JP2006140881A - 認証情報付きネットワーク識別子生成装置および機器認証装置 - Google Patents

Abstract

【課題】通信機器の追加・変更があっても、登録情報の変更が不要な認証装置を提供する。
【解決手段】通信機器のＭＡＣアドレスと共通鍵からハッシュ関数を用いて、認証情報を生成し、ＩＰｖ６アドレスの一部に書き込んで認証情報付きＩＰｖ６アドレスを生成する。通信機器は当該アドレスを使用する。機器認証装置は、機器情報取得手段（５０１）により、送信元機器に関する情報を抽出した後、認証情報抽出手段（５０４）により、認証情報を取得する一方、機器識別子抽出手段（５０２）によりＭＡＣアドレスを取得し、それと共通鍵保存手段（２０１）から取り出した共通鍵から、ハッシュ関数により対象認証情報を生成する。そして、認証情報と対照し、一致している場合は、正当なアクセス権限のある機器であると認証する。
【選択図】図２

Description

本発明はネットワークに接続された機器の認証システムに関するものである。

従来の機器認証装置、すなわちネットワークに接続された機器がネットワークにアクセスする正当なアクセス権限があることを認証する装置としては機器からネットワークに送出された情報から機器情報を取り出し、事前に登録された情報と比較することにより正規の機器から送出された情報であることを認証するものが知られている。

たとえば、特許文献１には、アクセスを許す通信端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスのリストをアクセスポイントに登録しておき、通信端末からアクセス要求があった場合、ＭＡＣアドレスが登録リストに含まれている場合のみ、アクセスを許可して、その後の処理を行うシステムが開示されている。
特開２００３−３１８９３９号公報

しかしながら、前記従来の構成では機器の情報（たとえばＭＡＣアドレス）を事前に認証システムに登録しておく必要があるため、機器の追加・削除が発生するたびに認証装置の情報を変更しなければならない、という課題を有していた。

本発明は、前記従来の課題を解決するもので、機器の追加・削除の際に認証装置の情報の変更が不要な認証装置を提供することを目的とする。

前記従来の課題を解決するために、本発明の認証情報生成装置は、ネットワーク上に接続された機器を識別するためのネットワーク識別子に、前記機器が正当なアクセス権限を持つ機器であることを示す認証情報を付加する認証情報付きネットワーク識別子生成装置であって、通信に伴い機器から送出される機器識別子と所定の共通鍵に基づいて認証情報を生成する認証情報生成手段と、前記認証情報を前記ネットワーク識別子の一部に書き込む認証情報書込手段を有することを特徴とする。

この構成により、共通鍵と機器識別子に基づき、認証情報付きのネットワーク識別子を生成することができ、機器の追加の場合は、当該機器の機器識別子に基づいて、認証情報付きネットワーク識別子を生成することができる。

また、本発明の認証装置は、ネットワーク上に送出された情報が正当なアクセス権限を持つ機器から送出されたことを認証する機器であって、ネットワークに接続された機器から送出された情報である機器情報を取得する機器情報取得手段と、前記機器情報に含まれる前記認証情報付きネットワーク識別子より認証情報を抽出する認証情報抽出手段と、前記機器情報より機器識別子を抽出する機器識別子抽出手段と共通鍵を保存する共通鍵記憶手段と、前記機器識別子と前記共通鍵に基づいて対照認証情報を生成する対照認証情報生成手段と前記認証情報と前記対照認証情報を比較検証する認証情報検証手段を有することを特徴とする。

この構成により、機器の追加・変更があった場合でも、認証装置が認証のために機器個別の情報は登録しないので、認証装置に登録される情報に追加・変更を加えることなく、認証を行うことができる。

