが最後に出力するデータフレームを表し、
もし、交換設備が受信したＦｒａｍｅＡｌが暗号化データフレームであれば、交換設備は、当該データフレームを復号・再暗号化処理後に転送しなければならなく、データフレームであるＦｒａｍｅＡ１を復号処理し、ＦｒａｍｅＡ２の構成に使用するキーをＫＥＹ１と表記し、
前記データフレームであるＦｒａｍｅＡ２を暗号化処理し、ＦｒａｍｅＡ３の構成に使用するキーをＫＥＹ２と表記し、
前記交換設備第１ポートは、ＫＥＹ１を利用してＦｒａｍｅＡ１を復号処理し、ＦｒａｍｅＡ２を構成し、
前記第２ポートは、ＫＥＹ２を利用してＦｒａｍｅＡ２を暗号化処理し、ＦｒａｍｅＡ３を構成し、
前記交換設備は、基準のＩＳＯ／ＩＥＣ８８０２−３データフレーム、または、リンク層暗号化プロトコルデータフレームをサポートし、
前記交換設備がリンク層暗号化プロトコルデータフレームをサポートする場合、前記リンク層暗号化プロトコルデータフレームは、フレームヘッドフィールドとペイロードフィールドとを備え、
前記フレームヘッドフィールドは、ＤＡフィールドと、ＳＡフィールドと、Ｅｔｈｅｒｔｙｐｅフィールドと、ｉｓＥフィールドと、ｋｅｙＩｎｄｅｘフィールドとを備え、
ここで、前記ＤＡフィールドは、目的ノードの識別子を表し、目的ノードのＭＡＣアドレスの値を自分の値とし、
前記ＳＡフィールドは、ソースノードの識別子を表し、ソースノードのＭＡＣアドレスの値を自分の値とし、
前記Ｅｔｈｅｒｔｙｐｅフィールドは、イーサタイプフィールドを表し、リンク層暗号化プロトコルのイーサタイプフィールドの値を自分の値とし、対応するリンク層暗号化プロトコルおよびフレーム構造を識別し、
前記ｉｓＥフィールドは、暗号化フラグを表し、データフレームのペイロードがユーザーデータの平文情報または暗号文情報かを識別し、データパケットの受信側は、当該フィールドを復号しなければならないか否かの判断要素とし、
前記ｋｅｙＩｎｄｅｘフィールドは、ペイロードを保護するキーの識別子を表し、
前記ペイロードフィールドは、ユーザーデータの情報を表し、ユーザーデータの平文情報でもよく、ユーザーデータの暗号文情報でも良く、
前記フレームヘッドフィールドは、ＭＡＣｌｉｓｔフィールドをさらに含むこともでき、前記ＭＡＣｌｉｓｔフィールドは、特定ＭＡＣアドレスリストの情報を表し、当該フィールドは、オプションフィールドであり、
前記ＭＡＣｌｉｓｔフィールドがある場合、
前記ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストにおける交換設備が目的ノードであれば、受信したデータフレームを復号受信しなければならなく、目的ノードでなければ、受信したデータフレームを復号・再暗号化を行い、再転送しなければならなく、
前記ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリスト以外の交換設備が、目的ノードであれば、受信したデータフレームを復号受信し、目的ノードでなければ、受信した暗号文データパケットを直接転送するだけでよく、
前記ＭＡＣｌｉｓｔフィールドが無い場合、当該データフレームを受信する交換設備が目的ノードであれば、受信したデータフレームを復号受信しなければならなく、目的ノードでなければ、受信したデータフレームを復号・再暗号化し、再転送を行わなければならないことを特徴とするリンク層セキュリティー伝送をサポートする交換設備。
各ポートモジュールは、それぞれ交換モジュールと電気的に隣接し、
前記第１ポートモジュールと前記第２ポートモジュールは、アルゴリズムモジュールと、インターフェースモジュールと、セキュリティー処理モジュールと、キー管理モジュールとを備え、
前記キー管理モジュールは、共有キーをストレージ・管理し、
前記アルゴリズムモジュールは、暗号化・復号アルゴリズムおよび／または整合性検証アルゴリズムを実行し、ハードウェアまたはソフトウェアにより実現し、
前記交換設備の第１ポートモジュールのインターフェースモジュールは、第１フレームヘッドおよび第１ペイロードを備えるデータフレームであるＦｒａｍｅＡｌを受信して、ＰｏｒｔＸのセキュリティー処理モジュールへ送信し、
前記交換設備の第１ポートモジュールのセキュリティー処理モジュールは、ＦｒａｍｅＡｌの第１フレームヘッドの情報に基づいて、第１ポートモジュールのキー管理モジュールとアルゴリズムモジュールを結合してＦｒａｍｅＡ１を処理し、第２フレームヘッドおよび第２ペイロードを備えるＦｒａｍｅＡ２を構成して、交換設備の交換モジュールへ送信し、
前記交換設備の交換モジュールは、ＦｒａｍｅＡ２の第２フレームヘッドの情報を抽出し、もし、第２フレームヘッドにおけるＤＡフィールドと交換設備ＭＡＣアドレスが一致すれば、交換設備は、ＦｒａｍｅＡ２の第２ペイロードをリンク層の上位層へ渡して処理し、もし、一致しなければ、交換設備は、ローカルのＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス学習（ＭＡＣ ａｄｄｒｅｓｓ ｌｅａｒｎｉｎｇ）の情報に基づいて、正確に、ＦｒａｍｅＡ２を前記第２ポートモジュールのセキュリティー処理モジュールまで交換し、
交換設備ポートの前記第２ポートモジュールのセキュリティー処理モジュールは、第２フレームヘッドの情報に基づいて、前記第２ポートモジュールのキー管理モジュールとアルゴリズムモジュールを結合してＦｒａｍｅＡ２を処理し、ＦｒａｍｅＡ３を構成し、ＰｏｒｔＹのインターフェースモジュールにより第３フレームヘッドおよび第３ペイロードを備えるＦｒａｍｅＡ３を出力し、
ここで、前記第１ポートは、交換設備の第１ポートモジュールであって前記第１ポートをデータフレームであるＦｒａｍｅＡの入力ポートとし、
前記第２ポートは、交換設備の第２ポートモジュールであって前記第２ポートをデータフレームであるＦｒａｍｅＡの出力ポートとし、
前記ＦｒａｍｅＡ１は、前記第１ポートモジュールのインターフェースモジュールが受信するデータフレームを表し、
前記ＦｒａｍｅＡ２は、前記第１ポートモジュールのセキュリティー処理モジュールが交換モジュールへ送信するデータフレームを表し、
前記ＦｒａｍｅＡ３は、前記第２ポートモジュールのインターフェースモジュールが最後に出力するデータフレームを表し、
もし、交換設備が受信したＦｒａｍｅＡｌが暗号化データフレームであれば、交換設備は、当該データフレームを復号・再暗号化処理後に転送しなければならなく、データフレームであるＦｒａｍｅＡ１を復号処理し、ＦｒａｍｅＡ２の構成に使用するキーをＫＥＹ１と表記し、
前記データフレームであるＦｒａｍｅＡ２を暗号化処理し、ＦｒａｍｅＡ３の構成に使用するキーをＫＥＹ２と表記し、
前記交換設備第１ポートは、ＫＥＹ１を利用してＦｒａｍｅＡ１を復号処理し、ＦｒａｍｅＡ２を構成し、
前記第２ポートは、ＫＥＹ２を利用してＦｒａｍｅＡ２を暗号化処理し、ＦｒａｍｅＡ３を構成し、
前記交換設備は、基準のＩＳＯ／ＩＥＣ８８０２−３データフレーム、または、リンク層暗号化プロトコルデータフレームをサポートし、
前記交換設備がリンク層暗号化プロトコルデータフレームをサポートする場合、前記リンク層暗号化プロトコルデータフレームは、フレームヘッドフィールドとペイロードフィールドとを備え、
前記フレームヘッドフィールドは、ＤＡフィールドと、ＳＡフィールドと、Ｅｔｈｅｒｔｙｐｅフィールドと、ｉｓＥフィールドと、ｋｅｙＩｎｄｅｘフィールドとを備え、
ここで、前記ＤＡフィールドは、目的ノードの識別子を表し、目的ノードのＭＡＣアドレスの値を自分の値とし、
前記ＳＡフィールドは、ソースノードの識別子を表し、ソースノードのＭＡＣアドレスの値を自分の値とし、
前記Ｅｔｈｅｒｔｙｐｅフィールドは、イーサタイプフィールドを表し、リンク層暗号化プロトコルのイーサタイプフィールドの値を自分の値とし、対応するリンク層暗号化プロトコルおよびフレーム構造を識別し、
前記ｉｓＥフィールドは、暗号化フラグを表し、データフレームのペイロードがユーザーデータの平文情報または暗号文情報かを識別し、データパケットの受信側は、当該フィールドを復号しなければならないか否かの判断要素とし、
前記ｋｅｙＩｎｄｅｘフィールドは、ペイロードを保護するキーの識別子を表し、
前記ペイロードフィールドは、ユーザーデータの情報を表し、ユーザーデータの平文情報でもよく、ユーザーデータの暗号文情報でも良く、
前記フレームヘッドフィールドは、ＭＡＣｌｉｓｔフィールドをさらに含むこともでき、前記ＭＡＣｌｉｓｔフィールドは、特定ＭＡＣアドレスリストの情報を表し、当該フィールドは、オプションフィールドであり、
前記ＭＡＣｌｉｓｔフィールドがある場合、
前記ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストにおける交換設備が目的ノードであれば、受信したデータフレームを復号受信しなければならなく、目的ノードでなければ、受信したデータフレームを復号・再暗号化を行い、再転送しなければならなく、
前記ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリスト以外の交換設備が、目的ノードであれば、受信したデータフレームを復号受信し、目的ノードでなければ、受信した暗号文データパケットを直接転送するだけでよく、
前記ＭＡＣｌｉｓｔフィールドが無い場合、当該データフレームを受信する交換設備が目的ノードであれば、受信したデータフレームを復号受信しなければならなく、目的ノードでなければ、受信したデータフレームを復号・再暗号化し、再転送を行わなければならないことを特徴とするリンク層セキュリティー伝送をサポートする交換設備。
【請求項2】
リンク層セキュリティー伝送をサポートする交換設備のデータ処理方法は、ステップ１）と、ステップ２）と、ステップ３）と、ステップ４とを含み、
前記ステップ１）において、交換設備ポートのＰｏｒｔＸのインターフェースモジュー
ルは、第１フレームヘッドおよび第１ペイロードを備えるデータフレームであるＦｒａｍ
ｅＡｌを受信して、ＰｏｒｔＸのセキュリティー処理モジュールへ送信し、
前記ステップ２）において、交換設備ポートのＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡｌの第１フレームヘッドの情報に基づいて、ＰｏｒｔＸのキー管理モジュールとアルゴリズムモジュールを結合してＦｒａｍｅＡ１を処理し、第２フレームヘッドおよび第２ペイロードを備えるＦｒａｍｅＡ２を構成して、交換設備の交換モジュールへ送信し、
前記ステップ３）において、交換設備の交換モジュールは、ＦｒａｍｅＡ２の第２フレームヘッドの情報を抽出し、もし、第２フレームヘッドにおけるＤＡフィールドと交換設備ＭＡＣアドレスが一致すれば、交換設備は、ＦｒａｍｅＡ２の第２ペイロードをリンク層の上位層へ渡して処理し、もし、一致しなければ、交換設備は、ローカルのＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス学習（ＭＡＣ ａｄｄｒｅｓｓ ｌｅａｒｎｉｎｇ）の情報に基づいて、正確に、ＦｒａｍｅＡ２をＰｏｒｔＹのセキュリティー処理モジュールまで交換し、
前記ステップ４）において、交換設備ポートのＰｏｒｔＹのセキュリティー処理モジュールは、第２フレームヘッドの情報に基づいて、ＰｏｒｔＹのキー管理モジュールとアルゴリズムモジュールを結合してＦｒａｍｅＡ２を処理し、ＦｒａｍｅＡ３を構成し、ＰｏｒｔＹのインターフェースモジュールにより第３フレームヘッドおよび第３ペイロードを備えるＦｒａｍｅＡ３を出力し、
ここで、前記ＰｏｒｔＸは、交換設備の第１ポートモジュールであって前記ＰｏｒｔＸをデータフレームであるＦｒａｍｅＡの入力ポートとし、
前記ＰｏｒｔＹは、交換設備の第２ポートモジュールであって前記ＰｏｒｔＹをデータフレームであるＦｒａｍｅＡの出力ポートとし、
前記ＦｒａｍｅＡ１は、ＰｏｒｔＸのインターフェースモジュールが受信するデータフレームを表し、
前記ＦｒａｍｅＡ２は、ＰｏｒｔＸのセキュリティー処理モジュールが交換モジュールへ送信するデータフレームを表し、
前記ＦｒａｍｅＡ３は、ＰｏｒｔＹのインターフェースモジュールが最後に出力するデータフレームを表し、
もし、交換設備が受信したＦｒａｍｅＡｌが暗号化データフレームであれば、交換設備は、当該データフレームを復号・再暗号化処理後に転送しなければならなく、データフレームであるＦｒａｍｅＡ１を復号処理し、ＦｒａｍｅＡ２の構成に使用するキーをＫＥＹ１と表記し、
前記データフレームであるＦｒａｍｅＡ２を暗号化処理し、ＦｒａｍｅＡ３の構成に使用するキーをＫＥＹ２と表記し、
前記交換設備ＰｏｒｔＸは、ＫＥＹ１を利用してＦｒａｍｅＡ１を復号処理し、ＦｒａｍｅＡ２を構成し、
前記ＰｏｒｔＹは、ＫＥＹ２を利用してＦｒａｍｅＡ２を暗号化処理し、ＦｒａｍｅＡ３を構成し、
前記交換設備は、基準のＩＳＯ／ＩＥＣ８８０２−３データフレーム、または、リンク層暗号化プロトコルデータフレームをサポートし、
前記交換設備がリンク層暗号化プロトコルデータフレームをサポートする場合、前記リンク層暗号化プロトコルデータフレームは、フレームヘッドフィールドとペイロードフィールドとを備え、
前記フレームヘッドフィールドは、ＤＡフィールドと、ＳＡフィールドと、Ｅｔｈｅｒｔｙｐｅフィールドと、ｉｓＥフィールドと、ｋｅｙＩｎｄｅｘフィールドとを備え、
ここで、前記ＤＡフィールドは、目的ノードの識別子を表し、目的ノードのＭＡＣアドレスの値を自分の値とし、
前記ＳＡフィールドは、ソースノードの識別子を表し、ソースノードのＭＡＣアドレスの値を自分の値とし、
前記Ｅｔｈｅｒｔｙｐｅフィールドは、イーサタイプフィールドを表し、リンク層暗号化プロトコルのイーサタイプフィールドの値を自分の値とし、対応するリンク層暗号化プロトコルおよびフレーム構造を識別し、
前記ｉｓＥフィールドは、暗号化フラグを表し、データフレームのペイロードがユーザーデータの平文情報または暗号文情報かを識別し、データパケットの受信側は、当該フィールドを復号しなければならないか否かの判断要素とし、
前記ｋｅｙＩｎｄｅｘフィールドは、ペイロードを保護するキーの識別子を表し、
前記ペイロードフィールドは、ユーザーデータの情報を表し、ユーザーデータの平文情報でもよく、ユーザーデータの暗号文情報でも良く、
