JP4071966B2 - 無線ネットワーククライアントに対し認証されたアクセスを提供する有線ネットワークとその方法 - Google Patents
無線ネットワーククライアントに対し認証されたアクセスを提供する有線ネットワークとその方法 Download PDFInfo
- Publication number
- JP4071966B2 JP4071966B2 JP2002000602A JP2002000602A JP4071966B2 JP 4071966 B2 JP4071966 B2 JP 4071966B2 JP 2002000602 A JP2002000602 A JP 2002000602A JP 2002000602 A JP2002000602 A JP 2002000602A JP 4071966 B2 JP4071966 B2 JP 4071966B2
- Authority
- JP
- Japan
- Prior art keywords
- wireless network
- network
- client
- server
- wired network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
- H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
- H04W12/043—Key management, e.g. using generic bootstrapping architecture [GBA] using a trusted network node as an anchor
- H04W12/0431—Key distribution or pre-distribution; Key agreement
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
- H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Small-Scale Networks (AREA)
- Mobile Radio Communication Systems (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、無線ネットワークのセキュリティの改善に関し、特に有線ネットワークへの接続を試みたユーザに対し認証検査を実行する認証検査実行サーバを用いて無線クライアントを有線ネットワークに接続する無線ネットワークの使用方法に関する。
【０００２】
【従来の技術】
無線データネットワーキングは、無線データ伝送レートが増加し続けるにつれてますます一般的となっている。無線ネットワーキングは、有線接続へアクセスするために、無線ネットワーククライアントの移動を制限することなく、ネットワークへ無線ネットワーククライアントの接続を許可できる点で非常に便利である。現在の無線通信デバイスにより得られるデータ転送性能は、新たなデバイスがより多くのアプリケーションに適した無線接続を行う際に、期待される速度の向上と多くの数のアプリケーションに受け入れ可能となっている。技術開発により転送速度が速くなるにつれて、無線接続の利便性と組み合わされて、無線ネットワークの普及がますます速まることになる。
【０００３】
しかし、無線ネットワーキングはセキュリティ（機密保持）の問題があり、これは通常の有線ネットワークでは見られないものであった。有線ネットワークへの物理的アクセスは、ネットワークに接続された有線へのアクセスを制限することにより制御される。各ネットワーク接続ポイントは、物理的に特定され、制御され、そして監視され、ネットワークの境界は、マッピングとワイヤリングと接続ポイントにより正確に知ることができる。しかし、無線ネットワークのアクセスを制御することはこれより遙かに困難である。
【０００４】
無線ネットワークへの接続は、三次元のスペースで行われ、かつまた許容可能な無線接続を特定することが困難となるような境界に亘って行われる。盗聴が起こり得るような境界を規定することは困難であるが、その理由は盗聴者は機密データに関する必要な情報を得るためには、送信された全てのデータを必ずしも理解する必要がなく、完全な送信内容を必ずしも必要としないからである。無線ネットワーキング機器の製造業者は、無線ネットワークへのアクセスを制限する構成によりセキュリティの問題を解決するか、あるいは端末間の暗号化によりセキュリティを提供している。
【０００５】
通常の従来技術に係る無線ネットワークは、複数の無線基地局を有し、各基地局がその基地局と通信するクライアントとの間での情報の送信を確実にするために、１個の暗号化キーを用いている。基地局と通信する全てのユーザは、基地局により使用される暗号化キーを共有しなければならない。この方式では、ユーザがネットワークを離れる（解約する）ときにセキュリティの問題が発生する。確実なセキュリティを維持するために、ユーザに既知の全てのキーは、ユーザがネットワークを離れるとき毎に変更する必要がある。
【０００６】
共有キー方式の場合には、一ユーザの解約時、古い暗号化キーを用いていた全てのクライアントデバイスに新たなキーを提供しなければならない。さらにまた無線ネットワークの利用者は、基地局の間を移動する。無線ネットワーキングは、ユーザの移動性および便宜性の為、さらにまた大きな領域をカバーするネットワークを提供しかつその位置に関わらずユーザへの接続性を提供するために、多数の基地局を採用している（接続を維持確立するために、指定された１つの基地局の範囲内にユーザを引き留めておくことがないようにしている）。
【０００７】
ユーザが複数の基地局と通信することができるようにするために、ユーザは、接続が確立されるべき各基地局用の暗号化キーを所有する必要がある。ユーザが基地局への接続を試みるが、その基地局に対する暗号化キーを有していない場合には、接続はできない。ユーザは第１基地局から第２基地局に移動する場合、第２基地局用の暗号化キーを有していないために、ユーザは接続が拒否されることは不便なことである。このような状況を回避するために無線ネットワークは、全ての基地局に対し１個の暗号化キーを使用し全てのユーザが暗号化キーを共有することである。
【０００８】
ネットワークが最初に展開されるときには、この構成は許容可能なセキュリティを与えるが、ユーザがシステムを離れる（解約する）ときには、セキュリティが悪くなる。良好なセキュリティを確保するためには、ユーザに既知の全ての暗号化キーとパスワードは、ユーザがネットワークを離れるときにはいつも変更できなければならない。しかし、これを行うには新たなキーを作成し、ユーザがシステムを離れる度に、ネットワーク上の全てのユーザにそれを分配しなければならず、これは問題である。
【０００９】
各基地局に対し異なる暗号化キーを維持することは、この問題を解決することにはならず、全てのユーザが異なった時間に全ての基地局を利用する場合には特に問題である。そのような場合、各ユーザには各基地局により使用される暗号化キーを与えなければならず、そしてユーザがネットワークを離れるときには各基地局の暗号化キーを変更して新たな暗号化キーを全てのユーザに分配しなければならない。また一般的に暗号化キーは変更されない場合は、時間が経つにつれて、暗号化キーを不正使用する潜在的な不正なユーザの数がますます大きくなる。
【００１０】
さらにまた、無線ネットワークのパスワードは、数が少なく全てのユーザあるいはユーザ群により共有しなければならない。パスワードの共有は、暗号化キーの共有と同様な問題を発生させる。
【００１１】
さらにまた無線データネットワーキングの構成装置そのものが攻撃対象になることがある。無線データネットワークにより比較的新しく採用される暗号化技術は、有線ネットワークにより使用されるほど徹底的にテストされている訳ではない。その為未知の脆弱さが特定の無線ネットワーキングの構成装置あるいは構成装置群により使用される暗号化技術に存在するかも知れない。
【００１２】
【発明が解決しようとする課題】
本発明の目的は、無線ネットワーキングが既知の信頼できるセキュリティ技術を提供し、これにより盗聴を阻止し、システムの完全性と妥協することなく、かつ認証検査実行プロトコールとセキュリティプロトコールを採用して、各ユーザに独立した独自のパスワードと暗号化キーを与えることが可能なシステムを提供することである。
【００１３】
【課題を解決するための手段】
本発明のネットワークは、クライアントステーションへの接続を提供する際にセキュリティを改善した無線ネットワークを含む。設計によっては、本発明の無線ネットワークは、中央ハブに接続された単一の無線アクセスポイントあるいは複数の無線アクセスポイントを有する。本発明の無線ネットワークは、無線アクセスポイントとクライアントステーションとの間の通信を提供するが、無線アクセスポイントへの接続を制御するためには認証検査を行わない。本発明の無線ネットワークアクセスポイントは、セキュリティベース（Security Base，ＳＢ）サーバへの接続を提供し、このＳＢサーバが無線ネットワーク上のクライアントによる有線ネットワークへのアクセスを制御する。
【００１４】
ＳＢサーバは、無線ネットワークへのインターフェースおよび有線ネットワークへのインターフェースを有する。ＳＢサーバは、有線ネットワーク上のネットワークハブに接続され、無線ネットワーク上のクライアントに対する有線ネットワーク資源に対するゲートウェイとして機能する。無線ネットワーククライアントが、ＳＢサーバへの接続を確立すると、ＳＢサーバは、無線ネットワーククライアントに対する認証を実行するが、通常これはユーザデータベースを用いて無線ネットワーククライアントのユーザ名とパスワードを認証することにより行われる。
【００１５】
無線ネットワーククライアントが正当な利用者であると認証されると、ＳＢサーバはダイナミックホスト制御処理（dynamic host control processing，ＤＨＣＰ）技術を用いて、有線ネットワーク上の一時的インターネットプロトコール（Internet protocol，ＩＰ）アドレスを無線ネットワーククライアントに与える。ＳＢサーバは、無線ネットワーククライアントに有線ネットワークと暗号化通信を行うために用いられる独自のセッションキーを与える。セッションキーは、有線ネットワークの１回の接続セッションの間、一人のクライアントにより使用される。
【００１６】
本発明によれば、無線ネットワークへのアクセスを制御する必要がないが、その理由は、無線ネットワークそのものが何ら価値のある資源へのアクセスを提供することがないからである。無線ネットワークは、ＳＢサーバへのアクセスのみを提供し、ＳＢサーバは、認証を行わずには有線ネットワーク資源へのアクセスを提供せず、また無線ネットワークへ流される全ての情報を暗号化している。認証を得ないと、無線ネットワーククライアントは、有線ネットワーク資源へのアクセスを得ることができず、盗聴者もネットワーク情報へのアクセスを得ることができない。その理由は、無線ネットワークを介して有線ネットワークから得た実体的な情報を含む全てのトラフィックは暗号化されているからである。
【００１７】
【発明の実施の形態】
図１は、本発明による無線ネットワーククライアントへ認証検査とセキュリティを与える有線ネットワーク１００を示す。有線ネットワーク１００は、本発明によるＳＢサーバ１０２を有し、このＳＢサーバ１０２が有線ネットワーク１００と無線ネットワーク１０４との間の接続を行う。ＳＢサーバ１０２は、有線ネットワーク１００へのアクセスを無線ネットワーク１０４により制御して、無線ネットワーク１０４のクライアントへアドレスサービスと認証検査実行サービスを与える。有線ネットワーク１００は、またネットワークハブ１０６を有し、このネットワークハブ１０６が更なる有線ネットワーク資源への接続を与える。例えば、有線ネットワーク１００へのアクセスを求めるクライアントを認証検査する際に、ＳＢサーバ１０２により使用されるユーザ認証データベース１０８への接続および有線ネットワーク１００の認証されたクライアントへの一時的なアドレスを与えるＤＨＣＰサーバ１１０への接続を与える。
【００１８】
無線ネットワーク１０４は、無線ネットワークアクセスポイント１１２を有し、無線ネットワークカード１１６Ａ…１１６Ｎを用いて、クライアントコンピュータ１１４Ａ…１１４Ｎをアクセスポイント１１２に接続する無線ネットワーク接続を提供する。ここに示した無線ネットワークカードは、ＩＥＥＥ／８０２．１１ネットワーキング標準に適合したＷＡＶＥＬＡＮカードであり、クライアントコンピュータ１１４Ａ…１１４Ｎは、１２８ビットの暗号化をサポートするポイント間トンネリングプロトコール（point to point tunneling protocol，ＰＰＴＰ）ソフトウェアをインストールしている。
【００１９】
しかし、特定のネットワーキングカードの利用およびＰＰＴＰの利用は、本発明に必須なものではなく、他のソフトウェア、例えばＰＰＴＰの代わりにLUCENT Virtual Private Network（ＶＰＮ）あるいはSecure Shell（ＳＳＨ）の利用を含む。ＳＳＨは、ファイルトランスファプロトコール（File Transfer Protocol，ＦＴＰ）と、テルネット（Telnet）とＸウィンドウ（X-Windows）アクセスにセキュリティを与える。ＳＳＨの利用により本発明はＵＮＩＸ／Ｘウィンドウの環境下で実施できる。
