JP2020532187A - Ｗｌａｎなどのワイヤレスネットワーク内のアクセスおよび／または転送制御を実施するための方法および装置 - Google Patents

Abstract

ワイヤレス通信システム内で、通信される情報、たとえばトラフィックへのアクセスおよび／または通信される情報の転送を制御するための方法および装置が説明される。通信されたコンテンツを宛先デバイスアクセスに提供するか否かを決定するとき、宛先デバイスへの通信のためにアクセスポイントに送信されるデータを保護するために使用された鍵、たとえばＰＳＫが考慮に入れられる。通信への宛先デバイスアクセスを提供するか否かの決定は、宛先デバイスへの配信のために、受信されたデータを別のデバイス、たとえば別のアクセスポイントに転送するか否かを決定することを含み得、および／または宛先デバイスにデータを送信するか否かを決定することを含み得る。宛先デバイスが、受信されたデータを保護するために使用された鍵に関連付けられない、たとえば鍵へのアクセスおよび／または鍵を使用する権限を有さない場合、データは宛先デバイスに通信されない。

Description

[0001]本願はワイヤレスネットワークに関し、より詳細には、ＷＬＡＮ（ワイヤレスローカルエリアネットワーク）または別のネットワークを使用して通信される、通信される情報たとえばトラフィックへのアクセスを制御および／または制限するために使用され得る方法および／または装置に関する。

[0002]ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）および様々な他のタイプのネットワークが、セルフォンなどのワイヤレスデバイス間で、したがって異なるセルフォンを使用するユーザ間で情報、たとえばデータを通信するために一般的に使用されている。暗号化の使用を通じてセキュリティを実現するための一般的な手法は、事前共有鍵（Ｐｒｅ−Ｓｈａｒｅｄ Ｋｅｙ）を表すＰＳＫと呼ばれるものの使用を含む。

[0003]多くのシステムでは、ネットワークの無許可使用を回避し、無線で送信される情報についてのセキュリティを実現するために、無線でワイヤレスに送信される情報はしばしば、暗号鍵とも呼ばれることがあるセキュリティ鍵を使用して暗号化され、たとえば保護される。ＷｉＦｉシステムはしばしば、そのような暗号化を可能にするために、セキュリティのための事前共有鍵（ＰＳＫ）の使用に依拠する。そのようなシステムでは、ＰＳＫはしばしば、特定の通信セッションおよび／または制限された時間期間についての通信を暗号化および／または解読するために使用される短期暗号鍵を生成するために、他の情報または値と組み合わせて使用される。そのようなシステムでは、ＰＳＫは、特定の通信を直接的に暗号化または解読するために使用されないことがあるが、ＰＳＫは、送信または受信された通信の実際の暗号化／解読を実施するために使用される一時的暗号鍵の生成で使用されるので、通信の保護、たとえば暗号化を可能にし、使用される。

[0004]Ｗｉ−Ｆｉ Ｐｒｏｔｅｃｔｅｄ Ａｃｃｅｓｓ（ＷＰＡ）は、ＰＳＫの使用に依拠する、ワイヤレスコンピュータネットワークを保護するためにＷｉ−Ｆｉ Ａｌｌｉａｎｃｅによって開発された、一般的に使用されているセキュリティプロトコルである。

[0005]ＷＰＡ−ＰＳＫ（事前共有鍵）モードとして識別されることもあるＷＰＡ−Ｐｅｒｓｏｎａｌは、各ワイヤレスネットワークデバイスが２５６ビット鍵を使用してネットワークトラフィックを暗号化する、ホームおよびスモールオフィスネットワーク向けに設計された一般的なセキュリティ手法である。この鍵は、６４桁の１６進数の文字列として、または８から６３桁のＡＳＣＩＩ文字のパスフレーズとして入力され得る。

[0006]ＷＰＡセキュリティで保護されたＷＬＡＮは通常、ＷＬＡＮ上のすべてのステーションについて単一のＰＳＫ（事前共有鍵）を使用する。いくつかのベンダは、単一のＷＬＡＮ上で複数のＰＳＫ（「プライベートＰＳＫ」）または「ユーザ単位ＰＳＫ」を可能にする。単一のＰＳＫがすべてのデバイスによって使用される通常の実装、または異なるユーザが異なるＰＳＫを使用する実装のどちらでも、データが無線局から到着するとき、適切な鍵をルックアップするためにステーションのＭＡＣアドレスが使用され、次いでトラフィックを解読するために鍵が使用される。次いで、宛先デバイスへの送信前に、受信されたトラフィックを再符号化するために同等の鍵ルックアップが使用される。したがって、受信されると、データが復号化され、次いで送信の前に再符号化される。

[0007]エアリンクを介して送られるトラフィックを保護するためにＰＳＫが使用されるが、復号化されると、受信側アクセスポイントによるコンテンツが首尾よく復号化されることを仮定して、従来のシステムでは、元のＰＳＫはルーティングまたは再送信の決定に作用せず、または影響を及ぼさず、首尾よく復号化されたデータは、復号化されたトラフィック内に含まれる宛先アドレスまたは他の宛先標識に基づいてルーティングされ、送信される。

[0008]デバイスがマルチモードデバイスにつれて、あるネットワーク上で送信されるデータが、宛先デバイスへの配信のために別のネットワークに通信されることがより一般的になりつつある。異なるネットワークは、異なる暗号化技法を使用し得、現在のシステムでは、たとえば、トラフィックを送る元のワイヤレス端末からトラフィックを受信するアクセスポイントへの送信のために、通信ネットワークを介して送信されているトラフィックが元々はどのように暗号化されたかについての知識を持たないことがある。

[0009]データセキュリティに対する一手法は、ソースデバイスから宛先デバイスに送信されるときにデータを暗号化形式に保ち、それによって、送信されるデータを受信側デバイスが元の形式に解読することができることを必要とすることによってセキュリティを実現することである。そのようなエンドツーエンド暗号化はしばしば、ワイヤレス端末とアクセスポイントとの間のエアリンクを介して使用される暗号化に追加されるものであり、その暗号化とは独立したものである。そのようなエンドツーエンド暗号化が使用されるとき、トラフィックが送信されるネットワークは一般に、単なる配信デバイスとして働き、エンドデバイスは、エンドデバイスが受信するトラフィックが、実際にデバイスが解読し、使用することのできるトラフィックであることを確認する役目を果たす。そのようなエンドツーエンド暗号化手法では、受信する資格のないデータを受信するデバイスは、そのような暗号化を実施するために必要とされるセキュリティ鍵を欠いているので、データを解読することができないことになる。しかしながら、宛先デバイスに宛てられたそのようなコンテンツを配信する際にネットワークリソースが浪費されることになる。

[00010]アクセスポイントでトラフィックを解読することなくトラフィックを送信することは、いくつかのケースではエンドツーエンドセキュリティを改善し得るが、オーバヘッドを増大させる傾向があり、コンテンツを解読することができず、最初にトラフィックを受信すべきでなかったデバイスへのトラフィックの通信および／または転送という結果になり得る。

[00011]上記の議論から、トラフィックを通信するために使用されるネットワークデバイスによって解読されない暗号化形式のトラフィックの通信は、必ずしもすべてのケースではないが、少なくともいくつかのケースでは、浪費となり得、最終的に使用されず、恐らくは決して最初に配信されるべきではなかったが、アドレッシングエラーまたは何らかの他の理由のために配信されたデータの送信および通信という結果となり得ることを理解されたい。

[00012]コンテンツが通信ネットワークを通じて送信されるとき、必ずしもすべてのケースではないが、少なくともいくつかのケースでは、コンテンツのエンドツーエンド暗号化を必要とすることなく、暗号鍵へのデバイスのアクセスに基づいてコンテンツへのアクセスおよび／またはコンテンツの転送を制限するために使用され得る改良型の方法および／または装置が開発されるなら望ましいはずである。

[00013]ワイヤレス通信システムにおいて、通信される情報、たとえばトラフィックのアクセスおよび／または転送を制御するための方法および装置が説明される。様々な実施形態では、宛先デバイスにコンテンツを提供するか否かを決定するときに、宛先デバイスへの通信のためにアクセスポイントに送信されるデータの暗号化および／または解読を可能にするために、どの鍵、たとえばＰＳＫが使用されるかが考慮に入れられる。宛先デバイスにコンテンツを提供するか否かの決定はアクセス制御決定であり、宛先デバイスへの配信のために、受信されたデータを別のデバイス、たとえば別のアクセスポイントに転送するか否かを決定することを含み得、および／または宛先デバイスが送信側デバイスと同一のアクセスポイントに接続されるとき、宛先デバイスにデータを送信するか否かを決定することを含み得る。様々な実施形態では、宛先デバイスが、受信されたデータの暗号化および／または解読を可能にするために使用された事前共有鍵（ＰＳＫ）に関連付けられない場合、たとえば、事前共有鍵（ＰＳＫ）へのアクセスおよび／または事前共有鍵（ＰＳＫ）を使用する権限を有さない場合、データは宛先デバイスに通信されない。

[00014]送り側デバイスとアクセスポイントとの間のエアリンクを介する通信のためにデータの暗号化を可能にするために使用される鍵、たとえばＰＳＫがアクセス制御動作中に考慮に入れられるが、多くのケースでは、宛先デバイスが結合されるアクセスポイントから宛先デバイスにＰＳＫが配信されることを仮定して、アクセス制御動作はデータを送信するために使用される暗号鍵を生成するために使用されるＰＳＫから分離されることに留意されたい。言い換えれば、ＰＳＫ、たとえば第１の暗号鍵、または送り側デバイス、たとえば第１のワイヤレス端末と、送り側デバイスが結合される第１のアクセスポイントとの間の第１のエアリンクを保護するために使用される暗号鍵を使用するセキュリティ手順は、宛先デバイス、たとえば第２のワイヤレス端末と、第２のワイヤレス端末が結合されるアクセスポイント、たとえば第２のアクセスポイントとの間の通信を保護するために使用される暗号鍵、たとえば第２のＰＳＫとは異なり得、多くの場合、異なることになる。特定の通信を保護するために使用される、上記で論じたＰＳＫは、一時的または過渡的暗号鍵の生成で使用され得、多くの場合、使用され、次いで一時的または過渡的暗号鍵は、無線で送信されるワイヤレス通信の実際の暗号化または解読を実施するために使用される。

[00015]様々な実施形態では、データ、たとえばメッセージや通信すべき他の情報などのトラフィックが、暗号化形式で受信され、次いで、たとえば第１の暗号鍵、たとえば解読または暗号化のために使用される過渡的暗号鍵を生成するために使用される第１のＰＳＫを使用して解読される。所期の宛先デバイスが、トラフィックデータと通信され得、通常は通信される宛先アドレスまたは他の宛先識別子によって識別される。宛先デバイスに通信すべきコンテンツの解読および／またはコンテンツの暗号化を可能にするために送り側デバイスによって使用された鍵、たとえばＰＳＫが宛先デバイスに関連付けられるかどうかに関してチェックが行われる。このチェックは、アクセス制御デバイスとして働くデバイスによって行われ得、行われることがあるが、チェックは、特定の実施形態に応じてシステム内の様々な位置で行われ得る。

[00016]通信すべきトラフィックを受信するアクセスポイントは、アクセス制御デバイスとして働き得、多くの場合、働くことになる。これは特に、宛先デバイスがソースデバイスと同一のアクセスポイントに接続され、宛先デバイスに関連付けられる１つまたは複数の鍵、たとえばＰＳＫの知識を有する場合に一般的である。たとえば、宛先デバイスは、どのＰＳＫ鍵がアクセスポイントと宛先デバイスとの間の通信を保護するために使用されているかを知っており、またはネットワーク内の管理ノードなどの別のデバイスによって維持または配布される鍵関連付けレコードへのアクセスを有するからである。通信すべきトラフィックを受信するアクセスポイントがアクセス制御デバイスとして働いており、宛先デバイスが宛先デバイスへの通信のためにアクセスポイントに送られたトラフィックの解読および／または暗号化を可能にするために使用された鍵、たとえばＰＳＫに関連付けられないと決定した場合、アクセスポイントは、コンテンツがそれを通じて宛先デバイスに配信され得るネットワーク内の宛先デバイスまたは別のデバイスにデータを転送することなくデータをドロップする。そのような手法は、宛先デバイスが第１のアクセスポイントに送信されたトラフィックの解読を可能にするために使用される暗号鍵、たとえばＰＳＫに関連付けられないとき、ネットワークを通じて、または第１のアクセスポイントのダウンリンクを介してトラフィックを送ることを回避する。

[00017]宛先デバイスが通信すべきデータを受信した第１のアクセスポイントに直接的に接続されないようないくつかのケースでは、第１のアクセスポイントは、どの鍵、たとえばＰＳＫが宛先デバイスに関連付けられるかについての情報を有さないことがある。そのような実施形態では、第１のアクセスポイントは、元の暗号化トラフィックの解読を可能にするために使用された暗号鍵、たとえばＰＳＫを示す情報と共に、解読されたトラフィックを宛先デバイスに転送する。トラフィックが宛先デバイスに通信される前に、別のネットワークデバイス、たとえば宛先デバイスが接続される第２のアクセスポイントが、アクセス制御デバイスとして働き、元々送信されたコンテンツを解読することを可能にするために使用された暗号鍵、たとえばＰＳＫが宛先デバイスに関連付けられるかを確認するためにチェックする。

[00018]たとえば、宛先デバイスが接続される第２のアクセスポイントアクセスがアクセス制御デバイスとして働く実施形態を考慮する。そのような実施形態では、第２のアクセスポイントは、宛先デバイスとの通信を保護するためにどんな暗号鍵、たとえばＰＳＫを使用しているかの知識を有し、第２のアクセスポイントがネットワーク内の管理ノードまたは他のデバイスによって提供される宛先デバイスについての鍵関連付けレコードへのアクセスを有さない場合、他のどんな暗号鍵、たとえばＰＳＫがデバイスに関連付けられるかに関して宛先デバイスに情報を要求することもできる。

[00019]アクセス制御デバイスとして、たとえば宛先デバイス、たとえば宛先ワイヤレス終端が接続されるアクセスポイントとして働くデバイスが、ソースワイヤレス端末によって第１のアクセスポイントに送信されたトラフィックの解読を可能にするために使用された鍵、たとえばＰＳＫに宛先デバイスが関連付けられると決定した場合、データは、宛先デバイスと宛先デバイスが接続されるアクセスポイントとの間のエアリンクを保護するためにどんな鍵、たとえばＰＳＫが使用されるとしても、保護され暗号化され、宛先デバイスに送信される。ＰＳＫを用いるデータの保護は、送信すべきデータを暗号化するようにデータを保護するために使用されるＰＳＫから生成された過渡的鍵を使用することを含み得、含むことがある。データは、通信されているデータを保護する、たとえばデータの暗号化および解読を可能にするために元々使用されるために使用された第１の鍵、たとえばＰＳＫとは異なる鍵、たとえば第２のＰＫＳで保護され得、保護されることがある。したがって、宛先デバイスが、元の通信を保護するために使用された鍵、たとえばＰＳＫに関連付けられることが必要とされ得るが、完全に異なる鍵、たとえば第２のＰＳＫが、宛先デバイスに対するエアリンクを介するデータを保護するために使用され得る。したがって、宛先デバイスが結合されるアクセスポイントは、同一のＰＳＫを使用する必要がなく、無線送信のために元のソースデバイスによって使用された暗号化方式とは異なる暗号化方式を使用することさえもできる。

[00020]上記に鑑みて、本発明による方法および装置が、同一のワイヤレスネットワーク上のデバイス間だけでなく、エアリンクを介する、異なる暗号化および／またはセキュリティ、さらには潜在的には無線を介する異なるプロトコルを使用するネットワークの間で送られるトラフィックについてもアクセス制御を実現するのに十分に適していることを理解されたい。たとえば、本明細書で説明される方法および装置は、ＷｉＦｉネットワーク上で動作するソースデバイスと、異なるネットワーク、たとえばＬＴＥ（登録商標）ネットワーク上で動作する宛先デバイスとの間の、またはその逆のアクセス制御を実現するために使用され得る。

[00021]前述の方法および装置に関する多数の変形形態が可能であり、本発明の範囲内にある。様々な実施形態が上記の概要で論じられたが、必ずしもすべての実施形態が同一の特徴を含むとは限らず、前述の特徴のうちのいくつかはすべての実施形態について必要ではないことを理解されたい。様々な実施形態の多数の追加の特徴、実施形態、および利点が、以下の詳細な説明で論じられる。

