JP2012060357A

JP2012060357A - 移動体システムのリモートアクセス制御方法

Info

Publication number: JP2012060357A
Application number: JP2010200813A
Authority: JP
Inventors: Tsunehiko Chiba; 恒彦千葉; Hidetoshi Yokota; 英俊横田
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2010-09-08
Filing date: 2010-09-08
Publication date: 2012-03-22

Abstract

【課題】移動体が広域無線ネットワーク経由でセキュリティGWからIPSecトンネルを通過してフェムトセルのアクセスノードへセキュアにアクセスでき、かつ当該アクセスノードへの攻撃に対して十分な耐性を備えた移動体システムのリモートアクセス制御方法を提供する。
【解決手段】移動端末１（１ａ）を収容するフェムトセル２は、非セキュアなブロードバンドアクセス回線３に収容され、当該ブロードバンドアクセス回線３は、セキュリティGW４を介してモバイルコアネットワーク５と接続されている。当該モバイルコアネットワーク５にはインターネット８が接続され、さらにアクセスゲートウェイ６を介して広域無線ネットワーク７と接続されている。前記モバイルコアネットワーク５にはさらに、各移動端末１を認証して前記セキュリティGW４の疎通を制御する認証サーバ９が設置されている。
【選択図】図１

Description

本発明は、移動体システムのリモートアクセス制御方法に係り、特に、フェムトセルから通信トンネル経由でモバイルコアネットワークにアクセスした移動端末が、移動先の広域ネットワークから前記通信トンネル経由でフェムトセルへセキュアにリモートアクセスするリモートアクセス制御方法に関する。

移動体ネットワークにおいて、数十メートル程度の狭いエリアをカバーするフェムトセルが注目されている。非特許文献１には、モバイルコアネットワークの負荷を軽減するために、データ通信用のフェムトセルにIPレイヤの機能を持たせ、モバイルコアネットワークを介さずに直接オフィスや自宅のサーバなどへのローカルアクセスを可能とする技術が開示されている。この機能を応用することにより、フェムトセル自体にストレージ等のアクセスノードを設け、フェムトセル上のデータをフェムトセルに接続された複数の端末で共有したり、外出時に広域基地局からフェムトセルへリモートアクセスしてデータを同期させたりすることが可能となる。

このようなフェムトセルをインターネットなどの公衆網に接続する際は、通信の秘匿性を確保するために、モバイルコアネットワーク上にセキュリティ・ゲートウェイ(GW)が配置される。そして、フェムトセルとセキュリティGWとの間にIPSec(IP Security Architecture)のようなセキュアな通信トンネルを仮想的に構築し、このIPSecトンネルを経由して全てのデータが送受される。

一方、フェムトセルから離れた移動体は、広域基地局および広域ネットワークを経由してモバイルネットワークへアクセスすることになるが、3GPP2（Third Generation Partnership Project 2）などの標準化団体では、フェムトセルからモバイルコアネットワークを介したセキュアな通信方式については非特許文献２で規定しているものの、広域基地局や他のフェムトセルに接続している他の端末からフェムトセルへのDoS攻撃等への対応策については十分な検討が進められていない。

千葉他, "データ通信用フェムトセルを活用したローカルブレイクアウトの実装評価", 情処2010年全国大会, 1F-4, 2010. 3GPP2, "cdma2000 Femtocell Network: 1x and IMS Network Aspects," X.S0059-200-0, 2010

上記の従来技術では、移動体がフェムトセルから離れて広域基地局および広域ネットワーク経由でフェムトセルのアクセスノードへリモートアクセスしようとしても、移動体を認証してセキュリティGWからIPSecトンネルを通過させる機能が存在しなかったので、移動体はフェムトセル以外からアクセスノードへアクセスすることができなかった。

なお、ネットワークシステムに接続されて外部からもアクセス可能なファイルサーバ等として機能できるデバイスとしてNAS(Network Attached Storage)装置が知られている。しかしながら、NAS装置におけるユーザ認証は当該NAS装置で行われるので、そのアクセス回線は、認証を得た正規のアクセス要求のみならず、認証を得ていない認証前のアクセス要求にも解放されてしまう。したがって、悪意の第三者がNAS装置にDos攻撃などを仕掛けると、アクセス回線が輻輳し、あるいはNAS装置が過負荷になるなどの被害が避けられない。

