JP4987006B2 - サービスへのアクセスを保留するための方法及び装置 - Google Patents

Description

本発明は、サービスへのアクセスを保留するための方法及び装置に関し、特に、無線ネットワーク環境におけるものに関する。

Ｂｌｕｅｔｏｏｔｈ標準がＢｌｕｅｔｏｏｔｈ ＳＩＧ（Bluetooth Special Interest Group）によって開発されている。その標準は、セキュリティについてのいくつかの態様、並びにその中での認証及び承認方法を規定する。

認証は、複数の装置（「リモート」装置）のうち１つの装置の同一性を他の装置によって検証するための２つの装置間の一般的な処理である。

リンク鍵が既に存在する場合、その処理は、乱数、秘密鍵、及び非開始装置（non-initiating device）のＢｌｕｅｔｏｏｔｈ装置アドレスを使用するチャレンジ／レスポンスメカニズムである。秘密鍵は、事前に交換されたリンク鍵であっても良い。

リンク鍵が存在しない場合、その処理には、装置のペアリング（pairing）を含まれる。ペアリングは、ＰＩＮと称される個人ＩＤ番号（personal identification number）に基づいて装置のペアを認証して、その後、共通リンク鍵を作成する処理である。その処理には、初期化鍵（initialization key）の作成、ペアでのみ使用される認証鍵である共通リンク鍵の作成及び交換、並びにチャレンジ／レスポンスメカニズムが含まれる。

Ｂｌｕｅｔｏｏｔｈの仕様は、承認も規定する。これは、Ｂｌｕｅｔｏｏｔｈ装置のユーザが特定のリモートＢｌｕｅｔｏｏｔｈ装置に特定のサービスへのアクセス権限を与える処理である。承認は、リモート装置の同一性が承認処理を介して検証されうるという意味を含む。その処理は、ユーザ確認、又は信頼関係の存在に基づいていても良い。

信頼関係の作成は、リモート装置が信頼された装置としてマークされる処理である。信頼することには、装置のペアを信頼された装置としてマークすることが含まれる。信頼のマーキングは、ユーザによって行われても、又はペアリングが成功した後に自動的に装置によって行われても良い。

非特許文献１は、詳しいセキュリティアーキテクチャを定義する。非特許文献１は、承認及び信頼された装置を紹介している。Ｂｌｕｅｔｏｏｔｈサービスへのアクセス権限は、承認処理（例えば、与えられたユーザインタラクションによるもの）の後にのみ与えられる。承認の後、その装置は信頼された装置となり、他の装置上のサービスにアクセスすることができる。

Bluetooth Security White Paper, version 1.00, Bluetooth Special Interest Group, 2004-04-19

Ｂｌｕｅｔｏｏｔｈセキュリティアーキテクチャでは、管理者がアクセス頻度の高い所定のユーザに対してサービスへのアクセスを一時的に拒否することはできない。例えば、Ｂｌｕｅｔｏｏｔｈ装置がアクセスポイントであり、そのアクセスポイントの所有者は頻繁に訪れてＢｌｕｅｔｏｏｔｈサービスを利用する隣人を持つ場合を考える。その隣人は、ＢｌｕｅｔｏｏｔｈアクセスポイントにアクセスするためのＰＩＮコードを知っている。そのアクセスポイントの所有者は、隣人がＢｌｕｅｔｏｏｔｈアクセスポイントに隣からアクセスしないことを確実にするために、絶えずＰＩＮコードを変更しなければならない。

本発明は、配備されたサービスへのアクセスを保留するための装置における方法、及び本発明の利点を有する装置に関する。詳しくは、これに限定するものではないが、無線ネットワークの分野に適用される。

この目的を達成するため、本発明は、装置１が有する少なくとも１つのサービスに無線局２がアクセスすることを可能にするための方法に関し、装置１において、
前記無線局２を認証するステップと、
少なくとも１つのサービスのうち１つにアクセスするために認証された前記無線局２を承認するステップと
を有する。

本発明によれば、前記方法は、前記局２の前記サービスへのアクセスを保留するステップと、前記保留された局の認証情報をメモリ３に保持するステップと、前記保留された局による前記サービスへのアクセス承認を更新するステップとを有する。

前記アクセス承認を更新するステップは、前記保留された局に対するユーザ確認を要求しないことが有利である。その後、ユーザは前記サービスにアクセスするために前記保留された局に対して個人識別番号（personal identification number）を入力する必要がない。

