JP3825773B2

JP3825773B2 - 認証判定ブリッジ

Info

Publication number: JP3825773B2
Application number: JP2003318371A
Authority: JP
Inventors: 幸司鈴木
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2003-09-10
Filing date: 2003-09-10
Publication date: 2006-09-27
Anticipated expiration: 2023-09-10
Also published as: JP2005086656A

Description

本発明は、外部端末から無線ＬＡＮへの不正アクセスを防止する認証判定ブリッジに関する。

数多くの企業においては、通信ケーブルを引き回さずにネットワークを構築できること、また組織の変更に伴う柔軟なレイアウトの変更に対応できることから、無線ＬＡＮを使用した通信システムが広く普及してきている。

ところで、このような無線ＬＡＮ通信システムは、各端末間で通信ケーブルを介さずに通信可能であるので、障害物がなければ、建物に面した道路上から建物内のアクセスポイント（以下、ＡＰと略称する）にアクセスし、企業内などの端末に接続することが可能となる。

その結果、現状では、企業内の情報を不正に入手する目的から、移動車に無線端末を搭載し、企業内の無線ＬＡＮのＡＰを求めて移動し、企業内無線ＬＡＮのＡＰに不正にアクセスするウォードライビングと呼ばれるクラッキングの手口が増えてきている。特に、企業内無線ＬＡＮ通信システムに十分なセキュリティが施されていないとか、或いは保護が甘い無線ＬＡＮのＡＰを探し出し、ネットワークに侵入を試みることが行われており、被害も増大の一途を辿っている。

そこで、ウォードライビング行為からネットワークを保護する観点から、暗号化ＷＥＰの導入やＭＡＣアドレスの制限などが考えられている。

前者の暗号化ＷＥＰ（Wired Equivalent Privacy）の技術は、IEEE802．11ｂ規格を用いた無線ＬＡＮ通信システムであって、このシステムは、ＡＰに接続許可を付与するＩＤリストを有し、外部端末がＩＤを入力すると、ＡＰではＩＤリストを照合し、一致するＩＤが存在すれば、正当な権限を有する者と判断し、基幹ＬＡＮに接続する形態をとっている。このことは、正当な権限を有する者の所有するＩＤが盗まれると、他人が不正に基幹ＬＡＮにアクセスすることが可能になる。よって、この暗号化ＷＥＰは、外部からの侵入に対する脆弱性が指摘されており、セキュリティの対策が十分に確保されていると言えない。その他、暗号化ＷＥＰは、暗号を解読しやすいこと、データが改ざんされても検出できないこと、さらに認証機能をもたないなどの問題がある。

一方、ＭＡＣアドレスの制限については、全ての端末に対し、４８ビットのうち、少なくとも２４ビットにそれぞれ異なるＭＡＣアドレスを割り当てることから、ネットワーク管理者によるアドレスの割り当て作業が発生し、また各機器に割り当てるアドレスのセキュリティについても必ずしも万全とは言えない。

そこで、現在では、IEEE802．11ｂ規格に代わって、IEEE802．1ｘ規格を用いた無線方式が推奨されている。このIEEE802．1ｘの無線方式は、ＥＡＰ（Extensible Authentication Protocol：ＰＰＰ拡張認証プロトコル）による認証技術が用いられ、無線ＬＡＮにアクセスする際には、ユーザ名とパスワードとによる認証が必要となる。このような技術を用いた無線ＬＡＮ通信システムとしては既に提案されている（特許文献１）。つまり、ＥＡＰとは、リモートアクセスによるユーザー認証の際に用いられるプロトコルで、ＰＰＰ（Point−to−Point Protocol）を拡張し、追加的な認証方法をサポートするものである。このプロトコルは、IEEE802．1ｘが採用し、同規格に基づいた認証プロトコルになります。
特開２００３−１０１５４５号公報

