JP2005536154A - 多数のバーチャルオペレータを支援する公衆無線ローカルエリアネットワークのためのセッションキー管理 - Google Patents

Abstract

本発明は、モバイル端末が無線ローカルエリアネットワーク（ＷＬＡＮ）にアクセスすることを可能にするためのセッションキーを管理するための方法及びシステムに関する。本発明は、アクセスポイントとバーチャルオペレータとの間の第一のセキュアチャネルを確立すること、及びアクセスポイントからのバーチャルオペレータにセッションキーを指示することを提供する。第二のセキュアチャネルは、バーチャルオペレータとユーザとの間に確立され、セッションキーは、ユーザ認証の成功に応じて第二のセキュアチャネルを介してユーザに送出される。モバイル端末は、セッションキーを使用してＷＬＡＮにアクセスする。

Description

本発明は、ネットワーク通信全般に関し、より詳細には、第三者のバーチャルオペレータを支援する公衆無線ローカルエリアネットワーク（ＷＬＡＮ）環境におけるセッションキーへのアクセスを管理するためのメカニズムに関する。

現在の無線ローカルエリアネットワーク（ＷＬＡＮ）の認証、認可、課金（ＡＡＡ）ソリューションは、多数のバーチャルオペレータとのビジネスリレーションシップ、及び特に、ＷＬＡＮアクセスのために使用されるセッションキーの管理に関するビジネスリレーションシップを維持するため、ＷＬＡＮオペレータ向けに十分なサポートを提供しない。セッションキーを適切に制御及び管理するための失敗は、潜在的なセキュリティ及び管理の問題となる。

ＷＬＡＮは、ホテル、空港及びカフェのようなホットスポットに益々配置されてきている。サウンド及び性能の良いＡＡＡ（認証、認可、課金）ソリューションは、安全な公衆無線ＬＡＮアクセスを可能にするために非常に重要である。特に、かかるＡＡＡソリューションは、ＩＳＰ、セルラオペレータ及びプリペイドカードプロバイダのような第三者のプロバイダが公衆無線ＬＡＮ及び無線ユーザにＡＡＡサービスを提供するバーチャルオペレータコンセプトをサポートすることができるべきである。このように、無線ユーザは、異なるホットスポットに行くたびに、アカウントを開くか又はクレジットにより支払う必要がなく、代わりに、既存のＩＳＰアカウント、セルラアカウント又は無線ＬＡＮへのアクセスを得るために購入されたプリペイドカードを使用することができる。これにより、第三者のバーチャルオペレータと同様に、ＷＬＡＮオペレータにとってビジネスの機会がかなり増加する。しかし、現在の無線ＬＡＮアクセスソリューションは、単一の認証サーバのみが使用される集合的な環境のようなローカルセットアップについて全て設計されている。たとえば、ＩＥＥＥ ８０２．１１規格本体は、ＷＬＡＮアクセス制御のためのソリューションとしてＩＥＥＥ ８０２．１ｘを選択し、現在の使用料のモデルは、セッションキーの割り当てを制御するために認証サーバを使用する。これは集合的な環境等にとって十分である一方で、異なるビシネスエンティティに属する多数の認証サーバが共存する公衆のホットスポットでは確かに問題である。これらの認証サーバにとって、アクセスポイントのための鍵の割り当てを調整することは非常に困難である。

ここで、現在の鍵分配が説明される。１つのシナリオでは、公衆のＷＬＡＮのホットスポットにおけるモバイルユーザは、ＷＬＡＮアクセスポイントとの前持った信頼関係を有さない。ユーザは、信頼の架け橋となるエンティティとして第三者のサービスプロバイダ（たとえば、インターネットサービスプロバイダ（ＩＳＰ））を使用することを意図している。サービスプロバイダは、バーチャルオペレータと呼ばれる場合がある。ユーザは、ＷＬＡＮオペレータとのビジネスリレーションシップを有する、このバーチャルオペレータとのアカウントを維持する。ユーザがバーチャルオペレータとの信頼関係を確立しているので、ユーザは、安全なやり方でバーチャルオペレータと彼女自身を認証することができる。その後、バーチャルオペレータは、（バーチャルオペレータもＷＬＡＮとの信頼関係を有するので）ＷＬＡＮアクセスポイントと同様に、ユーザにセッションキーを安全に送信する。この共有されるセッションキーのため、無線ＬＡＮは、ネットワークにアクセスすること、したがってユーザへのアクセスを与えることが許可されたことを知る。なお、このスキームでは、バーチャルオペレータは、ユーザ及びＷＬＡＮの両者との信頼関係を有するのでセッションキーを割り当てる。