一実施形態によれば、前記保留するステップは、前記保留された局から前記サービスへアクセスする試みを拒否するステップを含む。

一実施形態によれば、前記方法はさらに、特に保留又は更新するステップを許可するために、前記メモリ（３）の前記局の状態を修正するステップを有する。

一実施形態によれば、前記保留及び更新するステップは、ユーザによりユーザインタフェース（７）を介して実行される。

これは、前記ユーザが前記局の状態並びに特に保留及び更新するステップを制御することを可能にする。

一実施形態によれば、前記無線ネットワークは、パーソナルエリアネットワークである。好ましくは、前記無線パーソナルエリアネットワークは、Ｂｌｕｅｔｏｏｔｈ標準に従う。

本発明はまた、無線通信手段５、メモリ３、及び少なくとも１つのサービスであって無線通信手段８を同様に備える少なくとも１つの局２によってアクセスされるサービスを有する装置１に関し、前記装置１は、
前記無線局（２）を認証する手段と、
少なくとも１つのサービスのうち１つにアクセスする認証された局を承認する手段と
を有する。

本発明によれば、前記装置は、
前記サービスにアクセスする前記承認された局を保留する手段と、
前記保留された局の認証情報を前記メモリ３に保持する手段と、
前記保留された局によるサービスへの前記アクセス承認を、前記局に対する何のユーザインタラクションも要求せずに更新する手段と
を備える。

一実施形態によれば、前記装置は、前記保留された局から前記サービスへアクセスする試みを拒否する手段を備える。

一実施形態によれば、前記メモリ３は前記局の状態を修正する手段を備える。

一実施形態によれば、前記装置はさらに、ユーザによるメモリ（３）へのアクセス及び前記局の状態の管理を可能にするユーザインタフェースを備える。前記ユーザインタフェースは、コマンドラインインタフェース又はグラフィカルユーザインタフェースを備えることが有利である。

一実施形態によれば、前記無線通信手段５及び８は、無線パーソナルエリアネットワークに接続可能である。好ましくは、前記無線パーソナルエリアネットワークは、Ｂｌｕｅｔｏｏｔｈ標準に従う。

本発明は、限定的ではなく、図面を参照して、以下の実施形態及び実施例の方法によって、よりよく理解され、説明される。

例示的実施形態は、Ｂｌｕｅｔｏｏｔｈ無線リンクにおける伝送のフレームワーク内で実現するが、本発明は、この特定の環境に限定されず、他の認証プロセス及び承認プロセスが使用される他の無線標準内で適用されても良い。Ｂｌｕｅｔｏｏｔｈに関する更なる情報は、Ｂｌｕｅｔｏｏｔｈ標準コア仕様（バージョン１．２ ２００３年１１月５日、及び以降のバージョン）で見ることができる。

図１に、Ｂｌｕｅｔｏｏｔｈ標準で規定された、結合された認証及び承認メカニズムを示す。異なる状態が表されており、その状態は、局によって、後で装置として参照される第二の局のデータベースにおいて保持される。

局は、装置により認証する。認証の最初のステップは、リンク鍵の作成であり、ＰＩＮコード交換を経て行われる。ＰＩＮ交換が成功した場合、リンク鍵が作成され、その局とその装置がペアになる。ＰＩＮ交換が成功しなかった場合、その局は、その装置に対して「不明」の状態を保ち、情報がその局に関してその装置内に記憶されない。認証の第二ステップは、チャレンジ／レスポンスメカニズムである。

その装置はその後、所有するサービスの１つにその局がアクセスして利用することを承認する。装置は、例えば、「ネットワークアクセスポイントサービス」又は「コードレス電話サービス」を所有する。これは例えば、装置のユーザインタフェースに対するユーザの動作を介して行われる。その局はその後、その装置が関係している限りにおいて「信頼」された状態になり、サービスを利用することができる。承認は、局に対するユーザ確認を意味するチャレンジ／レスポンスメカニズムを要求する。

その装置が、装置によるサービスへのアクセスの承認を取り消したとき、全ての認証情報が装置のデータベースから削除される。局がサービスに再びアクセスすることを望む場合、ＰＩＮコードを入力しなければならない。

図２は、本発明の装置の物理的な説明を表す。装置１は、既知の全ての局のＩＤを有するデータベースを保持してこれらの局の状態を示すメモリ３を備える。装置１は、マイクロプロセッサ４、局２と対話するための無線通信手段５、並びにユーザが装置１を管理及び制御することを可能にするユーザインタフェース７を備える。ユーザ及び制御データが内部バス６を介してモジュール間で交換される。

