JP2004135134A - 無線通信用アダプタ - Google Patents
無線通信用アダプタ Download PDFInfo
- Publication number
- JP2004135134A JP2004135134A JP2002298631A JP2002298631A JP2004135134A JP 2004135134 A JP2004135134 A JP 2004135134A JP 2002298631 A JP2002298631 A JP 2002298631A JP 2002298631 A JP2002298631 A JP 2002298631A JP 2004135134 A JP2004135134 A JP 2004135134A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- ipsec
- authentication
- processing
- computer
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
Images
Landscapes
- Small-Scale Networks (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
【課題】セキュリティの高い無線ＬＡＮ通信を行わせるとともに、コンピュータ本体の認証・暗号処理の負担を軽減させる。
【解決手段】無線ＬＡＮアダプタ１００は、ＩＰｓｅｃ処理専用ハードウェアとして、認証・暗号処理部１０７を備えており、ＩＰパケットの暗号化、認証処理、シーケンス番号の付与などを行い、インターネット上において安全な情報の送受信を可能とするＩＰｓｅｃ処理を実行する。
【選択図】 図１
【解決手段】無線ＬＡＮアダプタ１００は、ＩＰｓｅｃ処理専用ハードウェアとして、認証・暗号処理部１０７を備えており、ＩＰパケットの暗号化、認証処理、シーケンス番号の付与などを行い、インターネット上において安全な情報の送受信を可能とするＩＰｓｅｃ処理を実行する。
【選択図】 図１
Description
【０００１】
【発明の属する技術分野】
本発明は、無線通信用アダプタに関し、より詳細には、セキュリティの高い無線ＬＡＮ通信を行わせるとともに、コンピュータ本体による認証・暗号処理の負担を軽減させることが可能な無線通信用アダプタに関する。
【０００２】
【従来の技術】
最近、バーチャルプライベートネットワーク（ＶＰＮ）が注目を集めている。ＶＰＮは、インターネットを利用して仮想的に構築される専用回線のことであり、ＶＰＮを利用すれば、複数拠点に分かれたＬＡＮを統合し、一つのＬＡＮとして構築させることができるので、現実に専用回線を引く場合に比べてコストを大幅に抑えることができる。
【０００３】
ＶＰＮを実現するには、インターネットのようなオープンネットワークにおいて安全な通信を行う必要があるが、そのためにはデータの暗号化（盗聴防止）、改ざんデータの検出（改ざん防止）、送受信相手の認証（なりすまし防止）などの対策を行い、通信上のセキュリティを確保することが不可欠となる。このようなセキュリティ機能を規定したプロトコルとして、ＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ、または、ＩＰ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ）がある。ＩＰｓｅｃは、ＩＰパケットをパケット単位で暗号化・認証するためのプロトコルであり、ＲＦＣ２３９３，２４０１〜２４１２，２４５１によって規定される。ＩＰｓｅｃは次期のＩＰｖ６では標準で実装され、ＩＰｖ４でもオプションで利用することができる。
【０００４】
ＩＰｓｅｃの実装形態には、通信を行うコンピュータが直接ＩＰｓｅｃを終端する形態と、ＬＡＮ内のルータ等がＩＰｓｅｃを終端する機能を有しておりＬＡＮ間あるいはＬＡＮとＩＰｓｅｃ機能を有するコンピュータ間の通信をＩＰｓｅｃパケットに変換して通信する形態とがある。直接ＩＰｓｅｃを終端する機能を有するコンピュータは「ＩＰｓｅｃクライアント」と呼ばれ、ＩＰｓｅｃを終端し、ＬＡＮ間あるいはＬＡＮとＩＰｓｅｃ機能を有するコンピュータ間の通信をＩＰｓｅｃパケットに変換して通信する機能を有するルータ等は「ＶＰＮゲートウェイ」呼ばれる。
【０００５】
また最近、ホットスポットと呼ばれる無線ＬＡＮ環境も注目されている。これは、ＩＥＥＥ８０２．１１に規定される無線ＬＡＮを利用したネットワークサービスであり、プロバイダによって認証された特定のユーザのみが利用できるものから、アクセス制限なく誰でも自由に接続可能なものまで、幅広いサービスが提供され、またサービスエリアも拡大してきている。このようなサービスを利用すれば、例えば、ユーザが外出先からオフィス内のＬＡＮ環境にアクセスしたい場合に、電話回線を利用することなく、高速かつ低コストで社内ＬＡＮにアクセスすることが可能である。
【０００６】
図７は、ホットスポットを含むＶＰＮの一例を示す略ブロック図である。
【０００７】
図７に示されるように、無線ＬＡＮアダプタ７０１を備えたコンピュータ（ＰＣ）７０２とアクセスポイント（ＡＰ）７０３との間では、インフラストラクチャモードによる無線ＬＡＮネットワーク、すなわちホットスポット７０４が構築されており、コンピュータ７０２はアクセスポイント７０３を介してインターネット７０５に接続される。コンピュータ７０２はＩＰｓｅｃクライアントであり、ＩＰｓｅｃ機能を実現するプログラムをＯＳのカーネルの一部あるいはデーモンとして備えている。
【０００８】
一方、オフィス内のＬＡＮ７０６に接続された複数のコンピュータ（ＰＣ）７０７はＶＰＮゲートウェイ（ＶＰＮ−ＧＷ）７０８を介してインターネット７０５に接続される。
【０００９】
ホットスポット側コンピュータ７０２からオフィス側コンピュータ７０７へＩＰパケットを送信する場合には、ＩＰｓｅｃ処理によりＩＰパケットの暗号化およびカプセル化を行って、インターネット７０５上に仮想的なトンネル（ＶＰＮトンネル）を生成し、ＩＰパケットはこのＶＰＮトンネルを潜ってＶＰＮゲートウェイまで届けられる。ＶＰＮゲートウェイ７０８では、ＩＰｓｅｃパケットの復号化およびカプセルの解除を行って、元のＩＰパケットに復元した後、ＬＡＮ７０６上に転送し、これが宛先のオフィス側コンピュータ７０７まで届けられる。
【００１０】
オフィス側コンピュータ７０７からホットスポット側７０２へＩＰパケットが送信される場合も同様に、オフィス側コンピュータ７０７から送信されたＩＰパケットがＶＰＮゲートウェイ７０８によってＩＰｓｅｃ処理され、ＶＰＮトンネルを潜ったまま直接宛先のホットスポット側コンピュータ７０２まで届けられる。ホットスポット側コンピュータ７０２はＩＰｓｅｃパケットの復号化およびカプセルの解除を行って、元のＩＰパケットに復元する。
【００１１】
図８は、図７に示したホットスポット側コンピュータ（ＰＣ）とオフィス側コンピュータ（ＰＣ）との間でＩＰｓｅｃによる通信を行う場合の手順を示すシーケンス図である。
【００１２】
図８に示されるように、ＩＰｓｅｃでは、通信を行う両ノードにおいてコネクションを確立する必要があり、このときの手続はＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）と呼ばれ、ＲＦＣ２４０９で標準化されたＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）という方式が用いられる。ＩＫＥでは主として、通信相手の認証、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）やＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ）で用いる暗号・認証アルゴリズムの交渉、秘密鍵の交換などが行われ、フェーズ１とフェーズ２という２段階の手続に大きく分けられる。
【００１３】
フェーズ１では、ＩＫＥ自身のＳＡ手続が行われる。まず、ＩＫＥ通信路の暗号アルゴリズムを交渉した上で（ステップＳ３１）、秘密鍵の交換を行う（ステップＳ３２）。さらに、乱数とハッシュ関数を用いて乱数のハッシュ値（元の乱数に復元できない固有値）を生成し、これを交換するなどして、相互の認証を行う（ステップＳ３３）。
【００１４】
フェーズ２では、フェーズ１で交換し合った秘密鍵を用いて安全性の高い通信路を確立した上で、実際のＩＰｓｅｃで用いる暗号・認証アルゴリズムを交渉し（ステップＳ３４）、これに用いる秘密鍵を交換する（ステップＳ３５）。その情報は、両ノードのＳＡＤエントリーとして登録され、ＥＳＰやＡＨで利用される。ＥＳＰは、ＩＰパケットをパケット単位でカプセル化、暗号化および認証するためのプロトコルであり、ＲＦＣ２４０６等に規定されている。またＡＨは、ＩＰパケットをパケット単位で認証するためのプロトコルであり、ＲＦＣ２４０２等に規定されている。
