JP2006013817A

JP2006013817A - 通信制御プログラム、通信制御方法、及び通信制御装置

Info

Publication number: JP2006013817A
Application number: JP2004187007A
Authority: JP
Inventors: Tomoharu Saito; 智春齊藤
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2004-06-24
Filing date: 2004-06-24
Publication date: 2006-01-12

Abstract

【課題】各無線ＬＡＮ端末は利用できる最大の鍵長に応じた暗号化鍵を使用した無線基地局との間の暗号化データの送受信を可能とすることを目的としている。
【解決手段】電文本体に所定の符号化により算出したチェックサムを付加し、予め設定された複数の鍵長に応じた暗号化鍵の中から、発信元無線ＬＡＮ端末が利用できる鍵長に応じた暗号化鍵を用いて暗号化したデータを宛先無線ＬＡＮ端末へ中継する無線基地局における通信制御方法プログラムを、無線ＬＡＮ端末からデータを受信し、無線ＬＡＮ端末から受信したデータを予め設定された複数の鍵長に応じた暗号化鍵を用いて復号化し、その復号化結果に基づき無線ＬＡＮ端末に設定された暗号化鍵の鍵長を認識すると共に鍵長を発信元端末情報と対応付けて記憶手段に記憶させ、復号化したデータを宛先の無線ＬＡＮ端末の暗号化鍵の鍵長に応じた暗号化鍵で暗号化し、宛先の無線ＬＡＮ端末へ送信するように構成する。
【選択図】図１

Description

本発明は、無線ＬＡＮ端末と無線基地局間における暗号化された無線通信に関し、特に宛て先の無線ＬＡＮ端末の制約を受けずに、自局の無線ＬＡＮ端末が利用できる最大強度の暗号化鍵の使用を可能とさせる技術に関したものである。

無線通信では、物理的にケーブルを接続しなければ通信ができない有線通信とは異なり、電波の到達範囲内ならば何処でも通信が可能である。その反面、不正侵入や情報が第三者に漏洩するという危険性が常に存在する。そこで通信の安全性を確保するために、暗号化鍵を用いて端末の認証を行い、送受信の対象となるデータを暗号化することが一般的に行われている。暗号化鍵の鍵長には６４ビット、１２８ビット、１５２ビットがあり、基本的に鍵長が長い暗号化鍵ほどセキュリティの強度が高い。

図７は、従来の無線ＬＡＮ暗号化方式を使用した場合を図式化したものである。２台の無線ＬＡＮ端末（ＰＣ１とＰＣ２）を無線基地局と接続して通信を行うためには、無線基地局と各無線ＬＡＮ端末に同じ暗号化鍵を設定している。この例の場合ではＰＣ１は１２８ビットの鍵長までＰＣ２は１５２ビットの鍵長まで対応可能な無線ＬＡＮ端末であるが、無線基地局を介した無線通信の暗号化、復号化に用いることの出来る暗号化鍵は暗号化強度の低い１２８ビットが最高の鍵長となる。

このように、強度の異なる暗号鍵をサポートしている複数の無線ＬＡＮ端末を同時に使用する場合、無線基地局では無線通信に使用できる暗号化鍵は一つとしていたため、強度の低い無線ＬＡＮ端末の暗号化鍵の鍵長に合わせることになる。そのため、強度の高い暗号化鍵をサポートしている無線ＬＡＮ端末であっても結果として宛て先の無線ＬＡＮ端末に応じたセキュリティレベルの低い暗号化鍵を使用せざるを得なかった。

本発明は、既存の無線ＬＡＮ端末には一切機能追加せず、無線基地局の通信制御プログラムのみに機能追加をすることで各無線ＬＡＮ端末は利用できる最大の鍵長に応じた暗号化鍵を使用した無線基地局との間の暗号化データの送受信を可能とすることを目的としている。

