JP4768547B2 - 通信装置の認証システム - Google Patents

Description

本発明は、通信装置の認証システムに関し、特に、インターネット等、外部のネットワークへ送信する通信装置を認証し、外部のネットワークと通信することができる通信装置を認証に成功した通信端末に制限し、正当な通信装置に成りすました通信端末の通信を防ぐ認証システムに関する。

インターネットなどの通信において、正当な通信装置が通信を行っている通信経路を不正通信装置に利用されることにより、不正通信装置による不正なアクセスが行われ、正当な通信装置の通信経路の乗っ取りや、ＷｅｂサーバやＦＴＰサーバ、メールサーバなどのインターネット上の各種サーバに対して大量の（無意味な）サービス接続要求を送り付けなどにより、サーバの負荷を高めてサーバをダウンさせたり、ほかの正当なユーザへのサービスを妨げたりするＤｏＳ（Denial of service）攻撃などの様々な問題が引き起こされている。

このため、許可された通信装置のみがインターネットなどのネットワークを介した通信を行うことができ、許可されていない通信装置はネットワークを介した通信を行うことができないようにするためのシステムとして、現在、一般的にはＩＥＥＥ８０２．１ｘやＭＡＣ／ＩＰアドレスフィルタリングなどの技術が利用されている。

しかし、ＩＥＥＥ８０２．１ｘは、ネットワーク側の装置において、認証に成功した通信装置の物理ポートやＭＡＣアドレスのみを管理し、ポートの開閉を行うことで、認証に成功した通信装置が接続されている物理ポートや、認証に成功した通信装置のＭＡＣアドレスによる通信のみを疎通させる方式であり、ＭＡＣ／ＩＰフィルタリングは、ネットワーク側の装置において、登録されているＭＡＣ／ＩＰアドレスを管理し、ＭＡＣ／ＩＰアドレスを基にフィルタリングを行うことで、登録されているＭＡＣ／ＩＰアドレスによる通信のみを、インターネットなどのネットワーク側に対して疎通させる方式であるため、例えば、不正な通信装置がＭＡＣ／ＩＰアドレスを詐称し、正当な通信装置に成りすました場合、ネットワーク側への通信が可能となってしまう。

以上のことから、認証された正当な通信装置のみにインターネットなどのネットワークを介する通信を許可し、認証されていない不正な通信装置にはネットワークを介する通信を許可しないようにすることは、ＩＥＥＥ８０２．１ｘやＭＡＣ／ＩＰフィルタリングの技術だけでは難しい。

ＩＥＥＥ８０２．１ｘによる認証については下記の特許文献１〜３等に記載されている。下記の特許文献１には、Ｒａｄｉｕｓクライアントから送信される認証パケットのヘッダ情報を解析し、予め設定されたフォワーディングポートに応じて、認証パケットの宛先ＭＡＣアドレスをマルチキャストアドレス、サプリカント又はＲａｄｉｕｓクライアントのＭＡＣアドレス、ブロードキャストアドレスに書き換える手段を備えたネットワーク機器について記載されている。

また、特許文献２には、自通信装置が属するグループネットワークとの接続を行う通信装置と地域網管理サーバとは、各通信装置のＭＡＣアドレスをキーとする事前共有鍵を共有し、通信装置が地域ネットワークを介してグループネットワークとの通信を開始する際、事前共有鍵によってセキュリティが確保された地域網管理サーバとの接続を中継して、通信装置と認証サーバとの間で通信を行い、認証に成功した場合、地域網管理サーバは、新たな主通信鍵を通信装置と宅側エッジスイッチとに設定するネットワーク管理サーバ、通信装置、エッジスイッチ装置等について記載されている。

また、特許文献３には、予め各ユーザとＩＳＰとの関係を示すテーブルを保存し、ユーザ通信装置から所定のＩＳＰに対する接続要求を受けると、ユーザ通信装置との間でＩＥＥＥ８０２．１ｘに基づく認証を行い、認証が成立した際に、ＩＳＰから送付されるＩＰアドレスを記憶し、ユーザ通信装置からのＩＰアドレス要求に応答して該ＩＰアドレスをユーザ通信装置に対して送信するインターネット中継装置について記載されている。
特開２００６−６７０５７号公報 特開２００４−２６６５１６号公報 特開２００３−２２４５７７号公報

前述したように、認証により許可された正当な通信装置のみをインターネットなどのネットワーク側と通信可能とし、許可されていない不正通信装置をインターネットなどのネットワーク側との通信を不可能にするシステムにおいて、従来ではスイッチなどの認証装置にＩＥＥＥ８０２．１ｘやＭＡＣ／ＩＰフィルタリング技術を適用することで上記の機能を実現していたが、この場合、不正通信装置がＭＡＣアドレスやＩＰアドレスなどを詐称し、許可された通信装置に成りすましてインターネットなどのネットワーク側と通信することができた。