セッションキーは、ローカルアクセスのために使用され、たとえば、アクセスポイントにより割り当てられて保持されるような、ＷＬＡＮアクセスポイントに対してローカルであるべきである。多数のバーチャルオペレータが存在するとき、上述されたキーマネージメントスキームは、少なくとも２つの領域で問題である。第一に、バーチャルオペレータにとって、異なるエンティティに属する数万のアクセスポイントについてセッションキーを割り当て及び管理すること、すなわち、異なるタイプのアクセスポイントについて異なる暗号化アルゴリズム及びキーレングスを包含することは問題であることがある。第二に、アクセスポイントについて、多数のバーチャルオペレータが一貫したやり方でセッションキーを割り当てることを確かめるのは困難な場合があり、たとえば、二人のユーザが、同時に２つの異なるバーチャルオペレータにより割り当てられた同じ鍵を使用していないことを確かめなければならない。

鍵の困難さは、アクセスポイントが無線ユーザと秘密を共有していないことであり、したがって、アクセスポイントからユーザにセッションキーを直接送出するために安全ではない。この問題に対する１つのソリューションは、成功したユーザ認証に応じて、バーチャルオペレータがユーザの公開鍵に関するアクセスポイント（ＡＰ）を通知することである。その後、ＡＰは、ユーザの公開鍵を使用してセッションキーを暗号化し、次いで結果をユーザに送出する。その特定のユーザのみが彼女の対応する秘密鍵を使用してセッションキーを復号できるので、セッションキーは、ＡＰと無線ユーザとの間で安全に確立することができる。しかし、このスキームは、公開／秘密鍵の使用を必要とし、この使用は、ユーザは２つの異なるタイプの鍵（セッションキーを復号するための秘密鍵及び認証サーバによる認証のためのパスワードタイプの鍵）を維持しなければならない可能性があり、無線ユーザと認証サーバとの間での現実の認証方法と互換性がない場合がある。このことは、クライアントソフトウェアの複雑さを増加するのみではなく、鍵を安全に保持する困難性をも増加する。さらに、このスキームは、ＷＬＡＮセキュリティにおける標準となりつつあるＩＥＥＥ ８０２．１ｘと共に動作しない。

したがって、アクセスポイントにより鍵がローカルに割り当てられて管理され、更にアクセスポイントとの前持った信頼関係なしでセッションキーを無線ユーザが安全に得ることができるソリューションが必要とされている。

本発明は、上記目的に対処するための効果的及び能率的なメカニズムを与える。セッションキーは、ＷＬＡＮによりローカルに割り当てられて管理され（これらの鍵はローカルアクセス制御のために使用されるため）、さらに、それらの対応するバーチャルオペレータとの信頼関係を維持する無線ユーザに安全に配布することできる。

無線ローカルエリアネットワーク向けのセッションキーを管理するための方法は、アクセスポイントとバーチャルオペレータとの間の第一のセキュアチャネルを確立するステップと、アクセスポイントからバーチャルオペレータにセッションキーを指示するステップとを含んでいる。第二のセキュアチャネルは、バーチャルオペレータとユーザとの間で確立され、セッションキーは、アクセスポイントとユーザとの間の通信を可能にするためにバーチャルオペレータにより送出される。

無線ローカルエリアネットワーク向けのセッションキーを管理するためのシステムは、アクセスポイントを含んでおり、このアクセスポイントは、アクセスポイントとバーチャルオペレータとの間に第一のセキュアチャネルを確立する。セッションキーは、アクセスポイントからバーチャルオペレータに指示される。バーチャルオペレータは、ユーザの認証に応じてアクセスポイントとユーザとの間に第二のセキュアチャネルを確立し、バーチャルオペレータは、アクセスポイントとユーザとの間の通信を可能にするためにセッションキーを設定する。

