JP2011004039A - 無線ｌａｎ暗号化通信システム - Google Patents

Abstract

【課題】暗号鍵の漏洩や暗号化通信の盗聴を抑止する無線ＬＡＮ暗号化通信システムを得る。
【解決手段】無線ＬＡＮ暗号化通信システムは、ネットワークに接続されているとともに暗号鍵を記述した乱数表及び乱数表の中の位置を特定して暗号鍵を抽出するための規則を記憶しているアクセスポイントと、アクセスポイント経由でネットワークと無線ＬＡＮで接続されるとともに乱数表および規則と同一の乱数表および規則を記憶している少なくとも１つのクライアント端末と、を備え、クライアント端末は、認証要求信号を暗号鍵で暗号化してアクセスポイントに送信し、アクセスポイントは、受信した認証要求信号を暗号鍵で復号するとともにクライアント端末をネットワークに接続することを適正として認証した場合に、新たな暗号鍵を乱数表から抽出して承認信号を暗号鍵で暗号化してクライアント端末に送信する。
【選択図】図１

Description

この発明は、無線ＬＡＮ暗号化通信システムに関し、特に、無線ＬＡＮを構成するアクセスポイントとクライアント端末間で暗号化通信するための無線ＬＡＮ暗号化通信システムに関する。

従来の無線ＬＡＮの暗号化通信規格であるＷＰＡ（Ｗｉｆｉ Ｐｒｏｔｅｃｔｅｄ Ａｃｃｅｓｓ）は大規模ネットワーク用暗号化通信方式と家庭及び小規模ネットワーク用暗号化通信方式の２種類を用意している。家庭及び小規模ネットワーク用暗号化通信方式は、クライアント端末がアクセスポイントに対して認証を要求する際に一時的に使用される事前共有鍵と認証後アクセスポイントから発行される認証鍵、更に一定期間でアクセスポイントから更新される更新鍵を用いて暗号化通信を行う（例えば、特許文献１参照）。

従来の無線ＬＡＮ暗号化通信方式ＷＰＡでは、アクセスポイントはネットワークに接続されている。クライアント端末は、ネットワークに接続を開始する際に、アクセスポイントに対して認証要求を行う。当該認証は、事前に用意された事前共有鍵を用いて無線による暗号化通信を行ってクライアント端末からアクセスポイントに対して要求される。アクセスポイントによって認証が承認されると、アクセスポイントはクライアント端末に対して認証鍵を発行する。以降の暗号化通信はこの認証鍵を用いる。また、この認証鍵は一定期間でアクセスポイントから更新され、更新鍵として新たな認証鍵が発行される。更新後の暗号化通信はこの更新鍵を用いて行われる。

特開２００３−３３３０３１号公報

上記のような家庭や小規模ネットワークで用いられる従来の無線ＬＡＮ暗号化通信方式ＷＰＡでは、事前共有鍵が第３者に漏洩した場合、認証から傍受すれば暗号化された通信が全て盗聴される危険性があるという問題点があった。また、認証鍵と更新鍵が無線区間で送受されるため、認証鍵と更新鍵が漏洩する危険性があるという問題点があった。

この発明は、かかる問題点を解決するためになされたものであり、暗号鍵の漏洩や暗号化通信の盗聴を抑止することが可能な無線ＬＡＮ暗号化通信システムを得ることを目的とする。

この発明に係る無線ＬＡＮ暗号化通信システムは、ネットワークに接続されているとともに暗号鍵を記述した乱数表及び上記乱数表の中の位置を特定して上記暗号鍵を抽出するための規則を記憶しているアクセスポイントと、上記アクセスポイント経由で上記ネットワークと無線ＬＡＮで接続されるとともに上記乱数表および上記規則と同一の乱数表および規則を記憶している少なくとも１つのクライアント端末と、を備え、上記クライアント端末は、上記規則に従って上記乱数表の中の位置を特定して上記暗号鍵を抽出するとともに認証要求信号を上記暗号鍵で暗号化して上記アクセスポイントに送信し、上記アクセスポイントは、上記認証要求信号を受信したときに、上記規則に従って上記乱数表の中の位置を特定して上記暗号鍵を抽出して受信した上記認証要求信号を上記暗号鍵で復号するとともに上記クライアント端末を上記ネットワークに接続することを適正として認証した場合に、新たな暗号鍵を上記乱数表から抽出して承認信号を上記暗号鍵で暗号化して上記クライアント端末に送信するとともに、上記クライアント端末を上記ネットワークに接続する。