【００２０】
ＳＢサーバ１０２は、有線ネットワーク１００へのアクセスに対する認証検査を要求するために、クライアントコンピュータ１１４Ａ…１１４Ｎが、ＳＢサーバ１０２に接続されるように無線ネットワーク１０４上の永久アドレスを割当てる。同様に、ＳＢサーバ１０２は、無線ネットワーク１０４から有線ネットワーク１００へのルーティングを提供するために、有線ネットワーク１００上の永久アドレスを割当てる。
【００２１】
デバイスの使用者、例えばクライアントコンピュータ１１４Ａの使用者が、無線ネットワーク１０４を用いて有線ネットワーク１００への接続を要求すると、無線アクセスポイント１１２への接続が無線ネットワークカード１１６Ａを持ちいて確立される。無線ネットワーク１０４に対する接続とアドレス情報は、公開されるが、その理由は無線ネットワーク１０４はＳＢサーバ１０２が有線ネットワーク１００への認証とアクセスを提供するよう要求すること以外に、どのような資源へのアクセスも提供することはないからである。
【００２２】
クライアントコンピュータ１１４ＡとＳＢサーバ１０２との間の初期トラフィックが暗号化される、好ましくはＳＢサーバ１０２と無線ネットワークカード１１６Ａによりサポートされる暗号化プロトコールを用いて暗号化される。必要によっては、無線ネットワークカード１１６Ａによる暗号化を必要とせずに、ＳＢサーバ１０２とクライアントコンピュータ１１４Ａを用いて暗号化を実行することができる。暗号化が行われる理由は、ＳＢサーバ１０２が認証を与えることができるようにするために、ユーザ名とパスワードのような機密情報をアクセスポイント１１２にクライアントコンピュータ１１４Ａが送るからであり、この情報を盗聴者から保護することが必要だからである。
【００２３】
クライアントコンピュータ１１４Ａとアクセスポイント１１２との間を通るトラフィックを暗号化することは、公開キー暗号技術を用いて行われるが、この方式は、クライアントコンピュータ１１４Ａまたは無線ネットワークカード１１６ＡとＳＢサーバ１０２との間に秘密キーを転送する必要をなくすことができる。無線ネットワークアクセスポイント１１２は、データを暗号化する必要がないが、その理由は暗号化と脱暗号化（暗号文を平文に戻すこと）は、ＳＢサーバ１０２と無線ネットワークカード１１６Ａで初期認証プロセスの間行われ、そしてＳＢサーバ１０２とクライアントコンピュータ１１４Ａで認証プロセスが行われるからである。
【００２４】
クライアントコンピュータ１１４Ａが無線ネットワークアクセスポイント１１２に接続された後、アクセスポイント１１２はクライアントコンピュータ１１４ＡとＳＢサーバ１０２との間でＳＢサーバ１０２と無線ネットワーク１０４により採用されたネットワークプロトコールを用いて情報を送る。使用されるネットワークプロトコールは、仮想プライベートネットワークプロコール（virtual private network protocol）であり、この実施例においては、ポイント間トンネリングプロトコール（point to point tunneling protocol）である。仮想プライベートネットワークは、プライベートネットワークの一部であるエンティティ（例えば、クライアントとサーバ）間に接続を確立するために一般に入手可能な設備の利用ができる構成である。
【００２５】
仮想プライベートネットワークプロトコールは、プライベートネットワークに属するエンティティ間にセキュリティを提供して、公衆設備にアクセスできるが、プライベートネットワークの認証されたユーザではないような個人（人または会社）による盗聴防止、情報または資源を漏らすことのないようにするものである。仮想プライベートネットワーキング構成の一例は、遠隔地のネットワークユーザを中央の会社のネットワークに接続するインターネットの会社により用いられる。ここに示した実施例においては、クライアントを有線ネットワーク１００に接続するために、無線ネットワーク１０４の使用は無線ネットワーク１０４が有線ネットワーク１００の所有者あるいは有線ネットワーク１００を操作する管理者により提供され保持されている場合でも、仮想プライベートネットワーキングの一部である。
【００２６】
この理由は、無線ネットワーク１０４が一般利用者に提供できる資源として特に開発された場合でないにも関わらず、その使用を制限する努力が行われない点で無線ネットワーク１０４は一般からアクセス可能だからである。その為、ポイント間トンネリングプロトコールのような仮想プライベートネットワークプロトコールを用いて、無線ネットワーク１０４を介して伝播する情報を保護し、その結果セキュリティは、有線ネットワーク１００への接続に関与するエンティティ、例えばクライアントコンピュータ１１４Ａ、無線ネットワークカード１１６Ａ、ＳＢサーバ１０２により管理され、無線ネットワーク１０４が、セキュリティを保持するのに寄与する必要性がない。
【００２７】
クライアントコンピュータ１１４ＡがＳＢサーバ１０２への接続を確立すると、ＳＢサーバ１０２は認証検査を実行する。認証検査は、ベル研究所からプラン９で実行される認証システムにより行われるが、システムが適宜のセキュリティを提供する限り、所望の認証システムに従って適宜行うこともできる。ＳＢサーバ１０２は、後日行われる検査とセキュリティ解析のために接続のアテンプト（試み）が成功したか否かにかかわらず、各接続アテンプトをログする。ＳＢサーバは、認証情報（例えばユーザ名とパスワード）を要求する。
【００２８】
ユーザがユーザ名とパスワードを与えると。それはアクセスポイント１１２に無線で送信され、その後ＳＢサーバ１０２に対し、アクセスポイント１１２と有線ネットワーク１００との間の有線接続を用いて通信される。ＳＢサーバ１０２が認証情報を受領すると、有線ネットワーク１００を用いてユーザ認証データベース１０８への接続が行われ、クライアントコンピュータ１１４Ａから受領した認証情報とユーザ認証データベース１０８内に記憶されている情報とを比較する。クライアントコンピュータ１１４Ａから受領した認証情報がユーザ認証データベース１０８内の情報と一致しない場合には、ＳＢサーバ１０２は接続アテンプトを拒否する。
【００２９】
好ましくはＳＢサーバ１０２は、ユーザに正しい認証情報を与えるために所定数のアテンプトを与え、その後過剰な回数のアテンプトが行われた場合には、新たなアテンプトを処理する前に遅延させる（アテンプトの数が所定数を超えた場合にはしばらくの間アテンプトを再実行できない）。この手順は、認証情報を推測するために何回も自動的に行われるアテンプトに対する保護を与えるためである。ＳＢサーバ１０２は、各認証アテンプトをログして、有効な認証情報を受領するまでＳＢサーバ１０２上の資源へのアクセスを提供しない。
【００３０】
有効な認証情報を受領すると、ＳＢサーバ１０２は、ＤＨＣＰサーバ１１０からＩＰアドレスを要求し、このＩＰアドレスをクライアントコンピュータ１１４Ａに与える。ＳＢサーバ１０２は、後で行われるクライアントコンピュータ１１４Ａとの通信にセキュリティを与えるが、これはマイクロソフト社のＲＣ−４を実行することにより行われ、しかし通信のセキュリティを与えるための所望のシステムを用いることができる。ＳＢサーバ１０２は、暗号化キーをクライアントコンピュータ１１４Ａに与えクライアントコンピュータ１１４ＡとＳＢサーバ１０２との間で転送される情報を暗号化処理する。
【００３１】
暗号化キーがクライアントコンピュータ１１４Ａに与えられると、クライアントコンピュータ１１４ＡとＳＢサーバ１０２は、残りのセッションの間他方の機器には平文の情報を送信しない。認証検査が行われクライアントコンピュータ１１４Ａに有線ネットワークへのアクセスへのアドレスが与えられると、クライアントコンピュータ１１４Ａは認証に用いられたユーザ名に関係する特別な権利に従ってネットワークリソースへのアクセスが許される。
【００３２】
有線ネットワーク、例えば有線ネットワーク１００はルーターを用いて他のネットワークに接続することも可能である。このような場合、ルーターはネットワークハブ１０６の代わりをしてＳＢサーバがルーターに接続され、有線ネットワーク１００および有線ネットワーク１００が接続される他のネットワークへの無線ネットワーククライアントによるアクセスを与える。
【００３３】
複数の無線ネットワークアクセスポイントを含む無線ネットワークへの接続を与えるためにＳＢサーバを採用することも可能である。複数の無線ネットワークアクセスポイントを用意することにより、ユーザはあるアクセスポイントから別のアクセスポイントにシームレスに「ローミング（移動）」することができる。本発明により、ユーザは１回で認証検査を実行でき、認証時に全てのアクセスポイントで有効な単一セッション暗号化キーを受領する。図２は、本発明により無線クライアントに対し認証とセキュリティを提供するためＳＢサーバ２０２を採用した有線ネットワーク２００を示す。
【００３４】
有線ネットワーク２００はネットワークハブ２０４と他の様々なネットワーク資源とユーザ認証データベース２０６とＤＨＣＰサーバ２０８とを有する。他の様々なネットワーク資源であるユーザ認証データベース２０６とＤＨＣＰサーバ２０８を有する。有線ネットワーク２００がルータにより他のネットワークに接続されている場合には、ルータがネットワークハブ２０４の代わりをする。ＳＢサーバ２０２は、無線ネットワーク２１０に接続されたクライアントが図１で説明したのと同一のプロトコールを用いてネットワーク資源へのアクセスを得ることができる接続サービスを提供する。無線ネットワーク２１０は、ハブ２１６に接続された２個の無線アクセスポイント２１２と２１４を有し、そしてハブ２１６が次にＳＢサーバ２０２に接続される。
【００３５】
無線アクセスポイント２１２は、クラアントコンピュータ２１８に無線ネットワークカード２２０により接続され、無線アクセスポイント２１４はクライアントコンピュータ２２２に無線ネットワークカード２２４により接続される。一般的な無線ネットワーキング構成においては、アクセスポイント例えば無線アクセスポイント２１２，２１４は物理的に離れた位置にあり、無線ネットワークへ複数のアクセスポイントが可能となり、そして各アクセスポイントは、大部分の他のアクセスポイントの無線到達範囲の外にある。同様に、無線ネットワーク２１０は単一のクライアントコンピュータにそれぞれ接続された２個の無線アクセスポイントを含んでいる。
【００３６】
しかし、無線ネットワーク２１０は複数のクライアントコンピュータにそれぞれが接続されるいかなる数の無線アクセスポイントを含んでもよく、無線アクセスポイントの数および各アクセスポイントに接続されたクライアントコンピュータの数は、確実なネットワーク配置に依存する。認証と通信のセキュリティは、図１はＳＢサーバ１０２で説明したように行われる。
【００３７】
無線ネットワークにより有線ネットワークへのアクセスを制御するために、ＳＢサーバを用いることにより、いかなるサイズの無線ネットワークに対しても良好なスケーリングを与えることができる。有線ネットワークの接続数は、無線ネットワークサイズに比例してスケール化（拡大／縮小）ができ、ＳＢサーバへの複数の接続は、無線ネットワークへの無線アクセスポイントの追加により接続が表れる。さらにまたパスワードと暗号化キーの管理は、無線アクセスポイントの追加でも複雑になることはない。
【００３８】
ユーザがネットワーク、例えば有線ネットワーク２００を離れる（解約する）ときは、有線ネットワーク２００を使用するユーザの認証をユーザ認証データベース２０６で取り消すことができる、これは無線ネットワーク２１０の場合には無線アクセスポイント２１４、ハブ２１６のような無線ネットワークアクセスポイントでの変更の必要性もなく、またより大きなネットワークにおいてはより多くの数のアクセスポイントでの変更を必要としないで行われる。
【００３９】
無線ネットワーク、例えば無線ネットワーク２１０への無線の痕跡は分からないために、攻撃者（盗聴者）は、ネットワークの素子間のデータを転送するのに用いられる無線伝送にアクセスすると考えなければならない。盗聴者（攻撃者）は、無線ネットワークセッションの間盗聴を行うことができ、ネットワークに既に確立され接続されたクライアントコンピュータと偽ることによりセッションをハイジャックし、セッションに中断したりセッションを初期化したりする。しかし、無線ネットワーク２１０は、侵入者に対し価値を有する資源に対する情報あるいはアクセス権を有していないために無線ネットワークの脆弱性は重要ではない。
【００４０】
有線ネットワーク２００はＳＢサーバ２０２により保護されており、このＳＢサーバ２０２が十分テストされた認証システムを実行し、無線ネットワーク２１０へデータを送るために頑強な暗号化を用いているために、無線ネットワーク２１０の脆弱性は有線ネットワーク２００内のデータあるいは資源を危険にさらすことはない。クライアントと暗号化されたセッションのトラフィック解析は、盗聴者にも入手可能であるが、その理由は通信は未知のサイズの無線を介して送信されるからである。しかし、ＰＰＴＰを使用することによりネットワークトラフィックをカプセル化でき、これにより全てのトラフィックはクライアントシステムとＳＢサーバ２０２のアドレス集合を有するようになる。そのためトラフィック解析は、ＳＢサーバとクライアントコンピュータ、例えばクラアントコンピュータ２１８のアドレスを引き出すことはない。