本発明の目的は、上記した従来技術の課題を解決し、移動体が移動先の広域ネットワーク経由でセキュリティGWからIPSecトンネルを通過してフェムトセルのアクセスノードへセキュアにアクセスでき、かつフェムトセルやそのアクセスノードへの悪意の攻撃に対して十分な耐性を備えた移動体システムのリモートアクセス制御方法を提供することにある。

上記の目的を達成するために、本発明は、フェムトセルからモバイルコアネットワークにアクセスした移動端末に対して、広域ネットワークから前記フェムトセルへのリモートアクセスを許可するリモートアクセス制御方法において、モバイルコアネットワークが、フェムトセルのアクセス回線と接続されるセキュリティゲートウェイ、広域ネットワークと接続されるアクセスゲートウェイ、および移動端末を認証する認証サーバを備え、以下のような手順を有する点に特徴がある。

すなわち、フェムトセルとセキュリティゲートウェイとの間に仮想的な通信トンネルを確立し、移動端末とフェムトセルとの間に無線リンクを確立し、フェムトセルが移動端末の識別子IDmおよび当該フェムトセルの識別子IDfの記述されたユーザ認証要求Req1(IDm，IDf)を前記通信トンネル経由で前記認証サーバへ送信し、認証サーバが、前記移動端末およびフェムトセルの各識別子IDm，IDfならびにフェムトセル経由でのアクセス状態である旨のフラグを管理テーブルに登録してユーザ認証応答Rep1を返信し、前記フェムトセルが、前記ユーザ認証応答Rep1を受信して前記移動端末にIPアドレスIP#1を割り当て、前記移動端末が、前記広域ネットワーク経由で前記アクセスゲートウェイとの間に無線リンクを確立して自身の識別子IDmを通知し、前記アクセスゲートウェイが、前記移動端末の識別子IDmが記述された認証要求Rep2(IDm)を前記認証サーバへ送信し、前記認証サーバが、フェムトセルの識別子が記述されていない認証要求に記述された移動端末の識別子IDmが前記管理テーブルにおいてフェムトセルの識別子と対応付けられていると、当該移動端末に割り当てるIPアドレスIP#2の記述されたユーザ認証応答をアクセスゲートウェイに返信すると共に、セキュリティゲートウェイに対して、前記移動端末に割り当てたIPアドレスIP#2に関する通信許可要求を送信し、前記セキュリティゲートウェイは、前記通信許可要求されたIPアドレスIP#2から前記フェムトセルへのリモートアクセスを許可する。

本発明によれば、以下のような効果が達成される。

(1)常時はフェムトセルと接続し、当該フェムトセルとセキュリティGWとの間に確立された通信トンネル経由でモバイルコアネットワークに接続する移動端末が、移動先の広域基地局から、広域ネットワーク、モバイルコアネットワークおよび通信トンネル経由でフェムトセルやそのアクセスノードへセキュアにリモートアクセスできるようになる。

(2)移動端末がフェムトセル経由でネットワークへアクセスした際に、移動端末の識別子とフェムトセルの識別子とが認証サーバに登録され、この情報に基づいて、当該移動端末が広域基地局からアクセスした際の認証が行われるので、フェムトセル経由でネットワークへアクセスしていない他の移動端末による広域基地局から前記フェムトセルへの不正なリモートアクセスを確実に阻止できるようになる。

(3)移動端末からフェムトセルへの不正アクセスが、アクセス回線よりも上流側のモバイルコアネットワーク上でセキュリティGWにより阻止されるので、当該不正アクセスをフェムトセルで阻止しようとする場合に較べて、アクセス回線の輻輳を防止し、かつフェムトセルの負荷を軽減できるようになる。

