JP6240636B2

JP6240636B2 - 認証方法および認証装置

Info

Publication number: JP6240636B2
Application number: JP2015097021A
Authority: JP
Inventors: 可久伊藤; 松川　尚司; 尚司松川; 宏美成松
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2015-05-12
Filing date: 2015-05-12
Publication date: 2017-11-29
Anticipated expiration: 2035-05-12
Also published as: JP2016212711A

Description

本発明は、認証装置が認証対象装置を認証する認証方法および認証装置に関する。

昨今の情報機器の発達に伴い、Ｍ２Ｍ通信（Machine to Machine）が普及している。Ｍ２Ｍ通信を用いて、コントローラがセンサやアクチュエーターと接続するシステムが、期待される。このようなシステムにおいてコントローラは、センサから測定値を取得し、取得した測定値に基づいて、アクチュエーターを動作させるコマンドを送信する。

センサやアクチュエーター等の、Ｍ２Ｍ通信をする機器は、認証のためのキーに基づいて、認証される（例えば非特許文献１の８．２．２．１参照）。この認証のためのキーは、予め各機器に配布される。また、Ｗｉ−Ｆｉ通信において、Ｍ２Ｍ通信をする機器にボタンなどのユーザインタフェースを設け、認証時にこのインタフェースを用いる方法も、普及している（非特許文献２参照）。

OneM2MPartners、"ONE M2M TECHNICAL SPECIFICATION"、［online］、2014年8月1日、OneM2MPartners、［平成27年4月23日検索］、インターネット〈URL： http://www.onem2m.org/images/files/deliverables/TS-0003-Security_Solutions-V-2014-08.pdf〉 2014 Wi-Fi Alliance、" Wi-Fi Simple Configuration Technical Specification Version 2.0.5"、 2014 Wi-Fi Alliance、２０１４年

Ｍ２Ｍ通信をする機器を認証する際に用いられるキーは、接続時の認証にのみ用いられるものであり、認証後は、用いられることはない。Ｍ２Ｍ通信をする機器は、小型化される傾向もあり、記憶領域の容量の少ないものもある。このような機器にとって、接続時の認証にのみ用いられるキーを保持する記憶領域を確保することが負担となり、リソースが有効活用できない場合がある。また、Ｍ２Ｍ通信をする機器において、小型化の実現と、認証のためのユーザインタフェースを設けることの両立が、困難な場合がある。

このように、Ｍ２Ｍ通信において、認証対象の負担を軽減することなく、適切に認証できない問題があった。

従って本発明の目的は、認証対象の負担を軽減して適切に認証可能な認証方法および認証装置を提供することである。

上記課題を解決するために、本発明の第１の特徴は、認証装置が、Ｍ２Ｍ通信を行う認証対象装置を認証する認証方法に関する。本発明の第１の特徴に係る認証方法は、認証装置が、認証対象装置に記憶される当該認証対象装置のＭＡＣアドレスを含む識別子リストデータを、取得するステップと、認証対象装置が、認証装置に接続して、当該認証対象装置が記憶するＭＡＣアドレスを、当該認証対象装置の記憶装置から読み出して、認証装置に送信するステップと、認証装置は、識別子リストデータに、認証対象装置から取得したＭＡＣアドレスが含まれる場合、認証対象装置を認証するステップを備える。認証装置は、認証対象装置のＭＡＣアドレスのみを用いて、認証対象装置を認証する。本発明の第２の特徴は、認証装置が、Ｍ２Ｍ通信を行う認証対象装置を認証する認証方法に関する。本発明の第２特徴に係る認証方法は、認証装置が、認証対象装置に記憶される当該認証対象装置の製造番号を含む識別子リストデータを、取得するステップと、認証対象装置が、認証装置に接続して、当該認証対象装置が記憶する製造番号を、当該認証対象装置の記憶装置から読み出して、認証装置に送信するステップと、認証装置は、識別子リストデータに、認証対象装置から取得した製造番号が含まれる場合、認証対象装置を認証するステップを備える。認証装置は、認証対象装置の製造番号のみを用いて、認証対象装置を認証する。

