JP2007074297A - 無線通信ネットワークのセキュリティ設定方法、セキュリティ設定プログラム、無線通信ネットワークシステム及びクライアント装置 - Google Patents

Abstract

【課題】 無線通信により接続される機器のセキュリティ設定の自動化、無線通信により接続される機器のセキュリティレベルの高度化、セキュリティ設定を、他の接続先の通信に影響を与えることなく、実行可能にすることにある。
【解決手段】 １又は複数の接続先に対する、無線通信ネットワーク（無線ＬＡＮ装置２）のセキュリティ設定方法であって、１又は複数の接続先（クライアント装置ＣＬｍ）に対し、付与されている暗号情報を用いて現在の暗号情報とは異なる暗号情報が付与され、段階的に異なる暗号情報が付与される構成である。暗号情報が付与されていない１又は複数の接続先との接続が許可され、その接続先が接続対象である場合には暗号情報が付与される構成である。接続先に対し、識別情報を付与して該識別情報毎に仮想通信ネットワークを構成させ、識別情報が付与された接続先毎に暗号情報が付与される構成である。
【選択図】 図５

Description

本発明は、無線ＬＡＮ（Local Area Network）等の無線通信ネットワークにおけるセキュリティ設定の自動化に関し、特に、無線ＬＡＮで接続されるクライアント装置、アクセスポイント装置等の機器のセキュリティ設定を自動化した、無線通信ネットワークのセキュリティ設定方法、セキュリティ設定プログラム、無線通信ネットワークシステム及びクライアント装置に関する。

無線ＬＡＮは、電波によりデータを送受する方法であるから、壁等の障害物を越えてケーブルレスでアクセスできる。この無線ＬＡＮの通信方法には、アクセスポイントを中継して通信するモード、アクセスポイントを用いないで端末間で通信するモードがある。無線ＬＡＮは、有線ＬＡＮと異なり、電波が届けば外部からアクセスできる。そのため、無線ＬＡＮには例えば、クライアント装置とアクセスポイント装置との間に無線通信のセキュリティ設定が不可欠であり、このセキュリティ設定は、各装置を操作するオペレータが同一の暗号化キーを入力する等、手動操作による設定が一般的であり、その作業は煩わしいものである。

無線ＬＡＮにおけるセキュリティ設定に関し、アクセスポイントの設定情報に基づいてクライアント側の設定を自動的に行い、複雑な設定作業を不要化した構成（特許文献１）、アクセスポイントからＷＥＰ（Wired Equivalent Privacy) キーを端末（クライアント）に配信し、配信確認後、その端末のＭＡＣ（Media Access Control) アドレスを登録し、端末側では、配信されたＷＥＰキーを自己設定する構成（特許文献２）、クライアント側から公開キー、one-way Hashがアクセスポイントに送られ、アクセスポイントからone-way Hashが認証サーバに送られ、認証サーバが生成したＷＥＰキーはアクセスポイントで暗号化され、クライアントは暗号化ＷＥＰキーを受信し、それを秘密キーで解読することにより、ＷＥＰキーを得る構成（特許文献３）、無線ＬＡＮでアクセスポイントに接続されるクライアントの接続要求にゲストＩＤを伴う場合、そのゲストＩＤを用いたゲストＩＤ接続を許可する構成（特許文献４）、端末局からアクセスポイントに対して認証要求を送出し、アクセスポイントは認証サーバに対して認証サーバのプロトコルでＭＡＣアドレスを送出し、認証サーバはＭＡＣアドレス認証を実行した後、チャレンジテキストを送出し、アクセスポイントはＩＥＥＥ８０２．１１で定められたＷＥＰアルゴリズム処理に従って基地局と暗号化認証を行う構成（特許文献５）、認証サーバからネットワークを介して認証を受ける通信端末と、この通信端末が行う通信を仮想ＬＡＮを介して転送する基地局を備え、仮想ＬＡＮ毎に生成されたセキュリティ情報を認証サーバから取得する構成（特許文献６）、クライアントとアクセスポイントとの間で低レベルの暗号化方式による接続（無線通信）を確立した後、認証プロセスを必要とする高レベルな暗号化方式による接続を確立するために必要な認証データをクライアント端末に送信する構成（特許文献７）等がある。
特開２００４−１２７１８７号公報 特開２００４−２１５２３２号公報 特開２００４−１５７２５号公報 特開２００４−４０１５６号公報 特開２００１−１１１５４４号公報 特開２００４−３１２２５７号公報 特開２００４−７２６８２号公報

ところで、無線ＬＡＮに接続されるアクセスポイントから接続を許可するクライアントに対するセキュリティ設定は、煩雑な処理が必要であり、また、接続を許可する際に、特許文献７に開示された構成では、クライアントに低レベルのセキュリティ設定を必要としているし、また、セキュリティ設定無しで一段階セキュリティ設定方式を用いる場合には、セキュリティ設定情報が漏れるおそれがあり、セキュリティが損なわれる。

また、セキュリティ設定を変更する度にアクセスポイントを設定変更のために停止させる場合があるが、斯かる停止は、接続中の他のクライアントの通信に影響を及ぼし、不都合である。

このような課題について、特許文献１〜７には全く開示や示唆はなく、その解決手段についての記載や示唆もない。

そこで、本発明の第１の目的は、無線通信により接続される機器のセキュリティ設定の自動化を図ることにある。

また、本発明の第２の目的は、無線通信により接続される機器のセキュリティレベルを高めることにある。

また、本発明の第３の目的は、特定の接続先に対するセキュリティ設定を、他の接続先の通信に影響を与えることなく、実行可能にすることにある。

前記第１又は第２の目的を達成するため、本発明の第１の側面は、１又は複数の接続先に対する、無線通信ネットワークのセキュリティ設定方法であって、１又は複数の前記接続先に対し、付与されている暗号情報を用いて現在の暗号情報とは異なる暗号情報が付与され、段階的に異なる暗号情報が付与される処理を含む構成である。

斯かる処理により、現在の暗号情報を基礎として他の暗号情報に段階的に更新された暗号情報が付与される結果、多段セキュリティ設定を自動的に行うことができ、通信の安全性が高められる。

前記第１又は第２の目的を達成するためには、前記無線通信ネットワークのセキュリティ設定方法において、暗号情報が付与されていない１又は複数の前記接続先との接続が許可され、その接続先が接続対象である場合には暗号情報が付与される処理を含む構成としてもよい。

斯かる処理により、暗号情報が付与されていない接続先に対して接続を優先し、接続先が接続対象であるか否かを判別した後、暗号情報が付与される。暗号情報の付与前に、接続先として適正か否かの処理が前置されるので、暗号情報を付与する接続先が選択され、通信の安全性が確保される。

前記第３の目的を達成するためには、前記無線通信ネットワークのセキュリティ設定方法において、前記接続先に対し、識別情報を付与して該識別情報毎に仮想通信ネットワークを構成させ、前記識別情報が付与された前記接続先毎に前記暗号情報が付与される処理を含む構成としてもよい。

斯かる構成によれば、複数の仮想通信ネットワークを用いて同時処理が可能となり、セキュリティ設定の際に、他の接続先との通信等の運用を損なうことなく、セキュリティ設定が可能である。

前記第１又は第２の目的を達成するためには、前記無線通信ネットワークのセキュリティ設定方法において、暗号情報が付与された接続先から識別情報を取得し、接続対象である接続先を判別する処理を含む構成としてもよい。

斯かる構成によれば、接続先に付与されているＭＡＣアドレス等の識別情報を取得し、その取得情報から接続先であるか否かを判別するので、暗号情報の付与前のセキュリティが確保される。

前記第１又は第２の目的を達成するためには、前記無線通信ネットワークのセキュリティ設定方法において、前記段階的に異なる暗号情報は、セキュリティレベルが段階的に高い暗号情報である構成としてもよい。

斯かる構成において、セキュリティレベルを段階的に高く設定することにより、通信の安全性を高められるが、暗号情報は異なればよく、段階的に上げ、また、高く設定したセキュリティレベルを低くする構成であってもよい。

前記第１又は第２の目的を達成するため、本発明の第２の側面は、１又は複数の接続先と無線通信ネットワークを構成するコンピュータに実行させるセキュリティ設定プログラムであって、１又は複数の前記接続先に対し、付与されている暗号情報を用いて現在の暗号情報とは異なる暗号情報が付与され、段階的に異なる暗号情報が付与されるステップを含む構成である。斯かるセキュリティ設定プログラムによれば、既述のセキュリティ設定をコンピュータの処理によって自動化することができる。

前記第１又は第２の目的を達成するためには、前記セキュリティ設定プログラムにおいて、暗号情報が付与されていない１又は複数の前記接続先との接続が許可され、その接続先が接続対象である場合には暗号情報が付与されるステップを含む構成としてもよい。斯かるセキュリティ設定プログラムによれば、既述のセキュリティ設定をコンピュータの処理によって自動化することができる。

