JP4561704B2 - 無線通信システム、端末およびその状態報知方法ならびにプログラム - Google Patents

Description

本発明は、無線通信システムに関し、特に属性証明書などのセキュリティ設定情報（Security Configuration Parameters）を用いて無線ネットワークへのアクセス権限を認証する無線通信システム、当該システムにおける端末およびその状態報知方法ならびに当該方法をコンピュータに実行させるプログラムに関する。

電子機器の小型化、高性能化が進み、簡単に持ち運び利用することが可能となったことから、必要になったその場で端末をネットワークに接続し、通信を可能とする環境が求められている。その一つとして、無線通信を利用した無線通信システムが利用されるようになっている。

無線通信システムでは、あるネットワーク資源に対して接続する権限を有しない端末がアクセスすることを防ぐために、属性証明書（ＡＣ：Attribute Certificate）を利用した権限管理が行われている。この属性証明書は、２０００年３月にＸ．５０９バージョン３により新たに定義され、２００２年４月より標準化過程の仕様書（Standard Track RFC（Request For Comments））として属性証明書に含まれるデータフィールドの内容の定義がまとめられている。属性証明書をネットワーク資源へのアクセス許可証として利用することにより、ネットワーク資源に接続する権限を確認し、接続資格を保有している端末だけに接続を許可することができる。

このような属性証明書が一旦発行された後でそれを強制的に失効させる必要が生じた場合、従来より属性証明書失効リストが用いられている。例えば、属性証明書識別子と失効時刻との対をエントリとして含む属性証明書失効リストを利用したシステムが提案されている（例えば、特許文献１参照。）。
特開２００４−２６０８０３号公報（図１）

上述の従来技術では、セキュリティ設定情報に属性証明書を用いた場合には属性証明書を失効させるために属性証明書失効リストが用いられている。しかしながら、このような属性証明書失効リストはいわば間接的なものであり、他の端末から認証要求があった場合にはその度に属性証明書失効リストを逐次確認する必要が生じる。

また、無線アドホックネットワークのように属性証明書失効リストを管理すべきサーバが存在しない場合には、属性証明書失効リストを自律分散的に発行し、無線ネットワーク上の各端末に配布する仕組みが必要となるが、この場合もアドホックネットワークの不安定さにより、属性証明書失効リストが行き渡らない可能性もあり、意図した属性証明書の失効が間に合わないおそれが生じ得る。

また、一般的には属性証明書などのセキュリティ設定情報を直接画面上で設定画面を通して削除する方法も考えられるが、こうした方法はシステムに精通していないユーザが行う場合には手順が複雑になるおそれがある。また、ディスプレイなどの出力装置を備えていない端末ではこのような手法は適用できない。

そこで、本発明は、他の端末との合意に基づいて属性証明書などのセキュリティ設定情報を直接的に失効させる機構を設けることを目的とする。

本発明は、上記課題を解決するためになされたものであり、その第１の側面は、複数の端末がそれぞれに共有された属性証明書などのセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて形成される無線通信システムであって、上記複数の端末の各々は、他の端末との合意に基づいて上記他の端末の属性証明書などのセキュリティ設定情報または自身の端末の属性証明書などのセキュリティ設定情報を失効させることを特徴とする無線通信システムである。これにより、無線端末は他の端末との合意に基づいて属性証明書などのセキュリティ設定情報を失効させるという作用をもたらす。

また、本発明の第２の側面は、第１および第２の端末を含む複数の端末がそれぞれに共有された属性証明書などのセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムであって、上記第１および第２端末の各々は、自身の端末の動作状態として失効動作状態に移行しているか否かを保持する動作状態保持手段と、上記自身の端末を失効動作状態に移行させる指示の操作を受けると動作状態保持手段が失効動作状態を示すように移行させる操作受付手段とを備え、上記第１の端末は、第２の端末が失効動作状態に移行しているか否かを示す報知信号を受信する報知信号受信手段と、上記第１の端末の動作状態が失効動作状態に移行してから所定期間内に上記第２の端末が失効動作状態に移行している旨を示す上記報知信号が上記報知信号受信手段によって受信されると上記第２の端末に対して上記第２の端末の属性証明書などのセキュリティ設定情報を失効させる旨の失効要求を送信する失効要求手段とを備え、上記第２の端末は、上記第１の端末から上記第２の端末の属性証明書などのセキュリティ設定情報を失効させる旨の上記失効要求を受信する失効要求受信手段と、上記第２の端末が失効動作状態に移行している場合において上記失効要求受信手段が上記失効要求を受けると上記第２の端末の属性証明書などのセキュリティ設定情報を失効させる失効実行手段とを備えることを特徴とする無線通信システムである。これにより、先に失効動作状態に移行した第１の端末から失効要求を送信し、その失効要求を受信した第２の端末が使用中の属性証明書などのセキュリティ設定情報を失効させるという作用をもたらす。

また、本発明の第３の側面は、複数の端末がそれぞれに共有された属性証明書などのセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムにおいて、自身の端末の動作状態として失効動作状態に移行しているか否かを保持する動作状態保持手段と、上記自身の端末を失効動作状態に移行させる指示の操作を受けると動作状態保持手段が失効動作状態を示すように移行させる操作受付手段と、他の端末が失効動作状態に移行しているか否かを示す報知信号を受信する報知信号受信手段と、上記動作状態保持手段に保持される上記自身の端末の動作状態が失効動作状態に移行してから所定期間内に上記他の端末が失効動作状態に移行している旨を示す上記報知信号が上記報知信号受信手段によって受信されると上記他の端末に対して上記他の端末の属性証明書などのセキュリティ設定情報を失効させる旨の失効要求を送信する失効要求手段と、上記他の端末から上記自身の端末の属性証明書などのセキュリティ設定情報を失効させる旨の失効要求を受信する失効要求受信手段と、上記自身の端末が失効動作状態に移行している場合において上記他の端末から上記自身の端末の属性証明書などのセキュリティ設定情報を失効させる旨の失効要求が上記失効要求受信手段によって受信されると上記自身の端末の属性証明書などのセキュリティ情報を失効させる失効処理手段とを具備することを特徴とする端末である。これにより、他の端末より先に失効動作状態に移行した場合には失効要求を送信し、他の端末より後から失効動作状態に移行した場合には他の端末から失効要求を受信することによって自身が使用中の属性証明書などのセキュリティ設定情報を失効させるという作用をもたらす。

