JP2018195974A - 無線ｌａｎアクセスポイントおよび暗号化鍵共有方法 - Google Patents

Abstract

【課題】認証サーバの負荷を低減させながら、ローミングを高速化する。
【解決手段】無線ＬＡＮアクセスポイント１０ａは、無線ＬＡＮステーション２０とＰＭＫを用いた無線通信を行う。無線ＬＡＮアクセスポイント１０ａは、無線ＬＡＮアクセスポイント１０ａから近い距離に配置されている近接無線ＬＡＮアクセスポイント１０ｂを検出するビーコン受信部１１８ａと、近接無線ＬＡＮアクセスポイント１０ｂにＰＭＫを送信するＰＭＫ送信部１０８ａと、ＰＭＫ送信部１０８ａによるＰＭＫの送信の可否を判定するＰＭＫ共有可否判定部１２０ａを備える。ビーコン受信部１１８ａは、他の無線ＬＡＮアクセスポイント１０ｂ、１０ｃ、１０ｄ、１０ｅから送信されるビーコンに基づき、近接無線ＬＡＮアクセスポイント１０ｂを検出する。
【選択図】図３

Description

本発明は、ローミングの高速化に関する。

従来より、複数の無線ＬＡＮ（Local Area Network）アクセスポイントを有する無線ＬＡＮが知られている。このような無線ＬＡＮにおいては、無線ＬＡＮステーションが、ある一つの無線ＬＡＮアクセスポイントＡと通信を行っている。ここで、無線ＬＡＮステーションが移動して、無線ＬＡＮアクセスポイントＡから離れると、通信品質が低下する。かかる場合、無線ＬＡＮステーションが、他の無線ＬＡＮアクセスポイントＢに接近していることがある。よって、無線ＬＡＮアクセスポイントＢと通信を行うようにすれば、通信品質の低下を防止できる。このように、無線ＬＡＮステーションが、通信する無線ＬＡＮアクセスポイントを変更することをローミングという（例えば、特許文献１の要約を参照）。

無線ＬＡＮステーションがローミングを行う際に、認証サーバによってＩＥＥＥ８０２．１ｘ認証が行われ、認証サーバからＰＭＫ(Pairwise Master Key)が無線ＬＡＮステーションおよび無線ＬＡＮアクセスポイントに配布される。このようなＩＥＥＥ８０２．１ｘ認証およびＰＭＫの配布には時間がかかるため、ローミングが遅くなってしまう。

そこで、ローミングの高速化のために、ＩＥＥＥ８０２．１１ｉで定められている事前認証を行うことが考えられる。この事前認証によれば、無線ＬＡＮステーションが周囲にローミング可能な無線ＬＡＮアクセスポイントを検出すると、検出された無線ＬＡＮアクセスポイントにローミングする前に、認証サーバによるＩＥＥＥ８０２．１ｘ認証およびＰＭＫの発行・配布が行われる。よって、ローミングの際には、ＩＥＥＥ８０２．１ｘ認証およびＰＭＫの発行・配布を行わなくてすむので、ローミングを高速化することができる。

特開２０１０−９３３６０号公報

しかしながら、ＩＥＥＥ８０２．１１ｉで定められている事前認証によれば、検出された無線ＬＡＮアクセスポイントごとに認証およびＰＭＫの発行・配布が行われるため、認証サーバの負荷が高くなってしまう。

そこで、本発明は、認証サーバの負荷を低減させながら、ローミングを高速化することを課題とする。

本発明にかかる無線ＬＡＮアクセスポイントは、無線ＬＡＮ通信端末と暗号化鍵を用いた無線通信を行う無線ＬＡＮアクセスポイントであって、前記無線ＬＡＮアクセスポイントから近い距離に配置されている近接無線ＬＡＮアクセスポイントを検出する近接アクセスポイント検出部と、前記近接無線ＬＡＮアクセスポイントに前記暗号化鍵を送信する暗号化鍵送信部とを備えるように構成される。

上記のように構成された無線ＬＡＮアクセスポイントは、無線ＬＡＮ通信端末と暗号化鍵を用いた無線通信を行う。近接アクセスポイント検出部は、前記無線ＬＡＮアクセスポイントから近い距離に配置されている近接無線ＬＡＮアクセスポイントを検出する。暗号化鍵送信部は、前記近接無線ＬＡＮアクセスポイントに前記暗号化鍵を送信する。

なお、本発明にかかる無線ＬＡＮアクセスポイントは、前記無線ＬＡＮ通信端末が、前記無線ＬＡＮアクセスポイントにかえて、前記近接無線ＬＡＮアクセスポイントと無線通信を行うこととなった場合にも、前記暗号化鍵が使用されるようにしてもよい。

なお、本発明にかかる無線ＬＡＮアクセスポイントは、前記暗号化鍵が、ペアワイズマスターキー（Pairwise Master Key）であるようにしてもよい。

なお、本発明にかかる無線ＬＡＮアクセスポイントは、前記近接アクセスポイント検出部が、他の無線ＬＡＮアクセスポイントから送信されるビーコンに基づき、前記近接無線ＬＡＮアクセスポイントを検出するようにしてもよい。