前記フレームヘッドフィールドは、ＭＡＣｌｉｓｔフィールドをさらに含むこともでき、前記ＭＡＣｌｉｓｔフィールドは、特定ＭＡＣアドレスリストの情報を表し、当該フィールドは、オプションフィールドであり、
前記ＭＡＣｌｉｓｔフィールドがある場合、
前記ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストにおける交換設備が目的ノードであれば、受信したデータフレームを復号受信しなければならなく、目的ノードでなければ、受信したデータフレームを復号・再暗号化を行い、再転送しなければならなく、
前記ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリスト以外の交換設備が、目的ノードであれば、受信したデータフレームを復号受信し、目的ノードでなければ、受信した暗号文データパケットを直接転送するだけでよく、
前記ＭＡＣｌｉｓｔフィールドが無い場合、当該データフレームを受信する交換設備が目的ノードであれば、受信したデータフレームを復号受信しなければならなく、目的ノードでなければ、受信したデータフレームを復号・再暗号化し、再転送を行わなければならないことを特徴とするリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
前記ステップ１）において、交換設備ポートのＰｏｒｔＸのインターフェースモジュー
ルは、第１フレームヘッドおよび第１ペイロードを備えるデータフレームであるＦｒａｍ
ｅＡｌを受信して、ＰｏｒｔＸのセキュリティー処理モジュールへ送信し、
前記ステップ２）において、交換設備ポートのＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡｌの第１フレームヘッドの情報に基づいて、ＰｏｒｔＸのキー管理モジュールとアルゴリズムモジュールを結合してＦｒａｍｅＡ１を処理し、第２フレームヘッドおよび第２ペイロードを備えるＦｒａｍｅＡ２を構成して、交換設備の交換モジュールへ送信し、
前記ステップ３）において、交換設備の交換モジュールは、ＦｒａｍｅＡ２の第２フレームヘッドの情報を抽出し、もし、第２フレームヘッドにおけるＤＡフィールドと交換設備ＭＡＣアドレスが一致すれば、交換設備は、ＦｒａｍｅＡ２の第２ペイロードをリンク層の上位層へ渡して処理し、もし、一致しなければ、交換設備は、ローカルのＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス学習（ＭＡＣ ａｄｄｒｅｓｓ ｌｅａｒｎｉｎｇ）の情報に基づいて、正確に、ＦｒａｍｅＡ２をＰｏｒｔＹのセキュリティー処理モジュールまで交換し、
前記ステップ４）において、交換設備ポートのＰｏｒｔＹのセキュリティー処理モジュールは、第２フレームヘッドの情報に基づいて、ＰｏｒｔＹのキー管理モジュールとアルゴリズムモジュールを結合してＦｒａｍｅＡ２を処理し、ＦｒａｍｅＡ３を構成し、ＰｏｒｔＹのインターフェースモジュールにより第３フレームヘッドおよび第３ペイロードを備えるＦｒａｍｅＡ３を出力し、
ここで、前記ＰｏｒｔＸは、交換設備の第１ポートモジュールであって前記ＰｏｒｔＸをデータフレームであるＦｒａｍｅＡの入力ポートとし、
前記ＰｏｒｔＹは、交換設備の第２ポートモジュールであって前記ＰｏｒｔＹをデータフレームであるＦｒａｍｅＡの出力ポートとし、
前記ＦｒａｍｅＡ１は、ＰｏｒｔＸのインターフェースモジュールが受信するデータフレームを表し、
前記ＦｒａｍｅＡ２は、ＰｏｒｔＸのセキュリティー処理モジュールが交換モジュールへ送信するデータフレームを表し、
前記ＦｒａｍｅＡ３は、ＰｏｒｔＹのインターフェースモジュールが最後に出力するデータフレームを表し、
もし、交換設備が受信したＦｒａｍｅＡｌが暗号化データフレームであれば、交換設備は、当該データフレームを復号・再暗号化処理後に転送しなければならなく、データフレームであるＦｒａｍｅＡ１を復号処理し、ＦｒａｍｅＡ２の構成に使用するキーをＫＥＹ１と表記し、
前記データフレームであるＦｒａｍｅＡ２を暗号化処理し、ＦｒａｍｅＡ３の構成に使用するキーをＫＥＹ２と表記し、
前記交換設備ＰｏｒｔＸは、ＫＥＹ１を利用してＦｒａｍｅＡ１を復号処理し、ＦｒａｍｅＡ２を構成し、
前記ＰｏｒｔＹは、ＫＥＹ２を利用してＦｒａｍｅＡ２を暗号化処理し、ＦｒａｍｅＡ３を構成し、
前記交換設備は、基準のＩＳＯ／ＩＥＣ８８０２−３データフレーム、または、リンク層暗号化プロトコルデータフレームをサポートし、
前記交換設備がリンク層暗号化プロトコルデータフレームをサポートする場合、前記リンク層暗号化プロトコルデータフレームは、フレームヘッドフィールドとペイロードフィールドとを備え、
前記フレームヘッドフィールドは、ＤＡフィールドと、ＳＡフィールドと、Ｅｔｈｅｒｔｙｐｅフィールドと、ｉｓＥフィールドと、ｋｅｙＩｎｄｅｘフィールドとを備え、
ここで、前記ＤＡフィールドは、目的ノードの識別子を表し、目的ノードのＭＡＣアドレスの値を自分の値とし、
前記ＳＡフィールドは、ソースノードの識別子を表し、ソースノードのＭＡＣアドレスの値を自分の値とし、
前記Ｅｔｈｅｒｔｙｐｅフィールドは、イーサタイプフィールドを表し、リンク層暗号化プロトコルのイーサタイプフィールドの値を自分の値とし、対応するリンク層暗号化プロトコルおよびフレーム構造を識別し、
前記ｉｓＥフィールドは、暗号化フラグを表し、データフレームのペイロードがユーザーデータの平文情報または暗号文情報かを識別し、データパケットの受信側は、当該フィールドを復号しなければならないか否かの判断要素とし、
前記ｋｅｙＩｎｄｅｘフィールドは、ペイロードを保護するキーの識別子を表し、
前記ペイロードフィールドは、ユーザーデータの情報を表し、ユーザーデータの平文情報でもよく、ユーザーデータの暗号文情報でも良く、
前記フレームヘッドフィールドは、ＭＡＣｌｉｓｔフィールドをさらに含むこともでき、前記ＭＡＣｌｉｓｔフィールドは、特定ＭＡＣアドレスリストの情報を表し、当該フィールドは、オプションフィールドであり、
前記ＭＡＣｌｉｓｔフィールドがある場合、
前記ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストにおける交換設備が目的ノードであれば、受信したデータフレームを復号受信しなければならなく、目的ノードでなければ、受信したデータフレームを復号・再暗号化を行い、再転送しなければならなく、
前記ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリスト以外の交換設備が、目的ノードであれば、受信したデータフレームを復号受信し、目的ノードでなければ、受信した暗号文データパケットを直接転送するだけでよく、
前記ＭＡＣｌｉｓｔフィールドが無い場合、当該データフレームを受信する交換設備が目的ノードであれば、受信したデータフレームを復号受信しなければならなく、目的ノードでなければ、受信したデータフレームを復号・再暗号化し、再転送を行わなければならないことを特徴とするリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
【請求項3】
前記ＭＡＣｌｉｓｔフィールドがある場合、当該フィールドにより提供された特定ＭＡＣアドレスリストにおける交換設備が暗号文データパケットの復号に使用するキーの検索情報は、ＭＡＣｌｉｓｔフィールドと、ＳＡフィールドと、ｋｅｙＩｎｄｅｘフィールドとを備え、暗号化に使用するキーの検索情報は、ＭＡＣｌｉｓｔフィールドとＤＡフィールドとを備え、
前記ＭＡＣｌｉｓｔフィールドが無い場合、交換設備は、全ての転送しなければならない暗号文データパケットを復号・再暗号化し、再転送しなければならなく、暗号文データパケットの復号に使用するキーの検索情報は、ＳＡフィールドと、ｋｅｙＩｎｄｅｘフィールドとを備え、
前記暗号化に使用するキーの検索情報は、ＤＡを備えていることを特徴とする請求項2に記載のリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
前記ＭＡＣｌｉｓｔフィールドが無い場合、交換設備は、全ての転送しなければならない暗号文データパケットを復号・再暗号化し、再転送しなければならなく、暗号文データパケットの復号に使用するキーの検索情報は、ＳＡフィールドと、ｋｅｙＩｎｄｅｘフィールドとを備え、
前記暗号化に使用するキーの検索情報は、ＤＡを備えていることを特徴とする請求項2に記載のリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
【請求項4】
前記ステップ２）は、ステップ２．１．１）と、ステップ２．１．２）と、ステップ２．１．３）と、ステップ２．１．４）と、ステップ２．１．５）と、ステップ２．１．６）とを備え、
前記ステップ２．１．１）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１におけるＥｔｈｅｒｔｙｐｅフィールドに基づいてデータカプセル化に用いるリンク層暗号化プロトコルを確定し、かつ、ｉｓＥフィールドに基づいて第１ペイロードが暗号化しているか否かを判断し、もし、暗号化していれば、ステップ２．１．２）を実行し、もし、暗号化していなければ、ＦｒａｍｅＡｌをＦｒａｍｅＡ２とし、ステップ２．１．６）を実行し、
前記ステップ２．１．２）において、もし、データフレームであるＦｒａｍｅＡｌにＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストになければ、ＦｒａｍｅＡ１をＦｒａｍｅＡ２とし、ステップ２．１．６）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ２．１．３）を実行し、
もし、データフレームであるＦｒａｍｅＡｌにＭＡＣｌｉｓｔフィールドが無ければ、ステップ２．１．３）を実行し、
前記ステップ２．１．３）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡｌのｋｅｙＩｎｄｅｘフィールドおよびＳＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡｌのｋｅｙＩｎｄｅｘフィールド、ＳＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡｌをセキュリティー処理するキーのＫＥＹ１の検索情報を判断し、ＫＥＹ１の検索情報をＰｏｒｔＸのキー管理モジュールへ送信し、
前記ステップ２．１．４）において、ＰｏｒｔＸのキー管理モジュールは、キーＫＥＹ１の検索情報に基づいて、対応するＫＥＹ１を探し、かつ、ＫＥＹ１をＰｏｒｔＸのセキュリティー処理モジュールへフィードバックし、
前記ステップ２．１．５）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１とＦｒａｍｅＡ１の第１ペイロードを入力し、ＦｒａｍｅＡ１の第１ペイロードの平文情報を復号して獲得し、かつ、ＦｒａｍｅＡ２を構成し、ＦｒａｍｅＡ１の第１ペイロードの平文情報をＦｒａｍｅＡ２の第２ペイロードとし、ＦｒａｍｅＡ１の第１フレームヘッドの情報をＦｒａｍｅＡ２の第２フレームヘッド情報とし、
前記ステップ２．１．６）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を交換モジュールへ送信し、
前記ステップ４）は、ステップ４．１．１）と、ステップ４．１．２）と、ステップ４．１．３）と、ステップ４．１．４）と、ステップ４．１．５）と、ステップ４．１．６）を備え、
前記ステップ４．１．１）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ２におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定し、かつ、ｉｓＥフィールドに基づいて、第２ペイロード暗号化し、暗号文形式によりネットワークにおいて伝送しなければならないか否かを判断し、もし、暗号化しなければならないのであれば、ステップ４．１．２）を実行
し、もし、暗号化しなくてもよければ、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とし、ステップ４．１．６）を実行し、
前記ステップ４．１．２）において、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストに無ければ、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とし、ステップ４．１．６）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ４．１．３）を実行し、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドが無ければ、ステップ４．１．３）を実行し、
前記ステップ４．１．３）において、ＰｏｒｔＹのセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のＤＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ２のＤＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ２をセキュリティー処理するキーのＫＥＹ２の検索情報を判断し、ＫＥＹ２の検索情報をＰｏｒｔＹのキー管理モジュールへ送信し、
前記ステップ４．１．４）において、ＰｏｒｔＹのキー管理モジュールは、キーＫＥＹ２の検索情報に基づいて、使用できるキーを探し、ローカル策略に基づいて、ＫＥＹ２を選択し、ＫＥＹ２およびＫＥＹ２の識別子であるｋｅｙＩｎｄｅｘをＰｏｒｔＹのセキュリティー処理モジュールへフィードバックし、
前記ステップ４．１．５）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２とＦｒａｍｅＡ２の第２ペイロードを入力し、ＦｒａｍｅＡ２の第２ペイロードの暗号文情報を暗号化して獲得し、かつ、ＦｒａｍｅＡ３を構成し、ＦｒａｍｅＡ２の第２ペイロードの暗号文情報をＦｒａｍｅＡ３の第３ペイロードとし、かつ、使用するＫＥＹ２に基づいて、ＫＥＹ２のｋｅｙＩｎｄｅｘを用い、ＦｒａｍｅＡ２の第２フレームヘッドにおけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３の第３フレームヘッド情報とし、
