JP4728258B2 - ユーザーがｉｐネットワークに接続する時、ローカル管理ドメインにおいてユーザーに対するアクセス認証を管理するための方法及びシステム - Google Patents

Description

本発明は、インターネット又はＩＰ上の電話への接続等、ＩＰ（インターネットプロトコル）伝送に基づくサービスの提供に関する。

本発明は特に、ラディウス（ユーザーサービスにおける遠隔認証ダイアル）プロトコルに基づくアーキテクチャに適用され、ユーザーのアクセス権限と、所定の管理ドメイン費を前記ユーザーに請求するのに必要な課金とを管理するためにＩＰネットワークで広く用いられている。これに関連して、管理ドメインは、単独のネットワーク管理者によって管理されるネットワーク装置の全てを一箇所に集める。これらのアーキテクチャはまた、ローミング状態で、即ちユーザーが依存する管理ドメインとは異なるドメインに属し、その時アクセス権限の管理が管理ドメイン間で実行されているネットワーク接続で、ユーザーに対してネットワークへのアクセスを管理するのに用いられる。

ＡＤＳＬ（非対称型デジタル加入者回線）、ＷＬＡＮ（無線ローカルエリアネットワーク）、及びＷＡＰ（ワイヤレスアプリケーションプロトコル）等の技術を用いてＩＰサービスへのアクセスを可能にするアーキテクチャに関連して、少なくとも２つの管理ドメインが、アクセス認証の管理に関与する。それらは、ローカル管理ドメイン、即ちユーザーが接続するドメインと、遠隔管理ドメイン、即ちＩＰネットワークにアクセスするプロバイダのドメイン若しくはユーザーがアクセスを所望するサービスのドメインとである。これらのアーキテクチャにおいて、ローカル管理ドメインは特に、ユーザーとサービスプロバイダの管理ドメインとの間で中継としての役割を果たす。

ラディウスプロトコルは、特にクライアント／サーバーモデルの後に設計されるが、ＩＰネットワークのユーザーのアクセス権限を管理することができる。上述のアーキテクチャにおいて、ユーザーはまず、アクセス要求上で提供される情報を収集すること、及びラディウスサーバーを有するアクセスネットワークの認証サーバーにアクセス要求メッセージ（Access−Request）の前記情報を送信することを管理するラディウスクライアントを有するローカルネットワークアクセスサーバーに接続する。認証サーバーは、それがアクセス承認メッセージ形式（Access−Accept）のアクセス認証、又は拒否理由を含むアクセス拒否メッセージ形式（Access−Reject）のアクセス拒否を有し、かつそれに応じて提供する情報に従ってユーザーを認証することによってアクセス要求の処理を確実にする。アクセス認証メッセージは、ユーザーに最終サービスを提供するためにアクセスサーバーに必要な全ての情報と、特にアクセス設定上の情報とを含む。

上述のメッセージに加えて、ラディウスプロトコルはまた、予測不可能なチャレンジ値を認証サーバーがアクセスサーバーに送信できるようにするアクセスチャレンジメッセージ（Access−Challenge）を提供する。そのようなメッセージを受信すると、アクセスサーバーは、チャレンジ値に所定のアルゴリズムを適用することによって得られる応答値をそれに提供するようユーザーに問合せる。この応答を受信すると、アクセスサーバーは、応答値を含む新規アクセス要求メッセージを認証サーバーに送信する。この新規アクセス要求メッセージは、認証サーバーによって処理され、ユーザーによって提供される応答値に依存して、アクセス承認又は拒否メッセージを送信することによってそれに応答する。認証サーバーはまた、アクセスチャレンジメッセージで応答することができる。

アクセスサーバーによって呼出されるアクセスネットワークの認証サーバーがユーザーによって送信されるアクセス要求を処理するのに必要な情報を有していない場合、それは、ラディウスプロキシサーバーの機能を果たすことによって適切な認証サーバーにアドレスをとることができ、アクセスサーバーと他の認証サーバーとの間でメッセージを単に再送信する。故に、それは、複数の認証サーバーに対してそれを通過するラディウスメッセージを案内する役割を実行することができる。それはまた、その性質を変更する必要なく、これらのメッセージをフィルタリングし、かつ（属性を追加、削除、又は変更することによって）そのコンテンツを変更する機能を実行することができる。

故に、ラディウスプロトコルで規定されるようなラディウスプロキシサーバーの役割は、かなり限定されている。しかし、そのようなサーバーは、シグナリング上での厳格な検査を実行し、かつローカル認証をできる限りアクティブにする必要があるかもしれない。特に、そのようなプロキシサーバーは、遠隔認証サーバーとは無関係に、ラディウスクライアントからチャレンジ／応答交換を、アクセス要求メッセージ受信時に開始することができない。