【００４１】
図３は、本発明により無線ネットワークと有線ネットワークとの間の通信の認証検査とセキュリティの保護を行うプロセス３００を示す。ステップ３０２において、接続が有線ネットワークと無線ネットワークの間で確立される。無線ネットワークは、図１の無線ネットワーク１０４に類似し、有線ネットワークは、図１の有線ネットワーク１００に類似する。接続は、図１のＳＢサーバ１０２に類似したＳＢと図１のアクセスポイント１１８に類似した無線ネットワークアクセスポイント間に接続を確立することにより有線ネットワークと無線ネットワークの間で確立される。
【００４２】
ステップ３０４で、接続が無線ネットワーククライアントと無線ネットワークとの間で確立されるが、これは無線ネットワーククライアントと無線ネットワークアクセスポイントとの間の接続を確立することにより行われる。無線ネットワーククライアントは、図１のクライアントコンピュータ１１４Ａに類似し、図１の無線ネットワークカード１１６Ａに類似する無線ネットワークカードでもってアクセスポイントと適宜通信する。ステップ３０５において、無線ネットワーククライアントと有線ネットワークとの間の接続を確立するリクエストに応答して、暗号化キーが無線ネットワーククライアントとサーバとの間で交換されて、認証用に用いられるデータを保護する。
【００４３】
次にステップ３０６において、認証検査が無線ネットワーククライアントに対し行われるが、これはユーザ名とパスワードを要求し受領してこのユーザ名とパスワードをユーザのデータベースと比較することにより行われる。サーバとクライアントの間で交換される情報は、ステップ３０５で交換された暗号化キーを用いて暗号化される。認証が否認されると、プロセスはステップ３５０に進み、そこで接続が拒否され、接続アテンプトがログされる。認証が許可されると、プロセスはステップ３０８に移り接続アテンプトがログされる。
【００４４】
次にステップ３１０で、無線ネットワーククライアントに対し有線ネットワーク上の一時的アドレス、例えばＤＨＣＰを用いて与えられる。ステップ３１２で、有線ネットワークと通信するために用いられる独自のセッション暗号化キーが与えられる。ステップ３１４で、トラフィックが無線ネットワーククライアントと有線ネットワークとの間でＳＢサーバを介して伝送され、ネットワーク資源へのアクセスが認証用に提供されたアカウント情報に関連するユーザの特権にしたがってクライアントに与えられる。
【００４５】
特許請求の範囲の発明の要件の後に括弧で記載した番号は、本発明の一実施例の対応関係を示すもので本発明の範囲を限定するものと解釈すべきではない。
【図面の簡単な説明】
【図１】本発明による無線ネットワークと有線ネットワークとの間の接続を示す図であり、無線ネットワークユーザの認証と有線ネットワークによるアクセスの制御を本発明によりサーバが実行し、無線ネットワークが無線クライアントによる接続のための１個の無線アクセスポイントを提供する図
【図２】本発明により接続技術、暗号化技術、認証技術を用いた有線ネットワークと無線ネットワークとの間の接続を示す図
【図３】本発明によるネットワークの認証獲得とセキュリティの処理を表すフローチャート図
【符号の説明】
１００，２００ 有線ネットワーク
１０２，２０２ ＳＢサーバ
１０４，２１０ 無線ネットワーク
１０６，２０４ ネットワークハブ
１０８，２０６ ユーザ認証データベース
１１０，２０８ ＤＨＣＰサーバ
１１２，２１４ 無線アクセスポイント
１１４，２１８，２２２ クライアントコンピュータ
１１６，２２０，２２４ ネットワークカード
２１２ 無線アクセスポイント
２１６ ハブ
３０２ 無線ネットワークと有線ネットワークとの間の接続を確立する
３０４ 無線ネットワーククライアントと無線ネットワークとの間の接続を確立する
３０５ クライアントとサーバとの間でキーを交換する
３０６ ワイヤレスクライアントによる有線ネットワークへの接続のための認証を実行する
３０８ 接続の試みをログする
３１０ 無線ネットワーククライアントのために一時的な有線ネットワークアクセスを与える
３１２ 無線ネットワーククライアントにセッションキーを与える
３１４ 有線ネットワークと無線クライアントの間にトラフィックを通す
３５０ 接続を拒絶し接続アテンプトをログする
【発明の属する技術分野】
本発明は、無線ネットワークのセキュリティの改善に関し、特に有線ネットワークへの接続を試みたユーザに対し認証検査を実行する認証検査実行サーバを用いて無線クライアントを有線ネットワークに接続する無線ネットワークの使用方法に関する。
【０００２】
【従来の技術】
無線データネットワーキングは、無線データ伝送レートが増加し続けるにつれてますます一般的となっている。無線ネットワーキングは、有線接続へアクセスするために、無線ネットワーククライアントの移動を制限することなく、ネットワークへ無線ネットワーククライアントの接続を許可できる点で非常に便利である。現在の無線通信デバイスにより得られるデータ転送性能は、新たなデバイスがより多くのアプリケーションに適した無線接続を行う際に、期待される速度の向上と多くの数のアプリケーションに受け入れ可能となっている。技術開発により転送速度が速くなるにつれて、無線接続の利便性と組み合わされて、無線ネットワークの普及がますます速まることになる。
【０００３】
しかし、無線ネットワーキングはセキュリティ（機密保持）の問題があり、これは通常の有線ネットワークでは見られないものであった。有線ネットワークへの物理的アクセスは、ネットワークに接続された有線へのアクセスを制限することにより制御される。各ネットワーク接続ポイントは、物理的に特定され、制御され、そして監視され、ネットワークの境界は、マッピングとワイヤリングと接続ポイントにより正確に知ることができる。しかし、無線ネットワークのアクセスを制御することはこれより遙かに困難である。
【０００４】
無線ネットワークへの接続は、三次元のスペースで行われ、かつまた許容可能な無線接続を特定することが困難となるような境界に亘って行われる。盗聴が起こり得るような境界を規定することは困難であるが、その理由は盗聴者は機密データに関する必要な情報を得るためには、送信された全てのデータを必ずしも理解する必要がなく、完全な送信内容を必ずしも必要としないからである。無線ネットワーキング機器の製造業者は、無線ネットワークへのアクセスを制限する構成によりセキュリティの問題を解決するか、あるいは端末間の暗号化によりセキュリティを提供している。
【０００５】
通常の従来技術に係る無線ネットワークは、複数の無線基地局を有し、各基地局がその基地局と通信するクライアントとの間での情報の送信を確実にするために、１個の暗号化キーを用いている。基地局と通信する全てのユーザは、基地局により使用される暗号化キーを共有しなければならない。この方式では、ユーザがネットワークを離れる（解約する）ときにセキュリティの問題が発生する。確実なセキュリティを維持するために、ユーザに既知の全てのキーは、ユーザがネットワークを離れるとき毎に変更する必要がある。
【０００６】
共有キー方式の場合には、一ユーザの解約時、古い暗号化キーを用いていた全てのクライアントデバイスに新たなキーを提供しなければならない。さらにまた無線ネットワークの利用者は、基地局の間を移動する。無線ネットワーキングは、ユーザの移動性および便宜性の為、さらにまた大きな領域をカバーするネットワークを提供しかつその位置に関わらずユーザへの接続性を提供するために、多数の基地局を採用している（接続を維持確立するために、指定された１つの基地局の範囲内にユーザを引き留めておくことがないようにしている）。
【０００７】
ユーザが複数の基地局と通信することができるようにするために、ユーザは、接続が確立されるべき各基地局用の暗号化キーを所有する必要がある。ユーザが基地局への接続を試みるが、その基地局に対する暗号化キーを有していない場合には、接続はできない。ユーザは第１基地局から第２基地局に移動する場合、第２基地局用の暗号化キーを有していないために、ユーザは接続が拒否されることは不便なことである。このような状況を回避するために無線ネットワークは、全ての基地局に対し１個の暗号化キーを使用し全てのユーザが暗号化キーを共有することである。
【０００８】
ネットワークが最初に展開されるときには、この構成は許容可能なセキュリティを与えるが、ユーザがシステムを離れる（解約する）ときには、セキュリティが悪くなる。良好なセキュリティを確保するためには、ユーザに既知の全ての暗号化キーとパスワードは、ユーザがネットワークを離れるときにはいつも変更できなければならない。しかし、これを行うには新たなキーを作成し、ユーザがシステムを離れる度に、ネットワーク上の全てのユーザにそれを分配しなければならず、これは問題である。
【０００９】
各基地局に対し異なる暗号化キーを維持することは、この問題を解決することにはならず、全てのユーザが異なった時間に全ての基地局を利用する場合には特に問題である。そのような場合、各ユーザには各基地局により使用される暗号化キーを与えなければならず、そしてユーザがネットワークを離れるときには各基地局の暗号化キーを変更して新たな暗号化キーを全てのユーザに分配しなければならない。また一般的に暗号化キーは変更されない場合は、時間が経つにつれて、暗号化キーを不正使用する潜在的な不正なユーザの数がますます大きくなる。
【００１０】
さらにまた、無線ネットワークのパスワードは、数が少なく全てのユーザあるいはユーザ群により共有しなければならない。パスワードの共有は、暗号化キーの共有と同様な問題を発生させる。
【００１１】
さらにまた無線データネットワーキングの構成装置そのものが攻撃対象になることがある。無線データネットワークにより比較的新しく採用される暗号化技術は、有線ネットワークにより使用されるほど徹底的にテストされている訳ではない。その為未知の脆弱さが特定の無線ネットワーキングの構成装置あるいは構成装置群により使用される暗号化技術に存在するかも知れない。
【００１２】
【発明が解決しようとする課題】
本発明の目的は、無線ネットワーキングが既知の信頼できるセキュリティ技術を提供し、これにより盗聴を阻止し、システムの完全性と妥協することなく、かつ認証検査実行プロトコールとセキュリティプロトコールを採用して、各ユーザに独立した独自のパスワードと暗号化キーを与えることが可能なシステムを提供することである。
【００１３】
【課題を解決するための手段】
本発明のネットワークは、クライアントステーションへの接続を提供する際にセキュリティを改善した無線ネットワークを含む。設計によっては、本発明の無線ネットワークは、中央ハブに接続された単一の無線アクセスポイントあるいは複数の無線アクセスポイントを有する。本発明の無線ネットワークは、無線アクセスポイントとクライアントステーションとの間の通信を提供するが、無線アクセスポイントへの接続を制御するためには認証検査を行わない。本発明の無線ネットワークアクセスポイントは、セキュリティベース（Security Base，ＳＢ）サーバへの接続を提供し、このＳＢサーバが無線ネットワーク上のクライアントによる有線ネットワークへのアクセスを制御する。
【００１４】
ＳＢサーバは、無線ネットワークへのインターフェースおよび有線ネットワークへのインターフェースを有する。ＳＢサーバは、有線ネットワーク上のネットワークハブに接続され、無線ネットワーク上のクライアントに対する有線ネットワーク資源に対するゲートウェイとして機能する。無線ネットワーククライアントが、ＳＢサーバへの接続を確立すると、ＳＢサーバは、無線ネットワーククライアントに対する認証を実行するが、通常これはユーザデータベースを用いて無線ネットワーククライアントのユーザ名とパスワードを認証することにより行われる。
【００１５】
無線ネットワーククライアントが正当な利用者であると認証されると、ＳＢサーバはダイナミックホスト制御処理（dynamic host control processing，ＤＨＣＰ）技術を用いて、有線ネットワーク上の一時的インターネットプロトコール（Internet protocol，ＩＰ）アドレスを無線ネットワーククライアントに与える。ＳＢサーバは、無線ネットワーククライアントに有線ネットワークと暗号化通信を行うために用いられる独自のセッションキーを与える。セッションキーは、有線ネットワークの１回の接続セッションの間、一人のクライアントにより使用される。
【００１６】
本発明によれば、無線ネットワークへのアクセスを制御する必要がないが、その理由は、無線ネットワークそのものが何ら価値のある資源へのアクセスを提供することがないからである。無線ネットワークは、ＳＢサーバへのアクセスのみを提供し、ＳＢサーバは、認証を行わずには有線ネットワーク資源へのアクセスを提供せず、また無線ネットワークへ流される全ての情報を暗号化している。認証を得ないと、無線ネットワーククライアントは、有線ネットワーク資源へのアクセスを得ることができず、盗聴者もネットワーク情報へのアクセスを得ることができない。その理由は、無線ネットワークを介して有線ネットワークから得た実体的な情報を含む全てのトラフィックは暗号化されているからである。