【００１５】
コネクションが確立すると、ホットスポット側ＰＣからＩＰパケットを送信する場合には、ホットスポット側ＰＣによってＩＰｓｅｃ処理されたＩＰｓｅｃパケットが生成され（ステップＳ３６）、これが無線ＬＡＮアダプタを介してインターネット上に送出される（ステップＳ３７）。ＩＰｓｅｃパケットはトンネリングによりＶＰＮゲートウェイまで届けられ、復号化されて宛先のオフィス側ＰＣによって受信される（ステップＳ３８）。オフィス側ＰＣからＩＰパケットを送信する場合には、上記と逆のルートを経由して、そのＩＰパケットがホットスポット側ＰＣによって受信される（ステップＳ３９〜Ｓ４１）。
【００１６】
【発明が解決しようとする課題】
図８に示したシーケンスをＩＰｓｅｃクライアントであるホットスポット側コンピュータが実行するには、上述したように、ＩＰｓｅｃ機能を実現するプログラムをＯＳのカーネルの一部あるいはデーモンとして備えている必要がある。すなわち、ＳＡを行ったり、ＩＰｓｅｃパケットの生成やＩＰパケットへの復元を行ったりすることは、ＩＰｓｅｃクライアントのソフトウェア処理によって実現される。
【００１７】
しかしながら、ＩＰｓｅｃ処理を行うために必要な暗号処理は特に負担が大きいため、ＩＰｓｅｃ機能をソフトウェア処理によって実現すると、ＩＰｓｅｃクライアント内のＣＰＵ等の演算処理部に相当な負担をかけてしまうことになる。そのため、通信のパフォーマンスが低下したり、マルチタスクの場合に他のタスクの処理速度が著しく低下したりするという問題があった。
【００１８】
また、ホットスポットを利用してＶＰＮが構築される場合には、ＩＰｓｅｃクライアントからＩＰパケットが無線ＬＡＮアダプタを介してキャリアとして送出された時点でオープンネットワーク上にさらされるため、仮にアクセスポイントの後段にＶＰＮが存在していても意味がなく、コンピュータ自身によるＩＰｓｅｃ処理が必須となる。
【００１９】
一方で、ホットスポットで利用されるコンピュータは、モバイルＰＣやＰＤＡがほとんどである。そのようなコンピュータは、デスクトップタイプに比べてＣＰＵ等の処理能力が低い。したがって、上述した通信パフォーマンスや処理能力の低下の問題は、特に処理能力の低いモバイルＰＣやＰＤＡで顕著となる。
【００２０】
さらにＰＤＡでは、そのハードウェアごとに搭載されるＯＳが異なっていることが多く、よってＩＰｓｅｃ機能を実現させるためのプログラムを統一的に提供することは困難である。
【００２１】
さらに、ＩＰｓｅｃで使用される秘密鍵や公開鍵などの鍵データ、あるいはデジタル証明書といったデータは通常、ＩＰｓｅｃクライアント内のハードディスク等の記録媒体に記録されているため、容易に読み出して複製することが可能であり、セキュリティ上の問題が大きい。
【００２２】
したがって、本発明の目的は、セキュリティの高い無線ＬＡＮ通信を行わせるとともに、コンピュータ本体の認証・暗号処理の負担を軽減させることが可能な無線通信用アダプタを提供することにある。
【００２３】
【課題を解決するための手段】
本発明のかかる目的は、ＩＰセキュリティプロトコルに基づき通信を制御するプロトコル処理手段を備えたことを特徴とする無線通信用アダプタによって達成される。
【００２４】
また、本発明の前記目的は、ＰＰＴＰプロトコルに基づき通信を制御するプロトコル処理手段を備えたことを特徴とする無線通信用アダプタによって達成される。
【００２５】
本発明によれば、コンピュータにセキュリティの高い無線ＬＡＮ通信を行わせるとともに、コンピュータ本体の認証・暗号処理の負担を軽減させることができる。
【００２６】
本発明の好ましい実施形態においては、前記プロトコル処理手段が、少なくとも、暗号化方式または認証方式の交渉、鍵の交換および通信相手の認証を行ってコネクションを確立する手段と、コネクションごとに設定された前記暗号化方式を用いてＩＰパケットをパケット単位で暗号化する手段と、コネクションごとに設定された前記認証方式を用いてＩＰパケットをパケット単位で認証する手段を備えている。
【００２７】
本発明のさらに好ましい実施形態においては、前記プロトコル処理手段が、前記ＩＰパケットを暗号化および／または認証するための暗号処理用演算回路を備えている。
【００２８】
本発明のさらに好ましい実施形態によれば、前記プロトコル処理手段が暗号処理用演算回路を備えているので、コンピュータ本体側の処理に負担をかけることなく、ＩＰｓｅｃを実現することができる。
【００２９】
本発明のさらに好ましい実施形態においては、前記ＩＰパケットの認証に用いられるデジタル証明書のデータを記録する可搬型記録媒体を着脱可能なスロットと、前記可搬型記録媒体に対してデータの読み出しおよび／または書き込みを行う記録媒体処理手段を備えている。
【００３０】
本発明のさらに好ましい実施形態によれば、記録媒体を装着することができ、記録媒体からデータの読み出しや書き込みを行うことができるので、当該記録媒体にキーペアやデジタル証明書を記録することができ、当該記録媒体を装着するだけでコンピュータをＩＰｓｅｃクライアントにすることができる。
【００３１】
【発明の実施の形態】
以下、添付図面を参照しながら、本発明の好ましい実施の形態について詳細に説明する。
【００３２】
図１は、本発明の好ましい実施の形態にかかる無線ＬＡＮアダプタの構成を示すブロック図である。
【００３３】
図１に示されるように、この無線ＬＡＮアダプタ１００は、コンピュータ本体に接続されるホストインターフェース１０１と、このホストインターフェース１０１に接続されるコントローラ１０２と、コントローラ１０２に接続されるＲＦ部１０３と、ＲＦ部に接続されるアンテナ１０４と、コントローラ１０２とバス１０５を介して接続されるメモリ１０６、認証・暗号処理部１０７およびメモリカードインターフェース（Ｉ／Ｆ）１０８と、メモリカードインターフェース１０８とカードスロット１０９を介して接続されるメモリカード１１０を備えている。
【００３４】
コンピュータ本体からインターネット上に送出されるＩＰパケットは、ホストインターフェース１０１を介してコントローラ１０２に入力される。コントローラ１０２は、パケット生成、ＣＳＭＡ／ＣＡ方式によるパケットの衝突回避制御、その他各種の制御を行う。
【００３５】
メモリ１０６には、コントローラ１０２の動作に必要なプロトコル制御用のプログラムやデータのほか、暗号処理に用いる公開鍵と秘密鍵からなるキーペアや、デジタル証明書などのデータを記録しており、また通信相手ごとに設定された設定情報（通信プロトコル、暗号アルゴリズム、鍵）であるＳＡＤ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）や、ＳＡＤエントリーに付けられたＩＤであるＳＰＩ（Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒｓ Ｉｎｄｅｘ）等も記録しており、コントローラ１０２は必要なデータを適宜読み出して処理に用いる。また、処理に必要なデータを一時的にメモリに書き込むこともある。
【００３６】
このように、鍵や証明書を無線ＬＡＮアダプタ内のメモリに記録すれば、認証・暗号処理を無線ＬＡＮアダプタ内で完結させることができるため、鍵や証明書の複製を防止することができ、セキュリティレベルを向上させることができる。また、例えばＩＰｓｅｃクライアントのコンピュータ本体が故障した場合でも、無線ＬＡＮアダプタを他のコンピュータに差し替えるだけで、鍵や証明書といった情報も移されるので、データコピーやソフトウェアの設定等を必要とせず、すぐにＩＰｓｅｃクライアントとして使用することができる。
【００３７】
認証・暗号処理部１０７は、詳細には後述するが、ＩＰパケットの暗号化、認証処理、シーケンス番号の付与などを行い、インターネット上において安全な情報の送受信を可能とするＩＰｓｅｃ処理を実行する。したがって、ＩＰパケットからＩＰセキュリティプロトコルパケット（ＩＰｓｅｃパケット）を組み立てる機能、およびＩＰｓｅｃパケットからＩＰパケットを復元する機能を有する。
【００３８】
メモリカード１１０はカードスロット１０９に対して着脱可能な外部記録媒体であり、鍵や証明書が必要に応じて記録される。鍵や証明書をメモリカード１１０に記録すれば、メモリカード１１０を交換するだけで鍵や証明書のデータも写されるので、コンピュータ側でデータコピーやソフトウェアの設定等を必要とせず、すぐにＩＰｓｅｃクライアントとして使用することができる。また、鍵や証明書を記録したメモリカード１１０を各ユーザに配布すれば、ＶＰＮへのアクセスやネットワーク管理が容易となる。
【００３９】
ＲＦ部１０３は、ＩＰｓｅｃパケットの変調を行う。例えばＩＥＥＥ８０２．１１ｂであれば、ＱＰＳＫ方式による一次変調およびスペクトラム拡散方式による二次変調を行って、２．４ＧＨｚ帯のキャリアを変調し、これがアンテナより送出される。ＩＥＥＥ８０２．１１ａであれば、ＯＦＤＭ方式による変調により、５．２ＧＨｚ帯のキャリアを変調し、これがアンテナ１０４より送出される。