この発明に係る無線ＬＡＮ暗号化通信システムは、暗号鍵を記述した共通の乱数表をアクセスポイントとクライアント端末とが互いに備え、アクセスポイントとクライアント端末とが乱数表４から暗号鍵をそれぞれ別個に抽出するようにしたので、暗号鍵は無線区間で送受されないため、暗号鍵の漏洩を抑止する効果がある。

また、乱数表を参照して暗号鍵を生成する際に、日時、送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードを基に、乱数表の中の位置を特定して暗証鍵を参照するようにしたので、乱数表が第３者に万一漏洩した場合でも、暗号鍵は常時変化する惰報である日時と固有の情報である送信元ＭＡＣアドレス、クライアント端末を通じてネットワークにアクセスする利用者本人のみが記憶する認証ＩＤ、および、認証パスワードを基に、乱数表から生成されるため、第３者は乱数表の中の位置を特定することが困難になり、暗号化通信が盗聴および解読されることを抑止する効果がある。

この発明の実施の形態１に係る無線ＬＡＮ暗号化通信システムの構成を示す構成図である。 この発明の実施の形態１に係る無線ＬＡＮ暗号化通信システムの動作を示した説明図である。 この発明の実施の形態２に係る無線ＬＡＮ暗号化通信システムの構成を示した構成図である。 この発明の実施の形態２に係る無線ＬＡＮ暗号化通信システムの動作を示した説明図である。 この発明の実施の形態３に係る無線ＬＡＮ暗号化通信システムの構成を示した構成図である。 この発明の実施の形態３に係る無線ＬＡＮ暗号化通信システムの動作を示した説明図である。 この発明の実施の形態４に係る無線ＬＡＮ暗号化通信システムの動作において、送信元ＭＡＣアドレスから変数ＭＡＣを生成する説明図である。 この発明の実施の形態４に係る無線ＬＡＮ暗号化通信システムの動作において、認証ＩＤから変数ＩＤを生成する説明図である。 この発明の実施の形態４に係る無線ＬＡＮ暗号化通信システムの動作において、演算子ｌｏｔの演算方法を示す説明図である。 この発明の実施の形態４に係る無線ＬＡＮ暗号化通信システムの動作において、変数ＰＯＩＮＴから乱数表の中の位置を特定する説明図である。

以下、この発明の無線ＬＡＮ暗号化通信システムの好適な実施の形態につき図面を用いて説明する。
実施の形態１．
図１は、この発明の実施の形態１に係る無線ＬＡＮ暗号化通信システムの構成を示す構成図である。
アクセスポイント２はネットワーク１に接続されている。クライアント端末３はアクセスポイント２経由でネットワーク１と無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）にて接続される。アクセスポイント２とクライアント端末３は共に、暗号鍵を記述した同一内容の乱数表４を備えている。乱数表４は、その中の各位置に対して１対１で暗号鍵が予め設定されているので、乱数表４内の位置を指定すれば、暗号鍵が抽出され決定される。

また、クライアント端末３とアクセスポイント２は、暗号鍵を抽出するための事前に決定された所定の同一の規則をそれぞれ記憶している。該規則は、アクセスした日時と、送信元ＭＡＣ（Ｍｅｄｉｕｍ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス、認証ＩＤ（Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）、および、認証パスワードを用いて、乱数表４の位置を特定し、暗号鍵を抽出する。
これの乱数表４および規則は、磁気ディスクや光ディスク、または、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カード等の電子記憶媒体に記憶されており、それらを使って、アクセスポイント２とクライアント端末３に予め保存（インストール）される。
クライアント端末３とアクセスポイント２は、それぞれ別個にアクセスした日時と、送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードから、事前に決められた規則に基づき、乱数表４の中の位置を特定する。その特定された乱数表４の位置から暗号鍵を抽出して、無線ＬＡＮ暗号化通信を行う。

図２は、この発明の実施の形態１に係る無線ＬＡＮ暗号化通信システムでの暗号化通信の手順を示す手順図である。左から、クライアント端末３およびアクセスポイント２をそれぞれ示している。
まず、実施の形態１における無線ＬＡＮ暗号化通信を行うにあたり、乱数表４の参照（すなわち、位置の特定および抽出）に日時を使用しているため、クライアント端末３は認証前にアクセスポイント２に日時調整要求を行う。
アクセスポイント２は日時調整応答を返答する。
クライアント端末３は、アクセスポイント２が返答した日時調整応答で日時をアクセスポイント２と一致させる。

