JP4218934B2 - ネットワーク構築方法、無線通信システムおよびアクセスポイント装置 - Google Patents
ネットワーク構築方法、無線通信システムおよびアクセスポイント装置 Download PDFInfo
- Publication number
- JP4218934B2 JP4218934B2 JP2002233119A JP2002233119A JP4218934B2 JP 4218934 B2 JP4218934 B2 JP 4218934B2 JP 2002233119 A JP2002233119 A JP 2002233119A JP 2002233119 A JP2002233119 A JP 2002233119A JP 4218934 B2 JP4218934 B2 JP 4218934B2
- Authority
- JP
- Japan
- Prior art keywords
- link
- wireless communication
- access point
- client terminal
- network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
Description
【０００１】
【発明の属する技術分野】
本発明は、アクセスポイント装置とクライアント端末との間で安全な無線ネットワークを構築する場合などに用いられるネットワーク構築方法、無線通信システムおよびアクセスポイント装置に関する。
【０００２】
【従来の技術】
従来、無線ＬＡＮやＢｌｕｅｔｏｏｔｈでは、その通信媒体として電波を用いるので、通信先の制限が難しかった。このため、これらの規格では、通信先毎に暗号鍵を変更することで、たとえパケットをのぞき見られても、それを解読できないようにするといった防御手段がとられてきた。現在、最も一般的な無線通信暗号化手段は、ＩＥＥＥ８０２．１１方式の場合、ＷＥＰキー（４０ｂｉｔ，１２８ｂｉｔ）による暗号化であり、Ｂｌｕｅｔｏｏｔｈ方式の場合、Ｐｉｎコードから自動生成される１２８ｂｉｔの暗号鍵（１２８ｂｉｔ）による暗号化である。
【０００３】
しかし、これらの暗号化方式は脆弱性を有することが指摘されており、無線通信の安全性を更に高めるための暗号化方式として、８０２．１１方式では、８０２．１ｘベースの認証を実施した上での動的ＷＥＰキー変換（ＥＡＰ）や、ＴＫＩＰ，ＡＥＳといった更に高度な暗号化方式、Ｂｌｕｅｔｏｏｔｈ方式では、８０２．１ｘベースの上位アプリケーション層での認証・暗号化方式などが検討され、一部実施されている。
【０００４】
この中でも８０２．１ｘをベースとしたＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ、拡張可能認証プロトコル）方式と呼ばれる認証・暗号化手段は、一部のＯＳ環境において、８０２．１１方式向けの認証・暗号化手段として標準で実装されている。
【０００５】
無線ＬＡＮ（８０２．１１）におけるＥＡＰ方式では、クライアントの端末がネットワーク接続要求を行う際、ＴＣＰ／ＩＰを利用してイントラネット内に設けられた認証サーバ（ＲＡＤＩＵＳサーバ等）とデータ通信を行い、認証サーバからクライアントへの証明書の要求またはチャレンジを実施する。
【０００６】
クライアントは、証明書所有の証明を行うか、チャレンジに対してアカウント名とパスワードを返し、それらが認証サーバ内のデータと一致した場合、認証サーバは、無線通信を暗号化するための１２８ｂｉｔの暗号鍵または暗号鍵生成手段を、アクセスポイントおよびクライアントに返す。このようなプロセスを経て、クライアントが認証をパスすると、それ以降の無線通信は、クライアントとアクセスポイントとの両者間で、１２８ｂｉｔの暗号鍵をＷＥＰキーとして利用することで、暗号化される。さらに、上記プロセスは一定時間毎に定期的に実施され、暗号鍵の更新が行われる。
【０００７】
また、Ｂｌｕｅｔｏｏｔｈ方式では、ＰＡＮプロファイルにおいて、セキュリティ向上のために、８０２．１ｘ認証・暗号化手段を用いることが推奨されている。Ｂｌｕｅｔｏｏｔｈの場合、無線媒体である電波を暗号化するための鍵の生成は、Ｂｌｕｅｔｏｏｔｈ方式で通信を行うデバイス間のＰｉｎコードによる相互認証によって自動的に行われるので、認証サーバから受け取った暗号鍵情報を、無線ＬＡＮにおけるＷＥＰキーのように、電波そのものの暗号化鍵として利用できないが、無線媒体としての電波を生成する前段階で、パケットを暗号化する際の鍵として利用できる。これにより、二重に暗号化して通信のセキュリティを向上させることができる。
【０００８】
このように、８０２．１ｘ方式の認証・暗号化プロセスでは、認証を実施するための認証サーバがネットワーク内に存在し、同サーバでクライアントのアカウントを集中管理する。このため、８０２．１ｘ方式を用いることで、クライアントがどこにいても、認証サーバとのＴＣＰ／ＩＰによる通信が実施可能である限り、同一のアカウント・パスワードを用いてイントラネット等のネットワークに接続することができる。
【０００９】
【発明が解決しようとする課題】
しかしながら、上記従来の無線接続システムでは、上記８０２．１ｘ方式による認証・暗号化プロセスを用いることで、クライアントは無線通信による安全なネットワーク接続を実現できるが、このために、ネットワーク内に認証サーバを設置し、かつこの認証サーバに予めクライアントのアカウントを登録しておく必要がある。
【００１０】
すなわち、８０２．１ｘ方式は、比較的規模の大きなイントラネット等における運用を想定した方式であり、無線によるネットワーク接続を行うクライアントも、認証サーバ上にアカウントを持ったメンバに限定されるという制限があった。
【００１１】
このため、認証サーバにアカウントの無い外来者が参加するミーティングを行う場合、あるいはイントラネットへの接続手段がない社外の会議室等でのミーティングを行う場合、８０２．１ｘ方式による認証・暗号化プロセスを利用した無線通信による安全なネットワーク構築ができないという不具合があった。
【００１２】
尚、このような場合、認証・暗号化を無くした無線通信を行うことは実現可能であるが、セキュリティの面から大きな問題があることは勿論である。また、手作業による無線通信用パラメータの設定を実施するようにした場合、無線通信の暗号化は可能であるが、クライアントはイントラネット内で通常利用する８０２．１ｘ方式のアカウント・パスワードの入力による自動接続とは、全く異なる接続手段を手動で行わなければならず、操作方法に統一性が無く、煩雑であり、利便性が損なわれる。
【００１３】
そこで、本発明は、８０２．１ｘ認証・暗号化方式などの認証プロセスを要する、比較的安全性の高い暗号化方式による無線通信を用いた無線ネットワークの構築を、認証プロセスに対応したアカウントや証明書を事前に所有していないクライアント端末においても実現できるようにすることを目的とする。
【００１４】
【課題を解決するための手段】
上記目的を達成するために、本発明のネットワーク構築方法は、無線ネットワークの構築方法であって、認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子をアクセスポイント装置の表示部に表示する第１の表示ステップと、前記アクセスポイント装置と、前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による前記第 1 の無線通信リンクを確立する第１のリンク確立ステップと、前記第１のリンク確立ステップにおいて前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示ステップと、前記第２の表示ステップにおいて情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定ステップと、前記第 1 の無線通信リンクが確立した状態で、前記アクセスポイント装置から、前記決定ステップにおいて前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付ステップと、前記送付ステップにおいて前記認証用データを送付した後、前記第 1 の無線通信リンクを破棄するリンク破棄ステップと、前記リンク破棄ステップによる前記第 1 の無線通信リンクの破棄後、前記アクセスポイント装置と前記認証用データが送付されたクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立する第２のリンク確立ステップと、を有する。
本発明のネットワーク構築方法は、アクセスポイント装置が、少なくとも 1 つのクライアント装置との間で無線ネットワークを構築するためのネットワーク構築方法であって、認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子を前記アクセスポイント装置の表示部に表示する第１の表示ステップと、前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による前記第１の無線通信リンクを確立する第１のリンク確立ステップと、前記第１のリンク確立ステップにおいて前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示ステップと、前記第２の表示ステップにおいて情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定ステップと、前記第１の無線通信リンクが確立した状態で、前記決定ステップにおいて前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付ステップと、前記送付ステップにおいて前記認証用データを送付した後、前記第１の無線通信リンクを破棄するリンク破棄ステップと、前記リンク破棄ステップによる前記第 1 の無線通信リンクの破棄後、前記認証用データを送付したクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立するための処理に移行する第２のリンク確立ステップと、を有する。
本発明の無線通信システムは、認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子をアクセスポイント装置の表示部に表示する第１の表示手段と、前記アクセスポイント装置と、前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による第１の無線通信リンクを確立する第１のリンク確立手段と、前記第１のリンク確立手段により前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示手段と、前記第２の表示手段により情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定手段と、前記第１の無線通信リンクが確立した状態で、前記アクセスポイント装置から、前記決定手段により前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付手段と、前記送付手段により前記認証用データを送付した後、前記第１の無線通信リンクを破棄するリンク破棄手段と、前記リンク破棄手段により前記第１の無線通信リンクを破棄した後、前記アクセスポイント装置と前記認証用データが送付されたクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立する第２のリンク確立手段とを備えた。
本発明のアクセスポイント装置は、認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子を前記アクセスポイント装置の表示部に表示する第１の表示手段と、前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による前記第１の無線通信リンクを確立する第１のリンク確立手段と、前記第１のリンク確立手段により前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示手段と、前記第２の表示手段により情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定手段と、前記第１の無線通信リンクが確立した状態で、前記決定手段により前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付手段と、前記送付手段により前記認証用データを送付した後、前記第１の無線通信リンクを破棄するリンク破棄手段と、前記リンク破棄手段による前記第１の無線通信リンクの破棄後、前記認証用データを送付したクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立するための処理に移行する第２のリンク確立手段とを備えた。
【００１７】
【発明の実施の形態】
本発明のネットワーク構築方法、無線通信システムおよびアクセスポイント装置の実施の形態について図面を参照しながら説明する。
