JP2004304824A - 無線ｌａｎシステムにおける認証方法と認証装置 - Google Patents

Abstract

【課題】ＩＥＥＥ８０２．１１に準拠した無線ＬＡＮシステムの暗号化認証方法と認証装置について、アクセスポイント（ＡＰ）に多数の加入者局（ＳＴＡ）を接続して安全に認証できる構成を提供する。
【解決手段】データ端末１０と無線ＬＡＮカード２０からなる多数のＳＴＡ１からＡＰ２に対して認証要求を送出する（Ｓ１）。ＡＰ２は認証サーバ（ＲＡＤＩＵＳ）サーバ３に対して、認証サーバ３のプロトコルでＭＡＣアドレスを送出する（Ｓ８）。認証サーバ３は、ＭＡＣアドレス認証を実行した（Ｓ９）後、チャレンジテキストをＡＰ２に送出する（Ｓ１０）。ＡＰ２は、１ＥＥＥ８０２．１１で定められたＷＥＰアルゴリズムの処理に従って、ＳＴＡ１と暗号化認証を行なう（Ｓ２）〜（Ｓ６）。
【選択図】図３

Description

本発明は無線ＬＡＮシステムの認証方法において、特にＩＥＥＥ８０２．１１（米国電気電子技術者協会で規定した国際標準）に準拠した無線ＬＡＮシステムの認証方法と認証装置に関する。

ＩＥＥＥ８０２．１１に準拠した無線ＬＡＮシステムは、今後普及が見込まれており免許不要で使用できる周波数帯（２．４ＧＨｚや５ＧＨｚ）を使用できることから、無線区間のセキュリティ確保が重要になっている。

ＩＥＥＥ８０２．１１の第8章認証と暗号（８．ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＡＮＤ ＰＲＩＶＡＣＹ）には、オープンシステムを用いた認証方式（ＯＰＥＮ ＳＹＳＴＥＭ ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ）とＷＥＰ（ＷＩＲＥＤ ＥＱＵＩＶＡＬＥＮＴ ＰＲＩＶＡＣＹ）アルゴリズムを用いた共通（秘密）鍵認証方式（ＳＨＡＲＥＤ ＫＥＹ ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ）とが規定されており、認証方式としてオープンシステム認証方式と共通鍵認証方式の２種類のどちらかが固定的に使用される。

図５は、ＩＥＥＥ８０２．１１に規定された無線ＬＡＮシステムの暗号化認証に関わる部分のブロック図を示す。

本図において、ＳＴＡ(ＳＴＡＴＩＯＮ)１は、複数の端末局であり、各端末局は無線信号の送受信機能を有するノートＰＣ等のデータ端末である。

ＡＰ（アクセスポイント；ＡＣＣＥＳＳ ＰＯＩＮＴ）２は、無線アクセスと有線網とのインターフェース機能や無線信号の送受信機能を有し、さらに無線信号制御等のファームウェアやＭＡＣアドレス認証機能も搭載されている。

保守サーバ４は、ＡＰ２をＳＮＭＰで設定、管理を行なうサーバである。

ＳＴＡ１とＡＰ２間の接続は無線区間５となっており、ＡＰ２と保守サーバ４間の接続はイーサネット(登録商標)等の有線区間が用いられている。

最初に、共通鍵認証方式について図を用いて説明する。

図６は、ＩＥＥＥ８０２．１１で規定されたＷＥＰアルゴリズムを用いた暗号化認証手順を示したシーケンス図である。本図において、ＷＥＰアルゴリズムによる暗号化認証はＯＳＩ（ＯＰＥＮ ＳＹＳＴＥＭ ＩＮＴＥＲＣＯＮＮＥＣＴＩＯＮ）の第２層のデータリンク層の副層であるＭＡＣ（媒体アクセス制御；ＭＥＤＩＡ ＡＣＣＥＳＳ ＣＯＮＴＲＯＬ）において行われている。

なお、ＭＡＣは、複数の装置からのデータ送信要求が共通の伝送路上で競合したときのアクセス権制御や、装置と伝送路の物理的接続点の識別、フレーム形成、伝送路上の誤り制御などを第１層の物理層（ＰＨＹ；ＰＨＹＳＩＣＡＬ ＬＡＹＥＲ）と一体化して行なう。

あるＳＴＡ１からＡＰ２に対して認証要求が無線信号にて送信される（Ｓ１）。このとき、ＰＤＵフォーマット内には共通鍵による認証要求であることを示すビットが用意されている。また、ＭＡＣフレーム内にはソースアドレスとしてＳＴＡ１のＭＡＣアドレスが含まれている。

認証要求を受けたＡＰ２からＳＴＡ１に対してチャレンジテキストが送出される（Ｓ２）。チャレンジテキストを受けたＳＴＡ１は、ＷＥＰアルゴリズムに基づいて自分の共通鍵とＩＶ（イニシャライゼイション ベクター；ＩＮＩＴＩＡＬＩＺＡＴＩＯＮ ＶＥＣＴＯＲ）により暗号化する（Ｓ３）。