【００１７】
【発明の実施の形態】
図１は、本発明による無線ネットワーククライアントへ認証検査とセキュリティを与える有線ネットワーク１００を示す。有線ネットワーク１００は、本発明によるＳＢサーバ１０２を有し、このＳＢサーバ１０２が有線ネットワーク１００と無線ネットワーク１０４との間の接続を行う。ＳＢサーバ１０２は、有線ネットワーク１００へのアクセスを無線ネットワーク１０４により制御して、無線ネットワーク１０４のクライアントへアドレスサービスと認証検査実行サービスを与える。有線ネットワーク１００は、またネットワークハブ１０６を有し、このネットワークハブ１０６が更なる有線ネットワーク資源への接続を与える。例えば、有線ネットワーク１００へのアクセスを求めるクライアントを認証検査する際に、ＳＢサーバ１０２により使用されるユーザ認証データベース１０８への接続および有線ネットワーク１００の認証されたクライアントへの一時的なアドレスを与えるＤＨＣＰサーバ１１０への接続を与える。
【００１８】
無線ネットワーク１０４は、無線ネットワークアクセスポイント１１２を有し、無線ネットワークカード１１６Ａ…１１６Ｎを用いて、クライアントコンピュータ１１４Ａ…１１４Ｎをアクセスポイント１１２に接続する無線ネットワーク接続を提供する。ここに示した無線ネットワークカードは、ＩＥＥＥ／８０２．１１ネットワーキング標準に適合したＷＡＶＥＬＡＮカードであり、クライアントコンピュータ１１４Ａ…１１４Ｎは、１２８ビットの暗号化をサポートするポイント間トンネリングプロトコール（point to point tunneling protocol，ＰＰＴＰ）ソフトウェアをインストールしている。
【００１９】
しかし、特定のネットワーキングカードの利用およびＰＰＴＰの利用は、本発明に必須なものではなく、他のソフトウェア、例えばＰＰＴＰの代わりにLUCENT Virtual Private Network（ＶＰＮ）あるいはSecure Shell（ＳＳＨ）の利用を含む。ＳＳＨは、ファイルトランスファプロトコール（File Transfer Protocol，ＦＴＰ）と、テルネット（Telnet）とＸウィンドウ（X-Windows）アクセスにセキュリティを与える。ＳＳＨの利用により本発明はＵＮＩＸ／Ｘウィンドウの環境下で実施できる。
【００２０】
ＳＢサーバ１０２は、有線ネットワーク１００へのアクセスに対する認証検査を要求するために、クライアントコンピュータ１１４Ａ…１１４Ｎが、ＳＢサーバ１０２に接続されるように無線ネットワーク１０４上の永久アドレスを割当てる。同様に、ＳＢサーバ１０２は、無線ネットワーク１０４から有線ネットワーク１００へのルーティングを提供するために、有線ネットワーク１００上の永久アドレスを割当てる。
【００２１】
デバイスの使用者、例えばクライアントコンピュータ１１４Ａの使用者が、無線ネットワーク１０４を用いて有線ネットワーク１００への接続を要求すると、無線アクセスポイント１１２への接続が無線ネットワークカード１１６Ａを持ちいて確立される。無線ネットワーク１０４に対する接続とアドレス情報は、公開されるが、その理由は無線ネットワーク１０４はＳＢサーバ１０２が有線ネットワーク１００への認証とアクセスを提供するよう要求すること以外に、どのような資源へのアクセスも提供することはないからである。
【００２２】
クライアントコンピュータ１１４ＡとＳＢサーバ１０２との間の初期トラフィックが暗号化される、好ましくはＳＢサーバ１０２と無線ネットワークカード１１６Ａによりサポートされる暗号化プロトコールを用いて暗号化される。必要によっては、無線ネットワークカード１１６Ａによる暗号化を必要とせずに、ＳＢサーバ１０２とクライアントコンピュータ１１４Ａを用いて暗号化を実行することができる。暗号化が行われる理由は、ＳＢサーバ１０２が認証を与えることができるようにするために、ユーザ名とパスワードのような機密情報をアクセスポイント１１２にクライアントコンピュータ１１４Ａが送るからであり、この情報を盗聴者から保護することが必要だからである。
【００２３】
クライアントコンピュータ１１４Ａとアクセスポイント１１２との間を通るトラフィックを暗号化することは、公開キー暗号技術を用いて行われるが、この方式は、クライアントコンピュータ１１４Ａまたは無線ネットワークカード１１６ＡとＳＢサーバ１０２との間に秘密キーを転送する必要をなくすことができる。無線ネットワークアクセスポイント１１２は、データを暗号化する必要がないが、その理由は暗号化と脱暗号化（暗号文を平文に戻すこと）は、ＳＢサーバ１０２と無線ネットワークカード１１６Ａで初期認証プロセスの間行われ、そしてＳＢサーバ１０２とクライアントコンピュータ１１４Ａで認証プロセスが行われるからである。
【００２４】
クライアントコンピュータ１１４Ａが無線ネットワークアクセスポイント１１２に接続された後、アクセスポイント１１２はクライアントコンピュータ１１４ＡとＳＢサーバ１０２との間でＳＢサーバ１０２と無線ネットワーク１０４により採用されたネットワークプロトコールを用いて情報を送る。使用されるネットワークプロトコールは、仮想プライベートネットワークプロコール（virtual private network protocol）であり、この実施例においては、ポイント間トンネリングプロトコール（point to point tunneling protocol）である。仮想プライベートネットワークは、プライベートネットワークの一部であるエンティティ（例えば、クライアントとサーバ）間に接続を確立するために一般に入手可能な設備の利用ができる構成である。
【００２５】
仮想プライベートネットワークプロトコールは、プライベートネットワークに属するエンティティ間にセキュリティを提供して、公衆設備にアクセスできるが、プライベートネットワークの認証されたユーザではないような個人（人または会社）による盗聴防止、情報または資源を漏らすことのないようにするものである。仮想プライベートネットワーキング構成の一例は、遠隔地のネットワークユーザを中央の会社のネットワークに接続するインターネットの会社により用いられる。ここに示した実施例においては、クライアントを有線ネットワーク１００に接続するために、無線ネットワーク１０４の使用は無線ネットワーク１０４が有線ネットワーク１００の所有者あるいは有線ネットワーク１００を操作する管理者により提供され保持されている場合でも、仮想プライベートネットワーキングの一部である。
【００２６】
この理由は、無線ネットワーク１０４が一般利用者に提供できる資源として特に開発された場合でないにも関わらず、その使用を制限する努力が行われない点で無線ネットワーク１０４は一般からアクセス可能だからである。その為、ポイント間トンネリングプロトコールのような仮想プライベートネットワークプロトコールを用いて、無線ネットワーク１０４を介して伝播する情報を保護し、その結果セキュリティは、有線ネットワーク１００への接続に関与するエンティティ、例えばクライアントコンピュータ１１４Ａ、無線ネットワークカード１１６Ａ、ＳＢサーバ１０２により管理され、無線ネットワーク１０４が、セキュリティを保持するのに寄与する必要性がない。
【００２７】
クライアントコンピュータ１１４ＡがＳＢサーバ１０２への接続を確立すると、ＳＢサーバ１０２は認証検査を実行する。認証検査は、ベル研究所からプラン９で実行される認証システムにより行われるが、システムが適宜のセキュリティを提供する限り、所望の認証システムに従って適宜行うこともできる。ＳＢサーバ１０２は、後日行われる検査とセキュリティ解析のために接続のアテンプト（試み）が成功したか否かにかかわらず、各接続アテンプトをログする。ＳＢサーバは、認証情報（例えばユーザ名とパスワード）を要求する。
【００２８】
ユーザがユーザ名とパスワードを与えると。それはアクセスポイント１１２に無線で送信され、その後ＳＢサーバ１０２に対し、アクセスポイント１１２と有線ネットワーク１００との間の有線接続を用いて通信される。ＳＢサーバ１０２が認証情報を受領すると、有線ネットワーク１００を用いてユーザ認証データベース１０８への接続が行われ、クライアントコンピュータ１１４Ａから受領した認証情報とユーザ認証データベース１０８内に記憶されている情報とを比較する。クライアントコンピュータ１１４Ａから受領した認証情報がユーザ認証データベース１０８内の情報と一致しない場合には、ＳＢサーバ１０２は接続アテンプトを拒否する。
【００２９】
好ましくはＳＢサーバ１０２は、ユーザに正しい認証情報を与えるために所定数のアテンプトを与え、その後過剰な回数のアテンプトが行われた場合には、新たなアテンプトを処理する前に遅延させる（アテンプトの数が所定数を超えた場合にはしばらくの間アテンプトを再実行できない）。この手順は、認証情報を推測するために何回も自動的に行われるアテンプトに対する保護を与えるためである。ＳＢサーバ１０２は、各認証アテンプトをログして、有効な認証情報を受領するまでＳＢサーバ１０２上の資源へのアクセスを提供しない。
【００３０】
有効な認証情報を受領すると、ＳＢサーバ１０２は、ＤＨＣＰサーバ１１０からＩＰアドレスを要求し、このＩＰアドレスをクライアントコンピュータ１１４Ａに与える。ＳＢサーバ１０２は、後で行われるクライアントコンピュータ１１４Ａとの通信にセキュリティを与えるが、これはマイクロソフト社のＲＣ−４を実行することにより行われ、しかし通信のセキュリティを与えるための所望のシステムを用いることができる。ＳＢサーバ１０２は、暗号化キーをクライアントコンピュータ１１４Ａに与えクライアントコンピュータ１１４ＡとＳＢサーバ１０２との間で転送される情報を暗号化処理する。
【００３１】
暗号化キーがクライアントコンピュータ１１４Ａに与えられると、クライアントコンピュータ１１４ＡとＳＢサーバ１０２は、残りのセッションの間他方の機器には平文の情報を送信しない。認証検査が行われクライアントコンピュータ１１４Ａに有線ネットワークへのアクセスへのアドレスが与えられると、クライアントコンピュータ１１４Ａは認証に用いられたユーザ名に関係する特別な権利に従ってネットワークリソースへのアクセスが許される。
【００３２】
有線ネットワーク、例えば有線ネットワーク１００はルーターを用いて他のネットワークに接続することも可能である。このような場合、ルーターはネットワークハブ１０６の代わりをしてＳＢサーバがルーターに接続され、有線ネットワーク１００および有線ネットワーク１００が接続される他のネットワークへの無線ネットワーククライアントによるアクセスを与える。
【００３３】
複数の無線ネットワークアクセスポイントを含む無線ネットワークへの接続を与えるためにＳＢサーバを採用することも可能である。複数の無線ネットワークアクセスポイントを用意することにより、ユーザはあるアクセスポイントから別のアクセスポイントにシームレスに「ローミング（移動）」することができる。本発明により、ユーザは１回で認証検査を実行でき、認証時に全てのアクセスポイントで有効な単一セッション暗号化キーを受領する。図２は、本発明により無線クライアントに対し認証とセキュリティを提供するためＳＢサーバ２０２を採用した有線ネットワーク２００を示す。
【００３４】
有線ネットワーク２００はネットワークハブ２０４と他の様々なネットワーク資源とユーザ認証データベース２０６とＤＨＣＰサーバ２０８とを有する。他の様々なネットワーク資源であるユーザ認証データベース２０６とＤＨＣＰサーバ２０８を有する。有線ネットワーク２００がルータにより他のネットワークに接続されている場合には、ルータがネットワークハブ２０４の代わりをする。ＳＢサーバ２０２は、無線ネットワーク２１０に接続されたクライアントが図１で説明したのと同一のプロトコールを用いてネットワーク資源へのアクセスを得ることができる接続サービスを提供する。無線ネットワーク２１０は、ハブ２１６に接続された２個の無線アクセスポイント２１２と２１４を有し、そしてハブ２１６が次にＳＢサーバ２０２に接続される。
【００３５】
無線アクセスポイント２１２は、クラアントコンピュータ２１８に無線ネットワークカード２２０により接続され、無線アクセスポイント２１４はクライアントコンピュータ２２２に無線ネットワークカード２２４により接続される。一般的な無線ネットワーキング構成においては、アクセスポイント例えば無線アクセスポイント２１２，２１４は物理的に離れた位置にあり、無線ネットワークへ複数のアクセスポイントが可能となり、そして各アクセスポイントは、大部分の他のアクセスポイントの無線到達範囲の外にある。同様に、無線ネットワーク２１０は単一のクライアントコンピュータにそれぞれ接続された２個の無線アクセスポイントを含んでいる。
【００３６】
しかし、無線ネットワーク２１０は複数のクライアントコンピュータにそれぞれが接続されるいかなる数の無線アクセスポイントを含んでもよく、無線アクセスポイントの数および各アクセスポイントに接続されたクライアントコンピュータの数は、確実なネットワーク配置に依存する。認証と通信のセキュリティは、図１はＳＢサーバ１０２で説明したように行われる。
【００３７】