[00022]例示的実施形態による例示的システムの図面。 [00023]図１に示されるシステムで使用され得る例示的アクセスポイントを示す図。 [00024]いくつかの実施形態で使用される例示的鍵関連付けテーブルを示す図。 [00025]図３に示されるような鍵関連付けテーブルを作成および／または更新するために図１のシステム内の管理ノードまたは他のデバイスによって使用され得る鍵情報記憶ルーチンを示す図。 [00026]本発明の例示的一実施形態に従って実装された通信方法の第１の部分。 [00027]本発明の例示的一実施形態に従って実装された通信方法の第２の部分。 [00028]本発明の例示的一実施形態に従って実装された通信方法の第３の部分。 [00029]本発明の例示的一実施形態に従って実装された通信方法の第４の部分。 [00030]本発明の例示的一実施形態に従って実装された通信方法の第５の部分。 [00031]図５Ａ、５Ｂ、５Ｃ、５Ｄ、および５Ｅの組合せを備える図。 [00032]例示的実施形態による例示的通信方法のフローチャートの第１の部分。 [00033]例示的実施形態による例示的通信方法のフローチャートの第２の部分。 [00034]図６Ａと図６Ｂとの組合せを備える図。 [00035]例示的実施形態による、例示的アクセスポイント内に含まれ得る構成要素の例示的アセンブリの第１の部分。 [00036]例示的実施形態による、例示的アクセスポイント内に含まれ得る構成要素の例示的アセンブリの第２の部分。 [00037]図７Ａと図７Ｂとの組合せを備える図。 [00038]１つまたは複数のマルチキャストメッセージのコンテンツへのアクセスを制御するためにセキュリティ方法が使用される例示的マルチキャスト実施形態を示す図。

[00039]図１は、例示的実施形態に従って実装された例示的システム１００の図面である。例示的システム１００は、相異なる場所に位置する複数の顧客構内、たとえば第１の顧客構内１０２、たとえば店またはホテルと、第２の顧客構内１０４、たとえば自宅またはオフィスとを含む。第１のアクセスポイントＡＰ１ １０６は、たとえばＷｉＦｉアクセスポイントであり得、第１の場所１ １０２に配置され、第２のアクセスポイントＡＰ２１０８は、第２のＷｉＦｉアクセスポイントであり得、第２の場所１０４に配置される。図１に示される例示的システムでは第１および第２のアクセスポイント１０６、１０８についてＷｉＦｉアクセスポイントが使用されるが、アクセスポイントは、広範な様々なタイプのアクセスポイントのいずれでもあり得、いくつかの実施形態では、複数の異なる通信プロトコルおよび／または規格をサポートし得る。たとえば、Ｂｌｕｅｔｏｏｔｈ（登録商標）アクセスポイントがＷｉＦｉアクセスポイント１０６、１０８の代わりに使用され得、またはＢｌｕｅｔｏｏｔｈとＷｉＦｉの両方をサポートし得るＡＰが使用され得る。

[00040]システム１００はまた、マクロまたはフェムト基地局、たとえばＬＴＥ基地局１１０がある第３の場所１０５をも含む。基地局１１０は、認可スペクトルおよびＬＴＥ通信プロトコルを使用する第３のアクセスポイント（ＡＰ３）として働く。

[00041]したがって、例示的システム１００では、第１から第３の場所はそれぞれ、少なくとも１つのアクセスポイントを含み、アクセスポイントは、たとえば、通信ネットワーク１４９にアクセスポイントを接続する通信リンク１４６、１４８、１５０を介して互いに結合される。通信ネットワーク１４９は、サービスプロバイダネットワーク、インターネット、またはそれぞれ第１から第３の場所１０２、１０４、１０５に配置されたワイヤレスアクセスポイント１０６、１０８、および１１０を接続するために使用される何らかの他のネットワークであり得る。いくつかの実施形態では、１つまたは複数のアクセスポイント間で、たとえば第１のアクセスポイント１０６と第２のアクセスポイント１０８との間でセキュアトンネル１３２が確立されるが、１つまたは複数のセキュアトンネルの使用は任意選択である。

[00042]アクセスポイント１０６、１０８、１１０に加えて、通信システム１００は、任意選択であり、すべてではないがいくつかの実施形態で使用される管理ノード１１２を含む。管理ノード１１２は、ワイヤレス端末鍵関連付け情報１１４を記憶するための記憶デバイス１１５を含む。管理ノード１１２が存在する少なくともいくつかの実施形態では、管理ノード１１２は、ワイヤレス端末鍵関連付けレコード１１４を記憶し、鍵関連付けレコード１１４のコピーをアクセスポイント１０６、１０８、１１０に供給することによって、必要に応じてアクセスポイント１０６、１０８、１１０に対して鍵関連付け情報を利用可能にする役目を果たす。鍵関連付けレコードは、ワイヤレス端末がどの鍵、たとえばＰＳＫを使用する／にアクセスすることが可能にされ、または使用する／にアクセスするかを示す情報を記憶する。鍵関連付けテーブル１１４内のレコードは、レコードが対応するワイヤレス端末を識別し、どの鍵、たとえばＰＳＫ、マスタ、または長期鍵がワイヤレス端末に関連付けられるかを識別する。鍵関連付けテーブル１１４内の鍵は、通信セッションの持続時間よりも長く有効であり得、有効であることがあり、数日、数週間、さらにはそれ以上にわたって有効であり得る。鍵関連付けテーブル１１４内で示される鍵は、ワイヤレス通信を保護するために使用されるＰＳＫであり得、ＰＳＫであることがあり、エアリンクを介して送られる通信を暗号化および／または解読するために使用される１つまたは複数の過渡的鍵を生成するために使用され得る。いくつかの実施形態では、レコードは、ワイヤレス端末識別子と、ワイヤレス端末に関連付けられる鍵／暗号化情報、たとえばワイヤレス端末にとって既知であり、ワイヤレス端末による使用のために利用可能なＰＳＫまたは他の長期鍵のリストとを含む。あるレコードは、各ワイヤレス端末についてシステム内に維持される。管理ノード１１２は、使用する鍵を管理ノード１１２にレポートし得、もしくは管理ノード１１２へのアクセスを有するワイヤレス端末から、またはアクセスポイントが所与の時刻に特定のワイヤレス端末との通信を保護するためにどの鍵、たとえばＰＳＫを使用しているかを管理ノード１１２にレポートし得る１つまたは複数のアクセスポイントから、個々のワイヤレス端末に対応する鍵情報、たとえばＰＳＫまたは他の長期鍵情報を受信し得る。管理ノード１１２は、管理ノード１１２が受信する情報に基づいて、個々のワイヤレス端末に対応するレコードを更新する。したがって、経時的に、複数の異なるアクセスポイントが、特定のワイヤレス端末との通信を保護するために何の鍵、たとえばＰＳＫが使用されているかを管理ノードにレポートするとき、そのワイヤレス端末に対応するレコードが、ワイヤレス端末が異なるアクセスポイントで使用していた複数の鍵へのアクセスを有することを反映するために更新され得、通常は更新されることになる。管理ノード１１２によって記憶される個々のワイヤレス端末についての鍵関連付けレコードは、ＡＰ内に記憶されるＷＴ鍵レコードと同一または同様であり得る。

[00043]各アクセスポイント１０６、１０８、１１０は１つまたは複数のワイヤレス端末と通信する。図１のシステムでは、ワイヤレス通信リンク１４０、１４２、１４３によって表されるように、第１のワイヤレス端末（ＷＴ １）１１６、第２のワイヤレス端末（ＷＴ ２）１１８、および第３のワイヤレス端末（ＷＴ ３）１６０が、ＡＰ１ １０６に接続されるように示されている。ＡＰ１ １０６は、ワイヤレス端末鍵レコード１０７、１２３、１３１のセットを記憶する。レコードのセット内の各レコードは、ＷＴ ＩＤと、ＷＴに関連付けられる鍵、たとえばＷｉＦｉや他のＰＳＫなどの長期鍵のセットとを含む個々のレコードであり得、いくつかの実施形態ではそうである。たとえば、レコード１０７は、ＷＴ １ １１６に対応する第１の識別子ＷＴ １ ＩＤ １２２と、第１のワイヤレス端末ＷＴ １に対応する鍵１１７のリストとを含む。ＷＴ １に対応する鍵１１７のセットは単一の鍵ＰＳＫ１を含み、ＷＴ１ １１６とＡＰ１ １０６との間のトラフィック、たとえばおよび／またはメッセージを通信するために使用されるエアリンク１４０を介する通信を保護する、たとえば暗号化および／または解読を可能にするために使用される鍵であることを示すために、１に下線が引かれている。ＡＰ１ １０６と同様に、ワイヤレス端末１１６はメモリ内に暗号鍵ＰＳＫ １ １１７を記憶し、鍵は、ＷＴ １ １１６が接続されるアクセスポイントＡＰ１ １０６との通信を保護するために使用される。

[00044]ワイヤレス端末２ １１８は、ワイヤレスリンク１４２によってＡＰ １ １０６に接続される。ＷＴ ２ １１８は３つの異なるＰＳＫ鍵ＰＳＫ１、３、および４を含み、ＷＴ ２ １１８が接続されるＡＰ１ １０６との通信を保護するために使用されることを示すために、１に下線が引かれている。第１のアクセスポイント１０６内に記憶されるＷＴ ２ １１８に対応する鍵レコード１２３は、ＷＴ ２ ＩＤ １２６がレコード１２３の部分として配置されることによって示されるように、鍵ＰＳＫ １、３、および４がレコード１２３の鍵部分１１９でＷＴ ２に関連付けられることを反映する。

[00045]ワイヤレス端末３ １６０はワイヤレスリンク１４３によってＡＰ １ １０６に接続される。ＷＴ ３ １６０は、２つの異なるＰＳＫ鍵ＰＳＫ２および３を含み、ＷＴ ３ １６０が接続されるＡＰ１ １０６との通信を保護するために使用されることを示すために、２に下線が引かれている。第１のアクセスポイント１０６内に記憶されるＷＴ ３ １６０に対応する鍵レコード１３１は、ＷＴ ３ ＩＤ １３４がレコード１３１の部分として配置されることによって示されるように、鍵ＰＳＫ２および３がレコード１３１の鍵部分１３３でＷＴ ３に関連付けられることを反映する。

[00046]図１では、場所２ １０４へのＷＴ２ １１８の移動を表すために矢印１５１が使用され、場所２ １０４では、ＷＴ２ １１８がＡＰ ２ １０８に接続されることが示され、場所１ １０２にあったときとは異なる時にはＷＴ ２ １１８であることを示すために、参照番号１１８’で識別される。ＷＴ ２ １１８’は場所２にあるが、例示のために、他のワイヤレス端末のいずれもＷＴ ２以外のセルを移動または変更していないと仮定する。場所２ １０４にある間、ワイヤレス端末は、通信リンク１４４によって接続されるＡＰ ２ １０８との通信を保護するために、ＰＳＫ １を使用するのではなく、ＰＳＫ４を使用する。ＡＰ ２ １０８は、ＰＳＫ鍵１、３、および４がＷＴ ２に関連付けられることと、ＷＴ ２ ＩＤ １２６によってレコード１２７内で識別されるＷＴ ２との通信を保護するために鍵ＰＳＫ４が使用されていることとを示す鍵情報１２７を含むＷＴ ２に対応する鍵レコード１１１を含む。

[00047]ワイヤレス端末ＷＴ １ １１６またはＷＴ ３ １６０の一方によって送られ、ＷＴ ２に宛てられたトラフィックデータは、ＡＰ１０６によって受信および解読される。データがＷＴ １ １１６からのものである場合、トラフィックの解読を可能にするためにＰＳＫ １が使用されるが、データがＷＴ ３ １６０からのものである場合、トラフィックの解読を可能にするためにＰＳＫ ２が使用される。トラフィックと共に送られた宛先識別子、たとえばＷＴ ２ １０６に対応する宛先アドレスに基づいて、ＡＰ１は、鍵レコードと、ＷＴ ２に宛てられた受信されたトラフィックを解読するためにどの鍵が使用されたかを示す情報とに基づいて、ＷＴ ２ １１８がコンテンツ、たとえばトラフィックにアクセスすることを可能にされているかどうか、したがってコンテンツがＷＴ ２に通信されるべきか否かを決定する。いくつかの実施形態では、エアリンクを介してソースＷＴからＡＰに通信されたトラフィックを受信する資格を得るためには、宛先デバイスは、受信されたデータを保護するために受信側ＡＰ、たとえばＡＰ１ １０６によって使用された鍵、たとえばＰＳＫに関連付けられること、たとえば鍵を使用する資格がある、および／または鍵へのアクセスを有することが必要とされる。

[00048]ＷＴ １ １１６またはＷＴ ３ １６０からＷＴ ２への配信のために向けられる、たとえば宛てられる、ＷＴ １ １１６またはＷＴ ３ １６０から送られたメッセージのケースでは、ＡＰ１ １０６は、ＷＴ ２に宛てられたトラフィックを保護する、たとえばトラフィックの暗号化を可能にするために使用された鍵、たとえばＰＳＫがＷＴ ２に関連付けられるかどうか、ＷＴ ２に関連付けられる鍵レコード１２３をチェックする。たとえば、ＷＴ １ １１６が、「マスタ」鍵と見なされ得るＰＳＫ １から生成された短期鍵でトラフィックを暗号化することを考慮する。ＰＳＫ １はＷＴ ２の鍵レコード１２３内にある。したがって、ＷＴ ２は、ＡＰ１ １０６に接続され、通信を保護するためにＰＳＫ １を使用している間、ＷＴ １ １１６によって送られるコンテンツを受信する資格がある。ＷＴ １ １１６からのトラフィックが受信された時にＷＴ ２がＡＰ １ １０６に接続される場合、アクセス制御および／または転送機能の部分として実施される鍵関連付けチェックが満たされ、通信を保護するためにＰＳＫ １を使用してトラフィックが再暗号化され、次いで通信が、エアリンク１４２を介してＡＰ１ １０６からＷＴ ２ １１８に送信される。しかしながら、ＷＴ ２に宛てられたトラフィックがＡＰ １ １０６で受信された時にＷＴ ２がＡＰ２ １０８に接続される場合、解読されたデータが、たとえばトンネル１３２を介して、配信のためにＡＰ ２ １０８に転送される。ＡＰ２ １０８に対応する場所２ １０４でトラフィックを保護するためにＰＳＫ４が使用される。そのようなケースでは、ＡＰ２ １０８は、通信を保護するためにＰＳＫ ４を使用し、通信を保護する部分として、ＰＳＫ４に基づいて生成された暗号鍵を使用してデータを再暗号化し、エアリンク１４４を介してＷＴ ２ １１８’に暗号化データを送信する。したがって、ＷＴに配信すべきコンテンツを元々保護するために使用される鍵、たとえばＰＳＫが、アクセス制御のために、たとえば転送および／または配信目的で考慮されるが、トラフィックを元々保護するために使用された鍵、たとえばＰＳＫは、最終的配信のためにトラフィックを保護するために使用される鍵である必要はないことを理解されたい。

[00049]アクセスポイントは、同一または異なるネットワークの部分であり得、同一または異なる通信プロトコルを使用し得る。たとえば、図１の例では、ＡＰ １ １０６は、ＷＴ １ １１６およびＷＴ ２ １１８との通信を保護するためにＰＳＫ １を使用するＷｉＦｉアクセスポイントであり、ＰＳＫ ２は、ＷＴ ３ １６０との通信を保護するために使用される。

[00050]図１では、ＡＰ ３ １１０はＬＴＥ基地局である。ＡＰ ３ １１０は、ＷＴ ４ １６７に対するエアリンク１７９を介する通信を保護するためにＬＴＥセキュリティプロトコルおよびＬＴＥ暗号鍵を使用する。ＷＴ ４ １６７は、鍵レコード１６３と、ＷｉＦｉネットワークとの通信のための鍵ＰＳＫ ２および５と、ＬＴＥエアリンク１７９を介する通信のためのＬＴＥ ＫＥＹ １とをメモリ内に含むマルチモードデバイスである。ＡＰ ３ １１０は、レコード１７５の鍵情報部分１６３で、ＷＴ ４ １６７が鍵ＰＳＫ ２、５およびＬＴＥ Ｋｅｙ １に関連付けられることと、ＬＴＥ Ｋｅｙ １が下線によって示されるように、ＡＰ ３ １１０との通信を保護するために使用されていることとを示すＷＴ ４ １６７についての鍵レコード１７５を含む。

[00051]図１の例ではワイヤレス端末ＷＴ １ １１６からＷＴ ４ １６７がＡＰに接続されるように示されているが、システムは追加のＷＴおよび／またはＡＰを含む。たとえば、図１には、ＷＴ ５ １８０およびＷＴ Ｎ １８２が、これらのＷＴのそれぞれが記憶し、アクセスを有する鍵、たとえばＰＳＫまたは他の長期鍵と共に示されている。ＷＴ ５ １８０は、そのメモリ内に、鍵レコード１８１と、鍵ＰＳＫ ２およびＰＳＫ５とを有し、ＷＴ Ｎ １８２は、そのメモリ内に、鍵レコード１８２と、鍵ＰＳＫ １およびＰＳＫ ３とを有する。存在するとき、管理ノード１１２は、システム内の様々なワイヤレス端末についての鍵関連付けレコードを記憶し、必要に応じて、たとえば特定のＷＴがＡＰに接続されたとき、鍵関連付けレコードをＡＰ１０６、１０８、１１０に提供し、または各ＡＰがアクセス制御決定を行うために使用することのできるＷＴ鍵関連付けレコードの完全なセットまたは大規模なセットを有するように鍵関連付けレコードを公表することによって提供する。

