JP5708183B2 - 無線通信装置及び無線通信方法 - Google Patents

Description

本発明は、無線通信装置及び無線通信方法に関する。

無線ＬＡＮ（Local Area Network）通信において、悪意あるものにより通信内容を解析されると、個人情報が盗まれたり、無線ＬＡＮルータのアクセスポイントを悪事のために無断に利用されることがある。

その対応として、従来では、無線ＬＡＮルータのアクセスポイントの隠蔽機能（アクセスポイントが識別情報であるＥＳＳＩＤ（Extended Service Set Identifier）を送信しない機能）を用い、さらに、認証の際には、暗号を施すことが行われている。

特開２００８−２１０７５号公報 特開２００７−２３５６６２号公報

しかし、無線通信において、通信情報は、電波が届く範囲内であれば簡単に受信することができ、暗号対応の認証データは時間があれば解析可能である。認証に利用しているパスワードが解読された場合、そのパスワードを利用して無線通信装置へ自由にアクセスされてしまい、悪事のために利用されてしまう問題があった。

発明の一観点によれば、互いに異なる識別情報を有し、それぞれアクセスポイントとして機能する複数の無線通信部を有し、前記複数の無線通信部の少なくとも１つは、自身を送信先とした偽の通信情報の送信を繰り返す無線通信装置が提供される。

開示の無線通信装置及び無線通信方法によれば、通信情報が悪意ある者によって解析されることを抑制できる。

第１の実施の形態の無線通信装置の一例を示す図である。 無線通信装置の動作例を説明する図である。 第２の実施の形態の無線通信装置のハードウェア例を示す図である。 本実施の形態の無線通信装置による無線通信の一例を示す通信シーケンス図である。 偽のデータフレームの一例を示す図である。 通信を傍受した非正規ユーザの端末装置からの不正アクセス発生時の無線通信装置の処理の例を示す通信シーケンス図である。

以下、本発明の実施の形態を、図面を参照しつつ説明する。
（第１の実施の形態）
図１は、第１の実施の形態の無線通信装置の一例を示す図である。

無線通信装置１０は、複数の無線通信部１１−１，１１−２，…，１１−ｎ、記憶部１２、判定部１３を有している。
無線通信部１１−１〜１１−ｎは、それぞれ、無線通信のアクセスポイントとして機能し、互いに異なる識別情報（ＥＳＳＩＤ）を有している。無線通信部１１−１〜１１−ｎのうち、少なくとも１つは、自身を送信先として偽の通信情報を繰り返し送信する偽のアクセスポイントとして機能する。

なお、図１の例では、無線通信部１１−１は、たとえば、図示しない有線通信用の通信部を介して、インターネット、ＷＡＮ（Wide Area Network）またはＬＡＮ（Local Area Network）などのネットワーク２０に接続されている。

記憶部１２は、偽のアクセスポイントが送信する偽の通信情報の少なくとも一部を記憶する。
判定部１３は、偽のアクセスポイントが受信するデータと、記憶部１２に記憶されている偽の通信情報とを比較し、不正アクセスが発生しているか否かを判定する。

図２は、無線通信装置の動作例を説明する図である。
図２では、無線通信装置１０と端末装置３０，４０との無線通信の様子が示されている。なお、端末装置３０，４０は、デスクトップまたはノート型のＰＣ（パーソナルコンピュータ）であってもよいし、携帯型移動端末装置でもよい。また、コンピュータに限らず、スマートフォンなどの携帯電話であってもよい。

以下の説明において、無線通信部１１−１は、端末装置３０との間で、ＥＳＳＩＤやパスワードを用いて認証などを行い、通信情報のやり取りを行う正規のアクセスポイントとして機能するものとする。

また、他の無線通信部１１−２〜１１−ｎは、自身を送信先として、記憶部１２に記憶されている偽の通信情報の送信を繰り返す、偽のアクセスポイントとして機能するものとする。

