JP2005236392A - ＶｏＩＰ認証システム - Google Patents

Abstract

【課題】 セキュリティレベルが高く、運用が簡易なＶｏＩＰ認証システムを提供する。
【解決手段】 ネットワーク１０５内にＳＩＰサーバ１０６を配置し、このＳＩＰサーバ１０６に端末固有の認証データを予め登録しておき、端末１０１がネットワーク機器１０４を介してネットワーク１０５へ接続を試みる際に自己の認証データをＳＩＰサーバ１０６に対して送信し、ネットワーク機器１０４がＳＩＰサーバ１０６に対して上記認証データの中継を行い、ＳＩＰサーバ１０６が上記認証データを照合し、登録済みであるならば端末１０１に対して接続の許可を通知し、この通知に基づきネットワーク機器１０４は、ＳＩＰサーバ１０６が接続を許可した認証済端末データを記憶し、この記憶に基づいて以後の端末１０１の通信を許可する。
【選択図】 図１

Description

本発明は、通話をパケットにより搬送するネットワークに係り、セキュリティレベルが高く、運用が簡易なＶｏＩＰ認証システムに関する。

無線ＬＡＮを使ってエンドポイント（ＥＰ）を所望のネットワークに接続する際に、所定の手続きを経て通信が可能となる。最も基本的な接続であるＷＥＰ（Ｗｉｒｅｄ Ｅｑｕｉｖａｌｅｎｃｅ Ｐｒｉｖａｃｙ）においては、予めキーワードであるＷＥＰＫｅｙをアクセスポイント及びエンドポイントの両方に設定しておくことで通信することができる。

また、ＩＥＥＥ（米国電気電子技術者協会）８０２．１ｘの認証方式を使い、認証データをエンドポイントからアクセスポイント経由で認証サーバへ転送し、認証サーバにおいて承認された場合にのみ接続できる方法もある。

ＷＥＰによる方式は、運用が簡易であるが、ＷＥＰＫｅｙが無線ＬＡＮに接続する複数のＥＰ間で共通なものとなるので、ネットワークアクセスに対するセキュリティが脆弱である。

ＩＥＥＥ８０２．１ｘによる方式は、各端末（エンドポイント）別の認証データ（ＩＤ＋パスワード等）により、認証を行うため、ネットワークアクセスに対して一定のセキュリティレベルを確保することができる。しかしながら、この方式においては、認証のための認証サーバが必要となる。また、この方式では、認証の手続きが煩雑となるため、エンドポイントがアクセスポイント間を移動する際に手続きが多くなり、エンドポイントの通信先のアクセスポイント切替処理の時間が長くなる傾向にある。

特開２００３−２２９９５５号公報 ＩＥＥＥ８０２．１ｘ

ＩＥＥＥ８０２．１ｘによる方式は、セキュリティ面の問題を解決できるものの、無線ＬＡＮを使って通話するＶＯＩＰ（Ｖｏｉｃｅ Ｏｖｅｒ ＩＰ；ＶｏＩＰとも書く）を運用するネットワークの観点では次のような問題点を引き起こす。

１）運用設備として、認証サーバをネットワークに追加して設置することが必要である。

２）ＥＰが通話しながらＡＰ間を移動する時に、手続きのオーバーヘッドによる切替時間が長くなり、通話が途切れる時間が長くなる。

３）固定式ＩＰ電話（有線）方式の接続ポートにおける認証機構も必要になるが、ＩＥＥＥ８０２．１ｘを実装している固定式ＩＰ電話機がない。また、認証のために全ての端末（固定式ＩＰ電話機）に個別に認証データを設定する必要があるため、運用が煩雑になる。

そこで、本発明の目的は、上記課題を解決し、セキュリティレベルが高く、運用が簡易なＶｏＩＰ認証システムを提供することにある。

上記目的を達成するために本発明は、ネットワーク内にＶｏＩＰにおける通話開始を制御するＳＩＰサーバを配置し、このＳＩＰサーバに端末固有の認証データを予め登録しておき、端末がネットワーク機器を介してネットワークへ接続を試みる際に端末が自己の認証データをＳＩＰサーバに対して送信し、ネットワーク機器がＳＩＰサーバに対して上記認証データの中継を行い、ＳＩＰサーバが上記認証データを照合し、この認証データがＳＩＰサーバに登録済みであるならばＳＩＰサーバが端末に対して接続の許可を通知し、この通知に基づきネットワーク機器は、ＳＩＰサーバが接続を許可した認証済端末データを記憶し、この記憶に基づいて以後の端末の通信を許可するものである。

