JP2009525686A - クライアント証明書が認証サーバによって確認されている間のｄｈｃｐサーバによるアドレス割り当て - Google Patents

Abstract

本発明は、無線ネットワークを介するクライアントとサーバとの間の通信に応答して、サーバからの第１のチャレンジに対するクライアントからの第１の応答、およびクライアントからの第２のチャレンジに対するサーバからの第２の応答に基づき、クライアントを認証することを終える前に、無線ネットワークへのアクセスを提供するためのアドレスをクライアントに割り当てることを求める。無線通信システムは、ＷｉＦｉ（登録商標）ネットワークに関連するアクセスポイントを介してＷｉＦｉ（登録商標）ネットワークに対して移動デバイスを認証するためのクライアントモジュールを含む。認証の目的で、中間サーバは、サーバモジュールが、中間サーバを介したクライアントモジュールと、ＷｉＦｉ（登録商標）ネットワークに関連するサーバモジュールとの間の通知メッセージの交換に基づき、移動デバイスとＷｉＦｉ（登録商標）ネットワークを互いに認証できるようにすることが可能である。

Description

本発明は、一般に遠隔通信に関し、より詳細には無線通信に関する。

多くの通信システムが、様々なタイプのサービスを無線デバイスのユーザに提供する。ある特定の無線サービスにおいて、無線通信ネットワークは、無線デバイスユーザが、単にテキストメッセージであること、あるいはデータおよび／またはビデオなどのマルチメディアコンテンツを含むことが可能なピアツーピアメッセージおよび／またはクライアント−サーバ間メッセージを交換できるようにすることが可能である。このメッセージ交換には、宛先に向けてメッセージを漸進的に進めるいくつかのネットワークルータ経由で、送信元デバイスとターゲットデバイスの間で接続を確立することが関わる。

とりわけ、ユーザの認証が、データ網または通信アクセス網に対するアクセス制御のために所望される。また、無線ユーザが、特に、妥当なネットワークの振りをするのに要求される技術が、特に、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）８０２．１１ベースのネットワークの場合、安価で、広く入手可能になっているので、ネットワークの認証を要求する可能性もある。認証プロセスは、特に、ユーザが進行中のセッションを有するハンドオーバ中、セキュアでなければならないが、高速でもなければならない。本発明は、これら２つの要件、すなわち、高速であることと、十分にセキュアであることの両方の間の良好なトレードオフであるソリューションを提供する。たとえば、ＤＨＣＰ（動的ホスト構成プロトコル）サーバ（通常、ゲートウェイ上、クライアントからのパケットが通過する最初のルータおよび／またはスイッチ上に配置される）が、接続しようと試みる可能性があるクライアントについてのアプリオリの知識をまったく有さない（企業ネットワークの場合にそうである可能性があるように）比較的大きいマルチドメインネットワークにおいて。ＤＨＣＰ（動的ホスト構成プロトコル）は、ネットワークに接続するデバイスへのＩＰ（インターネットプロトコル）アドレスの割り当てを管理し、自動化するための通信プロトコルである。

一般に、無線ＬＡＮは、ネットワークアダプタと通信して有線ＬＡＮを拡張するＡＰ（無線アクセスポイント）を含む。ＷｉＦｉ（登録商標）準拠の無線通信デバイスを有するユーザは、やはりＩＥＥＥ８０２．１１標準に基づく他の任意のブランドのクライアントハードウェアに対して、任意のタイプのアクセスポイントを使用することができる。Ｗｉｒｅｌｅｓｓ Ｆｉｄｅｌｉｔｙの省略であるＷｉＦｉ（登録商標）という用語は、ＩＥＥＥ８０２．１１ａであるか、８０２．１１ｂであるか、８０２．１１ｇであるか、Ｄｕａｌ Ｂａｎｄなどであるかに関わらず、任意のタイプのＩＥＥＥ８０２．１１標準ベースのデバイスまたはネットワークを指すように、ＷｉＦｉ（登録商標） Ａｌｌｉａｎｃｅによって広められている。ＷｉＦｉ（登録商標） Ａｌｌｉａｎｃｅは、ＩＥＥＥ８０２．１１規格による無線ネットワーキング構成を推進する業界連合である。しかし、通常、同一のＲＦ（無線周波数）信号、たとえば、８０２．１１ｂもしくは８０２．１１ｇの場合、２．４ＧＨｚ、または８０２．１１ａの場合、５ＧＨｚを使用する任意のＷｉＦｉ（登録商標）準拠の無線通信デバイスが、他の任意の無線通信デバイスに対して機能することが可能である。

しかし、使用される周波数範囲使用またはネットワークタイプに関わらず、無線通信デバイスのユーザにＷＡＮへのアクセスを許可するのに先立って、ユーザは、通常、認証される。したがって、展開されるほとんどのＷｉＦｉ（登録商標）ホットスポットは、ユーザが、ユーザ名およびパスワードに基づいて認証されることを要求する。そのような認証に加えて、認証のための他のソリューションが、展開されることも可能であり、たとえば、とりわけ、ＩＥＥＥ８０２．１ｘに基づく認証プロセスも利用可能である。

物理的接続によって提供されるセキュリティを頼りにすることができない無線ネットワークにおけるネットワーク認証は、有線環境と比べて、はるかに困難である。たとえば、ホットスポットは、通常、ユーザのウェブベースの認証を使用し、すなわち、ユーザは、ユーザが最初にホットスポットに入った際にポップアップするＷｅｂページ上でユーザ名およびパスワードを入力しなければならない。普及してきている別の技術が、ＩＥＥＥ８０２．１ｘであり、ＩＥＥＥ８０２．１ｘは、ＥＡＰＯＬ（ＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）ｏｖｅｒ ＬＡＮ）プロトコルを使用して、所与のアクセスポイントに対するセキュアな、認証された関連を確立する。ＥＡＰは、当初、ＰＰＰベースの認証にて通常、使用されるダイヤルイン接続のために使用された。

認証の後、前述の方法のすべては、アドレス獲得も、通信が可能になる前に行われなければならないことで共通している。アドレス獲得は、通常、別の遅延を加えるＤＨＣＰを使用する。ＩＥＴＦ（Ｉｎｔｅｒｎｅｔ Ｅｎｇｉｎｅｅｒｉｎｇ Ｔａｓｋ Ｆｏｒｃｅ）によって公表され、調整されるＲＦＣ（Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ）ドキュメントが、非公式のインターネット標準を説明し、ＲＦＣ２１３１が、本発明の説明において例示的に使用されるＤＨＣＰプロトコルを説明しているといった具合である。ＤＨＣＰ ＯＦＦＥＲが、受信されるとすぐに、ＤＨＣＰ ＯＦＦＥＲの中で見られるＩＰアドレスをクライアントが使用することを妨げるものは、ＤＨＣＰ規格の中に何も存在しないが、通常の現在の実施形態は、最終のＤＨＣＰ応答が受信されるまで待つ。このアプローチは、不必要に制限的である。ＲＦＣ３１１８が、ＤＨＣＰメッセージに関する認証を説明する。ＤＨＣＰメッセージに関する認証は、本発明を実施するのに要求されるメッセージおよびデータ交換を符号化する１つの可能なやり方を定義し、メッセージの完全性保護、および相互認証を可能にする。