多様な用途において、ユーザーを遠隔だけでなくローカルでも認証でき、特にインターネット等のパブリックネットワークへのアクセスに加えて、ローカルレベルで追加のサービスをユーザーに提供できることがやはり望ましい。

本発明は、これらの不都合を解消することを目的とする。本発明の目的は、アクセスネットワークを用いてＩＰ伝送ネットワークにアクセスを試みる間にユーザーの認証を管理するための方法であって、ＩＰサービス又はアクセスプロバイダの遠隔認証サーバーに送信されるように、前記アクセスネットワーク及び前記ＩＰ伝送ネットワークのアクセスサーバーを用いて送信される、前記ＩＰサービス又はアクセスプロバイダでのユーザー認証のためのデータを含むアクセス要求を、前記ＩＰサービス又はアクセスプロバイダに、ユーザー端末が送信する段階と、前記アクセス要求を受信すると、前記アクセスサーバーは、前記アクセスネットワークのプロキシサーバーにラディウスプロトコルに従ってラディウス要求を送信する段階と、前記ラディウス要求を受信すると、前記プロキシサーバーは、前記遠隔認証サーバーにアクセス認証要求を送信する段階と、前記遠隔認証サーバーは、前記アクセス要求に含まれる認証データに基づき、ユーザー認証手続を実行し、それに応じて、前記ユーザー認証手続の結果を含む応答メッセージを前記プロキシサーバーに送信する段階と、を具備する方法によって達成できる。

本発明によると、前記方法は、前記プロキシサーバーは、前記アクセスサーバーから受信しかつ前記ユーザー端末によって送信される前記アクセス要求に対応する前記ラディウス要求毎に、前記アクセス要求を送信する前記ユーザーのローカル認証がローカルネットワークレベルで実行されなければならないか否かを判断する段階と、前記ユーザーの前記ローカル認証が実行されなければならない場合、前記プロキシサーバーは、前記ユーザー端末に再送信される認証データ要求を前記アクセスサーバーに送信し、前記アクセスサーバーを用いて前記ユーザー端末から応答メッセージを受信し、かつ前記応答メッセージに含まれる前記認証データに基づき、前記ユーザーの前記ローカル認証のための手続を実行する段階と、をさらに具備する。

本発明の好ましい実施形態によると、前記ユーザー端末へ前記プロキシサーバーによって送信される前記認証データ要求は、ローカルユーザー認証が実行されなければならない場合、乱数を含むチャレンジメッセージである。

利点として、前記チャレンジメッセージは、ユーザー端末が、それがローカルユーザー認証に関係するか否かを判断できるようにする指示子を含む。

本発明の好ましい実施形態によると、前記遠隔認証サーバーによる前記ユーザーの前記遠隔認証は、 前記遠隔認証サーバーが、乱数を含むチャレンジメッセージ前記ユーザーに送信する段階と、前記プロキシサーバーが、前記ユーザーに前記遠隔認証サーバーによって送信される前記チャレンジメッセージを再送信し、かつ応答メッセージにおいて、前記遠隔認証サーバーでのユーザー認証のためのデータを受信する段階と、前記プロキシサーバーが、前記ユーザー端末によって送信される前記応答メッセージを前記遠隔認証サーバーに再送信する段階と、前記プロキシサーバーが、前記ユーザー認証の結果を含むメッセージを前記遠隔認証サーバーから受信する段階と、を具備する。

本発明の好ましい実施形態によると、前記プロキシサーバーは、前記ユーザーの前記ローカル及び遠隔認証の結果に基づき前記ユーザーに割当てるアクセス権限を決定する。

本発明はまた、ＩＰ伝送ネットワークを用いてＩＰサービス又はアクセスプロバイダにユーザー端末によってアクセスを試みる間にユーザーの認証を管理するためのシステムであって、前記ユーザー端末が接続されるアクセスネットワークと、前記アクセスネットワークと前記ＩＰ伝送ネットワークとの間で、接続をそれぞれ確実にするＩＰゲートウェイと、前記ユーザー端末による要求に応じて、ラディウスプロトコルに従ってラディウスアクセス要求を送信するように設計される、各前記アクセスネットワークのための少なくとも１つのアクセスサーバーと、認証サーバーによって受信されるアクセス要求に含まれる認証データに基づき前記ユーザーを認証するように設計される各前記ＩＰサービス又はアクセスプロバイダのための少なくとも１つの遠隔認証サーバーと、前記アクセス要求で示される前記ＩＰサービス又はアクセスプロバイダの遠隔認証サーバーへ、ユーザー要求に応じて前記アクセスサーバーの１つによって送信される各前記ラディウスアクセス要求を再送信し、かつ前記遠隔認証サーバー（１５）によって提供される認証応答を前記アクセスサーバーに再送信するように設計され、前記ＩＰ伝送ネットワークに接続されるプロキシサーバーと、を具備するシステムに関する。

