JP7430397B2 - Ｗｉｐｓセンサ、無線通信システム、無線侵入防止方法及び無線侵入防止プログラム - Google Patents

Description

本発明は、主として、ＷＩＰＳセンサに関する。ＷＩＰＳとは、無線侵入防止システム（Ｗｉｒｅｌｅｓｓ Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）の略称である。

無線ネットワークのセキュリティを向上させるために、ＷＩＰＳセンサが用いられることがある。ＷＩＰＳセンサは、保安に違反して無線アクセスポイントと通信している端末を検知し、その通信を阻止する。

従来は、ＷＩＰＳセンサが違反端末に成り代わって、接続終了の要求を意味する通信フレームを無線アクセスポイントへ送信することで、無線アクセスポイントに当該端末に対する接続を遮断させることができた。このような通信フレームとしては、管理フレームと呼ばれる、認証解除フレーム（Ｄｅａｕｔｈｅｎｔｉｃａｔｉｏｎ）又は連動解除フレーム（Ｄｉｓａｓｓｏｃｉａｔｉｏｎ）が用いられる。

しかし、近年新しく登場したＩＥＥＥ８０２．１１ｗ規格においては、無線アクセスポイントと無線通信端末との通信において、管理フレームが共有キー方式の暗号化によって保護される。従って、認証解除フレーム又は連動解除フレームを送信する従来の方法は、新規格において使用することができない。なお、ＩＥＥＥ８０２．１１ｗ規格は、従来は暗号および認証の対象外であった管理フレームにもセキュリティ（暗号化）を施す通信規格である。

この点は特許文献１も指摘するところであり、これを解決するために以下の構成を提案している。即ち、特許文献１のＷＩＰＳセンサは、違反端末が無線アクセスポイントに接続したことを検知すると、違反端末のＭＡＣアドレスを自センサに設定した上で、違反端末に成り代わって、無線アクセスポイントに新規接続要求を送信する。無線アクセスポイントは、ＷＩＰＳセンサからの新規接続要求に応じて、当該ＭＡＣアドレスに関する既存の接続を切断し、通信フレームの暗号化のための新たな共有キーを割り当てて、ＷＩＰＳセンサとの通信を開始する。この結果、無線アクセスポイントにおいては実質的に、違反端末のＭＡＣアドレスに対して新たな共有キーが設定されることになる。この結果、無線アクセスポイントと違反端末との間で行っている接続を遮断させることができる。

特表２０１８－５１１２８２号公報

上記特許文献１の構成は、違反端末の通信を阻止するために、正規の無線アクセスポイントが切断処理及び再認証を行わなければならない。従って、正規の無線アクセスポイントの処理負荷を軽減する観点から改善の余地が残されていた。

本発明は以上の事情に鑑みてなされたものであり、その目的は、無線アクセスポイントの処理負荷の増加を抑制しつつ不正端末の侵入を防止することにある。

課題を解決するための手段及び効果

本発明の解決しようとする課題は以上の如くであり、次にこの課題を解決するための手段とその効果を説明する。

本発明の第１の観点によれば、以下の構成のＷＩＰＳセンサが提供される。即ち、このＷＩＰＳセンサは、無線監視部と、無線送信部と、を備える。前記無線監視部は、無線通信環境を監視する。前記無線送信部は、不正端末が正規の無線アクセスポイントに対して無線接続を試みるために送信したプローブ要求を前記無線監視部が検知した後に、前記無線アクセスポイントとの接続が不能であると前記不正端末に誤認させるための誤認誘導プローブ応答を送信する。前記誤認誘導プローブ応答は、前記無線アクセスポイントの動作及び機能のうち少なくとも何れかがあたかも前記不正端末の要求を満たさないかのように偽装したものである。

これにより、簡単な構成で、無線ネットワークに対する不正端末の侵入を防止することができる。また、無線アクセスポイントとの無線接続の試行を取り止めるように不正端末を誘導する形で無線侵入を防止するので、無線アクセスポイントの処理負荷の増大を抑制することができる。

前記のＷＩＰＳセンサにおいては、前記無線送信部が送信する前記誤認誘導プローブ応答においては、ＳＳＩＤ及びＲＳＮＥのうち少なくとも一方について、欠落しているか、又は事実と異なる情報が記述されていることが好ましい。

