JP2004015725A - 通信システム及び通信システムにおける認証方法及びそのプログラム及びその記録媒体 - Google Patents

Abstract

【課題】無線通信区間のセキュリティを強化する。
【解決手段】クライアントは公開鍵とｏｎｅ−ｗａｙ　Ｈａｓｈを同時にアクセスポイント（ＡＰ）に送り、ＡＰは公開鍵のみを保存し、ｏｎｅ−ｗａｙ　Ｈａｓｈを認証サーバーに送信する。その後、認証サーバーは、ＷＥＰキーの生成アルゴリズムに基づきＷＥＰキーを生成し、ＡＰに送信する。ＡＰはＷＥＰキーをクライアントに送信する前に、クライアントの公開鍵で暗号化する。クライアントは、受信した暗号化ＷＥＰキーを秘密鍵で解読して認証サーバーで生成されたＷＥＰキーを得る。
【選択図】　図５

Description

【０００１】
【発明の属する技術分野】
本発明は、通信システムおよびそのシステムにおける認証方法に関し、特に、無線伝送路を介したアクセス要求に対してサービスを行う通信システムにおける不正アクセスを防止するためのセキュリティ管理をする通信システムおよびそのシステムにおける認証方法に関する。
【０００２】
【従来の技術】
ＩＥＥＥ８０２．１１（米国電気電子技術者協会で規定した国際規格）において標準化されている一般的な無線ネットワークシステムでは、無線クライアント端末を収容する無線ＡＰ（アクセスポイント）は、サービスエリア固有の識別子（ＥＳＳＩＤ）やＷＥＰ（認証）キーを用いて端末それぞれについて認証を行い不正アクセスの防止を実施している。
【０００３】
例えば、特開平２００１−１１１５４４号公報に示す無線ＬＡＮシステムにおける無線端末の認証処理方式は、無線クライアント端末からアクセスポイントＡＰに対して認証要求を送出すると、アクセスポイントＡＰは認証サーバーに対して、認証サーバーのプロトコルでＭＡＣアドレスを送出する。そして、認証サーバーはＭＡＣアドレスを確認し、認証を実行した後、チャレンジテキストをアクセスポイントＡＰに送出し、ＡＰは、ＩＥＥＥ８０２．１１で定められたＷＥＰ（Ｗｉｒｅｄ　Ｅｑｕｉｖａｌｅｎｔ　Ｐｒｉｖａｃｙ）アルゴリズムの処理に従って、無線クライアント端末と暗号化認証を実施するというものである。これは、アクセス制御およびプライバシーを保護するための対策が静的なＷＥＰキーに依存したものになる。
【０００４】
一般的に静的なＷＥＰキーは、クライアントのディスク上、または装着されているワイヤレスＬＡＮアダプタのメモリ内に保存されている。この場合、クライアントのプロセッサはそのマシンに保存されたＭＡＣアドレスとＷＥＰキーを使ってワイヤレスＬＡＮへアクセスが可能となり、１台の無線クライアントを複数のユーザーが共有していれば、全員がそのＭＡＣアドレスとＷＥＰキーを事実上共有することになる。従って、上記無線クライアントを紛失したり盗まれたりすると、その無線クライアントからアクセスするはずのユーザーは、それまでのＭＡＣアドレスやＷＥＰキーを利用できなくなるばかりでなく、意図しないユーザーが利用する可能性があり、場合によっては、ネットワークへの不正アクセスが問題視されている。
【０００５】
そこで、従来の静的なＷＥＰキーではなく、動的にＷＥＰキーを割当て、ネットワークのアクセス制御およびプライバシーを保護するものが提唱されている。この動的なＷＥＰキーを使用した認証システムについて、図８を用いて説明する。初めにオープン認証を使って、無線クライアントがアクセスポイントと通信する（Ｍ８０１）。
【０００６】
次に、無線クライアントのユーザーは、ネットワークログオン用のダイアログボックスまたはそれに相当する画面にユーザー名とパスワードを入力する。無線クライアント、および有線ＬＡＮ上の認証サーバーは、アクセスポイントを介して相互認証を実行する。この認証処理の一部として、無線クライアントはユーザー名とパスワードのＯｎｅ−ｗａｙ　Ｈａｓｈをアクセスポイント経由で（Ｍ８０２）、認証サーバーに送信する（Ｍ８０３）。
