JP2003023432A - 無線ｌａｎに適したネットワークアクセス制御方法、そのシステム及びそのプログラム - Google Patents

Abstract

(57)【要約】 【目的】 無線ＬＡＮにおいて、偽造されたＭＡＣアド
レスやＩＰアドレスの使用を防止でき、これによってネ
ットワークシステムの不正利用を防止できるネットワー
クアクセス制御システムを提供しようとするものであ
る。 【構成】 基幹ネットワークへの中継制御を行なうゲー
トコンピュータに設けられた、共通鍵生成手段、共通鍵
対応付手段、共通鍵送付手段、暗号化交信手段、交信監
視手段、認証手段、及び、基幹ネットワーク接続手段で
構成される。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、無線ＬＡＮに適
したネットワークアクセス制御方法、そのシステム及び
そのプログラムに関する。

【０００２】

【従来の技術】一般企業や大学、研究機関等において、
社員や学生、教職員、研究者等に各種情報を提供した
り、コンピュータによる処理サービスを提供したりする
ために、コンピュータネットワークが設置されている。
これらのコンピュータネットワークは、最近では、イン
ターネットを介して外部のネットワークに接続すること
により、大学や研究機関内部における情報提供に限ら
ず、より多くの情報やサービスの提供を可能としてい
る。そのため、これらのコンピュータネットワークへの
アクセス手段としては、一般に、通信用としてインター
ネットに用いられている、汎用性の高いＴＣＰ／ＩＰ
（Transmission Control Protocol ／Internet Proto
col）が用いられ、アプリケーション用としては、ＨＴ
ＴＰやＳＭＴＰ、ＰＯＰ、ＦＴＰ、ＴＥＬＮＥＴ等が用
いられている。また、社員や学生、教職員、研究者等
の、ネットワーク利用者が使用する端末との接続には、
ＬＡＮ（LocalAria Network）が用いられている。

【０００３】このＴＣＰ／ＩＰを用いたコンピュータネ
ットワーク（以下ＩＰネットワークと称する）では、ネ
ットワークの設置当初は、ネットワークに接続される端
末としては、デスクトップタイプのパソコンが主流で、
ＩＰネットワークとの接続は固定接続であった。しかし
ながら、パソコンの価格が低下するとともに、ノートパ
ソコン等の小型で軽量な携帯用パソコンが多く出現して
いる今日では、パソコンを所有する社員や学生、教職
員、研究者等のネットワークの利用者が飛躍的に増大し
ている。また、自分の所有するパソコンを持ち歩き、常
に自分用の環境で仕事をしたいと考えるネットワーク利
用者が多くなっている。そこで、パソコンを使用する全
てのネットワーク利用者が、パソコンを常時ＩＰネット
ワークに接続して使用することは、必ずしも必要でない
ことから、ＩＰネットワークに接続が必要な利用者の
み、必要な場所で接続の上使用する方式が採用されてい
る。

【０００４】この方式は、情報コンセントと呼ばれる、
ＩＰネットワークへ接続するための接続用ジャックを、
一般企業や大学、研究機関等の必要か所に設置し、必要
な場所で必要に応じて、随時パソコンを情報コンセント
に接続することにより、ＩＰネットワークを利用する方
式である。この方式においては、情報コンセントに接続
しさえすれば、誰でもＩＰネットワークを利用すること
ができるのが、現在の主流である。しかし、最近になっ
て、予め利用資格者をそのＩＤとパスワードと共に当該
システムに登録しておき、利用に際しては、このＩＤと
パスワードにより、利用者が登録された利用資格者であ
ることを確認した上で、利用を認める方法が提案され、
一部で採用され始めている。この方式では、ＩＤとパス
ワードを用いた認証手続きにより、ネットワーク利用者
が利用資格者であることを確認することから、利用無資
格者が利用することを防止できる。

【０００５】ところで、端末との接続にＬＡＮを用いた
ＩＰネットワークシステムでは、パッケット単位で送受
信を行なうパッケット通信方式が採用されており、この
パケットには送信元や送信先を示す識別情報が付加さ
れ、これらの識別情報として、ＬＡＮにはＭＡＣアドレ
ス（Media Access Control Address）、ＩＰネットワー
クにはＩＰアドレスが用いられている。そこで、上記の
ＩＤとパスワードを用いた認証手続きを用いる方法で
は、ＩＰネットワークシステムは、ネットワーク利用者
のＩＤとパスワードが登録されたものであることを確認
すると、その利用者が使用しているパソコン等の利用者
コンピュータの送信元ＭＡＣアドレスとＩＰアドレス、
即ち、利用者コンピュータを識別するＭＡＣアドレスと
ＩＰアドレスを記憶する。そして、その利用者コンピュ
ータによる交信が終了するまで、その送信に用いられて
いるこれらのアドレスをチェックして、これらが当該Ｉ
Ｐネットワークシステムに記憶されたアドレスと同じ場
合のみ送信を許容するとともに、交信終了によりこれら
のアドレスの記憶を消去している。

【０００６】そうすると、パケットに付加されているＭ
ＡＣアドレスとＩＰアドレスが、当該システムに記憶さ
れたアドレスと同じであれば、それが認証手続きを経た
利用者コンピュータから発信されたものであるか否かに
かかわりなく、そのパケットは送信を許可されてしま
う。また、ＩＰネットワークは、オープンなネットワー
クであることから、送信情報を暗号化する等のセキュリ
ティ対策が施されていない限り、送信情報を盗聴される
危険が常に存在する。そのため、認証手続きを経た利用
者が交信中に、第３者が、自らのコンピュータの識別用
ＭＡＣアドレスとＩＰアドレスを、認証手続きを経た利
用者コンピュータの識別用ＭＡＣアドレスとＩＰアドレ
スに変更する偽造を行なって、認証手続きを経た利用者
本人に成りすますことにより、当該ＩＰネットワークシ
ステムを不正利用される恐れがある。あるいは、これと
は逆に、認証手続きを経た利用者本人が、交信の途中
で、利用者本人のコンピュータの識別用ＭＡＣアドレス
とＩＰアドレスを、既に認証手続きを経て当該システム
に記憶されている第３者のコンピュータの識別用ＭＡＣ
アドレスとＩＰアドレスに変更する偽造を行なって、他
人に成りすますことにより、当該ＩＰネットワークシス
テムを不正利用される恐れがある。

【０００７】そこで、これらの不正利用を防止するため
に、当該ネットワークシステムに接続する可能性のある
全ての利用者コンピュータの識別用ＭＡＣアドレスを、
当該システムに予め登録しておき、登録された識別用Ｍ
ＡＣアドレスを具備するパケットのみ送信を許可するす
る方法が採用されている。しかし、この方法では、利用
者が多数いる場合は、登録や管理に手間がかかる上、利
用者コンピュータの識別用ＭＡＣアドレスやＩＰアドレ
スが偽造されても全く検知できないという欠点がある。
そこで、これらの欠点を解消するため、「利用者ごとの
アクセス制御を実現する情報コンセント不正利用防止方
式」（平成１３年１月発行の、情報処理学会論文誌、第
４２巻、第１号、７９ページ以降に記載）が考案されて
いる。この方式は、有線ＬＡＮにおいて、利用者コンピ
ュータの識別用ＭＡＣアドレスとＩＰアドレスのほか、
利用者コンピュータが接続されるＩＥＥＥ８０２．１Ｑ
規格に準拠したスイッチングハブのポートのポート識別
子を、拡張されたＭＡＣヘッダーに付加することによ
り、利用者コンピュータが送信するパケットに具備され
た、利用者コンピュータの識別用ＭＡＣアドレスとＩＰ
アドレスおよびこのポート識別子の３者の組み合わせ
を、利用者コンピュータの送信の都度チェックするもの
である。この方法では、偽造されたＭＡＣアドレスとＩ
Ｐアドレスは、本来のＭＡＣアドレスとＩＰアドレスが
組になっているポート識別子とは異なるポート識別子と
組になっているため、偽造されたものであることを検知
することができる。

