JP3955025B2 - 移動無線端末装置、仮想私設網中継装置及び接続認証サーバ - Google Patents

移動無線端末装置、仮想私設網中継装置及び接続認証サーバ Download PDF

Info

Publication number
JP3955025B2
JP3955025B2 JP2004008507A JP2004008507A JP3955025B2 JP 3955025 B2 JP3955025 B2 JP 3955025B2 JP 2004008507 A JP2004008507 A JP 2004008507A JP 2004008507 A JP2004008507 A JP 2004008507A JP 3955025 B2 JP3955025 B2 JP 3955025B2
Authority
JP
Japan
Prior art keywords
terminal device
wireless lan
mobile
private network
public
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2004008507A
Other languages
English (en)
Other versions
JP2005204086A (ja
Inventor
智大 岩間
友晴 金子
義一 石井
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Corp
Panasonic Holdings Corp
Original Assignee
Panasonic Corp
Matsushita Electric Industrial Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Corp, Matsushita Electric Industrial Co Ltd filed Critical Panasonic Corp
Priority to JP2004008507A priority Critical patent/JP3955025B2/ja
Priority to PCT/JP2005/000193 priority patent/WO2005069567A1/ja
Priority to US10/586,343 priority patent/US7941843B2/en
Priority to EP20050703432 priority patent/EP1694013A1/en
Priority to CN2005800020038A priority patent/CN1910877B/zh
Publication of JP2005204086A publication Critical patent/JP2005204086A/ja
Application granted granted Critical
Publication of JP3955025B2 publication Critical patent/JP3955025B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4641—Virtual LANs, VLANs, e.g. virtual private networks [VPN]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Description

