JP6546846B2 - 認証サーバ、アクセスポイント及びプログラム - Google Patents

Description

本発明は、通信装置がアクセスポイントを介して無線によりコンテンツを取得する際の無線区間の暗号化技術に関する。

非特許文献１は、無線ＬＡＮ（ローカル・エリア・ネットワーク）における認証及び暗号鍵の配布手順を開示している。図１は、非特許文献１に記載の認証及び暗号鍵配布のシーケンス図である。なお、図１において、通信装置である端末とアクセスポイントとの間の通信は無線により行われる。まず、端末はＳ１で、アクセスポイントに認証要求を送信する。端末から認証要求を受けたアクセスポイントは、Ｓ２で端末に識別子を要求する。アクセスポイントから識別子の要求を受けた端末は、Ｓ３で自装置の識別子を送信し、アクセスポイントは、この識別子を認証サーバに送信する。認証サーバは、アクセスポイントを使用できる端末の識別子と、その認証情報を保持しており、Ｓ４で、端末と認証サーバとの間で認証処理が行われる。認証が成功すると、認証サーバは、Ｓ５で、暗号鍵をアクセスポイントに送信し、アクセスポイントは、Ｓ６で、この暗号鍵を端末に送信する。これにより、端末とアクセスポイントは暗号鍵を共有する。その後、端末は、アクセスポイントを介して、例えば、インターネット上の通信装置と通信を開始するが、その際、端末とアクセスポイント間においてはこの暗号鍵により暗号化が行われ、通信内容が秘匿される。

特許文献１は、コンテンツ名に基づき、コンテンツの配信要求メッセージのルーティングやコンテンツの配信を行うネットワークの１つである、コンテンツ・セントリック・ネットワーク（ＣＣＮ：Ｃｏｎｔｅｎｔ Ｃｅｎｔｒｉｃ Ｎｅｔｗｏｒｋｉｎｇ）を開示している。また、非特許文献２は、コンテンツを保持・配信するＣＣＮのサーバにおいて、コンテンツを暗号化し、暗号化したコンテンツを配信する構成を開示している。

特開２００９−２７７２３４号公報

ＲＦＣ３５８０ Ｊ． Ｋｕｒｉｈａｒａ，ｅｔ ａｌ．，"Ａｎ Ｅｎｃｒｙｐｔｉｏｎ・Ｂａｓｅｄ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｆｒａｍｅｗｏｒｋ ｆｏｒ Ｉｎｆｏｒｍａｔｉｏｎ・Ｃｅｎｔｒｉｃ Ｎｅｔｗｏｒｋｉｎｇ"，ｉｎ Ｐｒｏｃ． ｏｆ ＩＦＩＰ Ｎｅｔｗｏｒｋｉｎｇ，２０１５年

非特許文献１の記載の構成は、端末がアクセスポイントに接続した後、端末と認証サーバ間での認証処理と暗号鍵の配布を行うため、端末がコンテンツを取得するまでに時間がかかる。非特許文献２の構成は、配信サーバにおいてコンテンツの暗号化を行うものであり、配信サーバがコンテンツの暗号化を行うか否かを制御する。したがって、配信サーバにおいて暗号化されていないコンテンツの場合、無線区間においてコンテンツを秘匿できない。

本発明は、通信装置がアクセスポイントを介して無線によりコンテンツを取得する際に効率よく無線区間の暗号化のための暗号鍵を配布できる認証サーバ、アクセスポイント及びプログラムを提供するものである。

本発明の一側面によると、認証サーバは、第１無線規格に従う複数のアクセスポイントについて、設置位置を示す情報を保持する保持手段と、前記第１無線規格とは異なる第２無線規格に従うネットワークを介して通信装置の認証を行い、認証が成功すると当該通信装置と共有する暗号鍵を生成する認証手段と、前記通信装置が要求するコンテンツを示す情報を受信する受信手段と、前記通信装置の位置情報を取得する取得手段と、前記通信装置の位置情報に基づき、前記複数のアクセスポイントから１つ以上のアクセスポイントを選択する選択手段と、前記通信装置が要求するコンテンツを前記選択手段により選択されたアクセスポイントが取得して、前記通信装置に暗号化して送信できる様に、前記選択手段により選択されたアクセスポイントに、前記通信装置の識別子と、前記生成した暗号鍵と、前記通信装置が要求するコンテンツを示す情報と、を送信する送信手段と、を備えていることを特徴とする。

