JP6203985B1 - 認証証明のセキュアプロビジョニング - Google Patents

Abstract

クライアントデバイスをセキュアにプロビジョニングするための技法について説明する。クライアントデバイスが、認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイスに出力し得る。第１のクライアント情報に関係する第２のクライアント情報が認証サーバに送信され得る。認証サーバは、第２のクライアント情報と第１のクライアント情報とをリンクし得る。クライアントデバイスは、認証サーバから、暗号化された認証証明を受信し得る。認証証明は、第１のクライアント情報または第２のクライアント情報に少なくとも部分的に基づいて暗号化され得る。クライアントデバイスは、第１のクライアント情報、第２のクライアント情報、または共有秘密鍵を使用して、暗号化された認証証明を解読し得る。【選択図】 図６

Description

相互参照
[0001]本特許出願は、本出願の譲受人に譲渡され、２０１４年８月１８日に出願された「Secure Provisioning of an Authentication Credential」と題する、Ｂｅｎｏｉｔらによる米国特許出願第１４／４６２，２７２号の優先権を主張する。

[0002]本開示は、一般にワイヤレス通信システムに関し、より詳細には、アクセスポイントとのセキュアワイヤレス通信に関する。

[0003]ワイヤレス通信システムは、音声、ビデオ、パケットデータ、メッセージング、ブロードキャストなどの様々なタイプの通信コンテンツを提供するために広く展開されている。これらのシステムは、利用可能なシステムリソース（たとえば、時間、周波数、および電力）を共有することによって複数のユーザとの通信をサポートすることが可能な多元接続システムであり得る。そのような多元接続システムの例としては、符号分割多元接続（ＣＤＭＡ）システム、時分割多元接続（ＴＤＭＡ）システム、周波数分割多元接続（ＦＤＭＡ）システム、および直交周波数分割多元接続（ＯＦＤＭＡ）システムがある。

[0004]概して、ワイヤレス多元接続通信システムは、各々が複数のモバイルデバイスのための通信を同時にサポートする、いくつかの基地局を含み得る。基地局は、ダウンストリームリンクおよびアップストリームリンク上でモバイルデバイスと通信し得る。

[0005]Ｗｉ−Ｆｉ（登録商標）保護アクセスＩＩ（ＷＰＡ２：Wi-Fi Protected Access II）エンタープライズプロトコルはＷｉ−Ｆｉネットワークに高いレベルのセキュリティを与えるが、ＷＰＡ２エンタープライズ接続を用いてアクセスポイントに接続するようにクライアントデバイスを構成することは複雑なプロセスである。ネットワーク認証サーバによってサポートされる拡張認証プロトコル（ＥＡＰ：Extensible Authentication Protocol）方法に応じて、異なるタイプの証明がクライアントデバイスにプロビジョニング（provisioning）される。このプロビジョニングは、一般に、ネットワーク管理者によって手動で実行され、これは、時間のかかるプロセスである。さらに、ネットワーク管理者は、ネットワークの上位レイヤを使用してプロビジョニングを実行し得る。ただし、ネットワークの上位レイヤからプロビジョニングされた証明はソフトウェア攻撃を受け得る。

[0006]説明する特徴は、一般に、クライアントデバイスをセキュアにプロビジョニングするための改善されたシステム、方法、および／または装置に関する。クライアントデバイスの第１のクライアント情報が、信頼済みデバイス（trusted device）を介して認証サーバに送信され得る。第２のクライアント情報が、アクセスポイントを介して認証サーバに送信され得る。クライアント情報は、クライアント公開鍵、またはクライアント公開鍵から導出されたトークンを含み得る。認証サーバは、第１のクライアント情報と第２のクライアント情報との間にリンクがあるかどうかを決定し得る。リンクが決定されると、認証サーバは、クライアント公開鍵または共有秘密鍵（shared secret key）で認証証明（authentication credential）を暗号化し得る。共有秘密鍵は、クライアント公開鍵に部分的に基づいて導出され得る。暗号化された認証証明は、アクセスポイントを介してクライアントデバイスに送信され得る。クライアントデバイスは、次いで、クライアント公開鍵に対応するクライアント秘密鍵（client private key）を使用して、または共有秘密鍵を使用して、暗号化された認証証明を解読し得る。クライアントデバイスは、次いで、セキュアワイヤレス接続を用いてアクセスポイントに接続するために、認証証明を使用して認証プロシージャを実行し得る。

[0007]例示的な例の第１のセットでは、クライアントデバイスをセキュアにプロビジョニングするための方法について説明する。一例では、本方法は、認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイスに出力することと、第１のクライアント情報に関係する第２のクライアント情報を認証サーバに送信することと、第２のクライアント情報が、認証サーバによって第１のクライアント情報にリンクされる、認証サーバから、暗号化された認証証明を受信することと、暗号化された認証証明が、第１のクライアント情報または第２のクライアント情報に少なくとも部分的に基づいて暗号化される、暗号化された認証証明を解読することとを含み得る。

[0008]本方法のいくつかの例では、第１のクライアント情報はクライアント公開鍵を含み得、第２のクライアント情報はクライアント識別情報を含み得、クライアント識別情報はクライアント公開鍵から導出される。本方法のいくつかの例では、暗号化された認証証明は、第１のクライアント情報中で送信されたクライアント公開鍵に少なくとも部分的に基づいて暗号化され、暗号化された認証証明は、クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される。本方法のいくつかの例では、第１のクライアント情報はクライアント認証トークンを含み得、第２のクライアント情報はクライアント公開鍵を含み得、クライアント認証トークンはクライアント公開鍵から導出される。本方法のいくつかの例では、暗号化された認証証明は、第２のクライアント情報中で送信されたクライアント公開鍵に少なくとも部分的に基づいて暗号化され、暗号化された認証証明は、クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される。

[0009]いくつかの例では、本方法は、共有秘密鍵を認証サーバと交換することを含み得、ここにおいて、暗号化された認証証明は、共有秘密鍵に少なくとも部分的に基づいて解読される。いくつかの例では、本方法は、解読された認証証明を使用して認証プロシージャを完了することによって、認証サーバに関連付けられたアクセスポイントに接続することを含み得る。本方法のいくつかの例では、認証プロシージャは米国電気電子技術者協会（ＩＥＥＥ：Institute of Electrical and Electronics Engineers）８０２．１Ｘ拡張認証プロトコルを含み得、アクセスポイントに接続することはＷｉ−Ｆｉ保護アクセスＩＩ（ＷＰＡ２）エンタープライズ接続を含み得る。本方法のいくつかの例では、セキュアインターフェースは、第１のクライアント情報を手動で入力すること、第１のクライアント情報のクイックレスポンス（ＱＲ：Quick Response）コード（登録商標）を走査すること、帯域外ワイヤレスチャネル（たとえばＮＦＣ、Ｂｌｕｅｔｏｏｔｈ（登録商標））を介して第１のクライアント情報を送信すること、またはそれらの組合せを含む。いくつかの例では、本方法は、信頼済みデバイスからサーバ認証トークンを受信することと、サーバ認証トークンが、認証サーバによって認証証明から導出される、受信されたサーバ認証トークンが、解読された認証証明から導出されたトークンに一致することを検証することとを含み得る。

[0010]例示的な例の第２のセットでは、クライアントデバイスをセキュアにプロビジョニングするための装置について説明する。一例では、本装置は、プロセッサと、プロセッサと電子通信しているメモリと、メモリに記憶された命令とを含み得る。命令は、認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイスに出力することと、第１のクライアント情報に関係する第２のクライアント情報を認証サーバに送信することと、第２のクライアント情報が、認証サーバによって第１のクライアント情報にリンクされる、認証サーバから、暗号化された認証証明を受信することと、暗号化された認証証明が、第１のクライアント情報または第２のクライアント情報に少なくとも部分的に基づいて暗号化される、暗号化された認証証明を解読することとを行うためにプロセッサによって実行可能であり得る。いくつかの例では、命令はまた、例示的な例の第１のセットに関して上記で説明したクライアントデバイスをセキュアにプロビジョニングするための方法の１つまたは複数の態様を実装するためにプロセッサによって実行可能であり得る。

[0011]例示的な例の第３のセットでは、クライアントデバイスをセキュアにプロビジョニングするための別の装置について説明する。一例では、本装置は、認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイスに出力するためのセキュアインターフェース出力と、第１のクライアント情報に関係する第２のクライアント情報を認証サーバに送信するための送信機と、第２のクライアント情報が、認証サーバによって第１のクライアント情報にリンクされる、認証サーバから、暗号化された認証証明を受信するための受信機と、暗号化された認証証明が、第１のクライアント情報または第２のクライアント情報に少なくとも部分的に基づいて暗号化される、暗号化された認証証明を解読するためのオーセンティケータ（authenticator）とを含み得る。いくつかの例では、本装置は、例示的な例の第１のセットに関して上記で説明したクライアントデバイスをセキュアにプロビジョニングするための方法の１つまたは複数の態様をさらに実装し得る。

[0012]例示的な例の第４のセットでは、ワイヤレス通信のためのコンピュータ実行可能コードを記憶する非一時的コンピュータ可読媒体について説明する。コードは、認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイスに出力することと、第１のクライアント情報に関係する第２のクライアント情報を認証サーバに送信することと、第２のクライアント情報が、認証サーバによって第１のクライアント情報にリンクされる、認証サーバから、暗号化された認証証明を受信することと、暗号化された認証証明が、第１のクライアント情報または第２のクライアント情報に少なくとも部分的に基づいて暗号化される、暗号化された認証証明を解読することとを行うためにプロセッサによって実行可能であり得る。いくつかの例では、コードはまた、例示的な例の第１のセットに関して上記で説明したクライアントデバイスをセキュアにプロビジョニングするための方法の１つまたは複数の態様を実装するためにプロセッサによって実行可能であり得る。

[0013]説明する方法および装置の適用性のさらなる範囲は、以下の発明を実施するための形態、特許請求の範囲、および図面から明らかになろう。当業者には発明を実施するための形態の範囲内の様々な変更および改変が明らかになるので、発明を実施するための形態および特定の例は、例示として与えられるものにすぎない。

[0014]本開示の性質および利点のさらなる理解は、以下の図面を参照して実現され得る。添付の図では、同様の構成要素または特徴は同じ参照ラベルを有し得る。さらに、同じタイプの様々な構成要素は、参照ラベルの後に、ダッシュと、それらの同様の構成要素の間で区別する第２のラベルとを続けることによって区別され得る。第１の参照ラベルのみが本明細書において使用される場合、その説明は、第２の参照ラベルにかかわらず、同じ第１の参照ラベルを有する同様の構成要素のうちのいずれか１つに適用可能である。

[0015]ワイヤレス通信システムのブロック図。 [0016]様々な実施形態による、クライアントデバイスを示すブロック図。 様々な実施形態による、クライアントデバイスを示すブロック図。 様々な実施形態による、クライアントデバイスを示すブロック図。 [0017]様々な実施形態による、信頼済みデバイスを示すブロック図。 様々な実施形態による、信頼済みデバイスを示すブロック図。 様々な実施形態による、信頼済みデバイスを示すブロック図。 [0018]様々な実施形態による、アクセスポイントを示すブロック図。 様々な実施形態による、アクセスポイントを示すブロック図。 様々な実施形態による、アクセスポイントを示すブロック図。 [0019]様々な実施形態による、認証サーバを示すブロック図。 [0020]クライアントデバイスと、信頼済みデバイスと、アクセスポイントと、認証サーバとの間の通信の一例を示すメッセージフロー図。 [0021]クライアントデバイスと、信頼済みデバイスと、アクセスポイントと、認証サーバとの間の通信の別の例を示すメッセージフロー図。 [0022]クライアントデバイスと、信頼済みデバイスと、アクセスポイントと、認証サーバとの間の通信の別の例を示すメッセージフロー図。 [0023]アクセスポイントにセキュアに接続するためにクライアントデバイスによって実行される方法の一実施形態を示すフローチャート。 [0024]クライアントデバイスをセキュアに認証するために信頼済みデバイスによって実行される方法の一実施形態を示すフローチャート。 [0025]クライアントデバイスにセキュアに接続するためにアクセスポイントによって実行される方法の一実施形態を示すフローチャート。 [0026]クライアントデバイスを認証するために認証サーバによって実行される方法の一実施形態を示すフローチャート。 [0027]アクセスポイントにセキュアに接続するためにクライアントデバイスによって実行される方法の代替実施形態を示すフローチャート。 [0028]クライアントデバイスをセキュアに認証するために信頼済みデバイスによって実行される方法の代替実施形態を示すフローチャート。 [0029]クライアントデバイスを認証するために認証サーバによって実行される方法の代替実施形態を示すフローチャート。 [0030]アクセスポイントにセキュアに接続するためにクライアントデバイスによって実行される方法の代替実施形態を示すフローチャート。 [0031]クライアントデバイスをセキュアに認証するために信頼済みデバイスによって実行される方法の代替実施形態を示すフローチャート。 [0032]認証証明を用いてクライアントデバイスをセキュアにプロビジョニングするための方法の一実施形態を示すフローチャート。

[0033]クライアントデバイスが、アクセスポイントとのセキュアワイヤレス接続のための必要な証明を用いてセキュアにプロビジョニングされることを可能にする実施形態について説明する。必要な証明は、クライアントデバイスのユーザまたはアクセスポイントの管理者からの最小限の手動入力でクライアントデバイス上でプロビジョニングされる。

[0034]ワイヤレスネットワークは、インターネットアクセスと他のサービスとのためのより小さいローカルネットワークとともに、ますます使用されている。Ｗｉ−Ｆｉはそのようなローカルネットワークの一例である。Ｗｉ−Ｆｉは、電子デバイスが、高速インターネット接続を含む、コンピュータネットワークを介して（電波を使用して）ワイヤレスにデータを交換することを可能にする、普及している技術である。Ｗｉ−Ｆｉ Ａｌｌｉａｎｃｅ（登録商標）は、Ｗｉ−Ｆｉを、「米国電気電子技術者協会（ＩＥＥＥ）８０２．１１規格に基づくワイヤレスローカルエリアネットワーク（ＷＬＡＮ）製品」として定義する。

[0035]ＩＥＥＥ８０２．１１規格に基づくＷｉ−Ｆｉ技術はＷｉ−Ｆｉ Ａｌｌｉａｎｃｅによって実施されている。これは、ワイヤレスローカルエリアネットワーク（ＷＬＡＮ）接続、（Ｗｉ−Ｆｉ Ｄｉｒｅｃｔ（登録商標）としても知られる、Ｗｉ−Ｆｉピアツーピアなどの）デバイスツーデバイス接続性、パーソナルエリアネットワーク（ＰＡＮ）、ローカルエリアネットワーク（ＬＡＮ）を含み、さらに、いくつかの限定されたワイドエリアネットワーク（ＷＡＮ）接続が、Ｗｉ−Ｆｉ ＡｌｌｉａｎｃｅとＩＥＥＥ８０２．１１のバージョンとによってカバーされる。

[0036]Ｗｉ−Ｆｉ ＬＡＮに接続するために、コンピュータまたは他のデバイスがワイヤレスネットワークインターフェースコントローラを装備する。ワイヤレスネットワークインターフェースコントローラとコンピュータまたは他のデバイスとの組合せは局として知られ得る。局は単一の無線周波数通信チャネルを共有する。このチャネル上での送信は範囲内の局によって受信される。ハードウェアは、送信が配信されたことをユーザにシグナリングせず、したがって、配信機構は「ベストエフォート」配信機構として知られている。搬送波がパケット中でデータを送信し、そのパケットは「イーサネット（登録商標）フレーム」と呼ばれることがある。局は、利用可能な送信を受信するために、無線周波数通信チャネルに常に同調される。

[0037]Ｗｉ−Ｆｉ対応デバイスは、ワイヤレスネットワークの範囲内にあるとき、インターネットまたは他のリソースに接続し得る。Ｗｉ−Ｆｉは、自宅、コーヒーショップおよび他の企業、病院、ならびに、空港、ホテルなど、組織においてサービスを提供し得る。

[0038]Ｗｉ−Ｆｉは、ＬＡＮのためのより安価なネットワーク展開の利点を提供し、しばしば、屋外エリアおよび歴史的建築物など、ケーブルが敷設され得ない場所で使用される。直近の消費者デバイスはワイヤレスネットワークアダプタを含み、したがって、技術の使用を促進するのを助ける。

[0039]以下の説明は、例を与えるものであり、特許請求の範囲に記載される範囲、適用性、または構成を限定するものではない。本開示の範囲から逸脱することなく、説明する要素の機能および構成において変更が行われ得る。様々な実施形態は、適宜に様々なプロシージャまたは構成要素を省略、置換、または追加し得る。たとえば、説明する方法は、説明する順序とは異なる順序で実行され得、様々なステップが追加、省略、または組み合わせられ得る。また、いくつかの実施形態に関して説明する特徴は、他の実施形態において組み合わせられ得る。

[0040]図１に、本開示の様々な態様による、ワイヤレス通信システム１００のブロック図を示す。ワイヤレス通信システム１００は、アクセスポイント１０５と、いくつかのクライアントデバイス１１５と、信頼済みデバイス１２５と、認証サーバ１４０とを含む。アクセスポイント１０５は、ワイヤレス接続１３０を介してクライアントデバイス１１５と通信し得る。アクセスポイント１０５は、ネットワーク接続１３２を介して認証サーバ１４０と通信し得る。ネットワーク接続１３２はワイヤードまたはワイヤレス通信リンクであり得る。

[0041]信頼済みデバイス１２５は、たとえば、認証サーバ１４０に接続されたユーザのコンピュータまたは他のアドミニストレーションデバイスであり得る。信頼済みデバイス１２５は、認証サーバ１４０によって、クライアントデバイス１１５の認証に参加することを許可され得る。信頼済みデバイス１２５はセキュアインターフェース１３５を含み得る。セキュアインターフェース１３５は、クライアントデバイス１１５からデータをセキュアに入力し、クライアントデバイス１１５にデータをセキュアに出力し得る。信頼済みデバイス１２５は、ネットワーク接続１３２を介して、直接的または間接的のいずれかで、認証サーバ１４０と通信し得る。ネットワーク接続１３２はワイヤードまたはワイヤレス接続であり得、ネットワーク接続１３２を介した通信は、ルータおよび／またはアクセスポイント１０５などのアクセスポイントを通してルーティングされ得る。