図１は、本発明の実施例の全体構成図が示してある。本発明の通信制御プログラム１０は、無線基地局として振る舞うコンピュータ１上で実行され、例えば端末（ＰＣ１）１から無線ＬＡＮ２を介して、電文本体に所定の符号化により算出したチェックサムを付加し、予め設定された複数の鍵長に応じた暗号化鍵の中から、端末（ＰＣ１）１が利用できる鍵長に応じた暗号化鍵を用いて暗号化した端末（ＰＣ２）２宛てのデータが送信されてくると、受信手段１１は前記データを受信し、鍵長認識手段１３は、端末（ＰＣ１）１から受信した電文本体に所定の符号化により算出したチェックサムを付加したデータを、予め設定された複数の鍵長に対する暗号化鍵で復号化手段１２を呼び出して順次復号化し、復号化したデータの電文本体部分を前記所定の符号化を行うことによりチェックサムを算出し、前記復号化したデータのチェックサム部分とを比較し、内容が一致した場合に正しく復号化されたものと判定し、正しく復号化された暗号化鍵の鍵長を発信元端末情報と対応付けて記憶手段に記憶させる。次に暗号化手段１４は、記憶手段に記憶させてある宛先端末（ＰＣ２）２の鍵長に対応する暗号化鍵で復号化手段１２が正しく復号化した端末（ＰＣ１）１から端末（ＰＣ２）２へ宛てたデータを暗号化し、送信手段１５が前記暗号化されたデータを宛先端末（ＰＣ２）２に送信することにより、各無線ＬＡＮ端末は利用できる最大の鍵長に応じた暗号化鍵を使用した無線基地局との間の暗号化データの送受信が可能となる。

本発明を適用することにより、強度の異なる暗号鍵をサポートしている無線LAN端末の混在環境下においてセキュリティレベルを一律に合わせる必要性がなくなり、各無線ＬＡＮ端末は最大のセキュリティレベルで無線基地局と接続が可能となる。

本実施例では、既存の無線ＬＡＮ端末には一切機能追加せず、無線基地局の通信制御プログラムのみに機能追加をすることで各無線ＬＡＮ端末は利用できる最大の鍵長に応じた暗号化鍵を使用した無線基地局との間の暗号化データの送受信を可能とした。

図１には本発明に係る実施例の全体構成図が示してある。無線基地局１には無線ＬＡＮ２を介して複数の無線ＬＡＮ端末（端末１（ＰＣ１）４、端末２（ＰＣ２）５、端末３（ＰＣ３）６、・・・・・）が、有線ＬＡＮ３を介して複数の有線ＬＡＮ端末（端末４（ＰＣ４）７、・・・・・）が接続されている。通信制御プログラム１０は、無線基地局として振る舞うコンピュータ１上で実行され、例えば端末（ＰＣ１）１から無線ＬＡＮ２を介して、電文本体に例えばＩＳＯ（International Organization for Standardization）３３０９で規定されているＣＲＣ（Cyclic Redundancy Check）−３２符号化により算出したチェックサムを付加し、予め設定された複数の鍵長に応じた暗号化鍵の中から、端末（ＰＣ１）１が利用できる鍵長１２８ビットに応じた暗号化鍵を用いて暗号化した端末（ＰＣ２）２宛てのデータが送信されてくると、受信手段１１は前記データを受信し、鍵長認識手段１３は、端末（ＰＣ１）１から受信したデータを、予め設定された複数の鍵長に対する暗号化鍵で復号化手段１２を呼び出して順次復号化し、復号化したデータの電文本体部分をＣＲＣ−３２符号化を行うことによりチェックサムを算出し、前記復号化したデータのチェックサム部分とを比較し、内容が一致した場合に正しく復号化されたものと判定し、正しく復号化された暗号化鍵の鍵長（本実施例では１２８ビット）を発信元端末情報（ＰＣ１）と対応付けて記憶手段に記憶させる。次に暗号化手段１４は、記憶手段に記憶させてある宛先端末（ＰＣ２）２の鍵長（本実施例では１５２ビット）に対応する暗号化鍵で復号化手段１２が正しく復号化した端末（ＰＣ１）１から端末（ＰＣ２）２へ宛てたデータを暗号化し、送信手段１５が前記暗号化されたデータを宛先端末（ＰＣ２）２に送信することにより、各無線ＬＡＮ端末の利用できる最大の鍵長（本実施例では、ＰＣ１は１２８ビット、ＰＣ２は１５２ビット）の暗号化鍵を使用した無線基地局との間で暗号化データの送受信が可能となる。