しかしながら、以上のようなIEEE802．1ｘを用いた無線LAN通信システムでは、全く新たな無線方式でもあり、新規に多数の設備機器を設置する必要があるといった導入上の問題だけでなく、認証方法が複雑であるなど，運用上の重さも問題となっている。すなわち、例えば証明書で認証を行う（Transport Layer Security）では、ユーザを認証するＲＡＤＩＵＳ（Remote Authentication Dial In User Service）サーバの他、ＣＡ（認証局）も設置して運用する必要があり、システム全体に設備が大掛かりとなる問題がある。また、各端末ごとに発行する証明書の管理が必要であり、また端末に搭載する標準ＯＳがＷｉｎｄｏｗｓＸＰに限定されてしまう問題がある。さらに、パスワードを用いて認証を行うＥＡＰには、ＥＡＰ−ＴＬＳやＥＡＰ−ＭＤ５、ＬＥＡＰ、ＥＡＰ−ＴＴＬＳなどの様々な種類の認証方式があるが、この方式においても特定の製品やソフトウエアに限定されてしまう難点がある。つまり、ＬＥＡＰは、CISCO独自の認証方式であり、ユーザ名とパスワードを使用してRADIUS認証を行う。なお、パスワードは、サーバからのチャレンジデータによりハッシュを行うものである。ＥＡＰ−ＴＴＬＳは、RADIUSサーバに導入した電子証明書であって、認証用のID、パスワードを暗号化して認証を行う方式である。従って、以上のようなIEEE802．1ｘ規格は、一般レベルでの導入が難しいと言える。

また、個人・企業を含む多くのユーザでは、IEEE802．1ｘ規格による設備機器がコスト的に高いことから、既にIEEE802．11ｂの機器が導入されている場合にはそのまま当該機器を使用するケースが多く、また無線ＬＡＮ本来の規格であるIEEE802．11ｂの無線ＬＡＮ環境を構築することが行われている。しかし、これら何れのケースも認証機能をもたないので、どうしても認証機能を備える必要がある場合には機器の入れ替えなどの問題が出てくる。

本発明は上記事情にかんがみてなされたもので、一般的な無線ＬＡＮの環境にて実現可能とし、また汎用性に優れたものとし、かつ無線ＬＡＮへの不正アクセスを未然に防止する認証判定ブリッジを提供することを目的とする。

上記課題を解決するために、本発明に係る認証判定ブリッジは、認証サーバが接続される基幹側ＬＡＮと無線ＬＡＮアクセスポイントをもつ端末アクセス側ＬＡＮとの間に接続される認証判定ブリッジであって、予め定める所定の認証設定時間に基づいて認証要求機能を有する端末から定期的に前記無線ＬＡＮアクセスポイントを通して受信されるパケットの種別を判定し、パケット種別が認証パケットであると判定された場合には当該認証パケットを前記基幹側ＬＡＮを通じて前記認証サーバに転送するパケット種別判定手段と、この判定手段で認証パケットと判定された場合、少なくとも前記端末と前記認証サーバとの間で取決められた特定のフォーマットに従った前記認証パケットのみから前記端末のＭＡＣアドレス及び認証設定時間を取り出してエントリ情報を作成し、また前記認証サーバから送られてくる認証結果を含む応答パケットから認証成功か失敗かを判定する認証判定手段と、この認証判定手段で作成されたエントリ情報を管理する端末情報管理手段と、前記認証判定手段で認証成功と判定され、かつ、前記端末情報管理手段にエントリ情報が存在するときと認証成功と判断し、前記端末に対してパケットデータの通信を許可する第１のブリッジ処理手段と、前記認証判定手段で前記認証失敗と判定されたときに前記エントリ情報を削除し、また、前記端末と前記認証サーバとの間で定期的に行われるパケットの認証時間を監視し、当該認証時間が前記認証設定時間を超過した時、既に管理されているエントリ情報を消去することにより、前記端末によるパケットデータの通信を拒否する第２のブリッジ処理手段とを備えたことを特徴とする。

本発明は、本来の無線ＬＡＮの環境であるIEEE802．11ｂの規格に適合する構成を採用しつつ、安価な設備を用い、かつ汎用性に優れたものを実現でき、無線ＬＡＮへの不正アクセスに対するセキュリティを十分に確保可能な認証判定ブリッジを提供できる。

以下、本発明の実施の形態について図面を参照して説明する。

図１は無線ＬＡＮ通信システムの基本構成を示す図である。

この無線ＬＡＮ通信システムは、基幹側ＬＡＮセグメントを形成する第１のネットワークであるイーサネット＃１と端末アクセス側ＬＡＮセグメントを形成する第２のネットワークであるイーサネット＃２とが設けられている。