本発明によると、通信装置がアクセスポイントを介して無線によりコンテンツを取得する際に効率よく無線区間の暗号化のための暗号鍵を配布することができる。

非特許文献１によるシーケンス図。 一実施形態によるシステム構成を示す図。 一実施形態によるコンテンツ配信のシーケンス図。 一実施形態による、コンテンツを取得させるアクセスポイントの説明図。 一実施形態によるコンテンツ配信のシーケンス図。 一実施形態による認証サーバの構成図。 一実施形態によるアクセスポイントの構成図。 一実施形態による端末の構成図。

以下、本発明の例示的な実施形態について図面を参照して説明する。なお、以下の実施形態は例示であり、本発明を実施形態の内容に限定するものではない。また、以下の各図においては、実施形態の説明に必要ではない構成要素については図から省略する。

図２は、本実施形態によるシステム構成図である。端末１は、通信装置であり、移動通信網の無線アクセス網５（以下、単に、無線アクセス網５と呼ぶ。）の基地局に接続する第１インタフェースに加えて、アクセスポイント２に接続するための第２インタフェースを備えている。無線アクセス網５は、例えば、３ＧＰＰ規格に従う移動通信網の無線アクセス部分であり、広範囲なサービスエリアを有し、端末１は、ほぼ常時、無線アクセス網５の図示しない基地局に接続できる様になっている。一方、第２インタフェースは、例えば、無線ＬＡＮや、ミリ波による短距離通信といった、第１インタフェースの無線規格とは異なる規格に従う無線インタフェースである。なお、アクセスポイント２のカバレッジは、無線アクセス網５の基地局のカバレッジより小さい。一方、無線区間における平均的な速度は、通常、第１インタフェースより、第２インタフェースの方が速い。

アクセスポイント２は、パケット網６に接続し、パケット網６には認証サーバ３及び配信サーバ４が接続している。なお、パケット網６は、本実施形態においては、インターネットや、無線アクセス網５を運用している通信事業者のコア・ネットワークの総称である。つまり、例えば、認証サーバ３は、インターネットに接続している形態でも、無線アクセス網５を運用している通信会社のコア・ネットワークのパケット網（ＩＰ網）に接続している形態であっても良い。また、パケット網６は、ＣＣＮであっても、ＣＣＮとＩＰ網の混在であっても良い。いずれにしても、端末１は、無線アクセス網５を介して認証サーバ３にアクセスできる。また、アクセスポイント２は、パケット網６を介して認証サーバ３及び配信サーバ４にアクセスできる。なお、図２においては１つのアクセスポイント２のみを示しているが、実際には、複数のアクセスポイント２が存在する。

認証サーバ３は、設置されているアクセスポイント２について、その設置位置を示す情報と、アクセスポイント２と通信するために必要な情報を保持している。さらに、認証サーバ３は、アクセスポイント２を利用できる端末１の情報、又は、端末１を使用するユーザ情報についての保持と、それらの認証情報を保持しており、任意の認証手順により端末１の認証を行う。なお、配信サーバ４は、配信するコンテンツを保持しており、要求されたコンテンツの配信を行う。

図３は、本実施形態によるコンテンツ配信処理のフローチャートである。端末１は、コンテンツを要求する場合、Ｓ１０で、無線アクセス網５を介して認証サーバ３に接続し認証処理を行う。認証が成功すると、端末１は、Ｓ１１で、認証サーバ３に、取得するコンテンツを示す情報、本例では、コンテンツ名を送信する。さらに、認証サーバ３は、Ｓ１２で、暗号鍵を端末１に配布する。Ｓ１２における暗号鍵の配布は、任意の方法を利用できる。また、認証サーバ３が暗号鍵を決定して端末１に送信する形態のみならず、認証サーバ３と端末１が暗号鍵とは異なる値を交換して、認証サーバ３と端末１が同じ暗号鍵を交換した値から生成する形態であっても良い。いずれにしても、Ｓ１２の処理により、端末１と認証サーバ３は同じ暗号鍵を共有する。その後、認証サーバ３は、Ｓ１３で、アクセスポイント２に端末１が要求したコンテンツ名と、Ｓ１２において端末１と共有した暗号鍵と、端末１の識別子を送信する。なお、複数あるアクセスポイント２のどのアクセスポイント２にコンテンツ名、暗号鍵及び識別子を送信するかについては後述する。アクセスポイント２は、Ｓ１３で受信したコンテンツ名に対応するコンテンツを配信サーバ４に要求し、配信サーバ４は、Ｓ１５で、要求されたコンテンツをアクセスポイント２に送信する。アクセスポイント２は、受信したコンテンツを保持しておく。

