JP2004166270A - 無線ネットワークのハンドオフ暗号鍵 - Google Patents

Abstract

【課題】 無線ＬＡＮにおいて中断の無いハンドオフ方法を提供する。
【解決手段】 第１のアクセスポイントから第２のアクセスポイントへの無線端末のハンドオフを容易にするためのハンドオフ暗号鍵が提供される。ハンドオフ暗号鍵は、サーバにより生成され、第１のアクセスポイントおよび第２のアクセスポイントに送信される。あるいは、ハンドオフ暗号鍵は２つのアクセスポイントのうち一方により生成され、他方に送信される。第１のアクセスポイントは、ハンドオフする前に、ハンドオフ暗号鍵を無線端末に送信する。ハンドオフ後すぐに、無線端末と第２のアクセスポイントはハンドオフ暗号鍵で暗号化されたデータを通信する。その後、認証サーバ無線端末を認証し、第２のアクセスポイントが無線端末にセッション暗号鍵を提供するようにさせる。その後、無線端末と第２のアクセスポイントはセッション暗号鍵で暗号化されたデータを通信する。
【選択図】 図３

Description

本発明は、無線ネットワーク環境に関し、より詳細には、無線ネットワーク環境においてハンドオフ暗号鍵を提供する方法およびシステムに関する。

一般的な分散型コンピュータ環境の例として、ローカルエリアネットワーク（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ、以下ＬＡＮという）がある。ＬＡＮは、複数の端末（局）間で１対１あるいは１対複数での直接通信を可能にするピア・ツー・ピアの通信ネットワークである。ＬＡＮは、オフィスビル、倉庫、あるいは大学構内といった適当な大きさの地理的な領域に最適化されている。多くのＬＡＮでは、通信は有線で行われている。

近年、無線ＬＡＮ（ＷＬＡＮともいう）技術が一般的になってきている。無線ＬＡＮは、伝送媒体が電線でなく電波である点以外は有線ＬＡＮと同様に動作する。典型的な無線ＬＡＮの構成では、複数の端末は、アクセスポイントを介して、有線ＬＡＮやワイドエリアネットワーク（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ、以下ＷＡＮという）といった、より大きなネットワークと通信する。ここで、アクセスポイントとは、無線ＬＡＮと、より大きなネットワークとの間のゲートウェイとして機能する装置のことである。

有線ＬＡＮにおいては、不当なアクセスに対して物理的なセキュリティを用いることができる。しかし、無線ＬＡＮにおいては、物理的なセキュリティを用いることは現実的ではない。したがって、セキュリティを高めるために、ネットワークへのアクセスに対する認証プロセスおよび暗号化／復号化機能が要求される。また、無線ＬＡＮのアクセスポイントの設置場所としては、会議室、レストラン、玄関、廊下、ロビー等が考えられる。ここで、無線ＬＡＮにアクセスしている端末は、第１のアクセスポイントの無線範囲から、第２のアクセスポイントの無線範囲へと移動する可能性がある。この場合、第１のアクセスポイントから、第２のアクセスポイントへハンドオフ（ハンドオーバー）する必要がある。

一般的に、端末は、第２のアクセスポイントを介して無線ＬＡＮに接続する前に、認証サーバ（多くの場合はホーム登録サーバ）との間で端末認証パケットを送受信しなければならない。この認証プロセスには時間がかかるため、端末と他の端末との間の通信を中断してしまう。このような中断が発生することは問題である。特に、滑らかな動作あるいはサービスの品質（ＱｏＳ）を保障するために中断の無い通信が要求されるストリーミングやボイスオーバーＩＰ（以下、ＶｏＩＰという）のアプリケーションのように、リアルタイム性が要求される場合にこの問題は顕著である。

以上の課題を解決するために、本発明は、無線通信ネットワークにおけるハンドオフの方法を提供する。ここで、第１、第２のアクセスポイントに対するハンドオフ無線暗号鍵が提供される。また、第１のアクセスポイントは、対応する無線端末にハンドオフ無線暗号鍵を送信する。また、第２のアクセスポイントは、無線端末を認証し、無線端末との間でハンドオフ無線暗号鍵で暗号化されたデータパケットを送受信する。

ここで、第１のアクセスポイントは、無線端末が第１のアクセスポイントとアクティブに通信している場合に無線端末に無線暗号鍵を送信するだけでもよい。また、第１のアクセスポイントは、ハンドオフ無線暗号鍵を、無線端末に送信する前にセッション無線暗号鍵で暗号化してもよい。また、第２のアクセスポイントは、認証サーバを用いて無線端末を認証してもよい。また、無線端末の認証は、無線端末と認証サーバの間で第２のアクセスポイントを介した認証パケットの送受信を含んでもよい。

