JP4574122B2

JP4574122B2 - 基地局、および、その制御方法

Info

Publication number: JP4574122B2
Application number: JP2003094816A
Authority: JP
Inventors: 博英立川
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2003-03-31
Filing date: 2003-03-31
Publication date: 2010-11-04
Anticipated expiration: 2023-03-31
Also published as: JP2004302846A

Description

【０００１】
【発明の属する技術分野】
本発明は、ＩＥＥＥ８０２．１１規格やＢｌｕｅｔｏｏｔｈ規格等の通信機能を有する通信端末とアクセスポイントを有するシステムにおいてセキュアなネットワークを構築できるようにするための技術に関する。
【０００２】
【従来の技術】
従来より、ＩＥＥＥ８０２．１１規格に準じた無線ＬＡＮやＢｌｕｅｔｏｏｔｈ規格に準じた無線通信では、その通信媒体として電波を用いるため、セキュリティが重要な課題となっている。このような課題を解決するため、これらの規格では、通信先毎に暗号鍵を設けパケットを暗号化することで、たとえパケットをのぞき見られても、それを解読できないようにするといった防御手段が執られてきた。
【０００３】
現在、最も一般的な無線通信暗号化手段は、ＩＥＥＥ８０２．１１方式であればＷＥＰ（ＷｉｒｅｄＥｑｕｉｖａｌｅｎｔＰｒｉｖａｃｙ）キー（４０ｂｉｔ，１２８ｂｉｔ）による暗号化であり、Ｂｌｕｅｔｏｏｔｈ方式であれば、Ｐｉｎ（ＰｅｒｓｏｎａｌＩｄｅｎｔｉｆｉｃａｔｉｏｎＮｕｍｂｅｒ）コードから自動生成される１２８ｂｉｔの暗号鍵による暗号化である。とはいえ、これらの暗号化方式にも、脆弱性があることが指摘されており、無線通信の安全性を更に高めるための暗号化方式として、ＩＥＥＥ８０２．１１方式では、ＩＥＥＥ８０２．１ｘベースの認証を実施した上での動的ＷＥＰキー変換（ＥＡＰ）やＴＫＩＰ（ＴｅｍｐｏｒａｌＫｅｙＩｎｔｅｇｒｉｔｙＰｒｏｔｏｃｏｌ），ＡＥＳ（ＡｄｖａｎｃｅｄＥｎｃｒｙｐｔｉｏｎＳｔａｎｄａｒｄ）といった更に高度な暗号化方式が、またＢｌｕｅｔｏｏｔｈ方式では、ＩＥＥＥ８０２．１ｘベースの上位アプリケーション層での認証・暗号化方式などが検討され、一部実施されている。
【０００４】
この中でもＩＥＥＥ８０２．１ｘをベースとしたＥＡＰ（ＥｘｔｅｎｓｉｂｌｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＰｒｏｔｏｃｏｌ）方式と呼ばれる認証・暗号化手段は、一部のＯＳ（オペレーションシステム）環境において、ＩＥＥＥ８０２．１１方式向けの認証・暗号化手段として標準的に実装されている。無線ＬＡＮ（ＩＥＥＥ８０２．１１）におけるＥＡＰ方式は、クライアントの端末がネットワーク接続要求を行う際、ＴＣＰ／ＩＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ／ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）を利用してイントラネット内に設けられた認証サーバ（ＲＡＤＩＵＳサーバ等）とデータ通信を行い、認証サーバからクライアントへの証明書の要求またはチャレンジを実施する。クライアントは、証明書所有の証明を行うか、チャレンジに対しアカウント名とパスワードを返し、それらが認証サーバ内のデータと一致すれば、認証サーバは無線通信を暗号化するための１２８ｂｉｔの暗号鍵または暗号鍵生成手段をアクセスポイントとクライアントに返す。この様なプロセスを経てクライアントが認証をパスすると、それ以降の無線通信は、１２８ｂｉｔの暗号鍵をＷＥＰキーとして、クライアントとアクセスポイントとの両者間で利用することで暗号化される。更に、上記プロセスは一定時間毎に定期的に実施され、暗号鍵の更新を行う。
【０００５】
又、Ｂｌｕｅｔｏｏｔｈ方式では、ＰＡＮ（ＰｅｒｓｏｎａｌＡｒｅａＮｅｔｗｏｒｋ）プロファイルにおいてセキュリティ向上のためにはＩＥＥＥ８０２．１ｘ認証・暗号化手段を用いることが推奨されている。Ｂｌｕｅｔｏｏｔｈ方式の場合は、無線媒体である電波を暗号化するための鍵の生成は、Ｂｌｕｅｔｏｏｔｈ方式で通信を行うデバイス間のＰｉｎコードによる相互認証によって自動的に生成されるため、認証サーバから受け取った暗号鍵情報を、無線ＬＡＮで言うところのＷＥＰキーの様な電波そのものの暗号化鍵としては利用できない。