本発明は、公衆無線ＬＡＮシステムなどの公衆網から私設網へアクセスするようなモバイルＶＰＮ接続環境において、セキュリティの高い通信路を確立するための移動無線端末装置、仮想私設網中継装置及び接続認証サーバに関する。
公衆網から私設網への接続において、セキュアな通信路を確立するためにＩＰsec技術がＩＥＴＦにより標準化されている。ＩＰv６では、このＩＰsec技術をサポートすることが必須とされている。移動無線端末装置が公衆網と私設網を自由に移動可能なモバイル環境にＩＰsecを適用し、移動無線端末装置が公衆網から私設網へ接続することを想定する。この場合、移動無線端末装置は移動先の公衆網で使用可能なＩＰアドレスが移動の度にＤＨＣＰ（Dynamic Host Configuration Protocol）などにより割り当てられる。即ち、移動無線端末装置の移動先によりＩＰアドレスが変化することになる。
このため、私設網に設置されたＩＰsecトンネルの確立先であるセキュリティゲートウェイでは、各移動先でのＩＰアドレスが既知である必要があるため、移動無線端末装置のＩＰアドレスを用いたＩＰsec鍵交換を実施することが困難となるから、メインモードによるＩＰsecトンネルの確立が事実上不可能となる。従って、アグレッシブモードによるＩＰsecトンネルの確立が必要となるため、ＩＰsecユーザＩＤ（ＩＳＡＫＡＭＰＩＤペイロード）がネットワークを暗号化されない状態で流れることになるから、セキュリティの低下を招く。
また、ＩＰsecでは、ＩＰsecトンネルを確立する双方において相互認証を行うための事前共有秘密鍵方式をサポートすることが必須となっている。しかし、一つの事前共有秘密鍵を使用し続けることによるセキュリティの低下が懸念される。そこで、事前共有秘密鍵を定期に変更しセキュリティを保つことが考えられるが、ユーザ及び管理者の双方の負担が大きくなる。
これまで、ＩＰsecの認証に用いる事前共有秘密鍵を動的に配布するためのプロトコルとして、ＩＥＴＦ（Internet Engineering Task Force）においてＰＩＣ（Pre-IKE Credential Provisioning Protocol）が提案されている（非特許文献１参照）。
ＰＩＣは、ＩＰsecでも利用されているＩＳＡＫＭＰ（Internet Security Association and Key Management Protocol）を用いて移動無線端末装置と認証サーバとの間に安全な通信路を確立し、ＰＩＣにおける認証に必要とされる認証情報を交換して認証を行う。この認証が成功すると、認証サーバはクレデンシャルと呼ばれるその後のＩＰsecの認証で利用する認証情報（例えば、事前共有秘密鍵及び公開鍵証明書）を移動無線端末装置に発行する。
"PIC, A Pre-IKE Credential Provisioning Protocol"、draft-ietf-ipsra-pic-06.txt、http://www.ietf.org/internet-drafts/draft-ietf-ipsra-pic-06.txt
移動無線端末装置が公衆無線ＬＡＮシステムなどの公衆網おいて、社内ネットワークなどの私設網に接続する場合に、移動無線端末装置はＩＰsecを用いて私設網とセキュアな通信路、即ちＩＰsecトンネルを確立することが考えられる。
しかし、この場合に、移動無線端末装置が公衆網と私設網を自由に移動可能なモバイル環境にＩＰsecを適用した場合には、移動無線端末装置のＩＰアドレスが移動の度に変化するため、ＩＰsecメインモードによるＩＰsec鍵交換が困難である。このため、アグレッシブモードのＩＰsec鍵交換によるトンネルの確立が余儀なくされ、ＩＰsecユーザＩＤがネットワークを暗号化されない状態で流れることとなりセキュリティの低下を招くことになるという問題がある。
また、ＩＰsecメインモードの鍵交換によるトンネルを確立するためには、移動無線端末装置の移動先でのＩＰアドレスが既知である必要がある。しかし、公衆無線ＬＡＮシステムなどの公衆網においてはＤＨＣＰによりＩＰアドレスが割り当てられることが多いため、移動無線端末装置のＩＰアドレスを予め知ることは難しい。仮に移動無線端末装置の公衆無線ＬＡＮシステムにおけるＩＰアドレスが既知である場合でも、公衆無線ＬＡＮシステムにおける各ＩＰアドレスに対してセキュリティポリシーを記述しておく必要があるため、セキュリティゲートウェイの性能が劣化し、また、管理者の管理の負担となるという問題がある。
また、ＩＰsecトンネルを確立する際の相互認証方式として、事前共有秘密鍵方式を適用した場合に、一つの事前共有鍵を使用し続けることは、時間と共にセキュリティが低下していくという問題がある。さらに、定期的に事前共有鍵を変更することが考えられるが、この場合には利用者と管理者の双方の負担となるという問題がある。
前記問題を解決するために、ＩＰsecの認証に用いる事前共有秘密鍵を動的に配布するプロトコルとしてＰＩＣが提案されている。しかし、ＰＩＣを利用するためには、既存の装置にＰＩＣプロトコル機能を新たに追加する必要があるという問題がある。さらに、ＩＰsecトンネル確立手順にＰＩＣを適用した場合に、ＰＩＣによる移動無線端末装置と接続認証サーバとの間でＩＳＡＫＭＰ通信路の確立と、移動無線端末装置とセキュリティゲートウェイとの間でのＩＳＡＫＭＰ通信路の確立という移動無線端末装置にとって２度のＩＳＡＫＭＰによる通信路を確立することになるため、手順が冗長であるから、ＩＰsecトンネルの確立に要する時間が長くなるという問題がある。
本発明は、かかる点に鑑みてなされたものであり、セキュリティの低下を防ぐことができ、ユーザ及び管理者の特別な作業を必要とせず、かつ、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる移動無線端末装置、仮想私設網中継装置及び接続認証サーバを提供することを目的とする。
本発明の移動無線端末装置は、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける移動無線端末装置であって、前記接続認証サーバに対して前記公衆無線ＬＡＮシステムへの接続認証処理を行う認証処理部と、前記公衆無線ＬＡＮシステムへの接続が許可された時に前記接続認証サーバから前記仮想私設網中継装置のＩＰアドレスを取得するアドレス取得部と、前記移動無線端末装置のＩＰアドレスを前記接続認証サーバに通知するアドレス通知部と、前記仮想私設網中継装置のＩＰアドレスを用いて前記仮想私設網中継装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、を具備する構成を採る。
この構成によれば、移動無線端末装置は仮想私設網中継装置のＩＰアドレスを取得することができ、かつ、仮想私設網中継装置は移動無線端末装置のＩＰアドレスを取得することができるため、移動無線端末装置と仮想私設網中継装置とはそれぞれのＩＰアドレスを用いてＩＰsecメインモードによる鍵交換を開始することができるから、セキュリティの低下を防ぐことができ、かつ、ユーザ及び管理者の特別な作業を必要としない。また、この構成によれば、移動無線端末装置と接続認証サーバにおいて接続認証手順により確立されたセキュアな通信路を用いてＩＰアドレスを送信することにより、ＩＰアドレスを配布するためのセキュアな通信路を改めて確立する必要がないため、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の移動無線端末装置は、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける移動無線端末装置であって、前記接続認証サーバに対して前記公衆無線ＬＡＮシステムへの接続認証処理を行う認証処理部と、前記公衆無線ＬＡＮシステムへの接続が許可された時に前記接続認証サーバから前記仮想私設網中継装置との間で行うＩＰsec鍵交換に用いるＩＰsec事前共有秘密鍵を取得するＩＰsec共有鍵取得部と、前記ＩＰsec事前共有秘密鍵を用いて前記仮想私設網中継装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、を具備する構成を採る。
この構成によれば、移動無線端末装置と仮想私設網中継装置が同一のＩＰsec事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＩＰsec事前共有秘密鍵を更新することができるため、セキュリティの低下を防ぐことができ、かつ、ユーザ及び管理者の特別な作業を必要としない。また、この構成によれば、移動無線端末装置と接続認証サーバにおいて接続認証手順により確立されたセキュアな通信路を用いてＩＰsec事前共有秘密鍵を送信することにより、ＩＰsec事前共有秘密鍵を配布するためのセキュアな通信路を改めて確立する必要がないため、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の移動無線端末装置は、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける移動無線端末装置であって、前記接続認証サーバに対して前記公衆無線ＬＡＮシステムへの接続認証処理を行う認証処理部と、前記公衆無線ＬＡＮシステムへの接続が許可された時に前記接続認証サーバから前記ホームエージェントとの間で行うモバイルＩＰ登録に用いる事前共有秘密鍵を取得するＭＩＰ共有鍵取得部と、前記事前共有秘密鍵を用いて前記ホームエージェントへモバイルＩＰ登録を行うＭＩＰ登録部と、を具備する構成を採る。