前記第３の目的を達成するため、本発明の第３の側面は、１又は複数の接続先に接続される無線通信装置を備える無線通信ネットワークシステムであって、前記無線通信装置が、接続先に付与した暗号情報を用いて現在の暗号情報とは異なる暗号情報を付与することにより、段階的に異なる暗号情報を接続先に付与する構成である。

斯かる構成により、現在の暗号情報を基礎として他の暗号情報に段階的に更新された暗号情報が付与される結果、無線通信装置に多段セキュリティ設定を自動的に行うことができ、通信の安全性が高められる。

前記第１又は第２の目的を達成するためには、前記無線通信ネットワークシステムにおいて、前記無線通信装置が、暗号情報が付与されていない１又は複数の前記接続先との接続が許可され、その接続先が接続対象である場合には暗号情報を前記接続先に付与する構成としてもよい。

斯かる構成によれば、暗号情報が付与されていない接続先に対して接続が優先し、接続先が接続対象であるか否かを判別した後、暗号情報が付与されるので、暗号情報の付与前に、接続先として適正か否かの処理が前置されるので、暗号情報を付与する接続先が選択され、通信の安全性が確保される。

前記第１〜第３の目的を達成するため、本発明の第４の側面は、サーバ装置又はアクセスポイント装置と無線通信ネットワークにより接続されるクライアント装置であって、
前記サーバ装置又は前記アクセスポイント装置から付与された暗号情報を用いて、現在の暗号情報とは異なる暗号情報を受け、段階的に異なる暗号情報が付与される構成である。

斯かる構成によれば、クライアント装置側のセキュリティ設定がサーバ装置やアクセスポイント装置からの指令により、段階的に設定されるので、クライアント装置側の手動設定の煩雑さが解消され、しかも、設定中の情報の漏れが防止される。

本発明によれば、次のような効果が得られる。

(1) 接続先のセキュリティ設定を自動化でき、設定の煩雑さが軽減される。

(2) セキュリティ設定中であっても、情報の漏洩が防止される。

(3) セキュリティ設定中に他の接続先の通信等の運用に影響を与えることなく、セキュリティ設定を行える。

〔第１の実施の形態〕

本発明の第１の実施の形態について、図１を参照して説明する。図１は、第１の実施の形態に係る無線ＬＡＮ装置の概要を示す図である。

無線通信ネットワーク又は無線通信ネットワークシステムとして、無線ＬＡＮ装置２には、無線通信装置として例えば、サーバ装置４、無線ＬＡＮアクセスポイント装置（以下単に「ＡＰ」と称する）６、接続先の無線通信装置として例えば、１台又は複数台の無線ＬＡＮクライアント装置（以下単に「クライアント」と称する）ＣＬｍ（但し、ｍはクライアント番号であり、ｍ＝１、２・・・ｎである。）として、クライアントＣＬ１、ＣＬ２・・・ＣＬｎが備えられている。この場合、サーバ装置４とＡＰ６とは有線ＬＡＮ８で接続され、ＡＰ６と各クライアントＣＬ１、ＣＬ２・・・ＣＬｎとは無線ＬＡＮ１０で接続されている。サーバ装置４は、有線ＬＡＮ８、無線ＬＡＮ１０上でファイルやプリンタ等の資源を共有するコンピュータであって、この場合、ＡＰ６との接続のため、有線通信機能を備える。ＡＰ６は、クライアントＣＬｍとの電波の中継基地を構成し、クライアントＣＬｍとの接続のため、無線通信機能を備えるとともに、サーバ装置４との接続のため、有線通信機能を備える。クライアントＣＬｍ（＝ＣＬ１、ＣＬ２・・・ＣＬｎ）は、サーバ装置４の共有資源を利用するコンピュータであって、ＡＰ６との無線ＬＡＮ１０による接続のため、無線通信機能を備える。この場合、無線ＬＡＮ１０には、構内通信網の他、各種の通信網が含まれることは言うまでもなく、複数のネットワークが含まれる。

サーバ装置４には、クライアントＣＬ１、ＣＬ２・・・ＣＬｎとの無線通信、データ授受等のサーバ機能が備えられているとともに、ＡＰ６を管理するための管理用ツール１２が格納されている。この場合、サーバ装置４のサーバ機能はＡＰ６側に割り当ててもよく、また、サーバ装置４とＡＰ６とが一体に構成されてもよい。

管理用ツール１２には、セキュリティ設定を自動的に行えるセキュリティ設定ソフトウェア２０が含まれており、ＡＰ６の接続先であるクライアントを識別する識別情報として、既述のクライアントＣＬ１、ＣＬ２・・・ＣＬｎを識別するｎ個のＭＡＣ（Media Access Control) 情報の他、セキュリティ情報としてクライアントＣＬ１、ＣＬ２・・・ＣＬｎに設定されるセキュリティレベル（ＳＬ＝０，１，２，・・・）、セキュリティ設定値群（ｎ個）等が格納されている。これらの情報はサーバ装置４のテーブルに格納されている。

これらセキュリティレベルをＳＬ＝０（セキュリティ無し）、ＳＬ＝１、ＳＬ＝２とした場合、具体的なセキュリティ設定を例示すれば次の通りである。ここで、セキュリティレベルの高さは、その数値に応じて段階的に高くなるという意である。
ＳＬ＝０： ＮｏＷＥＰ（セキュリティ無し）
ＳＬ＝１： ＷＥＰ４８〔bit 〕
ＳＬ＝２： ＷＥＰ６４〔bit 〕，ＷＥＰ１２８〔bit 〕，
ＩＥＥＥ８０２．１Ｘ，ＷＰＡ−ＰＳＫ，ＷＰＡ・・・

これらＳＬ＝０、１、２において、ＷＥＰ（Wired Equivalent Privacy) は、標準の暗号化方式であり、ＩＥＥＥ（Institute of Electrical and Electronic Engineers）８０２．１Ｘは、米国電気電子技術者協会が定めたＬＡＮ内のユーザ認証規格であり、ＷＰＡ−ＰＳＫ（WiFi Protected Access Pre-shared key）、ＷＰＡ（WiFi Protected Access ）は、セキュリティを強化した暗号化機能である。

前記の例示では、ＳＬ＝２に複数種のセキュリティを示しているが、いずれかを選択してそれをＳＬ＝２に設定してもよく、新たにＳＬ＝３、４・・・を設定してもよい。

また、クライアントＣＬ１、ＣＬ２・・・ＣＬｎには、それぞれを特定するための識別情報として、既述のＭＡＣ情報（ＭＡＣアドレス）が個別に設定されているとともに、既述の管理用ツール１２のセキュリティ設定ソフトウェア１２０と連係し、セキュリティ設定を自動的に行えるセキュリティ設定ソフトウェア８０６（図４）が格納されている。

次に、サーバ装置４の構成例について、図２を参照して説明する。図２は、サーバ装置４の構成例を示すブロック図である。図２において、図１と同一部分には同一符号を付してある。

サーバ装置４には、ＣＰＵ（Central Processing Unit ）４００、記憶部４０２、有線通信部４０４等が設置されている。記憶部４０２は、ＲＯＭ（Read-Only Memory）、ＦｌａｓｈＲＯＭ、ＲＡＭ（Random-Access Memory）で構成され、この記憶部４０２には既述の管理用ツール１２が格納され、管理用ツール１２にはセキュリティ設定ソフトウェア１２０、その他のソフトウェアが格納されている。

有線通信部４０４は、ＡＰ６との有線通信を行う構成部分であって、この有線通信部４０４には、ＬＡＮ物理層部（ＬＡＮ ＰＨＹ）４１０、ＭＡＣ（Media Access Control) 制御部４１２、ＬＡＮコネクタ４１４、所定のケーブル等が備えられている。ＣＰＵ４００とＡＰ６とのデータの授受は、ＬＡＮ物理層部４１０で物理アドレスが設定されるとともに、有線ＬＡＮ８内ではＭＡＣ制御部４１２によるＭＡＣアドレスが設定される。ＬＡＮコネクタ４１４には所定規格のコネクタ例えば、ＲＪ−４５が用いられる。

次に、ＡＰ６の構成例について、図３を参照して説明する。図３は、ＡＰ６の構成例を示すブロック図である。図３において、図１と同一部分には同一符号を付してある。

ＡＰ６には、ＣＰＵ６００、記憶部６０２、有線通信部６０４、無線通信部６０６、電源部６０８等が設置されている。記憶部６０２は、ＦｌａｓｈＲＯＭ６１０、ＲＡＭ６１２で構成され、ＦｌａｓｈＲＯＭ６１０には制御プログラム等が格納されている。

