JP2013149096A - 無線ｌａｎのアクセスポイントの端末アクセス制御システム及び認可サーバ装置 - Google Patents

Abstract

【課題】 端末の属性情報、APの属性情報（接続条件）の組合せにより、端末のAP接続の認可を可能とし、また、端末の属性情報が、無線LAN事業者とAP設置者（個人や店舗など）が分割して保持する。
【解決手段】 本発明は、認証サーバと端末間の認証が成功したことを示す認証成功証明を含む接続可否判断要求をAPから取得し、接続可否判断要求に含まれる認証成功証明を端末属性情報要求として認証サーバに送信することにより携帯端末の属性情報を取得し、携帯端末の属性情報に基づいて、接続条件記憶手段を参照して、条件を満足するかを判定し、判定結果をAPに送出する。
【選択図】 図８

Description

本発明は、無線LAN（Local Area Network）のアクセスポイントのアクセス制御システム及び認可サーバ装置に係り、特に、携帯端末が無線LANのアクセスポイント（AP）に接続する際に、端末の認証とAP接続の認可を独立の機能、事業者で行うための無線LANのアクセスポイントの端末アクセス制御システム及び、端末のAP接続の認可をAP単位での接続条件により行うためにAPを偽装なく特定する認可サーバ装置に関する。

現在、端末がAPにアクセスしようとする場合、WiFi(登録商標)事業者サービスのＩＤやパスワードを用いる認証が広く行われている。

認証の例として、RADIUS(Remote Access Dial In User authentication Service)サーバを用いた無線LAN AP接続時の認証がある(例えば、非特許文献１参照)。図１にシステム構成を示す。同図に示すように、端末１０と、AP１１と、認証、認可要求を転送する機能を有し、固定事業者が具備するAAA(Authentication Authorization Accounting)プロキシ１２と、移動事業者が具備し端末のＩＤ，パス、または、証明書が格納されているAAAサーバ１３と、からなるシステムがある（例えば、非特許文献１参照）。AAAサーバ１３は、AP１１に対してUE（User Equipment）の接続可否を通知する。

図１に示すRADIUSサーバを用いたシステムの動作を説明する。

（1）端末１０がAP１１に接続され、端末１０のＩＤ，パスまたは、証明書をAP１１に送信する。

（2）AP１１は、AAAプロキシ１２に、端末ID、パスまたは、証明書を送信する。

（3）AAAプロキシ１２は、AAAサーバ１３に取得した端末ＩＤ、パスまたは証明書を送信する。

（4）AAAサーバ１３は、端末ＩＤとパスの関係を確認し、接続可否をＡＰ２０に設定すると共に、端末１０に通知する。

実際には、チャレンジ・レスポンスのやり取りなどで、端末１０とAAAサーバ１３間では複数のやり取りがなされる。

また、SAML(Security Assertion Markup Language)を用いてユーザにサービスを提供する方法がある（例えば、非特許文献２参照）。

図２にSAMLを用いたシステムの例を示す。同図に示すシステムは、ID管理者(以下、IdP: Id Provider)２０、サービス提供者(以下、SP: Service Provider)２１、ユーザ端末２２から構成され、IdP２０には、ユーザの認証情報(認証キー、暗号鍵等)が格納されている。SP２１は、IdP２０の認証結果を信用し、ユーザに対してサービスを提供する。

以下に、図２に示すシステムの動作を示す。

(1)(2)ユーザ端末２２は、IdP２０との間で認証処理を行う。

(3)(4)ユーザ端末２２がIdP２０に対して、あるSP２１のサービス要求を送信(リンク要求)すると、IdP２０は、ユーザ端末２２に対してリダイレクト通知と共に、Artifact(認証の成功を証明するメッセージ)を送信する。

(5)ユーザ端末２２は、SP２１対してArtifactを含むリソース要求を送出する。

(6)SP２１は、IdP２０に対してArtifactをキーにユーザの正当性を問い合わせる。

(7)SP２１は、ユーザ端末２２から認証結果及び属性情報(これをアサーションと呼ぶ)を取得する。

(8)SP２１は、アサーションに基づいてユーザ端末２２にサービスを提供する。

また、NBA(Nass Bundled Authentication)を用いて認証、認可を行う方法がある（例えば、非特許文献３参照）。図３にNBAを用いたシステムを示す。同図に示すシステムは、認証に用いるID(SIP(Session Initiation Protocol) URI)を保持し、SIPサーバ３２(電話サービスを提供するサーバ)に対して登録（SIP Register）を送信する端末３０、端末３０が送出したSIP Registerメッセージに回線情報(ルータ番号や物理的なスロット番号あるいは、L2、L3のアドレスなど)を付加してSIPサーバ３２に送出するルータ３１、SIP Registerメッセージの受信時に、端末３０の正当性を回線情報DB３３に問い合わせるSIPサーバ３２、端末３０のSIP URI、及び、ルータ３１に接続されている回線情報の対応関係を保持する回線情報DB３３から構成される。

