WO2005111826A1 - 通信システム - Google Patents

通信システム Download PDF

Info

Publication number
WO2005111826A1
WO2005111826A1 PCT/JP2005/008772 JP2005008772W WO2005111826A1 WO 2005111826 A1 WO2005111826 A1 WO 2005111826A1 JP 2005008772 W JP2005008772 W JP 2005008772W WO 2005111826 A1 WO2005111826 A1 WO 2005111826A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
authentication
network
information
secondary terminal
Prior art date
Application number
PCT/JP2005/008772
Other languages
English (en)
French (fr)
Inventor
So Odawara
Takuo Nishiyama
Takayuki Segawa
Manabu Nakamura
Masahiro Matsunaga
Yuji Hashimoto
Mikio Mizutani
Original Assignee
Matsushita Electric Industrial Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co., Ltd. filed Critical Matsushita Electric Industrial Co., Ltd.
Priority to EP05739226A priority Critical patent/EP1752883A4/en
Priority to US11/596,574 priority patent/US20070226490A1/en
Publication of WO2005111826A1 publication Critical patent/WO2005111826A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/54—Store-and-forward switching systems 
    • H04L12/56—Packet switching systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys

Definitions

  • the present invention relates to a communication system, and more particularly, to a communication system in which a communication line for the Internet or the like is mutually used by communication users to increase the use efficiency of the communication line.
  • Patent Document 1 Japanese Patent Application Laid-Open No. 2004-23312
  • An object of the present invention is to limit the use of communication by a second user, and The purpose is to provide a communication system that can use the Internet and other communications universally without requiring capital investment.
  • a first network capable of communicating with an authentication server and a network use terminal installed in each home or the like are connected by a line, and a secondary terminal is connected. Communication with the network using terminal becomes possible using the second network, and when the secondary terminal attempts to use the first network via the network using terminal, the authentication server communicates with the network using terminal. Authenticate both with the secondary terminal.
  • the authentication of the service providing server is performed in addition to the authentication of the network use terminal and the secondary terminal. You may also do.
  • the secondary terminal connects to the server managed by the malicious administrator, and the administrator is informed of the existence of the network-using terminal, resulting in a denial of service (DoS) attack.
  • DoS denial of service
  • the secondary terminal can further communicate with the tertiary terminal, and when the tertiary terminal intends to use the first network, the network use terminal, the secondary terminal, and the tertiary terminal are connected to the authentication server. The authentication may be performed by using.
  • the tertiary terminal can communicate with the quaternary terminal, and the network use terminal, the secondary terminal, the tertiary terminal, and the quaternary terminal can be authenticated. [0011] This makes it possible to further expand the area where the terminal can use the first network.
  • FIG. 1 Schematic diagram of the present invention
  • FIG. 2 is a sequence diagram showing an outline of the present invention.
  • FIG. 3 A diagram illustrating an example of management processing such as billing.
  • FIG. 5 is an overall configuration diagram of a communication system according to Embodiment 1 of the present invention.
  • FIG. 12 is a sequence diagram of overall processing of the communication system.
  • FIG. 13 A diagram exemplifying a process for obtaining agreement on use conditions.
  • FIG. 14 is an overall configuration diagram of a communication system according to Embodiment 2 of the present invention.
  • FIG. 16 is an overall configuration diagram of a communication system according to Embodiment 3 of the present invention.
  • FIG. 20 is a configuration diagram of a form obtained by developing Embodiment 3 of the present invention.
  • FIG. 1 illustrates an overview of the present invention.
  • a network user terminal 101 is installed at the home of user A, and is connected to the Internet 103 via a line 102.
  • the network use terminal 101 is preferably, for example, a router, particularly a router having a wireless LAN function. Also, the network use terminal 101 does not need to be directly connected to the line 102, but is connected to the line 102 via a media converter, a splitter, or another network device (for example, a router / hub). It may be a wireless access point.
  • the line 102 is physically a telephone line metal line or an optical line using an optical fiber. In the case of a telephone line, for example, it is preferable that broadband communication such as ADSL is always possible.
  • the network using terminal 101 has a wireless LAN function. For example, assuming that the communication conforms to the IEEE802.11 standard, communication over several tens of meters is possible. Therefore, the terminal 104 having a wireless function of the user B near the house of the user A and the network using terminal 101 May be able to communicate. Normally, a password (for example, called a “WEP key”) is set in the network using terminal 101, and only a specific terminal can communicate with the network using terminal 101. If 104 exists in an area where communication with the network using terminal 101 is possible, a link is established between the terminal 104 and the network using terminal 101 so that communication is possible. However, in this state, at least the network using terminal 101 performs control so that the terminal 104 cannot use the Internet 103 via the line 102.
  • a password for example, called a “WEP key”
  • the terminal 104 needs to use the Internet 103, first, (1) the terminal 104 transmits the authentication information of the user B (or the terminal 104) to the network using terminal 101. Next, (2) the network using terminal 101 sends the authentication information of the user A (or the network using terminal) and the authentication information of the user B (or the terminal 104) to the authentication server 105 via the line 102 and the Internet 103. Send both. Then, (3) the authentication server 105 authenticates the user A and the user B, and returns a result of the authentication to the network using terminal 101. If the authentication is OK, (4) the Internet terminal 101 permits the terminal 104 to use the Internet 103 via the line 102. In the following, as described in parentheses, the authentication information of user B will be replaced with the authentication information of terminal 104. The authentication information of the user A is used in the sense of the authentication information of the network user terminal 101.
  • FIG. 2 is a sequence diagram showing the above-described event.
  • step S201 a connection is established between user A's network user terminal 101 and user A's ISP, and at least the network user terminal 101 can use the Internet 103 via the line 102. .
  • step S202 when the terminal 104 of the user B enters an area where communication with the network using terminal 101 is possible, a wireless link is established between the terminal 104 and the network using terminal 101. However, it is assumed that the terminal 104 cannot use the Internet 103 via the network using terminal 101 only by establishing the wireless link. If the terminal 104 needs to use the Internet 103, the authentication information of the user B is transmitted from the terminal 104 to the network using terminal 101 in step S203. When the network using terminal 101 receives the authentication information of the user B, in step S204, the authentication information of the user A and the received authentication information of the user B are transmitted from the network using terminal 101 to the authentication server 105. . When the user A and the user B are authenticated in the authentication server 105, management such as charging is performed in step S205.
  • FIG. 3 illustrates management such as billing.
  • the authentication server 105 there are columns of “user identifier”, “use point”, and “provide point”, and information for identifying the user, a point indicating that the line bandwidth is used, Stores a point indicating that others have used the line bandwidth.
  • Fig. 1 and Fig. 2 since user B uses the band of user A's line, for example, user A is added 5 points as a provision point, and user B , 6 points will be added as usage points. The difference between 6 points and 5 points indicates, for example, the profit of the management company such as an authentication server.
  • step S206 as a result of the authentication of user A and user B, the fact that the authentication is OK is reported to the network using terminal.
  • step S207 network using terminal 101 The communication by 104 is relayed to the Internet 103 via the line 102.
  • communication between the terminal 104 and the ISP of the user B becomes possible.
  • a VPN Virtual Private Network
  • terminal 104 and the ISP server of user B Communication with other users is possible (for example, a communication path is established by VPN with User B's ISP mail server or proxy server).
  • step S208 the communication of the user B to the ISP is disconnected in step S209.
  • step S210 the usage status of the line 102 of the terminal 104, for example, the time of using the line 102, the number of communication packets via the line 102, the width of the used bandwidth, and the like are transmitted to the authentication server. Billing management is performed in step S211.
  • FIG. 4 exemplifies a sequence diagram for explaining the authentication steps between the user B and the user A in more detail.
  • public key cryptography is used.
  • User B and user A have a private key and a public key, and their public keys (or public key certificates) are, for example, Is registered in the directory server.
  • the directory server may be the same as the authentication server 105 or may be different.
  • step S401 the terminal 104 of the user B transmits a request for communication via the line 102 to the network using terminal 101 in the house of the user A. Then, in step S402, the network using terminal 101 transmits information requesting the start of authentication to the authentication server. In step S403, the authentication server generates a random number or the like and transmits it to the network using terminal 101 as a challenge. I do. In step S404, the network using terminal 101 transmits a challenge to the terminal 104. The terminal 104 signs the challenge with the secret key of the user B (this will be referred to as sB), and transmits it to the network IJ terminal 101 in step S405.
  • sB secret key of the user B
  • the network use terminal 101 that has received sB signs the challenge with the secret key of user A (this is referred to as sA), and transmits sA and sB to the authentication server 105 in step S406.
  • the authentication server 105 requests the public keys of the users A and B to the directory server in step S407, and receives the replies of the users A and B in step S408.
  • step S409 sA and sB are verified, that is, sA and sB are decrypted with the public key, and it is verified whether the challenge transmitted in step S403 is obtained.
  • step S410 the result of the verification is transmitted to the network using terminal 101.
  • network user terminal 101 is Although described as being connected to one net, it may be a general communication network other than the Internet.
  • the network use terminal 101 and the terminal 104 communicate with each other using a wireless LAN. It may be.
  • the network using terminal may authenticate the authentication server using a public key certificate or the like of the authentication server.
  • FIG. 5 illustrates the overall configuration of the communication system according to Embodiment 1 of the present invention.
  • the communication system according to the present embodiment includes a line 501, a network use terminal 502, a secondary terminal 503, and an authentication server 504.
  • the network using terminal 502 uses the first network.
  • the secondary terminal 503 can communicate with the network using terminal 502 using the second network.
  • An example of the first network is a wide area communication network represented by the Internet or the like, but is not limited thereto.
  • a communication network constructed by a wireless LAN is not limited to a certain power. Note that the first network and the second network may be the same.
  • the authentication server 504 is illustrated as connected to the first network, the authentication server 504 need not have such a configuration. For example, the authentication server 504 can directly communicate with the network use terminal 502. It may be.
  • FIG. 5 shows only one secondary terminal, a plurality of secondary terminals may exist.
  • the line 501 connects the network using terminal 502 to the first network.
  • An example of a line is an optical line using an optical fiber.
  • FIG. 6 illustrates a functional block diagram of the secondary terminal.
  • the secondary terminal 503 has a secondary terminal authentication information transmitting unit 601.
  • Secondary terminal authentication information transmitting unit 601 transmits secondary terminal authentication information to network using terminal 502 using the second network.
  • the “secondary terminal authentication information” is information including information for authenticating itself.
  • Shelf means a secondary terminal. Therefore, the secondary terminal authentication information includes, for example, an identifier for identifying the secondary terminal and a password. Alternatively, it may be a result of signing an identifier for recognizing the secondary terminal and predetermined data with the secret key of the secondary terminal.
  • secondary terminal authentication information transmitting section 601 of the secondary terminal is configured by any of hardware, software, and both hardware and software (program). Is possible. For example, in the case of using a computer, hardware that also configures the CPU, memory, bus, interface, peripheral devices, etc., and software that can be executed on these hardware, as an example of realizing these, I can do it. Therefore, although not shown, the secondary terminal is provided with a network interface and the like for communicating with the second network. If the secondary terminal is a terminal operated by the holder, a user interface is provided.
  • FIG. 7 illustrates a flowchart of the processing of the secondary terminal.
  • the secondary terminal performs the processing of this flowchart when performing communication using the first network, for example.
  • step S 701 it is determined whether the secondary terminal authentication information has been transmitted. This determination can be made, for example, by providing a flag inside the secondary terminal and checking the value of the flag. If it has already been sent, it does nothing and performs communication using the first network. If it has not been transmitted, the process proceeds to step S702, and the secondary terminal authentication information is transmitted. If the above-mentioned flag is provided, the value of the flag indicates “transmitted”.
  • FIG. 8 illustrates a functional block diagram of the network using terminal.
  • the network using terminal 502 includes a secondary terminal authentication information receiving unit 801, a composite authentication information transmitting unit 802, and authentication result information. It has an information receiving unit 803 and a relay unit 804.
  • “Secondary terminal authentication information receiving section” 801 receives the secondary terminal authentication information transmitted from secondary terminal 503. That is, secondary terminal authentication information is received via the second network.
  • the “multiple authentication information transmitting unit” 802 transmits the composite authentication information by the secondary terminal authentication information receiving unit 801.
  • “Composite authentication information” is information including the secondary terminal authentication information received by the secondary terminal authentication information receiving unit 801 and the use terminal authentication information.
  • “Use terminal authentication information” is information for authenticating itself, and “self” means the network use terminal 502. Examples of the terminal authentication information include an identifier for identifying the network terminal 502 and a password. Alternatively, it may include an identifier for identifying the network using terminal 502 and a result of signing predetermined data with the private key of the owner of the network using terminal 502.
  • the composite authentication information is information transmitted to the authentication server 504. Therefore, the composite authentication information is transmitted to the network to which the authentication server 504 is connected.
  • “Authentication result information receiving unit” 803 receives the authentication result information.
