JP2015104085A

JP2015104085A - 通信装置およびその制御方法

Info

Publication number: JP2015104085A
Application number: JP2013245440A
Authority: JP
Inventors: 剛寺尾; Takeshi Terao
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2013-11-27
Filing date: 2013-11-27
Publication date: 2015-06-04

Abstract

【課題】通信基地局としての通信装置において、ブロードキャスト通信時に不要なMICの生成を省くことで通信基地局における計算資源および電力の消費を抑制し、さらに送信時の周波数使用効率を向上させる。【解決手段】ブロードキャスト通信時にメッセージ完全性の検証を行う第1の端末装置、およびメッセージ完全性の検証を行わない第2の端末装置を接続可能とし、通信基地局として機能する通信装置において、以下の機能を実現する。すなわち、第1の端末装置が接続されていれば(S502-Yes)、ブロードキャスト管理フレームと検証鍵を用いてMICを算出し、これをブロードキャスト管理フレームに付加して(S503)、送信する(S504)。一方、第1の端末装置が接続されていなければ(S502-No)、MICが付加されていないブロードキャスト管理フレームを送信する(S504)。したがって、MICの作成および送信が、第1の端末装置が接続されている場合に限定される。【選択図】図5

Description

本発明は通信基地局として機能する通信装置およびその制御方法に関する。

IEEE 802.11規格シリーズに準拠した無線LANに代表される無線通信では、通信内容の改竄やなりすましを防ぐために暗号技術が用いられている。IEEE 802.11wで管理フレームの保護機能(Management Frame Protection:MFP)が規定されている(例えば、非非特許文献1参照)。例えばユニキャスト管理フレームについては、通信基地局と端末間で合意した暗号鍵を使って暗号化することにより、改竄やなりすましを防止している。

一方、ブロードキャスト管理フレームについては、MFPに対応していない端末も含めた全ての端末で受信できなくてはならない。このため、平文のブロードキャスト管理フレームに、通信基地局で生成したメッセージ完全性チェック用グループ鍵(IGTK)を用いて算出したメッセージ完全性コード(MIC)を付加して送信する。MFPに対応した端末では、受信したブロードキャスト管理フレームについて同じ手順でMICを算出し、通信基地局から受信したMICと比較する。そして、通信基地局から受信したMICと、受信フレームについて算出したMICが同一であった場合のみ後続の処理を行い、一致しない場合はフレームが改竄されたか、通信基地局になりすまして送信されたものとみなして受信フレームを破棄する。一方、MFPに対応していない端末では、MICは未知の情報要素であるため無視され、受信フレームはIEEE 802.11wで保護されていない通常のブロードキャスト管理フレームと同等に扱われる。

特表2012-519426号公報

通信基地局がブロードキャストフレームのメッセージ完全性検証機能を有効にしていても、通信基地局に接続している端末のすべてがメッセージ完全性検証機能をサポートしていない、もしくは有効にしていない場合が考えられる。このような場合には、通信基地局から送信されたブロードキャストフレームに付随するMICが、端末において使われることは無い。このような場合ではすなわち、結果的に不要となるMICを通信基地局において算出することは、計算資源の浪費となる。また、不要なMICを付加したパケットを送信することで、電波資源を余計に占有してしまう。

本発明は上述した問題を解決するためになされたものであり、通信基地局として機能する通信装置において、不要なMICの生成を省くことで計算資源および電力の消費を抑制し、さらに送信時の周波数使用効率を向上させることを目的とする。

上記目的を達成するための一手段として、本発明の通信装置は以下の構成を備える。すなわち、受信したブロードキャスト管理フレームに対しメッセージ完全性の検証を行う第1の端末装置、および前記検証を行わない第2の端末装置と接続可能であり、通信基地局として機能する通信装置であって、前記第1の端末装置が接続されているか否かを判定する判定手段と、前記第1の端末装置に送信する検証鍵を生成する鍵管理手段と、ブロードキャスト管理フレームを生成するフレーム生成手段と、前記ブロードキャスト管理フレームと前記検証鍵を用いてメッセージ完全性コードを算出する算出手段と、前記ブロードキャスト管理フレームに前記メッセージ完全性コードを付加する付加手段と、前記判定手段により前記第1の端末装置が接続されていると判定された場合、前記付加手段によって前記メッセージ完全性コードが付加されたブロードキャスト管理フレームを送信し、前記判定手段により前記第1の端末装置が接続されていると判定されなかった場合、前記メッセージ完全性コードが付加されていないブロードキャスト管理フレームを送信する送信手段と、を有することを特徴とする。

本発明によれば、通信基地局として機能する通信装置において、不要なMICの生成を省くことで計算資源および電力の消費を抑制し、さらに送信時の周波数使用効率を向上させることができる。

