JP2010166365A - 通信システム、認証サーバ、認証方法およびプログラム - Google Patents

Abstract

【課題】通信端末と、通信端末を認証するサーバとの間にて、適当な認証方式を用いた当該通信端末の認証を容易に行う。
【解決手段】端末３００と接続された認証サーバ１００が、端末３００を第１の認証方式を用いて認証する際、第２の認証方式を用いた認証に必要な認証情報を端末３００へ要求し、端末３００から送信されてきた認証情報を認証サーバ２００，２１０へ送信し、認証サーバ２００，２１０が、認証情報に基づいて、第２の認証方式を用いて端末３００を認証する。
【選択図】図１

Description

本発明は、通信端末を認証する通信システム、認証サーバ、認証方法およびプログラムに関する。

一般的に、ネットワークアクセスプロバイダ（ＮＡＰ：Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｐｒｏｖｉｄｅｒ）がインターネットサービスプロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）に回線を貸与する場合、通信端末の認証は少なくともＩＳＰにある認証サーバにて行われることが多い。この場合、ＩＳＰにある認証サーバとして、ＰＡＰ（Ｐａｓｓｗｏｒｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）認証またはＣＨＡＰ（Ｃｈａｌｌｅｎｇ Ｈａｎｄｓｈａｋｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）認証の認証方式を用いた認証しか使用できない既存の認証サーバが利用されることが多い。

一方、昨今のワイヤレス（無線）回線では、通信端末を認証する認証方式としてＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）認証方式を使用することが多い。そのため、この認証方式とＩＳＰにある認証サーバにおける端末の認証方式とが合わない場合がある。

また、ＮＡＰにおいても通信端末の認証を行うことがある。その場合、メッセージを転送するだけのプロキシ機能では代用できない。

そこで、ＥＡＰ認証方式とＣＨＡＰ認証方式とを用いて移動ノード（通信端末）を認証するシステムが考えられている（例えば、特許文献１参照。）。

特表２００６−５２７９６８号公報

しかしながら、特許文献１に記載されたシステムにおいては、ＥＡＰ認証方式とＣＨＡＰ認証方式とを用いて移動ノードの認証を行う場合、互いに異なる（独立した）手順で行わなければならず、その手間がかかってしまうという問題点がある。

本発明は、上述した課題を解決する通信システム、認証サーバ、認証方法およびプログラムを提供することを目的とする。

本発明の通信システムは、
通信端末と、該通信端末と接続され、該通信端末を認証する第１の認証サーバと、該第１の認証サーバを介して前記通信端末と接続された第２の認証サーバとから構成される通信システムにおいて、
前記第１の認証サーバは、前記通信端末を第１の認証方式を用いて認証する際、該第１の認証方式とは異なる第２の認証方式を用いた認証に必要な認証情報を前記通信端末へ要求し、該通信端末から送信されてきた前記認証情報を前記第２の認証サーバへ送信し、
前記第２の認証サーバは、前記第１の認証サーバから送信されてきた前記認証情報に基づいて、前記第２の認証方式を用いて前記通信端末を認証することを特徴とする。

また、本発明の認証サーバは、
通信端末と接続され、該通信端末を認証する認証サーバであって、
前記通信端末を第１の認証方式を用いて認証する認証部と、
前記認証部が前記通信端末を認証する際、該第１の認証方式とは異なる第２の認証方式を用いた認証に必要な認証情報を前記通信端末へ要求する要求部と、
前記通信端末から送信されてきた前記認証情報を、前記第２の認証方式を用いて前記通信端末を認証するインターネット装置へ送信するインターネットインタフェース部とを有する。

また、本発明の認証方法は、
通信端末と接続され、該通信端末を認証する第１の認証サーバと、該第１の認証サーバを介して前記通信端末と接続された第２の認証サーバとから構成される通信システムにおいて、前記通信端末を認証する認証方法であって、
前記第１の認証サーバが、前記通信端末を第１の認証方式を用いて認証する処理と、
前記第１の認証サーバが、前記通信端末を前記第１の認証方式を用いて認証する際、該第１の認証方式とは異なる第２の認証方式を用いた認証に必要な認証情報を前記通信端末へ要求する処理と、
前記第１の認証サーバが、前記通信端末から送信されてきた前記認証情報を前記第２の認証サーバへ送信する処理と、
前記第２の認証サーバが、前記第１の認証サーバから送信されてきた前記認証情報に基づいて、前記第２の認証方式を用いて前記通信端末を認証する処理とを有する。