以下に、図３の構成における動作を示す。

(1) 端末３０は、ルータ３１に対して、登録要求（SIP register）を送信する。この際、ルータ３１は、端末３０が接続されているアクセスラインの情報を取得する。

(2)ルータ３１、は、SIPサーバ３２に対して、回線情報を含む登録要求を送信する。

(3)SIPサーバ３２は、回線情報DB３３を参照して、IDと回線情報の関係を通知し、関係の正しさを確認する。

(4)(5)サーバ３２は、ルータ３１を経由して端末３０に対して認証結果を通知する。

認証サーバ+IEEE802.1xを使った大規模無線LAN構築方法 http://www.atmarkit.co.jp/fnetwork/tokusyuu/19wlan/0.1.html OASIS SAMLv2.0Technical Overview Sep. 2005. ETSI TISPAN TS 187 003 v3.4.1 "NGN Security; Security Architecture", 2011.

しかしながら、上記のRADIUSサーバを使った無線LAN AP接続時の認証では、認証、認可が分離できておらず、また、端末の接続場所を特定する機能がない。

また、SAMLを用いる技術も、端末の接続場所を特定する機能がない。

さらに、NBAを用いる技術は、認証、認可が分離できていない。

本発明は、上記の点に鑑みなされたもので、端末の属性情報、APの属性情報（接続条件）の組合せにより、端末のAP接続の認可を可能とし、また、プライバシーの観点から、端末の属性情報を、WiFi(登録商標)事業者とAP設置者（個人や店舗など）が分割して保持することが可能な無線LANのアクセスポイントの端末アクセス制御システム及び認可サーバ装置を提供することを目的とする。

本発明（請求項１）は、端末が無線LAN AP (Local Area Network Access Point)に接続する際に、該端末の認証とAP接続の認可を行う無線LANのアクセスポイントの端末アクセス制御システムであって、
無線LAN事業者ではない事業者が具備する認証サーバと、
無線LAN事業者が具備する認可サーバと、
前記端末、前記認証サーバ、前記認可サーバとの間で要求または通知を送受信するAPと、
を有し、
前記認証サーバは、
前記端末の属性情報を保持する属性情報記憶手段と、
前記端末からの認証要求を取得して前記端末の認証を行う認証手段と、
認証された前記端末の属性情報を前記属性情報記憶手段から取得して、前記認可サーバへ送出する属性情報送出手段と、
を有し、
前記APは、
前記端末からの認証要求を前記認証サーバに送信する認証要求転送手段と、
前記認証サーバと前記端末間との認証が成功すると、前記認可サーバに、認証成功証明及び回線情報を含む接続可否判断要求を送出し、該要求の判定結果を取得して前記端末に通知する接続可否判断要求手段と、
を有し、
前記認可サーバは、
回線情報から前記APを特定するための情報及び接続可能な端末の条件を格納した接続条件記憶手段と、
前記APの識別情報と接続可能な端末の条件のリストを格納する接続可能端末リスト記憶手段と、
前記接続可否判断要求を取得すると、該接続可否判断要求に含まれる回線情報に基づいて前記接続条件記憶手段を参照してAPに接続可能な接続条件を取得し、該接続条件に基づいて、前記接続可能端末リスト記憶手段を参照し、接続可能な端末の条件を取得し、該接続可能端末が前記認可サーバから取得した前記端末の属性情報に含まれるか否かによって前記APに対して接続可否を設定する接続可否判定手段と、を有することを特徴とする。