[0042]クライアントデバイス１１５は、セキュアインターフェース１３５を介して信頼済みデバイス１２５に第１のクライアント情報を出力し得る。第１のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント公開鍵から導出されたクライアント認証トークンを含み得る。信頼済みデバイス１２５は、次いで、ネットワーク接続１３２を介して認証サーバ１４０に第１のクライアント情報を送信し得る。クライアントデバイス１１５は、ワイヤレス接続１３０を介してアクセスポイント１０５に第２のクライアント情報を送信し得、アクセスポイント１０５は、ネットワーク接続１３２を介して認証サーバ１４０に第２のクライアント情報を送信し得る。第２のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント公開鍵から導出されたクライアント識別情報（ＩＤ）を含み得る。認証サーバ１４０は、次いで、クライアントデバイス１１５が許可されたデバイスであると決定するために、第１のクライアント情報を第２のクライアント情報にリンクし得る。認証サーバ１４０は、第１のクライアント情報または第２のクライアント情報中で受信されたクライアント公開鍵を使用して、認証証明を暗号化し得る。代替的に、クライアントデバイス１１５および認証サーバ１４０は、たとえば、ディフィーへルマン（Diffie-Hellman）鍵交換を使用して共有秘密鍵を交換し得る。共有秘密鍵は、クライアント公開鍵に部分的に基づいて確立され得る。暗号化された認証証明は、アクセスポイント１０５を介してクライアントデバイス１１５に送信され得、クライアントデバイス１１５は、クライアント公開鍵に対応するクライアント秘密鍵を使用して、暗号化された認証証明を解読し得る。代替的に、クライアントデバイス１１５は、認証サーバ１４０と交換された共有秘密鍵を使用して、暗号化された認証証明を解読し得る。クライアントデバイス１１５は、次いで、アクセスポイント１０５および認証サーバ１４０との認証プロシージャを実行するために、解読された認証証明を使用し得る。認証プロシージャを完了した後、クライアントデバイス１１５は、セキュアワイヤレス接続を用いてアクセスポイント１０５に接続し得る。

[0043]ワイヤレス通信システム１００は、複数のキャリア（異なる周波数の波形信号）上での動作をサポートし得る。マルチキャリア送信機は、複数のキャリア上で同時に被変調信号を送信することができる。たとえば、各ワイヤレス接続１３０は、様々な無線技術に従って変調されたマルチキャリア信号であり得る。各被変調信号は、異なるキャリア上で送られ得、制御情報（たとえば、基準信号、制御チャネルなど）、オーバーヘッド情報、データなどを搬送し得る。

[0044]アクセスポイント１０５は、少なくとも１つのアクセスポイントアンテナを介してクライアントデバイス１１５とワイヤレス通信し得る。いくつかの実施形態では、アクセスポイント１０５は、基地局、基地トランシーバ局（ＢＴＳ：base transceiver station）、無線基地局、無線トランシーバ、基本サービスセット（ＢＳＳ：basic service set）、拡張サービスセット（ＥＳＳ：extended service set）、ノードＢ、発展型ノードＢ（ｅＮＢ：evolved NodeB）、ホームノードＢ、ホームｅノードＢ、ＷＬＡＮアクセスポイント、Ｗｉ−Ｆｉノードまたは何らかの他の好適な用語で呼ばれることがある。アクセスポイント１０５はまた、セルラーおよび／またはＷＬＡＮ無線アクセス技術など、異なる無線技術を利用し得る。アクセスポイント１０５は、同じまたは異なるアクセスネットワークまたは事業者展開に関連付けられ得る。

[0045]クライアントデバイス１１５は、ワイヤレス通信システム１００全体にわたって分散され得、各クライアントデバイス１１５は固定または移動であり得る。クライアントデバイス１１５は、当業者によって、モバイルデバイス、移動局、加入者局、モバイルユニット、加入者ユニット、ワイヤレスユニット、リモートユニット、ワイヤレスデバイス、ワイヤレス通信デバイス、リモートデバイス、モバイル加入者局、アクセス端末、モバイル端末、ワイヤレス端末、リモート端末、ハンドセット、ユーザエージェント、モバイルクライアント、クライアント、または何らかの他の好適な用語で呼ばれることもある。クライアントデバイス１１５は、セルラーフォン、携帯情報端末（ＰＤＡ）、ワイヤレスモデム、ワイヤレス通信デバイス、ハンドヘルドデバイス、タブレットコンピュータ、ラップトップコンピュータ、コードレスフォン、時計または眼鏡などのウェアラブルアイテム、ワイヤレスローカルループ（ＷＬＬ）局などであり得る。クライアントデバイス１１５は、マクロｅＮＢ、ピコｅＮＢ、フェムトｅＮＢ、リレーなどと通信することが可能であり得る。クライアントデバイス１１５は、セルラーまたは他のＷＷＡＮアクセスネットワーク、あるいはＷＬＡＮアクセスネットワークなど、異なるアクセスネットワークを介して通信することも可能であり得る。

[0046]ワイヤレス通信システム１００に示されているワイヤレス接続１３０は、（たとえば、クライアントデバイス１１５からアクセスポイント１０５への）アップリンク（ＵＬ）送信を搬送するためのアップリンクおよび／または（たとえば、アクセスポイント１０５からクライアントデバイス１１５への）ダウンリンク（ＤＬ）送信を搬送するためのダウンリンクを含み得る。ＵＬ送信は逆方向リンク送信と呼ばれることもあり、ＤＬ送信は順方向リンク送信と呼ばれることもある。

[0047]次に図２Ａを参照すると、ブロック図２００−ａは、様々な実施形態による、クライアントデバイス１１５−ａを示している。クライアントデバイス１１５−ａは、図１を参照しながら説明したクライアントデバイス１１５の少なくとも１つの態様の一例であり得る。クライアントデバイス１１５−ａは、クライアントデバイス入力２０５と、クライアントデバイスオーセンティケータ２１０と、クライアントデバイス出力２１５とを含み得る。これらの構成要素の各々は互いと通信していることがある。

[0048]クライアントデバイス１１５−ａの構成要素は、適用可能な機能の一部または全部をハードウェアで実行するように適応された特定用途向け集積回路（ＡＳＩＣ）を用いて、個々にまたはまとめて実装され得る。代替的に、それらの機能は、集積回路上で、他の処理ユニット（またはコア）によって実行され得る。他の実施形態では、当技術分野で知られている任意の方法でプログラムされ得る、他のタイプの集積回路（たとえば、ストラクチャード／プラットフォームＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および他のセミカスタムＩＣ）が使用され得る。各ユニットの機能はまた、全体的にまたは部分的に、汎用または特定用途向けプロセッサによって実行されるようにフォーマットされた、メモリに記憶された命令を用いて実装され得る。

[0049]クライアントデバイス出力２１５は、クライアントデバイス１１５−ａから、図１に示されているシステム１００の信頼済みデバイス１２５およびアクセスポイント１０５など、他のデバイスへの通信を送り得る。クライアントデバイス入力２０５は、信頼済みデバイス１２５およびアクセスポイント１０５など、他のデバイスからの通信を受信し得る。クライアントデバイスオーセンティケータ２１０は、認証、暗号化、解読、およびアクセスポイント１０５へのクライアントデバイス１１５−ａの接続を認証し、セキュアにすることに関与する他の動作を実行し得る。クライアントデバイス１１５−ａまたはクライアントデバイスオーセンティケータ２１０は、そのような機能を実行するためのプロセッサを含み得る。

[0050]図２Ｂは、様々な実施形態による、クライアントデバイス１１５−ｂを示すブロック図２００−ｂである。クライアントデバイス１１５−ｂは、図１および／または図２Ａを参照しながら説明したクライアントデバイス１１５の少なくとも１つの態様の一例であり得る。クライアントデバイス１１５−ｂは、クライアントデバイス入力２０５−ａと、クライアントデバイスオーセンティケータ２１０−ａと、クライアントデバイス出力２１５−ａとを含み得る。これらの構成要素の各々は互いと通信していることがある。

[0051]クライアントデバイス１１５−ｂの構成要素は、適用可能な機能の一部または全部をハードウェアで実行するように適応された特定用途向け集積回路（ＡＳＩＣ）を用いて、個々にまたはまとめて実装され得る。代替的に、それらの機能は、集積回路上で、他の処理ユニット（またはコア）によって実行され得る。他の実施形態では、当技術分野で知られている任意の方法でプログラムされ得る、他のタイプの集積回路（たとえば、ストラクチャード／プラットフォームＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および他のセミカスタムＩＣ）が使用され得る。各ユニットの機能はまた、全体的にまたは部分的に、汎用または特定用途向けプロセッサによって実行されるようにフォーマットされた、メモリに記憶された命令を用いて実装され得る。

[0052]クライアントデバイス入力２０５−ａ、クライアントデバイスオーセンティケータ２１０−ａ、およびクライアントデバイス出力２１５−ａは、図２Ａを参照しながら前に説明した動作を実行するように構成され得る。クライアントデバイス入力２０５−ａはワイヤレス受信機２２０とセキュアインターフェース入力２２５とを含み得る。クライアントデバイス出力２１５−ａはワイヤレス送信機２４５とセキュアインターフェース出力２５０とを含み得る。クライアントデバイスオーセンティケータ２１０−ａは、クライアント情報生成器２３０と、サーバオーセンティケータ２３５と、ネットワークオーセンティケータ２４０とを含み得る。

[0053]ワイヤレス受信機２２０、セキュアインターフェース入力２２５、ワイヤレス送信機２４５、およびセキュアインターフェース出力２５０は、図１に示されているシステム１００のアクセスポイント１０５および信頼済みデバイス１２５と通信し得る。ワイヤレス受信機２２０はアクセスポイント１０５からの通信を受信し得る。ワイヤレス送信機２４５はアクセスポイント１０５への通信を送信し得る。セキュアインターフェース入力２２５は、信頼済みデバイス１２５のセキュアインターフェース１３５からの通信を入力し得る。セキュアインターフェース入力２２５は、たとえば、テキスト入力インターフェース、クイックレスポンス（ＱＲ）コードリーダー、あるいは、ニアフィールド通信（ＮＦＣ：near-field communication）入力またはＢｌｕｅｔｏｏｔｈ入力など、帯域外ワイヤレス入力を含み得る。セキュアインターフェース出力２５０は、信頼済みデバイス１２５のセキュアインターフェース１３５への通信を出力し得る。セキュアインターフェース出力２５０は、たとえば、テキストまたはＱＲコードを表示するためのディスプレイ、あるいは、ＮＦＣ出力またはＢｌｕｅｔｏｏｔｈ出力など、帯域外ワイヤレス出力を含み得る。

[0054]クライアント情報生成器２３０は、本明細書で説明するように、クライアント情報を生成するために様々な動作を実行するように構成され得る。サーバオーセンティケータ２３５は、本明細書で説明するように、認証サーバ１４０の識別情報を認証するために様々な動作を実行するように構成され得る。ネットワークオーセンティケータ２４０は、本明細書で説明するように、クライアントデバイス１１５−ｂとアクセスポイント１０５との間の接続を認証し、セキュアにするために様々な動作を実行するように構成され得る。クライアント情報生成器２３０、サーバオーセンティケータ２３５、およびネットワークオーセンティケータ２４０は、そのような動作を実行する際にクライアントデバイス入力２０５−ａおよびクライアントデバイス出力２１５−ａと協働し得る。クライアントデバイス１１５−ｂまたはクライアントデバイスオーセンティケータ２１０−ａは、そのような機能を実行するためのプロセッサを含み得る。

[0055]図２Ｃは、様々な実施形態による、クライアントデバイス１１５−ｃを示すブロック図２００−ｃである。クライアントデバイス１１５−ｃは、図１、図２Ａ、および／または図２Ｂを参照しながら説明したクライアントデバイス１１５の少なくとも１つの態様の一例であり得る。クライアントデバイス１１５−ｃは、パーソナルコンピュータ（たとえば、ラップトップコンピュータ、ネットブックコンピュータ、タブレットコンピュータなど）、セルラー電話、ＰＤＡ、デジタルビデオレコーダ（ＤＶＲ）、インターネットアプライアンス、ゲームコンソール、電子リーダーなど、様々な構成のいずれかを有し得る。クライアントデバイス１１５−ｃは、モバイル動作を可能にするために、小型バッテリーなどの内部電源（図示せず）を有し得る。

[0056]示されている構成では、クライアントデバイス１１５−ｃは、クライアントデバイスプロセッサ２５５と、クライアントデバイスメモリ２６０と、クライアントデバイス入力／出力２７０と、セキュアインターフェース２７５と、クライアントデバイスアンテナ２８０とを含み、その各々は、（たとえば、バス２８５を介して）直接または間接的に、互いと通信していることがある。クライアントデバイス入力／出力２７０は、上記で説明したように、セキュアインターフェース２７５および（１つまたは複数の）クライアントデバイスアンテナ２８０と双方向に通信するように構成される。たとえば、クライアントデバイス入力／出力２７０は、図１、図２Ａ、および／または図２Ｂのアクセスポイント１０５および信頼済みデバイス１２５と双方向に通信するように構成され得る。クライアントデバイス入力／出力２７０は、前に説明した、図２Ａおよび／または図２Ｂのクライアントデバイス入力２０５およびクライアントデバイス出力２１５、ならびに／あるいは図２Ｂのワイヤレス受信機２２０およびワイヤレス送信機２４５を含み得る。一実施形態では、クライアントデバイス入力／出力２７０は、パケットを変調し、変調されたパケットを送信のために（１つまたは複数の）クライアントデバイスアンテナ２８０に与え、（１つまたは複数の）クライアントデバイスアンテナ２８０から受信されたパケットを復調するように構成されたモデムをさらに含み得る。クライアントデバイス１１５−ｃは単一のアンテナを含み得るが、クライアントデバイス１１５−ｃは、一般に、複数のリンクのための複数のアンテナ２８０を含む。

[0057]クライアントデバイスメモリ２６０はランダムアクセスメモリ（ＲＡＭ）と読取り専用メモリ（ＲＯＭ）とを含み得る。クライアントデバイスメモリ２６０は、実行されるとクライアントデバイスプロセッサ２５５に本明細書で説明する様々な機能（たとえば、認証する、導出する、暗号化する、解読する、受信する、送信するなど）を実行させるように構成された命令を含んでいるコンピュータ可読、コンピュータ実行可能ソフトウェアコード２６５を記憶し得る。代替的に、ソフトウェア２６５は、クライアントデバイスプロセッサ２５５によって直接的に実行可能でないことがあるが、（たとえば、コンパイルされ実行されると）クライアントデバイスに本明細書で説明する機能を実行させるように構成され得る。クライアントデバイスプロセッサ２５５は、インテリジェントハードウェアデバイス、たとえば、中央処理ユニット（ＣＰＵ）、マイクロコントローラ、特定用途向け集積回路（ＡＳＩＣ）などを含み得る。

[0058]クライアントデバイスオーセンティケータ２１０−ｂは、バス２８５を介してクライアントデバイス１１５−ｃの他の構成要素の一部または全部と通信しているクライアントデバイス１１５−ｃの構成要素であり得る。代替的に、クライアントデバイスオーセンティケータ２１０−ｂの機能は、クライアントデバイス入力／出力２７０の構成要素として、コンピュータプログラム製品として、および／またはクライアントデバイスプロセッサ２５５のコントローラ要素として実装され得る。クライアントデバイスオーセンティケータ２１０−ｂは、図２Ａおよび／または図２Ｂを参照しながら説明したクライアントデバイスオーセンティケータ２１０のうちの１つの少なくとも１つの態様の一例であり得る。

[0059]クライアントデバイス１１５−ｃの構成要素は、適用可能な機能の一部または全部をハードウェアで実行するように適応された少なくとも１つの特定用途向け集積回路（ＡＳＩＣ）を用いて、個々にまたはまとめて実装され得る。代替的に、それらの機能は、集積回路上で、他の処理ユニット（またはコア）によって実行され得る。他の実施形態では、当技術分野で知られている任意の方法でプログラムされ得る、他のタイプの集積回路（たとえば、ストラクチャード／プラットフォームＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および他のセミカスタムＩＣ）が使用され得る。各ユニットの機能はまた、全体的または部分的に、汎用または特定用途向けプロセッサによって実行されるようにフォーマットされた、メモリに組み込まれた命令を用いて実装され得る。言及した構成要素の各々は、本明細書で説明するクライアントデバイス１１５−ｃの動作に関係する機能を実行するための手段であり得る。

[0060]次に図３Ａを参照すると、ブロック図３００−ａは、様々な実施形態による、信頼済みデバイス１２５−ａを示している。信頼済みデバイス１２５−ａは、図１を参照しながら説明した信頼済みデバイス１２５の少なくとも１つの態様の一例であり得る。信頼済みデバイス１２５−ａは信頼済みデバイス入力３０５と信頼済みデバイス出力３１０とを含み得、それらは互いと通信していることがある。

[0061]信頼済みデバイス１２５−ａの構成要素は、適用可能な機能の一部または全部をハードウェアで実行するように適応された特定用途向け集積回路（ＡＳＩＣ）を用いて、個々にまたはまとめて実装され得る。代替的に、それらの機能は、集積回路上で、他の処理ユニット（またはコア）によって実行され得る。他の実施形態では、当技術分野で知られている任意の方法でプログラムされ得る、他のタイプの集積回路（たとえば、ストラクチャード／プラットフォームＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および他のセミカスタムＩＣ）が使用され得る。各ユニットの機能はまた、全体的にまたは部分的に、汎用または特定用途向けプロセッサによって実行されるようにフォーマットされた、メモリに記憶された命令を用いて実装され得る。

[0062]信頼済みデバイス出力３１０は、信頼済みデバイス１２５−ａから、図１に示されているシステム１００のクライアントデバイス１１５および認証サーバ１４０など、他のデバイスへの通信を送り得る。信頼済みデバイス入力３０５は、クライアントデバイス１１５および認証サーバ１４０など、他のデバイスからの通信を受信し得る。信頼済みデバイス１２５−ａは、そのような機能を実行するためのプロセッサを含み得る。