偽の通信情報は、端末装置３０のユーザが予め設定したデータであってもよいし、記憶部１２が端末装置３０と無線通信部１１−１間で通信していたものを自動的に取得したデータであってもよい。また、偽の通信情報は、無線通信部１１−１が、ネットワーク２０上のあるウェブサイトのページの情報を定期的に取得したものであってもよい。

偽の通信情報は、繰り返し送信されるので、端末装置３０と無線通信部１１−１で送受信される通信情報より多くなる。そのため、正規のアクセスポイントの通信情報が多数の偽の暗号化データに紛れて、分かりにくくなっている。

これによって、非正規ユーザの端末装置４０が、無線通信部１１−１〜１１−ｎが送受信する通信情報または偽の通信情報を傍受した場合、端末装置４０は、偽の通信情報を多く取得して、これらに対する復号を試みる可能性が高くなる。

たとえば、端末装置４０が、無線通信部１１−ｎが送信している偽の通信情報を傍受した場合の動作について説明する。
端末装置４０のユーザは、自身、または他の端末装置などを用いて、取得した偽の通信情報の解読を試みる。認証用のパスワードや無線通信部１１−ｎのＥＳＳＩＤを解読した場合、端末装置４０は、そのパスワードを用いて、正規のユーザの端末装置３０になり済まして、偽の通信情報とは異なる自身で作成した通信情報を無線通信部１１−ｎに送信する。

無線通信部１１−ｎは、端末装置４０から受信した通信情報を判定部１３に送る。この通信情報は、記憶部１２に格納されている偽の通信情報と異なることから、判定部１３は、不正アクセスが発生したと判定する。

判定部１３によって不正アクセスが発生したと判定された場合、無線通信部１１−１〜１１−ｎの少なくとも１つ、たとえば、無線通信部１１−１は、正規のユーザの端末装置３０に対して、不正アクセスが発生したことを示す警告を送信する。

これにより、正規のユーザは、無線通信装置１０に対する不正なアクセスが行われていることを知ることができる。
なお、判定部１３は、無線通信部１１−２〜１１−ｎが偽の通信情報を自身に対して送信していない期間に、端末装置４０からアクセスがあった場合に、不正アクセスが発生したと判定するようにしてもよい。

以上のように、第１の実施の形態の無線通信装置１０によれば、無線通信部１１−１〜１１−ｎの少なくとも１つが、自身を送信先とした偽の通信情報の送信を繰り返すことで、正規のアクセスポイントの通信情報を隠すことができる。これにより、正規のアクセスポイントの認証用のパスワードなどの通信情報が悪意のある者に解読されることを防ぐことができる。

また、判定部１３が記憶部１２に記憶された偽の通信情報と、偽のアクセスポイントとなる無線通信装置１１−２〜１１−ｎで受信したデータとを比較判定を行うことで、悪意のある者の端末装置４０からのアクセスを検出できる。そして、無線通信部１１−１〜１１−ｎの少なくとも１つが、端末装置３０に通知することで、正規のユーザは、無線通信装置１０に対する不正アクセスがあったことを認識できる。

（第２の実施の形態）
図３は、第２の実施の形態の無線通信装置のハードウェア例を示す図である。
無線通信装置５０は、たとえば、無線ＬＡＮルータであり、ＣＰＵ（Central Processing Unit）５１、ＲＯＭ（Read Only Memory）５２、ＲＡＭ（Random Access Memory）５３、無線通信部５４−１，５４−２、通信部５５、警告部５６を有している。これらはバス５７により接続されている。

ＣＰＵ５１は、ＲＯＭ５２に格納されているプログラムや、各種データに応じて無線通信装置５０の各部を制御し、図１に示した判定部１３などの処理を行う。
ＲＯＭ５２は、ＣＰＵ５１が実行する基本的なプログラムやデータを格納する。