前記ステップ４．１．６）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ３を、インターフェースモジュールにより出力することを特徴とする請求項３に記載のリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
前記ステップ２．１．１）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１におけるＥｔｈｅｒｔｙｐｅフィールドに基づいてデータカプセル化に用いるリンク層暗号化プロトコルを確定し、かつ、ｉｓＥフィールドに基づいて第１ペイロードが暗号化しているか否かを判断し、もし、暗号化していれば、ステップ２．１．２）を実行し、もし、暗号化していなければ、ＦｒａｍｅＡｌをＦｒａｍｅＡ２とし、ステップ２．１．６）を実行し、
前記ステップ２．１．２）において、もし、データフレームであるＦｒａｍｅＡｌにＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストになければ、ＦｒａｍｅＡ１をＦｒａｍｅＡ２とし、ステップ２．１．６）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ２．１．３）を実行し、
もし、データフレームであるＦｒａｍｅＡｌにＭＡＣｌｉｓｔフィールドが無ければ、ステップ２．１．３）を実行し、
前記ステップ２．１．３）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡｌのｋｅｙＩｎｄｅｘフィールドおよびＳＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡｌのｋｅｙＩｎｄｅｘフィールド、ＳＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡｌをセキュリティー処理するキーのＫＥＹ１の検索情報を判断し、ＫＥＹ１の検索情報をＰｏｒｔＸのキー管理モジュールへ送信し、
前記ステップ２．１．４）において、ＰｏｒｔＸのキー管理モジュールは、キーＫＥＹ１の検索情報に基づいて、対応するＫＥＹ１を探し、かつ、ＫＥＹ１をＰｏｒｔＸのセキュリティー処理モジュールへフィードバックし、
前記ステップ２．１．５）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１とＦｒａｍｅＡ１の第１ペイロードを入力し、ＦｒａｍｅＡ１の第１ペイロードの平文情報を復号して獲得し、かつ、ＦｒａｍｅＡ２を構成し、ＦｒａｍｅＡ１の第１ペイロードの平文情報をＦｒａｍｅＡ２の第２ペイロードとし、ＦｒａｍｅＡ１の第１フレームヘッドの情報をＦｒａｍｅＡ２の第２フレームヘッド情報とし、
前記ステップ２．１．６）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を交換モジュールへ送信し、
前記ステップ４）は、ステップ４．１．１）と、ステップ４．１．２）と、ステップ４．１．３）と、ステップ４．１．４）と、ステップ４．１．５）と、ステップ４．１．６）を備え、
前記ステップ４．１．１）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ２におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定し、かつ、ｉｓＥフィールドに基づいて、第２ペイロード暗号化し、暗号文形式によりネットワークにおいて伝送しなければならないか否かを判断し、もし、暗号化しなければならないのであれば、ステップ４．１．２）を実行
し、もし、暗号化しなくてもよければ、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とし、ステップ４．１．６）を実行し、
前記ステップ４．１．２）において、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストに無ければ、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とし、ステップ４．１．６）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ４．１．３）を実行し、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドが無ければ、ステップ４．１．３）を実行し、
前記ステップ４．１．３）において、ＰｏｒｔＹのセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のＤＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ２のＤＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ２をセキュリティー処理するキーのＫＥＹ２の検索情報を判断し、ＫＥＹ２の検索情報をＰｏｒｔＹのキー管理モジュールへ送信し、
前記ステップ４．１．４）において、ＰｏｒｔＹのキー管理モジュールは、キーＫＥＹ２の検索情報に基づいて、使用できるキーを探し、ローカル策略に基づいて、ＫＥＹ２を選択し、ＫＥＹ２およびＫＥＹ２の識別子であるｋｅｙＩｎｄｅｘをＰｏｒｔＹのセキュリティー処理モジュールへフィードバックし、
前記ステップ４．１．５）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２とＦｒａｍｅＡ２の第２ペイロードを入力し、ＦｒａｍｅＡ２の第２ペイロードの暗号文情報を暗号化して獲得し、かつ、ＦｒａｍｅＡ３を構成し、ＦｒａｍｅＡ２の第２ペイロードの暗号文情報をＦｒａｍｅＡ３の第３ペイロードとし、かつ、使用するＫＥＹ２に基づいて、ＫＥＹ２のｋｅｙＩｎｄｅｘを用い、ＦｒａｍｅＡ２の第２フレームヘッドにおけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３の第３フレームヘッド情報とし、
前記ステップ４．１．６）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ３を、インターフェースモジュールにより出力することを特徴とする請求項３に記載のリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
【請求項5】
前記リンク層セキュリティー伝送をサポートする交換設備がリンク層暗号化プロトコルデータフレームをサポートする場合、前記サポートするリンク層暗号化プロトコルデータフレームは、ＭＩＣ（Ｍｅｓｓａｇｅ Ｉｎｔｅｇｒｉｔｙ ｃｏｄｅ）フィールドをさらに備え、
前記ＭＩＣフィールドは、整合性検証コードを表し、データフレーム（Ｆｒａｍｅ）から算出した整合性検証値であり、前記ＭＩＣフィールドの計算にかかわるフィールドは、交換設備がサポートするＥｔｈｅｒｔｙｐｅに対応するリンク層暗号化プロトコルにより確定され、
前記データフレームをセキュリティー処理する場合、データフレームをセキュリティー処理するキーは、整合性検証キー及びセッション暗号化キーを備え、
前記整合性検証キーは、データフレームの整合性検証コード（ＭＩＣ）を計算し、セッション暗号化キーは、データフレームペイロードを暗号化し、
データフレームであるＦｒａｍｅＡ１から整合性検証値ＭＩＣ１を算出し、
データフレームであるＦｒａｍｅＡ２から整合性検証値ＭＩＣ２を算出し、
データフレームであるＦｒａｍｅＡ３から整合性検証値ＭＩＣ３を算出することを特徴とする請求項2ないし請求項４のいずれか１つに記載のリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
前記ＭＩＣフィールドは、整合性検証コードを表し、データフレーム（Ｆｒａｍｅ）から算出した整合性検証値であり、前記ＭＩＣフィールドの計算にかかわるフィールドは、交換設備がサポートするＥｔｈｅｒｔｙｐｅに対応するリンク層暗号化プロトコルにより確定され、
前記データフレームをセキュリティー処理する場合、データフレームをセキュリティー処理するキーは、整合性検証キー及びセッション暗号化キーを備え、
前記整合性検証キーは、データフレームの整合性検証コード（ＭＩＣ）を計算し、セッション暗号化キーは、データフレームペイロードを暗号化し、
データフレームであるＦｒａｍｅＡ１から整合性検証値ＭＩＣ１を算出し、
データフレームであるＦｒａｍｅＡ２から整合性検証値ＭＩＣ２を算出し、
データフレームであるＦｒａｍｅＡ３から整合性検証値ＭＩＣ３を算出することを特徴とする請求項2ないし請求項４のいずれか１つに記載のリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
【請求項6】
前記セキュリティー処理は、先にデータフレームの整合性検証コードを計算し、ＭＩＣフィールドを構成し、後にデータフレームのユーザーデータの暗号化処理し、ペイロードフィールドを構成する場合、
前記ステップ２）は、ステップ２．２．１）と、ステップ２．２．２）と、ステップ２．２．３）と、ステップ２．２．４）と、ステップ２．２．５）と、ステップ２．２．６）と、ステップ２．２．７）と、ステップ２．２．８）と、ステップ２．２．９）とを備え、
前記ステップ２．２．１）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定し、
前記ステップ２．２．２）において、もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストに無ければ、ＦｒａｍｅＡ１をＦｒａｍｅＡ２とし、ステップ２．２．９）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ２．２．３）を実行し、もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドが無ければ、ステップ２．２．３）を実行し、
前記ステップ２．２．３）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールドおよびＳＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールド、ＳＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ１のセキュリティー処理に必要なキーＫＥＹ１の検索情報を判断し、ＫＥＹ１の検索情報ＰｏｒｔＸのキー管理モジュールへ送信し、
前記ステップ２．２．４）において、ＰｏｒｔＸのキー管理モジュールは、キーＫＥＹ１の検索情報に基づいて、対応するＫＥＹ１を探し、かつ、ＫＥＹ１をＰｏｒｔＸのセキュリティー処理モジュールへフィードバックし、
前記ステップ２．２．５）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ｉｓＥフィールドに基づいて、第１ペイロードが暗号化しているか否かを判断し、もし、暗号化していれば、ステップ２．２．６）を実行し、暗号化していなければ、ＦｒａｍｅＡ１の第１ペイロードは、第１ペイロードの平文情報であり、ステップ２．２．７）を実行し、
前記ステップ２．２．６）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１のセッション暗号化キーとＦｒａｍｅＡ１の第１ペイロードを入力し、ＦｒａｍｅＡ１の第１ペイロードの平文情報を復号して獲得し、
前記ステップ２．２．７）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１の整合性検証キーとＦｒａｍｅＡ１の第１ペイロードの平文情報を入力し、ＭＩＣ１の正確性を検証し、もし、正確であれば、２．２．８）を実行し、正確でなければ、当該パケットを廃棄し、
前記ステップ２．２．８）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を構成し、ＦｒａｍｅＡ１の第１ペイロードの平文情報をＦｒａｍｅＡ２の第２ペイロードとし、ＦｒａｍｅＡ１の第１フレームヘッドの情報をＦｒａｍｅＡ２の第２フレームヘッド情報とし、
前記ステップ２．２．９）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を交換モジュールへ送信し、
前記ステップ４）は、ステップ４．２．１）と、ステップ４．２．２）と、ステップ４．２．３）と、ステップ４．２．４）と、ステップ４．２．５）と、ステップ４．２．６）と、ステップ４．２．７）と、ステップ４．２．８）と、ステップ４．２．９）とを備え、
前記ステップ４．２．１）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ２におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定し、
前記ステップ４．２．２）において、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストに無ければ、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とし、ステップ４．２．９）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ４．２．３）を実行し、
もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドが無ければ、ステップ４．２．３）を実行し、
