JP4223386B2 - アクセスポイント隠蔽システム。 - Google Patents

Description

この発明は、無線通信中継装置であるアクセスポイントから無線端末に対して送信する識別ＩＤを隠蔽するシステムに関する。

現在、広く使われている無線ＬＡＮには、ＩＥＥＥ８０２．１１シリーズの規格が適用されている。ＩＥＥＥ８０２．１１シリーズは、ＩＥＥＥ（米国電気電子学会）でＬＡＮ技術の標準を策定している８０２委員会が定めた無線ＬＡＮの規格の１つであり、例えばその中のＩＥＥＥ８０２．１１ｂは２．４ＧＨｚ帯の無線で約１１Ｍｂｐｓの通信を行う仕様をいう（非特許文献１参照）。無線ＬＡＮではアクセスポイントが１つ以上設置され，このアクセスポイントと無線端末とが無線電波により通信を行う。アクセスポイントとは、無線通信を中継する装置であるが、具体的には、有線ネットワークと無線ネットワークの中継装置を意味する。

上記ＩＥＥＥ８０２．１１シリーズの仕様では、通常、アクセスポイントは自らの存在を知らせるためにビーコンパケットを定期的に送信し、無線端末がこれを受信して応答パケットを作成して、これをアクセスポイントに送信する。ビーコンパケットや応答パケットには、接続先のネットワークを識別するためのＩＤとしてＳＳＩＤ（又はＥＳＳＩＤ。以下、これらを単にＳＳＩＤと称する）が含まれている。ＳＳＩＤは、ＩＥＥＥ８０２．１１シリーズの無線ＬＡＮにおけるネットワーク識別子の１つで、混信をさけるために付けられるネットワーク名のようなものである。すなわち、無線ＬＡＮは電波を使って通信するために、有線ＬＡＮと違って複数のネットワークと交信可能になる混信状態を起こす可能性がある。そこで、無線ＬＡＮのアクセスポイントと各無線端末にはＳＳＩＤを設定可能にしておき、これを使って相互の認識を行い混信を避けるようにしている。

しかし、ＳＳＩＤを常に無線空間上で公開しておくと、第３者がこれを傍受してネットワークに入り込むことが出来るようになる。そこで、一般には、無線ＬＡＮに使用されるアクセスポイントにはアクセスポイント隠蔽機能が設けられている。アクセスポイント隠蔽機能とは、上記ＳＳＩＤが他人によって傍受されないようにこれを隠蔽する機能をいう（非特許文献２参照）。

アクセスポイントと無線端末が予め同じＳＳＩＤを設定した状態で、このＳＳＩＤを隠蔽した状態で通信を行うようにしておけば、そのＳＳＩＤを設定した無線端末とアクセスポイント間では通信が可能であるが、外部からは、通信内容を傍受してＳＳＩＤを知ることができなくなる。このことにより、無線ＬＡＮのセキュリティを向上させることができる。
http://e-words.jp/w/IEEE20802.11b.html http://www.jmc.ne.jp/security/wirelesslan/wlan-construction-point.htm

ところが、アクセスポイントが複数ある環境下では、無線端末の使用場所が特定できない場合や、移動式の無線端末を使用している場合に、無線端末側において、通信の可能なアクセスポイントを一覧形式で表示させ、どのアクセスポイントと通信をするかを任意に選択できるようにすることが必要な場合がある。しかし、アクセスポイント隠蔽機能が働いている状態ではアクセスポイントの情報を入手することができないためにこれを一覧出力することができない。また、このような必要が生じた場合に、アクセスポイント側で隠蔽機能を外す設定を行えばよいが、複数のアクセスポイントにおいてこれらの設定を行ったり、設定後に再び隠蔽機能を再開させる設定を行ったりすることが必要であり、これらのオペレーションのために手間がかかるとともに、戻し忘れによるセキュリティの低下が問題となる。