  • “Authentication result information” is information returned in response to the transmission of the composite authentication information, and is information indicating a result of authentication based on the composite authentication information. That is, the information includes the result of the authentication based on the secondary terminal authentication information and the result of the authentication based on the used terminal authentication information. As will be explained later, the authentication result information is transmitted to the authentication server 504. Therefore, the authentication result information is received from the network to which the authentication server 504 is connected.
  • the “relay unit” 804 relays the communication of the secondary terminal 503 to the first network based on the authentication result information received by the authentication result information receiving unit 803, so that the first network Is permitted to the secondary terminal 503.
  • “Based on the authentication result information” means that there is some causal relationship between the contents indicated by the authentication result information and the permission. For example, if the authentication result information indicates that the secondary terminal 503 has been authenticated by the secondary terminal authentication information and that the network use terminal 502 has been authenticated by the use terminal authentication information, permission is given. "Permit" means that if a packet transmitted from the secondary terminal 503 is destined for the first network, the packet is transmitted to the first network via the line 501. If the packet received by the first network is destined for the secondary terminal 503, when the packet is transmitted to the secondary terminal 503 via the second network, the packet is relayed.
  • Each unit of the network using terminal according to the present embodiment can be configured by any of hardware, software, and both hardware and software (program).
  • program for example, when using a computer as an example of realizing these, hardware composed of CPU, memory, bus, interface, peripheral devices, etc., and software executable on these hardware Can be. Therefore, although not shown, the network using terminal 502 is provided with a network interface for communicating with the first network and the second network.
  • FIG. 9 illustrates a flowchart of a process performed by the network using terminal.
  • the terminal using the network performs the processing of this flowchart each time secondary terminal authentication information is received from the secondary terminal, for example.
  • the secondary terminal authentication information is received by the secondary terminal authentication information receiving unit 801.
  • use terminal authentication information is obtained. If the terminal authentication information is an identifier and a password, the password stored in the memory or the like is read. When performing a signature or the like, the secret key is read and a signature is generated. In this sense, in the present specification, the concept of acquisition includes the concept of generation.
  • Step S902 is performed, for example, by the composite authentication information transmitting unit 802.
  • step S903 the composite authentication information is transmitted by the composite authentication information transmitting unit 802.
  • step S904 the authentication result information is received by the authentication result information receiving unit 803.
  • step S905 it is determined whether the authentication is OK, that is, whether the secondary terminal 503 and the network using terminal 502 have been authenticated. This determination is made, for example, by the relay unit 804. If the authentication is OK, the relay unit 804 relays the communication of the secondary terminal to the first network. That is, the exchange of the bucket between the first network and the secondary terminal is enabled.
  • FIG. 10 illustrates a functional block diagram of the authentication server.
  • the authentication server 504 uses compound authentication It has an information receiving unit 1001, an authentication unit 1002, and an authentication result return unit 1003.
  • Compound authentication information receiving unit 1001 receives compound authentication information transmitted from network using terminal 502.
  • the “authentication unit” 1002 authenticates the secondary terminal 503 and the network using terminal 502 based on the composite authentication information received by the composite authentication information receiving unit 1001. For example, a table holding terminal identifiers and passwords is provided in the authentication server, and the identifiers and passwords of the secondary terminals and the identifiers and passwords of the network users included in the composite authentication information receiving unit are stored in the table. Judge whether it matches the retained identifier and password. Alternatively, if the composite authentication information includes a signature for predetermined data, it is determined whether the signature is correct.
  • the authentication by the authentication unit may separately authenticate the secondary terminal and the network using terminal.
  • the authentication may be performed on condition that the secondary terminal and the network using terminal are in a specific combination.
  • Authentication result reply unit 1003 returns the result of authentication by authentication unit 1002 as authentication result information.
  • Each unit of the authentication server according to the present embodiment can be configured by any of hardware, software, and both hardware and software (program).
  • hardware consisting of CPU, memory, bus, interface, peripheral devices, etc., and software executable on these hardware be able to. Therefore, although not shown, the authentication server is provided with a network interface for communicating with a network use terminal and, if necessary, a directory server for obtaining a public key and the like.
  • FIG. 11 exemplifies a flowchart for explaining the processing of the authentication server.
  • the authentication server executes the processing of the flowchart in FIG.
  • the composite authentication information is received by the composite authentication information receiving unit.
  • the authentication unit authenticates the secondary terminal and the network using terminal.
  • Step S 1003 In this case, the authentication result returning unit returns the authentication result information.
  • FIG. 12 shows an example of a sequence diagram of the entire processing of the communication system according to the present embodiment.
  • step S1201 secondary terminal authentication information is transmitted from the secondary terminal to the network using terminal.
  • the network using terminal transmits the combined authentication information to the authentication server, that is, information including the secondary terminal authentication information and the using terminal authentication information.
  • step S1203 the authentication result information is transmitted from the authentication server to the network using terminal. Then, based on the authentication result information, the secondary terminal is permitted to use the first network.
  • the authentication server may perform management such as charging.
  • the accounting management may be performed by a server other than the authentication server.
  • the network using terminal transmits information indicating the amount of use of the first network by the secondary terminal to the authentication server or the like. , Billing, etc. are being managed.
  • the network use terminal makes a false application to the authentication server or the like regarding the amount of use of the first network.
  • a network-using terminal periodically sends a secondary terminal a communication volume indicating the amount of use of the first network (for example, usage time, used bandwidth, packet amount, etc.). It may have a traffic report section for reporting information. By doing so, there is a solution that allows to compare the traffic information recorded on the authentication server etc. from the secondary terminal with the traffic information reported by the communication fee reporting section of the network using terminal at a later date. .
  • the secondary terminal obtains the measurement information from the secondary terminal to an authentication server or the like, or obtains the information by transmitting it from the network-using terminal.
  • the transmitted communication amount information may be transmitted.
  • the authentication server, etc. compares the traffic information transmitted from the secondary terminal with the traffic information transmitted by the If the difference in the communication amount information is unacceptable, information to be audited for the network use terminal or the secondary terminal may be displayed to the administrator.
  • the usage conditions of the network 501 or the like may be presented to the secondary terminal that uses the network, and the usage conditions may be negotiated with the secondary terminal.
  • the use condition is, for example, a band of the line 501 used by the secondary terminal, a length of time of use of the line 501, and the like.
  • FIG. 13 illustrates a process of negotiating a use condition.
  • the authentication server authenticates the network-using terminal and the secondary terminal.
  • the usage conditions are presented to the network-using terminal power secondary terminal.
  • the usage conditions are examined by the secondary terminal. For example, it determines whether the usage conditions are suitable for the purpose of using the secondary terminal. If the result of the examination is SOK, the result is sent to the network user terminal, and (4) an application such as charging is made to the network user terminal authentication server or charging server. Assuming that the authentication server also performs accounting processing, (5) execution of accounting and the like is performed.
  • the secondary terminal can use the first network. (6)
  • the secondary terminal establishes a secure communication path between the VPN and a specific host for communication.
  • the use condition is presented after the authentication by the authentication server. However, the use condition is presented at the time of transmitting the secondary terminal authentication information! /.
  • the line 501 used by the secondary terminal is required.
  • a negotiation is performed between the network terminal and the secondary terminal as to whether the bandwidth of the secondary terminal can be limited, and if the negotiation is successful, the network using terminal limits the bandwidth of the line 501 used by the secondary terminal.
  • negotiation may be performed when there are multiple secondary terminals, the number of secondary terminals increases, and it becomes impossible for network users to guarantee the bandwidth to be provided to each secondary terminal. You may be able to do so.
  • an application for changing a billing rate or the like may be made from the network using terminal according to the result of the negotiation.
  • the secondary terminal may also negotiate with the network using terminal.
  • the ratio of the available bandwidth of the network using terminal with respect to the bandwidth or the ratio within the remaining amount after subtracting the amount used by the owner of the network using terminal may be the target of the negotiation. By doing so, it is possible to reduce the number of times that negotiation needs to be performed again when the communication situation changes, and it is possible to reduce the overhead generated by performing negotiation.
  • charging and quality conditions may be negotiated for each communication content (for example, in the case of TCP / IP communication, a service determined based on a port number used for communication). obtain. For example, a large bandwidth may be allocated to moving image data with priority, and a high charging rate may be imposed accordingly.
  • a secondary terminal may be able to communicate with a plurality of network-using terminals at the same time, but the secondary terminal is a network-using terminal that presents the most advantageous use conditions. You may select a network user terminal to use.
  • the use of the surplus bandwidth of line 501 can be promoted, and the authentication based on the composite authentication information is performed, so that the charge management for the person who provided and used the band of line 501 can be managed. Can be performed smoothly.
  • the composite authentication information it is not necessary for the ISP used by the network terminal to be the same as or affiliated with the ISP contracted by the secondary terminal holder. It suffices if it is registered in an authentication server that can be installed independently.
  • FIG. 14 illustrates an overall configuration of a communication system according to Embodiment 2 of the present invention.
  • the communication system according to the present embodiment includes a line 501, a network using terminal 502, a secondary terminal 503, an authentication server 504, and a service providing server 1401. Therefore,
  • the communication system according to the present embodiment has a configuration in which a service providing server 1401 is added to the communication system according to the first embodiment.
  • the service providing server 1401 is a server that provides a service via the first network.
  • the secondary terminal authentication information transmitted by secondary terminal authentication information transmitting section 601 of secondary terminal 503 includes service providing server identification information.
  • the “service providing server” is information for identifying the service providing server that performs communication using the first network. For example, the IP address or FQDN (Full Qualified Domain Name) of the service providing server.
  • FIG. 15 illustrates that the secondary terminal authentication information transmitted by the secondary terminal includes service providing server identification information.
  • the relay unit of the network using terminal transmits the communication of the secondary terminal to the service providing server via the first network based on the authentication result received by the authentication result information receiving unit.
  • the use of the first network is permitted for the secondary terminal. For example, if the packet of the secondary terminal is destined for the service providing server, the packet is transmitted to the line 501; otherwise, the packet is discarded.
  • a packet received from the first network is destined for a secondary terminal, such a packet is discarded unless the source is a service providing server.
  • the authentication unit of the authentication server authenticates the service providing server based on the composite authentication information received by the composite authentication information receiving unit.
  • the purpose of this service providing server authentication is to authenticate communication between the service providing server and the secondary terminal. That is, assuming that communication between the service providing server and the secondary terminal becomes possible, in the present embodiment, the service providing server must be authenticated.
  • the secondary terminal authentication information included in the composite authentication information is acquired, and based on the service providing server identification information included in the secondary terminal authentication information. Then, there is a method of authenticating the service providing server.
  • the authentication server sends a challenge as a random number to the service providing server based on the service providing server identification information, and the service providing server encrypts the received challenge with its own private key and returns the challenge. (Response).
  • the authentication server obtains the public key of the service providing server, decrypts the reply, and determines whether the original challenge can be obtained. Note that after or before such challenge response authentication, whether the service providing server identification information exists in a list of harmful server identifiers, or a list of good server identifiers, etc. You may confirm that it exists in
  • the secondary terminal After the authentication of the service providing server, it may be determined whether or not the combination of the secondary terminal and the service providing server is appropriate. For example, an identifier of the secondary terminal and service providing server identification information for identifying a service providing server that can be used by the secondary terminal may be stored in a table in association with each other. By performing authentication using such a table, the secondary terminal can use only a predetermined service providing server. For example, a holder of a secondary terminal who goes out during work can be connected only to the server at work.
  • the identifier of a network using terminal and service providing server identification information for identifying a service providing server that can be used by the secondary terminal may be stored in a table in association with each other. By performing authentication using such a table, it is possible to provide services that can be used only when the user is in the vicinity of a predetermined network user terminal. For example, it is useful for crowds in shopping streets and resorts.
