JP5278272B2 - ネットワーク通信装置及びその自動再接続方法 - Google Patents

Description

本発明は、アソシエーション制限が施されるネットワーク通信装置及びその自動再接続方法に関する。

アソシエーションとは、本出願では２つの通信装置が通信を開始するための初期接続と定義する。このアソシエーションの中では、例えば、第１の通信装置が第２の通信装置に接続要求を送信し、その接続要求に対して第２の通信装置が接続に応じるならば、シーケンス番号の初期化、認証及び鍵交換により通信の下準備が行われる。

一般に閉じたセキュアネットワークでは、ネットワーク内の通信装置は、所望の通信装置以外からの接続は受け付けないようになっていることが望ましい。このために一般に認証技術が利用されている。これにより不正な侵入を防ぐことができる。しかしながら、ＤｏＳ攻撃(Denial of Service Attack：サービス不能攻撃）に関しては防ぐことが難しい。すなわち、悪意のある通信装置が、例えば、第２の通信装置に対して、接続要求→認証→失敗→（アドレスを変えて）接続要求→認証→失敗→・・・を繰り返すことにより第２の通信装置の計算資源を浪費させ、故意にネットワークの性能を低下させるＤｏＳ攻撃までは、認証によって防ぐことができない。そこで第２の通信装置にアソシエーションそのものを一切受け付けないようにして動作させる対策が考えられている。もし新たな通信装置を第２の通信装置に接続させる必要があるときには、ハンディ管理装置を含むネットワーク管理通信装置から当該第２の通信装置のアソシエーション制限を解除して接続させることが行われる。

特開２００７−１３３４８号公報

しかしながら、ここにおいて問題になることは、既に接続を確立している正当な第３の通信装置が、何らかの要因によって通信鍵を失うなどして、再びアソシエーションをする必要が生じた場合のアソシエーション制限の解除である。この場合には、上記の管理装置を再び用いてアソシエーション制限を解除しなければならなくなる。これが例えば家庭用の無線ＬＡＮならば、アソシエーシヨン制限管理の対象はアクセスポイントだけとなるが、大規模なセンサネットワークや制御システム用ネットワークではすべてのルータ装置が対象となるため、スケーラビリティが問題になる。つまり、障害の起こった通信装置を探し、その周囲にあるルータ装置を特定してアソシエーション制限解除をしなければならないが、このことは管理工数が膨大になる可能性がある。このようなネットワークではアソシエーション制限下であっても、自律的にネットワークに復帰できるのが望ましい。

特許文献１に記載されている方法によれば、無線通信機器についているボタンを押下したときだけ、任意のアソシエーションを１つだけ、受け付けることになっている。ボタンがいつ押下されたかについては本人以外は知らないため、アソシエーションを悪用したＤｏＳ攻撃を防ぐことができる。

ボタン押下により操作性の向上は見られるが、従来の方法はあくまでアソシエーション制限の解除に人間による操作を必要としている。

そこで、本発明の目的は、アソシエーション制限下であっても、正当な通信装置であればその正当な通信装置と再アソシエーションを自律的に行うことができるネットワーク通信装置及びその自動再接続方法を提供することである。

本発明のネットワーク通信装置は、他の通信装置からの接続要求をネットワークを介して受信したとき前記他の通信装置とのアソシエーションが可能か否かを判定するアソシエーション可能判定手段と、前記アソシエーション可能判定手段によってアソシエーションが可能と判定された後、前記他の通信装置とのエンティティ認証が成功したか否かを判定するエンティティ認証判定手段と、前記エンティティ認証判定手段によってエンティティ認証が成功したと判定されたとき前記他の通信装置を識別する識別子を記憶する登録通信装置記憶手段と、前記他の通信装置との通信が不可能となったか否かを監視し、前記他の通信装置との通信が不可能となったことを検出したとき前記登録通信装置記憶手段から前記他の通信装置についての識別子の記憶を削除する接続状態管理手段と、前記接続状態管理手段によって前記他の通信装置との通信が不可能となったことが検出されたとき前記他の通信装置を識別する識別子をアソシエーションホワイトリスト記憶手段に記憶させるアソシエーションホワイトリスト管理手段と、を備えたネットワーク通信装置であって、前記アソシエーション可能判定手段は、アソシエーション制限状態であっても前記アソシエーションホワイトリスト記憶手段に前記他の通信装置を識別する識別子が記憶されているならば前記他の通信装置とのアソシエーションが可能と判定することを特徴としている。