その後、Ｓ１６で、端末１が、アクセスポイント２のカバレッジに進入すると、端末１は、自装置の識別子をアクセスポイント２に送信する。アクセスポイント２は、端末１の識別子に基づき、保持したコンテンツのうち、端末１に送信すべきコンテンツを判定し、Ｓ１７で、端末１にコンテンツを送信する。なお、このとき、アクセスポイント２は、送信するコンテンツをＳ１３で取得した暗号鍵で暗号化する。なお、本実施形態では、端末１は、Ｓ１６において識別子を送信したが、取得したいコンテンツ名を送信しても良い。

続いて、Ｓ１３において、認証サーバ３がコンテンツ名、暗号鍵及び識別子を送信するアクセスポイント２をどの様に選択するかについて説明する。図３のシーケンス図には明示していないが、認証サーバ３は、端末１の位置を把握している。例えば、認証サーバ３は、端末１が接続している無線アクセス網５の基地局情報に基づき端末１の位置を把握する。或いは、端末１が、Ｓ１０における認証処理の終了後等に認証サーバ３に自装置の位置情報を送信する構成であっても良い。

例えば、認証サーバ３が、端末１と接続している基地局に基づき端末１の位置を判定する構成の場合、当該基地局のカバレッジ内にある総てのアクセスポイント２にコンテンツ名、暗号鍵及び識別子を送信する構成とすることができる。さらに、端末１が接続している基地局における端末１からの受信電力及びその方向から、無線アクセス網５において、当該基地局のカバレッジ内のある範囲に端末１の位置を絞り込める場合には、絞り込んだ領域内の総てのアクセスポイント２にコンテンツ名、暗号鍵及び識別子を送信する構成とすることができる。

さらに、端末１がＧＰＳ等に基づき取得した位置情報を認証サーバ３に送信する構成においては、端末１の近傍にあるアクセスポイント２にコンテンツ名、暗号鍵及び識別子を送信する構成とすることができる。例えば、図４に示す様に、端末１の近傍に、円に示す範囲をカバレッジとする４つのアクセスポイント２１〜２４がある場合、認証サーバ３は、アクセスポイント２１〜２４のそれぞれにコンテンツ名、暗号鍵及び識別子を送信する構成とすることができる。さらに、端末１が、認証サーバ３に連続して位置情報を送信し、これにより、図４に示す様に、端末１の移動方向も判定できる場合には、移動方向に存在するアクセスポイント２３及び２４にコンテンツ名、暗号鍵及び識別子を送信する構成とすることができる。

なお、図３のシーケンスは、認証サーバ３がコンテンツ名、暗号鍵及び識別子を送信したアクセスポイント２のカバレッジ内に端末１が進入した場合の処理であるが、端末１が、それ以外のアクセスポイント２のカバレッジ内に進入する場合もあり得る。この場合のシーケンスを図５に示す。図５のＳ１０〜Ｓ１２は、図３のＳ１０〜Ｓ１２と同じであり、再度の説明は省略する。端末１はアクセスポイント２のカバレッジに進入したことにより、Ｓ２１でアクセスポイント２に識別子を送信する。しかしながら、本例において、アクセスポイント２は、認証サーバ３から、当該識別子や、当該識別子に対応するコンテンツ名及び暗号鍵を受信していない。したがって、アクセスポイント２は、Ｓ２２で識別子を認証サーバ３に送信する。認証サーバ３は、Ｓ２２で受信した識別子が、Ｓ１０の認証処理で認証成功した端末に対応するものであると、Ｓ２３で、少なくともコンテンツ名及び暗号鍵をアクセスポイント２に送信する。その後、アクセスポイント２は、配信サーバ４からＳ２３で受信したコンテンツ名に対応するコンテンツを取得して端末１に送信する。