本発明によると、前記プロキシサーバーは、前記アクセス要求を送信する前記ユーザーのローカル認証が、前記ローカルネットワークレベルで実行されなければならないか否かを、前記ユーザー要求に応じて前記アクセスサーバーから受信する各前記ラディウスアクセス要求毎に判断するための手段と、前記認証データを要求するメッセージを、ローカルに認証されなければならない前記ユーザー端末に、前記アクセスサーバーを用いて送信し、かつ前記要求された認証データを含む応答メッセージを、前記ユーザー端末に応答して受信するための手段と、前記応答メッセージに含まれる認証情報に基づき、ローカルユーザー認証手続を実行するための手段と、を具備する。

本発明の好ましい実施形態によると、前記プロキシサーバーはまた、前記認証サーバーによって提供されるローカルユーザー認証結果と前記ユーザーの認証応答とに基づき、全認証結果を判断し、かつ前記アクセスサーバーへ前記全認証結果を再送信するための手段を具備する。

本発明の好ましい実施形態によると、各アクセスサーバーは、ラディウスクライアントを含み、前記プロキシサーバーは、前記ラディウスプロトコルに従ってメッセージを交換するために、クライアント及びラディウスサーバーを含む。

本発明の好ましい実施形態によると、前記ユーザーをローカルに認証するために前記プロキシサーバーによって送信される前記認証データ要求メッセージは、チャレンジメッセージであり、前記プロキシサーバーは、前記チャレンジメッセージに挿入される乱数を生成するための手段と、前記ユーザー端末から受信した前記チャレンジメッセージへの応答を確認するための手段とを具備する。

本発明の好ましい実施形態によると、前記プロキシサーバーは、前記ユーザーの前記ローカル及び遠隔認証の結果に基づき前記ユーザーに割当てるアクセス権限を決定するための手段を具備する。

本発明はまた、ＩＰゲートウェイによってアクセスネットワークに接続されるＩＰ伝送ネットワークを用いてＩＰサービス又はアクセスプロバイダにアクセスするために前記アクセスネットワークに接続されるユーザー端末を分析するためのプロキシサーバーであって、前記プロキシサーバーは、ＩＰ伝送ネットワークに接続され、アクセス要求で示される前記ＩＰサービス又はアクセスプロバイダの遠隔認証サーバーへ、前記ユーザー端末の要求に応じてアクセスサーバーによって送信されるラディウスプロトコルに従って、各ラディウスアクセス要求を再送信するための手段と、前記遠隔認証サーバーによって提供される認証応答を前記アクセスサーバーに再送信するための手段と、を具備するプロキシサーバーに関する。

本発明によると、前記プロキシサーバーはまた、前記アクセス要求を送信する前記ユーザーのローカル認証がローカルネットワークレベルで実行されなければならないか否かを、ユーザーの要求に応じてアクセスサーバーから受信されるラディウスアクセス要求毎に判断するための手段と、認証データを要求するメッセージを、ローカルに認証しなければならない前記ユーザー端末へ、前記アクセスサーバーを用いて送信し、かつそれに応じて、前記要求された認証データを含む応答メッセージを前記ユーザー端末から受信するための手段と、前記応答メッセージに含まれる認証情報に基づきローカルユーザー認証手続を実行する手段と、を具備する。

本発明はまた、ＩＰゲートウェイによってアクセスネットワークに接続されるＩＰ伝送ネットワークを用いてＩＰサービス又はアクセスプロバイダにアクセスするために前記アクセスネットワークに接続されるユーザー端末に権限を与えるように設計されるプロキシサーバーによって実行されることを目的としたコンピュータプログラムであって、前記プロキシサーバーは、前記ＩＰ伝送ネットワークに接続され、前記プログラムは、アクセス要求で示される前記ＩＰサービス又はアクセスプロバイダの遠隔認証サーバーへ、前記ユーザー端末の要求に応じてアクセスサーバーによって送信されるラディウスプロトコルに従って各ラディウスアクセス要求を再送信するための命令と、前記遠隔認証サーバーによって提供される認証応答を前記アクセスサーバーに再送信するための命令と、を具備するコンピュータプログラムに関する。

本発明によると、前記プログラムはまた、前記アクセス要求を送信する前記ユーザーのローカル認証がローカルネットワークレベル（１、２）で実行されなければならないか否かを、前記ユーザーの要求に応じて前記アクセスサーバー（９）から受信されるラディウスアクセス要求毎に判断するための命令と、認証データを要求するメッセージを、ローカルに認証しなければならない前記ユーザー端末へ、前記アクセスサーバーを用いて送信し、かつそれに応じて、前記要求された認証データを含む応答メッセージを前記ユーザー端末から受信するための命令と、前記応答メッセージに含まれる認証情報に基づきローカルユーザー認証手続を実行するための命令と、を具備する。