ここで認証装置は、認証対象装置の設置に関するサプライヤのサプライヤ装置から、記憶媒体または通信ネットワークを介して、識別子リストデータを取得しても良い。

本発明の第３の特徴は、Ｍ２Ｍ通信を行う認証対象装置を認証する認証装置に関する。本発明の第３の特徴に係る認証装置は、認証対象装置に記憶される当該認証対象装置のＭＡＣアドレスを含む識別子リストデータを、取得するリスト取得手段と、認証対象装置から接続され、当該認証対象装置が記憶するＭＡＣアドレスを受信し、識別子リストデータに、認証対象装置から受信したＭＡＣアドレスが含まれる場合、認証対象装置を認証する認証手段を備える。認証装置は、認証対象装置のＭＡＣアドレスのみを用いて、認証対象装置を認証する。本発明の第４の特徴は、認証対象装置を認証する認証装置に関する。本発明の第４の特徴に係る認証装置は、Ｍ２Ｍ通信を行う認証対象装置に記憶される当該認証対象装置の製造番号を含む識別子リストデータを、取得するリスト取得手段と、認証対象装置から接続され、当該認証対象装置が記憶する製造番号を受信し、識別子リストデータに、認証対象装置から受信した製造番号が含まれる場合、認証対象装置を認証する認証手段を備える。認証装置は、認証対象装置の製造番号のみを用いて、認証対象装置を認証する。

ここでリスト取得手段は、認証対象装置の設置に関するサプライヤのサプライヤ装置から、記憶媒体または通信ネットワークを介して、識別子リストデータを取得しても良い。

本発明によれば、認証対象の負担を軽減して適切に認証可能な認証方法および認証装置を提供することができる。

図１は、本発明の実施の形態に係る認証システムのシステム構成を説明する図である。図２は、本発明の実施の形態に係る認証装置のＩＤリストデータの一例を説明する図である。図３は、本発明の実施の形態に係る認証装置のハードウエア構成および機能ブロックを説明する図である。図４は、本発明の実施の形態に係る認証システムにおける認証方法を説明するシーケンス図である。図５は、本発明の実施の形態に係る認証装置における認証方法を説明するフローチャートである。

次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一または類似の部分には同一または類似の符号を付している。

（認証システム）
図１を参照して、本発明の実施の形態に係る認証システム５を説明する。認証システム５は、認証装置１、認証対象装置２ａ、２ｂおよび２ｃを備える。認証装置１は、認証対象装置２ａ、２ｂおよび２ｃと、通信ネットワーク３ａ、３ｂおよび３ｃを介して、それぞれ相互に通信可能に接続される。図１に示すにおいて、通信ネットワーク３ａ、３ｂおよび３ｃは、無線の場合を説明するが、無線に限らず、有線であっても良い。

本発明の実施の形態において、認証対象装置２ａ、２ｂ、および２ｃを区別しない場合、単に認証対象装置２と記載する場合がある。同様に、通信ネットワーク３ａ、３ｂおよび３ｃを特に区別しない場合、単に通信ネットワーク３と記載する場合がある。

認証対象装置２は、Ｍ２Ｍ通信をする機器であって、例えば、センサやアクチュエーター等である。認証対象装置２は、認証装置１と通信するための通信部２０１を備える。

認証対象装置２は、本発明の実施の形態に係る認証方法によって認証装置１によって認証された後、所定のコントローラ（図示せず）の制御によって、所定の動作を実行する。例えば認証対象装置２は、測定値をコントローラに送信したり、コントローラから受信したコマンドに基づいて動作したりする。

本発明の実施の形態に係る認証対象装置２は、認証装置１によって認証される機器であればどのような機器でも良い。認証対象装置２は、記憶装置の容量が小さく、ユーザインタフェースが存在しない機器であっても良い。