本発明のネットワーク通信装置の自動再接続方法は、他の通信装置からの接続要求をネットワークを介して受信したとき前記他の通信装置とのアソシエーションが可能か否かを判定するアソシエーション可能判定ステップと、前記アソシエーション可能判定ステップにおってアソシエーションが可能と判定された後、前記他の通信装置とのエンティティ認証が成功したか否かを判定するエンティティ認証判定ステップと、前記エンティティ認証判定ステップにおいてエンティティ認証が成功したと判定されたとき前記他の通信装置を識別する識別子を登録通信装置記憶手段に記憶させる記憶ステップと、前記他の通信装置との通信が不可能となったか否かを監視し、前記他の通信装置との通信が不可能となったことを検出したとき前記登録通信装置記憶手段から前記他の通信装置についての識別子の記憶を削除する接続状態管理ステップと、前記接続状態管理ステップにおいて前記他の通信装置との通信が不可能となったことが検出されたとき前記他の通信装置を識別する識別子をアソシエーションホワイトリスト記憶手段に記憶させるアソシエーションホワイトリスト管理ステップと、を備え、前記アソシエーション可能判定ステップでは、アソシエーション制限状態であっても前記アソシエーションホワイトリスト記憶手段に前記他の通信装置を識別する識別子が記憶されているならば前記他の通信装置とのアソシエーションが可能と判定することを特徴としている。

本発明のネットワーク通信装置及びその自動再接続方法によれば、他の通信装置との通信が不可能となったことが検出されたとき他の通信装置を識別する識別子をアソシエーションホワイトリスト記憶手段に記憶させ、アソシエーション制限状態であっても他の通信装置からの接続要求をネットワークを介して受信したときアソシエーションホワイトリスト記憶手段に他の通信装置を識別する識別子が記憶されているならば他の通信装置とのアソシエーションが可能と判定するので、他の通信装置が正当な通信装置であればその正当な通信装置と再アソシエーションを自律的に行うことができる。

本発明の第１の実施例のノード装置の構成を示すブロック図である。 本発明の第１の実施例の正当通信装置の構成を示すブロック図である。 本発明の第１の実施例の悪意通信装置の構成を示すブロック図である。 図１のノード装置の動作を示すフローチャートである。 本発明の第２の実施例としてノード装置の動作を示すフローチャートである。 無効化マーク解除動作を示すフローチャートである。 本発明の第３の実施例のノード装置の構成を示すブロック図である。 図７のノード装置の動作を示すフローチャートである。

以下、本発明の実施例を図面を参照しつつ詳細に説明する。

図１は本発明の第１の実施例としてルータノードをなすネットワーク通信装置であるノード装置の構成を示している。

このルータ装置は、アソシエーション制限制御部１０１、送受信部１０２、エンティティ認証部１０３、登録通信装置記憶部１０４、接続状態管理部１０５、アソシエーションホワイトリスト管理部１０６、及びアソシエーションホワイトリスト記憶部１０７を備えている。送受信部１０２はアソシエーション制限制御部１０１及び接続状態管理部１０５に接続されている。

アソシエーション制限制御部１０１は、アソシエーション可能判定手段であり、接続要求を受けてその要求に応じるか否かを判定する。本実施例では、ネットワーク管理装置（図示せず）からアソシエーション制限制御解除コマンドを送受信部１０２がアンテナ１０９を介して受信した場合に、アソシエーション制限を一時的に解除する。またボタンインタフェースを用意して、そのボタンが押下されたときに一時的に解除するようにしても良い。また、アソシエーション制限制御部１０１は、アソシエーションホワイトリスト記憶部１０７に含まれる通信装置のアソシエーションは受け付けるようなフィルタリング機能を有している。なお、一時的に解除されたアソシエーション制限を、再び掛けるための条件は特に指定しないが、例えば、タイマ（図示せず）を利用して一定時間後に再制限しても良いし、カウンタ（図示せず）を用いてアソシエーションを１回受け付けたときに再制限するようにしても良い。

送受信部１０２は、図示しないネットワークにアンテナ１０９を介して無線にて接続され、任意の通信装置と通信をするための送受信機能を有する。また、分離して図示しないが、送信データの暗号化、受信データの復号化及びデータ認証はここにおいて適宜実施されるものとする。またアソシエーションを確立した通信装置のシーケンス番号等の諸パラメータもここにおいて管理されているものとする。

エンティティ認証部１０３はエンティティ認証判定手段であり、アソシエーション制限制御部１０１に接続され、規定の認証プロトコルを実行して、接続要求を発行した通信装置の認証情報（アドレスを含む）を検証する。

登録通信装置記憶部１０４は登録通信装置記憶手段であり、エンティティ認証部１０３に接続され、エンティティ認証部１０３における認証が成功した通信装置の識別子（例えば、アドレス）を記憶する。識別子としては各通信装置を個別に特定し得る符号や番号であれば良い。

接続状態管理部１０５は接続状態管理手段であり、送受信部１０２と共に登録通信装置記憶部１０４及びアソシエーションホワイトリスト管理部１０６に接続されている。接続状態管理部１０５は登録通信装置記憶部１０４に識別子が記憶されている通信装置との通信が可能な接続状態を監視し、接続が切断された場合には、当該通信装置の識別子（例えば、アドレス）をアソシエーションホワイトリスト管理部１０６に通知する。接続状態の監視方法は特に指定しないが、例えば、アドホック無線ネットワークでＯＬＳＲ（Optimized Link State Routing)ルーティングプロトコルを採用している場合であれば、Ｈｅｌｌｏパケットが受信されなくなった場合に切断と判断しても良い。またクエリに対する応答が得られない場合に切断と判断しても良い。