また、本発明の第４の側面は、複数の端末がそれぞれに共有された属性証明書などのセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムにおいて、自身の端末の動作状態として失効動作状態に移行しているか否かを保持する動作状態保持手段と、上記自身の端末を失効動作状態に移行させる指示の操作を受けると動作状態保持手段が失効動作状態を示すように移行させる操作受付手段と、他の端末が失効動作状態に移行しているか否かを示す報知信号を受信する報知信号受信手段と、上記動作状態保持手段に保持される上記自身の端末の動作状態が失効動作状態に移行してから所定期間内に上記他の端末が失効動作状態に移行している旨を示す上記報知信号が上記報知信号受信手段によって受信されると上記他の端末に対して上記他の端末の属性証明書などのセキュリティ設定情報を失効させる旨の失効要求を送信する失効処理手段とを具備することを特徴とする端末である。これにより、他の端末より先に失効動作状態に移行した端末が失効要求を送信して、他の端末の属性証明書などのセキュリティ設定情報を失効させるという作用をもたらす。

また、この第４の側面において、上記失効処理手段が、上記失効要求を送信する前に上記他の端末の位置を確認して所定範囲内にある場合に限り上記失効要求を送信するようにしてもよい。これにより、ユーザの意図しない失効要求の送信を防止させるという作用をもたらす。

また、この第４の側面において、上記失効処理手段が、上記自身の端末が失効動作状態に移行してから所定期間内に上記失効要求に対する応答を上記他の端末から受信しない場合には上記他の端末における失効が失敗した旨を表示させるようにしてもよい。これにより、属性証明書などのセキュリティ設定情報の失効が完了していない旨をユーザに知らせるという作用をもたらす。

また、この第４の側面において、上記操作受付手段は押しボタンにより構成されるものであってもよい。この失効ボタンは失効動作状態に移行するための独立した専用ボタンであってもよく、また、他のボタンとの兼用ボタンであってもよい。このように、簡易なユーザインターフェースしか有していない携帯機器においても本発明を適用することができる。

また、本発明の第５の側面は、複数の端末がそれぞれに共有された属性証明書などのセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムにおいて、自身の端末の動作状態として失効動作状態に移行しているか否かを保持する動作状態保持手段と、上記自身の端末を失効動作状態に移行させる指示の操作を受けると動作状態保持手段が失効動作状態を示すように移行させる操作受付手段と、上記他の端末から上記自身の端末の属性証明書などのセキュリティ設定情報を失効させる旨の失効要求を受信する失効要求受信手段と、上記自身の端末が失効動作状態に移行している場合において上記他の端末から上記自身の端末の属性証明書などのセキュリティ設定情報を失効させる旨の失効要求が上記失効要求受信手段によって受信されると上記自身の端末の属性証明書などのセキュリティ設定情報を失効させる失効処理手段とを具備することを特徴とする端末である。これにより、他の端末より後から失効動作状態に移行した端末が他の端末から失効要求を受信することによって、自身が使用中の属性証明書などのセキュリティ設定情報を失効させるという作用をもたらす。

また、この第５の側面において、上記失効処理手段が、上記自身の端末の属性証明書などのセキュリティ設定情報を失効させる前に上記他の端末の位置を確認して所定範囲内にある場合に限り上記自身の端末の属性証明書などのセキュリティ設定情報を失効するようにしてもよい。これにより、ユーザの意図しない属性証明書などのセキュリティ設定情報の失効を防止させるという作用をもたらす。

また、この第５の側面において、上記失効処理手段が、上記失効要求に従って上記自身の端末の属性証明書などのセキュリティ設定情報を失効させるとその旨を示す失効応答を上記他の端末に送信するようにしてもよい。これにより、失効要求を送信した端末に属性証明書などのセキュリティ設定情報の失効が完了した旨を知らせるという作用をもたらす。

また、この第５の側面において、上記操作受付手段は押しボタンにより構成されるものであってもよい。このように、簡易なユーザインターフェースしか有していない携帯機器においても本発明を適用することができる。

また、本発明の第６の側面は、複数の端末がそれぞれに共有された属性証明書などのセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムにおいて、自身の端末を失効動作状態へ移行させる手順と、他の端末が失効動作状態に移行しているか否かを示す報知信号を受信する手順と、上記動作状態保持手段に保持される上記自身の端末の動作状態が失効動作状態に移行してから所定期間内に上記他の端末が失効動作状態に移行している旨を示す上記報知信号が上記報知信号受信手段によって受信されると上記他の端末に対して上記他の端末の属性証明書などのセキュリティ設定情報を失効させる旨の失効要求を送信する手順とを具備することを特徴とする端末制御方法またはこれら手順を上記自身の端末におけるコンピュータに実行させることを特徴とするプログラムである。これにより、他の端末より先に失効動作状態に移行した場合には失効要求を送信し、他の端末より後から失効動作状態に移行した場合には他の端末から失効要求を受信することによって自身が使用中の属性証明書などのセキュリティ設定情報を失効させるという作用をもたらす。

本発明によれば、無線ネットワークにおいてある端末が他の端末との合意に基づいて共有しているセキュリティ設定情報を直接的に失効させることができるという優れた効果を奏し得る。

次に本発明の実施の形態についてセキュリティ設定情報として属性証明書を使用した場合における例を、図面を参照して詳細に説明する。

図１は、本発明の実施の形態における無線通信システムの各無線端末の接続関係の一例を示す図である。図１（ａ）では、無線端末Ａ（１１）およびＢ（１２）がそれぞれ属性証明書２１および２２による権限に基づいて無線ネットワークに接続している。また、無線端末Ａ（１１）およびＢ（１２）は、それぞれ公開鍵証明書３１および３２を有している。これら公開鍵証明書３１および３２は、それぞれ属性証明書２１および２２を検証するための公開鍵を含むものである。