この端末アクセス側ＬＡＮセグメントを形成するイーサネット＃２には無線ＬＡＮアクセスポイント３が設置されている。この無線ＬＡＮアクセスポイント３は、有線ＬＡＮであるイーサネット＃２などのコネクタ及び無線ＬＡＮ用アンテナ等を有し、例えば無線ＬＡＮ側となる端末から有線ＬＡＮに接続する際の中継機能を果たす役割をもっている。また、イーサネット＃２側には、予め所定の認証設定時間に基づいて定期的に無線ＬＡＮアクセスポイント３を通して認証を要求する認証要求機能を有するクライアント端末としての無線ＬＡＮ認証端末４が存在するものとする。

なお、この無線ＬＡＮ認証端末４は、有線ＬＡＮ・無線ＬＡＮの何れの端末であってもよく、有線ＬＡＮ端末の場合にはイーサネット＃２への接続形態が異なるだけであって、無線ＬＡＮ端末と同様に扱うことができる。以下、この発明では、説明の便宜上、無線ＬＡＮ端末を用いた例について説明する。

一方、基幹側ＬＡＮセグメントを形成するイーサネット＃１側には、無線ＬＡＮ認証端末４から無線ＬＡＮアクセスポイント３経由で受け取る認証要求をもつ認証パケットの認証を実行し、認証結果である成功又は失敗の情報を返送する認証サーバ５が接続されている。

さらに、無線ＬＡＮ認証端末４がアクセスする無線ＬＡＮアクセスポイント３をもつ基幹側ＬＡＮ以外のＬＡＮである端末アクセス側ＬＡＮであるイーサネット＃２と認証サーバ５が接続される基幹側ＬＡＮとなるイーサネット＃１とに跨って認証判定ブリッジ６が接続されている。

この認証判定ブリッジ６は、無線ＬＡＮ認証端末４と認証サーバ５との間に存在し、受信パケットの認証判定結果に従ってアクセスコントロールを実行する機能をもっている。この認証判定ブリッジ６には必要に応じて認証判定処理用プログラムを記録した記録媒体７が装填可能に設けられている。

前記認証判定ブリッジ６は、機能的には、有線ＬＡＮとなるイーサネット＃２側から受信されるパケットの種別が認証パケットかＤＨＣＰ（Dynamic Host Configuration Protocol）パケットかを判定し、認証パケットであれば、イーサネット＃１を経由して認証サーバ５に転送するパケット種別判定手段１１と、パケット種別が認証パケットと判定された場合、当該認証パケットのヘッダ部及びペイロード部から認証要求のあった端末のＭＡＣアドレスを含む必要な端末情報を取り出してエントリを作成し、また認証サーバ５から認証結果を含む応答パケットを受けて認証成功か失敗かを判定する認証判定手段１２と、この認証判定手段１２で作成された認証要求のあった端末のＭＡＣアドレスを含む必要なエントリ情報を管理する端末情報管理手段１３と、前記認証判定手段１２による認証結果が成功で、かつ、エントリが存在する場合、認証要求のあった端末によるパケットデータの転送を許可し、また認証結果が失敗した場合には端末情報管理手段１３で管理されているエントリ情報を削除するブリッジ処理手段１４とが設けられている。

なお、認証判定ブリッジ６がＣＰＵで構成されている場合、ＣＰＵが記録媒体７から認証判定処理用プログラムを読み取り、前述するパケット種別判定手段１１、認証判定手段１２、端末情報管理手段１３及びブリッジ処理手段１４に相当する一連の処理について、当該プログラムに記述される処理手順に従って容易に実現することができる。

図２は本発明に係る認証判定ブリッジ６の一実施の形態を示すハード構成図である。

この認証判定ブリッジ６は、有線ＬＡＮであるイーサネット＃１，＃２にそれぞれ接続され、パケットを送受信するための有線ＬＡＮドライバ２１，２２と、送受信されるパケットを転送するブリッジ処理部２３と、パケット種別判定処理部２４と、この判定部２４で判定された認証パケットから認証情報を取り出して認証状態を判定する認証結果判定処理部２５と、ＭＡＣアドレス管理部２６と、この認証判定ブリッジ６自身においてＩＰ通信を行うための機能を有するＩＰ処理部２７とによって構成されている。

