JP5904220B2

JP5904220B2 - 無線ｌａｎ装置、無線ｌａｎアクセスポイントへの接続方法及びプログラム

Info

Publication number: JP5904220B2
Application number: JP2014014351A
Authority: JP
Inventors: 泰幸木村
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2014-01-29
Filing date: 2014-01-29
Publication date: 2016-04-13
Anticipated expiration: 2034-01-29
Also published as: JP2015142267A

Description

本発明は、無線ＬＡＮ装置、無線ＬＡＮアクセスポイントへの接続方法及びプログラムに関する。

無線ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）ネットワークに接続可能なパーソナルコンピュータやスマートフォンといった無線ＬＡＮ装置と無線ＬＡＮネットワークとの接続制限については、これまで、ある無線ＬＡＮネットワークに特定の無線ＬＡＮ装置しか接続させないという機能が主なものであった。無線ＬＡＮネットワークの管理者が無線ＬＡＮネットワークへの参加資格を管理し、無線ＬＡＮ装置の利用者に参加資格がある場合、無線ＬＡＮ装置側では特に何の制限もなく無線ＬＡＮネットワークへの接続が可能であった。企業ネットワークであれば、ネットワークの管理者と無線ＬＡＮ装置の管理者はほぼ等しい。そのため、ネットワークの管理を正しく行っていれば、無線ＬＡＮ装置からのネットワークを通じた情報漏えいには対処が可能と考えられていた。

しかし近年、携帯型無線ＬＡＮルーター等の通信機器や公衆無線ＬＡＮ回線といった、企業ネットワークや無線ＬＡＮ装置の管理者の管理が及ばない無線ＬＡＮネットワークが普及してきている。このため、悪意のある利用者が、携帯型無線ＬＡＮルーター等の通信機器や公衆無線ＬＡＮ回線といった無線ＬＡＮネットワークに無線ＬＡＮ装置を接続し、無線ＬＡＮ装置に保存された機密情報を、故意にインターネット上に流出させることが可能な状態である。

そこで、企業ネットワークや無線ＬＡＮ装置の管理者にとって、無線ＬＡＮ装置を特定の無線ＬＡＮネットワークにしか接続させないという管理機能が必要とされるようになってきた。これに関連する技術として、特許文献１及び２に記載の技術がある。

特許文献１には、同じ識別名の無線ＬＡＮアクセスポイントが２つ以上あった場合に、不正な無線ＬＡＮアクセスポイントに接続しないよう、所定の条件に合致した無線ＬＡＮアクセスポイント（例えば過去に接続したことのある無線ＬＡＮアクセスポイント以外）には自動接続しない無線ＬＡＮ機器が開示されている。

特許文献２には、以下のネットワークシステムが開示されている。すなわち、ゲートウェイサーバが、ネットワーク環境と使用可能なアプリケーションの対応をネットワーク対応テーブルとして内部に記憶しており、端末からアクセスがあると対応テーブルを端末に通知する。端末は、ゲートウェイサーバから通知された対応テーブルに従って、使用可能なアプリケーションのアイコンを表示する。そして、表示されたアイコンが選択されると、当該選択されたアイコンに対応するアプリケーションの通信を、対応するネットワーク環境を用いて行う。

特許第４８３３７７９号公報特開２０１３−１４０４５９号公報

しかし、特許文献１及び２に記載の技術には以下の問題があった。すなわち、特許文献１に記載の技術では、所定の条件に合致した無線ＬＡＮアクセスポイントには自動接続しないものの、不正な無線ＬＡＮアクセスポイントに意図的に接続することを防ぐことができなかった。このため、悪意のある利用者が、無線ＬＡＮ機器を携帯型無線ＬＡＮルーター等の通信機器や公衆無線ＬＡＮ回線といった無線ＬＡＮネットワークに接続し、当該無線ＬＡＮ機器に保存された機密情報を、故意にインターネット上に流出させることが可能であった。また、特許文献２に記載の技術は、特定のネットワークとアプリケーションを対応付けて、対応付けのあるアプリケーションによる通信は、特定のネットワークを用いて行うという技術である。このため、例えばユーザ自身でインストールしたアプリケーションなど、特定のネットワークとの対応付けのないアプリケーションによる通信を管理することができず、セキュリティ対策が万全ではなかった。