本発明（請求項２）は、端末が無線LAN APに接続する際に、該端末の認証とAP接続の認可を行う無線LANのアクセスポイントの端末アクセス制御システムであって、
無線LAN事業者ではない事業者が具備する認証サーバと、
無線LAN事業者が具備する認可サーバAと、
AP設置者が具備する、前記端末、前記認証サーバ、前記認可サーバとの間で要求または通知を送受信するAP、及び認可サーバBと、
を有し、
前記認証サーバは、
前記端末の属性情報を保持する属性情報記憶手段と、
前記端末からの認証要求を取得して認証を行う認証手段と、
認証された前記端末の属性情報を前記属性情報記憶手段から取得して、前記認可サーバAへ送出する属性情報送出手段と、
を有し、
前記APは、
前記端末からの認証要求を前記認証サーバに送信する認証要求転送手段と、
前記認証サーバと前記端末間との認証が成功すると、前記認可サーバAに、認証成功証明を含む接続可否判断要求を送出し、該要求の判定結果を取得して前記端末に通知する接続可否判断要求手段と、
を有し、
前記認可サーバAは、
回線情報から前記APを特定するための情報、前記接続可否判断要求を送出する認可サーバBの接続先を格納したAP情報記憶手段と、
前記APから取得した前記接続可否判断要求に含まれる認証成功証明を端末属性情報要求として前記認証サーバに送信することにより前記端末の属性情報を取得し、該接続可否判断要求に含まれる回線情報に基づいて、前記AP情報記憶手段に該回線情報がある場合は、該端末属性情報を接続可否判断要求として、前記AP情報記憶手段から取得した該APに対応する認可サーバBの接続先に送出し、該認可サーバBから判定結果を取得して、前記APに送出する要求処理手段と、
を有し、
前記認可サーバBは、
回線情報から前記APを特定するための情報及び接続可能な端末の条件を格納した接続条件記憶手段と、
前記APの識別情報と接続可能な端末の条件のリストを格納する接続可能端末リスト記憶手段と、
前記認可サーバAから前記接続可否判断要求を取得すると、該接続可否判断要求に含まれる端末属性情報に基づいて前記接続条件記憶手段を参照してAPに接続可能な端末の接続条件を取得し、該端末の接続条件に基づいて、前記接続可能端末リスト記憶手段を参照し、接続可能な端末の条件を取得し、該接続可能端末が該認可サーバから取得した前記端末属性情報に含まれるか否かによって接続可否を判定し、判定結果を該認可サーバAに送出する接続可否判定手段と、
を有することを特徴とする。

上記のように、本発明によれば、認証と認可を別々の機能、事業者で行う（認証を移動事業者が、認可を無線LAN(WiFi(登録商標))事業者が行うことを想定）際に、端末が接続されているAPを偽装されることなく正しく特定し、端末のAPへの接続を認可することが可能となる。

これにより、事業者間で課金管理を行うことが可能となる。また、接続認可をAP毎に行うことができるようになり、個人や私企業が管理しているAPをホットスポットとして開放して用いるユースケースを実現しやすくなる。

RADIUSサーバを使った無線LAN AP接続時の認証システムである。 SAMLによる認証・サービス提供システムである。 NBAによる認証システムである。 本発明のシステムにおける機能を示す図である。 従来の方式と本発明の差異を示す図である。 本発明の第１の実施の形態におけるシステム構成図である。 本発明の第１の実施の形態における認可サーバの構成図である。 本発明の第１の実施の形態における無線LAN接続端末の認証・接続可否判断処理のシーケンスである。 本発明の第２の実施の形態におけるシステム構成図である。 本発明の第２の実施の形態における認可サーバAの構成図である。 本発明の第２の実施の形態における無線LAN接続端末の認証・接続可否判断処理のシーケンスである。

以下、図面と共に本発明の実施の形態を説明する。

最初に、本明細書で使用する用語について説明する。

・端末の認証情報：携帯端末の認証に用いる、ID、暗号鍵の情報であり、認証サーバが管理している。

・端末属性情報：端末の電話番号、AP設置者（店舗など）が定義する、会員サービスクラス(ゴールド・シルバー・ブロンズなど)であり、認可サーバが管理している。なお、認可サーバを、WiFi(登録商標)の事業者とAP設置者でそれぞれ具備し、端末属性情報を分割して持つこともできる（詳細については、第２の実施の形態において説明する）。

・APの属性情報：APの回線情報（APのIDと回線IDの関係）、及び各APに接続を許可する端末のリストあるいは端末の属するサービスクラスである。

・APの接続条件：APのIDとAPに接続を許可する端末のリストあるいは端末の属するサービスクラスの関係である。

・APのID：APに具備されるカードに記された番号、あるいは、APの接続されている物理的な回線番号によって決まる番号である。

・会員クラスDB：AP設置者(店舗など)の定義する会員サービスクラスと、それに属する端末電話番号の関係を保持しているDBである。

本発明は、以下の機能配備と要求条件に基づいて実施される。

図４は、本発明のシステムの関係を示す。

認証機能は、ユーザ４の携帯端末の認証情報（ID・暗号鍵等)を管理し、端末の認証を行う機能を持つ。

認可機能は、AP毎の属性情報を保持している。また、ユーザ４の端末によるAP利用の認可（ユーザの属性情報と、APの属性情報の組合せによる接続条件により、APへの接続可否を決定すること）を行う。