また、端末認証パケットは、ハンドオフ無線暗号鍵で暗号化され、無線端末から第２のアクセスポイントに送信されてもよい。あるいは、端末認証パケットは、暗号化されずに、無線端末から第２のアクセスポイントに送信されてもよい。また、無線端末が認証サーバにより認証された後、第２のアクセスポイントはセッション無線暗号鍵を無線端末に送信してもよい。

また、サーバはハンドオフ無線暗号鍵を生成し、生成した無線暗号鍵を第１、第２のアクセスポイントに送信してもよい。ここで、第２のアクセスポイントは、ハンドオフ無線暗号鍵で暗号化された呼びかけメッセージを送信し、復号化された呼びかけメッセージを無線端末から受信し、無線端末が呼びかけメッセージを正しく復号化しているか判断することにより無線端末を認証してもよい。

本発明はさらに、無線ネットワークを提供する。ここで、無線ネットワークは、データを受信しハンドオフ無線暗号鍵で暗号化する手段を有する無線端末を含む。また、無線端末は、暗号化されたデータを送信する手段を有する。また、無線ネットワークは、ハンドオフ無線暗号鍵を無線端末に送信できる第１のアクセスポイントと、暗号化されたデータを無線端末から受信し、ハンドオフ無線暗号鍵で復号化する第２のアクセスポイントとを含む。

ここで、無線ネットワークは、さらに、第１、第２のアクセスポイントに接続され、ハンドオフ無線暗号鍵を生成し、無線暗号鍵を第１、第２のアクセスポイントに送信するサーバを含んでもよい。また、無線ネットワークは、第１、第２のアクセスポイントに接続され、無線端末を認証するサーバを含んでもよい。

本発明はさらに、パケットを受信する受信手段と、受信手段により受信したパケットがハンドオフ無線暗号鍵で暗号化されていない場合にそのパケットを削除する削除手段と、受信手段により受信したパケットがハンドオフ無線暗号鍵で暗号化されたパケットである場合に、そのパケットを復号化し、送信する送信手段と、受信手段により受信したパケットが端末認証パケットである場合にそのパケットを送信する送信手段とを有する無線アクセスポイントを提供する。

ここで、無線アクセスポイントは、パケットを送信した端末のメディアアクセス制御アドレス（ＭＡＣアドレス）を読み込み、読み込まれたＭＡＣアドレスを有する端末に対する無線暗号鍵を記憶しているか判断する判断手段を有してもよい。また、無線アクセスポイントは、端末に対する無線暗号鍵を記憶している場合、パケットを復号化し送信する送信手段を有してもよい。

本発明はさらに、第１のセッション無線暗号鍵で暗号化されたハンドオフ無線暗号鍵を受信し復号化するハンドオフ無線暗号鍵復号化手段と、ハンドオフ無線暗号鍵でデータを暗号化するプログラムおよび暗号化されたデータを送信する送信手段と、ハンドオフ無線暗号鍵で暗号化された第２のセッション無線暗号鍵を受信し復号化するセッション暗号鍵復号化手段とを有する無線端末を提供する。

ここで、無線端末は、ハンドオフ無線暗号鍵が受信されるまで第１のセッション無線暗号鍵でデータを暗号化／復号化する第１のデータ暗号化／復号化手段と、第２のセッション無線暗号鍵が受信されるまでハンドオフ無線暗号鍵でデータを暗号化／復号化する第２のデータ暗号化／復号化手段と、第２のセッション無線暗号鍵が受信された後にデータを第２のセッション無線暗号鍵で暗号化／復号化する第３のデータ暗号化／復号化手段とを有してもよい。

本発明はさらに、無線ネットワークを提供する。ここで、無線ネットワークは、第１、第２のアクセスポイントにハンドオフ無線暗号鍵を提供する手段を有する。また、無線ネットワークは、第１のアクセスポイントから無線端末にハンドオフ無線暗号鍵を送信する手段を有する。また、無線ネットワークは、第２のアクセスポイントにおいて無線端末を認証する手段、およびハンドオフ無線暗号鍵で暗号化されたデータパケットを第２のアクセスポイントと無線端末との間で送受信する手段を有する。さらに、無線ネットワークは、ハンドオフ無線暗号鍵を無線端末に送信する前に、セッション無線暗号鍵でハンドオフ無線暗号鍵を暗号化する手段を有する。

本発明によれば、無線ネットワークシステムにおいて、セキュリティを確保し、かつ中断のないハンドオフを実現することができる。

図１は、分散型コンピュータシステム２のシステムレベルのブロック図である。分散型コンピュータシステム２は、１以上の端末が、１以上の他の端末と通信するコンピュータ環境であればどのようなものでもよく、図１は単に分散型コンピュータシステム２を例示したものに過ぎない。本実施形態において、分散型コンピュータシステム２は、無線端末１２、ネットワーク８、端末６を有する。無線端末１２は、ネットワーク８を介して端末６と通信可能である。ネットワーク８は、インターネット、ＷＡＮ、あるいはＬＡＮ等の広域ネットワークである。ここで、ネットワーク８は、無線通信ネットワーク、ＬＡＮ、ＷＡＮ、衛星ネットワーク、ブルートゥース（登録商標）ネットワーク、等のネットワークであるサブネットワーク１０を有する。サブネットワーク１０については後述する。

