JP2004023166A - モバイル通信サービスシステム - Google Patents
モバイル通信サービスシステム Download PDFInfo
- Publication number
- JP2004023166A JP2004023166A JP2002171676A JP2002171676A JP2004023166A JP 2004023166 A JP2004023166 A JP 2004023166A JP 2002171676 A JP2002171676 A JP 2002171676A JP 2002171676 A JP2002171676 A JP 2002171676A JP 2004023166 A JP2004023166 A JP 2004023166A
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- wireless
- communication service
- mobile communication
- connection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
【課題】本発明は無線アクセスの場合であっても高いセキュリティを確保することが可能なモバイル通信サービスシステムを提供することを目的とする。
【解決手段】無線端末１０との間で無線通信回線を形成する少なくとも１つの無線接続システム２０と、少なくとも１つの自律ネットワーク３０とが所定の有線ネットワーク４０に接続され、無線端末１０からの要求に従って自律ネットワーク３０に対する無線アクセスサービスを無線端末１０に提供するモバイル通信サービスシステムにおいて、無線端末１０を使用する利用者の本人性の証明に利用される証明書データを発行する認証局５０と、認証局５０が発行した証明書データに基づき、無線端末１０からの無線アクセス要求に対して利用者の本人性の認証を行う主認証装置６０とを設けたことを特徴とするモバイル通信サービスシステム。
【選択図】 図１
【解決手段】無線端末１０との間で無線通信回線を形成する少なくとも１つの無線接続システム２０と、少なくとも１つの自律ネットワーク３０とが所定の有線ネットワーク４０に接続され、無線端末１０からの要求に従って自律ネットワーク３０に対する無線アクセスサービスを無線端末１０に提供するモバイル通信サービスシステムにおいて、無線端末１０を使用する利用者の本人性の証明に利用される証明書データを発行する認証局５０と、認証局５０が発行した証明書データに基づき、無線端末１０からの無線アクセス要求に対して利用者の本人性の認証を行う主認証装置６０とを設けたことを特徴とするモバイル通信サービスシステム。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
本発明は、無線端末との間で無線通信回線を形成する少なくとも１つの無線接続システムと、少なくとも１つの自律ネットワークとが所定の有線ネットワークに接続され、前記無線端末からの要求に従って前記自律ネットワークに対する無線アクセスサービスを前記無線端末に提供するモバイル通信サービスシステムに関し、特にセキュリティを確保するための技術に関する。
【０００２】
【従来の技術】
ＩＥＥＥ ８０２．１１ｂに代表される無線技術の普及により、従来は有線のみであったインターネットへのアクセスに無線アクセスが浸透しつつある。また、家庭内のＬＡＮ環境を無線化するだけでなく、例えばホテルのロビーなどの公衆環境において、いわゆるホットスポットと呼ばれる無線アクセスポイントを設置し、公衆の場所で特定の利用者、あるいは不特定の利用者が無線アクセスを利用できる環境も登場し始めている。すなわち、インターネットアクセスの技術及びその利用形態が多様化する傾向にある。
【０００３】
無線アクセスが普及し、公衆環境でのアクセスの機会が高まるにつれて、無線盗聴やパスワードの漏洩などの可能性が高まる。従って、高度なセキュリティを実現する必要がある。また、有線や無線というアクセス形態にかかわらず同等なサービスを利用できるのが望ましい。
従来のＩＥＥＥ ８０２．１１ｂの技術では、暗号化技術としてＷＥＰ（ＷｉｒｅｄＥｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）を用いている。しかし、ＷＥＰでは暗号化で用いるキーが固定であるため、暗号強度が脆弱であるという問題がある。
【０００４】
また、従来のようにユーザＩＤ及びパスワードを用いて認証を行う場合には、パスワードが他人に漏洩した場合に、他人が本人になりすましてアクセスするような状況を回避できない。従って、より高度なセキュリティ技術が要求される。
更に、アクセス種別によらず同等のサービスを実現し、しかも高度なセキュリティを実現するためには、一般に、既存の有線網に対する少なからぬ変更が要求される場合が多く、サービスのコストが高くなる傾向にある。
【０００５】
【発明が解決しようとする課題】
無線アクセスが普及し、公衆環境でのアクセスの機会が高まるにつれて、高度なセキュリティを実現する必要がある。また、有線・無線というアクセス形態にかかわらず同等なサービスを利用できることが望ましい。このような観点から、次のような課題を解決する必要がある。
【０００６】
（１）本人性認証：公衆環境で無線アクセスする場合にユーザＩＤ及びパスワードを用いて認証すると、ユーザＩＤ及びパスワードが漏洩したり衆目にさらされる危険があり、不正に取得したユーザＩＤ及びパスワードを用い、他人が本人になりすまして不正アクセスする可能性がある。
（２）無線通信の脆弱性：代表的な無線通信方式であるＩＥＥＥ ８０２．１１ｂで用いている暗号化技術（ＷＥＰ）では、暗号鍵を固定的に使用しているので、無線パケットをモニタすれば暗号鍵を解読することが可能であり、他人が解読した暗号鍵を用いて不正にアクセスする可能性がある。
【０００７】
（３）既存有線システムとの適合性：既存の有線システムに高いセキュリティを実現する機能を備えた無線アクセスシステムを追加導入しようとすると、システム間の適合性の問題により既存設備を変更しなければならないことが多く、コストの増大につながる可能性がある。
本発明は、無線アクセスの場合であっても高いセキュリティを確保することが可能なモバイル通信サービスシステムを提供することを目的とする。
【０００８】
【課題を解決するための手段】
上記の課題を解決するために、本発明のモバイル通信サービスシステムは次のように構成する。
（１）ハードウェアデバイスである本人認証装置を本システムの利用者が保持し、本人認証装置を端末に接続し、かつ認証局によって発行された証明書によって本人性が認証された場合にのみ利用が許可されるものとする。これにより不正利用を防止する。
【０００９】
（２）無線通信におけるＷＥＰの暗号鍵を定期的に更新し、暗号鍵解読の可能性を低減する。
（３）既にこのシステムに接続している自律ネットワークと同様の形態で認証システムをネットワークに接続する。これにより、既存システムを変更することなく認証システムを追加できる。
【００１０】
（４）本人性認証用の論理パスと自律ネットワークヘのアクセス用論理パスをと互いに阻害することなく同時併用可能になるように構成し、無線アクセスポイントと論理パス接続機能を持ったルータとを接続する。
すなわち、請求項１は、無線端末との間で無線通信回線を形成する少なくとも１つの無線接続システムと、少なくとも１つの自律ネットワークとが所定の有線ネットワークに接続され、前記無線端末からの要求に従って前記自律ネットワークに対する無線アクセスサービスを前記無線端末に提供するモバイル通信サービスシステムにおいて、前記無線端末を使用する利用者の本人性の証明に利用される証明書データを発行する認証局と、前記認証局が発行した証明書データに基づき、前記無線端末からの無線アクセス要求に対して利用者の本人性の認証を行う主認証装置とを設けたことを特徴とする。
【００１１】
請求項１においては、無線端末から自律ネットワーク（例えば、インターネット・サービス・プロバイダ）に対して無線回線を介してアクセスしようとする場合に、ネットワーク上で前記主認証装置が利用者の本人性の認証を行う。この認証においては、前記認証局が発行した証明書データを利用するので、例えば漏洩した利用者のＩＤやパスワードを他人が用い、他人が本人になりすまして無線アクセスを試みる場合には、前記主認証装置で認証に失敗する。従って、なりすましによる無線アクセスを防止できる。
【００１２】
請求項２は、請求項１のモバイル通信サービスシステムにおいて、利用者の本人性を表す識別情報を出力する本人認証装置を、前記無線端末に接続可能な状態で配置するか、もしくは前記無線端末に内蔵し、前記主認証装置の認証結果により、利用者の本人性の認証に成功した場合には、前記無線端末の種別とは無関係に前記無線端末の無線アクセスを許可する無線アクセス制御装置を更に設けたことを特徴とする。
【００１３】
請求項２においては、それぞれの利用者が個別に所持する本人認証装置を用いて認証を行う。この本人認証装置には、例えば前記認証局が予め発行した証明書データや暗号鍵などの情報を保持しておく。前記主認証装置においては、本人認証装置が保持している情報を受け取り、その情報に基づいて本人性の認証を行うので、パスワードなどを用いる必要がなく、確実な本人認証が可能になる。
【００１４】
請求項３は、請求項１のモバイル通信サービスシステムにおいて、前記主認証装置に、前記無線接続システム内の要求元との間の認証経路に関する論理パスを認証する論理パス接続用認証装置と、利用者の本人性の認証を行う本人認証管理装置と、前記有線ネットワークと接続され前記論理パス接続用認証装置及び本人認証管理装置の接続経路を制御する経路制御装置とを設け、前記論理パス接続用認証装置による認証に成功した場合のみ、前記本人認証管理装置に対するアクセスを許可することを特徴とする。
【００１５】
請求項３においては、論理パス接続用認証装置を用いることにより、認証要求が入力された場合に、その要求が正規の認証要求元（予め登録されている無線接続システム）からのものであることを確認することができるので不正な認証要求を拒否するすることができる。正規の認証要求元からの認証要求を受けた場合には、本人認証管理装置が利用者に対する本人認証を実施する。
【００１６】
また、前記論理パス接続用認証装置及び本人認証管理装置の接続経路を制御する経路制御装置を設けることにより、主認証装置を既存の自律ネットワークと同様の形態で有線ネットワークに接続することができ、既存システムに変更を加える必要がない。
請求項４は、請求項３のモバイル通信サービスシステムにおいて、接続を要求した無線端末の接続先の自律ネットワークとは異なる論理パスに前記主認証装置の論理パスを割り当て、利用者の本人性の認証が必要になった場合に、予め定めた論理パスに従って前記主認証装置に対する接続を処理する認証経路制御装置を前記無線接続システムに設けたことを特徴とする。