AP設置者３の会員クラスDB(ファストフード店・喫茶店…等が保持)は、APの属性情報(APのIDと接続可能端末（または会員クラス）のリスト)を管理する。

なお、上記のAPの属性情報は、WiFi (登録商標)事業者２の認可機能とAP設置者３の認可機能との間で分担して持つことができる。

本発明では、以下処理を行う。

(１)携帯端末の認証情報を管理する機能(認証機能)と、AP等のリソース管理をする機能(認可機能)は、それぞれ別事業者が具備する可能性があるため、これらは機能分離を行う：
(２)APを識別し、AP毎に、端末の属性情報及びAPの属性情報に基づいて、端末によるAP接続の認可を行う：
図５は、従来の方式と本発明の差異を示す図である。

従来の3GPP WiFi(登録商標)接続認証方式を同図(A)に示し、本発明を同図（B）に示す。

従来の３GPP WiFi(登録商標)接続認証方式では、WiFi(登録商標)事業者AAAのプロキシから転送された認証・認可要求を、移動事業者の移動事業者AAAにおいて、一括で認証・認可して端末に通知している。

これに対し、本発明では、認証サーバ１００を移動事業者１、認可サーバ２００をWiFi(登録商標)事業者２でそれぞれ具備し、端末５００がAP４００に接続し（１）、端末５００から移動事業者の認証サーバに認証要求を送出し、端末５００と認証サーバ１００間で認証を行う（２）。AP４００からWiFi(登録商標)事業者AAAの認可サーバ２００に対して認可要求を行うと（３）、認可サーバ２００は、認証サーバ１００から取得した認証済みの端末の電話番号を取得し（４）、AP４００ごとの条件で認可を行う（５）。なお、図５（B）では省略するが、端末属性情報(電話番号等)をキーとして、AP設置者３からAP４００への接続条件を取得することが可能である。

認証サーバ１００は、端末４の認証を行い、認証が成功した場合には、認証成功を証明するメッセージを発行する。

上記の（５）において、認可サーバ２００は、回線情報によりAP４００を識別すると共に、端末５００の属性情報を認証サーバ１００から取得し、接続可否の判断（認可)を行う。

[第１の実施の形態]
図６は、本発明の第１の実施の形態におけるシステム構成を示す。

同図に示すシステムは、移動事業者１が具備する認証サーバ１００、WiFi(登録商標)事業者２が具備する認可サーバ２００、ルータ３００、AP設置者３が具備するAP４００、ユーザ４が具備する端末５００から構成される。

端末５００には、認証サーバ１００との間で認証に用いるための情報(例えば、ID、パス、証明書、SIM（Subscriber Identity Module）カードなど)が具備されている。

AP４００は、端末５００に代わって、認証サーバ１００に認証要求を送信する機能や、認可サーバ２００に対して接続可否判断要求を送信する機能を持っていてもよい。

ルータ３００には、回線情報(例えば、物理的なスロット番号、VLAN ID、IPアドレス等)をメッセージに付加する機能が具備されている。

認可サーバ２００は、WiFi(登録商標)事業者２が管理することを想定する。認可サーバ２００には、回線情報からAP４００を特定するための情報(例えば、物理的なスロット番号とAP４００との対応関係、VLAN IDとAP４００との対応関係、IPアドレスとAP４００の対応関係など)が内部のテーブルまたはデータベースとして具備されている。本実施の形態では、AP属性情報DB２１０に格納されているものとして説明する。また、認可サーバ２００には、AP４００毎に接続可能な端末の条件(例えば、端末電話番号や、端末ユーザの登録住所、年齢等)が内部のテーブルまたは、データベースとして具備されている。本実施の形態では、会員クラスDB２２０に格納されているものとして説明する。

認証サーバ１００は、移動通信事業者１が管理することを想定する。認証サーバ１００には、端末５００の認証に用いるための情報(ID及び秘密鍵など)が具備されている。

具体的な認可サーバ２００の構成を図７に示す。

認可サーバ２００は、回線情報から前記APを特定するための情報及び接続可能な端末の条件を格納したAP属性情報DB２１０、接続可能な端末の条件を格納する会員クラスDB２２０と、認証サーバ１００と端末５００間の認証が成功したことを示す認証成功証明を含む接続可否判断要求をAP４００から取得する接続可否判断要求取得部２３０と、接続可否判断要求に含まれる認証成功証明を端末属性情報要求として認証サーバ１００に送信し、当該認証サーバ１００から携帯端末の属性情報を取得する端末属性情報要求部２４０と、携帯端末５００の属性情報に基づいて、AP属性情報DB２１０と会員クラスDB２２０を参照して、条件を満足するかを判定し、判定結果をAP４００に送出する接続可否判定部２５０とを有する。

