JP2007208816A - 無線ｌａｎシステム、無線ｌａｎ装置、無線ｌａｎ通信の認証方法、及びプログラム - Google Patents

Abstract

【課題】認証手順の高速化を実現し、認証の成功率を向上させる無線ＬＡＮシステム、無線ＬＡＮ装置、無線ＬＡＮ通信の認証方法、及びプログラムを提供する。
【解決手段】アクセスポイントと、情報処理端末装置と、情報処理端末装置とアクセスポイントとを介する無線ＬＡＮ装置と、を有する無線ＬＡＮシステムであって、情報処理端末装置は、ＷＰＡ（Wi-Fi Protected Access）に基づいて情報処理端末装置とアクセスポイントとの間で無線ＬＡＮ通信を行うためのＷＰＡサプリカント・アプリケーションがインストールされており、無線ＬＡＮ装置は、ＷＰＡサプリカント・アプリケーションとアクセスポイントとの間で行われるＷＰＡ認証の一手順である４ウェイハンドシェークが失敗した場合、再接続時の４ウェイハンドシェークを行う。
【選択図】図４

Description

本発明は、ＷＰＡ認証技術を用いる無線ＬＡＮシステム、無線ＬＡＮ装置、無線ＬＡＮ通信の認証方法、及びプログラムに関する。

無線ＬＡＮの標準規格の策定を行うIEEE802.11タスクグループの１つであるＴＧｉが、セキュリティを改善する規格の策定を進め、その規格が、IEEE802.11iとして、2004年6月に承認された。IEEE802.11iのうち、確定済みの部分について、Wi-Fi Allianceが、2002年10月に先行リリースしたものが、ＷＰＡ（Wi-Fi Protected Access）である。

ＷＰＡにおいては、認証方式として、IEEE802.1Xが標準採用されている。IEEE802.1Xは、サプリカント（無線ＬＡＮ端末）、認証装置（アクセスポイント）、認証サーバ（ＲＡＤＩＵＳサーバ）の３つから構成される。なお、サプリカント（Supplicant）は、IEEE802.1Xに準拠した認証を実現するためにクライアント側で必要なソフトウェアのことであるが、本明細書では、そのソフトウェアがインストールされ、無線ＬＡＮ通信を行う情報処理端末装置の意味で用いる。

例えば、特開２００５−１１０１１２号公報（特許文献１）の「通信システムにおける無線通信装置の認証方法及び無線通信装置及び基地局及び認証装置」では、無線アクセスシステムにおける端末局の認証において、認証開始から認証終了までの認証処理時間を短縮し、認証処理時間の通信中断による通信品質の劣化を防止することや、認証処理時間の短縮により、端末局のネットワークへの接続を簡便化することを目的として、認証サーバ又は基地局によってネットワークとの通信を許可された端末局に対して認証チケットが配布され、認証チケットを有する端末局は、基地局に帰属する際に認証チケットを送信することにより、認証サーバを使用せずに、基地局との間で認証処理を完了するという手法を用いている。

また、ＷＰＡには、ＷＰＡ−ＰＳＫ（Pre Shared Key）というモードもあり、ＷＰＡ−ＰＳＫでは、上記の３つの構成（サプリカント、認証装置、認証サーバ）のうち、認証サーバを設置しない。以下の説明では、構成が簡単であるＷＰＡ−ＰＳＫを例にとり、暗号化方式が、暗号キーを一定時間毎に変更するＴＫＩＰ（Temporal Key Integrity Protocol）である場合の説明を行う。

図１に、ＷＰＡ−ＰＳＫの認証と鍵配送の全体フローについて示す。
まず、サプリカント（無線ＬＡＮ端末）は、スキャンを行うことによって、アクセスポイントからのビーコン信号を検出する（ステップＳ１）。ビーコン信号中には、アクセスポイントを特定するための、ＢＳＳＩＤ（Basic Service Set Identifier）、ＳＳＩＤ（Service Set Identifier）などの情報、及び、そのアクセスポイントがＷＰＡでの認証を必要としていることを示す情報要素ＩＥ（Information Element）が含まれる。

そして、ビーコン信号中のＢＳＳＩＤ及びＳＳＩＤをもとにアクセスポイントを特定し、そのアクセスポイントとの接続を行うためのプローブ要求信号を送出する（ステップＳ２）。その後、図１に示すように、サプリカントとアクセスポイントとの間で、プローブ応答信号（ステップＳ３）、オーセンティケーション要求信号（ステップＳ４）、オーセンティケーション応答信号（ステップＳ５）、アソシエーション要求信号（ステップＳ６）、アソシエーション応答信号（ステップＳ７）、という一連の信号のやりとりを行う。

