JP4018584B2 - 無線接続装置の認証方法及び無線接続装置 - Google Patents
無線接続装置の認証方法及び無線接続装置 Download PDFInfo
- Publication number
- JP4018584B2 JP4018584B2 JP2003098038A JP2003098038A JP4018584B2 JP 4018584 B2 JP4018584 B2 JP 4018584B2 JP 2003098038 A JP2003098038 A JP 2003098038A JP 2003098038 A JP2003098038 A JP 2003098038A JP 4018584 B2 JP4018584 B2 JP 4018584B2
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- terminal device
- wireless terminal
- backbone network
- wireless
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、無線LANやBluetooth等の無線通信機能を有する端末による小規模なLAN環境であるPAN（Personal Area Network）をセキュアに構築する際に用いられる無線接続装置の認証方法及び無線接続装置に関するものである。
【０００２】
【従来の技術】
従来、無線LANやBluetoothでは、その通信媒体として電波を用いるため、通信先の制限が難しいという問題があった。このため、これらの規格では、通信先毎に暗号鍵を変更することで、たとえパケットを覗き見られても、それを解読できないようにするといった防御手段が執られている。
【０００３】
現在、最も一般的な無線通信の暗号化手段は、IEEE802.11（以下「802.11」）方式であればWEPキー（40bit,128bit）による暗号化であり、またBluetooth方式であれば、Pinコードから自動生成される128bitの暗号鍵による暗号化である。しかし、これらの暗号化方式にも脆弱性があることが指摘されており、無線通信の安全性を更に高めるための暗号化方式として、802.11方式では、802.1xベースの認証を実施した上での動的WEPキー変換（EAP）やTKIP,AESといった、更に高度な暗号化方式、Bluetooth方式では、802.1xベースの上位アプリケーション層での認証・暗号化方式などが検討され、一部実施されている。この中でも802.1xをベースとしたEAP（Extensible Authentication Protocol）方式と呼ばれる認証・暗号化手段は、一部のＯＳ環境において、802.11方式向けの認証・暗号化手段として標準的に実装されている。
【０００４】
無線LAN（802.11）におけるEAP方式は、クライアント端末がネットワーク接続要求を行う際に、無線接続装置であるアクセスポイントを介して、TCP/IPの一部ポートを利用してイントラネットやインターネット上に設けられた認証サーバ（RADIUSサーバ等）とデータ通信を行い、認証サーバからクライアント端末への証明書の要求又はチャレンジを実施する。クライアント端末は、証明書所有の証明を行うか、チャレンジに対してアカウント名とパスワードとを返し、それらが認証サーバ内のデータと一致すれば、認証サーバはクライアント端末のネットワーク接続を許可し、無線通信を暗号化するための128bitの暗号鍵又は暗号鍵生成パラメータをアクセスポイントとクライアント端末に返す。
【０００５】
このようなプロセスを経て、クライアント端末が認証サーバによる認証にパスすると、それ以降の無線通信は、128bitの暗号鍵をWEPキーとしてクライアント端末とアクセスポイントとの両者間で利用することで暗号化される。更に、このようなプロセスは一定時間毎に定期的に実施され、暗号鍵の更新を行う。
【０００６】
また、Bluetooth方式では、無線通信機能を有する各端末で構築される小規模なLAN環境であるPAN（Personal Area Network）プロファイルにおいてセキュリティ向上のために802.1x認証・暗号化手段を用いることが推奨されている。このBluetoothの場合、無線媒体である電波を暗号化するための鍵の生成はBluetooth方式で通信を行うデバイス間のPinコードによる相互認証によって自動的に生成されるため、認証サーバから受け取った暗号鍵情報を、無線LANで用いられているWEPキーのような電波そのものの暗号化鍵としては利用できないが、無線媒体として電波を生成する前段階でパケットを暗号化する際の鍵として利用することで、二重に暗号化し通信のセキュリティを向上させることができる。
【０００７】
以上述べてきた802.1x方式の認証・暗号化プロセスでは、認証を実施するための認証サーバがイントラネットなどのネットワーク内に存在し、その認証サーバがクライアント端末のアカウントを集中管理している。このため、802.1x方式を用いるならば、クライアント端末がどこにいても、認証サーバとのTCP/IPによる通信が実施可能な場合、同一アカウント及びパスワードを用いてイントラネットなどの基幹ネットワークに接続することができる。
【０００８】
【発明が解決しようとする課題】
このように、上述した802.1x方式による認証・暗号化プロセスを用いることで、クライアント端末は無線通信を用いた安全なネットワーク接続を実現できる。但し、そのためには、ネットワーク内に認証サーバが設置され、かつ、その認証サーバには、予めクライアント端末のアカウントが登録されている必要がある。即ち、802.1x方式は、比較的規模の大きなイントラネット等の基幹ネットワーク上での運用を想定した方式であり、無線によるネットワーク接続を行うクライアント端末も認証サーバ上にアカウントを持ったメンバに限定されるといった制限があった。
【０００９】
このため、認証サーバ上にアカウントの無い外来者が参加するミーティングを行う場合やイントラネット等の基幹ネットワークへの接続手段がない社外の会議室等でのミーティングを行う場合は、802.1x方式による認証・暗号化プロセスを利用した無線通信による安全なネットワーク構築ができないという不具合があった。
【００１０】
尚、その際に、認証・暗号化を行うことなく、無線通信は実現可能であるが、セキュリティの面から大きな問題がある。
【００１１】
また、手作業により無線通信用のパラメータを設定すれば、無線通信の暗号化は可能であるが、クライアント端末はイントラネット等の基幹ネットワーク上で通常利用する802.1x方式のアカウント及びパスワードの入力による自動接続とは、全く異なる接続手段を手動で行わなければならない。また、手作業による無線通信用パラメータの設定では、暗号鍵を一定時間毎に変更することも自動的には実施不可能であるため、安全性が損なわれる。
【００１２】
上述のような不具合を無くすためには、PANを構築するメンバのために802.1x方式に対応した専用の認証サーバを設け、その認証サーバ上でPAN構成者を一元管理すれば良い。しかし、そうした場合、イントラネット等の基幹ネットワーク側に存在する正規の認証サーバにアカウントを所有するユーザも、PAN構築専用の認証サーバによって認証が行われるため、無線通信は暗号化されるもののイントラネット等の基幹ネットワークへのアクセスのために、再度、認証作業が必要であったり、或いはイントラネットへのアクセスに障害がでたりと言った不都合が生じる。
【００１９】
本発明の目的は、無線端末装置が無線接続装置に認証される際にネットワークの一時的な切断等の不具合を被ることを回避することである。
【００２０】
【課題を解決するための手段】
上記目的を達成するために、本発明は、基幹ネットワークに接続され、無線通信により無線端末装置と接続する無線接続装置の認証方法であって、無線端末装置から無線通信による認証要求を受信する受信工程と、受信した認証要求を基幹ネットワークへ転送し、該認証要求に対する認証処理が基幹ネットワークで失敗した場合に、前記無線端末装置に対する一時的な認証処理を行う認証工程と、無線端末装置の基幹ネットワークに対する認証成否又は無線端末装置に対するアカウントの発行有無又は無線端末装置に対する証明書の発行有無の履歴を参照する参照工程と、前記参照工程において参照した前記履歴に応じて、無線端末装置からの認証要求を基幹ネットワークへ転送するか、無線端末装置からの認証要求を基幹ネットワークへ転送せずに前記認証工程における認証を行うかを決定する決定工程と、を有することを特徴とする。
また、本発明は、基幹ネットワークに接続され、無線通信により無線端末装置と接続する無線接続装置であって、無線端末装置から無線通信による認証要求を受信する受信手段と、受信した認証要求を基幹ネットワークへ転送し、該認証要求に対する認証処理が基幹ネットワークで失敗した場合に、前記無線端末装置に対する一時的な認証処理を行う認証手段と、無線端末装置の基幹ネットワークに対する認証成否又は無線端末装置に対するアカウントの発行有無又は無線端末装置に対する証明書の発行有無の履歴を参照する参照手段と、前記参照手段により参照した前記履歴に応じて、無線端末装置からの認証要求を基幹ネットワークへ転送するか、無線端末装置からの認証要求を基幹ネットワークへ転送せずに前記認証手段による認証を行うかを決定する決定手段と、を有することを特徴とする。
【００２１】
【発明の実施の形態】
以下、図面を参照しながら本発明に係る実施の形態を詳細に説明する。
【００２２】