次に、ＳＴＡ１は、暗号文とＩＶをＡＰ２に対して送信する（Ｓ４）。ＡＰ２は、受信した暗号文とＩＶと自分の共通鍵により暗号文を復号化し、Ｓ２で送信したチャレンジテキストとＳ４で得られたチャレンジテキストとを比較して一致／不一致を判定する（Ｓ５）。

ＡＰ２は、Ｓ４の判定結果が一致していた場合には、全体の認証が完了したとして認証完了通知としてＳＵＣＣＥＳＳＦＵＬ ＣＯＤＥをＳＴＡ１に送信する（Ｓ６）。認証完了通知を受けたＡＰ１はＳＴＡ２とアソシエーション（ＡＳＳＯＣＩＡＴＩＯＮ）の動作に移行する（Ｓ７）。

一方、オープンシステム認証方式は、ＳＴＡ１からＡＰ２に認証要求を送出すると、特段の確認手順を持たずに、ＡＰ２からＳＴＡ１に対して認証結果が送出されるという簡単な手順である。

以上説明したＩＥＥＥ８０２．１１の規定に準拠した無線ＬＡＮシステムにおける認証方法及び認証装置では、以下のような課題がある。

第１に、前述した無線ＬＡＮシステムではＡＰ２がＭＡＣアドレスを認証している。しかし、一般にＡＰ２は無線アクセスと有線アクセスとのインターフェース機能をメインタスクとしているため、ＭＡＣアドレス認証機能のためのハードウェアやソフトウェアには制限がある。特に、通常用いられるＡＰ２では、多数のＳＴＡ１（例えば、１０,０００台以上のＳＴＡ１）のＭＡＣアドレステーブルを用意するのは難しいため、多数のＳＴＡ１に対してＭＡＣアドレス認証をすることが困難であった。

第２に、最近は無線ＬＡＮシステムの端末局に無線信号を制御するためのファームウェアやＩＤ等が記憶されたカードが用いられるようになってきている。このような無線ＬＡＮシステムにＩＥＥＥ８０２．１１で規定された共通鍵認証方式を適用するためこのカードに鍵を記憶した場合には、カードは小型で持ち運び容易で、置き忘れや盗難し易く不正使用される確率が大きいため安全性を高める手段が必要となっていた。

第３の課題は、オープンシステム認証方式では認証処理を完了し、アソシエーション後の通信期間に制限が無かったので、不正接続される可能性があり安全性が低かった。

以上説明したように本発明の目的は、これらの問題を解決した無線ＬＡＮシステムの認証方法および認証装置を提供することにある。

上記課題を解決するために、請求項１に記載の無線と有線のインターフェイス装置は、端末局が提供する第１種の認証情報に基づいて認証する第１認証手段と、
端末局が提供する第２種の認証情報に基づいて認証する第２認証手段と、
端末局認証用の第２種の認証情報を記憶する記憶手段と、
認証サーバと通信する通信手段とを有し、
前記通信手段は、前記端末局の提供する第２種の認証情報に基づく認証に関し前記認証サーバに問い合わせ、
前記第２認証手段は、前記問い合わせに対する認証サーバからの応答に基づいて認証することを特徴とする。

上記課題を解決するために、請求項２に記載のアクセスポイントは、
無線ＬＡＮシステムにおけるアクセスポイントであって、
端末局が提供する第１種の認証情報に基づいて認証する第１認証手段と、
端末局が提供する第２種の認証情報に基づいて認証する第２認証手段と、
端末局認証用の第２種の認証情報を記憶する記憶手段と、
認証サーバと通信する通信手段とを有し、
前記通信手段は、前記端末局の提供する第２種の認証情報に基づく認証に関し前記認証サーバに問い合わせ、
前記第２認証手段は、前記問い合わせに対する認証サーバからの応答に基づいて、前記端末局のネットワーク側へ接続を許可し、または許可しないことを特徴とする。

上記課題を解決するために、請求項３に記載のアクセスポイントは、
端末局を暗号化認証する第１認証手段と、
ＭＡＣアドレスを管理する認証サーバの有するＭＡＣアドレスに関する情報を利用して前記端末局をＭＡＣアドレス認証する第２認証手段とを有することを特徴とする。

上記課題を解決するために、請求項４に記載のアクセスポイントは、
端末局を暗号化認証する第１認証手段と、
端末局をＭＡＣアドレス認証する第２認証手段と、
端末局のＭＡＣアドレス認証用のＭＡＣアドレスを記憶する記憶手段とを有し、
端末局から認証要求を受けた場合に、
前記第２認証手段は、前記記憶手段に記憶したＭＡＣアドレスと、端末局のＭＡＣアドレスに基づく接続可否を管理する認証サーバの有する前記情報を用いて、前記端末局をＭＡＣアドレス認証することを特徴とする。