【００１７】
請求項４においては、主認証装置と自律ネットワークとにそれぞれ異なる論理パスを割り当ててあるので、主認証装置の処理と自律ネットワークの処理とを完全に分離することができ、様々な利用者の認証情報を主認証装置で一元的に管理できる。
請求項５は、請求項４のモバイル通信サービスシステムにおいて、前記無線接続システム内の無線装置及び前記認証経路制御装置と接続される全てのインタフェースを同一のセグメントに接続することを特徴とする。
【００１８】
請求項６は、請求項２のモバイル通信サービスシステムにおいて、前記本人認証装置に関する処理と、前記主認証装置に対する通信の接続処理と、前記自律ネットワークに対する通信の接続処理とを統合的に管理する通信管理手段を前記無線端末に設けたことを特徴とする。
本発明のモバイル通信サービスシステムを利用する場合には、無線アクセスのために無線端末において様々な手続きを行う必要があるが、請求項６においては通信管理手段がこれらの処理の手順などを統合的に管理しているので、利用者の行うべき操作を減らすことができる。
【００１９】
請求項７は、請求項４のモバイル通信サービスシステムにおいて、前記有線ネットワークに前記無線接続システムを複数接続した場合に、各々の無線接続システムに個別に識別情報を割り当てておき、前記主認証装置に前記無線接続システムからの論理パス接続要求が入力された場合に、論理パスの認証に成功すると、前記無線接続システムに対して識別情報毎に固有のホストアドレスを払い出すアドレス発行手段を前記主認証装置に設けたことを特徴とする。
【００２０】
請求項８は、請求項４のモバイル通信サービスシステムにおいて、前記有線ネットワークに前記無線接続システムを複数接続した場合に、各々の無線接続システムに個別に識別情報を割り当てておき、前記主認証装置に前記無線接続システムからの論理パス接続要求が入力された場合に、論理パスの認証に成功すると、前記無線接続システムに対して識別情報毎に固有のネットワークアドレスを払い出すアドレス発行手段を前記主認証装置に設けたことを特徴とする。
【００２１】
請求項９は、請求項４のモバイル通信サービスシステムにおいて、前記無線接続システム内の無線装置及び認証経路制御装置を一体に構成し、認証に成功した場合には、前記無線装置のインタフェースへのアクセスを許可し前記認証経路制御装置を跨いで前記有線ネットワークに接続するアクセス制御手段を前記無線接続システムに設けたことを特徴とする。
【００２２】
請求項１０は、請求項９のモバイル通信サービスシステムにおいて、前記ブリッジ制御手段は前記無線装置で受信したパケットのみを前記有線ネットワーク側に送出するように通過するパケットを規制することを特徴とする。
【００２３】
【発明の実施の形態】
本発明のモバイル通信サービスシステムの１つの実施の形態について、図１〜図１０を参照して説明する。この形態は全ての請求項に対応する。
【００２４】
図１はシステム全体の構成例を示すブロック図である。図２は自律ネットワークの構成例を示すブロック図である。図３は利用者端末の構成例を示すブロック図である。図４は無線接続システムの構成例を示すブロック図である。図５は使用する証明書の受け渡しを示す模式図である。
図６はシステム全体の処理手順を示すフローチャートである。図７は認証パス接続動作を示すブロック図である。図８は８０２．１ｘアクセス制御の動作を示すブロック図である。図９はＩＳＰ接続動作を示すブロック図である。図１０は無線接続システムの構成例を示すブロック図である。
【００２５】
この形態では、請求項１の無線端末，無線接続システム，自律ネットワーク，有線ネットワーク，認証局及び主認証装置は、それぞれ利用者端末１０，無線接続システム２０，自律ネットワーク３０，有線ネットワーク４０，認証局５０及び認証システム６０に対応する。
また、請求項２の本人認証装置及び無線アクセス制御装置は、それぞれ本人認証装置１１及び無線アクセスポイント装置２１に対応する。
【００２６】
請求項３の論理パス接続用認証装置，本人認証管理装置及び経路制御装置は、それぞれ認証パス接続用認証サーバ６２，本人認証用認証サーバ６３及びＩＰルータ群６１に対応する。
【００２７】
また、請求項４の認証経路制御装置は認証パス接続用ＰＰＰｏＥルータ２３に対応する。請求項６の通信管理手段は認証機能統合型通信ソフトウェア１５に対応する。請求項７のアドレス発行手段は認証パス接続用認証サーバ６２に対応する。請求項８のアドレス発行手段は認証パス接続用認証サーバ６２に対応する。請求項９のアクセス制御手段は無線部８１に対応する。
【００２８】
この形態のモバイル通信サービスシステムは、図１に示すように利用者端末１０，本人認証装置１１，無線接続システム２０，自律ネットワーク３０，有線ネットワーク４０，認証局５０及び認証システム６０を備えている。
図１の例では、複数の無線接続システム２０（１），２０（２），・・・，２０（Ｎ）及び複数の自律ネットワーク３０（１），３０（２），・・・，３０（Ｎ）がそれぞれ有線ネットワーク４０に接続されている。
【００２９】
各無線接続システム２０は、それぞれが利用者端末１０に対して無線アクセスを提供するためのホットスポットを構成する。
無線接続システム２０には、図４に示すように無線アクセスポイント装置２１，集線装置２２，認証パス接続用ＰＰＰｏＥルータ２３及びメディア変換装置２４が備わっている。認証パス接続用ＰＰＰｏＥルータ２３は、認証システム６０への論理パス接続機能を果たす。
【００３０】
認証システム６０は、図１に示すようにＩＰルータ群６１，認証パス接続用認証サーバ６２及び本人認証用認証サーバ６３を備えている。ＩＰルータ群６１は、本人認証の際に信号の経路を制御する。認証パス接続用認証サーバ６２は、本人認証時の論理パスを認証する。この認証システム６０には、「ｄｏｍａｉｎ−Ａ」のドメイン名が予め付与されている。
【００３１】
認証局５０は、ルート認証局５１，中間認証局（Ａ）５２及び中間認証局（Ｂ）５３を備えている。
各自律ネットワーク３０は、図２に示すように、ＩＰルータ群３１，ＩＳＰ（インターネット・サービス・プロバイダ）接続用認証サーバ３２及び複数のＩＳＰサーバ３３（ａ）〜３３（ｎ）を備えている。
【００３２】
ＩＰルータ群３１は信号経路を制御する。ＩＳＰ接続用認証サーバ３２は各ＩＳＰサーバ３３へアクセスする際の論理パス接続の認証を行う。また、図２の自律ネットワーク３０には「ｄｏｍａｉｎ−Ｉ」のドメイン名が予め付与されている。
有線ネットワーク４０は、ＰＰＰｏＥ（ＰＰＰ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ（Ｅｔｈｅｒｎｅｔは登録商標））ネットワークとして構成されている。ここでは、通信方式としてのＰＰＰｏＥ方式は、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）のＲＦＣ２５１６の規定に準拠している。
【００３３】
利用者端末１０には、図３に示すように無線インタフェース１２，端末本体１３，認証装置接続用コネクタ１４及び認証機能統合型通信ソフトウェア１５が備わっている。認証装置接続用コネクタ１４にはハードウェアとして構成された本人認証装置１１を接続することができる。
無線インタフェース１２はＩＥＥＥ ８０２．１１ｂの規格に準拠しており、無線接続システム２０の無線アクセスポイントとの間で無線通信を行うために備わっている。
【００３４】
認証機能統合型通信ソフトウェア１５は、利用者端末１０の通信を制御し、無線アクセスなどを行う際の認証制御を行う。この形態では、認証機能統合型通信ソフトウェア１５の制御により、認証の際に利用者が所持している本人認証装置１１を接続し、ＲＦＣ２７１６で規定されたＥＡＰ−ＴＬＳ方式による認証動作に対応できる。
【００３５】
また、利用者端末１０はルート認証局５１自らが予め発行したＩＳＯ Ｘ．５０９形式準拠のルート認証局証明書７１（図５参照）を保持している。
本人認証装置１１は、例えばＵＳＢインタフェースなどを介して利用者端末１０と接続される独立したハードウェア装置である。各本人認証装置１１は記憶装置を内蔵しており、８０２．１ｘアクセス制御における本人認証動作に用いるＥＡＰ−ＴＬＳ方式に必要な利用者秘密鍵７４と中間認証局（Ａ）５２が発行した利用者証明書７３と、ルート認証局５１が発行した中間認証局（Ａ）証明書７２とをデータとして保持している。これら全ての証明書は、ＩＳＯ Ｘ．５０９形式に準拠している。なお、ルート認証局５１は中間認証局（Ａ）５２及び中間認証局（Ｂ）５３を認証するために存在する。
【００３６】
無線接続システム２０の無線アクセスポイント装置２１は、ＩＥＥＥ ８０２．１１ｂの規格に準拠しており、各利用者端末１０との間で無線通信を行う機能を備えている。また、無線アクセスポイント装置２１は集線装置２２と接続するためのイーサネット（登録商標）のインタフェースを備えている。
更に、無線アクセスポイント装置２１は８０２．１ｘ準拠のポートアクセス制御機能を持ち、認証プロトコルにはＥＡＰ−ＴＬＳを用いる。無線アクセスポイント装置２１の集線装置２２と接続するインタフェースには、この例ではＩＰアドレスとして「ａｄｒ−Ａ」を割り当てる。
【００３７】
このＩＰアドレス「ａｄｒ−Ａ」は、認証パス接続用認証サーバ６２から認証パス接続用ＰＰＰｏＥルータ２３のＷＡＮ側インタフェースに対して払い出されるＩＰアドレス「ａｄｒ−Ｃ」のネットマスク値が３２ビットの場合にはプライベートアドレスとし、ネットマスク値が３２ビット未満の場合には「ａｄｒ−Ｃ」とネットワークアドレスを同一とし、かつ「ａｄｒ−Ｃ」と異なる値に定める。
【００３８】
また、いずれの場合も、ＩＰアドレス「ａｄｒ−Ａ」は認証パス接続用ＰＰＰｏＥルータ２３のＬＡＮ側インタフェースに割り当てられるＩＰアドレス「ａｄｒ−Ｂ」とネットワークアドレスを同一とする。
無線アクセスポイント装置２１の初期経路（デフォルトルート）は、図４に示すように認証パス接続用ＰＰＰｏＥルータ２３のＬＡＮ側インタフェース、すなわちＩＰアドレス「ａｄｒ−Ｂ」に定めておく。また、８０２．１ｘに準拠した認証を実施するために、無線アクセスポイント装置２１はＩＰアドレス「ａｄｒ−Ｒ」の本人認証用認証サーバを指定するように定めておく。
【００３９】
認証パス接続用ＰＰＰｏＥルータ２３は、ＬＡＮ側及びＷＡＮ側にそれぞれ独立したイーサネットのインタフェースを持ち、ＩＰパケットのルーティング機能及びＰＰＰｏＥクライアントとしての通信機能を持つ。認証パス接続用ＰＰＰｏＥルータ２３のＬＡＮ側のインタフェースにはＩＰアドレス「ａｄｒ−Ｂ」を割り当てておく。
【００４０】
ＩＰアドレス「ａｄｒ−Ｂ」については、認証パス接続用認証サーバ６２から認証パス接続用ＰＰＰｏＥルータ２３のＷＡＮ側インタフェースに対して払い出されるＩＰアドレス「ａｄｒ−Ｃ」のネットマスク値が３２ビットの場合にはプライベートアドレスとし、ネットマスク値が３２ビット未満の場合は「ａｄｒ−Ｃ」とネットワークアドレスを同一とする。なお、認証パス接続用ＰＰＰｏＥルータ２３のＷＡＮ側インタフェースに「ａｄｒ−Ｃ」を付加しないｕｎｎｕｍｂｅｒｅｄ接続も可能である。