  • a service providing server with which a secondary terminal can communicate can be designated, and a service providing fee can be collected.
  • FIG. 16 illustrates an overall configuration of a communication system according to Embodiment 3 of the present invention.
  • the communication system according to the present embodiment includes a line 501, a network using terminal 502, a secondary terminal 503, an authentication server 504, and a tertiary terminal 1601. Also, a service providing server may be present. Therefore, the communication system according to the present embodiment has a configuration in which the communication system according to Embodiment 1 or 2 includes tertiary terminal 1601.
  • the tertiary terminal 1601 is a terminal that can communicate with the secondary terminal 503 using the third network.
  • "Third network” is a communication network composed of, for example, wireless LAN.
  • FIG. 17 illustrates a functional block diagram of a tertiary terminal.
  • the tertiary terminal 1601 has a tertiary terminal authentication information transmitting unit 1701.
  • “Tertiary terminal authentication information transmitting section” 1701 transmits tertiary terminal authentication information to secondary terminal 503 using the third network.
  • the “tertiary terminal authentication information” is information for authenticating itself, and “self” means a tertiary terminal. Therefore, the tertiary terminal authentication information may have, for example, the same structure as the secondary terminal authentication information in the first embodiment.
  • the part of the tertiary terminal according to the present embodiment can be configured by hardware, software, or both hardware and software (program).
  • hardware consisting of CPU, memory, bus, interface, peripheral devices, etc., and software executable on these hardware are used. Can be mentioned. Therefore, although not shown, it is a network interface for communicating with the third network. Are provided in the tertiary terminal. Also, if the tertiary terminal is operated by its owner, a user interface is provided.
  • FIG. 18 shows an example of a functional block diagram of a secondary terminal of the communication system according to the present embodiment.
  • the secondary terminal 503 includes a tertiary terminal authentication information receiving unit 1801, a secondary terminal authentication information transmitting unit 601, a secondary terminal authentication result information receiving unit 1802, and a secondary terminal relay unit 1803.
  • Tertiary terminal authentication information receiving unit 1801 receives tertiary terminal authentication information transmitted from tertiary terminal 1601. Therefore, the secondary terminal according to the present embodiment has a network interface for the secondary terminal according to the first or second embodiment to communicate with the third network.
  • “Secondary terminal authentication information transmitting unit" 601 is the same as that in Embodiment 1 or 2, but in the present embodiment, the tertiary terminal authentication information receiving unit is added to the secondary terminal authentication information. And transmits the tertiary terminal authentication information received by the terminal.
  • "Secondary terminal authentication result information receiving unit" 1802 receives the authentication result information returned in response to the transmission of the secondary terminal authentication information.
  • the authentication result information is received via the network using terminal 502 as described later.
  • the "secondary terminal relay unit" 1803 relays the communication of the tertiary terminal 1601 to the second network based on the authentication result information received by the secondary terminal authentication result information receiving unit 1802, The tertiary terminal 1601 is permitted to use the first network. If the authentication result information indicates that the authentication is OK, the communication of the secondary terminal 503 is relayed to the first network, and the secondary terminal transmits the communication of the tertiary terminal to the second network. By relaying, the tertiary terminal can perform communication on the first network.
  • network using terminal 502 further includes an authentication result transmitting unit.
  • the “authentication result transmitting unit” transmits the authentication result information received by the authentication result information receiving unit 803 to the secondary terminal 503. [0086] (Embodiment 3: Configuration of authentication server)
  • the authentication unit 1002 of the authentication server 504 further authenticates the tertiary terminal 1601 based on the composite authentication information received by the composite authentication information receiving unit 1001.
  • the authentication method may be the same as the authentication method for the secondary terminal or the network terminal! /,. Alternatively, a different method may be used.
  • FIG. 19 illustrates a flowchart of the processing of the secondary terminal in the present embodiment.
  • the secondary terminal receives the tertiary terminal authentication information, it executes the processing of the flowchart in FIG.
  • step S1901 tertiary terminal authentication information is received by the tertiary terminal authentication information receiving unit 1801.
  • step S1902 secondary terminal authentication information is obtained. This acquisition is performed, for example, by the secondary terminal authentication information transmitting unit 601.
  • the secondary terminal authentication information is transmitted by the secondary terminal authentication information transmitting unit 601.
  • the returned authentication result information is received by the secondary terminal authentication result information receiving unit 1802.
  • a tertiary terminal capable of communicating with a secondary terminal can use the first network, and can extend a communication area of the communication system according to the present invention. If this idea is pushed forward, as illustrated in Fig. 20, the tertiary terminal can communicate with the quaternary terminal and the quaternary terminal can use the first network. And the quaternary terminal can communicate with the tertiary terminal. This makes it possible to use a network from a moving object, for example, by mounting the terminal on a continuously arranged moving object such as a car running on a road.
  • Embodiment 4 of the present invention corresponds to a network using terminal of the communication system according to Embodiment 1.
  • the network use terminal is positioned in the entire communication system.
  • the network use terminal alone is used. Is explained.
  • the network terminal according to the present embodiment is a network using terminal that is connected to the first network by a line and can communicate with the secondary terminal using the second network.
  • the network using terminal includes a secondary terminal authentication information receiving unit, a composite authentication information transmitting unit, an authentication result information receiving unit, and a relay unit.
  • the "secondary terminal authentication information receiving unit” receives the secondary terminal authentication information transmitted from the secondary terminal, which is information for authenticating the secondary terminal.
  • the "composite authentication information transmitting unit" is information including the secondary terminal authentication information received by the secondary terminal authentication information receiving unit, and the use terminal authentication information that is information for authenticating itself. Send some composite authentication information.
  • the "authentication result information receiving unit” receives authentication result information that is information returned in response to the transmission of the composite authentication information and that is information indicating a result of authentication based on the composite authentication information.
  • the "relay unit” relays the communication of the secondary terminal to the first network based on the authentication result information received by the authentication result information receiving unit. The use of the network is permitted to the secondary terminal.
  • Embodiment 5 of the present invention corresponds to the authentication server of the communication system according to Embodiment 1.
  • the authentication server according to the present embodiment is an authentication server that communicates with a network using terminal that can communicate with the secondary terminal.
  • the secondary terminal is a terminal device as described above.
  • the authentication server includes a composite authentication information reception unit, an authentication unit, and an authentication result return unit.
  • the “combined authentication information receiving unit” includes secondary terminal authentication information that is information for authenticating the secondary terminal and user terminal authentication information that is information for authenticating the network using terminal. Receiving the composite authentication information, which is the information including the authentication information, from the network using terminal.
  • the "authentication unit” authenticates the secondary terminal and the network using terminal based on the composite authentication information received by the composite authentication information receiving unit.
  • the "authentication result reply unit” returns the result of the authentication by the authentication unit as authentication result information.
  • Embodiment 6 of the present invention corresponds to a secondary terminal of the communication system according to Embodiment 2.
  • the secondary terminal includes a network use terminal connected via a line to a first network capable of communicating with a service providing server that provides a service, and a second terminal. It is a terminal that can communicate using a network.
  • the secondary terminal has a secondary terminal authentication information transmission unit.
  • the "secondary terminal authentication information transmission unit” identifies the service providing server that performs communication using the first network in the secondary terminal authentication information that is information for authenticating itself. And transmitting the service providing server identification information to the network using terminal using the second network.
  • “self” means a secondary terminal.
  • Embodiment 7 of the present invention corresponds to a network using terminal of the communication system according to Embodiment 2. Therefore, the network use terminal according to the present embodiment is the same as the network use terminal according to Embodiment 4, wherein the first network can communicate with a service providing server that provides a service, and the secondary terminal
  • the authentication information includes service providing server identification information, which is information for identifying the service providing server with which the secondary terminal communicates using the first network
  • the relay unit includes: Based on the result of the authentication received by the authentication result information receiving unit, the first terminal is relayed to the service providing server via the first network. The use of the network is permitted to the secondary terminal.
  • Embodiment 8 of the present invention corresponds to the authentication server of the communication system according to Embodiment 2. Therefore, in the authentication server according to the present embodiment, in the authentication server according to the fifth embodiment, the network using terminal communicates with a service providing server that provides a service using the first network.
  • the secondary terminal authentication information includes service providing server identification information that is information for identifying the service providing server with which the secondary terminal communicates using the first network.
  • the authentication unit authenticates the service providing server based on the composite authentication information received by the composite authentication information receiving unit.
  • Embodiment 9 of the present invention corresponds to a network using terminal of the communication system according to Embodiment 3. Therefore, the network using terminal according to the present embodiment has an authentication result in which the network using terminal according to Embodiment 4 or 7 transmits the authentication result information received by the authentication result information receiving unit to the secondary terminal. It has a configuration having an information transmitting unit.
  • Embodiment 10 of the present invention corresponds to the authentication server of the communication system according to Embodiment 3. Therefore, in the authentication server according to the present embodiment, in the authentication server according to Embodiment 5 or 8, the secondary terminal is information for authenticating itself using the third network.
  • the secondary terminal can communicate with a tertiary terminal transmitting tertiary terminal authentication information, the secondary terminal transmits the secondary terminal authentication information including the tertiary terminal authentication information, and the authentication unit transmits the composite authentication information.
  • the tertiary terminal is further authenticated based on the composite authentication information received by the receiving unit.
  • the eleventh embodiment according to the present invention is, for example, a method for causing a network using terminal, a secondary terminal, and an authentication server to communicate with each other so that the communication system of the first embodiment operates. That is, the method according to the present embodiment comprises a network using terminal connected to the first network by a line, a secondary terminal capable of communicating with the network using terminal using the second network, A secondary terminal authentication information transmitting step, a secondary terminal authentication information receiving step, a composite authentication information transmitting step, an authentication result information receiving step, a relay step, and a composite authentication information. It includes a receiving step, an authentication step, and an authentication result returning step.
  • the secondary terminal transmits secondary terminal authentication information, which is information for authenticating itself, to the network using terminal using the second network.
  • This is the step of transmitting. For example, this corresponds to step S1201 in FIG.
  • the "secondary terminal authentication information receiving step” is a step in which the network using terminal receives the secondary terminal authentication information transmitted in the secondary terminal authentication information transmitting step. For example, this corresponds to step S1201 in FIG.
  • the "multi-authentication-information transmitting step” is a step in which the network-using terminal uses the secondary-terminal authentication information received in the secondary-terminal-authentication-information receiving step and the user-terminal-authentication-information used to authenticate itself. And transmitting composite authentication information that is information including the following. For example, it corresponds to step S1202 in FIG.
  • the "authentication result information receiving step” is a step of receiving authentication result information returned in response to the transmission of the composite authentication information. For example, it corresponds to step S1202 in FIG.
  • the "relay step” is to relay the communication of the secondary terminal to the first network based on the authentication result information received in the authentication result information receiving step. A step of permitting the secondary terminal to use the first network. If f rows are met, steps S905 and S906 in FIG.
  • the “combined authentication information receiving step” is a step in which the authentication server receives the combined authentication information to which the network use terminal is also transmitted. For example, it corresponds to step S1202 in FIG.
  • the "authentication step” is a step in which the authentication server authenticates the secondary terminal and the network using terminal based on the composite authentication information received in the composite authentication information receiving step. It is a step. For example, it corresponds to step S1102 in FIG.
  • the "authentication result returning step” is a step of returning the result of the authentication in the authentication step. For example, it corresponds to step S1203 in FIG.
  • the communication system according to the present invention can promote the use of the surplus bandwidth of the line, and can smoothly perform charging management and the like for the person who provided and used the line bandwidth, Industrially useful.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Telephonic Communication Services (AREA)