上記課題を解決するために、請求項５に記載のアクセスポイントは、
端末局を暗号化認証する認証手段と、
端末局のＭＡＣアドレスを管理する認証サーバと通信する通信手段と、
端末局のネットワークへの接続を制御する接続制御手段とを有し、
端末局から認証要求を受けた場合に、
前記認証手段は、
前記端末局を暗号化認証し、
前記通信手段は、
端末局のＭＡＣアドレスを管理する認証サーバに前記端末局のＭＡＣアドレスを送信し、前記認証サーバが行ったＭＡＣアドレス認証の結果を受信し、
前記接続制御手段は、
前記ＭＡＣアドレス認証が成功した場合に前記端末局のネットワークへの接続を許可し、前記ＭＡＣアドレス認証が失敗した場合に前記端末局のネットワークへの接続を許可しないことを特徴とする。

上記課題を解決するために、請求項６に記載のアクセスポイントは、
端末局を暗号化認証する認証手段と、
ＭＡＣアドレスを管理する認証サーバに端末局のＭＡＣアドレスを問い合わせる通信手段と、
前記認証サーバが管理するＭＡＣアドレスと前記端末のＭＡＣアドレスが一致した場合に端末局のネットワークへの接続を可能とする接続制御手段とを有することを特徴とする。

上記課題を解決するために、請求項７に記載のアクセスポイントは、
端末局をＷＥＰアルゴリズムを用いて暗号化認証する第１認証手段と、
端末局をＭＡＣアドレス認証する第２認証手段とを有し、
端末局から認証要求があった場合に前記第１認証手段による認証と前記第２認証手段による認証を行い、
前記ＭＡＣアドレス認証に際し、
端末局のＭＡＣアドレスに基づく接続可否を管理する認証サーバに問い合わせを行うことを特徴とする。

上記課題を解決するために、請求項８に記載のアクセスポイントは、
端末局をＷＥＰアルゴリズムを用いて暗号化認証する第１認証手段と、
端末局をＭＡＣアドレス認証する第２認証手段と、
接続許可すべき端末局のＭＡＣアドレスを記憶する記憶手段を有し、
端末局から接続要求があった場合に前記第１認証手段による認証と前記第２認証手段による認証を行い、
前記第２認証手段によりＭＡＣアドレス認証を行う際に、
接続可否に関して端末局のＭＡＣアドレスを管理する認証サーバの記憶するＭＡＣアドレスをも利用することを特徴とする。

上記課題を解決するために、請求項９に記載のアクセスポイントは、
無線ＬＡＮシステムに使用するアクセスポイントであって、
端末局を暗号化認証方式またはオープンシステム認証方式により認証する第１認証手段と、
前記端末局をＭＡＣアドレスの情報に基づいて認証する第２認証手段とを有し、
前記第２認証手段による認証に際し、ローミングの対象とならない同一の無線ＬＡＮシステム内に配置された端末局のＭＡＣアドレスを管理する認証サーバの有するＭＡＣアドレスの情報を利用することを特徴とする。

上記課題を解決するために、請求項１０に記載の無線ＬＡＮシステムは、
端末局と、アクセスポイントと、認証サーバからなる無線ＬＡＮシステムであって、
前記端末局は、
前記アクセスポイントと無線通信する通信手段を有し、
前記アクセスポイントは、
前記端末局を暗号化認証により認証する第１認証手段と、
前記端末局をＭＡＣアドレス認証する第２認証手段とを有し、
前記認証サーバは、
端末局のＭＡＣアドレスを記憶する記憶手段と、
前記アクセスポイントからのＭＡＣアドレスに関する問い合わせに応答する応答手段とを有することを特徴とする。

上記課題を解決するために、請求項１１に記載の無線ＬＡＮシステムは、
端末局と、アクセスポイントと、認証サーバからなる無線ＬＡＮシステムであって、
前記端末局は、
前記アクセスポイントと無線通信する通信手段を有し、
前記アクセスポイントは、
前記端末局を暗号化認証により認証し、
前記端末局をＭＡＣアドレス認証し、
前記認証サーバは、
前記端末局のＭＡＣアドレスを記憶し、
前記記憶したＭＡＣアドレスを用いて、前記アクセスポイントのＭＡＣアドレス認証を補助することを特徴とする。

上記課題を解決するために、請求項１２に記載の無線ＬＡＮシステムは、
端末局と、アクセスポイントと、認証サーバからなる無線ＬＡＮシステムであって、
前記端末局は前記アクセスポイントと無線通信する通信手段を有し、
前記アクセスポイントは、
前記端末局をＭＡＣアドレス認証する認証手段を有し、
前記認証サーバは、
ローミングを行う必要のない同一の無線ＬＡＮ内に配置され、
前記端末局のＭＡＣアドレスを記憶する記憶手段と、
前記アクセスポイントからのＭＡＣアドレスに関する問い合わせに応答する応答手段と
を有することを特徴とする。

