JP5099646B2 - 無線ｌａｎアクセスポイント、無線ｌａｎ端末、無線ｌａｎ不正防止システム、方法及びプログラム - Google Patents

Description

本発明は、無線ＬＡＮアクセスポイント及び無線ＬＡＮ端末に関する。また、本発明は、無線ＬＡＮ不正防止システム、無線ＬＡＮ不正防止方法及び無線ＬＡＮ不正防止プログラムに関する。

一般に、無線ＬＡＮシステムにおいて、ＳＳＩＤ（Ｓｅｒｖｉｃｅ Ｓｅｔ Ｉｄｅｎｔｉｆｉｅｒ）を外部に対して見られないように制御する不正アクセス防止機能や、動的にＳＳＩＤを変更する不正防止機能が存在する。

例えば、特許文献１には、ユーザが意識せずとも無線ＬＡＮのアクセスポイントのＳＳＩＤや暗号化方式を自動更新することができる情報処理システムが記載されている。

また、特許文献２には、所定の時間が経過すると新たなパスワードを正規のクライアントのみに予告通知してパスワードを変更し、不正アクセスを防ぐ無線ＬＡＮシステムが記載されている。

特開２００８−２４４９４５号公報 特開２００５−１１７４８８号公報

特許文献１及び特許文献２に記載されたシステムでは、ユーザに手間をかけることなく、不正アクセスに対して一定の抑制効果を得ることができる。しかし、不正アクセスしようとする無線ＬＡＮ端末を特定するすべがなく、不正端末を特定することが難しいという課題が存在する。

そこで、本発明は、無線ＬＡＮシステムにおいて、不正アクセスを行う端末を特定することができる無線ＬＡＮアクセスポイント、無線ＬＡＮ端末、無線ＬＡＮ不正防止システム、無線ＬＡＮ不正防止方法及び無線ＬＡＮ不正防止プログラムを提供することを目的とする。

本発明による無線ＬＡＮ不正防止システムは、無線ＬＡＮアクセスポイントを備え、無線ＬＡＮアクセスポイントは、無線ＬＡＮへの接続を許可するための識別情報を所定の条件に従って更新する識別情報更新手段と、無線ＬＡＮ端末が無線ＬＡＮアクセスポイントにアクセスする際に用いる識別情報が、識別情報更新手段によって更新される前の識別情報と合致するか否かを判定し、合致すると判定した無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する不正アクセス端末特定手段と、不正アクセス端末特定手段が特定した無線ＬＡＮ端末からのアクセスを暫定的に許可する暫定的アクセス許可手段と、暫定的アクセス許可手段がアクセスを暫定的に許可した無線ＬＡＮ端末の情報を記録する記録手段と、暫定的アクセス許可手段がアクセスを暫定的に許可した無線ＬＡＮ端末からのアクセスを所定の条件に従って禁止するアクセス禁止手段とを含むことを特徴とする。

本発明による無線ＬＡＮアクセスポイントは、無線ＬＡＮへの接続を許可するための識別情報を所定の条件に従って更新する識別情報更新手段と、無線ＬＡＮ端末が無線ＬＡＮアクセスポイントにアクセスする際に用いる識別情報が、識別情報更新手段によって更新される前の識別情報と合致するか否かを判定し、合致すると判定した無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する不正アクセス端末特定手段と、不正アクセス端末特定手段が特定した無線ＬＡＮ端末からのアクセスを暫定的に許可する暫定的アクセス許可手段と、暫定的アクセス許可手段がアクセスを暫定的に許可した無線ＬＡＮ端末の情報を記録する記録手段と、暫定的アクセス許可手段がアクセスを暫定的に許可した無線ＬＡＮ端末からのアクセスを所定の条件に従って禁止するアクセス禁止手段とを備えたことを特徴とする。

本発明による無線ＬＡＮ不正防止方法は、無線ＬＡＮへの接続を許可するための識別情報を所定の条件に従って更新する識別情報更新ステップと、無線ＬＡＮ端末が無線ＬＡＮアクセスポイントにアクセスする際に用いる識別情報が、更新される前の識別情報と合致するか否かを判定し、合致すると判定した無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する不正アクセス端末特定ステップと、特定した無線ＬＡＮ端末からのアクセスを暫定的に許可する暫定的アクセスステップと、アクセスを暫定的に許可した無線ＬＡＮ端末の情報を記録する記録ステップと、アクセスを暫定的に許可した無線ＬＡＮ端末からのアクセスを所定の条件に従って禁止するアクセス禁止ステップとを含むことを特徴とする。

本発明による無線ＬＡＮ不正防止プログラムは、コンピュータに、無線ＬＡＮへの接続を許可するための識別情報を所定の条件に従って更新する識別情報更新処理と、無線ＬＡＮ端末が無線ＬＡＮアクセスポイントにアクセスする際に用いる識別情報が、更新される前の識別情報と合致するか否かを判定し、合致すると判定した無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する不正アクセス端末特定処理と、特定した無線ＬＡＮ端末からのアクセスを暫定的に許可する暫定的アクセス許可処理と、アクセスを暫定的に許可した無線ＬＡＮ端末の情報を記録する記録処理と、アクセスを暫定的に許可した無線ＬＡＮ端末からのアクセスを所定の条件に従って禁止するアクセス禁止処理とを実行させることを特徴とする。