無線端末Ａ（１１）およびＢ（１２）にはそれぞれ失効ボタン４１および４２が備えられており、図１（ｂ）のように所定の位置関係にある状態において失効ボタン４１および４２が押下されることにより無線端末Ａ（１１）およびＢ（１２）は失効動作状態に移行する。例えば、互いに１０ｃｍ程度に近づけた状態や互いに指向性のある赤外線を向け合うことで所定の位置関係を示すことができる。このような位置関係において失効ボタン４１および４２が押下されることにより、無線端末Ａ（１１）およびＢ（１２）において失効動作を行う合意があったと認識される。このようにして失効動作状態に移行した無線端末Ａ（１１）およびＢ（１２）は、何れか一方から他方に属性証明書を失効させる失効要求を送信する。この失効要求を受信した他方は属性証明書を失効させた後に失効応答を返信する。

例えば、先に失効動作状態に移行した無線端末が失効要求を送信することとした場合、無線端末Ａ（１１）が先に失効動作状態に移行していれば無線端末Ａ（１１）は無線端末Ｂ（１２）に対して失効要求を送信する。これにより、図１（ｃ）のように無線端末Ｂ（１２）は属性証明書および公開鍵証明書を失効させる。その結果、無線端末Ｂ（１２）は無線端末Ａ（１１）と間で形成していた無線ネットワークから脱退する。

なお、ここでは、２つの無線端末が失効動作状態に移行した場合について説明したが、３つ以上の無線端末が失効動作状態に移行した場合には、位置関係に基づいて相手端末を特定すれば２つの無線端末間の失効処理と同様の処理になる。例えば、無線端末Ａを失効動作状態に移行させた後に、無線端末Ｂの他に無線端末Ｃも失効動作状態に移行した場合、無線端末Ａは無線端末Ｂおよび無線端末Ｃの位置関係をチェックして、例えば最も近距離にある無線端末を選択して失効要求を送信する。ここでも位置関係は距離に限らず、指向性のある赤外線を向け合うことで特定の場所に位置していることを要件としてもよいことはいうまでもない。

図２は、本発明の実施の形態における無線端末１００の機能構成の一例を示す図である。ここでは、無線端末１００は、失効処理部１１０と、動作グループ識別子保持部１３０と、操作受付部１４０と、動作状態保持部１５０と、ビーコン生成部１６０と、通信部１７０と、表示部１８０と、近隣端末リスト５００と、属性証明書発行端末リスト６００と、属性証明書リスト７００とを備えて構成される。

失効処理部１１０は、他の無線端末との間で属性証明書を失効させる失効処理を行うものである。本発明の実施の形態では、無線端末の状態として失効処理を行うための失効動作状態とそれ以外の動作を行うための通常状態との２つの状態を設ける。そして、２つの無線端末のうちで先に失効作状態になった無線端末が相手の属性証明書の失効を要求する失効要求端末（Revoker）としての役割を有し、後から失効動作状態になった無線端末が自信の属性証明書の失効を要求される被失効端末（Revokee）としての役割を有することとする。この場合の失効要求を行う処理や、属性証明書を消去して失効応答を行う処理は、何れも失効処理部１１０が行う。

動作グループ識別子保持部１３０は、無線端末１００が動作中のグループ識別子としてビーコンに示しているグループ識別子を保持するものである。ここで、グループ識別子とは、無線ネットワークにおけるネットワークグループを識別するための識別子である。本発明の実施の形態では、無線ネットワークは必ずしも一つのネットワークに限定されるものではなく、それぞれ独立した複数のネットワークグループを形成することができる。このとき、動作グループ識別子保持部１３０は、無線端末１００が何れのネットワークグループに接続しているかをグループ識別子により示すことになる。

操作受付部１４０は、ユーザからの操作入力を受け付けるものである。この操作受付部１４０としては、無線端末１００を失効動作状態に移行させるための失効ボタンを想定することができる。この失効ボタンは失効動作状態に移行するための独立した専用ボタンであってもよく、また、他のボタンとの兼用ボタンであってもよい。

動作状態保持部１５０は、無線端末１００が動作状態として失効動作状態に移行しているか否かを保持するものである。失効動作状態に移行させる操作が操作受付部１４０によって受け付けられると、動作状態保持部１５０は失効動作状態に移行している旨を保持する。また、失効処理終了後は、失効処理部１１０によって失効動作状態から解除され、これにより動作状態保持部１５０は失効動作状態に移行していない旨を保持する。

ビーコン生成部１６０は、動作グループ識別子保持部１３０に保持されたグループ識別子および動作状態保持部１５０に保持された動作状態を含むビーコンを生成するものである。このビーコン生成部１６０によって生成されたビーコンは、通信部１７０によって定期的に他の無線端末にブロードキャストされるため、その無線端末が動作しているグループ識別子および動作状態を他の無線端末に知らせることができる。

通信部１７０は、他の無線端末との間で無線通信を行うものである。例えば、ビーコン生成部１６０によって生成されたビーコンを他の無線端末に対して送信し、また、他の無線端末からビーコンを受信する。また、通信部１７０は、失効処理部１１０における処理に必要な通信を他の無線端末との間で行う。

表示部１８０は、失効処理部１１０における処理が失敗した際にその旨を表示するものである。この表示部１８０は、外部から失敗の有無が判別できればよく、簡単なもので構わない。

近隣端末リスト５００は、無線端末１００の近隣に存在する他の無線端末の一覧を含むリストである。属性証明書発行端末リスト６００は、無線端末１００に対して属性証明書を発行した発行端末に関する情報を含むリストである。また、属性証明書リスト７００は、無線端末１００の所持する属性証明書の一覧を含むリストである。これらリストの詳細については後述する。

図３は、本発明の実施の形態におけるビーコン４３０のフレーム構成例を示す図である。ビーコン４３０は、通信部１７０によって定期的に送信されるものであり、送信端末識別子４３１と、受信端末識別子４３２と、動作グループ識別子４３３と、動作モード４３６とを含んでいる。

送信端末識別子４３１は、送信端末の端末識別子を示すものである。また、受信端末識別子４３２は、受信端末の端末識別子を示すものである。ビーコンの場合、この受信端末識別子４３２は、ブロードキャストアドレスが用いられる。