上記課題を解決するために、請求項１３に記載の無線ＬＡＮシステムに使用する認証サーバは、例えば、請求項１１乃至１２のいずれかに記載の無線ＬＡＮシステムにて使用される。

上記課題を解決するために、請求項１４に記載の無線ＬＡＮシステムに使用する端末局は、例えば、請求項１１乃至１２のいずれかにに記載の無線ＬＡＮシステムにて使用される。

上記課題を解決するために、請求項１５に記載の無線ＬＡＮシステムにおける端末局の認証方法は、端末局と、アクセスポイントと、認証サーバからなる無線ＬＡＮシステムにおける端末局の認証方法であって、
端末局からの認証要求があった場合にアクセスポイントが暗号化認証とＭＡＣアドレス認証により前記端末局を認証し、
前記アクセスポイントは、前記ＭＡＣアドレス認証に際し、
認証サーバに対し前記端末局のＭＡＣアドレスに基づく接続可否を問い合わせ、問い合わせの応答に基づいて前記端末局をＭＡＣアドレス認証することを特徴とする。

上記課題を解決するために、請求項１６に記載のアクセスポイントは、端末局から認証要求があった場合に、前記端末局を暗号化認証し、前記端末局を認証サーバが管理する端末局のＭＡＣアドレス情報に基づいてＭＡＣアドレス認証を行う。

以上説明したように、本願発明の無線ＬＡＮシステムの認証方法および認証装置は、以下の効果を有している。

第１に、ＩＥＥＥ８０２．１１で規定された共通鍵認証方式を拡張してＭＡＣアドレス認証を行なっている。このため、無線ＬＡＮカードを用いるため不正使用等が起きやすい無線ＬＡＮシステムにおいても、高い安全性を確保することができる。また、非常に多数の無線ＬＡＮカードに対する認証をいずれのアクセスポイントからでも行なえる効果も有している。

第２に、ＷＥＰの共通鍵に使用期限を設けたり、オープンシステム認証方式でアソシエーションされている期間を限定したりしてさらに、安全性を高めることができる。

第３に、ＡＰにおけるＭＡＣアドレステーブルは認証サーバからの指示で動的に更新されているため、認証サーバが障害になっても、障害直前までのＭＡＣアドレス情報を利用してＡＰ単独でＭＡＣアドレス認証ができる。

本発明の無線ＬＡＮシステムの認証方法と認証装置に関する実施の形態を図面を参照して説明する。

（第１の実施の形態）本発明の実施の形態の無線ＬＡＮシステムのシステム構成を示すブロック図を図1に示す。

本図において、ＳＴＡ(ＳＴＡＴＩＯＮ)１は、複数の端末局であり、各端末局はノートＰＣ等のデータ端末１０とデータ端末１０に挿入されて無線信号の送受信や無線信号等の制御を行うハードウェアやファームウェアとが搭載された無線ＬＡＮカード２０とから構成される。

ＡＰ（ＡＣＣＥＳＳ ＰＯＩＮＴ）２は、無線アクセスと有線網とのインターフェース機能を有し、また、無線信号の送受信や無線信号等の制御を行うハードウェアやファームウェアが搭載されている。また、ＩＥＥＥ８０２．１１の認証プロトコル機能やＳＴＡ１との認証プロトコルを認証サーバの認証プロトコルに適合するようにプロトコル変換を行う機能を有する。

認証サーバ３は、認証機能を有するサーバであり、使用可能なＳＴＡ１のＭＡＣアドレスは事前に登録されているものとする。本実施の形態では、ダイアルアップ用アクセス、認証、課金等の機能を有するＲＡＤＩＵＳサーバを用いて説明するが、これに限るものではない。また、ＡＰ２と接続してＭＡＣアドレス認証を行う機能を有する。

また、保守サーバ４は、ＡＰ２をＳＮＭＰで設定、管理を行うサーバである。

なお、本実施の形態では認証サーバ３と保守サーバ４とを独立した構成で示しているが、同一のサーバにこれら機能を搭載することもできる。

ここで、ＳＴＡ１とＡＰ２との接続は無線区間５で、ＡＰ２、認証サーバ３、保守サーバ４との接続はイーサネット(登録商標)ケーブル等の有線区間６で行われている。

図２は、本発明の無線ＬＡＮシステムのコントロールプレーンの各ノードにおけるプロトコルスタックを示す図である。

本図において、ＩＥＥＥ８０２．１１では、帰属、認証はＭＡＣ副層の中のエンティティとして取り扱われる。無線区間５では、ＩＥＥＥ８０２．１１に基づき暗号化認証が行われる。また、ＡＰ２では、無線区間５の認証手順を受けると認証サーバ３まで認証要求を転送する。認証サーバ３は、ＲＡＤＩＵＳプロトコルを用いて認証処理を行なう。