端末６および無線端末１２は、例えば、デスクトップコンピュータ、サーバ、ラップトップコンピュータ、個人情報端末（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｃｅ、以下ＰＤＡという）、ポケットＰＣ、無線電話等の装置である。端末６および無線端末１２は、クライアント、サーバ、あるいはピア・ツー・ピア通信のノードとして構成される。ピア・ツー・ピア通信の例としては、ＶｏＩＰ、ビデオ会議、テキストメッセージング、ファイル共有、映像ストリーミング、音声ストリーミング、等の直接通信がある。ここで、端末６および無線端末１２は、無線通信可能であってもよい。また、端末６および無線端末１２は、ネットワーク８に直接接続されても、あるいはアクセスポイントを介して接続されてもよい。ここで、端末６および無線端末１２は、動作に必要なプログラム及びデータを有を記憶したメモリを有する。

図２は、ネットワーク８のサブネットワーク１０のブロック図である。サブネットワーク１０は、認証・許可・アカウント・ホームサーバ（以下、ＡＡＡＨサーバという）３６と、認証・許可・アカウント・フォーリンサーバ（以下、ＡＡＡＦサーバという）３２、３４と、アクセスルータ２４、２６、２８と、アクセスポイント１４、１６、１８、２２とを有する。図２において、各要素は直接接続されているように描かれているが、間接的に接続され、地理的に離れた位置にある構成としてもよい。図２では、通信経路をより分かりやすく示すために、各要素が直接接続されているように描かれている。

ＡＡＡＨサーバ３６は、複数の端末を認証する。この複数の端末は、ＡＡＡＨサーバ３６に対応付けられる。また、ＡＡＡＨサーバ３６は、動作に必要なプログラムおよびデータを記憶したメモリを有する。ＡＡＡＨサーバ３６は、対応する端末の認識、認証、および課金に関する情報を保有する認証サーバを有してもよい。対応する端末の証明あるいは確認はＡＡＡＨサーバ３６により行われる。また、対応する端末がネットワーク等のリソースにアクセスすることを許可されているかについて、ＡＡＡＨサーバ３６が判断する。

ＡＡＡＨサーバ３６は、後述する端末の認証プロシージャを実行する。端末の認証プロシージャは、デジタル証明書、ユーザ名とパスワードのペア、あるいは対応する端末の認証を容易にする他の誰何・応答式のプロトコルを使用する。端末の認証プロシージャの一部として、ＡＡＡＨサーバ３６は端末認証パケットを対応する端末との間で送受信し、また、端末許可パケットを許可局との間で送受信する。端末認証パケットは、認証局のデジタル証明書、暗号鍵、ユーザ名、パスワード、呼びかけテキスト（Ｃｈａｌｌｅｎｇｅ Ｔｅｘｔ）、呼びかけメッセージ（Ｃｈａｌｌｅｎｇｅ Ｍｅｓｓａｇｅ）等、端末の認識、証明を容易にするものを含む。端末許可パケットは、対応する端末がネットワーク等のリソースへのアクセスをあるレベルにおいて許可されたことを示す。例えば、アクセスのレベルとしては、フルアクセス、アクセス禁止、制限付きアクセスがある。

本実施携帯において、端末の認証プロシージャは、ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）のＲＦＣｓ（Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）２８６５および２８６６で指定されるＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）プロトコルに準拠する。端末の認証プロシージャはまた、ＩＥＥＥ８０２．１ｘ基準で指定される認証方法に準拠してもよい。

対応付けられた端末を許可した後、ＡＡＡＨサーバ３６は、対応付けられた端末により使用されるリソースを記録（課金）してもよい。例えば、ＡＡＡＨサーバ３６は、対応付けられた端末による、ネットワークのアクセスに関する打診（プローブ）を記録する。対応する端末によるリソースの使用に関する情報は、ＡＡＡＨサーバ３６に送信される。

ＡＡＡＨサーバ３６は、ハンドオフするための暗号鍵を生成する。ハンドオフするための暗号鍵は、無線暗号鍵（Ｗｉｒｅｄ Ｅｕｉｖａｌｅｎｔ Ｐｒｉｖａｃｙ Ｋｅｙ、ＷＥＰキーあるいはＷＥＰ鍵ともいう）である。以下、このハンドオフするための暗号鍵を、「ハンドオフ無線暗号鍵」という。ここで、「ハンドオフ無線暗号鍵」という用語は、１以上の無線端末との暗号化通信のための１以上のアクセスポイントで同時に使用される暗号鍵を指す。