動作グループ識別子４３３は、送信端末の動作グループ識別子保持部１３０に保持されているグループ識別子を示すものである。この動作グループ識別子４３３は、ネットワーク識別子４３４およびプロファイル識別子４３５から成る。ここで、ネットワーク識別子４３４は、そのネットワークグループに接続するための属性証明書の発行端末の端末識別子を利用することができる。また、プロファイル識別子４３５は、その属性証明書の発行端末ごとに管理される通し番号を利用することができる。これにより、ネットワークグループは一意に識別することができる。

動作モード４３６は、送信端末の動作状態を示すものであり、例えば、失効動作状態４３８を含む。ビーコン４３０を受け取った他の無線端末は、この失効動作状態４３８を参照することにより、その送信端末の状態が「失効動作状態である」か「失効動作状態ではない」かを認識することができる。

図４は、本発明の実施の形態における近隣端末リスト５００の構成例を示す図である。この近隣端末リスト５００は、他の無線端末から受け取ったビーコンに基づいて近隣端末に関する情報を各エントリに保持するものであり、インデックス５０１と、端末識別子５０２と、動作グループ識別子５０３と、失効動作状態５０７とを保持する。

インデックス５０１は、エントリに付与される通し番号である。端末識別子５０２は、近隣端末の端末識別子を示すものである。動作グループ識別子５０３は、近隣端末のグループ識別子を示すものである。また、失効動作状態５０７は、近隣端末の状態として失効動作状態にあるか否かを示すものである。この近隣端末リスト５００は、通信部１７０が他の無線端末からビーコンを受信する度に更新され、失効処理部１１０における失効処理のために参照される。

図５は、本発明の実施の形態における属性証明書発行端末リスト６００の構成例を示す図である。この属性証明書発行端末リスト６００は、属性証明書の発行端末に関する情報を各エントリに保持するものであり、インデックス６０１と、発行端末グループ識別子６０２と、発行端末公開鍵証明書６０５と、認証時グループ識別子６０６とを保持する。

インデックス６０１は、エントリに付与される通し番号である。発行端末グループ識別子６０２は、発行端末のグループ識別子を示すものである。この発行端末グループ識別子６０２によって示される発行端末は「信頼できるもの（Trustworthy）」として扱われる。

発行端末公開鍵証明書６０５は、発行端末の公開鍵証明書（ＰＫＣ：Public Key Certificate）を保持するものである。認証時グループ識別子６０６は、無線端末１００における属性証明書発行端末リスト６００に発行端末を追加した際の無線端末１００のグループ識別子を保持するものである。この認証時グループ識別子６０６によって示される無線端末は、発行端末を追加した際に信頼していた無線端末ということになる。

この属性証明書発行端末リスト６００は、相互認証の際に、発行端末のグループ識別子や公開鍵を取得するために用いられる。また、認証時グループ識別子６０６を設けたことにより、一つの発行端末から複数の属性証明書が発行されていた場合でも適切な属性証明書を検索することができる。

図６は、本発明の実施の形態における属性証明書発行端末リスト６００に保持される公開鍵証明書４１０の構成例を示す図である。この公開鍵証明書４１０は、大きく分けて、署名前証明書４１１と、署名アルゴリズム４１８と、署名４１９とから構成される。署名前証明書４１１は、シリアル番号４１２と、発行端末識別子４１４と、有効期限４１５と、所有端末識別子４１６と、所有端末公開鍵４１７とを含む。

シリアル番号４１２は、公開鍵証明書のシリアル番号であり、公開鍵証明書の発行端末によって採番される。発行端末識別子４１４は、公開鍵証明書の発行端末の端末識別子である。この発行端末識別子４１４とシリアル番号４１２とにより公開鍵証明書は一意に識別される。有効期限４１５は、公開鍵証明書の有効期限である。所有端末識別子４１６は、公開鍵証明書の所有端末の端末識別子である。ここで、所有端末とは公開鍵証明書の発行を受けた無線端末であり、その所有端末の公開鍵が所有端末公開鍵４１７に保持されることになる。

署名４１９は公開鍵証明書の発行端末による署名であり、署名アルゴリズム４１８はこの署名４１９のために使用された署名アルゴリズムである。署名アルゴリズムは、メッセージダイジェストアルゴリズムと公開鍵暗号アルゴリズムの２つにより構成される。メッセージダイジェストアルゴリズムは、ハッシュ関数（要約関数）の一つであり、署名前証明書４１１のメッセージダイジェストを作成するためのアルゴリズムである。ここで、メッセージダイジェストとは、入力データ（署名前証明書４１１）を固定長のビット列に圧縮したものであり、拇印や指紋（フィンガープリント）等とも呼ばれる。メッセージダイジェストアルゴリズムとしては、ＳＨＡ−１（Secure Hash Algorithm 1）、ＭＤ２（Message Digest #2）、ＭＤ５（Message Digest #5）等が知られている。公開鍵暗号アルゴリズムは、メッセージダイジェストアルゴリズムにより得られたメッセージダイジェストを公開鍵証明書の発行端末の秘密鍵により暗号化するためのアルゴリズムである。この公開鍵暗号アルゴリズムとしては、素因数分解問題に基づくＲＳＡや離散対数問題に基づくＤＳＡ等が知られている。このように、署名前証明書４１１のメッセージダイジェストを公開鍵証明書の発行端末の秘密鍵により暗号化したものが署名４１９となる。

従って、この公開鍵証明書の署名４１９を公開鍵証明書の発行端末の公開鍵により復号することによってメッセージダイジェストが得られる。公開鍵証明書の利用者は、署名前証明書４１１のメッセージダイジェストを自身で作成し、それを公開鍵証明書の発行端末の公開鍵により復号されたメッセージダイジェストと比較することにより、署名前証明書４１１の内容が改ざんされていないことを検証できる。

図７は、本発明の実施の形態における属性証明書リスト７００の構成例を示す図である。この属性証明書リスト７００は、その無線端末１００に対して発行された属性証明書を各エントリに保持するものであり、インデックス７０１と、発行端末グループ識別子７０２と、属性証明書７０５とを保持する。

インデックス７０１は、エントリに付与される通し番号である。発行端末グループ識別子７０２は、属性証明書の発行端末のグループ識別子を示すものである。属性証明書７０５は、発行端末から無線端末１００に対して発行された属性証明書を保持するものである。この属性証明書リスト７００に含まれる属性証明書７０５が、無線端末１００自身のネットワークグループに対するアクセス権限を示すことになる。