サプリカントに搭載されるＷＰＡサプリカント・アプリケーションは、前述のＩＥを解析し、ＷＰＡでの認証を必要とすることを示すものであれば、オペレーション・システムを介し、ユーザに対して、８文字〜６３文字のＰＳＫ（Pre Shared Key）をキーボード入力することを促す。このＰＳＫが、事前にアクセスポイント側で設定されたＰＳＫと一致しなければ、その後の認証は成功しない。

その後、図２に示す４ウェイハンドシェーク（ステップＳ８〜Ｓ１１）により、サプリカント及びアクセスポイントのそれぞれが、乱数パラメータ、ＭＩＣ（Message Integrity Check）などの、認証に必要な情報を交換し、暗号化用の鍵の算出の基になる鍵ＴＫ（Temporary Key）が作成される。

サプリカントからアクセスポイントへの情報の送信は、図３において、以下に示す経路で行われる。
サプリカント（無線ＬＡＮ端末）１００中の、メインＣＰＵ１０１及びオペレーティングシステム１０２上で動作するＷＰＡサプリカント・アプリケーション１０３から送出された情報が、デバイスドライバ１０４を経由した後、無線ＬＡＮデバイス搭載ボード２００上の、ＭＡＣ回路２０１、ベースバンド・プロセッサ２０２、周波数変換回路２０３から構成されるデバイスを経由して、アンテナ２０４から送出される電波に乗せられた信号として、アクセスポイントに送られる。

前述の４ウェイハンドシェークは、IEEE802.11iに規定されている鍵配送手順である。４ウェイハンドシェークは、図２に示すメッセージ１〜４の、４つのメッセージの受け渡しを指している。このうち、メッセージ１及び３は、アクセスポイントからサプリカント方向に送られるメッセージであり、メッセージ２及び４は、サプリカントからアクセスポイント方向に送られるメッセージである。

そして、この４ウェイハンドシェークは、ＷＰＡサプリカント・アプリケーションと、アクセスポイントとの間で行われており、オペレーティングシステム、デバイスドライバは、暗号化用の鍵の情報交換のための特別な処理を行うことはなく、通常のデータの送受信と全く同様の処理を行う。
特開２００５−１１０１１２号公報

前述の通り、図２において、４ウェイハンドシェークで受け渡しされるメッセージ１〜４の４つのメッセージの中で、メッセージ１、３は、アクセスポイントからサプリカント方向に送られるのであるが、アクセスポイントによっては、メッセージ１を送出してからサプリカントからのメッセージ２を受け取るまで、又は、メッセージ３を送出してからサプリカントからのメッセージ４を受け取るまでの待機制限時間が短く、メッセージ２又はメッセージ４が送られてこなかったとみなしてしまうものがある。

また、現在、サプリカントとなる無線ＬＡＮ端末には、米マイクロソフト社のオペレーティング・システムであるWindows（登録商標）を搭載しているものが多い。Windows（登録商標）は、マルチタスク・オペレーティング・システムではあるが、リアルタイム性を保証していないため、例えば、他のアプリケーションソフトを実行している際には、ＴＣＰ／ＩＰやＷＰＡサプリカント・アプリケーションが優先的に動作することが保証されていない。この場合にも、アクセスポイントにおいて、メッセージ１を送出してからサプリカントからのメッセージ２を受け取るまでの待機制限時間を越えてしまうことがある。そして、結果的に、４ウェイハンドシェークが途中で中断してしまい、サプリカントとアクセスポイント間における認証が確立できなくなってしまう。

さらに、４ウェイハンドシェーク機能を、単に、専用のＣＰＵとリアルタイムオペレーティングシステム（Real-Time Operating System:RTOS）とファームウェア（firmware）により構成されるデバイス側システム上で実施させるという方法もあるが、この場合、ＷＰＡサプリカント・アプリケーションの方でも、４ウェイハンドシェーク処理を実施してしまうため、認証における処理手順が重複してしまい、正しい認証作業が実行されない状態になってしまう場合が生じる。このような状態を回避するためには、既存のＷＰＡサプリカント・アプリケーション、デバイスドライバの仕様を変更し、再度作成しなくてはならず、このことは、汎用性又は可用性という観点から考えて、大きな課題となってしまう。

本発明は、上記事情に鑑みてなされたものであり、ＷＰＡの認証を行う際に、従来、無線ＬＡＮ端末上で動作するＷＰＡサプリカント・アプリケーションで行われていた認証手順のうち、高速の応答が要求される４ウェイハンドシェーク処理をデバイス側にて実施する無線ＬＡＮシステム、無線ＬＡＮ装置、無線ＬＡＮ通信の認証方法、及びプログラムを提供することを目的とする。

かかる目的を達成するために、請求項１記載の発明は、アクセスポイントと、情報処理端末装置と、情報処理端末装置とアクセスポイントとを介する無線ＬＡＮ装置と、を有する無線ＬＡＮシステムであって、情報処理端末装置は、ＷＰＡ（Wi-Fi Protected Access）に基づいて情報処理端末装置とアクセスポイントとの間で無線ＬＡＮ通信を行うためのＷＰＡサプリカント・アプリケーションがインストールされており、無線ＬＡＮ装置は、ＷＰＡサプリカント・アプリケーションとアクセスポイントとの間で行われるＷＰＡ認証の一手順である４ウェイハンドシェークが失敗した場合、再接続時の４ウェイハンドシェークを行うことを特徴とする。