ＡＡＡＨサーバ３６は、アクセスポイントにハンドオフ無線暗号鍵を提供する。端末が第１のアクセスポイントから第２のアクセスポイントへハンドオフする間、端末と第２のアクセスポイントの間の通信はハンドオフ無線暗号鍵で暗号化される。なお、ＡＡＡＨサーバ３６は、セキュアな通信に適度な頻度で新たなハンドオフ無線暗号鍵を更新し提供してもよい。

ＡＡＡＦサーバ３２、３４は、複数の端末を認証する。しかしながら、ＡＡＡＦサーバ３２、３４は、ＡＡＡＨサーバ３６に対応する端末の組と異なる組の端末を対応付けてもよい。ここで、ＡＡＡＨサーバ３６に対応する端末にとって、ＡＡＡＨサーバ３６は、「ホームサーバ」であり、ＡＡＡＦサーバ３２、３４は「フォーリンサーバ」である。

また、ＡＡＡＦサーバ３２に対応する端末にとって、ＡＡＡＦサーバ３２は「ホームサーバ」であり、ＡＡＡＨサーバ３６は「フォーリンサーバ」である。本実施形態においては、混乱を避けるため、サーバの名称は無線端末１２との関係によって命名されたものである。フォーリンサーバは本発明の汎用性を示すための例であり、これに限定するものではない。

ＡＡＡＦサーバ３２、３４は、ＡＡＡＨサーバ３６に対応付けられた端末を間接的に認証してもよい。ＡＡＡＦサーバ３２、３４はそれぞれ、動作に必要なプログラムおよびデータを記憶したメモリを有する。ここで、ＡＡＡＦサーバ３２、３４は、ＡＡＡＨサーバ３６に対応付けられた端末の認識をするための本質的な情報を有している必要はない。ＡＡＡＦサーバ３２、３４は、端末認証パケットおよび端末許可パケットをＡＡＡＨサーバ３６との間で送受信することにより、ＡＡＡＨサーバ３６に対応付けられた端末を間接的に認証および許可する。ＡＡＡＦサーバ３２、３４は、ＡＡＡＨサーバ３６に対応付けられた端末により利用されたリソースに対し課金し、課金情報をＡＡＡＨサーバ３６に提供してもよい。

ＡＡＡＦサーバ３２、３４はそれぞれ、対応するアクセスポイントにアクセスするためのハンドオフ無線暗号鍵を生成してもよい。あるいは、ＡＡＡＦサーバ３２、３４は、ＡＡＡＨサーバ３６から共通のハンドオフ無線暗号鍵を受信してもよい。

アクセスルータ２４、２６、２８は、パケットを送受信する機能を有する。アクセスルータ２４、２６、２８はそれぞれ、受信したパケットをどのネットワークノードに送信するかを判断することができる。ネットワークノードは、端末、ゲートウェイ、ブリッジ、あるいは他のルータである。アクセスルータ２４、２６、２８はそれぞれ、他のサブネットワーク（図示略）に接続されることができ、これによりサブネットワーク１０と他のサブネットワークとの間のパケットの経路が提供されてもよい。

アクセスポイント１４、１６、１８、２２の各々は、ネットワークへのアクセスを提供する。ここで、アクセスポイント１４、１６、１８、２２の各々は、動作に必要なプログラムおよびデータを記憶している。アクセスポイント１４、１６、１８、２２の各々は、ネットワークの端点であってもよい。アクセスポイント１４、１６、１８、２２の各々は、認証局として機能してもよいし、あるいは、端末がネットワークにアクセスするために、端末に認証サーバから認証を受けるよう要求してもよい。さらに、端末が認証サーバにより認証を受ける前に、アクセスポイント１４、１６、１８、２２は、端末が端末認証パケットを認証サーバとの間で送受信することを許可するだけでもよい。端末が認証サーバにより認証された後、アクセスポイント１４、２６、１８、２２は、端末がネットワークを介してデータパケットを送受信することを許可する。

アクセスポイント１４、１６、１８、２２はそれぞれ、対応する無線通達範囲３８を有する無線アクセスポイントである。アクセスポイント１４、１６、１８、２２の無線通達範囲３８は、近隣のアクセスポイントの無線通達範囲と重なる部分があってもよい。アクセスポイント１４、１６、１８、２２の無線通達範囲３８に在圏する無線端末１２は、各アクセスポイントに対応付けられ、各アクセスポイントと通信することができる。

無線端末とアクセスポイントとの間で暗号化通信を行うために、セッション暗号鍵が、アクセスポイント１４、１６、１８，２２から、それぞれのアクセスポイントに在圏する無線端末に提供される。セッション暗号鍵は無線暗号鍵であり、以下、この暗号鍵を「セッション無線暗号鍵」という。ここで、「セッション無線暗号鍵」という用語は、アクセスポイントと無線端末との間の暗号化通信に使用される暗号鍵を指す用語である。本実施形態において、アクセスポイント１４、１６、１８、２２は、ＩＥＥＥ８０２．１１基準に準拠してセッション無線暗号鍵を生成し提供する。ハンドオフ無線暗号鍵を生成するプロシージャは、セッション無線暗号鍵を生成するプロシージャと同一である。