【００４０】
図２は、図１に示した無線ＬＡＮアダプタを実装したホットスポット側コンピュータ（ＰＣ）とオフィス側コンピュータ（ＰＣ）との間でＩＰｓｅｃによる通信を行う場合の手順を示すシーケンス図である。
【００４１】
ＩＰｓｅｃでは、通信を行う両ノードにおいてコネクションを確立する必要があり、このときの手続はＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）と呼ばれ、ＲＦＣ２４０９で標準化されたＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）という方式が用いられる。ＩＫＥでは主として、通信相手の認証、ＥＳＰやＡＨで用いる暗号・認証アルゴリズムの交渉、秘密鍵の交換などが行われ、図２に示されるように、フェーズ１とフェーズ２という２段階の手続に大きく分けられる。
【００４２】
フェーズ１では、ＩＫＥ自身のＳＡ手続が行われる。ＩＰｓｅｃで使用されるＤＥＳ等の共通鍵暗号方式では、送受信を行う両者間で同一の鍵を所有する必要がある。しかし、同じ鍵を長い時間利用し続けたり、同じ鍵で暗号化したデータをネットワーク上で大量にやりとりしたりすると、第三者に鍵を推察されてしまう可能性が高くなる。このため、ＳＡの開設に先立ち、両者で共通の鍵を共有し、さらに、一定の期間毎あるいは一定のデータを送受信する度にこの鍵を更新する必要がある。
【００４３】
コンピュータ本体から通信要求が送信されると（ステップＳ１１）、無線ＬＡＮアダプタがＩＰｓｅｃによるＶＰＮの作成を開始する。まず無線ＬＡＮアダプタは、ＩＫＥ通信路の暗号アルゴリズムを交渉した上で（ステップＳ１２）、秘密鍵の交換を行う（ステップＳ１３）。通常は、ＲＦＣ２６３１によって標準化された公開鍵暗号アルゴリズムであるＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ法を利用することが多い。さらに、なりすましを防ぐため、デジタル証明書を用いて認証を行うか、または乱数とハッシュ関数を用いて乱数のハッシュ値（元の乱数に復元できない固有値）を生成し、これを交換して相互のホスト認証を行う（ステップＳ１４）。
【００４４】
フェーズ２では、フェーズ１で交換し合った秘密鍵を用いて安全性の高い通信路を確立した上で、ＥＳＰやＡＨで用いるＩＰｓｅｃ用暗号アルゴリズム（ＤＥＳ、３ＤＥＳ、ＡＥＳなど）や認証アルゴリズム（ＳＨＡ１、ＭＤ５など）を交渉し（ステップＳ１５）、これに用いる秘密鍵を交換する（ステップＳ１６）。その情報は、両ノードのＳＡＤエントリーとして登録され、ＥＳＰ，ＡＨで利用される。
【００４５】
ＩＰｓｅｃで使用するＤＥＳ等の共通鍵暗号方式は、送受信を行う両ノード間で同一の鍵を所有する必要があるが、同じ鍵を長い時間利用し続けたり、同じ鍵で暗号化したデータをネットワーク上で大量にやりとりしたりすると、第三者に鍵を推察されてしまう可能性が高くなる。したがって、通常は、フェーズ１の鍵交換を数時間に１回行い、フェーズ２の鍵交換を数十分に１回行うというように、両者を組み合わせた使い方をすることが多い。
【００４６】
以上のシーケンスを経て、コネクションが確立し、ＩＰｓｅｃ用の秘密鍵を用いたデータ通信が行われる。ホットスポット側ＰＣからのＩＰパケットは、無線ＬＡＮアダプタに送られ（ステップＳ１７）、無線ＬＡＮアダプタによって、ＥＳＰまたはＡＨいずれかのプロトコルでＩＰｓｅｃ処理がなされて、インターネット上に送出される（ステップＳ１８）。ＩＰｓｅｃパケットはトランスポートモードかトンネルモードでＶＰＮゲートウェイまで届けられる。ＶＰＮゲートウェイは、ＥＳＰであれば復号化する等のＩＰｓｅｃ処理を行った後、ＩＰパケットをＬＡＮ上に転送するので、ＩＰパケットは宛先のＰＣに届けられる（ステップＳ１９）。オフィス側ＰＣからＩＰパケットを送信する場合には、上記と逆のルートを経由して、ＩＰパケットがホットスポット側ＰＣに届けられる（ステップＳ２０〜Ｓ２２）。
【００４７】
上述したデータ通信において、ＩＰｓｅｃパケットには、ＲＦＣ２４０１、２４０２および２４０６の規定に基づき、シーケンス番号（ＳＮ値）が付与される。ＩＰｓｅｃパケット（ＥＳＰ／ＡＨ）のヘッダは３２ｂｉｔのＳＮ値フィールドを有しており、送信側は、送信パケットのＥＳＰヘッダ（ＲＦＣ２４０６の場合）、または認証ヘッダ（ＲＦＣ２４０２の場合）にこのＳＮ値を付与する。このＳＮ値は、フェーズ２の鍵交換時に０にリセットされ、以降、パケットを送信する毎に１ずつ加算されて行く。
【００４８】
受信側では、受信したパケットのＳＮ値が、当該ＳＡにおいて以前利用されたものであるかどうかをチェックする。ＳＮ値が以前利用されたものである場合には、当該パケットを直ちに破棄する。すなわち、ＳＮ値がオーバーフローする前に鍵交換を再起動しなければならない。
【００４９】
このようなシーケンス番号を用いる機構により、リプレイ攻撃が行われたとしても、受信側でＳＮ値の受信履歴をチェックすることによって、直ちに不正なパケットを検出し、破棄することができる。また、第三者がＳＮ値を書き換えた場合でも、ＩＰｓｅｃの認証機構においてそのような改ざんを検出することができるため、不正なパケットを検出し、破棄することができる。
【００５０】
図３は、ＡＨ・トランスポートモードのＩＰｓｅｃパケットの構造を示す図である。
【００５１】
ＡＨ・トランスポートモードでは、図３（ａ）に示されるように、「元のＩＰヘッダ」３０１、「ＴＣＰヘッダ」３０２および「データ」３０３からなるＩＰパケットに対して、図３（ｂ）に示されるように、「元のＩＰヘッダ」３０１の直後に「ＡＨヘッダ」３０４が挿入され、ＩＰｓｅｃパケット全体が認証の対象とされる。
【００５２】
図４は、ＡＨ・トンネルモードのＩＰｓｅｃパケットの構造を示す図である。
【００５３】
ＡＨ・トンネルモードでは、図４（ａ）に示されるように、「元のＩＰヘッダ」４０１、「ＴＣＰヘッダ」４０２および「データ」４０３からなるＩＰパケットに対して、図４（ｂ）に示されるように、先頭に「パブリックＩＰヘッダ」４０４が付加され、さらに「パブリックＩＰヘッダ」の直後に「ＡＨヘッダ」４０５が挿入され、ＩＰｓｅｃパケット全体が認証の対象とされる。
【００５４】
図５は、ＥＳＰ・トランスポートモードのＩＰｓｅｃパケットの構造を示す図である。
【００５５】
ＥＳＰ・トランスポートモードでは、図５（ａ）に示されるように、「元のＩＰヘッダ」５０１、「ＴＣＰヘッダ」５０２および「データ」５０３からなるＩＰパケットに対して、図５（ｂ）に示されるように、後端に「ＥＳＰトレーラ」５０４が付加されて、「元のＩＰヘッダ」５０１を除いた部分が暗号化の対象とされる。そのための「ＥＳＰヘッダ」５０５が「元のＩＰヘッダ」５０１の直後に挿入され、これら全体がパケット認証の対象とされ、そのための「ＥＳＰ認証データ」５０６が最後尾に付加される。
【００５６】
図６は、ＥＳＰ・トンネルモードのＩＰｓｅｃパケットの構造を示す図である。
【００５７】
ＥＳＰ・トンネルモードでは、図６（ａ）に示されるように、「元のＩＰヘッダ」６０１、「ＴＣＰヘッダ」６０２および「データ」６０３からなるＩＰパケットに対して、図６（ｂ）に示されるように、後端に「ＥＳＰトレーラ」６０４が付加されて、「元のＩＰヘッダ」６０１を含む全体が暗号化の対象とされる。そのための「ＥＳＰヘッダ」６０５が「元のＩＰヘッダ」６０１の先頭に付加され、これら全体がパケット認証の対象とされ、そのための「ＥＳＰ認証データ」６０６が最後尾に付加される。さらに、先頭に「パブリックＩＰヘッダ」６０７が付加される。
【００５８】
このようなＩＰｓｅｃパケットの作成および復元は、無線ＬＡＮアダプタ内で処理される。すなわち、図３〜図６の（ａ）で示したような、コンピュータ本体から送られてくるＩＰパケットは、各プロトコルに従った無線ＬＡＮアダプタ内の処理によって図３〜図６の（ｂ）に示したそれぞれのＩＰｓｅｃパケットに組み立てられる一方、アンテナより受信したデータは復調された後、ＩＰｓｅｃパケットからＩＰパケットへ復元される。
【００５９】
したがって、セキュリティの高い無線ＬＡＮ通信を行わせることができ、またコンピュータ本体の認証・暗号処理の負担を軽減させることが可能となり、ＣＰＵの処理能力が比較的低いＰＤＡであってもストレスなく通信を行うことができる。
【００６０】
本発明は、以上の実施形態に限定されることなく、特許請求の範囲に記載された発明の範囲で種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることはいうまでもない。
【００６１】
例えば、本発明に係る無線ＬＡＮアダプタとしては、いわゆるＰＣカードタイプのものに限らず、ＣＦタイプやＰＣＩスロットタイプのものまで、あらゆるタイプの無線ＬＡＮアダプタに適用可能である。
【００６２】