本発明は、許可された通信装置に不正通信装置が成りすました場合においても、不正通信装置をインターネットなどのネットワーク側と通信することができないようにし、許可された正当な通信装置のみインターネットなどのネットワーク側との通信を可能にすることを目的とする。

（１）本発明の通信装置の認証システムは、図２等に示すように、通信装置１０２において、認証装置１０１による認証成立の通知を受けると、自装置のＭＡＣアドレス又はＩＰアドレスについてのアドレス解決を求めるネットワークアドレス確認パケット２０１を送信し、該ネットワークアドレス確認パケット２０１に対する応答パケット２０２を受信したとき、自装置に成りすました不正な通信装置１０５の存在を検出する不正端末検出部１０３を備えたことを特徴とする。

（２）また、図５等に示すように、認証装置１０１は、通信装置１０２の正当性を認証すると、該通信装置１０２のＭＡＣアドレス又はＩＰアドレスについてのアドレス解決を求めるネットワークアドレス確認パケット５０１を送信し、該ネットワークアドレス確認パケット５０１に対する応答パケット５０２，５０３を複数受信したとき、通信装置１０２に成りすました不正な通信装置１０５の存在を検出する不正端末検出部４０１を備えたことを特徴とする。

（３）また、図６等に示すように、認証装置１０１は、通信装置１０２の正当性を認証すると、該通信装置１０２に対して、ネットワーク接続状態を確認するための接続確認パケット６０１を送信し、該接続確認パケット６０１に対する応答パケット６０２，６０３を複数受信したとき、通信装置１０２に成りすました不正な通信装置１０５の存在を検出する不正端末検出部４０１を備えたことを特徴とする。

（４）また、図７等に示すように、通信装置１０２は、不正な通信装置１０５の存在を検出すると、認証装置１０１へ接続解除パケット７０２を送信し、認証装置１０１は、前記接続解除パケット７０２を受信すると、通信装置１０２の認証状態を認証不成立の状態に変更し、該通信装置１０２及び不正な通信装置１０５のインターネット側への通信経路を遮断することを特徴とする。

（５）また、図８等に示すように、認証装置１０１は、不正な通信装置１０５の存在を検出すると、通信装置１０２の認証状態を認証不成立の状態に変更し、通信装置１０２及び不正な通信装置１０５のインターネット側への通信経路を遮断し、通信装置１０２へ不正検出通知パケット８０１を送信することを特徴とする。

（６）また、認証装置１０１は、前記接続確認パケットを定期的に送信し、該接続確認パケットに対する応答パケットの受信結果に基づいて、前記通信装置１０２に成りすました不正な通信装置１０５の存在を検出することを特徴とする。

（７）また、図１０等に示すように、認証装置１０１は、通信装置１０２に対して付与した認証ＩＤを接続確認パケットに格納して通信装置へ送信し、該接続確認パケットを受信した通信装置１０２は、認証時に配布された認証ＩＤと該接続確認パケットに格納された認証ＩＤとを比較し、それらの認証ＩＤの一致検出により自装置宛の接続確認パケットと判断し、認証時に配布された認証ＩＤを格納した接続確認応答パケットを認証装置１０１へ送信し、認証装置１０１は、正当な認証ＩＤが格納された接続確認応答パケットを受信することで、通信装置１０２の正当性及び接続状態を確認し、異なる認証ＩＤが付された接続確認応答パケットが返送された場合、認証ＩＤの無い接続確認応答パケットが返送された場合、又は接続確認応答パケットが認証装置まで到達しない場合に、通信装置１０２の認証状態を認証不成立の状態に変更すると共に、認証ＩＤを削除することを特徴とする。

（８）また、図１１等に示すように、通信装置１０２は、認証装置１０１による認証成立の通知を受けた後、データ通信開始時に認証情報を含む通信要求パケットを送信し、前記認証装置１０１は、前記通信要求パケットの認証を行い、該通信要求パケットの正当性を確認したとき、その後一定時間、前記通信装置１０２からのデータ通信の正当性を保証することを特徴とする。

（９）また、図１２等に示すように、通信装置１０２は、認証装置１０１による認証成立の通知を受けた後、データ通信開始時に認証情報を含む通信開始パケットを送信し、かつ、データ通信終了時に通信終了パケットを送信し、認証装置１０１は、前記通信開始パケットの送信から前記通信終了パケットの送信までの間に送信された通信装置１０２からのデータ通信の正当性を保証することを特徴とする。

