JP2007174287A - 無線パケット通信システム、無線パケット基地局、無線パケット端末及び不正通信の排除方法 - Google Patents

Abstract

【課題】複数のＷＬＡＮが混在する環境において、セキュリティを向上できる仕組みを提供する。
【解決手段】ＷＬＡＮの正規ＡＰ１１〜１３又は正規ＳＴＡ３１、３２は、未知の送信元のビーコンを傍受した場合に、監視サーバ６１に対して、該送信元が正規に登録されているか否かを照会する。ビーコンの送信元が監視サーバ６１に登録されていない不正ＡＰ２１〜２３である場合、正規ＡＰ１１〜１３又は正規ＳＴＡ３１、３２は、ダミーのＡＣＫパケット等の偽装パケット（なりすまし）を送信することにより、不正ＡＰ−不正ＳＴＡ間の通信を排除する。
【選択図】図２

Description

本発明は、無線パケット通信システム、無線パケット基地局、無線パケット端末及び不正通信の排除方法に関し、特に、未登録の無線パケット基地局とその配下の無線パケット端末間の無線区間の不正通信を排除する技術に関する。

無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ；以下、「ＷＬＡＮ」と称する）に代表される無線ネットワークシステムは、公共の無線周波数資源を周辺の他システムと共有しながらパケット通信を実施するべく発展してきており、装置・機器類の価格低下や入手性などから気軽に導入できるようになってきている。こうした背景から、セキュリティ面では、周辺に多数のシステムが混在するようになり、不正なネットワーク侵入に対する防御機能や、個人情報・秘密情報などの漏洩に対する防御機能を如何に構築するかが緊喫の課題となっている。また、標準化作業においてもセキュリティの強化に向けた対策がより一層必要とされてきている。

特にＷＬＡＮでは、不正に設置された無線ＬＡＮ基地局（アクセスポイント；以下、「ＡＰ」と称する）により外部から侵入される可能性があり、例えば、特開２００５−１８４７１９号公報には、各ＡＰが他のＡＰの状態情報を受信する手段と前記状態情報を監視装置に送信する送信手段を備え、監視装置でこれを集計して不正なＡＰの存在を管理者に通報できるようにした無線ＬＡＮシステムが開示されている。

また、特開２００３−１９８５７１号公報には、無線ＬＡＮ端末（ステーション；以下、「ＳＴＡ」と称する）がＡＰのサーチ結果をＷＬＡＮに接続されたコントローラに送信し、コントローラが予め登録されたＡＰリストと照合して不正なＡＰを検出するネットワークセキュリティシステムが開示されている。

また、国際公開ＷＯ２００５／０８１４６０号には、無線フレームに含まれるＢＳＳＩＤに基づいて不正なＡＰを検出し、管理対象のＳＴＡに対して該不正なＡＰの利用を禁止する旨を通知する運用管理装置を含んで無線通信システムが開示されている。

特開２００５−１８４７１９号公報 特開２００３−１９８５７１号公報 国際公開ＷＯ２００５／０８１４６０号

図１０、図１１は、従来のＷＬＡＮシステム構成例を表した図である。図１０の例では、サブネットワーク１００に対して、認証サーバ５１により、あるいは手動により、正規に接続を認める登録済みＡＰ（以下、「Ｒ−ＡＰ」と称する）２０が正規に接続されている。ここで、正規に接続を認められていない未登録ＡＰ（以下、「ＮＲ−ＡＰ」と称する）２１〜２３が有線接続されたケースを考える。認証サーバ５１への認証を完了させることによりネットワーク上の通信が許可されるという認証方法を採ることによりＮＲ−ＡＰを検出できることが知られているが、ＮＲ−ＡＰとこれに接続する未登録ＳＴＡ（以下、「ＮＲ−ＳＴＡ」と称する）の間の無線区間で行われる通信を排除することはできないという問題点がある。

同様に、図１１の例は、あるサブネットワーク１００に対して、認証サーバ５１により、あるいは手動により、Ｒ−ＡＰ２０が正規に接続されている。サブネットワーク１００とは独立した別のサブネットワーク１０１にＮＲ−ＡＰ２１〜２３が接続されている。この場合、ＮＲ−ＡＰとＮＲ−ＳＴＡの間の無線区間で行われる通信を排除することはできないことはもちろんとして、ＮＲ−ＡＰ２１〜２３を検出するには、サブネットワーク１０１の管理権限を持つ必要があるという問題点がある。

本発明は、上記した事情に鑑みてなされたものであって、複数の無線通信網が混在する環境において、他システムの無線区間の通信を排除し、セキュリティを向上できる無線パケット通信の仕組みを提供することにある。

本発明の第１の視点によれば、無線パケット基地局（ＡＰ）と無線パケット端末（ＳＴＡ）と監視サーバ（ＳＶ）とを含んで構成される無線パケット通信システムであって、前記監視サーバ（ＳＶ）は、正規に認証された無線パケット基地局（Ｒ−ＡＰ）を登録管理する手段を備え、前記無線パケット基地局（Ｒ−ＡＰ）は、未知の送信元のビーコンを傍受した場合に、前記監視サーバ（ＳＶ）に対して、該ビーコンの送信元の無線パケット基地局が未登録無線パケット基地局（ＮＲ−ＡＰ）であるか否かを照会する手段と、前記照会の結果、未登録無線パケット基地局（ＮＲ−ＡＰ）と判定された場合に、該未登録無線パケット基地局（ＮＲ−ＡＰ）を排除する排除モードに移行し、前記未登録無線パケット基地局（ＮＲ−ＡＰ）に接続する無線パケット端末（ＮＲ−ＳＴＡ）を欺瞞する偽装情報を送信することにより、前記未登録無線パケット基地局（ＮＲ−ＡＰ）とその接続無線パケット端末（ＮＲ−ＳＴＡ）間の通信を排除（妨害）する手段と、を備えたこと、を特徴とする無線パケット通信システム及び該無線パケット通信システムを構成する装置が提供される。

