JP2010530656A - 無線装置監視方法、無線装置監視システム、および製品 - Google Patents

Abstract

【解決手段】無線装置監視方法、無線装置監視システム、および製品が記載される。一実施形態によれば、無線装置監視方法は、無線装置の構成に関連する情報を含む情報であってセキュアエリアに存在する無線装置の装置構成情報にアクセスすること、無線装置の構成に関連する情報を含む情報であって無線装置に対応する記憶された情報にアクセスすること、装置構成情報を記憶情報と比較すること、および比較を使用して、無線装置がセキュアエリア内で認可されたものであるか、または認可されていないものとして無線装置を示すことを含む。

Description

関連出願
本願は、無線装置監視方法、無線装置監視システム、および製品という名称の２００７年５月７日に出願された米国非仮特許出願第１１／７４５，３１９号明細書の恩益を主張するものであり、この米国非仮特許出願は、その全体が参照により本明細書に援用される。

米国政府は、米国エネルギー省とバッテルエネルギーアライアンスＬＬＣ（Battelle Energy Alliance, LLC）との契約書番号ＤＥ−ＡＣ０７−０５ＩＤ１４５１７に従って本発明に対して特定の権利を有する。

本開示は、無線装置監視方法、無線装置監視システム、および製品に関する。

携帯電話、ブラックベリー（Blackberries）、双方向ページャ、無線ヘッドセット、およびキーボード等の無線装置は、今日の生活様式にとって欠くことのできない部分になっている。これは特に、音声通信、電子メール、インスタントメッセージング、電子カレンダー等が業務遂行のスタンダードな方法になっているビジネスの世界について言える。無線装置が（集積ＧＰＳチップ経由の）追跡装置、サービス拒否（ＤｏＳ）および他の攻撃ならびに攻撃者が装置のマイクロホンを遠隔地からオンにして盗聴する「ロービングバグ」のためのステージングエリアとして使用される恐れがあることが認識されている。

このため、スパイ活動への無線装置の使用に関する懸念が生じている。例えば、企業スパイ活動への無線装置の使用に関連する懸念が存在する。幹部社員または他の企業メンバは、会議を開いて内部戦略およびオペレーションについて議論する際、競合企業に会議全体を漏らす恐れがない状態で議論したいと考える。無線装置がプロプライエタリな会議（proprietary meeting）に持ち込まれる恐れに対して可能な一対応策は、会議室および企業活動の他の機密エリアにおいて無線装置を完全に禁止することである。この解決策は、ブラックベリー装置の急増から明らかなように、たとえ会議中であっても、会議参加者が連絡の取れる状態でいる必要があり得るいくつかの状況では受け入れ難い。

本開示の好ましい実施形態について、以下の添付図面を参照して説明する。

一実施形態における監視される１つ以上のセキュアエリアに関連付けられた監視システムの機能ブロック図である。 一実施形態による監視システムの１つ以上の装置の回路構成要素の機能ブロック図である。 一実施形態による監視システムの機能ブロック図である。 一実施形態による検証動作および構成要素を示す例示的な流れ図である。 一実施形態による、無線装置を検証するプロセスのフローチャートである。

本発明のこの開示は、米国特許法の憲法上の目的である「科学及び有用な技術の進歩を促進すること」（第１章第８条）の促進のために提出されたものである。

本開示のいくつかの実施形態によれば、無線装置の存在を監視し、かつ／または無線装置を検証する装置および方法が記載される。一実施形態では、監視は例えば、１つ以上のセキュアエリア、例えば携帯電話、ブラックベリー装置、個人情報端末（ＰＤＡ）、双方向ページャ、無線キーボード、無線ヘッドセット等を含む個人電子装置（ＰＥＤ）等の無線装置の存在を知り、かつ／または無線装置を検証することが望まれるエリアで行うことができる。無線装置の検証動作は、一実施形態での装置および方法によって行うことができる。さらに、無線装置に対して実行された検出動作および／または検証動作に応答して、アラーム等のインジケーションを生成することができる。認可された無線装置のセキュアエリア内への持ち込みは許可される一方で、認可されない無線装置のセキュアエリア内への持ち込みは発見され、許可されない。本開示のさらなる態様は、以下の例示的な実施形態において説明される。

一実施形態によれば、無線装置監視方法は、セキュアエリアに存在する無線装置の装置構成情報（無線装置の構成に関連する情報を含む）にアクセスすること、無線装置に対応する記憶情報（無線装置の構成に関連する情報を含む）にアクセスすること、装置構成情報を記憶情報と比較すること、および比較を使用して、無線装置がセキュアエリア内で認可されたもの、または認可されていないものとして存在していることを示すことを含む。

さらなる実施形態によれば、無線装置監視方法は、ノード装置をセキュアエリアに関連付けること、ノード装置を使用してセキュアエリアでの複数の無線装置の存在を検出すること、ノード装置を使用して複数の無線装置の個々の無線装置を検出した後、個々の無線装置と通信すること、およびセキュアエリアで認可されないものとして無線装置のうちの少なくとも１つを示すことを含む。

さらに別の実施形態によれば、無線装置監視システムは、セキュアエリアにおいて無線通信を受信するように構成されるアンテナと、アンテナに接続され、アンテナを使用して無線通信を受信し、無線通信を出力するように構成される通信回路と、通信回路に接続され、通信回路によって受信した無線通信を処理して、無線装置の存在を検出し、無線通信の出力を制御して、無線装置から情報を要求し、無線通信の出力後、セキュアエリアに関して認可されたものまたは認可されないものとしての無線装置のインジケーションを生成するように構成される処理回路とを備える。