図３は、本発明の無線ＬＡＮシステムの具体的な認証方法のシーケンス図である。本図は、ＩＥＥＥ８０２．１１で規定されたＷＥＰメカニズムを利用した共通鍵を用いた暗号化認証方式に加えて、ＭＡＣアドレスによる認証を行なっている。

前提条件として、ＳＴＡ１およびＡＰ２の鍵設定は予めされており、使用可能なＳＴＡ１のＭＡＣアドレスは認証サーバ３に登録されているものとする。

図１で説明したように、本発明の無線ＬＡＮシステムでは、ＳＴＡ１には無線ＬＡＮカード２０を用いているため、カードを置き忘れたり、盗難等により不正使用者の手に渡る可能性がある。このため、共通鍵に加えてＭＡＣアドレスによる認証を組み合わせて安全性を高めている。なお、本図において図６と同一手順であるものには同一の番号を用いて説明する。

ＳＴＡ１が立ちあがったとき、ＡＰ２に対して認証要求を送出する（Ｓ１）。このとき、ＰＤＵフォーマット内には共通鍵認証方式による認証要求であることを示すビットが用意されている。このときのＭＡＣフレーム内にはソースアドレスとしてＳＴＡ１のＭＡＣアドレスが含まれている。

要求を受けたＡＰ２は、図で示した通常のＷＥＰメカニズムでは、チャレンジ用のテキストを用意してＳＴＡ１へ送るが、ここではＡＰ２から認証サーバ３に対して、ＭＡＣアドレスを認証のＩＤとして、認証サーバ３へ認証要求する（Ｓ８）。

ここで、認証サーバ３はＲＡＤＩＵＳサーバとして、ＩＥＴＦのＲＦＣ２１３８で定義されるＲＡＤＩＵＳ（ＲＥＭＯＴＥ ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＤＩＡＬ ＩＮ ＵＳＥＲ ＳＥＲＶＩＣＥ）プロトコルに基づいて動作する。

また、ＭＡＣアドレスは、認証用プロトコル（ＲＡＤＩＵＳプロトコル）上ではユーザー名やコーリングステイションＩＤ（ＣＡＬＬＩＮＧ−ＳＴＡＴＩＯＮ−ＩＤ）等として定義されている。

認証（ＲＡＤＩＵＳ）サーバ３は、ＡＰ２から受けたＭＡＣアドレスを認証する（Ｓ９）。

次に、ＭＡＣアドレスが認証された場合には、ＩＥＴＦのＲＦＣ１９９４で定義されるＣＨＡＰプロトコル（ＰＰＰ ＣＨＡＬＬＥＮＧＥ ＨＡＮＤＳＨＡＫＥ ＡＵＴＨＥＮＴＩＣＡＴＩＯＮ ＰＲＯＴＯＣＯＬ）と同様な手順に基づいてチャレンジテキストがＡＰ２に対して送信される（Ｓ１０）。ここで、ＰＰＰとは、Ｐｏｉｎｔ−ｔｏ−Ｐｏｉｎｔ ＰＲＯＴＯＣＯＬをいう。

なお、ＣＨＡＰプロトコルでは一方向性のハッシュ方式としてメッセイジ ダイジェスト５（ＭＥＳＳＡＧＥ ＤＩＧＥＳＴ ２；ＭＤ５）が定められているが、それとは異なる方式を用いたり、有線路の安全性が確保されているとする場合は、ダミープロトコルとして使用しても良い。

認証サーバ３からチャレンジテキストを受信したＡＰ２は本来のＷＥＰメカニズムに戻ってＳＴＡ１に対するチャレンジテキストをＳＴＡ１へ送信する（Ｓ２）。

なお、このチャレンジテキストは、図のチャレンジテキストと同一であっても良いし、認証サーバ３からのチャレンジテキストを流用しても良い。

ＳＴＡ１はＡＰ２より受信したチャレンジテキストに対し、ＷＥＰメカニズムにより自分の共通鍵とイニシャライゼイションベクタ（ＩＮＩＴＩＡＬＩＺＡＴＩＯＮ ＶＥＣＴＯＲ；ＩＶ）により暗号化を行う（Ｓ３）。

この暗号文とイニシャライゼイションベクタは、ＳＴＡ１からＡＰ２へ送信される（Ｓ４）。

ＡＰ２は、受信した暗号文とイニシャライゼイションベクタと自分の共通鍵により暗号文を復号し、元のチャレンジテキストに戻れば、無線区間の認証が成功したものとする（Ｓ５）。

