JP2020521385A - ネットワーク通信におけるおよびネットワーク通信に関する改善 - Google Patents

Abstract

通信ネットワーク内のクライアントデバイスを認証する方法であって、通信ネットワーク用の認証サーバ装置からクライアントデバイス用のネットワークアクセス資格情報を取得すること（３２）と、クライアントデバイスを通信ネットワークに接続するためのユーザ入力コマンドを受信するように構成されたユーザインターフェースをクライアントデバイスに表示することを含む方法。この方法は、クライアントデバイスでユーザ入力コマンドを受信し（３３）、それに応答して、クライアントデバイスをネットワークから関連解除することを含む。この方法は、クライアントデバイスのネットワークアクセス資格情報を認証サーバ装置に送信し（３８、３９）、認証サーバ装置はそれに応答して、アクセス承認メッセージをクライアントデバイスに送信すること（３９、４０）を含む。【選択図】図２

Description

本発明は、ワイヤレスネットワークなどの通信ネットワークに関する。

通信ネットワークは通常、ユーザがネットワークアクセスポイントまたはゲートウェイを介してアクセスできるようにする。パブリックネットワーク（例：インターネット）などの多くのネットワークでは、特定のネットワークサービス／ウェブサイトなどへのアクセスを許可される前に、ユーザは、ネットワークアクセスポイントにアクセス資格情報を提供するように要求されることもある。これらの資格情報が、アクセスポイントに接続された（またはその中に提供された）認証サーバー／ソフトウェアによって検証された後にのみ、ネットワークアクセスがユーザに許可される。「キャプティブポータル（captive portal）」技術は、ネットワークアクセス制御の認証プロセスをインプリメントするための一般的なメカニズムである。

公的にアクセス可能なワイヤレス「ホットスポット（hotspots）」は、一般の人が、ネットワーク設備にアクセスすることを可能にする。ホットスポット（Ｗｉ−Ｆｉ）は、例えば、一般的にＷｉ−Ｆｉ技術を使用し、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）によって、人々がインターネットアクセスを取得できる物理的な場所であり、ローターを使用してインターネットサービスプロバイダにアクセスする。空港売店またはホテルなどのビジネスでは、通常、ビジネスの「ポリシー」に従ってインターネットアクセスの程度を制御するように構成されたローカルワイヤレスアクセスポイント（ＡＰ）によって、顧客のために、施設内にホットスポットを提供することが可能である。このポリシーは、インターネットのどの部分にアクセスできるのか、どの部分にアクセスできないのかについての制限を課す場合があり、それによって、「ポリシー」と一致するインターネットのそれらの部分のみを許可されたネットワーク部分として、アクセスを許可し、その他の部分へのアクセスを禁止する。

図３は、この制御がしばしば達成される手順を概略的に示す。特に、ワイヤレスローカルエリアネットワーク装置は、必要なネットワークアクセス資格情報と関連するネットワークアクセス「ポリシー」を用いて、ユーザ（ユーザ機器、ＵＥ）のクライアント装置（６）が使えるように設定（provision）できなければならない。この目的のために、公開ホットスポットでは、しばしば、ユーザがオンラインサインアップサーバー（ＯＳＵ）によって提供される登録ポータル（８）へのアクセスを許可する必要がある。残念ながら、このようなアクセスは、通常、安全でないオープンネットワークＳＳＩＤ（７）経由である。これは、ユーザがＷＬＡＮへの接続を開始するためのステップを行うと（例えば、ユーザインターフェースの「接続」ボタンをクリックすると）、通常、クライアント装置（６）は、個人登録データ（名前、電話番号、住所、クレジットカードの詳細など）を暗号化されていないワイヤレスチャネル（１）経由で登録ポータル（８）に送信開始する必要があることを意味する。ユーザ機器（６）が必要なネットワークアクセス資格情報と「ポリシー」で使えるように設定（３）されると、登録手順が完了し、クライアント装置は、登録ポータルの安全でないオープンネットワークＳＳＩＤ（７、８）から切断し（４）、その後、別の安全なＳＳＩＤ（９）に接続する（５）必要があり、この別の安全なＳＳＩＤを介して、所望のネットワークサービス（９）が利用可能となる。

しかしながら、この接続ステップ（５）は、ユーザ機器（６）が正しい安全なＳＳＩＤ（９）を見つけて接続することに依存している。残念ながら、ユーザ機器（６）は、通常、以前のオープンネットワークＳＳＩＤ（７、８）を覚えて再接続するだけであるか、あるいは少なくとも安全なＳＳＩＤを見つけるのが遅い。これは、貧弱なサービスとユーザ体験を与える。
本発明は、通信ネットワークへアクセスするための改良されたシステムを提供する。