ネットワーク機器は、ＳＩＰサーバが接続を許可した認証済端末データを他のネットワーク機器に対しても通知し、この通知を受けたネットワーク機器がその認証済端末データを自機に登録し、ネットワーク機器は、端末が自己の認証済端末データを用いて接続を試みてきたとき、その認証済端末データを照合し、この認証済端末データがネットワーク機器に登録済みであるならばネットワーク機器が直ちに端末の通信を許可してもよい。

ネットワーク機器は、他のネットワーク機器に対し、そのネットワーク機器に登録されている認証済端末データを要求し、この要求を受けたネットワーク機器が認証済端末データを応答してもよい。

端末が無線ＬＡＮのアクセスポイントを介してネットワーク機器に通信してもよい。

ネットワーク機器は、認証済端末データの問い合わせ及び通知のためのＶＬＡＮに属し、このＶＬＡＮを介して認証済端末データの問い合わせ及び通知を行てもよい。

本発明は次の如き優れた効果を発揮する。

（１）セキュリティレベルを向上させることができる。

（２）比較的簡易な構成で実現することができる。

以下、本発明の一実施形態を添付図面に基づいて詳述する。

本発明は、端末とその端末の通信をネットワークへ中継するネットワーク機器とネットワーク内に設置されるＳＩＰサーバによって実行される。ただし、本発明が特に有効に働くのは端末が無線ＬＡＮの端末（エンドポイント）である場合であるので、無線ＬＡＮを用いた実施の形態を説明する。

図１に示されるように、複数存在する端末の１つである端末１０１（ＥＰ１）は、複数存在するアクセスポイントのうちの任意又は最寄りのアクセスポイント１０２（ＡＰ１）と無線ＬＡＮ１０３を介して通信可能であり、アクセスポイント１０２は複数存在するネットワーク機器の１つであるネットワーク機器１０４（ＬＡＮＳＷ）を介してネットワーク１０５（図示したネットワーク機器１０４の右側全体）と通信可能であり、そのネットワーク１０５には少なくとも１つのＳＩＰサーバ１０６が存在している。

端末１０１は、無線ＬＡＮ１０３を利用するための公知のハードウェア及びソフトウェアを備えており、ＶｏＩＰ及びＶｏＩＰの呼制御プロトコルであるＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を搭載している。また、端末１０１は、本発明に関して、ＳＩＰサーバへの初期登録の機能、ネットワークへ接続を試みる際に自己の認証データをネットワーク機器に対して送信する機能、アクセスポイント間を移動する際に自己の認証データを移動先のネットワーク機器に対して送信する機能等を備える。これらの機能及びここには記載しない各種の機能について、後の動作説明で明らかにする。

ＳＩＰサーバ１０６は、公知の標準的なＳＩＰサーバである。すなわち、ＳＩＰサーバ１０６は、端末からの初期登録を受け付けて認証データを登録する機能、ネットワーク機器から問い合わせられた認証データと登録された認証データを照合し、当該認証データが登録済みであるならば端末に対して接続の許可を通知する機能とを備える。これらの機能及びここには記載しない各種の機能について、後の動作説明で明らかにする。

ＳＩＰサーバ１０６には、接続を許可しても良い端末の認証データが登録されているＥＰ管理テーブル１０７が設けられている。認証データは、端末を個別に特定できるデータであれば何でも良いが、ここでは、ＥＰ管理テーブル１０７には、ＳＩＰ−ＩＤを格納するＥＰＩＤ欄と、ＳＩＰ−認証データ（パスワード）を格納するＥＰＰｗｄ欄とを有する。

