JP6312325B2 - 無線通信におけるクライアント端末認証システムおよびクライアント端末認証方法 - Google Patents

Description

本発明は、無線通信におけるクライアント端末認証システムおよびクライアント端末認証方法に関する。

スマートフォンやタブレット端末等、ユーザが携帯可能な情報通信機器が一般化するとともに、無線通信が利用される場面が拡大している。これに伴い、ユーザが携帯情報端末を用いてＷｉ−Ｆｉ等の無線通信ネットワークから固定通信回線に接続し、多様なサービスを利用することも増えている。

ユーザが情報通信端末を用いて固定通信回線にアクセスする場合は、高いセキュリティを実現するために例えば回線認証等の技術が利用される。回線認証とは、ユーザの情報通信端末を一意に識別する発信者ＩＤ（Identifier）と、ホームゲートウェイ（ＨＧＷ）等に接続される通信回線を一意に識別する回線認証ＩＤと、を用いた認証技術である。回線認証により、ユーザが、契約している回線以外からネットワークにアクセスすることを防止することができる。

小宮 博美、"［上級］無線ＬＡＮの正しい構築法 第８回 ユーザー認証の機能が不可欠 企業では802.1xが主流に（後編）"、[online]、2006年9月21日、[2014年12月8日検索]、インターネット<URL:http://itpro.nikkeibp.co.jp/article/COLUMN/20060914/248050/>

しかしながら、ユーザがＷｉ−Ｆｉ等の無線ネットワークを利用する場合は、ユーザがネットワークに接続しようとする場所を予め特定できず、任意の回線が共用されるため、回線認証の技術を用いて高いセキュリティを実現することはできない。

開示の実施形態は、上記に鑑みてなされたものであって、無線回線を利用した情報通信において高いセキュリティを実現することを目的とする。

開示するクライアント端末認証システムは、ネットワークに配置され、無線通信により当該ネットワークに接続するクライアント端末からのアドレス割当要求を受信してアドレス認証を実行し、アドレス認証に成功した場合、クライアント端末にアドレスを送信するアドレス割当サーバを備える。また、開示するクライアント端末認証システムは、ネットワーク中、少なくともアドレス割当サーバより上流に配置され、アドレスを割り当てられたクライアント端末が送信する証明書を受信して当該証明書の認証を実行し、証明書の認証に成功した場合、クライアント端末によるネットワークへのアクセスを許可する認証サーバを備える。

開示するクライアント端末認証方法は、ネットワークに配置されるアドレス割当サーバにより、無線通信により当該ネットワークに接続するクライアント端末からのアドレス割当要求を受信してアドレス認証を実行するアドレス認証工程を含む。また、開示するクライアント端末認証方法はさらに、アドレス割当サーバがアドレス認証に成功した場合、クライアント端末にアドレスを送信する送信工程を含む。また、開示するクライアント端末認証方法はさらに、ネットワーク中、少なくともアドレス割当サーバより上流に配置される認証サーバにより、アドレスを割り当てられたクライアント端末が送信する証明書を受信し、当該証明書の認証を実行する証明書認証工程を含む。開示するクライアント端末認証方法はさらに、認証サーバが証明書の認証に成功した場合、クライアント端末によるネットワークへのアクセスを許可する許可工程を含む。

開示するクライアント端末認証システムおよびクライアント端末認証方法は、無線回線を利用した情報通信において高いセキュリティを実現することができるという効果を奏する。

図１は、実施形態にかかるクライアント端末認証システムの構成の一例を示す概略図である。 図２は、実施形態にかかるクライアント端末認証方法の流れの一例を示すフローチャートである。 図３は、実施形態にかかるクライアント端末認証処理の流れを説明するための第１の図である。 図４は、実施形態にかかるクライアント端末認証処理の流れを説明するための第２の図である。 図５は、実施形態にかかるクライアント端末認証処理の流れを説明するための第３の図である。 図６は、実施形態にかかるクライアント端末認証処理の流れを説明するための第４の図である。 図７は、実施形態にかかるクライアント端末認証処理の流れを説明するための第５の図である。 図８は、実施形態にかかるクライアント端末認証処理の流れを説明するための第６の図である。 図９は、開示の技術にかかるクライアント端末認証プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。 図１０は、従来の一般的な無線ＬＡＮを用いた通信システムの構成の一例を示す概略図である。 図１１は、従来のＩＥＥＥ８０２．１ｘ認証について説明するための図である。 図１２は、従来のＷｉ−Ｆｉにおけるクライアント端末認証方法の種類について説明するための図である。 図１３は、従来のＷｉ−Ｆｉにおけるクライアント端末認証方法の一つであるＥＡＰ−ＴＬＳについて説明するための図である。 図１４は、従来のクライアント端末認証方法について説明するための図である。