さらに別の実施形態によれば、無線装置監視システムは、複数のノード装置及び管理装置からなり、前記複数のノード装置は複数のセキュアエリアのそれぞれに関連付けられ、個々のノード装置に関連付けられたセキュアエリアのそれぞれ１つでの無線装置の存在を検出し、無線装置から無線装置に関連する情報を取得するように個々に構成され、前記管理装置は前記複数のノード装置に接続され、ノード装置から無線装置に関連する情報を受信し、情報を解析し、複数のノード装置のそれぞれ１つについて、複数の無線装置のそれぞれが、複数のセキュアエリアのうちのそれぞれ１つに関して認可されたものであるか、それとも認可されないものであるかを示すように構成される。

さらに別の実施形態によれば、無線装置監視システムは、セキュアエリアを含む第１の組織と、関連付けられた複数の無線装置に関連する情報を記憶するように構成される第２の組織とを備え、第１の組織のうちの監視装置は、複数の無線装置のうちの筆頭に関連する記憶情報を使用して、第２の組織の複数の無線装置のうちの１つが、第１の組織のセキュアエリアに関して認可されたものであるか、それとも認可されないものであるかを示すように構成される。

さらに別の実施形態によれば、製品は、処理回路に、セキュアエリアに関して無線装置から情報に第１にアクセスすること、無線装置に関連する記憶情報に第２にアクセスすること、アクセスした情報と記憶情報とを比較して、無線装置がセキュアエリアに関して認可されているか、または認可されていないかを判断すること、および比較に応答して、セキュアエリアに関して認可されているものか、それとも認可されていないものとして無線装置を示すことを含む処理を実行させるように構成されたプログラミングを含む媒体を備える。

図１を参照して、１つ以上のセキュアエリア１０および関連付けられた無線装置監視システム１２を示す。セキュアエリア１０は、そのエリアに存在する無線装置１４に関連する情報を知ることが望まれる任意のエリアでよい。例えば、一用途では、セキュアエリア１０は、機密資料が議論される可能性があり、エリア内での無線装置１４の存在および検証を知ることが望まれる（例えば、企業、政府エンティティ、または他の組織の）異なる会議室でよい。例示的な一実施形態では、後述する監視システム１２の１つ以上の監視装置またはノード装置は、無線装置監視機能を提供するために、セキュアエリア１０の入口および出口の各ポイントに隣接して配置されてよい。別の配置では、より広い範囲を有する単一のノード装置が、各セキュアエリア１０の入口および出口の複数のポイントを監視してよい。他の実施形態および／または使用用途も可能である。

監視システム１２は、それぞれの異なる用途および監視されるセキュアエリア１０に対応して異なる構成で実施されてよい。例えば、単一のセキュアエリア１０を監視すべき用途の場合、監視システム１２は、単一のセキュアエリア１０に対して無線装置監視および解析の機能を提供するように構成される単一のノード装置を含んでよい。複数のセキュアエリア１０を監視すべき用途の場合、監視システム１２は、ノード装置によって提供された情報の解析を提供し得る集中管理装置と通信する複数のノード装置を含んでよい。別の実施形態では、管理装置は、（例えば、別の企業または他の組織に関連付けられた）監視システム１２の外部にあり、本開示の１つ以上の解析態様を実施する装置と通信してもよい。これら実施形態例の詳細については後述し、監視システム１２は、他の実施形態では、本明細書において説明する例とは異なる様式で実施されてもよい。

無線装置１４は、一実施形態では、監視システム１２と併せて動作を実施するように個々に構成され得る。例えば、無線装置１４は、監視システム１２から認証要求を受信して処理し、適切な情報を収集し、適切な返信を監視システム１２に返すように装置１４を構成する認証ソフトウェアを個々に含み得る。認証ソフトウェアは、信号伝送および／または暗号機能を実行する埋め込みデジタル署名および／または暗号鍵を含み得る。

図２を参照して、一実施形態による監視システム１２の装置１５の可能な一構成を示す。図示されている装置１５は、いくつかの例では、上述したノード装置および／または管理装置であり得る。図示されている装置１５は、図示されている構成では、通信回路２０、処理回路２２、記憶回路２４、およびインジケーション回路２６を含む。より多数、より少数、かつ／または代替の構成要素を含む他の構成も可能である。

通信回路２０は、装置１５の無線および／または有線の通信を実施するように構成される。例えば、通信回路２０は、いくつかの実施形態では、無線装置１４およびシステム１２の他の装置と双方向に情報を通信するように構成され得る。通信回路２０は、アンテナ１７に接続されてよく、装置１４と無線通信する無線送受信回路を含み、ネットワークインタフェースカード（ＮＩＣ）として、直列接続、並列接続、ＵＳＢポート、ファイアワイヤインタフェース、フラッシュメモリインタフェース、フロッピーディスクドライブ、公衆網（例えば、インターネット）および／または施設網との通信用の他の任意の適した構成、あるいは他の有線構成も含み得る。通信回路２０の一実施形態は、無線装置１４を検出するＲＦ検出モジュール、通信を無線装置１４に出力すると共に、無線装置１４から返信を受信するＲＦ呼び掛けモジュール、および／またはシステム１２の他の装置と通信するモジュールを含み得る。

一実施形態では、処理回路２２は、データの処理、データアクセスおよびデータ記憶の制御、コマンドの発行、および他の所望の動作の制御を行うように構成される。処理回路２２は、少なくとも１つの実施形態では、適切な媒体によって提供される所望のプログラミングを実施するように構成される回路を含み得る。例えば、処理回路２２は、プロセッサ、および／または、例えば、ソフトウェア命令および／またはファームウェア命令を含む実行可能命令を実行する他の構造、および／またはハードウェア回路のうちの１つ以上として実施され得る。処理回路２２の典型的な実施形態は、ハードウェアロジック、ＰＧＡ、ＦＰＧＡ、ＡＳＩＣ、状態機械、および／または他の構造を単独で、またはプロセッサと組み合わせて含む。処理回路２２のこれらの例は例示のためであり、他の構成も可能である。