【００４１】
また、いずれの場合もＩＰアドレス「ａｄｒ−Ｂ」は無線アクセスポイント装置２１の有線側インタフェースに割り当てられるＩＰアドレス「ａｄｒ−Ａ」とネットワークアドレスを同一にする。また、上記ネットマスク値が３２ビットの場合には、認証パス接続用ＰＰＰｏＥルータ２３において、「ａｄｒ−Ａ」，「ａｄｒ−Ｂ」などのＬＡＮ側プライベートアドレスと「ａｄｒ−Ｃ」とのアドレス変換（ＮＡＴ）を実施する。
【００４２】
集線装置２２は、無線アクセスポイント装置２１と、認証パス接続用ＰＰＰｏＥルータ２３のＬＡＮ側及びＷＡＮ側と、メディア変換装置２４との各インタフェースをイーサネットの同一セグメントとして接続する。
メディア変換装置２４は、イーサネットとＰＰＰｏＥネットワークとの相互接続のために、信号のメディア変換を実施する。
【００４３】
有線ネットワーク４０は、無線接続システム２０側からのＰＰＰｏＥ通信設定時に指定されるユーザ名内のドメイン名に応じて通信先を選択することができ、かつＰＰＰｏＥを終端してＰＰＰ通信（ＲＦＣ２１５３）に変換するドメイン振り分け機能と、ＰＰＰ通信を終端してＩＰ通信に変換する機能とを有する。
【００４４】
これにより、有線ネットワーク４０においては、無線接続システム２０側からＰＰＰｏＥパスによる通信を可能とし、自律ネットワーク３０及び認証システム６０からは通常のＩＰ通信を実現する。
認証局５０のルート認証局５１は、ＩＳＯ Ｘ．５０９形式に準拠して中間認証局（Ａ）５２及び中間認証局（Ｂ）５３に対する証明書及びルート認証局５１自身に対する証明書を発行する。中間認証局（Ａ）５２及び中間認証局（Ｂ）５３は、それぞれＩＳＯ Ｘ．５０９形式に準拠して利用者端末１０及び本人認証用認証サーバ６３に対する証明書を発行する。
【００４５】
各自律ネットワーク３０内のＩＳＰ接続用認証サーバ３２は、有線ネットワーク４０内のＰＰＰ終端機能を持つ装置から呼び出され、ＰＰＰｏＥ通信接続要求時に利用者端末１０から指定された利用者ＩＤ及び利用者パスワードを、Ｒａｄｉｕｓ方式（ＲＦＣ２１３８）に準拠して認証する。認証結果は呼び出し元であるＰＰＰ終端機能を持つ装置に返される。
【００４６】
また、ＩＳＰ接続用認証サーバ３２は図２に示すように、認証成功の場合に利用者端末１０の無線インタフェースに払い出すＩＰアドレスと３２ビットのネットマスク値を利用者ＩＤ毎に保持している。
これは、Ｒａｄｉｕｓの属性として、それぞれＦｒａｍｅｄ−ＩＰ−Ａｄｄｒｅｓｓ（Ｔｙｐｅ４）、Ｆｒａｍｅｄ−ＩＰ−Ｎｅｔｍａｓｋ（Ｔｙｐｅ９）（括弧内はアトリビュートタイプ値，ＲＦＣ２１３８にて規定）によって設定される。
【００４７】
各自律ネットワーク３０内の各ＩＳＰサーバ３３は、ＩＳＰ接続用認証サーバ３２による認証が正常に終了した後に、利用者端末１０からのアクセスを受け付けてインターネット接続サービスを提供する。また、ＩＰルータ群３１を経由して他の自律ネットワークへの接続も可能である。
【００４８】
認証システム６０の認証パス接続用認証サーバ６２は、有線ネットワーク４０内のＰＰＰ終端機能を持つ装置から呼び出され、無線接続システム２０内の認証パス接続用ＰＰＰｏＥルータ２３がＰＰＰｏＥ通信接続要求時に指定した利用者ＩＤ及び利用者パスワードをＲａｄｉｕｓ方式（ＲＦＣ２１３８）に準拠して認証する。認証結果は呼び出し元であるＰＰＰ終端機能を持つ装置に返される。
【００４９】
また、認証パス接続用認証サーバ６２は認証成功の場合に認証パス接続用ＰＰＰｏＥルータ２３のＷＡＮ側インタフェースに払い出すＩＰアドレスとネットマスク値とを利用者ＩＤ毎に保持している。
これは、Ｒａｄｉｕｓの属性として、それぞれＦｒａｍｅｄ−ＩＰ−Ａｄｄｒｅｓｓ（Ｔｙｐｅ４）、Ｆｒａｍｅｄ−ＩＰ−Ｎｅｔｍａｓｋ（Ｔｙｐｅ９）（括弧内はアトリビュートタイプ値，ＲＦＣ２１３８にて規定）によって設定される。
【００５０】
本人認証用認証サーバ６３は、無線接続システム２０の無線アクセスポイント装置２１を介して利用者端末１０との間でＥＡＰ−ＴＬＳ通信を行い、無線アクセスポイント装置２１にアクセス使用としている利用者端末１０に接続された本人認証装置１１の正当性を確認することにより、利用者の本人認証を実施する。
本人認証用認証サーバ６３には、本人認証動作に用いるＥＡＰ−ＴＬＳ方式に必要な、本人認証用認証サーバ秘密鍵７８，中間認証局（Ｂ）５３発行の本人認証用認証サーバ証明書７７及びルート認証局５１発行の中間認証局（Ｂ）証明書７６及びルート認証局５１自身を証明するためのルート認証局証明書７５の各データが保持されている（図５参照）。
【００５１】
これらの全ての証明書は、ＩＳＯ Ｘ．５０９形式に準拠している。なお、ルート認証局５１は中間認証局（Ｂ）５３を認証する関係にある。
認証システム６０のＩＰルータ群６１は、認証システム６０を通るＩＰパケットの経路を制御する。
次に、システム全体の具体的な動作について説明する。このシステムの動作は、利用者端末１０からのＩＳＰ接続要求を契機として、図６に示すような４つのステップＳ２０，Ｓ３０，Ｓ４０，Ｓ５０で処理される。各ステップの詳細について以下に説明する。
【００５２】
なお、ステップＳ２０がＳ３０の直後に実施されることもある。この場合は、ステップＳ３０を明示的に起動する必要があるが、本質的な動作内容は同等である。
（Ｓ２０）ＩＳＰ接続要求：
これは利用者端末１０側から自律ネットワーク３０に対してＰＰＰｏＥパスを接続しようとする要求動作であり、利用者端末１０からＰＰＰｏＥ接続要求を無線アクセスポイント装置２１経由で有線ネットワーク４０に向けて送出することである。具体的な動作は次のとおりである。
【００５３】
（ａ）利用者の操作により本人認証装置１１を利用者端末１０に接続し、所望のＩＳＰに対する接続のための入力を行う。
（ｂ）本人認証装置１１が利用者端末１０に接続された状態で、利用者端末１０に組み込まれた認証機能統合型通信ソフトウェア１５の働きにより、利用者端末１０から目的のＩＳＰに対してＰＰＰｏＥ通信による通信接続要求のためのＰＡＤＩフレーム（ＲＦＣ２５１６）を利用可能な無線アクセスポイントに向けて送信する。
【００５４】
ここでは、例えば利用者ＩＤとして「ｕｓｅｒ−Ｉ＠ｄｏｍａｉｎ−Ｉ」を指定し、利用者パスワードとして「ｐ−Ｉ」を指定して通信接続を要求する。
なお、特に断りの無い限り、これ以降では、利用者端末１０の８０２．１ｘに伴うＥＡＰ−ＴＬＳ動作及びＰＰＰｏＥ通信動作は、その利用者端末１０上で動作している認証機能統合型通信ソフトウェア１５もしくは同等の機能を持つ複数のソフトウェアの組み合わせの働きによって実現されるものとする。
【００５５】
（Ｓ３０）認証パスの接続（図７参照）：
（ａ）無線アクセスポイント装置２１は利用者端末１０からのアクセスを検知し、認証済みではない場合、あるいは再度の認証が必要な場合に、８０２．１ｘ準拠のアクセス制御を行う。そのために、無線アクセスポイント装置２１と利用者端末１０との間でＥＡＰＯＬ（ＥＡＰ ｏｖｅｒ ＬＡＮ）方式（８０２．１ｘにて規定）の通信を確立する（Ｓ３ａ）。なお、認証済みの場合にはステップＳ５０の動作を行う。
【００５６】
（ｂ）無線アクセスポイント装置２１は、アドレス「ａｄｒ−Ｒ」で指定される本人認証用認証サーバ６３との間でＥＡＰ方式による認証を実施するために、認証パケットをデフォルトルートの設定に従って、認証パス接続用ＰＰＰｏＥルータ２３に転送する（Ｓ３ｂ）。
（ｃ）認証パス接続用ＰＰＰｏＥルータ２３は、受け取った認証パケットをＷＡＮ側インタフェースからＰＰＰｏＥ通信として本人認証用認証サーバ６３に転送する。このとき、認証システム６０へのＰＰＰｏＥ認証パスが確立していない場合には、ＷＡＮ側のインタフェースからＰＡＤＩフレームを送信する。このＰＡＤＩフレームは、イーサネットアドレスとしてブロードキャストアドレスを持つため、集線装置２２を介して、メディア変換装置２４経由で有線ネットワーク４０に到達する。
【００５７】
ここで、ＰＰＰｏＥ通信確立のために必要な利用者ＩＤである「ｕｓｒ−Ａ」と利用者パスワード「ｐ−Ａ」には、認証パス接続用ＰＰＰｏＥルータ２３に予め定めてあるものが用いられる。認証パス接続用認証サーバ６２によって認証が正常終了した後に、ＰＰＰｏＥ通信が確立し、認証システム６０との間で認証パスが確立する。
【００５８】
このとき、認証パス接続用認証サーバ６２は、利用者ＩＤ毎に保持している「Ｆｒａｍｅｄ−ＩＰ−Ａｄｄｒｅｓｓ」，「Ｆｒａｍｅｄ−Ｎｅｔｍａｓｋ」属性のそれぞれの値に従って、認証パス接続用ＰＰＰｏＥルータ２３のＷＡＮ側インタフェースにＩＰアドレス「ａｄｒ−Ｃ」とそのネットマスク値を割り当てる。また、「ａｄｒ−Ｃ」を付加しないｕｎｎｕｍｂｅｒｅｄ接続も可能である。
【００５９】
これによって、無線アクセスポイント装置２１を介して利用者端末１０と本人認証用認証サーバ６３との間でＥＡＰ−ＴＬＳ通信が可能になる。なお、認証パスの接続は、ステップＳ５０のＩＳＰ接続制御と同等の動作になる。
（Ｓ４０）８０２．１ｘアクセス制御（図８参照）：
（ａ）証明書の転送
利用者端末１０と無線アクセスポイント装置２１との間のＥＡＰＯＬ，無線アクセスポイント装置２１と本人認証用認証サーバ６３との間のＥＡＰ通信パスによって構成されるＥＡＰ−ＴＬＳ方式によって、本人認証装置１１内に保持されている中間認証局（Ａ）証明書７２及び利用者証明書７３が本人認証用認証サーバ６３に転送される。なお、利用者秘密鍵７４は本人認証装置１１の外部に転送されることはない。
【００６０】
また、本人認証用認証サーバ６３から利用者端末１０に対して、本人認証用認証サーバ証明書７７及び中間認証局（Ｂ）証明書７６が転送される。
（ｂ）本人認証用認証サーバ６３と利用者端末１０との間で、ＥＡＰ−ＴＬＳの規定に従って認証が行われる。ここで、本人認証用認証サーバ６３は利用者に対する認証を行い、利用者端末１０は本人認証用認証サーバ６３に対する認証を行う。
【００６１】
（ｃ）アクセス制御
上述の利用者認証が成功した場合、当該利用者端末１０からの無線アクセスポイント装置２１へのアクセスが許可され、ステップＳ２０の説明中に記述したＰＡＤＩフレームを含むＰＰＰｏＥ通信が無線アクセスポイント装置２１を通過する。
【００６２】
認証に成功した利用者端末１０は、無線アクセスポイント装置２１内に記憶され、この利用者端末１０に対して一定時間毎に前述のＥＡＰ−ＴＬＳ認証に基づいて８０２．１ｘアクセス制御が繰り返し実施される（後述の再認証）。
【００６３】
８０２．１ｘの認証によって、８０２．１１ｂで使用されるＷＥＰの鍵が決定され、しかも鍵は再認証を含む８０２．１ｘ認証毎に変更される。このため、無線通信区間においても高度なセキュリティを確保できる。
（Ｓ５０）ＩＳＰ接続（図９参照）
ステップＳ２０の説明中に記述したＰＡＤＩフレームが無線アクセスポイント装置２１を通過し、集線装置２２に到達する。ＰＡＤＩフレームはＩＰ通信ではないため、認証パス接続用ＰＰＰｏＥルータ２３はこれに反応しない。