以下に、開示するクライアント端末認証システムおよびクライアント端末認証方法の実施形態を図面に基づいて詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。また、各実施形態は適宜組み合わせることができる。

（従来の無線ＬＡＮを用いた通信システムにおけるクライアント端末認証）
図１０は、従来の一般的な無線ＬＡＮを用いた通信システムの構成の一例を示す概略図である。図１０に示すように、一般的な無線ＬＡＮでは、アクセスポイント（ＡＰ）が認証処理を実行し、無線ＬＡＮスイッチ等の他のデバイスがＡＰの管理やハンドオーバーを実行する構成となっている。ＡＰはたとえば、認証処理のほか、ＶＬＡＮ（Virtual Local Area Network）の割当や通信フローの暗号化・復号化、ＣＳＭＡ／ＣＡ（Carrier Sense Multiple Access/Collision Avoidance）等の処理を実行する。また、無線ＬＡＮスイッチ等のデバイスにおいて、ネットワークの負荷分散やハンドオーバー等の処理を行う。

図１１は、従来のＩＥＥＥ８０２．１ｘ認証について説明するための図である（非特許文献１参照）。従来の無線クライアントの認証手法の一例として、図１１を参照してＩＥＥＥ８０２．１ｘでの認証について説明する。ＩＥＥＥ８０２．１ｘにおける認証処理では、認証されていない未認証クライアントからの通信フローをネットワーク中に流さないようＡＰが制御を実行する。

図１１の例では、複数のクライアントがそれぞれＡＰを介してネットワークに接続される。ネットワークには認証サーバも接続されている。クライアントから認証要求が送信されると、認証要求はまずアクセスポイントにより受信される。アクセスポイントは受信した認証要求をそのままネットワークに流さず、いったん終端させる。そして、アクセスポイントは、Radius等のプロトコルを使って認証データを認証サーバに転送する。この方式では、アクセスポイントがクライアントが認証済みか否か、認証に成功したか失敗したか等の情報を把握できる。また、アクセスポイントが、認証要求以外の通信フローをネットワークに転送するか否かを判定できる。

図１２は、従来のＷｉ−Ｆｉにおけるクライアント端末認証方法の種類について説明するための図である。図１２に示す認証方式のうち、特にセキュリティレベルが高いとされている方式がＥＡＰ−ＴＬＳ（Extensible Authentication Protocol − Transport Level Security）である。ＥＡＰ−ＴＬＳについて図１３を参照し説明する。図１３は、従来のＷｉ−Ｆｉにおけるクライアント端末認証方法の一つであるＥＡＰ−ＴＬＳについて説明するための図である（非特許文献１参照）。

ＥＡＰ−ＴＬＳでは、クライアントと認証サーバの双方がそれぞれ、クライアント証明書とサーバ証明書を取得して使用する。クライアント証明書およびサーバ証明書は、認証局（ＣＡ：Certificate Authority）が発行する。クライアント証明書およびサーバ証明書は、ユーザ名、有効期限等の情報とＣＡの電子署名を含む。また、クライアント証明書およびサーバ証明書は、ユーザだけでなく利用機器を特定する。

ＥＡＰ−ＴＬＳの認証を用いる際は、まず、クライアントは認証局にクライアント証明書の発行を要求し（発行リクエスト）、認証局がクライアント証明書を発行する。同様に、認証サーバは認証局にサーバ証明書の発行を要求し（発行リクエスト）、認証局がサーバ証明書を発行する。そして、クライアントと認証サーバがそれぞれクライアント証明書およびサーバ証明書を持った状態となる。そして、通信の際には、証明書を交換して電子署名を公開鍵で復号化し双方の認証を行う。なお、認証処理は上述のとおり、アクセスポイントで通信を終端して、クライアント側とサーバ側では異なるプロトコルを用いて実行する。