本発明が適用される移動体システムのネットワーク構成を示したブロック図である。本発明の一実施形態の動作を示したシーケンスフローである。認証サーバで管理される管理テーブルの一例を示した図（その１）である。認証サーバで管理される管理テーブルの一例を示した図（その２）である。認証サーバで管理される管理テーブルの一例を示した図（その３）である。不正アクセスが遮断される様子を示したブロック図である。

以下、図面を参照して本発明の実施の形態について詳細に説明する。図１は、本発明が適用される移動体システムのネットワーク構成を示したブロック図であり、移動端末１（１ａ）を収容するフェムトセル２は、非セキュアなブロードバンドアクセス回線３に接続され、当該ブロードバンドアクセス回線３は、セキュリティGW４を介してモバイルコアネットワーク５に接続されている。前記フェムトセル２およびセキュリティGW４は、前記ブロードバンドアクセス回線上に通信トンネルIPSecを確立して通信を行う。

前記モバイルコアネットワーク５にはインターネット８が接続され、さらにアクセスGW６を介して広域無線ネットワーク７と接続されている。前記モバイルコアネットワーク５にはさらに、各移動端末１を認証して前記セキュリティGW４の疎通を制御する認証サーバ９が設置されている。

次いで、図２のシーケンスフローに沿って本発明の動作を説明する。ステップＳ１において、フェムトセル２が起動されてブロードバンドアクセス回線３に接続されると、ステップＳ２では、モバイルコアネットワーク５に配置されているセキュリティGW４とフェムトセル２との間にIPSecトンネル１０が確立される。ステップＳ３では、前記セキュリティGW４により、インターネット接続を除く全てのIPパケット転送が遮断される。

ステップＳ４において、フェムトセル２により移動端末１ａの接続が検知されると、ステップＳ５では、フェムトセル２と移動端末１ａとの間に無線リンクが確立される。ステップＳ６では、移動端末１ａから認証サーバ９へ、前記IPSecトンネル１０、セキュリティGW４およびモバイルコアネットワーク５を経由してユーザ認証要求が送信される。このユーザ認証要求には、移動端末１ａの識別子IDmおよびパスワードが記述されると共に、フェムトセル２により当該フェムトセル２の識別子IDfが追記される。

認証サーバ９は、ステップＳ７において前記ユーザ認証要求のメッセージを受信すると、当該メッセージに含まれるパスワードおよび前記識別子IDmに基づくユーザ認証処理を行い、当該移動端末１ａの識別子IDmをフェムトセルアクセス状態（フェムトセル経由でのアクセス）として前記フェムトセルの識別子IDfと対応付けて管理テーブルに登録する。

図３は、前記管理テーブルの一例を示した図であり、端末ID欄には移動動端末１ａの識別子IDmが登録され、フェムトセルID欄には前記フェムトセル２の識別子IDfが登録され、アクセス状態がフェムトセル経由および広域基地局経由のいずれであるかを示すアクセス状態フラグFacc欄には、フェムトセルアクセス状態であることを示す「１」が登録される。なお、端末IPアドレス欄については後述する。

ステップＳ８では、認証サーバ９からフェムトセル２へユーザ認証応答が返信される。ステップＳ９では、前記ユーザ認証応答を受信したフェムトセル２が、移動端末１ａに対してIPアドレス（IP#1）を新規に割り当てる。この結果、ステップＳ１０では移動端末１ａからモバイルコアネットワーク５およびその上位のインターネット８との通信が可能となる。ステップＳ１１では、移動端末１ａからフェムトセル２へのローカルアクセスが可能になるので、例えばフェムトセル２に内蔵またはローカル接続されているストレージ等のアクセスノードに移動端末１ａからローカルアクセスできるようになる。

その後、移動端末１ａが移動してフェムトセル２から離れ、ステップＳ１２において、広域無線ネットワーク７の広域基地局１１と無線接続されると、ステップＳ１３では、移動端末１ａとアクセスGW６との間に無線リンクが確立される。ステップＳ１４では、前記フェムトセル２の場合と同様に、アクセスGW６から認証サーバ９へユーザ認証要求が送信される。ただし、このユーザ認証要求には、前記フェムトセル２からユーザ認証要求する場合と異なり、移動端末１ａの識別子IDmおよびパスワードが記述されるのみでフェムトセル２の識別子は記述されない。

