JP5152354B2

JP5152354B2 - Wireless communication apparatus, network system, and communication method

Info

Publication number: JP5152354B2
Application number: JP2011023865A
Authority: JP
Inventors: 真也木村; 貴宏佐々木; 元樹中出; 義之國頭; 晃弘保木本; 誠岡; 科子松山; 敦塩野崎
Original assignee: Sony Corp
Current assignee: Sony Corp
Priority date: 2011-02-07
Filing date: 2011-02-07
Publication date: 2013-02-27
Anticipated expiration: 2021-03-19
Also published as: JP2011154692A

Description

この発明は、例えば家庭内のネットワークをインターネットに接続するのに適用可能な無線通信装置、ネットワークシステムおよび通信方法に関するものである。 The present invention, for example, applicable wireless communication equipment to connect a home network to the Internet, to a Netw network system and a communication method.

インターネット経由で家庭内に送られてきたコンテンツは、通常、パーソナルコンピュータに送られる。パーソナルコンピュータには、ダウンロードされた圧縮音楽データ、画像データ等が蓄積される。ユーザは、パーソナルコンピュータに届いたこれらのコンテンツをパーソナルコンピュータ以外のＡＶ（オーディオおよび／またはビジュアル）機器によって再生しようとする。しかしながら、家庭内ネットワークが存在しないと、そのような要求を実現することが難しい。 Content sent to the home via the Internet is usually sent to a personal computer. The personal computer stores downloaded compressed music data, image data, and the like. The user tries to reproduce these contents that have arrived at the personal computer by AV (audio and / or visual) equipment other than the personal computer. However, if there is no home network, it is difficult to realize such a request.

ネットワークアーキテクチャとしては、インターネットで使用されているＴＣＰ／ＩＰと通称されるインターネットプロトコル体系とＯＳＩ参照モデルが知られている。ＯＳＩ参照モデルでは、７つの層からなり、第１層が物理層、第２層がデータリンク層、第３層がネットワーク層、第４層がトランスポート層、第５層がセッション層、第６層がプレゼンテーション層、第７層がアプリケーション層とされている。物理層は、物理的相互接続を行う。ここでは、データはビット列として扱われる。データリンク層は、通信相手と物理的な通信路を確保し、競合制御などを行う。ここでは、データは、より構造化されたフレームなどの単位で扱われる。 As a network architecture, an Internet protocol system commonly called TCP / IP used in the Internet and an OSI reference model are known. The OSI reference model consists of seven layers: the first layer is the physical layer, the second layer is the data link layer, the third layer is the network layer, the fourth layer is the transport layer, the fifth layer is the session layer, The layer is a presentation layer, and the seventh layer is an application layer. The physical layer provides physical interconnection. Here, data is treated as a bit string. The data link layer secures a physical communication path with the communication partner and performs contention control. Here, data is handled in units such as more structured frames.

ＴＣＰ／ＩＰは、ネットワークインターフェース層、インターネット層、トランスポート層、アプリケーション層という４つの概念層で構成されている。これらは物理層の上に構築されている。ＯＳＩ参照モデルに対応させると、データリンク層→ネットワークインターフェース層、ネットワーク層→インターネット層、トランスポート層→トランスポート層、セッション層・プレゼンテーション層・アプリケーション層→アプリケーション層となる。ネットワークインターフェース層は、一つのサブネットワーク内の通信を確保する層である。例えば２点間での通信を行うＰＰＰ(Point-to-Point Protocol) が対応する。 TCP / IP is composed of four conceptual layers: a network interface layer, an Internet layer, a transport layer, and an application layer. These are built on the physical layer. Corresponding to the OSI reference model, data link layer → network interface layer, network layer → Internet layer, transport layer → transport layer, session layer / presentation layer / application layer → application layer. The network interface layer is a layer that ensures communication within one subnetwork. For example, PPP (Point-to-Point Protocol) that performs communication between two points corresponds.

ＰＰＰ(Point-to-Point Protocol) はダイヤルアップＩＰ接続で標準的に用いられるプロトコルである。１対１で接続されている回線において複数のプロトコル認証よるデータ通信を提供する。接続の手順としては、１）リンク確立要求（、２）接続者の認証、３）プロトコル毎の情報交換を経て、リンクが確立される。 PPP (Point-to-Point Protocol) is a standard protocol used in dial-up IP connection. Data communication by a plurality of protocol authentications is provided on a line connected one-to-one. As a connection procedure, a link is established through 1) a link establishment request (2) authentication of a connected person and 3) information exchange for each protocol.

家庭内ネットワークとしては、ＩＥＥＥ(Institute of Electrical and Electronics Engineers) １３９４、Ethernet等の有線方式、いくつかの無線伝送方式が提案されている。無線伝送方式としては、ＩＥＥＥ８０２．１１，Ｂｌｕｅｔｏｏｔｈ，Ｗｉｒｅｌｅｓｓ１３９４等が提案されている。 As home networks, IEEE (Institute of Electrical and Electronics Engineers) 1394, Ethernet and other wired systems, and several wireless transmission systems have been proposed. IEEE 802.11, Bluetooth, Wireless 1394, etc. have been proposed as wireless transmission methods.

近年、家庭内ネットワークに接続される端末装置が増加しており、それぞれの端末装置は、単に特定の対象と通信を行うのに限らず、インターネットにも接続され、ＬＡＮ(Local Area Network) を越えたネットワークからも参照できるようになっている。このよう
なネットワークに端末装置を参加させるためには、少なくとも情報を１のＬＡＮから他のＬＡＮに通過させると共に、当該端末装置が接続されているネットワーク内で他の端末装置との情報交換を可能とするルータと称される端末装置が使用される。 In recent years, the number of terminal devices connected to home networks has increased, and each terminal device is not limited to simply communicating with a specific target, but is also connected to the Internet, exceeding the LAN (Local Area Network). You can also refer from other networks. In order for a terminal device to participate in such a network, at least information can be passed from one LAN to another LAN, and information can be exchanged with other terminal devices in the network to which the terminal device is connected. A terminal device called a router is used.