また、前記実施形態においては、無線ＬＡＮアダプタ内に認証・暗号処理部を設け、当該処理部にＩＰｓｅｃ処理をすべて行わせる場合を例に説明したが、例えばＳＡ手続のうち暗号処理が必要な部分のみを暗号処理部に行わせ、他の処理、例えば暗号アルゴリズムの交渉等はコンピュータ本体のソフトウェア処理によって行わせてもよい。
【００６３】
また、前記実施形態においては、無線ＬＡＮアダプタがメモリカードインターフェース１０８およびメモリカードスロット１０９を備え、メモリカードを装着することができる構成としているが、メモリカードに限定されるものではなく、どのような形状の記録媒体であっても構わない。さらには、デジタル証明書等を内部メモリ１０６に記録すれば、メモリカードに記録しなくても構わない。
【００６４】
さらにまた、前記実施形態においては、無線ＬＡＮアダプタ内のハードウェアで処理されるプロトコルとして、ＩＰｓｅｃを例に説明したが、必ずしもこれに限定されるものではなく、ＰＰＴＰ（Ｐｏｉｎｔ ｔｏ Ｐｏｉｎｔ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）やＬ２ＴＰ（Ｌａｙｅｒ ２ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）といったＶＰＮを実現する他のプロトコルであっても構わない。
【００６５】
【発明の効果】
以上説明したように、本発明によれば、ＩＰｓｅｃ処理が無線ＬＡＮアダプタ内の専用ハードウェアによって実行されるので、ＰＣやＰＤＡの本体の処理に負担をかけることがなく、通信パフォーマンスを向上させることができる。また、ＰＣやＰＤＡがハードウェアあるいはソフトウェアによるセキュリティ通信機能を備えていなくても、高セキュリティなネットワーク通信を行うことができる。
【００６６】
また、本発明によれば、無線ＬＡＮアダプタ内に認証・暗号処理部を設けるとともに、キーペアやデジタル証明書が記録されることにより、ＩＰｓｅｃ処理手段全体が一つのハードウェア内に全部収容され、内部がブラックボックス化されるので、鍵や証明書の盗聴防止等、セキュリティを向上させることができる。
【００６７】
また、本発明によれば、ＰＣやＰＤＡのスロットから無線ＬＡＮ通信アダプタを取り出し、他のＰＣやＰＤＡに換装するだけで、ＩＰｓｅｃ処理に必要な鍵や証明書といったデータも一緒に移されるので、コンピュータ本体を変更する際のセキュリティ設定作業が容易となる。
【００６８】
【図面の簡単な説明】
【図１】図１は、本発明の好ましい実施の形態にかかる無線ＬＡＮアダプタの構成を示すブロック図である。
【図２】図２は、図１に示した無線ＬＡＮアダプタを実装したホットスポット側コンピュータ（ＰＣ）とオフィス側コンピュータ（ＰＣ）との間でＩＰｓｅｃによる通信を行う場合の手順を示すシーケンス図である。
【図３】図３は、ＡＨ・トランスポートモードのＩＰｓｅｃパケットの構造を示す図である。
【図４】図４は、ＡＨ・トンネルモードのＩＰｓｅｃパケットの構造を示す図である。
【図５】図５は、ＥＳＰ・トランスポートモードのＩＰｓｅｃパケットの構造を示す図である。
【図６】図６は、ＥＳＰ・トンネルモードのＩＰｓｅｃパケットの構造を示す図である。
【図７】図７は、ホットスポットを含むＶＰＮの一例を示す略ブロック図である。
【図８】図８は、図７に示したホットスポット側コンピュータ（ＰＣ）とオフィス側コンピュータ（ＰＣ）との間でＩＰｓｅｃによる通信を行う場合の手順を示すシーケンス図である。
【符号の説明】
１００ 無線ＬＡＮアダプタ（無線通信用アダプタ）
１０１ ホストインターフェース
１０２ コントローラ
１０３ ＲＦ部
１０４ アンテナ
１０５ バス
１０６ メモリ
１０７ 認証・暗号処理部
１０８ メモリカードインターフェース（Ｉ／Ｆ）
１０９ カードスロット
１１０ メモリカード
７０１ 無線ＬＡＮアダプタ
７０２ ホットスポット側コンピュータ（ＰＣ）
７０３ アクセスポイント（ＡＰ）
７０４ ホットスポット
７０５ インターネット
７０６ オフィス内のＬＡＮ
７０７ コンピュータ（ＰＣ）
７０８ ＶＰＮゲートウェイ（ＶＰＮ−ＧＷ）
【発明の属する技術分野】
本発明は、無線通信用アダプタに関し、より詳細には、セキュリティの高い無線ＬＡＮ通信を行わせるとともに、コンピュータ本体による認証・暗号処理の負担を軽減させることが可能な無線通信用アダプタに関する。
【０００２】
【従来の技術】
最近、バーチャルプライベートネットワーク（ＶＰＮ）が注目を集めている。ＶＰＮは、インターネットを利用して仮想的に構築される専用回線のことであり、ＶＰＮを利用すれば、複数拠点に分かれたＬＡＮを統合し、一つのＬＡＮとして構築させることができるので、現実に専用回線を引く場合に比べてコストを大幅に抑えることができる。
【０００３】
ＶＰＮを実現するには、インターネットのようなオープンネットワークにおいて安全な通信を行う必要があるが、そのためにはデータの暗号化（盗聴防止）、改ざんデータの検出（改ざん防止）、送受信相手の認証（なりすまし防止）などの対策を行い、通信上のセキュリティを確保することが不可欠となる。このようなセキュリティ機能を規定したプロトコルとして、ＩＰｓｅｃ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｉｔｙ、または、ＩＰ Ｓｅｃｕｒｉｔｙ Ｐｒｏｔｏｃｏｌ）がある。ＩＰｓｅｃは、ＩＰパケットをパケット単位で暗号化・認証するためのプロトコルであり、ＲＦＣ２３９３，２４０１〜２４１２，２４５１によって規定される。ＩＰｓｅｃは次期のＩＰｖ６では標準で実装され、ＩＰｖ４でもオプションで利用することができる。
【０００４】
ＩＰｓｅｃの実装形態には、通信を行うコンピュータが直接ＩＰｓｅｃを終端する形態と、ＬＡＮ内のルータ等がＩＰｓｅｃを終端する機能を有しておりＬＡＮ間あるいはＬＡＮとＩＰｓｅｃ機能を有するコンピュータ間の通信をＩＰｓｅｃパケットに変換して通信する形態とがある。直接ＩＰｓｅｃを終端する機能を有するコンピュータは「ＩＰｓｅｃクライアント」と呼ばれ、ＩＰｓｅｃを終端し、ＬＡＮ間あるいはＬＡＮとＩＰｓｅｃ機能を有するコンピュータ間の通信をＩＰｓｅｃパケットに変換して通信する機能を有するルータ等は「ＶＰＮゲートウェイ」呼ばれる。
【０００５】
また最近、ホットスポットと呼ばれる無線ＬＡＮ環境も注目されている。これは、ＩＥＥＥ８０２．１１に規定される無線ＬＡＮを利用したネットワークサービスであり、プロバイダによって認証された特定のユーザのみが利用できるものから、アクセス制限なく誰でも自由に接続可能なものまで、幅広いサービスが提供され、またサービスエリアも拡大してきている。このようなサービスを利用すれば、例えば、ユーザが外出先からオフィス内のＬＡＮ環境にアクセスしたい場合に、電話回線を利用することなく、高速かつ低コストで社内ＬＡＮにアクセスすることが可能である。
【０００６】
図７は、ホットスポットを含むＶＰＮの一例を示す略ブロック図である。
【０００７】
図７に示されるように、無線ＬＡＮアダプタ７０１を備えたコンピュータ（ＰＣ）７０２とアクセスポイント（ＡＰ）７０３との間では、インフラストラクチャモードによる無線ＬＡＮネットワーク、すなわちホットスポット７０４が構築されており、コンピュータ７０２はアクセスポイント７０３を介してインターネット７０５に接続される。コンピュータ７０２はＩＰｓｅｃクライアントであり、ＩＰｓｅｃ機能を実現するプログラムをＯＳのカーネルの一部あるいはデーモンとして備えている。
【０００８】
一方、オフィス内のＬＡＮ７０６に接続された複数のコンピュータ（ＰＣ）７０７はＶＰＮゲートウェイ（ＶＰＮ−ＧＷ）７０８を介してインターネット７０５に接続される。
【０００９】
ホットスポット側コンピュータ７０２からオフィス側コンピュータ７０７へＩＰパケットを送信する場合には、ＩＰｓｅｃ処理によりＩＰパケットの暗号化およびカプセル化を行って、インターネット７０５上に仮想的なトンネル（ＶＰＮトンネル）を生成し、ＩＰパケットはこのＶＰＮトンネルを潜ってＶＰＮゲートウェイまで届けられる。ＶＰＮゲートウェイ７０８では、ＩＰｓｅｃパケットの復号化およびカプセルの解除を行って、元のＩＰパケットに復元した後、ＬＡＮ７０６上に転送し、これが宛先のオフィス側コンピュータ７０７まで届けられる。
【００１０】
オフィス側コンピュータ７０７からホットスポット側７０２へＩＰパケットが送信される場合も同様に、オフィス側コンピュータ７０７から送信されたＩＰパケットがＶＰＮゲートウェイ７０８によってＩＰｓｅｃ処理され、ＶＰＮトンネルを潜ったまま直接宛先のホットスポット側コンピュータ７０２まで届けられる。ホットスポット側コンピュータ７０２はＩＰｓｅｃパケットの復号化およびカプセルの解除を行って、元のＩＰパケットに復元する。
【００１１】
図８は、図７に示したホットスポット側コンピュータ（ＰＣ）とオフィス側コンピュータ（ＰＣ）との間でＩＰｓｅｃによる通信を行う場合の手順を示すシーケンス図である。
【００１２】