認証サーバ９は、ステップＳ１５において前記ユーザ認証要求を受信すると、パスワードによるユーザ認証によって端末の正当性を確認後、当該ユーザ認証要求にフェムトセル識別子が記述されているか否かを判定し、記述されていなければ更に、当該ユーザ認証要求に記述されている識別子IDmが、前記管理テーブルにおいてフェムトセル識別子と対応付けられているか否かを判定する。当該認証要求にはフェムトセル２の識別子が含まれていないので、認証サーバ９は、このユーザ認証要求を広域基地局１１からのアクセスと認識し、図４に示したように、前記管理テーブルの当該移動端末１ａに関するアクセス状態フラグFaccをリセットし、当該無線端末１ａのアクセス状態を前記フェムトセルアクセス状態から広域基地局アクセス状態（広域基地局経由でのアクセス）へと切り替える。

認証サーバ９はさらに、当該移動端末１ａに割り宛てるIPアドレスIP#2を決定し、図５に示したように前記管理テーブルの対応エントリに登録すると共に、ステップＳ１６において、当該IPアドレスIP#2の記述されたユーザ認証応答を前記アクセスGW６へ返信する。

アクセスGW６は、前記ユーザ認証応答を前記認証サーバ９から受信すると、当該ユーザ認証応答に記述されているIPアドレスIP#2と前記識別子IDmとの対応関係を記憶し、ステップＳ１７において、移動端末１ａに対して前記IPアドレス（IP#2）を割り当てる。ステップＳ１８では、前記移動端末１ａからフェムトセル２へのリモートアクセスが許容されるように、前記認証サーバ９からセキュリティGW４へ通信許可要求が送信される。この通信許可要求には、前記移動端末１ａのIPアドレスIP#2およびフェムトセル識別子IDfを指定するための情報が記述されている。

セキュリティGW４は、この通信許可要求に応答して、前記IPアドレスIP#2からフェムトセル２へのリモートアクセスを許可すべく、IPアドレスIP#2とフェムトセル識別子IDfとのペアを通信許可テーブルに登録するので、ステップＳ１９では、移動端末１ａが広域基地局１１からモバイルコアネットワーク５経由でフェムトセル２へリモートアクセスすることが可能となる。

本実施形態によれば、常時はフェムトセルと接続し、当該フェムトセルとセキュリティGWとの間に確立された通信トンネル経由でモバイルコアネットワークに接続する移動端末が、移動先の広域基地局から、広域ネットワーク、モバイルコアネットワークおよび通信トンネル経由でフェムトセルやそのアクセスノードへセキュアにリモートアクセスできるようになる。

また、本実施形態によれば、図６に示したように、フェムトセル２へのアクセス履歴の無い他の移動端末１ｂが広域無線ネットワーク経由で前記フェムトセル２へのアクセスを試みた場合は、セキュリティGW４において当該アクセスのパケットが破棄されてフェムトセル２には到達しないので、フェムトセル２への直接攻撃を防ぐことができ、またアクセス回線３の輻輳を防ぐことができる。さらに、広域基地局１１から他の端末１ｂが送信元IPアドレスを詐称した場合も、アクセスGW６で送信元IPアドレスの正当性を確認できるので、フェムトセル２へのアクセスを排除できる。

なお、広域基地局１１においてIPアドレス（IP#2）が失効した後、正規の移動端末１ａがフェムトセル２へアクセスすることなく再び広域基地局１１へアクセスすると、認証サーバ９は前述と同様にパスワードによるユーザ認証後、当該移動端末１ａを正規のユーザと認識して異なるIPアドレスを再割り当てする。

また、前記移動端末１ａが移動先から戻って前記フェムトセル２から前記IPアドレスIP#2で再び接続すると、その認証プロセスにおいて、認証サーバ９がこれを検知し、前記管理テーブルのアクセス状態フラグFaccをフェムトセルアクセス状態とし、前記セキュリティGW４に対して、当該移動端末１の通信許可テーブルを破棄させる。