Ｗｅｂベースの認証の１つの欠点は、そのような認証が、高速の認証を妨げるユーザ対話を要求することである（ユーザは、ユーザの証明書を入力するのに数秒かかる）。このプロセスが、自動化された場合でも（そうすることは、その場合、証明書が、ユーザのデバイス上に格納されなければならないので、セキュリティを危うくする）、このオプションは、可聴効果なしにＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）を維持するのに要求される１００ミリ秒のハンドオーバ時間を実現することができない。

ＥＡＰベースの方法は、バックエンドＡＡＡサーバへの１回または複数回の往復を要求し、この往復には、今日のネットワークにおいて数秒かかる。また、ＥＡＰ−ＳＩＭなどのよりセキュアな方法のいくつかは、ユーザのデバイスにおけるＳＩＭカードとの対話をやはり使用し、この対話が、さらなる遅延を加える。全体的なＥＡＰベースのソリューションは、通常、最善で（現実的な状況において）２秒の認証を実現する。

ＲＦＣ３１１８は、ＤＨＣＰサーバが、すべてのクライアントに関するキーを有さなければならない、または取得することができなければならないことを規定する。すべてのクライアントに関するキーを、ネットワークにおける各ＤＨＣＰサーバ上に格納することは、スケーリングがうまく行かず（管理しにくく）、必要に応じて、何らかのバックエンドネットワークにわたってクライアントキーを取得することは、セキュアではない。付録Ａで説明される、各クライアントに関して秘密マスタキーを生成し、キー、Ｋ＝ＭＡＣ（ＭＫ、一意ＩＤ）を発行する技術は、ＤＨＣＰサーバが、すべてのクライアントを前もって知っている小規模なネットワークだけに適用される。セクション９．２において、ＲＦＣ３１１８規格は、「遅延された認証は、ドメイン間認証をサポートしない」（遅延された認証は、スケーリングがうまく行かないので）ことを示す。

以下に、本発明のいくつかの態様の基本的な理解をもたらすため、本発明の簡略化された概要を提示する。この概要は、本発明の網羅的な概略ではない。この概要は、本発明の重要な要素、もしくは不可欠な要素を特定すること、または本発明の範囲を線引きすることは意図していない。この概要の唯一の目的は、後段で説明するより詳細な説明の前置きとして、いくつかの概念を簡略化された形態で提示することである。

本発明は、前述の問題の１つまたは複数を克服すること、または少なくとも、それらの問題の影響を減らすことを目的とする。

本発明の一実施形態では、無線ネットワーク上の、無線ネットワークに関連するサーバへのアクセスを可能にするアドレスを有するクライアントを認証するための方法が提供される。一実施形態では、この方法は、無線ネットワークを介するクライアントとサーバとの間の通信に応答して、サーバからの第１のチャレンジに対するクライアントからの第１の応答、およびクライアントからの第２のチャレンジに対するサーバからの第２の応答に基づき、クライアントを認証することを終える前に、無線ネットワークへのアクセスを提供するためのアドレスをクライアントに割り当てることを求める。

別の実施形態では、ＷｉＦｉ（登録商標）ネットワークに対して、そのＷｉＦｉ（登録商標）ネットワークに関連するサーバへのアクセスを可能にするアドレスを有するクライアントを認証する無線クライアント−サーバ通信システム。この無線クライアント−サーバ通信システムは、クライアントと、サーバとを含むことが可能である。クライアントは、無線ネットワークに関連するアクセスポイントを介して無線ネットワークに対して互いに認証するための命令を格納するクライアントモジュールを含む。サーバは、オーセンティケータを使用してクライアントと通信するように構成されることが可能であり、サーバは、無線ネットワークを介するクライアントとサーバとの間の通信に応答して、無線ネットワークに対してクライアントを互いに認証する命令を格納するサーバモジュールを含み、オーセンティケータは、サーバからの第１のチャレンジに対するクライアントからの第１の応答、およびクライアントからの第２のチャレンジに対するサーバからの第２の応答に基づき、クライアントを認証することを終える前に、ＷｉＦｉ（登録商標）ネットワークへのアクセスを提供するためのアドレスをクライアントに割り当てる。

さらに別の実施形態では、アクセス網に対して、そのアクセス網に関連するサーバへのアクセスを可能にするアドレスを有するクライアントを認証する無線クライアント−サーバ通信システムにおけるクライアント。このクライアントは、アクセス網を介するクライアントモジュールとサーバモジュールとの間の通信に応答して、サーバからの第１のチャレンジに対するクライアントからの第１の応答、およびクライアントからの第２のチャレンジに対するサーバからの第２の応答に基づき、クライアントを認証することを終える前に、アクセス網へのアクセスを提供するためのアドレスをクライアントに割り当てる中間サーバを介して、サーバモジュールに対して互いに認証するための命令を格納するクライアントモジュールを含む。

さらに別の実施形態において、アクセス網に対して、そのアクセス網に関連するサーバへのアクセスを可能にするアドレスを有するクライアントを認証する無線クライアント−サーバ通信システムにおけるサーバ。このサーバは、アクセス網を介するクライアントモジュールとサーバモジュールとの間の通信に応答して、サーバからの第１のチャレンジに対するクライアントからの第１の応答、およびクライアントからの第２のチャレンジに対するサーバからの第２の応答に基づき、クライアントを認証することを終える前に、アクセス網へのアクセスを提供するためのアドレスをクライアントに割り当てる中間サーバを介して、クライアントモジュールに対して互いに認証するための命令を格納するサーバモジュールを含む。

本発明は、同様の符号が同様の要素を識別する添付の図面と併せて解釈される、以下の説明を参照して理解されることが可能である。

本発明は、様々な変形形態および代替形態が可能であるが、本発明の特定の実施形態が、例として、図面に示され、本明細書で詳細に説明されている。しかし、特定の実施形態の本明細書における説明は、本発明を、開示される特定の形態に限定することは意図しておらず、それどころか、本発明は、特許請求の範囲によって定義される本発明の趣旨および範囲に含まれる、すべての変形形態、均等形態、および代替形態を範囲に含むものとされることを理解されたい。

本発明の例示的な実施形態を以下に説明する。簡明にするため、実際の実施形態のすべての特徴を本明細書で説明することはしない。もちろん、いずれのそのような実際の実施形態の開発においても、実施形態ごとに異なるシステム関連の制約、およびビジネス関連の制約の遵守などの、開発者の特定の目標を実現する、多数の実施形態特有の決定が行われることが可能であることが理解されよう。さらに、そのような開発の取り組みは、複雑で、時間がかかる可能性があるが、それでも、本開示を利用する当業者には、定常的な作業であることが可能であることを理解されたい。