【０００７】
認証サーバーは、受け取ったユーザー名とパスワードのＯｎｅ−ｗａｙ　Ｈａｓｈを、データベース内の有効なユーザー名およびパスワードと照合し、その無線クライアントを認証してよいかどうかを判断する。
【０００８】
相互認証が完全に成功すると、認証サーバーと無線クライアントはＷＥＰキーを生成する。そして、認証サーバーは、セッションキーと呼ばれるＷＥＰキーを、有線ＬＡＮ経由でアクセスポイントに送信する（Ｍ８０４）。
【０００９】
アクセスポイントは、ブロードキャストキーをセッションキーで暗号化し、生成された暗号キーを無線クライアントに送信する（Ｍ８０５）。無線クライアントは受け取ったセッションキーを使って暗号化されたブロードキャストキーを解読する。無線クライアントとアクセスポイントはＷＥＰを作動させ、暗号化された通信を開始する（Ｍ８０６）。
【００１０】
【発明が解決しようとする課題】
しかしながら、通信データの漏洩あるいは傍受等が問題とされる無線ＬＡＮシステムにおいて、動的にＷＥＰキーを割当てる認証システムでは、無線クライアントと認証サーバーのそれぞれにおいて、生成アルゴリズムに基づいたＷＥＰキーの生成処理を実行する必要があるために、無線クライアント端末における前記ＷＥＰキーの生成処理の負荷が発生する。
【００１１】
また、同一のＷＥＰキーを得るためには、無線クライアントと認証サーバーのそれぞれにおいて、予め設定されている同一のＷＥＰキー生成アルゴリズムを使用する必要があり、複数の生成アルゴリズムを利用することが容易ではなく、セキュリティ上の観点からも問題とされていた。
【００１２】
【課題を解決するための手段】
上記課題を解決するべく、本発明にかかる無線通信システムは以下の構成を有することを特徴とする。
【００１３】
すなわち、クライアントと、該クライアントと通信により接続するアクセスポイントと、該アクセスポイントとネットワークにより接続し、該クライアントの認証要求を判断する認証サーバーと、を有する通信システムにおいて、
前記クライアントは、
公開鍵と、該公開鍵で暗号化されたデータを解読するための秘密鍵とを管理する鍵管理手段と、
前記公開鍵と、システムに対する認証要求データと、を含む第１送信データを生成し、前記アクセスポイントに送信する第１送信手段と、
前記認証要求データに基づき生成された暗号化方式キーを前記公開鍵により暗号化されたデータとして、前記アクセスポイントから受信する第１受信手段と、
前記受信した暗号化方式キーを、前記秘密鍵により解読する解読手段と、
前記解読された暗号化方式キーに基づき、前記アクセスポイントとの間の通信データを暗号化する第１暗号化手段と、を備え、
前記アクセスポイントは、
前記第１送信データを受信し、該第１送信データから前記公開鍵と、認証要求データを含む第２送信データとを分離するデータ分離手段と、
前記第２送信データを前記認証サーバーに送信する第２送信手段と、
前記認証要求データに基づき生成された暗号化方式キーを前記認証サーバーから受信する第２受信手段と、
前記受信した暗号化方式キーを、前記分離した公開鍵により暗号化して、前記クライアントに対して送信する第３送信手段と、
前記暗号化方式キーに基づき、前記クライアントとの間の通信データを暗号化する第２暗号化手段と、を備え、
前記認証サーバーは、
前記受信した第２送信データに含まれる認証要求データに基づき、前記クライアントの認証要求を判断する認証手段と、
前記認証要求の判断の結果に従い、認証された前記クライアントと、前記アクセスポイントとの間で暗号化された通信を可能にする暗号化方式キーを生成する生成手段と、