本発明によれば、無線ＬＡＮシステムにおいて、不正アクセスを行う端末を特定することができる。

本発明による無線ＬＡＮ不正防止方法を用いた無線ＬＡＮシステムの構成の一例を示すブロック図である。 無線ＬＡＮアクセスポイント１０１が実行する動的ＳＳＩＤ生成処理の一例を示すフローチャートである。 無線ＬＡＮ端末２０１が実行する動的ＳＳＩＤ生成処理の一例を示すフローチャートである。 無線ＬＡＮアクセスポイント１０１が実行する不審アクセスの記録処理の一例を示すフローチャートである。 動的ＳＳＩＤ機能を有しない無線ＬＡＮ端末が実行する動作の一例を示すフローチャートである。 第２の実施形態における無線ＬＡＮ不正防止方法を用いた無線ＬＡＮシステムの構成の一例を示すブロック図である。 無線ＬＡＮアクセスポイント１０１´が実行する動的ＳＳＩＤ生成処理の一例を示すフローチャートである。 無線ＬＡＮ端末２０１´が実行する動的ＳＳＩＤ生成処理の一例を示すフローチャートである。 無線ＬＡＮ不正防止システムの最小の構成例を示すブロック図である。

次に、本発明の実施形態について図面を参照して説明する。図１は、本発明による無線ＬＡＮ不正防止方法を用いた無線ＬＡＮシステムの構成の一例を示すブロック図である。図１に示すように、無線ＬＡＮアクセスポイント１０１と複数の無線ＬＡＮ端末２０１−１・・２０１−ｎとを含む。また、無線ＬＡＮアクセスポイント１０１と、複数の無線ＬＡＮ端末２０１−１・・２０１−ｎとは、無線ＬＡＮネットワーク３０１を介して相互に接続されている。なお、図１では、１つの無線ＬＡＮアクセスポイントを示しているが、無線ＬＡＮシステムは、複数のアクセスポイントを含んでもよい。

図１に示すように、無線ＬＡＮアクセスポイント１０１は、パラメータ設定インタフェース１０２と、ＳＳＩＤ及びパラメータ格納部１０３と、ＳＳＩＤ自動機能通知処理部１０４と、ＳＳＩＤ自動生成処理部１０５と、温度測定部１０７と、無線ＬＡＮインタフェース１０６と、接続管理処理部１０８と、不審アクセス記録部１０９と、旧ＳＳＩＤ格納部１０９とを含む。

パラメータ設定インタフェース１０２は、プログラムに従って動作する無線ＬＡＮアクセスポイントのＣＰＵによって実現される。パラメータ設定インタフェース１０２は、システム管理者の操作に従って、ＳＳＩＤの生成に利用する初期ＳＳＩＤ及びパラメータを設定する機能を備えている。

ＳＳＩＤ及びパラメータ格納部１０３は、具体的には、メモリなどの記憶装置によって実現される。ＳＳＩＤ及びパラメータ格納部１０３は、ＳＳＩＤ（システムが最初に稼働する場合は初期ＳＳＩＤ）及びＳＳＩＤを生成する際に用いるパラメータを格納する。

ＳＳＩＤ自動機能通知処理部１０４は、具体的には、プログラムに従って動作する無線ＬＡＮアクセスポイントのＣＰＵによって実現される。ＳＳＩＤ自動機能通知処理部１０４は、無線ＬＡＮインタフェース部１０６及び無線ＬＡＮネットワーク３０１を介して、無線ＬＡＮ端末２０１にＳＳＩＤ自動機能に従って、ＳＳＩＤ自動更新処理を実行している旨を通知する機能を備えている。なお、ＳＳＩＤ自動機能とは、後述するＳＳＩＤ自動生成処理部１０５が所定の条件に従って、ＳＳＩＤを自動的に更新する機能のことである。

ＳＳＩＤ自動生成処理部１０５は、具体的には、プログラムに従って動作する無線ＬＡＮアクセスポイントのＣＰＵによって実現される。ＳＳＩＤ自動生成処理部１０５は、ＳＳＩＤ及びパラメータ格納部１０３に記憶されている温度データや変更温度データ等のパラメータを用いて、ＳＳＩＤを自動的に生成する機能を備えている。

無線ＬＡＮインタフェース部１０６は、具体的には、プログラムに従って動作する無線ＬＡＮアクセスポイントのネットワークインタフェース部によって実現される。無線ＬＡＮインタフェース部１０６は、無線ＬＡＮアクセスポイント１０１と無線ＬＡＮ端末２０１との通信を仲介する機能を備えている。

温度測定部１０７は、具体的には、プログラムに従って動作する無線ＬＡＮアクセスポイントのＣＰＵ及び温度データを検出可能なセンサ等によって実現される。温度測定部１０７は、温度データを検出する機能を備えている。

接続管理処理部１０８は、具体的には、プログラムに従って動作する無線ＬＡＮアクセスポイントのＣＰＵによって実現される。無線ＬＡＮアクセスポイント１０１と無線ＬＡＮ端末２０１との接続状態を管理する機能を備えている。例えば、接続管理処理部１０８は、各端末を特定可能な端末ＩＤ（例えば、ＭＡＣアドレス）と、接続中であるか否かを示す情報とをメモリ等に対応付けて記憶させることによって接続状態を管理している。

不審アクセス記録部１０９は、具体的には、メモリなどの記憶装置によって実現される。不審アクセス記録部１０９は、無線ＬＡＮアクセスポイント１０１に対して、不正なアクセスを行っている可能性のある無線ＬＡＮ端末２０１に関する情報（例えば、ＭＡＣアドレスなど）を記録する。