記憶回路２４は、実行可能なコードまたは命令（例えば、ソフトウェアおよび／またはファームウェア）、電子データ、データベース、または他のデジタル情報等のプログラミングを記憶するように構成され、プロセッサ使用可能媒体を含み得る。データベースの一例は、１つ以上のセキュアエリア１０に存在し得る複数の無線装置１４に関連する情報を含み得る。

プロセッサが使用可能な媒体は、典型的な実施形態では、任意のコンピュータプログラム製品、または処理回路を含む命令実行システムにより、またはそれと併せて使用されるプログラミング、データ、および／またはデジタル情報の包含、記憶、または保持を行い得る製品に具現され得る。例えば、典型的なプロセッサ使用可能媒体は、電子媒体、磁気媒体、光学媒体、電磁媒体、赤外線媒体、または半導体媒体等の物理的媒体のうちの任意のものを含み得る。プロセッサ使用可能媒体のいくつかのより具体的な例としては、フロッピーディスケット等のポータブル磁気コンピュータディスケット、ジップディスク、ハードドライブ、ランダムアクセスメモリ、読み取り専用メモリ、フラッシュメモリ、キャッシュメモリ、および／またはプログラミング、データ、または他のデジタル情報を記憶可能な他の構成が挙げられるが、これらに限定されない。

本明細書において説明する少なくともいくつかの実施形態または態様は、上述した適切な記憶回路内に記憶され、かつ／またはネットワークもしくは他の伝送媒体を介して通信され、適切な処理回路を制御するように構成されたプログラミングを使用して実施され得る。例えば、プログラミングは、例えば、製品内に具現されたもの、通信ネットワーク（例えば、インターネットおよび／または施設網）、有線電気接続、光学接続、および／または電磁エネルギー等の適切な伝送媒体を介して、例えば、通信インタフェースを介して通信された、または他の適切名通信構造もしくは媒体を使用して提供されたデータ信号内で具現されたもの（例えば、変調搬送波、データパケット、デジタル表現等）を含む適切な媒体を介して提供され得る。プロセッサ使用可能コードを含む典型的なプログラミングは、搬送波内に具現されたデータ信号として通信され得るが、これは単なる一例である。

インジケーション回路２６は、監視されているセキュアエリア１０での無線装置１４の存在に関連するインジケーションを生成するように構成される。一実施形態では、回路２６は、セキュアエリア１０の場所において、サイレントアラーム、可視アラーム、および／または可聴アラーム等の人間が知覚可能なインジケーションを生成して、１つ以上の無線装置１４の存在を示す。インジケーション回路２６は、無線装置１４に関連する情報をオペレータに伝えるディスプレイを含み得る。インジケーションは、セキュアエリア１０での認可された、または認可されない装置１４の存在を示し得る。

図３を参照して、複数のセキュアエリア１０を監視するように構成された監視システム１２ａの構成を示す。監視システム１２ａの構成は、複数のセキュアエリア１０のそれぞれに関連付けられ、関連付けられたセキュアエリア１０を監視するように構成された複数のノード装置１６を含む。ノード装置１６は、管理装置３０と通信するように構成され、一構成では、サーバとして実施され得る。ノード装置１６および管理装置３０は、一実施形態では、装置１５に従って個々に構成され得る。

さらに詳細に後述するように、ノード装置１６は、無線装置１４と通信し、解析のために管理装置３０に通信を出力し得る。一実施形態（例えば、単一組織用途）では、管理装置３０は解析を実行する。別の実施形態（例えば、複数組織用途）では、管理装置３０は、解析を実行する外部装置４０と通信し得る。いくつかの構成では、監視システム１２ａは、１つの組織またはエンティティ（例えば、企業）内で実施され、外部装置４０は、異なる組織またはエンティティに関連付けられる。他の実施形態も可能である。

図４を参照して、監視システム１２、１２ａの上述した構成により、無線装置１４に関してセキュアエリア１０を監視することを示し説明する。図４の装置１８、３０、４０の動作は、単一のみのノード装置１６を含み、管理装置３０を含まない監視システム１２の実施態様では、ノード装置１６のみを使用して実施され得る。さらに、装置４０の動作は、監視および解析が単一の組織またはシステム内で実行される実施形態では、装置３０内で実施され得る。

まず、ノード装置１６は、例えば、一実施形態では、セキュアエリア１０の入口ポイントに隣接して、各セキュアエリア１０での無線装置１４の存在を監視するように構成される。一実施形態では、ノード装置１６は、無線装置１４の使用周波数を走査するように構成され、（例えば、装置１４が他の装置またはサーバと通信しているときに）装置１４から発せられ、通信回路２０（図２）によって受信されるＲＦ信号によって装置１４を検出することができる。一実施形態による無線装置１４の説明のさらなる詳細は、発明者としてSteven H. McCownおよびKurt W. Derrを記した２００６年７月２８日に出願された特許出願番号第１１／４６０，６６２号を有する「Radio Frequency Detection Assembly and Method for Detecting Radio Frequencies（無線周波検出組立体および無線周波検出方法）」という名称の同時係属の米国特許出願に説明されており、その教示は参照により本明細書に援用される。

無線装置１４が検出された後、ノード装置１６は、通信を出力し得る。無線装置１４への通信は、無線装置１４に対してノード装置１６を識別する識別子（例えば、認証ＩＤ）を含み得る。通信は、「あなたの一意の装置識別子（ＩＤ）は何ですか？」、「あなたは企業ＰＥＤサーバに登録されていますか？」、および「あなたの企業ＰＥＤサーバは何ですか？」等の１つ以上のチャレンジを含み得る。一実施形態では、通信は、無線装置１４からの、無線装置１４の現在の構成（例えば、すべてのシステムファイルおよび設定）に対応する装置構成情報の要求を含み得る。