ネットワーク機器１０４は、公知の中継機器（接続機器）に本発明のための機能を追加したものである。すなわち、ネットワーク機器１０４は、端末からＳＩＰサーバへの初期登録の通信を中継してその接続を実行する機能と、端末がネットワークへ接続を試みるために送信してきた認証データをＳＩＰサーバに中継する機能と、ＳＩＰサーバから接続の許可の通知を受けた端末の接続を実行する機能と、ＳＩＰサーバから接続の不許可の通知を受けた端末の接続を拒否する機能と、ＳＩＰサーバから端末へ通知された認証済端末データを記憶する機能と、他のネットワーク機器に対して認証済端末データを要求する機能と、他のネットワーク機器からの認証済端末データの要求に応答して接続許可済み認証データを送信する機能とを備える。これらの機能及びここには記載しない各種の機能について、後の動作説明で明らかにする。

ネットワーク機器１０４には、ＳＩＰサーバが接続を許可した認証済端末データを登録する許可ＥＰ管理テーブル１０９が設けられている。認証済端末データは、端末を個別に特定できるデータであれば何でも良いが、ここでは、パケット通信用のアドレスを認証済端末データに利用している。このために、許可ＥＰ管理テーブル１０９には、端末のＭＡＣアドレスを格納するＥＰＭＡＣ欄と、端末のＩＰアドレスを格納するＥＰＩＰアドレス欄とを有する。

図１、図２を用いて本発明のＶｏＩＰ認証システムの動作を説明する。

いま、図１のように、ＳＩＰサーバ１０６のＥＰ管理テーブル１０７には、端末１０１についての認証データが既に登録されているものとする。すなわち、図示したように、ＥＰ管理テーブル１０７のＥＰＩＤ欄には端末１０１のＳＩＰ−ＩＤであるＵｓｅｒ１、ＥＰＰｗｄ欄には端末１０１のパスワードであるＰａｓｓ１が格納されている。また、ネットワーク機器１０４の許可ＥＰ管理テーブル１０９には端末１０１についての認証済端末データが未だ登録されていないものとする。

ここで、端末１０１がネットワークへ接続を試みるためにアクセスポイント１０２を介して自己の認証データとしてＳＩＰ−ＩＤ及びパスワードをＳＩＰサーバ１０６に対して送信する。このパケットをレジスタ（Ｒｅｇｉｓｔｅｒ）と呼ぶ。

ネットワーク機器１０４は、レジスタを受け取り、そのレジスタから端末１０１のＭＡＣアドレス及びＩＰアドレスを認識する。ネットワーク機器１０４は、レジスタを中継することにより、端末１０１の認証データをＳＩＰサーバ１０６に中継する。

ＳＩＰサーバ１０６は、端末１０１から送信されネットワーク機器１０４で中継された認証データとＥＰ管理テーブル１０７の認証データと照合する。ここでは登録済みであるという結果が得られるので、ＳＩＰサーバ１０６は、端末１０１に対して接続の許可を通知する。このパケットをＯＫと呼ぶ。

ネットワーク機器１０４は、ＯＫを端末１０１へ中継すると、端末１０１がＳＩＰサーバ１０６により許可された端末と認識し、認証済端末データとして、許可ＥＰ管理テーブル１０９のＥＰＭＡＣ欄にＥＰ１（これは端末１０１のＭＡＣアドレス）、ＥＰＩＰアドレス欄にＥＰ１（これは端末１０１のＩＰアドレス）を格納する。これ以降は、ネットワーク機器１０４が端末１０１の通信を許可できる。

次に、図２のように、端末１０１とは異なる端末１０８（ＥＰ２）がネットワーク１０５へ接続を試みるためにアクセスポイント１０２を介して自己の認証データをレジスタによりネットワーク機器１０４に送信したとする。この場合、ＳＩＰサーバ１０６での照合結果が認証不可になるので、ＳＩＰサーバ１０６は、端末１０８に対して接続の不許可を通知する。このパケットをＮＧと呼ぶ。

ネットワーク機器１０４は、ＮＧを端末１０８へ中継すると、端末１０８がＳＩＰサーバ１０６により許可されない端末と認識し、以後の端末１０８の通信を許可しない。

このように、ＳＩＰサーバ１０６に登録のある端末１０１からの接続要求は受け入れられ、ＳＩＰサーバ１０６に登録のない端末１０８からの接続要求は却下される。ただし、初期登録のための接続要求は受け入れられる。すなわち、ネットワーク機器１０４は、端末が初期登録のためにＳＩＰサーバ１０６に接続を試みた場合にはその接続を実行する。

