JP2015139090A - 無線接続装置、無線接続装置を制御するための方法、および、ネットワークシステム - Google Patents

Abstract

【課題】無線接続装置において、来客者向け無線ネットワークへの不正アクセスのリスクを低減することで来客者向け無線ネットワークにおけるセキュリティを向上させ、かつ、来客者向け無線ネットワークを簡便に利用可能とする。
【解決手段】無線接続装置は、近距離無線通信によって、無線接続装置に対する記憶媒体の近接を検出する検出部と、近接を検出している間、無線接続装置により提供される複数のネットワークのうちの他のネットワークから隔離された無線ネットワークである来客者向け無線ネットワークに対する、無線端末の接続を可能とする限定接続部とを備える。
【選択図】図１

Description

本発明は、無線接続装置に関する。

アクセスポイント等の無線接続装置において、通常のネットワークから隔離された無線ネットワーク（以降、「来客者向け無線ネットワーク」と呼ぶ。）への接続は、従来、ＳＳＩＤ（Service Set Identifier）とパスワードとを入力すれば誰でも可能であった。しかし、従来の方法では、パスワードが漏えいした場合における不正アクセス等、セキュリティ面の不安があるという問題があった。この点、無線接続装置において、来客者向け無線ネットワーク用のＳＳＩＤを無効にすれば、上記のような不正アクセスを回避することができる。しかし、来客者向け無線ネットワーク用のＳＳＩＤを無効にするためには、無線接続装置の管理画面上から操作を行う必要があるため、煩雑な手間を要するという問題があった。

特許文献１には、ＷＡＮ（Wide Area Network）側ネットワークから、セキュリティ設定が行われたＬＡＮ（Local Area Network）側ネットワークへの接続のためのゲートウェイ機器などの設定を簡略化するために、ＬＡＮ側ネットワークに接続する際に用いる情報を可搬型の記憶装置に記憶させることが記載されている。特許文献２には、セキュリティトークンに格納されたデバイス情報を用いた認証によって、クライアントが接続可能なＶＬＡＮ（Virtual Local Area Network）を特定する技術が記載されている。特許文献３には、利用者端末から送信される利用権情報に含まれる証明情報と認証情報とに基づいて、利用権の正当性を２回判定することが記載されている。

ＷＯ２０１０／０７３４０５号公報 特開２００２−３６６５２２号公報 特開２００６−３５０５１２号公報 特開２００７−０４３６４４号公報 特開２００６−０７４８０２号公報

特許文献１〜３では、いずれも、ＬＡＮ側に存在する無線接続装置のセキュリティを向上させることについては考慮されていない。

このため、無線接続装置において、来客者向け無線ネットワーク（具体的には来客者向け無線ネットワーク用のＳＳＩＤ）への不正アクセスのリスクを低減することで来客者向け無線ネットワークにおけるセキュリティを向上させ、かつ、来客者向け無線ネットワークを簡便に利用可能とすることが望まれていた。

本発明は、上述の課題の少なくとも一部を解決するためになされたものであり、以下の形態又は適用例として実現することが可能である。

（１）本発明の一形態によれば、無線接続装置が提供される。この無線接続装置は；近距離無線通信によって、前記無線接続装置に対する記憶媒体の近接を検出する検出部と；前記近接を検出している間、前記無線接続装置により提供される複数のネットワークのうちの他のネットワークから隔離された無線ネットワークである来客者向け無線ネットワークに対する、無線端末の接続を可能とする限定接続部と、を備える。この形態の無線接続装置によれば、限定接続部は、無線接続装置と認証情報が記憶された記憶媒体とが近接している間に限り、無線端末による来客者向け無線ネットワークへの接続を可能とする。このように、来客者向け無線ネットワークの接続に対して、記憶媒体が必要であるという制限を設ければ、来客者向け無線ネットワーク用のＳＳＩＤ等が漏えいしたとしても、悪意のある第三者は、来客者向け無線ネットワークへ接続することができない。さらに、正当な利用者が記憶媒体を紛失した、または、記憶媒体が悪意のある第三者によって偽造された、等の場合であっても、「無線接続装置と記憶媒体の近接」という物理的な距離の制限のために、記憶媒体を入手した第三者は、遠隔では来客者向け無線ネットワークへ接続することができない。この結果、無線接続装置において、来客者向け無線ネットワークへの不正アクセスのリスクを低減することで来客者向け無線ネットワークにおけるセキュリティを向上させることができる。また、来客者向け無線ネットワークを利用するためには、利用者は、記憶媒体と無線接続装置とを近接させればよいため、無線接続装置において、来客者向け無線ネットワークを簡便に利用可能とすることができる。

（２）上記形態の無線接続装置では、さらに；前記近距離無線通信によって、前記記憶媒体から認証情報を取得する取得部を備え；前記検出部は、前記取得部による前記認証情報の取得が可能な場合に、前記無線接続装置と前記記憶媒体とが近接していると判定してもよい。この形態の無線接続装置によれば、検出部は、取得部による認証情報の取得が可能な場合に、無線接続装置と無線端末とが近接していると判定する。このため、「無線接続装置と記憶媒体の近接」という物理的な距離の制限を、採用される近距離無線通信の方式による情報の読み書き範囲の広さに応じて、数センチ〜１メートル前後の間で任意に調整することができる。

（３）上記形態の無線接続装置において；前記限定接続部は、さらに、前記来客者向け無線ネットワークへ接続している前記無線端末から、前記他のネットワークへの通信を制限することで、前記無線端末による通信先をインターネットに限定してもよい。この形態の無線接続装置によれば、限定接続部は、来客者向け無線ネットワークへ接続している無線端末からの他のネットワークへの通信を制限する。すなわち、来客者向け無線ネットワークを、無線接続装置に接続されている他の無線端末で構成される他のネットワーク（例えばＬＡＮ等）から分離させることができる。このため、来客者向け無線ネットワークへ接続している無線端末から他のネットワークに対する不正アクセスを抑制することができ、無線接続装置におけるセキュリティをより向上させることができる。

（４）上記形態の無線接続装置において；前記限定接続部は、さらに、前記無線接続装置とインターネットとの間にネットワーク装置がある場合に、前記ネットワーク装置に対して、前記無線接続装置を介した前記来客者向け無線ネットワークへの接続を許可させてもよい。この形態の無線接続装置によれば、限定接続部は、さらに、無線接続装置とインターネットとの間にネットワーク装置がある場合に、当該ネットワーク装置に対して、無線接続装置を介した来客者向け無線ネットワークへの接続を許可させる。このため、無線接続装置とインターネットとの間にネットワーク装置がある場合であっても、来客者向け無線ネットワークへ接続している無線端末からインターネットへの通信を実現することができる。

（５）上記形態の無線接続装置では、さらに；取得した前記認証情報を用いて、前記記憶媒体の正当性を認証する認証部を備えてもよい。この形態の無線接続装置によれば、認証部は、記憶媒体に記憶されている認証情報を用いて、記憶媒体の正当性を認証することができる。このため、記憶媒体が悪意のある第三者によって偽造された等、記憶媒体の正当性が確認できなかった場合に、当該記憶媒体を用いた接続を禁止するといった措置を採用することが可能となる。この結果、無線接続装置におけるセキュリティをより向上させることができる。

（６）上記形態の無線接続装置では、さらに；取得した前記認証情報を外部装置へ送信し、前記記憶媒体の正当性の認証結果を前記外部装置から取得する認証部を備えてもよい。この形態の無線接続装置によれば、認証部は、認証情報を外部装置へ送信し、記憶媒体の正当性の認証結果を外部装置から取得することで、記憶媒体の正当性を認証する。このため、記憶媒体が悪意のある第三者によって偽造された等、記憶媒体の正当性が確認できなかった場合に、当該記憶媒体を用いた接続を禁止するといった措置を採用することも可能となる。この結果、無線接続装置におけるセキュリティをより向上させることができる。

