DE602005000704T2

DE602005000704T2 - System zur Verarbeitung von kryptographischen Schlüsseln für einen drahtlosen Access point

Info

Publication number: DE602005000704T2
Application number: DE200560000704
Authority: DE
Inventors: Yoshiteru Nagoya-shi Tamura
Original assignee: Buffalo Inc
Current assignee: Buffalo Inc
Priority date: 2004-04-21
Filing date: 2005-03-21
Publication date: 2008-01-24
Anticipated expiration: 2025-03-22
Also published as: HK1077142A1; DE602005000704D1; ATE357100T1; EP1605638B1; CN100366015C; KR20060047267A; TWI268687B; TW200620941A; JP2005311653A; KR100701495B1; US20050238172A1; EP1605638A3; CN1691625A; EP1605638A2; JP4606055B2

Description

TECHNISCHER BEREICH, ZU DEM DIE ERFINDUNG GEHÖRT
Die vorliegende Erfindung betrifft ein System zur Verarbeitung von kryptographischen Schlüsseln, einen Access-Point und ein Verfahren zur Verarbeitung von kryptographischen Schlüsseln.
BESCHREIBUNG DES STANDES DER TECHNIK VERWANDTER STAND DER TECHNIK
Zur Errichtung eines Kommunikationsnetzes mit einem Access-Point, der eine Relaisstelle für ein drahtloses LAN ist, ist ein hoher Sicherheitsgrad des Netzes notwendig, der ein betrügerisches Eindringen in das Netz und das Durchsickern von Kommunikationsdaten zu einer dritten Partei und so weiter verhindert. Daher wurden bisher verschiedene Sicherheitstechniken für ein drahtloses LAN offenbart.
Zum Beispiel wird eine Technik vorgeschlagen, die MAC-(Media Access Control) Adressen verwendet, die inhärente Identifikationsnummern sind, die im Voraus drahtlosen LAN-Schnittstellenvorrichtungen (zum Beispiel drahtlosen LAN-Adaptern) zugeordnet werden, die an Terminals montiert sind. Diese Technik registriert die MAC-Adressen an einem Access-Point, lässt den Access-Point die MAC-Adressen bei Zugriffen von den Terminals auf Berechtigung prüfen, und weist eine Anfrage von einem Terminal zurück, die den Access-Point auffordert, das Terminal an das Netz anzuschließen, wenn die Terminaladresse eine andere MAC-Adresse als die registrierten MAC-Adressen ist (siehe Patentschrift 1). Eine andere Technik wird vorgeschlagen, die einen WEP-(Wired Equivalent Privacy) Schlüssel bei den Terminals und dem Access-Point als gemeinsamen kryptographischen Schlüssel einstellt. Diese Technik verschlüsselt den Inhalt von Daten, die zwischen den Terminals und dem Access-Point ausgetauscht werden, unter Verwendung des WEP-Schlüssels, was die Analyse von Dateninhalten schwierig macht, so dass die Dateninhalte nicht verstanden werden können, selbst wenn die Daten durchsickern (siehe Patentschrift 2).
Die Antragstellerin hat bereits eine Patentanmeldung bezüglich der Erfindung gemacht, um eine Registrierung einer MAC-Adresse durchzuführen und einen kryptographischen Schlüssel, der durch den WEP-Schlüssel repräsentiert wird, sicher ohne Schwierigkeiten einzustellen ( JPA Nr. 408011/2003 ). Gemäß der Anmeldung verzichtet die Erfindung auf mühsame Eingabeoperationen beim Registrieren der MAC-Adressen bei einem Access-Point und Einstellen von kryptographischen Schlüssen bei Terminals. Dadurch kann ein Benutzer eine notwendige Sicherheitseinstellung leicht ausführen, während ein Durchsickern von Daten, die den kryptographischen Schlüssel angeben, verhindert wird, selbst wenn ein neues Terminal, das das drahtlose LAN verwendet, dem Netz hinzugefügt wird.

[Patentschrift 1] JPA Nr. 320373/2001
[Patentschrift 2] JPA Nr. 345819/2001

Die Erfindung, die in der Anmeldung beschrieben ist, lässt jedoch folgende technische Probleme bestehen. Das heißt, wenn ein neues Terminal zu dem Netz hinzugefügt wird, werden das kryptographische System und der kryptographische Schlüssel eingestellt, die auf der Basis einer spezifizierten Sicherheitspolitik in dem Netz verwendet werden, und das eingestellte kryptographische System und der eingestellte kryptographische Schlüssel werden beibehalten, bis ein anderes Terminal dem Netz bei der nächsten Gelegenheit hinzugefügt wird. Und wenn die Terminals, die an dem Netz teilnehmen, weniger werden, werden die Einstellungen des kryptographischen Systems und des kryptographischen Schlüssels beibehalten. Sobald sich ein Terminal von dem Netz zurückzieht, bleibt folglich das Problem bestehen, dass die Sicherheitsumgebung nicht unbe dingt zwischen den LAN-Vorrichtungen, die an dem Netz teilnehmen, optimiert werden kann.
US 5341427 offenbart eine Vorrichtung zur sicheren Kommunikation, enthaltend eine Steuerung zum automatischen Wählen einer von mehreren Datenverschlüsselungsvorrichtungen, die einen von mehreren Verschlüsselungsalgorithmen verwenden, die für sendende und empfangende Terminals gleich sind. Ein Sender zum Senden verschlüsselter Daten und ein Empfänger zum Empfangen verschlüsselter Daten sind an die Mehrzahl von Verschlüsselungsvorrichtungen gekoppelt. Die Steuerung bestimmt automatisch, welche der Verschlüsselungsvorrichtungen für eine bestimmte sichere Kommunikation zu verwenden ist. Das Verfahren zur Errichtung einer sicheren Kommunikationsverbindung enthält die Schritte zum Austauschen einer ersten Nachricht zum Bestimmen eines gemeinsamen Schlüsselerzeugungs- und Verschlüsselungsverfahrens und zum Vergleichen einer weiteren gemeinsamen Nachricht zur Validierung der Kommunikationsterminalsicherheit. Zusätzlich werden die Schritte zum Übermitteln einer weiteren Nachricht zur Bereitstellung von Daten zur Bildung von Verkehrsschlüsseln, um Schlüsselgeneratoren zu initialisieren, Austauschen einer zusätzlichen Nachricht zum Synchronisieren und Verifizieren einer Synchronisation einer sicheren Kommunikation zwischen sicheren Kommunikationsterminals, und Einleiten sicherer Kommunikationen verwendet.
Offenbarung der Erfindung
Die vorliegende Erfindung wurde angesichts des obengenannten Problems gemacht, und stellt ein System zur Verarbeitung von kryptographischen Schlüsseln, einen Access-Point und ein Verfahren zur Verarbeitung von kryptographischen Schlüsseln bereit, die sich flexibel an Änderungen der Vorrichtungen anpassen, die das drahtlose LAN bilden, und optimale Sicherheitsumgebungen für die drahtlosen LAN-Vorrichtungen in dem Augenblick der Änderungen einstellen.
Zur Lösung der obengenannten Aufgabe wird gemäß einem ersten Aspekt der Erfindung ein System zur Verarbeitung von kryptographischen Schlüsseln bereitgestellt, das zum Verarbeiten eines kryptographischen Systems und eines kryptographischen Schlüssels imstande ist, das/der zum Verschlüsseln drahtloser Kommunikationsdaten vor der Kommunikation verwendet wird, die drahtlos zwischen einem drahtlosen LAN-Access-Point und einem Terminal mit einer drahtlosen LAN-Schnittstellenvorrichtung ausgetauscht werden, wobei:
das Terminal umfasst:
ein Übertragungsmittel für ein kryptographisches System an der Seite des Terminals, das dazu ausgebildet ist, zu dem Access-Point drahtlos kryptographische Systeme zu übertragen, an die sich das Terminal selbst anpassen kann, und
ein Wählmittel für ein kryptographisches System an der Seite des Terminals, das dazu ausgebildet ist, ein kryptographisches Systems zu erfassen, das von dem Access-Point angenommen wird, und das erfasste kryptographische System zu wählen, dadurch gekennzeichnet, dass
der Access-Point umfasst:
ein Detektionsmittel für ein angeschlossenes Terminal, das dazu ausgebildet ist, Terminals zu spezifizieren, die an einem drahtlosen LAN teilnehmen, und zu erfassen, ob es Unterschiede in den Terminals gibt, die an diesem teilnehmen, und
ein Wählmittel für ein kryptographisches System an der Seite des Access-Points, das dazu ausgebildet ist, wenn das Detektionsmittel für ein angeschlossenes Terminal erfasst, dass es Unterschiede in den Terminals gibt, die an dem drahtlosen LAN teilnehmen, ein spezifiziertes kryptographisches System entsprechend einem vorbestimmten Kriterium aus den kryptographischen Systemen zu wählen, an die sich der Access-Point selbst anpassen kann und an das sich die Terminals, die an dem drahtlosen LAN teilnehmen, allgemein selbst anpassen können.
In dem ersten Aspekt der Erfindung, die wie zuvor konstruiert ist, stellt das System zur Verarbeitung von kryptographischen Schlüsseln das kryptographische System und den kryptographischen Schlüssel, das/der zur Verschlüsselung verwendet wird, vor der Kommunikation drahtloser Kommunikationsdaten, die drahtlos zwischen dem drahtlosen Access-Point und dem Terminal ausgetauscht werden, bei der drahtlosen LAN-Schnittstellenvorrichtung ein.
Hier überträgt das Terminal die kryptographischen Systeme, an die sich das Terminal selbst anpassen kann, durch das Übertragungsmittel für das kryptographische System drahtlos zu dem Access-Point. Der Access-Point, der die kryptographischen Systeme erkennt, an die sich die Terminals selbst anpassen können, spezifiziert die Terminals, die an dem drahtlosen LAN teilnehmen, und erfasst, ob es Änderungen in den teilnehmenden Terminals gibt, indem das Detektionsmittel für das angeschlossene Terminal verwendet wird. Und wenn erfasst wird, dass es Änderungen in den Terminals gegeben hat, die an dem drahtlosen LAN teilnehmen, ist das Wählmittel für ein kryptographisches System an der Seite des Access-Points dazu ausgebildet, ein bestimmtes kryptographisches System nach einem vorbestimmten Kriterium aus den kryptographischen Systemen zu wählen, an die sich der Access-Point selbst anpassen kann und an die sich die Terminals, die an dem drahtlosen LAN teilnehmen, selbst anpassen können.
Andererseits erfasst das Terminal ein kryptographisches System, das von dem Access-Point angenommen wurde, und wählt das erfasste kryptographische System, indem das Wählmittel für ein kryptographisches System an der Seite des Terminals verwendet wird. Danach führen die Terminals, die an dem drahtlosen LAN teilnehmen, und der Access-Point drahtlose Kommunikationen unter Verwendung des kryptographischen Schlüssels aus, der in dem angenommenen kryptographischen System verwendet wird.
Somit wird gemäß der Erfindung die Einstellung des anzunehmenden kryptographischen Systems jedes Mal überprüft, wenn das angeschlossene Terminal Änderungen in der Konstruktion der Vorrichtungen entdeckt, die das drahtlose LAN bilden. Wenn daher Änderungen in den Vorrichtungen eintreten, die an dem drahtlosen LAN teilnehmen, kann das System gemäß der Erfindung automatisch ein optimales kryptographisches System aus den kryptographischen Systemen wählen, die von den Vorrichtungen angenommen werden können, die an dem drahtlosen LAN teilnehmen, wodurch konstant die Sicherheitsumgebungen optimiert werden.
Wenn gemäß einem zweiten Aspekt der Erfindung das Detektionsmittel für ein angeschlossenes Terminal erfasst, dass es Unterschiede in den Terminals gibt, die an dem drahtlosen LAN teilnehmen, und wenn die Terminals, die an dem drahtlosen LAN teilnehmen, sich allgemein selbst an ein kryptographisches System mit höherer Sicherheitsstufe im Vergleich zu dem bisher angenommenen kryptographischen System anpassen können, wählt das Wählmittel für ein kryptographisches System an der Seite des Access-Points das kryptographische System mit höherer Sicherheitsstufe.
Wenn in dem zweiten Aspekt der Erfindung, die wie oben konstruiert ist, das Detektionsmittel für ein angeschlossenes Terminal erfasst, dass es Unterschiede in den Terminals gibt, die an dem drahtlosen LAN teilnehmen, wählt das Wählmittel für ein kryptographisches System an der Seite des Access-Points, wenn die Terminals, die an dem drahtlosen LAN teilnehmen, sich allgemein selbst an ein kryptographisches System mit höherer Sicherheitsstufe im Vergleich zu dem bisher angenommenen kryptographischen System anpassen können, das kryptographische System mit höherer Sicherheitsstufe. Mit anderen Worten, jedes Mal, wenn der Access-Point erfasst, dass Unterschiede in den Konstruktionen der Vorrichtungen eingetreten sind, die die Kommunikationen über das drahtlose LAN fortsetzen sollen, überprüft der Access-Point, ob die Vorrichtungen, die die Kommunikationen fortsetzen sollen, ein kryptographisches einer höheren Sicherheitsstufe im Vergleich zu dem bisher angenommenen kryptographischen System annehmen können. Die Durchführung einer solchen Überprüfung ermöglicht, konstant das kryptographische Systeme der höchsten Sicherheitsstufe aus den kryptographischen Systemen zu wählen, an die sich der Access-Point selbst anpassen kann und an die sich die Terminals, die an dem drahtlosen LAN teilnehmen, gemeinsam selbst anpassen können.