そこで、この発明は、必要な時に一定時間自動的にアクセスポイント隠蔽機能を外し、且つ、その一定時間が経過した時には自動的にアクセスポイント隠蔽機能を復活させることのできる、アクセスポイント隠蔽システムを提供することを目的とする。

この発明のアクセスポイント、所定の無線通信プロトコル及び無線端末は、たとえば、ＩＥＥＥ８０２．１１シリーズの規格に従った仕様に設定される。これらは、その他の規格に沿ったものであっても勿論構わない。少なくとも、アクセスポイントからはそのアクセスポイントを識別するための識別ＩＤを含むアクセスポイント情報を送信し、これを無線端末において受信するものであって、無線で送受信されるアクセスポイント情報が外部から第３者によって傍受される可能性のあるものであればどのような型式をもつものも対象となる。

アクセスポイントは、１つの実施形態として、一定時間毎に上記識別ＩＤを含むアクセスポイント情報を放送する。無線端末がこれを受信し、アクセスポイントの識別ＩＤ（ＳＳＩＤ）を認識することで、双方の通信が可能になる。なお、この時、無線端末には上記識別ＩＤと同じものを設定しておきこれをアクセスポイント側で認識できるようにすることが必要である。

この発明では、アクセスポイントが、アクセスポイントを隠蔽して無線電波を送信するアクセスポイント隠蔽機能を持っている。このアクセスポイント隠蔽が実行されている間は、アクセスポイントは、識別ＩＤ（ＳＳＩＤ）を隠蔽した無線電波を送信する。

無線端末は、アクセスポイントに対して特定パケットデータを送信すると、アクセスポイントがこれを認識し上記アクセスポイント隠蔽機能を解除する。つまり、アクセスポイントは、識別ＩＤ（ＳＳＩＤ）を含むアクセスポイント情報を無線端末に対して送信するようになる。すると、無線端末が、このアクセスポイント情報を受信することによって、その識別ＩＤ（ＳＳＩＤ）を出力できるようになる。アクセスポイントは、上記アクセスポイント隠蔽機能を解除してから一定時間が経過すると、再び、アクセスポイント隠蔽機能を復活させる。したがって、無線端末側では通信の可能なアクセスポイントの識別ＩＤ（ＳＳＩＤ）を知りたい時にはいつでも知ることができ、且つ、無線空間上で識別ＩＤ（ＳＳＩＤ）の秘匿性がなくなる時間は、無線端末から特定パケットデータが送信された後の一定時間だけであるために、セキュリテイの問題はほとんど生じない。

この発明によれば、アクセスポイント隠蔽機能が設定されている時に無線端末側から特定パケットデータを送信すると、一定時間のみ無線端末側においてアクセスポイント情報を受信できるため、無線端末側において通信の可能なアクセスポイントの一覧表示を容易に表示させることができ、また、一定時間が経過すると自動的にアクセスポイント隠蔽機能が復活するため、セキュリティ上の問題もほとんどない。

図１は、この発明の実施形態であるアクセスポイント隠蔽システムが適用された無線ＬＡＮの構成図である。

有線ネットワークＬ１には複数のアクセスポイントＡＰ（ＡＰ１、ＡＰ２、・・・）が接続され、各アクセスポイント毎に、無線端末と通信可能なサービスゾーン（Ｚ１、Ｚ２、・・・）がある。図に示す例では、アクセスポイントＡＰ１のサービスゾーンＺ１には、３つの無線端末Ｔ１〜Ｔ３が存在し、アクセスポイントＡＰ２のサービスゾーンＺ２には、無線端末Ｔ２及びＴ４が存在している。各アクセスポイントＡＰ及び各無線端末Ｔには、例えばＩＥＥＥ８０２．１１ｂの規格に従う無線ＬＡＮ機能が設定され、アクセスポイントＡＰ１と３つの無線端末Ｔ１〜Ｔ３とで無線ネットワークが実現でき、アクセスポイントＡＰ２と無線端末Ｔ２、Ｔ４とで別の無線ネットワークが実現できる。