（７）上記形態の無線接続装置において；前記認証部は、さらに、一時的に有効な一時鍵を生成し、前記生成した一時鍵を近距離無線通信によって前記記憶媒体に記憶させてもよい。この形態の無線接続装置によれば、認証部は、一時的に有効な一時鍵を生成し、生成した一時鍵を近距離無線通信によって記憶媒体に記憶させることができる。

（８）上記形態の無線接続装置において；前記取得部は、前記記憶媒体に記憶されている前記一時鍵を取得し；前記認証部は、前記認証情報に代えて、または、前記認証情報と共に、前記一時鍵を用いて前記記憶媒体の正当性を認証してもよい。この形態の無線接続装置によれば、認証部は、認証情報に代えて、または、認証情報と共に、一時鍵を用いて記憶媒体の正当性を認証する。一時的にしか有効でない一時鍵は、継続的に記憶媒体に記憶されている認証情報と比較して、セキュリティ強度が高い。このような一時鍵を用いて記憶媒体の正当性を認証することで、認証の信頼性をより向上させることができる。この結果、無線接続装置におけるセキュリティをより向上させることができる。

（９）上記形態の無線接続装置では、さらに；前記ネットワーク装置に対して、仮想プライベートネットワークを用いた通信路の確立を要求する仮想化要求部を備えてもよい。この形態の無線接続装置によれば、仮想化要求部は、無線接続装置とインターネットとの間にネットワーク装置がある場合に、当該ネットワーク装置に対して、仮想プライベートネットワークを用いた通信路の確立を要求する。仮想プライベートネットワークを用いた通信路では、インターネットを経由した通信内容のカプセル化や暗号化が行われる。このため、来客者向け無線ネットワークへ接続している無線端末と、無線端末の通信相手装置と、の間の通信におけるセキュリティを向上させることができる。

（１０）本発明の一形態によれば、ネットワークシステムが提供される。このネットワークシステムは；無線接続装置と；認証情報が予め記憶されている記憶媒体を備える無線端末と、を備え；前記無線接続装置は；近距離無線通信によって、前記無線接続装置に対する前記記憶媒体の近接を検出する検出部と；前記近接を検出している間、前記無線接続装置により提供される複数のネットワークのうちの他のネットワークから隔離された無線ネットワークである来客者向け無線ネットワークに対する、前記無線端末の接続を可能とする限定接続部と、を備える。

上述した本発明の各形態の有する複数の構成要素は全てが必須のものではなく、上述の課題の一部または全部を解決するため、あるいは、本明細書に記載された効果の一部または全部を達成するために、適宜、前記複数の構成要素の一部の構成要素について、その変更、削除、新たな構成要素との差し替え、限定内容の一部削除を行うことが可能である。また、上述の課題の一部または全部を解決するため、あるいは、本明細書に記載された効果の一部または全部を達成するために、上述した本発明の一形態に含まれる技術的特徴の一部または全部を上述した本発明の他の形態に含まれる技術的特徴の一部または全部と組み合わせて、本発明の独立した一形態とすることも可能である。

例えば、本発明の一形態は、検出部と、限定接続部と、の２つの要素のうちの一部または全部の要素を備えた方法として実現可能である。すなわち、本装置は、検出部を有していてもよく、有していなくてもよい。また、本装置は、限定接続部を有していてもよく、有していなくてもよい。こうした装置は、例えば無線接続装置として実現できるが、無線接続装置以外の他の装置としても実現可能である。前述した無線接続装置の各形態の技術的特徴の一部または全部は、いずれもこの装置に適用することが可能である。

本発明は、無線接続装置以外の種々の形態で実現することも可能である。例えば、無線接続装置を制御するための方法、無線接続装置を含むネットワークシステム、これらの方法の一部または全部を実現するコンピュータプログラム、そのコンピュータプログラムを記録した一時的でない記録媒体等の形態で実現することができる。

本発明の一実施形態としての無線接続装置を用いて利用者が来客者向け無線ネットワークに接続する様子を示す説明図である。 無線接続装置と記憶媒体との構成を機能的に示すブロック図である。 来客者向け処理の手順を示すフローチャートである。 第２実施形態の無線接続装置を用いて利用者が来客者向け無線ネットワークに接続する様子を示す説明図である。 第２実施形態の無線接続装置と記憶媒体との構成を機能的に示すブロック図である。 第２実施形態における来客者向け処理の手順を示すフローチャートである。 第３実施形態の無線接続装置を用いて利用者が来客者向け無線ネットワークに接続する様子を示す説明図である。 第３実施形態の無線接続装置と記憶媒体との構成を機能的に示すブロック図である。 第３実施形態における来客者向け処理の手順を示すフローチャートである。 第４実施形態の無線接続装置と記憶媒体との構成を機能的に示すブロック図である。 一時鍵発行処理の手順を示すフローチャートである。 第４実施形態における来客者向け処理の手順を示すフローチャートである。 第５実施形態の無線接続装置を用いて利用者が来客者向け無線ネットワークに接続する様子を示す説明図である。

次に、本発明の実施の形態を実施形態に基づいて説明する。

Ａ．第１実施形態：
Ａ−１．システムの概略構成：
図１は、本発明の一実施形態としての無線接続装置を用いて、利用者が来客者向け無線ネットワークに接続する様子を示す説明図である。なお、図１では便宜上、説明上必要としない他のネットワーク中継装置、回線、端末等については図示を省略している。

無線接続装置１０は、ＩＥＥＥ８０２．１１規格と、ＩＥＥＥ８０２．３規格とに準拠したアクセスポイント装置である。以降、無線接続装置１０を「ＡＰ１０」とも呼ぶ。ＡＰ１０は、ルータとしても機能し、有線ケーブルを介してインターネットＩＮＴに接続されている。ＡＰ１０は、近距離無線通信のためのインタフェースとして、ＮＦＣインタフェース１２０を備えている。

本実施形態のＡＰ１０は、後述の来客者向け処理を実行することによって、ＮＦＣインタフェース１２０が、その検出範囲内において記憶媒体２０を検出している間に限って、来客者向け無線ネットワークＣＮへの接続を可能とする。このため、ＡＰ１０の利用者は、自身が所持する記憶媒体２０をＡＰ１０のＮＦＣインタフェース１２０に近接させている間に限り、パーソナルコンピュータ３０等の任意の無線端末を用いて、来客者向け無線ネットワークＣＮへ接続することができる。なお、以降の説明では、ＡＰ１０の来客者向け無線ネットワークＣＮに接続されている無線端末のことを単に「ゲスト端末」とも呼ぶ。

Ａ−２．無線接続装置の概略構成：
図２は、無線接続装置１０と記憶媒体２０との構成を機能的に示すブロック図である。図２（Ａ）は、無線接続装置（ＡＰ）１０の構成を示している。ＡＰ１０は、ＣＰＵ１１０と、ＮＦＣインタフェース（Ｉ／Ｆ）１２０と、ＲＡＭ１３０と、無線通信インタフェース（Ｉ／Ｆ）１４０と、有線通信インタフェース（Ｉ／Ｆ）１５０と、フラッシュＲＯＭ１６０と、を備え、各構成要素はバスにより相互に接続されている。

ＣＰＵ１１０は、フラッシュＲＯＭ１６０に格納されているコンピュータプログラムをＲＡＭ１３０に展開して実行することにより、ＡＰ１０を制御する。また、ＣＰＵ１１０は、中継処理部１１１、ゲスト用機能１１２、取得部１１３、限定接続部１１４、認証部１１５の各機能を実現する。