[00052]図２は、例示的実施形態による例示的アクセスポイント２００、たとえば基地局の図面である。いくつかの実施形態では、図１のアクセスポイント（ＡＰ１ １０６、ＡＰ２ １０８、ＡＰ３ １１０）は、図２のアクセスポイント２００と同一である。

[00053]アクセスポイント２００は、ワイヤードインターフェース２０２と、ワイヤレスインターフェース２０４と、プロセッサ２０６、たとえばＣＰＵと、メモリ２１２と、構成要素のアセンブリ２０８、たとえばハードウェア構成要素のアセンブリ、たとえば回路のアセンブリと、解読器２７０と、アクセス制御デバイス２７２と、様々な要素がデータおよび情報を交換し得るバス２０９を介して互いに結合された暗号化デバイス２７６とを含む。アクセス制御デバイス２７２は決定構成要素２７４を含む。暗号化デバイス２７６は一時的鍵発生器２７８を含む。ワイヤードインターフェース２０２は、受信機２３２と送信機２３４とを含む第１のワイヤードインターフェース２３０と、受信機２３６と送信機２３８とを含む第２のワイヤードインターフェース２３２とを含む。第１のワイヤードインターフェースは、ネットワークおよび／またはインターネットにアクセスポイント２００を結合する。第２のワイヤードインターフェース２３２、たとえばイーサネット（登録商標）インターフェースは、イーサネットネットワークにアクセスポイント２００を結合する。ワイヤレスインターフェース２０４は、Ｂｌｕｅｔｏｏｔｈ Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ）インターフェース２４０と、ＷｉＦｉインターフェース２４２、たとえば８０２．１１インターフェースと、Ｂｌｕｅｔｏｏｔｈインターフェース２４４と、セルラインターフェース２４６とを含む。ＢＬＥインターフェース２４０は、アクセスポイントがそれを介して通信デバイス、たとえばワイヤレス端末からワイヤレス信号を受信し得る受信アンテナ２４９に結合された受信機２４８と、アクセスポイントがそれを介して通信デバイス、たとえばワイヤレス端末にワイヤレス信号を送信し得る送信アンテナ２５１に結合された送信機２５０とを含む。ＷｉＦｉインターフェース２４２は、アクセスポイントがそれを介して通信デバイス、たとえばワイヤレス端末からワイヤレス信号を受信し得る受信アンテナ２５３に結合された受信機２５２と、アクセスポイントがそれを介して通信デバイス、たとえばワイヤレス端末にワイヤレス信号を受信し得る送信アンテナ２５５に結合された送信機２５４とを含む。Ｂｌｕｅｔｏｏｔｈインターフェース２４４は、アクセスポイントがそれを介して通信デバイス、たとえばワイヤレス端末からワイヤレス信号を受信し得る受信アンテナ２５７に結合された受信機２５６と、アクセスポイントがそれを介して通信デバイス、たとえばワイヤレス端末にワイヤレス信号を送信し得る送信アンテナ２５９に結合された送信機２５８とを含む。セルラインターフェース２４６は、アクセスポイントがそれを介して通信デバイス、たとえばワイヤレス端末からワイヤレス信号を受信し得る受信アンテナ２６１に結合された受信機２６０と、アクセスポイントがそれを介して通信デバイス、たとえばワイヤレス端末にワイヤレス信号を送信し得る送信アンテナ２６３に結合された送信機２６２とを含む。いくつかの実施形態では、１つまたは複数の異なるワイヤレスインターフェースについて同一のアンテナが使用される。

[00054]メモリ２１２は、ルーチン２１４とデータ／情報２１６とを含む。ルーチン２１４は、構成要素のアセンブリ２１８、たとえば、ハードウェアデバイスであるプロセッサ２０６によって実行されるとき、アクセスポイントによって実施されるものとして説明されるステップのうちの１つ、複数、またはすべてを実施するために本明細書に記載の方法に従って動作するようにアクセスポイントを制御する制御ルーチンを少なくとも含むソフトウェアモジュールのアセンブリを含む。データ／情報２１６は、少なくともいくつかの実施形態では図３に示されるような鍵関連付けテーブルを少なくとも含むワイヤレス端末／鍵関連付け情報２２２を含む。アクセスポイント２００は、図１のシステムのアクセスポイントのうちのいずれか１つとして使用され得る。受信機２５２は、ワイヤレス端末から暗号化形式のデータ、たとえばメッセージを受信するように構成される。受信機２５２は、第２のワイヤレス端末に向けられる前記第１のメッセージを暗号化形式で第１のワイヤレス端末から受信するように構成され、第１のメッセージは第１の鍵を使用して保護される。

[00055]解読器２７０は、データ、たとえばメッセージを回復するために、暗号化形式で受信されたデータ、たとえば暗号化形式で受信されたメッセージを解読するように構成される。解読器２７０は、第１のメッセージを回復するために、暗号化形式で受信された第１のメッセージをアクセスポイント２００で解読するように構成される。

[00056]アクセス制御デバイス２７２は、鍵関連付け情報に基づいて、受信されたデータ、たとえばメッセージへのアクセスを制御する。アクセス制御デバイス２７２は、第１の鍵に基づいて第１のメッセージへのアクセスを制御するように構成される。決定構成要素２７４は、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末に関連付けられるかどうかを決定するように構成される。決定構成要素２７４は、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末に関連付けられるかどうかを決定するように構成される。決定構成要素２７４は、記憶された情報、たとえばアクセスポイント２００内に記憶されたＷＴ鍵関連付けレコード２１２、または管理ノード１１２内に記憶されたＷＴ鍵関連付けレコード１１５から、第２のワイヤレス端末が第１の鍵へのアクセスを有するかどうかを決定するように構成される。

[00057]いくつかの実施形態では、第１の鍵は第１の事前共有鍵（ＰＳＫ）である。

[00058]送信機２５４または送信機２６２は、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末に関連付けられ、たとえば第２のワイヤレス端末がアクセスポイント２００に接続されると決定されたとき、第２のワイヤレス端末に第１のメッセージを通信するように構成される。

[00059]送信機２３４または送信機２３８は、たとえば、決定構成要素２７４によって、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末に関連付けられ、たとえば第２のワイヤレス端末がアクセスポイント２００とは異なるアクセスポイント、たとえば第１のアクセスポイントとは異なる第２のアクセスポイントに接続されると決定されたとき、第２のワイヤレス端末に第１のメッセージを送信するように構成される。

[00060]第１の鍵が第２のワイヤレス端末に関連付けられないと決定したことに応答して、アクセス制御デバイス２７２は、第２のワイヤレス端末に第１のメッセージを配信することなく、第１のメッセージをドロップするように構成される。

[00061]暗号化デバイス２７６は、第２のメッセージが第２のワイヤレス端末に送信される前に、第１の鍵を使用して、アクセスポイント２００、たとえば第１のアクセスポイントで第１のメッセージを保護するように構成される。一時的鍵発生器２７８は、通信を保護するために使用される暗号鍵、たとえばＰＳＫから一時的鍵を生成するように構成される。一時的鍵発生器２７８は、第１のメッセージを保護することの部分として、アクセスポイント２００、たとえば第１のアクセスポイントと、第２のワイヤレス端末との間の通信を暗号化するために使用される暗号鍵として、暗号化デバイス２７６によって使用される一時的鍵を第１の鍵から生成するように構成される。ワイヤレス端末／鍵関連付け情報２２２は、１つまたは複数のＷＴについて、１つまたは複数のワイヤレス端末のそれぞれに関連付けられる１つまたは複数の鍵をリストする。いくつかの実施形態では、ＷＴ／鍵関連付け情報２２２は、第１のワイヤレス端末に関連付けられる１つまたは複数の鍵をリストする。いくつかの実施形態では、ＷＴ／鍵関連付け情報２２２は、第２のワイヤレス端末に関連付けられる１つまたは複数の鍵をリストする。

[00062]図３は、図１のＡＰ内に記憶された鍵関連付けテーブル、および／または管理ノード１１２が使用される実施形態での管理ノード１１２のＷＴ鍵関連付けレコード１１４として使用され得、いくつかの実施形態では使用される例示的鍵関連付けテーブル３００を示す。

[00063]鍵関連付けテーブル３００は複数のレコードを含み、テーブル３００の各ライン、たとえば行は、異なるワイヤレス端末に対応するレコードである。行３１２は、レコード内の情報の各列についてのタイトルをリストし、列エントリ内に含まれる情報を示す。たとえば、第１の列３０２はＷＴ識別子を含み、第２の列３０４は、第１の列３０２で識別される行のＷＴに関連付けられる鍵のセットを含む。第３の列３０４は、ＷＴと第１のアクセスポイント１０６との間の通信を保護するためにどの鍵が使用されるかを示す情報を含む。列４ ３０８は、レコードが対応するＷＴと、第２のアクセスポイント１０８との間の通信を保護するための鍵を示し、列５ ３１０は、第３のアクセスポイント１１０と通信するためにレコードのＷＴによって使用される鍵を示す。

[00064]各行３１４、３１６、３１８、３２０、３２２は、異なるＷＴに対応するレコードである。たとえば、行３１４はＷＴ １ １１６についてのレコードであり、鍵ＰＳＫ １がＷＴ １ １１６に関連付けられることと、第１のアクセスポイント１０６に接続されたとき、通信を保護するために鍵ＰＳＫ１が使用されることとを示す。ＷＴ １ １１６は、アクセスポイント２または３と共に使用され得る鍵を有さず、したがって列３０８および３１０でダッシュが示されている。

[00065]行３１６はＷＴ ２ １１８に対応し、ＷＴ ２ １１８についての鍵関連付けレコード１１９を含む。列３０４からわかるように、ＷＴ ２ １１８は鍵ＰＳＫ １、ＰＳＫ ３、およびＰＳＫ４に関連付けられる。列３０６から、ＷＴ ２ １１８はＡＰ １ １０６と通信するための鍵ＰＳＫ１を使用することがわかる。列３０８から、ＷＴ ２ １１８は、第２のアクセスポイント１０８と通信するためにＰＳＫ４を使用することがわかり、列３１０から、ＷＴ ２ １１８は、ＬＴＥアクセスポイントＡＰ ３ １１０と通信するための鍵を有さないことがわかる。

[00066]行３１８はＷＴ ３ １１８に対応し、列３０４でＰＳＫ２およびＰＳＫ ３がＷＴ ３ １１８に関連付けられる。ＷＴ ３ １６０は、ＡＰ １ １０６と通信するために鍵ＰＳＫ２を使用し、ＡＰ２ １０８と通信するために鍵ＰＳＫ２を使用する。ＷＴ ３ １６０はまた、ＷＴ３ １６０に対応する列３１０内のダッシュからわかるように、ＡＰ３ １１０と通信するための鍵を欠いている。

[00067]行３２０はＷＴ ４ １６７に対応し、ＷＴ ４ １６７はＷｉＦｉ鍵およびＬＴＥ鍵を有し、したがってＬＴＥアクセスポイントＡＰ ３ １１０と通信し得る。列３０４から、ＷＴ ４ １６７がＰＳＫ２、ＰＳＫ５、およびＬＴＥ ｋｅｙ １に関連付けられる。ＰＳＫ ５はＡＰ １ １０６と通信するためにＷＴ ４ １６７によって使用され、ＰＳＫ ２はＡＰ ２ １０８と通信するためにＷＴ ４ １６７によって使用され、ＬＴＥ ｋｅｙ １は、ＬＴＥアクセスポイントＡＰ ３ １１０と通信するために使用される。

[00068]追加のＷＴに対応する様々な行が、図３の「．．．」シーケンスによって表される。

[00069]テーブル３００の行３２２は、鍵ＰＳＫ １およびＰＳＫ ３が関連付けられるＷＴ Ｎ １８２に対応する。ＷＴ Ｎ １８２は、ＡＰ １ １０６と通信するためにＰＳＫ １を使用し、ＡＰ ２ １０８と通信するためにＰＳＫ ３を使用する。行３２２の列３１０から、ＷＴ Ｎ １８２は、ＬＴＥアクセスポイントＡＰ ３ １１０と通信するための鍵を有さないことがわかる。

[00070]ボックス３５０は鍵関連付けテーブル３００の部分ではないが、図１に示される様々なＷＴが特定の暗号鍵の使用によって保護される通信リンクを使用して別のデバイスに向けられるトラフィック、たとえばメッセージまたはデータのソースとして動作しているときに、どんなデバイス対話が可能であるかに関する情報を提供する。

[00071]様々なアクセス制御特徴によれば、コンテンツにアクセスすることができるために、トラフィックが向けられる宛先デバイスは、いくつかのケースでは、暗号鍵、たとえばＰＳＫ、またはトラフィックがソースデバイスからエアリンクを介して送られたときにトラフィックを保護するために使用される他の情報に関連付けられる、たとえばそれへのアクセスを有する、またはそれを使用する権利を有することが必要とされる。したがって、メッセージのソースがどのデバイスにトラフィックを送り得るかは、少なくともいくつかの実施形態では、宛先デバイスが、トラフィックのソースによってエアリンクを介して宛先デバイスに向かう通信経路上の第１のＡＰに送られたデータを元々保護するために使用された暗号鍵、たとえばＰＳＫに関連付けられるか否かに依存する。どの暗号鍵が宛先デバイスで使用されているかは、アクセス制御決定の一部である必要はないが、いくつかの先進システムでは、アクセス制御は、宛先デバイスが所与の時刻に使用している特定の鍵に依存するようにされ得、依存するようにされることがある。

[00072]図４は、図１のシステムの管理ノード１１２および／またはアクセスポイント１０６、１０８、１１０によって実装される鍵情報記憶ルーチンを示す。ルーチンは、図３に示されるような、アクセスポイント１０６、１０８、１１０、および／または管理ノード１１２によって使用され得る鍵関連付けレコードのセットを作成するために使用され得、使用されることがある。

[00073]図４を説明する目的で、管理デバイス１１２が方法を実装していると仮定される。しかしながら、ＡＰ２００が方法を実装し得、いくつかの実施形態では実装することを理解されたい。方法はステップ４０２で開始し、デバイス、たとえば管理ノード１１２またはＡＰ１０６、１０８、１１０が電源オンされ、および／またはその他の仕方で方法のステップの実装を開始する。動作は、開始ステップ４０２からステップ４０４に進み、ステップ４０４から始まるステップのセットが、１つまたは複数のワイヤレス端末のそれぞれについて実施される。ステップ４０４では、方法を実装するデバイスは、たとえば、ワイヤレス端末またはワイヤレス端末にサービスするＡＰから、１つまたは複数の暗号鍵、たとえばＰＳＫのセット、あるいはワイヤレス端末、たとえば鍵情報と共に供給されるＷＴ識別子によって識別されるワイヤレス端末に関連付けられる他の非一時的鍵を受信する。次いでステップ４０６では、たとえば受信された情報が対応する特定のワイヤレス端末に関連付けられる暗号鍵のセットを示す情報が記憶される。ステップ４０６では、受信された鍵情報が対応するワイヤレス端末について、鍵関連付けレコードが作成および／または更新される。多くのケースで１つまたは複数のＰＳＫをリストするレコードが、ＷＴに関連し、図３に示されるセットなどのレコード４０７のセットの一部として記憶され得、記憶されることがある。

[00074]動作はステップ４０６からステップ４０８に進み、情報がそれについて受信および／または記憶されるべきである追加のワイヤレス端末があるかどうかを決定するためにチェックが行われる。鍵関連付け情報がそれについて受信および記憶されるべき追加のワイヤレス端末がある場合、動作はステップ４０４に進み、そうでない場合、レコードのセットが完了しており、動作はステップ４１０に進み、１つまたは複数のワイヤレス端末に関連付けられる暗号鍵、たとえばＰＳＫのセットを示す情報が、たとえば管理ノード１１２および／またはアクセスポイント１０６、１０８、１１０のうちの１つまたは複数の中の記憶デバイス内に記憶される。レコードのセットが完了し、記憶されると、方法４００は、たとえば、新しいＷＴがＷＴに対応する鍵情報を提供するＡＰで検出されたことに応答して再び活動化されるまで、ステップ４１２で停止する。

