JP2007538470A

JP2007538470A - Ｖｐｎクライアントのないポータブル装置の仮想プライベートネットワークへのアクセスを管理する方法

Info

Publication number: JP2007538470A
Application number: JP2007527294A
Authority: JP
Inventors: ジェルラン，オリヴィエ; ジャン，ジュンビアオ; ラマスワミー，クマール
Original assignee: Thomson Licensing SAS
Current assignee: Thomson Licensing SAS
Priority date: 2004-05-17
Filing date: 2005-05-10
Publication date: 2007-12-27
Also published as: CN1954580B; CN1954580A; BRPI0511097A; US20080037486A1; WO2005117392A1; EP1749390A1

Abstract

有利には、ポータブル通信装置（１２ａ、１２ｂ）は、ＶＰＮクライアント（２６）の必要なく、仮想プライベートネットワーク（１６）リンクを通じて企業ネットワーク（１４）にアクセスすることができる。通信を実現するために、ポータブル通信装置は、１つ以上の周知のセキュア無線プロトコルを使用して、無線アクセスポイント（２０）と通信リンクを確立する。無線アクセスポイントは、ＶＰＮ（１６）を通じて企業ネットワークと通信リンクを確立し、接続をブリッジして、ポータブル計算装置と企業ネットワークとの間のエンド・ツー・エンド・リンクを提供する。

Description

この出願は、２００４年５月１７日に出願された米国仮特許出願第６０／５７１７４２号の３５Ｕ．Ｓ．Ｃ．１１９（ｅ）の優先権を主張する。この内容が取り込まれる。

本発明は無線装置とネットワークとの間の安全な接続を管理する技術に関する。

多くの人は、日々の仕事で１つ以上のポータブル通信装置をますます利用している。このようなポータブル装置は、ラップトップコンピュータと、携帯情報端末（ＰＤＡ）と、無線電話とを有する。これらのポータブル通信装置は、無線接続を介して通信ネットワークにアクセスする機能を提供する。無線電話及びいくつかの形式のＰＤＡは、ユーザが公衆無線電話ネットワークにアクセスすることを可能にする。典型的には、今日の公衆無線電話ネットワークは、ＴＤＭＡ（ＴｉｍｅＤｉｖｉｓｉｏｎＭｕｌｔｉｐｌｅＡｃｃｅｓｓ）、ＣＤＭＡ（ＣｏｄｅＤｉｖｉｓｉｏｎＭｕｌｔｉｐｌｅＡｃｃｅｓｓ）、ＧＳＭ（ＧｌｏｂａｌＳｔａｎｄａｒｄｆｏｒＭｏｂｉｌｅ）及び第３世代セルラ電話標準のような複数の周知の無線標準のうち１つを利用する。多数のラップトップコンピュータは、ＩＥＥＥ８０２．１１ｉ標準を利用する公衆ネットワークを通じて無線接続を提供する。多数のユーザにとって、公衆無線ネットワークへのアクセスは、企業ネットワーク（通信の対象の宛先）への次のアクセスを可能にする。

これまでは、ほとんどの企業ネットワークは、ユーザのアクセスを可能にするために、１つ以上の公衆ネットワークとの専用回線接続に依存している。専用回線接続は高いセキュリティを提供するが、高いコストになる。インターネットの出現で、現在では公衆ネットワークは、公衆ネットワーク内で仮想プライベートネットワーク（ＶＰＮ：ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ）を生成する機能を企業ネットワークのオペレータに提供している。このようなＶＰＮは、プライベート専用回線ネットワークの相当物をシミュレートするために仮想接続を使用するが、低減したコストで行う。

所定の公衆ネットワーク内では、複数のＶＰＮは共通の通信パスを共有することができる。従って、意図しない受信者が特定の企業ネットワーク宛へのデータにアクセスすることができないことを確保するために、セキュリティが重要になる。様々なセキュリティ技術がＶＰＮネットワークに存在する。このような技術は、対称鍵及び公衆鍵暗号化を含み、しばしば異なる暗号化技術を利用する。いくつかのＶＰＮは、ＩＰＳＥＣ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌＳｅｃｕｒｉｔｙＰｒｏｔｏｃｏｌ）を利用する。ポータブル通信装置がＶＰＮを介して企業ネットワークへのエンド・ツー・エンド接続を確立することを可能にするために、通信装置はＶＰＮクライアントを有さなければならない。ＶＰＮクライアントは、様々なセキュリティプロトコルを実装するために必要なハードウェア及び／又はソフトウェアの形式を取る。ラップトップコンピュータのようないくつかのポータブル通信装置はＶＰＮクライアントを組み込む機能を有するが、無線電話及びＰＤＡのような多数の小型装置は有さない。従って、このような小型ポータブル通信装置は、ＶＰＮを通じて企業ネットワークへの接続を容易に確立することができない。

