JP2005522132A5 - - Google Patents

Description

無線ローカルエリアネットワークにおける非認可ステーションの検出

１．技術分野
本発明は、全体として無線ローカルエリアネットワークに関する。より詳細には、本発明は無線ローカルエリアネットワークにおける非認可ステーションの検出に関する。

２．背景技術
コンピュータは、従来有線ローカルエリアネットワーク（「ＬＡＮ」）を介して互いに通信を行ってきた。しかしながら、ラップトップ、パーソナルディジタルアシスタントなどの携帯型コンピュータの需要の増大と共に、無線信号、赤外線信号などを使用して無線媒体に信号を送信することによりコンピュータが互いに通信する手段として、無線ローカルエリアネットワーク（「ＷＬＡＮ」）が開発された。

ＷＬＡＮ相互およびＷＬＡＮと有線ＬＡＮとの相互動作の推進のため、ＷＬＡＮの国際標準としてＩＥＥＥ８０２．１１標準が開発された。全体として、ＩＥＥＥ８０２．１１標準は、ユーザにＩＥＥＥ８０２有線ＬＡＮと同じインタフェースを提示する一方、無線媒体へのデータ転送を許容するように設計されている。

ＷＬＡＮは有線ＬＡＮを上回る移動の可能性をユーザに提供するが、ＷＬＡＮを介する通信のセキュリティーは、有線ＬＡＮにはない理由により変動しうる。例えば、非認可ステーションがＷＬＡＮに送信された信号を走査し、ＷＬＡＮに関する情報を取得することがあり得る。この種のネットワークへの侵入は、一般に「攻撃的」行為として知られている。

要旨
本発明の一実施形態では、ステーションにより無線ローカルエリアネットワークにプローブ要求フレームを送信し、無線ローカルエリアネットワークのディテクタにおいてプローブ要求を受信することにより無線ローカルエリアネットワークにおける非認可ステーションを検出する。受信したプローブ要求フレームをディテクタで解析し、プローブ要求フレームを送信したステーションが非認可ステーションであることの是非を確定する。

詳細な説明
本発明のより完全な理解のために、以下の説明では特定の構成、パラメータ、実施例などの多数の特定事項について詳しく説明する。しかしながら、このような説明は本発明の範囲を制限することを意図するものではなく、実施例をよりよく記述することを意図するものである。

図１を参照して、例示的なＯＳＩの７レイヤーモデルを示す。この図は、それぞれの機能に応じてレイヤーに分けたネットワーク接続システムの抽象的モデルを表す。特に、７つのレイヤーは、レイヤー１に対応する物理レイヤー１０２、レイヤー２に対応するデータリンクレイヤー１０４、レイヤー３に対応するネットワークレイヤー１０６、レイヤー４に対応するトランスポートレイヤー１０８、レイヤー５に対応するセッションレイヤー１１０、レイヤー６に対応するプレゼンテーションレイヤー１１２およびレイヤー７に対応するアプリケーションレイヤー１１４を含む。ＯＳＩモデルの各レイヤーは、直ぐ上のレイヤーあるいは直下のレイヤーと直接相互作用するだけであり、異なるコンピュータ１００および１１６は、物理レイヤー１０２においてのみ直接相互に通信することが出来る。しかしながら、異なるコンピュータ１００および１１６は、同じレイヤーにおいて共通のプロトコルを使用して効率的に通信することが出来る。例えば、一実施例において、コンピュータ１００は、アプリケーションレイヤー１１４においてコンピュータ１００のアプリケーションレイヤー１１４からその下の各レイヤーを介してフレームを伝搬させてコンピュータ１１６と通信し、フレームは物理レイヤー１０２に達することが出来る。次に、フレームをコンピュータ１１６の物理レイヤー１０２に送信し、フレームを物理レイヤー１０２の上の各レイヤーを介して伝搬させ、フレームはコンピュータ１１６のアプリケーションレイヤー１１４に達することが出来る。