ＡＰ２は、認証サーバ３にＣＨＡＰによりハッシュを行ってＣＨＡＰレスポンスを返す（Ｓ１１）。

なお、ＣＨＡＰをダミープロトコルとする場合は、ＣＨＡＰレスポンス相当の返答に変えて返答する。

認証サーバ３ではＣＨＡＰにより正常なレスポンスを受け取ったことが分かると、全体の認証が完了したとして、ＡＰ２に対して認証完了の通知をする（Ｓ１２）。

認証完了通知を受けたＡＰ２はＳＴＡ１に対して認証完了を通知し、ＳＴＡ１も認証が成功したことを認知する（Ｓ６）。

また、認証サーバ３は、ＡＰ２に保存されている接続可能なＭＡＣアドレステーブルを更新するよう指示を行なう（Ｓ１３）。この結果、新たに認証されたＭＡＣアドレスが随時更新登録されることになり、ＡＰ２のＭＡＣアドレス管理テーブルの動的な更新を可能とする。

その後、ＳＴＡ１とＡＰ２とは、アソシエーションの動作へ移る（Ｓ７）。

（第２の実施の形態）本発明の第２の実施の形態は、図３のシーケンスにおいて、認証サーバ３にハードやソフト等の障害が発生し、ＡＰ２からの認証サーバ３に対する認証要求（Ｓ８）が受け付けられない場合に、ＡＰ２単体でＭＡＣアドレスによる認証を行うフローが追加されたことである。

これは、図３のシーケンスの（Ｓ１３）で説明したようにＡＰ２のＭＡＣアドレステーブルは動的に更新されているため、認証結果がＡＰ２のＭＡＣアドレステーブルに即時反映され、ＡＰ２は障害直前までのＭＡＣアドレス情報を知っているためＡＰ２単体のＭＡＣアドレス認証ができる。この結果、たとえ認証サーバ３に障害等が発生しても認証手順を継続することができる。

（第３の実施の形態）本発明の第３の実施の形態としては、共通鍵の使用時間に予め所定の期限を設けて安全性を高めるものである。

図３のシーケンスの（Ｓ３）において、ＳＴＡ１の自分の共通鍵を用いて常時暗号化できるようになっていたが、共通鍵が漏洩される等の場合においても不正認証が行わることのないよう本実施形態で一定の保護を設けることができる。

（第４の実施の形態）前述した本発明の第３の実施の形態では、ＷＥＰ用共通鍵に使用期限を設けることで不正使用者の保護は図れる。しかし、正規の使用者が本使用期限内にＳＴＡ１を使用しなかった場合等では、使用期限以降に再度使用可能とするため鍵の配送を行う必要がある。

本発明の第４の実施の形態はこのような共通鍵が使用期限により無効となった場合の認証方法に関するものである。

図４は、本発明の第４の実施の形態の認証手順を示すシーケンス図を示している。

本図において、ＳＴＡ１からの共通鍵認証が無効となった場合、ＳＴＡ１はＡＰ２に対して再度オープンシステム認証方式により認証要求する（Ｓ１４）。

要求されたＡＰ２は、オープンシステム認証方式であることを知り、ＡＰ１から認証サーバ３に対して、ＭＡＣアドレスを認証のＩＤとして認証要求する（Ｓ１５）。

ここで、認証サーバ３は、例えば、ＲＡＤＩＵＳサーバとしてＩＥＴＦのＲＦＣ２１３８で定義されるＲＡＤＩＵＳプロトコルに基づいて動作する。

また、ＭＡＣアドレスは、認証用プロトコル（ＲＡＤＩＵＳ）上ではユーザー名やコーリングステイションＩＤ（ＣＡＬＬＩＮＧ−ＳＴＡＴＩＯＮ−ＩＤ）等として定義されている。

次に、認証（ＲＡＤＩＵＳ）サーバ３は、ＭＡＣアドレスを認証した後、ＩＥＴＦのＲＦＣ１９９４で定義されるＣＨＡＰプロトコルと同様な手順に基づいてチャレンジテキストがＡＰ２に対して送信される（Ｓ１６）。

ここで、ＣＨＡＰプロトコルでは一方向性のハッシュ方式としてＭＤ５が定められているが、それとは異なる方式を用いたり、有線路の安全性が確保されているとする場合は、ダミープロトコルとして使用しても良い。

認証サーバ３からチャレンジテキストを受信したＡＰ２は認証サーバ３に対しＣＨＡＰによりハッシュを行ってＣＨＡＰレスポンスを返す（Ｓ１７）。

なお、ＣＨＡＰをダミープロトコルとする場合は、ＣＨＡＰレスポンス相当の返答に変えて返答する。

認証サーバ３は、ＣＨＡＰにより正常なレスポンスを受け取ったことが分かると、全体の認証が完了したとして、ＡＰ２に対して認証完了の通知をする（Ｓ１８）。

認証完了通知を受けたＡＰ２はＳＴＡ１に対して認証完了通知し、ＳＴＡ１も認証が成功したことを認知する（Ｓ１９）。

その後、ＳＴＡ１とＡＰ２とはアソシエーションの動作へ移る（Ｓ２０）。

なお、ＡＰ２と認証サーバ３間で認証に成功した場合、第１の実施の形態で説明したようにＡＰ２に保存されている接続可能ＭＡＣアドレステーブルに対して、新たに認証したＭＡＣアドレスを更新登録しても良いが、本実施の形態の場合にはオープンシステム認証方式なので安全性が低いためＭＡＣアドレスの更新登録を行わないのが望ましい。