有線通信部６０４は、サーバ装置４との有線通信を行う構成部分であって、この有線通信部６０４には、サーバ装置４に対応する構成として、ＬＡＮ物理層部（ＬＡＮ ＰＨＹ）６１４、ＭＡＣ制御部６１６、ＬＡＮコネクタ６１８、所定のケーブル等が備えられている。ＣＰＵ６００とサーバ装置４とのデータ授受は、ＬＡＮ物理層部６１４で物理アドレスが設定されるとともに、有線ＬＡＮ８内ではＭＡＣ制御部６１６によるＭＡＣアドレスが設定される。ＬＡＮコネクタ６１８には所定規格のコネクタ例えば、ＲＪ−４５が用いられる。

無線通信部６０６は、クライアントＣＬ１、ＣＬ２・・・ＣＬｎとの無線通信を行う構成部分であって、この無線通信部６０６には、通信制御部としてベースバンドプロセッサ（Baseband Processor）６２０、無線部（ＲＦ）として送受信部（Transceiver ）６２２、電力増幅部（Power Amp ）６２４、アンテナ６２６が備えられている。この無線通信部６０６では、ベースバンドプロセッサ６２０を通して出力されるデータが送受信部６２２を通して変調され、電力増幅部６２４で電力増幅された後、アンテナ６２６から電磁波としてクライアントＣＬ１、ＣＬ２・・・ＣＬｎに対して送信される。クライアントＣＬ１、ＣＬ２・・・ＣＬｎからの電磁波は、アンテナ６２６で受信され、送受信部６２２で復調された後、ベースバンドプロセッサ６２０で復号されてＣＰＵ６００に取り込まれる。

また、電源部６０８には安定化出力が得られ、この安定化出力は、ＣＰＵ６００等の各種の構成回路に給電されている。

次に、クライアントＣＬｍ（＝ＣＬ１、ＣＬ２・・・ＣＬｎ）の構成例について、図４を参照して説明する。図４は、クライアントＣＬｍの構成例を示すブロック図である。図４において、図１と同一部分には同一符号を付してある。

クライアントＣＬｍには、データ処理部としてＣＰＵ８００、記憶部８０２、無線通信部８０４等が設置されている。記憶部８０２には、ＲＯＭ、ＦｌａｓｈＲＯＭ、ＲＡＭ等で構成され、ＡＰ６の管理用ツール１２のセキュリティ設定ソフトウェア１２０に対応する既述のセキュリティ設定ソフトウェア８０６、その他のソフトウェアが格納されている。

無線通信部８０４は、ＡＰ６との無線通信を行う構成部分であって、この無線通信部８０４には、通信制御部としてベースバンドプロセッサ８０８、無線部（ＲＦ）として送受信部８１０、電力増幅部８１２及びアンテナ８１４が備えられ、ベースバンドプロセッサ８０８を通して出力されるデータは、送受信部８１０を通して変調され、電力増幅部８１２で電力増幅された後、アンテナ８１４から電磁波によりＡＰ６に送信される。ＡＰ６からの電磁波は、アンテナ８１４で受信され、送受信部８１０で復調された後、ベースバンドプロセッサ８０８で復号されてＣＰＵ８００に取り込まれる。

次に、セキュリティの自動設定について、図５を参照して説明する。図５は、クライアント、ＡＰ及びサーバ装置の処理シーケンスを示す図である。図５において、図１と同一部分には同一符号を付してある。なお、この場合の処理は、複数ＳＳＩＤ｛マルチＳＳＩＤ（SSID: Service Set Identifier）｝及びＶＬＡＮ（Virtual ＬＡＮ）が存在していない場合である。ここで、ＳＳＩＤは、ネットワークを識別するために付ける識別子であり、ＶＬＡＮは、物理的なネットワーク構成に制限されることなく、任意にネットワークを分割する機能である。

このセキュリティの自動設定では、サーバ装置４からＡＰ６に対し、セキュリティレベルＳＬ＝０の初期設定が指示され（ステップＳ１）、この初期設定（ＳＬ＝０）に基づき、クライアントＣＬｍ（＝ＣＬ１、ＣＬ２・・・ＣＬｎ）からその識別情報としてクライアントＩＤ情報がＡＰ６を通してサーバ装置４に取り込まれる（ステップＳ２）。このクライアントＩＤ情報は、クライアントＣＬｍを表す既述のＭＡＣ情報等である。サーバ装置４では、通知されたクライアントＩＤ情報により、クライアントＩＤを確認し（ステップＳ３）、サーバ装置４のリストに登録されたクライアントであるか否かを判別する。クライアントＩＤを発したクライアントＣＬｍがサーバ装置４の登録クライアントであれば接続が許可され、そのクライアントＣＬｍに対し、ＡＰ６を通して接続承認を与えるとともに、暗号情報（暗号値群）であるＷＥＰ（４８）キーを送付する（ステップＳ４）。破線枠で囲まれたステップＳ２〜ステップＳ４の処理は、クライアントＣＬ１、ＣＬ２・・・ＣＬｎの全てについて実行され、その処理はクライアント数ｎだけ繰り返される。

クライアントＣＬｍでは、送付されたＷＥＰ（４８）キーでセキュリティ設定が実施される（ステップＳ５）。このセキュリティ設定は、ＷＥＰ（４８）キーの送付を受けた全クライアントで実施される。

次に、サーバ装置４からＡＰ６に対し、セキュリティレベルＳＬ＝１の設定が指示される。この場合、ＷＥＰ（４８）設定が指示され（ステップＳ６）、このセキュリティ設定（ＳＬ＝１）に基づき、クライアントＣＬｍからその識別情報としてクライアントＩＤ情報がＡＰ６を通してサーバ装置４に取り込まれる（ステップＳ７）。このクライアントＩＤ情報は既述のＭＡＣ情報等である。サーバ装置４では、通知されたクライアントＩＤ情報により、再びクライアントＩＤを確認し（ステップＳ８）、サーバ装置４のリストに登録されたクライアントであるか否かを判別する。クライアントＩＤを発したクライアントＣＬｍがサーバ装置４の登録クライアントであれば継続した接続が許可され、そのクライアントＣＬｍに対し、ＡＰ６を通して接続承認を与えるとともに、暗号情報（暗号値群）として各クライアントＣＬｍの証明書等を送付する（ステップＳ９）。破線枠で囲まれたステップＳ７〜Ｓ９の処理は、全てのクライアントＣＬｍについて実行され、その処理はクライアント数ｎだけ繰り返される。

クライアントＣＬｍでは、サーバ装置４から送付された証明書でセキュリティ設定が実施される（ステップＳ１０）。このセキュリティ設定は、サーバ装置４から証明書の送付を受けた全クライアントで実施される。

次に、サーバ装置４からＡＰ６に対し、セキュリティレベルＳＬ＝２の設定が指示される。この場合、ＩＥＥＥ８０２．１Ｘ設定が指示され（ステップＳ１１）、このセキュリティ設定（ＳＬ＝２）に基づき、通常のＩＥＥＥ８０２．１Ｘ認証の処理が全てのクライアントＣＬｍについて実施される（ステップＳ１２）。

このようなクライアント認証、段階的なセキュリティ設定としてＳＬ＝０、ＳＬ＝１、ＳＬ＝２を経てセキュリティ設定が完了し、セキュリティ設定を実施したクライアントＣＬｍは、通常の運用（通信）が可能となる（ステップＳ１３）。

斯かる構成によれば、サーバ装置４からＡＰ６を通して全クライアントＣＬｍ（＝ＣＬ１、ＣＬ２・・・ＣＬｎ）に対するセキュリティ設定を自動化でき、しかも、多段セキュリティレベルを通過してレベル設定が行われるので、セキュリティ設定の途中で暗号値群が第三者に盗用されることがなく、通信の安全性が図られる。

次に、管理用ツール１２におけるセキュリティ設定ソフトウェア１２０の処理内容について、図６を参照して説明する。図６は、セキュリティ設定方法及びセキュリティ設定プログラムを示すフローチャートである。図６に示すフローチャートにおいて、ｍはクライアント番号、ｎはクライアント台数、ＳＬはセキュリティレベルであって、ＳＬ＝０：ＮｏＷＥＰ、ＳＬ＝１：ＷＥＰ（４８〔bit 〕）、ＳＬ＝２：ＩＥＥＥ８０２．１Ｘである。

このセキュリティ設定ソフトウェア１２０を動作させると、ＡＰ６のセキュリティ設定がＳＬ＝０（：ＮｏＷＥＰ）に設定され（ステップＳ２１）、クライアント番号ｍについて、ｍ＝１が選択され（ステップＳ２２）、即ち、クライアントＣＬｍ（＝ＣＬ１）が接続不許可のクライアントか否かの判定が行われる（ステップＳ２３）。この判定処理は、サーバ装置４にＭＡＣアドレスが登録されたクライアントであるか否かを判別し、接続許可又は接続不許可のいずれかが選択される。