なお、例えば、端末１が取得したコンテンツと同じコンテンツを他の端末が要求した場合、認証サーバ３は、端末１に対する暗号鍵と同じ暗号鍵を当該他の端末にも配布する構成とすることができる。この場合、当該他の端末は、アクセスポイント２が保持しているコンテンツを復号でき、よって、端末１に送信したコンテンツをアクセスポイント２に保持させることで、配信サーバ４からその都度コンテンツを取得する必要がなくなる。

図６は、本実施形態による認証サーバ３の構成図である。情報保持部３１は、複数のアクセスポイント２について、設置位置を示す情報と、これらアクセスポイントと通信するための情報を保持している。さらに、情報保持部３１は、複数のアクセスポイント２それぞれについて、それらを利用できる端末１を示す情報、例えば、端末１の識別子と、これら端末１の認証情報も保持している。認証処理部３２は、認証情報に基づき端末１の認証を行い、認証が成功すると端末と共有する暗号鍵を生成する。端末位置情報取得部３３は、端末１の位置情報を取得する。なお、この位置情報は、端末１が送信する形態であっても、無線アクセス網５が判定して認証サーバ３に通知する形態であっても良い。また、端末位置情報取得部３３は、時間的に異なる複数の位置情報に基づき端末１の移動方向を判定することもできる。アクセスポイント選択部３４は、端末の位置情報に基づき、複数のアクセスポイント２から１つ以上のアクセスポイント２を選択する。なお、アクセスポイント選択部３４は、アクセスポイント２の選択に端末１の移動方向を考慮することができる。

受信部３５は、端末１から、当該端末１が要求するコンテンツを示す情報を受信する。コンテンツを示す情報は、コンテンツ名のみならず、例えば、コンテンツを保持している配信サーバ４を示す情報や、配信サーバ４と通信するための情報を含み得る。送信部３６は、選択したアクセスポイント２に、端末１の識別子と、端末１と共有した暗号鍵と、端末１が要求するコンテンツを示す情報と、を送信する。なお、受信部３５がアクセスポイント２から認証処理部３２による認証が成功した端末１の識別子を受信すると、送信部３６は、当該アクセスポイント２に、当該端末１と共有した暗号鍵と、当該端末１が要求するコンテンツを示す情報を少なくとも送信する。

図７は、本実施形態によるアクセスポイント２の構成図である。ネットワークインタフェース２１は、パケット網６と接続するためのインタフェースであり、無線インタフェース２５は、端末１と接続するための無線インタフェースである。コンテンツ取得部２２は、認証サーバ３から、認証した端末１の識別子と、当該端末１が要求するコンテンツを示す情報と、暗号鍵と、を受信すると、当該コンテンツを配信サーバ４から取得する。なお、ＣＣＮの様な、パケット網６内の転送装置がコンテンツをキャッシュできる構成においては、結果として、転送装置から取得する場合もあり得る。したがって、一般的には、コンテンツ取得部２２はパケット網６からコンテンツを取得する。より詳細には、コンテンツ取得部２２はパケット網６を構成する通信装置や、パケット網６に接続する通信装置からコンテンツを取得する。コンテンツ保持部２３は、コンテンツ取得部２２が取得したコンテンツを保持する。コンテンツ送信部２４は、無線インタフェース２５を介して端末１から端末１の識別子を受信すると、無線インタフェース２５を介して、認証サーバから受信した当該端末１に対する暗号鍵で暗号化したコンテンツを当該端末１に送信する。

なお、コンテンツ取得部２２は、受信した端末１の識別子を認証サーバ３から受信していないと、当該識別子を認証サーバ３に送信して、認証サーバ３から、まず、当該端末１に対する暗号鍵と、当該端末１が要求しているコンテンツを示す情報を取得する。

図８は、本実施形態による端末１の構成図である。第１無線インタフェース１１は、無線アクセス網５と接続するためのインタフェースであり、第２無線インタフェース１４は、アクセスポイント２と接続するためのインタフェースである。なお、第１無線インタフェース１１と、第２無線インタフェース１４とは異なる無線技術に基づく無線インタフェースである。第１通信部１２は、第１無線インタフェース１１を介して認証サーバ３と通信し、認証サーバ３との通信により認証サーバ３と共有する暗号鍵を取得し、取得するコンテンツを示す情報を認証サーバ３に送信する。また、第２通信部１３は、第２無線インタフェース１４で通信できるアクセスポイント２のカバレッジに進入すると、当該アクセスポイント２と通信して当該アクセスポイント２から認証サーバ３と共有した暗号鍵で暗号化されたコンテンツを受信する。