本発明の好ましい実施形態は、添付図面を参照して、限定されない実施例を通じて以下に説明される。

図１に示されるシステムは、ユーザー端末１１、１２、１３が接続されるアクセスネットワーク１、２を含む。これらのアクセスネットワーク１、２は、アクセスネットワークに適応する各ＩＰゲートウェイ３、４を用いてＩＰ伝送ネットワーク５へのアクセスを備える端末を提供する。ＩＰ伝送ネットワーク５は、ユーザーがインターネットアクセスプロバイダ６、７又はＩＰサービスプロバイダ８へアクセスできるようにする。

本発明によると、このシステムはまた、ＩＰネットワークへのアクセスを所望するユーザーが接続を必要とするローカルネットワーク１、２へそれぞれ接続されるアクセスサーバー９と、ＩＰ伝送ネットワーク５に接続される認証プロキシサーバー１０とを含み、各アクセスサーバー９は、端末１１、１２、１３によって送信されるアクセス要求を認証プロキシサーバー１０へ送信する。

各アクセスサーバー９は、対応するローカルネットワーク１、２上のユーザーによって送信されるサービス又はアクセスプロバイダ６、７、８へアクセスする全要求を受信するように、かつユーザー端末によって要求で示されるサービス又はアクセスプロバイダ６、７、８へＩＰ伝送ネットワークを介してゲートウェイ３、４を用いてこれらの要求を案内するように設計され、各サービス又はアクセスプロバイダは、認証サーバー１５を有する。

ユーザー端末１１、１２、１３がローカルネットワークにアクセスしようとする時、例えばインターネットナビゲーションソフトウェアは、アクセスサーバー９の機能を果たすウェブサーバーに自動的にリダイレクトされ、図２Ａ及び２Ｂに示されるアクセス認証手続を実行する。

この手続は、ラディウスプロトコルに適合する。故に、アクセスサーバー９は、ラディウスメッセージを受信できるようにするために、及びそれらに応答するためにラディウスクライアントを組込む。プロキシサーバー１０はまた、ラディウススタンダードで説明されるようなプロキシの全機能を有する。

認証手続の以下の説明を通して、使用されるラディウス要求又はメッセージ識別子が一例として仮定される。ラディウススタンダードにおいて、“type”という用語は、メッセージの種類を意味する。

第１ステップ２１で、アクセスサーバー９は、１２８に相当する識別子を具備するラディウスアクセス要求４１を、ローカル管理ドメインに設置される認証プロキシサーバー１０に送信する。ステップ２２でそのようなメッセージを受信すると、プロキシサーバー１０は、ユーザーがローカルに認証されなければならないか否かを決定する（ステップ２３）ためにこのメッセージのコンテンツを記憶及び分析する。

故に、例えばローカル認証は、アクセス要求が特定のローカルネットワークから到来する場合、即ち要求に含まれるユーザー識別情報に基づいて、開始されうる。

ユーザーがローカルに識別されなければならない場合、プロキシサーバー１０は、１２８に相当する識別子を具備する、ラディウスアクセスチャレンジタイプのラディウスアクセスチャレンジメッセージ４４を、ステップ２４でアクセスサーバー９に送信する。例えばこのメッセージはまた、プロキシサーバー１０によって、又は認証センターにしうる別個の装置によって不規則に生成される予測不可能値と、メッセージの発信源、即ちローカル管理ドメインを特定する属性とを含む。このために、“Vendor-Specific”属性、即ちラディウスプロトコルによって規定される“State”又は“Reply-Message”属性を使用することができる。

次のステップ２５で、アクセスサーバー９は、チャレンジメッセージ４４を受信し、メッセージの発信源を特定する属性を用いるメッセージの送信側を識別し、それにより、ローカル認証要求に対する応答をそれに提供するようユーザーに問合せる。この応答は、ユーザーに特有の秘密鍵を含む所定の暗号アルゴリズムを、チャレンジメッセージに含まれるランダム値に適用することによって得られる応答値を含むことができ、プロキシサーバーは、応答値がランダム値とユーザーの秘密鍵とに対応するか否かを判断するための手段を有する。

次のステップ２６で、アクセスサーバーは、４５に相当する識別子を含むラディウスアクセス要求タイプのローカル認証要求に対する応答を含む新規アクセス要求４６をプロキシサーバー１０に送信する。

次のステップ２７で、プロキシサーバー１０は、ユーザーによって提供されるローカル認証に対する応答をアクセスサーバーから受信し、それを確認し、そしてそれを記憶する。次のステップ２８で応答が無効（ローカル認証が失敗）の場合、プロキシサーバーは、ステップ２４から開始する手続を反復することによって他の認証の試みを行うことができる。ローカルユーザー認証が所定回数の試みの後に成功しない場合、プロキシサーバー１０は、ローカル管理規定に依存して、アクセスサーバー９を用いてラディウスアクセス拒否メッセージをユーザーに送信し、即ちユーザーがアクセスを所望するサービス又はアクセスプロバイダによって実施される遠隔認証サーバー１５によってユーザーが認証されうるようにステップ３０で手続を継続する。