アソシエーションホワイトリスト管理部１０６はアソシエーションホワイトリスト記憶部１０７に接続されている。アソシエーションホワイトリスト管理部１０６がアソシエーションホワイトリスト管理手段であり、アソシエーションホワイトリスト記憶部１０７がアソシエーションホワイトリスト記憶手段である。

アソシエーションホワイトリスト管理部１０６は、接続状態管理部１０５から切断された通信装置の識別子を受け取ってアソシエーションホワイトリスト記憶部１０７に記憶させる。また、アソシエーションホワイトリスト管理部１０６は、その切断された通信装置からの再接続要求があった場合に、当該切断通信装置の識別子をアソシエーションホワイトリスト記憶部１０７から削除する。

アソシエーションホワイトリスト記憶部１０７はアソシエーション制限制御部１０１に接続され、記憶している通信装置の識別子に基づいてアソシエーションを許可しても良い通信装置の識別子をアソシエーション制限制御部１０１に提供する。

図２は、再接続するノードである正当な通信装置２００の構成を示している。この正当通信装置２００は、接続要求発行部２０１、送受信部２０２、エンティティ認証部２０３、及び認証情報記憶部２０４を備えている。送受信部２０２は接続要求発行部２０１及びエンティティ認証部２０３に接続されている。

接続要求発行部２０１は、アソシエーション対象の通信装置を決定して接続要求を発行し、それを送信のために送受信部２０２に供給する。

送受信部２０２は上記のネットワークにアンテナ２０５を介して無線にて接続可能にされ、任意の通信装置と通信をするための送受信機能を有する。送受信データの暗号化やデータ認証はここにおいて適宜実施されるものとする。またアソシエーションを確立した通信装置のシーケンス番号等もここにおいて管理されているものとする。

エンティティ認証部２０３は、認証情報記憶部２０４に接続され、認証情報記憶部２０４が記憶している認証情報を利用して接続要求先とエンティティ認証を行う。

認証情報記憶部２０４はエンティティ認証のための認証情報を記憶している。

図３は認証情報を持たないで接続要求を頻繁に送信する悪意ノードである悪意通信装置３００の構成を示している。この悪意通信装置３００は、接続要求発行部３０１、送受信部３０２、エンティティ認証部３０３、及びパケットスニッファ３０４を備えている。送受信部３０２は接続要求発行部３０１、エンティティ認証部３０３及びパケットスニッファ３０４各々と接続されている。

接続要求発行部３０１は適当なルータ装置を決定して、接続要求を適当に発行する。

送受信部３０２は上記のネットワークにアンテナ３０５を介して無線にて接続可能にされ、データの送受信機能を有する。

エンティティ認証部３０３はエンティティ認証プロトコルを実装している。ただし、認証情報を持たないために非常に高い確率で認証に失敗する。

パケットスニッファ３０４はネットワーク内でやり取りされている情報を盗聴する機能を有し、例えば、暗号化の対象外となっているアドレス情報フィールドを解析することで、周囲にどんなアドレスの通信装置があるかを知ることができる。

次に、上記のルータ装置１００の動作について図４のフローチャートを用いて説明する。

今、ルータ装置１００は無線アドホックネットワークのルータ装置であるとし、正当通信装置２００はルータ装置１００に接続して上記のネットワークに参加しようとしている。また、悪意ルータの悪意通信装置３００はルータ装置１００に対して接続要求を繰り返し送信するＤｏＳ攻撃を試みようとしている。

先ず、設置者が認証情報を持った正当な通信装置２００をルータ装置１００と通信可能な位置に設置する。そして、ネットワーク管理装置としての無線ハンディ装置を操作してルータ装置１００に制限解除コマンドを暗号化して送信し、これをルータ装置１００の送受信部１０２が受信・復号化してアソシエーション制限制御部１０１に送り、当該アソシエーション制限制御部１０１がアソシエーション制限を一時的に解除する（ステップＳ１１）。その後、通信装置２００の電源が投入されると、通信装置２００の接続要求発行部２０１により発行された接続要求が、ルータ装置１００の送受信部１０２において受信される（ステップＳ１２のＹｅｓ）。アソシエーション制限制御部１０１はそのときアソシエーション制限を解除中なので、アソシエーション可能と判定して接続要求を受け入れる（ステップＳ１３のＹｅｓ）と共に、エンティティ認証部１０３と、通信装置２００のエンティティ認証部２０３とがエンティティ認証を行う（ステップＳ１４）。

なお、このエンティティ認証はルータ装置１００との間で行わずに、別途認証サーバとの間で行うようにしても良い。その場合には、ルータ装置１００は単にパケットの中継を行う。認証結果は認証サーバからルータ装置１００に伝えられる。