上述した一般的なネットワークアーキテクチャ、例えばＴＣＰ／ＩＰプロトコルがホームネットワークに対しても適用される。ホームネットワークがセキュアなネットワークであることは、個人情報の保護の点から望まれている。従来、パブリックなネットワークとプライベートなネットワークの間にファイヤーウォールを設置していた。クラッカーと称されるネットワーク内に不正に侵入する者を防止するためである。しかしながら、このようなホームネットワークは、設置したファイヤーウォールに依存したものとなり、ホームネットワークがオープンなものとならず、多種多様なアプリケーションを開発する場合の妨げになるという問題があった。 The general network architecture described above, for example, the TCP / IP protocol is also applied to the home network. It is desired from the viewpoint of protecting personal information that the home network is a secure network. Traditionally, a firewall has been set up between the public and private networks. This is to prevent unauthorized entry into a network called a cracker. However, such a home network is dependent on the installed firewall, and the home network is not open, which hinders the development of a wide variety of applications.

したがって、この発明の目的は、ファイヤーウォールを設置することなく、セキュアなネットワークを構築できる無線通信装置、ネットワークシステムおよび通信方法を提供することにある。 Accordingly, an object of the present invention, without installing a firewall, a wireless communication equipment capable of constructing a secure network, and to provide a Netw network system and a communication method.

上述した課題を解決するために、請求項１の発明は、無線通信により接続される端末装置を識別する第１の識別情報が読み込まれ、当該端末装置の認証を行う制御部と、
第１の識別情報と当該無線通信装置を識別する第２の識別情報とを関連付けて記憶する情報処理装置に対してネットワークを介して接続される通信部とを備え、
端末装置間の通信を行う場合、端末装置の両者が第２の識別情報で区別されるグループの同一のものに属するかどうかを通信部を介して情報処理装置に対して問い合わせ、該問い合わせの結果、端末装置の両者がグループの同一のものに属すると判定される場合に、端末認証を成立させる
無線通信装置である。
請求項４の発明は、情報処理装置、並びに該情報処理装置とネットワークを介して接続される無線通信装置からなり、無線通信装置に対して無線通信により端末装置が接続されるネットワークシステムであって、
無線通信装置は、
無線通信により接続される端末装置を識別する第１の識別情報が読み込まれ、当該端末装置の認証を行う制御部と、
第１の識別情報と当該無線通信装置を識別する第２の識別情報とを関連付けて記憶する情報処理装置に対してネットワークを介して接続される通信部とを備え、
端末装置間の通信を行う場合、端末装置の両者が第２の識別情報で区別されるグループの同一のものに属するかどうかを通信部を介して情報処理装置に対して問い合わせ、該問い合わせの結果、端末装置の両者がグループの同一のものに属すると判定される場合に、端末認証を成立させ、
情報処理装置は、
無線通信により端末装置が接続される無線通信装置とネットワークを介して接続される通信部と、
端末装置を識別する第１の識別情報と無線通信装置を識別する第２の識別情報とを関連付けて記憶する記憶手段とを備え、
複数の端末装置の第１の識別情報が第２の識別情報で区別されるグループの同一のものに属するかどうかの問い合わせを通信部を介して無線通信装置から受け取り、問い合わせに対する判定を通信部を介して無線通信装置に対して送信する
ネットワークシステムである。 To solve the problems described above, the invention of claim 1, the first identification information for identifying the end terminal device that will be connected by radio communication is read, and a control unit which performs authentication of the terminal device,
And a communication unit which is connected via a network to an information processing apparatus that associates and stores the second identification information for identifying the first identification information and the wireless communication device,
When communicating between terminal devices, an inquiry is made to the information processing device via the communication unit as to whether or not both of the terminal devices belong to the same group identified by the second identification information, and the result of the inquiry A wireless communication device that establishes terminal authentication when it is determined that both of the terminal devices belong to the same group .
The invention of claim 4 is a network system comprising an information processing device and a wireless communication device connected to the information processing device via a network, wherein a terminal device is connected to the wireless communication device by wireless communication. ,
The wireless communication device
First identification information for identifying the end terminal device that will be connected by radio communication is read, and a control unit which performs authentication of the terminal device,
And a communication unit which is connected via a network to an information processing apparatus that associates and stores the second identification information for identifying the first identification information and the wireless communication device,
When communicating between terminal devices, an inquiry is made to the information processing device via the communication unit as to whether or not both of the terminal devices belong to the same group identified by the second identification information, and the result of the inquiry If it is determined that both of the terminal devices belong to the same group, terminal authentication is established,
Information processing device
A communication unit connected via a network to a wireless communication device to which a terminal device is connected by wireless communication;
Storage means for associating and storing first identification information for identifying a terminal device and second identification information for identifying a wireless communication device ;
An inquiry about whether or not the first identification information of a plurality of terminal devices belongs to the same group of groups distinguished by the second identification information is received from the wireless communication device via the communication unit, and a determination for the inquiry is received from the communication unit. It is a network system which transmits to a wireless communication device via the network.