請求項２記載の発明は、請求項１記載の発明において、無線ＬＡＮ装置は、ＷＰＡサプリカント・アプリケーションとアクセスポイントとの間で行われる４ウェイハンドシェークが失敗した場合にアクセスポイントからＷＰＡサプリカント・アプリケーションに対して送信されるパケットを受信し、パケットを解析した結果、ＷＰＡサプリカント・アプリケーションからアクセスポイントに対して待機制限時間以内に所定のメッセージが送信されなかったことを示す情報を検知した場合、再接続時の４ウェイハンドシェークを行うことを特徴とする。

請求項３記載の発明は、請求項１又は２記載の発明において、無線ＬＡＮ装置は、ＷＰＡサプリカント・アプリケーションから再接続を要求された場合にアクセスポイントからＷＰＡサプリカント・アプリケーションに対して送出されるビーコン信号を受信し、ビーコン信号中の情報要素を書き換えることにより、実際には４ウェイハンドシェークを必要とするアクセスポイントを、４ウェイハンドシェークを必要としないアクセスポイントに見せかけることを特徴とする。

請求項４記載の発明は、請求項１から３のいずれか１項に記載の発明において、無線ＬＡＮ装置は、リアルタイムオペレーションシステムと、リアルタイムオペレーションシステム上で実行されるファームウェアと、リアルタイムオペレーションシステム上でファームウェアを実行することによって無線ＬＡＮ装置を動作させるサブＣＰＵと、を有し、ファームウェアの実行により再接続時の４ウェイハンドシェークを行うことを特徴とする。

請求項５記載の発明は、請求項１から４のいずれか１項に記載の発明において、無線ＬＡＮ装置は、情報処理端末装置に内蔵されるか、又は、情報処理端末装置に着脱可能であることを特徴とする。

請求項６記載の発明は、請求項１から５のいずれか１項に記載の無線ＬＡＮシステムで用いられることを特徴とする。

請求項７記載の発明は、アクセスポイントと、情報処理端末装置と、情報処理端末装置とアクセスポイントとを介する無線ＬＡＮ装置と、を有する無線ＬＡＮシステムで行われる無線ＬＡＮ通信の認証方法であって、情報処理端末装置は、ＷＰＡ（Wi-Fi Protected Access）に基づいて情報処理端末装置とアクセスポイントとの間で無線ＬＡＮ通信を行うためのＷＰＡサプリカント・アプリケーションがインストールされており、無線ＬＡＮ装置は、ＷＰＡサプリカント・アプリケーションとアクセスポイントとの間で行われるＷＰＡ認証の一手順である４ウェイハンドシェークが失敗した場合、再接続時の４ウェイハンドシェークを行うことを特徴とする。

請求項８記載の発明は、請求項７記載の発明において、無線ＬＡＮ装置は、ＷＰＡサプリカント・アプリケーションとアクセスポイントとの間で行われる４ウェイハンドシェークが失敗した場合にアクセスポイントからＷＰＡサプリカント・アプリケーションに対して送信されるパケットを受信し、パケットを解析した結果、ＷＰＡサプリカント・アプリケーションからアクセスポイントに対して待機制限時間以内に所定のメッセージが送信されなかったことを示す情報を検知した場合、再接続時の４ウェイハンドシェークを行うことを特徴とする。

請求項９記載の発明は、請求項７又は８記載の発明において、無線ＬＡＮ装置は、ＷＰＡサプリカント・アプリケーションから再接続を要求された場合にアクセスポイントからＷＰＡサプリカント・アプリケーションに対して送出されるビーコン信号を受信し、ビーコン信号中の情報要素を書き換えることにより、実際には４ウェイハンドシェークを必要とするアクセスポイントを、４ウェイハンドシェークを必要としないアクセスポイントに見せかけることを特徴とする。

請求項１０記載の発明は、請求項７から９のいずれか１項に記載の発明において、無線ＬＡＮ装置は、リアルタイムオペレーションシステムと、リアルタイムオペレーションシステム上で実行されるファームウェアと、リアルタイムオペレーションシステム上でファームウェアを実行することによって無線ＬＡＮ装置を動作させるサブＣＰＵと、を有し、ファームウェアの実行により再接続時の４ウェイハンドシェークを行うことを特徴とする。