中継処理部１１１は、ＡＰ１０が受信したパケットを宛先に応じて転送する中継処理を実行する。中継処理部１１１は、ゲスト端末、すなわち、来客者向け無線ネットワークに接続されている無線端末向けの機能として、ゲスト用機能１１２を備えている。ゲスト用機能１１２は、ゲスト端末から受信したパケットをフィルタリングする機能を持つ。具体的には、中継処理部１１１は、ゲスト端末から受信したパケットの宛先が、ＡＰ１０に接続されている他の無線端末である場合、換言すれば、ＡＰ１０のＬＡＮ（Local Area Network）内の端末である場合に、当該パケットを破棄する。これにより、ＡＰ１０は、ゲスト端末による通信先をインターネットに限定することができる。

取得部１１３は、ＮＦＣインタフェース１２０のＮＦＣリーダを用いて、記憶媒体２０に記憶されている情報を取得する。

限定接続部１１４は、来客者向け処理を実行する。来客者向け処理は、ＮＦＣインタフェース１２０が、その検出範囲内において記憶媒体２０を検出している間に限って、来客者向け無線ネットワークへの接続を可能とするための処理である。また、限定接続部１１４は、ＮＦＣインタフェース１２０と協働することによって、ＡＰ１０に対する記憶媒体２０の近接を検出する「検出部」としても機能する。

認証部１１５は、来客者向け処理において、記憶媒体２０に記憶されている情報を用いて、記憶媒体２０の正当性を認証する。

ＮＦＣインタフェース１２０は、ＩＳＯ／ＩＥＣ１４４４３およびＩＳＯ／ＩＥＣ１８０９２に準拠した近距離型の無線通信インタフェースである。ＮＦＣは、通信可能な距離が１０ｃｍ前後に限定された近距離無線通信であり、ＮＦＣインタフェースを備える通信機器同士が非接触な状態でも無線通信が可能なことから、非接触無線通信、または、近接無線通信とも呼ばれる。ＮＦＣインタフェース１２０は、ＮＦＣリーダ／ライタとアンテナとを含み、アンテナを介して送受信される電波を用いて、近接しているＩＣチップへの情報の読み書きをする。

無線通信インタフェース１４０は、送受信回路を含み、アンテナを介して受信した電波の復調とデータの生成、および、アンテナを介して送信する電波の生成と変調を行う。有線通信インタフェース１５０は、インターネットＩＮＴ（図１）側の回線と接続されるほか、有線ケーブルを通じてＬＡＮ内の他の装置（例えばＮＡＳやパーソナルコンピュータ等）と接続される。有線通信インタフェース１５０は、ＰＨＹ／ＭＡＣコントローラを含み、受信した信号の波形を整えるほか、受信した信号からＭＡＣフレームを取り出す。

フラッシュＲＯＭ１６０には、登録情報１６１が含まれている。登録情報１６１には、正当な記憶媒体２０（換言すれば、ＡＰ１０の正当な利用者へ発行された記憶媒体２０）に記憶されている認証情報と同一の情報が予め記憶されている。なお、登録情報１６１には、複数の正当な記憶媒体２０に対応する、複数の情報が記憶されていてもよい。

Ａ−３．記憶媒体の概略構成：
図２（Ｂ）は、記憶媒体２０の構成を示している。本実施形態において、記憶媒体２０は、ＩＣチップを含んだカードとして実現される。記憶媒体２０は、ＮＦＣタグ２１０と呼ばれるＩＣチップを含み、ＩＣチップ内には情報を記録しておくことができる。ＮＦＣタグ２１０には、認証情報２１１と、接続情報２１２とが含まれている。以降では、認証情報２１１と接続情報２１２とを総称して「媒体情報」とも呼ぶ。

認証情報２１１には、記憶媒体２０を識別するための情報が予め記憶されている。記憶媒体２０を識別するための情報には、特に限定はなく、例えば、記憶媒体２０に内蔵されているＩＣタグに割り当てられている識別子や任意に割り当てられたＵＵＩＤ（Universally Unique Identifier）等を採用することができる。

接続情報２１２には、ＡＰ１０の来客者向け無線ネットワークへ接続するために必要となる無線通信に関する設定情報が予め記憶されている。無線通信に関する設定情報には、来客者向け無線ネットワークのＳＳＩＤ（Service Set Identifier）と、来客者向け無線ネットワークでの無線通信における認証／暗号化方式と、前記暗号化に使用される暗号鍵と、来客者向け無線ネットワークでの無線通信に使用される無線チャンネルと、が含まれる。なお、来客者向け無線ネットワークのＳＳＩＤを、単に「ゲスト用ＳＳＩＤ」とも呼ぶ。

Ａ−４．来客者向け処理：
図３は、来客者向け処理の手順を示すフローチャートである。ステップＳ１０２においてＮＦＣインタフェース１２０は、記憶媒体２０のＮＦＣタグ２１０のタッチを検出する。なお、ステップＳ１０２では、タッチの検出に代えて、記憶媒体２０のＮＦＣタグ２１０が、ＮＦＣインタフェース１２０のＮＦＣリーダの読み取り可能範囲にあることを検出してもよい。

ステップＳ１０４において取得部１１３は、ＮＦＣインタフェース１２０のＮＦＣリーダによって読み取られた媒体情報、すなわち、認証情報２１１と接続情報２１２とを取得する。

ステップＳ１０６において認証部１１５は、ステップＳ１０４で取得した認証情報２１１と、フラッシュＲＯＭ１６０の登録情報１６１に記憶されている情報とを照合する。

ステップＳ１０８において認証部１１５は、ステップＳ１０４で取得した認証情報２１１が登録情報１６１に登録済であるか否かを判定する。具体的には、認証部１１５は、ステップＳ１０６における照合の結果、取得した認証情報２１１が登録情報１６１に記憶されている情報と一致する場合、取得した認証情報２１１は登録情報１６１に登録済であり、記憶媒体２０は正当であると判定する。一方、認証部１１５は、ステップＳ１０６における照合の結果、取得した認証情報２１１が登録情報１６１に記憶されている情報と一致しない場合、取得した認証情報２１１は登録情報１６１に登録済でなく、記憶媒体２０は正当でないと判定する。なお、登録情報１６１において、複数の正当な記憶媒体２０に対応する複数の情報が記憶されている場合、ステップＳ１０８における一致の判定は一部一致でよい。

認証情報２１１が登録情報１６１に登録済でない場合（ステップＳ１０８：ＮＯ）、認証部１１５は、処理をステップＳ１０２に遷移させる。一方、認証情報２１１が登録情報１６１に登録済である場合（ステップＳ１０８：ＹＥＳ）、認証部１１５は、処理をステップＳ１１０に遷移させる。

ステップＳ１１０において限定接続部１１４は、無線通信インタフェース１４０を有効にする。ステップＳ１１２において限定接続部１１４は、ゲスト用ＳＳＩＤ、すなわち、来客者向け無線ネットワークのＳＳＩＤを有効にする。ステップＳ１１０、Ｓ１１２により、ＡＰ１０からはゲスト用ＳＳＩＤを用いたビーコンが送信される。ステップＳ１１４において限定接続部１１４は、中継処理部１１１のゲスト用機能１１２を有効にする。

ステップＳ１１６において限定接続部１１４は、例えばパーソナルコンピュータ３０等の任意の無線端末との無線通信ＣＮ（図１）を確立する。具体的には、限定接続部１１４は、無線端末から送信されるプローブ要求を受信し、プローブ応答の送信と、認証等の処理を行うことによって、無線端末との無線通信を確立する。