また、本発明の第２の視点によれば、無線パケット通信システムにおける未登録の無線パケット基地局（ＮＲ−ＡＰ）とその接続無線パケット端末（ＮＲ−ＳＴＡ）間の不正通信の排除方法であって、無線パケット基地局（ＮＲ−ＡＰ）が、未知の送信元のビーコンを傍受した場合に、正しく認証された無線パケット基地局（Ｒ−ＡＰ）を登録管理する監視サーバ（ＳＶ）に対して、該ビーコンの送信元の無線パケット基地局が未登録無線パケット基地局（ＮＲ−ＡＰ）であるか否かを照会するステップと、前記照会の結果、未登録無線パケット基地局（ＮＲ−ＡＰ）と判定された場合に、前記無線パケット基地局（Ｒ−ＡＰ）が、該未登録無線パケット基地局（ＮＲ−ＡＰ）を排除する排除モードに移行し、前記未登録無線パケット基地局（ＮＲ−ＡＰ）に接続する無線パケット端末（ＮＲ−ＳＴＡ）を欺瞞する偽装情報を送信するステップと、を含むこと、を特徴とする不正通信の排除方法が提供される。

本発明によれば、無線パケット通信システムの無線区間のセキュリティを向上させること、そして、不正アクセスを捕捉しやすい環境を構築することが可能となる。

［第１の実施形態］
続いて、本発明を実施するための最良の形態について図面を参照して詳細に説明する。図１、図２は、本発明の一実施形態に係るＷＬＡＮシステムの構成例を表した図である。図１を参照すると、図１０の従来のＷＬＡＮシステムに対して、各Ｒ−ＡＰ１１〜１３及びＲ−ＳＴＡ３１、３２がそれぞれ監視制御部１１１、１２１、１３１、３１１、３２１を備えている点、及び、ネットワーク１００に監視サーバ６１が接続された構成となっている。

また図２を参照すると、図１１の従来のＷＬＡＮシステムに対して、各Ｒ−ＡＰ１１〜１３及びＲ−ＳＴＡ３１、３２がそれぞれ監視制御部１１１、１２１、１３１、３１１、３２１を備えている点、及び、ネットワーク１００に監視サーバ６１が接続されている点で異なっている。

本発明は、上記監視制御部と、監視サーバとを備えた構成により、周辺の無線上のパケットを監視し、装置固有のＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｏｒｏｌ Ａｄｄｒｅｓｓ）や、ＢＳＳＩＤ（Ｂａｓｉｃ Ｓｅｒｖｉｃｅ Ｓｅｔ ＩＤｅｎｔｉｆｉｅｒ）等によりＲ−ＡＰ又はＲ−ＳＴＡであるか否かを確認し、未登録であれば、その無線区間（図１、図２のＮＲ−ＡＰ２１とＮＲ−ＳＴＡ４１間）の通信を排除するための制御を実施することを特徴とするものである。

続いて、上記制御を行うための各装置の詳細構成について説明する。図３は、本発明の一実施形態に係るＲ−ＳＴＡ、Ｒ−ＡＰ及び監視サーバの詳細構成を表したブロック図である。図４は、ＮＲ−ＳＴＡ、ＮＲ−ＡＰ及び認証サーバの詳細構成を表したブロック図である。

はじめに、図４を参照すると、ＮＲ−ＡＰ２１は、従来の無線基地局装置と同様の構成であり、ネットワークインタフェース（以下、「Ｉ／Ｆ」と称する）部２１３と、ＡＰ制御部２１４と、ＭＡＣ制御部２１５と、ＰＨＹ ＭＯＤＥＭ部２１６と、ＲＦ送受信部２１７とを備えて構成され、ネットワーク１００に接続されている。

ネットワークＩ／Ｆ部２１３は、サブネットワーク１００とのＩ／Ｆを司る手段であり、ＡＰ制御部２１４は、ＮＲ−ＡＰ全体の制御を司る手段である。また、ＭＡＣ制御部２１５はパケットの解析・生成やそれらのタイミングを司る手段であり、ＰＨＹ ＭＯＤＥＭ部２１６は、変復調機能を提供する。また、ＲＦ送受信部２１７は、ＳＴＡとの無線インタフェースを司る手段である。

ネットワーク上の認証サーバ５１に対してＡＰ認証を実施する場合は、認証サーバ５１のＡＰ／ＳＴＡ認証制御部５１２に対してＮＲ−ＡＰ２１が問合せ（ＡＰ登録要求）を実施し、認証可（ＡＰ登録）となった場合にネットワーク１００上でやりとりが可能となる。

また、ＮＲ−ＳＴＡ４１は、アプリケーション／ドライバ４１２と、ＣＰＵ／ＣＰＵ Ｉ／Ｆ４１３と、ＷＬＡＮカードや内部実装型の通信モジュール（ＷＬＡＮモジュール）とを含んで構成される。ＷＬＡＮモジュールは、モジュールＩ／Ｆ４１４と、ＭＡＣ制御部４１５と、ＰＨＹ ＭＯＤＥＭ部４１６と、ＲＦ送受信部４１７とを備えて構成され、モジュールＩ／Ｆ４１４を介してアプリケーションドライバ４１２からのデータの送受信を行うことが可能となっている。