アクセスポイント１４、１６、１８、２２はそれぞれ、端末が他のアクセスポイント（ハンドオフ先のアクセスポイント）にハンドオフするように動作可能である。無線端末がハンドオフする間、ハンドオフしているアクセスポイント１４、１６、１８、２２は、ハンドオフ無線暗号鍵を無線端末に提供する。本実施形態では、セキュリティ上の理由から、アクセスポイント１４、１６、１８、２２は、その時点でアクティブに通信している無線端末にのみハンドオフ無線暗号鍵を送信する。ここで、「アクティブに」通信している状態とは、動画ストリーミングアプリケーション、ＶｏＩＰアプリケーション、ファイルのダウンロード、あるいはパケット送受信するその他のアプリケーション等のリアルタイムアプリケーションを含む。端末がハンドオフ時に単にアクセスポイント１４、１６、１８、２２に対応付けられているだけである場合は、ハンドオフ無線暗号鍵は端末に提供されなくてもよい。

端末がアクセスポイント１４、１６、１８、２２のうち１つにハンドオフする間、そのアクセスポイントと端末は、ハンドオフ認証メッセージを交換する。表１に、ハンドオフ認証メッセージの交換の例を示す。

各ハンドオフ認証メッセージは、メッセージを処理するための認証アルゴリズムを示す認証アルゴリズム番号を含む。例えば、「２」は、ハンドオフ無線暗号鍵アルゴリズムを示し、「１」は共有暗号鍵（セッション暗号鍵）アルゴリズムを示し、「０」はオープンシステム（認証無し）アルゴリズムを示す。ハンドオフ無線暗号鍵アルゴリズムに対して、ハンドオフ無線暗号鍵は、呼びかけテキストを暗号化／復号化するために使用される。

図３は、ハンドオフ無線暗号鍵を用いた共有暗号鍵ハンドオフ認証プロシージャを示す図である。アクセスポイント１４、１６はいずれもＡＡＡＦサーバ３２に対応付けられている。したがって、アクセスポイント１４、１６は、ＡＡＡＦサーバ３２からハンドオフ無線暗号鍵を受信する（ステップ３０２）。ハンドオフ無線暗号鍵の送信は、ＡＡＡＦサーバ３２とアクセスポイント１４、１６とにより共有される暗号鍵により暗号化される。ステップ３０４において、無線端末１２は、アクセスポイント１４に対応付けられ、アクセスポイント１４を介して通信している。無線端末１２とアクセスポイント１４との間の通信は、セッション無線暗号鍵により暗号化される。

迅速なハンドオフを容易にするため、無線端末１２は、ハンドオフ無線暗号鍵を要求する（ステップ３０６）。アクセスポイント１４は、ハンドオフ無線暗号鍵を無線端末に送信する（ステップ３０８）。アクセスポイント１４は、セッション無線暗号鍵で暗号化することによりセキュリティを高めてハンドオフ無線暗号鍵を送信する。

無線端末１２は、アクセスポイント１４からアクセスポイント１６（ハンドオフ先のアクセスポイント）へハンドオフすることを決定する（ステップ３１０：ハンドオフ決定過程）。ハンドオフを開始するために、無線端末１２は、打診要求／回答パケットをハンドオフ先のアクセスポイント１６と交換する（ステップ３１２）。打診が成功した場合、無線端末１２は、ハンドオフ認証メッセージをハンドオフ先のアクセスポイント１６と交換する（ステップ３１４）。ステップ３１４におけるハンドオフ認証メッセージの交換は、表１で説明した通りに実行される。

ハンドオフ認証が成功した場合、無線端末１２は、対応付け要求／回答パケットをハンドオフ先のアクセスポイント１６と交換する（ステップ３１６）。成功した場合、無線端末１２は、ハンドオフ先のアクセスポイント１６と対応付けられる（ステップ３１６）。無線端末１２とハンドオフ先のアクセスポイント１６が対応付けられた後、無線端末１２とハンドオフ先のアクセスポイント１６との間のデータ通信は、ハンドオフ無線暗号鍵で暗号化される（ステップ３１８）。無線端末１２およびハンドオフ先のアクセスポイント１６は、ハンドオフ先のアクセスポイント１６が新しいセッション無線暗号鍵を提供する（ステップ３２６）まで、ハンドオフ無線暗号鍵で暗号化されたデータを通信し続ける。

例えば、無線端末１２は、ハンドオフ先のアクセスポイント１６と対応付けられた後、インターネットを介して通信するために新しいＩＰアドレスを要求してもよい（ステップ３１８）。このとき、ハンドオフ無線暗号鍵は、モバイルＩＰアドレスの取得に対応するパケットを暗号化するために使用される。例えば、無線端末１２は、新しいモバイルＩＰアドレスを要求し受信するためにＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）サーバ（図示略）と通信してもよい（ステップ３１８）。無線端末１２はまた、新しいモバイルＩＰアドレスを示すバインディング更新メッセージを送信してもよい（ステップ３１８）。このように、ハンドオフ無線暗号鍵は、モバイルＩＰアドレスの取得に対応するパケットに対し十分なセキュリティを提供する。