請求項１１記載の発明は、アクセスポイントと、情報処理端末装置と、情報処理端末装置とアクセスポイントとを介する無線ＬＡＮ装置と、を有する無線ＬＡＮシステムに認証方法を実行させるためのプログラムであって、情報処理端末装置は、ＷＰＡ（Wi-Fi Protected Access）に基づいて情報処理端末装置とアクセスポイントとの間で無線ＬＡＮ通信を行うためのＷＰＡサプリカント・アプリケーションがインストールされており、無線ＬＡＮ装置に、ＷＰＡサプリカント・アプリケーションとアクセスポイントとの間で行われるＷＰＡ認証の一手順である４ウェイハンドシェークが失敗した場合、再接続時の４ウェイハンドシェーク処理を実行させることを特徴とする。

請求項１２記載の発明は、請求項１１記載の発明において、無線ＬＡＮ装置に、ＷＰＡサプリカント・アプリケーションとアクセスポイントとの間で行われる４ウェイハンドシェークが失敗した場合にアクセスポイントからＷＰＡサプリカント・アプリケーションに対して送信されるパケットを受信する処理と、パケットを解析した結果、ＷＰＡサプリカント・アプリケーションからアクセスポイントに対して待機制限時間以内に所定のメッセージが送信されなかったことを示す情報を検知した場合、再接続時の４ウェイハンドシェーク処理と、を実行させることを特徴とする。

請求項１３記載の発明は、請求項１１又は１２記載の発明において、無線ＬＡＮ装置に、ＷＰＡサプリカント・アプリケーションから再接続を要求された場合にアクセスポイントからＷＰＡサプリカント・アプリケーションに対して送出されるビーコン信号を受信する処理と、ビーコン信号中の情報要素を書き換えることにより、実際には４ウェイハンドシェークを必要とするアクセスポイントを、４ウェイハンドシェークを必要としないアクセスポイントに見せかける処理と、を実行させることを特徴とする。

本発明によれば、ＷＰＡの認証を行う際に、従来、無線ＬＡＮ端末上で動作するＷＰＡサプリカント・アプリケーションで行われていた認証手順のうち、高速の応答が要求される４ウェイハンドシェーク処理をデバイス側にて実施することにより、既存のＷＰＡサプリカント・アプリケーションやデバイスドライバの仕様を変更したり、再度作成したりする必要がなく、認証手順の高速化を実現し、認証の成功率を向上させることができる。

以下、本発明を実施するための最良の形態について添付図面を参照して詳細に説明する。

上記課題を解決するために、本発明では、図４に示すように、ＭＡＣ回路３０１をはじめとするデバイスを、ＷＰＡサプリカント・アプリケーション１０３及びデバイスドライバ１０４を動作させるメインＣＰＵ１０１で動作させずに、専用のＣＰＵ（サブＣＰＵ３０７）、リアルタイムオペレーティングシステム３０８、及びファームウェア３０９を有するデバイス側システム（無線ＬＡＮデバイス搭載ボード３００）上で動作させる方法を用いる。これにより、前述の通り、アクセスポイントがサプリカントからのメッセージを受け取るまでの待機制限時間を越えてしまうことが原因となり、ＷＰＡサプリカント・アプリケーションとアクセスポイントとの間での４ウェイハンドシェークに失敗した場合には、代替的に、上記のデバイス側システム上で４ウェイハンドシェークを中心とするＷＰＡサプリカント機能を実施する方法に切り替えて、認証を行うという手段を用いる。

また、本発明では、デバイス側システム上で４ウェイハンドシェーク処理を行うことに伴う、ＷＰＡサプリカント・アプリケーションにおける４ウェイハンドシェーク処理との重複の発生を避けるために、本発明では、デバイス側システムが、アクセスポイントから送出されるビーコン信号中の、ＷＰＡ暗号化を用いての接続を要求することを示す情報要素に対して書き換えを行い、メインＣＰＵ側のオペレーティングシステム及びＷＰＡサプリカント・アプリケーションに対しては、通信相手となるアクセスポイントがあたかもＷＰＡ暗号化をサポートしないアクセスポイントであるかのように、すなわち、４ウェイハンドシェーク処理を必要としないアクセスポイントであるかのように見せかける、という手段を用いる。

なお、この、「見せかける」という手段については、従来技術として、例えば特開２００４−２９５９１５号公報に紹介されているように、メモリ容量を確保するために、マルチプレクサデバイスを用いてデータバスＣの本数が増えたように見せかけるというものがあり、また、例えば特開２００２−３６８８２５号公報に紹介されているように、マルチリンク方式として、複数の物理回線を一つの論理回線と見せかけることによって、パフォーマンスを向上させるためのものがある。ただし、これら従来技術は、いずれも「見せかける」という手段を、性能面での従来の向上を計ることを目的として利用しているのに対し、本発明では、専用のＣＰＵ（サブＣＰＵ）と、リアルタイムオペレーティングシステムと、ファームウェアとにより構成されるデバイス側システム上での４ウェイハンドシェーク処理と、ＷＰＡサプリカント・アプリケーションによる４ウェイハンドシェーク処理とを重複しないようにするための、根幹的な手段として用いているというのが特徴である。

