JP2014110462A - 認証装置およびその方法、ならびにコンピュータプログラム - Google Patents

Abstract

【課題】通信装置の接続形態に応じて当該通信装置のネットワークアクセス認証を行う。
【解決手段】本発明の一態様としての認証装置は、通信部と、検証部と、接続形態確認部とを備える。前記通信部は、第１の通信装置のネットワークアクセス認証を受け付け、前記第１の通信装置のアドレスと０個以上の認証リレーのアドレスとを含むメッセージを受信する。前記検証部は、前記通信部によるメッセージの受信に応じて、前記第１の通信装置の真正性を検証する。前記接続形態確認部は、前記メッセージに含まれる前記第１の通信装置のアドレスまたは前記０個以上の認証リレーのアドレスに基づき、前記第１の通信装置が接続を試みている接続先である第１接続先を特定し、前記第１接続先への接続を許可するかを決定する。
【選択図】図５

Description

本発明の実施形態は、ネットワークアクセス認証を行う認証装置およびその方法、ならびにコンピュータプログラムに関する。

従来、認証サーバが、認証クライアントからネットワークアクセス認証の要求を受け、ネットワークアクセス認証処理を行う方法が知られている。従来の方法で、認証クライアントの接続形態に応じたネットワークアクセス認証処理を行うことができない問題があった。すなわち、認証クライアントがどの認証リレーまたはネットワークに接続するのかを考慮して、接続可否を判断できなかった。

たとえば、認証クライアントがHEMS（Home Energy Management System）であり、認証リレーがスマートメーターである場合を想定する。この場合、ある家庭のHEMSは、同じ家庭のスマートメーターに接続するのは許可するが、他の家庭のスマートメーターに接続されるのは防ぎたい。無線の場合、ある家庭のHEMSが、別の家庭のスマートメーターに接続しようとする動作が発生することも当然に考えられる。家庭ごとに固有のパスワードをHEMSとスマートメーターに設定し、これを利用して認証処理を行うことが考えられるが、ユーザがパスワードの設定を行うのは煩雑である。一方、柔軟なネットワーク構成のために、スマートメーター間ではどの相手とも自由に接続できることが望まれる場合もあり得る。

RFC 6345 Protocol for Carrying Authentication for Network Access (PANA) Relay Element http://tools.ietf.org/rfc/rfc6345.txt

本発明の一側面は、通信装置の接続形態に応じて当該通信装置のネットワークアクセス認証を行うことを目的とする。

本発明の一態様としての認証装置は、通信部と、検証部と、接続形態確認部とを備える。

前記通信部は、第１の通信装置のネットワークアクセス認証を受け付け、前記第１の通信装置のアドレスと０個以上の認証リレーのアドレスとを含むメッセージを受信する。

前記検証部は、前記通信部によるメッセージの受信に応じて、前記第１の通信装置の真正性を検証する。

前記接続形態確認部は、前記メッセージに含まれる前記第１の通信装置のアドレスまたは前記０個以上の認証リレーのアドレスに基づき、前記第１の通信装置が接続を試みている接続先である第１接続先を特定し、前記第１接続先への接続を許可するかを決定する。

実施形態1に係る認証サーバを備えたネットワーク構成を示す図。 通信ノードのネットワークアクセス認証のメッセージシーケンスの例を示す図。 通信ノードのネットワークアクセス認証のメッセージシーケンスの例を示す図。 認証リレーメッセージの例を示す図。 実施形態1に係る認証サーバの構成図。 実施形態1に係る認証サーバの処理の流れを示すフローチャート。 実施形態2のネットワーク構成図。 実施形態4のネットワーク構成図。 入れ子状態の認証リレーメッセージの例を示す図。

以下、図面を参照しながら、本発明の実施形態について説明する。

実施形態１

図1に実施形態1に係る認証サーバを備えたネットワーク構成を示す。

ネットワーク111には、認証サーバ101と通信ノード102が接続されている。通信ノード102はネットワーク112に接続されており、ネットワーク112を管理する。また、ネットワーク112には通信ノード103、通信ノード105が接続され、通信ノード103には通信ノード104が接続される。ネットワーク112に接続されている通信ノード（ここでは通信ノード103、105）は、ネットワーク112内の通信ノードや、通信ノード102や認証サーバ101などと、直接通信可能である。通信ノード104は通信ノード103とのみ通信でき、通信ノード105や、ネットワーク112に接続するその他の通信ノードなどとは通信できないものとする。通信ノードの具体例として、通信ノード102がコンセントレータ、通信ノード103、105が異なる家庭のスマートメーター、通信ノード104が、通信ノード103と同じ家庭のHEMSであることが考えられる。図における破線は、無線接続を表しており、実線は有線接続を表している。ただし、図における無線および有線の接続形態は一例であり、本実施形態はこれに制限されない。