無線端末１２が、ハンドオフ時にリアルタイムアプリケーションを実行中である場合は、次のように動作する。すなわち、ステップ３１８において、リアルタイムアプリケーションにより送受信されるデータパケットは、ハンドオフ先のアクセスポイント１６を介した通信のためにハンドオフ無線暗号鍵により暗号化される。したがって、無線端末１２のリアルタイムアプリケーションは、ハンドオフの間、ユーザが中断を知覚することなく通信を継続することができる。

ステップ３２０において、無線端末１２は、端末認証パケットをハンドオフ先のアクセスポイント１６に送信する。端末認証パケットは、ハンドオフ無線暗号鍵により暗号化されてもよいが、端末認証パケットを暗号化することは必須ではない。

ステップ３２２において、ハンドオフ先のアクセスポイント１６は、端末認証パケットをＡＡＡＨサーバ３６に送信する。ＡＡＡＨサーバ３６が無線端末１２の身元（ＩＤ）あるいは証明書を確認した後、ＡＡＡＨサーバ３６は、ハンドオフ先のアクセスポイント１６に端末許可パケットを送信する（ステップ３２４）ハンドオフ先のアクセスポイント１６は、無線端末１２に新しいセッション無線暗号鍵を提供する（ステップ３２６）。

ステップ３２８において、無線端末１２およびハンドオフ先のアクセスポイント１６は、ハンドオフ無線暗号鍵の使用から新しいセッション無線暗号鍵の使用へと切り替える。新しいセッション無線暗号鍵は、次のハンドオフが起こるまで、あるいは、別の理由で通信が終了するまで、無線端末１２とハンドオフ先のアクセスポイント１６との間の通信を暗号化するために使用される。

以上で説明した共有暗号鍵のハンドオフ認証プロシージャは、もちろん無線端末１２がアクセスポイント１６からアクセスポイント１８へハンドオフする際にも使用できる。もう１つのアクションを付加することにより、そのプロシージャをさらに、無線端末１２がアクセスポイント１８からアクセスポイント２２へハンドオフする際にも使用することができる。この付加されたアクションにおいて、ＡＡＡＨサーバ３６は、ハンドオフ無線暗号鍵を生成し、ＡＡＡＦサーバ２３、３４に、あるいはアクセスポイント１４、１６、１８、２２に直接提供する。このアクションは、アクセスポイント１８とアクセスポイント２２に共通のハンドオフ無線暗号鍵を提供する。

なお、ハンドオフ無線暗号鍵を生成し送信する方法は、上述の方法に限られない。例えば、ＡＡＡＦサーバ３２が、ハンドオフ無線暗号鍵を生成し、ＡＡＡＨサーバ３６に送信してもよい。そして、ＡＡＡＨサーバ３６が、ハンドオフ無線暗号鍵をＡＡＡＦサーバ３４に送信してもよい。

図３に示される共有暗号鍵によるハンドオフ認証プロシージャは、既にある機器を使用するために、ファームウェアの修正を必要とする。このようなファームウェアの修正を必要としないシステムのための、オープンシステムによるハンドオフ認証プロシージャが、図４に示されている。オープンシステムによるハンドオフ認証プロシージャは、ＩＥＥＥ８０２．１１基準に準拠しており、さらにＩＥＥＥ８０２．１ｘ基準に準拠してもよい。

オープンシステムによるハンドオフ認証プロシージャの多くのステップは、共有暗号鍵によるハンドオフ認証プロシージャにおけるステップと本質的に同一の方法で動作する。オープンシステムによるハンドオフ認証プロシージャのステップ４０２、４０４、４０６、４０８、４１０、４１２は、共有暗号鍵によるハンドオフ認証プロシージャにおけるステップ３０２、３０４、３０６、３０８、３１０、３１２と同一の方法でそれぞれ動作する。しかしながら、ステップ４１４において、ハンドオフ認証メッセージの交換は、ステップ３１２で使用される「ハンドオフ無線暗号鍵」による認証アルゴリズムではなく、「オープンシステム」による認証アルゴリズムを使用する点が異なる。

オープンシステムによる認証アルゴリズムを用いた場合、ハンドオフ先のアクセスポイント１６は、ハンドオフのために無線端末１２を呼びかけ無しで認証する（すなわち無認証）。この無認証の後、ステップ４１６において、無線端末１２は、ハンドオフ先のアクセスポイント１６に対応付けられる。無線端末１２とハンドオフ先のアクセスポイント１６との間で通信されるデータパケットは、ハンドオフ無線暗号鍵により暗号化される（ステップ４１８）。

