JP2008172489A - 端末装置を認証する装置、方法、プログラム、端末装置、および端末装置の通信を中継する装置 - Google Patents

Abstract

【課題】中継装置の処理負荷の増大を回避する認証装置を提供すること。
【解決手段】ＩＰ端末を識別する識別情報と、設定情報とを対応づけて記憶する記憶部１５１と、認証情報をＩＰ端末から受信する受信部１２１と、受信した認証情報でＩＰ端末を認証する認証部１２０と、認証したＩＰ端末の識別情報に対応する設定情報を記憶部１５１から取得する取得部１２２と、ＳＩＰプロキシとの間で確立された、ＩＰ端末の端末数より少ない予め定められた個数の通信経路によって、取得した設定情報をＳＩＰプロキシに送信する設定情報送信部１１１と、を備えた。
【選択図】 図７

Description

この発明は、シグナリングプロトコルを利用する端末装置のネットワークアクセス認証を行う装置、方法、プログラム、端末装置、および端末装置間の通信を中継する装置に関するものである。

近年、内部ネットワークに対する接続を許可するためのネットワークアクセス認証を行う認証エージェントと呼ばれる認証装置が提供されている。各通信装置は、認証エージェントにより認証された後でなければ、内部ネットワーク内の各種サービスを利用できない。また、認証を行う段階で、ＯＳのバージョン確認処理、ウイルス駆除のためのパターンファイルの更新状況の確認処理、およびウイルス検疫処理などを行う認証エージェントも開発されている。

一方、通信装置間に介在し通信を制御・中継するシグナリングプロトコルとしてＳＩＰ（Session Initiation Protocol）が広く知られている。例えば、従来の電話網に代わるインターネットを用いたＩＰ（Internet Protocol）電話システムが、ＳＩＰを適用した通信システム（ＳＩＰシステム）として普及している。

非特許文献１では、ＳＩＰについての標準化された規約が記載されている。例えば、非特許文献１には、ある端末から他の端末へ送信されたＳＩＰメッセージを次のサーバ等へ中継する機能等を備えたＳＩＰプロキシについて記載されている。また、非特許文献１には、端末がＳＩＰシステムの利用を開始するためには、ＳＩＰプロキシに対してＩＰアドレスやＳＩＰ ＵＲＩ（Uniform Resource Identifier）と呼ばれるＳＩＰのアドレス情報を登録する必要があることが記載されている。

J. Rosenberg et al.、 "RFC 3261、 SIP: Session Initiation Protocol"、 [online]、June 2002、 retrieved from the Internet: <URL: http://www.ietf.org/rfc/rfc3261.txt>

しかしながら、ＳＩＰを用いた従来の方法では、認証エージェントなどによる認証後に、各端末によってＳＩＰプロキシに対するアドレス情報の登録処理を行うため、ＳＩＰプロキシの処理負荷が増大する場合があるという問題があった。

例えば、オフィスやコールセンターなどのように固定的にＩＰ電話が設置されている環境では、業務開始時に端末の電源投入が集中することが多いため、登録要求が集中することによりＳＩＰプロキシの処理負荷が増大する場合がある。

なお、端末が起動されてから登録等の処理を開始するまでの時間をランダムに変更することで負荷集中を実現する方法も考えられるが、すべての端末が利用可能になるまでの時間が増加するという別の問題が生じる。

また、端末とＳＩＰプロキシとの間のトランスポートプロトコルとしてＵＤＰ（User Datagram Protocol）を利用するのではなく、ＴＣＰ（Transmission Control Protocol）を利用する場合には、コネクションの確立のための処理負荷の増大、およびポート番号等の接続情報を記憶するためのメモリ消費量の増大という問題も生じる。

さらに、セキュリティ強化のため、ＴＬＳ（Transport Layer Security）／ＴＣＰを用いる場合には、鍵交換のための処理などのためにさらに複雑な処理が必要になるため、登録処理が集中した場合のＳＩＰプロキシの処理負荷が過大となる可能性があった。

本発明は、上記に鑑みてなされたものであって、端末の通信を中継する中継装置に対する登録処理等の要求が集中した場合であっても、当該中継装置の処理負荷の増大を回避することができる装置、方法およびプログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、第１ネットワークに接続された複数の端末装置の通信を中継するための設定情報を登録して前記端末装置間の通信を中継する中継装置に第２ネットワークを介して接続されるとともに、前記端末装置に前記第１ネットワークを介して接続され、前記端末装置の前記第２ネットワークに対するアクセス認証を行う認証装置であって、前記端末装置を識別する識別情報と、前記設定情報とを対応づけて記憶する記憶部と、前記端末装置に固有の認証情報を、前記端末装置の前記識別情報とともに、前記端末装置から受信する受信部と、受信した前記認証情報に基づいて前記端末装置を認証する認証部と、認証した前記端末装置の前記識別情報に対応する前記設定情報を前記記憶部から取得する取得部と、前記中継装置との間で確立された、前記端末装置の端末数より少ない予め定められた個数の通信経路によって、取得した前記設定情報を前記中継装置に送信する送信部と、を備えたことを特徴とする。

また、本発明は、上記装置を実行することができる方法およびプログラムである。

また、本発明は、認証を行う認証装置と、通信を中継する中継装置とにネットワークを介して接続された端末装置であって、認証に用いる認証情報を前記認証装置に送信する第１送信部と、前記認証情報による認証結果と、前記中継装置が通信を中継するための設定情報を前記認証装置が前記中継装置に送信したことを示す設定済情報とを前記認証装置から受信する受信部と、前記受信部が前記設定済情報を受信した場合、前記設定情報を前記中継装置に送信せず、前記受信部が前記設定済情報を受信しない場合、前記設定情報を前記中継装置に送信する第２送信部と、を備えたことを特徴とする。