旧ＳＳＩＤ格納部１０９は、具体的には、メモリなどの記憶装置によって実現される。旧ＳＳＩＤ格納部１０９は、変更前のＳＳＩＤを格納する。なお、現在のＳＳＩＤの変更直前の旧ＳＳＩＤを１つのみ記憶してもよいし、過去の旧ＳＳＩＤを複数記憶してもよい。

また、無線ＬＡＮ端末２０１は、ＳＳＩＤ自動機能受信処理部２０４と、ＳＳＩＤ及びパラメータ格納部２０３と、ＳＳＩＤ自動生成処理部２０５と、温度測定部２０７と、無線ＬＡＮインタフェース２０２とを含む。無線ＬＡＮ端末２０１は、具体的には、プログラムに従って動作する無線通信機能を備えたパーソナルコンピュータ等の情報処理装置によって実現される。

無線ＬＡＮインタフェース２０２は、具体的には、プログラムに従って動作する情報処理装置が装着する無線ＬＡＮカード等のインタフェース部によって実現される。無線ＬＡＮインタフェース部２０６は、無線ＬＡＮアクセスポイント１０１と無線ＬＡＮ端末２０１との通信を中継する機能を備えている。

ＳＳＩＤ及びパラメータ格納部２０３は、具体的には、磁気ディスク装置や光ディスク装置、メモリなどの記憶装置によって実現される。ＳＳＩＤ及びパラメータ格納部２０３は、ＳＳＩＤ及びＳＳＩＤを生成する際に用いるパラメータを格納する。なお、ユーザによって予め設定されてもよいし、不正防止プログラムに従って自動設定されてもよい。

ＳＳＩＤ自動機能受信処理部２０４は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵによって実現される。ＳＳＩＤ自動機能受信処理部２０４は、無線ＬＡＮネットワーク３０１及び無線ＬＡＮインタフェース２０２を介して、無線ＬＡＮアクセスポイント１０１からＳＳＩＤ自動機能を実行している旨の通知を受信する機能を備えている。

ＳＳＩＤ自動生成処理部２０５は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵによって実現される。ＳＳＩＤ自動生成処理部２０５は、ＳＳＩＤ及びパラメータ格納部２０３が格納する温度データや変更温度等を用いて、ＳＳＩＤを自動的に生成する機能を備えている。

温度データ受信部２０７は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ及びネットワークインタフェース部によって実現される。温度データ受信部２０７は、無線ＬＡＮアクセスポイント１０１から、温度測定部１０７が測定した温度データを受信する機能を備えている。なお、本実施形態では、温度データ受信部２０７は、温度測定部１０７が温度データを測定する度に、測定した温度データを受信し、無線ＬＡＮ端末２０１と無線ＬＡＮアクセスポイント１０１とが保持する温度データの同期をとるものとする。なお、本実施形態において、同期をとるとは、無線ＬＡＮアクセスポイント１０１と無線ＬＡＮ端末２０１とで、認識する温度データを同じにすることをいう。

次に、無線ＬＡＮアクセスポイント１０１の動作について説明する。図２は、無線ＬＡＮアクセスポイント１０１が実行する動的ＳＳＩＤ生成処理の一例を示すフローチャートである。

システム管理者等によって無線ＬＡＮアクセスポイント１０１が起動され、無線ＬＡＮシステムが稼働すると、無線ＬＡＮアクセスポイント１０１は、例えば、システム管理者等の設定操作に従って、無線ＬＡＮネットワーク３０１のネットワーク名を表すＳＳＩＤ（初期ＳＳＩＤ）を、無線ＬＡＮアクセスポイント１０１のＳＳＩＤ及びパラメータ格納部１０３に格納する（ステップＳ１１）。

次に、無線ＬＡＮネットワークの自動機能通知が有効な場合（ステップＳ１２）、温度測定部１０７は、温度を測定する。なお、自動機能通知とは、無線ＬＡＮ端末２０１にＳＳＩＤ自動更新処理を実行している旨を通知する機能のことをいう。そして、無線ＬＡＮアクセスポイント１０１（ＳＳＩＤ自動生成処理部１０５）は、温度測定部１０７から温度データを入力する（ステップＳ１３）。

次に、無線ＬＡＮアクセスポイント１０１（ＳＳＩＤ自動生成処理部１０５）は、入力した温度データが所定の温度（例えば、１５度、２０度、２５度）に達しているか否かを判定する（ステップＳ１４）。なお、所定の温度として、複数の閾値が設定されていてもよい。また、季節によって異なる値が用いられることが望ましい。ステップＳ１４において、達していないと判定すると、無線ＬＡＮアクセスポイント１０１（ＳＳＩＤ自動生成処理部１０５）は、ステップＳ１３に処理を移行する。その後、所定の温度に達するまで、ステップＳ１３〜Ｓ１４の処理を繰り返す。

一方、達していると判定すると、無線ＬＡＮアクセスポイント１０１（ＳＳＩＤ自動生成処理部１０５）は、ＳＳＩＤを動的に変更する（ステップＳ１５）。ＳＳＩＤの動的変更時には、ＳＳＩＤ自動生成処理部１０５は、ネットワーク名であるＳＳＩＤに入力した温度データを付加し、あらかじめ定められた暗号化処理を実行した結果を新たなＳＳＩＤとして生成する。

また、ＳＳＩＤ自動機能通知処理部１０４は、無線ＬＡＮネットワーク３０１及び無線ＬＡＮインタフェース１０６を介して、ＳＳＩＤ自動機能に従って、ＳＳＩＤ自動更新処理を実行している旨の通知を無線ＬＡＮ端末２０１に送信し、無線ＬＡＮ端末２０１と再接続を行う（ステップＳ１５）。