本発明の利点、特徴及び様々な更なる特徴は、添付図面と共に詳細に説明される例示的な実施の形態を考慮することで更に十分に明らかとされるであろう。

図面は、本発明の概念を例示するためにものであって、本発明を例示するために必ずしも可能な構成ではない。

本発明は、ネットワーク通信全般に関するものであって、より詳細には、第三者のバーチャネルオペレータを支援する公衆無線ローカルエリアネットワーク（ＷＬＡＮ）環境におけるセッションキーへのアクセスを管理するためのメカニズムに関する。かかるバーチャルオペレータは、インターネットサービスプロバイダ（ＩＳＰ）、セルラオペレータ、又はプリペイドカードプロバイダを含んでいる場合がある。収入源を最大にするため、公衆無線ローカルエリアネットワーク（ＷＬＡＮ）は、多数のバーチャルオペレータとのビジネスリレーションシップを保持する場合がある。

なお、本発明は、ＩＥＥＥ ８０２．１１， Ｈｉｐｅｒｌａｎ２及び／又は超広帯域標準に従うようなＷＬＡＮシステムの観点で説明されるが、本発明は、非常に広く、他の通信システム向けの他のシステムマネージメントスキームに適用可能である場合があることを理解されたい。さらに、本発明は、電話、ケーブル、コンピュータ、衛星等を含むネットワークシステムにも適用可能である場合がある。

以下、同じ参照符号が幾つかのビューを通して同じ又は類似のエレメントを識別する図面を詳細に参照し、はじめに、図１を参照して、無線ローカルエリアネットワーク（ＷＬＡＮ）１４は、ＷＬＡＮホットスポット３１のためのアクセスポイント３０を含んでいる。ＷＬＡＮ１４は、たとえば、ＩＥＥＥ ８０２．１１及びＨＩＰＥＲＬＡＮ２規格を利用する場合がある。ＷＬＡＮ１４は、たとえばインターネット７のような外部ネットワーク間でファイアウォール２２を含んでいる。エンドユーザ又はモバイルユニット４０は、たとえば、本実施の形態で説明されるＨＴＴＰＳトンネル又は他のセキュアチャネル６４を使用して、インターネット７を通してＷＬＡＮ１４からバーチャルオペレータ６２にアクセスする場合がある。

セルラネットワークのセル間又はセル内に分散されているのは、無線ローカルエリアネットワーク１４である。本発明によれば、セッションキー６０は、バーチャルオペレータ６２からユーザ４０に送出される。バーチャルオペレータ６２は、インターネットサービスプロバイダ（ＩＳＰ）、セルラオペレータ、又はプリペイドカードプロバイダ若しくは他のエンティティを含んでいる場合があり、通信ネットワークを通してサービスを提供する。収入源を最大化するため、公衆無線ローカルエリアネットワーク（ＷＬＡＮ）は、多数のバーチャルオペレータとのビジネスリレーションシップを維持する場合がある。しかし、適切なシステムセキュリティを維持する一方で、複数のバーチャルオペレータを維持することは困難である。

バーチャルオペレータ６２及びユーザ（ＭＳ４０）は、セキュアチャネル、若しくは共有される情報又はコード部分を使用することのような秘密を共有するため、鍵６０は、両者間にセキュアチャネル６４を通して送信することができる。しかし、セッションキー６０を決定及び保持するバーチャルオペレータ６２を有する代わりに、ＷＬＡＮアクセスポイント３０により鍵が選択され、次いでバーチャルオペレータに指示される。たとえば、ランダム数発生、予め記憶されている鍵番号から選択すること等を含む複数の方法により鍵が選択される場合がある。

