JP2013182336A - 端末装置、同端末装置の動作方法及びプログラム - Google Patents

Abstract

【課題】単一の端末装置を認証クライアントとして機能させ、かつ認証リレーとしても機能させるようにする。
【解決手段】実施形態によれば、ネットワークアクセス認証のためにメッセージの認証クライアント処理をする第１の処理部と、ネットワークアクセス認証サーバと他の端末装置における認証クライアントとの間で通信されるメッセージの認証リレー処理をする第２の処理部と、前記ネットワークアクセス認証サーバまたは前記他の端末装置から受信したメッセージを前記第１の処理部により処理するか、前記第２の処理部により処理するかを決定する決定部と、を具備する端末装置を提供することができる。
【選択図】図５

Description

本発明の実施形態は、ネットワークアクセス認証を行う端末装置、同端末装置の動作方法及びプログラムに関する。

ネットワークアクセス認証において、ネットワーク側は正当な通信ノード（端末装置）のみをネットワークに接続させるために通信ノードの認証を行う。一方、通信ノード側は正当なネットワークにのみ接続するためにネットワークの認証を行う。

ＲＦＣ ６３４５は、認証クライアントと認証サーバの間の認証処理を仲介する認証リレーの仕様を定めている。

ＲＦＣ ６３４５ Ｐｒｏｔｏｃｏｌ ｆｏｒ Ｃａｒｒｙｉｎｇ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｏｒ Ｎｅｔｗｏｒｋ Ａｃｃｅｓｓ （ＰＡＮＡ） Ｒｅｌａｙ Ｅｌｅｍｅｎｔ ｈｔｔｐ：／／ｔｏｏｌｓ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ６３４５．ｔｘｔ

単一の通信ノード（端末装置）が認証クライアントとして機能し、かつ認証リレーとしても機能することが望ましい。このような通信ノードを、既存の通信仕様を変えることなく実現することへの要請がある。

実施形態によれば、ネットワークアクセス認証のためにメッセージの認証クライアント処理をする第１の処理部と、ネットワークアクセス認証サーバと他の端末装置における認証クライアントとの間で通信されるメッセージの認証リレー処理をする第２の処理部と、前記ネットワークアクセス認証サーバまたは前記他の端末装置から受信したメッセージを前記第１の処理部により処理するか、前記第２の処理部により処理するかを決定する決定部と、を具備する端末装置を提供することができる。

実施形態１のネットワーク構成図 ネットワークアクセス認証の一形態を示すメッセージシーケンス ネットワークアクセス認証の別の形態を示すメッセージシーケンス 受信メッセージの処理手順を示すフローチャート 通信ノードの構成図 実施形態２におけるネットワークアクセス認証のメッセージシーケンス 実施形態３における受信メッセージの処理手順を示すフローチャート 実施形態４における受信メッセージの処理手順を示すフローチャート 実施形態５における受信メッセージの処理手順を示すフローチャート

以下、実施の形態について、図面を参照して説明する。

（実施形態１）
図１は実施形態１のネットワーク構成図である。ネットワークアクセス認証サーバ（以下「認証サーバ」という）１０１および通信ノード１０２はネットワーク１０４に接続している。通信ノード１０３は通信ノード１０２を介してネットワーク１０４に接続している。ネットワーク１０４には図１に示していない通信ノードも接続している。通信ノード１０２がネットワーク１０４に接続する際には、認証サーバ１０１と通信ノード１０２の間でネットワークアクセス認証処理が実施される。ネットワークアクセス認証に成功しない限り、通信ノード１０２はネットワーク１０４に接続することはできない。

図２に、認証サーバ１０１と通信ノード１０２の間のネットワークアクセス認証処理のメッセージシーケンスを示す。はじめに通信ノード１０２が認証サーバ１０１に対して、認証開始メッセージ２０１を送信し、ネットワークアクセス認証処理を開始する。認証サーバ１０１は認証開始メッセージ２０１を受信すると、認証処理メッセージ２０２を通信ノード１０２に送信する。最後に、認証完了メッセージ２０３と認証完了メッセージ２０４をやりとして認証サーバ１０１と通信ノード１０２のネットワークアクセス認証処理が完了する。