また、本発明の認証方法は、
通信端末を認証する認証方法であって、
前記通信端末を第１の認証方式を用いて認証する処理と、
前記第１の認証方式を用いて前記通信端末を認証する際、該第１の認証方式とは異なる第２の認証方式を用いた認証に必要な認証情報を前記通信端末へ要求する処理と、
前記通信端末から送信されてきた前記認証情報を、前記第２の認証方式を用いて前記通信端末を認証するインターネット装置へ送信する処理とを有する。

また、本発明のプログラムは、
通信端末と接続され、該通信端末を認証する認証サーバに実行させるためのプログラムであって、
前記通信端末を第１の認証方式を用いて認証する手順と、
前記第１の認証方式を用いて前記通信端末を認証する際、該第１の認証方式とは異なる第２の認証方式を用いた認証に必要な認証情報を前記通信端末へ要求する手順と、
前記通信端末から送信されてきた前記認証情報を、前記第２の認証方式を用いて前記通信端末を認証するインターネット装置へ送信する手順とを実行させる。

以上説明したように本発明においては、通信端末と接続された第１の認証サーバが、通信端末を第１の認証方式を用いて認証する際、第２の認証方式を用いた認証に必要な認証情報を通信端末へ要求し、通信端末から送信されてきた認証情報を第２の認証サーバへ送信し、第２の認証サーバが、認証情報に基づいて、第２の認証方式を用いて通信端末を認証する構成としたため、通信端末と、通信端末を認証するサーバとの間にて、適当な認証方式を用いた当該通信端末の認証を容易に行うことができる。

本発明の通信システムの一形態を示す図である。 図１に示したＮＡＰに存在する認証サーバの内部構成の一例を示す図である。 図１に示した形態における端末を認証する認証方法を説明するためのシーケンス図である。 ＩＳＰに存在する認証サーバがＰＡＰ認証方式を用いて端末を認証する場合のＥＡＰ−ＰＳＫ第３のメッセージに含まれる拡張領域のフォーマットを示す図である。 ＩＳＰに存在する認証サーバがＰＡＰ認証方式を用いて端末を認証する場合のＥＡＰ−ＰＳＫ第４のメッセージに含まれる拡張領域のフォーマットを示す図である。 ＩＳＰに存在する認証サーバがＣＨＡＰ認証方式を用いて端末を認証する場合のＥＡＰ−ＰＳＫ第３のメッセージに含まれる拡張領域のフォーマットを示す図である。 ＩＳＰに存在する認証サーバがＣＨＡＰ認証方式を用いて端末を認証する場合のＥＡＰ−ＰＳＫ第４のメッセージに含まれる拡張領域のフォーマットを示す図である。

以下に、本発明の実施の形態について図面を参照して説明する。

図１は、本発明の通信システムの一形態を示す図である。

本形態は図１に示すように、ＮＡＰ（Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ Ｐｒｏｖｉｄｅｒ）に存在する認証サーバ１００と、ＡＲ４００，４１０と、端末３００と、ＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）に存在する認証サーバ２００，２１０とから構成されている。

認証サーバ１００は、ＡＲ４００，４１０を介して端末３００と接続可能に構成され、端末３００を第１の認証方式を用いて認証する第１の認証サーバである。ここで、第１の認証方式として、ＥＡＰ−ＰＳＫ（Ｐｒｅ−Ｓｈａｒｅｄ Ｋｅｙ）認証方式が用いられる場合を例に挙げて説明する。ＥＡＰ−ＰＳＫ認証方式は、ＲＦＣ４７６４に仕様が定められており、事前共有鍵（ＰＳＫ）を使った相互認証とセッション鍵の生成用のＥＡＰメソッドである。

ＡＲ４００，４１０は、端末３００が認証サーバ１００と通信を行うためのアクセスルータである。

端末３００は、ＡＲ４００，４１０と接続可能に構成された通信端末である。端末３００は、無線通信機能を有する。

認証サーバ２００，２１０は、認証サーバ１００と接続可能に構成され、端末３００を第２の認証方式を用いて認証する第２の認証サーバ（インターネット装置）である。ここで、第２の認証方式として、パスワード認証プロトコル（ＰＡＰ：Ｐａｓｓｗｏｒｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）認証方式、または、チャレンジハンドシェイク認証プロトコル（ＣＨＡＰ：Ｃｈａｌｌｅｎｇｅ Ｈａｎｄｓｈａｋｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）認証方式が用いられる場合を例に挙げて説明する。また、認証サーバ２００は、ＩＳＰ１に存在し、また認証サーバ２１０は、ＩＳＰ２に存在する。