しかし、無線媒体として電波を生成する前段階で、パケットを暗号化する際の鍵として利用することで、二重に暗号化し通信のセキュリティを向上させることができる。
【０００６】
以上に述べてきたＩＥＥＥ８０２．１ｘ方式の認証・暗号化プロセスでは、認証を実施するための認証サーバがネットワーク内に存在し、同サーバでクライアントのアカウントを集中管理する。このため、ＩＥＥＥ８０２．１ｘ方式を用いれば、クライアントがどこにいても、認証サーバとのＴＣＰ／ＩＰによる通信が実施可能で有れば、同一のアカウント・パスワードを用いてイントラネット等のネットワークに接続する事ができる。
【０００７】
【発明が解決しようとする課題】
上述したＩＥＥＥ８０２．１ｘ方式による認証・暗号化プロセスを用いることで、クライアントは無線通信を用いた安全なネットワーク接続を実現できる。ただし、そのためにはネットワーク内に認証サーバが設置され、かつ前記認証サーバには、予めクライアントのアカウントが登録されている必要がある。即ち、ＩＥＥＥ８０２．１ｘ方式は、比較的規模の大きなイントラネット等での運用を想定した方式であり、無線によるネットワーク接続を行うクライアントも認証サーバ上にアカウントを持ったメンバに限定されるといった制限があった。
【０００８】
このため、認証サーバにアカウントが登録されていない外来者が参加するミーティングを行う場合や、イントラネットへの接続手段がない社外の会議室等でのミーティングを行う場合は、ＩＥＥＥ８０２．１ｘ方式による認証・暗号化プロセスを利用した無線通信による安全なネットワーク構築ができないという不具合があった。なお、この際に、認証・暗号化を無くした無線通信は実現可能であるが、セキュリティの面から大きな問題がある。
【０００９】
又、手作業による無線通信用パラメータの設定を実施すれば、無線通信の暗号化は可能であるが、クライアントはイントラネット内で通常利用するＩＥＥＥ８０２．１ｘ方式のアカウント・パスワードの入力による自動接続とは、全く異なる接続手段を手動で行わなければならず、操作方法に統一性が無く、煩雑であり、利便性が損なわれる上、暗号鍵を定期的に変更してセキュリティを高める等の恩恵を受けることができない。
【００１０】
本発明は、上記課題を解決すために、以下の少なくとも１つ達成することを目的とする。
１．ネットワーク接続のための正規認証手続きに対応したアカウントや証明書を事前に所有していないクライアント端末でも、管理者の許可により容易にネットワーク接続を可能とし、しかも、高度な暗号化を施すことができるようにする。
２．管理者がアクセスポイントを操作して接続可否判断を行う際に、クライアント端末を識別するための情報を分かり易い形式で表示し、管理者が接続可否を判定しやすくする。
３．クライアント端末に、認証手続きの種類に応じたアクセス可能範囲を別個に定めることで、セキュリティを高める。
４．正規認証手続きを行うために必要な条件が整っていないような環境下で本システムを用いる際に、実行不可能な正規認証手続き処理をバイパスすることで、クライアント端末が接続するまでの無駄な待ち時間を無くす。
５．正規認証に成功したクライアント端末に対しても、管理者の許可無く、アクセスポイントの基に構築されるＬＡＮ領域に対するアクセスを制限し、ＬＡＮ領域のセキュリティを保つ。
【００１１】
【課題を解決するための手段】
本発明は上記目的を達成するために、基地局を介して通信装置が接続する所定のネットワークと、前記基地局が構築する無線ネットワークとからなるシステムの基地局であって、前記所定のネットワークへ通信装置が接続するための第１の認証が認証サーバにより行われた後に、前記無線ネットワークへ前記通信装置が接続するための第２の認証を行う認証手段と、前記認証手段による前記第２の認証の結果に応じて、前記無線ネットワーク内の他の通信装置と前記通信装置との通信を許可する制御手段とを有する。
【００１３】
また、基地局を介して通信装置が接続する所定のネットワークと、前記基地局が構築する無線ネットワークとからなるシステムの基地局の制御方法であって、前記所定のネットワークへ通信装置が接続するための第１の認証が認証サーバにより行われた後に、前記無線ネットワークへ前記通信装置が接続するための第２の認証を行う認証工程と、前記認証工程における前記第２の認証の結果に応じて、前記無線ネットワーク内の他の通信装置と前記通信装置との通信を許可する制御工程とを有する。