【００１８】
［第１の実施形態］
図１は第１の実施形態におけるアクセスポイント装置およびクライアント端末によって構築されるネットワークシステムを示す図である。図において、１はＩＥＥＥ８０２．１１やＢｌｕｅｔｏｏｔｈ等の規格を用いた無線通信手段により、安全なネットワークを構築するアクセスポイントである。２はアクセスポイント１に内蔵された無線通信部である。３はアクセスポイント１に内蔵された認証サーバである。４はアクセスポイント１に内蔵された証明書サーバである。５はアクセスポイント１からクライアント端末へのメッセージを表示する表示部である。
【００１９】
６はＩＥＥＥ８０２．１１やＢｌｕｅｔｏｏｔｈ等の無線通信手段である。７、８はアクセスポイント１と無線接続されるＰＤＡである。９、１０はアクセスポイント１と無線接続されるノートＰＣである。
【００２０】
図２はアクセスポイント１の構成を示すブロック図である。図において、１０１はＣＰＵである。１０２はメモリコントローラやバス変換機能を有するノースブリッジチップである。１０３はノースブリッジチップ１０２から出力される高速バスを更に低速の汎用バスに変換するサウスブリッジである。
【００２１】
１０４はＲＡＭである。１０５は表示用グラフィックチップである。１０６は表示装置である。表示用グラフィックチップ１０５および表示装置１０６は図１の表示部５を構成する。１０７はプログラムや様々な設定情報を記憶するＲＯＭである。１０８、１０９はＰＣＩバスからＣａｒｄｂｕｓ等の標準拡張バスへの変換を行うブリッジチップである。１１０、１１１、１１２、１１３は無線通信拡張カードを挿入することによって様々な無線通信方式に対応する拡張バスインターフェースである。
【００２２】
１１４はカスケード接続用ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）である。１１５はカスケード接続用ＰＨＹ（Ｐｈｙｓｉｃａｌ ｌａｙｅｒ）である。１１６はカスケード接続用８０２．３ｕインターフェースである。１１７は有線ネットワークによるＰＡＮ構築用ＭＡＣである。１１８は有線ネットワークによるＰＡＮ構築用スイッチングコントローラである。１１９、１２０、１２１、１２２は有線ネットワークによるＰＡＮ構築用インターフェースである。１２３は上記回路に電源を供給する電源装置である。
【００２３】
拡張バスインターフェース１１０、１１１、１１２、１１３は全て同等の機能を有しており、このインターフェースに無線通信機能を有する拡張カードを挿入することによって、拡張カードはアクセスポイントとして機能する。また、複数の拡張バスインターフェースを装備し、Ｂｌｕｅｔｏｏｔｈ、８０２．１１ｂ、８０２．１１ａ等それぞれに異なる無線通信手段に対応した無線通信拡張カードを挿入することで、１台で複数の無線通信手段に同時に対応可能なアクセスポイントを構築することができる。さらに、同一の通信手段に対応した無線通信拡張カードを複数挿入すると、１枚の無線通信拡張カードで対応可能なユーザ数を越えた数のユーザに、１台のアクセスポイント装置で対応することができる。また、アクセスポイントを経由して基幹ネットワークに接続する無線通信のクライアント端末に対し、ユーザ毎のルーティングやフィルタリングを行うことで、不正なアクセスを相互に禁止できる。さらに、単一のＣＰＵ１０１およびその周辺回路で、アクセスポイントのルーティング機能、認証サーバ機能、および認証サーバ用アカウントあるいは証明書生成機能（証明書サーバ機能）を実現することで、製品化する場合のコストを低減できる。
【００２４】
図３はアクセスポイント装置のソフトウェアの構成を示す図である。認証サーバ（ＲＡＤＩＵＳサーバ等）のエミュレーション機能やアクセスポイントを実現するためのＴＣＰ／ＩＰスタック等を、図２の本体側ブロック（Ｍａｉｎ Ｂｏａｒｄ）に設けることによって、種類の異なる無線通信手段への対応を柔軟に行い、かつシステムの総コストを抑えることができる。
【００２５】
つぎに、上記構成を有するアクセスポイント１を利用し、無線通信によるＰＡＮを構築する動作を示す。無線通信によるＰＡＮを構築する際、アクセスポイント１に対する起動操作か、あるいは何らかのスイッチ入力を行うと、アクセスポイント１は、低レベルな暗号化を施した無線接続を確立するために必要な情報を、表示部５に表示する。このときの表示は、ＥＳＳ ＩＤ、ＷＥＰキー、あるいはＰｉｎコード等の８０２．１１やＢｌｕｅｔｏｏｔｈによる無線通信を暗号化するためのパラメータそのものでもよい。また、ユーザが所有するクライアント端末７、８、９、１０に、予めインストールされたプログラムによって、上記無線通信を暗号化するためのパラメータに自動変換を行うためのキーワードであってもよい。
【００２６】
図４は８０２．１１方式による無線接続を確立する処理手順を示すフローチャートである。まず、前述したように、新しいＰＡＮの構築要求が、アクセスポイント１の起動やスイッチ入力によって行われるまで待機し（ステップＳ１）、ＰＡＮの構築要求が行われた場合、アクセスポイント１は、８０２．１１方式による低レベルの暗号化を施した無線通信に必要なパラメータであるＥＳＳ ＩＤとＷＥＰキーを表示する（ステップＳ２）。
【００２７】
ここで、ＰＡＮに接続しようとするユーザは、これらの表示されたパラメータを、各自が所有するクライアント端末７、８、９、１０に手入力する。この操作によって、低レベルな暗号化を施した無線通信が、アクセスポイント１とクライアント端末７、８、９、１０との間に確立される。
【００２８】
尚、このとき、ＴＣＰ／ＩＰベースの接続を確立する必要があるので、低レベルの暗号化を施した無線レベルでのリンクが確立した後、アクセスポイント１に内蔵されたＤＨＣＰ機能等を用い、各クライアント端末７、８、９、１０は、ＩＰアドレスの自動発行等の処理を行い、ＴＣＰ／ＩＰによるネットワーク接続を確立する。
【００２９】
その後、アクセスポイント１は、自身に無線接続されているクライアント端末７、８、９、１０の情報を、アクセスポイント１の表示部５に一覧表示する（ステップＳ３）。このとき表示されるクライアント端末の情報は、接続されている無線端末のハードウェア識別コードでもよいが、その場合、ＰＡＮの管理責任者は、不正アクセス者の特定等のために、各クライアント端末の持つハードウェア識別コードを事前に把握しておく必要がある。
【００３０】
しかし、ハードウェア識別コードの管理は、ユーザにとって非常に煩雑である。そこで、ＰＡＮを構築しようとするユーザは、事前に自身が所有するクライアント端末７、８、９、１０に、ＰＡＮ構築を支援するためのソフトウェアをインストールしておき、このとき、クライアント端末利用者の氏名や所属などの個人識別情報を入力しておくものとする。このような処理を施しておき、低レベルの暗号化を施した無線接続を確立した際、各クライアント端末７、８、９、１０からアクセスポイント１に個人識別情報を送信することによって、アクセスポイント１は、自身に無線接続されているクライアント端末７、８、９、１０の個人識別情報を一覧表示することができる。
【００３１】
図５は個人識別情報の一覧表示を示す図である。ＰＡＮの管理責任者は、無線通信によって接続されているユーザの一覧表示を見ながら、任意に編集し、不正なＰＡＮ参加者がいないことを目視で確認すると、アクセスポイント１に対し、ＰＡＮ参加者の確認作業が完了したことを示すためのスイッチ入力等を行う。すなわち、ステップＳ３で無線接続されているクライアント端末７、８、９、１０の個人識別情報を一覧表示した後、修正要求があるか否かを判別し（ステップＳ４）、修正要求がある場合、修正作業を行って（ステップＳ５）、ステップＳ３の処理に戻る。一方、修正要求がないとして、確認作業完了が入力された場合、そのままステップＳ６の処理に移行する。
【００３２】
アクセスポイント１は、確認作業完了が入力された場合、確認されたユーザ以外のＰＡＮ参加を拒絶するため、確認されたユーザのＭＡＣアドレス等を用いたハードウェア識別コードによるフィルタリング設定を行う（ステップＳ６）。尚、このフィルタリング設定は、一般的な無線ＬＡＮアクセスポイントが有するＭＡＣアドレスによるユーザ制限機能を用いることにより、確認されたユーザ名のＭＡＣアドレスを自動設定する等の処理で実現できる。
【００３３】
また、アクセスポイント１は、同時に確認済みの全てのクライアント端末に対する認証用アカウントまたは証明書の発行作業を行う（ステップＳ７）。全てのクライアント端末に認証用アカウントまたは証明書を送信し（ステップＳ８）、送信が完了したか否かを判別する（ステップＳ９）。送信が完了すると、アクセスポイント１は、一旦、現状の低レベルな暗号化を施した無線通信によるリンクを破棄し（ステップＳ１０）、認証処理を要する高レベルな暗号化を施した無線通信の開始に備え、本処理を終了する。
【００３４】
クライアント端末７、８、９、１０は、低レベルの暗号化を施した無線通信によるリンクが破棄された後、リンク中に受信した認証用アカウントまたは証明書を利用して、ＥＡＰ等の認証プロセスを要する比較的高レベルな暗号化を施した無線通信を実施するための接続プロトコルを自動的に開始する。
【００３５】
尚、このとき、クライアント端末７、８、９、１０は、前回の比較的低レベルな暗号化を施した無線通信によるリンクを行った場合と同一のＥＳＳ ＩＤを用いて、ＥＡＰ等の認証プロセスを要する比較的高レベルな暗号化を施した無線通信への移行を行う。これは、認証用アカウントまたは証明書の発行を行ったアクセスポイント１に、クライアント端末７、８、９、１０を確実に誘導して接続するためである。
【００３６】
図６はＥＡＰによる認証を行う際、クライアント端末７、８、９、１０、アクセスポイント１内の無線通信部２、アクセスポイント１内の認証サーバ３の遷移を示す図である。クライアント端末７、８、９、１０は、アクセスポイント１内の無線通信部２を介してアクセスポイント１内の認証サーバ３に２回のＥＡＰ−Ｒｅｓｐｏｎｓｅ（２００、２０１）を送信する。
【００３７】
これにより、アカウントとパスワードのセット、または証明書データの送信を行い、自身が認証サーバに登録されているクライアント端末であることの認証を行う。その結果、認証に合格すると、クライアント端末のネットワークアクセスが許可され、その後、クライアント端末７、８、９、１０とアクセスポイント１内の無線通信部２との間に設定されるＷＥＰキーを、一定時間毎に動的に変更することで、比較的高レベルな暗号化を施した無線通信を実現することができる。
【００３８】
尚、第１の実施形態では、アクセスポイント１の表示部５を利用し、比較的低レベルの暗号化を施した無線接続を実施する際のＩＤやＣｏｄｅ等のキーワード表示、ＰＡＮ参加者の編集時の一覧表示などを実施する旨の記述を行ったが、この表示は、有線ネットワークによるＰＡＮ構築用インターフェース１１９、１２０、１２１、１２２に接続されたクライアントデバイスに、ＷＥＢブラウザを利用して間接的に表示することも可能である。この場合、アクセスポイント１に表示部や入力用スイッチなどを具備する必要が無くなるので、コスト削減に有効である。
【００３９】
［第２の実施形態］
前記第１の実施形態では、新規にＰＡＮを構築する際の動作について示したが、第２の実施形態では、実際にＰＡＮを構築する際の動作として、会議を例に挙げ、会議開催時のＰＡＮに必要とされる機能の観点から説明する。
【００４０】
ここで、会議開催時にクライアント端末を相互に接続するＰＡＮを構築する場合、前記第１の実施形態で示したように、比較的高レベルな暗号化を施した無線接続を利用することは、ユーザの利便性の点から非常に好ましい。
【００４１】
会議用ＰＡＮを構築する場合、各ユーザに発行するアカウントや証明書は、恒久的なものではなく、会議中だけ一時的に有効なものであることが必要である。このため、会議用にアクセスポイントを用いる場合、図４のステップＳ１で新しいＰＡＮの構築要求があった後、ステップＳ２の処理を行う前に、ＰＡＮ管理責任者による会議予定時間の入力のステップ処理を追加する。
【００４２】
この入力処理を追加することで、アカウントの有効時間を認証サーバに設定したり、発行する証明書の有効時間を証明書内のパラメータとして反映させることで、認証プロセスを要する比較的高レベルの暗号化を施した無線接続によるＰＡＮに有効時間を与えることができる。
【００４３】
また、前記第１の実施形態で示したように、ＰＡＮの管理責任者による確認作業が終了すると、ＰＡＮは、ＭＡＣアドレスフィルタリング等の処理によってロック状態となり、新たなユーザ参加を認めなくなる。
【００４４】
しかし、アクセスポイント１を会議等の環境下で用いる場合、一旦、ロック状態とした後、遅刻者の追加等の理由により、クライアント端末を追加するケースが考えられる。このような場合、ＰＡＮの管理責任者が、遅刻者を視認した際、アクセスポイント１を直接操作するか、あるいは管理責任者が使用しているクライアント端末９のＷＥＢブラウザを利用してアクセスポイント１の管理画面を起動し、間接的にアクセスポイント１を操作して、ロック状態を解除する。
【００４５】