接続不許可の場合には、ステップＳ３２に移行し、また、接続許可の場合には、クライアントＣＬｍがＡＰ６への接続を試みる（ステップＳ２４）。クライアントＣＬｍのＭＡＣアドレスがサーバ装置４の接続許可登録済のリスト中にあるか否かの判定が行われ（ステップＳ２５）、そのリスト中にクライアントＣＬｍが登録されている場合には、クライアントＣＬｍの接続が成功したか否かの判定が行われる（ステップＳ２６）。

ここで、ステップＳ２５でリスト中にクライアントＣＬｍが存在していない場合には、クライアントＣＬｍは接続不許可となり（ステップＳ２７）、ステップＳ３２に移行し、また、ステップＳ２６でクライアントＣＬｍの接続が不成功に帰した場合には、同様に、接続不許可となり（ステップＳ２８）、ステップＳ３２に移行することになる。

クライアントＣＬｍの接続が成功した場合には、セキュリティレベル（ＳＬ）の判定が行われる（ステップＳ２９）。ＳＬ＝０の場合には、ＳＬ＝１にレベル遷移させる処理としてクライアントＣＬｍに対し、暗号情報としてＷＥＰ（４８）キーが送付され（ステップＳ３０）、クライアントＣＬｍの接続切断の後、ＷＥＰ（４８）設定が実施される（ステップＳ３１）。

これらの処理を全てのクライアントＣＬｍに実施するために、このＷＥＰ（４８）設定の後、クライアント番号ｍがｍ＝ｎであるか否かが判定される（ステップＳ３２）。ｍ≠ｎの場合には、全てのクライアントＣＬｍにこれらの処理を実施していないことから、現在実施したクライアント番号ｍについて、インクリメント（＝ｍ＋１）を実行し（ステップＳ３３）、ステップＳ２３に戻り、ステップＳ２３〜Ｓ３２の処理を行う。

クライアント番号ｍの判定（ステップＳ３２）において、ｍ＝ｎに到達した場合には、クライアントＣＬｎの設定即ち、ＷＥＰ（４８）設定が完了したことが判明する。そこで、セキュリティレベルＳＬをインクリメント（＝ＳＬ＋１）し（ステップＳ３４）、ＡＰ６のセキュリティ設定をＳＬ（例えば、ＳＬ＝１）の設定に変更し（ステップＳ３５）、ステップＳ２２に戻る。

クライアント番号ｍについて、ｍ＝１の選択（ステップＳ２２）、即ち、クライアントＣＬｍ（＝ＣＬ１）が接続不許可のクライアントか否かの判定（ステップＳ２３）、接続不許可の場合には、ステップＳ３２に移行し、また、接続許可の場合には、クライアントＣＬｍがＡＰ６への接続の試行（ステップＳ２４）、クライアントＣＬｍのＭＡＣアドレスがサーバ装置４の接続許可登録済のリスト中にあるか否かの判定（ステップＳ２５）、そのリスト中にクライアントＣＬｍが登録されている場合には、クライアントＣＬｍの接続が成功したか否かの判定（ステップＳ２６）が行われる。

クライアントＣＬｍの接続が成功した場合には、セキュリティレベル（ＳＬ）の判定（ステップＳ２９）を経る。ＳＬ＝１の場合には、ＳＬ＝２にレベル遷移させる処理としてクライアントＣＬｍに対し、暗号情報としてＩＥＥＥ８０２．１Ｘの設定値（証明書等）が送付され（ステップＳ３６）、クライアントＣＬｍの接続切断の後、ＩＥＥＥ８０２．１Ｘの設定が実施される（ステップＳ３７）。

これらの処理を経て、クライアント番号ｍの判定（ステップＳ３２）、クライアント番号ｍのインクリメント（＝ｍ＋１）（ステップＳ３３）の処理の後、全てのクライアントＣＬｍに暗号情報としてＩＥＥＥ８０２．１Ｘの設定が行われる。

そして、ｍ＝ｎに到達した場合には、セキュリティレベルＳＬをインクリメント（＝ＳＬ＋１）し（ステップＳ３４）、ＡＰ６のセキュリティ設定をＳＬ（例えば、ＳＬ＝２）の設定に変更し（ステップＳ３５）、ステップＳ２２に戻る。

ステップＳ２２〜Ｓ２９の処理を経て、ＳＬ＝２の場合には、クライアントＣＬｍについて、最終接続許可による通常運用が可能となり（ステップＳ３８）、クライアント番号ｍの判定（ステップＳ３９）、クライアント番号ｍのインクリメント（＝ｍ＋１）（ステップＳ４０）を経て、全てのクライアントＣＬｍが最終接続許可による通常運用が可能となったことにより、全ての処理を完了する。

斯かる処理により、セキュリティ設定の自動化が図られるとともに、異なる多段のセキュリティレベルＳＬが段階的に設定されて最終レベルに到達させるため、設定途上での暗号値群が第三者に盗用される危険性が低くなる。

次に、セキュリティの自動設定動作について、図７を参照して説明する。図７は、セキュリティの自動設定動作を示す図である。図７において、図１と同一部分には同一符号を付してある。図７において、クライアントＣＬｍ（但し、ｍ＝１、２・・・ｎ）は、ＡＰ６に接続が許可されるｎ台のクライアントＣＬ１、ＣＬ２・・・ＣＬｎを表している。この自動設定動作は、複数ＳＳＩＤ及びＶＬＡＮがない場合であり、ＳＳＩＤ０はそれを示している。

このセキュリティの自動設定では、既述した通り（図５、図６）、最初、接続先の全てのクライアントＣＬｍについて、セキュリティ無し（ＮｏＷＥＰ）でＡＰ６の接続が許可される。管理用ツール１２を備えるサーバ装置４では、ＡＰ６に接続されたクライアントＣＬｍのＩＤ情報（ＭＡＣアドレス等）を確認し、接続を許可するクライアントであるか否かを確認した後、接続許可を与えるクライアントＣＬｍに対して暗号値群を送付する。この場合、ＷＥＰキー情報（ＷＥＰ４８）がクライアントＣＬｍに送付される。送付された暗号値群を使用し、ＡＰ６及びクライアントＣＬｍに新たなセキュリティ設定が行われ、互いに通信ができるように設定される。この場合、認証用キー等、レベルの高いセキュリティ設定情報を暗号化されない状態（セキュリティ無し）で送付することは危険であることから、セキュリティの低い状態からセキュリティレベルを段階的に上昇させる。

そこで、セキュリティ設定無し（ＮｏＷＥＰ）の状態で接続許可が与えられたクライアントＣＬｍに対し、例えば、ＷＥＰ４８〔ｂｉｔ〕のＷＥＰキー情報が送付される。ＷＥＰキー情報（ＷＥＰ４８）が送付されたクライアントＣＬｍでは、そのＷＥＰキー情報でＷＥＰ４８〔ｂｉｔ〕のセキュリティ設定が実施され、同様に、ＡＰ６側もＷＥＰ４８〔ｂｉｔ〕のセキュリティ設定により通信ができるようにする。

この場合、ＷＥＰ４８〔ｂｉｔ〕で通信可能状態に設定されたクライアントＣＬｍには、直ぐに、ＡＰ６から次の暗号値群として例えば、ＷＥＰ６４〔ｂｉｔ〕のＷＥＰキー情報が送付され、ＷＥＰキー情報（ＷＥＰ６４）が送付されたクライアントＣＬｍは、ＷＥＰ６４〔ｂｉｔ〕を用いてセキュリティ設定が実施され、同様に、ＡＰ６側もＷＥＰ６４〔ｂｉｔ〕のセキュリティ設定により通信ができるようにすればよい。

このようにして、段階的にセキュリティレベルを上昇させ、そのセキュリティレベルは、クライアントＣＬｍが持つ最高のセキュリティレベルまで引き上げられる。最終的には、最高レベルのセキュリティレベルで接続できたクライアントＣＬｍのみが残り、目的の通信が可能となる。この場合、セキュリティレベルの上限は例えば、ＡＰ６が持つ最高セキュリティレベルである。

そこで、図７の（Ａ）に示すように、セキュリティ設定無し（ＮｏＷＥＰ）の状態で接続許可が与えられたクライアントＣＬｍからＭＡＣ情報がＡＰ６を通してサーバ装置４に通知され、クライアントＣＬｍがサーバ装置４の接続許可登録済のリスト中の端末であるか否かが確認される。

接続許可されたクライアントＣＬｍであれば、図７の（Ｂ）に示すように、サーバ装置４からＡＰ６を通してクライアントＣＬｍにＷＥＰキー情報が付与される。このＷＥＰキー情報は、クライアントＣＬｍのセキュリティ設定ソフトウェア８０６（図４）で受け、セキュリティ設定がＷＥＰ４８〔ｂｉｔ〕に変更される。