クライアント端末３は、アクセスポイント２に対するアクセスを開始した現在の日時、送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードに基づき、事前に決められた規則に従って、乱数表４の中の位置を特定する。その特定された乱数表４の中の位置から暗号鍵を抽出して、アクセスポイント２に送信するための認証要求信号を暗号化して、アクセスポイント２に送信する。認証要求信号は送信元ＭＡＣアドレスを含むＭＡＣヘッダと、認証ＩＤ、認証パスワード等を含むペイロードで構成され、ペイロードを暗号化して、ＭＡＣヘッダは暗号化しない。

アクセスポイント２は、クライアント端末３から送信された暗号化された認証要求信号を受信すると、認証要求信号の暗号化されていないＭＡＣヘッダから送信元ＭＡＣアドレスを抽出する。アクセスポイント２は、認証してよい適正な全てのクライアント端末３の認証ＩＤと認証パスワード、送信元ＭＡＣアドレスが記載されているリストを有している。認証要求を行ったクライアント端末３の送信元ＭＡＣアドレスを基にリストから認証ＩＤと認証パスワードを抽出する。クライアント端末３の送信元ＭＡＣアドレス、認証ＩＤ、認証パスワード、および、アクセスポイント２が認証要求信号を受信した日時を用いて、同じ規則に基づき、乱数表４の中の位置を特定して暗号鍵を抽出する。

ただし、クライアント端末３が認証要求信号を送信した日時とアクセスポイント２が認証要求信号を受信した日時には偏差が存在するため、アクセスポイント２は、認証要求信号を受信した日時と、１秒前後の偏差を考慮した日時に対する３つの暗号鍵を抽出する。この３つの暗号鍵の内１つは、クライアント端末３が暗号化に用いたものと同じものであるので、アクセスポイント２は３つの内１つの暗号鍵で、受信した認証要求信号のペイロードを解読（復号）できる。

アクセスポイント２は、認証要求のあったクライアント端末３をネットワーク１に接続させることが適正であるか否かを判断する。そして、この判断は次のように行う。例えば、アクセスポイント２は、認証要求のあったクライアント端末３の認証ＩＤと認証パスワードが、認証してよい適正な全てのクライアント端末の認証ＩＤと認証パスワード、ＭＡＣアドレスが記載されているリストの中にあれば適正と判断し、リストの中になければ適正でないと判断する。
判断の結果、アクセスポイント２は、クライアント端末３をネットワーク１に接続させることを適正と判断した場合、クライアント端末３に承認を示す承認信号を生成して、改めて、現在の日時、送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードを用いて、事前に決められた規則に基づき、乱数表４の中の位置を特定して、乱数表４から新たな暗号鍵を抽出し、得られた暗号鍵で承認信号のペイロードを暗号化して、送信する。

承認信号を受信したクライアント端末３は、承認信号の暗号化されていないＭＡＣヘッダから送信元ＭＡＣアドレスを抽出して、認証信号の受信日時と送信ＭＡＣアドレス、認証ＩＤ、および認証パスワードから同じ規則に基づき、乱数表４の位置を特定して暗号鍵を抽出する。ここで、アクセスポイント２が承認信号を送信した日時と、クライアント端末３が受信した日時の間には偏差が存在するため、先のアクセスポイント２の複合と同様に、この偏差を考慮した３つの暗号鍵を用意する。
この３つの暗号鍵の内１つで、アクセスポイント２から受信した承認信号を解読（復号）できる。これにより、アクセスポイント２は、クライアント端末３をネットワーク１に接続する。

以降の通信は、認証要求と承認の暗号化通信と同様の方式を使用する。すなわち、クライアント端末３とアクセスポイント２とは、互いに、日時、送信元ＭＡＣアドレス、認証ＩＤ、認証パスワードから、同じ規則に基づき、乱数表４の中の位置を特定して暗号鍵を抽出し、送信データのペイロードを暗号鍵で暗号化して送信するとともに、受信した受信データを同様の方法で得る暗号鍵で受信データのペイロードを解読（復号）する。

また、認証後の通信において、暗号鍵や規則が漏洩した場合の予防策として、アクセスポイント２は自身が記憶している乱数表４を参照するための規則を更新するとともに、クライアント端末３に当該規則の更新を通知するための通知信号を送信する。
この通知信号は、規則の変更箇所または変更内容（変更ルール）のみを送信してもよく、あるいは、更新された規則全体を送信するようにしてもよい。いずれも、暗号化して送信することが望ましい。この通知以降、アクセスポイント２とクライアント端末３は更新された規則に基づき乱数表４の中の位置を特定して暗号鍵を参照し、通信を暗号化および解読（復号）する。この乱数表４を参照する規則の変更は定期的あるいは不定期に実施される。