ブリッジ処理部２３は、具体的には、有線ＬＡＮドライバ２２と有線ＬＡＮドライバ２１とに対する通信パケットの受け渡し転送処理を制御し、またＭＡＣアドレス管理部２６をアクセスし、認証済み端末とＭＡＣアドレスとの関連付けを行い、通信制御を行うものである。

パケット種別判定処理部２４は、有線ＬＡＮドライバ２２と有線ＬＡＮドライバ２１で受信した受信パケットのプロトコルを解析し、認証パケットであるか、ＤＨＣＰパケットであるかを判定する機能をもっている。

認証結果判定処理部２５は、認証要求端末の認証状況を管理する管理テーブルが設けられ、前期パケット種別判定部２４で判定された認証パケットを解析し、認証要求を発行した端末について前記管理テーブルに仮登録した後、認証応答において成功である場合には当該管理テーブルに正式に認証を登録し、失敗の場合には仮登録認証を解除する機能をもっている。

前記ＭＡＣアドレス管理部２６は、認証済み端末のＭＡＣアドレス（送信元）を管理するテーブルが設けられ、認証済みとされた端末に対するデータ通信の許可／不許可を管理する機能をもっている。

次に、以上のような無線ＬＡＮ通信システムの動作ないし本発明に係る無線ＬＡＮ通信方法の一実施の形態について図３を参照して説明する。

先ず、無線ＬＡＮ認証端末４は、無線ＬＡＮアクセスポイント３及びイーサネット＃２を経由し、パケットを認証判定ブリッジ６に送信する（Ｓ１）。

この認証判定ブリッジ６は、無線ＬＡＮ認証端末４から端末アクセス側ＬＡＮであるイーサネット＃２を通ってくるパケットを有線ＬＡＮドライバ２２で受信する（Ｓ２：パケット受信ステップ）。認証判定ブリッジ６は、パケットを受信すると、当該パケットの種別を判定し（Ｓ３）、認証パケットと判定された場合には認証サーバ５に送信する（Ｓ４）。

なお、無線ＬＡＮ認証端末４、認証判定ブリッジ６及び認証サーバ５の間では、予め相互の間で認証パケットのフォーマットが取り決められている。本発明にて扱う認証パケットとしては、例えば図４に示すような一般的なフォーマットが用いられる。

この一般的なパケットフォーマットは、ＭＡＣアドレス、ＩＰアドレス、ＵＤＰポート番号などを記載するヘッダ部３１とペイロード部３２とで構成されている。この認証パケットは、ヘッダ部３１に認証を示すポート番号などを書き込むことにより、当該パケットが認証パケットであることを示している。ペイロード部３２には、少なくともユーザ名、パスワード等の認証情報が格納されている。但し、ペイロード部３２内の認証情報は、第３者から不正に見られないようにするために予め暗号化されている。この暗号化処理は、無線ＬＡＮ認証端末４と認証サーバ５との間の通信により行われるものである。

また、認証サーバ５から無線ＬＡＮ認証端末４への応答パケットについても、予め取り決められているパケットフォーマットが用いられる。例えばペイロード部３２には認証結果を示すコードが格納される。これらの認証については、予め無線ＬＡＮ認証端末４に認証に有効な最大時間，つまり認証設定時間であるLifeTime値（秒）が設定され、定期的に認証要求を行うようになっている。例えば無線ＬＡＮ認証端末４にN秒なるLifeTime値が設定されている場合、N/２秒周期などで定期的に認証が行われる。無線ＬＡＮ認証端末４から転送されるパケットのペイロード部３２には認証設定時間であるLifeTime値（秒）が格納されているが、途中経路である認証判定ブリッジ６にて当該LifeTime値を参照する必要があるので、暗号化は行われない。