本発明は、上述した課題を解決する無線ＬＡＮ装置、無線ＬＡＮアクセスポイントへの接続方法及びプログラムを提供することを目的とする。

本発明の無線ＬＡＮ装置は、複数の無線ＬＡＮアクセスポイントに接続可能な無線ＬＡＮ装置であって、前記無線ＬＡＮ装置を前記複数の無線ＬＡＮアクセスポイントのうち少なくとも一つの無線ＬＡＮアクセスポイントにネットワーク接続する通信部と、予め作成され前記複数の無線ＬＡＮアクセスポイントのうち前記通信部によるネットワーク接続が許可される少なくとも一つの無線ＬＡＮアクセスポイントに関する情報のみを有するリストを記憶する記憶部と、前記リストにおいてネットワーク接続が許可された無線ＬＡＮアクセスポイントにのみ接続可能なように前記通信部を制御する制御部と、を有し、前記リストへの変更権限が予め制限されており、前記リストにおいてネットワーク接続が許可されない無線ＬＡＮアクセスポイントに関する情報は、前記無線ＬＡＮ装置が保持する前記複数の無線ＬＡＮアクセスポイントの設定情報から削除するかランダムな値で上書きする。

本発明の無線ＬＡＮアクセスポイントへの接続方法は、複数の無線ＬＡＮアクセスポイントに接続可能な無線ＬＡＮ装置における前記無線ＬＡＮアクセスポイントへの接続方法であって、予め作成されて前記無線ＬＡＮ装置に記憶され、前記複数の無線ＬＡＮアクセスポイントのうち前記通信ステップにおけるネットワーク接続が許可される少なくとも一つの無線ＬＡＮアクセスポイントに関する情報のみを有し、変更権限が制限されているリストを読み込み、前記リストにおいてネットワーク接続が許可されない無線ＬＡＮアクセスポイントに関する情報は、前記無線ＬＡＮ装置が保持する前記複数の無線ＬＡＮアクセスポイントの設定情報から削除するかランダムな値で上書きし、前記ネットワーク接続が許可された無線ＬＡＮアクセスポイントにのみ接続するようにネットワーク接続を制御する。

本発明のプログラムは、複数の無線ＬＡＮアクセスポイントに接続可能な無線ＬＡＮ装置において用いられるプログラムであって、コンピュータに、予め作成されて前記無線ＬＡＮ装置に記憶され、前記複数の無線ＬＡＮアクセスポイントのうち前記通信処理におけるネットワーク接続が許可される少なくとも一つの無線ＬＡＮアクセスポイントに関する情報のみを有するリストにおいてネットワーク接続が許可された無線ＬＡＮアクセスポイントにのみ接続可能なように前記通信処理におけるネットワーク接続を制御する制御処理と、を実行させ、前記リストへの変更権限が予め制限されており、前記リストにおいてネットワーク接続が許可されない無線ＬＡＮアクセスポイントに関する情報は、前記無線ＬＡＮ装置が保持する前記複数の無線ＬＡＮアクセスポイントの設定情報から削除するかランダムな値で上書きする処理を行う。

本発明によれば、無線ＬＡＮ装置から無線ＬＡＮネットワークへの情報漏えいを防止することのできる無線ＬＡＮ装置、無線ＬＡＮアクセスポイントへの接続方法及びプログラムを提供することができる。

第１の実施形態にかかる無線ＬＡＮ装置１００の構成を示す図である。ポリシーファイルの作成方法及び内容を示す概念図である。第１の実施形態にかかる無線ＬＡＮ装置１００の動作を説明するフロー図である。第２の実施形態にかかる無線ＬＡＮ装置２００の構成を示す図である。

［第１の実施形態］
図１は、第１の実施形態にかかる無線ＬＡＮ装置１００の構成を示す図である。無線ＬＡＮ装置１００としては、例えば、複数の無線ＬＡＮアクセスポイントに接続可能なパーソナルコンピュータ、スマートフォン、携帯電話、デジタルカメラ、デジタルビデオカメラ等が考えられる。

無線ＬＡＮ装置１００は、通信部１０と、記憶部１１と、制御部１２を有する。

通信部１０は、無線ＬＡＮ装置１００を無線ＬＡＮアクセスポイントにネットワーク接続する機能を有する。

記憶部１０には、リスト（ポリシーファイル）１が記憶されている。

ポリシーファイル１には、無線ＬＡＮアクセスポイントを識別するため、ネットワーク接続が許可される無線ＬＡＮアクセスポイントに関する情報（設定情報）が記載されている。許可された無線ＬＡＮアクセスポイントに関する情報とは、例えば以下の情報である。１．ＥＳＳＩＤ（Extended Service Set Identifier）、２．ＢＳＳＩＤ（Basic Service Set Identifier）、３．通信チャンネル、４．暗号化の有無／暗号化有の場合は暗号化の種類、５．ＩＥＥＥ８０２，１ｘ認証で使用されるユーザＩＤ／証明書名。

図２に示すように、ポリシーファイル１は、例えばセキュリティ管理者によって管理者用ソフトウェアを用いて予め作成される。また、ポリシーファイル１の変更権限は、改変防止のため予め制限されている。制限の方法としては、例えばポリシーの設定値の暗号化、パスワードの設定、ポリシーファイル１へのアクセスの制限等が考えられる。