図３を参照すると、Ｒ−ＡＰ１１は、上記したＮＲ−ＡＰ２１の構成に加えて、監視制御部１１１を備えた構成となっている。監視制御部１１１は、ＲＦ送受信部１１７、ＰＨＹ ＭＯＤＥＭ部１１６、ＭＡＣ制御部１１５、ＡＰ制御部１１４に対するタイミングや無線上のパケット監視を実施する。

同様に、Ｒ−ＳＴＡ３１も、図３に示されたとおり、上記したＮＲ−ＳＴＡ４１の構成に加えて、監視制御部３１１を備えた構成となっている。

監視サーバ６１は、周辺の登録ＡＰを格納・管理する周辺ＡＰ管理テーブル６１３と、周辺ＡＰ管理テーブル６１３に基づいて登録ＡＰを管理するＡＰ管理部６１２と、を備えた構成となっている。

なお、図３の例では、認証サーバ５１と、管理サーバ６１とをそれぞれ別個に設けた構成としているが、認証サーバ５１にＡＰ管理部６１２及び周辺ＡＰ管理テーブル６１３を追加することで、監視サーバ６１として機能させることも可能である。

続いて、本実施形態の動作について図面を参照して詳細に説明する。図５は、送信元を偽装する擬似ＡＣＫ応答パケットを用いて未登録ＡＰを介した通信の排除を行う本発明の第１の実施形態の動作を説明するための図である。図５を参照すると、ＮＲ−ＡＰ２１が、ＮＲ−ＳＴＡ４１向けにビーコンを送信すると、傍受可能な位置に配置されたＲ−ＡＰ１１、Ｒ−ＳＴＡ３１がこれを傍受する。

例えば、Ｒ−ＡＰ１１が、ビーコンを傍受した場合（ステップＳ００１のＹｅｓ）、Ｒ−ＡＰ１１は、当該ビーコンからＭＡＣアドレス、ＢＳＳＩＤ情報を抽出し、監視サーバ６１に対し、ＮＲ−ＡＰ２１が登録済みのＡＰであるか否かを問い合わせる（ステップＳ００４）。

また例えば、Ｒ−ＳＴＡ３１が、ビーコンを傍受した場合（ステップＳ００２のＹｅｓ）、Ｒ−ＳＴＡ３１は、当該ビーコンからＭＡＣアドレス又はＢＳＳＩＤ情報を抽出し、Ｒ−ＡＰ１１に対しＮＲ−ＡＰ２１が登録済みのＡＰであるか否かを確認するよう要請する（ステップＳ００３）。この場合も、Ｒ−ＡＰ１１は、監視サーバ６１に対し、Ｒ−ＳＴＡ３１から受信したＭＡＣアドレス又はＢＳＳＩＤ情報を送信し、ＮＲ−ＡＰ２１が登録済みのＡＰであるか否かを問い合わせる（ステップＳ００４）。

Ｒ−ＡＰ１１からＭＡＣアドレス又はＢＳＳＩＤ情報を受信した監視サーバ６１は、ＡＰ管理部６１２を介して、周辺ＡＰ管理テーブル６１３を検索し、周辺ＡＰ管理テーブル６１３上のＲ−ＡＰの一覧からＢＳＳＩＤ若しくはＭＡＣアドレスが一致するＡＰが存在する否かを判定し、その結果を応答する（ステップ００５）。例えば、照会を受けたＡＰが周辺ＡＰ管理テーブル６１３に登録済みであった場合は、肯定応答（登録済みＡＰ）が送信され、照会を受けたＡＰが周辺ＡＰ管理テーブル６１３に未登録であった場合は、否定応答（未登録ＡＰ）が送信される。

Ｒ−ＡＰ１１は、監視サーバ６１から受信した照会結果を、配下のすべてのＲ−ＳＴＡに対して一斉通知する（ステップＳ００６）。なお、この一斉通知は、マルチキャストを用いて送信することとしてもよいし、ユニキャストを用いて個別に送信することとしてもよい。

ＡＰ照会結果が肯定応答（登録ＡＰ）であった場合には、特に干渉は行われないが（図６のステップＳ０２４−Ｓ０２５間の未登録ＡＰ排除モード解除状態参照）、ＡＰ照会結果が否定応答（未登録ＡＰ）であった場合は、Ｒ−ＡＰ１１及びＲ−ＳＴＡ３１がそれぞれ主体となって、ＮＲ−ＡＰ２１が関連する無線アクセスの排除動作を実施する未登録ＡＰ排除モードが開始される（ステップＳ００７）。

未登録ＡＰ排除モードに移行すると、Ｒ−ＡＰ１１及びＲ−ＳＴＡ３１の監視制御部１１１、３１１は、無線上でＮＲ−ＡＰ２１の送信パケットを受信すると（ステップＳ００８、Ｓ００９のＹｅｓ）、受信パケットのアドレス解析を行い、排除対象のＢＳＳＩＤ若しくは排除対象のＭＡＣアドレスと一致した場合、その通信相手のＭＡＣアドレスになりすまし、擬似的にＡＣＫ応答（ダミーＡＣＫ応答）を送信する（ステップＳ０１０、Ｓ０１１）。