本発明に係る一実施形態の通信装置のハードウェア構成を示すブロック図、本実施形態のアクセスポイントにおける機能構成を示すブロック図、本実施形態におけるネットワーク構成例を示す図、本実施形態における接続要求受信処理を示すフローチャート、本実施形態におけるブロードキャスト管理フレームの送信処理を示すフローチャート、本実施形態における複数端末の接続シーケンスを示す図、である。

以下、添付の図面を参照して、本発明をその好適な実施形態に基づいて詳細に説明する。なお、以下の実施形態において示す構成は一例に過ぎず、本発明は図示された構成に限定されるものではない。

＜第1実施形態＞
●ネットワーク構成
図3に、本実施形態におけるネットワーク構成例を示す。同図に示すように本実施形態のネットワーク構成は、通信基地局としてのアクセスポイント(以下、AP)301および、通信端末302,303からなる。以下、本実施形態ではIEEE802.11シリーズに準拠した無線LANシステムを例として説明するが、本発明が適用可能な通信形態は必ずしもIEEE802.11準拠の無線LANに限らない。なお、AP301には他の複数の端末が接続可能であることはもちろんである。

●装置構成
図1に、本実施形態における通信装置であるAP301におけるハードウェアのブロック構成例を示す。同図において、101がAP301の全体を示す。102は、記憶部103に記憶される制御プログラムを実行することで装置101の全体を制御する制御部であり、CPUやMPU等のコンピュータによって実現される。制御部102は、他装置との間で行われる通信パラメータ自動設定システムの制御も行う。

103は、制御部102が実行する制御用のコンピュータプログラムと、通信パラメータ等の各種情報を記憶する記憶部である。後述する各種動作は、記憶部103に記憶された制御プログラムを制御部102が実行することによって実現される。なお、記憶部103としては具体的に、ROM，RAM等のメモリ、又はフレキシブルディスク、ハードディスク、光ディスク、光磁気ディスク、CD-ROM、CD-R、磁気テープ、不揮発性のメモリカード、DVD、等を用いることができる。

104は無線通信を行うための無線部である。105は各種表示を行う表示部であり、LCDやLEDのように視覚で認知可能な情報の出力、あるいはスピーカ等の音出力が可能な機能を有する。106はアンテナ制御部、そして107はアンテナである。108は、ユーザが各種入力を行うための入力部である。

●機能構成
図2に、本実施形態のAP301が実行するソフトウェアによる機能ブロック構成例を示す。同図において201がAP301の全体を示している。202は、本実施形態における管理フレームを含む、各種通信にかかわるフレームを受信するフレーム受信部であり、203は、同管理フレームを含む、各種通信にかかわるフレームを送信するフレーム送信部である。204は基地局に接続要求を送信した端末を認証するクライアント認証部、205は基地局に接続中の端末を管理するクライアント管理部、206は複数の端末へ送信するブロードキャスト管理フレームを生成するブロードキャスト管理フレーム生成部、である。そして、207はメッセージ完全性コード(MIC)の生成に用いる鍵を生成してクライアントに配布するMIC検証鍵管理部、208はブロードキャスト管理フレームに付加するMICを生成するMIC生成部である。そして209は、MIC生成部208でMIC生成を行うか否かを判断するMIC生成判断部、である。

●端末接続処理
図4は、AP301が通信端末302または通信端末303(以下、単に端末と称する)からの接続要求を受けた際の処理を示すフローチャートである。図4に示す処理は、制御部102が記憶部103に記憶されたコンピュータプログラムを読み出して実行することによって実現される。

制御部102が、フレーム受信部202より端末からの接続要求フレームを受信すると(S401)、クライアント認証部204が、S401で受信した接続要求フレームの情報に基づきクライアントの認証を行う(S402)。この認証方法としては例えば、IEEE 802.11iに規定されたRSNAアルゴリズムを用いる。S402で認証が成功した場合、クライアント認証部204はフレーム送信部203から、接続受け入れを通知するフレームを端末へ送信する(S403)。さらにクライアント認証部204は、S401で受信した接続要求フレームに、端末のMFP(管理フレームの保護機能)が有効であることを示す情報が含まれているか否かを判定する(S404)。例えば、端末からの接続要求フレームに含まれるRSN情報要素の"Management Frame Protection Capable"ビットを参照し、当該ビットが"1"であれば、MFPが有効であると判定する。端末のMFPが有効であった場合には、クライアント管理部205に、当該端末のMFPが有効である旨を示す情報を格納する(S405)。それに加えMIC検証鍵管理部207がMIC検証鍵を生成し、フレーム送信部203を介して端末へ送信する(S406)。一方、S402で認証が失敗した場合、クライアント認証部204はフレーム送信部203から、接続拒否を通知するフレームを端末へ送信する(S407)。