この構成によれば、移動無線端末装置とホームエージェントが同一のＭＩＰ事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＭＩＰ事前共有秘密鍵を更新することができるため、セキュリティの低下を防ぐことが可能であり、かつ、ユーザ及び管理者の特別な作業を必要としない。また、移動無線端末装置と接続認証サーバにおいて接続認証手順により確立されたセキュアな通信路を用いてＭＩＰ事前共有秘密鍵を送信することにより、ＭＩＰ事前共有秘密鍵を配布するためのセキュアな通信路を改めて確立する必要がないため、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の移動無線端末装置は、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける移動無線端末装置であって、前記接続認証サーバに対して前記公衆無線ＬＡＮシステムへの接続認証処理を行う認証処理部と、前記公衆無線ＬＡＮシステムへの接続が許可された時に前記接続認証サーバから前記仮想私設網中継装置のＩＰアドレスを取得するアドレス取得部と、前記移動無線端末装置のＩＰアドレスを前記接続認証サーバに通知するアドレス通知部と、前記接続認証サーバから前記仮想私設網中継装置との間で行うＩＰsec鍵交換に用いるＩＰsec事前共有秘密鍵を取得するＩＰsec共有鍵取得部と、前記接続認証サーバから前記ホームエージェントとの間で行うモバイルＩＰ登録に用いるＭＩＰ事前共有秘密鍵を取得するＭＩＰ共有鍵取得部と、前記仮想私設網中継装置のＩＰアドレスと前記ＩＰsec事前共有秘密鍵を用いて前記仮想私設網中継装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、前記ＭＩＰ事前共有秘密鍵を用いて前記ホームエージェントへモバイルＩＰ登録を行うＭＩＰ登録部と、を具備する構成を採る。
この構成によれば、移動無線端末装置は仮想私設網中継装置のＩＰアドレスを取得することができ、かつ、仮想私設網中継装置は移動無線端末装置のＩＰアドレスを取得することができるため、それぞれのＩＰアドレスを用いてＩＰsecメインモードによる鍵交換を開始することができ、かつ、移動無線端末装置と仮想私設網中継装置とは同一のＩＰsec事前共有秘密鍵を取得することが可能であるため移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＩＰsec事前共有秘密鍵を更新することができる。さらに、この構成によれば、移動無線端末装置とホームエージェントとは同一のＭＩＰ事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＭＩＰ事前共有秘密鍵を更新することができる。これにより、セキュリティの低下を防ぐことが可能であり、かつ、ユーザ及び管理者の特別な作業を必要としない。
さらに、この構成によれば、移動無線端末装置と接続認証サーバにおいて接続認証手順により確立されたセキュアな通信路を用いてＩＰアドレスとＩＰsec事前共有秘密鍵とＭＩＰ事前共有秘密鍵を送信することにより、これらを配布するためのセキュアな通信路を改めて確立する必要がないため、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の仮想私設網中継装置は、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける仮想私設網中継装置であって、前記接続認証サーバから前記移動無線端末装置のＩＰアドレスを受信するアドレス取得部と、前記移動無線端末装置のＩＰアドレスを用いて前記移動無線端末装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、を具備する構成を採る。
この構成によれば、仮想私設網中継装置は移動無線端末装置のＩＰアドレスを取得することができるため、そのＩＰアドレスを用いてＩＰsecメインモードによる鍵交換を開始することができるから、セキュリティの低下を防ぐことが可能であり、ユーザ及び管理者の特別な作業を必要とせず、かつ、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の仮想私設網中継装置は、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける仮想私設網中継装置であって、前記接続認証サーバから前記移動無線端末装置との間で行うＩＰsec鍵交換に用いる事前共有秘密鍵を受信するＩＰsec共有鍵取得部と、前記事前共有秘密鍵を用いて前記移動無線端末装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、を具備する構成を採る。
この構成によれば、移動無線端末装置と仮想私設網中継装置とは同一のＩＰsec事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＩＰsec事前共有秘密鍵を更新することができるため、セキュリティの低下を防ぐことが可能であり、ユーザ及び管理者の特別な作業を必要とせず、かつ、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の仮想私設網中継装置は、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける仮想私設網中継装置であって、前記接続認証サーバから前記移動無線端末装置のＩＰアドレスを受信するアドレス取得部と、前記接続認証サーバから前記移動無線端末装置との間で行うＩＰsec鍵交換に用いる事前共有秘密鍵を受信するＩＰsec共有鍵取得部と、前記移動無線端末装置のＩＰアドレスと前記事前共有秘密鍵を用いて前記移動無線端末装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、を具備する構成を採る。
この構成によれば、仮想私設網中継装置は移動無線端末装置のＩＰアドレスを取得することができるため、そのＩＰアドレスを用いてＩＰsecメインモードによる鍵交換を開始することができる。また、この構成によれば、移動無線端末装置と仮想私設網中継装置とは同一のＩＰsec事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＩＰsec事前共有秘密鍵を更新することができる。これにより、セキュリティの低下を防ぐことが可能であり、ユーザ及び管理者の特別な作業を必要とせず、かつ、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の接続認証サーバは、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける接続認証サーバであって、前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続認証を行う認証処理部と、前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を許可する時に前記移動無線端末装置のＩＰアドレスを前記移動無線端末装置から受信するアドレス取得部と、前記仮想私設網中継装置のＩＰアドレスを前記移動無線端末装置に通知し、かつ、前記移動無線端末装置のＩＰアドレスを前記仮想私設網中継装置に通知するアドレス通知部と、を具備する構成を採る。
この構成によれば、移動無線端末装置は仮想私設網中継装置のＩＰアドレスを取得することができ、かつ、仮想私設網中継装置は移動無線端末装置のＩＰアドレスを取得することができるため、移動無線端末装置と仮想私設網中継装置とはそれぞれのＩＰアドレスを用いてＩＰsecメインモードによる鍵交換を開始することができるから、セキュリティの低下を防ぐことが可能であり、かつ、ユーザ及び管理者の特別な作業を必要としない。また、この構成によれば、移動無線端末装置と接続認証サーバにおいて接続認証手順により確立されたセキュアな通信路を用いてＩＰアドレスを送信することにより、ＩＰアドレスを配布するためのセキュアな通信路を改めて確立する必要がないため、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の接続認証サーバは、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける接続認証サーバであって、前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続認証を行う認証処理部と、前記移動無線端末装置の公衆無線ＬＡＮシステムへの接続を許可する時に前記移動無線端末装置と前記仮想私設網中継装置との間で行うＩＰsec鍵交換に用いる事前共有秘密鍵を前記移動無線端末装置と前記仮想私設網中継装置にそれぞれ配布するＩＰsec共有鍵配布部と、を具備する構成を採る。