ステップＳ１１６以降は、図１に示すように、使用者は、パーソナルコンピュータ３０等の任意の無線端末を用いて、ＡＰ１０の来客者向け無線ネットワークＣＮへ接続することができる。なお、来客者向け無線ネットワークＣＮにおける無線端末の通信先は、中継処理部１１１のゲスト用機能１１２によって、インターネットに限定される。

ステップＳ１１８において限定接続部１１４は、ＮＦＣインタフェース１２０が記憶媒体２０のＮＦＣタグ２１０のタッチを検出しているか否かを判定する。なお、ステップＳ１１８では、ステップＳ１０２と同様に、タッチの検出に代えて、記憶媒体２０のＮＦＣタグ２１０が、ＮＦＣインタフェース１２０のＮＦＣリーダの読み取り可能範囲にあるか否かを判定してもよい。

ＮＦＣタグ２１０のタッチを検出している場合（ステップＳ１１８：ＹＥＳ）、限定接続部１１４は処理をステップＳ１１８に遷移させ、ＮＦＣインタフェース１２０が記憶媒体２０のＮＦＣタグ２１０のタッチを検出しているか否かの監視を継続する。一方、ＮＦＣタグ２１０のタッチを検出していない場合（ステップＳ１１８：ＮＯ）、限定接続部１１４は、処理をステップＳ１２０に遷移させる。

ステップＳ１２０において限定接続部１１４は、中継処理部１１１のゲスト用機能１１２を無効にする。ステップＳ１２２において限定接続部１１４は、ゲスト用ＳＳＩＤを無効にする。ステップＳ１２４において限定接続部１１４は、無線通信インタフェース１４０を無効にする。ステップＳ１２２、Ｓ１２４により、使用者の無線端末の来客者向け無線ネットワークＣＮへの接続が切断されると共に、ＡＰ１０からのゲスト用ＳＳＩＤを用いたビーコンの送信が停止される。このように、来客者向け無線ネットワークへの接続を許可しない間において、無線通信インタフェース１４０を無効にすれば、ＡＰ１０の消費電力を低減させることができる。

以上のように、第１実施形態の来客者向け処理によれば、限定接続部１１４は、ＡＰ１０（無線接続装置）と認証情報２１１が記憶された記憶媒体２０とが近接している間に限り、パーソナルコンピュータ３０（無線端末）による来客者向け無線ネットワークＣＮへの接続を可能とする。このように、来客者向け無線ネットワークＣＮの接続に対して、記憶媒体２０が必要であるという制限を設ければ、ゲスト用ＳＳＩＤ（来客者向け無線ネットワーク用のＳＳＩＤ）等が漏えいしたとしても、悪意のある第三者は、来客者向け無線ネットワークＣＮへ接続することができない。さらに、正当な利用者が記憶媒体２０を紛失した、または、記憶媒体２０が悪意のある第三者によって偽造された、等の場合であっても、「ＡＰ１０と記憶媒体２０の近接」という物理的な距離の制限のために、記憶媒体２０を入手した第三者は、遠隔では来客者向け無線ネットワークＣＮへ接続することができない。この結果、ＡＰ１０において、来客者向け無線ネットワークＣＮへの不正アクセスのリスクを低減することで、来客者向け無線ネットワークＣＮにおけるセキュリティを向上させることができる。また、来客者向け無線ネットワークＣＮを利用するためには、利用者は、記憶媒体２０とＡＰ１０とを近接させればよいため、ＡＰ１０において、来客者向け無線ネットワークＣＮを簡便に利用可能とすることができる。

さらに、第１実施形態の来客者向け処理によれば、限定接続部１１４およびＮＦＣインタフェース１２０（検出部）は、取得部１１３による認証情報２１１の取得が可能な場合に、ＡＰ１０（無線接続装置）と記憶媒体２０とが近接していると判定する。このため、「ＡＰ１０と記憶媒体２０の近接」という物理的な距離の制限を、採用される近距離無線通信の方式による情報の読み書き範囲の広さに応じて、数センチ〜１メートル前後の間で任意に調整することができる。

さらに、第１実施形態の来客者向け処理によれば、限定接続部１１４は、ゲスト用機能１１２を有効とすることで、来客者向け無線ネットワークＣＮへ接続しているパーソナルコンピュータ３０（無線端末）から、ＡＰ１０（無線接続装置）が提供する複数のネットワークのうちの、他のネットワークへの通信を制限する。すなわち、来客者向け無線ネットワークＣＮを、ＡＰ１０に接続されている他の無線端末で構成される他のネットワーク（例えばＬＡＮ等）から分離させることができる。このため、来客者向け無線ネットワークＣＮへ接続しているパーソナルコンピュータ３０（無線端末）から他のネットワークに対する不正アクセスを抑制することができ、ＡＰ１０におけるセキュリティをより向上させることができる。

さらに、第１実施形態の来客者向け処理によれば、認証部１１５は、記憶媒体２０に記憶されている認証情報２１１を用いて、記憶媒体２０の正当性を認証する。このため、記憶媒体２０が悪意のある第三者によって偽造された等、記憶媒体２０の正当性が確認できなかった場合に、当該記憶媒体２０を用いた接続を禁止するといった措置を採用することができる。この結果、ＡＰ１０（無線接続装置）におけるセキュリティをより向上させることができる。

Ｂ．第２実施形態：
本発明の第２実施形態では、第１実施形態とは異なるネットワーク構成を採用した場合の例について説明する。以下では、第１実施形態と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施形態と同様の構成部分については先に説明した第１実施形態と同様の符号を付し、その詳細な説明を省略する。

Ｂ−１．システムの概略構成：
図４は、第２実施形態の無線接続装置を用いて、利用者が来客者向け無線ネットワークに接続する様子を示す説明図である。図１に示した第１実施形態との違いは、ＡＰ１０に代えてＡＰ１０ａを備える点と、記憶媒体２０に代えて記憶媒体２０ａを備える点と、ＡＰ１０ａがネットワーク装置４０に接続されている点である。

ネットワーク装置４０は、ＩＥＥＥ８０２．１１規格と、ＩＥＥＥ８０２．３規格とに準拠したアクセスポイント装置である。以降、ネットワーク装置４０を「ＡＰ４０」とも呼ぶ。ＡＰ４０は、ルータとしても機能し、有線ケーブルを介してインターネットＩＮＴに接続されている。

Ｂ−２．無線接続装置の概略構成：
図５は、第２実施形態の無線接続装置１０ａと記憶媒体２０ａとの構成を機能的に示すブロック図である。図５（Ａ）は、無線接続装置（ＡＰ）１０ａの構成を示している。図２（Ａ）に示した第１実施形態との違いは、ＣＰＵ１１０に代えてＣＰＵ１１０ａを備える点である。ＣＰＵ１１０ａは、限定接続部１１４に代えて限定接続部１１４ａを備えている。限定接続部１１４ａは、実行する来客者向け処理の処理内容が第１実施形態と異なる。

Ｂ−３．記憶媒体の概略構成：
図５（Ｂ）は、記憶媒体２０ａの構成を示している。図２（Ｂ）に示した第１実施形態との違いは、ＮＦＣタグ２１０に代えてＮＦＣタグ２１０ａを備える点である。ＮＦＣタグ２１０ａは、接続情報２１２に代えて接続情報２１２ａを備えている。接続情報２１２ａには、ＡＰ１０ａの来客者向け無線ネットワークへ接続するために必要となる無線通信に関する設定情報に加えて、ＡＰ４０の来客者向け無線ネットワークへ接続するために必要となる無線通信に関する設定情報が予め記憶されている。各設定情報の詳細は、図２（Ｂ）で説明した通りである。