（１０）また、図１７等に示すように、通信装置１０２は、認証装置１０１による認証成立の通知を受けた後、他の通信装置１３０３宛のパケット群及び該パケット群の認証情報を含む認証パケットを送信し、認証装置１０１は、通信装置１０２から前記パケット群及び認証パケットを受信し、該パケット群から抽出した情報と認証パケットの認証情報とを比較し、それらが一致したときにのみ、該パケット群を前記他の通信装置１３０３宛に送信し、前記パケット群からの抽出情報と認証パケットの認証情報とが一致しなかったとき、通信装置１０２の認証状態を認証不成立の状態に戻し、該通信装置１０２に対して不正なパケットを検出したことを通知することを特徴とする。

本発明によれば、ネットワークアドレス確認パケット又は接続確認パケットを送信し、それらのパケットに対して送信される応答パケットを受信し、該応答パケットを基に不正通信装置を検出することにより、正当な通信装置に成りすました不正通信装置の存在を認識することができる。また、成りすましによる通信装置の存在を検出した場合に、該通信装置の認証状態を不成立とすることにより、成りすましによる通信装置のインターネットなどのネットワーク側との通信を不能にすることができる。

更に、許可された正当な通信装置が通信を行う際に、該通信装置から送信するデータ通信のパケット群の認証情報を認証装置に通知し、認証装置で該パケット群の正当性を認証することにより、許可された正当な通信装置からのデータ通信を保証することが可能となる。

図１は本発明の第１の適用形態を示す。同図において、認証装置１０１はインターネット側の装置であり、通信装置１０２，１０４，１０５はＬＡＮ（Local Area Network）等により接続されたプライベート側の装置である。通信装置１０２は、インターネット通信を開始する前に認証装置１０１に対して認証要求を行い、認証装置１０１は、通信装置１０２からの例えばＩＤ及びパスワード等のチェックにより通信装置１０２の正当性を確認し、正当な通信装置であれば、ＩＰアドレスを払い出すなどしてインターネット側との通信を可能にする。

認証装置１０１は、内部に認証状態管理テーブル１０９を備え、認証を行った通信装置の認証状態を該認証状態管理テーブル１０９に保持し、該認証状態を基に通信許可／不許可の管理を行う。ここで、通信装置１０２の正当性が認証され、正常に認証が終了すると、認証状態管理テーブル１０９に、通信装置１０２の識別情報に対応させて認証成立を示す「済」の情報を認証状態として格納する。

通信装置１０２には不正端末検出部１０３を備え、該不正端末検出部１０３は、受信したパケットに書き込まれているアドレス情報をチェックし、送信先アドレス以外のアドレスとして、自装置のＭＡＣアドレス又はＩＰアドレスと同一のアドレスが書き込まれているパケットが受信されたことを検出すると、不正な通信装置が同一ネットワーク上に存在すると判定する。

通信装置１０２には、同一ネットワーク上の通信装置１０４からの送信パケット１０６及び通信装置１０２に成りすました不正な通信装置１０５からの不正パケット１０７、並びに認証装置１０１からの送信パケット１０８を受信する。そのうち、成りすましによる不正パケット１０７は、自装置のＭＡＣアドレス又はＩＰアドレスと同一の送信元アドレスを有することから、不正パケットであると判定し、同一ネットワーク上に不正な通信装置１０５が接続されていることを認識する。

図２は本発明の第２の適用形態を示す。なお、以下の適用形態の説明図において、図１の第１の適用形態における構成要素と同様の構成要素には同一の符号を付し、重複した説明は省略する。不正な通信装置１０５は、認証装置１０１に認証されていないが、ＭＡＣアドレス又はＩＰアドレスなどを詐称し、通信装置１０２に成りすまし、インターネット通信が可能な状態になっているものとする。

通信装置１０２は、認証装置１０１による認証に成功すると、不正端末検出部１０３により、同一ネットワーク上に不正通信装置が接続されていないかを確認するために、ネットワークアドレス確認パケット２０１を送信し、自装置のＭＡＣアドレス又はＩＰアドレスなどが詐称されていないかをチェックする。

ネットワークアドレス確認パケット２０１には、ＩＰアドレスを元にＭＡＣアドレスを求めるＡＲＰ（Address Resolution Protocol）パケット若しくはその逆にＭＡＣアドレスを元にＩＰアドレスを求めるＲＡＲＰ（Reverse Address Resolution Protocol）パケット、又はそれらと同様に、ＭＡＣアドレス又はＩＰアドレスについての問い合わせに対して、自装置のＭＡＣアドレス又はＩＰアドレスが一致する場合に応答を返すよう独自に定めたパケットを使用することができる。

通信装置１０２から、ネットワークアドレス確認パケット２０１を送信すると、認証装置１０１及び通信装置１０４は、それぞれ自装置のＩＰアドレス及びＭＡＣアドレスが、ネットワークアドレス確認パケット２０１で求められているアドレスと一致しないため何も応答を返さないが、不正な通信装置２０５はＩＰアドレス又はＭＡＣアドレスが一致するため、応答パケット２０２を返送する。