本発明の実施の形態における無線通信システムにおいては、一つのネットワークグループ内に複数の属性証明書発行端末が存在することを許容するが、その場合でもネットワークグループに参加するためには何れか一つの属性証明書発行端末から属性証明書の発行を受ければ十分である。複数の異なるネットワークグループに参加し、それぞれのグループにおける属性証明書発行端末から属性証明書の発行を受けている場合には、属性証明書リスト７００に複数のエントリが存在することになる。

図８は、本発明の実施の形態における属性証明書リスト７００に保持される属性証明書４２０の構成例を示す図である。この属性証明書４２０は、大きく分けて、属性証明情報４２１と、署名アルゴリズム４２８と、署名４２９とから構成される。属性証明情報４２１は、発行端末識別子４２４と、所有端末識別子４２６と、プロファイル識別子４２３と、シリアル番号４２２と、有効期限４２５とを含む。

発行端末識別子４２４は、属性証明書の発行端末の端末識別子を示すものである。所有端末識別子４２６は、属性証明書の所有端末の端末識別子を示すものである。プロファイル識別子４２３は、属性証明書の発行端末のプロファイル識別子を示すものである。シリアル番号４２２は、属性証明書のシリアル番号であり、属性証明書の発行端末によって採番される。このシリアル番号４２２と発行端末識別子４２４とにより属性証明書は一意に識別される。また、有効期限４２５は、属性証明書の有効期限である。

署名４２９は属性証明書の発行端末による署名であり、署名アルゴリズム４２８はこの署名４２９のために使用された署名アルゴリズムである。署名アルゴリズムの内容については、前述の公開鍵証明書の署名アルゴリズム４１８と同様であり、属性証明情報４２１のメッセージダイジェストを属性証明書の発行端末の秘密鍵により暗号化したものが署名４２９となる。

従って、この属性証明書の署名４２９を属性証明書の発行端末の公開鍵により復号することによってメッセージダイジェストが得られる。属性証明書の利用者は、属性証明情報４２１のメッセージダイジェストを自身で作成し、それを属性証明書の発行端末の公開鍵により復号されたメッセージダイジェストと比較することにより、属性証明情報４２１の内容が改ざんされていないことを検証できる。

次に本発明の実施の形態における無線端末１００の動作について図面を参照して説明する。

図９は、本発明の実施の形態における無線端末１００の処理手順を示す流れ図である。まず、操作受付部１４０が失効動作状態に移行する旨の操作を失効ボタン等により受けると、動作状態保持部１５０に保持される動作状態が失効動作状態へ移行する（ステップＳ９１１）。この動作状態は、ビーコン生成部１６０によってビーコンに含めて生成され、通信部１７０によってビーコンとして他の無線端末に報知される（ステップＳ９１２）。

無線端末１００が失効動作状態に移行した際に、近隣端末の中で既に失効動作状態に移行している無線端末がない場合（ステップＳ９１３）、失効動作状態に移行してからタイムアウトするまでの所定期間内に近隣端末の中で失効動作状態に移行した無線端末が出現しなければ（ステップＳ９２１）、属性証明書を失効させるべき相手の無線端末が存在しないことになるため、失効動作状態を解除する（ステップＳ９２６）。

失効動作状態に移行してからタイムアウトするまでの所定期間内に近隣端末の中で失効動作状態に移行した無線端末が出現したときには（ステップＳ９２１）、その無線端末の位置が規定範囲内にあるか否かが失効処理部１１０によって判断される（ステップＳ９２２）。この判断に際して、対象となる無線端末との間で実際に通信することによって要する時間や電波強度等により距離を測定してその距離が規定範囲内にあるかを判断してもよく、また、赤外線等の指向性のある信号を利用して位置関係を特定してその位置が規定範囲内にあるかを判断してもよい。規定範囲内にない場合には、失効に失敗した旨の表示を表示部１８０に行う等のエラー処理を行った後に（ステップＳ９２５）、失効動作状態を解除する（ステップＳ９２６）。

ステップＳ９２２において規定範囲内にあると判断されると、失効処理部１１０はその無線端末に対して属性証明書を失効させる旨の失効要求を送信する（ステップＳ９２３）。その結果、失効動作状態に移行してからタイムアウトするまでの所定期間内に相手の無線端末から属性証明書を失効した旨の失効応答を受信すると（ステップＳ９２４）、失効処理が成功したことになるため、失効動作状態を解除する（ステップＳ９２６）。これに対して、タイムアウトするまでの所定期間内に失効応答を受信しなかったときには、上述のエラー処理を行った後に（ステップＳ９２５）、失効動作状態を解除する（ステップＳ９２６）。

一方、無線端末１００が失効動作状態に移行した際に、近隣端末の中で既に失効動作状態に移行している無線端末がある場合（ステップＳ９１３）、失効動作状態に移行してからタイムアウトするまでの所定期間内に失効要求を受信しなければ、属性証明書の失効を命ずる相手の無線端末が存在しないことになるため、上述のエラー処理を行った後に（ステップＳ９２５）、失効動作状態を解除する（ステップＳ９２６）。

失効動作状態に移行してからタイムアウトするまでの所定期間内に失効要求を受信したときには（ステップＳ９３１）、その失効要求を送信した無線端末の位置が規定範囲内にあるか否かが失効処理部１１０によって判断される（ステップＳ９３２）。この判断も上述の場合と同様であり、距離を測定して判断してもよく、また、指向性のある信号を利用して判断してもよい。規定範囲内にない場合には、上述のエラー処理を行った後に（ステップＳ９２５）、失効動作状態を解除する（ステップＳ９２６）。

ステップＳ９３２において規定範囲内にあると判断されると、失効処理部１１０は、属性証明書リスト７００および属性証明書発行端末リスト６００の該当するエントリを削除する（ステップＳ９３３）。そして、失効処理部１１０は、失効要求を送信した無線端末に対して失効応答を返信する（ステップＳ９３４）。その後、失効処理部１１０は、属性証明書リスト７００において残りのエントリの中から任意のエントリを選択して、そのエントリの発行端末グループ識別子７０２に記載されているグループ識別子を動作グループ識別子保持部１３０に保持する（ステップＳ９３５）。これにより、ビーコン生成部１６０は、新たなグループ識別子を含んだビーコンを生成するようになる。