その際、監視制御部１１１、３１１は、ＦＣＳ（Ｆｒａｍｅ Ｃｈｅｃｋ Ｓｅｑｕｅｎｃｅ）エラー無しの正常パケットとして擬似ＡＣＫパケットを送信することとしてもよいが、ＦＣＳエラー付きの擬似ＡＣＫパケットを応答することとしてもよい。また、送信タイミングについても、ＳＩＦＳ（Ｓｈｏｒｔ Ｉｎｔｅｒ Ｆｒａｍｅ Ｓｅｑｕｅｎｃｅ）時間を標準規格よりも例えば１μｓなど一定時間だけ前倒しすることにより、真正の通信相手からのＡＣＫ応答を妨害することが可能となる。

なお、最初に傍受したビーコンが未登録ＡＰのものであっても、認証サーバ５１に認証されうる正規のＡＰである場合には、未登録ＡＰ排除モードを解除することが可能である。以下、その際の動作を表した図６を参照して詳細に説明する。

図６のステップＳ００１〜Ｓ０１０までの動作は、図５と同様であり、正規のＡＰ（Ｒ−ＡＰ１２）であるが未登録状態のビーコンが受信されると、Ｒ−ＡＰ１１及びＲ−ＳＴＡ３１は、未登録ＡＰ排除モードに移行する。

正規のＡＰ（Ｒ−ＡＰ１２）が、監視サーバ６１に対して、手動もしくは有線イーサネット（登録商標）経由でＡＰ登録要求を送信すると（ステップＳ０２０）、監視サーバ６１は、周辺ＡＰ管理テーブル６１３にＲ−ＡＰ１２を登録し、その旨を応答する（ステップＳ０２１）。

更に、監視サーバ６１は、Ｒ−ＡＰ１１を含むその他ＡＰに対して、上記新規のＡＰ登録結果を通知する（ステップ０２２）。Ｒ−ＡＰ１１は、監視サーバ６１から受信したＡＰ登録結果を、配下のすべてのＲ−ＳＴＡに対して一斉通知する（ステップＳ０２３）。

以上により、未登録ＡＰ排除モードは解除され、Ｒ−ＡＰ１１及びＲ−ＳＴＡ３１によるＲ−ＡＰ１２及びＲ−ＳＴＡ３２間の通信への干渉は中断される。

また反対に、Ｒ−ＡＰ１２が、監視サーバ６１に対して、手動もしくは有線イーサネット（登録商標）経由でＡＰ解除要求を送信すると（ステップＳ０２５）、監視サーバ６１は、周辺ＡＰ管理テーブル６１３からＲ−ＡＰ１２を削除し、その旨を応答する（ステップＳ０２６）。

更に、監視サーバ６１は、Ｒ−ＡＰ１１を含むその他ＡＰに対して、上記Ｒ−ＡＰ１２のＡＰ解除結果を通知する（ステップ０２７）。Ｒ−ＡＰ１１は、監視サーバ６１から受信したＡＰ解除結果を、配下のすべてのＲ−ＳＴＡに対して一斉通知する（ステップＳ０２８）。

以上により、未登録ＡＰ排除モードが再開され、Ｒ−ＡＰ１１及びＲ−ＳＴＡ３１によるＲ−ＡＰ１２及びＲ−ＳＴＡ３２間の通信への妨害が再開される。

以上の説明からも明らかなとおり、Ｒ−ＡＰ又はＲ−ＳＴＡのいずれかがビーコン等を受信し、擬似ＡＣＫパケットを送出できれば未登録ＡＰ−ＳＴＡ間の通信を排除可能であり、Ｒ−ＳＴＡ側の監視制御部を省略することも可能であるが、その監視／排除性能を向上させるという観点からは、Ｒ−ＳＴＡ側にも監視制御部を設けることが好ましい。以下、その理由を説明する。

図７は、本実施形態に係るＷＬＡＮシステムの監視性能を説明するための図である。図７のように、Ｒ−ＡＰ１１、ＮＲ−ＡＰ２１、ＮＲ−ＡＰ２２が配置されているものとすると、その無線通信可能範囲はそれぞれ範囲９１、９２、９３となる。このとき、各ＡＰ及びＳＴＡが同一周波数であれば、その無線通信可能範囲内で受信可能なＳＴＡを含めて、時分割でそれぞれのＡＰ及びＳＴＡがパケットを送受信可能となる。

反対に、無線通信可能範囲外にあるＡＰ及びＳＴＡ同士はパケットを送受信不可能であり、例えば、範囲９１の外側のＮＲ−ＡＰ２１は、Ｒ−ＡＰ１１の通信を受信できないため、Ｒ−ＡＰ１１とほぼ同時刻にパケット送出を実行すると無線上で衝突してしまい、両者の無線通信を受信できるＲ−ＳＴＡ３１やＮＲ−ＳＴＡ４１は両者のパケットを受信できない状態に陥る。同様に、図７において、Ｒ−ＡＰ１１は、ＮＲ−ＳＴＡ４４が送信をしていることを認識可能であるが、ＮＲ−ＳＴＡ４５の存在がわからないために、Ｒ−ＡＰ１１とＮＲ−ＳＴＡ４５がほぼ同時刻にパケット送出を実行すると、ＮＲ−ＳＴＡ４４ではパケットの衝突が生じて受信できない状態になる可能性がある。これらを総称して一般的に「隠れ端末」問題と呼んでいる。

本実施形態では、各ＳＴＡ側にも監視制御部を実装し、ＷＬＡＮシステムのすべてのＳＴＡから周辺の無線通信を検知、妨害可能となっているため、ＷＬＡＮシステム全体として、より広範囲をカバーすることが可能となっている。