請求項７の発明は、情報処理装置、並びに該情報処理装置とネットワークを介して接続される無線通信装置からなり、無線通信装置に対して無線通信により端末装置が接続されるネットワークシステムにおいて、
無線通信装置において、無線通信により接続される端末装置を識別する第１の識別情報が読み込まれ、当該端末装置の認証が行われ、
情報処理装置において、端末装置を識別する第１の識別情報と無線通信装置を識別する第２の識別情報とを関連付けて記憶されており、
端末装置間の通信を行う場合、端末装置の両者が第２の識別情報で区別されるグループの同一のものに属するかどうかを通信部を介して情報処理装置に対して問い合わせ、
情報処理装置によって端末装置の両者がグループの同一のものに属すると判定される場合に、端末認証を成立させる
通信方法である。 The invention of claim 7 comprises an information processing device and a wireless communication device connected to the information processing device via a network, wherein the terminal device is connected to the wireless communication device by wireless communication.
In the wireless communication device, first identification information for identifying a terminal device connected by wireless communication is read, and the terminal device is authenticated,
In the information processing device, the first identification information for identifying the terminal device and the second identification information for identifying the wireless communication device are stored in association with each other,
When performing communication between terminal devices, an inquiry is made to the information processing device via the communication unit as to whether both of the terminal devices belong to the same group identified by the second identification information,
When the information processing apparatus both of the terminal device is determined to belong to that group of same to a communication method to establish the terminal authentication.

この発明によれば、通信する相手の識別子を見て、サーバに備えられているデータベースに対して相手の識別子が自分と同一グループか否かを判定する。同一グループであれば、端末間認証が成立したものと決定され、リンクが確立される。ファイヤーウォールを設置することなく、セキュアなネットワークを構築でき、ホームネットワークをオープンなものとすることができる。
この発明では、ファイヤーウォールを設置することなく、セキュアなネットワークを構成することができる。したがって、ホームネットワークが設置したファイヤーウォールに依存したものとなり、ホームネットワークがオープンなものとならない問題を生じない利点がある。 According to the present invention, it is determined whether or not the identifier of the partner is in the same group as that of the user by looking at the identifier of the partner with which communication is performed. If they are in the same group, it is determined that inter-terminal authentication has been established, and a link is established. A secure network can be constructed and a home network can be opened without installing a firewall.
In the present invention, a secure network can be configured without installing a firewall. Therefore, there is an advantage that the home network is dependent on the firewall installed, and the problem that the home network does not become open does not occur.

この発明の一実施形態であるネットワークシステム構成を示すブロック図である。1 is a block diagram showing a network system configuration according to an embodiment of the present invention. この発明の一実施形態であるネットワークシステム構成を示すブロック図である。1 is a block diagram showing a network system configuration according to an embodiment of the present invention. この発明の一実施形態におけるルータの構成例を示すブロック図である。It is a block diagram which shows the structural example of the router in one Embodiment of this invention. この発明の一実施形態において、データリンクレベルの認証処理を説明するためのフローチャートである。In one Embodiment of this invention, it is a flowchart for demonstrating the authentication process of a data link level. この発明の一実施形態であるネットワークシステム構成を示すブロック図である。1 is a block diagram showing a network system configuration according to an embodiment of the present invention. この発明の一実施形態において、端末認証処理を説明するためのフローチャートである。In one Embodiment of this invention, it is a flowchart for demonstrating a terminal authentication process. この発明の一実施形態であるネットワークシステム構成を示すブロック図である。1 is a block diagram showing a network system configuration according to an embodiment of the present invention. この発明の一実施形態であるネットワークシステム構成を示すブロック図である。1 is a block diagram showing a network system configuration according to an embodiment of the present invention.

以下、この発明の一実施形態について説明する。図１は、一実施形態のシステムの一例を示す。参照符号１は、インターネットを示し、参照符号２は、インターネット１と接続されたサーバとしてのＩＳＰ(Internet Service Provider) である。ＩＳＰ２は、メールサーバ、ＤＮＳサーバ、Ｐｒｏｘｙサーバ等を備え、通常のインターネット接続機能を提供すると共に、認証用データベース３を備えている。 Hereinafter, an embodiment of the present invention will be described. FIG. 1 shows an example of a system according to an embodiment. Reference numeral 1 indicates the Internet, and reference numeral 2 is an ISP (Internet Service Provider) as a server connected to the Internet 1. The ISP 2 includes a mail server, a DNS server, a proxy server, and the like, provides a normal Internet connection function, and includes an authentication database 3.

参照符号１１が家庭を示し、参照符号１２がホームゲートウェイ例えばルータを示す。ＩＳＰ２とルータ１２との間は、ＩＳＤＮ(Integrated Services Digital Network) 、専用線、ＡＤＳＬ(Asymmetric Digital Subscriber Line)等のｘＤＳＬ(x Digital Subscriber Line) 、光ファイバー等の双方向アクセスライン４によって接続されている。ＩＳＤＮを使用する場合、ルータ１２とＩＳＤＮの間にＤＳＵ(Digital Service Unit)が挿入される。 Reference numeral 11 indicates a home, and reference numeral 12 indicates a home gateway such as a router. The ISP 2 and the router 12 are connected by ISDN (Integrated Services Digital Network), dedicated line, xDSL (x Digital Subscriber Line) such as ADSL (Asymmetric Digital Subscriber Line), and bidirectional access line 4 such as optical fiber. . When using ISDN, a DSU (Digital Service Unit) is inserted between the router 12 and the ISDN.

双方向アクセスライン４としてケーブルテレビ回線を使用し、ケーブルテレビのサービス会社が接続されることも可能である。サービス会社は、ケーブルテレビ基地局と、家庭１１内に設けられたディジタルセットトップボックスを介してオーディオおよび／またはビジュアルコンテンツを配信する。このようなケーブルテレビのサービス会社も、インターネットへの接続サービスを提供するＩＳＰ２の一種である。 It is also possible to use a cable TV line as the bidirectional access line 4 and connect a cable TV service company. The service company distributes audio and / or visual content via a cable television base station and a digital set-top box provided in the home 11. Such a cable TV service company is also a kind of ISP 2 that provides a connection service to the Internet.