なお、本発明にかかる無線ＬＡＮアクセスポイントは、前記暗号化鍵送信部による前記暗号化鍵の送信の可否を判定する送信可否判定部を備えるようにしてもよい。

なお、本発明にかかる無線ＬＡＮアクセスポイントは、前記送信可否判定部が、前記無線ＬＡＮアクセスポイントの少なくとも一つのＳＳＩＤおよび該少なくとも一つのＳＳＩＤを使用する際に用いる認証方式と、前記近接無線ＬＡＮアクセスポイントの少なくとも一つのＳＳＩＤおよび該少なくとも一つのＳＳＩＤを使用する際に用いる認証方式とがそれぞれ同一である場合に、前記暗号化鍵の送信を可と判定するようにしてもよい。

なお、本発明にかかる無線ＬＡＮアクセスポイントは、前記暗号化鍵送信部が、ＬＡＮケーブルを介して、前記近接無線ＬＡＮアクセスポイントに前記暗号化鍵を送信するようにしてもよい。

本発明は、無線ＬＡＮ通信端末と暗号化鍵を用いた無線通信を行う無線ＬＡＮアクセスポイントを用いた暗号化鍵共有方法であって、前記無線ＬＡＮアクセスポイントから近い距離に配置されている近接無線ＬＡＮアクセスポイントを検出する近接アクセスポイント検出工程と、前記近接無線ＬＡＮアクセスポイントに前記暗号化鍵を送信する暗号化鍵送信工程とを備えた暗号化鍵共有方法である。

本発明の実施形態にかかる無線ＬＡＮシステムにおける無線ＬＡＮアクセスポイント１０ａ等の通信装置の位置関係を概説する図である。 本発明の実施形態にかかる無線ＬＡＮシステムのネットワーク構成を示す機能ブロック図である。 無線ＬＡＮアクセスポイント１０ａの構成を示す機能ブロック図である。 近接無線ＬＡＮアクセスポイント１０ｂの構成を示す機能ブロック図である。 初回接続時における本発明の実施形態にかかる無線ＬＡＮシステムの動作を示すフローチャートである。 ＰＭＫ共有の際の本発明の実施形態にかかる無線ＬＡＮシステムの動作を示すフローチャートである。 ローミング時における本発明の実施形態にかかる無線ＬＡＮシステムの動作を示すフローチャートである。 初回接続時における本発明の実施形態にかかる無線ＬＡＮシステムの動作を記入した無線ＬＡＮシステムの機能ブロック図である。 ＰＭＫ共有の際の本発明の実施形態にかかる無線ＬＡＮシステムの動作を記入した無線ＬＡＮシステムの機能ブロック図である。 ローミング時における本発明の実施形態にかかる無線ＬＡＮシステムの動作を記入した無線ＬＡＮシステムの機能ブロック図である。

以下、本発明の実施形態を図面を参照しながら説明する。

図１は、本発明の実施形態にかかる無線ＬＡＮシステムにおける無線ＬＡＮアクセスポイント１０ａ等の通信装置の位置関係を概説する図である。なお、図面においては、「無線ＬＡＮ」の表記を省略し、アクセスポイント１０ａ、１０ｂ、１０ｃ、１０ｄ、１０ｅおよびステーション２０と表記する。

本発明の実施形態にかかる無線ＬＡＮシステムは、無線ＬＡＮアクセスポイント１０ａ、１０ｂ、１０ｃ、１０ｄ、１０ｅ、無線ＬＡＮステーション（無線ＬＡＮ通信端末）２０、認証サーバ３０、ＬＡＮケーブル４０を備える。ただし、図１においては、認証サーバ３０およびＬＡＮケーブル４０を図示省略する。

無線ＬＡＮアクセスポイント１０ａは、無線ＬＡＮステーション（無線ＬＡＮ通信端末）２０と、暗号化鍵を用いた無線通信を行う。なお、この暗号化鍵（例えば、ペアワイズマスターキー（PMK : Pairwise Master Key）（以下、「ＰＭＫ」と表記する））は、無線ＬＡＮステーション２０が、無線ＬＡＮアクセスポイント１０ａにかえて、無線ＬＡＮアクセスポイント（近接無線ＬＡＮアクセスポイント）１０ｂと無線通信を行うこととなった場合（ローミング）にも使用される。

ただし、無線ＬＡＮアクセスポイント１０ａと無線ＬＡＮステーション２０との間で無線通信されるデータの暗号化には、ＰＭＫそのものを直接用いるわけではなく、ＰＭＫから動的に生成された鍵が用いられている。このように、ＰＭＫは無線通信に間接的に用いられている。いずれにせよ、無線ＬＡＮアクセスポイント１０ａが、無線ＬＡＮステーション２０と、暗号化鍵（ＰＭＫ）を用いた無線通信を行っていることにかわりはない。

無線ＬＡＮアクセスポイント（近接無線ＬＡＮアクセスポイント）１０ｂは、無線ＬＡＮアクセスポイント１０ａから近い距離に配置されている無線ＬＡＮアクセスポイントである。