このように暗号鍵は無線で送信されることなく、常時変化する日時や、固有の送信元ＭＡＣアドレス、認証ＩＤ、認証パスワードを基に、クライアント端末３およびアクセスポイント２のそれぞれにおいて乱数表４を参照する。また、認証後の通信において、万一に備えて、乱数表４の参照規則も常時更新される。また、乱数表４は磁気ディスクや光ディスク、または、ＩＣカード等の電子記憶媒体を使って、無線で送信されることなく、アクセスポイント２とクライアント端末３に保存される。従って、第３者は暗号鍵を取得することが困難になり、暗号化通信が盗聴されることを抑止する。

以上のように、この発明の実施の形態１によれば、暗号鍵を記述した共通の乱数表４をアクセスポイント２とクライアント端末３とが互いに備え、アクセスポイント２とクライアント端末３とが乱数表４から暗号鍵をそれぞれ別個に抽出するようにしたので、暗号鍵は無線区間で送受されないため、暗号鍵の漏洩を抑止する効果がある。

また、本実施の形態１によれば、乱数表４は、磁気ディスクや光ディスク、または、ＩＣカード等の電子媒体を使ってアクセスポイント２とクライアント端末３に保存するようにしたので、無線区間を経由しないため、乱数表４から作成される暗号鍵の漏洩を抑止する効果がある。

また、本実施の形態１によれば、乱数表４を参照して暗号鍵を生成する際に、日時、送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードを基に、乱数表４の中の位置を特定して暗証鍵を参照するようにしたので、乱数表４が第３者に万一漏洩した場合でも、暗号鍵は常時変化する情報である日時と固有の情報である送信元ＭＡＣアドレス、クライアント端末３を通じてネットワーク１にアクセスする利用者本人のみが記憶する認証ＩＤ、および、認証パスワードを基に、乱数表４から生成されるため、第３者は乱数表４から暗号鍵の位置を特定することが困難になり、暗号化通信が盗聴および解読されることを抑止する効果がある。

また、本実施の形態１によれば、乱数表４の中の位置を特定するための規則を定期的あるいは不定期に変更するようにしたので、乱数表４が万一第３者に漏洩して、かつ、乱数表４の中の位置を特定する規則も漏洩した場合においても、乱数表４の中の位置を特定する規則が変更されるため、第３者は乱数表４から暗号鍵の位置を特定することが困難になり、暗号化通信が盗聴および解読されることを抑止する効果がある。

実施の形態２．
図３は、この発明の実施の形態２に係る無線ＬＡＮ暗号化通信システムの構成を示す構成図である。
アクセスポイント２はネットワーク１に接続されている。同様に、認証サーバ５もネットワーク１に接続されている。クライアント端末３とクライアント端末６はアクセスポイント２経由でネットワーク１と無線ＬＡＮにて接続される。クライアント端末３とクライアント端末６の送信元ＭＡＣアドレス、認証ＩＤおよび認証パスワードはそれぞれ互いに異なり、更に、それぞれが備えている乱数表４と乱数表７も異なる。認証サーバ５はすべての乱数表、すなわち、乱数表４と乱数表７の両方を備える。クライアント端末３がアクセスポイント２にアクセスした場合には、それを認証する前に、アクセスポイント２はクライアント端末３の送信元ＭＡＣアドレスに対応した乱数表４を認証サーバ５から転送する。同様に、クライアント端末６がアクセスポイント２にアクセスした場合には、それを認証する前に、アクセスポイント２はクライアント端末６の送信元ＭＡＣアドレスに対応した乱数表７を認証サーバ５から転送する。

図４は、この発明の実施の形態２に係る無線ＬＡＮ暗号化通信システムでの暗号化通信の手順を示す手順図である。左から順にクライアント端末３、アクセスポイント２、認証サーバ５をそれぞれ示している。なお、クライアント端末３とクライアント端末６とは同様の動作を行うため、以下の説明では、クライアント端末３の動作のみを説明する。

クライアント端末３は認証前にアクセスポイント２に日時調整要求を行い、アクセスポイント２が返答した日時調整応答でクライアント端末３の日時をアクセスポイント２と一致させる。
アクセスポイント２は、クライアント端末３の暗号化通信を解読するため、クライアント端末３に対応した乱数表４、認証ＩＤ、および、認証パスワードを入手する必要がある。そこで、アクセスポイント２は、クライアント端末３から送信された日時調整要求信号のパケットから送信元ＭＡＣアドレスを入手し、認証サーバ５からクライアント端末３の乱数表４、認証ＩＤ、および、認証パスワードを入手する。

