JP2017085226A - 無線アクセスポイント - Google Patents

Abstract

【課題】セキュリティを維持しつつ、管理者と利用者の双方の利便性を向上させる無線アクセスポイントを提供する。
【解決手段】無線アクセスポイントＡ１は、無線端末Ｔ１から送信される無線端末の属性情報を含む信号を受信し、属性情報から無線端末を一意に特定できる固有情報を取得し、予め無線アクセスポイントとの通信が許可された１つ又は複数の無線端末の固有情報を格納し、固有情報が、格納済みの固有情報か否かを判断する。否の場合、無線端末の使用者によるＷＰＳ（Ｗｉ−Ｆｉ Ｐｒｏｔｅｃｔｅｄ Ｓｅｔｕｐ）の手順に従った接続要求を受けた旨の第一の接続許可条件と、無線アクセスポイントの管理者がＷＰＳの手順に従って接続を許可する旨の第二の接続許可条件とが同時に成立しているか否かを判断し、無線端末の固有情報が格納済みであるか又は同時に成立していることを条件として、無線端末と無線通信を開始する。
【選択図】図１

Description

本発明は、無線ＬＡＮ通信システムにおける無線端末と無線アクセスポイントとの通信に関する。

近年、無線ＬＡＮの普及に伴い、駅、空港あるいは飲食店などに設置された無線アクセスポイント（ＡＰまたは無線中継装置とも言う）を介して無線ＬＡＮによるインターネット接続を可能とする公衆無線ＬＡＮのサービス（Ｗｉ-Ｆｉスポットなど）が、さまざまな事業者によって提供されている。ノートＰＣ、タブレットまたはスマートフォンなどの無線端末（ＳＴＡとも言う）の利用者は、各事業者が提供する無線アクセスポイントに接続するための接続設定（例えば、無線アクセスポイントのグループ識別子ＳＳＩＤ（Service Set Identifier）、暗号化キーなど）の情報を無線アクセスポイントの設置場所近くに各事業者が公開している情報を利用する。ユーザは、接続用に公開された情報をもとに所有の無線端末に接続設定を入力することで各事業者が提供する無線アクセスポイントへ接続することができるようになる。

ここで、上述したような公衆無線ＬＡＮのサービス（Ｗｉ-Ｆｉスポットなど）を提供する事業者側は、無線アクセスポイントの接続用に公開された情報を意図しない第三者（接続を許可したくない端末）に入手されてしまうと、その無線アクセスポイントに容易に接続されてしまうという問題がある。

このような問題に対し、管理者が接続許可を与える通信端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを無線アクセスポイントに予め設定しておくことで、意図した無線端末のみに接続許可を与えるＭＡＣアドレスフィルタ機能を備える、無線アクセスポイントが増えている。

また、特許文献１には、ＳＴＡ（端末局）の加入（帰属）時、ＡＰ（アクセスポイント）がＳＴＡの認証処理を正常に終了した後、どの認証方式で処理されたかをＳＴＡのＭＡＣアドレスとともに登録し、ＳＴＡが加入時に使用した認証方式に応じて保守管理端末に予め登録されたフィルタルールセットをもとに登録されたＭＡＣアドレスを送信元あるいは宛先とするＳＴＡの通信データをフィルタリングするアクセス制御方法が記載されている。

一方、無線端末と無線アクセスポイントとが無線ＬＡＮを介して通信を開始するための設定を簡略化する目的で、ＷＰＳ（Wi-Fi Protected Setup）という無線パラメータ自動設定方法の規格が、Ｗｉ−Ｆｉ Ａｌｌｉａｎｃｅという団体により、策定され、普及している。

ＷＰＳには、ＰＢＣ（Push Button Configuration）方式とＰＩＮ（Personal Identifi Cation Number）方式の２種類の接続方式がある。特に、ＰＢＣ方式では、無線端末と無線アクセスポイントにそれぞれ付属しているプッシュボタン（ＷＰＳボタン）が押されることにより、無線端末と無線アクセスポイントとが通信を行うための通信設定を開始することで、利用者の利便性向上を図っている。（非特許文献１参照。）