前記生成された暗号化方式キーを前記アクセスポイントに送信する第４送信手段と、
を備えることを特徴とする。
【００１４】
好ましくは上記の通信システムにおいて、前記鍵管理手段は、複数種の公開鍵と秘密鍵の組合わせを管理し、
前記システムに対する認証要求データの生成時に、前記複数種の公開鍵の内から１つを選択する。
【００１５】
好ましくは上記の通信システムにおいて、前記クライアントにおいて、生成される第１送信データには、ユーザー名と、パスワードに関する情報が含まれる。
【００１６】
好ましくは上記の通信システムにおいて、前記認証サーバーにおける前記認証手段は、前記認証要求を判断するために、登録ユーザー名とパスワードに関する情報を格納するクライアント管理テーブルを有し、該テーブルに格納されている情報と、前記クライアントから送信されたユーザー名と、パスワードに関する情報と、を照合する。
【００１７】
好ましくは上記の通信システムにおいて、前記認証サーバーにおける生成手段は、前記暗号化方式キーを生成するための生成アルゴリズムを複数種格納する管理テーブルを有し、
該管理テーブルに格納されているいずれか１つの生成アルゴリズムの選択に基づき該暗号化方式キーを生成する。
【００１８】
好ましくは上記の通信システムにおいて、前記管理テーブルは、前記生成アルゴリズムを一元的に管理する。
【００１９】
好ましくは上記の通信システムにおいて、前記生成手段が生成する暗号化方式キーは、ＩＥＥＥ８０２．１１規格で規定されるＷＥＰキーである。
【００２０】
好ましくは上記の通信システムにおいて、前記クライアントと前記アクセスポイントとは無線通信により接続し、前記アクセスポイントと前記認証サーバーとは有線通信により接続する。
【００２１】
また、クライアントと、該クライアントと通信により接続するアクセスポイントと、該アクセスポイントとネットワークにより接続し、該クライアントの認証要求を判断する認証サーバーと、を有する通信システムにおける認証方法であって、
前記クライアントにおいて実行される処理は、
公開鍵と、該公開鍵で暗号化されたデータを解読するための秘密鍵とを管理する鍵管理工程と、
前記公開鍵と、システムに対する認証要求データと、を含む第１送信データを生成し、前記アクセスポイントに送信する第１送信工程と、
前記認証要求データに基づき生成された暗号化方式キーを前記公開鍵により暗号化されたデータとして、前記アクセスポイントから受信する第１受信工程と、
前記受信した暗号化方式キーを、前記秘密鍵により解読する解読工程と、
前記解読された暗号化方式キーに基づき、前記アクセスポイントとの間の通信データを暗号化する第１暗号化工程と、を有し、
前記アクセスポイントにおいて実行される処理は、
前記第１送信データを受信し、該第１送信データから前記公開鍵と、認証要求データを含む第２送信データとを分離するデータ分離工程と、
前記第２送信データを前記認証サーバーに送信する第２送信工程と、
前記認証要求データに基づき生成された暗号化方式キーを前記認証サーバーから受信する第２受信工程と、
前記受信した暗号化方式キーを、前記分離した公開鍵により暗号化して、前記クライアントに対して送信する第３送信工程と、
前記暗号化方式キーに基づき、前記クライアントとの間の通信データを暗号化する第２暗号化工程と、を有し、
前記認証サーバーにおいて実行される処理は、
前記受信した第２送信データに含まれる認証要求データに基づき、前記クライアントの認証要求を判断する認証工程と、
前記認証要求の判断の結果に従い、認証された前記クライアントと、前記アクセスポイントとの間で暗号化された通信を可能にする暗号化方式キーを生成する生成工程と、
前記生成された暗号化方式キーを前記アクセスポイントに送信する第４送信工程と、
を有することを特徴とする認証方法。
【００２２】