無線ネットワークにより有線ネットワークへのアクセスを制御するために、ＳＢサーバを用いることにより、いかなるサイズの無線ネットワークに対しても良好なスケーリングを与えることができる。有線ネットワークの接続数は、無線ネットワークサイズに比例してスケール化（拡大／縮小）ができ、ＳＢサーバへの複数の接続は、無線ネットワークへの無線アクセスポイントの追加により接続が表れる。さらにまたパスワードと暗号化キーの管理は、無線アクセスポイントの追加でも複雑になることはない。
【００３８】
ユーザがネットワーク、例えば有線ネットワーク２００を離れる（解約する）ときは、有線ネットワーク２００を使用するユーザの認証をユーザ認証データベース２０６で取り消すことができる、これは無線ネットワーク２１０の場合には無線アクセスポイント２１４、ハブ２１６のような無線ネットワークアクセスポイントでの変更の必要性もなく、またより大きなネットワークにおいてはより多くの数のアクセスポイントでの変更を必要としないで行われる。
【００３９】
無線ネットワーク、例えば無線ネットワーク２１０への無線の痕跡は分からないために、攻撃者（盗聴者）は、ネットワークの素子間のデータを転送するのに用いられる無線伝送にアクセスすると考えなければならない。盗聴者（攻撃者）は、無線ネットワークセッションの間盗聴を行うことができ、ネットワークに既に確立され接続されたクライアントコンピュータと偽ることによりセッションをハイジャックし、セッションに中断したりセッションを初期化したりする。しかし、無線ネットワーク２１０は、侵入者に対し価値を有する資源に対する情報あるいはアクセス権を有していないために無線ネットワークの脆弱性は重要ではない。
【００４０】
有線ネットワーク２００はＳＢサーバ２０２により保護されており、このＳＢサーバ２０２が十分テストされた認証システムを実行し、無線ネットワーク２１０へデータを送るために頑強な暗号化を用いているために、無線ネットワーク２１０の脆弱性は有線ネットワーク２００内のデータあるいは資源を危険にさらすことはない。クライアントと暗号化されたセッションのトラフィック解析は、盗聴者にも入手可能であるが、その理由は通信は未知のサイズの無線を介して送信されるからである。しかし、ＰＰＴＰを使用することによりネットワークトラフィックをカプセル化でき、これにより全てのトラフィックはクライアントシステムとＳＢサーバ２０２のアドレス集合を有するようになる。そのためトラフィック解析は、ＳＢサーバとクライアントコンピュータ、例えばクラアントコンピュータ２１８のアドレスを引き出すことはない。
【００４１】
図３は、本発明により無線ネットワークと有線ネットワークとの間の通信の認証検査とセキュリティの保護を行うプロセス３００を示す。ステップ３０２において、接続が有線ネットワークと無線ネットワークの間で確立される。無線ネットワークは、図１の無線ネットワーク１０４に類似し、有線ネットワークは、図１の有線ネットワーク１００に類似する。接続は、図１のＳＢサーバ１０２に類似したＳＢと図１のアクセスポイント１１８に類似した無線ネットワークアクセスポイント間に接続を確立することにより有線ネットワークと無線ネットワークの間で確立される。
【００４２】
ステップ３０４で、接続が無線ネットワーククライアントと無線ネットワークとの間で確立されるが、これは無線ネットワーククライアントと無線ネットワークアクセスポイントとの間の接続を確立することにより行われる。無線ネットワーククライアントは、図１のクライアントコンピュータ１１４Ａに類似し、図１の無線ネットワークカード１１６Ａに類似する無線ネットワークカードでもってアクセスポイントと適宜通信する。ステップ３０５において、無線ネットワーククライアントと有線ネットワークとの間の接続を確立するリクエストに応答して、暗号化キーが無線ネットワーククライアントとサーバとの間で交換されて、認証用に用いられるデータを保護する。
【００４３】
次にステップ３０６において、認証検査が無線ネットワーククライアントに対し行われるが、これはユーザ名とパスワードを要求し受領してこのユーザ名とパスワードをユーザのデータベースと比較することにより行われる。サーバとクライアントの間で交換される情報は、ステップ３０５で交換された暗号化キーを用いて暗号化される。認証が否認されると、プロセスはステップ３５０に進み、そこで接続が拒否され、接続アテンプトがログされる。認証が許可されると、プロセスはステップ３０８に移り接続アテンプトがログされる。
【００４４】
次にステップ３１０で、無線ネットワーククライアントに対し有線ネットワーク上の一時的アドレス、例えばＤＨＣＰを用いて与えられる。ステップ３１２で、有線ネットワークと通信するために用いられる独自のセッション暗号化キーが与えられる。ステップ３１４で、トラフィックが無線ネットワーククライアントと有線ネットワークとの間でＳＢサーバを介して伝送され、ネットワーク資源へのアクセスが認証用に提供されたアカウント情報に関連するユーザの特権にしたがってクライアントに与えられる。
【００４５】
特許請求の範囲の発明の要件の後に括弧で記載した番号は、本発明の一実施例の対応関係を示すもので本発明の範囲を限定するものと解釈すべきではない。
【図面の簡単な説明】
【図１】本発明による無線ネットワークと有線ネットワークとの間の接続を示す図であり、無線ネットワークユーザの認証と有線ネットワークによるアクセスの制御を本発明によりサーバが実行し、無線ネットワークが無線クライアントによる接続のための１個の無線アクセスポイントを提供する図
【図２】本発明により接続技術、暗号化技術、認証技術を用いた有線ネットワークと無線ネットワークとの間の接続を示す図
【図３】本発明によるネットワークの認証獲得とセキュリティの処理を表すフローチャート図
【符号の説明】
１００，２００ 有線ネットワーク
１０２，２０２ ＳＢサーバ
１０４，２１０ 無線ネットワーク
１０６，２０４ ネットワークハブ
１０８，２０６ ユーザ認証データベース
１１０，２０８ ＤＨＣＰサーバ
１１２，２１４ 無線アクセスポイント
１１４，２１８，２２２ クライアントコンピュータ
１１６，２２０，２２４ ネットワークカード
２１２ 無線アクセスポイント
２１６ ハブ
３０２ 無線ネットワークと有線ネットワークとの間の接続を確立する
３０４ 無線ネットワーククライアントと無線ネットワークとの間の接続を確立する
３０５ クライアントとサーバとの間でキーを交換する
３０６ ワイヤレスクライアントによる有線ネットワークへの接続のための認証を実行する
３０８ 接続の試みをログする
３１０ 無線ネットワーククライアントのために一時的な有線ネットワークアクセスを与える
３１２ 無線ネットワーククライアントにセッションキーを与える
３１４ 有線ネットワークと無線クライアントの間にトラフィックを通す
３５０ 接続を拒絶し接続アテンプトをログする
Claims (10)
- 無線ネットワーククライアントに対し認証されたアクセスを提供する有線ネットワークであって、
（Ａ）無線ネットワークアクセスポイント（１１２）と該有線ネットワーク上の付加リソースの間に接続され、該有線ネットワーク上の該付加リソースへのアクセスを、該無線アクセスポイントを介して該有線ネットワークへアクセスすることを試みる無線クライアントによって制御するセキュリティベースサーバ（１０２）であって、該無線ネットワークアクセスポイント（１１２）を介して該セキュリティベースサーバへの接続を確立する無線ネットワーククライアント（１１４）に対する認証検査を実行するよう動作し、該クライアントから該セキュリティベースサーバへ送信される認証情報を検査し、該認証情報が該クライアントを該有線ネットワークへのアクセス取得を許可されたものとして特定しているか否かを判定することによって認証を実行するよう動作し、該クライアントの認証結果に基づいて接続セッションを確立するよう動作し、該クライアントの認証結果に基づいて該接続セッションの間有効な有線ネットワークアドレスを該クライアントに与えるよう動作し、該無線ネットワークアクセスポイントとの通信を暗号化するよう動作し、該クライアントの認証がなされると、該有線ネットワークとの暗号化された通信に使用され該クライアントへの接続セッションの間有効な暗号化キーを該クライアントに提供するよう動作し、該クライアントの認証が失敗すると、該有線ネットワーク上の該付加リソースへのあらゆるアクセスを阻止するよう動作するセキュリティベースサーバ、及び
（Ｂ）前記セキュリティベースサーバにアクセス可能で、無線ネットワーククライアントを認証検査する際用いられるユーザデータベース（１０８）
からなる有線ネットワーク。 - （Ｃ）前記セキュリティベースサーバと前記有線ネットワーク上の該付加リソースとの間の接続を提供するネットワークハブをさらに含む請求項１記載の有線ネットワーク。
- （Ｄ）前記セキュリティベースサーバと前記有線ネットワーク上の該付加リソースとの間の接続を提供し、かつ別の有線ネットワークへの接続を提供するルータをさらに含む請求項１記載の有線ネットワーク。
- 前記セキュリティベースサーバがダイナミックホスト制御プロトコルを介してアドレスをクライアントに提供する請求項２記載の有線ネットワーク。
- 無線ネットワーククライアントと有線ネットワーククライアントの間のセキュリティを有する認証された通信を提供する無線ネットワークであって、
（Ａ）無線ネットワーク（１０４）と有線ネットワーク（１００）との間の入口として動作するセキュリティベースサーバ（１０２）との接続を確立するために動作する無線ネットワークアクセスポイント（１１２）であって、無線ネットワーククライアントを該ネットワークへのアクセスを許可されたものとして認証するために該セキュリティベースサーバとの通信を実行するよう動作し、該サーバに無線ネットワーククライアントに対する該認証情報の検査を可能とし、該認証情報が該無線ネットワーククライアントの該有線ネットワークへのアクセスが許可されていることを示しているかを判定するために、１以上の無線ネットワーククライアントからの認証情報を受領し、該認証情報を該セキュリティベースサーバに転送するよう動作し、該クライアントの認証がなされると、該セキュリティベースサーバから接続セッションに対して有効な暗号化キーを受領して該暗号化キーを当該クライアントに転送するよう動作する無線ネットワークアクセスポイント、及び
（Ｂ）前記無線ネットワークアクセスポイントとの接続を確立するために動作する無線ネットワーククライアント（１１４）であって、該アクセスポイントを介して該セキュリティベースサーバと暗号化された通信を実行するよう動作し、該無線ネットワーク及び有線ネットワークと通信する該セキュリティベースサーバに、該無線ネットワーククライアントが該有線ネットワークへのアクセスを取得することを許可されているか否かを示すために、認証情報を前記無線ネットワークアクセスポイントに送るように動作し、該セキュリティベースサーバによる認証がなされると、該有線ネットワークとの通信を可能とするために、アドレス情報と暗号化するための暗号化キーを前記無線ネットワークアクセスポイントを介して該アクセスポイントから受領するよう動作し、該アドレス及び暗号化キーを受領すると、該暗号化キーを利用して該アクセスポイントを介して該有線ネットワークとの間でデータの暗号化された転送を行う無線ネットワーククライアント
からなる無線ネットワーク。 - 前記アクセスポイントがポイントトゥポイント・トンネリングプロトコルを用いて該セキュリティベースサーバと通信する請求項５記載の無線ネットワーク。
- （Ｃ）無線ネットワークアクセスポイントと複数の別のネットワークアクセスポイントと接続されたハブ（２１６）をさらに含み、各別のネットワークアクセスポイントが、複数の別の無線ネットワーククライアント、該無線ネットワークアクセスポイント、及び該別のネットワークアクセスポイントと通信し、該ネットワークハブを介して該セキュリティベースサーバと通信を確立する請求項５記載の無線ネットワーク。
- 無線ネットワーククライアントと有線ネットワークとの間のセキュリティを有する通信を実行する方法であって、
無線ネットワークアクセスポイントと有線ネットワークに接続されたセキュリティベース（ＳＢ）サーバとの間に接続を確立するステップであって、該ＳＢサーバが該無線ネットワークアクセスポイントを介した該有線ネットワークへのアクセスを制御する、ステップ、
前記ＳＢサーバと、前記無線ネットワークアクセスポイントを介して前記ＳＢサーバと通信する無線ネットワーククライアントとの間に接続を確立するステップ、
前記ＳＢサーバと該無線ネットワーククライアントとの間で暗号化キーを交換するステップ、
認証情報を該無線ネットワーククライアントから該ＳＢサーバへ該無線ネットワークアクセスポイントを介して送信するステップ、
該認証情報を検査して該無線ネットワーククライアントが該有線ネットワークへのアクセス取得を許可されているかを判定することによって、該無線ネットワーククライアントに対し認証検査を実行するステップ、
認証が不許可の場合、該有線ネットワークへの接続を拒否するステップ、
認証が許可の場合、該有線ネットワークへの接続を受け入れるステップ、該有線ネットワークとの暗号化された通信に使用され接続セッションに対して有効な一時的な有線ネットワークアドレスとユニークなセッション暗号化キーを該無線ネットワーククライアントに与えるステップ、及び該無線ネットワーククライアントによるリクエストに応答して、有線ネットワーク資源へのアクセスを与えるステップ