Abstract

　第二の利用者の通信の利用が制限されることなく、また、莫大な設備投資が必要とされることなく、インターネット等の通信が普遍的に利用することができる通信システム。この通信システムでは、端末（１０４）が、ネットワーク利用端末（１０１）と通信が可能となり、ネットワーク利用端末（１０１）を介してインターネットを利用しようとする時には、端末（１０４）は、端末（１０４）の利用者Ｂの認証情報を送信し、ネットワーク利用端末（１０１）は、ネットワーク利用端末（１０１）の所持者Ａの認証情報と受信した利用者Ｂの認証情報とを認証サーバ（１０５）へ送信する。認証結果がＯＫであれば、ネットワーク利用端末（１０１）は、端末（１０４）の通信をインターネット（１０３）へ中継し、端末（１０４）にインターネットの利用を許可するようにする。    

Description

明 細 書
通信システム
技術分野
[0001] 本発明は、通信システムに関し、特に、インターネットなどのための通信回線を通信 の利用者の間で相互に利用し合うことにより通信回線の利用効率を上げる通信シス テムに関する。
背景技術
[0002] 近年、インターネット回線のブロードバンドィ匕が進んでいる。例えば、各家庭に光フ アイバーなどを引き込むことにより、 100Mbpsの通信が常時可能となっている。しか し、その一方で、ブロードバンドの利用を促進するようなコンテンツの整備などが遅れ ており、常時、 100Mbpsの帯域を利用しているわけではなぐ回線帯域に余剰が発 生している。この余剰を利用する技術として、例えば、特許文献 1に示されるように、 第一の利用者が利用している帯域以外を第二のユーザに貸与する技術がある。 特許文献 1：特開 2004 - 23312号公報
発明の開示
発明が解決しょうとする課題
[0003] 特許文献 1で示された技術では、その段落 0034、その図 3により説明されているよ うに、第二の利用者の認証が行なわれる力 その認証は、インターネットサービスプロ バイダなどのサービス提供者 (ISP)の基地局 3の中の帯域管理装置 32で行なわれ る。このため、第一の利用者が契約している ISPと第二の利用者が契約している ISP とは、同一、もしくは提携している必要がある。このため、いかなる第一の利用者の利 用している回線であっても第二の利用者が利用できるとは限らないこととなり、第二の 利用者の通信の利用が制限されるという課題がある。
[0004] また、近年無線 LANが普及し、駅などの公共の場所で無線 LANが利用可能とな つているが、無線 LANが利用可能なエリアをこれ以上広げるには、莫大な設備投資 が必要であると 、う課題がある。
[0005] 本発明の目的は、第二の利用者の通信の利用が制限されることなぐまた、莫大な 設備投資が必要とされることなぐインターネット等の通信が普遍的に利用できる通信 システムを提供することである。
課題を解決するための手段
[0006] 上記目的を達成するために、本発明では、認証サーバと通信が可能な第 1のネット ワークと各家庭などに設置されるネットワーク利用端末とを回線により接続し、二次端 末が第 2のネットワークを利用してネットワーク利用端末と通信が可能となり、二次端 末がネットワーク利用端末を介して第 1のネットワークを利用しょうとする際に、認証サ ーバにより、ネットワーク利用端末と二次端末との両方を認証するようにした。
[0007] このようにネットワーク利用端末と二次端末との両方が認証されることにより、どの回 線の帯域をどの二次端末が利用する力を明確に把握することができ、二次端末に対 する課金、また、回線の帯域を提供するネットワーク利用端末への恩典などのポイン ト加算をスムーズに行なうことができるようになる。また、二次端末の利用者が占有す るネットワーク利用端末の回線の帯域を、他の二次端末に利用させることにより、恩典 などを受けることができ、一方的に課金されることを防ぐことができ、ネットワークの利 用を促進することができる。さらに、各家庭に本発明に係るネットワーク利用端末であ つて無線 LANが使用可能な端末を設置することにより、安価に無線 LANの利用が 可能なエリアを広げることができる。
[0008] また、本発明にお 、て、第 1のネットワークを介してサービスを提供するサービス提 供サーバがある場合、ネットワーク利用端末と二次端末との認証に加えて、サービス 提供サーバの認証も行なってもよ 、。
[0009] これにより、二次端末が、悪意などを有する管理者が管理するサーバと接続を行な い、ネットワーク利用端末の存在をその管理者に知られてしまい、 DoS (Denial of Service)攻撃などを受けることを避けるなどの効果が生ずる。
[0010] また、二次端末がさらに三次端末と通信が可能となっており、三次端末が第 1のネ ットワークを利用しょうとするときには、ネットワーク利用端末と二次端末と三次端末と を認証サーバにより認証するようになっていてもよい。同様に、三次端末が四次端末 と通信が可能となっており、ネットワーク利用端末と二次端末と三次端末と四次端末と が認証されるようになって 、てもよ 、。 [0011] これにより、端末が第 1のネットワークを利用可能となるエリアをさらに広げることが可 能となる。
発明の効果
[0012] 本発明に係る通信システムなどによれば、回線の余剰帯域の利用を促進すること ができ、また、回線の帯域を提供した者と利用した者とに対する課金管理などを円滑 に行なうことができる。
図面の簡単な説明
[0013] [図 1]本発明の概要図
[図 2]本発明の概要のシーケンス図
[図 3]課金などの管理の処理を例示する図
[図 4]認証のステップを説明するシーケンス図
[図 5]本発明の実施の形態 1に係る通信システムの全体の構成図
[図 6]二次端末の機能ブロック図
[図 7]二次端末の処理の流れ図
[図 8]ネットワーク利用端末の機能ブロック図
[図 9]ネットワーク利用端末の処理の流れ図
[図 10]認証サーバの機能ブロック図
[図 11]認証サーバの処理の流れ図
[図 12]通信システムの全体の処理のシーケンス図
[図 13]利用条件の合意を取る処理を例示する図
[図 14]本発明の実施の形態 2に係る通信システムの全体の構成図
[図 15]二次端末の機能ブロック図
[図 16]本発明の実施の形態 3に係る通信システムの全体の構成図
[図 17]三次端末の機能ブロック図
[図 18]二次端末の機能ブロック図
[図 19]二次端末の処理の流れ図
[図 20]本発明の実施の形態 3を発展させた形態の構成図
発明を実施するための最良の形態 [0014] 図 1は、本発明の概要を例示する。利用者 Aの家にネットワーク利用端末 101が設 置され、回線 102によってインターネット 103に接続されている。ネットワーク利用端 末 101は例えば、ルータ、特に無線 LAN機能を有したルータであることが好ましい。 また、ネットワーク利用端末 101は、直接的に回線 102に接続されている必要はなく 、メディアコンバータ、スプリッタ、他のネットワーク機器（例えば、ルータゃハブなど） を介して回線 102に接続されて 、る無線アクセスポイントであってもよ 、。回線 102は 、物理的には電話回線のメタル回線や光ファイバ一による光回線である。電話回線 である場合には、例えば、 ADSLなどのブロードバンド通信が常時可能であるのが好 ましい。
[0015] ネットワーク利用端末 101が無線 LAN機能を有しているとする。例えば、 IEEE802 . 11規格に準拠したものであるとすると、数十メートルは通信が可能となるので、利用 者 Aの家の近くに居る利用者 Bの無線機能を有する端末 104とネットワーク利用端末 101との通信が可能となる場合がある。通常であれば、ネットワーク利用端末 101に はパスワード (例えば、「WEPキー」などと呼ばれる。）が設定され、特定の端末のみ がネットワーク利用端末 101と通信が可能であるが、本発明では、端末 104が、ネット ワーク利用端末 101と通信が可能な領域に存在すれば、端末 104とネットワーク利用 端末 101とはリンクが確立され、通信が可能となるようにする。ただし、この状態では、 少なくとも、端末 104は回線 102を介してインターネット 103は利用ができないように、 ネットワーク利用端末 101が制御を行なう。
[0016] もし、端末 104にインターネット 103を利用する必要が生じた場合には、まず、（1) 端末 104は、ネットワーク利用端末 101へ利用者 B (または端末 104)の認証情報を 送信する。次に、（2)ネットワーク利用端末 101は、回線 102とインターネット 103を介 して、認証サーバ 105へ利用者 A (またはネットワーク利用端末)の認証情報と利用 者 B (または端末 104)の認証情報の両方を送信する。すると、（3)認証サーバ 105 は、利用者 Aと利用者 Bとの認証を行ない、認証の結果をネットワーク利用端末 101 へ返信する。もし、認証が OKであれば、（4)インターネット利用端末 101は、端末 10 4に対して、回線 102を介してインターネット 103の利用を許可する。なお、括弧書き を行なったように、以後においては、利用者 Bの認証情報を端末 104の認証情報の 意味で使用し、また、利用者 Aの認証情報をネットワーク利用端末 101の認証情報の 意味で使用する。
[0017] 図 2は、上述のイベントをシーケンス図にして表わしたものである。ステップ S 201に おいて、利用者 Aのネットワーク利用端末 101と利用者 Aの ISPとの間でコネクション が確立し、すくなくともネットワーク利用端末 101が回線 102を介してインターネット 10 3の利用が可能となる。
[0018] ステップ S202において、利用者 Bの端末 104がネットワーク利用端末 101と通信可 能な領域に入ると、無線リンクが端末 104とネットワーク利用端末 101との間で確立 する。ただし、無線リンクが確立しただけでは、端末 104は、ネットワーク利用端末 10 1を介してインターネット 103を利用することはできないとする。ここで、端末 104にィ ンターネット 103を利用する必要が生じたとすると、ステップ S203において、端末 10 4からネットワーク利用端末 101へ、利用者 Bの認証情報が送信される。ネットワーク 利用端末 101が利用者 Bの認証情報を受信すると、ステップ S204において、利用者 Aの認証情報と受信された利用者 Bの認証情報とが、ネットワーク利用端末 101より 認証サーバ 105へ送信される。認証サーバ 105において、利用者 Aと利用者 Bとが 認証されると、ステップ S205として、課金等の管理が行なわれる。
[0019] 図 3は、課金などの管理を例示する。認証サーバ 105の中に、「利用者識別子」、「 利用ポイント」、「提供ポイント」という列があり、それぞれ、利用者を識別するための情 報、回線の帯域を利用したことを示すポイント、回線の帯域を他人に利用させたこと を示すポイントが格納される。図 1、図 2の場合には、利用者 Bが利用者 Aの回線の帯 域を利用することになるので、例えば、利用者 Aには提供ポイントとして 5ポイントが加 算され、利用者 Bには、利用ポイントとして 6ポイントが加算される。 6ポイントと 5ポイン トの差は、例えば、認証サーバなどの管理会社の利益を示す。
[0020] ステップ S206にお 、て、利用者 Aと利用者 Bとが認証された結果、認証が OKであ ることがネットワーク利用端末へ伝えられ、ステップ S207において、ネットワーク利用 端末 101は、端末 104による通信を、回線 102を介してインターネット 103へ中継す ることを行なう。これにより、端末 104と利用者 Bの ISPとの通信可能となる。例えば、 端末 104と利用者 Bの ISPのサーバとの間で VPN (Virtual Private Network)な どを用いた通信が可能となる（例えば、利用者 Bの ISPのメールサーバやプロキシ一 サーバと VPNによる通信路を張る)。
[0021] その後、ステップ S208において、端末 104とネットワーク利用端末 101との間の無 線リンクが切断すると、ステップ S209において、利用者 Bの ISPへの通信が切断され る。そして、ステップ S210において、端末 104の回線 102の利用状況、例えば、回 線 102を利用した時間、回線 102を介した通信のパケット数、利用させた帯域の幅な どが認証サーバに送信され、課金等管理がステップ S211で行なわれる。
[0022] 図 4は、利用者 Bと利用者 Aとの認証のステップをより詳しく説明するシーケンス図を 例示する。このシーケンス図では、公開鍵暗号の利用を前提としており、利用者 Bと 利用者 Aとは、秘密鍵と公開鍵を有しており、それぞれの公開鍵 (または公開鍵証明 書）は、例えば、ディレクトリサーバに登録されているとする。なお、ディレクトリサーバ は、認証サーバ 105と同じであってもよいし、異なっていてもよい。