また、本発明は、端末装置と、前記端末装置を認証する認証装置とにネットワークを介して接続され、前記端末装置間の通信を中継する中継装置であって、前記端末装置による通信を中継するために用いる設定情報を記憶する記憶部と、前記認証装置との間で確立された、前記端末装置の端末数より少ない予め定められた個数の通信経路を用いて、前記設定情報を前記認証装置から受信する受信部と、受信した前記設定情報を前記記憶部に保存する保存部と、を備えたことを特徴とする。

本発明によれば、端末の通信を中継する中継装置に対する登録処理等の要求が集中した場合であっても、当該中継装置の処理負荷の増大を回避することができるという効果を奏する。

以下に添付図面を参照して、この発明にかかる端末装置を端末装置を認証する装置、方法、プログラム、端末装置、および端末装置の通信を中継する装置の最良な実施の形態を詳細に説明する。

本実施の形態にかかる認証装置は、端末を認証したときに、認証した端末に対して中継装置に登録すべき設定情報を記憶部から取得し、取得した設定情報を端末に代わって中継装置に登録するものである。

図１は、本実施の形態にかかる認証装置である認証エージェント１００を含む通信システム全体の構成を示すブロック図である。同図に示すように、本実施の形態の通信システムは、複数のＩＰ端末２００ａ〜２００ｌと、複数の認証エージェント１００ａ、１００ｂと、ルータ３００ａ、３００ｂと、ＡＡＡサーバ４００と、ＳＩＰプロキシ５００とが、ネットワークで接続された構成となっている。

ＩＰ端末２００ａ〜２００ｌは、シグナリングプロトコルとしてＳＩＰを使用し、ＳＩＰのＵＡ（User Agent）機能と、ネットワーク認証を受けるための認証クライアントとしての機能とを備えている。なお、ＩＰ端末２００の個数は同図のように１２に限られるものではない。

認証エージェント１００ａ、１００ｂは、ＩＰ端末２００からネットワーク認証要求を受付け、後述するＡＡＡサーバ４００と連携してＩＰ端末２００の認証を行うものである。本実施の形態では、アクセス認証プロトコルとして、ＰＡＮＡ（Protocol for Carrying Authentication for Network Access）を用いた例について説明するが、利用可能な認証プロトコルはＰＡＮＡに限られるものではない。

また、認証エージェント１００ａ、１００ｂは、必要であればＯＳのバージョン、ウイルス駆除のパターンファイル更新のチェックや、検疫処理などを行う。また、認証エージェント１００は、ＩＰ端末２００ａ〜２００ｆの認証を行う認証エージェント１００ａと、ＩＰ端末２００ｇ〜２００ｌの認証を行う認証エージェント１００ｂによって負荷分散されている。

ルータ３００ａ、３００ｂは、ＩＰ端末２００から送信されたメッセージをＳＩＰプロキシ５００に中継するものであり、ＩＰルータ／スイッチなどの従来から用いられている装置により構成することができる。なお、ルータ３００のフィルタリングの設定等は、認証エージェント１００により実行可能である。また、認証エージェント１００ａがＩＰ端末２００ａ〜２００ｆに対するルータ３００ａの設定を行い、認証エージェント１００ｂがＩＰ端末２００ｇ〜２００ｌに対するルータ３００ｂの設定を行うものとする。

ＡＡＡサーバ４００は、ＡＡＡ（Authentication, Authorization and Accounting）プロトコルによる認証処理を行う認証サーバである。ＡＡＡサーバ４００は、原則として従来の方法による認証サーバと同様の機能を備えている。なお、後述するように、端末ごとに必要な登録のための設定情報をＡＡＡサーバ４００内に記憶するように構成してもよい。

ＳＩＰプロキシ５００は、ＳＩＰのステートフルプロキシおよびレジストラ（ＲＥＧＩＳＴＲＡＲ）を兼ねたＳＩＰメッセージの中継装置である。

なお、上記各装置（ＩＰ端末２００、認証エージェント１００、ルータ３００、ＡＡＡサーバ４００、およびＳＩＰプロキシ５００）の構成の詳細については後述する。

次に、本実施の形態の通信システムによるＳＩＰのＲＥＧＩＳＴＥＲ処理（登録処理）の概要について説明する。まず、従来の技術による登録処理の概要とその問題点について説明する。

図２は、従来の通信システムにおける登録処理の流れを示した概念図である。従来のＳＩＰを用いた通信システムでは、まず、従来の端末装置であるＩＰ端末２０が、従来の認証装置である認証エージェント１０に対して認証要求を行う（ステップＳ２０１）。

次に、認証エージェント１０は、ＡＡＡサーバ４００と連動してＩＰ端末２０の認証を行う（ステップＳ２０２）。また、認証エージェント１０は、必要であれば検疫などの処理も行う。

ＩＰ端末２０を認証後、認証エージェント１０は、ＩＰ端末２０と、従来のＳＩＰプロキシ５０との間の通信に用いる暗号鍵をＩＰ端末２０との間で生成し、ＳＩＰプロキシ５０に通知する（ステップＳ２０３）。

次に、認証エージェント１０は、必要に応じて、ＩＰ端末２０のためにルータ３００ａのフィルタの設定を行う（ステップＳ２０４）。

以上の処理でＳＩＰプロキシ５０へのアクセスが可能となったＩＰ端末２０は、ステップＳ２０３で生成した暗号鍵によってＴＬＳ／ＴＣＰのトランスポートを確立し、確立したトランスポートを用いてＳＩＰ ＲＥＧＩＳＴＥＲ処理を実行する（ステップＳ２０５）。