本発明によれば、機器の追加・削除の際に認証装置が保持している情報の変更が不要な認証装置を提供することができる。

（実施の形態１）
以下、本発明の実施の形態について、図面を参照しながら説明する。図１は、本発明を実施した認証システムの一例を示す構成図である。図１において、１０１は認証情報付きネットワーク識別子生成装置１０２を内蔵しネットワークに接続される通信機器である。１０３は、通信機器１０１の認証を行なう機器認証装置である。１０４は、通信機器１０１と機器認証装置１０３の間の通信を中継する通信回線である。通信機器１０１はネットワーク識別子生成装置１０２により生成されたネットワーク識別子を用いて、機器認証装置１０３を経由して、他の通信機器や、ネットワーク１０５との通信を行う。

機器認証装置１０３は、通信機器１０１から送出されたネットワーク識別子等の情報を用いて、送出された情報が正当なアクセス権限を持つ機器から送出されたかどうかを認証する。

図２は認証情報付きネットワーク識別子生成装置１０２の構成図である。本実施の形態では、機器識別子、ネットワーク識別子としてそれぞれ機器の持つＭＡＣアドレスとＩＰｖ６アドレスを使用する。図２において、２０１は共通鍵を保存する共通鍵保存手段である。共通鍵は任意バイト数の情報である。２０２は認証情報生成手段であり、ＭＡＣアドレスと２０１により保存されている共有鍵を用いて認証情報を生成する。２０３は認証情報書込手段であり２０２により生成された認証情報をＩＰｖ６アドレスの一部に書き込む。なお、共通鍵保存手段２０１は、必須のものではなく、使用者が共通鍵を入力する構成としてもよい。

図３は、認証情報付きネットワーク識別子の詳細図である。図３に示すように、ＩＰｖ６アドレスは６４ビットのネットワークプレフィックスと６４ビットのインターフェイスＩＤで構成される。認証情報付きネットワーク識別子は前記ＩＰｖ６アドレスのインターフェイスＩＤ部の３２ビットを認証情報領域に割り当てた識別子である。

図４は、認証情報付きネットワーク識別子生成方法のフローチャートであり、ステップ４０１からステップ４０４で構成されている。

図５は、機器認証装置１０３の構成図である。図５において、５０１は通信機器１０１から送出された情報を取得する機器情報取得手段である。５０２は機器情報取得手段５０１により取得された情報からＭＡＣアドレスを抽出する機器識別子抽出手段である。５０３は認証に必要な情報を生成する対照認証情報生成手段であり、機器識別子抽出手段５０２により抽出されたＭＡＣアドレスと共有鍵記憶手段５０６により保存されている共有鍵を用いて対照認証情報を生成する。５０４は機器情報取得手段５０１により取得された情報に含まれる認証情報付きネットワーク識別子から認証情報を抽出する認証情報抽出手段である。５０５は対照認証情報生成手段５０３により生成された対照認証情報と認証情報抽出手段５０４により抽出された認証情報を比較することにより認証を行う認証情報検証手段である。

図６は、認証方法のフローチャートであり、ステップ６０１からステップ６０９までで構成されている。

以上のように構成されたネットワーク識別子生成装置および認証装置について、以下にその動作を説明する。まず、図４を用いて、ネットワーク識別子生成装置１０２が、ネットワーク識別子と機器識別子から、認証情報付きネットワーク識別子を生成する動作について説明する。まず、ステップ４０１で認証情報付きネットワーク識別子生成装置１０２は、通信機器１０１が持つＭＡＣアドレスを取得する。ステップ４０２で共通鍵保存手段２０１より共通鍵を取得する。共通鍵は、あらかじめ定められた任意のバイト数の情報であり、認証情報付きネットワーク識別子生成装置１０２と機器認証装置１０３で共通のものが用いられる。