Gemäß einem dritten Aspekt der Erfindung spezifiziert das Detektionsmittel für ein angeschlossenes Terminal die Terminals, die an dem drahtlosen LAN teilnehmen, wiederholt zu jedem vorbestimmten Zeitpunkt auf der Basis von Identifikationsinformationen, die den Terminals eigen sind, vergleicht die spezifizierten Identifikationsinformationen, die den Terminals eigen sind, jeweils mit den Identifikationsinformationen, die den Terminals eigen sind, die durch einen vorangehenden Spezifizierungsvorgang der Terminals erfasst wurden, und erfasst dadurch, dass die Anzahl der Terminals, die an dem drahtlosen LAN teilnehmen, abnimmt.
Das heißt, als konkrete Konstruktion, die die Änderungen in den Terminals erfasst, die an dem drahtlosen LAN teilnehmen, wird wiederholt zu jedem vorbestimmten Zeitpunkt erfasst, ob die Anzahl der Terminals, die an dem drahtlosen LAN teilnehmen, abnimmt oder nicht, wiederholt zu jedem vorbestimmten Zeitpunkt. Das Detektionsmittel für ein angeschlossenes Terminal spezifiziert die Terminals, die an dem drahtlosen LAN teilnehmen, periodisch auf der Basis der Identifikationsinformationen, die den Terminals eigen sind, und vergleicht die spezifizierten Identifikationsinformationen, die den Terminals eigen sind, jeweils mit den Identifikationsinformationen, die den Terminals eigen sind, die durch einen vorangehenden Spezifizierungsvorgang der Terminals erfasst wurden, wodurch eine Abnahme in der Anzahl der Terminals erfasst wird. Daher muss der Access-Point, jedes Mal, wenn die Terminals, die an dem drahtlosen LAN teilnehmen, spezifiziert werden, Listendaten speichern, die sich auf die spezifizierten Terminals beziehen, zumindest bis der Access-Point die Terminals spezifiziert, die an dem drahtlosen LAN teilnehmen.
Somit ermöglicht die Überwachung der Unterschiede in der Anzahl der Terminals, die an dem drahtlosen LAN teilnehmen, wiederholt zu jedem vorbestimmten Zeitpunkt, die Einstellung der kryptographischen Systeme zuverlässig immer dann zu überprüfen, wenn die Anzahl der Vorrichtungen, die an dem drahtlosen LAN teilnehmen, abnimmt.
Gemäß einem vierten Aspekt der Erfindung kann die Konstruktion derart sein, dass das Detektionsmittel für ein angeschlossenes Terminal die Terminals, die an dem drahtlosen LAN teilnehmen, wiederholt zu jedem vorbestimmten Zeitpunkt auf der Basis von Identifikationsinformationen, die den Terminals eigen sind, spezifiziert, die spezifizierten Identifikationsinformationen, die den Terminals eigen sind, jeweils mit den Identifikationsinformationen, die den Terminals eigen sind, die durch einen vorangehenden Spezifizierungsvorgang der Terminals erfasst wurden, vergleicht und dadurch erfasst, dass Terminals, die an dem drahtlosen LAN teilnehmen, ersetzt wurden.
Es gibt einen Spielraum zur Überprüfung der kryptographischen Systeme, die die Vorrichtungen, die an dem drahtlosen LAN teilnehmen, annehmen können, selbst wenn einige der Terminals, die an dem drahtlosen LAN teilnehmen, ersetzt wurden. Daher bietet die Durchführung einer solchen Überprüfung eine Möglichkeit, das kryptographische System mit höherer Sicherheitsstufe im Vergleich zu dem kryptographischen System anzunehmen, das angenommen wurde, bevor die Terminals ersetzt wurden.
Gemäß einer fünften Ausführungsform der Erfindung enthält der Access-Point ein Übertragungsmittel für einen kryptographischen Schlüssel an der Seite des Access-Points, das zu einem Terminal drahtlos kryptographische Systeme überträgt, die durch die kryptographischen Systeme eingeengt sind, die von dem Übertragungsmittel für ein kryptographisches System an der Seite des Terminals übertragen werden, sowie kryptographische Schlüssel, die in jedem der eingeengten kryptographischen Systeme verwendet werden, von den kryptographischen Systemen, an die sich der Access-Point selbst anpassen kann. Das Terminal besteht aus einem Speichermittel für einen kryptographischen Schlüssel an der Seite des Terminals, das jeden der kryptographischen Schlüssel entsprechend jedem der kryptographischen Systeme, die vom Access-Point übertragen werden, in einem vorbestimmten Speicherbereich speichert.
In dem fünften Aspekt der Erfindung, die wie oben konstruiert ist, überträgt das Übertragungsmittel für einen kryptographischen Schlüssel an der Seite des Access-Points drahtlos die kryptographischen Systeme zu einem Terminal, die durch die kryptographischen Systeme eingeengt sind, die von dem Übertragungsmittel für ein kryptographisches System an der Seite des Terminals übertragen werden, sowie die kryptographischen Schlüssel, die in jedem der eingeengten kryptographischen Systeme verwendet werden, von den kryptographischen Systemen, an die sich der Access-Point selbst anpassen kann. Und das Speichermittel für einen kryptographischen Schlüssel an der Seite des Terminals speichert jeden der kryptographischen Schlüssel entsprechend jedem der kryptographischen Systeme, die vom Access-Point übertragen werden, in einem vorbestimmten Speicherbereich. Folglich können die Terminals die kryptographischen Systeme ermitteln, an die sich die Terminals und der Access-Point gemeinsam anpassen können, sowie die kryptographischen Schlüssel, die in den kryptographischen Systemen verwendet werden. Und die kryptographischen Systeme, die durch die kryptographischen Systeme eingeengt sind, und die kryptographischen Schlüssel, die in jedem der eingeengten kryptographischen Systeme verwendet werden, werden von dem Access-Point zu der Seite des Terminals übertragen. Dadurch ist es unnötig, die kryptographischen Schlüssel erneut zu melden, selbst wenn der Access-Point das kryptographische System danach umschaltet. Dies erleichtert die mühsame Arbeit, Meldung zu erstatten, und verhindert gleichzeitig eine Abnahme in der Sicherheit, die mit der Meldung der kryptographischen Schlüssel verbunden ist.
Gemäß einem sechsten Aspekt kann die Konstruktion derart sein, dass das Übertragungsmittel für einen kryptographischen Schlüssel an der Seite des Access-Points die eingeengten kryptographischen Systeme und die kryptographischen Schlüssel, die in jedem der eingeengten kryptographischen Systeme verwendet werden, zu dem Terminal nur einmal überträgt, wenn die kryptographischen Systeme von dem betroffenen Übertragungsmittel für ein kryptographisches System an der Seite des Terminals übertragen werden. Das heißt, die einmalige Übertragung der eingeengten kryptographischen Systeme und der kryptographisch Schlüssel vom Access-Point zu dem Terminal macht es unnötig, die kryptographischen Schlüssel erneut zu melden, selbst wenn der Access-Point das kryptographische System danach umschaltet. Dies erleichtert die mühsame Arbeit, umfangreiche Meldungen zu erstatten, und verhindert gleichzeitig signifikant eine Abnahme in der Sicherheit, die mit der Meldung der kryptographischen Schlüssel verbunden ist.
Wenn Meldungen von einigen der kryptographischen Systeme und der entsprechenden kryptographischen Schlüssel empfangen werden, muss die Terminalseite die kryptographischen Systeme spezifizieren.
Als bevorzugtes Beispiel ist in diesem Fall gemäß einem siebenten Aspekt der Erfindung die Konstruktion derart, dass, wenn ein angenommenes kryptographisches System in Verbindung mit den Änderungen in den Terminals, die an dem drahtlosen LAN teilnehmen, umgeschaltet wird, das Wählmittel für ein kryptographisches System an der Seite des Access-Points eine Stations-ID in Übereinstimmung mit dem Umschalten des angenommenen kryptographischen System ändert.
Wenn in dem siebenten Aspekt der Erfindung, die wie oben konstruiert ist, das Wählmittel für ein kryptographisches System an der Seite des Access-Points ein angenommenes kryptographisches System in Verbindung mit den Änderungen in den Terminals, die an dem drahtlosen LAN teilnehmen, umschaltet, schaltet das Wählmittel für ein kryptographisches System eine Stations-ID in Übereinstimmung mit dem Umschalten um. Die Terminalseite kann leicht erfassen, dass das kryptographische System umgeschaltet wurde, indem die umgeschaltete Stations-ID erfasst wird; daher kann die Terminalseite leicht der Wahl des kryptographischen Systems an der Seite des Access-Points folgen.
Als ausführlicheres Beispiel spezifiziert gemäß einem achten Aspekt der Erfindung das Übertragungsmittel für den kryptographischen Schlüssel an der Seite des Access-Points verschiedene Stations-IDs bei jedem der kryptographischen Systeme, an die sich der Access-Point selbst anpassen kann, und überträgt zu den Terminals drahtlos die spezifizierten Stations-IDs gemeinsam mit den kryptographischen Schlüsseln in Übereinstimmung mit jedem der eingeengten kryptographischen Systeme. Das Wählmittel für ein kryptographisches System an der Seite des Terminals erfasst die Stations-IDs von anschließbaren Access-Points, und nimmt, wenn die erfassten Stations-IDs eine Stations-ID aufweisen, die mit den Stations-IDs übereinstimmt, die im Voraus von dem Speichermittel für einen kryptographischen Schlüssel an der Seite des Terminals gespeichert wurden, das kryptographische System und den kryptographischen Schlüssel entsprechend der Stations-ID an.
In dem achten Aspekt der Erfindung, die wie oben konstruiert ist, spezifiziert das Übertragungsmittel für den kryptographischen Schlüssel an der Seite des Access-Points verschiedene Stations-IDs bei jedem der kryptographischen Systeme, an die sich der Access-Point selbst anpassen kann, und überträgt zu den Terminals drahtlos die spezifizierten Stations-IDs gemeinsam mit den kryptographischen Schlüsseln in Übereinstimmung mit jedem der eingeengten kryptographischen Systeme. Und das Wählmittel für den kryptographischen Schlüssel an der Seite des Terminals nimmt die Stations-IDs an, die den kryptographischen Systemen entsprechen, die zu dem Zeitpunkt von den Vorrichtungen angenommen werden, die das drahtlose LAN bilden.
Andererseits erfasst das Wählmittel für ein kryptographisches System an der Seite des Terminals die Stations-IDs von anschließbaren Access-Points und beurteilt, ob die erfassten Stations-ID eine übereinstimmende Stations-ID mit den Stations-IDs aufweisen, die im Voraus von dem Access-Point übertragen und gespeichert wurden. Wenn es eine Übereinstimmung gibt, ist eine Beurteilung möglich, dass der Access-Point das kryptographische System, das der Stations-ID entspricht, und den kryptographischen Schlüssel annimmt; und das Terminal nimmt entsprechend dasselbe kryptographische System und denselben kryptographischen Schlüssel an. Somit ist es unnötig, Meldungen zum Spezifizieren der kryptographischen Systeme zwischen dem Access-Point und dem Terminal auszugeben; dadurch erleichtert die obengenannte Konstruktion die mühsame Prozedur und verhindert eine Abnahme in der Sicherheit.
Es ist auch unnötig, Meldungen zum Spezifizieren der kryptographischen Systeme zwischen dem Access-Point und dem Terminal auszugeben, wenn es gewisse Änderungen in den angenommenen kryptographischen Systemen gegeben hat, gleich wie zuvor.
Wenn es gemäß einem neunten Aspekt der Erfindung unmöglich wird, die drahtlose Kommunikation mit dem Access-Point auf der Basis der spezifizierten Stations-ID aufrechtzuerhalten, erfasst das Wählmittel für ein kryptographisches System an der Seite des Terminals erneut die Stations-IDs von den anschließbaren Access-Points, und nimmt, wenn die erneut erfassten Stations-IDs eine Stations-ID aufweisen, die mit den Stations-IDs übereinstimmt, die im Voraus gespeichert wurden, das kryptographische System und den kryptographischen Schlüssel entsprechend der Stations-ID an.
Wenn es in dem neunten Aspekt der Erfindung, die wie oben konstruiert ist, unmöglich wird, die drahtlose Kommunikation mit dem Access-Point auf der Basis der spezifizierten Stations-ID aufrechtzuerhalten, erfasst das Wählmittel für ein kryptographisches System an der Seite des Terminals erneut die Stations-IDs von den anschließbaren Access-Points. Und wenn die erneut erfassten Stations-IDs eine Stations-ID aufweisen, die mit den Stations-IDs übereinstimmt, die im Voraus gespeichert wurden, nimmt das Terminal das kryptographische System und den kryptographischen Schlüssel entsprechend der Stations-ID an. Mit anderen Worten, wenn es Änderungen in den angenommenen kryptographischen Systemen aufgrund einer Abnahme in der Anzahl der Terminals gegeben hat, die an dem drahtlosen LAN teilnehmen, oder aufgrund ersetzter Terminals, muss der Access-Point nicht die neu angenommenen kryptographischen Systeme, und so weiter, den Terminals melden, die die drahtlose Kommunikation aufrechterhalten wollen. Es ist möglich, die Änderungen in den kryptographischen Systemen an der Seite des Terminals automatisch zu verfolgen, wodurch die mühsame Wartung erleichtert wird und eine Abnahme in der Sicherheit verhindert wird.
Das obengenannte System zur Verarbeitung von kryptographischen Schlüsseln kann nicht nur als Gesamtsystem verstanden werden, das aus dem Access-Point und den Terminals besteht, sondern auch als Erfindung, dass der Access-Point eine der Komponenten ist.