本発明の実施例として、サプリカントとなる無線ＬＡＮ端末（コンピュータなどの情報処理端末装置）と、無線ＬＡＮデバイス搭載ボード（無線ＬＡＮ端末に内蔵又は着脱可能な無線ＬＡＮ装置）と、アクセスポイントとを有する無線ＬＡＮシステムについて、図４の構成図及び図５のフロー図を参照し、以下、具体的に説明する。

まず、従来技術である図３の構成に対して、無線ＬＡＮデバイス搭載ボード３００に新たに追加するものは、コントロールＲＡＭ３０５、コントロールＲＡＭ Ｉ／Ｆレジスタ３０６、サブＣＰＵ３０７、リアルタイムオペレーティングシステム３０８、ＭＡＣ回路３０１を動作させるソフトウェア、すなわちファームウェア３０９である。このファームウェア３０９は、サブＣＰＵ３０７上及びリアルタイムオペレーティングシステム３０８で動作する。

コントロールＲＡＭ３０５は、デバイスドライバ１０４とファームウェア３０９の両方からアクセスすることが可能なＲＡＭ領域である。スキャン及び接続などの動作をデバイスに実施させたい場合には、デバイスドライバ１０４から、各動作に対応するコマンド及び各コマンドに付随する情報をコントロールＲＡＭ３０５に書き込む。ファームウェア３０９は、コントロールＲＡＭ３０５に書き込まれたコマンドと、コマンドに付随する情報を読み込み、そのコマンドに対応する動作を実施する。

また、デバイスからメインＣＰＵ１０１への割り込みについては、ファームウェア３０９が、コントロールＲＡＭ Ｉ／Ｆレジスタ３０６の中の、割り込みソースレジスタ中の、各割り込みの種類に対応したビットを“１”に設定し、該当する割り込みマスクレジスタが“０”であれば、メインＣＰＵ１０１に対して割り込みがかかる。又はムウェア３０９は、リアルタイムオペレーティングシステム３０８上で稼働しており、デバイスからのデータ受信割り込みや、デバイスドライバ１０４からのコマンドを受けた際の割り込みに対して、優先度の高いタスクを、優先的に実施することが可能である。

ファームウェア３０９には、ＷＰＡサプリカント・アプリケーション１０３で実施している処理を搭載する。

以下、上記ファームウェア３０９に搭載する機能について、説明する。
図５に示すように、４ウェイハンドシェークでは、まず、ファームウェアは、ステップＳ２６でアクセスポイントから送出されるメッセージ１の中から、暗号鍵の算出の基となる鍵を作成するために必要となる乱数パラメータANonce（Authentication Nonce）を検出する。

次に、ファームウェアは、乱数パラメータSNonce（Supplicant Nonce）を発生させ、メッセージ２の中に入れてアクセスポイントに送る（ステップＳ２７）。そして、ＰＳＫとANonceとSnonceとを基に、ＰＲＦ−Ｘ（Pseudo Random Function with output length X）関数に入力することにより、ＰＴＫ（Pairwise Transient Key）という６４バイトの一時鍵を算出する。

アクセスポイントにおいても、ファームウェアからのメッセージ２を受け取った時点で、ＰＳＫとANonceとSNonceを取得することになるため、同様に、ＰＲＦ−Ｘ関数に入力することにより、ＰＴＫを算出する。ファームウェアで算出したＰＴＫの値は、アクセスポイントで算出したＰＴＫと同じものとなる。また、仮に、メッセージ１及びメッセージ２が途中で盗聴されたとしても、ＰＳＫを持っていなければＰＴＫを算出することはできない。

従って、ファームウェアが、アクセスポイントと同じＰＴＫを持っている場合は、正規のユーザであることの証明になる。そして、ＰＴＫの中の上位バイトから１６バイトは、ＭＩＣ（Message Integrity Check）用鍵となる。このうち下位８バイトが、アクセスポイントからファームウェアに送るときのＭＩＣ用鍵となり、残りの上位８バイトが、ファームウェアからアクセスポイントに送るときのＭＩＣ用鍵となる。

メッセージ２を受け取ったアクセスポイントは、ファームウェア宛てに、ＰＴＫをインストールしたことなどを示すメッセージ３を送る（ステップＳ２８）。メッセージ３の中には、ＭＩＣ用鍵が含まれている。ファームウェアは、このＭＩＣ用鍵と、自らが所有するＰＴＫの中のＭＩＣ用鍵が一致しているか否かを調べ、一致していれば、メッセージ２の宛先としたアクセスポイントであると判断する。

次に、ファームウェアは、メッセージ３に対する応答メッセージとなるメッセージ４を、ＭＩＣ用鍵を付け加えて、アクセスポイント宛てに送る（ステップＳ２９）。メッセージ４を受け取ったアクセスポイントは、メッセージ３を受け取ったファームウェアと同様に、このＭＩＣ用鍵と、自らが所有するＰＴＫの中のＭＩＣ用鍵が一致しているか否かを調べ、一致していれば、メッセージ２の送出元であったファームウェアであると判断する。