これにより、通信に関する重要な情報に関して不正端末に誤認させることができる。従って、無線ネットワークに対する不正端末の侵入を確実に防止できる。

前記の誤認誘導プローブ応答において、正規の前記無線アクセスポイントのＳＳＩＤと異なるＳＳＩＤを記述することができる。あるいは、ＳＳＩＤの情報を実質的に欠落させることができる。

これにより、無線アクセスポイントのＳＳＩＤが、不正端末が期待するＳＳＩＤに対して不一致であると、不正端末に誤認させることができる。

前記の誤認誘導プローブ応答のＲＳＮＥにおいて、認証鍵管理方式及び暗号化方式のうち少なくとも何れかについて、予約値を記述することができる。あるいは、正規の前記無線アクセスポイントが対応しない認証鍵管理方式を、認証鍵管理方式として記述することができる。また、正規の前記無線アクセスポイントが対応しない暗号化方式を、暗号化方式として記述することができる。

これにより、無線アクセスポイントが対応可能な認証鍵管理方式又は暗号化方式が不正端末にとって未知である、あるいは自身の期待に一致しないと、不正端末に誤認させることができる。

本発明の第２の観点によれば、前記ＷＩＰＳセンサと、前記無線アクセスポイントと、を備える無線通信システムが提供される。

本発明の第３の観点によれば、以下の無線侵入防止方法が提供される。即ち、この無線侵入防止方法は、監視ステップと、誤認誘導ステップと、を備える。前記監視ステップでは、無線通信環境を監視する。前記誤認誘導ステップでは、不正端末が正規の無線アクセスポイントに対して無線接続を試みるために送信したプローブ要求を前記監視ステップで検知した場合に、前記無線アクセスポイントとの接続が不能であると当該不正端末に誤認させるための誤認誘導プローブ応答を送信する。前記誤認誘導プローブ応答は、前記無線アクセスポイントの動作及び機能のうち少なくとも何れかがあたかも前記不正端末の要求を満たさないかのように偽装したものである。

本発明の第４の観点によれば、以下の構成の無線通信阻止プログラムが提供される。即ち、この無線通信阻止プログラムは、無線通信部を備えるコンピュータに、監視ステップと、誤認誘導ステップと、を実行させる。前記監視ステップでは、無線通信環境を監視する。前記誤認誘導ステップでは、不正端末が正規の無線アクセスポイントに対して無線接続を試みるために送信したプローブ要求を前記監視ステップで検知した場合に、前記無線アクセスポイントとの接続が不能であると当該不正端末に誤認させるための誤認誘導プローブ応答を送信する。前記誤認誘導プローブ応答は、前記無線アクセスポイントの動作及び機能のうち少なくとも何れかがあたかも前記不正端末の要求を満たさないかのように偽装したものである。

本発明の一実施形態に係る無線通信システムの構成を示す模式図。 プローブ応答のフレームのうち、ＳＳＩＤ ｅｌｅｍｅｎｔを説明する図。 プローブ応答のフレームのうち、ＲＳＮＥを説明する図。 ＷＩＰＳセンサにおいて行われる処理を示すフローチャート。

次に、図面を参照して本発明の実施の形態を説明する。図１は、無線通信システム１００の構成を示す模式図である。

図１に示す無線通信システム１００は、無線アクセスポイント５０及び複数の無線通信端末６０から構成されている。無線アクセスポイント５０は、ＩＥＥＥ８０２．１１に規定するインフラストラクチャモードでのアクセスポイントとして機能する。

無線アクセスポイント５０は、自身を中心とした無線ネットワークを形成する。無線アクセスポイント５０は、無線通信可能エリアに存在する無線通信端末６０のそれぞれとの間で、無線信号（電波）による通信を行う。この無線ネットワークは、例えば、無線ＬＡＮのために用いられる。以下では、アクセスポイントをＡＰと略称で呼ぶ場合がある。

無線通信端末６０は、いわゆる無線通信ステーションである。図１のＳＴＡとは、ステーションの略称である。無線通信端末６０は、例えば、スマートフォン、タブレット端末、又はパーソナルコンピュータ等で構成される。無線通信端末６０は、例えば、端末に無線通信モジュールを備えることで実現することができる。