図２を参照して、本発明を実現する実施の形態は、以下のように例示的に説明される。ブロック１０２では、ユーザ（モバイル端末（ＭＴ））は、アクセスポイント（ＡＰ）３０で無線ＬＡＮアクセスを要求し、バーチャルオペレータ（ＶＯ）を指定する。ブロック１０４では、ＡＰ３０は、バーチャルオペレータ６２とセキュアチャネルＳＣ_１を確立する。ＡＰ３０とバーチャルオペレータ６２との間での全てのその後の通信は、ＳＣ_１を通して行われる。ブロック１０６では、ユーザは、バーチャルオペレータ６２とセキュアチャネルＳＣ_２を確立し、ＳＣ_２を通してバーチャルオペレータで彼女自身を認証する。このことは、ユーザ認証が成功するまでセッションキーの使用を停止することを含んでいる場合がある。

ブロック１０８では、バーチャルオペレータは、ユーザ認証の成功に応じて、ＡＰ３０に結果に関して通知し、ＳＣ_１を通してセッションキー６０についてＡＰ３０に問い合わせる。セッションキーの使用が停止されている場合、認証が不成功である場合には使用停止の状態が解除される場合がある。ブロック１１０では、ＡＰ３０は、セッションキー６０を選択し、ＳＣ_１を通してセッションキーをバーチャルオペレータ６２に送出する。ブロック１１２では、バーチャルオペレータは、ＳＣ_２を通してこのセッションキーをユーザに送出する。ブロック１１４では、ユーザ及びＡＰ３０は、両者間のその後の通信（セキュアチャネルＳＣ_３）のためにセッションキーを使用し始める。

図３を参照して、図２に示されるような方法は、例示されるようにスピード及び効率について更に改善される場合がある。認証が成功した後にセッションキーについてバーチャルオペレータに問い合わせをさせる代わりに、ＡＰ３０は、ＳＣ_１が確立された直後に指示されたセッションキーを提供し、アクセスポイント３０でメモリ２４にこの鍵を「使用停止“ｏｎ−ｈｏｌｄ”」する。ユーザ認証の成功に応じて、ＡＰ３０は、バーチャルオペレータにより通知され、ＳＣ_３のためのこの鍵を使用し始める。不成功の認証のケース（たとえば、ユーザによる所定数の不成功のトライの後）では、ＡＰ３０は通知され、「使用停止」リスト２４から鍵を除く。これにより、攻撃者が不成功の認証の試みを連続的に行うサービス不能（ｄｅｎｉａｌ ｏｆ ｓｅｒｖｉｃｅ）の攻撃を防止する。ＡＰが不成功の認証に関して通知されない場合、指示された鍵がＡＰのメモリストレージに蓄積される。認証ステップは、以下を含んでいる場合がある。

ステップ２０２では、ユーザは、ＡＰ３０での無線ＬＡＮアクセスを供給し、バーチャルオペレータ６２を指定する。ステップ２０４では、ＡＰ３０は、バーチャルオペレータ６２とセキュアチャネルＳＣ_１を確立する。ＡＰとバーチャルオペレータとの間の全てのその後の通信は、ＳＣ_１を通して行われる。ステップ２０６では、ＡＰ３０は、提案されたセッションキーをバーチャルオペレータ６２に送出し、この鍵を「使用停止」にする。ステップ２０８では、ユーザは、バーチャルオペレータ６２とセキュアチャネルＳＣ_２を確立し、ブロック２０９で、ＳＣ_２を通してバーチャルオペレータ６２で彼女自身を認証する。ステップ２１０では、バーチャルオペレータ６２は、認証結果をＡＰ３０に通知し、ＡＰ３０は、「使用停止」リストから指示された鍵を除く。ブロック２１２では、認証が成功した場合では、バーチャルオペレータ６２は、セッションキーをユーザに送出する。ブロック２１４では、ユーザ及びＡＰ３０は、両者間のその後の通信（セキュアチャネルＳＣ_３）についてセッションキーを使用し始める。

図３の方法が更に能率的であるという理由は、図２の方法から、１往復の通信時間を節約できるからであり、たとえば、バーチャルオペレータは、セッションキーについてＡＰに問合せ、次いで鍵についてユーザに通知するため、認証の終わりまで待つ必要がない。ステップ２０６では、ＡＰは、指示された鍵をバーチャルオペレータに送出する必要があるが、ステップ２０８と並行して行うことができる。したがって、全体的に往復の遅延が回避される。他の実施の形態では、ステップ２０６がステップ２０８と順次実行される場合がある。