一実施形態においては、家庭１１内に参照符号１３で示す有線ＬＡＮと、参照符号１４で示す無線ＬＡＮが設置されている。これらの有線ＬＡＮ１３および無線ＬＡＮ１４がホームネットワークを構成する。無線ＬＡＮ１４としては、ＩＥＥＥ８０２．１１，Ｂｌｕｅｔｏｏｔｈ，Ｗｉｒｅｌｅｓｓ１３９４等を使用できる。なお、ホームネットワークが他のネットワークを含んでも良い。例えば無線ＬＡＮで携帯電話が接続され、携帯電話と他の機器とがＢｌｕｅｔｏｏｔｈで接続されるようにしても良い。なお、この発明では、無線で接続される機器の接続制御が特徴としているが、本実施形態においては、有線接続するものと混在するような装置について説明することとする。 In one embodiment, a wired LAN indicated by reference numeral 13 and a wireless LAN indicated by reference numeral 14 are installed in the home 11. These wired LAN 13 and wireless LAN 14 constitute a home network. As the wireless LAN 14, IEEE802.11, Bluetooth, Wireless1394, or the like can be used. Note that the home network may include other networks. For example, a mobile phone may be connected via a wireless LAN, and the mobile phone and another device may be connected via Bluetooth. Although the present invention is characterized by connection control of devices connected wirelessly, in the present embodiment, an apparatus that is mixed with those connected by wire will be described.

有線ＬＡＮ１３に対して、端末装置ＴＥ１，ＴＥ２，ＴＥ３が接続されている。ＴＥ４は、新規に無線ＬＡＮ１４に接続しようとする端末装置を示している。端末装置として、パーソナルコンピュータ（デスクトップ型またはノート型）、ＣＤ（Compact Disc) プレーヤ等のオーディオ機器、チューナ、ディスプレイ等のテレビジョン関連装置、ＤＶＤ(Digital Versatile Disc またはDigital Video Disc) 装置等のビデオレコーダ／プレーヤ、携帯型情報機器等が接続可能である。さらに、空調装置、冷蔵庫等の家電製品をホームネットワークに接続することが可能である。 Terminal devices TE1, TE2, and TE3 are connected to the wired LAN 13. TE4 indicates a terminal device that is newly connecting to the wireless LAN. As terminal devices, audio equipment such as personal computers (desktop or notebook), CD (Compact Disc) players, television-related devices such as tuners and displays, and video recorders such as DVD (Digital Versatile Disc or Digital Video Disc) devices / Players, portable information devices, etc. can be connected. Furthermore, home appliances such as air conditioners and refrigerators can be connected to the home network.

有線ＬＡＮ１３および無線ＬＡＮ１４に対して接続された端末装置のそれぞれに対して、ＩＳＰ２から種々のデータがルータ１２を介して供給される。例えばオーディオデータ、ビデオデータ等のコンテンツデータがルータ１２に供給される。同時に、有線ＬＡＮ１３および／または無線ＬＡＮ１４に接続された端末装置同士が通信を行うことが可能とされている。 Various data is supplied from the ISP 2 via the router 12 to each of the terminal devices connected to the wired LAN 13 and the wireless LAN 14. For example, content data such as audio data and video data is supplied to the router 12. At the same time, terminal devices connected to the wired LAN 13 and / or the wireless LAN 14 can communicate with each other.

ＩＳＰ２によって管理されるホームネットワークの場合、端末装置が唯一の識別子を持つようにされる。識別子は、端末装置に対して装着および離脱自在とされた記録媒体（すなわち、リムーバブルな記録媒体）に対してＩＳＰ２が予め記録するものである。記録媒体としては、フラッシュメモリに情報を記録するＩＣカード（メモリカードとも呼ばれる）、磁性体に情報を記録する磁気カード、バーコード等の図形的パターンとして情報を記録するプラスティックカードなど、およそ情報を保持することができる情報記録媒体が使用可能である。本実施形態では、ＩＣカードを使用している。なお、ＩＣカードは、識別子を保持する機能以外にＬＡＮカード等の機能を持つようにしても良い。ルータ１２もルータ自身の識別子（ＩＤ：０）を有する。 In the case of a home network managed by ISP2, the terminal device has a unique identifier. The identifier is recorded in advance by the ISP 2 on a recording medium that can be attached to and detached from the terminal device (that is, a removable recording medium). As a recording medium, an IC card (also called a memory card) that records information in a flash memory, a magnetic card that records information on a magnetic material, a plastic card that records information as a graphic pattern such as a barcode, etc. An information recording medium that can be held can be used. In this embodiment, an IC card is used. Note that the IC card may have a function of a LAN card or the like in addition to the function of holding the identifier. The router 12 also has an identifier (ID: 0) of the router itself.