これに応答して、無線装置１４は、デジタル署名付き応答として返信通信を系統立てて表し得る。応答は、装置識別子、無線装置１４が関連付けられた企業ＰＥＤサーバ（ＣＰＳ）の識別子、装置構成情報（例えば、暗号化デジタルハッシュの形態での）、および／または追加の情報を含み得る。一実施形態では、暗号化デジタルハッシュ（ＥＤＨ）は、無線装置１４により無線装置１４において行われる。例えば、装置１４は、ＣＰＳ固有の信号伝送鍵を使用して、構成情報（例えば、内部動作システムファイル／データ、ユーザおよび／またはＣＰＳがインストールしたアプリケーション／データ等）のデジタルハッシュを計算し得る。

別の実施形態では、ノード装置１６は、無線装置１４が検出されると、セッショントークン（ＳＴ）を無線装置１４に通信し得る。複数のセッショントークンは、検出された無線装置１４の各呼び掛けセッションの一意の識別子として生成され得る。無線装置１４は、デジタル署名付き応答の計算に各セッショントークンを含み得る。セッショントークンの使用によって、装置１４の前回のデジタル署名付き応答が将来の使用のために保存されず、スパイウェアまたはマルウェアが正当な装置１４として偽装することを防止し得ることを保証することができる。無線装置１４を認証する際、ノード装置１６は、装置１４の現在の応答を解析するにあたって、無線装置１４からの前に記憶された応答および各セッショントークンを考慮することができる。

さらに、さらなる実施形態によれば、ハッシュ関数のどこにセッショントークンを挿入するか（例えば、５番目のファイルの後、２５番目のファイルの後等）を装置１４に命令する挿入ポイントをノード装置１６から無線装置１４に通信し得る。一実施形態により、セッショントークンのロケーションを特定のインデックスに指定することは、デジタル署名アルゴリズムに対する過負荷攻撃を除外するのに役立ち得る。ノード装置１６は、一実施形態では、全情報の単一ハッシュとは対照的に、個々のファイル群または設定群のデジタルハッシュを保存し得る。保存は、いくつかの例では、無線装置１４がサービスに登録されたとき、および既知のシステム更新時間時に実施され得る。

インプリメンテーションに応じて、ノード装置１６は、応答の情報を解析するか、または応答を解析のために遠隔装置（例えば、管理装置３０または外部装置４０（存在する場合））に通信する。ノード装置１６は、無線装置１４が返信に失敗した場合、セキュアエリア１０に関して認可されていない装置の存在の可能性を示すアラームまたは他のインジケーションを生成し得る。

さらに、アラームまたは他のインジケーションは、応答の解析に応答して、ノード装置１６、管理装置３０、外部装置４０、および／または他の回路によって生成されてもよい。上述したように、応答は装置構成情報を含み得る。装置ＩＤおよび装置構成情報を解析して、アラームまたは他のインジケーションを生成すべきか否かを判断し得る。一実施形態では、適切なノード装置１６、管理装置３０、または外部装置４０（監視システム１２、１２ａの実施態様に応じて）は、各セキュアエリア１０内に存在することが認可されている無線装置１４のリストを含むデータベースを含み得る。アラームは、解析装置が無線装置１４を認可装置として認識することに失敗した場合に生成され得る。

別の例では、無線装置１４の装置構成情報は、任意の非認可の変更が、その他の点では認可されている無線装置１４の構成に対して行われたか否かを判断するために解析される。例えば、適切な装置１６、３０、４０は、各無線装置１４の記憶されている構成情報にデータベースからアクセスするために、無線装置１４の装置ＩＤを使用し得る。記憶されている構成情報は、初期時での装置１４の構成に関連する情報（例えば、装置１４を従業員に発行した時点での構成情報のハッシュ）を含み得る。一実施形態では、監視システム１２は、後の時点で（例えば、装置１４がセキュアエリア１０のロケーションで検出されたときに）動作を実行して、無線装置１４の構成が、初期時点から変更されていないことを検証する。装置１６、３０、４０のうちの１つ以上の装置は、無線装置１４の構成の変更に応答して、アラームまたは他のインジケーションを発し得る。一実施形態では、記憶されている構成情報は、ハッシュの形態であってよく、装置構成解析を実行する各装置１６、３０、４０は、無線装置１４からの返信のハッシュを、記憶されているハッシュと比較して、構成が変更されたか否かを判断し、解析に応答して、適切なアラームまたはインジケーションを発し得る。例えば、オペレーティングシステムファイル、ＣＰＳによってインストールされたファイル、または制御される設定が変更されていた場合、またはアプリケーションがインストールされていた場合、受信した装置構成情報のハッシュは、記憶されているハッシュとは異なって計算され、これは、無線装置１４が悪意のある攻撃者によって変更されたか、または改竄された可能性があることを示す。

別の実施形態では、ノード装置１６は、無線装置１４の存在が検出されると、無線装置１４への、ノード識別値（ＮＩＶ）を含む通信を開始し得る。ＮＩＶは、一実施形態では、通信しているノード装置１６を直接識別せずに参照し得る。例えば、ハッシュをノード装置１６の実際のノードＩＤからとり、要求のタイムスタンプと組み合わせて、ＮＩＶを形成し得る。無線装置１４は、ＮＩＶを復号化して、返信するのが望ましいか否かを判断し得る（装置１４が返信しない場合、アラームが発せられ得る）。ここで説明されているこの実施形態において、いくつかの無線装置１４は、装置識別子、企業またはサービスへの所属等を漏らさないようにプログラムされ得る。

特に、企業ポリシーまたは他のポリシーにより、無線装置１４が受信したノード呼び掛け要求のうちのいくつかに応答しているか、すべてに応答しているか、それとも応答していないか、および装置１４の所有者、ノード管理者、または両者によって構成可能であり得るか否かを決めることができる。一実施形態による、返信するか否かのこの能力は、ＲＦＩＤまたはブルートゥース等のタグ装置と比較して、望ましくない追跡に対する無線装置１４の脆弱性を低減し得る。