無線ＬＡＮアクセスポイント１０ｃ、１０ｄ、１０ｅは、無線ＬＡＮアクセスポイント１０ａから遠い距離に配置されている。

無線ＬＡＮステーション（無線ＬＡＮ通信端末）２０は、無線ＬＡＮアクセスポイント１０ａと、暗号化鍵を用いた無線通信を行う。無線ＬＡＮステーション２０が移動した場合、無線ＬＡＮアクセスポイント１０ａにかえて、無線ＬＡＮアクセスポイント１０ａから近い無線ＬＡＮアクセスポイント１０ｂと無線通信を行うことが考えられる（ローミング）。なお、無線ＬＡＮアクセスポイント１０ｃ、１０ｄ、１０ｅは、無線ＬＡＮアクセスポイント１０ａから遠いので、無線ＬＡＮステーション２０との通信を行うことは、あまり考えられない。すなわち、ローミング先は、無線ＬＡＮアクセスポイント１０ａに近い近接無線ＬＡＮアクセスポイント１０ｂとなる可能性が高い。

図２は、本発明の実施形態にかかる無線ＬＡＮシステムのネットワーク構成を示す機能ブロック図である。図２においては、本発明の実施形態にかかる無線ＬＡＮシステムのうち、無線ＬＡＮアクセスポイント１０ａ、１０ｂ、無線ＬＡＮステーション２０、認証サーバ３０、ＬＡＮケーブル４０を図示し、無線ＬＡＮアクセスポイント１０ｃ、１０ｄ、１０ｅを図示省略する。

無線ＬＡＮアクセスポイント１０ａ、１０ｂおよび認証サーバ３０は、ＬＡＮケーブル４０および図示省略したスイッチにより接続されている。無線ＬＡＮアクセスポイント１０ａと無線ＬＡＮステーション２０とは有線接続されておらず、無線通信を行う。

認証サーバ３０は、無線ＬＡＮアクセスポイント１０ａから認証の要求を受け、ＰＭＫを作成して、無線ＬＡＮアクセスポイント１０ａおよび無線ＬＡＮステーション２０に送信する。認証サーバ３０は、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバであり、無線ＬＡＮアクセスポイント１０ａと無線ＬＡＮステーション２０とについて、IEEE 802.1x認証を行う。

図３は、無線ＬＡＮアクセスポイント１０ａの構成を示す機能ブロック図である。無線ＬＡＮアクセスポイント１０ａは、端末通信部１０２ａ、認証要求部１０４ａ、ＰＭＫ受信部１０６ａ、ＰＭＫ送信部（暗号化鍵送信部）１０８ａ、ＰＭＫ記録部１１０ａ、ＰＭＫ共有回答フレーム受信部１１２ａ、ＰＭＫ共有要求フレーム送信部１１４ａ、ビーコン送信部１１６ａ、ビーコン受信部（近接アクセスポイント検出部）１１８ａ、ＰＭＫ共有可否判定部（送信可否判定部）１２０ａ、ＳＳＩＤ記録部１３２ａ、セキュリティ設定記録部１３４ａ、ＰＭＫ共有回答フレーム送信部１１３ａ、ＰＭＫ共有要求フレーム受信部１１５ａを有する。

端末通信部１０２ａは、無線ＬＡＮステーション２０と無線通信を行う。なお、端末通信部１０２ａは、ＰＭＫ記録部１１０ａに記録されたＰＭＫを間接的に用いて、無線ＬＡＮステーション２０と無線通信を行う。すなわち、ＰＭＫから動的に生成された鍵を用いて、端末通信部１０２ａと無線ＬＡＮステーション２０との間で通信されるデータが暗号化される。

認証要求部１０４ａは、無線ＬＡＮステーション２０の認証を認証サーバ３０へ要求する。この要求は、ＬＡＮケーブル４０を介して、認証サーバ３０へ伝達される。

ＰＭＫ受信部１０６ａは、認証サーバ３０よりＬＡＮケーブル４０を介して送信されたＰＭＫを受信し、ＰＭＫ記録部１１０ａに書き込む。

ＰＭＫ送信部（暗号化鍵送信部）１０８ａは、無線ＬＡＮアクセスポイント（近接無線ＬＡＮアクセスポイント）１０ｂにＰＭＫを送信する。なお、ＰＭＫ送信部１０８ａは、ＬＡＮケーブル４０を介して、無線ＬＡＮアクセスポイント１０ｂにＰＭＫを送信する。ただし、ＰＭＫ送信部１０８ａは、ＰＭＫ共有回答フレーム受信部１１２ａからＰＭＫ共有回答フレームを受信した旨の通知を受けた場合に、ＰＭＫを送信する。ただし、すでに無線ＬＡＮアクセスポイント１０ｂにＰＭＫを送信していたのであれば、さらに無線ＬＡＮアクセスポイント１０ｂにＰＭＫを送信する必要はない。

ＰＭＫ記録部１１０ａは、ＰＭＫを記録する。

ＳＳＩＤ記録部１３２ａは、無線ＬＡＮアクセスポイント１０ａのＳＳＩＤ（Service Set Identifier）を記録する。ただし、ＳＳＩＤとは、IEEE 802.11で定められているアクセスポイントの識別子である。

セキュリティ設定記録部１３４ａは、無線ＬＡＮアクセスポイント１０ａが無線ＬＡＮステーション２０と行う無線通信において採用される認証方式（例えば、WPAパーソナル(Personal)、WPAエンタープライズ(Enterprise)またはWPA2エンタープライズ(Enterprise)）を記録する。