ステップ４２０において、無線端末１２は、端末認証パケットをハンドオフ先のアクセスポイント１６に送信する。前述のステップ３２０と同様に、無線端末認証パケットは、ハンドオフ無線暗号鍵により暗号化されてもよいが、端末認証パケットの暗号化は必須ではない。ステップ４２２、４２４、４２６、４２８において、オープンシステムによるハンドオフ認証プロシージャは、共有鍵によるハンドオフ認証プロシージャのステップ３２２、３２４、３２６、３２８と本質的に同一の方法でそれぞれ動作する。

オープンシステムによるハンドオフ認証プロシージャは、ステップ４１４において無線端末に呼びかけをしない。したがって、ハンドオフ先のアクセスポイントは、無線端末１２が暗号化されていない端末認証パケットをＡＡＡＨサーバ３６に通信することを許可するセキュリティプロシージャを含む。さらに、そのセキュリティプロシージャは、データパケットがハンドオフ無線暗号鍵で暗号化されている場合のみ無線端末１２にデータパケットをネットワーク８に通信することを許可する。このセキュリティプロシージャの例を図５および図６に示す。

図５は、ハンドオフ先のアクセスポイント１６に対するセキュリティプロシージャを示す。セキュリティプロシージャは、ハンドオフ先のアクセスポイント１６のデータリンク層で動作する。セキュリティプロシージャは、証明されたＭＡＣアドレスからのパケットと、端末認証パケットと、ハンドオフ無線暗号鍵により暗号化されたパケットとを１つ上のネットワーク層に転送する間、認証されていないパケットを削除する。パケットは、１つ上のネットワーク層に送られ、さらに宛先ノードへ転送される。

ハンドオフ先のアクセスポイント１６は、証明されたが対応するセッション無線暗号鍵を持たない無線端末のＭＡＣアドレスを登録する。ハンドオフ先のアクセスポイント１６は、無線端末１２からパケットを受信する。ステップ５０２において、ハンドオフ先のアクセスポイント１６は、パケットの発信元のＭＡＣアドレスから、無線端末１２が証明された端末であるかどうか判断する。証明されている場合、ハンドオフ先のアクセスポイント１６は、無線端末１２に対するセッション無線暗号鍵を所有する。セッション無線暗号鍵は、ステップ５０４で受信したパケットの復号化に使用される。復号化されたパケットは、１つ上のネットワーク層に送られる（ステップ５１６）。

一方、無線端末１２が証明された端末でない場合、ステップ５０６およびステップ５１０において、パケットはさらに解析される。ステップ５０６において、ハンドオフ先のアクセスポイント１６は、パケットがＡＡＡＨサーバ３６宛ての暗号化されていない端末認証パケットであるか判断する。そうである場合は、パケットは、１つ上のネットワーク層に送られる（ステップ５１６）。そうでない場合は、パケットは削除される（ステップ５０８）。

ステップ５１０において、ハンドオフ先のアクセスポイント１６は、パケットがハンドオフ無線暗号鍵で暗号化されているか判断する。そうである場合は、パケットは復号化される（ステップ５１４）。復号化されたパケットは、１つ上のネットワーク層に送られる（ステップ５１６）。パケットがハンドオフ無線暗号鍵で暗号化されていない場合、パケットは削除される（ステップ５１２）。

セキュリティプロシージャの動作により、ハンドオフ無線暗号鍵で暗号化されたパケットは、ネットワーク層に送られる。同様に、暗号化されていない端末認証パケットも、ネットワーク層に送られる。暗号化されていないものも暗号化されているか不確かなものも含めて、それ以外のパケットはすべて削除される。

図６は、ハンドオフ先のアクセスポイント１６に対する別のセキュリティプロシージャを示す。図６に示されるセキュリティプロシージャと図５に示されるセキュリティプロシージャには大きな違いがある。図６のセキュリティプロシージャでは、受信されたパケットはパラレルではなくシリアルに処理される。ステップ６０２およびステップ６０４は、ステップ５０２およびステップ５０４と本質的に同一に動作する。ＭＡＣアドレスが証明されない場合、ハンドオフ先のアクセスポイント１６は、ステップ６０２からステップ６０６に進む。

ステップ６０６において、ハンドオフ先のアクセスポイント１６は、パケットがＡＡＡＨサーバ３６宛ての暗号化されていない端末認証パケットであるかどうか判断する。そうである場合は、パケットはネットワーク層に送られる（ステップ６１４）。そうでない場合は、ハンドオフ先のアクセスポイント１６は、そのパケットがハンドオフ無線暗号鍵により暗号化されているか判断する（ステップ６０８）。

パケットがハンドオフ無線暗号鍵で暗号化されている場合、パケットは復号化される（ステップ６１２）。復号化されたパケットは、ネットワーク層に送られる（ステップ６１４）。パケットがハンドオフ無線暗号鍵で暗号化されていない場合、パケットは削除される（ステップ６１０）。図５のセキュリティプロシージャを用いた場合と同様に、ハンドオフ無線暗号鍵で暗号化されたパケットおよび暗号化されていない端末認証パケットはネットワーク層に送られるが、他のパケットは削除される。