これらの処理が完了すると、失効動作状態が解除される（ステップＳ９２６）。失効動作状態が解除された後のビーコンは、動作モード４３６の失効動作状態４３８が「失効動作状態に移行していない」状態となるため、動作グループ識別子４３３と一致するグループ識別子を動作グループ識別子保持部１３０に保持している他の無線端末がそのビーコンを受信すると、それを契機として相互認証を開始する。

図１０は、本発明の実施の形態におけるリスト消去処理の処理手順を示す流れ図である。図９のステップＳ９３２において失効要求を送信した無線端末の位置が規定範囲内にあると判断すると、失効処理部１１０は、属性証明書リスト７００の発行端末グループ識別子７０２の中で動作グループ識別子保持部１３０に保持されるグループ識別子と一致するエントリを検索して（ステップＳ９４１）、該当するエントリがあればそのエントリを削除する（ステップＳ９４２）。これにより、該当する属性証明書が削除される。

また、失効処理部１１０は、属性証明書発行端末リスト６００の認証時グループ識別子６０６の中で動作グループ識別子保持部１３０に保持されるグループ識別子と一致するエントリを検索して（ステップＳ９４３）、該当するエントリがあればそのエントリを削除する（ステップＳ９４４）。これにより、削除された属性証明書の検証に用いられていた公開鍵証明書も削除される。

次に本発明の実施の形態における無線通信システムの動作例について図面を参照して説明する。

図１１は、本発明の実施の形態における無線通信システムの無線端末Ａ（１１）およびＢ（１２）の接続状態例を示す図である。この接続状態では、無線端末Ａ（１１）およびＢ（１２）は、無線端末Ａ（１１）によって発行された属性証明書の権限に基づいてネットワークグループを形成している。

ここで、属性証明書発行端末リスト６１０および６２０は、それぞれ無線端末Ａ（１１）およびＢ（１２）の属性証明書発行端末リスト６００を意味する。属性証明書リスト７１０および７２０は、それぞれ無線端末Ａ（１１）およびＢ（１２）の属性証明書リスト７００を意味する。また、近隣端末リスト５１０および５２０は、それぞれ無線端末Ａ（１１）およびＢ（１２）の近隣端末リスト５００を意味する。

以降の例では、例えば無線端末Ａ（１１）の属性証明書発行端末リスト６１０において、左欄は属性証明書発行端末リスト６００の発行端末グループ識別子６０２を表し、中欄は属性証明書発行端末リスト６００の発行端末公開鍵証明書６０５の所有端末識別子４１６を表し、右欄は属性証明書発行端末リスト６００の認証時グループ識別子６０６を表すものとする。また、例えば無線端末Ａ（１１）の属性証明書リスト７１０において、左欄は属性証明書リスト７００の発行端末グループ識別子７０２を表し、右欄は属性証明書リスト７００の属性証明書７０５を表すものとする。また、例えば無線端末Ａ（１１）の近隣端末リスト５１０において、左欄は近隣端末リスト５００の端末識別子５０２を表し、中欄は近隣端末リスト５００の動作グループ識別子５０３を表し、右欄は近隣端末リスト５００の失効動作状態５０７を表すものとする。

無線端末Ａ（１１）は、無線端末Ａ（１１）自身が発行した属性証明書を有しており、その検証に必要な無線端末Ａ（１１）自身の公開鍵証明書を有している。また、（図示しない）無線端末Ｃとの間で過去に交換した無線端末Ｃの公開鍵証明書を有している。無線端末Ａ（１１）は、動作グループ識別子保持部１３０に無線端末Ａ（１１）の端末識別子およびプロファイル識別子「１」を保持しており、動作状態保持部１５０に失効動作状態に移行していない旨（ＯＦＦ）を保持している。これらの情報はビーコンによって近隣端末に報知される。無線端末Ａ（１１）の近隣端末としては無線端末Ｂ（１２）のみが登録されている。

無線端末Ｂ（１２）は、無線端末Ａ（１１）および（図示しない）無線端末Ｘが発行した属性証明書を有しており、その検証に必要な無線端末Ａ（１１）および無線端末Ｘの公開鍵証明書を有している。また、無線端末Ａ（１１）との間で交換した無線端末Ｃの公開鍵証明書を有している。無線端末Ｂ（１２）は、無線端末Ａ（１１）と同様に、動作グループ識別子保持部１３０に無線端末Ａ（１１）の端末識別子およびプロファイル識別子「１」を保持しており、動作状態保持部１５０に失効動作状態に移行していない旨（ＯＦＦ）を保持している。これらの情報はビーコンによって近隣端末に報知される。無線端末Ｂ（１２）の近隣端末としては無線端末Ａ（１１）のみが登録されている。

図１２は、本発明の実施の形態における無線通信システムの無線端末Ａ（１１）およびＢ（１２）の失効処理の流れを示すシーケンスフロー図である。無線端末Ａ（１１）の失効ボタン等が押下されることにより、無線端末Ａ（１１）は失効動作状態に移行（８１１）する。この動作状態の移行はビーコンに反映されて報知（８１２）される。無線端末Ｂ（１２）は、ビーコンを受信（８２１）することにより無線端末Ａ（１１）が失効動作状態に移行した旨を知る。

その後、無線端末Ｂ（１２）の失効ボタン等が押下されることにより、無線端末Ｂ（１２）も失効動作状態に移行（８２２）する。この動作状態の移行はビーコンに反映されて報知（８２３）される。無線端末Ａ（１１）は、ビーコンを受信（８１３）することにより無線端末Ｂ（１２）が失効動作状態に移行した旨を知る。

無線端末Ａ（１１）は、無線端末Ｂ（１２）が後から失効動作状態に移行した旨を知ると、無線端末Ｂ（１２）の位置が規定範囲内にあるかをチェック（８１４）する。その結果、規定範囲内にあることを確認すると、属性証明書の失効要求を無線端末Ｂ（１２）に対して送信（８１５）する。