Ｂ−４．来客者向け処理：
図６は、第２実施形態における来客者向け処理の手順を示すフローチャートである。図３に示した第１実施形態との違いは、ステップＳ１１６に代えてステップＳ２０２およびＳ２０４を備える点である。なお、以下に説明するステップＳ２０２とＳ２０４との実行順序は逆にしてもよい。

ステップＳ２０２において限定接続部１１４ａは、ＡＰ４０との間の無線通信ＣＮ２（図４）を確立する。具体的には、限定接続部１１４ａは、ＡＰ４０から送信されるビーコンに応じてプローブ要求を送信する。ＡＰ４０からのプローブ応答の受信と、ＡＰ４０による認証等の処理を経て、ＡＰ１０ａは、ＡＰ４０との間の無線通信を確立する。ステップＳ２０４において限定接続部１１４ａは、例えばパーソナルコンピュータ３０等の任意の無線端末との無線通信ＣＮ１（図４）を確立する。具体的には、限定接続部１１４ａは、無線端末から送信されるプローブ要求を受信し、プローブ応答の送信と、認証等の処理を行うことによって、無線端末との無線通信を確立する。

ステップＳ２０４以降は、図４に示すように、使用者は、パーソナルコンピュータ３０等の任意の無線端末を用いて、ＡＰ１０ａの来客者向け無線ネットワークＣＮ１、ＣＮ２へ接続することができる。なお、来客者向け無線ネットワークＣＮ１、２における無線端末の通信先は、中継処理部１１１のゲスト用機能１１２によって、インターネットに限定される。また、ステップＳ１１８以降において、ＮＦＣタグ２１０のタッチまたは近接を検出できなくなった場合に、使用者の無線端末の来客者向け無線ネットワークＣＮ１、２への接続を切断する点は、第１実施形態と同様である。

以上のように、第２実施形態の来客者向け処理によれば、第１実施形態で説明した効果と同様の効果を得ることができる。さらに、第２実施形態の来客者向け処理によれば、限定接続部１１４ａは、さらに、ＡＰ１０ａ（無線接続装置）とインターネットＩＮＴとの間に、インターネットＩＮＴ接続の際のゲートウェイとして機能するＡＰ４０（ネットワーク装置）がある場合に、当該ＡＰ４０に対して、ＡＰ１０ａを介した来客者向け無線ネットワークへの接続を許可させる（ステップＳ２０２）。このため、ＡＰ１０ａとインターネットＩＮＴとの間にネットワーク装置がある場合であっても、来客者向け無線ネットワークＣＮ１へ接続しているパーソナルコンピュータ３０（無線端末）からインターネットＩＮＴへの通信を実現することができる。

Ｃ．第３実施形態：
本発明の第３実施形態では、第２実施形態で説明した構成において、ゲスト端末からインターネットを介したＬＡＮアクセスを実現する場合の例について説明する。以下では、第２実施形態と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第２実施形態と同様の構成部分については先に説明した第２実施形態と同様の符号を付し、その詳細な説明を省略する。

Ｃ−１．システムの概略構成：
図７は、第３実施形態の無線接続装置を用いて、利用者が来客者向け無線ネットワークに接続する様子を示す説明図である。図２に示した第２実施形態との違いは、ＡＰ１０ａに代えてＡＰ１０ｂを備える点と、記憶媒体２０ａに代えて記憶媒体２０ｂを備える点と、ＡＰ４０に代えてＡＰ４０ｂを備える点と、ルータ５０を備える点と、サーバ６０を備える点である。

ＡＰ４０ｂは、ＩＥＥＥ８０２．１１規格と、ＩＥＥＥ８０２．３規格とに準拠したアクセスポイント装置である。ＡＰ４０は、ルータとしても機能し、有線ケーブルを介してインターネットＩＮＴに接続されている。ＡＰ４０ｂは、ＩＰｓｅｃ（Security Architecture for Internet Protocol）を使用して、ＡＰ４０ｂを終端とする仮想プライベートネットワーク（以降「ＶＰＮ」とも呼ぶ、Virtual Private Network）を用いた通信路ＴＮを確立することができる。

ルータ５０は、ＩＥＥＥ８０２．３規格に準拠したルータ装置である。ルータ５０は、有線ケーブルを介してインターネットＩＮＴおよびサーバ６０と接続されている。ルータ５０は、ＡＰ４０ｂと同様に、ＩＰｓｅｃを使用して、ルータ５０を終端とするＶＰＮを用いた通信路ＴＮを確立することができる。

サーバ６０は、図示しないハードディスクドライブを備えている。サーバ６０のハードディスクドライブには、音声データ、画像データ、アプリケーションデータ等の様々なユーザデータが格納されている。

Ｃ−２．無線接続装置の概略構成：
図８は、第３実施形態の無線接続装置１０ｂと記憶媒体２０ｂとの構成を機能的に示すブロック図である。図８（Ａ）は、無線接続装置（ＡＰ）１０ｂの構成を示している。図５（Ａ）に示した第２実施形態との違いは、ＣＰＵ１１０ａに代えてＣＰＵ１１０ｂを備える点である。ＣＰＵ１１０ｂは、限定接続部１１４ａに代えて限定接続部１１４ｂを備え、さらに、仮想化要求部１１６を備えている。限定接続部１１４ｂは、実行する来客者向け処理の処理内容が第２実施形態と異なる。仮想化要求部１１６は、ＡＰ４０ｂに対して、ＶＰＮを用いた通信路ＴＮの確立を要求する。

Ｃ−３．記憶媒体の概略構成：
図８（Ｂ）は、記憶媒体２０ｂの構成を示している。図５（Ｂ）に示した第２実施形態との違いは、ＮＦＣタグ２１０ａに代えてＮＦＣタグ２１０ｂを備える点である。ＮＦＣタグ２１０ｂは、接続情報２１２ａに代えて接続情報２１２ｂを備えている。接続情報２１２ｂには、ＡＰ１０ｂの来客者向け無線ネットワークへ接続するために必要となる無線通信に関する設定情報と、ＡＰ４０ｂの来客者向け無線ネットワークへ接続するために必要となる無線通信に関する設定情報と、に加えて、ＡＰ４０ｂがＶＰＮを用いた通信路ＴＮを確立するために必要となる設定情報が予め記憶されている。この設定情報は、具体的には、ＶＰＮ設定情報と、接続用の鍵と、を含む。

Ｃ−４．来客者向け処理：
図９は、第３実施形態における来客者向け処理の手順を示すフローチャートである。図６に示した第２実施形態との違いは、ステップＳ２０４の次に、さらにステップＳ３０２を備える点である。なお、以下に説明するステップＳ２０２、Ｓ２０４、Ｓ３０２の実行順序は入れ替えてもよい。

ステップＳ３０２において仮想化要求部１１６は、ＡＰ４０ｂに対してＶＰＮ設定要求を送信する。この際、仮想化要求部１１６は、ステップＳ１０４で取得した接続情報２１２ｂに含まれるＶＰＮ設定情報と接続用の鍵とを、ＶＰＮ設定要求と共に送信する。ＶＰＮ設定要求を受信したＡＰ４０ｂは、ＶＰＮ設定情報に従って通信路ＴＮを確立するために必要となる設定を実施し、ルータ５０との間で接続用の鍵交換を実施し、ＶＰＮを用いた通信路ＴＮを確立する。