ビーコン送信部１１６ａは、ＳＳＩＤ記録部１３２ａからＳＳＩＤを読み出し、セキュリティ設定記録部１３４ａから認証方式を読み出す。さらに、ビーコン送信部１１６ａは、読み出したＳＳＩＤおよび認証方式を記録したビーコンを送信する。ただし、本実施形態では、ビーコン送信部１１６ａを使用しなくてもよい。

ビーコン受信部（近接アクセスポイント検出部）１１８ａは、無線ＬＡＮアクセスポイント１０ａから近い距離に配置されている近接無線ＬＡＮアクセスポイントを検出する。本実施形態において、近接無線ＬＡＮアクセスポイントは、無線ＬＡＮアクセスポイント１０ｂであり、無線ＬＡＮアクセスポイント１０ｃ、１０ｄ、１０ｅではない（図１参照）。

ビーコン受信部１１８ａは、無線ＬＡＮアクセスポイント１０ａとは他の無線ＬＡＮアクセスポイント１０ｂ、１０ｃ、１０ｄ、１０ｅから送信されるビーコンに基づき、近接無線ＬＡＮアクセスポイントを検出する。例えば、ビーコン受信部１１８ａは、受信したビーコンの強度が所定の閾値以上である場合に、そのビーコンを送信した無線ＬＡＮアクセスポイントを近接無線ＬＡＮアクセスポイントと判定する。

なお、ビーコンには、そのビーコンを送信した無線ＬＡＮアクセスポイントのＳＳＩＤおよび認証方式が記録されている。ビーコン受信部１１８ａは、検出した近接無線ＬＡＮアクセスポイントより受信したビーコンから、ＳＳＩＤおよび認証方式を読み出して、ＰＭＫ共有可否判定部（送信可否判定部）１２０ａに与える。

例えば、本実施形態において、近接無線ＬＡＮアクセスポイントは無線ＬＡＮアクセスポイント１０ｂであるので、ビーコン受信部１１８ａは、無線ＬＡＮアクセスポイント１０ｂのＳＳＩＤおよび認証方式をビーコンから読み出して、ＰＭＫ共有可否判定部（送信可否判定部）１２０ａに与える。

ＰＭＫ共有可否判定部（送信可否判定部）１２０ａは、暗号化鍵送信部１０８ａによる暗号化鍵（ＰＭＫ）の送信の可否を判定する。具体的には、ＰＭＫ共有可否判定部（送信可否判定部）１２０ａは、無線ＬＡＮアクセスポイント１０ａの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式と、近接無線ＬＡＮアクセスポイント１０ｂの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式とがそれぞれ同一である場合に、ＰＭＫの送信を可と判定する。

「少なくとも一つのＳＳＩＤとそのＳＳＩＤを使用する際に用いる認証方式」について、以下に説明する。

無線ＬＡＮアクセスポイントにおいてＳＳＩＤが一つのみ設定されている場合は、そのＳＳＩＤを使用する際に用いる認証方式も一つだけ設定されている。よって、その一つだけ設定されたＳＳＩＤおよび認証方式が、「少なくとも一つのＳＳＩＤとそのＳＳＩＤを使用する際に用いる認証方式」である。

無線ＬＡＮアクセスポイントにおいてＳＳＩＤが複数設定されている場合は（以下、「マルチＳＳＩＤ」という）、ＳＳＩＤごとに、そのＳＳＩＤに対応づけて認証方式が設定されている。この場合、「少なくとも一つのＳＳＩＤとそのＳＳＩＤを使用する際に用いる認証方式」は、複数設定されているＳＳＩＤのいずれか一つ以上と、それに対応づけて設定された認証方式ということになる。

例えば、無線ＬＡＮアクセスポイント１０ａおよび近接無線ＬＡＮアクセスポイント１０ｂが共にマルチＳＳＩＤであったとする。さらに、無線ＬＡＮアクセスポイント１０ａのＳＳＩＤおよび認証方式が、「ＳＳＩＤがＡＡＡ、認証方式がＷＰＡエンタープライズ」、「ＳＳＩＤがＢＢＢ、認証方式がＷＰＡパーソナル」であり、近接無線ＬＡＮアクセスポイント１０ｂのＳＳＩＤおよび認証方式が、「ＳＳＩＤがＡＡＡ、認証方式がＷＰＡエンタープライズ」、「ＳＳＩＤがＣＣＣ、認証方式がＷＰＡパーソナル」であったとする。この場合、いずれの無線ＬＡＮアクセスポイントにおいても「ＳＳＩＤがＡＡＡ、認証方式がＷＰＡエンタープライズ」が同一である。よって、無線ＬＡＮアクセスポイント１０ａの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式と、近接無線ＬＡＮアクセスポイント１０ｂの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式とがそれぞれ同一である場合に該当する。