[0023] ステップ S401において、利用者 Bの端末 104が利用者 Aの家のネットワーク利用 端末 101へ、回線 102を介した通信の要求を送信する。すると、ステップ S402にお いて、ネットワーク利用端末 101が認証サーバへ認証開始を要求する情報を送信し 、ステップ S403において、認証サーバは乱数などを生成して、チャレンジとしてそれ をネットワーク利用端末 101へ送信する。ステップ S404において、ネットワーク利用 端末 101は、端末 104へチャレンジを送信する。端末 104は、利用者 Bの秘密鍵によ るチャレンジへの署名（これを sBとする。）を行ない、ステップ S405にネットワーク禾 IJ 用端末 101へ送信する。 sBを受信したネットワーク利用端末 101は、利用者 Aの秘 密鍵によるチャレンジへの署名（これを sAとする。）を行ない、ステップ S406におい て、 sAと sBとを認証サーバ 105へ送信する。認証サーバ 105は、ステップ S407にお いて、ディレクトリサーバに対して利用者 Aと利用者 Bとの公開鍵を要求し、ステップ S 408において、利用者 Aと利用者 Bとの返信を受ける。そして、ステップ S409におい て、 sAと sBとの検証、すなわち、公開鍵で sAと sBを復号ィ匕し、ステップ S403で送信 したチャレンジが得られるかを検証する。ステップ S410において、検証の結果をネッ トワーク利用端末 101へ送信する。
[0024] なお、以上の説明において、ネットワーク利用端末 101は、回線 102を介してインタ 一ネットに接続されていると説明したが、インターネットに限定されるものではなぐ一 般の通信網であってもよい。また、ネットワーク利用端末 101と端末 104とは無線 LA Nを用いて通信を行なうとした力 有線による通信を行なうようになって!/、てもよ 、し、 赤外線を使用した通信を行なうようになっていてもよい。また、ステップ S402に先立 つて、ネットワーク利用端末が、認証サーバの公開鍵証明書などを用いて、認証サー バを認証するようになって 、てもよ 、。
[0025] 以下、本発明を実施するための最良の形態について、図を用いて実施の形態に分 けて説明する。なお、本発明はこれら実施の形態に何ら限定されるものではなぐそ の要旨を逸脱しな 、範囲にぉ 、て、種々なる態様で実施し得る。
[0026] (実施の形態 1)
[0027] (実施の形態 1：全体構成）
図 5は、本発明の実施の形態 1に係る通信システムの全体の構成を例示する。本実 施の形態に係る通信システムは、回線 501と、ネットワーク利用端末 502と、二次端 末 503と、認証サーバ 504と、力もなる。なお、ネットワーク利用端末 502は、第 1のネ ットワークを利用する。また、二次端末 503は、第 2のネットワークを用いてネットワーク 利用端末 502と通信が可能である。
[0028] 第 1のネットワークの例としては、インターネットなどに代表される広域通信ネットヮー クがあるが、それに限定されることはない。また、第 2のネットワークの例としては、無 線 LANにより構築される通信網がある力 それに限定されることはない。なお、第 1の ネットワークと第 2のネットワークは同じであってもよい。また、認証サーバ 504は、第 1 のネットワークに接続されて 、るように図示されて 、るが、このような構成である必要 はなぐ例えば、ネットワーク利用端末 502と直接通信が可能なようになつていてもよ い。
[0029] なお、図 5では、二次端末は 1台しか図示されていないが、複数台存在してもよい。
[0030] (実施の形態 1 :回線の構成）
回線 501は、ネットワーク利用端末 502を第 1のネットワークに接続する。回線の例 としては、光ファイバ一を用いた光回線がある。
[0031] (実施の形態 1：二次端末の構成） 図 6は、二次端末の機能ブロック図を例示する。二次端末 503は、二次端末認証情 報送信部 601を有する。
[0032] 「二次端末認証情報送信部」 601は、二次端末認証情報を、第 2のネットワークを用 いてネットワーク利用端末 502に対して送信する。ここに、「二次端末認証情報」とは 、自身を認証させるための情報を含む情報である。「自身」とは、二次端末を意味す る。したがって、二次端末認証情報は、例えば、二次端末を識別する識別子とパスヮ ードを含む。あるいは、二次端末を認識する識別子と、所定のデータに対して二次端 末の秘密鍵で署名を行なった結果であってもよ 、。
[0033] なお、本実施の形態に係る二次端末の二次端末認証情報送信部 601は、ハードウ エア、ソフトウェア、ハードウェアとソフトウェア（プログラム）の両者、のいずれかによつ て構成することが可能である。たとえば、これらを実現する一例として、計算機を利用 する場合には、 CPU、メモリ、バス、インターフェース、周辺装置など力も構成される ハードウェアと、これらのハードウェア上にて実行可能なソフトウェアを挙げることがで きる。したがって、図示はしていないが、第 2のネットワークと通信を行なうためのネット ワークインターフェースなどが二次端末に備えられている。また、二次端末がその所 持者が操作するための端末であれば、ユーザーインターフェースも備えられて 、る。
[0034] (実施の形態 1：二次端末の処理）
図 7は、二次端末の処理の流れ図を例示する。二次端末は、例えば、第 1のネットヮ ークを利用した通信を行なう場合に、この流れ図の処理を行なう。
[0035] まず、ステップ S 701にお 、て、二次端末認証情報が送信済みであるかどうかを判 断する。この判断は、例えば、二次端末の内部にフラグを設けて、そのフラグの値を チェックすることにより判定ができる。もし、送信済みであれば、何もせず、第 1のネット ワークを利用した通信を行なう。もし、送信済みでなければ、ステップ S702へ処理を 移行させ、二次端末認証情報を送信する。もし、上述のフラグが設けられていれば、 そのフラグの値を「送信済み」を示すものとする。
[0036] (実施の形態 1：ネットワーク利用端末）
図 8は、ネットワーク利用端末の機能ブロック図を例示する。ネットワーク利用端末 5 02は、二次端末認証情報受信部 801と、複合認証情報送信部 802と、認証結果情 報受信部 803と、中継部 804と、を有する。
[0037] 「二次端末認証情報受信部」 801は、二次端末 503から送信された二次端末認証 情報を受信する。すなわち、第 2のネットワークを介して、二次端末認証情報を受信 する。
[0038] 「複合認証情報送信部」 802は、二次端末認証情報受信部 801で複合認証情報を 送信する。「複合認証情報」とは、二次端末認証情報受信部 801で受信された二次 端末認証情報と、利用端末認証情報と、を含む情報である。「利用端末認証情報」と は、自身を認証させるための情報であり、「自身」とは、ネットワーク利用端末 502を意 味する。利用端末認証情報の例としては、ネットワーク利用端末 502を識別する識別 子とパスワードがある。あるいは、ネットワーク利用端末 502を識別する識別子と、所 定のデータに対してネットワーク利用端末 502の所持者の秘密鍵で署名を行なった 結果と、を含むものであってもよい。後の説明から明らかになるように、複合認証情報 は、認証サーバ 504へ向けて送信される情報である。したがって、認証サーバ 504が 接続されているネットワークに対して複合認証情報が送信される。
[0039] 「認証結果情報受信部」 803は、認証結果情報を受信する。「認証結果情報」とは、 複合認証情報の送信に応じて返信される情報であって、前記複合認証情報に基づく 認証の結果を示す情報である。すなわち、二次端末認証情報による認証の結果と、 利用端末認証情報による認証の結果と、を含む情報である。後の説明力 わ力るよう に、認証結果情報は、認証サーバ 504が送信される。したがって、認証サーバ 504 が接続されているネットワークから認証結果情報が受信される。
[0040] 「中継部」 804は、認証結果情報受信部 803で受信された認証結果情報に基づ 、 て、二次端末 503の通信を第 1のネットワークに中継することで、第 1のネットワークの 利用を二次端末 503に対して許可する。「認証結果情報に基づいて」とは、認証結果 情報の示す内容と許可との間になんらかの因果関係が存在することを意味する。例 えば、認証結果情報が、二次端末認証情報により二次端末 503の認証がされ、かつ 、利用端末認証情報によりネットワーク利用端末 502の認証がされた場合に、許可を 行なう。「許可を行なう」とは、二次端末 503から送信されたパケットが第 1のネットヮー クを行き先としていれば、そのパケットを、回線 501を介して第 1のネットワークへ送信 し、また、第 1のネットワーク力も受信したパケットが二次端末 503を行き先としていれ ば、そのパケットを第 2のネットワークを介して二次端末 503へ送信すると 、う中継を 行なうことである。
[0041] なお、本実施の形態に係るネットワーク利用端末の各部は、ハードウェア、ソフトゥェ ァ、ハードウェアとソフトウェア（プログラム）の両者、のいずれかによつて構成すること が可能である。たとえば、これらを実現する一例として、計算機を利用する場合には、 CPU、メモリ、バス、インターフェース、周辺装置などから構成されるハードウェアと、 これらのハードウェア上にて実行可能なソフトウェアを挙げることができる。したがって 、図示はしていないが、第 1のネットワーク、第 2のネットワークと通信を行なうためのネ ットワークインターフェースなどがネットワーク利用端末 502に備えられている。
[0042] (実施の形態 1：ネットワーク利用端末の処理）
図 9は、ネットワーク利用端末が行なう処理の流れ図を例示する。ネットワーク利用 端末は、例えば、二次端末より二次端末認証情報を受信するたびに、この流れ図の 処理を行なう。ステップ S901において、二次端末認証情報を二次端末認証情報受 信部 801により受信する。ステップ S902において、利用端末認証情報を取得する。 利用端末認証情報が識別子とパスワードであれば、メモリなどに蓄積されているパス ワードを読み取る。署名などを行なう場合には、秘密鍵を読み取り、署名を生成する 。この意味で、本明細書においては、取得の概念には生成の概念も含まれるものと する。また、ステップ S902は、例えば、複合認証情報送信部 802により行なわれる。 ステップ S903にお 、て、複合認証情報を複合認証情報送信部 802により送信する 。ステップ S904において、認証結果情報を認証結果情報受信部 803により受信す る。ステップ S905において、認証が OKかどう力、すなわち、二次端末 503とネットヮ ーク利用端末 502とが認証がされたかどうかを判断する。この判断は、例えば中継部 804で行なう。もし、認証が OKであれば、中継部 804により、二次端末の通信を第 1 のネットワークに中継する。すなわち、第 1のネットワークと二次端末との間でのバケツ トの交換を可能とする。
[0043] (実施の形態 1：認証サーバの構成）
図 10は、認証サーバの機能ブロック図を例示する。認証サーバ 504は、複合認証 情報受信部 1001と、認証部 1002と、認証結果返信部 1003と、を有する。
[0044] 「複合認証情報受信部」 1001は、ネットワーク利用端末 502から送信される複合認 証情報を受信する。
[0045] 「認証部」 1002は、複合認証情報受信部 1001で受信した複合認証情報に基づ ヽ て、二次端末 503とネットワーク利用端末 502とを認証する。例えば、端末の識別子 とパスワードとを保持したテーブルが認証サーバ内に設けられ、複合認証情報受信 部に含まれる二次端末の識別子とパスワードと、ネットワーク利用端末の識別子とパ スワードが、そのテーブルに保持された識別子とパスワードとに適合するかどうかを判 断する。あるいは、複合認証情報に所定のデータに対する署名が含まれていれば、 その署名が正 、かどうかを判定する。
[0046] なお、認証部での認証は、二次端末とネットワーク利用端末とを個別に認証しても よい。あるいは、二次端末とネットワーク利用端末とが特定の組合せになっていること が条件とされて認証がされてもょ 、。
[0047] 「認証結果返信部」 1003は、認証部 1002での認証の結果を認証結果情報として 返信する。
[0048] なお、本実施の形態に係る認証サーバの各部は、ハードウェア、ソフトウェア、ハー ドウエアとソフトウェア（プログラム）の両者、のいずれかによつて構成することが可能で ある。たとえば、これらを実現する一例として、計算機を利用する場合には、 CPU,メ モリ、バス、インターフェース、周辺装置などから構成されるハードウェアと、これらの ハードウェア上にて実行可能なソフトウェアを挙げることができる。したがって、図示は していないが、ネットワーク利用端末や、必要ならば、公開鍵などを得るためのディレ クトリサーバなどと通信を行なうためのネットワークインターフェースなどが認証サーバ に備えられている。
[0049] (実施の形態 1 :認証サーバの処理）
図 11は、認証サーバの処理を説明する流れ図を例示する。認証サーバは、複合認 証情報を受信するたびに、図 11の流れ図の処理を実行する。ステップ S1101にお いて、複合認証情報を、複合認証情報受信部により受信する。ステップ S1002にお いて、二次端末とネットワーク利用端末とを認証部により認証する。ステップ S 1003に おいて、認証結果返信部により、認証結果情報を返信する。
[0050] (実施の形態 1：全体の処理）
図 12は、本実施の形態に係る通信システムの全体の処理のシーケンス図を例示す る。ステップ S1201において、二次端末よりネットワーク利用端末へ二次端末認証情 報が送信される。ステップ S1202において、ネットワーク利用端末力も認証サーバへ 複合認証情報、すなわち二次端末認証情報と利用端末認証情報とを含む情報、が 送信される。ステップ S 1203において、認証サーノくからネットワーク利用端末へ、認 証結果情報が送信される。その後、認証結果情報に基づいて、二次端末による第 1 のネットワークの利用が許可される。