一般に、無線ネットワーク上の、無線ネットワークに関連するサーバへのアクセスを可能にするアドレスを有するクライアントを認証するための方法および装置が、提供される。一実施形態では、方法は、無線ネットワークを介するクライアントとサーバとの間の通信に応答して、サーバからの第１のチャレンジに対するクライアントからの第１の応答、およびクライアントからの第２のチャレンジに対するサーバからの第２の応答に基づき、クライアントを認証することを終える前に、無線ネットワークへのアクセスを提供するためのアドレスをクライアントに割り当てることを求める。無線通信システムは、ＷｉＦｉ（登録商標）ネットワークに関連するアクセスポイントを介して、ＷｉＦｉ（登録商標）ネットワークに対して認証するための移動デバイスにおけるクライアントモジュールを含む。認証の目的で、中間サーバは、サーバモジュールが、中間サーバを介したクライアントモジュールとの通知メッセージの交換に基づき、クライアントモジュールに対して互いに認証できるようにすることが可能である。オファーが受信されるとすぐの、オファーからのＩＰアドレスの早期の受け入れまたは使用により、無線通信システムは、認証時間を短縮することができる。

図１を参照すると、本発明の一実施形態による、クライアント１０５とアクセス網１００が互いに認証することができるアクセス網１００が、概略で示される。ＷｉＦｉ（登録商標）ネットワークなどの無線ネットワーク上でクライアント１０５を互いに認証する目的で、アドレス１１０を有するアクセス網１００が、ＡＡＡ（認証、許可、アカウンティング）サーバなどのサーバ１１５へのアクセスを可能にすることができる。しかし、ＮＡＳ（ネットワークアクセスサーバ）サーバまたはＮＡＳプロトコルによって所望される、これら３つのサービスは、論理的に独立であることが可能であり、別々に実施されることが可能である。さらに、そのようなネットワークアクセスサーバは、アクセス網１００へのアクセスを提供する１つまたは複数のモデムを含んで、ユーザが、それらのモデムの１つに接続して、アクセス網１００、アクセス網１００にアクセスできるようにすることが可能である。

アクセス網１００は、いずれのＡＡＡサーバが、所与のドメインに属するかを特定し、（知られている場合）（ランダムな）ｃｌｉｅｎｔ＿ｃｈａｌｌｅｎｇｅを生成するゲートウェイ１２２をさらに含むことが可能である。ゲートウェイ１２２は、クライアント１０５のためのアドレス１１０、たとえば、ＩＰアドレスを選択することができ、そのアドレスを送り返す。ゲートウェイ１２２は、そのＩＰアドレスからの通信、およびそのＩＰアドレスへの通信を可能にすることができる（サーバ１１５、すなわち、ＡＡＡサーバに関する通常の応答時間より大きい時間制限のある期間にわたって）。また、ゲートウェイ１２２は、ｓｅｒｖｅｒ＿ｃｈａｌｌｅｎｇｅおよびｃｌｉｅｎｔ＿ｃｈａｌｌｅｎｇｅを含む、認証を求める要求を作成することもでき、その要求を適切なＡＡＡサーバに送信する。

クライアント１０５を認証するのに、アクセス網１００は、中間サーバ１２５を介してクライアント側通信１２０ａおよびサーバ側通信１２０ｂを交換することができる。中間サーバ１２５の例は、ＤＨＣＰ（動的ホスト構成プロトコル）などの通信プロトコルを使用することができる。ＤＨＣＰプロトコルを使用することにより、中間サーバ１２５は、アクセス網１００におけるＩＰ（インターネットプロトコル）アドレスなどのアドレス１１０の割り当てを自動化することができる。このようにして、ＤＨＣＰプロトコルベースの中間サーバ１２５は、クライアント１０５が、アクセス網１００に接続し、ＩＰアドレスを自動的に割り当てられることを可能にすることができる。

クライアント１０５を認証する前にアクセス網１００へのアクセスを提供するため、クライアント側通信１２０ａとサーバ側通信１２０ｂの少なくともいずれかが、通信を開始することができ、中間サーバ１２５またはその逆などの、ＤＨＣＰサーバが、アドレス１１０をクライアント１０５に割り当てることができる。

アクセス網１００を介するクライアント１０５とサーバ１１５との間の通信に応答して、中間サーバ１２５は、クライアント１０５を認証することを終える前に、アクセス網１００へのアクセスを提供するためのアドレス１１０をクライアント１０５に割り当てることができる。中間サーバ１２５は、サーバ１１５からの第１のチャレンジ１３５ａに対するクライアント１０５からの第１の応答１３０ａ、およびクライアント１０５からの第２のチャレンジ１３５ｂに対するサーバ１１５からの第２の応答１３０ｂに基づき、クライアント１０５を認証することができる。

ゲートウェイ１２２は、クライアント１０５からの第１の応答１３０ａをサーバ１１５からの第２の応答１３０ｂと比較することができる。その２つの応答が合致した場合、そのことは、クライアント１０５が、パスワードを知っていることを意味し、クライアント１０５は、認証される。ゲートウェイ１２２は、クライアント１０５のパスワードを知らないが、応答だけを知っている。ゲートウェイ１２２は、サーバ１１５から、応答がどのようなものであるべきかを知り、クライアント１０５が、その応答を実際に提供した場合、そのことは、クライアント１０５が有効であることを意味する。

ＡＡＡサーバなどのサーバ１１５は、クライアントの１０５、第１のチャレンジ１３５ａ、およびパスワード、ならびに他の情報ビットを計算する、またはダイジェスト化することができる。クライアント１０５は、所定の数の期間の後まで待ってから、アドレス１１０を使用することを始めることができ、クライアント１０５は、１つまたは複数のＤＨＣＰメッセージの中に埋め込まれるなどの、認証のためのチャレンジを予期しない。

この目的で、ゲートウェイ１２２は、認証サーバ１１５による認証を終えさえする前に、クライアント１０５に早期のアクセスを提供する責務を有するオーセンティケータ１４０を含むサーバ１１５を含むことが可能である。オーセンティケータ１４０は、クライアント１０５からの第１の応答１３０ａ、およびサーバ１０５からの第２の応答１３０ｂに基づき、クライアント１０５を認証することを終える前に、ＷｉＦｉ（登録商標）ネットワークへのアクセスを提供するためのアドレス１１０をクライアント１０５に割り当てることができる。オーセンティケータ１４０は、第１の応答１３０ａ、および第２の応答１３０ｂを受信して、前記第１の応答、および前記第２の応答１３０ｂに基づき、サーバ１１５に対してクライアント１０５を認証することを終えることができる。