次に、無線ＬＡＮ端末２０１の動作について説明する。図３は、無線ＬＡＮ端末２０１が実行する動的ＳＳＩＤ生成処理の一例を示すフローチャートである。

無線通信を行うために、無線ＬＡＮアクセスポイント１０１との接続処理を行うと、無線ＬＡＮ端末２０１は、無線ＬＡＮネットワーク３０１のネットワーク名を現すＳＳＩＤを、無線ＬＡＮ端末２０１のＳＳＩＤ及びパラメータ格納部２０３に格納する（ステップＳ２１）。

そして、ＳＳＩＤ自動機能受信処理部２０４が、ステップＳ１６において無線ＬＡＮアクセスポイント１０１が送信するＳＳＩＤ自動機能を実行している旨の通知を受信した場合（ステップＳ２２）、温度測定部２０７は、温度を測定する。そして、無線ＬＡＮ端末２０１は、温度データ受信部２０７から温度データを読み出す（ステップＳ２３）。なお、前述したように、本実施形態では、温度データ受信部２０７は、温度測定部１０７が温度データを測定する度に、測定した温度データを受信し、無線ＬＡＮ端末２０１と無線ＬＡＮアクセスポイント１０１とが保持する温度データの同期をとっているものとする。

次に、無線ＬＡＮ端末２０１（ＳＳＩＤ自動生成処理部２０５）は、読み出した温度データが所定の温度に達しているか否かを判定する（ステップＳ２４）。ステップＳ２４において、達していないと判定すると、無線ＬＡＮ端末２０１（ＳＳＩＤ自動生成処理部２０５）は、ステップＳ２３に処理を移行する。その後、所定の温度に達するまで、ステップＳ２３〜Ｓ２４の処理を繰り返す。

一方、達していると判定すると、無線ＬＡＮ端末２０１（ＳＳＩＤ自動生成処理部２０５）は、ＳＳＩＤを動的に変更する（ステップＳ２５）。ＳＳＩＤの動的変更時には、ＳＳＩＤ自動生成処理部２０５は、ネットワーク名であるＳＳＩＤに温度データを付加し、あらかじめ定められた暗号化処理を実行した結果を新たなＳＳＩＤとして生成する。

このとき、無線ＬＡＮ端末２０１及び無線ＬＡＮアクセスポイント１０１は、それぞれ同一の温度データとＳＳＩＤとをパラメータとして、新たなＳＳＩＤを生成する。そのため、無線ＬＡＮ端末２０１が生成するＳＳＩＤは、無線ＬＡＮアクセスポイント１０１で生成されたＳＳＩＤと一致する。また、無線ＬＡＮ端末２０１と無線ＬＡＮアクセスポイント１０１との間で保持する温度データの同期がとられているので、所定の温度に達するタイミングも同一であり、新たなＳＳＩＤを生成するタイミングも同一となる。

その後、無線ＬＡＮ端末２０１は、生成したＳＳＩＤを用いて、無線ＬＡＮアクセスポイント１０１との再接続を行う。

このように、本実施形態では、無線ＬＡＮアクセスポイント１０１及び無線ＬＡＮ端末２０１で測定した温度の変化が発生することを契機に、ネットワーク名ＳＳＩＤを動的に変更している。そのため、常に同じＳＳＩＤを利用している場合と比較して、ＳＳＩＤを盗まれて不正利用される確率を低くすることができる。

なお、本実施形態では、無線ＬＡＮアクセスポイント１０１で測定した温度データをＳＳＩＤ変更の際の付加データとしているが、温度データに限らず、例えば、無線ＬＡＮアクセスポイントが搭載するセンサが計測した湿度データを付加データとしてもよい。

次に、不審なアクセスに対する無線ＬＡＮアクセスポイント１０１の動作について説明する。図４は、無線ＬＡＮアクセスポイント１０１が実行する不審アクセスの記録処理の一例を示すフローチャートである。

ステップＳ１５において、ＳＳＩＤを動的に変更すると、無線ＬＡＮアクセスポイント１０１は、変更前のＳＳＩＤを旧ＳＳＩＤとして旧ＳＳＩＤ格納部１０３に格納する（ステップＳ３１）。

次に、接続管理処理部１０８は、無線ＬＡＮ端末２０１が無線ＬＡＮネットワーク３０１への接続の際に用いるＳＳＩＤが、旧ＳＳＩＤ格納部１０３に格納するＳＳＩＤと合致するか否かを判定する（ステップＳ３２）。そして、合致すると判定した場合、接続管理処理部１０８は、旧ＳＳＩＤを用いる無線ＬＡＮ端末２０２との接続を継続しつつ、この接続に関する情報を不審アクセス記録部１０９に記録する（ステップＳ３３）。この際、接続管理処理部１０８は、接続に関する情報として、例えば、無線ＬＡＮ端末２０１を特定可能な情報（ＭＡＣアドレスなど）と、用いられる旧ＳＳＩＤとを対応づけて不審アクセス記憶部１０９に記憶させる。

次に、温度測定部１０７は、温度を測定する。そして、無線ＬＡＮアクセスポイント１０１（接続管理処理部１０８）は、温度測定部１０７から温度データを入力し、入力した温度データが所定の温度に達しているか否かを判定する（ステップＳ３４）。ステップＳ３４において、達していないと判定すると、無線ＬＡＮアクセスポイント１０１（接続管理処理部１０８）は、ステップＳ３３に処理を移行する。その後、所定の温度に達するまで、ステップＳ３３〜Ｓ３４の処理を繰り返す。