従って、ポータブル通信装置がＶＰＮを通じて少なくとも部分的に企業ネットワークと接続を確立することを可能にする技術についてのニーズが存在する。

要約すれば、本発明の好ましい実施例によれば、ポータブル通信装置と企業ネットワークとの間で接続を確立する方法が提供される。この方法は、企業ネットワークへのアクセスのためにポータブル通信装置による要求の無線アクセスポイントでの受信で開始する。アクセス要求に応じて、無線アクセスポイントは、ポータブル通信装置がアクセスしようとする企業ネットワークの識別情報を決定する。無線アクセスポイントは、無線認証プロトコルを使用してポータブル通信装置を認証する。ポータブル通信装置の認証の成功時に、無線アクセスポイントは、特定された企業ネットワークと仮想プライベートネットワークを確立し、ポータブル通信装置と企業ネットワークとの間の通信を促進する。このように、無線アクセスポイントは、ポータブル装置とアクセスポイントとの間で無線ＬＡＮセキュリティ機構を利用して接続を確立し、アクセスポイントと企業ネットワークとの間でＶＰＮ接続を確立する。

ポータブル通信装置でＶＰＮクライアントの必要なく、ＶＰＮを通じて部分的にポータブル通信装置と企業ネットワークとの間で通信を促進するための本発明の技術を最も良く理解するために、従来技術の簡単な説明が有用になる。

図１は、ポータブル通信装置１２（ラップトップコンピュータ、無線電話又はＰＤＡ等）が仮想プライベートネットワーク（ＶＰＮ）１６を介して企業ネットワーク１４とエンド・ツー・エンド通信リンクを確立する従来技術の通信ネットワーク１０のブロック概略図を示している。ＶＰＮ１６は、公衆ネットワーク１８及び無線アクセスポイント２０を通じて企業ネットワーク１４とポータブル通信装置１２との間に広がる。単一のエンティティとして図示されているが、無線アクセスポイント２０は、無線ネットワークの一部を有してもよい（図示せず）。図示の実施例では、企業ネットワーク１４は、ローカルエリアネットワーク２４に結合された企業ゲートウェイサーバ２０を有する。

ポータブル通信装置１２がＶＰＮ１６を通じて企業ネットワーク１４とエンド・ツー・エンド通信リンクを確立するために、ポータブル通信装置１２は、ＶＰＮクライアント２６を有さなければならない。ＶＰＮクライアント２６は、１つ以上のプログラム及び関連データの形式を取り、場合によってはポータブル通信装置１２が適用可能なセキュリティプロトコルを考慮してＶＰＮ１６とインタフェース接続することを可能にする１つ以上のハードウェア要素（図示）の形式を取る。ラップトップコンピュータのようないくつかの通信装置はＶＰＮクライアント２２を組み込む機能を有するが、無線電話装置のように小さいリソースを有する他のポータブル通信装置はこのような機能を有さない。従って、限られたリソースを有するポータブル通信装置は、ＶＰＮ１６を通じて企業ネットワーク１４と通信リンクを確立する機能を欠いている。

図２は、装置１２ａ及び１２ｂのようなポータブル通信装置が仮想プライベートネットワーク（ＶＰＮ）１６を通じて少なくとも部分的に企業ネットワーク１４と通信を確立するための本発明の好ましい実施例による通信ネットワーク１００のブロック概略図を示している。図２のネットワーク１００は、図１のネットワーク１０と同じ多数の要素を有するため、同じ数字は同じ要素を示す。