通信ノード１０２と認証サーバ１０１では、認証状態をセッションとして管理する。セッションはネットワークアクセス認証処理の開始時に通信ノード１０２と認証サーバ１０１の間に確立されるもので、認証失敗や有効期限切れになるまで維持される。通信ノード１０２と認証サーバ１０１は、それぞれ、確立済みのセッションに関する情報としてセッション情報を管理する。セッション情報には、セッションを識別するためのセッション識別子、有効期限（ライフタイム）、認証クライアントおよび認証サーバのアドレス、セッション状態などが含まれる。セッション状態とは、認証開始メッセージを送信した直後、ネットワークアクセス認証中、ネットワークアクセス認証完了、ネットワークアクセス再認証中など、ネットワークアクセス処理にかかわる現在の状態を示すものである。セッション識別子は正の整数であり、値「０」も有効である。認証開始メッセージを受信した認証サーバはセッション識別子を決定し、直後の認証処理メッセージにより認証クライアントへセッション識別子を通知する。認証処理で使用するすべてのメッセージはどのセッションに対応するメッセージであるかを示すためにセッション識別子を持つ。

図２の認証開始メッセージ２０１の時点ではセッション識別子が確定していないため、認証開始メッセージ２０１のセッション識別子には０を設定して送信される。認証サーバ１０１は認証開始メッセージ２０１を受信すると、通信ノード１０２との間で確立するセッションのセッション識別子Ｘを決定する。そのため、認証処理メッセージ２０２は認証サーバ１０１が決定したセッション識別子Ｘを持つ。

このように、通信ノード１０２がネットワーク１０４に接続する際に、通信ノード１０２は認証クライアントとして動作する。これにより通信ノード１０２と認証サーバ１０１の間のネットワークアクセス認証処理が行われる。なお、ネットワークアクセス認証状態には有効期限があり、有効期限切れになる前に再認証処理を行うことがある。再認証処理の時も、通信ノード１０２は認証クライアントとして動作する。そのほか、通信ノード１０２が自身のセッションにかかわる通信をする場合には認証クライアントとして動作する。

通信ノード１０３が通信ノード１０２を介してネットワーク１０４に接続するためには、認証サーバ１０１と通信ノード１０３の間でネットワークアクセス認証処理を実施し、この認証に成功しなければならない。このとき、通信ノード１０２は認証リレーとして動作し、認証サーバ１０１と通信ノード１０３の間のメッセージを中継する。

図３に、認証サーバ１０１と通信ノード１０３の間のネットワークアクセス認証処理のメッセージシーケンスを示す。はじめに通信ノード１０３が通信ノード１０２に対して、認証開始メッセージ３０１を送信し、ネットワークアクセス認証処理を開始する。通信ノード１０２は受信した認証開始メッセージ３０１を含んだ認証リレーメッセージ３０２を生成し、認証サーバ１０１に送信する。認証リレーメッセージ３０２のセッション識別子は０である。認証サーバ１０１は認証リレーメッセージ３０２受信すると、この認証リレーメッセージ３０２から認証開始メッセージ３０１を取り出し、通信ノード１０３との間で確立するセッションのセッション識別子Ｙを決定する。そして、セッション識別子Ｙを持つ認証処理メッセージ３０４を含んだ認証リレーメッセージ３０３を通信ノード１０２に送信する。この認証リレーメッセージ３０３のセッション識別子は０である。通信ノード１０２は認証リレーメッセージ３０３を受信すると、認証リレーメッセージ３０３から認証処理メッセージ３０４を取り出し、認証処理メッセージ３０４を通信ノード１０３に送信する。最後に、認証完了メッセージ３０６と認証完了メッセージ３０７をやりとして認証サーバ１０１と通信ノード１０３のネットワークアクセス認証処理が完了する。図３を参照して説明したように、通信ノード１０２は認証リレーとして動作する。すなわち、通信ノード１０２は、通信ノード１０３から認証サーバ１０１へのメッセージ（３０１、３０７等）を通信ノード１０３の代わりに認証サーバ１０１へ送信し、認証サーバ１０１から通信ノード１０３へのメッセージ（３０４、３０６等）を認証サーバ１０１の代わりに通信ノード１０３へ送信する。