【００６４】
従って、このＰＡＤＩフレームは集線装置２２及びメディア変換装置２４を経由して有線ネットワーク４０に送出される。有線ネットワーク４０では、利用者ＩＤのドメイン部である「ｄｏｍａｉｎ−Ｉ」に従って、パケットの方路が自律ネットワーク３０に振り向けられる。
次に、自律ネットワーク３０内のＩＳＰ接続用認証サーバ３２によって、利用者ＩＤ，利用者パスワードが認証され、この認証に成功した場合には、利用者端末１０に対して、「Ｆｒａｍｅｄ−ＩＰ−Ａｄｄｒｅｓｓ」属性である「ａｄｒ−Ｐ」が「Ｆｒａｍｅｄ−ＩＰ−Ｎｅｔｍａｓｋ」値３２を伴って払い出される。
【００６５】
再認証：
８０２．１ｘでは、アクセス許可が与えられた後にも利用者端末１０は定期的に繰り返し認証されなければならない（再認証）。このシステムにおいては、ステップＳ４０の説明中で記述したＥＡＰ−ＴＬＳ認証を定期的に繰り返し実施する。再認証が不成功の場合には、当該利用者端末１０は無線アクセスポイント装置２１へのアクセスを拒否される。
【００６６】
以上の動作の結果、利用者端末１０は無線アクセスポイント装置２１における８０２．１ｘアクセス制御の元で、自律ネットワーク３０内のＩＳＰサーバ３３もしくはＩＰルータ群３１を介した他の自律ネットワークとの間でセキュリティの高い通信を行うことができる。
【００６７】
ところで、図４に示す無線接続システム２０の構成要素を統合化して、図１０に示すように構成することもできる。
図１０の例では、以下の機能を持たせることにより、図４の無線アクセスポイント装置２１，集線装置２２，認証パス接続用ＰＰＰｏＥルータ２３を１つの統合化アクセスポイント８０として置き換えることができる。
【００６８】
（１）インタフェースは無線及び有線とする。
（２）無線及び有線インタフェースを介したＩＰ経路制御機能を持つ。
（３）無線インタフェースは８０２．１ｂ互換モード（８０２．１ｘ認証を用いないとき）と８０２．１ｘモードとの２つのモードを持ち、２つのモードは切替可能とする。
【００６９】
（４）有線インタフェースは、１０ＢａｓｅＴ，１００ＢａｓｅＴ等に準拠し、自動及び手動切り替え機能を持つ。
（５）有線インタフェースは、ＰＰＰｏＥクライアント機能を持つ。
（６）ＩＰ経路制御を行うことなく無線インタフェースと有線インタフェースとの間を直接接続するようなブリッジ動作が可能なモードを持つ。
【００７０】
（７）無線インタフェースが８０２．１ｘモードの場合、認証成功前は無線インタフェースに対するアクセスは拒否される。
図１０に示す統合化アクセスポイント８０は、無線インタフェースを８０２．１ｘモードで動作させ、アクセスを許可する場合には、無線インタフェースと有線インタフェースとの間をブリッジ動作させることにより、図４の無線アクセスポイント装置２１，集線装置２２，認証パス接続用ＰＰＰｏＥルータ２３を置き換えることが可能である。これにより、次の効果が得られる。
【００７１】
装置台数が３台から１台に減るので接続形態が簡素化される。
また、ＩＰアドレス「ａｄｒ−Ｂ」の設定が不要になる。
【００７２】
【発明の効果】
（１）既存の有線系ＰＰＰｏＥアクセスサービスと同等のサービスをネットワークそのものを改造することなく無線通信においても実現できる。
【００７３】
（２）無線区間については、８０２．１ｘアクセス制御やＥＡＰ−ＴＬＳ認証方式を組み合わせることにより高度なセキュリティを実現できる。
（３）持ち運びが容易なハードウェアデバイスで構成される本人認証装置にＥＡＰ−ＴＬＳ認証方式などに必要な証明書や秘密鍵を格納しておくことにより、利便性を損なうことなく確実な本人認証が可能になる。
【００７４】
（４）ＥＡＰ−ＴＬＳ認証方式などの認証を行う認証システムを既存のＩＳＰと同等の接続形態で構成し、認証情報を一元的に管理することにより、既存の有線サービスとの適合性を高めることができる。
（５）認証のための論理パスとＩＳＰ接続のための論理パスとを独立した２つのＰＰＰｏＥ通信パスとして同時に実現できる。
（６）無線システムの構成要素を統合化することにより、無線システムの構成を簡素化できる。
【図面の簡単な説明】
【図１】システム全体の構成例を示すブロック図である。
【図２】自律ネットワークの構成例を示すブロック図である。
【図３】利用者端末の構成例を示すブロック図である。
【図４】無線接続システムの構成例を示すブロック図である。
【図５】使用する証明書の受け渡しを示す模式図である。
【図６】システム全体の処理手順を示すフローチャートである。
【図７】認証パス接続動作を示すブロック図である。
【図８】８０２．１ｘアクセス制御の動作を示すブロック図である。
【図９】ＩＳＰ接続動作を示すブロック図である。
【図１０】無線接続システムの構成例を示すブロック図である。
【符号の説明】
１０ 利用者端末
１１ 本人認証装置
１２ 無線インタフェース
１３ 端末本体
１４ 認証装置接続用コネクタ
１５ 認証機能統合型通信ソフトウェア
２０ 無線接続システム
２１ 無線アクセスポイント装置
２２ 集線装置
２３ 認証パス接続用ＰＰＰｏＥルータ
２４ メディア変換装置
３０ 自律ネットワーク
３１ ＩＰルータ群
３２ ＩＳＰ接続用認証サーバ
３３ ＩＳＰサーバ
４０ 有線ネットワーク
５０ 認証局
５１ ルート認証局
５２ 中間認証局（Ａ）
５３ 中間認証局（Ｂ）
６０ 認証システム
６１ ＩＰルータ群
６２ 認証パス接続用認証サーバ
６３ 本人認証用認証サーバ
７１ ルート認証局証明書
７２ 中間認証局（Ａ）証明書
７３ 利用者証明書
７４ 利用者秘密鍵
７５ ルート認証局証明書
７６ 中間認証局（Ｂ）証明書
７７ 本人認証用認証サーバ証明書
７８ 本人認証用認証サーバ秘密鍵
８０ 統合化アクセスポイント
８１ 無線部
８２ ＰＰＰｏＥルータ部
【発明の属する技術分野】
本発明は、無線端末との間で無線通信回線を形成する少なくとも１つの無線接続システムと、少なくとも１つの自律ネットワークとが所定の有線ネットワークに接続され、前記無線端末からの要求に従って前記自律ネットワークに対する無線アクセスサービスを前記無線端末に提供するモバイル通信サービスシステムに関し、特にセキュリティを確保するための技術に関する。
【０００２】
【従来の技術】
ＩＥＥＥ ８０２．１１ｂに代表される無線技術の普及により、従来は有線のみであったインターネットへのアクセスに無線アクセスが浸透しつつある。また、家庭内のＬＡＮ環境を無線化するだけでなく、例えばホテルのロビーなどの公衆環境において、いわゆるホットスポットと呼ばれる無線アクセスポイントを設置し、公衆の場所で特定の利用者、あるいは不特定の利用者が無線アクセスを利用できる環境も登場し始めている。すなわち、インターネットアクセスの技術及びその利用形態が多様化する傾向にある。
【０００３】
無線アクセスが普及し、公衆環境でのアクセスの機会が高まるにつれて、無線盗聴やパスワードの漏洩などの可能性が高まる。従って、高度なセキュリティを実現する必要がある。また、有線や無線というアクセス形態にかかわらず同等なサービスを利用できるのが望ましい。
従来のＩＥＥＥ ８０２．１１ｂの技術では、暗号化技術としてＷＥＰ（ＷｉｒｅｄＥｑｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ）を用いている。しかし、ＷＥＰでは暗号化で用いるキーが固定であるため、暗号強度が脆弱であるという問題がある。
【０００４】
また、従来のようにユーザＩＤ及びパスワードを用いて認証を行う場合には、パスワードが他人に漏洩した場合に、他人が本人になりすましてアクセスするような状況を回避できない。従って、より高度なセキュリティ技術が要求される。
更に、アクセス種別によらず同等のサービスを実現し、しかも高度なセキュリティを実現するためには、一般に、既存の有線網に対する少なからぬ変更が要求される場合が多く、サービスのコストが高くなる傾向にある。
【０００５】
【発明が解決しようとする課題】
無線アクセスが普及し、公衆環境でのアクセスの機会が高まるにつれて、高度なセキュリティを実現する必要がある。また、有線・無線というアクセス形態にかかわらず同等なサービスを利用できることが望ましい。このような観点から、次のような課題を解決する必要がある。
【０００６】
（１）本人性認証：公衆環境で無線アクセスする場合にユーザＩＤ及びパスワードを用いて認証すると、ユーザＩＤ及びパスワードが漏洩したり衆目にさらされる危険があり、不正に取得したユーザＩＤ及びパスワードを用い、他人が本人になりすまして不正アクセスする可能性がある。
（２）無線通信の脆弱性：代表的な無線通信方式であるＩＥＥＥ ８０２．１１ｂで用いている暗号化技術（ＷＥＰ）では、暗号鍵を固定的に使用しているので、無線パケットをモニタすれば暗号鍵を解読することが可能であり、他人が解読した暗号鍵を用いて不正にアクセスする可能性がある。
【０００７】
（３）既存有線システムとの適合性：既存の有線システムに高いセキュリティを実現する機能を備えた無線アクセスシステムを追加導入しようとすると、システム間の適合性の問題により既存設備を変更しなければならないことが多く、コストの増大につながる可能性がある。
本発明は、無線アクセスの場合であっても高いセキュリティを確保することが可能なモバイル通信サービスシステムを提供することを目的とする。
【０００８】
【課題を解決するための手段】
上記の課題を解決するために、本発明のモバイル通信サービスシステムは次のように構成する。
（１）ハードウェアデバイスである本人認証装置を本システムの利用者が保持し、本人認証装置を端末に接続し、かつ認証局によって発行された証明書によって本人性が認証された場合にのみ利用が許可されるものとする。これにより不正利用を防止する。
【０００９】
（２）無線通信におけるＷＥＰの暗号鍵を定期的に更新し、暗号鍵解読の可能性を低減する。
（３）既にこのシステムに接続している自律ネットワークと同様の形態で認証システムをネットワークに接続する。これにより、既存システムを変更することなく認証システムを追加できる。
【００１０】
（４）本人性認証用の論理パスと自律ネットワークヘのアクセス用論理パスをと互いに阻害することなく同時併用可能になるように構成し、無線アクセスポイントと論理パス接続機能を持ったルータとを接続する。
すなわち、請求項１は、無線端末との間で無線通信回線を形成する少なくとも１つの無線接続システムと、少なくとも１つの自律ネットワークとが所定の有線ネットワークに接続され、前記無線端末からの要求に従って前記自律ネットワークに対する無線アクセスサービスを前記無線端末に提供するモバイル通信サービスシステムにおいて、前記無線端末を使用する利用者の本人性の証明に利用される証明書データを発行する認証局と、前記認証局が発行した証明書データに基づき、前記無線端末からの無線アクセス要求に対して利用者の本人性の認証を行う主認証装置とを設けたことを特徴とする。