（従来方式の課題）
図１４は、従来のクライアント端末認証方法について説明するための図である。従来の認証方式には以下のような課題がある。まず、アクセスポイントがクライアントからの認証要求を終端して処理を行う点である。この場合、高いレベルのセキュリティを実現するためにはアクセスポイントにセキュリティ機構を導入することが考えられる。しかし、アクセスポイントは数が多く、すべてのアクセスポイントにセキュリティ機構を導入するとコストが高い。

また、ＥＡＰ−ＴＬＳのように認証サーバを用いる場合も、認証データはいったんアクセスポイントで終端され、認証データ（証明書）をそのままルータを超えて転送することができない。そのため、ルータにあわせて複数の認証サーバを設置することになり、やはりコストが高くなる。

（実施形態）
上記に鑑みて、実施形態にかかるクライアント端末認証システム１は、２段階の認証処理を用いる。具体的には、実施形態にかかるクライアント端末認証システム１は、認証処理とアドレス割当処理との双方を実行するサーバを一つ配置するのではなく、認証サーバとアドレス割当サーバとを別個に配置する。また、認証サーバをアドレス割当サーバよりもネットワーク上の上流に配置して、認証処理を集約的に実行させる。

図１は、実施形態にかかるクライアント端末認証システム１の構成の一例を示す概略図である。図１に示すクライアント端末認証システム１は、認証サーバ１１０とＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１２０とを備える。

認証サーバ１１０は、クライアント端末から送信されるクライアント証明書を用いて認証処理を実行する。たとえば、認証サーバ１１０は、クライアント端末からクライアント証明書を受信すると、クライアント証明書に含まれる電子署名を公開鍵を用いて復号する。これによって認証サーバ１１０はクライアント証明書の真正すなわちクライアント端末が正当なクライアント端末であるか否かを判定する。認証サーバ１１０は、正当なクライアント端末であると判定した場合、クライアント端末と認証サーバ１１０との間に接続される中継装置たとえばエッジルータ（Edge-R）に対してクライアント端末からの通信フローを経路づけるための指示を送信する。

ＤＨＣＰサーバ１２０は、クライアント端末からのアドレス割当要求を受信してクライアント端末のアドレス認証を実行するアドレス割当サーバである。ＤＨＣＰサーバ１２０は、ネットワーク中で認証サーバ１１０よりも下流すなわちネットワーク末端近くに配置される。いいかえれば、ＤＨＣＰサーバ１２０は、ネットワーク中で認証サーバ１１０よりもクライアント端末がアクセスするアクセスポイントの近くに配置される。

ＤＨＣＰサーバ１２０は、ネットワークにアクセスしようとするクライアント端末からのアドレス割当要求を受信する。アドレス割当要求に応じて、ＤＨＣＰサーバ１２０は簡易認証処理を実行して認証に成功すると、クライアント端末にＩＰアドレスを割り当てる。以後、クライアント端末は、割り当てられたＩＰアドレスを用いてネットワークにアクセスする。

図１の例では、認証サーバ１１０はエッジルータ１３０（Edge-R：第１の中継装置）およびコアルータ１４０（Core-R：第２の中継装置）、スイッチ１５０を介してアクセスポイント１６０Ａ，１６０Ｂ，１６０Ｃと接続される。コアルータ１４０はゲートウェイ（ＧＷ）１７０を介してインターネット１８０と接続する。クライアント端末１９０は、たとえばアクセスポイント１６０Ａを介してネットワークにアクセスする。