一方、達していると判定すると、接続管理処理部１０８は、不審アクセス記憶部１０９に記憶されている無線ＬＡＮ端末２０１を不正なアクセスを行う端末と特定し、特定した無線ＬＡＮ端末２０１との接続を停止する（ステップＳ３５）。また、接続管理処理部１０８は、不審アクセス記憶部１０９に記憶されているＳＳＩＤに対して、セキュリティレベルを上げる。例えば、セキュリティレベルを上げるために、接続管理処理部１０８は、接続に一定の制限を課す。また、このとき、無線ＬＡＮアクセスポイント１０１は、不審アクセス記憶部１０９に記憶されている無線ＬＡＮ端末２０１に対して、所定の通知（例えば、警告レポート）を送信する。

図５は、動的ＳＳＩＤ機能を有しない無線ＬＡＮ端末、又はある期間に利用中のＳＳＩＤを盗聴し不正接続を試みる無線ＬＡＮ端末が実行する動作の一例を示すフローチャートである。

無線ＬＡＮ端末２０１は、保持しているＳＳＩＤを用いて、無線ＬＡＮアクセスポイント１０１に接続する（ステップＳ４１）。そして、動的なＳＳＩＤを利用している場合には（ステップＳ４２）、無線ＬＡＮ端末２０１は、接続している無線ＬＡＮアクセスポイント１０１によって、自身を特定可能な情報を記録される（ステップＳ４３）。

次に、無線ＬＡＮアクセスポイント１０１から所定の通知（例えば、警告レポート）を受信すると（ステップＳ４４）、無線ＬＡＮ端末２０１は、無線ＬＡＮネットワーク３０１との接続を切断する（ステップＳ４５）。

このように、動的なＳＳＩＤを利用しない無線ＬＡＮ端末や、ある期間に利用中のＳＳＩＤを盗聴して不正接続を試みる無線ＬＡＮ端末は、一旦は接続され無線ＬＡＮネットワーク３０１を利用できるようになるが、この間の利用情報を記録され、ある一定のところで接続の停止または制限がかけられる。不正を検出した場合に、全く接続を許可しないとすると、不正端末を記録することができず、その後、不正端末の特定が困難になるが、本実施形態では、一旦許可することによって記録可能としている。このため、動的なＳＳＩＤを用いる無線ＬＡＮアクセスポイントを利用したい場合には、ユーザは、本実施形態で説明したセキュリティの高い動的ＳＳＩＤ機能を備えた無線ＬＡＮ端末を用いなければならない。

また、悪意がなく静的なＳＳＩＤを利用する無線ＬＡＮ端末は、無線ＬＡＮネットワークのセキュリティ確保のために切断されている旨のレポートを受信する。そのため、ユーザは、利用している無線ＬＡＮネットワークのセキュリティの高さを知ることもできる。

以上のように、本実施形態では、無線ＬＡＮシステムは、ＳＳＩＤを動的に切り替え、無線ＬＡＮアクセスポイントが切り替え前のＳＳＩＤを継続して利用する無線ＬＡＮ端末を記録する機能を有する。そのため、無線ＬＡＮシステムにおいて不正アクセスを行う無線ＬＡＮ端末を特定することができる。また、特定した無線ＬＡＮ端末との接続を管理することで不正アクセスを防止することができる。

また、本実施形態では、ＳＳＩＤをアクセスポイントが設置されている場所の気温の変化とともに変更することでセキュリティの向上を図ることができる。温度変化は日によって異なるので、ＳＳＩＤ変更のタイミングをよりランダムにすることができる。また、静的なＳＳＩＤを利用する端末を記録し、接続できない端末のなかから不正なアクセスを行う端末を認識することで、さらなるセキュリティを確保することができる。

その理由は、静的なＳＳＩＤに比べて、変更されたＳＳＩＤは盗まれて不正利用される確率が低いからである。また、接続を遮断された無線ＬＡＮ端末を保持するユーザがネットワークのセキュリティの高さを知ることにより、不正な接続を試みることを抑制するからである。

実施形態２．
次に、本発明の第２の実施形態について図を参照して説明する。図６は、第２の実施形態における無線ＬＡＮ不正防止システムの構成の一例を示すブロック図である。図６に示すように、第２の実施形態における無線ＬＡＮ不正防止システムは、第１の実施形態に比べ、温度測定部１０７に代えてクロック部１１１を含み、温度データ受信部２０７に代えてクロック部２１１を含む点で異なる。

クロック部１１１は、具体的には、プログラムに従って動作する無線ＬＡＮアクセスポイントのＣＰＵ及び時計によって実現される。クロック部１１１は、日時や時間の経過を計測する機能を備えている。

クロック部２０７は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ及び時計によって実現される。クロック部２０７は、日時や時間の経過を計測する機能を備えている。

次に、第２の実施形態における無線ＬＡＮアクセスポイント１０１´の動作について説明する。図７は、無線ＬＡＮアクセスポイント１０１´が実行する動的ＳＳＩＤ生成処理の一例を示すフローチャートである。以下、第１の実施形態における無線ＬＡＮアクセスポイント１０１の動作と異なる点について説明する。

無線ＬＡＮネットワークの自動機能通知が有効な場合（ステップＳ１２）、無線ＬＡＮアクセスポイント１０１´（ＳＳＩＤ自動生成処理部１０５）は、クロック部１１１から日時データを入力する（ステップＳ１３´）。