ステップ２３で、ユーザーがローカルに認証される必要がない場合、手続はまた、ステップ３０で継続される。このステップで、サーバー１５がラディウスサーバーである場合、プロキシサーバー１０は、３１に相当する識別子を含むラディウスアクセス要求タイプのアクセス要求５０を、ユーザーが認証を所望する遠隔認証サーバー１５に送信する。このメッセージは、ステップ２２でプロキシサーバー１０によって記憶されるアクセス要求４１に含まれる情報からなる。

次のステップ３１で、遠隔認証サーバー１５は、ユーザーによって要求されるサービスにアクセスする権限を決定するためにこのメッセージを受信及び分析する。

次のステップ３２で、認証サーバーは、受信したメッセージ５０に含まれる認証情報に依存して、承認、拒否、又はチャレンジメッセージにしうる応答メッセージ５２を送信する。故に、ラディウスプロトコルに従って、メッセージ５２は、Access−Accept、Access−Reject、又はAccess−Challengeタイプにでき、受信したメッセージ５０の識別子に対応する３１に相当する識別子を含む。

手続の次のステップは、２つの条件、即ちユーザーのローカル認証が以前に要求されたか否か、及びローカル認証が要求された場合、それが成功又は失敗したか否かに依存する（ステップ３３）。

認証が以前に要求されなかった場合、メッセージ５２を受信するプロキシサーバー１０は、ステップ３４でこのメッセージを処理し、アクセスサーバー９にメッセージ５４を送信する。このメッセージ５４は、アクセスサーバーによってステップ２１で送信されるメッセージ４１への応答に対応する。例えばこれらのメッセージは、識別子１２８を具備する（図２Ｂのケースａ）。故に、遠隔認証サーバー１５によって送信されるメッセージ５２が承認メッセージ（Radius Access−Accept）である場合、プロキシサーバー１０は、承認メッセージ（Radius Access−Accept）をアクセスサーバー９に送信する。遠隔認証サーバー１５によって送信されるメッセージ５２が拒否メッセージ（Radius Access−Reject）である場合、プロキシサーバー１０は、プロキシサーバーのローカル規則に依存して、拒否メッセージ（Radius Access−Reject）又は承認メッセージをアクセスサーバー９に送信する。遠隔認証サーバー１５によるユーザー認証が失敗した場合、即ちそれがさらに認証情報を必要とするか又は動的認証機構を適用したい場合、メッセージ５２はまた、チャレンジメッセージにすることができる。この場合、アクセスサーバーに送信されるメッセージ５４は、チャレンジメッセージ（Radius Access−Challenge）である。

ステップ３５でメッセージ５４を受信すると、アクセスサーバーは、メッセージのコンテンツを分析し、それが承認又は拒否メッセージである場合、認証手続が終了し、アクセスサーバーは、プロキシサーバーの応答に従って、ローカルネットワーク１、２及びＩＰネットワーク５へのユーザーアクセスを設定する。メッセージ５４がチャレンジメッセージである場合、アクセスサーバーは、遠隔管理ドメインの認証要求に対する応答を提供するようにステップ３６でユーザーに問合せる。次のステップ３７で、アクセスサーバーは、ユーザー応答を含むアクセス要求５７を構成し、プロキシサーバー１０にそれを送信する。このアクセス要求は、１０に相当する識別子を備えるラディウスアクセス要求メッセージである（図２Ｂのケースｂ）。

次のステップ３８で、プロキシサーバーは、メッセージ５７を受信し、２４に相当する識別子を備えるアクセス要求タイプのラディウスメッセージの形式で、要求メッセージ５８において遠隔認証サーバー１５にそれを再送信する（図２Ｂのケースｃ）。次のステップ３９で、サーバー１５は、メッセージ５８のコンテンツを受信及び分析し、次のステップ４０で、コンテンツがサーバー１５によって実行される認証の成功に依存する応答メッセージ６０を送信する。このメッセージは、識別子２４を保持する（図２Ｂのケースｄ）。故に、メッセージ６０は、承認メッセージ（Radius Access−Accept）、拒否メッセージ（Radius Access−Reject）、又は新規チャレンジメッセージ（Radius Access−Challenge）にすることができる。

認証手続はその後、ステップ３４から開始して反復され、プロキシサーバー１０は、受信したメッセージ６０を処理し、メッセージ５４の形式でアクセスサーバーに再送信する。２４に相当する受信したメッセージ６０の識別子は、アクセスサーバーによって送信されるその５７に対応するように１０に置換される（図２Ｂのケースｅ）。