図１は、本実施形態における無線ネットワークシステムの構成を示す図である。図１において、１００は本実施形態のアクセスポイントであり、IEEE802.11やBluetooth等の無線通信手段によって安全なネットワークを構築する。アクセスポイント１００において、１０１は無線通信回路部であり、無線通信手段により後述するクライアント端末との間で無線による通信を行う。１０２は認証サーバ機能部であり、後述するイントラネット上の認証サーバに代わってクライアント端末の認証処理を行う。１０３は証明書サーバ機能部であり、認証サーバ機能部１０２により認証されたクライアント端末へ証明書の発行を行う。１０４は表示部であり、アクセスポイント１００からの一時認証のためのメッセージを表示する。
【００２３】
１１０は無線媒体であり、802.11やBluetooth等の電波による無線通信手段である。１１１、１１２はＰＤＡ（Personal Digital Assistants）であり、アクセスポイント１００と無線で接続する。１１３、１１４はノート型パソコン（ＰＣ）であり、アクセスポイント１００と無線で接続する。１２０はアクセスポイント１００と接続されたイントラネットやインターネットなどの基幹ネットワーク（以下「イントラネット」と称す）である。１２１はイントラネット１２０上に設けられた認証サーバであり、クライアント端末からの認証要求により認証処理を行う。１２２はイントラネット１２０上に設けられた証明書サーバである。尚、本実施形態では、上述のアクセスポイント１００と無線通信手段１１０を介して接続されるＰＤＡ１１１、１１２、ノート型パソコン１１３、１１４を「クライアント端末」と称す。
【００２４】
ここで、以下の説明を容易にするために、クライアント端末１１３はイントラネット１２０上の証明書サーバ１２２によって発行された証明書を所有しているか、イントラネット１２０上の認証サーバ１２１にアカウントを有するクライアント端末であると仮定する。同様に、クライアント端末１１４はイントラネット１２０上の証明書サーバ１２２によって発行された証明書を所有しておらず、かつイントラネット１２０上の認証サーバ１２１にアカウントを有していないクライアント端末であると仮定する。
【００２５】
図２は、クライアント端末１１３がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。図２に示すように、クライアント端末１１３が、アクセスポイント１００の無線通信回路部１０１と802.11アソシエーション（２００）の一連のやり取りを実施した後に、EAP認証プロセス（２０１〜２０７）を開始する。先ず、クライアント端末１１３は無線通信回路部１０１に対してEAP認証を行うことを宣言し（２０１）、この宣言に呼応して、無線通信回路部１０１がEAP認証のための身分証明要求（２０２）をクライアント端末１１３に送信する。これに答えて、クライアント端末１１３は、無線通信回路部１０１に対してユーザID付きのEAP-Response（２０３）を送信する。そして、無線通信回路部１０１は受信パケットをイントラネット１２０上に存在する認証サーバ１２１に向けて転送する（２１０）。
【００２６】
これにより、認証サーバ１２１は、クライアント端末１１３からの認証要求（２１０）に反応し、認証サーバ１２１内のデータベースに対して認証要求（２１０）に添付されたユーザIDに相当するユーザが登録されているか否かを検索する。ここで、対応するユーザが登録されていた場合には、無線通信回路部１０１を経由してクライアント端末１１３へ、認証のためのチャレンジ（２１１、２０４）を送信する。このチャレンジ（２０４）を受けたクライアント端末１１３は、そのチャレンジに対応する回答（一般的にはパスワードや証明書の内容）を無線通信回路部１０１経由でイントラネット１２０上の認証サーバ１２１へと返す（２０５、２１２）。そして、認証サーバ１２１は、クライアント端末１１３から返されたチャレンジ回答（２１２）の内容を吟味し、自身のデータベースに記録された認証データと一致していれば、認証ＯＫを無線通信回路部１０１経由でクライアント端末１１３へ送信する（２１３、２０６）。ここでWEPキー等の無線通信用暗号鍵を変更する場合には、無線通信回路部１０１から無線通信用暗号鍵情報（２０７）がクライアント端末１１３へ送信される。
【００２７】
上述のEAP認証プロセス（２０１〜２０７）が終了した後、クライアント端末１１３は、アクセスポイント１００経由のイントラネット１２０へのアクセスが許可される。この際、イントラネット１２０上の認証サーバ１２１による認証がなされたクライアント端末１１３に対しては、イントラネット１２０だけでなく、アクセスポイント１００を経由して接続された他のクライアント端末１１１、１１２、１１４へのPANアクセスも許可されることは言うまでもない。また、WEPキーの動的変更を実施する場合は、上述のプロセスが一旦完了した後、定期的に無線通信回路部１０１よりEAP認証のための身分証明要求（２０２）をクライアント端末１１３に送信する。そして、上述の処理と同様の再認証及び新しいWEPキーに関する無線通信用暗号鍵情報送信（２０２〜２０７）のプロセスを繰り返し実行することで、WEPキーの動的変更を実現する。
【００２８】
上述の認証プロセスは、一般的なEAP認証の実施プロセスと何ら変わりない。即ち、本実施形態ではイントラネット１２０側の認証サーバ１２１にアカウントが存在するクライアント端末１１３に対しては、通常のEAP認証と同一の動作を行う。一方、イントラネット１２０上の証明書サーバ１２２によって発行された証明書を所有しておらず、かつ、イントラネット１２０上の認証サーバ１２１にアカウントを有していないクライアント端末１１４の場合は、一般的なEAP認証プロセスとは異なる動作を行う。
【００２９】
図３は、クライアント端末１１４がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。図３に示すように、クライアント端末１１４も、アクセスポイント１００の無線通信回路部１０１と802.11アソシエーション（３００）の一連のやり取りを実施した後に、EAP認証プロセス（３０１〜３０９）を開始する。先ず、クライアント端末１１４は無線通信回路部１０１に対してEAP認証を行うことを宣言し（３０１）、この宣言に呼応して、無線通信回路部１０１がEAP認証のための身分証明要求（３０２）をクライアント端末１１４に送信する。これに答えて、クライアント端末１１４は、無線通信回路部１０１に対してユーザID付きのEAP-Response（３０３）を送信する。そして、無線通信回路部１０１は受信パケットをイントラネット１２０上に存在する認証サーバ１２１に向けて転送する（３１０）。ここまでの処理は、上述した一般的なEAP認証プロセスと全く同一である。
【００３０】
ここで、上述の認証サーバ１２１は、クライアント端末１１４からの認証要求（３１０）に反応し、認証サーバ１２１内のデータベースに対して認証要求（３１０）に添付されたユーザIDに相当するユーザが登録されているか否かを検索するが、対応するユーザは登録されていないため、認証拒否応答（３１１）を無線通信回路部１０１へ送信する。そして、認証拒否応答（３１１）を受け取った無線通信回路部１０１は、一般的なEAP認証プロセスで行う認証拒否応答のクライアント端末１１４への転送を行わず、アクセスポイント１００内に設けられた認証サーバ機能部１０２と証明書サーバ機能部１０３で、クライアント端末１１４用に新規に一時証明書又は一時アカウントを作成し、作成した一時証明書又は認証処理に必要な情報を、クライアント端末１１４へ無線通信手段１１０を用いて配布する。
【００３１】
図４は、一時証明書又は一時アカウントの作成配布処理を示すフローチャートである。まずステップＳ４０１において、イントラネット１２０上の認証サーバ１２１によって認証を拒否された場合はステップＳ４０２へ進み、クライアント端末１１４がPAN参加資格を有しない不正ユーザである可能性があるため、アクセスポイント１００内の認証サーバ機能部１０２や証明書サーバ機能部１０３で一時証明書や一時アカウントの発行を行う前に、クライアント端末所有者の個人情報をアクセスポイント１００の表示部１０４にリスト表示する。そして、ステップＳ４０３において、PAN管理者が手入力によってPAN参加の可否入力を行う。具体的には、PAN管理者はアクセスポイント１００の表示部１０４に表示された個人情報を見て、PAN参加者の更新や削除作業を実施した後、PAN参加者リストが過不足無いものになったら、リストの承認を行う。
【００３２】
次に、ステップＳ４０４において、承認の結果、PAN参加資格を有するクライアントであるか否かを判定し、PAN参加資格を有するクライアントであればステップＳ４０５へ進み、証明書サーバ機能部１０３に一時証明書の発行を要求し、ステップＳ４０６で認証サーバ機能部１０２が一時アカウントを作成し、ステップＳ４０７で証明書、一時アカウント及び一時パスワードの情報をクライアントへ配布し、ステップＳ４０８で配布した一時認証情報によるEAP認証のための身分証明要求をクライアントへ送信する。また、ステップＳ４０４において、不正参加者などの正規のクライアントでない場合はステップＳ４０９へ進み、認証拒否をクライアント端末１１４へ転送し、PAN接続の許可を与えない。
【００３３】
また、アクセスポイント１００における一時証明書や一時アカウントの発行と配布処理（Ｓ４０５〜Ｓ４０８）において、EAP認証に一時証明書を利用せず、一時アカウント及び一時パスワードのみを使用するEAP-MD5等を利用する場合には、一時証明書の発行処理（Ｓ４０５）を省略できることは言うまでもない。
【００３４】
ここで図３に戻り、配布終了後、無線通信回路部１０１は、EAP認証のための身分証明要求（３０４）をクライアント端末１１４へ再送信する。これに答えて、クライアント端末１１４は、無線通信回路部１０１経由で認証サーバ機能部１０２に対して新規に配布された一時証明書又は一時アカウントを用いてユーザID付きのEAP-Response（３０５）を送信する。これを受けて、無線通信回路部１０１は、受信したパケットをイントラネット１２０上に存在する認証サーバ１２１ではなく、アクセスポイント１００内に内蔵された認証サーバ機能部１０２へ転送する（３１２）。