エンティティ認証に成功すると（ステップＳ１４のＹｅｓ）、ルータ装置１００は登録通信装置記憶部１０４に通信装置２００のアドレスを識別子として記憶させる（ステップＳ１５）。そしてルータ装置１００と通信装置２００は、互いにシーケンス番号を初期化し、通信用暗号鍵を合意する。また、その他の必要な通信パラメータを設定する。通信装置２００ではルータ装置１００との通信のための図示しないＲＡＭに通信用暗号鍵やシーケンス番号が記憶される。

この後においては、通信装置２００はアソシエーションなしにルータ装置１００と通信することができる。

ところが、通信可能となってからしばらくして通信装置２００はトラブルにより電源供給が一時的に止まり、送受信できなくなったとする。また、通信装置２００では上記のＲＡＭに記憶してあった通信用暗号鍵やシーケンス番号が消失してしまう。

このような場合には、ルータ装置１００の接続状態管理部１０５は通信装置２００と通信ができなくなったことを検知する（ステップＳ１８のＹｅｓ）と共に、アソシエーションホワイトリスト管理部１０６に通信装置２００のアドレスを伝達する。接続状態管理部１０５は登録通信装置記憶部１０４に記憶されている当該通信装置２００のアドレス（エントリ）を削除し、一方、アソシエーションホワイトリスト管理部１０６は直ちに当該通信装置２００のアドレスをアソシエーションホワイトリスト記憶部１０７に記憶させる（ステップＳ１９）。

その後、通信装置２００では電源供給が回復して再起動し、ルータ装置１００への再接続を試みるとする。

通信装置２００はルータ装置１００のアドレスに対してアクセスすることによりルータ装置１００を発見し、接続要求発行部２０１からルータ装置１００に対して接続要求を発行する。ルータ装置１００のアソシエーション制限制御部１０１は、アソシエーションホワイトリスト記憶部１０７を参照して、接続要求を発行した通信装置２００のアドレスが当該アソシエーションホワイトリスト記憶部１０７に記憶されていることをチェックして、エンティティ認証部１０３を呼び出す（ステップＳ１３のＹｅｓ）。この後、ルータ装置１００のエンティティ認証部１０３と、通信装置２００のエンティティ認証部２０４とでエンティティ認証を実行し、成功した場合（ステップＳ１４のＹｅｓ）にはアソシエーションホワイトリスト管理部１０６がアソシエーションホワイトリスト記憶部１０７から通信装置２００のアドレスを削除する（ステップＳ１６及びＳ１７）。

ここで、悪意通信装置３００がルータ装置１００に対して、接続要求を頻繁に発行するＤｏＳ攻撃を始めたとする。ＤｏＳ攻撃では悪意通信装置３００は通信を盗聴して、正当な通信装置２００のアドレスを解析し、アドレスだけ通信装置２００になりすましている。この時、アソシエーション制限中であるが、ルータ装置１００のアソシエーション制限制御部１０１は、ステップＳ１３において悪意通信装置３００からの接続要求に対してアソシエーションホワイトリスト記憶部１０７を参照して、アソシエーションホワイトリスト記憶部１０７に通信装置２００のアドレスが存在しないことを確認すると、悪意通信装置３００の接続要求を棄却する。

上記した第１の実施例において、ルータ装置１００は、比較的多くの通信量及び計算量を必要とする認証プロトコルを無駄に実行することなく、アドレスだけ正当通信装置２００になりすました悪意通信装置３００のアソシエーション要求を棄却することができる。一方、正当通信装置２００が障害から回復した場合には、ネットワーク管理装置からの制限解除コマンドを受信しなくても再接続要求は受け入れるようにすることができる。

また、上記した第１の実施例において、アソシエーションホワイトリスト記憶部１０７にアドレス等の識別子の記憶についての賞味期限を持たせるようにしても良い。例えば、アソシエーションホワイトリスト記憶部１０７に正当通信装置２００についての識別子が記憶されてから所定の期間（例えば、１時間）に亘って正当通信装置２００からの接続要求がないならば、アソシエーションホワイトリスト管理部１０６がその識別子の記憶をアソシエーションホワイトリスト記憶部１０７から削除する構成にすることができる。

図５は本発明の第２の実施例としてルータ装置１００の動作を示している。この第２の実施例においては、ルータ装置１００は図１に示した構成を有しているが、ルータ装置１００中のアソシエーションホワイトリスト管理部１０６には、ホワイトリスト管理ポリシ及びポリシ管理機能が追加されている。