からなる方法。 - 前記有線ネットワークへの接続を拒否するステップが、該拒否をログインするステップを伴い、前記接続を受け入れるステップが、該受け入れをログインするステップを伴う請求項８記載の方法。
- 前記一時的な有線ネットワークアドレスを該無線ネットワーククライアントに与えるステップが、アドレスを与えるためのダイナミックホスト制御プロトコルを用いるステップを含む請求項９記載の方法。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US09/755470 | 2001-01-05 | ||
| US09/755,470 US20020090089A1 (en) | 2001-01-05 | 2001-01-05 | Methods and apparatus for secure wireless networking |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2002281045A JP2002281045A (ja) | 2002-09-27 |
| JP2002281045A5 JP2002281045A5 (ja) | 2005-07-07 |
| JP4071966B2 true JP4071966B2 (ja) | 2008-04-02 |
Family
ID=25039276
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002000602A Expired - Fee Related JP4071966B2 (ja) | 2001-01-05 | 2002-01-07 | 無線ネットワーククライアントに対し認証されたアクセスを提供する有線ネットワークとその方法 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US20020090089A1 (ja) |
| JP (1) | JP4071966B2 (ja) |
Families Citing this family (81)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6184961B1 (en) * | 1997-07-07 | 2001-02-06 | Lg Electronics Inc. | In-plane switching mode liquid crystal display device having opposite alignment directions for two adjacent domains |
| US6825776B2 (en) * | 1999-08-09 | 2004-11-30 | Power Measurement Ltd. | External I/O and communications interface for a revenue meter |
| US7606898B1 (en) | 2000-10-24 | 2009-10-20 | Microsoft Corporation | System and method for distributed management of shared computers |
| DE10112699C2 (de) * | 2001-03-16 | 2003-06-18 | Daimler Chrysler Ag | Autorisierungsverfahren für die Kommunikation mit einem Datenbus |
| AU2002302956A1 (en) * | 2001-05-16 | 2002-11-25 | Adjungo Networks Ltd. | Access to plmn networks for non-plmn devices |
| US20030061503A1 (en) * | 2001-09-27 | 2003-03-27 | Eyal Katz | Authentication for remote connections |
| US20030079121A1 (en) * | 2001-10-19 | 2003-04-24 | Applied Materials, Inc. | Secure end-to-end communication over a public network from a computer inside a first private network to a server at a second private network |
| US7484003B2 (en) * | 2001-11-17 | 2009-01-27 | Redback Networks Inc. | Method and apparatus for multiple contexts and layer 3 virtual private networks |
| US20030095663A1 (en) * | 2001-11-21 | 2003-05-22 | Nelson David B. | System and method to provide enhanced security in a wireless local area network system |
| US20030099362A1 (en) * | 2001-11-27 | 2003-05-29 | Doug Rollins | Method and apparatus for WEP key management and propagation in a wireless system |
| US7325246B1 (en) * | 2002-01-07 | 2008-01-29 | Cisco Technology, Inc. | Enhanced trust relationship in an IEEE 802.1x network |
| CN1268093C (zh) * | 2002-03-08 | 2006-08-02 | 华为技术有限公司 | 无线局域网加密密钥的分发方法 |
| US7532862B2 (en) * | 2002-03-19 | 2009-05-12 | Apple Inc. | Method and apparatus for configuring a wireless device through reverse advertising |
| US20060031936A1 (en) * | 2002-04-04 | 2006-02-09 | Enterasys Networks, Inc. | Encryption security in a network system |
| US7532895B2 (en) | 2002-05-20 | 2009-05-12 | Air Defense, Inc. | Systems and methods for adaptive location tracking |
| ES2558302T3 (es) * | 2002-05-20 | 2016-02-03 | Airdefense, Inc. | Sistema para manejar la actividad de una red inalámbrica |
| US7058796B2 (en) | 2002-05-20 | 2006-06-06 | Airdefense, Inc. | Method and system for actively defending a wireless LAN against attacks |
| US7383577B2 (en) | 2002-05-20 | 2008-06-03 | Airdefense, Inc. | Method and system for encrypted network management and intrusion detection |
| US7086089B2 (en) * | 2002-05-20 | 2006-08-01 | Airdefense, Inc. | Systems and methods for network security |
| US7277404B2 (en) * | 2002-05-20 | 2007-10-02 | Airdefense, Inc. | System and method for sensing wireless LAN activity |
| US7042852B2 (en) | 2002-05-20 | 2006-05-09 | Airdefense, Inc. | System and method for wireless LAN dynamic channel change with honeypot trap |
| US7322044B2 (en) * | 2002-06-03 | 2008-01-22 | Airdefense, Inc. | Systems and methods for automated network policy exception detection and correction |
| US7853788B2 (en) * | 2002-10-08 | 2010-12-14 | Koolspan, Inc. | Localized network authentication and security using tamper-resistant keys |
| US7574731B2 (en) * | 2002-10-08 | 2009-08-11 | Koolspan, Inc. | Self-managed network access using localized access management |
| US7325134B2 (en) | 2002-10-08 | 2008-01-29 | Koolspan, Inc. | Localized network authentication and security using tamper-resistant keys |
| WO2004034229A2 (en) | 2002-10-10 | 2004-04-22 | Rocksteady Networks, Inc. | System and method for providing access control |
| US7587512B2 (en) * | 2002-10-16 | 2009-09-08 | Eric White | System and method for dynamic bandwidth provisioning |
| GB2394387A (en) * | 2002-10-16 | 2004-04-21 | Synad Technologies Ltd | Security in wireless local area networks |
| US7698550B2 (en) * | 2002-11-27 | 2010-04-13 | Microsoft Corporation | Native wi-fi architecture for 802.11 networks |
| JP4120415B2 (ja) * | 2003-02-10 | 2008-07-16 | 株式会社日立製作所 | トラフィック制御計算装置 |
| US8122106B2 (en) | 2003-03-06 | 2012-02-21 | Microsoft Corporation | Integrating design, deployment, and management phases for systems |
| US7689676B2 (en) | 2003-03-06 | 2010-03-30 | Microsoft Corporation | Model-based policy application |
| US7890543B2 (en) | 2003-03-06 | 2011-02-15 | Microsoft Corporation | Architecture for distributed computing system and automated design, deployment, and management of distributed applications |
| US7522908B2 (en) * | 2003-04-21 | 2009-04-21 | Airdefense, Inc. | Systems and methods for wireless network site survey |
| US7355996B2 (en) | 2004-02-06 | 2008-04-08 | Airdefense, Inc. | Systems and methods for adaptive monitoring with bandwidth constraints |
| US7359676B2 (en) * | 2003-04-21 | 2008-04-15 | Airdefense, Inc. | Systems and methods for adaptively scanning for wireless communications |