AP属性情報DB２１０と会員クラスDB２２０の例は、図８に示すとおりである。

上記の構成における動作を説明する。

図８は、本発明の第１の実施の形態における無線LAN接続端末の認証・接続可否判断処理のシーケンスチャートである。認証サーバ１００は、AP４００の属性情報を格納したAP属性情報DB２１０と接続可能な端末の条件を格納した会員クラスDB２２０を有する。AP属性情報DB２１０には、APのID毎に、APのIPアドレス(回線番号)、接続可能なユーザクラスが格納されている。また、会員クラスDB２２０には、接続可能な端末の条件として、WiFi(登録商標)事業者サービスの会員クラス（ブロンズ、シルバー、ゴールド）毎の電話番号が格納されている。

以下に示す括弧内の数字は図８の括弧内の数字は対応している。

＜認証処理＞
(１)端末５００がAP４００に対して端末IDとキーを送出することにより接続する。

(２)端末５００と認証サーバ１００間で、AP４００、ルータ３００を介して認証を行う。この認証は、例えば、端末ID、パスを使った認証（平文・チャレンジレスポンスなど）、証明書を使った認証、端末５００に具備されているSIMカードを用いた認証等が考えられる。

(３)認証サーバ１００は、認証が成功すると、端末５００に対して、認証成功を証明するメッセージを通知する。

＜接続可否判断＞
(４)携帯端末５００（あるいはAP４００）が接続可否判断要求（(３)の認証成功証明のメッセージを含む）を認可サーバ２００にルータ３００を介して送出する。

(５)ルータ３００は、接続可否判断要求を送出する際、当該メッセージにAP４００の接続されている回線の回線情報を付加する。当該回線情報は、例えば、物理的なルータのスロット番号やVLAN ID、IPアドレス等が考えられる。

(６) ルータ３００は、回線情報が付加された接続可否要求を認可サーバ２００に送出する。

(７)認可サーバ２００は、認証サーバ１００に対して、接続可否要求に含まれる認証成功証明を端末属性情報要求（Artifact）として送信する。

(８)認証サーバ１００は、端末属性情報要求に対する端末５００の属性情報として、当該端末５００の携帯電話番号等を認可サーバ２００に返却する。

(９) 認可サーバ２００は、上記(５)により接続可否判断要求に付加されたAP４００の接続されている回線の回線情報をキーに、AP属性情報DB２１０を参照し、当該AP４００に接続可能なユーザクラス(接続条件1)を取得する。また、認可サーバ２００は、このユーザクラスをキーに、会員クラスDB２２０を参照し、当該会員クラスに含まれる端末の属性情報（接続条件２)に、上記(８)において取得した端末５００の属性情報が含まれるか否かによって、AP４００に対して接続可否を設定する。なお、この接続条件２は、例えばある会員クラスに含まれるユーザの電話番号など、認証サーバ１００から得る端末属性情報を用いて識別できる情報であればよい。図７の例では、電話番号が『090-1234-5674』である端末が接続を行うケースを示す。認可サーバ２００がAPのIDとして"10001"を取得した場合には、AP属性情報DB２１０から"AP10001"に接続可能なユーザクラス（接続条件１)として『ゴールド』を抽出する。またさらに、認可サーバは会員クラスDB２２０を参照し、『ゴールド』会員クラスに対応する電話番号のリスト中に、(８)において認証サーバ１００から取得した携帯端末の電話番号『090-1234-5674』が含まれる事を確認し、AP400への接続可否を、可に設定する。

(１０)認可サーバ２００は、この接続可否の判定結果をAP４００に通知する。

(１１)AP４００は、この接続可否の判定を端末５００に通知する。

なお、認証サーバ１００に対する認証要求及び認可サーバ２００に対する接続可否判断要求は、端末５００が送受信しても、AP４００が送受信してもよい。

本実施の形態により、端末５００のAP４００への接続の認可を可能にする。

[第２の実施の形態]
図９は、本発明の第２の実施の形態におけるシステム構成を示す。同図において図６と同一構成部分には、同一符号を付し、その説明を省略する。本実施の形態では、AP設置者３がAP４００に加えて、WiFi(登録商標)事業者２が具備する認可サーバA２００とは異なる認可サーバB４５０を有するシステムについて説明する。本実施の形態は、AP設置者３が具備するAP４００毎に認可判断を委ねるモデルを示す。

端末５００は、認証サーバ１００との間で認証に用いるための情報(例えば、ID・パス、証明書、SIMカードなど)が具備されている。

AP４００は、端末５００に代わって認証サーバ１００に認証要求を送信する機能や、認証サーバ１００に対して接続可否判断要求を送信する機能を持っていてもよい。

ルータ３００には、回線情報(例えば、物理的なスロット番号、VLAN ID、IPアドレス等)をメッセージに付加する機能が具備されている。

認証サーバ１００は、移動通信事業者１が管理することを想定する。認証サーバ１００には、端末５００の認証に用いるための情報(端末ID及び秘密鍵など)が具備されている。