Gemäß einem zehnten Aspekt der Erfindung wird ein Access-Point in einem drahtlosen LAN bereitgestellt, der dazu ausgebildet ist, sich selbst an eine Mehrzahl von kryptographischen Systemen in der drahtlosen LAN-Kommunikation anzupassen, und dazu ausgebildet ist, ein kryptographisches System und einen kryptographischen Schlüssel zu verarbeiten, das/der in der Verschlüsselung von Kommunikationsdaten vor der Ausführung drahtloser Kommunikationen mit einem Terminal verwendet wird, das mit einer drahtlosen LAN-Schnittstellenvorrichtung bereitgestellt ist, gekennzeichnet durch
ein Detektionsmittel für ein angeschlossenes Terminal, das dazu ausgebildet ist, Terminals zu spezifizieren, die an einem drahtlosen LAN teilnehmen, und zu erfassen, ob es Unterschiede in den Terminals gibt, die an diesem teilnehmen, und
ein Wählmittel für ein kryptographisches System an der Seite des Access-Points, das dazu ausgebildet ist, wenn das Detektionsmittel für ein angeschlossenes Terminal erfasst, dass es Unterschiede in den Terminals gibt, die an dem drahtlosen LAN teilnehmen, ein spezifiziertes kryptographisches System entsprechend einem vorbestimmten Kriterium auf der Basis von Daten, die sich auf die kryptographischen Systeme beziehen, die im Voraus drahtlos von einer Mehrzahl von Terminals übertragen wurden, aus den kryptographischen Systemen zu wählen, an die sich der Access-Point selbst anpassen kann und an das sich die Terminals, die an dem drahtlosen LAN teilnehmen, allgemein selbst anpassen können.
Natürlich können die Terminals, die die Komponenten des Systems zur Verarbeitung von kryptographischen Schlüsseln sind, als die Erfindung verstanden werden.
Ferner kann die Erfindung als drahtloses Kommunikationssystem von den Aspekten der Vorrichtungen verstanden werden, und kann auch als Ausführungsprozedur des Systems verstanden werden.
Gemäß einem elften Aspekt der Erfindung wird ein Verfahren zur Verarbeitung von kryptographischen Schlüsseln bereitgestellt, das ein kryptographisches System und einen kryptographischen Schlüssel verarbeitet, das/der zum Verschlüsseln drahtloser Kommunikationsdaten vor der Kommunikation verwendet wird, die drahtlos zwischen einem drahtlosen LAN-Access-Point und einem Terminal mit einer drahtlosen LAN-Schnittstellenvorrichtung ausgetauscht werden, wobei:
das Terminal zu dem Access-Point drahtlos kryptographische Systeme überträgt, an die sich das Terminal selbst anpassen kann, dadurch gekennzeichnet, dass
der Access-Point Terminals spezifiziert, die an einem drahtlosen LAN durch den Access-Point teilnehmen, und erfasst, ob es Unterschiede in den Terminals gibt, die an diesem teilnehmen, und wenn erfasst wird, dass es Unterschiede in den Terminals gibt, die an dem drahtlosen LAN teilnehmen, dazu ausgebildet ist, ein spezifiziertes kryptographisches System entsprechend einem vorbestimmten Kriterium aus den kryptographischen Systemen zu wählen, an die sich der Access-Point selbst anpassen kann und an das sich die Terminals, die an dem drahtlosen LAN teilnehmen, allgemein selbst anpassen können und
das Terminal das kryptographische System erfasst, das von dem Access-Point angenommen wurde, und das erfasste kryptographische System wählt.
Natürlich kann die Erfindung, die auf dem zehnten und elften Aspekt beruht, auch als Anwendung derselben Ausführungsform verstanden werden, die die Erfindung, die auf dem ersten bis neunten Aspekten beruht, angewendet hat.
Industrielle Anwendbarkeit
Wie zuvor erwähnt, ist es gemäß der Erfindung möglich, die Einstellung der kryptographischen Systeme jedes Mal zu überprüfen, wenn Änderungen in den Vorrichtungen vorhanden sind, die an dem drahtlosen LAN teilnehmen, und automatisch ein optimales kryptographisches System, zum Beispiel ein kryptographisches System mit der höchsten Sicherheitsstufe, aus den kryptographischen Systemen zu wählen, die die Vorrichtungen, die an dem drahtlosen LAN teilnehmen, annehmen können. Somit bietet die Erfindung konstant eine optimale Sicherheitsumgebung für die Vorrichtungen, die an dem drahtlosen LAN teilnehmen.
Kurze Beschreibung der Zeichnungen
1 zeigt eine Konstruktion einer Hardware, die ein System zur Verarbeitung von kryptographischen Schlüsseln implementiert, bezüglich einer Ausführungsform der Erfindung.
2 zeigt eine Konstruktion eines Access-Points.
3 ist ein Flussdiagramm, das die Schnellregistrierungsprozedur in dem System zur Verarbeitung von kryptographischen Schlüsseln zeigt.
4 ist ein Flussdiagramm, das die Verarbeitung des Paketaustausches und die Bestimmungsprozedur des kryptographischen Systems zeigt.
5 ist ein Flussdiagramm, das die Verarbeitungsprozedur eines Verbindungsüberwachungsmodus zeigt.
6 ist ein Flussdiagramm, das die Verarbeitung einer Hinzufügung eines Terminals zeigt.
7 ist ein Flussdiagramm, das die Bestimmungsprozedur des kryptographischen Systems zeigt, die mit einem Terminal zusammenhängt, das entfernt wurde.
8 ist ein Flussdiagramm, das die Bestimmungsprozedur des kryptographischen Systems zeigt, die mit Terminals zusammenhängt, die ersetzt wurden.
9 ist ein Flussdiagramm, das die Prozedur des Umschaltens des kryptographischen Systems zeigt.
Beschreibung einer speziellen Ausführungsform
Die bevorzugten Ausführungsformen der Erfindung werden in der folgenden Reihenfolge beschrieben.

1. Schematische Konstruktion zur Implementierung des Systems zur Verarbeitung von kryptographischen Schlüsseln
2. Konkreter Inhalt des Systems zur Verarbeitung von kryptographischen Schlüsseln 2-1 Erhöhung der Anzahl von Terminals 2-2 Verringerung der Anzahl von Terminals
3. Modifizierte Beispiele
4. Schlussfolgerung

1. Schematische Konstruktion zur Implementierung des Systems zur Verarbeitung von kryptographischen Schlüsseln
1 zeigt ein Konstruktion einer Hardware, die das System zur Verarbeitung von kryptographischen Schlüsseln bezüglich der Erfindung implementiert. 2 zeigt eine Konstruktion eines Access-Points 20.
Das System zur Verarbeitung von kryptographischen Schlüsseln führt eine drahtlose Kommunikation zwischen einem spezifizierten Terminal und dem Access-Point 20 in einem drahtlosen LAN Kommunikationsbereich AR1 aus, indem die kryptographischen Schlüsseldaten, die den Inhalt des kryptographischen Schlüssels darstellen, auf eine Funkwelle überlagert sind; und dadurch stellt das System den kryptographischen Schlüssel ein, der in der drahtlosen Kommunikation zwischen dem spezifizierten Terminal und dem Access-Point 20 verwendet wird.
Wie in 1 dargestellt, ist in dem drahtlosen Kommunikationsbereich AR1 der Access-Point 20 (die drahtlose Basisstation) installiert, die eine Relaisstelle für das drahtlose LAN ist. Der Access-Point 20 enthält, wie in 2 dargestellt ist, eine CPU 11, einen ROM 12, der wechselseitig mit der CPU 11 durch einen Bus verbunden ist, einen RAM 13, eine nichtflüchtige Speichervorrichtung 14, wie eine Festplatte, einen WAN-Port 17 als Netzschnittstelle, einen LAN-Port 22 zum Anschließen an ein verdrahtetes LAN, eine drahtlose Kommunikationsschnittstelle 18, eine Anzeigesteuerung 15, und eine Eingabe/Ausgabe-Steuerung 16 und so weiter.
Der ROM 12 enthält verschiedene Programme, die sich auf die Kommunikationen mit den Terminals 50, 60 und 70 in dem drahtlosen Kommunikationsbereich AR1 beziehen, verschiedene Programme, sie sich auf die Verbindungen mit dem Internet IN beziehen, und verschiedene Daten, die zur Ausführung dieser Programme notwendig sind. An die Eingabe/Ausgabe-Steuerung 16 ist ein Registrierungsknopf 127 zum Drücken angeschlossen. Der Registrierungsknopf 127 ist an dem Access-Point 20 derart montiert, dass sein Pressabschnitt an der Gehäuseoberfläche des Access-Points 20 frei liegt. An die Anzeigesteuerung 15 sind verschiedene Anzeigelampen 19 angeschlossen, die den Verbindungsstatus und den Kommunikationsstatus mit dem drahtlosen LAN mit Hilfe eines Lichts und/oder einer Blinkanzeige oder andersartig anzeigen.
An die drahtlose Kommunikationsschnittstelle 18 sind ein Sender 25 zum Übertragen einer Funkwelle und ein Empfänger 26 zum Empfangen von Funkwellen angeschlossen. Der Access-Point 20 beinhaltet den Sender 25 und den Empfänger 26 in einem Zustand, dass der Sender 25 die Funkwelle übertragen und der Empfänger die Funkwellen von außen empfangen kann. Der drahtlose Kommunikationsbereich AR1, der in 1 dargestellt ist, stellt den Bereich dar, in den, wenn der Ausgang des Senders 25 und die Empfangsempfindlichkeit des Empfängers 26 auf die Standardeinstellwerte eingestellt sind, die Funkwelle, die vom Sender 25 übertragen wird, reichen kann, und in dem der Empfänger 26 die Funkwellen von den Terminals 50, 60 und 70 empfangen kann. Durch Installieren des Access-Points 20 mit dieser Konstruktion wird ein drahtloses LAN so gestaltet, dass es den drahtlosen Kommunikationsbereich AR1 als normalen Kommunikationsbereich hat.
Der ROM 12 speichert ein ausgangsmodifiziertes Programm im Voraus, das eine temporär modifizierende Verarbeitung des Ausgangsstandardeinstellungswertes für den Sender 25 beschreibt, und ein die Empfangsempfindlichkeit modifizierendes Programm, das eine temporär modifizierende Verarbeitung des Empfangsempfindlichkeitsstandardeinstellungswertes für den Empfänger 26 beschreibt, als Programme für die Kommunikation mit den Terminals 50, 60 und 70. Die Verarbeitung zur Modifizierung der Einstellungswerte wird durch arithmetische Verarbeitung durchgeführt, wobei die Standardeinstellungswerte mit 1/n (n: eine vorbestimmte Konstante) multipliziert werden. Die CPU 11 führt das ausgangsmodifizierende Programm und das die Empfangsempfindlichkeit modifizierende Programm aus, und gibt einen modifizierten Ausgangswert und einen modifizierten Empfangsempfindlichkeitswert durch die drahtlose Kommunikationsschnittstelle 18 an den Sender 25 und den Empfänger 26 aus. Dadurch überträgt der Sender 25 die Funkwelle bei dem modifizierten Ausgangswert und der Empfänger 26 empfängt die Funkwelle mit der modifizierten Empfangsempfindlichkeit.
Die Terminals 50, 60 und 70 sind ein Personal-Computer vom allgemein bekannten Note-Type, der die Steuervorrichtung enthält, die aus einer CPU, einem ROM, RAM usw. besteht, und ein Festplattenlaufwerk und ein CD-ROM-Laufwerk als Speichervorrichtung. Natürlich können sie das mobile Informationsterminal (Personal Digital Assistant) oder ein anderes Terminal sein.
An den Terminals 50, 60 und 70 sind drahtlose LAN-Adapter 52, 62 und 72 als drahtlose LAN-Schnittstellenvorrichtung montiert, die das Senden und Empfangen der Funkwellen zwischen dem Access-Point 20 und diesen Terminals ermöglichen. Durch den Einbau des Vorrichtungstreibers für die drahtlosen LAN-Adapter 52, 62 und 72 in das Terminal 50 können die Terminals 50, 60 und 70 die montierten drahtlosen LAN-Adapter 52, 62 und 72 erkennen. Hier sind den drahtlosen LAN-Adapter 52, 62 und 72 MAC-Adressen zugeordnet, die Identifikationsnummern sind, die den Adaptern eigen sind. Hier stellt in der folgenden Beschreibung der Ausdruck "MAC-Adressen der Terminals" "MAC-Adressen der drahtlosen LAN-Adapter" dar.
Die drahtlosen LAN-Adapter 52, 62 und 72 führen das Senden und Empfangen von Funkwellen mit dem Access-Point 20 in dem drahtlosen Kommunikationsbereich AR1 aus, und dadurch kommunizieren die Terminals 50, 60 und 70 drahtlos mit dem Access-Point 20. Der Access-Point 20 und die drahtlosen LAN-Adapter 52, 62 und 72 sind imstande, das Format von Austauschdaten in das Format umzuwandeln, das zur Kommunikation geeignet ist, das sogenannte Paketformat. Dadurch wird der Off-Line-Datenaustausch (in einem Zustand, in dem das System LH1 nicht an das Internet angeschlossen ist) theoretisch zwischen den Terminals 50, 60 und 70 und dem Access-Point 20 möglich.
Anschließend wird der Access-Point 20 an das Internet IN angeschlossen, und die Konstruktion für diese Verbindung wird beschrieben. Wie in 1 dargestellt ist, ist ein Router 28, der ein Modem enthält, durch ein Kabel an den WAN-Port 17 des Access-Points 20 angeschlossen. Der Router 28 kann die Terminals 50, 60 und 70 in dem drahtlosen LAN auf der Basis der MAC-Adressen der drahtlosen LAN-Adapter 52, 62 und 72 spezifizieren und unterscheiden. Das Modem, das in dem Router 28 enthalten ist, ist durch eine Breitbandkommunikationsleitung CL, wie ein CATV-Leitung und xDSL-Leitung und eine für den Provider bestimmte Leitung PV an das Internet IN angeschlossen. Das heißt, der Router 28 dient als Gateway, das das drahtlose LAN mit dem Internet IN verbindet.