無線通信システム１００は、ＷＩＰＳセンサ１を含んで構成される。ＷＩＰＳセンサ１は、機器情報記憶部１１と、ＡＰ通信設定記憶部１２と、無線監視部１３と、無線送信部１４と、を備える。無線監視部１３及び無線送信部１４は、無線通信部として機能する。

具体的に説明すると、ＷＩＰＳセンサ１には、公知のコンピュータが内蔵されている。このコンピュータは、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備える。ＲＯＭ及びＲＡＭは、無線通信システム１００に関する各種の情報を記憶する記憶部を構成している。記憶部は、不揮発性メモリ及び揮発性メモリからなる。不揮発性メモリには、本発明の無線侵入防止方法を実現するための無線侵入防止プログラム等が記憶されている。上記のハードウェアとソフトウェアの協働により、当該コンピュータを、機器情報記憶部１１、ＡＰ通信設定記憶部１２、無線監視部１３、及び無線送信部１４として動作させることができる。

上記の不揮発性メモリには、無線アクセスポイント５０のＳＳＩＤ、ＡＰ識別番号（例えばＭＡＣアドレス）等、上記のプログラムを動作させるために必要な情報が記憶される。ＳＳＩＤとは、Ｓｅｒｖｉｃｅ Ｓｅｔ ＩＤｅｎｔｉｆｉｅｒの略称である。ＭＡＣとは、Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌの略称である。揮発性メモリには、主として、プログラムを動作させるための一時的なデータが記憶される。

機器情報記憶部１１は、正規の無線アクセスポイント５０及び正規の無線通信端末６０を特定するための識別情報を記憶することができる。この識別情報としては、例えばＭＡＣアドレスを使用することができるが、これに限定されない。

ＡＰ通信設定記憶部１２は、無線アクセスポイント５０が使用するチャネル及び暗号設定等に関する情報を記憶することができる。この情報は、例えば、後述の誤認誘導プローブ応答の生成のために使用される。

無線監視部１３は、所定の無線通信規格に準拠して、周囲の無線環境を監視する。無線通信規格としては、例えばＩＥＥＥ８０２．１１ａｃ等が考えられるが、これに限定されない。無線監視部１３はパケットキャプチャとして構成されており、ネットワーク上で実際に無線通信されるパケットを常時受信している。

無線監視部１３は、取得した無線通信パケットを実質的にリアルタイムで解析する。これにより、事前に登録されていない無線通信端末が行う不正な通信を高速で検知することができる。以下では、無線アクセスポイント５０及び無線通信端末６０のネットワークに対して、事前の許可がなく無線通信しようとする端末を不正端末６０ｘと呼ぶことがある。

無線送信部１４は、不正端末６０ｘに対して、誤認誘導プローブ応答を生成して送信する。誤認誘導プローブ応答は特殊なプローブ応答であり、その詳細については後述する。本来、プローブ応答は無線アクセスポイント５０が送信すべきものであるが、ＷＩＰＳセンサ１が誤認誘導プローブ応答を送信して不正端末６０ｘに受信させることにより、不正端末６０ｘが無線アクセスポイント５０との通信を取り止めることを促すことができる。通信は、上述の無線通信規格に準拠した方式で行われる。

次に、本実施形態の無線アクセスポイント５０と正規の無線通信端末６０とが行う無線通信について簡単に説明する。

無線アクセスポイント５０及び無線通信端末６０は、通常の手順で接続処理を実行した後、互いに電波を送受信して無線通信を行う。接続処理は、周知の無線ＬＡＮ関連規格であるＩＥＥＥ８０２．１１に従って行われる。接続の手順の一例について簡単に説明すると、無線通信端末６０は、周囲に存在する無線通信機器を知るために、プローブ要求と呼ばれるＭＡＣフレームを周囲に無線送信する。これを受信した無線アクセスポイント５０は、返信として、プローブ応答と呼ばれるＭＡＣフレームを無線送信する。