通信装置１０２の不正端末検出部１０３は、不正な通信装置１０５からの応答パケット２０２を受信すると、第１の適用形態と同様に、自装置のＭＡＣアドレス又はＩＰアドレスと同一のアドレスを有する通信装置１０５が同一ネットワーク上に接続されていることを認識する。

図３は本発明の第３の適用形態を示す。不正な通信装置１０５は認証装置１０１に認証されていないが、ＭＡＣアドレス、ＩＰアドレス及び通信プロトコルのセッションＩＤを詐称し、通信装置１０２に成りすまして通信が可能な状態になっているものとする。

通信装置１０２の不正端末検出部１０３は、通信装置１０４からの送信パケット１０６、不正な通信装置１０５からの不正パケット１０７及び認証装置１０１からの送信パケット１０８を受信すると、それらのパケットに自装置のＭＡＣアドレス、ＩＰアドレス及び自装置に割り当てられた通信プロトコルのセッションＩＤが含まれていないかをチェックするととにより不正パケット３０７を検出し、同一ネットワーク上に不正な通信装置１０５が接続されていることを認識する。

図４は本発明の第４の適用形態を示す。第４の適用形態では、認証装置１０１に不正端末検出部４０１を備え、不正端末検出部４０１は、受信したパケットを確認し、通信装置１０２からの送信パケット４０２、通信装置１０４からの送信パケット１０６、不正な通信装置１０５からの不正パケット１０７を受信し、以下に述べる手法で不正パケット１０７を検出し、同一ネットワーク上に不正な通信装置１０５が接続されていることを検出する。

図５は本発明の第５の適用形態を示す。認証装置１０１の不正端末検出部４０１は、通信装置の認証が成功すると、同一ネットワーク上に不正通信装置が接続されていないかを確認するために、認証状態管理テーブル１０９によって管理している通信装置の認証状態が「済」である通信装置のＭＡＣアドレス又はＩＰアドレスなどを詐称した不正通信装置が接続されていないかを、ネットワークアドレス確認パケット５０１を送信することで確認する。

ネットワークアドレス確認パケット５０１には、ＡＲＰパケット若しくはＲＡＲＰパケット又はＭＡＣアドレス又はＩＰアドレスについての問い合わせに対して自装置のＭＡＣアドレス又はＩＰアドレスが一致する場合に応答を返すよう独自に定めたパケットを使用することができる。

この場合、ネットワークアドレス確認パケット５０１に対して、通信装置１０４は、ＭＡＣアドレス又はＩＰアドレスが一致しないため何も応答を返さないが、通信装置１０２及び不正な通信装置１０５は、ＭＡＣアドレス又はＩＰアドレスが一致するため、それぞれ応答パケット５０２，５０３を返送する。

認証装置１０１の不正端末検出部４０１は、通信装置１０２及び不正な通信装置１０５からの応答パケット５０２，５０３を受信すると、同一ネットワーク上に重複したＭＡＣアドレス又はＩＰアドレスを有する通信装置が存在すること、即ち、成りすましによる不正な通信装置１０５が接続されていることを認識する。

図６は本発明の第６の適用形態を示す。認証装置１０１の不正端末検出部４０１は、接続確認パケット６０１を定期的に送信し、ＭＡＣアドレス又はＩＰアドレスを詐称した不正通信装置が接続されていないかをチェックする。接続確認パケット６０１には、ＭＡＣ層であればＲＡＲＰパケット、ＩＰ層であればＩＣＭＰ（Internet Control Message Protocol）やＩＣＭＰｖ６など、ネットワーク機器間で互いの接続状態を確認するためのパケットを使用することができる。

この場合、通信装置１０４は接続確認パケット６０１に対して何も応答しないが、通信装置１０２及び不正な通信装置１０５は、それぞれ応答パケット６０２，６０３を送信する。認証装置１０１の不正端末検出部４０１は、通信装置１０２及び不正な通信装置１０５からの応答パケット６０２，６０３を受信すると、重複した応答パケットを受信したことで同一ネットワーク上に不正な通信装置１０５が接続されていることを認識する。

図７は本発明の第７の適用形態を示す。通信装置１０２は、第１〜第３の適用形態を用い、不正端末検出部１０３で同一ネットワークに不正な通信装置１０５が接続されていることを検出すると、不正な通信装置１０５による不正通信を防止するために、接続解除処理部７０１において接続解除パケット７０２を認証装置１０１へ送信する。

認証装置１０１は、接続解除パケット７０２を受信すると、認証状態管理テーブル１０９における通信装置１０２の認証状態を「済」から、認証不成立を示す「未」に変更し、不正な通信装置７０５によるインターネット側への通信経路を遮断する。