ネットワーク111やネットワーク112を攻撃者から保護するためにはネットワークアクセス認証が必要である。すなわち、ネットワーク111およびネットワーク112、またネットワーク112に接続する通信ノードに接続するためには、それぞれの接続の前に、認証サーバ101との間で、ネットワークアクセス認証を行わなければならない。本実施形態ではネットワークアクセス認証を通して、図1に示すネットワークを構成する方法について述べる。

ネットワーク111およびネットワーク112は、図1に示していない通信ノードから構成されるが、本実施形態に直接関係がないため省略する。ネットワーク111やネットワーク112、認証サーバ101や各通信ノードが使用する通信方式は、イーサネットや電力線搬送通信などの有線接続による通信や、無線LANや特定小電力無線などの無線接続による通信、またはそれらの組み合わせなど、どのような方式でもよい。また、典型な構成では、ネットワーク111とネットワーク112の両方に接続する通信ノード102が、ネットワーク112のコンセントレータや基地局、ゲートウェイのような役割を果たし、ネットワーク112の構築、管理、維持などを行う。

図2に通信ノード102のネットワークアクセス認証のメッセージシーケンスを示す。

通信ノード102は、ネットワークアクセス認証前にはネットワーク111を介して認証サーバ101とネットワークアクセス認証に関する通信のみ可能である。はじめに、通信ノード102は、認証サーバ101へ認証開始メッセージ201を送信する(S11)。認証サーバ101は認証開始メッセージ201を受信すると、認証処理メッセージ202を通信ノード102に送信する（S12）。これら、認証処理メッセージを複数回やり取りした後、最後に、認証サーバ101が認証完了メッセージ203を送信し（S13）、通信ノード102が認証完了メッセージ204を送信する（S14）。これにより、ネットワークアクセス認証処理を完了する。この後、通信ノード102は、認証サーバ101からネットワークアクセス認証の成功の通知を受けることで、ネットワーク111への接続が完了する。ネットワーク111への接続が完了した通信ノード102は、自身が管理するネットワーク112を構成する。

図3に通信ノード103のネットワークアクセス認証のメッセージシーケンスを示す。

通信ノード103は、ネットワーク112への接続前は認証サーバ101と直接通信できないため、通信ノード103はすでにネットワーク112に接続している通信ノードを認証リレーとして利用することで、認証サーバ101との間でネットワークアクセス認証を行う。なお、ネットワークアクセス認証中の通信ノード103の動作は、ネットワークアクセス認証中の通信ノード102の動作と基本的に同様である。

ネットワーク112に接続済みの通信ノードである認証リレーは、通信ノード103からネットワークアクセス認証の認証開始メッセージ301を受信し（S21）、これから認証リレーメッセージ302を組み立てて、認証リレーメッセージ302を認証サーバ101に送信する（S22）。

図4に認証リレーメッセージの構成を示す。認証リレーメッセージは通信ノード103および認証サーバ101の双方間で送受信される。認証リレーメッセージは、通信ノード103が送信したネットワークアクセス認証のメッセージ、または通信ノード103が受信するネットワークアクセス認証のメッセージを含む。また認証リレーメッセージは、通信ノード103のアドレス情報と、ヘッダとを含む。認証リレーから認証サーバ101へ送信する認証リレーメッセージのヘッダ内の送信元アドレスは、当該認証リレーのアドレスになる。

認証リレーは、認証サーバ101から認証リレーメッセージ303を受信する（S23）。認証リレーは、認証リレーメッセージ303から通信ノード103宛のネットワークアクセス認証メッセージを取り出し、通信ノード103へ、認証メッセージを含む認証処理メッセージ304を送信する（S24）。このように、認証リレーを使うことで、通信ノード103が認証サーバ101と直接通信することなく、ネットワークアクセス認証ができる。

ここで、認証リレーとして利用する通信ノードはネットワーク112への接続が完了していればよいため、通信ノード102を認証リレーとしてもよいし、図1に示されていないネットワーク112中の通信ノードを認証リレーとしてもよい。通信ノード103が認証リレーとして利用する通信ノードを発見する方法は、任意の方法を用いることができる。たとえば、ブロードキャストメッセージやマルチキャストメッセージを用いて認証リレーとして利用可能な通信ノードを探索する方法でもよい。あるいは、ネットワーク112に接続している通信ノードが送信するビーコンなどを用いた方法でもよい。その他の方法でもよい。