次に、無線ＬＡＮアクセスポイント１０１´（ＳＳＩＤ自動生成処理部１０５）は、入力した日時データに基づいて、前回ＳＳＩＤを更新した時点から所定の時間（例えば、３０分など）が経過しているか否かを判定する（ステップＳ１４´）。なお、所定の時間として、複数の閾値が設定されていてもよい。ステップＳ１４´において、経過していないと判定すると、無線ＬＡＮアクセスポイント１０１´（ＳＳＩＤ自動生成処理部１０５）は、ステップＳ１３´に処理を移行する。その後、所定の時間を経過するまで、ステップＳ１３´〜Ｓ１４´の処理を繰り返す。

一方、経過していると判定すると、無線ＬＡＮアクセスポイント１０１´（ＳＳＩＤ自動生成処理部１０５）は、ＳＳＩＤを動的に変更する（ステップＳ１５´）。ＳＳＩＤの動的変更時には、ＳＳＩＤ自動生成処理部１０５は、ネットワーク名であるＳＳＩＤに入力した日時データを付加し、あらかじめ定められた暗号化処理を実行した結果を新たなＳＳＩＤとして生成する。

次に、第２の実施形態における無線ＬＡＮ端末２０１´の動作について説明する。図８は、無線ＬＡＮ端末２０１´が実行する動的ＳＳＩＤ生成処理の一例を示すフローチャートである。以下、第１の実施形態における無線ＬＡＮ端末２０１の動作と異なる点について説明する。

ＳＳＩＤ自動機能受信処理部２０４が、ステップＳ１６において無線ＬＡＮアクセスポイント１０１が送信するＳＳＩＤ自動機能を実行している旨の通知を受信した場合（ステップＳ２２）、クロック部２１１は、日時を計測する。そして、無線ＬＡＮ端末２０１´は、クロック部２１１から日時データを入力する（ステップＳ２３´）。

次に、無線ＬＡＮ端末２０１´（ＳＳＩＤ自動生成処理部２０５）は、入力した日時データに基づいて、前回ＳＳＩＤを更新した時点から所定の時間（例えば、３０分など）が経過しているか否かを判定する（ステップＳ２４´）。なお、本実施形態では、無線ＬＡＮアクセスポイント１０１´及び無線ＬＡＮ端末２０１´において、同一の時間を所定の時間として適用するものとする。無線ＬＡＮアクセスポイント１０１´及び無線ＬＡＮ端末２０１´がＳＳＩＤを更新するタイミングを近づけるためである。

ステップＳ２４´において、経過していないと判定すると、無線ＬＡＮ端末２０１´（ＳＳＩＤ自動生成処理部２０５）は、ステップＳ２３´に処理を移行する。その後、所定の時間を経過するまで、ステップＳ２３´〜Ｓ２４´の処理を繰り返す。

一方、経過していると判定すると、無線ＬＡＮ端末２０１´（ＳＳＩＤ自動生成処理部２０５）は、ＳＳＩＤを動的に変更する（ステップＳ２５´）。ＳＳＩＤの動的変更時には、ＳＳＩＤ自動生成処理部２０５は、ネットワーク名であるＳＳＩＤに日時データを付加し、あらかじめ定められた暗号化処理を実行した結果を新たなＳＳＩＤとして生成する。

以上のように、本実施形態では、無線ＬＡＮアクセスポイント１０１´及び無線ＬＡＮ端末２０１´は、前回ＳＳＩＤを更新した時点から所定の時間が経過すると、それぞれＳＳＩＤを更新する。そして、無線ＬＡＮアクセスポイント１０１´は、更新前のＳＳＩＤを継続して利用する無線ＬＡＮ端末２０１´を記録する。そのため、無線ＬＡＮシステムにおいて不正アクセスを行う無線ＬＡＮ端末を特定することができる。また、特定した無線ＬＡＮ端末との接続を管理することで不正アクセスを防止することができる。

また、無線ＬＡＮアクセスポイント１０１´及び無線ＬＡＮ端末２０１´は、新たなＳＳＩＤを生成するためのパラメータとして、それぞれ備えているクロック部によって計測された日時データを用いる。そのため、無線ＬＡＮアクセスポイント１０１´と無線ＬＡＮ端末２０１´との間でパラメータを送受信することなく、ＳＳＩＤを生成して更新することができ、セキュリティの向上を図ることができる。

実施形態３．
本発明の第３の実施形態として、温度データと変更温度というパラメータを用いてＳＳＩＤを動的に変更するかわりに、利用位置によるパラメータ（例えば、緯度、経度等）を用いてＳＳＩＤを動的に変更する実施形態がある。また、その他にも、複数のパラメータの組み合わせでＳＳＩＤを動的に変更する形態をとることができる。

次に、本発明による無線ＬＡＮ不正防止システムの最小構成について説明する。図９は、無線ＬＡＮシステムの最小の構成例を示すブロック図である。図９に示すように、無線ＬＡＮシステムは、最小の構成要素として、識別情報更新手段１０と、不正アクセス端末特定手段２０とを含む。

図９に示す最小構成の無線ＬＡＮ不正防止システムでは、識別情報更新手段１０は、無線ＬＡＮに接続を許可するための識別情報を所定の条件に従って更新する。そして、不正アクセス端末特定手段２０は、無線ＬＡＮ端末が無線ＬＡＮアクセスポイントにアクセスする際に用いる識別情報が、識別情報更新手段１０によって更新される前の識別情報と合致するか否かを判定し、合致すると判定した無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する。従って、最小構成の無線ＬＡＮシステムによれば、無線ＬＡＮシステムにおいて、不正なアクセスを行う無線ＬＡＮ端末を特定することができる。