アクセスサーバー９に送信されるメッセージ５４が承認又は拒否メッセージであり、遠隔認証サーバー１５によって実行される認証の結果を含む（ローカル認証がない）場合、認証手続は、ステップ３５で終了する。対照的に、メッセージ５４が新規チャレンジメッセージである場合、手続は、ステップ３６で継続される。

ステップ３３で、ローカル認証が要求及び成功した場合、ステップ３４〜４０を含む手続がまた実行されるが、メッセージは、異なる識別番号を含んでいる（メッセージは、図２Ｂのケースａ１からｅ１に対応する）。故に、識別子３１を含むメッセージ５２は、識別子４５とローカル識別の結果とを含むメッセージ５４に、プロキシサーバーによってステップ３４で変換される。ステップ３７で、メッセージ５７の識別子４５は、２０になる。次のステップ３８で、メッセージ５８の識別子２０は、４８になる。ステップ４０で、識別子４８は、不変である。次のステップ３４で、メッセージの識別子４８は、２０になる。

アクセスサーバー９に送信されるメッセージ５４が、ローカル（Successful）及び遠隔認証の結果を特定する属性を含む承認又は拒否タイプである場合、認証手続は、ステップ３５で終了する。対照的に、メッセージ５４が新規チャレンジメッセージである場合、手続は、ステップ３６で継続される。

認証手続の終了で、遠隔認証が成功だった場合、メッセージ５４は、認証メッセージであり、それが失敗した場合、このメッセージは、ローカル管理規定に依存して承認又は拒否メッセージにすることができる。

ステップ３３で、ローカル認証が要求及び失敗した場合、異なる識別番号を含むメッセージ（図２Ｂのケースａ２からｅ２に対応するメッセージ）で、ステップ３４から４０からなる手続はまた実行される。故に、識別子３１を含むメッセージ５２は、識別子４５とローカル識別の結果とを含むメッセージ５４に、プロキシサーバーによってステップ３４で変換される。ステップ３７で、メッセージ５７の識別子４５は、３０になる。次のステップ３８で、メッセージ５８の識別子３０は、９６になる。ステップ４０で、識別子９６は、不変である。次のステップ３４で、メッセージの識別子９６は、３０になる。

アクセスサーバー９に送信されるメッセージ５４が、ローカル（failure）及び遠隔認証の結果を特定する属性を含む承認又は拒否タイプである場合、認証手続は、ステップ３５で終了する。対照的に、メッセージ５４が新規チャレンジメッセージである場合、手続は、ステップ３６で継続される。

認証手続の終了で、アクセスサーバー９に送信されるメッセージ５４は、ローカル管理規定に依存して（ローカル及び遠隔認証が失敗でも）承認タイプ又は拒否タイプにすることができる。

認証手続の結果に依存して、アクセスサーバー９はその後、ユーザーアクセスを適切に設定し、ユーザーが許容される接続タイプをユーザーに知らせることができる。

これらの条件により、ローカル及び遠隔ユーザー認証手続は、全体的に独立している。故に、各管理ドメインは、認証手続を課すか、又は課さないか完全に自由である。

本発明の実施形態において、プロトコルで規定されるラディウスメッセージに関する２つの“Vendor Specific”属性が使用される。“Local_Challenge”と呼ばれるこれら２つの属性のうち最初の属性は、アクセスサーバー９へプロキシサーバー１０によって送信されるチャレンジメッセージに含まれる。この属性は、それがメッセージの発信源であるか否かをアクセスサーバーに示すのに用いられる。この属性が存在するか否かに依存して、アクセスサーバーは、チャレンジメッセージに対する適切な応答を得るのにローカル又は遠隔認証が必要か否かをユーザーに指定する。

“Auth_Status”と呼ばれる第２の属性は、ユーザー認証手続を終了するために、及びローカル及び遠隔認証結果をアクセスサーバーに示すためにプロキシサーバーによって送信される承認メッセージに含まれる。

この手続は、ＷＬＡＮタイプのオープンローカルネットワーク、例えばＷｉ−Ｆｉを用いてインターネットにアクセスするのに最適であり、アクセスは、その所有者によって制御される。このローカルネットワークは、例えばローカルネットワークがプラン、役立つアドレスのリスト、及びその他にアクセス可能な場所で、情報提供サービス等のローカルサービスを提供することができる。インターネットにアクセスするために、このローカルネットワークに接続するユーザーはまた、それらのアクセスプロバイダからアクセスを要求しなければならない。

端末を備えるユーザーがローカルＷＬＡＮネットワークのサービスエリアの領域にあって、ナビゲーションソフトウェアを起動する時、それは、ローカルアクセスネットワーク９のウェブサーバーに自動的にリダイレクトされる。ウェブサーバーのウェルカム画面において、ユーザーは、ローカルネットワークにアクセスするための識別子及びパスワードを持っている場合、入力するように問合される。ユーザーがインターネットにアクセスしたい場合、リストからアクセスプロバイダを選択し、その後選択されたアクセスプロバイダに対応するアクセス識別子及びアクセスパスワードを入力しなければならない。