ステップＳ３０２以降は、図７に示すように、使用者は、パーソナルコンピュータ３０等の任意の無線端末を用いて、ＡＰ１０ｂの来客者向け無線ネットワークＣＮ１、ＣＮ２へ接続することができる。さらに、インターネットＩＮＴを介したサーバ６０との通信内容は、ＶＰＮを用いた通信路ＴＮによってカプセル化、暗号化される。なお、来客者向け無線ネットワークＣＮ１、２における無線端末の通信先は、中継処理部１１１のゲスト用機能１１２によって、インターネットに限定される。また、ステップＳ１１８以降において、ＮＦＣタグ２１０のタッチまたは近接を検出できなくなった場合に、使用者の無線端末の来客者向け無線ネットワークＣＮ１、２への接続を切断する点は、第２実施形態と同様である。さらに、来客者向け無線ネットワークＣＮ２の切断に伴い、ＡＰ４０ｂは、ルータ５０との間のＶＰＮ接続を切断する。

以上のように、第３実施形態の来客者向け処理によれば、第２実施形態で説明した効果と同様の効果を得ることができる。さらに、第３実施形態の来客者向け処理によれば、仮想化要求部１１６は、ＡＰ１０ｂ（無線接続装置）とインターネットＩＮＴとの間にＡＰ４０ｂ（ネットワーク装置）がある場合に、当該ＡＰ４０ｂに対して、ＶＰＮ（仮想プライベートネットワーク）を用いた通信路ＴＮの確立を要求する。ＶＰＮを用いた通信路ＴＮでは、インターネットＩＮＴを経由した通信内容のカプセル化や暗号化が行われる。このため、来客者向け無線ネットワークへ接続しているパーソナルコンピュータ３０（無線端末）と、無線端末の通信相手装置、すなわち上記実施形態によればサーバ６０と、の間の通信におけるセキュリティを向上させることができる。

Ｄ．第４実施形態：
本発明の第４実施形態では、第１実施形態で説明した構成において、さらに、一時的に有効な一時鍵を用いて記憶媒体の認証を実施する構成について説明する。以下では、第１実施形態と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施形態と同様の構成部分については先に説明した第１実施形態と同様の符号を付し、その詳細な説明を省略する。

Ｄ−１．システムの概略構成：
第４実施形態の無線接続装置を用いて利用者が来客者向け無線ネットワークに接続する様子は、図１に示した第１実施形態と同様である。ただし、第４実施形態では、ＡＰ１０に代えてＡＰ１０ｃを備え、記憶媒体２０に代えて記憶媒体２０ｃを備える。

Ｄ−２．無線接続装置の概略構成：
図１０は、第４実施形態の無線接続装置１０ｃと記憶媒体２０ｃとの構成を機能的に示すブロック図である。図１０（Ａ）は、無線接続装置（ＡＰ）１０ｃの構成を示している。図２（Ａ）に示した第１実施形態との違いは、ＣＰＵ１１０に代えてＣＰＵ１１０ｃを備える点と、フラッシュＲＯＭ１６０に代えてフラッシュＲＯＭ１６０ｃを備える点である。

ＣＰＵ１１０ｃは、取得部１１３に代えて取得部１１３ｃを備え、限定接続部１１４に代えて限定接続部１１４ｃを備え、認証部１１５に代えて認証部１１５ｃを備えている。取得部１１３ｃは、記憶媒体２０ｃから取得する情報が第１実施形態と異なる。限定接続部１１４ｃは、実行する来客者向け処理の処理内容が第１実施形態と異なる。認証部１１５ｃは、来客者向け処理において、記憶媒体２０ｃに記憶されている情報を用いて、記憶媒体２０ｃの正当性を認証する。さらに、本実施形態の認証部１１５ｃは、来客者向け処理に先立って、一時鍵発行処理を実行することで、一時的に有効な一時鍵を生成すると共に、生成した一時鍵を記憶媒体２０ｃに記憶させる。ここで、一時鍵とは、時間的制限または回数的制限が付された鍵である限り、任意の形態を採用可能である。一時鍵は、例えば、一回限り有効なワンタイムキー（ワンタイムパスワード）であってもよい。

フラッシュＲＯＭ１６０ｃは、登録情報１６１に加えてさらに、発行済鍵記憶部１６２を備えている。発行済鍵記憶部は、認証部１１５ｃが実行する一時鍵発行処理によって生成された一時鍵と同一の情報が記憶されている。

Ｄ−３．記憶媒体の概略構成：
図１０（Ｂ）は、記憶媒体２０ｃの構成を示している。図２（Ｂ）に示した第１実施形態との違いは、ＮＦＣタグ２１０に代えてＮＦＣタグ２１０ｃを備える点である。ＮＦＣタグ２１０ｃには、一時鍵発行処理を経て、一時鍵２１３が記憶される。

Ｄ−４．一時鍵発行処理：
図１１は、一時鍵発行処理の手順を示すフローチャートである。一時鍵発行処理は、図１２に示す来客者向け処理に先立って実行される。ステップＳ４０２においてＮＦＣインタフェース１２０は、記憶媒体２０ｃのＮＦＣタグ２１０ｃのタッチを検出する。なお、ステップＳ４０２では、タッチの検出に代えて、ＮＦＣタグ２１０ｃが、ＮＦＣインタフェース１２０のＮＦＣリーダの読み取り可能範囲にあることを検出してもよい。なお、一時鍵発行処理の開始トリガと、後述の来客者向け処理の開始トリガとを区別するために、ステップＳ４０２では、記憶媒体２０ｃのＮＦＣタグ２１０ｃのタッチの検出に代えて、またはタッチの検出と共に、ＡＰ１０ｃが備えるボタンの押下の検出や、ＨＴＴＰ（HyperText Transfer Protocol）等の手段により提供されるＡＰ１０の設定画面を介して与えられる利用者からの指示を利用してもよい。

ステップＳ４０４において認証部１１５ｃは、一時鍵を生成する。一時鍵の生成には、例えば、数学的アルゴリズムを利用した生成方法や、時刻同期型の生成方法等、周知の種々の方法を採用することができる。

ステップＳ４０６において認証部１１５ｃは、ステップＳ４０４で生成した一時鍵を、ＮＦＣインタフェース１２０のＮＦＣライタを介して、記憶媒体２０ｃのＮＦＣタグ２１０ｃに記憶させる。ステップＳ４０６を経て、記憶媒体２０ｃのＮＦＣタグ２１０ｃには、一時鍵２１３が記憶される。

ステップＳ４０８において認証部１１５ｃは、ステップＳ４０４で生成した一時鍵を、フラッシュＲＯＭ１６０ｃの発行済鍵記憶部１６２に記憶させる。なお、この際、認証部１１５ｃは、一時鍵を表す情報に加えて、一時鍵に付された制限（時間的制限、回数的制限）を発行済鍵記憶部１６２に記憶させてもよい。

このように、一時鍵発行処理によれば、認証部１１５ｃは、一時的に有効な一時鍵を生成すると共に、生成した一時鍵をＮＦＣ（近距離無線通信）によって記憶媒体２０ｃに記憶させることができる。このため、第４実施形態の来客者向け処理において必要となる一時鍵を、手軽に発行することができる。

Ｄ−５．来客者向け処理：
図１２は、第４実施形態における来客者向け処理の手順を示すフローチャートである。図１に示した第１実施形態との違いは、ステップＳ１０４〜Ｓ１０８に代えてステップＳ５０２〜Ｓ５０６を備える点である。

ステップＳ５０２において取得部１１３ｃは、ＮＦＣインタフェース１２０のＮＦＣリーダによって読み取られた媒体情報、すなわち、認証情報２１１と、接続情報２１２と、一時鍵２１３とを取得する。ステップＳ５０４において認証部１１５ｃは、ステップＳ５０２で取得した認証情報２１１と、フラッシュＲＯＭ１６０ｃの登録情報１６１に記憶されている情報とを照合する。また、認証部１１５ｃは、ステップＳ５０２で取得した一時鍵２１３と、フラッシュＲＯＭ１６０ｃの発行済鍵記憶部１６２に記憶されている情報とを照合する。