このようにメッセージ１〜４までのやりとりを終えた後、ファームウェア及びアクセスポイントは、ＰＴＫの中の、上位１７バイト目からの１６バイトＴＫ（Temporal Key）を、各パケットごとに暗号化を行うための一時鍵とする。

本実施例では、従来はサプリカントで行われていた４ウェイハンドシェーク機能をファームウェアに搭載することに加え、ＷＰＡサプリカント・アプリケーションとアクセスポイントの間での４ウェイハンドシェーク（図５のステップＳ２１）が失敗し、かつ、その失敗の要因が、アクセスポイントにおいて、サプリカントからのメッセージ２又は４が、待機制限時間以内に送られてこなかったことである場合に、ファームウェアによって４ウェイハンドシェークを行うように切り替える。

図５のステップＳ２１において、アクセスポイントが４ウェイハンドシェークに失敗したと判断した場合は、アソシエーションを解除するためのディスアソシエーションパケットを、その理由を表す情報を付け加えて、サプリカントに向けて送信する（図５のステップＳ２２）。

そこで、本実施例においては、図５のステップＳ２２の後、再度ＷＰＡサプリカント・アプリケーションからアクセスポイントのスキャン要求が送信されて再接続が試行された場合（図のステップＳ２３）、アクセスポイントからのスキャン結果をファームウェアにて受信し（図５のステップＳ２４）、ファームウェアは、スキャン結果に基づいてディスアソシエーションパケットを検出し、アソシエーション解除となった理由を調べる。具体的には、ＭＡＣヘッダの中のSubtypeを調べ、ディスアソシエーションに対応する値“１０１０”であるか否かを調べる。“１０１０”である場合、さらに、パケット中のＩＥの、Reason Codeが、サプリカントからのメッセージ２又は４が待機制限時間以内に来なかったことを表す値“１５”になっているか否かを調べる。

また、本実施例では、ファームウェアが４ウェイハンドシェークを行うように切り替えるにあたって、再接続が行われた際に、図５のステップＳ２３のＷＰＡサプリカント・アプリケーションからのスキャン要求に対して、ファームウェアは、アクセスポイントがＷＰＡ−ＰＳＫの認証を要求していないように見せかける（図５のステップＳ２５）。これは、図５のステップＳ２２の後に再接続を試みる際に、ＷＰＡサプリカント・アプリケーションが、４ウェイハンドシェークを行わないようにするためである。

このことを実現するために、ファームウェアは、スキャンによって検出したアクセスポイントのＳＳＩＤを調べ、それが、前回接続を試みたアクセスポイントのＳＳＩＤと一致していれば、ＭＡＣパケット中の、Capability Informationの、暗号化をサポートしているか否かを示すビット４を、“１”から“０”（「サポートしている」から「サポートしていない」）に切り替えておく。

そして、図５のステップＳ２６〜Ｓ２９において４ウェイハンドシェークによる認証が成功した後は、ファームウェアは、ＴＫをＭＡＣ回路に渡し、ＭＡＣ回路は、データ通信を行う際に、ＴＫ及びＭＩＣ用鍵を基に、暗号化方式ＴＫＩＰに基づいて、パケットごとに暗号化を行う。

以上説明したように、本実施例によれば、ＷＰＡサプリカント・アプリケーションと、アクセスポイントにおけるＷＰＡの認証が失敗し、かつ、その失敗が、４ウェイハンドシェークにおいて、アクセスポイント側での待機制限時間以内に、ＷＰＡサプリカント・アプリケーションからのメッセージが届かなかったことが原因となっていた場合に、４ウェイハンドシェークをはじめとするサプリカント機能を、サブＣＰＵとリアルタイムオペレーティングシステムとファームウェアにより構成されるデバイス側システム上で実施するように切り替えて、再接続を行うという方法を用いているため、既存のＷＰＡサプリカント・アプリケーションやデバイスドライバの仕様を変更することなく、サプリカントからアクセスポイントへのメッセージ送出を高速化することができ、ＷＰＡの認証を成功させることが可能となる。

なお、この、デバイス側システム上で実施する方式への切り替えは、常に行うというものではなく、前述の通り、従来のＷＰＡサプリカント・アプリケーションによる４ウェイハンドシェークが失敗した場合の代替的な手段として利用するため、既存のＷＰＡサプリカント・アプリケーション機能と、本発明における認証方式とを、冗長度を持たせて、しかも効率良く、融合して利用することが可能となる。

また、本実施例によれば、サプリカント・アプリケーションとアクセスポイントの間での４ウェイハンドシェークが失敗した後の、再起動する場合を対象としているため、ファームウェアでの負荷が不要に重くなることを防ぐことができる。