無線ローカルエリアネットワーク（「ＷＬＡＮ」）用ＩＥＥＥ８０２．１１標準は、上述のようにＯＳＩ７レイヤーモデルのレイヤー２に対応するデータリンクレイヤー１０４において動作する。ＩＥＥＥ８０２．１１は、ＯＳＩ７レイヤーモデルのレイヤー２で動作するので、レイヤー３およびそれ以上のレイヤーは、ＩＥＥＥ８０２有線ＬＡＮで使用するのと同じプロトコルに従って動作することが出来る。さらに、レイヤー３およびそれ以上のレイヤーは、ネットワークがレイヤー２およびそれ以下のレイヤーでデータを実際に転送するのを意識しなくてもよい。従って、レイヤー３およびそれ以上のレイヤーは、ＩＥＥＥ８０２有線ＬＡＮおよびＩＥＥＥ８０２．１１ＷＬＡＮにおいて全く同様に動作することが出来る。さらに、有線ＬＡＮあるいはＷＬＡＮの使用に係わらず、ユーザには同じインタフェースを提示することができる。

図２を参照して、ＩＥＥＥ８０２．１１標準に従いＷＬＡＮを形成し、基本サービスセット（「ＢＳＳ」）２０６、２０８および２１０を有する例示的拡張サービスセット２００を説明する。各ＢＳＳは、アクセスポイント（「ＡＰ」）２０２およびステーション２０４を含むことが出来る。ステーション２０４は、ＷＬＡＮへの接続に使用することが出来、移動、携帯、固定などであり得る構成要素であり、ネットワークアダプタあるいはネットワークインタフェースカードと呼ぶことが出来る。例えば、ステーション２０４は、ラップトップコンピュータ、パーソナルディジタルアシスタントなどであり得る。さらに、ステーション２０４は、認証、認証取り消し、秘匿、データ配信などのステーションサービスをサポートすることが出来る。

ＷＬＡＮ送受信機間で無線信号あるいは赤外線信号を送信することなどにより、各ステーション２０４は無線リンクを介してＡＰ２０２と直接通信することが出来る。各ＡＰ２０２は、上述のようなステーションサービスをサポートすることが出来、さらに連結、連結解除、分配、集積などの分配サービスをサポートすることが出来る。従って、ＡＰ２０２は、ＢＳＳ２０６，２０８および２１０の範囲内でステーション２０４と通信することが出来、ＷＬＡＮのバックボーンを形成する、分配システムと呼ぶ媒体２１２を介してその他のＡＰ２０２と通信することが出来る。この分配システム２１２は、無線および有線接続の両方を含むことが出来る。

図２および図３を参照して、現行ＩＥＥＥ８０２．１１標準の下で、ＢＳＳ２０６、２０８あるいは２１０の一部となるためには、各ステーション２０４はＡＰ２０２に対して認証を得、ＡＰ２０２と連結でなければならない。従って、図３を参照して、ステーション２０４がＡＰ２０２に対して非認証であり、ＡＰ２０２と非連結である状態１（３００）において、ステーション２０４は動作を開始する。状態１（３００）においては、ステーション２０４は、自らの位置を定め、ＡＰ２０２への認証を得ることの出来る、などのような限られた数のフレームタイプのみを使用することが出来る。

もし、ステーション２０４がＡＰ２０２への認証を得ることに成功すると３０６、次にステーション２０４は状態２（３０２）に昇ることが出来、状態２ではステーション２０４は、ＡＰ２０２に対し認証を得、ＡＰ２０２とは非連結である。状態２（３０２）では、ステーション２０４は、自らをＡＰ２０２と連結させることなどが可能な限られた数のフレームタイプを使用することが出来る。

次にもし、ステーション２０４がＡＰ２０２と連結あるいは再連結することに成功すると３０８、次にステーション２０４は状態３（３０４）に昇ることが出来、状態３ではステーション２０４は、ＡＰ２０２に対し認証を得、ＡＰ２０２と連結である。状態３（３０４）では、ステーション２０４は、ＡＰ２０２およびＷＬＡＮの他のステーション２０４との通信のためにあらゆるフレームタイプを使用することが出来る。もし、ステーション２０４が連結解除の通知を受信すると３１０、次にステーション２０４は、状態２に移ることが出来る。さらに、もし、ステーション２０４が認証取り消しの通知を受信すると３１２、次にステーション２０４は、状態１に移ることが出来る。ＩＥＥＥ８０２．１１標準の下では、ステーション２０４は、異なるＡＰ２０２への認証を同時に受けることは可能だが、連結は常に１つのＡＰ２０２とのみ可能である。