[0063]図３Ｂは、様々な実施形態による、信頼済みデバイス１２５−ｂを示すブロック図３００−ｂである。信頼済みデバイス１２５−ｂは、図１および／または図３Ａを参照しながら説明した信頼済みデバイス１２５の少なくとも１つの態様の一例であり得る。信頼済みデバイス１２５−ｂは、信頼済みデバイス入力３０５−ａと信頼済みデバイス出力３１０−ａとを含み得、それらは互いと通信していることがある。

[0064]信頼済みデバイス１２５−ｂの構成要素は、適用可能な機能の一部または全部をハードウェアで実行するように適応された特定用途向け集積回路（ＡＳＩＣ）を用いて、個々にまたはまとめて実装され得る。代替的に、それらの機能は、集積回路上で、他の処理ユニット（またはコア）によって実行され得る。他の実施形態では、当技術分野で知られている任意の方法でプログラムされ得る、他のタイプの集積回路（たとえば、ストラクチャード／プラットフォームＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および他のセミカスタムＩＣ）が使用され得る。各ユニットの機能はまた、全体的にまたは部分的に、汎用または特定用途向けプロセッサによって実行されるようにフォーマットされた、メモリに記憶された命令を用いて実装され得る。

[0065]信頼済みデバイス入力３０５−ａおよび信頼済みデバイス出力３１０−ａは、図３Ａを参照しながら前に説明した動作を実行するように構成され得る。信頼済みデバイス入力３０５−ａはネットワーク入力３１５とセキュアインターフェース入力３２０とを含み得る。信頼済みデバイス出力３１０−ａはネットワーク出力３２５とセキュアインターフェース出力３３０とを含み得る。

[0066]ネットワーク入力３１５、セキュアインターフェース入力３２０、ネットワーク出力３２５、およびセキュアインターフェース出力３３０は、図１に示されているシステム１００のクライアントデバイス１１５および認証サーバ１４０と通信し得る。ネットワーク入力３１５は、直接的または間接的のいずれかで、認証サーバ１４０からの通信を受信し得る。たとえば、ネットワーク入力３１５は、認証サーバ１４０とのネットワーク接続１３２から直接、認証サーバ１４０からの通信を受信し得る。代替的に、または追加として、ネットワーク入力３１５は、ルータおよび／またはアクセスポイント１０５などのアクセスポイントを通して最初にルーティングされる、ネットワーク接続１３２を介した通信を受信し得る。したがって、ネットワーク入力３１５はワイヤードまたはワイヤレスインターフェースを含み得る。

[0067]セキュアインターフェース入力３２０およびセキュアインターフェース出力３３０は、図１に示されているセキュアインターフェース１３５の構成要素であり得る。セキュアインターフェース入力３２０は、図２Ｂを参照しながら説明したクライアントデバイス１１５−ｂのセキュアインターフェース出力２５０、および／または図２Ｃを参照しながら説明したクライアントデバイス１１５−ｃのセキュアインターフェース２７５からの通信を入力し得る。セキュアインターフェース入力３２０は、たとえば、テキスト入力インターフェース、クイックレスポンス（ＱＲ）コードリーダー、あるいは、ＮＦＣ入力またはＢｌｕｅｔｏｏｔｈ入力など、帯域外ワイヤレス入力を含み得る。セキュアインターフェース出力３３０は、図２Ｂを参照しながら説明したクライアントデバイス１１５−ｂのセキュアインターフェース入力２２５、および／または図２Ｃを参照しながら説明したクライアントデバイス１１５−ｃのセキュアインターフェース２７５への通信を出力し得る。セキュアインターフェース出力３３０は、たとえば、テキストまたはＱＲコードを表示するためのディスプレイ、あるいは、ＮＦＣ出力またはＢｌｕｅｔｏｏｔｈ出力など、帯域外ワイヤレス出力を含み得る。

[0068]図３Ｃは、様々な実施形態による、信頼済みデバイス１２５−ｃを示すブロック図３００−ｃである。信頼済みデバイス１２５−ｃは、図１、図３Ａ、および／または図３Ｂを参照しながら説明した信頼済みデバイス１２５の少なくとも１つの態様の一例であり得る。信頼済みデバイス１２５−ｃは、パーソナルコンピュータ（たとえば、ラップトップコンピュータ、ネットブックコンピュータ、タブレットコンピュータなど）、セルラー電話、ＰＤＡ、デジタルビデオレコーダ（ＤＶＲ）、インターネットアプライアンス、ゲームコンソール、電子リーダーなど、様々な構成のいずれかを有し得る。信頼済みデバイス１２５−ｃは、モバイル動作を可能にするために、小型バッテリーなどの内部電源（図示せず）を有し得る。

[0069]示されている構成では、信頼済みデバイス１２５−ｃは、信頼済みデバイスプロセッサ３３５と、信頼済みデバイスメモリ３４０と、信頼済みデバイス入力／出力３５０と、セキュアインターフェース１３５−ａと、信頼済みデバイスネットワークインターフェース３６０とを含み、その各々は、（たとえば、バス３６５を介して）直接または間接的に、互いと通信していることがある。セキュアインターフェース１３５−ａは、図１を参照しながら説明したセキュアインターフェース１３５の少なくとも１つの態様の一例であり得る。信頼済みデバイス入力／出力３５０は、上記で説明したように、セキュアインターフェース１３５および信頼済みデバイスネットワークインターフェース３６０と双方向に通信するように構成される。たとえば、信頼済みデバイス入力／出力３５０は、図１、図２Ａ、図２Ｂ、図２Ｃ、図３Ａ、および／または図３Ｂのクライアントデバイス１１５および認証サーバ１４０と双方向に通信するように構成され得る。信頼済みデバイス入力／出力３５０は、前に説明した、図３Ａおよび／または図３Ｂの信頼済みデバイス入力３０５と信頼済みデバイス出力３１０とを含み得る。一実施形態では、信頼済みデバイス入力／出力３５０は、パケットを変調し、変調されたパケットを送信のために信頼済みデバイスネットワークインターフェース３６０に与え、信頼済みデバイスネットワークインターフェース３６０から受信されたパケットを復調するように構成されたモデムをさらに含み得る。信頼済みデバイスネットワークインターフェース３６０は、ワイヤード接続のための少なくとも１つのポートおよび／またはワイヤレス接続のための少なくとも１つのアンテナを含み得る。

[0070]信頼済みデバイスメモリ３４０はランダムアクセスメモリ（ＲＡＭ）と読取り専用メモリ（ＲＯＭ）とを含み得る。信頼済みデバイスメモリ３４０は、実行されると信頼済みデバイスプロセッサ３３５に本明細書で説明する様々な機能（たとえば、認証する、導出する、暗号化する、解読する、受信する、送信するなど）を実行させるように構成された命令を含んでいるコンピュータ可読、コンピュータ実行可能ソフトウェアコード３４５を記憶し得る。代替的に、ソフトウェア３４５は、信頼済みデバイスプロセッサ３３５によって直接的に実行可能でないことがあるが、（たとえば、コンパイルされ実行されると）信頼済みデバイスに本明細書で説明する機能を実行させるように構成され得る。信頼済みデバイスプロセッサ３３５は、インテリジェントハードウェアデバイス、たとえば、中央処理ユニット（ＣＰＵ）、マイクロコントローラ、特定用途向け集積回路（ＡＳＩＣ）などを含み得る。

[0071]信頼済みデバイス１２５−ｃの構成要素は、適用可能な機能の一部または全部をハードウェアで実行するように適応された特定用途向け集積回路（ＡＳＩＣ）を用いて、個々にまたはまとめて実装され得る。代替的に、それらの機能は、集積回路上で、他の処理ユニット（またはコア）によって実行され得る。他の実施形態では、当技術分野で知られている任意の方法でプログラムされ得る、他のタイプの集積回路（たとえば、ストラクチャード／プラットフォームＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および他のセミカスタムＩＣ）が使用され得る。各ユニットの機能はまた、全体的にまたは部分的に、汎用または特定用途向けプロセッサによって実行されるようにフォーマットされた、メモリ中に組み込まれた命令を用いて実装され得る。言及した構成要素の各々は、本明細書で説明する信頼済みデバイス１２５−ｃの動作に関係する機能を実行するための手段であり得る。

[0072]次に図４Ａを参照すると、ブロック図４００−ａは、様々な実施形態による、アクセスポイント１０５−ａを示している。アクセスポイント１０５−ａは、図１を参照しながら説明したアクセスポイント１０５の少なくとも１つの態様の一例であり得る。アクセスポイント１０５−ａは、アクセスポイント受信機４０５と、アクセスポイントネットワークオーセンティケータ４１０と、アクセスポイント送信機４１５とを含み得る。これらの構成要素の各々は互いと通信していることがある。

[0073]アクセスポイント１０５−ａの構成要素は、適用可能な機能の一部または全部をハードウェアで実行するように適応された特定用途向け集積回路（ＡＳＩＣ）を用いて、個々にまたはまとめて実装され得る。代替的に、それらの機能は、集積回路上で、他の処理ユニット（またはコア）によって実行され得る。他の実施形態では、当技術分野で知られている任意の方法でプログラムされ得る、他のタイプの集積回路（たとえば、ストラクチャード／プラットフォームＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および他のセミカスタムＩＣ）が使用され得る。各ユニットの機能はまた、全体的にまたは部分的に、汎用または特定用途向けプロセッサによって実行されるようにフォーマットされた、メモリに記憶された命令を用いて実装され得る。

[0074]アクセスポイント送信機４１５は、アクセスポイント１０５−ａから、図１に示されているシステム１００のクライアントデバイス１１５および認証サーバ１４０など、他のデバイスへの通信を送り得る。アクセスポイント受信機４０５は、クライアントデバイス１１５および認証サーバ１４０など、他のデバイスからの通信を受信し得る。アクセスポイントネットワークオーセンティケータ４１０は、認証、暗号化、解読、およびアクセスポイント１０５−ａへのクライアントデバイス１１５−ａの接続を認証し、セキュアにすることに関与する他の動作を実行し得る。アクセスポイント１０５−ａまたはアクセスポイントネットワークオーセンティケータ４１０は、そのような機能を実行するためのプロセッサを含み得る。

[0075]図４Ｂは、様々な実施形態による、アクセスポイント１０５−ｂを示すブロック図４００−ｂである。アクセスポイント１０５−ｂは、図１および／または図４Ａを参照しながら説明したアクセスポイント１０５の少なくとも１つの態様の一例であり得る。アクセスポイント１０５−ｂは、アクセスポイント受信機４０５−ａと、アクセスポイントネットワークオーセンティケータ４１０−ａと、アクセスポイント送信機４１５−ａとを含み得る。これらの構成要素の各々は互いと通信していることがある。

[0076]アクセスポイント１０５−ｂの構成要素は、適用可能な機能の一部または全部をハードウェアで実行するように適応された特定用途向け集積回路（ＡＳＩＣ）を用いて、個々にまたはまとめて実装され得る。代替的に、それらの機能は、集積回路上で、他の処理ユニット（またはコア）によって実行され得る。他の実施形態では、当技術分野で知られている任意の方法でプログラムされ得る、他のタイプの集積回路（たとえば、ストラクチャード／プラットフォームＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および他のセミカスタムＩＣ）が使用され得る。各ユニットの機能はまた、全体的にまたは部分的に、汎用または特定用途向けプロセッサによって実行されるようにフォーマットされた、メモリに記憶された命令を用いて実装され得る。

[0077]アクセスポイント受信機４０５−ａ、アクセスポイントネットワークオーセンティケータ４１０−ａ、およびアクセスポイント送信機４１５−ａは、図４Ａを参照しながら前に説明した動作を実行するように構成され得る。アクセスポイント受信機４０５−ａはワイヤレス受信機４２０とネットワーク受信機４２５とを含み得る。アクセスポイント送信機４１５−ａはワイヤレス送信機４３０とネットワーク送信機４３５とを含み得る。

[0078]ワイヤレス受信機４２０、ネットワーク受信機４２５、ワイヤレス送信機４３０、およびネットワーク送信機４３５は、図１に示されているシステム１００のクライアントデバイス１１５および認証サーバ１４０と通信し得る。ワイヤレス受信機４２０はクライアントデバイス１１５からの通信を受信し得る。ワイヤレス送信機４３０はクライアントデバイス１１５への通信を送信し得る。ネットワーク受信機４２５は、ネットワーク接続１３２を介した認証サーバ１４０からの通信を受信し得る。ネットワーク送信機４３５は、ネットワーク接続１３２を介した認証サーバ１４０からの通信を受信し得る。ネットワーク接続１３２はワイヤードまたはワイヤレス通信リンクであり得る。

[0079]アクセスポイントネットワークオーセンティケータ４１０−ａは、本明細書で説明するように、クライアントデバイス１１５とアクセスポイント１０５−ｂとの間の接続を認証し、セキュアにするために様々な動作を実行するように構成され得る。アクセスポイントネットワークオーセンティケータ４１０−ａは、そのような動作を実行する際にアクセスポイント受信機４０５−ａおよびアクセスポイント送信機４１５−ａと協働し得る。アクセスポイント１０５−ｂまたはアクセスポイントネットワークオーセンティケータ４１０−ａは、そのような機能を実行するためのプロセッサを含み得る。

[0080]図４Ｃは、様々な実施形態による、アクセスポイント１０５−ｃを示すブロック図４００−ｃである。アクセスポイント１０５−ｃは、図１、図４Ａ、および／または図４Ｂを参照しながら説明したアクセスポイント１０５の少なくとも１つの態様の一例であり得る。示されている構成では、アクセスポイント１０５−ｃは、アクセスポイントネットワークインターフェース４４０と、アクセスポイントメモリ４４５と、アクセスポイントプロセッサ４５５と、少なくとも１つのアクセスポイントトランシーバ４６０と、少なくとも１つのアクセスポイントアンテナ４６５とを含み、その各々は、（たとえば、バス４７０を介して）直接または間接的に、互いと通信していることがある。（１つまたは複数の）アクセスポイントトランシーバ４６０は、上記で説明したように、アクセスポイントネットワークインターフェース４４０および（１つまたは複数の）アクセスポイントアンテナ４６５と双方向に通信するように構成される。たとえば、（１つまたは複数の）アクセスポイントトランシーバ４６０は、（１つまたは複数の）アクセスポイントアンテナ４６５を介して図１、図２Ａ、図２Ｂ、および／または図２Ｃのクライアントデバイス１１５と双方向に通信するように構成され得る。さらに、（１つまたは複数の）アクセスポイントトランシーバ４６０は、アクセスポイントネットワークインターフェース４４０を介して認証サーバ１４０−ａと双方向に通信するように構成され得る。認証サーバ１４０−ａは、図１を参照しながら説明した認証サーバ１４０の少なくとも１つの態様の一例であり得る。アクセスポイントネットワークインターフェース４４０は、認証サーバ１４０−ａとの通信のためのワイヤードおよび／またはワイヤレスインターフェースを含み得る。

[0081]（１つまたは複数の）アクセスポイントトランシーバ４６０は、前に説明した、図４Ａおよび／または図４Ｂのアクセスポイント受信機４０５とアクセスポイント送信機４１５とを含み得る。一実施形態では、（１つまたは複数の）アクセスポイントトランシーバは、パケットを変調し、変調されたパケットを送信のために（１つまたは複数の）アクセスポイントアンテナ４６５および／またはアクセスポイントネットワークインターフェース４４０に与え、（１つまたは複数の）アクセスポイントアンテナ４６５および／またはアクセスポイントネットワークインターフェース４４０から受信されたパケットを復調するように構成されたモデムをさらに含み得る。アクセスポイント１０５−ｃは単一のアンテナを含み得るが、アクセスポイント１０５−ｃは、一般に、複数のリンクのための複数のアンテナ４６５を含む。

[0082]アクセスポイントメモリ４４５はランダムアクセスメモリ（ＲＡＭ）と読取り専用メモリ（ＲＯＭ）とを含み得る。アクセスポイントメモリ４４５は、実行されるとアクセスポイントプロセッサ４５５に本明細書で説明する様々な機能（たとえば、認証する、導出する、暗号化する、解読する、受信する、送信するなど）を実行させるように構成された命令を含んでいるコンピュータ可読、コンピュータ実行可能ソフトウェアコード４５０を記憶し得る。代替的に、ソフトウェア４５０は、アクセスポイントプロセッサ４５５によって直接的に実行可能でないことがあるが、（たとえば、コンパイルされ実行されると）アクセスポイントに本明細書で説明する機能を実行させるように構成され得る。アクセスポイントプロセッサ４５５は、インテリジェントハードウェアデバイス、たとえば、中央処理ユニット（ＣＰＵ）、マイクロコントローラ、特定用途向け集積回路（ＡＳＩＣ）などを含み得る。

[0083]アクセスポイントネットワークオーセンティケータ４１０−ｂは、バス４７０を介してアクセスポイント１０５−ｃの他の構成要素の一部または全部と通信しているアクセスポイント１０５−ｃの構成要素であり得る。代替的に、アクセスポイントネットワークオーセンティケータ４１０−ｂの機能は、（１つまたは複数の）アクセスポイントトランシーバ４６０の構成要素として、コンピュータプログラム製品として、および／またはアクセスポイントプロセッサ４５５のコントローラ要素として実装され得る。アクセスポイントネットワークオーセンティケータ４１０−ｂは、図４Ａおよび／または図４Ｂを参照しながら説明したアクセスポイントネットワークオーセンティケータ４１０のうちの１つの少なくとも１つの態様の一例であり得る。

[0084]アクセスポイント１０５−ｃの構成要素は、適用可能な機能の一部または全部をハードウェアで実行するように適応された特定用途向け集積回路（ＡＳＩＣ）を用いて、個々にまたはまとめて実装され得る。代替的に、それらの機能は、集積回路上で、他の処理ユニット（またはコア）によって実行され得る。他の実施形態では、当技術分野で知られている任意の方法でプログラムされ得る、他のタイプの集積回路（たとえば、ストラクチャード／プラットフォームＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および他のセミカスタムＩＣ）が使用され得る。各ユニットの機能はまた、全体的にまたは部分的に、汎用または特定用途向けプロセッサによって実行されるようにフォーマットされた、メモリ中に組み込まれた命令を用いて実装され得る。言及した構成要素の各々は、本明細書で説明するアクセスポイント１０５−ｃの動作に関係する機能を実行するための手段であり得る。