もちろん、要請されるセキュリティ強度やコストに応じて、ＳＴＡ側での監視制御を省略して、正規のＡＰのみでの監視とすることも可能である。また、ＷＬＡＮカード等の無線モジュールを動作させるドライバ類を準備することにより、上記したＳＴＡ側での監視制御を導入し隠れ端末の監視及び通信制御を可能として、セキュリティを事後的に増強することも可能である。

以上のように、未登録ＡＰ−ＳＴＡ間の通信を無線区間で妨害する未登録ＡＰ排除モードを設けることにより、ＷＬＡＮにおけるセキュリティの向上が達成される。また、上記実施形態からも明らかなとおり、外部からの不正なＡＰ若しくはこれを介した不正なＳＴＡの侵入及び不正な通信状態を常時監視する仕組みが構築されるため、認証サーバ５１による認証に加えて、不正アクセスを捕捉しやすい環境が実現される。また、不正な通信による有限で固有の無線周波数資源の使用を最低限に抑制することができるため、正規の通信での通信帯域及び通信スループットを可能な限り確保できるという効果も奏出される。

［第２の実施形態］
続いて、上記第１の実施形態と同様の構成にて実現可能な本発明の第２の実施形態について説明する。図８は、未登録ＡＰ排除モードにおいてＲ−ＡＰ及びＲ−ＳＴＡが能動的に通信の排除を行う本発明の第２の実施形態の動作を説明するための図である。

図８を参照すると、ＮＲ−ＡＰ２１が、ＮＲ−ＳＴＡ４１向けにビーコンを送信すると、傍受可能な位置に配置されたＲ−ＡＰ１１、Ｒ−ＳＴＡ３１はこれを傍受することが可能であるが、ＮＲ−ＳＴＡ４１がＮＲ−ＡＰ２１に対して帰属手順を行った場合を考える。

ＮＲ−ＳＴＡ４１がＮＲ−ＡＰ２１に帰属しようとして周辺のＢＳＳＩＤ等を検索する際のプローブリクエスト（以下、「ＰｒｏｂｅＲｅｑ」と称する）を送信すると、Ｒ−ＡＰ１１、Ｒ−ＳＴＡ３１がこれを傍受する。

ＰｒｏｂｅＲｅｑに対するＮＲ−ＡＰ２１からのプローブレスポンス（以下、「ＰｒｏｂｅＲｓｐ」と称する）もＲ−ＡＰ１１、Ｒ−ＳＴＡ３１に傍受される。その後、ＮＲ−ＡＰ２１とＮＲ−ＳＴＡ４１がアソシエーションリクエスト（以下、「ＡｓｓｏｃＲｅｑ」と称する）、アソシエーションレスポンス（以下、「ＡｓｓｏｃＲｓｐ」と称する）等通常の帰属手順に従って帰属動作を完了すると、ＮＲ−ＡＰ２１とＮＲ−ＳＴＡ４１の無線上での通信可能状態となる。

しかしながら、Ｒ−ＡＰ１１やＲ−ＳＴＡ３１は、プローブリクエスト／レスポンスを検知すると（ステップＳ１０１、Ｓ１０２）、監視サーバ６１に対し、照会を行う（ステップＳ１０３、Ｓ１０４）。

上記照会の結果、未登録のＡＰに対するプローブリクエスト／レスポンスであることが判明すると（ステップＳ１０５）、Ｒ−ＡＰ１１やＲ−ＳＴＡ３１は、上記第１の実施形態と同様に、未登録ＡＰの排除モードに移行する（ステップＳ１０６、Ｓ１０７）。

そして、未登録ＡＰの排除モードの間、Ｒ−ＡＰ１１やＲ−ＳＴＡ３１は、ＮＲ−ＡＰ２１になりすまし、定期的に、或いは、再帰属完了や帰属完了毎にＮＲ−ＳＴＡ４１に対して、擬似ディスアソシエーション（以下、「ＤｉｓＡｓｓｏｃ」と称する）手順を実行する（ステップＳ１０８、Ｓ１０９）。

以上により、所定のタイミングで、ＮＲ−ＡＰ２１に対するＮＲ−ＳＴＡ４１の帰属は解除され、上記第１の実施形態同様に、不正な無線通信を排除される。なお、本実施形態では、未登録ＡＰ排除モードへの移行完了までと、未登録ＡＰ排除モード解除への移行完了までの間、監視制御に時間がかかるため、本来排除したい無線通信パケットの一部が通過してしまう可能性があるため、他の排除方法と併用することも望ましい。

［第３の実施形態］
続いて、上記第１の実施形態と同様の構成にて実現可能な本発明の第３の実施形態について説明する。図９は、未登録ＡＰ排除モードにおいてＲ−ＡＰ及びＲ−ＳＴＡがパケット衝突を発生させることにより排除を行う本発明の第３の実施形態の動作を説明するための図である。

図９を参照すると、傍受した無線フレームに基づいてＲ−ＡＰ１１、Ｒ−ＳＴＡ３１が未登録ＡＰ排除モードに移行するまでの動作（図９のステップＳ２０１〜Ｓ２０７）は、上記した第１の実施形態と同様である。

未登録ＡＰ排除モードに移行すると（ステップＳ２０７）、Ｒ−ＡＰ１１、Ｒ−ＳＴＡ３１は、パケットを傍受すると（ステップＳ２０８、Ｓ２０９）、ヘッダ情報を解析し、排除対象ＡＰ（ＮＲ−ＡＰ２１）からのパケット長に応じて、擬似パケットを送出する（ステップＳ２１０、Ｓ２１１）。これにより、排除対象ＡＰ（ＮＲ−ＡＰ２１）からのパケット送出がまだ継続している場合に、無線上でパケットを衝突させ、不正な無線通信を排除することが可能となる。