無線端末Ｂ（１２）は、無線端末Ａ（１１）から失効要求を受信（８２４）すると、無線端末Ａ（１１）の位置が規定範囲内にあるかをチェック（８２５）する。その結果、規定範囲内にあることを確認すると、属性証明書リスト７００および属性証明書発行端末リスト６００の該当するエントリを削除（８２６）する。具体的には、属性証明書リスト７００において無線端末Ａ（１１）から発行された属性証明書を含むエントリが削除され、属性証明書発行端末リスト６００において無線端末Ａ（１１）および無線端末Ｃの公開鍵証明書を含むエントリが削除される。

そして、無線端末Ｂ（１２）は、無線端末Ａ（１１）に対して失効応答を返信（８２７）する。その後、無線端末Ｂ（１２）は、属性証明書リスト７２０の中で残っている無線端末Ｘのエントリを選択して、そのグループ識別子を動作グループ識別子保持部１３０に設定変更（８２８）する。

グループ識別子の設定変更を行った無線端末Ｂ（１２）は失効動作状態を解除（８２９）する。また、無線端末Ｂ（１２）から失効応答を受信（８１６）した無線端末Ａ（１１）も失効動作状態を解除（８１７）する。これにより、その後の無線端末Ａ（１１）およびＢ（１２）のビーコンでは失効動作状態に移行していない旨を示すようになる（８１８、８３１、８３２、８１９）。さらに、無線端末Ｂ（１２）のビーコンの動作グループ識別子は無線端末Ｘの端末識別子を含むものに変更される。

図１３は、本発明の実施の形態における無線通信システムの無線端末Ａ（１１）およびＢ（１２）の失効処理後の状態例を示す図である。図１１の状態と比較して、属性証明書リスト７００において無線端末Ａ（１１）から発行された属性証明書を含むエントリが削除され、属性証明書発行端末リスト６００において無線端末Ａ（１１）および無線端末Ｃの公開鍵証明書を含むエントリが削除されていることがわかる。

このように、本発明の実施の形態によれば、２つの無線端末における操作受付部１４０によって属性証明書の失効操作を受けることにより、一方の無線端末における失効処理部１１０から失効要求を行い、これを受けた他方の失効処理部１１０において属性証明書を失効させることができる。ユーザからの操作指示は失効ボタンのようなものでよく、簡易なユーザインターフェースしか有していない携帯機器においても本発明を適用することができる。

なお、本発明の実施の形態では、２つの無線端末のうち先に失効動作状態に移行した無線端末から失効要求を送信して、その失効要求を受けた他方の無線端末が属性証明書を失効させていたが、これに限られるものではない。これとは逆に、後から失効動作状態に移行した無線端末から失効要求を送信して、その失効要求を受けた他方の無線端末が属性証明書を失効させるようにしても構わない。さらに、ある無線端末の失効ボタンを押下することにより、その無線端末自身の属性証明書を消去するようにしてもよい。

また、本発明の実施の形態は本発明を具現化するための一例を示したものであり、以下に示すように特許請求の範囲における発明特定事項とそれぞれ対応関係を有するが、これに限定されるものではなく本発明の要旨を逸脱しない範囲において種々の変形を施すことができる。

なお、上記実施例においてはセキュリティ設定情報として属性証明書を取り扱った場合を例として説明を行った。しかし、セキュリティ設定情報はこれに限定されず、例えば、ＩＥＥＥ８０２．１１無線ＬＡＮなどの無線システムにおいて用いられているその他のセキュリティ設定情報（例えば事前共有鍵（Pre-Shared Key）や公開鍵証明書（Public Key Certificate）、パスワードやＰＩＮコード（Personal Identification Number）、さらにはＳＳＩＤ（Service Set ID）などのネットワーク識別子のような情報であっても良い。失効手順も同様で、自身もしくは第二の端末が使用中のセキュリティ設定情報をリストから削除または無効にする。

なお、本発明の実施の形態において説明した処理手順は、これら一連の手順を有する方法として捉えてもよく、また、これら一連の手順をコンピュータに実行させるためのプログラム乃至そのプログラムを記憶する記録媒体として捉えてもよい。

本発明の実施の形態における無線通信システムの各無線端末の接続関係の一例を示す図である。 本発明の実施の形態における無線端末１００の機能構成の一例を示す図である。 本発明の実施の形態におけるビーコン４３０のフレーム構成例を示す図である。 本発明の実施の形態における近隣端末リスト５００の構成例を示す図である。 本発明の実施の形態における属性証明書発行端末リスト６００の構成例を示す図である。 本発明の実施の形態における属性証明書発行端末リスト６００に保持される公開鍵証明書４１０の構成例を示す図である。 本発明の実施の形態における属性証明書リスト７００の構成例を示す図である。 本発明の実施の形態における属性証明書リスト７００に保持される属性証明書４２０の構成例を示す図である。 本発明の実施の形態における無線端末１００の処理手順を示す流れ図である。 本発明の実施の形態におけるリスト消去処理の処理手順を示す流れ図である。 本発明の実施の形態における無線通信システムの無線端末Ａ（１１）およびＢ（１２）の接続状態例を示す図である。 本発明の実施の形態における無線通信システムの無線端末Ａ（１１）およびＢ（１２）の失効処理の流れを示すシーケンスフロー図である。 本発明の実施の形態における無線通信システムの無線端末Ａ（１１）およびＢ（１２）の失効処理後の状態例を示す図である。

符号の説明

１１、１２ 無線端末
２１、２２ 属性証明書
３１、３２ 公開鍵証明書
４１、４２ 失効ボタン
１００ 無線端末
１１０ 失効処理部
１３０ 動作グループ識別子保持部
１４０ 操作受付部
１５０ 動作状態保持部
１６０ ビーコン生成部
１７０ 通信部
１８０ 表示部
４１０ 公開鍵証明書
４２０ 属性証明書
４３０ ビーコン
５００、５１０、５２０ 近隣端末リスト
６００、６１０、６２０ 属性証明書発行端末リスト
７００、７１０、７２０ 属性証明書リスト

Claims (12)