【００３５】
これにより、アクセスポイント１００内の認証サーバ機能部１０２は、クライアント端末１１４からの認証要求（３１２）に反応し、認証サーバ機能部１０２内のデータベースに対して認証要求（３１２）に添付されたユーザIDに相当するユーザが登録されているか否かを検索する。このユーザIDは、上述した一時証明書又は一時アカウント作成の際に認証サーバ機能部１０２内のデータベースに登録されているため、アクセスポイント１００内の認証サーバ機能部１０２は無線通信回路部１０１を経由してクライアント端末１１４へ、認証のためのチャレンジ（３１３、３０６）を送信する。このチャレンジ（３０６）を受けたクライアント端末１１４は、そのチャレンジに対応する回答（先立って配布された一時パスワードや一時証明書の内容やそれを加工した物）を、無線通信回路部１０１を経由してアクセスポイント１００内の認証サーバ機能部１０２へと返す（３０７、３１４）。そして、認証サーバ機能部１０２は、クライアント端末１１４から返されたチャレンジ回答（３１４）の内容を吟味する。
【００３６】
このチャレンジ回答は、上述した一時証明書又は一時アカウント作成の際に認証サーバ機能部１０２内のデータベースに登録された情報より導き出されるため、アクセスポイント１００内の認証サーバ機能部１０２は認証ＯＫ（３１５）を無線通信回路部１０１経由でクライアント端末１１４へ送信する。ここで、WEPキー等の無線通信用暗号鍵を変更する場合は、無線通信回路部１０１から無線通信用暗号鍵情報（３０９）がクライアント端末１１４へ送信される。
【００３７】
上述のEAP認証プロセス（３０１〜３０９）が終了した後、クライアント端末１１４は、イントラネット１２０を除くアクセスポイント１００を経由して接続された他のクライアント端末１１１、１１２、１１３へのPAN接続も許可される。また、WEPキーの動的変更を実施する場合は、上述のプロセスが一旦完了した後、定期的に無線通信回路部１０１よりEAP認証のための身分証明要求（３０４）をクライアント端末１１４に送信する。そして、上述の処理と同様の再認証及び新しいWEPキーに関する無線通信用暗号鍵情報送信（３０４〜３０９）のプロセスを繰り返し実行することで、WEPキーの動的変更を実現する。
【００３８】
尚、図４に示すフローチャートにおけるイントラネット１２０上の認証サーバ１２１による認証可否の判定（Ｓ４０１）は、タイムアウトか認証拒否パケットの有無によって判断するものである。また、タイムアウト判定は、クライアント端末１１４がアクセスポイント１００の無線通信回路部１０１経由で認証サーバ１２１に対してユーザID付きのEAP-Response（３０３）を送信し、これを受けた無線通信回路部１０１が受信パケットをイントラネット１２０上に存在する認証サーバ１２１に向けて転送した後、予めアクセスポイント１００に設定したタイムアウト時間までにそのパケットに対するレスポンスがなされなかった場合に、タイムアウトと判断し、以降の処理（Ｓ４０２以降）へ進める。これは、イントラネット１２０上に認証サーバ１２１が存在しない様な場合に有効な判定処理である。
【００３９】
また、認証拒否パケットの有無による判定は、図３に示す認証拒否応答（３１１）を無線通信回路部１０１でモニタし、そのパケットの有無によってイントラネット１２０上の認証サーバ１２１による認証可否を判定する。これは、クライアント端末１１４が、アカウントを有しない認証サーバ１２１が存在するイントラネット１２０に対してユーザID付きのEAP-Response（３０３）を送信する際には、タイムアウト待ち等による無駄な待ち時間を無くせる点で有効な判定処理である。
【００４０】
従って、アクセスポイント１００の無線通信回路部１０１で、イントラネット１２０上の認証サーバ１２１による認証可否の自動判定を最も効率良く行うためには、上述の判定方法を組み合わせて「認証拒否パケットが発行されるか、タイムアウト時間内にレスポンスが無かった場合は認証不可と判断する」ことが好ましい。
【００４１】
また、本実施形態におけるアクセスポイント１００は、携帯して利用するような場合も考えられるため、アクセスポイント１００の設置状況が頻繁に変わることが想定される。即ち、アクセスポイント１００がイントラネット１２０に接続されて使用されたり、イントラネット１２０の存在なしに使用される場合が考えられる。
【００４２】
このように、事前にイントラネット１２０の有無が判明しているような場合に備え、アクセスポイント１００上にスイッチを設け、そのスイッチによってクライアント端末から無線通信回路部１０１経由で認証サーバ１２１に対して送信されるユーザID付きのEAP-Response（２１０、３１０）をイントラネット１２０へ転送するか否かを設定可能としても良い。
【００４３】
尚、このスイッチは物理スイッチ、ソフトスイッチの何れでも構わない。このようなスイッチを設けることで、イントラネット１２０が存在しないことが事前に分かっている環境でアクセスポイント１００を使用する際に、このスイッチをイントラネット１２０への転送不要に設定すれば、図３に示す３１０、３１１のプロセスを省略できるため、一時証明書や一時アカウントの発行処理への移行を迅速に行うことが可能となり、ユーザの利便性を向上させることができる。
【００４４】
また、図３に示したイントラネット１２０上の認証サーバ１２１にアカウントを持たないクライアント端末１１４がアクセスポイント１００との間に無線通信による接続を確立しようとする際の認証処理プロセスでは、クライアント端末からユーザID付きのEAP-Responseが複数回発生する（３０３、３０５）。そこで、１回目のEAP-Response（３０３）はイントラネット１２０上の認証サーバ１２１へ転送し、それ以降のEAP-Response（３０５）はアクセスポイント１００内の認証サーバ機能部１０２へ確実に転送する必要がある。この転送を正しく実現するために、無線通信回路部１０１では、あるクライアント端末のイントラネット１２０上の認証サーバ１２１による認証可否の履歴又はあるクライアント端末への一時証明書や一時アカウントの発行有無の履歴から転送先を決定すれば良い。
【００４５】
つまり、あるクライアント端末のイントラネット１２０上の認証サーバ１２１による認証可否の履歴による判定を行う場合は、イントラネット１２０上の認証サーバ１２１による認証履歴が無いか、或いは認証に成功したクライアント端末については、常にイントラネット１２０上の認証サーバ１２１へEAP-Responseの転送を行い、またイントラネット１２０上の認証サーバ１２１による認証に失敗したクライアント端末については、常にアクセスポイント１００内の認証サーバ機能部１０２へEAP-Responseの転送を行う。
【００４６】
また、任意のクライアント端末への一時証明書や一時アカウントの発行有無の履歴による転送先判定は、任意のクライアント端末に対してアクセスポイント１００内の認証サーバ機能部１０２や証明書サーバ機能部１０３による一時証明書や一時アカウントの発行履歴が無い場合はイントラネット１２０上の認証サーバ１２１へEAP-Responseの転送を行い、一時証明書や一時アカウントの発行履歴がある場合はアクセスポイント１００内の認証サーバ機能部１０２へEAP-Responseの転送を行う。
【００４７】
このようにして、クライアント端末から送信されるユーザID付きのEAP-Responseの転送先を決定することにより、動的にWEPキーを変更する際に繰り返されるユーザID付きのEAP-Responseを、そのクライアント端末を認証した認証サーバ（イントラネット１２０上の認証サーバ１０２、或いはアクセスポイント１００内の認証サーバ機能部１２１）へ確実に転送することができ、ネットワーク接続の一時切断等の不具合を防止することができる。
【００４８】
また、本実施形態で説明したアクセスポイント１００を中心として構築されるPANは、恒久的に存在するものではなく、テンポラリに構築されるものである。従って、アクセスポイント１００内の認証サーバ機能部１０２や証明書サーバ機能部１０３によって発行された一時証明書や一時アカウントは、恒久的に有効なものであってはならない。このため、これらの一時証明書や一時アカウントは、PAN構築期間が終了したら速やかに無効化する必要がある。この無効化のための方法としては、以下のものが考えられる。
【００４９】
第１の方法は、アクセスポイント１００に対して、会議の終了通知やスイッチ操作等のトリガが与えられた際に、それまで有効であった一時証明書や一時アカウントをアクセスポイント１００側で破棄する方法である。
【００５０】
第２の方法は、PAN構築時にユーザによってアクセスポイント１００へ入力されたPAN構築予定時間が終了した場合に、それまで有効であった一時証明書や一時アカウントをアクセスポイント１００側で破棄する方法である。
【００５１】
第３の方法は、PAN構築時から一定時間（数時間が好ましい）が経過した後、無条件にそれまで有効であった一時証明書や一時アカウントをアクセスポイント１００側で破棄する方法である。
【００５２】
第４の方法は、アクセスポイント１００から一時証明書や一時アカウントを発行する際に、ユーザによってアクセスポイント１００へ入力されたPAN構築予定時間か、ある一定時間（数時間が好ましい）の有効期限情報（日付や時間情報）を一時証明書や一時アカウント内に設定しておき、認証毎に、その有効期限情報をチェックし、有効期限が経過した後は失効し、アクセスポイント１００の認証サーバ機能部１０２や証明書サーバ機能部１０３が新たな一時証明書や一時アカウントを再発行しない限り、ネットワーク接続を不可能とする方法である。これらの接続時間制限は、セキュリティの上から有効である。
【００５３】