図３に示すように、装置１は、標準的な局２によってアクセスされるサービス１２を所有する。ユーザインタフェース７は、ユーザが局２の状態を管理することを可能にする。すなわち、ユーザは、診断的な（diagnostic）制御をして局の状態を修正することができる。局状態管理機能１１は、各無線局２の状態を維持し、詳細は図４で説明される。

図４は、装置１のデータベース内の局２によって保持可能な異なる状態を示す。

装置１のデータベース３に表れていない局は、「不明」（３１）な局である。データベースに表れている局、すなわち「不明」ではない任意の局は、その４８ビットＢｌｕｅｔｏｏｔｈアドレスを介して識別される。その後、「新規」３２、「ペアリング失敗」３５、「許可」３３、「利用不可能」３４、及び「禁止」３６の状態のうちの１つに設定される。

まず、局及び装置は、Ｂｌｕｅｔｏｏｔｈ標準に示されているように認証をする。局は、ＰＩＮコードを装置に送信する。

ＰＩＮコードが正しくない場合、局はペアリング失敗の状態に設定される。局は、認証が失敗したとして、装置によって識別される。ＰＩＮ失敗カウンターがこの局に対して作成される。一連の誤ったＰＩＮコード毎に、装置はこの局に対するカウンターを増加させる。カウンターが最大値である「禁止上限」値に達したときに、局は自動的に禁止状態に設定され、もはや認証されない。これは、更なる認証を試みるメッセージがこの局に関して、装置によって無視されることを意味する。「禁止上限」値は、例えば、３回又はユーザによって設定可能な既定値に設定しても良い。

ＰＩＮコードが正しい場合、リンク鍵が作成され、局は装置とペアになり新規状態になる。ＰＩＮ失敗カウンターはリセットされる。局はその後、ペアであり信頼された局として振舞う。

新規、許可、利用不可能の各状態において、局は装置とペアになり、装置によって認証される。

装置は、新規状態である局を許可状態に設定することができる。その後、局がサービスを利用することを承認する。承認には、リモート装置の同一性が認証処理を介して検証されるという意味が含まれる。処理は、ユーザ確認又は信頼された関係の存在に基づいていても良い。局に対する装置の振る舞いは、ペアであり信頼された標準的なＢｌｕｅｔｏｏｔｈ局に対してと同じである。

新規又は許可状態にある局を、装置によって利用不可能状態に設定できる。これは、装置に対するユーザからの動作によって行われる。装置は、ユーザがデータベースへアクセスすることを可能にするユーザインタフェースを持つ。ユーザは、局を選択して、その局を利用不可能状態に設定する。局が利用不可能状態に設定されたとき、局自体は何も変更されない。利用不可能状態において、局は装置のいずれのサービスも利用できないが、装置とペアのままである。局に対する装置の振る舞いは、ペアであり信頼されていない標準的なＢｌｕｅｔｏｏｔｈ局に対してと同じである。装置は、局からサービスへアクセスする試みを全て拒否する。認証情報はメモリに保持されおり、装置は局にＰＩＮコードの再入力を要求せずに、局によるサービスへのアクセスを更新できる。

装置は、利用不可能状態に設定された局を許可状態に設定できる。これは、装置のユーザインタフェースに対するユーザからの動作によって開始される。これは、装置と局との間のチャレンジ／レスポンスメカニズムの意味を含む認証をさらに要求する。いずれにせよ、これは、局に対するユーザ確認を要求せず、承認プロセスに関しては現状通りなされる。ユーザは、局に対してＰＩＮコードを再び入力する必要がない。

高い安全性のために、局が新規状態になったとき、タイマーを開始する。時間が制限値である「新規制限（newlimit）」に達したとき、その後その局は、自動的にデータベースから削除され、不明なものとみなされる。「新規制限」は、例えば、１時間に設定される。

装置は、ペアである局を禁止状態に直接設定することもできる。これは、装置のユーザインタフェースに対するユーザからのアクションによって行われる。

装置は、データベースからペアである局を削除することもできる。これは、装置のユーザインタフェースに対するユーザからの動作によって行われる。局はその後、不明なものとなる。装置は、データベースから禁止状態である局を削除することができる。これは、装置のユーザインタフェースに対するユーザからのアクションによって行われる。この局はその後、不明な局となり、その後、装置により再び認証することができる。

装置は、ペアリング失敗状態にある局をデータベースから削除することができる。これは、装置のユーザインタフェースに対するユーザからのアクションによって行われる。この局はその後、「不明」状態の局となり、その後、装置により再び認証することができる。