特開２００５−１６７５８０号公報

Wi-Fi CERTIFIED for Wi-Fi Protected Setup: Easing the User Experience for Home and Small Office Wi-Fi Networks, http://www.wi-fi.org/wp/wifi-protected-setup

しかしながら、ＭＡＣアドレスフィルタ機能では、無線アクセスポイントの管理者が接続許可する端末のＭＡＣアドレスを事前に把握し、予め設定しておく必要があり、不特定多数のユーザが来訪する公衆無線ＬＡＮのサービスを提供している場所（例えば、駅、空港などのＷｉ-Ｆｉスポット）などでは、各ユーザの端末のＭＡＣアドレスを事前に設定しておくことは現実的ではない。

また、特許文献１に記載のアクセス制御方法では、フィルタルールセットとＳＴＡが使用する認証方式とを組み合わせることにより、セキュリティを維持しながらシステムの利便性を向上しているものの、ネットワーク運用管理者（システムの管理者）が予め登録するフィルタルールを決定し保守管理端末に設定する手間が必要となる。

さらに、ＰＢＣ方式はＳＴＡのユーザにとって無線接続の操作がボタンを押すだけであり、利便性が増すことになるが、前述のＭＡＣフィルタリング機能との両立が難しい。すなわち、「背景技術」欄で記載したとおり、公衆無線ＬＡＮのサービスを提供している場所などでＭＡＣフィルタリング機能を備えた無線アクセスポイントを利用する場合には、利用者と無線アクセスポイント管理者の利便性を向上させるためにＷＰＳのＰＢＣ方式を適用できない。つまり、ＭＡＣフィルタリング機能は、管理者が接続許可を与える通信端末のＭＡＣアドレスを無線アクセスポイントに予め設定しておくことで、無線アクセスポイントが意図した無線端末にのみ接続許可を与える機能であるため、登録されていない新たな無線端末をＷＰＳのＰＢＣ方式で接続要求しても無線アクセスポイントは受け付けないからである。

本発明は、上述の問題を鑑みてなされたものであり、無線通信システムのセキュリティを維持しつつ、無線アクセスポイントの管理者のみならず利用者にとっても利便性を向上させる。

上述の課題を解決するために、本発明の一態様に係る無線アクセスポイントは、無線端末と無線接続を確立し、無線通信を行う無線アクセスポイントであって、（ａ）無線端末から送信される無線端末の属性情報を含む信号を受信する無線通信部と、（ｂ）属性情報から無線端末を一意に特定できる固有情報を取得する取得部と、（ｃ）予めアクセスポイントとの通信が許可された１つまたは複数の無線端末の固有情報を格納している情報テーブルと、（ｄ）判断部であって、（ｄ−１）無線端末の固有情報が情報テーブルに格納済みの固有情報か否かを判断し、（ｄ−２）否の場合、無線端末の使用者によるＷＰＳの手順に従った接続要求を受けた旨の第一の接続許可条件と、無線アクセスポイントの管理者がＷＰＳの手順に従って接続を許可する旨の第二の接続許可条件とが同時に成立しているか否かを判断する判断部と、（ｅ）無線端末の固有情報が情報テーブルに格納済みであるか、または第一の接続許可条件と第二の接続許可条件とが同時に成立していることを条件として、無線端末と無線通信を開始するための処理を実行する制御部とを備える。

ここに言う「無線端末の使用者によるＷＰＳの手順に従った接続要求受けた」とは、例えば、無線端末が無線端末に供えられたプッシュボタンを押すことにより、無線端末が送信するＥＡＰパケット（後述）による接続要求を無線アクセスポイントが受信したこと意味する。

これによれば、無線アクセスポイントは、不正に接続しようとする無線端末の接続を排除でき、予め接続許可された、あるいは無線アクセスポイントの管理者に許可された無線端末のみを無線接続させる。このように無線アクセスポイントは、無線通信システムのセキュリティを維持しつつ、利用者の利便性も確保する。

好ましくは、無線端末の固有情報が情報テーブルに格納済みの固有情報ではなく、かつ第一の接続許可条件と第二の接続許可条件が同時に成立している場合、制御部は、接続許可上限時間の到来とともに無線線端末と無線アクセスポイントとの間の接続を切断する。