図２は、端末情報と鍵情報の対応関係を表した鍵情報テーブル例が示してある。端末情報には端末の識別情報が、鍵情報には端末情報で示された無線ＬＡＮ端末が使用できる暗号化鍵の最長の（強度が最大）の鍵長の値が格納される。この例では、端末１（ＰＣ１）４は１２８ビットの暗号化鍵まで、端末２（ＰＣ１）５は６４ビットの暗号鍵まで、端末３（ＰＣ３）６は１５２ビットの暗号鍵まで使用可能であることを表している。なお、本実施例では鍵長に対応する暗号化鍵の値は固定としている。そのため、例えば端末１（ＰＣ１）４が１２８ビットの鍵長を使用していると仮定すると、無線基地局1が１２８ビットの鍵長に対応する鍵を使用して端末１（ＰＣ１）４から送信されてきたデータを復号化すると正しく元の平文に戻ることになる。復号化の詳細については、図５を参照されたい。また、本実施例で使用している暗号化方式は秘密鍵暗号化方式であって、暗号化で使用する鍵と復号化で使用する鍵は同一のものである。

なお、公開鍵暗号化方式を使用することも可能である。公開鍵暗号化方式では暗号化鍵と復号化鍵は別のものとなるため、例えば無線ＬＡＮ端末が無線基地局の公開鍵で暗号化すると、無線基地局は無線基地局の秘密鍵で復号化し、宛先の無線ＬＡＮ端末に対しては宛先の無線ＬＡＮ端末の公開鍵で暗号化してやれば宛先の無線ＬＡＮ端末は宛先の無線ＬＡＮ端末の秘密鍵で復号化することが可能である。ただし、このように実装した場合には、無線ＬＡＮ端末側にも処理の追加や無線基地局にも無線ＬＡＮ端末の公開鍵情報を記憶させておく必要が出てくる。

無線基地局1は無線ＬＡＮ端末と初めて通信する際に得られた前記無線ＬＡＮ端末の使用している暗号化鍵の鍵長を記憶手段に展開した、図２に示すような鍵情報テーブルに端末情報と対応付けて格納する。また、無線基地局1は無線ＬＡＮ端末が指定してきた宛先の無線ＬＡＮ端末の鍵長が図２に示すような鍵情報テーブルに記憶されているときのみデータを送信する。

図３は、暗号鍵の設定例が示してある。例えば３種類の鍵長の鍵を設定する場合、図の左側の設定方法のようにそれぞれの鍵長に応じた独立した３種類の異なる鍵を設定する方法と、右側の設定方法のように最長の長さ（この例の場合、１５２ビット）の鍵を１つ設定し、他の鍵（この例の場合、１２８ビットと６４ビット）は最長の鍵の部分となるように設定する方法がある。前者の場合、各暗号化鍵を個別に設定するため暗号化鍵自体の秘密性は高いが、各暗号化鍵をそれぞれ個別に設定しなければならないので、設置無線基地局が増えると設定や管理が煩雑となる。一方、後者の場合は最長の暗号化鍵を設定するだけで他の暗号化鍵は最長の暗号化鍵の部分で運用できるため取り扱いは容易であるが、１つの暗号化鍵から他の暗号化鍵を生成するので秘密性は低くなる。暗号化鍵は、図２で示す鍵情報テーブルに格納しても処理は可能であるが、セキュリティ上の問題から暗号化されて記憶される他の領域に記憶させておく方が好ましい。

図４は、本発明に係る通信制御プログラムの処理全体の流れを示すフローチャートである。無線基地局１の基本的な動作は、有線LANポート／無線アンテナからデータを受信、送信先を判定、有線LANポート／無線アンテナからデータを送信することである。無線通信で暗号化を行っている場合、データを受信した後に復号化、データを送信する前に暗号化の処理を行い、この復号化の処理で各無線ＬＡＮ端末が使用している暗号鍵の強度である鍵長の判定を行う。以下に具体的な処理について説明する。

無線基地局1は、有線ＬＡＮ３を介して端末４（ＰＣ４）７などの有線ＬＡＮ端末からデータを受信する（Ｓ４１）場合と、無線ＬＡＮ２を介して端末１（ＰＣ１）４や端末２（ＰＣ２）５の無線ＬＡＮ端末からデータを受信する（Ｓ４２）場合がある。データの受信処理については従来技術であるため処理の詳細については省略する。

無線通信では、データの傍受が容易であるため、一般的には端末は平文のままデータを送信することはなく、データを暗号化して送信する。そのため、無線基地局1では無線ＬＡＮ端末からデータを受信した場合には、受信したデータを復号化して（Ｓ４３）から、宛先の確認を行う（Ｓ４４）。データの復号化についての処理の詳細については図５で説明する。また、宛先の確認については、データの制御情報として電文に付加されるヘッダに記述されている宛先情報で確認するが、この処理については従来技術であるため詳細については省略する。