図２は、図１に示した認証サーバ１００の内部構成の一例を示す図である。

図１に示した認証サーバ１００には図２に示すように、インターネットインタフェース部１０１と、端末インタフェース部１０２と、要求部１０３と、抽出部１０４と、認証部１０５とが設けられている。

インターネットインタフェース部１０１は、認証サーバ２００，２１０との間で信号をやり取りするインタフェース機能を有する。

端末インタフェース部１０２は、ＡＲ４００，４１０を介して端末３００との間で信号をやり取りするインタフェース機能を有する。

要求部１０３は、認証情報を端末３００へ要求する。このとき、要求するための情報を端末インタフェース部１０２へ出力する。

抽出部１０４は、端末３００から送信されてきた応答メッセージから認証情報を抽出する。また、抽出部１０４は、抽出した認証情報をインターネットインタフェース部１０１へ出力する。

認証部１０５は、第１の認証方式を用いて端末３００の認証を行う。

なお、図２には、図１に示した認証サーバ１００を構成する構成要素のうち、本発明に関わる構成要素のみを示した。

以下に、本形態における端末３００を認証する認証方法について説明する。

図３は、図１に示した形態における端末３００を認証する認証方法を説明するためのシーケンス図である。ここでは、ＰＡＰ／ＣＨＡＰ認証方式を用いて端末３００を認証するサーバが、認証サーバ２００である場合を例に挙げて説明する。ＰＡＰ／ＣＨＡＰ認証方式を用いて端末３００を認証するサーバが、認証サーバ２１０である場合も同様であることは言うまでもない。

まず、拡張認証プロトコル（ＥＡＰ）の識別情報（Ｉｄｅｎｔｉｔｙ）がＥＡＰ Ｉｄｅｎｔｉｔｙとして、端末３００から認証サーバ１００へ送信される（ステップＳ１）。

続いて、認証サーバ１００の端末インタフェース部１０２から端末３００へ、ＥＡＰ−Ｒｅｑｕｅｓｔが送信される（ステップＳ２）。このステップＳ２で送信されるＥＡＰ−Ｒｅｑｕｅｓｔは、ＲＦＣ４７６４に記載されているＥＡＰ−ＰＳＫ第１メッセージである。ここで、このＥＡＰ−ＰＳＫ第１メッセージをＥＡＰ−ＰＳＫ拡張領域無し要求メッセージとする。

すると、端末３００から認証サーバ１００へ、ＥＡＰ−Ｒｅｓｐｏｎｓｅが送信される（ステップＳ３）。このステップＳ３で送信されるＥＡＰ−Ｒｅｓｐｏｎｓｅは、ＲＦＣ４７６４に記載されているＥＡＰ−ＰＳＫ第２メッセージである。ここで、このＥＡＰ−ＰＳＫ第２メッセージをＥＡＰ−ＰＳＫ拡張領域無し応答メッセージとする。

続いて、認証サーバ１００の端末インタフェース部１０２から端末３００へ、ＥＡＰ−Ｒｅｑｕｅｓｔが送信される（ステップＳ４）。このステップＳ４で送信されるＥＡＰ−Ｒｅｑｕｅｓｔは、ＲＦＣ４７６４に記載されているＥＡＰ−ＰＳＫ第３メッセージである。ここで、このＥＡＰ−ＰＳＫ第３メッセージをＥＡＰ−ＰＳＫ拡張領域付き要求メッセージとする。

このとき、ＰＡＰ／ＣＨＡＰ認証方式を用いた認証に必要な認証情報を要求するための情報が、要求部１０３から端末インタフェース部１０２へ出力され、当該情報が端末インタフェース部１０２にてＥＡＰ−ＰＳＫ第３メッセージの拡張領域に挿入されて（含まれて）送信される。

ＥＡＰ−ＰＳＫ第３メッセージが認証サーバ１００から端末３００へ送信されると、当該ＥＡＰ−ＰＳＫ第３メッセージに応じた応答メッセージであるＥＡＰ−Ｒｅｓｐｏｎｓｅが端末３００から認証サーバ１００へ送信される（ステップＳ５）。このステップＳ５で送信されるＥＡＰ−Ｒｅｓｐｏｎｓｅは、ＲＦＣ４７６４に記載されているＥＡＰ−ＰＳＫ第４メッセージである。ここで、このＥＡＰ−ＰＳＫ第４メッセージをＥＡＰ−ＰＳＫ拡張領域付き応答メッセージとする。

このとき、ＥＡＰ−ＰＳＫ第４メッセージの拡張領域に、ＥＡＰ−ＰＳＫ第３メッセージに挿入されて送信されてきた要求に応じた認証情報が挿入される（含まれる）。

端末３００から送信されたＥＡＰ−ＰＳＫ第４メッセージが認証サーバ１００の端末インタフェース部１０２にて受信されると、受信したＥＡＰ−ＰＳＫ第４メッセージから認証情報が抽出部１０４にて抽出される。