装置はディスプレイを備えてもよく、又はＨＴＴＰ ＧＵＩ（Graphical User Interface）若しくはＴｅｌｎｅｔ ＣＬＩ（Command Line Interface）によりアクセス可能であってもよい。これは、リスト上の局の状態を変更することにより、又はリストから局を削除することにより、ユーザがデータベースを参照して修正することを可能にする。具体的には、ユーザは、次のアクションのうちのいくつか又は全てを実行することができる。
・局を新規状態から利用不可能状態又は許可状態へ移動。
・局を利用不可能状態から許可状態、及びその逆へ移動。
・ペアである装置を禁止状態に設定。
・ペアである又は禁止である局を不明状態に設定。

Ｂｌｕｅｔｏｏｔｈ標準で規定された、結合された認証及び承認メカニズムを示すフロー図である。 本発明による装置及び無線局を示す概略図である。 装置の機能を示す概略図である。 本発明のセキュリティアーキテクチャを示すフロー図である。

Claims (7)

1. 無線装置によって所有された少なくとも１つのサービスへの無線局のアクセスを可能にするための方法であって、前記無線局は無線パーソナルエリアネットワークを介して前記無線装置と通信し、前記無線装置は以前に認証された無線局の記録を保持し、前記記録は前記少なくとも１つのサービスへの利用可能なアクセスまたは利用不可能なアクセスをそれぞれ示す無線局の第１の状態または第２の状態をそれぞれ備え、記録が保持されていない無線局を追加するとき、前記方法は前記装置において、
   前記追加される無線局を前記装置とペアリングするステップと、
   前記追加される無線局に対する記録を追加し、第３の中間の状態を前記無線局に割り当てるステップであって、前記第３の中間の状態は、前記少なくとも１つのサービスへの前記追加される無線局のアクセスを可能にすること及び利用不可能にすることのいずれでもない、ステップと
   前記少なくとも１つのサービスへの前記追加される無線局のアクセスを可能にし、又は不可能にし、それに従って前記記録及び前記状態を更新するステップとを備え、アクセスを可能にする場合、前記無線局に対するユーザ確認は、前記少なくとも１つのサービスにアクセスするために要求されない、方法。
2. アクセスを利用不可能にする場合、前記無線局から前記少なくとも１つのサービスへアクセスする試みが拒否される請求項１に記載の方法。
3. 無線パーソナルエリアネットワークを介して無線局と通信する無線通信手段と、メモリと、前記無線局から無線でアクセスされる少なくとも１つのサービスとを有する無線装置であって、前記無線装置は、以前に認証された無線局の記録を保持するように適合された状態管理モジュールをさらに有し、前記記録は前記少なくとも１つのサービスへの利用可能なアクセスまたは利用不可能なアクセスをそれぞれ示す無線局の第１の状態または第２の状態をそれぞれ備え、記録が保持されていない無線局を追加するとき、前記状態管理モジュールは、
   前記無線局を前記無線装置とペアリングし、
   前記追加される無線局に対する記録を追加し、第３の中間の状態を前記無線局に割り当て、前記第３の中間の状態は、前記少なくとも１つのサービスへの前記追加される無線局のアクセスを可能にすること及び利用不可能にすることのいずれでもないものであり、
   前記少なくとも１つのサービスへの前記追加される無線局のアクセスを可能にし、又は不可能にし、それに従って前記記録及び前記状態を更新するようにさらに適合され、アクセスを可能にする場合、前記無線局に対するユーザ確認は、前記少なくとも１つのサービスにアクセスするために要求されない、無線装置。
4. 前記追加される無線局に対する前記記録を所定の時間維持するステップと、前記少なくとも１つのサービスへの前記追加された無線局のアクセスが前記所定の時間内に利用可能または利用不可能である場合、前記記録を削除するステップとをさらに備える請求項１に記載の方法。
5. 前記無線装置において、第４の状態を無線局に割り当てるステップをさらに備え、前記第４の状態は前記無線局の前記認証をブロックし、前記第４の状態を有する無線局は、前記無線装置との更なる認証を完了することができない、請求項１に記載の方法。
6. 前記状態管理モジュールは、前記追加される無線局に対する前記記録を所定の時間維持するように適合され、前記少なくとも１つのサービスへの前記追加された無線局のアクセスが前記所定の時間内に利用可能または利用不可能である場合、前記記録を削除する請求項３に記載の無線装置。
7. 前記状態管理モジュールは、第４の状態を無線局に割り当てるように適合され、前記第４の状態は前記無線局の前記認証をブロックし、前記第４の状態を有する無線局は、前記無線装置との更なる認証を完了することができない、請求項３に記載の無線装置。

Images