サーバ１１５、すなわち、ＡＡＡサーバは、ユーザ名、パスワード、および他の関連情報を含む契約者情報のｄＢ（データベース）１５０とインタフェースをとるサーバモジュール１４５を含むことが可能である。サーバモジュール１４５は、たとえば、無線ネットワークを介するクライアント１０５とサーバ１１５との間の通信に応答して、アクセス網１００に対してクライアント１０５を互いに認証する命令を格納することができる。クライアント１０５を立証するため、データベース１５０は、契約者データベース内に格納されたクライアントパスワード、または他の秘密の指示を含むことが可能である。

一実施形態によれば、クライアント１０５は、たとえば、無線ネットワークに関連するＡＰ（アクセスポイント）を介して、アクセス網１００に対して互いに認証するための命令を格納するクライアントモジュール１５５を含むことが可能である。オーセンティケータ１４０を使用することにより、サーバ１１５は、クライアント１０５と通信し、認証をアドレス獲得と組み合わせることによって、まったく通信が可能でない期間を短縮するように構成されることが可能である。オーセンティケータ１４０は、サーバ１１５が、クライアント１０５の証明書を確認している間に、アクセス網１００への早期のアクセスを可能にすることができる。オーセンティケータ１４０は、認証をアドレス獲得と組み合わせて、クライアント１０５が、ＤＨＣＰ要求への応答が受信されるまで待つ必要なしに、早期に発行されたＩＰアドレスなどのアドレス１１０を使用できるようにすることが可能である。

クライアント１０５が、最初に無線サービスエリアに入った際、相互チャレンジ−応答ベースの認証（この認証は、少なくとも３つのメッセージを常に要求する）の場合、オーセンティケータ１４０は、望ましくない、または前述した状況において効果的でない可能性がある。早期の受け入れを伴う高速の相互認証により、クライアント端末装置またはクライアントデバイスが、アクセス網１００を使用することができるまでにかかる時間が短縮されることが可能である。そのような大幅に短縮された時間は、既存のセッションを有するハンドオーバ中に特に重要である。

認証は、相互であるため、すなわち、アクセス網１００と通信するクライアント１０５、およびクライアント１０５と通信するアクセス網１００の両方用であるため、クライアント１０５がオーセンティケータ１４０を含む一方でアクセス網１００がオーセンティケータ１４０を含まない場合、認証シーケンスは、デフォルトのＤＨＣＰ手続きにまで短縮されることが可能である。クライアント１０５は、それでも先に進むことが可能であり、それが、セキュアでない接続である（したがって、ユーザは、その場合、たとえば、ＶＰＮ（仮想プライベートネットワーク）を使用することができる）ことを、場合により、ユーザに警告する。しかし、この状況は、中間サーバ１２５からのＤＨＣＰ Ｏｆｆｅｒメッセージが、ｃｌｉｅｎｔ＿ｃｈａｌｌｅｎｇｅを含まない場合に、検出されることが可能である。

アクセス網１１０が、前述したとおり、相互認証をサポートするが、クライアント１０５は、相互認証をサポートしない場合、アクセス網１００は、そのようなクライアントを、ポリシーに基づいて選択的に認証することができる。このことは、初期Ｄｉｓｃｏｖｅｒメッセージが、ｓｅｒｖｅｒ＿ｃｈａｌｌｅｎｇｅを含まない場合に当てはまる。代替の認証、たとえば、Ｗｅｂベースの認証などが、代わりに使用されることが可能である。このようにして、オーセンティケータ１４０は、他の認証方法と共存することが可能である。一実施形態では、さらなる特徴には、Ｍｏｂｉｌｅ−ＩＰ登録関連の情報を初期ＤＨＣＰ Ｏｆｆｅｒに追加すること、およびＱｏＳ（サービス品質）ネゴシエーション関連のパラメータを初期ＤＨＣＰ Ｏｆｆｅｒに追加することが含まれることが可能である。

図２を参照すると、本発明の一実施形態による、クライアント１０５と、ＤＨＣＰサーバとして中間サーバ１２５を有するゲートウェイ１２２と、ＡＡＡサーバであるサーバ１１５との間のクライアント側通信１２０ａおよびサーバ側通信１２０ｂが、示されている。ブロック２００で、クライアント１０５が、ｓｅｒｖｅｒ＿ｃｈａｌｌｅｎｇｅを生成し、そのｓｅｒｖｅｒ＿ｃｈａｌｌｅｎｇｅをＤＨＣＰ Ｄｉｓｃｏｖｅｒブロードキャスト［Ｂ］２０５と一緒に、ユーザ名および領域（たとえば、ｃｌｉｅｎｔ＠ｄｏｍａｉｎ．ｃｏｍ）に加えて、送信することができる。ＤＨＣＰの場合、領域は、一例として、「ｓｉａｄｄｒ」フィールドの中の公共ＩＰアドレスを使用して実現されることが可能である。

ブロック２１０で、ゲートウェイ１２２は、所与のドメインにおいてＤＨＣＰ Ｄｉｓｃｏｖｅｒブロードキャスト［Ｂ］２０５が属するＡＡＡサーバ、すなわち、サーバ１１５を特定することができる。知られている場合、ゲートウェイ１２２は、ｃｌｉｅｎｔ＿ｃｈａｌｌｅｎｇｅを生成することができる。また、ゲートウェイ１２２は、クライアント１０５に関するＩＰアドレスなどのアドレス１１０を選択することもでき、ｃｌｉｅｎｔ＿ｃｈａｌｌｅｎｇｅを含め、このアドレス１１０を送り返す。ゲートウェイ１２２は、このＩＰアドレスからの通信、およびこのＩＰアドレスへの通信を可能にすることができる（たとえば、ＡＡＡサーバ１１５に関する通常の応答時間より大きい時間制限のある期間にわたって）。ゲートウェイ１２２は、ｓｅｒｖｅｒ＿ｃｈａｌｌｅｎｇｅおよびｃｌｉｅｎｔ＿ｃｈａｌｌｅｎｇｅを含む認証要求２１５を作成することができ、その要求２１５をＡＡＡサーバ１１５に送信する。ゲートウェイ１２２は、ＲＡＤＩＵＳプロトコルまたはＤｉａｍｅｔｅｒプロトコルに基づき、この通信を実現することができる。

ブロック２２０で、クライアント１０５が、このＩＰアドレスを受信することができ、このＩＰアドレスを即時に使用することを始める。さらに、クライアント１０５は、ゲートウェイ１２２から受信されたｃｌｉｅｎｔ＿ｃｈａｌｌｅｎｇｅに、ＡＡＡサーバ１１５と共有される秘密（たとえば、パスワード）に基づいて応答を計算することにより、応答することができる（応答は、そのパスワード、およびそのチャレンジの、ＭＤ５またはＳＨＡ１のような何らかの暗号関数である）。この応答は、ＤＨＣＰ要求２２５の中でゲートウェイ１２２に送り返される。