[00075]いくつかの実施形態では、ＷＴは、ＷＴが関連付けられる、たとえばそれへのアクセスを有し、使用し得る鍵、たとえばＰＳＫまたは他の長期暗号鍵のリストを提供する。他の実施形態では、ＡＰは、たとえばＷＴから受信されたメッセージを解読するために複数のＰＳＫ鍵を試みることによって、ＷＴが使用しているのは何の鍵、たとえばＰＳＫであるかを検出し、次いで、たとえばＰＳＫから生成された一時的鍵を使用して、復号化の成功を可能にした鍵を関連付ける。そのようなケースでは、ＡＰは、ＷＴとの通信を保護するためにＡＰが使用するＰＳＫを少なくとも含むように鍵関連付けテーブルを決定および更新し得る。しかしながら、いくつかの実施形態では、ＡＰは、鍵関連付けレコード内に含まれるべき情報、たとえばＰＳＫのリストの供給にＷＴがアクティブに参加する必要なしに、ワイヤレス端末によって相異なるＡＰで使用される鍵、たとえばＰＳＫを含むように個々のＷＴについての鍵関連付けレコードを経時的に更新することを可能にする管理ノード１１２および／または他のＡＰとそのような情報を共有する。

[00076]図５は、図５Ａから５Ｄの組合せを備え、通信方法のステップ５００がこれから詳細に論じられることを示す。方法は、図１に示される例示的システムによって実装され得る。図５に示される方法は、アクセス制御、たとえばトラフィック転送決定が、ソースＷＴとして働く第１のＷＴから、別のＷＴ、たとえば宛先ＷＴへの配信のためにＡＰ１０６、１０８、または１１０に通信されたコンテンツを保護するためにどの暗号鍵、たとえばＰＳＫが使用されたかに少なくとも部分的に基づく通信方法である。図１に示されるＷＴのそれぞれは、ソースまたは宛先ＡＰとして働くことができる。

[00077]次に、説明の目的で図５に示される方法を参照すると、ＡＰ１ １０６が第１のアクセスポイントであり、ＷＴ １ １１６がソースＷＴであり、ＷＴ ２ １４２が宛先ＷＴであることが仮定される。方法５００はステップ５０１で開始し、システムの様々な構成要素、たとえばアクセスポイントおよび／または管理ノード１１２が電源オンされる。動作は、開始ステップ５０１からステップ５０２に進み、第１のアクセスポイントが、ＡＰ １ １０６との通信を保護するためにＷＴが何のＰＳＫを使用しようとしているかを決定し、ＡＰ １ １０６がＰＳＫをサポートすることを確認するために、通信目的でＡＰ １ １０６を使用することを求めるＷＴ、たとえば第１のＷＴ １ １１６との通信交換を有する。通信交換は、ＡＰ １がチャレンジの部分としてナンスまたは他の値をＷＴ １ １１６に供給することを含み得、いくつかの実施形態では含む。ＷＴ１１１６は、ナンスと、ＡＰ １がそれにとって既知のＰＳＫを使用して生成する予想値とＡＰ １が比較可能な値を生成するためにＷＴ１１１６が使用しようと意図するＰＳＫ、たとえばＰＳＫ １とを使用する。いくつかの実施形態では、ＡＰ １ １０６は、ＡＰ １０６と通信するために使用され得る各ＰＳＫについての予想値を生成する。他のケースでは、ＷＴが使用することを意図することをＷＴが示すＰＳＫについて予想値が生成される。

[00078]ＷＴ １が、供給されたナンスとＷＴ １が使用することを意図するＰＳＫとから生成された値で応答すると仮定して、ＡＰ １は、ＡＰ １での対応するＰＳＫと、ＡＰ １にとって既知の供給されたナンスとを使用して生成された予想値に応答が合致することから、どのＰＳＫ ＷＴ １が使用しているかを決定することができる。ナンスを含むチャレンジに対するＷＴから受信された応答が予想値に合致しない場合、ＡＰ １は、ＷＴ １がＡＰ １によってサポートされないＰＳＫを使用していると決定し得、ＡＰ １との通信は拒否されるべきである。

[00079]必ずしもすべての実施形態ではないが、いくつかの実施形態では、セキュリティ通信交換ステップ５０２は、ステップ５０３、５０４、およびステップ５０５を含む。ステップ５０３では、ＡＰ １は、第１のＷＴ １ １１６にチャレンジ、たとえばナンスを提供する。次いでステップ５０４では、ＡＰ １ １０６は、ハッシュまたは他の関数に対する入力として、チャレンジに対する応答、たとえばナンスと、ＰＳＫ、たとえばＰＳＫ １とを使用してＷＴ １ １１６によって生成された値を受信する。ステップ５０５では、ＡＰ１ １１６は、チャレンジに対する応答から、たとえば、受信された応答値がＡＰ １でナンスおよびＰＳＫ １から生成された予想応答値と合致すると決定することによって、ＷＴによってどのＰＳＫが使用されているかを決定し、ＡＰ １ １０６は、ＷＴ １ １１６がＡＰ １ １０６と通信するためにＰＳＫ １を使用していると決定することができる。

[00080]いくつかの実施形態では、ステップ５０５は、ナンスと共に使用されるとき、受信された応答に合致する結果を生成するのはどれかを決定するために、ＡＰ １ １０６が複数のＰＳＫを試みることを含むステップ５０６を含む。このようにして、ＷＴが使用しているＰＳＫをＷＴが明白に示さない、たとえば識別しない場合であっても、サポートされるどのＰＳＫをＷＴが使用しているかを決定することが可能となる。応答がサポートされるＰＳＫに対応しないと決定された場合、ＷＴ １ １１６とＡＰ １ １０６との間の通信がブロックされる。しかしながら、この例では、ＷＴ １ １１６は、ＡＰ １ １０６によってサポートされるＰＳＫ １ １１７を使用する。

[00081]ＡＰ、たとえばＡＰ １ １０６と通信することを求める各ＷＴについて、通信交換ステップ５０３が実施される。このようにして、トラフィックがＡＰ １ １０６を通じて通信されるべき時まで、ＡＰ １０６は、ＡＰ １０６が通信している個々のＷＴ １ １１６によってＰＳＫが使用されていることを認識していることになる。ＷＴ １とＡＰ １ １０６との間の通信を暗号化／解読するために使用されるべき一時的鍵は通常、一時的鍵を生成する際に使用されている、決定されたＰＳＫと共にＰＳＫが使用されているという決定に続いて生成される。したがって、ＷＴ １ １１６とＡＰ １ １０６との間の通信を保護するために、決定されたＰＳＫが使用されるが、これは、ＰＳＫから生成された、またはＰＳＫを使用して生成された鍵の使用を介して行われる。

[00082]ステップ５０３の出力からステップ５０３の開始に戻る矢印は、ＡＰ １ １０６を通じて接続または通信する各ＷＴについてステップ５０３が実施されることを示すために意図される。

[00083]ＰＳＫがＷＴ １ １１６によって使用されていることがステップ５０２での処理の結果として知られると、動作はステップ５０２からステップ５０７に進む。ステップ５０７では、決定された暗号鍵、たとえばＰＳＫが、それについてステップ５０２が実施されたＷＴによって使用されていることを示すために、鍵関連付け情報がＡＰ １ １０６で更新される。たとえばステップ５０７で、記憶デバイス、たとえばＡＰ １ １０６のメモリ内の鍵関連付け情報が、ＰＳＫ １ １１７が第１のＷＴ １ １１６と通信するためにＡＰ １ １０６で使用されていることを示すために更新される。ＰＳＫ １の使用は、図１に示されるように、ＷＴ １についてのレコード１０７内で示される。

[00084]ステップ５０７では、ＡＰ １ １０６内の、ソースＷＴ １ １１６についての鍵関連付けレコード、ならびに管理ノード１１２内の鍵関連付けテーブルが更新される。管理ノード１１２内の鍵情報の更新は、いくつかの実施形態では、ＡＰ １ １０６が管理ノード１１２に鍵情報を送ることによって達成される。経時的に、たとえば相異なるＰＳＫを使用してＷＴと通信する相異なるＡＰによって導出されたＷＴについての鍵情報を管理ノードが受信するときに、単一のＰＳＫが特定のＡＰとの通信を保護するためにＷＴによって使用され得るとしても、ＷＴに対応するＰＳＫのセットが生成され得る。

[00085]動作は、接続ノード５０８を介してステップ５０７からステップ５０９に進む。ステップ５０９は、別のＷＴ、たとえばＷＴ ２ １１８にメッセージを通信するためのＷＴ １ １１６によるＡＰ １ １０６の使用の開始を表す。

[00086]ステップ５０９では、第１のアクセスポイント１０６は、第２のＷＴ１１８に向けられる第１のメッセージをＷＴ １ １１６から受信し、第１のメッセージが、ＡＰ １ １０６との通信を保護するためにＷＴ １ １１６によって使用されているＰＳＫ、たとえばＰＳＫ １ １１７を使用して保護される。動作は受信ステップ５０９からステップ５１０に進み、第１のアクセスポイントＡＰ １ １０６が、ＷＴ １ １１６からＡＰ １ １０６への通信を暗号化するために第１のＷＴが使用している暗号鍵、たとえばＰＳＫ １に対応する一時的鍵を、記憶された情報から決定する。

[00087]動作はステップ５１０からステップ５１３に進み、第１のＡＰ １ １０６が、たとえば、ＷＴ １ １１６とＡＰ １ １０６との間の通信を保護するために使用されているＰＳＫ １から生成された一時的暗号鍵を使用して、第１のＷＴ １ １０６から受信した暗号化データを解読する。

[00088]ステップ５１３で、受信された暗号化コンテンツがＡＰ １ １０６によって暗号化されると、動作は、ステップ５１３から、接続ノード５１４を介して、図５Ｃに示されるステップ５２６に進む。ステップ５２６では、受信されたトラフィックの宛先が決定され、たとえば、宛先ＷＴ ２ １１８が、宛先アドレス、たとえば宛先ＩＰアドレス、またはソースＷＴ １ １１６から受信された別の宛先識別子から識別される。

[00089]動作はステップ５２６からステップ５２８に進む。ステップ５２８では、ソースＷＴ １ １１６からエアリンクを介してトラフィックを受信する第１のＡＰ １ １１６が、たとえば、トラフィック転送や配信決定などのアクセス制御決定を行う際に使用する目的で、宛先ＷＴ ２ １１８についての鍵関連付け情報が利用可能であるかどうかを決定するために、それにとって利用可能な鍵関連付け情報をチェックする。宛先ＷＴ ２が第１のＡＰ １に接続される場合、第１のＡＰ １は、ＷＴ ２との通信を保護するために第１のＡＰ １が使用する鍵、および／またはアクセス制御／転送決定を行う際に使用され得るＷＴ ２によって提供される鍵関連付け情報の知識を少なくとも有することになる。

[00090]ステップ５２８で、ソースデバイスＷＴ １ １１６からトラフィックを受信した第１のＡＰ １ １０６が、宛先デバイスについての鍵関連付け情報を有すると決定された場合、動作はステップ５２８からアクセス制御ステップ５３０に進む。本質的に、ステップ５２８は、ソースデバイスからコンテンツが送られたＡＰ １ １０６が、ＡＰ１ １０６に接続され、または接続されないことがある宛先デバイスＷＴ ２ １１８に関する鍵情報を有するかどうかを決定する。この情報は、ＷＴ ２ １１８への配信のためにエアリンクを介してＡＰ １ １０６に送られたコンテンツ、たとえばメッセージを保護するために使用された暗号鍵に基づいてアクセス制御決定を行うために使用される。

[00091]ステップ５２９では、解読された、受信されたコンテンツに関するアクセス制御決定が、エアリンクを介してＡＰ １ １０６に暗号化形式で送られたコンテンツを保護するために使用された鍵に基づいて行われる。ステップ５２９では、ステップ５３０でのいくつかの実施形態では、ソースデバイスから受信された第１の暗号化コンテンツを首尾よく解読するのに使用された鍵が、宛先ＷＴ、たとえばＷＴ ２ １１８に関連付けられるＰＳＫに対応するかどうかを決定するためにチェックされる。すなわち、ＷＴ ２が、ＷＴ ２に通信されるべきメッセージを保護するためにＷＴ １ １１６によって使用されたＰＳＫに関連付けられるかどうかの決定が行われる。コンテンツがそれを介して送られた通信リンクを保護するために元々使用された鍵、たとえばＰＳＫ １が宛先ＷＴ ２ １１９に関連付けられない場合、決定は、コンテンツへのアクセスを可能にしないことであり、動作は、ｎｏ経路に沿ってステップ５３０からステップ５３６に進み、ＡＰ １ １０６は、ＷＴ １ １１６から受信されたメッセージを宛先デバイスに転送しない処置を取り、たとえば転送することなくコンテンツをドロップする。動作は、接続ノードＦ５４０を介してステップ５３６からステップ５０４に進む。

[00092]ステップ５３０で、宛先デバイスＷＴ ２が、受信されたコンテンツを保護するために使用された鍵、たとえばＰＳＫ １に関連付けられると決定された場合、ステップ５３１で、宛先デバイスが通信されたコンテンツにアクセスすることを可能にするように決定が行われ、次いで動作はステップ５３２に進み、ソースＷＴ １ １１６から受信され、復号化されたコンテンツ、たとえばトラフィックが、宛先デバイス、たとえばＷＴ ２に通信される。宛先デバイスへの通信は、配信のために別のＡＰ、たとえばＡＰ ２ １０８にコンテンツを転送することを含み得、含むことがある。いくつかの実施形態ではステップ５３２の部分であるサブステップ５３３では、宛先ＷＴ ２ １１８が、配信されるべきコンテンツを受信および復号化した第１のＡＰ １ １０６に接続されるか否かに関して決定が行われる。宛先ＡＰが第１のＡＰ １ １０６に接続されないと決定された場合、動作はステップ５３４に進み、コンテンツを受信および復号化した第１のＡＰが、コンテンツ、たとえばデータやメッセージなどのトラフィックを、ＡＰ、たとえば宛先ＷＴ１１８が接続されるＡＰ ２ １０８による宛先ＷＴ１１８への配信のために、宛先ＷＴ ２ １１８が接続されるＡＰ ２ １０８に転送する。セキュアトンネル１３２は、宛先ＷＴ ２ １１８が接続されるＡＰ１０８にコンテンツを転送するために使用され得、使用されることがある。配信のためにコンテンツが転送される宛先ＡＰ１０８は、ＡＰ ２ １０８と宛先ＷＴ ２ １１８との間の通信を保護するためにＡＰ ２ １１８が宛先ＡＰ ２ １０８で使用する鍵ＰＳＫ４を使用して、通信されたコンテンツを保護することになる。宛先ＷＴ ２ ２１８への無線送信で保護するために使用されるＰＳＫは、エアリンクを介してＡＰ １ １０６へのコンテンツの初期送信を保護するためにソースデバイスによって使用された鍵とは異なり得、多くの場合、異なる。理解されるべきであるが、ＡＰ ２ １０８とＷＴ ２ １１８との間の実際の送信は、ＷＴ ２ １１８とＡＰ ２ １０８との間の通信を保護するために使用されたＰＳＫ４から生成された一時的鍵を使用して暗号化され得、暗号化されることがある。ステップ５３４で配信のためにデータが転送されると、動作は、接続ノードＧ５３５を介してステップ５３５からステップ５６０に進む。

[00093]ステップ５３３で、宛先ＷＴ ２ １１８がソースＷＴ １ １１６と同一のＡＰ、たとえばＡＰ １ １０６に接続されると決定された場合、動作はステップ５３３からステップ５４６に進み、宛先ＷＴ ２ １１８に通信されるべきコンテンツ、たとえばトラフィックが、ＡＰ １ １０６に接続されたときに第１のＡＰ １ １０６と第２のＷＴ ２との間の通信を保護するために使用されるＰＳＫ １を使用して保護されることになる。ＷＴ ２に送られるべきメッセージを保護することは、ＰＳＫ １から生成された一時的鍵を使用してメッセージを暗号化することを含み得、含むことがあり、一時的鍵は、無線を介するＷＴ ２ １１８への通信を暗号化／解読するために使用される。

[00094]動作はステップ５４６からステップ５４８に進み、ステップ５４６で生成された暗号化コンテンツ、たとえばトラフィックデータが、ＡＰ １によってエアリンク１４２を介して宛先ＷＴ ２ １１８に送信される。次いで、動作は接続ノード５４０を介してステップ５０９に戻る。

[00095]ステップ５２８では、たとえば、鍵情報を供給するための管理デバイス１１２がないために、または宛先デバイスについての鍵情報が宛先ＷＴ ２が接続される宛先ＡＰ ２ １１８に存在するが、他の場所には存在しないために、ソースデバイスＷＴ １ １１６からコンテンツを受信した第１のアクセスポイントＡＰ １ １０６が、宛先ＷＴ ２にとって利用可能な鍵関連付け情報を有さないことが、たとえばＡＰ １によって決定されたとき、動作は、接続ノードＨ５４２を介してステップ５５０に進む。

[00096]ステップ５５０では、ＡＰ１は、コンテンツがエアリンクを介してソースＡＰ１０６に送られたとき、ソースＷＴ １ １１８からのコンテンツを保護するために使用された鍵、たとえばＰＳＫ １を示す情報と共に、ソースＷＴ １ １１６から受信されたコンテンツ、たとえばトラフィックデータを転送する。コンテンツおよび鍵情報が、宛先ＡＰ、たとえば宛先ＷＴ ２ １１８が接続される第２のＡＰ１０８に転送される。