なお、ここではＳＩＰがＴＬＳ／ＴＣＰを使用することを前提とし、ＴＬＳ／ＴＣＰで用いる暗号鍵を生成するフェーズを含んでいるが、ＵＤＰまたはＴＣＰなどのようにＴＬＳ／ＴＣＰを使用しない場合は、ステップＳ２０３の処理は不要である。しかし、いずれの場合であっても、ステップＳ２０５で各ＩＰ端末２０からＳＩＰプロキシ５０に対してそれぞれＳＩＰ ＲＥＧＩＳＴＥＲ処理が実行されるため、処理の集中によるＳＩＰプロキシ５０の負荷の増大という問題が生じる。

特に、ＴＬＳ／ＴＣＰを使用する場合は、ＵＤＰまたはＴＣＰのみを利用する場合に比較してステップＳ２０５の処理が複雑になるため、負荷の増大の影響がさらに大きくなる。図３は、ＴＬＳ／ＴＣＰトランスポートを用いたＳＩＰ ＲＥＧＩＳＴＥＲ処理の詳細を説明するための説明図である。

同図に示すように、ＴＬＳ／ＴＣＰを使用する場合は、ステップＳ３０３のＳＩＰ ＲＥＧＩＳＴＥＲ処理を行う前提として、ＴＬＳで用いる鍵を交換する処理などを含むＴＬＳ ｈａｎｄｓｈａｋｅ処理（ステップＳ３０１）と、ＴＣＰコネクション確立処理（ステップＳ３０２）が必要となる。なお、ＵＤＰを使用する場合はステップＳ３０３のみが実行される。このように、ＵＤＰと比較すると、ＴＬＳ／ＴＣＰを使用した場合は、ＳＩＰ ＲＥＧＩＳＴＥＲ処理の集中によるＳＩＰプロキシ５０の負荷増大の影響は特に大きくなる。

図４は、本実施の形態の通信システムにおける登録処理の流れを示した概念図である。ステップＳ４０１の認証要求送信処理、ステップＳ４０２の認証処理、ステップＳ４０３の鍵生成処理、およびステップＳ４０４のルータ設定処理は、それぞれ図３のステップＳ２０１〜ステップＳ２０４と同様である。

本実施の形態の通信システムでは、ステップＳ４０５で、各ＩＰ端末２００がＳＩＰプロキシ５００との間で登録処理を行うのではなく、記憶部に予め記憶された端末ごとの設定情報を取得した認証エージェント１００が、ＩＰ端末２００に代わって登録処理を実行する点が従来の通信システムと異なっている。また、以降の再ＳＩＰ ＲＥＧＩＳＴＥＲ処理も認証エージェント１００が代行することにより、ネットワーク認証の失敗または終了と、ＳＩＰ ＲＥＧＩＳＴＥＲ処理を連動させることができる。

また、ＩＰ端末２００からＳＩＰプロキシ５００に対する登録処理が不要となるため、ＴＬＳ／ＴＣＰなどのＳＩＰのトランスポートに必要な処理も不要となり、ＳＩＰプロキシ５００の処理負荷を軽減することができる。

また、登録処理に本質的に必要な情報はＩＰアドレスである。すなわち、ＴＬＳの鍵情報などのその他の情報は、主に登録状態を維持するために必要となるパラメタであって、登録処理を認証エージェント１００が実行する場合は不要となる。したがってこの場合は、ＳＩＰプロキシ５００が鍵情報などのパラメタを記憶する必要がなくなるため、メモリなどのリソースの消費量が軽減されるという効果がある。

次に、上記各装置（ＩＰ端末２００、認証エージェント１００、ルータ３００、ＡＡＡサーバ４００、およびＳＩＰプロキシ５００）の構成の詳細について説明する。まず、ＩＰ端末２００の構成について説明する。図５は、ＩＰ端末２００の詳細な構成を示すブロック図である。

同図に示すように、ＩＰ端末２００は、認証部２１０と、ＳＩＰ処理部２２０と、認証部２１０と、ＴＬＳ処理部２３０とを備えている。

認証部２１０は、ＰＡＮＡの認証クライアントとしての機能であるＰａＣ（PANA Client）機能を実現する処理部であり、第１送信部２１１と、受信部２１２とを備えている。

第１送信部２１１は、認証エージェント１００に対してＰＡＮＡによる認証（ＰＡＮＡ認証）で用いる認証情報を送信するものである。

受信部２１２は、認証エージェント１００から、ＰＡＮＡ認証の結果を受信するとともに、認証エージェント１００が登録処理を代行したことを示す情報（設定済情報）を含むように拡張されたＰＡＮＡメッセージを受信するものである。

図６は、ＰＡＮＡメッセージの拡張方法の一例を示す説明図である。同図は、ＰＡＮＡで拡張用のデータを追加するときに用いられるＡＶＰ（Attribute Value Pair）によってＰＡＮＡメッセージを拡張したＡＶＰ（拡張ＡＶＰ）のフォーマットの一例を示すものである。

具体的には、同図は、Ｖｅｎｄｏｒ−ｉｄ６０３と、ＡＶＰ Ｃｏｄｅ６０１によって設定済情報を通知する例を示している。すなわち、Ｖｅｎｄｏｒ−ｉｄ６０３が「１８６」であり、ＡＶＰ Ｃｏｄｅが「１２８」であることにより、ＩＰ端末２００は、認証エージェント１００によりＳＩＰ ＲＥＧＩＳＴＥＲ処理が実行済みであることを識別する。

なお、ＡＶＰ Ｆｌａｇｓ６０２の最初のビット（Vendor-Specific bit）を「１」にすることにより、オプションのＶｅｎｄｏｒ−ｉｄフィールドが存在することを表している。また、ＡＶＰ Ｆｌａｇｓ６０２の２つ目のビット（Mandatory bit）を「０」にすることにより、この拡張ＡＶＰを識別できない端末装置は拡張ＡＶＰを無視できるようにしている。