Diese Ausführungsform ermöglicht die Verbindung des drahtlosen LAN mit den Terminals, von welchen MAC-Adressen bei dem Access-Point 20 registriert sind (in der Folge als registriertes Terminal bezeichnet), von den mehreren Terminals, die die drahtlosen LAN-Adapter enthalten, die sich in dem drahtlosen Kommunikationsbereich AR1 befinden. Die Besitzer des registrierten Terminals können die eigenen Terminals über den Access-Point 20 an das Internet IN anschließen und verschiedene Arten von Informationen, wie den Web-Inhalt, der in dem Server SV auf dem Internet IN gespeichert ist, gewinnen. Andererseits können die Terminals, deren MAC-Adressen nicht bei dem Access-Point 20 registriert sind (in der Folge als nicht registriertes Terminal bezeichnet) nicht an das drahtlose LAN angeschlossen werden, selbst wenn sie sich in dem drahtlosen Kommunikationsbereich AR1 befinden. Das heißt, der drahtlose Kommunikationsbereich AR1 ist der freie Punkt, wo der Anschlussdienst an das Internet IN nur den Besitzern eines registrierten Terminals bereitgestellt wird. Hier wird in 1 angenommen, dass die Terminals 50 und 60 registrierte Terminals sind, und von dem Terminal 70 wird angenommen, dass es das nicht registrierte Terminal ist.
Die Daten, die verschiedene Inhalte haben, wie Verträge und Dienste (in der Folge als sogenannte inhaltstragende Daten bezeichnet), die den Funkwellen überlagert sind, werden zwischen diesen registrierten Terminals und dem Access-Point 20 gesendet und empfangen. Diese Ausführungsform nimmt an, dass die Vorrichtung (registrierte Terminals, Access-Point 20) zum Übertragen der inhaltstragenden Daten die inhaltstragenden Daten vor der Übertragung mit einem spezifizierten kryptographischen Schlüssel verschlüsselt und die verschlüsselten inhaltstragenden Daten (in der Folge als verschlüsselte Daten bezeichnet) zu der Empfangsvorrichtung (Access-Point 20, registrierte Terminals) überträgt. Die Empfangsvorrichtung entschlüsselt die empfangenen verschlüsselten Daten mit dem spezifizierten kryptographischen Schlüssel und gewinnt die inhaltstragenden Daten.
Hier kann der kryptographische Schlüssel ein WEP-Schlüssel sein. Der WEP-Schlüssel beruht auf der kryptographischen Technik einer geheimen Schlüsselkryptografie (sowohl die Verschlüsselungsseite der Daten wie auch die Entschlüsselungsseite verschlüsselter Daten verwenden denselben kryptographischen Schlüssel), der in IEEE 802.11 standardisiert ist. Diese kryptographische Technik enthält das System (WEP 64), das den 64-Bit WEP-Schlüssel verwendet, und das System (WEP 128), das den 128-Bit WEP-Schlüssel verwendet. Die kryptographische Technik, die den WEP-Schlüssel verwendet, macht die Analyse der inhaltstragenden Daten schwierig, wenn die Funkwellen mit den überlagerten inhaltstragenden Daten in dem Kommunikationsbereich AR1 abgefangen werden, wodurch verhindert wird, dass der Kommunikationsinhalt zu einer dritten Partei durchsickert. Zusätzlich zu der Kryptographie, die den WEP-Schlüssel verwendet, sind andere kryptographische Techniken, die als TKIP (Temporal Key Integrity Protocol) und AES (Advanced Encryption Standard) bezeichnet werden, erhältlich. Die Sicherheitsstufe steigt in der Reihenfolge WEP 64, WEP 128, TKIP und AES, wie hier angeführt ist.
2. Konkreter Inhalt des Systems zur Verarbeitung von kryptographischen Schlüsseln
Das Verfahren zum Einstellen von kryptographischen Schlüsseln bei den Terminals 50 und 60 und das Verfahren zum Zurückstellen von kryptographischen Schlüsseln, wenn sich das Terminal 60 von den Terminals 50 und 60 aus dem drahtlosen LAN zurückzieht, wird beschrieben.
2-1 Erhöhung der Anzahl von Terminals
Hier muss sich die allgemeine drahtlose LAN-Vorrichtung nicht unbedingt an alle kryptographischen Systeme selbst anpassen. Diese Ausführungsform setzt voraus, dass der Access-Point 20 den WEP 64, WEP 128, TKIP und AES annehmen kann, der drahtlose LAN-Adapter 52 sich an WEP 64, WEP 128 und TKIP selbst anpasst, und der drahtlose LAN-Adapter 62 sich an WEP 64 und WEP 128 selbst anpasst. Das Folgende betrifft den Fall zunächst einer Registrierung der MAC-Adresse des Terminals 50 bei dem Access-Point 20, Einstellen des kryptographischen Schlüssels bei dem Terminal 50 zum Errichten eines drahtlosen LAN, und anschließendes Hinzufügen des Terminals 50 zu dem drahtlosen LAN.
Der ROM 12 des Access-Points 20 speichert ein Programm (MAC-Registrierungprogramm) zum Registrieren der MAC-Adressen der drahtlosen LAN-Adapter 52 und 62 wie auch eines Wählprogramms für das kryptographische System im Voraus als Programm für die Kommunikation mit den Terminal 50 und 60. Andererseits enthält ein Dienstprogramm, das in den Terminals 50 und 60 bei Verwendung des drahtlosen LAN installiert ist, ein Programm (Einstellungsprogramm für den kryptographischen Schlüssel) zum Einstellen des kryptographischen Systems und des kryptographischen Schlüssels.
Auf dieselbe Weise wie der Registrierungsknopf 127 des Access-Points 20 sind die drahtlosen LAN-Adapter 52 und 62 mit dem Registrierungsknopf versehen, der durch einen Hardware-Schalter implementiert ist, der nicht dargestellt ist. Die Software kann den niedergedrückten Zustand dieser Knöpfe durch die Schnittstelle erkennen.
3 und 4 zeigen die Flussdiagramme, die dem MAC-Registrierungsprogramm, dem Wählprogramm für das kryptographische System und dem Einstellungsprogramm für den kryptographischen Schlüssel entsprechen, die der Access-Point 20 und die Terminals 50, 60 ausführen. Der Access-Point 20 führt die MAC-Registrierungsvearbeitung parallel zu der Wählverarbeitung des kryptographischen Systems aus. In den folgenden Flussdiagrammen ist die Seite der Terminals 50 und 60 mit STA bezeichnet und die Seite des Access-Points 20 ist mit AP bezeichnet.
Der Access-Point 20 und die Terminals 50 und 60 werden in einen Schnellregistrierungsmodus durch Drücken der Registrierungsknöpfe geschaltet und beginnen die jeweilige Verarbeitung. Das heißt, wenn an der Seite des Terminals 50 der niedergedrückte Zustand des Registrierungsknopfs in Schritt S310 erfasst wird, wie in 3 dargestellt ist, beginnt das Terminal 50 danach mit der Ausführung der Verarbeitung von Schritt S312. Wenn an der Seite des Access-Points 20 der niedergedrückte Zustand des Registrierungsknopfs 127 in Schritt S410 erfasst wird, beginnt der Access-Point 20 danach den Schnellregistrierungsmodus in Schritt S412.
Das Terminal 50, das in den Schnellregistrierungsmodus geschaltet wurde, sucht den Access-Point 20, der im Schnellregistrierungsmodus ist, in Schritt S316. Konkret schaltet der Access-Point 20, der in den Schnellregistrierungsmodus geschaltet ist, die Stations-ID (ESSID) in eine spezifizierte Stations-ID um, die im Voraus bestimmt wurde, und überträgt eine Bake. Das Terminal 50 versucht einen Anschluss an den Access-Point mit der spezifizierten EESID. Das Terminal 50 sucht anschließbare Access-Points, ermittelt den Status der anschließbaren Access-Points und beurteilt auf der Basis des Status, ob der Modus der Schnellregistrierungsmodus ist oder nicht.
Die Verarbeitungszeit für die Suche nach dem Access-Point 20, der im Schnellregistrierungsmodus ist, ist durch die Verarbeitung in Schritt S314 auf eine vorbestimmte Zeitperiode beschränkt. Wenn die vorbestimmte Zeitperiode verstrichen ist, ohne den Access-Point 20 zu finden, fährt die Verarbeitung mit Schritt S334 fort und beendet den Schnellregistrierungsmodus.
Wenn das Terminal 50 den Access-Point 20, der sich im Schnellregistrierungsmodus befindet, innerhalb der vorbestimmten Zeit findet, versucht es sich an den erfassten Access-Point 20 in Schritt S318 anzuschließen. Konkret spezifiziert das Terminal 50 die MAC-Adresse des drahtlosen LAN-Adapters 52 und überträgt das Paket mit der MAC-Adresse, das zu den Daten hinzugefügt wurde, die die Angaben, dass das Terminal 50 an dem drahtlosen LAN teilnimmt, als Anfangsblockinformationen enthalten, zu dem Access-Point 20. Die Verarbeitung in Schritt S320 soll eine unnötige Erhöhung in der Frequenz solcher Verbindungsversuche verhindern; und wenn die Frequenz eine vorbestimmte überschreitet, beurteilt die Verarbeitung sie als "Neuversuch vorüber". Dann fährt die Verarbeitung mit Schritt S334 fort und beendet den Schnellregistrierungsmodus.
Wenn das Terminal 50 erfolgreich eine Verbindung ohne "Neuversuch vorüber" herstellt, tauscht das Terminal 50 Sicherheitsinformationspakete mit dem Access-Point 20 in Schritt S322 aus.
Andererseits liest der Access-Point 20 die MAC-Adresse aus den Anfangsblockinformationen des empfangenen Pakets in Schritt S416 und speichert die gelesene MAC-Adresse vorübergehend in einem Zwischenspeicherbereich des RAM 13. Der Access-Point 20 führt auch die Paketaustauschverarbei tung durch, während die Sicherheitsinformationen in Schritt S418 erstellt werden, in Übereinstimmung mit der obengenannten Verarbeitung durch das Terminal 50. Diese Austauschverarbeitung des Sicherheitsinformationspakets ist in Schritt S350 und Schritt S450 und folgenden in 4 dargestellt.
Der konkrete Inhalt der Paketaustauschverarbeitung ist wie folgt.
Unterprogramm 1:
Das Terminal 50 sendet eine Anfrage zur Erstellung der Sicherheitsinformationen zu dem Access-Point 20.
Unterprogramm 2:
Der Access-Point 20 sendet eine Antwort, die anzeigt, dass die Anfrage erhalten wurde, zu dem Terminal 50. Hier bestimmt der Access-Point 20 die Werte der ESSID und den kryptographischen Schlüssel für jedes der kryptographischen Systeme, an die sich der Access-Point 20 selbst anpasst, wenn die Anfrage zur Erstellung der Sicherheitsinformationen das erste Mal empfangen wird. Zum Beispiel stellt der Access-Point 20 "ESSID1" und "DATA1" in dem kryptographischen System WEP 64 ein, stellt "ESSID2" und "DATA2" in dem kryptographischen System WEP 128 ein, stellt "ESSID3" und "DATA3" in dem kryptographischen System TIKP ein und stellt "ESSID4" und "DATA4" in dem kryptographischen System AES ein. "ESSID1" bis "ESSID4" sind die Stations-IDS, die zufällig auf der Basis der Zufallszahl oder dergleichen bestimmt werden, und "DATA1" bis "DATA4" sind die Werte, die zufällig in Übereinstimmung mit den kryptographischen Systemen bestimmt werden.
Unterprogramm 3:
Das Terminal 50 sendet die Daten, die die kryptographische Systeme angeben, an die sich das Terminal 50 selbst an passt, zu dem Access-Point 20. In diesem Fall passt sich der drahtlose LAN-Adapter 52, der an dem Terminal 50 montiert ist, selbst an das WEP 64, WEP 128 und TKIP an und das Terminal 50 sendet die Daten, die diese drei kryptographischen Systeme angeben.
Unterprogramm 4:
Der Access-Point 20 kann auf der Basis der empfangenen Daten die kryptographischen Systeme erfassen, an die sich das Terminal 50 selbst anpassen kann. Daher engt der Access-Point 20 seine eigenen anpassbaren kryptographischen Systeme nach den erfassten kryptographischen Systeme ein. Konkret werden die kryptographischen Systeme des Terminals 50 auf WEP 64, WEP 128 und TKIP eingeengt. Und der Access-Point 20 sendet die Daten, die die Werte der ESSID angeben und den kryptographischen Schlüssel, der bereits für jedes der kryptographischen Systeme bestimmt wurde, zu dem Terminal 50. Konkret sendet der Access-Point 20 "ESSID1" und "DATA1" in Verbindung mit dem kryptographischen System WEP 64, "ESSID2" und "DATA2" in Verbindung mit dem kryptographischen System WEP 128 und "ESSID3" und "DATA3" in Verbindung mit dem kryptographischen System TKIP.
Somit speichert das Terminal 50 beim Empfang der Daten vom Access-Point 20, die die Werte der ESSID anzeigen, und des kryptographischen Schlüssels, der den kryptographischen Systemen entspricht, an die sich sowohl der Access-Point 20 wie auch das Terminal 50 selbst anpassen können, die Daten in einem vorbestimmten Speicherbereich.