図８に示されるように、ＩＰｓｅｃでは、通信を行う両ノードにおいてコネクションを確立する必要があり、このときの手続はＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）と呼ばれ、ＲＦＣ２４０９で標準化されたＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）という方式が用いられる。ＩＫＥでは主として、通信相手の認証、ＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｐａｙｌｏａｄ）やＡＨ（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｈｅａｄｅｒ）で用いる暗号・認証アルゴリズムの交渉、秘密鍵の交換などが行われ、フェーズ１とフェーズ２という２段階の手続に大きく分けられる。
【００１３】
フェーズ１では、ＩＫＥ自身のＳＡ手続が行われる。まず、ＩＫＥ通信路の暗号アルゴリズムを交渉した上で（ステップＳ３１）、秘密鍵の交換を行う（ステップＳ３２）。さらに、乱数とハッシュ関数を用いて乱数のハッシュ値（元の乱数に復元できない固有値）を生成し、これを交換するなどして、相互の認証を行う（ステップＳ３３）。
【００１４】
フェーズ２では、フェーズ１で交換し合った秘密鍵を用いて安全性の高い通信路を確立した上で、実際のＩＰｓｅｃで用いる暗号・認証アルゴリズムを交渉し（ステップＳ３４）、これに用いる秘密鍵を交換する（ステップＳ３５）。その情報は、両ノードのＳＡＤエントリーとして登録され、ＥＳＰやＡＨで利用される。ＥＳＰは、ＩＰパケットをパケット単位でカプセル化、暗号化および認証するためのプロトコルであり、ＲＦＣ２４０６等に規定されている。またＡＨは、ＩＰパケットをパケット単位で認証するためのプロトコルであり、ＲＦＣ２４０２等に規定されている。
【００１５】
コネクションが確立すると、ホットスポット側ＰＣからＩＰパケットを送信する場合には、ホットスポット側ＰＣによってＩＰｓｅｃ処理されたＩＰｓｅｃパケットが生成され（ステップＳ３６）、これが無線ＬＡＮアダプタを介してインターネット上に送出される（ステップＳ３７）。ＩＰｓｅｃパケットはトンネリングによりＶＰＮゲートウェイまで届けられ、復号化されて宛先のオフィス側ＰＣによって受信される（ステップＳ３８）。オフィス側ＰＣからＩＰパケットを送信する場合には、上記と逆のルートを経由して、そのＩＰパケットがホットスポット側ＰＣによって受信される（ステップＳ３９〜Ｓ４１）。
【００１６】
【発明が解決しようとする課題】
図８に示したシーケンスをＩＰｓｅｃクライアントであるホットスポット側コンピュータが実行するには、上述したように、ＩＰｓｅｃ機能を実現するプログラムをＯＳのカーネルの一部あるいはデーモンとして備えている必要がある。すなわち、ＳＡを行ったり、ＩＰｓｅｃパケットの生成やＩＰパケットへの復元を行ったりすることは、ＩＰｓｅｃクライアントのソフトウェア処理によって実現される。
【００１７】
しかしながら、ＩＰｓｅｃ処理を行うために必要な暗号処理は特に負担が大きいため、ＩＰｓｅｃ機能をソフトウェア処理によって実現すると、ＩＰｓｅｃクライアント内のＣＰＵ等の演算処理部に相当な負担をかけてしまうことになる。そのため、通信のパフォーマンスが低下したり、マルチタスクの場合に他のタスクの処理速度が著しく低下したりするという問題があった。
【００１８】
また、ホットスポットを利用してＶＰＮが構築される場合には、ＩＰｓｅｃクライアントからＩＰパケットが無線ＬＡＮアダプタを介してキャリアとして送出された時点でオープンネットワーク上にさらされるため、仮にアクセスポイントの後段にＶＰＮが存在していても意味がなく、コンピュータ自身によるＩＰｓｅｃ処理が必須となる。
【００１９】
一方で、ホットスポットで利用されるコンピュータは、モバイルＰＣやＰＤＡがほとんどである。そのようなコンピュータは、デスクトップタイプに比べてＣＰＵ等の処理能力が低い。したがって、上述した通信パフォーマンスや処理能力の低下の問題は、特に処理能力の低いモバイルＰＣやＰＤＡで顕著となる。
【００２０】
さらにＰＤＡでは、そのハードウェアごとに搭載されるＯＳが異なっていることが多く、よってＩＰｓｅｃ機能を実現させるためのプログラムを統一的に提供することは困難である。
【００２１】
さらに、ＩＰｓｅｃで使用される秘密鍵や公開鍵などの鍵データ、あるいはデジタル証明書といったデータは通常、ＩＰｓｅｃクライアント内のハードディスク等の記録媒体に記録されているため、容易に読み出して複製することが可能であり、セキュリティ上の問題が大きい。
【００２２】
したがって、本発明の目的は、セキュリティの高い無線ＬＡＮ通信を行わせるとともに、コンピュータ本体の認証・暗号処理の負担を軽減させることが可能な無線通信用アダプタを提供することにある。
【００２３】
【課題を解決するための手段】
本発明のかかる目的は、ＩＰセキュリティプロトコルに基づき通信を制御するプロトコル処理手段を備えたことを特徴とする無線通信用アダプタによって達成される。
【００２４】
また、本発明の前記目的は、ＰＰＴＰプロトコルに基づき通信を制御するプロトコル処理手段を備えたことを特徴とする無線通信用アダプタによって達成される。
【００２５】
本発明によれば、コンピュータにセキュリティの高い無線ＬＡＮ通信を行わせるとともに、コンピュータ本体の認証・暗号処理の負担を軽減させることができる。
【００２６】
本発明の好ましい実施形態においては、前記プロトコル処理手段が、少なくとも、暗号化方式または認証方式の交渉、鍵の交換および通信相手の認証を行ってコネクションを確立する手段と、コネクションごとに設定された前記暗号化方式を用いてＩＰパケットをパケット単位で暗号化する手段と、コネクションごとに設定された前記認証方式を用いてＩＰパケットをパケット単位で認証する手段を備えている。
【００２７】
本発明のさらに好ましい実施形態においては、前記プロトコル処理手段が、前記ＩＰパケットを暗号化および／または認証するための暗号処理用演算回路を備えている。
【００２８】
本発明のさらに好ましい実施形態によれば、前記プロトコル処理手段が暗号処理用演算回路を備えているので、コンピュータ本体側の処理に負担をかけることなく、ＩＰｓｅｃを実現することができる。
【００２９】
本発明のさらに好ましい実施形態においては、前記ＩＰパケットの認証に用いられるデジタル証明書のデータを記録する可搬型記録媒体を着脱可能なスロットと、前記可搬型記録媒体に対してデータの読み出しおよび／または書き込みを行う記録媒体処理手段を備えている。
【００３０】
本発明のさらに好ましい実施形態によれば、記録媒体を装着することができ、記録媒体からデータの読み出しや書き込みを行うことができるので、当該記録媒体にキーペアやデジタル証明書を記録することができ、当該記録媒体を装着するだけでコンピュータをＩＰｓｅｃクライアントにすることができる。
【００３１】
【発明の実施の形態】
以下、添付図面を参照しながら、本発明の好ましい実施の形態について詳細に説明する。
【００３２】
図１は、本発明の好ましい実施の形態にかかる無線ＬＡＮアダプタの構成を示すブロック図である。
【００３３】
図１に示されるように、この無線ＬＡＮアダプタ１００は、コンピュータ本体に接続されるホストインターフェース１０１と、このホストインターフェース１０１に接続されるコントローラ１０２と、コントローラ１０２に接続されるＲＦ部１０３と、ＲＦ部に接続されるアンテナ１０４と、コントローラ１０２とバス１０５を介して接続されるメモリ１０６、認証・暗号処理部１０７およびメモリカードインターフェース（Ｉ／Ｆ）１０８と、メモリカードインターフェース１０８とカードスロット１０９を介して接続されるメモリカード１１０を備えている。
【００３４】
コンピュータ本体からインターネット上に送出されるＩＰパケットは、ホストインターフェース１０１を介してコントローラ１０２に入力される。コントローラ１０２は、パケット生成、ＣＳＭＡ／ＣＡ方式によるパケットの衝突回避制御、その他各種の制御を行う。
【００３５】
メモリ１０６には、コントローラ１０２の動作に必要なプロトコル制御用のプログラムやデータのほか、暗号処理に用いる公開鍵と秘密鍵からなるキーペアや、デジタル証明書などのデータを記録しており、また通信相手ごとに設定された設定情報（通信プロトコル、暗号アルゴリズム、鍵）であるＳＡＤ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｄａｔａｂａｓｅ）や、ＳＡＤエントリーに付けられたＩＤであるＳＰＩ（Ｓｅｃｕｒｉｔｙ Ｐａｒａｍｅｔｅｒｓ Ｉｎｄｅｘ）等も記録しており、コントローラ１０２は必要なデータを適宜読み出して処理に用いる。また、処理に必要なデータを一時的にメモリに書き込むこともある。
【００３６】