次の、ステップ４０３で認証情報生成手段２０２は、前記ＭＡＣアドレスと前記共通鍵からハッシュアルゴリズムＳＨＡ−１を用いてハッシュ値を計算する。ＳＨＡ（Ｓｅｃｕｒｅ Ｈｕｓｈ Ａｌｇｏｒｉｔｈｍ ）−１は、１９９５年にアメリカ政府の標準ハッシュ関数として採用されたもので、詳細は、ＲＦＣ３１７４において詳細が公表されている。ＳＨＡ−１を含むハッシュ関数については、入力データの長さが異なっても、出力されるハッシュ値の長さは同じであり、入力データが少しでも異なれば、出力されるハッシュ値は異なる。

ハッシュ値から元のデータを算出することはできず（いわゆる一方向性）同じハッシュ値が出力される、異なる入力データを見つけるのは困難である。（いわゆる衝突防止性）という性質が知られている。

ＳＨＡ−１は、固定長１６０ビットのハッシュ値を生成するので、ハッシュ値の下位３２ビットを認証情報として用いる。ステップ４０４で認証情報書込手段２０３は、前記認証情報を通信機器のＩＰｖ６アドレスの認証情報部分に書き込む。この手順により認証情報付きＩＰｖ６アドレスが生成される。通信機器１０１は、この認証情報付きＩＰｖ６アドレスを自己のＩＰアドレスとして用いて、ネットワークを介して、他の通信機器と通信を行う。認証情報は、ＭＡＣアドレスと共通鍵から生成されたものであるが、上記のハッシュ関数の一方向性により、認証情報から共通鍵を復元することはできず、共通鍵を秘匿することができる。

次に、図６を用いて、機器認証装置１０３の動作について説明する。

まず、ステップ６０１で機器情報取得手段５０１はネットワーク経由で受信したパケットから機器情報を取得する。ここで、機器情報とは、ネットワークを流通するパケットに含まれる送信元の通信機器に関する情報をいう。ステップ６０２で機器識別子抽出手段５０２は前記機器情報からＭＡＣアドレスを抽出する。次のステップ６０３では、対照認証情報生成手段５０３は、共通鍵記憶手段５０６から共通鍵を取得する。ステップ６０４では対照認証情報生成手段５０３は前記ＭＡＣアドレスと前記共通鍵からハッシュアルゴリズムＳＨＡ−１を用いてハッシュ値を計算する。そして、ハッシュ値の下位３２ビットを対照認証情報として用いる。ステップ６０５で前記機器情報からＩＰｖ６アドレスを取り出す。ステップ６０６で認証情報抽出手段５０４は前記ＩＰｖ６アドレスから図４で示される３２ビットの認証情報を抽出する。ステップ６０７で認証情報検証手段５０５は前記対照認証情報と前記認証情報を比較する。認証情報が一致しなかった場合はステップ６０８に進み、一致した場合はフローチャートを終了する。共通鍵は、認証情報付きネットワーク識別子生成装置１０２と機器認証装置１０３で共通であり、また、正当なアクセス権限がある通信機器が機器情報の送信元になった場合は、対照認証情報と認証情報は一致し、そうでない場合は一致しないので、一致／不一致により、正当なアクセス権限があるかを判定することができる。なお、ハッシュ関数の衝突防止性により、共通鍵として異なる情報を用いた場合、認証情報が一致してしまう可能性はきわめて少ないと考えられるので、一致する場合は、正しい共通鍵により生成された認証情報を持つ、正当なアクセス権限を持つ機器であると判断することができる。よって、一致しない場合は、正当なアクセス権限がないと判断してステップ６０８に進みネットワークから取得した機器情報は破棄される。一方、一致する場合は、正当なアクセス権限があると判断して、ステップ６０９においてネットワークへのアクセスを許可する。この手順によりネットワークに送出された情報が正当なアクセス権限を持つ機器から送出されたかどうかを認証することができる。

以上説明したように、本実施の形態においては、ＩＰｖ６アドレスの一部に機器の認証に必要な認証情報を書き込むことで、認証装置において機器毎に情報を保存する必要がなくなり、機器の追加・削除が容易に行えるようになる。