なお、上記メッセージの拡張方法は一例であり、認証エージェント１００によって登録処理を代行済みであることを通知できるものであればあらゆる方法を適用できる。

ＳＩＰ処理部２２０は、ＳＩＰのＵＡとしての機能を実現する処理部であり、第２送信部２２１を備えている。

第２送信部２２１は、ＳＩＰ ＲＥＧＩＳＴＥＲメッセージをＳＩＰプロキシ５００に送信することによりＳＩＰ ＲＥＧＩＳＴＥＲ処理を実行するものである。また、本実施の形態では、第２送信部２２１は、受信部２１２が設定済情報を受信したときには登録処理を行わないように構成されている。

ＴＬＳ処理部２３０は、ＳＩＰのトランスポートとして使用するＴＬＳに関する処理を行うものである。例えば、ＴＬＳ処理部２３０は、認証エージェント１００との間で鍵情報の導出を行い、ＳＩＰプロキシ５００との間の通信で利用できるように設定する処理を行う。

次に、認証エージェント１００の構成について説明する。図７は、認証エージェント１００の詳細な構成を示すブロック図である。同図に示すように、認証エージェント１００は、記憶部１５１と、ＥＰ制御部１１０と、認証部１２０と、を備えている。

記憶部１５１は、ＩＰ端末２００ごとのＳＩＰプロキシ５００に登録すべき設定情報を格納した設定情報テーブル１５１ａを記憶するものである。図８は、設定情報テーブル１５１ａのデータ構造の一例を示す説明図である。

同図に示すように、設定情報テーブル１５１ａには、ＩＰ端末２００を識別する識別情報として機器ＩＤと、ＳＩＰ ＵＲＩとが対応づけられて格納されている。

設定情報テーブル１５１ａは、ＩＰ端末２００を認証したときに、認証に用いる認証情報に含まれる機器ＩＤを元に、ＩＰ端末２００の設定情報としてＳＩＰ ＵＲＩを取得するために参照される。

なお、機器ＩＤの代わりに、または機器ＩＤとともに、ユーザを識別するユーザＩＤなどとＳＩＰ ＵＲＩとを対応づけて格納するように構成してもよい。この場合は、認証情報として送信されたユーザＩＤをさらに検索キーとして、対応するＳＩＰ ＵＲＩを取得する。

また、ルータ３００に設定すべきアクセス制御情報などが存在する場合、設定情報テーブル１５１ａに当該制御情報を保存するように構成してもよい。

ＥＰ制御部１１０は、ＰＡＮＡのＥＰ（Enforcement Point）の制御を行うものである。ＥＰとは、ＰＡＮＡの認証エージェントであるＰＡＡ（PANA Authentication Agent）から制御される、データリンク層および／またはＩＰ層のトラフィックのフィルタを行う装置であって、認証されたクライアント端末の情報や暗号鍵をＰＡＡから知ることができる装置である。

例えば、無線端末がＰａＣ、アクセスポイントがＥＰ、その背後にＰＡＡが存在するようなネットワークを考える。この場合、ＰａＣがＰＡＡによって認証された後、ＰＡＡはＥＰに対して、ＳＮＭＰ（Simple Network Management Protocol）や専用のＡＰＩ（Application Program Interface）を用いて、認証されたＰａｃのみが通過できるようなフィルタの設定を行う。これにより、ＰａＣはネットワークに接続可能になる。本実施の形態では、ルータ３００がＥＰに相当する。

ＥＰ制御部１１０は、さらに設定情報送信部１１１を備えている。設定情報送信部１１１は、後述する認証部１２０の取得部１２２が記憶部１５１から取得した設定情報を、ＳＩＰプロキシ５００に対して送信することにより、登録処理を代行するものである。例えば、設定情報送信部１１１は、設定情報としてＳＩＰ ＵＲＩを、ＩＰ端末２００のＩＰアドレスとともにＳＩＰプロキシ５００に対して送信する。ＳＩＰプロキシ５００は、受信したＳＩＰ ＵＲＩとＩＰアドレスとによってＳＩＰ ＲＥＧＩＳＴＥＲ処理を実行可能となる。

認証部１２０は、ＰＡＮＡの認証サーバとしての機能であるＰＡＡ機能を実現する処理部であり、受信部１２１と、取得部１２２と、鍵生成部１２３と、結果送信部１２４とを備えている。

受信部１２１は、ＩＰ端末２００から認証に用いる認証情報を受信するものである。認証部１２０は、受信部１２１により受信した認証情報によってＩＰ端末２００の認証を行う。

取得部１２２は、認証したＩＰ端末２００の機器ＩＤに対応する設定情報を、設定情報テーブル１５１ａから取得するものである。

鍵生成部１２３は、ＰＡＮＡ上でのＥＡＰ(Extensible Authentication Protocol)メッセージの交換により、新たな通信(ＳＩＰの通信)のための共有鍵を生成するものである。

結果送信部１２４は、認証部１２０による認証結果をＩＰ端末２００に送信するものである。また、設定情報送信部１１１によって設定情報をＳＩＰプロキシ５００に送信した場合は、結果送信部１２４は、設定情報が登録済みであることを示す上述の設定済情報を含むＰＡＮＡメッセージをＩＰ端末２００に対して送信する。

次に、ルータ３００の構成について説明する。図９は、ルータ３００の詳細な構成を示すブロック図である。同図に示すように、ルータ３００は、ＥＰ制御部３１０を備えている。