最も一般的には、本発明は、インターフェース（ＧＵＩなど）をユーザに提示するための設備を備えたユーザ機器を提供するというアイデアに基づき、このインターフェースを介して、ユーザは、意図的かつ故意に、例えば、ＡＡＡサーバによってネットワークアクセスが許可されたことに応答して、ユーザ機器を認証から関連解除するのに有効なユーザ入力／コマンドを入力できる。この設備は、ネットワークアクセスが要求されたオンラインサインアップサーバ（ＯＳＵ）によってユーザ機器に提供することができる。ユーザ入力またはコマンドは、ユーザコマンドの送信を開始するためにユーザインターフェース上のボタンまたはアイテムをクリックすることによるような、ユーザによる手動入力であるユーザコマンドであり得ることが理解される。あるいは、ユーザ入力またはコマンドは、例えば、ユーザインターフェース上に表示されるカウントダウンタイマーを用いて、クライアントデバイスによってユーザの代わりに自動的に入力することができ、これによって、ユーザコマンドは、その反対のユーザコマンドがなければ、カウントダウンの完了時に暗黙的に入力されたとみなされる。

ユーザ入力に応答して、「認可変更（Change of Authorization）」（ＣＯＡ）メッセージが生成され得る。ＣＯＡは、ネットワークへのアクセスに使用されるＷＬＡＮに対して発行され得る。これは、ユーザ機器を強制的に関連解除する効果を有し得る。その後、ユーザ機器は、関連解除の結果として（すなわち、ＣＯＡメッセージによって生じた）切断された可能性のあるサービスセット（例えば、ＳＳＩＤで定義されたサービスセット）への再接続を試みるように構成され得る。ユーザ機器は、この再接続を試行するときに（すなわち、ＡＡＡサーバを介して）、関連解除の直前にＡＡＡサーバによって以前に発行された資格情報を使用するように構成され得る。ＡＡＡサーバは、ユーザ機器に「アクセス承認（Access Accept）」メッセージを発行することで、つまり以前に発行された情報が今も有効であるため、ユーザ機器の再接続試行に応答するように構成され得る。ＡＡＡサーバの応答は、またＶＬＡＮ属性を含むことができる。ＡＡＡサーバの応答は、また、他の必要なＲＡＤＩＵＳ属性を含むことができる。この結果、ユーザ機器は、それらのユーザ資格情報と関連するポリシーによって承諾され、実施される適切なネットワークアクセスを獲得する。ユーザトラフィックは、許可されたＶＬＡＮにタグ付けすることができる。

関連解除は、例えば、「関連解除フレーム」を送信することで実施され得る。これには、関連解除フレームを送信して、ネットワーク接続からのユーザ機器の関連を終了することを含み得る。例えば、関連解除フレームは、アクセスポイントまたは他のネットワークノードに警告し得、次いで、アクセスポイントまたは他のネットワークノードは、関連テーブルからユーザ機器を削除し得る。
第一の態様において、本発明は、通信ネットワーク用の認証サーバ装置からクライアントデバイス用のネットワークアクセス資格情報を取得することと、クライアントデバイスを通信ネットワークに接続するためにユーザ入力コマンドを受信するように構成されたユーザインターフェースをクライアントデバイスに表示することと、クライアントデバイスでユーザ入力コマンドを受信し、それに応答してクライアントデバイスをネットワークから関連解除することと、クライアントデバイスのネットワークアクセス資格情報を認証サーバ装置に送信し、認証サーバ装置は、それに応答して、クライアントデバイスにアクセス承認メッセージを送信することを含む、通信ネットワークにおいてクライアントデバイスを認証するための方法を提供することができる。

望ましくは、ネットワークアクセス資格情報を取得することは、通信ネットワークに関連する一時的ネットワークアクセス資格情報をクライアントデバイスに提供することと、一時的ネットワークアクセス資格情報をクライアントデバイスによって認証サーバ装置に送信することを含む。認証サーバ装置による一時的ネットワークアクセス資格情報の受信に応じて、この方法は、暗号化通信のためにクライアントデバイスを通信ネットワークの隔離部分に接続し、それによって、暗号化された通信によってクライアントデバイスから通信ネットワークの隔離部分にユーザ登録データを送信することと、その後、前記暗号化された通信により、認証サーバ装置からネットワークアクセス資格情報を受信することを含み得る。

望ましくは、認証サーバ装置による一時的ネットワークアクセス資格情報の受信に応じて、この方法は、クライアントデバイスを通信ネットワークの隔離部分に前記接続することを許可する認証サーバ装置から送信された交換ネットワークアクセス資格情報をクライアントデバイスで受信することを含み得る。

望ましくは、認証サーバ装置による一時的ネットワークアクセス資格情報の受信に応じて、この方法は、クライアントデバイスからの暗号化送信により、交換ネットワークアクセス資格情報を認証サーバ装置に送信し、それにより、前記クライアントデバイスを通信ネットワークの隔離部分に接続することを含み得る。