各アクセスポイントＡＰからは、後述のアクセスポイント隠蔽機能が解除されているデフォルトの状態で、定期的に、ＳＳＩＤを含むアクセスポイント情報が放送される。各無線端末Ｔは、このＳＳＩＤを含むアクセスポイント情報を受信すると、そのアクセスポイントを認識することが可能である。すなわち、サービスゾーンＺ１内にある３つの無線端末Ｔ１〜Ｔ３はアクセスポイントＡＰ１からのＳＳＩＤを含むアクセスポイント情報を受信すると、そのアクセスポイントＡＰ１を認識する。アクセスポントＡＰ１を認識するとは、アクセスポイント情報に含まれるＳＳＩＤを認識することである。

また、ゾーンＺ２に含まれる無線端末Ｔ２及びＴ４は、アクセスポイントＡＰ２から放送されるＳＳＩＤを含むアクセスポイント情報を受信することによって、そのアクセスポイントＡＰ２を認識する。したがって、図１に示す例では、無線端末Ｔ１及びＴ３はアクセスポイントＡＰ１を認識し、無線端末Ｔ４はアクセスポイントＡＰ２を認識し、また、無線端末Ｔ２は、アクセスポイントＡＰ１とアクセスポイントＡＰ２とを認識することになる。

各アクセスポイントＡＰでは、アクセスポイント隠蔽機能がデフォルトに設定されている。アクセスポイント隠蔽機能とは、各アクセスポイントＡＰから定期的に無線電波が放送されるが、この無線電波で送信される情報の中にＳＳＩＤが隠蔽されている機能をいう。各アクセスポイントＡＰから定期的に放送される情報の中には、ＯＳＩモデルのデータリンク層が自らを特定するための固有ＩＤ（ＭＡＣアドレス）が含まれており、このＭＡＣアドレスを知ることによって、各無線端末ＴはアクセスポイントＡＰとデータリンク層で結合することが可能である。

したがって、各アクセスポイントＡＰは、アクセスポイント隠蔽機能が設定されているか否かに係わらず、定期的に放送する信号にＭＡＣアドレスを含ませ、アクセスポイント隠蔽機能が解除されているデフォルトの時には、ＭＡＣアドレスに加えてＳＳＩＤを含ませるようにしている。

上述のように、デフォルトの状態では各アクセスポイントＡＰはアクセスポイント隠蔽機能を有効にしているために、各ゾーンＺにある各無線端末はアクセスポイントＡＰを認識することはできない。しかし、予め、各端末Ｔに対して、各アクセスポイントＡＰの識別ＩＤであるＳＳＩＤが設定されていれば、アクセスポイント隠蔽機能が有効であっても、各端末Ｔは、そのＳＳＩＤのアクセスポイントＡＰと通信可能となる。したがって、図１に示す例では、無線端末Ｔ２は、所定の画面において、アクセスポイントＡＰ１のＳＳＩＤを（ユーザが）選択すれば、このアクセスポイントＡＰ１と通信可能であり、アクセスポイントＡＰ２のＳＳＩＤを選択すれば、このアクセスポイントＡＰ２との通信が可能になる。また、無線端末Ｔ１は、図１に示す状態ではアクセスポイントＡＰ１のＳＳＩＤを設定することによりこのアクセスポイントＡＰ１との通信が可能であり、ゾーンＺ２に移動した時に、選択するＳＳＩＤをアクセスポイントＡＰ２のＳＳＩＤにすることによって、このアクセスポイントＡＰ２との通信が可能となる。

以上のネットワークの状態において、無線空間上はアクセスポイントが隠蔽されているために、アクセスポイントＡＰのＳＳＩＤが予め設定されていない図外の無線端末がゾーンＺ１又はＺ２に侵入しても、こられの無線端末は各アクセスポイントＡＰのＳＳＩＤを知ることができない。したがって、各アクセスポイントＡＰとの通信ができないことになるから、アクセスポイントの秘匿性（アクセスポイントがあるかどうかも含む）が保たれることになる。