詳細は後述するが、プローブ応答には、ＳＳＩＤ及びセキュリティ方式の情報が記述されている。無線通信端末６０は、無線アクセスポイント５０から受信したプローブ応答に基づいて、自身が無線アクセスポイントに接続可能か否かを判断する。

その後、無線通信端末６０と無線アクセスポイント５０との間で、認証及びアソシエーションのためのＭＡＣフレームのやり取りが無線によって行われ、接続が確立される。

次に、無線監視部１３及び無線送信部１４の動作について詳細に説明する。

無線アクセスポイント５０及び無線通信端末６０との間で無線通信ネットワークが構成されている場合において、不正端末６０ｘが無線アクセスポイント５０に対して通信を試みる場合を考える。不正端末６０ｘは外部から持ち込まれる場合もあり、その動作は未知であるが、正規の無線通信端末６０と同様に動作することが一応想定される。

正規の無線アクセスポイント５０は、不正端末６０ｘが無線アクセスポイント５０にプローブ要求を送信した場合、通常どおりのプローブ応答を送信する。

ＷＩＰＳセンサ１は、不正端末６０ｘが無線アクセスポイント５０にプローブ要求を送信したことを検知する。具体的には、ＷＩＰＳセンサ１において、無線監視部１３が取得した無線パケットが、無線アクセスポイント５０へのプローブ要求であるか否かが判定される。この判定の結果、当該パケットがプローブ要求である場合には、このパケットに含まれる要求元の識別情報（例えば、ＭＡＣアドレス）が、正規の無線通信端末６０のリストに含まれているか否かを判定する。このリストは、ＷＩＰＳセンサ１に対する事前の登録作業によって、機器情報記憶部１１に記憶される。プローブ要求の要求元の識別情報が登録リストに含まれていない場合、当該プローブ要求が不正端末６０ｘからのものであると判定することができる。

不正端末６０ｘからのプローブ要求の送信が検知された場合、無線送信部１４は、不正端末６０ｘが正規の無線アクセスポイント５０に対して期待している情報とは異なるプローブ応答を送信する。このプローブ応答は、無線アクセスポイント５０の動作及び機能のうち少なくとも何れかがあたかも不正端末６０ｘの要求を満たさないかのように偽装し、不正端末６０ｘに誤認させることを意図して、ＷＩＰＳセンサ１が生成するものである。以下、このプローブ応答を誤認誘導プローブ応答と呼ぶことがある。

不正端末６０ｘは、無線アクセスポイント５０からの通常のプローブ応答と、ＷＩＰＳセンサ１からのプローブ応答（誤認誘導プローブ応答）と、を受信する。誤認誘導プローブ応答を受信した不正端末６０ｘは、無線アクセスポイント５０に対して自身が接続できないと判断し、無線アクセスポイント５０への接続を自発的に取り止めることが期待される。以上のようにして、不正端末６０ｘと無線アクセスポイント５０との通信を実質的に阻止することができる。

ＷＩＰＳセンサ１が不正端末６０ｘに送信する誤認誘導プローブ応答については様々に考えられる。以下、複数の例のそれぞれを説明する。

［１］プローブ応答のフレームのうち、ＳＳＩＤ ｅｌｅｍｅｎｔを、無線アクセスポイント５０を一意に示すものでない架空のものに書き換えることによって、誤認誘導プローブ応答を生成することができる。ＳＳＩＤは周知であるため詳細には説明しないが、無線アクセスポイント５０を一意に識別するために予め定められている識別子（可変長の文字列）である。

ＳＳＩＤ ｅｌｅｍｅｎｔの仕様は、図２のように定義されている。図２に示すように、プローブ応答のフレームは、Ｔｉｍｅｓｔａｍｐ等、各種のフレーム要素から構成される。ＳＳＩＤ ｅｌｅｍｅｎｔは、フレーム要素の一種である。ＳＳＩＤ ｅｌｅｍｅｎｔは、「Ｅｌｅｍｅｎｔ ＩＤ」フィールド、「Ｌｅｎｇｔｈ」フィールド、「ＳＳＩＤ」フィールドから構成されている。