より詳細には、ＰＭＫ共有可否判定部１２０ａは、無線ＬＡＮアクセスポイント１０ａのＳＳＩＤと認証方式とを、ＳＳＩＤ記録部１３２ａおよびセキュリティ設定記録部１３４ａから読み出す。ＰＭＫ共有可否判定部１２０ａは、近接無線ＬＡＮアクセスポイント１０ｂのＳＳＩＤと認証方式とを、ビーコン受信部１１８ａから受ける。さらに、ＰＭＫ共有可否判定部１２０ａは、無線ＬＡＮアクセスポイント１０ａの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式と、近接無線ＬＡＮアクセスポイント１０ｂの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式とがそれぞれ同一である場合にはＰＭＫの送信を可と判定し、同一では無い場合にはＰＭＫの送信を不可と判定する。

ＰＭＫ共有可否判定部１２０ａは、ＰＭＫの送信を可と判定した場合には、ＰＭＫ共有要求フレーム送信部１１４ａに、ＰＭＫ共有要求フレームの送信を指示する。

ＰＭＫ共有要求フレーム送信部１１４ａは、ＰＭＫ共有可否判定部１２０ａからＰＭＫ共有要求フレームの送信の指示を受けると（ＰＭＫの送信が可と判定されている）、ＰＭＫ共有要求フレームを、ＬＡＮケーブル４０を介して、近接無線ＬＡＮアクセスポイント１０ｂに送信する。

ＰＭＫ共有回答フレーム受信部１１２ａは、近接無線ＬＡＮアクセスポイント１０ｂからＰＭＫ共有回答フレームを、ＬＡＮケーブル４０を介して受信し、ＰＭＫ共有回答フレームを受信した旨をＰＭＫ送信部１０８ａに通知する。

ＰＭＫ共有回答フレーム送信部１１３ａおよびＰＭＫ共有要求フレーム受信部１１５ａについては、後述する。

図４は、近接無線ＬＡＮアクセスポイント１０ｂの構成を示す機能ブロック図である。近接無線ＬＡＮアクセスポイント１０ｂは、端末通信部１０２ｂ、認証要求部１０４ｂ、ＰＭＫ受信部１０６ｂ、ＰＭＫ送信部（暗号化鍵送信部）１０８ｂ、ＰＭＫ記録部１１０ｂ、ＰＭＫ共有回答フレーム受信部１１２ｂ、ＰＭＫ共有要求フレーム送信部１１４ｂ、ビーコン送信部１１６ｂ、ビーコン受信部（近接アクセスポイント検出部）１１８ｂ、ＰＭＫ共有可否判定部（送信可否判定部）１２０ｂ、ＳＳＩＤ記録部１３２ｂ、セキュリティ設定記録部１３４ｂ、ＰＭＫ共有回答フレーム送信部１１３ｂ、ＰＭＫ共有要求フレーム受信部１１５ｂを有する。

端末通信部１０２ｂ、認証要求部１０４ｂ、ＰＭＫ受信部１０６ｂ、ＰＭＫ送信部（暗号化鍵送信部）１０８ｂ、ＰＭＫ記録部１１０ｂ、ＰＭＫ共有回答フレーム受信部１１２ｂ、ＰＭＫ共有要求フレーム送信部１１４ｂ、ビーコン送信部１１６ｂ、ビーコン受信部（近接アクセスポイント検出部）１１８ｂ、ＰＭＫ共有可否判定部（送信可否判定部）１２０ｂ、ＳＳＩＤ記録部１３２ｂ、セキュリティ設定記録部１３４ｂは、それぞれ、端末通信部１０２ａ、認証要求部１０４ａ、ＰＭＫ受信部１０６ａ、ＰＭＫ送信部（暗号化鍵送信部）１０８ａ、ＰＭＫ記録部１１０ａ、ＰＭＫ共有回答フレーム受信部１１２ａ、ＰＭＫ共有要求フレーム送信部１１４ａ、ビーコン送信部１１６ａ、ビーコン受信部（近接アクセスポイント検出部）１１８ａ、ＰＭＫ共有可否判定部（送信可否判定部）１２０ａ、ＳＳＩＤ記録部１３２ａ、セキュリティ設定記録部１３４ａと同様であり、説明を省略する。

ただし、本実施形態では、認証要求部１０４ｂ、ＰＭＫ送信部１０８ｂ、ＰＭＫ共有回答フレーム受信部１１２ｂ、ＰＭＫ共有要求フレーム送信部１１４ｂ、ビーコン受信部１１８ｂ、ＰＭＫ共有可否判定部１２０ｂを使用しなくてもよい。

また、ＰＭＫ受信部１０６ｂは、ＬＡＮケーブル４０を介して、無線ＬＡＮアクセスポイント１０ａよりＰＭＫを受信する。

ＰＭＫ共有要求フレーム受信部１１５ｂは、ＬＡＮケーブル４０を介して、無線ＬＡＮアクセスポイント１０ａよりＰＭＫ共有要求フレームを受信し、その旨をＰＭＫ共有回答フレーム送信部１１３ｂに通知する。ＰＭＫ共有要求フレーム受信部１１５ａ（図３参照）も、ＰＭＫ共有要求フレーム受信部１１５ｂと同様であるが、本実施形態では使用しなくてもよい。

ＰＭＫ共有回答フレーム送信部１１３ｂは、ＰＭＫ共有要求フレーム受信部１１５ｂからＰＭＫ共有要求フレームを受信した旨の通知を受けると、ＰＭＫ共有回答フレームをＬＡＮケーブル４０を介して、無線ＬＡＮアクセスポイント１０ａに送信する。ＰＭＫ共有回答フレーム送信部１１３ａ（図３参照）も、ＰＭＫ共有回答フレーム送信部１１３ｂと同様であるが、本実施形態では使用しなくてもよい。