【００１５】
【発明の実施の形態】
（第１の実施例）
図１は本発明の第１の実施例のシステム構成図であり、１はＩＥＥＥ８０２．１１規格やＢｌｕｅｔｏｏｔｈ規格等に準じた無線通信を行い、安全なネットワークを構築するアクセスポイント、２、３、４、５はアクセスポイント１と無線接続するＰＤＡやノートＰＣなどのクライアント端末、６はアクセスポイント１と有線接続され、共有ファイルなどが保存されるローカルサーバ、７はアクセスポイント１の基に構築された無線クライアント端末２、３、４、５とローカルサーバ６から為るＰｅｒｓｏｎａｌＡｒｅａＮｅｔｗｏｒｋ（ＰＡＮ）、８はアクセスポイント１がアップリンクするイントラネット、９はイントラネット上に設けられ、共有ファイルなどが保存されるファイルサーバ、１０はイントラネット上に設けられ、イントラネットに接続しようとするクライアント端末の接続可否認証を行う認証サーバである。
【００１６】
なお、クライアント端末２、３、４、５とアクセスポイント１は、無線通信機能を内蔵していても良いし、ＣＦカード型やＰＣカード型等のカード型無線通信アダプタをカードスロットに挿入することで無線通信機能を実現したり、無線通信アダプタをＵＳＢなどのケーブル接続により無線通信機能を実現しても良い。
【００１７】
以下、本実施例による接続処理の流れを、アクセスポイント１側とクライアント端末２、３、４、５側とに分けて表したフローチャートを図２に示す。
【００１８】
図２のＳ１２０−Ｓ１２５に示す様に、クライアント端末２、３、４、５を利用するユーザは、クライアント端末２、３、４、５を操作することで、クライアント端末を起動（Ｓ１２０）した後、接続用アプリケーションを起動（Ｓ１２１）し、アクセスポイント１の捜索（Ｓ１２２）を行う。なお、アクセスポイントの探索は、無線ＬＡＮ通信であれば、アクセスポイントが報知しているビーコンを受信することで通信圏内のアクセスポイントの存在を見つけることができ、Ｂｌｕｅｔｏｏｔｈ通信であれば、問合せ（ｉｎｑｕｉｒｙ）手順や呼び出し（ｐａｇｅ）手順を行い通信圏内のアクセスポイントの存在を見つけることができる。
【００１９】
この探索（Ｓ１２２）の結果、発見されたアクセスポイント１が１台のみの場合、発見したアクセスポイント１をユーザが接続を所望するアクセスポイントであるものと見なし、同アクセスポイント１に対して接続要求（Ｓ１２５）を行う。アクセスポイント１の捜索（Ｓ１２２）の結果、接続可能なアクセスポイント１が複数発見された場合には、ユーザはクライアント端末２、３、４、５を操作（Ｓ１２４）して、接続を所望するアクセスポイント１を選択する。この際の、選択作業に当たっては、クライアント端末２、３、４、５の表示装置上に発見したアクセスポイントの識別（ＩＤ）情報を表示し、ユーザはその中から所望のアクセスポイント１をマウスやタッチスクリーン等のポインティングデバイスを用いて選択する。アクセスポイント選択画面のユーザインターフェース表示例を図３に示す。
【００２０】
なお、図３に示したようにアクセスポイント１を識別するためのＩＤ情報は、アクセスポイント１の設置場所やアクセスポイントを用いる作業の名称などが好ましく、これらの情報の設定は、クライアント端末２、３、４、５によるアクセスポイント捜索（Ｓ１２２）が為される以前に、アクセスポイント１へ設定しておく必要がある。即ち、アクセスポイント管理者は、クライアント端末２、３、４、５によるアクセスポイント捜索（Ｓ１２２）が為される以前に、アクセスポイント１を起動（Ｓ１００）し、その際に表示されるアクセスポイント名情報を確認（Ｓ１０１）し、アクセスポイント１の名前情報を変更する場合は、パスワード入力（Ｓ１０３）の後、新たなアクセスポイント１の名前を設定（Ｓ１０４）する。ここでのパスワード入力（Ｓ１０３）はアクセスポイント管理者以外の者が不用意にアクセスポイント１の名前情報を変更してしまうのを避けるために設けた処理であり、必須の処理では無い事は述べるまでもない。設定されたアクセスポイント１の名前情報は、アクセスポイント１が無線ＬＡＮ通信を行う場合は、ビーコン出力を行う際に、ビーコン情報のアクセスポイント名情報として送信（Ｓ１０５）する。また、Ｂｌｕｅｔｏｏｔｈ通信を行う場合は、デバイスネームとしてクライアント端末からの要求に応答してアクセスポイント１から送信する（Ｓ１０５）。
【００２１】