図７の（Ａ）及び（Ｂ）の処理は、全てのクライアントＣＬ１、ＣＬ２・・・ＣＬｎに対して実行され、ＷＥＰ設定で通信を可能にし、同様に、ＡＰ６もＷＥＰ設定が実行される。

ＷＥＰ４８〔ｂｉｔ〕で接続されたクライアントＣＬｍについて、図７の（Ｃ）に示すように、接続されたクライアントＣＬｍからＭＡＣ情報がＡＰ６を通してサーバ装置４に取り込まれ、接続許可の対象であるか否かの再度の確認が行われる。

この場合、接続許可されたクライアントＣＬｍであれば、図７の（Ｄ）に示すように、サーバ装置４からＡＰ６を通してクライアントＣＬｍに対し、ＩＥＥＥ８０２．１Ｘ用の設定情報（証明書等）が付与され、クライアントＣＬｍでは、セキュリティ設定ソフトウェア８０６（図４）でＩＥＥＥ８０２．１Ｘ設定情報を受け、セキュリティ設定がＩＥＥＥ８０２．１Ｘに変更される。

これらＷＥＰ４８〔ｂｉｔ〕からＩＥＥＥ８０２．１Ｘにセキュリティレベルを変更する設定処理は、接続対象である全てのクライアントＣＬｍで実行され、全てのクライアントＣＬｍがＩＥＥＥ８０２．１Ｘ設定で通信できるようにし、ＡＰ６もＩＥＥＥ８０２．１Ｘ設定に変更される。

なお、図示しないが、接続許可されたクライアントＣＬｍであれば、サーバ装置４からＡＰ６を通してクライアントＣＬｍにＷＥＰキー情報としてＷＥＰ６４〔ｂｉｔ〕が付与され、セキュリティ設定がＷＥＰ６４〔ｂｉｔ〕に変更され、ＷＥＰ６４〔ｂｉｔ〕で接続されたクライアントＣＬｍについて、接続されたクライアントＣＬｍからＭＡＣ情報をＡＰ６を通してサーバ装置４に取り込み、接続許可の対象であるか否かの再度の確認を行うようにしてもよい。

そして、図７の（Ｅ）に示すように、全てのクライアントＣＬｍがＩＥＥＥ８０２．１Ｘ設定による最終のセキュリティレベルで接続が完了し、各クライアントＣＬｍとサーバ装置４とがＡＰ６を通して無線ＬＡＮ１０により正規通信が可能になる。

既述したセキュリティの自動設定について、セキュリティレベル（ＳＬ）は例えば、図８に示すように、段階的に上昇させることができる。セキュリティレベルの内容は任意であり、例３に示すように、例１のＳＬ＝２、３、例２のＳＬ＝１、３を省略し、ＳＬ＝２でＷＰＡを設定してもよく、レベル数は任意である。

このように、クライアントＣＬｍのセキュリティをＡＰ６側から自動的に設定することができ、しかも、多段セキュリティレベル（ＳＬ）を経由して最終的なレベル設定に移行させるという段階的な処理を経るため、設定途中で暗号値群が第三者に盗用される危険性が低くなり、通信の安全性が高められる。

〔第２の実施の形態〕

本発明の第２の実施の形態について、図９を参照して説明する。図９は、第２の実施の形態に係る無線ＬＡＮ装置の概要を示す図である。図９において、図１と同一部分には同一符号を付してある。

この第２の実施の形態に係る無線ＬＡＮ装置２は、１つのＡＰ６を用いて、複数ＳＳＩＤ（Service Set Identifier）／ＶＬＡＮ（Virtual ＬＡＮ）設定がされ、それぞれのＳＳＩＤ毎に別のセキュリティ設定がされる構成である。即ち、ＡＰ６は１つの無線インターフェイス、即ち、ベースバンドプロセッサ６２０、送受信部６２２及び電力増幅部６２４（図３）に複数のＳＳＩＤを設定でき、且つ設定されたＳＳＩＤに別々のＶＬＡＮ設定ができ、別のセキュリティ設定が可能である。ＳＳＩＤは、ネットワーク又はクライアントＣＬ１、ＣＬ２・・・ＣＬｎを識別するために付ける識別子（ＩＤ）であり、英数文字で設定され、ＡＰ６と接続先であるクライアントＣＬｍに同一のＳＳＩＤが設定されることにより通信が可能となる。この場合、ＡＰ６には、クライアントＣＬ１、ＣＬ２・・・ＣＬｎに対応するＬＡＮポートが備えられ、ＬＡＮポートを通してクライアントＣＬ１、ＣＬ２・・・ＣＬｎからアクセスされる。また、ＶＬＡＮは仮想通信ネットワークであって、物理的なネットワーク構成に制限されることなく、任意にネットワークを分割する機能であり、具体的には、ＶＬＡＮ対応のスイッチ等を用いてクライアントＣＬｍを複数に論理的に分割する機能を備える。

そこで、サーバ装置４とＡＰ６との間にＶＬＡＮスイッチ５が設置されて、ＡＰ６には複数ＳＳＩＤ／ＶＬＡＮ設定がされ、それぞれのＳＳＩＤ毎に異なるセキュリティ設定ができる。ＶＬＡＮスイッチ５は、ＶＬＡＮ対応のスイッチングハブであり、クライアントＣＬｍを複数のグループに論理的に分割する機能を持っている。そこで、クライアントＣＬｍとＡＰ６には同一のＳＳＩＤが設定される。また、クライアントＣＬｍには、既述の通り、サーバ装置４の管理用ツール１２のセキュリティ設定ソフトウェア１２０と連携されるセキュリティ設定ソフトウェア８０６（図４）が格納されている。この場合、サーバ装置４とＡＰ６との間には、ＶＬＡＮスイッチ５を介して有線ＬＡＮ８が構成されており、ＶＬＡＮ１、ＶＬＡＮ２、ＶＬＡＮ３は切換えで設定される個別の有線ＬＡＮを表している。

斯かる構成によれば、１つのＡＰ６で複数ＳＳＩＤ／ＶＬＡＮ設定ができ、このような設定ではＡＰ６の通信運用が損なわれることがなく、各ＳＳＩＤの設定毎にセキュリティの自動設定が可能である。

この実施の形態に係る無線ＬＡＮ装置２（図９）において、サーバ装置４には図２に示すサーバ装置４と同一構成のものを使用でき、ＡＰ６には図３に示すＡＰ６と同一構成のものを使用でき、また、クライアントＣＬｍには図４に示すクライアントＣＬｍと同一構成のものを使用できるので、これら構成例の説明は省略する。

次に、セキュリティの自動設定について、図１０を参照して説明する。図１０は、セキュリティの自動設定の処理シーケンスを示す図である。図１０において、図９と同一部分には同一符号を付してある。

この場合、複数ＳＳＩＤ及びＶＬＡＮが存在するので、このセキュリティの自動設定では、サーバ装置４からＡＰ６に対し、セキュリティレベルの初期設定として、ＳＳＩＤ０／ＶＬＡＮ０：ＳＬ＝０、ＳＳＩＤ１／ＶＬＡＮ１：ＳＬ＝１、ＳＳＩＤ２／ＶＬＡＮ２：ＳＬ＝２が指示され（ステップＳ４１）、この初期設定に基づき、クライアントＣＬｍからその識別情報としてクライアントＩＤ情報（ＳＳＩＤ０／ＶＬＡＮ０）がＡＰ６を通してサーバ装置４に取り込まれる（ステップＳ４２）。このクライアントＩＤ情報は、クライアントＣＬｍを表す既述のＭＡＣ情報等である。サーバ装置４では、通知されたクライアントＩＤ情報により、クライアントＩＤを確認し（ステップＳ４３）、サーバ装置４のリストに登録されたクライアントであるか否かを判別する。クライアントＩＤを発したクライアントＣＬｍがサーバ装置４の登録クライアントであれば接続が許可され、そのクライアントＣＬｍに対し、ＡＰ６を通して接続承認を与えるとともに、暗号情報（暗号値群）であるＷＥＰ（４８）キーを送付する（ステップＳ４４）。

クライアントＣＬｍでは、送付されたＷＥＰ（４８）キーでセキュリティ設定が実施される（ステップＳ４５）。次に、クライアントＣＬｍからその識別情報としてクライアントＩＤ情報（ＳＳＩＤ１／ＶＬＡＮ１）がＡＰ６を通してサーバ装置４に取り込まれる（ステップＳ４６）。サーバ装置４では、通知されたクライアントＩＤ情報により、再びクライアントＩＤを確認し（ステップＳ４７）、サーバ装置４のリストに登録されたクライアントであるか否かを判別する。クライアントＩＤを発したクライアントＣＬｍがサーバ装置４の登録クライアントであれば継続した接続が許可され、そのクライアントＣＬｍに対し、ＡＰ６を通して接続承認を与えるとともに、暗号情報（暗号値群）としてクライアントＣＬｍの証明書等を送付する（ステップＳ４８）。