Zuvor wurde die Paketaustauschverarbeitung von Sicherheitsinformationen in Schritt S350 und in Schritt S450 zwischen dem Terminal 50 und dem Access-Point 20 beschrieben. Die Paketaustauschverarbeitung als solches muss nur einmal zwischen einem Terminal und dem Access-Point 20 ausgeführt werden, und einmal ist ausreichend. Das heißt, die Aus tauschverarbeitung der Daten, die das kryptographische System und den kryptographischen Schlüssel angeben, wird zwischen dem Access-Point und dem betroffenen Terminal unnötig. Das Terminal kann das kryptographische System, das das Terminal annehmen sollte, auf der Basis der Bake spezifizieren, die von dem Access-Point 20 übertragen wird, wie später beschrieben wird. Hier werden die Datenkommunikationen bezüglich der Paketaustauschverarbeitung durchgeführt, nachdem die MAC-Adresse der Gegenpartei spezifiziert und verschlüsselt wurde. Konkret erstellt das Terminal 50 den Startparameter [Init ID] zur Verschlüsselung und sendet diesen gemeinsam mit der obengenannten Anfrage. Danach führen sowohl der Access-Point 20 wie auch das Terminal 50 die Verschlüsselung und Entschlüsselung unter Verwendung der VAN-Funktion auf der Basis dieser Init ID für die Datenkommunikationen aus.
Nach der Paketaustauschverarbeitung von Sicherheitsinformationen wählt der Access-Point 20 in Schritt S452 das kryptographische System mit der höchsten Sicherheitsstufe aus den vom Terminal 50 bekannt gegebenen kryptographischen Systemen. Von den bekannt gegebenen kryptographischen Systemen WEP 64, WEP 128 und TKIP hat TKIP die höchste Sicherheitsstufe und der Access-Point 20 wählt dieses als möglichen Kandidaten. In Schritt S454 vergleicht der Access-Point 20 den in Schritt S452 gewählten Kandidaten und das kryptographische Systeme der gegenwärtig höchsten Stufe. Hier bedeutet die gegenwärtig höchste Stufe die höchste Sicherheitsstufe der kryptographischen Systeme, die aus den kryptographischen Systemen, an die sich der Access-Point 20 selbst anpasst, auf die kryptographischen Systeme eingeengt wurden, an die sich die Terminals selbst anpassen können.
Wenn die Paketaustauschverarbeitung von Sicherheitsinformationen mit dem Terminal 50 das erste Mal ausgeführt wird, ist das kryptographische System, das vom Terminal 50 bekannt gegeben wird, von der höchsten Sicherheitsstufe, und die kryptographischen Systeme beider stimmen überein. Wenn jedoch die Terminals danach hinzugefügt werden, stimmen die kryptographischen Systeme beider nicht unbedingt überein, da die kryptographischen Systeme auf der Basis der kryptographischen Systeme eingeengt sind, an die sich die Terminals, die in der Vergangenheit registriert wurden, selbst anpassen können.
Wenn die Beurteilung in Schritt S454 JA ist (höher als die gegenwärtig höchste Stufe), behält der Access-Point 20 die gegenwärtig höchste Stufe bei; und wenn sie NEIN ist (kleiner oder gleich der gegenwärtig höchsten Stufe), nimmt der Access-Point 20 das kryptographische System an, das in Schritt S452 gewählt wurde, mit der zu diesem Zeitpunkt höchsten Stufe. Daher führt der Paketaustausch mit dem Terminal 50 dazu, dass die obengenannte Beurteilung lautet, dass beide "gleich" sind, und der Access-Point 20 nimmt in Schritt S458 das kryptographische System an, das "derzeit die höchste Stufe" aufweist, welches das TKIP ist.
Die obengenannte Verzweigungsverarbeitung zeigt die Benutzersicherheitsstrategie. Hier stellt die Sicherheitsstrategie die Richtlinie dar, dass, wenn die kryptographischen Systeme, an die sich der Access-Point selbst anpassen kann, und die kryptographischen Systeme, an die sich das Terminal selbst anpassen kann, gegenübergestellt werden, die kryptographischen Systeme spezifiziert werden, die angenommen werden sollten.
Die obengenannte Verzweigungsverarbeitung zeigt, wenn die höchste Sicherheitsstufe, an die sie ein neu hinzugefügtes Terminal selbst anpassen kann, nicht höher als die Sicherheitsstufe bis zu diesem Moment ist, die Sicherheitsstrategie "dasselbe Terminal an dem Netz teilnehmen zu lassen, selbst wenn die Sicherheitsstufe gesenkt wird" (in der Folge als Strategie 1 bezeichnet). Wenn hier die Stufe als gleich beurteilt wird, wird die Verarbeitung durchgeführt, wenn die Beurteilung "nicht höher" getroffen wird. Folglich ist dies jedoch dieselbe Verarbeitung wie in Schritt S454, "Annahme der gegenwärtig höchsten Stufe".
Im Gegensatz dazu ist es möglich, eine niedrigste Sicherheitsstufe im Voraus zu definieren und die Sicherheitsstrategie so zu bestimmen, dass keine Sicherheitsstufe unter der vordefinierten angenommen wird (in der Folge als Strategie 2 bezeichnet). In diesem Fall muss das Unterprogramm die Beurteilung "höher oder gleich der niedrigsten Sicherheitsstufe?" nach Schritt S452 hinzufügen, um mit Schritt S452 und folgenden fortzufahren, wenn die Beurteilung JA ist, und mit Schritt S456 fortzufahren, wenn die Beurteilung NEIN ist.
Zur Vorbereitung der Sicherheitsstrategie, die die Sicherheitsstufe auf die höchste Stufe für ein neues Terminal anhebt, das für eine besondere Anwendung in Betracht gezogen wird (in der Folge als Strategie 3 bezeichnet), muss das Unterprogramm die Verarbeitung "Annahme der höchsten Stufe für diesen Zeitpunkt" in Schritt S456 ausführen, anstelle der Verarbeitung "Annahme der gegenwärtig höchsten Stufe". Somit bereitet das Unterprogramm bei der Registrierung eines neuen Terminals die Verzweigungsverarbeitung so vor, dass sie die Wahl der Sicherheitsstrategien durch einen Benutzer im Voraus reflektiert; dadurch wird es möglich, nicht nur die mühsame Einstellung der einzelnen kryptographischen Schlüssel zu erleichtern, sondern auch die Sicherheitsstrategie, die der Benutzer wählt, ständig zu reflektieren.
Zur Implementierung dieser Wahl zeigt das Einstellungsprogramm des Access-Points 20 die Strategien 1 bis 3 auf dem Schirm an, lässt den Benutzer eine davon mit Hilfe der Maus oder dergleichen wählen, und schreibt das gewählte Ergebnis in ein Register oder dergleichen. Der Access-Point 20 liest den Inhalt des Registers in einer praktischen Verarbeitung aus und führt die Verzweigungsverarbeitung durch, die den geschriebenen Inhalt reflektiert. Natürlich kann eine Anordnung vorgenommen werden, die dem Access-Point 20 Hardware-Schalter, wie DIP-Schalter, bereitstellt, und die Sicherheitsstrategie durch Umschalten desselben wählt.
Die vorangehende Verarbeitung, die die Unterprogramme enthält, vollendet die Paketaustauschverarbeitung von Sicherheitsinformationen an der Seite des Access-Points 20.
Unter erneuter Bezugnahme auf 3 beurteilt der Access-Point 20 in Schritt S420, ob der Paketaustausch vollendet ist, und stellt die bestimmten Sicherheitsinformationen in Schritt S422 ein, außer wenn die vorbestimmte Zeitperiode in Schritt S414 als verstrichen beurteilt wird, bevor der Paketaustausch beendet ist.
Mit anderen Worten, während das kryptographische System angenommen wird, das in Schritt S456 und S458 bestimmt wurde, nimmt der Access-Point 20 die Werte der Stations-ID und den kryptographischen Schlüssel, der demselben kryptographischen System entspricht, für die folgende Verschlüsselungs- und Entschlüsselungsverarbeitung an. Der obengenannte Schritt S422 registriert auch die MAC-Adresse des Terminals 50. Das heißt, der Access-Point 20 liest die MAC-Adresse des Terminals 50 aus dem ROM 13 und registriert diese in einem Verwaltungsbereich der Speichervorrichtung 14.
Nachdem das TKIP in der Paketaustauschverarbeitung bei dem Terminal 50 angenommen wurde, nimmt der Access-Point 20" ESSID3" zu der Stations-ID und "DATA3" zu dem kryptographischen Schlüssel des TKIP an.
Danach beendet der Access-Point 20 den Schnellregistrierungsmodus in Schritt S424 und schaltet den Modus in den normalen drahtlosen Kommunikationsmodus um. Wenn die vorbestimmte Zeitperiode während der Paketaustauschverarbeitung verstreicht, beendet der Access-Point 20 auch den Schnellregistrierungsmodus in Schritt S426; da jedoch die Registrierung nicht vollendet ist, wird der Modus nicht in den drahtlosen Kommunikationsmodus umgeschaltet.
Somit meldet der Access-Point 20 das bestimmte kryptographische System nicht an das Terminal 50 und so weiter.
Das Terminal 50 an der anderen Seite sucht den Access-Point 20, der sich im drahtlosen Kommunikationsmodus befindet, unter den Sicherheitsinformationen, die von dem Access-Point 20 in Schritt S328 empfangen wurden. Die Sicherheitsinformationen, die von dem Access-Point 20 empfangen wurden, sind "ESSID1" und "DATA1", die dem kryptographischen System WEP 64 zugeordnet sind, "ESSID2" und "DATA2", die dem kryptographischen System WEP 128 zugeordnet sind, und "ESSID3" und "DATA3", die dem kryptographischen System TKIP zugeordnet sind.
Das Terminal 50 erfasst zunächst die Stations-ID eines Access-Points 20, auf den zugegriffen werden kann. Die Prozedur zum Ermitteln der Stations-ID wird auf der Basis des Kommunikationsstandards IEEE802.11 ausgeführt. Durch Empfangen der Bake von dem Access-Point kann das Terminal 50 die Stations-ID des gegenwärtig zugänglichen Access-Points ermitteln. Da der Access-Point 20 TKIP als kryptographisches System annimmt, ist dessen Stations-ID "ESSID3". Daher ermittelt das Terminal 50 die Stations-ID "ESSID3" basierend auf der Bake von dem Access-Point 20, und stellt die Stations-ID den Sicherheitsinformationen gegenüber, die bereits empfangen und in einem vorbestimmten Speicherbereich gespeichert sind. Dass die Stations-ID "ESSID3" ist, spezifiziert folglich, dass das kryptographische System TKIP ist. Und die Verwendung von "DATA3" als kryptographischen Schlüssel ermöglicht die Verschlüsselung und Entschlüsselung.
Das Terminal 50 stellt in Schritt S330 die Sicherheitsinformationen ein, die vom Access-Point empfangen wurden, so dass sie dem Zustand des erfassten Access-Points entsprechen. Das heißt, das Terminal 50 verwendet das kryptographische System und den kryptographischen Schlüssel entsprechend der erfassten Stations-ID beim anschließenden Verschlüsseln und Entschlüsseln.
Somit ist die Registrierung der MAC-Adresse des drahtlosen LAN-Adapters 52 bei dem Access-Point 20 vollendet, und die Einstellungen des gemeinsamen kryptographischen Schlüssels bei dem Access-Point 20 und dem Terminal 50 sind auch vollendet. Und in Schritt S332 schließt sich das Terminal 50 selbst an den erfassten Access-Point 20 an, und beginnt danach den Verbindungsüberwachungsmodus, der später beschrieben wird.
Wenn das Terminal 50 den Access-Point 20 nicht innerhalb der vorbestimmten Zeit in Schritt S328 erfassen kann, fährt die Verarbeitung mit Schritt S334 fort, ohne das kryptographische System mit Hilfe der Beurteilung in Schritt S326 zu spezifizieren, und beendet den Schnellregistrierungsmodus.
5 zeigt den Verbindungsüberwachungsmodus an der Seite des Terminals. Hier zeigen die Teile, die durch die Strichlinien in der Zeichnung markiert sind, nur die Verarbeitung, die eng mit dem Verbindungsüberwachungsmodus zusammenhängt, unter der Annahme, dass die andere Verarbeitung vorhanden ist.
Der Verbindungsüberwachungsmodus wird in Schritt S360 bis Schritt S366 in dem Zustand ausgeführt, dass die Paketaustauschverarbeitung in Schritt S322 ausgeführt wird und die Verbindung mit dem Access-Point, der in Schritt S322 erfasst wurde, beibehalten wird. Konkret beurteilt der Schritt S360, ob ein vorbestimmtes Verbindungsüberwachungszeitintervall verstreicht oder nicht. Wenn ja, beurteilt Schritt S362, ob die Verbindung mit dem Access-Point 20 beibehalten wird oder nicht. Mit anderen Worten, ob die Verbindung mit dem Access-Point 20 beibehalten wird oder nicht, wird in konstanten Zeitintervallen beurteilt. Wenn sie beibehalten wird, kehrt die Verarbeitung wieder zu Schritt S360 zurück, und dieselbe Verarbeitung wird während der Verbindung in konstanten Zeitintervallen wiederholt.
Wenn die Verbindung mit dem Access-Point 20 andererseits nicht beibehalten wird, ermittelt das Terminal 50 die Stations-ID des zugänglichen Access-Points aus der Bake des empfangsbereiten Access-Points in Schritt S364 und stellt die obengenannte Stations-ID der Stations-ID der Sicherheitsinformationen gegenüber, die bereits von dem Access-Point 20 empfangen wurde. Und, wenn es in der Gegenüberstellung eine Übereinstimmung gibt, kann das Terminal 50 erfassen, das sich der Access-Point 20 im drahtlosen Kommunikationsmodus befindet, während die Stations-ID zum Umschalten des kryptographischen Systems umgeschaltet wird. Das Terminal stellt die bereits empfangenen Sicherheitsinformationen in Schritt S366 so ein, dass sie dem Zustand des erfassten Access-Points 20 entsprechen. Somit nimmt das Terminal 50 das kryptographische System und den damit verbundenen kryptographischen Schlüssel mit der umgeschalteten Stations-ID an.
