JP5711030B2 - ネットワークにおける暗号化自動設定方法及び暗号化自動設定装置 - Google Patents

Description

本発明は、無線LAN等のホームネットワーク（以下、ネットワークをＮＷと記載する）における暗号化設定の自動化技術に関し、特に、暗号化方式と暗号化キーの組等の設定情報を持ちアクセスポイント（無線LANの親機）となる設定端末から、スマートフォン、ゲーム機、デジタルフォトフレーム等のデバイス（無線LANの子機）である被設定端末に対し、ＩＰレイヤを用いて設定情報を提供し、被設定端末が設定情報を用いて通信を開始する場面において、設定時間の短縮を実現する暗号化自動設定方法及び暗号化自動設定装置に関する。

近年、スマートフォンや携帯ゲーム機、デジタルフォトフレーム等に代表される無線LAN機能を搭載した無線LAN機器が急速に普及している。これらの無線LANを利用する際には、盗聴等のセキュリティリスクを回避する目的で、通信を行う設定端末と被設定端末が事前に同じ設定情報（暗号化方式や暗号化キー等）を共有することが行われている。

設定端末と被設定端末間における接続設定には、設定端末であるアクセスポイントが持つSSID（Service Set Identifier、アクセスポイントを一意に識別するためのＩＤ）や暗号化方式、暗号化キー等の設定情報を被設定端末であるデバイス(無線LANの子機)へ入力することが必要となる。この操作により、設定端末と被設定端末は、設定情報に存在する同じ暗号化方式と暗号化キーを使用して送受する信号を暗号化することで、暗号化キー等を知らない第三者による盗聴を防ぐことが可能となる。

しかしながら、暗号化方式や暗号化キー等の設定には、専門的な知識が必要となり、無線LANに関する知識の少ない利用者にとっては困難である。そこで、被設定端末と設定端末間で設定情報を共有する手順についての自動化を図ることにより、利用者への設定の負担を軽減する技術が非特許文献１に提案されている。

この技術を適用した自動設定システムについて、図３を参照して説明する。
自動設定システムは、無線LANを用いた通信を行う機器であるスマートフォン等の被設定端末Ｄ２と、設定情報（暗号化方式や暗号化キー）を有し、通信を他の端末や機器に提供するアクセスポイント等の設定端末Ｄ１が存在する環境下に構築されている。
例えば、設定端末Ｄ１がアクセスポイントの場合、一般に、インターネットなどの外部ＮＷやホームＮＷへの接続を被設定端末Ｄ２（通信機器）に提供する。例えば、被設定端末Ｄ２における無線LANの設定完了により、設定端末Ｄ１を介した通信により、ホームページの閲覧や、自宅内のビデオレコーダへのアクセス等が可能になる。

設定端末Ｄ１と被設定端末Ｄ２との間に無線LANを設定する手順について、以下に説明する。
（処理Ｓ１）
設定端末Ｄ１と被設定端末Ｄ２がそれぞれ備えるボタンの押下等により、利用者は設定の開始を要求する。ボタンの代わりに画面表示等を利用する場合もある。

（処理Ｓ２）
ボタン押下により設定端末Ｄ１及び被設定端末Ｄ２は、設定手順を開始する。
被設定端末Ｄ２は、設定手順を実行中の設定端末Ｄ１を検索し、設定端末Ｄ１が検索により発見された場合、設定用の通信路の確立を行う。設定用の通信路の確立には、予めプログラム等に埋め込まれた設定情報（暗号化設定や暗号化キー、ＩＰアドレス、設定端末のＩＰアドレス等）を利用する（ＩＰアドレスについては、DHCP等により、設定端末から取得する場合もある）。
また、設定端末Ｄ１についても、被設定端末Ｄ２と同様に、被設定端末Ｄ２を検索し、設定用の通信路を確立する。ここでは、例として通信路の設定として、設定端末Ｄ１がＩＰアドレス"10.10.10.1"を、被設定端末Ｄ２が"10.10.10.2"を利用する場合を述べる。この際、ホームＮＷ等で利用されるＩＰアドレスとは別のＩＰアドレスが利用される（ホームＮＷとの通信はできない通信路設定が一時的に利用される）。