クライアントＣＬｍでは、サーバ装置４から送付された証明書でセキュリティ設定が実施され（ステップＳ４９）、通常のＩＥＥＥ８０２．１Ｘ認証（ＳＳＩＤ２／ＶＬＡＮ２）の処理が実施される（ステップＳ５０）。

このようなクライアント認証、段階的なセキュリティ設定としてＳＬ＝０、ＳＬ＝１、ＳＬ＝２を経てセキュリティ設定が完了し、セキュリティ設定を実施したクライアントＣＬｍは、通常の運用（通信）が可能となる（ステップＳ５１）。この場合、既述のステップＳ４１〜Ｓ５１の処理は、全てのクライアントＣＬｍについて実行し、セキュリティ設定の完了を経て全てのクライアントＣＬｍの通常運用を可能にする。

斯かる構成によれば、サーバ装置４からＡＰ６を通して全クライアントＣＬｍ（＝ＣＬ１、ＣＬ２・・・ＣＬｎ）に対してセキュリティ設定を個別にしかも同時に行うことができ、しかも、多段セキュリティレベルを経てセキュリティ設定をするため、暗号値群が途中で第三者に盗用されることがなく、安全性が図られる。また、この場合、複数ＳＳＩＤを使用しているので、その設定途中でＡＰ６の動作を止めることがないので、他のクライアントＣＬｍの通信に影響を与えることがなく、クライアントＣＬｍに対してセキュリティの自動設定が行える。

次に、管理用ツール１２におけるセキュリティ設定ソフトウェア１２０の処理内容について、図１１を参照して説明する。図１１は、セキュリティ設定方法及びセキュリティ設定プログラムを示すフローチャートである。

図１１に示すフローチャートにおいて、ｍはクライアント番号、ｎはクライアント台数であり、クライアントＣＬｍ（ＣＬ１、ＣＬ２・・・ＣＬｎ）は、任意のタイミングでこの処理を行うことができる。ＳＬはセキュリティレベルであり、例えば、ＳＬ＝０：ＮｏＷＥＰ、ＳＬ＝１：ＷＥＰ４８〔bit 〕、ＳＬ＝２：ＩＥＥＥ８０２．１Ｘである。

そこで、このセキュリティの自動設定では、サーバ装置４からＡＰ６に対し、セキュリティレベルの初期設定が指示され、ＡＰ６にセキュリティレベルを例えば、ＳＳＩＤ０／ＶＬＡＮ０＝ＮｏＷＥＰ（ＳＬ＝０）、ＳＳＩＤ１／ＶＬＡＮ１＝ＷＥＰ４８〔bit 〕（ＳＬ＝１）、ＳＳＩＤ２／ＶＬＡＮ２＝ＩＥＥＥ８０２．１Ｘ（ＳＬ＝２）と設定する（ステップＳ６１）。

斯かる設定の後、クライアントＣＬｍは接続不許可のクライアントか否かの判定が行われ（ステップＳ６２）、接続不許可の場合には処理を終了する。接続許可の場合には、クライアントＣＬｍがＡＰ６への接続を試みる（ステップＳ６３）。クライアントＣＬｍのＳＳＩＤｘの設定値ｘが、ｘ＝０、ｘ＝１又はｘ＝２のいずれであるかの判定が行われ（ステップＳ６４）、ｘ＝０：ＳＳＩＤ０｛ＳＬ＝０（ＮｏＷＥＰ）｝の場合には、クライアントＣＬｍのＭＡＣアドレスがサーバ装置４の接続許可登録済のリスト中にあるか否かの判定が行われ（ステップＳ６５）、そのリスト中にクライアントＣＬｍが登録されている場合には、クライアントＣＬｍの接続が成功したか否かの判定が行われる（ステップＳ６６）。ステップＳ６５でリスト中にクライアントＣＬｍが存在していない場合には、クライアントＣＬｍは接続不許可となり、また、ステップＳ６６でクライアントＣＬｍの接続が不成功に帰した場合には、同様に、接続不許可となり、処理を終了する。

クライアントＣＬｍについて、接続が成功した場合には、そのクライアントＣＬｍに対し、暗号情報としてＳＬ＝１情報（ＳＳＩＤ１、ＷＥＰ４８ビットキーを含む）が送付され（ステップＳ６７）、クライアントＣＬｍの接続切断の後、ＳＬ＝１設定（ＳＳＩＤ１設定、ＷＥＰ４８設定）が実施され（ステップＳ６８）、ステップＳ６２に戻る。

再び、接続不許可の判定（ステップＳ６２）、接続の試行（ステップＳ６３）、ＳＳＩＤｘの設定値ｘの判定（ステップＳ６４）が行われ、ｘ＝１：ＳＳＩＤ１｛ＳＬ＝１（ＷＥＰ４８〔bit 〕）｝の場合には、そのクライアントＣＬｍのＭＡＣアドレスがサーバ装置４の接続許可登録済のリスト中にあるか否かの判定が行われ（ステップＳ６９）、そのリスト中にクライアントＣＬｍが登録されている場合には、クライアントＣＬｍの接続が成功したか否かの判定が行われる（ステップＳ７０）。ステップＳ６９でリスト中にクライアントＣＬｍが存在していない場合には、クライアントＣＬｍは接続不許可となり、また、ステップＳ７０でクライアントＣＬｍの接続が不成功に帰した場合には、同様に、接続不許可となり、処理を終了する。

クライアントＣＬｍの接続が成功した場合には、そのクライアントＣＬｍに対し、暗号情報としてＳＬ＝２情報｛ＳＳＩＤ２、ＩＥＥＥ８０２．１Ｘ設定値（証明書等）を含む｝が送付され（ステップＳ７１）、クライアントＣＬｍの接続切断の後、ＳＬ＝２設定（ＳＳＩＤ２設定、ＩＥＥＥ８０２．１Ｘ設定）が実施され（ステップＳ７２）、ステップＳ６２に戻る。

再び、接続不許可の判定（ステップＳ６２）、接続の試行（ステップＳ６３）、ＳＳＩＤｘの設定値ｘの判定（ステップＳ６４）が行われ、ｘ＝２：ＳＳＩＤ２｛ＳＬ＝２（ＩＥＥＥ８０２．１ｘ）｝の場合には、そのクライアントＣＬｍのＭＡＣアドレスがサーバ装置４の接続許可登録済のリスト中にあるか否かの判定が行われ（ステップＳ７３）、そのリスト中にクライアントＣＬｍが登録されている場合には、クライアントＣＬｍの接続が成功したか否かの判定が行われる（ステップＳ７４）。ステップＳ７３でリスト中にクライアントＣＬｍが存在していない場合には、クライアントＣＬｍは接続不許可となり、また、ステップＳ７４でクライアントＣＬｍの接続が不成功に帰した場合には、同様に、接続不許可となり、処理を終了する。

そして、クライアントＣＬｍの接続が成功した場合には、クライアントＣＬｍが最終接続許可による通常運用が可能となったことにより、全ての処理を完了する。

次に、セキュリティの自動設定動作について、図１２を参照して説明する。図１２は、セキュリティの自動設定動作を示す図である。図１２において、図１と同一部分には同一符号を付してある。図１２において、クライアントＣＬｍ（但し、ｍ＝１、２・・・ｎ）は、ＡＰ６に接続が許可されるｎ台のクライアントＣＬ１、ＣＬ２・・・ＣＬｎを表している。この自動設定動作は、複数ＳＳＩＤ及びＶＬＡＮがある場合であり、ＳＳＩＤ０、ＳＳＩＤ１、ＳＳＩＤ２はそれを示している。

ＡＰ６は、１つの無線（ＲＦ）インターフェースに複数のＳＳＩＤが設定でき、且つそれぞれに別のＶＬＡＮ設定を行うことができ、且つ別のセキュリティ設定ができるものであり、ＳＳＩＤ０にはＶＬＡＮ０、ＳＳＩＤ１にはＶＬＡＮ１、ＳＳＩＤ２にはＶＬＡＮ２、（ＳＳＩＤｘにはＶＬＡＮｘ）が設定されるものとする。

ＳＳＩＤ０は、全てのクライアントＣＬｍに対してセキュリティ無し（ＮｏＷＥＰ）でＡＰ６の接続を許可する設定とし、ＳＳＩＤｘ（ｘ≠０）は任意のセキュリティ設定とする。

最初、ＡＰ６のＳＳＩＤ０にクライアントＣＬｍが接続される。サーバ装置４の管理用ツール１２のセキュリティ設定ソフトウェア１２０では、接続されたクライアントＣＬｍのＩＤ番号（ＭＡＣアドレス）が確認され、接続を許可するクライアントＣＬｍに対して、暗号値群が送付される。