以上のように、本発明では端末固有の認証データを用いて認証を行っているので、ＩＥＥＥ８０２．１ｘによる方式と同程度の高いセキュリティレベルを実現することができる。

また、ＳＩＰサーバは、ＶｏＩＰを運用するネットワークに必ず設けられるものであり、本発明は、このＳＩＰサーバの標準的な機能を用いるだけで実現でき、ＩＥＥＥ８０２．１ｘによる方式においてＶｏＩＰを運用する場合のように新たな認証サーバを設ける必要がない。

また、認証済端末データとしてＭＡＣアドレスやＩＰアドレスを用いるならば、従来よりこれらのアドレスは接続を要求するパケットに格納されているので、端末には本発明を実施するために特別な機能を追加する必要がない。

さらに、認証データが端末固有の情報であるから、同一アクセスポイントを介して複数の端末が接続を試みる場合でも、端末毎に許可／不許可を判定することができる。

また、本発明では、ネットワーク機器に接続の実行が委ねられている。よって、ネットワークのエッジ部分において接続／非接続がなされることになり、不正な端末についてはネットワークのコアにアクセスできないというメリットがある。

さらに、アクセスポイントのサービスエリア内で通信妨害等の不正が行われても、被害の及ぶ範囲は当該アクセスポイントのサービスエリア内に限られる。

次に、アクセスポイント切替の動作を説明する。

図１において、ＳＩＰサーバ１０６が端末１０１に対して接続の許可を通知した際に、ネットワーク機器が当該認証済端末データを図示しない他のネットワーク機器に通知し、その通知を受けたネットワーク機器は、受け取った認証済端末データを既に許可された認証データとして許可ＥＰ管理テーブル１０９に登録する。

その後、端末１０１が図示しない他のネットワーク機器に繋がっている図示しないアクセスポイントに移動するために、そのネットワーク機器に対して自己の認証済端末データを用いて接続を試みたとする。そのネットワーク機器は、まず、許可ＥＰ管理テーブル１０９を検索して認証済端末データを照合する。端末１０１が送信してきた認証済端末データが既に許可ＥＰ管理テーブル１０９に登録されているならば、ＳＩＰサーバ１０６による初期登録手順が必要なく、そのネットワーク機器が直ちに接続を許可する。

端末１０１が送信してきた認証済端末データが未だ許可ＥＰ管理テーブル１０９に登録されていないときは、前述したように、端末１０１は、ＳＩＰサーバ１０６への初期登録を行い、ネットワーク機器は、この初期登録のパケットを中継することになる。

この動作により、端末１０１が登録済みであればＳＩＰサーバ１０６への初期登録手続きが省略されるので、連続した通信が可能になると共に短時間で切り替えの接続が実行される。つまり、アクセスポイント切替時間が短くなり、通話が途切れる時間が短くなる。ＩＥＥＥ８０２．１ｘによる方式のようにアクセスポイント切替の度に認証サーバにおいて認証する場合に比べて短時間で認証手続きができることは言うまでもない。

次に、ネットワークに新規なネットワーク機器が追加されたときの動作を説明する。

ネットワーク機器１０４は、ネットワークに新規に加入した時などの適宜なタイミングで他のネットワーク機器（図示せず）に対して認証済端末データを要求する。ここでは、特定の１台乃至複数台（複数にするのは冗長化のため）のネットワーク機器に応答の機能若しくは権利を持たせてあるものとする。この特定ネットワーク機器は要求に応答して、許可ＥＰ管理テーブル１０９の内容を返信する。これにより、新規に加入したネットワーク機器１０４にはそれ以前から存在するネットワーク機器と同じ内容を獲得するので、ネットワーク機器の新旧にかかわらず全てのネットワーク機器に同じ内容の許可ＥＰ管理テーブル１０９が存在することになる。よって、前述したアクセスポイント切替がネットワーク１０５に繋がるどのアクセスポイントに対して行われても、前述した切替時間を短縮する効果が得られるようになる。