Anschließend wird der Zustand solcher Änderungen, die im kryptographischen System auftreten, auf der Basis der Verarbeitung erklärt, die an der Seite des Access-Points 20 während der Registrierung des Terminals 60 erfolgt. 6 zeigt insbesondere die Schritte, wo der Verarbeitungsinhalt entsprechend dem Terminal 60 zu der Verarbeitung durch den Access-Point, wie in 3 dargestellt ist, verändert ist.
Bei der Registrierung des Terminals 60 führen das Terminal 60 und der Access-Point 20 jeweils die Paketaustauschverarbeitung in Schritt S350 und S450 aus. Wenn das Terminal 60 an dem drahtlosen LAN teilnimmt, führt hier der Access-Point 20 auch das obengenannten MAC-Registrierungsprogramm aus, dessen Inhalt derselbe ist wie bei dem Terminal 50, so dass die Beschreibung unterlassen wird.
Da die kryptographischen Systeme, an die sich der drahtlose LAN-Adapter 62 des Terminals 60 selbst anpasst, nur WEP 64 und WEP 128 sind, ist die Paketaustauschverarbeitung wie folgt.
Unterprogramm 1:
Das Terminal 60 sendet eine Anfrage zur Erstellung der Sicherheitsinformationen an den Access-Point 20.
Unterprogramm 2:
Der Access-Point 20 sendet eine Antwort, die anzeigt, dass die Anfrage erhalten wurde, zu dem Terminal 60. Hier hat der Access-Point 20 bereits die Stations-ID und den kryptographischen Schlüssel jedes der obengenannten kryptographischen Systeme bestimmt, wenn die Anfrage von dem Terminal 50 empfangen wird.
Unterprogramm 3:
Das Terminal 60 sendet die Daten, die die kryptographischen Systeme angeben, an die sich das Terminal 60 selbst anpasst, zu dem Access-Point 20. In diesem Fall passt sich der drahtlose LAN-Adapter 62, der an dem Terminal 60 montiert ist, selbst an das WEP 64 und WEP 128 an, und das Terminal 60 sendet die Daten, die diese zwei kryptographischen Systeme anzeigen.
Unterprogrammm 4:
Der Access-Point 20 erfasst die kryptographischen Systeme, an die sich das Terminal 60 selbst anpassen kann, auf der Basis der empfangenen Daten, und engt seine eigenen kryptographischen Systeme, an die er sich anpassen kann, anhand der erfassten kryptographischen Systeme ein. Konkret werden die kryptographischen Systeme des Terminals 60 auf das WEP 64 und WEP 128 eingeengt. Und der Access-Point 20 sendet "ESSDI1" und "DATA1", die dem kryptographischen System WEP 64 zugeordnet sind, und "ESSDI2" und "DATA2" die dem kryptographischen System WEP 128 zugeordnet sind, zu dem Terminal 60.
Somit empfängt das Terminal 60 als Ergebnis der Paketaustauschverarbeitung nur "ESSDI1" und "DATA1" die dem kryptographischen System WEP 64 zugeordnet sind, und "ESSDI2" und "DATA2", die dem kryptographischen System WEP 128 zugeordnet sind, was sich von dem Fall des Terminals 50 unterscheidet, und speichert diese in einem Speicherbereich.
Der Access-Point 20 erfasst die kryptographischen Systeme, an die sich das Terminal 60 selbst anpasst, als nur WEP 64 und WEP 128, wählt das WEP 128 mit der höchsten Sicherheitsstufe aus den beiden in Schritt S452 und vergleicht das gewählte WEP 128 mit jenem der gegenwärtig angenommenen höchsten Sicherheitsstufe in Schritt S454. Da das kryptographische System mit der gegenwärtig höchsten Sicherheitsstufe TKIP ist, wird WEP 128 als tiefer in der Sicherheitsstufe als die gegenwärtig höchste Sicherheitsstufe in Schritt S454 beurteilt, und das WEP 128, das zu diesem Zeitpunkt die höchste Stufe ist, wird in Schritt S458 angenommen.
In Schritt S422 wird das WEP 128 als das kryptographische System angenommen, die Stations-ID und der kryptographische Schlüssel werden zu "EESID2" beziehungsweise "DATA2" umgeschaltet. Und der Modus wird in den drahtlosen Kommunikationsmodus in Schritt S424 umgeschaltet.
Auf dieselbe Weise wie im Falle des Terminals 50 ermittelt das Terminal 60 die Stations-ID aus der Bake des empfangsbereiten Access-Point, nimmt das übereinstimmende kryptographische System und den kryptographischen Schlüssel auf der Basis der empfangenen Sicherheitsinformationen an (Schritt S328, S330) und schließt sich selbst an den Access-Point 20 in Schritt S332 an.
Andererseits beurteilt das Terminal 50, ob die Verbindung mit dem Access-Point 20 aufrechterhalten wird, in konstanten Intervallen in Schritt S360 und Schritt S362. Die Stations-ID wird jedoch zu "ESSID2" in Verbindung mit der Registrierung des Terminals 60 umgeschaltet, und der Verbindungsstatus mit "EESID3" als Stations-ID wird demnach nicht beibehalten. Infolgedessen erfasst das Terminal 50, dass die Stations-ID des Access-Points 20 zu "EESID2" umgeschaltet wurde, aus der Bake des empfangsbereiten Access-Points in Schritt S364. Somit wird WEP 128 als das kryptographische System durch die Stations-ID angenommen, der kryptographische Schlüssel "DATA2" wird erfasst, und die Informationen über diese Werte werden eingestellt. Danach schließt sich das Terminal 50 selbst an den Access-Point 20 unter Verwendung der eingestellten Informationen in Schritt S332 an.
Obwohl der Access-Point 20 das Terminal 50 und das Terminal 60 über das bestimmte kryptographische System nicht durch eine spezielle Prozedur benachrichtigt hat, können das Terminal 50 und das Terminal 60 die kryptographischen Systeme und die kryptographischen Schlüssel nur aus der Stations-ID spezifizieren. Dies ist in der Situation, in der die Terminals zunehmend hinzugefügt werden, sehr effektiv. Wenn gemäß der herkömmlichen Technik eine solche Änderung in den eingestellten Informationen im Access-Point eintritt, war es selbstverständlich, die Terminals über die Änderung zu benachrichtigen. Gemäß der Technik dieser Erfindung jedoch bewirkt nur das Umschalten der Stations-ID, dass alle Terminals die anschließbaren Access-Points selbst auf der Basis des Kommunikationsstandards IEEE802.11 suchen. Dadurch kann die Einstellung in dem Moment effektiv nur anhand der Stations-ID zu dem kryptographischen System und dem kryptographischen Schlüssel umgeschaltet werden. Daher wird es unnötig, alle Terminals zu benachrichtigen, selbst wenn die kryptographischen Systeme in Verbindung mit der Hinzufügung von Terminals umgeschaltet werden, was für die Sicherheit von Vorteil ist.
Die Durchführung der obengenannten Verarbeitung hält die Sicherheitsstufe auf der Basis der Sicherheitsstrategie aufrecht, die im Voraus bestimmt wurde.
Anschließend wird die Einstellung der Sicherheitsstufe für den Fall beschrieben, dass die Anzahl von Terminals, die an dem drahtlosen LAN teilnehmen, abnimmt.
2.2 Abnahme in der Anzahl von Terminals
Die vorangehende Beschreibung betrifft einen Fall, in dem die Anzahl der Terminals, die an dem drahtlosen LAN teilnehmen, zunimmt, und das kryptographische System und der kryptographische Schlüssel, die zwischen dem Access-Point 20 und jedem der Terminals verwendet werden, umgeschaltet werden können. Nun ändert sich in dem drahtlosen LAN, das mit dem Access-Point 20, der eine zentrale Rolle spielt, errichtet wurde, die Anzahl der Terminals, die an dem Netz teilnehmen, flexibel aufgrund der Bedingungen der Terminalbesitzer. Daher tritt, wenn die Anzahl der Terminals abnimmt, ein Fall ein, dass die Sicherheitsstufe des kryptographischen Systems auf eine höhere Stufe geschaltet werden kann.
7 zeigt ein Flussdiagramm, das dem Wählprogramm für ein kryptographisches System entspricht, das der Access-Point 20 ausführt, wenn die Anzahl der Terminals, die an dem drahtlosen LAN teilnehmen, abnimmt.
Die folgende Verarbeitung wird kontinuierlich von dem Access-Point 20 im drahtlosen Kommunikationsmodus ausgeführt.
Im drahtlosen Kommunikationsmodus prüft der Access-Point 20 in Schritt S460, ob ein Prüfintervall für ein vorbestimmtes angeschlossenes Terminal verstrichen ist oder nicht. Wenn dies als verstrichen beurteilt wird, erstellt der Access-Point 20 eine Terminalanschlussliste, die sich auf die Terminals bezieht, die sich selbst and en Access-Point 20 anschließen (Schritt S462). Das heißt, der Access-Point 20 wiederholt die Erstellung der Terminalanschlussliste in vorbestimmten Intervallen. Und der Access-Point 20 speichert die Terminalanschlussliste im RAM 13 oder dergleichen vorübergehend für eine Periode, die mindestens länger als das Prüfintervall für ein angeschlossenes Terminal ist.
Hier wird die Terminalanschlussliste unter Verwendung der MAC-Adressen erstellt. Da der Access-Point 20 die MAC-Adressen der Terminals im Schnellregistrierungsmodus registriert hat, erstellt der Access-Point 20 die Terminalanschlussliste durch Auswählen der MAC-Adressen der Terminals, die die Verbindungen mit dem Access-Point 20 selbst aufrechterhalten.
Nach der Erstellung der aktualisierten Terminalanschlussliste vergleicht der Access-Point 20 diese aktualisierte Terminalanschlussliste mit der zuvor erstellten, und beurteilt, ob die Anzahl der Terminals, die an dem drahtlosen LAN teilnehmen, abnimmt oder nicht (Schritt S464). Wenn die Anzahl nicht abnimmt, führt der Access-Point 20 den Überprüfungsvorgang des kryptographischen Systems nicht aus, der später hier erklärt wird. Der Grund ist folgender.
Es ist denkbar, dass, wenn die Anzahl der Terminals sich nicht ändert oder steigt, das kryptographische System passend auf der Basis einer vorbestimmten Sicherheitsstrategie eingestellt ist, wenn ein bestimmtes Terminal hinzugefügt und an letzter Stelle im Schnellregistrierungsmodus registriert wird.
Wenn beurteilt wird, dass die Anzahl abnimmt, wählt der Access-Point 20 das kryptographische System mit der höchsten Sicherheitsstufe aus den kryptographischen Systemen, die der Access-Point 20 annehmen kann, und an das sich die Terminals, die auf der Basis der aktualisierten Terminalanschlussliste spezifiziert sind, selbst anpassen können (Schritt S466).
In Schritt S468 vergleicht der Access-Point 20 die Sicherheitsstufe des gegenwärtig angenommenen kryptographischen Systems mit der Sicherheitsstufe des kryptographischen Systems, das in Schritt S466 gewählt wurde.
Nun wird ein Fall als Beispiel beschrieben, in dem sich das Terminal 60 von dem drahtlosen LAN in einem Zustand zurückzieht, dass die Terminals 50 und 60 durch den Access-Point 20 an dem drahtlosen LAN teilgenommen haben, und die Anzahl der Terminals wird durch den Rückzug des Terminals 60 in Schritt S464 als abnehmend erfasst. Der drahtlose LAN-Adapter 52 des Terminals 50 passt sich an das WEP 64, WEP 128 und TKIP an und der drahtlosen LAN-Adapter 62 des Terminals 60 passt sich selbst an das WEP 64 und WEP 128 an. Diese kryptographischen Systeme, an die sich die Terminals 50 und 60 selbst anpassen können, wurden bereits in der Paketaustauschverarbeitung der Sicherheitsinformationen an der Seite des Access-Points 20 erfasst. Da das Terminal 60 sich von dem drahtlosen LAN zurückgezogen hat, ist das kryptographische System, das der Access-Point in Schritt S466 wählt, das TKIP.
Wenn andererseits die Strategie 1 als Sicherheitsstrategie beim Registrieren der Terminals 50 und 60 durch den Schnellregistrierungsmodus gewählt wird, wird das WEP 128 angenommen, so dass das Terminal 60 mit der höchsten Sicherheitsstufe, die niedriger als jene des Terminals 50 ist, an dem Netz teilnehmen kann.
In Schritt S470 nimmt der Access-Point 20 das gewählte kryptographische System an, wenn die Sicherheitsstufe des gewählten kryptographischen Systems jene des gegenwärtigen kryptographischen Systems überschreitet. In dem vorangehenden Beispiel überschreitet die Sicherheitsstufe des gewählten kryptographischen Systems jene des gegenwärtigen kryptographischen Systems und der Access-Point 20 nimmt daher das gewählte kryptographische System TKIP an. Dann schaltet der Access-Point 20 die Stations-ID zu "ESSID3" und den kryptographischen Schlüssel zu "DATA3" um.
Wenn andererseits die Sicherheitsstufe des gewählten kryptographischen Systems nicht höher als jene des gegenwärtigen kryptographischen Systems ist, behält der Access-Point 20 die gegenwärtige Sicherheitsstufe bei und schaltet das kryptographische System nicht um.
Gemäß der obengenannten Konstruktion tritt in dem drahtlosen LAN, nachdem das Terminal 60 der Terminals 50 und 60 sich von dem drahtlosen LAN zurückgezogen hat, der Fall ein, dass die Sicherheitsstufe des angenommenen kryptographischen Systems automatisch erhöht wird.
Das kryptographische System hat für eine solche Überprüfung nicht nur dann Raum, wenn die Anzahl der Terminals, die an dem drahtlosen LAN teilnehmen, abnimmt, sondern auch, wenn die Terminals, die daran teilnehmen, ersetzt werden.