（処理Ｓ３）
設定用の通信路を確立後、被設定端末Ｄ２は設定端末Ｄ１に、設定情報を要求する。設定端末Ｄ１は、被設定端末Ｄ２からの要求に従い、設定情報を応答する。設定情報には、ホームＮＷやインターネット等の外部ＮＷとの通信をセキュアに実施するための暗号化方式や暗号化キーの情報が記載されている。

（処理Ｓ４）
被設定端末Ｄ２は、設定端末Ｄ１より取得した設定情報を、自身の無線LANインタフェースに適用する。これにより、設定端末Ｄ１と同じ暗号化方式と暗号化キーが被設定端末Ｄ２に設定されることとなり、暗号化されたセキュアな通信が設定端末Ｄ１と被設定端末Ｄ２間で可能となる。

（処理Ｓ５）
被設定端末D２は、暗号化された通信路を確立後（レイヤ２による外部ＮＷやホームＮＷに接続された通信機器と通信するための通信設定（ＩＰアドレスやディフォルトゲートウェイ等、レイヤ３以上の情報）をDHCP等の利用により取得し、自身の通信インタフェースに設定する。

（処理Ｓ６）
以降は、暗号化された他の通信機器や外部ＮＷとの通信が可能となる。これにより、悪意のある第三者が、無線の信号を盗聴したとしても、暗号化されているために情報が漏洩することは無い。

すなわち、非特許文献１に記載の技術によれば、設定用に仮の（ＩＰアドレス等の）通信設定でアクセスポイントと無線LAN機器を接続し、無線LAN機器がアクセスポイントから設定情報を取得後、取得した設定情報（暗号化方式や暗号化キー）を用いたアクセスポイントへの再接続と、ＩＰアドレスの再取得により、無線LAN機器の利用（通信）が可能となる。

AOSS http://www.buffalotech.com/files/AOSS_WP_Final.pdf

しかしながら、上述の設定手順によると、暗号化方式や暗号化キーの共有という設定用の接続設定に加えて、実際の通信用にＩＰアドレス等の通信設定が複数回必要となるため、複数回の通信設定に必要な時間の分だけ設定開始から、実際に被設定端末Ｄ２が設定端末Ｄ１を介した通信が可能となるまでの時間が長くなるという課題が存在した。

また、設定中、設定端末Ｄ１は無線のインタフェースを設定用のＩＰアドレス体系で使用する必要があり、設定端末Ｄ１の計算機リソースの制約から、例えば１度に使用できるＩＰアドレス体系は１つのみだとすると、設定中において、ホームＮＷにある通信機器は設定端末Ｄ１を介したＮＷ接続が困難となる場合がある。

本発明は上記実情に鑑みて提案されたものであり、レイヤ３を用いて暗号化の自動設定を行うに際して、設定時間の短縮化を図るネットワークにおける暗号化自動設定方法及び暗号化自動設定装置を提供することを目的とする。

上記目的を達成するため本発明（請求項１）は、ホームネットワークを構成する通信機器である設定端末と被設定端末との間にレイヤ３を用いた自動設定手順により暗号化設定用の通信路を確立するに際し、次の手順が含まれるネットワークにおける暗号化自動設定方法を特徴としている。
前記設定端末は、外部ネットワークと暗号化設定後に接続可能なＩＰアドレスやディフォルトゲートウェイが含まれる通信設定を被設定端末に割り当てるとともに、
前記被設定端末が設定を完了するまでの期間、一時的に前記設定端末とだけ通信可能となるように、通信を制御する設定を、前記被設定端末に割り当てたＩＰアドレスを元に動的に自身に実施する一方、
前記被設定端末は、前記設定端末より設定情報を取得後、設定情報を無線LANインタフェースに適用し、暗号化された通信を開始する際も前記通信設定を使用する。