図８は本発明の第８の適用形態を示す。認証装置１０１は、第４〜第６の適用形態を用い、不正端末検出部４０１でネットワークに不正な通信装置１０５が接続されていることを認識すると、不正な通信装置１０５による不正通信を防止するために、認証状態管理テーブル１０９の通信装置１０２の認証状態を「済」から、認証不成立を示す「未」に変更し、通信装置１０２の通信に使用していた通信経路を遮断する。このとき、認証装置１０１は通信経路を遮断したことを通信装置１０２へ通知するために、不正検出通知パケット８０１を通信装置１０２に送信する。

図９は本発明の第９の適用形態を示す。認証装置１０１は、認証に成功した通信装置１０２の接続状態を確認するために、接続確認処理部９０１から接続確認パケット９０２を通信装置１０２に対して送信する。接続確認パケット９０２には、ＭＡＣ層であればＲＡＲＰパケット、ＩＰ層であればＩＣＭＰパケットやＩＣＭＰｖ６など、ネットワーク機器間で互いの接続状態を確認するためのパケットを使用する。

この場合、通信装置１０２は、受信した接続確認パケット９０２を接続確認処理部９０３にて処理し、応答パケット９０４を認証装置１０１に送信する。応答パケット９０４を受信した認証装置１０１は、接続確認処理部９０１において受信パケットの正当性を判断し、正当な場合は現在の通信経路を維持し、不正の場合は認証管理テーブル１０９の通信装置１０２の認証状態を「済」から認証不成立を示す「未」に変更し、通信装置１０２の通信に使用していた通信経路を遮断する。

また、接続確認パケット９０２に対して通信装置１０２からの応答が無い場合は、未接続と判断し、認証管理テーブル１０９における通信装置１０２の認証状態を「済」から「未」に変更し、通信装置１０２の通信に使用していた通信経路を遮断する。このとき、接続状態の確認は、１回の接続確認パケット９０２の送信に対する応答パケット９０４で判断しても良いが、誤動作に対する保護のために、複数回の接続確認パケット９０２の送信に対する応答パケット９０４を基に判断する構成とすることもできる。なお、接続状態の確認は定期的に行い、確認間隔はネットワークシステムに応じて変更する構成とすることができる。

図１０は本発明の第１０の適用形態を示す。認証装置１０１は、通信装置１０２の認証要求（１００１）のメッセージに対し認証を行い、認証が成功した場合、認証状態管理テーブル１０９の認証状態を「未」から「済」に変更すると共に、通信装置固有の認証ＩＤ（例えば“１０２”）を付与し、該認証ＩＤを通信装置１０２への認証応答（１００２）のメッセージと共に送付する。この認証ＩＤは装置毎に異なる値である。

第９の適用形態において、通信装置１０２の接続確認を行う場合、認証装置１０１は付与した認証ＩＤを格納した接続確認パケット９０２を通信装置１０２へ送信して接続確認要求（１００３）のメッセージを送付する。該接続確認要求（１００３）のメッセージを受けた通信装置１０２は、認証時に配布された認証ＩＤと接続確認パケット９０２に格納された認証ＩＤとを比較し、その一致により自装置宛の接続確認パケットと判断した場合、認証時に配布された認証ＩＤを格納した接続確認応答（１００４）のメッセージを認証装置１０１へ送信する。

認証装置１０１は、正式な認証ＩＤが格納された接続確認応答（１００４）のメッセージを受信することで、通信装置１０２の正当性及び接続状態を確認する。もし、認証ＩＤとして “１０２”を付した接続確認要求（１００５）のメッセージに対して、異なる認証ＩＤ（例えば“００１”）が付された接続確認応答（１００６）のメッセージが返送された場合や、認証ＩＤの無い接続確認応答（１００７）のメッセージが返送された場合や、接続確認応答（１００８）のメッセージが認証装置１０１まで到達しないなど、異常応答（１００９）の場合、未接続と判断し、認証状態管理テーブル１０９における通信装置１０２の認証状態を「済」から「未」へ変更すると共に、認証ＩＤも削除する。なお、認証ＩＤは装置毎に固定の値であってもよいし、乱数で決めた値でもよい。

図１１は本発明の第１１の適用形態を示す。認証装置１０１は、通信装置１０２に対して端末認証（１１０１）のメッセージを送信し、通信装置１０２の認証が成功した場合、認証状態管理テーブル１０９の認証状態を「未」から「済」に変更することで、通信装置１０２の外部ネットワークへの通信を許可する。