宛先が有線ＬＡＮ端末である場合には、無線基地局1はデータを平文のまま送信する（Ｓ４５）。宛先が無線ＬＡＮ端末である場合には、無線基地局1は図２で示した鍵情報テーブルの情報に基づいて暗号化鍵情報を取得し、平文のデータを暗号化して（Ｓ４６）宛先の無線ＬＡＮ端末へ暗号化したデータを送信する（Ｓ４７）。暗号化そのものの処理、データの送信処理については従来技術であるため処理の詳細については省略する。

図５は、本発明に係る通信制御プログラムの復号化処理の流れを示すフローチャートである。受信した電文のヘッダ内に格納されている発信元の端末情報が、図２で示す鍵情報テーブルにあるかどうか調べる（Ｓ５０１）。電文の発信元端末の端末情報が鍵情報テーブルに記憶させてある場合は、端末情報と対応付けて記憶させてある鍵情報を取得し、鍵情報に対応する（図２の項で説明したように、鍵情報に対応する暗号化鍵の値は固定である。）暗号化鍵を用いて電文を復号化して（Ｓ５０２）、本処理を終了する。

電文の発信元端末の端末情報が鍵情報テーブルに記憶させてない場合は、先ず１５２ビット用の暗号化鍵で復号化する（Ｓ５０３）。復号化処理については従来技術であるので処理の詳細については省略する。次に復号化したデータが正常に復号化できたかどうかを確認する（Ｓ５０４）。無線ＬＡＮ端末から送信されてきたデータにはデータ本体にデータを例えばＩＳＯ３３０９で規定されているＣＲＣ−３２符号化を用いて算出したチェックサムが付加されている。そのため、復号化したデータのデータ本体に対してＣＲＣ−３２符号化を用いてチェックサムを算出し、付加されてきたチェックサムと等しいかどうかで正常に復号化されたかどうかを判定する。

正常に復号化できたと判定した場合には、暗号化鍵の鍵長を記憶手段に展開した、図２に示す鍵情報テーブルに端末情報と対応付けて格納し(Ｓ５０７) 、本処理を終了する。正常に復号化できなかったと判定した場合には、１２８ビット用の暗号化鍵で復号化する（Ｓ５０５）。正常に復号化できたと判定した場合にはＳ５０７の処理に進み、本処理を終了する。正常に復号化できなかったと判定した場合には、６４ビット用の暗号化鍵で復号化する（Ｓ５０８）。正常に復号化できたと判定した場合にはＳ５０７の処理に進み、本処理を終了する。正常に復号化できなかったと判定した場合には、対応する暗号化鍵は存在しないものと判断し、データを破棄して（Ｓ５１０）、本処理を終了する。この場合、データの発信元端末に対して、その旨のメッセージを出力するなど正しくデータが送信出来なかったことを通知することが好ましい。

図６は、本発明の無線ＬＡＮ暗号化方式を図式化したものである。図４、図５のフローチャートで示すような本発明を適用した無線基地局の通信制御プログラムにより、既存の各無線ＬＡＮ端末は何も機能追加することなく、例えば、ＰＣ１と無線基地局との間では１２８ビットの鍵長、ＰＣ２と無線基地局との間では１５２ビットなど、それぞれの無線ＬＡＮ端末が利用できる最大の鍵長で無線基地局との暗号化された無線通信が可能となる。

実施例の全体構成図鍵情報テーブル例鍵の設定例通信制御プログラムの処理全体の流れ復号化処理の流れ本発明の無線ＬＡＮ暗号化方式従来の無線ＬＡＮ暗号化方式

符号の説明

１無線基地局
２無線ＬＡＮ
３有線ＬＡＮ
４端末１（ＰＣ１）
５端末２（ＰＣ２）
６端末３（ＰＣ３）
７端末４（ＰＣ４）
１０通信制御プログラム
１１受信手段
１２復号化手段
１３鍵長認識手段
１４暗号化手段
１５送信手段