前記ステップ４．２．３）において、ＰｏｒｔＹのセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のＤＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ２のＤＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ２のセキュリティー処理に必要なキーＫＥＹ２の検索情報を判断し、ＫＥＹ２の検索情報をＰｏｒｔＹのキー管理モジュールへ送信し、
前記ステップ４．２．４）において、ＰｏｒｔＹのキー管理モジュールは、ＫＥＹ２の検索情報に基づいて、使用できるキーを探し、ローカル策略に基づいて、ＫＥＹ２を選択し、当該ＫＥＹ２およびＫＥＹ２のｋｅｙＩｎｄｅｘ情報をＰｏｒｔＹのセキュリティー処理モジュールへフィードバックし、
前記ステップ４．２．５）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２の整合性検証キーとＦｒａｍｅＡ２のペイロードを入力し、整合性検証コードＭＩＣ３を計算して獲得し、
前記ステップ４．２．６）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のｉｓＥフィールドに基づいて、第２ペイロードを暗号化し、暗号文形式によりネットワークにおいて伝送しなければならないか否かを判断し、もし、暗号化しなければならないのであれば、ステップ４．２．７）を実行し、暗号化しなくてもよければ、ステップ４．２．８）を実行し、
前記ステップ４．２．７）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２のセッション暗号化キーとＦｒａｍｅＡ２の第２ペイロードを入力し、ＦｒａｍｅＡ２の第２ペイロードの暗号文情報を暗号化して獲得し、かつ、ＦｒａｍｅＡ３を構成し、ＦｒａｍｅＡ２の第２ペイロードの暗号文情報をＦｒａｍｅＡ３の第３ペイロードとし、かつ、使用するキーＫＥＹ２のｋｅｙＩｎｄｅｘ情報に基づいて、ＦｒａｍｅＡ２の第２フレームヘッドにおけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３の第３フレームヘッド情報とし、ステップ４．２．５）により算出したＭＩＣ３をＦｒａｍｅＡ３のＭＩＣ３とし、即ち、第３フレームヘッドは、ＫＥＹ２のｋｅｙＩｎｄｅｘを用い、ｋｅｙＩｎｄｅｘフィールドをアップデートした後の第２フレームヘッドであり、第３ペイロードは、第２ペイロードの暗号文情報であり、ＭＩＣ３は、ステップ４．２．５）により算出したＭＩＣ３であり、ステップ４．２．９）を実行し、
前記ステップ４．２．８）において、ＰｏｒｔＹのセキュリティー処理モジュールがＦｒａｍｅＡ３を構成することは、ＦｒａｍｅＡ２の第２ペイロードをＦｒａｍｅＡ３の第３ペイロードとし、かつ、使用するＫＥＹ２のｋｅｙＩｎｄｅｘ情報に基づいて、ＦｒａｍｅＡ２の第２フレームヘッドにおけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３の第２フレームヘッド情報とすることを含め、ステップ４．２．５）により算出したＭＩＣ３をＦｒａｍｅＡ３におけるＭＩＣ３とし、
前記ステップ４．２．９）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ３をインターフェースモジュールにより出力することを特徴とする請求項５に記載のリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
前記ステップ２）は、ステップ２．２．１）と、ステップ２．２．２）と、ステップ２．２．３）と、ステップ２．２．４）と、ステップ２．２．５）と、ステップ２．２．６）と、ステップ２．２．７）と、ステップ２．２．８）と、ステップ２．２．９）とを備え、
前記ステップ２．２．１）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定し、
前記ステップ２．２．２）において、もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストに無ければ、ＦｒａｍｅＡ１をＦｒａｍｅＡ２とし、ステップ２．２．９）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ２．２．３）を実行し、もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドが無ければ、ステップ２．２．３）を実行し、
前記ステップ２．２．３）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールドおよびＳＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールド、ＳＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ１のセキュリティー処理に必要なキーＫＥＹ１の検索情報を判断し、ＫＥＹ１の検索情報ＰｏｒｔＸのキー管理モジュールへ送信し、
前記ステップ２．２．４）において、ＰｏｒｔＸのキー管理モジュールは、キーＫＥＹ１の検索情報に基づいて、対応するＫＥＹ１を探し、かつ、ＫＥＹ１をＰｏｒｔＸのセキュリティー処理モジュールへフィードバックし、
前記ステップ２．２．５）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ｉｓＥフィールドに基づいて、第１ペイロードが暗号化しているか否かを判断し、もし、暗号化していれば、ステップ２．２．６）を実行し、暗号化していなければ、ＦｒａｍｅＡ１の第１ペイロードは、第１ペイロードの平文情報であり、ステップ２．２．７）を実行し、
前記ステップ２．２．６）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１のセッション暗号化キーとＦｒａｍｅＡ１の第１ペイロードを入力し、ＦｒａｍｅＡ１の第１ペイロードの平文情報を復号して獲得し、
前記ステップ２．２．７）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１の整合性検証キーとＦｒａｍｅＡ１の第１ペイロードの平文情報を入力し、ＭＩＣ１の正確性を検証し、もし、正確であれば、２．２．８）を実行し、正確でなければ、当該パケットを廃棄し、
前記ステップ２．２．８）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を構成し、ＦｒａｍｅＡ１の第１ペイロードの平文情報をＦｒａｍｅＡ２の第２ペイロードとし、ＦｒａｍｅＡ１の第１フレームヘッドの情報をＦｒａｍｅＡ２の第２フレームヘッド情報とし、
前記ステップ２．２．９）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を交換モジュールへ送信し、
前記ステップ４）は、ステップ４．２．１）と、ステップ４．２．２）と、ステップ４．２．３）と、ステップ４．２．４）と、ステップ４．２．５）と、ステップ４．２．６）と、ステップ４．２．７）と、ステップ４．２．８）と、ステップ４．２．９）とを備え、
前記ステップ４．２．１）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ２におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定し、
前記ステップ４．２．２）において、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストに無ければ、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とし、ステップ４．２．９）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ４．２．３）を実行し、
もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドが無ければ、ステップ４．２．３）を実行し、
前記ステップ４．２．３）において、ＰｏｒｔＹのセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のＤＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ２のＤＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ２のセキュリティー処理に必要なキーＫＥＹ２の検索情報を判断し、ＫＥＹ２の検索情報をＰｏｒｔＹのキー管理モジュールへ送信し、
前記ステップ４．２．４）において、ＰｏｒｔＹのキー管理モジュールは、ＫＥＹ２の検索情報に基づいて、使用できるキーを探し、ローカル策略に基づいて、ＫＥＹ２を選択し、当該ＫＥＹ２およびＫＥＹ２のｋｅｙＩｎｄｅｘ情報をＰｏｒｔＹのセキュリティー処理モジュールへフィードバックし、
前記ステップ４．２．５）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２の整合性検証キーとＦｒａｍｅＡ２のペイロードを入力し、整合性検証コードＭＩＣ３を計算して獲得し、
前記ステップ４．２．６）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のｉｓＥフィールドに基づいて、第２ペイロードを暗号化し、暗号文形式によりネットワークにおいて伝送しなければならないか否かを判断し、もし、暗号化しなければならないのであれば、ステップ４．２．７）を実行し、暗号化しなくてもよければ、ステップ４．２．８）を実行し、
前記ステップ４．２．７）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２のセッション暗号化キーとＦｒａｍｅＡ２の第２ペイロードを入力し、ＦｒａｍｅＡ２の第２ペイロードの暗号文情報を暗号化して獲得し、かつ、ＦｒａｍｅＡ３を構成し、ＦｒａｍｅＡ２の第２ペイロードの暗号文情報をＦｒａｍｅＡ３の第３ペイロードとし、かつ、使用するキーＫＥＹ２のｋｅｙＩｎｄｅｘ情報に基づいて、ＦｒａｍｅＡ２の第２フレームヘッドにおけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３の第３フレームヘッド情報とし、ステップ４．２．５）により算出したＭＩＣ３をＦｒａｍｅＡ３のＭＩＣ３とし、即ち、第３フレームヘッドは、ＫＥＹ２のｋｅｙＩｎｄｅｘを用い、ｋｅｙＩｎｄｅｘフィールドをアップデートした後の第２フレームヘッドであり、第３ペイロードは、第２ペイロードの暗号文情報であり、ＭＩＣ３は、ステップ４．２．５）により算出したＭＩＣ３であり、ステップ４．２．９）を実行し、
前記ステップ４．２．８）において、ＰｏｒｔＹのセキュリティー処理モジュールがＦｒａｍｅＡ３を構成することは、ＦｒａｍｅＡ２の第２ペイロードをＦｒａｍｅＡ３の第３ペイロードとし、かつ、使用するＫＥＹ２のｋｅｙＩｎｄｅｘ情報に基づいて、ＦｒａｍｅＡ２の第２フレームヘッドにおけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３の第２フレームヘッド情報とすることを含め、ステップ４．２．５）により算出したＭＩＣ３をＦｒａｍｅＡ３におけるＭＩＣ３とし、
前記ステップ４．２．９）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ３をインターフェースモジュールにより出力することを特徴とする請求項５に記載のリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
【請求項7】
前記セキュリティー処理は、先にデータフレームのユーザーデータを暗号化処理し、ペイロードフィールドを構成し、後に整合性検証コードを計算し、ＭＩＣフィールドを構成する場合、
前記ステップ２）は、ステップ２．３．１）と、ステップ２．３．２）と、ステップ２．３．３）と、ステップ２．３．４）と、ステップ２．３．５）と、ステップ２．３．６）と、ステップ２．３．７）と、ステップ２．３．８）と、ステップ２．３．９）とを備え、
前記ステップ２．３．１）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定し、
前記ステップ２．３．２）において、もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストに無ければ、ＦｒａｍｅＡ１をＦｒａｍｅＡ２とし、ステップ２．３．９）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ２．３．３）を実行し、もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドが無ければ、ステップ２．３．３）を実行し、
前記ステップ２．３．３）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールドおよびＳＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールド、ＳＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ１のセキュリティー処理に必要なキーＫＥＹ１の検索情報を判断し、ＫＥＹ１の検索情報をＰｏｒｔＸのキー管理モジュールへ送信し、
前記ステップ２．３．４）において、ＰｏｒｔＸのキー管理モジュールは、ＫＥＹ１の検索情報に基づいて、対応するＫＥＹ１を探し、かつ、ＫＥＹ１をＰｏｒｔＸのセキュリティー処理モジュールへフィードバックし、
前記ステップ２．３．５）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１の整合性検証キーとＦｒａｍｅＡ１の第１ペイロードを入力し、ＭＩＣ１の正確性を検証し、もし正確であれば、２．３．６）を実行し、正確でなければ、当該パケットを廃棄し、
前記ステップ２．３．６）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ｉｓＥフィールドに基づいて、第１ペイロードが暗号化しているか否かを判断し、もし、暗号化していれば、ステップ２．３．７）を実行し、暗号化していなければ、ＦｒａｍｅＡ１の第１ペイロードが、第１ペイロードの平文情報であり、ステップ２．３．８）を実行し、
