JP4701172B2 - リダイレクトを使用してネットワークへのアクセスを制御するシステム及び方法 - Google Patents

Description

本発明は、ウェブブラウザのリダイレクト（ｒｅｄｉｒｅｃｔｉｏｎ）を通じて、無線ローカルエリアネットワーク（“ＷＬＡＮ”）のようなネットワークでセキュリティ及びアクセス制御を改善する装置及び方法を提供する。

本発明の背景は、モバイル通信装置（“クライアント”又は“クライアント装置”ともいう）用のアクセス及び他のネットワーク（有線ローカルエリアネットワーク及びインターネットのようなグローバルネットワーク等）へのアクセスを提供するアクセスポイント（ＡＰ）を有するＩＥＥＥ８０２．１ｘアーキテクチャを使用した無線ローカルエリアネットワーク（ＷＬＡＮ）のファミリーである。ＷＬＡＮ技術の進歩は、休憩所やカフェや空港や図書館や同様の公共施設で公衆アクセス可能なホットスポットを結果として生じてきている。現在、公衆ＷＬＡＮは、企業イントラネットのようなプライベートデータネットワーク、又はインターネットやピア・ツー・ピア通信や生の無線ＴＶ放送のような公衆データネットワークへのモバイル通信装置（クライアント）のユーザのアクセスを提供している。公衆ＷＬＡＮを実装及び運営する比較的低いコストと、利用可能な高帯域（通常は１０メガビット／秒を上回る）とにより、公衆ＷＬＡＮは、モバイル無線通信装置のユーザが外部エンティティとパケットを交換できる理想的なアクセス機構になっている。

モバイルユーザがホットスポットネットワークに移動すると、ホットスポットネットワーク及びユーザのサービスプロバイダネットワークは、ユーザを認証してユーザアクセスを許可するローミングプロトコルを実行することが必要になることがある。より具体的には、ユーザが公衆ＷＬＡＮサービスエリア内でサービスにアクセスしようとすると、ＷＬＡＮは、ネットワークアクセスを許可する前に、まずユーザを認証して承認する。認証の後に、公衆ＷＬＡＮはモバイル通信装置に対してセキュアデータチャネルを開放し、ＷＬＡＮと装置との間のデータ経路のプライバシを保護する。現在、ＷＬＡＮ装置の多数の製造者は、配備した装置にＩＥＥＥ８０２．１ｘ標準を採用している。従って、この標準はＷＬＡＮにより使用される優勢な認証機構になる。残念なことに、ＩＥＥＥ８０２．１ｘ標準は、その使用モデルとして、プライベートＬＡＮアクセスで設計されている。従って、ＩＥＥＥ８０２．１ｘは公衆ＷＬＡＮ環境でのセキュリティを改善する特定の機能を提供しない。

図１は、公衆ＷＬＡＮ環境で認証に一般的に関与する３つのエンティティ（ユーザ端末又はモバイル端末／モバイル通信装置／クライアント装置（ＭＴ）１４０、少なくとも１つのアクセスポイント（ＡＰ）を有するＷＬＡＮ１２４、及び特定のサービスプロバイダ又は仮想オペレータに関連し得る認証サーバ（ＡＳ）１５０）の間の関係を示している。信頼関係は以下のようになる。ＭＴはＡＳとのアカウントを有しているため、それらは相互に信頼関係１４２を共有する。ＷＬＡＮオペレータ及びＡＳを所有するオペレータ（以下“仮想オペレータ”という）はビジネス関係を有しているため、ＡＰ又はＷＬＡＮ及びＡＳは信頼関係１２６を有する。認証手順の目的は、２つの既存の信頼関係を利用することにより、ＭＴとＡＰとの間の信頼関係を確立することである。

ウェブブラウザに基づく認証方法では、ＭＴは、Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｅｄ Ｓｏｃｋｅｔｓ（ＨＴＴＰＳ）プロトコルを通じてウェブブラウザを使用してＡＰと直接認証を行い、ＡＰ（及びＭＴとＡＳとの間の経路上の何らかのもの）が秘密のユーザ情報を侵害又は盗用することができないことを確保する。チャネルがセキュアである間に、ＡＳにより明示的に通知されない限り、ＡＰは認証の結果を決定することができない。しかし、ＡＳがＭＴに関係している唯一の情報は、ＨＴＴＰＳセッションの相手方のそのインターネットプロトコル又はＩＰアドレスである。ファイアウォール、ネットワークアドレス変換（ＮＡＴ：Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ）サーバ又はウェブプロキシがＡＳとＭＴとの間に電子的にある場合（仮想オペレータの構成で通常の場合）、ＡＳがセッションを開始し、認証の認証結果についてＡＰに通知し、ＭＴを特定することは困難であり、又は不可能ですらある。