さらに好ましくは、固有情報はＭＡＣアドレスである。

本発明は、無線通信システムのセキュリティを維持しつつ、無線アクセスポイントの接続する際に管理者のみならず利用者にも利便性を向上させることができる。

本発明の実施の形態にかかるシステム全体図である。 本発明の実施の形態にかかるハードウェア構成図である。 本発明の実施の形態にかかる機能ブロック図である。 本発明の実施の形態にかかる無線アクセスポイントの動作フロー図である。 本発明の実施の形態にかかる情報テーブルの一例である。 関連技術における無線アクセスポイントなどによる通信を示したシーケンス図である。

（本発明の基礎となった知見）
図６は、本発明に関連する関連技術における無線アクセスポイントなどによる通信を示したシーケンス図である。図６を参照しながら、無線端末がＷＰＳのＰＢＣ方式により無線アクセスポイントに無線接続設定を行う通信（ＷＰＳ処理とも呼ぶ）シーケンスについて説明する。図６において、無線端末のことを「ＳＴＡ」と、無線アクセスポイントのことを「ＡＰ」と記述する。

ＷＰＳでは、無線パラメータ設定処理用の特別なプロトコル（Ｒｅｇｉｓｔｒａｔｉｏｎプロトコルと呼ぶ）を用いて、ＲｅｇｉｓｔｒａｒからＥｎｒｏｌｌｅｅへ無線パラメータが提供される。ここで、Ｒｅｇｉｓｔｒａｒとは、無線パラメータを管理し、Ｅｎｒｏｌｌｅｅへ無線パラメータを提供する装置（ＡＰ）である。Ｅｎｒｏｌｌｅｅとは、Ｒｅｇｉｓｔｒａｒから提供された無線パラメータを受理する装置（ＳＴＡ）である。

ＷＰＳ処理において、ＲｅｇｉｓｔｒａｔｉｏｎプロトコルにおけるＲｅｇｉｓｔｒａｒとＥｎｒｏｌｌｅｅ間の通信は、ＥＡＰ（ＥｘｔｅｎｓｉｂｌｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ）パケットを用いて行われる。ＥＡＰパケットとは、ＲｅｇｉｓｔｒａｒとＥｎｒｏｌｌｅｅ間において、暗号、認証を行うことなく通信できるパケットである。

Ｒｅｇｉｓｔｒａｒとして動作するＡＰから、Ｅｎｒｏｌｌｅｅとして動作するＳＴＡに対して無線パラメータを提供する場合について説明する。

ＰＢＣ方式では、Ｒｅｇｉｓｔｒａｒ、Ｅｎｒｏｌｌｅｅの双方のボタンが押されることで接続設定がスタートする。

この状態においてＥｎｒｏｌｌｅｅ側（ＳＴＡ側）で設定ボタンが押された場合（ステップＳ６０１）、ＳＴＡは、設定ボタンが押されたことをＰｒｏｂｅＲｅｑｕｅｓｔ（接続要求）でＡＰに通知し、Ｒｅｇｉｓｔｒａｒ側（ＡＰ側）の管理者にその旨（接続要求）を伝える。Ｒｅｇｉｓｔｒａｒ側（ＡＰ側）でＳＴＡとの接続処理を許可するために管理者が設定ボタンを押すと、接続が可能であることをＰｒｏｂｅＲｅｓｐｏｎｓｅ（接続応答）でＳＴＡに通知する（ステップＳ６０２）。その後、ＥＡＰでの接続設定が開始（ステップＳ６０３）され、鍵交換および設定情報の交換が行われＡＰはＳＴＡに対して認証を行い（ステップＳ６０４）、接続設定を与える（ステップＳ６０５）。

このように、ＷＰＳ処理では、ＡＰとＳＴＡがＲｅｇｉｓｔｒａｔｉｏｎプロトコルによるＥＡＰパケットを用いたメッセージの送受信を行うことにより、ＡＰからＳＴＡに対して無線パラメータの提供が行われる。Ｅｎｒｏｌｌｅｅとして動作するＳＴＡは、Ｒｅｇｉｓｔｒａｔｉｏｎとして動作するＡＰから提供された無線パラメータを設定する。これにより、以後ＡＰとＳＴＡ間で暗号、認証を用いたデータ通信を行うことが可能となる。