| US7324804B2 (en) * | 2003-04-21 | 2008-01-29 | Airdefense, Inc. | Systems and methods for dynamic sensor discovery and selection |
| US7624438B2 (en) * | 2003-08-20 | 2009-11-24 | Eric White | System and method for providing a secure connection between networked computers |
| CA2438357A1 (en) * | 2003-08-26 | 2005-02-26 | Ibm Canada Limited - Ibm Canada Limitee | System and method for secure remote access |
| US7827409B2 (en) * | 2003-10-07 | 2010-11-02 | Koolspan, Inc. | Remote secure authorization |
| US7325133B2 (en) * | 2003-10-07 | 2008-01-29 | Koolspan, Inc. | Mass subscriber management |
| WO2005038608A2 (en) * | 2003-10-15 | 2005-04-28 | Koolspan, Inc. | Mass subscriber management |
| US7581249B2 (en) * | 2003-11-14 | 2009-08-25 | Enterasys Networks, Inc. | Distributed intrusion response system |
| WO2005057842A1 (en) * | 2003-12-11 | 2005-06-23 | Auckland Uniservices Limited | A wireless lan system |
| US7420973B2 (en) * | 2004-02-09 | 2008-09-02 | Redback Networks Inc. | Context selection in a network element through subscriber flow switching |
| US7778422B2 (en) * | 2004-02-27 | 2010-08-17 | Microsoft Corporation | Security associations for devices |
| US7665130B2 (en) | 2004-03-10 | 2010-02-16 | Eric White | System and method for double-capture/double-redirect to a different location |
| US8543710B2 (en) | 2004-03-10 | 2013-09-24 | Rpx Corporation | Method and system for controlling network access |
| US7590728B2 (en) | 2004-03-10 | 2009-09-15 | Eric White | System and method for detection of aberrant network behavior by clients of a network access gateway |
| US20050204022A1 (en) * | 2004-03-10 | 2005-09-15 | Keith Johnston | System and method for network management XML architectural abstraction |
| US7610621B2 (en) * | 2004-03-10 | 2009-10-27 | Eric White | System and method for behavior-based firewall modeling |
| US7730207B2 (en) * | 2004-03-31 | 2010-06-01 | Microsoft Corporation | Routing in peer-to-peer networks |
| US20050246529A1 (en) * | 2004-04-30 | 2005-11-03 | Microsoft Corporation | Isolated persistent identity storage for authentication of computing devies |
| BRPI0511097A (pt) * | 2004-05-17 | 2007-12-26 | Thomson Licensing | métodos e equipamentos para gerenciamento de acesso a rede virtual privada para dispositivos portáteis sem cliente vpn |
| US8196199B2 (en) * | 2004-10-19 | 2012-06-05 | Airdefense, Inc. | Personal wireless monitoring agent |
| US20060123133A1 (en) * | 2004-10-19 | 2006-06-08 | Hrastar Scott E | Detecting unauthorized wireless devices on a wired network |
| US8489728B2 (en) | 2005-04-15 | 2013-07-16 | Microsoft Corporation | Model-based system monitoring |
| US7797147B2 (en) | 2005-04-15 | 2010-09-14 | Microsoft Corporation | Model-based system monitoring |
| US7802144B2 (en) | 2005-04-15 | 2010-09-21 | Microsoft Corporation | Model-based system monitoring |
| US8549513B2 (en) | 2005-06-29 | 2013-10-01 | Microsoft Corporation | Model-based virtual system provisioning |
| JP2007042015A (ja) * | 2005-08-05 | 2007-02-15 | Brother Ind Ltd | 周辺電子機器制御システム及び機能制限制御プログラム |
| US7941309B2 (en) | 2005-11-02 | 2011-05-10 | Microsoft Corporation | Modeling IT operations/policies |
| US7577424B2 (en) | 2005-12-19 | 2009-08-18 | Airdefense, Inc. | Systems and methods for wireless vulnerability analysis |
| US7715800B2 (en) | 2006-01-13 | 2010-05-11 | Airdefense, Inc. | Systems and methods for wireless intrusion detection using spectral analysis |
| US7971251B2 (en) * | 2006-03-17 | 2011-06-28 | Airdefense, Inc. | Systems and methods for wireless security using distributed collaboration of wireless clients |
| US20070218874A1 (en) * | 2006-03-17 | 2007-09-20 | Airdefense, Inc. | Systems and Methods For Wireless Network Forensics |
| US20090021343A1 (en) * | 2006-05-10 | 2009-01-22 | Airdefense, Inc. | RFID Intrusion Protection System and Methods |
| US7656849B1 (en) | 2006-05-31 | 2010-02-02 | Qurio Holdings, Inc. | System and method for bypassing an access point in a local area network for P2P data transfers |
| US7970013B2 (en) | 2006-06-16 | 2011-06-28 | Airdefense, Inc. | Systems and methods for wireless network content filtering |
| US8102863B1 (en) | 2006-06-27 | 2012-01-24 | Qurio Holdings, Inc. | High-speed WAN to wireless LAN gateway |
| US8281392B2 (en) * | 2006-08-11 | 2012-10-02 | Airdefense, Inc. | Methods and systems for wired equivalent privacy and Wi-Fi protected access protection |
| US7907735B2 (en) | 2007-06-15 | 2011-03-15 | Koolspan, Inc. | System and method of creating and sending broadcast and multicast data |
| US9002010B2 (en) | 2009-09-10 | 2015-04-07 | Lenovo Enterprise Solutions (Singapore) Pte. Ltd. | Secure communication of information over a wireless link |
| US8700913B1 (en) | 2011-09-23 | 2014-04-15 | Trend Micro Incorporated | Detection of fake antivirus in computers |
| US9203823B2 (en) * | 2013-10-30 | 2015-12-01 | At&T Intellectual Property I, L.P. | Methods and systems for selectively obtaining end user authentication before delivering communications |
| US9603014B2 (en) | 2014-04-29 | 2017-03-21 | Lsis Co., Ltd. | Power system |
| CN104080086B (zh) * | 2014-07-18 | 2018-09-04 | 北京智谷睿拓技术服务有限公司 | 无线连接建立方法及无线连接建立装置 |
| US9344410B1 (en) * | 2014-10-31 | 2016-05-17 | Sap Se | Telecommunication method for securely exchanging data |
| MY181840A (en) | 2016-11-04 | 2021-01-08 | Thomson Licensing | Devices and methods for client device authentication |
| EP3413508A1 (en) * | 2017-06-06 | 2018-12-12 | Thomson Licensing | Devices and methods for client device authentication |
| CN114257445B (zh) * | 2021-12-20 | 2023-05-26 | 中电福富信息科技有限公司 | 一种阻止用户瞬时多拨认证接入的信控方法 |
Family Cites Families (13)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5371794A (en) * | 1993-11-02 | 1994-12-06 | Sun Microsystems, Inc. | Method and apparatus for privacy and authentication in wireless networks |