ところで、認証判定ブリッジ６は、有線ＬＡＮドライバ２２を通してパケットを受信すると、ブリッジ処理部２３を介してパケット種別判定部２４に渡す。このパケット種別判定部２４は、受信したパケットの種別を判定するものであって、具体的には、ＲＦＣで規定されているプロトコル番号、ＵＤＰポート番号を調べ、認証パケットであるか、ＤＨＣＰパケットであるか、つまり認証に必要なパケットであるかを判定する（Ｓ３）。因みに、パケット種別がＤＨＣＰパケットである場合、ＩＰアドレスが未取得状態であるので、認証のための通信を行うことができないと判断し、無条件にパケット通過を許可する。

しかして、パケット種別の判定結果から認証パケットであると判定した場合、当該認証パケットをイーサネット＃１を介して認証サーバ５に送信する（Ｓ４）。

また、パケット種別判定部２４にて認証パケットと判定された場合、認証結果判定処理部２５が認証パケット内に書き込まれている情報の解析を実施する。つまり、認証結果判定処理部２５は、認証パケットのヘッダ部３１に格納されているＭＡＣアドレスとペイロード部３２に格納されているLifeTime値とを取り出す。そして、このLifeTimeの情報と現在認証を行っている無線ＬＡＮ認証端末４のＭＡＣアドレスとから認証端末情報のエントリを作成し（Ｓ５）、認証要求元端末の認証状況をＭＡＣアドレス管理部２６の端末情報管理テーブルに仮登録する。

一方、認証サーバ５では、前述するようにブリッジ処理部２３を通して認証パケットを受けると、所定の認証処理を実施し（Ｓ６）、認証成功かまたは認証失敗かの認証結果を書き込んだ応答パケットを認証判定ブリッジ６に返送する（Ｓ７）。ここで、認証判定ブリッジ６の認証結果判定処理部２５は、認証サーバ５から返送されてくる応答パケットの情報を解析し、認証結果が成功か失敗かを調べる（Ｓ８）。もし、ここで、認証結果が成功であれば、ブリッジ処理部２３は、認証結果が成功であり、かつＭＡＣアドレス管理部２６の端末情報管理テーブルにエントリが存在する場合、認証成功と判断し、端末情報管理テーブルに認証要求のあった認証端末４のパケットデータの転送を許可するための本登録を行う。つまり、認証端末４との間のパケットデータの通信を可能にする。

認証結果が失敗である場合、端末情報管理テーブルに仮登録されたエントリを削除する（Ｓ９）。さらに、ブリッジ処理部２３は、端末情報管理テーブルにエントリが存在しない場合、認証結果に拘らず、何らかの処理をしないこととし、認証端末４からの転送を拒否する。

さらに、ブリッジ処理部２３は、LifeTimeの認証設定時間を超過しても認証が完了しない場合、エントリを消去し、端末４からの転送を拒否する。

従って、以上のような実施の形態によれば、認証サーバ５が接続される基幹側ＬＡＮと無線ＬＡＮアクセスポイント３をもつ端末アクセス側ＬＡＮとの間に認証判定ブリッジ６を接続し、この認証判定ブリッジ６は、認証要求機能を有する端末４から無線ＬＡＮアクセスポイント３を通して受信されるパケットが認証パケットである場合、認証サーバ５に転送するとともに、この認証サーバから送られてくる応答パケットから認証の成功・失敗を判定し、成功とする判定結果に基づいて端末によるパケットデータの通信を許可するので、認証サーバ５が接続される基幹側ＬＡＮと無線ＬＡＮアクセスポイント３をもつ端末アクセス側ＬＡＮとの間にパケット種別判定や認証成功、失敗等の判定を実施する簡単な機能をもたせるだけで、暗号化だけでなく、認証処理も付加でき、設備コストを抑制しながらセキュリティ対策に万全を期すことができ、無線ＬＡＮへの不正アクセスを未然に防止できる。

また、認証要求機能をもつ端末４が所定の認証設定時間毎に認証パケットを送信する場合、認証パケットに設定されている認証設定時間を含めてエントリ情報を作成し、端末と前記認証サーバ５との間で定期的に行われるパケットの認証時間を監視し、当該認証時間が認証設定時間を超過した時、既に管理されているエントリ情報を消去し、端末によるパケットデータの通信を拒否するので、IEEE802．11ｂの無線ＬＡＮ環境を用い、コスト的に安価に認証機能を付加し、セキュリティを向上させることができる。