この構成によれば、移動無線端末装置と仮想私設網中継装置とは同一のＩＰsec事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＩＰsec事前共有秘密鍵を更新することができるため、セキュリティの低下を防ぐことが可能であり、かつ、ユーザ及び管理者の特別な作業を必要としない。また、この構成によれば、移動無線端末装置と接続認証サーバにおいて接続認証手順により確立されたセキュアな通信路を用いてＩＰsec事前共有秘密鍵を送信することにより、ＩＰsec事前共有秘密鍵を配布するためのセキュアな通信路を改めて確立する必要がないため、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の接続認証サーバは、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける接続認証サーバであって、前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続認証を行う認証処理部と、前記移動無線端末装置の公衆無線ＬＡＮシステムへの接続を許可する時に前記移動無線端末装置と前記ホームエージェントとの間で行うモバイルＩＰ登録に用いる事前共有秘密鍵を前記移動無線端末装置と前記ホームエージェントにそれぞれ配布するＭＩＰ共有鍵配布部と、を具備する構成を採る。
この構成によれば、移動無線端末装置とホームエージェントとは同一のＭＩＰ事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＭＩＰ事前共有秘密鍵を更新することができるため、セキュリティの低下を防ぐことが可能であり、かつ、ユーザ及び管理者の特別な作業を必要としない。また、この構成によれば、移動無線端末装置と接続認証サーバにおいて接続認証手順により確立されたセキュアな通信路を用いてＭＩＰ事前共有秘密鍵を送信することにより、ＭＩＰ事前共有秘密鍵を配布するためのセキュアな通信路を改めて確立する必要がないため、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の接続認証サーバは、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける接続認証サーバであって、前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続認証を行う認証処理部と、前記移動無線端末装置の公衆無線ＬＡＮシステムへの接続を許可する時に前記移動無線端末装置のＩＰアドレスを前記移動無線端末装置から受信するアドレス取得部と、前記仮想私設網中継装置のＩＰアドレスを前記移動無線端末装置に通知し、かつ、前記移動無線端末装置のＩＰアドレスを前記仮想私設網中継装置に通知するアドレス通知部と、前記移動無線端末装置と前記仮想私設網中継装置との間で行うＩＰsec鍵交換に用いるＩＰsec事前共有秘密鍵を前記移動無線端末装置と前記仮想私設網中継装置にそれぞれ配布するＩＰsec共有鍵配布部と、前記移動無線端末装置と前記ホームエージェントとの間で行うモバイルＩＰ登録に用いるＭＩＰ事前共有秘密鍵を前記移動無線端末装置と前記ホームエージェントにそれぞれ配布するＭＩＰ共有鍵配布部と、を具備する構成を採る。
この構成によれば、移動無線端末装置は仮想私設網中継装置のＩＰアドレスを取得することができ、かつ、仮想私設網中継装置は移動無線端末装置のＩＰアドレスを取得することができるため、移動無線端末装置と仮想私設網中継装置とはそれぞれのＩＰアドレスを用いてＩＰsecメインモードによるトンネル確立を開始することができる。また、この構成によれば、移動無線端末装置と仮想私設網中継装置とは同一のＩＰsec事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＩＰsec事前共有秘密鍵を更新することができる。さらに、この構成によれば、移動無線端末装置とホームエージェントが同一のＭＩＰ事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＭＩＰ事前共有秘密鍵を更新することができる。これにより、セキュリティの低下を防ぐことが可能であり、かつ、ユーザ及び管理者の特別な作業を必要としない。
またさらに、この構成によれば、移動無線端末装置と接続認証サーバにおいて接続認証手順により確立されたセキュアな通信路を用いてＩＰアドレスとＩＰsec事前共有秘密鍵とＭＩＰ事前共有秘密鍵を送信することにより、これらを配布するためのセキュアな通信路を改めて確立する必要がないため、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の無線ＬＡＮアクセスポイントは、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける無線ＬＡＮアクセスポイントであって、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順において確立した安全な通信路を用いて、前記接続認証サーバから送信されるＩＰアドレスとＩＰsec事前共有鍵、Mobile ＩＰ事前共有鍵を前記移動無線端末装置に送信し、かつ、前記移動無線端末装置から送信されるＩＰアドレスを前記接続認証サーバへ送信する認証中継部と、を具備する構成を採る。
この構成によれば、移動無線端末装置が仮想私設網中継装置のＩＰアドレスを取得することができ、かつ、仮想私設網中継装置は移動無線端末装置のＩＰアドレスを取得することができるため、移動無線端末装置と仮想私設網中継装置とはそれぞれのＩＰアドレスを用いてＩＰsecメインモードによる鍵交換を開始することができる。また、この構成によれば、移動無線端末装置と仮想私設網中継装置とは同一のＩＰsec事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＩＰsec事前共有秘密鍵を更新することができる。これにより、セキュリティの低下を防ぐことが可能であり、かつ、ユーザ及び管理者の特別な作業を必要としない。
さらに、この構成によれば、移動無線端末装置と接続認証サーバにおいて接続認証手順により確立されたセキュアな通信路を用いてＩＰアドレスとＩＰsec事前共有秘密鍵とＭＩＰ事前共有秘密鍵を送信することにより、これらを配布するためのセキュアな通信路を改めて確立する必要がないため、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明のホームエージェントは、公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおけるホームエージェントであって、前記接続認証サーバから前記移動無線端末装置のモバイルＩＰ登録に用いる事前共有秘密鍵を受信するＭＩＰ共有鍵取得部と、前記事前共有秘密鍵を用いて前記移動無線端末装置からのモバイルＩＰ登録を処理するＭＩＰ処理部と、を具備する構成を採る。
この構成によれば、ホームエージェントはＭＩＰ事前共有秘密鍵を取得することが可能であり、かつ、移動無線端末装置の公衆無線ＬＡＮシステムへの接続の度にＭＩＰ事前共有秘密鍵を更新することができるため、セキュリティの低下を防ぐことが可能であり、ユーザ及び管理者の特別な作業を必要とせず、かつ、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
以上説明したように、本発明によれば、セキュリティの低下を防ぐことが可能であり、ユーザ及び管理者の特別な作業を必要とせず、かつ、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明の骨子は、移動無線端末装置が公衆無線ＬＡＮシステムから公衆網を介して私設網に接続する時に移動無線端末装置と接続認証サーバとの間で行う接続認証手順において確立した暗号化通信路を用いて、移動無線端末装置と仮想私設網中継装置のＩＰアドレスを互いに通知する。
以下、本発明の実施の形態について図面を参照して詳細に説明する。
（一実施の形態）
図１に示すように、本発明の一実施の形態に係る移動無線通信システム１００は、公衆網１０１、私設網１０２、公衆無線ＬＡＮシステム１０３、網中継装置１０４、仮想私設網中継装置１０５及びホームエージェント１０６を具備している。公衆無線ＬＡＮシステム１０３は、公衆無線ＬＡＮ１０７、接続認証サーバ１０８、無線ＬＡＮアクセスポイント１０９及び複数の移動無線端末装置１１０（１つのみが図示されている）を具備している。