ほとんどの既存のＷＬＡＮホットスポットの無線プロバイダは、ユーザ認証とアクセス制御とについてウェブブラウザに基づく対策を使用している。それはユーザに便利であり、ユーザ装置にソフトウェアがダウンロードされる必要がない。このような対策では、ユーザはサーバによりＨＴＴＰＳを通じてセキュアに認証され、次にそのサーバは、ユーザへのアクセスを許可するように無線ＡＰに通知する。このような認証サーバＡＳは、広義には仮想オペレータと呼ばれるＷＬＡＮオペレータ又は何らかの第三者プロバイダ（独立サービスプロバイダ（ＩＳＰ：Ｉｎｄｅｐｅｎｄｅｎｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）、プリペイドカード・プロバイダ又はセルラ・オペレータ等）により所有されることがある。

従来技術では、認証はユーザと認証サーバとの間の通信を通じて実現される。従って、ＡＰはユーザと認証サーバとの間の通信を変換しない。従って、ＡＰが承認情報を通知されるように、ＡＰと認証サーバＡＳとの間で承認情報と呼ばれる別の通信が確立されなければならない。

ＡＰでのアクセス制御は、モバイル通信装置／クライアント装置のアドレスに基づき、アドレスは物理アドレス（ＰＨＹ）、ＭＡＣアドレス又はＩＰアドレスでもよいため、認証サーバＡＳは、認証結果をＡＰに返信するときに、識別子としてモバイル端末ＭＴのＩＰアドレス（ＨＴＴＰＳトンネルのソースアドレス）を使用することができる。ファイアウォールＦＷ及びローカルサーバＬＳで図示するように、ＡＰと認証サーバＡＳとの間にファイアウォールやＮＡＴが存在しない場合には、この手法は成功する。一般的に、仮想オペレータが存在する場合（例えばローミングが関与する場合）、認証サーバは無線アクセスネットワークドメインの外部にあり、従ってファイアウォールＦＷの外部にあり、しばしば、認証に使用されるＨＴＴＰＳ接続は、図２に示すウェブプロキシを実際に通過する。認証サーバＡＳが受信するソースアドレスはウェブプロキシのアドレスであり、そのウェブプロキシのアドレスはモバイル端末ＭＴのユーザ装置を識別するために使用することができず、そのため、セキュアな接続を保証しているときにＡＰにより使用不可能になる。

２００３年４月２８日に出願された米国特許出願第１０／４２４，４４２号、ＰＵ０３００５０、Ｊｕｎｂｉａｏ Ｚｈａｎｇ、Ｓａｕｒａｂｈ Ｍａｔｈｕｒ、Ｋｕｍａｒ Ｒａｍａｓｗａｍｙ、“ＴＥＣＨＮＩＱＵＥ ＦＯＲ ＳＥＣＵＲＥ ＷＩＲＥＬＥＳＳ ＬＡＮ ＡＣＣＥＳＳ”は、ホットスポットにおいてウェブブラウザに基づくセキュアＷＬＡＮアクセスの対策の一般的な技術について記載している。

米国仮特許出願第６０／４５３，３２９号、ＰＵ０３００７１、Ｊｕｎｂｉａｏ Ｚｈａｎｇ、“Ａｎ ｉｄｅｎｔｉｔｙ ｍａｐｐｉｎｇ ｍｅｃｈａｎｉｓｍ ｉｎ ＷＬＡＮ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｗｉｔｈ ｐｕｂｌｉｃ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｓｅｒｖｅｒｓ”は、本発明と同じ課題を扱い、ホットスポットネットワークにより開始されたサービスプライベートネットワークとホットスポットネットワークとの間の別のセキュア通信セッションを使用する。このように、２つの別のセキュアセッションが維持される必要がない。

必要なものは、ホットスポットネットワークとサービスプロバイダネットワークとの間に明確な別の通信セッションを必要とすることなく、ウェブブラウザの相互作用を利用して、無線ローカルエリアネットワーク（“ＷＬＡＮ”）のようなネットワークでのセキュリティ及びアクセス制御を改善する機構である。

ネットワークへのアクセスを制御する方法は、モバイル端末と、モバイル端末に対するネットワーク通信を中継するアクセスポイントと、モバイル端末からの要求に応じて認証処理を実行する認証サーバとを有する。その方法は、アクセスポイントでモバイル端末からネットワークにアクセスする要求を受信し、モバイル端末の識別子と固有のデータとを関連付け、関連付けのマッピングを格納することを有する。固有のデータは、認証サーバを介してモバイル端末を認証するときに使用するため、モバイル端末に送信される。認証サーバでは、モバイル端末を認証するステップは、固有のデータを使用して実行され、認証時に、リダイレクトヘッダを使用して、固有のデータに対応するデジタル署名認証メッセージ及び認証パラメータを含む成功コードをモバイル端末にリダイレクトする。アクセスポイントは、モバイル端末からデジタル署名済の取り出されたリダイレクトされたＵＲＬと認証パラメータとを受信し、ネットワークへのアクセスを決定するために、認証パラメータをマッピングされた関連付けデータと相互に関連付ける。