このように、鍵や証明書を無線ＬＡＮアダプタ内のメモリに記録すれば、認証・暗号処理を無線ＬＡＮアダプタ内で完結させることができるため、鍵や証明書の複製を防止することができ、セキュリティレベルを向上させることができる。また、例えばＩＰｓｅｃクライアントのコンピュータ本体が故障した場合でも、無線ＬＡＮアダプタを他のコンピュータに差し替えるだけで、鍵や証明書といった情報も移されるので、データコピーやソフトウェアの設定等を必要とせず、すぐにＩＰｓｅｃクライアントとして使用することができる。
【００３７】
認証・暗号処理部１０７は、詳細には後述するが、ＩＰパケットの暗号化、認証処理、シーケンス番号の付与などを行い、インターネット上において安全な情報の送受信を可能とするＩＰｓｅｃ処理を実行する。したがって、ＩＰパケットからＩＰセキュリティプロトコルパケット（ＩＰｓｅｃパケット）を組み立てる機能、およびＩＰｓｅｃパケットからＩＰパケットを復元する機能を有する。
【００３８】
メモリカード１１０はカードスロット１０９に対して着脱可能な外部記録媒体であり、鍵や証明書が必要に応じて記録される。鍵や証明書をメモリカード１１０に記録すれば、メモリカード１１０を交換するだけで鍵や証明書のデータも写されるので、コンピュータ側でデータコピーやソフトウェアの設定等を必要とせず、すぐにＩＰｓｅｃクライアントとして使用することができる。また、鍵や証明書を記録したメモリカード１１０を各ユーザに配布すれば、ＶＰＮへのアクセスやネットワーク管理が容易となる。
【００３９】
ＲＦ部１０３は、ＩＰｓｅｃパケットの変調を行う。例えばＩＥＥＥ８０２．１１ｂであれば、ＱＰＳＫ方式による一次変調およびスペクトラム拡散方式による二次変調を行って、２．４ＧＨｚ帯のキャリアを変調し、これがアンテナより送出される。ＩＥＥＥ８０２．１１ａであれば、ＯＦＤＭ方式による変調により、５．２ＧＨｚ帯のキャリアを変調し、これがアンテナ１０４より送出される。
【００４０】
図２は、図１に示した無線ＬＡＮアダプタを実装したホットスポット側コンピュータ（ＰＣ）とオフィス側コンピュータ（ＰＣ）との間でＩＰｓｅｃによる通信を行う場合の手順を示すシーケンス図である。
【００４１】
ＩＰｓｅｃでは、通信を行う両ノードにおいてコネクションを確立する必要があり、このときの手続はＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）と呼ばれ、ＲＦＣ２４０９で標準化されたＩＫＥ（Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ）という方式が用いられる。ＩＫＥでは主として、通信相手の認証、ＥＳＰやＡＨで用いる暗号・認証アルゴリズムの交渉、秘密鍵の交換などが行われ、図２に示されるように、フェーズ１とフェーズ２という２段階の手続に大きく分けられる。
【００４２】
フェーズ１では、ＩＫＥ自身のＳＡ手続が行われる。ＩＰｓｅｃで使用されるＤＥＳ等の共通鍵暗号方式では、送受信を行う両者間で同一の鍵を所有する必要がある。しかし、同じ鍵を長い時間利用し続けたり、同じ鍵で暗号化したデータをネットワーク上で大量にやりとりしたりすると、第三者に鍵を推察されてしまう可能性が高くなる。このため、ＳＡの開設に先立ち、両者で共通の鍵を共有し、さらに、一定の期間毎あるいは一定のデータを送受信する度にこの鍵を更新する必要がある。
【００４３】
コンピュータ本体から通信要求が送信されると（ステップＳ１１）、無線ＬＡＮアダプタがＩＰｓｅｃによるＶＰＮの作成を開始する。まず無線ＬＡＮアダプタは、ＩＫＥ通信路の暗号アルゴリズムを交渉した上で（ステップＳ１２）、秘密鍵の交換を行う（ステップＳ１３）。通常は、ＲＦＣ２６３１によって標準化された公開鍵暗号アルゴリズムであるＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ法を利用することが多い。さらに、なりすましを防ぐため、デジタル証明書を用いて認証を行うか、または乱数とハッシュ関数を用いて乱数のハッシュ値（元の乱数に復元できない固有値）を生成し、これを交換して相互のホスト認証を行う（ステップＳ１４）。
【００４４】
フェーズ２では、フェーズ１で交換し合った秘密鍵を用いて安全性の高い通信路を確立した上で、ＥＳＰやＡＨで用いるＩＰｓｅｃ用暗号アルゴリズム（ＤＥＳ、３ＤＥＳ、ＡＥＳなど）や認証アルゴリズム（ＳＨＡ１、ＭＤ５など）を交渉し（ステップＳ１５）、これに用いる秘密鍵を交換する（ステップＳ１６）。その情報は、両ノードのＳＡＤエントリーとして登録され、ＥＳＰ，ＡＨで利用される。
【００４５】
ＩＰｓｅｃで使用するＤＥＳ等の共通鍵暗号方式は、送受信を行う両ノード間で同一の鍵を所有する必要があるが、同じ鍵を長い時間利用し続けたり、同じ鍵で暗号化したデータをネットワーク上で大量にやりとりしたりすると、第三者に鍵を推察されてしまう可能性が高くなる。したがって、通常は、フェーズ１の鍵交換を数時間に１回行い、フェーズ２の鍵交換を数十分に１回行うというように、両者を組み合わせた使い方をすることが多い。
【００４６】
以上のシーケンスを経て、コネクションが確立し、ＩＰｓｅｃ用の秘密鍵を用いたデータ通信が行われる。ホットスポット側ＰＣからのＩＰパケットは、無線ＬＡＮアダプタに送られ（ステップＳ１７）、無線ＬＡＮアダプタによって、ＥＳＰまたはＡＨいずれかのプロトコルでＩＰｓｅｃ処理がなされて、インターネット上に送出される（ステップＳ１８）。ＩＰｓｅｃパケットはトランスポートモードかトンネルモードでＶＰＮゲートウェイまで届けられる。ＶＰＮゲートウェイは、ＥＳＰであれば復号化する等のＩＰｓｅｃ処理を行った後、ＩＰパケットをＬＡＮ上に転送するので、ＩＰパケットは宛先のＰＣに届けられる（ステップＳ１９）。オフィス側ＰＣからＩＰパケットを送信する場合には、上記と逆のルートを経由して、ＩＰパケットがホットスポット側ＰＣに届けられる（ステップＳ２０〜Ｓ２２）。
【００４７】
上述したデータ通信において、ＩＰｓｅｃパケットには、ＲＦＣ２４０１、２４０２および２４０６の規定に基づき、シーケンス番号（ＳＮ値）が付与される。ＩＰｓｅｃパケット（ＥＳＰ／ＡＨ）のヘッダは３２ｂｉｔのＳＮ値フィールドを有しており、送信側は、送信パケットのＥＳＰヘッダ（ＲＦＣ２４０６の場合）、または認証ヘッダ（ＲＦＣ２４０２の場合）にこのＳＮ値を付与する。このＳＮ値は、フェーズ２の鍵交換時に０にリセットされ、以降、パケットを送信する毎に１ずつ加算されて行く。
【００４８】
受信側では、受信したパケットのＳＮ値が、当該ＳＡにおいて以前利用されたものであるかどうかをチェックする。ＳＮ値が以前利用されたものである場合には、当該パケットを直ちに破棄する。すなわち、ＳＮ値がオーバーフローする前に鍵交換を再起動しなければならない。
【００４９】
このようなシーケンス番号を用いる機構により、リプレイ攻撃が行われたとしても、受信側でＳＮ値の受信履歴をチェックすることによって、直ちに不正なパケットを検出し、破棄することができる。また、第三者がＳＮ値を書き換えた場合でも、ＩＰｓｅｃの認証機構においてそのような改ざんを検出することができるため、不正なパケットを検出し、破棄することができる。
【００５０】
図３は、ＡＨ・トランスポートモードのＩＰｓｅｃパケットの構造を示す図である。
【００５１】
ＡＨ・トランスポートモードでは、図３（ａ）に示されるように、「元のＩＰヘッダ」３０１、「ＴＣＰヘッダ」３０２および「データ」３０３からなるＩＰパケットに対して、図３（ｂ）に示されるように、「元のＩＰヘッダ」３０１の直後に「ＡＨヘッダ」３０４が挿入され、ＩＰｓｅｃパケット全体が認証の対象とされる。
【００５２】
図４は、ＡＨ・トンネルモードのＩＰｓｅｃパケットの構造を示す図である。
【００５３】
ＡＨ・トンネルモードでは、図４（ａ）に示されるように、「元のＩＰヘッダ」４０１、「ＴＣＰヘッダ」４０２および「データ」４０３からなるＩＰパケットに対して、図４（ｂ）に示されるように、先頭に「パブリックＩＰヘッダ」４０４が付加され、さらに「パブリックＩＰヘッダ」の直後に「ＡＨヘッダ」４０５が挿入され、ＩＰｓｅｃパケット全体が認証の対象とされる。
【００５４】
図５は、ＥＳＰ・トランスポートモードのＩＰｓｅｃパケットの構造を示す図である。
【００５５】
ＥＳＰ・トランスポートモードでは、図５（ａ）に示されるように、「元のＩＰヘッダ」５０１、「ＴＣＰヘッダ」５０２および「データ」５０３からなるＩＰパケットに対して、図５（ｂ）に示されるように、後端に「ＥＳＰトレーラ」５０４が付加されて、「元のＩＰヘッダ」５０１を除いた部分が暗号化の対象とされる。そのための「ＥＳＰヘッダ」５０５が「元のＩＰヘッダ」５０１の直後に挿入され、これら全体がパケット認証の対象とされ、そのための「ＥＳＰ認証データ」５０６が最後尾に付加される。
【００５６】
図６は、ＥＳＰ・トンネルモードのＩＰｓｅｃパケットの構造を示す図である。
【００５７】