前記ステップ２．３．７）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１のセッション暗号化キーとＦｒａｍｅＡ１の第１ペイロードを入力し、ＦｒａｍｅＡ１の第１ペイロードの平文情報を復号して獲得し、
前記ステップ２．３．８）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を構成し、ＦｒａｍｅＡ１の第１ペイロードの平文情報をＦｒａｍｅＡ２の第２ペイロードとし、ＦｒａｍｅＡ１の第１フレームヘッドの情報をＦｒａｍｅＡ２の第２フレームヘッド情報とし、
前記ステップ２．３．９）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を交換モジュールへ送信し、
前記ステップ４）は、ステップ４．３．１）と、ステップ４．３．２）と、ステップ４．３．３）と、ステップ４．３．４）と、ステップ４．３．５）と、ステップ４．３．６）と、ステップ４．３．７）と、ステップ４．３．８）と、ステップ４．３．９）とを備え、
前記ステップ４．３．１）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ２におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定し、
前記ステップ４．３．２）において、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストに無ければ、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とし、ステップ４．３．９）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ４．３．３）を実行し、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドが無ければ、ステップ４．３．３）を実行し、
前記ステップ４．３．３）において、ＰｏｒｔＹのセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のＤＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ２のＤＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ２のセキュリティー処理に必要なキーＫＥＹ２の検索情報を判断し、ＫＥＹ２の検索情報をＰｏｒｔＹのキー管理モジュールへ送信し、ステップ４．３．４）を実行し、
前記ステップ４．３．４）において、ＰｏｒｔＹのキー管理モジュールは、ＫＥＹ２の検索情報に基づいて、使用できるキーを探し、ローカル策略に基づいて、ＫＥＹ２を選択し、当該ＫＥＹ２およびＫＥＹ２の識別子であるｋｅｙＩｎｄｅｘをＰｏｒｔＹのセキュリティー処理モジュールへフィードバックし、
前記ステップ４．３．５）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のｉｓＥフィールドに基づいて、ペイロード２を暗号化し、暗号文形式によりネットワークにおいて伝送しなければならないか否かを判断し、もし、暗号化しなければならないのであれば、ステップ４．３．６）を実行し、もし、暗号化が必要ではなければ、ステップ４．３．８）を実行し、
前記ステップ４．３．６）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２のセッション暗号化キーとＦｒａｍｅＡ２を入力し、ＦｒａｍｅＡ２の暗号文情報を暗号化して獲得し、
前記ステップ４．３．７）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２の整合性検証キーとＦｒａｍｅＡ２の第２ペイロードの暗号文情報を入力し、整合性検証コードＭＩＣ３を計算して獲得し、かつ、ＦｒａｍｅＡ３を構成し、ＦｒａｍｅＡ２の第２ペイロードの暗号文情報をＦｒａｍｅＡ３の第３ペイロードとし、かつ、使用するＫＥＹ２のｋｅｙＩｎｄｅｘに基づいて、ＦｒａｍｅＡ２におけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３の第３フレームヘッド情報とし、算出したＭＩＣ３を用い、ＦｒａｍｅＡ３のＭＩＣ３とし、ステップ４．３．９）を実行し、
前記ステップ４．３．８）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２の整合性検証キーとＦｒａｍｅＡ２を入力し、整合性検証コードＭＩＣ３を計算して獲得し、ＦｒａｍｅＡ３を構成し、ＦｒａｍｅＡ２の第２ペイロードをＦｒａｍｅＡ３の第３ペイロードとし、使用するＫＥＹ２のｋｅｙＩｎｄｅｘに基づいて、ＦｒａｍｅＡ２の第２フレームヘッドにおけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３の第３フレームヘッド情報とし、算出したＭＩＣ３を用い、ＦｒａｍｅＡ３のＭＩＣ３とし、
前記ステップ４．３．９）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ３をインターフェースモジュールにより出力することを特徴とする請求項５に記載のリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
前記ステップ２）は、ステップ２．３．１）と、ステップ２．３．２）と、ステップ２．３．３）と、ステップ２．３．４）と、ステップ２．３．５）と、ステップ２．３．６）と、ステップ２．３．７）と、ステップ２．３．８）と、ステップ２．３．９）とを備え、
前記ステップ２．３．１）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定し、
前記ステップ２．３．２）において、もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストに無ければ、ＦｒａｍｅＡ１をＦｒａｍｅＡ２とし、ステップ２．３．９）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ２．３．３）を実行し、もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドが無ければ、ステップ２．３．３）を実行し、
前記ステップ２．３．３）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールドおよびＳＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールド、ＳＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ１のセキュリティー処理に必要なキーＫＥＹ１の検索情報を判断し、ＫＥＹ１の検索情報をＰｏｒｔＸのキー管理モジュールへ送信し、
前記ステップ２．３．４）において、ＰｏｒｔＸのキー管理モジュールは、ＫＥＹ１の検索情報に基づいて、対応するＫＥＹ１を探し、かつ、ＫＥＹ１をＰｏｒｔＸのセキュリティー処理モジュールへフィードバックし、
前記ステップ２．３．５）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１の整合性検証キーとＦｒａｍｅＡ１の第１ペイロードを入力し、ＭＩＣ１の正確性を検証し、もし正確であれば、２．３．６）を実行し、正確でなければ、当該パケットを廃棄し、
前記ステップ２．３．６）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ｉｓＥフィールドに基づいて、第１ペイロードが暗号化しているか否かを判断し、もし、暗号化していれば、ステップ２．３．７）を実行し、暗号化していなければ、ＦｒａｍｅＡ１の第１ペイロードが、第１ペイロードの平文情報であり、ステップ２．３．８）を実行し、
前記ステップ２．３．７）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１のセッション暗号化キーとＦｒａｍｅＡ１の第１ペイロードを入力し、ＦｒａｍｅＡ１の第１ペイロードの平文情報を復号して獲得し、
前記ステップ２．３．８）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を構成し、ＦｒａｍｅＡ１の第１ペイロードの平文情報をＦｒａｍｅＡ２の第２ペイロードとし、ＦｒａｍｅＡ１の第１フレームヘッドの情報をＦｒａｍｅＡ２の第２フレームヘッド情報とし、
前記ステップ２．３．９）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を交換モジュールへ送信し、
前記ステップ４）は、ステップ４．３．１）と、ステップ４．３．２）と、ステップ４．３．３）と、ステップ４．３．４）と、ステップ４．３．５）と、ステップ４．３．６）と、ステップ４．３．７）と、ステップ４．３．８）と、ステップ４．３．９）とを備え、
前記ステップ４．３．１）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ２におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定し、
前記ステップ４．３．２）において、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断し、もし、当該リストに無ければ、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とし、ステップ４．３．９）を実行し、もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ４．３．３）を実行し、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドが無ければ、ステップ４．３．３）を実行し、
前記ステップ４．３．３）において、ＰｏｒｔＹのセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のＤＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ２のＤＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ２のセキュリティー処理に必要なキーＫＥＹ２の検索情報を判断し、ＫＥＹ２の検索情報をＰｏｒｔＹのキー管理モジュールへ送信し、ステップ４．３．４）を実行し、
前記ステップ４．３．４）において、ＰｏｒｔＹのキー管理モジュールは、ＫＥＹ２の検索情報に基づいて、使用できるキーを探し、ローカル策略に基づいて、ＫＥＹ２を選択し、当該ＫＥＹ２およびＫＥＹ２の識別子であるｋｅｙＩｎｄｅｘをＰｏｒｔＹのセキュリティー処理モジュールへフィードバックし、
前記ステップ４．３．５）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のｉｓＥフィールドに基づいて、ペイロード２を暗号化し、暗号文形式によりネットワークにおいて伝送しなければならないか否かを判断し、もし、暗号化しなければならないのであれば、ステップ４．３．６）を実行し、もし、暗号化が必要ではなければ、ステップ４．３．８）を実行し、
前記ステップ４．３．６）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２のセッション暗号化キーとＦｒａｍｅＡ２を入力し、ＦｒａｍｅＡ２の暗号文情報を暗号化して獲得し、
前記ステップ４．３．７）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２の整合性検証キーとＦｒａｍｅＡ２の第２ペイロードの暗号文情報を入力し、整合性検証コードＭＩＣ３を計算して獲得し、かつ、ＦｒａｍｅＡ３を構成し、ＦｒａｍｅＡ２の第２ペイロードの暗号文情報をＦｒａｍｅＡ３の第３ペイロードとし、かつ、使用するＫＥＹ２のｋｅｙＩｎｄｅｘに基づいて、ＦｒａｍｅＡ２におけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３の第３フレームヘッド情報とし、算出したＭＩＣ３を用い、ＦｒａｍｅＡ３のＭＩＣ３とし、ステップ４．３．９）を実行し、
前記ステップ４．３．８）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２の整合性検証キーとＦｒａｍｅＡ２を入力し、整合性検証コードＭＩＣ３を計算して獲得し、ＦｒａｍｅＡ３を構成し、ＦｒａｍｅＡ２の第２ペイロードをＦｒａｍｅＡ３の第３ペイロードとし、使用するＫＥＹ２のｋｅｙＩｎｄｅｘに基づいて、ＦｒａｍｅＡ２の第２フレームヘッドにおけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３の第３フレームヘッド情報とし、算出したＭＩＣ３を用い、ＦｒａｍｅＡ３のＭＩＣ３とし、
前記ステップ４．３．９）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ３をインターフェースモジュールにより出力することを特徴とする請求項５に記載のリンク層セキュリティー伝送をサポートする交換設備のデータ処理方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、ネットワーク安全分野に属し、リンク層セキュリティー伝送をサポートする交換設備およびデータ処理方法に関する。【背景技術】
【0002】
本出願は、２０１０年１２月２０日に中国特許局に提出し、出願番号が２０１０１０５９６６６５．５であり、発明名称が「リンク層セキュリティー伝送をサポートする交換設備およびデータ処理方法」である中国特許出願を基礎とする優先権を主張し、その開示の総てをここに取り込む。有線ローカルエリアネットワークは、一般的にブロードキャスト型ネットワークであり、１つのノードが送信するデータは、他の全てのノードも受信できる。