その暗号値群が使用されたＡＰ６にＳＳＩＤｘを用意し、クライアントＣＬｍは送付された暗号値群を使用してセキュリティ設定が行われ、ＳＳＩＤｘへの再接続が行われ、互いに通信ができるようにする。この場合、認証用のキー等、レベルの高いセキュリティ設定情報を暗号化されていない状態（セキュリティ無し）で送付するのは危険であるので、セキュリティの低い状態から段階的にセキュリティレベルを上昇させる。

そこで、セキュリティ無し（ＮｏＷＥＰ）状態で接続許可されたクライアントＣＬｍに対してＷＥＰ４８〔bit 〕のＷＥＰキー情報が送付される。

クライアントＣＬｍは受け取ったＷＥＰキーでＷＥＰ４８〔bit 〕のセキュリティを設定する。ＡＰ６側には既に同じＷＥＰ４８〔bit 〕で設定されたＳＳＩＤｙが用意されており、そのクライアントＣＬｍはＡＰ６のＳＳＩＤｙへ再接続し、通信ができるようにする。

この場合、通信が確立した後、直ぐに、ＡＰ６から例えば、ＷＥＰ６４〔bit 〕のＷＥＰキー情報がそのクライアントＣＬｍに送付され、クライアントＣＬｍは受け取ったＷＥＰキーでＷＥＰ６４〔bit 〕のセキュリティ設定を行い、ＡＰ６側にも既に同じＷＥＰ６４〔bit 〕で設定されたＳＳＩＤｚが用意され、そのクライアントＣＬｍはＡＰ６のＳＳＩＤｚへ再接続し、通信ができるようにすればよい。

このようにして、段階的にセキュリティレベルを上昇させ、そのセキュリティレベルは、クライアントＣＬｍが持つ最高のセキュリティレベルまで引き上げられる。最終的には、最高レベルのセキュリティレベルで接続できたクライアントＣＬｍのみが残り、目的の通信が可能となる。この場合、セキュリティレベルの上限は例えば、ＡＰ６が持つ最高セキュリティレベルである。

そこで、図１２の（Ａ）に示すように、ＡＰ６のＳＳＩＤ０にセキュリティ設定無し（ＮｏＷＥＰ）の状態で接続許可を与え、接続許可が与えられたクライアントＣＬｍからＭＡＣ情報がＡＰ６を通してサーバ装置４に通知され、クライアントＣＬｍがサーバ装置４の接続許可登録済のリスト中の端末、即ち、接続先であるか否かが確認される。

接続許可されたクライアントＣＬｍであれば、図１２の（Ｂ）に示すように、サーバ装置４からＡＰ６を通してクライアントＣＬｍにＷＥＰキー情報が付与される。クライアントＣＬｍでは、セキュリティ設定ソフトウェア８０６（図４）でＷＥＰキー情報を受け、セキュリティ設定がＷＥＰ４８〔ｂｉｔ〕に変更される。

ＡＰ６のＳＳＩＤ１にクライアントＣＬｍが接続され、ＷＥＰ４８〔ｂｉｔ〕で接続されたクライアントＣＬｍについて、図１２の（Ｃ）に示すように、接続されたクライアントＣＬｍからＭＡＣ情報がＡＰ６を通してサーバ装置４に取り込まれ、接続許可の対象であるか否かの再度の確認が行われる。

この場合、接続許可されたクライアントＣＬｍであれば、図１２の（Ｄ）に示すように、サーバ装置４からＡＰ６を通してクライアントＣＬｍに対し、ＩＥＥＥ８０２．１Ｘ用の設定情報（証明書等）が付与され、クライアントＣＬｍでは、セキュリティ設定ソフトウェア８０６（図４）でＩＥＥＥ８０２．１Ｘ設定情報を受け、セキュリティ設定がＩＥＥＥ８０２．１Ｘに変更される。

これらＷＥＰ４８〔ｂｉｔ〕からＩＥＥＥ８０２．１Ｘにセキュリティレベルを変更する設定処理は、接続対象である全てのクライアントＣＬｍで個別に実行され、全てのクライアントＣＬｍがＩＥＥＥ８０２．１Ｘ設定で通信できるようにし、ＡＰ６もＩＥＥＥ８０２．１Ｘ設定に変更する。

なお、図示しないが、接続許可されたクライアントＣＬｍであれば、サーバ装置４からＡＰ６を通してクライアントＣＬｍにＷＥＰキー情報としてＷＥＰ６４〔ｂｉｔ〕が付与され、セキュリティ設定がＷＥＰ６４〔ｂｉｔ〕に変更され、ＷＥＰ６４〔ｂｉｔ〕で接続されたクライアントＣＬｍについて、接続されたクライアントＣＬｍからＭＡＣ情報がＡＰ６を通してサーバ装置４に取り込まれ、接続許可の対象であるか否かの再度の確認が行われる構成としてもよい。

そして、図１２の（Ｅ）に示すように、ＡＰ６のＳＳＩＤ２にクライアントＣＬｍが再接続され、全てのクライアントＣＬｍがＩＥＥＥ８０２．１Ｘ設定による最終のセキュリティレベルで接続が完了し、各クライアントＣＬｍとサーバ装置４とがＡＰ６を通して無線ＬＡＮ１０により正規通信が可能になる。

既述したセキュリティの自動設定について、セキュリティレベル（ＳＬ）は例えば、図１３に示す通りである。このような設定処理をｎ個のクライアントＣＬ１、ＣＬ２・・・ＣＬｎについて繰り返し、セキュリティ設定を完了する。

このように、複数ＳＳＩＤを使用した場合には、設定途中でＡＰ６の動作を止めることが無いため、他のクライアントＣＬｍの通信に影響を与えることなく、クライアントＣＬｍのセキュリティの自動設定を行うことができる。また、既述したように、手動設定を必要とすることなく、ＡＰ６側からクライアントＣＬｍのセキュリティ設定を自動的に行うことができ、しかも、多段セキュリティレベルを経て最終レベル設定に移行させるため、設定途中の暗号値群を第三者に盗用される危険性を低減でき、通信の安全性が高められる。

なお、セキュリティレベルを段階的に高めていくだけではなく、高く設定されたセキュリティレベルを段階的に低いレベルに変更することも可能である。システム上、証明書が不必要になった場合等に、斯かる対応が有効である。

以上説明した実施の形態について、変形例等を列挙すれば、次の通りである。

(1) 上記実施の形態では、サーバ装置４と独立してＡＰ６を設置する形態を説明したが、本発明は、サーバ装置４とＡＰ６とを一体化構成としてもよく、また、ＡＰ６が存在しない無線ＬＡＮにも適用することができる。

(2) ＡＰ６は、コンピュータを備えた構成としてもよく、また、スイッチから構成される中継器で構成してもよい。

次に、以上述べた本発明の各実施の形態から抽出される技術的思想を請求項の記載形式に準じて付記として列挙する。本発明に係る技術的思想は上位概念から下位概念まで、様々なレベルやバリエーションにより把握できるものであり、以下の付記に本発明が限定されるものではない。

（付記１） １又は複数の接続先に対する、無線通信ネットワークのセキュリティ設定方法であって、
１又は複数の前記接続先に対し、付与されている暗号情報を用いて現在の暗号情報とは異なる暗号情報が付与され、段階的に異なる暗号情報が付与される処理を含むことを特徴とする、無線通信ネットワークのセキュリティ設定方法。

（付記２） 付記１記載の無線通信ネットワークのセキュリティ設定方法において、
暗号情報が付与されていない１又は複数の前記接続先との接続が許可され、その接続先が接続対象である場合には暗号情報が付与される処理を含むことを特徴とする、無線通信ネットワークのセキュリティ設定方法。

（付記３） 付記１記載の無線通信ネットワークのセキュリティ設定方法において、
前記接続先に対し、識別情報を付与して該識別情報毎に仮想通信ネットワークを構成させ、前記識別情報が付与された前記接続先毎に前記暗号情報が付与される処理を含むことを特徴とする、無線通信ネットワークのセキュリティ設定方法。

（付記４） 付記１記載の無線通信ネットワークのセキュリティ設定方法において、
暗号情報が付与された接続先から識別情報を取得し、接続対象である接続先を判別する処理を含むことを特徴とする、無線通信ネットワークのセキュリティ設定方法。

（付記５） 付記１記載の無線通信ネットワークのセキュリティ設定方法において、
前記段階的に異なる暗号情報は、セキュリティレベルが段階的に高い暗号情報であることを特徴とする、無線通信ネットワークのセキュリティ設定方法。

（付記６） １又は複数の接続先と無線通信ネットワークを構成するコンピュータに実行させるセキュリティ設定プログラムであって、
１又は複数の前記接続先に対し、付与されている暗号情報を用いて現在の暗号情報とは異なる暗号情報が付与され、段階的に異なる暗号情報が付与されるステップを含むことを特徴とするセキュリティ設定プログラム。