無線端末Ｔ１がゾーンＺ１からＺ２に移動した時や、無線端末Ｔ４がゾーンＺ２からゾーンＺ１に移動した時等、これまでのゾーンから他のゾーンに移動した時に通信可能なアクセスポイントの一覧を知りたい場合が発生する。この時、本実施形態のシステムでは、無線端末の画面を所定の画面モードに設定した後、「ステルス解除」キーを押す。すると、一定時間だけその無線端末と通信可能なアクセスポイントでのアクセスポイント隠蔽機能が解除される。その結果、その無線端末において通信可能なアクセスポイントのＳＳＩＤの一覧表示が行われる。

図２は、この時の表示状態を示している。図２（Ａ）は、通信可能なアクセスポイントの一覧表示を行わせるモードの時の最初の画面である。初期状態では、各アクセスポイントＡＰのアクセスポイント隠蔽機能により、画面上では何も表示されない。このため、各アクセスポイントの存在有無も知ることができない。この状態でステルス解除キーＫ１を押すと、図２（Ｂ）のようになる。図２（Ｂ）は、２つのアクセスポイントと通信が可能であることを示し、それらのアクセスポイントに関する情報が表示されている。すなわち、アクセスポイントのＳＳＩＤ、ＭＡＣアドレス、情報の暗号化有無、その他が一覧で表示される。この表示状態において、ＮＯ１又はＮＯ２を選択することにより、２つのアクセスポイントの内のいずれかを通信可能なアクセスポイントとして選択することができる。

後述のように、図２（Ａ）においてステレス解除キーＫ１を操作すると、その無線端末Ｔからデータリンク層で結合可能なアクセスポイント、すなわち、その無線端末Ｔが属しているサービスゾーンＺを設定する全てのアクセスポイントに対して特定のパケットデータが送信される。すると、それらのアクセスポイントＡＰでは、一定の時間だけアクセスポイント隠蔽機能を解除する。その結果、その後に放送されるＳＳＩＤを含むアクセスポイント情報を当該無線端末が受信して表示画面上に表示する。上記一定時間が経過すると、各アクセスポイントが自動的に再びアクセスポイント隠蔽機能を復活させる。

図２（Ｂ）の表示状態は、上記のようにして獲得した通信可能なアクセスポイントの一覧を示している。図２（Ｂ）に示す状態で、ユーザはいずれかのアクセスポイントを選択した後、選択キーＫ２を操作する。これにより、その無線端末Ｔは、ユーザによって選択されたアクセスポイントＡＰと通信可能な状態に設定される。このように、各アクセスポイントＡＰは、無線端末Ｔから特定パケットデータを受信するとアクセスポイント隠蔽機能を解除し、一定時間が経過すると再度アクセスポイント隠蔽機能を復活させる。この機能を、一時的隠蔽解除機能と称する。

図３は、一時的隠蔽解除機能の概要を示している。

無線端末Ｔ（無線ネットワーク側）から特定パケットデータ（隠蔽解除用パケット）がアクセスポイントＡＰ側に送信されると、アクセスポイントＡＰにおいては隠蔽機能を解除し、一定時間が経過すると再び隠蔽する。この一定時間の間、アクセスポイントＡＰからは従来と同様に一定時間毎にＳＳＩＤを含むアクセスポイント情報を放送するために、無線端末がこの放送を受信することによって図２（Ｂ）に示すような表示を行うことが可能になる。

次に、アクセスポイントＡＰ側及び無線端末Ｔ側の動作について説明する。

図４は、無線端末側の動作を示すフローチャートである。

ステップＳＴ１では、無線端末が受信可能な状態に設定される。続いて、ステップＳＴ２において、内蔵する無線機に対しアクセスポイントスキャンを指示する。アクセスポイントスキャンとは、放送されてくるアクセスポイント情報を順次受信する操作をいう。続いて、ステップＳＴ３において、受信（スキャン）できたアクセスポイントの情報を一覧に加えて表示する。その時の一覧画面は、図２（Ｂ）に示すようなものとなり、この段階で、任意のアクセスポイントを選択する。