他の態様によれば、ネットワークへのアクセスを制御する方法は、モバイル端末と、クライアントに対するネットワーク通信を中継するローカルサーバに結合されたアクセスポイントと、クライアントからの要求に応じて認証処理を実行する認証サーバとを有する。クライアントからネットワークにアクセスするリダイレクトされた要求に応じて、ローカルサーバは、モバイル端末の識別子と固有のデータとを関連付け、関連付けのマッピングを格納し、認証サーバを介してクライアントを認証するときに使用するために、固有のデータをクライアントに送信する。固有のデータを使用してクライアントを認証するときに、認証サーバは、固有のデータに対応するデジタル署名認証メッセージ及び認証パラメータを含み、クライアントへのアクセス用のリダイレクトヘッダを提供するように動作可能であり、ＡＰは、クライアントからデジタル署名済の取り出されたリダイレクトされたＵＲＬと認証パラメータとを受信し、相互の関連付けの結果に基づいてネットワークへのアクセスを決定するために、認証パラメータをマッピングされた関連付けデータと相互に関連付ける。

添付の図面と共に読み取ると、以下の詳細な説明から本発明が良く理解される。図面の様々な機能は網羅的に指定されていない。それに対して、明瞭性のため、様々な機能は任意に拡大又は縮小され得る。

説明する図面において、回路並びに関連するブロック及び矢印は、本発明による方法の機能を表し、電気信号を運ぶ電子回路及び関連する有線又はデータバスとして実装されてもよい。代替として、特に本発明のこの方法及び装置がデジタル処理として実装される場合には、１つ以上の関連する矢印はソフトウェアルーチンの間の通信（例えばデータフロー）を表してもよい。

図２によれば、ＭＴ１４０で示す１つ以上のモバイル端末は、ネットワーク及び関連の周辺装置（ネットワークに結合されたデータベース等）へのアクセスを取得するために、ＷＬＡＮアクセスポイントＡＰ及び関連のコンピュータ１２０（例えばローカルサーバ）を通じて通信する。少なくとも１つのアクセスポイントが存在する。ＡＰ及びローカルサーバは同じ位置にあってもよく、及び／又は単一のユニットがＡＰとローカルサーバとの双方の機能を実行してもよい。ＭＴは、ネットワークへのアクセス及び認証をセキュアにするために、認証サーバ１５０と通信する。本発明を具現した原理は、ＷＬＡＮのような無線ネットワークに関してここで説明するが、それにもかかわらず、有線であれ無線であれ、如何なるアクセスネットワークに対しても用途を見出すことがわかる。

更に図２に示すように、ＩＥＥＥ８０２．１ｘアーキテクチャは、ネットワークスタックの高位レイヤにトランスペアレントな局のモビリティを提供するように相互作用する複数の構成要素及びサービスを含む。ＩＥＥＥ８０２．１ｘネットワークは、アクセスポイント１３０のようなＡＰ局と、無線媒体に接続してＩＥＥＥ８０２．１ｘプロトコル（（ＭＡＣ（媒体アクセス制御）及び対応するＰＨＹ（物理レイヤ）（図示せず））の機能を含む構成要素としての１つ以上のモバイル端末１４０と、無線媒体への接続１２７を定める。一般的に、ＩＥＥＥ８０２．１ｘ機能は、無線モデム又はネットワークアクセス若しくはインタフェースカードのハードウェア及びソフトウェアに実装されている。本発明は、ダウンリンクトラヒック（すなわち、認証サーバからラップトップのようなモバイル端末へのトラヒック）についてＩＥＥＥ８０２．１ｘのＷＬＡＮのＭＡＣレイヤと互換性のあるアクセスポイント１３０が、１つ以上の無線モバイル通信装置／クライアント装置１４０と、ローカルサーバ１２０と、認証サーバ１５０を有する仮想オペレータとの認証に参加し得るように、通信ストリームにおいて識別手段を実装する方法を提示する。