ホワイトリスト管理ポリシには次の(A1)〜(A4)のことが含まれる。
(A1) エンティティ認証に成功した通信装置の識別子はアソシエーションホワイトリストから削除する。（これは第１の実施例でステップＳ１７において実行されていることと同一である。）
(A2) アソシエーションホワイトリストに識別子が登録されている通信装置との認証プロトコルが３回失敗した場合に、当該通信装置のエントリに一時的に無効化マークを付ける。
(A3) 無効化マークが付いた通信装置はアソシエーションホワイトリストに識別子が登録されていても接続要求を棄却する。
(A4) １日に一回無効化マークを消す。

更に、アソシエーション制限制御部１０１は、無効化マークのついた通信装置からの接続要求は、例えアソシエーションホワイトリスト記憶部１０７に識別子が登録されていても棄却する。

その他の通信装置２００及び悪意通信装置３００には構成上の変更はない。従って、以下の第２の実施例の動作説明においては図１〜図３に用いた符号がそのまま用いられる。

先ず、設置者が認証情報を持った正当な通信装置２００をルータ装置１００と通信可能な位置に設置する。そして、無線ハンディ装置を操作してルータ装置１００のアソシエーション制限を一時的に解除する（ステップＳ１１）。その後、通信装置２００に電源が投入されると、通信装置２００の接続要求発行部２０１により発行された接続要求が、ルータ装置１００の送受信部１０２において受信される（ステップＳ１２のＹｅｓ）。アソシエーション制限制御部１０１はそのときアソシエーション制限を解除中なので、アソシエーション可能と判定して接続要求を受け入れる（ステップＳ１３のＹｅｓ）と共に、エンティティ認証部１０３と、通信装置２００のエンティティ認証部２０３とがエンティティ認証を行う（ステップＳ１４）。

なお、このエンティティ認証はルータ装置１００との間で行わずに、別途認証サーバとの間で行うようにしても良い。その場合には、ルータ装置は単にパケットの中継を行う。認証結果は認証サーバからルータ装置１００に伝えられる。

エンティティ認証に成功すると（ステップＳ１４のＹｅｓ）、ルータ装置１００は登録通信装置記憶部１０４に前記通信装置２００のアドレスを識別子として記憶させる（ステップＳ１５）。そしてルータ装置１００と通信装置２００は、互いにシーケンス番号を初期値である０にセットし、通信用暗号鍵を合意する。

この後、悪意者が、故意に通信装置２００の電波伝搬手段を遮断したとする。その結果、ルータ装置１００は通信装置２００と通信ができなくなったことを、接続状態管理部１０５が検知し（ステップＳ１８のＹｅｓ）、アソシエーションホワイトリスト管理部１０６に通信装置２００のアドレスを伝達する。アソシエーションホワイトリスト管理部１０６は直ちに当該通信装置２００のアドレスをアソシエーションホワイトリスト記憶部１０７に記憶させる（ステップＳ１９）。

そこで、悪意者は悪意通信装置３００を起動し、悪意通信装置３００はアドレスだけ通信装置２００になりすまして接続要求をルータ装置１００に送信する。ルータ装置１００のアソシエーション制限制御部１０１はステップＳ１３においてアソシエーションホワイトリスト記憶部１０７を参照して通信装置２００のアドレスを発見すると、エンティティ認証部１０３を呼び出し、エンティティ認証部１０３がエンティティ認証を実行する。しかしながら、悪意通信装置３００は正当な認証情報を持っていないので認証に失敗する（ステップＳ１４のＮｏ）。このとき、アソシエーションホワイトリスト管理部１０６は、直ちにアソシエーションホワイトリスト記憶部１０７に記憶されている通信装置２００の認証失敗回数Ｎを１回と設定する（ステップＳ２０）。Ｎの初期値は０である。アソシエーションホワイトリスト管理部１０６はステップＳ２０の実行後、認証失敗回数Ｎが３回になったか否かを判別する（ステップＳ２１）。Ｎ＜３であるならば、ステップＳ１２に戻って接続要求の受信があるか否かを判別することが行われる。

上記したようにＤｏＳ攻撃では、認証に成功するまでアドレスを変えて接続要求が繰り返されるので、悪意通信装置３００は再び接続要求をルータ装置１００に対して送信し、エンティティ認証を実行するが再び失敗する。そこでアソシエーションホワイトリスト管理部１０６は、アソシエーションホワイトリスト記憶部１０７に記憶されている通信装置２００の認証失敗回数Ｎを２回と設定する（ステップＳ２０）。

同様に、悪意通信装置３００は３度目の接続要求をルータ装置１００に対して送信し、エンティティ認証に失敗することになる。これに対し、アソシエーションホワイトリスト管理部１０６は、アソシエーションホワイトリスト記億部１０７に記憶されている通信装置２００の認証失敗回数Ｎを３回と記憶すると共に、ホワイトリスト管理ポリシ(A2)に従ってアソシエーションホワイトリストにおいて通信装置２００について無効化マークを設定する。なお、無効化マークを設定するための失敗回数Ｎの条件は３回でなくとも良い。またＮ＝４等の別の条件を設定しても良い。