図２を参照して、ステーション２０４が、一度ＡＰ２０２への認証を得、ＡＰ２０２と連結になると、ステーション２０４は、ＷＬＡＮの他のステーション２０４と通信することが出来る。特に、ステーション２０４は、ソースアドレス、基本サービスセット識別アドレス（「ＢＳＳＩＤ」）および宛先アドレスを有するメッセージを連結したＡＰ２０２に送信することが出来る。次に、ＡＰ２０２は、このメッセージにおいて宛先アドレスとして指定するステーション２０４にこのメッセージを分配することが出来る。この宛先アドレスは、同じＢＳＳ２０６、２０８あるいは２１０のステーション２０４を指定することが出来、また分配システム２１２を介してＡＰ２０２とリンクのある別のＢＳＳ２０６、２０８あるいは２１０のステーション２０４を指定することが出来る。

図２は、それぞれが３つのステーション２０４を含む３つのＢＳＳ２０６、２０８および２１０を有する拡張サービスセット２００を示すが、拡張サービスセット２００は、任意の数のステーション２０４を含む任意の数のＢＳＳ２０６、２０８および２１０を含むことが出来ることを認識すべきである。

現行ＩＥＥＥ８０２．１１標準の下では、まずステーション２０４はＡＰ２０２の位置を確定し、その後ステーション２０４はＡＰ２０２との連結が可能になる。図４を参照し、現行ＩＥＥＥ８０２．１１標準に従って、ステーション２０４はプローブ要求フレーム４００を送信することが出来る。プローブ要求フレーム４００はサービスセット識別アドレス（ＳＳＩＤ）、可能なレートなどの種々の要素フィールドを含むことが出来る。ＡＰ２０２がプローブ要求フレーム４００を受信すると、プローブ応答フレーム４０２を送信する。プローブ要求フレーム４０２は時間の刻印、信号間隔、性能情報、ＳＳＩＤ、可能なレート、チャネルなどの種々の要素フィールドを含むことが出来る。

もし、ステーション２０４が認可ステーション、即ちＡＰ２０２からサービスを受ける認可を受けていれば、ステーション２０４はプローブ応答フレーム４０２の情報を使用してＡＰ２０２との認証あるいは連結の処理を開始することが出来る。もし、ステーション２０４が非認可ステーションであり、ＡＰ２０２が安全なアクセスポイントでない、即ちＡＰ２０２が非認可使用を防ぐ安全策を持たなくても、非認可ステーションはＡＰ２０２と連結することは出来る。あるいは、もし、ステーション２０４が非認可ステーションであれば、ステーション２０４は、プローブ応答フレーム４０２から得た情報を単に蓄積することは出来る。あるいは、プローブ応答フレーム４０２の受信により非認可ステーションはＡＰ２０２の存在を知り、次いでＡＰ２０２が公開となり、ＡＰ２０２が他の何らかの望ましくない方法により使用されることはありうる。

既述の通り、このような方法によるＡＰ２０２に関する情報取得は一般に「攻撃的」として知られる。攻撃を実行する１つの典型は無線ネットワークカードおよびアンテナを伴うラップトップあるいは類似の携帯装置を使用して、文字通りＷＬＡＮ信号の走査のために動き回ることである。

図４を参照して、一実施例では、ディテクタ４０４を形成して、ステーション２０４が非認可ステーションであることの是非を確定する。さらに詳細には、ディテクタ４０４を形成して、ステーション２０４の「攻撃的行為」を検出する。

本実施形態では、ディテクタ４０４はＡＰ２０２とステーション２０４との間の伝送を受信する。次いで、ディテクタ４０４は、「攻撃的行為」を探してステーション２０４の伝送を解析する。