認証サーバ101は、認証完了メッセージを含む認証リレーメッセージ305を認証リレーに送信する（S25）。認証リレーは、認証リレーメッセージ305から認証完了メッセージを取り出し、認証完了メッセージ306を通信ノード103に送信する（S26）。通信ノード103が認証リレーに認証完了メッセージ307を送信する（S27）。認証リレーは、認証完了メッセージ307から認証リレーメッセージ308を組み立て、認証リレーメッセージ308を認証サーバ101に送信する（S28）。これにより、ネットワークアクセス認証処理が完了する。

通信ノード103は、認証サーバ101からのネットワークアクセス認証の成功の通知を受けると、ネットワーク112に接続できるようになる。これ以降、通信ノード103はネットワーク112内の通信ノードとネットワークアクセス認証以外のメッセージのやり取りができるようになり、通信ノード102や認証サーバ101とも直接通信できるようになる。

通信ノード105のネットワークアクセス認証は、通信ノード103と同様である。

通信ノード104のネットワークアクセス認証も、ネットワーク103と同様である。通信ノード104は、通信ノード103を認証リレーとして利用し、認証サーバ101からネットワークアクセス認証の成功の通知を受けると、通信ノード103に接続できるようになる。これ以降、通信ノード104は通信ノード103とネットワークアクセス認証以外のメッセージのやり取りができる。

しかし、通信ノード104が通信ノード105を認証リレーとして利用した場合、認証サーバ101は、ネットワークアクセス認証の失敗を通信ノード104に通知する。これは、接続形態制御テーブル（後述）に通信サーバ104の接続可能な接続先として通信ノード105が登録されていないためである。認証サーバ101が通信ノードに通知する失敗は、認証そのものの失敗（Authentication Rejected）と接続拒否（Authorization Rejected）の2種類ある。本実施形態では通信ノード104が通信ノード105を認証リレーとして利用した場合、通信ノード104の真正性の検証は認証サーバ101で成功するが、接続は拒否される。認証サーバ101は接続拒否によるネットワークアクセス認証失敗を通信ノード104へ通知する。

このように、ネットワークアクセス認証処理において、認証サーバ101は通信ノードの真正性を検証するだけでなく、通信ノードが接続しようとしているネットワークや通信ノードなど、通信ノードの接続形態も考慮してネットワークアクセス認証の成否を判定する。

図5に認証サーバ101の構成図を示す。

認証サーバ101は通信部11、ネットワークアクセス認証部12、認証テーブル15、接続形態制御テーブル14、アドレス管理テーブル13を備える。ネットワークアクセス認証部12は、通信ノード検証部21、接続形態確認部22、通信ノードアドレス管理部23を備える。

通信部11は、ネットワーク111を介して、通信ノードや認証リレーとネットワークアクセス認証に関する通信を行う。通信部11が受信したネットワークアクセス認証のメッセージは、ネットワークアクセス認証部12に渡される。また、ネットワークアクセス認証部12が、通信ノードや認証リレーに送信するメッセージは通信部11からネットワーク111へ送出される。

通信ノード検証部21は、認証テーブル15を参照し、所定の認証方法によって通信ノードの真正性を検証する。検証に失敗した場合、ネットワークアクセス認証部12は、通信ノードに認証失敗によるネットワークアクセス認証失敗を通知する。検証に成功した場合、接続形態確認部23に処理を移す。認証テーブル15の内容は、ネットワークアクセス認証に用いる認証方法によってさまざま考えられる。たとえば、ユーザ名とパスワードの組み合わせや、デジタル証明書に関する情報、生体情報などがある。ここでは、簡単のために、通信ノードの識別子と、事前共有鍵により、通信ノードを認証するものと仮定する。表1に認証テーブル15の例を示す。通信ノード検証部21は、認証テーブル15を参照し、所定の認証方法によって、通信ノードの真正性を検証する

表2に接続形態制御テーブルの例を示す。接続形態制御テーブル14には、通信ノードの識別子と、通信ノードが接続可能なネットワークや通信ノードが設定されている。接続形態制御テーブルにはシステム全体のポリシーやサービス提供形態などに従って、通信ノードごとに接続可能なネットワークや通信ノードが設定される。この例では、通信ノード102の識別子をnode2@example.com、通信ノード103の識別子をnode3@example.com、通信ノード104の識別子をnode4@example.com、通信ノード105の識別子をnode5@example.comとする。