なお、S403で送信される接続受け入れ通知には、ユニキャストフレームの暗号化に用いられる一時鍵や、一時鍵を導出するための乱数、ブロードキャストデータフレームを暗号化する一時鍵を含むよう構成しても良い。また、S407における端末への接続拒否の通知は、一定時間応答フレームを送信しないことによる暗黙的な拒否の通知であってもよい。

●ブロードキャスト管理フレームの送信処理
図5は、AP301におけるブロードキャスト管理フレームの送信処理を示すフローチャートである。図5に示す処理は、制御部102が記憶部103に記憶されたコンピュータプログラムを読み出して実行することによって実現される。

制御部102は、ブロードキャスト管理フレーム生成部206を用いて、送信する管理フレームを生成する(S501)。続いてMIC生成判断部209が、クライアント管理部205に保持された管理情報を参照して、AP301に接続している端末にMFPを有効とする端末があるか否かを判定する(S502)。S502にて、MFPを有効とする端末があると判定した場合、S501で生成したブロードキャスト管理フレームと、MIC検証鍵管理部207が持つMIC検証鍵からMICを生成し、ブロードキャスト管理フレームの末尾に該MICを付加する(S503)。例えば、MIC検証鍵を鍵として、ブロードキャスト管理フレーム全体を入力とした、AES-CMACのような暗号ベースのメッセージ認証アルゴリズムによってMICを生成することができる。そして最後に、生成したブロードキャスト管理フレームを、フレーム送信部203を用いて、接続された複数の端末に送信する(S504)。一方、S502でMFPを有効とする端末がないと判定された場合には、S501で生成したブロードキャスト管理フレームをそのまま、すなわちMICを付加せずに送信する(S504)。

なお、S503におけるMIC生成方法は上記暗号ベースのメッセージ認証アルゴリズムに限らず、HMAC-SHA256のような鍵付きハッシュ関数ベースのメッセージ認証アルゴリズムを用いても良い。

●ブロードキャストシーケンス
図6は、AP301に、MFPを無効にしている端末302が接続されている状況において、MFPを有効にしている端末303が新たにAP301へ接続する場合のシーケンスを示す。

同図においてまずAP301は、定期的にビーコンフレームをブロードキャストする(F601)。F601の段階では、AP301に接続している端末は全てMFPが無効であるため、送信するビーコンフレームにはMICが付加されない。

端末303は、AP301に対し接続要求を送信する(F602)。この接続要求フレームには、MFPを有効にする要求が含まれている。これに対し、AP301は接続要求への応答を送信して、端末303の接続を受け入れる(F603)。

これに続けて、一時鍵をAP301と端末303間で合意(鍵交換)する(F604)。ここで一時鍵とはすなわち、ユニキャストフレームの暗号化、ブロードキャストデータフレームの暗号化、ブロードキャスト管理フレームのメッセージ完全性検証、のそれぞれに用いられる一時鍵である。

次のビーコンフレーム送信時には、AP301にMFPが有効な端末303が接続しているため、MICを付加したビーコンフレームを送信する(F605，F606)。

端末303は、通信を終了するとAP301に対して切断通知を送信し、ネットワークを離脱する(F607)。これ以降、AP301に接続している端末は全てMFPが無効であるため、送信するビーコンフレームにはMICが付加されない(F608)。

以上のシーケンスに示すように本実施形態では、AP301にMFPが有効な端末が接続している場合に限り、AP301はブロードキャスト管理フレームにMICを付加する。なお、図6の例ではビーコンフレームにMICを付加する場合について例示したが、他のブロードキャストパケットについても適用可能である。例えば、IEEE 802.11準拠の、DeauthenticationやDisassociation、Action等の他のブロードキャスト管理フレームにも適用可能である。

以上、本発明の好適な実施形態を説明したが、これは本発明の説明のための例示であって、本発明の範囲をこの実施例のみに限定する趣旨ではない。本発明の要旨を逸脱しない範囲で、実施形態は種々に変形することが可能である。また、上記説明はIEEE802.11準拠の無線LANを例として説明したが、本発明は、ワイヤレスUSB、MBOA、Bluetooth(登録商標)、UWB、ZigBee等の他の無線媒体において実施しても良い。なお、ここでMBOAは、Multi Band OFDM Allianceの略である。また、UWBには、ワイヤレスUSB、ワイヤレス1394、WINETなどが含まれる。

以上説明したように本実施形態によれば、APにおいて、MFPを有効にしている端末が接続している場合に限り、MICを算出するように制御する。これによりAPにおいて、不要なMIC生成を省くことができ、計算資源および消費電力を低減できる。また、不要なMICを空中線へ送信することが無くなるため、周波数使用効率を向上させることが可能となる。

＜他の実施形態＞
本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア(プログラム)を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ(またはCPUやMPU等)がプログラムを読み出して実行する処理である。