以上説明したように、本実施形態によれば、イントラネット上の認証サーバに正規のアカウントを持つユーザや、認証サーバで有効な証明書を有するユーザを１回の認証処理でイントラネットとテンポラリに構築されるPAN（Personal Area Network）へセキュアに無線接続することができる。また、認証サーバにアカウントを持たない部外者等に対しても、テンポラリに構築されるPANへのセキュアな無線接続を実現することができる。このような無線接続構築のニーズは、会議等でテンポラリに安全なネットワークを構築したい場合等に最適である。
【００５４】
尚、本発明は複数の機器（例えば、ホストコンピュータ，インターフェース機器，リーダ，プリンタなど）から構成されるシステムに適用しても、１つの機器からなる装置（例えば、複写機，ファクシミリ装置など）に適用しても良い。
【００５５】
また、本発明の目的は前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記録媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（ＣＰＵ若しくはＭＰＵ）が記録媒体に格納されたプログラムコードを読出し実行することによっても、達成されることは言うまでもない。
【００５６】
この場合、記録媒体から読出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記憶した記録媒体は本発明を構成することになる。
【００５７】
このプログラムコードを供給するための記録媒体としては、例えばフロッピー（登録商標）ディスク，ハードディスク，光ディスク，光磁気ディスク，ＣＤ−ＲＯＭ，ＣＤ−Ｒ，磁気テープ，不揮発性のメモリカード，ＲＯＭなどを用いることができる。
【００５８】
また、コンピュータが読出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００５９】
更に、記録媒体から読出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００６０】
【発明の効果】
以上説明したように、本発明によれば、基幹ネットワークで無線端末装置の認証が失敗し、無線接続装置で無線端末装置の認証を行う際に発生する可能性のある一時的な切断等の不具合を防止することができる。
【図面の簡単な説明】
【図１】本実施形態における無線ネットワークシステムの構成を示す図である。
【図２】クライアント端末１１３がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。
【図３】クライアント端末１１４がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。
【図４】一時証明書又は一時アカウントの作成配布処理を示すフローチャートである。
【符号の説明】
１００ アクセスポイント
１０１ 無線通信回路部
１０２ 認証サーバ
１０３ 証明書サーバ
１０４ 表示部
１１０ 無線通信手段
１１１ ＰＤＡ（Personal Digital Assistants）
１１２ ＰＤＡ（Personal Digital Assistants）
１１３ ノート型パソコン
１１４ ノート型パソコン
１２０ 基幹ネットワーク（イントラネット）
１２１ 認証サーバ
１２２ 証明書サーバ
【発明の属する技術分野】
本発明は、無線LANやBluetooth等の無線通信機能を有する端末による小規模なLAN環境であるPAN（Personal Area Network）をセキュアに構築する際に用いられる無線接続装置の認証方法及び無線接続装置に関するものである。
【０００２】
【従来の技術】
従来、無線LANやBluetoothでは、その通信媒体として電波を用いるため、通信先の制限が難しいという問題があった。このため、これらの規格では、通信先毎に暗号鍵を変更することで、たとえパケットを覗き見られても、それを解読できないようにするといった防御手段が執られている。
【０００３】
現在、最も一般的な無線通信の暗号化手段は、IEEE802.11（以下「802.11」）方式であればWEPキー（40bit,128bit）による暗号化であり、またBluetooth方式であれば、Pinコードから自動生成される128bitの暗号鍵による暗号化である。しかし、これらの暗号化方式にも脆弱性があることが指摘されており、無線通信の安全性を更に高めるための暗号化方式として、802.11方式では、802.1xベースの認証を実施した上での動的WEPキー変換（EAP）やTKIP,AESといった、更に高度な暗号化方式、Bluetooth方式では、802.1xベースの上位アプリケーション層での認証・暗号化方式などが検討され、一部実施されている。この中でも802.1xをベースとしたEAP（Extensible Authentication Protocol）方式と呼ばれる認証・暗号化手段は、一部のＯＳ環境において、802.11方式向けの認証・暗号化手段として標準的に実装されている。
【０００４】
無線LAN（802.11）におけるEAP方式は、クライアント端末がネットワーク接続要求を行う際に、無線接続装置であるアクセスポイントを介して、TCP/IPの一部ポートを利用してイントラネットやインターネット上に設けられた認証サーバ（RADIUSサーバ等）とデータ通信を行い、認証サーバからクライアント端末への証明書の要求又はチャレンジを実施する。クライアント端末は、証明書所有の証明を行うか、チャレンジに対してアカウント名とパスワードとを返し、それらが認証サーバ内のデータと一致すれば、認証サーバはクライアント端末のネットワーク接続を許可し、無線通信を暗号化するための128bitの暗号鍵又は暗号鍵生成パラメータをアクセスポイントとクライアント端末に返す。
【０００５】
このようなプロセスを経て、クライアント端末が認証サーバによる認証にパスすると、それ以降の無線通信は、128bitの暗号鍵をWEPキーとしてクライアント端末とアクセスポイントとの両者間で利用することで暗号化される。更に、このようなプロセスは一定時間毎に定期的に実施され、暗号鍵の更新を行う。
【０００６】
また、Bluetooth方式では、無線通信機能を有する各端末で構築される小規模なLAN環境であるPAN（Personal Area Network）プロファイルにおいてセキュリティ向上のために802.1x認証・暗号化手段を用いることが推奨されている。このBluetoothの場合、無線媒体である電波を暗号化するための鍵の生成はBluetooth方式で通信を行うデバイス間のPinコードによる相互認証によって自動的に生成されるため、認証サーバから受け取った暗号鍵情報を、無線LANで用いられているWEPキーのような電波そのものの暗号化鍵としては利用できないが、無線媒体として電波を生成する前段階でパケットを暗号化する際の鍵として利用することで、二重に暗号化し通信のセキュリティを向上させることができる。
【０００７】
以上述べてきた802.1x方式の認証・暗号化プロセスでは、認証を実施するための認証サーバがイントラネットなどのネットワーク内に存在し、その認証サーバがクライアント端末のアカウントを集中管理している。このため、802.1x方式を用いるならば、クライアント端末がどこにいても、認証サーバとのTCP/IPによる通信が実施可能な場合、同一アカウント及びパスワードを用いてイントラネットなどの基幹ネットワークに接続することができる。
【０００８】
【発明が解決しようとする課題】
このように、上述した802.1x方式による認証・暗号化プロセスを用いることで、クライアント端末は無線通信を用いた安全なネットワーク接続を実現できる。但し、そのためには、ネットワーク内に認証サーバが設置され、かつ、その認証サーバには、予めクライアント端末のアカウントが登録されている必要がある。即ち、802.1x方式は、比較的規模の大きなイントラネット等の基幹ネットワーク上での運用を想定した方式であり、無線によるネットワーク接続を行うクライアント端末も認証サーバ上にアカウントを持ったメンバに限定されるといった制限があった。
【０００９】
このため、認証サーバ上にアカウントの無い外来者が参加するミーティングを行う場合やイントラネット等の基幹ネットワークへの接続手段がない社外の会議室等でのミーティングを行う場合は、802.1x方式による認証・暗号化プロセスを利用した無線通信による安全なネットワーク構築ができないという不具合があった。
【００１０】
尚、その際に、認証・暗号化を行うことなく、無線通信は実現可能であるが、セキュリティの面から大きな問題がある。
【００１１】
また、手作業により無線通信用のパラメータを設定すれば、無線通信の暗号化は可能であるが、クライアント端末はイントラネット等の基幹ネットワーク上で通常利用する802.1x方式のアカウント及びパスワードの入力による自動接続とは、全く異なる接続手段を手動で行わなければならない。また、手作業による無線通信用パラメータの設定では、暗号鍵を一定時間毎に変更することも自動的には実施不可能であるため、安全性が損なわれる。
【００１２】
上述のような不具合を無くすためには、PANを構築するメンバのために802.1x方式に対応した専用の認証サーバを設け、その認証サーバ上でPAN構成者を一元管理すれば良い。しかし、そうした場合、イントラネット等の基幹ネットワーク側に存在する正規の認証サーバにアカウントを所有するユーザも、PAN構築専用の認証サーバによって認証が行われるため、無線通信は暗号化されるもののイントラネット等の基幹ネットワークへのアクセスのために、再度、認証作業が必要であったり、或いはイントラネットへのアクセスに障害がでたりと言った不都合が生じる。
【００１９】
本発明の目的は、無線端末装置が無線接続装置に認証される際にネットワークの一時的な切断等の不具合を被ることを回避することである。
【００２０】
【課題を解決するための手段】