これ以降、本発明の実施の形態について、図面を参照しながら具体的に説明する。

以下の実施の形態で示される数値、構成要素、構成要素の配置位置などは、一例であり、発明の範囲内において種々の変形や変更が可能である。

（実施の形態）
図１は本発明の実施の形態にかかるシステムの全体図である。

図１に示すとおり、無線端末Ｔ１は無線通信インタフェースを備えるものであり、例えば、ノートＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）やタブレットやスマートフォンなどである。利用者（ユーザ）は、無線端末Ｔ１を所有し特定のエリア（例えば、公衆無線サービスを提供している場所など）を訪れ、一定の条件を満たせばそのエリア内に設置されている無線アクセスポイントＡ１に無線接続することができる。

このように利用者は、特定のエリアに設置された無線アクセスポイントＡ１の管理者（サービスを提供する事業者など）によって提供されているサービスを無線アクセスポイントＡ１経由で利用することができる。

無線アクセスポイントＡ１は、有線通信インタフェースおよび無線通信インタフェースを備える。また、無線アクセスポイントＡ１は、無線端末Ｔ１と無線通信経路（Ｒ１）によって無線接続されている。なお、無線通信は、例えばＩＥＥＥ８０２．１１規格などに適合する無線ＬＡＮにより実現される。

無線アクセスポイントＡ１は、ＬＡＮ１０と接続し、外部のインフラ（インターネットなど）へアクセスすることができる。ここで、ＬＡＮ１０は、有線ＬＡＮ、無線ＬＡＮのどちらでもかまわないが、セキュリティ面からより好ましくは有線ＬＡＮが考えられる。

さらに、本発明の無線アクセスポイントＡ１は、ＭＡＣフィルタリング機能を備え、ＷＰＳのＰＢＣ方式を利用可能なプッシュスイッチも備えている。

ここで、本発明の実施の形態では、無線アクセスポイントＡ１と無線接続している無線端末Ｔ１は１台として説明するが、無線アクセスポイントにはこれ以上の複数台の無線端末が接続していてもよい。

図２は、本発明の実施の形態にかかる無線アクセスポイントＡ１のハードウェア構成図である。

図２に示すとおり、これらの装置は、ＣＰＵ２０、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）２１、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）２２、記憶装置２３、ＷＮＩＣ（ＷｉｒｅｌｅｓｓＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）２４、ＮＩＣ（ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）２５および各構成部品間を接続している内部バス２６などを備えている。

ＣＰＵ２０は、ＲＯＭ２１に格納された制御プログラムを実行するプロセッサである。

ＲＯＭ２１は、制御プログラム等を保持する読み出し専用記憶領域である。

ＲＡＭ２２は、ＣＰＵ２０が制御プログラムを実行するときに使用するワークエリアとして用いられる記憶領域である。

記憶装置２３は、制御プログラム、制御情報、装置情報、または認証情報などを記憶する記憶領域である。

ＷＮＩＣ２４は、無線通信を行う無線通信インタフェースを備えている。例えば、ＩＥＥＥ８０２．１１ａ、ｂ、ｇ、ｎ、ａｃ規格等に適合する無線ＬＡＮの通信インタフェースである。

ＮＩＣ２５は、有線通信を行う有線通信インタフェースを備えている。例えば、ＩＥＥＥ８０２．３規格等に適合する有線ＬＡＮの通信インタフェースである。

内部バス２６は、ＣＰＵ２０，ＲＯＭ２１、ＲＡＭ２２、記憶装置２３、ＷＮＩＣ２４、ＮＩＣ２５を電気的に接続し、信号のやりとりを行うバスである。

図３は、本発明の実施の形態にかかる無線アクセスポイントＡ１の機能ブロック図である。

図３に示す無線アクセスポイントＡ１は、無線通信部３０、取得部３１、記憶部３２、情報テーブル３２１、判断部３３、制御部３４、カウンタ部３４１、無線接続指令受信部３５などを備えている。