認証装置１は、認証対象装置２と接続するとともに、本発明の実施の形態に係る認証方法によって、認証対象装置２を認証する。認証装置１は、認証対象装置２を制御するコントローラと同じ装置であっても良いし、異なる装置であっても良い。

認証装置１は、図１に示すように、サプライヤ装置４から、ＩＤリストデータＤを取得する。認証装置１は、サプライヤ装置４からＵＳＢメモリなどの記憶媒体を介して、ＩＤリストデータＤを取得しても良いし、サプライヤ装置４と通信ネットワークを介して接続して、ＩＤリストデータＤを取得しても良い。

ＩＤリストデータＤは、図２に示すように、認証対象装置２に記憶される認証対象装置２のＩＤ（識別子）を含むデータである。ＩＤリストデータＤは、認証システム５において、認証装置１が認証する認証対象装置２ａ、２ｂおよび２ｃの各ＩＤを含む。認証対象装置２のＩＤは、認証対象装置２が備える機器の識別子であって、認証対象装置２が読み出して認証装置１に送信可能なデータである。認証対象装置２のＩＤは、認証対象装置２が備えるメモリ、或いは、認証対象装置２が備える機器が内蔵するメモリ等の記憶装置に記憶される。認証対象装置２のＩＤは、例えば、認証対象装置２の通信部２０１のＭＡＣアドレスや、認証対象装置２自体の製造番号、センサやアクチュエーター等の製造番号等であっても良い。本発明の実施の形態において、ＩＤリストデータＤに記憶されるＩＤは、認証装置１による認証のためのみに付与されたデータは除外される。換言すると、ＩＤリストデータＤに記憶されるＩＤは、認証以外の目的で付与されたデータであって、認証対象装置２を識別可能なデータである。またこのＩＤは、認証装置１による認証時のみならず、そのほかの処理においても、参照されて良い。

サプライヤ装置４は、認証対象装置２の設置に関するサプライヤの端末である。サプライヤは、例えば、認証対象装置２を納入して設置する際などに、設置対象の認証対象装置２のＩＤをリスト化したＩＤリストデータＤを生成し、認証装置１に提供する。サプライヤ装置４は、図１に示す例の場合、認証対象装置２ａ、２ｂおよび２ｃのそれぞれのＩＤを含むように、ＩＤリストデータＤを生成する。サプライヤ装置４は、通信ネットワークまたは記憶媒体等を介して、ＩＤリストデータＤを、認証対象装置２ａ、２ｂおよび２ｃを認証する認証装置１に提供する。

（認証装置）
図３を参照して、本発明の実施の形態に係る認証装置１を説明する。認証装置１は、記憶装置１０、処理装置２０、入出力インタフェース３０、通信制御装置４０およびデータ読み取り装置５０を備える一般的なコンピュータである。一般的なコンピュータが所定の機能を実現させるためのプログラムを実行することにより、図３に示す各機能を実現する。

通信制御装置４０は、認証対象装置２と接続するためのインタフェースであって、認証対象装置２と通信ネットワーク３を介して送受信されるデータは、入出力インタフェース３０を介して、処理装置２０に入出力される。通信制御装置４０はさらに、サプライヤ装置４と接続して、通信ネットワークを介してＩＤリストデータＤを取得し、処理装置２０に入力しても良い。

データ読み取り装置５０は、ＩＤリストデータＤを記憶する記憶媒体（図示せず）のリーダーである。データ読み取り装置５０は、ＩＤリストデータＤを取得し、入出力インタフェース３０を介して、処理装置２０に入力する。

記憶装置１０は、所定の機能を実現するためのプログラムを記憶するとともに、図２を参照して説明したＩＤリストデータＤを記憶する。

処理装置２０は、リスト取得手段２１および認証手段２２を備える。

リスト取得手段２１は、ＩＤリストデータＤを取得し、記憶装置１０に記憶する。リスト取得手段２１は例えば、認証対象装置２の設置に関するサプライヤのサプライヤ装置４から、通信ネットワーク、通信制御装置４０および入出力インタフェース３０を介して、ＩＤリストデータＤを取得する。あるいはリスト取得手段２１は、サプライヤ装置４が提供する記憶媒体をデータ読み取り装置５０で読み出すことにより、入出力インタフェース３０を介して、ＩＤリストデータＤを取得する。