[0085]図５は、様々な実施形態による、認証サーバ１４０−ｂを示すブロック図５００である。認証サーバ１４０−ｂは、図１を参照しながら説明した認証サーバ１４０の少なくとも１つの態様の一例であり得る。示されている構成では、認証サーバ１４０−ｂは、認証サーバネットワークインターフェース５０５と、認証サーバメモリ５１０と、認証サーバプロセッサ５１５と、クライアントデバイスオーセンティケータ５２０と、ネットワークオーセンティケータ５２５とを含み、その各々は、（たとえば、バス５３０を介して）直接または間接的に、互いと通信していることがある。認証サーバネットワークインターフェース５０５は、アクセスポイント１０５−ｄおよび信頼済みデバイス１２５−ｄと双方向に通信するように構成され得る。アクセスポイント１０５−ｄおよび信頼済みデバイス１２５−ｄは、図１、図３Ａ、図３Ｂ、図３Ｃ、図４Ａ、図４Ｂ、および／または図４Ｃを参照しながら説明したアクセスポイント１０５および信頼済みデバイス１２５の少なくとも１つの態様の一例であり得る。認証サーバネットワークインターフェース５０５は、アクセスポイント１０５−ｄおよび信頼済みデバイス１２５−ｄとの通信のためのワイヤードおよび／またはワイヤレスインターフェースを含み得る。一実施形態では、認証サーバネットワークインターフェース５０５は、送信のためにパケットを変調し、受信されたパケットを復調するように構成されたモデムをさらに含み得る。

[0086]認証サーバメモリ５１０はランダムアクセスメモリ（ＲＡＭ）と読取り専用メモリ（ＲＯＭ）とを含み得る。認証サーバメモリ５１０は、実行されると認証サーバプロセッサ５１５に本明細書で説明する様々な機能（たとえば、認証する、導出する、暗号化する、解読する、受信する、送信するなど）を実行させるように構成された命令を含んでいるコンピュータ可読、コンピュータ実行可能ソフトウェアコード５３５を記憶し得る。代替的に、ソフトウェア５３５は、認証サーバプロセッサ５１５によって直接的に実行可能でないことがあるが、（たとえば、コンパイルされ実行されると）認証サーバに本明細書で説明する機能を実行させるように構成され得る。認証サーバプロセッサ５１５は、インテリジェントハードウェアデバイス、たとえば、中央処理ユニット（ＣＰＵ）、マイクロコントローラ、特定用途向け集積回路（ＡＳＩＣ）などを含み得る。

[0087]クライアントデバイスオーセンティケータ５２０は、本明細書で説明するように、クライアントデバイス１１５の識別情報を認証するために様々な動作を実行するように構成され得る。ネットワークオーセンティケータ５２５は、本明細書で説明するように、クライアントデバイス１１５とアクセスポイント１０５との間の接続を認証し、セキュアにするために様々な動作を実行するように構成され得る。クライアントデバイスオーセンティケータ５２０およびネットワークオーセンティケータ５２５は、バス５３０を介して認証サーバ１４０−ｂの他の構成要素の一部または全部と通信していることがある。代替的に、クライアントデバイスオーセンティケータ５２０およびネットワークオーセンティケータ５２５の機能は、コンピュータプログラム製品として、および／または認証サーバプロセッサ５１５のコントローラ要素として実装され得る。

[0088]認証サーバ１４０−ｂの構成要素は、適用可能な機能の一部または全部をハードウェアで実行するように適応された特定用途向け集積回路（ＡＳＩＣ）を用いて、個々にまたはまとめて実装され得る。代替的に、それらの機能は、集積回路上で、他の処理ユニット（またはコア）によって実行され得る。他の実施形態では、当技術分野で知られている任意の方法でプログラムされ得る、他のタイプの集積回路（たとえば、ストラクチャード／プラットフォームＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、および他のセミカスタムＩＣ）が使用され得る。各ユニットの機能はまた、全体的にまたは部分的に、汎用または特定用途向けプロセッサによって実行されるようにフォーマットされた、メモリ中に組み込まれた命令を用いて実装され得る。言及した構成要素の各々は、本明細書で説明する認証サーバ１４０−ｂの動作に関係する機能を実行するための手段であり得る。

[0089]図６は、クライアントデバイス１１５−ｄと、信頼済みデバイス１２５−ｄと、アクセスポイント１０５−ｄと、認証サーバ１４０−ｄとの間の通信の一例を示すメッセージフロー図６００である。クライアントデバイス１１５−ｄは、図１、図２Ａ、図２Ｂ、および／または図２Ｃを参照しながら説明したクライアントデバイス１１５の一例であり得る。信頼済みデバイス１２５−ｄは、図１、図３Ａ、図３Ｂ、および／または図３Ｃを参照しながら説明した信頼済みデバイス１２５の一例であり得る。アクセスポイント１０５−ｄは、図１、図４Ａ、図４Ｂ、および／または図４Ｃを参照しながら説明したアクセスポイント１０５の一例であり得る。認証サーバ１４０−ｄは、図１および／または図５を参照しながら説明した認証サーバ１４０の一例であり得る。

[0090]一構成では、クライアントデバイス１１５−ｄは、第１のクライアント情報を信頼済みデバイス１２５−ｄに出力するようにトリガされ得、図６中の６０５と示される。第１のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント認証トークンを含み得る。クライアント認証トークンは、クライアント公開鍵のハッシュを計算することなどによって、クライアント公開鍵から導出された文字列であり得る。クライアント認証トークンは、クライアントデバイス１１５−ｄのクライアント情報生成器２３０によって導出され得る。第１のクライアント情報は、たとえば、クライアントデバイス１１５−ｄのディスプレイ上にテキストとして第１のクライアント情報を表示すること、クライアントデバイス１１５−ｄのディスプレイ上にＱＲコードとして第１のクライアント情報を表示すること、あるいは、ＮＦＣまたはＢｌｕｅｔｏｏｔｈなど、帯域外ワイヤレス信号を介してクライアントデバイス１１５−ｄから第１のクライアント情報を送信することによって、クライアントデバイス１１５−ｄのセキュアインターフェース出力２５０を介して出力され得る。クライアントデバイス１１５−ｄが第１のクライアント情報を出力した後、第１のクライアント情報は、信頼済みデバイス１２５−ｄのセキュアインターフェース１３５に入力され得る。第１のクライアント情報は、たとえば、クライアントデバイス１１５−ｄ上に表示されたテキストをテキスト入力インターフェースにタイピングすること、クライアントデバイス１１５−ｄ上に表示されたＱＲコードをＱＲコードリーダーで走査すること、あるいは、ＮＦＣ入力またはＢｌｕｅｔｏｏｔｈ入力など、帯域外ワイヤレス入力上で帯域外ワイヤレス信号を受信することによって、信頼済みデバイス１２５−ｄのセキュアインターフェース入力３２０に入力され得る。

[0091]第１のクライアント情報が信頼済みデバイス１２５−ｄのセキュアインターフェース１３５に入力された後、信頼済みデバイス１２５−ｄは、直接的または間接的のいずれかで、第１のクライアント情報を認証サーバ１４０−ｄに送信し得、６１０と示される。第１のクライアント情報は、信頼済みデバイス１２５−ｄのネットワーク出力３２５を介して認証サーバ１４０−ｄに送信され得る。送信はワイヤードまたはワイヤレス送信であり得、送信は、ルータおよび／またはアクセスポイント１０５−ｄなどのアクセスポイントを通してルーティングされ得る。認証サーバ１４０−ｄは、認証サーバネットワークインターフェース５０５を介して第１のクライアント情報を受信し得、受信された第１のクライアント情報を認証サーバメモリ５１０に記憶し得る。

[0092]クライアントデバイス１１５−ｄが第１のクライアント情報を出力するようにトリガされたとき、クライアントデバイス１１５−ｄはまた、アクセスポイント１０５−ｄにプローブ要求を送るようにトリガされ得、６２５と示される。プローブ要求は、クライアントデバイス１１５−ｄのワイヤレス送信機２４５によって送信され、アクセスポイント１０５−ｄのワイヤレス受信機４２０によって受信され得る。アクセスポイント１０５−ｄは、プローブ要求にプローブ応答で応答し得、６３０と示される。プローブ応答は、アクセスポイント１０５−ｄのワイヤレス送信機４３０によって送信され、クライアントデバイス１１５−ｄのワイヤレス受信機２２０によって受信され得る。

[0093]アクセスポイント１０５−ｄからプローブ応答を受信した後、クライアントデバイス１１５−ｄは、アクセスポイント１０５−ｄに第２のクライアント情報を送信し得、６３５と示される。第２のクライアント情報は、クライアントデバイス１１５−ｄのワイヤレス送信機２４５によって送信され、アクセスポイント１０５−ｄのワイヤレス受信機４２０によって受信され得る。第２のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント識別情報（ＩＤ）を含み得る。クライアントＩＤは、クライアント公開鍵のハッシュを計算することなどによって、クライアント公開鍵から導出された値であり得る。クライアントＩＤは、クライアントデバイス１１５−ｄのクライアント情報生成器２３０によって導出され得る。

[0094]第２のクライアント情報を受信した後、アクセスポイント１０５−ｄは、第２のクライアント情報を認証サーバ１４０−ｄに送信し得、６４０と示される。第２のクライアント情報は、アクセスポイント１０５−ｄのネットワーク送信機４３５によって送信され、認証サーバ１４０−ｄの認証サーバネットワークインターフェース５０５によって受信され得る。認証サーバ１４０−ｄは、受信された第２のクライアント情報を認証サーバメモリ５１０に記憶し得る。

[0095]第２のクライアント情報を受信した後、認証サーバ１４０−ｄのクライアントデバイスオーセンティケータ５２０は、第１のクライアント情報と第２のクライアント情報とがリンクされるかどうかを決定するためにそれらを比較し得、６４５と示される。第１のクライアント情報がクライアント公開鍵を含み、第２のクライアント情報もクライアント公開鍵を含んだ場合、認証サーバ１４０−ｄのクライアントデバイスオーセンティケータ５２０は、受信されたクライアント公開鍵がリンクされるかどうかを決定するためにそれらを直接比較し得る。第１のクライアント情報がクライアント公開鍵とクライアントユーザ名とを含み、第２のクライアント情報がクライアントユーザ名を含んだ場合、認証サーバ１４０−ｄのクライアントデバイスオーセンティケータ５２０は、受信されたクライアントユーザ名がリンクされるかどうかを決定するためにそれらを直接比較し得る。第１のクライアント情報がクライアントユーザ名を含み、第２のクライアント情報がクライアントユーザ名とクライアント公開鍵とを含んだ場合、認証サーバ１４０−ｄのクライアントデバイスオーセンティケータ５２０は、受信されたクライアントユーザ名がリンクされるかどうかを決定するためにそれらを直接比較し得る。第１のクライアント情報がクライアント認証トークンを含み、第２のクライアント情報がクライアント公開鍵を含んだ場合、認証サーバ１４０−ｄのクライアントデバイスオーセンティケータ５２０は、クライアントデバイス１１５−ｄのクライアント情報生成器２３０によって使用されるのと同じ導出方法（たとえば、ハッシュ関数）を使用して、受信されたクライアント公開鍵からトークンを導出し得る。認証サーバ１４０−ｄのクライアントデバイスオーセンティケータ５２０は、次いで、導出されたトークンが、第１のクライアント情報中で受信されたクライアント認証トークンに一致するかどうかを決定し得る。第１のクライアント情報がクライアント公開鍵を含み、第２のクライアント情報がクライアントＩＤを含んだ場合、認証サーバ１４０−ｄのクライアントデバイスオーセンティケータ５２０は、クライアントデバイス１１５−ｄのクライアント情報生成器２３０によって使用されるのと同じ導出方法を使用して、受信されたクライアント公開鍵からＩＤを導出し得る。認証サーバ１４０−ｄのクライアントデバイスオーセンティケータ５２０は、次いで、導出されたＩＤが、第２のクライアント情報中で受信されたクライアントＩＤに一致するかどうかを決定し得る。

[0096]第１のクライアント情報と第２のクライアント情報との間にリンクが存在すると認証サーバ１４０−ｄのクライアントデバイスオーセンティケータ５２０が決定した後、認証サーバ１４０−ｄのネットワークオーセンティケータ５２５は、第１のクライアント情報または第２のクライアント情報のいずれか中で受信されたクライアント公開鍵を使用して、認証証明を暗号化し得る。代替的に、認証サーバ１４０−ｄのネットワークオーセンティケータ５２５は、たとえば、ディフィーへルマン鍵交換を使用してクライアントデバイス１１５−ｄと交換された共有秘密鍵を使用して、認証証明を暗号化し得る。共有秘密鍵は、クライアント公開鍵に部分的に基づいて確立され得る。認証証明は、アクセスポイント１０５−ｄとの認証プロシージャを完了するのに必要な証明をクライアントデバイス１１５−ｄに与え得る。たとえば、認証証明はＷｉ−Ｆｉ保護アクセスＩＩ（ＷＰＡ２）エンタープライズネットワーク証明（ＥＮＣ：Enterprise Network Credential）であり得る。暗号化された認証証明は、認証サーバ１４０−ｄの認証サーバネットワークインターフェース５０５を介してアクセスポイント１０５−ｄに送信され得、６５０と示される。

[0097]アクセスポイント１０５−ｄのネットワーク受信機４２５は、暗号化された認証証明を受信し得る。アクセスポイント１０５−ｄは、次いで、暗号化された認証証明を、アクセスポイント１０５−ｄのワイヤレス送信機４３０を介してクライアントデバイス１１５−ｄに送信し得、６５５と示される。クライアントデバイス１１５−ｄは、クライアントデバイス１１５−ｄのワイヤレス受信機２２０を介して、暗号化された認証証明を受信し得る。

[0098]暗号化された認証証明を受信した後、クライアントデバイス１１５−ｄは、クライアント公開鍵に対応するクライアント秘密鍵を使用して、暗号化された認証証明を解読し得る。代替的に、クライアントデバイス１１５−ｄは、認証サーバ１４０−ｄと交換された共有秘密鍵を使用して、暗号化された認証証明を解読し得る。クライアントデバイス１１５−ｄのネットワークオーセンティケータ２４０は、アクセスポイント１０５−ｄのネットワークオーセンティケータ４１０および認証サーバ１４０−ｄのネットワークオーセンティケータ５２５との認証プロシージャを完了するために、解読された認証証明を使用し得、６７０と示される。認証プロシージャはＩＥＥＥ８０２．１Ｘ拡張認証プロトコル（ＥＡＰ）認証プロシージャであり得る。

[0099]認証プロシージャを完了した後、クライアントデバイス１１５−ｄは、セキュアワイヤレス接続を用いてアクセスポイント１０５−ｄに接続し得、６８０と示される。セキュアワイヤレス接続はＷＰＡ２エンタープライズプロトコル接続であり得る。

[0100]図７は、クライアントデバイス１１５−ｅと、信頼済みデバイス１２５−ｅと、アクセスポイント１０５−ｅと、認証サーバ１４０−ｅとの間の通信の一例を示すメッセージフロー図７００である。クライアントデバイス１１５−ｅは、図１、図２Ａ、図２Ｂ、および／または図２Ｃを参照しながら説明したクライアントデバイス１１５の一例であり得る。信頼済みデバイス１２５−ｅは、図１、図３Ａ、図３Ｂ、および／または図３Ｃを参照しながら説明した信頼済みデバイス１２５の一例であり得る。アクセスポイント１０５−ｅは、図１、図４Ａ、図４Ｂ、および／または図４Ｃを参照しながら説明したアクセスポイント１０５の一例であり得る。認証サーバ１４０−ｅは、図１および／または図５を参照しながら説明した認証サーバ１４０の一例であり得る。

[0101]一構成では、クライアントデバイス１１５−ｅは、第１のクライアント情報を信頼済みデバイス１２５−ｅに出力するようにトリガされ得、図７中の７０５と示される。第１のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント認証トークンを含み得る。クライアント認証トークンは、クライアント公開鍵のハッシュを計算することなどによって、クライアント公開鍵から導出された文字列であり得る。クライアント認証トークンは、クライアントデバイス１１５−ｅのクライアント情報生成器２３０によって導出され得る。第１のクライアント情報は、たとえば、クライアントデバイス１１５−ｅのディスプレイ上にテキストとして第１のクライアント情報を表示すること、クライアントデバイス１１５−ｅのディスプレイ上にＱＲコードとして第１のクライアント情報を表示すること、あるいは、ＮＦＣまたはＢｌｕｅｔｏｏｔｈなど、帯域外ワイヤレス信号を介してクライアントデバイス１１５−ｅから第１のクライアント情報を送信することによって、クライアントデバイス１１５−ｅのセキュアインターフェース出力２５０を介して出力され得る。クライアントデバイス１１５−ｅが第１のクライアント情報を出力した後、第１のクライアント情報は、信頼済みデバイス１２５−ｅのセキュアインターフェース１３５に入力され得る。第１のクライアント情報は、たとえば、クライアントデバイス１１５−ｅ上に表示されたテキストをテキスト入力インターフェースにタイピングすること、クライアントデバイス１１５−ｅ上に表示されたＱＲコードをＱＲコードリーダーで走査すること、あるいは、ＮＦＣ入力またはＢｌｕｅｔｏｏｔｈ入力など、帯域外ワイヤレス入力上で帯域外ワイヤレス信号を受信することによって、信頼済みデバイス１２５−ｅのセキュアインターフェース入力３２０に入力され得る。

[0102]第１のクライアント情報が信頼済みデバイス１２５−ｅのセキュアインターフェース１３５に入力された後、信頼済みデバイス１２５−ｅは、直接的または間接的のいずれかで、第１のクライアント情報を認証サーバ１４０−ｅに送信し得、７１０と示される。第１のクライアント情報は、信頼済みデバイス１２５−ｅのネットワーク出力３２５を介して認証サーバ１４０−ｅに送信され得る。送信はワイヤードまたはワイヤレス送信であり得、送信は、ルータおよび／またはアクセスポイント１０５−ｅなどのアクセスポイントを通してルーティングされ得る。認証サーバ１４０−ｅは、認証サーバネットワークインターフェース５０５を介して第１のクライアント情報を受信し得、受信された第１のクライアント情報を認証サーバメモリ５１０に記憶し得る。