ただし、各アクセスポイントＡＰがデフォルトのアクセスポイント隠蔽機能にある時には、アクセスポイントの存在が分からないために、ステップＳＴ３においては、図２（Ａ）に示すような表示状態となり、画面上にはアクセスポイントの情報が何ら表示されない。そこで、ステレス解除キーＫ１を操作すると、特定パケットデータが送信され、図２（Ｂ）に示すような表示状態となる。

前記特定パケットデータが送信された時のアクセスポイント側の動作について以下説明する。

図５は、アクセスポイントＡＰ側の動作を示すフローチャートである。

ステップＳＴ１０において、ステルスフラグをＯＮ、ビーコンタイマをスタートする。

ステップＳＴ１１において、ビーコンタイマがタイムアウトになっているかどうかを判定する。ビーコンタイマがタイムアウトし、且つステップ１２においてステルスフラグがＯＮしていれば、ステップＳＴ１３に進む。このステップＳＴ１３では、ビーコンにＳＳＩＤを入れずに送信し、ビーコンタイマを再度スタートする。すなわち、アクセスポイント隠蔽機能が設定された状態で（ステルスフラグがＯＮ）、一定時間毎に（ビーコンタイマがタイムアウトする毎に）ＳＳＩＤのないビーコンが送信される。なお、ビーコンには、ＭＡＣアドレス等が入れてあるため、無線端末側では、これを受信することで、アクセスポイントＡＰに対して後述の特定パケットデータを送信することが可能である。

ビーコンタイマがタイムアウトしていて且つステルスフラグがＯＦＦであれば、ＳＴ１４に進んで、ビーコンにＳＳＩＤを入れて送信し、ビーコンタイマを再スタートする。このルーチンでは、アクセスポイント隠蔽機能が解除された状態（ステルスフラグがＯＦＦ）で、一定時間毎にＳＳＩＤを入れたビーコンが送信される。

ステップＳＴ１５において無線端末から特定パケットデータを受信すると、ステップＳＴ１６に進み、ステルスフラグをＯＦＦとし、且つステルスタイマを再スタートする。このステップＳＴ１６では、アクセスポイント隠蔽機能を解除する。ステップＳＴ１７において、ステルスフラグがＯＦＦで、且つステルスタイマがタイムアウトしていれば、アクセスポイント隠蔽機能を解除してから一定時間経過したと判断し、ステップＳＴ１８に進む。ここでは、ステルスフラグをＯＮにし（アクセスポイント隠蔽機能の復活）、ステルスタイマをストップする。

２つのタイマのタイムアウト時間は、ステルスタイマ＞ビーコンタイマとなっている。したがって、ステルスタイマがタイムアウトするまでの一定時間内（アクセスポイント隠蔽機能が解除されている期間内）では、ＳＴ１３の処理が複数回行われることになり、この間、無線端末はＳＳＩＤを複数回受信することが可能となるから、アクセスポイントのＳＳＩＤの獲得が確実なものとなる。

図６は上記のフローチャートの動作を時系列に示した図である。すなわち、無線端末側は、アクセスポイントＡＰ側からＳＳＩＤの含まれないビーコンを受信している状態で、特定パケットデータ（ステルス解除のためのデータ）を送信すると、アクセスポイントＡＰ側において、ステルスフラグをＯＦＦにし、且つステルスタイマをスタートする。また、そのときからＳＳＩＤの含まれるビーコンを一定時間毎に放送する。この状態で、無線端末側においては、ＳＳＩＤを獲得して図２（Ｂ）に示すような表示をする。さらに一定時間が経過すると、アクセスポイントＡＰ側は、ステルスタイマをタイムアウトする。この時から、再び、ＳＳＩＤの含まれないビーコンが放送される。