図５を参照して、非認可ステーションを検出する例示的処理、およびさらに詳細には「攻撃的」行為に係わる非認可ステーションについて説明する。図４を参照して、ステップ５００（図５）において、ディテクタ４０４はステーション２０４の送信するプローブ要求フレーム４００を受信する。次いでステップ５０２（図５）で、ディテクタ４０４は、「攻撃的」行為を示唆する特徴を探してプローブ要求フレーム４００を解析する。ステップ５０４（図５）で、もし、「攻撃的」行為を検出すると、ディテクタ４０４は警報を出すことが出来る。

図６を参照して、「攻撃的」行為を検出する例示的処理を説明する。図４を参照して、ステップ６００（図６）で、プローブ要求フレーム４００を調べ、長さが零のＳＳＩＤの有無を確定する。ステップ６０２（図６）で、プローブ要求フレーム４００を調べ、ＳＳＩＤ情報のフィールドのみを持ち、他のフィールドを持たないことを確定する。ステップ６０４（図６）で、プローブ応答フレーム４０２を送信後、ディテクタ４０４はステーション２０４が認証あるいは連結要求に進まないことを確定する。

図６を参照して、一実施形態において、もし、ステップ６００、６０２および６０４における確定が肯定的であれば、即ちプローブ要求フレーム４００が長さ零のＳＳＩＤおよびＳＳＩＤ情報要素フィールドのみを持ち、ステーション２０４（図４）が認証あるいは連結要求に進まないことを確定すれば、次いでステーション２０４は非認可ステーションでありおよび／または「攻撃的」行為に係わっていると確定される。

図４を参照して、上述の非認可ステーションおよび／または「攻撃的」行為の検出の例示的処理は、ディテクタ４０４に設けるソフトウエアおよび／またはハードウエアを使用して実施することが出来る。一実施形態では、ディテクタ４０４は無線ローカルエリアネットワークのステーションである。さらに、ステーションは移動、携帯、固定などであり得る。例えば、ステーションはラップトップコンピュータ、パーソナルディジタルアシスタントなどであり得る。さらに、ステーションはユーザによる診断の道具として、管理者による管理的道具などとして使用し、ＷＬＡＮにおける通信品質を確認することが出来る。

本実施形態の一つの利点は、ディテクタ４０４が非認可ステーションおよび／または「攻撃的」行為を探してＷＬＡＮを自ら働きかけることなく監視出来ることを含むことである。このようにＷＬＡＮを自ら働きかけることなく監視することにより、ＡＰ２０２に負担を掛け、帯域幅を消費し、あるいはＷＬＡＮのトラフィックを妨害することなく、ディテクタ４０４はＷＬＡＮにおける非認可ステーションおよび／または「攻撃的」行為を検出することが出来る。

本発明をある実施形態、実施例およびアプリケーションにつて説明したが、本技術の熟練者にとっては、種々の修正および変更を、本発明を逸脱することなくなし得ることは明らかであろう。

添付の図面を参照して行う以下の詳細な説明により、本発明をよりよく理解することが出来よう。なお、同じ部分は同じ番号により参照する。
図１は、例示的なＯＳＩの７レイヤーモデルを示す。 図２は、無線ローカルエリアネットワーク（「ＷＬＡＮ」）における例示的拡張サービスセットを示す。 図３は、ＷＬＡＮにおけるステーションの種々の状態を説明する例示的フロー図である。 図４は、プローブ要求フレームを送信するステーションの実施例を示す。 図５は、非認可ステーションおよび／または「攻撃的」行為を検出する例示的処理を示す。 図６は、非認可ステーションおよび／または「攻撃的」行為を検出する別の例示的処理を示す。

Claims (13)