認可サーバA２００は、WiFi(登録商標)事業者２が管理することを想定する。認可サーバA２００には、回線情報からAPを特定するための情報（例えば、物理的なスロット番号とAPの対応関係、VLAN IDとAPの対応関係、IPアドレスとAPの対応関係など)、及び、接続可否判断要求を送出する先の認可サーバB４５０のIDが内部テーブルまたはデータベースとして具備されている。

具体的な認可サーバA２００の構成を図１０に示す。

認可サーバA２００は、回線情報から前記APを特定するための情報、接続可否判断要求を送出するAP設置者３が具備する認可サーバの接続先を格納したAP情報DB２６０と、AP４００から接続可否判断要求を取得する手接続可否判断要求取得部２３０と、接続可否判断要求に含まれる、携帯端末５００と認証サーバ１００間の認証成功証明を端末属性情報要求として認証サーバ１００に送信することにより携帯端末５００の属性情報を取得する端末属性情報要求部２４０と、接続可否判断要求に含まれる回線情報に基づいて、AP情報DB２６０に該回線情報がある場合は、当該APに対応する認可サーバB４５０の接続先を当該DB２６０から検索し、端末属性情報を当該接続先の認可サーバB４５０に送出することにより、判定結果を取得して、AP４００に送出する要求処理部２７０を有する。

AP情報DB２６０は図１１に示すように、APのID毎に、APのIPアドレス（回線番号）、認可サーバB４５０のIDを保持する。

認可サーバB４５０は、私企業が管理することを想定する。認可サーバB４５０は、例えば、携帯端末５００の電話番号と、AP設置者３が設定する会員クラスの対応を保持するAP属性情報DB４６０と、AP設置者３が設定する会員クラスと、当該会員クラスのユーザが利用可能なAPのIDの対応を保持する会員クラスDB４７０を有する。

図１１は、本発明の第２の実施の形態における無線LAN接続端末の認証・接続可否判断処理のシーケンスチャートである。

同図において、認可サーバA２００は、APのIDに対応するAPのIPアドレス（回線番号）を保持するAP情報DB２１０を有する。また、認可サーバB４５０は、AP４００のID毎に接続可能なユーザクラスを保持するAP属性情報DB４６０と、接続可能な端末の条件として、会員クラス毎に電話番号を保持する会員クラスDB４７０を有する。

＜認証処理＞
以下に示す括弧内の数字は図１１の括弧内の数字は対応している。

(１)端末５００がAP４００に対して端末IDとキーを送出することにより接続する。

(２)端末５００と認証サーバ１００間で、AP４００、ルータ３００を介して認証を行う。この認証は、例えば、端末ID、passを使った認証（平文・チャレンジレスポンスなど）、証明書を使った認証、端末５００に具備されているSIMカードを用いた認証等が考えられる。

(３)認証サーバ１００は、認証が成功すると、端末５００に対して、認証成功を証明するメッセージを通知する。

＜接続可否判断処理＞
(４)携帯端末５００（あるいはAP４００）が接続可否判断要求（（３）の認証成功証明のメッセージを含む）を認可サーバA２００にルータ３００を介して送出する。

(５)ルータ３００は、端末５００からのメッセージを中継する。このとき、AP４００の接続されている回線の回線情報を付加する。当該回線情報は、例えば、物理的なルータのスロット番号やVLAN ID、IPアドレス等が考えられる。

(６)ルータ３００は、認可サーバA２００に接続可否判断要求（Artifact、回線情報)を転送する。

(７)認可サーバA２００は、認証サーバ１００に対して、接続可否要求に含まれる認証成功証明を端末属性情報要求（Artifact）として送信する。

(８)認証サーバ１００は、認可サーバA２００に属性情報を送信する。当該属性情報は、例えば、端末５００の携帯電話番号等が考えられる。

(９)認可サーバA２００は、認証サーバ１００から取得した端末属性情報を取得すると、当該端末属性情報(例えば、端末の携帯電話番号等)をキーにして、AP情報DB２６０を検索し、接続先可否判断要求を転送する認可サーバB４５０を検索し、当該認可サーバB４５０に接続可否判断要求を送出する。