通信装置１０２は、データ通信開始時に認証情報を含む通信要求パケット（１１０２）を送信し、認証装置１０１は該通信要求パケット（１１０２）の認証を行うことで、その後の一定時間（Ｖａｌｉｄ ｔｉｍｅ）のデータ通信（１１０３）の正当性を保証する。なお、通信要求パケット（１１０２）には、デジタル署名やデジタル証明書などを使用する外に独自の認証データを含むパケットを使用することもできる。

認証装置１０１が受信した通信要求パケット（１１０２）を正当なパケットと判断し、通信装置１０２からの通信を許可した場合、或る一定時間（Ｖａｌｉｄ ｔｉｍｅ）はデータ通信（１１０３）を許可する。また、通信装置１０２が一定時間（Ｖａｌｉｄ ｔｉｍｅ）を超えてデータ通信（１１０５）を続けて行う場合は、認証装置１０１に通信要求パケット（１１０４）を再送信し、送信可能時間（Ｖａｌｉｄ ｔｉｍｅ）の更新を行い、データ通信（１１０５）を行う。

このため、不正な通信装置１０５が通信装置１０２に成りすましてデータ通信（１１０６）を行おうとしても、通信要求パケットを送信できない、又は通信要求パケットの認証に成功しないため、認証装置１０１は不正な端末１０５からのデータ通信（１１０６）を許可しない。なお、再び通信装置１０２が通信を開始するときは、通信要求パケット（１１０７）を送信してからデータ通信（１１０８）を行う。

図１２は本発明の第１２の適用形態を示す。認証装置１０１は、通信装置１０２に対して端末認証（１２０１）を行い、認証が成功した場合、認証状態管理テーブル１０９の認証状態を「未」から「済」に変更することで通信装置１０２の外部ネットワークへの通信を許可している。

通信装置１０２はデータ通信開始時に認証情報を含む通信開始パケット（１２０２）を送信し、かつ、データ通信終了時にも認証情報を含む通信終了パケット（１２０４）を送信し、認証装置１０１で認証を行うことで、その間のデータ通信（１２０３）の正当性を保証する。なお、通信開始パケット（１２０２）及び通信終了パケット（１２０４）にはデジタル署名やデジタル証明書などの外に独自フレームの外に独自の認証データを含むパケットを使用することができる。

認証装置１０１は、受信した通信開始パケット（１２０２）が正当なパケットであると判断することで通信を許可し、受信した通信終了パケット（１２０４）が正当なパケットと判断することで、以降の通信を拒否するように状態変化させ、通信開始パケット（１２０２）と通信終了パケット（１２０４）の期間（図１２中のＶａｌｉｄ ｔｉｍｅ）のみ、データ通信（１２０３）を可能にする。なお、通信終了パケット（１２０４）は、処理負荷を軽くするため、認証情報を含まずにデータ通信の終了を通知するだけのパケットを用いてもよい。

このため、不正な通信装置１０５が通信装置１０２に成りすましてデータ通信（１２０５）を行おうとしても、通信開始パケットを送信できない、又は通信開始パケットの認証に成功しないため、認証装置１０１は不正な端末１０５からのデータ通信（１２０５）を許可しない。なお、再び通信装置１０２が通信を開始するときは、通信開始パケット（１２０６）を送信してからデータ通信（１２０７）を行い、通信終了時には通信終了パケット（１２０８）を送信する。

図１３は本発明の第１３の適用形態を示す。通信装置１０２は通信装置１３０３と通信を行っており、通信装置１３０３宛のパケット群（１３０１）を送信する。認証パケット（１１０２）は通信装置１０２が送出したパケットで、送信するパケット群（１３０１）の認証情報を含んでいる。パケット群（１３０２）は認証装置１０１によって認証されたパケットで、通信装置１０２から通信装置１３０３へ送信されたパケットである。

認証装置１０１は通信装置１０２から認証パケット（１１０２）を受信すると、それに続くパケット群（１３０１）を受信し、パケット群（１３０１）から抽出した情報と認証パケット（１１０２）の認証情報とを比較して一致すれば、パケット群（１３０１）は通信装置１０２が送信した正当なパケットであると認識し、認証パケット（１１０２）を取り除いて通信装置１３０３へ送信する。

パケットの正当性の確認にはＣＲＣ（Cyclic Redundancy Check）符号を用いてもよい。また、通信装置１０２が送出したデータであることを証明するために、デジタル署名やデジタル証明書を用いてもよい。また、認証装置１０１の処理を簡素化するために、認証パケット（１１０２）に署名情報を含むパケットの個数やオクテット数の情報を含める構成とすることもできる。

図１４は本発明の第１４の適用形態を示す。１４０１は第１３の適用形態の通信装置であり、通常のデータ通信用パケットの他に認証用パケットを生成して送出する機能を有する。アプリケーションソフトウェア１４０２は、ネットワークを介して送信するデータが有れば、このデータをＴＣＰ／ＵＤＰ／ＩＰ処理部１４０３へ渡す。