よって、悪意通信装置３００が再び接続要求をルータ装置１００に送信しても、アソシエーション制限制御部１０１はステップＳ１３においてはアソシエーションホワイトリスト記憶部にアドレスが記憶された通信装置２００について無効化マークが付いていることから、ホワイトリスト管理ポリシ(A3)に従って当該接続要求を棄却する。その結果、エンティティ認証が実行されない。

ルータ装置１００のアソシエーションホワイトリスト管理部１０６は、図５のアソシエーション動作とは別に、図６に示すように、図示しない時計の時刻を読み取り（ステップＳ３１）、０：００を迎えると（ステップＳ３２のＹｅｓ）、ホワイトリスト管理ポリシ(A4)に従ってアソシエーションホワイトリスト記憶部１０７に記憶されている全て通信装置（通信装置２００を含む）についての無効化マークを解除し（ステップＳ３３）、各々の認証失敗回数Ｎを０回に初期化する（ステップＳ３４）。

また、アソシエーションホワイトリスト管理部１０６は、図５に示すように、ルータ装置１００のアソシエーション動作において切断判定がＮｏの場合に時刻が０：００を迎えると（ステップＳ２３のＹｅｓ）、ホワイトリスト管理ポリシ(A4)に従ってアソシエーションホワイトリスト記憶部１０７に記憶されている全て通信装置（通信装置２００を含む）についての無効化マークを解除し（ステップＳ２３）、各々の認証失敗回数Ｎを０回に初期化する（ステップＳ２４）ことにしても良い。

ここで、無効化マークの解除条件は、時刻０：００を迎えることに限定しない。別の時刻でも良いし、別の条件を適用しても良い。ただし、このときまでに悪意ノードは排除されており、通信装置２００の通信機能も回復していることが必要である。

なお、通信装置２００のアドレスがアソシエーションホワイトリスト記憶部１０７に記憶された後に通信装置２００が、接続要求をルータ装置１００に送信し、第１の実施例と同様にして認証に成功すると、ルータ装置１００のアソシエーションホワイトリスト管理部１０６は、ホワイトリスト管理ポリシ(A1)に従ってアソシエーションホワイトリスト記憶部から通信装置２００のエントリを削除する（ステップＳ１７）。

このように、第２の実施例は、故意に通信装置２００を通信できないようにした上で、ルータ装置１００のアソシエーションホワイトリスト記憶部１０７に通信装置２００のアドレスが記憶された頃に、通信装置２００のアドレスを装って接続要求を行ってアソシエーションを繰り返すＤｏＳ攻撃に対して有効である。アソシエーションホワイトリスト管理部にホワイトリスト管理ポリシ(A2)及び(A3)を設定することによって、故意にアソシエーションホワイトリスト記憶部１０７に通信装置２００のアドレスを追加した後、ＤｏＳ攻撃を行う攻撃に対して、その被害を低減させることができる。また、無効化マークが付いている間に、現地を調査し、原因となる悪意通信装置を探し出し、悪意者を特定することで問題を完全に解決できる可能性がある。

なお、第１の実施例のルータ装置１００の構成においては、アソシエーションホワイトリスト記憶部１０７を備えないで、登録通信装置記憶部１０４に接続切断マークを付けても良い。また、その場合、第２の実施例では、更に登録通信装置記憶部１０４のエントリに無効化マークを追加しても良い。

図７は本発明の第３の実施例として第２のルータ装置７００の構成を示している。この第３の実施例においては、図１に示したルータ装置１００は第１のルータ装置としている。

第２のルータ装置７００は、アソシエーション制限制御部７０１、送受信部７０２、エンティティ認証部７０３、登録通信装置記憶部７０４、接続状態管理部７０５、アソシエーションホワイトリスト管理部７０６、及びアソシエーションホワイトリスト記憶部７０７を備えている。これらの構成は図１の第１のルータ装置１００のアソシエーション制限制御部１０１、送受信部１０２、エンティティ認証部１０３、登録通信装置記憶部１０４、接続状態管理部１０５、アソシエーションホワイトリスト管理部１０６、及びアソシエーションホワイトリスト記憶部１０７からなる部分と同一である。送受信部７０２にはアンテナ７０９が接続されている。

第２のルータ装置７００は、更に、認証情報記憶部７０８を備えている。認証情報記憶部７０８はエンティティ認証部７０３に接続され、第２のルータ装置７００の認証情報を記憶している。

アソシエーション制限制御部７０１には、ポリシ管理機能が追加されている。すなわち、アソシエーション制限制御部７０１には、予め次の(B1)〜(B3)のポリシが設定されている。
(B1) ネットワーク管理装置からアソシエーション制限制御解除コマンドを受信したらアソシエーション制限を一時的に解除する。（これは第１の実施例でステップＳ１３において実行されていることと同一である。）
(B2) アソシエーションホワイトリスト記憶部７０７に識別子が登録の通信装置で、無効化マークがついていない通信装置からの接続要求であれば、これをエンティティ認証の実行を許可する。（これは第２の実施例でステップＳ１３において実行されていることと同一である。）
(B3) 起動から３０分間はアソシエーション制限を解除しておき、３０分後にアソシエーション制限を有効にする。