このため、クライアント端末２、３、４、５はアクセスポイントとのネットワーク接続が確立する以前にアクセスポイント１の名前情報を入手し、各端末２、３、４、５上の表示装置に表示することが可能となる。
【００２２】
Ｓ１２４において接続を所望するアクセスポイント１を決定し、Ｓ１２５においてアクセスポイント１へ接続要求を行ったクライアント端末２、３、４、５は、同アクセスポイント１を経由してのイントラネット８上の認証サーバ１０による正規認証手続き（Ｓ１０６）へ移行する。なお、本実施例では、イントラネットへ接続するために必要とされるイントラネット上の認証サーバ１０による認証手続きを「正規認証手続き」、アクセスポイント以下に構築される小規模ネットワーク（ＰｅｒｓｏｎａｌＡｒｅａＮｅｔｗｏｒｋ：ＰＡＮ）７に接続するための一定の認証手続きを一時認証手続きと呼称している。ここで、以後の説明を容易にするため、クライアント端末２、３、４、５に対する正規認証手続きと一時認証手続きによる認証可否を表１のように仮定する。
【００２３】
【表１】

【００２４】
正規認証手続き（Ｓ１０６）を行ったクライアント端末２、３は、正規認証に成功する。正規認証に成功したクライアント端末２、３に関しては、ＩＥＥＥ８０２．１ｘベースの認証・暗号化手段であるＥＡＰに従って、ネットワーク接続が完了し、定期的な暗号鍵の更新処理もＥＡＰに従って実施される。
【００２５】
正規認証手続き（Ｓ１０６）を実施し、正規認証に失敗したクライアント端末４、５は、アクセスポイント１から、ＰＡＮ７内のみで有効な一時ＩＰアドレスの配布（Ｓ１０８）を受ける。一時ＩＰアドレスの配布によって、正規認証に失敗したクライアント端末４、５へのネットワークアクセスが可能となるが、この時、アクセスポイント１は、一時ＩＰアドレスを配布（Ｓ１０８）したクライアント端末４、５によるアクセスポイント１を経由してのイントラネット８へのアクセスや、その他のクライアント端末２、３、４、５及びローカルサーバ６へのアクセスを、不正アクセス防止の観点から、禁止する。本禁止処理は、ＩＰフィルタリングを用いることで容易に実施可能である。
【００２６】
一時ＩＰアドレスの配布（Ｓ１０８）により、クライアント端末４、５のネットワークアクセスが可能となるため、アクセスポイント１は、クライアント端末４、５へそれぞれのＩＤ情報を要求する。クライアント端末４、５は、クライアント端末のＩＤ情報をアクセスポイント１へ送信（Ｓ１２７）する。ここで、クライアント端末のＩＤ情報とは、本実施例における制御を行うためにクライアント端末へインストールされる接続用アプリケーションのインストール時等に、ユーザに対してクライアント端末を利用するユーザの名前や所属、役職等の情報入力要求を行い、その際に収集した情報である。
【００２７】
アクセスポイント１は、入手したクライアント端末４、５のＩＤ情報を、アクセスポイント管理者に対して表示（Ｓ１０９）する。その際の表示例を図４に示す。アクセスポイント管理者は、表示されたＩＤ情報から接続要求を行っているクライアント端末４、５の接続可否を判断し、アクセスポイント１を操作して判断結果を設定（Ｓ１１０）する。本実施例では、このアクセスポイント管理者による判断（Ｓ１１０）が一時認証手続きとなる。
【００２８】
表１の仮定に従い正規認証処理（Ｓ１０６）に失敗したクライアント端末４は、アクセスポイント管理者による一時認証に成功するため、アクセスポイント１以下に構築されたＰＡＮ７へのアクセスが許可され、その他のクライアント端末２、３やローカルサーバ６へのネットワークアクセスが可能となる。本処理は、クライアント端末に対してＩＰフィルタリングをＰＡＮ７内に対してのみ解除することで容易に実施できる。又、正規認証処理と同等な暗号鍵を定期的に更新する無線暗号化手段を実現するための処理Ａ（Ｓ１１３）を実施する。処理Ａ（Ｓ１１３）については、後で述べる。
【００２９】
又、正規認証処理（Ｓ１０６）と一時認証処理（Ｓ１１０）の両方に失敗したクライアント端末５に対しては、アクセスポイント１は、一時ＩＰアドレスによるネットワーク接続を切断し、更にアクセスポイント１においてＭＡＣアドレスフィルタリング等の手段を実施することによって、その後の無線によるリンクも禁止する（Ｓ１１２、Ｓ１２９）。
【００３０】