ＲＡＭ５３は、ＣＰＵ５１が実行途中のプログラムや演算途中のデータのほか、前述した偽の通信情報などを格納する。
無線通信部５４−１は、受信部５４ａ−１、送信部５４ｂ−１を有し、図示しないアンテナを介して、自身に対して偽の通信情報を繰り返し送信する偽のアクセスポイントＡＰ１として機能する。無線通信部５４−２は、受信部５４ａ−２、送信部５４ｂ−２を有し、正規ユーザの端末装置７０と、図示しないアンテナを介して、無線通信を行う正規のアクセスポイントＡＰ２として機能する。

無線通信部５４−１，５４−２は、別々の搬送波周波数で無線通信を行い、ＥＳＳＩＤ及び認証用のパスワードは互いに異なっている。
通信部５５は、インターネットなどのネットワーク６０と接続し、情報の送受信を行う。たとえば、通信部５５は、ＣＰＵ５１の制御のもと、無線通信部５４−２で受信した情報をネットワーク６０に送信したり、ネットワーク６０からの情報を受信して無線通信部５４−２側に伝える。なお、ＣＰＵ５１は、通信部５５と偽のアクセスポイントＡＰ１との間の信号のやり取りを禁止する。たとえば、ＣＰＵ５１は、ＲＯＭ５２に格納するドライバなどに無線通信部５４−１と通信部５５との間の信号のやり取りを禁止することを設定する。

警告部５６は、非正規ユーザの端末装置７１からのアクセスがあった場合に、警告を発する。警告は、たとえば、光であってもよいし、ブザー音などの音であってもよい。
以下、無線通信装置５０による無線通信方法を説明する。

図４は、本実施の形態の無線通信装置による無線通信の一例を示す通信シーケンス図である。
図４では、正規ユーザの端末装置７０と、無線通信装置５０のアクセスポイントＡＰ１，ＡＰ２と、ネットワーク６０との間の通信の様子が示されている。なお、正規ユーザの端末装置７０とアクセスポイントＡＰ２との間の認証については図示を省略している。

アクセスポイントＡＰ１は、正規のアクセスポイントＡＰ２での接続シーケンスを模擬した偽の接続シーケンスを、自身で行う。偽の通信情報は、接続シーケンスに基づいた情報であり、アクセスポイントＡＰ１の送信部５４ｂ−１から、自身のアクセスポイントＡＰ１の受信部５４ａ−１に繰り返し送信される。

正規の接続シーケンスに基づいた偽の通信情報を送信することで、悪意のある者に、その情報が本物の通信情報であると認識させることができる。
図４に示す例では、アクセスポイントＡＰ１は、まず、接続したいアクセスポイントのＥＳＳＩＤをブロードキャストするプローブリクエストを、自身に対して行う（処理Ｔ１）。

そして、アクセスポイントＡＰ１は、プローブリクエストに対して、自身の通信速度などを通知するプローブレスポンスを、自身に対して行う（処理Ｔ２）。
その後、アクセスポイントＡＰ１は、ＷＥＰ（Wired Equivalent Privacy）などの所定の暗号認証方式による認証の依頼（処理Ｔ３）と、その応答（Ａｃｋ）（処理Ｔ４）を自身に対して行う。さらに、アクセスポイントＡＰ１は、認証が成功したことの通知（処理Ｔ５）と、その応答（処理Ｔ６）を自身に対して行う。

認証が終了すると、アクセスポイントＡＰ１は、接続要求（処理Ｔ７）とその応答（処理Ｔ８）を自身に対して行う。
その後、アクセスポイントＡＰ１は、たとえば、ＲＡＭ５３に記憶されている通信情報の１つである、暗号化された偽のデータフレームを自身に対して送信する（処理Ｔ９）。

図５は、偽のデータフレームの一例を示す図である。偽のデータフレームの例として、図５（Ａ）では、ＨＴＴＰ（HyperText Transfer Protocol）リクエストデータ、図５（Ｂ）では、ＨＴＴＰレスポンスデータの例が示されている。

ＨＴＴＰリクエストデータは、たとえば、正規ユーザの端末装置７０から送信された、インターネット上のウェブサーバへのページ取得要求に関するデータである。ＨＴＴＰのリクエストメソッド（図５（Ａ）の例では“ＧＥＴ”）、ＨＴＴＰのバージョン、Ｕｓｅｒ−Ａｇｅｎｔで示されているブラウザの種類とそのバージョン、アクセスしたいページのアドレスなどが含まれている。