次に、第２のルータ装置７００の動作について図８のフローチャートを用いて説明する。

ここで、第１のルータ装置１００、第２のルータ装置７００、及び通信装置２００において、第２のルータ装置７００は第１のルータ装置１００に接続し、通信装置２００は第２のルータ装置７００に接続しているとする。

また、この接続状態で第２のルータ装置７００が電源障害によりダウンし、その後に電源が回復したことにより自動的に再起動し、第２のルータ装置７００は、第１のルータ装置１００及び通信装置２００の諸通信パラメータを失っているとする。

第２のルータ装置７００は、再起動すると（ステップＳ４１）、第１のルータ装置１００に対して接続要求を発行する（ステップＳ４２）。第１のルータ装置１００は第１の実施例に示した通りに動作し、アソシエーション制限制御部１０１がアソシエーションホワイトリスト記憶部１０７を参照して第２のルータ装置２００のエントリを確認し（ステップＳ１３のＹｅｓ）、エンティティ認証部１０３がエンティティ認証を実行する（ステップＳ１４）。

第２のルータ装置７００は、自分の認証情報を認証情報記憶部７０８から読み出して所定のエンティティ認証を行い（ステップＳ４３）、これに成功する。この後、第２のルータ装置７００は第１のルータ装置１００と諸通信パラメータを決定し、ネットワークヘ復帰する。再起動から３０分の間に亘ってアソシエーション接続制限は行われない。なお、この第３の実施例においては再起動からアソシエーション接続制限開始までの時間を３０分に限定しているが、本発明は３０分に限定されない。この時間は図示しないタイマによって計測される。

一方、通信装置２００は現在接続先を失ってしまった状態にある。通信装置２００は、第２のルータ装置７００がネットワークに復帰した数分後に、当該第２のルータ装置７００に接続要求を発行する。第２のルータ装置７００は、その接続要求を受信すると（ステップＳ４４のＹｅｓ）、アソシエーション制限制御部７０１はそのときアソシエーション制限を解除中なので、アソシエーション可能と判定して接続要求を受け入れる（ステップＳ４５のＹｅｓ）と共に、エンティティ認証部７０３と、通信装置２００のエンティティ認証部２０３とがエンティティ認証を行う（ステップＳ４６）。通信装置２００とのエンティティ認証に成功すれば（ステップＳ４６のＹｅｓ）、エンティティ認証部７０３は登録通信装置記憶部７０４に通信装置２００についてのアドレス等の識別子の登録を行う（ステップＳ４７）。

この後、第２のルータ装置７００では上記のタイマによってネットワークヘの復帰から３０分経過したことを検知すると（ステップＳ４８のＹｅｓ）、アソシエーション制限制御部７０１はアソシエーション制限を有効に設定する（ステップＳ４９）。この後の動作は図４に示した第１の実施例又は図５に示した第２の実施例のルータ装置１００の動作と同様である。

このように、第３の実施例によれば、第１のルータ装置に接続する第２のルータ装置が障害から回復した場合、障害発生まで第２のルータ装置に接続する通信装置はその障害回復後、第２のルータ装置に接続することができないという問題を解決することができる。すなわち、アソシエーション制限制御部にポリシ(B3)を設け、起動してから所定の期間（３０分）はアソシエーション制限をしないようにすることにより、第２のルータ装置の障害発生まで第２のルータ装置に接続していた通信装置も再接続できるようになる。

なお、上記した各実施例においては、ネットワークは無線で形成されているが、本発明では装置間が有線のネットワークで結ばれていても良いことは勿論である。

また、図１の装置中のアソシエーション制限制御部１０１、エンティティ認証部１０３、登録通信装置記憶部１０４、接続状態管理部１０５、アソシエーションホワイトリスト管理部１０６、及びアソシエーションホワイトリスト記憶部１０７からなる部分をコンピュータによって構成しても良い。また、図７の装置中ではそれらに相当する部分を更に認証情報記憶部７０８を含んだ形態でコンピュータによって構成しても良い。

１０１，７０１ アソシエーション制限制御部
１０３，７０３ エンティティ認証部
１０４，７０４ 登録通信装置記憶部
１０５，７０５ 接続状態管理部
１０６，７０６ アソシエーションホワイトリスト管理部
１０７，７０７ アソシエーションホワイトリスト記憶部

Claims (9)