[0103]第１のクライアント情報を受信した後、認証サーバ１４０−ｅは、サーバ認証トークンを信頼済みデバイス１２５−ｅに送信し得、７１５と示される。サーバ認証トークンは、認証サーバ１４０−ｅの認証サーバネットワークインターフェース５０５を介して信頼済みデバイス１２５−ｅに送信され得る。サーバ認証トークンは、信頼済みデバイス１２５−ｅのネットワーク入力３１５によって受信され得る。送信はワイヤードまたはワイヤレス送信であり得、送信は、ルータおよび／またはアクセスポイント１０５−ｅなどのアクセスポイントを通してルーティングされ得る。サーバ認証トークンは、たとえば、認証証明のハッシュを計算することによって、認証サーバ１４０−ｅの認証証明から導出された文字列であり得る。サーバ認証トークンは、認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０によって導出され得る。信頼済みデバイス１２５−ｅがサーバ認証トークンを受信した後、信頼済みデバイス１２５−ｅは、サーバ認証トークンを信頼済みデバイスメモリ３４０に記憶し、手動検証のためにサーバ認証トークンを表示し得る。

[0104]クライアントデバイス１１５−ｅが第１のクライアント情報を出力するようにトリガされたとき、クライアントデバイス１１５−ｅはまた、アクセスポイント１０５−ｅにプローブ要求を送るようにトリガされ得、７２５と示される。プローブ要求は、クライアントデバイス１１５−ｅのワイヤレス送信機２４５によって送信され、アクセスポイント１０５−ｅのワイヤレス受信機４２０によって受信され得る。アクセスポイント１０５−ｅはプローブ要求にプローブ応答で応答し得、７３０と示される。プローブ応答は、アクセスポイント１０５−ｅのワイヤレス送信機４３０によって送信され、クライアントデバイス１１５−ｅのワイヤレス受信機２２０によって受信され得る。

[0105]アクセスポイント１０５−ｅからプローブ応答を受信した後、クライアントデバイス１１５−ｅは、アクセスポイント１０５−ｅに第２のクライアント情報を送信し得、７３５と示される。第２のクライアント情報は、クライアントデバイス１１５−ｅのワイヤレス送信機２４５によって送信され、アクセスポイント１０５−ｅのワイヤレス受信機４２０によって受信され得る。第２のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント識別情報（ＩＤ）を含み得る。クライアントＩＤは、クライアント公開鍵のハッシュを計算することなどによって、クライアント公開鍵から導出された値であり得る。クライアントＩＤは、クライアントデバイス１１５−ｅのクライアント情報生成器２３０によって導出され得る。

[0106]第２のクライアント情報を受信した後、アクセスポイント１０５−ｅは、第２のクライアント情報を認証サーバ１４０−ｅに送信し得、７４０と示される。第２のクライアント情報は、アクセスポイント１０５−ｅのネットワーク送信機４３５によって送信され、認証サーバ１４０−ｅの認証サーバネットワークインターフェース５０５によって受信され得る。認証サーバ１４０−ｅは、受信された第２のクライアント情報を認証サーバメモリ５１０に記憶し得る。

[0107]第２のクライアント情報を受信した後、認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０は、第１のクライアント情報と第２のクライアント情報とがリンクされるかどうかを決定するためにそれらを比較し得、７４５と示される。第１のクライアント情報がクライアント公開鍵を含み、第２のクライアント情報もクライアント公開鍵を含んだ場合、認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０は、受信されたクライアント公開鍵がリンクされるかどうかを決定するためにそれらを直接比較し得る。第１のクライアント情報がクライアント公開鍵とクライアントユーザ名とを含み、第２のクライアント情報がクライアントユーザ名を含んだ場合、認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０は、受信されたクライアントユーザ名がリンクされるかどうかを決定するためにそれらを直接比較し得る。第１のクライアント情報がクライアントユーザ名を含み、第２のクライアント情報がクライアントユーザ名とクライアント公開鍵とを含んだ場合、認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０は、受信されたクライアントユーザ名がリンクされるかどうかを決定するためにそれらを直接比較し得る。第１のクライアント情報がクライアント認証トークンを含み、第２のクライアント情報がクライアント公開鍵を含んだ場合、認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０は、クライアントデバイス１１５−ｅのクライアント情報生成器２３０によって使用されるのと同じ導出方法を使用して、受信されたクライアント公開鍵からトークンを導出し得る。認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０は、次いで、導出されたトークンが、第１のクライアント情報中で受信されたクライアント認証トークンに一致するかどうかを決定し得る。第１のクライアント情報がクライアント公開鍵を含み、第２のクライアント情報がクライアントＩＤを含んだ場合、認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０は、クライアントデバイス１１５−ｅのクライアント情報生成器２３０によって使用されるのと同じ導出方法を使用して、受信されたクライアント公開鍵からＩＤを導出し得る。認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０は、次いで、導出されたＩＤが、第２のクライアント情報中で受信されたクライアントＩＤに一致するかどうかを決定し得る。

[0108]第１のクライアント情報と第２のクライアント情報との間にリンクが存在すると認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０が決定した後、認証サーバ１４０−ｅのネットワークオーセンティケータ５２５は、第１のクライアント情報または第２のクライアント情報のいずれか中で受信されたクライアント公開鍵を使用して、認証証明を暗号化し得る。代替的に、認証サーバ１４０−ｅのネットワークオーセンティケータ５２５は、たとえば、ディフィーへルマン鍵交換を使用してクライアントデバイス１１５−ｅと交換された共有秘密鍵を使用して、認証証明を暗号化し得る。共有秘密鍵は、クライアント公開鍵に部分的に基づいて確立され得る。認証証明は、アクセスポイント１０５−ｅとの認証プロシージャを完了するのに必要な証明をクライアントデバイス１１５−ｅに与え得る。たとえば、認証証明はＷＰＡ２ ＥＮＣであり得る。暗号化された認証証明は、認証サーバ１４０−ｅの認証サーバネットワークインターフェース５０５を介してアクセスポイント１０５−ｅに送信され得、７５０と示される。

[0109]アクセスポイント１０５−ｅのネットワーク受信機４２５は、暗号化された認証証明を受信し得る。アクセスポイント１０５−ｅは、次いで、暗号化された認証証明を、アクセスポイント１０５−ｅのワイヤレス送信機４３０を介してクライアントデバイス１１５−ｅに送信し得、７５５と示される。クライアントデバイス１１５−ｅは、クライアントデバイス１１５−ｅのワイヤレス受信機２２０を介して、暗号化された認証証明を受信し得る。

[0110]暗号化された認証証明を受信した後、クライアントデバイス１１５−ｅは、クライアント公開鍵に対応するクライアント秘密鍵を使用して、暗号化された認証証明を解読し得る。代替的に、クライアントデバイス１１５−ｅは、認証サーバ１４０−ｅと交換された共有秘密鍵を使用して、暗号化された認証証明を解読し得る。クライアントデバイス１１５−ｅのサーバオーセンティケータ２３５は、認証サーバ１４０−ｅのクライアントデバイスオーセンティケータ５２０がサーバ認証トークンを導出するために使用した同じ導出方法を使用して、解読された認証証明からトークンを導出し得る。クライアントデバイス１１５−ｅは、次いで、導出されたトークンを表示して、ユーザが、導出されたトークンが、信頼済みデバイス１２５−ｅによって表示されたサーバ認証トークンに一致するかどうかを手動で検証し得、７６０と示される。導出されたトークンがサーバ認証トークンに一致することは、受信された認証証明が、信頼済みデバイス１２５−ｅから第１のクライアント情報を受信した認証サーバ１４０−ｅからのものであることをユーザに対して検証し得る。

[0111]受信された認証証明を解読し、検証した後、クライアントデバイス１１５−ｅのネットワークオーセンティケータ２４０は、アクセスポイント１０５−ｅのネットワークオーセンティケータ４１０および認証サーバ１４０−ｅのネットワークオーセンティケータ５２５との認証プロシージャを完了するために、解読された認証証明を使用し得、７７０と示される。認証プロシージャはＩＥＥＥ８０２．１Ｘ ＥＡＰ認証プロシージャであり得る。

[0112]認証プロシージャを完了した後、クライアントデバイス１１５−ｅは、セキュアワイヤレス接続を用いてアクセスポイント１０５−ｅに接続し得、７８０と示される。セキュアワイヤレス接続はＷＰＡ２エンタープライズプロトコル接続であり得る。

[0113]図８は、クライアントデバイス１１５−ｆと、信頼済みデバイス１２５−ｆと、アクセスポイント１０５−ｆと、認証サーバ１４０−ｆとの間の通信の一例を示すメッセージフロー図８００である。クライアントデバイス１１５−ｆは、図１、図２Ａ、図２Ｂ、および／または図２Ｃを参照しながら説明したクライアントデバイス１１５の一例であり得る。信頼済みデバイス１２５−ｆは、図１、図３Ａ、図３Ｂ、および／または図３Ｃを参照しながら説明した信頼済みデバイス１２５の一例であり得る。アクセスポイント１０５−ｆは、図１、図４Ａ、図４Ｂ、および／または図４Ｃを参照しながら説明したアクセスポイント１０５の一例であり得る。認証サーバ１４０−ｆは、図１および／または図５を参照しながら説明した認証サーバ１４０の一例であり得る。

[0114]一構成では、クライアントデバイス１１５−ｆは、第１のクライアント情報を信頼済みデバイス１２５−ｆに出力するようにトリガされ得、図８中の８０５と示される。第１のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント認証トークンを含み得る。クライアント認証トークンは、クライアント公開鍵のハッシュを計算することなどによって、クライアント公開鍵から導出された文字列であり得る。クライアント認証トークンは、クライアントデバイス１１５−ｆのクライアント情報生成器２３０によって導出され得る。第１のクライアント情報は、たとえば、クライアントデバイス１１５−ｆのディスプレイ上にテキストとして第１のクライアント情報を表示すること、クライアントデバイス１１５−ｆのディスプレイ上にＱＲコードとして第１のクライアント情報を表示すること、あるいは、ＮＦＣまたはＢｌｕｅｔｏｏｔｈなど、帯域外ワイヤレス信号を介してクライアントデバイス１１５−ｆから第１のクライアント情報を送信することによって、クライアントデバイス１１５−ｆのセキュアインターフェース出力２５０を介して出力され得る。クライアントデバイス１１５−ｆが第１のクライアント情報を出力した後、第１のクライアント情報は、信頼済みデバイス１２５−ｆのセキュアインターフェース１３５に入力され得る。第１のクライアント情報は、たとえば、クライアントデバイス１１５−ｆ上に表示されたテキストをテキスト入力インターフェースにタイピングすること、クライアントデバイス１１５−ｆ上に表示されたＱＲコードをＱＲコードリーダーで走査すること、あるいは、ＮＦＣ入力またはＢｌｕｅｔｏｏｔｈ入力など、帯域外ワイヤレス入力上で帯域外ワイヤレス信号を受信することによって、信頼済みデバイス１２５−ｆのセキュアインターフェース入力３２０に入力され得る。

[0115]第１のクライアント情報が信頼済みデバイス１２５−ｆのセキュアインターフェース１３５に入力された後、信頼済みデバイス１２５−ｆは、直接的または間接的のいずれかで、第１のクライアント情報を認証サーバ１４０−ｆに送信し得、８１０と示される。第１のクライアント情報は、信頼済みデバイス１２５−ｆのネットワーク出力３２５を介して認証サーバ１４０−ｆに送信され得る。送信はワイヤードまたはワイヤレス送信であり得、送信は、ルータおよび／またはアクセスポイント１０５−ｆなどのアクセスポイントを通してルーティングされ得る。認証サーバ１４０−ｆは、認証サーバネットワークインターフェース５０５を介して第１のクライアント情報を受信し得、受信された第１のクライアント情報を認証サーバメモリ５１０に記憶し得る。

[0116]第１のクライアント情報を受信した後、認証サーバ１４０−ｆは、サーバ認証トークンを信頼済みデバイス１２５−ｆに送信し得、８１５と示される。サーバ認証トークンは、認証サーバ１４０−ｆの認証サーバネットワークインターフェース５０５を介して信頼済みデバイス１２５−ｆに送信され得る。サーバ認証トークンは、信頼済みデバイス１２５−ｆのネットワーク入力３１５によって受信され得る。送信はワイヤードまたはワイヤレス送信であり得、送信は、ルータおよび／またはアクセスポイント１０５−ｆなどのアクセスポイントを通してルーティングされ得る。サーバ認証トークンは、たとえば、認証証明のハッシュを計算することによって、認証サーバ１４０−ｆの認証証明から導出された文字列であり得る。サーバ認証トークンは、認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０によって導出され得る。

[0117]信頼済みデバイス１２５−ｆがサーバ認証トークンを受信した後、信頼済みデバイス１２５−ｆは、サーバ認証トークンをクライアントデバイス１１５−ｆに出力し得、８２０と示される。サーバ認証トークンは、たとえば、信頼済みデバイス１２５−ｆのディスプレイ上にテキストとしてサーバ認証トークンを表示すること、信頼済みデバイス１２５−ｆのディスプレイ上にＱＲコードとしてサーバ認証トークンを表示すること、あるいは、ＮＦＣまたはＢｌｕｅｔｏｏｔｈなど、帯域外ワイヤレス信号を介して信頼済みデバイス１２５−ｆからサーバ認証トークンを送信することによって、信頼済みデバイス１２５−ｆのセキュアインターフェース出力３３０を介して出力され得る。信頼済みデバイス１２５−ｆがサーバ認証トークンを出力した後、サーバ認証トークンはクライアントデバイス１１５−ｆに入力され得る。サーバ認証トークンは、たとえば、信頼済みデバイス１２５−ｆ上に表示されたテキストをテキスト入力インターフェースにタイピングすること、信頼済みデバイス１２５−ｆ上に表示されたＱＲコードをＱＲコードリーダーで走査すること、あるいは、ＮＦＣ入力またはＢｌｕｅｔｏｏｔｈ入力など、帯域外ワイヤレス入力上で帯域外ワイヤレス信号を受信することによって、クライアントデバイス１１５−ｆのセキュアインターフェース入力２２５に入力され得る。クライアントデバイス１１５−ｆは、サーバ認証トークンをクライアントデバイスメモリ２６０に記憶し得る。

[0118]クライアントデバイス１１５−ｆが第１のクライアント情報を出力するようにトリガされたとき、クライアントデバイス１１５−ｆはまた、アクセスポイント１０５−ｆにプローブ要求を送るようにトリガされ得、８２５と示される。プローブ要求は、クライアントデバイス１１５−ｆのワイヤレス送信機２４５によって送信され、アクセスポイント１０５−ｆのワイヤレス受信機４２０によって受信され得る。アクセスポイント１０５−ｆはプローブ要求にプローブ応答で応答し得、８３０と示される。プローブ応答は、アクセスポイント１０５−ｆのワイヤレス送信機４３０によって送信され、クライアントデバイス１１５−ｆのワイヤレス受信機２２０によって受信され得る。

[0119]アクセスポイント１０５−ｆからプローブ応答を受信した後、クライアントデバイス１１５−ｆは、アクセスポイント１０５−ｆに第２のクライアント情報を送信し得、８３５と示される。第２のクライアント情報は、クライアントデバイス１１５−ｆのワイヤレス送信機２４５によって送信され、アクセスポイント１０５−ｆのワイヤレス受信機４２０によって受信され得る。第２のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント識別情報（ＩＤ）を含み得る。クライアントＩＤは、クライアント公開鍵のハッシュを計算することなどによって、クライアント公開鍵から導出された値であり得る。クライアントＩＤは、クライアントデバイス１１５−ｆのクライアント情報生成器２３０によって導出され得る。

[0120]第２のクライアント情報を受信した後、アクセスポイント１０５−ｆは、第２のクライアント情報を認証サーバ１４０−ｆに送信し得、８４０と示される。第２のクライアント情報は、アクセスポイント１０５−ｆのネットワーク送信機４３５によって送信され、認証サーバ１４０−ｆの認証サーバネットワークインターフェース５０５によって受信され得る。認証サーバ１４０−ｆは、受信された第２のクライアント情報を認証サーバメモリ５１０に記憶し得る。

[0121]第２のクライアント情報を受信した後、認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０は、第１のクライアント情報と第２のクライアント情報とがリンクされるかどうかを決定するためにそれらを比較し得、８４５と示される。第１のクライアント情報がクライアント公開鍵を含み、第２のクライアント情報もクライアント公開鍵を含んだ場合、認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０は、受信されたクライアント公開鍵がリンクされるかどうかを決定するためにそれらを直接比較し得る。第１のクライアント情報がクライアント公開鍵とクライアントユーザ名とを含み、第２のクライアント情報がクライアントユーザ名を含んだ場合、認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０は、受信されたクライアントユーザ名がリンクされるかどうかを決定するためにそれらを直接比較し得る。第１のクライアント情報がクライアントユーザ名を含み、第２のクライアント情報がクライアントユーザ名とクライアント公開鍵とを含んだ場合、認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０は、受信されたクライアントユーザ名がリンクされるかどうかを決定するためにそれらを直接比較し得る。第１のクライアント情報がクライアント認証トークンを含み、第２のクライアント情報がクライアント公開鍵を含んだ場合、認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０は、クライアントデバイス１１５−ｆのクライアント情報生成器２３０によって使用されるのと同じ導出方法を使用して、受信されたクライアント公開鍵からトークンを導出し得る。認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０は、次いで、導出されたトークンが、第１のクライアント情報中で受信されたクライアント認証トークンに一致するかどうかを決定し得る。第１のクライアント情報がクライアント公開鍵を含み、第２のクライアント情報がクライアントＩＤを含んだ場合、認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０は、クライアントデバイス１１５−ｆのクライアント情報生成器２３０によって使用されるのと同じ導出方法を使用して、受信されたクライアント公開鍵からＩＤを導出し得る。認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０は、次いで、導出されたＩＤが、第２のクライアント情報中で受信されたクライアントＩＤに一致するかどうかを決定し得る。