Claims

受信したブロードキャスト管理フレームに対しメッセージ完全性の検証を行う第1の端末装置、および前記検証を行わない第2の端末装置と接続可能であり、通信基地局として機能する通信装置であって、
前記第1の端末装置が接続されているか否かを判定する判定手段と、
前記第1の端末装置に送信する検証鍵を生成する鍵管理手段と、
ブロードキャスト管理フレームを生成するフレーム生成手段と、
前記ブロードキャスト管理フレームと前記検証鍵を用いてメッセージ完全性コードを算出する算出手段と、
前記ブロードキャスト管理フレームに前記メッセージ完全性コードを付加する付加手段と、
前記判定手段により前記第1の端末装置が接続されていると判定された場合、前記付加手段によって前記メッセージ完全性コードが付加されたブロードキャスト管理フレームを送信し、前記判定手段により前記第1の端末装置が接続されていると判定されなかった場合、前記メッセージ完全性コードが付加されていないブロードキャスト管理フレームを送信する送信手段と、
を有することを特徴とする通信装置。
さらに、端末装置からの接続要求に応じて当該端末装置の接続を行う接続手段を有し、
前記判定手段は、前記接続要求に前記検証を行う旨を示す情報が含まれていた場合に、該端末装置が前記第1の端末装置として接続されたと判定することを特徴とする請求項1に記載の通信装置。
前記検証を行う旨を示す情報は、管理フレームの保護機能が有効である旨を示す情報であることを特徴とする請求項2に記載の通信装置。
前記接続手段は、端末装置からの接続要求に応じて当該端末装置の認証を行い、該認証が成功した場合に当該端末装置の接続要求を受け入れることを特徴とする請求項2または3に記載の通信装置。
前記判定手段は、接続された複数の端末装置のうちの少なくとも1つが前記第1の端末装置である場合に、前記第1の端末装置が接続されていると判定することを特徴とする請求項2乃至4のいずれか1項に記載の通信装置。
前記接続手段はさらに、端末装置からの切断通知に応じて当該端末装置の接続を切断し、
前記判定手段は、前記切断通知があった端末装置を除いて、前記第1の端末装置が接続されているか否かを判定することを特徴とする請求項5に記載の通信装置。
さらに、前記判定手段によって前記第1の端末装置として接続されたと判定された端末装置の情報を保持する管理手段を有し、
前記算出手段は、前記管理手段に保持された端末装置の情報を参照して前記算出を行うことを特徴とする請求項2乃至6のいずれか1項に記載の通信装置。
前記算出手段は、暗号ベースのメッセージ認証アルゴリズムによって前記メッセージ完全性コードを算出することを特徴とする請求項1乃至7のいずれか1項に記載の通信装置。
前記メッセージ認証アルゴリズムは、AES-CMACによるアルゴリズムであることを特徴とする請求項8に記載の通信装置。
前記算出手段は、鍵付きハッシュ関数ベースのメッセージ認証アルゴリズムによって前記メッセージ完全性コードを算出することを特徴とする請求項1乃至7のいずれか1項に記載の通信装置。
前記メッセージ認証アルゴリズムは、HMAC-SHAによるアルゴリズムであることを特徴とする請求項10に記載の通信装置。
前記ブロードキャスト管理フレームは、IEEE 802.11準拠の管理フレームであることを特徴とする請求項1乃至11のいずれか1項に記載の通信装置。
判定手段、鍵管理手段、フレーム生成手段、算出手段、付加手段、および送信手段を有し、受信したブロードキャスト管理フレームに対しメッセージ完全性の検証を行う第1の端末装置、および前記検証を行わない第2の端末装置と接続可能であり、通信基地局として機能する通信装置の制御方法であって、
前記判定手段が、前記第1の端末装置が接続されているか否かを判定し、
前記鍵管理手段が、前記第1の端末装置に送信する検証鍵を生成し、
前記フレーム生成手段が、ブロードキャスト管理フレームを生成し、
前記算出手段が、前記ブロードキャスト管理フレームと前記検証鍵を用いてメッセージ完全性コードを算出し、
前記付加手段が、前記ブロードキャスト管理フレームに前記メッセージ完全性コードを付加し、
前記送信手段が、前記判定手段により前記第1の端末装置が接続されていると判定された場合、前記付加手段によって前記メッセージ完全性コードが付加されたブロードキャスト管理フレームを送信し、前記判定手段により前記第1の端末装置が接続されていると判定されなかった場合、前記メッセージ完全性コードが付加されていないブロードキャスト管理フレームを送信する、ことを特徴とする制御方法。
コンピュータ装置で実行されることにより、該コンピュータ装置を請求項1乃至12のいずれか1項に記載の通信装置の各手段として機能させるためのプログラム。
請求項14に記載のプログラムを記憶したことを特徴とするコンピュータで読み取り可能な記憶媒体。