上述した監視動作は、ノード装置１６がスタンドアロン装置として動作する監視システム１２の構成において、ノード装置１６のみを使用して実施され得る。上記動作について、外部装置４０が存在する構成、または存在しない構成において、ノード装置１６が管理装置３０と通信する監視システム１２ａの実施形態に関連して後述する。

まず、複数のノード装置１６を含むシステム１２ａの一実施形態であって、監視システム１２ａが外部装置４０と通信せず、または検証動作に関して外部装置４０を利用せず（すなわち、外部装置４０が存在しなくてよい）、むしろ、管理装置３０が、ノード装置１６によって実行される解析に加えて解析を実行する、システム１２ａの一実施形態について説明する。

上述したように、個々のノード装置１６は、監視される１つ以上のセキュアエリア１０において無線装置１４を監視し、その存在を検出し得る。ノード装置１６は、検出された無線装置１４に呼び掛け、そこから返信を受信し得る。ノード装置１６は、例えば、無線装置１４の識別子および装置構成情報を含む返信を管理装置３０に通信し得る。一実施形態では、ノード装置１６から管理装置３０への通信は、暗号化され、セキュア通信チャネルを介して（例えば、内部ネットワーク、イントラネット、またはインターネットを使用して）通信され得る。

管理装置３０の記憶回路は、認可されている無線装置１４に関連する情報を含むデータベースを含み得る。管理装置３０の処理回路は、ノード装置１６から受信された装置識別子が、適切な無線装置１４を示すか否かを判断し得る。示さない場合、管理装置３０は、アラームまたは他のインジケーションを提供し、かつ／または返信を各ノード装置１６に通信し得、各ノード装置１６は、無線装置１４が認可されていないアラームまたは他のインジケーションを提供し得る。一実施形態では、ノード装置１６は、装置１４が認可されていない場合、セキュアエリア１０へのアクセスを除外するロックも制御し得る。

管理装置３０は、装置識別子を使用して無線装置１４を認可されているものとして認識した場合、各装置１４の認証データ（例えば、記憶されている構成情報）を抽出し得る。管理装置３０の処理回路は、記憶されている構成情報を、装置１４から受信した装置構成情報と比較し得る。管理装置３０および／または各ノード装置１６は、記憶されている装置構成情報と装置構成情報が異なる場合、アラームまたは他のインジケーションを生成し得る。

あるいは、記憶されている装置構成情報と装置構成情報が合致した場合、管理装置３０は、認可信号を各ノード装置１６に通信し得る。実施形態例では、ノード装置１６は、無線装置１４が認可されているというインジケーションを生成し得るか、または何もせず、セキュアエリア１０内の無線装置１４の存在を許可する。装置１６と３０との通信は、一実施形態では、認証または検証され得、認証または検証の失敗は、無線装置が非認可として識別されることに繋がり得る。

監視システム１２ａの別の実施形態では、外部装置４０が存在する。上述したように、監視システム１２ａおよび外部装置４０は、一実施形態では、異なる組織に対応し得る。外部装置４０は、可能な一実施態様では、企業ＰＥＤサーバとして実施され得、監視システム１２ａのカバレッジネットワークの参加メンバとしてすでに登録／承認されていてもよい。可能な１つの登録プロセスは、セキュアキーイングおよび装置３０と４０とで共有される認証データを使用して確立され得る。

上述したように、個々のノード装置１６は、監視される１つ以上のセキュアエリア１０において無線装置１４を監視し、その存在を検出し得る。ノード装置１６は、検出された無線装置１４に呼び掛け、そこから返信を受信し得る。ノード装置１６は、例えば、無線装置１４の識別子、各装置１４のＣＰＳの識別子、および無線装置１４の装置構成情報を含む返信を管理装置３０に通信し得る。ノード装置１６から管理装置３０への通信は、一実施形態では、暗号化され得る。管理装置３０は、ＣＰＳ識別子を使用して、通信を、例えば、一実施形態では、各無線ネットワーク５０および無線サービスプロバイダ（ＷＳＰ）５２を使用して、適切なＣＰＳに対応する各外部装置４０にルーティングし得る。一実施形態では、管理装置３０は、外部装置４０が加入メンバであることを検証し得る。加入メンバではない場合、管理装置３０および／または各ノード装置１６は、無線装置１４が認可されていないというアラームまたは他の適切なインジケーションを生成し得る。ノード装置１６から管理装置３０、そして外部装置４０への通信は、一実施形態では、暗号化され、セキュア通信チャネルを介して通信され得る。例えば、管理装置３０は、外部装置４０への通信前に、通信に署名し得る。管理装置３０は、一実施形態では、外部装置４０への通信にそれ自体の識別子も含み得る。

一構成では、外部装置４０は、外部装置４０の各組織のファイアウォール内部の企業内部ネットワーク上に存在し得る。一実施形態では、外部装置４０への通信は、各無線装置１４に関連付けられた無線ネットワーク５０およびＷＳＰ５２ならびにインターネット５４を使用して送信されて、例えば、ＣＰＳとして具現される外部装置４０に接続を提供し得る。

外部装置４０は、受信すると、無線装置１４、ノード装置１６、および／または管理装置３０の署名を検証し得る。外部装置４０の記憶回路は、ＣＰＳの組織に関連付けられ、監視システム１２ａに関連付けられた組織のセキュアエリア１０のうちの１つへ進入しようとしている認可無線装置１４に関連する情報を含むデータベースを含み得る。外部装置４０の処理回路は、装置識別子が適切な無線装置１４を示すか否かを判断し得る。示していない場合、外部装置４０は、アラームまたは他のインジケーションを提供し、かつ／または返信を管理装置３０および各ノード装置１６に通信し得、管理装置３０および各ノード装置１６のそれぞれは、無線装置１４が認可されていないというアラームまたは他のインジケーションを提供し得る。