以下に、本発明の実施の形態にかかる無線アクセスポイントＡ１の各機能について、図３、および図５を用いて説明する。

無線通信部３０は、無線端末Ｔ１との間でデータフレーム、種々の制御情報その他の通信を行うために必要な情報などを送受信する。無線通信部３０は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３、ＷＮＩＣ２４、ＮＩＣ２５などにより実現される。

取得部３１は、無線通信部３０を介して、無線通信を行う無線端末の情報を得る。無線端末の情報とは、例えば、無線端末が保有する無線通信における認証方式、暗号化方法またはＳＳＩＤ（Ｓｅｒｖｉｃｅ Ｓｅｔ Ｉｎｄｅｎｔｉｆｉｅｒ）、さらに無線端末から受信する電波強度などの制御情報、無線端末が送受信する無線データ（実データ）などである。

また、取得部３１は、無線端末からの受信データ（受信パケット）から無線端末のＭＡＣアドレスを取得し、判断部３３に通知する。

さらに取得部３１は、無線端末からの受信データ（受信パケット）において、ＷＰＳ手順で使用されるＥＡＰパケットによる接続要求を受信すると、無線通信においてＷＰＳが利用開始される旨を判断部３３へ通知する（以下、この通知を「第一の接続許可条件」として説明する）。取得部３１は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３などにより実現される。

記憶部３２は、情報テーブル３２１を備え、取得部３１が取得した無線端末の情報を格納する。

また、記憶部３２は、無線アクセスポイントＡ１の管理者が予め無線アクセスポイントＡ１に設定する種々の使用設定情報を格納する。設定する種々の使用設定情報は、例えば、ＷＰＳを利用して無線アクセスポイントＡ１と無線接続が可能になった無線端末が、ＷＰＳ処理完了後一定の時間（「接続許可上限時間」と呼ぶ）が経過すると接続不可にする設定を機能させるか否かなどである。この接続不可にする設定が機能している場合、接続してから接続許可上限時間が経過すると、ＷＰＳを利用して接続していた無線端末のＭＡＣアドレスが情報テーブル３２１から削除される。この設定については、後に詳述する。記憶部３２は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３などにより実現される。

さらに、記憶部３２は、制御部３４からＷＰＳ処理完了時刻の通知を受け、情報テーブル３２１の経過時間に格納する。そして、記憶部３２は、現在時刻と格納したＷＰＳ処理完了時刻をもとに経過時間を算出し、管理者が予め設定している接続許可上限時間を超えると、情報テーブル３２１から当該無線端末のＭＡＣアドレスを削除する。

情報テーブル３２１は、図５に示すとおり、取得部３１が取得した無線端末の情報の一部を格納している。

情報テーブル３２１の各構成について、図５を用いて説明する。

情報テーブル３２１は、「ＭＡＣアドレス」、「ステータス」、「経過時間」などから構成される。

「ＭＡＣアドレス」には、ＷＰＳを利用して無線接続要求している無線端末のＭＡＣアドレス（図５の（ア））と無線アクセスポイントＡ１の管理者が予め無線アクセスポイントＡ１に接続を許可する無線端末のＭＡＣアドレス（図５の（イ）、（ウ））が格納されている。

図５の（ア）に格納されるＭＡＣアドレスは、無線端末Ｔ１がＷＰＳを利用して無線アクセスポイントＡ１に無線接続要求を行ったのち、判断部３３からの通知を受け、ＷＰＳを利用して無線接続確立中の無線端末のＭＡＣアドレスである。

つぎに、「ステータス」には、格納されたＭＡＣアドレスが予め無線アクセスポイントＡ１に接続を許可された無線端末（登録済）であるか、ＷＰＳを利用して無線アクセスポイントＡ１に無線接続を試みている無線端末（認証中）であるかをＭＡＣアドレスに対応付けて情報（登録済、認証中など）が格納されている。