ＥＰ制御部３１０は、ＰＡＮＡのＥＰ制御を受付ける処理部である。具体的には、ＥＰ制御部３１０は、認証エージェント１００のＥＰ制御部１１０によるフィルタ設定などの指示を受付け、受付けた指示に従ってフィルタの設定などを行う。

次に、ＡＡＡサーバ４００の構成について説明する。図１０は、ＡＡＡサーバ４００の詳細な構成を示すブロック図である。同図に示すように、ＡＡＡサーバ４００は、記憶部４５１と、認証部４１０とを備えている。

記憶部４５１は、認証するユーザに関するユーザ情報を格納するユーザ情報テーブル４５１ａを記憶している。ユーザ情報テーブル４５１ａは、例えば、ユーザを識別するユーザＩＤと、パスワードとを対応づけたユーザ情報を格納している。このユーザ情報を用いて、後述する認証部４１０が認証エージェント１００と連動してユーザの認証を行う。

なお、認証に用いる情報はユーザＩＤとパスワードに限られず、デジタル証明書などＥＡＰによる認証で利用可能なあらゆる情報を用いることができる。

認証部４１０は、認証エージェント１００の認証部１２０と連動してＩＰ端末２００の認証を行うものである。

なお、本実施の形態では、認証エージェント１００が分散されているため、ＡＡＡサーバ４００を認証エージェント１００と分離した構成としているが、認証エージェント１００が分散されていない場合は、ＡＡＡサーバ４００の機能を認証エージェント１００に含めるように構成してもよい。

次に、ＳＩＰプロキシ５００の構成について説明する。図１１は、ＳＩＰプロキシ５００の詳細な構成を示すブロック図である。同図に示すように、ＳＩＰプロキシ５００は、記憶部５５１と、ＥＰ制御部５１０と、ＳＩＰ処理部５２０と、ＴＬＳ処理部５３０とを備えている。

記憶部５５１は、ＳＩＰ ＲＥＧＩＳＴＥＲ処理により登録した設定情報を格納する登録情報テーブル５５１ａを記憶するものである。図１２は、登録情報テーブル５５１ａのデータ構造の一例を示す説明図である。同図に示すように、登録情報テーブル５５１ａは、登録したＩＰ端末２００のＩＰアドレスと、ＳＩＰ ＵＲＩとを対応づけて格納している。

ＥＰ制御部５１０は、ＰＡＮＡのＥＰ制御を受付ける処理部である。また、ＥＰ制御部５１０は、設定情報受信部５１１を備えている。設定情報受信部５１１は、ＳＩＰ ＲＥＧＩＳＴＥＲ処理に必要な設定情報および鍵情報を認証エージェント１００の設定情報送信部１１１から受信するものである。

ＳＩＰ処理部５２０は、ＳＩＰのプロキシサーバとしての機能およびＳＩＰのレジストラとしての機能を実現する処理部である。ＳＩＰ処理部５２０は、さらに、設定情報受信部５１１が受信した設定情報を登録情報テーブル５５１ａに保存する保存部５２１を備えている。なお、ＳＩＰ処理部５２０にＳＩＰ Ｌｏｃａｔｉｏｎサーバ機能を備えるように構成してもよい。

ＴＬＳ処理部５３０は、ＳＩＰのトランスポートとして使用するＴＬＳに関する処理を行うものである。例えば、ＴＬＳ処理部５３０は、認証エージェント１００が生成したＴＬＳの鍵情報を取得し、ＩＰ端末２００との通信で利用できるように設定する処理を行う。

なお、上記各装置の記憶部（記憶部１５１、記憶部４５１、記憶部５５１）は、ＨＤＤ（Hard Disk Drive）、光ディスク、メモリカード、ＲＡＭ（Random Access Memory）などの一般的に利用されているあらゆる記憶媒体により構成することができる。

次に、このように構成された本実施の形態にかかる認証エージェント１００による認証処理について説明する。図１３は、本実施の形態における認証処理の全体の流れを示すシーケンス図である。

まず、ＩＰ端末２００の認証部２１０が、認証エージェント１００に対してネットワークアクセス認証を開始する（ステップＳ１３０１）。具体的には、認証部２１０は、認証に用いるＰＡＮＡセッションの初期化などを行う、ＰＡＮＡの「Discovery and handshake phase」を実行する。ここで、ＩＰ端末２００が、認証を行う認証エージェント１００を発見するように構成してもよい。

このフェーズは、認証エージェント１００の認証部１２０は、ＩＰ端末２００に対してＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージを送信する。また、ＩＰ端末２００の認証部２１０は、このメッセージを受信し、応答としてＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージを送信する。

次に、認証エージェント１００の認証部１２０は、ＡＡＡサーバ４００を利用してＩＰ端末２００の認証を行う「Authentication and Authorization phase」を実行する（ステップＳ１３０２）。このフェーズで、ＥＡＰメッセージの交換によりユーザ認証／機器認証が開始される。

具体的には、ＩＰ端末２００の第１送信部２１１が認証に必要な認証情報を含むＥＡＰメッセージを、認証エージェント１００に対して送信する。また、認証部１２０の受信部１２１がＥＡＰメッセージを受信し、認証部１２０がＡＡＡサーバ４００の認証部４１０と連動して認証確認を行う。

次に、認証エージェント１００の取得部１２２は、記憶部１５１の設定情報テーブル１５１ａから、ＳＩＰ ＲＥＧＩＳＴＥＲ処理に必要な設定情報を取得する（ステップＳ１３０３）。なお、ルータに対する制御情報が存在する場合も取得部１２２が設定情報テーブル１５１ａから必要な制御情報を取得する。