次に図３を参照すると、ＷＬＡＮ１２４においてモバイル端末１４０のセキュリティを改善する本発明による方法は、メッセージ２２０を介してローカルサーバ１２０にＨＴＴＰブラウザ要求２０５をリダイレクトすることにより、一般的に実現される。本発明の方法は、ＨＴＴＰ要求２０５の内部のモバイル端末へのユーザ入力要求にセッションＩＤ２１５及び無作為番号を埋め込み、モバイル端末を認証し、ＷＬＡＮからデータを取り出すためにリダイレクト要求にセッションＩＤ及び無作為番号と共にデジタル署名情報を含め、それによって、ＡＰは、格納されたマッピングデータに基づいてローカルで生成されたデジタル署名とＭＴから受信したデジタル署名情報とのマッチングを実行し、ＷＬＡＮへのアクセスを決定することを有する。

より具体的には、本発明の方法は、Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）のようなネットワークアドレス位置にセッションＩＤ２１５やモバイル端末の識別子に関連する無作為番号を埋め込むことにより、ＷＬＡＮ１２４、アクセスポイント１３０を通じて、モバイル端末１４０からのアクセス要求を処理する（モバイル端末１４０からのウェブ要求２０５）。

クライアント／ＭＴのアドレスは｛クライアント、ＡＰ｝から取得され１３８、ローカルサーバは固有のデータ２１５を生成する。その固有のデータ２１５は、セッションＩＤと無作為番号とを有してもよい。固有のデータはローカルサーバによりＡＰに転送され、そこで固有のデータとＭＴ／クライアント識別子との間で関連付けのマッピングが作られる。ＭＴ／クライアント識別子は、クライアント／ＭＴアドレスであり、ＭＴ／クライアントの物理アドレス（ＰＨＹ）、ＭＡＣアドレス又はＩＰアドレスでもよい。関連付けのマッピングはＡＰに格納される。

ローカルサーバはウェブページ２３５を生成し、埋め込まれた情報とＭＴ／クライアントがＡＳを選択する要求とを含み、生成されたウェブページをＭＴ／クライアントに送信／転送する。埋め込まれた情報は、固有のデータを有してもよい。

ウェブページの受信時に、ＭＴ／クライアントは、セッションＩＤを含む認証ユーザ入力メッセージ２４０をＡＳに送信する。ＡＳは、ＭＴ／クライアントから認証情報を要求する認証入力ページ２４５をＭＴ／クライアントに送信することにより、応答する。ＭＴ／クライアントは、その証明書をＡＳ２５０に供給することにより、認証入力要求に応答する。ＡＳがＭＴ／クライアントを認証すると、リダイレクトヘッダを有する認証メッセージ２５５はＭＴ／クライアントに送信される。認証メッセージはまた、埋め込まれたデジタル署名と、認証パラメータと、少なくとも一部の固有のデータを有してもよい。

ＭＴ／クライアントは、埋め込まれたデジタル署名と、認証パラメータと、セッションＩＤとを含むリダイレクトされたＵＲＬ２６５を取り出し、ＡＰに転送することにより、認証メッセージに応答する。ＡＰは、取り出されたリダイレクトＵＲＬからの埋め込まれた情報と関連するマッピングとを使用して、ローカルデジタル署名２７０を作り、ローカルで生成されたデジタル署名と、ＡＳにより生成されたデジタル署名との比較を実行する。２つのデジタル署名が合致した場合には、ネットワークのアクセスが許可される２７５。２つのデジタル署名が合致しない場合には、ネットワークのアクセスが拒否される。

本発明の態様によれば、（図１及び２と共に）図３を参照すると、ＷＬＡＮ環境１２４（例えば公衆ホットスポット）においてモバイル端末１４０のセキュリティを改善するための本発明による方法は、モバイルユーザのブラウザ要求２０５をＷＬＡＮ１２４のローカルウェブサーバ１２０にリダイレクトする２１０。ローカルサーバ１２０は、リダイレクトされたブラウザ要求を受信し２２０、モバイル端末１４０に関連するＭＡＣアドレス１３８“ａ”のような識別子を取得し、無作為番号“ｒ”と共に固有のセッションＩＤ（ＳＩＤ）２１５を生成する。ここで使用される無作為番号という用語は、如何なる乱数、擬似乱数、又は少なくとも最低限度のランダム性を提供するように生成されたその他の数を含む点に留意すべきである。そのような数を生成する様々な機構が存在することが知られており、簡略にするためにその詳細はここでは省略する。

ＷＬＡＮ１２４は、モバイル端末１４０のセッションＩＤ２１５と、ＭＡＣアドレス１３８“ａ”と、無作為番号“ｒ”との間のマッピングを維持し、セッションＩＤ２１５と、ＭＡＣアドレス１３８“ａ”と、無作為番号“ｒ”とを関連付けるマッピングＭをメモリ（例えば、参照テーブル、キャッシュ、ＲＡＭ、フラットファイル等）に格納する。アドレスは、クライアント用の識別子として機能し、物理アドレス（ＰＨＹ）、ＭＡＣアドレス又はＩＰアドレスでもよい。１つの構成では、ローカルサーバ１２０はウェブページ２３５を生成し、仮想オペレータを選択するようにモバイル端末１４０のユーザに要求し、送信用のウェブページ２３５にセッションＩＤ２１５と無作為番号“ｒ”とを埋め込む。これは、例えば提示ボタンに関連するＵＲＬアドレスにセッションＩＤと無作為番号“ｒ”とを埋め込み、認証サーバ１５０とのＨＴＴＰＳセッションを開始することにより、実現されてもよい。