【０００８】

【発明が解決しようとする課題】ところが、最近、上述
した情報コンセントの機能を、無線ＬＡＮで実現しよう
とする試みが進んでいるが、上記の方法は、利用者コン
ピュータがケーブルによりスイッチングハブのポートに
接続されることを利用しており、有線ＬＡＮにおいての
み、有効に機能する方法であって、無線ＬＡＮでは、利
用できない方法である。というのは、無線ＬＡＮにおい
ては、利用者コンピュータからの送信が無線で行われる
ため、利用者コンピュータが接続されるスイッチングハ
ブの接続ポートなるものが存在しないからである。その
ため、無線ＬＡＮにおいても、偽造されたＭＡＣアドレ
スやＩＰアドレスの使用を防止でき、これによってネッ
トワークシステムの不正利用を防止できるネットワーク
アクセス制御方法が望まれていた。この点に関し、無線
ＬＡＮにおいても、有線ＬＡＮと同様に、ネットワーク
システムに接続する可能性のある全ての利用者コンピュ
ータの識別用ＭＡＣアドレスを、システムに予め登録し
ておき、登録された識別用ＭＡＣアドレスを具備するパ
ケットのみ送信を許可するする方法を用いることもでき
る。しかし、上述したように、利用者が多数いる場合
は、登録や管理に手間がかかる上、利用者コンピュータ
の識別用ＭＡＣアドレスやＩＰアドレスが偽造されても
全く検知できず、上記の要望の解決策とはなりえない。
また、無線ＬＡＮに関して規定しているＩＥＥＥ８０
２．１１規格には、ＥＳＳ−ＩＤ（ Extended Servic
e Set Identification）が規定されているが、この
ＥＳＳ−ＩＤは暗号化されないため、盗聴が避けられな
い。また、ＩＥＥＥ８０２．１１規格には、無線ＬＡＮ
における暗号化方式であるＷＥＰ（Wired Equivalent P
rivacy）が規定されているが、このＷＥＰでは、後ほど
述べるように、盗聴を完全には防止することができず、
また偽造されたＭＡＣアドレスやＩＰアドレスの使用に
よる不正利用を完全に防止することはできない。そこで
この発明は、このような問題に対処するためになされた
ものであって、無線ＬＡＮにおいても、偽造されたＭＡ
ＣアドレスやＩＰアドレスの使用を防止でき、これによ
ってネットワークシステムの不正利用を防止できるネッ
トワークアクセス制御方法を提供しようとするものであ
る。

【０００９】

【課題を解決するための手段】ところで、インターネッ
ト等のオープンなネットワークにおいては、上述したよ
うに、ネットワークを流れる情報が盗聴される危険があ
ることから、ネットワークを流れる情報を暗号化する方
式が提案されている。この暗号化の方式としては、共通
鍵を用いる共通鍵暗号化方式と、秘密鍵とこれに対応し
た公開鍵とを組み合わせた公開鍵暗号化方式とがある。
共通鍵暗号化方式は、送信者と受信者は共に同じ共通鍵
を保持し、送信者が共通鍵を用いて暗号化した情報を、
受信者が共通鍵を用いて復号化する方式である。これに
対して、公開鍵暗号化方式は、送信者が、受信者の保有
する秘密鍵に対応した公開鍵を用いて暗号化した情報
を、受信者が秘密鍵を用いて復号化する方式である。

【００１０】この内、共通鍵暗号化方式では、共通鍵を
送信者が受信者に配布する必要があると共に、受信者以
外に対しては秘密にしておく必要があり、管理上問題が
多い。これに対して、公開鍵暗号化方式では、送信者
は、公開されており、他人に知られてもよい公開鍵を用
いて暗号化すればよく、受信者のみが、秘密鍵を他人に
漏れないようにするだけでよいので、管理が容易であ
る。しかし、この公開鍵暗号化方式は、共通鍵方式に比
べて暗号化や復号化に要する時間が長くなるという欠点
がある。そのため、この２種類の暗号化方式を組み合わ
せたハイブリッド暗号化方式が提案されている。この方
式は、公開鍵暗号化方式を用いて共通鍵を配布し、配布
の後は、共通鍵を用いて送受信を行なう方式であるの
で、共通鍵暗号化方式と公開鍵暗号化方式の双方の利点
を備えている。前述のＩＥＥＥ８０２．１１規格に規定
されているＷＥＰは、共通鍵暗号化方式を用いており、
事前に利用者へ共通鍵を配布しておく必要があるのみな
らず、全ての利用者が同じ共通鍵を用いる方式である。
そのため、共通鍵の配布の際に漏洩する恐れがあるほ
か、この共通鍵を知っている利用者間では、その通信内
容が筒抜けになってしまい、ＭＡＣアドレスやＩＰアド
レスが容易に盗聴できることから、偽造されたＭＡＣア
ドレスやＩＰアドレスの使用による不正利用を完全に防
止することはできない。この発明は、上記のハイブリッ
ド暗号化方式を無線ＬＡＮに応用したものであり、上述
のＷＥＰの有する欠点を解消するものである。また、こ
の発明は、無線ＬＡＮに対して特に効果的であるが、無
線ＬＡＮのみならず、有線ＬＡＮにも適用することがで
きる。

【００１１】次に、本発明の第１の無線ＬＡＮに適した
ネットワークアクセス制御方法（以下、第１の方法と称
する）について説明する。本発明の第１の方法は、基幹
ネットワークへの利用者コンピュータのアクセスを中継
制御するゲートコンピュータに、利用者ＩＤおよびパス
ワードが予め登録されている利用者が使用する前記利用
者コンピュータと、前記ゲートコンピュータとが無線接
続されて構成されるローカルネットワークにおいて、前
記ゲートコンピュータは、前記利用者コンピュータとの
交信を開始する毎に、新たな共通鍵を生成するととも
に、この共通鍵と、前記利用者コンピュータの具備する
利用者コンピュータ識別子との対応付けを行ない、前記
利用者の秘密鍵に対応する公開鍵を用いて暗号化した前
記共通鍵を、前記利用者コンピュータへ送付し、この送
付以後、前記利用者コンピュータにより前記共通鍵を用
いて暗号化された前記利用者コンピュータからの送信を
受信するとともに、前記利用者コンピュータへの送信を
前記共通鍵を用いて暗号化することにより、前記利用者
コンピュータとの暗号化された交信を行ない、この暗号
化された交信を監視して、前記共通鍵と対応付けられた
前記利用者コンピュータ識別子が用いられている交信で
ある許容交信のみ許容し、前記許容交信を用いて、前記
利用者コンピュータから送付された利用者ＩＤおよびパ
スワードを受け取ると共に、この利用者ＩＤおよびパス
ワードが前記ゲートコンピュータに登録されているもの
であることを確認すると、前記利用者コンピュータに対
して、前記許容交信を介してなされる前記基幹ネットワ
ークへのアクセスを許可することを特徴とする無線ＬＡ
Ｎに適したネットワークアクセス制御方法である。