| US6061346A (en) * | 1997-01-17 | 2000-05-09 | Telefonaktiebolaget Lm Ericsson (Publ) | Secure access method, and associated apparatus, for accessing a private IP network |
| US6512754B2 (en) * | 1997-10-14 | 2003-01-28 | Lucent Technologies Inc. | Point-to-point protocol encapsulation in ethernet frame |
| US6148405A (en) * | 1997-11-10 | 2000-11-14 | Phone.Com, Inc. | Method and system for secure lightweight transactions in wireless data networks |
| FI105966B (fi) * | 1998-07-07 | 2000-10-31 | Nokia Networks Oy | Autentikointi tietoliikenneverkossa |
| US6651105B1 (en) * | 1998-11-12 | 2003-11-18 | International Business Machines Corporation | Method for seamless networking support for mobile devices using serial communications |
| US6526506B1 (en) * | 1999-02-25 | 2003-02-25 | Telxon Corporation | Multi-level encryption access point for wireless network |
| US6591306B1 (en) * | 1999-04-01 | 2003-07-08 | Nec Corporation | IP network access for portable devices |
| US6393484B1 (en) * | 1999-04-12 | 2002-05-21 | International Business Machines Corp. | System and method for controlled access to shared-medium public and semi-public internet protocol (IP) networks |
| US6857072B1 (en) * | 1999-09-27 | 2005-02-15 | 3Com Corporation | System and method for enabling encryption/authentication of a telephony network |
| US6707914B1 (en) * | 1999-11-29 | 2004-03-16 | Cisco Technology, Inc. | System and method for encrypting information within a communications network |
| US6834341B1 (en) * | 2000-02-22 | 2004-12-21 | Microsoft Corporation | Authentication methods and systems for accessing networks, authentication methods and systems for accessing the internet |
| US20020075844A1 (en) * | 2000-12-15 | 2002-06-20 | Hagen W. Alexander | Integrating public and private network resources for optimized broadband wireless access and method |
-
2001
- 2001-01-05 US US09/755,470 patent/US20020090089A1/en not_active Abandoned
-
2002
- 2002-01-07 JP JP2002000602A patent/JP4071966B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2002281045A (ja) | 2002-09-27 |
| US20020090089A1 (en) | 2002-07-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4071966B2 (ja) | 無線ネットワーククライアントに対し認証されたアクセスを提供する有線ネットワークとその方法 | |
| CA2654381C (en) | Policy driven, credential delegation for single sign on and secure access to network resources | |
| US7752320B2 (en) | Method and apparatus for content based authentication for network access | |
| US10764264B2 (en) | Technique for authenticating network users | |
| US8555344B1 (en) | Methods and systems for fallback modes of operation within wireless computer networks | |
| US20050081045A1 (en) | System, method, apparatus and computer program product for facilitating digital communications | |
| US20060117104A1 (en) | Setting information distribution apparatus, method, program, and medium, authentication setting transfer apparatus, method, program, and medium, and setting information reception program | |
| EP1629655A1 (en) | Methods and systems of remote authentication for computer networks | |
| JP2006086907A (ja) | 設定情報配布装置、方法、プログラム、媒体、及び設定情報受信プログラム | |
| Hole et al. | Securing wi-fi networks | |
| US20150249639A1 (en) | Method and devices for registering a client to a server | |
| Aryeh et al. | Securing wireless network using pfsense captive portal with radius authentication–A case study at UMaT | |
| Nixon et al. | Analyzing vulnerabilities on WLAN security protocols and enhance its security by using pseudo random MAC address | |
| CN111628960B (zh) | 用于连接至专用网络上的网络服务的方法和装置 | |
| Chughtai et al. | Performance analysis of microsoft network policy server and freeRADIUS authentication systems in 802.1 x based secured wired ethernet using PEAP | |
| Baugher et al. | Home-network threats and access controls | |
| Sintaro et al. | SDP And VPN For Remote Access: A Comparative Study And Performance Evaluation | |
| JP2005086656A (ja) | 認証判定ブリッジ、プログラム、無線ｌａｎ通信システム及び無線ｌａｎ通信方法 | |
| Kovačić et al. | Improving the security of access to network resources using the 802.1 x standard in wired and wireless environments | |
| Kumar | ISSUES AND CONCERNS IN ENTITY AUTHENTICATION IN WIRELESS LOCAL AREA NETWORKS (WLANS). | |
| Fisher | Authentication and Authorization: The Big Picture with IEEE 802.1 X | |
| Ambekar et al. | Enhanced User Authentication Model in Cloud Computing Security | |
| Kasiulynas | Radius Authentication in wireless lab environment | |
| Mejia-Nogales et al. | Design and implementation of a secure access system to information resources for ieee802. 11 wireless networks | |
| Nagesha et al. | A Survey on Wireless Security Standards and Future Scope. |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20041102 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20041102 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20061218 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20061220 |
|
| A601 | Written request for extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A601 Effective date: 20070320 |
|
| A602 | Written permission of extension of time |
Free format text: JAPANESE INTERMEDIATE CODE: A602 Effective date: 20070326 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070614 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20070702 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071029 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20071207 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20071226 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080118 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110125 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110125 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120125 Year of fee payment: 4 |
|
| LAPS | Cancellation because of no payment of annual fees |