ウェブページ２３５がＭＴに送信された後に、ユーザは、認証サーバの適切な選択を行い、認証要求２４０は、要求に埋め込まれたセッションＩＤ（ＳＩＤ）２１５及び無作為番号“ｒ”を含むユーザ入力を有して、ＨＴＴＰＳを通じて選択された認証サーバ１５０に送信される。より具体的には、モバイル端末は、提示ボタンに関連するＵＲＬを埋め込み、認証サーバとＨＴＴＰＳセッションを開始することにより、応答する。それによって、ＭＴは要求に埋め込まれたセッションＩＤ２１５を有する認証要求２４０を、ＨＴＴＰＳを通じて認証サーバ１５０に送信する。

それに応じて、認証サーバ１５０は、要求を処理し、認証情報を要求する認証入力ページ２４５をＭＴに通信する。ユーザは特定の認証パラメータ又は証明書２５０（例えばユーザ名及びパスワード）を入力し、ＨＴＴＰＳを通じて認証サーバ１５０にそれを提示する。

次に、認証サーバはＭＴから認証証明書２５０を受信し、ＭＴとの信頼関係と受信した情報とに基づいてユーザを認証する。認証サーバは、ＭＴアクセスに関する関連情報（例えば認証情報）を含む成功コード２５５を生成する。この情報は、アクセスネットワーク又はＷＬＡＮのパラメータリスト“ｐ”として提供される。無作為番号“ｒ”及びセッションｉｄ２１５と共に、パラメータリスト“ｐ”はまとめられ（例えば、連結される、並列される、又はその他に結合される）、ＡＳによりデジタル署名される。このようなデジタル署名は、例えば、認証サーバの秘密鍵を使用することにより、又は認証サーバとＷＬＡＮとの間の共有鍵若しくはハッシュを用いて、実現されてもよい。ＡＳからの結果のデジタル署名は“ｇ”として示されている。

ＡＳは、ＨＴＴＰリダイレクトヘッダ２６０をＭＴに返信し、ユーザのブラウザをＡＰ ＷＬＡＮのＵＲＬにリダイレクトする。パラメータリスト“ｐ”、セッションｉｄ ＳＩＤ及びデジタル署名“ｇ”は、ＡＳからのＵＲＬに埋め込まれ、ＭＴに送信される。１つの構成では、リダイレクトヘッダは実際のＨＴＴＰヘッダでもよい。他の構成では、リダイレクトヘッダは、返信ＨＴＭＬページの“ＨＴＴＰ−ＥＱＵＩＶ”コマンドでもよい。

ＨＴＴＰリダイレクトに応じて、ユーザのブラウザＭＴは、ＭＴがパラメータリスト“ｐ”とＳＩＤ２１５とデジタル署名“ｇ”とをＷＬＡＮ１２４に送信することで、リダイレクトされたＵＲＬ２６５を取り出そうとする。ＭＴからの受信情報（リダイレクトＵＲＬ）２６５に応じて、ＷＬＡＮは、格納されているマッピングデータからのＳＩＤを使用して、格納されているマッピングデータから無作為番号“ｒ”と識別子“ａ”とを取り出す。より具体的には、ローカルサーバ１２０は、ＭＴからのリダイレクトされたＵＲＬ要求で送信されたＳＩＤを受信し、マッピングされた格納データＭと共に受信したＳＩＤを使用する。マッピングされた格納データＭはまた、対応する無作為番号“ｒ”とアドレス又はモバイル通信装置の識別子“ａ”とを決定するためのＳＩＤを含む。ＷＬＡＮは、その自分のデジタル署名“ｇ’”を生成するために（２７０）、デジタル署名“ｇ”を生成するときにＡＳにより使用されたものと同じ方法に従って、格納されているマッピングデータから受信した無作為番号“ｒ”とＳＩＤに、ＭＴからの受信したパラメータリスト“ｐ”をまとめる。次に、ＷＬＡＮはデジタル署名“ｇ”及び“ｇ’”を比較する。“ｇ”と“ｇ’”とが同じであると決定された場合にのみ、パラメータリスト“ｐ”は受け入れられ、ＷＬＡＮへのアクセスが可能になる（２７５）。ＭＴアドレス識別子“ａ”に関して、トラヒックのフィルタリング規則を変更するような様々な動作が考えられ得る。前述のアクセス制御機構により、２つ（以上）の別々のセキュア通信セッションを維持する必要なく、モバイル端末の認証及びネットワークアクセスが可能になる。