なお、本実施の形態では、機器識別子としてＭＡＣアドレスを用いたが、機器を識別するために機器について一意的に付与される識別子であれば他のものでもよい。また、本実施の形態においては、ネットワーク識別子として、ＩＰｖ６アドレスを用いたが、ネットワークに接続される機器を識別するための識別子であり、認証情報を書き込むのに十分な長さがあれば、他のものでもよい。また、機器識別子としてＭＡＣアドレスの一部を、ネットワーク識別子としてＩＰアドレスの一部を用いる方法も考えられる。

また、本実施の形態では、ハッシュ関数として、ＳＨＡ−１を用いたが、他のハッシュ関数を用いてもよい。

また、本実施の形態では、複数の通信機器に対して、機器認証装置は１台のみの構成であるが、２台以上の機器認証装置が認証処理を分担して行う形態としてもよいし、１台の通信機器について１台の機器認証装置を設置する形態でもよい。さらに、機器認証装置は、ネットワーク１０５へのアクセスポイントの近くに設置するほか、通信機器の近傍または同じ筐体に設置してもよい。

（実施の形態２）
次に、本発明の実施の形態２について、図面を参照しながら説明する。図１から図５に示す構成は、実施の形態１と同様である。図７は、機器認証装置１０３における共通鍵記憶手段５０６の構成を示す説明図である。図７に示すように、共通鍵記憶手段５０６は、第１共通鍵と第２共通鍵という２種類の共通鍵を記憶している。第１共通鍵は、通信機器１０１のうち、ネットワーク１０５上の一般の資源だけではなく、特定の資源（サーバー等）へのアクセスを許す通信機器１０１に付与される共通鍵であり、このような特定の通信機器の共通鍵保存手段２０１にも記憶されている。一方、第２共通鍵は、通信機器１０１のうち、ネットワーク１０５上の一般の資源にのみアクセスを許す通信機器に付与される共通鍵であり、このような一般の通信機器の共通鍵保存手段２０１にも記憶されている。

上記の特定の通信機器も、一般の通信機器もそれらに付設された認証情報付きネットワーク識別子生成装置１０２は、図４のフローチャートに示す処理により、認証情報付きＩＰｖ６アドレスを生成する。ただし、特定の通信装置に付設された場合は、第１共通鍵を共通鍵として用い、一般の通信装置に付設された場合は、第２共通鍵を共通鍵として、用いることになる。図８は、認証の処理の流れを示すフローチャートであり、ステップ８０１からステップ８１１までで構成されている。

次に、図８を用いて、機器認証装置１０３が、通信機器１０１を認証する処理について説明する。ステップ８０１における機器情報の取得、ステップ８０２における機器情報からのＭＡＣアドレスの取得については、実施の形態１と同様（図６におけるステップ６０１およびステップ６０２と同様）である。次のステップ８０３においては、対照認証情報生成手段５０３は、共通鍵記憶手段５０６から、第１共通鍵および第２共通鍵を読み出す。そして、ステップ８０４では、対照認証情報生成手段５０３は、機器識別子抽出手段５０２により抽出された、機器識別子（ＭＡＣアドレス）と第１共通鍵に基づきハッシュ関数ＳＨＡ−１を用いて、第１対照認証情報を、機器識別子（ＭＡＣアドレス）と第２共通鍵に基づき、第２対照認証情報を生成する。次のステップ８０５およびステップ８０６における作業は、実施の形態１と同様（図６におけるステップ６０５およびステップ６０６と同様）である。次のステップ８０７以降は、本実施の形態に特有な処理である。まず、ステップ８０７においては、認証情報検証手段５０５は、認証情報抽出手段５０４が抽出した認証情報（通信機器１０１のＩＰｖ６アドレスに書き込まれた認証情報）と第１対照認証情報が一致しているかをチェックする。一致しておれば、認証対象となっている通信機器１０１は、第１共通鍵を付与されたものであると判断できるので、ステップ８０８に進み、当該通信機器を特定資源にもアクセスできる正当な機器として認証し、処理を終了する。一方、一致していないのならば、ステップ８０９に進む。ステップ８０９においては、認証情報検証手段５０５は、認証情報と第２対照認証情報が一致しているか否かのチェックを行う。一致しておれば、認証対象となっている通信機器１０１は、第２共通鍵を付与されていると判断できるので、ステップ８１０に進み、当該通信機器を通常資源にのみアクセスできる正当な機器として認証し、処理を終了する。ステップ８０９においても、一致しなければ、認証対象の通信機器は、第１共通鍵も第２共通鍵も付与されていない通信機器すなわち正当なアクセス権限をもたない通信機器であると判断できるので、ステップ８１１に進み、認証情報抽出手段５０４は、認証を行わずに機器情報を破棄し、処理を終了する。以上のように、本実施の形態においては、実施の形態１の効果に加え、特定資源にもアクセスできる通信機器か通常資源にのみアクセスできる通信機器かを、区分して認証することができる。なお本実施の形態においては、アクセス権限の区分は２種類であるが、３種類あるいはそれ以上であっても、共通鍵の種類をアクセス権限の区分数に増やすことにより、同様の考え方で処理できる。