また、本発明にかかるプログラムは上記の認証方法をコンピュータに実施させることが可能であることを特徴とする。
【００２３】
また、本発明にかかる記録媒体は、上記のプログラムをコンピュータ読み出し可能に記録したことを特徴とする。
【００２４】
【発明の実施の形態】
（第１実施形態）
以下、本発明の第１実施形態にかかる無線通信システムについて図面を参照して説明する。
【００２５】
図１は、本実施形態に係る無線通信システム構成を示す図であり、同図において、有線クライアント端末１０４と認証サーバー端末１０２とＨＰサーバ端末１０３とアクセスポイント１０５はネットワーク１０１に有線接続され、アクセスポイント１０５は、無線クライアント端末１０６との無線通信リンクを確立し、ネットワークにおけるデータ搬送制御／経路選択機能を提供する。
【００２６】
また、認証サーバー端末１０２は、ネットワーク１０１内における任意のクライアント端末との間で認証処理に関する制御を行う。このシステムにおける全体的な処理の概略は図５に示すシーケンスチャート（シーケンス図内の標記は、実施形態に関する主なもののみ明記してあり、その他基本的なメッセージについては、一部省略してある。）に従い、無線クライアント１０６、アクセスポイント１０５、認証サーバー端末１０２の具体的な処理シーケンスはそれぞれ図２、図３、図４のフローチャートに従うものとする。
【００２７】
また、図９は無線クライアント１０６において、公開鍵と秘密鍵とを対応させて格納した管理テーブルの例を示す図である。無線クライアント１０６において、公開鍵を１つ選択すると、それに対応する秘密鍵を特定することができる。
【００２８】
図６は認証サーバー端末１０２における生成アルゴリズム管理テーブルであり、認証サーバーはＷＥＰキーを生成するための複数種のアルゴリズムを一元的に管理する。ここで任意に選択あるいは指定された（動的に割り当てられた）アルゴリズムにより、所定のＷＥＰキーが生成される。
【００２９】
ここで生成されたＷＥＰキーはアクセスポイントにおいて無線クライアントで選択された公開鍵により暗号化され、無線クライアント端末に通信される。この詳細な処理は後に説明する。
【００３０】
図７は認証サーバー端末１０２におけるクライアント管理テーブルである。認証サーバーはアクセスポイントから送信されたユーザー名とパスワードとを受信し、真正なユーザーであるか否かの判断を、クライアント管理テーブルに登録されているデータと照合して判断する。
【００３１】
＜無線クライアントにおける公開鍵等の送信処理（図２、図９）＞
図５において、無線クライアント端末１０６は初めにオープン認証を使って、アクセスポイント１０５と通信を開始する（Ｍ５０１）。無線クライアント１０６が送出したオープン認証がアクセスポイント１０５で認証されると（Ｓ２０１−ＹＥＳ（図２）、Ｓ３０１−ＹＥＳ（図３））、無線クライアント端末１０６のユーザーは、ネットワークログオン用のダイアログボックスまたはそれに相当する画面にユーザー名とパスワードを入力する（図２のステップＳ２０２）。
【００３２】
ユーザー名とパスワードの入力が完了すると（Ｓ２０３−ＹＥＳ）、無線クライアント端末１０６は、入力されたユーザー名とパスワードのＯｎｅ−ｗａｙ　Ｈａｓｈと、公開鍵をアクセスポイント１０５に送信する（Ｍ５０２）。
【００３３】
図９は無線クライアント端末１０６における公開鍵／秘密鍵対応管理テーブルを示す図であり、無線クライアント１０６はこのデータベース内の公開鍵／秘密鍵管理テーブル９０１を参照し、ここに格納されている任意の公開鍵を選択し、上述のＯｎｅ−ｗａｙ　Ｈａｓｈと共にアクセスポイント１０５に送信する。
【００３４】
また、無線クライアント１０６は送信した公開鍵に対応する秘密鍵を記憶領域に格納し、アクセスポイント１０５からの認証要求に対する応答メッセージを受信するための第１のタイマーを起動する。