[0122]第１のクライアント情報と第２のクライアント情報との間にリンクが存在すると認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０が決定した後、認証サーバ１４０−ｆのネットワークオーセンティケータ５２５は、第１のクライアント情報または第２のクライアント情報のいずれか中で受信されたクライアント公開鍵を使用して、認証証明を暗号化し得る。代替的に、認証サーバ１４０−ｆのネットワークオーセンティケータ５２５は、クライアントデバイス１１５−ｆと交換された共有秘密鍵を使用して、認証証明を暗号化し得る。共有秘密鍵は、クライアント公開鍵に部分的に基づいて確立され得る。認証証明は、アクセスポイント１０５−ｆとの認証プロシージャを完了するのに必要な証明をクライアントデバイス１１５−ｆに与え得る。たとえば、認証証明はＷＰＡ２ ＥＮＣであり得る。暗号化された認証証明は、認証サーバ１４０−ｆの認証サーバネットワークインターフェース５０５を介してアクセスポイント１０５−ｆに送信され得、８５０と示される。

[0123]アクセスポイント１０５−ｆのネットワーク受信機４２５は、暗号化された認証証明を受信し得る。アクセスポイント１０５−ｆは、次いで、暗号化された認証証明を、アクセスポイント１０５−ｆのワイヤレス送信機４３０を介してクライアントデバイス１１５−ｆに送信し得、８５５と示される。クライアントデバイス１１５−ｆは、クライアントデバイス１１５−ｆのワイヤレス受信機２２０を介して、暗号化された認証証明を受信し得る。

[0124]暗号化された認証証明を受信した後、クライアントデバイス１１５−ｆは、クライアント公開鍵に対応するクライアント秘密鍵を使用して、暗号化された認証証明を解読し得る。代替的に、クライアントデバイス１１５−ｆは、認証サーバ１４０−ｆと交換された共有秘密鍵を使用して、暗号化された認証証明を解読し得る。クライアントデバイス１１５−ｆのサーバオーセンティケータ２３５は、認証サーバ１４０−ｆのクライアントデバイスオーセンティケータ５２０がサーバ認証トークンを導出するために使用した同じ導出方法を使用して、解読された認証証明からトークンを導出し得る。クライアントデバイス１１５−ｆのサーバオーセンティケータ２３５は、次いで、導出されたトークンが、信頼済みデバイス１２５−ｆのセキュアインターフェース１３５によって出力されたサーバ認証トークンに一致するかどうかを検証し得、８６０と示される。導出されたトークンがサーバ認証トークンに一致することは、受信された認証証明が、信頼済みデバイス１２５−ｆから第１のクライアント情報を受信した認証サーバ１４０−ｆからのものであることをクライアントデバイス１１５−ｆに対して検証し得る。

[0125]受信された認証証明を解読し、検証した後、クライアントデバイス１１５−ｆのネットワークオーセンティケータ２４０は、アクセスポイント１０５−ｆのネットワークオーセンティケータ４１０および認証サーバ１４０−ｆのネットワークオーセンティケータ５２５との認証プロシージャを完了するために、解読された認証証明を使用し得、８７０と示される。認証プロシージャはＩＥＥＥ８０２．１Ｘ ＥＡＰ認証プロシージャであり得る。

[0126]認証プロシージャを完了した後、クライアントデバイス１１５−ｆは、セキュアワイヤレス接続を用いてアクセスポイント１０５−ｆに接続し得、８８０と示される。セキュアワイヤレス接続はＷＰＡ２エンタープライズプロトコル接続であり得る。

[0127]いくつかの実施形態では、信頼済みデバイス１２５は一時的アクセスポイントとして働き得る。これらの実施形態では、図１、図３Ａ、図３Ｂ、図３Ｃ、図４Ａ、図４Ｂ、図４Ｃ、図６、図７、および／または図８を参照しながら説明した信頼済みデバイス１２５とアクセスポイント１０５とは同じデバイスであり得る。これらの実施形態では、アクセスポイント１０５へのおよびからの送信は信頼済みデバイス１２５へのおよびからの送信であり得る。

[0128]図９は、アクセスポイント１０５にセキュアに接続するためにクライアントデバイス１１５によって実行される方法９００の一実施形態を示すフローチャートである。明快のために、方法９００について、図６に示されているメッセージフロー図６００に関して、ならびに／あるいは図１、図２Ａ、図２Ｂ、図２Ｃ、および／または図６を参照しながら説明したクライアントデバイス１１５のうちの１つに関して以下で説明する。一実装形態では、図２Ｃを参照しながら説明したクライアントデバイスプロセッサ２５５は、以下で説明する機能を実行するためにクライアントデバイス１１５の機能要素を制御するためのコードのセットを実行し得る。

[0129]一実施形態では、ブロック９０５において、クライアントデバイス１１５は、第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイス１２５に出力する。セキュアインターフェースは、第１のクライアント情報のテキストを表示することと、第１のクライアント情報のＱＲコードを表示することと、帯域外ワイヤレスチャネルを介して第１のクライアント情報を送信することとのうちの少なくとも１つを含み得る。第１のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント公開鍵から導出されたクライアント認証トークンを含み得る。ブロック９１０において、クライアントデバイス１１５は、アクセスポイント１０５にプローブ要求を送信する。ブロック９１５において、クライアントデバイス１１５は、アクセスポイント１０５からプローブ応答を受信する。ブロック９２０において、クライアントデバイス１１５は、アクセスポイント１０５に第２のクライアント情報を送信する。第２のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント公開鍵から導出されたクライアントＩＤを含み得る。ブロック９２５において、クライアントデバイス１１５は、アクセスポイント１０５から、暗号化された認証証明を受信する。ブロック９３０において、クライアントデバイス１１５は、クライアント公開鍵に対応するクライアント秘密鍵を使用して、暗号化された認証証明を解読する。代替的に、クライアントデバイス１１５は、たとえば、ディフィーへルマン鍵交換を使用して認証サーバ１４０と交換された共有秘密鍵を使用して、暗号化された認証証明を解読し得る。ブロック９３５において、クライアントデバイス１１５は、解読された認証証明を使用して、認証サーバ１４０およびアクセスポイント１０５との認証プロシージャを完了する。認証プロシージャはＩＥＥＥ８０２．１Ｘ ＥＡＰ認証プロシージャであり得る。ブロック９４０において、クライアントデバイス１１５は、セキュアワイヤレス接続を用いてアクセスポイント１０５に接続する。セキュアワイヤレス接続はＷＰＡ２エンタープライズ接続であり得る。

[0130]図１０は、クライアントデバイス１１５をセキュアに認証するために信頼済みデバイス１２５によって実行される方法１０００の一実施形態を示すフローチャートである。方法１０００について、図６に示されているメッセージフロー図６００に関して、ならびに／あるいは図１、図３Ａ、図３Ｂ、図３Ｃ、および／または図６を参照しながら説明した信頼済みデバイス１２５のうちの１つに関して以下で説明する。一実装形態では、図３Ｃを参照しながら説明した信頼済みデバイスプロセッサ３３５は、以下で説明する機能を実行するために信頼済みデバイス１２５の機能要素を制御するためのコードのセットを実行し得る。

[0131]一実施形態では、ブロック１００５において、信頼済みデバイス１２５は、セキュアインターフェースを介してクライアントデバイス１１５から第１のクライアント情報を受信する。セキュアインターフェースは、第１のクライアント情報を手動で入力することと、第１のクライアント情報のＱＲコードを走査することと、帯域外ワイヤレスチャネルを介して第１のクライアント情報を受信することとのうちの少なくとも１つを含み得る。ブロック１０１０において、信頼済みデバイス１２５は、第１のクライアント情報を認証サーバ１４０に送信する。

[0132]図１１は、クライアントデバイス１１５にセキュアに接続するためにアクセスポイント１０５によって実行される方法１１００の一実施形態を示すフローチャートである。方法１１００について、図６に示されているメッセージフロー図６００に関して、ならびに／あるいは図１、図４Ａ、図４Ｂ、図４Ｃ、および／または図６を参照しながら説明したアクセスポイント１０５のうちの１つに関して以下で説明する。一実装形態では、図４Ｃを参照しながら説明したアクセスポイントプロセッサ４５５は、以下で説明する機能を実行するためにアクセスポイント１０５の機能要素を制御するためのコードのセットを実行し得る。

[0133]一実施形態では、ブロック１１０５において、アクセスポイント１０５は、クライアントデバイス１１５からプローブ要求を受信する。ブロック１１１０において、アクセスポイント１０５は、クライアントデバイス１１５にプローブ応答を送信する。ブロック１１１５において、アクセスポイント１０５は、クライアントデバイス１１５から第２のクライアント情報を受信する。ブロック１１２０において、アクセスポイント１０５は、第２のクライアント情報を認証サーバ１４０に送信する。ブロック１１２５において、アクセスポイント１０５は、認証サーバ１４０から、暗号化された認証証明を受信する。ブロック１１３０において、アクセスポイント１０５は、暗号化された認証証明をクライアントデバイス１１５に送信する。ブロック１１３５において、アクセスポイントは、クライアントデバイス１１５および認証サーバ１４０との認証プロシージャを完了する。認証プロシージャはＩＥＥＥ８０２．１Ｘ ＥＡＰ認証プロシージャであり得る。ブロック１１４０において、アクセスポイント１０５は、セキュアワイヤレス接続を用いてクライアントデバイス１１５に接続する。セキュアワイヤレス接続はＷＰＡ２エンタープライズ接続であり得る。

[0134]図１２は、クライアントデバイス１１５を認証するために認証サーバ１４０によって実行される方法１２００の一実施形態を示すフローチャートである。方法１２００について、図６に示されているメッセージフロー図６００に関して、ならびに／あるいは図１、図５、および／または図６を参照しながら説明した認証サーバ１４０のうちの１つに関して以下で説明する。一実装形態では、図５を参照しながら説明した認証サーバプロセッサ５１５は、以下で説明する機能を実行するために認証サーバ１４０の機能要素を制御するためのコードのセットを実行し得る。

[0135]一実施形態では、ブロック１２０５において、認証サーバ１４０は、信頼済みデバイス１２５から第１のクライアント情報を受信する。ブロック１２１０において、認証サーバ１４０は、アクセスポイント１０５から第２のクライアント情報を受信する。ブロック１２１５において、認証サーバ１４０は、第１のクライアント情報と第２のクライアント情報とをリンクする。ブロック１２２０において、認証サーバ１４０は、第１のクライアント情報または第２のクライアント情報から取り出されたクライアント公開鍵を使用して、認証証明を暗号化する。代替的に、認証サーバ１４０は、クライアントデバイス１１５と交換された共有秘密鍵を使用して、認証証明を暗号化し得る。共有秘密鍵は、クライアント公開鍵に部分的に基づいて確立され得る。認証証明はＷＰＡ２ ＥＮＣであり得る。ブロック１２２５において、認証サーバ１４０は、暗号化された認証証明をアクセスポイント１０５に送信する。ブロック１２３０において、認証サーバ１４０は、クライアントデバイス１１５およびアクセスポイント１０５との認証プロシージャを完了する。認証プロシージャはＩＥＥＥ８０２．１Ｘ ＥＡＰ認証プロシージャであり得る。

[0136]図１３は、アクセスポイント１０５にセキュアに接続するためにクライアントデバイス１１５によって実行される方法１３００の代替実施形態を示すフローチャートである。方法１３００について、図７に示されているメッセージフロー図７００に関して、ならびに／あるいは図１、図２Ａ、図２Ｂ、図２Ｃ、および／または図７を参照しながら説明したクライアントデバイス１１５のうちの１つに関して以下で説明する。一実装形態では、図２Ｃを参照しながら説明したクライアントデバイスプロセッサ２５５は、以下で説明する機能を実行するためにクライアントデバイス１１５の機能要素を制御するためのコードのセットを実行し得る。

[0137]一実施形態では、ブロック１３０５において、クライアントデバイス１１５は、第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイス１２５に出力する。セキュアインターフェースは、第１のクライアント情報のテキストを表示することと、第１のクライアント情報のＱＲコードを表示することと、帯域外ワイヤレスチャネルを介して第１のクライアント情報を送信することとのうちの少なくとも１つを含み得る。第１のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント公開鍵から導出されたクライアント認証トークンを含み得る。ブロック１３１０において、クライアントデバイス１１５は、アクセスポイント１０５にプローブ要求を送信する。ブロック１３１５において、クライアントデバイス１１５は、アクセスポイント１０５からプローブ応答を受信する。ブロック１３２０において、クライアントデバイス１１５は、アクセスポイント１０５に第２のクライアント情報を送信する。第２のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント公開鍵から導出されたクライアントＩＤを含み得る。ブロック１３２５において、クライアントデバイス１１５は、アクセスポイント１０５から、暗号化された認証証明を受信する。ブロック１３３０において、クライアントデバイス１１５は、クライアント公開鍵に対応するクライアント秘密鍵を使用して、暗号化された認証証明を解読する。代替的に、クライアントデバイス１１５は、認証サーバ１４０と交換された共有秘密鍵を使用して、暗号化された認証証明を解読し得る。ブロック１３３５において、クライアントデバイス１１５は、解読された認証証明からトークンを導出し、導出されたトークンを表示する。ブロック１３４０において、クライアントデバイス１１５のユーザは、導出されたトークンが、信頼済みデバイス１２５上に表示されたサーバ認証トークンに一致することを検証する。導出されたトークンがサーバ認証トークンに一致することは、解読された認証証明が、信頼済みデバイス１２５から第１のクライアント情報を受信した認証サーバ１４０からのものであることをユーザに対して検証し得る。ブロック１３４５において、クライアントデバイス１１５は、解読された認証証明を使用して、認証サーバ１４０およびアクセスポイント１０５との認証プロシージャを完了する。認証プロシージャはＩＥＥＥ８０２．１Ｘ ＥＡＰ認証プロシージャであり得る。ブロック１３５０において、クライアントデバイス１１５は、セキュアワイヤレス接続を用いてアクセスポイント１０５に接続する。セキュアワイヤレス接続はＷＰＡ２エンタープライズ接続であり得る。

[0138]図１４は、クライアントデバイス１１５をセキュアに認証するために信頼済みデバイス１２５によって実行される方法１４００の代替実施形態を示すフローチャートである。方法１４００について、図７に示されているメッセージフロー図７００に関して、ならびに／あるいは図１、図３Ａ、図３Ｂ、図３Ｃ、および／または図７を参照しながら説明した信頼済みデバイス１２５のうちの１つに関して以下で説明する。一実装形態では、図３Ｃを参照しながら説明した信頼済みデバイスプロセッサ３３５は、以下で説明する機能を実行するために信頼済みデバイス１２５の機能要素を制御するためのコードのセットを実行し得る。

[0139]一実施形態では、ブロック１４０５において、信頼済みデバイス１２５は、セキュアインターフェースを介してクライアントデバイス１１５から第１のクライアント情報を受信する。セキュアインターフェースは、第１のクライアント情報を手動で入力することと、第１のクライアント情報のＱＲコードを走査することと、帯域外ワイヤレスチャネルを介して第１のクライアント情報を受信することとのうちの少なくとも１つを含み得る。ブロック１４１０において、信頼済みデバイス１２５は、第１のクライアント情報を認証サーバ１４０に送信する。ブロック１４１５において、信頼済みデバイス１２５は、認証サーバ１４０からサーバ認証トークンを受信する。ブロック１４２０において、信頼済みデバイス１２５は、ユーザが検証するために、サーバ認証トークンを表示する。

[0140]図１５は、クライアントデバイス１１５を認証するために認証サーバ１４０によって実行される方法１５００の代替実施形態を示すフローチャートである。方法１５００について、図７に示されているメッセージフロー図７００と図８に示されているメッセージフロー図８００とに関して、ならびに／あるいは図１、図５、図７、および／または図８を参照しながら説明した認証サーバ１４０のうちの１つに関して以下で説明する。一実装形態では、図５を参照しながら説明した認証サーバプロセッサ５１５は、以下で説明する機能を実行するために認証サーバ１４０の機能要素を制御するためのコードのセットを実行し得る。

[0141]一実施形態では、ブロック１５０５において、認証サーバ１４０は、信頼済みデバイス１２５から第１のクライアント情報を受信する。ブロック１５１０において、認証サーバ１４０は、サーバ認証トークンを信頼済みデバイス１２５に送信する。サーバ認証トークンは認証サーバ１４０の認証証明から導出され得る。ブロック１５１５において、認証サーバ１４０は、アクセスポイント１０５から第２のクライアント情報を受信する。ブロック１５２０において、認証サーバ１４０は、第１のクライアント情報と第２のクライアント情報とをリンクする。ブロック１５２５において、認証サーバ１４０は、第１のクライアント情報または第２のクライアント情報から取り出されたクライアント公開鍵を使用して、認証証明を暗号化する。代替的に、認証サーバ１４０は、クライアントデバイス１１５と交換された共有秘密鍵を使用して、認証証明を暗号化し得る。共有秘密鍵は、クライアント公開鍵に部分的に基づいて確立され得る。認証証明はＷＰＡ２ ＥＮＣであり得る。ブロック１５３０において、認証サーバ１４０は、暗号化された認証証明をアクセスポイント１０５に送信する。ブロック１５３５において、認証サーバ１４０は、クライアントデバイス１１５およびアクセスポイント１０５との認証プロシージャを完了する。認証プロシージャはＩＥＥＥ８０２．１Ｘ ＥＡＰ認証プロシージャであり得る。

[0142]図１６は、アクセスポイント１０５にセキュアに接続するためにクライアントデバイス１１５によって実行される方法１６００の代替実施形態を示すフローチャートである。方法１６００について、図８に示されているメッセージフロー図８００に関して、ならびに／あるいは図１、図２Ａ、図２Ｂ、図２Ｃ、および／または図８を参照しながら説明したクライアントデバイス１１５のうちの１つに関して以下で説明する。一実装形態では、図２Ｃを参照しながら説明したクライアントデバイスプロセッサ２５５は、以下で説明する機能を実行するためにクライアントデバイス１１５の機能要素を制御するためのコードのセットを実行し得る。