ユーザーによって入力される情報は、ローカルネットワークのプロキシサーバー１０へアクセスサーバー９によって送信される。

ユーザーがローカルネットワークにアクセスするための識別子及びパスワードを入力した場合、ローカルネットワークのプロキシサーバー１０は、ローカル識別手続を開始し、この認証の結果を記憶する。そしてそれは、ユーザーによって選択されるアクセスプロバイダの認証サーバー１５からユーザーの認証のための手続を開始する。

ローカル及び遠隔認証の結果に従って、プロキシサーバーは、ローカル及び遠隔認証が両方とも失敗した場合に承認メッセージ又は拒否メッセージを送信する。後者の場合、アクセスサーバーは、ユーザーがローカル又は遠隔サービスにアクセスするのを承認しない。

ユーザーがローカルのみに、又はアクセスプロバイダのみによって認証された場合、アクセスサーバーは、対応するサービスのみへのアクセスをユーザーに与える。両方の認証が成功だった場合、アクセスサーバーは、ローカル及び遠隔サービスの両方へのアクセスをユーザーに提供する。

同様に、ユーザーがローカル認証を要求しなかった場合、遠隔認証のみ実行され、これが成功する場合、アクセスサーバーは、インターネットへのユーザーアクセスを設定する。

ローカルネットワークにおいてユーザーに割当てられるサービス品質ＱｏＳはまた、ローカル認証の結果に従ってアクセスサーバー９によって調整することができる。

図１は、本発明による、ＩＰ伝送に基づきサービスを提供するためのシステムのアーキテクチャを図式的に示す図である。 図２Ａは、本発明の方法に従って、図１に示されるシステムで実行されるステップ順序を示す図である。 図２Ｂは、本発明の方法に従って、図１に示されるシステムで実行されるステップ順序を示す図である。

符号の説明

１ ローカルアクセスネットワーク
３ ゲートウェイ
５ ＩＰ伝送ネットワーク
９ アクセスサーバー
１０ 認証サーバー

Claims (11)