上記目的を達成するために、本発明は、基幹ネットワークに接続され、無線通信により無線端末装置と接続する無線接続装置の認証方法であって、無線端末装置から無線通信による認証要求を受信する受信工程と、受信した認証要求を基幹ネットワークへ転送し、該認証要求に対する認証処理が基幹ネットワークで失敗した場合に、前記無線端末装置に対する一時的な認証処理を行う認証工程と、無線端末装置の基幹ネットワークに対する認証成否又は無線端末装置に対するアカウントの発行有無又は無線端末装置に対する証明書の発行有無の履歴を参照する参照工程と、前記参照工程において参照した前記履歴に応じて、無線端末装置からの認証要求を基幹ネットワークへ転送するか、無線端末装置からの認証要求を基幹ネットワークへ転送せずに前記認証工程における認証を行うかを決定する決定工程と、を有することを特徴とする。
また、本発明は、基幹ネットワークに接続され、無線通信により無線端末装置と接続する無線接続装置であって、無線端末装置から無線通信による認証要求を受信する受信手段と、受信した認証要求を基幹ネットワークへ転送し、該認証要求に対する認証処理が基幹ネットワークで失敗した場合に、前記無線端末装置に対する一時的な認証処理を行う認証手段と、無線端末装置の基幹ネットワークに対する認証成否又は無線端末装置に対するアカウントの発行有無又は無線端末装置に対する証明書の発行有無の履歴を参照する参照手段と、前記参照手段により参照した前記履歴に応じて、無線端末装置からの認証要求を基幹ネットワークへ転送するか、無線端末装置からの認証要求を基幹ネットワークへ転送せずに前記認証手段による認証を行うかを決定する決定手段と、を有することを特徴とする。
【００２１】
【発明の実施の形態】
以下、図面を参照しながら本発明に係る実施の形態を詳細に説明する。
【００２２】
図１は、本実施形態における無線ネットワークシステムの構成を示す図である。図１において、１００は本実施形態のアクセスポイントであり、IEEE802.11やBluetooth等の無線通信手段によって安全なネットワークを構築する。アクセスポイント１００において、１０１は無線通信回路部であり、無線通信手段により後述するクライアント端末との間で無線による通信を行う。１０２は認証サーバ機能部であり、後述するイントラネット上の認証サーバに代わってクライアント端末の認証処理を行う。１０３は証明書サーバ機能部であり、認証サーバ機能部１０２により認証されたクライアント端末へ証明書の発行を行う。１０４は表示部であり、アクセスポイント１００からの一時認証のためのメッセージを表示する。
【００２３】
１１０は無線媒体であり、802.11やBluetooth等の電波による無線通信手段である。１１１、１１２はＰＤＡ（Personal Digital Assistants）であり、アクセスポイント１００と無線で接続する。１１３、１１４はノート型パソコン（ＰＣ）であり、アクセスポイント１００と無線で接続する。１２０はアクセスポイント１００と接続されたイントラネットやインターネットなどの基幹ネットワーク（以下「イントラネット」と称す）である。１２１はイントラネット１２０上に設けられた認証サーバであり、クライアント端末からの認証要求により認証処理を行う。１２２はイントラネット１２０上に設けられた証明書サーバである。尚、本実施形態では、上述のアクセスポイント１００と無線通信手段１１０を介して接続されるＰＤＡ１１１、１１２、ノート型パソコン１１３、１１４を「クライアント端末」と称す。
【００２４】
ここで、以下の説明を容易にするために、クライアント端末１１３はイントラネット１２０上の証明書サーバ１２２によって発行された証明書を所有しているか、イントラネット１２０上の認証サーバ１２１にアカウントを有するクライアント端末であると仮定する。同様に、クライアント端末１１４はイントラネット１２０上の証明書サーバ１２２によって発行された証明書を所有しておらず、かつイントラネット１２０上の認証サーバ１２１にアカウントを有していないクライアント端末であると仮定する。
【００２５】
図２は、クライアント端末１１３がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。図２に示すように、クライアント端末１１３が、アクセスポイント１００の無線通信回路部１０１と802.11アソシエーション（２００）の一連のやり取りを実施した後に、EAP認証プロセス（２０１〜２０７）を開始する。先ず、クライアント端末１１３は無線通信回路部１０１に対してEAP認証を行うことを宣言し（２０１）、この宣言に呼応して、無線通信回路部１０１がEAP認証のための身分証明要求（２０２）をクライアント端末１１３に送信する。これに答えて、クライアント端末１１３は、無線通信回路部１０１に対してユーザID付きのEAP-Response（２０３）を送信する。そして、無線通信回路部１０１は受信パケットをイントラネット１２０上に存在する認証サーバ１２１に向けて転送する（２１０）。
【００２６】
これにより、認証サーバ１２１は、クライアント端末１１３からの認証要求（２１０）に反応し、認証サーバ１２１内のデータベースに対して認証要求（２１０）に添付されたユーザIDに相当するユーザが登録されているか否かを検索する。ここで、対応するユーザが登録されていた場合には、無線通信回路部１０１を経由してクライアント端末１１３へ、認証のためのチャレンジ（２１１、２０４）を送信する。このチャレンジ（２０４）を受けたクライアント端末１１３は、そのチャレンジに対応する回答（一般的にはパスワードや証明書の内容）を無線通信回路部１０１経由でイントラネット１２０上の認証サーバ１２１へと返す（２０５、２１２）。そして、認証サーバ１２１は、クライアント端末１１３から返されたチャレンジ回答（２１２）の内容を吟味し、自身のデータベースに記録された認証データと一致していれば、認証ＯＫを無線通信回路部１０１経由でクライアント端末１１３へ送信する（２１３、２０６）。ここでWEPキー等の無線通信用暗号鍵を変更する場合には、無線通信回路部１０１から無線通信用暗号鍵情報（２０７）がクライアント端末１１３へ送信される。
【００２７】
上述のEAP認証プロセス（２０１〜２０７）が終了した後、クライアント端末１１３は、アクセスポイント１００経由のイントラネット１２０へのアクセスが許可される。この際、イントラネット１２０上の認証サーバ１２１による認証がなされたクライアント端末１１３に対しては、イントラネット１２０だけでなく、アクセスポイント１００を経由して接続された他のクライアント端末１１１、１１２、１１４へのPANアクセスも許可されることは言うまでもない。また、WEPキーの動的変更を実施する場合は、上述のプロセスが一旦完了した後、定期的に無線通信回路部１０１よりEAP認証のための身分証明要求（２０２）をクライアント端末１１３に送信する。そして、上述の処理と同様の再認証及び新しいWEPキーに関する無線通信用暗号鍵情報送信（２０２〜２０７）のプロセスを繰り返し実行することで、WEPキーの動的変更を実現する。
【００２８】
上述の認証プロセスは、一般的なEAP認証の実施プロセスと何ら変わりない。即ち、本実施形態ではイントラネット１２０側の認証サーバ１２１にアカウントが存在するクライアント端末１１３に対しては、通常のEAP認証と同一の動作を行う。一方、イントラネット１２０上の証明書サーバ１２２によって発行された証明書を所有しておらず、かつ、イントラネット１２０上の認証サーバ１２１にアカウントを有していないクライアント端末１１４の場合は、一般的なEAP認証プロセスとは異なる動作を行う。
【００２９】
図３は、クライアント端末１１４がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。図３に示すように、クライアント端末１１４も、アクセスポイント１００の無線通信回路部１０１と802.11アソシエーション（３００）の一連のやり取りを実施した後に、EAP認証プロセス（３０１〜３０９）を開始する。先ず、クライアント端末１１４は無線通信回路部１０１に対してEAP認証を行うことを宣言し（３０１）、この宣言に呼応して、無線通信回路部１０１がEAP認証のための身分証明要求（３０２）をクライアント端末１１４に送信する。これに答えて、クライアント端末１１４は、無線通信回路部１０１に対してユーザID付きのEAP-Response（３０３）を送信する。そして、無線通信回路部１０１は受信パケットをイントラネット１２０上に存在する認証サーバ１２１に向けて転送する（３１０）。ここまでの処理は、上述した一般的なEAP認証プロセスと全く同一である。
【００３０】
ここで、上述の認証サーバ１２１は、クライアント端末１１４からの認証要求（３１０）に反応し、認証サーバ１２１内のデータベースに対して認証要求（３１０）に添付されたユーザIDに相当するユーザが登録されているか否かを検索するが、対応するユーザは登録されていないため、認証拒否応答（３１１）を無線通信回路部１０１へ送信する。そして、認証拒否応答（３１１）を受け取った無線通信回路部１０１は、一般的なEAP認証プロセスで行う認証拒否応答のクライアント端末１１４への転送を行わず、アクセスポイント１００内に設けられた認証サーバ機能部１０２と証明書サーバ機能部１０３で、クライアント端末１１４用に新規に一時証明書又は一時アカウントを作成し、作成した一時証明書又は認証処理に必要な情報を、クライアント端末１１４へ無線通信手段１１０を用いて配布する。
【００３１】