「Ｅｌｅｍｅｎｔ ＩＤ」には、当該フレーム要素がＳＳＩＤ ｅｌｅｍｅｎｔであることを示す固有の値が記述される。「Ｌｅｎｇｔｈ」には、当該フィールドの後に続くフィールドである「ＳＳＩＤ」フィールドのデータ長が記述される。「ＳＳＩＤ」フィールドには、通常、無線アクセスポイント５０のＳＳＩＤの文字列が記述される。

無線アクセスポイント５０が送信する通常のプローブ応答では、「ＳＳＩＤ」フィールドに、当該無線アクセスポイント５０に設定されているＳＳＩＤが記述される。一方、誤認誘導プローブ応答では、「ＳＳＩＤ」フィールドに、当該無線アクセスポイント５０に設定されているＳＳＩＤとは異なる文字列が記述される。誤認誘導プローブ応答のＳＳＩＤとしては、例えばＷＩＰＳセンサ１が生成したランダムな文字列を使用することができる。

図１には無線アクセスポイント５０が１つだけの場合が示されているが、無線アクセスポイント５０が複数設置される場合も考えられる。影響の拡大を避けるため、誤認誘導プローブ応答のＳＳＩＤとしては、何れの無線アクセスポイント５０のＳＳＩＤとも一致しないことが好ましい。

［２］プローブ応答のＳＳＩＤ ｅｌｅｍｅｎｔにおいて、「Ｌｅｎｇｔｈ」に０を設定し、「ＳＳＩＤ」フィールドに空文字列を設定しても良い。

［３］プローブ応答からＳＳＩＤ ｅｌｅｍｅｎｔ自体を取り除いても良い。

例として挙げた［１］、［２］、［３］の何れの場合でも、この誤認誘導プローブ応答を受信した不正端末６０ｘは、自身が接続先候補として記憶しているＳＳＩＤと、誤認誘導プローブ応答に含まれるＳＳＩＤと、を比較する。ＳＳＩＤが一致しないので、不正端末６０ｘは、無線アクセスポイント５０に対する接続の試みを中止することになる。

［４］プローブ応答のフレームのうち、ＲＳＮＥの認証鍵管理方式リストフィールドを、無線アクセスポイント５０の機能を反映しない架空のもの（例えば、「予約値」を意味するゼロ）に書き換えることによって、誤認誘導プローブ応答を生成することができる。ＲＳＮＥとは、ロバストセキュリティネットワーク要素（Ｒｏｂｕｓｔ Ｓｅｃｕｒｉｔｙ Ｎｅｔｗｏｒｋ Ｅｌｅｍｅｎｔ）の略称である。

ＲＳＮＥの仕様は、図３のように定義されている。ＲＳＮＥは、上述のＳＳＩＤ ｅｌｅｍｅｎｔと同様に、フレーム要素の一種である。ＲＳＮＥは、「Ｅｌｅｍｅｎｔ ＩＤ」フィールド、「Ｌｅｎｇｔｈ」フィールド、データ暗号化方式リストフィールド、認証鍵管理方式リストフィールド、管理フレーム暗号化方式フィールドを含んで構成されている。

「Ｅｌｅｍｅｎｔ ＩＤ」には、当該フレーム要素がＲＳＮＥであることを示す固有の値が記述される。「Ｌｅｎｇｔｈ」には、当該フィールドの後に続く各フィールドのデータ長の合計値が記述される。データ暗号化方式リストフィールドには、通常、無線アクセスポイント５０が対応可能なデータ暗号化方式（Ｐａｉｒｗｉｓｅ Ｃｉｐｈｅｒ Ｓｕｉｔｅ）を示す番号のリストが記述される。認証鍵管理方式リストフィールドには、通常、無線アクセスポイント５０が対応可能な認証及び鍵管理の方式（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｓｕｉｔｅ）を示す番号のリストが記述される。管理フレーム暗号化方式フィールドには、通常、無線アクセスポイント５０において行う管理フレームを保護するために使用する暗号化方式（Ｇｒｏｕｐ Ｍａｎａｇｅｍｅｎｔ Ｃｉｐｈｅｒ Ｓｕｉｔｅ）を示す番号が記述される。