クライアント端末１９０は、無線通信（Ｗｉ−Ｆｉ等）によりアクセスポイント１６０Ａに対してＩＰアドレスの割当を要求するアドレス割当要求を送信する。クライアント端末１９０は、アドレス割当要求に応じてＩＰアドレスが割り当てられると、当該ＩＰアドレスを使用して認証サーバ１１０にクライアント証明書を送信する。クライアント証明書に基づく認証が成功すると、クライアント端末１９０は、認証サーバ１１０から送信されるアクセス許可通知を受信する。以後、クライアント端末１９０は、予め割り当てられているｖＣＰＥ（virtual Customer Premises Equipment）にアクセスして通信を実行することができる。

このように、本実施形態では、クライアント端末１９０が認証サーバ１１０による認証を受ける前からＩＰアドレスを用いてネットワークにアクセスできるようにしている。ただし、不正なアクセスを防止するために、ＤＨＣＰサーバ１２０が簡易認証を実行する。ここで、ＤＨＣＰサーバ１２０が実行する簡易認証について特に限定せず、ネットワークに要求されるセキュリティのレベルに応じて認証レベルを設定すればよい。たとえば、ＤＨＣＰサーバ１２０は、回線認証と同様に、発信者ＩＤと回線認証ＩＤを取得し、登録されたユーザの発信者ＩＤが取得された場合のみＩＰアドレスを発行するように設定してもよい。また、発信者ＩＤのほかに、5tuple、ＳＩＭ、トンネルＩＤ等を用いて簡易認証を実現してもよい。

（実施形態に係るクライアント端末認証処理の流れの一例）
図２は、実施形態にかかるクライアント端末認証方法の流れの一例を示すフローチャートである。まず、クライアント端末１９０がアクセスポイント１６０Ａを介してアドレス割当要求を送信することで処理が開始する。アドレス割当要求は、アクセスポイント１６０Ａからスイッチ１５０およびエッジルータ１３０を介してＤＨＣＰサーバ１２０に送信される。ＤＨＣＰサーバ１２０は簡易認証を実行する（ステップＳ２０１）。ＤＨＣＰサーバ１２０における簡易認証が成功すると（ステップＳ２０２、ＹＥＳ）、ＤＨＣＰサーバ１２０はＩＰアドレスをクライアント端末１９０に割り当てる（ステップＳ２０３）。

他方、簡易認証が失敗すると（ステップＳ２０２、ＮＯ）、ＤＨＣＰサーバ１２０はＩＰアドレスの割当は実行せず、クライアント端末１９０のアクセスを拒否する拒否応答をクライアント端末１９０に送信する（ステップＳ２０８）。

認証が成功してＩＰアドレスが割り当てられたクライアント端末１９０は次に、予め取得しているクライアント証明書を認証サーバ１１０に送信する。認証サーバ１１０は受信したクライアント証明書に基づく認証処理を実行する（ステップＳ２０４）。認証に成功すると（ステップＳ２０５、Ｙｅｓ）、認証サーバ１１０は、クライアント端末１９０に予め割り当てられているｖＣＰＥをクライアント端末１９０が利用できるよう、通信フローを制御する装置に対して、クライアント端末１９０の認証が成功した旨を通知する。通知に応じて、該当する装置が通信フローの制御処理を実行し、クライアント端末とｖＣＰＥとの間の通信経路（トンネル）を確立する（ステップＳ２０６）。以後、クライアント端末１９０は、確立された通信経路を介してｖＣＰＥにアクセスし、ｖＣＰＥを通じて他のインターネットサービスプロバイダ（ＩＳＰ）によるサービスを利用する（ステップＳ２０７）。

他方、クライアント証明書に基づく認証処理が失敗した場合（ステップＳ２０５、ＮＯ）、認証サーバ１１０は、クライアント端末１９０のアクセスを拒否する拒否応答をクライアント端末に送信する（ステップＳ２０８）。これで、クライアント端末認証処理は終了する。

なお、図１の例では、スイッチおよびエッジルータ１３０がＤＨＣＰサーバ１２０とアクセスポイント１６０Ａとの間に配置されているが、これらの構成要素の数や配置についてはネットワークの設計に応じて調整してよい。

（クライアント端末認証処理の詳細例）
図３乃至図８は、実施形態にかかるクライアント端末認証処理の流れを説明するための第１乃至第６の図である。図３乃至図８を参照して、さらにクライアント端末認証処理について説明する。なお、図３乃至図８の例では、ＤＨＣＰサーバ１２０はエッジルータ１３０と併せて参照符号１２０で表示する。