図４は、一時証明書又は一時アカウントの作成配布処理を示すフローチャートである。まずステップＳ４０１において、イントラネット１２０上の認証サーバ１２１によって認証を拒否された場合はステップＳ４０２へ進み、クライアント端末１１４がPAN参加資格を有しない不正ユーザである可能性があるため、アクセスポイント１００内の認証サーバ機能部１０２や証明書サーバ機能部１０３で一時証明書や一時アカウントの発行を行う前に、クライアント端末所有者の個人情報をアクセスポイント１００の表示部１０４にリスト表示する。そして、ステップＳ４０３において、PAN管理者が手入力によってPAN参加の可否入力を行う。具体的には、PAN管理者はアクセスポイント１００の表示部１０４に表示された個人情報を見て、PAN参加者の更新や削除作業を実施した後、PAN参加者リストが過不足無いものになったら、リストの承認を行う。
【００３２】
次に、ステップＳ４０４において、承認の結果、PAN参加資格を有するクライアントであるか否かを判定し、PAN参加資格を有するクライアントであればステップＳ４０５へ進み、証明書サーバ機能部１０３に一時証明書の発行を要求し、ステップＳ４０６で認証サーバ機能部１０２が一時アカウントを作成し、ステップＳ４０７で証明書、一時アカウント及び一時パスワードの情報をクライアントへ配布し、ステップＳ４０８で配布した一時認証情報によるEAP認証のための身分証明要求をクライアントへ送信する。また、ステップＳ４０４において、不正参加者などの正規のクライアントでない場合はステップＳ４０９へ進み、認証拒否をクライアント端末１１４へ転送し、PAN接続の許可を与えない。
【００３３】
また、アクセスポイント１００における一時証明書や一時アカウントの発行と配布処理（Ｓ４０５〜Ｓ４０８）において、EAP認証に一時証明書を利用せず、一時アカウント及び一時パスワードのみを使用するEAP-MD5等を利用する場合には、一時証明書の発行処理（Ｓ４０５）を省略できることは言うまでもない。
【００３４】
ここで図３に戻り、配布終了後、無線通信回路部１０１は、EAP認証のための身分証明要求（３０４）をクライアント端末１１４へ再送信する。これに答えて、クライアント端末１１４は、無線通信回路部１０１経由で認証サーバ機能部１０２に対して新規に配布された一時証明書又は一時アカウントを用いてユーザID付きのEAP-Response（３０５）を送信する。これを受けて、無線通信回路部１０１は、受信したパケットをイントラネット１２０上に存在する認証サーバ１２１ではなく、アクセスポイント１００内に内蔵された認証サーバ機能部１０２へ転送する（３１２）。
【００３５】
これにより、アクセスポイント１００内の認証サーバ機能部１０２は、クライアント端末１１４からの認証要求（３１２）に反応し、認証サーバ機能部１０２内のデータベースに対して認証要求（３１２）に添付されたユーザIDに相当するユーザが登録されているか否かを検索する。このユーザIDは、上述した一時証明書又は一時アカウント作成の際に認証サーバ機能部１０２内のデータベースに登録されているため、アクセスポイント１００内の認証サーバ機能部１０２は無線通信回路部１０１を経由してクライアント端末１１４へ、認証のためのチャレンジ（３１３、３０６）を送信する。このチャレンジ（３０６）を受けたクライアント端末１１４は、そのチャレンジに対応する回答（先立って配布された一時パスワードや一時証明書の内容やそれを加工した物）を、無線通信回路部１０１を経由してアクセスポイント１００内の認証サーバ機能部１０２へと返す（３０７、３１４）。そして、認証サーバ機能部１０２は、クライアント端末１１４から返されたチャレンジ回答（３１４）の内容を吟味する。
【００３６】
このチャレンジ回答は、上述した一時証明書又は一時アカウント作成の際に認証サーバ機能部１０２内のデータベースに登録された情報より導き出されるため、アクセスポイント１００内の認証サーバ機能部１０２は認証ＯＫ（３１５）を無線通信回路部１０１経由でクライアント端末１１４へ送信する。ここで、WEPキー等の無線通信用暗号鍵を変更する場合は、無線通信回路部１０１から無線通信用暗号鍵情報（３０９）がクライアント端末１１４へ送信される。
【００３７】
上述のEAP認証プロセス（３０１〜３０９）が終了した後、クライアント端末１１４は、イントラネット１２０を除くアクセスポイント１００を経由して接続された他のクライアント端末１１１、１１２、１１３へのPAN接続も許可される。また、WEPキーの動的変更を実施する場合は、上述のプロセスが一旦完了した後、定期的に無線通信回路部１０１よりEAP認証のための身分証明要求（３０４）をクライアント端末１１４に送信する。そして、上述の処理と同様の再認証及び新しいWEPキーに関する無線通信用暗号鍵情報送信（３０４〜３０９）のプロセスを繰り返し実行することで、WEPキーの動的変更を実現する。
【００３８】
尚、図４に示すフローチャートにおけるイントラネット１２０上の認証サーバ１２１による認証可否の判定（Ｓ４０１）は、タイムアウトか認証拒否パケットの有無によって判断するものである。また、タイムアウト判定は、クライアント端末１１４がアクセスポイント１００の無線通信回路部１０１経由で認証サーバ１２１に対してユーザID付きのEAP-Response（３０３）を送信し、これを受けた無線通信回路部１０１が受信パケットをイントラネット１２０上に存在する認証サーバ１２１に向けて転送した後、予めアクセスポイント１００に設定したタイムアウト時間までにそのパケットに対するレスポンスがなされなかった場合に、タイムアウトと判断し、以降の処理（Ｓ４０２以降）へ進める。これは、イントラネット１２０上に認証サーバ１２１が存在しない様な場合に有効な判定処理である。
【００３９】
また、認証拒否パケットの有無による判定は、図３に示す認証拒否応答（３１１）を無線通信回路部１０１でモニタし、そのパケットの有無によってイントラネット１２０上の認証サーバ１２１による認証可否を判定する。これは、クライアント端末１１４が、アカウントを有しない認証サーバ１２１が存在するイントラネット１２０に対してユーザID付きのEAP-Response（３０３）を送信する際には、タイムアウト待ち等による無駄な待ち時間を無くせる点で有効な判定処理である。
【００４０】
従って、アクセスポイント１００の無線通信回路部１０１で、イントラネット１２０上の認証サーバ１２１による認証可否の自動判定を最も効率良く行うためには、上述の判定方法を組み合わせて「認証拒否パケットが発行されるか、タイムアウト時間内にレスポンスが無かった場合は認証不可と判断する」ことが好ましい。
【００４１】
また、本実施形態におけるアクセスポイント１００は、携帯して利用するような場合も考えられるため、アクセスポイント１００の設置状況が頻繁に変わることが想定される。即ち、アクセスポイント１００がイントラネット１２０に接続されて使用されたり、イントラネット１２０の存在なしに使用される場合が考えられる。
【００４２】
このように、事前にイントラネット１２０の有無が判明しているような場合に備え、アクセスポイント１００上にスイッチを設け、そのスイッチによってクライアント端末から無線通信回路部１０１経由で認証サーバ１２１に対して送信されるユーザID付きのEAP-Response（２１０、３１０）をイントラネット１２０へ転送するか否かを設定可能としても良い。
【００４３】
尚、このスイッチは物理スイッチ、ソフトスイッチの何れでも構わない。このようなスイッチを設けることで、イントラネット１２０が存在しないことが事前に分かっている環境でアクセスポイント１００を使用する際に、このスイッチをイントラネット１２０への転送不要に設定すれば、図３に示す３１０、３１１のプロセスを省略できるため、一時証明書や一時アカウントの発行処理への移行を迅速に行うことが可能となり、ユーザの利便性を向上させることができる。
【００４４】
また、図３に示したイントラネット１２０上の認証サーバ１２１にアカウントを持たないクライアント端末１１４がアクセスポイント１００との間に無線通信による接続を確立しようとする際の認証処理プロセスでは、クライアント端末からユーザID付きのEAP-Responseが複数回発生する（３０３、３０５）。そこで、１回目のEAP-Response（３０３）はイントラネット１２０上の認証サーバ１２１へ転送し、それ以降のEAP-Response（３０５）はアクセスポイント１００内の認証サーバ機能部１０２へ確実に転送する必要がある。この転送を正しく実現するために、無線通信回路部１０１では、あるクライアント端末のイントラネット１２０上の認証サーバ１２１による認証可否の履歴又はあるクライアント端末への一時証明書や一時アカウントの発行有無の履歴から転送先を決定すれば良い。
【００４５】
つまり、あるクライアント端末のイントラネット１２０上の認証サーバ１２１による認証可否の履歴による判定を行う場合は、イントラネット１２０上の認証サーバ１２１による認証履歴が無いか、或いは認証に成功したクライアント端末については、常にイントラネット１２０上の認証サーバ１２１へEAP-Responseの転送を行い、またイントラネット１２０上の認証サーバ１２１による認証に失敗したクライアント端末については、常にアクセスポイント１００内の認証サーバ機能部１０２へEAP-Responseの転送を行う。
【００４６】
また、任意のクライアント端末への一時証明書や一時アカウントの発行有無の履歴による転送先判定は、任意のクライアント端末に対してアクセスポイント１００内の認証サーバ機能部１０２や証明書サーバ機能部１０３による一時証明書や一時アカウントの発行履歴が無い場合はイントラネット１２０上の認証サーバ１２１へEAP-Responseの転送を行い、一時証明書や一時アカウントの発行履歴がある場合はアクセスポイント１００内の認証サーバ機能部１０２へEAP-Responseの転送を行う。
【００４７】
このようにして、クライアント端末から送信されるユーザID付きのEAP-Responseの転送先を決定することにより、動的にWEPキーを変更する際に繰り返されるユーザID付きのEAP-Responseを、そのクライアント端末を認証した認証サーバ（イントラネット１２０上の認証サーバ１０２、或いはアクセスポイント１００内の認証サーバ機能部１２１）へ確実に転送することができ、ネットワーク接続の一時切断等の不具合を防止することができる。