【００３５】
＜アクセスポイント：無線クライアントからの受信／認証サーバーへの送信処理（図３）＞
無線クライアント１０６から送出されたＯｎｅ−ｗａｙ　Ｈａｓｈと公開鍵を含む認証要求データをアクセスポイント１０５が受信すると（ステップＳ３０２−ＹＥＳ）、アクセスポイント１０５は、公開鍵を受信データから分離して記憶領域に格納し）、ユーザー名とパスワードのＯｎｅ−ｗａｙ　Ｈａｓｈのみを認証サーバー端末１０２に送信する（Ｓ３０３（図３）、Ｍ５０３（図５））。このとき、アクセスポイント１０５は認証サーバー端末１０２からの応答メッセージを受信するための第２のタイマーを起動する。
【００３６】
＜認証サーバーの処理（図４、図７）＞
認証サーバー端末１０２は、ユーザー名とパスワードのＯｎｅ−ｗａｙ　Ｈａｓｈを含む認証要求データを受信すると（Ｓ４０１−ＹＥＳ）、認証サーバー端末１０２は、データベース内のクライアント管理テーブル７０１（図７）を参照し、受信したユーザー名等とデータベースに格納されている有効なユーザー名およびパスワードと照合し、データの送信元である無線クライアント端末１０６を認証してよいかどうかを判断する（ステップＳ４０２）。
【００３７】
処理をステップＳ４０３に進め、受信したユーザー名等とデータベース７０１に登録されているデータとの相互認証が完全に成功すると（Ｓ４０３−ＹＥＳ）、処理をステップＳ４０４に進め、認証サーバー端末１０２はデータベース内の生成アルゴリズム管理テーブル６０１（図６）を参照し、現在選択されている生成アルゴリズムを用いてＷＥＰキーを生成する（ステップＳ４０４）。
【００３８】
一方、ステップＳ４０３に処理で相互認証が失敗した場合（Ｓ４０３−ＮＯ）、認証処理は中断し、終了する。
【００３９】
認証サーバー端末１０２は、ステップＳ４０４の処理で生成されたＷＥＰキーを、有線ＬＡＮ経由でアクセスポイント１０５に送信する（Ｓ４０５（図４）、Ｍ５０４（図５））
＜アクセスポイントにおけるＷＥＰキー受信処理（図３）＞
アクセスポイント１０５は、認証サーバー端末１０２で生成されたＷＥＰキーを受信すると（Ｓ３０４−ＹＥＳ）、ステップＳ３０３の処理で記憶領域に格納しておいた公開鍵を用いてＷＥＰキーを暗号化し、受信データから分離して無線クライアント端末１０６に送信する（Ｓ３０６（図３）、Ｍ５０５（図５））。そして、引き続き、アクセスポイント１０５は、ＷＥＰを起動する（ステップＳ３０７）。
【００４０】
一方、認証サーバー端末１０２より、ＷＥＰキーが受信できない場合（Ｓ３０４−ＮＯ）、受信タイマーを確認して、第２のタイマーがタイムアウトしていない場合（Ｓ３０５−ＮＯ）、処理を再びステップＳ３０４に戻し、ＷＥＰキーの受信待ちの状態を継続する。また、また、第２のタイマーがタイムアウトした場合（Ｓ３０５−ＹＥＳ）、認証処理は中断し、終了する。
【００４１】
＜無線クライアントにおける暗号化されたＷＥＰキーの受信処理（図２）＞
無線クライアント端末１０６は、アクセスポイント１０５で生成された「暗号化されたキー」を受信すると（Ｓ２０５−ＹＥＳ）、ステップＳ２０４の処理で、アクセスポイント１０５に送信した際、認証要求データの一部である公開鍵に対応し、記憶領域に格納した秘密鍵を用いて、その暗号化されたキーを解読し、認証サーバー端末１０２において生成されたＷＥＰキーを獲得する（ステップＳ２０７）。
【００４２】
引き続き、無線クライアント端末１０６は、ＷＥＰを起動し（ステップＳ２０８）、以降、無線クライアント端末１０６とアクセスポイント１０５との間では、ＷＥＰを用いた暗号化された通信が実施される（Ｍ５０６）。
【００４３】