[00097]次いでステップ５５２で、宛先ＡＰ、たとえば宛先デバイスＷＴ ２ １１８が接続される第２のＡＰ１０８が、第１のＡＰ １ １０６によって送られた情報、たとえば配信されるべきトラフィックデータ、コンテンツを元々保護するために使用された鍵についての情報を受信し、ならびに情報、たとえばアドレスなどの宛先識別子が宛先デバイスを識別する。ソースＷＴ １ １１６識別子はまた、通常は、配信されるべきコンテンツに関連付けられる。

[00098]動作は、接続ノードＩ５５４を介してステップ５５２から図５Ｅに示されるステップ５５６に進む。ステップ５５６では、トラフィックがエアリンクを介してソースＷＴ １ １１６から第１のＡＰ１１６に送られたときにトラフィックを保護するために使用された鍵、たとえばＰＳＫ １に基づいて、宛先ＡＰ、たとえば第２のＡＰ１１８がアクセス制御決定を行う。このステップは、宛先ＷＴが、コンテンツが第１のエアリンク１４０を介して送られたときにコンテンツを保護するために使用された鍵、たとえばＰＳＫ １に関連付けられるかどうかを確認するためにチェックすることを含む。

[00099]いくつかの実施形態では、ステップ５５６は、宛先ＡＰ、たとえばＡＰ１１８が、コンテンツを元々保護するために使用された、識別された鍵、ＰＳＫ １が宛先ＷＴ ２ １１８に関連付けられるかどうかを決定するステップ５５７を含む。動作はステップ５５７からステップ５５８に進み、動作がアクセス許可決定ステップ５５９に進むべきか、それともアクセス拒否決定ステップ５６３に進むべきかを決定するために、ステップ５５７での決定の結果がチェックされる。

[000100]たとえば、ＷＴ ２ １０８がＰＳＫ １に関連付けられ、ＷＴ １によって送られ、コンテンツが復号化されるＡＰ １ １０６に対するリンク１４０上でＰＳＫ １で保護されたコンテンツを受信できることになることを考慮する。しかし、ＷＴ ３ １６０が宛先デバイスであった場合、結果は非常に異なり、ＷＴ ３はＰＳＫ １へのアクセスを有さず、ＰＳＫ １を使用しないので、ＷＴ ３は、ＷＴ １によって送られ、ＰＳＫ １で保護されたメッセージを受信することからブロックされることになる。したがって、様々な実施形態によれば、ＷＴ １が、ＡＰ １を介して、ＡＰ １ １０６に送信されたときにＰＳＫ １で保護されたメッセージをＷＴ ３に送った場合、ＷＴ ３は、たとえば、ステップ５６４で、データを受信することからブロックされることになる。

[000101]ソースデバイスＷＴ １ １１６によって送られたコンテンツを保護するために使用された鍵、たとえばＰＳＫ １が宛先デバイスに関連付けられないとステップ５５８で決定された場合、動作はステップ５５８からステップ５６３に進み、トラフィック、たとえばデータ、コンテンツ、またはメッセージへの宛先デバイスＷＴ ３ １１８のアクセスを拒否するように決定が行われる。しかしながら、ＷＴ ２が宛先デバイスである例では、ＷＴ ２はＰＳＫ １に関連付けられ、したがってＰＳＫ １を使用して保護された、ＡＰ １に送られたメッセージを受信することが可能にされることになる。

[000102]動作はステップ５６３からステップ５６４に進み、たとえば宛先デバイスにコンテンツを転送しないことによって、たとえばトラフィック／コンテンツをドロップすることによって、宛先デバイスＷＴ、たとえばＷＴ ３が、ソースデバイスＷＴ１ １１６によって送られたコンテンツへのアクセスを拒否される。コンテンツがドロップされるケースでは、ＰＳＫ １へのアクセスを有さないＷＴ ３は、ＡＰ １ １０６にあるときにＷＴ １によって送られたコンテンツを受信することからブロックされることになる宛先デバイスの良い例である。

[000103]動作は、ステップ５６４から、必ずしもすべての実施形態とは限らないが、いくつかの実施形態では実装されるステップ５６６に進む。ステップ５６６では、宛先ＡＰ１０８は、いくつかの実施形態で課された配信制約を仮定して、配信のための必要な鍵関連付けを欠いている宛先デバイス、たとえばＷＴ ３に向けられる第１のＷＴ １ １０６から受信されたトラフィックを転送することを停止するために、第１の鍵が宛先ＷＴおよび／またはメッセージに関連付けられないことを第１のアクセスポイントＡＰ １ １０６に通知するメッセージのソースＡＰ１０６を送り、その結果、第１のＡＰ１０６は、第２のＡＰ１０８によってドロップされているトラフィックの転送を停止し得る。このようにして、ＡＰ ２ １０８に転送された場合にアクセスが拒否されることになるコンテンツをＡＰがドロップすべきであることをＡＰに認識させるために必要な情報をＡＰ １に提供することによって、ＡＰ ２ １０８によってドロップされることになるトラフィックを転送するためのリソースが節約され得る。動作は、接続ノードＦ５４０を介してステップ５６５からステップ５０９に進む。

[000104]ステップ５５８では、トラフィックが第１のＡＰ １ １０６に送られたときに、通信されたトラフィックを保護するために使用された第１の鍵、たとえばＰＳＫ １が、宛先ＷＴ、たとえばＷＴ ２ １１８に関連付けられると決定された場合、動作はステップ５５８からステップ５５９に進み、第２のＡＰが、宛先ＷＴ、たとえばＷＴ ２ １１６がトラフィックにアクセスすることを可能にするように決定する。動作はステップ５５９からステップ５６０に進み、第２のＡＰ１０８が、第１のＷＴ １ １０６から宛先ＷＴ ２ １０８に送られたトラフィック、たとえばコンテンツを通信する。いくつかの実施形態での通信ステップ５６０は、通信されるべきコンテンツが、宛先ＷＴ ２との通信を保護するために第２のＡＰ１０８によって使用される鍵、たとえばＰＳＫ４で保護される、暗号化ステップ５６１を含む。保護ステップ５６１は、宛先ＡＰ ２ １０８と宛先ＷＴ ２ １１８との間の通信を保護するために使用されているＰＳＫ４から生成された一時的暗号鍵で、配信されるべきメッセージを暗号化することを含み得、含むことがある。トラフィックが暗号化されると、たとえば、メッセージが、ステップ５６２でエアリンクを介して宛先デバイスに送られる。この例では、ＷＴ ２がＡＰ２にあるとき、ＷＰ１によって送られたコンテンツが暗号化され、ＡＰ ２とＷＴ ２との間の通信を保護するためにＰＳＫ４を使用してエアリンク１４４を介して送られることに留意されたい。通信を保護することは、通信を保護するために使用されたＰＳＫ、たとえばＰＳＫ４に基づいて生成された一時的暗号鍵を使用してコンテンツを暗号化することを含み得、含むことがある。動作は、接続ノードＦ５４０を介してステップ５６２からステップ５０９に進む。

[000105]前述の方式では、データの復号化および／または転送の後であっても、アクセス制御動作を実施する通信ネットワーク内のノードで、データを元々保護するために使用された暗号鍵が考慮に入れられ得る。したがって、通信を保護するために使用された元の鍵、たとえばＰＳＫは、終端送信のために使用されることは必要とされない。しかしながら、少なくともいくつかの実施形態では、コンテンツが向けられるデバイスは、元の鍵に関連付けられる、たとえば鍵へのアクセスを有し、または鍵を使用するがあることが必要とされ、さもなければコンテンツへのアクセスはブロックされることになる。

[000106]アクセスポイント間の通信は、暗号化で保護され得、保護されることがあるが、暗号化コンテンツは通常、コンテンツを受信するＡＰで解読される。いくつかの実施形態によれば、たとえばセキュアトンネルを使用することの部分としての、データの中間送信のための暗号化は、本発明のアクセス制御技法の使用を除外しない。いくつかの実施形態では、ＡＰ間のリンクが保護されない場合にシステムに欠けていることがあるＡＰ間のセキュリティのレベルを増すために、ＡＰ間の通信のための暗号化が使用される。しかしながら、ＡＰ間の暗号化の使用は、すべての実施形態について必要とされる、または必要であるとは限らない。

[000107]様々な実施形態が、ＷＬＡＮ上での複数のＰＳＫの使用をサポートおよび許可し、複数のクライアント、たとえばワイヤレス端末および／またはそのユーザが同一のＰＳＫを共有することを可能にする。

[000108]様々な実施形態では、アクセスポイントと通信するために使用されるＰＳＫが、どの鍵、たとえばＰＳＫまたは他の長期鍵がＡＰとの通信を保護するために使用されるかに基づいて設定される規則、たとえばアクセスおよび転送規則の使用を可能にし、規則の使用を含むことがあるアクセス制御機能（ＷｘＬＡＮ）で使用される。これは、無線局が同一のＰＳＫを使用する場合にのみ無線局が通信することを可能にするためだけに使用され得る。これは、同一のアクセスポイント上の無線局と、異なるアクセスポイント上の無線局の両方に当てはまる。

[000109]共通のＰＳＫの使用は、これを自然に実現しない。ＰＳＫ暗号自体は、アクセスポイントと無線局との間の無線を介するデータを保護するためだけに使用され、ステーション間通信では使用されないからである。

[000110]アクセス制御規則は、共通のアクセスポイント上の無線局間のトラフィックと、相異なるアクセスポイント上の無線局間のトラフィックとに当てはめ得る。たとえば、ユーザが、ユーザのホテルルームデバイスが使用している同一のＰＳＫを使用してロビーアクセスポイントに接続する場合、ユーザは、ユーザのホテルルームデバイスにアクセスし得る。

[000111]アクセス制御発明が２人の生徒と共に使用される以下の例示的使用ケースを考慮する。

[000112]生徒ＡにＰＳＫ１が割り当てられ、生徒Ａは、生徒ＡのｉＰｈｏｎｅ(登録商標）およびＡｐｐｌｅＴＶ上でその鍵を使用してＷＬＡＮに接続する。生徒ＢにＰＳＫ２が割り当てられ、生徒Ｂは、生徒Ｂのラップトップコンピュータおよびプリンタ上でその鍵を使用してＷＬＡＮに接続する。アクセス制御が、生徒Ａがインターネットとの間、および生徒ＡのｉＰｈｏｎｅとＡｐｐｌｅＴＶとの間で通信できることだけに制限し得る。生徒ＡのｉＰｈｏｎｅおよびＡｐｐｌｅＴＶは、生徒Ｂのラップトップコンピュータまたはプリンタと通信することができない。同じことが生徒Ｂに当てはまる（生徒Ｂは、アクセス制御構成要素で関連付けられない、異なるＰＳＫを使用するので、生徒Ｂは生徒Ａのデバイスと通信することができない。

[000113]これは、追加のアクセス制御規則の使用を制限しない。たとえば、両方の生徒は、学校のコンピュータおよびプリンタのような共有リソースにアクセスすることが可能にされ得る。

[000114]いくつかの実施形態では、アクセス制御および／または転送の適切な機能が、同一の鍵を使用するデバイスで２つのコンピュータをＷＬＡＮに接続し、それらが通信し得ることを検証することによってテストされ得る。さらに、２つのコンピュータが、アクセス制御構成要素で互いに関連付けられない相異なる鍵を使用してＷＬＡＮに接続され得、互いに関連付けられない相異なる鍵を使用する２つのデバイスが通信することができないことを確認するために検証チェックが行われ得る。

[000115]ＡＰ間で、またはＡＰからトンネルアグリゲータへトンネルが使用され得、トンネルは、同一の鍵を使用して無線局間で選択的にトラフィックを移送する。たとえば、仕事アクセスポイントを使用する仕事中のユーザを考慮する。ユーザは、その後自宅でＩｏＴデバイスに接続し、トンネル構成要素のために、ファイアウォールであっても同一のＰＳＫを使用し得る。

[000116]同様の機能は、ＥＡＰ−ＴＴＬＳについての同一の８０２．１ｘクレデンシャルユーザ名／パスワード、他の認証方法についての証明書を使用するワイヤレスクライアントで、８０２．１ｘについてサポートされ、サポートされることがある。ユーザによって８０２．１Ｘについて使用されるクレデンシャルは、選択的にバインドされ、たとえば関連付けられ得、選択的にバインドされることがあり、それによって、どちらかのアクセス方法を使用する無線局が共通のパーソナルＷＬＡＮに接続し、トラフィックを通信することを可能にするように、ユーザの８０２．１ｘおよびＰＳＫクレデンシャルを関連付け、アクセス制御および転送は、８０２．１Ｘセキュリティ情報および／またはＰＳＫクレデンシャルに基づく。

[000117]図６は、図６Ａと図６Ｂの組合せを備え、例示的実施形態による例示的通信方法のフローチャート６００である。動作はステップ６０２で開始し、ステップ６０４に進む。ステップ６０４では、鍵関連付け情報が記憶デバイス内に記憶され、前記鍵関連付け情報は、第２のワイヤレス端末に関連付けられる１つまたは複数の鍵をリストする。いくつかの実施形態では、記憶デバイスは、ワイヤレス端末（ＷＴ）鍵関連付けレコードを記憶した管理ノード内に含まれ、鍵関連付けレコード内の情報を１つまたは複数のアクセスポイントに対して利用可能にする。動作はステップ６０４からステップ６０６に進む。

[000118]ステップ６０６上で、第１のワイヤレスアクセスポイントが、第１のワイヤレス端末から暗号化形式の第１のメッセージを受信し、前記第１のメッセージは第２のワイヤレス端末に向けられ、前記第１のメッセージは、第１の鍵、たとえば第１の事前共有鍵（ＰＳＫ）を使用して保護される。動作はステップ６０６からステップ６０８に進む。

[000119]ステップ６０８では、第１のワイヤレスアクセスポイントが、第１のメッセージを回復するために、暗号化形式で受信された第１のメッセージを解読する。いくつかの実施形態、たとえば、第１のアクセスポイントがステップ６１０のアクセス制御決定を行うべきである実施形態では、動作はステップ６０８からステップ６１０に進む。いくつかの他の実施形態、たとえば、第２のアクセスポイントがステップ６１０のアクセス制御決定を行うべきである実施形態では、動作はステップ６０８からステップ６０９に進む。ステップ６０９では、第１のアクセスポイントが、第２のアクセスポイントに第１のメッセージを転送する。様々な実施形態では、ステップ６０９で、第１のアクセスポイントが第１のメッセージと、第１のメッセージを保護するために第１のＷＴによって使用された第１の暗号鍵、たとえば第１のＰＳＫを示す識別情報とを、第２のＷＴが接続される第２のアクセスポイントに転送する。動作はステップ６０９からステップ６１０に進む。

[000120]ステップ６１０では、アクセスポイント、たとえば第１または第２のアクセスポイントが、前記第１の鍵に基づいて、第１のメッセージへのアクセスを制御するために使用されるアクセス制御決定を行う。たとえば、いくつかの実施形態では、第２のワイヤレス端末についての鍵関連付け情報が第１のアクセスポイントにとって利用可能である場合、第１のアクセスポイントは、ステップ６１０のアクセス制御決定を行い、そうでない場合、第２のアクセスポイントはステップ６１０のアクセス制御決定を行う。

[000121]いくつかの実施形態では、第２のワイヤレス端末が第１のアクセスポイントに結合される場合、第１のアクセスポイントはステップ６１０を実施し、アクセス制御決定を行う。いくつかの実施形態では、第２のワイヤレス端末が第２のアクセスポイントに結合され、第１のアクセスポイントがアクセス制御決定を行うことができない場合、第２のアクセスポイントはステップ６１０を実施し、アクセス制御決定を行う。

[000122]ステップ６１０は、ステップ６１２、６１６、および６１８を含む。ステップ６１２では、アクセス制御決定を行っているアクセスポイントが、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末に関連付けられるかどうかを決定する。ステップ６１２は、記憶された情報から、第２のワイヤレス端末が第１の鍵へのアクセスを有するかどうかをアクセスポイントが決定するステップ６１４を含む。動作はステップ６１２からステップ６１６に進む。

[000123]ステップ６１６では、決定が、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末に関連付けられるということである場合、動作はステップ６１６からステップ６１８に進み、アクセスポイントは、第２のワイヤレス端末が第１のメッセージにアクセスすることを可能にするように決定する。動作は、接続ノードＡ６２２を介してステップ６１８からステップ６２４に進む。しかしながら、ステップ６１６で、決定が、前記第１のメッセージを保護するために使用された前記第１の鍵が前記第２のワイヤレス端末に関連付けられないということである場合、動作はステップ６１６からステップ６２０に進み、アクセスポイントは、第２のワイヤレス端末が第１のメッセージにアクセスすることを可能にしない、たとえば拒否するように決定する。動作はステップ６２０からステップ６４２に進む。