表3にアドレス管理テーブルの例を示す。アドレス管理テーブルは、通信ノードが接続可能なネットワークや通信ノードのアドレスを表すテーブルであり、認証済みの通信ノード、および必要に応じて当該通信ノードが管理するネットワークが、登録されている。表3に通信ノード102のネットワークアクセス認証が完了する前のアドレス管理テーブルの例を示す。通信ノード102のネットワークアクセス認証が完了する前はネットワーク111のネットワークアドレスと、その情報が登録された時刻が設定されている。アクセス認証が完了した通信ノードが発生すると、アドレス管理テーブルに、当該認証が完了した通信ノードのアドレスと、当該通信ノードによりネットワークが構築される場合は当該ネットワークのアドレスが、通信ノードアドレス管理部23により登録される。

接続形態確認部22は、接続形態制御テーブル14から、認証を要求している通信ノードが接続可能なネットワークや通信ノードを特定する。接続形態確認部22は、特定したネットワークや通信ノードのアドレスをアドレス管理テーブル13より取得し、取得したアドレスに、認証要求を行っている通信ノードのアドレス（認証リレーを介する場合は認証リレーのアドレス）が合致するかを判定する。取得したアドレスの中に、当該通信ノードのアドレス（または認証リレーのアドレス）に合致するものがない場合、接続拒否を決定する。ネットワークアクセス認証部12は、認証要求を行っている通信ノードに接続拒否によるネットワークアクセス認証失敗を通知する。一方、合致するアドレスが存在する場合、当該認証要求を行っている通信ノードが、当該合致するアドレスの通信ノードまたはネットワークへの接続を試みていると決定し、接続形態確認部22は、当該通信ノードまたはネットワークへの接続許可を決定する。ネットワークアクセス認証部12は、当該認証要求を行っている通信ノードに、ネットワークアクセス認証の成功を通知する。

なお、アクセス管理テーブル13に基づき、認証を要求している通信ノードが接続しようとしている通信装置またはネットワークを特定し、特定したものの中から、接続形態制御テーブルに登録されているものを接続先として特定し、当該接続先への接続を許可してもよい。

以下、表１〜表３の状態で、認証サーバ101が通信ノード102のネットワークアクセス認証を行う例を示す。

認証サーバ101の通信ノード検証部21は、通信ノード102からのメッセージを受信すると、表１の認証テーブルに基づき、通信ノード102の真正性を検証し、通信ノード102が真正であることを確認する。接続形態確認部23は、表２の接続形態制御テーブルから、通信ノード102が接続可能なネットワークや通信ノードの識別子を得る。通信ノードアドレス管理部23は、表３のアドレス管理テーブルから、当該接続可能なネットワークや通信ノードのアドレスを取得する。この例では、通信ノード102は、表２からネットワーク111とネットワーク112に接続可能であり、アドレス管理テーブルからネットワーク111のアドレスが2001:DB8:1::/64だと特定される。

次に、ネットワークアクセス認証処理部12は、通信ノード102がネットワークアクセス認証に使用している認証リレーのアドレスを取得する。通信ノード102のように、認証リレーを使わず直接認証サーバと通信する認証クライアントの場合は、認証クライアントのアドレスを取得する。この例では、通信ノード102のアドレス（2001:DB8:1::1234だと仮定する）を取得する。

そして、取得したアドレスと、接続が許可されているネットワークや通信ノードのアドレスと照合して、通信ノード102のアドレスが、接続を許可されているネットワークや通信ノードのアドレスに適合するか否かを確認する。この例では、通信ノード102のアドレス2001:DB8:1::1234が、通信ノード102が接続可能なネットワークであるネットワーク111のアドレス2001:DB8:1::/64に含まれる（なお「/64」は上位64ビットを意味する）。このため、ネットワークアクセス認証部12は、通信ノード102に対し接続許可を決定し、通信ノード102に認証の成功を通知する。

通信ノード102への接続を許可されているネットワークや通信ノードが接続形態制御テーブルに１つも登録されていない場合や、接続形態制御テーブルから取得したネットワークや通信ノードのアドレスに合致するアドレスがアドレス管理テーブルに含まれていない場合は、ネットワークアクセス認証部12は、通信ノード102に接続拒否によるネットワークアクセス認証失敗を通知する。

通信ノード102のネットワークアクセス認証が成功した後、認証サーバ101は、通信ノード102の識別子とアドレスをアドレス管理テーブルに登録する。

表4に通信ノード102のネットワークアクセス認証が完了した後のアドレス管理テーブルの例を示す。この例では、表3の内容に加え、通信ノード102のアドレスが追加されている。さらに、通信ノード102が構成するネットワーク112のアドレス（本例では３つ）も追加されている。ネットワーク112のアドレスは通信ノード102から通知されてもよいし、事前に設定されていてもよい。