なお、本発明による認証サーバ３、アクセスポイント２及び端末１は、コンピュータを上記認証サーバ３、アクセスポイント２及び端末１としてそれぞれ動作させるプログラムにより実現することができる。これらコンピュータプログラムは、コンピュータが読み取り可能な記憶媒体に記憶されて、又は、ネットワーク経由で配布が可能なものである。

３１：情報保持部、３２：認証処理部、３５：受信部、３３：端末位置情報取得部、３４：アクセスポイント選択部、３６：送信部

Claims (8)

1. 第１無線規格に従う複数のアクセスポイントについて、設置位置を示す情報を保持する保持手段と、
   前記第１無線規格とは異なる第２無線規格に従うネットワークを介して通信装置の認証を行い、認証が成功すると当該通信装置と共有する暗号鍵を生成する認証手段と、
   前記通信装置が要求するコンテンツを示す情報を受信する受信手段と、
   前記通信装置の位置情報を取得する取得手段と、
   前記通信装置の位置情報に基づき、前記複数のアクセスポイントから１つ以上のアクセスポイントを選択する選択手段と、
   前記通信装置が要求するコンテンツを前記選択手段により選択されたアクセスポイントが取得して、前記通信装置に暗号化して送信できる様に、前記選択手段により選択されたアクセスポイントに、前記通信装置の識別子と、前記生成した暗号鍵と、前記通信装置が要求するコンテンツを示す情報と、を送信する送信手段と、
   を備えていることを特徴とする認証サーバ。
2. 前記通信装置の時間的に異なる複数の位置情報から、前記通信装置の移動方向を判定する判定手段をさらに備えており、
   前記選択手段は、前記移動方向に基づき、前記複数のアクセスポイントから１つ以上のアクセスポイントを選択することを特徴とする請求項１に記載の認証サーバ。
3. 前記複数のアクセスポイントのうちのアクセスポイントから前記認証手段による認証が成功した通信装置の識別子を受信すると、前記送信手段は、当該アクセスポイントに、当該通信装置と共有した暗号鍵と、当該通信装置が要求するコンテンツを示す情報を送信することを特徴とする請求項１又は２に記載の認証サーバ。
4. 第１無線規格に従い通信装置と無線により通信するアクセスポイントであって、
   認証サーバから、当該認証サーバが、前記第１無線規格とは異なる第２無線規格に従うネットワークを介して認証した通信装置の識別子と、当該通信装置が要求するコンテンツを示す情報と、前記認証の際に前記認証サーバが生成した暗号鍵と、を受信すると、当該コンテンツをネットワークから取得する取得手段と、
   前記通信装置から前記通信装置の識別子を無線により受信すると、前記暗号鍵で暗号化した前記コンテンツを無線により前記通信装置に送信する送信手段と、
   を備えていることを特徴とするアクセスポイント。
5. 前記取得手段が取得したコンテンツを保持する保持手段をさらに備えていることを特徴とする請求項４に記載のアクセスポイント。
6. 前記通信装置から前記通信装置の識別子を無線により受信したときに、前記取得手段が前記認証サーバから前記通信装置の識別子を受信していないと、前記取得手段は、前記通信装置の識別子を前記認証サーバに送信し、前記認証サーバから、前記通信装置の識別子を送信したことの応答として前記通信装置が要求するコンテンツを示す情報と、前記暗号鍵と、を受信すると、前記コンテンツを前記ネットワークから取得し、
   前記送信手段は、前記取得手段が前記ネットワークから取得したコンテンツを前記暗号鍵で暗号化して前記通信装置に送信することを特徴とする請求項４又は５に記載のアクセスポイント。
7. 請求項１から３のいずれか１項に記載の認証サーバとしてコンピュータを機能させることを特徴とするプログラム。
8. 請求項４から６のいずれか１項に記載のアクセスポイントとしてコンピュータを機能させることを特徴とするプログラム。

Images