図５に図２における処理Ａ（Ｓ１１３）における処理のフローチャートを示す。前記の通り、処理Ａを行うクライアント端末４は、正規認証に失敗し、一時認証に成功した端末である。アクセスポイント１は、クライアント端末４を一時認証すると、クライアント端末４に対して公開鍵を要求（Ｓ２００）する。これを受けてクライアント端末４は、公開鍵と暗号鍵のペアを生成（Ｓ２１０）し、公開鍵をアクセスポイント１に対して送信（Ｓ２１１）する。なお、クライアント端末４は、公開鍵と秘密鍵のペアを、一時認証による無線ネットワーク接続を行う度に生成しても良いし、一度生成したペアを保存して継続的に利用しても良い。継続的に利用する場合は、公開鍵・秘密鍵の生成処理（Ｓ２１０）が不要であることは述べるまでもない。
【００３１】
アクセスポイント１は、クライアント端末４から受信した公開鍵情報をクライアント端末４を識別するＩＤ情報と共に保存（Ｓ２０１）する。この後、アクセスポイント１は、クライアント端末４との無線通信時に使用する暗号鍵（ＷＥＰ鍵など）を自動生成（Ｓ２０２）し、生成した無線通信用暗号鍵を、クライアント端末４から受け取り保管してある公開鍵を使用して暗号化（Ｓ２０３）する。
無線通信用暗号鍵の公開鍵による暗号化（Ｓ２０３）が完了したら、アクセスポイント１は、クライアント端末４に対して、暗号化済み無線通信用暗号鍵を受信する様に要求（Ｓ２０４）し、同暗号鍵を送信する（Ｓ２０５）。同要求を受けて、クライアント端末４は、暗号化済み無線通信用暗号鍵を受信する準備を実施し、同暗号鍵の受信（Ｓ２１２）を行う。クライアント端末４は、暗号化済み無線通信用暗号鍵を受信したらすぐさま復号化処理（Ｓ２１３）に入り、復号化が完了し、無線通信用暗号鍵の更新準備が完了したら、その旨をアクセスポイント１へ通知（Ｓ２１４）して、自身の無線通信回路に対し無線通信用暗号鍵の更新（Ｓ２１５）を実施する。
【００３２】
アクセスポイント１は、暗号化済み無線通信用暗号鍵をクライアント端末４へ送信（Ｓ２０５）した後、クライアント端末４からの無線通信用暗号鍵更新準備完了の通知を待ち（Ｓ２０６）、同通知を受信したら、アクセスポイント１内のクライアント端末４と無線通信を実施している回路に対し無線通信用暗号鍵の更新（Ｓ２０７）を実施する。このような手順によって、アクセスポイント１内のクライアント端末４との無線通信回路とクライアント端末４の無線通信回路の暗号鍵を同時に更新することができ、以降、アクセスポイント１とクライアント端末４間では、更新した無線通信用暗号鍵によりデータを暗号化して通信を行う。
つまり、無線ＬＡＮの場合は、無線通信用暗号鍵をＷＥＰキーとして使用し、Ｂｌｕｅｔｏｏｔｈ通信の場合は、無線通信用暗号鍵によりデータを暗号化し、さらに、ＰＩＮコードによる暗号化通信を行うことになる。尚、公開鍵で暗号化された無線通信用暗号鍵は、公開鍵とペアになる秘密鍵を有するクライアント端末４にしか復号できないため、暗号化済みの無線通信用暗号鍵を第３者に不正に入手されても悪用することはできない。
【００３３】
その後、無線通信用暗号鍵は、予め設定された一定時間が経過（Ｓ２０８−Ｓ２０９）する度に、アクセスポイント１側でＳ２０２からＳ２０７の処理を繰り返し、同時にクライアント端末４側でＳ２１２からＳ２１５の処理を繰り返すことで、定期的に更新される。
【００３４】
なお、本実施例においては、アクセスポイント１での表示（Ｓ１０１、Ｓ１０９）と入力処理（Ｓ１０３、Ｓ１０４、Ｓ１１０）を行っているが、同処理は、アクセスポイント自体に設けられた表示装置や入力装置によって実現されても良いし、アクセスポイントに直接的に接続された管理者用端末に設けられた表示装置や入力装置、アクセスポイントと有線無線を問わずに接続されたクライアント端末２、３、４、５やローカルサーバ６経由で間接的に表示・入力されても良い。
【００３５】
以上のように本実施例によれば、アカウントや証明書を事前に取得していないクライアント端末に対しても、アクセスポイント以下に構築されるＰＡＮへの接続を可能とし、かつ、それらのクライアント端末の無線接続を、正規認証されたクライアント端末と同等に暗号化することができる。
【００３６】
また、管理者がアクセスポイントを操作して接続可否判断を行う際に、クライアント端末を識別するための情報を、アクセスポイントやアクセスポイントに接続された装置に分かり易い形式で表示でき、管理者が接続可否を判定しやすくすることができる。
【００３７】
また、正規認証手続に成功したクライアント端末と、正規認証手続には失敗したが一時認証手続には成功したクライアント端末とにより、イントラネットとＰＡＮの両方へのアクセスを許可とするか、イントラネットへのアクセスを禁止するがＰＡＮへのアクセスを許可するか等、アクセス可能範囲を別個に設定でき、セキュリティを高めることができる。
【００３８】