仮想私設網中継装置１０５は、私設網１０２に設置された網中継装置１０４と公衆網１０１を介してＩＰsecトンネルを静的に確立しており、仮想私設網中継装置１０５と私設網１０２との間のセキュアな通信を実現している。また、仮想私設網中継装置１０５は、公衆無線ＬＡＮシステム１０３に存在する移動無線端末装置１１０との間でＩＰsecトンネルを確立し、移動無線端末装置１１０の公衆無線ＬＡＮシステム１０３から私設網１０２への接続を中継する。なお、仮想私設網中継装置１０５と移動無線端末装置１１０とのＩＰsecトンネルは、移動無線端末装置１１０の公衆無線ＬＡＮシステム１０３への接続の度に動的に確立し、また、移動無線端末装置１１０からの私設網１０２への接続要求の度に動的に確立する。
接続認証サーバ１０８は、移動無線端末装置１１０の公衆無線ＬＡＮ１０７への接続認証を行う。この時に、無線ＬＡＮアクセスポイント１０９は、移動無線端末装置１１０と接続認証サーバ１０８との間で行われる接続認証手順を中継する役割を果たす。
図２は、本発明の一実施の形態に係る移動無線端末装置１１０の構成を示すブロック図である。図３は、本発明の一実施の形態に係る仮想私設網中継装置１０５の構成を示すブロック図である。図４は、本発明の一実施の形態に係る接続認証サーバ１０８の構成を示すブロック図である。図５は、本発明の一実施の形態に係る無線ＬＡＮアクセスポイント１０９の構成を示すブロック図である。図６は、本発明の一実施の形態に係るホームエージェント１０６の構成を示すブロック図である。
図２に示すように、移動無線端末装置１１０は、認証処理部２０１、アドレス通知部２０２、アドレス取得部２０３、ＩＰsec共有鍵取得部２０４、ＩＰsec鍵交換部２０５、ＭＩＰ共有鍵取得部２０６及びＭＩＰ登録部２０７を具備している。なお、移動無線端末装置１１０は、移動無線通信を行う装置（図示せず）を具備している。
図３に示すように、仮想私設網中継装置１０５は、アドレス取得部３０１、ＩＰsec共有鍵取得部３０２及びＩＰsec鍵交換部３０３を具備している。図４に示すように、接続認証サーバ１０８は、認証処理部４０１、アドレス通知部４０２、アドレス取得部４０３、ＩＰsec共有鍵配布部４０４及びＭＩＰ共有鍵配布部４０５を具備している。図５に示すように、無線ＬＡＮアクセスポイント１０９は、認証中継部５０１を具備している。図６に示すように、ホームエージェント１０６は、ＭＩＰ共有鍵取得部６０１及びＭＩＰ処理部６０２を具備している。
次に、公衆無線ＬＡＮシステム１０３に存在する移動無線端末装置１１０が私設網１０２に接続する場合の手順を例にとって説明する。
移動無線端末装置１１０が公衆無線ＬＡＮシステム１０３の通信範囲内に存在する時に、移動無線端末装置１１０の認証処理部２０１は、公衆無線ＬＡＮシステム１０３に接続するために、無線ＬＡＮアクセスポイント１０９の認証中継部５０１を介して接続認証サーバ１０８の認証処理部４０１へ接続要求を送信する。公衆無線ＬＡＮシステム１０３へ接続するためのプロトコルとして、ＩＥＥＥ （the Institute of Electrical and Electronics Engineers）で規定されている８０２.１xなどが挙げられる。
以下、説明の簡単のため、８０２.１xを用いた場合の手順を説明する。８０２.１xの枠組みでは、移動無線端末装置１１０と無線ＬＡＮアクセスポイント１０９との間では、ＥＡＰ （Extensible Authentication Protocol）プロトコルが適用される。また、無線ＬＡＮアクセスポイント１０９と接続認証サーバ１０８との間では、ＲＡＤＩＵＳ （Remote Authentication Dial In User Service）プロトコルなどが適用される。無線ＬＡＮアクセスポイント１０９は、前記両者のプロトコルを中継するブリッジ機能を有する。
接続認証サーバ１０８の認証処理部４０１は、最初に、移動無線端末装置１１０の認証処理部２０１から送信されてくる接続要求の認証を行う。この認証は、ＥＡＰ−ＭＤ５、ＥＡＰ−ＴＬＳ、ＥＡＰ−ＬＥＡＰ又はＰＥＡＰといった種々の認証方式より行われる。ここでは説明の簡単のため、ＥＡＰ−ＴＬＳを適用した場合の手順を説明する。ＥＡＰ−ＴＬＳでは、移動無線端末装置１１０と接続認証サーバ１０８との間で電子証明書を交換することにより、相互の認証を行う。
また、同時に、移動無線端末装置１１０と接続認証サーバ１０８は、乱数を交換して擬似乱数関数などによる演算処理を行うことにより、相互に共通のマスターシークレットを保持する。移動無線端末装置１１０と接続認証サーバ１０８は、前記マスターシークレットからＰＭＫ （Pairwise Master Key）を生成する。そして、接続認証サーバ１０８において移動無線端末装置１１０の認証が成功した場合、移動無線端末装置１１０と接続認証サーバ１０８は前記マスターシークレットを用いて、接続認証サーバ１０８と移動無線端末装置１１０との間の通信路を暗号化する。
この時、無線ＬＡＮアクセスポイント１０９の認証中継部５０１は前記通信路を中継する役割を果たすため、移動無線端末装置１１０と接続認証サーバ１０８の秘匿通信が可能となる。即ち、移動無線端末装置１１０の認証処理部２０１と無線ＬＡＮアクセスポイント１０９の認証中継部５０１と接続認証サーバ１０８の認証処理部４０１との間でセキュアな通信路が確立されたことになる。以後、特別な断りがない限り、移動無線端末装置１１０と無線ＬＡＮアクセスポイント１０９と接続認証サーバ１０８との通信は、このセキュアな通信路を用いて行う。
そして、接続認証サーバ１０８は、この暗号化されたセキュアな通信路を用いて無線ＬＡＮアクセスポイント１０９にＰＭＫを送信する。これにより、移動無線端末装置１１０と無線ＬＡＮアクセスポイント１０９は、共有するＰＭＫからＷＥＰキーを生成し、公衆無線ＬＡＮシステム１０３における無線通信区間通信路をＷＥＰキーにより暗号化する。（図７のステップＳＴ１）。
次に、移動無線端末装置１１０と接続認証サーバ１０８との間で共有するマスターシークレットにより暗号化された通信路を用いて、移動無線端末装置１１０と仮想私設網中継装置１０５のＩＰアドレスを交換する。接続認証サーバ１０８のアドレス通知部４０２は、無線ＬＡＮアクセスポイント１０９の認証中継部５０１を中継して移動無線端末装置１１０のアドレス取得部２０３へ仮想私設網中継装置１０５のＩＰアドレスを送信する（図７のステップＳＴ２）。
なお、接続認証サーバ１０８は仮想私設網中継装置１０５のＩＰアドレスを予め保持しておくことなどが考えられる。仮想私設網中継装置１０５のＩＰアドレスを受信した移動無線端末装置１１０のアドレス取得部２０３は、アドレス通知部２０２へ信号を送る。そして、その信号を受信したアドレス通知部２０２は、自身に割り当てられたＩＰアドレスを無線ＬＡＮアクセスポイント１０９の認証中継部５０１を介して接続認証サーバ１０８のアドレス取得部４０３へ送信する（図７のステップＳＴ３）。
また、接続認証サーバ１０８と移動無線端末装置１１０とがＩＰアドレスを送受信するために、ＥＡＰプロトコルとＥＡＰＯＬプロトコルは拡張される。接続認証サーバ１０８の認証処理部４０１と無線ＬＡＮアクセスポイント１０９の認証中継部５０１とがＩＰアドレスを送受信するために、ＥＡＰプロトコルのメッセージタイプにＥＡＰ−ＩＰＡＤＤＲが新たに定義される。そして、接続認証サーバ１０８の認証処理部４０１は、無線ＬＡＮアクセスポイント１０９の認証中継部５０１へＲＡＤＩＵＳプロトコルのvendor specificフィールドの属性値としてＩＰアドレスを送信する。
一方、移動無線端末装置１１０の認証処理部２０１と無線ＬＡＮアクセスポイント１０９の認証中継部５０１とがＩＰアドレスを送受信するために、図８に示すＥＡＰＯＬプロトコルのパケットタイプにＥＡＰＯＬ−ＩＰＡＤＤＲが新たに定義され、属性値としてＩＰアドレスを通知するためのａｄｄｒフォーマット（図９）は追加される。このＥＡＰＯＬ−ＩＰＡＤＤＲメッセージの受信は、移動無線端末装置１１０にとっては仮想私設網中継装置１０５のＩＰアドレスの受信を示し、無線ＬＡＮアクセスポイント１０９にとっては移動無線端末装置１１０のＩＰアドレスの受信をそれぞれ示す。
そして、接続認証サーバ１０８のアドレス通知部４０２は、移動無線端末装置１１０のＩＰアドレスを仮想私設網中継装置１０５のアドレス取得部３０１へ送信する（図７のステップＳＴ４）。
以上の手順により、移動無線端末装置１１０と仮想私設網中継装置１０５は相互のＩＰアドレスを取得することができる。そして、移動無線端末装置１１０のＩＰsec鍵交換部２０５と仮想私設網中継装置１０５のＩＰsec鍵交換部３０３は、取得したＩＰアドレスを用いて、ＩＰsecメインモードによる鍵交換を開始することができる。