望ましくは、ネットワークアクセス資格情報の送信は、クライアントデバイスをネットワークから前記関連解除することによりクライアント装置が関連解除された通信ネットワークへの再接続リクエストをクライアント装置から送信することを含み得る。
望ましくは、クライアントデバイスをネットワークから関連解除することには、クライアントデバイスを通信ネットワークの隔離部分から切断することを含む。

望ましくは、再接続リクエストは、クライアントデバイスをネットワークから前記関連解除することによってクライアント装置が関連解除された装置と同じサービスセット識別子（ＳＳＩＤ）を有する装置に対して行われる。
望ましくは、交換ネットワークアクセス資格情報を受信することは、通信ネットワークにアクセスするために、ユーザ名および／またはパスワードおよび／またはネットワークアクセス許可／制限を受信することを含む。

第二の態様において、本発明は、通信ネットワーク用の認証サーバ装置からクライアントデバイス用のネットワークアクセス資格情報を取得する装置と、クライアントデバイスを通信ネットワークに接続するためにユーザ入力コマンドを受信するように構成されたユーザインターフェースを表示するためのクライアントデバイス上のディスプレイと、クライアントデバイスでユーザ入力コマンドを受信し、それに応答してクライアントデバイスをネットワークから関連解除する装置と、クライアントデバイスのネットワークアクセス資格情報を認証サーバ装置に送信し、認証サーバ装置がそれに応答してクライアントデバイスにアクセス承認メッセージを送信する装置と、を含む、通信ネットワークにおいて、クラアインとデバイスを認証するためのネットワーク通信装置を提供することができる。

望ましくは、ネットワークアクセス資格情報を取得するための装置は、通信ネットワークと関連する一時的ネットワークアクセス資格情報をクライアントデバイスに提供するための装置を含む。望ましくは、クライアントデバイスは、一時的ネットワークアクセス資格情報を認証サーバ装置に送信するように構成される。好ましくは、一時的ネットワークアクセス資格情報の受信に応答して、認証サーバ装置は、クライアントデバイスを、それとの暗号化通信のために通信ネットワークの隔離部分に接続するように構成される。望ましくは、クライアントデバイスは、暗号化された通信によって通信ネットワークの隔離部分にユーザ登録データを送信するように構成される。望ましくは、認証サーバ装置は、続いて、前記暗号化通信により前記ネットワークアクセス資格情報をクライアント装置に送信するように構成される。

好ましくは、認証サーバ装置による一時的ネットワークアクセス資格情報の受信に応答して、認証サーバ装置は、クライアントデバイスを通信ネットワークの隔離部分に前記接続することを許可する交換ネットワークアクセス資格情報をクライアントデバイスに送信するように構成される。

好ましくは、認証サーバ装置による仮ネットワークアクセス資格情報の受信に応答して、クライアントデバイスは、暗号化送信によって、交換ネットワークアクセス資格情報を認証サーバ装置に送信し、それにより、クライアントデバイスを通信ネットワークの隔離部分に接続するように構成される。

望ましくは、ネットワークアクセス資格情報を送信することには、クライアントデバイスをネットワークから前記関連解除することによって前記クライアント装置が関連解除されていた通信ネットワークに再接続リクエストをクライアント装置から送信することを含む。

望ましくは、クライアントデバイスをネットワークから関連解除することは、クライアントデバイスを通信ネットワークの隔離部分から切断することを含む。好ましくは、再接続リクエストは、クライアント装置をネットワークから関連解除することによってクライアント装置が関連解除されていた装置と同じサービスセット識別子（ＳＳＩＤ）を有する装置に対して行われる。望ましくは、クライアントデバイスは、通信ネットワークにアクセスするために、ユーザ名および／またはパスワードおよび／またはネットワークアクセス許可／制限を含む交換ネットワークアクセス資格情報を受信するように構成される。サービスセット識別子（ＳＳＩＤ）は、ＷＬＡＮ（無線ＬＡＮ）の識別子として使用される識別子データ項目を指す。コンピュータネットワーキングでは、サービスセット（ＳＳ）は、消費者または企業のワイヤレスローカルエリアネットワーク（ＷＬＡＮ）、例えば、ＩＥＥＥ ８０２．１１と関連したすべてのデバイスから構成されるセットである。サービスセットは、ローカル、独立、拡張、またはメッシュであり得る。ＬＡＮとは、ローカルエリアネットワークの略語である。バーチャルＬＡＮ（ＶＬＡＮ）とは、データリンク層におけるコンピューターネットワーク内で分割および分離された任意のブロードキャストドメインである。「バーチャル」という用語は、追加のロジックによって再作成および変更された物理的オブジェクトを指す。ＶＬＡＮは、ネットワークパケット内でタグを使用し、ネットワーキングシステム内でタグを処理する。結果として、ＶＬＡＮが、同じネットワークに接続されているにもかかわらず、分離した状態を維持することを可能にする。それは、ネットワーキングデバイスの複数のセットを展開する必要なく、行われる。これは、物理的には、単一のネットワーク上にあるが、別個のネットワークに分割されているかのように機能するネットワークトラフィックの外観と機能が再作成する。