また、正規認証手続を行うために必要な条件が整っていないような環境下でも、正規認証手続き処理をバイパスして一時認証手続を行えば、少なくともＰＡＮへの接続は可能とすることができ、利用環境による影響を受けにくいシステムを構築することができる。
【００３９】
この様な無線接続構築のニーズは、会議等でテンポラリに安全なネットワークを構築したい場合等に最適である。
【００４０】
（第２の実施例）
第１の実施例では、ユーザを以下の３グループに分けて管理する場合を説明した。
１．正規認証手続きに成功し、イントラネット８とＰＡＮ７の両方にアクセス可能なユーザ
２．一時認証手続きのみに成功し、ＰＡＮ７のみアクセス可能なユーザ
３．いずれの認証手続きにも失敗し、接続拒否されるユーザ
第２の実施例では、ユーザを表２に示す４タイプに分けて管理する場合を説明する。
【００４１】
【表２】

【００４２】
第２の実施例でも、図１と同様の構成を利用する。又、図２にて示したフローチャートの内、Ｓ１００からＳ１０６で示されるアクセスポイント１側の処理とＳ１２０からＳ１２５で示されるクライアント端末２、３、４、５側の処理は、第２の実施例でも第１の実施例と全く同様に実施される。
【００４３】
図６は、図２における正規認証手続き処理（Ｓ１０６）以降を、第２の実施例の手順に従って示したフローチャートである。本図に示す様に、正規認証手続き（Ｓ３００）に成功したクライアント端末２、３は、アクセスポイント１によってイントラネットへのアクセスを許可（Ｓ３０３、Ｓ３２０）された後、一時ＩＰアドレスを配布されたクライアント端末４、５と同様に、クライアント端末のＩＤ情報をアクセスポイント１へ送信（Ｓ３２１）する。同ＩＤ情報は、第１の実施例で述べたとおり、クライアント端末２、３、４、５で稼働する接続用アプリケーションのインストール時に収集されアプリケーション内に保存された情報であるため、正規認証手続き（Ｓ３００）に成功したクライアント端末２、３からもＩＤ情報を収集することができる。又、第１の実施例と同様に正規認証手続き（Ｓ３００）に失敗したクライアント端末４、５には、一時ＩＰアドレスの配布が行われ（Ｓ３０２）、一時ＩＰアドレスを用いたネットワークアクセスによってクライアント端末４、５のＩＤ情報がアクセスポイント１へ送信（Ｓ３２１）される。また、その際に、正規認証手続き（Ｓ３００）に失敗したクライアント端末４、５のイントラネットへのアクセスは禁止（Ｓ３０４）される。
【００４４】
アクセスポイント１は、受信したクライアント端末のＩＤ情報を表示する（Ｓ３０５）。この際、正規認証に成功したクライアント端末２、３のＩＤ情報についても、正規認証に失敗したクライアント端末４、５と同様に表示し、アクセスポイント管理者による一時認証可否判定（Ｓ３０６）に処理を委ねる。
【００４５】
この時の画面表示例を図７に示す。図７に示す様に画面表示例では、各クライアント端末の正規認証ステータス（ＥＡＰと表記）を補助的に表示し、アクセスポイント管理者の判断材料を増やすことで確実な判断を補助する。アクセスポイント管理者は、図７に示す様な画面を見ながら、アクセスポイント１を操作し、ＰＡＮ７に接続を許可するユーザを決定（Ｓ３０６）する。なお、本実施例では、アクセスポイント管理者は、表２に示したように一時認証手続きの判定結果を入力するものとする。
【００４６】
アクセスポイント１は、アクセスポイント管理者による一時認証可否判定（Ｓ３０６）によって、ＰＡＮ７への接続を許可されたクライアント端末２、４に対しては、ＰＡＮ７へのアクセスを許可（Ｓ３０９）する。クライアント端末２、４は、正規認証に成功したユーザか否かによって暗号鍵更新手段が異なるため、その判定（Ｓ３１１）を行い、正規認証に成功したクライアント端末２に対しては、正規認証手続きによる暗号鍵の更新、つまり、ＩＥＥＥ８０２．１ｘベースの認証・暗号化手段であるＥＡＰに従って、定期的な暗号鍵の更新処理が実施され、正規認証に失敗したクライアント端末４に対しては第１の実施例で述べた処理Ａ（Ｓ３１３）による暗号鍵更新手段（図５）を用いて暗号鍵の更新を実施する。同様にアクセスポイント管理者による一時認証可否判定（Ｓ３０６）によって、ＰＡＮ７接続を許可されたクライアント端末２、４側も正規認証に成功したか否かの判断（Ｓ３２４）を行い、正規認証に成功したクライアント端末２については正規認証手続きによる暗号鍵の更新が実施され、正規認証に成功していないクライアント端末４については、処理Ａ（Ｓ３２５）による暗号鍵交信手段（図５）を用いて暗号鍵の更新を実施する。