次に、本発明の実施形態の動作を説明する。

本発明の実施形態の動作は、大別して、（１）初回接続時、（２）ＰＭＫ共有、（３）ローミング時、の３段階に分けることができる。

（１）初回接続時
図５は、初回接続時における本発明の実施形態にかかる無線ＬＡＮシステムの動作を示すフローチャートである。なお、図５においては、無線ＬＡＮステーション２０、無線ＬＡＮアクセスポイント１０ａ、認証サーバ３０に分けて動作を図示している。

図８は、初回接続時における本発明の実施形態にかかる無線ＬＡＮシステムの動作を記入した無線ＬＡＮシステムの機能ブロック図である。

初回接続時とは、無線ＬＡＮステーション２０が、無線ＬＡＮアクセスポイント（本実施形態においては無線ＬＡＮアクセスポイント１０ａ）に初めて接続する時を意味する。初回接続時の動作は、IEEE 802.1x認証を用いた無線通信と同様である。

まず、無線ＬＡＮステーション２０が、無線ＬＡＮアクセスポイントに接続を試みる（Ｓ２０２）。

無線ＬＡＮアクセスポイント１０ａの端末通信部１０２ａは、無線ＬＡＮステーション２０から送信された接続試行のためのフレームを受信する（Ｓ１０２ａ）。端末通信部１０２ａは、認証要求部１０４ａに、接続試行のためのフレームを受信した旨を通知する。認証要求部１０４ａは、この通知を受けて、無線ＬＡＮステーション２０の認証を、ＬＡＮケーブル４０を介して、認証サーバ３０へ要求する（Ｓ１０４ａ）。

認証サーバ３０は、無線ＬＡＮステーション２０の認証の要求を、無線ＬＡＮアクセスポイント１０ａから受信すると（Ｓ３０２）、認証を行い（Ｓ３０４）、ＰＭＫを発行し（Ｓ３０６）、ＰＭＫを無線ＬＡＮアクセスポイント１０ａおよび無線ＬＡＮステーション２０に送信する（Ｓ３０８）（図８参照）。なお、認証（Ｓ３０４）、ＰＭＫ発行（Ｓ３０６）およびＰＭＫ送信（Ｓ３０８）は、IEEE 802.1x認証と同様であるので、詳細には説明しない。

無線ＬＡＮアクセスポイント１０ａのＰＭＫ受信部１０６ａは、認証サーバ３０から送信されたＰＭＫを、ＬＡＮケーブル４０を介して受信し（Ｓ１０６ａ）、ＰＭＫ記録部１１０ａに書き込む。さらに、端末通信部１０２ａがＰＭＫ記録部１１０ａからＰＭＫを読み出して、無線ＬＡＮステーション２０に送信する。

無線ＬＡＮステーション２０は、ＰＭＫを受信し（Ｓ２０４）、無線ＬＡＮアクセスポイント１０ａと、ＰＭＫを間接的に利用した無線通信を行う（Ｓ２０６）（図８参照）。

無線ＬＡＮアクセスポイント１０ａの端末通信部１０２ａも、無線ＬＡＮステーション２０と、ＰＭＫを間接的に利用した無線通信を行う（Ｓ１０８ａ）（図８参照）。

（２）ＰＭＫ共有
図６は、ＰＭＫ共有の際の本発明の実施形態にかかる無線ＬＡＮシステムの動作を示すフローチャートである。なお、図６においては、無線ＬＡＮアクセスポイント１０ａ、近接無線ＬＡＮアクセスポイント１０ｂに分けて動作を図示している。

図９は、ＰＭＫ共有の際の本発明の実施形態にかかる無線ＬＡＮシステムの動作を記入した無線ＬＡＮシステムの機能ブロック図である。

近接無線ＬＡＮアクセスポイント１０ｂのビーコン送信部１１６ｂが、ＳＳＩＤ記録部１３２ｂからＳＳＩＤを読み出し、セキュリティ設定記録部１３４ｂから認証方式を読み出す。さらに、ビーコン送信部１１６ｂは、読み出したＳＳＩＤおよび認証方式を記録したビーコンを送信する（Ｓ１１２ｂ）（図９参照）。ただし、無線ＬＡＮアクセスポイント１０ｃ、１０ｄ、１０ｅもまたビーコンを送信する。

無線ＬＡＮアクセスポイント１０ａのビーコン受信部１１８ａは、電波スキャン（Ｓ１１０ａ）を行い、近接無線ＬＡＮアクセスポイント１０ｂのビーコンを受信する（Ｓ１１２ａ）。ただし、ビーコン受信部１１８ａは、無線ＬＡＮアクセスポイント１０ｃ、１０ｄ、１０ｅのビーコンも受信する。

ここで、ビーコン受信部１１８ａは、受信したビーコンの強度が所定の閾値以上である場合に、そのビーコンを送信した無線ＬＡＮアクセスポイントを近接無線ＬＡＮアクセスポイント（本実施形態では、無線ＬＡＮアクセスポイント１０ｂ）と判定する。