【００１２】図１は、上記の第１の方法で用いられるネ
ットワークの構成を示したものである。ここでＬＡＮと
称するのは、ハードウェアで固定されたＭＡＣアドレス
を用いるイーサネット（登録商標）（Ｅｔｈｅｒｎｅｔ
（登録商標））等の、ＩＥＥＥ８０２で規定されている
現行の、いわゆるＬＡＮ（Local Aria Network）（以
下、狭義のＬＡＮと称する）のみならず、今後発展する
形態を含めたもっと広い概念であり、エリアが地域的に
限定されたネットワーク全般（以下、広義のＬＡＮと称
する）を意味する。図１において、このネットワーク
は、基幹ネットワーク１とローカルネットワーク２とで
構成されている。ローカルネットワーク２は複数の利用
者コンピュータ４とゲートコンピュータ３とで構成さ
れ、利用者コンピュータ４はゲートコンピュータ３に接
続されると共に、このゲートコンピュータ３と基幹ネッ
トワーク１とが接続されている。この利用者コンピュー
タ４とゲートコンピュータ３とは、常に接続されている
場合もあれば、利用者コンピュータ４が必要なときのみ
接続される場合もある。また、ゲートコンピュータ３
は、利用者コンピュータ４を基幹ネットワーク１へ接続
するための中継制御用コンピュータで、１台または複数
台のコンピュータで構成され、このゲートコンピュータ
３には、利用者コンピュータ４を使用して基幹ネットワ
ーク１へアクセスする利用者の利用者ＩＤおよびパスワ
ードが予め登録されている。

【００１３】図２は、上記の第１の方法の動作を説明し
たフローチャートである。図中、Ｓ番号はステップ番号
を、ＧＣはゲートコンピュータ３を、そして、ＵＣは利
用者コンピュータ４を表す。図２において、ゲートコン
ピュータ３は、まず、利用者コンピュータ４と交信を開
始する。ここで、交信を開始するとは、利用者コンピュ
ータ４が所定の目的を達成するためにゲートコンピュー
タ３と行なう双方向の一連の通信の開始の要求に応じて
この一連の通信を開始することを言う。ゲートコンピュ
ータ３はこの交信を開始する毎に、共通鍵暗号化方式に
用いる新たな共通鍵を生成するとともに（Ｓ１）、利用
者コンピュータ４が具備するＩＰアドレス等の利用者コ
ンピュータ識別子との対応付けを行なう（Ｓ２）。この
利用者コンピュータ識別子は、利用者コンピュータ４が
送信を行なう際の送信元を示す識別子である。この対応
付けにより、特定の共通鍵が特定の利用者コンピュータ
識別子と対応付けられる。次に、ゲートコンピュータ３
が利用者コンピュータ４の公開鍵を用いて共通鍵を暗号
化して利用者コンピュータ４へ送付する（Ｓ３）。この
暗号化された共通鍵を受信した利用者コンピュータ４
は、自らが保有する秘密鍵で復号化することにより、共
通鍵を入手する。そして、その後のゲートコンピュータ
３と利用者コンピュータ４との交信は、共通鍵を用いて
暗号化される（Ｓ４）。即ち、利用者コンピュータ４か
らゲートコンピュータ３への送信は、利用者コンピュー
タ４が共通鍵を用いて暗号化するとともに、これを受信
したゲートコンピュータ３が共通鍵を用いて復号化し、
逆に、ゲートコンピュータ３から利用者コンピュータ４
への送信は、ゲートコンピュータ３が共通鍵を用いて暗
号化するとともに、これを受信した利用者コンピュータ
４が共通鍵を用いて復号化する。このようにして暗号化
されたゲートコンピュータ３と利用者コンピュータ４と
の交信を、ゲートコンピュータ３が監視し、この交信
が、この交信に用いられている共通鍵に対応付けられた
利用者コンピュータ識別子を用いている交信である許容
交信であるか否かを、チェックする（Ｓ５）。許容交信
でない場合は、ゲートコンピュータ３はこの交信を終了
し、許容交信の場合は、交信が許容される（Ｓ６）。ゲ
ートコンピュータ３が、この許容交信を用いて利用者コ
ンピュータ４を使用している利用者の利用者ＩＤおよび
パスワードを、利用者コンピュータ４から受け取ると
（Ｓ７）、この利用者ＩＤおよびパスワードがゲートコ
ンピュータ３に予め登録されたものであるか否かをチェ
ックし（Ｓ８）、予め登録されたものでなければ交信を
終了する（Ｓ９）。予め登録されたものであれば（Ｓ
９）、利用者コンピュータ４に対して、許容交信を介し
てなされる基幹ネットワーク１へのアクセスを許可する
（Ｓ１０）。

【００１４】上記の第１の方法は、次のような効果を有
する。即ち、ゲートコンピュータ３が利用者コンピュー
タ４と交信を開始する毎に、毎回異なる共通鍵を生成し
て交信に用いるので、前述のＷＥＰのような利用者が同
じ共通鍵を用いることによる、情報の盗聴を防止するこ
とができる。また、ゲートコンピュータ３から利用者コ
ンピュータ４への共通鍵の送信に、公開鍵暗号化方式を
採用しているので、共通鍵の盗聴も防止することができ
る。また、ゲートコンピュータ３と利用者コンピュータ
４との交信の際、この交信の内容を共通鍵で暗号化する
ので、交信の内容の露見を防止することができる。ま
た、交信全てについて、共通鍵とこの共通鍵に対応付け
られた利用者コンピュータ識別子との組み合わせが用い
られているか否かをチェックするので、交信に偽造され
た利用者コンピュータ識別子が使用されていれば、それ
を検知することができ、利用者本人が他人に成りすまし
たり、他人が利用者本人に成りすましたりして行なわれ
る、ネットワークシステムの不正利用を防止することが
できる。また、利用者ＩＤとパスワードにより、利用者
の認証を行なうので、利用資格を有しない利用者を排除
できる。また、利用者本人が他人に成りすましたり、他
人が利用者本人に成りすましたりすることができないこ
とから、認証さえされれば、その交信は有資格者の行な
う交信であることが保証されるので、上記の不正利用防
止のために、利用者全員の利用者コンピュータ識別子
を、予めネットワークシステムに登録しておく等の必要
がなく、この登録やその管理等に要する手間を省くこと
ができる。

【００１５】次に、第２の無線ＬＡＮに適したネットワ
ークアクセス制御方法（以下、第２の方法と称する）と
して、上記の第１の方法において、基幹ネットワークと
してＩＰアドレスを用いたネットワークとし、ローカル
ネットワークがＩＰアドレスおよびＭＡＣアドレスを用
いたネットワークとするとともに、利用者コンピュータ
識別子として、利用者コンピュータの具備するＭＡＣア
ドレス、または、ＩＰアドレスもしくはその双方を用い
た方法を構成することができる。即ち、基幹ネットワー
クとして、インターネットやイントラネット等のＩＰネ
ットワークを用い、ローカルネットワークとして、前述
の狭義のＬＡＮを用いた方法を構成することができる。
インターネットやイントラネット、あるいは、前述の狭
義のＬＡＮは、現在広く使用されており、一般的なネッ
トワークである。