ステップＳ５０６において認証部１１５ｃは、認証情報２１１と、一時鍵２１３とが、共に登録済であるか否かを判定する。認証情報２１１が登録済であるか否かを判定する方法については、図３のステップＳ１０８で説明した通りである。認証部１１５ｃは、ステップＳ５０４における照合の結果、取得した一時鍵２１３が発行済鍵記憶部１６２に記憶されている情報と一致する場合、取得した一時鍵２１３は発行済鍵記憶部１６２に登録済であると判定する。一方、認証部１１５ｃは、ステップＳ５０４における照合の結果、取得した一時鍵２１３が発行済鍵記憶部１６２に記憶されている情報と一致しない場合、取得した一時鍵２１３は発行済鍵記憶部１６２に登録済でないと判定する。さらに、認証部１１５ｃは、認証情報２１１が登録情報１６１に登録済であり、かつ、一時鍵２１３が発行済鍵記憶部１６２に登録済である場合に限り、記憶媒体２０ｃは正当であると判定し、他の場合は、記憶媒体２０ｃは正当でないと判定する。なお、発行済鍵記憶部１６２において、複数の正当な記憶媒体２０ｃに対応する複数の情報が記憶されている場合、ステップＳ５０６における一致の判定は一部一致でよい。

認証情報２１１が登録情報１６１に登録済であり、かつ、一時鍵２１３が発行済鍵記憶部１６２に登録済である場合（ステップＳ５０６：ＹＥＳ）、認証部１１５ｃは、処理をステップＳ１１０に遷移させる。他の場合、認証部１１５ｃは処理をステップＳ５０２に遷移させる。

以上のように、第４実施形態の来客者向け処理によれば、第１実施形態で説明した効果と同様の効果を得ることができる。さらに、第４実施形態の来客者向け処理によれば、認証部１１５ｃは、認証情報２１１と共に、一時鍵２１３を用いて記憶媒体２０ｃの正当性を認証する。一時的にしか有効でない一時鍵２１３は、継続的に記憶媒体２０ｃに記憶されている認証情報２１１と比較して、セキュリティ強度が高い。このような一時鍵２１３を用いて記憶媒体２０ｃの正当性を認証することで、認証部１１５ｃは、認証の信頼性をより向上させることができる。この結果、ＡＰ１０ｃ（無線接続装置）におけるセキュリティをより向上させることができる。

Ｅ．第５実施形態：
本発明の第５実施形態では、記憶媒体が無線端末に内蔵されている構成を採用した場合の例について説明する。以下では、第１実施形態と異なる構成および動作を有する部分についてのみ説明する。なお、図中において第１実施形態と同様の構成部分については先に説明した第１実施形態と同様の符号を付し、その詳細な説明を省略する。

図１３は、第５実施形態の無線接続装置を用いて、利用者が来客者向け無線ネットワークに接続する様子を示す説明図である。図１に示した第１実施形態との違いは、無線端末として、パーソナルコンピュータ３０に代えてスマートフォン７０を備える点と、記憶媒体２０を備えない点である。

スマートフォン７０には、ＮＦＣタグ２１０が内蔵されている。ＮＦＣタグ２１０の詳細は、第１実施形態の記憶媒体２０に内蔵されているＮＦＣタグ２１０と同様である（図２（Ｂ））。

本実施形態のＡＰ１０の構成は、図２（Ａ）に示した第１実施形態と同様であり、ＡＰ１０によって実行される来客向け処理の内容は、図３に示した第１実施形態と同様である。このため、ＡＰ１０の利用者は、自身が所持するスマートフォン７０をＡＰ１０のＮＦＣインタフェース１２０に近接させている間に限り、スマートフォン７０を用いて、ＡＰ１０の来客者向け無線ネットワークＣＮへ接続することができる。

このように、第５実施形態の構成を採用した場合であっても、第１実施形態で説目した効果と同様の効果を得ることができる。また、本実施形態で説明したスマートフォン７０を無線端末として使用する構成は、第１実施形態のみならず、第２〜第４実施形態においても同様に使用することができる。

Ｆ．変形例：
上記実施形態において、ハードウェアによって実現されるとした構成の一部をソフトウェアに置き換えるようにしてもよく、逆に、ソフトウェアによって実現されるとした構成の一部をハードウェアに置き換えるようにしてもよい。その他、以下のような変形も可能である。

・変形例１：
上記実施形態では、無線接続装置と、記憶媒体と、の構成の一例を挙げた。しかし、上記実施形態における構成はあくまで一例であり、種々の変更が可能である。例えば、構成要素の一部を省略したり、更なる構成要素を付加したり、構成要素の一部を変更したりする変形が可能である。

例えば、無線接続装置は、さらに、記憶媒体を保持するための保持部を備えていてもよい。保持部は、例えば、無線接続装置の筐体の外側であって、内蔵されているＮＦＣインタフェースの近傍に設けられたポケット形状とすることができる。このようにすれば、利用者は、無線接続装置の来客者向け無線ネットワークを使用したい場合に、記憶媒体を無線接続装置の保持部（ポケット）に入れておくことができる。この結果、利用者における利便性を向上させることができる。

例えば、無線接続装置のゲスト用機能は、ゲスト端末から受信したパケットのフィルタリング以外の機能を有していてもよい。例えば、ゲスト用機能は、ゲスト端末に対するウィルススキャンを実施する機能を有していてもよい。また、ゲスト用機能は、ゲスト端末との間で送受信されるパケットのログを取得する機能を有していてもよい。このようにすれば、無線接続装置が提供する来客者向け無線ネットワークにおけるセキュリティをより向上させることができる。

例えば、無線接続装置は、ＮＦＣインタフェースに代えて、他の近距離無線通信インタフェース（具体的には、例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＴｒａｎｓｆｅｒＪＥＴ等）を備えていてもよい。この場合、記憶媒体の側にも無線接続装置と同様の近距離無線通信インタフェース（例えば、Ｂｌｕｅｔｏｏｔｈ）を備える構成とする。さらに、無線接続装置と記憶媒体とのＢｌｕｅｔｏｏｔｈペアリングは、事前に終了していることを前提とする。その上で、上記実施形態において、「ＮＦＣタグのタッチ検出」とした箇所を「Ｂｌｕｅｔｏｏｔｈを用いた接続の検出」と読み替えることができる。なお、Ｂｌｕｅｔｏｏｔｈに代えてＴｒａｎｓｆｅｒＪＥＴを使用した場合も同様である。

例えば、第３実施形態の無線接続装置は、ＩＰｓｅｃを用いて仮想プライベートネットワーク（ＶＰＮ）を実現するとした。しかし、少なくとも２つの装置間のトンネリングを実施して仮想プライベートネットワークを実現可能な限りにおいて、ＩＰｓｅｃ以外の他のプロトコルを採用してもよい。例えば、Ｌ２ＴＰ（Layer 2 Tunneling Protocol ）を採用してもよく、ＰＰＴＰ（Point to Point Tunneling Protocol）を採用してもよい。さらに、ＶＰＮにおいてカプセル化されたフレーム内のデータの暗号化は省略してもよい。

例えば、無線接続装置において、フラッシュＲＯＭは異なる記憶媒体で構成されていてもよい。例えば、無線接続装置は、フラッシュＲＯＭに代えて、ＵＳＢメモリやＵＳＢハードディスク等の着脱可能な記憶媒体を備えていてもよい。また、例えば、上記実施形態においてフラッシュＲＯＭに記憶されると説明した情報は、複数の記憶媒体に分散されて記憶されていてもよい。