抽出部１０４にて抽出された認証情報がインターネットインタフェース部１０１から認証サーバ２００へ送信（転送）される（ステップＳ６）。このとき、認証サーバ１００から認証サーバ２００への送信に、Ａｃｃｅｓｓ−Ｒｅｑｕｅｓｔが用いられる。

この認証情報によって端末３００が認証サーバ２００にて認証されると、認証に成功した旨を示す信号がＡｃｃｅｓｓ−Ａｃｃｅｐｔとして認証サーバ２００から認証サーバ１００へ送信される（ステップＳ７）。

すると、認証に成功した旨を示すＥＡＰ−Ｓｕｃｃｅｓｓが認証サーバ１００の端末インタフェース部１０２から端末３００へ送信される（ステップＳ８）。

ここで、上述したステップＳ４〜Ｓ８までの処理を具体的に説明する。

まずは、認証サーバ２００がＰＡＰ認証方式を用いて端末３００を認証する場合の処理について説明する。

図４は、認証サーバ２００がＰＡＰ認証方式を用いて端末３００を認証する場合のＥＡＰ−ＰＳＫ第３のメッセージに含まれる拡張領域のフォーマットを示す図である。

認証サーバ２００がＰＡＰ認証方式を用いて端末３００を認証する場合のＥＡＰ−ＰＳＫ第３メッセージに含まれる拡張領域のフォーマットは図４に示すように、８ビットの「ＥＸＴ＿Ｔｙｐｅ」と、長さを示す８ビットの「長さ」とから構成されている。

ステップＳ４では、ＥＡＰ−ＰＳＫ第３メッセージの「ＥＸＴ＿Ｔｙｐｅ」にＰＡＰ認証を示す値（説明の便宜上、以下、「ＥＸＴ＿Ｔｙｐｅ（ＰＡＰ）とする）が挿入され、「長さ」に「０」が挿入され、端末３００へ送信される。

認証サーバ１００から送信されたＥＡＰ−ＰＳＫ第３メッセージが端末３００にて受信されると、ＥＡＰ−ＰＳＫ第３メッセージの拡張領域の「ＥＸＴ＿Ｔｙｐｅ」が「ＥＸＴ＿Ｔｙｐｅ（ＰＡＰ）」であるかどうかが判断される。

ＥＡＰ−ＰＳＫ第３メッセージの拡張領域の「ＥＸＴ＿Ｔｙｐｅ」が「ＥＸＴ＿Ｔｙｐｅ（ＰＡＰ）」であると判断された場合、ＰＡＰ認証方式を用いた端末３００の認証に必要な情報がＥＡＰ−ＰＳＫ第４メッセージの拡張領域に挿入されて、ステップＳ５にて端末３００から認証サーバ１００へ送信される。

図５は、認証サーバ２００がＰＡＰ認証方式を用いて端末３００を認証する場合のＥＡＰ−ＰＳＫ第４のメッセージに含まれる拡張領域のフォーマットを示す図である。

認証サーバ２００がＰＡＰ認証方式を用いて端末３００を認証する場合のＥＡＰ−ＰＳＫ第４メッセージに含まれる拡張領域のフォーマットは図５に示すように、８ビットの「ＥＸＴ＿Ｔｙｐｅ」と、長さを示す８ビットの「長さ」と、任意の長さの「パスワード」とから構成されている。

ステップＳ５では、ＥＡＰ−ＰＳＫ第４メッセージの「ＥＸＴ＿Ｔｙｐｅ」に「ＥＸＴ＿Ｔｙｐｅ（ＰＡＰ）」、「長さ」に「パスワード」の長さ（ｂｙｔｅ）、「パスワード」には端末３００−インターネットサービスプロバイダ（ＩＳＰ）間で使用するパスワードがＵＴＦ−８（８−ｂｉｔ ＵＣＳ Ｔｒａｎｓｆｏｒｍａｔｉｏｎ Ｆｏｒｍａｔ）にて設定（挿入）される。それぞれの値が設定されたＥＡＰ−ＰＳＫ第４メッセージが端末３００から認証サーバ１００へ送信される。

端末３００から送信されたＥＡＰ−ＰＳＫ第４メッセージが認証サーバ１００の端末インタフェース部１０２にて受信されると、抽出部１０４にて認証情報としてパスワードが抽出される。抽出部１０４にて抽出されたパスワードは、ステップＳ６にてインターネットインタフェース部１０１から認証サーバ２００へ送信される。