外部装置４０は、認可されているものとして無線装置１４を認識した場合、各装置１４の記憶されている構成情報を抽出し得る。外部装置４０の処理回路は、記憶されている構成情報を装置１４から受信した装置構成情報と比較する。外部装置４０は、記憶されている構成情報と装置構成情報が異なる場合、アラームまたは他のインジケーションを生成してよく、かつ／または返信を監視システム１２ａに通信してよい。管理装置３０および／または各ノード装置１６も、装置４０からの返信に応答して、アラームまたは他の適切なインジケーションを生成し得る。

あるいは、無線装置１４が認可され（例えば、記憶されている装置構成情報と装置構成情報が合致し）、すべての認証が確認された場合、外部装置４０は、認可信号を各監視システム１２ａの管理装置３０に通信し得る。管理装置３０は、外部装置４０から受信した認可信号を検証または認証し、認可応答をノード装置１６に提供し得る。一実施形態では、セキュアデータチャネル（例えば、暗号化されたデータパケット、デジタル署名、公開鍵インフラストラクチャ等）、介在装置３０、４０、および／または装置１６、３０が通信に使用され、入力パケットは復号化され、署名が調べられて、介在装置３０、４０、および／または装置１６、２０の通信が検証される。装置１６、３０と装置３０、４０との通信は、一実施形態では、認証または検証され得、認証または検証の失敗は、無線装置１４が認可されていないものとして識別されることに繋がり得る。実施形態例では、装置３０、４０からの認可に応答して、管理装置３０および／またはノード装置１６は、無線装置１４が認可されているというインジケーションを生成し得るか、または何もせず、セキュアエリア１０内での無線装置１４の存在を許可する。

管理システム１２ａの追加の実施形態によれば、管理装置３０または外部装置４０は、所与の無線装置１４が存在を認可されるセキュアエリア１０（例えば、組織）のリストを保持し得る。管理装置３０または外部装置４０への通信は、無線装置１４の存在を検出した各ノード装置１６の識別子を含み得る。装置３０、４０の処理回路は、ノード装置１６の識別子を認証してよく、かつ／またはノード装置１６の識別子を各無線装置に認可されたセキュアエリア１０のリストと比較してよく、本明細書において説明したように、無線装置１４が存在する各セキュアエリア１０において認可されていない場合、アラームまたは他のインジケーションを開始してよい。

別の実施形態では、外部装置４０は、（例えば、無線ネットワーク５０を使用して）監視システム１２ａから離れて無線装置１４への通信を開始し得る。通信は、呼び掛け中にノード装置１６から無線装置１４に通信されたノード装置１６および／または管理装置３０の識別子を要求し得る。無線装置１４は、ノード装置１６および／または管理装置３０の識別子を外部装置４０に通信し、外部装置４０は、その識別子を使用して、監視システム１２ａの構成要素を認証し得る。ノード装置１６、管理装置３０、および／または外部装置４０は、外部装置４０によって処理された監視システム１２ａの識別子が合致しない場合、アラームまたは他のインジケーションを生成し得る。

本明細書において考察したように、いくつかの実施形態例によれば、本開示の装置および方法は、セキュアエリア内に持ち込まれようとしている無線装置１４が、セキュアエリアでの存在が許可されていることを検証するために使用され得る。装置および方法は、一実施形態では、無線装置１４が、例えば、マルウェアまたは他のシステム変更を含むように変更されていないことを検証するために使用され得る。装置および方法は、一実施形態では、承認されていない、または不正に変更された無線装置１４がセキュアエリア１０内に存在するというアラームまたは他のインジケーションを発動させるために使用され得る。本開示の各種実施形態によれば、無線装置１４の構成が変更されたか否か、および／または無線装置１４に対して１つ以上のセキュアエリアへのアクセスが許可されているか否かについての情報が提供される。本開示のいくつかの実施形態によれば、承認された無線装置１４は、（恐らく悪意を持って）変更されたか否かについての情報を提供しながら、セキュアエリア１０内への持ち込みおよび動作が可能である。

図６を参照して、一実施形態による、無線装置１４を認可されているものまたは認可されていないものとして識別するプロセスの一例を示す。より多数の動作、より少数の動作、および代替の動作を含む他の方法も可能である。

動作Ａ１０において、セキュアエリア１０内に持ち込まれようとしている無線装置が、セキュアエリアに隣接するノード装置によって検出される。

動作Ａ１２において、ノード装置は、情報について検出された無線装置に問い合わせをし得る。

動作Ａ１４において、無線装置は、無線装置から、例えば、一意の装置識別子、ＣＰＳ識別子（当てはまる場合）、および／または装置構成情報を含む応答を得る。装置は、応答が受信されない場合、認可されないものとして識別され得る。

動作Ａ１６において、装置識別子、ＣＰＳ識別子、および／または装置構成情報が解析される。装置は、解析中に装置識別子、ＣＰＳ識別子、または装置構成情報のうちのいずれかが検証または認証に失敗した場合、認可されないものとして識別され得る。動作Ａ１８において、解析に応答して、無線装置は、認可されているものまたは認可されていないものとして識別され得、セキュアエリアへの入場を許可または拒絶され得る。

法規に準拠して、本発明について構造的特徴および方法論的特徴に関して多少なりとも特有の言葉で説明した。しかし、本明細書において開示された手段は、本発明を実施する好ましい形態を含むため、本発明が図示し説明された特定の特徴に限定されないことを理解されたい。したがって、本発明は、均等物の教義に従って適宜解釈される添付の特許請求の範囲の適正な範囲内の任意の形態または変更において主張される。

さらに、本明細書における態様は、本開示の例示的な実施形態の構造および／または動作のガイダンスのために提示されたものである。本明細書の出願人は、説明されたこれら例示的な実施形態が、明示的に開示された態様の他にさらなる本発明による態様も含み、開示し、説明するものと考える。例えば、本発明の追加の態様は、例示的な実施形態において説明された特徴よりも少数、多数、かつ／または代替の特徴を含み得る。より具体的な例では、出願人は、本開示が、明示的に開示された方法よりも少数、多数、かつ／または代替のステップを含む方法、ならびに明示的に開示された構造よりも少数、多数、かつ／または代替の構造を含む装置を含み、開示し、説明するものと考える。