アソシエーション手順が完了すれば、ＳＴＡ１はＡＰ２を通して通常のＩＰパケットによる通信を行なう（Ｓ２１）。

（第５の実施の形態）第４の実施の形態におけるオープンシステム認証方式の場合に、アソシエーション後の通信期間に制限がなかったため、不正接続が行われる可能性が高い。

本発明の第５の実施の形態では、アソシエーション後の通信期間の有効期間を、例えば、公開鍵配送方式などにより鍵管理サーバからＷＥＰメカニズムの共通鍵を配送されるに十分な一定の短い時間に定める。この時間は、例えば、１０秒から１分程度が望ましい。 そして、図４において、本来の共通鍵認証のための鍵配送を受けた後、デアソシエーションし（Ｓ２２）、再度共通鍵認証方式で接続する。
この結果、ＭＡＣアドレスを偽る不正アクセスがあったとしても、セキュリティを向上する効果をもたらす。
なお、本発明が上記各実施の形態に限定されず、本発明の技術思想の範囲内において、各実施の形態は適宜変更され得ることは明らかである。

本発明の無線ＬＡＮシステムのシステム構成を示すブロック図である。 図１の各ノードのプロトコルスタックを示す図である。 図１の認証手順を示すシーケンス図である。 本発明の共通鍵が無効になった場合の認証手順を示すシーケンス図である。 ＩＥＥＥ８０２．１１に規定された無線ＬＡＮシステムの認証方法に関するシステム構成を示すブロック図である。 図５の認証手順を示すブロック図である。

符号の説明

１ ＳＴＡ
２ ＡＰ
３ 認証サーバ
４ 保守管理サーバ
５ 無線区間
６ 有線区間
１０ ノートＰＣ等
２０ 無線ＬＡＮカード

Claims (16)