図３は、クライアント端末認証処理の具体的な流れの一例を概略的に示す。図３に示すように、まずクライアント端末１９０がアドレス割当要求（「ＩＰアドレス割当要求」）をＤＨＣＰサーバ１２０にあてて送信する（図３の（１））。これに対して、ＩＰアドレスが割り当てられてクライアント端末１９０に送信される（図３の（２））。たとえば、ＩＰアドレスとしてprivate IPv6のアドレスが割り当てられる。

次に、クライアント端末１９０は割り当てられたＩＰアドレスを使用して認証サーバ１１０にあててクライアント証明書を送信する（図３の（３））。このときの通信態様としては、たとえばＳＳＬ通信を利用してＨＴＴＰＳ（Hypertext Transfer Protocol Secure）を行う。このように、ＳＳＬ通信を利用することで、第三者がクライアント証明書の内容等の認証情報を不正に取得することを防止できる。

クライアント証明書を受信した認証サーバ１１０は、クライアント証明書を用いた認証処理を実行する。クライアント証明書を用いた認証処理は、通常のＥＡＰ−ＴＬＳにおける公開鍵を用いた処理等でよい。認証に成功すると、認証サーバ１１０は、ＳＯＡＰ等のプロトコルを用いてクライアント証明書による認証に成功した旨をフロー制御装置に通知する（図３の（４））。

図３において、通信フローを制御する装置（フロー制御装置）はたとえばＰＣＲＦ（Policy and Charging Rules Function）である。フロー制御装置は、認証サーバ１１０からの通知に基づき、クライアント端末１９０に予め割り当てられているｖＣＰＥを特定する。フロー制御装置は、たとえば、図示しないデータベース等に格納されたユーザ情報を参照して、クライアント端末に割り当てられたｖＣＰＥを特定する。そして、フロー制御装置は、ｖＣＰＥに接続されるエッジルータ等の中継装置に対して、クライアント端末１９０からの通信フローを特定したｖＣＰＥに経路づけるよう指示する（図３の（５））。このとき、フロー制御装置は、リアルタイム制御を実現するため、Gx等の通信インタフェースを使用すればよい。フロー制御装置からの指示を受信したエッジルータ等の中継装置は、クライアント端末１９０と特定されたｖＣＰＥとの間に通信経路を確立するよう制御を実行する（図３の（６））。

図４は、図３の（１）、（２）の流れを示す図である。図４に示すように、クライアント端末１９０とエッジルータとの間にはレイヤー２ネットワークが形成される。エッジルータは仮想スイッチ（vSW）に接続されており、エッジルータから仮想スイッチを介して仮想ＣＰＥ（vCPE）を利用できる構成である。また、仮想ＣＰＥはＩＳＰ等のサービスに接続される。

図４に示すように、クライアント端末１９０からアドレス割当要求がエッジルータ（ＤＨＣＰサーバ１２０）にあてて送信される。アドレス割当要求に応じてＩＰアドレスがＤＨＣＰサーバ１２０からクライアント端末１９０に送信され、クライアント端末１９０はＩＰアドレスを取得する。ＩＰアドレスを取得するための通信は、レイヤー２ネットワークにおいて実行される。

図５は、図３の（３）、（４）、（５）の流れを示す図である。図５に示すように、ＩＰアドレスを取得したクライアント端末１９０は次に、クライアント証明書を用いた認証を受けるため、認証要求（すなわちクライアント証明書を用いた認証の要求）を認証サーバ１１０あてに送信する（図５の（３））。認証サーバ１１０は、認証要求を受信して、クライアント証明書を認証する。認証が成功すると、認証サーバ１１０は、認証が成功したクライアント端末のユーザを識別する情報をＰＣＲＦ（フロー制御装置）に通知する（図５の（４））。また、認証サーバ１１０は、認証が成功した旨をクライアント端末１９０に通知する（図５の（５））。すなわち、認証サーバ１１０はネットワークへのアクセスを許可する旨をクライアント端末１９０に通知する。そして、ＰＣＲＦは、認証サーバ１１０から受信したユーザの情報に基づき、当該ユーザに割り当てられたｖＣＰＥを特定する。そして、ＰＣＲＦは、当該ユーザすなわちクライアント端末１９０からの通信フローが特定したｖＣＰＥに経路づけられるよう、ネットワーク中の中継装置にステアリング指示を送信する（図５の（６））。たとえば、ＰＣＲＦは、ｖＣＰＥに接続されるエッジルータ等にステアリング指示を送信する。