図示のこの発明の形式は好ましい実施例に過ぎないことがわかる。例えば、前述の実施例はＷＬＡＮアクセスシステムを示すが、前述のシステム及び方法は、有線であれ無線であれ、如何なるアクセスネットワークにも適用可能である。更に、本発明は、関連するプロセッサの動作を抑制するプログラム記憶媒体に存在してもよく、通信ネットワーク内のメッセージでのプロセッサの協調動作により行われる方法のステップに存在してもよい。これらの処理は、多かれ少なかれ能動的又は受動的な要素を有する様々な形式で存在してもよい。例えば、ソースコード若しくはオブジェクトコード、実行可能コード又は他のフォーマットのプログラム命令からなるソフトウェアプログラムとして存在する。前述の如何なるものも、圧縮形式又は非圧縮形式で記憶装置と信号とを含むコンピュータ読取可能媒体に具現されてもよい。例示的なコンピュータ読取可能媒体は、従来のコンピュータシステムのＲＡＭ（ランダム・アクセス・メモリ）、ＲＯＭ（読み取り専用メモリ）、ＥＰＲＯＭ（消去可能プログラマブルＲＯＭ）、ＥＥＰＲＯＭ（電子消去可能プログラマブルＲＯＭ）、フラッシュメモリ、及び磁気又は光ディスク又はテープを含む。例示的なコンピュータ読取可能信号は、インターネット又は他のネットワークを通じてダウンロードされた信号を含み、キャリアを使用して変調されていようといまいと、コンピュータプログラムをホスト又は作動するコンピュータシステムがアクセスするように構成され得る信号である。前述の例には、ＣＤ−ＲＯＭでのプログラムの分配又はインターネットダウンロードを介したプログラムの分配を含む。

一般的に同じことがコンピュータネットワークにも当てはまる。デジタルプロセッサにより実装される処理及び装置の形式で、関連するプログラム媒体及びコンピュータプログラムコードは、プロセッサ及び／又はプロセッサと協働する他の周辺要素の動作を抑制するように、プロセッサによりロードされて実行され、又はその他にプログラムされたプロセッサにより参照されてもよい。このようなプログラムにより、プロセッサ又はコンピュータは、本発明の方法及びその実施例を実行する装置になる。汎用プロセッサに実装されると、コンピュータプログラムコードのセグメントは、特定の論理回路を作るようにプロセッサを構成する。プログラム伝搬媒体の性質上のこのような変形と、計算及び制御並びにスイッチ要素が動作可能に結合され得る異なる構成でのこのような変形とは、全て本発明の範囲内にある。

機能面及び部分的構成面において、その他の様々な変更も可能である。等価な手段が図示及び前述のものと交換されてもよい。特許請求の範囲に記載した本発明の要旨及び範囲を逸脱することなく、特定の特徴が他のものから独立して使用されてもよい。

モバイル無線通信装置を認証する本発明の原理の方法を実行する通信システムのブロック図 認証サーバがファイアウォールの背後にある場合の通信システムのブロック図 本発明の動作を示したメッセージ交換図

Claims (31)