1. 他の通信装置からの接続要求をネットワークを介して受信したとき前記他の通信装置とのアソシエーションが可能か否かを判定するアソシエーション可能判定手段と、
   前記アソシエーション可能判定手段によってアソシエーションが可能と判定された後、前記他の通信装置とのエンティティ認証が成功したか否かを判定するエンティティ認証判定手段と、
   前記エンティティ認証判定手段によってエンティティ認証が成功したと判定されたとき前記他の通信装置を識別する識別子を記憶する登録通信装置記憶手段と、
   前記他の通信装置との通信が不可能となったか否かを監視し、前記他の通信装置との通信が不可能となったことを検出したとき前記登録通信装置記憶手段から前記他の通信装置についての識別子の記憶を削除する接続状態管理手段と、
   前記接続状態管理手段によって前記他の通信装置との通信が不可能となったことが検出されたとき前記他の通信装置を識別する識別子をアソシエーションホワイトリスト記憶手段に記憶させるアソシエーションホワイトリスト管理手段と、を備えたネットワーク通信装置であって、
   前記アソシエーション可能判定手段は、アソシエーション制限状態であっても前記アソシエーションホワイトリスト記憶手段に前記他の通信装置を識別する識別子が記憶されているならば前記他の通信装置とのアソシエーションが可能と判定することを特徴とするネットワーク通信装置。
2. 前記エンティティ認証判定手段によってエンティティ認証に失敗したと判定されたとき前記他の通信装置についての認証失敗回数が所定の回数に達したか否かを判別する認証失敗回数判別手段を更に備え、
   前記アソシエーションホワイトリスト管理手段は、前記認証失敗回数判別手段によって前記他の通信装置についての前記認証失敗回数が前記所定の回数に達したと判別されたときには、前記アソシエーションホワイトリスト記憶手段に前記識別子が記憶された前記他の通信装置についてアソシエーション無効を示す無効化マークを更に記憶させ、
   前記アソシエーション可能判定手段は、前記アソシエーションホワイトリスト記憶手段に前記識別子が記憶された前記他の通信装置について前記無効化マークが更に記憶されているならば前記他の通信装置とのアソシエーションを破棄することを特徴とする請求項１記載のネットワーク通信装置。
3. 前記アソシエーションホワイトリスト管理手段は、前記エンティティ認証判定手段によってエンティティ認証が成功したと判定されたときに前記アソシエーションホワイトリスト記憶手段に前記他の通信装置を識別する識別子が記憶されているならばその識別子の記憶を前記アソシエーションホワイトリスト記憶手段から削除することを特徴とする請求項１又は２記載のネットワーク通信装置。
4. 前記アソシエーションホワイトリスト管理手段は、前記他の通信装置を識別する識別子が前記アソシエーションホワイトリスト記憶手段に記憶されてから第１の所定の期間に亘って前記他の通信装置からの新たな接続要求を受信しなかったときにはその識別子の記憶を前記アソシエーションホワイトリスト記憶手段から削除することを特徴とする請求項１〜３のいずれか１記載のネットワーク通信装置。
5. 前記アソシエーションホワイトリスト管理手段は、第２の所定の期間毎に前記アソシエーションホワイトリスト記憶手段から前記無効化マークの記憶を削除することを特徴とする請求項２記載のネットワーク通信装置。
6. 前記第２の所定の期間は１日であることを特徴とする請求項５記載のネットワーク通信装置。
7. 前記識別子は前記他の通信装置のアドレスであることを特徴とする請求項１〜４のいずれか１記載のネットワーク通信装置。
8. 前記ネットワーク通信装置はルータ装置であって、
   障害発生のための再起動時には他のルータ装置に対して接続要求を発行して前記他のルータ装置とのエンティティ認証が成功し、再起動から所定の時間経過後に前記アソシエーション制限状態とすることを特徴とする請求項１記載のネットワーク通信装置。
9. ネットワーク通信装置の自動再接続方法であって、
   他の通信装置からの接続要求をネットワークを介して受信したとき前記他の通信装置とのアソシエーションが可能か否かを判定するアソシエーション可能判定ステップと、
   前記アソシエーション可能判定ステップにおってアソシエーションが可能と判定された後、前記他の通信装置とのエンティティ認証が成功したか否かを判定するエンティティ認証判定ステップと、
   前記エンティティ認証判定ステップにおいてエンティティ認証が成功したと判定されたとき前記他の通信装置を識別する識別子を登録通信装置記憶手段に記憶させる記憶ステップと、
   前記他の通信装置との通信が不可能となったか否かを監視し、前記他の通信装置との通信が不可能となったことを検出したとき前記登録通信装置記憶手段から前記他の通信装置についての識別子の記憶を削除する接続状態管理ステップと、
   前記接続状態管理ステップにおいて前記他の通信装置との通信が不可能となったことが検出されたとき前記他の通信装置を識別する識別子をアソシエーションホワイトリスト記憶手段に記憶させるアソシエーションホワイトリスト管理ステップと、を備え、
   前記アソシエーション可能判定ステップでは、アソシエーション制限状態であっても前記アソシエーションホワイトリスト記憶手段に前記他の通信装置を識別する識別子が記憶されているならば前記他の通信装置とのアソシエーションが可能と判定することを特徴とする通信装置の自動再接続方法。

Images