【００１６】この第２の方法は、基幹ネットワークやロ
ーカルネットワーク、利用者コンピュータ識別子といっ
た個々の要素に、現在広く使用されている、より具体的
なものを使用して、無線ＬＡＮに適したネットワークア
クセス制御方法を構成したもので、その動作は、上述し
た第１の方法と同様であり、従って、効果についても同
様である。

【００１７】次に、第３の無線ＬＡＮに適したネットワ
ークアクセス制御方法（以下、第３の方法と称する）と
して、上記の第２の方法において、利用者コンピュータ
識別子として、ＭＡＣアドレス、および、ＩＰアドレス
を用いると共に、ゲートコンピュータが、利用者コンピ
ュータとの交信を開始する毎に、利用者コンピュータに
対して、共通鍵の送付に先立って、利用者コンピュータ
識別子用のＩＰアドレスを付与するようにした方法を、
構成することができる。

【００１８】現在使用されているインターネットやイン
トラネット等のＩＰネットワークは著しく増大してお
り、このためＩＰネットワークにおいては、使用できる
ＩＰアドレスが不足する事態が発生してきている。そこ
で、少ないＩＰアドレスを有効に活用できるよう、利用
者コンピュータがネットワークに接続される都度、ＤＨ
ＣＰ（Dynamic Host Configuration Protocol）サーバ
が、予め割り当てられたＩＰアドレスの中から利用者コ
ンピュータ識別用のＩＰアドレスを、利用者コンピュー
タに付与するシステムが一般に用いられている。第３の
方法は、このＤＨＣＰサーバの機能をゲートコンピュー
タに持たせたものである。

【００１９】従って、第３の方法によれば、少ないＩＰ
アドレスを有効に活用できる。

【００２０】上述の各無線ＬＡＮに適したネットワーク
アクセス制御方法では、ローカルネットワークは、利用
者コンピュータとゲートコンピュータとが無線接続され
て構成されているが、無線接続に代えて、有線接続され
て構成されていてもよい。即ち、第４の無線ＬＡＮに適
したネットワークアクセス制御方法（以下、第４の方法
と称する）として、上記の第１から第３の方法におい
て、ローカルネットワークとして、利用者コンピュータ
とゲートコンピュータとが、無線接続に代えて、有線接
続されている各無線ＬＡＮに適したネットワークアクセ
ス制御方法を構成できる。この第４の方法は、利用者コ
ンピュータとゲートコンピュータとの接続が、無線接続
から有線接続になっただけで、その効果は第１から第３
の方法とまったく同じである。

【００２１】次に、本発明の第１の無線ＬＡＮに適した
ネットワークアクセス制御システム（以下、第１のシス
テムと称する）について説明する。第１のシステムは、
基幹ネットワークへの利用者コンピュータのアクセスを
中継制御するゲートコンピュータに、利用者ＩＤおよび
パスワードが予め登録されている利用者が使用する前記
利用者コンピュータと、前記ゲートコンピュータとが無
線接続されて構成されるローカルネットワークにおい
て、前記ゲートコンピュータに、前記利用者コンピュー
タとの交信を開始する毎に、新たな共通鍵を生成する共
通鍵生成手段と、この共通鍵と前記利用者コンピュータ
の具備する利用者コンピュータ識別子との対応付けを行
なう共通鍵対応付手段と、前記利用者の秘密鍵に対応す
る公開鍵を用いて暗号化した前記共通鍵を、前記利用者
コンピュータへ送付する共通鍵送付手段と、この送付以
後、前記利用者コンピュータにより前記共通鍵を用いて
暗号化された前記利用者コンピュータからの送信を受信
するとともに、前記利用者コンピュータへの送信を前記
共通鍵を用いて暗号化することにより、前記利用者コン
ピュータとの暗号化された交信を行なう暗号化交信手段
と、この暗号化された交信を監視して、前記共通鍵と対
応付けられた前記利用者コンピュータ識別子が用いられ
ている交信である許容交信のみ許容する交信監視手段
と、前記許容交信を用いて、前記利用者コンピュータか
ら送付された利用者ＩＤおよびパスワードを受け取ると
共に、この利用者ＩＤおよびパスワードが前記ゲートコ
ンピュータに登録されているものであることの確認をす
る認証手段と、前記確認が行なわれると、前記利用者コ
ンピュータに対して、前記許容交信を介してなされる前
記基幹ネットワークへのアクセスを許可する基幹ネット
ワーク接続手段と、を設けたことを特徴とする無線ＬＡ
Ｎに適したネットワークアクセス制御システムである。

【００２２】図３は、上記の第１のシステムの構成を示
したものである。ここでＬＡＮと称するのは、前述の広
義のＬＡＮを意味する。図３において、システム全体の
構成は、図１と同様であり、ゲートコンピュータ３に、
共通鍵生成手段１１、共通鍵対応付手段１２、共通鍵送
付手段１３、暗号化交信手段１４、交信監視手段１５、
認証手段１６、および、基幹ネットワーク接続手段１７
が設けられている。

【００２３】次に、上記の第１のシステムの動作につい
て説明する。図３において、共通鍵生成手段１１は、利
用者コンピュータ４との交信を開始する毎に、新たな共
通鍵を生成するとともに、共通鍵対応付手段１２は、こ
の共通鍵と利用者コンピュータ４の具備する利用者コン
ピュータ識別子との対応付けを行なう。そして、共通鍵
送付手段１３が、利用者の秘密鍵に対応する公開鍵を用
いて暗号化した共通鍵を、利用者コンピュータ４へ送付
し、この送付以後、暗号化交信手段１４が、利用者コン
ピュータ４により共通鍵を用いて暗号化された利用者コ
ンピュータ４からの送信を受信するとともに、利用者コ
ンピュータ４への送信を共通鍵を用いて暗号化すること
により、利用者コンピュータ４との暗号化された交信を
行なう。そして、交信監視手段１５が、この暗号化され
た交信を監視して、共通鍵と対応付けられた利用者コン
ピュータ識別子が用いられている交信である許容交信の
み許容する。そこで、この許容交信を用いて、認証手段
１６が、利用者コンピュータ４から送付された利用者Ｉ
Ｄおよびパスワードを受け取ると共に、この利用者ＩＤ
およびパスワードが前記ゲートコンピュータ３に登録さ
れているものであることの確認をする。この認証の結
果、利用者ＩＤおよびパスワードが登録されているもの
であると確認されると、基幹ネットワーク接続手段１７
が、利用者コンピュータに対して、許容交信を介してな
される基幹ネットワーク１へのアクセスを許可する。即
ち、上記の第１のシステムの動作は、前述の第１の方法
の動作と全く同じである。従って、その効果も全く同様
である。