なお、本実施形態では、以下の（１）〜（６）に示すような無線ＬＡＮ不正防止システムの特徴的構成が示されている。

（１）無線ＬＡＮ不正防止システムは、無線ＬＡＮアクセスポイント（例えば、無線ＬＡＮアクセスポイント１０１によって実現される）を備え、無線ＬＡＮアクセスポイントは、無線ＬＡＮへの接続を許可するための識別情報（例えば、ＳＳＩＤ）を所定の条件に従って更新する識別情報更新手段（例えば、ＳＳＩＤ自動生成処理部１０５によって実現される）と、無線ＬＡＮ端末が無線ＬＡＮアクセスポイントにアクセスする際に用いる識別情報が、識別情報更新手段によって更新される前の識別情報（例えば、旧ＳＳＩＤ格納部１１０に格納される）と合致するか否かを判定し、合致すると判定した無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する（例えば、不審アクセス記録部１０９に記憶させる）不正アクセス端末特定手段（例えば、接続管理処理部１０８によって実現される）とを含むことを特徴とする。

（２）無線ＬＡＮ不正防止システムにおいて、無線ＬＡＮアクセスポイントは、所定の計測データを計測する計測手段（例えば、温度測定部１０７によって実現される）と、計測手段が計測したデータ（例えば、温度データ）が所定の閾値に達しているか否かを判定する計測データ判定手段（例えば、ＳＳＩＤ自動生成処理部１０５によって実現される）を含み、識別情報更新手段は、計測データ判定手段が所定の閾値に達していると判定すると、識別情報を更新するように構成されていてもよい。

（３）無線ＬＡＮ不正防止システムにおいて、識別情報更新手段は、更新前の識別情報と計測手段が計測した計測データとに基づいて生成した識別情報を新たな識別情報として更新するように構成されていてもよい。

（４）無線ＬＡＮ不正防止システムにおいて、無線ＬＡＮ端末（例えば、無線ＬＡＮ端末２０１によって実現される）を備え、無線ＬＡＮ端末は、無線ＬＡＮアクセスポイントが備える計測手段によって計測された計測データが所定の閾値に達しているか否かを判定する端末用計測データ判定手段（例えば、ＳＳＩＤ自動生成処理部２０５によって実現される）と、端末用計測データ判定手段が所定の閾値に達していると判定すると、無線ＬＡＮ端末が保持する識別情報と計測データとに基づいて生成した識別情報を新たな識別情報として更新する端末用識別情報更新手段（例えば、ＳＳＩＤ自動生成処理部２０５によって実現される）とを含むように構成されていてもよい。

（５）無線ＬＡＮ不正防止システムにおいて、不正アクセス端末特定手段は、計測データ判定手段が所定の閾値に達していると判定すると、識別情報更新手段によって更新される前の識別情報を用いて無線ＬＡＮアクセスポイントにアクセスする無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定するように構成されていてもよい。

（６）無線ＬＡＮ不正防止システムは、無線ＬＡＮアクセスポイント及び無線ＬＡＮ端末で利用されるＳＳＩＤが動的に変更される場合に、無線ＬＡＮアクセスポイントにおいて、変更前のＳＳＩＤを利用したアクセスを暫定的に許可する暫定的アクセス許可手段（例えば、接続管理処理部１０８によって実現される）と、暫定的アクセス許可手段が許可したＳＳＩＤを利用する無線ＬＡＮ端末を記録する記録手段（例えば、不正アクセス記録部１０９によって実現される）と、無線ＬＡＮアクセスポイントにおいて計測した（例えば、温度測定部１０７によって実現される）計測データが所定の閾値に変化すると、変更前のＳＳＩＤの利用したアクセスを禁止するアクセス禁止手段（例えば、接続管理処理部１０８によって実現される）とを含むように構成されていてもよい。

本発明は、無線ＬＡＮシステムを利用する用途に適用可能である。

１０ 識別情報更新手段
２０ 不正アクセス端末特定手段
１０１ 無線ＬＡＮアクセスポイント
１０２ パラメータ設定インタフェース
１０３ ＳＳＩＤ及びパラメータ格納部
１０４ ＳＳＩＤ自動機能通知処理部
１０５ ＳＳＩＤ自動生成処理部
１０６ 無線ＬＡＮインタフェース
１０７ 温度測定部
１０８ 接続管理処理部
１０９ 不審アクセス記録部
１１０ 旧ＳＳＩＤ格納部
１１１ クロック部
２０１ 無線ＬＡＮ端末
２０２ 無線ＬＡＮインタフェース
２０３ ＳＳＩＤ及びパラメータ格納部
２０４ ＳＳＩＤ自動機能受信処理部
２０５ ＳＳＩＤ自動機生成処理部
２０７ 温度変化受信部
２１１ クロック部
３０１ 無線ＬＡＮネットワーク

Claims (11)