1. 無線ローカルエリアネットワークにおいて非認可ステーションを検出する方法であって、
   該方法は、
   該無線ローカルエリアネットワークのディテクタにおいてサービスセット識別アドレス（「ＳＳＩＤ」）を有するプローブ要求フレームを受信することであって、該プローブ要求フレームは、ステーションによって該無線ローカルエリアネットワークを介して送信される、ことと、
   該ディテクタにおいて受信した該プローブ要求フレームを解析することにより、該プローブ要求フレームを送信したステーションが非認可ステーションであるか否かを決定することと
   を含み、
   該プローブ要求フレームを解析することは、該ＳＳＩＤの長さが零であるか否かを決定することを含む、方法。
2. アクセスポイントにおいて前記プローブ要求フレームを受信することと、
   該アクセスポイントからプローブ応答フレームを送信することと
   をさらに含む、請求項１に記載の方法。
3. 前記プローブ要求フレームを解析することは、
   該プローブ要求フレームを調べることにより、該プローブ要求フレームがＳＳＩＤ情報要素フィールドのみを有しているか否かを決定することと、
   前記プローブ応答フレームに応答して、該プローブ要求フレームを送信したステーションが認証もしくは認可を行うことに失敗したか否かを決定することと
   を含む、請求項２に記載の方法。
4. 前記プローブ要求フレームが長さ零のＳＳＩＤを有しており、かつ、該プローブ要求フレームがＳＳＩＤ情報要素フィールドのみを有しており、かつ、前記プローブ応答フレームに応答して前記ステーションが認証もしくは認可を行うことに失敗した場合には、該プローブ要求フレームを送信したステーションを非認可ステーションとして識別することをさらに含む、請求項３に記載の方法。
5. 前記プローブ要求フレームを解析することは、該プローブ要求フレームを送信したステーションが攻撃的行為に係わっているか否かを決定することを含む、請求項１〜４のいずれか一項に記載の方法。
6. 前記プローブ要求フレームは、ＯＳＩモデルのネットワーク層より下位において受信される、請求項１〜５のいずれか一項に記載の方法。
7. 前記プローブ要求フレームは、ＩＥＥＥ８０２．１１標準に従って送受信される、請求項１〜６のいずれか一項に記載の方法。
8. 前記ディテクタは、前記無線ローカルエリアネットワークのステーションである、請求項１〜７のいずれか一項に記載の方法。
9. 無線ローカルエリアネットワークにおいて非認可ステーションを検出するシステムであって、
   該システムは、ディテクタを含み、
   該ディテクタは、ステーションからアクセスポイントに送信されたサービスセット識別アドレス（「ＳＳＩＤ」）を有するプローブ要求フレームを受信し、該プローブ要求フレームを解析することにより、該ステーションが非認可ステーションであるか否かを決定するように構成されており、
   該プローブ要求フレームを解析することは、該ＳＳＩＤの長さが零であるか否かを決定することを含み、
   該アクセスポイントは、ステーションから送信されたプローブ要求フレームに応答してプローブ応答フレームを送信するように構成されている、システム。
10. 前記ディテクタは、前記プローブ要求フレームを解析することにより、該プローブ要求フレームが長さ零のサービスセット識別アドレス（「ＳＳＩＤ」）を有しているか否かを決定し、該プローブ要求フレームを解析することにより、該プローブ要求フレームがＳＳＩＤ情報要素フィールドのみを有しているか否かを決定し、前記プローブ応答フレームに応答して前記ステーションが認証もしくは認可を行うことに失敗したか否かを決定するように構成されている、請求項９に記載のシステム。
11. 前記ディテクタは、前記プローブ要求フレームが長さ零のＳＳＩＤを有しており、かつ、該プローブ要求フレームがＳＳＩＤ情報要素フィールドのみを有しており、かつ、プローブ応答フレームに応答して前記ステーションが認証もしくは認可を行うことに失敗した場合には、前記ステーションを非認可ステーションとして識別するように構成されている、請求項１０に記載のシステム。
12. 前記ディテクタは、前記無線ローカルエリアネットワークにおけるステーションである、請求項９、１０、１１のいずれか一項に記載のシステム。
13. 無線ローカルエリアネットワークにおいて非認可ステーションを検出するためのコンピュータ実行可能なコードを含むコンピュータ読み取り可能な格納媒体であって、該コンピュータコードがコンピュータによって実行されると、該コンピュータコードは、請求項１〜７のいずれか一項に記載の方法を該コンピュータに実行させる、格納媒体。