図７は第２の実施形態における個人識別情報の一覧表示を示す図である。この画面上には、図５の画面と比べ、「ロック解除」ボタン３１が設けられている。この「ロック解除」ボタン３１をクリックすることにより、ＰＡＮのＭＡＣアドレスフィルタによる参加制限が解除される。
【００４６】
また、このとき、ＰＡＮ管理責任者は、遅刻者に対し、図中、Ｋｅｙｗｏｒｄとして表示されるＩＤやＣｏｄｅ情報を伝える。ここでは、Ｋｅｙｗｏｒｄは「ＧＣＳｍｅｅｔ」である。この後、追加でＰＡＮに参加しようとするユーザは、自身の所有するクライアント端末でアプリケーションを起動し、Ｋｅｙｗｏｒｄを入力する。ここで入力するキーワードは、前記第１の実施形態で示したように、比較的低レベルの暗号化を施した無線接続を実施する際、各ユーザが入力するＥＳＳ ＩＤ、ＷＥＰキー、あるいはＰｉｎコード等の８０２．１１やＢｌｕｅｔｏｏｔｈによる無線通信を暗号化するためのパラメータそのものでもよい。本実施形態では、最終的にそれらのパラメータに自動変換されるキーワードが用いられている。
【００４７】
図８は第２の実施形態における８０２．１１方式による追加クライアントの無線接続を確立する処理手順を示すフローチャートである。ロック解除要求が行われたか否かを判別する（ステップＳ１１）。ロック解除要求が行われた場合、アクセスポイント１は、８０２．１１方式による低レベルの暗号化を施した無線通信に必要なパラメータであるＥＳＳ ＩＤとＷＥＰキーを表示する（ステップＳ１２）。
【００４８】
クライアント端末にキーワードを入力すると、このクライアント端末は、既にその他のユーザによってＰＡＮが形成されているアクセスポイントに対し、低レベルの暗号化が施された無線接続を試みる。アクセスポイント１は、ＰＡＮに追加・参加しようとするクライアント端末を認識すると、画面表示を更新し、追加参加ユーザの個人情報を一覧に追記する（ステップＳ１３）。
【００４９】
尚、この追記は、図７の「更新」ボタン３２がクリックされたときに行われてもよい。ＰＡＮ管理責任者は、更新された一覧表示を確認し、仮に、不正ユーザが表示された場合、編集作業を行い、不正ユーザを削除する。すなわち、修正要求があるか否かを判別し（ステップＳ１４）、修正要求がある場合、修正作業を行って（ステップＳ１５）、ステップＳ１３の処理に戻る。一方、修正要求がないとして、確認作業完了が入力された場合、ステップＳ１６の処理に移行する。
【００５０】
前記第１の実施形態と同様、アクセスポイント１は、確認作業完了の入力が行われた場合、確認されたユーザ以外のＰＡＮ参加を拒絶するため、確認されたユーザのＭＡＣアドレス等を用いたハードウェア識別コードによるフィルタリング設定を更新する（ステップＳ１６）。また、アクセスポイント１は、同時に新たに確認された追加クライアント端末に対し、認証用アカウントまたは証明書の発行作業を行う（ステップＳ１７）。
【００５１】
追加クライアント端末に認証用アカウントまたは証明書を送信し（ステップＳ１８）、送信完了を待つ（ステップＳ１９）。送信が完了すると、アクセスポイント１は、追加クライアント端末に対し、現状の低レベルな暗号化を施した無線通信によるリンクを破棄し（ステップＳ２０）、認証処理を要する高レベルな暗号化を施した無線通信の開始に備え、本処理を終了する。
【００５２】
尚、遅刻者のＰＡＮへの追加作業を実施する際、その他のＰＡＮ参加者は、継続的に認証プロセスを要する比較的高レベルな暗号化を施した無線接続を維持しており、そのＰＡＮ上で作業を継続できることは言うまでもない。
【００５３】
また、追加クライアント端末は、低レベルの暗号化を施した無線通信によるリンクが破棄された後、リンク中に受信した認証用アカウントまたは証明書を利用し、ＥＡＰ等の認証プロセスを要する比較的高レベルな暗号化を施した無線通信を行うための接続プロトコルを自動的に開始する。このとき、追加クライアント端末は、前回の比較的低レベルな暗号化を施した無線通信によるリンクを行った場合と同一のＥＳＳ ＩＤを用いて、アクセスポイント１と選択的に接続することは言うまでもない。
【００５４】
これにより、前記第１の実施形態と同様、追加クライアント端末は、アクセスポイント１内の無線通信部２を介してアクセスポイント１内の認証サーバ３に２回のＥＡＰ−Ｒｅｓｐｏｎｓｅ（２００、２０１）を送信することによって、アカウントとパスワードのセットまたは証明書データの送信を行い、自身が認証サーバに登録されているクライアント端末であることの認証を行う。
【００５５】
この結果、認証に合格すると、追加クライアント端末のネットワークアクセスが許可され、その後、一定時間毎に、ＷＥＰキーを動的に変更することで、比較的高レベルな暗号化を施した無線通信を実現することができる。
【００５６】
このように、認証プロセスを要する比較的高レベルな暗号化を施した無線接続を維持しながら、同時に比較的低レベルな暗号化を施した無線接続を構築するためには、独立して暗号化レベルを制御可能な無線通信装置が必要であるが、本実施形態のように、複数の無線通信拡張カードを装着できるアクセスポイントである場合、複数の無線通信拡張カードを装着することで容易に実現することができる。
【００５７】
また、異なる暗号化レベルによる無線通信を１チップで実現できるコントローラを用いる場合、アクセスポイントに複数の無線通信拡張カードを実装することなく、１枚の無線通信拡張カードだけで第２の実施形態に示した処理を行うことも可能である。
【００５８】
尚、本発明は、前述した実施形態の機能を実現するソフトウェアのプログラムコードをシステムあるいは装置に供給することによって達成される場合にも適用できることはいうまでもない。この場合、プログラムコード自体が本発明の新規な機能を実現することになり、そのプログラム自体およびそのプログラムを記憶した記憶媒体は本発明を構成することになる。
【００５９】
プログラムコードを供給する記憶媒体としては、ＲＯＭに限らず、例えばフレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ、不揮発性のメモリカードなどを用いることができる。
【００６０】
本発明によれば、アカウントや証明書を事前に取得していないユーザに対しても、認証プロセスを要する比較的高レベルな暗号化を施した無線接続システムを容易に構築できる。特に、会議等で一時的に安全なネットワークを構築したい場合に好適である。
【００６１】
このように、８０２．１ｘ認証・暗号化方式などの認証プロセスを要する、比較的安全性の高い暗号化方式による無線通信を用いたＰＡＮ構築を、認証プロセスに対応したアカウントや証明書を事前に所有していないクライアント端末においても実現可能である。
【００６２】
また、ＰＡＮ構築の際に利用する無線通信手段を簡単に選択できる。さらに、ＰＡＮ構築の際、無線通信手段を複数同時に利用可能とし、異なる無線通信手段で構成されたＰＡＮを簡単に構築することである。また、１枚のカードで対応できるユーザ数を越えたクライアント数によるＰＡＮの構築やクライアントの負荷分散を実現できる。したがって、ＰＡＮに参加可能な無線通信手段におけるクライアントの総数を増加させることができる。
【００６３】
さらに、無線通信手段によって構築したＰＡＮを、イントラネットやインターネットなどの基幹ネットワークに接続する場合、不正なアクセスを相互に禁止することができる。また、本アクセスポイントを製品化する場合のコストを低減できる。
【００６４】
さらに、アカウントや証明書を事前に所有していないクライアント端末によって、認証プロセスを要する比較的安全性の高い暗号化方式を用いた無線通信によるＰＡＮを構築する際、クライアントの操作を容易にすることができる。また、アカウントや証明書を事前に所有していないクライアント端末と、アクセスポイントを接続する際のアクセスポイント側の設定操作を容易にすることができる。
【００６５】
また、構築された無線通信によるＰＡＮのクライアントに矛盾がないか否かの最終確認手段を提供できる。さらに、無線通信によるＰＡＮに参加可能なクライアント条件が、確認後に無断で変更できないようにすることができる。したがって、無線通信によるＰＡＮに対するクライアントの追加を無断で実行できないようにすることができる。また、認証プロセスを要する比較的高レベルな暗号化手段による無線通信へ移行する際、そのクライアントに対する認証を実施可能なアクセスポイントへ選択的に無線接続することができる。
【発明の効果】
以上のように、本発明によれば、アクセスポイント装置の表示部に表示された暗号鍵とネットワーク識別子を知り得るユーザのクライアント端末とアクセスポイント装置間で認証プロセスを必要としない第１の無線通信リンクを確立し、その状態でユーザに選ばれたクライアント端末に別の無線通信リンク用の認証データを送信し、第１の無線通信リンクを破棄し、その後、送信した認証データによる認証プロセスが必要な第２の無線通信リンクを確立することができる。従って、クライアント端末のユーザが無線通信リンク用の認証データを知らない場合であっても、アクセスポイント装置の表示を見ることができれば、この認証データによる認証が必要な無線通信リンクを確立することができる。
【図面の簡単な説明】
【図１】第１の実施形態におけるアクセスポイント装置およびクライアント端末によって構築されるネットワークシステムを示す図である。
【図２】アクセスポイント１の構成を示すブロック図である。
【図３】アクセスポイント装置のソフトウェアの構成を示す図である。
【図４】８０２．１１方式による無線接続を確立する処理手順を示すフローチャートである。
【図５】個人識別情報の一覧表示を示す図である。
【図６】ＥＡＰによる認証を行う際、クライアント端末７、８、９、１０、アクセスポイント１内の無線通信部２、アクセスポイント１内の認証サーバ３の遷移を示す図である。
【図７】第２の実施形態における個人識別情報の一覧表示を示す図である。
【図８】第２の実施形態における８０２．１１方式による追加クライアントの無線接続を確立する処理手順を示すフローチャートである。
【符号の説明】
１ アクセスポイント装置
２ 無線通信部
３ 認証サーバ
４ 証明書サーバ
７、８ ＰＤＡ
９、１０ ＰＣ
１０１ ＣＰＵ
１１０〜１１３ 拡張バスインターフェース
１１９〜１２２ ＰＡＮ構築用インターフェース
【発明の属する技術分野】
本発明は、アクセスポイント装置とクライアント端末との間で安全な無線ネットワークを構築する場合などに用いられるネットワーク構築方法、無線通信システムおよびアクセスポイント装置に関する。
【０００２】
【従来の技術】
従来、無線ＬＡＮやＢｌｕｅｔｏｏｔｈでは、その通信媒体として電波を用いるので、通信先の制限が難しかった。このため、これらの規格では、通信先毎に暗号鍵を変更することで、たとえパケットをのぞき見られても、それを解読できないようにするといった防御手段がとられてきた。現在、最も一般的な無線通信暗号化手段は、ＩＥＥＥ８０２．１１方式の場合、ＷＥＰキー（４０ｂｉｔ，１２８ｂｉｔ）による暗号化であり、Ｂｌｕｅｔｏｏｔｈ方式の場合、Ｐｉｎコードから自動生成される１２８ｂｉｔの暗号鍵（１２８ｂｉｔ）による暗号化である。
【０００３】
しかし、これらの暗号化方式は脆弱性を有することが指摘されており、無線通信の安全性を更に高めるための暗号化方式として、８０２．１１方式では、８０２．１ｘベースの認証を実施した上での動的ＷＥＰキー変換（ＥＡＰ）や、ＴＫＩＰ，ＡＥＳといった更に高度な暗号化方式、Ｂｌｕｅｔｏｏｔｈ方式では、８０２．１ｘベースの上位アプリケーション層での認証・暗号化方式などが検討され、一部実施されている。
【０００４】
この中でも８０２．１ｘをベースとしたＥＡＰ（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ、拡張可能認証プロトコル）方式と呼ばれる認証・暗号化手段は、一部のＯＳ環境において、８０２．１１方式向けの認証・暗号化手段として標準で実装されている。
【０００５】
無線ＬＡＮ（８０２．１１）におけるＥＡＰ方式では、クライアントの端末がネットワーク接続要求を行う際、ＴＣＰ／ＩＰを利用してイントラネット内に設けられた認証サーバ（ＲＡＤＩＵＳサーバ等）とデータ通信を行い、認証サーバからクライアントへの証明書の要求またはチャレンジを実施する。
【０００６】
クライアントは、証明書所有の証明を行うか、チャレンジに対してアカウント名とパスワードを返し、それらが認証サーバ内のデータと一致した場合、認証サーバは、無線通信を暗号化するための１２８ｂｉｔの暗号鍵または暗号鍵生成手段を、アクセスポイントおよびクライアントに返す。このようなプロセスを経て、クライアントが認証をパスすると、それ以降の無線通信は、クライアントとアクセスポイントとの両者間で、１２８ｂｉｔの暗号鍵をＷＥＰキーとして利用することで、暗号化される。さらに、上記プロセスは一定時間毎に定期的に実施され、暗号鍵の更新が行われる。
【０００７】