ブロック２３０で、ＡＡＡサーバ１１５が、データベース１５０の中で、そのユーザをルックアップすることができる。ＡＡＡサーバ１１５は、クライアント１０５と共有される秘密に基づいて、ｃｌｉｅｎｔ＿ｃｈａｌｌｅｎｇｅとｓｅｒｖｅｒ＿ｃｈａｌｌｅｎｇｅの両方に関する応答を計算することができる。ＡＡＡサーバ１１５は、両方のチャレンジに対する認証応答２３５、およびユーザのセッションに関係のある他のパラメータでゲートウェイ１２２に応答することができる。そのユーザが、データベース１５０の中で見つからない場合、ＡＡＡサーバ１１５は、まったく応答しないことが可能である。

ブロック２４０で、ゲートウェイ１２２が、両方のチャレンジに対する認証応答２３５の中で両方の応答を受信すると、ゲートウェイ１２２は、それらの結果を比較することができる。ｃｌｉｅｎｔ＿ｃｈａｌｌｅｎｇｅに対するクライアント１０５の応答が、サーバ１１５からの応答と合致した場合、クライアント１０５は、アクセス網１００に対して認証されることに成功する。合致がない場合、またはサーバ１１５が、誤りを戻した場合、認証は、失敗し、ゲートウェイ１２２は、クライアント１０５に前に割り当てられたアドレス１１０からのトラフィック、およびアドレス１１０へのトラフィックのすべてをブロックする。ＩＰアドレスが発行された際に開始されたタイマが、作動した場合、そのことは、ＡＡＡサーバ１１５からの失敗応答として扱われる。

成功の場合、ゲートウェイ１２２は、このタイマを停止し、ＤＨＣＰ応答［Ｕ］２４５をクライアント１０５に送り返して、割り当てられたＩＰアドレスを確定する。ゲートウェイ１２２は、ｓｅｒｖｅｒ＿ｃｈａｌｌｅｎｇｅに対するサーバの応答、ならびに、割り当てられたＱｏＳリソースおよびＱｏＳ限度、その他の構成パラメータなどの、ＡＡＡサーバ１５５によって提供された、所望される他のパラメータを含める。失敗の場合、ゲートウェイ１２２は、場合により、相互に認証することの失敗を示す理由コードと一緒に、ＤＨＣＰ拒否応答をクライアント１０５に送り返す。ブロック２５５で、クライアントは、ゲートウェイからＤＨＣＰ応答［Ｕ］２４５を受信する。認証が成功した場合、クライアント１０５は、ｓｅｒｖｅｒ＿ｃｈａｌｌｅｎｇｅに関する応答を計算し、サーバ１１５の応答が、その計算と合致することを立証することができる。合致しない場合、クライアント１０５は、そのアクセス網１００が認証されないので、すべての通信を選択的に押さえることができる。代替として、クライアント１０５は、合致しないことを、セキュアな通信（ＶＰＮ（仮想プライベートネットワーク）の使用などの）が望まれることの表れとして使用することができる。つまり、クライアント１０５は、自らリスクを負って、継続することができる。

図３を参照すると、本発明の一実施形態による、ＷｉＦｉ（登録商標）ネットワーク３１０に対して互いに認証するようにＡＡＡサーバ１１５に結合された移動デバイス３０５を含む無線クライアント−サーバ通信システム３００が、示されている。一実施形態では、移動デバイス３０５が、ＷｉＦｉ（登録商標）ネットワーク３１０を介してサーバ１１５に、ＷｉＦｉ（登録商標）ホットスポット３１５にログインする要求メッセージを送信することができる。つまり、ＩＰ（インターネットプロトコル）データパケットを交換するためのデータ接続が、所望されることが可能である。

従来のＷｉＦｉ（登録商標）ネットワークは、２．４ＧＨｚ（ギガヘルツ）範囲内のＲＦ（無線周波数）を使用して、ＷｉＦｉ（登録商標）対応のコンピューティングデバイスまたは通信デバイスと、無線通信対応のネットワーク化されたデバイスを含む他のプロセッサベースのデバイスとの間でデータを伝送する。それぞれの無線通信対応のネットワーク化されたデバイスは、トランシーバを含む。ＷｉＦｉ（登録商標）ネットワークは、通常、コンピュータなどのＷｉＦｉ（登録商標）対応のコンピューティングデバイスまたは通信デバイスと通信する無線ルータを含む。ＷｉＦｉ（登録商標）ネットワークの最も一般的な形態は、ＩＥＥＥ８０２．１１ｘ標準（ｘは、ａ、ｂ、ｇなど）に基づく。地域的な規制に応じて、ＩＥＥＥ８０２．１１標準は、２．４ＧＨｚ周波数範囲内で１４までのＷｉＦｉ（登録商標）チャネルの使用を許す。

ＷｉＦｉ（登録商標）ホットスポット３１５は、ＷｉＦｉ（登録商標）ネットワーク３１０をサポートする複数のＡＰ（アクセスポイント）３２０（１−ｎ）を含むことが可能である。ＷｉＦｉ（登録商標）ネットワーク３１０に関連する複数のＡＰ（アクセスポイント）３２０（１−ｎ）は、インターネットなどのデータネットワークへのアクセスを提供することができる。許可されたユーザに無線サービスを提供するのに、移動デバイス３０５は、ＷｉＦｉ（登録商標）ネットワーク３１０に対してユーザを互いに認証することができる。つまり、通知メッセージが、無線接続３３０を介して移動デバイス３０５とＷｉＦｉ（登録商標）ネットワーク３１０の間で交換されることが可能である。

無線クライアント−サーバ通信システム３００の例には、ＵＭＴＳ（Ｕｎｉｖｅｒｓａｌ Ｍｏｂｉｌｅ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｙｓｔｅｍ）プロトコルに基づく３Ｇ（第３世代）ネットワークが含まれるが、本発明は、マルチメディア通信、データ通信、光通信、および／または音声通信をサポートする他のシステムまたはプロトコルにも適用可能であり得ることを理解されたい。たとえば、ＣＤＭＡ（符号領域多元接続）、ならびにＧＳＭネットワークのためのＧＰＲＳ（汎用パケット無線サービス）のようなプロトコルが、使用されてもよい。つまり、しかし、図３の無線クライアント−サーバ通信システム３００の構成は、例示的な性質のものであり、本発明の趣旨および範囲を逸脱することなく、無線クライアント−サーバ通信システム３００の他の実施形態において、より少ない構成要素、またはさらなる構成要素が使用されてもよいことを理解されたい。

一実施形態によれば、無線クライアント−サーバ通信システム３００は、インターネットを含むＩＰ（インターネットプロトコル）ネットワーク、および公衆電話システム（ＰＳＴＮ）などの１つまたは複数のデータ網を含むことが可能である。無線クライアント−サーバ通信システム３００において、ＷｉＦｉ（登録商標）ネットワーク１２０は、移動デバイス３０５とＷｉＦｉ（登録商標）ネットワーク３１０との間の無線接続などの接続を確立するために、規制されていないスペクトルを使用する無線ネットワークプロトコルに基づくことが可能である。たとえば、無線接続を介して、ユーザは、音声、データ、およびビデオコンテンツを含む高速のマルチメディア情報を、しばしば、通信する。