識別子（ＩＤ）が記録されたＩＣカードは、ルータ１２および各端末装置に装着可能とされている。端末装置ＴＥ１に装着されたＩＣカードＭＳ１には、（ＩＤ：１）が記録され、端末装置ＴＥ２に装着されたＩＣカードＭＳ２には、（ＩＤ：２）が記録され、端末装置ＴＥ３に装着されたＩＣカードＭＳ３には、（ＩＤ：３）が記録されている。さらに、端末装置ＴＥ４に装着されるＩＣカードＭＳ４には、（ＩＤ：４）が記録されている。なお、ＩＤに付された数字は、ＩＤのそれぞれを特定する意味を持つもので、データの値を意味するものではない。ＩＤのデータ構成としては、ビット長等、所定のフォーマットとされており、望ましくは暗号化されている。 The IC card in which the identifier (ID) is recorded can be attached to the router 12 and each terminal device. (ID: 1) is recorded on the IC card MS1 attached to the terminal device TE1, and (ID: 2) is recorded on the IC card MS2 attached to the terminal device TE2, and is attached to the terminal device TE3. In addition, (ID: 3) is recorded in the IC card MS3. Furthermore, (ID: 4) is recorded in the IC card MS4 attached to the terminal device TE4. It should be noted that the numbers attached to the IDs have the meaning of specifying the IDs and do not mean the data values. The data structure of the ID is a predetermined format such as a bit length, and is preferably encrypted.

ユーザが無線ＬＡＮ１４に対して端末装置ＴＥ４を接続しようとする場合には、ＩＳＰ２に新規の識別子（ＩＤ：４）を発行してもらう。すなわち、その識別子が記録されたＩＣカードＭＳ４の配布を受ける。図１は、ユーザがＩＣカードＭＳ４を入手した段階を示している。そして、このＩＣカードＭＳ４を図２に示すように、ルータ１２に装着する。ルータ１２は、ＩＣカードＭＳ４から識別子（ＩＤ：４）を読み取り、ルータ１２内に読み込む。言い方を換えれば、（ＩＤ：４）がルータ１２に事前登録される。 When the user tries to connect the terminal device TE4 to the wireless LAN 14, the ISP 2 issues a new identifier (ID: 4). That is, distribution of the IC card MS4 in which the identifier is recorded is received. FIG. 1 shows a stage where the user has obtained the IC card MS4. Then, the IC card MS4 is attached to the router 12 as shown in FIG. The router 12 reads the identifier (ID: 4) from the IC card MS4 and reads it into the router 12. In other words, (ID: 4) is pre-registered in the router 12.

ルータ１２の識別子の読み込みが終了したら，ＩＣカードＭＳ４がルータ１２から抜き取られ、端末装置ＴＥ４に再び装着される。端末装置ＴＥ４がルータ１２と通信を行う時に、識別子（ＩＤ：４）を送信することによって、ルータ１２と端末装置ＴＥ４との間のデータリンクレベルの認証がなされる。必要に応じて識別子（ＩＤ：４）を使用して暗号化鍵を生成し、通信の内容を暗号化しても良い。 When the reading of the identifier of the router 12 is completed, the IC card MS4 is removed from the router 12 and mounted again in the terminal device TE4. When the terminal device TE4 communicates with the router 12, an identifier (ID: 4) is transmitted, whereby data link level authentication between the router 12 and the terminal device TE4 is performed. If necessary, an encryption key may be generated using an identifier (ID: 4), and the content of communication may be encrypted.

このように、ＩＣカードＭＳ４をルータ１２に挿入し、次に、ＩＣカードＭＳ４を端末装置ＴＥ４に挿入することによって、データリンクレベルの認証を行うことができる。それによって、権限のない者が無線ＬＡＮ１４の通信の内容を盗み見ることを防止することができる。すなわち、ルータ１２の設置がされている家屋の外から第３者が無線ＬＡＮ１に接続することを防止できる。さらに、一実施形態では、端末認証を行う目的でもって、ＩＳＰ２が備えるデータベース３上に、ルータのＩＤと端末装置のＩＤとの対応関係が登録されている。ルータ１２のＩＤをＨＧＷＩＤと表記する。 In this manner, the data link level authentication can be performed by inserting the IC card MS4 into the router 12 and then inserting the IC card MS4 into the terminal device TE4. Thereby, it is possible to prevent an unauthorized person from stealing the contents of the communication of the wireless LAN 14. That is, a third party can be prevented from connecting to the wireless LAN 1 from outside the house where the router 12 is installed. Furthermore, in one embodiment, for the purpose of performing terminal authentication, the correspondence relationship between the router ID and the terminal device ID is registered in the database 3 provided in the ISP 2. The ID of the router 12 is denoted as HGWID.

ＩＳＰ２の備えるデータベース３には、ルータ１２のＨＧＷＩＤと端末装置のＩＤとの組み合わせの情報が予め登録されている。一例として、データベース３に対する登録処理は、端末装置の販売時にＩＳＰ２と販売店によってなされる。例えば端末装置ＴＥ４をユーザが購入する時に、自宅のルータ１２のＨＧＷＩＤを記録したカードをユーザが店に持参し、販売店がルータの情報とＩＣカードＭＳ４の情報とに基づいて、（ＨＧＷＩＤ：０，ＩＤ：４）の対応関係を示すデータをデータベース３に登録する。端末装置ＴＥ４と共に、予め（ＩＤ：４）が記録されているＩＣカードＭＳ４をユーザが取得する。 Information on the combination of the HGW ID of the router 12 and the ID of the terminal device is registered in advance in the database 3 provided in the ISP 2. As an example, the registration process for the database 3 is performed by the ISP 2 and a store when the terminal device is sold. For example, when the user purchases the terminal device TE4, the user brings a card in which the HGWID of the router 12 at home is recorded to the store. , ID: 4) is registered in the database 3 indicating the correspondence relationship. Along with the terminal device TE4, the user acquires the IC card MS4 in which (ID: 4) is recorded in advance.