1. 第１および第２の端末を含む複数の端末がそれぞれに共有しているセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムであって、
   前記第１および第２端末の各々は、自身の端末の動作状態として失効動作状態に移行しているか否かを保持する動作状態保持手段と、前記自身の端末を失効動作状態に移行させる指示の操作を受けると動作状態保持手段が失効動作状態を示すように移行させる操作受付手段とを備え、
   前記第１の端末は、第２の端末が失効動作状態に移行しているか否かを示す報知信号を受信する報知信号受信手段と、前記第１の端末の動作状態が失効動作状態に移行してから所定期間内に前記第２の端末が失効動作状態に移行している旨を示す前記報知信号が前記報知信号受信手段によって受信されると前記第２の端末に対して前記第２の端末のセキュリティ設定情報を失効させる旨の失効要求を送信する失効要求手段とを備え、
   前記第２の端末は、前記第１の端末から前記第２の端末のセキュリティ設定情報を失効させる旨の前記失効要求を受信する失効要求受信手段と、前記第２の端末が失効動作状態に移行している場合において前記失効要求受信手段が前記失効要求を受けると前記第２の端末のセキュリティ設定情報を失効させる失効実行手段とを備えることを特徴とする無線通信システム。
2. 複数の端末がそれぞれに共有しているセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムにおいて、
   自身の端末の動作状態として失効動作状態に移行しているか否かを保持する動作状態保持手段と、
   前記自身の端末を失効動作状態に移行させる指示の操作を受けると動作状態保持手段が失効動作状態を示すように移行させる操作受付手段と、
   他の端末が失効動作状態に移行しているか否かを示す報知信号を受信する報知信号受信手段と、
   前記動作状態保持手段に保持される前記自身の端末の動作状態が失効動作状態に移行してから所定期間内に前記他の端末が失効動作状態に移行している旨を示す前記報知信号が前記報知信号受信手段によって受信されると前記他の端末に対して前記他の端末のセキュリティ設定情報を失効させる旨の失効要求を送信する失効要求手段と、
   前記他の端末から前記自身の端末のセキュリティ設定情報を失効させる旨の失効要求を受信する失効要求受信手段と、
   前記自身の端末が失効動作状態に移行している場合において前記他の端末から前記自身の端末のセキュリティ設定情報を失効させる旨の失効要求が前記失効要求受信手段によって受信されると前記自身の端末のセキュリティ設定情報を失効させる失効処理手段と
   を具備することを特徴とする端末。
3. 複数の端末がそれぞれに共有しているセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムにおいて、
   自身の端末の動作状態として失効動作状態に移行しているか否かを保持する動作状態保持手段と、
   前記自身の端末を失効動作状態に移行させる指示の操作を受けると動作状態保持手段が失効動作状態を示すように移行させる操作受付手段と、
   他の端末が失効動作状態に移行しているか否かを示す報知信号を受信する報知信号受信手段と、
   前記動作状態保持手段に保持される前記自身の端末の動作状態が失効動作状態に移行してから所定期間内に前記他の端末が失効動作状態に移行している旨を示す前記報知信号が前記報知信号受信手段によって受信されると前記他の端末に対して前記他の端末のセキュリティ設定情報を失効させる旨の失効要求を送信する失効処理手段と
   を具備することを特徴とする端末。
4. 前記失効処理手段は、前記失効要求を送信する前に前記他の端末の位置を確認して所定範囲内にある場合に限り前記失効要求を送信することを特徴とする請求項３記載の端末。
5. 前記失効処理手段は、前記自身の端末が失効動作状態に移行してから所定期間内に前記失効要求に対する応答を前記他の端末から受信しない場合には前記他の端末における失効が失敗した旨を表示させることを特徴とする請求項３記載の端末。
6. 前記操作受付手段は押しボタンにより構成されることを特徴とする請求項３記載の端末。
7. 複数の端末がそれぞれに共有しているセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムにおいて、
   自身の端末の動作状態として失効動作状態に移行しているか否かを保持する動作状態保持手段と、
   前記自身の端末を失効動作状態に移行させる指示の操作を受けると動作状態保持手段が失効動作状態を示すように移行させる操作受付手段と、
   前記他の端末から前記自身の端末のセキュリティ設定情報を失効させる旨の失効要求を受信する失効要求受信手段と、
   前記自身の端末が失効動作状態に移行している場合において前記他の端末から前記自身の端末のセキュリティ設定情報を失効させる旨の失効要求が前記失効要求受信手段によって受信されると前記自身の端末のセキュリティ設定情報を失効させる失効処理手段と
   を具備することを特徴とする端末。
8. 前記失効処理手段は、前記自身の端末のセキュリティ設定情報を失効させる前に前記他の端末の位置を確認して所定範囲内にある場合に限り前記自身の端末のセキュリティ設定情報を失効させることを特徴とする請求項７記載の端末。
9. 前記失効処理手段は、前記失効要求に従って前記自身の端末のセキュリティ設定情報を失効させるとその旨を示す失効応答を前記他の端末に送信することを特徴とする請求項７記載の端末。
10. 前記操作受付手段は押しボタンにより構成されることを特徴とする請求項７記載の端末。
11. 複数の端末がそれぞれに共有しているセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムにおいて、
    自身の端末を失効動作状態へ移行させる手順と、
    他の端末が失効動作状態に移行しているか否かを示す報知信号を受信する手順と、
    前記動作状態保持手段に保持される前記自身の端末の動作状態が失効動作状態に移行してから所定期間内に前記他の端末が失効動作状態に移行している旨を示す前記報知信号が前記報知信号受信手段によって受信されると前記他の端末に対して前記他の端末のセキュリティ設定情報を失効させる旨の失効要求を送信する手順と
    を具備することを特徴とする端末制御方法。
12. 複数の端末がそれぞれに共有しているセキュリティ設定情報の権限に基づいて少なくとも１つの無線ネットワークに接続されて構成される無線通信システムにおいて、
    自身の端末を失効動作状態へ移行させる手順と、
    他の端末が失効動作状態に移行しているか否かを示す報知信号を受信する手順と、
    前記動作状態保持手段に保持される前記自身の端末の動作状態が失効動作状態に移行してから所定期間内に前記他の端末が失効動作状態に移行している旨を示す前記報知信号が前記報知信号受信手段によって受信されると前記他の端末に対して前記他の端末のセキュリティ設定情報を失効させる旨の失効要求を送信する手順と
    を前記自身の端末におけるコンピュータに実行させることを特徴とするプログラム。

Images