ネットワークにおける各ノードは、チャネルを共有するが、ネットワークに大きな安全性欠陥をもたらす。
攻撃者は、ネットワークにアクセスしてモニタリングすれば、ネットワーク上の全てのデータパケットを捕捉できる。
【0003】
従来の国家基準ＧＢ／Ｔ１５６２９．３（ＩＥＥＥ８０２．３またはＩＳＯ／ＩＥＣ ８８０２−３に対応）が定義するローカルエリアネットワークＬＡＮは、データセキュリティー方法を提供しておらず、これでは、攻撃者に容易に重要な情報を窃取させてしまう。国際研究分野において、ＩＥＥＥが定めるｉＥＥＥ８０２．１ＡＥ基準は、イーサネット（登録商標）を保護するため、データ暗号化プロトコルを提供し、かつ、ホップ暗号化の安全対策を用いることによりネットワークノード間のデータの安全伝送を実現する。
【発明の概要】
【発明が解決しようとする課題】
【0004】
ＧＢ／Ｔ１５６２９．３をサポートする交換設備は、全てのデータパケットを全て直接転送し、リンク層セキュリティー伝送能力を備えず、伝送したデータパケット情報も容易に傍受される。また、ＩＥＥＥ８０２．１ＡＥをサポートする交換設備は、ホップ暗号化のみをサポートするため、全ての転送した暗号化データパケットをそれぞれ復号・再暗号化する操作を行わなければならず、交換設備の計算負荷は重くなり、ネットワークデータ伝送遅延は大きくなる。
【課題を解決するための手段】
【0005】
背景技術における前記技術問題を解決するため、本発明に係る実施例は、交換設備の計算負荷を低減でき、ネットワークアップグレード代価の小さい、リンク層セキュリティー伝送をサポートする交換設備およびデータ処理方法を提供する。【0006】
本発明に係る実施形態は、リンク層セキュリティー伝送をサポートする交換設備を提供する。前記交換設備は、交換モジュールと、マルチポートモジュールとを備え、各ポートモジュールは、それぞれ交換モジュールと電気的に隣接する。
前記ポートモジュールは、リンク層キー管理能力をサポートし、前記交換設備と他のネットワークノード間においてデータフレームを暗号化・復号する共有キーを確立する。
【0007】
また、本発明に係る実施形態は、リンク層セキュリティー伝送をサポートする交換設備のデータ処理方法を提供する。前記方法は、以下のステップ１）からステップ４）を含む。
【0008】
ステップ１）において、交換設備ポートであるＰｏｒｔＸのインターフェースモジュールは、第１フレームヘッドおよび第１ペイロードを備えるデータフレームであるＦｒａｍｅＡｌを受信して、ＰｏｒｔＸのセキュリティー処理モジュールへ送信する。【0009】
ステップ２）において、交換設備ポートであるＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡｌの第１フレームヘッドの情報に基づいて、ＰｏｒｔＸのキー管理モジュールとアルゴリズムモジュール処理ＦｒａｍｅＡ１を結合して、第２フレームヘッドおよび第２ペイロードを備えるＦｒａｍｅＡ２を構成し、交換設備の交換モジュールへ送信する。【0010】
ステップ３）において、交換設備の交換モジュールは、ＦｒａｍｅＡ２の第２フレームヘッドの情報を抽出する。もし、第２フレームヘッドにおけるＤＡフィールドと交換設備ＭＡＣアドレスとが一致すれば、交換設備は、ＦｒａｍｅＡ２の第２ペイロードをリンク層の上位層（例えば、ネットワーク層、応用層等）へ渡して処理する。
もし一致しなければ、交換設備は、ローカルのＭＡＣアドレス学習（ＭＡＣ ａｄｄｒｅｓｓ ｌｅａｒｎｉｎｇ）の情報に基づいて、正確に、ＦｒａｍｅＡ２をＰｏｒｔＹのセキュリティー処理モジュールまで交換する。
【0011】
ステップ４）において、交換設備ポートであるＰｏｒｔＹのセキュリティー処理モジュールは、第２フレームヘッドの情報に基づいて、ＰｏｒｔＹのキー管理モジュールとアルゴリズムモジュール処理を結合してＦｒａｍｅＡ２を処理し、ＦｒａｍｅＡ３を構成し、ＰｏｒｔＹのインターフェースモジュールにより第３フレームヘッドおよび第３ペイロードを備えるＦｒａｍｅＡ３を出力する。【0012】
ここで、ＰｏｒｔＸは、交換設備の第１ポートモジュールであり、当該ＰｏｒｔＸをデータフレームであるＦｒａｍｅＡの入力ポートとし；
ＰｏｒｔＹは、交換設備の第２ポートモジュールであり、当該ＰｏｒｔＹをデータフレームであるＦｒａｍｅＡの出力ポートとし；
ＦｒａｍｅＡ１は、ＰｏｒｔＸのインターフェースモジュールが受信するデータフレームを表し；
ＦｒａｍｅＡ２は、ＰｏｒｔＸのセキュリティー処理モジュールが交換モジュールへ送信するデータフレームを表し；
ＦｒａｍｅＡ３は、ＰｏｒｔＹのインターフェースモジュールが最後に出力するデータフレームを表す。
【0013】
もし、交換設備が受信したＦｒａｍｅＡｌが暗号化データフレームであり、交換設備が当該データフレームを復号・再暗号化処理後に転送しなければならないのであれば、データフレームであるＦｒａｍｅＡ１を復号処理してＦｒａｍｅＡ２を構成するのに使用するキーをＫＥＹ１と表記し；データフレームであるＦｒａｍｅＡ２を暗号化処理してＦｒａｍｅＡ３を構成するのに使用するキーをＫＥＹ２と表記する。
そして、交換設備ＰｏｒｔＸは、ＫＥＹ１を利用して、ＦｒａｍｅＡ１を復号処理してＦｒａｍｅＡ２を構成する。
ＰｏｒｔＹは、ＫＥＹ２を利用して、ＦｒａｍｅＡ２を暗号化処理してＦｒａｍｅＡ３を構成する。
【発明の効果】
【0014】
本発明に係る実施形態が提供するリンク層セキュリティー伝送をサポートする交換設備は、基準のＩＳＯ／ＩＥＣ８８０２−３データフレームをサポートでき、各種リンク層暗号化プロトコルデータフレームもサポートでき、ＩＥＥＥ８０２．１ＡＥプロトコルデータフレームがこれに含まれる。順互換性の実現と同時に、各種リンク層暗号化プロトコルに対するサポートを実現でき、データフレームのリンク層におけるセキュリティー伝送を実現し、ネットワークの安全性を向上させる。
本発明に係る実施形態が提供するリンク層セキュリティー伝送をサポートする交換設備は、ＩＥＥＥ８０２．１ＡＥ交換設備と比べて、リンク層セキュリティー伝送をサポートできる以外に、ＭＡＣｌｉｓｔフィールドを備えるリンク層暗号化プロトコルデータフレームを処理する能力を備えているため、全ての転送しなければならないデータフレームを復号・再暗号化してから再転送する操作を行わなくても良く、これにより、交換設備の計算負荷を低減できる。
この他に、本発明に係る実施形態の交換設備は、各種データフレームをサポートするため、他の交換設備とのハイブリッドネットワーキング能力を備えており、ネットワークアップグレードの代価はさらに小さくなる。
【図面の簡単な説明】
【0015】
【図1】本発明に係る実施形態が提供するリンク層セキュリティー伝送をサポートする交換設備を示す図。
【図2】本発明に係る実施形態が提供するリンク層セキュリティー伝送をサポートする交換設備データ処理のフロー図。
【発明を実施するための形態】
【0016】
図１に示すように、本発明に係る実施形態が提供するリンク層セキュリティー伝送をサポートする交換設備は、交換モジュールおよびマルチポートモジュールを備える。ここで、全てのポートモジュールと交換モジュールとの間は、それぞれ電気的に隣接する。
各ポートモジュールは、アルゴリズムモジュールと、インターフェースモジュールと、セキュリティー処理モジュールと、キー管理モジュールとを備える。
ここで、セキュリティー処理モジュールは、それぞれインターフェースモジュールと、アルゴリズムモジュールと、キー管理モジュールとの間において電気的に隣接する。
【0017】
各ポートモジュールは、リンク層キー管理能力をサポートし、当該交換設備と他のネットワークノード間に共有キーを確立でき、データフレームを暗号化・復号する。確立した共有キーは、事前共有ものでもよいし、ノード身分認証成功後に協議できたものでもよく、全てのポートモジュールのキー管理モジュールによりストレージして管理される。
【0018】
アルゴリズムモジュールは、暗号化・復号アルゴリズムおよび／または整合性検証アルゴリズムに関し、ハードウェア実現でもソフトウェア実現でもよい。【0019】
本発明に係る実施形態が提供するリンク層セキュリティー伝送をサポートする交換設備は、表１に示す通り、基準のＩＳＯ／ＩＥＣ ８８０２−３データフレームをサポートし、さらにリンク層暗号化プロトコルデータフレームをサポートする。サポートするリンク層暗号化プロトコルデータフレームは、フレームヘッドとペイロードを備える。
【0020】
【表1】
【0021】
ここで、フレームヘッドは、表２に示す通りである。【0022】
【表2】
【0023】
ここで、ＤＡフィールドは、目的ノードの識別子を表し、目的ノードのＭＡＣアドレスの値を自分の値とし； ＳＡフィールドは、ソースノードの識別子を表し、ソースノードのＭＡＣアドレスの値を自分の値とし；
Ｅｔｈｅｒｔｙｐｅフィールドは、イーサタイプフィールドを表し、リンク層暗号化プロトコルのイーサタイプフィールドの値を自分の値とし、対応するリンク層暗号化プロトコルおよびフレーム構造を識別し；
ｉｓＥフィールドは、暗号化フラグビットを表し、データフレームのペイロードがユーザーデータの平文情報または暗号文情報かを識別する。
データパケットの受信側は、このフィールドを復号しなければならないか否かの判断要素とし；
ｋｅｙＩｎｄｅｘフィールドは、ペイロードを保護するキーの識別子を表し；
ＭＡＣｌｉｓｔフィールドは、特定ＭＡＣアドレスリストの情報を表し、当該フィールドは、オプションフィールドであり；
ペイロードフィールドは、ユーザーデータの情報を表し、ユーザーデータの平文情報でもよく、ユーザーデータの暗号文情報でもよい。
【0024】
前記ＭＡＣｌｉｓｔフィールドがある場合、前記ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストにおける交換設備が、もし、目的ノードであれば、受信したデータフレームを復号受信しなければならない。もし、目的ノードでなければ、受信したデータフレームを復号・再暗号化して、再転送しなければならない。
前記ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリスト以外の交換設備は、
もし、目的ノードであれば、受信したデータフレームを復号受信する。
もし、目的ノードでなければ、受信した暗号文データパケットを直接転送するだけでよい。
【0025】
前記ＭＡＣｌｉｓｔフィールドが無い場合、当該データフレームを受信する交換設備は、もし、目的ノードであれば、受信したデータフレームを復号受信しなければならない。
もし、目的ノードでなければ、受信したデータフレームを復号・再暗号化し、再転送しなければならない。
【0026】
前記ＭＡＣｌｉｓｔがある場合、このフィールドにより提供された特定ＭＡＣアドレスリストにおける交換設備が暗号文データパケットの復号に使用するキーの検索情報は、ＭＡＣｌｉｓｔフィールド、ＳＡフィールド、ｋｅｙＩｎｄｅｘフィールドを備え、暗号化に使用するキーの検索情報は、ＭＡＣｌｉｓｔフィールド、ＤＡフィールドを備える。 【0027】
前記ＭＡＣｌｉｓｔが無い場合、交換設備は、全ての転送しなければならない暗号文データパケットを復号・再暗号化し、再転送しなければならない。暗号文データパケットの復号に使用するキーの検索情報は、ＳＡフィールド、ｋｅｙＩｎｄｅｘフィールドを備え、暗号化に使用するキーの検索情報はＤＡフィールドを備える。
【0028】
キー検索情報の具体的な判断方法を本発明に係る実施形態では限定せず、交換設備により具体的にサポートするＥｔｈｅｒｔｙｐｅ識別子リンク層暗号化プロトコルによって限定する。復号時、キー検索情報に基づいて、キーを１つしか検索し、獲得できない。
暗号化時、キー検索情報に基づいて、おそらく、複数のキーを検索し、獲得できる。
交換設備は、ローカル策略に基づいて前記複数のキーから１つを選択し、かつ、選択したキーのｋｅｙＩｎｄｅｘをデータフレームのフレームヘッドに書き込む。
【0029】
図２に示すように、リンク層セキュリティー伝送をサポートする交換設備のポートモジュールは、交換設備の入口でも良く、交換設備の出口でも良い。【0030】
データフレームであるＦｒａｍｅＡを例にとり説明すると、ＦｒａｍｅＡは、交換設備のポートのＰｏｒｔＸから入力し、ポートのＰｏｒｔＹから出力する。異なるモジュール間にて伝送するＦｒａｍｅＡの違いを区別するため、それぞれＦｒａｍｅＡ１−Ａ３を用いて識別する。
【0031】
ここで、ＦｒａｍｅＡ１は、ＰｏｒｔＸのインターフェースモジュールが受信するデータフレームを表し；ＦｒａｍｅＡ２は、ＰｏｒｔＸのセキュリティー処理モジュールが交換モジュールへ送信するデータフレームを表し；
ＦｒａｍｅＡ３は、ＰｏｒｔＹのインターフェースモジュールが最後に出力するデータフレームを表す。
【0032】
もし、交換設備から受信したＦｒａｍｅＡ１が暗号化データフレームであれば、交換設備は当該データフレームを復号・再暗号化処理後に転送しなければならず、データフレームであるＦｒａｍｅＡ１を復号処理し、ＦｒａｍｅＡ２の構成に使用するキーをＫＥＹ１と表記し；データフレームであるＦｒａｍｅＡ２を暗号化処理し、ＦｒａｍｅＡ３の構成に使用するキーをＫＥＹ２と表記し；
交換設備のＰｏｒｔＸは、ＫＥＹ１を利用し、ＦｒａｍｅＡ１を復号処理し、ＦｒａｍｅＡ２を構成し；
ＰｏｒｔＹは、ＫＥＹ２を利用し、ＦｒａｍｅＡ２を暗号化処理し、ＦｒａｍｅＡ３を構成する。
【0033】
本発明に係る実施形態における、リンク層セキュリティー伝送をサポートする交換設備データ処理のフローは、以下のステップ１）からステップ４）からなる。【0034】
ステップ１）において、交換設備ポートのＰｏｒｔＸのインターフェースモジュールは、データフレームであるＦｒａｍｅＡｌを受信して、ＰｏｒｔＸのセキュリティー処理モジュールへ送信する。【0035】
ステップ２）において、交換設備ポートのＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡｌの第１フレームヘッドの情報に基づいて、ＰｏｒｔＸのキー管理モジュールとアルゴリズムモジュール処理ＦｒａｍｅＡ１を結合し、ＦｒａｍｅＡ２を構成して交換設備の交換モジュールへ送信する。【0036】