認証手段２２は、ＩＤリストデータＤを参照して、認証対象装置２を認証する。認証手段２２は、認証対象装置２から接続され、認証対象装置２が記憶するＩＤ（ＭＡＣアドレス等）を受信する。認証手段２２は、ＩＤリストデータＤに、認証対象装置２から受信したＩＤが含まれる場合、認証対象装置２を認証する。

本発明の実施の形態において認証手段２２は、予め認証対象装置２のＩＤを含むＩＤリストデータＤを取得する。認証装置１は、認証対象装置２から認証リクエストがあり、認証対象装置２からＩＤを受信すると、受信したＩＤが、予め取得したＩＤリストデータＤに含まれているか否かを判定する。

ここで、ＩＤリストデータＤに含まれるＩＤは、認証対象装置２のサプライヤから供給されたものである。従って、認証対象装置２から受信したＩＤが、予め取得したＩＤリストデータＤに含まれている場合、この認証対象装置２はサプライヤが設置した機器であることがわかるので、この認証対象装置２を認証する。一方認証対象装置２から受信したＩＤが、予め取得したＩＤリストデータＤに含まれていない場合、この認証対象装置２はサプライヤが設置した機器でないことがわかるので、この認証対象装置２を認証しない。

（認証方法）
図４および図５を参照して、本発明の実施の形態に係る認証方法を説明する。

図４に示すように、ステップＳ１において認証装置１は、サプライヤ装置４から、ＩＤリストデータＤを取得し、ステップＳ２において、取得したＩＤリストデータＤを記憶装置１０に記憶する。

ステップＳ３において認証装置１は、認証対象装置２から接続要求を取得する。ここで、認証対象装置２が送信する接続要求に、認証対象装置２が記憶するＩＤ（ＭＡＣアドレス等）を含む。ステップＳ４において認証装置１は、認証対象装置２からＩＤを受信すると、ステップＳ３で受信したＩＤと、ステップＳ１で受信したＩＤリストデータＤとに基づいて、認証対象装置２を認証する。ステップＳ５において認証装置１は、ステップＳ４における認証結果を、認証対象装置２に送信する。

図５を参照して、図４のステップＳ４における認証処理を説明する。この認証処理は、認証装置１の認証手段２２により実行される。

ステップＳ１１において認証手段２２は、認証対象装置２からの接続を待機し、認証対象装置２からの接続を検知すると、ステップＳ１２に進む。ステップＳ１２において認証手段２２は、認証対象装置２のＩＤ（ＭＡＣアドレス等）を取得する。

ステップＳ１３において認証手段２２は、ステップＳ１２において取得したＩＤが、予め取得したＩＤリストデータＤに含まれているか否かを判定する。含まれている場合、ステップＳ１４において認証手段２２は、認証対象装置２を認証することを決定する。一方含まれていない場合、ステップＳ１５において認証手段２２は、認証対象装置２の認証を拒否することを決定する。

さらにステップＳ１６において認証手段２２は、ステップＳ１４またはステップＳ１５において決定した認証結果を出力する。

このように本発明の実施の形態に係る認証方法において、認証対象装置２の認証における認証鍵として、認証対象装置２が元々有するＭＡＣアドレス等のＩＤを用いる。これにより、認証対象装置２の記憶容量を圧迫することなく、認証装置１は、認証対象装置２を適切に認証することができる。また正規に設置される認証対象装置２のＩＤリストを取得して、認証要求された認証対象装置２から、その認証対象装置２が保持するＩＤを取得する。これにより、認証装置１は、認証すべき認証対象装置２を特定し、適切に認証することができる。さらに本発明の実施の形態に係る認証方法は、認証対象装置２の記憶容量の削減や、インタフェースを設けない仕様を実現し、認証対象装置２を、認証の制約なく設計することを可能とする。