制御部１１は、無線ＬＡＮ装置１００に対しポリシーファイル１において接続が許可された無線ＬＡＮアクセスポイントにのみ接続可能とし、他の無線ＬＡＮアクセスポイントには接続させない機能を提供する。具体的には、例えば以下の機能である。１．暗号化されたポリシーファイルを復号して読み込む機能、２．無線ＬＡＮ装置１００が保持している無線ＬＡＮアクセスポイントの設定情報を読み込む／書き込む／削除する機能、３．無線ＬＡＮ装置１００が保持している無線ＬＡＮアクセスポイントの設定情報とポリシーファイルにて許可された無線ＬＡＮアクセスポイントの設定情報とを比較する機能、４．無線ＬＡＮ装置１００が新たな無線ＬＡＮアクセスポイントを検知した際に、当該新たな無線ＬＡＮアクセスポイントの各種設定情報を読み込む機能、５．無線ＬＡＮ装置１００のユーザが無線ＬＡＮ装置１００に対して手動で無線ＬＡＮアクセスポイントの設定を行ったことを検知して、当該設定された情報を読み込む機能。これらの機能は、無線ＬＡＮ制御用ソフトウェアをインストールすることにより実現される。

続いて、図３を用いて本実施形態にかかる無線ＬＡＮ装置１００の動作を説明する。

制御部１１は、無線ＬＡＮ装置１００の起動の際に、ポリシーファイル１に含まれている、すなわちポリシーで接続を許可された無線ＬＡＮアクセスポイントの設定情報を読み込む（ステップＳ１）。制御部１１は、無線ＬＡＮ装置１００が保持している無線ＬＡＮアクセスポイントの設定情報のうち、ポリシーファイル１に含まれていないもの、すなわちポリシーで許可されていないものを削除する（ステップＳ２）。無線ＬＡＮ装置１００が設定情報を保持していない無線ＬＡＮアクセスポイントを検出した場合（ステップＳ３）、当該設定情報とポリシーで許可された無線ＬＡＮアクセスポイントの設定情報とが一致しているか否かを判断する（ステップＳ４）。検出された無線ＬＡＮアクセスポイントの設定情報がポリシーで許可された無線ＬＡＮアクセスポイントの設定情報と一致している場合（ステップＳ４でＹｅｓ）、制御部１１は無線ＬＡＮ装置１００に当該無線ＬＡＮアクセスポイントの設定情報を書き込み、ネットワーク接続を確立させる（ステップＳ５）。一方、検出された無線ＬＡＮアクセスポイントの設定情報がポリシーで許可された無線ＬＡＮアクセスポイントの設定情報と一致していない場合（ステップＳ４でＮｏ）、制御部１１は無線ＬＡＮ装置１００から当該無線ＬＡＮアクセスポイントの設定情報を削除し、ネットワーク接続を行わせない（ステップＳ６）。

本実施形態にかかる無線ＬＡＮ装置１００では、予め作成され変更権限が制限されたポリシーファイル１を通じて無線ＬＡＮネットワークへの接続を制御する。すなわち、セキュリティ管理者が無線ＬＡＮ装置の無線ＬＡＮネットワークへの接続可否を管理し、無線ＬＡＮ装置のユーザはセキュリティ管理者に無断で無線ＬＡＮネットワーク接続の設定変更を行うことができない。この結果、セキュリティ管理者の管理が及ばない無線ＬＡＮネットワークに無線ＬＡＮ装置を接続することができなくなるため、無線ＬＡＮ装置から当該無線ＬＡＮネットワークへの情報漏えいを防止することができる。

上記説明では、検出された無線ＬＡＮアクセスポイントの設定情報がポリシーで許可された無線ＬＡＮアクセスポイントの設定情報と一致していない場合、無線ＬＡＮ制御用ソフトウェアは無線ＬＡＮ装置から当該無線ＬＡＮアクセスポイントの設定情報を削除する態様について説明した。削除のほか、設定情報をランダムな値で上書きする態様とすることもできる。

また、ポリシー情報に記載される、無線ＬＡＮアクセスポイントを識別するための情報については、無線ＬＡＮアクセスポイントを一意に識別できるものであれば上述した情報以外の情報であってもよい。

［第２の実施形態］
図４は、第２の実施形態にかかる無線ＬＡＮ装置２００の構成を示す図である。

無線ＬＡＮ装置２００では、第１の実施形態にかかる無線ＬＡＮ装置１００においてさらにインターフェース部１３を設けている。

インターフェース部１３は、ポリシーファイルの設定を受け付ける。すなわち、第１の実施形態においては、管理者用ソフトウェアでポリシーファイルを作成する態様について説明した。本実施形態では、インターフェース部１３を介してポリシーファイルを設定する。この場合、ポリシーファイルの設定インターフェースにパスワード等の認証機能を設けることより、セキュリティ管理者のみがポリシーファイルの設定を行うことができる。