（他の実施形態）
上記の実施形態では、無線端末Ｔ側において、図４のステップＳＴ２において特定パケットデータを送信し、アクセスポイント側において、図５のステップＳＴ１８においてステルスタイマがタイムアウトするのを待ってステルスフラグをＯＮにしているが、ステルスタイマを無線端末側に設け、図４のステップＳＴ２において特定パケットデータ（第１の特定パケットデータ）を送信した時からこのタイマをスタートさせ、タイムアウトした時に、アクセスポイント側に対し自動的にステルスフラグをＯＮにするための別の特定パケットデータ（第２の特定パケットデータ）を送信するようにしてもよい。この場合には、アクセスポイント側において、ステップＳＴ１５で、無線端末側から別の特定パケットデータを受信することを判断すると、ステルスフラグをＯＮにする処理を追加する。

なお、前記タイマがタイムアウトするまでにオペレータによる特定の操作があったときに前記別の特定パケットデータを送信するようにしても良い。

この発明の実施形態であるアクセスポイント隠蔽システムが適用される無線ＬＡＮシステムの構成図 無線端末側の表示例を示す図 アクセスポイント隠蔽機能の概要を示す図 無線端末側の概略の動作を示すフローチャート アクセスポイント側の概略の動作を示すフローチャート ＳＳＩＤの一時的隠蔽解除機能を時系列で示す図

Claims (3)

1. 無線通信中継を行うアクセスポイントと所定の無線通信プロトコルにより接続される無線端末との間で、前記アクセスポイントからその識別ＩＤを含むアクセスポイント情報を前記無線端末に対して送信し、前記無線端末は、これを受信することで前記アクセスポイントを認識するシステムにおいて、
   前記アクセスポイントは、前記識別ＩＤを隠蔽するアクセスポイント隠蔽機能を備え、
   前記無線端末は、前記アクセスポイントが前記アクセスポイント隠蔽機能を有効にしているときに前記アクセスポイントに対して特定パケットデータを送信する機能を備え、
   前記アクセスポイントは、前記無線端末から前記特定パケットデータを受信すると、該受信の時間から一定時間に亘り前記アクセスポイント隠蔽機能を解除して前記識別ＩＤを含むアクセスポイント情報を送信し、一定時間経過したときに再度前記アクセスポイント隠蔽機能を復活させる一時的隠蔽解除機能を備えることを特徴とするアクセスポイント隠蔽システム。
2. 前記アクセスポイントは、前記アクセスポイント隠蔽機能の解除有無に係わらず、ＯＳＩモデルのデータリンク層で自らを特定するための固有ＩＤを含む情報を定期的に放送し、前記無線端末は、この情報を受信することで前記アクセスポイントとの通信を可能にする、請求項１記載のアクセスポイント隠蔽システム。
3. 無線通信中継を行うアクセスポイントと所定の無線通信プロトコルにより接続される無線端末との間で、前記アクセスポイントからその識別ＩＤを含むアクセスポイント情報を前記無線端末に対して送信し、前記無線端末は、これを受信することで前記アクセスポイントを認識するシステムにおいて、
   前記アクセスポイントは、前記識別ＩＤを隠蔽するアクセスポイント隠蔽機能を備え、
   前記無線端末は、前記アクセスポイントが前記アクセスポイント隠蔽機能を有効にしているときに前記アクセスポイントに対して該アクセスポイント隠蔽機能を解除する第１の特定パケットデータを送信し、該送信の時間から一定時間が経過したとき又は該一定時間が経過しなくても特定の操作があったときに、解除されたアクセスポイント隠蔽機能を復活させる第２の特定パケットデータを送信し、
   前記アクセスポイントは、前記無線端末から前記第１の特定パケットデータを受信すると前記アクセスポイント隠蔽機能を解除して前記識別ＩＤを含むアクセスポイント情報を送信し、前記第２の特定パケットデータを受信すると、前記第１の特定パケットデータにより解除された前記アクセスポイント隠蔽機能を復活させる機能を備えることを特徴とするアクセスポイント隠蔽システム。

Images