なお、擬似パケットとしては、上記第１の実施形態と同様に擬似ＡＣＫパケットを送出することとしてもよいし、また、擬似データパケットを送出することとしてもよい。前者の擬似ＡＣＫパケットを用いる場合、ＦＣＳエラー無しの擬似ＡＣＫパケット、ＦＣＳエラー付きの擬似ＡＣＫパケットを選択可能であり、また、送信タイミングについても、ＳＩＦＳ時間を標準規格よりも例えば１μｓなど一定時間だけ前倒しすること等を予め設定しておくことが可能である。

また、後者の擬似データパケットを用いる場合、パケット長を実際のパケットのデータ長に対して変調方式ごとに一定長増減させて衝突範囲を選択する。また、これらを組み合わせることにより、不正な無線通信に対するＡＣＫ返答期間を含めた衝突も可能である。

以上、本発明の好適な各実施形態を説明したが、本発明の技術的範囲は、上述した実施形態に限定されるものではなく、未登録の無線パケット基地局（ＮＲ−ＡＰ）を検出した場合に、該無線パケット基地局（ＮＲ−ＡＰ）及びその配下の無線パケット端末（ＮＲ−ＳＴＡ）に対して、偽装情報（なりすまし情報；スプーフィング情報）を送信し、無線通信を排除するという本発明の要旨を逸脱しない範囲で、各種の変形・置換をなしうることが可能であることはいうまでもない。

例えば、上記した実施形態の説明では本発明をＷＬＡＮシステムに適用した例を挙げて説明したが、上述した特徴を有する基地局と監視サーバを設置可能であれば、その他の無線パケット通信にも本発明を適用することが可能である。

また例えば、本発明の理解のため上記した実施形態の説明では簡略化したが、ＷＬＡＮシステムで使用されている無線周波数チャネルが複数ある場合には、Ｒ−ＡＰあるいはＲ−ＳＴＡの監視制御部がそれぞれ監視する無線周波数チャネルを受け持ち、監視制御を行うようにすることとし、監視サーバ６１のＡＰ管理部６１２が複数のＲ−ＡＰを集中制御するよう構成することも可能である。

また、構内ＷＬＡＮの隅々まで十分な監視を実施するには、ＡＰのレイアウト上部分的に死角となる場所が生じることを考慮すべきである。必要となるセキュリティの強度によっては、指向性アンテナ等を使用し、死角が生じないようにする必要がある。

また、法令遵守や周波数資源の公共性の観点からすると、本発明は、上記したＷＬＡＮの標準規格に独自の制御を追加しているため、外部の一般のＷＬＡＮシステムや、同周波数帯における他の無線システムへの干渉を避けるよう配慮すべきである。より具体的には、構内ＷＬＡＮとしてシールド対策が施された壁や天井等により建物内外、フロア内外、室内／室外でＷＬＡＮの電磁波が遮断され、互いに他の無線システムに干渉を与えない状態で外部の一般のＷＬＡＮや無線システムへ影響を与えない環境や、広い空間であり隣接地や地下施設、上空の別の無線回線まで電磁波が到達できず一般のＷＬＡＮや無線システムへ影響を与えない環境での実現が望ましいと考えられる。

本発明の第１の実施形態に係るＷＬＡＮシステムの構成例を表した図である。 本発明の第１の実施形態に係るＷＬＡＮシステムの構成例を表した図である。 本発明の第１の実施形態に係るＲ−ＳＴＡ、Ｒ−ＡＰ及び監視サーバの詳細構成を表したブロック図である。 本発明の第１の実施形態に係るＮＲ−ＳＴＡ、ＮＲ−ＡＰ及び認証サーバの詳細構成を表したブロック図である。 本発明の第１の実施形態に係るＷＬＡＮシステムの動作を説明するための図である。 本発明の第１の実施形態に係るＷＬＡＮシステムの動作を説明するための図である。 本発明の第１の実施形態に係るＷＬＡＮシステムの動作を説明するための図である。 本発明の第２の実施形態に係るＷＬＡＮシステムの動作を説明するための図である。 本発明の第３の実施形態に係るＷＬＡＮシステムの動作を説明するための図である。 従来のＷＬＡＮシステムの構成例を表した図である。 従来のＷＬＡＮシステムの構成例を表した図である。

符号の説明

１１〜１３、２０ 無線ＬＡＮ基地局（Ｒ−ＡＰ）
２１〜２３ 未登録無線ＬＡＮ基地局（ＮＲ−ＡＰ）
３１〜３５ 登録無線ＬＡＮ端末（Ｒ−ＳＴＡ）
４１〜４５ 未登録無線ＬＡＮ端末（ＮＲ−ＳＴＡ）
５１ 認証サーバ
６１ 監視サーバ
９１〜９３ ＡＰ無線通信可能範囲
１００、１０１ （サブ）ネットワーク
１１１、１２１、１３１、３１１、３２１ 監視制御部
１１３、２１３、５１１、６１１ ネットワークＩ／Ｆ（インタフェース）部
１１４、２１４ ＡＰ制御部
１１５、２１５ ＭＡＣ制御部
１１６、２１６ ＰＨＹ ＭＯＤＥＭ部
１１７、２１７ ＲＦ送受信部
３１２、４１２ アプリケーション／ドライバ
３１３、４１３ ＣＰＵ／ＣＰＵ Ｉ／Ｆ（インタフェース）
３１４、４１４ モジュールＩ／Ｆ（インタフェース）
３１５、４１５ ＭＡＣ制御部
３１６、４１６ ＰＨＹ ＭＯＤＥＭ部
３１７、４１７ ＲＦ送受信部
５１２ ＡＰ／ＳＴＡ認証制御部
６１２ ＡＰ管理部
６１３ 周辺ＡＰ管理テーブル