また、「経過時間」には、制御部３４からの通知により取得したＷＰＳ処理完了時刻と現在時刻との差分時間が格納される。

ここから図３に戻って、判断部３３は、取得部３１から通知された無線接続の要求をしている無線端末のＭＡＣアドレスを取得し、このＭＡＣアドレスを、予め無線アクセスポイントＡ１に接続を許可されたＭＡＣアドレス（図５における（イ）や（ウ））と比較する。そして、２つの当該ＭＡＣアドレスの内容が一致すれば、判断部３３は、無線接続の要求をしている無線端末Ｔ１が無線アクセスポイントＡ１に接続を許可されている端末と判断し、無線通信部３０に無線端末Ｔ１と無線通信を開始する旨を通知する。一方、ＭＡＣアドレスが一致しなければ、判断部３３は、無線接続の要求をしている無線端末Ｔ１が無線アクセスポイントＡ１に接続を許可されていない端末と判断し、無線通信部３０に対して無線端末Ｔ１との無線通信を許可しない旨を通知する。より具体的には、無線端末に備わるボタンを押下するなどＷＰＳの処理を開始しない限り、無線通信部３０から無線端末Ｔ１に応答しないのである。

また、判断部３３は、取得部３１からＷＰＳを利用し無線接続を開始する旨の通知を受けると、第一の接続許可条件として保持し、無線接続指令受信部３５からのＷＰＳ処理開始指令の通知を受けると、第二の接続許可条件として保持する。ＷＰＳ処理開始指令については後述する。

さらに、判断部３３は、第一の接続許可条件および第二の接続許可条件の双方を保持すると、制御部３４に対してＷＰＳ処理の開始を行う旨を通知する。判断部３３は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３などにより実現される。

制御部３４は、判断部３３のＷＰＳ処理の開始を行う通知を受けて、図６で示すＷＰＳ処理を実行する。制御部３４は、ＷＰＳ処理が正常に完了すると、無線通信のための認証処理（図６におけるステップＳ６０４およびＳ６０５であり、例えば、ＳＳＩＤ、認証方式、暗号方式などの情報交換）を行い、無線通信部３０に無線端末Ｔ１との無線通信を開始するように通知する。

また、制御部３４は、ＷＰＳ処理が正常に完了すると、その旨の通知とＷＰＳ処理が正常に完了した時刻を記憶部３２へ通知する。制御部３４は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、記憶装置２３などにより実現される。

無線接続指令受信部３５は、ＷＰＳのＰＢＣ方式で無線接続の要求があることを判断部３３へ通知する。具体的には、無線端末Ｔ１からのＷＰＳを利用して無線接続要求があり、無線アクセスポイントＡ１の管理者がその接続を許可する場合は、無線アクセスポイントＡ１の管理者が無線アクセスポイントＡ１に備えられたプッシュスイッチを押下することをトリガとして、ＷＰＳを利用した無線接続を開始する通知（管理者の指令）を判断部３３に通知する。これがＷＰＳ処理開始指令である。このことにより、無線アクセスポイントＡ１と無線端末Ｔ１との間のＷＰＳ処理が開始される。無線接続指令受信部３５は、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、プッシュスイッチ（不図示）などにより実現される。

つぎに、図４を参照しながら、本発明の実施の形態にかかる本発明の実施の形態にかかる無線アクセスポイントの動作フローについて説明する。

図４は、無線アクセスポイントＡ１と無線端末Ｔ１が無線通信を行うためにＷＰＳのＰＢＣ方式を利用して無線接続処理を開始してから、ＷＰＳ処理完了後、一定の時間が経過し無線アクセスポイントＡ１と無線端末Ｔ１が接続不可になるまでのフロー図である。

ステップＳ４０１にて、判断部３３は、取得部３１からの通知をもとに無線端末Ｔ１から無線接続の要求を受けたか否かを判断する。要求を受けた場合は、ステップＳ４０２に遷移する（ステップＳ４０１のＹｅｓ）。要求を受けない場合は、ステップＳ４０１に戻る。（ステップＳ４０１のＮｏ）。

ステップＳ４０２にて、判断部３３は、取得部３１から無線端末Ｔ１の情報を取得する（例えば、ＭＡＣアドレスなど）。

ステップＳ４０３にて、判断部３３は、取得部３１から取得した無線接続を要求している無線端末Ｔ１のＭＡＣアドレスと、情報テーブル３２１に格納されている予め無線アクセスポイントＡ１に接続を許可された端末のＭＡＣアドレスとを比較する。内容が一致すれば、ステップＳ４０９へ遷移する（ステップＳ４０３のＹｅｓ）。内容が一致していない場合は、ステップＳ４０４に遷移する（ステップＳ４０３のＮｏ）。