さらに、接続認証サーバ１０８は、移動無線端末装置１１０と接続認証サーバ１０８との間で共有するマスターシークレットにより暗号化された通信路を用いて、移動無線端末装置１１０と仮想私設網中継装置１０５との間で行われるＩＰsecトンネル確立時に用いるＩＰsec事前共有秘密鍵を、移動無線端末装置１１０と仮想私設網中継装置１０５とに配布する。接続認証サーバ１０８の認証中継部４０１は、無線ＬＡＮアクセスポイント１０９の認証中継部５０１にＩＰsec事前共有秘密鍵を送信する。このＩＰsec事前共有秘密鍵を受信した無線ＬＡＮアクセスポイント１０９の認証中継部５０１は、ＩＰsec事前共有秘密鍵をそのまま移動無線端末装置１１０の認証処理部２０１へ送信する（図７のステップＳＴ４）。
なお、接続認証サーバ１０８の認証処理部４０１から移動無線端末装置１１０の認証処理部２０１へＩＰsec事前共有秘密鍵を送信するために、ＥＡＰプロトコルとＥＡＰＯＬプロトコルは拡張される。接続認証サーバ１０８の認証処理部４０１が無線ＬＡＮアクセスポイント１０９の認証中継部５０１へＩＰsec事前共有秘密鍵を送信するために、ＥＡＰプロトコルのメッセージタイプにＥＡＰ-ＩＰSECKEYを新たに定義する。そして、ＲＡＤＩＵＳプロトコルのvendor specificフィールドの属性値としてＩＰsec事前共有秘密鍵を送信する。一方、無線ＬＡＮアクセスポイント１０９の認証中継部５０１から移動無線端末装置１１０の認証処理部２０１へＩＰsec事前共有秘密鍵を送信するためにＥＡＰＯＬプロトコルの鍵配布メッセージを用いる。この時、key descriptionフォーマットのdescriptor typeをＩＰsecとして、keyフィールドを用いてＩＰsec事前共有秘密鍵を通知する。
そして、接続認証サーバ１０８のＩＰsec共有鍵配布部４０４は、移動無線端末装置１１０に送信したＩＰsec事前共有秘密鍵と同一のＩＰsec事前共有秘密鍵を仮想私設網中継装置１０５のＩＰsec共有鍵取得部３０２へ送信する。
なお、接続認証サーバ１０８から仮想私設網中継装置１０５への通信路は、ＩＰsecトンネルを静的に確立し、ＩＰsec事前共有秘密鍵が盗聴されないセキュアな通信路を実現する。さらに、接続認証サーバ１０８で保持するＩＰsec事前共有秘密鍵は、接続認証サーバ１０８が動的に生成することも可能であるし、また、別の鍵生成サーバなどから受信することなどが可能である。
以上の手順により、移動無線端末装置１１０と仮想私設網中継装置１０５とは同一のＩＰsec事前共有秘密鍵を共有する。移動無線端末装置１１０のＩＰsec鍵交換部２０５と仮想私設網中継装置１０５のＩＰsec鍵交換部３０３は、共有したＩＰsec事前共有秘密鍵を用いて、ＩＰsecメインモードによる鍵交換を開始する。仮想私設網中継装置１０５のＩＰsec鍵交換部３０３は、移動無線端末装置１１０のＩＰsec鍵交換部２０５からの認証要求に記載のＩＰsec事前共有秘密鍵とＩＰアドレスとユーザＩＤが仮想私設網中継装置１０５で保持するＩＰsec事前共有秘密鍵とＩＰアドレスとユーザＩＤと一致する場合に、移動無線端末装置１１０の認証を許可してＩＰsecトンネルを確立する。
また、接続認証サーバ１０８は、移動無線端末装置１１０と接続認証サーバ１０８との間で共有するマスターシークレットにより暗号化された通信路を用いて、移動無線端末装置１１０がホームエージェント１０６への登録に用いるＭＩＰ事前共有秘密鍵を移動無線端末装置１１０へ送信する。接続認証サーバ１０８の認証処理部４０１は、ＭＩＰ事前共有秘密鍵を無線ＬＡＮアクセスポイント１０９の認証中継部５０１に送信する。このＭＩＰ事前共有秘密鍵を受信した無線ＬＡＮアクセスポイント１０９の認証中継部５０１は、ＭＩＰ事前共有秘密鍵を移動無線端末装置１１０の認証処理部２０１へ送信する。
なお、接続認証サーバ１０８の認証処理部４０１が移動無線端末装置１１０の認証処理部２０１へＭＩＰ事前共有秘密鍵を送信するために、ＥＡＰプロトコルとＥＡＰＯＬプロトコルは拡張される。接続認証サーバ１０８の認証処理部４０１が無線ＬＡＮアクセスポイント１０９の認証中継部５０１へＭＩＰ事前共有秘密鍵を送信するために、ＥＡＰプロトコルのメッセージタイプにＥＡＰ−ＭＩＰＫＥＹは新たに定義される。そして、続認証サーバ１０８の認証処理部４０１は、無線ＬＡＮアクセスポイント１０９の認証中継部５０１へＲＡＤＩＵＳプロトコルのvendor specificフィールドの属性値としてＭＩＰ事前共有秘密鍵を送信する。
一方、無線ＬＡＮアクセスポイント１０９の認証中継部５０１が移動無線端末装置１１０の認証処理部２０１へＭＩＰ事前共有秘密鍵を送信するためにＥＡＰＯＬプロトコルの鍵配布メッセージが用いられる。この時、key descriptionフォーマットのdescriptor typeをＭＩＰとして、keyフィールドを用いてＭＩＰ事前共有秘密鍵が通知される。
そして、接続認証サーバ１０８のＭＩＰ共有鍵配布部４０５は、移動無線端末装置１１０に送信したＭＩＰ事前共有秘密鍵と同一のＭＩＰ事前共有秘密鍵と移動無線端末装置１１０のＩＰアドレスをホームエージェント１０６のＭＩＰ共有鍵取得部６０１へ送信する（図７のステップＳＴ５）。
なお、接続認証サーバ１０８からホームエージェント１０６への通信路は、ＩＰsecトンネルを静的に確立し、ＭＩＰ事前共有秘密鍵が盗聴されないセキュアな通信路を実現する。さらに、接続認証サーバ１０８で保持するＭＩＰ事前共有秘密鍵は、接続認証サーバ１０８が動的に生成することも可能であるし、また、別の鍵生成サーバなどから受信することなどが可能である。
以上の手順により、移動無線端末装置１１０とホームエージェント１０６は、同一のＭＩＰ事前共有秘密鍵を共有する。移動無線端末装置１１０のＭＩＰ登録部２０７は、ＭＩＰ事前共有鍵を用いてホームエージェント１０６のＭＩＰ処理部６０２に対してモバイルＩＰ登録（Binding Update）を行う。ホームエージェント１０６のＭＩＰ処理部６０２は、移動無線端末装置１１０のＭＩＰ登録部２０７からのモバイルＩＰ登録メッセージの認証フィールドに記載のＭＩＰ事前共有秘密鍵とＳＰＩがホームエージェント１０６で保持するＭＩＰ事前共有秘密鍵とＳＰＩと一致する場合に、移動無線端末装置１１０のモバイルＩＰ登録の認証を許可する。なお、既に移動無線端末装置１１０と仮想私設網中継装置１０５との間にはＩＰsecトンネルが確立されているため、移動無線端末装置１１０とホームエージェント１０６との通信路はセキュアである。
このように、本発明の一実施の形態によれば、移動無線端末装置１１０が公衆無線ＬＡＮシステム１０３などの公衆網から私設網へ接続するようなモバイルＶＰＮ接続環境において、ＩＰsecメインモードによるＩＰsecトンネルを確立することが可能となる。また、本発明の一実施の形態によれば、移動無線端末装置１１０の公衆無線ＬＡＮシステム１０３へのアクセスの度にＩＰsec事前共有鍵とＭＩＰ事前共有鍵を動的に更新することができる。したがって、本発明の一実施の形態によれば、セキュリティの低下を防ぐことができ、ユーザ及び管理者の特別な作業を必要とせず、かつ、モバイルＶＰＮ接続環境におけるＩＰsecトンネルの確立に要する時間を短縮することができる。
本発明は、移動無線端末装置が公衆無線ＬＡＮシステムから公衆網を介して私設網へアクセスするモバイルＶＰＮ環境を提供する移動無線通信システムとして好適である。
本発明の一実施の形態に係る移動無線通信システムの構成を示す図 本発明の一実施の形態に係る移動無線端末装置の構成を示すブロック図 本発明の一実施の形態に係る仮想私設網中継装置の構成を示すブロック図 本発明の一実施の形態に係る接続認証サーバの構成を示すブロック図 本発明の一実施の形態に係る無線アクセスポイントの構成を示すブロック図 本発明の一実施の形態に係るホームエージェントの構成を示すブロック図 本発明の一実施の形態に係る移動無線通信システムを説明するためのシーケンス図 本発明の一実施の形態に係る移動無線通信システムに用いられるＥＡＰＯＬメッセージフォーマットを説明するための図 本発明の一実施の形態に係る移動無線通信システムに用いられるaddrメッセージフォーマットを説明するための図
符号の説明
１００ 移動無線通信システム
１０１ 公衆網
１０２ 私設網
１０３ 公衆無線ＬＡＮシステム
１０４ 網中継装置
１０５ 仮想私設網中継装置
１０６ ホームエージェント
１０７ 公衆無線ＬＡＮ
１０８ 接続認証サーバ
１０９ 無線ＬＡＮアクセスポイント
１１０ 移動無線端末装置
２０１ 認証処理部
２０２ アドレス通知部
２０３ アドレス取得部
２０４ ＩＰsec共有鍵取得部
２０５ ＩＰsec鍵交換部
２０６ ＭＩＰ共有鍵取得部
２０７ ＭＩＰ登録部
３０１ アドレス取得部
３０２ ＩＰsec共有鍵取得部
３０３ ＩＰsec鍵交換部
４０１ 認証処理部
４０２ アドレス通知部
４０３ アドレス取得部
４０４ ＩＰsec共有鍵配布部
４０５ ＭＩＰ共有鍵配布部
５０１ 認証中継部
６０１ ＭＩＰ共有鍵取得部
６０２ ＭＩＰ処理部