ステップ３）において、交換設備の交換モジュールは、ＦｒａｍｅＡ２のフレームヘッド２情報を抽出する。もし、フレームヘッド２におけるＤＡフィールドと交換設備ＭＡＣアドレスが一致すれば、交換設備は、ＦｒａｍｅＡ２のペイロード２をリンク層の上位層（例、ネットワーク層、応用層等）へ渡して処理する。
ＤＡフィールドと交換設備ＭＡＣアドレスとが一致しなければ、交換設備は、ローカルのＭＡＣアドレス学習情報に基づいて、正確に、ＦｒａｍｅＡ２をＰｏｒｔＹのセキュリティー処理モジュールまで交換する。
【0037】
ステップ４）において、交換設備ポートのＰｏｒｔＹのセキュリティー処理モジュールは、フレームヘッド２の情報に基づいて、ＰｏｒｔＹのキー管理モジュールとアルゴリズムモジュールを結合し、ＦｒａｍｅＡ２処理してＦｒａｍｅＡ３を構成し、ＰｏｒｔＹのインターフェースモジュールによりＦｒａｍｅＡ３を出力する。【0038】
ここで、前記ステップ２）の具体的なフローは、以下のステップ２．１）からステップ２．６）を備える。【0039】
ステップ２．１）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡｌにおけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に使用するリンク層暗号化プロトコルを確定し、かつ、ｉｓＥフィールドに基づいてペイロード１が暗号化しているか否かを判断する。もし、暗号化していれば、ステップ２．２）を実行する。
暗号化していなければ、直接、ＦｒａｍｅＡ１をＦｒａｍｅＡ２とする。
即ち、フレームヘッド２は、フレームヘッド１と同じであり、ペイロード２は、ペイロード１と同じであり、ステップ２．６）を実行する。
【0040】
ステップ２．２）において、もし、データフレームであるＦｒａｍｅＡｌにＭＡＣｌｉｓｔフィールドがあれば、交換設備のＭＡＣアドレスがＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストにあるか否かを判断する。
もし、このリストになければ、直接、ＦｒａｍｅＡ１をＦｒａｍｅＡ２とする。
即ち、フレームヘッド２は、フレームヘッド１と同じであり、ペイロード２は、ペイロード１と同じであり、ステップ２．６）を実行する。
もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ２．３）を実行する。
もし、データフレームであるＦｒａｍｅＡｌにＭＡＣｌｉｓｔフィールドが無ければ、直接、ステップ２．３）を実行する。
【0041】
ステップ２．３）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡｌのｋｅｙＩｎｄｅｘフィールドおよびＳＡフィールドに基づいて、またはデータフレームであるＦｒａｍｅＡｌのｋｅｙＩｎｄｅｘフィールド、ＳＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡｌをセキュリティー処理するキーＫＥＹ１の検索情報を判断し、キーＫＥＹ１の検索情報をＰｏｒｔＸのキー管理モジュールへ送信する。
【0042】
ステップ２．４）において、ＰｏｒｔＸのキー管理モジュールは、キーＫＥＹ１の検索情報に基づいて、対応するキーＫＥＹ１を探し、かつ、キーＫＥＹ１をＰｏｒｔＸのセキュリティー処理モジュールへフィードバックする。【0043】
ステップ２．５）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、キーＫＥＹ１とＦｒａｍｅＡ１のペイロード１を入力し、ＦｒａｍｅＡ１のペイロード１の平文情報を復号して獲得し、ＦｒａｍｅＡ２を構成する。ＦｒａｍｅＡ１のペイロード１の平文情報をＦｒａｍｅＡ２のペイロード２とし、ＦｒａｍｅＡ１の第１フレームヘッドの情報を、直接、ＦｒａｍｅＡ２のフレームヘッド２情報とする。
即ち、フレームヘッド２は、フレームヘッド１と同じであり、ペイロード２は、ペイロード１の平文情報である。
【0044】
ステップ２．６）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を交換モジュールへ送信する。【0045】
ここで、前記ステップ４）の具体的なフローは、以下のステップ４．１）からステップ４．６）を備える。【0046】
ステップ４．１）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ２におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定する。また、ｉｓＥフィールドに基づいて、ペイロード２を暗号化し、暗号文形式によりネットワークにおいて伝送しなければならないか否かを判断する。
もし、暗号化しなければならないのであれば、ステップ４．２）を実行する。
暗号化しなくてもよければ、直接、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とする。
即ち、フレームヘッド３は、フレームヘッド２と同じであり、ペイロード３は、ペイロード２と同じであり、ステップ４．６）を実行する。
【0047】
ステップ４．２）において、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断する。
もし、このリストに無ければ、直接、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とする。
即ち、フレームヘッド３は、フレームヘッド２と同じであり、ペイロード３は、ペイロード２と同じであり、直接、ステップ４．６）を実行する。
もし、交換設備のＭＡＣアドレスがこのリストにあれば、ステップ４．３）を実行する。
もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドが無ければ、ステップ４．３）を実行する。
【0048】
ステップ４．３）において、ＰｏｒｔＹのセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のＤＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ２のＤＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ２をセキュリティー処理するキーであるＫＥＹ２の検索情報を判断し、ＫＥＹ２の検索情報をＰｏｒｔＹのキー管理モジュールへ送信し、４．４）を実行する。【0049】
ステップ４．４）において、ＰｏｒｔＹのキー管理モジュールは、ＫＥＹ２の検索情報に基づいて、使用できるキーを探し、ローカル策略に基づいて１つのＫＥＹ２を選択する。このＫＥＹ２およびＫＥＹ２の識別子であるｋｅｙＩｎｄｅｘをＰｏｒｔＹのセキュリティー処理モジュールへフィードバックする。
【0050】
ステップ４．５）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２とＦｒａｍｅＡ２のペイロード２を入力し、ＦｒａｍｅＡ２のペイロード２の暗号文情報を暗号化して獲得し、かつ、ＦｒａｍｅＡ３を構成する。ＦｒａｍｅＡ２のペイロード２の暗号文情報をＦｒａｍｅＡ３のペイロード３とし、かつ、使用するＫＥＹ２に基づいて、ＫＥＹ２のｋｅｙＩｎｄｅｘを用い、ＦｒａｍｅＡ２のフレームヘッド２におけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３のフレームヘッド３情報とする。
即ち、フレームヘッド３は、ＫＥＹ２のｋｅｙＩｎｄｅｘを用い、ｋｅｙＩｎｄｅｘフィールドをアップデート後のフレームヘッド２をアップデートする。
ペイロード３は、ペイロード２の暗号文情報である。
【0051】
ステップ４．６）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ３を、インターフェースモジュールにより出力する。【0052】
他の実施方法において、本発明に係る実施形態におけるリンク層セキュリティー伝送をサポートする交換設備がサポートするリンク層暗号化プロトコルデータフレームは、ＭＩＣフィールド（例えば、図２におけるＭＩＣ１、ＭＩＣ２、ＭＩＣ３）をさらに備えることができる。前記ＭＩＣ（ｍｅｓｓａｇｅ ｉｎｔｅｇｒｉｔｙ ｃｏｄｅ）フィールドは、整合性検証コードを表し、データフレーム（例、図２におけるＦｒａｍｅＡｌ、ＦｒａｍｅＡ２、ＦｒａｍｅＡ３）から算出した整合性検証値である。
前記ＭＩＣ計算にかかわるフィールドは、交換設備がサポートするＥｔｈｅｒｔｙｐｅに対応するリンク層暗号化プロトコルにより確定する。
ＭＩＣフィールドをサポートする実施方式において、データフレームをセキュリティー処理するキーは、２つの部分にわけられる。
１つは、整合性検証キーであり、もう１つは、セッション暗号化キーである。
整合性検証キーは、データフレームの整合性検証コードＭＩＣを計算し、セッション暗号化キーは、データフレームペイロードを暗号化する。
【0053】
リンク層セキュリティー伝送をサポートする交換設備のデータフレームのセキュリティー処理は、先にデータフレームの整合性検証コードを計算してＭＩＣフィールドを構成し、後にデータフレームのユーザーデータを暗号化処理してペイロードフィールドを構成しても良い。または、先にデータフレームのユーザーデータを暗号化処理してペイロードフィールドを構成し、後に整合性検証コードを計算してＭＩＣフィールドを構成してもよい。
【0054】
実行する暗号化処理に暗号化と非暗号化の２つの策略があるため、先に整合性検証コードを計算し、ＭＩＣフィールドを構成する方法は、受信時、先に復号しなければならないか否かを考慮しなければならず、後にＭＩＣフィールドの正確性を確認する。【0055】
一方、後に整合性検証コードを計算し、ＭＩＣフィールドを構成する方法は、受信時、先にＭＩＣフィールドの正確性を確認しなければならず、後に復号しなければならないか否かを考慮する。【0056】
＜先に整合性検証コードを計算し、ＭＩＣフィールドを構成する方法＞先にデータフレームの整合性検証コードを計算し、ＭＩＣフィールドを構成し、後にデータフレームのユーザーデータの暗号化を考慮し、ペイロードフィールド処理を構成する場合、前記ステップ２）の具体的なフローは、以下のステップ２．１）からステップ２．９）を備える。
【0057】
ステップ２．１）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定する。【0058】
ステップ２．２）において、もし、データフレームであるＦｒａｍｅＡｌにＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断する。もし当該リストに無ければ、直接、ＦｒａｍｅＡ１をＦｒａｍｅＡ２とする。
即ち、フレームヘッド２は、フレームヘッド１と同じであり、ペイロード２は、ペイロード１と同じであり、ＭＩＣ２は、ＭＩＣ１と同じであり、ステップ２．９）を実行する。
もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ２．３）を実行する。
もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドが無ければ、直接ステップ２．３）を実行する。
【0059】
ステップ２．３）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールドおよびＳＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールド、ＳＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ１のセキュリティー処理に必要なキーＫＥＹ１の検索情報を判断し、キーＫＥＹ１の検索情報をＰｏｒｔＸのキー管理モジュールへ送信する。【0060】
ステップ２．４）において、ＰｏｒｔＸのキー管理モジュールは、ＫＥＹ１の検索情報に基づいて、対応するＫＥＹ１を探し、かつ、ＫＥＹ１をＰｏｒｔＸのセキュリティー処理モジュールへフィードバックする。【0061】
ステップ２．５）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ｉｓＥフィールドに基づいて、ペイロード１が暗号化しているか否かを判断する。もし、暗号化していれば、ステップ２．６）を実行する。
暗号化していなければ、ＦｒａｍｅＡ１のペイロード１は、ペイロード１の平文情報であり、直接、ステップ２．７）を実行する。
【0062】
ステップ２．６）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１のセッション暗号化キーとＦｒａｍｅＡ１のペイロード１を入力し、ＦｒａｍｅＡ１ペイロード１の平文情報を復号して獲得する。【0063】
ステップ２．７）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、キーＫＥＹ１の整合性検証キーとＦｒａｍｅＡ１のペイロード１の平文情報を入力し、ＭＩＣ１の正確性を検証する。もし、正確であれば、ステップ２．８）を実行する。
正確でなければ、このパケットを廃棄する。
【0064】
ステップ２．８）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を構成する。ＦｒａｍｅＡ１ペイロード１の平文情報をＦｒａｍｅＡ２のペイロード２とし、ＦｒａｍｅＡ１の第１フレームヘッドの情報を、直接、ＦｒａｍｅＡ２のフレームヘッド２情報とする。
即ち、フレームヘッド２は、フレームヘッド１と同じであり、ペイロード２は、ペイロード１の平文である。
【0065】
ステップ２．９）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を交換モジュールへ送信する。【0066】
また、前記ステップ４）の具体的フローは、以下のステップ４．１）からステップ４．９）を備える。【0067】