[0143]一実施形態では、ブロック１６０５において、クライアントデバイス１１５は、第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイス１２５に出力する。セキュアインターフェースは、第１のクライアント情報のテキストを表示することと、第１のクライアント情報のＱＲコードを表示することと、帯域外ワイヤレスチャネルを介して第１のクライアント情報を送信することとのうちの少なくとも１つを含み得る。第１のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント公開鍵から導出されたクライアント認証トークンを含み得る。ブロック１６１０において、クライアントデバイス１１５は、信頼済みデバイス１２５からサーバ認証トークンを受信する。ブロック１６１５において、クライアントデバイス１１５は、アクセスポイント１０５にプローブ要求を送信する。ブロック１６２０において、クライアントデバイス１１５は、アクセスポイント１０５からプローブ応答を受信する。ブロック１６２５において、クライアントデバイス１１５は、アクセスポイント１０５に第２のクライアント情報を送信する。第２のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント公開鍵から導出されたクライアントＩＤを含み得る。ブロック１６３０において、クライアントデバイス１１５は、アクセスポイント１０５から、暗号化された認証証明を受信する。ブロック１６３５において、クライアントデバイス１１５は、クライアント公開鍵に対応するクライアント秘密鍵を使用して、暗号化された認証証明を解読する。代替的に、クライアントデバイス１１５は、認証サーバ１４０と交換された共有秘密鍵を使用して、暗号化された認証証明を解読し得る。ブロック１６４０において、クライアントデバイス１１５は、解読された認証証明からトークンを導出する。ブロック１６４５において、クライアントデバイス１１５は、導出されたトークンが、信頼済みデバイス１２５から受信されたサーバ認証トークンに一致することを検証する。導出されたトークンがサーバ認証トークンに一致することは、解読された認証証明が、信頼済みデバイス１２５から第１のクライアント情報を受信した認証サーバ１４０からのものであることをクライアントデバイス１１５に対して検証し得る。ブロック１６５０において、クライアントデバイス１１５は、解読された認証証明を使用して、認証サーバ１４０およびアクセスポイント１０５との認証プロシージャを完了する。認証プロシージャはＩＥＥＥ８０２．１Ｘ ＥＡＰ認証プロシージャであり得る。ブロック１６５５において、クライアントデバイス１１５は、セキュアワイヤレス接続を用いてアクセスポイント１０５に接続する。セキュアワイヤレス接続はＷＰＡ２エンタープライズ接続であり得る。

[0144]図１７は、クライアントデバイス１１５をセキュアに認証するために信頼済みデバイス１２５によって実行される方法１７００の代替実施形態を示すフローチャートである。方法１７００について、図８に示されているメッセージフロー図８００に関して、ならびに／あるいは図１、図３Ａ、図３Ｂ、図３Ｃ、および／または図８を参照しながら説明した信頼済みデバイス１２５のうちの１つに関して以下で説明する。一実装形態では、図３Ｃを参照しながら説明した信頼済みデバイスプロセッサ３３５は、以下で説明する機能を実行するために信頼済みデバイス１２５の機能要素を制御するためのコードのセットを実行し得る。

[0145]一実施形態では、ブロック１７０５において、信頼済みデバイス１２５は、セキュアインターフェースを介してクライアントデバイス１１５から第１のクライアント情報を受信する。セキュアインターフェースは、第１のクライアント情報を手動で入力することと、第１のクライアント情報のＱＲコードを走査することと、帯域外ワイヤレスチャネルを介して第１のクライアント情報を受信することとのうちの少なくとも１つを含み得る。ブロック１７１０において、信頼済みデバイス１２５は、第１のクライアント情報を認証サーバ１４０に送信する。ブロック１７１５において、信頼済みデバイス１２５は、認証サーバ１４０からサーバ認証トークンを受信する。ブロック１７２０において、信頼済みデバイス１２５は、クライアントデバイスが認証サーバ１４０の真正性を検証するために、サーバ認証トークンをクライアントデバイス１１５に送信する。

[0146]図１８は、認証証明を用いてクライアントデバイス１１５をセキュアにプロビジョニングするための方法１８００の一実施形態を示すフローチャートである。明快のために、方法１８００について、図９、図１０、図１１、および図１２に示されているフローチャートに関して、ならびに／あるいは図１、図２Ａ、図２Ｂ、図２Ｃ、図３Ａ、図３Ｂ、図３Ｃ、図４Ａ、図４Ｂ、図４Ｃ、図５、および／または図６を参照しながら説明したデバイスに関して以下で説明する。一実装形態では、図２Ｃを参照しながら説明したクライアントデバイスプロセッサ２５５は、以下で説明する機能を実行するためにクライアントデバイス１１５の機能要素を制御するためのコードのセットを実行し得る。

[0147]一実施形態では、ブロック１８０５において、クライアントデバイス１１５は、認証サーバ１４０に送信されるべき第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイス１２５に出力する。セキュアインターフェースは、第１のクライアント情報のテキストを表示することと、第１のクライアント情報のＱＲコードを表示することと、帯域外ワイヤレスチャネルを介して第１のクライアント情報を送信することとのうちの少なくとも１つを含み得る。第１のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント公開鍵から導出されたクライアント認証トークンを含み得る。ブロック１８１０において、クライアントデバイス１１５は、第１のクライアント情報に関係する第２のクライアント情報を認証サーバ１４０に送信し、第２のクライアント情報は、認証サーバ１４０によって第１のクライアント情報にリンクされ得る。第２のクライアント情報は、クライアント公開鍵、クライアントユーザ名、および／またはクライアント公開鍵から導出されたクライアントＩＤを含み得る。ブロック１８１５において、クライアントデバイス１１５は、認証サーバ１４０から、暗号化された認証証明を受信し、認証証明は、第１のクライアント情報または第２のクライアント情報に少なくとも部分的に基づいて暗号化され得る。ブロック１８２０において、クライアントデバイス１１５は、第１のクライアント情報または第２のクライアント情報を使用して、暗号化された認証証明を解読する。クライアントデバイス１１５は、次いで、解読された認証証明を使用して、認証サーバ１４０およびアクセスポイント１０５との認証プロシージャを完了し、セキュアワイヤレス接続を用いてアクセスポイント１０５に接続し得る。認証プロシージャはＩＥＥＥ８０２．１Ｘ ＥＡＰ認証プロシージャであり得る。セキュアワイヤレス接続はＷＰＡ２エンタープライズ接続であり得る。

[0148]添付の図面に関して上記に記載した詳細な説明は、例示的な実施形態について説明しており、実装され得るまたは特許請求の範囲内に入る実施形態のみを表すものではない。この説明全体にわたって使用する「例示的」という用語は、「例、事例、または例示の働きをすること」を意味し、「好ましい」または「他の実施形態よりも有利な」を意味しない。詳細な説明は、説明する技法の理解を与えるための具体的な詳細を含む。ただし、これらの技法は、これらの具体的な詳細なしに実施され得る。いくつかの事例では、説明した実施形態の概念を不明瞭にすることを回避するために、よく知られている構造およびデバイスはブロック図の形式で示されている。

[0149]情報および信号は、多種多様な技術および技法のいずれかを使用して表され得る。たとえば、上記の説明全体にわたって言及され得るデータ、命令、コマンド、情報、信号、ビット、シンボル、およびチップは、電圧、電流、電磁波、磁界または磁性粒子、光場または光学粒子、あるいはそれらの任意の組合せによって表され得る。

[0150]本明細書の開示に関して説明した様々な例示的なブロックおよびモジュールは、汎用プロセッサ、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）または他のプログラマブル論理デバイス、個別ゲートまたはトランジスタ論理、個別ハードウェア構成要素、あるいは本明細書で説明した機能を実行するように設計されたそれらの任意の組合せを用いて実装または実行され得る。汎用プロセッサはマイクロプロセッサであり得るが、代替として、プロセッサは、任意の従来のプロセッサ、コントローラ、マイクロコントローラ、または状態機械であり得る。プロセッサはまた、コンピューティングデバイスの組合せ、たとえば、ＤＳＰとマイクロプロセッサとの組合せ、複数のマイクロプロセッサ、ＤＳＰコアと連携するマイクロプロセッサ、または任意の他のそのような構成として実装され得る。

[0151]本明細書で説明した機能は、ハードウェア、プロセッサによって実行されるソフトウェア、ファームウェア、またはそれらの組合せで実装され得る。プロセッサによって実行されるソフトウェアで実装される場合、機能は、命令またはコードとしてコンピュータ可読媒体上に記憶されるか、あるいはコンピュータ可読媒体を介して送信され得る。他の例および実装形態は、本開示の範囲内および添付の特許請求の範囲内に入る。たとえば、ソフトウェアの性質により、上記で説明した機能は、プロセッサ、ハードウェア、ファームウェア、ハードワイヤリング、またはこれらのうちのいずれかの組合せによって実行されるソフトウェアを使用して実装され得る。機能を実装する特徴はまた、異なる物理的ロケーションにおいて機能の部分が実装されるように分散されることを含めて、様々な位置に物理的に配置され得る。また、特許請求の範囲を含めて、本明細書で使用される場合、項目の列挙（たとえば、「のうちの少なくとも１つ」あるいは「のうちの１つまたは複数」などの句で終わる項目の列挙）中で使用される「または」は、たとえば、「Ａ、Ｂ、またはＣのうちの少なくとも１つ」の列挙が、ＡまたはＢまたはＣまたはＡＢまたはＡＣまたはＢＣまたはＡＢＣ（すなわち、ＡおよびＢおよびＣ）を意味するような選言的列挙を示す。

[0152]コンピュータ可読媒体は、ある場所から別の場所へのコンピュータプログラムの転送を可能にする任意の媒体を含む、コンピュータ記憶媒体と通信媒体の両方を含む。記憶媒体は、汎用または専用コンピュータによってアクセスされ得る任意の利用可能な媒体であり得る。限定ではなく例として、コンピュータ可読媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ（登録商標）、ＣＤ−ＲＯＭまたは他の光ディスクストレージ、磁気ディスクストレージまたは他の磁気ストレージデバイス、あるいは命令またはデータ構造の形態の所望のプログラムコード手段を搬送または記憶するために使用され得、汎用もしくは専用コンピュータ、または汎用もしくは専用プロセッサによってアクセスされ得る、任意の他の媒体を備えることができる。また、いかなる接続もコンピュータ可読媒体と適切に呼ばれる。たとえば、ソフトウェアが、同軸ケーブル、光ファイバーケーブル、ツイストペア、デジタル加入者回線（ＤＳＬ）、または赤外線、無線、およびマイクロ波などのワイヤレス技術を使用して、ウェブサイト、サーバ、または他のリモートソースから送信される場合、同軸ケーブル、光ファイバーケーブル、ツイストペア、ＤＳＬ、または赤外線、無線、およびマイクロ波などのワイヤレス技術は、媒体の定義に含まれる。本明細書で使用するディスク（disk）およびディスク（disc）は、コンパクトディスク（disc）（ＣＤ）、レーザーディスク（登録商標）（disc）、光ディスク（disc）、デジタル多用途ディスク（disc）（ＤＶＤ）、フロッピー（登録商標）ディスク（disk）およびｂｌｕ−ｒａｙ（登録商標）ディスク（disc）を含み、ここで、ディスク（disk）は、通常、データを磁気的に再生し、ディスク（disc）は、データをレーザーで光学的に再生する。上記の組合せもコンピュータ可読媒体の範囲内に含まれる。

[0153]本明細書で説明した技法は、ＣＤＭＡ、ＴＤＭＡ、ＦＤＭＡ、ＯＦＤＭＡ、ＳＣ−ＦＤＭＡ、および他のシステムなどの様々なワイヤレス通信システムのために使用され得る。「システム」および「ネットワーク」という用語は、しばしば互換的に使用される。ＣＤＭＡシステムは、ＣＤＭＡ２０００、ユニバーサル地上波無線アクセス（ＵＴＲＡ：Universal Terrestrial Radio Access）などの無線技術を実装し得る。ＣＤＭＡ２０００は、ＩＳ−２０００、ＩＳ−９５、およびＩＳ−８５６規格をカバーする。ＩＳ−２０００リリース０およびＡは、一般に、ＣＤＭＡ２０００ １Ｘ、１Ｘなどと呼ばれる。ＩＳ−８５６（ＴＩＡ−８５６）は、一般に、ＣＤＭＡ２０００ １ｘＥＶ−ＤＯ、高速パケットデータ（ＨＲＰＤ：High Rate Packet Data）などと呼ばれる。ＵＴＲＡは、広帯域ＣＤＭＡ（ＷＣＤＭＡ（登録商標））およびＣＤＭＡの他の変形態を含む。ＴＤＭＡシステムは、モバイル通信用グローバルシステム（ＧＳＭ（登録商標）：Global System for Mobile Communications）などの無線技術を実装し得る。ＯＦＤＭＡシステムは、ウルトラモバイルブロードバンド（ＵＭＢ：Ultra Mobile Broadband）、発展型ＵＴＲＡ（Ｅ−ＵＴＲＡ：Evolved UTRA）、ＩＥＥＥ８０２．１１（Ｗｉ−Ｆｉ）、ＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、ＩＥＥＥ８０２．２０、Ｆｌａｓｈ−ＯＦＤＭなどの無線技術を実装し得る。ＵＴＲＡおよびＥ−ＵＴＲＡは、ユニバーサルモバイルテレコミュニケーションシステム（ＵＭＴＳ：Universal Mobile Telecommunication System）の一部である。３ＧＰＰ（登録商標）ロングタームエボリューション（ＬＴＥ（登録商標）：Long Term Evolution）およびＬＴＥアドバンスト（ＬＴＥ−Ａ：LTE-Advanced）は、Ｅ−ＵＴＲＡを使用するＵＭＴＳの新しいリリースである。ＵＴＲＡ、Ｅ−ＵＴＲＡ、ＵＭＴＳ、ＬＴＥ、ＬＴＥ−ＡおよびＧＳＭは、「第３世代パートナーシッププロジェクト」（３ＧＰＰ：3rd Generation Partnership Project）と称する団体からの文書に記載されている。ＣＤＭＡ２０００およびＵＭＢは、「第３世代パートナーシッププロジェクト２」（３ＧＰＰ２：3rd Generation Partnership Project 2）と称する団体からの文書に記載されている。本明細書で説明した技法は、上述のシステムおよび無線技術、ならびに他のシステムおよび無線技術のために使用され得る。