本発明は、たとえばモバイル端末、アクセスポイント、及び／又はセルラネットワーク内でハードウェア、ソフトウェア、ファームウェア、特定用途向けプロセッサ、又はその組み合わせからなる様々な形式で実現される場合があることを理解されたい。好ましくは、本発明は、ハードウェアとソフトウェアの組み合わせとして実現される。さらに、ソフトウェアは、プログラムストレージ装置で実体的に実現されるアプリケーションプログラムとして実現されることが好ましい。アプリケーションプログラムは、適切なアーキテクチャを備えるマシンにアップロードされ、実行される場合がある。好ましくは、マシンは、１以上の中央処理装置（ＣＰＵ）、ランダムアクセスメモリ（ＲＡＭ）、入力／出力（Ｉ／Ｏ）インタフェースのようなハードウェアとしてコンピュータプラットフォームで実現される。また、コンピュータプラットフォームは、オペレーティングシステム及び命令コードを含んでいる。本実施の形態で説明された様々な処理及び機能は、マイクロ命令コードの一部、アプリケーションプログラムの一部のいずれか（若しくはその組み合わせ）である場合があり、オペレーティングシステムを介して実行される。さらに、様々な他の周辺装置は、更なる他のデータストレージ装置及びプリント装置のようなコンピュータプラットフォームに接続される場合がある。

添付図面に示された一貫したシステムコンポーネント及び方法ステップにはソフトウェアで実現されるものがあるので、システムコンポーネント（又は処理ステップ）間の実際の接続は、本発明がプログラムされる方式に依存して異なる場合があることを理解されたい。本実施の形態での教示が与えられれば、当業者は、本発明のこれらのインプリメンテーション又は他のインプリメンテーションを考案することができる。

多数のバーチャルオペレータをサポートする公衆無線ＬＡＮ向けのセッションキー管理のための好適な実施の形態が説明されたが（例示するものであって限定することが意図されていない）、先の教示に照らして変更及び変形を当業者により行うことができる。したがって、特許請求の範囲により概説されるように、本発明の範囲及び精神内にある開示された発明の特定の実施の形態において変更が行われることを理解されたい。本発明は詳細かつ特許法により要求される特定性をもって説明されたが、特許請求される内容及び特許法により保護される内容は特許請求の範囲に述べられている。

本発明の１実施の形態に係る例示的なシステムである。 本発明の１実施の形態に係るセッションキー管理のための方法を実現する例示的なステップに関するフローチャートである。 本発明の別の実施の形態に係る無線ローカルエリアネットワーク用のセッションキー管理のための別の例示的な方法に関する図である。

Claims (15)