クライアント端末３は、日時、送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードから、事前に決められた規則に基づき、乱数表４の中の位置を特定する。その特定された乱数表４の中の位置から暗号鍵を抽出して、この暗号鍵で認証要求信号を暗号化してアクセスポイント２に送信する。認証要求信号は送信元ＭＡＣアドレスを含むＭＡＣヘッダと、認証ＩＤ、パスワード等を含むペイロードで構成され、ペイロードを暗号化して、ＭＡＣヘッダは暗号化しない。アクセスポイント２は受信した認証要求信号の暗号化されていないＭＡＣヘッダから送信元ＭＡＣアドレスを抽出して、先に認証サーバ５から入手したクライアント端末３の乱数表４、認証ＩＤ、認証パスワードを特定する。アクセスポイント２は、アクセスポイント２が認証要求信号を受信した日時、クライアント端末３の送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードから、クライアント端末３と同じ規則に基づき、乱数表４の位置を特定して暗号鍵を抽出する。

ただし、クライアント端末３が認証要求信号を送信した日時とアクセスポイント２が認証要求信号を受信した日時には偏差が存在するため、アクセスポイント２は、認証要求信号を受信した日時と、１秒前後の偏差を考慮した３つの日時に対する３つの暗号鍵を抽出する。そして、抽出した３つの暗号鍵の内１つの暗号鍵は、クライアント端末３が認証要求信号を暗号化に用いたものと同じものであるので、アクセスポイント２は３つの暗号鍵の内１つの暗号鍵で、クライアント端末３から受信した認証要求信号のペイロードを解読（復号）できる。

アクセスポイント２は、認証サーバ５にクライアント端末３の認証要求を発行し、その認証要求に応答する承認を示す承認信号を受けた後、クライアント端末３に承認を示す承認信号を送信する。
この時、現在の日時、送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードから同じ規則に基づき、乱数表４の中の位置を特定して新たな暗号鍵を抽出し、この暗号鍵でこの承認信号のペイロードを暗号化する。

承認信号を受信したクライアント端末３は、この承認信号の暗号化されていないＭＡＣヘッダから送信元ＭＡＣアドレスを抽出して、この承認信号の受信日時と送信ＭＡＣアドレス、認証ＩＤ、および、認証パスワードから同じ規則に基づき乱数表４の中の位置を特定して暗号鍵を抽出する。ここで、アクセスポイント２が承認信号を送信した日時と、クライアント端末３が承認信号を受信した日時の間には偏差が存在するため、先のアクセスポイント２での復号と同様に、この偏差を考慮した３つの暗号鍵を用意する。この３つの暗号鍵の内１つの暗号鍵で承認信号を解読（復号）できる。

以降の通信は、上述の実施の形態による暗号化通信と同様の方式を使用する。すなわち、クライアント端末３とアクセスポイント２とは、互いに、日時、送信元ＭＡＣアドレス、認証ＩＤ、認証パスワードから、同じ規則に基づき、乱数表４の中の位置を特定して暗号鍵を抽出し、送信データのペイロードをこの暗号鍵で暗号化して送信するとともに、受信した受信データを同様の方法で得る暗号鍵で通信信号のペイロードを解読（復号）する。

上述のように、クライアント端末６がアクセスポイント２を経由してネットワーク１に接続する場合に、クライアント端末３と同様の手順で接続を行うが、乱数表４と乱数表７は異なるため、クライアント端末３とクライアント端末６は相互に暗号化通信を傍受することは出来ない。

また、アクセスポイント２が認証サーバ５から新たに乱数表を入手する時に、アクセスポイント２内にその乱数表を保存する余裕がない場合、アクセスポイント２は古い乱数表を削除して新しい乱数表を入手すればよい。このようにアクセスポイント２は乱数表の容量を制限することが出来るため、装置規模を小さくする効果がある。

以上のように、本実施の形態２によれば、上述の実施の形態１と同様の効果が得られるとともに、さらに、乱数表４、７をクライアント端末３、６ごとに異なるものにしたので、乱数表４、７は送信元ＭＡＣアドレスに対して唯一無二であるため、他の乱数表から暗号鍵を複製することはできない。このため、暗号化通信が盗聴・解読されることを抑止する効果がある。