そして、認証サーバ２００での認証結果が、ステップＳ７にて認証サーバ２００から認証サーバ１００へ送信される。

ステップＳ６にて送信されるＡｃｃｅｓｓ−ＲｅｑｕｅｓｔおよびステップＳ７にて送信されるＡｃｃｅｓｓ−Ａｃｃｅｐｔは、ＲＦＣ２８６５に記載されているＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）のプロトコルを用いたものであるが、Ｄｉａｍｅｔｅｒなどを用いたものでも本質は変わらない。

ＲＡＤＩＵＳの場合、ＥＡＰ−ＰＳＫ第４メッセージから抽出されたパスワードはＵｓｅｒ−Ｐａｓｓｗｏｒｄアトリビュートとして設定される。ステップＳ７にて送信されるＡｃｃｅｓｓ−Ａｃｃｅｐｔは、認証成功の場合のメッセージであり、認証失敗の場合はＡｃｃｅｓｓ−Ｒｅｊｅｃｔとなる。また、ステップＳ８にて送信されるメッセージは、ステップＳ７にて送信されたメッセージがＡｃｃｅｓｓ−Ａｃｃｅｐｔである場合、ＥＡＰ−Ｓｕｃｃｅｓｓとなり、ステップＳ７にて送信されたメッセージがＡｃｃｅｓｓ−Ｒｅｊｅｃｔである場合は、ＥＡＰ−Ｆａｉｌｕｒｅとなる。

次に、認証サーバ２００がＣＨＡＰ認証方式を用いて端末３００を認証する場合の処理について説明する。

図６は、認証サーバ２００がＣＨＡＰ認証方式を用いて端末３００を認証する場合のＥＡＰ−ＰＳＫ第３のメッセージに含まれる拡張領域のフォーマットを示す図である。

認証サーバ２００がＣＨＡＰ認証方式を用いて端末３００を認証する場合のＥＡＰ−ＰＳＫ第３メッセージに含まれる拡張領域のフォーマットは図６に示すように、８ビットの「ＥＸＴ＿Ｔｙｐｅ」と、長さを示す８ビットの「長さ」と、任意の長さの「ＣＨＡＰ Ｃｈａｌｌｅｎｇｅ」とから構成されている。

ステップＳ４では、ＥＡＰ−ＰＳＫ第３メッセージの「ＥＸＴ＿Ｔｙｐｅ」にＣＨＡＰ認証を示す値（説明の便宜上、以下、「ＥＸＴ＿Ｔｙｐｅ（ＣＨＡＰ）とする）、「長さ」に「ＣＨＡＰ Ｃｈａｌｌｅｎｇｅ」の長さ、「ＣＨＡＰ Ｃｈａｌｌｅｎｇｅ」に乱数列が挿入され、端末３００へ送信される。

認証サーバ１００から送信されたＥＡＰ−ＰＳＫ第３メッセージが端末３００にて受信されると、ＥＡＰ−ＰＳＫ第３メッセージの拡張領域の「ＥＸＴ＿Ｔｙｐｅ」が「ＥＸＴ＿Ｔｙｐｅ（ＣＨＡＰ）」であるかどうかが判断される。

ＥＡＰ−ＰＳＫ第３メッセージの拡張領域の「ＥＸＴ＿Ｔｙｐｅ」が「ＥＸＴ＿Ｔｙｐｅ（ＣＨＡＰ）」であると判断された場合、ＣＨＡＰ認証方式を用いた端末３００の認証に必要な情報がＥＡＰ−ＰＳＫ第４メッセージの拡張領域に挿入されて、ステップＳ５にて端末３００から認証サーバ１００へ送信される。

図７は、認証サーバ２００がＣＨＡＰ認証方式を用いて端末３００を認証する場合のＥＡＰ−ＰＳＫ第４のメッセージに含まれる拡張領域のフォーマットを示す図である。

認証サーバ２００がＣＨＡＰ認証方式を用いて端末３００を認証する場合のＥＡＰ−ＰＳＫ第４メッセージに含まれる拡張領域のフォーマットは図７に示すように、８ビットの「ＥＸＴ＿Ｔｙｐｅ」と、長さを示す８ビットの「長さ」と、８ビットの「ＣＨＡＰ ＩＤ」と、任意の長さの「ＣＨＡＰ Ｒｅｓｐｏｎｓｅ」とから構成されている。