本発明にかかる認証情報付きネットワーク識別子生成装置および機器認証装置は、容易に構成を変更でき、かつ正規機器の認証が可能なネットワークを構成する装置として有用である。

本発明の実施の形態１における認証システムの構成図 本発明の実施の形態１における認証情報付きネットワーク識別子生成装置の構成図 本発明の実施の形態１における認証情報付きネットワーク識別子の詳細図 本発明の実施の形態１における認証情報付きネットワーク識別子生成の処理を示すフローチャート 本発明の実施の形態１における機器認証装置の構成図 本発明の実施の形態１における機器認証の処理を示すフローチャート 本発明の実施の形態２における共通鍵保存手段の構成図 本発明の実施の形態２における機器認証の処理を示すフローチャート

符号の説明

１０１ 通信機器
１０２ 認証情報付きネットワーク識別子生成装置
１０３ 機器認証装置
１０４ 通信回線
１０５ ネットワーク
２０１ 共通鍵保存手段
２０２ 認証情報生成手段
２０３ 認証情報書込手段
５０１ 機器情報取得手段
５０２ 機器識別子抽出手段
５０３ 対照認証情報生成手段
５０４ 認証情報抽出手段
５０５ 認証情報検証手段
５０６ 共通鍵記憶手段

Claims (13)