さらに、本実施例によれば、ＷＰＡサプリカント・アプリケーションに対しては、スキャンによって検出したアクセスポイントが暗号化の機能を有していないように見せかけることにより、ＷＰＡサプリカント・アプリケーションが４ウェイハンドシェーク処理を行うことを抑制しているため、ファームウェアにおける４ウェイハンドシェークと重複することを防ぐことができる。

しかも、４ウェイハンドシェーク処理の重複を避けるにあたっては、従来のＷＰＡサプリカント・アプリケーションやデバイスドライバを改変することなく、そのまま利用することができるという点も、汎用性、可用性という観点から見て、本発明の作用効果となる。

以上、本発明の実施例について説明したが、上記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々の変形が可能である。

本発明は、ＷＰＡ認証技術を用いる無線ＬＡＮ通信のほか、ＷＰＡ認証技術を用いる有線ＬＡＮ通信にも適用できる。

ＷＰＡ−ＰＳＫの認証処理と鍵配送処理を示すフロー図である。 ４ウェイハンドシェークを示すフロー図である。 従来技術の無線ＬＡＮシステムの構成を示すブロック図である。 本発明の無線ＬＡＮシステムの構成を示すブロック図である。 本発明の無線ＬＡＮシステムの処理を示すフロー図である。

符号の説明

１００ サプリカント（無線ＬＡＮ端末）
１０１ メインＣＰＵ
１０２ オペレーティングシステム
１０３ ＷＰＡサプロカント・アプリケーション
１０４ デバイスドライバ
２００ 無線ＬＡＮデバイス搭載ボード
２０１ ＭＡＣ回路
２０２ ベースバンド・プロセッサ
２０３ 周波数変換回路
２０４ アンテナ
３００ 無線ＬＡＮデバイス搭載ボード
３０１ ＭＡＣ回路
３０２ ベースバンド・プロセッサ
３０３ 周波数変換回路
３０４ アンテナ
３０５ コントロールＲＡＭ
３０６ コントロールＲＡＭ Ｉ／Ｆレジスタ
３０７ サブＣＰＵ
３０８ リアルタイムオペレーティングシステム
３０９ ファームウェア

Claims (13)