通信ノード103や通信ノード105のネットワークアクセス認証についても、通信ノード102のネットワークアクセス認証と同様、まず通信ノード検証部21による真正性の検証が行われる。その後、接続形態確認部22によって、通信ノード103や通信ノード105が、接続形態制御テーブルおよびアドレス管理テーブルに基づき、接続を許可されているネットワークや通信ノードに接続を試みているかを確認する。

通信ノード102に対するネットワークアクセス認証との違いは、接続形態確認部22が通信ノード103や通信ノード105のアドレスではなく、これらの通信ノードが使用している認証リレーのアドレスを使う点である。通信ノード103や通信ノード105が接続を許可されているネットワークや通信ノードのアドレスと、当該認証リレーのアドレスとの照合を行うことで、通信ノード103や通信ノード105が接続を許可されているネットワークまたは通信ノードへ接続を試みているかを確認する。

通信ノード103や通信ノード105のネットワークアクセス認証後も、通信ノードアドレス管理部23により、通信ノード103と通信ノード105のアドレスがアドレス管理テーブル13に登録される。通信ノード103と通信ノード105のネットワークアクセス認証が完了した後のアドレス管理テーブルを表5に示す。

次に、認証サーバ101が通信ノード104のネットワークアクセス認証を行う場合を考える。通信ノード104の場合も通信ノード103と同様、まず通信ノード104による真正性が検証される。その後、通信ノード104が接続を許可されているネットワークや通信ノードを接続形態制御テーブル14に基づき特定し、それらのネットワークや通信ノードのアドレスを、アドレス管理テーブル13から特定する。そして、接続形態確認部22は、通信ノード104が使用している認証リレーのアドレスを使い、当該認証リレーのアドレスが、通信ノード104が接続を許可されているネットワークや通信ノードのアドレスに適合しているか否かを確認する。

ここで、通信ノード104が使用した認証リレーのアドレスが2001:DB8:0:1001::1234だった場合を考える。この場合、接続形態確認部22はアドレス管理テーブル13から、通信ノード104が接続を許可されているのは通信ノード103であることを特定する。そして、アドレス管理テーブル13から、通信ノード103のアドレスが2001:DB8:0:1001::abcdであることを得る。そして、通信ノード103のアドレスと、認証リレーのアドレスが一致しないため、通信ノード104が、接続を許可されていない通信ノードまたはネットワークに接続しようとしていると判定する。このため、ネットワークアクセス認証処理部12は、接続拒否によるネットワークアクセス認証失敗を通信ノード104に通知する。

次に、通信ノード104が使用した認証リレーのアドレスが2001:DB8:0:1001::abcdだった場合を考える。この場合、接続形態確認部22は、接続形態制御テーブル14から、通信ノード104が接続を許可されているのは通信ノード103であることを特定する。そして、アドレス管理テーブル13から通信ノード103のアドレスが2001:DB8:0:1001::abcdであることを得る。そして、通信ノード103が接続を許可されている通信ノードのアドレスと、認証リレーのアドレスが一致することを検出する。以上から、接続形態確認部22は、通信ノード104が接続を許可されている通信ノードに対して接続しようとしていると判定し、ネットワークアクセス認証成功を通信ノード104に通知する。

通信ノード104のネットワークアクセス認証が完了した後のアドレス管理テーブルを表6に示す。通信ノード104のアドレスが追加されている。

以上の説明では省略したが、各通信ノードはネットワークアクセス認証の成功により、所望のネットワークや通信ノードとの接続が完了した後、アドレス更新処理や再認証処理を通じて、自身の最新アドレスを認証サーバ101に通知してもよい。これにより、通信ノードアドレス管理部23によって、通信ノードのアドレスがアドレス管理テーブル13で最新の状態に保たれるようにできる。また、接続形態確認部23が、通信ノードのアドレスや認証リレーのアドレスを基に、アドレス管理テーブル13のアドレス列を照合する際は、最長一致だけでなく、アドレスの特定部分の一致を行ってもよい。例えば、ホストアドレスの場合、下位64ビットのみで照合を行うこともあり得る。

図6に、認証サーバ101の処理の流れを示すフローチャートを示す。

認証サーバ101は、通信ノードの認証を開始すると、通信ノード検証部21が通信ノードの真正性の検証を行う (S31)。検証に失敗した場合、ネットワークアクセス認証処理部12は、認証失敗によるネットワークアクセス認証失敗を通信ノードに通知する（S32）。