ステップＳ５では、ＥＡＰ−ＰＳＫ第４メッセージの「ＥＸＴ＿Ｔｙｐｅ」に「ＥＸＴ＿Ｔｙｐｅ（ＣＨＡＰ）」、「長さ」に「１７」が設定（挿入）される。また、「ＣＨＡＰ ＩＤ」と、「ＣＨＡＰ Ｒｅｓｐｏｎｓｅ」とには、ＲＦＣ２８６５の２．２節で規定されたものが設定（挿入）される。それぞれの値が設定されたＥＡＰ−ＰＳＫ第４メッセージが端末３００から認証サーバ１００へ送信される。

端末３００から送信されたＥＡＰ−ＰＳＫ第４メッセージが認証サーバ１００の端末インタフェース部１０２にて受信されると、抽出部１０４にて認証情報としてＣＨＡＰ ＩＤとＣＨＡＰ Ｒｅｓｐｏｎｓｅとが抽出される。そして、抽出部１０４にて抽出されたＣＨＡＰ ＩＤとＣＨＡＰ Ｒｅｓｐｏｎｓｅとが、ステップＳ６にてインターネットインタフェース部１０１から認証サーバ２００へ送信される。

そして、認証サーバ２００での認証結果が、ステップＳ７にて認証サーバ２００から認証サーバ１００へ送信される。

ステップＳ６にて送信されるＡｃｃｅｓｓ−ＲｅｑｕｅｓｔおよびステップＳ７にて送信されるＡｃｃｅｓｓ−Ａｃｃｅｐｔは、ＲＦＣ２８６５に記載されているＲＡＤＩＵＳのプロトコルを用いたものであるが、Ｄｉａｍｅｔｅｒなどを用いたものでも本質は変わらない。

ＲＡＤＩＵＳの場合、ＥＡＰ−ＰＳＫ第４メッセージから抽出されたＣＨＡＰ ＩＤとＣＨＡＰ ＲｅｓｐｏｎｓｅとがＣＨＡＰ−Ｐａｓｓｗｏｒｄアトリビュートに設定される。また、ＥＡＰ−ＰＳＫ第３メッセージの乱数列がＣＨＡＰ−Ｃｈａｌｌｅｎｇｅアトリビュートに設定される。ステップＳ７にて送信されるＡｃｃｅｓｓ−Ａｃｃｅｐｔは、認証成功の場合のメッセージであり、認証失敗の場合はＡｃｃｅｓｓ−Ｒｅｊｅｃｔとなる。また、ステップＳ８にて送信されるメッセージは、ステップＳ７にて送信されたメッセージがＡｃｃｅｓｓ−Ａｃｃｅｐｔである場合、ＥＡＰ−Ｓｕｃｃｅｓｓとなり、ステップＳ７にて送信されたメッセージがＡｃｃｅｓｓ−Ｒｅｊｅｃｔである場合は、ＥＡＰ−Ｆａｉｌｕｒｅとなる。

なお、上述した通信システムは、ＷｉＭＡＸ（Ｗｏｒｌｄｗｉｄｅ Ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ ｆｏｒ Ｍｉｃｒｏｗａｖｅ Ａｃｃｅｓｓ）システムであっても良い。

なお、上述した認証サーバ１００の処理は、目的に応じて作製された論理回路で行うようにしても良い。また、処理内容を手順として記述したプログラムを認証サーバ１００にて読取可能な記録媒体に記録し、この記録媒体に記録されたプログラムを認証サーバ１００に読み込ませ、実行するものであっても良い。認証サーバ１００にて読取可能な記録媒体とは、フロッピーディスク（登録商標）、光磁気ディスク、ＤＶＤ、ＣＤなどの移設可能な記録媒体の他、認証サーバ１００に内蔵されたＲＯＭ、ＲＡＭ等のメモリやＨＤＤ等を指す。この記録媒体に記録されたプログラムは、認証サーバ１００内のＣＰＵ（不図示）にて読み込まれ、ＣＰＵの制御によって、上述したものと同様の処理が行われる。ここで、ＣＰＵは、プログラムが記録された記録媒体から読み込まれたプログラムを実行するコンピュータとして動作するものである。

以上説明したように、端末−ＮＡＰの認証サーバ間ではＥＡＰ−ＰＳＫの認証、端末−ＮＳＰの認証サーバ間では、ＰＡＰ／ＣＨＡＰの認証を行うことが可能となる。

１００，２００，２１０ 認証サーバ
１０１ インターネットインタフェース部
１０２ 端末インタフェース部
１０３ 要求部
１０４ 抽出部
１０５ 認証部
３００ 端末
４００，４１０ ＡＲ

Claims (19)