【００４８】
また、本実施形態で説明したアクセスポイント１００を中心として構築されるPANは、恒久的に存在するものではなく、テンポラリに構築されるものである。従って、アクセスポイント１００内の認証サーバ機能部１０２や証明書サーバ機能部１０３によって発行された一時証明書や一時アカウントは、恒久的に有効なものであってはならない。このため、これらの一時証明書や一時アカウントは、PAN構築期間が終了したら速やかに無効化する必要がある。この無効化のための方法としては、以下のものが考えられる。
【００４９】
第１の方法は、アクセスポイント１００に対して、会議の終了通知やスイッチ操作等のトリガが与えられた際に、それまで有効であった一時証明書や一時アカウントをアクセスポイント１００側で破棄する方法である。
【００５０】
第２の方法は、PAN構築時にユーザによってアクセスポイント１００へ入力されたPAN構築予定時間が終了した場合に、それまで有効であった一時証明書や一時アカウントをアクセスポイント１００側で破棄する方法である。
【００５１】
第３の方法は、PAN構築時から一定時間（数時間が好ましい）が経過した後、無条件にそれまで有効であった一時証明書や一時アカウントをアクセスポイント１００側で破棄する方法である。
【００５２】
第４の方法は、アクセスポイント１００から一時証明書や一時アカウントを発行する際に、ユーザによってアクセスポイント１００へ入力されたPAN構築予定時間か、ある一定時間（数時間が好ましい）の有効期限情報（日付や時間情報）を一時証明書や一時アカウント内に設定しておき、認証毎に、その有効期限情報をチェックし、有効期限が経過した後は失効し、アクセスポイント１００の認証サーバ機能部１０２や証明書サーバ機能部１０３が新たな一時証明書や一時アカウントを再発行しない限り、ネットワーク接続を不可能とする方法である。これらの接続時間制限は、セキュリティの上から有効である。
【００５３】
以上説明したように、本実施形態によれば、イントラネット上の認証サーバに正規のアカウントを持つユーザや、認証サーバで有効な証明書を有するユーザを１回の認証処理でイントラネットとテンポラリに構築されるPAN（Personal Area Network）へセキュアに無線接続することができる。また、認証サーバにアカウントを持たない部外者等に対しても、テンポラリに構築されるPANへのセキュアな無線接続を実現することができる。このような無線接続構築のニーズは、会議等でテンポラリに安全なネットワークを構築したい場合等に最適である。
【００５４】
尚、本発明は複数の機器（例えば、ホストコンピュータ，インターフェース機器，リーダ，プリンタなど）から構成されるシステムに適用しても、１つの機器からなる装置（例えば、複写機，ファクシミリ装置など）に適用しても良い。
【００５５】
また、本発明の目的は前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記録媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（ＣＰＵ若しくはＭＰＵ）が記録媒体に格納されたプログラムコードを読出し実行することによっても、達成されることは言うまでもない。
【００５６】
この場合、記録媒体から読出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記憶した記録媒体は本発明を構成することになる。
【００５７】
このプログラムコードを供給するための記録媒体としては、例えばフロッピー（登録商標）ディスク，ハードディスク，光ディスク，光磁気ディスク，ＣＤ−ＲＯＭ，ＣＤ−Ｒ，磁気テープ，不揮発性のメモリカード，ＲＯＭなどを用いることができる。
【００５８】
また、コンピュータが読出したプログラムコードを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているＯＳ（オペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００５９】
更に、記録媒体から読出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部又は全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００６０】
【発明の効果】
以上説明したように、本発明によれば、基幹ネットワークで無線端末装置の認証が失敗し、無線接続装置で無線端末装置の認証を行う際に発生する可能性のある一時的な切断等の不具合を防止することができる。
【図面の簡単な説明】
【図１】本実施形態における無線ネットワークシステムの構成を示す図である。
【図２】クライアント端末１１３がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。
【図３】クライアント端末１１４がアクセスポイント１００との間に無線通信による接続を確立する場合の認証処理を示す遷移図である。
【図４】一時証明書又は一時アカウントの作成配布処理を示すフローチャートである。
【符号の説明】
１００ アクセスポイント
１０１ 無線通信回路部
１０２ 認証サーバ
１０３ 証明書サーバ
１０４ 表示部
１１０ 無線通信手段
１１１ ＰＤＡ（Personal Digital Assistants）
１１２ ＰＤＡ（Personal Digital Assistants）
１１３ ノート型パソコン
１１４ ノート型パソコン
１２０ 基幹ネットワーク（イントラネット）
１２１ 認証サーバ
１２２ 証明書サーバ
Claims (12)
- 基幹ネットワークに接続され、無線通信により無線端末装置と接続する無線接続装置の認証方法であって、
無線端末装置から無線通信による認証要求を受信する受信工程と、
受信した認証要求を基幹ネットワークへ転送し、該認証要求に対する認証処理が基幹ネットワークで失敗した場合に、前記無線端末装置に対する一時的な認証処理を行う認証工程と、
無線端末装置の基幹ネットワークに対する認証成否又は無線端末装置に対するアカウントの発行有無又は無線端末装置に対する証明書の発行有無の履歴を参照する参照工程と、
前記参照工程において参照した前記履歴に応じて、無線端末装置からの認証要求を基幹ネットワークへ転送するか、無線端末装置からの認証要求を基幹ネットワークへ転送せずに前記認証工程における認証を行うかを決定する決定工程と、
を有することを特徴とする無線接続装置の認証方法。 - 前記認証工程における認証結果に応じて、前記無線端末装置に対して前記基幹ネットワークへのアクセスを禁止する禁止工程を有することを特徴とする請求項１記載の無線接続装置の認証方法。
- 前記認証工程における認証結果に応じて、前記無線端末装置に対して前記無線接続装置を介して他の無線端末装置に対する通信のみを許可する許可工程を有することを特徴とする請求項２記載の無線接続装置の認証方法。
- 前記認証工程は、無線端末装置からの認証要求に対する基幹ネットワークによる認証の失敗をタイムアウトによって判定することを特徴とする請求項１記載の無線接続装置の認証方法。
- 前記認証工程は、無線端末装置からの認証要求に対する基幹ネットワークによる認証の失敗を認証サーバからの認証拒否パケットによって判定することを特徴とする請求項１記載の無線接続装置の認証方法。
- 前記認証工程は、無線端末装置からの認証要求を基幹ネットワークへ転送するか否かをスイッチの設定により判定することを特徴とする請求項１記載の無線接続装置の認証方法。
- 前記認証工程において認証を行う際に、前記基幹ネットワークによる認証処理に失敗した無線端末装置に対して一時的なアカウント又は証明書を発行する発行工程を有し、
前記発行工程において発行したアカウント又はや証明書を一定のユーザ操作によって無効化する無効化工程と、を有することを特徴とする請求項１記載の無線接続装置の認証方法。 - 前記認証工程において認証を行う際に、前記基幹ネットワークによる認証処理に失敗した無線端末装置に対して一時的なアカウント又は証明書を発行する発行工程を有し、
前記発行工程において発行したアカウント又はや証明書をユーザ設定による設定時間か一定時間が経過した後に、無効化する無効化工程と、を有することを特徴とする請求項１記載の無線接続装置の認証方法。 - 前記認証工程において認証を行う際に、前記基幹ネットワークによる認証処理に失敗した無線端末装置に対して発行する一時的なアカウント又は証明書を発行する発行工程を有し、
前記アカウント又は証明書には、有効期限情報が含まれ、前記認証工程は、該有効時間が経過した後は、前記アカウント又は証明書による接続要求を受け付けないことを特徴とする請求項１記載の無線接続装置の認証方法。 - 基幹ネットワークに接続され、無線通信により無線端末装置と接続する無線接続装置であって、
無線端末装置から無線通信による認証要求を受信する受信手段と、
受信した認証要求を基幹ネットワークへ転送し、該認証要求に対する認証処理が基幹ネットワークで失敗した場合に、前記無線端末装置に対する一時的な認証処理を行う認証手段と、
無線端末装置の基幹ネットワークに対する認証成否又は無線端末装置に対するアカウントの発行有無又は無線端末装置に対する証明書の発行有無の履歴を参照する参照手段と、
前記参照手段により参照した前記履歴に応じて、無線端末装置からの認証要求を基幹ネットワークへ転送するか、無線端末装置からの認証要求を基幹ネットワークへ転送せずに前記認証手段による認証を行うかを決定する決定手段と、
を有することを特徴とする無線接続装置。 - コンピュータに請求項１乃至請求項９の何れかに記載の無線接続装置の認証方法を実行させるためのプログラム。