さらに、前記認証サーバ９は、端末識別子が前記管理テーブルに既登録の移動端末１ａに関して、新たに認証した移動端末１（１ａ）の識別情報とそのIPアドレスまたはフェムトセルの識別子との関係が前記管理テーブルに既登録の内容と一致していないと、前記移動端末の１ａのIPアドレスまたはフェムトセルが変更、更新等されたものとして、前記管理テーブルに既登録の内容を前記新たに認証した内容に更新する。

なお、上記の実施形態では、認証サーバに管理テーブルを設けてセキュリティGW４へ通信許可要求を送出するものとして説明したが、本発明はこれのみに限定されるものではなく、認証サーバとは別に専用ノードを設け、当該専用ノードが前記認証サーバと連携してセキュリティGW４へ前記通信許可要求を送出するようにしても良い。

１（１ａ，１ｂ）…移動端末，２…フェムトセル，３…ブロードバンドアクセス回線，４…セキュリティGW，５…モバイルコアネットワーク，６…アクセスGW，７…広域無線ネットワーク，８…インターネット，９…認証サーバ，１０…IPSec，１１…広域基地局

Claims

フェムトセルからモバイルコアネットワークにアクセスした移動端末に対して、広域ネットワークから前記フェムトセルへのリモートアクセスを許可する移動体のリモートアクセス制御方法において、
前記モバイルコアネットワークが、前記フェムトセルのアクセス回線と接続されるセキュリティゲートウェイ、前記広域ネットワークと接続されるアクセスゲートウェイ、および前記移動端末を認証する認証サーバを備え、
前記フェムトセルとセキュリティゲートウェイとの間に仮想的な通信トンネルを確立し、
前記移動端末とフェムトセルとの間に無線リンクを確立し、
前記フェムトセルが、前記移動端末の識別子IDmおよび当該フェムトセルの識別子IDfの記述されたユーザ認証要求Req1(IDm，IDf)を前記通信トンネル経由で前記認証サーバへ送信し、
前記認証サーバが、前記移動端末およびフェムトセルの各識別子IDm，IDfならびにフェムトセル経由でのアクセス状態である旨のフラグを管理テーブルに登録してユーザ認証応答Rep1を返信し、
前記フェムトセルが、前記ユーザ認証応答Rep1を受信して前記移動端末にIPアドレスIP#1を割り当て、
前記移動端末が、前記広域ネットワーク経由で前記アクセスゲートウェイとの間に無線リンクを確立して自身の識別子IDmを通知し、
前記アクセスゲートウェイが、前記移動端末の識別子IDmが記述された認証要求Rep2(IDm)を前記認証サーバへ送信し、
前記認証サーバが、フェムトセルの識別子が記述されていない認証要求に記述された移動端末の識別子IDmが前記管理テーブルにおいてフェムトセルの識別子と対応付けられていると、当該移動端末に割り当てるIPアドレスIP#2の記述されたユーザ認証応答を前記アクセスゲートウェイに返信すると共に、前記セキュリティゲートウェイに対して、前記移動端末に割り当てたIPアドレスIP#2に関する通信許可要求を送信し、
前記セキュリティゲートウェイは、前記通信許可要求されたIPアドレスIP#2から前記フェムトセルへのリモートアクセスを許可することを特徴とする移動体システムのリモートアクセス制御方法。
前記認証サーバは、フェムトセル経由でのアクセスが検知された移動端末に関して、前記管理テーブルのアクセスフラグをリセットし、前記セキュリティゲートウェイに対して、当該移動端末の通過許可を解除させることを特徴とする請求項１に記載の移動体システムのリモートアクセス制御方法。
前記認証サーバは、識別子が前記管理テーブルに既登録の移動端末に関して、新たに認証した移動端末の識別情報とそのIPアドレスおよびフェムトセルの識別子との関係が前記管理テーブルに既登録の内容とで一致しないと、前記管理テーブルに既登録の内容を前記認証した移動端末の内容に更新することを特徴とする請求項１に記載の移動体システムのリモートアクセス制御方法。