ＴＣＰ／ＵＤＰ／ＩＰ処理部１４０３は、送信データをカプセル化し、アドレス付与の処理を行って署名情報処理部１４０４へ送信データをパケット化して渡す。署名情報処理部１４０４は、受け取ったパケットをパケットバッファ部１４０５に一旦保存し、受け取った複数のパケット情報より認証情報を抽出し、認証用パケットを生成する。署名情報処理部１４０４は、生成した認証パケットを通信処理部１４０６へ渡し、その後すぐに署名情報を抽出したパケット群を渡す。通信処理部１４０６では受け取ったパケットをそのまま通信路１４０７へ送出する。

パケットの正当性確認のために、認証パケットへ埋め込む情報としてＣＲＣ（Cyclic Redundancy Check）符号を用いてもよい。また、本発明の通信装置１４０１が送出したデータであることを証明するために、デジタル署名やデジタル証明書を付与してもよい。また、認証パケット受信側の処理を簡素化するために、認証パケットに署名情報を含むパケットの個数やオクテット数の情報を含める構成とすることができる。

図１５は本発明の第１５の適用形態を示す。通信装置１０２は、通信装置１３０３と通信を行っており、通信装置１３０３宛のパケット群（１３０１）を送信する。認証パケット（１１０２）は、通信装置１０２が送出したパケットで、送信されたパケット群（１３０１）の認証情報を含んでいる。パケット群（１３０２）は、認証装置１０１によって認証されたパケットで、通信装置１０２から通信装置１３０３へ送信されたパケットである。

認証装置１０１は、通信装置１０２から通常の送信データであるパケット群（１３０１）を受信すると、一旦、自装置のデータバッファに保存する。その後、通信装置１０２より認証パケット（１５０１）を受信すると、データバッファに保存していたパケット群（１３０１）から抽出した情報と、受信した認証パケット（１５０１）の認証情報とを比較して一致すれば、パケット群（１３０１）は通信装置１０２が送信した正当なパケットであると認識し、認証パケット（１５０１）を取り除いて通信装置１３０３へ送信する。

パケットの正当性の確認にはＣＲＣ（Cyclic Redundancy Check）符号を用いてもよい。また、通信装置１０２が送信したデータであることを証明するためにデジタル署名やデジタル証明書を用いてもよい。また、認証装置１０１の処理を簡素化するために、認証パケット１５０１に署名情報を含むパケットの個数やオクテット数の情報を含める構成とすることができる。

図１６は本発明の第１６の適用形態を示す。１６０１は第１５の形態の通信装置であり、通常のデータ通信用パケットの他に認証用パケットを生成して送出する。アプリケーションソフトウェア１４０２、ＴＣＰ／ＵＤＰ／ＩＰ処理部１４０３は、図１４で説明したものと同様のものである。

ＴＣＰ／ＵＤＰ／ＩＰ処理部１４０３は、パケット化した送信データを署名情報処理部１６０２へ渡す。署名情報処理部１６０２は、受け取ったパケット化送信データからリアルタイムに認証情報を抽出し、認証用パケットを生成する。アプリケーションソフトウェア１４０２が送信したデータを含むパケットは、そのまますぐに通信処理部１４０６へ渡され、その後、署名情報処理部１６０２からこれらパケットの認証情報を含む認証パケットが通信処理部１４０６に渡される。通信処理部１４０６では、受け取ったパケットをそのまま通信路１４０７へ送信する。

パケットの正当性確認のために、認証パケットへ埋め込む情報としてＣＲＣ（Cyclic Redundancy Check）符号を用いてもよい。また、本発明の通信装置１６０１が送信したデータであることを証明するために、デジタル署名やデジタル証明書を付与してもよい。また、認証パケット受信側の処理を簡素化するために、認証パケットに署名情報を含むパケットの個数やオクテット数の情報を含める構成としてもよい。

図１７は本発明の第１７の適用形態を示す。通信装置１０２は、通信開始前に認証要求を行い、認証装置１０１によって認証されて通信装置１３０３と通信を行っているものとする。認証装置１０１は、認証状態管理テーブル１０９により通信装置の認証状態の管理を行っており、今、通信装置１０２は正常に認証されたため、認証状態が「済」の状態となっている。

また、認証装置１０１は、通信装置１０２からのパケット群（１３０１）及び認証パケット（１５０１）を監視し、リアルタイムに通信装置１０２からのパケットの正当性を確認する。ここで、不正な通信装置１０５は、認証装置１０１に認証されていないが、ＭＡＣアドレス、ＩＰアドレス又は通信プロトコルのセッションＩＤ等を詐称し、通信装置１０２に成りすまして不正パケット（１０７）を送信したものとする。