1. ネットワークへのアクセスを制御する方法であって、
   前記ネットワークのアクセスポイント（AP）により、前記ネットワークにアクセスする要求を受信し、前記要求はクライアントにより送信され、
   前記APにより、前記アクセス要求をローカルサーバにリダイレクトし、
   前記クライアントの識別子に固有のデータを関連付け、前記関連付けのマッピングを前記APに格納し、
   前記ローカルサーバにより、前記クライアントが認証サーバ（AS）を選択することを要求するウェブページを生成し、前記固有のデータを含め、前記生成されたウェブページを前記クライアントに転送し、
   前記選択された認証サーバに認証要求を送信し、
   前記選択された認証サーバからの前記認証要求への応答を受信することを有する方法。
2. 請求項１に記載の方法であって、
   前記ネットワークは無線ローカルエリアネットワークである方法。
3. 請求項１に記載の方法であって、
   前記クライアントにより、前記ローカルサーバから前記クライアントの前記識別子を前記APに転送し、
   前記ローカルサーバにより、前記クライアントの前記固有のデータを生成することを更に有する方法。
4. 請求項１に記載の方法であって、
   前記クライアントにより、第１のデジタル署名と認証パラメータと前記固有のデータとを含む埋め込まれたデータを有するリダイレクトされたURLを取り出し、前記リダイレクトされたURLを前記APに転送し、
   前記APにより、前記認証パラメータと前記固有のデータと前記識別子とを使用して、第２のデジタル署名を生成し、
   前記APにより、前記第１のデジタル署名と前記第２のデジタル署名とを比較し、
   前記APにより、前記第１のデジタル署名と前記第２のデジタル署名とが合致するか否かを決定し、
   前記APにより、前記合致の決定に基づいて、ネットワークアクセスの許可とネットワークアクセスの拒否とのうち１つを実行することを更に有する方法。
5. 請求項１に記載の方法であって、
   前記固有のデータは、セッションIDと無作為番号とを有する方法。
6. 請求項１に記載の方法であって、
   前記識別子は、前記クライアントのアドレスである方法。
7. 請求項１に記載の方法であって、
   認証する動作は、
   前記ASにより、前記認証要求を処理し、前記認証要求は、前記認証要求に埋め込まれたセッションIDを有し、
   前記ASにより前記クライアントに認証入力ページを転送することにより、前記認証要求に応答し、前記認証入力ページは、認証情報の要求を有し、
   前記ASにより、前記クライアントから認証証明書を受信することを更に有し、
   前記クライアントに転送された前記認証要求に対する応答は、前記クライアントによる前記ネットワークのアクセスに関するリダイレクトヘッダと成功コードと関連情報とを有する方法。
8. 請求項７に記載の方法であって、
   転送する動作は、
   前記ASにより、前記成功コードを生成することを更に有し、
   前記関連情報は、第１のデジタル署名と認証パラメータとを有する方法。
9. 請求項５に記載の方法であって、
   前記無作為番号は、乱数と擬似乱数とのうち１つである方法。
10. 請求項１に記載の方法であって、
    前記識別子は、前記クライアントの物理アドレスと前記クライアントのMACアドレスと前記クライアントのIPアドレスとのうち１つである方法。
11. 請求項１に記載の方法であって、
    前記AP及び前記ローカルサーバは同じ位置にある方法。
12. 請求項４に記載の方法であって、
    前記第１及び前記第２のデジタル署名は、前記ASの秘密鍵と、前記ASと前記ローカルサーバとの間の共有鍵とのうち１つを使用して生成される方法。
13. 請求項４に記載の方法であって、
    前記第２のデジタル署名は、前記APでローカルに生成される方法。
14. ネットワークへのアクセスを制御するシステムであって、
    クライアントと、
    前記クライアントに対するネットワーク通信を中継するローカルサーバ（LS）に結合されたアクセスポイント（AP）と、
    前記クライアントからの要求に応じて認証処理を実行する認証サーバと
    を有し、
    前記APは、前記クライアントからネットワークにアクセスするリダイレクトされた要求に応じて、前記クライアントの識別子に固有のデータを関連付け、前記関連付けのマッピングを格納し、
    前記LSは、前記クライアントに前記固有のデータを送信し、
    前記認証サーバは、前記固有のデータを使用して前記クライアントを認証するときに、前記固有のデータに対応するデジタル署名認証メッセージ及び認証パラメータを含み、前記クライアントへのアクセス用のリダイレクトヘッダを提供するように動作可能であり、前記APは、前記クライアントから前記デジタル署名済の取り出されたリダイレクトされたURLと認証パラメータとを受信し、前記APは、相互の関連付けの結果に基づいて前記ネットワークへのアクセスを決定するために、前記マッピングされた関連付けデータと前記認証パラメータとを相互に関連付けるシステム。
15. 請求項１４に記載のシステムであって、
    前記ネットワークは、前記アクセスポイントとローカルサーバとを有する無線ローカルエリアネットワークであるシステム。
16. 請求項１４に記載のシステムであって、
    前記ローカルサーバは、前記クライアントが認証サーバを選択することを要求するウェブページを生成し、前記クライアントへの送信のために、前記ウェブページに前記固有のデータを埋め込むシステム。
17. 請求項１４に記載のシステムであって、
    前記クライアントの前記識別子は、物理アドレスとMACアドレスとIPアドレスとのうち１つであり、