(１０)接続先可否判断要求を受信した認可サーバB４５０は、当該接続先可否判断要求に付加されたAP４００の接続されている回線の回線情報をキーに、AP属性情報DB４６０を参照し、当該APに接続可能なユーザクラス（接続条件１）を取得する。また、認可サーバB４５０は、このユーザクラスをキーに、会員クラスDB４７０を参照し、当該会員クラスに含まれる端末の属性情報（接続条件２）に、上記の（８）において取得した端末５００の属性情報が含まれるか否かによって、接続可否を決定し、認可サーバA２００に送出する。なお、この接続条件２は、例えば、ある会員クラスに含まれるユーザの電話番号等、認証サーバ１００から得る端末属性情報を用いて識別できる情報であればよい。

(１１)認可サーバA２００は、AP設置者３の認可サーバB４５０からの接続可否の応答に応じて、AP４００に対して接続可否をルータ３００を介して通知する。

(１２)AP４００は、この接続可否の判定結果を端末５００に通知する。

なお、認証サーバ１００に対する認証要求及び認可サーバA２００に対する接続可否判断要求は、端末５００が送受信しても、AP４００が送受信してもよい。

本実施の形態により、端末の属性情報をWiFi(登録商標)事業者とAP設定者が分離して保持することが可能となる。

上記のように、本発明は、認証処理と認可処理を分離するものであり、APごとのアクセス制御を実現するためには認可サーバA２００がAP４００を識別する必要がある。そのため、本発明では、端末５００が接続しているAP４００の特定にNBA（非特許文献３）を用いる。その際に、端末５００がそのAP４００を介して接続要求を送信することにより認可サーバA２００が確認することが可能となる。これにより、ある端末５００が、確かに特定のAP４００から接続されていることを保証し、端末５００の属性情報とAP４００の属性情報を認可サーバA２００が取得し、組合せて認可を行うことが可能となる。

なお、上記の図６、図９に示す、認証サーバ１００、認可サーバA２００、認可サーバB４５０、ルータ３００、AP４００、携帯端末５００の動作をプログラムとして構築し、これらの各構成要素として利用されるコンピュータにインストールして実行させる、または、ネットワークを介して流通させることが可能である。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において種々変更・応用が可能である。

１ 移動事業者
２ WiFi(登録商標)事業者
３ AP設置者
４ ユーザ
１００ 認証サーバ
２００ 認可サーバ、認可サーバA
２１０ AP属性情報DB
２２０ 会員クラスDB
２３０ 接続可否判断要求取得部
２４０ 端末属性情報要求部
２６０ AP情報DB
２７０ 要求処理部
３００ ルータ
４００ AP(アクセスポイント)
４５０ 認可サーバB
４６０ AP属性情報DB
４７０ 会員クラスDB
５００ 携帯端末

Claims (4)