一方、ステップＳ２０５の処理で、アクセスポイント１０５で生成された「暗号化されたキー」を受信できない場合（Ｓ２０５−ＮＯ）、受信タイマーを確認し、第１のタイマーがタイムアウトしていない場合（Ｓ２０６−ＮＯ）、処理を再びステップＳ２０５に戻し、「暗号化されたキー」の受信待ち状態を保持する。また、第１のタイマーがタイムアウトした場合（Ｓ２０６−ＹＥＳ）、認証処理は中断し、終了する。
【００４４】
以上説明したように、本実施形態にかかる無線通信システムによれば、無線クライアント端末からの認証要求時に公開鍵を用い、アクセスポイントと無線クライアント端末間における通信データの漏洩あるいは傍受等のセキュリティを強化ことが可能になる。認証サーバー側で動的に割り当てを行なったＷＥＰキーを、その公開鍵により暗号化してセキュリティ性を強化した状態で無線クライアントに配信し、認証サーバーと無線クライアントとの間でＷＥＰキーを共有することができる。
【００４５】
複数種のＷＥＰキーの生成アルゴリズムが認証サーバーにおいて一元管理することができ、認証サーバーで動的に割り当てられたＷＥＰキーのセキュリティを、無線クライアント端末の公開鍵により保護することが可能になる。
【００４６】
その結果、複数の生成アルゴリズムを用いたＷＥＰキーの生成制御処理の運用が簡略化され利便性の向上が図れ、更に無線通信を介するセッション毎のセキュリティを強化することが可能になる。
【００４７】
同時に、無線クライアント端末においてＷＥＰキーを生成する処理が省略され負荷を軽減することができる。
【００４８】
（第２実施形態）
第１実施形態では、認証サーバー端末１０２においてＷＥＰキーを生成する場合に、データベース内の生成アルゴリズム管理テーブル６０１（図６）を参照し、選択されている生成アルゴリズムを用いてＷＥＰキーを生成していたが、その生成アルゴリズムは複数の種類を備え、またその選択方法はランダムに選択されるように構成されても良い。
【００４９】
また、第１実施形態では、無線クライアント端末１０６が、ユーザー名とパスワードのＯｎｅ−ｗａｙ　Ｈａｓｈと、データベース（図９）内の公開鍵／秘密鍵管理テーブル９０１を参照して任意の公開鍵をアクセスポイント１０５に送信し（Ｓ２０４、Ｍ５０２）、その公開鍵に対応する秘密鍵を記憶領域に格納していたが、公開鍵の選択方法は、任意ではなくユーザーによって適宜選択可能な選択手段するように構成することも可能であり、また、無線クライアント端末１０６が、ランダムに選択する選択手段として構成してもよい。
【００５０】
なお、上記の実施形態においては無線ＬＡＮのネットワークを一例として、クライアント端末からのネットワークリソースへのアクセス制限方法を備える無線通信システムについて説明したが、本発明はこれに限ることなく、クライアント端末が無線伝送路を利用してネットワークに接続される形態を構成するものであれば、取扱う信号のアナログ／デジタルを問わず、いかなるシステムであっても適用可能である。その他、本発明はその要旨を逸脱しない範囲内で種々変形して実施することが可能であるものとする。
【００５１】
【発明の効果】
以上説明したように、本発明にかかる通信システムによれば、クライアント端末からの認証要求時に公開鍵を用い、アクセスポイントとクライアント端末間における通信データの漏洩あるいは傍受等のセキュリティを強化することが可能になる。認証サーバー側で動的に割り当てを行なったＷＥＰキーを、その公開鍵により暗号化してセキュリティ性を強化した状態でクライアントに配信し、認証サーバーとクライアントとの間でＷＥＰキーを共有することができる。
【００５２】
クライアント端末と認証サーバーのそれぞれで同一の生成アルゴリズムを使用してＷＥＰキーを獲得していた従来の処理が不要となり、複数種のＷＥＰキーの生成アルゴリズムが認証サーバーにおいて一元管理することができ、認証サーバーで動的に割り当てられたＷＥＰキーのセキュリティを、クライアント端末の公開鍵により保護することが可能になる。