【００２４】また、上述の第２の方法と同様、上記の第
１のシステムの個々の要素に、現在広く使用されてい
る、より具体的なものを使用したシステムを構成するこ
とができる。即ち、第２の無線ＬＡＮに適したネットワ
ークアクセス制御システム（以下、第２のシステムと称
する）として、上記の第１のシステムにおいて、基幹ネ
ットワークとしてＩＰアドレスを用いたネットワークと
し、ローカルネットワークとしてＩＰアドレスおよびＭ
ＡＣアドレスを用いたネットワークとするとともに、利
用者コンピュータ識別子として、利用者コンピュータの
具備するＭＡＣアドレス、または、ＩＰアドレスもしく
はその双方を用いたシステムを構成することができる。
この第２のシステムにおいても、その動作は上述の第２
の方法と同様であり、従って、第２の方法と同様の効果
を有する。

【００２５】また、上述の第３の方法と同様にして、上
記の第２のシステムに、ＤＨＣＰサーバの機能を持たせ
たシステムを構成することができる。即ち、第３の無線
ＬＡＮに適したネットワークアクセス制御システム（以
下、第３のシステムと称する）として、上記の第２のシ
ステムにおいて、利用者コンピュータ識別子として、Ｍ
ＡＣアドレス、および、ＩＰアドレスを用いると共に、
ゲートコンピュータが、利用者コンピュータとの交信を
開始する毎に、利用者コンピュータに対して、共通鍵の
送付に先立って、利用者コンピュータ識別子用のＩＰア
ドレスを付与するようにしたシステムを、構成すること
ができる。この第３のシステムにおいても、第３の方法
と同様の効果を有する。

【００２６】また、上述の第４の方法と同様に、第４の
無線ＬＡＮに適したネットワークアクセス制御システム
（以下、第４のシステムと称する）として、第１から第
３のシステムにおいて、ローカルネットワークとして、
利用者コンピュータとゲートコンピュータとが、無線接
続に代えて、有線接続されているシステムを構成するこ
とができる。この第４のシステムは、利用者コンピュー
タとゲートコンピュータとの接続が、無線接続から有線
接続になっただけで、その効果は第１から第３のシステ
ムとまったく同じである。

【００２７】また、上述した無線ＬＡＮに適したネット
ワークアクセス制御システムが有する機能をゲートコン
ピュータで実現するためのプログラムを、作成すること
ができる。即ち、ゲートコンピュータに、上述した無線
ＬＡＮに適したネットワークアクセス制御システムの有
する各手段の機能を実現させるためのプログラムであ
る。このプログラムは、第１から第４の各システムに対
して、それぞれ作成することができる。

【００２８】これらの第１から第４の各システムに対応
するプログラムによれば、上述した、第１から第４のシ
ステムが有する機能を、ゲートコンピュータで実現する
ことができる。

【００２９】

【発明の実施の形態】次に、本発明の実施例につき、図
面に基づき詳しく説明する。本実施例のシステムは、基
幹ネットワークへのアクセスを要求する利用者パソコン
からの無線ＬＡＮを介したアクセスが、アクセスを許可
された正規の利用者によるものか否かをチェックすると
ともに、その利用者あるいは第３者が送信元を詐称した
アクセスを防止し、さらにアクセスの内容を暗号化して
露見を防止するシステムである。尚、以下の説明におい
ては、ＬＡＮは前述の狭義のＬＡＮとする。図４は、本
実施例の無線ＬＡＮに適したネットワークアクセス制御
システム（以下、本システムと称する）の構成図であ
る。図４において、本システムは、ゲートコンピュータ
（ＧＣ）３０と、無線ＬＡＮカード（ＬＣ）２２が装着
された利用者パソコン（ＵＣ）２１とで構成され、ゲー
トコンピュータ（ＧＣ）３０は、無線ＬＡＮアクセスポ
イント（ＡＰ）３１、交信制御サーバ（ＣＳ）３２、Ｄ
ＨＣＰサーバ（ＤＣ）３３、管理サーバ（ＡＣ）３４、
認証サーバ（ＲＳ）３５、および、基幹ネットワーク
（ＭＮ）４１で構成される。

【００３０】ゲートコンピュータ３０は、それ自身がネ
ットワークであり、ＭＡＣアドレスを用いる有線方式の
前述の狭義のＬＡＮであると共に、ＩＰアドレスを用い
るＩＰネットワークである。そのため、ゲートコンピュ
ータ３０を構成する無線ＬＡＮアクセスポイント３１、
交信制御サーバ３２、ＤＨＣＰサーバ３３、管理サーバ
３４、および認証サーバ３５には、ＩＰアドレス及びＭ
ＡＣアドレスが付与されている。また、利用者パソコン
２１は無線ＬＡＮカード２２の有するＭＡＣアドレスを
用いるが、利用者パソコン２１にはＩＰアドレスは付与
されておらず、ゲートコンピュータ３０と交信の際に、
ＤＨＣＰサーバ３３からＩＰアドレスが割り当てられ
る。また、基幹ネットワーク４１はＩＰネットワークで
ある。そして、ＩＰネットワークでは、ＴＣＰ／ＩＰを
用いたパケット通信が行なわれる。

【００３１】無線ＬＡＮアクセスポイント３１は、無線
ＬＡＮカード２２との組み合わせで、ＩＥＥＥ８０２．
１１規格に規定されている無線ＬＡＮシステムを構成す
る。交信制御サーバ３２は、本システムにおける重要な
役割を担っており、ＤＨＣＰサーバ３３や管理サーバ３
４、基幹ネットワーク４１への中継、交信内容を暗号化
するための共通鍵の生成、この共通鍵と利用者パソコン
識別子との対応付け、共通鍵の利用者パソコン２１への
送信、交信の暗号化、交信の検証等を行なう。ＤＨＣＰ
サーバ３３は、交信を要求する利用者パソコン２１に対
して、利用者パソコン識別子としてＩＰアドレスを付与
する。また、管理サーバ３４は、交信の記録の収集、保
存や、認証サーバ３５の保有するデータを用いて、利用
者の認証を行なう。そのため、認証サーバ３５には、本
システムの利用資格者に関する情報と共に、その利用者
ＩＤとパスワードとが予め登録されている。利用資格者
に関する情報には、交信制御サーバ３２が利用者パソコ
ン２１に共通鍵を送付する際に使用する、利用者の秘密
鍵に対応した公開鍵も含まれている。上記の各サーバ等
は、自らが有する各機能を実行するために必要な、ハー
ドウェア、ソフトウェアを備えており、また、利用者パ
ソコン２１は、上記の各サーバ等に対してアクセスする
ために必要な、ハードウェア、ソフトウェアを備えてい
る。