移動デバイス３０５は、セルラー電話機、ＰＤＡ（パーソナルデジタルアシスタント）、ラップトップコンピュータ、デジタルポケットベル、無線カード、およびＷｉＦｉ（登録商標）ネットワーク３１０にアクセスすることができる他の任意のデバイスを含む移動端末装置などの、様々なデバイスのいずれかのデバイスの形態をとることができる。ＷｉＦｉ（登録商標）ネットワーク３１０は、たとえば、セルラーＷＡＮに関してなど、移動デバイス３０５と通信リンクを確立するために基地局とインタフェースをとることができる。アクセスポイント１２５は、１つのＷＬＡＮを別のＷＬＡＮから区別する一意ラベルであるＳＳＩＤ（サービスセット識別子）によって識別される複数の仮想ネットワークの提供をサポートすることができる。

移動デバイス３０５およびＷｉＦｉ（登録商標）ネットワーク３１０を互いに認証することにより、無線クライアント−サーバ通信システム３００におけるＷｉＦｉ（登録商標）ユーザオーセンティケータ１４０ａを含むアクセスポイントコントローラ３４０が、ＷｉＦｉ（登録商標）ホットスポット３１５において許可された多数のユーザに、アクセスポイント３２０（１）へのアクセスを提供することができる。もちろん、ＷｉＦｉ（登録商標）ホットスポット１３３は、ときとして、ＷｉＦｉ（登録商標）ネットワーク３１０と呼ばれる。認証プロセスには、無線通信デバイス１１５から要求メッセージ１３５を送信すること、およびＷＡＮからの無線接続などの無線接続１３０を介して応答メッセージを受信することが関わることが可能である。

一実施形態では、移動デバイス３０５は、ＷｉＦｉ（登録商標）クライアントモジュール３４５を含むことが可能である。ＷｉＦｉ（登録商標）クライアントモジュール３４５は、ソフトウェアプログラムまたはファームウェアなどの命令を含むことが可能である。ＷｉＦｉ（登録商標）クライアントモジュール３４５は、少なくとも部分的に、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）８０２．１１ｘ標準、たとえば、ｘ＝ａ、ｂ、ｇなどによって定義されることが可能である。

同様に、一実施形態によれば、アクセスポイント１２５は、ＷｉＦｉ（登録商標）トランシーバを含むことが可能である。ＷｉＦｉ（登録商標）ユーザオーセンティケータ１４０ａは、ネットワーク認証を提供するためのソフトウェアプログラムまたはファームウェアなどの命令を含むことが可能である。サーバ１１５におけるサーバモジュール１４５ａは、少なくとも部分的に、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）８０２．１１ｘ標準によって定義されることが可能であり、ただし、ｘ＝ａ、ｂ、ｇなどである。

無線クライアント−サーバ通信システム３００内のユーザを相互認証するのに、ＷｉＦｉ（登録商標）クライアントモジュール３４５とサーバモジュール１４５ａが、ＷｉＦｉ（登録商標）ユーザオーセンティケータ１４０ａを協力して使用することができる。ＷｉＦｉ（登録商標）ホットスポット３１５空間に入ると、ＷｉＦｉ（登録商標）アクセスポイント３２０（１）を介するＷｉＦｉ（登録商標）クライアントモジュール３４５とＷｉＦｉ（登録商標）ユーザオーセンティケータ１４０ａの間の通信が、一部の実施形態において、行われることが可能である。移動デバイス１０５は、ＷｉＦｉ（登録商標）ホットスポット３１５においてＷｉＦｉ（登録商標）ネットワーク３１０に認証イベントを示すことができる。認証イベントは、ユーザが、ＷｉＦｉ（登録商標）ネットワーク３１０へのアクセスを所望する際に、さらに／または移動デバイス３０５が、ＷｉＦｉ（登録商標）ネットワーク３１０にアクセスするためにＷｉＦｉ（登録商標）ホットスポット３１５と対話する際に、生成されることが可能である。

認証イベントに応答して、ＷｉＦｉ（登録商標）クライアントモジュール３４５は、サーバモジュール１４５ａに関連するＷｉＦｉ（登録商標）オーセンティケータ１４０ａと対話して、移動デバイス３０５が、ＷｉＦｉ（登録商標）ネットワーク３１０に関連するアクセスポイント３２０（１）に接続することを可能にすることができる。

次に図４を参照すると、本発明の一実施形態による、図１に示されるアクセス網１００上のクライアント１０５を認証する方法を実施するための様式化された図が、示されている。アドレス１１０を有するアクセス網１００は、クライアント１０５にサーバ１１５への早期のアクセスを可能にすることができる。ブロック４００で、図１に示されるアクセス網１００上のクライアント１０５の相互認証が、中間サーバ１２５において可能にされることが可能である。アクセス網１００に対してクライアント１０５を互いに認証するのに、クライアント１０５とサーバ１１５の間の中間サーバ１２５が、使用されることが可能である。クライアント１０５とサーバ１１５との間の接続通信に応答して、クライアント１０５とアクセス網１００の少なくともいずれかが、相互認証プロトコルをサポートするかどうかを、オーセンティケータ１４０が判定することができる。

判定ブロック４０５は、クライアント１０５と、アクセス網１００に関連する中間サーバ１２５との間の接続通信をできる。ブロック４１０で、ゲートウェイ１２２が、アクセス網１００を介するクライアント１０５とサーバ１１５との間の通信１２０ａ、１２０ｂに応答して、サーバ１１５からの第１のチャレンジ１３５ａに対するクライアント１０５からの第１の応答１３０ａ、およびクライアント１０５からの第２のチャレンジ１３５ｂに対するサーバ１１５からの第２の応答１３０ｂに基づき、クライアント１０５を認証することを終える前に、アクセス網１００へのアクセスを提供するためのアドレス１１０をクライアント１０５に割り当てることができる。

ブロック４１５で、相互認証プロトコルをアクセス網１００がサポートしないと判定したことに応答して、オーセンティケータ１４０は、ブロック４２０に示されるとおり、クライアントに関するデフォルトの認証を使用することができる。ブロック４２５ａで、オーセンティケータ１４０は、サーバ１１５からの第１のチャレンジ１３５ａに対するクライアント１０５からの第１の応答１３０ａを受信することができる。ブロック４２５ｂで、オーセンティケータ１４０は、クライアント１０５からの第２のチャレンジ１３５ｂに対するサーバ１１５からの第２の応答１３０ｂを受信することができる。

アクセス網１００上でクライアント１０５に提供されるアクセスを有効化するのに、オーセンティケータ１４０は、判定ブロック４３０で、サーバ１１５からクライアント１０５に関する証明書の指示を受信することができる。オーセンティケータ１４０は、ブロック４３５で、第１の応答、および第２の応答に基づき、サーバ１１５に対してクライアントを認証することを終えることができる。