検証に成功した場合、接続形態確認部22は、接続形態制御テーブル14およびアドレス管理テーブル13に基づき、通信ノードが接続しようとしているネットワークや通信ノードへの接続が許可されている否かを確認する（S34）。許可されていない場合、ネットワークアクセス認証処理部12は、接続拒否によるネットワークアクセス認証失敗を通信ノードに通知する（S33）。許可されている場合、ネットワークアクセス認証処理部12は得ネットワークアクセス認証成功を通信ノードに通知する（S35）。通信ノードアドレス管理部23は、認証成功した通信ノードのアドレス、必要に応じて当該通信ノードが構築および管理するネットワークを、当該通信ノードの識別子と共にアドレス管理テーブル13に登録する（S36）。

以上で説明した実施形態では、ネットワークアクセス認証プロトコルの例としてRFC5191(PANA)を使い、認証リレーの動作はRFC6345を使うことができる。ただし、使用プロトコルや通信方式はこの限りではない。

また、認証サーバ101はネットワークアクセス認証成功と共に、接続先のネットワークや通信ノードと間の通信に使用する鍵情報を、認証成功した通信ノードに通知してもよい。鍵情報には少なくとも鍵の値が含まれ、その他、鍵の使用範囲や鍵の識別子、有効期限などが含まれうる。

また、認証サーバ101はネットワークアクセス認証成功と共に、接続先のネットワークや通信ノードとの間の通信制御情報を、認証成功した通信ノードに通知してもよい。通信制御情報の例として例、通信に使用するチャネル（周波数）や通信頻度に関する情報、PANIDやESSIDなどの論理ネットワーク名、通信速度設定や通信速度の上限、周波数ホッピングパターンなどさまざま考えられる。通信制御情報を受けた通信ノードは、その通信制御情報の内容に従って通信する。例えば、通信制御情報内で通信頻度が制限されていた場合、通信ノードは指定された通信頻度を超えないよう制御する。

さらに、通信ノードのネットワークアクセス認証が成功した場合、認証サーバ101は当該通信ノードが使用した認証リレーに対し、当該通信ノードのネットワークアクセス認証の成功と、当該通信ノードとの接続許可を通知してもよい。この接続許可の内容には、認証が成功した通信ノードのアドレスと共に、どのような通信を許可してよいのかのポリシーや、当該通信ノードとの通信に使用する鍵情報、通信制御情報が含まれてもよい。

以上、本実施形態により、通信ノードの接続形態を考慮して、認証サーバが通信ノードのネットワークアクセス認証を行うことができる。

実施形態２

図7に実施形態2におけるネットワーク構成図を示す。

実施形態2では、実施形態1の通信ノード103に対し、通信ノード104に加え、通信ノード601も接続する。通信ノードの識別子はnode6@example.comとする。各通信ノードの具体例として、通信ノード102がコンセントレータ、通信ノード103、105が異なる家庭のスマートメーター、通信ノード104、601が、通信ノード103と同じ家庭内のHEMSおよびガスメータであることが考えられる。

通信ノード601は通信ノード103と通信するため、認証サーバ103を認証リレーとして用いて、認証サーバ101との間でネットワークアクセス認証を行う。表7に実施形態2における接続形態制御テーブルの例を示す。通信ノード601の識別子をnode6@example.comとする。

認証サーバ101は実施形態1と同様の処理をし、通信ノード601が通信ノード103との接続を試みたと判定できたときにのみ、ネットワークアクセス認証の成功通知を行う。通信ノード601のネットワークアクセス認証時の具体的な動作は、実施形態1の通信ノード104と同様である。

以上、本実施形態により、１つの通信ノードに、複数の通信ノードが接続される形態を考慮して、認証サーバが当該複数の通信ノードのネットワークアクセス認証を行うことができる。

実施形態３

実施形態3は、実施形態2における通信ノード601が、通信ノード104とも通信できる点が異なる。すなわち、通信ノード103、104、601の任意の２つの通信ノード間で通信可能である。

実施形態3における接続形態制御テーブルの例を表8に示す。

通信ノード103と通信ノード104のネットワークアクセス認証がそれぞれ成功した後に、認証サーバ101が通信ノード601のネットワークアクセス認証処理をする場合を考える。認証サーバ101は通信ノード601のネットワークアクセス認証が成功したら、通信ノード601に成功を通知すると共に、通信ノード103や通信ノード104へ、通信ノード601との通信を許可するよう指示を出してもよい。認証サーバ101が通信ノード104と直接通信できない場合は、通信ノード104との通信許可を通信ノード104が通信ノード601に通知することを、通信ノード103に依頼してもよい。