1. 無線ＬＡＮアクセスポイントを備え、
   前記無線ＬＡＮアクセスポイントは、
   無線ＬＡＮへの接続を許可するための識別情報を所定の条件に従って更新する識別情報更新手段と、
   無線ＬＡＮ端末が無線ＬＡＮアクセスポイントにアクセスする際に用いる識別情報が、前記識別情報更新手段によって更新される前の識別情報と合致するか否かを判定し、合致すると判定した無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する不正アクセス端末特定手段と、
   前記不正アクセス端末特定手段が特定した前記無線ＬＡＮ端末からのアクセスを暫定的に許可する暫定的アクセス許可手段と、
   前記暫定的アクセス許可手段がアクセスを暫定的に許可した前記無線ＬＡＮ端末の情報を記録する記録手段と、
   前記暫定的アクセス許可手段がアクセスを暫定的に許可した前記無線ＬＡＮ端末からのアクセスを所定の条件に従って禁止するアクセス禁止手段とを
   含むことを特徴とする無線ＬＡＮ不正防止システム。
2. 無線ＬＡＮアクセスポイントは、所定の計測データを計測する計測手段と、
   前記計測手段が計測した計測データが所定の閾値に達しているか否かを判定する計測データ判定手段とを含み、
   識別情報更新手段は、前記計測データ判定手段が所定の閾値に達していると判定すると、識別情報を更新する
   請求項１記載の無線ＬＡＮ不正防止システム。
3. 識別情報更新手段は、更新前の識別情報と計測手段によって計測された計測データとに基づいて生成した識別情報を新たな識別情報として更新する
   請求項２記載の無線ＬＡＮ不正防止システム。
4. 無線ＬＡＮ端末を備え、
   前記無線ＬＡＮ端末は、
   計測手段によって計測された計測データが所定の閾値に達しているか否かを判定する端末用計測データ判定手段と、
   前記端末用計測データ判定手段が所定の閾値に達していると判定すると、無線ＬＡＮ端末が保持する識別情報と前記計測データとに基づいて生成した識別情報を新たな識別情報として更新する端末用識別情報更新手段とを含む
   請求項２又は請求項３記載の無線ＬＡＮ不正防止システム。
5. 不正アクセス端末特定手段は、計測データ判定手段が所定の閾値に達していると判定すると、識別情報更新手段によって更新される前の識別情報を用いて無線ＬＡＮアクセスポイントにアクセスする無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する
   請求項２から請求項４のうちのいずれか１項に記載の無線ＬＡＮ不正防止システム。
6. 無線ＬＡＮへの接続を許可するための識別情報を所定の条件に従って更新する識別情報更新手段と、
   無線ＬＡＮ端末が無線ＬＡＮアクセスポイントにアクセスする際に用いる識別情報が、前記識別情報更新手段によって更新される前の識別情報と合致するか否かを判定し、合致すると判定した無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する不正アクセス端末特定手段と、
   前記不正アクセス端末特定手段が特定した前記無線ＬＡＮ端末からのアクセスを暫定的に許可する暫定的アクセス許可手段と、
   前記暫定的アクセス許可手段がアクセスを暫定的に許可した前記無線ＬＡＮ端末の情報を記録する記録手段と、
   前記暫定的アクセス許可手段がアクセスを暫定的に許可した前記無線ＬＡＮ端末からのアクセスを所定の条件に従って禁止するアクセス禁止手段とを
   備えたことを特徴とする無線ＬＡＮアクセスポイント。
7. 所定の計測データを計測する計測手段と、
   前記計測手段が計測した計測データが所定の閾値に達しているか否かを判定する計測データ判定手段とを備え、
   識別情報更新手段は、前記計測データ判定手段が所定の閾値に達していると判定すると、識別情報を更新する
   請求項６記載の無線ＬＡＮアクセスポイント。
8. 無線ＬＡＮへの接続を許可するための識別情報を所定の条件に従って更新する識別情報更新ステップと、
   無線ＬＡＮ端末が無線ＬＡＮアクセスポイントにアクセスする際に用いる識別情報が、更新される前の識別情報と合致するか否かを判定し、合致すると判定した無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する不正アクセス端末特定ステップと、
   特定した前記無線ＬＡＮ端末からのアクセスを暫定的に許可する暫定的アクセスステップと、
   アクセスを暫定的に許可した前記無線ＬＡＮ端末の情報を記録する記録ステップと、
   アクセスを暫定的に許可した前記無線ＬＡＮ端末からのアクセスを所定の条件に従って禁止するアクセス禁止ステップとを
   含むことを特徴とする無線ＬＡＮ不正防止方法。
9. 所定の計測データを計測する計測ステップと、
   計測した計測データが所定の閾値に達しているか否かを判定する計測データ判定ステップを含み、
   識別情報更新ステップで、前記計測データ判定ステップにおいて所定の閾値に達していると判定すると、識別情報を更新する
   請求項８記載の無線ＬＡＮ不正防止方法。
10. コンピュータに、
    無線ＬＡＮへの接続を許可するための識別情報を所定の条件に従って更新する識別情報更新処理と、
    無線ＬＡＮ端末が無線ＬＡＮアクセスポイントにアクセスする際に用いる識別情報が、更新される前の識別情報と合致するか否かを判定し、合致すると判定した無線ＬＡＮ端末を不正なアクセスを行う無線ＬＡＮ端末として特定する不正アクセス端末特定処理と、
    特定した前記無線ＬＡＮ端末からのアクセスを暫定的に許可する暫定的アクセス許可処理と、
    アクセスを暫定的に許可した前記無線ＬＡＮ端末の情報を記録する記録処理と、
    アクセスを暫定的に許可した前記無線ＬＡＮ端末からのアクセスを所定の条件に従って禁止するアクセス禁止処理とを
    実行させるための無線ＬＡＮ不正防止プログラム。
11. コンピュータに、
    所定の計測データを計測する計測処理と、
    計測した計測データが所定の閾値に達しているか否かを判定する計測データ判定処理とを実行させ、
    識別情報更新処理で、前記計測データ判定処理において所定の閾値に達していると判定すると、識別情報を更新する
    請求項１０記載の無線ＬＡＮ不正防止プログラム。

Images