Claims (36)

1. 無線装置の監視方法であって、
   セキュアエリアに存在する無線装置の装置構成情報にアクセスし、前記装置構成情報は、前記無線装置の構成に関連する情報を含み；
   前記無線装置に対応する、記憶されている情報にアクセスし、前記記憶されている情報は、前記無線装置の前記構成に関連する情報を含み；
   前記装置構成情報を前記記憶されている情報と比較し；および
   前記比較を使用して、前記セキュアエリアでの存在が認可されているものまたは認可されていないものとして前記無線装置を示す、
   方法。
2. 前記セキュアエリアでの前記無線装置の装置識別子にアクセスすることをさらに含み、
   前記記憶されている情報にアクセスすることは、前記装置識別子を使用してアクセスすることを含む、
   請求項１に記載の方法。
3. 前記セキュアエリアでの前記無線装置の無線通信の存在を監視すること、および前記無線通信の存在を検出した後、前記装置構成情報に対する要求を発行することをさらに含み、前記装置構成情報にアクセスすることは、前記要求を発行することに応答することである、
   請求項１に記載の方法。
4. 前記アクセスすること、前記比較すること、および前記示すことは、前記セキュアエリアに配置されたノード装置を使用してアクセスし、比較し、示すことを含む、
   請求項１に記載の方法。
5. 前記アクセスすることは、前記セキュアエリアに配置されたノード装置を使用してアクセスすることを含み、前記アクセスされた装置構成情報を前記ノード装置から遠隔装置に通信することをさらに含み、前記比較することは、前記遠隔装置を使用して比較することを含む、
   請求項１に記載の方法。
6. 前記ノード装置および前記セキュアエリアは、第１の組織に関連付けられ、前記通信することは、前記アクセスされた装置構成情報を前記ノード装置から第２の組織に関連付けられた前記遠隔装置に通信することを含む、
   請求項５に記載の方法。
7. 前記通信することは、前記アクセスされた装置構成情報を前記ノード装置から管理装置に第１に通信すること、および前記アクセスされた装置構成情報を前記管理装置から、前記無線装置に関連付けられた外部装置を含む前記遠隔装置に第２に通信することを含み、前記比較することは、前記外部装置を使用して比較することを含む、
   請求項６に記載の方法。
8. 前記無線装置から別の装置に前記管理装置の識別子を通信すること、および前記管理装置の前記識別子を使用して前記管理装置を検証することをさらに含む、
   請求項７に記載の方法。
9. 前記第２に通信することの前に前記外部装置を検証すること、をさらに含む、
   請求項７に記載の方法。
10. 前記記憶されている情報は、前記装置構成情報にアクセスすることの前の時点での前記無線装置の構成に関連する情報を含み、前記示すことは、前記装置構成情報が前記記憶されている情報と異なることに応答して、前記無線装置を認可されていないものとして示すことを含む、
    請求項１に記載の方法。
11. 前記装置構成情報にアクセスすることは、複数のセキュアエリアのうちの１つを含む前記セキュアエリアに存在する前記無線装置からアクセスすることを含み、前記無線装置に認可されているセキュアエリアのリストにアクセスすることをさらに含み、前記示すことは、前記リストを使用して前記１つのセキュアエリアにおいて認可されているものとして前記無線装置を示すことを含む、
    請求項１に記載の方法。
12. 無線装置を監視する方法であって、
    ノード装置をセキュアエリアに関連付けること；
    前記ノード装置を使用して、前記セキュアエリアでの複数の無線装置の存在を検出すること；
    前記無線装置のそれぞれが検出された後、前記ノード装置を使用して、前記無線装置のうちの個々の無線装置と通信すること；および
    前記通信の情報を使用して、前記セキュアエリアで認可されない前記無線装置のうちの少なくとも１つを示すこと
    を含む、方法。
13. 前記検出することは、前記無線装置から無線周波エネルギーの存在を監視することを含む、
    請求項１２に記載の方法。
14. 前記通信することは、情報に対する要求を前記無線装置のうちの１つに出力することを含み、前記示すことは、前記情報に対する要求が出力された後、前記無線装置のうちの前記１つからの返信が受信されないことに応答して、認可されないものとして前記無線装置のうちの前記１つを示すことを含む、
    請求項１２に記載の方法。
15. 前記通信することは、前記無線装置のうちの前記１つから前記ノード装置に装置構成情報を通信することを含み、前記装置構成情報を解析することをさらに含み、前記示すことは、前記解析に応答して示すことを含む、
    請求項１２に記載の方法。
16. 前記解析することは、前記ノード装置を使用して解析することを含む、
    請求項１５に記載の方法。
17. 前記ノード装置から管理装置に前記装置構成情報を通信することをさらに含み、前記解析することは、前記管理装置を使用して解析することを含む、
    請求項１５に記載の方法。
18. 無線装置を監視するシステムであって、
    セキュアエリアにおいて無線通信を受信するように構成されたアンテナ；
    前記アンテナに接続され、前記アンテナを使用して前記無線通信を受信し、無線通信を出力するように構成された通信回路；および
    前記通信回路に結合され、前記通信回路によって受信された前記無線通信を処理して、無線装置の存在を検出し、前記無線装置から情報を要求する前記無線通信の前記出力を制御し、前記無線通信を出力した後、前記セキュアエリアに関して認可されているものまたは認可されていないものとして前記無線装置のインジケーションを生成するように構成された処理回路；
    を備える、システム。
19. 前記通信回路および前記処理回路は、遠隔地に隔てられた複数の装置の回路を含む、
    請求項１８に記載の方法。
20. 前記通信回路は、前記アンテナによって受信された前記無線装置の無線通信の存在を監視するように構成される、
    請求項１８に記載の方法。
21. 前記処理回路は、前記情報を要求する前記無線通信の出力後、返信を受信しなかった結果として、認可されていないものとして前記無線装置の前記インジケーションを生成するように構成される、