【００４７】
一方、アクセスポイント１は、アクセスポイント管理者による一時認証可否判定（Ｓ３０６）によって、ＰＡＮ７への接続を禁止されたクライアント端末３、５に対しては、ＰＡＮ７へのアクセスを禁止（Ｓ３０８）する。クライアント端末３、５は、正規認証に成功したユーザか否かによってイントラネット８へのアクセス可否が異なるため、その判定（Ｓ３１０）を行い、正規認証に成功したクライアント端末３に対しては、ＰＡＮ７へのアクセスは禁止されるものの、イントラネット８への接続状態は継続し、正規認証手続きによる暗号鍵更新手段によって暗号鍵の更新が実施される。正規認証に失敗したクライアント端末５に対しては、第１の実施例と同様にアクセスポイント自体への接続が禁止（Ｓ３１２）され、ＭＡＣアドレスフィルタリングなどの手段によってその後の無線によるリンクも禁止する。同様にアクセスポイント管理者による一時認証可否判定（Ｓ３０６）によって、ＰＡＮ７接続を禁止されたクライアント端末３、５側も正規認証に成功したか否かの判断（Ｓ３２３）を行い、正規認証に成功したクライアント端末３については無線接続を継続し正規認証手続きによる暗号鍵の更新が実施され、正規認証に成功していないクライアント端末５については、無線接続の切断処理（Ｓ３２６）が実施される。
【００４８】
又、図２の１０６、１０７、１２６及び図６の３００、３０１、３２０で示した正規認証手続きは、本通信システムでは、常に実行されイントラネット８への接続が可能か否かの決定が行われるが、本システムをイントラネットが存在しない環境下や、イントラネット上に認証サーバが存在しない環境下で用いる場合には、無駄な処理となる。従って、アクセスポイントにスイッチを設け、同スイッチが正規認証手続きを回避する様に設定されている際は、上記の正規認証手続きを回避可能とすることで、正規認証手続きの試行に必要な無駄な処理時間を削減することができる。なお、ここで述べるアクセスポイント上のスイッチは、ハードウェアスイッチに限定されるものではなく、ソフトウェアスイッチでも適用可能である。
【００４９】
以上のように本実施例によれば、アカウントや証明書を事前に取得していないクライアント端末に対しても、アクセスポイント以下に構築されるＰＡＮへの接続を可能とし、かつ、それらのクライアント端末の無線接続をセキュアな環境で実現することができる。
【００５０】
また、正規認証手続きに成功したクライアント端末でもＰＡＮへの接続を禁止することができるので、使用目的に応じてシステムを構築することができ、例えば、社員全員は正規認証には成功するように認証サーバに登録しておくことで、社内であればどの部屋からでもイントラネットには接続できるようにし、特定の社員だれで実施し、他の社員には秘密の内容の会議を行う場合には、一時認証手続きにより会議メンバー以外はＰＡＮへの接続を禁止でき、しかも、会議のメンバーを変更しても簡単にメンバー変更に対応することができる。
【００５１】
また、第１実施例と同様に、管理者がアクセスポイントを操作して接続可否判断を行う際に、クライアント端末を識別するための情報を、アクセスポイントやアクセスポイントに接続された装置に分かり易い形式で表示でき、管理者が接続可否を判定しやすくすることができる。
【００５２】
また、正規認証手続きを行うために必要な条件が整っていないような環境下では、実行不可能な正規認証手続き処理をバイパスするように設定できるので、クライアント端末が接続するまでの無駄な待ち時間を無くすことができる。
【００５３】
【発明の効果】
以上説明したように、本発明によれば、基地局を介して通信装置が接続する所定のネットワークに通信装置が接続するための認証サーバによる第１の認証の後に行われる、基地局が構築する無線ネットワークに通信装置が接続するための第２の認証の結果に基づいて、通信装置は第２のネットワーク内の他の通信装置と通信できる。
【図面の簡単な説明】
【図１】本発明の実施形態におけるシステム構成図である。
【図２】第１の実施例における接続処理の流れを表すフローチャートである。
【図３】第１、第２の実施例におけるクライアント端末のアクセスポイント選択画面例である。
【図４】第１の実施例におけるアクセスポイント管理者による一時認証判定画面の表示例である。
【図５】第１、第２の実施例における一時認証したクライアント端末との無線通信に用いる暗号鍵を、定期的に更新する処理のフローチャートである。
【図６】第２の実施例における接続処理の流れを表すフローチャートである。