図４に示されるオープンシステムによるハンドオフ認証プロシージャは、図５あるいは図６に示されるセキュリティプロシージャのいずれかを実行してもよい。どちらの場合でも、オープンシステムによるハンドオフ認証プロシージャは、ハンドオフ無線暗号鍵による認証アルゴリズムをサポートしていない無線端末１２で動作可能である。

例えば、無線端末１２がステップ４０８においてハンドオフ無線暗号鍵を受け付けなくても、それはハンドオフ先のアクセスポイント１６に再度打診し（ステップ４１２）、ハンドオフ先のアクセスポイント１６に認証され（ステップ４１４）、そしてハンドオフ先のアクセスポイント１６に対応付けられる（ステップ４１６）ことができる。このとき、ステップ４１８において、無線端末１２は、データパケットを暗号化するためのハンドオフ無線暗号鍵を所有していないのでデータパケットを通信しない。無線端末１２がハンドオフ先のアクセスポイント１６に送信する暗号化されていないデータパケットはすべて、図５あるいは図６に示されるセキュリティプロシージャの動作により削除される。

しかしながら、無線端末１２からの暗号化されていない端末認証パケットは、まだＡＡＡＨサーバ３６と通信可能である。したがって、ＡＡＡＨサーバ３６はまだ無線端末１２を認証し許可することができる。したがって、ハンドオフ先のアクセスポイント１６は、無線端末１２に新しいセッション無線暗号鍵を提供可能である。それにより、ステップ４２６において暗号化データに対する許可をする。

本発明の様々な実施形態を説明したが、本発明の技術的範囲内でより多くの実施形態、変形例が可能であることは当業者にとって明らかである。したがって、本発明の範囲は請求の範囲とその均等物によって決まる。

分散型コンピュータシステムのシステムレベルのブロック図である。 無線セグメントを含むサブネットワークのブロック図である。 共有暗号鍵を用いたハンドオフのためのパケット通信のプロシージャを示す図である。 オープンシステムによるハンドオフのためのパケット通信のプロシージャを示す図である。 パラレル処理のセキュリティプロシージャを示すフローチャートである。 シリアル処理のセキュリティプロシージャを示すフローチャートである。

符号の説明

６……端末、８……ネットワーク、１０……サブネットワーク、１２……無線端末、１４、１６、１８、２２……アクセスポイント、２４、２６、２８……ルータ、３２、３４……ＡＡＡＦサーバ、３６……ＡＡＡＨサーバ

Claims (4)

1. 無線通信ネットワークにおけるハンドオフの方法であって、
   ハンドオフ無線暗号鍵を第１のアクセスポイントおよび第２のアクセスポイントに提供する過程と、
   前記ハンドオフ無線暗号鍵を、前記第１のアクセスポイントから前記第１のアクセスポイントに対応付けられた無線端末に送信する過程と、
   前記第２のアクセスポイントにおいて前記無線端末を認証する過程と、
   前記第２のアクセスポイントと前記無線端末との間で、前記ハンドオフ無線暗号鍵で暗号化されたデータパケットを通信する過程と
   を有する方法。
2. ハンドオフ無線暗号鍵を受信する受信手段と、前記ハンドオフ無線暗号鍵でデータを暗号化する暗号化手段と、前記暗号化手段により暗号化されたデータを送信する送信手段とを有する無線端末と、
   ハンドオフ無線暗号鍵を前記無線端末に送信する送信手段を有する第１のアクセスポイントと、
   前記無線端末から前記暗号化されたデータを受信する受信手段と、前記暗号化されたデータを前記ハンドオフ無線暗号鍵で復号化する復号化手段とを有する第２のアクセスポイントと
   を有する無線ネットワーク。
3. パケットを受信する受信手段と、
   前記パケットがハンドオフ無線暗号鍵で暗号化されていないパケットである場合に当該パケットを削除する削除手段と、
   前記パケットがハンドオフ無線暗号鍵で暗号化されたパケットである場合に当該パケットを復号化する復号化手段と、
   前記パケットが端末認証パケットである場合に当該パケットを送信する送信手段と
   を有する無線アクセスポイント。
4. 第１のセッション無線暗号鍵で暗号化されたハンドオフ無線暗号鍵を受信し復号化するハンドオフ無線暗号鍵復号化手段と、
   前記ハンドオフ無線暗号鍵でデータを暗号化するデータ暗号化手段と、
   前記データ暗号化手段により暗号化されたデータを送信する送信手段と、
   前記ハンドオフ無線暗号鍵で暗号化された第２のセッション無線暗号鍵を受信し復号化するセッション暗号鍵復号化手段と
   を有する無線端末。

Images