【００５３】
その結果、複数の生成アルゴリズムを用いたＷＥＰキーの生成制御処理の運用が簡略化され利便性の向上が図れ、更に無線通信を介するセッション毎のセキュリティを強化することが可能になる。
【００５４】
同時に、クライアント端末においてＷＥＰキーを生成する処理が省略され負荷が軽減される。
【図面の簡単な説明】
【図１】本発明の実施形態に係る無線通信システムの構成図である。
【図２】無線クライアント端末の処理を説明するフローチャートである。
【図３】アクセスポイントの処理を説明するフローチャートである。
【図４】認証サーバー端末の処理を説明するフローチャートである。
【図５】無線クライアント、アクセスポイント、認証サーバーの処理の流れを説明するシーケンスチャートである。
【図６】認証サーバー端末における生成アルゴリズム管理テーブルである。
【図７】認証サーバー端末におけるクライアント管理テーブルである。
【図８】従来の技術を示すシーケンスチャートである。
【図９】無線クライアント端末における公開鍵／秘密鍵の対応関係を管理するための管理テーブルを示す図である。
【符号の説明】
１０１　　ネットワーク
１０２　　認証サーバー
１０３　　ＨＰサーバー
１０４　　有線クライアント端末
１０５　　アクセスポイント
１０６　　無線クライアント端末
６０１　　生成アルゴリズム管理テーブル
７０１　　クライアント管理テーブル
９０１　　公開鍵／秘密鍵対応管理テーブル

Claims (11)

1. クライアントと、該クライアントと通信により接続するアクセスポイントと、該アクセスポイントとネットワークにより接続し、該クライアントの認証要求を判断する認証サーバーと、を有する通信システムにおいて、
   前記クライアントは、
   公開鍵と、該公開鍵で暗号化されたデータを解読するための秘密鍵とを管理する鍵管理手段と、
   前記公開鍵と、システムに対する認証要求データと、を含む第１送信データを生成し、前記アクセスポイントに送信する第１送信手段と、
   前記認証要求データに基づき生成された暗号化方式キーを前記公開鍵により暗号化されたデータとして、前記アクセスポイントから受信する第１受信手段と、
   前記受信した暗号化方式キーを、前記秘密鍵により解読する解読手段と、
   前記解読された暗号化方式キーに基づき、前記アクセスポイントとの間の通信データを暗号化する第１暗号化手段と、を備え、
   前記アクセスポイントは、
   前記第１送信データを受信し、該第１送信データから前記公開鍵と、認証要求データを含む第２送信データとを分離するデータ分離手段と、
   前記第２送信データを前記認証サーバーに送信する第２送信手段と、
   前記認証要求データに基づき生成された暗号化方式キーを前記認証サーバーから受信する第２受信手段と、
   前記受信した暗号化方式キーを、前記分離した公開鍵により暗号化して、前記クライアントに対して送信する第３送信手段と、
   前記暗号化方式キーに基づき、前記クライアントとの間の通信データを暗号化する第２暗号化手段と、を備え、
   前記認証サーバーは、
   前記受信した第２送信データに含まれる認証要求データに基づき、前記クライアントの認証要求を判断する認証手段と、
   前記認証要求の判断の結果に従い、認証された前記クライアントと、前記アクセスポイントとの間で暗号化された通信を可能にする暗号化方式キーを生成する生成手段と、
   前記生成された暗号化方式キーを前記アクセスポイントに送信する第４送信手段と、
   を備えることを特徴とする通信システム。
2. 前記鍵管理手段は、複数種の公開鍵と秘密鍵の組合わせを管理し、
   前記システムに対する認証要求データの生成時に、前記複数種の公開鍵の内から１つを選択することを特徴とする請求項１に記載の通信システム。