以上、本実施形態により、ネットワークアクセス認証が許可された通信ノード間での通信を制御することができる。

実施形態４

図8に実施形態4におけるネットワーク構成図を示す。

実施形態4では、通信ノード103に接続する通信ノード104の下位に通信ノード701が接続する。通信ノード701の識別子はnode7@example.comとする。各通信ノードの具体例として、通信ノード102がコンセントレータ、通信ノード103、105が異なる家庭のスマートメーター、通信ノード104が、通信ノード103と同じ家庭内のHEMS、通信ノード701が蓄電池であることが考えられる。

通信ノード701は通信ノード104と通信するため、認証サーバ104を認証リレーとし、認証サーバ101との間でネットワークアクセス認証を行う。表7に、実施形態4における接続形態制御テーブルの例を示す。通信ノード701の識別子をnode7@example.comとする。

通信ノード701が通信ノード104に接続するためには、通信ノード104を認証リレーとし、認証サーバ101との間でネットワークアクセス認証を行わなければならない。このとき、通信ノード104が認証サーバ101と直接通信可能でなければ、さらに、通信ノード103が認証リレーとして使用される。

このように、認証リレーが多段に使用された場合、図3の認証リレーメッセージの中にさらに認証リレーメッセージが格納されるという、入れ子の状態が発生する。入れ子状態の認証リレーメッセージの構成を図9に示す。認証リレーメッセージ801を通信ノード104が生成し、通信ノード103がこの認証リレーメッセージ801を含む認証リレーメッセージ802を生成する。

認証サーバ101の接続形態確認部23では、通信ノード701との間でやり取りしているネットワークアクセス認証のメッセージを直接含んでいる認証リレーメッセージ801の送信元アドレスから、通信ノード701が接続しようとしているネットワークや通信ノードを特定する。

具体的には、認証リレーメッセージ802に含まれる通信ノード104のアドレス情報を使いる。アドレス管理テーブル13を参照して、通信ノード701が接続許可されている通信ノードまたはネットワークのうち、通信ノード104のアドレスに合致する通信ノード（またはネットワーク）を特定し、特定した通信ノード（またはネットワーク）への接続を許可する。

以上、本実施形態により、通信ノードと認証サーバとの間に認証リレーが複数存在する場合でも、通信ノードの接続形態を考慮したネットワークアクセス認証が可能となる。

以上に説明した実施形態における認証サーバは、例えば、汎用のコンピュータ装置を基本ハードウェアとして用いることでも実現することが可能である。すなわち、認証サーバの各ブロックの処理は、上記のコンピュータ装置に搭載されたプロセッサにプログラムを実行させることにより実現することができる。このとき、サーバは、上記のプログラムをコンピュータ装置にあらかじめインストールすることで実現してもよいし、ＣＤ−ＲＯＭなどの記憶媒体に記憶して、あるいはネットワークを介して上記のプログラムを配布して、このプログラムをコンピュータ装置に適宜インストールすることで実現してもよい。また、認証サーバ内の各テーブルは、上記のコンピュータ装置に内蔵あるいは外付けされたメモリ、ハードディスクもしくはCD−R、CD−RW、DVD−RAM、DVD−Rなどの記憶媒体などを適宜利用して実現することができる。

Claims (15)