図６乃至図８は、図３の（５）から（６）の流れを示す図である。図５までの処理によって、クライアント端末１９０の認証が成功して、クライアント端末１９０とｖＣＰＥとのステアリングが指示される。これにより、クライアント端末１９０は、ネットワークにアクセスしてｖＣＰＥへアクセスすることができる（図６の（７））。

そして、クライアント端末１９０とｖＣＰＥとの間でレイヤー２トンネルプロトコル（Ｌ２ＴＰ：Layer 2 Tunneling Protocol）トンネルが確立される（図７の（８））。そして、クライアント端末１９０は、確立されたＬ２ＴＰトンネルを使用してＩＳＰ等が提供するサービスを利用することができる（図８の（９））。

（ＤＨＣＰサーバによる簡易認証）
固定通信回線における回線認証時には、ユーザがホームゲートウェイ（ＨＧＷ）等からＩＰエッジを介してＮＡＣＦ（Network Attachment Control Functions）サーバに接続要求フレームを送信する。ＮＡＣＦサーバは、送信される情報に含まれる発信者ＩＤと回線認証ＩＤに基づく認証を行う。ＮＡＣＦサーバは、回線認証に成功した場合、ホームゲートウェイ（ＨＧＷ）にＩＰアドレスを割り振る。

本実施形態のＤＨＣＰサーバ１２０は、回線認証時のＮＡＣＦサーバの動作と同様に、発信者ＩＤと回線認証ＩＤに基づく認証処理を実行するように設定しておけばよい。たとえば、認証成功と判断する条件として、発信者ＩＤのみを登録ユーザの発信者ＩＤを用いて回線認証ＩＤは制限しないように設定する等すればよい。

（実施形態の効果）
上記のように、実施形態にかかるクライアント端末認証システムは、ネットワークに配置され、無線通信により当該ネットワークに接続するクライアント端末からのアドレス割当要求を受信してアドレス認証を実行し、アドレス認証に成功した場合、クライアント端末にアドレスを送信するアドレス割当サーバと、ネットワーク中、少なくともアドレス割当サーバより上流に配置され、アドレスを割り当てられたクライアント端末が送信する証明書を受信して当該証明書の認証を実行し、証明書の認証に成功した場合、クライアント端末によるネットワークへのアクセスを許可する認証サーバと、を備える。

このため、実施形態のクライアント端末認証システムは、アドレス割当サーバがアドレス認証を実行することで、不正なクライアント端末がネットワークに通信フローを送ることを防止することができる。また、実施形態のクライアント端末認証システムは、アドレス認証に成功したクライアント端末の証明書に基づく認証をさらに実行することで、アドレス認証だけ実行する場合と比較してネットワークのセキュリティを向上させることができる。このため、実施形態のクライアント端末認証システムは、無線回線を利用した情報通信において高いセキュリティを実現することができる。

このため、固定通信と無線通信（Ｗｉ−Ｆｉ）とを融合したサービスを実現する場合であっても、高いセキュリティレベルを実現することができる。たとえば、Ｗｉ−Ｆｉからホームネットワークにアクセスしてビデオを視聴したり、冷蔵庫の中身を確認したり、風呂のお湯を入れたりする場合に、回線認証と同様のセキュリティレベルを実現することができる。

また、認証サーバをネットワーク上流に配置することで、認証機構を集約して公衆Ｗｉ−Ｆｉ網実現にかかるコストを抑制できる。と同時に、ネットワーク末端のアドレス割当サーバにおいても簡易認証を行うことにより、ネットワーク末端から認証サーバまでの経路内において悪意ある第三者の攻撃を受けることを防止できる。