また、本実施の形態２によれば、各乱数表４、７を認証サーバ５に保管し、各クライアント端末３、６を認証する前に、アクセスポイント２が認証サーバ５に乱数表４、７を問い合わせるための照会信号を送信して、各クライアント端末３、６の送信元ＭＡＣアドレスに対応する乱数表４、７を認証サーバ５からアクセスポイント２に転送するようにしたので、アクセスポイント２は必要に応じて乱数表４、７を認証サーバ５から転送することができるため、全ての乱数表４、７を保管する必要がなく、アクセスポイント２の装置規模を小さくできる効果がある。

実施の形態３．
図５は、この発明の実施の形態３に係る無線ＬＡＮ暗号化通信システムの構成を示す構成図である。
アクセスポイント２はネットワーク１に接続されている。同様に、認証サーバ５もネットワーク１に接続されている。クライアント端末３とクライアント端末６はアクセスポイント２経由でネットワーク１と無線ＬＡＮにて接続されている。クライアント端末３とクライアント端末６の送信元ＭＡＣアドレス、認証ＩＤおよび認証パスワードはそれぞれ互いに異なり、更に、それぞれが備えている乱数表４と乱数表７も異なる。認証サーバ５はすべての乱数表、すなわち、乱数表４と乱数表７の両方を備える。

アクセスポイント２とクライアント端末３、クライアント端末６はそれぞれＧＰＳアンテナ８を備える。アクセスポイント２とクライアント端末３、クライアント端末６はそれぞれＧＰＳから日時を取得する。クライアント端末３がアクセスポイント２にアクセスした場合には、それを認証する前に、アクセスポイント２はクライアント端末３の送信元ＭＡＣアドレスに対応し乱数表４を認証サーバ５から転送する。同様に、クライアント端末６がアクセスポイント２にアクセスした場合には、それを認証する前に、アクセスポイント２はクライアント端末６の送信元ＭＡＣアドレスに対応した乱数表７を認証サーバ５から転送する。

次に、図６は、この発明の実施の形態３に係る無線ＬＡＮ暗号化通信システムでの暗号化通信方式の手順図を示している。左から順にクライアント端末３、アクセスポイント２、認証サーバ５をそれぞれ示している。なお、クライアント端末３とクライアント端末６とは同様の動作を行うため、以下の説明では、クライアント端末３の動作のみを説明する。

クライアント端末３は、ＧＰＳから取得した日時、送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードから、事前に決められた規則に基づき、乱数表４の位置を特定する。
その特定された乱数表４の位置から暗号鍵を抽出して、この暗号鍵で認証要求を暗号化してアクセスポイント２に送信する。認証要求信号は送信元ＭＡＣアドレスを含むＭＡＣヘッダと、認証ＩＤ、パスワード等を含むペイロードで構成され、ペイロード部分を暗号化して、ＭＡＣヘッダ部分は暗号化しない。アクセスポイント２は、クライアント端末３の暗号化通信を解読するため、クライアント端末３に対応した乱数表４、認証ＩＤ、および、認証パスワードを入手する必要がある。アクセスポイント２は受信した認証要求の暗号化されていないＭＡＣヘッダから送信元ＭＡＣアドレスを抽出して、認証サーバ５からクライアント端末３の乱数表４、認証ＩＤ、および、認証パスワードを入手する。アクセスポイント２は、アクセスポイント２が認証要求信号を受信した時にＧＰＳから取得した日時、クライアント端末３の送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードから、クライアント端末３と同じ規則に基づき、乱数表４の位置を特定して暗号鍵を参照する。

ただし、クライアント端末３が認証要求信号を送信した日時とアクセスポイント２が認証要求信号を受信した日時には通信路の伝播遅延が発生するため、アクセスポイント２は、認証要求信号を受信したこの日時と、伝播遅延を考慮した１秒後の日時に対する２つの暗号鍵を用意する。上記２つの暗号鍵の内１つは、クライアント端末３が暗号化に用いたものと同じものであるので、アクセスポイント２は２つの内１つの暗号鍵で、クライアント端末３から受信した認証要求のペイロード部分を解読できる。アクセスポイント２は認証サーバ５にクライアント端末３の認証要求を発行して承認を示す承認信号を受けた後、クライアント端末３に承認を示す承認信号を発行する。この時、ＧＰＳから取得した日時、送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードから同じ規則に基づき、乱数表４の位置を特定して新たな暗号鍵を参照し、この暗号鍵でこの承認信号のペイロードを暗号化して、送信する。