請求項２は、請求項１のネットワークにおける暗号化自動設定方法において、レイヤ３を用いた自動設定中において、前記設定端末は、前記被設定端末が前記ホームネットワークや外部ネットワークに接続することが無いように通信可能な通信先を限定し、前記設定端末と前記被設定端末との自動設定に必要なパケット以外をドロップすることを特徴としている。

請求項３の暗号化自動設定装置は、ホームネットワークを構成する通信機器である設定端末と被設定端末を備え、設定端末と被設定端末との間に、レイヤ３を用いた自動設定手順により暗号化設定用の通信路を確立するシステムにおいて、次の構成を含むことを特徴としている。
前記設定端末は、外部ネットワークと暗号化設定後に接続可能なＩＰアドレスやディフォルトゲートウェイが含まれる通信設定を取得するDHCPサーバ機能部と、前記ホームネットワークや外部ネットワークに接続することが無いように通信可能な通信先を限定し、前記設定端末と前記被設定端末との自動設定に必要なパケット以外をドロップすることで、被設定端末が設定を完了するまでの期間、一時的に前記設定端末とだけ通信可能となるように、通信を制御する設定を動的に自身に実施するファイアウォール機能管理部と、前記DHCPサーバ機能部及び前記ファイアウォール機能管理部に対し、無線LANインタフェースを介した通信機能を提供する通信部制御部とを備える。
前記被設定端末は、
前記設定端末より設定情報を取得後において、設定情報を無線LANインタフェースに適用し、暗号化設定を実施する際と、暗号化された通信を開始する際のそれぞれに同じ前記通信設定を使用して通信を行う制御部を備える。

本発明によれば、レイヤ３を用いた自動設定手順を実行する場面において、設定用と実際の通信用におけるＩＰアドレスの通信設定回数（被設定端末に対するＩＰアドレスの設定回数が１回のみ）を削減することで、設定の開始から被設定端末が通信するまでに要する設定時間の短縮化を図ることができる。

また、設定中に設定端末と被設定端末間で使用するＩＰアドレス体系は、設定完了後に使用するＩＰアドレス体系と同じとなるため（設定端末の計算機リソースの制約から、例えば１度に使用できるＩＰアドレス体系は１つのみだとすると）、設定中であっても、ホームＮＷにある通信機器における設定端末を介したＮＷ接続が可能となる。

設定端末（無線LANアクセスポイント）及び被設定端末（無線LAN子機デバイス）を備えた暗号化自動設定装置の実施形態を示すもので、（ａ）は設定端末のブロック図、（ｂ）は被設定端末のブロック図である。 暗号化自動設定装置による暗号化の自動設定手順を示すシーケンス図である。 従来の方式による暗号化の自動設定手順を示すシーケンス図である。

本発明のネットワークの暗号化自動設定装置の実施形態について、図面を参照しながら説明する。
暗号化自動設定装置は、ホームＮＷにおける親機となるアクセスポイント等の設定端末と、子機となるスマートフォン等の被設定端末が存在するシステム内に構築され、設定端末と被設定端末は802.11 a/b/g/n 等の無線LAN技術による通信が行われる環境下に構築される。

無線LANによる通信は、有線による通信と異なり、物理空間に通信信号が伝搬する関係から、レイヤ２で暗号化し、悪意のある第三者による盗聴から通信内容を保護ずる必要がある。また、レイヤ２の暗号化方式には、AES（Advanced Encryption Standard）やWEP（Wired Equivalent Privacy）等があり、暗号化方式と暗号化に使用する暗号キー（鍵情報）を通信する端末間（被設定端末及び設定端末）で共有することで、暗号化された通信が可能となる。

設定端末は、インターネット等の外部ＮＷやホームＮＷと接続され、ゲートウェイのような機能を果たす場合がある。ホームＮＷ内の通信機器は、設定端末を介して、外部ＮＷへの接続や、ホームＮＷ内の他の通信機器との通信が可能となり、ブラウジングやレコーダ内部のコンテンツ視聴等の通信サービスの利用が可能となる。