無線アクセスポイント５０が送信する通常のプローブ応答では、認証鍵管理方式リストフィールドに、当該無線アクセスポイント５０が実際に対応可能な認証鍵管理方式の番号が記述されるが、一方、誤認誘導プローブ応答では、認証鍵管理方式リストフィールドに、当該無線アクセスポイント５０が実際に対応可能な認証鍵方式ではない情報が記述される。予約値を意味するゼロを当該フィールドに記述することに代えて、不正端末６０ｘが期待していないと考えられる他の認証鍵管理方式を示す値を記述しても良い。

［５］フレーム本体のＲＳＮＥにおいて、データ暗号化方式リストフィールドに、予約値を示すゼロを記述しても良い。予約値（ゼロ）に代えて、不正端末６０ｘが期待していないと考えられる他の暗号化方式を示す値を記述しても良い。

［６］フレーム本体のＲＳＮＥにおいて、管理フレーム暗号化方式フィールドに、予約値を示すゼロを記述しても良い。予約値（ゼロ）に代えて、不正端末６０ｘが期待していないと考えられる他の暗号化方式を示す値を記述しても良い。

例として挙げた［４］、［５］、［６］の何れの場合でも、この誤認誘導プローブ応答を受信した不正端末６０ｘは、自身が未知である、又は要求と異なる認証鍵管理方式又は暗号化方式を無線アクセスポイント５０が採用していると判定する。この結果、不正端末６０ｘは、無線アクセスポイント５０に対する接続の試みを中止することになる。

ＷＩＰＳセンサ１が誤認誘導プローブ応答を不正端末６０ｘに送信するタイミングは、不正端末６０ｘがプローブ要求を送信したタイミングよりも後であれば任意である。本実施形態では、ＷＩＰＳセンサ１は、不正端末６０ｘからのプローブ要求に対して無線アクセスポイント５０が通常のプローブ応答を不正端末６０ｘに送信するのを待機し、その直後に誤認誘導プローブ応答を送信することで、不正端末６０ｘが保持する無線アクセスポイント５０に関する接続のための情報は、当該誤認誘導プローブ応答に含まれる情報（例えばＳＳＩＤ等）に確実に更新される。この結果、不正端末６０ｘは、無線アクセスポイント５０への接続の試みを中止することになり、不正端末６０ｘの通信を阻止する確実性を高めることができる。なお、ＷＩＰＳセンサ１は、不正端末６０ｘからのプローブ要求を検知した後に、無線アクセスポイント５０からプローブ応答が送信されることを待つことなく、その代わりに即座に複数（例えば１０回）の誤認誘導プローブ応答を送信してもよい。これによれば、不正端末６０ｘに対する誤認誘導プローブ応答の到達率を高めることができるとともに、無線アクセスポイント５０がプローブ応答を送信する前後両方のタイミングで、不正端末６０ｘに誤認誘導プローブ応答を受信させることができ、不正端末６０ｘの通信を阻止する確実性を高めることができる。

次に、図４のフローチャートを参照して、ＷＩＰＳセンサ１において行われる処理について説明する。

処理が開始されると、無線監視部１３が、周囲の無線パケットをキャプチャして解析する（ステップＳ１０１、監視ステップ）。次に、機器情報記憶部１１に格納された情報を参照して、取得された無線パケットが、正規の無線通信端末６０からのプローブ要求か、不正端末６０ｘからのプローブ要求であるか否かが判定される（ステップＳ１０２）。

無線パケットが不正端末６０ｘからのプローブ要求であった場合（ステップＳ１０２のＹｅｓ）、ＷＩＰＳセンサ１は、このプローブ要求に対して無線アクセスポイント５０が送信するプローブ応答を無線監視部１３が検知したか否かを判定する（ステップＳ１０３）。一方、無線パケットが不正端末６０ｘからのプローブ要求でなかった場合（ステップＳ１０２のＮｏ）、ステップＳ１０１に戻る。また、ＷＩＰＳセンサ１は、ステップＳ１０３において、無線アクセスポイント５０の送信するプローブ応答を無線監視部１３が検知した場合（ステップＳ１０３のＹｅｓ）、その後直ちに、無線送信部１４が誤認誘導プローブ応答を送信する（ステップＳ１０４、誤認誘導ステップ）。一方、ＷＩＰＳセンサ１は、無線アクセスポイント５０の送信するプローブ応答を無線監視部１３が検知しない場合（ステップＳ１０３のＮｏ）、ステップＳ１０３に戻り、無線アクセスポイント５０のプローブ応答を無線監視部１３が検知するまで待機する。