なお、このように認証エージェント１００内に設定情報を記憶するのではなく、ＡＡＡサーバ４００内に設定情報を記憶するように構成してもよい。この場合、取得部１２２は、ＡＡＡサーバ４００内の設定情報テーブルから対応する設定情報や制御情報を取得する。

次に、認証エージェント１００のＥＰ制御部１１０は、取得した制御情報をルータに送信することによりルータの設定を行う（ステップＳ１３０４）。制御情報を受信したルータ３００のＥＰ制御部３１０は、制御情報にしたがってフィルタ設定などの設定を行う（ステップＳ１３０５）。

次に、ＩＰ端末２００の認証部２１０と認証エージェント１００の認証部１２０内の鍵生成部１２３は、ＥＡＰメッセージ交換によりＳＩＰのＴＬＳ／ＴＣＰで用いる共有鍵情報を導出する（ステップＳ１３０６）。

続いて、認証エージェント１００の結果送信部１２４は、ＩＰ端末２００に対して、ＳＩＰ ＲＥＧＩＳＴＥＲ処理を代理で実行するため、ＩＰ端末２００では登録処理を実行不要であることを通知する（ステップＳ１３０７）。

具体的には、結果送信部１２４は、図６で示したような拡張ＡＶＰを含むＰＡＮＡメッセージをＩＰ端末２００に対して送信する。例えば、結果送信部１２４は、ＥＡＰによる認証が成功したことを通知するＰＡＮＡ−Ｂｉｎｄ−Ｒｅｑｕｅｓｔに上記拡張ＡＶＰを含めてＩＰ端末２００に送信することができる。

次に、認証エージェント１００の設定情報送信部１１１は、ステップＳ１３０６で導出した共有鍵情報と、ステップＳ１３０３で取得した設定情報とを、ＳＩＰプロキシ５００に対してセキュアな通信経路により送信する（ステップＳ１３０８）。具体的には、設定情報送信部１１１は、ＳＩＰプロキシ５００の設定情報受信部５１１に設定情報を送信するとともに、ＳＩＰプロキシ５００のＴＬＳ処理部５３０に対して共有鍵情報を送信する。

ＳＩＰプロキシ５００は、受信した設定情報および共有鍵情報をそれぞれ設定する処理を行う（ステップＳ１３０９）。具体的には、ＳＩＰプロキシ５００の設定情報受信部５１１が設定情報を受信し、ＳＩＰ処理部５２０の保存部５２１が、受信した設定情報を登録情報テーブル５５１ａに保存することにより、ＳＩＰ ＲＥＧＩＳＴＥＲ処理を完了する。また、ＳＩＰプロキシ５００のＴＬＳ処理部５３０が共有鍵情報を受信し、ＴＬＳ／ＴＣＰによる通信のための設定処理を行う。

なお、認証エージェント１００とＳＩＰプロキシ５００との間のセキュアな通信経路はどのようなものであってもよいが、事前に経路の確立処理が完了しているものとする。このように、従来は、各ＩＰ端末２００とＳＩＰプロキシ５００との間でＴＬＳなどのトランスポートがそれぞれ必要だったのに対し、本実施の形態では、認証エージェント１００とＳＩＰプロキシ５００との間で１つの通信経路が確保されていれば、登録処理を実行可能となる。

なお、認証エージェント１００とＳＩＰプロキシ５００と間の通信経路の個数は１つに限られるものではなく、少なくともＩＰ端末２００の端末数より少ない個数の通信経路であれば、トランスポートに必要な処理の軽減やリソース消費量の軽減が実現できる。

また、ステップＳ１３０８およびステップＳ１３０９で実際にＳＩＰ ＲＥＧＩＳＴＥＲ処理を行う前に、ステップＳ１３０７でＩＰ端末２００に対して登録不要の通知を行うのは、以下の理由による。

例えば、ＩＰ端末２００ｂはすでに認証を完了し、ＳＩＰプロキシ５００に登録済みの状態とする。また、ＩＰ端末２００ａが認証を行いステップＳ１３０６まで完了済みの状態とする。

そして、この状態で、登録不要の通知（ステップＳ１３０７）を行わずに、登録処理（ステップＳ１３０８、１３０９）を実行し、ＩＰ端末２００ａをＳＩＰプロキシ５００に登録済みの状態にしたとする。この場合、仮にＩＰ端末２００ｂなどの他のＩＰ端末２００からＩＰ端末２００ａへの接続が要求されると、ＩＰ端末２００ａは登録不要の通知を受けていないため、ＳＩＰによる通信ができない恐れがある。

また、この場合、ＳＩＰの通信ができなかったことを、ＩＰ端末２００ａが知ることができず、ＩＰ端末２００ｂに対して通知等を行うことができないため、ＩＰ端末２００ｂはＩＰ端末２００ａが不安定であると判断する可能性がある。

これに対し、ステップＳ１３０７の登録不要通知の後に、ステップＳ１３０８、１３０９の登録処理を行う方法であれば、仮にＳＩＰプロキシ５００に対してＩＰ端末２００ａがＲＥＧＩＳＴＥＲ状態になかった場合であっても、ＳＩＰにより正常に通信ができないことをＩＰ端末２００ａが検知することができる。このため、認証に問題があったのか、ＳＩＰプロキシ５００の設定に問題があったのかなどの原因を調査することが可能となる。

図１３に戻り、ステップＳ１３０７で登録不要の通知を受けたＩＰ端末２００は、ＳＩＰ ＲＥＧＩＳＴＥＲ処理が完了済みであるものと判断し、認証エージェント１００により認証されている間は、ＳＩＰ ＲＥＧＩＳＴＥＲ処理を実行せずにＳＩＰによる通信を行う（ステップＳ１３１０）。