以上、本発明の実施形態について説明したが、本発明は、上記実施形態に限定されるものではなく、本発明の趣旨を逸脱しない限りにおいて、他の変形例、応用例を含むことは言うまでもない。

１リスト（ポリシーファイル）
１０通信部
１１記憶部
１２制御部
１３インターフェース部
１００、２００無線ＬＡＮ装置

Claims

複数の無線ＬＡＮアクセスポイントに接続可能な無線ＬＡＮ装置であって、
前記無線ＬＡＮ装置を前記複数の無線ＬＡＮアクセスポイントのうち少なくとも一つの無線ＬＡＮアクセスポイントにネットワーク接続する通信部と、
予め作成され前記複数の無線ＬＡＮアクセスポイントのうち前記通信部によるネットワーク接続が許可される少なくとも一つの無線ＬＡＮアクセスポイントに関する情報のみを有するリストを記憶する記憶部と、
前記リストにおいてネットワーク接続が許可された無線ＬＡＮアクセスポイントにのみ接続可能なように前記通信部を制御する制御部と、を有し、
前記リストへの変更権限が予め制限されており、
前記リストにおいてネットワーク接続が許可されない無線ＬＡＮアクセスポイントに関する情報は、前記無線ＬＡＮ装置が保持する前記複数の無線ＬＡＮアクセスポイントの設定情報から削除するかランダムな値で上書きする無線ＬＡＮ装置。
前記制御部は、無線ＬＡＮアクセスポイントが検出された際に、当該検出された無線ＬＡＮアクセスポイントの設定情報と前記リストが有する情報とを比較することにより、前記無線ＬＡＮアクセスポイントへの接続を制御する、請求項１に記載の無線ＬＡＮ装置。
前記リストは、管理者用ソフトウェアで作成される請求項１又は２に記載の無線ＬＡＮ装置。
インターフェース部をさらに有し、
前記リストは、前記インターフェース部を介して作成される請求項１又は２に記載の無線ＬＡＮ装置。
前記リストを作成する際に認証を要求する請求項４に記載の無線ＬＡＮ装置。
複数の無線ＬＡＮアクセスポイントに接続可能な無線ＬＡＮ装置における前記無線ＬＡＮアクセスポイントへの接続方法であって、
予め作成されて前記無線ＬＡＮ装置に記憶され、前記複数の無線ＬＡＮアクセスポイントのうち前記通信ステップにおけるネットワーク接続が許可される少なくとも一つの無線ＬＡＮアクセスポイントに関する情報のみを有し、変更権限が制限されているリストを読み込み、
前記リストにおいてネットワーク接続が許可されない無線ＬＡＮアクセスポイントに関する情報は、前記無線ＬＡＮ装置が保持する前記複数の無線ＬＡＮアクセスポイントの設定情報から削除するかランダムな値で上書きし、
前記ネットワーク接続が許可された無線ＬＡＮアクセスポイントにのみ接続するようにネットワーク接続を制御する、
無線ＬＡＮアクセスポイントへの接続方法。
前記制御ステップにおいて、無線ＬＡＮアクセスポイントが検出された際に、当該検出された無線ＬＡＮアクセスポイントに関する情報と前記リストが有する情報とを比較することにより、前記無線ＬＡＮアクセスポイントへの接続を制御する、請求項６に記載の無線ＬＡＮアクセスポイントへの接続方法。
前記リストは、管理者用ソフトウェアで作成される請求項６又は７に記載の無線ＬＡＮアクセスポイントへの接続方法。
前記無線ＬＡＮ装置はインターフェース部を有し、
前記リストは、前記インターフェース部を介して作成される請求項６又は７に記載の無線ＬＡＮアクセスポイントへの接続方法。
複数の無線ＬＡＮアクセスポイントに接続可能な無線ＬＡＮ装置において用いられるプログラムであって、コンピュータに、
予め作成されて前記無線ＬＡＮ装置に記憶され、前記複数の無線ＬＡＮアクセスポイントのうち前記通信処理におけるネットワーク接続が許可される少なくとも一つの無線ＬＡＮアクセスポイントに関する情報のみを有するリストにおいてネットワーク接続が許可された無線ＬＡＮアクセスポイントにのみ接続可能なように前記通信処理におけるネットワーク接続を制御する制御処理と、を実行させ、
前記リストへの変更権限が予め制限されており、
前記リストにおいてネットワーク接続が許可されない無線ＬＡＮアクセスポイントに関する情報は、前記無線ＬＡＮ装置が保持する前記複数の無線ＬＡＮアクセスポイントの設定情報から削除するかランダムな値で上書きする処理を行うプログラム。