【００３２】次に、図４の本システムの動作について説
明する。図６及び図７は、本システムの動作を示したフ
ローチャートである。図６において、最初に初期ルーチ
ン（Ｓ２１）が行なわれる。このルーチンの詳細は、図
７に記載されている。まず、利用者パソコン２１が無線
ＬＡＮカード２２及び無線ＬＡＮアクセスポイント３１
を介して交信制御サーバ３２に交信開始要求をする。こ
こで交信開始要求とは、利用者パソコン２１が所定の目
的を達成するためにゲートコンピュータ３０と行なう双
方向の一連の通信の開始を要求することを言う。する
と、交信制御サーバ３２はこれを受けてＤＨＣＰサーバ
３３へ中継する（Ｓ４１）。この際、交信制御サーバ３
２は、利用者パソコンの送信元ＭＡＣアドレスを検出し
て利用者パソコン識別子として記憶する。ＤＨＣＰサー
バ３３は、前述したように、予め本システムに割り当て
られたＩＰアドレスの中から利用者パソコン識別用のＩ
Ｐアドレスを、利用者パソコン識別子として利用者パソ
コン２１に付与する（Ｓ４２）。また、交信制御サーバ
３２は、このＩＰアドレスも利用者パソコン識別子とし
て記憶する。次に、交信制御サーバ３２は、利用者パソ
コン２１との交信に用いる共通鍵を生成する（Ｓ４
３）。この共通鍵は、交信制御サーバ３２が交信開始要
求を受ける毎に新しく生成する。そして、交信制御サー
バ３２は生成した共通鍵と、利用者パソコン識別子であ
る利用者パソコンＭＡＣアドレス及びＩＰアドレスとを
対応付けして記憶する（Ｓ４４）。生成した共通鍵は、
認証サーバ３５が有している利用者の公開鍵で暗号化し
た上、利用者パソコン２１へ送付する（Ｓ４５）。以
後、交信制御サーバ３２と利用者パソコン２１との交信
は、この共通鍵を用いて行なわれる（Ｓ４６）。この際
に、交信に用いられるパケットの代表的な通信フレーム
形態を図５に示す。この通信フレームにおいて、共通鍵
で暗号化される部分は、図に示されているように、ペイ
ロード（データ）部分であり、ＭＡＣヘッダー、ＩＰヘ
ッダー及びＴＣＰヘッダーは暗号化されない。利用者パ
ソコン識別子としてのＭＡＣアドレスはＭＡＣヘッダー
に、また、ＩＰアドレスはＩＰヘッダーにそれぞれ含ま
れる。

【００３３】図６において、初期ルーチンが終了する
と、交信制御サーバ３２は、この交信制御サーバ３２と
利用者パソコン２１との間の交信が、許容交信か否かを
検証する（Ｓ２２）。ここで、許容交信とは、交信制御
サーバ３２が共通化鍵と対応付けた利用者パソコン識別
子である利用者パソコンＭＡＣアドレス及びＩＰアドレ
スと、共通化鍵とが用いられたパケットによる交信を言
う。交信制御サーバ３２、利用者パソコン２１間の交信
が許容交信でない場合は（Ｓ２３）、当該パケットを破
棄して交信を強制終了する（Ｓ３３）。許容交信の場合
は（Ｓ２３）、その交信の内容が、利用者パソコン２１
からの利用者ＩＤとパスワードとを伴った認証要求であ
れば（Ｓ２４）、交信制御サーバ３２は管理サーバ３４
に対してこの認証要求を中継する（Ｓ２５）。管理サー
バ３４は、利用者パソコン２１から送られてきた利用者
ＩＤとパスワードが、認証サーバ３５に登録されている
か否かをチェックして認証を行なう（Ｓ２６）。そし
て、これらの利用者ＩＤとパスワードが登録されたもの
でなければ、利用者が有資格者ではないので管理サーバ
３４は、認証ＯＫと判定せず（Ｓ２７）、交信制御サー
バ３２は交信を強制終了する（Ｓ３３）。これらの利用
者ＩＤとパスワードが登録されたものであれば、管理サ
ーバ３４は認証ＯＫと判定するので（Ｓ２７）、交信制
御サーバ３２は利用者パソコン２１に対して基幹ネット
ワーク４１へのアクセスを許可する（Ｓ２８）。この許
可の後も、交信制御サーバ３２は利用者パソコン２１と
の交信内容が許容交信か否かの検証を行ない（Ｓ２
９）、許容交信でなければ（Ｓ３０）当該パケットを破
棄して交信を強制終了し（Ｓ３３）、許容交信の場合は
（Ｓ３０）交信を続け、交信終了を検知すると（Ｓ３
１、Ｓ３２）一連の処理を終了する。

【００３４】上記の本システムでは、利用者の秘密鍵に
対応した公開鍵は認証サーバ３５に予め記憶されている
が、このようにしないで、利用者パソコン２１が交信開
始要求をする毎に、利用者パソコン２１から公開鍵を送
付するようにしても良い。また、利用者パソコン識別子
として、利用者パソコンＭＡＣアドレスとＩＰアドレス
とを用いているが、いずれか一方でも良い。

【００３５】上記の本システムでは、交信制御サーバ３
２と利用者パソコン２１とが交信を開始する毎に、ＤＨ
ＣＰサーバ３３が、利用者パソコン識別用のＩＰアドレ
スを、利用者パソコン識別子として利用者パソコン２１
に付与するので、少ないＩＰアドレスを有効に活用でき
る。また、交信制御サーバ３２が利用者パソコン２１と
交信を開始する毎に、毎回異なる共通鍵を生成して交信
に用いるので、前述のＷＥＰのような利用者が同じ共通
鍵を用いることによる、情報の盗聴を防止することがで
きる。また、交信制御サーバ３２から利用者パソコン２
１への共通鍵の送信に、公開鍵暗号化方式を採用してい
るので、共通鍵の盗聴も防止することができる。また、
交信制御サーバ３２と利用者パソコン２１との交信の
際、この交信の内容を共通鍵で暗号化するので、交信の
内容の露見を防止することができる。また、交信全てに
ついて、共通鍵とこの共通鍵に対応付けられた利用者パ
ソコン識別子との組み合わせが用いられているか否かを
チェックするので、交信に偽造された利用者パソコン識
別子が使用されていれば、それを検知することができ、
利用者本人が他人に成りすましたり、他人が利用者本人
に成りすましたりして行なわれるネットワークシステム
の不正利用を、防止することができる。また、利用者Ｉ
Ｄとパスワードにより、利用者の認証を行なうので、利
用資格を有しない利用者を排除できる。また、利用者本
人が他人に成りすましたり、他人が利用者本人に成りす
ましたりすることができないことから、認証さえされれ
ば、その交信は認証された利用者の行なう交信であるこ
とが保証されるので、上記の不正利用防止のために、利
用者全員の利用者パソコン識別子を、予めネットワーク
システムに登録しておく等の必要がなく、この登録やそ
の管理等に要する手間を省くことができる。

【００３６】上記の本システムにおいて、認証サーバ３
５に、本システムの利用資格者に関する情報として、そ
の利用者ＩＤとパスワードや利用者の秘密鍵に対応した
公開鍵等のほか、その利用者が基幹ネットワーク４１に
アクセスする際にアクセスを許容する内容を登録してお
くことにより、この内容に照らして利用者毎のアクセス
制御を行なうこともできる。

【００３７】また、上記の本システムでは、ゲートコン
ピュータ３０はそれ自身がネットワークであり、複数の
コンピュータで構成されているが、ゲートコンピュータ
３０が全体として１台のコンピュータで構成されていて
もよい。

【００３８】また、上記の本システムは、無線区間の通
信は、完全にブラックボックスとして扱うことが可能で
あり、従って、本システムが無線区間の通信を実現する
ための無線ＬＡＮのハードウェア、ソフトウェアを拘束
することはなく、これらのハードウェア、ソフトウェア
は、いかなるものでも採用可能である。

【００３９】また、上記の本システムでは、利用者パソコ
ン２１とゲートコンピュータ３０とは、無線ＬＡＮを用
いて接続する方式としており、この無線ＬＡＮを用いた
接続方式で、特に本システムの特長を発揮することがで
きるが、有線により接続する方式とすることも可能であ
る。