勿論、データベース３に対する登録方法は、これに限定されるものではない。例えばインターネット１およびＩＳＰ２を通じて売買契約をしたときには、その通信のためのソフトウェアを搭載した端末装置が接続されているルータの情報に基づいて、ＩＳＰ２または注文の受取側がルータのＨＧＷＩＤと端末装置のＩＤの対応関係を示すデータをデータベース３に登録することが可能である。 Of course, the registration method for the database 3 is not limited to this. For example, when a sales contract is made through the Internet 1 and the ISP 2, the ISP 2 or the order receiver receives the router HGW ID and the terminal device ID based on the information of the router to which the terminal device loaded with the software for communication is connected. Data indicating the correspondence relationship can be registered in the database 3.

図３は、ルータ１２の構成を概略的に示す。ルータ１２は、参照符号２１で示す無線メディアアクセス制御部と、参照符号２２で示すルート制御部と、参照符号２３で示す無線制御部と、参照符号２４で示す問い合わせ部と、参照符号２５で示すＩＣカードインターフェース２５と、参照符号２６で示すアクセスラインメディアアクセス制御部と、参照符号２７で示す有線メディアアクセス制御部とから構成されている。無線メディアアクセス制御部２１は、無線ＬＡＮ１４に対するデータの送出を制御するものである。有線メディアアクセス制御部２７は、有線ＬＡＮ１３に対するデータの送出を制御するものである。 FIG. 3 schematically shows the configuration of the router 12. The router 12 has a wireless media access control unit indicated by reference numeral 21, a route control part indicated by reference numeral 22, a wireless control part indicated by reference numeral 23, an inquiry part indicated by reference numeral 24, and a reference numeral 25. It comprises an IC card interface 25, an access line media access control unit indicated by reference numeral 26, and a wired media access control unit indicated by reference numeral 27. The wireless media access control unit 21 controls transmission of data to the wireless LAN 14. The wired media access control unit 27 controls transmission of data to the wired LAN 13.

無線制御部２３によって複数の端末装置が無線で相互に接続されている。ルート制御部２２は、双方向アクセスライン４と接続されている。問い合わせ部２４は、無線メディアアクセス制御部２１、ルート制御部２２およびアクセスラインメディアアクセス制御部２６を介してＩＳＰ２と通信し、新たな端末装置の接続の可否をＩＳＰ２に問い合わせる。ＩＣカードインターフェース２５は、ＩＣカードのインターフェースであって、所定のフォーマットで記録された識別子を読み出せるようになっている。さらに、必要に応じてＩＣカードに対して鍵データ等を記録することが可能とされている。 A plurality of terminal devices are connected to each other wirelessly by the wireless control unit 23. The route control unit 22 is connected to the bidirectional access line 4. The inquiry unit 24 communicates with the ISP 2 via the wireless media access control unit 21, the route control unit 22, and the access line media access control unit 26, and inquires the ISP 2 about whether or not a new terminal device can be connected. The IC card interface 25 is an IC card interface and can read an identifier recorded in a predetermined format. Further, key data or the like can be recorded on the IC card as necessary.

図４のフローチャートを参照してデータリンクレベルの認証処理について説明する。この処理の流れは、ルータ１２または他のコンピュータに対してインストールされ、無線ＬＡＮ１４を制御するプログラムである。必要に応じてこのプログラムがコンピュータによって読取可能な記録媒体に記録される。但し、ステップＳ０は、上述したように、予めＩＤをデータベース３に登録する処理であり、以降の処理とは、別個になされるものである。 The data link level authentication process will be described with reference to the flowchart of FIG. This processing flow is a program that is installed in the router 12 or another computer and controls the wireless LAN 14. This program is recorded on a computer-readable recording medium as necessary. However, step S0 is a process of registering an ID in the database 3 in advance as described above, and is performed separately from the subsequent processes.

最初のステップＳ１では、ルータ１２にＩＣカードが挿入される。ルータ１２のＩＣカードインターフェース２５を介してＩＣカードに記録されている識別子例えば（ＩＤ：４）が読み込まれる。次にＩＣカードを端末装置ＴＥ４に戻す（装着する）。そして、通信時には、端末装置ＴＥ４がルータ１２に（ＩＤ：４）を通知する。ルータ１２は、端末装置ＴＥ４が読み込んだＩＤと同一のＩＤを有するものであることを認識する。このようにしてルータ１２と端末装置ＴＥ４との間のデータリンクレベルの認証が成立する。 In the first step S1, an IC card is inserted into the router 12. An identifier, for example, (ID: 4) recorded on the IC card is read via the IC card interface 25 of the router 12. Next, the IC card is returned (attached) to the terminal device TE4. At the time of communication, the terminal device TE4 notifies the router 12 of (ID: 4). The router 12 recognizes that it has the same ID as the ID read by the terminal device TE4. In this way, data link level authentication between the router 12 and the terminal device TE4 is established.

次に、端末認証がなされる。端末認証は、有線および無線の如何を問わず必要とされ、たとえファイヤーウォールを設置しなくても、セキュアなネットワークを構築するのに必要な処理である。以下、端末認証について説明する。 Next, terminal authentication is performed. Terminal authentication is required regardless of whether it is wired or wireless, and is a process necessary for building a secure network even if a firewall is not installed. Hereinafter, terminal authentication will be described.

図５は、有線ＬＡＮ１３に接続される端末装置ＴＥ１、ＴＥ２、ＴＥ３がそれぞれＩＣカードＭＳ１、ＭＳ２、ＭＳ３が装着されていること、並びにこれらのＩＣカードに記録されている識別子がＩＳＰ２のデータベース３に登録されていることを示している。有線ＬＡＮ１３に接続される端末装置の識別子をデータベース３に登録する方法としては、上述したのと同様のものが可能である。 FIG. 5 shows that the terminal devices TE1, TE2, and TE3 connected to the wired LAN 13 are equipped with IC cards MS1, MS2, and MS3, respectively, and the identifiers recorded on these IC cards are stored in the database 2 of ISP2. Indicates that it is registered. As a method for registering the identifier of the terminal device connected to the wired LAN 13 in the database 3, the same method as described above is possible.