上記のような環境において、設定端末を介した通信サービスを、未設定の被設定端末により利用可能とするため、被設定端末を設定する場面を想定する。この際、利用者が、被設定端末に対し設定情報を手入力することは（無線LANに関する知識の無い利用者を想定した場合）困難であるため、被設定端末と設定端末が一時的にレイヤ３の通信路を確保し、被設定端末が設定端末より設定情報を取得する自動設定が行われる。

次に、ネットワークの暗号化自動設定装置を構成する設定端末（アクセスポイント等）１０と被設定端末（スマートフォン等）２０の構成について、図１を参照して説明する。

設定端末１０は、図１（ａ）に示すように、設定情報管理部１１と、制御部１２と、通信部制御部１３と、無線LANインタフェース１４と、ファイアウォール機能管理部１５と、DHCPサーバ機能部１６を備えている。

設定情報管理部１１は、設定端末１０が被設定端末２０に送付する設定情報を管理する。管理される設定情報は、１つの設定端末に対し１つであり、設定端末１０が使用する暗号化方式と暗号化キーの組等の情報を保存する。１つの設定情報には、複数の暗号化方式と暗号化キーの組が保存されていてもよい．
ファイアウォール機能管理部１５は、被設定端末２０が暗号化設定用の接続を実施中、設定端末１０以外への接続をブロックする。ファイアウォール機能管理部１５が、通信部制御部１３を介して、ホームＮＷや外部ＮＷに接続することが無いように通信可能な通信先を限定し、自動設定に必要なパケット以外をドロップ（パケットのブロック等を実施）する。

DHCPサーバ機能部１６は、暗号化設定後に外部ＮＷと接続可能なＩＰアドレスやディフォルトゲートウェイ等の通信設定を管理するとともに、被設定端末２０からの要求により、被設定端末２０に対しＩＰアドレス等、レイヤ３の設定を自動的に実施する。
制御部１２は、設定端末２０との間で本発明の特徴部分となる暗号化自動設定の処理を実行する制御を行う。設定端末１０と被設定端末２０との間における暗号化設定の詳細手順については後述する（図２のシーケンス図）。
通信部制御部１３は、制御部１２、DHCPサーバ機能部１６、ファイアウォール機能管理部１５に対し、無線LANインタフェース１４を介した通信機能を提供する。

被設定端末２０は、図１（ｂ）に示すように、設定管理部２１と、制御部２２と、通信部制御部２３と、無線LANインタフェース２４を備えている。

無線LANインタフェース２４では、ＩＰアドレスやルーティング情報（DNSやディフォルトゲートウェイ）を管理する。ＩＰアドレスは、１つの無線LANインタフェースに対し一般に１つ、通常はDHCP等により自動的に設定され、設定時に接続した際に、設定端末１０よりDHCP等により自動的に割当てられる。この設定によりレイヤ３の接続が作成される。
また、無線LANインタフェース２４では、SSID毎に暗号化方式と暗号化キーを管理する無線LAN暗号化設定が行われる。暗号化方式と暗号化キーは、１つの無線LANインタフェースに対し複数有している。設定時には、予め被設定端末２０の設定管理部２１に組込まれた設定用の無線LAN暗号化設定を使用して接続する。この設定によりレイヤ２の接続が作成される。

設定管理部２１は、無線LANインタフェース２４の設定情報と、無線LAN暗号化の設定情報を保存管理する。
制御部２２は、設定端末１０との間で本発明の特徴部分となる暗号化自動設定の処理を実行する制御を行う。すなわち、設定管理部２１に記憶された設定用情報を用いて、通信部制御部２３を介して設定端末１０と接続し、設定端末１０側から取得したＩＰアドレスを含む設定情報等を設定管理部２１に書き込むとともに、設定端末１０より設定情報を取得後において、設定情報を無線LANインタフェース２４に適用し、暗号化された通信を開始する際に前記ＩＰアドレスを使用して通信を行う。
なお、設定端末１０と被設定端末２０との間における暗号化設定の詳細手順については後述する（図２のシーケンス図）。
通信部制御部２３は、制御部２２に対し、無線LANインタフェース２４を介した通信機能を提供する。