図１は、ユーザ機器（ＵＥ）がネットワーク（例えば、インターネット）にアクセスできるようにするための装置のコンポーネント、および関連する処理ステップを概略的に説明する。 図２は、本発明の一実施形態による、クライアントのユーザ機器（ＵＥ）とＷＬＡＮネットワークとの間の通信シーケンスを概略的に示す。 図３は、Ｗｉ−Ｆｉホットスポットへ接続する際の登録処理の接続を概略的に示す。 図４は、ユーザコマンドをクライアントデバイスに入力して、クライアントデバイスをＷＬＡＮ通信ネットワークに接続するためにクリックされるボタンを表示するユーザインターフェースを含むユーザ機器（ＵＥ）のディスプレイを概略的に示す。

本発明の一実施形態を、ここで図１を参照して説明する。これは、本発明をより良く理解できるように例示のために提供され、限定することを意図していない。図１は、以下のコンポーネント、すなわち、クライアントデバイス（ラップトップなど）などのユーザ機器「ＵＥ」と、「ＵＥ」がインターネットにアクセスするための「アクセスポイント」（またはＡＰ）と、ＡＰおよび認証・許可・アカウンティング「ＡＡＡ」サーバと通信する「ＷＬＡＮコントローラ」と、「ＷＡＧ」装置を含む装置を示す。「ＡＡＡ」サーバは、「ＷＡＧ」装置と通信している「ＯＳＵ」サーバと通信している。

装置のこれらのコンポーネントは、図１を参照するステップ（１）から（８）とこれらのステップで示される通信矢印で以下に説明するように通信する。Ｈｏｔ Ｓｐｏｔ ２．０は、ＷｉＦｉネットワーク間およびＷｉＦｉとセルラーネットワーク間のローミングを可能にする公衆アクセスＷｉ−Ｆｉの標準である。これは、Ｗｉ−Ｆｉ ＡｌｌｉａｎｃｅとＷｉｒｅｌｅｓｓ Ｂｒｏａｄｂａｎｄ Ａｓｓｏｃｉａｔｉｏｎによって開発された。
ユーザ機器「ＵＥ」は、現在、ネットワーク（例えば、インターネット）から関連解除されている。その後、次のステップが実行される。

したがって、図１に示すユーザが開始したＣＯＡステップ（５）は、「ＡＡＡ」ユニットと「ＯＳＵ」ユニットの間の点線で示されている。ユーザが開始したＣＯＡは、ユーザが、例えば、Ｗｉ−Ｆｉからログアウトするだけのプロセスとは異なる。この違いには、ＣＯＡをコントローラに送信して「ＷＬＡＮコントローラ」を開始し、それによってクライアントデバイス「ＵＥ」をアクセスポイント「ＡＰ」からプッシュするステップが含まれる。重要な原則は、ユーザがこれを開始することである。つまり、ユーザは、意図した結果で、ネットワークからプッシュされるアクティブステップを取る。

ＲＡＤＩＵＳプロトコル（リモート認証ダイヤルインユーザサービス）は、認証・承認・アカウンティング（ＡＡＡ）用の業界標準プロトコルである。ＲＡＤＩＵＳは、しばしば、８０２．１Ｘ認証の選択のバックエンド（backend）である。ターミナルサーバまたはネットワークアクセスサーバ（ＮＡＳ）は、ＲＡＤＩＵＳプロトコルを使用して、顧客情報のデータベースにＡＡＡリクエストを通信し、そのデータベースから結果を返す。ＲＡＤＩＵＳプロトコルは、インターネットエンジニアリングタスクフォース（ＩＥＴＦ）の「ＲＦＣ」文書で、例えば、ＲＦＣ２０５８およびＲＦＣ２０５８に取って代わった後続のＲＦＣ文書および／または、ＲＦＣ３５７９、ＲＦＣ２８６６およびＲＦＣ３５８０のいずれかまたはそれらの組み合わせのような、ＲＡＤＩＵＳプロトコル（またはその態様）を定義する後続のＲＦＣ文書の任意の１つまたは複数のような「ＲＦＣ」文書で定義し得るかまたは例えば、ＲＦＣ６６１４に使用することができる（may be used RFC6614）。

ＲＡＤＩＵＳサーバは、ＲＡＤＩＵＳプロトコルを使用してＡＡＡサービスを提供する。ＲＡＤＩＵＳサーバは、顧客がターミナルサーバまたはネットワークアクセスサーバ（ＮＡＳ）を使用するときに必要なＡＡＡサービスを実行する。ＲＡＤＩＵＳサーバは、以下のタスクを実行する。
・認証：ユーザ名とパスワードのチェックによる顧客のアイデンティティを検証する。
・許可：要求されたサービスにアクセスするための顧客特権を検証する。
・アカウンティング：顧客がログインおよびログアウトしたとき、およびセッション期間の追跡
「アカウンティング」という用語は、顧客の使用状況を追跡することを意味する。