1. ＩＰ伝送ネットワーク（５）に対する、アクセスネットワーク（１、２）に接続されるユーザー端末のアクセスの認証を管理するための方法であって、
   前記ＩＰ伝送ネットワークに接続されるプロキシサーバー（１０）は、
   前記アクセスネットワークのアクセスサーバー（９）によって前記端末の要求に応じて送信されたアクセス要求で示されるＩＰサービス又はアクセス（６、７、８）プロバイダの遠隔認証サーバー（１５）へ、ラディウスプロトコルに従ってラディウスアクセス要求（５０、５８）を送信する段階と、
   前記遠隔認証サーバー（１５）によって提供されるユーザーの認証応答を前記アクセスサーバーに送信する段階と、を実行し、
   前記プロキシサーバー（１０）はまた、
   前記ユーザーのローカル認証が前記アクセスネットワーク（１、２）のレベルで実行されなければならないか否かを、前記端末の要求に応じて前記アクセスサーバー（９）から受信した前記ラディウスアクセス要求に対して判断する段階と、
   前記ユーザーのローカル認証が実行されなければならない場合、認証データを要求するメッセージを、前記端末へ前記アクセスサーバーを用いて送信する段階と、
   前記要求された認証データを含む前記端末からの応答メッセージを受信すると、前記受信した認証データに基づき、ローカルユーザー認証手続を実行する段階と
   を実行することを特徴とする方法。
2. 前記ユーザー端末（１１、１２、１３）へ前記プロキシサーバー（１０）によって送信される前記認証データ要求は、ローカルユーザー認証が実行されなければならない場合、乱数を含むチャレンジメッセージであることを特徴とする請求項１に記載の方法。
3. 前記チャレンジメッセージは、ユーザー端末が、それがローカルユーザー認証に関係するか否かを判断できるようにする指示子を含むことを特徴とする請求項２に記載の方法。
4. 前記プロキシサーバー（１０）は、前記ローカルユーザー認証の結果と前記遠隔認証サーバーによって提供される前記認証応答とに基づき前記ユーザーに割当てるアクセス権限を決定することを特徴とする請求項１から３のうち１項に記載の方法。
5. ＩＰ伝送ネットワーク（５）を用いてＩＰサービス又はアクセスプロバイダ（６、７、８）にユーザー端末によってアクセスを試みる間にユーザーの認証を管理するためのシステムであって、
   前記ユーザー端末が接続される少なくとも１つのアクセスネットワーク（１、２）と、
   前記アクセスネットワーク（１、２）と前記ＩＰ伝送ネットワーク（５）との間で、接続をそれぞれ確実にする少なくとも１つのＩＰゲートウェイ（３、４）と、
   前記端末の要求に応じて、ラディウスプロトコルに従ってラディウスアクセス要求を送信するように設計される、前記アクセスネットワークの少なくとも１つのアクセスサーバー（９）と、
   遠隔認証サーバーによって受信されるアクセス要求（５０、５８）に含まれる認証データに基づき前記ユーザーを認証するように設計される前記ＩＰサービス又はアクセスプロバイダ（６、７、８）に関連付けられる少なくとも１つの遠隔認証サーバー（１５）と、
   前記アクセス要求で示される前記ＩＰサービス又はアクセスプロバイダの前記遠隔認証サーバー（１５）へ、前記端末の要求に応じて前記アクセスサーバー（９）によって送信される前記ラディウスアクセス要求を再送信するように、かつ前記遠隔認証サーバー（１５）によって提供される前記ユーザーの認証応答を前記アクセスサーバーに再送信するように設計され、前記ＩＰ伝送ネットワークに接続されるプロキシサーバー（１０）と、を具備し、
   前記プロキシサーバー（１０）は、
   前記ユーザーのローカル認証が、アクセスネットワークレベル（１、２）で実行されなければならないか否かを、ユーザー要求に応じて前記アクセスサーバー（９）から受信する前記ラディウスアクセス要求毎に判断するための手段と、
   前記ユーザーの前記ローカル認証が実行されなければならない場合にアクティブにされ、認証データを要求するメッセージを前記端末へ前記アクセスサーバーを用いて送信するための手段と、
   前記要求された認証データを含む前記端末からの応答メッセージの受信に応じてアクティブにされ、前記受信した認証情報に基づきローカルユーザー認証手続を実行するための手段と
   を具備することを特徴とするシステム。
6. 前記プロキシサーバー（１０）はまた、前記認証サーバー（１５）によって提供されるローカルユーザー認証結果と前記ユーザーの認証応答とに基づき、全認証結果を判断し、かつ前記アクセスサーバー（９）へ前記全認証結果を再送信するための手段を具備することを特徴とする請求項５に記載のシステム。
7. 各アクセスサーバー（９）は、ラディウスクライアントを含み、前記プロキシサーバーは、前記ラディウスプロトコルに従ってメッセージを交換するために、クライアント及びラディウスサーバーを含むことを特徴とする請求項５又は６に記載のシステム。
8. 前記ユーザーをローカルに認証するために前記プロキシサーバー（１０）によって送信される前記認証データ要求メッセージは、チャレンジメッセージであり、前記プロキシサーバーは、前記チャレンジメッセージに挿入される乱数を生成するための手段と、前記ユーザー端末から受信した前記チャレンジメッセージへの応答を確認するための手段とを具備することを特徴とする請求項５から７のうち１項に記載のシステム。
9. 前記プロキシサーバー（１０）は、全認証結果に基づき前記ユーザーに割当てるアクセス権限を決定するための手段を具備することを特徴とする請求項６から８のうち１項に記載のシステム。
10. ＩＰ伝送ネットワーク（５）に対して、アクセスネットワーク（１、２）に接続されるユーザー端末のアクセスの認証を管理するためのプロキシサーバー（１０）であって、
    前記プロキシサーバー（１０）は、前記ＩＰ伝送ネットワークに接続され、
    前記アクセスネットワークのアクセスサーバー（９）によって前記端末の要求に応じて送信されたアクセス要求で示されるＩＰサービス又はアクセスプロバイダ（６、７、８）の遠隔認証サーバー（１５）へ、ラディウスプロトコルに従ってラディウスアクセス要求（５０、５８）を送信するための手段と、
    前記遠隔認証サーバー（１５）によって提供される前記ユーザーの認証応答を前記アクセスサーバーに送信するための手段と、を具備し、
    前記プロキシサーバー（１０）はまた、
    前記ユーザーのローカル認証がアクセスネットワークレベル（１、２）で実行されなければならないか否かを、前記端末の要求に応じて前記アクセスサーバー（９）から受信した前記ラディウスアクセス要求に対して判断するための手段と、
    前記ユーザーのローカル認証が実行されなければならない場合、認証データを要求するメッセージを、前記端末へ前記アクセスサーバーを用いて送信するための手段と、
    前記要求された認証データを含む前記端末からの応答メッセージの受信に応じてアクティブにされ、前記受信した認証情報に基づき、ローカルユーザー認証手続を実行するための手段と
    を具備することを特徴とするプロキシサーバー。
11. プログラムがコンピュータ上で動く時、請求項１から４の何れか１項による前記ユーザー端末のアクセスの認証を管理するための方法の段階を実行するためのプログラムコード命令を含むコンピュータプログラム。

Images