ステップＳ４０４にて、判断部３３は、取得部３１からＷＰＳを利用して無線接続を開始する旨の通知を受けたという第一の接続許可条件を保持しているか否かを判断する。具体的には、無線端末の使用者が、無線端末のＷＰＳプッシュボタンを押下したか否かである。保持している場合は、ステップＳ４０５に遷移する（ステップＳ４０４のＹｅｓ）。保持していない場合は、ステップＳ４０４に戻る（ステップＳ４０４のＮｏ）。

ステップＳ４０５にて、判断部３３は、無線接続指令受信部３５からＷＰＳ処理開始指令の通知を受け、第二の接続許可条件として保持しているか否かを判断する。具体的には、無線アクセスポイントの管理者が無線アクセスポイントＡ１に備えるプッシュボタンを押下したか否かである。保持している場合は、ステップＳ４０６に遷移する（ステップＳ４０５のＹｅｓ）。保持していない場合は、ステップＳ４０５に戻る（ステップＳ４０５のＮｏ）。

ステップＳ４０６にて、判断部３３は、ステップＳ４０４およびステップＳ４０５のフロー結果をもとに制御部３４にＷＰＳ処理を開始する旨を通知する。また、無線アクセスポイントＡ１から無線端末Ｔ１にＷＰＳ処理開始の応答メッセージ（例えば、プローブレスポンスなど）を送信する。

ステップＳ４０７にて、制御部３４は、ステップＳ４０６における判断部３３の通知を受けて、ＷＰＳ処理を行う。具体的には図６に示すＷＰＳ処理の一連の処理が行われる。

ステップＳ４０８にて、制御部３４は、ＷＰＳ処理を正常に完了したか否かを判断する。正常に完了した場合は、その旨の通知とＷＰＳ処理が正常に完了した時刻を記憶部３２へ通知し、ステップＳ４０９に遷移する（ステップＳ４０８のＹｅｓ）。正常に完了しなかった場合は、ステップＳ４０４に戻る（ステップＳ４０８のＮｏ）。

ステップＳ４０９にて、制御部３４は、ＷＰＳ処理完了後の無線通信のための認証処理を行い、無線通信部３０に無線端末Ｔ１と無線通信を開始する旨の通知することで、無線アクセスポイントＡ１と無線端末Ｔ１との間の無線通信が開始される。

ステップＳ４１０にて、記憶部３２は、ＷＰＳを利用して無線アクセスポイントＡ１と無線接続が可能になった無線端末Ｔ１が、ＷＰＳ処理後一定の時間が経過すると接続不可にする設定（経過時間の制限）を機能させるか否かを判断する。具体的には、管理者が予めこの機能を有効または無効のどちらに設定しているかで判断する。管理者が当該機能を有効に設定している場合は、ステップＳ４１１へ遷移する（ステップＳ４１０のＹｅｓ）。一方、無効に設定している場合は、本処理を終了する（ステップＳ４１０のＮｏ）。

ステップＳ４１１にて、記憶部３２は、ステップＳ４０８の制御部３４の通知をもとに情報テーブル３２１の経過時間に格納されているＷＰＳ処理完了時刻と現在時刻との差分時間と接続許可上限時間とを比較する。差分時間が接続許可上限時間を超えている場合は、ステップＳ４１２へ遷移する（ステップＳ４１１のＹｅｓ）。差分時間が接続許可上限時間を超えていない場合は、ステップＳ４１１へ戻る（ステップＳ４１１のＮｏ）。

ステップＳ４１２にて、記憶部３２は、情報テーブル３２１から無線端末Ｔ１のＭＡＣアドレスを削除する。すなわち、無線端末Ｔ１は接続許可上限時間の到来とともに無線アクセスポイントＡ１との無線接続が遮断されることとなる。

（まとめ）
以上のように本実施の形態に係る無線アクセスポイントは、無線接続要求をした無線端末に対し、まず予め管理者により接続を許可されたＭＡＣアドレスであるか否かを判断し、そうでない場合には、さらに無線端末からＷＰＳのＰＢＣ方式で接続要求を受けた無線アクセスポイントの管理者が接続許可指令（具体的には無線アクセスポイントのプッシュスイッチ押下など）を出したか否かを判断する。この場合、無線アクセスポイントは、上記した第一および第二の２つの接続許可条件を満たすと無線接続要求をした無線端末と無線接続を開始する。