【００１１】
請求項１においては、無線端末から自律ネットワーク（例えば、インターネット・サービス・プロバイダ）に対して無線回線を介してアクセスしようとする場合に、ネットワーク上で前記主認証装置が利用者の本人性の認証を行う。この認証においては、前記認証局が発行した証明書データを利用するので、例えば漏洩した利用者のＩＤやパスワードを他人が用い、他人が本人になりすまして無線アクセスを試みる場合には、前記主認証装置で認証に失敗する。従って、なりすましによる無線アクセスを防止できる。
【００１２】
請求項２は、請求項１のモバイル通信サービスシステムにおいて、利用者の本人性を表す識別情報を出力する本人認証装置を、前記無線端末に接続可能な状態で配置するか、もしくは前記無線端末に内蔵し、前記主認証装置の認証結果により、利用者の本人性の認証に成功した場合には、前記無線端末の種別とは無関係に前記無線端末の無線アクセスを許可する無線アクセス制御装置を更に設けたことを特徴とする。
【００１３】
請求項２においては、それぞれの利用者が個別に所持する本人認証装置を用いて認証を行う。この本人認証装置には、例えば前記認証局が予め発行した証明書データや暗号鍵などの情報を保持しておく。前記主認証装置においては、本人認証装置が保持している情報を受け取り、その情報に基づいて本人性の認証を行うので、パスワードなどを用いる必要がなく、確実な本人認証が可能になる。
【００１４】
請求項３は、請求項１のモバイル通信サービスシステムにおいて、前記主認証装置に、前記無線接続システム内の要求元との間の認証経路に関する論理パスを認証する論理パス接続用認証装置と、利用者の本人性の認証を行う本人認証管理装置と、前記有線ネットワークと接続され前記論理パス接続用認証装置及び本人認証管理装置の接続経路を制御する経路制御装置とを設け、前記論理パス接続用認証装置による認証に成功した場合のみ、前記本人認証管理装置に対するアクセスを許可することを特徴とする。
【００１５】
請求項３においては、論理パス接続用認証装置を用いることにより、認証要求が入力された場合に、その要求が正規の認証要求元（予め登録されている無線接続システム）からのものであることを確認することができるので不正な認証要求を拒否するすることができる。正規の認証要求元からの認証要求を受けた場合には、本人認証管理装置が利用者に対する本人認証を実施する。
【００１６】
また、前記論理パス接続用認証装置及び本人認証管理装置の接続経路を制御する経路制御装置を設けることにより、主認証装置を既存の自律ネットワークと同様の形態で有線ネットワークに接続することができ、既存システムに変更を加える必要がない。
請求項４は、請求項３のモバイル通信サービスシステムにおいて、接続を要求した無線端末の接続先の自律ネットワークとは異なる論理パスに前記主認証装置の論理パスを割り当て、利用者の本人性の認証が必要になった場合に、予め定めた論理パスに従って前記主認証装置に対する接続を処理する認証経路制御装置を前記無線接続システムに設けたことを特徴とする。
【００１７】
請求項４においては、主認証装置と自律ネットワークとにそれぞれ異なる論理パスを割り当ててあるので、主認証装置の処理と自律ネットワークの処理とを完全に分離することができ、様々な利用者の認証情報を主認証装置で一元的に管理できる。
請求項５は、請求項４のモバイル通信サービスシステムにおいて、前記無線接続システム内の無線装置及び前記認証経路制御装置と接続される全てのインタフェースを同一のセグメントに接続することを特徴とする。
【００１８】
請求項６は、請求項２のモバイル通信サービスシステムにおいて、前記本人認証装置に関する処理と、前記主認証装置に対する通信の接続処理と、前記自律ネットワークに対する通信の接続処理とを統合的に管理する通信管理手段を前記無線端末に設けたことを特徴とする。
本発明のモバイル通信サービスシステムを利用する場合には、無線アクセスのために無線端末において様々な手続きを行う必要があるが、請求項６においては通信管理手段がこれらの処理の手順などを統合的に管理しているので、利用者の行うべき操作を減らすことができる。
【００１９】
請求項７は、請求項４のモバイル通信サービスシステムにおいて、前記有線ネットワークに前記無線接続システムを複数接続した場合に、各々の無線接続システムに個別に識別情報を割り当てておき、前記主認証装置に前記無線接続システムからの論理パス接続要求が入力された場合に、論理パスの認証に成功すると、前記無線接続システムに対して識別情報毎に固有のホストアドレスを払い出すアドレス発行手段を前記主認証装置に設けたことを特徴とする。
【００２０】
請求項８は、請求項４のモバイル通信サービスシステムにおいて、前記有線ネットワークに前記無線接続システムを複数接続した場合に、各々の無線接続システムに個別に識別情報を割り当てておき、前記主認証装置に前記無線接続システムからの論理パス接続要求が入力された場合に、論理パスの認証に成功すると、前記無線接続システムに対して識別情報毎に固有のネットワークアドレスを払い出すアドレス発行手段を前記主認証装置に設けたことを特徴とする。
【００２１】
請求項９は、請求項４のモバイル通信サービスシステムにおいて、前記無線接続システム内の無線装置及び認証経路制御装置を一体に構成し、認証に成功した場合には、前記無線装置のインタフェースへのアクセスを許可し前記認証経路制御装置を跨いで前記有線ネットワークに接続するアクセス制御手段を前記無線接続システムに設けたことを特徴とする。
【００２２】
請求項１０は、請求項９のモバイル通信サービスシステムにおいて、前記ブリッジ制御手段は前記無線装置で受信したパケットのみを前記有線ネットワーク側に送出するように通過するパケットを規制することを特徴とする。
【００２３】
【発明の実施の形態】
本発明のモバイル通信サービスシステムの１つの実施の形態について、図１〜図１０を参照して説明する。この形態は全ての請求項に対応する。
【００２４】
図１はシステム全体の構成例を示すブロック図である。図２は自律ネットワークの構成例を示すブロック図である。図３は利用者端末の構成例を示すブロック図である。図４は無線接続システムの構成例を示すブロック図である。図５は使用する証明書の受け渡しを示す模式図である。
図６はシステム全体の処理手順を示すフローチャートである。図７は認証パス接続動作を示すブロック図である。図８は８０２．１ｘアクセス制御の動作を示すブロック図である。図９はＩＳＰ接続動作を示すブロック図である。図１０は無線接続システムの構成例を示すブロック図である。
【００２５】
この形態では、請求項１の無線端末，無線接続システム，自律ネットワーク，有線ネットワーク，認証局及び主認証装置は、それぞれ利用者端末１０，無線接続システム２０，自律ネットワーク３０，有線ネットワーク４０，認証局５０及び認証システム６０に対応する。
また、請求項２の本人認証装置及び無線アクセス制御装置は、それぞれ本人認証装置１１及び無線アクセスポイント装置２１に対応する。
【００２６】
請求項３の論理パス接続用認証装置，本人認証管理装置及び経路制御装置は、それぞれ認証パス接続用認証サーバ６２，本人認証用認証サーバ６３及びＩＰルータ群６１に対応する。
【００２７】
また、請求項４の認証経路制御装置は認証パス接続用ＰＰＰｏＥルータ２３に対応する。請求項６の通信管理手段は認証機能統合型通信ソフトウェア１５に対応する。請求項７のアドレス発行手段は認証パス接続用認証サーバ６２に対応する。請求項８のアドレス発行手段は認証パス接続用認証サーバ６２に対応する。請求項９のアクセス制御手段は無線部８１に対応する。
【００２８】
この形態のモバイル通信サービスシステムは、図１に示すように利用者端末１０，本人認証装置１１，無線接続システム２０，自律ネットワーク３０，有線ネットワーク４０，認証局５０及び認証システム６０を備えている。
図１の例では、複数の無線接続システム２０（１），２０（２），・・・，２０（Ｎ）及び複数の自律ネットワーク３０（１），３０（２），・・・，３０（Ｎ）がそれぞれ有線ネットワーク４０に接続されている。
【００２９】
各無線接続システム２０は、それぞれが利用者端末１０に対して無線アクセスを提供するためのホットスポットを構成する。
無線接続システム２０には、図４に示すように無線アクセスポイント装置２１，集線装置２２，認証パス接続用ＰＰＰｏＥルータ２３及びメディア変換装置２４が備わっている。認証パス接続用ＰＰＰｏＥルータ２３は、認証システム６０への論理パス接続機能を果たす。
【００３０】
認証システム６０は、図１に示すようにＩＰルータ群６１，認証パス接続用認証サーバ６２及び本人認証用認証サーバ６３を備えている。ＩＰルータ群６１は、本人認証の際に信号の経路を制御する。認証パス接続用認証サーバ６２は、本人認証時の論理パスを認証する。この認証システム６０には、「ｄｏｍａｉｎ−Ａ」のドメイン名が予め付与されている。
【００３１】
認証局５０は、ルート認証局５１，中間認証局（Ａ）５２及び中間認証局（Ｂ）５３を備えている。
各自律ネットワーク３０は、図２に示すように、ＩＰルータ群３１，ＩＳＰ（インターネット・サービス・プロバイダ）接続用認証サーバ３２及び複数のＩＳＰサーバ３３（ａ）〜３３（ｎ）を備えている。
【００３２】
ＩＰルータ群３１は信号経路を制御する。ＩＳＰ接続用認証サーバ３２は各ＩＳＰサーバ３３へアクセスする際の論理パス接続の認証を行う。また、図２の自律ネットワーク３０には「ｄｏｍａｉｎ−Ｉ」のドメイン名が予め付与されている。
有線ネットワーク４０は、ＰＰＰｏＥ（ＰＰＰ ｏｖｅｒ Ｅｔｈｅｒｎｅｔ（Ｅｔｈｅｒｎｅｔは登録商標））ネットワークとして構成されている。ここでは、通信方式としてのＰＰＰｏＥ方式は、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）のＲＦＣ２５１６の規定に準拠している。
【００３３】
利用者端末１０には、図３に示すように無線インタフェース１２，端末本体１３，認証装置接続用コネクタ１４及び認証機能統合型通信ソフトウェア１５が備わっている。認証装置接続用コネクタ１４にはハードウェアとして構成された本人認証装置１１を接続することができる。
無線インタフェース１２はＩＥＥＥ ８０２．１１ｂの規格に準拠しており、無線接続システム２０の無線アクセスポイントとの間で無線通信を行うために備わっている。
【００３４】
認証機能統合型通信ソフトウェア１５は、利用者端末１０の通信を制御し、無線アクセスなどを行う際の認証制御を行う。この形態では、認証機能統合型通信ソフトウェア１５の制御により、認証の際に利用者が所持している本人認証装置１１を接続し、ＲＦＣ２７１６で規定されたＥＡＰ−ＴＬＳ方式による認証動作に対応できる。
【００３５】
また、利用者端末１０はルート認証局５１自らが予め発行したＩＳＯ Ｘ．５０９形式準拠のルート認証局証明書７１（図５参照）を保持している。