一般的な認証ツールは、いわゆる「キャプティブポータル（captive portal）」を使用することである。キャプティブポータルは、標準のＷｅｂブラウザを使用して、ユーザが、そのサービスへのアクセスが許可される前に、ネットワークサービスへ、ログインの詳細／資格情報を提示する機会を許可する。このようなＷｅｂブラウザの使用は、多くのパーソナルコンピュータオペレーティングシステム（ラップトップ、ＰＣなど）がキャプティブポータルをサポートでき、特注のソフトウェアを必要としないことを意味する。

ＲＡＤＩＵＳサーバが認証目的で使用される場合、ネットワークアクセスポイントに、二つの応答のいずれか、すなわち、「アクセス拒否」応答か「アクセス承認」応答のいずれかを返し得る。「アクセス拒否」応答は、ユーザが受け入れ可能な資格情報を提供できなかった場合に発生し、リクエストされたネットワークへのリソースへのアクセスを拒否する。「アクセス承認」応答は、ユーザがアクセスを許可されたときに発生する。

「アクセスポイント」は、ＲＡＤＩＵＳプロトコルを介してアクセスを許可するための承認をリクエストする「ＷＬＡＮ コントローラ」を介して、ＲＡＤＩＵＳサーバ（「ＡＡＡ」）にＲＡＤＩＵＳアクセスリクエストメッセージを送信する。このリクエストは、クライアントデバイス／ユーザによって提供されたアクセス資格情報（例えば、ユーザ名、パスワード又はセキュリティ証明書）が含まれる。ＲＡＤＩＵＳサーバ（「ＡＡＡ」）は、情報が正しいことをチェックする。

現在、ネットワークに対するサインアップおよび登録の、より確実なアプローチを提供したいと望むネットワーク事業者は、それにより、例えば、さまざまなＥＡＰプロトコル（拡張認証プロトコル）またはＨｏｔｓｐｏｔ２．０プロトコルを使用して、確実に暗号化されたワイヤレス（Ｗｉ−Ｆｉ）ネットワークを作成することができる。しかしながら、図３を参照して上記で説明したように、既存のシステムにおける問題は、いかなるユーザも、ユーザ名やパスワードなどの固有の確実な認証の詳細を知らずにその確実なＳＳＩＤに接続することはできないし、あるいは既にデバイスにインストールされたＨｏｔｓｐｏｔ２．０プロファイルを有することはできない。原則として、その場合のネットワーク所有者は、だれでもがネットワークに確実に接続するために使用できる一時的ユーザ名／パスワードを公然と公開することもあるが、共有のユーザ名およびパスワードは、このサービスを別のネットワークサービスと区別すること（例えば、ユーザを識別すること、および特注サービスを提供すること）はできないし、または、ユーザ登録をすることができない。

本発明は、ユーザが必要とするプロビジョニング（provisioning）を確実に提供する。図２を参照すると、ユーザ機器（ＵＥ、２０）は、図１に示されるようなネットワークアクセスおよび制御装置を含むネットワーク（２２）の確実なＳＳＩＤへの接続を試みる。ユーザは、暗号化されたネットワークへのアクセスを獲得するために、ユーザ名とパスワードを入力するようにＵＥのオペレーティングシステムによって指示される。ユーザは、前もって、一時的なユーザ名とパスワードが提供されており、ネットワークの登録ページでこれらを入力する（２５）。一時的なユーザ名とパスワードは、共有手段、例えば、ネットワークサービスと関連したＷｅｂサイト上で、または、その情報をユーザに伝えることができる第三者（例えば、友達）へのｅメールを用いて、前記ネットワーク装置によりユーザに提供することができる。

例えば、ユーザは、携帯電話サービスプロバイダ（「ＭｏｂｉｌｅＣｏ」）からユーザ名／パスワードの組み合わせを取得していることもある。ユーザには、「ｍｏｂｉｌｅｃｏ」の一時的ユーザ名と「ｍｏｂｉｌｅｃｏ」の一時的パスワードが提供される。ユーザは、それによって、一時的ユーザ名「ｍｏｂｉｌｅｃｏ」および関連する一時的パスワード「ｍｏｂｉｌｅｃｏ」をネットワーク（２２）の登録ページ（２３）に入力することができる（２５）。この一時的なユーザ名とパスワードは、ネットワーク制御装置によって、検証のためにネットワークのＡＡＡ Ｒａｄｉｕｓサーバ（２１）に返送される（２６）。この場合、一時的なユーザ名とパスワードが正しいので、ＡＡＡ Ｒａｄｉｕｓサーバは、アクセス許可で応答（２７）し、ネットワーク制御装置（２３）への通知（２７）とともに、ネットワークの事前定義された確実な制限／隔離エリア内で、ユーザ機器（２０）を隔離する。登録ページ（２３）と関連したネットワーク制御装置は、ＡＡＡサーバに応答して、ユーザ機器（２０）にアクセス承認メッセージだけでなく、リダイレクトＵＲＬおよび／またはＶＬＡＮ ＩＤおよび／または、ユーザ機器をネットワークの確実な隔離エリアに仕向けるように動作可能なポリシーを発行する（２８）。