クライアント１０５に関する証明書の指示を使用することにより、オーセンティケータ１４０は、ＷｉＦｉ（登録商標）ホットスポット３１５に関連するアクセスポイント３２０（１）へのアクセスを移動デバイス３０５に提供することができる。サーバ１１５からのクライアント１０５に関する証明書の指示が、アクセスを認証する場合、ブロック４３５で、オーセンティケータ１４０は、クライアント１０５を認証することを終えることができる。しかし、サーバ１１５からのクライアント１０５に関する証明書の指示が、アクセス網１００を認証することに失敗した場合、オーセンティケータ１４０を拒否することにより、アクセス網１００上のクライアント１０５へのアクセスが拒否されることが可能である。クライアント１０５が、相互認証プロトコルをサポートしないと判定したことに応答して、ブロック４４５で、オーセンティケータ１４０は、ブロック４５０に示されるとおり、所定のポリシーを使用して、クライアント１０５を認証することができる。

本発明のいくつかの部分、および対応する詳細な説明は、ソフトウェア、あるいはコンピュータメモリ内部のデータビットに対する操作のアルゴリズムおよび記号表現に関して提示される。これらの説明および表現は、当業者が、自らの作業の実質を他の当業者に効果的に伝える説明および表現である。本明細書で使用され、さらに、一般的に使用されるアルゴリズムとは、所望される結果をもたらす自己矛盾のない一連のステップであると考えられる。これらのステップは、物理量の物理的な操作を要求するステップである。通常、必然的にではないが、これらの量は、格納される、転送される、組み合わされる、比較される、またはそれ以外で操作されることが可能な光信号、電気信号、または磁気信号の形態をとる。ときとして、主に一般的な用法の理由で、これらの信号をビット、値、要素、シンボル、文字、項、数などと呼ぶことが好都合であることが分かっている。

しかし、これら、および類似する用語のすべては、適切な物理量に関連付けられるべきであり、単に、これらの量に付けられた便利なラベルに過ぎないことに留意されたい。特に明記しない限り、または説明から明らかなとおり、「処理すること」または「算定すること」または「計算すること」または「判定すること」または「表示すること」などの用語は、コンピュータシステムのレジスタおよびメモリの内部の物理的な電子的量として表されるデータを操作して、コンピュータシステムメモリもしくはコンピュータシステムレジスタ、または他のそのような情報格納デバイス、情報伝送デバイス、もしくは情報表示デバイスの内部の物理量として同様に表される他のデータに変換するコンピュータシステム、または類似した電子コンピューティングデバイスのアクションおよびプロセスを指す。

また、本発明のソフトウェアによって実施される態様は、通常、何らかの形態のプログラム記憶媒体上に符号化される、または何らかのタイプの伝送媒体を介して実施されることに留意されたい。プログラム記憶媒体は、磁気型（たとえば、フロッピー（登録商標）ディスクまたはハードディスク）または光学型（たとえば、コンパクトディスク読み取り専用メモリ、つまり、「ＣＤ ＲＯＭ」）であることが可能であり、読み取り専用型であっても、ランダムアクセス型であってもよい。同様に、伝送媒体は、対より線、同軸ケーブル、光ファイバ、または当技術分野で知られている他の何らかの適切な伝送媒体であることが可能である。本発明は、いずれの所与の実施形態の、これらの態様によっても限定されない。

前述した本発明は、添付の図を参照して説明される。様々な構造、システム、およびデバイスが、当業者によく知られている詳細で本発明を分かりにくくしないように、単に説明の目的で図面に概略で示される。それでも、添付の図面は、本発明の説明的な例を表し、説明するように含められている。本明細書で使用される語および句は、当業者によるそれらの語および句の理解と合致する意味を有するように理解されて、解釈されるべきである。用語または句の特別な定義、すなわち、当業者によって理解される通常の慣習的な意味とは異なる定義が、本明細書における用語または句の一貫した用法によって暗示されることは、まったく意図していない。ある用語、またはある句が、特別な意味、すなわち、当業者によって理解される以外の意味を有することが意図される限り、そのような特別な定義は、その用語または句に関する、その特別な定義を直接に、明瞭に与える定義の仕方で、本明細書で明確に示される。

本発明は、本明細書で、遠隔通信ネットワーク環境において役立つものとして例示されたが、本発明は、他の接続された環境にも応用される。たとえば、前述したデバイスの２つ以上が、ハードケーブル配線、無線周波数信号（たとえば、８０２．１１（ａ）、８０２．１１（ｂ）、８０２．１１（ｇ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）など）、赤外線結合、電話線およびモデムなどの、デバイス間接続を介して一緒に結合されることが可能である。本発明は、２つ以上のユーザが、互いに接続され、互いに通信することができる任意の環境において応用されることが可能である。

本明細書の様々な実施形態で示される様々なシステムレイヤ、ルーチン、またはモジュールは、実行可能な制御ユニットであることが可能であることが、当業者には理解されよう。これらの制御ユニットには、マイクロプロセッサ、マイクロコントローラ、デジタルシグナルプロセッサ、プロセッサカード（１つまたは複数のマイクロプロセッサまたはコントローラを含む）、または制御デバイスもしくはコンピューティングデバイス、ならびに１つまたは複数の記憶デバイス内に含まれる実行可能命令が含まれることが可能である。ストレージデバイスには、データおよび命令を格納するための１つまたは複数のマシン可読記憶媒体が含まれることが可能である。記憶媒体には、ＤＲＡＭまたはＳＲＡＭ（ダイナミックランダムアクセスメモリまたはスタティックランダムアクセスメモリ）、ＥＰＲＯＭ（消去可能なプログラマブル読み取り専用メモリ）、ＥＥＰＲＯＭ（電気的に消去可能なプログラマブル読み取り専用メモリ）、およびフラッシュメモリなどの半導体メモリデバイス、固定ディスク、フロッピー（登録商標）ディスク、リムーバブルディスクなどの磁気ディスク、テープを含む他の磁気媒体、およびＣＤ（コンパクトディスク）またはＤＶＤ（デジタルビデオディスク）などの光媒体を含む、様々な形態のメモリが含まれることが可能である。様々なシステムにおける様々なソフトウェアレイヤ、ソフトウェアルーチン、またはソフトウェアモジュールを構成する命令は、それぞれの記憶デバイスの中に格納されることが可能である。これらの命令は、それぞれの制御ユニットによって実行されると、プログラミングされた動作を、対応するシステムに実行させる。

以上に開示される特定の実施形態は、本発明が、本明細書の教示を利用する当業者には明白な、異なるが、均等な仕方で変形され、実施されることが可能であるので、単に例示的である。さらに、本明細書で示される構成または設計の詳細に対する限定は、特許請求の範囲に記載される以外、まったく意図されていない。したがって、以上に開示される特定の実施形態は、変更または変形されることが可能であり、すべてのそのような変種が、本発明の範囲および趣旨に含まれることが、明白である。したがって、本明細書で求められる保護は、特許請求の範囲に記載される。