ＨＴＴＰレスポンスデータは、ＨＴＴＰリクエストに対する、インターネット上のウェブサーバからの応答データである。指定されたＨＴＴＰのバージョンに対応しているかの情報、送信日付などのデータが記載されたヘッダ情報と、ウェブページの内容が含まれる。

たとえば、ＣＰＵ５１は、無線通信部５４−２または通信部５５から上記のようなデータフレームを取得してＲＡＭ５３に記憶しておく。図５（Ｂ）のようなＨＴＴＰレスポンスデータが、偽のデータフレームとしてＲＡＭ５３から読み出される際、たとえば、ＣＰＵ５１は、日付の部分を、無線通信部５４−１が偽の通信情報として送信する送信日時に書き換える。これにより、悪意ある者に、偽の通信情報であることが気付かれないようにする。

なお、偽のデータフレームの内容としては、これに限定されず、ＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）プロトコルの内容などとしてもよい。
アクセスポイントＡＰ１は、以上のような偽の接続シーケンス（処理Ｔ１〜Ｔ９）を繰り返し行う。

一方、正規ユーザの端末装置７０から、プローブリクエストがあった場合、図示を省略しているが、アクセスポイントＡＰ２と端末装置７０間で接続シーケンスが行われる。認証や接続が成功すると、アクセスポイントＡＰ２は、正規ユーザの端末装置７０からの暗号化されているデータフレームの転送を開始する（処理Ｔ１０）。

そして、アクセスポイントＡＰ２は、受信したデータフレームを復号して、たとえば、有線でインターネットなどのネットワーク６０上の端末装置（たとえば、ウェブサーバ）に転送する（処理Ｔ１１）。なお、データフレームに対する暗号化方式と、認証時の暗号化方式は異なっていてもよい。

上記のような処理により、非正規ユーザが正規ユーザの端末装置７０と無線通信装置５０間の無線通信の傍受を試みる場合、アクセスポイントＡＰ２よりも、アクセスポイントＡＰ１から送信される偽の通信情報が多く傍受されることになる。

偽の通信情報を傍受した非正規ユーザは、偽の通信情報から認証用のパスワードを解読し、たとえば、端末装置７１を用いて、アクセスポイントＡＰ１に対する接続を試みる。
図６は、通信を傍受した非正規ユーザの端末装置からの不正アクセス発生時の無線通信装置の処理の例を示す通信シーケンス図である。

非正規ユーザの端末装置７１は、傍受したＥＳＳＩＤを用いて、アクセスポイントＡＰ１に対してプローブリクエストを行う（処理Ｔ２０）。アクセスポイントＡＰ１は、端末装置７１に対してプローブレスポンスを行う（処理Ｔ２１）。

そして、端末装置７１は、解読した認証用のパスワードを用いて、アクセスポイントＡＰ１に対して認証の依頼を行い（処理Ｔ２２）、アクセスポイントＡＰ１は、これに対して応答を返す（処理Ｔ２３）。

アクセスポイントＡＰ１は、認証用のパスワードが正しければ、端末装置７１に対して、認証が成功したことの通知を行う（処理Ｔ２４）。端末装置７１は、この通知に対して応答を返す（処理Ｔ２５）。

認証が成功すると、端末装置７１は、アクセスポイントＡ１に対して、接続要求を行う（処理Ｔ２６）。アクセスポイントＡＰ１は、端末装置７１に対して応答を返し（処理Ｔ２７）、接続を許可する旨の接続レスポンスを端末装置７１に通知する（処理Ｔ２８）。端末装置７１は、接続レスポンスに対する応答を、アクセスポイントＡＰ１に返し（処理Ｔ２９）、偽データフレーム以外の暗号化されたデータフレームの転送を開始する（処理Ｔ３０）。