次に、ユーザは、Ｗｉ−Ｆｉネットワークの隔離部分（２２）に確実に接続（２９）され、無線データは暗号化される。しかしながら、「周知のユーザ名とパスワード」を使用したため、ユーザ機器は、許可された完全なインターネットアクセスの代わりに、ＭｏｂｉｌｅＣｏの登録ページにリダイレクトされる（３０）。登録ページで、ユーザは、登録または起動を完了する必要があり（３１）、通常、自分の携帯電話番号または電子メールアドレスを入力する必要がある。ユーザのアイデンティティが証明されると、ＡＡＡプロファイルが作成され、デバイスのための確実なモバイルプロファイルが生成され、無線を介して確実に提示され、インストールされる（３２）。これは、ユーザ装置に、プロファイルと認証資格情報をプロビジョニングする確実なプロセスである。

上記のステップの変形例では、初期接続試行（２５）は、一時的なユーザ名とパスワードを使用する代わりに匿名ＥＡＰを使用することもでき、ＡＡＡサーバ（２１）は、そのシナリオにおいて、ＥＡＰ入力がパーソナライズされたユーザ名とパスワードではなく、ユーザ機器（２０）を必要な制限されたポリシーに入れ、ユーザ機器を登録ページ（２３）にリダイレクトして上記のプロファイルを生成することにより応答する。

プロビジョニング／インストールされたプロファイルは、今や、ユーザのパーソナライズされたユーザ名／パスワードを、確実なネットワークの許可された部分（２４）に接続するために必要な他のアイテムとともに、含む。例えば、プロビジョニングされたプロファイルは、適切なＨｏｔｓｐｏｔ２．０設定とプロファイルを含むことができる。ユーザ機器（２０）は、今、ダウンロードされたプロファイルで正しいユーザ名とパスワードを取得しているが、一時的な／共有のユーザ名とパスワードで一時的に認証されているため、登録ページ（２３）と関連した、制限されたアクセスネットワークに依然として先に進めない。この問題を解決するために、ユーザ機器（２０）のディスプレイ（図４）は、所望の／許可されたネットワーク（２４）への接続をインプリメントするために、アクティブユーザ入力／コマンド（３３）として、クリックするように指示される接続起動ボタンを、ユーザに表示するように制御される。図４は、クライアントデバイスをＷＬＡＮ通信ネットワークへ接続するためのユーザコマンドを入力するために、クリックされるそのような接続ボタンをユーザに表示する、クライアントデバイスのディスプレイ（５０）上のユーザインターフェースの一例を概略的に示す。この起動ボタンは、許可されたネットワークへの接続を完了するためにユーザが必要とするアクションを示す「クリックして接続」というメッセージを表示する。クリックされると、クライアントデバイスはユーザ入力コマンドを受信し、それに応答して、クライアントデバイスをネットワークから関連解除するプロセスがそれに続いて起こる。あるいは、反対にユーザ入力／コマンドがない場合、カウントダウンの完了時に、接続起動カウントダウンタイマーを表示し、ユーザ機器を制御して、所望／許可されたネットワークエリアへの接続をインプリメントすることができる。その場合、クライアントデバイス（ＵＥ）のディスプレイ（５０）に表示されるユーザインターフェースの起動ボタン（５１）は、図４に示されたメッセージ「クリックして接続」の代わりに、カウントダウン時間を表示するカウントダウンタイマーに置き換えられる。

接続起動ボタンまたはカウンターダウンタイムを介したユーザ入力／コマンドの入力は、ネットワーク制御装置（２２）のＷＬＡＮコントローラへのバックエンドＣｏＡ信号（３４、３５）を自動的にトリガーし、ユーザ機器（２０）とネットワーク制御装置のＷＬＡＮとの間の一時的な関連解除を作成する。それにより、ユーザ機器は、ネットワーク制御装置から切断される（３６）。