承認信号を受信したクライアント端末３は、この承認信号の暗号化されていないＭＡＣヘッダから送信元ＭＡＣアドレスを抽出して、この認証信号を受信した時にＧＰＳから取得した日時と上記送信ＭＡＣアドレス、認証ＩＤ、および、認証パスワードから同じ規則に基づき乱数表４の位置を特定して暗号鍵を抽出する。ここで、アクセスポイント２が承認信号を送信した日時と、クライアント端末３が受信した日時の間には通信路の伝播遅延が存在するため、先のアクセスポイント２の復号と同様に、この伝播遅延を考慮した２つの暗号鍵を用意する。この２つの暗号鍵の内１つで承認信号を解読できる。

以降の通信は、上述の実施の形態による暗号化通信と同様の方式を使用する。すなわち、クライアント端末３とアクセスポイント２とは、互いに、ＧＰＳから取得した日時、送信元ＭＡＣアドレス、認証ＩＤ、認証パスワードから、同じ規則に基づき、乱数表４の位置を特定して暗号鍵を抽出し、送信データのペイロードをこの暗号鍵で暗号化して送信するとともに、受信した受信データを同様の方法で得る暗号鍵で通信信号のペイロード部分を解読（復号）する。

上述のように、クライアント端末６がアクセスポイント２を経由してネットワーク１に接続する場合に、クライアント端末３と同様の手順で接続を行うが、ただし、乱数表４と乱数表７は異なるため、クライアント端末３とクライアント端末６は相互に暗号化通信を傍受することは出来ない。

以上のように、本実施の形態によれば、上述の実施の形態２と同様の効果が得られるとともに、さらに、乱数表４、７の中の位置を特定する４つのパラーメータの内の日時をＧＰＳから取得した日時にしたので、上述の実施の形態２では、復号側で暗号鍵を３つ用意していたが、本実施の形態では、復号側で暗号鍵を２つ用意するだけでよく、復号手順を削減する効果がある。

また、上述の実施の形態２では、認証要求の前にクライアント端末３はアクセスポイント２に日時調整要求を発行していたが、本実施の形態３によれば、乱数表４、７の位置を特定する４つのパラーメータの内の日時をＧＰＳから取得した日時にしたので、日時調整要求を発行する必要が無く、復号手順を削減する効果がある。

実施の形態４．
本実施の形態においては、上記の実施の形態１または２、３の構成において、乱数表４の中の位置を特定する方法の一例について説明する。
最初に変数ＳＨＩＦＴを式（１）から求める。式（１）中の変数ＹＥＡＲはアクセス時の西暦の下２桁を示す８ビットの値である。同様に、変数ＤＡＹはアクセス時の日を示す８ビットの値である。変数ＭＩＮＵＴＥはアクセス時の分を示す８ビットの値である。変数ＳＥＣＯＮＤはアクセス時の秒を示す８ビットの値である。
演算子ａｎｄはビット単位の論理積を求める。また、演算子ｘｏｒはビット単位の排他的論理和を求める。また、演算子ｏｒはビット単位の論理和を求める。

ＳＨＩＦＴ＝（ＹＥＡＲａｎｄＤＡＹ）ｘｏｒ（ＭＩＮＵＴＥｏｒＳＥＣＯＮＤ）・・・（１）

次に、変数ＰＯＩＮＴを式（２）から求める。式（２）中の変数ＭＡＣは送信元ＭＡＣアドレスを示す２４ビットの値から図７に示す方法で生成する。図７に示す送信元ＭＡＣアドレスの値は１６進数でＡＢ１２３４ｈである。これを上位の桁から８ビット単位で排他的論理和をとる。その結果を変数ＭＡＣの値とする。
式（２）中の変数ＩＤは認証ＩＤを示す文字列から図８に示す方法で生成する。図８に示す認証ＩＤの文字列はＮＡ３４である。これから１文字毎にＡＳＣＩＩコード変換した８ビットの値を求める。これらの値から排他的論理和をとり、その結果を変数ＩＤとする。
同様に、式（２）中の変数ＰＡＳＳＷＯＲＤは認証パスワードを示す文字列から生成する。生成方法は変数ＩＤと同じ方法で生成する。式（２）中の演算子ｌｏｔは図９に示す方法で演算する。変数ＳＨＩＦＴの値が３の場合、被演算値のＣｇｈを上位の桁側に３回ビット単位で回転する。その結果４Ｅｈを得る。