図４に、実施形態１における通信ノード１０２による受信メッセージの処理手順を示す。本実施形態において通信ノード１０２は、図２に示したように認証クライアントとして動作するか、図３に示したように認証リレーとして動作することができる。前者の動作は通信ノード１０２それ自身のネットワークアクセス認証に関係し、後者の動作は通信ノード１０２が認証リレーの対象とする別の通信ノード（この例では通信ノード１０３）のネットワークアクセス認証に関係する。いずれの動作においても、通信ノード１０２は認証サーバ１０１または認証リレー対象の他の通信ノードから受信したメッセージを適切に処理することが必要であり、図４はその一例を示している。まず通信ノード１０２がメッセージを受信すると（Ｓ４０１）、通信ノード１０２はこの受信メッセージを解析し（Ｓ４０２）、セッション識別子を抽出する。

そして、当該セッション識別子が通信ノード１０２と認証サーバ１０１との間のセッションに対応するものか否かを判定する（Ｓ４０３）。当該セッション識別子が通信ノード１０２と認証サーバ１０１との間のセッションに対応するならば、当該受信メッセージは自身すなわち通信ノード１０２のセッションに対するメッセージである。当該受信メッセージのセッション識別子が通信ノード１０２と認証サーバ１０１との間のセッションに対応するものでない場合には、さらに、通信ノード１０２が認証開始メッセージの送信直後の状態であるか否かを判定する（Ｓ４０４）。認証開始メッセージを送信した直後とは、図２の認証開始メッセージ２０１を送信してから、認証メッセージ２０２を受信するまでの間を示す。認証開始メッセージ送信直後の状態か否かは、通信ノード１０２それ自身が管理するセッション情報に含まれるセッション状態を参照することにより判定することができる。当該受信メッセージのセッション識別子が通信ノード１０２と認証サーバ１０１との間のセッションに対応するものでない場合であっても、通信ノード１０２が認証開始メッセージの送信直後の状態である場合には、Ｓ４０５に移る。

当該受信メッセージが通信ノード１０２自身のセッションに対するメッセージである場合、および通信ノード１０２自身のセッションに対するメッセージではないが認証開始メッセージ送信直後の状態である場合には、通信ノード１０２は認証クライアントとして当該受信メッセージの処理を行う（Ｓ４０５）。

一方、当該受信メッセージのセッション識別子が通信ノード１０２と認証サーバ１０１との間のセッションに対応するものでなく、かつ、通信ノード１０２のセッション状態が認証開始メッセージ送信直後ではない場合には、認証リレー処理に移る。

認証リレー処理では、まず認証リレーが可能であるか否かを判定する（Ｓ４０６）。認証リレーが可能な場合、当該受信メッセージが認証リレーメッセージであるか否かを判定する（Ｓ４０７）。認証開始メッセージや認証処理メッセージ、認証リレーメッセージなどのメッセージ種別を表す情報が各メッセージ中に含まれているため、通信ノード１０２は当該情報を参照することで、受信メッセージが認証リレーメッセージか否かを判定することができる。当該受信メッセージが認証リレーメッセージである場合には、認証リレーメッセージに含まれる認証処理メッセージなどを抽出し、通信ノード１０３に送信する（Ｓ４０８）。当該受信メッセージが認証リレーメッセージではない場合には、当該メッセージを含む認証リレーメッセージを生成し、認証サーバ１０１に送信する（Ｓ４０９）。