ユーザ機器（２０）は、生成されたパーソナライズされたユーザ名とパスワードまたは認証トークンを含む正しいネットワークプロファイルで以前にプロビジョニングされている（３２）ので、ユーザ機器は、今回は、一時的なユーザ名／パスワードの代わりに、プロファイルに含まれるパーソナライズされたユーザ名とパスワードを使用して、ネットワーク制御装置（２２）の同じＷＬＡＮに自動的に再接続（３８）可能であり、そのように構成される。ＡＡＡ（ＲＡＤＩＵＳ）サーバ（２１）によって検証（３９）されると、ユーザ機器が、許可されたインターネットまたはネットワークアクセス（４１）を用いて機器を接続することを可能にする正しいポリシーを含むアクセス承認メッセージをユーザ機器に送り返す（４０）ように構成される。

この構成の利点は、ユーザ機器のネットワークへの登録、認証、および接続のすべてが単一の確実なＷＬＡＮで実行されることを含む。さらに、単一のＷＬＡＮネットワークは、複数のオペレータ並びに匿名ＥＡＰもサポートでき、各オペレータは、自身の加入者ベースを自身の共有ユーザ名とパスワードに気づかさせ、例えば、ｍｏｂｉｌｅｃｏ２のユーザ名とパスワードを有するＭｏｂｉｌｅＣｏ２と呼ばれる別のオペレータは、一時的なユーザ名／パスワードの組み合わせを顧客に提供して、ＭｏｂｉｌｅＣｏ２と関連する許可されたネットワークエリアへのネットワーク接続を個別に独立してインプリメントし得る。ＡＡＡサーバ（２１）は、このユーザ名とパスワードを確認し、上述のようにＵＥを制限状態にして応答するが、それらをＭｏｂｉｌｅＣｏ２のプロビジョニングページにリダイレクトする。
本発明には、サインアッププロセスのすべての態様が無線による暗号化で行われ、したがって確実であることを含む、複数の利点がある。ネットワーク制御装置（２２）と関連した単一のＳＳＩＤがモバイルオペレータによって使用され、これにより、モバイルオペレータがＲＦ（無線周波数）汚染を引き起こす多数のＳＳＩＤを使用する必要がなくなる。また、本発明は、ユーザ機器（例えば、モバイルハンドセット）が、それらの登録した最初／初期のオープンＳＳＩＤに意図せずに再接続すること（現在の重大なＨｏｔｓｐｏｔ ２．０プロビジョニングの問題）を防ぐ。全体として、本発明は、より良いユーザ体験を可能にする。

Claims (16)