1. モバイル端末と無線ローカルエリアネットワーク（ＷＬＡＮ）におけるアクセスポイントとの間で通信を可能にするために使用されるセッションキーを管理する方法であって、
   該モバイル端末から該ＷＬＡＮへのアクセスの要求を受信するステップと、
   該アクセスの要求に関連するバーチャルオペレータを決定するステップと、
   該アクセスポイントと該バーチャルオペレータとの間で第一のセキュアチャネルを確立するステップと、
   該第一のセキュアチャネルを介して、該モバイル端末を認証するために第二のセキュアチャネルを介して該モバイル端末と通信する該バーチャルオペレータからのユーザ認証を要求するステップと、
   セッションキーを選択し、該第一のセキュアチャネルを介して、該第二のセキュアチャネルを介して該モバイル端末に該セッションキーを送出する該バーチャルオペレータに該セッションキーを送出するステップと、
   該セッションキーを使用して該モバイル端末と通信するステップと、
   を備えることを特徴とする方法。
2. ユーザ認証を要求する該ステップは、セッションキーを選択し、該セッションキーを送出する該ステップと並行して実行される、
   請求項１記載の方法。
3. 該通信するステップは、該バーチャルオペレータから成功したユーザ認証に関する通知を受信したことに応じて、該セッションキーを使用して該モバイル端末と通信するステップを備える、
   請求項２記載の方法。
4. 該セッションキーを選択するステップは、該バーチャルオペレータからの成功したユーザ認証に関する通知まで該セッションキーの使用を停止するステップと、該通知に応じて該セッションキーの使用を停止することを解除し、該セッションキーを該バーチャルオペレータに送出するステップを備える、
   請求項２記載の方法。
5. 認証が成功した場合に、該セッションキーの使用を停止することを解除するステップをさらに備える、
   請求項４記載の方法。
6. セッションキーを選択し、該第一のセキュアチャネルを介して該バーチャルオペレータに該セッションキーを送出する該ステップは、該バーチャルオペレータから成功したユーザ認証に関する通知を受信した後にのみ実行される、
   請求項１記載の方法。
7. 該バーチャルオペレータは、インターネットサービスプロバイダ、セルラープロバイダ及びクレジットカードプロバイダのうちの１つを含む、
   請求項１記載の方法。
8. モバイル端末と無線ローカルエリアネットワーク（ＷＬＡＮ）との間で通信を可能にするために使用されるセッションキーを管理する装置であって、
   該モバイル端末から該ＷＬＡＮへのアクセスの要求を受信する手段と、
   該アクセスの要求に関連するバーチャルオペレータを決定する手段と、
   第一のセキュアチャネルを介して該バーチャネルオペレータと通信し、該第一のセキュアチャネルを介して、該モバイル端末を認証するために第二のセキュアチャネルを介してモバイル端末と通信する該バーチャネルオペレータからのユーザ認証を要求する第一の通信手段と、
   該第一の通信手段に結合され、セッションキーを選択し、該第一のセキュアチャネルを介して、該第二のセキュアチャネルを介して該モバイル端末に該セッションキーを送出する該バーチャルオペレータに該セッションキーを送出する手段と、
   該セッションキーを使用して該モバイル端末と通信するための第二の手段と、
   を備えることを特徴とする装置。
9. 該第一の通信手段は、該セッションキーを選択し、該セッションキーを送出する選択手段と並行してユーザ認証を要求する、
   請求項８記載の装置。
10. 該第二の通信手段は、該バーチャルオペレータから成功したユーザ認証に関する通知を受信したことに応じて、該セッションキーを使用して該モバイル端末と通信する、
    請求項９記載の方法。
11. 該選択手段は、該バーチャルオペレータからの成功したユーザ認証に関する通知まで該セッションキーの使用を停止し、該通知に応じて該セッションキーの使用を停止することを解除し、該セッションキーを該バーチャルオペレータに送出する、
    請求項１０記載の方法。
12. 該選択手段は、認証が成功した場合に該セッションキーの使用を停止することを解除する、
    請求項１１記載の方法。
13. 該選択手段は、セッションキーを選択し、該バーチャルオペレータからの成功したユーザ認証に関する通知を受信した後にのみ該第一のセキュアチャネルを介して該バーチャルチャネルに該セッションキーを送出する、
    請求項８記載の方法。
14. 該バーチャルオペレータは、インターネットサービスプロバイダ、セルラープロバイダ及びクレジットカードプロバイダのうちの１つを含む、
    請求項８記載の方法。
15. 無線ローカルエリアネットワーク（ＷＬＡＮ）におけるモバイル端末を制御する方法であって、
    該ＷＬＡＮへのアクセスの要求であって、関連するバーチャルオペレータを識別するデータを含む要求を送信するステップと、
    アクセスの要求に関連するユーザ認証を実行するため、該バーチャルオペレータとのセキュアチャネルを確立するステップと、
    成功したユーザ認証に応じてセキュアチャネルを介してセッションキーを受信するステップと、該バーチャルオペレータは、第二のセキュアチャネルを通して該ＷＬＡＮから該セッションキーを受信し、
    該セッションキーを使用して、該ＷＬＡＮとの通信を確立するステップと、
    を備えることを特徴とする方法。
    
    
    

Images