1. 端末局が提供する第１種の認証情報に基づいて認証する第１認証手段と、
   端末局が提供する第２種の認証情報に基づいて認証する第２認証手段と、
   端末局認証用の第２種の認証情報を記憶する記憶手段と、
   認証サーバと通信する通信手段とを有し、
   前記通信手段は、前記端末局の提供する第２種の認証情報に基づく認証に関し前記認証サーバに問い合わせ、
   前記第２認証手段は、前記問い合わせに対する認証サーバからの応答に基づいて認証することを特徴とする無線と有線のインターフェイス装置。
2. 無線ＬＡＮシステムにおけるアクセスポイントであって、
   端末局が提供する第１種の認証情報に基づいて認証する第１認証手段と、
   端末局が提供する第２種の認証情報に基づいて認証する第２認証手段と、
   端末局認証用の第２種の認証情報を記憶する記憶手段と、
   認証サーバと通信する通信手段とを有し、
   前記通信手段は、前記端末局の提供する第２種の認証情報に基づく認証に関し前記認証サーバに問い合わせ、
   前記第２認証手段は、前記問い合わせに対する認証サーバからの応答に基づいて、前記端末局のネットワーク側へ接続を許可し、または許可しないことを特徴とするアクセスポイント。
3. 端末局を暗号化認証する第１認証手段と、
   ＭＡＣアドレスを管理する認証サーバの有するＭＡＣアドレスに関する情報を利用して前記端末局をＭＡＣアドレス認証する第２認証手段とを有することを特徴とするアクセスポイント。
4. 端末局を暗号化認証する第１認証手段と、
   端末局をＭＡＣアドレス認証する第２認証手段と、
   端末局のＭＡＣアドレス認証用のＭＡＣアドレスを記憶する記憶手段とを有し、
   端末局から認証要求を受けた場合に、
   前記第２認証手段は、前記記憶手段に記憶したＭＡＣアドレスと、端末局のＭＡＣアドレスに基づく接続可否を管理する認証サーバの有する前記情報を用いて、前記端末局をＭＡＣアドレス認証することを特徴とするアクセスポイント。
5. 端末局を暗号化認証する認証手段と、
   端末局のＭＡＣアドレスを管理する認証サーバと通信する通信手段と、
   端末局のネットワークへの接続を制御する接続制御手段とを有し、
   端末局から認証要求を受けた場合に、
   前記認証手段は、
   前記端末局を暗号化認証し、
   前記通信手段は、
   端末局のＭＡＣアドレスを管理する認証サーバに前記端末局のＭＡＣアドレスを送信し、前記認証サーバが行ったＭＡＣアドレス認証の結果を受信し、
   前記接続制御手段は、
   前記ＭＡＣアドレス認証が成功した場合に前記端末局のネットワークへの接続を許可し、前記ＭＡＣアドレス認証が失敗した場合に前記端末局のネットワークへの接続を許可しないことを特徴とするアクセスポイント。
6. 端末局を暗号化認証する認証手段と、
   ＭＡＣアドレスを管理する認証サーバに端末局のＭＡＣアドレスを問い合わせる通信手段と、
   前記認証サーバが管理するＭＡＣアドレスと前記端末のＭＡＣアドレスが一致した場合に端末局のネットワークへの接続を可能とする接続制御手段とを有することを特徴とするアクセスポイント。
7. 端末局をＷＥＰアルゴリズムを用いて暗号化認証する第１認証手段と、
   端末局をＭＡＣアドレス認証する第２認証手段とを有し、
   端末局から認証要求があった場合に前記第１認証手段による認証と前記第２認証手段による認証を行い、
   前記ＭＡＣアドレス認証に際し、
   端末局のＭＡＣアドレスに基づく接続可否を管理する認証サーバに問い合わせを行うことを特徴とするアクセスポイント。
8. 端末局をＷＥＰアルゴリズムを用いて暗号化認証する第１認証手段と、
   端末局をＭＡＣアドレス認証する第２認証手段と、
   接続許可すべき端末局のＭＡＣアドレスを記憶する記憶手段を有し、
   端末局から接続要求があった場合に前記第１認証手段による認証と前記第２認証手段による認証を行い、
   前記第２認証手段によりＭＡＣアドレス認証を行う際に、
   接続可否に関して端末局のＭＡＣアドレスを管理する認証サーバの記憶するＭＡＣアドレスをも利用することを特徴とするアクセスポイント。
9. 無線ＬＡＮシステムに使用するアクセスポイントであって、
   端末局を暗号化認証方式またはオープンシステム認証方式により認証する第１認証手段と、
   前記端末局をＭＡＣアドレスの情報に基づいて認証する第２認証手段とを有し、
   前記第２認証手段による認証に際し、ローミングの対象とならない同一の無線ＬＡＮシステム内に配置された端末局のＭＡＣアドレスを管理する認証サーバの有するＭＡＣアドレスの情報を利用することを特徴とするアクセスポイント。
10. 端末局と、アクセスポイントと、認証サーバからなる無線ＬＡＮシステムであって、
    前記端末局は、
    前記アクセスポイントと無線通信する通信手段を有し、
    前記アクセスポイントは、
    前記端末局を暗号化認証により認証する第１認証手段と、
    前記端末局をＭＡＣアドレス認証する第２認証手段とを有し、
    前記認証サーバは、
    端末局のＭＡＣアドレスを記憶する記憶手段と、
    前記アクセスポイントからのＭＡＣアドレスに関する問い合わせに応答する応答手段とを有することを特徴とする無線ＬＡＮシステム。
11. 端末局と、アクセスポイントと、認証サーバからなる無線ＬＡＮシステムであって、
    前記端末局は、
    前記アクセスポイントと無線通信する通信手段を有し、
    前記アクセスポイントは、
    前記端末局を暗号化認証により認証し、
    前記端末局をＭＡＣアドレス認証し、
    前記認証サーバは、
    前記端末局のＭＡＣアドレスを記憶し、
    前記記憶したＭＡＣアドレスを用いて、前記アクセスポイントのＭＡＣアドレス認証を補助することを特徴とする無線ＬＡＮシステム。
12. 端末局と、アクセスポイントと、認証サーバからなる無線ＬＡＮシステムであって、
    前記端末局は前記アクセスポイントと無線通信する通信手段を有し、
    前記アクセスポイントは、
    前記端末局をＭＡＣアドレス認証する認証手段を有し、
    前記認証サーバは、
    ローミングを行う必要のない同一の無線ＬＡＮ内に配置され、
    前記端末局のＭＡＣアドレスを記憶する記憶手段と、
    前記アクセスポイントからのＭＡＣアドレスに関する問い合わせに応答する応答手段と
    を有することを特徴とする無線ＬＡＮシステム。
13. 請求項１１乃至１２のいずれかに記載の無線ＬＡＮシステムに使用する認証サーバ。
14. 請求項１１乃至１２のいずれかにに記載の無線ＬＡＮシステムに使用する端末局。
15. 端末局と、アクセスポイントと、認証サーバからなる無線ＬＡＮシステムにおける端末局の認証方法であって、
    端末局からの認証要求があった場合にアクセスポイントが暗号化認証とＭＡＣアドレス認証により前記端末局を認証し、
    前記アクセスポイントは、前記ＭＡＣアドレス認証に際し、
    認証サーバに対し前記端末局のＭＡＣアドレスに基づく接続可否を問い合わせ、問い合わせの応答に基づいて前記端末局をＭＡＣアドレス認証することを特徴とする無線ＬＡＮシステムにおける端末局の認証方法。
16. 端末局から認証要求があった場合に、前記端末局を暗号化認証し、前記端末局を認証サーバが管理する端末局のＭＡＣアドレス情報に基づいてＭＡＣアドレス認証を行うアクセスポイント。
    

Images