認証装置１０１では、不正パケット（１０７）が混入したパケット群（１３０１）を受け取るが、認証パケット（１５０１）の認証情報とパケット群（１３０１）から抽出した情報が一致しないため、不正パケット（１０７）の混入を検出する。

不正パケットの混入、パケットの欠落又はパケットデータの欠落などにより、データパケットからの抽出情報と認証パケットの認証情報とが不一致となった場合、認証装置１０１は、認証状態管理テーブル１０９の認証状態を、認証不成立を示す「未」の状態に戻し、通信装置１０２に向けて不正検出通知パケット（８０１）を送信し、不正なパケットを検出したことを通知する。通信装置１０２はこれを受けて、再認証依頼、ＩＰアドレス等のネットワークアドレスやセッションＩＤの変更又は通信の停止を実行する。

本発明の第１の適用形態を示す図である。 本発明の第２の適用形態を示す図である。 本発明の第３の適用形態を示す図である。 本発明の第４の適用形態を示す図である。 本発明の第５の適用形態を示す図である。 本発明の第６の適用形態を示す図である。 本発明の第７の適用形態を示す図である。 本発明の第８の適用形態を示す図である。 本発明の第９の適用形態を示す図である。 本発明の第１０の適用形態を示す図である。 本発明の第１１の適用形態を示す図である。 本発明の第１２の適用形態を示す図である。 本発明の第１３の適用形態を示す図である。 本発明の第１４の適用形態を示す図である。 本発明の第１５の適用形態を示す図である。 本発明の第１６の適用形態を示す図である。 本発明の第１７の適用形態を示す図である。

符号の説明

１０１ 認証装置
１０２ 通信装置
１０３ 不正端末検出部
１０４ 通信装置
１０５ 不正な通信装置
１０６ 送信パケット
１０７ 不正パケット
１０８ 送信パケット
１０９ 認証状態管理テーブル
２０１ ネットワークアドレス確認パケット
２０２ 応答パケット

Claims (3)

1. ネットワークを介して認証装置と通信装置とが接続され、通信装置から認証装置に対して自装置の認証要求を行い、認証装置は該通信装置の正当性を認証し、正当な通信装置に対してインターネット通信を許可する認証システムにおいて、
   前記通信装置は、前記認証装置による認証成立の通知を受けると、自装置のＭＡＣアドレス又はＩＰアドレスについてのアドレス解決を求めるネットワークアドレス確認パケットを送信し、該ネットワークアドレス確認パケットに対する応答パケットを受信したとき、自装置に成りすました不正な通信装置の存在を検出する不正端末検出部を備え、
   前記通信装置は、不正な通信装置の存在を検出すると、前記認証装置へ接続解除パケットを送信し、
   前記認証装置は、前記接続解除パケットを受信すると、前記通信装置の認証状態を認証不成立の状態に変更し、前記通信装置及び不正な通信装置のインターネット側への通信経路を遮断することを特徴とする通信装置の認証システム。
2. ネットワークを介して認証装置と通信装置とが接続され、通信装置から認証装置に対して自装置の認証要求を行い、認証装置は該通信装置の正当性を認証し、正当な通信装置に対してインターネット通信を許可する認証システムにおいて、
   前記認証装置は、前記通信装置の正当性を認証すると、該通信装置のＭＡＣアドレス又はＩＰアドレスについてのアドレス解決を求めるネットワークアドレス確認パケットを送信し、該ネットワークアドレス確認パケットに対する応答パケットを複数受信したとき、前記通信装置に成りすました不正な通信装置の存在を検出する不正端末検出部を備え、
   前記認証装置は、不正な通信装置の存在を検出すると、前記通信装置の認証状態を認証不成立の状態に変更し、前記通信装置及び不正な通信装置のインターネット側への通信経路を遮断し、前記通信装置へ不正検出通知パケットを送信することを特徴とする通信装置の認証システム。
3. ネットワークを介して認証装置と通信装置とが接続され、通信装置から認証装置に対して自装置の認証要求を行い、認証装置は該通信装置の正当性を認証し、正当な通信装置に対してインターネット通信を許可する認証システムにおいて、
   前記認証装置は、前記通信装置の正当性を認証すると、該通信装置に対して、ネットワーク接続状態を確認するための接続確認パケットを送信し、
   前記接続確認パケットに対する応答パケットを複数受信したとき、前記通信装置に成りすました不正な通信装置の存在を検出する不正端末検出部を備え、
   前記認証装置は、不正な通信装置の存在を検出すると、前記通信装置の認証状態を認証不成立の状態に変更し、前記通信装置及び不正な通信装置のインターネット側への通信経路を遮断し、前記通信装置へ不正検出通知パケットを送信することを特徴とする通信装置の認証システム。

Images