以上の構成により、不正端末６０ｘの通信を、正規の無線アクセスポイント５０の処理負荷を従来技術と比較して抑制しながら阻止することができる。また、既存の無線アクセスポイント５０及び無線通信端末６０において特別なハードウェア及びソフトウェアを必要とすることなく、ＷＩＰＳセンサ１を後付け的に導入するだけで、不正な通信を防止することができる。

以上に説明したように、本実施形態のＷＩＰＳセンサ１は、無線監視部１３と、無線送信部１４と、を備える。無線監視部１３は、無線通信環境を監視する。無線送信部１４は、不正端末６０ｘが正規のアクセスポイントに対して無線接続を試みるために送信したプローブ要求を無線監視部１３が検知した後に、アクセスポイントとの接続が不能であると不正端末６０ｘに誤認させるための誤認誘導プローブ応答を生成し、これを送信する。

これにより、簡単な構成で、無線ネットワークに対する不正端末６０ｘの侵入を防止することができる。また、無線アクセスポイント５０との無線接続の試行を取り止めるように不正端末６０ｘを誘導する形で無線侵入を防止するので、無線アクセスポイント５０の処理負荷の増大を抑制できる。

また、本実施形態のＷＩＰＳセンサ１において、無線送信部１４が送信する誤認誘導プローブ応答においては、ＳＳＩＤ及びＲＳＮＥのうち少なくとも一方について、欠落しているか、又は事実と異なる情報が記述されている。

これにより、通信に関する重要な情報に関して不正端末６０ｘに誤認させることができるので、無線ネットワークに対する不正端末６０ｘの侵入を確実に防止できる。

また、本実施形態では、ＷＩＰＳセンサ１が送信する誤認誘導プローブ応答において、正規の無線アクセスポイント５０のＳＳＩＤと異なるＳＳＩＤが記述されている。あるいは、誤認誘導プローブ応答において、ＳＳＩＤの情報が実質的に欠落している。

これにより、無線アクセスポイント５０のＳＳＩＤが、不正端末６０ｘが期待するＳＳＩＤに対して不一致であると、不正端末６０ｘに誤認させることができる。

また、本実施形態では、ＷＩＰＳセンサ１が送信する誤認誘導プローブ応答のＲＳＮＥにおいて、認証鍵管理方式又は暗号化方式を示す番号として、予約値が記述されている。あるいは、正規の無線アクセスポイント５０が対応しない暗号化方式又は認証鍵管理方式が、ＲＳＮＥに記述されている。

これにより、無線アクセスポイント５０が対応可能な認証鍵管理方式又は暗号化方式が不正端末６０ｘにとって未知である、あるいは自身の期待に一致しないと、不正端末６０ｘに誤認させることができる。

以上に本発明の好適な実施の形態を説明したが、上記の構成は例えば以下のように変更することができる。

上記の実施形態において、誤認誘導プローブ応答は、無線アクセスポイント５０が不正端末６０ｘに対して送信する通常のプローブ応答をＷＩＰＳセンサ１の無線監視部１３が受信し、その内容を参照してその一部を書き換える形で生成されている。これにより、ＷＩＰＳセンサ１における処理が簡単になる。ただし、通常のプローブ応答の内容を参照せずに、誤認誘導プローブ応答をＷＩＰＳセンサ１側で生成することもできる。

ＷＩＰＳセンサ１が、無線アクセスポイント５０と例えば無線により通信する機能を有しても良い。例えば、ＷＩＰＳセンサ１が、無線アクセスポイント５０との通信により、機器情報記憶部１１及びＡＰ通信設定記憶部１２の内容（特に、正規の無線通信端末６０のリスト）を取得するように構成することができる。この場合、ＷＩＰＳセンサ１への設定作業の手間を軽減することができる。