[000124]ステップ６４２では、第１のアクセスポイントがステップ６１０のアクセス制御決定を行った場合、動作はステップ６１０からステップ６４４に進み、第１のアクセスポイントは、第２のワイヤレス端末に第１のメッセージを配信することなく、または第２のアクセスポイントに第１のメッセージを転送することなく、第１のメッセージをドロップする。ステップ６４２では、第２のアクセスポイントがステップ６１０のアクセス制御決定を行った場合、動作はステップ６１０からステップ６４６に進み、第２のアクセスポイントは、第２のワイヤレス端末に第１のメッセージを配信することなく、第１のメッセージをドロップする。動作はステップ６４６からステップ６４８に進む。ステップ６４８では、第２のアクセスポイントが、ｉ）第１の鍵が第２のワイヤレス端末に関連付けられないことを第１のアクセスポイントに通知すること、またはｉｉ）第２のワイヤレス端末への配信のための、第１の鍵で保護され、第２のワイヤレス端末に向けられるコンテンツの第２のアクセスポイントへの転送を停止するように第１のアクセスポイントに命令することのうちの少なくとも一方を実施するように動作させられる。

[000125]ステップ６２４に戻ると、ステップ６２４では、第１のメッセージが第２のワイヤレス端末に通信される。ステップ６２４は、ステップ６２８、６３０、６３２、６３４、６３６、６３８、６４０、および６４２を含む。ステップ６２８では、第２のワイヤレス端末が、前記暗号化メッセージが第１のワイヤレス端末から受信された第１のワイヤレスアクセスポイントに接続される場合、動作はステップ６２８からステップ６３０に進み、そうでない場合、動作は、ステップ６２８からステップ６３６またはステップ６３８に進む。

[000126]ステップ６３０では、第１のワイヤレスアクセスポイントは、第２のワイヤレス端末に第１のメッセージを送信する前に、第１の鍵を使用して、第１のアクセスポイントで第１のメッセージを保護する。ステップ６３０は、第１のワイヤレスアクセスポイントが、第１の鍵から生成された一時的鍵を使用して第１のメッセージを暗号化するステップ６３２を含み、前記一時的鍵は、第１のアクセスポイントと第２のワイヤレス端末との間の通信を暗号化するために使用された暗号鍵である。動作はステップ６３０からステップ６３２に進む。ステップ６３２では、第１のワイヤレスアクセスポイントは、第１の鍵から生成された一時的鍵を使用して、たとえばステップ６３２で暗号化された、暗号化された第１のメッセージを第２のワイヤレス端末に送信する。

[000127]ステップ６３６では、第２のワイヤレス端末が第２のアクセスポイントに接続され、第１のアクセスポイントがステップ６１０のアクセス制御決定を行ったとき、第１のアクセスポイントは、第２のアクセスポイントに第１のメッセージを転送する。動作はステップ６３６からステップ６３８に進む。ステップ６３８では、第２のアクセスポイントが、第２のアクセスポイントと第２のワイヤレス端末との間のエアリンクを介する通信を保護するために使用された第２の鍵を使用して第１のメッセージを保護するように動作させられる。ステップ６３８は、第２のアクセスポイントが第２の一時的鍵を使用して第１のメッセージを暗号化するステップ６４０を含み、前記第２の鍵が第２の鍵から生成され、前記第２の鍵は事前共有鍵である。動作はステップ６３８からステップ６４２に進み、第２のワイヤレスアクセスポイントが、第２の鍵からの第２の一時的鍵を使用して、たとえばステップ６４０で暗号化された、暗号化された第１のメッセージを第２のワイヤレス端末に送信する。

[000128]いくつかの実施形態では、第１および第２のアクセスポイントはＷｉＦｉアクセスポイントである。いくつかの実施形態では、第１のアクセスポイントはＷｉＦｉアクセスポイントであり、第２のアクセスポイントはＬＴＥアクセスポイントであり、前記第２のアクセスポイントは、前記第１のアクセスポイントとは異なるワイヤレス通信プロトコルを使用する。いくつかの実施形態では、第１のアクセスポイントはＷｉＦｉアクセスポイントであり、第１の鍵は第１のＰＳＫ鍵であり、第２のアクセスポイントはＬＴＥ基地局である。

[000129]図７は、例示的実施形態による、例示的アクセスポイント、たとえば図１のアクセスポイント１０６、１０８、１１０および／または図２のアクセスポイント２００のいずれかの中に含まれ得る構成要素の例示的アセンブリ７００の図面である。構成要素のアセンブリ７００は、アクセスポイント２００、たとえば基地局内に含まれ、その中で使用され得、いくつかの実施形態では、アクセスポイント２００に含まれ、その中で使用される。構成要素のアセンブリ７００内の構成要素は、プロセッサ２０６内のハードウェアで、たとえば個々の回路として完全に実装され得、いくつかの実施形態では実装される。構成要素のアセンブリ７００内の構成要素は、ハードウェア構成要素のアセンブリ２０８内のハードウェアで、たとえば相異なる構成要素に対応する個々の回路として完全に実装され得、いくつかの実施形態では実装される。他の実施形態では、構成要素のうちのいくつかは、プロセッサ２０６内で、たとえば回路として実装され、他の構成要素は、プロセッサ２０６の外部の、プロセッサ２０６に結合された、構成要素のアセンブリ２０８内で、たとえば回路として実装される。プロセッサ上の構成要素の集積のレベル、および／またはいくつかの構成要素がプロセッサの外部にあることは、設計選択肢のうちの１つであり得る。代替として、回路として実装されるのではなく、構成要素のすべてまたはいくつかが、ソフトウェアで実装され、アクセスポイント２００のメモリ２１２内に記憶され得、構成要素が、構成要素がプロセッサ、たとえばプロセッサ２０６によって実行されるとき、構成要素に対応する機能を実装するために、デバイス２００の動作を制御する。いくつかのそのような実施形態では、構成要素のアセンブリ７００が、構成要素のアセンブリ、たとえばソフトウェアコンポーネントのアセンブリ２１８としてメモリ２１２内に含まれる。さらに他の実施形態では、構成要素のアセンブリ７００内の様々な構成要素が、ハードウェアとソフトウェアの組合せとして実装され、たとえば、プロセッサの外部の別の回路が、プロセッサ２０６への入力を提供し、次いでプロセッサ２０６は、ソフトウェア制御下で、構成要素の機能の一部を実施するように動作する。プロセッサ２０６は、図２の実施形態では単一のプロセッサ、たとえばコンピュータとして示されているが、プロセッサ２０６は１つまたは複数のプロセッサ、たとえばコンピュータで実装され得ることを理解されたい。

[000130]ソフトウェアで実装されるとき、構成要素は、プロセッサ２０６によって実行されるとき、構成要素に対応する機能を実装するようにプロセッサ２０６を構成するコードを含む。構成要素のアセンブリ７００がメモリ２１２内に記憶される実施形態では、メモリ２１２は、構成要素が対応する機能を少なくとも１つのコンピュータ、たとえばプロセッサ２０６に実装させるコード、たとえば各構成要素についての個々のコードを備えるコンピュータ可読媒体を備えるコンピュータプログラム製品である。

[000131]完全にハードウェアベースの、または完全にソフトウェアベースの構成要素が使用され得る。しかしながら、ソフトウェアと、ハードウェア、たとえば回路で実装された構成要素の任意の組合せが、機能を実装するために使用され得ることを理解されたい。理解されるべきであるが、図７に示される構成要素は、フローチャート、シグナリングダイアグラムのうちの１つまたは複数の方法で図示および／または説明され、ならびに／あるいは図のいずれかに関して説明された、対応するステップの機能を実施するために、アクセスポイント２００またはその中のプロセッサ２０６などの要素を制御および／または構成する。したがって、構成要素のアセンブリ７００は、例示的方法の、対応する１つまたは複数の説明および／または図示されたステップ、たとえば図５および／または図６の方法の１つまたは複数のステップの機能を実施する様々な構成要素を含む。

[000132]図７は、図７Ａおよび図７Ｂの組合せを備え、例示的実施形態による例示的アクセスポイント内に含まれ得る、Ｐａｒｔ Ａ ７０１およびＰａｒｔ Ｂ ７０３の組合せを備える構成要素の例示的アセンブリ７００の図面である。構成要素のアセンブリ７００は、第２のワイヤレス端末に関連付けられる１つまたは複数の鍵をリストする鍵関連付け情報を記憶デバイス内に記憶するように構成された構成要素７０４と、第１のワイヤレスアクセスポイントで第１のワイヤレス端末から暗号化形式の第１のメッセージを受信するように構成された構成要素７０６であって、前記第１のメッセージが第２のワイヤレス端末に向けられ、前記第１のメッセージが第１の鍵、たとえば第１の事前共有鍵（ＰＳＫ）を使用して保護される構成要素７０６と、第１のワイヤレスアクセスポイントで、第１のメッセージを回復するために、暗号化形式で受信された第１のメッセージを解読するように構成された構成要素とを含む。

[000133]構成要素のアセンブリ７００は、たとえば第２のアクセスポイントがアクセス制御決定を行うべきとき、たとえば第１のアクセスポイントが第２のワイヤレス端末鍵関連付け情報へのアクセスを有さないとき、第２のアクセスポイントに第１のメッセージを転送するように構成された構成要素７０９と、第１のメッセージと、前記第１のメッセージを保護するために第１のＷＴによって使用された第１の暗号鍵、たとえば第１のＰＳＫを示す識別情報とを、宛先ＷＴ、たとえば第２のＷＴが接続される第２のアクセスポイントに転送するように第１のアクセスポイントを動作させるように構成された構成要素７１１と、前記第１のメッセージと、第１の暗号鍵を示す識別情報とを受信するために、宛先ＷＴ、たとえば第２のＷＴが接続される第２のアクセスポイントを動作させるように構成された構成要素７１３とをさらに含む。

[000134]構成要素のアセンブリ７００は、前記第１の鍵に基づいて第１のメッセージへのアクセスを制御するために使用されるアクセス制御決定を行うように構成された構成要素７１０をさらに含む。構成要素７１０は、第２のワイヤレス端末が第１の鍵へのアクセスを有するかどうかを記憶された情報から決定するように構成された構成要素７１４を含む、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末に関連付けられるかどうかを決定するように構成された構成要素７１２を含む。構成要素７１０は、第１のメッセージを保護するために使用された第１の鍵が第２のＷＴに関連付けられるという決定に応答して、第２のワイヤレス端末が第１のメッセージにアクセスすることを可能にするように決定するように構成されたアクセス構成要素７１８と、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末に関連付けられないという決定に応答して、第２のワイヤレス端末が第１のメッセージにアクセスすることを可能にしないように決定するように構成された構成要素７２０とをさらに含む。

[000135]構成要素のアセンブリ７００は、たとえば、第１のメッセージへの第２のワイヤレス端末アクセスを拒否するようにとの第１のアクセスポイントによる決定に応答して、第２のワイヤレス端末に第１のメッセージを配信することなく、または第２のアクセスポイントもしくは第２のＷＴに第１のメッセージを転送することなく、第２のワイヤレス端末への第１のメッセージをドロップするように第１のアクセスポイントを動作させるように構成された構成要素７４４と、たとえば、第１のメッセージへの第２のＷＴアクセスを拒否するようにとの第２のアクセスポイントによる決定に応答して、第２のワイヤレス端末に第１のメッセージを配信することなく第１のメッセージをドロップするように第２のアクセスポイントを動作させるように構成された構成要素７４６と、たとえば、第１のメッセージへの第２のＷＴアクセスを拒否するようにとの第２のアクセスポイントによる決定に応答して、ｉ）第１の鍵が第２のワイヤレス端末に関連付けられないことを第１のアクセスポイントに通知すること、またはｉｉ）第２のワイヤレス端末への配信のための、第１の鍵で保護され、第２のワイヤレス端末に向けられるコンテンツの第２のアクセスポイントへの転送を停止するように第１のアクセスポイントに命令することのうちの少なくとも一方を実施するように第２のアクセスポイントを動作させるように構成された構成要素７４８とをさらに備える。

[000136]構成要素のアセンブリ７００は、第２のワイヤレス端末に第１のメッセージを通信するように第１のアクセスポイントを動作させるように構成された構成要素７５０をさらに含む。構成要素７５０は、第２のワイヤレス端末に第１のメッセージを送信する前に、第１の鍵を使用して第１のアクセスポイントで第１のメッセージを保護するように構成された構成要素７３０と、第１の鍵から生成された一時的鍵を使用して暗号化された、暗号化された第１のメッセージを第２のワイヤレス端末に送信するように構成された構成要素７３４とを含む。構成要素７３０は、第１の鍵から生成された一時的鍵を使用して第１のメッセージを暗号化するように構成された構成要素７３２を含み、前記一時的鍵は、第１のアクセスポイントと第２のワイヤレス端末との間の通信を暗号化するために使用される暗号鍵である。

[000137]構成要素のアセンブリ７００は、第２のワイヤレス端末に第１のメッセージを通信するように第１のアクセスポイントを動作させるように構成された構成要素７５２をさらに含む。構成要素７５２は、第２のワイヤレス端末が第２のアクセスポイントに接続され、第１のアクセスポイントがアクセス制御決定、たとえば第２のＷＴが第１のメッセージにアクセスすることを可能にするアクセス制御決定を行ったとき、第２のアクセスポイントに第１のメッセージを転送するように構成された構成要素７３６を含む。

[000138]構成要素のアセンブリ７００は、第２のワイヤレス端末に第１のメッセージを通信するように第２のアクセスポイントを動作させるように構成された構成要素７５４をさらに含む。構成要素７５４は、第２のアクセスポイントと第２のワイヤレス端末との間のエアリンクを介する通信を保護するために使用された第２の鍵を使用して第１のメッセージを保護するように第２のアクセスポイントを動作させるように構成された構成要素７３８を含む。構成要素７３８は、第２の鍵から生成された第２の一時的鍵を使用して第１のメッセージを暗号化するように構成された構成要素７４０を含み、前記第２の鍵は事前共有鍵である。構成要素７５４は、第２の鍵について生成された第２の一時的鍵を使用して暗号化された、暗号化された第１のメッセージを第２のワイヤレス端末に送信するように構成された構成要素７４２をさらに含む。

[000139]様々な実施形態では、構成要素のアセンブリ７００を含むアクセスポイントは、たとえば、構成要素７０４、７０６、７０８、７０９、７１１、７１０、７１２、７１４、７１８、７２０、７４４、７５０、７３０、７３２、７３４、および７５２、および７３６のうちの１つまたは複数またはすべてを使用して、第１のアクセスポイントとして動作する。様々な実施形態では、構成要素のアセンブリ７００を含むアクセスポイントは、たとえば、構成要素７０４、７１３、７１０、７１２、７１４、７１８、７２０、７４６、７４８、７５４、７３８、７４０、および７４２のうちの１つまたは複数またはすべてを使用して、第２のアクセスポイントとして動作する。

[000140]セキュリティ関連の方法および装置が、１つのデバイス、たとえば第１のＷＴから、第２のデバイス、たとえば第２のＷＴへのユニキャスト通信の状況で一般的に説明されたが、マルチキャスト通信にも適用され得る。マルチキャスト実施形態のケースでは、中間ノードは、第１のアクセスポイントに送信されたマルチキャストメッセージを最初に保護するのに使用されたセキュリティ鍵を認識させられ得、認識させられることがある。中間ノードが、いくつかの実施形態でマルチキャストメッセージが宛てられるマルチキャストグループの個々のメンバに、マルチキャストメッセージを、たとえばユニキャスト通信として送信するかどうかの決定は、マルチキャストグループメンバがマルチキャスト通信を保護するために最初に使用されたセキュリティ鍵へのアクセスを有することに依存する。したがって、ユニキャスト送信のケースと同様に、マルチキャスト送信は、メッセージが宛てられるグループ内の宛先デバイスが、マルチキャストメッセージを元々保護するために使用された共有鍵に関連付けられ、たとえば共有鍵へのアクセスを有するか否かに基づいて保護され得る。