[0154]本開示についての以上の説明は、当業者が本開示を作成または使用することができるように与えられる。本開示への様々な変更は当業者には容易に明らかとなり、本明細書で定義した一般原理は、本開示の範囲から逸脱することなく他の変形形態に適用され得る。本開示全体にわたって、「例」または「例示的」という用語は、一例または一事例を示すものであり、言及した例についての選好を暗示せず、または必要としない。したがって、本開示は、本明細書で説明した例および設計に限定されるべきでなく、本明細書で開示した原理および新規の特徴に一致する最も広い範囲を与えられるべきである。
以下に本願の出願当初の特許請求の範囲に記載された発明を付記する。
［Ｃ１］
クライアントデバイスをセキュアにプロビジョニングするための方法であって、
認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイスに出力することと、
前記第１のクライアント情報に関係する第２のクライアント情報を前記認証サーバに送信することと、前記第２のクライアント情報が、前記認証サーバによって前記第１のクライアント情報にリンクされる、
前記認証サーバから、暗号化された認証証明を受信することと、前記暗号化された認証証明が、前記第１のクライアント情報または前記第２のクライアント情報に少なくとも部分的に基づいて暗号化される、
前記暗号化された認証証明を解読することと
を備える、方法。
［Ｃ２］
前記第１のクライアント情報がクライアント公開鍵を備え、前記第２のクライアント情報がクライアント識別情報を備え、前記クライアント識別情報が前記クライアント公開鍵から導出される、Ｃ１に記載の方法。
［Ｃ３］
前記暗号化された認証証明が、前記第１のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、Ｃ２に記載の方法。
［Ｃ４］
前記第１のクライアント情報がクライアント認証トークンを備え、前記第２のクライアント情報がクライアント公開鍵を備え、前記クライアント認証トークンが前記クライアント公開鍵から導出される、Ｃ１に記載の方法。
［Ｃ５］
前記暗号化された認証証明が、前記第２のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、Ｃ４に記載の方法。
［Ｃ６］
共有秘密鍵を前記認証サーバと交換することをさらに備え、ここにおいて、前記暗号化された認証証明が、前記共有秘密鍵に少なくとも部分的に基づいて解読される、Ｃ１に記載の方法。
［Ｃ７］
前記解読された認証証明を使用して認証プロシージャを完了することによって、前記認証サーバに関連付けられたアクセスポイントに接続することをさらに備える、Ｃ１に記載の方法。
［Ｃ８］
前記認証プロシージャが米国電気電子技術者協会（ＩＥＥＥ）８０２．１Ｘ拡張認証プロトコルを備え、前記アクセスポイントに接続することがＷｉ−Ｆｉ（登録商標）保護アクセスＩＩ（ＷＰＡ２）エンタープライズ接続を備える、Ｃ７に記載の方法。
［Ｃ９］
前記セキュアインターフェースが、前記第１のクライアント情報を手動で入力すること、前記第１のクライアント情報のクイックレスポンス（ＱＲ）コード（登録商標）を走査すること、帯域外ワイヤレスチャネルを介して前記第１のクライアント情報を送信すること、またはそれらの組合せのうちの少なくとも１つを含む、Ｃ１に記載の方法。
［Ｃ１０］
前記信頼済みデバイスからサーバ認証トークンを受信することと、前記サーバ認証トークンが、前記認証サーバによって前記暗号化された認証証明から導出される、
前記受信されたサーバ認証トークンが、前記解読された認証証明から導出されたトークンに一致することを検証することと
をさらに備える、Ｃ１に記載の方法。
［Ｃ１１］
クライアントデバイスをセキュアにプロビジョニングするための装置であって、
少なくとも１つのプロセッサと、
前記少なくとも１つのプロセッサと電子通信しているメモリと、
前記メモリに記憶された命令と
を備え、前記命令は、
認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイスに出力することと、
前記第１のクライアント情報に関係する第２のクライアント情報を前記認証サーバに送信することと、前記第２のクライアント情報が、前記認証サーバによって前記第１のクライアント情報にリンクされる、
前記認証サーバから、暗号化された認証証明を受信することと、前記暗号化された認証証明が、前記第１のクライアント情報または前記第２のクライアント情報に少なくとも部分的に基づいて暗号化される、
前記暗号化された認証証明を解読することと
を行うために前記少なくとも１つのプロセッサによって実行可能である、装置。
［Ｃ１２］
前記第１のクライアント情報がクライアント公開鍵を備え、前記第２のクライアント情報がクライアント識別情報を備え、前記クライアント識別情報が前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第１のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、Ｃ１１に記載の装置。
［Ｃ１３］
前記第１のクライアント情報がクライアント認証トークンを備え、前記第２のクライアント情報がクライアント公開鍵を備え、前記クライアント認証トークンが前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第２のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、Ｃ１１に記載の装置。
［Ｃ１４］
前記少なくとも１つのプロセッサによって実行可能な前記命令が、
共有秘密鍵を前記認証サーバと交換するための命令をさらに備え、ここにおいて、前記暗号化された認証証明が、前記共有秘密鍵に少なくとも部分的に基づいて解読される、Ｃ１１に記載の装置。
［Ｃ１５］
前記少なくとも１つのプロセッサによって実行可能な前記命令が、
前記解読された認証証明を使用して認証プロシージャを完了することによって、前記認証サーバに関連付けられたアクセスポイントに接続するための命令をさらに備える、Ｃ１１に記載の装置。
［Ｃ１６］
前記認証プロシージャが米国電気電子技術者協会（ＩＥＥＥ）８０２．１Ｘ拡張認証プロトコルを備え、前記アクセスポイントに接続することがＷｉ−Ｆｉ保護アクセスＩＩ（ＷＰＡ２）エンタープライズ接続を備える、Ｃ１５に記載の装置。
［Ｃ１７］
前記セキュアインターフェースが、前記第１のクライアント情報を手動で入力することと、前記第１のクライアント情報のクイックレスポンス（ＱＲ）コードを走査することと、帯域外ワイヤレスチャネルを介して前記第１のクライアント情報を送信することとのうちの少なくとも１つを含む、Ｃ１１に記載の装置。
［Ｃ１８］
前記少なくとも１つのプロセッサによって実行可能な前記命令は、
前記信頼済みデバイスからサーバ認証トークンを受信することと、前記サーバ認証トークンが、前記認証サーバによって前記暗号化された認証証明から導出される、
前記受信されたサーバ認証トークンが、前記解読された認証証明から導出されたトークンに一致することを検証することと
を行うための命令をさらに備える、Ｃ１１に記載の装置。
［Ｃ１９］
クライアントデバイスをセキュアにプロビジョニングするための装置であって、
認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイスに出力するためのセキュアインターフェース出力と、
前記第１のクライアント情報に関係する第２のクライアント情報を前記認証サーバに送信するための送信機と、前記第２のクライアント情報が、前記認証サーバによって前記第１のクライアント情報にリンクされる、
前記認証サーバから、暗号化された認証証明を受信するための受信機と、前記暗号化された認証証明が、前記第１のクライアント情報または前記第２のクライアント情報に少なくとも部分的に基づいて暗号化される、
前記暗号化された認証証明を解読するためのオーセンティケータと
を備える、装置。
［Ｃ２０］
前記第１のクライアント情報がクライアント公開鍵を備え、前記第２のクライアント情報がクライアント識別情報を備え、前記クライアント識別情報が前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第１のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、Ｃ１９に記載の装置。
［Ｃ２１］
前記第１のクライアント情報がクライアント認証トークンを備え、前記第２のクライアント情報がクライアント公開鍵を備え、前記クライアント認証トークンが前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第２のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、Ｃ１９に記載の装置。
［Ｃ２２］
前記オーセンティケータが共有秘密鍵を前記認証サーバと交換し、ここにおいて、前記オーセンティケータが、前記共有秘密鍵に少なくとも部分的に基づいて前記暗号化された認証証明を解読する、Ｃ１９に記載の装置。
［Ｃ２３］
前記オーセンティケータが、前記クライアントデバイスを、前記認証サーバに関連付けられたアクセスポイントに接続するために、前記解読された認証証明を使用して認証プロシージャを完了する、Ｃ１９に記載の装置。
［Ｃ２４］
前記セキュアインターフェースが、前記第１のクライアント情報を手動で入力すること、前記第１のクライアント情報のクイックレスポンス（ＱＲ）コードを走査すること、帯域外ワイヤレスチャネルを介して前記第１のクライアント情報を送信すること、またはそれらの組合せのうちの少なくとも１つを含む、Ｃ１９に記載の装置。
［Ｃ２５］
ワイヤレス通信のためのコンピュータ実行可能コードを記憶する非一時的コンピュータ可読媒体であって、前記コードは、
認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して信頼済みデバイスに出力することと、
前記第１のクライアント情報に関係する第２のクライアント情報を前記認証サーバに送信することと、前記第２のクライアント情報が、前記認証サーバによって前記第１のクライアント情報にリンクされる、
前記認証サーバから、暗号化された認証証明を受信することと、前記暗号化された認証証明が、前記第１のクライアント情報または前記第２のクライアント情報に少なくとも部分的に基づいて暗号化される、
前記暗号化された認証証明を解読することと
を行うためにプロセッサによって実行可能である、非一時的コンピュータ可読媒体。
［Ｃ２６］
前記第１のクライアント情報がクライアント公開鍵を備え、前記第２のクライアント情報がクライアント識別情報を備え、前記クライアント識別情報が前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第１のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、Ｃ２５に記載の非一時的コンピュータ可読媒体。
［Ｃ２７］
前記第１のクライアント情報がクライアント認証トークンを備え、前記第２のクライアント情報がクライアント公開鍵を備え、前記クライアント認証トークンが前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第２のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、Ｃ２５に記載の非一時的コンピュータ可読媒体。
［Ｃ２８］
前記プロセッサによって実行可能な前記命令が、
共有秘密鍵を前記認証サーバと交換するための命令をさらに備え、ここにおいて、前記暗号化された認証証明が、前記共有秘密鍵に少なくとも部分的に基づいて解読される、Ｃ２５に記載の非一時的コンピュータ可読媒体。
［Ｃ２９］
前記プロセッサによって実行可能な前記命令が、
前記解読された認証証明を使用して認証プロシージャを完了することによって、前記認証サーバに関連付けられたアクセスポイントに接続するための命令をさらに備える、Ｃ２５に記載の非一時的コンピュータ可読媒体。
［Ｃ３０］
前記セキュアインターフェースが、前記第１のクライアント情報を手動で入力すること、前記第１のクライアント情報のクイックレスポンス（ＱＲ）コードを走査すること、帯域外ワイヤレスチャネルを介して前記第１のクライアント情報を送信すること、またはそれらの組合せのうちの少なくとも１つを含む、Ｃ２５に記載の非一時的コンピュータ可読媒体。

Claims (26)

1. クライアントデバイスをセキュアにプロビジョニングするための方法であって、
   信頼済みデバイスから認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して前記認証サーバによって許可された前記信頼済みデバイスに出力することと、
   前記クライアントデバイスからアクセスポイントに前記第１のクライアント情報に関係する第２のクライアント情報を送信することと、前記アクセスポイントが、前記第１のクライアント情報を前記認証サーバに送信するためのものであり、前記第２のクライアント情報が、前記認証サーバによって前記第１のクライアント情報にリンクされる、
   前記クライアントデバイスにおいて、前記アクセスポイントを介して前記認証サーバから暗号化された認証証明を受信することと、前記暗号化された認証証明が、前記クライアントデバイスがセキュアワイヤレス接続でワイヤレスネットワークにアクセスするために前記アクセスポイントに接続するためのものであり、前記第１のクライアント情報または前記第２のクライアント情報に少なくとも部分的に基づいて暗号化される、
   前記クライアントデバイスが、前記暗号化された認証証明を解読することと、
   前記クライアントデバイスが、前記解読された認証証明を使用して認証プロシージャを完了することによって、前記認証サーバに関連付けられた前記アクセスポイントに接続することと
   を備える、方法。
2. 前記第１のクライアント情報がクライアント公開鍵を備え、前記第２のクライアント情報がクライアント識別情報を備え、前記クライアント識別情報が前記クライアント公開鍵から導出される、請求項１に記載の方法。
3. 前記暗号化された認証証明が、前記第１のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、請求項２に記載の方法。
4. 前記第１のクライアント情報がクライアント認証トークンを備え、前記第２のクライアント情報がクライアント公開鍵を備え、前記クライアント認証トークンが前記クライアント公開鍵から導出される、請求項１に記載の方法。
5. 前記暗号化された認証証明が、前記第２のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、請求項４に記載の方法。
6. 共有秘密鍵を前記認証サーバと交換することをさらに備え、ここにおいて、前記暗号化された認証証明が、前記共有秘密鍵に少なくとも部分的に基づいて解読される、請求項１に記載の方法。
7. 前記認証プロシージャが米国電気電子技術者協会（ＩＥＥＥ）８０２．１Ｘ拡張認証プロトコルを備え、前記アクセスポイントに接続することがＷｉ−Ｆｉ（登録商標）保護アクセスＩＩ（ＷＰＡ２）エンタープライズ接続を備える、請求項１に記載の方法。
8. 前記セキュアインターフェースが、前記第１のクライアント情報を手動で入力すること、前記第１のクライアント情報のクイックレスポンス（ＱＲ）コード（登録商標）を走査すること、帯域外ワイヤレスチャネルを介して前記第１のクライアント情報を送信すること、またはそれらの組合せのうちの少なくとも１つを含む、請求項１に記載の方法。
9. 前記信頼済みデバイスからサーバ認証トークンを受信することと、前記サーバ認証トークンが、前記認証サーバによって前記暗号化された認証証明から導出される、
   前記受信されたサーバ認証トークンが、前記解読された認証証明から導出されたトークンに一致することを検証することと
   をさらに備える、請求項１に記載の方法。
10. クライアントデバイスをセキュアにプロビジョニングするための装置であって、
    少なくとも１つのプロセッサと、
    前記少なくとも１つのプロセッサと電子通信しているメモリと、
    前記メモリに記憶された命令と
    を備え、前記命令は、
    信頼済みデバイスから認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して前記認証サーバによって許可された前記信頼済みデバイスに出力することと、
    前記クライアントデバイスからアクセスポイントに前記第１のクライアント情報に関係する第２のクライアント情報を送信することと、前記アクセスポイントが、前記第１のクライアント情報を前記認証サーバに送信するためのものであり、前記第２のクライアント情報が、前記認証サーバによって前記第１のクライアント情報にリンクされる、
    前記クライアントデバイスにおいて、前記アクセスポイントを介して前記認証サーバから暗号化された認証証明を受信することと、前記暗号化された認証証明が、前記クライアントデバイスがセキュアワイヤレス接続でワイヤレスネットワークにアクセスするために前記アクセスポイントに接続するためのものであり、前記第１のクライアント情報または前記第２のクライアント情報に少なくとも部分的に基づいて暗号化される、
    前記クライアントデバイスが、前記暗号化された認証証明を解読することと、
    前記クライアントデバイスが、前記解読された認証証明を使用して認証プロシージャを完了することによって、前記認証サーバに関連付けられた前記アクセスポイントに接続することと
    を行うために前記少なくとも１つのプロセッサによって実行可能である、装置。
11. 前記第１のクライアント情報がクライアント公開鍵を備え、前記第２のクライアント情報がクライアント識別情報を備え、前記クライアント識別情報が前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第１のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、請求項１０に記載の装置。
12. 前記第１のクライアント情報がクライアント認証トークンを備え、前記第２のクライアント情報がクライアント公開鍵を備え、前記クライアント認証トークンが前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第２のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、請求項１０に記載の装置。
13. 前記少なくとも１つのプロセッサによって実行可能な前記命令が、
    共有秘密鍵を前記認証サーバと交換するための命令をさらに備え、ここにおいて、前記暗号化された認証証明が、前記共有秘密鍵に少なくとも部分的に基づいて解読される、請求項１０に記載の装置。
14. 前記認証プロシージャが米国電気電子技術者協会（ＩＥＥＥ）８０２．１Ｘ拡張認証プロトコルを備え、前記アクセスポイントに接続することがＷｉ−Ｆｉ保護アクセスＩＩ（ＷＰＡ２）エンタープライズ接続を備える、請求項１０に記載の装置。
15. 前記セキュアインターフェースが、前記第１のクライアント情報を手動で入力することと、前記第１のクライアント情報のクイックレスポンス（ＱＲ）コードを走査することと、帯域外ワイヤレスチャネルを介して前記第１のクライアント情報を送信することとのうちの少なくとも１つを含む、請求項１０に記載の装置。
16. 前記少なくとも１つのプロセッサによって実行可能な前記命令は、
    前記信頼済みデバイスからサーバ認証トークンを受信することと、前記サーバ認証トークンが、前記認証サーバによって前記暗号化された認証証明から導出される、
    前記受信されたサーバ認証トークンが、前記解読された認証証明から導出されたトークンに一致することを検証することと
    を行うための命令をさらに備える、請求項１０に記載の装置。
17. クライアントデバイスをセキュアにプロビジョニングするための装置であって、
    信頼済みデバイスから認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して前記認証サーバによって許可された前記信頼済みデバイスに出力するためのセキュアインターフェース出力と、
    前記クライアントデバイスからアクセスポイントに前記第１のクライアント情報に関係する第２のクライアント情報を送信するための送信機と、前記アクセスポイントが、前記第１のクライアント情報を前記認証サーバに送信するためのものであり、前記第２のクライアント情報が、前記認証サーバによって前記第１のクライアント情報にリンクされる、
    前記クライアントデバイスにおいて、前記アクセスポイントを介して前記認証サーバから暗号化された認証証明を受信するための受信機と、前記暗号化された認証証明が、前記クライアントデバイスがセキュアワイヤレス接続でワイヤレスネットワークにアクセスするために前記アクセスポイントに接続するためのものであり、前記第１のクライアント情報または前記第２のクライアント情報に少なくとも部分的に基づいて暗号化される、
    前記クライアントデバイスが、前記暗号化された認証証明を解読することと、前記クライアントデバイスが、前記解読された認証証明を使用して認証プロシージャを完了することによって、前記認証サーバに関連付けられた前記アクセスポイントに接続することとを行うためのオーセンティケータと
    を備える、装置。
18. 前記第１のクライアント情報がクライアント公開鍵を備え、前記第２のクライアント情報がクライアント識別情報を備え、前記クライアント識別情報が前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第１のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、請求項１７に記載の装置。
19. 前記第１のクライアント情報がクライアント認証トークンを備え、前記第２のクライアント情報がクライアント公開鍵を備え、前記クライアント認証トークンが前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第２のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、請求項１７に記載の装置。
20. 前記オーセンティケータが共有秘密鍵を前記認証サーバと交換し、ここにおいて、前記オーセンティケータが、前記共有秘密鍵に少なくとも部分的に基づいて前記暗号化された認証証明を解読する、請求項１７に記載の装置。
21. 前記セキュアインターフェースが、前記第１のクライアント情報を手動で入力すること、前記第１のクライアント情報のクイックレスポンス（ＱＲ）コードを走査すること、帯域外ワイヤレスチャネルを介して前記第１のクライアント情報を送信すること、またはそれらの組合せのうちの少なくとも１つを含む、請求項１７に記載の装置。
22. ワイヤレス通信のためのコンピュータ実行可能コードを記憶する非一時的コンピュータ可読媒体であって、前記コードは、
    信頼済みデバイスから認証サーバに送信されるべき第１のクライアント情報を、セキュアインターフェースを介して前記認証サーバによって許可された前記信頼済みデバイスに出力することと、
    クライアントデバイスからアクセスポイントに前記第１のクライアント情報に関係する第２のクライアント情報を送信することと、前記アクセスポイントが、前記第１のクライアント情報を前記認証サーバに送信するためのものであり、前記第２のクライアント情報が、前記認証サーバによって前記第１のクライアント情報にリンクされる、
    前記クライアントデバイスにおいて、前記アクセスポイントを介して前記認証サーバから暗号化された認証証明を受信することと、前記暗号化された認証証明が、前記クライアントデバイスがセキュアワイヤレス接続でワイヤレスネットワークにアクセスするために前記アクセスポイントに接続するためのものであり、前記第１のクライアント情報または前記第２のクライアント情報に少なくとも部分的に基づいて暗号化される、
    前記クライアントデバイスが、前記暗号化された認証証明を解読することと、
    前記クライアントデバイスが、前記解読された認証証明を使用して認証プロシージャを完了することによって、前記認証サーバに関連付けられた前記アクセスポイントに接続することと
    を行うためにプロセッサによって実行可能である、非一時的コンピュータ可読媒体。
23. 前記第１のクライアント情報がクライアント公開鍵を備え、前記第２のクライアント情報がクライアント識別情報を備え、前記クライアント識別情報が前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第１のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、請求項２２に記載の非一時的コンピュータ可読媒体。
24. 前記第１のクライアント情報がクライアント認証トークンを備え、前記第２のクライアント情報がクライアント公開鍵を備え、前記クライアント認証トークンが前記クライアント公開鍵から導出され、前記暗号化された認証証明が、前記第２のクライアント情報中で送信された前記クライアント公開鍵に少なくとも部分的に基づいて暗号化され、前記暗号化された認証証明が、前記クライアント公開鍵に対応するクライアント秘密鍵に少なくとも部分的に基づいて解読される、請求項２２に記載の非一時的コンピュータ可読媒体。
25. 前記プロセッサによって実行可能な前記命令が、
    共有秘密鍵を前記認証サーバと交換するための命令をさらに備え、ここにおいて、前記暗号化された認証証明が、前記共有秘密鍵に少なくとも部分的に基づいて解読される、請求項２２に記載の非一時的コンピュータ可読媒体。
26. 前記セキュアインターフェースが、前記第１のクライアント情報を手動で入力すること、前記第１のクライアント情報のクイックレスポンス（ＱＲ）コードを走査すること、帯域外ワイヤレスチャネルを介して前記第１のクライアント情報を送信すること、またはそれらの組合せのうちの少なくとも１つを含む、請求項２２に記載の非一時的コンピュータ可読媒体。

Images