ＥＳＰ・トンネルモードでは、図６（ａ）に示されるように、「元のＩＰヘッダ」６０１、「ＴＣＰヘッダ」６０２および「データ」６０３からなるＩＰパケットに対して、図６（ｂ）に示されるように、後端に「ＥＳＰトレーラ」６０４が付加されて、「元のＩＰヘッダ」６０１を含む全体が暗号化の対象とされる。そのための「ＥＳＰヘッダ」６０５が「元のＩＰヘッダ」６０１の先頭に付加され、これら全体がパケット認証の対象とされ、そのための「ＥＳＰ認証データ」６０６が最後尾に付加される。さらに、先頭に「パブリックＩＰヘッダ」６０７が付加される。
【００５８】
このようなＩＰｓｅｃパケットの作成および復元は、無線ＬＡＮアダプタ内で処理される。すなわち、図３〜図６の（ａ）で示したような、コンピュータ本体から送られてくるＩＰパケットは、各プロトコルに従った無線ＬＡＮアダプタ内の処理によって図３〜図６の（ｂ）に示したそれぞれのＩＰｓｅｃパケットに組み立てられる一方、アンテナより受信したデータは復調された後、ＩＰｓｅｃパケットからＩＰパケットへ復元される。
【００５９】
したがって、セキュリティの高い無線ＬＡＮ通信を行わせることができ、またコンピュータ本体の認証・暗号処理の負担を軽減させることが可能となり、ＣＰＵの処理能力が比較的低いＰＤＡであってもストレスなく通信を行うことができる。
【００６０】
本発明は、以上の実施形態に限定されることなく、特許請求の範囲に記載された発明の範囲で種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることはいうまでもない。
【００６１】
例えば、本発明に係る無線ＬＡＮアダプタとしては、いわゆるＰＣカードタイプのものに限らず、ＣＦタイプやＰＣＩスロットタイプのものまで、あらゆるタイプの無線ＬＡＮアダプタに適用可能である。
【００６２】
また、前記実施形態においては、無線ＬＡＮアダプタ内に認証・暗号処理部を設け、当該処理部にＩＰｓｅｃ処理をすべて行わせる場合を例に説明したが、例えばＳＡ手続のうち暗号処理が必要な部分のみを暗号処理部に行わせ、他の処理、例えば暗号アルゴリズムの交渉等はコンピュータ本体のソフトウェア処理によって行わせてもよい。
【００６３】
また、前記実施形態においては、無線ＬＡＮアダプタがメモリカードインターフェース１０８およびメモリカードスロット１０９を備え、メモリカードを装着することができる構成としているが、メモリカードに限定されるものではなく、どのような形状の記録媒体であっても構わない。さらには、デジタル証明書等を内部メモリ１０６に記録すれば、メモリカードに記録しなくても構わない。
【００６４】
さらにまた、前記実施形態においては、無線ＬＡＮアダプタ内のハードウェアで処理されるプロトコルとして、ＩＰｓｅｃを例に説明したが、必ずしもこれに限定されるものではなく、ＰＰＴＰ（Ｐｏｉｎｔ ｔｏ Ｐｏｉｎｔ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）やＬ２ＴＰ（Ｌａｙｅｒ ２ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）といったＶＰＮを実現する他のプロトコルであっても構わない。
【００６５】
【発明の効果】
以上説明したように、本発明によれば、ＩＰｓｅｃ処理が無線ＬＡＮアダプタ内の専用ハードウェアによって実行されるので、ＰＣやＰＤＡの本体の処理に負担をかけることがなく、通信パフォーマンスを向上させることができる。また、ＰＣやＰＤＡがハードウェアあるいはソフトウェアによるセキュリティ通信機能を備えていなくても、高セキュリティなネットワーク通信を行うことができる。
【００６６】
また、本発明によれば、無線ＬＡＮアダプタ内に認証・暗号処理部を設けるとともに、キーペアやデジタル証明書が記録されることにより、ＩＰｓｅｃ処理手段全体が一つのハードウェア内に全部収容され、内部がブラックボックス化されるので、鍵や証明書の盗聴防止等、セキュリティを向上させることができる。
【００６７】
また、本発明によれば、ＰＣやＰＤＡのスロットから無線ＬＡＮ通信アダプタを取り出し、他のＰＣやＰＤＡに換装するだけで、ＩＰｓｅｃ処理に必要な鍵や証明書といったデータも一緒に移されるので、コンピュータ本体を変更する際のセキュリティ設定作業が容易となる。
【００６８】
【図面の簡単な説明】
【図１】図１は、本発明の好ましい実施の形態にかかる無線ＬＡＮアダプタの構成を示すブロック図である。
【図２】図２は、図１に示した無線ＬＡＮアダプタを実装したホットスポット側コンピュータ（ＰＣ）とオフィス側コンピュータ（ＰＣ）との間でＩＰｓｅｃによる通信を行う場合の手順を示すシーケンス図である。
【図３】図３は、ＡＨ・トランスポートモードのＩＰｓｅｃパケットの構造を示す図である。
【図４】図４は、ＡＨ・トンネルモードのＩＰｓｅｃパケットの構造を示す図である。
【図５】図５は、ＥＳＰ・トランスポートモードのＩＰｓｅｃパケットの構造を示す図である。
【図６】図６は、ＥＳＰ・トンネルモードのＩＰｓｅｃパケットの構造を示す図である。
【図７】図７は、ホットスポットを含むＶＰＮの一例を示す略ブロック図である。
【図８】図８は、図７に示したホットスポット側コンピュータ（ＰＣ）とオフィス側コンピュータ（ＰＣ）との間でＩＰｓｅｃによる通信を行う場合の手順を示すシーケンス図である。
【符号の説明】
１００ 無線ＬＡＮアダプタ（無線通信用アダプタ）
１０１ ホストインターフェース
１０２ コントローラ
１０３ ＲＦ部
１０４ アンテナ
１０５ バス
１０６ メモリ
１０７ 認証・暗号処理部
１０８ メモリカードインターフェース（Ｉ／Ｆ）
１０９ カードスロット
１１０ メモリカード
７０１ 無線ＬＡＮアダプタ
７０２ ホットスポット側コンピュータ（ＰＣ）
７０３ アクセスポイント（ＡＰ）
７０４ ホットスポット
７０５ インターネット
７０６ オフィス内のＬＡＮ
７０７ コンピュータ（ＰＣ）
７０８ ＶＰＮゲートウェイ（ＶＰＮ−ＧＷ）
Claims (5)
- ＩＰセキュリティプロトコルに基づき通信を制御するプロトコル処理手段を備えたことを特徴とする無線通信用アダプタ。
- ＰＰＴＰプロトコルに基づき通信を制御するプロトコル処理手段を備えたことを特徴とする無線通信用アダプタ。
- 前記プロトコル処理手段は、少なくとも、
暗号化方式または認証方式の交渉、鍵の交換および通信相手の認証を行ってコネクションを確立する手段と、
コネクションごとに設定された前記暗号化方式を用いてＩＰパケットをパケット単位で暗号化する手段と、
コネクションごとに設定された前記認証方式を用いてＩＰパケットをパケット単位で認証する手段を備えたことを特徴とする請求項１または２に記載の無線通信用アダプタ。 - 前記プロトコル処理手段は、前記ＩＰパケットを暗号化および／または認証するための暗号処理用演算回路を備えたことを特徴とする請求項３に記載の無線通信用アダプタ。
- 前記ＩＰパケットの認証に用いられるデジタル証明書のデータを記録する可搬型記録媒体を着脱可能なスロットと、
前記可搬型記録媒体に対してデータの読み出しおよび／または書き込みを行う記録媒体処理手段を備えたことを特徴とする請求項３または４に記載の無線通信用アダプタ。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002298631A JP2004135134A (ja) | 2002-10-11 | 2002-10-11 | 無線通信用アダプタ |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002298631A JP2004135134A (ja) | 2002-10-11 | 2002-10-11 | 無線通信用アダプタ |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2004135134A true JP2004135134A (ja) | 2004-04-30 |
Family
ID=32287981
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002298631A Withdrawn JP2004135134A (ja) | 2002-10-11 | 2002-10-11 | 無線通信用アダプタ |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2004135134A (ja) |
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2006080936A (ja) * | 2004-09-10 | 2006-03-23 | Japan Radio Co Ltd | 通信端末及び通信方法 |
| WO2007031597A1 (en) * | 2005-09-15 | 2007-03-22 | Network Services Finland Oy | Wireless local area network, adapter unit and equipment |