図２のネットワーク１００は、１つの重要な点で図１のネットワーク１０と異なる。ポータブル通信装置１２がＶＰＮクライアント２６を有する図１のネットワーク１０と異なり、図２のネットワーク１００のポータブル通信装置１２ａ及び１２ｂはＶＰＮクライアントを有さない。図１のようにＶＰＮ１６を通じて企業ネットワーク１４とエンド・ツー・エンド通信リンクを確立するのではなく、まず、各ポータブル通信装置１２ａ及び１２ｂは、複数の周知の無線通信プロトコルのうち１つを使用して、無線アクセスポイント２０と通信リンクを確立する。従って、例えばポータブル通信装置１２ａ及び１２ｂの一方が無線電話又はＰＤＡを有する場合、その装置と無線アクセスポイント２０との間の通信は、典型的には複数の周知の無線電話通信プロトコル（ＣＤＭＡ、ＴＤＭＡ、ＧＳＭ、３Ｇ等）のうちいずれかを使用して生じる。構成に応じて、ポータブル通信装置１２ａ及び１２ｂのうち一方又は双方は、ＩＥＥＥ８０２．１１ｉプロトコルを使用して無線アクセスポイント２０と通信してもよい。これらの前述のもの以外の無線プロトコルを介した通信が生じてもよい。

ポータブル通信装置１２ａ及び１２ｂの１つが無線アクセスポイント２０と通信リンクを確立すると、無線アクセスポイントは、ポータブル通信装置が認証を可能にするためにアクセスしようとする企業ネットワークを特定しようとする。無線アクセスポイント２０は、２つの方法のうち少なくとも一方で企業ネットワーク１４を特定する。例えば、ポータブル通信装置のユーザに関連する証明書が企業ネットワーク１４を特定してもよい。例えば、ユーザの証明書はユーザ名（すなわちｂｏｂ＠ｔｈｏｍｓｏｎ．ｎｅｔ）を有し、ユーザ名のドメイン部分が企業ネットワークを特定する。ユーザはまた、アクセスしようとする企業ネットワーク１４を具体的に特定してもよい。

無線アクセスポイント２０は、ユーザの証明書を確認することができる企業ネットワーク１４に問い合わせることにより、ポータブル通信装置のユーザを認証する。このような認証は、無線アクセスポイント２０とポータブル通信装置との間でＩＥＥＥ８０２．１１ｉ通信プロトコルを使用して生じてもよい。無線アクセスポイント２０と企業ネットワーク１４との間で、ＲＡＤＩＵＳ通信プロトコルが使用されてもよい。認証の成功時に、無線アクセスポイント２０は、無線ＬＡＮセキュリティ機構（例えばＴＫＩＰ（ＴｅｍｐｏｒａｌＫｅｙＩｎｔｅｇｒｉｔｙｐｒｏｔｏｃｏｌ）、ＷＰＡ（Ｗｉ−ＦｉＰｒｏｔｅｃｔｅｄＡｃｃｅｓｓ）又はＡＥＳ（ＡｄｖａｎｃｅｄＥｎｃｒｙｐｔｉｏｎｓｔａｎｄａｒｄ））を使用してポータブル通信装置１２ａ及び１２ｂのうち１つと安全なセッションを構築する。

無線アクセスポイント２０はまた、ＩＰＳＥＣ等を通じた通常のＶＰＮモデルを使用して、ポータブル通信装置の代わりに自分と企業ネットワーク１４との間でＶＰＮを構築する。無線アクセスポイント２０は、これらの２つの安全な接続をブリッジし、ポータブル装置と企業ネットワートの間でエンド・ツー・エンド接続を構築する。無線アクセスポイント２０と企業ネットワーク１４との間のＶＰＮ接続は、単一のＶＰＮセッションとして予め構築されてもよい点に留意すべきである。無線アクセスポイント２０は、企業ネットワーク１４の信頼を有していなければならないため、中間のネットワークが信頼を受ける必要のない図１のエンド・ツー・エンドＶＰＮの対策に比べて更なるレベルの複雑性を導入する。

前記では、ポータブル通信装置がＶＰＮクライアントを有する必要なく、通信装置が企業ネットワークと確立することを可能にする技術について説明した。

ポータブル通信装置がエンド・ツー・エンドＶＰＮ接続を通じて企業ネットワークと通信するＶＰＮクライアントを有する場合の従来技術による無線ネットワークのブロック概略図ポータブル通信装置がＶＰＮクライアントを有する必要なく、ポータブル通信装置がＶＰＮ接続を通じて部分的に企業ネットワークと通信する場合の本発明による無線ネットワークのブロック概略図