1. 第１の通信装置のネットワークアクセス認証を受け付け、前記第１の通信装置のアドレスと０個以上の認証リレーのアドレスとを含むメッセージを受信する通信部と、
   前記通信部によるメッセージの受信に応じて、前記第１の通信装置の真正性を検証する検証部と、
   前記メッセージに含まれる前記第１の通信装置のアドレスまたは前記０個以上の認証リレーのアドレスに基づき、前記第１の通信装置が接続を試みている接続先である第１接続先を特定し、前記第１接続先への接続を許可するかを決定する接続形態確認部と、
   を備えた認証装置。
2. 前記接続形態確認部は、前記第１の通信装置に対し前記第１接続先への接続があらかじめ許可されているときは、前記第１接続先への接続許可を決定する
   請求項１に記載の認証装置。
3. 前記メッセージは、前記認証リレーのアドレスを含まず、
   前記接続形態確認部は、前記第１の通信装置に対しあらかじめ接続許可されている通信装置またはネットワークのうち、前記第１の通信装置のアドレスに合致するアドレスを有するネットワークまたは通信装置を、前記第１接続先に特定し、前記第１接続先への接続許可を決定する
   請求項１または２に記載の認証装置。
4. アドレス管理部を備え、
   前記接続形態確認部は、認証済みの通信装置およびネットワークのアドレスを表すアドレス管理情報を用い、前記アドレス管理情報に登録されている通信装置またはネットワークの中から、前記第１の通信装置のアドレスに合致するアドレスを有するネットワークまたは通信装置を前記第１接続先として検出し、
   前記アドレス管理部は、前記接続を許可された前記第１の通信装置のアドレス、または前記第１の通信装置が管理するネットワークのアドレスを、前記アドレス管理情報に登録する
   請求項３に記載の認証装置。
5. 前記メッセージは、１つの認証リレーのアドレスを含み、
   前記接続形態確認部は、前記第１の通信装置に対しあらかじめ接続許可されている通信装置またはネットワークのうち、前記１つの認証リレーのアドレスに合致するアドレスを有する通信装置またはネットワークを前記第１接続先に特定し、前記第１接続先への接続許可を決定する
   請求項１または２に記載に認証装置。
6. アドレス管理部を備え、
   前記接続形態確認部は、認証済みの通信装置およびネットワークのアドレスを表すアドレス管理情報を用い、前記アドレス管理情報に登録されている通信装置またはネットワークの中から、前記１つの認証リレーのアドレスに合致するアドレスを有するネットワークまたは通信装置を前記第１接続先として検出し、
   前記アドレス管理部は、前記接続を許可された前記第１の通信装置のアドレス、または前記第１の通信装置が管理するネットワークのアドレスを前記アドレス管理情報に登録する
   請求項５に記載の認証装置。
7. 前記メッセージは、複数の認証リレーのアドレスを含み、
   前記接続形態確認部は、前記第１の通信装置に対しあらかじめ接続許可されている通信装置またはネットワークのうち、前記複数の認証リレーのうち前記メッセージを最初に中継した認証リレーのアドレスに合致するアドレスを有する通信装置またはネットワークを前記第１接続先に特定し、前記第１接続先への接続許可を決定する
   請求項１または２に記載に認証装置。
8. アドレス管理部を備え、
   前記接続形態確認部は、認証済みの通信装置およびネットワークのアドレスを表すアドレス管理情報を用い、前記アドレス管理情報に登録されている通信装置またはネットワークの中から、前記第１認証リレーのアドレスに合致するアドレスを有するネットワークまたは通信装置を前記第１接続先として検出し、
   前記アドレス管理部は、前記接続を許可された前記第１の通信装置のアドレス、または前記第１の通信装置が管理するネットワークのアドレスを前記アドレス管理情報に登録する
   請求項７に記載の認証装置。
9. 前記第１の通信装置の接続が許可された後、前記第1の通信装置の最新のアドレスを再認証処理またはアドレス更新処理を通じて取得する
   請求項１ないし８のいずれか一項に記載の認証装置。
10. 前記通信部は、前記第１の通信装置の接続が許可された場合に、前記第１の接続先に前記第１の通信装置との接続許可を通知する
    請求項１ないし９のいずれか一項に記載の認証装置。
11. 前記通信部は、前記第１の通信装置との通信に使用する鍵情報を前記第１の接続先に通知する
    請求項１０に記載に認証装置。
12. 前記通信部は、前記第１の通信装置の接続が許可された場合に、前記第１の通信装置に前記第１の接続先との間で使用する鍵情報を通知する
    請求項１ないし１１のいずれか一項に記載の認証装置。
13. ネットワークアクセスプロトコルとしてRFC 5191を用いる
    ことを特徴とする請求項１ないし１２のいずれか一項に記載の認証装置。
14. 第１の通信装置のネットワークアクセス認証を受け付け、前記第１の通信装置のアドレスと０個以上の認証リレーのアドレスとを含むメッセージを受信する通信ステップと、
    前記通信ステップによるメッセージの受信に応じて、前記第１の通信装置の真正性を検証する検証ステップと、
    前記メッセージに含まれる前記第１の通信装置のアドレスまたは前記０個以上の認証リレーのアドレスに基づき、前記第１の通信装置が接続を試みている接続先である第１接続先を特定し、前記第１接続先への接続を許可するかを決定する接続形態確認ステップと、
    を備えた認証方法。
15. 第１の通信装置のネットワークアクセス認証を受け付け、前記第１の通信装置のアドレスと０個以上の認証リレーのアドレスとを含むメッセージを受信する通信ステップと、
    前記通信ステップによるメッセージの受信に応じて、前記第１の通信装置の真正性を検証する検証ステップと、
    前記メッセージに含まれる前記第１の通信装置のアドレスまたは前記０個以上の認証リレーのアドレスに基づき、前記第１の通信装置が接続を試みている接続先である第１接続先を特定し、前記第１接続先への接続を許可するかを決定する接続形態確認ステップと、
    をコンピュータに実行させるためのコンピュータプログラム。

Images