【００４０】

【発明の効果】請求項１または２記載の無線ＬＡＮに適
したネットワークアクセス制御方法、あるいは、請求項
５または６記載の無線ＬＡＮに適したネットワークアク
セス制御システムによれば、ゲートコンピュータ３が利
用者コンピュータ４と交信を開始する毎に、毎回異なる
共通鍵を生成して交信に用いるので、前述のＷＥＰのよ
うな利用者が同じ共通鍵を用いることによる、情報の盗
聴を防止することができる。また、ゲートコンピュータ
から利用者コンピュータへの共通鍵の送信に、公開鍵暗
号化方式を採用しているので、共通鍵の盗聴も防止する
ことができる。また、ゲートコンピュータと利用者コン
ピュータとの交信の際、この交信の内容を共通鍵で暗号
化するので、交信の内容の露見を防止することができ
る。また、交信全てについて、共通鍵とこの共通鍵に対
応付けられた利用者コンピュータ識別子との組み合わせ
が用いられているか否かをチェックするので、交信に偽
造された利用者コンピュータ識別子が使用されていれ
ば、それを検知することができ、利用者本人が他人に成
りすましたり、他人が利用者本人に成りすましたりして
行なわれる、ネットワークシステムの不正利用を防止す
ることができる。また、利用者ＩＤとパスワードによ
り、利用者の認証を行なうので、利用資格を有しない利
用者を排除できる。また、利用者本人が他人に成りすま
したり、他人が利用者本人に成りすましたりすることが
できないことから、認証さえされれば、その交信は有資
格者の行なう交信であることが保証されるので、上記の
不正利用防止のために、利用者全員の利用者コンピュー
タ識別子を、予めネットワークシステムに登録しておく
等の必要がなく、この登録やその管理等に要する手間を
省くことができる。

【００４１】請求項３記載の無線ＬＡＮに適したネット
ワークアクセス制御方法、あるいは、請求項７記載の無
線ＬＡＮに適したネットワークアクセス制御システムに
よれば、少ないＩＰアドレスを有効に活用できる。

【００４２】請求項４記載の無線ＬＡＮに適したネット
ワークアクセス制御方法、あるいは、請求項８記載の無
線ＬＡＮに適したネットワークアクセス制御システム
は、利用者コンピュータとゲートコンピュータとの接続
を無線に代えて有線で行なうだけであり、請求項１から
３に記載の発明、あるいは、請求項５から７に記載の発
明と同じ効果を有する。

【００４３】請求項９から１２に記載の無線ＬＡＮに適
したネットワークアクセス制御プログラムによれば、請
求項５から８に記載の無線ＬＡＮに適したネットワーク
アクセス制御システムが有する機能を、ゲートコンピュ
ータで実現することができる。

【図面の簡単な説明】

【図１】本発明の無線ＬＡＮに適したネットワークアク
セス制御方法で用いられるネットワークの構成図

【図２】本発明の無線ＬＡＮに適したネットワークアク
セス制御方法のフローチャート

【図３】本発明の無線ＬＡＮに適したネットワークアク
セス制御システムの構成図

【図４】本実施例の無線ＬＡＮに適したネットワークア
クセス制御システムの構成図

【図５】本実施例で用いられるパケットの代表的な通信
フレーム形態

【図６】本実施例のシステムのフローチャート（１）

【図７】本実施例のシステムのフローチャート（２）

【符号の説明】

１ 基幹ネットワーク ２ ローカルネットワーク ３ ゲートコンピュータ ４ 利用者コンピュータ １１ 共通鍵生成手段 １２ 共通鍵対応付手段 １３ 共通鍵送付手段 １４ 暗号化交信手段 １５ 交信監視手段 １６ 認証手段 １７ 基幹ネットワーク接続手段 ２１ 利用者パソコン ２２ 無線ＬＡＮカード ３０ ゲートコンピュータ ３１ 無線ＬＡＮアクセスポイント ３２ 交信制御サーバ ３３ ＤＨＣＰサーバ ３４ 管理サーバ認証サーバ ３５ 認証サーバ ４１ 基幹ネットワーク

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｈ０４Ｌ 9/00 ６７３Ａ (71)出願人 399068524 株式会社ステラクラフト 大阪府大阪市北区曽根崎新地一丁目４番20 号 (72)発明者 松浦 敏雄 大阪府吹田市佐竹台３丁目12番７号 (72)発明者 石橋 勇人 京都府京都市左京区松ヶ崎雲路町５番地 松ヶ崎パーク・ホームズ 203 (72)発明者 山井 成良 兵庫県芦屋市奥池町13番６号 (72)発明者 安倍 広多 大阪府堺市上野芝町３−７−21−403 (72)発明者 森下 英夫 大阪府豊中市宮山町１−４−51 (72)発明者 森 俊明 大阪府茨木市白川３−２−５−213 Ｆターム(参考） 5J104 AA04 AA07 AA16 EA06 EA19 EA26 KA01 KA07 MA02 NA02 PA07 5K033 AA08 BA04 CB01 CB08 CC01 DA01 DA06 DA17 DB10 DB12 DB18 EA07 EC03

Claims (12)