無線通信装置５０のＣＰＵ５１は、ＲＡＭ５３に格納されている偽のデータフレームと、アクセスポイントＡＰ１が受信したデータフレームとを比較して不正アクセスが発生したか判定する。偽のデータフレームと、アクセスポイントＡＰ１が受信したデータフレームが異なる場合、ＣＰＵ５１は、たとえば、アクセスポイントＡＰ１に、正規ユーザの端末装置７０に対して警告を通知させる（処理Ｔ３１）。

なお、ＣＰＵ５１は、アクセスポイントＡＰ２に、正規ユーザの端末装置７０に対して警告を通知させるようにしてもよい。また、ＣＰＵ５１は、警告部５６に警告を発生させるようにしてもよい。

以上のような処理によれば、アクセスポイントＡＰ１が、自身を送信先とした偽の通信情報の送信を繰り返すことで、正規のアクセスポイントＡＰ２の通信情報を隠すことができる。これにより、正規のアクセスポイントＡＰ２の認証用のパスワードなどの通信情報が悪意のある者に解読されることを防ぐことができる。

また、ＲＡＭ５３に記憶された偽の通信情報と、アクセスポイントＡＰ１で受信したデータとを比較判定を行うことで、非正規ユーザの端末装置７１からのアクセスを検出できる。そして、アクセスポイントＡＰ１，ＡＰ２の少なくとも１つが、端末装置７０に警告を通知することで、正規のユーザは、無線通信装置５０に対する不正アクセスがあったことを認識できる。

以上、実施の形態に基づき、本発明の無線通信装置及び無線通信方法の一観点について説明してきたが、これらは一例にすぎず、上記の記載に限定されるものではない。
たとえば、正規のアクセスポイントＡＰ１についても、正規のユーザの端末装置７０と無線通信していないときには、偽の通信情報を、自身を送信先として繰り返し送信するようにしてもよい。

１０ 無線通信装置
１１−１〜１１−ｎ 無線通信部
１２ 記憶部
１３ 判定部
２０ ネットワーク

Claims (7)

1. 互いに異なる識別情報を有し、それぞれアクセスポイントとして機能し、少なくとも１つが自身を送信先とした偽の通信情報の送信を繰り返す複数の無線通信部と、
   前記偽の通信情報を記憶する記憶部と、
   前記偽の通信情報を送信する無線通信部が受信するデータと前記記憶部に記憶されている前記偽の通信情報とを比較し、前記データが前記偽の通信情報と異なる場合に、不正アクセスが発生していると判定する判定部と、を有することを特徴とする無線通信装置。
2. 前記偽の通信情報は、前記アクセスポイントと接続先の第１の端末装置が行う接続シーケンスに基づいた情報であることを特徴とする請求項１に記載の無線通信装置。
3. 前記判定部で不正アクセスが発生していると判定された場合、前記複数の無線通信部の少なくとも１つが、正規のユーザの第２の端末装置に対して、警告を通知することを特徴とする請求項１または２に記載の無線通信装置。
4. 前記判定部で不正アクセスが発生していると判定された場合に、警告を発する警告部を有することを特徴とする請求項１乃至３の何れか一項に記載の無線通信装置。
5. 前記偽の通信情報に含まれる日付の情報は、前記偽の通信情報を送信する送信日時に基づき書き換えられていることを特徴とする請求項１乃至４の何れか一項に記載の無線通信装置。
6. 無線通信装置に含まれ、互いに異なる識別情報を有し、それぞれアクセスポイントとして機能する複数の無線通信部の少なくとも１つが、自身を送信先とした偽の通信情報の送信を繰り返し、
   判定部が、前記偽の通信情報を送信する無線通信部が受信するデータと記憶部に記憶されている前記偽の通信情報とを比較し、前記データが前記偽の通信情報と異なる場合に、不正アクセスが発生していると判定する、
   ことを特徴とする無線通信方法。
7. 前記偽の通信情報に含まれる日付の情報は、前記偽の通信情報を送信する送信日時に基づき書き換えられていることを特徴とする請求項６に記載の無線通信方法。

Images