このように、無線端末を所有する利用者は、無線端末を無線アクセスポイントへ接続するために無線接続のための設定（例えば、無線アクセスポイントのグループ識別子ＳＳＩＤ、暗号化キーなど）情報を無線端末に入力しただけでは、無線アクセスポイントへ接続できないのである。

また、公衆無線ＬＡＮサービスなどを提供する事業者（無線アクセスポイントの管理者）は、設置されている無線アクセスポイントへ不正に接続しようとする無線端末の接続を排除でき、一方、事業者は、本来利用してほしい利用者に簡易な無線接続設定方法を利用するＷＰＳのＰＢＣ方式でのサービスを提供でき、利用者の利便性も確保することができる。

これにより、たとえば、店内に設けられた公衆無線ＬＡＮサービスは、店内を訪れた顧客のみに簡単な操作によって提供され、サービスを受けるための無線アクセスポイントのＳＳＩＤと暗号化キーは公開されない。さらにこれらＳＳＩＤと暗号化キーを不正に窃取したとしても、第三者はこれを端末に打ち込んでこのサービスを利用することができないのである。また、顧客がサービスを利用できる時間は、必要に応じて、図４のステップＳ４１０において説明した機能により適宜制限することも可能である。なお、図４のステップＳ４０３に記載した「情報テーブル３２１に格納されている予め無線アクセスポイントＡ１に接続を許可された端末」とは、本段落の例では、来店の際ＷＰＳ操作を行わずとも直ちにサービスを受けられる重要な顧客の端末と考えればわかりやすい。

本発明は、公衆無線ＬＡＮのサービスを提供している場所などに設置されるセキュリティ機能を備えた無線アクセスポイントを利用する際に、サービスの管理者と利用者の双方に有用である。

１００ 特定エリア
１０ ＬＡＮ
Ａ１ 無線アクセスポイント
Ｔ１ 無線端末
２０ ＣＰＵ
２１ ＲＯＭ
２２ ＲＡＭ
２３ 記憶装置
２４ ＷＮＩＣ
２５ ＮＩＣ
３０ 無線通信部
３１ 取得部
３２ 記憶部
３２１ 情報テーブル
３３ 判断部
３４ 制御部
３５ 無線接続指令受信部

Claims (3)

1. 無線端末と無線接続を確立し、無線通信を行う無線アクセスポイントであって、
   （ａ）前記無線端末から送信される当該無線端末の属性情報を含む信号を受信する無線通信部と、
   （ｂ）前記属性情報から前記無線端末を一意に特定できる固有情報を取得する取得部と、
   （ｃ）予め当該無線アクセスポイントとの通信が許可された１つまたは複数の無線端末の固有情報を格納している情報テーブルと、
   （ｄ）判断部であって、
   （ｄ−１）前記無線端末の固有情報が前記情報テーブルに格納済みの固有情報か否かを判断し、
   （ｄ−２）否の場合、前記無線端末の使用者によるＷＰＳの手順に従った接続要求を受けた旨の第一の接続許可条件と、当該無線アクセスポイントの管理者がＷＰＳの手順に従って接続を許可する旨の第二の接続許可条件とが同時に成立しているか否かを判断する判断部と、
   （ｅ）前記無線端末の前記固有情報が前記情報テーブルに格納済みであるか、または前記第一の接続許可条件と第二の接続許可条件とが同時に成立していることを条件として、前記無線端末と無線通信を開始するための処理を実行する制御部と
   を備える無線アクセスポイント。
   
2. 前記無線端末の固有情報が前記情報テーブルに格納済みの固有情報ではなく、かつ前記第一の接続許可条件と第二の接続許可条件が同時に成立している場合、前記制御部は、接続許可上限時間の到来とともに前記無線線端末と前記無線アクセスポイントとの間の接続を切断する、請求項１に記載の無線アクセスポイント。
   
3. 前記固有情報はＭＡＣアドレスである、
   請求項１または２に記載の無線アクセスポイント。