・変形例２：
上記実施形態では、来客者向け処理および一時鍵発行処理の一例を示した。しかし、上記実施形態における処理の手順はあくまで一例であり、種々の変形が可能である。例えば、一部のステップを省略してもよいし、更なる他のステップを追加してもよい。また、実行されるステップの順序を変更してもよい。

例えば、来客者向け処理のステップＳ１０６において認証部は、外部にある認証サーバに対してステップＳ１０４で取得した認証情報を送信し、認証サーバに記憶媒体の正当性を認証させて、その認証結果を取得してもよい。この場合、無線接続装置のフラッシュＲＯＭ内の登録情報は省略可能である。なお、この際、認証サーバは「外部装置」として機能する。認証サーバは、無線接続装置と同一のＬＡＮ内に存在していてもよく、インターネット上に存在していてもよい。

例えば、来客者向け処理のステップＳ１０６の認証は、省略してもよい。また、例えば、来客者向け処理のステップＳ１１０およびＳ１２４は、省略してもよい。具体的には、例えば、無線接続装置がマルチＳＳＩＤ機能、すなわち、１つの物理的なアクセスポイントを、複数のＳＳＩＤを用いて複数の論理的なアクセスポイントとして動作させる機能に対応している場合、ステップＳ１１０およびＳ１２４を省略することで、ゲスト用ＳＳＩＤ以外の他のＳＳＩＤを用いた無線通信を継続させることができる。

例えば、第４実施形態の来客者向け処理のステップＳ５０２〜Ｓ５０６では、記憶媒体から取得した認証情報と一時鍵との両方を用いて記憶媒体の認証を行うこととしたが、認証情報を用いた認証は省略してもよい。この場合、無線接続装置のフラッシュＲＯＭに格納されているとした登録情報と、記憶媒体のＮＦＣタグに記憶されているとした認証情報とは省略してもよい。

・変形例３：
上記実施形態では、無線接続装置に接続される無線端末の一例を挙げた。しかし、上記実施形態における無線端末はあくまで一例であり、種々の装置を使用することができる。例えば、携帯電話、ＰＤＡ（Personal Digital Assistants）等のモバイル機器や、デジタルカメラ、プリンタ、ネットワークディスプレイ、スキャナ等の画像入出力機器や、オーディオ、テレビ等のＡＶ機器や、冷蔵庫、空調機、テレビ等の家電製品や、ＮＡＳ（Network Attached Storage）等を使用することができる。また、第５実施形態の例と同様に、上述の無線端末に記憶媒体（例えばＮＦＣタグ）が内蔵されていてもよい。

・変形例４：
本発明は、上述の実施形態や実施例、変形例に限られるものではなく、その趣旨を逸脱しない範囲において種々の構成で実現することができる。例えば、発明の概要の欄に記載した各形態中の技術的特徴に対応する実施形態、実施例、変形例中の技術的特徴は、上述の課題の一部または全部を解決するために、あるいは、上述の効果の一部または全部を達成するために、適宜、差し替えや組み合わせを行うことが可能である。また、その技術的特徴が本明細書中に必須なものとして説明されていなければ、適宜、削除することが可能である。

１０…無線接続装置、２０、２０ａ〜ｃ…記憶媒体、３０…パーソナルコンピュータ、４０…ネットワーク装置、５０…ルータ、６０…サーバ、７０…スマートフォン、１１０、１１０ａ〜ｃ…ＣＰＵ、１１１…中継処理部、１１２…ゲスト用機能、１１３、１１３ｃ…取得部、１１４、１１４ａ〜ｃ…限定接続部、１１５、１１５ｃ…認証部、１１６…仮想化要求部、１４０…無線通信インタフェース、１５０…有線通信インタフェース、１６１…登録情報、１６２…発行済鍵記憶部、２１１…認証情報、２１２、２１２ａ、ｂ…接続情報、２１３…一時鍵、ＣＮ…来客者向け無線ネットワーク、ＴＮ…通信路、ＩＮＴ…インターネット

Claims (11)

1. 無線接続装置であって、
   近距離無線通信によって、前記無線接続装置に対する記憶媒体の近接を検出する検出部と、
   前記近接を検出している間、前記無線接続装置により提供される複数のネットワークのうちの他のネットワークから隔離された無線ネットワークである来客者向け無線ネットワークに対する、無線端末の接続を可能とする限定接続部と、
   を備える、無線接続装置。
2. 請求項１に記載の無線接続装置であって、さらに、
   前記近距離無線通信によって、前記記憶媒体から認証情報を取得する取得部を備え、
   前記検出部は、前記取得部による前記認証情報の取得が可能な場合に、前記無線接続装置と前記記憶媒体とが近接していると判定する、無線接続装置。
3. 請求項１または請求項２に記載の無線接続装置であって、
   前記限定接続部は、さらに、前記来客者向け無線ネットワークへ接続している前記無線端末から、前記他のネットワークへの通信を制限することで、前記無線端末による通信先をインターネットに限定する、無線接続装置。
4. 請求項１から請求項３のいずれか一項に記載の無線接続装置であって、
   前記限定接続部は、さらに、前記無線接続装置とインターネットとの間にネットワーク装置がある場合に、前記ネットワーク装置に対して、前記無線接続装置を介した前記来客者向け無線ネットワークへの接続を許可させる、無線接続装置。
5. 請求項１から請求項４のいずれか一項に記載の無線接続装置であって、さらに、
   取得した前記認証情報を用いて、前記記憶媒体の正当性を認証する認証部を備える、無線接続装置。
6. 請求項１から請求項４のいずれか一項に記載の無線接続装置であって、さらに、
   取得した前記認証情報を外部装置へ送信し、前記記憶媒体の正当性の認証結果を前記外部装置から取得する認証部を備える、無線接続装置。
7. 請求項５または請求項６に記載の無線接続装置であって、
   前記認証部は、さらに、一時的に有効な一時鍵を生成し、前記生成した一時鍵を近距離無線通信によって前記記憶媒体に記憶させる、無線接続装置。
8. 請求項７に記載の無線接続装置であって、
   前記取得部は、前記記憶媒体に記憶されている前記一時鍵を取得し、
   前記認証部は、前記認証情報に代えて、または、前記認証情報と共に、前記一時鍵を用いて前記記憶媒体の正当性を認証する、無線接続装置。
9. 請求項４から請求項８のいずれか一項に記載の無線接続装置であって、さらに、
   前記ネットワーク装置に対して、仮想プライベートネットワークを用いた通信路の確立を要求する仮想化要求部を備える、無線接続装置。
10. 無線接続装置を制御するための方法であって、
    近距離無線通信によって、前記無線接続装置に対する記憶媒体の近接を検出する工程と、
    前記近接を検出している間、前記無線接続装置により提供される複数のネットワークのうちの他のネットワークから隔離された無線ネットワークである来客者向け無線ネットワークに対する、無線端末の接続を可能とする工程と、
    を備える、方法。
11. ネットワークシステムであって、
    無線接続装置と、
    認証情報が予め記憶されている記憶媒体を備える無線端末と、
    を備え、
    前記無線接続装置は、
    近距離無線通信によって、前記無線接続装置に対する前記記憶媒体の近接を検出する検出部と、
    前記近接を検出している間、前記無線接続装置により提供される複数のネットワークのうちの他のネットワークから隔離された無線ネットワークである来客者向け無線ネットワークに対する、前記無線端末の接続を可能とする限定接続部と、
    を備える、ネットワークシステム。

Images