    請求項１８に記載の方法。
22. 前記通信回路は、前記情報を要求する前記無線通信の出力後、前記無線装置の識別子を受信するように構成され、前記処理回路は、前記識別子を認識しなかったことに応答して、認可されていないものとして前記無線装置の前記インジケーションを生成するように構成される、
    請求項１８に記載の方法。
23. 前記処理回路は、前記無線装置から、前記無線装置の構成に関連する情報を含む装置構成情報を受信するように構成され、前記無線装置の前記構成に関連する情報を記憶するように構成された記憶回路をさらに備え、前記処理回路は、前記受信した装置構成情報を前記記憶されている情報と比較し、前記比較に応答して前記インジケーションを生成するように構成される、
    請求項１８に記載の方法。
24. 前記記憶されている情報は、第１の時点での前記無線装置の前記構成に関連する情報を含み、前記処理回路は、第２の時点で受信された前記装置構成情報が、前記第１の時点での前記無線装置の前記構成に合致しないことに応答して、認可されていないものとして前記無線装置の前記インジケーションを生成するように構成される、
    請求項２３に記載の方法。
25. 無線装置を監視するシステムであって、
    複数のセキュアエリアのうちのそれぞれに関連付けられた複数のノード装置と、前記複数のノード装置は、前記個々のノード装置に関連付けられた前記セキュアエリアのそれぞれ１つでの無線装置の存在を検出し、前記無線装置から前記無線装置に関連する情報を得るように個々に構成されており、
    前記ノード装置に接続され、前記無線装置に関連する前記情報を前記ノード装置から受信し、前記情報を解析し、前記ノード装置のそれぞれについて、前記無線装置のそれぞれ１つが前記セキュアエリアのそれぞれ１つに対して認可されているか、それとも認可されていないかを示すように構成されている管理装置と
    を備えるシステム。
26. 前記ノード装置は、前記無線装置から装置識別子を受信するように構成され、前記管理装置は、前記装置識別子を使用して前記セキュアエリアのそれぞれに関して認可されているものまたは認可されていないものとして前記無線装置のそれぞれを示すように構成される、
    請求項２５に記載のシステム。
27. 前記ノード装置は、前記無線装置から装置構成情報を受信するように構成され、前記管理装置は、前記装置構成情報を使用して前記セキュアエリアのそれぞれに関して認可されているものまたは認可されていないものとして前記無線装置のそれぞれを示すように構成される、
    請求項２５に記載のシステム。
28. 前記管理装置は、前記無線装置の構成に関連する情報を記憶するように構成され、前記管理装置は、前記装置構成情報と前記記憶されている情報との比較に応答して、認可されているものまたは認可されていないものとして前記無線装置のそれぞれを示すように構成される、
    請求項２７に記載のシステム。
29. 前記管理装置は、前記１つの無線装置に認可されたセキュアエリアのリストを使用して、前記セキュアエリアのうちの１つに関して認可されておらず、前記セキュアエリアの別のエリアに関して認可されているものとして前記無線装置の１つを示すように構成される、請求項２５に記載のシステム。
30. 前記管理装置は第１の組織に関連付けられ、前記管理装置は、前記無線装置に関連する前記情報を第２の組織に関連付けられた外部装置に出力するように構成され、前記管理装置は、前記第２の組織に関連付けられた前記外部装置からの応答に応答して、前記セキュアエリアのそれぞれ１つに関して認可されているものまたは認可されていないものとして前記無線装置を示すように構成される、
    請求項２５に記載のシステム。
31. 無線装置を監視するシステムであって、
    セキュアエリアを備える第１の組織と、
    前記第２の組織に関連付けられた複数の無線装置に関連する情報を記憶するように構成された第２の組織と
    を備え、
    前記第１の組織の管理装置は、前記無線装置のうちの１つに関連する前記記憶されている情報を使用して、前記第１の組織の前記セキュアエリアに関して認可されているものまたは認可されていないものとして前記第２の組織の前記無線装置のうちの１つを示すように構成される、
    システム。
32. 前記監視装置は、前記無線装置からの情報にアクセスし、前記アクセスされた情報が前記無線装置のうちの前記１つに関連する前記記憶されている情報と異なることに応答して、認可されていないものとして前記無線装置のうちの前記１つを示すように構成される、
    請求項３１に記載のシステム。
33. 前記アクセスされた情報および前記記憶されている情報は、異なる時点での前記無線装置のうちの前記１つの構成に関連する情報を含み、前記監視装置は、前記アクセスされた情報が、前記無線装置のうちの前記１つの前記構成の変更を示すことに応答して、認可されていないものとして前記無線装置のうちの前記１つを示すように構成される、
    請求項３２に記載のシステム。
34. セキュアエリアに関して無線装置からの情報に第１にアクセスすること、前記無線装置に関連する記憶されている情報に第２にアクセスすること、前記アクセスされた情報と前記記憶されている情報と比較して、前記無線装置が前記セキュアエリアに関して認可されているか、それとも認可されていないかを判断すること、および前記比較に応答して、前記セキュアエリアに関して認可されているものまたは認可されていないものとして前記無線装置を示すことを含む処理を処理回路に実行させるように構成されるプログラミングを含む媒体を備える製品。
35. 前記第２にアクセスすることは、第１の時点での前記無線装置の構成に関連する記憶されている構成情報にアクセスすることを含み、前記第２にアクセスすることは、前記第１の時点後の第２の時点での前記無線装置の装置構成情報にアクセスすることを含む、
    請求項３４に記載の製品。
36. 前記示すことは、前記装置構成情報が前記記憶されている構成情報と合致しないことに応答して、認可されていないものとして前記無線装置を示すことを含む、
    請求項３５に記載の製品。

Images