また、無線ＬＡＮ通信システムとしては、端末アクセス側ＬＡＮに接続され、認証要求機能をもつ端末から所定の認証設定時間毎に送信してくるパケットを中継する無線ＬＡＮアクセスポイント３と、基幹側ＬＡＮに接続され、パケットの認証処理を行う認証サーバ５と、無線ＬＡＮアクセスポイントを通して受信されるパケットの種別を判定し、パケットの種別が認証パケットの場合には前記認証サーバに転送するとともに、この認証サーバからの応答パケットから認証の成功・失敗を判定し、成功とする判定結果に基づいて前記端末にパケットデータの転送を許可する認証判定ブリッジ６とで構成することにより、構成簡単にしてシステム全体を安価に実現でき、汎用性にも富んだものとして実現することができる。

その他、本願発明は、上記実施の形態に限定されるものでなく、その要旨を逸脱しない範囲で種々変形して実施できる。例えば上記実施の形態では、端末アクセス側ＬＡＮに無線ＬＡＮアクセスポイント３と認証判定ブリッジ６とをそれぞれ独立的に設けたが、例えば認証判定ブリッジ６の中に無線ＬＡＮアクセスポイント３を組み込むとか、或いは無線ＬＡＮアクセスポイント３の中に認証判定ブリッジ６を組み込んで一体構成とすることもできる。

また、各実施の形態は可能な限り組み合わせて実施することが可能であり、その場合には組み合わせによる効果が得られる。さらに、上記各実施の形態には種々の上位，下位段階の発明が含まれており、開示された複数の構成要素の適宜な組み合わせにより種々の発明が抽出され得るものである。例えば問題点を解決するための手段に記載される全構成要件から幾つかの構成要件が省略されうることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。

本発明に係る無線ＬＡＮ通信システムの基本的な構成を示す図。図１に示す認証判定ブリッジの一実施の形態を示すハード構成図。本発明に係る無線ＬＡＮ通信方法の一実施の形態を説明するシーケンス図。認証端末から送信されるパケットに格納されている内部情報を説明する図。

符号の説明

＃１，＃２…イーサネット、３…無線ＬＡＮアクセスポイント、４…無線ＬＡＮ認証端末、５…認証サーバ、６…認証判定ブリッジ、７…記録媒体、１１…パケット種別判定手段、１２…認証判定手段、１３…端末情報管理手段、１４…ブリッジ処理手段、２３…ブリッジ処理部、２４…パケット種別判定部、２５…認証結果判定処理部、２６…ＭＡＣアドレス管理部。

Claims

認証サーバが接続される基幹側ＬＡＮと無線ＬＡＮアクセスポイントをもつ端末アクセス側ＬＡＮとの間に接続される認証判定ブリッジにおいて、
予め定める所定の認証設定時間に基づいて認証要求機能を有する端末から定期的に前記無線ＬＡＮアクセスポイントを通して受信されるパケットの種別を判定し、パケット種別が認証パケットであると判定された場合に当該認証パケットを前記基幹側ＬＡＮを通じて前記認証サーバに転送するパケット種別判定手段と、
この判定手段で認証パケットと判定された場合、少なくとも前記端末と前記認証サーバとの間で取決められた特定のフォーマットに従った前記認証パケットのみから前記端末のＭＡＣアドレス及び認証設定時間を取り出してエントリ情報を作成し、また前記認証サーバから送られてくる認証結果を含む応答パケットから認証成功か失敗かを判定する認証判定手段と、
この認証判定手段で作成されたエントリ情報を管理する端末情報管理手段と、
前記認証判定手段で認証成功と判定され、かつ、前記端末情報管理手段にエントリ情報が存在するときと認証成功と判断し、前記端末に対してパケットデータの通信を許可する第１のブリッジ処理手段と、
前記認証判定手段で前記認証失敗と判定されたときに前記エントリ情報を削除し、また、前記端末と前記認証サーバとの間で定期的に行われるパケットの認証時間を監視し、当該認証時間が前記認証設定時間を超過した時、既に管理されているエントリ情報を消去することにより、前記端末によるパケットデータの通信を拒否する第２のブリッジ処理手段と
を備えたことを特徴とする認証判定ブリッジ。