[0051] (実施の形態 1：その他の形態）
以上説明したのは、本発明の実施の形態 1の最低限の構成と処理である。このほか に、例えば、認証サーバにより複合認証情報に基づいて二次端末とネットワーク利用 端末とが認証されれば、課金等管理が認証サーバにより行なわれてもよい。課金等 管理は、認証サーバ以外のサーバにより行なわれてもよい。また、二次端末とネットヮ ーク利用端末との通信が切断された場合には、二次端末による第 1のネットワークの 利用の量などを示す情報を、ネットワーク利用端末が認証サーバなどへ送信し、課金 等管理が行なわれるようになって 、てもよ 、。
[0052] なお、ネットワーク利用端末が認証サーバなどへ、第 1のネットワークの利用の量な どについて虚偽の申請を行なうことが考えられる。この対策として、例えば、ネットヮー ク利用端末は、定期的に二次端末に対して、第 1のネットワークの利用の量 (例えば、 利用時間、利用した帯域幅、パケット量など)などを示す通信量情報を報告する通信 量報告部を有してもよい。このようにすることにより、後日、二次端末から認証サーバ などに記録された通信量情報と、ネットワーク利用端末の通信料報告部力 伝えられ た通信量情報とを比較可能とする解決策がある。あるいは、二次端末がネットワーク 利用端末との通信を切断する直前に、二次端末力 認証サーバなどへ、二次端末が 測定などをして得られた、あるいは、ネットワーク利用端末から送信されて得られた、 通信量情報を送信するようにしてもよい。認証サーバなどは、二次端末から送信され る通信量情報と、ネットワーク利用端末力 送信される通信量情報と、を比較し、二つ の通信量情報の違 、が許容できな 、場合には、ネットワーク利用端末や二次端末に 対して監査を行なうべき情報を管理者に表示等してもよい。
[0053] また、ネットワーク利用端末力 二次端末に対して回線 501などの利用条件を提示 し、二次端末と利用条件についてネゴシエーションを取るようになつていてもよい。利 用条件とは、例えば、二次端末が利用する回線 501の帯域であったり、回線 501の 利用時間の長さであったりなどする。
[0054] 図 13は、利用条件のネゴシエーションを取る処理を例示する。まず、（1)認証サー バによりネットワーク利用端末と二次端末との認証が行なわれる。次に、（2)利用条 件の提示がネットワーク利用端末力 二次端末に対して行なわれる。（3)その利用条 件が二次端末で審査される。例えば、利用条件が二次端末の利用の目的に適うかど うかを判断する。審査の結果力 SOKであれば、その結果がネットワーク利用端末へ送 信され、（4)課金などの申請がネットワーク利用端末力 認証サーバや課金サーバ へ対して行なわれる。認証サーバが課金の処理も行なうとすると、（5)課金等の実行 を行なう。二次端末が第 1のネットワークを利用可能となる。本発明には必須ではない 力 (6)二次端末は VPNと特定のホストとの安全な通信路を確立して通信を行なう。
[0055] 図 13では、認証サーバによる認証の後に利用条件の提示が行なわれるが、二次 端末認証情報の送信時に利用条件の提示が行なわれるようになって!/、てもよ ヽ。ま た、二次端末による第 1のネットワークの利用が許可されている間に、ネットワーク利 用端末の所持者が回線 501を利用する必要が発生した場合には、二次端末の使用 する回線 501の帯域などを制限してよいかどうかのネゴシエーションをネットワーク端 末と二次端末との間で行ない、ネゴシエーションができれば、ネットワーク利用端末は 二次端末の使用する回線 501の帯域の制限を行なう。あるいは、複数の二次端末が 存在し、二次端末の台数が増加し、ネットワーク利用端末がそれぞれの二次端末に 対して提供すべき帯域を保障できなくなつてきた場合などにも、ネゴシエーションを行 なうようになっていてもよい。また、ネゴシエーションの結果に応じて、課金のレートな どを変更する申請をネットワーク利用端末より行なうようにしてもよい。
[0056] また、二次端末において、新たな帯域が必要となった場合には、二次端末の側力も ネットワーク利用端末に対してネゴシエーションを行なうようになって 、てもよ 、。 [0057] また、ネゴシエーションの対象については、種々のものがあり得る。例えば、帯域に ついてネットワーク利用端末の使用可能帯域の比率、あるいはネットワーク利用端末 の所持者が使用する分を差し引いてからの残量内での比率をネゴシエーションの対 象としてもよい。このようにすることにより、通信の状況が変化した場合に、再びネゴシ エーシヨンを行なう必要が生じる回数を減らすことができ、ネゴシエーションを行なうこ とにより発生するオーバーヘッドを減らすことができる。
[0058] また、通信の内容ごと (例えば、 TCP/IPの通信の場合には、通信に使用するポ ート番号に基づいて決定されるサービス）、課金、品質の条件をネゴシエーションする こともあり得る。例えば、動画データに関しては優先して大きな帯域を割り当てる一方 、それに応じて高い課金レートを課するようにしてもよい。
[0059] なお、これらは全てネゴシエーションにおいて、どのような内容についてネゴシエー シヨンするかによるものであり、ネゴシエーションを行なうという機能には何ら制限が課 せられるものではない。
[0060] また、都市部などでは、二次端末が同時に複数のネットワーク利用端末と通信が可 能となる場合があるが、二次端末は、最も有利な利用条件を提示したネットワーク利 用端末を利用するようにネットワーク利用端末の選択を行なってもよ 、。
[0061] (実施の形態 1：主な効果）
本実施の形態により、回線 501の余剰帯域の利用を促進することができ、また、複 合認証情報による認証が行なわれることにより、回線 501の帯域を提供した者と利用 した者とに対する課金管理などをスムーズに行なうことができる。また、複合認証情報 による認証が行なわれることにより、ネットワーク利用端末の利用する ISPと二次端末 の所持者が契約している ISPとが同じであったり提携をしていたりする必要はなぐ IS Pと独立して設置することが可能な認証サーバに登録されていればよいことになる。
[0062] (実施の形態 2)
[0063] (実施の形態 2：全体構成）
図 14は、本発明の実施の形態 2に係る通信システムの全体の構成を例示する。本 実施の形態に係る通信システムは、回線 501と、ネットワーク利用端末 502と、二次 端末 503と、認証サーバ 504と、サービス提供サーバ 1401と、力らなる。したがって、 本実施の形態に係る通信システムは、実施の形態 1に係る通信システムにサービス 提供サーバ 1401が追加された構成となっている。
[0064] サービス提供サーバ 1401は、第 1のネットワークを介してサービスを提供するサー バである。
[0065] (実施の形態 2：二次端末認証情報の構造）
本実施の形態にぉ ヽては、二次端末 503の二次端末認証情報送信部 601が送信 する二次端末認証情報には、サービス提供サーバ識別情報が含まれる。「サービス 提供サーバ」とは、自身が第 1のネットワークを利用して通信を行なうサービス提供サ ーバを識別するための情報である。例えば、サービス提供サーバの IPアドレスや FQ DN (Full Qualified Domain Name)などである。
[0066] 図 15は、二次端末が送信する二次端末認証情報にサービス提供サーバ識別情報 が含まれて 、ることを例示して 、る。
[0067] (実施の形態 2 :中継部の処理）
本実施の形態においては、ネットワーク利用端末の中継部は、認証結果情報受信 部で受信された認証の結果に基づ 、て、二次端末の通信を第 1のネットワークを介し てサービス提供サーバに中継することで第 1のネットワークの利用を二次端末につい て許可する。例えば、二次端末力 のパケットがサービス提供サーバを行き先として いれば、そのパケットを回線 501へ送信し、そうでなければ、パケットを破棄する。ま た、第 1のネットワークから受信したパケットが二次端末を行き先とする場合、その送 信元がサービス提供サーバでなければ、そのようなパケットを破棄する。
[0068] (実施の形態 2 :認証部の処理）
本実施の形態においては、認証サーバの認証部は、複合認証情報受信部で受信 した複合認証情報に基づ ヽてサービス提供サーバを認証する。このサービス提供サ ーバの認証は、そのサービス提供サーバと二次端末との通信を認証することを目的 とする。すなわち、サービス提供サーバと二次端末との通信が可能となる前提として、 本実施の形態においては、サービス提供サーバが認証されなければならない。サー ビス提供サーバを認証する方法としては、複合認証情報に含まれる二次端末認証情 報を取得し、その二次端末認証情報に含まれるサービス提供サーバ識別情報に基 づいて、サービス提供サーバを認証する方法がある。例えば、認証サーバは、サービ ス提供サーバ識別情報に基づいて、サービス提供サーバへ乱数としてチャレンジを 送信し、サービス提供サーバは受信したチャレンジを自分の有する秘密鍵でチヤレ ンジを暗号ィ匕して返信（レスポンス)する。返信を受信した認証サーバは、サービス提 供サーバの公開鍵を取得し、返信を復号化し、元のチャレンジが得られるかどうかを 判断する。なお、このようなチャレンジ レスポンスによる認証の後や前に、サービス 提供サーバ識別情報が、有害なサーバの識別子を集めたリストなどに存在しないか どうか、あるいは、優良なサーバの識別子を集めたリストなどに存在することを確認し てもよい。
[0069] このように認証サーバがサービス提供サーバを認証することにより、本実施の形態 に係る通信システムにおいて、二次端末が通信できるサービス提供サーバを特定す ることができる。これにより、サービス提供料などの徴収が可能となる。また、サービス 提供サーバの管理者が悪意等を有して 、る場合、二次端末がネットワーク利用端末 を経由してサービス提供サーバを利用すると、ネットワーク利用端末の存在が悪意等 を有している管理者に判明してしまい、 DoS攻撃などを受ける場合がある力 そのよ うなサービス提供サーバが認証されないようにすることにより、 DoS攻撃を避けること ができる。
[0070] また、サービス提供サーバの認証の後に、二次端末とサービス提供サーバとの組 合せが適切なものであるかどうかを判断してもよい。例えば、二次端末の識別子と、 その二次端末が利用可能なサービス提供サーバを識別するためのサービス提供サ ーバ識別情報と、を関連付けてテーブルに蓄積してもよい。このようなテーブルを用 いて認証を行なうことにより、二次端末は所定のサービス提供サーバしか使用ができ なくなる。例えば、勤務中に外出している二次端末の所持者は、勤務先のサーバに しか接続できな 、ようにすることができる。
[0071] あるいは、ネットワーク利用端末の識別子と、その二次端末が利用可能なサービス 提供サーバを識別するためのサービス提供サーバ識別情報と、を関連付けてテープ ルに蓄積してもよい。このようなテーブルを用いて認証を行なうことにより、所定のネッ トワーク利用端末の周辺に居るときにだけ利用可能なサービスを提供することができ 、例えば、商店街や行楽地などの人寄せに役立つ。
[0072] (実施の形態 2 :主な効果）
上記に述べたように、本実施の形態により、二次端末が通信できるサービス提供サ ーバを指定することができ、サービス提供料の徴収が可能などとなる。
[0073] (実施の形態 3)
[0074] (実施の形態 3：全体構成）
図 16は、本発明の実施の形態 3に係る通信システムの全体の構成を例示する。本 実施の形態に係る通信システムは、回線 501と、ネットワーク利用端末 502と、二次 端末 503と、認証サーバ 504と、三次端末 1601と、力もなる。また、サービス提供サ ーバが存在していてもよい。したがって、本実施の形態に係る通信システムは、実施 の形態 1または 2に係る通信システムが三次端末 1601を有する構成となっている。
[0075] (実施の形態 3：三次端末の構成）
三次端末 1601は、第 3のネットワークを用いて二次端末 503と通信が可能な端末 である。「第 3のネットワーク」は、例えば無線 LANなどにより構成される通信網である
[0076] 図 17は、三次端末の機能ブロック図を例示する。三次端末 1601は、三次端末認 証情報送信部 1701を有する。
[0077] 「三次端末認証情報送信部」 1701は、三次端末認証情報を第 3のネットワークを利 用して二次端末 503に送信する。ここに、「三次端末認証情報」とは、自身を認証さ せるための情報であり、「自身」とは三次端末を意味する。したがって、三次端末認証 情報は、例えば、実施の形態 1における二次端末認証情報と同じ構造であってもよ い。
[0078] なお、本実施の形態に係る三次端末の部は、ハードウェア、ソフトウェア、ハードウ エアとソフトウェア（プログラム）の両者、の 、ずれかによつて構成することが可能であ る。たとえば、これらを実現する一例として、計算機を利用する場合には、 CPU,メモ リ、バス、インターフェース、周辺装置などから構成されるハードウエアと、これらのハ 一ドウエア上にて実行可能なソフトウェアを挙げることができる。したがって、図示はし ていないが、第 3のネットワークと通信を行なうためのネットワークインターフェースな どが三次端末に備えられている。また、三次端末がその所持者により操作されるもの であれば、ユーザーインターフェースなども備えられて!/、る。