Claims (23)

1. 無線パケット基地局と無線パケット端末と監視サーバとを含んで構成される無線パケット通信システムであって、
   前記監視サーバは、正規に認証された無線パケット基地局を登録管理する手段を備え、
   前記無線パケット基地局は、
   未知の送信元のビーコンを傍受した場合に、前記監視サーバに対して、該ビーコンの送信元の無線パケット基地局が未登録無線パケット基地局であるか否かを照会する手段と、
   前記照会の結果、未登録無線パケット基地局と判定された場合に、該未登録無線パケット基地局を排除する排除モードに移行し、前記未登録無線パケット基地局に接続する無線パケット端末を欺瞞する偽装情報を送信することにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除する手段と、を備えたこと、
   を特徴とする無線パケット通信システム。
2. 前記無線パケット基地局は、更に、
   前記監視サーバに対する照会の結果、未登録無線パケット基地局と判定された場合に、自局に接続する無線パケット端末に対して、該未登録無線パケット基地局の存在を通報する手段を備え、
   前記無線パケット端末は、
   前記通報に基づいて、該未登録無線パケット基地局を排除する排除モードに移行し、前記未登録無線パケット基地局に接続する無線パケット端末を欺瞞する偽装情報を送信することにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除する手段を備えたこと、
   を特徴とする請求項１に記載の無線パケット通信システム。
3. 前記無線パケット端末は、未知の送信元のビーコンを傍受した場合に、前記無線パケット基地局に対して、該ビーコンの送信元の無線パケット基地局が未登録無線パケット基地局であるか否かを確認するよう要請する手段を備え、
   前記無線パケット基地局は、前記要請を受信した場合にも、前記監視サーバに対して、前記無線パケット端末から通知されたビーコンの送信元の無線パケット基地局が未登録無線パケット基地局であるか否かを照会すること、
   を特徴とする請求項１又は２に記載の無線パケット通信システム。
4. 前記排除モードにおいて、前記未登録無線パケット基地局からのパケットに対し、該パケットの送信先名義の擬似ＡＣＫ応答パケットを応答することにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
   を特徴とする請求項１乃至３いずれか一に記載の無線パケット通信システム。
5. 予め傍受したプローブ要求又はプローブ応答に基づいて、未登録の無線パケット基地局に接続する無線パケット端末を検知しておき、
   前記排除モードにおいて、前記未登録無線パケット基地局に接続する無線パケット端末に対して、前記未登録無線パケット基地局名義で帰属解除（Ｄｉｓａｓｓｏｃｉａｔｉｏｎ）処理を行うことにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
   を特徴とする請求項１乃至３いずれか一に記載の無線パケット通信システム。
6. 前記排除モードにおいて、前記未登録無線パケット基地局からのパケットに対し、擬似パケットを送信し、パケット衝突を発生させることにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
   を特徴とする請求項１乃至３いずれか一に記載の無線パケット通信システム。
7. 正規に認証された無線パケット基地局を登録管理する手段を備えた監視サーバが接続された無線パケット通信システムに接続され、アクセスポイントを構成する無線パケット基地局であって、
   未知の送信元のビーコンを傍受した場合に、前記監視サーバに対して、該ビーコンの送信元の無線パケット基地局が未登録無線パケット基地局であるか否かを照会する手段と、
   前記照会の結果、未登録無線パケット基地局と判定された場合に、該未登録無線パケット基地局を排除する排除モードに移行し、前記未登録無線パケット基地局に接続する無線パケット端末を欺瞞する偽装情報を送信することにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除する手段と、を備えたこと、
   を特徴とする無線パケット基地局。
8. 更に、
   前記監視サーバに対する照会の結果、未登録無線パケット基地局と判定された場合に、自局に接続する無線パケット端末に対して、未登録無線パケット基地局の存在を通報する手段を備え、
   前記通報に基づいて、前記無線パケット端末を、該未登録無線パケット基地局を排除する排除モードに移行させ、前記未登録無線パケット基地局に接続する無線パケット端末を欺瞞する偽装情報を送信させることにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
   を特徴とする請求項７に記載の無線パケット基地局。
9. 前記無線パケット基地局は、未知の送信元のビーコンを傍受した無線パケット端末から該ビーコンの送信元の無線パケット基地局が未登録無線パケット基地局であるか否かを確認するよう要請を受信した場合にも、前記監視サーバに対して、前記無線パケット端末から通知されたビーコンの送信元の無線パケット基地局が未登録無線パケット基地局であるか否かを照会すること、
   を特徴とする請求項７又は８に記載の無線パケット基地局。
10. 前記排除モードにおいて、前記未登録無線パケット基地局からのパケットに対し、該パケットの送信先名義の擬似ＡＣＫ応答パケットを応答することにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
    を特徴とする請求項７乃至９いずれか一に記載の無線パケット基地局。
11. 予め傍受したプローブ要求又はプローブ応答に基づいて、未登録の無線パケット基地局に接続する無線パケット端末を検知しておき、
    前記排除モードにおいて、前記未登録無線パケット基地局に接続する無線パケット端末に対して、前記未登録無線パケット基地局名義で帰属解除（Ｄｉｓａｓｓｏｃｉａｔｉｏｎ）処理を行うことにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
    を特徴とする請求項７乃至９いずれか一に記載の無線パケット基地局。