1. 通信端末と、該通信端末と接続され、該通信端末を認証する第１の認証サーバと、該第１の認証サーバを介して前記通信端末と接続された第２の認証サーバとから構成される通信システムにおいて、
   前記第１の認証サーバは、前記通信端末を第１の認証方式を用いて認証する際、該第１の認証方式とは異なる第２の認証方式を用いた認証に必要な認証情報を前記通信端末へ要求し、該通信端末から送信されてきた前記認証情報を前記第２の認証サーバへ送信し、
   前記第２の認証サーバは、前記第１の認証サーバから送信されてきた前記認証情報に基づいて、前記第２の認証方式を用いて前記通信端末を認証することを特徴とする通信システム。
2. 請求項１に記載の通信システムにおいて、
   前記第１の認証サーバは、前記第１の認証方式を用いて前記通信端末を認証するために該通信端末へ送信する要求メッセージに、前記要求を含めて送信し、
   前記通信端末は、前記第１の認証サーバから送信されてきた前記要求メッセージに前記要求が含まれている場合、前記認証情報を前記要求メッセージに対する応答メッセージに含めて前記第１の認証サーバへ送信することを特徴とする通信システム。
3. 請求項２に記載の通信システムにおいて、
   前記第１の認証サーバは、前記通信端末から送信されてきた前記応答メッセージから前記認証情報を抽出し、該抽出した認証情報を前記第２の認証サーバへ送信することを特徴とする通信システム。
4. 請求項２に記載の通信システムにおいて、
   前記第１の認証サーバは、第１の認証方式として、ＥＡＰ−ＰＳＫ認証方式を用いて前記通信端末を認証し、前記要求を前記要求メッセージであるＥＡＰ−ＰＳＫ拡張領域付き要求メッセージに含めて送信し、
   前記通信端末は、前記認証情報を前記応答メッセージであるＥＡＰ−ＰＳＫ拡張領域付き応答メッセージに含めて送信することを特徴とする通信システム。
5. 請求項１に記載の通信システムにおいて、
   前記第２の認証サーバは、第２の認証方式として、ＰＡＰ認証方式またはＣＨＡＰ認証方式を用いて前記通信端末を認証することを特徴とする通信システム。
6. 請求項１乃至５のいずれか１項に記載の通信システムにおいて、
   ＷｉＭＡＸシステムであることを特徴とする通信システム。
7. 通信端末と接続され、該通信端末を認証する認証サーバであって、
   前記通信端末を第１の認証方式を用いて認証する認証部と、
   前記認証部が前記通信端末を認証する際、該第１の認証方式とは異なる第２の認証方式を用いた認証に必要な認証情報を前記通信端末へ要求する要求部と、
   前記通信端末から送信されてきた前記認証情報を、前記第２の認証方式を用いて前記通信端末を認証するインターネット装置へ送信するインターネットインタフェース部とを有する認証サーバ。
8. 請求項７に記載の認証サーバにおいて、
   前記第１の認証方式を用いて前記通信端末を認証するために該通信端末へ送信する要求メッセージに、前記要求を含めて送信する端末インタフェース部と、
   前記要求メッセージに対して前記通信端末から送信されてきた応答メッセージから前記認証情報を抽出する抽出部とを有し、
   前記インターネットインタフェース部は、前記抽出部が抽出した認証情報を前記インターネット装置へ送信することを特徴とする認証サーバ。
9. 請求項８に記載の認証サーバにおいて、
   前記認証部は、前記第１の認証方式として、ＥＡＰ−ＰＳＫ認証方式を用いて前記通信端末を認証し、
   前記端末インタフェース部は、前記要求を前記要求メッセージであるＥＡＰ−ＰＳＫ拡張領域付き要求メッセージに含めて送信し、
   前記抽出部は、前記応答メッセージとして前記通信端末から送信されてきたＥＡＰ−ＰＳＫ拡張領域付き応答メッセージから前記認証情報を抽出することを特徴とする認証サーバ。
10. 通信端末と接続され、該通信端末を認証する第１の認証サーバと、該第１の認証サーバを介して前記通信端末と接続された第２の認証サーバとから構成される通信システムにおいて、前記通信端末を認証する認証方法であって、
    前記第１の認証サーバが、前記通信端末を第１の認証方式を用いて認証する処理と、
    前記第１の認証サーバが、前記通信端末を前記第１の認証方式を用いて認証する際、該第１の認証方式とは異なる第２の認証方式を用いた認証に必要な認証情報を前記通信端末へ要求する処理と、
    前記第１の認証サーバが、前記通信端末から送信されてきた前記認証情報を前記第２の認証サーバへ送信する処理と、