本発明の一実施形態による、クライアントとアクセス網が互いを相互に認証することができるアクセス網の一実施形態を示す概略図である。 本発明の一実施形態による、クライアントと、ＤＨＣＰサーバとして中間サーバを有するゲートウェイと、ＡＡＡサーバとの間におけるクライアントとサーバの間の対話を示す図である。 本発明の一実施形態による、ＷｉＦｉ（登録商標）ネットワークに対して互いに認証するようにＡＡＡサーバに結合された移動デバイスを含む無線クライアント−サーバ通信システムを示す概略図である。 本発明の一実施形態による、図１に示されるアクセス網上のクライアントを認証するための方法を実施するための様式化された図である。

Claims (10)

1. 無線ネットワーク上の、前記無線ネットワークに関連するサーバへのアクセスを可能にするアドレスを有するクライアントを認証する方法であって、
   前記無線ネットワークを介する前記クライアントと前記サーバとの間の通信に応答して、前記サーバからの第１のチャレンジに対する前記クライアントからの第１の応答、および前記クライアントからの第２のチャレンジに対する前記サーバからの第２の応答に基づき、前記クライアントを認証することを終える前に、前記無線ネットワークへのアクセスを提供するための前記アドレスを前記クライアントに割り当てることを含む、方法。
2. 前記クライアントからの前記第１の応答を前記サーバからの前記第２の応答と比較すること、および
   前記第１の応答が前記第２の応答と合致する場合、前記サーバに対して前記クライアントを認証することをさらに含む、請求項１に記載の方法。
3. 前記第１の応答および前記第２の応答に基づき、前記サーバに対して前記クライアントを認証することを終えるように、前記サーバからの前記第１のチャレンジに対する前記クライアントからの前記第１の応答、および前記クライアントからの前記第２のチャレンジに対する前記サーバからの前記第２の応答を受信することを含む、請求項２に記載の方法。
4. 前記サーバから前記第２の応答を受信することが、
   前記無線ネットワーク上で前記クライアントに提供される前記アクセスを有効化するように、前記サーバから前記クライアントに関する証明書の指示を受信すること、
   ＷｉＦｉ（登録商標）ホットスポットに関連するアクセスポイントへのアクセスを移動デバイスに提供するように、前記クライアントに関する証明書の前記指示を使用すること、
   前記サーバからの前記クライアントに関する証明書の前記指示が、前記アクセスを認証した場合、前記クライアントを認証することを終えること、および
   前記サーバからの前記クライアントに関する証明書の前記指示が、前記アクセスを認証することに失敗した場合、前記無線ネットワーク上で前記クライアントにアクセスを拒否することをさらに含む、請求項３に記載の方法。
5. 前記クライアントと前記サーバの間の中間サーバにおいて、前記無線ネットワークに対して前記クライアントを互いに認証することを可能にすること、
   前記クライアントと前記サーバとの間の接続通信に応答して、前記クライアントと前記無線ネットワークの少なくともいずれかが相互認証プロトコルをサポートするかどうかを判定すること、
   前記無線ネットワークが前記相互認証プロトコルをサポートしないと判定したことに応答して、前記クライアントに関するデフォルトの認証を使用すること、および
   前記クライアントが前記相互認証プロトコルをサポートしないと判定したことに応答して、所定のポリシーを使用して、前記クライアントを認証することをさらに含む、請求項１に記載の方法。
6. ＷｉＦｉ（登録商標）ネットワークに対して、前記ＷｉＦｉ（登録商標）ネットワークに関連するサーバへのアクセスを可能にするアドレスを有するクライアントを認証する無線クライアント−サーバ通信システムであって、
   前記無線ネットワークに関連するアクセスポイントを介して前記無線ネットワークに対して互いに認証するための命令を格納するクライアントモジュールを含むクライアントと、
   オーセンティケータを使用して前記クライアントと通信するように構成されたサーバとを含み、前記サーバが、前記無線ネットワークを介する前記クライアントと前記サーバとの間の通信に応答して、前記無線ネットワークに対して前記クライアントを互いに認証する命令を格納するサーバモジュールを含み、前記オーセンティケータが、前記サーバからの第１のチャレンジに対する前記クライアントからの第１の応答、および前記クライアントからの第２のチャレンジに対する前記サーバからの第２の応答に基づき、前記クライアントを認証することを終える前に、前記ＷｉＦｉ（登録商標）ネットワークへのアクセスを提供するための前記アドレスを前記クライアントに割り当てる、システム。
7. 前記オーセンティケータが、前記クライアントからの前記第１の応答を前記サーバからの前記第２の応答と比較し、前記第１の応答が前記第２の応答と合致する場合、前記サーバに対して前記クライアントを認証する、請求項６に記載の無線クライアント−サーバ通信システム。
8. 前記オーセンティケータが、前記サーバからの前記第１のチャレンジに対する前記クライアントからの前記第１の応答、および前記クライアントからの前記第２のチャレンジに対する前記サーバからの前記第２の応答を受信して、前記第１の応答および前記第２の応答に基づき、前記サーバに対して前記クライアントを認証することを終える、請求項７に記載の無線クライアント−サーバ通信システム。
9. アクセス網に対して、前記アクセス網に関連するサーバへのアクセスを可能にするアドレスを有するクライアントを認証する無線クライアント−サーバ通信システムにおけるクライアントであって、
   前記アクセス網を介するクライアントモジュールとサーバモジュールとの間の通信に応答して、前記サーバからの第１のチャレンジに対する前記クライアントからの第１の応答、および前記クライアントからの第２のチャレンジに対する前記サーバからの第２の応答に基づき、前記クライアントを認証することを終える前に、前記アクセス網へのアクセスを提供するための前記アドレスを前記クライアントに割り当てる中間サーバを介して、前記サーバモジュールに対して互いに認証するための命令を格納するクライアントモジュールを含み、
   前記クライアントが、移動デバイスであり、
   前記アクセス網が、ＷｉＦｉ（登録商標）ネットワークである、クライアント。
10. アクセス網に対して、前記アクセス網に関連するサーバへのアクセスを可能にするアドレスを有するクライアントを認証する無線クライアント−サーバ通信システムにおけるサーバであって、
    前記アクセス網を介するクライアントモジュールとサーバモジュールとの間の通信に応答して、前記サーバからの第１のチャレンジに対する前記クライアントからの第１の応答、および前記クライアントからの第２のチャレンジに対する前記サーバからの第２の応答に基づき、前記クライアントを認証することを終える前に、前記アクセス網へのアクセスを提供するための前記アドレスを前記クライアントに割り当てる中間サーバを介して、前記クライアントモジュールに対して互いに認証するための命令を格納するサーバモジュールを含み、
    前記サーバが、ＷｉＦｉ（登録商標）ネットワークに関連する認証サーバである、サーバ。

Images