12. 前記排除モードにおいて、前記未登録無線パケット基地局からのパケットに対し、擬似パケットを送信し、パケット衝突を発生させることにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
    を特徴とする請求項７乃至９いずれか一に記載の無線パケット基地局。
13. 正規に認証された無線パケット基地局を登録管理する手段を備えた監視サーバが接続された無線パケットシステムのアクセスポイントを構成する無線パケット基地局に接続可能な無線パケット端末であって、
    前記無線パケット基地局からの未登録無線パケット基地局を検出した旨の通報に基づいて、該未登録無線パケット基地局を排除する排除モードに移行し、前記未登録無線パケット基地局に接続する無線パケット端末を欺瞞する偽装情報を送信することにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除する手段を備えたこと、
    を特徴とする無線パケット端末。
14. 更に、未知の送信元のビーコンを傍受した場合に、前記無線パケット基地局に対して、該ビーコンの送信元の無線パケット基地局が未登録無線パケット基地局であるか否かを照会するよう要請する手段を備え、
    前記要請に対する無線パケット基地局からの応答に基づいて、前記排除モードに移行すること、
    を特徴とする請求項１３に記載の無線パケット端末。
15. 前記排除モードにおいて、前記未登録無線パケット基地局からのパケットに対し、該パケットの送信先名義の擬似ＡＣＫ応答パケットを応答することにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
    を特徴とする請求項１３又は１４に記載の無線パケット端末。
16. 予め傍受したプローブ要求又はプローブ応答に基づいて、未登録の無線パケット基地局に接続する無線パケット端末を検知しておき、
    前記排除モードにおいて、前記未登録無線パケット基地局に接続する無線パケット端末に対して、前記未登録無線パケット基地局名義で帰属解除（Ｄｉｓａｓｓｏｃｉａｔｉｏｎ）処理を行うことにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
    を特徴とする請求項１３又は１４に記載の無線パケット端末。
17. 前記排除モードにおいて、前記未登録無線パケット基地局からのパケットに対し、擬似パケットを送信し、パケット衝突を発生させることにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
    を特徴とする請求項１３又は１４に記載の無線パケット端末。
18. 無線パケット通信システムにおける未登録の無線パケット基地局と前記未登録の無線パケット基地局に接続する無線パケット端末間の不正通信の排除方法であって、
    無線パケット基地局が、未知の送信元のビーコンを傍受した場合に、正しく認証された無線パケット基地局を登録管理する監視サーバに対して、該ビーコンの送信元の無線パケット基地局が未登録無線パケット基地局であるか否かを照会するステップと、
    前記照会の結果、未登録無線パケット基地局と判定された場合に、前記無線パケット基地局が、該未登録無線パケット基地局を排除する排除モードに移行し、前記未登録無線パケット基地局に接続する無線パケット端末を欺瞞する偽装情報を送信するステップと、を含むこと、
    を特徴とする不正通信の排除方法。
19. 無線パケット通信システムにおける未登録の無線パケット基地局と前記未登録の無線パケット基地局に接続する無線パケット端末間の不正通信の排除方法であって、
    無線パケット基地局が、未知の送信元のビーコンを傍受した場合に、正しく認証された無線パケット基地局を登録管理する監視サーバに対して、該ビーコンの送信元の無線パケット基地局が未登録無線パケット基地局であるか否かを照会するステップと、
    前記照会の結果、未登録無線パケット基地局と判定された場合に、前記無線パケット基地局が、該無線パケット基地局に接続する無線パケット端末に対して、前記未登録無線パケット基地局の存在を通報するステップと、
    前記無線パケット基地局又は前記通報を受けた無線パケット端末が、該未登録無線パケット基地局を排除する排除モードに移行し、前記未登録無線パケット基地局に接続する無線パケット端末を欺瞞する偽装情報を送信するステップと、を含むこと、
    を特徴とする不正通信の排除方法。
20. 前記無線パケット端末が、未知の送信元のビーコンを傍受した場合に、前記無線パケット基地局に対して、該ビーコンの送信元の無線パケット基地局が未登録無線パケット基地局であるか否かを確認するよう要請するステップを含み、
    前記無線パケット基地局が前記要請に基づいて前記監視サーバに対する前記照会動作を開始すること、
    を特徴とする請求項１８又は１９に記載の不正通信の排除方法。
21. 前記排除モードにおいて、前記未登録無線パケット基地局からのパケットに対し、該パケットの送信先名義の擬似ＡＣＫ応答パケットを応答することにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
    を特徴とする請求項１８乃至２０いずれか一に記載の不正通信の排除方法。
22. 前記無線パケット基地局及び前記通報を受けた無線パケット端末は、
    予め傍受したプローブ要求又はプローブ応答に基づいて、未登録の無線パケット基地局に接続する無線パケット端末を検知しておき、
    前記排除モードにおいて、前記未登録無線パケット基地局に接続する無線パケット端末に対して、前記未登録無線パケット基地局名義で帰属解除（Ｄｉｓａｓｓｏｃｉａｔｉｏｎ）処理を行うことにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
    を特徴とする請求項１８乃至２０いずれか一に記載の不正通信の排除方法。
23. 前記排除モードにおいて、前記未登録無線パケット基地局からのパケットに対し、擬似パケットを送信し、パケット衝突を発生させることにより、前記未登録無線パケット基地局と前記未登録無線パケット基地局に接続する無線パケット端末間の通信を排除すること、
    を特徴とする請求項１８乃至２０いずれか一に記載の不正通信の排除方法。
    

Images