（その他の実施の形態）
上記のように、本発明の実施の形態によって記載したが、この開示の一部をなす論述および図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態、実施例および運用技術が明らかとなる。

例えば、本発明の実施の形態に記載した認証装置は、図１に示すように一つのハードウエア上に構成されても良いし、その機能や処理数に応じて複数のハードウエア上に構成されても良い。また、既存の情報処理システム上に実現されても良い。

本発明はここでは記載していない様々な実施の形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

１認証装置
２認証対象装置
３通信ネットワーク
４サプライヤ装置
５通信システム
１０記憶装置
２０処理装置
２１リスト取得手段
２２認証手段
３０入出力インタフェース
４０通信制御装置
５０データ読み取り装置
２０１通信部
ＤＩＤリストデータ

Claims

認証装置が、Ｍ２Ｍ通信を行う認証対象装置を認証する認証方法であって、
前記認証装置が、前記認証対象装置に記憶される当該認証対象装置のＭＡＣアドレスを含む識別子リストデータを、取得するステップと、
前記認証対象装置が、前記認証装置に接続して、当該認証対象装置が記憶するＭＡＣアドレスを、当該認証対象装置の記憶装置から読み出して、前記認証装置に送信するステップと、
前記認証装置は、前記識別子リストデータに、前記認証対象装置から取得したＭＡＣアドレスが含まれる場合、前記認証対象装置を認証するステップ
を備え、
前記認証装置は、前記認証対象装置のＭＡＣアドレスのみを用いて、前記認証対象装置を認証することを特徴とする認証方法。
認証装置が、Ｍ２Ｍ通信を行う認証対象装置を認証する認証方法であって、
前記認証装置が、前記認証対象装置に記憶される当該認証対象装置の製造番号を含む識別子リストデータを、取得するステップと、
前記認証対象装置が、前記認証装置に接続して、当該認証対象装置が記憶する製造番号を、当該認証対象装置の記憶装置から読み出して、前記認証装置に送信するステップと、
前記認証装置は、前記識別子リストデータに、前記認証対象装置から取得した製造番号が含まれる場合、前記認証対象装置を認証するステップ
を備え、
前記認証装置は、前記認証対象装置の製造番号のみを用いて、前記認証対象装置を認証することを特徴とする認証方法。
前記認証装置は、前記認証対象装置の設置に関するサプライヤのサプライヤ装置から、記憶媒体または通信ネットワークを介して、前記識別子リストデータを取得する
ことを特徴とする請求項１または２に記載の認証方法。
Ｍ２Ｍ通信を行う認証対象装置を認証する認証装置であって、
前記認証対象装置に記憶される当該認証対象装置のＭＡＣアドレスを含む識別子リストデータを、取得するリスト取得手段と、
前記認証対象装置から接続され、当該認証対象装置が記憶するＭＡＣアドレスを受信し、前記識別子リストデータに、前記認証対象装置から受信したＭＡＣアドレスが含まれる場合、前記認証対象装置を認証する認証手段
を備え、
前記認証装置は、前記認証対象装置のＭＡＣアドレスのみを用いて、前記認証対象装置を認証することを特徴とする認証装置。
Ｍ２Ｍ通信を行う認証対象装置を認証する認証装置であって、
前記認証対象装置に記憶される当該認証対象装置の製造番号を含む識別子リストデータを、取得するリスト取得手段と、
前記認証対象装置から接続され、当該認証対象装置が記憶する製造番号を受信し、前記識別子リストデータに、前記認証対象装置から受信した製造番号が含まれる場合、前記認証対象装置を認証する認証手段
を備え、
前記認証装置は、前記認証対象装置の製造番号のみを用いて、前記認証対象装置を認証することを特徴とする認証装置。
前記リスト取得手段は、前記認証対象装置の設置に関するサプライヤのサプライヤ装置から、記憶媒体または通信ネットワークを介して、前記識別子リストデータを取得する
ことを特徴とする請求項４または５に記載の認証装置。