1. ネットワーク上に接続された機器を識別するためのネットワーク識別子に、前記機器が正当なアクセス権限を持つ機器であることを示す認証情報を付加する認証情報付きネットワーク識別子生成装置であって、
   通信に伴い機器から送出される機器識別子と所定の共通鍵に基づいて、認証情報を生成する認証情報生成手段と、
   前記認証情報を前記ネットワーク識別子の一部に書き込む認証情報書込手段を有することを特徴とする認証情報付きネットワーク識別子生成装置。
2. ネットワーク上に送出された情報が正当なアクセス権限を持つ機器から送出されたことを認証する装置であって、
   ネットワークに接続された機器から送出された情報である機器情報を取得する機器情報取得手段と、
   前記機器情報に含まれる前記認証情報付きネットワーク識別子より認証情報を抽出する認証情報抽出手段と、
   前記機器情報より機器識別子を抽出する機器識別子抽出手段と、
   共通鍵を保存する共通鍵記憶手段と、
   前記機器識別子と前記共通鍵に基づいて、対照認証情報を生成する対照認証情報生成手段と、
   前記認証情報と前記対照認証情報を比較検証することにより前記機器を認証する認証情報検証手段を有することを特徴とする機器認証装置。
3. 機器識別子としてＭＡＣアドレスの全部または一部を使用することを特徴とする請求項１記載の認証情報付きネットワーク識別子生成装置。
4. ネットワーク識別子としてＩＰアドレスの全部または一部を使用することを特徴とする請求項１記載の認証情報付きネットワーク識別子生成装置。
5. 機器識別子としてＭＡＣアドレスの全部または一部を使用することを特徴とする請求項２記載の機器認証装置。
6. ネットワーク識別子としてＩＰアドレスの全部または一部を使用することを特徴とする請求項２記載の機器認証装置。
7. 前記認証情報生成装置は、前記機器識別子と前記共通鍵に基づいて、所定のハッシュ関数を用いて、前記認証情報を生成することを特徴とする請求項１、請求項３または請求項４に記載のネットワーク識別子生成装置。
8. 前記対照認証情報生成手段は、前記機器識別子と前記共通鍵に基づいて、所定のハッシュ関数を用いて、前記対象認証情報を生成することを特徴とする請求項２、請求項５または請求項６に記載の機器認証装置。
9. 前記共通鍵記憶手段は、ネットワーク上の資源へのアクセス権限の種類に対応する複数の共通鍵を記憶し、
   前記対照認証情報生成手段は、前記複数の共通鍵のそれぞれに対応した複数の対照認証情報を生成し、
   認証情報検証手段は、前記認証情報と前記複数の対照認証情報を比較検証することにより、前記端末の前記アクセス権限を認証することを特徴とする請求項２、請求項５、請求項６、請求項８のいずれか一項に記載の機器認証装置。
10. ネットワーク上に接続された機器を識別するためのネットワーク識別子に、前記機器が正当なアクセス権限を持つ機器であることを示す認証情報を付加する認証情報付きネットワーク識別子生成方法であって、
    通信に伴い機器から送出される機器識別子と所定の共通鍵に基づいて、認証情報を生成する認証情報生成ステップと、
    前記認証情報を前記ネットワーク識別子の一部に書き込む認証情報書込ステップを有することを特徴とする認証情報付きネットワーク識別子生成方法。
11. ネットワーク上に送出された情報が正当なアクセス権限を持つ機器から送出されたことを認証する方法であって、
    ネットワークに接続された機器から送出された情報である機器情報を取得する機器情報取得ステップと、
    前記機器情報に含まれる認証情報付きネットワーク識別子より認証情報を抽出する認証情報抽出ステップと、
    前記機器情報より機器識別子を抽出する機器識別子抽出ステップと、
    あらかじめ保存された共通鍵を取り出す共通鍵取り出しステップと、
    前記機器識別子と前記共通鍵に基づいて対照認証情報を生成する対照認証情報生成ステップと、
    認証情報と対照認証情報を比較検証する認証情報検証ステップを有することを特徴とする機器認証方法。
12. ネットワーク上に接続された機器を識別するためのネットワーク識別子に、前記機器が正当なアクセス権限を持つ機器であることを示す認証情報を付加する認証情報付きネットワーク識別子生成プログラムであって、
    通信に伴い機器から送出される機器識別子と所定の共通鍵に基づいて認証情報を生成する認証情報生成ステップと、
    前記認証情報を前記ネットワーク識別子の一部に書き込む認証情報書込ステップを有することを特徴とする認証情報付きネットワーク識別子生成プログラム。
13. ネットワーク上に送出された情報が正当なアクセス権限を持つ機器から送出されたことを認証するプログラムであって、
    ネットワークに接続された機器から送出された情報である機器情報を取得する機器情報取得ステップと、
    前記機器情報に含まれる前記認証情報付きネットワーク識別子より認証情報を抽出する認証情報抽出ステップと、
    前記機器情報より機器識別子を抽出する機器識別子抽出ステップと、
    あらかじめ保存された共通鍵を取り出す共通鍵取り出しステップと、
    前記機器識別子と前記共通鍵に基づいて対照認証情報を生成する対照認証情報生成ステップと、
    認証情報と対照認証情報を比較検証する認証情報検証ステップを有することを特徴とする機器認証プログラム。

Images