なお、ステップＳ１３０８のＳＩＰ ＲＥＧＩＳＴＥＲ処理は、ＰＡＮＡの初期認証のときに実行されるだけでなく、ＰＡＮＡで認証されたＩＰ端末２００とのセッションを継続するためのＰＡＮＡのキープアライブ処理時にも実行される。これにより、ＩＰ端末２００は、認証されている間は、ＳＩＰ ＲＥＧＩＳＴＥＲ処理や再ＳＩＰ ＲＥＧＩＳＴＥＲ処理を実行する必要がなくなる。言い換えれば、本実施の形態により、ネットワーク認証とＳＩＰ ＲＥＧＩＳＴＥＲ処理との連動も実現されている。

このように、本実施の形態にかかる認証装置では、端末を認証したときに、認証した端末に対して中継装置に登録すべき設定情報を記憶部から取得し、取得した設定情報を端末に代わって中継装置に登録することができる。このため、中継装置に登録処理要求が集中した場合であっても、中継装置の処理負荷の増大を回避することが可能となる。

次に、本実施の形態にかかる認証装置のハードウェア構成について説明する。図１４は、本実施の形態にかかる認証装置のハードウェア構成を示す説明図である。

本実施の形態にかかる認証装置は、ＣＰＵ（Central Processing Unit）５１などの制御装置と、ＲＯＭ（Read Only Memory）５２やＲＡＭ５３などの記憶装置と、ネットワークに接続して通信を行う通信Ｉ／Ｆ５４と、ＨＤＤ、ＣＤ（Compact Disc）ドライブ装置などの外部記憶装置と、ディスプレイ装置などの表示装置と、キーボードやマウスなどの入力装置と、各部を接続するバス６１を備えており、通常のコンピュータを利用したハードウェア構成となっている。

本実施の形態にかかる認証装置で実行される認証プログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ（Compact Disk Recordable）、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録されて提供される。

また、本実施の形態にかかる認証装置で実行される認証プログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、本実施の形態にかかる認証装置で実行される認証プログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。

また、本実施の形態の認証プログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

本実施の形態にかかる認証装置で実行される認証プログラムは、上述した各部（ＥＰ制御部、認証部）を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ５１（プロセッサ）が上記記憶媒体から認証プログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、上述した各部が主記憶装置上に生成されるようになっている。

以上のように、本発明にかかる端末装置を認証する装置、方法、プログラム、端末装置、および端末装置の通信を中継する装置は、シグナリングプロトコルとしてＳＩＰを用いた通信システムで利用される認証装置、認証方法、認証プログラム、当該通信システムの端末であるＳＩＰ端末、および当該通信システムの通信中継装置であるＳＩＰプロキシに適している。

本実施の形態にかかる通信システム全体の構成を示すブロック図である。 従来の通信システムにおける登録処理の流れを示した概念図である。 ＴＬＳ／ＴＣＰトランスポートを用いたＳＩＰ ＲＥＧＩＳＴＥＲ処理の詳細を説明するための説明図である。 本実施の形態の通信システムにおける登録処理の流れを示した概念図である。 ＩＰ端末の詳細な構成を示すブロック図である。 ＰＡＮＡメッセージの拡張方法の一例を示す説明図である。 認証エージェントの詳細な構成を示すブロック図である。 設定情報テーブルのデータ構造の一例を示す説明図である。 ルータの詳細な構成を示すブロック図である。 ＡＡＡサーバの詳細な構成を示すブロック図である。 ＳＩＰプロキシの詳細な構成を示すブロック図である。 登録情報テーブルのデータ構造の一例を示す説明図である。 本実施の形態における認証処理の全体の流れを示すシーケンス図である。 本実施の形態にかかる認証装置のハードウェア構成を示す説明図である。

符号の説明

５１ ＣＰＵ
５２ ＲＯＭ
５３ ＲＡＭ
５４ 通信Ｉ／Ｆ
６１ バス
１０ 認証エージェント
２０ ＩＰ端末
５０ ＳＩＰプロキシ
１００ 認証エージェント
１１０ ＥＰ制御部
１１１ 設定情報送信部
１２０ 認証部
１２１ 受信部
１２２ 取得部
１２３ 鍵生成部
１２４ 結果送信部
１５１ 記憶部
１５１ａ 設定情報テーブル
２００ ＩＰ端末
２１０ 認証部
２１１ 第１送信部
２１２ 受信部
２２０ ＳＩＰ処理部
２２１ 第２送信部
２３０ ＴＬＳ処理部
３００ ルータ
３１０ ＥＰ制御部
４００ ＡＡＡサーバ
４１０ 認証部
４５１ａ ユーザ情報テーブル
４５１ 記憶部
５００ ＳＩＰプロキシ
５１０ ＥＰ制御部
５１１ 設定情報受信部
５２０ ＳＩＰ処理部
５２１ 保存部
５３０ ＴＬＳ処理部
５５１ 記憶部
５５１ａ 登録情報テーブル

Claims (12)