[0079] (実施の形態 3：二次端末の構成）
図 18は、本実施の形態に係る通信システムの二次端末の機能ブロック図を例示す る。本実施の形態において、二次端末 503は、三次端末認証情報受信部 1801と、 二次端末認証情報送信部 601と、二次端末認証結果情報受信部 1802と、二次端 末中継部 1803と、を有する。
[0080] 「三次端末認証情報受信部」 1801は、三次端末 1601から送信される三次端末認 証情報を受信する。したがって、本実施の形態に係る二次端末は、実施の形態 1ま たは 2に係る二次端末が第 3のネットワークと通信するためのネットワークインターフエ ースを備えている。
[0081] 「二次端末認証情報送信部」 601は、実施の形態 1または 2におけるものと同様であ るが、本実施の形態においては、二次端末認証情報に、三次端末認証情報受信部 で受信された三次端末認証情報を含ませて送信する。
[0082] 「二次端末認証結果情報受信部」 1802は、二次端末認証情報の送信に応じて返 信される認証結果情報を受信する。認証結果情報は、後に説明されるようにネットヮ ーク利用端末 502を介して受信される。
[0083] 「二次端末中継部」 1803は、二次端末認証結果情報受信部 1802で受信された認 証結果情報に基づいて、三次端末 1601の通信を第 2のネットワークに中継すること で、第 1のネットワークの利用を三次端末 1601に対して許可する。もし、認証結果情 報力 認証が OKであることを示せば、二次端末 503の通信が第 1のネットワークに中 継されるので、二次端末が、三次端末の通信を第 2のネットワークに中継することによ り、三次端末は、第 1のネットワークの通信を行なうことが可能となる。
[0084] (実施の形態 3：ネットワーク利用端末の構成）
本実施の形態において、ネットワーク利用端末 502は、さらに、認証結果送信部を 有する。
[0085] 「認証結果送信部」は、認証結果情報受信部 803で受信した認証結果情報を二次 端末 503に対して送信する。 [0086] (実施の形態 3：認証サーバの構成）
本実施の形態において、認証サーバ 504の認証部 1002は、複合認証情報受信部 1001で受信した複合認証情報に基づ ヽてさらに三次端末 1601を認証する。認証 の方法は、二次端末やネットワーク利用端末の認証の方法と同じであっても構わな！/、 。あるいは、異なる方法であっても構わない。
[0087] (実施の形態 3：二次端末の処理）
図 19は、本実施の形態における二次端末の処理の流れ図を例示する。二次端末 は、三次端末認証情報を受信するたびに、図 19の流れ図の処理を実行する。ステツ プ S1901において、三次端末認証情報を、三次端末認証情報受信部 1801により 受信する。ステップ S1902において、二次端末認証情報を取得する。この取得は、 例えば、二次端末認証情報送信部 601で行なわれる。ステップ S1903において、二 次端末認証情報を、二次端末認証情報送信部 601により送信する。ステップ S 1904 において、返信される認証結果情報を、二次端末認証結果情報受信部 1802により 受信する。ステップ S 1905において、認証が OKであるかどうかを判断する。もし、認 証が OKであれば、二次端末中継部 1803により、三次端末の通信を第 2のネットヮ ークに中継する。
[0088] (実施の形態 3 :主な効果）
本実施の形態によれば、二次端末と通信が可能な三次端末が第 1のネットワークを 利用することができ、本発明に係る通信システムの通信可能なエリアを広げることが できる。なお、このような考えを推し進めると、図 20に例示されるように、三次端末がさ らに四次端末と通信が可能であり、四次端末が第 1のネットワークを利用可能となるよ うにすることもでき、更に、四次端末が五次端末と通信が可能とすることもできる。これ により、例えば、道路を走る自動車などの連続して並ぶ移動体に端末を搭載すること により、移動体からのネットワークの利用が可能となる。
[0089] (実施の形態 4)
[0090] 本発明の実施の形態 4は、実施の形態 1に係る通信システムのネットワーク利用端 末に相当する。実施の形態 1においては、通信システム全体の中でネットワーク利用 端末が位置づけられていた力 実施の形態 4においては、ネットワーク利用端末単体 について説明がされる。
[0091] すなわち、本実施の形態に係るネットワーク端末は、回線によって第 1のネットヮー クに接続され、第 2のネットワークを用いて二次端末と通信が可能なネットワーク利用 端末である。
[0092] ネットワーク利用端末は、二次端末認証情報受信部と、複合認証情報送信部と、認 証結果情報受信部と、中継部と、を有する。
[0093] 「二次端末認証情報受信部」は、前記二次端末から送信された前記二次端末を認 証させるための情報である二次端末認証情報を受信する。
[0094] 「複合認証情報送信部」は、前記二次端末認証情報受信部で受信された二次端末 認証情報と、自身を認証させるための情報である利用端末認証情報と、を含む情報 である複合認証情報を送信する。
[0095] 「認証結果情報受信部」は、前記複合認証情報の送信に応じて返信される情報で あって前記複合認証情報に基づく認証の結果を示す情報である認証結果情報を受 信する。
[0096] 「中継部」は、前記認証結果情報受信部で受信された認証結果情報に基づ!、て、 前記二次端末の通信を前記第 1のネットワークに中継することで前記第 1のネットヮー クの利用を前記二次端末に対して許可する。
[0097] ネットワーク利用端末の処理については、図 9を用いて既に説明したので省略する
[0098] (実施の形態 5)
[0099] 本発明の実施の形態 5は、実施の形態 1に係る通信システムの認証サーバに相当 する。
[0100] すなわち、本実施の形態に係る認証サーバは、二次端末と通信が可能なネットヮー ク利用端末と通信を行なう認証サーバである。二次端末は、上で説明したような端末 装置である。
[0101] 認証サーバは、複合認証情報受信部と、認証部と、認証結果返信部と、を有する。
[0102] 「複合認証情報受信部」は、前記二次端末を認証させるための情報である二次端 末認証情報と前記ネットワーク利用端末を認証させるための情報である利用端末認 証情報と、を含む情報である複合認証情報を前記ネットワーク利用端末より受信する
[0103] 「認証部」は、前記複合認証情報受信部で受信した複合認証情報に基づ 、て、前 記二次端末と前記ネットワーク利用端末とを認証する。
[0104] 「認証結果返信部」は、前記認証部での認証の結果を認証結果情報として返信す る。
[0105] 認証サーバの処理については、図 11を用いて説明したので省略する。
[0106] (実施の形態 6)
[0107] 本発明の実施の形態 6は、実施の形態 2に係る通信システムの二次端末に相当す る。
[0108] すなわち、本実施の形態に係る二次端末は、サービスを提供するサービス提供サ ーバと通信が可能な第 1のネットワークに回線を介して接続されたネットワーク利用端 末と第 2のネットワークを用いて通信が可能な端末である。
[0109] 二次端末は、二次端末認証情報送信部を有する。
[0110] 「二次端末認証情報送信部」は、自身を認証させるための情報である二次端末認 証情報に、前記第 1のネットワークを利用して通信を行なう前記サービス提供サーバ を識別するための情報であるサービス提供サーバ識別情報を含ませて、第 2のネット ワークを用いて前記ネットワーク利用端末に対して送信する。ここに「自身」とは、二次 端末を意味する。
[0111] (実施の形態 7)
[0112] 本発明の実施の形態 7は、実施の形態 2に係る通信システムのネットワーク利用端 末に相当する。したがって、本実施の形態に係るネットワーク利用端末は、実施の形 態 4に係るネットワーク利用端末において、第 1のネットワークは、サービスを提供する サービス提供サーバとの通信が可能であり、前記二次端末認証情報には、二次端末 が前記第 1のネットワークを利用して通信を行なう前記サービス提供サーバを識別す るための情報であるサービス提供サーバ識別情報が含まれ、前記中継部は、前記認 証結果情報受信部で受信された認証の結果に基づ!/、て、前記二次端末の通信を前 記第 1のネットワークを介して前記サービス提供サーバに中継することで前記第 1の ネットワークの利用を前記二次端末に対して許可する。
[0113] (実施の形態 8)
[0114] 本発明の実施の形態 8は、実施の形態 2に係る通信システムの認証サーバに相当 する。したがって、本実施の形態に係る認証サーバは、実施の形態 5に係る認証サ ーバにおいて、前記ネットワーク利用端末は、第 1のネットワークを利用して、サービ スを提供するサービス提供サーバとの通信が可能であり、前記二次端末認証情報に は、二次端末が前記第 1のネットワークを利用して通信を行なう前記サービス提供サ ーバを識別するための情報であるサービス提供サーバ識別情報が含まれ、前記認 証部は前記複合認証情報受信部で受信した複合認証情報に基づいて前記サービ ス提供サーバを認証する。
[0115] (実施の形態 9)
[0116] 本発明の実施の形態 9は、実施の形態 3に係る通信システムのネットワーク利用端 末に相当する。したがって、本実施の形態に係るネットワーク利用端末は、実施の形 態 4または 7のネットワーク利用端末が、認証結果情報受信部で受信した認証結果情 報を前記二次端末に対して送信する認証結果情報送信部を有する構成となってい る。
[0117] (実施の形態 10)
[0118] 本発明の実施の形態 10は、実施の形態 3に係る通信システムの認証サーバに相 当する。したがって、本実施の形態に係る認証サーバは、実施の形態 5または 8に係 る認証サーバにおいて、前記二次端末は、第 3のネットワークを利用して、自身を認 証させるための情報である三次端末認証情報を送信する三次端末と通信が可能で あり、前記二次端末は、二次端末認証情報に前記三次端末認証情報を含ませて送 信し、前記認証部は、前記複合認証情報受信部で受信した複合認証情報に基づい てさらに前記三次端末を認証する。
[0119] (実施の形態 11)
[0120] 本発明に係る実施の形態 11は、例えば、実施の形態 1の通信システムが動作する ように、ネットワーク利用端末と、二次端末と、認証サーバと、を通信させる方法である [0121] すなわち、本実施の形態に係る方法は、回線により第 1のネットワークに接続される ネットワーク利用端末と、第 2のネットワークを用いて前記ネットワーク利用端末と通信 が可能な二次端末と、認証サーバと、を通信させる方法であり、二次端末認証情報 送信ステップと、二次端末認証情報受信ステップと、複合認証情報送信ステップと、 認証結果情報受信ステップと、中継ステップと、複合認証情報受信ステップと、認証 ステップと、認証結果返信ステップと、を含む。
[0122] 「二次端末認証情報送信ステップ」は、二次端末が、自身を認証させるための情報 である二次端末認証情報を、前記第 2のネットワークを用いて前記ネットワーク利用 端末に対して送信するステップである。例えば、図 12のステップ S 1201に相当する。
[0123] 「二次端末認証情報受信ステップ」は、ネットワーク利用端末が、前記二次端末認 証情報送信ステップにて送信された二次端末認証情報を受信するステップである。 例えば、図 12のステップ S 1201に相当する。
[0124] 「複合認証情報送信ステップ」は、ネットワーク利用端末が、前記二次端末認証情 報受信ステップで受信された二次端末認証情報と、自身を認証させるための情報で ある利用端末認証情報と、を含む情報である複合認証情報を送信するステップであ る。例えば、図 12のステップ S1202に相当する。
[0125] 「認証結果情報受信ステップ」は、ネットワーク利用端末力 前記複合認証情報の 送信に応じて返信される認証結果情報を受信するステップである。例えば、図 12の ステップ S 1202に相当する。
[0126] 「中継ステップ」は、ネットワーク利用端末力 前記認証結果情報受信ステップで受 信された認証結果情報に基づ 、て、前記二次端末の通信を前記第 1のネットワーク に中継することで前記第 1のネットワークの利用を前記二次端末に対して許可するス テツプである。 f列えば、図 9のステップ S905、 S906にネ目当する。
[0127] 「複合認証情報受信ステップ」は、認証サーバが、前記ネットワーク利用端末力も送 信される複合認証情報を受信するステップである。例えば、図 12のステップ S1202 に相当する。
[0128] 「認証ステップ」は、認証サーバが、前記複合認証情報受信ステップで受信した複 合認証情報に基づ ヽて、前記二次端末と前記ネットワーク利用端末とを認証するス テツプである。例えば、図 11のステップ S1102に相当する。
[0129] 「認証結果返信ステップ」は、認証サーバ力 前記認証ステップでの認証の結果を 返信するステップである。例えば、図 12のステップ S 1203に相当する。
[0130] 本明細書は、 2004年 5月 19日出願の特願 2004— 149126に基づく。この内容は すべてここに含めておく。
産業上の利用可能性
[0131] 本発明に係る通信システムは、回線の余剰帯域の利用を促進することができ、また 、回線の帯域を提供した者と利用した者とに対する課金管理などをスムーズに行なう ことができ、産業上有用である。