図６を参照して端末認証の処理の流れを説明する。この処理の流れは、ルータ１２または他のコンピュータに対してインストールされ、有線ＬＡＮ１３および無線ＬＡＮ１４を制御するプログラムである。必要に応じてこのプログラムがコンピュータによって読取可能な記録媒体に記録される。なお、データベースに対するＩＤの登録処理が予めなされている。 The flow of terminal authentication processing will be described with reference to FIG. This processing flow is a program that is installed in the router 12 or another computer and controls the wired LAN 13 and the wireless LAN 14. This program is recorded on a computer-readable recording medium as necessary. An ID registration process for the database is performed in advance.

一例として、端末装置ＴＥ４（ＩＤ：４）が端末装置ＴＥ３（ＩＤ：３）に対して通信を行う場合を説明する。ステップＳ１１では、端末装置ＴＥ４が端末装置ＴＥ３に対してリンクの確立を要求する。ステップＳ１２では、この要求を受け取った端末装置ＴＥ３がルータ１２を介してＩＳＰ１２に対して、端末装置ＴＥ４が同一のグループに属するものか否かを問い合わせる。ルータ１２の問い合わせ部２４が連携して、ＩＳＰ１２に対してルータ１２の識別子（ＩＤ：０）も送信する。望ましくは、認証のための通信が暗号化されている。 As an example, a case where the terminal device TE4 (ID: 4) performs communication with the terminal device TE3 (ID: 3) will be described. In step S11, the terminal device TE4 requests the terminal device TE3 to establish a link. In step S12, the terminal device TE3 that has received this request inquires the ISP 12 via the router 12 whether or not the terminal device TE4 belongs to the same group. The inquiry unit 24 of the router 12 cooperates to transmit the identifier (ID: 0) of the router 12 to the ISP 12. Desirably, the communication for authentication is encrypted.

ステップＳ１３では、ＩＳＰ２がデータベース３を参照する。そして、ステップＳ１４において、（ＩＤ：３）と（ＩＤ：４）とが同一グループか否かが調べられる。データベース３には、（ＨＧＷＩＤ：０）に対して、ＩＤとして（１，２，３，４）が登録されている。したがって、（ＩＤ：３）と（ＩＤ：４）とが同一グループと決定される。 In step S13, the ISP 2 refers to the database 3. In step S14, it is checked whether (ID: 3) and (ID: 4) are in the same group. In the database 3, (1, 2, 3, 4) is registered as an ID with respect to (HGW ID: 0). Therefore, (ID: 3) and (ID: 4) are determined to be the same group.

この結果は、ＩＳＰ２から双方向アクセスライン４、アクセスラインメディアアクセス制御部２６およびルート制御部２２およびを介してルータ１２に送信され、さらに、ルータ１２から端末装置ＴＥ３に送信される。同一グループの場合には、端末認証が成立する（ステップＳ１５）。そして、ステップＳ１６において、端末装置ＴＥ３およびＴＥ４間のセキュリティが確立される。若し、ステップＳ１４において、同一グループでないとの決定がなされた場合には、端末認証が不成立となる（ステップＳ１７）。その場合には、セキュリティは確立されない。なお、ホームネットワークのセキュリティを確保するために、リンクが確立された後に、端末装置からＩＣカードを抜き取ると、セキュリティの確立が無効とされる。 This result is transmitted from the ISP 2 to the router 12 via the bidirectional access line 4, the access line medium access control unit 26 and the route control unit 22, and further transmitted from the router 12 to the terminal device TE3. In the case of the same group, terminal authentication is established (step S15). In step S16, security between the terminal devices TE3 and TE4 is established. If it is determined in step S14 that they are not in the same group, terminal authentication is not established (step S17). In that case, security is not established. If the IC card is removed from the terminal device after the link is established in order to ensure the security of the home network, the establishment of security is invalidated.

図７は、他人のホームネットワークに登録されている端末装置が自分のホームネットワークに対して持ち込んだ状況を示している。他の端末装置をＴＥ１０と表記し、そのＩＣカードをＭＳ１０、その識別子を（ＩＤ：１０）と表記する。この場合では、ＩＣカードＭＳ１０をルータ１２に装着し、ルータ１２に（ＩＤ：１０）を読み込ませる。それによって、データリンクレベルの認証が成立する。しかしながら、ＩＳＰ２のデータベース３には、（ＩＤ：１０）は、ルータ１２（ＨＧＷＩＤ：０）と同一のグループとして登録されていない。したがって、端末認証が成立しない。 FIG. 7 shows a situation where a terminal device registered in another person's home network has brought it into their home network. The other terminal device is represented as TE10, the IC card is represented as MS10, and the identifier is represented as (ID: 10). In this case, the IC card MS10 is attached to the router 12, and the router 12 is made to read (ID: 10). As a result, authentication at the data link level is established. However, (ID: 10) is not registered in the database 2 of ISP 2 as the same group as the router 12 (HGW ID: 0). Therefore, terminal authentication is not established.

このことは、端末装置ＴＥ１０は、ルータ１２を介してインターネット１、並びにその人のホームネットワークとは接続可能であるが、有線ＬＡＮ１３および無線ＬＡＮ１４と接続された端末装置とは通信不可能なことを意味する。すなわち、ＩＣカードを使用したデータリンクレベルの認証の仕組みをもつ端末装置は、同様の仕組みを持つ他のホームネットワークを介して外部との通信が可能となる利点がある。 This means that the terminal device TE10 can be connected to the Internet 1 and the person's home network via the router 12, but cannot communicate with the terminal device connected to the wired LAN 13 and the wireless LAN 14. means. That is, a terminal device having a data link level authentication mechanism using an IC card has an advantage that communication with the outside is possible via another home network having a similar mechanism.