【図７】第２の実施例におけるアクセスポイント管理者による一時認証判定画面の表示例である。
【符号の説明】
１アクセスポイント
２アクセスポイントによってＰＡＮに接続されるＰｅｒｓｏｎａｌＤａｔａＡｓｓｉｓｔａｎｔｓ（ＰＤＡ）
３アクセスポイントによってＰＡＮに接続されるＰｅｒｓｏｎａｌＤａｔａＡｓｓｉｓｔａｎｔｓ（ＰＤＡ）
４アクセスポイントによってＰＡＮに接続されるノートＰＣ
５アクセスポイントによってＰＡＮに接続されるノートＰＣ
６アクセスポイント経由でＰＡＮに接続されているローカルサーバ
７アクセスポイントの管理下に構築されるＰｅｒｓｏｎａｌＡｒｅａＮｅｔｗｏｒｋ（ＰＡＮ）
８アクセスポイントよりアップリンクされるイントラネット
９イントラネット上に設けられファイル共有などに用いられるファイルサーバ
１０イントラネット上に設けられ正規認証手続きに用いられる認証サーバ

Claims

基地局を介して通信装置が接続する所定のネットワークと、前記基地局が構築する無線ネットワークとからなるシステムの基地局であって、
前記所定のネットワークへ通信装置が接続するための第１の認証が認証サーバにより行われた後に、前記無線ネットワークへ前記通信装置が接続するための第２の認証を行う認証手段と、
前記認証手段による前記第２の認証の結果に応じて、前記無線ネットワーク内の他の通信装置と前記通信装置との通信を許可する制御手段と、
を有することを特徴とする基地局。
前記制御手段は、前記第１の認証の結果と、前記第２の認証の結果とに応じて、さらに前記所定のネットワーク内の他の通信装置と前記通信装置のとの通信を許可することを特徴とする請求項１に記載の基地局。
前記制御手段は、前記第２の認証に失敗した場合であっても、前記第１の認証に成功している場合には、前記所定のネットワークへの前記通信装置の接続を許可することを特徴とする請求項１または２に記載の基地局。
前記認証手段は、前記第１の認証が失敗した場合に、前記第２の認証を行うことを特徴とする請求項１に記載の基地局。
前記第１の認証が失敗した場合、前記無線ネットワーク内で用いることのできるアドレスを前記通信装置に送信することを特徴とする請求項１乃至４のいずれか１項に記載の基地局。
前記認証手段による認証の結果に応じて、前記通信装置から第１の暗号鍵を受信する受信手段と、
前記通信装置との通信で用いる第２の暗号鍵を、前記受信手段により受信した前記第１の暗号鍵に基づいて暗号化して前記通信装置に通知する通知手段をさらに有することを特徴とする請求項１乃至５のいずれか１項に記載の基地局。
前記第２の暗号鍵を定期的に更新する更新手段をさらに有し、
前記通知手段は、更新手段により更新された前記第２の暗号鍵を前記通信装置に通知することを特徴とする請求項６に記載の基地局。
前記認証サーバによる前記第１の認証の結果を表示する表示手段をさらに有することを特徴とする請求項１乃至７のいずれか１項に記載の基地局。
前記認証手段は、ユーザの操作に基づいて前記通信装置を認証することを特徴とする請求項１乃至８のいずれか１項に記載の基地局。
前記認証サーバによる前記第１の認証の結果を表示する表示手段をさらに有することを特徴とする請求項１乃至９のいずれか１項に記載の基地局。
前記認証サーバによる前記第１の認証に成功した前記通信装置は、前記無線ネットワークへの接続も許可されることを特徴とする請求項４乃至１０のいずれか１項に記載の基地局。
前記認証サーバによる前記第１の認証を行うか否かを設定する設定手段をさらに有することを特徴とする請求項１乃至１１のいずれか１項に記載の基地局。
基地局を介して通信装置が接続する所定のネットワークと、前記基地局が構築する無線ネットワークとからなるシステムの基地局の制御方法であって、
前記所定のネットワークへ通信装置が接続するための第１の認証が認証サーバにより行われた後に、前記無線ネットワークへ前記通信装置が接続するための第２の認証を行う認証工程と、
前記認証工程における前記第２の認証の結果に応じて、前記無線ネットワーク内の他の通信装置と前記通信装置との通信を許可する制御工程と、
を有することを特徴とする制御方法。
基地局と接続する通信装置の制御方法であって、
前記基地局による前記通信装置に対する認証結果に応じて、第１の暗号鍵を生成する生成工程と、
前記生成工程において生成された前記第１の暗号鍵を前記基地局に通知する通知工程と、
前記第１の暗号鍵で暗号化された第２の暗号鍵を前記基地局から受信する受信工程と、
前記第２の暗号鍵に基づいて、前記基地局と通信する通信工程と、
を有することを特徴とする制御方法。