[000141]図８は、ネットワーク８１２によって互いに結合された、第１のアクセスポイント８０２と、第２のアクセスパイント８０４とを含むマルチキャスト実施形態を示す。図８の例では、ステップ８２４で、第１のワイヤレス端末ＷＴ １ ８０６が、Ｋｅｙ Ａ ８２０によって保護されるマルチキャストメッセージを送る。線８１４は、第１のＡＰに通信されるＫｅｙ Ａ ８２０によって保護されたマルチキャストメッセージを表す。マルチキャストメッセージはＡＰ １８０２によって解読され、次いで、元の通信されたメッセージを保護するために使用された鍵Ｋｅｙ Ａ ８２０を示す情報と共に、マルチキャストメッセージ８２６として、たとえばネットワーク接続８１２を介してＡＰ２ ８０４に通信される。マルチキャストメッセージ８２６と、Ｋｅｙ Ａ ８２０を識別する、関連する鍵情報とを受信したことに応答して、ＡＰ ２は、ＡＰ２に接続された何らかのＷＴが、マルチキャストメッセージ８２６が宛てられたマルチキャストグループのメンバであるかどうかを決定するためにチェックする。マルチキャストメッセージ８２６が宛てられるマルチキャストグループのメンバが、マルチキャストメッセージを受信した第２のＡＰ ２ ８０４に接続される場合、第２のアクセスポイントＡＰ ２は、デバイスごとにアクセス制御動作を実施することに進み、たとえば、ＡＰ ２ ８０４は、マルチキャストグループのメンバである個々のデバイスが、メッセージが第１のＡＰ １ ８０２に送信されたときにメッセージを元々保護するために使用された鍵に関連付けられるか否かをチェックする。宛てられたマルチキャストグループ内の個々のデバイスがｋｅｙ Ａ ８２０に関連付けられ、たとえばｋｅｙ Ａ ８２０へのアクセスを有するので、個々のデバイスがマルチキャストメッセージ８２６へのアクセスを得ることを許可されると第２のＡＰが決定した場合、第２のＡＰ ２ ８０４は、メッセージをユニキャストメッセージとして宛先デバイスに送信する。個々のグループメンバが、マルチキャストメッセージ８２６を保護するために使用された鍵、たとえばＫｅｙ Ａに関連付けられない場合、デバイスは、マルチキャストグループのメンバであるにも関わらず、メッセージを受信することからブロックされる。

[000142]図８の例では、ＷＴ ２とＷＴ ３の両方が、マルチキャストメッセージ８２６が宛てられるマルチキャストアドレスに対応するマルチキャストグループのメンバであり、ＷＴ ２ ８０８はｋｅｙ Ａ ８２０に関連付けられ、ＷＴ ３ ８１０はＫｅｙ Ａに関連付けられず、その代わりにＫｅｙ Ｂ ８２２に関連付けられる。この例では、ＡＰ ２は、たとえば、そのセキュリティ構成要素と、Ｋｅｙ Ａ ８２０がマルチキャストメッセージ８２６を保護するために使用されたことを示す、ＡＰ １ ８０２から受信した情報とを使用して、ＷＴ ２ ８０８がＫｅｙ Ａ ８２０に関連付けられるので、ＷＴ ２ ８０８がメッセージ８２６を受信すべきであるが、ＷＴ ３ ８１０はメッセージを受信することからブロックされるべきであると決定する。ステップ８２８では、ＡＰ２は、マルチキャストメッセージ８２６、またはメッセージの少なくともペイロードをリンク層ユニキャストメッセージとしてＷＴ ２ ８０８に送る。ＷＴ １とＷＴ ２はどちらもＫｅｙ １に関連付けられ、したがってＷＴ ２はメッセージ８２６へのアクセスが可能にされるべきであるからである。しかしながら、ステップ８３０では、ＡＰ ２は、マルチキャストメッセージを受信することからＷＴ ３ ８１０をブロックし、ＷＴ ３ ８２２にメッセージ８２６を送らない。ＷＴ １とＷＴ ３は同一の鍵を使用せず、たとえばＷＴ ３はＰＳＫ Ｋｅｙ Ａ ８２０に関連付けられないのからである。他の実施形態の場合と同じく、メッセージの実際の通信は、送信されたメッセージを保護するために使用されたＰＳＫから生成された短期暗号鍵を使用して保護され得、保護されることがある。したがって、マルチキャストメッセージを保護するために最初に使用された鍵（ＰＳＫ）についての通信情報と、別のデバイス、たとえばＡＰ ２へのメッセージによって理解されるべきであるが、受信側デバイスは、どのＰＳＫが通信されたメッセージを保護するために元々使用されたかに基づいて第２のＡＰがローカルにアクセス制御決定を実装することを可能にするための十分な情報を提供し得る。

[000143]マルチキャストが、単一の宛先ＡＰを伴う例と共に説明されるが、マルチキャストメッセージ８２６はＰＳＫ情報と共に多数のデバイスに通信され得、受信側ネットワークノードおよび／またはアクセスポイントが、受信された鍵情報、ならびに／あるいはどのデバイスがアクセス制御デバイスとして働くノードの下流側にあるか、および個々の下流側デバイスが何のＰＳＫに関連付けられるかの知識に基づいてアクセス制御決定を実装することを理解されたい。

[000144]様々な例示的な番号付けされた実施形態が以下で述べられる。番号付けされた例示的実施形態の各セットは、それ自体によって、同一のセット内の前の番号付けされた実施形態を参照するセット内の実施形態と共に番号付けされる。
例示的な番号付けされた方法実施形態のセットのリスト
[000145]方法実施形態１ 第１のワイヤレスアクセスポイント（１０６）で、第１のワイヤレス端末（１１６）から暗号化形式の第１のメッセージを受信すること（５０９または６０６）と、前記第１のメッセージが第２のワイヤレス端末（１１８）に向けられ、第１のメッセージが第１の鍵を使用して保護される、第１のメッセージを回復するために、第１のワイヤレスアクセスポイント（１０６）で、暗号化形式で受信された第１のメッセージを解読すること（５１３または６０８）と、前記第１の鍵に基づいて第１のメッセージへのアクセスを制御するために使用されるアクセス制御決定を行うこと（（５２９または５５６）または６１０）と、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定すること（５３０または５５７）または６１２）を含む、を備える通信方法。

[000146]方法実施形態２ 第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定すること（６１２）が、記憶された情報（１０７または１１４）から、第２のワイヤレス端末（１１８）が第１の鍵へのアクセスを有するかどうかを決定すること（６１４）を含む、方法実施形態１の方法。

[000147]方法実施形態３ 第１の鍵が第１の事前共有鍵（ＰＳＫ）である、方法実施形態１Ａの通信方法。

[000148]方法実施形態４ 第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末（１１８）に関連付けられると決定されたとき、第２のワイヤレス端末（１１８）に第１のメッセージを通信すること（（５３２または５６０）または６２４）をさらに備える、方法実施形態１の方法。

[000149]方法実施形態５
[000150]第１の鍵が第２のワイヤレス端末（１１８）に関連付けられないと決定したことに応答して、前記第２のワイヤレス端末（１１８）に前記第１のメッセージを配信することなく、第１のメッセージをドロップすること（（５３６または５６４）または（６４４または６４６）
をさらに備える、方法実施形態４の方法。

[000151]方法実施形態６ 前記第２のワイヤレス端末（１１８）が前記第１のアクセスポイント（１０６）に結合され、アクセス制御決定を行う前記ステップ（５２９または６１０）が第１のアクセスポイント（１０６）で実施される、方法実施形態１の方法。

[000152]方法実施形態７ 第２のワイヤレス端末（１１８）にメッセージを通信すること（５３２または６２４）が、第２のワイヤレス端末（１１８）に第１のメッセージを送信する前に、第１の鍵を使用して、第１のアクセスポイント（１０６）で第１のメッセージを保護すること（５４６または６３０）を含む、方法実施形態６の方法。

[000153]方法実施形態８ 第１の鍵を使用して第１のメッセージを保護すること（５４６または６３０）が、前記第１の鍵から生成された一時的鍵を使用して第１のメッセージを暗号化すること（６３２）を含み、前記一時的鍵が、前記第１のアクセスポイント（１０６）と前記第２のワイヤレス端末（１１８）との間の通信を暗号化するために使用される暗号鍵である、方法実施形態７の方法。

[000154]方法実施形態９ 第２のワイヤレス端末（１１８）に関連付けられる１つまたは複数の鍵をリストする鍵関連付け情報（１０７または１１４）を記憶デバイス（２１２または１１５）内に記憶する（４０６または６０４）ことをさらに備える、方法実施形態３の方法。

[000155]方法実施形態１０ 前記記憶デバイス（１１５）が、ワイヤレス端末（ＷＴ）鍵関連付けレコードを記憶した管理ノード（１１２）内に含まれ、鍵関連付けレコード内の情報を１つまたは複数のアクセスポイントに対して利用可能にする、方法実施形態９の方法。

[000156]方法実施形態１１ 第２のワイヤレス端末（１１８）に第１のメッセージを通信すること（（５３２および５６０）または６２４）が、第２のワイヤレス端末（１１８）が第２のアクセスポイント（１０８または１１０）に接続されるとき、第２のアクセスポイント（１０８または１１０）に第１のメッセージを転送すること（５３４または６３６）と、第２のアクセスポイント（１０８または１１０）と第２のワイヤレス端末（１１８）との間のエアリンクを介する通信を保護するために使用された第２の鍵を使用して第１のメッセージを保護するように第２のアクセスポイント（１０８）を動作させること（５６１または６３８）とを含む、方法実施形態４の方法。

[000157]方法実施形態１２ 第２の鍵を使用して第１のメッセージを保護するように第２のアクセスポイントを動作させること（５６１または６３８）が、前記第２の鍵から生成された第２の一時的鍵を使用して第１のメッセージを暗号化すること（５６１または６４０）を含み、前記第２の鍵が事前共有鍵である、方法実施形態１１の方法。

[000158]方法実施形態１３ 前記第１のアクセスポイント（１０６）がＷｉＦｉアクセスポイントであり、前記第２のアクセスポイント（１１０）がＬＴＥアクセスポイントであり、前記第２のアクセスポイント（１１０）が、前記第１のアクセスポイント（１０６）とは異なるワイヤレス通信プロトコルを使用する、方法実施形態１１の方法。

[000159]方法実施形態１４ 第１のアクセスポイント（１０６）がＷｉＦｉアクセスポイントであり、第１の鍵が第１のＰＳＫであり、第２のアクセスポイント（１１０）がＬＴＥ基地局である、方法実施形態１３の方法。

[000160]方法実施形態１５ 前記第２のワイヤレス端末（１１（）が前記第２のアクセスポイント（１０８または１１０）に結合され、アクセス制御決定を行う前記ステップ（５５６または６１０）が、第２のアクセスポイント（１０８または１１０）で実施される、方法実施形態１の方法。

[000161]方法実施形態１６ アクセス制御決定を行う前記ステップ（５５６または６１０）が、第２のワイヤレス端末（１１８）が第１の鍵に関連付けられないと決定したことに応答して、第１のメッセージへの第２のワイヤレス端末アクセスを拒否するように決定すること（５６３または６２０）を含む、方法実施形態１の方法。

[000162]方法実施形態１７ ｉ）第１の鍵が第２のワイヤレス端末（１１８）に関連付けられないことを第１のアクセスポイントに通知すること、またはｉｉ）第２のワイヤレス端末（１１８）への配信のための、第１の鍵で保護され、第２のワイヤレス端末に向けられるコンテンツの第２のアクセスポイント（１０８または１１０）への転送を停止するように第１のアクセスポイントに命令することのうちの少なくとも一方を実施するように第２のアクセスポイントを動作させること（５６６または６２０）をさらに備える、方法実施形態１６の方法。
例示的な番号付けされたシステム実施形態のセットのリスト
[000163]システム実施形態１ 第１のワイヤレス端末（１１６）から暗号化形式の第１のメッセージを受信するように構成された受信機（２５２）と、前記第１のメッセージが第２のワイヤレス端末（１１８）に向けられ、第１のメッセージが第１の鍵を使用して保護される、第１のワイヤレスアクセスポイント（１０６）で、第１のメッセージを回復するために、暗号化形式で受信された第１のメッセージを解読するように構成された解読器（２７０）とを含む第１のワイヤレスアクセスポイント（１０６）と、前記第１の鍵に基づいて第１のメッセージへのアクセスを制御するために使用されるアクセス制御デバイス（２７２）と、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定するように構成された決定構成要素（２７４）を含む、を備える通信システム（１００）。

[000164]システム実施形態２ 前記アクセス制御デバイス（２７２）が、前記第１のアクセスポイント（１０６）内に含まれるアクセス制御構成要素である、システム実施形態１のシステム（１００）。

[000165]システム実施形態３ 前記アクセス制御デバイス（２７２）が、前記第１のアクセスポイント（１０６）の外部のアクセス制御構成要素である、システム実施形態１のシステム（１００）。

[000166]システム実施形態４ 前記決定構成要素（２７４）が、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定するように構成され、前記決定構成要素（２７４）が、記憶された情報（１０７または１１４）から、第２のワイヤレス端末（１１８）が第１の鍵へのアクセスを有するかどうかを決定するように構成される、システム実施形態１のシステム（１００）。

[000167]システム実施形態５ 第１の鍵が第１の事前共有鍵（ＰＳＫ）である、システム実施形態２のシステム（１００）。

[000168]システム実施形態６ 第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末（１１８）に関連付けられると決定されたとき、第２のワイヤレス端末（１１８）に第１のメッセージを通信するように構成された送信機（２５４）をさらに備える、システム実施形態１のシステム（１００）。

[000169]システム実施形態７ アクセス制御デバイス（２７２）が、第１の鍵が第２のワイヤレス端末（１１８）に関連付けられないと決定したことに応答して、前記第２のワイヤレス端末（１１８）に前記第１のメッセージを配信することなく、第１のメッセージをドロップするように構成される、システム実施形態６のシステム（１００）。

[000170]システム実施形態８ 第１のメッセージが第２のワイヤレス端末に送信される前に、第１のアクセスポイント（１０６）で、第１の鍵を使用して、第１のメッセージを保護するように構成された暗号化デバイス２７６をさらに備える、システム実施形態１のシステム（１００）。

[000171]システム実施形態９ 暗号化デバイス（２７６）が、第１のメッセージを保護することの部分として前記第１のアクセスポイント（１０６）と前記第２のワイヤレス端末（１１８）との間の通信を暗号化するために使用される暗号鍵として、暗号化デバイス（２７０）によって使用される一時的鍵を前記第１の鍵から生成するための一時的鍵発生器（２７８）を含む、システム実施形態８のシステム（１００）。

[000172]システム実施形態１０ 第２のワイヤレス端末（１１８）に関連付けられる１つまたは複数の鍵をリストする鍵関連付け情報（１０７または１１４）を記憶する記憶デバイス（２１２または１１５）をさらに備える、システム実施形態５のシステム（１００）。

[000173]システム実施形態１１ 前記記憶デバイス（１１５）が、ＷＴ鍵関連付けレコードを記憶した管理ノード（１１２）内に含まれ、鍵関連付けレコード内の情報を１つまたは複数のアクセスポイント（１０６、１０８、１１０）に対して利用可能にする、システム実施形態１０のシステム（１００）。
コンピュータ可読媒体実施形態
[000174]コンピュータ可読媒体実施形態１ ワイヤレスアクセスポイント（２００）のプロセッサ（２０６）によって実行されるとき、第１のワイヤレス端末（１１６）から暗号化形式の第１のメッセージを受信するステップ（５０９または６０６）と、前記第１のメッセージが第２のワイヤレス端末（１１８）に向けられ、第１のメッセージが第１の鍵を使用して保護される、第１のワイヤレスアクセスポイントで、第１のメッセージを回復するために、暗号化形式で受信された第１のメッセージを解読するステップ（５１３または６０８）と、前記第１の鍵に基づいて第１のメッセージへのアクセスを制御するために使用されるアクセス制御決定を行う（（５２９または５５６）または６１０）ステップと、第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定すること（（５３０または５５７）または６１２）を含む、を実施するようにワイヤレスアクセスポイント（２００）を制御するマシン実行可能命令を含む非一時的コンピュータ可読媒体。
番号付けされた装置実施形態。

[000175]装置実施形態１ 第１の鍵を第１のワイヤレス端末（１１６）と関連付ける情報を含む事前共有鍵関連付け情報（２２２）を含むメモリ（２１２）と、第１のワイヤレス端末（１１６）から暗号化形式の第１のメッセージを受信し、前記第１のメッセージが第２のワイヤレス端末（１１８）に向けられ、第１のメッセージが第１の鍵を使用して保護され、第１のメッセージを回復するために、暗号化形式で受信された第１のメッセージを第１のワイヤレスアクセスポイント（２００）で解読し、前記第１の鍵に基づいて第１のメッセージへのアクセスを制御するために使用されるアクセス制御決定を行い、アクセス制御決定を行う前記ステップが第１のメッセージを保護するために使用された第１の鍵が第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定することを含むようにアクセスポイント（２００）を制御するように構成されたプロセッサ（２０６）とを備えるワイヤレスアクセスポイント（２００）。

[000176]本明細書に記載の方法および装置は、８０２．１ｘプロトコルと識別されることのある８０２ファミリ内のＷｉＦｉプロトコルを含む多種多様なプロトコルと共に使用するのに十分に適しており、ｘは、いくつかの異なるプロトコルバージョン標識のいずれか１つであり得る。