Claims

請求の範囲
[1] 第 1のネットワークに接続するネットワーク利用端末と、第 2のネットワークを通じて前 記ネットワーク利用端末と通信が可能な二次端末と、前記第 1のネットワークを通じて 前記ネットワーク利用端末と通信が可能な認証サーバと、力 なる通信システムであ つて、
前記二次端末は、自身を認証させる情報を含む二次端末認証情報を前記ネットヮ ーク利用端末に送信する二次端末認証情報送信部を有し、
前記ネットワーク利用端末は、前記二次端末から送信された前記二次端末認証情 報と自身を認証させる情報である利用端末認証情報とを含む情報である複合認証情 報を前記認証サーバに送信する複合認証情報送信部と、前記複合認証情報に基づ く認証の結果である認証結果情報を前記認証サーバから受信する認証結果情報受 信部と、前記認証結果情報に基づ!、て前記二次端末の通信を前記第 1のネットヮー クに中継することで前記第 1のネットワークの利用を前記二次端末に許可する中継部 と、を有し、
前記認証サーバは、前記ネットワーク利用端末から送信された前記複合認証情報 を受信する複合認証情報受信部と、前記複合認証情報に基づ 、て前記二次端末と 前記ネットワーク利用端末とを認証する認証部と、認証の結果を前記認証結果情報 として前記ネットワーク利用端末に返信する認証結果返信部と、を有する通信システ ム。
[2] 前記第 1のネットワークを介してサービスを提供するサービス提供サーバをさらに有 し、
前記二次端末の二次端末認証情報送信部が送信する二次端末認証情報には、自 身が前記第 1のネットワークを利用して通信を行なう前記サービス提供サーバを識別 するための情報であるサービス提供サーバ識別情報が含まれ、
前記ネットワーク利用端末の前記中継部は、前記認証結果情報に基づいて、前記 二次端末の通信を前記第 1のネットワークを介して前記サービス提供サーバに中継 することで前記第 1のネットワークの利用を前記二次端末に許可し、
前記認証サーバの認証部は、前記複合認証情報受信部で受信した複合認証情報 に基づいて前記サービス提供サーバを認証する請求項 1記載の通信システム。
[3] 第 3のネットワークを通じて前記二次端末と通信が可能な三次端末をさらに有し、 前記三次端末は、自身を認証させるための情報である三次端末認証情報を前記 二次端末に送信する三次端末認証情報送信部を有し、
前記二次端末は、前記三次端末から送信された三次端末認証情報を受信する三 次端末認証情報受信部と、前記二次端末認証情報の送信に応じて返信される認証 結果情報を受信する二次端末認証結果情報受信部と、前記二次端末認証結果情 報受信部で受信された認証結果情報に基づいて前記三次端末の通信を中継するこ とで前記第 1のネットワークの利用を前記三次端末に許可する二次端末中継部と、を 有し、
前記二次端末認証情報送信部は、前記二次端末認証情報に、前記三次端末認証 情報受信部で受信された三次端末認証情報を含ませて送信し、
前記ネットワーク利用端末は、前記認証結果情報受信部で受信した認証結果情報 を前記二次端末に送信する認証結果情報送信部を有し、
前記認証サーバの前記認証部は、前記複合認証情報受信部で受信した複合認証 情報に基づいてさらに前記三次端末を認証する請求項 1記載の通信システム。
[4] 第 1のネットワークに接続可能であり、第 2のネットワークを通じて二次端末と通信が 可能であり、前記第 1のネットワークを通じて認証サーバと通信が可能なネットワーク 利用端末であって、
前記二次端末から送信された前記二次端末を認証させるための情報である二次端 末認証情報を受信する二次端末認証情報受信部と、
前記二次端末認証情報受信部で受信された二次端末認証情報と自身を認証させ るための情報である利用端末認証情報とを含む情報である複合認証情報を前記認 証サーバに送信する複合認証情報送信部と、
前記複合認証情報の送信に応じて返信される情報であって前記複合認証情報に 基づく認証の結果を示す情報である認証結果情報を前記認証サーバに力 受信す る認証結果情報受信部と、
前記認証結果情報受信部で受信された認証結果情報に基づ!、て、前記二次端末 の通信を前記第 1のネットワークに中継することで前記第 1のネットワークの利用を前 記二次端末に許可する中継部と、
を有するネットワーク利用端末。
[5] 第 2のネットワークを通じて二次端末と通信が可能なネットワーク利用端末と第 1の ネットワークを通じて通信を行なう認証サーバであって、
前記二次端末を認証させるための情報である二次端末認証情報と前記ネットヮー ク利用端末を認証させるための情報である利用端末認証情報とを含む情報である複 合認証情報を前記ネットワーク利用端末より受信する複合認証情報受信部と、 前記複合認証情報受信部で受信した複合認証情報に基づ!ヽて、前記二次端末と 前記ネットワーク利用端末とを認証する認証部と、
前記認証部での認証の結果を認証結果情報として前記ネットワーク利用端末に返 信する認証結果返信部と、
を有する認証サーバ。
[6] 前記第 1のネットワークを介してサービスを提供するサービス提供サーバとの通信 が可能であり、
前記二次端末認証情報には、二次端末が前記第 1のネットワークを利用して通信を 行なう前記サービス提供サーバを識別するための情報であるサービス提供サーバ識 別情報が含まれ、
前記中継部は、前記認証結果情報受信部で受信された認証の結果に基づ!、て、 前記二次端末の通信を前記第 1のネットワークを介して前記サービス提供サーバに 中継することで前記第 1のネットワークの利用を前記二次端末に許可する請求項 4に 記載のネットワーク利用端末。
[7] 前記二次端末認証情報には、前記第 1のネットワークを介してサービスを提供する サービス提供サーバを識別するための情報であるサービス提供サーバ識別情報が 含まれ、
前記認証部は、前記複合認証情報受信部で受信した複合認証情報に基づ!、て前 記サービス提供サーバを認証し、前記二次端末と前記サービス提供サーバとの通信 を認証する請求項 5に記載の認証サーバ。
[8] 前記二次端末認証情報には、前記二次端末が第 3のネットワークを利用して通信を 行なう三次端末を認証させるための情報である三次端末認証情報が含まれ、 前記認証部は、前記複合認証情報受信部で受信した複合認証情報に基づ!、て前 記三次端末を認証する請求項 5に記載の認証サーバ。
[9] 第 1のネットワークに接続されるネットワーク利用端末と、第 2のネットワークを通じて 前記ネットワーク利用端末と通信が可能な二次端末と、前記第 1のネットワークを通じ て前記ネットワーク利用端末と通信が可能な認証サーバと、を通信させる方法であつ て、
前記二次端末が、自身を認証させるための情報である二次端末認証情報を前記ネ ットワーク利用端末に送信する二次端末認証情報送信ステップと、
前記ネットワーク利用端末が、前記二次端末認証情報送信ステップにて送信され た二次端末認証情報を受信する二次端末認証情報受信ステップと、
前記ネットワーク利用端末が、前記二次端末認証情報受信ステップで受信された 二次端末認証情報と自身を認証させるための情報である利用端末認証情報とを含 む情報である複合認証情報を送信する複合認証情報送信ステップと、
前記認証サーバが、前記ネットワーク利用端末から送信される複合認証情報を受 信する複合認証情報受信ステップと、
前記認証サーバが、前記複合認証情報受信ステップで受信した複合認証情報に 基づ 、て、前記二次端末と前記ネットワーク利用端末とを認証する認証ステップと、 前記認証サーバが、前記認証ステップでの認証の結果を認証結果情報として前記 ネットワーク利用端末に返信する認証結果返信ステップと、
前記ネットワーク利用端末が、前記認証結果情報を受信する認証結果情報受信ス テツプと、
前記ネットワーク利用端末が、前記認証結果情報に基づいて、前記二次端末の通 信を前記第 1のネットワークに中継することで前記第 1のネットワークの利用を前記二 次端末に許可する中継ステップと、
を含む通信方法。
ZLL OO/SOOZdT/lJd 63 9Z8lll/S00Z OAV
PCT/JP2005/008772 2004-05-19 2005-05-13 通信システム WO2005111826A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP05739226A EP1752883A4 (en) 2004-05-19 2005-05-13 COMMUNICATION SYSTEM
US11/596,574 US20070226490A1 (en) 2004-05-19 2005-05-13 Communication System

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004149126A JP4009273B2 (ja) 2004-05-19 2004-05-19 通信方法
JP2004-149126 2004-05-19

Publications (1)

Publication Number Publication Date
WO2005111826A1 true WO2005111826A1 (ja) 2005-11-24

Family

ID=35394327

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/008772 WO2005111826A1 (ja) 2004-05-19 2005-05-13 通信システム

Country Status (4)

Country Link
US (1) US20070226490A1 (ja)
EP (1) EP1752883A4 (ja)
JP (1) JP4009273B2 (ja)
WO (1) WO2005111826A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015191436A (ja) * 2014-03-28 2015-11-02 情報セキュリティ・マネジメント株式会社 通信システム

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4143082B2 (ja) * 2005-08-23 2008-09-03 株式会社東芝 情報処理装置および認証制御方法
US9692732B2 (en) 2011-11-29 2017-06-27 Amazon Technologies, Inc. Network connection automation
JP5650252B2 (ja) * 2013-01-08 2015-01-07 日本電信電話株式会社 権限発行システム、権限発行サーバ、及び権限発行方法
JP2016157359A (ja) * 2015-02-26 2016-09-01 沖電気工業株式会社 サービス提供システム、情報処理装置、及びプログラム

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1081895A1 (en) 1999-09-03 2001-03-07 Intel Corporation Secure wireless local area network
JP2002111870A (ja) * 2000-09-28 2002-04-12 Toshiba Corp 通信システム、移動端末装置、ゲートウェイ装置及び通信制御方法
JP2002125069A (ja) * 2000-10-16 2002-04-26 Mitsubishi Electric Corp Ｉｐ電話システム、無線ｉｐ電話機および無線ｌａｎ基地局
JP2003085063A (ja) * 2001-09-10 2003-03-20 Matsushita Electric Ind Co Ltd 通信中継装置及び通信方法
EP1379053A1 (en) 2002-06-20 2004-01-07 TeliaSonera Finland Oyj Method for transferring a user-ID password pair, and a wireless network
JP2004023312A (ja) * 2002-06-14 2004-01-22 Hitachi Ltd アクセスネットワークサービス提供方法、アクセスネットワークサービス制御装置、及びアクセスネットワークサービスにおける課金管理装置

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US65785A (en) * 1867-06-18 William adamson
US69287A (en) * 1867-09-24 Improvement in eeveesible butt-hinges
US6463474B1 (en) * 1999-07-02 2002-10-08 Cisco Technology, Inc. Local authentication of a client at a network device
JP3570310B2 (ja) * 1999-10-05 2004-09-29 日本電気株式会社 無線ｌａｎシステムにおける認証方法と認証装置
US6766453B1 (en) * 2000-04-28 2004-07-20 3Com Corporation Authenticated diffie-hellman key agreement protocol where the communicating parties share a secret key with a third party
JP4622070B2 (ja) * 2000-09-13 2011-02-02 株式会社デンソー 適応通信システム、通信端末、及び記録媒体
US6732270B1 (en) * 2000-10-23 2004-05-04 Motorola, Inc. Method to authenticate a network access server to an authentication server
US7075912B2 (en) * 2001-03-16 2006-07-11 Nippon Telegraph And Telephone Corporation Wireless communication system using access points that can be freely set up by users
US6858988B1 (en) * 2001-10-31 2005-02-22 Old Dominion University Research Foundation Electrodeless excimer UV lamp
US20030235305A1 (en) * 2002-06-20 2003-12-25 Hsu Raymond T. Key generation in a communication system
KR100494558B1 (ko) * 2002-11-13 2005-06-13 주식회사 케이티 공중 무선랜 서비스 시스템의 사용자 인증방법 및 시스템
FR2851104A1 (fr) * 2003-02-10 2004-08-13 France Telecom Procede et systeme d'authentification d'un utilisateur au niveau d'un reseau d'acces lors d'une connexion de l'utilisateur au reseau internet

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1081895A1 (en) 1999-09-03 2001-03-07 Intel Corporation Secure wireless local area network
JP2002111870A (ja) * 2000-09-28 2002-04-12 Toshiba Corp 通信システム、移動端末装置、ゲートウェイ装置及び通信制御方法
JP2002125069A (ja) * 2000-10-16 2002-04-26 Mitsubishi Electric Corp Ｉｐ電話システム、無線ｉｐ電話機および無線ｌａｎ基地局
JP2003085063A (ja) * 2001-09-10 2003-03-20 Matsushita Electric Ind Co Ltd 通信中継装置及び通信方法
JP2004023312A (ja) * 2002-06-14 2004-01-22 Hitachi Ltd アクセスネットワークサービス提供方法、アクセスネットワークサービス制御装置、及びアクセスネットワークサービスにおける課金管理装置
EP1379053A1 (en) 2002-06-20 2004-01-07 TeliaSonera Finland Oyj Method for transferring a user-ID password pair, and a wireless network

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
A. INOUE ET AL.: "IP Layer Security and Mobility Support Design Policy and an Implementation", ISS 1997 WORLD TELECOMMUNICATIONS CONGRESS, 21 September 1997 (1997-09-21)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015191436A (ja) * 2014-03-28 2015-11-02 情報セキュリティ・マネジメント株式会社 通信システム

Also Published As

Publication number Publication date
US20070226490A1 (en) 2007-09-27
JP4009273B2 (ja) 2007-11-14
JP2005333350A (ja) 2005-12-02
EP1752883A1 (en) 2007-02-14
EP1752883A4 (en) 2010-12-29

Similar Documents

Publication Publication Date Title
JP3869392B2 (ja) 公衆無線ｌａｎサービスシステムにおけるユーザ認証方法および該方法をコンピュータで実行させるためのプログラムを記録した記録媒体
TWI293844B (en) A system and method for performing application layer service authentication and providing secure access to an application server
EP1554862B1 (en) Session key management for public wireless lan supporting multiple virtual operators
JP4666169B2 (ja) 信頼されないアクセス局を介した通信方法
US7913080B2 (en) Setting information distribution apparatus, method, program, and medium, authentication setting transfer apparatus, method, program, and medium, and setting information reception program
CN101006682B (zh) 快速网络附着
CN101711031B (zh) 一种本地转发中的Portal认证方法和接入控制器
JP2002111870A (ja) 通信システム、移動端末装置、ゲートウェイ装置及び通信制御方法
JP5536628B2 (ja) 無線ｌａｎ接続方法、無線ｌａｎクライアント、および無線ｌａｎアクセスポイント
Shi et al. IEEE 802.11 roaming and authentication in wireless LAN/cellular mobile networks
JP2004241976A (ja) 移動通信ネットワークシステムおよび移動端末認証方法
JP2008199324A (ja) 通信制御課金システム、通信制御課金方法、および通信制御課金プログラム
JP2002118562A (ja) 認証拒否端末に対し特定条件でアクセスを許容するｌａｎ
CN101197721B (zh) 对用户终端进行网络配置的方法和装置
Leroy et al. SWISH: secure WiFi sharing
WO2005111826A1 (ja) 通信システム
EP1914960B1 (en) Method for transmission of DHCP messages
JP2009217722A (ja) 認証処理システム、認証装置、管理装置、認証処理方法、認証処理プログラムおよび管理処理プログラム
KR102224454B1 (ko) 네트워크 트래픽 제어 방법, 장치, 시스템 및 컴퓨터 프로그램
CN101742507B (zh) 一种WAPI终端访问Web应用站点的系统及方法
JP2010074481A (ja) Ｌａｎシステム、端末装置、利用申請装置、ユーザアカウント取得方法
JP2007329951A (ja) 認証サーバ、ネットワーク利用端末、二次端末および通信方法
JP2006121728A (ja) 通信システム、移動端末装置、ゲートウェイ装置及び通信制御方法
KR101480706B1 (ko) 인트라넷에 보안성을 제공하는 네트워크 시스템 및 이동통신 네트워크의 보안 게이트웨이를 이용하여 인트라넷에 보안성을 제공하는 방법
Panken et al. Architecture for sharing residential access with roaming WLAN users

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS KE KG KM KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NG NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): BW GH GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2005739226

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 11596574

Country of ref document: US

Ref document number: 2007226490

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWW Wipo information: withdrawn in national office

Country of ref document: DE

WWP Wipo information: published in national office

Ref document number: 2005739226

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 11596574

Country of ref document: US