また、Ｂｌｕｅｔｏｏｔｈ方式では、ＰＡＮプロファイルにおいて、セキュリティ向上のために、８０２．１ｘ認証・暗号化手段を用いることが推奨されている。Ｂｌｕｅｔｏｏｔｈの場合、無線媒体である電波を暗号化するための鍵の生成は、Ｂｌｕｅｔｏｏｔｈ方式で通信を行うデバイス間のＰｉｎコードによる相互認証によって自動的に行われるので、認証サーバから受け取った暗号鍵情報を、無線ＬＡＮにおけるＷＥＰキーのように、電波そのものの暗号化鍵として利用できないが、無線媒体としての電波を生成する前段階で、パケットを暗号化する際の鍵として利用できる。これにより、二重に暗号化して通信のセキュリティを向上させることができる。
【０００８】
このように、８０２．１ｘ方式の認証・暗号化プロセスでは、認証を実施するための認証サーバがネットワーク内に存在し、同サーバでクライアントのアカウントを集中管理する。このため、８０２．１ｘ方式を用いることで、クライアントがどこにいても、認証サーバとのＴＣＰ／ＩＰによる通信が実施可能である限り、同一のアカウント・パスワードを用いてイントラネット等のネットワークに接続することができる。
【０００９】
【発明が解決しようとする課題】
しかしながら、上記従来の無線接続システムでは、上記８０２．１ｘ方式による認証・暗号化プロセスを用いることで、クライアントは無線通信による安全なネットワーク接続を実現できるが、このために、ネットワーク内に認証サーバを設置し、かつこの認証サーバに予めクライアントのアカウントを登録しておく必要がある。
【００１０】
すなわち、８０２．１ｘ方式は、比較的規模の大きなイントラネット等における運用を想定した方式であり、無線によるネットワーク接続を行うクライアントも、認証サーバ上にアカウントを持ったメンバに限定されるという制限があった。
【００１１】
このため、認証サーバにアカウントの無い外来者が参加するミーティングを行う場合、あるいはイントラネットへの接続手段がない社外の会議室等でのミーティングを行う場合、８０２．１ｘ方式による認証・暗号化プロセスを利用した無線通信による安全なネットワーク構築ができないという不具合があった。
【００１２】
尚、このような場合、認証・暗号化を無くした無線通信を行うことは実現可能であるが、セキュリティの面から大きな問題があることは勿論である。また、手作業による無線通信用パラメータの設定を実施するようにした場合、無線通信の暗号化は可能であるが、クライアントはイントラネット内で通常利用する８０２．１ｘ方式のアカウント・パスワードの入力による自動接続とは、全く異なる接続手段を手動で行わなければならず、操作方法に統一性が無く、煩雑であり、利便性が損なわれる。
【００１３】
そこで、本発明は、８０２．１ｘ認証・暗号化方式などの認証プロセスを要する、比較的安全性の高い暗号化方式による無線通信を用いた無線ネットワークの構築を、認証プロセスに対応したアカウントや証明書を事前に所有していないクライアント端末においても実現できるようにすることを目的とする。
【００１４】
【課題を解決するための手段】
上記目的を達成するために、本発明のネットワーク構築方法は、無線ネットワークの構築方法であって、認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子をアクセスポイント装置の表示部に表示する第１の表示ステップと、前記アクセスポイント装置と、前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による前記第 1 の無線通信リンクを確立する第１のリンク確立ステップと、前記第１のリンク確立ステップにおいて前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示ステップと、前記第２の表示ステップにおいて情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定ステップと、前記第 1 の無線通信リンクが確立した状態で、前記アクセスポイント装置から、前記決定ステップにおいて前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付ステップと、前記送付ステップにおいて前記認証用データを送付した後、前記第 1 の無線通信リンクを破棄するリンク破棄ステップと、前記リンク破棄ステップによる前記第 1 の無線通信リンクの破棄後、前記アクセスポイント装置と前記認証用データが送付されたクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立する第２のリンク確立ステップと、を有する。
本発明のネットワーク構築方法は、アクセスポイント装置が、少なくとも 1 つのクライアント装置との間で無線ネットワークを構築するためのネットワーク構築方法であって、認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子を前記アクセスポイント装置の表示部に表示する第１の表示ステップと、前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による前記第１の無線通信リンクを確立する第１のリンク確立ステップと、前記第１のリンク確立ステップにおいて前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示ステップと、前記第２の表示ステップにおいて情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定ステップと、前記第１の無線通信リンクが確立した状態で、前記決定ステップにおいて前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付ステップと、前記送付ステップにおいて前記認証用データを送付した後、前記第１の無線通信リンクを破棄するリンク破棄ステップと、前記リンク破棄ステップによる前記第 1 の無線通信リンクの破棄後、前記認証用データを送付したクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立するための処理に移行する第２のリンク確立ステップと、を有する。
本発明の無線通信システムは、認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子をアクセスポイント装置の表示部に表示する第１の表示手段と、前記アクセスポイント装置と、前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による第１の無線通信リンクを確立する第１のリンク確立手段と、前記第１のリンク確立手段により前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示手段と、前記第２の表示手段により情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定手段と、前記第１の無線通信リンクが確立した状態で、前記アクセスポイント装置から、前記決定手段により前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付手段と、前記送付手段により前記認証用データを送付した後、前記第１の無線通信リンクを破棄するリンク破棄手段と、前記リンク破棄手段により前記第１の無線通信リンクを破棄した後、前記アクセスポイント装置と前記認証用データが送付されたクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立する第２のリンク確立手段とを備えた。
本発明のアクセスポイント装置は、認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子を前記アクセスポイント装置の表示部に表示する第１の表示手段と、前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による前記第１の無線通信リンクを確立する第１のリンク確立手段と、前記第１のリンク確立手段により前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示手段と、前記第２の表示手段により情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定手段と、前記第１の無線通信リンクが確立した状態で、前記決定手段により前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付手段と、前記送付手段により前記認証用データを送付した後、前記第１の無線通信リンクを破棄するリンク破棄手段と、前記リンク破棄手段による前記第１の無線通信リンクの破棄後、前記認証用データを送付したクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立するための処理に移行する第２のリンク確立手段とを備えた。
【００１７】
【発明の実施の形態】
本発明のネットワーク構築方法、無線通信システムおよびアクセスポイント装置の実施の形態について図面を参照しながら説明する。
【００１８】
［第１の実施形態］
図１は第１の実施形態におけるアクセスポイント装置およびクライアント端末によって構築されるネットワークシステムを示す図である。図において、１はＩＥＥＥ８０２．１１やＢｌｕｅｔｏｏｔｈ等の規格を用いた無線通信手段により、安全なネットワークを構築するアクセスポイントである。２はアクセスポイント１に内蔵された無線通信部である。３はアクセスポイント１に内蔵された認証サーバである。４はアクセスポイント１に内蔵された証明書サーバである。５はアクセスポイント１からクライアント端末へのメッセージを表示する表示部である。
【００１９】
６はＩＥＥＥ８０２．１１やＢｌｕｅｔｏｏｔｈ等の無線通信手段である。７、８はアクセスポイント１と無線接続されるＰＤＡである。９、１０はアクセスポイント１と無線接続されるノートＰＣである。
【００２０】
図２はアクセスポイント１の構成を示すブロック図である。図において、１０１はＣＰＵである。１０２はメモリコントローラやバス変換機能を有するノースブリッジチップである。１０３はノースブリッジチップ１０２から出力される高速バスを更に低速の汎用バスに変換するサウスブリッジである。
【００２１】
１０４はＲＡＭである。１０５は表示用グラフィックチップである。１０６は表示装置である。表示用グラフィックチップ１０５および表示装置１０６は図１の表示部５を構成する。１０７はプログラムや様々な設定情報を記憶するＲＯＭである。１０８、１０９はＰＣＩバスからＣａｒｄｂｕｓ等の標準拡張バスへの変換を行うブリッジチップである。１１０、１１１、１１２、１１３は無線通信拡張カードを挿入することによって様々な無線通信方式に対応する拡張バスインターフェースである。
【００２２】
１１４はカスケード接続用ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）である。１１５はカスケード接続用ＰＨＹ（Ｐｈｙｓｉｃａｌ ｌａｙｅｒ）である。１１６はカスケード接続用８０２．３ｕインターフェースである。１１７は有線ネットワークによるＰＡＮ構築用ＭＡＣである。１１８は有線ネットワークによるＰＡＮ構築用スイッチングコントローラである。１１９、１２０、１２１、１２２は有線ネットワークによるＰＡＮ構築用インターフェースである。１２３は上記回路に電源を供給する電源装置である。
【００２３】
拡張バスインターフェース１１０、１１１、１１２、１１３は全て同等の機能を有しており、このインターフェースに無線通信機能を有する拡張カードを挿入することによって、拡張カードはアクセスポイントとして機能する。また、複数の拡張バスインターフェースを装備し、Ｂｌｕｅｔｏｏｔｈ、８０２．１１ｂ、８０２．１１ａ等それぞれに異なる無線通信手段に対応した無線通信拡張カードを挿入することで、１台で複数の無線通信手段に同時に対応可能なアクセスポイントを構築することができる。さらに、同一の通信手段に対応した無線通信拡張カードを複数挿入すると、１枚の無線通信拡張カードで対応可能なユーザ数を越えた数のユーザに、１台のアクセスポイント装置で対応することができる。また、アクセスポイントを経由して基幹ネットワークに接続する無線通信のクライアント端末に対し、ユーザ毎のルーティングやフィルタリングを行うことで、不正なアクセスを相互に禁止できる。さらに、単一のＣＰＵ１０１およびその周辺回路で、アクセスポイントのルーティング機能、認証サーバ機能、および認証サーバ用アカウントあるいは証明書生成機能（証明書サーバ機能）を実現することで、製品化する場合のコストを低減できる。
【００２４】
図３はアクセスポイント装置のソフトウェアの構成を示す図である。認証サーバ（ＲＡＤＩＵＳサーバ等）のエミュレーション機能やアクセスポイントを実現するためのＴＣＰ／ＩＰスタック等を、図２の本体側ブロック（Ｍａｉｎ Ｂｏａｒｄ）に設けることによって、種類の異なる無線通信手段への対応を柔軟に行い、かつシステムの総コストを抑えることができる。
【００２５】
つぎに、上記構成を有するアクセスポイント１を利用し、無線通信によるＰＡＮを構築する動作を示す。無線通信によるＰＡＮを構築する際、アクセスポイント１に対する起動操作か、あるいは何らかのスイッチ入力を行うと、アクセスポイント１は、低レベルな暗号化を施した無線接続を確立するために必要な情報を、表示部５に表示する。このときの表示は、ＥＳＳ ＩＤ、ＷＥＰキー、あるいはＰｉｎコード等の８０２．１１やＢｌｕｅｔｏｏｔｈによる無線通信を暗号化するためのパラメータそのものでもよい。また、ユーザが所有するクライアント端末７、８、９、１０に、予めインストールされたプログラムによって、上記無線通信を暗号化するためのパラメータに自動変換を行うためのキーワードであってもよい。
【００２６】
図４は８０２．１１方式による無線接続を確立する処理手順を示すフローチャートである。まず、前述したように、新しいＰＡＮの構築要求が、アクセスポイント１の起動やスイッチ入力によって行われるまで待機し（ステップＳ１）、ＰＡＮの構築要求が行われた場合、アクセスポイント１は、８０２．１１方式による低レベルの暗号化を施した無線通信に必要なパラメータであるＥＳＳ ＩＤとＷＥＰキーを表示する（ステップＳ２）。
【００２７】
ここで、ＰＡＮに接続しようとするユーザは、これらの表示されたパラメータを、各自が所有するクライアント端末７、８、９、１０に手入力する。この操作によって、低レベルな暗号化を施した無線通信が、アクセスポイント１とクライアント端末７、８、９、１０との間に確立される。
【００２８】
尚、このとき、ＴＣＰ／ＩＰベースの接続を確立する必要があるので、低レベルの暗号化を施した無線レベルでのリンクが確立した後、アクセスポイント１に内蔵されたＤＨＣＰ機能等を用い、各クライアント端末７、８、９、１０は、ＩＰアドレスの自動発行等の処理を行い、ＴＣＰ／ＩＰによるネットワーク接続を確立する。
【００２９】
その後、アクセスポイント１は、自身に無線接続されているクライアント端末７、８、９、１０の情報を、アクセスポイント１の表示部５に一覧表示する（ステップＳ３）。このとき表示されるクライアント端末の情報は、接続されている無線端末のハードウェア識別コードでもよいが、その場合、ＰＡＮの管理責任者は、不正アクセス者の特定等のために、各クライアント端末の持つハードウェア識別コードを事前に把握しておく必要がある。
【００３０】
しかし、ハードウェア識別コードの管理は、ユーザにとって非常に煩雑である。そこで、ＰＡＮを構築しようとするユーザは、事前に自身が所有するクライアント端末７、８、９、１０に、ＰＡＮ構築を支援するためのソフトウェアをインストールしておき、このとき、クライアント端末利用者の氏名や所属などの個人識別情報を入力しておくものとする。このような処理を施しておき、低レベルの暗号化を施した無線接続を確立した際、各クライアント端末７、８、９、１０からアクセスポイント１に個人識別情報を送信することによって、アクセスポイント１は、自身に無線接続されているクライアント端末７、８、９、１０の個人識別情報を一覧表示することができる。
【００３１】
図５は個人識別情報の一覧表示を示す図である。ＰＡＮの管理責任者は、無線通信によって接続されているユーザの一覧表示を見ながら、任意に編集し、不正なＰＡＮ参加者がいないことを目視で確認すると、アクセスポイント１に対し、ＰＡＮ参加者の確認作業が完了したことを示すためのスイッチ入力等を行う。すなわち、ステップＳ３で無線接続されているクライアント端末７、８、９、１０の個人識別情報を一覧表示した後、修正要求があるか否かを判別し（ステップＳ４）、修正要求がある場合、修正作業を行って（ステップＳ５）、ステップＳ３の処理に戻る。一方、修正要求がないとして、確認作業完了が入力された場合、そのままステップＳ６の処理に移行する。
【００３２】
アクセスポイント１は、確認作業完了が入力された場合、確認されたユーザ以外のＰＡＮ参加を拒絶するため、確認されたユーザのＭＡＣアドレス等を用いたハードウェア識別コードによるフィルタリング設定を行う（ステップＳ６）。尚、このフィルタリング設定は、一般的な無線ＬＡＮアクセスポイントが有するＭＡＣアドレスによるユーザ制限機能を用いることにより、確認されたユーザ名のＭＡＣアドレスを自動設定する等の処理で実現できる。
【００３３】
また、アクセスポイント１は、同時に確認済みの全てのクライアント端末に対する認証用アカウントまたは証明書の発行作業を行う（ステップＳ７）。全てのクライアント端末に認証用アカウントまたは証明書を送信し（ステップＳ８）、送信が完了したか否かを判別する（ステップＳ９）。送信が完了すると、アクセスポイント１は、一旦、現状の低レベルな暗号化を施した無線通信によるリンクを破棄し（ステップＳ１０）、認証処理を要する高レベルな暗号化を施した無線通信の開始に備え、本処理を終了する。
【００３４】
クライアント端末７、８、９、１０は、低レベルの暗号化を施した無線通信によるリンクが破棄された後、リンク中に受信した認証用アカウントまたは証明書を利用して、ＥＡＰ等の認証プロセスを要する比較的高レベルな暗号化を施した無線通信を実施するための接続プロトコルを自動的に開始する。
【００３５】
尚、このとき、クライアント端末７、８、９、１０は、前回の比較的低レベルな暗号化を施した無線通信によるリンクを行った場合と同一のＥＳＳ ＩＤを用いて、ＥＡＰ等の認証プロセスを要する比較的高レベルな暗号化を施した無線通信への移行を行う。これは、認証用アカウントまたは証明書の発行を行ったアクセスポイント１に、クライアント端末７、８、９、１０を確実に誘導して接続するためである。
【００３６】
図６はＥＡＰによる認証を行う際、クライアント端末７、８、９、１０、アクセスポイント１内の無線通信部２、アクセスポイント１内の認証サーバ３の遷移を示す図である。クライアント端末７、８、９、１０は、アクセスポイント１内の無線通信部２を介してアクセスポイント１内の認証サーバ３に２回のＥＡＰ−Ｒｅｓｐｏｎｓｅ（２００、２０１）を送信する。
【００３７】
これにより、アカウントとパスワードのセット、または証明書データの送信を行い、自身が認証サーバに登録されているクライアント端末であることの認証を行う。その結果、認証に合格すると、クライアント端末のネットワークアクセスが許可され、その後、クライアント端末７、８、９、１０とアクセスポイント１内の無線通信部２との間に設定されるＷＥＰキーを、一定時間毎に動的に変更することで、比較的高レベルな暗号化を施した無線通信を実現することができる。
【００３８】
尚、第１の実施形態では、アクセスポイント１の表示部５を利用し、比較的低レベルの暗号化を施した無線接続を実施する際のＩＤやＣｏｄｅ等のキーワード表示、ＰＡＮ参加者の編集時の一覧表示などを実施する旨の記述を行ったが、この表示は、有線ネットワークによるＰＡＮ構築用インターフェース１１９、１２０、１２１、１２２に接続されたクライアントデバイスに、ＷＥＢブラウザを利用して間接的に表示することも可能である。この場合、アクセスポイント１に表示部や入力用スイッチなどを具備する必要が無くなるので、コスト削減に有効である。
【００３９】
［第２の実施形態］
前記第１の実施形態では、新規にＰＡＮを構築する際の動作について示したが、第２の実施形態では、実際にＰＡＮを構築する際の動作として、会議を例に挙げ、会議開催時のＰＡＮに必要とされる機能の観点から説明する。
【００４０】
ここで、会議開催時にクライアント端末を相互に接続するＰＡＮを構築する場合、前記第１の実施形態で示したように、比較的高レベルな暗号化を施した無線接続を利用することは、ユーザの利便性の点から非常に好ましい。
【００４１】
会議用ＰＡＮを構築する場合、各ユーザに発行するアカウントや証明書は、恒久的なものではなく、会議中だけ一時的に有効なものであることが必要である。このため、会議用にアクセスポイントを用いる場合、図４のステップＳ１で新しいＰＡＮの構築要求があった後、ステップＳ２の処理を行う前に、ＰＡＮ管理責任者による会議予定時間の入力のステップ処理を追加する。
【００４２】
この入力処理を追加することで、アカウントの有効時間を認証サーバに設定したり、発行する証明書の有効時間を証明書内のパラメータとして反映させることで、認証プロセスを要する比較的高レベルの暗号化を施した無線接続によるＰＡＮに有効時間を与えることができる。
【００４３】
また、前記第１の実施形態で示したように、ＰＡＮの管理責任者による確認作業が終了すると、ＰＡＮは、ＭＡＣアドレスフィルタリング等の処理によってロック状態となり、新たなユーザ参加を認めなくなる。
【００４４】
しかし、アクセスポイント１を会議等の環境下で用いる場合、一旦、ロック状態とした後、遅刻者の追加等の理由により、クライアント端末を追加するケースが考えられる。このような場合、ＰＡＮの管理責任者が、遅刻者を視認した際、アクセスポイント１を直接操作するか、あるいは管理責任者が使用しているクライアント端末９のＷＥＢブラウザを利用してアクセスポイント１の管理画面を起動し、間接的にアクセスポイント１を操作して、ロック状態を解除する。
【００４５】
図７は第２の実施形態における個人識別情報の一覧表示を示す図である。この画面上には、図５の画面と比べ、「ロック解除」ボタン３１が設けられている。この「ロック解除」ボタン３１をクリックすることにより、ＰＡＮのＭＡＣアドレスフィルタによる参加制限が解除される。
【００４６】
また、このとき、ＰＡＮ管理責任者は、遅刻者に対し、図中、Ｋｅｙｗｏｒｄとして表示されるＩＤやＣｏｄｅ情報を伝える。ここでは、Ｋｅｙｗｏｒｄは「ＧＣＳｍｅｅｔ」である。この後、追加でＰＡＮに参加しようとするユーザは、自身の所有するクライアント端末でアプリケーションを起動し、Ｋｅｙｗｏｒｄを入力する。ここで入力するキーワードは、前記第１の実施形態で示したように、比較的低レベルの暗号化を施した無線接続を実施する際、各ユーザが入力するＥＳＳ ＩＤ、ＷＥＰキー、あるいはＰｉｎコード等の８０２．１１やＢｌｕｅｔｏｏｔｈによる無線通信を暗号化するためのパラメータそのものでもよい。本実施形態では、最終的にそれらのパラメータに自動変換されるキーワードが用いられている。
【００４７】
図８は第２の実施形態における８０２．１１方式による追加クライアントの無線接続を確立する処理手順を示すフローチャートである。ロック解除要求が行われたか否かを判別する（ステップＳ１１）。ロック解除要求が行われた場合、アクセスポイント１は、８０２．１１方式による低レベルの暗号化を施した無線通信に必要なパラメータであるＥＳＳ ＩＤとＷＥＰキーを表示する（ステップＳ１２）。
【００４８】
クライアント端末にキーワードを入力すると、このクライアント端末は、既にその他のユーザによってＰＡＮが形成されているアクセスポイントに対し、低レベルの暗号化が施された無線接続を試みる。アクセスポイント１は、ＰＡＮに追加・参加しようとするクライアント端末を認識すると、画面表示を更新し、追加参加ユーザの個人情報を一覧に追記する（ステップＳ１３）。
【００４９】
尚、この追記は、図７の「更新」ボタン３２がクリックされたときに行われてもよい。ＰＡＮ管理責任者は、更新された一覧表示を確認し、仮に、不正ユーザが表示された場合、編集作業を行い、不正ユーザを削除する。すなわち、修正要求があるか否かを判別し（ステップＳ１４）、修正要求がある場合、修正作業を行って（ステップＳ１５）、ステップＳ１３の処理に戻る。一方、修正要求がないとして、確認作業完了が入力された場合、ステップＳ１６の処理に移行する。
【００５０】
前記第１の実施形態と同様、アクセスポイント１は、確認作業完了の入力が行われた場合、確認されたユーザ以外のＰＡＮ参加を拒絶するため、確認されたユーザのＭＡＣアドレス等を用いたハードウェア識別コードによるフィルタリング設定を更新する（ステップＳ１６）。また、アクセスポイント１は、同時に新たに確認された追加クライアント端末に対し、認証用アカウントまたは証明書の発行作業を行う（ステップＳ１７）。
【００５１】
追加クライアント端末に認証用アカウントまたは証明書を送信し（ステップＳ１８）、送信完了を待つ（ステップＳ１９）。送信が完了すると、アクセスポイント１は、追加クライアント端末に対し、現状の低レベルな暗号化を施した無線通信によるリンクを破棄し（ステップＳ２０）、認証処理を要する高レベルな暗号化を施した無線通信の開始に備え、本処理を終了する。
【００５２】
尚、遅刻者のＰＡＮへの追加作業を実施する際、その他のＰＡＮ参加者は、継続的に認証プロセスを要する比較的高レベルな暗号化を施した無線接続を維持しており、そのＰＡＮ上で作業を継続できることは言うまでもない。
【００５３】
また、追加クライアント端末は、低レベルの暗号化を施した無線通信によるリンクが破棄された後、リンク中に受信した認証用アカウントまたは証明書を利用し、ＥＡＰ等の認証プロセスを要する比較的高レベルな暗号化を施した無線通信を行うための接続プロトコルを自動的に開始する。このとき、追加クライアント端末は、前回の比較的低レベルな暗号化を施した無線通信によるリンクを行った場合と同一のＥＳＳ ＩＤを用いて、アクセスポイント１と選択的に接続することは言うまでもない。
【００５４】
これにより、前記第１の実施形態と同様、追加クライアント端末は、アクセスポイント１内の無線通信部２を介してアクセスポイント１内の認証サーバ３に２回のＥＡＰ−Ｒｅｓｐｏｎｓｅ（２００、２０１）を送信することによって、アカウントとパスワードのセットまたは証明書データの送信を行い、自身が認証サーバに登録されているクライアント端末であることの認証を行う。
【００５５】
この結果、認証に合格すると、追加クライアント端末のネットワークアクセスが許可され、その後、一定時間毎に、ＷＥＰキーを動的に変更することで、比較的高レベルな暗号化を施した無線通信を実現することができる。
【００５６】
このように、認証プロセスを要する比較的高レベルな暗号化を施した無線接続を維持しながら、同時に比較的低レベルな暗号化を施した無線接続を構築するためには、独立して暗号化レベルを制御可能な無線通信装置が必要であるが、本実施形態のように、複数の無線通信拡張カードを装着できるアクセスポイントである場合、複数の無線通信拡張カードを装着することで容易に実現することができる。
【００５７】
また、異なる暗号化レベルによる無線通信を１チップで実現できるコントローラを用いる場合、アクセスポイントに複数の無線通信拡張カードを実装することなく、１枚の無線通信拡張カードだけで第２の実施形態に示した処理を行うことも可能である。
【００５８】
尚、本発明は、前述した実施形態の機能を実現するソフトウェアのプログラムコードをシステムあるいは装置に供給することによって達成される場合にも適用できることはいうまでもない。この場合、プログラムコード自体が本発明の新規な機能を実現することになり、そのプログラム自体およびそのプログラムを記憶した記憶媒体は本発明を構成することになる。
【００５９】
プログラムコードを供給する記憶媒体としては、ＲＯＭに限らず、例えばフレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ、不揮発性のメモリカードなどを用いることができる。
【００６０】
本発明によれば、アカウントや証明書を事前に取得していないユーザに対しても、認証プロセスを要する比較的高レベルな暗号化を施した無線接続システムを容易に構築できる。特に、会議等で一時的に安全なネットワークを構築したい場合に好適である。
【００６１】
このように、８０２．１ｘ認証・暗号化方式などの認証プロセスを要する、比較的安全性の高い暗号化方式による無線通信を用いたＰＡＮ構築を、認証プロセスに対応したアカウントや証明書を事前に所有していないクライアント端末においても実現可能である。
【００６２】
また、ＰＡＮ構築の際に利用する無線通信手段を簡単に選択できる。さらに、ＰＡＮ構築の際、無線通信手段を複数同時に利用可能とし、異なる無線通信手段で構成されたＰＡＮを簡単に構築することである。また、１枚のカードで対応できるユーザ数を越えたクライアント数によるＰＡＮの構築やクライアントの負荷分散を実現できる。したがって、ＰＡＮに参加可能な無線通信手段におけるクライアントの総数を増加させることができる。
【００６３】
さらに、無線通信手段によって構築したＰＡＮを、イントラネットやインターネットなどの基幹ネットワークに接続する場合、不正なアクセスを相互に禁止することができる。また、本アクセスポイントを製品化する場合のコストを低減できる。
【００６４】
さらに、アカウントや証明書を事前に所有していないクライアント端末によって、認証プロセスを要する比較的安全性の高い暗号化方式を用いた無線通信によるＰＡＮを構築する際、クライアントの操作を容易にすることができる。また、アカウントや証明書を事前に所有していないクライアント端末と、アクセスポイントを接続する際のアクセスポイント側の設定操作を容易にすることができる。
【００６５】
また、構築された無線通信によるＰＡＮのクライアントに矛盾がないか否かの最終確認手段を提供できる。さらに、無線通信によるＰＡＮに参加可能なクライアント条件が、確認後に無断で変更できないようにすることができる。したがって、無線通信によるＰＡＮに対するクライアントの追加を無断で実行できないようにすることができる。また、認証プロセスを要する比較的高レベルな暗号化手段による無線通信へ移行する際、そのクライアントに対する認証を実施可能なアクセスポイントへ選択的に無線接続することができる。
【発明の効果】
以上のように、本発明によれば、アクセスポイント装置の表示部に表示された暗号鍵とネットワーク識別子を知り得るユーザのクライアント端末とアクセスポイント装置間で認証プロセスを必要としない第１の無線通信リンクを確立し、その状態でユーザに選ばれたクライアント端末に別の無線通信リンク用の認証データを送信し、第１の無線通信リンクを破棄し、その後、送信した認証データによる認証プロセスが必要な第２の無線通信リンクを確立することができる。従って、クライアント端末のユーザが無線通信リンク用の認証データを知らない場合であっても、アクセスポイント装置の表示を見ることができれば、この認証データによる認証が必要な無線通信リンクを確立することができる。
【図面の簡単な説明】
【図１】第１の実施形態におけるアクセスポイント装置およびクライアント端末によって構築されるネットワークシステムを示す図である。
【図２】アクセスポイント１の構成を示すブロック図である。
【図３】アクセスポイント装置のソフトウェアの構成を示す図である。
【図４】８０２．１１方式による無線接続を確立する処理手順を示すフローチャートである。
【図５】個人識別情報の一覧表示を示す図である。
【図６】ＥＡＰによる認証を行う際、クライアント端末７、８、９、１０、アクセスポイント１内の無線通信部２、アクセスポイント１内の認証サーバ３の遷移を示す図である。
【図７】第２の実施形態における個人識別情報の一覧表示を示す図である。
【図８】第２の実施形態における８０２．１１方式による追加クライアントの無線接続を確立する処理手順を示すフローチャートである。
【符号の説明】
１ アクセスポイント装置
２ 無線通信部
３ 認証サーバ
４ 証明書サーバ
７、８ ＰＤＡ
９、１０ ＰＣ
１０１ ＣＰＵ
１１０〜１１３ 拡張バスインターフェース
１１９〜１２２ ＰＡＮ構築用インターフェース
Claims (12)
- 無線ネットワークの構築方法であって、
認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子をアクセスポイント装置の表示部に表示する第１の表示ステップと、
前記アクセスポイント装置と、前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による前記第 1 の無線通信リンクを確立する第１のリンク確立ステップと、
前記第１のリンク確立ステップにおいて前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示ステップと、
前記第２の表示ステップにおいて情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定ステップと、
前記第 1 の無線通信リンクが確立した状態で、前記アクセスポイント装置から、前記決定ステップにおいて前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付ステップと、
前記送付ステップにおいて前記認証用データを送付した後、前記第 1 の無線通信リンクを破棄するリンク破棄ステップと、
前記リンク破棄ステップによる前記第 1 の無線通信リンクの破棄後、前記アクセスポイント装置と前記認証用データが送付されたクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立する第２のリンク確立ステップと、
を有するネットワーク構築方法。 - アクセスポイント装置が、少なくとも 1 つのクライアント装置との間で無線ネットワークを構築するためのネットワーク構築方法であって、
認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子を前記アクセスポイント装置の表示部に表示する第１の表示ステップと、
前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による前記第１の無線通信リンクを確立する第１のリンク確立ステップと、
前記第１のリンク確立ステップにおいて前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示ステップと、
前記第２の表示ステップにおいて情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定ステップと、
前記第１の無線通信リンクが確立した状態で、前記決定ステップにおいて前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付ステップと、
前記送付ステップにおいて前記認証用データを送付した後、前記第１の無線通信リンクを破棄するリンク破棄ステップと、
前記リンク破棄ステップによる前記第 1 の無線通信リンクの破棄後、前記認証用データを送付したクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立するための処理に移行する第２のリンク確立ステップと、
を有するネットワーク構築方法。 - 無線ネットワークを構築するためのユーザによる操作を検出する検出ステップを有し、
前記第 1 の表示ステップにおいては、前記検出ステップによる検出に応じて、前記第１の暗号鍵とネットワーク識別子を前記アクセスポイントの表示部に表示する請求項２記載のネットワーク構築方法。 - 前記第２の表示ステップにおいて、前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の利用者の個人識別情報を表示する請求項２又は３記載の通信装置のネットワーク構築方法。
- 前記決定ステップにおける決定に基づいて、アドレスフィルタリング設定を行うフィルタ設定ステップを有する請求項２から４のいずれか１項に記載のネットワーク構築方法。
- 前記第２のリンク確立ステップは、前記認証プロセスによる認証結果に応じて、前記第２の暗号化通信による前記第２の無線通信リンクを確立する請求項２から５のいずれか１項に記載のネットワーク構築方法。
- 前記認証プロセスでは、前記アクセスポイント装置が前記クライアント端末を認証する請求項２から６のいずれか１項に記載のネットワーク構築方法。
- 前記送付ステップで送付される認証用データを生成する生成ステップを有する請求項２から７のいずれか１項に記載のネットワーク構築方法。
- 前記送付ステップにおいて送付した前記認証用データは、一定期間有効である請求項２から８のいずれか１項に記載のネットワーク構築方法。
- 請求項２から９のいずれか１項に記載のネットワーク構築方法をコンピュータに実行させるためのプログラム。
- 無線通信システムであって、
認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子をアクセスポイント装置の表示部に表示する第１の表示手段と、
前記アクセスポイント装置と、前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による第１の無線通信リンクを確立する第１のリンク確立手段と、
前記第１のリンク確立手段により前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示手段と、
前記第２の表示手段により情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定手段と、
前記第１の無線通信リンクが確立した状態で、前記アクセスポイント装置から、前記決定手段により前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付手段と、
前記送付手段により前記認証用データを送付した後、前記第１の無線通信リンクを破棄するリンク破棄手段と、
前記リンク破棄手段により前記第１の無線通信リンクを破棄した後、前記アクセスポイント装置と前記認証用データが送付されたクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立する第２のリンク確立手段と
を備えた無線通信システム。 - アクセスポイント装置であって、
認証プロセスを必要としない第１の暗号化通信を介した第１の無線通信リンクを確立するための第１の暗号鍵とネットワーク識別子を前記アクセスポイント装置の表示部に表示する第１の表示手段と、
前記第 1 の暗号鍵とネットワーク識別子が入力されたクライアント端末との間で、前記第 1 の暗号鍵とネットワーク識別子による前記第１の無線通信リンクを確立する第１のリンク確立手段と、
前記第１のリンク確立手段により前記アクセスポイント装置との間で前記第 1 の無線通信リンクを確立したクライアント端末の情報を、前記アクセスポイント装置の表示部に表示する第２の表示手段と、
前記第２の表示手段により情報が表示されたクライアント端末の中から、認証プロセスを必要とする第２の暗号化通信を介した第２の無線通信リンクにより構成されるネットワークへの参加を許可するクライアント端末を、ユーザ操作に基づいて決定する決定手段と、
前記第１の無線通信リンクが確立した状態で、前記決定手段により前記ネットワークへの参加許可が決定されたクライアント端末に対して認証用データを送付する送付手段と、
前記送付手段により前記認証用データを送付した後、前記第１の無線通信リンクを破棄するリンク破棄手段と、
前記リンク破棄手段による前記第１の無線通信リンクの破棄後、前記認証用データを送付したクライアント端末との間で、前記第 1 の無線通信リンクと同じネットワーク識別子を用いて、前記認証用データを用いる認証プロセスを必要とする前記第２の暗号化通信による前記第２の無線通信リンクを確立するための処理に移行する第２のリンク確立手段と
を備えたアクセスポイント装置。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002233119A JP4218934B2 (ja) | 2002-08-09 | 2002-08-09 | ネットワーク構築方法、無線通信システムおよびアクセスポイント装置 |
| US10/616,941 US7418591B2 (en) | 2002-08-09 | 2003-07-11 | Network configuration method and communication system and apparatus |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002233119A JP4218934B2 (ja) | 2002-08-09 | 2002-08-09 | ネットワーク構築方法、無線通信システムおよびアクセスポイント装置 |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2004072682A JP2004072682A (ja) | 2004-03-04 |
| JP2004072682A5 JP2004072682A5 (ja) | 2005-10-13 |
| JP4218934B2 true JP4218934B2 (ja) | 2009-02-04 |
Family
ID=31492417
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002233119A Expired - Fee Related JP4218934B2 (ja) | 2002-08-09 | 2002-08-09 | ネットワーク構築方法、無線通信システムおよびアクセスポイント装置 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US7418591B2 (ja) |
| JP (1) | JP4218934B2 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8582476B2 (en) | 2010-03-30 | 2013-11-12 | Buffalo Inc. | Communication relay device and communication relay method |
Families Citing this family (34)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2005043281A2 (en) * | 2003-11-04 | 2005-05-12 | Ntt Communications Corporation | Method, apparatus and program for establishing encrypted communication channel between apparatuses |
| US6732105B1 (en) * | 2001-07-27 | 2004-05-04 | Palmone, Inc. | Secure authentication proxy architecture for a web-based wireless intranet application |
| TW200503474A (en) * | 2003-05-21 | 2005-01-16 | Ibm | Information processing apparatus, client, wireless system, location detection system, explanation system, program, method for providing access point; method of network connection location detection explantion and for operating wireless system |
| US7669239B2 (en) * | 2003-09-15 | 2010-02-23 | Jpmorgan Chase Bank, N.A. | Secure network system and associated method of use |
| US20050086465A1 (en) * | 2003-10-16 | 2005-04-21 | Cisco Technology, Inc. | System and method for protecting network management frames |
| JP4660100B2 (ja) * | 2004-02-26 | 2011-03-30 | 三洋電機株式会社 | サーバ装置 |
| DE102004014411A1 (de) * | 2004-03-18 | 2005-10-13 | Local-Web Ag | Anordnung, umfassend eine Datenverarbeitungseinrichtung und eine Authentifizierungseinheit, Authentifizierungsverfahren sowie ein entsprechendes Computer-Programm und ein entsprechendes computerlesbares Speichermedium |
| US8082444B1 (en) * | 2004-03-25 | 2011-12-20 | Verizon Corporate Services Group Inc. | System and method for adding new network devices to an existing network |
| FR2869190B1 (fr) * | 2004-04-19 | 2006-07-21 | Alcatel Sa | Procede permettant a l'usager d'un terminal telephonique sans fil d'etablir une connexion d'urgence dans un reseau local; terminal et serveur pour la mise en oeuvre de ce procede |
| JP4606055B2 (ja) * | 2004-04-21 | 2011-01-05 | 株式会社バッファロー | 暗号鍵設定システム、アクセスポイントおよび暗号鍵設定方法 |
| JP2005311658A (ja) * | 2004-04-21 | 2005-11-04 | Matsushita Electric Ind Co Ltd | 無線アクセスポイント及び無線システム |
| JP4605442B2 (ja) * | 2004-06-21 | 2011-01-05 | ソニー株式会社 | 通信端末および方法、並びにプログラム |
| US8214649B2 (en) * | 2004-06-30 | 2012-07-03 | Nokia Corporation | System and method for secure communications between at least one user device and a network entity |
| JP2006041961A (ja) * | 2004-07-28 | 2006-02-09 | Nec Corp | 通信システム、認証装置、基地局装置、端末装置及びそれらに用いるアクセス制御方法 |
| JP2006042087A (ja) * | 2004-07-29 | 2006-02-09 | Toshiba Corp | クライアント端末、アクセスポイント装置、及び無線接続システム |
| EP1779625B1 (en) * | 2004-07-30 | 2018-10-17 | CommScope Technologies LLC | A local network node |
| WO2006071741A2 (en) | 2004-12-23 | 2006-07-06 | Conexant Systems, Inc. | Systems and methods for the connection and remote configuration of wireless clients |
| KR100843072B1 (ko) * | 2005-02-03 | 2008-07-03 | 삼성전자주식회사 | 무선 네트워크 시스템 및 이를 이용한 통신 방법 |
| US8126145B1 (en) | 2005-05-04 | 2012-02-28 | Marvell International Ltd. | Enhanced association for access points |
| JP5040087B2 (ja) | 2005-09-06 | 2012-10-03 | 富士通株式会社 | 無線通信ネットワークのセキュリティ設定方法、セキュリティ設定プログラム及び無線通信ネットワークシステム |
| JP4629573B2 (ja) | 2005-09-20 | 2011-02-09 | 富士通フロンテック株式会社 | 無線システムの起動とそのプログラム |
| US8365249B1 (en) * | 2007-01-30 | 2013-01-29 | Sprint Communications Company L.P. | Proxy registration and authentication for personal electronic devices |
| KR101352248B1 (ko) * | 2007-08-30 | 2014-01-16 | 삼성전자주식회사 | 사용자 인터페이스 자동 전환 장치 및 방법 |
| US8201226B2 (en) * | 2007-09-19 | 2012-06-12 | Cisco Technology, Inc. | Authorizing network access based on completed educational task |
| JP5279296B2 (ja) * | 2008-02-22 | 2013-09-04 | キヤノン株式会社 | 通信装置、通信方法、プログラム、記憶媒体 |
| US8943552B2 (en) | 2009-04-24 | 2015-01-27 | Blackberry Limited | Methods and apparatus to discover authentication information in a wireless networking environment |
| WO2010134182A1 (ja) | 2009-05-21 | 2010-11-25 | キヤノン株式会社 | 通信装置、通信装置の制御方法、プログラム |
| JP4915463B2 (ja) * | 2010-05-06 | 2012-04-11 | 富士通株式会社 | 情報処理装置 |
| JP4929407B1 (ja) * | 2011-03-09 | 2012-05-09 | 株式会社東芝 | 情報処理装置および表示制御方法 |
| JP5950691B2 (ja) | 2012-02-09 | 2016-07-13 | シャープ株式会社 | 情報処理システム、情報処理装置、及び通信接続方法 |
| JP2014060672A (ja) * | 2012-09-19 | 2014-04-03 | Nec Access Technica Ltd | 無線通信装置、及び、無線通信方法 |
| JP5880660B2 (ja) * | 2014-10-23 | 2016-03-09 | 株式会社バッファロー | 通信設定方法および無線接続装置 |
| JP5888441B1 (ja) * | 2015-01-14 | 2016-03-22 | セイコーエプソン株式会社 | 処理装置及びプログラム |
| US20180048700A1 (en) * | 2016-08-11 | 2018-02-15 | Qualcomm Incorporated | Distribution of application data between modems |
Family Cites Families (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6148405A (en) | 1997-11-10 | 2000-11-14 | Phone.Com, Inc. | Method and system for secure lightweight transactions in wireless data networks |
| US6374355B1 (en) | 1998-07-31 | 2002-04-16 | Lucent Technologies Inc. | Method for securing over-the-air communication in a wireless system |
| US6526506B1 (en) * | 1999-02-25 | 2003-02-25 | Telxon Corporation | Multi-level encryption access point for wireless network |
| JP3570311B2 (ja) * | 1999-10-07 | 2004-09-29 | 日本電気株式会社 | 無線ｌａｎの暗号鍵更新システム及びその更新方法 |
| US6920559B1 (en) * | 2000-04-28 | 2005-07-19 | 3Com Corporation | Using a key lease in a secondary authentication protocol after a primary authentication protocol has been performed |
| JP4187935B2 (ja) | 2000-08-23 | 2008-11-26 | 株式会社東芝 | 無線通信システム、送信装置、受信装置及びコンテンツデータ転送方法 |
| US6408957B1 (en) * | 2000-08-23 | 2002-06-25 | Smith International, Inc. | Sealed bearing roller cone bit having anti-plugging device |
| JP3628250B2 (ja) * | 2000-11-17 | 2005-03-09 | 株式会社東芝 | 無線通信システムで用いられる登録・認証方法 |
| EP1213882A3 (en) * | 2000-12-08 | 2002-09-18 | Telefonaktiebolaget L M Ericsson (Publ) | Method, system and device for granting access to a service |
| US20020174335A1 (en) * | 2001-03-30 | 2002-11-21 | Junbiao Zhang | IP-based AAA scheme for wireless LAN virtual operators |
| US20030095663A1 (en) * | 2001-11-21 | 2003-05-22 | Nelson David B. | System and method to provide enhanced security in a wireless local area network system |
| US6996714B1 (en) * | 2001-12-14 | 2006-02-07 | Cisco Technology, Inc. | Wireless authentication protocol |
| US7221764B2 (en) * | 2002-02-14 | 2007-05-22 | Agere Systems Inc. | Security key distribution using key rollover strategies for wireless networks |
| US6947725B2 (en) * | 2002-03-04 | 2005-09-20 | Microsoft Corporation | Mobile authentication system with reduced authentication delay |
| US20040054774A1 (en) * | 2002-05-04 | 2004-03-18 | Instant802 Networks Inc. | Using wireless network access points for monitoring radio spectrum traffic and interference |
| US7277547B1 (en) * | 2002-10-23 | 2007-10-02 | Sprint Spectrum L.P. | Method for automated security configuration in a wireless network |
-
2002
- 2002-08-09 JP JP2002233119A patent/JP4218934B2/ja not_active Expired - Fee Related
-
2003
- 2003-07-11 US US10/616,941 patent/US7418591B2/en not_active Expired - Fee Related
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8582476B2 (en) | 2010-03-30 | 2013-11-12 | Buffalo Inc. | Communication relay device and communication relay method |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004072682A (ja) | 2004-03-04 |
| US20040030895A1 (en) | 2004-02-12 |
| US7418591B2 (en) | 2008-08-26 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4218934B2 (ja) | ネットワーク構築方法、無線通信システムおよびアクセスポイント装置 | |
| US10505908B2 (en) | System and method for automatic wireless connection between a portable terminal and a digital device | |
| US8848915B2 (en) | Method for automatic WLAN connection between digital devices and digital device therefor | |
| US7809354B2 (en) | Detecting address spoofing in wireless network environments | |
| JP4613969B2 (ja) | 通信装置、及び通信方法 | |
| JP3863852B2 (ja) | 無線環境におけるネットワークへのアクセス制御方法及びこれを記録した記録媒体 | |
| JP5072176B2 (ja) | 無線ネットワークタイプの自動検出 | |
| US8555344B1 (en) | Methods and systems for fallback modes of operation within wireless computer networks | |
| EP2247131A1 (en) | A method, device and system of id based wireless multi-hop network autentication access | |
| US20040068653A1 (en) | Shared network access using different access keys | |
| WO2005004385A1 (ja) | 無線通信認証プログラムおよび無線通信プログラム | |
| US20090019539A1 (en) | Method and system for wireless communications characterized by ieee 802.11w and related protocols | |
| JP2003500923A (ja) | セキュア通信をイニシャライズし、装置を排他的にペアリングする方法、コンピュータ・プログラムおよび装置 | |
| JP2009212732A5 (ja) | ||
| JP2003510896A (ja) | 無線ホーム・ネットワークにおける装置を登録する方法 | |
| JP2001312472A (ja) | 無線通信装置及びユーザ認証方法 | |
| JP2009533932A (ja) | キー導出におけるパラメータ結合に基づくチャネル結合機構 | |
| EP1445893A2 (en) | Management of wireless local area network | |
| US20090327730A1 (en) | Apparatus and method for encrypted communication processing | |
| JP2007538470A (ja) | Ｖｐｎクライアントのないポータブル装置の仮想プライベートネットワークへのアクセスを管理する方法 | |
| US20080126455A1 (en) | Methods of protecting management frames exchanged between two wireless equipments, and of receiving and transmitting such frames, computer programs, and data media containing said computer programs | |
| JP2003338814A (ja) | 通信システム、管理サーバおよびその制御方法ならびにプログラム | |
| JP4574122B2 (ja) | 基地局、および、その制御方法 | |
| US20230254203A1 (en) | Initiating softap mode provisioning of wifi device via custom data field | |
| JP4018584B2 (ja) | 無線接続装置の認証方法及び無線接続装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050610 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050610 |
|
| RD03 | Notification of appointment of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7423 Effective date: 20060415 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20070425 |
|
| RD05 | Notification of revocation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7425 Effective date: 20070626 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080311 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080509 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20081107 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20081110 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111121 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121121 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131121 Year of fee payment: 5 |
|
| LAPS | Cancellation because of no payment of annual fees |