さらに、図８は、端末装置例えばＴＥ４を家庭外に持ち出して、公衆アクセスポイント３１を介して通信を行う例を示す。端末装置ＴＥ４には、（ＩＤ：４）が記録されたＩＣカードＭＳ４が装着されている。但し、この場合では、ＩＣカードＭＳ４を遠い箇所のルータ１２に装着することは、不可能であるので、データリンクレベルの認証が省略される。但し、公衆アクセスポイント３１がＩＣカードによる識別子の事前登録を受付可能な構成を持つことは可能である。 Further, FIG. 8 shows an example in which a terminal device such as TE4 is taken out of the home and communication is performed via the public access point 31. The terminal device TE4 is loaded with an IC card MS4 in which (ID: 4) is recorded. However, in this case, it is impossible to attach the IC card MS4 to the router 12 at a distant place, so that data link level authentication is omitted. However, it is possible for the public access point 31 to have a configuration capable of accepting pre-registration of an identifier using an IC card.

端末装置ＴＥ４は、公衆アクセスポイント３１を通じてインターネット１にアクセス可能とされ、さらに、自分の家庭のホームネットワークの端末装置との通信が可能とされる。その場合には、上述したような端末認証がなされ、端末認証が成立した場合のみ、セキュリティが確立される。このようにホームネットワークで使用される端末装置であっても、家庭外に持ち出して使用できる。 The terminal device TE4 can access the Internet 1 through the public access point 31, and further can communicate with the terminal device of the home network of its own home. In that case, terminal authentication as described above is performed, and security is established only when terminal authentication is established. Thus, even a terminal device used in a home network can be taken out of the home and used.

この発明は、上述したこの発明の一実施形態に限定されるものでは無く、この発明の要旨を逸脱しない範囲内で様々な変形や応用が可能である。例えば、上述した一実施形態では、ホームネットワークの例について説明したが、家庭に限らず、会社内のネットワークであっても、この発明を適用できる。 The present invention is not limited to the above-described embodiment of the present invention, and various modifications and applications can be made without departing from the gist of the present invention. For example, in the above-described embodiment, an example of a home network has been described. However, the present invention can be applied to a network in a company as well as a home.

１・・・インターネット、２・・・ＵＮＳＰ、３・・・データベース、１２・・・ルータ、１３・・・有線ＬＡＮ、１４・・・無線ＬＡＮ、ＴＥ１〜ＴＥ４、ＴＥ１０・・・端末装置、ＭＳ１〜ＭＳ４、ＭＳ１０・・・ＩＣカード DESCRIPTION OF SYMBOLS 1 ... Internet, 2 ... UNSP, 3 ... Database, 12 ... Router, 13 ... Wired LAN, 14 ... Wireless LAN, TE1-TE4, TE10 ... Terminal device, MS1 ~ MS4, MS10 ... IC card

Claims

First identification information for identifying a terminal device connected by wireless communication is read, and a control unit that authenticates the terminal device;
A communication unit connected via a network to an information processing apparatus that stores the first identification information and second identification information for identifying the wireless communication apparatus in association with each other;
When communicating between the terminal devices, an inquiry is made to the information processing device via the communication unit as to whether or not both of the terminal devices belong to the same group identified by the second identification information. A wireless communication apparatus that establishes terminal authentication when it is determined as a result of the inquiry that both of the terminal apparatuses belong to the same group.

The wireless communication apparatus according to claim 1, wherein communication is encrypted using the first identification information.

The wireless communication apparatus according to claim 1, further comprising a wired communication unit.

A network system comprising an information processing device and a wireless communication device connected to the information processing device via a network, wherein a terminal device is connected to the wireless communication device by wireless communication,
The wireless communication device
First identification information for identifying a terminal device connected by wireless communication is read, and a control unit that authenticates the terminal device;
A communication unit connected via a network to an information processing apparatus that stores the first identification information and second identification information for identifying the wireless communication apparatus in association with each other;
When communicating between the terminal devices, an inquiry is made to the information processing device via the communication unit as to whether or not both of the terminal devices belong to the same group identified by the second identification information. , If it is determined as a result of the inquiry that both of the terminal devices belong to the same group, the terminal authentication is established,
The information processing apparatus includes:
A communication unit connected via a network to a wireless communication device to which a terminal device is connected by wireless communication;
Storage means for associating and storing first identification information for identifying the terminal device and second identification information for identifying the wireless communication device;
An inquiry about whether or not the first identification information of a plurality of the terminal devices belongs to the same group of groups distinguished by the second identification information is received from the wireless communication device via the communication unit, and the inquiry A network system that transmits a determination on the wireless communication device via the communication unit.

The network system according to claim 4, wherein communication is encrypted using the first identification information.

The network system according to claim 4, further comprising a wired communication unit.

In a network system comprising an information processing device and a wireless communication device connected to the information processing device via a network, wherein a terminal device is connected to the wireless communication device by wireless communication,
In the wireless communication device, first identification information for identifying a terminal device connected by wireless communication is read, and the terminal device is authenticated,
In the information processing device, first identification information for identifying the terminal device and second identification information for identifying the wireless communication device are stored in association with each other,
When communicating between the terminal devices, an inquiry is made to the information processing device via the communication unit as to whether or not both of the terminal devices belong to the same group identified by the second identification information. ,
A communication method for establishing terminal authentication when the information processing device determines that both of the terminal devices belong to the same group.

The communication method according to claim 7, wherein communication is encrypted using the first identification information.