ＰＯＩＮＴ＝（ＭＡＣｘｏｒＩＤｘｏｒＰＡＳＳＷＯＲＤ）ｌｏｔＳＨＩＦＴ・・・（２）

最後に変数ＰＯＩＮＴから図１０に示す方法で乱数表の中の位置を特定して、暗号鍵ＫＥＹを得る。乱数表４は２５６個の暗号鍵を備える。変数ＰＯＩＮＴの値が４Ｅｈの場合、７９番目のＫＥＹ７８を参照する。この値を暗号鍵ＫＥＹとする。

以上のように、本実施の形態４によれば、乱数表を参照して暗号鍵を生成する際に、日時、送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードを用いて、クライアント端末３とアクセスポイント２にて別個に演算を行って、この演算から得られるＰＯＩＮＴの値を基に乱数表の中の位置を特定して暗証鍵を参照するようにして、暗号鍵を無線区間に送信しないようにしたので、乱数表が第３者に万一漏洩した場合でも、暗号鍵は常時変化する情報である日時と固有の情報である送信元ＭＡＣアドレス、認証ＩＤ、および、認証パスワードを基に乱数表から生成されるため、第３者は乱数表から暗号鍵の位置を特定することが困難になり、暗号化通信が盗聴および解読されることを抑止する効果がある。

１ ネットワーク、２ アクセスポイント、３、６ クライアント端末、４、７ 乱数表、５ 認証サーバ、８ アンテナ。

Claims (7)

1. ネットワークに接続されているとともに暗号鍵を記述した乱数表及び上記乱数表の中の位置を特定して上記暗号鍵を抽出するための規則を記憶しているアクセスポイントと、上記アクセスポイント経由で上記ネットワークと無線ＬＡＮで接続されるとともに上記乱数表および上記規則と同一の乱数表および規則を記憶している少なくとも１つのクライアント端末と、を備え、
   上記クライアント端末は、上記規則に従って上記乱数表の中の位置を特定して上記暗号鍵を抽出するとともに認証要求信号を上記暗号鍵で暗号化して上記アクセスポイントに送信し、
   上記アクセスポイントは、上記認証要求信号を受信したときに、上記規則に従って上記乱数表の中の位置を特定して上記暗号鍵を抽出して受信した上記認証要求信号を上記暗号鍵で復号するとともに上記クライアント端末を上記ネットワークに接続することを適正として認証した場合に、新たな暗号鍵を上記乱数表から抽出して承認信号を上記暗号鍵で暗号化して上記クライアント端末に送信するとともに、上記クライアント端末を上記ネットワークに接続することを特徴とする無線ＬＡＮ暗号化通信システム。
2. 上記乱数表は、電子記憶媒体に記憶されており、
   上記クライアント端末及び上記アクセスポイントは、上記乱数表を上記電子記憶媒体から読み出して保存することを特徴とする請求項１に記載の無線ＬＡＮ暗号化通信システム。
3. 上記乱数表の中の位置を特定して上記暗号鍵を抽出するとき、日時、送信元ＭＡＣアドレス、認証ＩＤ、パスワードを基に上記規則に従って上記乱数表の中の位置を特定することを特徴とする請求項１または２に記載の無線ＬＡＮ暗号化通信システム。
4. 上記アクセスポイントは、記憶している上記規則を更新するとともに、上記クライアント端末に対して上記規則の更新を通知する通知信号を送信し
   上記クライアント端末は、当該通知信号に従って、記憶している上記規則の更新を行うことを特徴とする請求項１乃至３のいずれか一項に記載の無線ＬＡＮ暗号化通信システム。
5. 複数の上記クライアント端末を備え、
   各上記クライアント端末は、上記クライアント端末の認証ＩＤ毎に異なる上記乱数表を記憶していることを特徴とする請求項１乃至４のいずれか一項に記載の無線ＬＡＮ暗号化通信システム。
6. 上記ネットワークに接続されるとともに上記クライアント端末の乱数表を保管する認証サーバを備え、
   上記アクセスポイントは、上記クライアント端末を認証する前に、上記認証サーバから上記乱数表を転送することを特徴とする請求項１乃至５のいずれか一項に記載の無線ＬＡＮ暗号化通信システム。
7. 上記クライアント端末及び上記アクセスポイントは、ＧＰＳアンテナを備え、
   上記乱数表の中の位置を特定する際に用いる日時を上記ＧＰＳから通知される日時を用いることを特徴とする請求項１乃至６のいずれか一項に記載の無線ＬＡＮ暗号化通信システム。

Images