    前記固有のデータは、セッションIDと無作為番号とを有するシステム。
18. 請求項１７に記載のシステムであって、
    前記セッションID及び無作為番号は、前記ローカルサーバにより生成されるシステム。
19. 請求項１７に記載のシステムであって、
    前記認証サーバは、前記クライアントからユーザ証明情報を受信し、
    前記クライアントへの前記リダイレクトヘッダを介して、前記クライアントへのHTTPSを通じて前記固有のデータを使用して、認証パラメータを含むデジタル署名認証メッセージを提供するシステム。
20. 請求項１９に記載のシステムであって、
    前記APは、前記クライアントからの前記認証パラメータ及び前記固有のデータの少なくとも一部を含み、前記クライアントからリダイレクトされた前記デジタル署名認証メッセージを受信したことに応じて、前記認証パラメータと共に前記固有のデータの受信部分と格納されたマッピングデータとを使用して、ローカルデジタル署名を生成し、前記デジタル署名認証メッセージと前記ローカルデジタル署名とを比較し、前記クライアントによるネットワークアクセスを決定する方法。
21. 請求項１４に記載のシステムであって、
    前記リダイレクトヘッダは、前記クライアントのブラウザを前記ネットワークのURLにリダイレクトし、前記デジタル署名認証メッセージと前記認証パラメータと前記固有のデータの一部とを前記URLに埋め込む手段を更に有するシステム。
22. 請求項１５に記載のシステムであって、
    前記AP及び前記LSは同じ位置にあるシステム。
23. 請求項１に記載の方法であって、
    前記認証サーバは、前記固有のデータを使用して前記クライアントを認証し、リダイレクトヘッダを使用して前記クライアントに前記応答を転送し、前記固有のデータに対応するデジタル署名認証メッセージ及び認証パラメータを含め、
    前記アクセスポイントは、前記リダイレクトヘッダに従って前記クライアントから前記デジタル署名認証メッセージ及び認証パラメータを受信し、前記ネットワークへのアクセスを決定するために、前記マッピングされた関連付けデータと前記認証パラメータとを相互に関連付けることを更に有する方法。
24. 請求項１に記載の方法であって、
    前記固有のデータは、セッションID及び無作為番号を有し、
    前記APにより、前記クライアントからリダイレクトされた要求を受信し、デジタル署名認証メッセージと認証パラメータリストと前記セッションIDとを含め、前記デジタル署名認証メッセージは、前記クライアントに関連する前記選択された認証サーバにより、前記無作為番号と前記セッションIDと前記認証パラメータリストとを使用して生成され、
    前記クライアントによる前記ネットワークへのアクセスを制御するために、格納されているマッピングデータを使用して、リダイレクトされたアクセス要求と受信したデジタル署名認証メッセージとを相互に関連付けることを更に有する方法。
25. 請求項２４に記載の方法であって、
    前記AP及び前記LSは同じ位置にある方法。
26. ネットワークへのアクセスを制御する方法であって、
    ネットワークアクセスの要求を受信し、
    メッセージを介して前記要求をリダイレクトし、
    クライアント識別子と固有のデータとを受信し、
    前記固有のデータと前記クライアント識別子とを関連付け、
    埋め込まれた情報に含まれるリダイレクトされたユニバーサル・リソース・ロケータを受信し、
    前記埋め込まれた情報と、前記固有のデータと前記クライアント識別子との間の前記関連付けとを使用して、ローカルデジタル署名を生成し、
    前記埋め込まれた情報で受信したデジタル署名と前記ローカルデジタル署名とを比較し、
    前記ローカルデジタル署名が前記埋め込まれた情報で受信した前記デジタル署名と合致する場合に、ネットワークアクセスを許可し、
    前記ローカルデジタル署名が前記埋め込まれた情報で受信した前記デジタル署名と合致しない場合に、ネットワークアクセスを拒否することを有する方法。
27. 請求項２６に記載の方法であって、
    前記固有のデータは、セッション識別子と乱数とを有する方法。
28. 請求項２６に記載の方法であって、
    前記埋め込まれた情報は、セッション識別子と認証パラメータとを更に有する方法。
29. ネットワークへのアクセスを制御するシステムであって、
    ネットワークアクセスの要求を受信する手段と、
    メッセージを介して前記要求をリダイレクトする手段と、
    クライアント識別子と固有のデータとを受信する手段と、
    前記固有のデータと前記クライアント識別子とを関連付ける手段と、
    埋め込まれた情報に含まれるリダイレクトされたユニバーサル・リソース・ロケータを受信する手段と、
    前記埋め込まれた情報と、前記固有のデータと前記クライアント識別子との間の前記関連付けとを使用して、ローカルデジタル署名を生成する手段と、
    前記埋め込まれた情報で受信したデジタル署名と前記ローカルデジタル署名とを比較する手段と、
    前記ローカルデジタル署名が前記埋め込まれた情報で受信した前記デジタル署名と合致する場合に、ネットワークアクセスを許可する手段と、
    前記ローカルデジタル署名が前記埋め込まれた情報で受信した前記デジタル署名と合致しない場合に、ネットワークアクセスを拒否する手段と
    を有するシステム。
30. 請求項２９に記載のシステムであって、
    前記固有のデータは、セッション識別子と乱数とを有するシステム。
31. 請求項２９に記載のシステムであって、
    前記埋め込まれた情報は、セッション識別子と認証パラメータとを更に有するシステム。

Images