（付記７） 付記６記載のセキュリティ設定プログラムにおいて、
暗号情報が付与されていない１又は複数の前記接続先との接続が許可され、その接続先が接続対象である場合には暗号情報が付与されるステップを含むことを特徴とするセキュリティ設定プログラム。

（付記８） 付記６記載のセキュリティ設定プログラムにおいて、
前記接続先に対して識別情報を付与して該識別情報毎に仮想通信ネットワークを構成させ、前記識別情報が付与された前記接続先毎に前記暗号情報が付与されるステップを含むことを特徴とするセキュリティ設定プログラム。

（付記９） １又は複数の接続先に接続される無線通信装置を備える無線通信ネットワークシステムであって、
前記無線通信装置が、接続先に付与した暗号情報を用いて現在の暗号情報とは異なる暗号情報を付与することにより、段階的に異なる暗号情報を接続先に付与する構成であることを特徴とする無線通信ネットワークシステム。

（付記１０） 付記９記載の無線通信ネットワークシステムにおいて、
前記無線通信装置が、暗号情報が付与されていない１又は複数の前記接続先との接続が許可され、その接続先が接続対象である場合には暗号情報を前記接続先に付与する構成であることを特徴とする無線通信ネットワークシステム。

（付記１１） 付記９記載の無線通信ネットワークシステムにおいて、
前記無線通信装置が、１又は複数の接続先と無線通信を行う無線通信部を備え、暗号情報を付与していない１又は複数の前記接続先との接続を許可し、その接続先が接続対象である場合には暗号情報を付与する構成であることを特徴とする無線通信ネットワークシステム。

（付記１２） 付記９記載の無線通信ネットワークシステムにおいて、
前記無線通信装置が、前記接続先に対して識別情報を付与して該識別情報毎に仮想通信ネットワークを構成させ、前記識別情報が付与された前記接続先毎に前記暗号情報を付与する構成であることを特徴とする無線通信ネットワークシステム。

（付記１３） 付記９記載の無線通信ネットワークシステムにおいて、
１又は複数の接続先と無線通信を行うアクセスポイント装置を備えることを特徴とする無線通信ネットワークシステム。

（付記１４） １又は複数の接続先に接続されるサーバ装置を備える無線通信ネットワークシステムであって、
１又は複数の前記接続先と無線通信を行うアクセスポイント装置と、
このアクセスポイント装置と前記サーバ装置との間に設置されて前記サーバ装置と前記接続先との間に仮想通信ネットワークを形成させるスイッチと、
を備える構成としたことを特徴とする無線通信ネットワークシステム。

（付記１５） サーバ装置又はアクセスポイント装置と無線通信ネットワークにより接続されるクライアント装置であって、
前記サーバ装置又は前記アクセスポイント装置から付与された暗号情報を用いて、現在の暗号情報とは異なる暗号情報を受け、段階的に異なる暗号情報が付与される構成であることを特徴とするクライアント装置。

（付記１６） 付記１５記載のクライアント装置において、
前記サーバ装置又は前記アクセスポイント装置と無線通信を行う無線通信部を備え、前記サーバ装置又は前記アクセスポイント装置との接続が許可され、前記サーバ装置側又は前記アクセスポイント装置側で接続対象であると判別された場合には暗号情報が付与される構成であることを特徴とするクライアント装置。

（付記１７） 付記１５記載のクライアント装置において、
前記サーバ装置又は前記アクセスポイント装置から識別情報が付与され、該識別情報毎に前記サーバ装置又は前記アクセスポイント装置と仮想通信ネットワークを構成し、前記暗号情報が付与される構成であることを特徴とするクライアント装置。

以上説明したように、本発明の最も好ましい実施の形態等について説明したが、本発明は、上記記載に限定されるものではなく、特許請求の範囲に記載され、又は明細書に開示された発明の要旨に基づき、当業者において様々な変形や変更が可能であることは勿論であり、斯かる変形や変更が、本発明の範囲に含まれることは言うまでもない。

本発明は、無線通信ネットワークの接続先とのセキュリティ設定の自動化を実現しており、無線通信ネットワークと接続される接続先のセキュリティレベルを段階的に変更して設定するので、第三者の盗用を防止でき、また、特定の接続先に対するセキュリティ設定を、他の接続先の動作に影響を与えることなく、可能にしており、有用である。

第１の実施の形態に係る無線ＬＡＮ装置を示す図である。 サーバ装置の構成例を示す図である。 アクセスポイント装置の構成例を示す図である。 クライアント装置の構成例を示す図である。 クライアント装置、アクセスポイント装置及びサーバ装置のセキュリティの自動設定の処理シーケンスを示す図である。 第１の実施の形態に係るセキュリティ設定方法及びセキュリティ設定プログラムを示すフローチャートである。 セキュリティの自動設定動作を示す図である。 セキュリティレベルの設定例を示す図である。 第２の実施の形態に係る無線ＬＡＮ装置を示す図である。 クライアント装置、アクセスポイント装置及びサーバ装置のセキュリティの自動設定の処理シーケンスを示す図である。 第２の実施の形態に係るセキュリティ設定方法及びセキュリティ設定プログラムを示すフローチャートである。 セキュリティの自動設定動作を示す図である。 セキュリティレベルの他の設定例を示す図である。

符号の説明

２ 無線ＬＡＮ装置
４ サーバ装置
５ ＶＬＡＮスイッチ
６ 無線ＬＡＮアクセスポイント装置
ＣＬｍ、ＣＬ１、ＣＬ２・・・ＣＬｎ 無線ＬＡＮクライアント装置
８ 有線ＬＡＮ
１０ 無線ＬＡＮ
１２ 管理用ツール
１２０ セキュリティ設定ソフトウェア
８０６ セキュリティ設定ソフトウェア

Claims (10)

1. １又は複数の接続先に対する、無線通信ネットワークのセキュリティ設定方法であって、
   １又は複数の前記接続先に対し、付与されている暗号情報を用いて現在の暗号情報とは異なる暗号情報が付与され、段階的に異なる暗号情報が付与される処理を含むことを特徴とする、無線通信ネットワークのセキュリティ設定方法。
2. 請求項１記載の無線通信ネットワークのセキュリティ設定方法において、
   暗号情報が付与されていない１又は複数の前記接続先との接続が許可され、その接続先が接続対象である場合には暗号情報が付与される処理を含むことを特徴とする、無線通信ネットワークのセキュリティ設定方法。
3. 請求項１記載の無線通信ネットワークのセキュリティ設定方法において、
   前記接続先に対し、識別情報を付与して該識別情報毎に仮想通信ネットワークを構成させ、前記識別情報が付与された前記接続先毎に前記暗号情報が付与される処理を含むことを特徴とする、無線通信ネットワークのセキュリティ設定方法。
4. 請求項１記載の無線通信ネットワークのセキュリティ設定方法において、
   暗号情報が付与された接続先から識別情報を取得し、接続対象である接続先を判別する処理を含むことを特徴とする、無線通信ネットワークのセキュリティ設定方法。
5. 請求項１記載の無線通信ネットワークのセキュリティ設定方法において、
   前記段階的に異なる暗号情報は、セキュリティレベルが段階的に高い暗号情報であることを特徴とする、無線通信ネットワークのセキュリティ設定方法。
6. １又は複数の接続先と無線通信ネットワークを構成するコンピュータに実行させるセキュリティ設定プログラムであって、
   １又は複数の前記接続先に対し、付与されている暗号情報を用いて現在の暗号情報とは異なる暗号情報が付与され、段階的に異なる暗号情報が付与されるステップを含むことを特徴とするセキュリティ設定プログラム。
7. 請求項６記載のセキュリティ設定プログラムにおいて、
   暗号情報が付与されていない１又は複数の前記接続先との接続が許可され、その接続先が接続対象である場合には暗号情報が付与されるステップを含むことを特徴とするセキュリティ設定プログラム。
8. １又は複数の接続先に接続される無線通信装置を備える無線通信ネットワークシステムであって、
   前記無線通信装置が、接続先に付与した暗号情報を用いて現在の暗号情報とは異なる暗号情報を付与することにより、段階的に異なる暗号情報を接続先に付与する構成であることを特徴とする無線通信ネットワークシステム。
9. 請求項８記載の無線通信ネットワークシステムにおいて、
   前記無線通信装置が、暗号情報が付与されていない１又は複数の前記接続先との接続が許可され、その接続先が接続対象である場合には暗号情報を前記接続先に付与する構成であることを特徴とする無線通信ネットワークシステム。
10. サーバ装置又はアクセスポイント装置と無線通信ネットワークにより接続されるクライアント装置であって、
    前記サーバ装置又は前記アクセスポイント装置から付与された暗号情報を用いて、現在の暗号情報とは異なる暗号情報を受け、段階的に異なる暗号情報が付与される構成であることを特徴とするクライアント装置。

Images