8 zeigt ein Flussdiagramm, das dem Wählprogramm für ein kryptographisches System entspricht, das der Access-Point 20 ausführt, wenn die Terminals, die an dem drahtlosen LAN teilnehmen, teilweise ersetzt werden. Hier wird ein Fall als Beispiel beschrieben, in dem das Terminal 70 neu an dem drahtlosen LAN als registriertes Terminal teilnimmt, und das Terminal 60 sich von dem drahtlosen LAN in einem Prüfintervall für angeschlossene Terminals zurückzieht, in einem Zustand, in dem die Terminals 50 und 60 durch den Access-Point 20 an dem drahtlosen LAN teilgenommen haben.
Mit anderen Worten, das Terminal 60 zieht sich von dem drahtlosen LAN zurück, während die MAC-Adresse des drahtlosen LAN Adapters 72 bei dem Access-Point 20 im Schnellregistrierungsmodus registriert wird, und die kryptographischen Sysetme, an die sich die Terminals 50 bis 70 selbst anpassen können, und die kryptographischen Schlüsse, die für die kryptographischen Systeme verwendet werden, bei den Terminals 50 bis 70 eingestellt werden. Hier wird angenommen, dass sich der drahtlose LAN Adapter 72 des Terminals 70 selbst an das WEP 64, WEP 128 und TKIP anpassen kann. Es werden vorwiegend einige Unterschiede zu 7 in 8 erklärt.
Wenn, wie in 8 dargestellt ist, bei der Verzweigung von Schritt S484 NEIN gilt, prüft der Access-Point 20 Wurden Terminals, die an dem drahtlosen LAN teilnehmen, ersetzt?" (S486). Konkret vergleicht der Access-Point 20 die aktualisierte Terminalanschlussliste, die in Schritt S482 erstellt wurde, mit der zuvor erstellten Terminalanschlussliste, und beurteilt ob die Terminals, die an dem drahtlosen LAN teilnehmen, ersetzt wurden oder nicht auf der Basis der MAC-Adressen der Terminals auf der Liste. In dieser Ausführungsform zeigt die zuvor erstellte Terminalanschlussliste die Terminals 50 und 60, und die aktualisierte Terminalanschlussliste zeigt die Terminals 50 und 70; und die Verarbeitung fährt mit Schritt S488 und folgenden fort, und das kryptographische System wird entsprechend überprüft.
Wenn die Beurteilung in Schritt S486 NEIN ist, das heißt, wenn es kein Terminal gibt, das sich von dem drahtlosen LAN zurückgezogen hat, und die Anzahl der Terminals einfach zunimmt, oder wenn es keine Änderungen in den Terminals gegeben hat, die an dem drahtlosen LAN teilnehmen, führt der Access-Point 20 den Überprüfungsvorgang des kryptographischen Systems nicht aus. In diesem Fall ist denkbar, dass das kryptographische System auf der Basis einer vorbestimmten Sicherheitsstrategie richtig eingestellt wird, wenn ein bestimmtes Terminal hinzugefügt und an letzter Stelle im Schnellregistrierungsmodus registriert wird.
Die Verarbeitung nach Schritt S488 ist dieselbe wie jene von Schritt S466 in 7. Da, wie zuvor erwähnt, in einem Prüfintervall für angeschlossene Terminals das Terminal 70 an dem drahtlosen LAN teilnimmt und das Terminal 60 sich von dem drahtlosen LAN zurückzieht, ist das kryptographische System, das der Access-Point 20 in Schritt S488 wählt, das TKIP. Andererseits, wenn die Strategie 1 als Sicherheitsstrategie bei der Registrierung der Terminals 50 und 60 durch den Schnellregistrierungsmodus gewählt wird, wird das WEP 128 als gegenwärtiges kryptographisches System angenommen. Daher wird infolge der Überprüfung des kryptographischen Systems in Schritt S490 das kryptographische System TKIP angenommen und die Sicherheitsstufe wird in dem obengenannten Beispiel erhöht. Somit kann gemäß der Konstruktion von 8 ein Fall eintreten, dass die Sicherheitsstufe des angenommenen kryptographischen Systems automatisch erhöht wird.
Wenn daher das kryptographische System in Schritt S466, S488 gewählt wird, ist es nicht unbedingt unerlässlich, die Richtlinie zur "Wahl des kryptographischen Systems der höchsten Sicherheitsstufe aus den kryptographischen Systemen, an die sich der Access-Point 20 anpassen kann, und an die sich die Terminals, die auf der Basis der aktualisierten Terminalanschlussliste spezifiziert sind, selbst anpassen können" zu verwenden. Wenn zum Beispiel, die Kommunikationsgeschwindigkeit übermäßig in einem Versuch, eine Einstellung einer hohen Sicherheitsstufe vorzunehmen, verringert wird, ist es ratsam, eine obere Grenze für die Sicherheitsstufen der wählbaren kryptographischen Systeme in Schritt S466, S488 einzustellen, um eine übermäßige Senkung der Kommunikationsgeschwindigkeit zu vermeiden.
Wenn in einer Situation, in der sich ein Terminal vom Netz zurückzieht oder ersetzt wird, das angenommene kryptographische System und der kryptographische Schlüssel umgeschaltet werden, können die anderen Terminals, um die Verbindungen mit dem Netz aufrechtzuerhalten, einem solchen Umschalten leicht folgen. Das heißt, wie in 5 erklärt ist, obwohl der Access-Point 20 das kryptographische System und demnach die Stations-ID umschaltet, erfasst ein Terminal, um den Anschluss an das Netz aufrechtzuerhalten, die umgeschaltete Stations-ID im Verbindungsüberwachungsmodus. Und das Terminal erfasst, dass das kryptographische System TKIP in dem obengenannten Beispiel neu angenommen wurde und der kryptographische Schlüssel "DATA3" ist. Unter Verwendung dieser Informationen kann das Terminal die Verbindung mit dem Access-Point 20 danach aufrechterhalten.
Wenn Raum zur Erhöhung der Sicherheitsstufe ist, kann die Verarbeitung, wie in 9 dargestellt, durchgeführt werden.
Zunächst sendet der Access-Point 20 in Schritt S500 ein Bestätigungspaket zur Bestätigung der annehmbaren kryptographischen Systeme zu allen Terminals, zu denen bereits der kryptographische Schlüssel geleitet wurde.
Als Reaktion darauf, antworten die Terminals in Schritt S380 jeweils mit einem Antwortpaket, das die annehmbaren kryptographischen Systeme zu dem Moment anzeigt. In diesem Fall können die kryptographischen Systeme als Antwort gesendet werden, oder die Sicherheitsstufen, die den kryptographischen Systemen jeweils zugeordnet sind, können als Antwort gesendet werden.
Der Access-Point 20 stellt in Schritt S502 das kryptographische System der höchsten Sicherheitsstufe, das allen Terminals gemein ist, die dieses Mal geantwortet haben, dem kryptographischen System gegenüber, das der Access-Point 20 gegenwärtig annimmt, und beurteilt, ob die Sicherheitsstufen unnötig gesenkt sind. Wenn ein Spielraum zur Erhöhung der Sicherheitsstufen vorhanden ist, schaltet der Access-Point 20 die kryptographischen Systeme in Schritt S504 zu jenen um, deren Sicherheitsstufen erhöht sind, und schaltet die eingestellten Informationen in Schritt S506 um. Obwohl der Access-Point 20 die Terminals nicht unbedingt in diesem Fall über die Umschaltung informiert, kann jedes der Terminals das gegenwärtige kryptographische System und den kryptographischen Schlüssen auf der Basis der Umschaltung der Stations-ID des Access-Points 20 im Verbindungsüberwachungsmodus zu geeigneten umschalten.
3. Modifizierte Beispiele
Die Erfindung wurde auf der Basis der obengenannten einen Ausführungsform, die sich auf die Erfindung bezieht, beschrieben. Es ist jedoch natürlich, dass die Erfindung in verschiedenen Ausführungsformen, die sich von der obengenannten Ausführungsform unterscheiden, ausgeführt werden kann.
Als ein Beispiel verwendet die obengenannte Ausführungsform das WEP als Technik, die den Inhalt der Daten verschlüsselt, die zwischen den Terminals und dem Access-Point ausgetauscht werden. Es können jedoch stattdessen die anderen Verschlüsselungstechniken verwendet werden. Zum Beispiel kann das Public Key Cryptosystem (der Schlüssel zum Verschlüsseln von Daten und der Schlüssel zum Entschlüsseln von Daten sind unterschiedlich) anstelle des WEP verwendet werden. Es ist auch denkbar, das WPA (Wi-Fi Protected Access) zu verwenden, das ein äußerst flexibles Kryptosystem ist.
Die obengenannte Ausführungsform führt die Einstellung durch Senden und Empfangen der Funkwellen zwischen dem drahtlosen LAN-Adapter 52, der an dem Terminal 50 montiert ist, und dem Sender 25 und Empfänger 26 des Access-Points 20 durch. Die Einstellung kann jedoch durch andere drahtlose Kommunikationstechniken vorgenommen werden, die keine Funkwellen verwenden. Zum Beispiel können stattdessen Infrarotstrahlen, Laserstrahlen, Audiosignale, Ultraschallstrahlen und extrem schwache Funkwellen und so weiter verwendet werden. Die drahtlose Kommunikation zwischen dem Terminal 50 und dem Access-Point 20 kann auch unter Verwendung von Bluetooth (drahtloses Kommunikationssystem geringer Reichweite) erreicht werden.
Die Konstruktion der obengenannten Ausführungsform kann gemeinsam mit der Datenübertragung durch die obengenannten anderen drahtlosen Kommunikationstechniken verwendet werden. Als Beispiel wird in der Folge eine Konstruktion beschrieben, die die Datenübertragung durch Infrarotstrahlen verwendet. Die Unterschiede zu den Konstruktionen der obengenannten Ausführungsform sind wie folgt: der Access-Point 20 enthält eine Infrarot-Empfangsschnittstelle, die wechselseitig durch die CPU 11 und den Bus angeschlossen ist, und einen Infrarotempfänger, der an die Infrarot-Empfangsschnittstelle angeschlossen ist; und das Terminal 50 enthält eine Infrarot-Sendeschnittstelle, die wechselseitig durch die CPU und den Bus angeschlossen ist, und einen Infrarotsender, der an die Infrarot-Sendeschnittstelle angeschlossen ist.
Der Infrarotempfänger des Access-Points 20 enthält eine Fotodiode mit einer bestimmten Empfindlichkeit im Infrarotbereich. Der Infrarotsender des Terminals 50 enthält eine LED, die Licht aussendet, dessen Wellenlänge im Infrarotbereich liegt. Die Infrarotsendeschnittstelle des Terminals 50 wandelt ein Anweisungssignal von der CPU in eine Trägerwelle um, auf die dieses Anweisungssignal überlagert ist. Der Infrarotsender sendet die umgewandelte Trägerwelle. Der Infrarotempfänger des Access-Points 20 empfängt die derart gesendete, umgewandelte Trägerwelle von dem Terminal 50, wenn sich das Terminal 50 in einem Sicherheitsempfangsbereich befindet (dem Bereich, in dem der Infrarotempfänger die Trägerwelle empfangen kann). Die Infrarot-Empfangsschnittselle, die die derart empfangene Trägerwelle annimmt, wandelt die Trägerwelle in ein Befehlssignal um, wobei die Trägerwelle binär kodiert ist, und sendet das Befehlssignal nach der Umwandlung zu der CPU 11.
Die Infrarot-Sendeschnittstelle und der Infrarotsender können im Voraus in das Terminal 50 eingebaut werden, und der Infrarotsender kann an das Audio-Ausgangsterminal des Terminals 50 angeschlossen sein.
Die Konstruktion, die die Datenübertragung durch die Infrarotstrahlen gemeinsam mit der Datenkommunikation unter Verwendung der Funkwellen verwendet, wurde als Beispiel beschrieben. Die Datenübertragung durch die drahtlose Kommunikation, die nicht Infrarotstrahlen, sondern Laserstrahlen, Audiosignale, Ultraschallstrahlen und extrem schwache Funkwellen und so weiter verwendet, kann jedoch gemeinsam mit der Datenkommunikation unter Verwendung der Funkwellen verwendet werden. Wenn die Datenübertragung durch sichtbares Licht verwendet wird, kann die Flüssigkristallvorrichtung eines Personal-Computers oder eines mobilen Informationsterminals oder dergleichen als lichtemittierende Vorrichtung verwendet wird. Dies ermöglicht die Übertragung eines Lichtsignals, auf das MAC-Adresseninformationen überlagert sind, von der Flüssigkristallvorrichtung des Terminals zu dem Access-Point 20.
Die obengenannte Ausführungsform begrenzt den drahtlosen Kommunikationsbereich während der Einstellung. Die Begrenzung des drahtlosen Kommunikationsbereichs kann jedoch nicht nur bei der obengenannten Einstellung angewendet werden, sondern auch bei der Einstellung anderer Informationen, die zwischen dem Access-Point 20 und dem Terminal 50 ausgetauscht werden. Zum Beispiel tritt an einem freien Punkt, der zahlungspflichtigen Inhalt nur an eine bestimmte Person liefert, der Fall ein, dass die Informationen (der Name des Terminalbesitzers, ID, Passwort, usw.) zur Berechtigungsprüfung, dass der Besitzer des Terminals, der einen Zugriff vorgenommen hat, die spezifische Person ist, bei dem Access-Point 20 und dem Terminal 50 im Voraus registriert werden. Die Registrierung solcher Berechtigungsinformationen über die spezifische Person kann durch die drahtlose Kommunikation erfolgen, während der drahtlose Kommunikationsbereich beschränkt ist, der den Access-Point 20 und das Terminal 50 enthält. Dies spart eine manuelle Einstellung von Informationen zur Berechtigungsprüfung einer Person, wie ID und Passwort und so weiter.