Claims

電文本体に所定の符号化により算出したチェックサムを付加し、予め設定された複数の鍵長に応じた暗号化鍵の中から、発信元端末が利用できる鍵長に応じた暗号化鍵を用いて暗号化したデータを宛先端末へ中継するための無線基地局における通信制御プログラムであって、
無線ＬＡＮ端末または有線ＬＡＮ端末からデータを受信する受信手段と、
前記受信手段が無線ＬＡＮ端末から受信したデータを、予め設定された複数の鍵長に応じた暗号化鍵を用いて復号化する復号化手段と、
前記復号化手段の復号化結果に基づき、前記無線ＬＡＮ端末に設定された暗号化鍵の鍵長を認識し、前記鍵長を発信元端末情報と対応付けて記憶手段に記憶させる鍵長認識手段と、
有線ＬＡＮ端末から受信したデータまたは前記復号化手段が復号化したデータを、宛先の無線ＬＡＮ端末の暗号化鍵の鍵長に応じた暗号化鍵で暗号化する暗号化手段と、
無線ＬＡＮ端末または有線ＬＡＮ端末へデータを送信する送信手段
としてコンピュータに機能させることを特徴とする通信制御プログラム。
前記鍵長認識手段は、無線ＬＡＮ端末から受信した電文本体に所定の符号化により算出したチェックサムを付加したデータを、予め設定された複数の鍵長に対する暗号化鍵で順次復号化し、復号化したデータの電文本体部分を前記所定の符号化を行うことによりチェックサムを算出し、前記復号化したデータのチェックサム部分とを比較し、内容が一致した場合に正しく復号化されたものと判定することを特徴とする請求項１記載の通信制御プログラム。
電文本体に所定の符号化により算出したチェックサムを付加し、予め設定された複数の鍵長に応じた暗号化鍵の中から、発信元端末が利用できる鍵長に応じた暗号化鍵を用いて暗号化したデータを宛先端末へ中継するための無線基地局における通信制御方法であって、
無線ＬＡＮ端末または有線ＬＡＮ端末からデータを受信する受信ステップと、
前記受信手段が無線ＬＡＮ端末から受信したデータを、予め設定された複数の鍵長に応じた暗号化鍵を用いて復号化する復号化ステップと、
前記復号化手段の復号化結果に基づき、前記無線ＬＡＮ端末に設定された暗号化鍵の鍵長を認識し、前記鍵長を発信元端末情報と対応付けて記憶手段に記憶させる鍵長認識ステップと、
有線ＬＡＮ端末から受信したデータまたは前記復号化手段が復号化したデータを、宛先の無線ＬＡＮ端末の暗号化鍵の鍵長に応じた暗号化鍵で暗号化する暗号化ステップと、
無線ＬＡＮ端末または有線ＬＡＮ端末へデータを送信する送信ステップと
を有することを特徴とする通信制御方法。
前記鍵長認識ステップは、無線ＬＡＮ端末から受信した電文本体に所定の符号化により算出したチェックサムを付加したデータを、予め設定された複数の鍵長に対する暗号化鍵で順次復号化し、復号化したデータの電文本体部分を前記所定の符号化を行うことによりチェックサムを算出し、前記復号化したデータのチェックサム部分とを比較し、内容が一致した場合に正しく復号化されたものと判定することを特徴とする請求項３記載の通信制御方法。
電文本体に所定の符号化により算出したチェックサムを付加し、予め設定された複数の鍵長に応じた暗号化鍵の中から、発信元端末が利用できる鍵長に応じた暗号化鍵を用いて暗号化したデータを宛先端末へ中継するための無線基地局における通信制御装置であって、
無線ＬＡＮ端末または有線ＬＡＮ端末からデータを受信する受信手段と、
前記受信手段が無線ＬＡＮ端末から受信したデータを、予め設定された複数の鍵長に応じた暗号化鍵を用いて復号化する復号化手段と、
前記復号化手段の復号化結果に基づき、前記無線ＬＡＮ端末に設定された暗号化鍵の鍵長を認識し、前記鍵長を発信元端末情報と対応付けて記憶手段に記憶させる鍵長認識手段と、
有線ＬＡＮ端末から受信したデータまたは前記復号化手段が復号化したデータを、宛先の無線ＬＡＮ端末の暗号化鍵の鍵長に応じた暗号化鍵で暗号化する暗号化手段と、
無線ＬＡＮ端末または有線ＬＡＮ端末へデータを送信する送信手段と
を有することを特徴とする通信制御装置。