Claims (13)

  1. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける移動無線端末装置であって、
    前記接続認証サーバに対して前記公衆無線ＬＡＮシステムへの接続認証処理を行う認証処理部と、前記公衆無線ＬＡＮシステムへの接続が許可された時に前記接続認証サーバから前記仮想私設網中継装置のＩＰアドレスを取得するアドレス取得部と、前記移動無線端末装置のＩＰアドレスを前記接続認証サーバに通知するアドレス通知部と、前記仮想私設網中継装置のＩＰアドレスを用いて前記仮想私設網中継装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、を具備する移動無線端末装置。
  2. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける移動無線端末装置であって、
    前記接続認証サーバに対して前記公衆無線ＬＡＮシステムへの接続認証処理を行う認証処理部と、前記公衆無線ＬＡＮシステムへの接続が許可された時に前記接続認証サーバから前記仮想私設網中継装置との間で行うＩＰsec鍵交換に用いるＩＰsec事前共有秘密鍵を取得するＩＰsec共有鍵取得部と、前記ＩＰsec事前共有秘密鍵を用いて前記仮想私設網中継装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、を具備する移動無線端末装置。
  3. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける移動無線端末装置であって、
    前記接続認証サーバに対して前記公衆無線ＬＡＮシステムへの接続認証処理を行う認証処理部と、前記公衆無線ＬＡＮシステムへの接続が許可された時に前記接続認証サーバから前記ホームエージェントとの間で行うモバイルＩＰ登録に用いる事前共有秘密鍵を取得するＭＩＰ共有鍵取得部と、前記事前共有秘密鍵を用いて前記ホームエージェントへモバイルＩＰ登録を行うＭＩＰ登録部と、を具備する移動無線端末装置。
  4. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける移動無線端末装置であって、
    前記接続認証サーバに対して前記公衆無線ＬＡＮシステムへの接続認証処理を行う認証処理部と、前記公衆無線ＬＡＮシステムへの接続が許可された時に前記接続認証サーバから前記仮想私設網中継装置のＩＰアドレスを取得するアドレス取得部と、前記移動無線端末装置のＩＰアドレスを前記接続認証サーバに通知するアドレス通知部と、前記接続認証サーバから前記仮想私設網中継装置との間で行うＩＰsec鍵交換に用いるＩＰsec事前共有秘密鍵を取得するＩＰsec共有鍵取得部と、前記接続認証サーバから前記ホームエージェントとの間で行うモバイルＩＰ登録に用いるＭＩＰ事前共有秘密鍵を取得するＭＩＰ共有鍵取得部と、前記仮想私設網中継装置のＩＰアドレスと前記ＩＰsec事前共有秘密鍵を用いて前記仮想私設網中継装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、前記ＭＩＰ事前共有秘密鍵を用いて前記ホームエージェントへモバイルＩＰ登録を行うＭＩＰ登録部と、を具備する移動無線端末装置。
  5. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける仮想私設網中継装置であって、
    前記接続認証サーバから前記移動無線端末装置のＩＰアドレスを受信するアドレス取得部と、前記移動無線端末装置のＩＰアドレスを用いて前記移動無線端末装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、を具備する仮想私設網中継装置。
  6. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける仮想私設網中継装置であって、
    前記接続認証サーバから前記移動無線端末装置との間で行うＩＰsec鍵交換に用いる事前共有秘密鍵を受信するＩＰsec共有鍵取得部と、前記事前共有秘密鍵を用いて前記移動無線端末装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、を具備する仮想私設網中継装置。
  7. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける仮想私設網中継装置であって、
    前記接続認証サーバから前記移動無線端末装置のＩＰアドレスを受信するアドレス取得部と、前記接続認証サーバから前記移動無線端末装置との間で行うＩＰsec鍵交換に用いる事前共有秘密鍵を受信するＩＰsec共有鍵取得部と、前記移動無線端末装置のＩＰアドレスと前記事前共有秘密鍵を用いて前記移動無線端末装置とＩＰsec鍵交換を行うＩＰsec鍵交換部と、を具備する仮想私設網中継装置。
  8. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける接続認証サーバであって、
    前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続認証を行う認証処理部と、前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を許可する時に前記移動無線端末装置のＩＰアドレスを前記移動無線端末装置から受信するアドレス取得部と、前記仮想私設網中継装置のＩＰアドレスを前記移動無線端末装置に通知し、かつ、前記移動無線端末装置のＩＰアドレスを前記仮想私設網中継装置に通知するアドレス通知部と、を具備する接続認証サーバ。
  9. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける接続認証サーバであって、
    前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続認証を行う認証処理部と、前記移動無線端末装置の公衆無線ＬＡＮシステムへの接続を許可する時に前記移動無線端末装置と前記仮想私設網中継装置との間で行うＩＰsec鍵交換に用いる事前共有秘密鍵を前記移動無線端末装置と前記仮想私設網中継装置にそれぞれ配布するＩＰsec共有鍵配布部と、を具備する接続認証サーバ。
  10. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける接続認証サーバであって、
    前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続認証を行う認証処理部と、前記移動無線端末装置の公衆無線ＬＡＮシステムへの接続を許可する時に前記移動無線端末装置と前記ホームエージェントとの間で行うモバイルＩＰ登録に用いる事前共有秘密鍵を前記移動無線端末装置と前記ホームエージェントにそれぞれ配布するＭＩＰ共有鍵配布部と、を具備する接続認証サーバ。
  11. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける接続認証サーバであって、
    前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続認証を行う認証処理部と、前記移動無線端末装置の公衆無線ＬＡＮシステムへの接続を許可する時に前記移動無線端末装置のＩＰアドレスを前記移動無線端末装置から受信するアドレス取得部と、前記仮想私設網中継装置のＩＰアドレスを前記移動無線端末装置に通知し、かつ、前記移動無線端末装置のＩＰアドレスを前記仮想私設網中継装置に通知するアドレス通知部と、前記移動無線端末装置と前記仮想私設網中継装置との間で行うＩＰsec鍵交換に用いるＩＰsec事前共有秘密鍵を前記移動無線端末装置と前記仮想私設網中継装置にそれぞれ配布するＩＰsec共有鍵配布部と、前記移動無線端末装置と前記ホームエージェントとの間で行うモバイルＩＰ登録に用いるＭＩＰ事前共有秘密鍵を前記移動無線端末装置と前記ホームエージェントにそれぞれ配布するＭＩＰ共有鍵配布部と、を具備する接続認証サーバ。
  12. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおける無線ＬＡＮアクセスポイントであって、
    前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順において確立した安全な通信路を用いて、前記接続認証サーバから送信されるＩＰアドレスとＩＰsec事前共有鍵、Mobile ＩＰ事前共有鍵を前記移動無線端末装置に送信し、かつ、前記移動無線端末装置から送信されるＩＰアドレスを前記接続認証サーバへ送信する認証中継部と、を具備する無線ＬＡＮアクセスポイント。
  13. 公衆網と私設網と公衆無線ＬＡＮシステムとを具備し、前記公衆網を介して前記私設網に設置された網中継装置とＩＰsecトンネルを確立し移動無線端末装置との間でＩＰsecトンネルを確立して前記移動無線端末装置の前記公衆無線ＬＡＮシステムから前記私設網への接続を中継する仮想私設網中継装置と、前記移動無線端末装置の移動制御を行うホームエージェントと、前記公衆無線ＬＡＮシステムに設置され前記移動無線端末装置の前記公衆無線ＬＡＮシステムへの接続を認証する接続認証サーバと、前記移動無線端末装置と前記接続認証サーバとの間で行われる公衆無線ＬＡＮの接続認証手順を中継する無線ＬＡＮアクセスポイントと、を具備する移動無線通信システムにおけるホームエージェントであって、
    前記接続認証サーバから前記移動無線端末装置のモバイルＩＰ登録に用いる事前共有秘密鍵を受信するＭＩＰ共有鍵取得部と、前記事前共有秘密鍵を用いて前記移動無線端末装置からのモバイルＩＰ登録を処理するＭＩＰ処理部と、を具備するホームエージェント。
JP2004008507A 2004-01-15 2004-01-15 移動無線端末装置、仮想私設網中継装置及び接続認証サーバ Expired - Fee Related JP3955025B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2004008507A JP3955025B2 (ja) 2004-01-15 2004-01-15 移動無線端末装置、仮想私設網中継装置及び接続認証サーバ
PCT/JP2005/000193 WO2005069567A1 (ja) 2004-01-15 2005-01-11 移動無線通信システム、移動無線端末装置、仮想私設網中継装置及び接続認証サーバ
US10/586,343 US7941843B2 (en) 2004-01-15 2005-01-11 Mobile wireless communication system, mobile wireless terminal apparatus, virtual private network relay apparatus and connection authentication server
EP20050703432 EP1694013A1 (en) 2004-01-15 2005-01-11 Mobile radio communication system, mobile radio terminal device, virtual private network relay device, and connection authentication server
CN2005800020038A CN1910877B (zh) 2004-01-15 2005-01-11 移动无线终端装置、虚拟专用网中继装置、无线局域网接入点、连接认证服务器、本地代理