ビーコン受信部１１８ａは、検出した近接無線ＬＡＮアクセスポイント１０ｂより受信したビーコンから、ＳＳＩＤおよび認証方式を読み出して、ＰＭＫ共有可否判定部（送信可否判定部）１２０ａに与える。

ＰＭＫ共有可否判定部１２０ａは、無線ＬＡＮアクセスポイント１０ａのＳＳＩＤと認証方式とを、ＳＳＩＤ記録部１３２ａおよびセキュリティ設定記録部１３４ａから読み出す。さらに、ＰＭＫ共有可否判定部１２０ａは、無線ＬＡＮアクセスポイント１０ａの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式と、近接無線ＬＡＮアクセスポイント１０ｂの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式とがそれぞれ同一であるか否かを判定する（Ｓ１１４ａ）。ただし、図６のＳ１１４ａにおいて、上記の判定内容を「ＡＰ１０ａ，１０ｂの少なくとも一つのＳＳＩＤ・認証方式が同一？」と略記する。

無線ＬＡＮアクセスポイント１０ａの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式と、近接無線ＬＡＮアクセスポイント１０ｂの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式とがそれぞれ同一ではない場合は（Ｓ１１４ａ、Ｎｏ）、ＰＭＫの送信を不可と判定され、電波スキャン（Ｓ１１０ａ）に戻る。この場合、ＰＭＫ送信（Ｓ１２２ａ）は行われない。

無線ＬＡＮアクセスポイント１０ａの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式と、近接無線ＬＡＮアクセスポイント１０ｂの少なくとも一つのＳＳＩＤおよびそのＳＳＩＤを使用する際に用いる認証方式とがそれぞれ同一である場合は（Ｓ１１４ａ、Ｙｅｓ）、ＰＭＫ共有可否判定部１２０ａがＰＭＫの送信を可と判定する（Ｓ１１６ａ）。

ＰＭＫ共有要求フレーム送信部１１４ａは、ＰＭＫ共有要求フレームを、ＬＡＮケーブル４０を介して、近接無線ＬＡＮアクセスポイント１０ｂに送信する（Ｓ１１８ａ）。

近接無線ＬＡＮアクセスポイント１０ｂのＰＭＫ共有要求フレーム受信部１１５ｂは、無線ＬＡＮアクセスポイント１０ａよりＰＭＫ共有要求フレームを受信し（Ｓ１１８ｂ）、その旨をＰＭＫ共有回答フレーム送信部１１３ｂに通知する。

ＰＭＫ共有回答フレーム送信部１１３ｂは、ＰＭＫ共有要求フレーム受信部１１５ｂからＰＭＫ共有要求フレームを受信した旨の通知を受けると、ＰＭＫ共有回答フレームを、ＬＡＮケーブル４０を介して、無線ＬＡＮアクセスポイント１０ａに送信する（Ｓ１２０ｂ）。

無線ＬＡＮアクセスポイント１０ａのＰＭＫ共有回答フレーム受信部１１２ａは、近接無線ＬＡＮアクセスポイント１０ｂからＰＭＫ共有回答フレームを、ＬＡＮケーブル４０を介して受信し（Ｓ１２０ａ）、ＰＭＫ共有回答フレームを受信した旨をＰＭＫ送信部１０８ａに通知する。

ＰＭＫ送信部１０８ａは、近接無線ＬＡＮアクセスポイント１０ｂにＰＭＫを送信する（Ｓ１２２ａ）（図９参照）。

近接無線ＬＡＮアクセスポイント１０ｂのＰＭＫ受信部１０６ｂは、ＬＡＮケーブル４０を介して、無線ＬＡＮアクセスポイント１０ａよりＰＭＫを受信し（Ｓ１２２ｂ）、ＰＭＫ記録部１１０ｂに書き込む。

これにより、ＰＭＫを、無線ＬＡＮアクセスポイント１０ａおよび近接無線ＬＡＮアクセスポイント１０ｂが共有することとなる。このＰＭＫ共有の際には、認証サーバ３０を利用していないことに留意されたい。

（３）ローミング時
図７は、ローミング時における本発明の実施形態にかかる無線ＬＡＮシステムの動作を示すフローチャートである。なお、図７においては、無線ＬＡＮステーション２０、無線ＬＡＮアクセスポイント１０ｂに分けて動作を図示している。

図１０は、ローミング時における本発明の実施形態にかかる無線ＬＡＮシステムの動作を記入した無線ＬＡＮシステムの機能ブロック図である。

無線ＬＡＮステーション２０が移動した場合、無線ＬＡＮアクセスポイント１０ａにかえて、無線ＬＡＮアクセスポイント１０ａから近い近接無線ＬＡＮアクセスポイント１０ｂと無線通信を行うことが考えられる（ローミング）。

そこで、近接無線ＬＡＮアクセスポイント１０ｂの端末通信部１０２ｂは、無線ＬＡＮステーション２０と、ＰＭＫ記録部１１０ｂに記録されたＰＭＫを間接的に利用した無線通信を行う（Ｓ１２８ｂ）（図１０参照）。