ステップ４．１）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ２におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定する。【0068】
ステップ４．２）において、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断する。
もし、このリストに無ければ、直接、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とする。
即ち、フレームヘッド３は、フレームヘッド２と同じであり、ペイロード３は、ペイロード２と同じであり、ＭＩＣ３は、ＭＩＣ２と同じであり、直接、ステップ４．９）を実行する。
もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ４．３）を実行する。
もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドが無ければ、ステップ４．３）を実行する。
【0069】
ステップ４．３）において、ＰｏｒｔＹのセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のＤＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ２のＤＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ２のセキュリティー処理に必要なＫＥＹ２の検索情報を判断し、ＫＥＹ２の検索情報をＰｏｒｔＹのキー管理モジュールへ送信し、ステップ４．４）を実行する。【0070】
ステップ４．４）において、ＰｏｒｔＹのキー管理モジュールは、ＫＥＹ２の検索情報に基づいて、使用できるキーを探し、ローカル策略に基づいて、キーＫＥＹ２を選択する。このＫＥＹ２およびＫＥＹ２のｋｅｙＩｎｄｅｘ情報を、ＰｏｒｔＹのセキュリティー処理モジュールへフィードバックする。
【0071】
ステップ４．５）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２の整合性検証キーとＦｒａｍｅＡ２のペイロードを入力し、整合性検証コードＭＩＣ３を計算して獲得する。【0072】
ステップ４．６）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のｉｓＥフィールドに基づいて、ペイロード２を暗号化し、暗号文形式によりネットワークにおいて伝送しなければならないか否かを判断する。もし、暗号化しなければならないのであれば、ステップ４．７）を実行する。
暗号化しなくてもよければ、ステップ４．８）を実行する。
【0073】
ステップ４．７）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２のセッション暗号化キーとＦｒａｍｅＡ２のペイロード２を入力し、ＦｒａｍｅＡ２のペイロード２の暗号文情報を暗号化して獲得し、かつ、ＦｒａｍｅＡ３を構成する。ＦｒａｍｅＡ２のペイロード２の暗号文情報をＦｒａｍｅＡ３のペイロード３とし、かつ、使用するＫＥＹ２のｋｅｙＩｎｄｅｘ情報に基づいて、ＦｒａｍｅＡ２のフレームヘッド２におけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３のフレームヘッド３情報とする。
ステップ４．５）により算出したＭＩＣ３をＦｒａｍｅＡ３のＭＩＣ３とする。
即ち、フレームヘッド３は、ＫＥＹ２のｋｅｙＩｎｄｅｘを用い、ｋｅｙＩｎｄｅｘフィールドをアップデートした後のフレームヘッド２である。
ペイロード３は、ペイロード２の暗号文情報であり、ＭＩＣ３は、ステップ４．５）により算出したＭＩＣ３であり、ステップ４．９）を実行する。
【0074】
ステップ４．８）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ３を構成する。ＦｒａｍｅＡ２のペイロード２を、直接、ＦｒａｍｅＡ３のペイロード３とし、かつ、使用するキーＫＥＹ２のｋｅｙＩｎｄｅｘに基づいて、ＦｒａｍｅＡ２のフレームヘッド２におけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３のフレームヘッド３情報とする。
ステップ４．５）により算出したＭＩＣ３をＦｒａｍｅＡ３のＭＩＣ３とする。
即ち、フレームヘッド３は、ＫＥＹ２のｋｅｙＩｎｄｅｘを用い、ｋｅｙＩｎｄｅｘフィールドをアップデートした後のフレームヘッド２とする。
ペイロード３は、ペイロード２と同じであり、ＭＩＣ３は、ステップ４．５）により算出したＭＩＣ３であり、ステップ４．９）を実行する。
【0075】
ステップ４．９）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ３をインターフェースモジュールにより出力する。【0076】
＜先にデータフレームのユーザーデータの暗号化処理を考慮し、ペイロードフィールドを構成し、後に整合性検証コードを計算し、ＭＩＣフィールドを構成する方法＞この場合、前記ステップ２）の具体的フローは、以下のステップ２．１）からステップ２．９）を備える。
【0077】
ステップ２．１）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定する。【0078】
ステップ２．２）において、もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドにより提供された特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断する。
もし、このリストに無ければ、直接、ＦｒａｍｅＡ１をＦｒａｍｅＡ２とする。
即ち、フレームヘッド２は、フレームヘッド１と同じであり、ペイロード２は、ペイロード１と同じであり、ＭＩＣ２は、ＭＩＣ１と同じであり、ステップ２．９）を実行する。
もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ２．３）を実行する。
もし、データフレームであるＦｒａｍｅＡ１にＭＡＣｌｉｓｔフィールドが無ければ、直接、ステップ２．３）を実行する。
【0079】
ステップ２．３）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールドおよびＳＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ１のｋｅｙＩｎｄｅｘフィールド、ＳＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ１のセキュリティー処理に必要なキーＫＥＹ１の検索情報を判断し、ＫＥＹ１の検索情報をＰｏｒｔＸのキー管理モジュールへ送信する。
【0080】
ステップ２．４）において、ＰｏｒｔＸのキー管理モジュールは、ＫＥＹ１の検索情報に基づいて、対応するキーＫＥＹ１を探し、かつ、ＫＥＹ１をＰｏｒｔＸのセキュリティー処理モジュールへフィードバックする。【0081】
ステップ２．５）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、キーＫＥＹ１の整合性検証キーとＦｒａｍｅＡ１のペイロード１を入力し、ＭＩＣ１の正確性を検証する。もし、正確であれば、ステップ２．６）を実行する。
正確でなければ、当該パケットを廃棄する。
【0082】
ステップ２．６）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ｉｓＥフィールドに基づいて、ペイロード１が暗号化しているか否かを判断する。もし、暗号化していれば、ステップ２．７）を実行する。
暗号化していなければ、ＦｒａｍｅＡ１のペイロード１は、ペイロード１の平文情報であり、直接、ステップ２．８）を実行する。
【0083】
ステップ２．７）において、ＰｏｒｔＸのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ１のセッション暗号化キーとＦｒａｍｅＡ１のペイロード１を入力し、ＦｒａｍｅＡ１ペイロード１の平文情報を復号して獲得する。【0084】
ステップ２．８）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を構成する。ＦｒａｍｅＡ１ペイロードの平文情報をＦｒａｍｅＡ２のペイロードとし、ＦｒａｍｅＡ１の第１フレームヘッドの情報を、直接、ＦｒａｍｅＡ２のフレームヘッド２情報とする。
即ち、フレームヘッド２は、フレームヘッド１と同じであり、ペイロード２は、ペイロード１の平文情報である。
【0085】
ステップ２．９）において、ＰｏｒｔＸのセキュリティー処理モジュールは、ＦｒａｍｅＡ２を交換モジュールへ送信する。【0086】
前記ステップ４）の具体的なフローは、以下のステップ４．１）からステップ４．９）を備える。【0087】
ステップ４．１）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ２におけるＥｔｈｅｒｔｙｐｅフィールドに基づいて、データカプセル化に用いるリンク層暗号化プロトコルを確定する。【0088】
ステップ４．２）において、もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドがあれば、ＭＡＣｌｉｓｔフィールドが提供する特定ＭＡＣアドレスリストに交換設備のＭＡＣアドレスがあるか否かを判断する。
もし、このリストに無ければ、直接、ＦｒａｍｅＡ２をＦｒａｍｅＡ３とする。
即ち、フレームヘッド３は、フレームヘッド２と同じであり、ペイロード３はペイロード２と同じであり、ＭＩＣ３は、ＭＩＣ２と同じであり、直接ステップ４．９）を実行する。
もし、交換設備のＭＡＣアドレスが当該リストにあれば、ステップ４．３）を実行する。
もし、データフレームであるＦｒａｍｅＡ２にＭＡＣｌｉｓｔフィールドが無ければ、ステップ４．３）を実行する。
【0089】
ステップ４．３）において、ＰｏｒｔＹのセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のＤＡフィールドに基づいて、または、データフレームであるＦｒａｍｅＡ２のＤＡフィールドおよびＭＡＣｌｉｓｔフィールドに基づいて、ＦｒａｍｅＡ２のセキュリティー処理に必要なＫＥＹ２の検索情報を判断し、ＫＥＹ２の検索情報をＰｏｒｔＹのキー管理モジュールへ送信し、ステップ４．４）を実行する。
【0090】
ステップ４．４）において、ＰｏｒｔＹのキー管理モジュールは、ＫＥＹ２の検索情報に基づいて、使用できるキーを探し、ローカル策略に基づいて、ＫＥＹ２を選択する。このＫＥＹ２およびＫＥＹ２のｋｅｙＩｎｄｅｘ情報をＰｏｒｔＹのセキュリティー処理モジュールへフィードバックする。
【0091】
ステップ４．５）において、ＰｏｒｔＸセキュリティー処理モジュールは、データフレームであるＦｒａｍｅＡ２のｉｓＥフィールドに基づいて、ペイロード２を暗号化し、暗号文形式によりネットワークにおいて伝送しなければならないか否かを判断する。もし、暗号化しなければならないのであれば、ステップ４．６）を実行する。
暗号化しなくてもよければ、ステップ４．８）を実行する。
【0092】
ステップ４．６）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、キーＫＥＹ２のセッション暗号化キーとＦｒａｍｅＡ２のペイロード２を入力し、ＦｒａｍｅＡ２のペイロード２の暗号文情報を暗号化して獲得する。【0093】
ステップ４．７）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２の整合性検証キーとＦｒａｍｅＡ２のペイロード２の暗号文情報を入力し、整合性検証コードＭＩＣ３が計算して獲得し、かつ、ＦｒａｍｅＡ３を構成する。ＦｒａｍｅＡ２ペイロード２の暗号文情報をＦｒａｍｅＡ３のペイロード３とし、かつ、使用するＫＥＹ２のｋｅｙＩｎｄｅｘ情報に基づいて、ＦｒａｍｅＡ２のフレームヘッド２におけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３のフレームヘッド３情報とする。
算出したＭＩＣ３を用い、ＦｒａｍｅＡ３のＭＩＣ３とする。
即ち、フレームヘッド３は、ＫＥＹ２のｋｅｙＩｎｄｅｘを用いｋｅｙＩｎｄｅｘフィールドをアップデートした後のフレームヘッド２である。
ペイロード３は、ペイロード２の暗号文情報であり、ＭＩＣ３は、ステップ４．７）を用い、算出したＭＩＣ３であり、ステップ４．９）を実行する。
【0094】
ステップ４．８）において、ＰｏｒｔＹのセキュリティー処理モジュールは、アルゴリズムモジュールを呼び出し、ＫＥＹ２の整合性検証キーとＦｒａｍｅＡ２のペイロード２を入力し、整合性検証コードＭＩＣ３を計算して獲得し、ＦｒａｍｅＡ３を構成する。ＦｒａｍｅＡ２ペイロード２を、直接、ＦｒａｍｅＡ３のペイロード３とし、かつ、使用するＫＥＹ２のｋｅｙＩｎｄｅｘ情報に基づいて、ＦｒａｍｅＡ２のフレームヘッド２におけるｋｅｙＩｎｄｅｘフィールドをアップデートし、ＦｒａｍｅＡ３のフレームヘッド３情報とする。
算出したＭＩＣ３を用い、ＦｒａｍｅＡ３のＭＩＣ３とする。
即ち、フレームヘッド３は、ＫＥＹ２のｋｅｙＩｎｄｅｘを用い、ｋｅｙＩｎｄｅｘフィールドをアップデートした後のフレームヘッド２である。
ペイロード３は、ペイロード２と同じであり、ＭＩＣ３は、ステップ４．８）により算出したＭＩＣ３であり、ステップ４．９）を実行する。
【0095】
ステップ４．９）において、ＰｏｒｔＹのセキュリティー処理モジュールは、ＦｒａｍｅＡ３をインターフェースモジュールにより出力する。【要約】
本発明は、リンク層セキュリティー伝送を支援する交換設備のデータ処理方法を開示した。当該リンク層セキュリティー伝送を支援する交換設備は、交換モジュールおよびマルチポートモジュールを備え、各ポートモジュールと交換モジュールは電気的に隣接する。前記ポートモジュールは、リンク層キー管理能力を支援し、前記交換設備と他のネットワークノード間にデータフレームを暗号化・復号する共有キーを確立する。