ネットワーク内で接続許可済み認証データを伝達するためにＶＬＡＮを用いてもよい。すなわち、各ネットワーク機器は、認証済端末データを伝達するためのＥＰ情報通知ＶＬＡＮに所属し、ネットワーク機器は、許可ＥＰ管理テーブルに新規な登録が発生した場合に、その新規な登録内容をＥＰ情報通知ＶＬＡＮにおいて特定の１台のネットワーク機器に送信する。また、特定の１台のネットワーク機器は一定の時間間隔で新規登録された認証済端末データをマルチキャストで送信する。これにより、ＥＰ情報通知ＶＬＡＮに所属しない無関係の機器には登録内容が漏れることはなく、また、全てのネットワーク機器が同時に同じ登録内容を獲得することができる。

図３に示されるように、ネットワーク３０５内にはＳＤＤＰ用ＶＬＡＮ３０９が構築されている。ＳＤＤＰ（Ｓｈａｒｅｄ Ｄａｔａｂａｓｅ Ｄｅｌｉｖｅｒｙ Ｐｒｏｔｏｃｏｌ）は、各ネットワーク機器が接続許可済み認証データの交換を行うためのプロトコルである。ＳＤＤＰでは、新規に加入したネットワーク機器が特定の１台乃至複数台のネットワーク機器に対して許可ＥＰ管理テーブルの内容を送信するよう要求するようになっている。

端末３０１（ＥＰ１）、アクセスポイント３０２（ＡＰ１）、ネットワーク機器３０４（ＬＡＮＳＷ１）、ＳＩＰサーバ３０６は図１に示したのと同じものである。この図３には他のアクセスポイント３１０，３１１（ＡＰ２，ＡＰ３）及び他のネットワーク機器３１２，３１３（ＬＡＮＳＷ２，ＬＡＮＳＷ３）が示してある。また、各々のネットワーク機器３０４，３１２，３１３の許可ＥＰ管理テーブル３１４，３１５，３１６が示してある。

ネットワーク機器３０４において、端末３０１からＳＩＰサーバ３０６への初期登録のためのパケットは無条件で中継される。なお、このパケット以外にも、ネットワークの運用上必要なパケットは接続許可済みの状態でなくても中継を許可するようにしてもよい。

初期登録がなされると、ＳＩＰサーバ３０６のＥＰ管理テーブル１０７には端末３０１の認証データが登録される。

初期登録以降の端末３０１からネットワーク３０５への接続要求は、ＳＩＰサーバ３０６の許可ＥＰ管理テーブルで認証データを照合した結果で許可／不許可が判定される。初期登録の結果はネットワーク機器の許可ＥＰ管理テーブルに反映される。このとき、許可がなされると、ネットワーク機器３０４が端末３０１からのパケットの中継を実行すると共に、ＳＤＤＰ用ＶＬＡＮ３０９においては端末３０１の認証済端末データがパケットＡｄｄ（追加リクエスト）により他のネットワーク機器３１２へ通知される。この結果、ネットワーク機器３１２は特定の１台となり、許可ＥＰ管理テーブル３１５に許可ＥＰ管理テーブル３１４の内容が反映される。その後、ネットワーク機器３１２は、一定の時間間隔で登録された認証済端末データをネットワーク機器３１３や図示しない他のネットワーク機器へ通知する。その結果、許可ＥＰ管理テーブル３１６には端末３０１の認証済端末データが格納される。

その後は、端末３０１が利用するアクセスポイントをアクセスポイント３０２からアクセスポイント３１０，３１１に切り替えるために、ネットワーク機器３１２，３１３にネットワーク３０５への接続要求を出すと、ネットワーク機器３１２，３１３がこの接続要求を判定して接続を実行する。