無線ＬＡＮステーション２０も、近接無線ＬＡＮアクセスポイント１０ｂと、ＰＭＫを間接的に利用した無線通信を行う（Ｓ２０８）（図１０参照）。

ローミングの際には、認証サーバ３０を利用していないことに留意されたい。

本発明の実施形態によれば、無線ＬＡＮステーション２０の通信相手を無線ＬＡＮアクセスポイント１０ａから近接無線ＬＡＮアクセスポイント１０ｂに変更する際に（ローミング）、認証サーバ３０による認証（Ｓ３０４：図５参照）およびＰＭＫの発行（Ｓ３０６：図５参照）を行わないので、ローミングを高速化することができる。

これは、無線ＬＡＮアクセスポイント１０ａが近接無線ＬＡＮアクセスポイント１０ｂへＰＭＫをローミングの前に送信し（Ｓ１２２ａ：図６および図９参照）、近接無線ＬＡＮアクセスポイント１０ｂがＰＭＫを記録しておくからである。この際、ＩＥＥＥ８０２．１１ｉで定められている事前認証とは異なり、近接無線ＬＡＮアクセスポイント１０ｂについては、認証サーバ３０による認証（Ｓ３０４：図５参照）およびＰＭＫの発行（Ｓ３０６：図５参照）を行わないので、認証サーバ３０の負荷を事前認証よりも低減させることができる。

また、上記の実施形態は、以下のようにして実現できる。ＣＰＵ、ハードディスク、メディア（フロッピー（登録商標）ディスク、ＣＤ−ＲＯＭなど）読み取り装置を備えたコンピュータに、上記の各部分、例えば無線ＬＡＮアクセスポイント１０ａ、１０ｂの各部分を実現するプログラムを記録したメディアを読み取らせて、ハードディスクにインストールする。このような方法でも、上記の機能を実現できる。

１０ａ 無線ＬＡＮアクセスポイント
１０ｂ 近接無線ＬＡＮアクセスポイント
２０ 無線ＬＡＮステーション（無線ＬＡＮ通信端末）
３０ 認証サーバ
４０ ＬＡＮケーブル
１０８ａ ＰＭＫ送信部（暗号化鍵送信部）
１１８ａ ビーコン受信部（近接アクセスポイント検出部）
１２０ａ ＰＭＫ共有可否判定部（送信可否判定部）

Claims (8)

1. 無線ＬＡＮ通信端末と暗号化鍵を用いた無線通信を行う無線ＬＡＮアクセスポイントであって、
   前記無線ＬＡＮアクセスポイントから近い距離に配置されている近接無線ＬＡＮアクセスポイントを検出する近接アクセスポイント検出部と、
   前記近接無線ＬＡＮアクセスポイントに前記暗号化鍵を送信する暗号化鍵送信部と、
   を備えた無線ＬＡＮアクセスポイント。
2. 請求項１に記載の無線ＬＡＮアクセスポイントであって、
   前記無線ＬＡＮ通信端末が、前記無線ＬＡＮアクセスポイントにかえて、前記近接無線ＬＡＮアクセスポイントと無線通信を行うこととなった場合にも、前記暗号化鍵が使用される、
   無線ＬＡＮアクセスポイント。
3. 請求項２に記載の無線ＬＡＮアクセスポイントであって、
   前記暗号化鍵は、ペアワイズマスターキー（Pairwise Master Key）である、
   無線ＬＡＮアクセスポイント。
4. 請求項１に記載の無線ＬＡＮアクセスポイントであって、
   前記近接アクセスポイント検出部は、他の無線ＬＡＮアクセスポイントから送信されるビーコンに基づき、前記近接無線ＬＡＮアクセスポイントを検出する、
   無線ＬＡＮアクセスポイント。
5. 請求項１に記載の無線ＬＡＮアクセスポイントであって、
   前記暗号化鍵送信部による前記暗号化鍵の送信の可否を判定する送信可否判定部を備えた無線ＬＡＮアクセスポイント。
6. 請求項５に記載の無線ＬＡＮアクセスポイントであって、
   前記送信可否判定部は、前記無線ＬＡＮアクセスポイントの少なくとも一つのＳＳＩＤおよび該少なくとも一つのＳＳＩＤを使用する際に用いる認証方式と、前記近接無線ＬＡＮアクセスポイントの少なくとも一つのＳＳＩＤおよび該少なくとも一つのＳＳＩＤを使用する際に用いる認証方式とがそれぞれ同一である場合に、前記暗号化鍵の送信を可と判定する、
   無線ＬＡＮアクセスポイント。
7. 請求項１に記載の無線ＬＡＮアクセスポイントであって、
   前記暗号化鍵送信部が、ＬＡＮケーブルを介して、前記近接無線ＬＡＮアクセスポイントに前記暗号化鍵を送信する、
   無線ＬＡＮアクセスポイント。
8. 無線ＬＡＮ通信端末と暗号化鍵を用いた無線通信を行う無線ＬＡＮアクセスポイントを用いた暗号化鍵共有方法であって、
   前記無線ＬＡＮアクセスポイントから近い距離に配置されている近接無線ＬＡＮアクセスポイントを検出する近接アクセスポイント検出工程と、
   前記近接無線ＬＡＮアクセスポイントに前記暗号化鍵を送信する暗号化鍵送信工程と、
   を備えた暗号化鍵共有方法。

Images