Claims

ポータブル通信装置と企業ネットワークとの間で接続を確立する方法であって、
ポータブル通信装置から企業ネットワークにアクセスする要求を無線アクセスポイントで受信するステップと、
前記ポータブル通信装置が何の企業ネットワークにアクセスしようとしているかを前記無線アクセスポイントで決定するステップと、
前記ポータブル通信装置との無線通信リンクを生成するために無線アクセス認証プロトコルを使用して、前記無線アクセスポイントで前記ポータブル通信装置を認証するステップと、
前記ポータブル通信装置によりアクセスされる前記企業ネットワークへの仮想プライベートネットワーク接続を確立し、前記ポータブル通信装置と前記企業ネットワークとの間で前記アクセスポイントを介して接続を提供するステップと、
前記無線通信リンクと仮想プライベート通信接続とをブリッジするステップと
を有する方法。
請求項１に記載の方法であって、
前記決定するステップは、
前記企業ネットワークにアクセスしようとする前記ポータブル通信装置から識別証明書を受信するステップと、
前記識別証明書から前記企業ネットワークを特定するステップと
を更に有する方法。
請求項１に記載の方法であって、
前記決定するステップは、
前記企業ネットワークにアクセスしようとする前記ポータブル通信装置からネットワーク識別情報を受信するステップと、
前記ネットワーク識別情報から前記企業ネットワークを特定するステップと
を更に有する方法。
請求項１に記載の方法であって、
前記認証するステップは、前記企業ネットワークに問い合わせて、前記ポータブル通信装置の証明書を確認するステップを更に有する方法。
請求項１に記載の方法であって、
前記認証するステップは、ｔｅｍｐｏｒａｌｋｅｙｉｎｔｅｇｒｉｔｙｐｒｏｔｏｃｏｌ、ｗｉ−ｆｉｐｒｏｔｅｃｔｅｄＡｃｃｅｓｓｐｒｏｔｏｃｏｌ又はａｄｖａｎｃｅｄｅｎｃｒｙｐｔｉｏｎｓｔａｎｄａｒｄｐｒｏｔｏｃｏｌのうち１つを使用して、前記ポータブル通信装置を認証することを更に有する方法。
ポータブル通信装置が企業ネットワークにアクセスするように動作する方法であって、
無線アクセスポイントにより受信するためのアクセス要求を前記ポータブル通信装置から送信するステップと、
前記無線アクセスポイントにより受信するためにアクセスされる前記企業ネットワークの識別情報の指示を前記ポータブル通信装置により供給するステップと、
前記ポータブル通信装置から前記無線アクセスポイントに認証情報を提供し、前記無線アクセスポイントが前記ポータブル通信装置と無線通信リンクを確立することを可能にし、前記無線アクセスポイントが前記企業ネットワークとＶＰＮ接続を確立することを可能にし、これによって、無線アクセスポイントが前記ＶＰＮ接続と無線通信リンクとをブリッジすることができるステップと
を有する方法。
ポータブル通信装置と企業ネットワークとの間で接続を確立する装置であって、
ポータブル通信装置から企業ネットワークにアクセスする要求を無線アクセスポイントで受信する手段と
前記ポータブル通信装置が何の企業ネットワークにアクセスしようとしているかを前記無線アクセスポイントで決定する手段と、
前記ポータブル通信装置との無線通信リンクを生成するために無線アクセス認証プロトコルを使用して、前記無線アクセスポイントで前記ポータブル通信装置を認証する手段と、
前記ポータブル通信装置によりアクセスされる前記企業ネットワークへの仮想プライベートネットワーク接続を確立し、前記ポータブル通信装置と前記企業ネットワークとの間で前記アクセスポイントを介して接続を提供する手段と、
前記無線通信リンクと仮想プライベート通信接続とをブリッジする手段と
を有する装置。
請求項７に記載の装置であって、
前記決定する手段は、
前記企業ネットワークにアクセスしようとする前記ポータブル通信装置からネットワーク識別情報を受信する手段と、
前記ネットワーク識別情報から前記企業ネットワークを特定する手段と
を更に有する装置。
請求項７に記載の装置であって、
前記決定する手段は、
前記企業ネットワークにアクセスしようとする前記ポータブル通信装置からネットワーク識別情報を受信する手段と、
前記ネットワーク識別情報から前記企業ネットワークを特定する手段と
を更に有する装置。