- 請求項１１記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003098038A JP4018584B2 (ja) | 2003-04-01 | 2003-04-01 | 無線接続装置の認証方法及び無線接続装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003098038A JP4018584B2 (ja) | 2003-04-01 | 2003-04-01 | 無線接続装置の認証方法及び無線接続装置 |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2004304710A JP2004304710A (ja) | 2004-10-28 |
| JP2004304710A5 JP2004304710A5 (ja) | 2006-06-01 |
| JP4018584B2 true JP4018584B2 (ja) | 2007-12-05 |
Family
ID=33409673
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003098038A Expired - Fee Related JP4018584B2 (ja) | 2003-04-01 | 2003-04-01 | 無線接続装置の認証方法及び無線接続装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4018584B2 (ja) |
Families Citing this family (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4908819B2 (ja) * | 2004-12-01 | 2012-04-04 | キヤノン株式会社 | 無線制御装置、システム、制御方法、及びプログラム |
| JP2006217327A (ja) * | 2005-02-04 | 2006-08-17 | Kddi Corp | 無線通信装置及び通信システム |
| CN101051967A (zh) | 2006-04-04 | 2007-10-10 | 华为技术有限公司 | 用户网络中用户设备的通信系统及其方法 |
| US9319880B2 (en) | 2010-09-15 | 2016-04-19 | Intel Corporation | Reformatting data to decrease bandwidth between a video encoder and a buffer |
| EP2754260A4 (en) | 2011-09-09 | 2015-05-06 | Intel Corp | MOBILE DEVICE AND METHOD FOR SECURE ONLINE REGISTRATION AND SUPPLY OF WIRELESS ACCESS POINTS USING SOAP-XML TYPE TECHNIQUES |
| US9843452B2 (en) * | 2014-12-15 | 2017-12-12 | Amazon Technologies, Inc. | Short-duration digital certificate issuance based on long-duration digital certificate validation |
| JP6152962B1 (ja) | 2016-12-15 | 2017-06-28 | 株式会社タウンＷｉＦｉ | 端末装置、接続方法、接続プログラム、認証支援サーバ、認証支援方法、認証支援プログラム及び認証支援システム |
-
2003
- 2003-04-01 JP JP2003098038A patent/JP4018584B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004304710A (ja) | 2004-10-28 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9131378B2 (en) | Dynamic authentication in secured wireless networks | |
| JP3961462B2 (ja) | コンピュータ装置、無線ｌａｎシステム、プロファイルの更新方法、およびプログラム | |
| JP4746333B2 (ja) | コンピューティングシステムの効率的かつセキュアな認証 | |
| EP1959368B1 (en) | Security link management in dynamic networks | |
| JP4777729B2 (ja) | 設定情報配布装置、方法、プログラム及び媒体 | |
| CN102215221B (zh) | 从移动设备对计算机的安全远程唤醒、引导及登录的方法和系统 | |
| US8555344B1 (en) | Methods and systems for fallback modes of operation within wireless computer networks | |
| CN108769007B (zh) | 网关安全认证方法、服务器及网关 | |
| US20070089163A1 (en) | System and method for controlling security of a remote network power device | |
| US20060161770A1 (en) | Network apparatus and program | |
| US7975293B2 (en) | Authentication system, authentication method and terminal device | |
| US20070165582A1 (en) | System and method for authenticating a wireless computing device | |
| WO2007128134A1 (en) | Secure wireless guest access | |
| US11522702B1 (en) | Secure onboarding of computing devices using blockchain | |
| JP4018584B2 (ja) | 無線接続装置の認証方法及び無線接続装置 | |
| JP2003338814A (ja) | 通信システム、管理サーバおよびその制御方法ならびにプログラム | |
| JP2008097264A (ja) | 無線ｌａｎ端末を認証する認証システム、認証方法、認証サーバ、無線ｌａｎ端末、及びプログラム | |
| JP4499575B2 (ja) | ネットワークセキュリティ方法およびネットワークセキュリティシステム | |
| KR102288445B1 (ko) | 단체용 인증모듈의 온보딩 방법, 장치 및 프로그램 | |
| JP2019213085A (ja) | データ通信システム | |
| JP5545433B2 (ja) | 携帯電子装置および携帯電子装置の動作制御方法 | |
| JP2009104509A (ja) | 端末認証システム、端末認証方法 | |
| US20040225709A1 (en) | Automatically configuring security system | |
| Zhao et al. | Addressing the vulnerability of the 4-way handshake of 802.11 i | |
| US11824989B2 (en) | Secure onboarding of computing devices using blockchain |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060331 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060331 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20070618 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070622 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070815 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070907 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070920 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100928 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100928 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110928 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110928 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120928 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120928 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130928 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |