JP4229148B2

JP4229148B2 - 不正アクセスポイント接続阻止方法、アクセスポイント装置及び無線ｌａｎシステム

Info

Publication number: JP4229148B2
Application number: JP2006183450A
Authority: JP
Inventors: 義久中野
Original assignee: Oki Electric Industry Co Ltd
Current assignee: Oki Electric Industry Co Ltd
Priority date: 2006-07-03
Filing date: 2006-07-03
Publication date: 2009-02-25
Anticipated expiration: 2026-07-03
Also published as: US20080002651A1; JP2008016942A; CN101102246B; US8295255B2; CN101102246A

Description

本発明は不正アクセスポイント接続阻止方法、アクセスポイント装置及び無線ＬＡＮシステムに関し、例えば、無線ＬＡＮネットワークにおいて、自ネットワーク外に接続されている不正なアクセスポイント装置を検知し、その不正アクセスポイント装置に端末が接続することを阻止しようとしたものである。

例えば、企業における無線ＬＡＮシステムにおいて、無線ＬＡＮ端末１−１〜１−Ｎは、図２に示すように、自社ネットワーク２に接続したアクセスポイント装置３−１〜３−Ｍを中継することにより、ネットワーク接続を行う（例えば、特許文献１の図３参照）。

また、無線ＬＡＮ端末１−ｎ（ｎは１〜Ｎ）とアクセスポイント装置３−ｍ（ｍは１〜Ｍ）は、無線を用いることにより、通信ケーブルのいらない接続が可能となり、端末移動の自由度が高くなる。

そのため、無線ＬＡＮシステムは、企業のネットワークインフラとして急速に普及が始まっている。
特開２０００−３１２１６２号公報

しかし、無線の電波は、無線ＬＡＮを構築している企業のビルの壁を超えて飛んでいくため、第３者により、データの不正な取得を目的とした、不正アクセスポイント装置を敷地外に設置された場合、そのアクセスポイント装置が不正なものかどうかは、無線ＬＡＮ端末で検知することは難しい。

このような点に鑑み、本願の出願人は、正規のアクセスポイント装置が、自己の周辺に不正アクセスポイントが存在することを検知する方法を提案した（特願２００６−０６００９４号明細書及び図面）。

しかしながら、無線ＬＡＮシステムでは、ケーブル接続でないため、無線ＬＡＮ端末１−ｎがどのアクセスポイント装置につながっているかを、端末自身で知ることは難しく、また、図３に示すように、正規のアクセスポイント装置３−ｍが周辺に不正なアクセスポイント装置４の存在を検知したとしても、無線ＬＡＮ端末１−ｎにそのことを知らせる手段がなく、無線ＬＡＮ端末１−ｎが不正なアクセスポイント装置４に接続してしまうことを防止できない。

そのため、無線ＬＡＮ端末が不正アクセスポイント装置に接続することを未然に防止し得る不正アクセスポイント接続阻止方法、アクセスポイント装置及び無線ＬＡＮシステムが求められている。

第１の本発明は、無線ＬＡＮ端末を収容する複数のアクセスポイント装置を有線ＬＡＮで接続させた無線ＬＡＮシステムに関し、上記有線ＬＡＮに接続されていない不正なアクセスポイント装置を検知し、不正なアクセスポイント装置と無線ＬＡＮ端末との接続を阻止する不正アクセスポイント接続阻止方法であって、（０）少なくとも一部の上記アクセスポイント装置は、不正アクセスポイント検知手段と、妨害タイミング計時手段と、妨害データ作成送信手段とを有し、（１）上記不正アクセスポイント検知手段は、不正なアクセスポイント装置を検知すると共に、その不正なアクセスポイント装置からのビーコンフレームの送信周期情報を得、（２）上記妨害タイミング計時手段は、不正なアクセスポイント装置からのビーコンフレームの送信周期情報に応じて、認識された不正なアクセスポイント装置からビーコンフレームが送信されるタイミングを計時し、（３）上記妨害データ作成送信手段は、認識された不正なアクセスポイント装置からビーコンフレームが送信されるタイミングで、妨害データを作成して無線空間に送信すると共に、（４−０）上記不正アクセスポイント検知手段は、隣接アクセスポイント検知部、隣接アクセスポイント記憶部、探索データ送信部、及び、不正アクセスポイント特定部を有し、（４−１）上記隣接アクセスポイント検知部は、当該アクセスポイント装置の周囲の無線空間をモニタし、隣接するアクセスポイント装置の識別情報を得て上記隣接アクセスポイント記憶部に記憶し、（４−２）上記探索データ送信部は、不正アクセスポイント探索データを、上記有線ＬＡＮ、上記隣接アクセスポイント記憶部に記憶されている隣接する上記アクセスポイント装置との無線回線を、この順、又は、逆順に経由して、当該アクセスポイント装置に戻ってくるように送信すると共に、不正アクセスポイント探索データが戻ってきた経路の隣接する上記アクセスポイント装置について上記隣接アクセスポイント記憶部に正規装置である旨を記憶し、（４−３）上記不正アクセスポイント特定部は、上記隣接アクセスポイント記憶部に、識別情報が記憶されながら、正規装置である旨が記憶されていないアクセスポイント装置を、不正なアクセスポイント装置として認識すると共に、その不正なアクセスポイント装置からのビーコンフレームの送信周期情報を得ることを特徴とする。

第２の本発明は、無線ＬＡＮ端末を収容すると共に、有線ＬＡＮを介して他のアクセスポイント装置に接続されているアクセスポイント装置において、（１）不正なアクセスポイント装置を検知すると共に、その不正なアクセスポイント装置からのビーコンフレームの送信周期情報を得る不正アクセスポイント検知手段と、（２）不正なアクセスポイント装置からのビーコンフレームの送信周期情報に応じて、認識された不正なアクセスポイント装置からビーコンフレームが送信されるタイミングを計時する妨害タイミング計時手段と、（３）認識された不正なアクセスポイント装置からビーコンフレームが送信されるタイミングで、妨害データを作成して無線空間に送信する妨害データ作成送信手段とを有し、（４）上記不正アクセスポイント検知手段は、（４−１）当該アクセスポイント装置に隣接するアクセスポイント装置の識別情報及び正規装置である旨が記憶し得る隣接アクセスポイント記憶部と、（４−２）当該アクセスポイント装置の周囲の無線空間をモニタし、隣接するアクセスポイント装置の識別情報を得て上記隣接アクセスポイント記憶部に記憶する隣接アクセスポイント検知部と、（４−３）不正アクセスポイント探索データを、上記有線ＬＡＮ、上記隣接アクセスポイント記憶手段に記憶されている隣接する上記アクセスポイント装置との無線回線を、この順、又は、逆順に経由して、当該アクセスポイント装置に戻ってくるように送信すると共に、不正アクセスポイント探索データが戻ってきた経路の隣接する上記アクセスポイント装置について上記隣接アクセスポイント記憶部に正規装置である旨を記憶する探索データ送信部と、（４−４）上記隣接アクセスポイント記憶部に、識別情報が記憶されながら、正規装置である旨が記憶されていないアクセスポイント装置を、不正なアクセスポイント装置として認識すると共に、その不正なアクセスポイント装置からのビーコンフレームの送信周期情報を得る不正アクセスポイント特定部とを有することを特徴とする。

第３の本発明は、無線ＬＡＮ端末を収容する複数のアクセスポイント装置を有線ＬＡＮで接続させた無線ＬＡＮシステムにおいて、少なくとも一部の上記アクセスポイント装置として、第２の本発明のアクセスポイント装置を適用したことを特徴とする。

本発明によれば、無線ＬＡＮ端末が不正なアクセスポイント装置に接続することを未然に防止することができる。

（Ａ）実施形態
以下、本発明による不正アクセスポイント接続阻止方法、アクセスポイント装置及び無線ＬＡＮシステムの一実施形態を、図面を参照しながら詳述する。

（Ａ−１）実施形態の構成
この実施形態に係る無線ＬＡＮシステムも、その構成要素の配置は、上述した図２に示すものと同様である。

アクセスポイント装置３−ｍは、自己の管轄エリア内の無線ＬＡＮ端末１−ｎとの通信を実行する無線通信部、自社ネットワーク（有線ＬＡＮ部分）２との通信を実行する有線通信部、これら無線通信部及び有線通信部の信号転送に介在したり信号が制御信号のときに接続制御を実行したりする信号処理部などを有する。

ここで、信号処理部は、ＣＰＵなどを中心とした、主として、ソフトウェア処理構成でなっており、この実施形態の場合、アクセスポイント装置３−ｍ（信号処理部）におけるソフトウェアの構成の一部は、図１に示すようなものである。なお、図１は、不正なアクセスポイント装置を検知し、不正アクセスポイント装置と無線ＬＡＮ端末との接続を防止するという機能に関係する部分を示しており、制御信号の処理機能などの他の機能に係る構成部分は省略している。

図１において、アクセスポイント装置３−ｍは、無線ＬＡＮドライバ３１、無線データ通信処理部３２、不正アクセスポイント検知部３３、有線ＬＡＮドライバ３４、隣接アクセスポイントテーブル３５、妨害タイマ制御部３６及び妨害データ作成部３７などを有する。

無線ＬＡＮドライバ３１は、無線ＬＡＮのプロトコルを制御し、無線のデータ送受信を行うものである。アクセスポイント装置３−ｍの通信相手は、無線ＬＡＮ端末１−ｎであるが、隣接するアクセスポイント装置３−ｊ（ｊは１〜Ｍ、但しｍは除く）の送信データも到達し、無線ＬＡＮドライバ３１は、そのような隣接するアクセスポイント装置３−ｊの送信データも受信することがある。

また、無線ＬＡＮドライバ３１は、無線データ通信処理部３２の駆動により、後述する探索データ（探索データを含む制御信号）や、後述する妨害データ（妨害データを含む制御信号）を無線空間（管轄エリア）に送信させることを行う。アクセスポイント装置３−ｍは、複数の無線ＬＡＮ端末を収容可能なように、複数の無線チャネルを有しており、探索データを、無線ＬＡＮ端末との通信に利用されていない空チャネルによって送信する。

無線データ通信処理部３２は、無線ＬＡＮドライバ３１が受信したデータを受け取り、その内容の解析を行うものである。

無線データ通信処理部３２は、隣接するアクセスポイント装置３−ｊからのビーコンフレームを受信した場合には、隣接アクセスポイント装置の情報を、隣接アクセスポイントテーブル３５に記憶するものである。ここで、記憶する隣接アクセスポイント装置３−ｊの情報は、隣接アクセスポイント装置の識別情報（例えばＢＳＳＩＤ（ＢａｓｉｃＳｅｒｖｉｃｅＳｅｔＩｄｅｎｔｉｆｉｅｒ））やビーコン周期（これは不正なアクセスポイント装置についてのみ記憶する）である。

なお、ビーコンフレームの中には、「ＢＳＳＩＤ」、「ビーコン周期」、「そのアクセスポイント装置に接続するための各種情報（セキュリティ情報、通信速度など）」が含まれている。ビーコンフレームは、無線ＬＡＮ端末に対して、その近傍にアクセスポイント装置が存在することを通知させるためのものであって、無線ＬＡＮ端末は、ビーコンフレームの受信によって自己の収容先（接続先）となるアクセスポイント装置の情報を得る。

無線データ通信処理部３２は、隣接するアクセスポイント装置３−ｊから探索データを受信した場合には、隣接アクセスポイントテーブル３５のその隣接アクセスポイント装置３−ｊの情報のステータスを「正規」にするものである。

また、無線データ通信処理部３２は、自社ネットワーク（有線ＬＡＮ部分）２側から与えられた探索データを、無線ＬＡＮドライバ３１によって無線空間に送信させるものである。

さらに、無線データ通信処理部３２は、妨害データ作成部３７が作成した妨害データを、無線ＬＡＮドライバ３１によって無線空間に送信させるものである。

不正アクセスポイント検知部３３は、不正アクセスポイント装置４を探索するため、探索データを、周期的に、有線ＬＡＮ部分（自社ネットワーク）２に送信させるものである。不正アクセスポイント検知部３３は、探索データを送信させた後、所定時間だけ経過したときに、隣接アクセスポイントテーブル３５のステータスを確認し、不正なアクセスポイント装置４が存在するか否かを判定するものである。

不正アクセスポイント検知部３３は、不正なアクセスポイント装置４の存在を検知したときには、そのことを表す検知データ（例えば、ＢＳＳＩＤなどの特定するデータを含む）を、有線ＬＡＮ部分（自社ネットワーク）２に接続されている図示しない上位装置に送信し、また、妨害タイマ制御部３６に、不正アクセスポイント装置４の識別情報やビーコン周期（直前のビーコン送信タイミングの情報を含む）に引き渡すものである。

また、不正アクセスポイント検知部３３は、有線ＬＡＮ部分（自社ネットワーク）２側から探索データが与えられた場合には、無線データ通信処理部３２に引渡し、無線ＬＡＮドライバ３１によって無線空間に送信させるものである。

有線ＬＡＮドライバ３４は、有線ＬＡＮ部分（自社ネットワーク）２のプロトコルを制御し、有線ＬＡＮ部分２とのデータ送受信を行うものである。

隣接アクセスポイントテーブル３５は、隣接アクセスポイント装置３−ｊの情報（装置の識別情報、正規装置フラグ、ビーコン周期）を記憶するためのデータファイルである。隣接アクセスポイントテーブル３５に対する書込みは、上述したように、無線データ通信処理部３２によってなされる。また、隣接アクセスポイントテーブル３５におけるステータスは、不正アクセスポイント検知部３３によって参照される。

妨害タイマ制御部３６は、隣接アクセスポイントテーブル３５から読み込んだ不正アクセスポイント装置４のビーコン周期毎に、妨害データ作成部３７に、妨害データの作成を指示するものである。

妨害データ作成部３７は、妨害タイマ制御部３６からの指示に従って、妨害データを作成して無線データ通信処理部３２に与えて、無線空間に送信させるものである。

（Ａ−２）実施形態の動作
次に、実施形態の無線ＬＡＮシステムの動作を、不正なアクセスポイント装置の検知動作（Ａ−３）、不正なアクセスポイント装置と無線ＬＡＮ端末との接続阻止動作（Ａ−４）の順に説明する。

（Ａ−３−１）隣接アクセスポイント装置の認識
各アクセスポイント装置３−ｍは、周辺の無線ＬＡＮの電波をモニタし、アクセスポイント装置が必ず送信しなければならない、図４に示すような「ビーコン」という無線ＬＡＮの制御フレームをモニタする。当該アクセスポイント装置３−ｍに隣接しているアクセスポイント装置３−ｊ、４のビーコンフレームは、一般的には、当該アクセスポイント装置３−ｍにも到達する。

ビーコンフレームの中には、送信元のＢＳＳＩＤが挿入されているため、当該アクセスポイント装置３−ｍの無線データ通信処理部３２は、隣接アクセスポイントテーブル３５に、受信したビーコンフレームでのＢＳＳＩＤを、隣接アクセスポイント装置３−ｊ、４の識別情報として格納する。図４の例であれば、当該アクセスポイント装置３−ｍの隣接アクセスポイントテーブル３５には、正規の隣接アクセスポイント装置３−ｊの識別情報と、不正な隣接アクセスポイント装置４の識別情報とが格納される。

図６は、無線データ通信処理部３２の受信時処理を示すフローチャートである。無線データ通信処理部３２は、「ビーコン」か否かの判定ステップによって、ビーコンと判定したときに、隣接アクセスポイントテーブル３５へのＢＳＳＩＤの記憶を行う（ステップ１００、１０１）。

（Ａ−３−２）探索データのブロードキャスト
各アクセスポイント装置３−ｍは、所定周期（例えば３０分）ごとの割り込みによって、図５に示す処理を開始し、各アクセスポイント装置３−ｍの不正アクセスポイント検知部３３は、ブロードキャストデータとして「不正アクセスポイント探索データ」を自社ネットワーク（有線ＬＡＮ部分）２に送信する（ステップ１５０）。ここで、不正アクセスポイント探索データは、ブロードキャストデータであれば良く、そのフォーマットなどは限定されるものではない。

不正アクセスポイント探索データは、自社ネットワーク（有線ＬＡＮ部分）２に送信されるので、正規のアクセスポイント装置３−ｊには到達するが、不正なアクセスポイント装置４には到達しない。不正アクセスポイント探索データは、ブロードキャストデータであるので、正規のアクセスポイント装置３−ｊは、無線ＬＡＮ側に中継する必要があると判断して、無線ＬＡＮ側に不正アクセスポイント探索データを送信する。

その結果、図７に示すように、正規のアクセスポイント装置３−ｊは、不正アクセスポイント探索データを、自己の管轄エリアに向けて無線送信するが、不正なアクセスポイント装置４は、不正アクセスポイント探索データを送信することはない。

無線データ通信処理部３２は、上述したように、図６に示す受信時処理を行う。不正アクセスポイント探索データのブロードキャストを指示したアクセスポイント装置３−ｍの無線データ通信処理部３２は、隣接アクセスポイント装置３−ｊから、自己が送信元の不正アクセスポイント探索データを無線ＬＡＮ側から受信したときには、隣接アクセスポイントテーブル３５の、今回の探索データの受信に係るＢＳＳＩＤ（隣接アクセスポイント装置３−ｊの識別情報）に対応付けて「正規」のステータスを記憶する（ステップ１０２、１０３）。

なお、アクセスポイント装置３−ｍの無線データ通信処理部３２は、ブロードキャストを指示した時点から、所定時間（例えば３分間）内に、自己が送信元の不正アクセスポイント探索データを無線ＬＡＮ側から受信できたときだけ「正規」のステータスを記憶し、所定時間を超えて、不正アクセスポイント探索データを受信しても、その受信を「受信でない」と見なすようにしても良い。例えば、不正なアクセスポイント装置４が、隣接アクセスポイント装置３−ｊが無線送信した探索データを受信して、あわてて、探索データを送信しても、その受信を「受信でない」と見なすことができるように所定時間を選定すれば良い。

一方、不正なアクセスポイント装置４は、不正アクセスポイント探索データを無線ＬＡＮ側に送信することはないので、不正アクセスポイント探索データの送信元のアクセスポイント装置３−ｍにおける隣接アクセスポイントテーブル３５は、不正なアクセスポイント装置４のＢＳＳＩＤ（識別情報）に対応付けて、「正規」のステータスを記憶することはない。

（Ａ−３−３）不正アクセスポイント装置の認識
不正アクセスポイント探索データの送信元のアクセスポイント装置３−ｍの不正アクセスポイント検知部３３は、その送信時点から、所定時間（例えば５分）だけ経過したときに、割り込みによって、図８に示す処理を開始し、隣接アクセスポイントテーブル３５から、「正規」のステータスが付与されていないＢＳＳＩＤ（識別情報）を取得する（ステップ２００）。「正規」のステータスが付与されていないＢＳＳＩＤ（識別情報）は、不正なアクセスポイント装置４のＢＳＳＩＤ（識別情報）であり、これにより、不正なアクセスポイント装置４の存在を検知（認識）することができる。

図８では省略しているが、不正アクセスポイント検知部３３は、不正なアクセスポイント装置４の存在を検知すると、上位装置に通知し、上位装置は所定の保護動作や異常報知動作などを行う。例えば、ブザーの鳴動によって監視者に不正なアクセスポイント装置４の存在を報知したり、自動的な社内放送によって、不正なアクセスポイント装置４の存在を報知したりする。その際、不正なアクセスポイント装置４の存在を検知したアクセスポイント装置３−ｍの位置情報をも含めて放送し、注意場所を教示するようにしても良い。

（Ａ−４）不正アクセスポイント装置との接続防止
アクセスポイント装置３−ｍの不正アクセスポイント検知部３３は、不正なアクセスポイント装置４の存在を検知すると、図９に示すように、その不正なアクセスポイント装置４からのビーコンから、ビーコン周期（次回の送信タイミングを含む）を得て、隣接アクセスポイントテーブル３５に登録した後（ステップ３００、３０１）、妨害タイマ制御部３６を起動する（ステップ３０２）。

これにより、妨害タイマ制御部３６は、不正アクセスポイント装置４のビーコン周期に合わせて、妨害データ作成部３７によって、妨害データ（妨害用のダミーデータ）を作成させて、その妨害データを無線空間に送信させる（ステップ３５０）。

仮に、図１０に示すように、無線ＬＡＮ端末１−ｎが不正アクセスポイント装置４のビーコンが届く範囲に存在していたとしても、この無線ＬＡＮ端末１−ｎには、不正アクセスポイント装置４のビーコンとアクセスポイント装置３−ｍから送信された妨害データとが同時に到達し、無線ＬＡＮ端末１−ｎは、不正アクセスポイント装置４のビーコンを正しく受信できない。これにより、無線ＬＡＮ端末１−ｎが不正アクセスポイント装置４に接続（収容）されることはない。

なお、妨害データ（妨害用ダミーデータ）は、無線ＬＡＮ端末が受信した不正アクセスポイント装置のビーコンの復調をエラーにできるものであれば良く、フォーマットなどは限定されるものではない。

（Ａ−５）実施形態の効果
以上のように、上記実施形態によれば、不正アクセスポイント装置の存在を認識でき、その不正なアクセスポイント装置と無線ＬＡＮ端末とが接続することを防止することができる。すなわち、不正なアクセスポイント装置を検知すると、直ちに、無線ＬＡＮ端末が接続することを防止する状態になり、データの流出を防ぐことができる。

（Ｂ）他の実施形態
上記実施形態においては、検知動作を行っているアクセスポイント装置３−ｍが、不正アクセスポイント探索データをブロードキャストさせるものを示したが、隣接アクセスポイントテーブル３５に識別情報が記憶されている隣接アクセスポイント装置からマルチキャストさせるものであっても良く（この場合に上位装置を経由させても良い）、また、隣接アクセスポイントテーブル３５に識別情報が記憶されている隣接アクセスポイント装置の１個ずつから、個別に探索データを送信させるようにしても良い（この場合に上位装置を経由させても良い）。後者の場合であれば、隣接アクセスポイント装置３−ｊに、当該隣接アクセスポイント装置３−ｍを収容先とする、無線ＬＡＮ端末と同様な無線送信動作を実行させるようにしても良い。

また、上記実施形態においては、検知動作を行っているアクセスポイント装置３−ｍが、不正アクセスポイント探索データを自社ネットワーク（有線ＬＡＮ部分）２に送信し、隣接アクセスポイント装置の無線探索データをモニタすることにより、正規の隣接アクセスポイント装置３−ｊを認識するものを示したが、この逆のループ経路で探索データを巡回させて、正規の隣接アクセスポイント装置を認識するようにしても良い。例えば、検知動作を行っているアクセスポイント装置３−ｍは、自己宛の不正アクセスポイント探索データを無線送信し、その無線送信された不正アクセスポイント探索データを受信した正規の隣接アクセスポイント装置３−ｊが、自社ネットワーク（有線ＬＡＮ部分）２経由で、不正アクセスポイント探索データをアクセスポイント装置３−ｍにフィードバックさせることにより（この場合に上位装置を経由させても良い）、正規の隣接アクセスポイント装置を認識するようにしても良い。

さらに、上記実施形態においては、全てのアクセスポイント装置が、不正のアクセスポイント装置の検知機能を有するものを示したが、一部のアクセスポイント装置が、不正のアクセスポイント装置の検知機能を備えるものであっても良い。例えば、建物の外壁に近い位置に設置されているアクセスポイント装置が、不正のアクセスポイント装置の検知機能を備えるようにしても良い。

さらにまた、上記実施形態においては、不正アクセスポイント装置のビーコン周期を、不正と認識した以降に得るものを示したが、探索動作中でテーブルに登録しておき、不正と認識したときに直ちに使用するようにしても良い。

上記実施形態においては説明しなかったが、不正アクセスポイント装置が継続してビーコンを送出しているかを監視し、不正アクセスポイント装置がビーコンの送信を止めたときには、妨害データの送信を終了するようにしても良い。

また、上記実施形態においては、妨害データの送信時も他のデータの送信時と同様な送信電力で送信するものを示したが、他のデータの送信時より送信電力を上げるようにしても良い。また、タイマの計時誤差を考慮し、不正アクセスポイント装置がビーコンを送信すると判定される期間より広い期間、妨害データを送信するようにしても良い。

実施形態のアクセスポイント装置のソフトウェア構成を示す機能ブロック図である。企業の無線ＬＡＮシステムの基本的構成を示すブロック図である。従来の課題の説明図である。実施形態で利用するビーコンフレームの説明図である。実施形態の無線データ通信処理部の受信時処理を示すフローチャートである。実施形態の不正アクセスポイント検知部による不正アクセスポイント探索データの送信動作を示すフローチャートである。実施形態の正規の隣接アクセスポイント装置だけが不正アクセスポイント探索データを無線送信する様子を示す説明図である。実施形態の不正アクセスポイント検知部の正規の隣接アクセスポイント装置の認識動作を示すフローチャートである。実施形態における妨害データを送信するための一連の動作を示すフローチャートである。実施形態の妨害データと不正アクセスポイント装置からのビーコンとの衝突の様子を示す説明図である。

符号の説明

１−１〜１−Ｎ…無線ＬＡＮ端末、２…自社ネットワーク（有線ＬＡＮ）、３−１〜３−Ｍ…アクセスポイント装置、３１…無線ＬＡＮドライバ、３２…無線データ通信処理部、３３…不正アクセスポイント検知部、３４…有線ＬＡＮドライバ、３５…隣接アクセスポイントテーブル、３６…妨害タイマ制御部、３７…妨害データ作成部。

Claims

無線ＬＡＮ端末を収容する複数のアクセスポイント装置を有線ＬＡＮで接続させた無線ＬＡＮシステムに関し、上記有線ＬＡＮに接続されていない不正なアクセスポイント装置を検知し、不正なアクセスポイント装置と無線ＬＡＮ端末との接続を阻止する不正アクセスポイント接続阻止方法であって、
少なくとも一部の上記アクセスポイント装置は、不正アクセスポイント検知手段と、妨害タイミング計時手段と、妨害データ作成送信手段とを有し、
上記不正アクセスポイント検知手段は、不正なアクセスポイント装置を検知すると共に、その不正なアクセスポイント装置からのビーコンフレームの送信周期情報を得、
上記妨害タイミング計時手段は、不正なアクセスポイント装置からのビーコンフレームの送信周期情報に応じて、認識された不正なアクセスポイント装置からビーコンフレームが送信されるタイミングを計時し、
上記妨害データ作成送信手段は、認識された不正なアクセスポイント装置からビーコンフレームが送信されるタイミングで、妨害データを作成して無線空間に送信すると共に、
上記不正アクセスポイント検知手段は、隣接アクセスポイント検知部、隣接アクセスポイント記憶部、探索データ送信部、及び、不正アクセスポイント特定部を有し、
上記隣接アクセスポイント検知部は、当該アクセスポイント装置の周囲の無線空間をモニタし、隣接するアクセスポイント装置の識別情報を得て上記隣接アクセスポイント記憶部に記憶し、
上記探索データ送信部は、不正アクセスポイント探索データを、上記有線ＬＡＮ、上記隣接アクセスポイント記憶部に記憶されている隣接する上記アクセスポイント装置との無線回線を、この順、又は、逆順に経由して、当該アクセスポイント装置に戻ってくるように送信すると共に、不正アクセスポイント探索データが戻ってきた経路の隣接する上記アクセスポイント装置について上記隣接アクセスポイント記憶部に正規装置である旨を記憶し、
上記不正アクセスポイント特定部は、上記隣接アクセスポイント記憶部に、識別情報が記憶されながら、正規装置である旨が記憶されていないアクセスポイント装置を、不正なアクセスポイント装置として認識すると共に、その不正なアクセスポイント装置からのビーコンフレームの送信周期情報を得る
ことを特徴とする不正アクセスポイント接続阻止方法。
無線ＬＡＮ端末を収容すると共に、有線ＬＡＮを介して他のアクセスポイント装置に接続されているアクセスポイント装置において、
不正なアクセスポイント装置を検知すると共に、その不正なアクセスポイント装置からのビーコンフレームの送信周期情報を得る不正アクセスポイント検知手段と、
不正なアクセスポイント装置からのビーコンフレームの送信周期情報に応じて、認識された不正なアクセスポイント装置からビーコンフレームが送信されるタイミングを計時する妨害タイミング計時手段と、
認識された不正なアクセスポイント装置からビーコンフレームが送信されるタイミングで、妨害データを作成して無線空間に送信する妨害データ作成送信手段とを有し、
上記不正アクセスポイント検知手段は、
当該アクセスポイント装置に隣接するアクセスポイント装置の識別情報及び正規装置である旨が記憶し得る隣接アクセスポイント記憶部と、
当該アクセスポイント装置の周囲の無線空間をモニタし、隣接するアクセスポイント装置の識別情報を得て上記隣接アクセスポイント記憶部に記憶する隣接アクセスポイント検知部と、
不正アクセスポイント探索データを、上記有線ＬＡＮ、上記隣接アクセスポイント記憶手段に記憶されている隣接する上記アクセスポイント装置との無線回線を、この順、又は、逆順に経由して、当該アクセスポイント装置に戻ってくるように送信すると共に、不正アクセスポイント探索データが戻ってきた経路の隣接する上記アクセスポイント装置について上記隣接アクセスポイント記憶部に正規装置である旨を記憶する探索データ送信部と、
上記隣接アクセスポイント記憶部に、識別情報が記憶されながら、正規装置である旨が記憶されていないアクセスポイント装置を、不正なアクセスポイント装置として認識すると共に、その不正なアクセスポイント装置からのビーコンフレームの送信周期情報を得る不正アクセスポイント特定部とを有する
ことを特徴とするアクセスポイント装置。
無線ＬＡＮ端末を収容する複数のアクセスポイント装置を有線ＬＡＮで接続させた無線ＬＡＮシステムにおいて、
少なくとも一部の上記アクセスポイント装置として、請求項２に記載のアクセスポイント装置を適用したことを特徴とする無線ＬＡＮシステム。