さらに、実施形態のクライアント端末認証システムにおいては、認証サーバをアドレス割当サーバよりも上流に配置しているため、アドレス割当サーバと認証サーバとをネットワーク上の同じ位置に配置する場合と比較して、認証サーバを集約的に配置することができる。

また、実施形態のクライアント端末認証システムは、ネットワークの末端に配置され、アドレス割当サーバと接続される第１の中継装置をさらに備え、第１の中継装置は、クライアント端末から送信されアドレス認証を要求するアドレス認証要求を自装置において終端する。このため、不正なクライアント端末からアドレス認証要求が送信された場合は、第１の中継装置より上流のネットワーク内に当該アドレス認証要求が流れることがない。このため、不正なクライアント端末からのアクセスをブロックすることができる。

また、実施形態のクライアント端末認証システムは、アドレス割当サーバと認証サーバとの間であって、第１の中継装置よりネットワークの上流に配置される第２の中継装置をさらに備える。つまり、実施形態のクライアント端末認証システムでは、複数の中継装置によって接続される多様な装置からの証明書を一括して上流の認証サーバで認証することができ、認証サーバの数を減じて、システムの配置、維持管理のコストを減じることができる。

また、実施形態のクライアント端末認証システムは、認証サーバからの指示に基づき、クライアント端末からの通信フローの送信先を指定するステアリング指示を第１の中継装置に送信するフロー制御装置をさらに備え、認証サーバは、証明書の認証に成功した場合、クライアント端末のユーザ識別情報をフロー制御装置に送信し、フロー制御装置は、認証サーバから送信されるユーザ識別情報に基づき、ステアリング指示を送信する。このため、実施形態のクライアント端末認証システムは、アドレス割当サーバと認証サーバによる２段階認証を経て認証されたクライアント端末を、適切にステアリングすることができる。

また、実施形態のクライアント端末認証システムにおいて、フロー制御装置は、ユーザ識別情報に含まれるクライアント端末に割り当てられた仮想ＣＰＥ（Customer Premises Equipment）の情報を参照し、クライアント端末と当該仮想ＣＰＥとの間に通信経路を確立するよう指示するステアリング指示を、第１の中継装置に送信する。このため、実施形態のクライアント端末認証システムは、クライアント端末を適切にステアリングすることができる。

また、実施形態のクライアント端末認証システムにおいて、第１の中継装置は、ネットワーク中に複数設けられ、アドレス割当サーバは、第１の中継装置各々に一つ設けられ、認証サーバは、複数のアドレス割当サーバによりアドレスを割り当てられる複数のクライアント端末の証明書の認証を実行する。このため、実施形態のクライアント端末認証システムにおいては、認証サーバの機能を集約してサーバの設置、維持にかかるコストを減じることができる。また、アドレス割当サーバによって、ネットワークの末端において不正なクライアント端末のアクセスを効果的に抑制することができる。

また、実施形態のクライアント端末認証システムにおいては、アドレス割当サーバが第一段階の認証を実行してＩＰアドレスを払い出し、その後ネットワーク上流に位置する認証サーバがクライアント証明書による認証を実行する。このため、回線認証を実行する既存のＮＡＣＦサーバに実施形態のアドレス割当サーバの機能を持たせて、固定回線における認証処理とＷｉ−Ｆｉ等の無線回線における認証処理とを統合して同じサーバに有線無線の認証処理を実行させることができる。このため、固定通信と無線通信の認証機構を同一にして設備を共用することもでき、低コストで高いセキュリティレベルの通信システムを実現することができる。

また、同一の認証サーバをすべてのアクセスポイントからのアクセスについて使用することで、アクセスポイントがいずれかに関わらず固定回線の場合と同様のログイン情報でアクセスすることが可能となる。

（プログラム）
図９は、開示の技術に係るクライアント端末認証プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。図９に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブ１０８０と、ネットワークインタフェース１０７０とを有する。コンピュータ１０００の各部はバス１１００によって接続される。