4. Schlussfolgerung
In der soweit beschriebenen Ausführungsform erfasst der Access-Point 20 die Terminals, die durch den Access-Point 20 an das drahtlose LAN angeschlossen sind, wiederholt in vorbestimmten Intervallen und überprüft das kryptographische System, das angenommen wird, wenn die Anzahl der Terminals, die an dem drahtlosen LAN teilnehmen, abnimmt, oder wenn Terminals ersetzt wurden. Durch solche Überprüfungen nimmt der Access-Point 20 das kryptographische System entsprechend der Richtlinie an, die das kryptographische System der höchsten Sicherheitsstufe aus den kryptographischen Systemen wählt, an die sich die Vorrichtungen, die das Netz bilden, gemeinsam anpassen können. Dadurch verhindert die Konstruktion dieser Ausführungsform, dass eine unnötig niedere Sicherheitsstufeneinstellung grundlos aufrechterhalten wird, nachdem sich ein Terminal von dem Netz zurückgezogen hat und nachdem einige Terminals ersetzt wurden. Da die Sicherheitseinstellung auf der Basis der obengenannten Sicherheitsstrategie vorgenommen wird, wenn die Anzahl der Terminals zunimmt, und die Überprüfung der Sicherheitseinstellung auf der Basis der obengenannten Richtlinie vorgenommen wird, wenn die Anzahl der Terminals abnimmt oder einige Terminals ersetzt werden, kann die Ausführungsform jederzeit konstant eine optimale Sicherheitsumgebung bereitstellen, unabhängig von Änderungen in den Konstruktionen der Terminals, die das Netz bilden.

Claims

System zur Verarbeitung von kryptographischen Schlüsseln, das zum Verarbeiten eines kryptographischen Systems und eines kryptographischen Schlüssels imstande ist, das/der zum Verschlüsseln drahtloser Kommunikationsdaten vor der Kommunikation verwendet wird, die drahtlos zwischen einem drahtlosen LAN-Access-Point (20) und einem Terminal (50) mit einer drahtlosen LAN-Schnittstellenvorrichtung (52) ausgetauscht werden, wobei: das Terminal (50) umfasst: ein Übertragungsmittel für ein kryptographisches System an der Seite des Terminals (50), das dazu ausgebildet ist, zu dem Access-Point (20) drahtlos kryptographische Systeme zu übertragen, an die sich das Terminal (50) selbst anpassen kann, und ein Wählmittel für ein kryptographisches System an der Seite des Terminals (50), das dazu ausgebildet ist, ein kryptographisches Systems zu erfassen, das von dem Access-Point (20) angenommen wird, und das erfasste kryptographisch System zu wählen, dadurch gekennzeichnet, dass der Access-Point (20) umfasst: ein Detektionsmittel für ein angeschlossenes Terminal (50), das dazu ausgebildet ist, Terminals (50, 60, 70) zu spezifizieren, die an einem drahtlosen LAN (AR1) teilnehmen, und zu erfassen, ob es Unterschiede in den Terminals (50, 60, 70) gibt, die an diesem teilnehmen, und ein Wählmittel für ein kryptographisches System an der Seite des Access-Points (20), das dazu ausgebildet ist, wenn das Detektionsmittel für ein angeschlossenes Terminal erfasst, dass es Unterschiede in den Terminals (50, 60, 70) gibt, die an dem drahtlosen LAN (AR1) teilnehmen, ein spezifiziertes kryptographisches System entsprechend einem vorbestimmten Kriterium aus den kryptographischen Systemen zu wählen, an die sich der Access-Point (20) selbst anpassen kann und an das sich die Terminals (50, 60, 70), die an dem drahtlosen LAN (ARM) teilnehmen, allgemein selbst anpassen können.
System zur Verarbeitung von kryptographischen Schlüsseln nach Anspruch 1, wobei, wenn das Detektionsmittel für ein angeschlossenes Terminal erfasst, dass es Unterschiede in den Terminals (50, 60, 70) gibt, die an dem drahtlosen LAN (AR1) teilnehmen, und wenn die Terminals (50, 60, 70), die an dem drahtlosen LAN (AR1) teilnehmen, sich allgemein selbst an ein kryptographisches System mit höherer Sicherheitsstufe im Vergleich zu dem bisher angenommenen kryptographischen System anpassen können, das Wählmittel für ein kryptographisches System an der Seite des Access-Points (20), dazu ausgebildet ist, das kryptographische System mit höherer Sicherheitsstufe zu wählen.
System zur Verarbeitung von kryptographischen Schlüsseln nach Anspruch 1 oder Anspruch 2, wobei das Detektionsmittel für ein angeschlossenes Terminal dazu ausgebildet ist, die Terminals (50, 60, 70), die an dem drahtlosen LAN (AR1) teilnehmen, wiederholt zu jedem vorbestimmten Zeitpunkt auf der Basis von Identifikationsinformationen, die den Terminals (50, 60, 70) eigen sind, zu spezifizieren, um die spezifizierten Identifikationsinformationen, die den Terminals (50, 60, 70) eigen sind, jeweils mit den Identifikationsinformationen, die den Terminals (50, 60, 70) eigen sind, die durch einen vorangehenden Spezifizierungsvorgang der Terminals (50, 60, 70) erfasst wurden, zu vergleichen, und dadurch zu erfassen, dass die Anzahl der Terminals (50, 60, 70), die an dem drahtlosen LAN (AR1) teilnehmen, abnimmt.
System zur Verarbeitung von kryptographischen Schlüsseln nach einem der Ansprüche 1 bis 3, wobei das Detektionsmittel für ein angeschlossenes Terminal dazu ausgebildet ist, die Terminals (50, 60, 70), die an dem drahtlosen LAN (AR1) teilnehmen, wiederholt zu jedem vorbestimmten Zeitpunkt auf der Basis von Identifikationsinformationen, die den Terminals (50, 60, 70) eigen sind, zu spezifizieren, um die spezifizierten Identifikationsinformationen, die den Terminals (50, 60, 70) eigen sind, jeweils mit den Identifikationsinformationen, die den Terminals (50, 60, 70) eigen sind, die durch einen vorangehenden Spezifizierungsvorgang der Terminals (50, 60, 70) erfasst wurden, zu vergleichen, und dadurch zu erfassen, dass Terminals (50, 60, 70), die an dem drahtlosen LAN (AR1) teilnehmen, ersetzt wurden.
System zur Verarbeitung von kryptographischen Schlüsseln nach einem der Ansprüche 1 bis 4, wobei: der Access-Point (20) ein Übertragungsmittel für einen kryptographischen Schlüssel an der Seite des Access-Points (20) umfasst, das dazu ausgebildet ist, zu einem Terminal (50) drahtlos kryptographische Systeme zu übertragen, die durch die kryptographischen Systeme eingeengt sind, die von dem Übertragungsmittel für ein kryptographisches System an der Seite des Terminals (50) übertragen werden, sowie kryptographische Schlüssel, die in jedem der eingeengten kryptographischen Systeme verwendet werden, von den kryptographischen Systemen, an die sich der Access-Point (2) selbst anpassen kann; und das Terminal (50) ein Speichermittel für einen kryptographischen Schlüssel an der Seite des Terminals (50) umfasst, das dazu ausgebildet ist, jeden der kryptographischen Schlüssel entsprechend jedem der kryptographischen Systeme, die vom Access-Point (20) übertragen werden, in einem vorbestimmten Speicherbereich zu speichern.
System zur Verarbeitung von kryptographischen Schlüsseln nach Anspruch 5, wobei das Übertragungsmittel für einen kryptographischen Schlüssel an der Seite des Access-Points (20) dazu ausgebildet ist, eine Verarbeitung auszuführen, die die eingeengten kryptographischen Systeme und die kryptographischen Schlüssel, die in jedem der eingeengten kryptographischen Systeme verwendet werden, zu dem Terminal (50) nur einmal zu übertragen, wenn die kryptographischen Systeme von dem betroffenen Übertragungsmittel für ein kryptographisches System an der Seite des Terminals (50) übertragen werden.
System zur Verarbeitung von kryptographischen Schlüsseln nach Anspruch 5 oder Anspruch 6, wobei, wenn ein angenommenes kryptographisches System in Verbindung mit den Änderungen in den Terminals (50, 60, 70) die an dem drahtlosen LAN (AR1) teilnehmen, umgeschaltet wird, das Wählmittel für ein kryptographisches System an der Seite des Access-Points (20) dazu ausgebildet ist, eine Stations-ID in Übereinstimmung mit dem Umschalten der angenommenen kryptographischen Systeme zu ändern.
System zur Verarbeitung von kryptographischen Schlüsseln nach einem der Ansprüche 5 bis 7, wobei: das Übertragungsmittel für den kryptographischen Schlüssel an der Seite des Access-Points (20) dazu ausgebildet ist, verschiedene Stations-IDs bei jedem der kryptographischen Systeme zu spezifizieren, an die sich der Access-Point (20) selbst anpassen kann, und zu den Terminals (50, 60, 70) drahtlos die spezifizierten Stations-IDs gemeinsam mit den kryptographischen Schlüsseln in Übereinstimmung mit jedem der eingeengten kryptographischen Systeme zu übertragen, und das Wählmittel für ein kryptographisches System an der Seite des Terminals (50) dazu ausgebildet ist, die Stations-IDs von anschließbaren Access-Points (20) zu erfassen, und wenn die erfassten Stations-IDs eine Stations-ID aufweisen, die mit den Stations-IDs übereinstimmt, die im Voraus von dem Speichermittel für einen kryptographischen Schlüssel an der Seite des Terminals (50) gespeichert wurden, dazu ausgebildet ist, das kryptographische System und den kryptographischen Schlüssel entsprechend der Stations-ID anzunehmen.
System zur Verarbeitung von kryptographischen Schlüsseln nach Anspruch 8, wobei, wenn es unmöglich wird, die drahtlose Kommunikation mit dem Access-Point (20) auf der Basis der spezifizierten Stations-ID aufrechtzuerhalten, das Wählmittel für ein kryptographisches System an der Seite des Terminals (50) dazu ausgebildet ist, erneut die Stations-IDs von den anschließbaren Access-Points (20) zu erfassen, und wenn die erneut erfassten Stations-IDs eine Stations-ID aufweisen, die mit den Stations-IDs übereinstimmt, die im Voraus gespeichert wurden, das kryptographische System und den kryptographischen Schlüssel entsprechend der Stations-ID anzunehmen.
Access-Point (20) in einem drahtlosen LAN, der dazu ausgebildet ist, sich selbst an eine Mehrzahl von kryptographischen Systemen in der drahtlosen LAN-Kommunikation anzupassen, und dazu ausgebildet ist, ein kryptographisches System und einen kryptographischen Schlüssel zu verarbeiten, das/der in der Verschlüsselung von Kommunikationsdaten vor der Ausführung drahtloser Kommunikationen mit einem Terminal (50) verwendet wird, das mit einer drahtlosen LAN-Schnittstellenvorrichtung (52) bereitgestellt ist, gekennzeichnet durch ein Detektionsmittel für ein angeschlossenes Terminal (50), das dazu ausgebildet ist, Terminals (50, 60, 70) zu spezifizieren, die an einem drahtlosen LAN (AR1) teilnehmen, und zu erfassen, ob es Unterschiede in den Terminals (50, 60, 70) gibt, die an diesem teilnehmen, und ein Wählmittel für ein kryptographisches System an der Seite des Access-Points (20), das dazu ausgebildet ist, wenn das Detektionsmittel für ein angeschlossenes Terminal erfasst, dass es Unterschiede in den Terminals (50, 60, 70) gibt, die an dem drahtlosen LAN (AR1) teilnehmen, ein spezifiziertes kryptographisches System entsprechend einem vorbestimmten Kriterium auf der Basis von Daten, die sich auf die kryptographischen Systeme beziehen, die im Voraus drahtlos von einer Mehrzahl von Terminals (50, 60, 70) übertragen wurden, aus den kryptographischen Systemen zu wählen, an die sich der Access-Point (20) selbst anpassen kann und an das sich die Terminals (50, 60, 70), die an dem drahtlosen LAN (AR1) teilnehmen, allgemein selbst anpassen können.
Verfahren zur Verarbeitung von kryptographischen Schlüsseln, das ein kryptographisches System und einen kryptographischen Schlüssel verarbeitet, das/der zum Verschlüsseln drahtloser Kommunikationsdaten vor der Kommunikation verwendet wird, die drahtlos zwischen einem drahtlosen LAN-Access-Point (20) und einem Terminal (50) mit einer drahtlosen LAN-Schnittstellenvorrichtung (52) ausgetauscht werden, wobei: das Terminal (50) zu dem Access-Point (20) drahtlos kryptographische Systeme überträgt, an die sich das Terminal (50) selbst anpassen kann, dadurch gekennzeichnet, dass der Access-Point (20) Terminals (50, 60, 70) spezifiziert, die an einem drahtlosen LAN (AR1) durch den Access-Point (20) teilnehmen, und erfasst, ob es Unterschiede in den Terminals (50, 60, 70) gibt, die an diesem teilnehmen, und wenn erfasst wird, dass es Unterschiede in den Terminals (50, 60, 70) gibt, die an dem drahtlosen LAN (AR1) teilnehmen, dazu ausgebildet ist, ein spezifiziertes kryptographisches System entsprechend einem vorbestimmten Kriterium aus den kryptographischen Systemen zu wählen, an die sich der Access-Point (20) selbst anpassen kann und an das sich die Terminals (50, 60, 70), die an dem drahtlosen LAN (AR1) teilnehmen, allgemein selbst anpassen können und das Terminal (50) das kryptographische System erfasst, das von dem Access-Point (20) angenommen wurde, und das erfasste kryptographische System wählt.