認証リレー可否、すなわち認証リレー機能の実行可否については、たとえば、通信ノード１０２のネットワークアクセス認証が成功し、セッション状態が接続許可になったときにのみ認証リレーの機能を有効にする、ということが考えられる。また、認証サーバ１０１のアドレスが不明の場合には認証リレーの機能を無効にするということも考えらえる。

ところで、セッション識別子が０であるメッセージとしては認証開始メッセージと認証リレーメッセージが想定される。また、認証サーバ１０１が認証クライアントとの間に確立したセッションのセッション識別子が０である場合、当該セッションに関する認証処理メッセージや認証完了メッセージなどもセッション識別子は０である。実施形態１において、通信ノード１０２と認証サーバ１０１の間で確立されたセッションのセッション識別子が０の場合を考えると、本来ならばＳ４０９で処理されるべき認証リレーメッセージが自身のセッションに対するメッセージであると判定されてＳ４０５で処理される場合が起こりうる。これは、通信ノード１０２が中継すべきメッセージを中継することなく、通信ノード１０２自身のメッセージとして受信処理することを意味する。

このような事態を避けるため、通信ノード１０２との間のセッションのセッション識別子として認証サーバ１０１がセッション識別子０を選択した場合、通信ノード１０２は当該セッションを破棄し、あらためて認証開始メッセージを送信してセッションを確立しなおすことが考えられる。本実施形態においては、この一連の処理を実施してもよいし、しなくてもよい。実施する場合には、この処理は認証クライアントとしての処理（Ｓ４０５）に含まれる。

図５に通信ノード１０２の構成を示す。通信ノード１０２は受信メッセージの処理方法を決定する決定部５０１と、認証クライアント処理をする第１の処理部５０２と、認証リレー処理をする第２の処理部５０３とを含む。受信メッセージの処理方法を決定する決定部５０１は主に図４に示したＳ４０２、Ｓ４０３、Ｓ４０４、Ｓ４０６の処理を行う。認証クライアント処理部５０２は主にＳ４０５の処理を行う。認証リレー処理部は主にＳ４０７、Ｓ４０８、Ｓ４０９の処理を行う。図５では図示省略しているが、通信ノードとして動作するのに必要なＣＰＵ、メモリ、通信インタフェース等のハードウェアや、オペレーティングシステム、通信スタックソフトウェア等のソフトウェアも含まれる。

以上で説明した実施形態は、当業者であれば、ネットワークアクセス認証プロトコルがＲＦＣ５１９１（ＰＡＮＡ）に準拠し、認証リレーの動作がＲＦＣ６３４５に準拠する実施形態とすることができる。なお、適用するプロトコルや通信方式はこれらに限定されない。これは、後述する実施形態２以降においても同様である。

以上で説明した実施形態によれば、単一の通信ノード（端末装置）が認証クライアントとして機能し、かつ認証リレーとしても機能することができ、ネットワークアクセス認証の過程で受信したメッセージを適切に処理することができる。また、このような通信ノードを、既存の通信仕様を変えることなく実現することができる。

（実施形態２）
実施形態２は通信ノード１０２のネットワークアクセス認証処理の形態が実施形態１および図２に示したものとは相違する。図６に、実施形態２における通信ノード１０２のネットワークアクセス認証のメッセージシーケンスを示す。実施形態１において通信ノード１０２は直接、認証サーバ１０１との間でネットワークアクセス認証処理を行うものであった。これに対し実施形態２の通信ノード１０２は、ネットワーク１０４に接続している認証リレー６１０を介して、認証サーバ１０１との間でネットワークアクセス認証処理を行う。

このようにネットワーク１０４に接続している認証リレー６１０を介してネットワークアクセス認証を行う通信ノード１０２においても、実施形態１と同様、認証クライアントとして機能し、かつ認証リレーとしても機能するように構成することができ、ネットワークアクセス認証の過程で受信したメッセージを適切に処理することができる。

（実施形態３）
実施形態３は、通信ノード１０２がメッセージを受信したとき、そのメッセージが認証リレーメッセージであるかをまず判定する点で実施形態１の図４に示した処理手順とは相違する。図７に実施形態３における通信ノード１０２の受信メッセージの処理手順を示す。