本人認証装置１１は、例えばＵＳＢインタフェースなどを介して利用者端末１０と接続される独立したハードウェア装置である。各本人認証装置１１は記憶装置を内蔵しており、８０２．１ｘアクセス制御における本人認証動作に用いるＥＡＰ−ＴＬＳ方式に必要な利用者秘密鍵７４と中間認証局（Ａ）５２が発行した利用者証明書７３と、ルート認証局５１が発行した中間認証局（Ａ）証明書７２とをデータとして保持している。これら全ての証明書は、ＩＳＯ Ｘ．５０９形式に準拠している。なお、ルート認証局５１は中間認証局（Ａ）５２及び中間認証局（Ｂ）５３を認証するために存在する。
【００３６】
無線接続システム２０の無線アクセスポイント装置２１は、ＩＥＥＥ ８０２．１１ｂの規格に準拠しており、各利用者端末１０との間で無線通信を行う機能を備えている。また、無線アクセスポイント装置２１は集線装置２２と接続するためのイーサネット（登録商標）のインタフェースを備えている。
更に、無線アクセスポイント装置２１は８０２．１ｘ準拠のポートアクセス制御機能を持ち、認証プロトコルにはＥＡＰ−ＴＬＳを用いる。無線アクセスポイント装置２１の集線装置２２と接続するインタフェースには、この例ではＩＰアドレスとして「ａｄｒ−Ａ」を割り当てる。
【００３７】
このＩＰアドレス「ａｄｒ−Ａ」は、認証パス接続用認証サーバ６２から認証パス接続用ＰＰＰｏＥルータ２３のＷＡＮ側インタフェースに対して払い出されるＩＰアドレス「ａｄｒ−Ｃ」のネットマスク値が３２ビットの場合にはプライベートアドレスとし、ネットマスク値が３２ビット未満の場合には「ａｄｒ−Ｃ」とネットワークアドレスを同一とし、かつ「ａｄｒ−Ｃ」と異なる値に定める。
【００３８】
また、いずれの場合も、ＩＰアドレス「ａｄｒ−Ａ」は認証パス接続用ＰＰＰｏＥルータ２３のＬＡＮ側インタフェースに割り当てられるＩＰアドレス「ａｄｒ−Ｂ」とネットワークアドレスを同一とする。
無線アクセスポイント装置２１の初期経路（デフォルトルート）は、図４に示すように認証パス接続用ＰＰＰｏＥルータ２３のＬＡＮ側インタフェース、すなわちＩＰアドレス「ａｄｒ−Ｂ」に定めておく。また、８０２．１ｘに準拠した認証を実施するために、無線アクセスポイント装置２１はＩＰアドレス「ａｄｒ−Ｒ」の本人認証用認証サーバを指定するように定めておく。
【００３９】
認証パス接続用ＰＰＰｏＥルータ２３は、ＬＡＮ側及びＷＡＮ側にそれぞれ独立したイーサネットのインタフェースを持ち、ＩＰパケットのルーティング機能及びＰＰＰｏＥクライアントとしての通信機能を持つ。認証パス接続用ＰＰＰｏＥルータ２３のＬＡＮ側のインタフェースにはＩＰアドレス「ａｄｒ−Ｂ」を割り当てておく。
【００４０】
ＩＰアドレス「ａｄｒ−Ｂ」については、認証パス接続用認証サーバ６２から認証パス接続用ＰＰＰｏＥルータ２３のＷＡＮ側インタフェースに対して払い出されるＩＰアドレス「ａｄｒ−Ｃ」のネットマスク値が３２ビットの場合にはプライベートアドレスとし、ネットマスク値が３２ビット未満の場合は「ａｄｒ−Ｃ」とネットワークアドレスを同一とする。なお、認証パス接続用ＰＰＰｏＥルータ２３のＷＡＮ側インタフェースに「ａｄｒ−Ｃ」を付加しないｕｎｎｕｍｂｅｒｅｄ接続も可能である。
【００４１】
また、いずれの場合もＩＰアドレス「ａｄｒ−Ｂ」は無線アクセスポイント装置２１の有線側インタフェースに割り当てられるＩＰアドレス「ａｄｒ−Ａ」とネットワークアドレスを同一にする。また、上記ネットマスク値が３２ビットの場合には、認証パス接続用ＰＰＰｏＥルータ２３において、「ａｄｒ−Ａ」，「ａｄｒ−Ｂ」などのＬＡＮ側プライベートアドレスと「ａｄｒ−Ｃ」とのアドレス変換（ＮＡＴ）を実施する。
【００４２】
集線装置２２は、無線アクセスポイント装置２１と、認証パス接続用ＰＰＰｏＥルータ２３のＬＡＮ側及びＷＡＮ側と、メディア変換装置２４との各インタフェースをイーサネットの同一セグメントとして接続する。
メディア変換装置２４は、イーサネットとＰＰＰｏＥネットワークとの相互接続のために、信号のメディア変換を実施する。
【００４３】
有線ネットワーク４０は、無線接続システム２０側からのＰＰＰｏＥ通信設定時に指定されるユーザ名内のドメイン名に応じて通信先を選択することができ、かつＰＰＰｏＥを終端してＰＰＰ通信（ＲＦＣ２１５３）に変換するドメイン振り分け機能と、ＰＰＰ通信を終端してＩＰ通信に変換する機能とを有する。
【００４４】
これにより、有線ネットワーク４０においては、無線接続システム２０側からＰＰＰｏＥパスによる通信を可能とし、自律ネットワーク３０及び認証システム６０からは通常のＩＰ通信を実現する。
認証局５０のルート認証局５１は、ＩＳＯ Ｘ．５０９形式に準拠して中間認証局（Ａ）５２及び中間認証局（Ｂ）５３に対する証明書及びルート認証局５１自身に対する証明書を発行する。中間認証局（Ａ）５２及び中間認証局（Ｂ）５３は、それぞれＩＳＯ Ｘ．５０９形式に準拠して利用者端末１０及び本人認証用認証サーバ６３に対する証明書を発行する。
【００４５】
各自律ネットワーク３０内のＩＳＰ接続用認証サーバ３２は、有線ネットワーク４０内のＰＰＰ終端機能を持つ装置から呼び出され、ＰＰＰｏＥ通信接続要求時に利用者端末１０から指定された利用者ＩＤ及び利用者パスワードを、Ｒａｄｉｕｓ方式（ＲＦＣ２１３８）に準拠して認証する。認証結果は呼び出し元であるＰＰＰ終端機能を持つ装置に返される。
【００４６】
また、ＩＳＰ接続用認証サーバ３２は図２に示すように、認証成功の場合に利用者端末１０の無線インタフェースに払い出すＩＰアドレスと３２ビットのネットマスク値を利用者ＩＤ毎に保持している。
これは、Ｒａｄｉｕｓの属性として、それぞれＦｒａｍｅｄ−ＩＰ−Ａｄｄｒｅｓｓ（Ｔｙｐｅ４）、Ｆｒａｍｅｄ−ＩＰ−Ｎｅｔｍａｓｋ（Ｔｙｐｅ９）（括弧内はアトリビュートタイプ値，ＲＦＣ２１３８にて規定）によって設定される。
【００４７】
各自律ネットワーク３０内の各ＩＳＰサーバ３３は、ＩＳＰ接続用認証サーバ３２による認証が正常に終了した後に、利用者端末１０からのアクセスを受け付けてインターネット接続サービスを提供する。また、ＩＰルータ群３１を経由して他の自律ネットワークへの接続も可能である。
【００４８】
認証システム６０の認証パス接続用認証サーバ６２は、有線ネットワーク４０内のＰＰＰ終端機能を持つ装置から呼び出され、無線接続システム２０内の認証パス接続用ＰＰＰｏＥルータ２３がＰＰＰｏＥ通信接続要求時に指定した利用者ＩＤ及び利用者パスワードをＲａｄｉｕｓ方式（ＲＦＣ２１３８）に準拠して認証する。認証結果は呼び出し元であるＰＰＰ終端機能を持つ装置に返される。
【００４９】
また、認証パス接続用認証サーバ６２は認証成功の場合に認証パス接続用ＰＰＰｏＥルータ２３のＷＡＮ側インタフェースに払い出すＩＰアドレスとネットマスク値とを利用者ＩＤ毎に保持している。
これは、Ｒａｄｉｕｓの属性として、それぞれＦｒａｍｅｄ−ＩＰ−Ａｄｄｒｅｓｓ（Ｔｙｐｅ４）、Ｆｒａｍｅｄ−ＩＰ−Ｎｅｔｍａｓｋ（Ｔｙｐｅ９）（括弧内はアトリビュートタイプ値，ＲＦＣ２１３８にて規定）によって設定される。
【００５０】
本人認証用認証サーバ６３は、無線接続システム２０の無線アクセスポイント装置２１を介して利用者端末１０との間でＥＡＰ−ＴＬＳ通信を行い、無線アクセスポイント装置２１にアクセス使用としている利用者端末１０に接続された本人認証装置１１の正当性を確認することにより、利用者の本人認証を実施する。
本人認証用認証サーバ６３には、本人認証動作に用いるＥＡＰ−ＴＬＳ方式に必要な、本人認証用認証サーバ秘密鍵７８，中間認証局（Ｂ）５３発行の本人認証用認証サーバ証明書７７及びルート認証局５１発行の中間認証局（Ｂ）証明書７６及びルート認証局５１自身を証明するためのルート認証局証明書７５の各データが保持されている（図５参照）。
【００５１】
これらの全ての証明書は、ＩＳＯ Ｘ．５０９形式に準拠している。なお、ルート認証局５１は中間認証局（Ｂ）５３を認証する関係にある。
認証システム６０のＩＰルータ群６１は、認証システム６０を通るＩＰパケットの経路を制御する。
次に、システム全体の具体的な動作について説明する。このシステムの動作は、利用者端末１０からのＩＳＰ接続要求を契機として、図６に示すような４つのステップＳ２０，Ｓ３０，Ｓ４０，Ｓ５０で処理される。各ステップの詳細について以下に説明する。
【００５２】
なお、ステップＳ２０がＳ３０の直後に実施されることもある。この場合は、ステップＳ３０を明示的に起動する必要があるが、本質的な動作内容は同等である。
（Ｓ２０）ＩＳＰ接続要求：
これは利用者端末１０側から自律ネットワーク３０に対してＰＰＰｏＥパスを接続しようとする要求動作であり、利用者端末１０からＰＰＰｏＥ接続要求を無線アクセスポイント装置２１経由で有線ネットワーク４０に向けて送出することである。具体的な動作は次のとおりである。
【００５３】
（ａ）利用者の操作により本人認証装置１１を利用者端末１０に接続し、所望のＩＳＰに対する接続のための入力を行う。
（ｂ）本人認証装置１１が利用者端末１０に接続された状態で、利用者端末１０に組み込まれた認証機能統合型通信ソフトウェア１５の働きにより、利用者端末１０から目的のＩＳＰに対してＰＰＰｏＥ通信による通信接続要求のためのＰＡＤＩフレーム（ＲＦＣ２５１６）を利用可能な無線アクセスポイントに向けて送信する。
【００５４】
ここでは、例えば利用者ＩＤとして「ｕｓｅｒ−Ｉ＠ｄｏｍａｉｎ−Ｉ」を指定し、利用者パスワードとして「ｐ−Ｉ」を指定して通信接続を要求する。
なお、特に断りの無い限り、これ以降では、利用者端末１０の８０２．１ｘに伴うＥＡＰ−ＴＬＳ動作及びＰＰＰｏＥ通信動作は、その利用者端末１０上で動作している認証機能統合型通信ソフトウェア１５もしくは同等の機能を持つ複数のソフトウェアの組み合わせの働きによって実現されるものとする。
【００５５】
（Ｓ３０）認証パスの接続（図７参照）：
（ａ）無線アクセスポイント装置２１は利用者端末１０からのアクセスを検知し、認証済みではない場合、あるいは再度の認証が必要な場合に、８０２．１ｘ準拠のアクセス制御を行う。そのために、無線アクセスポイント装置２１と利用者端末１０との間でＥＡＰＯＬ（ＥＡＰ ｏｖｅｒ ＬＡＮ）方式（８０２．１ｘにて規定）の通信を確立する（Ｓ３ａ）。なお、認証済みの場合にはステップＳ５０の動作を行う。
【００５６】
（ｂ）無線アクセスポイント装置２１は、アドレス「ａｄｒ−Ｒ」で指定される本人認証用認証サーバ６３との間でＥＡＰ方式による認証を実施するために、認証パケットをデフォルトルートの設定に従って、認証パス接続用ＰＰＰｏＥルータ２３に転送する（Ｓ３ｂ）。
（ｃ）認証パス接続用ＰＰＰｏＥルータ２３は、受け取った認証パケットをＷＡＮ側インタフェースからＰＰＰｏＥ通信として本人認証用認証サーバ６３に転送する。このとき、認証システム６０へのＰＰＰｏＥ認証パスが確立していない場合には、ＷＡＮ側のインタフェースからＰＡＤＩフレームを送信する。このＰＡＤＩフレームは、イーサネットアドレスとしてブロードキャストアドレスを持つため、集線装置２２を介して、メディア変換装置２４経由で有線ネットワーク４０に到達する。