1. 端末が無線LAN AP (Local Area Network Access Point)に接続する際に、該端末の認証とAP接続の認可を行う無線LANのアクセスポイントの端末アクセス制御システムであって、
   無線LAN事業者ではない事業者が具備する認証サーバと、
   無線LAN事業者が具備する認可サーバと、
   前記端末、前記認証サーバ、前記認可サーバとの間で要求または通知を送受信するAPと、
   を有し、
   前記認証サーバは、
   前記端末の属性情報を保持する属性情報記憶手段と、
   前記端末からの認証要求を取得して前記端末の認証を行う認証手段と、
   認証された前記端末の属性情報を前記属性情報記憶手段から取得して、前記認可サーバへ送出する属性情報送出手段と、
   を有し、
   前記APは、
   前記端末からの認証要求を前記認証サーバに送信する認証要求転送手段と、
   前記認証サーバと前記端末間との認証が成功すると、前記認可サーバに、認証成功証明及び回線情報を含む接続可否判断要求を送出し、該要求の判定結果を取得して前記端末に通知する接続可否判断要求手段と、
   を有し、
   前記認可サーバは、
   回線情報から前記APを特定するための情報及び接続可能な端末の条件を格納した接続条件記憶手段と、
   前記APの識別情報と接続可能な端末の条件のリストを格納する接続可能端末リスト記憶手段と、
   前記接続可否判断要求を取得すると、該接続可否判断要求に含まれる回線情報に基づいて前記接続条件記憶手段を参照してAPに接続可能な接続条件を取得し、該接続条件に基づいて、前記接続可能端末リスト記憶手段を参照し、接続可能な端末の条件を取得し、該接続可能端末が前記認可サーバから取得した前記端末の属性情報に含まれるか否かによって前記APに対して接続可否を設定する接続可否判定手段と、
   を有することを特徴とする無線LANのアクセスポイントの端末アクセス制御システム。
2. 端末が無線LAN APに接続する際に、該端末の認証とAP接続の認可を行う無線LANのアクセスポイントの端末アクセス制御システムであって、
   無線LAN事業者ではない事業者が具備する認証サーバと、
   無線LAN事業者が具備する認可サーバAと、
   AP設置者が具備する、前記端末、前記認証サーバ、前記認可サーバとの間で要求または通知を送受信するAP、及び認可サーバBと、
   を有し、
   前記認証サーバは、
   前記端末の属性情報を保持する属性情報記憶手段と、
   前記端末からの認証要求を取得して認証を行う認証手段と、
   認証された前記端末の属性情報を前記属性情報記憶手段から取得して、前記認可サーバAへ送出する属性情報送出手段と、
   を有し、
   前記APは、
   前記端末からの認証要求を前記認証サーバに送信する認証要求転送手段と、
   前記認証サーバと前記端末間との認証が成功すると、前記認可サーバAに、認証成功証明を含む接続可否判断要求を送出し、該要求の判定結果を取得して前記端末に通知する接続可否判断要求手段と、
   を有し、
   前記認可サーバAは、
   回線情報から前記APを特定するための情報、前記接続可否判断要求を送出する認可サーバBの接続先を格納したAP情報記憶手段と、
   前記APから取得した前記接続可否判断要求に含まれる認証成功証明を端末属性情報要求として前記認証サーバに送信することにより前記端末の属性情報を取得し、該接続可否判断要求に含まれる回線情報に基づいて、前記AP情報記憶手段に該回線情報がある場合は、該端末属性情報を接続可否判断要求として、前記AP情報記憶手段から取得した該APに対応する認可サーバBの接続先に送出し、該認可サーバBから判定結果を取得して、前記APに送出する要求処理手段と、
   を有し、
   前記認可サーバBは、
   回線情報から前記APを特定するための情報及び接続可能な端末の条件を格納した接続条件記憶手段と、
   前記APの識別情報と接続可能な端末の条件のリストを格納する接続可能端末リスト記憶手段と、
   前記認可サーバAから前記接続可否判断要求を取得すると、該接続可否判断要求に含まれる端末属性情報に基づいて前記接続条件記憶手段を参照してAPに接続可能な端末の接続条件を取得し、該端末の接続条件に基づいて、前記接続可能端末リスト記憶手段を参照し、接続可能な端末の条件を取得し、該接続可能端末が該認可サーバから取得した前記端末属性情報に含まれるか否かによって接続可否を判定し、判定結果を該認可サーバAに送出する接続可否判定手段と、
   を有することを特徴とする無線LANのアクセスポイントの端末アクセス制御システム。
3. 端末が無線LAN APに接続する際に、該端末の認証とAP接続の認可を行う、無線LAN事業者が具備する認可サーバであって、
   無線LAN事業者ではない事業者が具備する認証サーバと、
   APと、からなるシステムにおいて、
   回線情報から前記APを特定するための情報及び接続可能な端末の条件を格納した接続条件記憶手段と、
   前記APの識別情報と接続可能な端末の条件のリストを格納する接続可能端末リスト記憶手段と、
   前記接続可否判断要求を取得すると、該接続可否判断要求に含まれる回線情報に基づいて前記接続条件記憶手段を参照してAPに接続可能な接続条件を取得し、該第1の接続条件に基づいて、前記接続可能端末リスト記憶手段を参照し、接続可能な端末の条件を取得し、該接続可能端末が前記認可サーバから取得した前記端末の属性情報に含まれるか否かによって前記APに対して接続可否を設定する接続可否判定手段と、
   を有することを特徴とする認可サーバ。
4. 端末が無線LAN APに接続する際に、該端末の認証とAP接続の認可を行う、無線LAN事業者が具備する認可サーバであって、
   無線LAN事業者ではない事業者が具備する認証サーバと、
   APと、
   回線情報から前記APを特定するための情報及び接続可能な端末の条件を格納した接続条件記憶手段と、前記APの識別情報と接続可能端末のリストを格納する接続可能端末リスト記憶手段とを用いて、接続可否判断を行う、AP設置者が具備する認可サーバと、
   を有するシステムにおいて、
   回線情報から前記APを特定するための情報、接続可否判断要求を送出するAP設置者が具備する認可サーバの接続先を格納したAP情報記憶手段と、
   前記APから接続可否判断要求を取得する手段と、
   前記接続可否判断要求に含まれる、前記端末と前記認証サーバ間の認証成功証明を端末属性情報要求として前記認証サーバに送信することにより前記端末の属性情報を取得する手段と、
   前記接続可否判断要求に含まれる回線情報に基づいて、前記AP情報記憶手段に該回線情報がある場合は、前記端末属性情報を、該AP情報記憶手段から取得したAPに対応するAP設置者が具備する認可サーバの接続先に送出し、該AP設置者が具備する認可サーバから接続可否の判定結果を取得して、前記APに送出する要求処理手段と、
   を有することを特徴とする認可サーバ。

Images