続いて、暗号化自動設定装置による設定端末１０（Ｄ１）と被設定端末２０（Ｄ２）の間で行われる暗号化自動設定の手順について、図２のシーケンス図を参照しながら説明する。
（処理Ｔ１）
設定端末Ｄ１（１０）と被設定端末Ｄ２（２０）がそれぞれ具備するボタンの押下等により、利用者は設定の開始を要求する。ボタンの代わりに画面表示等を利用する場合もある。

（処理Ｔ２）
ボタン押下により設定端末Ｄ１と被設定端末Ｄ２は設定手順を開始する。
被設定端末Ｄ２は、設定手順を実行中の設定端末Ｄ１を検索し、設定端末Ｄ１が検索により発見された場合、設定用の通信路の確立を行う。設定用の通信の確立には、予め設定管理部２１に自動設定を行うプログラム等が設定用情報として格納した暗号化方式や暗号化キーを用いて、レイヤ２の通信路を確立する。

（処理Ｔ３）
レイヤ２の通信路を確立した後、被設定端末Ｄ２は設定端末Ｄ１とＩＰ通信するため、レイヤ３の設定情報を設定端末Ｄ１のDHCPサーバ機能部１６より取得する。この際、設定端末Ｄ１が被設定端末Ｄ２に応答するレイヤ３の情報は、ホームＮＷや外部ＮＷと通信が可能なものとする。

（処理Ｔ４）
設定端末Ｄ１は、設定用の通信路を使用して一時的に接続している未設定の被設定端末Ｄ２がホームＮＷや外部ＮＷに接続し、不正に通信サービスを利用可能とすることを防ぐため、ファイアウォール機能管理部１５のファイアウォール機能等により、被設定端末Ｄ２が通信可能な機器を設定端末Ｄ１自身に限定する。

（処理Ｔ５）
被設定端末Ｄ２は、処理Ｔ２及び処理Ｔ３により確立した設定用の通信路により、設定端末Ｄ１から設定情報（暗号化方式と暗号化キー等）を取得する。

（処理Ｔ６）
被設定端末Ｄ２は、現在無線LANインタフェースに割り当てられているＩＰアドレスを静的に無線LANインタフェース２４に割り当てる。

（処理Ｔ７）
被設定端末Ｄ２は設定端末Ｄ１より取得した設定情報で、無線LANインタフェース２４の設定を書き換える。また、書き換えた設定を無線LANインタフェース２４に反映するため、被設定端末Ｄ２は、無線LANインタフェース２４を再起動する。再起動後、従来の方式であれば、DHCP等によりＩＰアドレスが再度割り当てられるのに対し、上述の方式ではＩＰアドレス等の取得と再設定が既に静的に設定されているため不要であり、通信開始可能になるまでの時間の短縮を図ることができる。

（処理Ｔ８）
設定端末Ｄ１は、処理Ｔ４で実施されているファイアウォール機能による自動設定に必要なパケットのドロップを解除する。この処理は、被設定端末Ｄ２が処理Ｔ６、処理Ｔ７の各ステップを実行中に、設定端末Ｄ１上で実行される。

（処理Ｔ９）
被設定端末Ｄ２と設定端末Ｄ１は、暗号化された通信を開始する。

（処理Ｔ１０）
被設定端末Ｄ２は、ＩＰアドレスの設定を、静的な割当てから動的なＩＰアドレス取得（DHCP等による設定）にバックグラウンド処理で変更する。これは、次回以降に、被設定端末Ｄ２が無線LANを利用する際に、ＩＰアドレスの衝突（既にＮＷ上に存在するＩＰアドレスを割当てること）や、他のＩＰアドレスを使用するＮＷに接続する際に、通信できなくなる不具合を回避する目的で実施する。