[000177]方法は、事前共有鍵を使用した８０２．１ｘ ＬＡＳに十分に適しており、いくつかの実施形態および特徴は、８０２．１ｘプロトコルを使用し、セキュリティ目的でＰＳＫを使用してデバイスと対話し得るＡＰおよび他のデバイスを対象とする。ネットワークおよび／またはセキュリティ手法の異なる組合せが使用され得るが、特定のメッセージまたは通信へのアクセスがデバイスに与えられるか否かを決定するために、ＰＳＫへのアクセスまたはＰＳＫとの関連付けが依然として使用される。たとえば、ユーザのパーソナルラップトップが８０２．１ｘを使用し得ると共に、同一のユーザのパーソナルＡｐｐｌｅ ＴＶがＰＳＫを使用し、それらは同一のパーソナルＷＬＡＮの部分であり、デバイスへの最終的通信を保護するためにＰＳＫが使用されない場合であっても、たとえばＰＳＫを使用するユーザの他のデバイスによるＰＳＫとの関連付けが、メッセージへのアクセスがデバイスに与えられるべきかどうかを決定するために使用される。本発明の方法および装置は、ワイヤードデバイスまたは他のネットワークへのアクセス制御を制御する際に使用され得、使用されることがある。たとえば、個々のユーザのパーソナルＷＬＡＮは、プリンタが特定のＰＳＫに関連付けられることに基づいて、プリンタにトークすることが可能にされ得る。他の誰かのパーソナルＷＬＡＮは、その人のデバイスがＰＳＫに関連付けられない場合、プリンタへの最終的通信を保護するためにＰＳＫが使用されないことがあるとしても、アクセスが拒否される。

[000178]様々な実施形態の技法は、ソフトウェア、ハードウェア、および／またはソフトウェアとハードウェアの組合せを使用して実装され得る。様々な実施形態が、装置、たとえばモバイルワイヤレス端末、基地局、通信システムなどのモバイルノードを対象とする。様々な実施形態はまた、通信デバイス、たとえばワイヤレス端末（ＵＥ）、基地局、制御ノード、および／または通信システムを制御および／または動作させる方法、たとえば方法をも対象とする。様々な実施形態はまた、方法の１つまたは複数のステップを実装するようにマシンを制御するための機械可読命令を含む非一時的マシン、たとえばコンピュータ、可読媒体、たとえばＲＯＭ、ＲＡＭ、ＣＤ、ハードディスクなどをも対象とする。

[000179]開示されるプロセス中のステップの特定の順序または階層は、例示的手法の一例であることを理解されたい。設計プリファレンスに基づいて、本開示の範囲内にとどまりながら、プロセス中のステップの特定の順序または階層が再構成され得ることを理解されたい。添付の方法クレームは、様々なステップの要素をサンプル順に提示し、提示される特定の順序または階層に限定されることを意味するわけではない。

[000180]様々な実施形態では、本明細書に記載のデバイスおよびノードは、１つまたは複数の方法に対応するステップ、たとえば信号発生ステップ、送信ステップ、処理ステップ、および／または受信ステップを実施するために１つまたは複数の構成要素を使用して実装される。したがって、いくつかの実施形態では、様々な特徴が構成要素を使用して実装される。そのような構成要素は、ソフトウェア、ハードウェア、またはソフトウェアとハードウェアの組合せを使用して実装され得る。いくつかの実施形態では、各構成要素が個々の回路として実装され、デバイスまたはシステムが、それぞれの記載の構成要素に対応する機能を実装するための別々の回路を含む。前述の方法または方法ステップの多くが、たとえば１つまたは複数のノードで前述の方法のすべてまたは部分を実装するために、追加のハードウェアを用いて、または用いずにマシン、たとえば汎用コンピュータを制御するように、メモリデバイス、たとえば、ＲＡＭ、フロッピー（登録商標）ディスクなどの機械可読媒体内に含まれるソフトウェアなどのマシン実行可能命令を使用して実装され得る。したがって、とりわけ、様々な実施形態は、マシン、たとえばプロセッサおよび関連するハードウェアに、前述の方法のステップのうちの１つまたは複数を実施させるマシン実行可能命令を含む機械可読媒体、たとえば非一時的コンピュータ可読媒体を対象とする。いくつかの実施形態は、本発明の１つまたは複数の方法のステップのうちの１つ、複数、またはすべてを実装するように構成されたプロセッサを含むデバイスを対象とする。

[000181]いくつかの実施形態では、１つまたは複数のデバイス、たとえばワイヤレス端末（ＵＥ）などの通信デバイス、および／またはアクセスノードのプロセッサ、たとえばＣＰＵは、デバイスによって実施されるものとして説明される方法のステップを実施するように構成される。プロセッサの構成は、プロセッサ構成を制御するために１つまたは複数の構成要素、たとえばソフトウェアコンポーネントを使用することによって、ならびに／あるいは記載のステップを実施し、および／またはプロセッサ構成を制御するために、プロセッサ内にハードウェア、たとえばハードウェア構成要素を含めることによって達成され得る。したがって、すべてではないがいくつかの実施形態は、プロセッサがその中に含まれるデバイスによって実施される様々な記載の方法のステップのそれぞれに対応する構成要素を含むプロセッサを備える通信デバイス、たとえばユーザ機器を対象とする。すべてではないがいくつかの実施形態では、通信デバイスは、プロセッサがその中に含まれるデバイスによって実施される様々な記載の方法のステップのそれぞれに対応する構成要素を含む。構成要素は、純粋にハードウェアで、たとえば回路として実装され得、またはソフトウェアおよび／またはハードウェアあるいはソフトウェアとハードウェアの組合せを使用して実装され得る。

[000182]いくつかの実施形態は、コンピュータ、または複数のコンピュータに、様々な機能、ステップ、行為、および／または動作、たとえば前述の１つまたは複数のステップを実装させるコードを備えるコンピュータ可読媒体を備えるコンピュータプログラム製品を対象とする。実施形態に応じて、コンピュータプログラム製品は、実施されるべき各ステップについて異なるコードを含み得、含むことがある。したがって、コンピュータプログラム製品は、方法、たとえば通信デバイス、たとえばワイヤレス端末またはノードを動作させる方法のそれぞれの個々のステップについてのコードを含み得る。コードは、マシン、たとえばコンピュータの形態、ＲＡＭ（ランダムアクセスメモリ）、ＲＯＭ（読取り専用メモリ）、他のタイプの記憶デバイスなどのコンピュータ可読媒体上に記憶された実行可能命令の形態であり得る。コンピュータプログラム製品を対象とすることに加えて、いくつかの実施形態は、前述の１つまたは複数の方法の様々な機能、ステップ、行為、および／または動作のうちの１つまたは複数を実装するように構成されたプロセッサを対象とする。したがって、いくつかの実施形態は、本明細書に記載の方法のステップのうちのいくつかまたはすべてを実装するように構成されたプロセッサ、たとえばＣＰＵを対象とする。プロセッサは、たとえば、本願に記載の通信デバイスまたは他のデバイスで使用するためのものであり得る。

[000183]ＯＦＤＭシステムの状況で説明されたが、様々な実施形態の方法および装置の少なくともいくつかは、多くの非ＯＦＤＭおよび／または非セルラシステムを含む多種多様な通信システムに適用可能である。

[000184]前述の様々な実施形態の方法および装置に関する多数の追加の変形形態が、上記の説明に鑑みて当業者には明らかとなるであろう。そのような変形形態は範囲内にあると見なされるべきである。方法および装置は、アクセスノードとモバイルノードとの間のワイヤレス通信リンクを提供するために使用され得るＣＤＭＡ、直交周波数分割多重方式（ＯＦＤＭ）、および／または様々な他のタイプの通信技法と共に使用され得、様々な実施形態では使用される。いくつかの実施形態では、アクセスノードが、ＯＦＤＭおよび／またはＣＤＭＡを使用して、ユーザ機器デバイス、たとえばモバイルノードとの通信リンクを確立する基地局として実装される。様々な実施形態では、モバイルノードは、方法を実装するための、受信機／送信機回路および論理および／またはルーチンを含むノートブックコンピュータ、携帯情報端末（ＰＤＡ）、または他のポータブルデバイスとして実装される。

Claims (20)

1. 第１のワイヤレスアクセスポイント（１０６）で、第１のワイヤレス端末（１１６）から、暗号化形式の第１のメッセージを受信すること（５０９または６０６）と、前記第１のメッセージが第２のワイヤレス端末（１１８）に向けられ、前記第１のメッセージが第１の鍵を使用して保護される、
   前記第１のワイヤレスアクセスポイント（１０６）で、前記第１のメッセージを回復するために、暗号化形式で受信された前記第１のメッセージを解読すること（５１３または６０８）と、
   前記第１の鍵に基づいて前記第１のメッセージへのアクセスを制御するために使用されるアクセス制御決定を行うこと（（５２９または５５６）または６１０）と、アクセス制御決定を行う前記ステップが前記第１のメッセージを保護するために使用された前記第１の鍵が前記第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定すること（５３０または５５７または６１２）を含む、
   を備える通信方法。
2. 前記第１のメッセージを保護するために使用された前記第１の鍵が前記第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定すること（６１２）が、記憶された情報（１０７または１１４）から、前記第２のワイヤレス端末（１１８）が前記第１の鍵へのアクセスを有するかどうかを決定すること（６１４）を含む、請求項１に記載の方法。
3. 前記第１の鍵が第１の事前共有鍵（ＰＳＫ）である、請求項１Ａに記載の通信方法。
4. 前記第１のメッセージを保護するために使用された前記第１の鍵が前記第２のワイヤレス端末（１１８）に関連付けられると決定されたとき、前記第２のワイヤレス端末（１１８）に前記第１のメッセージを通信すること（（５３２または５６０）または６２４）
   をさらに備える、請求項１に記載の方法。
5. 前記第１の鍵が前記第２のワイヤレス端末（１１８）に関連付けられないと決定したことに応答して、前記第２のワイヤレス端末（１１８）に前記第１のメッセージを配信することなく、前記第１のメッセージをドロップすること（（５３６または５６４）または（６４４または６４６）
   をさらに備える、請求項４に記載の方法。
6. 前記第２のワイヤレス端末（１１８）が前記第１のアクセスポイント（１０６）に結合され、アクセス制御決定（５２９または６１０）を行う前記ステップが前記第１のアクセスポイント（１０６）で実施される、請求項１に記載の方法。
7. 前記第２のワイヤレス端末（１１８）に前記メッセージを通信すること（５３２または６２４）が、
   前記第２のワイヤレス端末（１１８）に前記第１のメッセージを送信する前に、前記第１の鍵を使用して、前記第１のアクセスポイント（１０６）で前記第１のメッセージを保護すること（５４６または６３０）
   を含む、請求項６に記載の方法。
8. 前記第１の鍵を使用して前記第１のメッセージを保護すること（５４６または６３０）が、前記第１の鍵から生成された一時的鍵を使用して前記第１のメッセージを暗号化すること（６３２）を含み、前記一時的鍵が、前記第１のアクセスポイント（１０６）と前記第２のワイヤレス端末（１１８）との間の通信を暗号化するために使用される暗号鍵である、請求項７に記載の方法。
9. 前記第２のワイヤレス端末（１１８）に関連付けられる１つまたは複数の鍵をリストする鍵関連付け情報（１０７または１１４）を記憶デバイス（２１２または１１５）内に記憶する（４０６または６０４）こと
   をさらに備える、請求項３に記載の方法。
10. 前記記憶デバイス（１１５）が、ワイヤレス端末（ＷＴ）鍵関連付けレコードを記憶した管理ノード（１１２）内に含まれ、前記鍵関連付けレコード内の前記情報を１つまたは複数のアクセスポイントに対して利用可能にする、請求項９に記載の方法。
11. 前記第２のワイヤレス端末（１１８）に前記第１のメッセージを通信すること（（５３２および５６０）または６２４）が、前記第２のワイヤレス端末（１１８）が前記第２のアクセスポイント（１０８または１１０）に接続されるとき、第２のアクセスポイント（１０８または１１０）に前記第１のメッセージを転送すること（５３４または６３６）と、
    前記第２のアクセスポイント（１０８または１１０）と前記第２のワイヤレス端末（１１８）との間のエアリンクを介する通信を保護するために使用された第２の鍵を使用して前記第１のメッセージを保護するように前記第２のアクセスポイント（１０８）を動作させること（５６１または６３８）とを含む、請求項４に記載の方法。
12. 第２の鍵を使用して前記第１のメッセージを保護するように前記第２のアクセスポイントを動作させること（５６１または６３８）が、
    前記第２の鍵から生成された第２の一時的鍵を使用して前記第１のメッセージを暗号化すること（５６１または６４０）を含み、前記第２の鍵が事前共有鍵である、請求項１１に記載の方法。
13. 前記第１のアクセスポイント（１０６）がＷｉＦｉアクセスポイントであり、
    前記第２のアクセスポイント（１１０）がＬＴＥアクセスポイントであり、前記第２のアクセスポイント（１１０）が、前記第１のアクセスポイント（１０６）とは異なるワイヤレス通信プロトコルを使用する、請求項１１に記載の方法。
14. 前記第２のワイヤレス端末（１１（）が前記第２のアクセスポイント（１０８または１１０）に結合され、アクセス制御決定を行う前記ステップ（５５６または６１０）が、第２のアクセスポイント（１０８または１１０）で実施される、請求項１に記載の方法。
15. アクセス制御決定を行う前記ステップ（５５６または６１０）が、前記第２のワイヤレス端末（１１８）が前記第１の鍵に関連付けられないと決定したことに応答して、前記第１のメッセージへの前記第２のワイヤレス端末アクセスを拒否するように決定すること（５６３または６２０）と、
    前記第２のアクセスポイントを、ｉ）前記第１の鍵が前記第２のワイヤレス端末（１１８）に関連付けられないことを前記第１のアクセスポイントに通知すること、またはｉｉ）前記第２のワイヤレス端末（１１８）への配信のための、前記第１の鍵で保護され、前記第２のワイヤレス端末に向けられるコンテンツの前記第２のアクセスポイント（１０８または１１０）への転送を停止するように前記第１のアクセスポイントに命令すること
    のうちの少なくとも一方を実施するように動作させること（５６６または６２０）と
    を含む、請求項１に記載の方法。
16. 第１のワイヤレス端末（１１６）から暗号化形式の第１のメッセージを受信するように構成された受信機（２５２）と、前記第１のメッセージが第２のワイヤレス端末（１１８）に向けられ、前記第１のメッセージが第１の鍵を使用して保護される、
    前記第１のワイヤレスアクセスポイント（１０６）で、前記第１のメッセージを回復するために、暗号化形式で受信された前記第１のメッセージを解読するように構成された解読器（２７０）と
    を含む第１のワイヤレスアクセスポイント（１０６）と、
    前記第１の鍵に基づいて前記第１のメッセージへのアクセスを制御するために使用されるアクセス制御デバイス（２７２）と、前記アクセス制御デバイス（２７２）が、前記第１のメッセージを保護するために使用された前記第１の鍵が前記第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定するように構成された決定構成要素（２７４）を含む、
    を備える通信システム（１００）。
17. 前記決定構成要素（２７４）が、前記第１のメッセージを保護するために使用された前記第１の鍵が前記第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定するように構成され、前記決定構成要素（２７４）が、記憶された情報（１０７または１１４）から、前記第２のワイヤレス端末（１１８）が前記第１の鍵へのアクセスを有するかどうかを決定するように構成される、請求項１に記載のシステム（１００）。
18. 前記第１のメッセージを保護するために使用された前記第１の鍵が前記第２のワイヤレス端末（１１８）に関連付けられると決定されたとき、前記第２のワイヤレス端末（１１８）に第１のメッセージを通信するように構成された送信機（２５４）
    をさらに備える、請求項１に記載のシステム（１００）。
19. 前記アクセス制御デバイス（２７２）が、前記第１の鍵が前記第２のワイヤレス端末（１１８）に関連付けられないと決定したことに応答して、前記第２のワイヤレス端末（１１８）に前記第１のメッセージを配信することなく、前記第１のメッセージをドロップするように構成される、請求項４に記載のシステム（１００）。
20. ワイヤレスアクセスポイント（２００）のプロセッサ（２０６）によって実行されるとき、
    第１のワイヤレス端末（１１６）から暗号化形式の第１のメッセージを受信するステップ（５０９または６０６）と、前記第１のメッセージが第２のワイヤレス端末（１１８）に向けられ、前記第１のメッセージが第１の鍵を使用して保護される、
    前記第１のワイヤレスアクセスポイントで、前記第１のメッセージを回復するために、暗号化形式で受信された前記第１のメッセージを解読するステップ（５１３または６０８）と、
    前記第１の鍵に基づいて前記第１のメッセージへのアクセスを制御するために使用されるアクセス制御決定を行うステップ（（５２９または５５６）または６１０）と、前記第１のメッセージを保護するために使用された前記第１の鍵が前記第２のワイヤレス端末（１１８）に関連付けられるかどうかを決定すること（（５３０または５５７）または６１２）を含む、
    を実施するように前記ワイヤレスアクセスポイント（２００）を制御するマシン実行可能命令を含む非一時的コンピュータ可読媒体。

Images