また、ＷＩＰＳセンサ１は、誤認誘導プローブ応答を１回だけ送信しても良いし、適宜の時間間隔をあけて複数回送信しても良い。

本発明は、産業上広く普及している、既存の無線アクセスポイント及び無線通信端末に、特別なハードウェア及びソフトウェアを必要とすることなく、不正な通信を防止する無線通信システムに適用できる。例えば、無線侵入防止システム等に有用である。

１ ＷＩＰＳセンサ
１３ 無線監視部
１４ 無線送信部
５０ 無線アクセスポイント
６０ 無線通信端末
６０ｘ 不正端末
１００ 無線通信システム

Claims (10)

1. 無線通信環境を監視する無線監視部と、
   不正端末が正規の無線アクセスポイントに対して無線接続を試みるために送信したプローブ要求を前記無線監視部が検知した後に、前記無線アクセスポイントとの接続が不能であると前記不正端末に誤認させるための誤認誘導プローブ応答を送信する無線送信部と、
   を備え、
   前記誤認誘導プローブ応答は、前記無線アクセスポイントの動作及び機能のうち少なくとも何れかがあたかも前記不正端末の要求を満たさないかのように偽装したものであることを特徴とするＷＩＰＳセンサ。
2. 請求項１に記載のＷＩＰＳセンサであって、
   前記無線送信部が送信する前記誤認誘導プローブ応答においては、ＳＳＩＤ及びＲＳＮＥのうち少なくとも一方について、欠落しているか、又は事実と異なる情報が記述されていることを特徴とするＷＩＰＳセンサ。
3. 請求項２に記載のＷＩＰＳセンサであって、
   前記誤認誘導プローブ応答において、正規の前記無線アクセスポイントのＳＳＩＤと異なるＳＳＩＤが記述されていることを特徴とするＷＩＰＳセンサ。
4. 請求項２に記載のＷＩＰＳセンサであって、
   前記誤認誘導プローブ応答において、ＳＳＩＤの情報が実質的に欠落していることを特徴とするＷＩＰＳセンサ。
5. 請求項２に記載のＷＩＰＳセンサであって、
   前記誤認誘導プローブ応答のＲＳＮＥにおいて、認証鍵管理方式及び暗号化方式のうち少なくとも何れかについて、予約値が記述されていることを特徴とするＷＩＰＳセンサ。
6. 請求項２に記載のＷＩＰＳセンサであって、
   前記誤認誘導プローブ応答のＲＳＮＥにおいて、正規の前記無線アクセスポイントが対応しない認証鍵管理方式が、認証鍵管理方式として記述されていることを特徴とするＷＩＰＳセンサ。
7. 請求項２に記載のＷＩＰＳセンサであって、
   前記誤認誘導プローブ応答のＲＳＮＥにおいて、正規の前記無線アクセスポイントが対応しない暗号化方式が、暗号化方式として記述されていることを特徴とするＷＩＰＳセンサ。
8. 請求項１から７までの何れか一項に記載のＷＩＰＳセンサと、
   前記無線アクセスポイントと、
   を備えることを特徴とする無線通信システム。
9. 無線通信環境を監視する監視ステップと、
   不正端末が正規の無線アクセスポイントに対して無線接続を試みるために送信したプローブ要求を前記監視ステップで検知した場合に、前記無線アクセスポイントとの接続が不能であると当該不正端末に誤認させるための誤認誘導プローブ応答を送信する誤認誘導ステップと、
   を備え、
   前記誤認誘導プローブ応答は、前記無線アクセスポイントの動作及び機能のうち少なくとも何れかがあたかも前記不正端末の要求を満たさないかのように偽装したものであることを特徴とする無線侵入防止方法。
10. 無線通信部を備えるコンピュータに、
    無線通信環境を監視する監視ステップと、
    不正端末が正規の無線アクセスポイントに対して無線接続を試みるために送信したプローブ要求を前記監視ステップで検知した場合に、前記無線アクセスポイントとの接続が不能であると当該不正端末に誤認させるための誤認誘導プローブ応答を送信する誤認誘導ステップと、
    を実行させ、
    前記誤認誘導プローブ応答は、前記無線アクセスポイントの動作及び機能のうち少なくとも何れかがあたかも前記不正端末の要求を満たさないかのように偽装したものであることを特徴とする無線侵入防止プログラム。

Images