1. 通信ネットワーク内のクライアントデバイスを認証する方法であって、
   通信ネットワーク用の認証サーバ装置から前記クライアントデバイス用のネットワークアクセス資格情報を取得するステップ（３２）と、
   前記クライアントデバイスを前記通信ネットワークに接続するためにユーザ入力コマンドを受信するように構成されたユーザインターフェースを前記クライアントデバイスに表示するステップと、
   前記クライアントデバイスで前記ユーザ入力コマンドを受信し（３３）、それに応答して、前記クライアントデバイスを前記ネットワークから関連解除するステップと、
   前記クライアントデバイスの前記ネットワークアクセス資格情報を前記認証サーバ装置に送信し（３８、３９）、前記認証サーバ装置はそれに応答して、アクセス承認メッセージを前記クライアントデバイスに送信するステップ（３９、４０）を含む、方法。
2. 前記ネットワークアクセス資格情報を取得するステップは、
   前記通信ネットワークと関連する一時的ネットワークアクセス資格情報を前記クライアントデバイスに提供するステップと、
   前記クライアントデバイスによって前記一時的ネットワークアクセス資格情報を前記認証サーバ装置に送信するステップと、
   前記認証サーバ装置による前記一時的ネットワークアクセス資格情報の受信に応答して、前記クライアントデバイスを、暗号化された通信のために前記通信ネットワークの隔離部分に接続するステップと、
   前記暗号化された通信によって、前記クライアントデバイスから前記通信ネットワークの前記隔離部分にユーザ登録データを送信するステップと、
   その後に、前記暗号化された通信によって、前記認証サーバ装置から前記ネットワークアクセス資格情報を受信するステップを含む、請求項１に記載の方法。
3. 前記認証サーバ装置による前記一時的ネットワークアクセス資格情報の受信に応答して、
   前記通信ネットワークの前記隔離部分への前記クライアントデバイスの前記接続を可能にする前記認証サーバ装置から送信された交換ネットワークアクセス資格情報を前記クラアイントデバイスにおいて受信する、請求項２に記載の方法。
4. 前記認証サーバ装置による前記一時的ネットワークアクセス資格情報の受信に応答して、
   前記クライアントデバイスからの暗号化された送信により、前記交換ネットワークアクセス資格情報を前記認証サーバ装置に送信し、それにより、前記クライアントデバイスを前記通信ネットワークの前記隔離部分に接続する、請求項３に記載の方法。
5. ネットワークアクセス資格情報の前記送信は、前記ネットワークからの前記クライアントデバイスの前記関連解除により前記クライアント装置が関連解除された前記通信ネットワークを再接続するための要求を前記クライアント装置から送信することを含む、請求項１乃至４のいずれか一項に記載の方法。
6. 請求項２に従属するとき、前記ネットワークからの前記クライアントデバイスの前記関連解除は、前記クライアントデバイスを前記通信ネットワークの前記隔離部分から切断することを含む、請求項１乃至５のいずれか一項に記載の方法。
7. 請求項５に従属するとき、前記再接続のリクエストは、前記ネットワークからの前記クライアントデバイスの前記関連解除により前記クライアント装置が関連解除された装置と同じサービスセット識別子（ＳＳＩＤ）を有する前記装置に対してなされる、請求項５または６に記載の方法。
8. 請求項３に従属するとき、前記交換ネットワークアクセス資格情報の前記受信は、前記通信ネットワークにアクセスするための、ユーザ名および／またはパスワードおよび／またはネットワークアクセス許可／制限を受信することを含む、請求項１乃至７のいずれか一項に記載の方法。
9. 通信ネットワークにおいて、クライアントデバイス（２０）を認証するためのネットワーク通信装置であって、
   通信ネットワーク用の認証サーバ装置（２１）から前記クライアントデバイスのためのネットワークアクセス資格情報を取得する装置（２３）と、
   前記クライアントデバイスを前記通信ネットワークに接続するためのユーザ入力コマンドを受信するように構成されたユーザインターフェースを表示するための、前記クライアントデバイス上のディスプレイと、
   前記クライアントデバイスにおいて、前記ユーザ入力コマンドを受信し、それに応答して、前記クライアントデバイスを前記ネットワークから関連解除する装置（２４）と、
   前記クライアントデバイスに関する前記ネットワークアクセス資格情報を前記認証サーバ装置に送信し、それにより、前記認証サーバ装置は、前記クライアントデバイスにアクセス承認メッセージを送信する、装置（２３）を含む、ネットワーク通信装置。
10. 前記ネットワークアクセス資格情報を取得する装置は、前記通信ネットワークに関連する前記一時的ネットワークアクセス資格情報を前記クライアントデバイスに供給するための装置を含み、
    前記クライアントデバイスは、前記一時的ネットワークアクセス資格情報を前記認証サーバ装置に送信するように構成され、
    前記一時的ネットワークアクセス資格情報の受信に応答して、前記認証サーバ装置は、暗号化された通信のために、前記クライアントデバイスを前記通信ネットワークの前記隔離部分に接続するように構成され、
    前記クライアントデバイスは、暗号化された通信によって、前記通信ネットワークの前記隔離部分にユーザ登録データを送信するように構成され、
    前記認証サーバ装置は、その後、前記暗号化された通信により、前記ネットワークアクセス資格情報を前記クライアントデバイスに送信するように構成される、請求項９に記載のネットワーク通信装置。
11. 前記認証サーバ装置による前記一時的ネットワークアクセス資格情報の受信に応答して、
    前記認証サーバ装置は、前記通信ネットワークの前記隔離部分への前記クライアントデバイスの前記接続を可能にする前記クライアントデバイス交換ネットワークアクセス資格情報を前記クライアントデバイスに送信するように構成される、請求項１０に記載のネットワーク通信装置。
12. 前記認証サーバ装置による前記一時的ネットワークアクセス資格情報の受信に応答して、前記クライアントデバイスは、暗号化送信によって、前記交換ネットワークアクセス資格情報を前記認証サーバ装置に送信するように構成され、それによって、前記クライアントデバイスを前記通信ネットワークの前記隔離部分に接続する、請求項１１に記載のネットワーク通信装置。
13. 前記ネットワークアクセス資格情報を送信することは、前記ネットワークから前記クライアントデバイスを前記関連解除することによって、前記クライアントデバイスが関連解除された前記通信ネットワークに再接続するリクエストを前記クライアントデバイスから送信することを含む、請求項９乃至１２のいずれか一項に記載のネットワーク通信装置。
14. 請求項１０に従属するとき、前記クライアントデバイスを前記ネットワークから関連解除することは、前記クライアントデバイスを前記通信ネットワークの前記隔離部分から切断することを含む、請求項９乃至１３のいずれか一項に記載のネットワーク通信装置。
15. 請求項１３に従属するとき、前記再接続のリクエストは、前記クライアントデバイスを前記ネットワークから前記関連解除することにより、前記クライアントデバイスが関連解除された装置と同じサービスセット識別子（ＳＳＩＤ）を有する前記装置に対してなされる、請求項１３または１４に記載のネットワーク通信装置。
16. 請求項１１に従属するとき、前記クライアントデバイスは、前記通信ネットワークにアクセスするために、ユーザ名および／またはパスワードおよび／またはネットワークアクセス許可／制限を含む前記交換ネットワークアクセス資格情報を受信するように構成された、請求項９乃至１５のいずれか一項に記載のネットワーク通信装置。