通信ノード１０２はメッセージを受信すると（Ｓ７０１）、この受信メッセージを解析し（Ｓ７０２）、これが認証リレーメッセージであるか否かを判定する（Ｓ７０３）。受信メッセージが認証リレーメッセージの場合、認証リレーが可能であるか否かを判定する（Ｓ７０４）。認証リレーが可能であるか否かは実施形態１で説明した方法で判定してもよい。認証リレーが可能である場合、認証リレーメッセージに含まれる認証処理メッセージなどを抽出し、通信ノード１０３に送信する（Ｓ７１０）。

受信メッセージが認証リレーメッセージではないことがＳ７０３において判定された場合、認証開始メッセージを送信した直後の状態であるか否かを判定する（Ｓ７０５）。また、受信メッセージのセッション識別子から、受信したメッセージが通信ノード１０２自身のセッションに対するメッセージであるか否かを判定する（Ｓ７０６）。認証開始メッセージを送信した直後の状態である場合、または受信メッセージが通信ノード１０２自身のセッションに対するメッセージである場合には、認証クライアントとしてのメッセージ処理を行う（Ｓ７０７）。

受信メッセージが通信ノード１０２自身のセッションに対するメッセージではない場合には、認証リレーが可能であるか否かを判定し（Ｓ７０８）、認証リレーが可能である場合には受信メッセージを含む認証リレーメッセージを生成して認証サーバ１０１へ送信する（Ｓ７０９）。

このような実施形態３は、受信メッセージが認証リレーメッセージであるかをまず判定して処理する点が実施形態１と相違するのみであり、実施形態１と同様の効果を奏することができる。

（実施形態４）
実施形態４は、通信ノード１０２がメッセージを受信したときの動作が上述した実施形態１（図４）とは相違する。

図８に、実施形態４における通信ノード１０２の受信メッセージの処理手順を示す。通信ノード１０２はメッセージを受信すると（Ｓ８０１）、この受信メッセージを解析し（Ｓ８０２）、これが認証リレーメッセージであるか否かを判定する（Ｓ８０３）。受信メッセージが認証リレーメッセージである場合、認証リレーメッセージに含まれる認証処理メッセージなどを抽出し、通信ノード１０３に送信する。

受信メッセージが認証リレーメッセージではない場合、通信ノード１０２は受信メッセージがネットワークの上流から送信されたものか、下流から送信されたものかを判定する（Ｓ８０５）。受信したメッセージが上流から送信されたもの、たとえば、ネットワーク１０４経由で送信されたものである場合には認証クライアントとしてのメッセージ処理を行う（Ｓ８０６）。なお、認証サーバ１０１に近づく方向の通信リンクを「上流」と称し、認証サーバ１０１から遠ざかる方向の通信リンクを「下流」と称する。

受信したメッセージが下流から送信されたもの、たとえば通信ノード１０３から送信されたものである場合には、認証リレーが可能であるか否かを判定し（Ｓ８０７）、認証リレーが可能である場合には受信メッセージを含む認証リレーメッセージを生成し、認証サーバ１０１へ送信する（Ｓ８０９）。認証リレーが可能であるか否かは実施形態１で説明した方法で判定してもよい。

Ｓ８０５において、受信メッセージが上流からのメッセージであるかどうかは、受信メッセージの宛先アドレスが異なる場合や、宛先ポート番号が異なる場合などに判別可能である。典型的には上流側のネットワークインタフェースと下流側のネットワークインタフェースが異なる場合にＳ８０５における判別が可能であるが、この限りではない。

（実施形態５）
実施形態５は、通信ノード１０２がメッセージを受信したときの動作が上述した実施形態１（図４）とは相違する。具体的には、実施形態５はセッション識別子が０以外かどうかを判定する処理を含む点で実施形態１とは異なる。図９に実施形態５における通信ノード１０２の受信メッセージの処理手順を示す。