| JP2007202178A (ja) * | 2004-07-23 | 2007-08-09 | Citrix Systems Inc | プライベートネットワークへのアクセスを安全にする方法およびシステム |
| JP2007208632A (ja) * | 2006-02-01 | 2007-08-16 | Sony Corp | 情報処理装置および方法、プログラム、並びに記録媒体 |
| JP2009055201A (ja) * | 2007-08-24 | 2009-03-12 | Ricoh Co Ltd | 通信システム及び通信装置 |
| JP2011505729A (ja) * | 2007-11-22 | 2011-02-24 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | 移動通信ネットワークにおいて使用するための方法及び装置 |
| US8266428B2 (en) | 2006-01-12 | 2012-09-11 | Samsung Electronics Co., Ltd. | Secure communication system and method of IPv4/IPv6 integrated network system |
-
2002
- 2002-10-11 JP JP2002298631A patent/JP2004135134A/ja not_active Withdrawn
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2007202178A (ja) * | 2004-07-23 | 2007-08-09 | Citrix Systems Inc | プライベートネットワークへのアクセスを安全にする方法およびシステム |
| JP4708376B2 (ja) * | 2004-07-23 | 2011-06-22 | サイトリックス システムズ， インコーポレイテッド | プライベートネットワークへのアクセスを安全にする方法およびシステム |
| JP2006080936A (ja) * | 2004-09-10 | 2006-03-23 | Japan Radio Co Ltd | 通信端末及び通信方法 |
| WO2007031597A1 (en) * | 2005-09-15 | 2007-03-22 | Network Services Finland Oy | Wireless local area network, adapter unit and equipment |
| US8266428B2 (en) | 2006-01-12 | 2012-09-11 | Samsung Electronics Co., Ltd. | Secure communication system and method of IPv4/IPv6 integrated network system |
| JP2007208632A (ja) * | 2006-02-01 | 2007-08-16 | Sony Corp | 情報処理装置および方法、プログラム、並びに記録媒体 |
| US7961614B2 (en) | 2006-02-01 | 2011-06-14 | Sony Corporation | Information processing device, information processing method, and recording medium for reducing consumption of memory capacity |
| JP2009055201A (ja) * | 2007-08-24 | 2009-03-12 | Ricoh Co Ltd | 通信システム及び通信装置 |
| JP2011505729A (ja) * | 2007-11-22 | 2011-02-24 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | 移動通信ネットワークにおいて使用するための方法及び装置 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11792169B2 (en) | Cloud storage using encryption gateway with certificate authority identification | |
| US7028186B1 (en) | Key management methods for wireless LANs | |
| US8838957B2 (en) | Stateless cryptographic protocol-based hardware acceleration | |
| US6965992B1 (en) | Method and system for network security capable of doing stronger encryption with authorized devices | |
| JP4707992B2 (ja) | 暗号化通信システム | |
| US20100119069A1 (en) | Network relay device, communication terminal, and encrypted communication method | |
| KR100966398B1 (ko) | 보안 네트워크 환경에서 크리덴셜 및 소프트웨어 이미지제공 방법 | |
| JP4346094B2 (ja) | パケット暗号処理代理装置 | |
| US7574737B1 (en) | Systems and methods for secure communication over a wireless network | |
| EP3613195B1 (en) | Cloud storage using encryption gateway with certificate authority identification | |
| US20080141360A1 (en) | Wireless Linked Computer Communications | |
| US20120272310A1 (en) | Systems and methods for secure communication over a wireless network | |
| CN112788594B (zh) | 数据传输方法、装置和系统、电子设备、存储介质 | |
| JP4245972B2 (ja) | 無線通信方法、無線通信装置、通信制御プログラム、通信制御装置、鍵管理プログラム、無線ｌａｎシステム、および記録媒体 | |
| WO2020007308A1 (zh) | 报文处理方法以及接收端服务器 | |
| JP2004135134A (ja) | 無線通信用アダプタ | |
| US7784086B2 (en) | Method for secure packet identification | |
| Yang et al. | An improved security scheme in WMAN based on IEEE standard 802.16 | |
| WO2020140929A1 (zh) | 一种密钥生成方法、ue及网络设备 | |
| JP2002344443A (ja) | 通信システムおよびセキュリティアソシエーション切断／継続方法 | |
| JP2005244379A (ja) | Ｖｐｎシステム、ｖｐｎ装置及びそれらに用いる暗号化鍵配布方法 | |
| Pandey et al. | A system and method for authentication in wireless local area networks (wlans) | |
| US20080059788A1 (en) | Secure electronic communications pathway | |
| WO2023024540A1 (zh) | 处理报文、获取sa信息的方法、装置、系统及介质 | |
| US20240022402A1 (en) | A Method for Tunneling an Internet Protocol Connection Between Two Endpoints |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A300 | Application deemed to be withdrawn because no request for examination was validly filed |
Free format text: JAPANESE INTERMEDIATE CODE: A300 Effective date: 20060110 |