3. 前記クライアントにおいて、生成される第１送信データには、ユーザー名と、パスワードに関する情報が含まれることを特徴とする請求項１に記載の通信システム。
4. 前記認証サーバーにおける前記認証手段は、前記認証要求を判断するために、登録ユーザー名とパスワードに関する情報を格納するクライアント管理テーブルを有し、該テーブルに格納されている情報と、前記クライアントから送信されたユーザー名と、パスワードに関する情報と、を照合することを特徴とする請求項１に記載の通信システム。
5. 前記認証サーバーにおける生成手段は、前記暗号化方式キーを生成するための生成アルゴリズムを複数種格納する管理テーブルを有し、
   該管理テーブルに格納されているいずれか１つの生成アルゴリズムの選択に基づき該暗号化方式キーを生成することを特徴とする請求項１に記載の通信システム。
6. 前記管理テーブルは、前記生成アルゴリズムを一元的に管理することを特徴とする請求項５に記載の通信システム。
7. 前記生成手段が生成する暗号化方式キーは、ＩＥＥＥ８０２．１１規格で規定されるＷＥＰキーであることを特徴とする請求項１に記載の通信システム。
8. 前記クライアントと前記アクセスポイントとは無線通信により接続し、前記アクセスポイントと前記認証サーバーとは有線通信により接続することを特徴とする請求項１に記載の通信システム。
9. クライアントと、該クライアントと通信により接続するアクセスポイントと、該アクセスポイントとネットワークにより接続し、該クライアントの認証要求を判断する認証サーバーと、を有する通信システムにおける認証方法であって、
   前記クライアントにおいて実行される処理は、
   公開鍵と、該公開鍵で暗号化されたデータを解読するための秘密鍵とを管理する鍵管理工程と、
   前記公開鍵と、システムに対する認証要求データと、を含む第１送信データを生成し、前記アクセスポイントに送信する第１送信工程と、
   前記認証要求データに基づき生成された暗号化方式キーを前記公開鍵により暗号化されたデータとして、前記アクセスポイントから受信する第１受信工程と、
   前記受信した暗号化方式キーを、前記秘密鍵により解読する解読工程と、
   前記解読された暗号化方式キーに基づき、前記アクセスポイントとの間の通信データを暗号化する第１暗号化工程と、を有し、
   前記アクセスポイントにおいて実行される処理は、
   前記第１送信データを受信し、該第１送信データから前記公開鍵と、認証要求データを含む第２送信データとを分離するデータ分離工程と、
   前記第２送信データを前記認証サーバーに送信する第２送信工程と、
   前記認証要求データに基づき生成された暗号化方式キーを前記認証サーバーから受信する第２受信工程と、
   前記受信した暗号化方式キーを、前記分離した公開鍵により暗号化して、前記クライアントに対して送信する第３送信工程と、
   前記暗号化方式キーに基づき、前記クライアントとの間の通信データを暗号化する第２暗号化工程と、を有し、
   前記認証サーバーにおいて実行される処理は、
   前記受信した第２送信データに含まれる認証要求データに基づき、前記クライアントの認証要求を判断する認証工程と、
   前記認証要求の判断の結果に従い、認証された前記クライアントと、前記アクセスポイントとの間で暗号化された通信を可能にする暗号化方式キーを生成する生成工程と、
   前記生成された暗号化方式キーを前記アクセスポイントに送信する第４送信工程と、
   を有することを特徴とする認証方法。
10. 請求項９に記載の認証方法をコンピュータに実施させるためのプログラム。
11. 請求項１０に記載のプログラムをコンピュータ読み出し可能に記録した記録媒体。

Images