メモリ１０１０は、図９に例示するように、ＲＯＭ１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。

ここで、図９に例示するように、ハードディスクドライブ１０８０は、例えば、ＯＳ１０８１、アプリケーションプログラム１０８２、プログラムモジュール１０８３、プログラムデータ１０８４を記憶する。すなわち、開示の実施の形態に係るクライアント端末認証プログラムは、コンピュータによって実行される指令が記述されたプログラムモジュール１０８３として、例えばハードディスクドライブ１０８０に記憶される。

また、クライアント端末認証プログラムによる情報処理に用いられるデータは、プログラムデータ１０８４として、例えばハードディスクドライブ１０８０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０８０に記憶されたプログラムモジュール１０８３やプログラムデータ１０８４を必要に応じてＲＡＭ１０１２に読み出し、各種の手順を実行する。

なお、クライアント端末認証プログラムに係るプログラムモジュール１０８３やプログラムデータ１０８４は、ハードディスクドライブ１０８０に記憶される場合に限られない。例えば、プログラムモジュール１０８３やプログラムデータ１０８４は、着脱可能な記憶媒体に記憶されてもよい。この場合、ＣＰＵ１０２０は、ディスクドライブなどの着脱可能な記憶媒体を介してデータを読み出す。また、同様に、クライアント端末認証プログラムに係るプログラムモジュール１０８３やプログラムデータ１０８４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。この場合、ＣＰＵ１０２０は、ネットワークインタフェース１０７０を介して他のコンピュータにアクセスすることで各種データを読み出す。

［その他］
なお、本実施形態で説明したクライアント端末認証プログラムは、インターネット等のネットワークを介して配布することができる。また、ファイル監視周期算出プログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読取可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

なお、本実施形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

上記の実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１１０ 認証サーバ
１２０ ＤＨＣＰサーバ（アドレス割当サーバ）
１３０ エッジルータ（第１の中継装置）
１４０ コアルータ（第２の中継装置）
１５０ スイッチ
１６０Ａ，１６０Ｂ，１６０Ｃ アクセスポイント（ＡＰ）
１７０ ゲートウェイ（ＧＷ）
１８０ インターネット
１９０ クライアント端末

Claims (3)

1. ネットワークに配置され、無線通信により当該ネットワークに接続するクライアント端末からのアドレス割当要求を受信してアドレス認証を実行し、アドレス認証に成功した場合、前記クライアント端末にアドレスを送信するアドレス割当サーバと、
   前記ネットワーク中前記クライアント端末がアクセスするアクセスポイントから少なくとも前記アドレス割当サーバより遠い位置に配置され、前記アドレスを割り当てられた前記クライアント端末が送信する証明書を受信して当該証明書の認証を実行し、前記証明書の認証に成功した場合、前記クライアント端末による予め当該クライアント端末に割り当てられるｖＣＰＥ（virtual Customer Premises Equipment）へのアクセスを許可するために、前記クライアント端末のユーザ識別情報をフロー制御装置に送信する認証サーバと、
   前記ネットワークの末端に配置され、前記アドレス割当サーバと接続され、前記クライアント端末から送信されるアドレス認証を要求するアドレス認証要求を自装置において終端する第１の中継装置と、
   前記認証サーバから送信される前記ユーザ識別情報に含まれる前記クライアント端末に割り当てられた前記ｖＣＰＥの情報を参照し、前記クライアント端末と当該ｖＣＰＥとの間に通信経路を確立するよう指示するステアリング指示を前記第１の中継装置に送信するフロー制御装置と、
   を備える無線通信におけるクライアント端末認証システム。
2. 前記アドレス割当サーバと前記認証サーバとの間であって、前記第１の中継装置より前記ネットワーク中前記アクセスポイントから遠い位置に配置される第２の中継装置をさらに備えることを特徴とする請求項１に記載の無線通信におけるクライアント端末認証システム。
3. 前記第１の中継装置は、前記ネットワーク中に複数設けられ、
   前記アドレス割当サーバは、前記第１の中継装置各々に一つ設けられ、
   前記認証サーバは、前記複数のアドレス割当サーバによりアドレスを割り当てられる複数のクライアント端末の証明書の認証を実行することを特徴とする請求項１又は２に記載の無線通信におけるクライアント端末認証システム。

Images