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2004008507A JP3955025B2 (ja) 2004-01-15 2004-01-15 移動無線端末装置、仮想私設網中継装置及び接続認証サーバ

Publications (2)

Publication Number Publication Date
JP2005204086A JP2005204086A (ja) 2005-07-28
JP3955025B2 true JP3955025B2 (ja) 2007-08-08

Family

ID=34792230

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2004008507A Expired - Fee Related JP3955025B2 (ja) 2004-01-15 2004-01-15 移動無線端末装置、仮想私設網中継装置及び接続認証サーバ

Country Status (5)

Country Link
US (1) US7941843B2 (ja)
EP (1) EP1694013A1 (ja)
JP (1) JP3955025B2 (ja)
CN (1) CN1910877B (ja)
WO (1) WO2005069567A1 (ja)

Families Citing this family (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060230279A1 (en) * 2005-03-30 2006-10-12 Morris Robert P Methods, systems, and computer program products for establishing trusted access to a communication network
US8621577B2 (en) * 2005-08-19 2013-12-31 Samsung Electronics Co., Ltd. Method for performing multiple pre-shared key based authentication at once and system for executing the method
DE102006004868B4 (de) * 2005-11-04 2010-06-02 Siemens Ag Verfahren und Server zum Bereitstellen eines Mobilitätsschlüssels
JP4754964B2 (ja) * 2005-12-28 2011-08-24 富士通株式会社 無線網制御装置及び無線網制御システム
US8406220B2 (en) * 2005-12-30 2013-03-26 Honeywell International Inc. Method and system for integration of wireless devices with a distributed control system
US7734050B2 (en) * 2006-03-27 2010-06-08 Nissan Technical Center North America, Inc. Digital certificate pool
US7742603B2 (en) * 2006-03-27 2010-06-22 Nissan Technical Center North America, Inc. Security for anonymous vehicular broadcast messages
JP4763560B2 (ja) 2006-09-14 2011-08-31 富士通株式会社 接続支援装置
US8032753B2 (en) * 2006-11-23 2011-10-04 Electronics And Telecommunications Research Institute Server and system for transmitting certificate stored in fixed terminal to mobile terminal and method using the same
JP5003505B2 (ja) * 2007-04-10 2012-08-15 ソニー株式会社 接続認証システム、端末装置、接続認証サーバ、接続認証方法、及びプログラム
US20120254615A1 (en) * 2011-03-31 2012-10-04 Motorola Solutions, Inc. Using a dynamically-generated symmetric key to establish internet protocol security for communications between a mobile subscriber and a supporting wireless communications network
US10277630B2 (en) * 2011-06-03 2019-04-30 The Boeing Company MobileNet
US9021578B1 (en) * 2011-09-13 2015-04-28 Symantec Corporation Systems and methods for securing internet access on restricted mobile platforms
DE102011119680A1 (de) * 2011-11-29 2013-05-29 Abb Ag VolP-Telefonie-Unterputz-Elektro-Installationsgerät
KR101640209B1 (ko) * 2012-01-20 2016-07-18 한국전자통신연구원 휴대 모바일 가상사설망 서비스 지원장치 및 그 방법
WO2013187709A1 (en) * 2012-06-13 2013-12-19 Samsung Electronics Co., Ltd. Method and system for securing control packets and data packets in a mobile broadband network environment
US20150163704A1 (en) * 2013-12-11 2015-06-11 Qualcomm Incorporated Handover from cellular to wlan in integrated network
WO2015089457A1 (en) 2013-12-13 2015-06-18 M87, Inc. Methods and systems of secure connections for joining hybrid cellular and non-cellular networks
US9525664B2 (en) * 2014-02-28 2016-12-20 Symantec Corporation Systems and methods for providing secure access to local network devices
US10015720B2 (en) * 2014-03-14 2018-07-03 GoTenna, Inc. System and method for digital communication between computing devices
US9621547B2 (en) * 2014-12-22 2017-04-11 Mcafee, Inc. Trust establishment between a trusted execution environment and peripheral devices
US9763088B2 (en) * 2014-12-31 2017-09-12 Ruckus Wireless, Inc. Mesh network with personal pre-shared keys
WO2016159954A1 (en) 2015-03-30 2016-10-06 Ruckus Wireless, Inc. Zero-touch onboarding in a mesh network
US10051000B2 (en) * 2015-07-28 2018-08-14 Citrix Systems, Inc. Efficient use of IPsec tunnels in multi-path environment
CN105306437B (zh) * 2015-09-17 2019-04-12 成都索贝数码科技股份有限公司 一种网络安全加密及校验方法
US10791093B2 (en) * 2016-04-29 2020-09-29 Avago Technologies International Sales Pte. Limited Home network traffic isolation
US20180198786A1 (en) * 2017-01-11 2018-07-12 Pulse Secure, Llc Associating layer 2 and layer 3 sessions for access control
US10992670B1 (en) * 2018-11-12 2021-04-27 Amazon Technologies, Inc. Authenticating identities for establishing secure network tunnels
CN112751674B (zh) * 2020-12-30 2023-05-02 上海优咔网络科技有限公司 虚拟专用网络接入认证方法、系统、设备及可读存储介质

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001177514A (ja) * 1999-12-17 2001-06-29 Ntt Docomo Inc 通信方法および通信装置
GB2364477B (en) * 2000-01-18 2003-11-05 Ericsson Telefon Ab L M Virtual private networks
JP4201466B2 (ja) * 2000-07-26 2008-12-24 富士通株式会社 モバイルｉｐネットワークにおけるｖｐｎシステム及びｖｐｎの設定方法
KR100416541B1 (ko) * 2000-11-30 2004-02-05 삼성전자주식회사 홈게이트웨이와 홈포탈서버를 이용한 홈네트워크 접근방법 및 그 장치
US6915437B2 (en) * 2000-12-20 2005-07-05 Microsoft Corporation System and method for improved network security
US20020136226A1 (en) * 2001-03-26 2002-09-26 Bluesocket, Inc. Methods and systems for enabling seamless roaming of mobile devices among wireless networks
KR100450973B1 (ko) * 2001-11-07 2004-10-02 삼성전자주식회사 무선 통신시스템에서 이동 단말기와 홈에이전트간의인증을 위한 방법
CN1268093C (zh) * 2002-03-08 2006-08-02 华为技术有限公司 无线局域网加密密钥的分发方法
US6839338B1 (en) * 2002-03-20 2005-01-04 Utstarcom Incorporated Method to provide dynamic internet protocol security policy service
EP1370040B1 (en) * 2002-06-04 2005-03-02 Alcatel A method, a network access server, an authentication-authorization-and-accounting server, and a computer software product for proxying user authentication-authorization-and-accounting messages via a network access server
US7287269B2 (en) * 2002-07-29 2007-10-23 International Buiness Machines Corporation System and method for authenticating and configuring computing devices
US7685317B2 (en) * 2002-09-30 2010-03-23 Intel Corporation Layering mobile and virtual private networks using dynamic IP address management
US7441043B1 (en) * 2002-12-31 2008-10-21 At&T Corp. System and method to support networking functions for mobile hosts that access multiple networks
US7478427B2 (en) * 2003-05-05 2009-01-13 Alcatel-Lucent Usa Inc. Method and apparatus for providing adaptive VPN to enable different security levels in virtual private networks (VPNs)
US20060185013A1 (en) * 2003-06-18 2006-08-17 Telefonaktiebolaget Lm Ericsson (Publ) Method, system and apparatus to support hierarchical mobile ip services
US7574603B2 (en) * 2003-11-14 2009-08-11 Microsoft Corporation Method of negotiating security parameters and authenticating users interconnected to a network
US20050149732A1 (en) * 2004-01-07 2005-07-07 Microsoft Corporation Use of static Diffie-Hellman key with IPSec for authentication
WO2005076564A1 (en) * 2004-02-06 2005-08-18 Telecom Italia S.P.A. Method and system for the secure and transparent provision of mobile ip services in an aaa environment

Also Published As

Publication number Publication date
US20080232382A1 (en) 2008-09-25
US7941843B2 (en) 2011-05-10
EP1694013A1 (en) 2006-08-23
WO2005069567A1 (ja) 2005-07-28
JP2005204086A (ja) 2005-07-28
CN1910877A (zh) 2007-02-07
CN1910877B (zh) 2011-01-05

Similar Documents

Publication Publication Date Title
JP3955025B2 (ja) 移動無線端末装置、仮想私設網中継装置及び接続認証サーバ
US10142842B2 (en) Securing communications of a wireless access point and a mobile device
JP4575679B2 (ja) 無線ネットワークハンドオフ暗号鍵
CA2414216C (en) A secure ip access protocol framework and supporting network architecture
JP3951757B2 (ja) 信頼されないアクセス局を介した通信方法
JP4299102B2 (ja) 無線ネットワークのハンドオフ暗号鍵
KR101054202B1 (ko) 인프라스트럭쳐 기반의 무선 멀티홉 네트워크 내의 보안 인증 및 키 관리
US7929528B2 (en) System and method to support networking functions for mobile hosts that access multiple networks
EP2506491B1 (en) Encryption information transmission terminal
US8423772B2 (en) Multi-hop wireless network system and authentication method thereof
US20050152305A1 (en) Apparatus, method, and medium for self-organizing multi-hop wireless access networks
JPWO2008146395A1 (ja) ネットワーク中継装置、通信端末及び暗号化通信方法
WO2006098116A1 (ja) 無線通信システムにおける認証方式、それを備える無線端末装置と無線基地局、それらを用いた無線通信システム及びプログラム
CN101375545A (zh) 用于提供无线网状网的方法和设备
CA2414044C (en) A secure ip access protocol framework and supporting network architecture
WO2016184351A1 (zh) 无线网络的ip地址分配方法和系统
JP2004312257A (ja) 基地局、中継装置及び通信システム
JPWO2011064858A1 (ja) 無線認証端末
JP4584776B2 (ja) ゲートウェイ装置およびプログラム
JP2004266516A (ja) ネットワーク管理サーバ、通信端末、エッジスイッチ装置、通信用プログラム並びにネットワークシステム
KR102558364B1 (ko) 5g lan 서비스 제공 방법
JP5107823B2 (ja) 認証メッセージ交換システムおよび認証メッセージ交換方法
JP2018133737A (ja) ネットワーク構築システム、方法及び無線ノード
WO2006080079A1 (ja) 無線ネットワークシステムおよびそのユーザ認証方法

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20070123

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20070316

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20070410

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20070427

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110511

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110511

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120511

Year of fee payment: 5

LAPS Cancellation because of no payment of annual fees