ところで、このシステムでは、ＳＩＰサーバ３０６による認証が成功した端末３０１を許可端末として、その端末３０１からのパケットを通過させる。しかし、ＳＩＰサーバ３０６による認証が失敗した端末についても初期登録のためのパケットは無条件で中継している。この条件を悪用してＳＩＰサーバ３０６への初期登録シーケンスを乱発する攻撃も発生しうる。そこで、ＳＩＰサーバ３０６による認証が失敗した端末を不許可端末として管理するとよい。つまり、端末毎に失敗回数を計数し、累積で所定回数、又は単位時間当たり所定回数を超えた端末を不許可端末としてネットワーク機器３０４の不許可ＥＰ管理テーブル（図示せず）に登録する。ネットワーク機器３０４は、前述の許可ＥＰ管理テーブルの内容を通知するのと同様にして、この不許可ＥＰ管理テーブルの内容をＳＤＤＰ用ＶＬＡＮ３０９により各ネットワーク機器３１２，３１３に通知する。各ネットワーク機器３１２，３１３は、許可ＥＰ管理テーブルの内容を格納するのと同様に不許可ＥＰ管理テーブルの内容を格納する。これにより、不許可である端末からの接続要求はネットワーク機器３０４，３１２，３１３が直ちに接続を拒否するようになる。従って、ネットワーク３０５を攻撃しようとする端末がアクセスポイントを移動して攻撃を続けても、この攻撃を排除することが可能になる。

ＳＤＤＰ用ＶＬＡＮ３０９では、許可端末及び不許可端末の管理のために、次のような機能を持つようにするとよい。
１）情報リクエスト；許可端末及び不許可ＥＰ管理テーブルの転送要求
２）追加リクエスト；許可端末及び不許可ＥＰ管理テーブルからの追加要求
３）削除リクエスト；許可端末及び不許可ＥＰ管理テーブルからの削除要求
以上説明したように、本発明のＶｏＩＰ認証システムは、不正な端末の侵入防止や攻撃の防御をネットワークのエッジ部分で実施するので、無線ＬＡＮを用いたＶｏＩＰシステムにおけるセキュリティレベルを向上させることができる。

なお、 上記実施の形態は、端末とネットワークの間に無線ＬＡＮが介在するものとしたが、本発明は、ＳＩＰを搭載するものであれば、固定式ＩＰ電話（有線）にも適用することができる。

本発明の一実施形態を示すネットワークの構成図である。 本発明の一実施形態を示すネットワークの構成図である。 本発明の一実施形態を示すネットワークの構成図である。

符号の説明

１０１，３０１ 端末
１０２，３０２ アクセスポイント
１０４，３０４，３１２，３１３ ネットワーク機器
１０６，３０６ ＳＩＰサーバ

Claims (5)

1. ネットワーク内にＶｏＩＰにおける通話開始を制御するＳＩＰサーバを配置し、このＳＩＰサーバに端末固有の認証データを予め登録しておき、端末がネットワーク機器を介してネットワークへ接続を試みる際に端末が自己の認証データをＳＩＰサーバに対して送信し、ネットワーク機器がＳＩＰサーバに対して上記認証データの中継を行い、ＳＩＰサーバが上記認証データを照合し、この認証データがＳＩＰサーバに登録済みであるならばＳＩＰサーバが端末に対して接続の許可を通知し、この通知に基づきネットワーク機器は、ＳＩＰサーバが接続を許可した認証済端末データを記憶し、この記憶に基づいて以後の端末の通信を許可することを特徴とするＶｏＩＰ認証システム。
2. ネットワーク機器は、ＳＩＰサーバが接続を許可した認証済端末データを他のネットワーク機器に対しても通知し、この通知を受けたネットワーク機器がその認証済端末データを自機に登録し、ネットワーク機器は、端末が自己の認証済端末データを用いて接続を試みてきたとき、その認証済端末データを照合し、この認証済端末データがネットワーク機器に登録済みであるならばネットワーク機器が直ちに端末の通信を許可することを特徴とする請求項１記載のＶｏＩＰ認証システム。
3. ネットワーク機器は、他のネットワーク機器に対し、そのネットワーク機器に登録されている認証済端末データを要求し、この要求を受けたネットワーク機器が認証済端末データを応答することを特徴とする請求項１又は２記載のＶｏＩＰ認証システム。
4. 端末が無線ＬＡＮのアクセスポイントを介してネットワーク機器に通信することを特徴とする請求項１〜３いずれか記載のＶｏＩＰ認証システム。
5. ネットワーク機器は、認証済端末データの問い合わせ及び通知のためのＶＬＡＮに属し、このＶＬＡＮを介して認証済端末データの問い合わせ及び通知を行うことを特徴とする請求項１〜４いずれか記載のＶｏＩＰ認証システム。
   

Images