【特許請求の範囲】
1. 【請求項１】 基幹ネットワークへの利用者コンピュー
   タのアクセスを中継制御するゲートコンピュータに、利
   用者ＩＤおよびパスワードが予め登録されている利用者
   が使用する前記利用者コンピュータと、前記ゲートコン
   ピュータとが無線接続されて構成されるローカルネット
   ワークにおいて、 前記ゲートコンピュータは、 前記利用者コンピュータとの交信を開始する毎に、新た
   な共通鍵を生成するとともに、この共通鍵と、前記利用
   者コンピュータの具備する利用者コンピュータ識別子と
   の対応付けを行ない、 前記利用者の秘密鍵に対応する公開鍵を用いて暗号化し
   た前記共通鍵を、前記利用者コンピュータへ送付し、 この送付以後、前記利用者コンピュータにより前記共通
   鍵を用いて暗号化された前記利用者コンピュータからの
   送信を受信するとともに、前記利用者コンピュータへの
   送信を前記共通鍵を用いて暗号化することにより、前記
   利用者コンピュータとの暗号化された交信を行ない、 この暗号化された交信を監視して、前記共通鍵と対応付
   けられた前記利用者コンピュータ識別子が用いられてい
   る交信である許容交信のみ許容し、 前記許容交信を用いて、前記利用者コンピュータから送
   付された利用者ＩＤおよびパスワードを受け取ると共
   に、この利用者ＩＤおよびパスワードが前記ゲートコン
   ピュータに登録されているものであることを確認する
   と、前記利用者コンピュータに対して、前記許容交信を
   介してなされる前記基幹ネットワークへのアクセスを許
   可することを特徴とする無線ＬＡＮに適したネットワー
   クアクセス制御方法。
2. 【請求項２】 前記基幹ネットワークがＩＰアドレスを
   用いたネットワークであると共に、前記ローカルネット
   ワークがＩＰアドレスおよびＭＡＣアドレスを用いたネ
   ットワークであり、 前記利用者コンピュータ識別子として、前記利用者コン
   ピュータの具備するＭＡＣアドレス、または、ＩＰアド
   レスもしくはその双方を用いることを特徴とする請求項
   １記載の無線ＬＡＮに適したネットワークアクセス制御
   方法。
3. 【請求項３】 前記利用者コンピュータ識別子として、
   ＭＡＣアドレス、および、ＩＰアドレスを用いると共
   に、 前記ゲートコンピュータが、前記利用者コンピュータと
   の交信を開始する毎に、前記利用者コンピュータに対し
   て、前記共通鍵の送付に先立って、前記利用者コンピュ
   ータ識別子用のＩＰアドレスを付与することを特徴とす
   る請求項２記載の無線ＬＡＮに適したネットワークアク
   セス制御方法。
4. 【請求項４】 前記無線接続に代えて、有線接続が用い
   られることを特徴とする請求項１から３のいずれか１項
   に記載の無線ＬＡＮに適したネットワークアクセス制御
   方法。
5. 【請求項５】 基幹ネットワークへの利用者コンピュー
   タのアクセスを中継制御するゲートコンピュータに、利
   用者ＩＤおよびパスワードが予め登録されている利用者
   が使用する前記利用者コンピュータと、前記ゲートコン
   ピュータとが無線接続されて構成されるローカルネット
   ワークにおいて、 前記ゲートコンピュータに、 前記利用者コンピュータとの交信を開始する毎に、新た
   な共通鍵を生成する共通鍵生成手段と、 この共通鍵と前記利用者コンピュータの具備する利用者
   コンピュータ識別子との対応付けを行なう共通鍵対応付
   手段と、 前記利用者の秘密鍵に対応する公開鍵を用いて暗号化し
   た前記共通鍵を、前記利用者コンピュータへ送付する共
   通鍵送付手段と、 この送付以後、前記利用者コンピュータにより前記共通
   鍵を用いて暗号化された前記利用者コンピュータからの
   送信を受信するとともに、前記利用者コンピュータへの
   送信を前記共通鍵を用いて暗号化することにより、前記
   利用者コンピュータとの暗号化された交信を行なう暗号
   化交信手段と、 この暗号化された交信を監視して、前記共通鍵と対応付
   けられた前記利用者コンピュータ識別子が用いられてい
   る交信である許容交信のみ許容する交信監視手段と、 前記許容交信を用いて、前記利用者コンピュータから送
   付された利用者ＩＤおよびパスワードを受け取ると共
   に、この利用者ＩＤおよびパスワードが前記ゲートコン
   ピュータに登録されているものであることの確認をする
   認証手段と、 前記確認が行なわれると、前記利用者コンピュータに対
   して、前記許容交信を介してなされる前記基幹ネットワ
   ークへのアクセスを許可する基幹ネットワーク接続手段
   と、 を設けたことを特徴とする無線ＬＡＮに適したネットワ
   ークアクセス制御システム。
6. 【請求項６】 前記基幹ネットワークがＩＰアドレスを
   用いたネットワークであると共に、前記ローカルネット
   ワークがＩＰアドレスおよびＭＡＣアドレスを用いたネ
   ットワークであり、 前記利用者コンピュータ識別子として、前記利用者コン
   ピュータの具備するＭＡＣアドレス、または、ＩＰアド
   レスもしくはその双方を用いることを特徴とする請求項
   ５記載の無線ＬＡＮに適したネットワークアクセス制御
   システム。
7. 【請求項７】 前記利用者コンピュータ識別子として、
   ＭＡＣアドレス、および、ＩＰアドレスを用いると共
   に、 前記利用者コンピュータとの交信を開始する毎に、前記
   共通鍵を生成するのに先立って、前記利用者コンピュー
   タに対して、前記利用者コンピュータ識別子用のＩＰア
   ドレスを付与する端末識別ＩＰアドレス付与手段を、前
   記ゲートコンピュータに設けたことを特徴とする請求項
   ６記載の無線ＬＡＮに適したネットワークアクセス制御
   システム。
8. 【請求項８】 前記無線接続に代えて、有線接続が用い
   られることを特徴とする請求項５から７のいずれか１項
   に記載の無線ＬＡＮに適したネットワークアクセス制御
   システム。
9. 【請求項９】 基幹ネットワークへの利用者コンピュー
   タのアクセスを中継制御するゲートコンピュータに、利
   用者ＩＤおよびパスワードが予め登録されている利用者
   が使用する前記利用者コンピュータと、前記ゲートコン
   ピュータとが無線接続されて構成されるローカルネット
   ワークにおいて、 前記ゲートコンピュータを、 前記利用者コンピュータとの交信を開始する毎に、新た
   な共通鍵を生成する共通鍵生成手段、 この共通鍵と前記利用者コンピュータの具備する利用者
   コンピュータ識別子との対応付けを行なう共通鍵対応付
   手段、 前記利用者の秘密鍵に対応する公開鍵を用いて暗号化し
   た前記共通鍵を、前記利用者コンピュータへ送付する共
   通鍵送付手段、 この送付以後、前記利用者コンピュータにより前記共通
   鍵を用いて暗号化された前記利用者コンピュータからの
   送信を受信するとともに、前記利用者コンピュータへの
   送信を前記共通鍵を用いて暗号化することにより、前記
   利用者コンピュータとの暗号化された交信を行なう暗号
   化交信手段、 この暗号化された交信を監視して、前記共通鍵と対応付
   けられた前記利用者コンピュータ識別子が用いられてい
   る交信である許容交信のみ許容する交信監視手段、 前記許容交信を用いて、前記利用者コンピュータから送
   付された利用者ＩＤおよびパスワードを受け取ると共
   に、この利用者ＩＤおよびパスワードが前記ゲートコン
   ピュータに登録されているものであることの確認をする
   認証手段、 前記確認が行なわれると、前記利用者コンピュータに対
   して、前記許容交信を介してなされる前記基幹ネットワ
   ークへのアクセスを許可する基幹ネットワーク接続手
   段、 として機能させるための無線ＬＡＮに適したネットワー
   クアクセス制御プログラム。
10. 【請求項１０】 前記基幹ネットワークがＩＰアドレス
    を用いたネットワークであると共に、前記ローカルネッ
    トワークがＩＰアドレスおよびＭＡＣアドレスを用いた
    ネットワークであり、 前記利用者コンピュータ識別子として、前記利用者コン
    ピュータの具備するＭＡＣアドレス、または、ＩＰアド
    レスもしくはその双方を用いてなる請求項９記載の無線
    ＬＡＮに適したネットワークアクセス制御プログラム。
11. 【請求項１１】 前記利用者コンピュータ識別子とし
    て、ＭＡＣアドレス、および、ＩＰアドレスを用いると
    共に、 前記利用者コンピュータとの交信を開始する毎に、前記
    共通鍵の生成に先立って、前記利用者コンピュータに対
    して、前記利用者コンピュータ識別子用のＩＰアドレス
    を付与する端末識別ＩＰアドレス付与手段として、前記
    ゲートコンピュータを機能させることを加えた請求項１
    ０記載の無線ＬＡＮに適したネットワークアクセス制御
    プログラム。
12. 【請求項１２】 前記無線接続に代えて、有線接続が用
    いられることを特徴とする請求項９から１１のいずれか
    １項に記載の無線ＬＡＮに適したネットワークアクセス
    制御プログラム。