1. 第１ネットワークに接続された複数の端末装置の通信を中継するための設定情報を登録して前記端末装置間の通信を中継する中継装置に第２ネットワークを介して接続されるとともに、前記端末装置に前記第１ネットワークを介して接続され、前記端末装置の前記第２ネットワークに対するアクセス認証を行う認証装置であって、
   前記端末装置を識別する識別情報と、前記設定情報とを対応づけて記憶する記憶部と、
   前記端末装置に固有の認証情報を、前記端末装置の前記識別情報とともに、前記端末装置から受信する受信部と、
   受信した前記認証情報に基づいて前記端末装置を認証する認証部と、
   認証した前記端末装置の前記識別情報に対応する前記設定情報を前記記憶部から取得する取得部と、
   前記中継装置との間で確立された、前記端末装置の端末数より少ない予め定められた個数の通信経路によって、取得した前記設定情報を前記中継装置に送信する送信部と、
   を備えたことを特徴とする認証装置。
2. 前記取得部は、さらに、前記第２ネットワークを介して接続され、前記識別情報と前記設定情報とを対応づけて格納する外部装置に対して、認証した前記端末装置の前記識別情報を送信し、送信した前記識別情報に対して前記外部装置が返信した前記設定情報を取得すること、
   を特徴とする請求項１に記載の認証装置。
3. 前記記憶部は、前記識別情報と、前記設定情報として前記中継装置に登録するアドレス情報とを対応づけて記憶し、
   前記取得部は、認証した前記端末装置の前記識別情報に対応する前記アドレス情報を前記記憶部から取得し、
   前記送信部は、取得した前記アドレス情報を前記中継装置に送信すること、
   を特徴とする請求項１に記載の認証装置。
4. 前記記憶部は、前記識別情報と、前記アドレス情報としてＳＩＰ（Session Initiation Protocol）のＲＥＧＩＳＴＥＲメソッドで登録するＳＩＰ−ＵＲＩ（Uniform Resource Identifier）とを対応づけて記憶し、
   前記取得部は、認証した前記端末装置の前記識別情報に対応する前記ＳＩＰ−ＵＲＩを前記記憶部から取得し、
   前記送信部は、取得した前記ＳＩＰ−ＵＲＩを前記中継装置に送信すること、
   を特徴とする請求項３に記載の認証装置。
5. 前記送信部は、さらに、予め定められた時間の経過ごとに、取得した前記ＳＩＰ−ＵＲＩを前記中継装置に送信すること、
   を特徴とする請求項４に記載の認証装置。
6. 前記中継装置と前記端末装置との間の通信で用いる鍵情報を生成する生成部をさらに備え、
   前記送信部は、さらに、前記端末装置が認証されたときに、生成された前記鍵情報を前記設定情報として前記中継装置に送信すること、
   を特徴とする請求項１に記載の認証装置。
7. 前記認証部は、前記中継装置と前記端末装置との間の通信で用いるＴＬＳ（Transport Layer Security）の鍵情報を生成すること、
   を特徴とする請求項６に記載の認証装置。
8. 前記認証情報による認証結果と、前記認証装置が前記設定情報を前記中継装置に送信したことを示す設定済情報とを前記端末装置に送信する結果送信部をさらに備えたこと、
   を特徴とする請求項１に記載の認証装置。
9. 第１ネットワークに接続された複数の端末装置の通信を中継するための設定情報を登録して前記端末装置間の通信を中継する中継装置に第２ネットワークを介して接続されるとともに、前記端末装置に前記第１ネットワークを介して接続され、前記端末装置の前記第２ネットワークに対するアクセス認証を行う認証装置における認証方法であって、
   前記認証装置は、前記端末装置を識別する識別情報と、前記設定情報とを対応づけて記憶する記憶部を備え、
   受信部によって、前記端末装置に固有の認証情報を、前記端末装置の前記識別情報とともに、前記端末装置から受信する受信ステップと、
   認証部によって、受信した前記認証情報に基づいて前記端末装置を認証する認証ステップと、
   取得部によって、認証した前記端末装置の前記識別情報に対応する前記設定情報を前記記憶部から取得する取得ステップと、
   送信部によって、前記中継装置との間で確立された、前記端末装置の端末数より少ない予め定められた個数の通信経路によって、取得した前記設定情報を前記中継装置に送信する送信ステップと、
   を備えたことを特徴とする認証方法。
10. 第１ネットワークに接続された複数の端末装置の通信を中継するための設定情報を登録して前記端末装置間の通信を中継する中継装置に第２ネットワークを介して接続されるとともに、前記端末装置に前記第１ネットワークを介して接続され、前記端末装置の前記第２ネットワークに対するアクセス認証を行う認証装置における認証プログラムであって、
    前記認証装置は、前記端末装置を識別する識別情報と、前記設定情報とを対応づけて記憶する記憶部を備え、
    前記端末装置に固有の認証情報を、前記端末装置の前記識別情報とともに、前記端末装置から受信する受信手順と、
    受信した前記認証情報に基づいて前記端末装置を認証する認証手順と、
    認証した前記端末装置の前記識別情報に対応する前記設定情報を前記記憶部から取得する取得手順と、
    前記中継装置との間で確立された、前記端末装置の端末数より少ない予め定められた個数の通信経路によって、取得した前記設定情報を前記中継装置に送信する送信手順と、
    をコンピュータに実行させる認証プログラム。
11. 認証を行う認証装置と、通信を中継する中継装置とにネットワークを介して接続された端末装置であって、
    認証に用いる認証情報を前記認証装置に送信する第１送信部と、
    前記認証情報による認証結果と、前記中継装置が通信を中継するための設定情報を前記認証装置が前記中継装置に送信したことを示す設定済情報とを前記認証装置から受信する受信部と、
    前記受信部が前記設定済情報を受信した場合、前記設定情報を前記中継装置に送信せず、前記受信部が前記設定済情報を受信しない場合、前記設定情報を前記中継装置に送信する第２送信部と、
    を備えたことを特徴とする端末装置。
12. 端末装置と、前記端末装置を認証する認証装置とにネットワークを介して接続され、前記端末装置間の通信を中継する中継装置であって、
    前記端末装置による通信を中継するために用いる設定情報を記憶する記憶部と、
    前記認証装置との間で確立された、前記端末装置の端末数より少ない予め定められた個数の通信経路を用いて、前記設定情報を前記認証装置から受信する受信部と、
    受信した前記設定情報を前記記憶部に保存する保存部と、
    を備えたことを特徴とする中継装置。

Images