メッセージを受信（Ｓ４０１）した通信ノード１０２は、認証開始メッセージ送信直後の状態であるかどうかを判定する（Ｓ９０１）。認証開始メッセージ送信直後であるか否かの判定は実施形態１に記載した方法で行ってもよい。認証開始メッセージ送信直後の場合には認証クライアントとしてのメッセージ処理を行う（Ｓ４０５）。

認証開始メッセージ送信直後でない場合、メッセージを解析し（Ｓ９０２）、セッション識別子が０以外かどうかを判定する（Ｓ９０３）。セッション識別子が０以外の場合、受信メッセージが通信ノード１０２自身のセッションに対するメッセージであるかどうかを判定する（Ｓ９０４）。その結果、受信メッセージが通信ノード１０２自身のセッションに対するメッセージの場合には、Ｓ４０５を実行する。

セッション識別子が０の場合や、受信メッセージが通信ノード１０２自身のセッションに対するメッセージではない場合には、Ｓ４０６以降の処理を行う。

以上説明した実施形態によれば、ネットワークアクセス認証に係る認証クライアントの機能と認証リレーの機能の両方を単一の通信ノード上で実現することができる。また、このような通信ノードを、既存の通信仕様を変えることなく実現することができる。

たとえば、多数のスマートメーターがコンセントレーターに接続しており、そのような多数のコンセントレーターが無線メッシュネットワークを構成しており、これらがバックホールネットワークを介して電力会社内システムのヘッドエンドに接続する構成において、ネットワークアクセス認証は、コンセントレーターが無線メッシュネットワークを構成するときや、スマートメーターが無線メッシュネットワークに接続するときに行われうる。この場合のコンセントレーターやスマートメーターに上述した実施形態を適用することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１０１…認証サーバ；１０２，１０３…通信ノード；１０４…ネットワーク；５０１…受信メッセージの処理方法の決定部；５０２…認証クライアント処理をする第１の処理部；５０３…認証リレー処理をする第２の処理部

Claims (5)

1. ネットワークアクセス認証のためにメッセージの認証クライアント処理をする第１の処理部と、
   ネットワークアクセス認証サーバと他の端末装置における認証クライアントとの間で通信されるメッセージの認証リレー処理をする第２の処理部と、
   前記ネットワークアクセス認証サーバまたは前記他の端末装置から受信したメッセージを前記第１の処理部により処理するか、前記第２の処理部により処理するかを決定する決定部と、を具備する端末装置。
2. 前記第１の処理部は、ネットワークアクセス認証の状態を示す情報を保持し、
   前記決定部は、前記情報と、前記ネットワークアクセス認証サーバまたは前記他の端末装置から受信したメッセージを解析した結果とに基づいて、当該メッセージを前記第１の処理部により処理するか、前記第２の処理部により処理するかを決定する請求項１に記載の装置。
3. 前記ネットワークアクセス認証のプロトコルが、ＲＦＣ５１９１に規定のプロトコルである請求項１または２に記載の装置。
4. 第１の処理部が、ネットワークアクセス認証のためにメッセージの認証クライアント処理をするステップと、
   第２の処理部が、ネットワークアクセス認証サーバと他の端末装置における認証クライアントとの間で通信されるメッセージの認証リレー処理をするステップと、
   決定部が、前記ネットワークアクセス認証サーバまたは前記他の端末装置から受信したメッセージを前記第１の処理部により処理するか、前記第２の処理部により処理するかを決定するステップと、を含む端末装置の動作方法。
5. コンピュータを、
   ネットワークアクセス認証のためにメッセージの認証クライアント処理をする第１の処理部、
   ネットワークアクセス認証サーバと他の端末装置における認証クライアントとの間で通信されるメッセージの認証リレー処理をする第２の処理部、
   前記ネットワークアクセス認証サーバまたは前記他の端末装置から受信したメッセージを前記第１の処理部により処理するか、前記第２の処理部により処理するかを決定する決定部、として機能させるためのプログラム。

Images