1. アクセスポイントと、情報処理端末装置と、前記情報処理端末装置と前記アクセスポイントとを介する無線ＬＡＮ装置と、を有する無線ＬＡＮシステムであって、
   前記情報処理端末装置は、
   ＷＰＡ（Wi-Fi Protected Access）に基づいて前記情報処理端末装置と前記アクセスポイントとの間で無線ＬＡＮ通信を行うためのＷＰＡサプリカント・アプリケーションがインストールされており、
   前記無線ＬＡＮ装置は、
   前記ＷＰＡサプリカント・アプリケーションと前記アクセスポイントとの間で行われるＷＰＡ認証の一手順である４ウェイハンドシェークが失敗した場合、再接続時の４ウェイハンドシェークを行うことを特徴とする無線ＬＡＮシステム。
2. 前記無線ＬＡＮ装置は、
   前記ＷＰＡサプリカント・アプリケーションと前記アクセスポイントとの間で行われる４ウェイハンドシェークが失敗した場合に前記アクセスポイントからＷＰＡサプリカント・アプリケーションに対して送信されるパケットを受信し、
   前記パケットを解析した結果、前記ＷＰＡサプリカント・アプリケーションから前記アクセスポイントに対して待機制限時間以内に所定のメッセージが送信されなかったことを示す情報を検知した場合、前記再接続時の４ウェイハンドシェークを行うことを特徴とする請求項１記載の無線ＬＡＮシステム。
3. 前記無線ＬＡＮ装置は、
   前記ＷＰＡサプリカント・アプリケーションから再接続を要求された場合に前記アクセスポイントから前記ＷＰＡサプリカント・アプリケーションに対して送出されるビーコン信号を受信し、
   前記ビーコン信号中の情報要素を書き換えることにより、実際には４ウェイハンドシェークを必要とする前記アクセスポイントを、４ウェイハンドシェークを必要としないアクセスポイントに見せかけることを特徴とする請求項１又は２記載の無線ＬＡＮシステム。
4. 前記無線ＬＡＮ装置は、
   リアルタイムオペレーションシステムと、
   前記リアルタイムオペレーションシステム上で実行されるファームウェアと、
   前記リアルタイムオペレーションシステム上で前記ファームウェアを実行することによって前記無線ＬＡＮ装置を動作させるサブＣＰＵと、を有し、
   前記ファームウェアの実行により前記再接続時の４ウェイハンドシェークを行うことを特徴とする請求項１から３のいずれか１項に記載の無線ＬＡＮシステム。
5. 前記無線ＬＡＮ装置は、前記情報処理端末装置に内蔵されるか、又は、前記情報処理端末装置に着脱可能であることを特徴とする請求項１から４のいずれか１項に記載の無線ＬＡＮシステム。
6. 請求項１から５のいずれか１項に記載の無線ＬＡＮシステムで用いられることを特徴とする無線ＬＡＮ装置。
7. アクセスポイントと、情報処理端末装置と、前記情報処理端末装置と前記アクセスポイントとを介する無線ＬＡＮ装置と、を有する無線ＬＡＮシステムで行われる無線ＬＡＮ通信の認証方法であって、
   前記情報処理端末装置は、
   ＷＰＡ（Wi-Fi Protected Access）に基づいて前記情報処理端末装置と前記アクセスポイントとの間で無線ＬＡＮ通信を行うためのＷＰＡサプリカント・アプリケーションがインストールされており、
   前記無線ＬＡＮ装置は、
   前記ＷＰＡサプリカント・アプリケーションと前記アクセスポイントとの間で行われるＷＰＡ認証の一手順である４ウェイハンドシェークが失敗した場合、再接続時の４ウェイハンドシェークを行うことを特徴とする無線ＬＡＮ通信の認証方法。
8. 前記無線ＬＡＮ装置は、
   前記ＷＰＡサプリカント・アプリケーションと前記アクセスポイントとの間で行われる４ウェイハンドシェークが失敗した場合に前記アクセスポイントからＷＰＡサプリカント・アプリケーションに対して送信されるパケットを受信し、
   前記パケットを解析した結果、前記ＷＰＡサプリカント・アプリケーションから前記アクセスポイントに対して待機制限時間以内に所定のメッセージが送信されなかったことを示す情報を検知した場合、前記再接続時の４ウェイハンドシェークを行うことを特徴とする請求項７記載の無線ＬＡＮ通信の認証方法。
9. 前記無線ＬＡＮ装置は、
   前記ＷＰＡサプリカント・アプリケーションから再接続を要求された場合に前記アクセスポイントから前記ＷＰＡサプリカント・アプリケーションに対して送出されるビーコン信号を受信し、
   前記ビーコン信号中の情報要素を書き換えることにより、実際には４ウェイハンドシェークを必要とする前記アクセスポイントを、４ウェイハンドシェークを必要としないアクセスポイントに見せかけることを特徴とする請求項７又は８記載の無線ＬＡＮ通信の認証方法。
10. 前記無線ＬＡＮ装置は、
    リアルタイムオペレーションシステムと、
    前記リアルタイムオペレーションシステム上で実行されるファームウェアと、
    前記リアルタイムオペレーションシステム上で前記ファームウェアを実行することによって前記無線ＬＡＮ装置を動作させるサブＣＰＵと、を有し、
    前記ファームウェアの実行により前記再接続時の４ウェイハンドシェークを行うことを特徴とする請求項７から９のいずれか１項に記載の無線ＬＡＮ通信の認証方法。
11. アクセスポイントと、情報処理端末装置と、前記情報処理端末装置と前記アクセスポイントとを介する無線ＬＡＮ装置と、を有する無線ＬＡＮシステムに認証方法を実行させるためのプログラムであって、
    前記情報処理端末装置は、
    ＷＰＡ（Wi-Fi Protected Access）に基づいて前記情報処理端末装置と前記アクセスポイントとの間で無線ＬＡＮ通信を行うためのＷＰＡサプリカント・アプリケーションがインストールされており、
    前記無線ＬＡＮ装置に、
    前記ＷＰＡサプリカント・アプリケーションと前記アクセスポイントとの間で行われるＷＰＡ認証の一手順である４ウェイハンドシェークが失敗した場合、再接続時の４ウェイハンドシェーク処理を実行させることを特徴とするプログラム。
12. 前記無線ＬＡＮ装置に、
    前記ＷＰＡサプリカント・アプリケーションと前記アクセスポイントとの間で行われる４ウェイハンドシェークが失敗した場合に前記アクセスポイントからＷＰＡサプリカント・アプリケーションに対して送信されるパケットを受信する処理と、
    前記パケットを解析した結果、前記ＷＰＡサプリカント・アプリケーションから前記アクセスポイントに対して待機制限時間以内に所定のメッセージが送信されなかったことを示す情報を検知した場合、前記再接続時の４ウェイハンドシェーク処理と、
    を実行させることを特徴とする請求項１１記載のプログラム。
13. 前記無線ＬＡＮ装置に、
    前記ＷＰＡサプリカント・アプリケーションから再接続を要求された場合に前記アクセスポイントから前記ＷＰＡサプリカント・アプリケーションに対して送出されるビーコン信号を受信する処理と、
    前記ビーコン信号中の情報要素を書き換えることにより、実際には４ウェイハンドシェークを必要とする前記アクセスポイントを、４ウェイハンドシェークを必要としないアクセスポイントに見せかける処理と、
    を実行させることを特徴とする請求項１１又は１２記載のプログラム。

Images