【００５７】
ここで、ＰＰＰｏＥ通信確立のために必要な利用者ＩＤである「ｕｓｒ−Ａ」と利用者パスワード「ｐ−Ａ」には、認証パス接続用ＰＰＰｏＥルータ２３に予め定めてあるものが用いられる。認証パス接続用認証サーバ６２によって認証が正常終了した後に、ＰＰＰｏＥ通信が確立し、認証システム６０との間で認証パスが確立する。
【００５８】
このとき、認証パス接続用認証サーバ６２は、利用者ＩＤ毎に保持している「Ｆｒａｍｅｄ−ＩＰ−Ａｄｄｒｅｓｓ」，「Ｆｒａｍｅｄ−Ｎｅｔｍａｓｋ」属性のそれぞれの値に従って、認証パス接続用ＰＰＰｏＥルータ２３のＷＡＮ側インタフェースにＩＰアドレス「ａｄｒ−Ｃ」とそのネットマスク値を割り当てる。また、「ａｄｒ−Ｃ」を付加しないｕｎｎｕｍｂｅｒｅｄ接続も可能である。
【００５９】
これによって、無線アクセスポイント装置２１を介して利用者端末１０と本人認証用認証サーバ６３との間でＥＡＰ−ＴＬＳ通信が可能になる。なお、認証パスの接続は、ステップＳ５０のＩＳＰ接続制御と同等の動作になる。
（Ｓ４０）８０２．１ｘアクセス制御（図８参照）：
（ａ）証明書の転送
利用者端末１０と無線アクセスポイント装置２１との間のＥＡＰＯＬ，無線アクセスポイント装置２１と本人認証用認証サーバ６３との間のＥＡＰ通信パスによって構成されるＥＡＰ−ＴＬＳ方式によって、本人認証装置１１内に保持されている中間認証局（Ａ）証明書７２及び利用者証明書７３が本人認証用認証サーバ６３に転送される。なお、利用者秘密鍵７４は本人認証装置１１の外部に転送されることはない。
【００６０】
また、本人認証用認証サーバ６３から利用者端末１０に対して、本人認証用認証サーバ証明書７７及び中間認証局（Ｂ）証明書７６が転送される。
（ｂ）本人認証用認証サーバ６３と利用者端末１０との間で、ＥＡＰ−ＴＬＳの規定に従って認証が行われる。ここで、本人認証用認証サーバ６３は利用者に対する認証を行い、利用者端末１０は本人認証用認証サーバ６３に対する認証を行う。
【００６１】
（ｃ）アクセス制御
上述の利用者認証が成功した場合、当該利用者端末１０からの無線アクセスポイント装置２１へのアクセスが許可され、ステップＳ２０の説明中に記述したＰＡＤＩフレームを含むＰＰＰｏＥ通信が無線アクセスポイント装置２１を通過する。
【００６２】
認証に成功した利用者端末１０は、無線アクセスポイント装置２１内に記憶され、この利用者端末１０に対して一定時間毎に前述のＥＡＰ−ＴＬＳ認証に基づいて８０２．１ｘアクセス制御が繰り返し実施される（後述の再認証）。
【００６３】
８０２．１ｘの認証によって、８０２．１１ｂで使用されるＷＥＰの鍵が決定され、しかも鍵は再認証を含む８０２．１ｘ認証毎に変更される。このため、無線通信区間においても高度なセキュリティを確保できる。
（Ｓ５０）ＩＳＰ接続（図９参照）
ステップＳ２０の説明中に記述したＰＡＤＩフレームが無線アクセスポイント装置２１を通過し、集線装置２２に到達する。ＰＡＤＩフレームはＩＰ通信ではないため、認証パス接続用ＰＰＰｏＥルータ２３はこれに反応しない。
【００６４】
従って、このＰＡＤＩフレームは集線装置２２及びメディア変換装置２４を経由して有線ネットワーク４０に送出される。有線ネットワーク４０では、利用者ＩＤのドメイン部である「ｄｏｍａｉｎ−Ｉ」に従って、パケットの方路が自律ネットワーク３０に振り向けられる。
次に、自律ネットワーク３０内のＩＳＰ接続用認証サーバ３２によって、利用者ＩＤ，利用者パスワードが認証され、この認証に成功した場合には、利用者端末１０に対して、「Ｆｒａｍｅｄ−ＩＰ−Ａｄｄｒｅｓｓ」属性である「ａｄｒ−Ｐ」が「Ｆｒａｍｅｄ−ＩＰ−Ｎｅｔｍａｓｋ」値３２を伴って払い出される。
【００６５】
再認証：
８０２．１ｘでは、アクセス許可が与えられた後にも利用者端末１０は定期的に繰り返し認証されなければならない（再認証）。このシステムにおいては、ステップＳ４０の説明中で記述したＥＡＰ−ＴＬＳ認証を定期的に繰り返し実施する。再認証が不成功の場合には、当該利用者端末１０は無線アクセスポイント装置２１へのアクセスを拒否される。
【００６６】
以上の動作の結果、利用者端末１０は無線アクセスポイント装置２１における８０２．１ｘアクセス制御の元で、自律ネットワーク３０内のＩＳＰサーバ３３もしくはＩＰルータ群３１を介した他の自律ネットワークとの間でセキュリティの高い通信を行うことができる。
【００６７】
ところで、図４に示す無線接続システム２０の構成要素を統合化して、図１０に示すように構成することもできる。
図１０の例では、以下の機能を持たせることにより、図４の無線アクセスポイント装置２１，集線装置２２，認証パス接続用ＰＰＰｏＥルータ２３を１つの統合化アクセスポイント８０として置き換えることができる。
【００６８】
（１）インタフェースは無線及び有線とする。
（２）無線及び有線インタフェースを介したＩＰ経路制御機能を持つ。
（３）無線インタフェースは８０２．１ｂ互換モード（８０２．１ｘ認証を用いないとき）と８０２．１ｘモードとの２つのモードを持ち、２つのモードは切替可能とする。
【００６９】
（４）有線インタフェースは、１０ＢａｓｅＴ，１００ＢａｓｅＴ等に準拠し、自動及び手動切り替え機能を持つ。
（５）有線インタフェースは、ＰＰＰｏＥクライアント機能を持つ。
（６）ＩＰ経路制御を行うことなく無線インタフェースと有線インタフェースとの間を直接接続するようなブリッジ動作が可能なモードを持つ。
【００７０】
（７）無線インタフェースが８０２．１ｘモードの場合、認証成功前は無線インタフェースに対するアクセスは拒否される。
図１０に示す統合化アクセスポイント８０は、無線インタフェースを８０２．１ｘモードで動作させ、アクセスを許可する場合には、無線インタフェースと有線インタフェースとの間をブリッジ動作させることにより、図４の無線アクセスポイント装置２１，集線装置２２，認証パス接続用ＰＰＰｏＥルータ２３を置き換えることが可能である。これにより、次の効果が得られる。
【００７１】
装置台数が３台から１台に減るので接続形態が簡素化される。
また、ＩＰアドレス「ａｄｒ−Ｂ」の設定が不要になる。
【００７２】
【発明の効果】
（１）既存の有線系ＰＰＰｏＥアクセスサービスと同等のサービスをネットワークそのものを改造することなく無線通信においても実現できる。
【００７３】
（２）無線区間については、８０２．１ｘアクセス制御やＥＡＰ−ＴＬＳ認証方式を組み合わせることにより高度なセキュリティを実現できる。
（３）持ち運びが容易なハードウェアデバイスで構成される本人認証装置にＥＡＰ−ＴＬＳ認証方式などに必要な証明書や秘密鍵を格納しておくことにより、利便性を損なうことなく確実な本人認証が可能になる。
【００７４】
（４）ＥＡＰ−ＴＬＳ認証方式などの認証を行う認証システムを既存のＩＳＰと同等の接続形態で構成し、認証情報を一元的に管理することにより、既存の有線サービスとの適合性を高めることができる。
（５）認証のための論理パスとＩＳＰ接続のための論理パスとを独立した２つのＰＰＰｏＥ通信パスとして同時に実現できる。
（６）無線システムの構成要素を統合化することにより、無線システムの構成を簡素化できる。
【図面の簡単な説明】
【図１】システム全体の構成例を示すブロック図である。
【図２】自律ネットワークの構成例を示すブロック図である。
【図３】利用者端末の構成例を示すブロック図である。
【図４】無線接続システムの構成例を示すブロック図である。
【図５】使用する証明書の受け渡しを示す模式図である。
【図６】システム全体の処理手順を示すフローチャートである。
【図７】認証パス接続動作を示すブロック図である。
【図８】８０２．１ｘアクセス制御の動作を示すブロック図である。
【図９】ＩＳＰ接続動作を示すブロック図である。
【図１０】無線接続システムの構成例を示すブロック図である。
【符号の説明】
１０ 利用者端末
１１ 本人認証装置
１２ 無線インタフェース
１３ 端末本体
１４ 認証装置接続用コネクタ
１５ 認証機能統合型通信ソフトウェア
２０ 無線接続システム
２１ 無線アクセスポイント装置
２２ 集線装置
２３ 認証パス接続用ＰＰＰｏＥルータ
２４ メディア変換装置
３０ 自律ネットワーク
３１ ＩＰルータ群
３２ ＩＳＰ接続用認証サーバ
３３ ＩＳＰサーバ
４０ 有線ネットワーク
５０ 認証局
５１ ルート認証局
５２ 中間認証局（Ａ）
５３ 中間認証局（Ｂ）
６０ 認証システム
６１ ＩＰルータ群
６２ 認証パス接続用認証サーバ
６３ 本人認証用認証サーバ
７１ ルート認証局証明書
７２ 中間認証局（Ａ）証明書
７３ 利用者証明書
７４ 利用者秘密鍵
７５ ルート認証局証明書
７６ 中間認証局（Ｂ）証明書
７７ 本人認証用認証サーバ証明書
７８ 本人認証用認証サーバ秘密鍵
８０ 統合化アクセスポイント
８１ 無線部
８２ ＰＰＰｏＥルータ部
Claims (10)
- 無線端末との間で無線通信回線を形成する少なくとも１つの無線接続システムと、少なくとも１つの自律ネットワークとが所定の有線ネットワークに接続され、前記無線端末からの要求に従って前記自律ネットワークに対する無線アクセスサービスを前記無線端末に提供するモバイル通信サービスシステムにおいて、
前記無線端末を使用する利用者の本人性の証明に利用される証明書データを発行する認証局と、
前記認証局が発行した証明書データに基づき、前記無線端末からの無線アクセス要求に対して利用者の本人性の認証を行う主認証装置と
を設けたことを特徴とするモバイル通信サービスシステム。 - 請求項１のモバイル通信サービスシステムにおいて、
利用者の本人性を表す識別情報を出力する本人認証装置を、前記無線端末に接続可能な状態で配置するか、もしくは前記無線端末に内蔵し、
前記主認証装置の認証結果により、利用者の本人性の認証に成功した場合には、前記無線端末の種別とは無関係に前記無線端末の無線アクセスを許可する無線アクセス制御装置
を更に設けたことを特徴とするモバイル通信サービスシステム。 - 請求項１のモバイル通信サービスシステムにおいて、
前記主認証装置に、
前記無線接続システム内の要求元との間の認証経路に関する論理パスを認証する論理パス接続用認証装置と、
利用者の本人性の認証を行う本人認証管理装置と、
前記有線ネットワークと接続され前記論理パス接続用認証装置及び本人認証管理装置の接続経路を制御する経路制御装置と
を設け、前記論理パス接続用認証装置による認証に成功した場合のみ、前記本人認証管理装置に対するアクセスを許可することを特徴とするモバイル通信サービスシステム。 - 請求項３のモバイル通信サービスシステムにおいて、
接続を要求した無線端末の接続先の自律ネットワークとは異なる論理パスに前記主認証装置の論理パスを割り当て、
利用者の本人性の認証が必要になった場合に、予め定めた論理パスに従って前記主認証装置に対する接続を処理する認証経路制御装置を前記無線接続システムに設けた
ことを特徴とするモバイル通信サービスシステム。 - 請求項４のモバイル通信サービスシステムにおいて、