上述した暗号化自動設定方法によれば、レイヤ３を用いた自動設定手順を実行する場面において、ＩＰアドレスの設定回数が１回のみとなり、設定用と実際の通信用に（ＩＰアドレス等の）通信設定が複数回必要であった従来の方式と比較して、複数回の通信設定に必要な時間の分だけ、設定開始から実際に被設定端末が設定端末を介した通信が可能となる時間の短縮化を図ることができる。

また、暗号化自動設定中に、設定端末Ｄ１と被設定端末Ｄ２間で使用するＩＰアドレス体系は、設定完了後に被設定端末Ｄ２が使用するＩＰアドレス体系と同じとなるため（設定端末Ｄ１の計算機リソースの制約から、例えば１度に使用できるＩＰアドレス体系は１つのみだとすると）、設定中であっても、ホームＮＷにある通信機器における設定端末を介したＮＷ接続が可能となる。

１０（Ｄ１）…設定端末、 １１…設定情報管理部、 １２…制御部、 １３…通信部制御部、 １４…無線LANインタフェース、 １５…ファイアウォール機能管理部、 １６…DHCPサーバ機能部、 ２０（Ｄ２）…被設定端末、 ２１…設定管理部、 ２２…制御部、 ２３…通信部制御部、 ２４…無線LANインタフェース。

Claims (3)

1. ホームネットワークを構成する通信機器である設定端末と被設定端末との間にレイヤ３を用いた自動設定手順により暗号化設定用の通信路を確立するに際し、
   前記設定端末は、外部ネットワークと暗号化設定後に接続可能なＩＰアドレスやディフォルトゲートウェイが含まれる通信設定を被設定端末に割り当てるとともに、
   前記被設定端末が設定を完了するまでの期間、一時的に前記設定端末とだけ通信可能となるように、通信を制御する設定を、前記被設定端末に割り当てたＩＰアドレスを元に動的に自身に実施する一方、
   前記被設定端末は、前記設定端末より設定情報を取得後、設定情報を無線LANインタフェースに適用し、暗号化された通信を開始する際も前記通信設定を使用する
   ことを特徴とするネットワークにおける暗号化自動設定方法。
2. レイヤ３を用いた自動設定中において、
   前記設定端末は、
   前記被設定端末が前記ホームネットワークや外部ネットワークに接続することが無いように通信可能な通信先を限定し、前記設定端末と前記被設定端末との自動設定に必要なパケット以外をドロップする
   請求項１に記載のネットワークにおける暗号化自動設定方法。
3. ホームネットワークを構成する通信機器である設定端末と被設定端末を備え、設定端末と被設定端末との間に、レイヤ３を用いた自動設定手順により暗号化設定用の通信路を確立するシステムにおいて、
   前記設定端末は、
   外部ネットワークと暗号化設定後に接続可能なＩＰアドレスやディフォルトゲートウェイが含まれる通信設定を取得するDHCPサーバ機能部と、
   前記ホームネットワークや外部ネットワークに接続することが無いように通信可能な通信先を限定し、前記設定端末と前記被設定端末との自動設定に必要なパケット以外をドロップすることで、被設定端末が設定を完了するまでの期間、一時的に前記設定端末とだけ通信可能となるように、通信を制御する設定を動的に自身に実施するファイアウォール機能管理部と、
   前記DHCPサーバ機能部及び前記ファイアウォール機能管理部に対し、無線LANインタフェースを介した通信機能を提供する通信部制御部とを備え、
   前記被設定端末は、
   前記設定端末より設定情報を取得後において、設定情報を前記無線LANインタフェースに適用し、暗号化設定を実施する際と、暗号化された通信を開始する際のそれぞれに同じ前記通信設定を使用して通信を行う制御部を備える
   ことを特徴とする暗号化自動設定装置。