    前記第２の認証サーバが、前記第１の認証サーバから送信されてきた前記認証情報に基づいて、前記第２の認証方式を用いて前記通信端末を認証する処理とを有する認証方法。
11. 請求項１０に記載の認証方法において、
    前記第１の認証サーバが、前記第１の認証方式を用いて前記通信端末を認証するために該通信端末へ送信する要求メッセージに、前記要求を含めて送信する処理と、
    前記通信端末が、前記第１の認証サーバから送信されてきた前記要求メッセージに前記要求が含まれている場合、前記認証情報を前記要求メッセージに対する応答メッセージに含めて前記第１の認証サーバへ送信する処理と、
    前記第１の認証サーバが、前記通信端末から送信されてきた前記応答メッセージから前記認証情報を抽出する処理と、
    前記第１の認証サーバが、前記抽出した認証情報を前記第２の認証サーバへ送信する処理とを有することを特徴とする認証方法。
12. 請求項１１に記載の認証方法において、
    前記第１の認証サーバが、第１の認証方式として、ＥＡＰ−ＰＳＫ認証方式を用いて前記通信端末を認証する処理と、
    前記第１の認証サーバが、前記要求を前記要求メッセージであるＥＡＰ−ＰＳＫ拡張領域付き要求メッセージに含めて送信する処理と、
    前記通信端末が、前記認証情報を前記応答メッセージであるＥＡＰ−ＰＳＫ拡張領域付き応答メッセージに含めて送信する処理とを有することを特徴とする認証方法。
13. 請求項１０に記載の認証方法において、
    前記第２の認証サーバが、第２の認証方式として、ＰＡＰ認証方式またはＣＨＡＰ認証方式を用いて前記通信端末を認証する処理を有することを特徴とする認証方法。
14. 通信端末を認証する認証方法であって、
    前記通信端末を第１の認証方式を用いて認証する処理と、
    前記第１の認証方式を用いて前記通信端末を認証する際、該第１の認証方式とは異なる第２の認証方式を用いた認証に必要な認証情報を前記通信端末へ要求する処理と、
    前記通信端末から送信されてきた前記認証情報を、前記第２の認証方式を用いて前記通信端末を認証するインターネット装置へ送信する処理とを有する認証方法。
15. 請求項１４に記載の認証方法において、
    前記第１の認証方式を用いて前記通信端末を認証するために該通信端末へ送信する要求メッセージに、前記要求を含めて送信する処理と、
    前記要求メッセージに対して前記通信端末から送信されてきた応答メッセージから前記認証情報を抽出する処理と、
    前記抽出した認証情報を、前記インターネット装置へ送信する処理とを有することを特徴とする認証方法。
16. 請求項１５に記載の認証方法において、
    前記第１の認証方式として、ＥＡＰ−ＰＳＫ認証方式を用いて前記通信端末を認証する処理と、
    前記要求を前記要求メッセージであるＥＡＰ−ＰＳＫ拡張領域付き要求メッセージに含めて送信する処理と、
    前記応答メッセージとして前記通信端末から送信されてきたＥＡＰ−ＰＳＫ拡張領域付き応答メッセージから前記認証情報を抽出する処理とを有することを特徴とする認証方法。
17. 通信端末と接続され、該通信端末を認証する認証サーバに、
    前記通信端末を第１の認証方式を用いて認証する手順と、
    前記第１の認証方式を用いて前記通信端末を認証する際、該第１の認証方式とは異なる第２の認証方式を用いた認証に必要な認証情報を前記通信端末へ要求する手順と、
    前記通信端末から送信されてきた前記認証情報を、前記第２の認証方式を用いて前記通信端末を認証するインターネット装置へ送信する手順とを実行させるためのプログラム。
18. 請求項１７に記載のプログラムにおいて、
    前記第１の認証方式を用いて前記通信端末を認証するために該通信端末へ送信する要求メッセージに、前記要求を含めて送信する手順と、
    前記要求メッセージに対して前記通信端末から送信されてきた応答メッセージから前記認証情報を抽出する手順と、
    前記抽出した認証情報を、前記インターネット装置へ送信する手順とを実行させるためのプログラム。
19. 請求項１８に記載のプログラムにおいて、
    前記第１の認証方式として、ＥＡＰ−ＰＳＫ認証方式を用いて前記通信端末を認証する手順と、
    前記要求を前記要求メッセージであるＥＡＰ−ＰＳＫ拡張領域付き要求メッセージに含めて送信する手順と、
    前記応答メッセージとして前記通信端末から送信されてきたＥＡＰ−ＰＳＫ拡張領域付き応答メッセージから前記認証情報を抽出する手順とを実行させるためのプログラム。

Images