前記無線接続システム内の無線装置及び前記認証経路制御装置と接続される全てのインタフェースを同一のセグメントに接続する
ことを特徴とするモバイル通信サービスシステム。 - 請求項２のモバイル通信サービスシステムにおいて、
前記本人認証装置に関する処理と、前記主認証装置に対する通信の接続処理と、前記自律ネットワークに対する通信の接続処理とを統合的に管理する通信管理手段を前記無線端末に設けた
ことを特徴とするモバイル通信サービスシステム。 - 請求項４のモバイル通信サービスシステムにおいて、
前記有線ネットワークに前記無線接続システムを複数接続した場合に、各々の無線接続システムに個別に識別情報を割り当てておき、
前記主認証装置に前記無線接続システムからの論理パス接続要求が入力された場合に、論理パスの認証に成功すると、前記無線接続システムに対して識別情報毎に固有のホストアドレスを払い出すアドレス発行手段を前記主認証装置に設けた
ことを特徴とするモバイル通信サービスシステム。 - 請求項４のモバイル通信サービスシステムにおいて、
前記有線ネットワークに前記無線接続システムを複数接続した場合に、各々の無線接続システムに個別に識別情報を割り当てておき、
前記主認証装置に前記無線接続システムからの論理パス接続要求が入力された場合に、論理パスの認証に成功すると、前記無線接続システムに対して識別情報毎に固有のネットワークアドレスを払い出すアドレス発行手段を前記主認証装置に設けた
ことを特徴とするモバイル通信サービスシステム。 - 請求項４のモバイル通信サービスシステムにおいて、
前記無線接続システム内の無線装置及び認証経路制御装置を一体に構成し、
認証に成功した場合には、前記無線装置のインタフェースへのアクセスを許可し前記認証経路制御装置を跨いで前記有線ネットワークに接続するアクセス制御手段を前記無線接続システムに設けた
ことを特徴とするモバイル通信サービスシステム。 - 請求項９のモバイル通信サービスシステムにおいて、
前記ブリッジ制御手段は前記無線装置で受信したパケットのみを前記有線ネットワーク側に送出するように通過するパケットを規制する
ことを特徴とするモバイル通信サービスシステム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002171676A JP4169534B2 (ja) | 2002-06-12 | 2002-06-12 | モバイル通信サービスシステム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002171676A JP4169534B2 (ja) | 2002-06-12 | 2002-06-12 | モバイル通信サービスシステム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004023166A true JP2004023166A (ja) | 2004-01-22 |
| JP4169534B2 JP4169534B2 (ja) | 2008-10-22 |
Family
ID=31171468
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002171676A Expired - Fee Related JP4169534B2 (ja) | 2002-06-12 | 2002-06-12 | モバイル通信サービスシステム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4169534B2 (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006197462A (ja) * | 2005-01-17 | 2006-07-27 | Nec Infrontia Corp | 携帯通信端末およびユーザ認証方法 |
| JP2010532596A (ja) * | 2007-06-11 | 2010-10-07 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | 証明書処理のための方法および装置 |
-
2002
- 2002-06-12 JP JP2002171676A patent/JP4169534B2/ja not_active Expired - Fee Related
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006197462A (ja) * | 2005-01-17 | 2006-07-27 | Nec Infrontia Corp | 携帯通信端末およびユーザ認証方法 |
| JP4527553B2 (ja) * | 2005-01-17 | 2010-08-18 | Ｎｅｃインフロンティア株式会社 | 携帯通信端末およびユーザ認証方法 |
| JP2010532596A (ja) * | 2007-06-11 | 2010-10-07 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | 証明書処理のための方法および装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP4169534B2 (ja) | 2008-10-22 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4777729B2 (ja) | 設定情報配布装置、方法、プログラム及び媒体 | |
| JP4394682B2 (ja) | 非信頼アクセスネットワークを介してシングルサインオン認証を行なう装置及び方法 | |
| AU2008213766B2 (en) | Method and system for registering and verifying the identity of wireless networks and devices | |
| US8555344B1 (en) | Methods and systems for fallback modes of operation within wireless computer networks | |
| US7673146B2 (en) | Methods and systems of remote authentication for computer networks | |
| KR101047641B1 (ko) | 보안 장치용 보안 및 프라이버시 강화 | |
| JP4728258B2 (ja) | ユーザーがｉｐネットワークに接続する時、ローカル管理ドメインにおいてユーザーに対するアクセス認証を管理するための方法及びシステム | |
| US7624181B2 (en) | Techniques for authenticating a subscriber for an access network using DHCP | |
| KR100494558B1 (ko) | 공중 무선랜 서비스 시스템의 사용자 인증방법 및 시스템 | |
| US7788705B2 (en) | Fine grained access control for wireless networks | |
| US20100122338A1 (en) | Network system, dhcp server device, and dhcp client device | |
| JP2006086907A (ja) | 設定情報配布装置、方法、プログラム、媒体、及び設定情報受信プログラム | |
| CN101986598B (zh) | 认证方法、服务器及系统 | |
| US20040010713A1 (en) | EAP telecommunication protocol extension | |
| US20150249639A1 (en) | Method and devices for registering a client to a server | |
| JP4906581B2 (ja) | 認証システム | |
| KR20040001329A (ko) | 공중 무선랜 서비스를 위한 망 접속 방법 | |
| JP4965499B2 (ja) | 認証システム、認証装置、通信設定装置および認証方法 | |
| JPH11331181A (ja) | ネットワーク端末認証装置 | |
| JP4793024B2 (ja) | ユーザ認証方法、認証サーバ及びシステム | |
| JP4584776B2 (ja) | ゲートウェイ装置およびプログラム | |
| JP4169534B2 (ja) | モバイル通信サービスシステム | |
| JP4457859B2 (ja) | ユーザ認証方法、システム、認証サーバ及び通信端末 | |
| Fisher | Authentication and Authorization: The Big Picture with IEEE 802.1 X |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20040707 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20060526 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060613 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060802 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070313 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070427 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080122 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080314 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080729 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080805 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110815 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120815 Year of fee payment: 4 |
|
| LAPS | Cancellation because of no payment of annual fees |